JPH09247086A - 量子暗号の構成方法 - Google Patents

Abstract

(57)【要約】 【課題】 偏光を使用せず、遠隔量子相関を利用し、同
時刻性測定を受信者側のみで行うことにより高精度同期
クロックを必要としない量子暗号の構成方法を提供す
る。 【解決手段】 送信者１は光パラメトリック増幅器２４
を用いてポンプ光子２５から光子２６，２７を発生し、
光子２６は遅延２９を通過後光ファイバ２８に送り、光
子２７は光ファイバ３２に送る。受信側で光子２６を受
光器３１でカウントし、光子２７は遅延３３を通過後受
光器３４または３５でカウントする。受光器３１と受光
器３４または３５で信号が同時にカウントされ、しかも
遅延２９が与える位相差と遅延３３が与える位相差が特
定の組合せであったか否かを古典チャンネルにより確認
し、特定の組合せであった場合のみ、１ビットの信号を
登録する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、量子力学の不確定
性原理を利用し、盗聴者に有無をモニタしながら鍵であ
る乱数列を交換する量子暗号の構成方法に関する。

【０００２】

【従来の技術】暗号には、盗聴されていることを前提に
その解読が計算量論的に困難であることに安全性の根拠
を置く現代暗号と、量子力学の不確定性原理を利用し、
盗聴者の有無をモニタしながら鍵である乱数列を交換す
ることを特徴とする量子暗号とがある。まず、現代暗号
について説明する。

【０００３】現代暗号は、送信するメッセージを数字化
し（これを平叙文と呼ぶ）、それに乱数を演算して第三
者にはランダムに見える暗号文にし、第三者の知らない
復号法で受信者が復号するもので、大きく分けて秘密鍵
暗号法と公開鍵暗号法がある。送信者が暗号化に使う乱
数表を暗号鍵、受信者が復号に使う乱数表を復号鍵と呼
ぶが、秘密鍵暗号法では暗号鍵と復号鍵は同一（秘密鍵
と呼ばれる）であり、送信者と受信者は何らかの安全な
方法、例えば直接会うなどで事前に秘密鍵を決定してい
る。

【０００４】平叙文と秘密鍵の長さが等しいとき、すな
わち一度使った秘密鍵は必ず捨てるとき（これをone ti
me pad法と呼ぶが）、この方法は絶対的安全性を有して
いることがShannon により証明されている。しかし、メ
ッセージに匹敵する長さの秘密鍵をその都度事前に交換
することの非現実性（それができるならばメッセージそ
のものを交換すればよい）の故、one time pad法は実際
には使われていない。実用的な秘密鍵暗号法では同じ秘
密鍵を繰り返し使用する。

【０００５】公開鍵暗号法では受信者が公開鍵と秘密鍵
の２つを所有しており、公開鍵を一般に公開する。送信
者は受信者の公開鍵を使って暗号化し送信し、受信者は
秘密鍵を使って復号化する。いうまでもなく、ここでも
公開鍵と秘密鍵を繰り返し使用する。これらの現代暗号
については文献：［１］太田和夫・黒澤馨・渡辺治著
「情報セキュリティの科学」（講談社ブルーバック
ス）、［２］今井秀樹著「暗号のおはなし」（日本規格
協会）、［３］岡本英司著「暗号理論入門」（共立出
版）、［４］池野信一、小山謙二著「現代暗号理論」
（電視通信学会）に詳しく説明されている。

【０００６】現代暗号では暗号文が盗聴されることを前
提としており、盗聴されても解読に天文学的時間がかか
ることに安全性の根拠を置いている。計算量論的表現を
用いれば、整数の素因数分解がＰ型問題に属していない
という仮説に根拠を置いている。

【０００７】しかし、この仮説は未だ証明されていない
予想に過ぎない。それどころか１９９４年には量子コン
ピューティング法まで計算法を拡張すれば、素因数分解
がＰ型問題に転化さることが数学的に証明された。これ
については文献：［５］Peter W.Shor:"Algorithms for
quantum computation:Discrete logarithms and facto
ring,"Proceedings of the 35th Annual Symposium on
Foundations of Computer Science,edited by S.Goldwa
sser（IEEE Computer Society,Los Alamitos,CA,1994）
p.124 、［６］西野哲朗「量子コンピュータ」情報処理
学会誌第３６巻４号（1995年 4月）p.337 に詳しく説明
されている。

【０００８】この量子コンピュータは未だ実用化されて
いないが、現代暗号の究極の拠り所が理論上とはいえ崩
れ去ったため、その安全性が将来保証されなくなること
が避けられないと考えられている。

【０００９】次に、従来の量子暗号について説明する。

【００１０】量子コンピューティング法を用いても、な
お破ることができない暗号として量子暗号がある。これ
は量子力学の不確定性原理に基づき盗聴者のどんな盗聴
行為も必ず何らかの痕跡を量子レベルの信号に残すこと
を利用し、盗聴されていないことを確認しながら秘密鍵
を決定する手続きである。すなわち、上述した秘密鍵暗
号方式において送信者と受信者が何らかの安全方法で事
前に秘密鍵を決定しておく必要があるが、その安全な方
法としては、直接会見を除けば現在のところ量子暗号以
外はない。量子暗号を用いれば恒常的に秘密鍵の交換を
行うことが可能であり、絶対安全が保証されているone
time pad法の使用が可能となる。

【００１１】量子暗号の具体的方法として４偏光状態暗
号、２コヒーレント状態暗号、４コヒーレント状態暗
号、時間差干渉暗号、二光子干渉暗号が提案されてい
る。次に、これらの各量子暗号について説明する。

【００１２】まず、４偏光状態暗号について説明する。
４偏光状態暗号は最初に考案された量子暗号であり、詳
細は文献：［７］C.H.Benett and G.Brassard,in Proce
edings of IEEE International Conference on Compute
rs,Systems and Signal Processing,Bangalore,India
（IEEE,New York,1984）,p.175、［８］Ａ．エカート／
井元信之訳「量子暗号への招待」パリティ、vol.7,No.
2,p.26 （1992）、［９］Ｇ．コリンズ／井元信之訳
「量子暗号は史上最強の暗号」パリティ、vol.8,No.5,
p.31 （1993）に述べられているが、以下簡単に説明す
る。

【００１３】４偏光状態暗号においては、図２に示すよ
うに、送信者１と受信者２は１ビットにつき光子を１つ
だけ含む光パルス３を送る量子チャンネル４と送信およ
び受信状況を確認し合う古典的チャンネル５を使う。量
子チャンネル４は通常光ファイバであり、古典的チャン
ネル５は無線や電話等である。古典的チャンネル５は盗
聴されていることを前提とするが、改竄はされないと仮
定する。このことを明確にするため、以下本明細書では
古典的チャンネルを公開チャンネルと呼ぶ。また、量子
暗号に限らず暗号理論の前提として、盗聴者は図の伝送
路部にアクセスすることはできるが、送信側および受信
側にはアクセスできない。送信側ビット“０”および
“１”を光パルス３にコーディングするにあたり、直線
偏光と円偏光の２種類の変数、すなわち２種類のコーデ
ィング法を用いる。例えば、図３に示すように、直線偏
光コーディングの場合は「水平」を“０”に、「垂直」
を“１”に、円偏光コーディングの場合は「右回り」を
“０”に、「左回り」を“１”に対応させる。このよう
な取り決めを送信者１と受信者２は予め（公開チャンネ
ル５で）行っておく。送信者１は二進法で書かれた乱数
表６を用意する。これは受信者２と共有する秘密鍵７を
生成するための元になる乱数表である。秘密鍵７は次に
説明するように乱数表６から半分弱のビットを抽出した
部分乱数表となっている。４偏光状態暗号における送信
者１と受信者２のプロトコルは次のようになる。

【００１４】ステップ１：送信者１はランダムにコーデ
ィング法を選択し、乱数表６に従って光パルス３の偏光
を変調器８を用いて変調する。例えば円偏光でコーディ
ングすることとし、乱数表６の最初の値が“１”ならば
「左回り」偏光となるように光パルス３の偏光状態を変
える。送信者１には選択したコーディング法は知らせ
ず、光パルス３だけを送る。同様にして引き続くビット
に対して次々と光子を送る。

【００１５】ステップ２：受信者２は受けた光パルス３
が光子を１つしか含まないので、直線偏光と円偏光の両
方を測ることはできない（不確定性原理）。従って、ど
ちらを測るかを決心し、偏光測定器を含む受光器９を用
いて測定する。送信者１が選択したコーディング法と同
じコーディング法と間違ったコーディング法を選ぶ確率
はそれぞれ５０％である。同じだった場合、乱数表６の
値が正しく受信者２に再現されるが、間違った場合はそ
のビットに関する送信者１と受信者２の間の相互情報量
はゼロとなる。

【００１６】ステップ３：光パルスを１つ測定する毎に
（あるいは後でまとめて交信してもよいが）受信者２は
どちらのコーディング法を選択したか、公開チャンネル
５で明らかにする。送信者１はそれを聞き、受信者２の
コーディング選択が正しかったか否かを公開チャンネル
５で伝える。

【００１７】ステップ４：送信者１と受信者２は双方が
同じコーディング法を選択した約半分のビットだけを採
用し、後の半分は捨てる。盗聴がなければ双方に同じ乱
数表が形成されているはずである。

【００１８】ステップ５：送信者１と受信者２は残った
ビットのうち適当な割合で照合ビットを抽出し、それぞ
れの答合わせを（公開チャンネル５で）行う。十分な数
の照合ビットが一致すれば、上記文献に説明されている
ような理由により、１に近い確率で盗聴されていないと
結論づけられる。

【００１９】ステップ６：照合ビットも除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００２０】以上の手順により、盗聴されていないこと
をリアルタイムでモニタしながら秘密鍵を生成して行く
ことができる。万一照合ビットから盗聴を発見した場合
は、盗聴発見期間の交信をすべて無効とし、量子チャン
ネルをチェックするか、あらためて構築する。実際は盗
聴者が最も恐れるのは盗聴の発覚であり、しかも発覚の
危険を侵しても盗聴遂行できない（盗聴した秘密鍵は破
棄されてしまう）ので、量子暗号に対して盗聴者のなす
べき手段は事実上ない。

【００２１】なお、量子暗号の実用性を示す特徴の１つ
として、伝送路損失の存在が致命的でないという事情に
ついてここで触れておきたい。光の量子状態を制御する
通信や情報処理においては伝送路の損失あるいは光検波
器の不完全な量子効率により量子状態が大きく破壊され
てしまうことが致命的欠陥であることが知られている。
意味を持つメッセージを送信したり処理したりする場合
は、量子状態の破壊は情報そのものの破壊を意味する。
しかし、量子暗号はまず乱数表の交換が目的であるの
で、伝送損失等により光子が欠落しても乱数表が間引き
されるに過ぎない。損失の影響は主に伝送レートが下が
ることに現れるだけであり、上記プロトコルの有効性に
は影響しない。このような特徴は４偏光状態暗号に限ら
ず、量子暗号すべてに共通する特徴である。

【００２２】４偏光状態量子暗号を実用化する際に最も
重要となるのは、光子が伝送路を通過する間に予測不能
な偏光の撹乱があってはならないことである。この撹乱
を避けるためにいわゆる偏光保存ファイバを用いること
はできない。偏光保存ファイバは直交する特定の２つの
偏光を保存するだけであり、４偏光状態暗号で用いられ
るような直交しない組合せも含む４つの偏光をすべて保
存することはできない。一方偏光を保持しないファイバ
は偏光の時間的揺らぎが避けられない。揺らぎを時間追
跡して偏光補償する技術はあるが、ただ１つの光子を送
受信する場合には適用できない。送信偏光が受信偏光に
誤って伝えられた場合、照合ビットの矛盾と秘密鍵生成
エラーの原因となる。すなわち、照合ビットの矛盾が発
見された場合、測定誤りと盗聴による２つの原因を峻別
しなければならないが、それは一般に困難であり、複雑
な誤り訂正手続きの導入が避けられない。更に盗聴でな
く測定誤りと判定され秘密鍵を破棄しない場合も、測定
誤りによる秘密鍵の生成エラーを起こしている可能性が
ある。

【００２３】次に、２コヒーレント状態暗号について説
明する。２コヒーレント状態暗号は２状態量子暗号の一
例である。詳細は文献：［10］C.H.Benett,Phys.Rev.Le
tt.68,3121（1992）、［11］B.Huttner,N.Imoto,N.Gisi
n,and T.Mro,Phys.Rev.A51,1863(1995）に述べられてお
り、文献［10］で提案された構成は図５に示すものであ
るが、説明のためにより簡略化した図４でまず説明す
る。

【００２４】図４において、送信者１は光パルス３を５
０％のビームスプリッタ１０で光パルス１１と１２に分
け、位相変調器１３を用いて光パルス１１の光位相を乱
数表６に従ってビット値が“０”ならば０、ビット値が
“１”ならば１８０度と変調し、光ファイバ１４と１５
からなる量子チャンネル４に送る。以下すべての量子暗
号において公開チャンネル５は共通であるので、以降本
明細書では省略する。

【００２５】受信者２は、５０％のビームスプリッタ１
６で光パルス１１および１２を干渉させる（実際は文献
［10］にも述べられているようにビームスプリッタ１０
および１６の反射率は５０％である必要はない）。ビー
ムスプリッタ１０からビームスプリッタ１６までは１つ
のマッハツェンダー干渉計を構成する。受信者２は光フ
ァイバ１４と１５の間の位相差θを適当に調節し、ビー
ムスプリッタ１６においてビット値“０”のパルスは受
光器１７側がダークフリンジに、ビット値“１”のパル
スは受光器１８側がダークフリンジになるようにする。

【００２６】２コヒーレント状態暗号では、光パルス３
に含まれる平均光子数が１よりずっと小さい（例えば
０．１の）コヒーレント状態の光を用いる。これは光パ
ルス３に含まれる光子の数が２以上になる確率をできる
限り０に近づけるためである。平均光子数が１よりずっ
と小さいので、パルス到着時に受光器１７と１８の何れ
にも光子がカウントされないケースがほとんどとなるの
で、ほとんどの場合受信者２にとってビット値判定不能
となる。しかし、受光器１７でカウントされた場合はビ
ット値は“１”、受光器１８でカウントされた場合は
“０”であると確定的に結論することができる。以上の
ことから次のようなプロトコルで秘密鍵交換が可能であ
る。

【００２７】ステップ１：送信者１は乱数表６に従って
光パルス１１の位相を位相変調器１３を用いて変調し、
送る。

【００２８】ステップ２：受信者２は受光器１７と１８
で光子のカウンティングを行う。カウントした場合、受
光器１７と１８のどちらでカウントしたかは言わず、カ
ウントした事実だけを公開チャンネルで送信者１に告げ
る。

【００２９】ステップ３：盗聴がないと仮定すれば、送
信者は受信者が受光器１７と１８のどちらでカウントし
たか知っているので、そのようなビット列から適当な割
合で照合ビットを抽出し、それぞれの答合わせを（公開
チャンネル５で）行う。十分な数の照合ビットが一致す
れば、後で述べる理由により１に近い確率で盗聴されて
いないと結論づけられる。

【００３０】ステップ４：照合ビットを除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００３１】このスキームに対し盗聴者が何ができるか
を考える。量子チャンネル４にアクセスして二手に分か
れた光パルスの位相差を測定するためには、受信者と同
様干渉させて光子カウンティングを行う必要がある。た
またまカウンティングに成功すれば、送信者と同じ装置
を用いて送信者が送ったのと同じ並列２パルスを送るこ
とができる。しかし、ほとんどのパルスで光子がカウン
トされないので、その場合は偽のパルスを何も送らない
か、ランダムな位相差を持った偽のパルスを送るかしか
ない。前者の場合、伝送レートが本来値から下がり、後
者の場合照合ビットの矛盾を引き起こし、いずれにせよ
送信者と受信者から検知される。

【００３２】２コヒーレント状態量子暗号を実用化する
際には、長い伝送路を含むマッハツェンダー干渉計にお
いて、伝送路の揺らぎによる位相差揺らぎをいかに安定
化するかが重要となる。図４のように２本の光ファイバ
を用いたのでは５００ｍを越すあたりから干渉計の安定
化は不可能となる［文献１２：井元信之「光子数の量子
非破壊測定の研究」博士論文（東京大学）］。そこで光
パルス１１と１２に時間差をつけて１本の光ファイバに
通すことが考えられる［文献１０］。

【００３３】図５にその場合の構成を示す。図５におい
て、送信者１は光パルス３を偏光ビームスプリッタ１９
により直交する偏光関係にある等強度のパルス１１と１
２に分ける。パルス１１を位相変調器１３で変調し、パ
ルス１２はそのまま偏光ビームスプリッタ２０を介して
偏光保存ファイバ４に入射する。このようにしてパルス
１１と１２は遅延を持った二連パルスとして光ファイバ
４の中を伝わり、受信者側では偏光ビームスプリッタ２
１で二連パルスを分離し、逆遅延をかけた後、偏光ビー
ムスプリッタ２２でパルス１１と１２を干渉させる。光
パルス１１と１２は光ファイバ４の中を伝搬する間に同
じ位相揺らぎを受けるので、干渉させるときには揺らぎ
が打ち消し合う。光ファイバの位相揺らぎの周波数特性
は約１ＧＨｚまでと考えられるので、その揺らぎの影響
を受けないためには、パルス１１と１２の間隔は１ｎｓ
以下でなければならない。この場合の困難は、そのよう
な極短二連パルスを可干渉性を失わないように発生する
ことにある。

【００３４】次に、４コヒーレント状態暗号について説
明する。４コヒーレント状態暗号は、上述した４偏光状
態暗号と２コヒーレント状態暗号の特長を組合せ、いず
れよりも大幅な性能改善を図ったものであり、詳細は文
献１１に述べられている。構成的には図４の２コヒーレ
ント状態暗号において位相変調を０度、９０度、１８０
度、２７０度の４種類を用い、プロトコルとしては受信
者が光子をカウントしたか否かの事実に加えて（０度、
１８０度）のペアと（９０度、２７０度）のペアのいず
れを選択したかを送信者と受信者が突き合わせるという
プロトコルを付加した暗号である。詳しい動作および性
能の比較は文献１１に詳しく解析されている。容易に推
測されるように、この量子暗号法の欠点は上述した２コ
ヒーレント状態暗号と同じ欠点を有している。

【００３５】次に、時間差干渉暗号について説明する。
時間差干渉暗号は図４に示すようにマッハツェンダー干
渉計を用いる点で図４の２コヒーレント状態暗号に類似
しているが、他の量子暗号が非直交状態を用いるのに対
し、直交する状態のみを用いる点が特徴的である。詳細
は文献：［13］Goldenberg and Vaidmann:Phys.Rev.Let
t.75,1239(1995）に述べられているが、以下簡単に説明
する。図６に示すように、送信者１はビット“０”の場
合はポートＡ側から、ビット“１”の場合はポートＢ側
から光パルス３を入れ、乱数表６を送る。光パルス３は
光子をただ１つ含むとする。光パルス３は５０％ビーム
スプリッタ１０で二手に分かれ、光パルス１１はそのま
ま光ファイバ１４に、光パルス１２は長い遅延２３を経
て光ファイバ１５に入る。遅延を伝送距離より長くして
おくことにより光パルス１１が受信者側に到着した後光
パルス１２が伝送路部に入る。

【００３６】受信者側では光パルス１１に遅延２３と同
じ長さの遅延２４を設ける。これにより５０％ビームス
プリッタ１６において光パルス１１と１２は干渉し、ポ
ートＡ側から入射した光パルス３はポートＡ’に、ポー
トＢ側から入射した光パルス３はポートＢ’に出射す
る。受信者２は単にポートＡ’かＢ’かを見ているだけ
で送信者１の乱数表６を再生できる。照合ビットの棄却
や伝送損失による光子の欠落を除き、送信者と受信者は
秘密鍵７を構築できる。盗聴者は伝送路部で光パルス１
１と１２に同時にアクセスすることはできず、光パルス
１１を測定・加工した後、光パルス１２を測定・加工す
ることしかできない。文献１３に詳しく述べられている
通り、この制約の下ではビット“０”と“１”を破壊せ
ずに読み取る手段がない。

【００３７】文献１３にも述べられている通り、この量
子暗号は直交する状態のみを用いるという原理的興味で
提案されたもので、実用性には乏しい。時間差を設ける
ことが本質的であるので図５のような二連パルスを使う
ことができず、二本の伝送路を用いる以外にない。その
ようなマッハツェンダー干渉計を安定化するためには伝
送距離を数百ｍ以下とせざるを得ない。

【００３８】次に、二光子干渉暗号について説明する。
二光子干渉暗号はフランソン干渉計と呼ばれる二光子干
渉計を利用する量子暗号で、文献：１４［A.E.Ekert et
al.,Phys.Rev.Lett.69,1293（1992）］で提案された。
図７はその動作を説明する図である。２４は光パラメト
リック増幅器であり、角振動数ω_p のポンプ光と呼ばれ
る光子２５を吸収し、角振動数ω_A とω_B の光子を１つ
ずつ発生する。それぞれの光子パルスを２６および２７
とする。光子パルス２６は光ファイバ２８に送られ、遅
延２９を通過後受光器３０または３１でカウントされ
る。光子パルス２７は光ファイバ３２に送られ、遅延３
３を通過後受光器３４または３５でカウントされる。遅
延２９から先は送信者側、遅延３３から先は受信者側で
ある。図のように送信者１と受信者２について対称な構
成であるので、送信者あるいは受信者という名称は最良
ではないが、他の量子暗号と用語を統一するためこれら
の名称を用いる。位相差θ_A は送信者側で調節し、位相
差θ_B は受信者側で調節する。光パラメトリック増幅器
２４は送信者側と受信者側のいずれに回してもよいが、
盗聴者はアクセスできないようにしておく。今、送信者
と受信者が（θ_A ＋θ_B ＝０）となるように位相調整す
ることを取り決めれば、フランソン干渉計の原理すなわ
ち遠隔量子相関により、受光器３０と３５で光子が同時
カウントされる確率や受光器３１と３４で同時カウント
される確率は０となる。従って受光器３０と３４で同時
カウントがあるか、受光器３１と３５で同時カウントが
あるか、あるいは同時カウントがないかのいずれかしか
起きない。そこで、送信者と受信者が同時にカウントし
たか否かのみを公開チャンネルで確認し合うだけで、送
信者と受信者はそれぞれどの受光器でカウントしたかを
互いに知る。このようにして共通の乱数表を構築できる
ので、ときどきビット照合して盗聴のないことを確認し
た残りのビットを秘密鍵として採用することができる。
この方式では乱数表を用いて送信者が何らかの物理量を
意図的に変調するプロセスはない。なぜならば、受光器
３１と受光器３４で光子の同時カウントがあるか受光器
３１と受光器３５で光子の同時カウントがあるかは、量
子力学的確率過程として決まるからである。

【００３９】この量子暗号は実用的見地から優れた特徴
をいくつか有している。まず、θ_Aとθ_B が空間的にま
ったく独立であり、大きなマッハツェンダー干渉計の内
部にあるわけではないので、伝送路の揺らぎと無関係に
送信者と受信者が独立に調整できることである。また、
偏光を使っていないので、任意偏光を保存する必要はな
く、特定の偏光を保存する偏光保存ファイバを使うこと
ができる。このためフランソン干渉計の安定化は極めて
容易であり、しかも送信者と受信者が別個に安定化すれ
ばよい。

【００４０】この量子暗号の実用上の問題点は、遠く離
れた送信者と受信者がカウントした光子が同時刻にカウ
ントされたか遅延があったかを区別しなければならない
ことにある。遅延２８および３２はナノ秒のオーダーで
あるから（それ以上長くするとθ_A やθ_B の揺らぎを生
ずる）、その程度の時間分解能で送信者と受信者のクロ
ックを同期させる必要がある。これは一般に高価な設備
を必要とする。

【００４１】

【発明が解決しようとする課題】上述したように、従来
の量子暗号法のうち、４偏光状態暗号は、任意の偏光を
保存するファイバを必要とするという問題がある。ま
た、２コヒーレント状態暗号、４コヒーレント状態暗
号、および時間差干渉暗号は、長距離マッハツェンダー
干渉計の安定化を必要とし、更に二光子干渉暗号は、送
信者と受信者間で高精度の同期クロックを必要とすると
いう問題がある。

【００４２】本発明は、上記に鑑みてなされたもので、
その目的とするところは、偏光を使用せず、遠隔量子相
関を利用し、同時刻性測定を受信者側のみで行うことに
より高精度同期クロックを必要としない量子暗号の構成
方法を提供することにある。

【００４３】

【課題を解決するための手段】上記目的を達成するた
め、請求項１記載の本発明は、量子力学状態を変調した
第１の信号を伝える量子チャンネルと、古典状態を変調
した第２の信号を伝える古典チャンネルを用い、不確定
性原理に基づいて盗聴行為によって前記第１の信号に発
生する撹乱の有無を前記古典チャンネルで監視しなが
ら、乱数表を送信側より受信側に伝送し、前記乱数表を
秘密鍵とする量子暗号の構成方法において、送信側にお
いて、同一の時間幅を有し、前記時間幅より長いコヒー
レント時間を有し、それぞれが１つの光子からなる第１
および第２の光パルスを発生し、前記第１の光パルスを
２つの光路に分岐し、分岐後の光パルスの一方に前記時
間幅より長く前記コヒーレント時間より短い第１の時間
遅延を施した後、分岐した他方の光パルスの光路に合流
させ、合流した光路が取り得る２つの光路のうちの１つ
の光路を第１の量子チャンネルに光学的に接続し、前記
第２の光パルスを第２の量子チャンネルに入力し、受信
側においては、前記第１の量子チャンネルの出力を第１
の光検出手段に入力し、前記第２の量子チャンネルの出
力を２つの光路に分岐し、分岐後の光パルスの一方に、
前記第１の時間遅延との差が前記時間幅より小さい第２
の時間遅延を施した後、分岐した他方の光パルスの光路
に合流させ、合流した光路が取り得る２つの光路の一方
を第２の光検出手段に入力し、他方の光路を第３の光検
出手段に入力し、前記第１の光検出手段と第２または第
３の光検出手段で信号が同時に検出され、しかも前記第
１の時間遅延が与える位相差と第２の時間遅延が与える
位相差が特定の組合せであったか否かを古典チャンネル
により確認し、特定の組合せであった場合のみ、１ビッ
トの信号を登録することを要旨とする。

【００４４】請求項１記載の本発明にあっては、送信側
において、第１および第２の光パルスを発生し、第１の
光パルスを２つの光路に分岐し、分岐後の光パルスの一
方に第１の時間遅延を施して、他方の光パルスの光路に
合流させ、合流した光路が取り得る２つの光路のうちの
１つの光路を第１の量子チャンネルに光学的に接続し、
第２の光パルスを第２の量子チャンネルに入力し、受信
側においては、第１の量子チャンネルの出力を第１の光
検出手段に入力し、第２の量子チャンネルの出力を２つ
の光路に分岐し、分岐後の光パルスの一方に第２の時間
遅延を施し、他方の光パルスの光路に合流させ、合流し
た光路が取り得る２つの光路の一方を第２の光検出手段
に入力し、他方の光路を第３の光検出手段に入力し、第
１の光検出手段と第２または第３の光検出手段で信号が
同時に検出され、しかも第１の時間遅延が与える位相差
と第２の時間遅延が与える位相差が特定の組合せであっ
たか否かを古典チャンネルにより確認し、特定の組合せ
であった場合のみ、１ビットの信号を登録する。

【００４５】また、請求項２記載の本発明は、請求項１
記載の発明において、前記第１および第２の光パルスを
光パラメトリック増幅または原子のカスケード遷移によ
って発生することを要旨とする。

【００４６】更に、請求項３記載の本発明は、量子力学
状態を変調した第１の信号を伝える量子チャンネルと、
古典状態を変調した第２の信号を伝える古典チャンネル
を用い、不確定性原理に基づいて盗聴行為によって前記
第１の信号に発生する撹乱の有無を前記古典チャンネル
で監視しながら、乱数表を送信側より受信側に伝送し、
前記乱数表を秘密鍵とする量子暗号の構成方法におい
て、送信側において、ポンプ光子を光パラメトリック増
幅器に供給して、第１の光パルスおよび第２の光パルス
を発生し、第１の光子パルスを２つの光路に分岐し、分
岐された一方の光パルスに遅延手段で第１の時間遅延を
施し、分岐した他方の光パルスの光路に合流させ、合流
した光路が取り得る２つの光路のうちの１つの光路を光
ファイバからなる第１の量子チャンネルに光学的に接続
し、前記第２の光パルスを光ファイバからなる第２の量
子チャンネルに入力し、受信側においては、前記第１の
量子チャンネルの出力を第１の受光器に入力し、前記第
２の量子チャンネルの出力を２つの光路に分岐し、分岐
された一方の光パルスに遅延手段により第２の時間遅延
を施し、分岐した他方の光パルスの光路に合流させ、合
流した光路が取り得る２つの光路の一方を第２の受光器
に入力し、他方の光路を第３の受光器に入力し、前記第
１の受光器と第２または第３の受光器で信号が同時に検
出され、しかも前記第１の時間遅延が与える位相差と第
２の時間遅延が与える位相差が特定の組合せであったか
否かを古典チャンネルにより確認し、特定の組合せであ
った場合のみ、１ビットの信号を登録することを要旨と
する。

【００４７】請求項３記載の本発明にあっては、送信側
において、ポンプ光子を光パラメトリック増幅器に供給
して第１の光パルスおよび第２の光パルスを発生し、第
１の光子パルスを２つの光路に分岐し、一方の光パルス
に第１の時間遅延を施し、他方の光パルスの光路に合流
させ、合流した光路が取り得る２つの光路のうちの１つ
の光路を光ファイバからなる第１の量子チャンネルに光
学的に接続し、第２の光パルスを光ファイバからなる第
２の量子チャンネルに入力し、受信側においては、第１
の量子チャンネルの出力を第１の受光器に入力し、第２
の量子チャンネルの出力を２つの光路に分岐し、一方の
光パルスに第２の時間遅延を施し、他方の光パルスの光
路に合流させ、合流した光路が取り得る２つの光路の一
方を第２の受光器に入力し、他方の光路を第３の受光器
に入力し、第１の受光器と第２または第３の受光器で信
号が同時に検出され、しかも第１の時間遅延が与える位
相差と第２の時間遅延が与える位相差が特定の組合せで
あったか否かを古典チャンネルにより確認し、特定の組
合せであった場合のみ、１ビットの信号を登録する。

【００４８】

【発明の実施の形態】以下、図面を用いて本発明の実施
の形態について説明する。

【００４９】図１（ａ）は、本発明の一実施形態に係る
量子暗号の構成方法を説明する図である。同図に示す本
実施形態の量子暗号の構成方法は、フランソン干渉計の
原理をベースに新しい量子暗号の構成およびプロトコル
を考案したものであり、偏光を使用せず、遠隔量子相関
を利用し、同時刻性測定を受信者側のみで行うことによ
り高精度同期クロックを不要にしたものであり、従来の
二光子干渉量子暗号の優れた特徴をそのまま保有してい
るものである。

【００５０】図１（ａ）において、送信者１は光パラメ
トリック増幅器２４を用い、角振動数ω_p のポンプ光子
２５を角振動数ω_A の光子２６と角振動数ω_B の光子２
７を発生する。光子２６は遅延２９を通過後光ファイバ
２８に送り、光子２７はそのまま光ファイバ３２に送
る。受信側では光子２６をそのまま受光器３１でカウン
トし、光子２７は遅延３３を通過後受光器３４または３
５でカウントする。位相差θ_A は送信者側で変調（固定
調節でなくビット毎に）し、位相差θ_B は受信者側で変
調する。その取り決めについては後述する。

【００５１】フランソン干渉計の原理、すなわち遠隔量
子相関によれば、θ_A ＋θ_B が０または１８０度の場合
は、同時カウントがあるとすれば受光器３１と３４に限
られ、θ_A ＋θ_B が９０度または２７０度の場合は、同
時カウントがあるとすれば受光器３１と３５に限られ
る。この事実を用いることにより、４偏光状態暗号プロ
トコルと類似のプロトコルを用いて量子暗号を実現する
ことができる。

【００５２】まず、送信者１は二種類の変調法から１つ
を選択する。変調法１ではビット“０”のときθ_A ＝
０、“１”のときθ_A ＝１８０度とし、変調法２ではビ
ット“０”のときθ_A ＝９０度、“１”のときθ_A ＝２
７０度とする。変調法１と２に対応し、受信者側では復
調法１としてθ_B ＝０、復調法２としてθ_B ＝９０度の
うちから選択する。送信者と受信者の選択の可能な組合
せに対し同時カウントが起こり得る受光器のペアを図１
（ａ）に示した。この図から、送信者の変調法と受信者
の復調法が一致した場合にのみ、同時カウントのある受
光器ペアが一意に定まることが分かる。変調法と復調法
が一致しない場合は情報の伝達が行われない。具体的プ
ロトコルは次の通りである。

【００５３】ステップ１：送信者１はランダムに変調法
を選択し、乱数表６に従ってθ_Aを変調する。

【００５４】ステップ２：受信者２は送信者１と独立に
ランダムに復調法を選択し、θ_Bを設定する。受光器３
１と３４または３１と３５のいずれかのペアで光子の同
時カウントが起こり得る。

【００５５】ステップ３：同時カウントを観測する毎に
（あるいは後でまとめて交信してもよいが）受信者２は
どちらの復調法を選択したか、公開チャンネルで明らか
にする。送信者１はそれを聞き、受信者２の復調法選択
が正しかったか否かを受信者２に明らかにする。

【００５６】ステップ４：送信者１と受信者２は双方が
対応する変復調法を選択した約半分のビットだけを採用
し、後の半分は捨てる。盗聴がなければ双方に同じ乱数
表が形成されているはずである。

【００５７】ステップ５：送信者１と受信者２は残った
ビットのうち適当な割合で照合ビットを抽出し、それぞ
れの答合わせを行う。十分な数の照合ビットが一致すれ
ば１に近い確率で盗聴されていないと結論づけられる。

【００５８】ステップ６：照合ビットも除いたビットは
送信者１と受信者２しか知らない同一の値を有すること
が保証されているので、それを秘密鍵７と決定する。

【００５９】

【発明の効果】以上説明したように、本発明によれば、
位相差θ_A とθ_B が空間的にまったく独立で伝送路の揺
らぎと無関係に送信者と受信者が独立に調整できるの
で、長距離マッハツェンダー干渉計の安定化のような送
信者と受信者を包括して調整を行う必要がない。また、
偏光を使っていないので、任意の偏光を保存する光ファ
イバを要求しない。更に、本発明では光子の同時カウン
トを受信者側のみで行うため、受信者がローカルなクロ
ックを持っていればよい。これは送信者と受信者の間で
高精度の同期クロックが必要であった従来の二光子干渉
量子暗号と大きく異なる点である。このように、本発明
は上述した従来の量子暗号の欠点をすべてクリアする新
しい量子暗号の構成方法を実現することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る量子暗号の構成方法
を説明するための図および本実施形態における光子の同
時カウンティングがあり得る受光器対を示す図である。

【図２】従来の量子暗号である４偏光状態暗号を説明す
るための図である。

【図３】図２に示す４偏光状態暗号におけるコーディン
グ法およびビット値との対応する偏光状態を示す図であ
る。

【図４】従来の量子暗号である２コヒーレント状態暗号
を説明するための図である。

【図５】従来の量子暗号である２コヒーレント状態暗号
を説明するための図である。

【図６】従来の量子暗号である時間差干渉暗号を説明す
るための図である。

【図７】従来の量子暗号である二光子干渉暗号を説明す
るための図である。

【符号の説明】

１ 送信者 ２ 受信者 ２５ ポンプ光子 ２８，３２ 光ファイバ ２９，３３ マッハツェンダー型遅延 ３１，３４，３５ 受光器

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/08 Ｈ０４Ｌ 9/00 ６０１Ｃ 9/38 ６９１

Claims (3)

【特許請求の範囲】
1. 【請求項１】 量子力学状態を変調した第１の信号を伝
   える量子チャンネルと、古典状態を変調した第２の信号
   を伝える古典チャンネルを用い、不確定性原理に基づい
   て盗聴行為によって前記第１の信号に発生する撹乱の有
   無を前記古典チャンネルで監視しながら、乱数表を送信
   側より受信側に伝送し、前記乱数表を秘密鍵とする量子
   暗号の構成方法において、 送信側において、同一の時間幅を有し、前記時間幅より
   長いコヒーレント時間を有し、それぞれが１つの光子か
   らなる第１および第２の光パルスを発生し、 前記第１の光パルスを２つの光路に分岐し、分岐後の光
   パルスの一方に前記時間幅より長く前記コヒーレント時
   間より短い第１の時間遅延を施した後、分岐した他方の
   光パルスの光路に合流させ、合流した光路が取り得る２
   つの光路のうちの１つの光路を第１の量子チャンネルに
   光学的に接続し、 前記第２の光パルスを第２の量子チャンネルに入力し、 受信側においては、前記第１の量子チャンネルの出力を
   第１の光検出手段に入力し、 前記第２の量子チャンネルの出力を２つの光路に分岐
   し、分岐後の光パルスの一方に、前記第１の時間遅延と
   の差が前記時間幅より小さい第２の時間遅延を施した
   後、分岐した他方の光パルスの光路に合流させ、合流し
   た光路が取り得る２つの光路の一方を第２の光検出手段
   に入力し、他方の光路を第３の光検出手段に入力し、 前記第１の光検出手段と第２または第３の光検出手段で
   信号が同時に検出され、しかも前記第１の時間遅延が与
   える位相差と第２の時間遅延が与える位相差が特定の組
   合せであったか否かを古典チャンネルにより確認し、特
   定の組合せであった場合のみ、１ビットの信号を登録す
   ることを特徴とする量子暗号の構成方法。
2. 【請求項２】 前記第１および第２の光パルスを光パラ
   メトリック増幅または原子のカスケード遷移によって発
   生することを特徴とする請求項１記載の量子暗号の構成
   方法。
3. 【請求項３】 量子力学状態を変調した第１の信号を伝
   える量子チャンネルと、古典状態を変調した第２の信号
   を伝える古典チャンネルを用い、不確定性原理に基づい
   て盗聴行為によって前記第１の信号に発生する撹乱の有
   無を前記古典チャンネルで監視しながら、乱数表を送信
   側より受信側に伝送し、前記乱数表を秘密鍵とする量子
   暗号の構成方法において、 送信側において、ポンプ光子を光パラメトリック増幅器
   に供給して、第１の光パルスおよび第２の光パルスを発
   生し、 第１の光子パルスを２つの光路に分岐し、分岐された一
   方の光パルスに遅延手段で第１の時間遅延を施し、分岐
   した他方の光パルスの光路に合流させ、合流した光路が
   取り得る２つの光路のうちの１つの光路を光ファイバか
   らなる第１の量子チャンネルに光学的に接続し、 前記第２の光パルスを光ファイバからなる第２の量子チ
   ャンネルに入力し、 受信側においては、前記第１の量子チャンネルの出力を
   第１の受光器に入力し、 前記第２の量子チャンネルの出力を２つの光路に分岐
   し、分岐された一方の光パルスに遅延手段により第２の
   時間遅延を施し、分岐した他方の光パルスの光路に合流
   させ、合流した光路が取り得る２つの光路の一方を第２
   の受光器に入力し、他方の光路を第３の受光器に入力
   し、 前記第１の受光器と第２または第３の受光器で信号が同
   時に検出され、しかも前記第１の時間遅延が与える位相
   差と第２の時間遅延が与える位相差が特定の組合せであ
   ったか否かを古典チャンネルにより確認し、特定の組合
   せであった場合のみ、１ビットの信号を登録することを
   特徴とする量子暗号の構成方法。