JPH08139701A

JPH08139701A - 量子暗号方式

Info

Publication number: JPH08139701A
Application number: JP6280449A
Authority: JP
Inventors: Nobuyuki Imoto; 信之井元
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1994-11-15
Filing date: 1994-11-15
Publication date: 1996-05-31

Abstract

(57)【要約】【目的】現在の技術で容易に実現可能な少なくとも４
つの量子状態を用いて盗聴検知の感度が高い量子暗号方
式を提供する。【構成】周波数もパルスの形状も参照光パルス４１と
完全に一致した信号光パルス４２に対し、位相変調器１
３によりシフト量０でビット“０”を、シフト量πでビ
ット“１”を表す位相変調Ａまたはシフト量π／２でビ
ット“０”を、シフト量−π／２でビット“１”を表す
位相変調Ｂを加えて信号光パルス４３となし、これを参
照光パルス４１とともに送信し、受信された信号光パル
ス４３’にビームスプリッタ２１で合波する参照光パル
ス４１ａの位相を位相変調器２３により０またはπ／２
ずらすことによって位相変調ＡまたはＢのいずれを測定
するかを選択して信号光パルス４３’のビット値を識別
する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、量子暗号、特に少なく
とも４つの量子状態を備えた量子暗号を用いる暗号方式
に関するものである。

【０００２】

【従来の技術】暗号方式には、盗聴されていることを前
提としてその解読が計算論的に困難であることを安全性
の根拠に置く計算論的暗号方式（現代暗号とも呼ばれ
る。）と、量子力学の不確定性原理に基づいて盗聴者の
有無をモニタしながら通信することを特徴とする量子暗
号方式とがある。以下、従来の暗号方式及びその問題点
について、計算論的暗号方式と量子暗号方式とに分けて
述べる。

【０００３】計算論的暗号方式については、・池野信一、小山謙二共著「現代暗号理論」（電子通
信学会）・岡本英司著「暗号理論入門」（共立出版）・今井秀樹著「暗号のおはなし」（日本規格協会）に詳しい解説があるが、大きく分けて秘密鍵暗号方式と
公開鍵暗号方式に分けられる。

【０００４】秘密鍵暗号方式の代表としてはＩＢＭ社よ
り提案され米国商務省標準局（ＮＢＳ）より１９７７年
に公布されたＤＥＳ（Data Encryption Standard）暗号
方式があり、また、公開鍵暗号方式の代表としてはＭＩ
ＴのRivest、Shamir、Adleman により発明されたＲＳＡ
暗号方式がある。なお、量子暗号方式は秘密鍵暗号方式
の一種と解釈される。

【０００５】まず、計算論的暗号方式の代表としてＤＥ
Ｓ暗号方式とＲＳＡ暗号方式の２つを取り上げる。

【０００６】ＤＥＳ暗号方式とは、秘密鍵と呼ばれる共
通の乱数例を送信者と受信者が事前に直接会う等の何ら
かの方法で安全に決定し（以後、このプロセスを「秘密
鍵の決定」と呼ぶ。）、その後、交信すべきテキスト
（以後、平文と呼ぶ。）を秘密鍵の数列で決められる順
序で転置と換字の処理を行うことにより暗号化及び復号
を行う方式である。

【０００７】現代では電子計算機を用いて処理するた
め、秘密鍵、平文、暗号化した文（以後、暗号文と呼
ぶ。）のいずれも２進数列で扱う。秘密鍵の決定は経済
的に高価につこうとも信頼性の高い通信（以後、秘匿通
信と呼ぶ。）で行い、暗号文の交信には盗聴されても構
わない廉価な通信（以後、公開通信と呼ぶ。）で行う。

【０００８】一般に、秘密鍵暗号方式は事前に決定した
秘密鍵を越える長さのテキストを送った場合、安全性が
損なわれることが知られている。また、同じ秘密鍵を繰
り返し使用した場合、試行錯誤的な秘密鍵の探索により
解読される確率が大きくなる。従って、盗聴された暗号
文が解読されないためには、頻繁に秘密鍵を変更し、そ
の都度、高価な秘匿通信で秘密鍵の決定を行う必要があ
る。

【０００９】秘匿通信としては、(1) 直接会う、(2) 完
全に信頼できる第三者の媒介に頼る、(3) さらに安全な
別の高級な暗号（例えば、量子暗号）を使う等が考えら
れる。なお、このような手段があるならば、これらを用
いて直接、メッセージの交換を行えば良いように思われ
るが、そうしないのはメッセージの交換が必要となる事
態は時間と場所を選ばず生じる可能性があるが、秘密鍵
の決定は送信者と受信者の時間的都合が一致し、高価な
方法を用いることができる場合を選んで行うことができ
るためである。このように、秘密鍵暗号方式の成否のポ
イントは秘密鍵の決定プロセスにあり、従来は安全な秘
匿通信の実現が困難であった。

【００１０】公開鍵暗号方式は前述した秘密鍵暗号方式
における秘密鍵の決定プロセスを避けるために提案され
た暗号方式であり、秘匿通信を必要としない。その代表
であるＲＳＡ暗号方式における手続きは次の通りであ
る。

【００１１】１．鍵生成プロセス：公開鍵と秘密鍵の生
成を暗号受信者が行い、秘密鍵は自分で保持し、公開鍵
は公開通信により暗号送信者に知らしめる。２つの大き
な素数ｐとｑを選び、その積ｎ＝ｐｑを計算する。（ｐ
−１）と（ｑ−１）の最小公倍数Ｌを計算し、Ｌと互い
に素でＬより小さな整数ｅを選ぶ。ｅｄ≡１（mod Ｌ）
となるｄ、即ちＬを法としてｅｄ＝１となるｄを求め
る。ｅとｎが公開鍵、ｄが秘密鍵となる。

【００１２】２．暗号化プロセス：暗号送信者が行う。
平文を２進数の数Ｍとし、Ｃ＝Ｍ^e mod ｎで定義される
Ｃを暗号文とする。

【００１３】３．復号プロセス：暗号受信者が行う。Ｍ
＝Ｃ^d mod ｎにより平文Ｍを得る。

【００１４】このように、手続きのどの段階においても
秘匿通信が要求されない。この暗号を解読するためには
公開鍵ｅとｎから秘密鍵ｄを捜し当てる必要があるが、
そのためにはｎの因数分解ｎ＝ｐｑを求める必要があ
る。計算量理論から周知のように、整数の因数分解はＮ
Ｐ完全問題として知られ、ｎの桁数を大きくした時、計
算量が指数関数的に増大する種類の問題である。例え
ば、ｎとして数百桁の整数を選ぶだけで、現代の最高速
計算機を用いても、ｐとｑを捜し当てるのに数億年かか
る。

【００１５】但し、これも周知のことであるが、因数分
解の計算量が指数関数的に増大するのは現在、知られて
いるアルゴリズムを用いた場合であって、どんなアルゴ
リズムを用いても計算量が指数関数的に増大することが
証明されているわけではない。未知のアルゴリズムを用
いた場合、その計算量が大幅に短縮される可能性が無い
とはいえない。さらに、１９９４年５月に米国Santa Fe
で開催されたThird Santa Fe Workshop on Complexity,
Entory and the Physics of Informationでは、量子チ
ューリングマシン（量子計算機）を用いると因数分解の
計算量が指数関数的ではなく多項式的程度で済むという
証明がBell研究所から発表された。現在、量子チューリ
ングマシンは実用化はおろか実験的にもまだ製作されて
いないが、今後、実験的研究段階に入る情勢にあること
を考えると、ＲＳＡ暗号方式のような公開鍵暗号方式も
もはや安全ではないという認識が暗号理論専門家の間に
広まっている。

【００１６】一方、量子暗号方式を用いると、前述した
問題点は克服される。これは秘密鍵暗号方式の一種であ
り、秘密鍵の決定を行う秘匿通信を量子力学的通信で行
うものである。量子暗号方式については、・Ａ．エカート著／井元信之訳「量子暗号理論への
招待」パリティ、Vol.8, No.5, P.31, 1993 ・Ｇ．コリンズ著／井元信之訳「量子暗号は史上最
強の暗号」パリティ、Vol.7, No.2, p.26, 1992 に詳しい解説があるが、従来例として１９８４年にＩＢ
Ｍ社のベネット及びモントリオール大学のプラサールに
より提案された方法を説明する。

【００１７】これは光子の偏光状態に“０”または
“１”の１ビット情報を載せる方法で、２進数列は偏光
状態が一つ一つ異なる光子列で表される。但し、偏光は
直線偏光と円偏光の２種類を用い、直線偏光を使った場
合は水平偏光を“０”、垂直偏光を“１”、円偏光を使
った場合は右回り偏光を“０”、左回り偏光を“１”の
ように送信者と受信者との間で公開で取り決めておく。
この量子暗号方式は一光子の４つの量子状態（水平、垂
直、右回り、左回りの４偏光状態）を用いるので、４状
態量子暗号方式と呼ばれる。

【００１８】秘密鍵の決定は、次に述べるように盗聴者
の存在をモニタしつつ送信者及び受信間で行われる。図
２に以下のプロセスに対応した送受信のようすの一例を
示す。なお、図中、

【外１】は送信または受信における直線偏光の選択、

【外２】は送信または受信における円偏光の選択、

【外３】は水平直線偏光、

【外４】は垂直直線偏光、「左」は左回り円偏光、「右」は右回
り円偏光、「×」は捨てるビットを示している。

【００１９】(1) 送信者は２進乱数列を直線偏光または
円偏光のいずれかを選択して変調する。どちらの偏光を
用いるかは光子一つ一つについてランダムに選択し、選
択の結果は受信者にも知らせずに送信する。

【００２０】(2) 受信者は送信者と独立に直線偏光か円
偏光かのどちらかを選択して測定する（量子力学の原理
により、一つの光子の直線偏光と円偏光とを同時に測定
することはできないため）。その結果、得られたビット
列のうち、およそ半分は直線偏光か円偏光かの選択が送
信者及び受信者間で一致したビットとなり、この分につ
いては送信者のビットの値を受信者が正しく受け取る。
残りの半分については両者の間で全く相関の無いビット
の値になる。

【００２１】(3) 受信者の測定終了後（一連のビット全
ての測定後でも１ビット毎の測定後でも良い。）、送信
者と受信者は直線偏光または円偏光のいずれを選択した
かを公開で照合する。

【００２２】(4) 選択が一致していないビットについて
は、前述のように送信者と受信者のビット間に全く相関
がないので、送信者も受信者もそれらを棄却する。

【００２３】(5) 選択の一致したビットについては、盗
聴が行われていない限り、後述のように送信者と受信者
は同じビットの値を共有している。そのことを確認する
ために、いくつかのビットを間引いてテストビットと
し、ビットの値を公開で照合する。

【００２４】(6) 十分多くのテストビットについて答が
一致すれば、盗聴のないことが結論され、照合していな
い残りのビットは送信者と受信者で一致しており、かつ
他の人物に知られていないことが保証される。これを秘
密鍵として採用する。

【００２５】以上は盗聴されずに秘密鍵の決定が成功し
た場合であるが、盗聴が発見された場合、その量子通信
路は安全でないので、盗聴が無いことが確認されるまで
通信路を変更する等の措置をとり、前述した手続きを繰
り返す。

【００２６】テストビットの値が異なった時、それが盗
聴の結果であると結論される根拠は次の通りである。

【００２７】送信者も盗聴者もたまたま同じ偏光、例え
ば直線偏光を選択した場合、盗聴者は直線偏光の量子非
破壊測定を行うか、全く同じ偏光状態の光子を再発生す
ることができるので、盗聴を覚られない。しかしなが
ら、盗聴者が送信者と異なる選択をした場合（このよう
な確率は１／２であるが）、例えば送信者が直線偏光
を、盗聴者が円偏光を選んだ場合、盗聴者は光子の偏光
状態を直線偏光から円偏光に変えてしまう。そこで、受
信者の測定結果が送信者と矛盾する場合がさらに確率１
／２で生ずる。従って、盗聴が発覚しない確率は１ビッ
トにつき１−１／２×１／２＝３／４となるので、ｎビ
ットのテストビットを用いた場合、盗聴が発覚しない確
率は（３／４）ⁿ となる。従って、十分長いビット列を
用いることにより、盗聴が発覚しない確率は桁数に対し
て指数関数的に任意の精度で０に近づけることができ
る。

【００２８】盗聴検出のために犠牲にするテストビット
の割合は少なければ少ないほど良い。仮に、１０^-10 の
危険率（見逃す確率）で盗聴を検知したいとすれば１０
^-10＝（３／４）ⁿ より、テストビットとして必要なビ
ット数ｎは約８０である。例えば、１００桁の秘密鍵生
成の作業中に盗聴の有無をモニタしたいとすれば、その
都度、８０桁のテストビットを犠牲にする必要がある。
これでは鍵とテストビットの桁数がほぼ同じであるの
で、テストビットの割合を少なくするためには危険率を
もっと高く設定し直すか、（３／４）ⁿ より早く収束す
るような新たな量子暗号方式を開発する必要がある。

【００２９】このような量子暗号方式の優劣を比較する
性能指数については後述するが、一般に、盗聴者に漏れ
た情報量と盗聴検知の感度との関係を比較するのが便利
である。例えば、盗聴者に漏れる情報量が一定の条件の
元に盗聴検知の感度が高い量子暗号方式が望まれる。

【００３０】前述した４状態量子暗号方式では、一つの
パルスに１個の光子という規則的単光子列を制御性良く
発生する技術があることを前提としているが、規則的単
光子列発生は現在、実現されていないため、実験では通
常のレーザで発生可能なコヒーレント状態と呼ばれる量
子状態の光が用いられる。

【００３１】コヒーレント状態の光では一つのパルスに
含まれる光子数の確率分布はポアソン分布となることが
知られており、一パルスに１光子という規則性はない。
しかしながら、コヒーレント光を十分減衰させることに
より、一パルスに検出される平均の光子数が１より十分
小さくなるようにできる。例えば、一パルス当たり平均
０．１個の光子が含まれるようなコヒーレント光を用い
た場合、およそ１０に一つのパルスが光子を１個だけ含
む。この場合、規則的単光子列に比べて通信速度は約１
／１０に落ちている。一つのパルスが光子を２個以上含
むこともあるが、これはおよそ２００に一つのパルスで
ある。従って、光子を少なくとも１個含むパルスだけに
着目すると、約２０に一つのパルスが光子を少なくとも
２個含む。光子数が少なくとも２個のパルスについて
は、盗聴者は１光子のみを取り出して気づかれずに情報
を盗聴することができるが、その頻度はこの例では１／
２０であり、平均光子数を十分小さくすることにより、
この頻度を任意の割合で小さくすることができる。

【００３２】しかしながら、コヒーレント光の使用を可
能とする前述した議論が成立するのは通信路に光損失が
ない場合であり、光損失がある場合は以下に述べるよう
にコヒーレント光の使用は致命的欠陥をもたらす。

【００３３】即ち、現在の技術では石英光ファイバの最
低損失値は０．２ｄＢ／ｋｍである。この光ファイバに
よる５０ｋｍの通信路を考えると、全体で１０ｄＢ、つ
まり９０％の損失となる。送信者が用いるコヒーレント
光の平均光子数を、前述の例のように０．１とすると、
このパルス列が１０ｄＢの損失を受けて受信者に到着し
た場合、受信者は平均して１００に一つのパルスで光子
を検出可能となる。

【００３４】通信路に損失があること自体は量子暗号に
とって致命的ではない。既に決まっているメッセージを
送る通常の通信と異なり、量子暗号は秘密鍵を決定する
プロセスであるから、損失により届かなかったビットは
秘密鍵として採用されないだけのことである。問題は損
失による光子の欠落なのか、盗聴による光子の欠落なの
かを識別できない事態が生じ得ることにある。

【００３５】例えば、盗聴者が損失「０」の通信路を持
っていて、この通信路で光ファイバを置き換えたとす
る。あるいは同じことであるが、盗聴者が送信者の送信
直後に損失「０」で光子の偏光を測定し、その情報を元
に受信者の直前で偏光した光子をいくつか再生し、送信
者を装ったとする。この時、送信者及び受信者にとっ
て、１０ｄＢの光子欠損がファイバの損失によるものか
盗聴者の盗聴によるものか区別できない。これによる情
報漏洩を見積ると次のようになる。

【００３６】前述のように２００の送信パルスのうちの
一つは光子を２個含むので、そのパルスについては誤り
発生なしに盗聴することができる。これは受信者が受信
するパルスの頻度（１００に一つ）の半分に達する。即
ち受信者が受信するパルスのうち半分は発覚することな
く完全に盗聴され得ることになる。以上の数値例は一例
であるが、定性的には一定値以上の通信速度及び一定値
の光損失を前提とすれば、発覚することなく完全に盗聴
されるパルスの頻度をある一定値以下に抑えることがで
きないことは明らかである。

【００３７】

【発明が解決しようとする課題】従来技術とその問題点
をまとめると、以下のようになる。計算論的暗号方式に
は秘密鍵暗号方式と公開鍵暗号方式の２種類がある。前
者は秘密鍵の安全な決定法がないという問題があり、後
者は安全性の根拠である因数分解の計算量の発散性が証
明されたものではなく、逆に量子チューリングマシンを
用いれば発散しないことが証明されており、今では安全
性の根拠が原理的には希薄になったと認識されている。
量子暗号方式は盗聴がないことを確認しながら秘密鍵の
決定を行う手段を与えるものであり、前記計算論的暗号
方式の欠点を克服するものである。

【００３８】しかしながら、従来、提案された偏光を利
用する４状態量子暗号方式では、第１に、テストビット
の長さを秘密鍵そのものの長さと比べて大幅に短くする
ことはできない。第２に、現在、単光子パルス列を発生
する技術がないので、通常のレーザ光と同じ性質のコヒ
ーレント光パルスを用いざるを得ず、この場合、通信路
の損失による情報損失と盗聴の区別がつかないことによ
り盗聴する自由度を盗聴者に与えてしまうという問題が
あった。

【００３９】本発明の目的は現在の技術で容易に実現可
能な少なくとも４つの量子状態を用いて盗聴検知の感度
が高い量子暗号方式を提供することにある。

【００４０】

【課題を解決するための手段】前記目的を達成するた
め、本発明では、光または物質の量子状態のうち直交し
ない少なくとも２つの量子状態をそれぞれ有する複数の
グループを用い、前記各グループのうちの一の量子状態
でビット“０”を、他の量子状態でビット“１”を表
し、送信側では複数のグループのうちのいずれのグルー
プを用いるかを予め公開することなく送信し、受信側で
は複数のグループのうちから一のグループをランダムに
選び出して測定し、測定終了後、送信側及び受信側が公
開でグループ選択の一致・不一致及び受信側のビット識
別の成功・不成功を確認する量子暗号方式を提案する。

【００４１】

【作用】本発明によれば、送信側ではビット“０”及び
“１”を、光または物質の量子状態のうち直交しない少
なくとも２つの量子状態をそれぞれ有する複数のグルー
プのうちのいずれかの一の量子状態及び他の量子状態を
用いて送信し、受信側では任意のグループを選択して量
子状態を測定し、その後、公開でグループ選択の一致・
不一致及びビット識別の成功・不成功を確認することに
より、ビット“０”及び“１”を確定する。

【００４２】

【実施例】図１は本発明の量子暗号方式の第１の実施例
を示すもので、図中、１０は送信装置、２０は受信装
置、３１，３２は光子通信路である。

【００４３】送信装置１０はビームスプリッタ１１、ミ
ラー１２及び位相変調器１３を備えており、また、受信
装置２０はビームスプリッタ２１，２２、位相変調器２
３及びディテクタ２４，２５，２６を備えており、両者
は光ファイバ等からなる光子通信路３１，３２により結
ばれている。

【００４４】量子暗号方式の一般的前提として、送信装
置は送信者の管理下に、受信装置は受信者の管理下にあ
り、その間の光子通信路は盗聴者が操作可能とする。送
信者と受信者は意思を同じくし、盗聴者による通信路の
操作がないことをモニタしながら秘密鍵の決定を行うこ
とを目的とする。盗聴者は物理法則に反しない限り、ど
のような手段も使えることを前提とする。また、送信者
と受信者は図１に示した装置以外に電話等の公開通信
（電話自体は公開ではないが、盗聴監視や防止の手段を
講じていないという意味で）の手段を持っており、この
公開通信は盗聴されていることを前提とする。

【００４５】送信装置１０では参照光パルス４１を送信
するとともに該参照光パルス４１の光学的位相を基準と
して信号光パルス４２の位相を変調し、信号光パルス４
３として送信する。

【００４６】参照光パルス４１及び信号光パルス４２は
周波数もパルスの形状も完全に一致している必要がある
が、これは図示しない光源より発生した光パルス４４を
ビームスプリッタ１１で分けることにより実現できる。
光パルス４４としては通常のレーザ光を変調して得られ
るパルス列やモードロックレーザのパルス列が用いられ
る。従って、光パルス４１，４２，４３，４４はいずれ
もコヒーレント状態にある。

【００４７】波長域の例としては現在、単一光子検出Ａ
ＰＤ（アバランシェ・フォトダイオード）が利用可能な
近赤外領域が考えられ、光パルス発生には化合物半導体
レーザのパルス変調が用い得る。ビームスプリッタ１１
の反射率を適当に選ぶことにより、また、必要に応じて
光減衰器を用いることにより、信号光パルス４３は平均
光子数が１以下の微弱光パルスとする。また、参照光パ
ルス４１は平均光子数が最低約１０００の通常の光パル
スにしておく。

【００４８】コヒーレント状態の光の光子数はポアソン
分布を示し、平均Ｎのポアソン分布において光子数が０
となる確率はｅ^-Nであるから、平均光子数が１以下であ
る信号光パルス４３に検出される光子数が０であること
が頻繁に起こる。この光子を検出したりしなかったりす
る不確定さは、本発明において盗聴者にさらなる困難を
もたらすが、それについては後述する。

【００４９】一方、参照光パルス４１の光子数が０とな
る確率はｅ^-1000 であり、これは０と見なせる。光子数
１０００以上の光パルスは光通信用のＡＰＤやＰＩＮフ
ォトダイオードで確実に受信できる。受信装置のディテ
クタ２６としてはこのようなディテクタを用いる。

【００５０】送信装置１０ではビット情報“０”及び
“１”を信号光パルス４２の位相にエンコードするが、
従来の４状態量子暗号方式で直線偏光と円偏光の二種類
の偏光変調を行った場合と全く同様に、本実施例では位
相変調Ａと位相変調Ｂの二種類を用意する。位相変調Ａ
では位相シフト０をビット“０”に、位相シフトπをビ
ット“１”に対応させ、位相変調Ｂでは位相シフトπ／
２をビット“０”に、位相シフトπ／２をビット“１”
に対応させる。位相シフトは位相変調器１３を用いて行
うが、これは通常のポッケルスセルやカーセル等の市販
の位相変調器で良い。

【００５１】信号光パルス４２の光の量子状態はコヒー
レント状態なので、慣例に従ってこれを｜α〉と書く
と、位相０，π／２，π／３，３π／２の変調を受けた
後の状態は、それぞれ｜α〉，｜ｉα〉，｜−α〉，｜
−ｉα〉となる。

【００５２】図３にビット“０”及び“１”をこれら４
状態にエンコードする規則をまとめる。送信者はビット
値はもちろん位相変調ペアＡまたはＢの選択も伏せて受
信者へ向けて送信する。これはちょうど従来の量子暗号
方式において直線偏光と円偏光のいずれを選んだかを伏
せて送信するのと同じである。

【００５３】受信装置２０では到達した参照光パルス４
１’の強度を反射率の低いビームスプリッタ２２により
信号光のレベルまで大幅に落して参照光パルス４１ａと
する。ビームスプリッタ２２を通過した残り大部分の参
照光パルス４１ｂはディテクタ２６で検知され、ディテ
クタ２４，２５のトリガ用等に用いる。

【００５４】信号光と同じレベルになった参照光パルス
４１ａをビームスプリッタ２１により信号光パルス４
３’と干渉させる。ビームスプリッタ２１の透過率及び
反射率を５０％とすれば、信号光パルス４３’と参照光
パルス４１ａの相対位相が０の時は全ての光がディテク
タ２５へ、また、πの時は全ての光がディテクタ２４へ
行く。従って、参照光パルス４１ａの位相を位相変調器
２３により０またはπ／２ずらしておくことにより、位
相変調ペアＡを測定するかＢを測定するかの選択ができ
る。

【００５５】ディテクタ２４，２５としては単光子検出
能力のあるディテクタが必要である。光子検出によく用
いられる光電子増倍管（通称フォトマル）は速度が遅い
ことと量子効率が低いことから推奨されない。雑音が少
なく長波長領域でも利用できる光検出デバイスとして最
近、使われ始めている光子計数領域でのヴァキューム・
アバランシェ・フォトダイオード等の半導体光子検出デ
バイスが現在のところ最適である。

【００５６】図４に受信者の選択と測定結果に基づく受
信者のビット値の結論を示す。図ではディテクタ２４も
２５もカウントなしという場合も想定されているが、こ
れは信号光パルスの平均光子数が１より小さいために起
こり得る。この場合、受信者はビット値の結論を出せな
いので、結論を“？”としておく。この“？”は従来の
４状態量子暗号方式にはなく、本発明の特徴である。

【００５７】しかし、とりあえず“？”となる状況を無
視してみると、容易に分かるように、本実施例の送受信
の手続きは図２に示した従来方式の場合と同じであり、
図２において

【数１】と読み変えるだけで良い。このように“？”の存在を無
視すれば、本発明は従来の４状態量子暗号方式において
４つの偏光の変わりに｜α〉，｜ｉα〉，｜−α〉，｜
−ｉα〉を用いたものに他ならない。

【００５８】なお、本実施例では参照光を光パルスとし
たが、連続光としてもさしつかえない。この場合、ディ
テクタ２４，２５のトリガを別の信号で与える必要があ
るが、参照光と信号光との光路差をコヒーレント長以下
にすれば良く、光路長の調整が安易になる。また、暗号
の送信前に十分強い光信号を送信し、この光信号をもと
に受信側で光ＰＬＬ回路等により局発光を生成しても良
い。

【００５９】次に、前述した“？”の存在の利用法、即
ち直交していない４つの量子状態を用いて４状態量子暗
号を行う本発明方式を説明する。

【００６０】一般に、任意のコヒーレント状態が直交し
ないことは、関係式｜〈α｜β〉｜² ＝ｅｘｐ（−｜α−β｜² ）からも明らかであるが、この式によれば、複素振幅αと
βが複素平面上で遠いほど内積の絶対値は０に近づき直
交性が増すが、近いほど１に近づいて直交性がなくな
る。本実施例の｜α〉と｜−α〉もしくは｜ｉα〉と｜
−ｉα〉の直交性はいずれもｅｘｐ（−４｜α｜² ）と
なり、平均光子数が１より十分小さいコヒーレント状態
光を用いた場合、特に直交性は低い。

【００６１】このような直交していない２つのベクトル
を測定により識別することはできず、一般にはある確率
で識別誤りを伴う測定しか実行できない。しかし、半確
定的測定とも言うべき方法が存在する。

【００６２】これは直交していない２つの状態｜ψ₁ 〉
と｜ψ₂ 〉についての測定の結果が(i) ｜ψ₂ 〉ではあ
りえない、(ii)｜ψ₁ 〉ではありえない、(iii) どちら
とも言えない、という３種類の答を出力するような測定
である。もし考えられる状態が｜ψ₁ 〉と｜ψ₂ 〉以外
にない場合、これは(i) 確実に｜ψ₁ 〉である、(ii)確
実に｜ψ₂ 〉である、(iii) どちらともいえない、とい
う３種類の答を意味する。この場合、(i) または(ii)の
ケースを確定成功、(iii) を不成功ということにすれ
ば、受信者は成功であったか不成功であったかを送信者
に告げるだけで、(i) か(ii)かの情報は送信者と受信者
の間で共有される。

【００６３】さて、このような非直交状態の測定を受信
者が行う場合、図２で変更すべき点は、まず、ステップ
(2) において受信者は全てのビットを受信できるわけで
はなく、いくつかは“？”、即ち“受信できなかった”
とすべきビットがある。どのビットが受信できなかった
かはステップ(3) において受信者から送信者に公開で通
知することとする。即ちステップ(3) において選択の照
合を行うだけでなく、半確定的測定の成功・不成功の情
報も受信者から送信者に通知する。

【００６４】この場合に盗聴が発覚する可能性を考えて
みる。盗聴者がたまたま送信者と同じ選択、例えば｜
α〉と｜−α〉を識別する測定を選択したとする。この
場合、従来方式では盗聴が発覚しなかったのであるが、
本発明においてはこの場合も盗聴が発覚する可能性が生
ずる。

【００６５】盗聴者が確定的測定に成功した場合は全く
同一の量子状態にある光を再生し、送信者を装って確実
に盗聴検知の網をくぐることができる。一方、確定的測
定に成功せず“？”の結果を得た場合、とにかく｜α〉
であったか｜−α〉であったかを推量して光の量子状態
を作り、受信者に送る必要がある。そうしなければ遮
断、即ち盗聴が発覚するからである。しかし、推量が誤
りである確率が約１／２であるから、遮断した場合の発
覚の確率を半分にできるに過ぎない。

【００６６】つまり本発明においては、従来方式におけ
るペア選択の誤りによる盗聴発覚の可能性に加えて、４
状態が直交していないことによる確定的測定不成功の際
の盗聴発覚の可能性が新たにつけ加わることになり、盗
聴者にとっては困難が二重となる。

【００６７】以上は定性的な説明であるが、定量的には
「盗聴検出感度ｐを一定とした時の盗聴者への漏洩情報
量（シャノンの相互情報量）Ｉ＝Ｉ(p) 」を用いて比較
されるべきである。その計算は数値計算を必要とするの
で詳しい導出法は省略するが、通信速度ｒをパラメータ
としてＩ_r(p)を計算することにより、全てのｒについて
本実施例のＩ_r(p)は常に従来の４状態量子暗号方式のそ
れより小さいことが示される。特にｒが小さい極限では
盗聴者と受信者との間の相互情報量は従来方式の半分と
なり、盗聴者と送信者との間の相互情報量は従来方式よ
りいくらかでも小さくできることが示される。

【００６８】従来方式のもう一つの問題は、規則的単光
子列の代わりにコヒーレント状態を用いた場合、通信路
に損失がある時はその損失が通信路本体のものか盗聴に
よるものか区別できないため、盗聴の機会を許すことに
あった。この点についても本発明は従来方式より優位性
を有する。

【００６９】例えば、従来例で述べたのと同様に１０ｄ
Ｂ、即ち９０％の損失が通信路にあり、盗聴者は９０％
の光全てを自分の管理下に置き、残り１０％を自分の無
損失通信路を用いて受信者に送り、送信者を装うことが
できるものと仮定する。盗聴者の取るべき最も確実な方
法は、前記９０％の量子状態をどこかに保持しておき、
事後に送信者と受信者が公開通信でペアの選択を照合し
合うのを待ち、送信者の選択したペアが判明した時点で
その測定を行うことである。このような盗聴者の攻撃に
対し、従来方式では送信者と受信者は無防備であった。

【００７０】しかし、本発明においては量子状態の非直
交性のために盗聴者が確定的測定に成功する確率は低
い。受信者が確定的測定に成功しなかったビットは捨て
られて盗聴の意味がなくなるので、受信者が確定的結論
を得たビットについて盗聴者も確定的測定に成功する必
要があるが、受信者の確定的測定成功と盗聴者の成功は
独立事象なので、この確率は直交性を小さく選ぶほど低
くすることができる。

【００７１】図５は本発明の第２の実施例を示すもの
で、ここでは光子通信路の独立した２つの偏光モードを
用いて１本の光子通信路で信号光及び参照光を伝送する
ようになした例を示す。即ち、図中、１４及び２７はそ
れぞれ送信装置１０及び受信装置２０に設けられた偏光
ビームスプリッタであり、参照光パルス４１と信号光パ
ルス４３を偏光ビームスプリッタ１５により独立した２
つの偏光モードとして合波して光子通信路３１に送出
し、偏光ビームスプリッタ２７で分離する如くなってい
る。また、１５，２８はミラーである。なお、その他の
構成及び作用は第１の実施例の場合と同様である。

【００７２】図６は本発明の第３の実施例を示すもの
で、ここでは時間差を用いて１本の光子通信路で信号光
及び参照光を伝送するようになした例を示す。即ち、図
中、１６，２９はビームスプリッタであり、送信装置１
０ではビームスプリッタ１１−１６間を直接結ぶ経路と
ミラー１２及び１５を介して結ぶ経路との光路差により
参照光パルス４１と信号光パルス４３とに時間差を与え
て光子通信路３１に送出し、受信装置２０ではビームス
プリッタ２９−２１間を直接結ぶ経路とミラー２８及び
ビームスプリッタ２２を介して結ぶ経路との光路差によ
り前記時間差を相殺して干渉させる如くなっている。な
お、その他の構成及び作用は第１の実施例の場合と同様
である。

【００７３】また、これまでは量子状態が４つの暗号に
ついて説明したが、量子状態が４以上の暗号に対しても
本発明は適用できる。

【００７４】

【発明の効果】以上説明したように本発明によれば、直
交しない少なくとも２つの量子状態をそれぞれ有する複
数のグループを、現在の技術で容易に実現可能なコヒー
レント状態の光を用いて構成でき、また、各グループを
構成する少なくとも２つの量子状態が直交しないことに
よる不確定性によって盗聴者に漏洩する情報量を従来方
式に比べて格段に少なくする、言い替えれば同じ漏洩情
報量であれば盗聴検知の感度を著しく高くすることがで
き、さらにまた、受信者と盗聴者とにおける前記不確定
性の独立性により、通信路の損失による盗聴の成功確率
を任意の割合で小さくすることができる。

【図面の簡単な説明】

【図１】本発明の量子暗号方式の第１の実施例を示す構
成図

【図２】従来の量子暗号方式における秘密鍵の決定プロ
セスに対応した送受信のようすの一例を示す図

【図３】送信側におけるビット値と量子状態との対応規
則の一例を示す図

【図４】受信側における測定結果とビット値との対応規
則の一例を示す図

【図５】本発明の量子暗号方式の第２の実施例を示す構
成図

【図６】本発明の量子暗号方式の第３の実施例を示す構
成図

【符号の説明】

１０…送信装置、１１，１６…ビームスプリッタ、１
２，１５…ミラー、１３…位相変調器、１４…偏光ビー
ムスプリッタ、２０…受信装置、２１，２２，２９…ビ
ームスプリッタ、２３…位相変調器、２４〜２６…ディ
テクタ、２７…偏光ビームスプリッタ、２８…ミラー、
３１，３２…光子通信路、４１，４１’，４１ａ，４１
ｂ…参照光パルス、４２，４３，４３’…信号光パル
ス、４４…光パルス。

Claims

【特許請求の範囲】

【請求項１】光または物質の量子状態のうち直交しな
い少なくとも２つの量子状態をそれぞれ有する複数のグ
ループを用い、前記各グループのうちの一の量子状態で
ビット“０”を、他の量子状態でビット“１”を表し、送信側では複数のグループのうちのいずれのグループを
用いるかを予め公開することなく送信し、受信側では複数のグループのうちから一のグループをラ
ンダムに選び出して測定し、測定終了後、送信側及び受信側が公開でグループ選択の
一致・不一致及び受信側のビット識別の成功・不成功を
確認することを特徴とする量子暗号方式。
【請求項２】直交しない量子状態として位相が１８０
度異なる一対のコヒーレント状態を用い、信号光のホモ
ダイン検波によりこれらの量子状態を識別することを特
徴とする請求項１記載の量子暗号方式。