共通秘密暗号鍵の配送システム及び配送方法
【課題】量子鍵配送の安全性を高めるとともに、単位時間スロット内に複数個の光子が混入しても安全性の顕著な低下が生じさせずに鍵配送レートを向上させる。
【解決手段】受信側と送信側間の共通秘密暗号鍵配送システムは、内部もしくは外部自由度に関して最大の量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａ、ｂから形成される光子対ａｂを発生させる光子対発生手段と、出力された光子ａを時間ΔＴの間保存する保存手段と、受け取った光子ｂの状態を操作し、符号化したい鍵情報ビットが１であるのか０であるのかに応じて、光子対ａｂの状態を量子相関の度合いが弱められた異なる状態ｍ１またはｍ２に変換して光子ｂを受信側に送り返す符号化手段と、光子ａと送り返された光子ｂを二光子干渉させ、光子対ａｂの状態が状態ｍ１、ｍ２の何れであるかを判別する復号化手段を備える。受信側は、光子対発生手段、保存手段及び復号化手段を有し、光子ａを外部に出さない。
【解決手段】受信側と送信側間の共通秘密暗号鍵配送システムは、内部もしくは外部自由度に関して最大の量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａ、ｂから形成される光子対ａｂを発生させる光子対発生手段と、出力された光子ａを時間ΔＴの間保存する保存手段と、受け取った光子ｂの状態を操作し、符号化したい鍵情報ビットが１であるのか０であるのかに応じて、光子対ａｂの状態を量子相関の度合いが弱められた異なる状態ｍ１またはｍ２に変換して光子ｂを受信側に送り返す符号化手段と、光子ａと送り返された光子ｂを二光子干渉させ、光子対ａｂの状態が状態ｍ１、ｍ２の何れであるかを判別する復号化手段を備える。受信側は、光子対発生手段、保存手段及び復号化手段を有し、光子ａを外部に出さない。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、二地点間での秘密通信に使用するための共通秘密暗号鍵を共有するための鍵配送システム及び配送方法に関する。より詳細には、本発明は、暗号鍵の情報を光子等のキャリア粒子の量子力学的な状態を利用して配送することで、伝送チャネルに対する第三者の介入が不可避的にもたらす量子力学的な状態の変化を検知し鍵配送に用いる伝送チャネルの安全性を保証する量子鍵配送技術に関する。
【背景技術】
【０００２】
従来、二者間で秘密共通鍵を配送する方式には大きく分けて２つの方式が知られている。つまり、数学的なアルゴリズムに基づく方式及び物理的な自然法則に基づく方式の二種類である。前者の方式は、数学的な演算処理の複雑性及び解読のために必要とされる計算量の膨大さを安全性の根拠としている。一方、後者の方式は、物理現象の中に現れる人為的には制御できない揺らぎの性質を利用している。
【０００３】
特に、光の素粒子である光子が示す量子力学的な揺らぎ（個々のイベント毎の測定結果が示す平均値のまわりでのバラつき）を利用したものが量子鍵配送（非特許文献２参照）である。量子鍵配送では鍵の送信者と受信者の間で伝送前後の光子の量子状態（例えば、偏光の状態）の変化の有無や度合いを、多数個の光子に対して検証することにより、使用した伝送路に対して第三者による盗聴行為がなされたかもしれない確率を、光子の個数に対して指数関数的にゼロに漸近させることができる。これは確率論的な安全性と呼ばれており、配送された鍵の安全性の高さを根拠付けている。一方、上述した数学的なアルゴリズムに基づく鍵配送方式では確率論的な安全性を達成することはできないため、この点が量子鍵配送を行う最大の利点として知られている。
【０００４】
ここで、量子鍵配送の基本的な原理を説明するため、代表的な量子鍵配送プロトコルであるＢＢ８４プロトコル（非特許文献１参照）について簡単に説明する。なお、この量子鍵配送プロトコルは、二者間で直接暗号文の送受信ができるわけではなく、暗号に必要な鍵データを安全に共有できるためのものである。以下の説明では、送信者をボブ（Bob）、受信者をアリス（Alice）として説明する。
【０００５】
送信者であるボブは、手元に二値乱数表を用意し、それにしたがって乱数表のビット列を一連の光子の偏光状態に符号化する。具体的には、ビット値「１」の場合には、Ｈ（水平偏光）かＲ（右回り円偏光）をランダムに選択し、ビット値「０」の場合には、Ｖ（垂直偏光）かＬ（左回り円偏光）をランダムに選択する。そして、ボブは、これらの量子を受信者であるアリスに送る。偏光ＨとＶを直線偏光基底と呼び、偏光ＲとＬを円偏光基底と呼ぶ。
【０００６】
アリスは、ボブから送られてきた光子を測定せずに保存しておく。次に、ボブは、検査用に充分な数の光子を何個かサンプルとして指定し、それぞれの検査用光子ごとに偏光状態の読み出しに必要な偏光基底（直線偏光基底または円偏光基底）をアリスに対して公表する。アリスは、ボブから指定された偏光基底を用いて偏光状態の読み出しを行い、読み出し結果をボブに知らせる。このとき、伝送路に第三者の介入がなければアリスが得た偏光状態とボブが送った偏光状態は一致する。
【０００７】
一方、もしアリスがボブからの基底公表を待たずに、任意に偏光基底を選択して光子の偏光状態を読み出したとすると、偏光基底がたまたま合っていた場合を除き、光子の偏光状態は破壊されてしまう。例えば、水平偏光の光子｜Ｈ＞を円偏光基底で測定するとそれぞれ１／２の確率で右回りの円偏光の光子｜Ｒ＞、左回りの円偏光の光子｜Ｌ＞が出力される。この場合、出力結果だけからは、初めから円偏光の光子が送られてきたのか、それとも直線偏光の光子が送られてきたのか全く分からなくなってしまう。このため、アリスは、ボブによる測定基底の公表まで偏光状態の読み出しを待つ必要がある。
【０００８】
伝送路の途中で第三者が光子に符号化されたビットの情報を盗聴するためには、個々の光子の量子状態を複製して複製分を手元においておきボブによる偏光基底の公表を待てばよい。しかしながら、未知の量子状態を複製することは自然法則から原理的に不可能であり、情報を幾らでも得るためには偏光基底の公表を待たずに何らかの方法で測定を行う必要がある。上記の説明によれば、この測定に伴って光子の偏光状態が当初の偏光状態とは異なったものに変化してしまう場合が少なからず生じる。こうした光子をそれとは知らずにボブになりすましてアリスに送ったとしても、アリスとボブの偏光状態の照合の際に不一致をもたらすことになり、盗聴行為は見破られてしまう。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】C.H. Bennett, G. Brassard, “Quantum Cryptography: Public Key Distribution and Coin Tossing”, Proceedings of IEEE International Conference on Computers Systems and Signal Processing, Bangalore India, pp 175-179, December 1984.
【非特許文献２】M.A. Nielsen and I.L. Chuang, “Quantum Computation and Quantum Information” (Cambridge University Press, 2000), Chapter 12.6.
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、量子鍵配送プロトコルであるＢＢ８４プロトコルが成立するためには単位時間スロット毎にビット情報を担う光子が１個以下しか含まれていないことが必須である。仮に、ある単位時間スロットが同じ偏光状態に符号化された２個の光子を含んでいたとすると、盗聴者はそのうちの任意の１個を抜き取って保存しておき、ボブによる基底公表を待って測定することによりアリスとボブに見破られることなく光子の偏光状態に符号化されたビット情報を得ることができてしまう。つまり、初めから複製が一緒に配られているのであれば量子鍵配送はそもそも成り立たない。
【００１１】
従来の技術では、単位時間スロット内に１個以上の複数個の光子が混入してしまう確率をゼロにすることは困難であり、単位時間スロット内の平均光子数を１より著しく小さく設定することで複数個の光子混入の確率をかろうじて小さく抑えている。しかしながら、このことは鍵配送レートの低下を余儀なくさせていた。
【００１２】
本発明は、このような問題に鑑みてなされたもので、単一光子への操作を前提とする全ての量子鍵配送方式が有している上述の問題点を解決し、量子鍵配送の安全性を高めるとともに、単位時間スロット内に複数個の光子が混入しても安全性の顕著な低下が生じないようにすることで、結果的に鍵配送レートを向上させることを目的とする。
【課題を解決するための手段】
【００１３】
上記の課題を解決するために、本発明に係る受信側と送信側間の共通秘密暗号鍵の配送方法は、（ａ）前記受信側が、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるステップと、（ｂ）前記受信側が、光子ａを必要な時間ΔＴの間保存するステップと、（ｃ）前記受信側が、光子ｂを送信側に送るステップと、（ｄ）前記送信側が、前記受信側から送られた光子ｂの状態を操作し、符号化したい鍵情報に応じて前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するステップと、（ｅ）前記送信側が、前記ステップ（ｄ）にて出力される光子ｂを受信側に送り返すステップと、（ｆ）前記受信側が、前記ステップ（ｂ）にて保存された光子ａと前記ステップ（ｅ）にて送り返された光子ｂとを二光子干渉させて、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力するステップと、を含み、前記光子ａは、前記受信側の内部に保持されて外部に出ることはなく、前記必要な時間ΔＴは、ステップ（ａ）の光子対ａｂの発生から前記ステップ（ｆ）の二光子干渉までの時間とするように設定され、前記量子状態ｍ１及び量子状態ｍ２は、前記ステップ（ｄ）で前記送信側による光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、前記ステップ（ｄ）での符号化情報とステップ（ｆ）の出力とによって、第三者による不正アクセスの有無を識別することを特徴する。
【００１４】
また、本発明に係る受信側と送信側間の共通秘密暗号鍵の配送システムは、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるための光子対発生手段と、前記光子対発生手段から出力される光子ａを必要な時間ΔＴの間保存するための保存手段と、前記光子対発生手段から出力される光子ｂを送信側に送るための第１の伝送手段と、前記第１の伝送手段から出力される光子ｂの状態を操作し、符号化したい鍵情報に応じて、前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するための符号化手段と、前記符号化手段から出力される光子ｂを受信側に送り返すための第２の伝送手段と、前記保存手段から出力される光子ａと前記第２の伝送手段から出力される光子ｂとを入力して二光子干渉させ、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力する復号化手段と、を備え、前記受信側は、光子ａがその外部に出ないように保持し、前記必要な時間ΔＴは、前記光子対ａｂの発生から、前記光子ａと前記光子ｂとの前記二光子干渉までの時間とするように設定され、前記量子状態ｍ１及び量子状態ｍ２は、前記符号化手段に入力された光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、前記符号化手段での符号化情報と復号化手段での出力とによって、第三者による不正アクセスの有無を識別することを特徴する。
【発明の効果】
【００１５】
本発明は、二つの光子ａと光子ｂの量子状態が非最大エンタングルド状態にあるとき、通信路には光子ｂのみを往復させて鍵情報を符号化し、光子ａとの結合測定によって情報を読み出すことにより、従来の量子鍵配送方法と比較して安全性に優れた暗号鍵の配送が可能になるという効果が得られる。
【図面の簡単な説明】
【００１６】
【図１】鍵情報「１」を符号化するための偏光依存光学装置Ｍ１の構成を示す図である。
【図２】鍵情報「０」を符号化するための偏光依存光学装置Ｍ２の構成を示す図である。
【図３】復号化装置の構成を示す図である。
【図４】本発明の一実施形態に係る装置の構成を示す図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施形態について詳細に説明する。図４を参照しながら本発明に係る共通秘密暗号鍵の配送システムを説明しながら、当該配送システム内の各構成要素について、本発明に関する原理と構成例を図１〜図３を参照して具体的に説明する。なお、以下の説明では、上述のＢＢ８４プロトコルと同様に光子の内部状態として偏光状態を想定して説明を行う。
【００１８】
図４は、本発明の一実施形態に係る共通秘密暗号鍵の配送システム４００を示す。当該配送システム４００は、光子対発生装置４１０、保存媒体４２０、第１の伝送媒体４３０、符号化装置４４０、第２の伝送媒体４５０、復号化装置４６０を備える。これらの構成要素４１０〜４６０のうち、受信者側（地点Ａ、アリス）は、光子対発生装置４１０、保存媒体４２０、復号化装置４６０を有し、情報送信者側（地点Ｂ、ボブ）は、符号化装置４４０を有するものとして説明を行う。
【００１９】
光子対発生装置４１０は、内部もしくは外部自由度に関して最大の量子力学的な相関（量子もつれあい）を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される量子もつれ光子対ａｂを発生させる。
【００２０】
ここで、アリスによる光子対ａｂの準備をより詳細に説明する。
【００２１】
アリスは、光子対ａｂの初期状態を最大にエンタングルした状態Ｆ（Ｂｅｌｌ状態と呼ばれる）に準備する。エンタングル状態とは、２つ以上の粒子の量子状態が特定の組み合わせで相関を持った量子状態のことを指す。この状態Ｆは、幾つかの手段（例えば、式１）で実際に発生させることが可能である。
【００２２】
【数１】
【００２３】
図４に示すように、アリスは光子ａを保存媒体４２０にて保持しておき、第１の伝送媒体４３０を介して光子ｂのみをボブに送る。
【００２４】
なお、本発明において、光子対発生装置４１０として偏光状態に関して量子相関をもつ光子対を発生する装置を利用することが可能である。
【００２５】
再び、図４の説明に戻る。保存媒体４２０は、光子対発生装置４１０から出力される光子ａを必要な時間ΔＴだけ受信者側（地点Ａ、アリス）に保存するために使用される。この保存時間ΔＴを、光子ｂが地点Ｂに到達し、再び地点Ａまで戻ってくる往復時間に一致するように設定することもできる。なお、保存媒体４２０としては、光ファイバー等の光遅延媒体を利用することが可能である。
【００２６】
第１の伝送媒体４３０は、光子対発生装置４１０から出力される光子ｂを送信者側（地点Ｂ、ボブ）に送るために使用される。第１の伝送媒体４３０は、光ファイバーとすることも可能である。
【００２７】
符号化装置４４０は、第１の伝送媒体４３０から出力される光子ｂの状態を操作し、符号化したいビットが「１」であるか「０」であるかに応じて、光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の状態ｍ１と状態ｍ２のいずれかの状態に変換するために使用される。なお、符号化装置４４０として偏光に依存した透過損失を有する光媒体を利用することも可能である。
【００２８】
ここで、図１及び図２を参照しつつ、ボブによるビットの符号化について詳細に説明する。なお、ＰＢＳ（Polarization Beam Splitter）は、偏波ビームスプリッタを示している。
【００２９】
図１に示すように、符号化したい鍵情報ビットが「１」である場合、ボブは偏光依存光学装置Ｍ１に光子ｂを入力する。偏光依存光学装置Ｍ１は、垂直偏光成分｜Ｖ＞についてはそのまま透過させ、水平偏光成分｜Ｈ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる装置である。光子ｂが反射された場合はＭ１の反射ポートＣから出力されＮＧとして処理され、ボブはそれをアリスに知らせる。一方、反射ポートＣでの光子ｂの検出が無かった場合には、そのことを通知した上で光子ｂをアリスに返送する。
【００３０】
偏光依存光学装置Ｍ１を通過した時点で光子対ａｂの状態は式２のように表される。
【００３１】
【数２】
【００３２】
ここで、光子ｂが反射ポートＣで検出されなかった場合には光子対ａｂの量子状態は、
【００３３】
【数３】
【００３４】
に射影される。状態ｍ１が生成される確率は（１＋ｔ）／２となる。状態ｍ１は第１項と第２項の確率振幅が異なり、非最大エンタングルド状態となっている。ボブは、透過係数ｔを関係式ｃｏｓ２（θ＋π／４）＝ｔ／（１＋ｔ）にしたがって設定する。ここで角度θは、光子対のエンタングルメント（量子もつれあい）の度合いを示すパラメータであり、０＜θ＜π／４の値をとりうるものとする。
【００３５】
一方、図２に示すように、符号化したい鍵情報ビットが「０」である場合、ボブは偏光依存光学装置Ｍ２に光子ｂを入力する。偏光依存光学装置Ｍ２は、水平偏光成分｜Ｈ＞については位相シフトπを施した上でそのまま透過させ、垂直偏光成分｜Ｖ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる装置である。
【００３６】
偏光依存光学装置Ｍ２を通過した時点で光子対ａｂの状態は式４のように表される。
【００３７】
【数４】
【００３８】
ここで、光子ｂが反射ポートＣで検出されなかった場合には光子対ａｂの量子状態は、測定に伴う波束の収縮によって、
【００３９】
【数５】
【００４０】
に射影される。状態ｍ２が生成される確率は（１＋ｔ）／２となる。状態ｍ２は第１項と第２項の確率振幅が異なり、非最大エンタングルド状態となっている。ボブは、透過係数ｔを関係式ｃｏｓ２（θ＋π／４）＝ｔ／（１＋ｔ）にしたがって設定する。光子ｂが反射された場合はＭ２の反射ポートＣから出力されＮＧとして処理され、ボブはそれをアリスに知らせる。一方で反射ポートＣでの光子ｂの検出が無かった場合には、そのことを通知した上で光子ｂをアリスに返送する。
【００４１】
図１及び図２を参照して説明したように、ボブによるビットの符号化は確率的にしか成功しないが、ビットの内容が暗号鍵として使用する乱数である場合には符号化の失敗に伴う欠損があっても残ったビットが乱数であることに変わりはないので問題は生じない。
【００４２】
初期状態Ｆと状態ｍ１、ｍ２とではエンタングルメントの度合いが異なるため、光子ｂに対する操作だけでは確率１で初期状態Ｆから状態ｍ１、ｍ２に変換することは原理的に不可能であり、上述のように量子状態の収縮を含む射影測定を伴う過程によって確率的に変換するより他に方法がない。また同様のことは、エンタングルメントの度合いが同じであるにも係わらず、状態ｍ１と状態ｍ２との間の状態の変換についてもあてはまる。これらのことは一見すると符号化を行うボブにとっての制約のように見えるが、後述するように、盗聴者にとって重大な制約となり結果としてアリスとボブによる盗聴の検知を可能にしている。
【００４３】
再び、図４の説明に戻る。第２の伝送媒体４５０は、符号化装置４４０から出力される光子ｂを受信者側（地点Ａ、アリス）に送り返すために使用される。第２の伝送媒体４５０は、光ファイバーとすることも可能である。
【００４４】
復号化装置４６０は、保存媒体４２０から取り出した光子ａと、第２の伝送媒体４５０から出力された光子ｂとを入力し、光子対ａｂの状態が二種類の状態ｍ１とｍ２のどちらの状態にあるのかに対応して「１」または「０」を出力する。つまり、地点Ｂでの符号化ビットの値と引き続く地点Ａでの復号化ビットとの一致／不一致を確認することで、第１の伝送媒体４３０と第２の伝送媒体４５０に対する第三者の介入がないことを保証する。
【００４５】
なお、復号化装置４６０として非対称な分岐比を有する光ビームスプリッタと光子検出器とを組み合わせて利用することも可能である。
【００４６】
ここで、図３を参照しながら、アリスによるビットの復号化について詳細に説明する。
【００４７】
なお、状態ｍ１と状態ｍ２とは直交しており、アリスは光子対ａｂに対して適切な測定基底を選択すればこれらの二つの量子状態を弁別できる。これは単一の光子に対する直線偏光基底（水平か垂直かを弁別）が果たす役割に相当する。
【００４８】
図３は、復号化装置の具体的な構成例を示す。復号化装置は、二つの二光子干渉計を組み合わせたものになっている。光子ｂは偏光状態を反転させる偏光制御素子ＸＢを通過した後、分岐比５０：５０の半透過鏡ＨＭ１に入力される。偏光制御素子ＸＢを通過することによって光子対ａｂの量子状態ｍ１とｍ２はそれぞれｍ１´（式６）とｍ２´（式７）に変換される。
【００４９】
【数６】
【００５０】
【数７】
【００５１】
反射に対応した波動関数の確率振幅成分は第１の非対称分岐ビームスプリッタ（ＡＢＳ１）に入力される。また、半透過鏡ＨＭ１を透過した確率振幅成分は、偏光状態に依存した位相差を与える偏光制御素子ＺＢ（垂直偏光成分｜Ｖ＞に対して位相シフトπを与える）を通過した後、第２の非対称分岐ビームスプリッタ（ＡＢＳ２）に入力される。
【００５２】
一方で光子ａは、分岐比５０：５０の半透過鏡ＨＭ２に入力される。透過に対応する波動関数の確率振幅成分は第１の非対称分岐ビームスプリッタ（ＡＢＳ１）に入力され、反射に対応する確率振幅成分は第２の非対称分岐ビームスプリッタ（ＡＢＳ２）に入力される。
【００５３】
光子ｂが、ＨＭ１により反射され且つ光子ａがＨＭ２を透過する場合は１／４の確率で生じ、ＡＢＳ１において、二光子干渉すなわち光子対ａｂの量子状態ｍ１´もしくはｍ２´の右辺の第１項と第２項との間での干渉が起こる。ここで第１の非対称分岐ビームスプリッタ（ＡＢＳ１）の透過係数をＴとする（反射係数は１−Ｔ）。ＡＢＳ１の二つの出力ポートＲＣ、ＲＤのそれぞれに更に水平偏光成分｜Ｈ＞と垂直偏光成分｜Ｖ＞とを分離する偏波ビームスプリッタ（ＰＢＳ）を挿入し、それぞれの出力ポートを図３に示すようにＲＣＨ、ＲＣＶ、ＲＤＨ、ＲＤＶとする。
【００５４】
ここで、第１の非対称分岐ビームスプリッタ（ＡＢＳ１）の透過係数Ｔを
【００５５】
【数８】
【００５６】
となるように選ぶと、二光子干渉の結果、状態ｍ１を復号化装置に入力した場合には、ＲＣＶとＲＤＨで同時に光子が検出される確率Ｐ（ＲＣＶ，ＲＤＨ；ｍ１）はゼロとなる。一方で状態ｍ２が入力された場合にはＲＣＶとＲＤＨで同時に光子が検出される確率Ｐ（ＲＣＶ，ＲＤＨ；ｍ２）は、式９のようになる。
【００５７】
【数９】
【００５８】
よって、ＲＣＶとＲＤＨとで同時に二つの光子が検出された場合には、復号化装置に入力された状態がｍ２であったことが判明する。
【００５９】
同様に、光子ｂがＨＭ１を透過し且つ光子ａがＨＭ２によって反射される場合は１／４の確率で生じ、第２の非対称分岐ビームスプリッタ（ＡＢＳ２）において、二光子干渉、すなわち光子対ａｂの量子状態ｍ１´もしくはｍ２´の右辺の第１項と第２項との間での干渉が起こる。ここで第２の非対称ビームスプリッタ（ＡＢＳ２）の透過係数をＴとする（反射係数は１−Ｔ）。ＡＢＳ２の二つの出力ポートＬＣ、ＬＤのそれぞれに更に水平変更成分｜Ｈ＞と垂直偏光成分｜Ｖ＞とを分離する偏波ビームスプリッタ（ＰＢＳ）を挿入し、それぞれの出力ポートを図３に示すようにＬＣＨ、ＬＣＶ、ＬＤＨ、ＬＤＶとする。ここで第２の非対称分岐ビームスプリッタ（ＡＢＳ２）の透過係数Ｔを
【００６０】
【数１０】
【００６１】
となるように選ぶと、二光子干渉の結果、状態ｍ２を復号化装置に入力した場合には、ＬＣＨとＬＤＶで同時に光子が検出される確率Ｐ（ＬＣＨ，ＬＤＶ；ｍ２）はゼロとなる。一方で状態ｍ１が入力された場合にはＬＣＨとＬＤＶで同時に光子が検出される確率Ｐ（ＬＣＨ，ＬＤＶ；ｍ１）は、式１１のようになる。
【００６２】
【数１１】
【００６３】
よって、ＬＣＨとＬＤＶとで同時に二つの光子が検出された場合には、復号化装置に入力された状態がｍ１であったことが判明する。
【００６４】
このように復号化装置に入力された状態がｍ１であるのか、ｍ２であるのかを有限の確率で断定することができる。よって、ボブが鍵情報の符号化に成功した光子対のうち、平均して全体の（１／４）×（１＋ｔ）／（１＋√ｔ）２程度の光子対については、アリスは鍵情報の読み出しに成功する。例としてｔ＝０．０７１５を選ぶと、この確率は１／６程度となる。
【００６５】
ここで、本発明における盗聴の検出について説明する。
【００６６】
上述したように、鍵の情報は光子ｂに符号化されているのではなく、光子ａと光子ｂの非最大にエンタングルした状態ｍ１もしくはｍ２に符号化されているため、盗聴者は伝送路上を戻る光子ｂだけにアクセスしても鍵の情報を充分にとることはできない。そこで盗聴者はアリスになりすまして光子ａ´と光子ｂ´とを用意し、アリスと同様に振舞うことで戻ってきた粒子ｂ´と手元にある粒子ａ´の結合測定を行ってボブが符号化した鍵情報を得るようにすることは可能である。
【００６７】
次に、盗聴が露見しないためには得られた鍵情報をアリスに再送しなくてはならない。そのためにはアリスから送られてきた粒子ｂに対して操作を施すことにより、光子対ａｂの量子状態Ｆ（最大にエンタングルした状態）を得られた鍵情報にしたがってｍ１かｍ２（非最大にエンタングルした状態）に変換しなくてはならない。しかしながら、状態Ｆとｍ１、ｍ２とではエンタングルメント（量子もつれあい）の度合いが異なるため、光子ｂに対する操作のみで確率１で状態Ｆからこれらの状態に変換することは原理的に不可能である。光子ｂに対する操作を最適化して、目的とする状態（ｍ１もしくはｍ２）に変換される確率ができるだけ高くなるようにしても、その確率は（１＋√ｔ）／（２（１＋ｔ））にとどまる。
【００６８】
また、盗聴者がボブ同様に符号化装置（偏光依存光学装置Ｍ１もしくはＭ２）を用いて状態Ｆを目的であるｍ１やｍ２に意図的に変換しようとしても、その成功確率は前述したように（１＋ｔ）／２であり、確率（１−ｔ）／２で再送が不可能になってしまうため、この方法は採用することができない。
【００６９】
よって、アリスとボブが充分に多くの光子対をサンプルして符号化した鍵情報と復号化した鍵情報のビット値の照合を行った場合、盗聴者の再送行為は必然的にビット値の不符合をもたらす結果になる。一方でサンプルした多くの光子対について不符合がなければ残りの光子対についても盗聴者の不介在とビット値の一致が保証されるため、これらを暗号鍵として利用することができる。サンプルした光子対の全てについて盗聴者が検証を免れる確率はサンプル数に対して指数関数的にゼロに漸近する。
【００７０】
上記で説明したように、本発明では、鍵のビット情報を伝送路を伝わる単一の光子に担わせるのではなく、受信者（地点Ａ、アリス）の手元に保存され外部には出ることのない光子ａと、まずアリスからボブ（地点Ｂ）へと送られボブによるビット情報の符号化を経た上でアリスへと返送される光子ｂとの間の量子力学的なもつれ合いの状態（非最大エンタングルド状態）に担わせることによって、光子ａと光子ｂの両方が揃っていない限りビット情報の復号ができないようになっている。
【００７１】
このため、第三者が伝送路上の粒子ｂに不正にアクセスして量子状態を測定したとしても入手可能なビット情報には限りがある上、従来の量子鍵配送方式と同様に測定に伴う量子状態の破壊によって盗聴は見破られてしまう。さらに光子ｂに単独にアクセスしただけでは原理的に鍵情報の復号化ができないために、たとえ単位時間スロット内に光子ｂが複数個含まれていたとしてもビット情報の確定は不可能である。この点は、本発明が従来技術に比して安全性を向上させるものである。
【符号の説明】
【００７２】
４１０ 光子対発生装置
４２０ 保存媒体
４３０ 第１の伝送媒体
４４０ 符号化装置
４５０ 第２の伝送媒体
４６０ 復号化装置
【技術分野】
【０００１】
本発明は、二地点間での秘密通信に使用するための共通秘密暗号鍵を共有するための鍵配送システム及び配送方法に関する。より詳細には、本発明は、暗号鍵の情報を光子等のキャリア粒子の量子力学的な状態を利用して配送することで、伝送チャネルに対する第三者の介入が不可避的にもたらす量子力学的な状態の変化を検知し鍵配送に用いる伝送チャネルの安全性を保証する量子鍵配送技術に関する。
【背景技術】
【０００２】
従来、二者間で秘密共通鍵を配送する方式には大きく分けて２つの方式が知られている。つまり、数学的なアルゴリズムに基づく方式及び物理的な自然法則に基づく方式の二種類である。前者の方式は、数学的な演算処理の複雑性及び解読のために必要とされる計算量の膨大さを安全性の根拠としている。一方、後者の方式は、物理現象の中に現れる人為的には制御できない揺らぎの性質を利用している。
【０００３】
特に、光の素粒子である光子が示す量子力学的な揺らぎ（個々のイベント毎の測定結果が示す平均値のまわりでのバラつき）を利用したものが量子鍵配送（非特許文献２参照）である。量子鍵配送では鍵の送信者と受信者の間で伝送前後の光子の量子状態（例えば、偏光の状態）の変化の有無や度合いを、多数個の光子に対して検証することにより、使用した伝送路に対して第三者による盗聴行為がなされたかもしれない確率を、光子の個数に対して指数関数的にゼロに漸近させることができる。これは確率論的な安全性と呼ばれており、配送された鍵の安全性の高さを根拠付けている。一方、上述した数学的なアルゴリズムに基づく鍵配送方式では確率論的な安全性を達成することはできないため、この点が量子鍵配送を行う最大の利点として知られている。
【０００４】
ここで、量子鍵配送の基本的な原理を説明するため、代表的な量子鍵配送プロトコルであるＢＢ８４プロトコル（非特許文献１参照）について簡単に説明する。なお、この量子鍵配送プロトコルは、二者間で直接暗号文の送受信ができるわけではなく、暗号に必要な鍵データを安全に共有できるためのものである。以下の説明では、送信者をボブ（Bob）、受信者をアリス（Alice）として説明する。
【０００５】
送信者であるボブは、手元に二値乱数表を用意し、それにしたがって乱数表のビット列を一連の光子の偏光状態に符号化する。具体的には、ビット値「１」の場合には、Ｈ（水平偏光）かＲ（右回り円偏光）をランダムに選択し、ビット値「０」の場合には、Ｖ（垂直偏光）かＬ（左回り円偏光）をランダムに選択する。そして、ボブは、これらの量子を受信者であるアリスに送る。偏光ＨとＶを直線偏光基底と呼び、偏光ＲとＬを円偏光基底と呼ぶ。
【０００６】
アリスは、ボブから送られてきた光子を測定せずに保存しておく。次に、ボブは、検査用に充分な数の光子を何個かサンプルとして指定し、それぞれの検査用光子ごとに偏光状態の読み出しに必要な偏光基底（直線偏光基底または円偏光基底）をアリスに対して公表する。アリスは、ボブから指定された偏光基底を用いて偏光状態の読み出しを行い、読み出し結果をボブに知らせる。このとき、伝送路に第三者の介入がなければアリスが得た偏光状態とボブが送った偏光状態は一致する。
【０００７】
一方、もしアリスがボブからの基底公表を待たずに、任意に偏光基底を選択して光子の偏光状態を読み出したとすると、偏光基底がたまたま合っていた場合を除き、光子の偏光状態は破壊されてしまう。例えば、水平偏光の光子｜Ｈ＞を円偏光基底で測定するとそれぞれ１／２の確率で右回りの円偏光の光子｜Ｒ＞、左回りの円偏光の光子｜Ｌ＞が出力される。この場合、出力結果だけからは、初めから円偏光の光子が送られてきたのか、それとも直線偏光の光子が送られてきたのか全く分からなくなってしまう。このため、アリスは、ボブによる測定基底の公表まで偏光状態の読み出しを待つ必要がある。
【０００８】
伝送路の途中で第三者が光子に符号化されたビットの情報を盗聴するためには、個々の光子の量子状態を複製して複製分を手元においておきボブによる偏光基底の公表を待てばよい。しかしながら、未知の量子状態を複製することは自然法則から原理的に不可能であり、情報を幾らでも得るためには偏光基底の公表を待たずに何らかの方法で測定を行う必要がある。上記の説明によれば、この測定に伴って光子の偏光状態が当初の偏光状態とは異なったものに変化してしまう場合が少なからず生じる。こうした光子をそれとは知らずにボブになりすましてアリスに送ったとしても、アリスとボブの偏光状態の照合の際に不一致をもたらすことになり、盗聴行為は見破られてしまう。
【先行技術文献】
【非特許文献】
【０００９】
【非特許文献１】C.H. Bennett, G. Brassard, “Quantum Cryptography: Public Key Distribution and Coin Tossing”, Proceedings of IEEE International Conference on Computers Systems and Signal Processing, Bangalore India, pp 175-179, December 1984.
【非特許文献２】M.A. Nielsen and I.L. Chuang, “Quantum Computation and Quantum Information” (Cambridge University Press, 2000), Chapter 12.6.
【発明の概要】
【発明が解決しようとする課題】
【００１０】
しかしながら、量子鍵配送プロトコルであるＢＢ８４プロトコルが成立するためには単位時間スロット毎にビット情報を担う光子が１個以下しか含まれていないことが必須である。仮に、ある単位時間スロットが同じ偏光状態に符号化された２個の光子を含んでいたとすると、盗聴者はそのうちの任意の１個を抜き取って保存しておき、ボブによる基底公表を待って測定することによりアリスとボブに見破られることなく光子の偏光状態に符号化されたビット情報を得ることができてしまう。つまり、初めから複製が一緒に配られているのであれば量子鍵配送はそもそも成り立たない。
【００１１】
従来の技術では、単位時間スロット内に１個以上の複数個の光子が混入してしまう確率をゼロにすることは困難であり、単位時間スロット内の平均光子数を１より著しく小さく設定することで複数個の光子混入の確率をかろうじて小さく抑えている。しかしながら、このことは鍵配送レートの低下を余儀なくさせていた。
【００１２】
本発明は、このような問題に鑑みてなされたもので、単一光子への操作を前提とする全ての量子鍵配送方式が有している上述の問題点を解決し、量子鍵配送の安全性を高めるとともに、単位時間スロット内に複数個の光子が混入しても安全性の顕著な低下が生じないようにすることで、結果的に鍵配送レートを向上させることを目的とする。
【課題を解決するための手段】
【００１３】
上記の課題を解決するために、本発明に係る受信側と送信側間の共通秘密暗号鍵の配送方法は、（ａ）前記受信側が、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるステップと、（ｂ）前記受信側が、光子ａを必要な時間ΔＴの間保存するステップと、（ｃ）前記受信側が、光子ｂを送信側に送るステップと、（ｄ）前記送信側が、前記受信側から送られた光子ｂの状態を操作し、符号化したい鍵情報に応じて前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するステップと、（ｅ）前記送信側が、前記ステップ（ｄ）にて出力される光子ｂを受信側に送り返すステップと、（ｆ）前記受信側が、前記ステップ（ｂ）にて保存された光子ａと前記ステップ（ｅ）にて送り返された光子ｂとを二光子干渉させて、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力するステップと、を含み、前記光子ａは、前記受信側の内部に保持されて外部に出ることはなく、前記必要な時間ΔＴは、ステップ（ａ）の光子対ａｂの発生から前記ステップ（ｆ）の二光子干渉までの時間とするように設定され、前記量子状態ｍ１及び量子状態ｍ２は、前記ステップ（ｄ）で前記送信側による光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、前記ステップ（ｄ）での符号化情報とステップ（ｆ）の出力とによって、第三者による不正アクセスの有無を識別することを特徴する。
【００１４】
また、本発明に係る受信側と送信側間の共通秘密暗号鍵の配送システムは、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるための光子対発生手段と、前記光子対発生手段から出力される光子ａを必要な時間ΔＴの間保存するための保存手段と、前記光子対発生手段から出力される光子ｂを送信側に送るための第１の伝送手段と、前記第１の伝送手段から出力される光子ｂの状態を操作し、符号化したい鍵情報に応じて、前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するための符号化手段と、前記符号化手段から出力される光子ｂを受信側に送り返すための第２の伝送手段と、前記保存手段から出力される光子ａと前記第２の伝送手段から出力される光子ｂとを入力して二光子干渉させ、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力する復号化手段と、を備え、前記受信側は、光子ａがその外部に出ないように保持し、前記必要な時間ΔＴは、前記光子対ａｂの発生から、前記光子ａと前記光子ｂとの前記二光子干渉までの時間とするように設定され、前記量子状態ｍ１及び量子状態ｍ２は、前記符号化手段に入力された光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、前記符号化手段での符号化情報と復号化手段での出力とによって、第三者による不正アクセスの有無を識別することを特徴する。
【発明の効果】
【００１５】
本発明は、二つの光子ａと光子ｂの量子状態が非最大エンタングルド状態にあるとき、通信路には光子ｂのみを往復させて鍵情報を符号化し、光子ａとの結合測定によって情報を読み出すことにより、従来の量子鍵配送方法と比較して安全性に優れた暗号鍵の配送が可能になるという効果が得られる。
【図面の簡単な説明】
【００１６】
【図１】鍵情報「１」を符号化するための偏光依存光学装置Ｍ１の構成を示す図である。
【図２】鍵情報「０」を符号化するための偏光依存光学装置Ｍ２の構成を示す図である。
【図３】復号化装置の構成を示す図である。
【図４】本発明の一実施形態に係る装置の構成を示す図である。
【発明を実施するための形態】
【００１７】
以下、本発明の実施形態について詳細に説明する。図４を参照しながら本発明に係る共通秘密暗号鍵の配送システムを説明しながら、当該配送システム内の各構成要素について、本発明に関する原理と構成例を図１〜図３を参照して具体的に説明する。なお、以下の説明では、上述のＢＢ８４プロトコルと同様に光子の内部状態として偏光状態を想定して説明を行う。
【００１８】
図４は、本発明の一実施形態に係る共通秘密暗号鍵の配送システム４００を示す。当該配送システム４００は、光子対発生装置４１０、保存媒体４２０、第１の伝送媒体４３０、符号化装置４４０、第２の伝送媒体４５０、復号化装置４６０を備える。これらの構成要素４１０〜４６０のうち、受信者側（地点Ａ、アリス）は、光子対発生装置４１０、保存媒体４２０、復号化装置４６０を有し、情報送信者側（地点Ｂ、ボブ）は、符号化装置４４０を有するものとして説明を行う。
【００１９】
光子対発生装置４１０は、内部もしくは外部自由度に関して最大の量子力学的な相関（量子もつれあい）を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される量子もつれ光子対ａｂを発生させる。
【００２０】
ここで、アリスによる光子対ａｂの準備をより詳細に説明する。
【００２１】
アリスは、光子対ａｂの初期状態を最大にエンタングルした状態Ｆ（Ｂｅｌｌ状態と呼ばれる）に準備する。エンタングル状態とは、２つ以上の粒子の量子状態が特定の組み合わせで相関を持った量子状態のことを指す。この状態Ｆは、幾つかの手段（例えば、式１）で実際に発生させることが可能である。
【００２２】
【数１】
【００２３】
図４に示すように、アリスは光子ａを保存媒体４２０にて保持しておき、第１の伝送媒体４３０を介して光子ｂのみをボブに送る。
【００２４】
なお、本発明において、光子対発生装置４１０として偏光状態に関して量子相関をもつ光子対を発生する装置を利用することが可能である。
【００２５】
再び、図４の説明に戻る。保存媒体４２０は、光子対発生装置４１０から出力される光子ａを必要な時間ΔＴだけ受信者側（地点Ａ、アリス）に保存するために使用される。この保存時間ΔＴを、光子ｂが地点Ｂに到達し、再び地点Ａまで戻ってくる往復時間に一致するように設定することもできる。なお、保存媒体４２０としては、光ファイバー等の光遅延媒体を利用することが可能である。
【００２６】
第１の伝送媒体４３０は、光子対発生装置４１０から出力される光子ｂを送信者側（地点Ｂ、ボブ）に送るために使用される。第１の伝送媒体４３０は、光ファイバーとすることも可能である。
【００２７】
符号化装置４４０は、第１の伝送媒体４３０から出力される光子ｂの状態を操作し、符号化したいビットが「１」であるか「０」であるかに応じて、光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の状態ｍ１と状態ｍ２のいずれかの状態に変換するために使用される。なお、符号化装置４４０として偏光に依存した透過損失を有する光媒体を利用することも可能である。
【００２８】
ここで、図１及び図２を参照しつつ、ボブによるビットの符号化について詳細に説明する。なお、ＰＢＳ（Polarization Beam Splitter）は、偏波ビームスプリッタを示している。
【００２９】
図１に示すように、符号化したい鍵情報ビットが「１」である場合、ボブは偏光依存光学装置Ｍ１に光子ｂを入力する。偏光依存光学装置Ｍ１は、垂直偏光成分｜Ｖ＞についてはそのまま透過させ、水平偏光成分｜Ｈ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる装置である。光子ｂが反射された場合はＭ１の反射ポートＣから出力されＮＧとして処理され、ボブはそれをアリスに知らせる。一方、反射ポートＣでの光子ｂの検出が無かった場合には、そのことを通知した上で光子ｂをアリスに返送する。
【００３０】
偏光依存光学装置Ｍ１を通過した時点で光子対ａｂの状態は式２のように表される。
【００３１】
【数２】
【００３２】
ここで、光子ｂが反射ポートＣで検出されなかった場合には光子対ａｂの量子状態は、
【００３３】
【数３】
【００３４】
に射影される。状態ｍ１が生成される確率は（１＋ｔ）／２となる。状態ｍ１は第１項と第２項の確率振幅が異なり、非最大エンタングルド状態となっている。ボブは、透過係数ｔを関係式ｃｏｓ２（θ＋π／４）＝ｔ／（１＋ｔ）にしたがって設定する。ここで角度θは、光子対のエンタングルメント（量子もつれあい）の度合いを示すパラメータであり、０＜θ＜π／４の値をとりうるものとする。
【００３５】
一方、図２に示すように、符号化したい鍵情報ビットが「０」である場合、ボブは偏光依存光学装置Ｍ２に光子ｂを入力する。偏光依存光学装置Ｍ２は、水平偏光成分｜Ｈ＞については位相シフトπを施した上でそのまま透過させ、垂直偏光成分｜Ｖ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる装置である。
【００３６】
偏光依存光学装置Ｍ２を通過した時点で光子対ａｂの状態は式４のように表される。
【００３７】
【数４】
【００３８】
ここで、光子ｂが反射ポートＣで検出されなかった場合には光子対ａｂの量子状態は、測定に伴う波束の収縮によって、
【００３９】
【数５】
【００４０】
に射影される。状態ｍ２が生成される確率は（１＋ｔ）／２となる。状態ｍ２は第１項と第２項の確率振幅が異なり、非最大エンタングルド状態となっている。ボブは、透過係数ｔを関係式ｃｏｓ２（θ＋π／４）＝ｔ／（１＋ｔ）にしたがって設定する。光子ｂが反射された場合はＭ２の反射ポートＣから出力されＮＧとして処理され、ボブはそれをアリスに知らせる。一方で反射ポートＣでの光子ｂの検出が無かった場合には、そのことを通知した上で光子ｂをアリスに返送する。
【００４１】
図１及び図２を参照して説明したように、ボブによるビットの符号化は確率的にしか成功しないが、ビットの内容が暗号鍵として使用する乱数である場合には符号化の失敗に伴う欠損があっても残ったビットが乱数であることに変わりはないので問題は生じない。
【００４２】
初期状態Ｆと状態ｍ１、ｍ２とではエンタングルメントの度合いが異なるため、光子ｂに対する操作だけでは確率１で初期状態Ｆから状態ｍ１、ｍ２に変換することは原理的に不可能であり、上述のように量子状態の収縮を含む射影測定を伴う過程によって確率的に変換するより他に方法がない。また同様のことは、エンタングルメントの度合いが同じであるにも係わらず、状態ｍ１と状態ｍ２との間の状態の変換についてもあてはまる。これらのことは一見すると符号化を行うボブにとっての制約のように見えるが、後述するように、盗聴者にとって重大な制約となり結果としてアリスとボブによる盗聴の検知を可能にしている。
【００４３】
再び、図４の説明に戻る。第２の伝送媒体４５０は、符号化装置４４０から出力される光子ｂを受信者側（地点Ａ、アリス）に送り返すために使用される。第２の伝送媒体４５０は、光ファイバーとすることも可能である。
【００４４】
復号化装置４６０は、保存媒体４２０から取り出した光子ａと、第２の伝送媒体４５０から出力された光子ｂとを入力し、光子対ａｂの状態が二種類の状態ｍ１とｍ２のどちらの状態にあるのかに対応して「１」または「０」を出力する。つまり、地点Ｂでの符号化ビットの値と引き続く地点Ａでの復号化ビットとの一致／不一致を確認することで、第１の伝送媒体４３０と第２の伝送媒体４５０に対する第三者の介入がないことを保証する。
【００４５】
なお、復号化装置４６０として非対称な分岐比を有する光ビームスプリッタと光子検出器とを組み合わせて利用することも可能である。
【００４６】
ここで、図３を参照しながら、アリスによるビットの復号化について詳細に説明する。
【００４７】
なお、状態ｍ１と状態ｍ２とは直交しており、アリスは光子対ａｂに対して適切な測定基底を選択すればこれらの二つの量子状態を弁別できる。これは単一の光子に対する直線偏光基底（水平か垂直かを弁別）が果たす役割に相当する。
【００４８】
図３は、復号化装置の具体的な構成例を示す。復号化装置は、二つの二光子干渉計を組み合わせたものになっている。光子ｂは偏光状態を反転させる偏光制御素子ＸＢを通過した後、分岐比５０：５０の半透過鏡ＨＭ１に入力される。偏光制御素子ＸＢを通過することによって光子対ａｂの量子状態ｍ１とｍ２はそれぞれｍ１´（式６）とｍ２´（式７）に変換される。
【００４９】
【数６】
【００５０】
【数７】
【００５１】
反射に対応した波動関数の確率振幅成分は第１の非対称分岐ビームスプリッタ（ＡＢＳ１）に入力される。また、半透過鏡ＨＭ１を透過した確率振幅成分は、偏光状態に依存した位相差を与える偏光制御素子ＺＢ（垂直偏光成分｜Ｖ＞に対して位相シフトπを与える）を通過した後、第２の非対称分岐ビームスプリッタ（ＡＢＳ２）に入力される。
【００５２】
一方で光子ａは、分岐比５０：５０の半透過鏡ＨＭ２に入力される。透過に対応する波動関数の確率振幅成分は第１の非対称分岐ビームスプリッタ（ＡＢＳ１）に入力され、反射に対応する確率振幅成分は第２の非対称分岐ビームスプリッタ（ＡＢＳ２）に入力される。
【００５３】
光子ｂが、ＨＭ１により反射され且つ光子ａがＨＭ２を透過する場合は１／４の確率で生じ、ＡＢＳ１において、二光子干渉すなわち光子対ａｂの量子状態ｍ１´もしくはｍ２´の右辺の第１項と第２項との間での干渉が起こる。ここで第１の非対称分岐ビームスプリッタ（ＡＢＳ１）の透過係数をＴとする（反射係数は１−Ｔ）。ＡＢＳ１の二つの出力ポートＲＣ、ＲＤのそれぞれに更に水平偏光成分｜Ｈ＞と垂直偏光成分｜Ｖ＞とを分離する偏波ビームスプリッタ（ＰＢＳ）を挿入し、それぞれの出力ポートを図３に示すようにＲＣＨ、ＲＣＶ、ＲＤＨ、ＲＤＶとする。
【００５４】
ここで、第１の非対称分岐ビームスプリッタ（ＡＢＳ１）の透過係数Ｔを
【００５５】
【数８】
【００５６】
となるように選ぶと、二光子干渉の結果、状態ｍ１を復号化装置に入力した場合には、ＲＣＶとＲＤＨで同時に光子が検出される確率Ｐ（ＲＣＶ，ＲＤＨ；ｍ１）はゼロとなる。一方で状態ｍ２が入力された場合にはＲＣＶとＲＤＨで同時に光子が検出される確率Ｐ（ＲＣＶ，ＲＤＨ；ｍ２）は、式９のようになる。
【００５７】
【数９】
【００５８】
よって、ＲＣＶとＲＤＨとで同時に二つの光子が検出された場合には、復号化装置に入力された状態がｍ２であったことが判明する。
【００５９】
同様に、光子ｂがＨＭ１を透過し且つ光子ａがＨＭ２によって反射される場合は１／４の確率で生じ、第２の非対称分岐ビームスプリッタ（ＡＢＳ２）において、二光子干渉、すなわち光子対ａｂの量子状態ｍ１´もしくはｍ２´の右辺の第１項と第２項との間での干渉が起こる。ここで第２の非対称ビームスプリッタ（ＡＢＳ２）の透過係数をＴとする（反射係数は１−Ｔ）。ＡＢＳ２の二つの出力ポートＬＣ、ＬＤのそれぞれに更に水平変更成分｜Ｈ＞と垂直偏光成分｜Ｖ＞とを分離する偏波ビームスプリッタ（ＰＢＳ）を挿入し、それぞれの出力ポートを図３に示すようにＬＣＨ、ＬＣＶ、ＬＤＨ、ＬＤＶとする。ここで第２の非対称分岐ビームスプリッタ（ＡＢＳ２）の透過係数Ｔを
【００６０】
【数１０】
【００６１】
となるように選ぶと、二光子干渉の結果、状態ｍ２を復号化装置に入力した場合には、ＬＣＨとＬＤＶで同時に光子が検出される確率Ｐ（ＬＣＨ，ＬＤＶ；ｍ２）はゼロとなる。一方で状態ｍ１が入力された場合にはＬＣＨとＬＤＶで同時に光子が検出される確率Ｐ（ＬＣＨ，ＬＤＶ；ｍ１）は、式１１のようになる。
【００６２】
【数１１】
【００６３】
よって、ＬＣＨとＬＤＶとで同時に二つの光子が検出された場合には、復号化装置に入力された状態がｍ１であったことが判明する。
【００６４】
このように復号化装置に入力された状態がｍ１であるのか、ｍ２であるのかを有限の確率で断定することができる。よって、ボブが鍵情報の符号化に成功した光子対のうち、平均して全体の（１／４）×（１＋ｔ）／（１＋√ｔ）２程度の光子対については、アリスは鍵情報の読み出しに成功する。例としてｔ＝０．０７１５を選ぶと、この確率は１／６程度となる。
【００６５】
ここで、本発明における盗聴の検出について説明する。
【００６６】
上述したように、鍵の情報は光子ｂに符号化されているのではなく、光子ａと光子ｂの非最大にエンタングルした状態ｍ１もしくはｍ２に符号化されているため、盗聴者は伝送路上を戻る光子ｂだけにアクセスしても鍵の情報を充分にとることはできない。そこで盗聴者はアリスになりすまして光子ａ´と光子ｂ´とを用意し、アリスと同様に振舞うことで戻ってきた粒子ｂ´と手元にある粒子ａ´の結合測定を行ってボブが符号化した鍵情報を得るようにすることは可能である。
【００６７】
次に、盗聴が露見しないためには得られた鍵情報をアリスに再送しなくてはならない。そのためにはアリスから送られてきた粒子ｂに対して操作を施すことにより、光子対ａｂの量子状態Ｆ（最大にエンタングルした状態）を得られた鍵情報にしたがってｍ１かｍ２（非最大にエンタングルした状態）に変換しなくてはならない。しかしながら、状態Ｆとｍ１、ｍ２とではエンタングルメント（量子もつれあい）の度合いが異なるため、光子ｂに対する操作のみで確率１で状態Ｆからこれらの状態に変換することは原理的に不可能である。光子ｂに対する操作を最適化して、目的とする状態（ｍ１もしくはｍ２）に変換される確率ができるだけ高くなるようにしても、その確率は（１＋√ｔ）／（２（１＋ｔ））にとどまる。
【００６８】
また、盗聴者がボブ同様に符号化装置（偏光依存光学装置Ｍ１もしくはＭ２）を用いて状態Ｆを目的であるｍ１やｍ２に意図的に変換しようとしても、その成功確率は前述したように（１＋ｔ）／２であり、確率（１−ｔ）／２で再送が不可能になってしまうため、この方法は採用することができない。
【００６９】
よって、アリスとボブが充分に多くの光子対をサンプルして符号化した鍵情報と復号化した鍵情報のビット値の照合を行った場合、盗聴者の再送行為は必然的にビット値の不符合をもたらす結果になる。一方でサンプルした多くの光子対について不符合がなければ残りの光子対についても盗聴者の不介在とビット値の一致が保証されるため、これらを暗号鍵として利用することができる。サンプルした光子対の全てについて盗聴者が検証を免れる確率はサンプル数に対して指数関数的にゼロに漸近する。
【００７０】
上記で説明したように、本発明では、鍵のビット情報を伝送路を伝わる単一の光子に担わせるのではなく、受信者（地点Ａ、アリス）の手元に保存され外部には出ることのない光子ａと、まずアリスからボブ（地点Ｂ）へと送られボブによるビット情報の符号化を経た上でアリスへと返送される光子ｂとの間の量子力学的なもつれ合いの状態（非最大エンタングルド状態）に担わせることによって、光子ａと光子ｂの両方が揃っていない限りビット情報の復号ができないようになっている。
【００７１】
このため、第三者が伝送路上の粒子ｂに不正にアクセスして量子状態を測定したとしても入手可能なビット情報には限りがある上、従来の量子鍵配送方式と同様に測定に伴う量子状態の破壊によって盗聴は見破られてしまう。さらに光子ｂに単独にアクセスしただけでは原理的に鍵情報の復号化ができないために、たとえ単位時間スロット内に光子ｂが複数個含まれていたとしてもビット情報の確定は不可能である。この点は、本発明が従来技術に比して安全性を向上させるものである。
【符号の説明】
【００７２】
４１０ 光子対発生装置
４２０ 保存媒体
４３０ 第１の伝送媒体
４４０ 符号化装置
４５０ 第２の伝送媒体
４６０ 復号化装置
【特許請求の範囲】
【請求項１】
受信側と送信側間の共通秘密暗号鍵の配送方法であって、
（ａ）前記受信側が、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるステップと、
（ｂ）前記受信側が、光子ａを必要な時間ΔＴの間保存するステップと、
（ｃ）前記受信側が、光子ｂを送信側に送るステップと、
（ｄ）前記送信側が、前記受信側から送られた光子ｂの状態を操作し、符号化したい鍵情報に応じて前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するステップと、
（ｅ）前記送信側が、前記ステップ（ｄ）にて出力される光子ｂを受信側に送り返すステップと、
（ｆ）前記受信側が、前記ステップ（ｂ）にて保存された光子ａと前記ステップ（ｅ）にて送り返された光子ｂとを二光子干渉させて、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力するステップと
を含み、
前記光子ａは、前記受信側の内部に保持されて外部に出ることはなく、
前記必要な時間ΔＴは、ステップ（ａ）の光子対ａｂの発生から前記ステップ（ｆ）の二光子干渉までの時間とするように設定され、
前記量子状態ｍ１及び量子状態ｍ２は、前記ステップ（ｄ）で前記送信側による光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、
前記ステップ（ｄ）での符号化情報とステップ（ｆ）の出力とによって、第三者による不正アクセスの有無を識別する
ことを特徴する共通秘密暗号鍵の配送方法。
【請求項２】
前記ステップ（ａ）において、
前記光子対ａｂの初期状態を、｜Ｈ＞が水平偏光成分であり、｜Ｖ＞が垂直偏光成分を示す式
【数１】
を用いて最大にエンタングルした状態Ｆにすることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項３】
前記ステップ（ｄ）において、符号化したい鍵情報をビット情報１とした場合、
垂直偏光成分｜Ｖ＞についてはそのまま透過させ、水平偏光成分｜Ｈ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる第１の偏光依存光学手段に光子ｂを入力し、該第１の偏光依存光学手段にて反射が検出されない場合には、前記光子対ａｂの状態を量子状態ｍ１に変換して光子ｂを出力し、
該量子状態ｍ１が、
【数２】
であることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項４】
前記ステップ（ｄ）において、符号化したい鍵情報をビット情報０とした場合、
水平偏光成分｜Ｈ＞については位相シフトπを施した上でそのまま透過させ、垂直偏光成分｜Ｖ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる第２の偏光依存光学手段に光子ｂを入力し、該第２の偏光依存光学手段にて反射が検出されない場合には、前記光子対ａｂの状態を量子状態ｍ２に変換して光子ｂを出力し、
該量子状態ｍ２が、
【数３】
であることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項５】
前記ステップ（ｆ）において、
前記受信側が、光子ｂを、偏光状態を反転させる偏光制御手段を通過させることによって、光子対ａｂの前記量子状態ｍ１及び量子状態ｍ２をそれぞれ量子状態ｍ１´とｍ２´に変換し、
該ｍ１´は、
【数４】
であり、該ｍ２´は、
【数５】
であり、
該ｍ１´の第１項と第２項の間で干渉を生じさせ、該ｍ２´の第１項と第２項の間で干渉を生じさせることを特徴とする請求項３及び４のいずれかに記載の共通秘密暗号鍵の配送方法。
【請求項６】
受信側と送信側間の共通秘密暗号鍵の配送システムであって、
量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるための光子対発生手段と、
前記光子対発生手段から出力される光子ａを必要な時間ΔＴの間保存するための保存手段と、
前記光子対発生手段から出力される光子ｂを送信側に送るための第１の伝送手段と、
前記第１の伝送手段から出力される光子ｂの状態を操作し、符号化したい鍵情報に応じて、前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するための符号化手段と、
前記符号化手段から出力される光子ｂを受信側に送り返すための第２の伝送手段と、
前記保存手段から出力される光子ａと前記第２の伝送手段から出力される光子ｂとを入力して二光子干渉させ、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力する復号化手段と
を備え、
前記受信側は、光子ａがその外部に出ないように保持し、
前記必要な時間ΔＴは、前記光子対ａｂの発生から、前記光子ａと前記光子ｂとの前記二光子干渉までの時間とするように設定され、
前記量子状態ｍ１及び量子状態ｍ２は、前記符号化手段に入力された光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、
前記符号化手段での符号化情報と復号化手段での出力とによって、第三者による不正アクセスの有無を識別する
ことを特徴する共通秘密暗号鍵の配送システム。
【請求項７】
前記光子対発生手段は、偏光状態に関して量子相関をもつ光子対ａｂを発生させ、
前記保存手段は、光遅延媒体としての光ファイバーであり、
前記第１の伝送手段及び前記第２の伝送手段は、光ファイバーであり、
前記符号化手段は、偏光に依存した透過損失を有する光媒体であり、
前記復号化手段は、非対称な分岐比を有する光ビームスプリッタと光子検出器との組み合わせである
ことを特徴とする請求項６記載の共通秘密暗号鍵の配送システム。
【請求項１】
受信側と送信側間の共通秘密暗号鍵の配送方法であって、
（ａ）前記受信側が、量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるステップと、
（ｂ）前記受信側が、光子ａを必要な時間ΔＴの間保存するステップと、
（ｃ）前記受信側が、光子ｂを送信側に送るステップと、
（ｄ）前記送信側が、前記受信側から送られた光子ｂの状態を操作し、符号化したい鍵情報に応じて前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するステップと、
（ｅ）前記送信側が、前記ステップ（ｄ）にて出力される光子ｂを受信側に送り返すステップと、
（ｆ）前記受信側が、前記ステップ（ｂ）にて保存された光子ａと前記ステップ（ｅ）にて送り返された光子ｂとを二光子干渉させて、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力するステップと
を含み、
前記光子ａは、前記受信側の内部に保持されて外部に出ることはなく、
前記必要な時間ΔＴは、ステップ（ａ）の光子対ａｂの発生から前記ステップ（ｆ）の二光子干渉までの時間とするように設定され、
前記量子状態ｍ１及び量子状態ｍ２は、前記ステップ（ｄ）で前記送信側による光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、
前記ステップ（ｄ）での符号化情報とステップ（ｆ）の出力とによって、第三者による不正アクセスの有無を識別する
ことを特徴する共通秘密暗号鍵の配送方法。
【請求項２】
前記ステップ（ａ）において、
前記光子対ａｂの初期状態を、｜Ｈ＞が水平偏光成分であり、｜Ｖ＞が垂直偏光成分を示す式
【数１】
を用いて最大にエンタングルした状態Ｆにすることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項３】
前記ステップ（ｄ）において、符号化したい鍵情報をビット情報１とした場合、
垂直偏光成分｜Ｖ＞についてはそのまま透過させ、水平偏光成分｜Ｈ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる第１の偏光依存光学手段に光子ｂを入力し、該第１の偏光依存光学手段にて反射が検出されない場合には、前記光子対ａｂの状態を量子状態ｍ１に変換して光子ｂを出力し、
該量子状態ｍ１が、
【数２】
であることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項４】
前記ステップ（ｄ）において、符号化したい鍵情報をビット情報０とした場合、
水平偏光成分｜Ｈ＞については位相シフトπを施した上でそのまま透過させ、垂直偏光成分｜Ｖ＞については透過係数ｔ（＜１）で透過させ反射係数ｒ（＝１−ｔ）で反射させる第２の偏光依存光学手段に光子ｂを入力し、該第２の偏光依存光学手段にて反射が検出されない場合には、前記光子対ａｂの状態を量子状態ｍ２に変換して光子ｂを出力し、
該量子状態ｍ２が、
【数３】
であることを特徴とする請求項１に記載の共通秘密暗号鍵の配送方法。
【請求項５】
前記ステップ（ｆ）において、
前記受信側が、光子ｂを、偏光状態を反転させる偏光制御手段を通過させることによって、光子対ａｂの前記量子状態ｍ１及び量子状態ｍ２をそれぞれ量子状態ｍ１´とｍ２´に変換し、
該ｍ１´は、
【数４】
であり、該ｍ２´は、
【数５】
であり、
該ｍ１´の第１項と第２項の間で干渉を生じさせ、該ｍ２´の第１項と第２項の間で干渉を生じさせることを特徴とする請求項３及び４のいずれかに記載の共通秘密暗号鍵の配送方法。
【請求項６】
受信側と送信側間の共通秘密暗号鍵の配送システムであって、
量子力学的な相関を有するような初期状態Ｆに準備された二つの光子ａと光子ｂとから形成される光子対ａｂを発生させるための光子対発生手段と、
前記光子対発生手段から出力される光子ａを必要な時間ΔＴの間保存するための保存手段と、
前記光子対発生手段から出力される光子ｂを送信側に送るための第１の伝送手段と、
前記第１の伝送手段から出力される光子ｂの状態を操作し、符号化したい鍵情報に応じて、前記光子対ａｂの状態を量子相関の度合いが弱められた異なる二種類の量子状態ｍ１と量子状態ｍ２のいずれかの状態に変換して光子ｂを出力するための符号化手段と、
前記符号化手段から出力される光子ｂを受信側に送り返すための第２の伝送手段と、
前記保存手段から出力される光子ａと前記第２の伝送手段から出力される光子ｂとを入力して二光子干渉させ、光子対ａｂの状態が前記量子状態ｍ１及び量子状態ｍ２のいずれであるのかを出力する復号化手段と
を備え、
前記受信側は、光子ａがその外部に出ないように保持し、
前記必要な時間ΔＴは、前記光子対ａｂの発生から、前記光子ａと前記光子ｂとの前記二光子干渉までの時間とするように設定され、
前記量子状態ｍ１及び量子状態ｍ２は、前記符号化手段に入力された光子ｂへの操作だけでは該二つの状態の間を確率１では変換できず、かつ互いに直交するように設定され、
前記符号化手段での符号化情報と復号化手段での出力とによって、第三者による不正アクセスの有無を識別する
ことを特徴する共通秘密暗号鍵の配送システム。
【請求項７】
前記光子対発生手段は、偏光状態に関して量子相関をもつ光子対ａｂを発生させ、
前記保存手段は、光遅延媒体としての光ファイバーであり、
前記第１の伝送手段及び前記第２の伝送手段は、光ファイバーであり、
前記符号化手段は、偏光に依存した透過損失を有する光媒体であり、
前記復号化手段は、非対称な分岐比を有する光ビームスプリッタと光子検出器との組み合わせである
ことを特徴とする請求項６記載の共通秘密暗号鍵の配送システム。
【図１】
【図２】
【図３】
【図４】
【図２】
【図３】
【図４】
【公開番号】特開２０１０−１６６５２７（Ｐ２０１０−１６６５２７Ａ）
【公開日】平成２２年７月２９日（２０１０．７．２９）
【国際特許分類】
【出願番号】特願２００９−９２８４（Ｐ２００９−９２８４）
【出願日】平成２１年１月１９日（２００９．１．１９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
【公開日】平成２２年７月２９日（２０１０．７．２９）
【国際特許分類】
【出願日】平成２１年１月１９日（２００９．１．１９）
【出願人】（０００００４２２６）日本電信電話株式会社 (13,992)
【Ｆターム（参考）】
[ Back to top ]