(57)【特許請求の範囲】
【請求項１】
量子力学的状態を変調した第１の信号を伝える量子チャンネルと古典的状態を変調した第２の信号を伝える古典チャンネルを用い、不確定性原理に基づいて盗聴行為によって前記第１の信号に発生する撹乱の有無を前記古典チャンネルを用いて監視しながら、乱数表を送信側より受信側に伝送し、前記乱数表を秘密鍵とする量子暗号の構成方法であって、
送信側において、たかだか１つの光子からなる光パルスを発生し、
入力口から第１と第２の出力口への分岐比が等しくない第１のビームスプリッタの第１と第２の入力口のいずれかを乱数表の１ビットの値に基づいて選択し、
前記選択された入力口から前記光パルスを入力し、
前記第１の出力口を第１の量子チャンネルに接続し、
前記第２の出力口を送信側と受信側の直線距離と前記量子チャンネルの光路長との差よりも長い第１の遅延路に接続し、その出力を第２の量子チャンネルに接続し、
受信側においては、前記第１の量子チャンネルの出力を前記第１の遅延路と等しい長さの第２の遅延路に接続し、その出力を前記第１のビームスプリッタと同一の分岐比を持つ第２のビームスプリッタの第１の入力口に接続し、
前記第２の量子チャンネルの出力を前記第２のビームスプリッタの第２の入力口に接続し、
前記第１のビームスプリッタの第１の入力口から前記第２のビームスプリッタの第２の出力口に至る２つの光路の位相差がπになるように調整し、
前記第２のビームスプリッタの第１の出力口を第１の光検出手段に入力し、第２の出力口を第２の光検出手段に入力し、
どちらの光検出手段が検出したのかをもって１ビットの信号を登録し、
これを繰り返すことにより前記乱数表の送信を行い、
前記送信者の乱数表と受信者が記録した乱数表の一部を古典チャンネルにより照合し、一致していた場合のみ、前記乱数表の残りの部分を秘密鍵として登録すること
を特徴とする量子暗号の構成方法。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、量子力学の不確定性原理を利用し、盗聴者の有無をモニタしながら鍵である乱数列を交換する量子暗号の構成方法に関する。
【０００２】
【従来の技術】
暗号には、盗聴されていることを前提にその解読が計算量論的に困難であることに安全性の根拠をおく現代暗号と、量子力学の不確定性原理を利用し、盗聴者の有無をモニタしながら鍵である乱数列を交換することを特徴とする量子暗号とがある。まず、現代暗号について説明する。
【０００３】
現代暗号は、送信するメッセージを数字化し（これを平叙文と呼ぶ）、それに乱数を演算して第三者にはランダムに見える暗号文にし、第三者の知らない復号法で受信者が復号するもので、大きく分けて秘密鍵暗号法と公開鍵暗号法がある。送信者が暗号化に使う乱数表を暗号鍵、受信者が復号に使う乱数表を復号鍵と呼ぶが、秘密鍵暗号法では暗号鍵と復号鍵は同一（秘密鍵と呼ばれる）であり、送信者と受信者は何らかの安全な方法、例えば直接会うなどで事前に秘密鍵を決定している。
【０００４】
平叙文と秘密鍵の長さが等しいとき、すなわち一度使った秘密鍵は必ず捨てるとき（これをｏｎｅ  ｔｉｍｅ  ｐａｄ法と呼ぶが）、この方法は絶対的安全性を有していることがＳｈａｎｎｏｎ  により証明されている。しかし、メッセージに匹敵する長さの秘密鍵をその都度事前に交換することの非現実性（それができるならばメッセージそのものを交換すればよい）の故、ｏｎｅ  ｔｉｍｅ  ｐａｄ法は実際には使われていない。実用的な秘密鍵暗号法では同じ秘密鍵を繰り返し使用する。
【０００５】
公開鍵暗号法では受信者が公開鍵と秘密鍵の２つを所有しており、公開鍵を一般に公開する。送信者は受信者の公開鍵を使って暗号化し送信し、受信者は秘密鍵を使って復号化する。いうまでもなく、ここでも公開鍵と秘密鍵を繰り返し使用する。これらの現代暗号については文献：［１］太田和夫・黒澤馨・渡辺治著「情報セキュリティの科学」（講談社ブルーバックス）、［２］今井秀樹著「暗号のおはなし」（日本規格協会）、［３］岡本英司著「暗号理論入門」（共立出版）、［４］池野信一、小山謙二著「現代暗号理論」（電子通信学会）に詳しく説明されている。
【０００６】
現代暗号では暗号文が盗聴されることを前提としており、盗聴されても解読に天文学的時間がかかることに安全性の根拠をおいている。計算量論的表現を用いれば、整数の素因数分解がＰ型問題に属していないという仮説に根拠をおいている。
【０００７】
しかし、この仮説は未だ証明されていない予想に過ぎない。それどころか１９９４年には量子コンピューティング法まで計算法を拡張すれば素因数分解がＰ型問題に転化されることが数学的に証明された。これについては文献：［５］Ｐｅｔｅｒ  Ｗ．Ｓｈｏｒ：”Ａｌｇｏｒｉｔｈｍｓ  ｆｏｒ  ｑｕａｎｔｕｍ  ｃｏｍｐｕｔａｔｉｏｎ：Ｄｉｓｃｒｅｔｅ  ｌｏｇａｒｉｔｈｍｓ  ａｎｄ  ｆａｃｔｏｒｉｎｇ，”Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  ３５ｔｈ  Ａｎｎｕａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｆｏｕｎｄａｔｉｏｎｓ  ｏｆ  Ｃｏｍｐｕｔｅｒ  Ｓｃｉｅｎｃｅ  ｅｄｉｔｅｄ  ｂｙ  Ｓ．Ｇｏｌｄｗａｓｓｅｒ（ＩＥＥＥ  Ｃｏｍｐｕｔｅｒ  Ｓｏｃｉｅｔｙ，Ｌｏｓ  Ａｌａｍｉｔｏｓ，ＣＡ，１９９４）ｐ．１２４  、［６］西野哲朗「量子コンピュータ」情報処理学会誌第３６巻４号（１９９５年  ４月）ｐ．３３７  に詳しく説明されている。
【０００８】
この量子コンピュータは未だ実用化されていないが、現代暗号の究極の拠り所が理論上とはいえ崩れ去ったため、その安全性が将来保証されなくなることが避けられないと考えられている。
【０００９】
次に、従来の量子暗号について説明する。
【００１０】
量子コンピューティング法を用いても、なお破ることができない暗号として量子暗号がある。これは量子力学の不確定性原理に基づき盗聴者のどんな盗聴行為も必ず何らかの痕跡を量子レベルの信号に残すことを利用し、盗聴されていないことを確認しながら秘密鍵を決定する手続きである。すなわち、上述した秘密鍵暗号方式においては送信者と受信者が何らかの安全な方法で事前に秘密鍵を決定しておく必要があるが、その安全な方法としては、直接会見を除けば現在のところ量子暗号以外はない。量子暗号を用いれば、恒常的に秘密鍵の交換を行うことが可能であり、絶対安全が保証されているｏｎｅ  ｔｉｍｅ  ｐａｄ法の使用が可能となる。
【００１１】
量子暗号の具体的方法として４状態暗号、遅延４状態暗号、非直交２状態暗号、時間差干渉暗号が提案されている。次に、これらの各量子暗号について説明する。
【００１２】
まず、４状態暗号について説明する。４状態暗号は最初に考案された量子暗号であり、詳細は文献：［７］Ｃ．Ｈ．Ｂｅｎｎｅｔｔ  ａｎｄ  Ｇ．Ｂｒａｓｓａｒｄ，ｉｎ  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒｓ，Ｓｙｓｔｅｍｓ  ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ  （ＩＥＥＥ，Ｎｅｗ  Ｙｏｒｋ，１９８４），ｐ．１７５  、［８］Ａ．エカート／井元信之訳「量子暗号への招待」パリティ，ｖｏｌ．７  ，Ｎｏ．２，ｐ．２６（１９９２）、［９］Ｇ．コリンズ／井元信之訳「量子暗号は史上最強の暗号」パリティ，ｖｏｌ．８  ，Ｎｏ．５，ｐ．３１（１９９３）に述べられているが、以下簡単に説明する。
【００１３】
４状態暗号においては、図２に示すように、送信者１と受信者２は１ビットにつき光子を１つだけ含む光パルス３を送る量子チャンネル４と送信および受信状態を確認し合う古典的チャンネル５を使う。量子チャンネル４は通常光ファイバであり、古典的チャンネル５は無線や電話等である。古典的チャンネルは盗聴されていることを前提とするが、改竄はされないと仮定する。このことを明確にするため、以下本明細書では古典的チャンネルを公開チャンネルと呼ぶ。また、量子暗号に限らず暗号理論の前提として、盗聴者は図の伝送路部にアクセスすることはできるが、送信側および受信側にはアクセスできない。
【００１４】
送信側ビット”０”および”１”を光パルス３にコーディングするにあたり、直線偏光と円偏光の二種類の変数、すなわち二種類のコーディング法を用いる。例えば、直線偏光コーディングの場合は「水平」を”０”に、「垂直」を”１”に、円偏光コーディングの場合は「右回り」を”０”に、「左回り」を”１”に対応させる。このような取り決めを送信者１と受信者２は予め（公開チャンネル５で）行っておく。送信者１は二進法で書かれた乱数表６を用意する。これは受信者２と共有する秘密鍵７を生成するための元になる乱数表である。秘密鍵７は次に説明するように乱数表６から半分弱のビットを抽出した部分乱数表となっている。４状態暗号における送信者１と受信者２のプロトコルは次のようになる。
【００１５】
ステップ１：送信者１はランダムにコーディング法を選択し、乱数表６に従って光パルス３の偏光を変調器８を用いて変調する。例えば円偏光でコーディングすることとし、乱数表６の最初の値が”１”ならば「左回り」偏光となるように光パルス３の偏光状態を変える。送信者１には選択したコーディング法は知らせず、光パルス３だけを送る。同様にして引き続くビットに対して次々と光子を送る。
【００１６】
ステップ２：受信者２は受けた光パルス３が光子を１つしか含まないので、直線偏光と円偏光の両方を測ることはできない（不確定性原理）。従って、どちらを測るかを決心し、偏光測定器を含む受光器９を用いて測定する。送信者１が選択したコーディング法と同じコーディング法と間違ったコーディング法を選ぶ確率はそれぞれ５０％である。同じだった場合、乱数表６の値が正しく受信者２に再現されるが、間違った場合はそのビットに関する送信者１と受信者２の間の相互情報量はゼロとなる。
【００１７】
ステップ３：光パルスを１つ測定する毎に（あるいは後でまとめて交信してもよいが）受信者２はどちらのコーディング法を選択したか、公開チャンネル５で明らかにする。送信者１はそれを聞き、受信者２のコーディング選択が正しかったか否かを公開チャンネル５で伝える。
【００１８】
ステップ４：送信者１と受信者２は双方が同じコーディング法を選択した約半分のビットだけを採用し、後の半分は捨てる。盗聴がなければ双方に同じ乱数表が形成されているはずである。
【００１９】
ステップ５：送信者１と受信者２は残ったビットのうち適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行う。十分な数の照合ビットが一致すれば、上記文献に説明されているような理由により、１に近い確率で盗聴されていないと結論づけられる。
【００２０】
ステップ６：照合ビットも除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。
【００２１】
以上の手順により、盗聴されていないことをリアルタイムでモニタしながら秘密鍵を生成して行くことができる。万一照合ビットから盗聴を発見した場合は、盗聴発見期間の交信をすべて無効とし、量子チャンネルをチェックするか、あらためて構築する。実際は盗聴者が最も恐れるのは盗聴の発覚であり、しかも発覚の危険を侵しても盗聴遂行できない（盗聴した秘密鍵は破棄されてしまう）ので、量子暗号に対して盗聴者のなすべき手段は事実上ない。
【００２２】
４状態暗号の欠点の１つは、受信者２が測定を行う際のコーディング法の選択が、５０％の確率で間違うため、送信者が送り出した光パルスのうち、半分は原理的に無駄になってしまう点である。
【００２３】
次に、遅延４状態暗号について説明する。上述した４状態暗号の欠点は、図３に示すように、受信者２の受光器の手前に信号の遅延１０を設けることによって解消される。遅延１０の長さは、以下に述べるプロトコルのステップ３を受信者２が実行できるに足るものとする。遅延４状態暗号における送信者１と受信者２のプロトコルは次のようになる。
【００２４】
ステップ１：送信者１はランダムにコーディング法を選択し、乱数表６に従って光パルス３の偏光を変調器８を用いて変調する。例えば、円偏光でコーディングすることとし、乱数表６の最初の値が”１”ならば「左回り」偏光となるように光パルス３の偏光状態を変える。送信者１には選択したコーディング法は知らせず、光パルス３だけを送る。同様にして引き続くビットに対して次々と光子を送る。
【００２５】
ステップ２：光パルス３が伝送路部を経て受信側に到達した時点で、送信者１はどちらのコーディング法を選択したかを公開チャンネル５で明らかにする。
【００２６】
ステップ３：受信者２は、公開チャンネル５で明らかにされたコーディング法に従って、直線偏光と円偏光のどちらを測るかを決心し、偏光測定器を含む受光器９を用いて遅延１０から出てきた光パルス３を測定する。
【００２７】
ステップ４：送信者１と受信者２は通信したビットのうち適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行う。十分な数の照合ビットが一致すれば、上記文献に説明されているような理由により、１に近い確率で盗聴されていないと結論づけられる。
【００２８】
ステップ６：照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。
【００２９】
以上の手順により、照合ビットを除いて原理的に光パルス１個につき１ビットの秘密鍵を生成することができる。
【００３０】
遅延４状態暗号の欠点は、受信者２が測定を行う際に、直線偏光と円偏光の２種類の測定方法を光パルスごとに切り替えなければならない点である。このことは、通信が４状態を用いて行われているため、この方式では事実上２ビットの情報を送信しており、そのうち１ビットは公開チャンネルを通じて漏洩するため破棄しているという事情に起因している。
【００３１】
次に、非直交２状態について説明する。非直交２状態暗号は、直交しない２つの量子状態をビット”０”と”１”に対応させて送信する方法である。以下は非直交２状態量子暗号の一実施形態である。詳細は文献：［１０］Ｃ．Ｈ．Ｂｅｎｅｔｔ，Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．６８，３１２１（１９９２）、［１１］Ｂ．Ｈｕｔｔｎｅｒ，Ｎ．Ｉｍｏｔｏ，Ｎ．Ｇｉｓｉｎ，ａｎｄ  Ｔ．Ｍｏｒ，Ｐｈｙｓ．Ｒｅｖ．Ａ５１，１８６３  （１９９５）に述べられており、ここでは文献［１０］で提案された構成を説明のためにより簡略化した図４で説明する。送信者１はコヒーレント光パルス１１を５０％のビームスプリッタ１２で光パルス１３と１４に分け、位相変調器１５を用いて光パルス１３の光位相を乱数表６に従ってビット値が”０”ならば０度、ビット値が”１”ならば１８０度と変調し、光ファイバ１６と１７からなる量子チャンネル４に送る。以下すべての量子暗号において公開チャンネル５は共通であるので、図４以降本明細書では省略する。受信者２は、５０％のビームスプリッタ１８で光パルス１３および１４を干渉させる（実際は文献［１０］にも述べられているようにビームスプリッタ１２および１８の反射率は５０％である必要はない）。
【００３２】
ビームスプリッタ１２からビームスプリッタ１８までは１つのマッハツェンダー干渉計を構成する。受信者２は光ファイバ１６と１７の間の位相差θを適当に調節し、ビームスプリッタ１８においてビット値”０”のパルスは受光器１９側がダークフリンジに、ビット値”１”のパルスは受光器２０側がダークフリンジになるようにする。コヒーレント光パルス１１の強度は、パルスに含まれる平均光子数が１よりずっと小さい（例えば０．１の）コヒーレント状態の光を用いる。これは光パルス３に含まれる光子の数が２以上になる確率をできる限り０に近づけるためである。平均光子数が１よりずっと小さいので、パルス到着時に受光器１９と２０のいずれにも光子がカウントされないケースがほとんどとなるので、ほとんどの場合受信者２にとってビット値判定不能となる。しかし、受光器１９でカウントされた場合はビット値は”１”、受光器２０でカウントされた場合は”０”であると確定的に結論することができる。以上のことから次のようなプロトコルで秘密鍵交換が可能である。
【００３３】
ステップ１：送信者１は乱数表６に従って光パルス１３の位相を位相変調器１５を用いて変調し、送る。
【００３４】
ステップ２：受信者２は受光器１９と２０で光子のカウンティングを行う。カウントした場合、受信者２は送信者１が乱数表６から引いたビット値がわかる。受信者２は受光器１９と２０のどちらでカウントしたかは言わず、カウントした、あるいはしなかった事実だけを公開チャンネルで送信者１に告げる。
【００３５】
ステップ３：受信者２がカウントしないと公表したビットは、受信者に伝わっていないので、送信者１もそのビットを破棄し、カウントがあったビットのみ残す。
【００３６】
ステップ４：残ったビット列から適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行う。十分な数の照合ビットが一致すれば、後で述べる理由により１に近い確率で盗聴されていないと結論づけられる。
【００３７】
ステップ５：照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。
【００３８】
このスキームに対し盗聴者に何ができるかを考える。量子チャンネル４にアクセスして二手に分かれた光パルスの位相差を測定するためには、受信者と同様干渉させて光子カウンティングを行う必要がある。たまたまカウンティングに成功すれば、送信者と同じ装置を用いて送信者が送ったのと同じ並列２パルスを送ることができる。しかしほとんどのパルスで光子がカウントされないので、その場合は偽のパルスを何も送らないか、ランダムな位相差を持った偽のパルスを送るかしかない。前者の場合、伝送レートが本来値から下がり、後者の場合照合ビットの矛盾を引き起こし、いずれにせよ送信者と受信者から検知される。
【００３９】
非直交２状態暗号は、２状態しか使用しないため、受信者の測定系は簡単になる。しかし、非直交な２つの量子状態を識別することは、１よりも小さな確率でしかできないために、受信者は送信されたビット列の一部しかビット値を決定できず、残りの光パルスは無駄になる。一方でこの方式の安全性はその非直交性に基づいているため、この無駄はこの方式において不可避なものである。
【００４０】
次に、時間差干渉暗号について説明する。時間差干渉暗号は図５に示すようにマッハツェンダー干渉計を用いる点で図４の非直交２状態暗号に類似しているが、他の量子暗号が非直交状態を用いるのに対し、直交する状態のみを用いる点が特徴的である。詳細は文献：［１３］Ｇｏｌｄｅｎｂｅｒｇ  ａｎｄ  Ｖａｉｄｍａｎｎ：Ｐｈｙｓ．Ｒｅｖ．Ｌｅｔｔ．７５，１２３９  （１９９５）に述べられているが、以下簡単に説明する。図５に示すように送信者１はビット”０”の場合はポートＡ側から、ビット”１”の場合はポートＢ側から光パルス３を入れ、乱数表６を送る。光パルス３は光子をただ１つ含むとする。光パルス３は５０％ビームスプリッタ１２で二手に分かれ、光パルス２１はそのまま光ファイバ１６に、光パルス２２は長い遅延２３を経て光ファイバ１７に入る。遅延を伝送距離より長くしておくことにより光パルス２１が受信者側に到着した後光パルス２２が伝送路部に入る。受信者側では光パルス２１に遅延２３と同じ長さの遅延２４を設ける。これによ５０％ビームスプリッタ１８において光パルス２１と２２は干渉し、ポートＡ側から入射した光パルス３はポートＡ′に、ポートＢ側から入射した光パルス３はポートＢ′に出射する。受信者２は単にポートＡ′かＢ′かを見ているだけで送信者１の乱数表６を再生できる。この干渉系を用いて盗聴に対して安全なプロトコルは以下のようになる。
【００４１】
ステップ１：送信者１は乱数表６に従って光パルス３をＡ，Ｂいずれかのポートへ入射する。ただし、定期的なタイミングで光パルスを次々と入射するのではなく、入射時刻をランダムに決め、その時刻を記録しておく。
【００４２】
ステップ２：受信者２は受光器１９と２０で光子のカウンティングを行い、送信者１の乱数表６の内容を決定する。カウントした時刻を同時に記録しておく。
【００４３】
ステップ３：入射時刻とカウント時刻を公開チャンネル５で公開し、矛盾が生じていないかをテストする。
【００４４】
ステップ４：ビット列から適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行い、十分な数の照合ビットが一致しているかをテストする。
【００４５】
ステップ５：ステップ３および４のテストで問題がなければ、照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。
【００４６】
この方式では、ビット値は２つの直交する量子状態を用いて送信される。直交する２状態は完全に識別可能であるから、受信者は送信されたビット列をすべて決定できる。従って、照合ビットを除いたすべての光パルスから、秘密鍵７を構築できる。
【００４７】
しかし、他の方式とは異なり、照合ビットの検証だけでは、秘密鍵の安全性は保証されない。これは、この方式においては、光パルス２１を受信者に渡してしまった後でも、光パルス２２が手元にあればそれに適当な位相シフトを加えることにより、送信するビット値を自由に選択できることに起因している。このことは、光パルス２１は単なる参照にすぎず、単独ではビット値の情報を有していないことを意味する。そこで、盗聴者は送信者が選んだビット値を知らなくても、光パルス２１の偽物を送信者の用いた装置と同種の装置により発生して受信者へ渡し、本物の光パルス２１を手元の遅延路に保存し、光パルス２２を受け取ってビット値を知った上で、光パルス２２の偽物に適切な位相シフトを施して受信者に送ることにより、露見を免れることができる。
【００４８】
このような盗聴手段を防止するために、この方式ではビット照合とは別にもう一種のテスト（ステップ３）を必要とする。この補足的なテストをするために、送信者と受信者は同期した時計を用意しなければならず、また、公開チャンネルでやりとりしなければならない通信量も増加する。更に、パルス送信の間隔をランダムにすることは、技術的に可能な最小時間間隔で次々にパルスを送り出す場合に比べて必然的に伝送レートの低下を招く。
【００４９】
【発明が解決しようとする課題】
上述したように、従来の量子暗号のうち、４状態暗号および非直交２状態暗号は、光パルスの一部しか秘密鍵生成に使用できず、遅延４状態暗号は、直線偏光と円偏光の２種類の測定方法、すなわち測定系を光パルス毎に切り替える必要があり、また時間差干渉暗号は、ビット照合以外のテストが必要であるという問題がある。
【００５０】
本発明は、上記に鑑みてなされたもので、その目的とするところは、２状態のみ使用し、測定系の切り替えが不要であり、ビット照合のみで安全性を確保でき、送信パルス列のすべてを利用しうる量子暗号の構成方法を提供することにある。
【００５１】
【課題を解決するための手段】
上記目的を達成するため、請求項１記載の本発明は、量子力学的状態を変調した第１の信号を伝える量子チャンネルと古典的状態を変調した第２の信号を伝える古典チャンネルを用い、不確定性原理に基づいて盗聴行為によって前記第１の信号に発生する撹乱の有無を前記古典チャンネルを用いて監視しながら、乱数表を送信側より受信側に伝送し、前記乱数表を秘密鍵とする量子暗号の構成方法であって、送信側において、たかだか１つの光子からなる光パルスを発生し、入力口から第１と第２の出力口への分岐比が等しくない第１のビームスプリッタの第１と第２の入力口のいずれかを乱数表の１ビットの値に基づいて選択し、前記選択された入力口から前記光パルスを入力し、前記第１の出力口を第１の量子チャンネルに接続し、前記第２の出力口を送信側と受信側の直線距離と前記量子チャンネルの光路長との差よりも長い第１の遅延路に接続し、その出力を第２の量子チャンネルに接続し、受信側においては、前記第１の量子チャンネルの出力を前記第１の遅延路と等しい長さの第２の遅延路に接続し、その出力を前記第１のビームスプリッタと同一の分岐比を持つ第２のビームスプリッタの第１の入力口に接続し、前記第２の量子チャンネルの出力を前記第２のビームスプリッタの第２の入力口に接続し、前記第１のビームスプリッタの第１の入力口から前記第２のビームスプリッタの第２の出力口に至る２つの光路の位相差がπになるように調整し、前記第２のビームスプリッタの第１の出力口を第１の光検出手段に入力し、第２の出力口を第２の光検出手段に入力し、どちらの光検出手段が検出したのかをもって１ビットの信号を登録し、これを繰り返すことにより前記乱数表の送信を行い、前記送信者の乱数表と受信者が記録した乱数表の一部を古典チャンネルにより照合し、一致していた場合のみ、前記乱数表の残りの部分を秘密鍵として登録することを要旨とする。
【００５２】
請求項１記載の本発明にあっては、送信側において、第１のビームスプリッタの第１と第２の入力口のいずれかを乱数表の１ビットの値に基づいて選択し、この選択された入力口から光パルスを入力し、前記ビームスプリッタの第１の出力口を第１の量子チャンネルに接続し、第２の出力口を第１の遅延路を介して第２の量子チャンネルに接続し、受信側においては、第１の量子チャンネルの出力を第２の遅延路を介して第２のビームスプリッタの第１の入力口に接続し、第２の量子チャンネルの出力を第２のビームスプリッタの第２の入力口に接続し、第１のビームスプリッタの第１の入力口から第２のビームスプリッタの第２の出力口に至る２つの光路の位相差がπになるように調整し、第２のビームスプリッタの第１の出力口を第１の光検出手段に入力し、第２の出力口を第２の光検出手段に入力し、どちらの光検出手段が検出したのかをもって１ビットの信号を登録するという処理を繰り返すことにより乱数表の送信を行い、送信者の乱数表と受信者が記録した乱数表の一部を古典チャンネルにより照合し、一致していた場合のみ、乱数表の残りの部分を秘密鍵として登録する。
【００５３】
【発明の実施の形態】
以下、図面を用いて本発明の実施の形態について説明する。
【００５４】
図１は、本発明の一実施形態に係る量子暗号の構成方法を説明するための図である。同図に示す実施形態の量子暗号の構成方法は、非対称なマッハツェンダー干渉計をベースに新しい量子暗号の構成およびプロトコルを考案したものであり、２状態しか用いないので、受信者の測定系の切り替えが不要であり、また直交する状態を用いているため原理的に受信者は送信されたビットをすべて決定できて無駄がなく、ビット値の照合以外のテストを必要としないという特徴がある。
【００５５】
図１において、送信者１はビット”０”の場合はポートＡ側から、ビット”１”の場合はポートＢ側から光パルス３を入れ、乱数表６を送る。光パルス３は光子をただ１つ含むとする。光パルス３はビームスプリッタ２５で二手に分かれる。このビームスプリッタ２５には、反射率と透過率が等しくないもの、すなわち分岐比が１：１ではないものを使用する（ただし完全反射、完全透過は除く）。分岐比はどちらが大きくなってもよい。ここでのビームスプリッタ（２５，２９も同様）は、１つの光路を２つの光路に結合するものをさし、光ファイバで干渉計を組む際に用いられる方向性結合器なども含む。
【００５６】
分岐後の光パルス２６はそのまま光ファイバ１６に、光パルス２７は遅延２３を経て光ファイバ１７に入る。遅延２３の光路長は、伝送路部の両端間の直線距離と、伝送路部の光路長との差よりも長いものとする。このとき、伝送路部を通過する光パルス２７にアクセスした第三者は、その後で光パルス２６にアクセスすることができなくなる。受信者側では光パルス２６に遅延２３と同じ長さの遅延２４を設ける。更に、干渉計の片方の腕にπの位相シフト２８を設け、両腕の光路長の差を半波長とする。これにより、ビームスプリッタ２５と同一の反射率、透過率をもつビームスプリッタ２９において光パルス２６と２７は干渉し、ポートＡ側から入射した光パルス３はポートＡ′に、ポートＢ側から入射した光パルス３はポートＢ′に出射する。受信者２は単にポートＡ′かＢ′かを見ているだけで送信者１の乱数表６を再生できる。この干渉系を用いて盗聴に対して安全なプロトコルは以下のようになる。
【００５７】
ステップ１：送信者１は乱数表６のビット値に従って光パルス３をＡ，Ｂいずれかのポートへ入射する。同様して引き続くビットに対して次々と光子を送る。
【００５８】
ステップ２：受信者２は受光器１９と２０で光子のカウンティングを行い、送信者１の乱数表６のビット列の内容を決定する。盗聴がなければ受信者は乱数表６と同じものを手にしているはずである。
【００５９】
ステップ３：盗聴の有無を確認するため、ビット列から適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行い、十分な数の照合ビットが一致しているかをテストする。
【００６０】
ステップ４：ステップ３のテストで問題がなければ、照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。
【００６１】
本発明の方式における盗聴に対する安全性は、ビット値の情報を２つのパルス２６と２７に分割して載せている点にある。ここで、「分割して載っている」というのは、先に送り出されるパルス２６だけを受け取ったとき、受信者はビット値の情報を不完全ながらある程度得ることができ、また送信者は、パルス２６を送り出してしまった後で、パルス２７だけにアクセスして、確実ではないがある成功率でビット値を変更できるという状態である。このような２つのパルスを１つずつ送り出した場合、盗聴者は、各パルスに載った部分的なビット情報を複製することができない、言い換えれば痕跡を残さずビット情報を取り出すことができないことを、量子力学の基本原理を用いて証明することが可能である。また、ビット情報を知らずにパルスを偽物とすり替えることも不可能である。
【００６２】
逆に、ビット情報が２つのパルスのいずれか一方のみに集中して載せられている場合には、盗聴者はそのビット情報を自由に複製することができる。従来の量子暗号の１つである上述した時間差干渉暗号では、まさにこの状況になっており、ビット情報は後ろのパルス２２にのみ載せられている。そのため、この時間差干渉暗号の安全性は、ランダムなパルス送信時刻とその確認という前述したようにいくつかの欠点をもつ手続きによって確保されている。従って、本発明の方式は、時間差干渉暗号とは本質的に異なる仕組に基づいて安全性を確保しており、その結果、ランダムな検出時間を測定、記録して照合するという手続きは不要となっている。
【００６３】
上述したように、本実施形態の量子暗号の構成方法は、２状態しか用いないので、受信者の測定系の切り替えが不要であり、また送信パルス列のすべてを利用可能であり、ビット照合のみで安全性を確保できるという特徴を有するが、これらの各特徴について上述した従来の４状態暗号、遅延４状態暗号、非直交２状態暗号、時間差干渉暗号と本発明を比較すると、次に示す表１のようになり、本発明のみがこれらのすべての特徴を備えている。
【００６４】
【表１】
0003542699.tif 000002
【００６５】
【発明の効果】
以上説明したように、本発明によれば、秘密鍵の送信者はビット値に応じて２状態のうちから選択して送信すればよく、受信者もその２状態を識別すればよいので、測定系の切り替えが不要である。また、原理的に受信者は送信されたビットをすべて決定できる。更に、盗聴者の有無の確認はビット値の照合のみによって行われ、ランダムな送受信時刻の照合などの補足的な手続きをせずに安全性を確保できる。従来の方式はどれも、以上の利点の一部を有することはあっても、すべてを有することはない。
【図面の簡単な説明】
【図１】本発明の一実施形態に係る量子暗号の構成方法を説明するための図である。
【図２】従来の量子暗号である４状態暗号を説明するための図である。
【図３】従来の量子暗号である遅延４状態暗号を説明するための図である。
【図４】従来の量子暗号である非直交２状態暗号を説明するための図である。
【図５】従来の量子暗号である時間差干渉暗号を説明するための図である。
【符号の説明】
１  送信者
２  受信者
３  １光子光パルス
６  乱数表
７  秘密鍵
１６，１７  光ファイバ
１９，２０  受光器
２３，２４  遅延
２５，２９  ビームスプリッタ
２６，２７  光パルス
２８  π位相シフト
【図１】
0003542699.tif 000003
【図２】
0003542699.tif 000004
【図３】
0003542699.tif 000005
【図４】
0003542699.tif 000006
【図５】
0003542699.tif 000007