(57)【要約】【課題】不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現する。【解決手段】  受信者装置１Ｂは、単一光子の量子状態を基底系識別値ｋ及びビット値ｘをもとに符号化し公開鍵（｜ｘ＞ｋ）とする。送信者端末Ａ１は、公開鍵を用いてメッセージ情報ｍと認証子Ｈ（ｍ）をともに量子状態に符号化して暗号文（｜ｘ（＋）［ｍ‖Ｈ（ｍ）］＞ｋ）とする。受信者装置１Ｂは、公開鍵を生成した際の基底系情報ｋをもとに適切な測定を行い、暗号文をメッセージ情報ｍおよび認証子Ｈ（ｍ）へと復号する。受信者装置１Ｂは、得られたメッセージ情報と認証子の間の整合性を確認することによって、盗聴および改ざんの有無を検知する。【選択図】  図１
2006121524.tif 000002
【特許請求の範囲】
【請求項１】
単一光子を生成する手段と、
乱数を生成する乱数生成手段と、
前記生成した乱数を私有鍵として記憶する記憶手段と、
前記私有鍵の乱数を基底系識別値部とビット値部に分けて量子状態を割り当て、前記単一光子の量子状態として符号化する手段と、
前記符号化された単一光子を送信する手段と、
この送信された単一光子を受信する手段と、
前記送信対象のメッセージ情報とこのメッセージ情報に依存した認証子とを生成する手段と、
前記受信した単一光子の量子状態をビット反転させることによりメッセージ情報と認証子を単一光子の量子状態へと暗号化する手段と、
前記暗号化した単一光子を送信する手段と、
この送信された単一光子を受信する手段と、
この受信した単一光子を前記記憶手段内の私有鍵に基づいて測定し、前記暗号化されたメッセージ情報及び認証子を復号する手段と、
前記復号されたメッセージ情報から認証子を計算し、得られた認証子と前記復号された認証子とを比較し、両者が一致するか否かを判定する手段と、
前記判定の結果が否であるとき、前記復号されたメッセージ情報を無効化する手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項２】
単一光子を順次、生成する単一光子生成装置と、
乱数を生成する乱数生成装置と、
前記生成された乱数が記憶される記憶媒体と、
前記記憶媒体内の乱数に応じて前記単一光子の位相を変化させることで量子状態に符号化を行う第１位相変調器と、
前記符号化された単一光子の位相を変化させることで量子状態の基底系を保ったままビット反転を行いメッセージ情報及び認証子を符号化する第２位相変調器と、
前記第２位相変調器により符号化された単一光子の位相を前記記憶媒体内の乱数に応じて変化させる第３位相変調器と、
ビームスプリッタの透過光軸上及び反射光軸上にそれぞれ光子検出器を有する構成により、前記第３位相変調器により得られた単一光子の位相を検出する手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項３】
単一光子を順次、生成する単一光子生成装置と、
乱数を生成する乱数生成装置と、
前記生成された乱数が記憶される記憶媒体と、
前記記憶媒体内の乱数に応じて前記単一光子の偏光成分を変化させることで量子状態に符号化を行う第１偏光子と、
前記符号化された単一光子の偏光成分を変化させることで量子状態の基底系を保ったままビット反転を行いメッセージ情報及び認証子を符号化する第２偏光子と、
前記第２偏光子により符号化された単一光子の偏光成分を前記記憶媒体内の乱数に応じて変化させる第３偏光子と、
偏光ビームスプリッタの透過光軸上及び反射光軸上にそれぞれ光子検出器を有する構成により、前記第３偏光子により得られた単一光子の偏光成分を検出する手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項４】
古典情報（ｘ，ｋ）としての私有鍵を記憶する手段と、
前記記憶された古典情報（ｘ，ｋ）を量子状態に符号化し、得られた量子情報｜ｘ〉ｋとしての公開鍵を出力する手段と、
前記公開鍵を受けると、予め記憶したメッセージ情報、及び当該メッセージ情報に依存しかつビット位置の関係が自明でない認証子、を前記公開鍵の量子状態に符号化し、得られた暗号文を出力する手段と、
前記暗号文を受けると、この暗号文の量子状態を前記私有鍵ｋに基づいて測定し、当該暗号文を復号する手段と、
前記復号により得られたメッセージ情報と認証子との間の整合性を確認する手段と、
前記整合性が無いとき、前記公開鍵又は前記暗号文に対する盗聴又は改ざんを検知する手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項５】
量子状態の基底系識別情報をｋとし、この基底系識別情報ｋにより識別される基底系におけるビット値をｂとしたとき、当該基底系識別情報ｋ及びビット値ｂからなる古典情報（ｂ，ｋ）から量子情報｜ｂ＞ｋを生成する処理
【数１】
2006121524.tif 000005
を行う量子情報生成手段と、
前記量子情報｜ｂ＞ｋを出力する量子情報出力手段とを備え、
前記生成する処理が落とし戸情報ｋ付き一方向性関数による写像と等価である旨と量子論の基本原理である不確定性原理とに基づいて、前記出力された量子情報｜ｂ＞ｋに関し、盗聴又は改ざんに対する安全性を保証することを特徴とする公開鍵暗号装置。
【請求項６】
受信者装置と送信者装置とからなる公開鍵暗号装置であって、
前記受信者装置は、
基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、
単一光子を順次、生成する光子生成手段と、
前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、
前記私有鍵記憶手段内の私有鍵に基づいて前記第１量子状態の位相を変化させ、得られた公開鍵量子状態を前記送信者装置に向けて出力する第１位相変調手段と、
前記公開鍵量子状態の位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態から前記第１位相変調手段による位相の変化分を相殺するように、当該暗号文量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、平文量子状態を得る第２位相変調手段と、
この平文量子状態及び前記第２量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、
当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、
前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、
この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、
前記送信者装置は、
メッセージ情報が記憶されるメッセージ記憶手段と、
前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、
前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項７】
受信者装置と送信者装置とからなる公開鍵暗号装置であって、
前記受信者装置は、
基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、
単一光子を順次、生成する光子生成手段と、
前記私有鍵記憶手段内の私有鍵に基づいて前記単一光子の位相を変化させ、得られた公開鍵単一光子を出力する位相変調手段と、
前記公開鍵単一光子を２つの量子状態に分割し、得られた第１公開鍵量子状態及び第２公開鍵量子状態を出力する光子分割手段と、
前記第１公開鍵量子状態の位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態及び前記第２公開鍵量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、
当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、
前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、
この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、
前記送信者装置は、
メッセージ情報が記憶されるメッセージ記憶手段と、
前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、
前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第１公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項８】
受信者装置と送信者装置とからなる公開鍵暗号装置であって、
前記受信者装置は、
基底系識別乱数情報及び乱数偏光情報からなる私有鍵が記憶される私有鍵記憶手段と、
単一光子を順次、生成する光子生成手段と、
前記私有鍵記憶手段内の私有鍵に基づいて前記単一光子の偏光成分を変化させ、得られた公開鍵量子状態を前記送信者装置に向けて出力する第１偏光手段と、
前記公開鍵量子状態の偏光成分がメッセージ情報及び認証子の各ビットに応じてπ／２ラジアン回転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態から前記第１偏光手段による偏光成分の変化分を相殺するように、当該暗号文量子状態の偏光成分を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、平文量子状態を得る第２偏光手段と、
この平文量子状態から単一光子の偏光成分を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、
当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、
前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、
この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、
前記送信者装置は、
メッセージ情報が記憶されるメッセージ記憶手段と、
前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、
前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された公開鍵量子状態の基底系を維持しつつ偏光成分をπ／２ラジアン回転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３偏光手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項９】
受信者装置、送信者装置及びファラデーミラーからなる公開鍵暗号装置であって、
前記受信者装置は、
基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、
単一光子を順次、生成する光子生成手段と、
前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、
前記私有鍵記憶手段内の私有鍵に基づいて前記第１量子状態の位相を変化させ、得られた第１公開鍵量子状態を送信者装置に向けて出力する機能と、入力された第２暗号文量子状態から私有鍵による位相の変化分を相殺するように、当該第２暗号文量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第２平文量子状態を出力する機能とからなる第１位相変調手段と、
前記出力された第１公開鍵量子状態を送信者装置に向けて透過させる機能と、前記第１公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転されてなる第１公開鍵量子状態を前記送信者装置から受けると、この第１公開鍵量子状態を反射する機能と、入力された第２公開鍵量子状態を送信者装置に向けて反射させる機能と、前記第２公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転され且つ位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる第２暗号文量子状態を前記送信者装置から受けると、この第２暗号文量子状態を前記第１位相変調手段に向けて透過させる機能とからなる偏光ビームスプリッタと、
前記偏光ビームスプリッタに反射された第１公開鍵量子状態の偏光成分をπ／２ラジアン回転させて出力する機能と、入力された第２公開鍵量子状態の偏光成分をπ／２ラジアン回転させて前記偏光ビームスプリッタに向けて出力する偏光回転手段と、
前記偏光回転手段により出力された第１公開鍵量子状態から前記第１位相変調手段による位相の変化分を相殺するように、当該第１公開鍵量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第１量子状態を出力する機能と、前記私有鍵記憶手段内の私有鍵に基づいて前記第２量子状態の位相を変化させ、得られた第２公開鍵量子状態を前記偏光回転手段に対して出力する機能とからなる第２位相変調手段と、
前記各位相変調手段から出力された第１量子状態及び第２平文量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、
当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、
前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、
この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、
前記送信者装置は、
メッセージ情報が記憶されるメッセージ記憶手段と、
前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、
前記受信者装置から出力されて前記ファラデーミラーにより偏光成分がπ／２ラジアン回転されてなる第２公開鍵量子状態を受けると、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、当該第２公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた第２暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段と
を備えたことを特徴とする公開鍵暗号装置。
【請求項１０】
受信者装置、送信者装置及びファラデーミラーからなる公開鍵暗号装置であって、
前記受信者装置は、
基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、
単一光子を順次、生成する光子生成手段と、
前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、
前記出力された第１量子状態を送信者装置に向けて透過させる機能と、前記第１量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転されてなる第１量子状態を前記送信者装置から受けると、この第１量子状態を反射する機能と、入力された第２公開鍵量子状態を送信者装置に向けて反射させる機能と、前記第２公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転され且つ位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる第２暗号文量子状態を前記送信者装置から受けると、この第２暗号文量子状態を透過させる機能とからなる偏光ビームスプリッタと、
前記偏光ビームスプリッタに反射された第１量子状態の偏光成分をπ／２ラジアン回転させて出力する機能と、入力された第２公開鍵量子状態の偏光成分をπ／２ラジアン回転させて前記偏光ビームスプリッタに向けて出力する偏光回転手段と、
前記偏光回転手段により出力された第１量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第１公開鍵量子状態を出力する機能と、前記私有鍵記憶手段内の私有鍵に基づいて前記第２量子状態の位相を変化させ、得られた第２公開鍵量子状態を前記偏光回転手段に対して出力する機能とからなる位相変調手段と、
前記第１公開鍵量子状態及び前記第２暗号文量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、
当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、
前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、
この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、
前記送信者装置は、
メッセージ情報が記憶されるメッセージ記憶手段と、
前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、
前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第１量子状態の基底系を維持しつつ位相を反転させ、得られた第１平文量子状態を前記受信者装置に向けて出力する機能と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第２公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた第２暗号文量子状態を前記受信者装置に向けて出力する機能とからなる第３位相変調手段と
を備えたことを特徴とする公開鍵暗号装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現し得る公開鍵暗号装置に関する。
【背景技術】
【０００２】
暗号化と復号においてそれぞれ異なる鍵を用いる公開鍵暗号方式は、１９７６年にディフィー（Diffie）とヘルマン（Hellman）によって考案されている（非特許文献１参照）。この公開鍵暗号方式により、暗号化用の鍵を公開しても復号用の鍵さえ秘密にしておけば、誰でも公開鍵により暗号文を作成できるが、復号できるのは復号用の鍵を持つ人のみ、といった秘匿通信が可能となっている。但し、公開鍵暗号方式は、暗号化用の鍵から復号用の鍵を求めることが非常に困難でなければならない。
【０００３】
暗号化用と復号用の鍵が同じである共通鍵暗号方式と比較したとき、共通鍵暗号方式には鍵配送のための安全な通信路が必要であるのに対し、公開鍵暗号方式は、正当な公開鍵さえあれば鍵配送のための安全な通信路が不要であることが機能上の大きな特徴である。
【０００４】
この種の公開鍵暗号方式は、多くの場合、安全性の根拠が数学における計算量的困難性の予想に基づいている。
【０００５】
しかしながら、これらの予想は明確に証明されたものではなく、あくまで仮定の域を出ないため、新しいアルゴリズムの発見により覆される可能性がある。現に、長らく計算量的困難性が信じられてきた「素因数分解問題」と「離散対数問題」は、１９９４年にショア（Shor）のアルゴリズムによって、量子計算機を用いると多項式時間で容易に解かれることが示された（非特許文献２参照）。
【０００６】
これにより、「素因数分解問題」や「離散対数問題」に安全性が帰着されるＲＳＡ暗号やラビン（Rabin）暗号、エルガマル（ElGamal）暗号、楕円曲線暗号などといった主流の公開鍵暗号では、仮に量子計算機が完成した場合、安全性の根拠が崩れ去る状況にある。
【０００７】
これに伴い、「素因数分解問題」や「離散対数問題」以外の計算量的困難性が予想される問題に安全性が帰着される新たな公開鍵暗号方式の研究も盛んに進められている。しかしながら、新たな公開鍵暗号方式を得たとしても、計算量的困難性の明確な証明が無い限り、前述同様に安全性の根拠が崩れ去る可能性があるので、根本的に安全性を保証したことにはならない。
【０００８】
一方、数学上の問題とは異なり、量子論の基本原理である不確定性原理に基づいて安全性が保証される量子暗号が、１９６９年頃のウイズナー（Wiesner）によるアイデアを発展させ、１９８４年にベネット（Bennett）とブラサール（Brassard）により考案されている（非特許文献３参照）。
【０００９】
量子暗号は、正確には量子鍵配送と言い、盗聴者が正しい基底系を用いずに測定を行うと、測定された量子状態が変化してしまうことを利用し、盗聴の有無をモニタしながら送信者−受信者間で乱数鍵を共有する方法である。量子暗号は、不確定性原理を含む量子論の体系が破綻しない限り、量子計算機を用いた攻撃に対しても安全であることが明らかにされている。
【００１０】
不確定性原理は、理論と実験の双方から約８０年もの間繰り返し検証されて確立したものであり、安全性の根拠としては、証明の無い数学上の仮定と比較し、はるかに堅固であることが広く認められている。
【非特許文献１】W. Diffie and M. Hellman. “New directions in cryptography”. IEEE Trans. Inf. Theory, IT-22(6): pp.644-654, 1976.
【非特許文献２】P. W. Shor. “Algorithms for quantum computation: discrete logarithms and factoring”. In Proceedings of the 35th Annual Symposium on Foundations of Computer Science, (IEEE Computer Society, Los Alamitos, California), pp.124-134, 1994.
【非特許文献３】C. H. Bennett and G. Brassard. “Quantum cryptography: Public key distribution and coin tossing”. In Proceedings of the IEEE international Conference on Computers, Systems and Signal Processing, Bangalore, India, (IEEE, New York), pp.175-179, 1984.
【発明の開示】
【発明が解決しようとする課題】
【００１１】
しかしながら、以上のような量子暗号は、鍵配送に機能が限定されており、現在の技術水準で実施可能な公開鍵暗号方式を実現するものではない。
【００１２】
本発明は上記実情を考慮してなされたもので、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現し得る公開鍵暗号装置を提供することを目的とする。
【課題を解決するための手段】
【００１３】
第１の発明は、単一光子を生成する手段と、乱数を生成する乱数生成手段と、前記生成した乱数を私有鍵として記憶する記憶手段と、前記私有鍵の乱数を基底系識別値部とビット値部に分けて量子状態を割り当て、前記単一光子の量子状態として符号化する手段と、前記符号化された単一光子を送信する手段と、この送信された単一光子を受信する手段と、前記送信対象のメッセージ情報とこのメッセージ情報に依存した認証子とを生成する手段と、前記受信した単一光子の量子状態をビット反転させることによりメッセージ情報と認証子を単一光子の量子状態へと暗号化する手段と、前記暗号化した単一光子を送信する手段と、この送信された単一光子を受信する手段と、この受信した単一光子を前記記憶手段内の私有鍵に基づいて測定し、前記暗号化されたメッセージ情報及び認証子を復号する手段と、前記復号されたメッセージ情報から認証子を計算し、得られた認証子と前記復号された認証子とを比較し、両者が一致するか否かを判定する手段と、前記判定の結果が否であるとき、前記復号されたメッセージ情報を無効化する手段とを備えた公開鍵暗号装置である。
【００１４】
第２の発明は、単一光子を順次、生成する単一光子生成装置と、乱数を生成する乱数生成装置と、前記生成された乱数が記憶される記憶媒体と、前記記憶媒体内の乱数に応じて前記単一光子の位相を変化させることで量子状態に符号化を行う第１位相変調器と、前記符号化された単一光子の位相を変化させることで量子状態の基底系を保ったままビット反転を行いメッセージ情報及び認証子を符号化する第２位相変調器と、前記第２位相変調器により符号化された単一光子の位相を前記記憶媒体内の乱数に応じて変化させる第３位相変調器と、ビームスプリッタの透過光軸上及び反射光軸上にそれぞれ光子検出器を有する構成により、前記第３位相変調器により得られた単一光子の位相を検出する手段とを備えた公開鍵暗号装置である。
【００１５】
第３の発明は、単一光子を順次、生成する単一光子生成装置と、乱数を生成する乱数生成装置と、前記生成された乱数が記憶される記憶媒体と、前記記憶媒体内の乱数に応じて前記単一光子の偏光成分を変化させることで量子状態に符号化を行う第１偏光子と、前記符号化された単一光子の偏光成分を変化させることで量子状態の基底系を保ったままビット反転を行いメッセージ情報及び認証子を符号化する第２偏光子と、前記第２偏光子により符号化された単一光子の偏光成分を前記記憶媒体内の乱数に応じて変化させる第３偏光子と、偏光ビームスプリッタの透過光軸上及び反射光軸上にそれぞれ光子検出器を有する構成により、前記第３偏光子により得られた単一光子の偏光成分を検出する手段とを備えた公開鍵暗号装置である。
【００１６】
第４の発明は、古典情報（ｘ，ｋ）としての私有鍵を記憶する手段と、前記記憶された古典情報（ｘ，ｋ）を量子状態に符号化し、得られた量子情報｜ｘ〉ｋとしての公開鍵を出力する手段と、前記公開鍵を受けると、予め記憶したメッセージ情報、及び当該メッセージ情報に依存しかつビット位置の関係が自明でない認証子、を前記公開鍵の量子状態に符号化し、得られた暗号文を出力する手段と、前記暗号文を受けると、この暗号文の量子状態を前記私有鍵ｋに基づいて測定し、当該暗号文を復号する手段と、前記復号により得られたメッセージ情報と認証子との間の整合性を確認する手段と、前記整合性が無いとき、前記公開鍵又は前記暗号文に対する盗聴又は改ざんを検知する手段とを備えた公開鍵暗号装置である。
【００１７】
第５の発明は、量子状態の基底系識別情報をｋとし、この基底系識別情報ｋにより識別される基底系におけるビット値をｂとしたとき、当該基底系識別情報ｋ及びビット値ｂからなる古典情報（ｂ，ｋ）から量子情報｜ｂ＞ｋを生成する処理  
【数２】
2006121524.tif 000003
【００１８】
を行う量子情報生成手段と、前記量子情報｜ｂ＞ｋを出力する量子情報出力手段とを備え、前記生成する処理が落とし戸情報ｋ付き一方向性関数による写像と等価である旨と量子論の基本原理である不確定性原理とに基づいて、前記出力された量子情報｜ｂ＞ｋに関し、盗聴又は改ざんに対する安全性を保証する公開鍵暗号装置である。
【００１９】
第６の発明は、受信者装置と送信者装置とからなる公開鍵暗号装置であって、前記受信者装置としては、基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、単一光子を順次、生成する光子生成手段と、前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、前記私有鍵記憶手段内の私有鍵に基づいて前記第１量子状態の位相を変化させ、得られた公開鍵量子状態を前記送信者装置に向けて出力する第１位相変調手段と、前記公開鍵量子状態の位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態から前記第１位相変調手段による位相の変化分を相殺するように、当該暗号文量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、平文量子状態を得る第２位相変調手段と、この平文量子状態及び前記第２量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、前記送信者装置としては、メッセージ情報が記憶されるメッセージ記憶手段と、前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段とを備えた公開鍵暗号装置である。
【００２０】
第７の発明は、受信者装置と送信者装置とからなる公開鍵暗号装置であって、前記受信者装置としては、基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、単一光子を順次、生成する光子生成手段と、前記私有鍵記憶手段内の私有鍵に基づいて前記単一光子の位相を変化させ、得られた公開鍵単一光子を出力する位相変調手段と、前記公開鍵単一光子を２つの量子状態に分割し、得られた第１公開鍵量子状態及び第２公開鍵量子状態を出力する光子分割手段と、前記第１公開鍵量子状態の位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態及び前記第２公開鍵量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、前記送信者装置としては、メッセージ情報が記憶されるメッセージ記憶手段と、前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第１公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段とを備えた公開鍵暗号装置である。
【００２１】
第８の発明は、受信者装置と送信者装置とからなる公開鍵暗号装置であって、前記受信者装置としては、基底系識別乱数情報及び乱数偏光情報からなる私有鍵が記憶される私有鍵記憶手段と、単一光子を順次、生成する光子生成手段と、前記私有鍵記憶手段内の私有鍵に基づいて前記単一光子の偏光成分を変化させ、得られた公開鍵量子状態を前記送信者装置に向けて出力する第１偏光手段と、前記公開鍵量子状態の偏光成分がメッセージ情報及び認証子の各ビットに応じてπ／２ラジアン回転されてなる暗号文量子状態を前記送信者装置から受けると、この暗号文量子状態から前記第１偏光手段による偏光成分の変化分を相殺するように、当該暗号文量子状態の偏光成分を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、平文量子状態を得る第２偏光手段と、この平文量子状態から単一光子の偏光成分を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、前記送信者装置としては、メッセージ情報が記憶されるメッセージ記憶手段と、前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された公開鍵量子状態の基底系を維持しつつ偏光成分をπ／２ラジアン回転させ、得られた暗号文量子状態を前記受信者装置に向けて出力する第３偏光手段とを備えた公開鍵暗号装置である。
【００２２】
第９の発明は、受信者装置、送信者装置及びファラデーミラーからなる公開鍵暗号装置であって、前記受信者装置としては、基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、単一光子を順次、生成する光子生成手段と、前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、前記私有鍵記憶手段内の私有鍵に基づいて前記第１量子状態の位相を変化させ、得られた第１公開鍵量子状態を送信者装置に向けて出力する機能と、入力された第２暗号文量子状態から私有鍵による位相の変化分を相殺するように、当該第２暗号文量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第２平文量子状態を出力する機能とからなる第１位相変調手段と、前記出力された第１公開鍵量子状態を送信者装置に向けて透過させる機能と、前記第１公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転されてなる第１公開鍵量子状態を前記送信者装置から受けると、この第１公開鍵量子状態を反射する機能と、入力された第２公開鍵量子状態を送信者装置に向けて反射させる機能と、前記第２公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転され且つ位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる第２暗号文量子状態を前記送信者装置から受けると、この第２暗号文量子状態を前記第１位相変調手段に向けて透過させる機能とからなる偏光ビームスプリッタと、前記偏光ビームスプリッタに反射された第１公開鍵量子状態の偏光成分をπ／２ラジアン回転させて出力する機能と、入力された第２公開鍵量子状態の偏光成分をπ／２ラジアン回転させて前記偏光ビームスプリッタに向けて出力する偏光回転手段と、前記偏光回転手段により出力された第１公開鍵量子状態から前記第１位相変調手段による位相の変化分を相殺するように、当該第１公開鍵量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第１量子状態を出力する機能と、前記私有鍵記憶手段内の私有鍵に基づいて前記第２量子状態の位相を変化させ、得られた第２公開鍵量子状態を前記偏光回転手段に対して出力する機能とからなる第２位相変調手段と、前記各位相変調手段から出力された第１量子状態及び第２平文量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、前記送信者装置としては、メッセージ情報が記憶されるメッセージ記憶手段と、前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、前記受信者装置から出力されて前記ファラデーミラーにより偏光成分がπ／２ラジアン回転されてなる第２公開鍵量子状態を受けると、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、当該第２公開鍵量子状態の��底系を維持しつつ位相を反転させ、得られた第２暗号文量子状態を前記受信者装置に向けて出力する第３位相変調手段とを備えた公開鍵暗号装置である。
【００２３】
第１０の発明は、受信者装置、送信者装置及びファラデーミラーからなる公開鍵暗号装置であって、前記受信者装置としては、基底系識別乱数情報及び位相変調乱数情報からなる私有鍵が記憶される私有鍵記憶手段と、単一光子を順次、生成する光子生成手段と、前記単一光子を２つの量子状態に分割し、得られた第１量子状態及び第２量子状態を出力する光子分割手段と、前記出力された第１量子状態を送信者装置に向けて透過させる機能と、前記第１量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転されてなる第１量子状態を前記送信者装置から受けると、この第１量子状態を反射する機能と、入力された第２公開鍵量子状態を送信者装置に向けて反射させる機能と、前記第２公開鍵量子状態の偏光成分が前記ファラデーミラーによりπ／２ラジアン回転され且つ位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる第２暗号文量子状態を前記送信者装置から受けると、この第２暗号文量子状態を透過させる機能とからなる偏光ビームスプリッタと、前記偏光ビームスプリッタに反射された第１量子状態の偏光成分をπ／２ラジアン回転させて出力する機能と、入力された第２公開鍵量子状態の偏光成分をπ／２ラジアン回転させて前記偏光ビームスプリッタに向けて出力する偏光回転手段と、前記偏光回転手段により出力された第１量子状態の位相を前記私有鍵記憶手段内の私有鍵に基づいて変化させ、得られた第１公開鍵量子状態を出力する機能と、前記私有鍵記憶手段内の私有鍵に基づいて前記第２量子状態の位相を変化させ、得られた第２公開鍵量子状態を前記偏光回転手段に対して出力する機能とからなる位相変調手段と、前記第１公開鍵量子状態及び前記第２暗号文量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段と、当該各ビットからなるメッセージ情報及び認証子が記憶される検出結果記憶手段と、前記検出結果記憶手段内のメッセージ情報と認証子とが整合するか否かを検証する検証手段と、この検証の結果が否であるとき、前記検出結果記憶手段内のメッセージ情報を無効化するメッセージ無効化手段と、を備えており、前記送信者装置としては、メッセージ情報が記憶されるメッセージ記憶手段と、前記メッセージ記憶手段内のメッセージ情報から認証子を生成し、当該メッセージ情報に前記認証子を連結する認証子処理手段と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第１量子状態の基底系を維持しつつ位相を反転させ、得られた第１平文量子状態を前記受信者装置に向けて出力する機能と、前記連結されたメッセージ情報及び認証子の各ビットに基づいて、前記受信者装置から出力された第２公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた第２暗号文量子状態を前記受信者装置に向けて出力する機能とからなる第３位相変調手段とを備えた公開鍵暗号装置である。
【００２４】
（作用）
第１〜第４，第６〜第１０の発明は、単一光子の量子状態を私有鍵により符号化した公開鍵を出力し、この公開鍵をメッセージ情報及び認証子で暗号化した暗号文を受けると、この暗号文を私有鍵で復号し、メッセージ情報及び認証子を得る構成となっている。このため、通信中の公開鍵又は暗号文を盗聴又は改ざんすると、量子状態が破壊されて、認証子の検証により盗聴等が検知される。このとき、盗聴した量子状態を正確にコピーできれば検知を防げるが、正確なコピーを作るためには量子状態を正確に知る必要がある。ここで、量子状態を正確に知るには、公開鍵の基底系と同じ基底系の測定系が必要である。しかしながら、公開鍵の基底系は乱数により変更されている。よって、盗聴者は盗聴の検知を防ぐことができない。なお、公開鍵の基底系と異なる基底系の測定系を用いると、不確定性原理により、量子状態がランダム化されて測定されるので、全てのビットにわたって正しい測定結果を得ることは確率的に不可能である。
【００２５】
従って、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現することができる。
【００２６】
また、第５の発明は、基底系識別情報ｋ及びビット値ｂに応じて量子情報を生成した際に、この量子情報が落とし戸情報ｋで復号される場合に、ビット値ｂが得られる構成となっている。
【００２７】
従って、前述同様に量子状態の盗聴が確率的に不可能なので、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現することができる。
【発明の効果】
【００２８】
以上説明したように本発明によれば、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現できる公開鍵暗号装置を提供できる。
【発明を実施するための最良の形態】
【００２９】
以下、本発明の各実施形態について図面を参照しながら説明するが、その前に、本発明の概要を述べる。本発明の概要としては、量子状態の基底系識別情報をｋとし、この基底系識別情報ｋにより識別される基底系におけるビット値をｂとしたとき、当該基底系識別情報ｋ及びビット値ｂからなる古典情報（ｂ，ｋ）から量子情報｜ｂ＞ｋを生成する処理
【数３】
2006121524.tif 000004
【００３０】
が落とし戸情報ｋ付き一方向性関数による写像と等価である旨と量子論の基本原理である不確定性原理とに基づいて、生成されて出力された量子情報｜ｂ＞ｋに関し、盗聴又は改ざんに対する安全性を保証するものである。
【００３１】
詳しくは、受信者装置は、古典情報（ｘ，ｋ）としての私有鍵を記憶し、この古典情報（ｘ，ｋ）を量子状態に符号化し、得られた量子情報｜ｘ〉ｋとしての公開鍵を出力する。この種の符号化としては、例えば位相遅れ又は偏光成分の回転などが使用可能である。
【００３２】
一方、送信者装置は、公開鍵を受けると、予め記憶したメッセージ情報、及び当該メッセージ情報に依存しかつビット位置の関係が自明でない認証子、を公開鍵の量子状態に符号化し、得られた暗号文を出力する。
【００３３】
また、受信者装置は、暗号文を受けると、この暗号文の量子状態を私有鍵ｋに基づいて測定し、当該暗号文を復号し、復号により得られたメッセージ情報と認証子との間の整合性を確認し、整合性が無いとき、公開鍵又は暗号文に対する盗聴又は改ざんを検知する。
【００３４】
以上は本発明の概要である。次に、本発明の具体的な各実施形態を説明する。
【００３５】
（第１の実施形態）
図１は本発明の第１の実施形態に係る公開鍵暗号装置の構成を示す模式図である。この公開鍵暗号装置は、ｊ台の送信者端末Ａ１〜Ａｊ及び１台の受信者装置１Ｂが互いに量子公開通信路ＱＣ１，ＱＣ２を介して接続されている。
【００３６】
各送信者端末Ａ１〜Ａｊは、メッセージ記憶部１、認証子処理部２及び位相変調器３を備えている。
【００３７】
メッセージ記憶部１は、メッセージ情報が記憶される。
【００３８】
認証子処理部２は、メッセージ記憶部１内のメッセージ情報から認証子を生成し、当該メッセージ情報に認証子を連結する機能をもっている。
【００３９】
位相変調器（第３位相変調手段）３は、認証子処理部２により連結されたメッセージ情報及び認証子の各ビットに基づいて、受信者装置１Ｂから出力された公開鍵量子状態の基底系を維持しつつ位相を反転させ、得られた暗号文量子状態を受信者装置１Ｂに向けて出力する機能をもっている。
【００４０】
一方、受信者装置１Ｂは、排他制御部１１、乱数生成装置１２、記憶装置１３、単一光子源１４、第１ビームスプリッタＢＳ１、第１位相変調器１５、第２位相変調器１６、第２ビームスプリッタＢＳ２、第１及び第２光子検出器ＰＤ１，ＰＤ２、情報識別部１７、記憶装置１８、認証子検証部１９及び暗号通信制御部２０を備えている。
【００４１】
排他制御部１１は、複数の送信用端末Ａ１〜Ａｊのうち、呼び出しがあった送信者端末Ａ１のみを操作可能状態にし、他の送信者端末Ａ２〜Ａｉを操作不能状態にする排他制御機能をもっている。
【００４２】
乱数生成装置１２は、互いに同一ビット長の２つの異なる乱数ｋ，ｘを生成し、一方の乱数ｋを基底系識別値ｋ（基底系識別乱数情報）とし、他方の乱数ｘをビット値ｘ（位相変調乱数情報）と定め、各乱数ｋ，ｘを私有鍵ｋ，ｘとして記憶装置１３に秘密に保持させる機能をもっている。なお、乱数ｋ，ｘのビット長は、後述するメッセージ情報及び認証子を連結したデータのビット長以上の値となっている。
【００４３】
記憶装置１３は、乱数生成装置１２により書き込まれた私有鍵としての各乱数ｋ，ｘが記憶されるものである。ここで、私有鍵ｋ，ｘは、安全性の観点から、暗号化／復号に一度用いた後は使用せず、毎回捨て去ることが望ましい。しかしながら、処理速度向上のために安全性を多少犠牲にしてもよい特殊な場合には、予め準備した私有鍵の表などにより、使用した私有鍵を再度使用することも可能である。すなわち、私有鍵ｋ，ｘは、原則として使い捨てで運用するが、使用環境によっては安全性の許す範囲で再使用することも可能である。この私有鍵を再使用可能な旨は以下の各実施形態でも同様である。
【００４４】
単一光子源１４は、単一光子パルスを順次、生成し、この単一光子パルスを第１ビームスプリッタＢＳ１に出力するものである。単一光子パルスは、光子を１個しか含まない光パルスである。ここで、光子とは、光のもつ粒子性を反映した、これ以上分割できない光のエネルギーの最小単位のことである。従って、単一光子パルスは、ビームスプリッタなどによってもこれ以上細かく分割できない。
【００４５】
第１ビームスプリッタ（光子分割手段）ＢＳ１は、単一光子パルスを２つの量子状態に分割し、得られた一方の第１量子状態を第１位相変調器１５に出力し、得られた他方の第２量子状態をディレーラインＤＬに出力するものである。なお、単一光子パルスの定義との関係で補足すると、単一光子パルス自体は分割されず、単一光子パルスが、互いに位相相関をもつ２つの量子状態として出力される。
【００４６】
第１位相変調器１５は、記憶手段１３内の私有鍵ｋ，ｘに基づいて、第１ビームスプリッタＢＳ１から入力された第１量子状態の位相を変化させ、得られた公開鍵量子状態を送信者端末Ａ１に向けて出力するものである。
【００４７】
第２位相変調器１６は、公開鍵量子状態の位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる暗号文量子状態を送信者端末Ａ１から受けると、この暗号文量子状態から第１位相変調器１５による位相の変化分を相殺するように、当該暗号文量子状態の位相を記憶装置１３内の私有鍵ｋ，ｘに基づいて変化させ、得られた平文量子状態を第２ビームスプリッタＢＳ２に出力するものである。ここで、「相殺」とは、第１位相変調器１５による位相の変化分θＢ１を変化前の位相と等価な位相に戻す意味であり、例えば同一の基底系ｋにより同一のビット値ｘ毎に（２π−θＢ１）［ｒａｄ］だけ位相を変化させることを意味している。
【００４８】
第２ビームスプリッタＢＳ２は、第２位相変調器１６から受けた平文量子状態と、ディレイラインＤＬを透過した第２量子状態とを混合し、２つの量子状態として第１及び第２光子検出器ＰＤ１，ＰＤ２に出力するものである。
【００４９】
第１光子検出器ＰＤ１は、アバランシュ・フォトダイオード等の受光素子であり、第２位相変調器１６の透過光軸上で且つディレーラインＤＬの反射光軸上に配置され、第２ビームスプリッタＢＳ２から受けた量子状態から単一光子を検出すると、ビット“０”を示す検出信号を情報識別部１７に送出する機能をもっている。
【００５０】
第２光子検出器ＰＤ２は、アバランシュ・フォトダイオード等の受光素子であり、ディレーラインＤＬの透過光軸上で且つ第２位相変調器１６の反射光軸上に配置され、第２ビームスプリッタＢＳ２から受けた量子状態から単一光子を検出すると、ビット“１”を示す検出信号を情報識別部１７に送出する機能をもっている。なお、第２位相変調器１６の透過光軸とディレーラインＤＬの透過光軸とは、互いに第２ビームスプリッタＢＳ２にて直交している。
【００５１】
ここで、第２ビームスプリッタＢＳ２、第１及び第２光子検出器ＰＤ１，ＰＤ２は、平文量子状態及び第２量子状態から単一光子の位相を検出し、検出結果に応じて各ビットを得る光子位相検出手段を構成している。
【００５２】
情報識別部１７は、各光子検出器ＰＤ１，ＰＤ２から各ビットを示す検出信号を受けると、各検出信号が示す第１ビットから第Ｎビット目までのビット列をメッセージ情報ｍ’、それ以降のビット列を認証子ａと識別し、メッセージ情報ｍ’及び認証子ａを記憶装置１８に書き込む機能をもっている。
【００５３】
記憶装置１８は、情報識別部により書込まれたメッセージ情報ｍ’及び認証子ａが記憶されるものである。
【００５４】
認証子検証部１９は、記憶装置１８内のメッセージ情報ｍ’と認証子ａとが整合するか否かを検証し、検証結果を暗号通信制御部２０に送出する機能をもっている。
【００５５】
暗号通信制御部（メッセージ無効化手段）２０は、認証子検証部１９による検証の結果が否であるとき、記憶１８内のメッセージ情報を無効化し、以後の暗号通信を中断する機能をもっている。
【００５６】
量子公開通信路ＱＣ１，ＱＣ２は、盗聴や改ざんに対して必ずしも安全ではない通信路であり、ここでは光ファイバが使用される。但し、量子公開通信路ＱＣ１，ＱＣ２は、光ファイバ等の物体に限らず、例えば自由空間としてもよい。
【００５７】
次に、以上のように構成された公開鍵暗号装置の動作を図２のフローチャートを用いて説明する。
【００５８】
始めに、送信者端末Ａ１は、送信者の操作により、受信者装置１Ｂに通信開始の呼び出しを行い（ＳＴ１）、自己の端末番号を通知する。受信者装置１Ｂでは、排他制御部１１が、複数の送信用端末Ａ１〜Ａｊのうち、呼び出しがあった送信者端末Ａ１のみを操作可能状態にし、他の送信者端末Ａ２〜Ａｉを操作不能状態にする排他制御を実行する（ＳＴ２）。
【００５９】
受信者装置１Ｂでは、乱数生成装置１２より互いに同一ビット長の２つの異なる乱数ｋ，ｘを生成し、一方の乱数ｋを基底系識別値ｋとし、他方の乱数ｘをビット値ｘと定め、各乱数ｋ，ｘを私有鍵ｋ，ｘとして記憶装置１３に秘密に保持する。
【００６０】
次に、受信者装置１Ｂは、私有鍵ｋ，ｘに基づいて、図３に示すような位相遅れθＢ１の値を第１位相変調器１５に設定する。
【００６１】
しかる後、受信者装置１Ｂは、単一光子源１４により単一光子パルスを生成し（ＳＴ３）、この単一光子パルスを第１ビームスプリッタＢＳ１を介して２つの量子状態に分割し、得られた第１及び第２量子状態のうち、第１量子状態を第１位相変調器１５に通過させる。通過の際には、第１位相変調器１５は、私有鍵ｋ，ｘに基づいて第１量子状態の位相をθＢ１だけ変化させることにより、当該第１量子状態を私有鍵ｋ，ｘで符号化し（ＳＴ４）、得られた公開鍵量子状態（｜ｘ＞ｋ）を送信者端末Ａ１に向けて出力する。この公開鍵量子状態は、公開量子通信路ＱＣ１を通して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。一方、第１ビームスプリッタＢＳ１から出力された第２量子状態は、自装置１Ｂ内のディレーラインＤＬに送出される。
【００６２】
送信者端末Ａ１においては、認証子処理部２がメッセージ記憶部１内のＮビットのメッセージ情報ｍから、予め公開されている関数Ｈをもとに認証子Ｈ（ｍ）を求め、メッセージ情報ｍと認証子Ｈ（ｍ）とをビット連結した連結データｍ‖Ｈ（ｍ）を生成する。関数Ｈは、メッセージ情報ｍと認証子Ｈ（ｍ）との間でビット位置の依存関係が自明とならないような変換であれば良く、ここではハッシュ関数が用いられる。続いて、送信者端末Ａ１においては、認証子処理部２が連結データｍ‖Ｈ（ｍ）の各ビット値ｂに従い、図４に示すような位相遅れφＡの値を位相変調器１３に設定する。
【００６３】
送信者端末Ａ１は、公開量子通信路ＱＣ１及び第１反射ミラーＭ１を通して単一光子パルスの公開鍵量子状態を受信すると、位相変調器１３が連結データｍ‖Ｈ（ｍ）の各ビット値ｂに基づいて、公開鍵量子状態（｜ｘ＞ｋ）の基底系ｋを維持しつつ位相を反転させることにより、公開鍵量子状態を連結データｍ‖Ｈ（ｍ）で符号化し（ＳＴ６）、得られた暗号文量子状態（｜ｘ（＋）［ｍ‖Ｈ（ｍ）］＞ｋ）を出力する。なお、符号（＋）は排他的論理和を意味する。この暗号文量子状態は、操作不能な他の送信者端末Ａ２〜Ａｊ、第２反射ミラーＭ２及び公開量子通信路ＱＣ２を通して受信者装置１Ｂへ送信される（ＳＴ７）。
【００６４】
受信者装置１Ｂは、記憶装置１３内の私有鍵（ｋ，ｘ）に従い、図５に示すような位相遅れθＢ２の値を第２位相変調器１６に設定する。
【００６５】
次いで、受信者装置１Ｂにおいては、暗号文量子状態を送信者端末Ａ１から量子公開通信路ＱＣ２等を介して受けると、第２位相変調器１６がこの暗号文量子状態から第１位相変調器１５による位相の変化分θＢ１を相殺するように、当該暗号文量子状態の位相を記憶装置１３内の私有鍵ｋ，ｘに基づいて変化させ、得られた平文量子状態（｜ｍ‖Ｈ（ｍ）＞ｋ）を第２ビームスプリッタＢＳ２に出力する。
【００６６】
第２ビームスプリッタＢＳ２では、この平文量子状態と、ディレイラインＤＬを透過した第２量子状態とが混合され、２つの量子状態として第１及び第２光子検出器ＰＤ１，ＰＤ２に出力される。
【００６７】
第１光子検出器ＰＤ１は、量子状態から単一光子を検出すると、ビット“０”を情報識別部１７に送出する。これは、平文量子状態の位相（φＡ＝０）と第２量子状態との位相が一致した状態に対応する。
【００６８】
第２光子検出器ＰＤ２は、量子状態から単一光子を検出すると、ビット“１”を情報識別部１７に送出する。これは、平文量子状態の位相（φＡ＝π）と第２量子状態との位相が反転した状態に対応する。すなわち、両光子検出器ＰＤ１，ＰＤ２は、単一光子の位相を検出するように配置されている。
【００６９】
情報識別部１７は、各光子検出器ＰＤ１，ＰＤ２から各ビットを受けると、第１ビットから第Ｎビット目までのビット列をメッセージ情報ｍ’、それ以降のビット列を認証子ａと識別し、メッセージ情報ｍ’及び認証子ａを記憶装置１８に書き込む。なお、第２位相変調器１６による位相の変化から情報識別部１７による識別までの動作は、暗号文からメッセージ情報と認証子を復号することに相当する（ＳＴ８）。
【００７０】
次に、認証子検証部１９は、記憶装置１８内のメッセージ情報ｍ’と認証子ａとが整合するか否かを検証する（ＳＴ９）。具体的には、認証子検証部１９は、記憶装置１８内のメッセージ情報ｍ’から認証子Ｈ（ｍ’）を計算し、得られた認証子Ｈ（ｍ’）と測定から得られた認証子ａとが一致するか否かを判定し、判定結果を暗号通信制御部２０に送出する。
【００７１】
判定の結果、両者が一致して整合する場合、暗号通信制御部２０は、記憶装置１８内のメッセージ情報ｍ’を正当なメッセージ情報とみなして受理し、次回の暗号通信を続行する（ＳＴ１０）。
【００７２】
判定の結果、両者が異なり整合しない場合（否の場合）、暗号通信制御部２０は、記憶装置１８内のメッセージ情報ｍ’を不正なメッセージ情報とみなして破棄し、以後の暗号通信を中断する（ＳＴ１１）。なお、不正なメッセージ情報は、無効化できればよいので、破棄せずに無効化情報を付加してもよい。
【００７３】
上述したように本実施形態によれば、単一光子パルスの第１量子状態を私有鍵ｋ，ｘにより符号化した公開鍵量子状態を出力し、この公開鍵量子状態をメッセージ情報及び認証子で暗号化した暗号文量子状態を受けると、この暗号文量子状態を私有鍵で復号し、メッセージ情報及び認証子を得る構成となっている。このため、通信中の公開鍵量子状態又は暗号文量子状態を盗聴又は改ざんすると、量子状態が破壊されて、認証子の検証により盗聴等が検知される。このとき、盗聴した量子状態を正確にコピーできれば検知を防げるが、正確なコピーを作るためには量子状態を正確に知る必要がある。ここで、量子状態を正確に知るには、公開鍵の基底系と同じ基底系の測定系が必要である。しかしながら、公開鍵の基底系は乱数により変更されている。よって、盗聴者は盗聴の検知を防ぐことができない。なお、公開鍵の基底系と異なる基底系の測定系を用いると、不確定性原理により、量子状態がランダム化されて測定されるので、全てのビットにわたって正しい測定結果を得ることは確率的に不可能である。
【００７４】
従って、不確定性原理に基づいて安全性を保証でき、量子計算機を用いた攻撃に対しても安全で、かつ現在の技術水準で実施可能な公開鍵暗号方式を実現することができる。
【００７５】
すなわち、盗聴および改ざんの有無をモニターしながら、量子メモリや量子計算機といった現時点で実現されない技術を必要とすることなく、従来の証明の無い数学の仮定に替え、正しさが検証されている量子論の基本原理から逆演算困難性が保証される一方向性関数に基づいて、公開鍵暗号方式を構成し実装することができる。
【００７６】
また本実施形態は、量子メモリが実現された場合には、任意のタイミングで復号可能な構成に変形できる。この場合、例えば送信者端末Ａ１が暗号文量子状態を第１量子メモリに保存し、受信者装置１ＢがディレーラインＤＬ内の第２量子状態を第２量子メモリに保存する。しかる後、送信者端末Ａ１が第１量子メモリ内の暗号文量子状態を任意のタイミングで受信者装置１Ｂに送信する。受信者装置１Ｂは、このタイミングに同期させて、記憶装置１３内の私有鍵ｋ，ｘから第２位相変調器１６を動作させると共に、第２量子メモリ内の第２量子状態を第２ビームスプリッタＢＳ２に入力する構成により、前述した作用効果に加え、復号するタイミングを任意のタイミングにずらすことができる。
【００７７】
（第２の実施形態）
図６は本発明の第２の実施形態に係る公開鍵暗号装置の構成を示す模式図であり、図１と同一部分には同一符号を付してその詳しい説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００７８】
すなわち、本実施形態は、第１の実施形態の変形例であり、構成の簡素化を図る観点から、図１に示した第２位相変調器１６を省略し、第１位相変調器１５を第１ビームスプリッタＢＳ１と単一光子源１４との間に配置した構成となっている。
【００７９】
次に、以上のように構成された公開鍵暗号装置の動作を図２のフローチャートを用いて説明する。
【００８０】
始めに、受信者装置２Ｂは、前述した通り、呼び出しがあった送信者端末Ａ１のみを操作可能状態にし、他の送信者端末Ａ２〜Ａｉを操作不能状態にする排他制御を実行する（ＳＴ１，ＳＴ２）。
【００８１】
また同様に、受信者装置２Ｂでは、乱数生成装置１２により生成された各乱数ｋ，ｘを私有鍵ｋ，ｘとして記憶装置１３に秘密に保持する。
【００８２】
次に、受信者装置２Ｂは、私有鍵ｋ，ｘに基づいて、図７に示すような位相遅れθＢの値を第１位相変調器１５に設定する。
【００８３】
しかる後、受信者装置２Ｂは、単一光子源１４により単一光子パルスを生成し（ＳＴ３）、この単一光子パルスを第１位相変調器１５に通過させる。通過の際には、第１位相変調器１５は、私有鍵ｋ，ｘに基づいて単一光子パルスの位相をθＢだけ変化させることにより、当該単一光子パルスを私有鍵ｋ，ｘで公開鍵として符号化し（ＳＴ４）、第１ビームスプリッタＢＳ１に出力する。
【００８４】
第１ビームスプリッタＢＳ１は、この公開鍵として符号化された単一光子パルスを２つの量子状態に分割し、得られた一方の第１公開鍵量子状態（｜ｘ＞ｋ）を送信者端末Ａ１に向けて出力する。この公開鍵量子状態は、公開量子通信路ＱＣ１を通して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。一方、第１ビームスプリッタＢＳ１から出力された第２公開鍵量子状態は、自装置２Ｂ内のディレーラインＤＬに送出される。
【００８５】
送信者端末Ａ１においては、前述した通り、認証子処理部２がメッセージ記憶部１内のＮビットのメッセージ情報ｍから認証子Ｈ（ｍ）を求め、両者をビット連結した連結データｍ‖Ｈ（ｍ）を生成する。続いて、認証子処理部２は連結データｍ‖Ｈ（ｍ）の各ビット値ｂに従い、図８に示すような位相遅れφＡの値を位相変調器１３に設定する。
【００８６】
送信者端末Ａ１は、公開量子通信路ＱＣ１及び第１反射ミラーＭ１を通して単一光子パルスの公開鍵量子状態を受信すると、位相変調器１３が連結データｍ‖Ｈ（ｍ）の各ビット値ｂに基づいて、公開鍵量子状態（｜ｘ＞ｋ）の基底系ｋを維持しつつ位相を反転させることにより、公開鍵量子状態を連結データｍ‖Ｈ（ｍ）で符号化し（ＳＴ６）、得られた暗号文量子状態（｜ｘ（＋）［ｍ‖Ｈ（ｍ）］＞ｋ）を出力する。この暗号文量子状態は、前述同様に、公開量子通信路ＱＣ２等を通して受信者装置２Ｂへ送信される（ＳＴ７）。
【００８７】
受信者装置２Ｂにおいては、暗号文量子状態を送信者端末Ａ１から量子公開通信路ＱＣ２等を介して受けると、この暗号文量子状態が第２ビームスプリッタＢＳ２に入力される。
【００８８】
第２ビームスプリッタＢＳ２では、この暗号文量子状態と、ディレイラインＤＬを透過した第２公開鍵量子状態とが混合され、２つの量子状態として第１及び第２光子検出器ＰＤ１，ＰＤ２に出力される。
【００８９】
以下、前述した通り、第１及び第２光子検出器ＰＤ１，ＰＤ２による単一光子の検出から、情報識別部１７によるメッセージ情報ｍ’及び認証子ａの識別と書込み、認証子検証部１９による検証、及び暗号通信制御部２０によるメッセージ情報ｍ’の受理又は無効化が実行される。
【００９０】
上述したように本実施形態によれば、図１に示した第２位相変調器１６を省略した簡素な構成としても、第１の実施形態と同様の効果を得ることができる。
【００９１】
（第３の実施形態）
図９は本発明の第３の実施形態に係る公開鍵暗号装置の構成を示す模式図である。  
本実施形態は、第１の実施形態の変形例であり、図２のＳＴ４，ＳＴ６の符号化を位相遅れではなく、偏光成分の回転により行うものであり、具体的には、受信者装置３Ｂでは第１及び第２位相変調器１５，１６に代えて、第１及び第２偏光回転子２１，２２を有し、送信者端末Ａ１’〜Ａｊ’では位相変調器３に代えて、偏光回転子４を備えている。また、受信者装置３Ｂでは、第１ビームスプリッタＢＳ１及びディレーラインＤＬが省略され、第２ビームスプリッタＢＳ２に代えて、偏光ビームスプリッタＰＢＳが設けられている。
【００９２】
ここで、偏光回転子４は、認証子処理部２により連結されたメッセージ情報及び認証子の各ビットに基づいて、受信者装置３Ｂから出力された公開鍵量子状態の基底系を維持しつつ偏光成分をπ／２ラジアン回転させ、得られた暗号文量子状態を受信者装置３Ｂに向けて他の送信者端末Ａ２’〜Ａｊ’を介して量子公開通信路ＱＣ２に出力するものである。
【００９３】
一方、第１偏光回転子２１は、記憶装置１３内の私有鍵ｋ，ｘに基づいて、単一光子源１４により生成された単一光子パルスの偏光成分を変化させ、得られた公開鍵量子状態を送信者装置Ａ１に向けて量子公開通信路ＱＣ１に出力するものである。
【００９４】
第２偏光回転子２２は、公開鍵量子状態の偏光成分がメッセージ情報及び認証子の各ビットに応じてπ／２ラジアン回転されてなる暗号文量子状態を量子公開通信路ＱＣ２等を通して送信者端末Ａ１から受けると、この暗号文量子状態から第１偏光回転子２１による偏光成分の変化分を相殺するように、当該暗号文量子状態の偏光成分を記憶装置１３内の私有鍵ｋ，ｘに基づいて変化させ、得られた平文量子状態を偏光ビームスプリッタＰＢＳに出力するものである。
【００９５】
偏光ビームスプリッタＰＢＳは、第２偏光回転子２２から受ける平文量子状態としての直線偏光の向きφＡが０ラジアンのとき、当該平文量子状態をもつ単一光子パルスを第１光子検出器ＰＤ１に透過させるものである。また、偏光ビームスプリッタＰＢＳは、第２偏光回転子２２から受ける平文量子状態としての直線偏光の向きφＡがπ／２ラジアンのとき、当該平文量子状態をもつ単一光子パルスを第２光子検出器ＰＤ２に向けて反射させるものである。ここで、直線偏光の向きは、図１０に示す通りとする。
【００９６】
なお、これらに伴い、単一光子源１４は、偏光ビームスプリッタＰＢＳを透過可能な向きに直線偏光の成分がそろった単一光子パルスを生成するものとなっている。
【００９７】
次に、以上のように構成された公開鍵暗号装置の動作を図２のフローチャートを用いて説明する。
【００９８】
始めに、受信者装置３Ｂは、前述した通り、呼び出しがあった送信者端末Ａ１のみを操作可能状態にする排他制御を実行し（ＳＴ１，ＳＴ２）、また、乱数生成装置１２により生成された各乱数ｋ，ｘを私有鍵ｋ，ｘとして記憶装置１３に秘密に保持する。
【００９９】
次に、受信者装置３Ｂは、私有鍵ｋ，ｘに基づいて、図１１に示すような直線偏光の回転角度θＢ１の値を第１偏光回転子２１に設定する。
【０１００】
しかる後、受信者装置３Ｂは、単一光子源１４により偏光成分がそろった単一光子パルスを生成する（ＳＴ３）。ここでは初めに水平方向の直線偏光にそろえることとする。以下、偏光成分の回転角度を述べる場合、図１０に示したように、単一光子パルスの進行方向（紙面の手前から奥へ）に沿った視点で考え、半時計回りを正とするとする。
【０１０１】
次に、受信者装置３Ｂは、単一光子源１４により生成した単一光子パルスを第１偏光回転子２１に通過させる。通過の際には、第１偏光回転子２１は、私有鍵ｋ，ｘに基づいて単一光子パルスの偏光成分をθＢ１だけ変化させることにより、当該単一光子パルスを私有鍵ｋ，ｘで公開鍵として符号化し（ＳＴ４）、得られた公開鍵量子状態（｜ｘ＞ｋ）を送信者端末Ａ１に向けて出力する。この公開鍵量子状態は、公開量子通信路ＱＣ１を通して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。
【０１０２】
送信者端末Ａ１においては、前述した通り、認証子処理部２がメッセージ記憶部１内のＮビットのメッセージ情報ｍから認証子Ｈ（ｍ）を求め、両者をビット連結した連結データｍ‖Ｈ（ｍ）を生成する。続いて、認証子処理部２は連結データｍ‖Ｈ（ｍ）の各ビット値ｂに従い、図１２に示すような直線偏光の回転角度φＡの値を偏光回転子４に設定する。
【０１０３】
送信者端末Ａ１は、公開量子通信路ＱＣ１及び第１反射ミラーＭ１を通して単一光子パルスの公開鍵量子状態を受信すると、偏光回転子４が連結データｍ‖Ｈ（ｍ）の各ビット値ｂに基づいて、公開鍵量子状態（｜ｘ＞ｋ）の基底系ｋを維持しつつ直線偏光の向きをφＡだけ回転させることにより、公開鍵量子状態を連結データｍ‖Ｈ（ｍ）で符号化し（ＳＴ６）、得られた暗号文量子状態（｜ｘ（＋）［ｍ‖Ｈ（ｍ）］＞ｋ）を出力する。この暗号文量子状態は、前述同様に、公開量子通信路ＱＣ２等を通して受信者装置３Ｂへ送信される（ＳＴ７）。
【０１０４】
受信者装置３Ｂは、私有鍵ｋ，ｘに基づいて、図１３に示すような直線偏光の回転角度θＢ２の値を第２偏光回転子２２に設定する。
【０１０５】
続いて、受信者装置３Ｂにおいては、暗号文量子状態を送信者端末Ａ１から量子公開通信路ＱＣ２等を介して受けると、この暗号文量子状態が第２偏光回転子２２に入力される。
【０１０６】
第２偏光回転子２２は、この暗号文量子状態から第１偏光回転子２１による偏光成分の変化分を相殺するように、当該暗号文量子状態の直線偏光の偏光成分をθＢ２だけ回転させ、得られた平文量子状態を偏光ビームスプリッタＰＢＳに出力する。
【０１０７】
偏光ビームスプリッタＰＢＳは、この平文量子状態としての直線偏光の向きφＡが０ラジアンのとき、当該平文量子状態をもつ単一光子パルスを第１光子検出器ＰＤ１に透過させ、この平文量子状態としての直線偏光の向きφＡがπ／２ラジアンのとき、当該平文量子状態をもつ単一光子パルスを第２光子検出器ＰＤ２に向けて反射させる。
【０１０８】
以下、前述した通り、第１及び第２光子検出器ＰＤ１，ＰＤ２による単一光子の検出から、情報識別部１７によるメッセージ情報ｍ’及び認証子ａの識別と書込み、認証子検証部１９による検証、及び暗号通信制御部２０によるメッセージ情報ｍ’の受理又は無効化が実行される。
【０１０９】
上述したように本実施形態によれば、ＳＴ４，ＳＴ６の符号化を位相遅れではなく、偏光成分の回転により行う構成としても、第１の実施形態と同様の効果を得ることができる。
【０１１０】
（第４の実施形態）
図１４は本発明の第４の実施形態に係る公開鍵暗号装置の構成を示す模式図である。  
すなわち、本実施形態は、第１の実施形態の変形例であり、送受信時の量子公開通信路ＱＣの共通化を図るものであって、第２量子公開通信路ＱＣ２及び第２反射ミラーＭ２に代えて、ファラデーミラーＦＭを用いるものであって、更に具体的には、図１に示した各ビームスプリッタＢＳ１，ＢＳ２及びディレーラインＤＬに代えて、偏光板ＰＰ、ビームスプリッタＢＳ、第３及び第４反射ミラーＭ３，Ｍ４、ディレーラインＤＬ、偏光回転子２３及び偏光ビームスプリッタＰＢＳを備えている。
【０１１１】
ここで、偏光板ＰＰは、単一光子源から出力された単一光子パルスを偏光させて透過させるものである。
【０１１２】
ビームスプリッタＢＳは、偏光板ＰＰを透過した単一光子パルスを分割して第１量子状態を第１位相変調器１５に出力し、第２量子状態を第３反射ミラーＭ３に出力するものである。
【０１１３】
第３反射ミラーＭ３は、ビームスプリッタＢＳから受けた第２量子状態をもつ単一光パルスをディレーラインＤＬに反射して第２位相変調器１６側に出力するものである。
【０１１４】
第４反射ミラーＭ４は、第２位相変調器１６と偏光回転子２３との間の光路上に配置され、両者を光学的に接続する反射鏡である。
【０１１５】
偏光回転子２３は、偏光ビームスプリッタＰＢＳに反射された第１公開鍵量子状態の偏光成分をπ／２ラジアン回転させて第２位相変調器１６側に出力し、また、入力された第２公開鍵量子状態の偏光成分をπ／２ラジアン回転させて偏光ビームスプリッタＰＢＳに向けて出力するものである。偏光回転子２３としては、例えば２枚の半波長板を組み合わせたもの、あるいはファラデー素子に相当するものが使用可能であり、ここではファラデー素子を用いている。
【０１１６】
偏光ビームスプリッタＰＢＳは、第１位相変調器１５から出力された第１公開鍵量子状態を送信者装置Ａ１〜Ａｊ側に向けて透過させる機能と、第１公開鍵量子状態の偏光成分がファラデーミラーＦＭによりπ／２ラジアン回転されてなる第１公開鍵量子状態を送信者装置Ａ１から受けると、この第１公開鍵量子状態を偏光回転子２３側に反射する機能とをもっている。
【０１１７】
また、偏光ビームスプリッタＰＢＳは、偏光回転子２３から入力された第２公開鍵量子状態を送信者装置Ａ１〜Ａｊ側に向けて反射させる機能と、第２公開鍵量子状態の偏光成分がファラデーミラーＦＭによりπ／２ラジアン回転され且つ位相がメッセージ情報及び認証子の各ビットに応じて反転されてなる第２暗号文量子状態を送信者装置Ａ１から受けると、この第２暗号文量子状態を第１位相変調部１５に向けて透過させる機能とをもっている。
【０１１８】
次に、以上のように構成された公開鍵暗号装置の動作を図２のフローチャートを用いて説明する。
【０１１９】
始めに、受信者装置４Ｂは、前述した通り、呼び出しがあった送信者端末Ａ１のみを操作可能状態にし、他の送信者端末Ａ２〜Ａｉを操作不能状態にする排他制御を実行する（ＳＴ１，ＳＴ２）。
【０１２０】
受信者装置１Ｂでは、乱数生成装置１２より互いに同一ビット長の２つの異なる乱数ｋ，ｘを生成し、一方の乱数ｋを基底系識別値ｋとし、他方の乱数ｘをビット値ｘと定め、各乱数ｋ，ｘを一組の私有鍵として二組の私有鍵（ｋｉ，ｘｉ）（ｉ＝１，２）として記憶装置１３に秘密に保持する。
【０１２１】
受信者装置４Ｂは、単一光子源１４により単一光子パルスを生成し、ビームスプリッタＢＳにより分割する。ここで、図１５に示すように、ビームスプリッタＢＳを透過する第１量子状態をもつ単一光子パルスをパルスＰ１と呼び、ビームスプリッタＢＳに反射される第２量子状態をもつ単一光子パルスをパルスＰ２と呼ぶ。また、パルスＰ１の経路を第１経路と呼び、パルスＰ２の経路を第２経路と呼ぶ。
【０１２２】
（第１経路のパルスＰ１）
受信者装置４Ｂは、パルスＰ１が通過するタイミングに合わせて第１位相変調器１５を高速に動作させ、私有鍵（ｋ１，ｘ１）に従い第１位相変調器１５が発生させる位相遅れθＢ１を図１６に示すように設定し、パルスＰ１を私有鍵ｋ１，ｘ１で符号化し（ＳＴ４）、得られた第１公開鍵量子状態（｜ｘ１＞ｋ１）をもつパルスＰ１を偏光ビームスプリッタＰＢＳに出力する。
【０１２３】
パルスＰ１は、偏光ビームスプリッタＰＢＳを透過する。なお、パルスＰ１の偏光成分は、偏光ビームスプリッタＰＢＳを透過するよう、生成時に予め偏光板ＰＰによりそろえてある。パルスＰ１は、公開量子通信路ＱＣ１を通過して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。
【０１２４】
送信者端末Ａ１は、パルスＰ１が通過する際に位相変調器３を作動させない。パルスＰ１は、ファラデーミラーＦＭによって偏光成分がπ／２ラジアンだけ回転され、再び公開量子通信路ＱＣ１を通過して受信者装置４Ｂの偏光ビームスプリッタＰＢＳへ到達する。
【０１２５】
このパルスＰ１は、ファラデーミラーＦＭで偏光成分が変化したため、偏光ビームスプリッタＰＢＳに反射され、偏光回転子２３により偏光成分が−π／２ラジアンだけ回転した後、第４反射ミラーＭ４を介して第２位相変調器１６を通過する。
【０１２６】
第２位相変調器１６は、パルスＰ１の通過のタイミングに合わせて高速に動作し、パルスＰ１の第１公開鍵量子状態から第１位相変調器１５による位相の変化分を相殺するように、当該第１公開鍵量子状態の位相を私有鍵（ｋ１，ｘ１）に基づいて図１７に示すように設定された位相遅れθＢ２だけ変化させ、得られた第１量子状態をもつパルスＰ１を出力する。出力されたパルスＰ１は、ディレーラインＤＬ及び第３反射ミラーＭ３を介してビームスプリッタＢＳに入力される。
【０１２７】
（第２経路のパルスＰ２）
受信者装置４Ｂは、パルスＰ２が通過するタイミングに合わせて第２位相変調器１６を高速に動作させ、私有鍵（ｋ２，ｘ２）に従い位相遅れθＢ２の値を図１８に示すように設定してパルスＰ２を符号化し（ＳＴ４）、得られた第２公開鍵量子状態（｜ｘ２＞ｋ２）をもつパルスＰ２を出力する。
【０１２８】
その後、パルスＰ２は、偏光回転子２３で偏光成分がπ／２ラジアンだけ回転され、偏光ビームスプリッタＰＢＳにより反射され、公開量子通信路ＱＣ１を通過して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。
【０１２９】
送信者端末Ａ１は、前述した通り、認証子処理部２がメッセージ記憶部１内のＮビットのメッセージ情報ｍから認証子Ｈ（ｍ）を求め、両者をビット連結した連結データｍ‖Ｈ（ｍ）を生成する。
【０１３０】
送信者端末Ａ１は、初めにパルスＰ２が通過する際に位相変調器３を作動させない。パルスＰ２はファラデーミラーＦＭによって反射され、その際、偏光成分がπ／２ラジアンだけ回転される。送信者端末Ａ１は、反射されたパルスＰ２の通過にタイミングを合わせて位相変調器３を高速に動作させ、符号化するビット値ｂに従い図１９に示すように位相変調器３で作る位相遅れφＡの値を設定してパルスＰ２を符号化し（ＳＴ６）、得られた第２暗号文量子状態（｜ｘ２（＋）［ｍ‖Ｈ（ｍ）］＞ｋ２）をもつパルスＰ２を出力する。
【０１３１】
このパルスＰ２は、再び公開量子通信路ＱＣ１を通過して受信者装置４Ｂの偏光ビームスプリッタＰＢＳへ到達する。
【０１３２】
このパルスＰ２は、ファラデーミラーＦＭで偏光成分が変化したため、偏光ビームスプリッタＰＢＳを透過する。受信者装置４Ｂは、パルスＰ２の通過のタイミングに合わせて第１位相変調器１５を高速に動作させ、パルスＰ２の第２暗号文公開鍵量子状態から第２位相変調器１６による位相の変化分を相殺するように、当該第２暗号文量子状態の位相を私有鍵（ｋ２，ｘ２）に基づいて図２０に示すように設定された位相遅れθＢ１だけ変化させ、得られた第２平文状態（｜ｍ‖Ｈ（ｍ）＞ｋ２）をもつパルスＰ２を出力する。このパルスＰ２は、第１位相変調器１５の通過後、ビームスプリッタＢＳに入力される。
【０１３３】
（パルスＰ１，Ｐ２の混合及び検証処理）
パルスＰ１，Ｐ２は、互いにビームスプリッタＢＳで混合され、２つの量子状態として第１及び第２光子検出器ＰＤ１，ＰＤ２に出力される。
【０１３４】
以下、前述した通り、第１及び第２光子検出器ＰＤ１，ＰＤ２による単一光子の検出から、情報識別部１７によるメッセージ情報ｍ’及び認証子ａの識別と書込み、認証子検証部１９による検証、及び暗号通信制御部２０によるメッセージ情報ｍ’の受理又は無効化が実行される。
【０１３５】
上述したように本実施形態によれば、ファラデーミラーＦＭを用い、送受信時の量子公開通信路ＱＣ１を共通化した構成としても、第１の実施形態と同様の効果を得ることができる。また、送受信時の量子公開通信路ＱＣ１を共通化したことにより、送信用と受信用の光ファイバ（量子公開通信路）の伸び具合が異なることも無いので、長距離通信に適した公開鍵暗号装置を提供することができる。
【０１３６】
（第５の実施形態）
図２１は本発明の第５の実施形態に係る公開鍵暗号装置の構成を示す模式図である。  
すなわち、本実施形態は、第４の実施形態の変形例であり、構成の簡素化を図るものであって、図１４に示した第１位相変調器１５を省略したものであり、これに伴い、第２位相変調器１６を単に位相変調器２４と呼んでいる。
【０１３７】
ここで、位相変調器２４は、偏光回転子２３により出力された第１量子状態の位相を記憶装置１３内の私有鍵ｋ，ｘに基づいて変化させ、得られた第１公開鍵量子状態（｜ｘ＞ｋ）を反射ミラーＭ３に出力する機能と、記憶装置１３内の私有鍵ｋ，ｘに基づいて第２量子状態の位相を変化させ、得られた第２公開鍵量子状態（｜ｘ＞ｋ）を偏光回転子２３に向けて第４反射ミラーＭ４に出力する機能とをもっている。
【０１３８】
次に、以上のように構成された公開鍵暗号装置の動作を図２のフローチャートを用いて説明する。  
始めに、受信者装置４Ｂは、前述した通り、呼び出しがあった送信者端末Ａ１のみを操作可能状態にし、他の送信者端末Ａ２〜Ａｉを操作不能状態にする排他制御を実行する（ＳＴ１，ＳＴ２）。
【０１３９】
受信者装置５Ｂでは、乱数生成装置１２より互いに同一ビット長の２つの異なる乱数ｋ，ｘを生成し、一方の乱数ｋを基底系識別値ｋとし、他方の乱数ｘをビット値ｘと定め、各乱数ｋ，ｘを一組の私有鍵として記憶装置１３に秘密に保持する。
【０１４０】
受信者装置５Ｂは、単一光子源１４により単一光子パルスを生成し、ビームスプリッタＢＳにより分割する。ここで前述同様に、図２２に示すように、ビームスプリッタＢＳを透過する第１量子状態をもつ単一光子パルスをパルスＰ１と呼び、ビームスプリッタＢＳに反射される第２量子状態をもつ単一光子パルスをパルスＰ２と呼ぶ。また同様に、パルスＰ１の経路を第１経路と呼び、パルスＰ２の経路を第２経路と呼ぶ。
【０１４１】
（第１経路のパルスＰ１）
受信者装置５Ｂは、第１量子状態をもつパルスＰ１を偏光ビームスプリッタＰＢＳを透過させ、公開量子通信路ＱＣ１を通して送信者端末Ａ１〜Ａｊ側に送信する（ＳＴ５）。
【０１４２】
送信者端末Ａ１は、パルスＰ１が通過する際に位相変調器３を作動させない。パルスＰ１は、ファラデーミラーＦＭによって偏光成分がπ／２ラジアンだけ回転され、再び公開量子通信路ＱＣ１を通過して受信者装置４Ｂの偏光ビームスプリッタＰＢＳへ到達する。
【０１４３】
このパルスＰ１は、前述同様に、偏光ビームスプリッタＰＢＳに反射され、偏光回転子２３により偏光成分が−π／２ラジアンだけ回転した後、第４反射ミラーＭ４を介して位相変調器２４を通過する。
【０１４４】
位相変調器２４は、パルスＰ１の通過のタイミングに合わせて高速に動作し、パルスＰ１の第１量子状態の位相を私有鍵（ｋ，ｘ）に基づいて図２３に示すように設定された位相遅れθＢだけ変化させ、得られた第１公開鍵量子状態をもつパルスＰ１を出力する。出力されたパルスＰ１は、第３反射ミラーＭ３及びディレーラインＤＬを介してビームスプリッタＢＳに入力される。
【０１４５】
（第２経路のパルスＰ２）
受信者装置５Ｂは、パルスＰ２が通過するタイミングに合わせて位相変調器２４を高速に動作させ、私有鍵（ｋ，ｘ）に従い位相遅れθＢの値を図２４に示すように設定してパルスＰ２を符号化し（ＳＴ４）、得られた第２公開鍵量子状態（｜ｘ＞ｋ）をもつパルスＰ２を出力する。
【０１４６】
その後、パルスＰ２は、偏光回転子２３で偏光成分がπ／２ラジアンだけ回転され、偏光ビームスプリッタＰＢＳにより反射され、公開量子通信路ＱＣ１を通過して送信者端末Ａ１〜Ａｊ側に送信される（ＳＴ５）。
【０１４７】
送信者端末Ａ１は、前述した通り、認証子処理部２がメッセージ記憶部１内のＮビットのメッセージ情報ｍから認証子Ｈ（ｍ）を求め、両者をビット連結した連結データｍ‖Ｈ（ｍ）を生成する。
【０１４８】
送信者端末Ａ１は、初めにパルスＰ２が通過する際に位相変調器３を作動させない。パルスＰ２はファラデーミラーＦＭによって反射され、その際、偏光成分がπ／２ラジアンだけ回転される。送信者端末Ａ１は、反射されたパルスＰ２の通過にタイミングを合わせて位相変調器３を高速に動作させ、符号化するビット値ｂに従い図２５に示すように位相変調器３で作る位相遅れφＡの値を設定してパルスＰ２を符号化し（ＳＴ６）、得られた第２暗号文量子状態（｜ｘ（＋）［ｍ‖Ｈ（ｍ）］＞ｋ）をもつパルスＰ２を出力する。
【０１４９】
このパルスＰ２は、再び公開量子通信路ＱＣ１を通過して受信者装置５Ｂの偏光ビームスプリッタＰＢＳへ到達する。
【０１５０】
このパルスＰ２は、ファラデーミラーＦＭで偏光成分が変化したため、偏光ビームスプリッタＰＢＳを透過してビームスプリッタＢＳに入力される。
【０１５１】
（パルスＰ１，Ｐ２の混合及び検証処理）
パルスＰ１，Ｐ２は、互いにビームスプリッタＢＳで混合され、２つの量子状態として第１及び第２光子検出器ＰＤ１，ＰＤ２に出力される。
【０１５２】
以下、前述した通り、第１及び第２光子検出器ＰＤ１，ＰＤ２による単一光子の検出から、情報識別部１７によるメッセージ情報ｍ’及び認証子ａの識別と書込み、認証子検証部１９による検証、及び暗号通信制御部２０によるメッセージ情報ｍ’の受理又は無効化が実行される。
【０１５３】
上述したように本実施形態によれば、第４の実施形態から第１位相変調器１５を省略した構成としても、第４の実施形態と同様の効果を得ることができる。また、第１位相変調器１５を省略したことにより、構成を簡素化することができる。
【０１５４】
なお、上記各実施形態は、いずれも量子公開通信路ＱＣ１，ＱＣ２として光ファイバを用いた場合を例に挙げて説明したが、これに限らず、図２６〜図３０に示すように、量子公開通信路ＱＣ１，ＱＣ２を省略し、自由空間ＦＳを通信路とするように変形してもよい。このように変形しても、本発明を同様に実施して同様の効果を得ることができる。
【０１５５】
なお、本願発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化できる。また、上記実施形態に開示されている複数の構成要素の適宜な組合せにより種々の発明を形成できる。例えば、実施形態に示される全構成要素から幾つかの構成要素を削除してもよい。更に、異なる実施形態に亘る構成要素を適宜組合せてもよい。
【図面の簡単な説明】
【０１５６】
【図１】本発明の第１の実施形態に係る公開鍵暗号装置の構成を示す模式図である。
【図２】同実施形態における動作を説明するためのフローチャートである。
【図３】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図４】同実施形態における連結データのビット値と位相遅れとの関係を示す図である。
【図５】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図６】本発明の第２の実施形態に係る公開鍵暗号装置の構成を示す模式図である。
【図７】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図８】同実施形態における連結データのビット値と位相遅れとの関係を示す図である。
【図９】本発明の第３の実施形態に係る公開鍵暗号装置の構成を示す模式図である。
【図１０】同実施形態における直線偏光の向きを説明するための模式図である。
【図１１】同実施形態における私有鍵と偏光成分の回転角度との関係を示す図である。
【図１２】同実施形態における連結データのビット値と偏光成分の回転角度との関係を示す図である。
【図１３】同実施形態における私有鍵と偏光成分の回転角度との関係を示す図である。
【図１４】本発明の第４の実施形態に係る公開鍵暗号装置の構成を示す模式図である。
【図１５】同実施形態における動作を説明するための模式図である。
【図１６】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図１７】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図１８】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図１９】同実施形態における連結データのビット値と位相遅れとの関係を示す図である。
【図２０】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図２１】本発明の第５の実施形態に係る公開鍵暗号装置の構成を示す模式図である。
【図２２】同実施形態における動作を説明するための模式図である。
【図２３】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図２４】同実施形態における私有鍵と位相遅れとの関係を示す図である。
【図２５】同実施形態における連結データのビット値と位相遅れとの関係を示す図である。
【図２６】本発明の第１の実施形態の変形構成を示す模式図である。
【図２７】本発明の第２の実施形態の変形構成を示す模式図である。
【図２８】本発明の第３の実施形態の変形構成を示す模式図である。
【図２９】本発明の第４の実施形態の変形構成を示す模式図である。
【図３０】本発明の第５の実施形態の変形構成を示す模式図である。
【符号の説明】
【０１５７】
１…メッセージ記憶部、２…認証子処理部、３，１５，１６，２４…位相変調器、４，２１〜２３…偏光回転子、１１…排他制御部、１２…乱数生成装置、１３，１８…記憶装置、１４…単一光子源、１７…情報識別部、１９…認証子検証部、２０…暗号通信制御部、Ａ１〜Ａｊ…送信者端末、１Ｂ〜５Ｂ…受信者装置、ＱＣ１，ＱＣ２…量子公開通信路、ＢＳ１，ＢＳ２，ＢＳ…ビームスプリッタ、ＰＤ１，ＰＤ２…光子検出器、ＤＬ…ディレーライン、Ｍ１〜Ｍ４反射ミラー、ＰＢＳ…偏光ビームスプリッタ、ＰＰ…偏光板。
【図１】
2006121524.tif 000006
【図２】
2006121524.tif 000007
【図３】
2006121524.tif 000008
【図４】
2006121524.tif 000009
【図５】
2006121524.tif 000010
【図６】
2006121524.tif 000011
【図７】
2006121524.tif 000012
【図８】
2006121524.tif 000013
【図９】
2006121524.tif 000014
【図１０】
2006121524.tif 000015
【図１１】
2006121524.tif 000016
【図１２】
2006121524.tif 000017
【図１３】
2006121524.tif 000018
【図１４】
2006121524.tif 000019
【図１５】
2006121524.tif 000020
【図１６】
2006121524.tif 000021
【図１７】
2006121524.tif 000022
【図１８】
2006121524.tif 000023
【図１９】
2006121524.tif 000024
【図２０】
2006121524.tif 000025
【図２１】
2006121524.tif 000026
【図２２】
2006121524.tif 000027
【図２３】
2006121524.tif 000028
【図２４】
2006121524.tif 000029
【図２５】
2006121524.tif 000030
【図２６】
2006121524.tif 000031
【図２７】
2006121524.tif 000032
【図２８】
2006121524.tif 000033
【図２９】
2006121524.tif 000034
【図３０】
2006121524.tif 000035