JPWO2006078033A1 - 量子鍵配送方法、通信システムおよび通信装置 - Google Patents

量子鍵配送方法、通信システムおよび通信装置 Download PDF

Info

Publication number
JPWO2006078033A1
JPWO2006078033A1 JP2006553998A JP2006553998A JPWO2006078033A1 JP WO2006078033 A1 JPWO2006078033 A1 JP WO2006078033A1 JP 2006553998 A JP2006553998 A JP 2006553998A JP 2006553998 A JP2006553998 A JP 2006553998A JP WO2006078033 A1 JPWO2006078033 A1 JP WO2006078033A1
Authority
JP
Japan
Prior art keywords
data
communication device
information
quantum
amount
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2006553998A
Other languages
English (en)
Other versions
JP4862159B2 (ja
Inventor
渡辺　曜大
曜大 渡辺
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Inter University Research Institute Corp Research Organization of Information and Systems
Original Assignee
Inter University Research Institute Corp Research Organization of Information and Systems
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Inter University Research Institute Corp Research Organization of Information and Systems filed Critical Inter University Research Institute Corp Research Organization of Information and Systems
Priority to JP2006553998A priority Critical patent/JP4862159B2/ja
Publication of JPWO2006078033A1 publication Critical patent/JPWO2006078033A1/ja
Application granted granted Critical
Publication of JP4862159B2 publication Critical patent/JP4862159B2/ja
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H04L9/0858—Details about key distillation or coding, e.g. reconciliation, error correction, privacy amplification, polarisation coding or phase coding

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Electromagnetism (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Optical Communication System (AREA)

Abstract

本発明にかかる量子鍵配送方法は、送信データと受信データのエラー確率を推定するエラー確率推定ステップと、誤り訂正情報に基づいて受信データの誤りを訂正する誤り訂正ステップと、送信データと誤り訂正後の受信データが一致しているかどうかを判定する一致判定ステップと、量子通信路を通して盗聴者にもれた情報量を推定する情報量推定ステップと、を含み、さらに、処理の過程で公開通信路を介して公開した情報量および量子通信路を通して盗聴者にもれた情報量の推定値に基づいてデータを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする。

Description

本発明は、高度に安全性の保証された共通鍵を生成することが可能な量子鍵配送方法に関するものであり、特に、誤り訂正技術および秘匿性増強技術を適用することによって、量子状態について送信機および受信機に誤差があるような現実的な実装においても安全性を保証することのできる量子鍵配送方法および当該量子鍵配送を実現可能な通信装置に関するものである。
以下、従来の量子暗号システムについて説明する。近年、高速大容量の通信技術として光通信が広く利用されているが、このような光通信システムでは、光のオン／オフで通信が行われ、オンのときに大量の光子が送信されているため、量子効果が直接現れる通信系にはなっていない。
一方、量子暗号システムでは、通信媒体として光子を用い、不確定性原理等の量子効果が生じるように１個の光子で１ビットの情報を伝送する。このとき、盗聴者が、その偏光，位相等の量子状態を知らずに適当に基底を選んで光子を測定すると、その量子状態に変化が生じる。したがって、受信側では、この光子の量子状態の変化を確認することによって、伝送データが盗聴されたかどうかを認識することができる。
図９は、従来の偏光を利用した量子鍵配送の概要を示す図である。たとえば、水平垂直方向の偏光を識別可能な測定器では、量子通信路上の、水平方向（０°）に偏光された光と垂直方向（９０°）に偏光された光とを正しく識別する。一方、斜め方向（４５°，１３５°）の偏光を識別可能な測定器では、量子通信路上の、４５°方向に偏光された光と１３５°方向に偏光された光とを正しく識別する。
このように、各測定器は、規定された方向に偏光された光については正しく認識できるが、たとえば、斜め方向に偏光された光を水平垂直方向（０°，９０°）の偏光を識別可能な測定器にて測定すると、水平方向と垂直方向に偏光された光をそれぞれ５０％の確率でランダムに識別することになる。すなわち、識別可能な偏光方向に対応していない測定器を用いた場合には、その測定結果を解析しても、偏光された方向を正しく識別することができない。
図９に示す従来の量子鍵配送では、上記不確定性（ランダム性）を利用して、盗聴者に知られずに送信者と受信者との間で鍵を共有する（たとえば、非特許文献１参照）。なお、送信者および受信者は、量子通信路以外に公開通信路を使用することができる。
ここで、鍵の共有手順について説明する。まず、送信者は、乱数列（１，０の列：送信データ）を発生し、さらに送信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応，×：斜め方向に偏光された光を識別可能な測定器に対応）をランダムに決定する。その乱数列と送信コードの組み合わせで、送信する光の偏光方向が自動的に決まる。ここでは、０と＋の組み合わせで水平方向に偏光された光を、１と＋の組み合わせで垂直方向に偏光された光を、０と×の組み合わせで４５°方向に偏光された光を、１と×の組み合わせで１３５°方向に偏光された光を、量子通信路にそれぞれ送信する（送信信号）。
つぎに、受信者は、受信コード（＋：水平垂直方向に偏光された光を識別可能な測定器，×：斜め方向に偏光された光を識別可能な測定器）をランダムに決定し、量子通信路上の光を測定する（受信信号）。そして、受信コードと受信信号の組み合わせによって受信データを得る。ここでは、受信データとして、水平方向に偏光された光と＋の組み合わせで０を、垂直方向に偏光された光と＋の組み合わせで１を、４５°方向に偏光された光と×の組み合わせで０を、１３５°方向に偏光された光と×の組み合わせで１を、それぞれ得る。
つぎに、受信者は、自身の測定が送信側と同一の基底を用いた測定かどうか、すなわち、正しい測定器で行われたものかどうかを調べるために、受信コードを、公開通信路を介して送信者に対して送信する。受信コードを受け取った送信者は、測定が正しい測定器で行われたものかどうかを調べ、その結果を、公開通信路を介して受信者に対して返信する。
つぎに、受信者は、正しい測定器で受信した受信信号に対応する受信データだけを残し、その他を捨てる。この時点で、残された受信データは送信者と受信者との間で共有できている。
つぎに、送信者と受信者は、それぞれの通信相手に対して、共有データから選択した所定数のデータを、公開通信路を経由して送信する。そして、受け取ったデータが自身の持つデータと一致しているかどうかを確認する。たとえば、確認したデータの中に一致しないデータが１つでもあれば、盗聴者がいるものと判断して共有データを捨て、再度、鍵の共有手順を最初からやり直す。一方、確認したデータがすべて一致した場合には、盗聴者がいないと判断し、確認に使用したデータを捨て、残った共有データを送信者と受信者の共有鍵とする。
Bennett,C.H. and Brassard,G. : Quantum Cryptography : Public Key Distribution andCoin Tossing, In Proceedings of IEEE Conference on Computers, System and SignalProcessing, Bangalore, India, pp.175-179(DEC.1984).
しかしながら、上記図９に示す従来の量子鍵配送においては、誤り通信路を想定していないため、誤りがある場合には盗聴行為が存在したものとして上記共通データ（共通鍵）を捨てることとなり、伝送路によっては共通鍵の生成効率が非常に悪くなる、という問題があった。また、送信機または受信機のどちらか一方に誤差が存在するような場合には、安全性が保証されない、という問題もあった。
本発明は、上記に鑑みてなされたものであって、極めて高い特性を持つ誤り訂正符号を用いて伝送路上におけるデータ誤りを訂正することにより高い鍵生成効率を達成しつつ、さらに、送信機または受信機の特性に関する情報を考慮して盗聴者に漏れた情報量を見積もることにより、送信機および受信機に誤差があるような現実的な実装においても高度に安全性の保証された量子鍵配送方法を得ることを目的とする。
上述した課題を解決し、目的を達成するために、本発明にかかる量子鍵配送方法にあっては、基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信する第１の通信装置、および当該量子通信路上の量子状態を乱数列により規定された基底を用いて測定することによりデータを得る第２の通信装置、にて実行され、送信側と同一の基底を用いた測定により得られたデータを受信データとし、当該受信データに対応する乱数列を送信データとする量子鍵配送方法において、前記送信データおよび前記受信データからそれぞれ所定数の同一位置のデータを抽出し、抽出後の部分データの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定するエラー確率推定ステップと、前記エラー確率推定値と前記第１の通信装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定する情報量推定ステップと、を含み、各通信装置は、前記盗聴者にもれた情報量の推定値に基づいて圧縮した後の送信データおよび受信データを各通信装置間で共有の暗号鍵とすることを特徴とする。
つぎの発明にかかる量子鍵配送方法において、前記情報量推定ステップでは、前記エラー確率推定値と、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性と、に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定することを特徴とする。
つぎの発明にかかる量子鍵配送方法において、前記情報量推定ステップでは、第１の通信装置が持つ送信データおよび第２の通信装置が持つ受信データをそれぞれ所定の数に分割し、当該分割データのそれぞれに対して盗聴者にもれた情報量を推定することを特徴とする。
つぎの発明にかかる量子鍵配送方法においては、さらに、第１の通信装置が持つ送信データと第２の通信装置が持つ受信データが一致しているかどうかを判定するための所定の判定情報に基づいて判定処理を行い、当該判定結果が不一致の場合、前記各通信装置が持つデータを捨てる一致判定ステップ、を含み、前記一致判定ステップでは、前記第１の通信装置が、前記所定の判定情報として、「所定のランダム行列×第１の通信装置が持つ送信データ」の計算により特定ビット長の第１の判定情報を求め、当該第１の判定情報を、公開通信路を介して前記第２の通信装置に送信し、前記第２の通信装置が、前記所定の判定情報として、「所定のランダム行列×第２の通信装置が持つ受信データ」の計算により前記第１の判定情報と同一ビット長の第２の判定情報を求め、当該第２の判定情報を、公開通信路を介して前記第１の通信装置に送信し、その後、前記第１の通信装置が、前記判定処理として、前記第１の判定情報と前記第２の通信装置から得られた第２の判定情報とが一致しているかどうかを判定し、一方、前記第２の通信装置が、前記判定処理として、前記第２の判定情報と前記第１の通信装置から得られた第１の判定情報とが一致しているかどうかを判定することを特徴とする。
つぎの発明にかかる量子鍵配送方法において、２準位の量子系を前提とした場合、前記情報量推定ステップでは、解析の比較的容易な近似プロトコル（性質のよい量子状態を用いたプロトコル）と現実のプロトコル（現実の状況における送信誤差を含む量子状態を用いたプロトコル）の変動距離の上限値を計算する第１の工程と、前記近似プロトコルにおいて、現実とは反対の基底を用いた場合に、前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値を計算する第２の工程と、送信データを条件とした場合の受信データおよび盗聴情報の条件付確率の上限値を計算する第３の工程と、前記第２の工程にて得られる前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値、および前記第３の工程にて得られる条件付確率の上限値に基づいて、前記近似プロトコルにおける盗聴量を計算する第４の工程と、前記近似プロトコルにおける盗聴量、および前記第１の工程にて得られる変動距離の上限値に基づいて、現実のプロトコルにおける盗聴量を計算し、その結果を、前記量子通信路を通して盗聴者にもれた情報量とする第５の工程と、を含むことを特徴とする。
つぎの発明にかかる量子鍵配送方法において、２準位の量子系を前提とした場合、前記情報量推定ステップでは、解析の比較的容易な近似プロトコル（性質のよい演算子を用いたプロトコル）と現実のプロトコル（現実の状況における受信誤差を含む測定に対応する演算子を用いたプロトコル）の変動距離の上限値を計算する第１の工程と、前記近似プロトコルにおいて、現実とは反対の基底を用いた場合に、前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値を計算する第２の工程と、送信データを条件とした場合の受信データおよび盗聴情報の条件付確率の上限値を計算する第３の工程と、前記第２の工程にて得られる前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値、および前記第３の工程にて得られる条件付確率の上限値に基づいて、前記近似プロトコルにおける盗聴量を計算する第４の工程と、前記近似プロトコルにおける盗聴量、および前記第１の工程にて得られる変動距離の上限値に基づいて、現実のプロトコルにおける盗聴量を計算し、その結果を、前記量子通信路を通して盗聴者にもれた情報量とする第５の工程と、を含むことを特徴とする。
つぎの発明にかかる量子鍵配送方法において、前記情報量推定ステップでは、前記第１の通信装置が備える量子状態生成器の特性に基づいて、または、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定し、各通信装置は、前記鍵の持つ情報量の推定値に基づいてそれぞれが持つデータを圧縮し、圧縮後のデータを各通信装置間で共有の暗号鍵とすることを特徴とする。
つぎの発明にかかる量子鍵配送方法において、必ずしも２準位とは限らない量子系を前提とし、前記第２の通信装置の観測値として「０」、「１」の他に「非検出」という結果を想定し、さらに、全送信データをｘ［Ａ］とし、当該ｘ［Ａ］のうち第２の通信装置で検出できたデータ部分をｘ［Ｄ］とし、当該ｘ［Ｄ］のうち送信側と受信側で用いた基底が一致した部分をｘ［Ｃ］とし、前記エラー確率推定ステップにて用いた部分データをｘ［Ｒ］とし、共有鍵生成用の部分データ（ｘ［Ｃ］−ｘ［Ｒ］）をｘ［Ｋ］とした場合（Ａ、Ｄ、Ｃ、Ｋ、Ｒはビット位置を示す部分集合に相当）、量子状態を、鍵の持つ情報量ができるだけ大きく見積もれるように、ヒルベルト空間上の第１の密度演算子を含む部分（部分集合Ｋのうちの部分Ｌに相当）、第２の密度演算子を含む部分（部分集合Ｋのうちの部分Ｍ（＝Ｋ−Ｌ）に相当）に分解する第１の工程と、前記部分Ｍの持つ情報量を見積もる第２の工程と、前記部分Ｌの持つ情報量を見積もる第３の工程と、前記部分Ｍの持つ情報量と前記部分Ｌの持つ情報量とを用いて前記部分Ｋの持つ情報量を計算する第４の工程と、を含むことを特徴とする。
つぎの発明にかかる量子鍵配送方法は、２つの非直交量子状態を用いる量子鍵配送方式に対して適用可能とすることを特徴とする。
つぎの発明にかかる通信システムは、基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信する第１の通信装置と、当該量子通信路上の量子状態を乱数列により規定された基底を用いて測定することによりデータを得る第２の通信装置と、から構成され、前記第２の通信装置が、前記第１の通信装置と同一の基底を用いた測定により得られたデータを受信データとし、前記第１の通信装置が、当該受信データに対応する乱数列を送信データとする量子鍵配送を実現する通信システムであって、前記第１の通信装置は、前記送信データから所定数の第１の部分データを抽出し、一方で、前記第２の通信装置から前記第１の部分データと同一位置の第２の部分データ（前記受信データから抽出された部分データ）を受信し、両方の部分データの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定し、その後、前記エラー確率推定値と自装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定し、そして、当該盗聴者にもれた情報量の推定値に基づいて圧縮した後の送信データを各通信装置間で共有の暗号鍵とする第１の共有鍵生成手段、を備え、前記第２の通信装置は、前記第２の部分データと前記第１の通信装置から受信した前記第１の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定し、その後、前記エラー確率推定値と前記第１の通信装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定し、そして、当該盗聴者にもれた情報量の推定値に基づいて圧縮した後の受信データを各通信装置間で共有の暗号鍵とする第２の共有鍵生成手段、を備えることを特徴とする。
つぎの発明にかかる通信システムにおいて、前記第１および第２の共有鍵生成手段は、前記エラー確率推定値と、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性に関する情報、に基づいて、量子通信路を通して盗聴者にもれた情報量を推定することを特徴とする。
つぎの発明にかかる通信システムにおいて、前記第１および第２の共有鍵生成手段は、さらに、第１の通信装置が持つ送信データと第２の通信装置が持つ受信データが一致しているかどうかを判定するための所定の判定情報に基づいて判定処理を行い、当該判定結果が不一致の場合、前記各通信装置が持つデータを捨てる処理を実行し、前記判定処理では、前記第１の共有鍵生成手段が、前記所定の判定情報として、「所定のランダム行列×第１の通信装置が持つ送信データ」の計算により特定ビット長の第１の判定情報を求め、当該第１の判定情報を、公開通信路を介して前記第２の通信装置に送信し、前記第２の共有鍵生成手段が、前記所定の判定情報として、「所定のランダム行列×第２の通信装置が持つ受信データ」の計算により前記第１の判定情報と同一ビット長の第２の判定情報を求め、当該第２の判定情報を、公開通信路を介して前記第１の通信装置に送信し、その後、前記第１の共有鍵生成手段が、前記第１の判定情報と前記第２の通信装置から得られた第２の判定情報とが一致しているかどうかを判定し、一方、前記第２の共有鍵生成手段が、前記第２の判定情報と前記第１の通信装置から得られた第１の判定情報とが一致しているかどうかを判定することを特徴とする。
つぎの発明にかかる通信装置にあっては、基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置において送信側と同一の基底を用いた測定により得られたデータ、に対応する乱数列を第１の送信データとする送信側の通信装置であって、たとえば、前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、前記推定エラー確率および送信機または受信機の特性に関する情報から量子通信路を通して盗聴者にもれた情報量を推定する推定機能と、前記盗聴者にもれた情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
つぎの発明にかかる通信装置にあっては、量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、量子状態送信側と同一の基底を用いた測定により得られたデータを第１の受信データとする量子状態受信側の通信装置であって、たとえば、前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、前記推定エラー確率および送信機または受信機の特性に関する情報から量子通信路を通して盗聴者にもれた情報量を推定する推定機能と、前記盗聴者にもれた情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
つぎの発明にかかる通信装置にあっては、基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置において送信側と同一の基底を用いた測定により得られたデータ、に対応する乱数列を第１の送信データとする送信側の通信装置であって、前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、量子状態生成器の特性に基づいて、または、当該量子状態生成器および前記受信側の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、前記鍵の持つ情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
つぎの発明にかかる通信装置にあっては、量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、量子状態送信側と同一の基底を用いた測定により得られたデータを第１の受信データとする量子状態受信側の通信装置であって、前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、前記送信側の通信装置が備える量子状態生成器の特性に基づいて、または、当該量子状態生成器および量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、前記鍵の持つ情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
つぎの発明にかかる通信装置にあっては、データに対応する乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置における測定結果と一致も直交もしない量子状態、に対応する乱数列を第１の送信データとする送信側の通信装置にであって、前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、量子状態生成器の特性に基づいて、または、当該量子状態生成器および前記受信側の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、前記鍵の持つ情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
つぎの発明にかかる通信装置にあっては、量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、送信側の量子状態と一致も直交もしない測定結果、に対応するデータを第１の受信データとする量子状態受信側の通信装置であって、前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、前記送信側の通信装置が備える量子状態生成器の特性に基づいて、または、当該量子状態生成器および量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、前記鍵の持つ情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、を有することを特徴とする。
この発明によれば、上記エラー確率推定ステップと誤り訂正ステップと一致判定ステップと情報量推定ステップとを実行し、さらに処理の過程で公開通信路を介して公開した情報量および量子通信路を通して盗聴者にもれた情報量の推定値に基づいてデータを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とすることとした。特に、量子通信路を通して盗聴者にもれた情報量に関しては、送信機および受信機の特性に基づいて推定することとした。これにより、現実的な実装においても、高度に安全性の保証された共通鍵を効率良く生成することができる、という効果を奏する。
図１は、本発明にかかる量子暗号システムにおける通信装置の構成を示す図である。 図２−１は、本発明の量子鍵配送を示すフローチャートである。 図２−２は、本発明の量子鍵配送を示すフローチャートである。 図３は、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法の一例を示すフローチャートである。 図４は、有限アフィン幾何符号ＡＧ（２，２2）のマトリクスを示す図である。 図５は、シンドローム生成部にて生成したＳAを示す図である。 図６−１は、情報ＭPCｘ（ｎ−ｋ）を示す図である。 図６−２は、情報ＭPCｙ（ｎ−ｋ）´を示す図である。 図７−１は、送信データｘ´を示す図である。 図７−２は、受信データｙ´を示す図である。 図８−１は、送信側の通信装置にて生成した暗号鍵ｒを示す図である。 図８−２は、受信側の通信装置にて生成した暗号鍵ｒを示す図である。 図９は、従来の偏光を利用した量子鍵配送の概要を示す図である。
符号の説明
１，３ 暗号鍵生成部
２，４ 通信部
１０，３０ パリティ検査行列生成部
１１，３１ 乱数発生部
１２ 光子生成部
１３，３４ 公開通信路通信部
１４ シンドローム生成部
１５，３５ 共有鍵生成部
２１，４２ 暗号化部
２２，４１ 送受信部
３２ 光子受信部
３３ シンドローム復号部
以下に、本発明にかかる量子鍵配送方法および通信装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。
量子鍵配送は、盗聴者の計算能力によらず、安全性の保証された鍵配送方式であるが、たとえば、より効率よく共有鍵を生成するためには、伝送路を通ることによって発生するデータの誤りを取り除く必要がある。そこで、本実施例では、極めて高い特性をもつことが知られている低密度パリティ検査（ＬＤＰＣ：Low-Density
Parity-Check）符号を用いて誤り訂正を行う場合の量子鍵配送について説明する。
図１は、本発明にかかる量子暗号システムにおける通信装置（送信機，受信機）の構成を示す図である。この量子暗号システムは、情報ｘを送信する機能を備えた送信側の通信装置と、伝送路上で雑音等の影響を受けた情報ｘ、すなわち、情報ｙを受信する機能を備えた受信側の通信装置と、を備えている。
また、送信側の通信装置は、量子通信路を介して情報ｘを送信し、さらに公開通信路を介して送受信する情報および盗聴者にもれた情報量（見積もり量）に基づいて暗号鍵（受信側との共通鍵）を生成する暗号鍵生成部１と、暗号化部２１が暗号鍵に基づいて暗号化したデータを、送受信部２２が公開通信路を介してやりとりする通信部２と、を備え、受信側の通信装置は、量子通信路を介して情報ｙを受信し、さらに公開通信路を介して送受信する情報および盗聴者にもれた情報量（見積もり値）に基づいて暗号鍵（送信側との共通鍵）を生成する暗号鍵生成部３と、暗号化部４２が暗号鍵に基づいて暗号化したデータを、送受信部４１が公開通信路を介してやりとりする通信部４と、を備えている。
また、上記暗号鍵生成部１は、パリティ検査行列生成部１０と、乱数発生部１１と、光子生成部１２と、公開通信路通信部１３と、シンドローム生成部１４と、共有鍵生成部１５と、を備え、上記暗号鍵生成部３は、パリティ検査行列生成部３０と、乱数発生部３１と、光子受信部３２と、シンドローム復号部３３と、公開通信路通信部３４と、共有鍵生成部３５と、を備えている。なお、上記暗号鍵生成部１および３において用いる量子状態は、光子の偏光に限定する必要はなく、２準位の量子系であればどのようなものを用いてもよい。
上記送信側の通信装置では、量子通信路上に送信する情報ｘとして、偏光フィルターを用いて所定の方向に偏光させた光（図９参照）を、受信側の通信装置に対して送信する。一方、受信側の通信装置では、水平垂直方向（０°，９０°）の偏光を識別可能な測定器と斜め方向（４５°，１３５°）の偏光を識別可能な測定器とを用いて、量子通信路上の、水平方向（０°）に偏光された光と垂直方向（９０°）に偏光された光と４５°方向に偏光された光と１３５°方向に偏光された光とを識別する。なお、各測定器は、規定された方向に偏光された光については正しく認識できるが、たとえば、斜め方向に偏光された光を水平垂直方向（０°，９０°）の偏光を識別可能な測定器にて測定すると、水平方向と垂直方向に偏光された光をそれぞれ５０％の確率でランダムに識別することになる。すなわち、識別可能な偏光方向に対応していない測定器を用いた場合には、その測定結果を解析しても、偏光された方向を正しく識別することができない。
以下、上記量子暗号システムにおける各通信装置の動作、すなわち、本実施例における量子鍵配送について詳細に説明する。図２は、本実施例の量子鍵配送を示すフローチャートであり、詳細には、図２−１は送信側の通信装置の処理を示し、図２−２は受信側の通信装置の処理を示す。
まず、上記送信側の通信装置および受信側の通信装置では、パリティ検査行列生成部１０，３０が、特定の線形符号のパリティ検査行列Ｈ（ｎ列×ｋ行）を求め、このパリティ検査行列Ｈから「ＨＧ＝０」を満たす生成行列Ｇ（（ｎ−ｋ）列×ｎ行）を求め、さらに、Ｇ-1・Ｇ＝Ｉ（単位行列）となるＧの逆行列Ｇ-1（ｎ列×（ｎ−ｋ）行）を求める（ステップＳ１，ステップＳ１１）。本実施例では、上記特定の線形符号として、シャノン限界に極めて近い優れた特性をもつＬＤＰＣ符号を用いた場合の量子鍵配送について説明する。なお、本実施例では、誤り訂正方式としてＬＤＰＣ符号を用いることとしたが、これに限らず、たとえば、ターボ符号等の他の線形符号を用いることとしてもよい。また、たとえば、後述する誤り訂正情報（シンドローム）と情報ｘの線形性が確保されるのであれば、どのような行列Ｈを用いてもよい。
ここで、上記パリティ検査行列生成部１０におけるＬＤＰＣ符号の構成法について、詳細には、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法（図２ステップＳ１の一例）について説明する。図３は、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法の一例を示すフローチャートである。なお、パリティ検査行列生成部３０については、パリティ検査行列生成部１０と同様の処理を行うのでその説明を省略する。また、本実施例における検査行列生成処理は、たとえば、設定されるパラメータに応じてパリティ検査行列生成部１０で実行する構成としてもよいし、通信装置外部の他の制御装置（計算機等）で実行することとしてもよい。本実施例における検査行列生成処理が通信装置外部で実行される場合は、生成済みの検査行列が通信装置に格納される。以降の実施例では、パリティ検査行列生成部１０で検査行列生成処理を実行する場合について説明する。
まず、パリティ検査行列生成部１０では、「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用の検査行列のベースとなる有限アフィン幾何符号ＡＧ（２，２s）を選択する（図３、ステップＳ２１）。ここでは、行の重みと列の重みがそれぞれ２sとなる。図４は、たとえば、有限アフィン幾何符号ＡＧ（２，２2）のマトリクスを示す図（空白は０を表す）である。つぎに、パリティ検査行列生成部１０では、符号化率ｒａｔｅ（１−シンドローム長／鍵の長さ）を決定する（ステップＳ２２）。
つぎに、パリティ検査行列生成部１０では、ガウス近似法（Gaussian Approximation）による最適化を用いて、符号化率ｒａｔｅに基づく、分割後（ｎ列×ｋ行への分割）の列の重み配分と行の重み配分とを求める（ステップＳ２３）。
最後に、パリティ検査行列生成部１０では、上記で求めた重み配分に基づいて、有限アフィン幾何における行および列を分割して（ステップＳ２４）、ｎ列×ｋ行のパリティ検査行列Ｈを生成する。このとき、本実施例における有限アフィン幾何符号の分割処理は、規則的に分割するのではなく、各行または各列から「１」の番号をランダムに抽出することにより分割する。なお、この抽出処理は、ランダム性が保持されるのであればどのような方法を用いてもよい。
たとえば、ＡＧ（２，２5）における１列中の「１」の行番号が、
Ｂl（ｘ）＝｛1 32 114 136 149 223 260 382 402 438 467 507 574 579 588 622
634 637 638 676 717 728 790 851 861 879 947 954 971 977 979 998｝
の場合、分割後の行列における１〜４列目Ｒm（ｎ）は、Ｂl（ｘ）から「１」の番号がランダムに抽出され、たとえば、
Ｒ1（ｎ）＝｛1 114 574 637 851 879 977 979｝
Ｒ2（ｎ）＝｛32 136 402 467 588 728 861 971｝
Ｒ3（ｎ）＝｛149 260 382 438 579 638 717 998｝
Ｒ4（ｎ）＝｛223 507 622 634 676 790 947 954｝
となる。
このように、本実施例では、図３に示す上記有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法を実行することによって、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用の検査行列Ｈ（ｎ列×ｋ行）を生成する。
上記のように、パリティ検査行列Ｈ，生成行列Ｇ，Ｇ-1（Ｇ-1・Ｇ＝Ｉ：単位行列）を生成後、つぎに、送信側の通信装置では、乱数発生部１１が、乱数列（１，０の列：送信データ）を発生し、さらに送信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応したコード，×：斜め方向に偏光された光を識別可能な測定器に対応したコード）をランダムに決定する（ステップＳ２）。一方、受信側の通信装置では、乱数発生部３１が、受信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応したコード，×：斜め方向に偏光された光を識別可能な測定器に対応したコード）をランダムに決定する（ステップＳ１２）。
つぎに、送信側の通信装置では、光子生成部１２が、上記乱数列と送信コードの組み合わせで自動的に決まる偏光方向で光子を送信する（ステップＳ３）。たとえば、０と＋の組み合わせで水平方向に偏光された光を、１と＋の組み合わせで垂直方向に偏光された光を、０と×の組み合わせで４５°方向に偏光された光を、１と×の組み合わせで１３５°方向に偏光された光を、量子通信路にそれぞれ送信する（送信信号）。
光子生成部１２により生成した光信号を受け取った受信側の通信装置の光子受信部３２では、量子通信路上の光を測定する（受信信号）。そして、受信コードと受信信号の組み合わせによって自動的に決まる受信データを得る（ステップＳ１３）。ここでは、受信データとして、水平方向に偏光された光と＋の組み合わせで０を、垂直方向に偏光された光と＋の組み合わせで１を、４５°方向に偏光された光と×の組み合わせで０を、１３５°方向に偏光された光と×の組み合わせで１を、それぞれ得る。
つぎに、受信側の通信装置では、上記測定が送信側と同一の基底を用いた測定かどうか、すなわち、正しい測定器で行われたものかどうかを調べるために、乱数発生部３１が、上記受信データに対応する受信コード（基底）および光子が検出できなかった位置を、公開通信路を介して送信側の通信装置に対して送信する（ステップＳ１３）。受信コードを受け取った送信側の通信装置では、乱数発生部１１が、受信側にて光子を検出できた位置における測定が正しい測定器で行われたものかどうかを調べ、その調査結果を、公開通信路を介して受信側の通信装置に対して送信する（ステップＳ３）。
そして、受信側の通信装置では、乱数発生部３１が、上記調査結果に基づいて正しい測定器で測定された受信データだけを残し、その他を捨てる（ステップＳ１３）。また、送信側の通信装置においても、乱数発生部１１が、受信側にて正しい測定器で測定された受信データに対応する送信データだけを残し、その他を捨てる（ステップＳ３）。その後、残ったビットの位置の集合：Ｃに対応するデータ（送信データｘ［Ｃ］および受信データｙ［Ｃ］）をメモリ等に保存する（ｙ［Ｃ］は伝送路上で雑音等の影響を受けたｘ［Ｃ］）。
つぎに、受信側の通信装置および送信側の通信装置では、上記送信データｘ［Ｃ］と上記受信データｙ［Ｃ］の一致度をチェックする（ステップＳ４，Ｓ１４）。具体的には、まず、共有鍵生成部１５が、送信データｘ［Ｃ］を読み出し、一致度チェックに用いるビット位置（送信データｘ［Ｃ］のビット位置の集合：Ｃからランダムに抽出したビット位置の部分集合：Ｒ）を、公開通信路を介して受信側の通信装置に対して送信する。なお、上記部分集合Ｒの公開は、受信側の通信装置で行うこととしてもよい。この時点で、部分集合Ｒが送信側と受信側で共有できている。そして、共有鍵生成部１５では、部分集合Ｒに対応する送信データｘ［Ｃ］の一部分、すなわち、送信データｘ［Ｒ］を、公開通信路を介して受信側の通信装置に対して送信する。
一方、受信側の通信装置の共有鍵生成部３５では、部分集合Ｒに対応する受信データｙ［Ｃ］の一部分、すなわち、受信データｙ［Ｒ］を、公開通信路を介して送信側の通信装置に対して送信する。なお、部分集合：Ｒが公開されているので、残りの部分集合：Ｋ（＝Ｃ−Ｒ）に対応する送信データｘ［Ｋ］および受信データｙ［Ｋ］が共有鍵を生成するためのデータとなる。また、本実施例では、たとえば、部分集合Ｒを大きくとると、一致度チェックの精度は向上するが、鍵長が短くなり、逆に、部分集合：Ｒを小さくとると、一致度チェックの精度は低下するが、鍵長を長くとることができる。
その後、共有鍵生成部１５では、送信データｘ［Ｒ］と受信側から送られてきた受信データｙ［Ｒ］とを比較する。たとえば、部分集合Ｒの個数をｎRとし（残りのビット位置の集合の個数をｎKとする）、比較した結果一致しなかったデータ数（エラー数）をｎeとした場合の、受信データｙ［Ｒ］のエラー確率ＰR＝ｎe／ｎRを求める。一方、共有鍵生成部３５では、受信データｙ［Ｒ］と送信側から送られてきた送信データｘ［Ｒ］とを比較し、上記同様、受信データｙ［Ｒ］のエラー確率ＰR＝ｎe／ｎRを求める。この時点では、エラー確率ＰRが送信側と受信側で共有できている。
そして、共有鍵生成部１５では、一致度チェックの最終的な結果として、たとえば、上記エラー確率ＰRに基づいて、部分集合Ｋにおけるエラー確率ＰKの推定値Ｐ+を下記（１）式により計算する。ここでは、セキュリティパラメータδpを導入した。
Ｐ+＝ＰR＋（ｎR＋ｎK）δp／ｎK …（１）
このとき、エラー確率の推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率Ｐｒ［Ｐ+≦ＰK］の上限値εpは、セキュリティパラメータδpを用いて、下記（２）式で与えられる。なお、下記上限値εpは、推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率の上限値となっていればよく、その形は下記（２）式に限定しない。また、以下のεsについても同様である。
εp＝ｅｘｐ（−２ｎR（δp）2）≧Ｐｒ［Ｐ+≦ＰK］ …（２）
なお、エラー推定と誤り訂正を同時に行う場合は、たとえば、適切な線形符号の族を構成し、追加シンドローム処理による適応的な復号を行う。このような場合、Ｐ+およびεpの計算式を下記（３）式と差し替える。
Ｐ+＝ＰR
εp＝０ …（３）
ただし、Ｒ＝Ｋ＝Ｃ、ｎR＝ｎKである。
つぎに、送信側の通信装置では、シンドローム生成部１４が、パリティ検査行列Ｈ（ｎ列×ｋ行）と送信データｘ［Ｋ］を用いてｘ［Ｋ］のシンドロームＳA＝Ｈｘ［Ｋ］を計算し、その結果を、公開通信路を介して受信側の通信装置に通知する（ステップＳ５）。図５は、シンドローム生成部１４にて生成したＳAを示す図である。この段階で、ｘ［Ｋ］のシンドロームＳA（ｋビット分の情報）は盗聴者に知られる可能性がある。一方、受信側の通信装置では、公開通信路通信部３４にてｘ［Ｋ］のシンドロームＳAを受信し、それをシンドローム復号部３３に通知する（ステップＳ１５）。
シンドローム復号部３３では、予め生成しておいたパリティ検査行列Ｈと受信データｙ［Ｋ］を用いてｙ［Ｋ］のシンドロームＳB＝Ｈｙ［Ｋ］を計算し、さらに、ｘ［Ｋ］のシンドロームＳAとｙ［Ｋ］のシンドロームＳBを用いてシンドロームＳ＝ＳA＋ＳBを計算する。そして、シンドロームＳに基づいて送信データｘ［Ｋ］を推定する。すなわち、誤り訂正後の受信データｙ［Ｋ］´を求める（ステップＳ１６）。ここでは、
ｙ［Ｋ］＝ｘ［Ｋ］＋ｅ（雑音等） …（４）
とし、下記（５）式に示すようにシンドロームＳを変形した後、シンドローム復号によりｅを求め、送信データを推定する。なお、下記（５）式中の＋は排他的論理和を表す。
Ｓ＝ＳA＋ＳB
＝Ｈｘ［Ｋ］＋Ｈｙ［Ｋ］
＝Ｈ（ｘ［Ｋ］＋ｙ［Ｋ］）
＝Ｈ（ｘ［Ｋ］＋ｘ［Ｋ］＋ｅ）
＝Ｈｅ …（５）
つぎに、受信側の通信装置では、共有鍵生成部３５が、上記ステップＳ５およびステップＳ１５の処理で公開された誤り訂正情報（盗聴された可能性のある上記ｋビット分の情報：ＳA）に応じて受信データｙ［Ｋ］´の一部を捨てて、（ｎ−ｋ）ビットの長さをもつ受信データｙ（ｎ−ｋ）´を生成する（ステップＳ１７）。すなわち、共有鍵生成部３５では、先に計算しておいたＧ-1（ｎ×（ｎ−ｋ））を用いて下記（６）式により受信データｙ（ｎ−ｋ）´を生成する。
ｙ（ｎ−ｋ）´＝Ｇ-1ｙ［Ｋ］´ …（６）
一方、送信側の通信装置においても、共有鍵生成部１５が、公開された誤り訂正情報（盗聴された可能性のある上記ｋビット分の情報：ＳA）に応じて送信データｘ［Ｋ］の一部を捨てて、ｎ−ｋビットの長さを持つ送信データｘ（ｎ−ｋ）を生成する（ステップＳ６）。すなわち、共有鍵生成部１５では、先に計算しておいたＧ-1（ｎ×（ｎ−ｋ））を用いて下記（７）式により送信データｘ（ｎ−ｋ）を生成する。
ｘ（ｎ−ｋ）＝Ｇ-1ｘ［Ｋ］ …（７）
つぎに、送信側の通信装置および受信側の通信装置では、それぞれ送信データｘ（ｎ−ｋ）と受信データｙ（ｎ−ｋ）´とが一致しているかどうかをチェックする（ステップＳ７，ステップＳ１８）。具体的には、まず、共有鍵生成部１５および３５が、セキュリティパラメータ：ｓを決定する。このセキュリティパラメータｓ（このステップで公開するビット長に相当）は、システムが要求する安全性に応じて決定される値であり、固定値であれば、両者が予め保存しておき、可変値であれば、その都度どちらか一方が他方に公開することになる。このセキュリティパラメータｓが大きい場合には、鍵長が短くなるが安全性が向上し、逆に、小さい場合には、安全性が低下するが鍵長を長くすることができる。
たとえば、どちらか一方の共有鍵生成部が、（ｎ−ｋ）列×ｓ行のランダム行列ＭPCを生成し、そのランダム行列ＭPCを、公開通信路を介して他方の通信装置に送信する。この時点で、ランダム行列ＭPCが送信側と受信側で共有できている。さらに、各共有鍵生成部では、それぞれ、ランダム行列ＭPCから「ＭPC・Ｇ（ＭPC）＝０」を満たす（ｎ−ｋ−ｓ）列×（ｎ−ｋ）行の生成行列Ｇ（ＭPC）を求め、さらに、Ｇ-1（ＭPC）・Ｇ（ＭPC）＝Ｉ（単位行列）を満たすＧ（ＭPC）の逆行列Ｇ-1（ＭPC）を求める（Ｇ-1（ＭPC）は（ｎ−ｋ）列×（ｎ−ｋ−ｓ）行の行列）。
そして、たとえば、共有鍵生成部１５では、「ランダム行列ＭPC×送信データｘ（ｎ−ｋ）」を計算し、セキュリティパラメータｓビット分の情報ＭPCｘ（ｎ−ｋ）を、公開通信路を介して受信側の通信装置に送信する。図６−１は、情報ＭPCｘ（ｎ−ｋ）を示す図である。一方、共有鍵生成部３５では、「ランダム行列ＭPC×受信データｙ（ｎ−ｋ）´」を計算し、セキュリティパラメータｓビット分の情報ＭPCｙ（ｎ−ｋ）´を、公開通信路を介して送信側の通信装置に送信する。図６−２は、情報ＭPCｙ（ｎ−ｋ）´を示す図である。
その後、共有鍵生成部１５では、受信側の通信装置から得られた情報ＭPCｙ（ｎ−ｋ）´と上記計算結果である情報ＭPCｘ（ｎ−ｋ）とが一致しているかどうかをチェックする。そして、一致している場合は、下記（８）式を計算し、送信データｘ（ｎ−ｋ）を圧縮する。すなわち、圧縮後の（ｎ−ｋ−ｓ）ビットの送信データｘ´を得る。図７−１は、送信データｘ´を示す図である。なお、一致しない場合は、送信データｘ（ｎ−ｋ）を捨てる。
ｘ´＝Ｇ-1（ＭPC）ｘ（ｎ−ｋ） …（８）
また、共有鍵生成部３５では、送信側の通信装置から得られた情報ＭPCｘ（ｎ−ｋ）と上記計算結果である情報ＭPCｙ（ｎ−ｋ）´とが一致しているかどうかをチェックする。そして、一致している場合は、下記（９）式を計算し、受信データｙ（ｎ−ｋ）´を圧縮する。すなわち、圧縮後の（ｎ−ｋ−ｓ）ビットの受信データｙ´を得る。図７−２は、受信データｙ´を示す図である。なお、一致しない場合は、受信データｙ（ｎ−ｋ）´を捨てる。
ｙ´＝Ｇ-1（ＭPC）ｙ（ｎ−ｋ）´ …（９）
また、本実施例においては、上記チェックで一致しているにもかかわらず、誤り訂正後の受信データｙ（ｎ−ｋ）´と送信データｘ（ｎ−ｋ）が一致していない確率εcは、
εc＝２-s …（１０）
で表すことができ、ｓが大きい場合には上記確率が下がり、ｓが小さい場合には上記確率が上がる。
つぎに、送信側の通信装置および受信側の通信装置では、量子通信路を通して盗聴者にもれた情報量（の上限値）ＩEを推定する（ステップＳ８，ステップＳ１９）。ここでは、送信側の通信装置と受信側の通信装置の両方で盗聴者にもれた情報量ＩE（量子通信路を通してもれた情報量の見積もり値）を計算することとしてもよいし、または、送信側の通信装置でＩEを計算し、その結果を受信側に公開することとしてもよい。以下では、特に、両方でＩEを計算する場合について説明する。
送信側の通信装置では、共有鍵生成部１５が、下記のように、前記エラー確率推定値と送信側の通信装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を計算する。まず、解析の比較的容易な近似プロトコル（性質のよい量子状態が送信機から出力されるプロトコル）を考え、現実のプロトコルと近似プロトコルの測定結果の差（変動距離）の上限値を計算する。さらに、近似プロトコルにおいて、部分集合Ｋに対応する位置に関して現実とは反対の基底を用いた場合に、エラー確率の推定値が真の値よりも小さく見積もられてしまう確率の上限値を計算する。加えて、部分集合Ｋに対応する位置に関して、送信データを条件とした場合の、受信データおよび盗聴情報の条件付確率の上限値を計算する。これらの値を用いて、最終的に盗聴者にもれた情報量の上限値を計算する。
ここで、量子通信路を通して盗聴者にもれた情報量の計算処理について説明する。まず、実際に送信機から出力される０°，９０°，４５°，１３５°方向に偏光された光子の量子状態（送信機誤差を含む送信状態）をρ00，ρ01，ρ10，ρ11と表す。この量子状態ρ00，ρ01，ρ10，ρ11は予め受信側の通信装置に対して公開しておく。ただし、送信側の通信装置でＩEを計算し、その結果を受信側に公開する場合には、量子状態ρ00，ρ01，ρ10，ρ11を公開する必要はない。
送信機において、基底０（０°，９０°基底）および１（４５°，１３５°基底）が選択される確率をそれぞれｐb（０），ｐb（１）と表す。また、送信機において、データ０および１が選択される確率をそれぞれｐx（０），ｐx（１）と表す。送信機が理想的な場合、これら４つの値はすべて１／２となる。
量子状態σ00，σ01，σ10，σ11として、下記（１１）式を満たし、かつ、下記（１２）式中のΔ0およびΔ1を最小化するものを選ぶ。ただし、Ｉは２次元ヒルベルト空間上の単位演算子を表す。
（σ00）2＝σ00，（σ01）2＝σ01，σ00＋σ01＝Ｉ
（σ10）2＝σ10，（σ11）2＝σ11，σ10＋σ11＝Ｉ …（１１）
Δ0＝ｄ（（１／２）ρ00−（１／２）σ00）＋ｄ（（１／２）ρ01−（１／２）σ01）
Δ1＝ｄ（（１／２）ρ10−（１／２）σ10）＋ｄ（（１／２）ρ11−（１／２）σ11）
…（１２）
なお、上記（１１）式におけるｄ（Ａ）は、演算子Ａのトレースノルムを表している。すなわち、ｄ（Ａ）は下記（１３）式で計算する。ただし、上付き文字の＊は複素共役転置を表す。
ｄ（Ａ）＝Ｔｒ（√（Ａ*Ａ）） …（１３）
部分集合Ｋにおいて用いられた基底に対応するｎKビットの乱数をａと表す。上記Δ0およびΔ1を用いて、量子状態ρ00，ρ01，ρ10，ρ11の代わりに量子状態σ00，σ01，σ10，σ11を用いた場合の測定結果の差（変動距離）の上限値εKを下記（１４）式で計算する。ただし、ｎ0は、ａの中の０の数、ｎ1は、ａの中の１の数を表す。また、ΔＫはビット列ｘ［Ｋ］を生成する確率分布ｐX（ｘ［Ｋ］）と一様分布との変動距離の上限値を表す。
εK＝ｎ0Δ0＋ｎ1Δ1＋ΔK …（１４）
前記ビット列ａをビットごとに反転させたものをａ´と表す。確率分布ｐbにしたがってビット列ａが生成される確率をｐb（ａ）、ビット列ａ´が生成される確率をｐb（ａ´）と表す。量子状態ρ00，ρ01，ρ10，ρ11の代わりに量子状態σ00，σ01，σ10，σ11を用い、さらに、基底ａの代わりに反転基底ａ´を用いた場合に、対応するエラー確率の推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率の上限値ωKを、下記（１５）式により計算する。
ωK＝２εKｐb（ａ）／ｐb（ａ´） …（１５）
また、送信機から出力される基底０（０°，９０°基底）に対応する平均量子状態ρ0、および基底１（４５°，１３５°基底）に対応する平均量子状態ρ1を、下記（１６）式および（１７）式により計算する。
ρ0＝ｐx（０）ρ00＋ｐx（１）ρ01 …（１６）
ρ1＝ｐx（０）ρ10＋ｐx（１）ρ11 …（１７）
さらに、量子状態σ00，σ01，σ10，σ11によって定まるパラメータｑを下記（１８）式により計算する。
ｑ＝ｍａｘ｛Ｔｒσ00σ10，Ｔｒσ00σ11｝ …（１８）
これを用いて、部分集合Ｋに対応する位置に関して、送信データを条件とした場合の、受信データおよび盗聴情報の条件付確率の上限値πKを下記（１９）式により計算する。
πK＝２nK(h(P+)+log(q)) …（１９）
ただし、上記（１９）式の中のｌｏｇは底が２の対数関数を表し、ｈ（ｐ）は、下記（２０）式で計算する。
ｈ（ｐ）＝−ｐｌｏｇ（ｐ）−（１−ｐ）ｌｏｇ（１−ｐ） …（２０）
量子状態σ00，σ01，σ10，σ11を用いたと仮定した場合の盗聴者にもれる盗聴量ＩQを下記（２０）式により計算する。ただし、ｃは０より大きな実数で、下記（２１）式ができるだけ小さくなるものを選ぶものとする。
ＩQ＝ｎK＋（１−１／ｃ）（ｌｏｇ（πK）−２ｌｏｇ（１−（√（ｃωK））））
…（２１）
さらに、量子状態ρ00，ρ01，ρ10，ρ11を用いた現実の状況において盗聴者にもれる盗聴量ＩEを下記（２２）式により計算する。
ＩE＝ＩQ＋εK（３ｎK−２ｌｏｇεK） …（２２）
上記（２２）式は、近似プロトコルにおいて盗聴者に漏れる盗聴量をＩQとした場合の、現実のプロトコルにおける盗聴量の上限になっていればよく、上記の形に限定しない。
現実の実装においては、送信機の特性が確率１で特定できるとは限らない。たとえば、送信機が常に単一光子を出力できるとは限らない。そこで、送信機の特性を表すパラメータの組ρ00，ρ01，ρ10，ρ11，ｐb（０），ｐb（１），ｐx（０），ｐx（１）に注目し、１−ｅs以上の確率でこれらのパラメータの組が集合Ｓに含まれる状況を想定する。ここで、セキュリティパラメータδsを用いて、パラメータｅ+を下記（２４）式により計算する。
ｅ+＝ｅs＋δs …（２４）
このとき、部分集合Ｋにおいて、送信機が想定外の状態を送信してしまう回数ｎsが、ｎ+＝ｅ+ｎKよりも小さくなってしまう確率の上限εsは、下記（２５）式で計算できる。
εs＝ｅｘｐ（−２ｎK（δs）2）≧Ｐｒ［ｎ+≦ｎs］ …（２５）
部分集合Ｋにおいて、送信機が想定外の状態を送信してしまう回数が、上記ｎ+であると仮定する。このとき、部分集合Ｋにおいて送信機が想定どおりの状態を送信している位置に相当する部分集合をＬとする。部分集合Ｌの長さはｎL＝ｎK−ｎ+である。さらに、部分集合Ｌにおいて用いられた基底に対応するｎLビットの乱数をａLと表し、これをビット毎に反転させたものをａL´を表す。（１４）式のεKと同様に、εLを下記（２６）式により計算する。ただし、ｍ0は、ａLの中の０の数、ｍ1は、ａLの中の１の数を表す。また、ΔＬは部分集合Ｌにおけるビット列ｘ［Ｌ］を生成する確率分布ｐX（ｘ［Ｌ］）と一様分布との変動距離の上限値を表す。
εL＝ｍ0Δ0＋ｍ1Δ1＋ΔL …（２６）
（１５）式および（１９）式の代わりに、ωLおよびπLを下記（２７）式および（２８）式により計算する。ただし、ｍａｘLは、長さｎLを固定した状況における、部分集合Ｌに関する最大化を表す。
ωL＝ｍａｘL｛２εLｐb（ａL）／ｐb（ａL´）｝ …（２７）
πL＝２nL(h((nK/nL)P+)+log(q)) …（２８）
なお、上記Ｌに関する最大化の計算が困難な場合は、最大値の代わりに上限値を用いることとしてもよい。また、上記（２８）式の中の関数ｈへの入力「（ｎK／ｎL）Ｐ+」に関しては、部分集合Ｌにおけるエラー確率の上限値になっていればよく、上記の形に限定しない。たとえば、部分集合Ｋにおけるエラーの発生が、送信機が想定どおりに動作するか否かと独立な場合は、入力を「ＰR＋（ｎR／ｎL）δP／ｎL」で置き換えてもよい。
（２１）式および（２２）式の代わりに、ＩQ´およびＩE´を下記（２９）式および（３０）式により計算する。
ＩQ´＝ｎL＋（１−１／ｃ）（ｌｏｇ（πL）−２ｌｏｇ（１−（√（ｃωL））））
…（２９）
ＩE´＝ＩQ´＋εL（３ｎL−２ｌｏｇεL） …（３０）
なお、上記（３０）式は、部分集合Ｌに関して、近似プロトコルの盗聴量の上限値がＩQ´であるときの現実のプロトコルにおける盗聴量の上限になっていればよく、上記の形に限定しない。
さらに、盗聴者にもれる盗聴量ＩEを下記（３１）式により計算する。ただし、ＩM´＝ｎ+である。
ＩE＝ＩE´＋ＩM´ …（３１）
なお、ＩM´は想定外の送信量子状態から盗聴者が得ることのできる情報量の上限になっていればよい。
最後に、上記（３１）式の盗聴量ＩEを集合Ｓに関して最大化し、得られた最大値を求める盗聴量とする。なお、上記Ｓに関する最大化の計算が困難な場合は、最大値の代わりに上限値を用いることとしてもよい。
つぎに、前記エラー確率推定値と送信側の通信装置が備える量子状態生成器および受信側の通信装置が備える量子状態測定器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定する場合について、以下に記す。まず、受信機が行う０°，９０°，４５°，１３５°方向の測定（受信機誤差を含む測定）に対応する演算子をＥ00，Ｅ01，Ｅ10，Ｅ11と表す。また、送信機から出力される基底０に対応する平均量子状態および基底１に対応する平均量子状態の完全混合状態からの差異のトレースノルムの上限を、それぞれ▽0および▽1と表す。すなわち、▽0および▽1に関して、下記（３２）式および（３３）式が成り立っているものとする。
ｄ（ρ0−（１／２）Ｉ）≦▽0 …（３２）
ｄ（ρ1−（１／２）Ｉ）≦▽1 …（３３）
さらに、測定に対応する演算子Ｆ00，Ｆ01，Ｆ10，Ｆ11として、下記（３４）式を満たし、かつ、下記（３５）式中のΔ0およびΔ1を最小化するものを選ぶ。ただし、Ｉは２次元ヒルベルト空間上の単位演算子を表す。
（Ｆ00）2＝Ｆ00，（Ｆ01）2＝Ｆ01，Ｆ00＋Ｆ01＝Ｉ
（Ｆ10）2＝Ｆ10，（Ｆ11）2＝Ｆ11，Ｆ10＋Ｆ11＝Ｉ …（３４）
Δ0＝ｄ（（１／２）Ｅ00−（１／２）Ｆ00）＋ｄ（（１／２）Ｅ01−（１／２）Ｆ01）
Δ1＝ｄ（（１／２）Ｅ10−（１／２）Ｆ10）＋ｄ（（１／２）Ｅ11−（１／２）Ｆ11）
…（３５）
特に、上記Δ0およびΔ1が０の場合は、前記▽0および▽1として、下記（３６）式を満たすΔpを用いることができる。すなわち、Δ0＝Δ1＝０の場合は、下記（３６）式中のΔpを用いて、▽0＝▽1＝Δpとすることができる。
ｄ（ρ0−ρ1）≦Δp …（３６）
（１４）式、（１８）式および（２６）式の代わりに、εK、ｑおよびεLを、下記（３７）式、（３８）式および（３９）式により計算する。
εK＝ｎ0（Δ0＋▽0）＋ｎ1（Δ1＋▽1）＋ΔK …（３７）
ｑ＝ｍａｘ｛ＴｒＦ00Ｆ10，ＴｒＦ00Ｆ11｝ …（３８）
εL＝ｍ0（Δ0＋▽0）＋ｍ1（Δ1＋▽1）＋ΔL …（３９）
上記εK、ｑおよびεLを用いて、（２２）式もしくは（３１）式と同様に盗聴量ＩEを計算する。
一般に、誤り訂正の特性は、符号長（本実施例においてはｎK）が長ければ長いほどよい。一方、盗聴量ＩEは、必ずしもｎKが長ければよいというわけではない。そこで、誤り訂正のための符号長と盗聴量ＩEの推定のためのビット列の長さを変えることによって、より特性の高い量子鍵配送法を構成できる。すなわち、部分集合Ｋを所定の数に分割し、分割された部分集合それぞれに対して盗聴量ＩEを計算するものとする。ここで、分割数は、各分割部分集合に対する盗聴量ＩEの合計ができるだけ小さくなるように選ぶ。
なお、本実施例では、受信側の通信装置においても、上記と同様の処理で盗聴者にもれた情報量ＩEを計算する。
つぎに、送信側の通信装置および受信側の通信装置では、上記ステップＳ８およびステップＳ１９の処理で計算した情報量ＩEに基づいて、送信データｘ´および受信データｙ´の一部を捨てて、（ｎ−ｋ−ｓ−Ｔ−ｖ）ビット分の情報量を備えた暗号鍵ｒを生成する（ステップＳ９，ステップＳ２０）。なお、共有鍵生成部１５および３５は、上記情報量ＩEのマージンとして、セキュリティパラメータ：ｖを決定する。このセキュリティパラメータｖは、システムが要求する安全性に応じて決定される値である。このセキュリティパラメータｖが大きい場合には、鍵長が短くなるが安全性が向上し、逆に、小さい場合には、安全性が低下するが鍵長を長くすることができる。また、上記Ｔは、上記で求めた盗聴者にもれた情報量ＩE以上の整数で最小のものを表す。
具体的には、たとえば、共有鍵生成部１５が、｛０，１｝n-k-s→｛０，１｝n-k-s-T-vとなるユニバーサル・ハッシュ関数の族からランダムに元Ｈuを選ぶ。これは、たとえば、Ｈuとしてフルランク（ｒａｎｋ（Ｈu）＝ｎ−ｋ−ｓ−Ｔ−ｖ）のランダム行列をとってくることにより実現できる。そして、ハッシュ関数Ｈuを、受信側の通信装置に対して公開通信路を介して送信する。なお、この処理は、受信側の通信装置の共有鍵生成部３５にて行うこととしてもよい。
そして、共有鍵生成部１５では、上記Ｈuを用いて下記（４０）式により暗号鍵ｒを生成する。図８−１は、共有鍵生成部１５にて生成した暗号鍵ｒを示す図である。送信側の通信装置は、この暗号鍵ｒを受信側の通信装置との共有鍵とする。
ｒ＝Ｈuｘ´ …（４０）
一方、共有鍵生成部３５では、上記Ｈｕを用いて下記（４１）式により暗号鍵ｒを生成する。図８−２は、共有鍵生成部３５にて生成した暗号鍵ｒを示す図である。受信側の通信装置は、この暗号鍵ｒを送信側の通信装置との共有鍵とする。
ｒ＝Ｈuｙ´ …（４１）
なお、上記では、ステップＳ６，Ｓ１７による圧縮およびステップＳ９，Ｓ２０による圧縮を個別に行っているが、これに限らず、たとえば、｛０，１｝n-k-s→｛０，１｝n-k-s-T-v-kとなるランダム行列Ｈuを生成し、その後、上記（４０）式および（４１）式を実行することとしてもよい。
このように、本実施例おいては、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用のパリティ検査行列を用いて共有情報のデータ誤りを訂正しつつ、上記ステップＳ４およびＳ１４、ステップＳ７およびＳ１８、ステップＳ８およびＳ１９、を実行し、さらに、上記処理の過程で公開通信路を介して公開した情報量および量子通信路を通して盗聴者にもれた情報量の推定値に応じてデータを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とすることとした。これにより、高度に安全性の保証された共通鍵を効率良く生成することができる。すなわち、成功確率が（１−εp）（１−εs）（１−εc）以上で、かつ盗聴者にもれる情報量が（２-v／ｌｎ２）以下の、量子鍵配送方法が実現できる。ただし、想定外の送信状態を考えない場合は、εs＝０とする。
つづいて、実施例２について説明する。実施例２では、用いる量子状態を２準位系に限定せず、受信側の通信装置の観測値として「０」，「１」の他に「非検出」という結果もありうる状況を考える。そこで、全送信データをｘ［Ａ］とし、そのうち、受信側で検出できたデータ部分をｘ［Ｄ］とする。ｘ［Ｃ］，ｘ［Ｒ］，ｘ［Ｋ］は、これまでと同様とする。送信側の通信装置および受信側の通信装置では、量子通信路を通して盗聴者にもれた情報を考慮した上での鍵（送信データｘ［Ｋ］）の持つ情報量（の下限値）Ｒxを推定する（ステップＳ８，ステップＳ１９に相当）。ここでは、送信側の通信装置と受信側の通信装置の両方で鍵の持つ情報量Ｒxを計算することとしてもよいし、または、送信側の通信装置でＲxを計算し、その結果を受信側に公開することとしてもよい。以下では、特に、両方でＲxを計算する場合について説明する。
実際に送信機から出力される０°，９０°，４５°，１３５°方向に偏光された光子の量子状態（送信機誤差を含む送信状態）をρ00，ρ01，ρ10，ρ11と表す。ここで、各量子状態はヒルベルト空間Ｈ上の密度演算子になっているものとする。また、各量子状態は、それぞれ確率ｐ00，ｐ01，ｐ10，ｐ11で出力されるものとする。この量子状態ρ00，ρ01，ρ10，ρ11は、予め受信側の通信装置に対して公開しておく。ただし、送信側の通信装置でＲxを計算し、その結果を受信側に公開する場合には、これらの値を公開する必要はない。
送信側の通信装置では、量子状態ρij（ｉ，ｊは０もしくは１）を下記（４２）式のように分解する。
ρij＝ｐij (0)ρij (0)＋ｐij (1)ρij (1) …（４２）
ただし、ρij (0)，ρij (1)はヒルベルト空間Ｈ上の密度演算子であり、下記（４３）式をみたすものとする。
０＜ｐ(0)≦ｍｉｎ｛ｐij｝，ｐij (0)＝ｐ(0)／ｐij，ｐij (0)＋ｐij (1)＝１ …（４３）
この分解は、鍵のもつ情報量（レニーエントロピー）Ｒxができるだけ大きく、あるいは、最終的な（圧縮後の）鍵のもつ情報量（相互情報量）ができるだけ小さく見積もれるように決定する。たとえば、ρij (0)はできるだけ２準位の量子状態に近く、ｐij (0)はできるだけ大きくなるように選ぶと、一般にＲxを大きく見積もることができる。以下、送信機は、確率ｐij (0)でρij (0)を出力し、確率ｐij (1)でρij (1)を出力するものと考える。
Ｘ，Ｙは、００，０１，１０，１１の４つの値をとるものとする。上記量子状態ρx (0)のスペクトル分解を、
ρx (0)＝ΣkXλX（ｋX）｜ｋX〉〈ｋX｜ …（４４）
とし、μXYを集合｛ｋX｝から集合｛ｋY｝への写像とする。
さらに、｜φkX〉を適当なヒルベルト空間の元とする。ここで、４行４列のグラム行列Ｇを下記（４５）式により計算する。
ＧXY＝ΣkX〈ｋX｜ｋXY〉〈φkX｜φkXY〉√（λX（ｋX）λY（ｋXY））
…（４５）
ただし、ｋXY＝μXY（ｋX）である。μXYおよび｜φkX〉は、鍵のもつ情報量Ｒxができるだけ大きく見積もれるように選ぶ。
グラム行列Ｇは、半正定値であるから４次の正方行列Ｃが存在して下記（４６）式が成り立つ。
Ｇ＝Ｃ*Ｃ …（４６）
さらに、Ｇの対角成分は１であるから、行列Ｃの列ベクトルは４次元ヒルベルト空間Ｈ4上の長さ１の元とみなすことができる。そこで、Ｈ4上の量子状態σX´（Ｘ＝００，０１，１０または１１）を下記（４７）式により定義する。
σX´＝｜ＣX〉〈ＣX｜ …（４７）
ただし、ＣXは行列Ｃの第Ｘ列を表すものとする。このσX´の構成法より、σX´からρX (0)への完全正写像の存在が保証される。そこで、以下、ρX (0)の代わりにσX´が出力されるものと考える。
４次元ヒルベルト空間Ｈ4の２次元部分ヒルベルト空間をＨ2とする。σX（Ｘ＝００，０１，１０または１１）をヒルベルト空間Ｈ2上の量子状態で下記（４８）式を満たすものとする。ただし、Ｉはヒルベルト空間Ｈ2上の単位演算子を表す。
σ00＋σ01＝Ｉ，σ10＋σ11＝Ｉ …（４８）
ヒルベルト空間Ｈ2および量子状態σXは、下記（４９）式で定義されるΔX（Ｘ＝００，０１，１０または１１）あるいはその上限を最小化するものを選ぶ。ただし、ｄ（ρ，σ）はρとσのトレース距離をあらわすものとする。
ΔX＝ｄ（σX´，σX） …（４９）
なお、上式ではトレース距離を最小化することを考えたが、信頼度（フィデリティ）を最大化するものとしてもよい。また、たとえばρX＝Σk（μk／ｋ！）ｅｘｐ（−μ）｜ｋ；Ｘ〉〈ｋ；Ｘ｜（ｋは自然数）で与えられるとき、前記パラメータは下記（５０）式のように選ぶことができる。
ρX (0)＝σX´＝σX＝｜１；Ｘ〉〈１；Ｘ｜
ｐX (0)＝μｅｘｐ（−μ）
μXY（｜ｋ；Ｘ〉〈ｋ；Ｘ｜）＝｜ｋ；Ｙ〉〈ｋ；Ｙ｜
｜φkX〉＝｜φ〉 …（５０）
部分Ｋのうち、ρij (0)が出力されている部分をＬ、ρij (1)が出力されている部分をＭ、とする。部分Ｍの長さの上限値ｎM+、部分Ｍのもつ情報量（の下限値）Ｒm x[M]を見積もり、これらの見積もりが誤ってしまう確率（の上限値）εEを計算する。この計算は、たとえば、以下のようにして行うことができる。
まず、δi M（ｉ＝０，１）を適当な正数とし、部分Ｍの長さの上限値ｎi M+（ｉ＝０，１）を下記（５１）式により見積もる。
ｐi (1)＝（ｐi0ｐi0 (1)＋ｐi1ｐi1 (1)）／（ｐi0＋ｐi1）
ｐi M＝（（ｎi M／ｎi A）−δi M）／（ｐi (1)ｎi K／ｎi D）
ｎi M+=ｍａｘM｛ｎi M｝ …（５１）
ただし、ｎi K（ｉ＝０，１）はａ［Ｋ］におけるｉ（＝０もしくは１）の数を表す。ｎi A，ｎi D，ｎi Mも同様とする。なお、ｍａｘMはｐi M≦１という条件のもとで、Ｍに関して最大化するものとする。また、受信者が攻撃者に取り込まれてしまっているような場合も想定して、前記（５１）式中のｎi Dをｎi Cで置き換えることによって、さらに強い安全性を保証することが可能となる。
この見積もりが誤ってしまう確率の上限値を、下記（５２）式で計算する。なお、下記上限値εi Mは、この見積もりが誤ってしまう確率の上限値となっていればよく、その形は下式に限定しない。
εE＝ε0 M＋ε1 M
εi M＝ｎi Aｅｘｐ（−ｎi AＤ（Ｂ（ｎi M／ｎi A）｜（Ｂ（ｎi M／ｎi A−δi M）））
…（５２）
ただし、ｅｘｐは２のべき乗関数、Ｄは相対エントロピー、Ｂはベルヌーイ分布を表している。
Ｔij（ｉ，ｊは０もしくは１）をヒルベルト空間Ｈ上の演算子で、下記（５３）式を満たすものとする。ただし、Ｉはヒルベルト空間Ｈ上の単位演算子を表す。
０≦Ｔij，Ｔi0＋Ｔi1≦Ｉ …（５３）
これにより、Ｔijは部分Ｍにおいて基底がｉ（＝０もしくは１）の場合に、送信量子状態がρi0 (1)であるかρi1 (1)であるかを識別するための測定演算子と考えることができる。この識別が成功する確率の最大値ｓi Mを下記（５４）式で計算する。
ｐij (M)＝ｐijｐij (1)／（ｐi0ｐi0 (1)＋ｐi1ｐi1 (1)）
ｓi M,＝ｓｕｐT｛（ΣjＴrｐij (M)ρij (1)Ｔij）／（Σk,lＴrｐik (M)ρik (1)Ｔil）｝
…（５４）
ただし、ｓｕｐTは下記（５５）式を満たすという条件のもとでＴに関して最大化するものとする。
（ΣjlＴrｐij (M)ρij (1)Ｔil）≧ｐi M …（５５）
部分Ｍのもつ情報量の下限値Ｒx[M]を下記（５６）式により計算する。
Ｒm x[M]＝−ｎ0 Mｌｏｇｓ0 M−ｎ1 Mｌｏｇｓ1 M …（５６）
つぎに、部分Ｌのもつ情報量（レニー・エントロピー）を見積もる。そのために、まず、部分Ｌにおけるエラー確率を推定する。δpをセキュリティパラメータとし、推定値Ｐ+として下記（５７）式を用いる。
Ｐ+＝（ｎKＰR＋ｎCδp−ｎ0 M（１−ｓ0 M）−ｎ1 M（１−ｓ1 M））／ｎL …（５７）
このとき、エラー確率の推定値Ｐ+が真の値ＰLよりも小さく見積もられてしまう確率Ｐｒ［ＰL＞Ｐ+］の上限値εpは、下記（５８）式で与えられる。なお、下記上限値εpは、推定値Ｐ+が真の値ＰLよりも小さく見積もられてしまう確率の上限値となっていればよく、その形は下式に限定しない。
εp＝ｎRｅｘｐ（−ｎRＤ（Ｂ（ＰR）｜（Ｂ（ＰR＋δp）））≧Ｐｒ［ＰL＞Ｐ+］
…（５８）
量子状態σX´の代わりに量子状態σXを用いる近似プロトコルを考える。この近似プロトコルにおいて、部分Ｌのもつ情報量を見積もる。そのため、まず部分Ｌにおいて基底ａ［Ｌ］の代わりにその反転基底ａ~［Ｌ］を用いた場合に、上記推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率を見積もる。いま、σ0´およびσ1´を下記（５９）式で与えられる基底に関する平均量子状態とする。
σ0´＝（σ00´＋σ01´）／２
σ1´＝（σ10´＋σ11´）／２ …（５９）
さらに、υを基底ａ［Ｌ］に対応する平均量子状態σa[L]´と反転基底ａ~［Ｌ］に対応する平均量子状態σa~[L]´の間のトレース距離の上限値とする。すなわち、υは下記（６０）式を満たすものとする。
ｄ（σa[L]´，σa~[L]´）≦υ …（６０）
これを用いて、上記推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率の上限値は下記（６１）式のように計算できる。
Ｐｒ［ＰL＞Ｐ+］≦εp＋εE＋υ …（６１）
正規プロトコルにおいて送信，受信，盗聴情報の従う確率分布と、近似プロトコルにおいて送信，受信，盗聴情報の従う確率分布と、の変動距離を見積もる。そのため、下記（６２）式をみたす上限値τを計算する。
Σx[L]（１／２nL）ｄ（σa~[L],x[L]´，σa~[L],x[L]）≦τ …（６２）
上限値τは、たとえば、ｆを量子状態の間の信頼度（フィデリティ）とするとき、下記（６３）式により計算することができる。
ｆX＝ｆ（σX´，σX）
ｆ0＝ｍｉｎ｛ｆ00，ｆ01｝
ｆ1＝ｍｉｎ｛ｆ10，ｆ11｝
τ＝√（１−（ｆ0）2n0（ｆ1）2n1） …（６３）
ただし、ｎ0，ｎ1は、ビット列ａ~［Ｌ］における０の数、１の数をそれぞれ表している。
近似プロトコルにおいて、反転基底ａ~［Ｌ］を用いた場合に上記推定値Ｐ+が真の値ＰKよりも小さく見積もられてしまう確率の上限値は、下記（６４）式のように計算できる。
Ｐｒ［Ｐ+≦ＰK］≦εp＋εE＋υ＋τ …（６４）
つぎに、ヒルベルト空間Ｈ2上の射影演算子Ｐ00，Ｐ01，Ｐ10，Ｐ11を下記（６５）式により計算する。
Ｐ00＝｛σ00−σ01＞０｝
Ｐ01＝｛σ01−σ00＞０｝
Ｐ10＝｛σ10−σ11＞０｝
Ｐ11＝｛σ11−σ10＞０｝ …（６５）
さらに、量子状態σ00およびσ01の識別に成功する確率の最大値ｓ0，量子状態σ10およびσ11の識別に成功する確率の最大値ｓ1を下記（６６）式により計算する。
ｓ0＝１／２＋ｄ（σ00，σ01）
ｓ1＝１／２＋ｄ（σ10，σ11） …（６６）
いま、量子状態σa~[L],x[L]が与えられ、ｘ［Ｌ］を上記射影演算子を用いて推定することを考える。推定値（ｘ［Ｌ］に対応するビット列）にｋビットの誤りを許すことにした場合の推定誤り確率の上限値をεkとする。εkは、たとえば、下記（６７）式により計算することができる。
εk＝（２nL−２nLh(k/nL)／２／√ｎL）（ｓ0）n0（ｓ1）n1（（１−ｓm）／ｓm）k
ｓm＝ｍｉｎ｛ｓ0，ｓ1｝ …（６７）
これらの値を用いて、パラメータωLを下記（６８）式により計算する。
ωL＝εp＋υ＋τ＋εk２nLh(P+) …（６８）
もし、ｓmが０の場合は、下記（６９）式の値を用いて以下の計算を行う。
ωL＝εp＋εE＋υ＋τ
ｋ＝０ …（６９）
パラメータｑ0，ｑ1を下記（７０）式により計算する。
ｑ0＝ｍａｘ｛Ｔｒσ00Ｐ10，Ｔｒσ00Ｐ11，Ｔｒσ01Ｐ10，Ｔｒσ01Ｐ11｝
ｑ1＝ｍａｘ｛Ｔｒσ10Ｐ00，Ｔｒσ10Ｐ01，Ｔｒσ11Ｐ00，Ｔｒσ11Ｐ01｝ …（７０）
これを用いて、パラメータπLを下記（７１）式により計算する。
πL＝２nLh(P*)+n0log(q0)+n1log(q1))
Ｐ*＝Ｐ++（ｋ／ｎL） …（７１）
ｃを正数とすれば、反対基底を用いた場合の受信データおよび盗聴情報を条件とした場合の送信データの条件付確率ｐx|yzに関して、マルコフの不等式より下記（７２）式が成り立つ。
Ｐｒ［ｐx|yz＞ΠL］≦（１／ｃ）
ΠL＝πL／（１−√（ｃωL））2 …（７２）
ここで正数ｃは、鍵のもつ情報量（レニーエントロピー）Ｒxができるだけ大きく、あるいは、最終的な（圧縮後の）鍵のもつ情報量（相互情報量）ができるだけ小さく見積もれるように決定する。
前記（６２）式および（７２）式を用いて、適当にＲm x[L]およびεLを選ぶことによって、部分Ｌのもつ情報量Ｒx[L]に関する下記（７３）式の形の条件式を導出する。
Ｐｒ［Ｒx[L]＞Ｒm x[L]］≦εL …（７３）
たとえば、τ＝０の場合、Ｒm x[L]およびεLは下記（７４）式のようにとることができる。
Ｒm x[L]＝−ｌｏｇΠL
εL＝１／ｃ …（７４）
さらに、部分Ｋのもつ情報量の下限値を下記（７５）式により計算する。
Ｒx＝Ｒx[K]＝ｍｉｎM（Ｒm x[L]＋Ｒm x[M]） …（７５）
ただし、ｍｉｎMはｎi M≦ｎi M+（ｉ＝０，１）という条件のもとでＭに関して最小化するものとする。
つぎに、受信機側の装置の特性を用いて鍵の持つ情報量Ｒxを計算する手順を示す（ステップＳ８，ステップＳ１９に相当）。実際に送信機から出力される０°，９０°，４５°，１３５°方向に偏光された光子の量子状態（送信機誤差を含む送信状態）をρ00，ρ01，ρ10，ρ11と表す。また、各量子状態は、それぞれ確率ｐ00，ｐ01，ｐ10，ｐ11で出力されるものとする。さらに、実際に受信機が行う０°，９０°，４５°，１３５°方向の測定（受信機誤差を含む測定）に対応する演算子をＥ00，Ｅ01，Ｅ10，Ｅ11と表す。ここで、各演算子は、ヒルベルト空間Ｈ上の密度演算子になっているものとする。この演算子Ｅ00，Ｅ01，Ｅ10，Ｅ11は、予め送信側の通信装置に対して公開しておく。また、量子状態ρ00，ρ01，ρ10，ρ11は、予め受信側の通信装置に対して公開しておく。ただし、送信側の通信装置でＲxを計算し、その結果を受信側に公開する場合には、これらの値（量子状態）を公開する必要はない。
送信側の通信装置では、量子状態ρij（ｉ，ｊは０もしくは１）を下記（７６）式のように分解する。
ρij＝ｐij (0)ρij (0)＋ｐij (1)ρij (1) …（７６）
ただし、ρij (0)，ρij (1)はヒルベルト空間Ｈ上の密度演算子であり、下記（７７）式をみたすものとする。ただし、ヒルベルト空間Ｈに対して、Ｓ（Ｈ）はＨ上の量子状態からなる集合を表すものとする。
０＜ｐ(0)≦ｍｉｎ｛ｐij｝
ｐij (0)＝ｐ(0)／ｐij
ｐij (0)＋ｐij (1)＝１
ρij (0)∈Ｓ（Ｈij (0)）
ｄｉｍＨij (0)＝２ …（７７）
この分解は、鍵のもつ情報量Ｒxができるだけ大きく、あるいは、最終的な（圧縮後の）鍵のもつ情報量ができるだけ小さく見積もれるように決定する。以下、送信機は、確率ｐij (0)でρij (0)を出力し、確率ｐij (1)でρij (1)を出力するものと考える。
上記と同様に、Ｘは００，０１，１０，１１の４つの値をとるものとする。ＰX (0)をＨX (0)への射影演算子とする。これを用いてＨX (0)上の演算子ＦX´を下記（７８）式により定義する。
ＦX´＝ＰX (0)ＥXＰX (0) …（７８）
さらに、ヒルベルト空間Ｈの２次元部分ヒルベルト空間をＨ2とする。ＦX（Ｘ＝００，０１，１０または１１）をヒルベルト空間Ｈ2上の演算子で下記（７９）式を満たすものとする。ただし、Ｉはヒルベルト空間Ｈ2上の単位演算子を表す。
Ｆ00＋Ｆ01＝Ｉ
Ｆ10＋Ｆ11＝Ｉ …（７９）
ヒルベルト空間Ｈ2および演算子ＦXは、下記（８０）式で定義されるΔX（Ｘ＝００，０１，１０または１１）あるいはその上限を最小化するものを選ぶ。
ΔX＝ｄ（ＦX´，ＦX） …（８０）
いま、ρ0 (0)およびρ1 (0)を下記（８１）式で与えられる基底に関する平均量子状態とする。
ρ0 (0)＝（ρ00 (0)＋ρ01 (0)）／２
ρ1 (0)＝（ρ10 (0)＋ρ11 (0)）／２ …（８１）
さらに、υを基底ａ［Ｌ］に対応する平均量子状態ρa[L] (0)と反転基底ａ~［Ｌ］に対応する平均量子状態ρa~[L] (0)の間のトレース距離の上限値とする。すなわち、υは下記（８２）式をみたすものとする。
ｄ（ρa[L] (0)，ρa~[L] (0)）≦υ …（８２）
以下、ρをＥに、σをＦに置き換えて、上記（６３）式から（７５）式までを計算し、部分Ｋのもつ情報量の下限値Ｒxを求める。
つぎに、２つの非直交量子状態をもちいる量子鍵配送方式（Ｂ９２プロトコル）を考える。このプロトコルでは、ステップＳ２，ステップＳ３，ステップＳ１２，ステップＳ１３を以下で置き換える。まず、送信機側では、長さｎAのランダムなビット列ｘ［Ａ］を用意し、ビット０に０°に偏光された光を、ビット１に４５°に偏光された光を、対応させる（ステップＳ２）。この対応関係に基づいて、送信機側は受信側に光子を送信する（ステップＳ３）。受信機側でも、長さｎAのランダムなビット列ａ［Ａ］を用意し、ビット０に水平垂直方向（０°，９０°）の偏光を識別可能な測定器を、ビット１に斜め方向（４５°，１３５°）の偏光を識別可能な測定器を、対応させる（ステップＳ１２）。この対応関係に基づいて、受信機側は、受信側から送られてきた光子を測定する（ステップＳ１３）。なお、鍵生成の効率をよくするため、本実施例では、４５°偏光を用いたが、０°と直交しない偏光であればよい。
受信側で検出できた部分をＤとする。受信側で９０°もしくは１３５°の結果が得られた場合、受信データをそれぞれ１，０とする。それ以外の場合、データを捨てる。Ｄのうち、捨てられずに残った部分をＣとする。受信側で得られたデータをｙ［Ｃ］とする（ステップＳ１３）。部分Ｃの位置に対応する送信データをｘ［Ｃ］とする（ステップＳ３）。
ステップＳ４からステップＳ７まで、ステップＳ１４からステップＳ１８までは、これまでと同様に行う。
送信側の通信装置および受信側の通信装置では、量子通信路を通して盗聴者にもれた情報を考慮した上での鍵（送信データｘ［Ｋ］）のもつ情報量（の下限値）Ｒxを推定する（ステップＳ８，ステップＳ１９に相当）。ここでは、送信側の通信装置と受信側の通信装置の両方で鍵のもつ情報量Ｒxを計算することとしてもよいし、または、送信側の通信装置でＲxを計算し、その結果を受信側に公開することとしてもよい。以下では、特に、両方でＲxを計算する場合について説明する。
実際に送信機から出力される０°，４５°方向に偏光された光子の量子状態（送信機誤差を含む送信状態）をρ0，ρ1と表す。ここで、各量子状態は、ヒルベルト空間Ｈ上の密度演算子になっているものとする。また、各量子状態は、それぞれ確率ｐ0，ｐ1で出力されるものとする。この量子状態ρ0，ρ1は、予め受信側の通信装置に対して公開しておく。ただし、送信側の通信装置でＲxを計算し、その結果を受信側に公開する場合には、これらの値を公開する必要はない。
送信側の通信装置では、量子状態ρi（ｉは０もしくは１）を下記（８３）式のように分解する。
ρi＝ｐi (0)ρi (0)＋ｐi (1)ρi (1)
０＜ｐ(0)≦ｍｉｎ｛ｐi｝
ｐi (0)＝ｐ(0)／ｐi
ｐi (0)＋ｐi (1)＝１ …（８３）
この分解は、鍵のもつ情報量Ｒxができるだけ大きく見積もれるように決定する。たとえば、ｄ（ｐ0 (1)ρ0 (1)，ｐ1 (1)ρ1 (1)）はできるだけ小さく、ｐ0 (1)＋ｐ1 (1)はできるだけ大きくなるように選ぶと、一般にＲxを大きく見積もることができる。以下、送信機は、確率ｐi (0)でρi (0)を出力し、確率ｐi (1)でρi (1)を出力するものと考える。
Ｘ，Ｙは０，１の２つの値をとるものとする。上記量子状態ρX (0)のスペクトル分解を
ρX (0)＝ΣkXλX（ｋX）｜ｋX〉〈ｋX｜ …（８４）
とし、μXYを集合｛ｋX｝から集合｛ｋY｝への写像とする。さらに、｜φkX〉を適当なヒルベルト空間の元とする。ここで、２行２列のグラム行列Ｇを下記（８５）式により計算する。
ＧXY＝ΣkX〈ｋX｜ｋXY〉〈φkX｜φkXY〉√（λX（ｋX）λY（ｋXY））
…（８５）
ただし、ｋXY＝μXY（ｋX）である。μXYおよび｜φkX〉は、鍵のもつ情報量Ｒxができるだけ大きく見積もれるように選ぶ。
グラム行列Ｇは、半正定値であるから２次の正方行列Ｃが存在して下記（８６）式が成り立つ。
Ｇ＝Ｃ*Ｃ …（８６）
さらに、Ｇの対角成分は１であるから、行列Ｃの列ベクトルは２次元ヒルベルト空間Ｈ2上の長さ１の元とみなすことができる。そこで、Ｈ2上の量子状態σ00，σ01，σ10，σ11を下記（８７）式により定義する。ただし、Ｉはヒルベルト空間Ｈ2上の単位演算子を表す。
σ00＝｜Ｃ0〉〈Ｃ0｜
σ01＝Ｉ−σ00
σ11＝｜Ｃ1〉〈Ｃ1｜
σ10＝Ｉ−σ11 …（８７）
ここで、ＣXは行列Ｃの第Ｘ列をあらわすものとする。このσXYの構成法より、σXXからρX (0)への完全正写像の存在が保証される。そこで、以下、ρX (0)の代わりにσXXが出力されるものと考える。
部分Ｋのうち、ρi (0)が出力されている部分をＬ、ρi (1)が出力されている部分をＭ、とする。部分Ｍの長さの上限値ｎM+，部分Ｍのもつ情報量（の下限値）Ｒx[M]を見積もり、これらの見積もりが誤ってしまう確率（の上限値）εEを計算する。この計算は、たとえば、以下のようにして行うことができる。まず、δLを適当な正数とし、部分Ｍの長さの上限値ｎM+を下記（８８）式により見積もる。
ｐ(1)＝ｐ0ｐ0 (1)＋ｐ1ｐ1 (1)
ｐM＝（（ｎM／ｎA）−δM）／（ｐ(1)ｎK／ｎC）
ｎM+=ｍａｘM｛ｎM｝ …（８８）
なお、ｍａｘMはｐM≦１という条件のもとで、Ｍに関して最大化するものとする。
この見積もりが誤ってしまう確率の上限値を、下記（８９）式で計算する。
εE＝ｎAｅｘｐ（−ｎAＤ（Ｂ（ｎM／ｎA）｜（Ｂ（ｎM／ｎA−δM）））
…（８９）
Ｔi（ｉは０もしくは１）をヒルベルト空間Ｈ上の演算子で、下記（９０）式を満たすものとする。ただし、Ｉはヒルベルト空間Ｈ上の単位演算子を表す。
０≦Ｔi，Ｔ0＋Ｔ1≦Ｉ …（９０）
これにより、Ｔiは部分Ｍにおいて、送信量子状態がρ0 (1)であるかρ1 (1)であるかを識別するための測定演算子と考えることができる。この識別が成功する確率の最大値を下記（９１）式で計算する。
ｐi (M)＝ｐiｐi (1)／（ｐ0ｐ0 (1)＋ｐ1ｐ1 (1)）
ｓM,＝ｍａｘT｛（ΣiＴrｐi (M)ρi (1)Ｔi）／（Σi,jＴrｐi (M)ρi (1)Ｔj）｝ …（９１）
ただし、ｍａｘTは下記（９２）式を満たすという条件のもとでＴに関して最大化するものとする。
（ΣijＴrｐi (M)ρi (1)Ｔj）≧ｐM …（９２）
これを用いて、部分Ｍのもつ情報量の下限値Ｒx[M]を下記（９３）式により計算する。
Ｒx[M]＝−ｎMｌｏｇｓM …（９３）
上記（５７）式から（７５）式までを計算し、部分Ｋのもつ情報量の下限値Ｒxを求める。ただし、下記（９４）式中のパラメータに関しては同式中の値を用いるものとする。
σ00´＝σ00，σ01´＝σ01，σ10´＝σ10，σ11´＝σ11
ΔX＝０，υ＝０，τ＝０，εk＝０，ｋ＝０ …（９４）
つぎに、２つの非直交量子状態をもちいる量子鍵配送方式（Ｂ９２プロトコル）において、受信機側の装置の特性を用いて鍵の持つ情報量Ｒxを計算する手順を示す（ステップＳ８，ステップＳ１９に相当）。実際に送信機から出力される０°，４５°方向に偏光された光子の量子状態（送信機誤差を含む送信状態）をρ0，ρ1と表す。また、各量子状態はそれぞれ確率ｐ0，ｐ1で出力されるものとする。さらに、実際に受信機が行う０°，４５°方向の測定（受信機誤差を含む測定）に対応する演算子をＥ0，Ｅ1と表す。ここで、各演算子は、ヒルベルト空間Ｈ上の密度演算子になっているものとする。この演算子Ｅ0，Ｅ1は、予め送信側の通信装置に対して公開しておく。また、量子状態ρ0，ρ1は、予め受信側の通信装置に対して公開しておく。ただし、送信側の通信装置でＲxを計算し、その結果を受信側に公開する場合には、これらの値（量子状態）を公開する必要はない。
送信側の通信装置では、量子状態ρij（ｉは０もしくは１）を下記（９５）式のように分解する。
ρi＝ｐi (0)ρi (0)＋ｐi (1)ρi (1) …（９５）
ただし、ρi (0)，ρi (1)はヒルベルト空間Ｈ上の密度演算子であり、下記（９６）式をみたすものとする。ただし、ヒルベルト空間Ｈに対して、Ｓ（Ｈ）はＨ上の量子状態からなる集合を表すものとする。
０＜ｐ(0)≦ｍｉｎ｛ｐij｝
ｐij (0)＝ｐ(0)／ｐij
ｐij (0)＋ｐij (1)＝１
ρi (0)∈Ｓ（Ｈi (0)） …（９６）
この分解は、鍵のもつ情報量Ｒxができるだけ大きく見積もれるように決定する。以下、送信機は確率ｐi (0)でρi (0)を出力し、確率ｐi (1)でρi (1)を出力するものと考える。
Ｘは０，１の２つの値をとるものとする。ＰX (0)をＨX (0)への射影演算子とする。これを用いてＨX (0)上の演算子ＦXを下記（９７）式により定義する。
ＦX＝ＰX (0)ＥXＰX (0) …（９７）
以下、ρをＥに、σをＦに置き換えて、上記（５７）式から（７５）式までを計算し、部分Ｋのもつ情報量の下限値Ｒxを求める。ただし、上記（８８）式から（９４）式までの中に記されるパラメータに関しては当該式中の値を用いるものとする。
なお、本実施例では、受信側の通信装置においても、上記ステップＳ８と同様の処理で鍵の持つ情報量Ｒxを計算する。
情報量ＩEの代わりに情報量（ｎK−Ｒx）を用いて、上記ステップＳ９，ステップＳ２０と同様の手順で鍵を圧縮する。
このように、本実施例おいては、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用のパリティ検査行列を用いて共有情報のデータ誤りを訂正しつつ、上記ステップＳ４およびＳ１４、ステップＳ７およびＳ１８、ステップＳ８およびＳ１９、を実行し、さらに、上記処理の過程で公開通信路を介して公開した情報量および量子通信路を通して盗聴者にもれた情報量の推定値に応じてデータを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とすることとした。これにより、高度に安全性の保証された共通鍵を効率良く生成することができる。すなわち、成功確率が１−εE−εp−εk−εc以上で、かつ盗聴者にもれる情報量が（２-v／ｌｎ２）＋ｎLｅL以下の、量子鍵配送方法が実現できる。なお、ｌｎは、底が自然対数ｅの対数関数を表している。
以上のように、本発明にかかる量子鍵配送方法および通信装置は、高度に安全性の保証された共通鍵を生成する技術として有用であり、特に、盗聴者が存在する可能性のある伝送路上の通信に適している。

Claims (18)

  1. 基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信する第１の通信装置、および当該量子通信路上の量子状態を乱数列により規定された基底を用いて測定することによりデータを得る第２の通信装置、にて実行され、送信側と同一の基底を用いた測定により得られたデータを受信データとし、当該受信データに対応する乱数列を送信データとする量子鍵配送方法において、
    前記送信データおよび前記受信データからそれぞれ所定数の同一位置のデータを抽出し、抽出後の部分データの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定するエラー確率推定ステップと、
    前記エラー確率推定値と前記第１の通信装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定する情報量推定ステップと、
    を含み、
    各通信装置は、前記盗聴者にもれた情報量の推定値に基づいて圧縮した後の送信データおよび受信データを各通信装置間で共有の暗号鍵とすることを特徴とする量子鍵配送方法。
  2. 前記情報量推定ステップにおいては、前記エラー確率推定値と、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性に関する情報、に基づいて、量子通信路を通して盗聴者にもれた情報量を推定することを特徴とする請求項１に記載の量子鍵配送方法。
  3. 前記情報量推定ステップにおいては、第１の通信装置が持つ送信データおよび第２の通信装置が持つ受信データをそれぞれ所定の数に分割し、当該分割データのそれぞれに対して盗聴者にもれた情報量を推定することを特徴とする請求項２に記載の量子鍵配送方法。
  4. さらに、第１の通信装置が持つ送信データと第２の通信装置が持つ受信データが一致しているかどうかを判定するための所定の判定情報に基づいて判定処理を行い、当該判定結果が不一致の場合、前記各通信装置が持つデータを捨てる一致判定ステップ、
    を含み、
    前記一致判定ステップでは、
    前記第１の通信装置が、前記所定の判定情報として、「所定のランダム行列×第１の通信装置が持つ送信データ」の計算により特定ビット長の第１の判定情報を求め、当該第１の判定情報を、公開通信路を介して前記第２の通信装置に送信し、
    前記第２の通信装置が、前記所定の判定情報として、「所定のランダム行列×第２の通信装置が持つ受信データ」の計算により前記第１の判定情報と同一ビット長の第２の判定情報を求め、当該第２の判定情報を、公開通信路を介して前記第１の通信装置に送信し、
    その後、前記第１の通信装置が、前記判定処理として、前記第１の判定情報と前記第２の通信装置から得られた第２の判定情報とが一致しているかどうかを判定し、
    一方、前記第２の通信装置が、前記判定処理として、前記第２の判定情報と前記第１の通信装置から得られた第１の判定情報とが一致しているかどうかを判定することを特徴とする請求項１、２または３に記載の量子鍵配送方法。
  5. ２準位の量子系を前提とした場合、
    前記情報量推定ステップでは、
    解析の比較的容易な近似プロトコル（性質のよい量子状態を用いたプロトコル）と現実のプロトコル（現実の状況における送信誤差を含む量子状態を用いたプロトコル）の変動距離の上限値を計算する第１の工程と、
    前記近似プロトコルにおいて、現実とは反対の基底を用いた場合に、前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値を計算する第２の工程と、
    送信データを条件とした場合の受信データおよび盗聴情報の条件付確率の上限値を計算する第３の工程と、
    前記第２の工程にて得られる前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値、および前記第３の工程にて得られる条件付確率の上限値に基づいて、前記近似プロトコルにおける盗聴量を計算する第４の工程と、
    前記近似プロトコルにおける盗聴量、および前記第１の工程にて得られる変動距離の上限値に基づいて、現実のプロトコルにおける盗聴量を計算し、その結果を、前記量子通信路を通して盗聴者にもれた情報量とする第５の工程と、
    を含むことを特徴とする請求項１に記載の量子鍵配送方法。
  6. ２準位の量子系を前提とした場合、
    前記情報量推定ステップでは、
    解析の比較的容易な近似プロトコル（性質のよい演算子を用いたプロトコル）と現実のプロトコル（現実の状況における受信誤差を含む測定演算子を用いたプロトコル）の変動距離の上限値を計算する第１の工程と、
    前記近似プロトコルにおいて、現実とは反対の基底を用いた場合に、前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値を計算する第２の工程と、
    送信データを条件とした場合の受信データおよび盗聴情報の条件付確率の上限値を計算する第３の工程と、
    前記第２の工程にて得られる前記エラー確率推定値が真の値よりも小さく見積もられてしまう確率の上限値、および前記第３の工程にて得られる条件付確率の上限値に基づいて、前記近似プロトコルにおける盗聴量を計算する第４の工程と、
    前記近似プロトコルにおける盗聴量、および前記第１の工程にて得られる変動距離の上限値に基づいて、現実のプロトコルにおける盗聴量を計算し、その結果を、前記量子通信路を通して盗聴者にもれた情報量とする第５の工程と、
    を含むことを特徴とする請求項２に記載の量子鍵配送方法。
  7. 前記情報量推定ステップでは、前記第１の通信装置が備える量子状態生成器の特性に基づいて、または、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定し、
    各通信装置は、前記鍵の持つ情報量の推定値に基づいてそれぞれが持つデータを圧縮し、圧縮後のデータを各通信装置間で共有の暗号鍵とすることを特徴とする請求項１に記載の量子鍵配送方法。
  8. 必ずしも２準位とは限らない量子系を前提とし、前記第２の通信装置の観測値として「０」、「１」の他に「非検出」という結果を想定し、さらに、全送信データをｘ［Ａ］とし、当該ｘ［Ａ］のうち第２の通信装置で検出できたデータ部分をｘ［Ｄ］とし、当該ｘ［Ｄ］のうち送信側と受信側で用いた基底が一致した部分をｘ［Ｃ］とし、前記エラー確率推定ステップにて用いた部分データをｘ［Ｒ］とし、共有鍵生成用の部分データ（ｘ［Ｃ］−ｘ［Ｒ］）をｘ［Ｋ］とした場合（Ａ、Ｄ、Ｃ、Ｋ、Ｒはビット位置を示す部分集合に相当）、
    量子状態を、鍵の持つ情報量ができるだけ大きく見積もれるように、ヒルベルト空間上の第１の密度演算子を含む部分（部分集合Ｋのうちの部分Ｌに相当）、第２の密度演算子を含む部分（部分集合Ｋのうちの部分Ｍ（＝Ｋ−Ｌ）に相当）に分解する第１の工程と、
    前記部分Ｍの持つ情報量を見積もる第２の工程と、
    前記部分Ｌの持つ情報量を見積もる第３の工程と、
    前記部分Ｍの持つ情報量と前記部分Ｌの持つ情報量とを用いて前記部分Ｋの持つ情報量を計算する第４の工程と、
    を含むことを特徴とする請求項７に記載の量子鍵配送方法。
  9. ２つの非直交量子状態を用いる量子鍵配送方式に対して適用可能とすることを特徴とする請求項８に記載の量子鍵配送方法。
  10. 基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信する第１の通信装置と、当該量子通信路上の量子状態を乱数列により規定された基底を用いて測定することによりデータを得る第２の通信装置と、から構成され、前記第２の通信装置が、前記第１の通信装置と同一の基底を用いた測定により得られたデータを受信データとし、前記第１の通信装置が、当該受信データに対応する乱数列を送信データとする量子鍵配送を実現する通信システムにおいて、
    前記第１の通信装置は、
    前記送信データから所定数の第１の部分データを抽出し、一方で、前記第２の通信装置から前記第１の部分データと同一位置の第２の部分データ（前記受信データから抽出された部分データ）を受信し、両方の部分データの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定し、その後、前記エラー確率推定値と自装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定し、そして、当該盗聴者にもれた情報量の推定値に基づいて圧縮した後の送信データを各通信装置間で共有の暗号鍵とする第１の共有鍵生成手段、
    を備え、
    前記第２の通信装置は、
    前記第２の部分データと前記第１の通信装置から受信した前記第１の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータにおけるエラー確率を推定し、その後、前記エラー確率推定値と前記第１の通信装置が備える量子状態生成器の特性に関する情報に基づいて、量子通信路を通して盗聴者にもれた情報量を推定し、そして、当該盗聴者にもれた情報量の推定値に基づいて圧縮した後の受信データを各通信装置間で共有の暗号鍵とする第２の共有鍵生成手段、
    を備えることを特徴とする通信システム。
  11. 前記第１および第２の共有鍵生成手段は、前記エラー確率推定値と、前記第１の通信装置が備える量子状態生成器および前記第２の通信装置が備える量子状態測定器の特性に関する情報、に基づいて、量子通信路を通して盗聴者にもれた情報量を推定することを特徴とする請求項１０に記載の通信システム。
  12. 前記第１および第２の共有鍵生成手段は、
    さらに、第１の通信装置が持つ送信データと第２の通信装置が持つ受信データが一致しているかどうかを判定するための所定の判定情報に基づいて判定処理を行い、当該判定結果が不一致の場合、前記各通信装置が持つデータを捨てる処理を実行し、
    前記判定処理では、
    前記第１の共有鍵生成手段が、前記所定の判定情報として、「所定のランダム行列×第１の通信装置が持つ送信データ」の計算により特定ビット長の第１の判定情報を求め、当該第１の判定情報を、公開通信路を介して前記第２の通信装置に送信し、
    前記第２の共有鍵生成手段が、前記所定の判定情報として、「所定のランダム行列×第２の通信装置が持つ受信データ」の計算により前記第１の判定情報と同一ビット長の第２の判定情報を求め、当該第２の判定情報を、公開通信路を介して前記第１の通信装置に送信し、
    その後、前記第１の共有鍵生成手段が、前記第１の判定情報と前記第２の通信装置から得られた第２の判定情報とが一致しているかどうかを判定し、
    一方、前記第２の共有鍵生成手段が、前記第２の判定情報と前記第１の通信装置から得られた第１の判定情報とが一致しているかどうかを判定することを特徴とする請求項１０または１１に記載の通信システム。
  13. 基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置において送信側と同一の基底を用いた測定により得られたデータ、に対応する乱数列を第１の送信データとする量子状態送信側の通信装置において、
    前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、
    所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、
    前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、
    前記推定エラー確率および送信機または受信機の特性に関する情報から量子通信路を通して盗聴者にもれた情報量を推定する推定機能と、
    前記盗聴者にもれた情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
  14. 量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、量子状態送信側と同一の基底を用いた測定により得られたデータを第１の受信データとする量子状態受信側の通信装置において、
    前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、
    前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、
    前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、
    前記推定エラー確率および送信機または受信機の特性に関する情報から量子通信路を通して盗聴者にもれた情報量を推定する推定機能と、
    前記盗聴者にもれた情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
  15. 基底およびデータに対応する２つの乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置において送信側と同一の基底を用いた測定により得られたデータ、に対応する乱数列を第１の送信データとする送信側の通信装置において、
    前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、
    所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、
    前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、
    量子状態生成器の特性に基づいて、または、当該量子状態生成器および前記受信側の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、
    前記鍵の持つ情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
  16. 量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、量子状態送信側と同一の基底を用いた測定により得られたデータを第１の受信データとする量子状態受信側の通信装置において、
    前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、
    前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、
    前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、
    前記送信側の通信装置が備える量子状態生成器の特性に基づいて、または、当該量子状態生成器および量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、
    前記鍵の持つ情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
  17. データに対応する乱数列によって規定された量子状態を量子通信路上に送信し、当該量子状態受信側の通信装置における測定結果と一致も直交もしない量子状態、に対応する乱数列を第１の送信データとする送信側の通信装置において、
    前記第１の送信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して前記受信側の通信装置に通知し、その後、前記受信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の送信データとするエラー確率推定機能と、
    所定の誤り訂正情報を、公開通信路を介して前記第２の通信装置に通知し、公開した誤り訂正情報の量に応じて前記第２の送信データを圧縮し、圧縮後のデータを第３の送信データとする誤り訂正機能と、
    前記第３の送信データと受信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記受信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の送信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の送信データを圧縮し、圧縮後のデータを第４の送信データとする一致判定機能と、
    量子状態生成器の特性に基づいて、または、当該量子状態生成器および前記受信側の通信装置が備える量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、
    前記鍵の持つ情報量の推定値に基づいて前記第４の送信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
  18. 量子通信路上の量子状態に対して乱数列により規定された基底を用いて測定することにより得られたデータのうち、送信側の量子状態と一致も直交もしない測定結果、に対応するデータを第１の受信データとする量子状態受信側の通信装置において、
    前記第１の受信データから所定数のビット位置のデータを抽出し、抽出後の部分データを、公開通信路を介して光子送信側の通信装置に通知し、その後、前記送信側の通信装置から得られる同一ビット位置の部分データとの一致度（エラー確率）に基づいて、鍵生成に用いるデータのエラー確率を推定し、さらに、公開した部分データ以外の残りのデータを第２の受信データとするエラー確率推定機能と、
    前記送信側の通信装置から得られる誤り訂正情報に基づいて前記第２の受信データの誤りを訂正し、前記送信側の通信装置により公開された誤り訂正情報の量に応じて前記誤り訂正後の第２の受信データを圧縮し、圧縮後のデータを第３の受信データとする誤り訂正機能と、
    前記第３の受信データと前記送信側の通信装置から得られるデータとが一致しているかどうかを判定するための判定情報を、公開通信路を介して前記送信側の通信装置に通知し、前記判定情報に基づく判定結果が不一致の場合、前記第３の受信データを捨て、一方、前記判定結果が一致の場合、公開した判定情報の量に応じて前記第３の受信データを圧縮し、圧縮後のデータを第４の受信データとする一致判定機能と、
    前記送信側の通信装置が備える量子状態生成器の特性に基づいて、または、当該量子状態生成器および量子状態測定器の特性に基づいて、鍵の持つ情報量を推定する推定機能と、
    前記鍵の持つ情報量の推定値に基づいて前記第４の受信データを圧縮し、圧縮後のデータを装置間で共有の暗号鍵とする共有鍵生成機能と、
    を有することを特徴とする通信装置。
JP2006553998A 2005-01-24 2006-01-24 量子鍵配送方法、通信システムおよび通信装置 Active JP4862159B2 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
JP2006553998A JP4862159B2 (ja) 2005-01-24 2006-01-24 量子鍵配送方法、通信システムおよび通信装置

Applications Claiming Priority (6)

Application Number Priority Date Filing Date Title
JP2005015466 2005-01-24
JP2005015466 2005-01-24
JP2005188865 2005-06-28
JP2005188865 2005-06-28
JP2006553998A JP4862159B2 (ja) 2005-01-24 2006-01-24 量子鍵配送方法、通信システムおよび通信装置
PCT/JP2006/301039 WO2006078033A1 (ja) 2005-01-24 2006-01-24 量子鍵配送方法、通信システムおよび通信装置

Publications (2)

Publication Number Publication Date
JPWO2006078033A1 true JPWO2006078033A1 (ja) 2008-06-19
JP4862159B2 JP4862159B2 (ja) 2012-01-25

Family

ID=36692404

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006553998A Active JP4862159B2 (ja) 2005-01-24 2006-01-24 量子鍵配送方法、通信システムおよび通信装置

Country Status (3)

Country Link
US (1) US20090169015A1 (ja)
JP (1) JP4862159B2 (ja)
WO (1) WO2006078033A1 (ja)

Families Citing this family (39)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20080298583A1 (en) * 2007-05-31 2008-12-04 Lucent Technologies Inc. System and method of quantum encryption
KR101314210B1 (ko) * 2009-11-24 2013-10-02 한국전자통신연구원 사용자 인증 양자 키 분배 방법
US9002009B2 (en) 2010-06-15 2015-04-07 Los Alamos National Security, Llc Quantum key distribution using card, base station and trusted authority
US8483394B2 (en) 2010-06-15 2013-07-09 Los Alamos National Security, Llc Secure multi-party communication with quantum key distribution managed by trusted authority
JP5436373B2 (ja) * 2010-08-26 2014-03-05 三菱電機株式会社 秘匿性増強処理演算装置およびこれを備えた量子暗号通信端末
GB201020424D0 (en) * 2010-12-02 2011-01-19 Qinetiq Ltd Quantum key distribution
WO2013048672A1 (en) 2011-09-30 2013-04-04 Los Alamos National Security, Llc Great circle solution to polarization-based quantum communication (qc) in optical fiber
WO2013048671A1 (en) 2011-09-30 2013-04-04 Los Alamos National Security, Llc Polarization tracking system for free-space optical communication, including quantum communication
US9509506B2 (en) 2011-09-30 2016-11-29 Los Alamos National Security, Llc Quantum key management
FR2983665B1 (fr) * 2011-12-02 2014-06-20 Commissariat Energie Atomique Procede de generation d'un code correcteur lineaire maximise, procede et dispositif de decodage d'un tel code
JP2015522998A (ja) * 2012-05-23 2015-08-06 ユニバーシティ オブ リーズ 安全通信方法
US8693691B2 (en) * 2012-05-25 2014-04-08 The Johns Hopkins University Embedded authentication protocol for quantum key distribution systems
US9819418B2 (en) 2012-08-17 2017-11-14 Los Alamos National Security, Llc Quantum communications system with integrated photonic devices
RU2507690C1 (ru) * 2012-11-13 2014-02-20 Федеральное государственное бюджетное учреждение науки Институт общей физики им. А.М. Прохорова Российской академии наук (ИОФ РАН) Способ квантового кодирования и передачи криптографических ключей
US8964989B2 (en) * 2012-11-20 2015-02-24 Ut-Battelle Llc Method for adding nodes to a quantum key distribution system
JP6165638B2 (ja) * 2014-01-08 2017-07-19 株式会社東芝 量子通信装置、量子通信方法及びプログラム
US9471279B2 (en) 2014-01-14 2016-10-18 The Regents Of The University Of Michigan Random number generation using untrusted quantum devices
WO2015160396A2 (en) * 2014-01-14 2015-10-22 The Regents Of The University Of Michigan Extraction of random numbers from physical systems
KR101559076B1 (ko) * 2014-01-24 2015-10-08 고려대학교 산학협력단 양자 채널을 통한 터보 코드 방식의 효율적인 정보 재건 기법
CN104104503B (zh) * 2014-07-22 2017-07-21 浙江工商大学 抗集体退相位噪声的错误容忍信道加密量子对话方法
US9703989B1 (en) * 2014-12-23 2017-07-11 Altera Corporation Secure physically unclonable function (PUF) error correction
JP2016171530A (ja) * 2015-03-13 2016-09-23 株式会社東芝 通信装置、通信方法、プログラムおよび通信システム
JP6400513B2 (ja) * 2015-03-18 2018-10-03 株式会社東芝 量子鍵配送装置、量子鍵配送方法およびプログラム
CN106161402B (zh) * 2015-04-22 2019-07-16 阿里巴巴集团控股有限公司 基于云环境的加密机密钥注入系统、方法及装置
CN106708470B (zh) * 2016-12-28 2023-04-07 清华大学 一种量子随机数发生器及量子随机数生成方法
US11025416B1 (en) 2018-03-09 2021-06-01 Wells Fargo Bank, N.A. Systems and methods for quantum session authentication
US11343087B1 (en) 2018-03-09 2022-05-24 Wells Fargo Bank, N.A. Systems and methods for server-side quantum session authentication
US10728029B1 (en) 2018-03-09 2020-07-28 Wells Fargo Bank, N.A. Systems and methods for multi-server quantum session authentication
US10855454B1 (en) 2018-03-09 2020-12-01 Wells Fargo Bank, N.A. Systems and methods for quantum session authentication
CN108712254B (zh) * 2018-06-20 2023-03-10 清华大学 一种量子密钥分发系统及方法
US10540146B1 (en) 2018-08-20 2020-01-21 Wells Fargo Bank, N.A. Systems and methods for single chip quantum random number generation
US10855453B1 (en) 2018-08-20 2020-12-01 Wells Fargo Bank, N.A. Systems and methods for time-bin quantum session authentication
US11240013B1 (en) 2018-08-20 2022-02-01 Wells Fargo Bank, N.A. Systems and methods for passive quantum session authentication
US11190349B1 (en) 2018-08-20 2021-11-30 Wells Fargo Bank, N.A. Systems and methods for providing randomness-as-a-service
US11095439B1 (en) * 2018-08-20 2021-08-17 Wells Fargo Bank, N.A. Systems and methods for centralized quantum session authentication
JPWO2021010429A1 (ja) * 2019-07-15 2021-01-21
CN114172640B (zh) * 2020-09-11 2023-09-19 军事科学院系统工程研究院网络信息研究所 基于量子分发的排序置换安全通信方法
CN112511302B (zh) * 2021-02-01 2021-07-02 北京中创为南京量子通信技术有限公司 Qkd系统的基矢比对网络数据压缩传输方法及装置
CN114745074B (zh) * 2022-03-08 2023-09-26 青岛理工大学 噪声环境下量子通信的拓扑semion纠错方法

Family Cites Families (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
AU2001282852A1 (en) * 2000-04-28 2001-11-20 The Regents Of The University Of California Method and apparatus for free-space quantum key distribution in daylight
FR2816780B1 (fr) * 2000-11-10 2003-01-31 Thomson Csf Procede et systeme de transmission par cryptographie quantique
WO2002089396A1 (en) * 2001-05-01 2002-11-07 Magiq Technologies, Inc. Quantum key system and method
US7403623B2 (en) * 2002-07-05 2008-07-22 Universite Libre De Bruxelles High-rate quantum key distribution scheme relying on continuously phase and amplitude-modulated coherent light pulses
CN1589544A (zh) * 2002-09-26 2005-03-02 三菱电机株式会社 量子发送装置、量子接收装置、量子密码通信装置和量子密码通信方法
JP4459526B2 (ja) * 2002-11-26 2010-04-28 三菱電機株式会社 量子鍵配送方法および通信装置
JP4346929B2 (ja) * 2003-03-10 2009-10-21 三菱電機株式会社 量子鍵配送方法および通信装置
US7983422B2 (en) * 2003-07-25 2011-07-19 Hewlett-Packard Development Company, L.P. Quantum cryptography

Also Published As

Publication number Publication date
WO2006078033A1 (ja) 2006-07-27
US20090169015A1 (en) 2009-07-02
JP4862159B2 (ja) 2012-01-25

Similar Documents

Publication Publication Date Title
JP4862159B2 (ja) 量子鍵配送方法、通信システムおよび通信装置
JP4554523B2 (ja) 量子鍵配送方法および通信装置
JP4290401B2 (ja) 量子鍵配送方法および通信装置
Biham et al. Security of quantum key distribution against all collective attacks
JP4346929B2 (ja) 量子鍵配送方法および通信装置
JP5871142B2 (ja) 暗号鍵共有システムにおける通信装置および暗号鍵生成方法
Zhan et al. On the using of discrete wavelet transform for physical layer key generation
JP2015522998A (ja) 安全通信方法
US20080222487A1 (en) Quantum Key Distribution Mehtod and Communication Apparatus
Guan et al. A practical protocol for three-party authenticated quantum key distribution
Wang et al. Quantum-safe cryptography: crossroads of coding theory and cryptography
Sutherland et al. Quantum steganography over noiseless channels: Achievability and bounds
EP3906634A1 (en) Device and method for processing data of a quantum key distribution system
JP4459526B2 (ja) 量子鍵配送方法および通信装置
Xhemrishi et al. Computational code-based privacy in coded federated learning
JP4231926B2 (ja) 量子鍵配送方法および通信装置
CN117394990A (zh) 量子密钥分发方法、装置、电子设备以及存储介质
Sharma et al. Security aspect of quantum key distribution
KR100822933B1 (ko) 양자 키 배송 방법 및 통신 장치
CN114157418B (zh) 一种基于量子网络的可信数据上链装置及方法
Lin et al. Cryptanalysis and improvement of the measurement-device-independent quantum key distribution with hyper-encoding
Bebrov Novel encoding–decoding procedure for quantum key distribution
Bruß et al. Quantum cryptography
Aldaghri Key Generation and Secure Coding in Communications and Private Learning
Islam Quantum Encryption with Certified Deletion

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20081127

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110712

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110909

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20111011

A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

R150 Certificate of patent or registration of utility model

Free format text: JAPANESE INTERMEDIATE CODE: R150