WO2019106971A1 - 単一光子検出装置及び量子鍵配送用受信装置 - Google Patents

Abstract

【課題】単一光子検出器を備える量子鍵配送用受信装置に対するＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃によるハッキングを排除する。 【解決手段】ｎ値の乱数を発生させ、乱数値ｉと、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる透過率Ｔｉで外部からの入力光を強度変調する光強度変調器と、光強度変調器で強度変調された入力光が入力され、単一光子を検出した時刻を受信情報として生成する単一光子検出器と、前記乱数値ｉにおける、前記単一光子検出器の光子検出率Ｓｉ、乱数発生器で発生する乱数値のうち乱数値ｉが占める割合であるマーク率Ｍｉ、及び、透過率Ｔｉから判定値Ｓｉ／（ＴｉＭｉ）を算出し、判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路とを備える。

Description

単一光子検出装置及び量子鍵配送用受信装置

　この発明は、量子鍵配送システム等の量子情報通信技術で利用される、単一光子検出装置と、この単一光子検出装置を用いた量子鍵配送用受信装置に関する。

　単一光子レベルの光を検出できる単一光子検出装置は、量子鍵配送システムなど量子情報通信技術の実用化に必要不可欠である。この単一光子検出装置に求められる特性としては、高い検出効率、低い暗電流雑音特性、低いアフターパルス発生確率、高速動作性等がある。一方、実用面を考えると、これら特性と低コスト性のバランスもまた重要な課題である。

　単一光子検出装置に含まれる、単一光子の検出を行う単一光子検出器として、これまで様々なものが提案されている。中でも、アバランシェフォトダイオード（ＡＰＤ：Ａｖａｌａｎｃｈｅ　ＰｈｏｔｏＤｉｏｄｅ）を利用した単一光子検出器は、実用面で最も有望なものの一つである。

　特に、ＡＰＤに定常電圧ではなくパルス電圧を印加して動作させる、いわゆるゲート動作型ガイガーモードＡＰＤ（Ｇａｔｅｄ　Ｇｅｉｇｅｒ　ｍｏｄｅ　ＡＰＤ）では、高い検出効率、低い暗電流雑音特性、及び、低いアフターパルス発生確率が実現される。上記のようなＧｅｔｅｄ　Ｇｅｉｇｅｒ　ｍｏｄｅ動作は、光通信波長帯（１．３μｍ／１．５μｍ）での単一光子検出器としてよく使用されているＩｎＧａＡｓ／ＩｎＰ－ＡＰＤに主に実装され、基礎実験や商用システム開発等で利用されている。

　図９を参照して、アクティブモジュレーション型の量子鍵配送用受信装置の一構成例を説明する。図９は、アクティブモジュレーション型の量子鍵配送用受信装置の一構成例の模式図である。

　量子鍵配送用受信装置は、偏波変調用乱数発生器１２０、偏波変調器１１０、偏光ビームスプリッタ１４０、第１の単一光子検出部１３１、第２の単一光子検出部１３２、及び、生鍵生成回路１５０を備えて構成されている。

　送信側装置（以下、送信者と称する。）は、単一光子レベルの光子を発生させ、これに偏波変調を施したうえで、受信側装置（以下、受信者と称する。）に送信する。送信者が行う偏波変調は、例えば、縦偏光（Ｖ偏光）及び横偏光（Ｈ偏光）を一方の組とし、これらと非直交な右斜め直線偏光（Ｄ（＋）偏光）及び左斜め直線偏光（Ｄ（－）偏光）を他方の組とし、これら４つの偏光状態のいずれか１つを無作為（ランダム）に選択して行う。

　送信者は、Ｖ偏光又はＤ（＋）偏光を選んだときは、自らのビット値を「１」とし、Ｈ偏光又はＤ（－）偏光を選んだときは、自らのビット値を「０」とする。そして、Ｖ偏光又はＨ偏光を選んだときは、Ｈ／Ｖ送信基底を選択したものとし、Ｄ（＋）偏光又はＤ（－）偏光を選んだときは、Ｄｉａｇｏｎａｌ送信基底を選択したものとする。

　受信者が備える偏波変調用乱数発生器１２０は、２値の偏波変調器用乱数を発生させ、偏波乱数値ｋ（ｋは０又は１）と、偏波乱数値ｋを発生させた時刻を含む基底乱数情報を生成する。基底乱数情報は、偏波変調器１１０及び生鍵生成回路１５０に送られる。

　受信者が備える偏波変調器１１０は、偏波変調用乱数発生器１２０が発生した乱数の偏波乱数値ｋに応じて、通過する光の偏波状態を変更する。

　偏波乱数値が「０」であるとき、偏波変調器１１０は、入力光の偏光状態を変えない。この場合、受信者は、Ｈ／Ｖ受信基底を選択したものとする。

　偏波乱数値が「１」であるとき、偏波変調器１１０は、入力光の偏光状態を、Ｖ偏光又はＨ偏光を、それぞれＤ（＋）偏光又はＤ（－）偏光に変え、Ｄ（＋）偏光又はＤ（－）偏光をＶ偏光又はＨ偏光に変える。この場合、受信者は、Ｄｉａｇｏｎａｌ受信基底を選択したものとする。

　偏光ビームスプリッタ１４０は、第１及び第２の出力端を有している。偏光ビームスプリッタは、入力された光がＨ偏光の場合は、第１の出力端から出力して第１の単一光子検出部１３１に送り、Ｖ偏光の場合は、第２の出力端から出力して第２の単一光子検出部１３２に送る。また、偏光ビームスプリッタ１４０は、入力された光がＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力する。

　第１及び第２の単一光子検出部１３１及び１３２は、それぞれ、いわゆるゲート動作型ガイガーモードＡＰＤ（以下、単にＡＰＤとも称する。）で構成され、光子を検出した時刻を第１及び第２の受信情報として、生鍵生成回路１５０に送る。

　生鍵生成回路１５０は、第１の単一光子検出部１３１で光子を検出した場合は、自らのビット値を「０」とし、第２の単一光子検出器で光子を検出した場合は、自らのビット値を「１」とする。また、偏波乱数値が「０」の場合は、Ｈ／Ｖ受信基底が選択され、「１」の場合は、Ｄｉａｇｏｎａｌ受信基底が選択されたものとする。生鍵生成回路１５０は、第１及び第２の単一光子検出器のいずれかでヒットした時刻での偏波乱数値から、受信者が受信した光の偏光状態が、Ｈ偏光、Ｖ偏光、Ｄ（－）偏光、Ｄ（＋）偏光のいずれかであるかを得ることができ、これが受信側での生鍵となる。

　その後、秘密鍵蒸留部（図示を省略する。）において、送信者の生鍵と受信者の生鍵から、鍵蒸留プロセスが行われ、送信者と受信者とで最終的な秘密鍵が共有される。ここで、鍵蒸留プロセスには、例えば、シフト鍵生成、誤り訂正、及び、秘密増幅のプロセスが含まれる。

　ここで、送信者と受信者の間に盗聴者が存在し、送信者が受信者に送った光子に対して盗聴者が何らかの操作をした場合、シフト鍵の誤り率が増加する。この誤り率の増加から盗聴者の存在を知り、場合によっては当該セッションを破棄することで、量子鍵配送システムでは安全な秘密鍵を共有できる。

　図９を参照して説明した量子鍵配送用受信装置はアクティブモジュレーション型であったが、偏波変調用乱数発生器、偏波変調器の代わりにハーフミラーと波長板を備えるパッシブモジュレーション型としてもよい。

　図１０を参照して、パッシブモジュレーション型の量子鍵配送用受信装置の一構成例を説明する。図１０は、パッシブモジュレーション型の量子鍵配送用受信装置の一構成例の模式図である。

　この量子鍵配送用受信装置は、ハーフミラー１１２、波長板１１４、第１及び第２の偏光ビームスプリッタ１４１及び１４２、第１～第４の単一光子検出部１３１～１３４、生鍵生成回路１５０を備えて構成されている。

　ハーフミラー１１２は、第１及び第２の出力端を有していて、入力された光を２分岐して、第１及び第２の出力端から出力する。入力される光が単一光子の場合は、第１及び第２の出力端からランダムに出力される。

　第１の出力端から出力された光は、第１の偏光ビームスプリッタ１４１に送られ、第２の出力端から出力された光は、波長板１１４を経て、第２の偏光ビームスプリッタ１４２に送られる。

　第１の偏光ビームスプリッタ１４１は、第１及び第２の出力端を有している。第１の偏光ビームスプリッタ１４１は、入力された光がＨ偏光の場合は、第１の出力端から出力して第１の単一光子検出部１３１に送り、Ｖ偏光の場合は、第２の出力端から出力して第２の単一光子検出部１３２に送る。また、第１の偏光ビームスプリッタ１４１は、入力された光がＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力し、第１及び第２の単一光子検出部１３１及び１３２のいずれかでランダムに検出される。

　波長板１１４は、入力光の偏光状態を、Ｖ偏光又はＨ偏光を、それぞれＤ（＋）偏光又はＤ（－）偏光に変え、Ｄ（＋）偏光又はＤ（－）偏光をＶ偏光又はＨ偏光に変えて、第２の偏光ビームスプリッタ１４２に送る。

　第２の偏光ビームスプリッタ１４２は、第１及び第２の出力端を有している。第２の偏光ビームスプリッタ１４２は、入力された時点でＨ偏光の場合は、第１の出力端から出力して第３の単一光子検出部１３３に送り、Ｖ偏光の場合は、第２の出力端から出力して第４の単一光子検出部１３４に送る。また、第２の偏光ビームスプリッタ１４２は、入力された時点でＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力し、第３及び第４の単一光子検出部１３３及び１３４のいずれかでランダムに検出する。

　第１～第４の単一光子検出部１３１～１３４は、それぞれ、ＡＰＤで構成され、光子を検出した時刻を第１～第４の受信情報として、生鍵生成回路１５０に送る。

　生鍵生成回路１５０は、第１の単一光子検出部１３１で光子を検出した場合は、Ｈ偏光、第２の単一光子検出部１３２で検出した場合は、Ｖ偏光、第３の単一光子検出部１３３で検出した場合は、Ｄ（＋）偏光、及び、第４の単一光子検出部１３４で検出した場合は、Ｄ（－）偏光として、これが受信側での生鍵となる。

　その後、秘密鍵蒸留部（図示を省略する。）において、送信者の生鍵と受信者の生鍵から、鍵蒸留プロセスが行われ、送信者と受信者とで最終的な秘密鍵が共有される。ここで、鍵蒸留プロセスには、例えば、シフト鍵生成、誤り訂正、及び、秘密増幅のプロセスが含まれる。

Ｌａｒｓ　Ｌｙｄｅｒｓｅｎ，　ｅｔ．ａｌ，"Ｈａｃｋｉｎｇ　ｃｏｍｍｅｒｃｉａｌ　ｑｕａｎｔｕｍ　ｃｒｙｐｔｏｇｒａｐｈｙ　ｓｙｓｔｅｍｓ　ｂｙ　ｔａｉｌｏｒｅｄ　ｂｒｉｇｈｔ　ｉｌｌｕｍｉｎａｔｉｏｎ"，Ｎａｔｕｒｅ　ｐｈｏｔｏｎｉｃｓ，　ｖｏｌ．４，　Ｏｃｔｏｂｅｒ，　ｐｐ．６８６－６８９（２０１０）

　ここで、単一光子検出器としてＧａｔｅｄ　Ｇｅｉｇｅｒ　ｍｏｄｅ　ＡＰＤを用いた場合、動作特性自体がセキュリティ上のループホールとなる可能性があることが知られている。その代表例として、量子鍵配送システムにおけるＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃がある（例えば、非特許文献１参照）。

　図９を参照して説明したアクティブモジュレーション型の量子鍵配送用受信装置に対するＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃について、図１１Ａから図１１Ｆを参照して説明する。図１１Ａから図１１Ｆは、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明するための模式図である。

　盗聴者は送信者からの光子を遮断する。盗聴者は連続光のバックグラウンド成分（Ｐ_ＣＷ）にピーク強度Ｐ_{ｐｕｌｓｅ}の光パルスを重畳した光パルスを用意し、受信者に送る。ここで、Ｐ_{ｐｕｌｓｅ}は単一光子レベルではなく、例えば数百μＷの、レーザ光強度レベルの光である。また、光パルスは、送信者が送信した偏波状態（Ｈ偏光、Ｖ偏光、Ｄ（＋）偏光もしくはＤ（－）偏光）の何れかと同じ偏波状態とする（図１１Ａ）。

　受信者側では、ＡＰＤにおいて、強い光強度の入力により強いクエンチングが生じる。その結果、ＡＰＤに実際に印加される電圧が低減しブレークダウン電圧以下となる。これにより、ＡＰＤでは雪崩増幅が生じず、通常のリニアＰＤの動作モードになる。

　リニアＰＤとなったＡＰＤの光入力－電気出力特性は線形となる。このとき、入力パルス強度がＰ_{ｐｕｌｓｅ}であるときの出力電流をＩ_１とすると、入力光パルス強度がＰ_{ｐｕｌｓｅ}／２であるときの出力はＩ_２＝Ｉ_１／２となる（図１１Ｂ）。

　ＡＰＤでは、出力電流がしきい値Ｉ_ｔｈ以上のときは信号検出（ｃｌｉｃｋ）、それ以下の時は信号検出なし（Ｎｏ　ｃｌｉｃｋ）とする。

　ここで、盗聴者がＩ_２＜Ｉ_ｔｈ＜Ｉ_１となるように、光パルス強度Ｐ_{ｐｕｌｓｅ}を制御する。このとき、ＡＰＤに入力される入力光パルス強度がＰ_{ｐｕｌｓｅ}であれば、ＡＰＤは常にｃｌｉｃｋとなり、その半分（Ｐ_{ｐｕｌｓｅ}／２）であるときは、常にＮｏ　ｃｌｉｃｋとなる。

　盗聴者の送信基底と、受信者の受信基底が一致しているとき、盗聴者が送った光パルスは一方のポートのみから出力される。例えば、盗聴者がＨ／Ｖ送信基底でＨ偏光の光パルスを送信し、受信基底がＨ／Ｖ受信基底である場合、偏光ビームスプリッタ１４０の第１の出力端から出力され、第１の単一光子検出部１３１でｃｌｉｃｋとなる（図１１Ｃ）。一方、第２の単一光子検出部１３２では常にＮｏ　ｃｌｉｃｋとなる（図１１Ｄ）。

　一方、盗聴者の送信基底と、受信者の受信基底が不一致であるとき、盗聴者が送った光パルスは、偏光ビームスプリッタ１４０の第１及び第２の出力端から等分されて出力される。例えば、盗聴者がＨ／Ｖ送信基底でＨ偏光の光パルスを送信し、受信基底がＤｉａｇｏｎａｌ受信基底である場合、偏光ビームスプリッタ１４０の第１及び第２の出力端から出力され、第１及び第２の単一光子検出部１３１及び１３２にＰ_{ｐｕｌｓｅ}／２の光強度で入力される。この場合、第１及び第２の単一光子検出部１３１及び１３２のいずれでも常にＮｏ　ｃｌｉｃｋとなる（図１１Ｅ及び図１１Ｆ）。

　つまり、盗聴者は、盗聴者の送信基底と受信者の受信基底が一致する場合は、受信者に同じ偏光状態の光でｃｌｉｃｋとなり、盗聴者の送信基底と受信者の受信基底が不一致の場合は、受信者において、常にＮｏ　ｃｌｉｃｋとなるようにできる。

　このような攻撃の結果、盗聴者は受信者の観測結果（生鍵）を自由に制御できるようになる。送信者と受信者がシフト鍵を作る際、受信者の受信基底情報は公開される。このため、盗聴者は受信者のシフト鍵に誤りを生じさせることなく、シフト鍵を取得することができる。

　この場合、秘匿増幅などの後処理を行っても、送信者と受信者が、盗聴者の知らない秘密鍵を共有することは不可能である。

　この攻撃は、盗聴者が生成する光パルスの強度を２倍にすれば、パッシブモジュレーション型の量子鍵配送用受信装置に対しても適用できる。

　この発明は、上述の問題点に鑑みてなされたものである。この発明の目的は、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃によるハッキングを排除できる単一光子検出装置、及び、これを用いた量子鍵配送用受信装置を提供することにある。

　上述した目的を達成するために、この発明の単一光子検出装置は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる透過率Ｔ_ｉで外部からの入力光を強度変調する光強度変調器と、光強度変調器で強度変調された入力光が入力され、単一光子を検出した時刻を受信情報として生成する単一光子検出器と、乱数値ｉにおける、単一光子検出器の光子検出率Ｓ_ｉ、乱数発生器で発生する乱数値のうち乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、透過率Ｔ_ｉから判定値Ｓ_ｉ／（Ｔ_ｉＭ_ｉ）を算出し、判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路とを備えて構成される。

　また、この発明の他の好適実施形態に係る単一光子検出装置は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、乱数値ｉによって定まる電圧値Ｖ_ｉのゲート電圧を生成するゲート電圧生成部と、外部からの入力光をゲート電圧の電圧値Ｖ_ｉで定まる検出効率η_ｉで検出する単一光子検出器と、乱数値ｉにおける、単一光子検出器の光子検出率Ｓ_ｉ、乱数発生器で発生する乱数値のうち乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、検出効率η_ｉから判定値Ｓ_ｉ／（η_ｉＭ_ｉ）を算出し、判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路とを備えて構成される。

　また、この発明の他の好適実施形態に係る単一光子検出装置は、外部からの入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、第ｊの単一光子検出器の光子検出率Ｓ_ｊ、及び、第ｊの入力光の強度の割合Ｔ_ｊから判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路とを備えて構成される。

　また、この発明の他の好適実施形態に係る単一光子検出装置は、外部からの、周期Δｔのパルス光である入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、第２の入力光を遅延させて、光合波部で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、入力合波光が入力され、単一光子を検出した時刻を受信情報として生成する単一光子検出器と、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットでの単一光子検出器における光子検出数をＳ_１、偶数番目の時間スロットでの単一光子検出器における光子検出数をＳ_２として判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路とを備えて構成される。

　また、この発明の量子鍵配送用受信装置は、単一光子検出部として、上記の単一光子検出装置を備えて構成され、認証信号が承認を示す場合に生鍵を生成する。

　この発明の単一光子検出装置及び量子鍵配送用受信装置によれば、レーザ光強度の光の入力と、単一光子レベルの光の入力を区別できるので、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を容易に検知できる。

第１の単一光子検出装置を説明する模式図である。 第１の単一光子検出装置の動作を説明する模式図（その１）である。 第１の単一光子検出装置の動作を説明する模式図（その２）である。 第１の単一光子検出装置の動作を説明する模式図（その３）である。 第１の単一光子検出装置の動作を説明する模式図（その４）である。 第２の単一光子検出装置を説明する模式図である。 第３の単一光子検出装置を説明する模式図である。 第４の単一光子検出装置を説明する模式図である。 第４の単一光子検出装置の動作を説明する模式図である。 第１の量子鍵配送用受信装置を説明する模式図である。 第２の量子鍵配送用受信装置を説明する模式図である。 アクティブモジュレーション型の量子鍵配送用受信装置を説明する模式図である。 パッシブモジュレーション型の量子鍵配送用受信装置を説明する模式図である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その１）である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その２）である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その３）である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その４）である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その５）である。 Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を説明する模式図（その６）である。

　以下、図を参照して、この発明の実施の形態について説明するが、各構成要素の形状、大きさ及び配置関係については、この発明が理解できる程度に概略的に示したものに過ぎない。また、以下、この発明の好適な構成例につき説明するが、単なる好適例にすぎない。従って、この発明は以下の実施の形態に限定されるものではなく、この発明の構成の範囲を逸脱せずにこの発明の効果を達成できる多くの変更又は変形を行うことができる。

　（第１の単一光子検出装置の構成）
　図１を参照して、この発明の第１の実施形態に係る単一光子検出装置（以下、第１の単一光子検出装置とも称する。）を説明する。図１は、第１の単一光子検出装置を説明する模式図である。

　第１の単一光子検出装置は、乱数発生器２０、光強度変調器１０、単一光子検出器３０、及び、計数処理回路４０を備えて構成される。

　乱数発生器２０は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、この乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する。乱数ビット値情報は、光強度変調器１０と計数処理回路４０に送られる。

　光強度変調器１０は、乱数値ｉによって定まる透過率Ｔ_ｉで外部からの入力光を強度変調する。

　外部からの入力光は、光強度変調器１０で強度変調されたのち、単一光子検出器３０に送られる。単一光子検出器３０は、単一光子を検出した時刻を受信情報として生成する。この受信情報は、計数処理回路４０に送られる。

　計数処理回路４０は、乱数値ｉにおける、単一光子検出器３０での光子検出率Ｓ_ｉ、乱数発生器２０で発生する乱数値のうち乱数値ｉが占める割合（マーク率）Ｍ_ｉ、及び、光強度変調器１０の透過率Ｔ_ｉから、判定値Ｓ_ｉ／（Ｔ_ｉＭ_ｉ）を算出する。この判定値が予め定めた基準を満たしている場合、例えば判定値がある一定値に等しい場合、承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する。

　（第１の単一光子検出装置の動作）
　ｎが２の場合、すなわち、乱数発生器２０が２値の乱数を発生する場合の、第１の単一光子検出装置の動作を説明する。

　この例では、乱数発生器２０は、乱数値「０」又は「１」を、等しい割合で生成する。すなわちマーク率Ｍ_０及びＭ_１をともに５０％とする。また、Ｔ_０＝０．５、Ｔ_１＝１とする。

　Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃の本質は、盗聴者が強い光パルスを送って、ピーク光強度Ｐ_{ｐｕｌｓｅ}の光パルスが単一光子検出器に入力されたら単一光子検出器は常に光子検出（ｃｌｉｃｋ）となり、ピーク光強度がＰ_{ｐｕｌｓｅ}／２の光パルスが単一光子検出器に入力されたら単一光子検出器は常に光子検出無（Ｎｏ　ｃｌｉｃｋ）となるように受信者を動作させることにある。これにより、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃では、盗聴者は受信者の受信結果を制御する。

　このとき、単一光子検出器３０には平均光子数が１よりも非常に大きい、レーザ光レベルの光が入力されている。従って、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃によるハッキングを排除するには、受信者が持つ単一光子検出器３０に入力される光が単一光子レベルの極微弱光であるか否かを受信者が探知できれば良い。

　一般に、単一光子検出器の内部量子効率は１００％よりも小さく、例えば、ＩｎＧａＡｓ／ＩｎＰ－ＡＰＤの場合で、６０～７０％程度である。実際のデバイスとして用いる場合は、光入力系の光学損失等があるため、検出効率はせいぜい４０％程度である。この程度の検出効率の単一光子検出器では、複数回の検出により期待値を知ることはできるが、入力された光子の数を知ることはできない。従って、一般的には、最終的な出力電流にしきい値Ｉ_ｔｈを設けて、出力電流がしきい値Ｉ_ｔｈ以上の時はｃｌｉｃｋ、それ以下の時はＮｏ　ｃｌｉｃｋとする、いわゆる、スレショルド型検出器として単一光子検出器を動作させる。

　ＡＰＤでの信号検出率Ｓは以下の式（１）で与えられる。

      
Ｓ＝１－ｅ^－μη     （１）
　ここで、μは入力光の平均光子数、ηはμが十分少ないときの検出効率で、一般的に単一光子検出器の検出効率として認識されている値である。ここでは入力光の光子数分布はポアソン分布と仮定している。

　上記式（１）は、μが十分小さいときには、Ｓ＝μηとなり、μに比例した結果となる。一方、μがおおきくなるとＳは飽和していき、１に漸近していく。すなわち、Ｓがμに比例している場合、単一光子検出器に入力されている光は単一光子レベルの光であり、Ｓがμに比例せず飽和傾向にある場合、単一光子検出器に入力されている光はμ＞＞１の強い光であるといえる。

　光強度変調器１０は、乱数発生器２０が生成する乱数の乱数値に応じて透過率をランダムに変調する。この結果、光強度変調器１０に入力される光の平均光子数がμであるとき、単一光子検出器３０に入力される光の平均光子数はμＴ_０、μＴ_１になる。

　μ＜＜１、すなわち、入力される光が単一光子レベルであるとき、光強度変調器の透過率Ｔ_０と、このときの光子検出率Ｓ_０、及び、光変調器の透過率Ｔ_１と、このときの光子検出率Ｓ_１の間には、Ｓ_０／Ｓ_１＝Ｔ_０／Ｔ_１の関係が成立する。

　一方、μ＞＞１であるとき、Ｓ_０／Ｓ_１＝Ｔ_０／Ｔ_１の関係が成立しなくなる。この例のように、Ｔ_０＜Ｔ_１であるとき、高い透過率Ｔ_１に設定されたときの光子検出率Ｓ_１の飽和がより顕著になる。このため、一般に、Ｓ_０／Ｓ_１＞Ｔ_０／Ｔ_１になる。

　図２Ａから図２Ｄは、上記の式（１）を用いて、μを変化させたときのＳ_１、Ｓ_０／Ｓ_１を計算した結果を示す図である。ここでは、Ｔ_０＝０．５、Ｔ_１＝１としている。図２Ａから図２Ｄでは横軸に平均光子数μを取って示し、左軸にＳ_１、右軸にＳ_０／Ｓ_１を取って示している。図２Ａ、図２Ｂ、図２Ｃ及び図２Ｄは、それぞれ検出効率ηが５％、１０％、２０％及び４０％の場合を示している。また、簡単のために、光学系での損失や単一光子検出器のクエンチング効果等は無視している。

　図２Ａから図２Ｄに示すように、μ＜＜１であるとき、Ｓ_０／Ｓ_１＝０．５（＝Ｔ_０／Ｔ_１）が成り立つのに対し、μを増加させるとＳ_０／Ｓ_１は増加していく。μη＝１のとき、概ね、Ｓ_０／Ｓ_１＝０．６２であり、μ＜＜１のときに比べ約１．２倍に増加する。すなわち、第１の単一光子検出装置では、Ｓ_０／Ｓ_１を計算することで、入力された光が単一光子レベルであるか否かを判別できる。

　図９を参照して説明した、従来のアクティブモジュレーション型の量子鍵配送用受信装置において、第１及び第２の単一光子検出部に第１の単一光子検出装置を用いる場合を考える。

　先ず、送信者の送信基底と、受信者の受信基底が一致している場合を説明する。透過率がＴ_１（＝１）であるとき、一方の、例えば第１の単一光子検出部に入力される光パルスの強度はＰ_{ｐｕｌｓｅ}であるので、第１の単一光子検出部の単一光子検出器は常にｃｌｉｃｋとなる。一方、透過率がＴ_０（＝０．５）であるとき、第１の単一光子検出器に入力される光パルスの強度はＰ_{ｐｕｌｓｅ}／２であるので、第１の単一光子検出部の単一光子検出器は常にＮｏ　ｃｌｉｃｋとなる。すなわち、送信者の送信基底と、受信者の受信基底が一致している場合、Ｓ_０／Ｓ_１＝０となる。このため、受信者は、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を容易に探知できる。

　Ｔ_０（＝０．５）であるときも単一光子検出器で常にｃｌｉｃｋとなるように、盗聴者が光強度を２倍にしたとする。しかし、このとき、Ｓ_０／Ｓ_１＝１となるため、やはり、受信者はＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を探知できる。また、盗聴者の送信基底と受信者の受信基底が不一致の場合、第１及び第２の単一光子検出器の両者にピーク光強度Ｐ_{ｐｕｌｓｅ}の光パルスが入力され、ともにｃｌｉｃｋとなる。これは、シフト鍵に誤りを生じさせてしまうため、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を成功させることはできない。

　量子鍵配送用受信装置の単一光子検出部として、第１の単一光子検出装置を用いると、盗聴者が乱数発生器の乱数ビット値情報を知らないとすれば、光強度を調整することができないため、盗聴者はＳ_０／Ｓ_１を受信者にとって適正な値に制御することができない。従って、受信者はＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を容易に探知できる。

　なお、ここでは、光強度変調器の透過率としてＴ_０、Ｔ_１を、それぞれ５０％の割合で生じさせるとしたが、この割合は５０％でなくてもよい。

　例えば、全体のうち、Ｔ_１が占める割合（マーク率）をＭとすれば、μ＜＜１であるとき、Ｓ_０／Ｓ_１＝｛（１－Ｍ）×Ｔ_０｝／（Ｍ×Ｔ_１）の関係を満たすか否かを判別条件に用いればよい。

　また、光強度変調器の透過率を３通り以上にしてもよい。判定条件を一般化すると、光強度変調器の透過率Ｔ_ｉのときのマーク率をＭ_ｉとした場合、Ｓ_ｉ／（Ｍ_ｉ×Ｔ_ｉ）が一定値という条件を満たせばよい。

　光強度変調器の透過率がＴ_０、Ｔ_１の２通りであり、それぞれ５０％の割合の場合は、Ｓ_０／（０．５×Ｔ_０）＝Ｓ_１／（０．５×Ｔ_１）＝一定値となり、この場合、Ｓ_０／Ｓ_１＝Ｔ_０／Ｔ_１となる。また、光強度変調器の透過率がＴ_０、Ｔ_１の２通りであり、Ｔ_１が占める割合がＭの場合、Ｍ_０＝１－Ｍ及びＭ_１＝Ｍであるので、Ｓ_０／｛（１－Ｍ）×Ｔ_０｝＝Ｓ_１／（Ｍ×Ｔ_１）＝一定値となる。この場合、Ｓ_０／Ｓ_１＝｛（１－Ｍ）×Ｔ_０｝／（Ｍ×Ｔ_１）となる。

　なお、光強度変調器の透過率を３通り以上にすると、Ｔ_ｉとＳ_ｉが比例関係にあるか否かを判別することができ、入力光が単一光子レベルであるか否かをより厳密に判断することができる。

　（第２の単一光子検出装置の構成）
　図３を参照して、この発明の第２の実施形態に係る単一光子検出装置（以下、第２の単一光子検出装置とも称する。）を説明する。図３は、第２の単一光子検出装置を説明する模式図である。

　第２の単一光子検出装置は、乱数発生器２０、ゲート電圧生成部５０、単一光子検出器３０、及び、計数処理回路４０を備えて構成される。

　乱数発生器２０は、ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、この乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する。乱数ビット値情報は、ゲート電圧生成部５０と計数処理回路４０に送られる。

　ゲート電圧生成部５０は、乱数値ｉによって定まる電圧値Ｖ_ｉのゲート電圧を生成する。ゲート電圧生成部５０は、変調電圧源５２と定常電圧源５４を備えて構成される。変調電圧源５２は、乱数値ｉによって定まる変調電圧を生成し、定常電圧源５４は、定常電圧を生成する。ゲート電圧生成部５０は、変調電圧と定常電圧を加算してゲート電圧を生成する。このように、ゲート電圧は、乱数発生器２０の乱数値に基づいて変調される。ゲート電圧は、単一光子検出器３０に送られる。

　ここで、変調電圧源５２が発生する変調電圧が単一光子検出器３０でブレークダウン電圧を超えるほど十分大きな値であるときは、定常電圧源５４を省略し、変調電圧をそのままゲート電圧として用いてもよい。

　外部からの入力光は、単一光子検出器３０に送られる。単一光子検出器３０は、単一光子を検出した時刻を受信情報として生成する。この受信情報は、計数処理回路４０に送られる。Ｇａｔｅｄ　Ｇｅｉｇｅｒ　ｍｏｄｅ　ＡＰＤの検出効率ηは、印加電圧によって変化することが知られている。従って、ＡＰＤに印加されるゲート電圧Ｖ_ｉが異なると、検出効率η_ｉも異なる。

　計数処理回路４０は、乱数値ｉにおける、単一光子検出器３０の光子検出率Ｓ_ｉ、乱数発生器２０で発生する乱数値のうち乱数値ｉが占める割合（マーク率）Ｍ_ｉ、及び、検出効率η_ｉから判定値Ｓ_ｉ／（η_ｉＭ_ｉ）を算出する。この判定値が予め定めた基準を満たしている場合、例えば判定値がある一定値に等しい場合、承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する。

　（第２の単一光子検出装置の動作）
　ｎが２の場合、すなわち、乱数発生器が２値の乱数を発生する場合の、第２の単一光子検出装置の動作を説明する。

　この例では、乱数発生器２０は、乱数値「０」又は「１」を、等しい割合で生成する。すなわちマーク率Ｍ_０及びＭ_１をともに５０％とする。

　入力光の平均光子数をμとすると、μ＜＜１であるとき、ＡＰＤに印加されるゲート電圧がＶ_１のときの信号検出率Ｓ_１はμη_１で与えられ、ゲート電圧がＶ_０のときの信号検出率Ｓ_０はμη_０で与えられる。このため、Ｓ_０／Ｓ_１＝η_０／η_１の関係が成立する。

　一方、μ＞＞１であるときは、Ｓ_０／Ｓ_１＝η_０／η_１の関係が成立しない。すなわち、Ｓ_０／Ｓ_１を計算することで、入力光が単一光子レベルであるか否かを判別できる。

　なお、第２の単一光子検出装置においても、ｎを３以上に多値化して、Ｓ_ｉ／（Ｍ_ｉ×η_ｉ）が一定であるか否かで判別することにより、判別条件をより厳密化してもよい。また、乱数発生器のマーク率を任意に設定してもよい。

　この、第２の単一光子検出装置によれば、第１の単一光子検出装置と同様にＢｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を探知することができる。また、光強度変調器が不要なため、第２の単一光子検出装置は、第１の単一光子検出装置よりも装置を小型化することができる。

　（第３の単一光子検出装置の構成）
　図４を参照して、この発明の第３の実施形態に係る単一光子検出装置（以下、第３の単一光子検出装置とも称する。）を説明する。図４は、第３の単一光子検出装置を説明する模式図である。

　第３の単一光子検出装置は、光分岐部６０、第１の単一光子検出器３１、第２の単一光子検出器３２、及び、計数処理回路４０を備えて構成される。

　光分岐部６０は、外部からの入力光を２分岐して、第１及び第２の入力光を生成する。また、外部からの入力光に対して第１及び第２の入力光の強度の割合をそれぞれＴ_１、Ｔ_２とする。

　光分岐部６０は、例えば、ハーフミラー、第１の光減衰器、第２の光減衰器を備えて構成される。この場合、外部からの入力光はハーフミラーで２分岐されて、一方は透過率Ｔ_１の第１の光減衰器を経て、第１の入力光として出力され、他方は透過率Ｔ_２の第２の光減衰器を経て、第２の入力光として出力される。第１及び第２の入力光は、それぞれ、第１及び第２の単一光子検出装置に送られる。なお、Ｔ_１＝１の場合は、第１の光減衰器を備えない構成にすることができる。

　また、光分岐部６０として、分岐比がＴ_１：Ｔ_２の任意好適な光分岐回路を用いてもよい。

　第１の単一光子検出器３１は、入力された第１の入力光について、単一光子を検出した時刻を第１の受信情報として生成する。また、第２の単一光子検出器３２は、入力された第２の入力光について、単一光子を検出した時刻を第２の受信情報として生成する。

　計数処理回路４０は、第１の受信情報及び第２の受信情報に基づいて、第１の単一光子検出器の光子検出率Ｓ_１、第２の単一光子検出器の光子検出率Ｓ_２、第１の入力光の強度の割合Ｔ_１、及び第２の入力光の強度の割合Ｔ_２から、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしているか否かを判定する。計数処理回路４０は、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する。

　また、第３の単一光子検出装置を、量子鍵配送用受信装置の単一光子検出部に用いる場合は、第１の受信情報及び第２の受信情報の和集合を受信情報として生成し、生鍵生成回路に送ればよい。

　第１の単一光子検出装置は、１つの単一光子検出器を用いてＴ_１及びＴ_２に対する検出を順次行うのに対し、第３の単一光子検出装置では、入力光を２分岐して、２つの単一光子検出器を用いて、それぞれ、Ｔ_１及びＴ_２に対する検出を行う。

　第３の単一光子検出装置では、乱数発生器を備えておらず、ハーフミラーなど受動素子で構成される光分岐部の動作により自然乱数的に透過率を選択できるので、より安全なシステム構成を実現できる。

　（第４の単一光子検出装置の構成）
　図５を参照して、この発明の第４の実施形態に係る単一光子検出装置（以下、第４の単一光子検出装置とも称する。）を説明する。図５は、第４の単一光子検出装置を説明する模式図である。

　第４の単一光子検出装置は、光分岐部６０、単一光子検出器３０、光遅延器７０、光合波部８０、及び、計数処理回路４０を備えて構成される。

　光分岐部６０は、外部からの周期Δｔのパルス状の入力光を２分岐して、第１及び第２の入力光を生成する。また、外部からの入力光に対して第１及び第２の入力光の強度の割合をそれぞれＴ_１、Ｔ_２とする。

　光分岐部６０は、第３の単一光子検出器の光分岐部と同様に構成することができるので、重複する説明を省略する。

　第１の入力光は光合波部８０に送られ、第２の入力光は光遅延器７０で所定の遅延を受けた後、光合波部８０に送られる。光合波部８０は、第１の入力光及び第２の入力光を合波して、入力合波光を生成する。光合波部８０は、例えば、ハーフミラーで構成される。なお、光遅延器７０は、光合波部８０で合波される第１の入力光及び第２の入力光の間にΔｔ／２の時間差を与えるように、第２の入力光に遅延を与える。

　単一光子検出器３０は、入力合波光が入力され、単一光子を検出した時刻を受信情報として生成する。

　計数処理回路４０は、幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットでの単一光子検出器における光子検出数をＳ_１、偶数番目の時間スロットでの単一光子検出器における光子検出数をＳ_２として、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしているか否かを判定する。満たしている場合、承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する。

　第４の単一光子検出装置では、１つの単一光子検出器を備える構成で第３の単一光子検出器と同様の効果を達成できる。

　（第４の単一光子検出装置の動作）
　図６を参照して、第４の単一光子検出装置の動作を説明する。図６は、第４の単一光子検出装置の動作を説明する模式図である。

　第４の単一光子検出装置では、単一光子検出器３０に印加されるゲート電圧の周期はΔｔ／２である。（図６（Ａ））。

　また、入力光は周期Δｔのパルス状であり、光遅延器７０により、光合波部８０で合波される際の第１の入力光（図６（Ｂ））及び第２の入力光（図６（Ｃ））の間にΔｔ／２の時間差が与えられる。

　計数処理回路４０は、幅Δｔ／２の時間スロットに区切ったとき（図６（Ｄ））の、奇数番目の時間スロットでの単一光子検出器３０における光子検出数をＳ_１、偶数番目の時間スロットでの単一光子検出器３０における光子検出数をＳ_２として、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしているか否かを判定する。満たしている場合、承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する。

　（第１の量子鍵配送用受信装置）
　図７を参照して、第１の量子鍵配送用受信装置について説明する。図７は、第１の量子鍵配送用受信装置の模式図である。

　第１の量子鍵配送用受信装置は、光強度変調器１０、乱数発生器２０、偏波変調用乱数発生器１２０、偏波変調器１１０、偏光ビームスプリッタ１４０、第１の単一光子検出部１３１、第２の単一光子検出部１３２、計数処理回路４０、及び、生鍵生成回路１５０を備えて構成されている。

　第１の量子鍵配送用受信装置は、従来のアクティブモジュレーション型の量子鍵配送用受信装置に、第１の単一光子検出装置の光強度変調器、乱数発生器及び計数処理回路を組み込んで構成される。従って、以下の説明において、従来のアクティブモジュレーション型の量子鍵配送用受信装置及び第１の単一光子検出装置と重複する説明を省略することがある。

　入力光は、乱数発生器２０が生成する乱数により、透過率をランダムに変化させる光強度変調器１０を経て、偏波変調用乱数発生器１２０で駆動された偏波変調器１１０に入力される。

　偏波変調用乱数発生器１２０は、２値の偏波変調器用乱数を発生させ、偏波乱数値ｋ（ｋは０又は１）と、偏波乱数値ｋを発生させた時刻を含む基底乱数情報を生成する。基底乱数情報は、偏波変調器１１０及び生鍵生成回路１５０に送られる。

　受信者が備える偏波変調器１１０は、偏波変調用乱数発生器１２０が発生した乱数の偏波乱数値ｋに応じて、通過する光の偏波状態を変更する。

　偏波乱数値が「０」であるとき、偏波変調器１１０は、入力光の偏光状態を変えない。この場合、受信者は、Ｈ／Ｖ受信基底を選択したものとする。

　偏波乱数値が「１」であるとき、偏波変調器１１０は、入力光の偏光状態を、Ｖ偏光又はＨ偏光を、それぞれＤ（＋）偏光又はＤ（－）偏光に変え、Ｄ（＋）偏光又はＤ（－）偏光をＶ偏光又はＨ偏光に変える。この場合、受信者は、Ｄｉａｇｏｎａｌ受信基底を選択したものとする。

　偏光ビームスプリッタ１４０は、第１及び第２の出力端を有している。偏光ビームスプリッタは、入力された光がＨ偏光の場合は、第１の出力端から出力して第１の単一光子検出部１３１に送り、Ｖ偏光の場合は、第２の出力端から出力して第２の単一光子検出部１３２に送る。また、偏光ビームスプリッタ１４０は、入力された光がＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力する。

　第１及び第２の単一光子検出部１３１及び１３２は、それぞれ、いわゆるゲート動作型ガイガーモードＡＰＤで構成され、光子を検出した時刻を第１及び第２の受信情報として、生鍵生成回路１５０に送る。

　生鍵生成回路１５０は、第１の単一光子検出部１３１で光子を検出した場合は、自らのビット値を「０」とし、第２の単一光子検出器で光子を検出した場合は、自らのビット値を「１」とする。また、偏波乱数値が「０」の場合は、Ｈ／Ｖ受信基底が選択され、「１」の場合は、Ｄｉａｇｏｎａｌ受信基底が選択されたものとする。生鍵生成回路１５０は、第１及び第２の単一光子検出器のいずれかでヒットした時刻での偏波乱数値から、受信者が受信した光の偏光状態が、Ｈ偏光、Ｖ偏光、Ｄ（－）偏光、Ｄ（＋）偏光のいずれかであるかを得ることができ、これが受信側での生鍵となる。

　その後、秘密鍵蒸留部（図示を省略する。）において、送信者の生鍵と受信者の生鍵から、鍵蒸留プロセスが行われ、送信者と受信者とで最終的な秘密鍵が共有される。ここで、鍵蒸留プロセスには、例えば、シフト鍵生成、誤り訂正、及び、秘密増幅のプロセスが含まれる。

　ここで、第１の量子鍵配送用受信装置では、計数処理回路４０が、乱数発生器２０から送られた乱数ビット値情報と、第１及び第２の単一光子検出部１３１及び１３２から送られた第１及び第２の受信情報を用いて、認証信号を生成する。この認証信号は、計数処理回路４０が第１及び第２の単一光子検出部１３１及び１３２に入力される光が単一光子レベルであるか否かを判定し、単一光子レベルである場合は承認を示し、そうでない場合は否認を示す。認証信号は生鍵生成回路１５０に送られる。

　生鍵生成回路１５０は、認証信号が承認を示す場合は生鍵を生成し、否認を示す場合は、生鍵の生成を行わない。

　このようにして、第１の量子鍵配送用受信装置では、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を排除する。

　なお、計数処理回路４０で認証情報を生成するのに用いられる受信情報と、生鍵生成回路１５０で生鍵を生成するのに用いられる受信情報とは同じものを用いることができる。

　（第２の量子鍵配送用受信装置）
　図８を参照して、第２の量子鍵配送用受信装置について説明する。図８は、第２の量子鍵配送用受信装置の模式図である。

　第２の量子鍵配送用受信装置は、光強度変調器１０、乱数発生器２０、ハーフミラー１１２、波長板１１４、第１及び第２の偏光ビームスプリッタ１４１及び１４２、第１～第４の単一光子検出部１３１～１３４、計数処理回路４０、並びに、生鍵生成回路１５０を備えて構成されている。

　第２の量子鍵配送用受信装置は、従来のパッシブモジュレーション型の量子鍵配送用受信装置に、第１の単一光子検出装置の光強度変調器、乱数発生器及び計数処理回路を組み込んで構成される。従って、以下の説明において、従来のパッシブモジュレーション型の量子鍵配送用受信装置及び第１の単一光子検出装置と重複する説明を省略することがある。

　入力光は、乱数発生器２０が生成する乱数により、透過率をランダムに変化させる光強度変調器１０を経て、ハーフミラー１１２に入力される。

　ハーフミラー１１２は、第１及び第２の出力端を有していて、入力された光を２分岐して、第１及び第２の出力端から出力する。入力される光が単一光子の場合は、第１及び第２の出力端からランダムに出力される。

　第１の出力端から出力された光は、第１の偏光ビームスプリッタ１４１に送られ、第２の出力端から出力された光は、波長板１１４を経て、第２の偏光ビームスプリッタ１４２に送られる。

　第１の偏光ビームスプリッタ１４１は、第１及び第２の出力端を有している。第１の偏光ビームスプリッタ１４１は、入力された光がＨ偏光の場合は、第１の出力端から出力して第１の単一光子検出部１３１に送り、Ｖ偏光の場合は、第２の出力端から出力して第２の単一光子検出部１３２に送る。また、第１の偏光ビームスプリッタ１４１は、入力された光がＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力し、第１及び第２の単一光子検出部１３１及び１３２のいずれかでランダムに検出される。

　波長板１１４は、入力光の偏光状態を、Ｖ偏光又はＨ偏光を、それぞれＤ（＋）偏光又はＤ（－）偏光に変え、Ｄ（＋）偏光又はＤ（－）偏光をＶ偏光又はＨ偏光に変えて、第２の偏光ビームスプリッタに送る。

　第２の偏光ビームスプリッタ１４２は、第１及び第２の出力端を有している。第２の偏光ビームスプリッタ１４２は、入力された時点でＨ偏光の場合は、第１の出力端から出力して第３の単一光子検出部１３３に送り、Ｖ偏光の場合は、第２の出力端から出力して第４の単一光子検出部１３４に送る。また、第２の偏光ビームスプリッタ１４２は、入力された時点でＤ（＋）偏光又はＤ（－）偏光の場合は、第１及び第２の出力端からランダムに出力し、第３及び第４の単一光子検出部１３３及び１３４のいずれかでランダムに検出する。

　第１～第４の単一光子検出部１３１～１３４は、それぞれ、ＡＰＤで構成され、光子を検出した時刻を第１～第４の受信情報として、生鍵生成回路１５０に送る。

　生鍵生成回路１５０は、第１の単一光子検出部１３１で光子を検出した場合は、Ｈ偏光、第２の単一光子検出部１３２で検出した場合は、Ｖ偏光、第３の単一光子検出部１３３で検出した場合は、Ｄ（＋）偏光、及び、第４の単一光子検出部１３４で検出した場合は、Ｄ（－）偏光として、検出した偏光が受信側での生鍵となる。

　その後、秘密鍵蒸留部（図示を省略する。）において、送信者の生鍵と受信者の生鍵から、鍵蒸留プロセスが行われ、送信者と受信者とで最終的な秘密鍵が共有される。ここで、鍵蒸留プロセスには、例えば、シフト鍵生成、誤り訂正、及び、秘密増幅のプロセスが含まれる。

　ここで、第２の量子鍵配送用受信装置では、計数処理回路４０が、乱数発生器２０から送られた乱数ビット値情報と、第１～第４の単一光子検出部１３１～１３４から送られた第１～第４の受信情報を用いて、認証信号を生成する。この認証信号は、計数処理回路４０が、第１～第４の単一光子検出部１３１～１３４に入力される光が単一光子レベルであるか否かを判定し、単一光子レベルである場合は承認を示し、そうでない場合は否認を示す。認証信号は生鍵生成回路１５０に送られる。

　生鍵生成回路１５０は、認証信号が承認を示す場合は生鍵を生成し、否認を示す場合は、生鍵の生成を行わない。

　このようにして、第２の量子鍵配送用受信装置では、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を排除する。

　なお、計数処理回路４０で認証情報を生成するのに用いられる受信情報と、生鍵生成回路１５０で生鍵を生成するのに用いられる受信情報とは同じものを用いることができる。

　（量子鍵配送用受信装置の他の構成例）
　Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を排除可能な量子鍵配送用受信装置は、上述の第１及び第２の量子鍵配送用受信装置の構成に限定されない。

　例えば、光強度変調器１０及び乱数発生器２０に換えて、第４の単一光子検出装置の光分岐部６０、光遅延器７０、及び、光合波部８０を設けてもよい。

　また、図９を参照して説明したアクティブモジュレーション型の量子鍵配送用受信装置の第１及び第２の単一光子検出部に、上述の第１～第４の単一光子検出装置を用いてもよいし、図１０を参照して説明したパッシブモジュレーション型の量子鍵配送用受信装置の第１～第４の単一光子検出部に、上述の第１～第４の単一光子検出装置を用いてもよい。

　ここで、いずれか１つの単一光子検出部に、第１～４の単一光子検出装置のいずれかを設ければ、Ｂｒｉｇｈｔ　Ｉｌｌｕｍｉｎａｔｉｏｎ攻撃を探知できるが、単一光子検出部に入力される光の対称性や、複数の単一光子検出部での認証による高い安全性を考えると、全ての単一光子検出部に同じ単一光子検出装置を用いるのが良い。

　また、単一光子検出部の全てに第２の単一光子検出装置を用いる場合、１つの乱数発生器及びゲート電圧生成部を、全ての単一光子検出部で共有してもよい。

　１０　　光強度変調器
　２０　　乱数発生器　　
　３０、３１、３２　　単一光子検出器
　４０　　計数処理回路　　
　５０　　ゲート電圧生成部
　５２　　変調電圧源
　５４　　定常電圧源
　６０　　光分岐部
　７０　　光遅延器
　８０　　光合波部
　１１０　　偏波変調器
　１２０　　偏波変調用乱数発生器
　１３１、１３２、１３３、１３４　　単一光子検出部
　１４０、１４１、１４２　　偏光ビームスプリッタ
　１５０　　生鍵生成回路　　

Claims (10)

1. 　ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、該乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、
   　前記乱数値ｉによって定まる透過率Ｔ_ｉで外部からの入力光を強度変調する光強度変調器と、
   　前記光強度変調器で強度変調された入力光が入力され、単一光子を検出した時刻を受信情報として生成する単一光子検出器と、
   　前記乱数値ｉにおける、前記単一光子検出器の光子検出率Ｓ_ｉ、前記乱数発生器で発生する乱数値のうち前記乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、前記透過率Ｔ_ｉから判定値Ｓ_ｉ／（Ｔ_ｉＭ_ｉ）を算出し、該判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と
   を備える、単一光子検出装置。
2. 　ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、該乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、
   　前記乱数値ｉによって定まる電圧値Ｖ_ｉのゲート電圧を生成するゲート電圧生成部と、
   　外部からの入力光を前記ゲート電圧の電圧値Ｖ_ｉで定まる検出効率η_ｉで検出する単一光子検出器と、
   　前記乱数値ｉにおける、前記単一光子検出器の光子検出率Ｓ_ｉ、前記乱数発生器で発生する乱数値のうち前記乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、前記検出効率η_ｉから判定値Ｓ_ｉ／（η_ｉＭ_ｉ）を算出し、該判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と
   を備える、単一光子検出装置。
3. 　外部からの入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、
   　それぞれ、第ｊの入力光が入力され、単一光子を検出した時刻を受信情報として生成する第１及び第２の単一光子検出器と、
   　前記第ｊの単一光子検出器の光子検出率Ｓ_ｊ、及び、前記第ｊの入力光の強度の割合Ｔ_ｊから判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と
   を備える、単一光子検出装置。
4. 　外部からの、周期Δｔのパルス光である入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、
   　第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、
   　前記第２の入力光を遅延させて、前記光合波部で合波される前記第１の入力光及び前記第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、
   　前記入力合波光が入力され、単一光子を検出した時刻を受信情報として生成する単一光子検出器と、
   　幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_１、偶数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_２として判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と
   を備える、単一光子検出装置。
5. 　２値の偏波変調器用乱数を発生させ、乱数値ｋ（ｋは０又は１）と、該乱数値ｋを発生させた時刻を含む基底乱数情報を生成する偏波変調用乱数発生器と、
   　前記偏波変調用乱数発生器が発生した乱数の偏波乱数値ｋに応じて、通過する光の偏波状態を変更する偏波変調器と、
   　第１及び第２の出力端を有し、前記偏波変調器を通過した光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する偏光ビームスプリッタと、
   　前記偏光ビームスプリッタの第１の出力端から出力された光が入力され、単一光子を検出した時刻を第１の受信情報として生成する第１の単一光子検出部と、
   　前記偏光ビームスプリッタの第２の出力端から出力された光が入力され、単一光子を検出した時刻を第２の受信情報として生成する第２の単一光子検出部と、
   　前記第１及び第２の受信情報と、前記基底乱数情報に基づいて、生鍵を生成する生鍵生成回路と
   を備え、
   　前記第１及び第２の単一光子検出部のいずれか一方又は双方が、請求項１に記載する単一光子検出装置であり、
   　前記生鍵生成回路は、前記計数処理回路が生成する認証信号が承認を示すときに生鍵を生成する、
   量子鍵配送用受信装置。
6. 　ハーフミラーと、
   　前記ハーフミラーで２分岐された一方が入力され、第１及び第２の出力端を有し、前記ハーフミラーで２分岐された一方の光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する第１の偏光ビームスプリッタと、
   　前記ハーフミラーで２分岐された他方が入力される波長板と、
   　前記波長板を通過した光が入力され、該光の偏波状態に応じて、第３及び第４の出力端から出力する第２の偏光ビームスプリッタと、
   　それぞれ、前記第ｍ（ｍは１以上４以下の整数）の出力端から出力された光が入力され、単一光子を検出した時刻を第ｍの受信情報として生成する、第１～第４の単一光子検出部と、
   　第１～第４の受信情報に基づいて、生鍵を生成する生鍵生成回路と
   を備え、
   　前記第１～４の単一光子検出部のいずれか１つ又は複数が、請求項１に記載する単一光子検出装置であり、
   　前記生鍵生成回路は、前記計数処理回路が生成する認証信号が承認を示すときに生鍵を生成する、
   量子鍵配送用受信装置。
7. 　ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、該乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、
   　前記乱数値ｉによって定まる透過率Ｔ_ｉで外部からの入力光を強度変調する光強度変調器と、
   　２値の偏波変調器用乱数を発生させ、乱数値ｋ（ｋは０又は１）と、該乱数値ｋを発生させた時刻を含む基底乱数情報を生成する偏波変調用乱数発生器と、
   　前記偏波変調用乱数発生器が発生した乱数の偏波乱数値ｋに応じて、前記光強度変調器を経て入力される光の偏波状態を変更する偏波変調器と、
   　第１及び第２の出力端を有し、前記偏波変調器を通過した光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する偏光ビームスプリッタと、
   　前記偏光ビームスプリッタの第１の出力端から出力された光が入力され、単一光子を検出した時刻を第１の受信情報として生成する第１の単一光子検出器と、
   　前記偏光ビームスプリッタの第２の出力端から出力された光が入力され、単一光子を検出した時刻を第２の受信情報として生成する第２の単一光子検出器と、
   　前記乱数値ｉにおける、前記単一光子検出器の光子検出率Ｓ_ｉ、前記乱数発生器で発生する乱数値のうち前記乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、前記透過率Ｔ_ｉから判定値Ｓ_ｉ／（Ｔ_ｉＭ_ｉ）を算出し、該判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と、
   　前記第１及び第２の受信情報と、前記基底乱数情報に基づいて、生鍵を生成する生鍵生成回路と
   を備え、
   　前記生鍵生成回路は、前記計数処理回路が生成する認証信号が承認を示すときに生鍵を生成する、
   量子鍵配送用受信装置。
8. 　ｎ（ｎは２以上の整数）値の乱数を発生させ、乱数値ｉ（ｉは０以上ｎ－１以下の整数）と、該乱数値ｉを発生させた時刻を含む乱数ビット値情報を生成する乱数発生器と、
   　前記乱数値ｉによって定まる透過率Ｔ_ｉで外部からの入力光を強度変調する光強度変調器と、
   　前記光強度変調器を通過する入力光が入力されるハーフミラーと、
   　前記ハーフミラーで２分岐された一方が入力され、第１及び第２の出力端を有し、前記ハーフミラーで２分岐された一方の光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する第１の偏光ビームスプリッタと、
   　前記ハーフミラーで２分岐された他方が入力される波長板と、
   　前記波長板を通過した光が入力され、該光の偏波状態に応じて、第３及び第４の出力端から出力する第２の偏光ビームスプリッタと、
   　それぞれ、前記第ｍ（ｍは１以上４以下の整数）の出力端から出力された光が入力され、単一光子を検出した時刻を第ｍの受信情報として生成する、第１～第４の単一光子検出器と、
   　前記乱数値ｉにおける、前記単一光子検出器の光子検出率Ｓ_ｉ、前記乱数発生器で発生する乱数値のうち前記乱数値ｉが占める割合であるマーク率Ｍ_ｉ、及び、前記透過率Ｔ_ｉから判定値Ｓ_ｉ／（Ｔ_ｉＭ_ｉ）を算出し、該判定値が予め定めた基準を満たしている場合は承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と、
   　第１～第４の受信情報に基づいて、生鍵を生成する生鍵生成回路と
   を備え、
   　前記生鍵生成回路は、前記計数処理回路が生成する認証信号が承認を示すときに生鍵を生成する、
   量子鍵配送用受信装置。
9. 　外部からの、周期Δｔのパルス光である入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、
   　第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、
   　前記第２の入力光を遅延させて、前記光合波部で合波される前記第１の入力光及び前記第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、
   　２値の偏波変調器用乱数を発生させ、乱数値ｋ（ｋは１又は２）と、該乱数値ｋを発生させた時刻を含む基底乱数情報を生成する偏波変調用乱数発生器と、
   　前記偏波変調用乱数発生器が発生した乱数の偏波乱数値ｋに応じて、前記入力合波光の偏波状態を変更する偏波変調器と、
   　第１及び第２の出力端を有し、前記偏波変調器を通過した光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する偏光ビームスプリッタと、
   　前記偏光ビームスプリッタの第１の出力端から出力された光が入力され、単一光子を検出した時刻を第１の受信情報として生成する第１の単一光子検出器と、
   　前記偏光ビームスプリッタの第２の出力端から出力された光が入力され、単一光子を検出した時刻を第２の受信情報として生成する第２の単一光子検出器と、
   　幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_１、偶数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_２として判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と、
   　前記第１及び第２の受信情報と、前記基底乱数情報に基づいて、生鍵を生成する生鍵生成回路と
   を備え、
   　前記生鍵生成回路は、前記計数処理回路が生成する認証信号が承認を示すときに生鍵を生成する、
   量子鍵配送用受信装置。
10. 　外部からの、周期Δｔのパルス光である入力光を２分岐して、第ｊ（ｊは１又は２）の入力光を生成する光回路であって、当該光回路の出力強度の総和に対する第ｊの入力光の強度の割合をＴ_ｊとする光分岐部と、
    　第１の入力光及び第２の入力光を合波して、入力合波光を生成する光合波部と、
    　前記第２の入力光を遅延させて、前記光合波部で合波される前記第１の入力光及び前記第２の入力光の間にΔｔ／２の時間差を与える光遅延器と、
    　前記入力合波光が入力されるハーフミラーと、
    　前記ハーフミラーで２分岐された一方が入力され、第１及び第２の出力端を有し、前記ハーフミラーで２分岐された一方の光が入力され、該光の偏波状態に応じて、第１及び第２の出力端から出力する第１の偏光ビームスプリッタと、
    　前記ハーフミラーで２分岐された他方が入力される波長板と、
    　前記波長板を通過した光が入力され、該光の偏波状態に応じて、第３及び第４の出力端から出力する第２の偏光ビームスプリッタと、
    　それぞれ、前記第ｍ（ｍは１以上４以下の整数）の出力端から出力された光が入力され、単一光子を検出した時刻を第ｍの受信情報として生成する、第１～第４の単一光子検出器と、
    　幅Δｔ／２の時間スロットに区切ったときの、奇数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_１、偶数番目の時間スロットでの前記単一光子検出器における光子検出数をＳ_２として判定値Ｓ_ｊ／Ｔ_ｊを算出し、Ｓ_１／Ｓ_２＝Ｔ_１／Ｔ_２を満たしている場合承認を示す認証信号を出力し、満たしていない場合は否認を示す認証信号を出力する計数処理回路と、
    　前記第１～第４の受信情報に基づいて、生鍵を生成する生鍵生成回路と
    を備え、
    　前記生鍵生成回路は、認証信号が承認を示すときに生鍵を生成する、
    量子鍵配送用受信装置。

Images