(57)【特許請求の範囲】
【請求項１】
量子通信チャネルを使用して送信者（２０）と受信者（２４）との間で共有秘密ランダム暗号鍵（２６）を確立する方法であって、
量子エンティティの複数のランダムな量子状態を生成することであって、各ランダムな状態が、ヒルベルト空間における第１の複数のベースのランダムに選択された１つによって画定される、複数のランダムな量子状態を生成すること（１３０）と、
前記量子エンティティの前記複数のランダムな量子状態を、前記量子チャネル（１６）を介して前記受信者（２４）へ送信すること（１３６）と、
ヒルベルト空間における第２の複数のベースのランダムに選択された１つに関して、前記量子エンティティの前記受信された量子状態のそれぞれの前記量子状態を測定すること（１３８）と、
前記複数のランダムな量子状態のサブセットのベースを記述する構成情報を前記受信者（２４）へ送信すること（１５２）と、
前記受信された構成情報と前記サブセットに対応する前記測定された量子状態とを解析して、送信された量子状態の前記サブセットを記述する第１の統計的分布と、前記対応する測定された量子状態を記述する第２の統計的分布とを導出すること（１５６，１５８）と、
前記第１の統計的分布と前記第２の統計的分布との相違がしきい値レベルよりも大きいか否かを検証することによって、前記複数の送信されたランダムな量子状態の正当性の信頼レベルを確立すること（１６０）と、
前記サブセットにない前記送信された複数の量子状態及び前記受信された複数の量子状態から、それぞれ、第１のバイナリ列と、該第１のバイナリ列に相関された第２のバイナリ列とを導出すること（１８０，１８２，１８４，１８６，１８８，１９０）と、
エラー訂正技法を使用して、前記第１のバイナリ列と前記第２のバイナリ列とから前記共有秘密ランダム暗号鍵（２６）を確立すること（１９２）と
を含む方法。
【請求項２】
前記選択されたヒルベルト空間における第１の複数のベースは、２次元ヒルベルト空間の実部分空間から得られる
請求項１に記載の方法。
【請求項３】
前記解析するステップは、前記ベースを記述する前記情報を解析して、前記第１の統計的分布を導出することを含み、
前記確立するステップは、統計的なエラーレートを求めることを含む
請求項１に記載の方法。
【請求項４】
前記確立するステップは、
前記第１の統計的分布と前記第２の統計的分布との相違の程度を求めることと、
前記２つの分布の間の相違の程度がしきい値レベルよりも大きくない場合には、前記チャネル（１６）の前記セキュリティを容認することと
を含む
先行するいずれかの請求項に記載の方法。
【請求項５】
前記サブセットの情報を送信するステップは、公衆チャネル（１８）上で前記サブセットの情報を送信することを含む
先行するいずれかの請求項に記載の方法。
【請求項６】
前記導出するステップは、前記第１のバイナリ列を構成する、前記サブセットにない前記量子状態の前記ベースを表す情報を前記受信者（２４）へ送信することを含む
先行するいずれかの請求項に記載の方法。
【請求項７】
前記量子エンティティは光子であり、前記量子状態は前記光子の偏光の程度である
先行するいずれかの請求項に記載の方法。
【請求項８】
前記測定するステップを実行する前に、前記量子エンティティの前記受信された量子状態を一時的に記憶することをさらに含む
先行するいずれかの請求項に記載の方法。
【請求項９】
前記測定するステップは、前記一時的に記憶するステップの後に実行され、前記受信された受信者の構成情報を使用して、前記第２の複数のベースのうちのベースの一部を決定する
請求項８に記載の方法。
【請求項１０】
前記第２の複数のベースを前記第１の複数のベースとは独立に決定することをさらに含む
先行するいずれかの請求項に記載の方法。
【請求項１１】
前記受信者（２４）が、測定用に選ばれた前記ベースに関するいくつかの情報及び前記測定の結果、又はそれらのうちのいずれかを前記送信者（２０）へ送信することをさらに含む
先行するいずれかの請求項に記載の方法。
【請求項１２】
前記エラー訂正技法を使用する前記ステップは、いくつかの量子状態を使用して、前記送信者（２０）及び前記受信者（２４）の双方において前記共有秘密鍵（２６）の単一のビットを生成することを含む
先行するいずれかの請求項に記載の方法。
【請求項１３】
前記第２の統計的分布に関するデータを前記受信者（２４）から前記送信者（２０）へ送信することをさらに含む
先行するいずれかの請求項に記載の方法。
【請求項１４】
前記秘密共有鍵（２６）のサイズを、該鍵（２６）で暗号化されるメッセージのサイズと同じ程度になるように決定することをさらに含む
先行するいずれかの請求項に記載の方法。
【請求項１５】
前記複数のランダムな量子状態は、ヒルベルト空間内において、幾何学的に一様に分散されるように配置される
先行するいずれかの請求項に記載の方法。
【請求項１６】
送信者（２０）から目的とする受信者（２４）へメッセージを搬送するための安全な通信方法であって、
先行するいずれかの請求項に記載の方法に従い、量子通信チャネル（１６）を使用して送信者（２０）と受信者（２４）との間で共有秘密ランダム暗号鍵（２６）を確立することと、
前記送信者（２０）において、前記メッセージの要素の安全な暗号化のためのワンタイムパッドとして前記共有秘密鍵（２６）を使用することと、
従来の通信チャネル（１８）を使用して、前記暗号化されたメッセージを前記目的とする受信者（２４）へ送信することと、
前記受信者（２４）において、前記メッセージの前記暗号化された要素の安全な解読のためのワンタイムパッドとして前記共有秘密鍵（２６）を使用することと
を含む方法。
【請求項１７】
受信者（２４）が、量子通信チャネル（１６）を使用して、送信者（２０）と共有される秘密ランダム暗号鍵（２６）を確立する方法であって、
量子エンティティの複数のランダムな量子状態を、前記量子チャネル（１６）を介して前記送信者（２０）から受信すること（１３６）と、
ヒルベルト空間における受信者の複数のベースのランダムに選択された１つに関して、前記量子エンティティの前記受信された量子状態のそれぞれの前記量子状態を測定すること（１３８）と、
前記複数のランダムな量子状態のサブセットのベースを記述する構成情報を前記送信者（２０）から受信すること（１５２）と、
前記受信された構成情報及び前記サブセットに対応する前記測定された量子状態を解析して、送信された量子状態の前記サブセットを記述する第１の統計的分布と、前記対応する測定された量子状態を記述する第２の統計的分布とを導出すること（１５６，１５８）と、
前記第１の統計的分布と前記第２の統計的分布との相違がしきい値レベルよりも大きいか否かを検証することによって、前記複数の送信されたランダムな量子状態の正当性の信頼レベルを確立すること（１６０）と、
前記サブセットにない前記受信された複数の量子状態から受信者のバイナリ列を導出することと、
エラー訂正技法を使用して、前記受信者のバイナリ列から前記共有秘密ランダム暗号鍵（２６）を確立すること（１９２）と
を含む方法。
【請求項１８】
前記解析するステップは、前記ベースを記述する前記情報を解析して、前記第１の統計的分布を導出することを含む
請求項１７に記載の方法。
【請求項１９】
前記確立するステップは、統計的なエラーレートを求めることを含む
請求項１７または１８に記載の方法。
【請求項２０】
前記確立するステップは、
前記第１の統計的分布と前記第２の統計的分布との相違の程度を求めることと、
前記２つの分布の間の相違の程度がしきい値レベルよりも大きくない場合には、前記チャネルの前記セキュリティを容認することと
を含む
請求項１７〜１９のいずれかに記載の方法。
【請求項２１】
前記導出するステップは、前記第１のバイナリ列を構成する、前記サブセットにない前記量子状態の前記ベースを表す情報を前記受信者（２４）へ送信することを含む
請求項１７〜２０のいずれかに記載の方法。
【請求項２２】
前記量子エンティティは光子であり、前記量子状態は前記光子の偏光の程度である
請求項１７〜２１のいずれかに記載の方法。
【請求項２３】
前記測定するステップを実行する前に、前記量子エンティティの前記受信された量子状態を一時的に記憶することをさらに含む
請求項１７〜２２のいずれかに記載の方法。
【請求項２４】
前記測定するステップは、前記一時的に記憶するステップの後に実行され、前記受信された受信者の構成情報を使用して、前記第２の複数のベースのうちのベースの一部を決定する
請求項２３に記載の方法。
【請求項２５】
前記受信者（２４）が、測定用に選ばれた前記ベースに関するいくつかの情報及び前記測定の結果、又はそれらのうちのいずれかを前記送信者（２０）へ送信することをさらに含む
請求項１７〜２４のいずれかに記載の方法。
【請求項２６】
エラー訂正技法を使用する前記ステップは、いくつかの量子状態を使用して、前記受信者（２４）において前記共有秘密鍵（２６）の単一のビットを生成することを含む
請求項１７〜２５のいずれかに記載の方法。
【請求項２７】
前記第２の統計的分布に関するデータを前記受信者（２４）から前記送信者（２０）へ送信することをさらに含む
請求項１７〜２６のいずれかに記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
［発明の分野］
本発明は、量子暗号に関する改良に関係し、より詳細には、これに限られるわけではないが、本発明は、量子通信チャネルを使用して送信者と受信者との間の共有秘密ランダム暗号鍵を確立する方法に関する。また、本発明は、盗聴者に対する、量子チャネル上での量子ビットの送信のセキュリティを決定することにも関する。安全な送信では、従来の通信チャネル上での送信者から受信者へのメッセージの暗号化及び解読に使用される共有暗号鍵の作成に量子ビットを使用することができる。盗聴者に対するセキュリティの程度は、柔軟な通信システムを提供するために調整可能とすることができる。
【背景技術】
【０００２】
［発明の背景］
暗号の分野における主要な問題の１つは、送信情報の目的とする受信者のみがその送信情報を正しく理解できるように、送信情報へのアクセスを制限することである。今日の暗号化技法は、暗号化アルゴリズムへの入力として、実際のメッセージと共に提供される鍵と呼ばれる１組の特定のパラメータに依拠する。同様に、解読では、元のメッセージに到達するために、この鍵を、暗号化メッセージと共に解読アルゴリズムに入力する必要がある。これらの暗号化アルゴリズム及び解読アルゴリズムは、多くの場合、公に知られているか、又は、公に発表されているので、暗号化メッセージのセキュリティは、鍵の秘密性に完全に依存する。
【０００３】
鍵は、通常、ランダムに選択されて、十分に長いビット列から構成される。鍵が一旦決定されると、その後の通信は、盗聴者に対するチャネルの絶え間ないセキュリティが重要ではないどのチャネル（公衆チャネルであっても）上にも、暗号化メッセージを送信することを含む。しかしながら、最初は秘密情報を共有しない送信者及び受信者が秘密鍵を共有するには、従来の鍵に基づく通信プロトコルでは、いくつかの鍵決定情報（key determining information）を、安全で信頼性のあるチャネルに沿って送信することが必要である。このようなどの従来の鍵に基づく通信プロトコルのセキュリティも、盗聴者が送信された鍵決定情報から鍵を導出することがどれだけ困難であるかに依存する。さらに、送信者及び受信者には、何らかの盗聴が行われていたことを確実に見分けることができることを保証する方法がない。したがって、鍵を導出することをどれだけ困難にすることができても、原則的に、これは、このようなすべての従来の鍵に基づく通信プロトコルの本来的な弱点である。
【０００４】
もう１つの本来的な弱点は、一般に、鍵の長さがメッセージの長さよりも短い場合に、暗号化テキストを解読する盗聴者が元のテキスト若しくは鍵又は双方に関する有用な情報を得ることができないということを絶対的に保証することは不可能であるということである。
【０００５】
これらの問題の最初のものに対処する１つの試みは、公開鍵／私有鍵プロトコルの数学的技法を使用する。これらのプロトコルでは、送信者及び受信者がメッセージの送信に先立ち秘密鍵について同意することなく、メッセージが送信される。逆に、このプロトコルは、２つの鍵を用いた暗号化／解読の原理に基づいて機能する。１つはメッセージを暗号化するための公開鍵であり、もう１つはメッセージを解読するための私有鍵である。あらゆる者が、メッセージを暗号化するための鍵を有するが、１人の者しか、メッセージを再び解読するための鍵を有しない。したがって、誰もがメッセージを暗号化できるが、１人の者しか、メッセージを解読できない。このシステムでは、公開鍵がセキュリティを伴わずに広く配送されるので、上述した鍵配送問題が回避される。しかしながら、これらの非対称セキュリティプロトコルのセキュリティは、あいにく、大きな整数を因数分解することの難しさ等、未証明の数学的仮説に依存している（最もよく知られている公開／私有鍵プロトコルであるＲＳＡは、大数を因数分解することが困難であることからそのセキュリティを得ている）。数学者／コンピュータ科学者が、おそらく、大きな整数を因数分解するための非常に高速な手順を考え出し、次いで、公開／私有鍵プロトコルの全体的なプライバシー及び自由裁量（discretion）がすぐに見えなくなる可能性があるという危険性がある。確かに、最近の量子計算の研究は、量子コンピュータが従来のコンピュータよりもはるかに高速に因数分解を行うことができることを示しており、その結果、たとえば、ＲＳＡは、大きな量子コンピュータが構築された時に極めて安全でないものとなる。
【０００６】
量子鍵配送（ＱＫＤ（Quantum Key Distribution））と呼ばれる新しいタイプの暗号がつい最近出現した。既存の量子鍵配送プロトコルは、絡み合い（エンタングルメント（entanglement））を必要とするものと必要としないものとの２つの基本的な部類に分類される。量子コンピュータを使用して、送受信されたキュービットを操作する絡み合いに基づくプロトコルは、理論上、いくつかのセキュリティの利点及び効率性の利点を有し、また、長い距離にわたる量子鍵配送を効率的に実施するのに使用することもできる。しかしながら、量子コンピュータはまだ構築されていない。また、絡み合っていない光子（unentangled photon）光源のレートに匹敵する、フラックス率を有する、絡み合った（エンタングルド）（entangled）光子光源も、現在、存在しない。したがって、安全な絡み合いに基づく量子鍵配送（ＱＫＤ）は、現在のところ、実際に実施するのが困難である。絡み合いに基づくＱＫＤが、或る範囲の重要な用途について、絡み合いに基づかないＱＫＤ（non-entanglement-based QKD）よりも常に効率性に劣ることはあり得る。
【０００７】
絡み合いを必要としない量子鍵配送プロトコルにはいくつかのものがある。最も一般に実施されているのは、Ｂｅｎｎｅｔｔ−Ｂｒａｓｓａｒｄ１９８４プロトコルであり、通例、ＢＢ８４と呼ばれる（Bennett, C.H.及びBrassard, G.著「Quantum Cryptography: Public Key Distribution and Coin Tossing」Proceedings of the IEEE International Conference on Computers, Systems and Signal Processing. IEEE, New York. pp. 175-179 [1984]）。それ以外のものには、Ｂ９２プロトコル、Brussによって検討された６状態プロトコル、及びＧｏｌｄｅｎｂｅｒｇ−Ｖａｉｄｍａｎプロトコルが含まれる。
【０００８】
すべてのＱＫＤプロトコルを支持する鍵の属性の１つは、量子物理学によれば、一般に、観測によって、観測されているものの状態が変更される（かく乱される）ということである。この特性を活用するプロトコルに従うことによって、二者は、第三者によるあらゆる盗聴の検出が当該二者に可能になる通信方式を構築することができる。その理由は、二者が、あらゆるこのような第三者が持ち込んだかく乱を観測することができるからである。
【０００９】
ＢＢ８４  ＱＫＤプロトコルは、送信者と受信者との間の量子通信チャネルが、いくつかの状態の１つに偏光された光量子等の量子情報をチャネル（たとえば、電気通信光ファイバ、又は、大気若しくは空間を通じて送信されるビーム）上に送信できるように確立されていることに依拠する。また、このプロトコルは、公衆のメッセージを送信できる無線チャネル等の公衆チャネルも利用する。このプロトコルの目的は、たとえそのプロトコルを含む通信に或る程度の盗聴があっても、盗聴者から秘密の状態にされたランダムな共有鍵を生成することである。盗聴があった場合、鍵を拒否することができ、この手順は、配送されていない鍵が受信されるまで繰り返すことができる。たとえ盗聴者が偶然に盗聴しても、秘密情報は開示されない。その理由は、鍵が盗聴されることなく受信されるまで、実際の秘密情報メッセージは決して送信されないからである。鍵が送信者と受信者との間で一旦確立されると、秘密情報メッセージを、送信者側においてその共有秘密鍵で符号化し、公衆チャネル上で送信し、そして、受信者側において同じ共有秘密鍵を使用することにより安全に復号することができる。
【００１０】
送信者から受信者へ鍵を安全に配送する方法は、さまざまな異なる教科書で数学的に説明されている。これについては、たとえば、２０００年のMichael A. Nielsen及びIsaac L. Chuang著「Quantum Computation and Quantum Information」の第７章：「Quantum Cryptography」、発行元：Cambridge University Press; ISBN:0521635039を参照されたい。一方、Qubit.orgウェブサイトの量子暗号への導入で述べられた以下の例は、このプロトコルがどのように動作するかの基本原理を理解するのに役立つ。
【００１１】
「システムは、送信機及び受信機を含む。送信者は、送信機を使用して、０度、４５度、９０度、又は１３５度の４つの偏光の１つで光子を送信することができる。他方の端部の受信者は、受信機を使用して、その偏光を測定する。量子力学の法則によれば、受信機は、直線偏光（０及び９０）を区別することもできるし、直交偏光（４５及び１３５）を弁別するように素早く再構成を受けることもできる。しかしながら、受信機は、双方のタイプを決して区別することはできない。鍵配送には、いくつかのステップが必要とされる。送信者は、ランダムに選ばれた４つの偏光の１つを有する光子を送信する。受信機は、入射する各光子について、直線タイプ又は直交タイプのいずれかの測定タイプをランダムに選ぶ。受信機は、測定結果を記録するが、それら結果を秘密の状態にしておく。その後、受信機は、測定タイプ（結果ではない）を公に発表し、送信者は、受信者にどの測定が正しいタイプであったかを告げる。これら二者（送信者及び受信者）は、受信機の測定が正しいタイプであったすべてのケースを保持する。これらのケースは、次に、ビット（１及び０）に変換され、それによって、鍵となる。盗聴者は各光子の偏光のタイプが事前には分からず、盗聴者が２つの非可換な観測量（non-commuting observables）（ここでは、直線偏光及び直交偏光）の鮮明な値を取得することは、量子力学によって可能ではないので、盗聴者は、この送信にエラーを持ち込む運命にある。量子チャネルの２人の適法なユーザは、鍵ビットのランダムなサブセットを明らかにして、そのエラービットを（公然と）チェックすることにより、盗聴の検査を行う。これらのユーザは、盗聴を防ぐことはできないが、盗聴者に決してだまされることはない。その理由は、チャネルをタップしようとする試みがどんなに繊細で高度なものであっても、そのようなどの試みも検出されるからである。これらのユーザは、チャネルのセキュリティに満足しないときは常に、鍵配送の設定を再度試みることができる。」
【００１２】
この例は、盗聴がない場合に、通信が完全であり、雑音がないものと仮定している。しかしながら、実際には、どの通信システムも完全ではなく、量子チャネルによって引き起こされた歪み、又は、盗聴者によっても引き起こされた歪みが、送信されたキュービットに存在する可能性があることが知られている。これらのエラーは、技術を有する受信者（skilled addressee）に既知のエラー訂正技法及び秘匿性増強技法を使用することによって訂正される。これについては、たとえば、２０００年のMichael A. Nielsen及びIsaac L. Chuang著「Quantum Computation and Quantum Information」の第７章：「Quantum Cryptography」、発行元：Cambridge University Press、C. Bennett他著「Generalized Privacy Amplification」,IEEE Trans. Info. Theory Vol 41 (1995) pp 1915-1923、及びU. Maurer著「Secret Key Agreement by Public Discussion from Common Information」, IEEE Trans. Info. Theory, Vol 39 (1993) pp 733-742を参照されたい。
【非特許文献１】Bennett, C.H.及びBrassard, G.著「Quantum Cryptography: Public Key Distribution and Coin Tossing」Proceedings of the IEEE International Conference on Computers, Systems and Signal Processing. IEEE, New York. pp. 175-179 [1984]
【非特許文献２】Michael A. Nielsen及びIsaac L. Chuang著「Quantum Computation and Quantum Information」、第７章：「Quantum Cryptography」、発行元：Cambridge University Press［2000］
【非特許文献３】C. Bennett他著「Generalized Privacy Amplification」,IEEE Trans. Info. Theory Vol 41 (1995) pp 1915-1923、
【非特許文献４】U. Maurer著「Secret Key Agreement by Public Discussion from Common Information」, IEEE Trans. Info. Theory, Vol 39 (1993) pp 733-742
【発明の開示】
【発明が解決しようとする課題】
【００１３】
本発明は、上述した問題及び上述した参考文献における問題を克服するか、又は、少なくとも実質的に削減すること、並びに、量子情報を送信することによって秘密鍵を配送する強固な方法を提供することを目的とする。
【００１４】
本発明は、従来技術の方法が、量子エレメントが属する（１対の直交状態の）状態を決定するための、限定された個数（最も簡単な場合には２つ又は３つ）の可能なベース又は基準フレームが存在することを必要としていたことを理解することに起因している。この限定は、従来技術では、上記で解説し、且つ、説明した従来技術の例により示したように、どのベースが正確であるかを知るための基礎を成す要件であるために必要であった。しかしながら、本発明者等は、共有鍵を配送する方法を所定の少数のベースに制限することは必要ではなく、ほとんど無限の個数の異なるベースを使用できることが分かった。これは、送信されたキュービットのサブセットに関するいくつかの情報を送信することによって可能にされ、たとえば、送信されたキュービットのそのサブセットに使用されたベースに関するいくつかの情報を送信することによって可能にされる。これによって、盗聴がもしあれば、盗聴レベルを決定することが可能になる。次に、送信されたキュービットの残りに関する送信された基底情報を使用し、且つ、その情報に対して統計的解析を実行することによって、送信者及び受信者は、盗聴者がほとんど又は全く情報を有することができない、相関されたビット列を導出することが可能である。次に、このような多数のベースを使用することによって引き起こされた、送信者における相関されたビット列のバージョンと受信者における相関されたビット列のバージョンとの間の不一致を、既存の秘匿性増強技法及びエラー訂正技法を使用して調停し、共有秘密鍵を導出することができる。
【課題を解決するための手段】
【００１５】
より具体的には、本発明の一態様によれば、量子通信チャネルを使用して送信者と受信者との間で共有秘密ランダム暗号鍵を確立する方法であって、量子エンティティの複数のランダムな量子状態を生成することであって、各ランダムな状態が、ヒルベルト空間における第１の複数のベースのランダムに選択された１つによって画定される、複数のランダムな量子状態を生成すること、量子エンティティの複数のランダムな量子状態を、量子チャネルを介して受信者へ送信すること、ヒルベルト空間における第２の複数のベースのランダムに選択された１つに関して、量子エンティティの受信された量子状態のそれぞれの量子状態を測定すること、複数のランダムな量子状態のサブセットを記述する構成情報を受信者へ送信すること、受信された構成情報及びサブセットに対応する測定された量子状態を解析することであって、それによって、送信された量子状態のサブセットを記述する第１の統計的分布、及び、対応する測定された量子状態を記述する第２の統計的分布を導出する、解析すること、第１の統計的分布及び第２の統計的分布が十分類似していることを検証することによって、複数の送信されたランダムな量子状態の正当性の信頼レベルを確立すること、サブセットにない送信された複数の量子状態及び受信された複数の量子状態から、それぞれ、第１のバイナリ列、及び、第１のバイナリ列に相関された第２のバイナリ列を導出すること、及び、エラー訂正技法を使用することによって第１のバイナリ列に対する第２のバイナリ列の調停を実行することであって、それによって、第１のバイナリ列及び第２のバイナリ列から共有秘密ランダム暗号鍵を確立する、調停を実行することを含む方法が提供される。
【００１６】
調停は、元来、送信者と目的とする受信者との間で送信されたデータのエラーを打開するのに使用されていた。しかしながら、本発明は、その使用を、２つの相関されたデータ列を構成するデータの量子送信後に受信者及び送信者に存在する当該データ列から２つの共有秘密鍵を導出するための基礎として機能するように拡張する。調整／増強技法をこのように量子暗号に使用できることを理解することは、キュービットの状態を符号化するのに使用されるベースの個数が、従来技術のように少数の有限個（２つ又は３つ）に限定されず、実際には無限になることを意味する。
【００１７】
本発明は、受信者が送信者によって準備されたキュービットを含む基底で測定を実行したキュービット列を送信者及び受信者が特定する必要がないという観察結果に基づいて、これまでの量子鍵配送方式を改良するためのアイデアを記述する。量子鍵配送の既存の実際のインプリメンテーションに関する問題は、盗聴レベル（これは、たとえ実際の盗聴がなくても、量子チャネルに雑音が存在するため、非ゼロである）の実際の達成可能な境界を与えると、それらインプリメンテーションが、比較的低いビットレートで共有秘密鍵を生成するということである。本発明は、潜在的に、秘密鍵生成についてより高いビットレートを提供する。また、既存のプロトコルは、送信者の準備したキュービット及び受信者の測定選択肢が、短い可能性リストから得られるということに起因するいくつかの潜在的なセキュリティの弱点を有する。これらの弱点は盗聴者に知られている（知られていない場合には、盗聴者による或る盗聴後に推論可能である）。はるかに大きな１組の選択肢を可能にすることによって、本発明は、これらの可能性のある弱点を低減する。さらに、現在実用的な既存のプロトコルは、否認権の特性を有しない。すなわち、送信者及び受信者は、事後に問い合わせを受けた場合に、たとえ問い合わせた者が鍵配送プロトコル中に彼らを盗聴したとしても、彼らの不実表示が暴かれる危険性が少ない状態で、自分で選んだ偽の秘密鍵を生成する、プロトコルの偽の写しを生成することが可能な場合がある。本発明は、現在実用的でもあるが、潜在的により大きな度合いの否認権を可能にするプロトコルを記述する。
【００１８】
用語「量子エンティティ」は、測定可能な量子特性を有することができるあらゆるエンティティを意味するように意図されている。たとえば、本発明の実施の形態は、光子が量子エンティティであり、それらの測定可能な量子特性が光子の偏光であることに関して説明されている。一方、他のタイプのエンティティもこの用語によってカバーされる。たとえば、電子及び原子核もカバーされ、この場合、いずれにしても、スピン自由度が測定可能な量子特性を提供することができる。
【００１９】
ＢＢ８４  ＱＫＤプロトコル等の既存の従来技術の方式は、原理上は安全であり、実際に安全にすることができるが、潜在的に、本発明のプロトコルよりもかなり多くの資源（すなわち、生成された１つの安全な鍵ビットにつき、より多くの量子及び／又はより従来的な通信）を必要とする。
【００２０】
好ましくは、ヒルベルト空間における第１の複数のランダムに選択されたベース及び第２の複数のランダムに選択されたベースは、それぞれ、少なくとも４つのランダムなベースを含む。ベースの組の個数が多くなるほど、潜在的なセキュリティレベルは大きくなり、したがって、本発明によって提供される潜在的な利益は大きくなる。
【００２１】
選択するステップは、２次元ヒルベルト空間における第１の複数のベースを生成して測定することを含むことができる。一方、選択するステップは、代替的に、２次元ヒルベルト空間の実部分空間における第１の複数のベースを生成して測定することも含むことができる。この代替的なインプリメンテーションは、効率性とセキュリティとの間で、異なる、潜在的に有利なトレードオフを提供するという点で、いくつかの潜在的な利点を有する。また、いくつかの物理的に実現されたものに実際に実施することも容易である。
【００２２】
より具体的には、確立するステップを実施する１つの有利な方法は、第１の統計的分布と第２の統計的分布との相違の程度を求めること、及び、２つの分布の間の相関の程度がしきい値レベルよりも大きい場合には、チャネルのセキュリティを容認すること、である。統計的分布を使用することによって、送信された結果から測定結果の偏差の程度（degree of deviation）を自動的に評価する高速な数学的方法が提供される。さらに、統計的分布を使用することによって、比較ステップの前にエラー訂正技法を必要とすることなく、或る程度のエラーに対応することが可能になる。
【００２３】
好ましくは、この方法は、しきい値レベルの値を選択することをさらに含む。これによって、この方法は、従来技術のプロトコルで耐えられる盗聴レベルを潜在的に超えるおそれのある盗聴レベルを許容することが有利に可能になる。その結果、ユーザは、通信される情報のレベルを等級分けすることができ、対応するしきい値レベルを決定することができる。明らかに、しきい値が低いほど、最初の試みで鍵が確立される可能性が高くなる。また、伝送エラーも、比較結果が不完全になることに貢献するので、しきい値は、このようなエラーに対応するように設定することができる。
【００２４】
本実施の形態では、複数のランダムな量子状態を生成するステップは、２次元システムの一部である量子状態を生成することを含むことが理解されよう。しかしながら、本発明は、より高次の次元のシステムに拡張することもできる。このシステムでは、生成するステップは、より多くの自由度を記述するランダムな量子状態を生成することを含むことができる。たとえば、３次元では、たとえば原子の量子エンティティの、考慮される異なった特性は、１／２よりも大きい原子核のスピン、その位置が或る一定の有限次元空間に存在するように制約される、その量子オブジェクト（光子、電子、原子核等）の１つの位置波動関数、又は、エネルギーレベルの或る一定の有限集合によって定義された空間に存在するように制約される励起原子の状態とすることができる。
【００２５】
本発明のほとんどの実用的な用途では、複数のベースがほぼ一様に分散されていることが好ましい。ヒルベルト空間における第１の複数のベースに多数のベースがある場合、それらベースをランダムに選ぶことによってこれを達成することができる。一方、選ぶベースが少ない場合、ベースがおおよそ一様に分散されている特定の幾何学的構成（たとえば、プラトニックソリッドによって画定されたもの）でベースを選ぶことによって一様な分散を確保することができる。これは、この方法のヒルベルト空間バージョンの複素バージョンに適用される。任意のＮ個のベースの実部分空間バージョンでは、大円のベクトルを角度ｐｉ／Ｎだけ隔てて取ることによって、それらベースを、正確に一様に分散するように選ぶことができる。
【００２６】
この方法は、測定するステップを実行する前に、量子エンティティの受信された量子状態を一時的に記憶することをさらに含むことができる。これによって、送信者は、送信者のベースに関するいくつかの特定の情報を送信することが可能になり、この情報は、次に、受信者が、記憶されたキュービットの測定に使用することができる。また、盗聴がない場合、ストレージによって、送信者及び受信者は、送信された１つの光子キュービットあたり１ビットの割合でランダム共有鍵を生成することが有利に可能になる。ストレージのもう１つの主要な利点は、ストレージが、より大きなセキュリティレベルを通信プロトコルに提供するということである。
【００２７】
第２の複数のベースは、第１の複数のベースとは独立に決定することができる。これは、調停ステップが、行うべき作業をより多く有するという点で、明らかにこの方法をより複雑にするが、一方で、この方法のセキュリティのいくつかの態様を有利に改善することができる。
【００２８】
好ましくは、確立された共有秘密鍵は、暗号化されるメッセージの大きさと同じサイズを有する。この理由は、ワンタイムパッド暗号化方式（別名Ｖｅｒｎａｍ暗号）のあらゆる使用と同様に、それによって、可能な限りの情報理論的セキュリティが提供されるからである。もちろん、より長いメッセージの送信を可能にするというトレードオフが行われる場合には、不完全なセキュリティを許容することも可能である。これに加えて、量子方式によって生成された共有秘密鍵Ｋ１を使用して、或る標準的な従来の暗号化方式で使用される同じ長さの別の鍵Ｋ２を暗号化し、次いで、この従来の方式を使用して、より長い長さのメッセージを送信することも可能である。この場合のセキュリティは、不完全ではあるが、非常に良好なものとすることができる。すなわち、このセキュリティは、Ｋ２が盗聴者から完全に隠蔽され、且つ、（Ｋ２が長い場合）その従来の方式が、使用される鍵（Ｋ２）の知識なしで破ることは確かに非常に困難になり得るということに依拠している。
【００２９】
本発明は実用的であり、既存の技術で実施することができる。詳細には、小規模量子コンピュータであっても実施のための要件はない。逆に、本発明は、単一光子光源又は弱い光子パルスで実施することができ、絡み合った光子光源を必要としない。これは、比較的高いキュービット送信レートが実用的であることを意味する。本発明の現在の好ましい実施の形態は、ＢＢ８４プロトコル、Ｂ９２プロトコル、６状態量子鍵配送プロトコル等の既存の同様に実用的な量子鍵配送方式を上回る以下の潜在的な利点を有する。第１に、所与の盗聴レベルについて、この実施の形態により、送信された１つのキュービットあたり、秘密鍵のより多くのビットを生成することが可能になるという意味で、この実施の形態は、潜在的に、より効率的である。第２に、この実施の形態によって、既存のプロトコルよりも高い盗聴レベル又は雑音レベルが存在する状態で秘密鍵を生成することが可能になるという意味で、この実施の形態は、潜在的に、より高いセキュリティしきい値を有する。第３に、この実施の形態は、多種多様なアクティブな盗聴攻撃（この盗聴攻撃では、プロトコルで使用される状態以外の物理的状態が盗聴者によって量子チャネルに持ち込まれる）、及び、それ以外の形態の妨害行為に対する耐性（又はより高い耐性）を有するという意味で、この実施の形態は、より安全なものとすることができる。第４に、この実施の形態によって、送信者及び受信者に、量子計算を必要としない既存のプロトコルよりも高いレベルの否認権を可能にすることができる。
【００３０】
本発明の別の態様によれば、送信者から目的とする受信者へメッセージを搬送するための安全な通信方法であって、上述した方法を使用して、量子通信チャネルを使用して送信者と受信者との間で共有秘密ランダム暗号鍵を確立すること、送信者において、メッセージの要素の安全な暗号化のためのワンタイムパッドとして共有秘密鍵を使用すること、従来の通信チャネルを使用して、暗号化されたメッセージを目的とする受信者へ送信すること、及び、受信者において、メッセージの暗号化された要素の安全な解読のためのワンタイムパッドとして共有秘密鍵を使用することを含む方法が提供される。
【００３１】
次に、本発明の好ましい実施の形態を、添付図面に関して例として説明することにする。
【発明を実施するための最良の形態】
【００３２】
［現在の好ましい実施の形態の詳細な説明］
図１を参照して、本発明の第１の現在好ましい実施の形態による通信システム１０が示されている。このシステムは、送信者の通信デバイス１２及び目的とする受信者の通信デバイス１４を備える。これらのデバイスは、この実施の形態では、光子の特定の偏光によってそれぞれが指定された量子状態にある光子をそれぞれ送信及び受信する量子通信をサポートするように構成されている。デバイス１２、１４は、光ファイバ通信リンク１６を介して互いに接続されている。この光ファイバ通信リンク１６は、量子通信チャネルとして機能する。また、送信者の通信デバイス１２は、公衆チャネル上に無線信号１８を放送するようにも構成されている。無線信号１８は、受信者の通信デバイス１４が受信することができる。
【００３３】
送信者（Ａ）２０は、自身の通信デバイス１２において、秘密文書２２を有する。この秘密文書２２は、送信者が、暗号化フォーマットで受信者（Ｂ）２４へ送信したいものである。実際の暗号化文書は、暗号化無線放送信号１８として受信者１４へ送信される。文書２２を暗号化するために、送信者２０には、秘密共有暗号鍵２６が提供される。同様に、受信者２４も、公衆チャネル上に送信された、暗号化メッセージを解読するのに使用する秘密共有鍵２６のコピーを有する。
【００３４】
より具体的には、システム１０は、２つの異なったフェーズで使用される。第１のフェーズは、送信者２０と目的とする受信者２４との間で秘密共有鍵２６を確立するものである。これは、量子チャネル１６及び放送無線信号１８を介して送信された量子信号を使用することによって行われる。第２のフェーズは、共有鍵２６を使用して、文書２２を符号化すること、放送無線信号１８を介して符号化された文書を送信すること、及び、最後に、受信された暗号化メッセージを正確に解読することを含む。
【００３５】
システム１０は、量子チャネル１６に対する変換接続３２を備えた盗聴デバイス３０を使用する盗聴者（Ｃ）２８が、量子信号の第１のフェーズ送信を盗聴して共有量子鍵２６を導出することを防止するように設定される。これを行う方法は、後に本明細書中で述べる。
【００３６】
次に、第１のフェーズ及び第２のフェーズを実施するようにシステム１０を動作させる方法４０を、図２に関してより詳細に説明する。図２は、第１のフェーズが、ステージ１〜３の３つの異なった部分からどのように構成されているかを示している。これらのステージ１〜３は、以下でそれぞれ説明する。
【００３７】
方法４０は、ステップ４２において、送信者（Ａ）２０が、量子ビット（キュービット）のストリームを作成して、受信者（Ｂ）２４へ量子チャネル１６を介して送信することでステージ１を開始する。これらの量子ビットは、秘密共有鍵２６を生成するのに使用される情報のプールである。キュービットは、量子状態によって記述することができる要素のどの物理的特性にも関係することができる一方で、この実施の形態で前述したように、キュービットは、偏光された光量子である。受信者（Ｂ）２４は、偏光された光子を受信すると、それらの量子状態を測定する。
【００３８】
次に、ステップ４４において、測定結果を使用して、量子チャネル１６が盗聴者（Ｃ）２８に対して十分に安全であるかどうかを判断することにより、第１のフェーズのステージ２が実行される。これは、量子状態の送信を盗聴する盗聴者（Ｃ）が、量子状態を測定する際に、それら量子状態を歪ませるということから可能である。その結果、これは、受信されたキュービットに対して受信者（Ｂ）で実行されるステップ４４の解析により検出される。したがって、ステップ４６において、方法４０は、量子チャネル１６が安全であるかどうかを判断する。解析の結果、チャネルが安全でない場合、その結果の結論は、ステップ４８において、送信されたキュービットが、共有秘密暗号鍵２６を確立するのに使用できないということになる。ステップ５０において共有鍵２６を再び確立しようと試みることが望まれている場合、方法４０は、ステージ１に戻り、ステップ４２において新たなキュービットの送信を開始する。一方、再び試みることが望まれていない場合、方法は、ステップ５２において時期尚早に終了する。
【００３９】
ステップ４６の結果が肯定的である場合、結論は、ステップ５４において、送信されたキュービットが、共有秘密暗号鍵２６を確立するのに使用できるということになる。この場合、ステージ３が、ステップ５６において、公衆無線チャネルを使用してさらに情報を送信することから開始される。これによって、送信されたキュービットに関係する送信者の情報についてさらに情報が提供され、受信者（Ｂ）は、当該受信者側において共有暗号鍵２６を確立するのに役立つ十分な統計的情報を導出することができるようになる（後に詳細に説明）。共有鍵が一旦確立されると、その共有鍵は、ステップ５８において、送信者（Ａ）２０により使用されて、メッセージ２２が暗号化され、その後、暗号化メッセージが無線信号１８として受信者（Ｂ）２４に送信される。次に、受信者（Ｂ）は、ステップ６０において、自身の近時に生成された秘密共有鍵２６を使用して、送信された暗号化メッセージ２２を解読する。
【００４０】
次に図３及び図４を参照して、送信者の量子通信デバイス１２及び受信者の量子通信デバイス１４をさらに詳細に説明する。送信者の量子通信デバイス１２は、レーザ光源７０を備える。このレーザ光源７０は、強度の弱いコヒーレント光パルス光源として動作して光子パルスを生成するように構成されるか、又は、単一光子光源として動作するように構成される。強度の弱いパルスは、時々、同時に２つ以上の光子を放射することがある。しかしながら、標準的なエラー訂正／調停技法は、非常に稀に発生するこのようなマルチ光子エラーに対処ことによってセキュリティを保証する（光子が２つ以上放射される確率が、単一の光子が放射される確率と比較して非常に小さくなることを確保するように弱いレーザ強度を設定する）。
【００４１】
光源７０の出力は、光偏光ビームスプリッタ７６に供給される偏光されていない光子の比較的遅いストリーム７４である。このビームスプリッタ７６は、ダイアルイン偏光子（dial-in polariser）として機能する。このダイアルイン偏光子は、受信された光子を所望の向きに偏光する。この点で、ビームスプリッタは、２つの逆ではあるが同等の向き（たとえば、４５°と２２５°）に光子を偏光でき、光子の偏光（ベース）面は同じであり、それによって、同じ光の見え方を与える一方、量子的意味での光子の偏光のベクトルの向きは異なる、すなわち逆となるようにすることが理解されよう。
【００４２】
偏光されていない光子を取り込んで、１００％の効率で、その光子を、要求に応じて、指定された偏光を有する光子にする方法を見つけることは一般に容易でない場合があることが理解されよう。しかしながら、光子を一般的な（たとえば、偏光されていない）状態で取り込んで、特定のビームで指定された偏光を有する光子に生成すること、又は、異なるビームに従う（且つ、量子通信チャネル１６に沿った送信に使用されない）光子、若しくは、フィルタによって吸収される光子に生成することは容易である。この場合、これによって、光子パルスの時間分離がそれらパルスの偏光に関する或る情報を間接的に与える光子パルスのビームが生成されないことを確保することが重要である。これは、いくつかの偏光された状態を作り出すことが、他の状態を作り出すことよりも容易な場合に起こる可能性があり、その結果、前者よりも後者を生成する方が長い時間を要する。したがって、光偏光ビームスプリッタ７６は、等しく分離された光子パルスのビームをランダムで独立に選ばれた偏光で生成するように構成される。代替的に、ビームスプリッタ７６は、分離が必ずしも等しくないが、偏光状態と無相関のビームを生成するように構成することもできる。
【００４３】
ビームスプリッタ７６は、各光子の偏光の向きを正確に制御できるように、且つ、数千の異なる向きが選ばれるように、０．００１ラジアンの分解能を有する。その結果生成された、偏光された光子の遅いストリーム７８は、次に、量子ビットファイバカプラ８０に供給される。この量子ビットファイバカプラ８０は、偏光された光子のストリーム７８を量子通信チャネル１６へ送信する。
【００４４】
マイクロプロセッサコントローラ８２（上述したような）が設けられ、レーザ光源７０、光偏光ビームスプリッタ７６、及び量子ビットファイバカプラ８０のオペレーションを制御する。詳細には、マイクロプロセッサコントローラ８２は、ビームスプリッタ７６の動作制御によって各光子のランダムな偏光を決定する。マイクロプロセッサコントローラ８２は、データストア８４を使用して、偏光された光子のそれぞれの量子状態を記述するデータを記憶する。この記憶された情報は、後に、送信者（Ａ）２０と受信者（Ｂ）２４との間の共有秘密鍵２６を確立するのに使用される。
【００４５】
また、デバイス１２は、マイクロプロセッサコントローラ８４に接続された無線送信機８６も備える。この無線送信機８６は、後に説明するように、送信されたキュービットの少なくとも一部のベースに関する、マイクロプロセッサコントローラ８４からの情報を送信する。たとえ無線送信機８６がデバイス１２の一部であるとして示されていても、無線送信機８６は、個別のユニットとして容易に実現でき、マイクロプロセッサコントローラ８４は、無線信号１８として放送される通信を単にこのユニットへ中継することが理解されよう。
【００４６】
次に図４を参照して、目的とする受信者の量子通信デバイス１４は、マイクロプロセッサコントローラ９０によって動作される。マイクロプロセッサコントローラ９０は、受信されたキュービットの測定を制御するだけでなく、後述するような統計的計算も実行する。量子通信チャネル１６は、量子ビットファイバカプラ９２に連結されている。この量子ビットファイバカプラ９２は、偏光された光子７８のストリームを送信者の送信デバイス１２から受信し、それら光子を光偏光子９４及び単一光子検出器９６に搬送する。光偏光子９４及び単一光子検出器９６は、マイクロプロセッサコントローラ９０の制御下にある。この点で、マイクロプロセッサコントローラ９０は、受信された各光子について、測定の向き（基底（basis））をランダムに選択し、光偏光子９４を選択された向きに構成し、その向きによって画定される所与の基底で、受信された光子の量子状態の測定を実行する。本実施の形態では、この測定基底は、送信者の基底と同じでない可能性が高い。したがって、これにより、必然的に、送信されたキュービットが運ぶ情報の少なくとも一部が喪失される。しかしながら、この情報の喪失は、後述するように許容することができるので、損害を与えるものではない。
【００４７】
また、デバイス１４は、測定された受信キュービットを記述する情報と、制御アルゴリズム（図示せず）及び統計的解析プログラム（図示せず）の双方を実行するためのプログラムとを記憶するためのデータストア９８も備える。最後に、マイクロプロセッサコントローラ９０に連結されて、送信者のデバイス１２から送信された無線信号１８を受信するための無線受信機１００が設けられている。この場合も、無線受信機１００は、デバイス１２の一部でない場合があり、正確に言えば、個別のユニットとして容易に実現でき、マイクロプロセッサコントローラ９０は送信者のデバイス１２から無線信号１８として放送された通信をこのユニットから単に受信することが理解されよう。
【００４８】
ヒルベルト空間において一定の量子状態に課される制約条件により、この実施の形態について光子の特定の偏光を生成することがどのように可能になるかを理解することが有益である。この情報は一般に既知であるが（Michael A. Nielsen及びIsaac L. Chuang著「Quantum Computation and Quantum Information」, 2000、発行元：Cambridge University Pressを参照されたい）、いくつかの重要なポイントを以下で手短に説明する。
【００４９】
図５を参照して、或るエンティティの物理パラメータの一般の純粋な量子状態は、２次元ヒルベルト空間１１０において、半径１のブロッホ球１１４上の量子状態ベクトル｜φ＞１１２により表すことができる。０の量子ビット状態及び１の量子ビット状態も、それぞれ、対蹠基底ベクトル（antipodal basis vector）｜０＞１１６及び｜１＞１１８によって表すことができる。この表現は、純粋な量子状態がＭｏｄ  １の長さのベクトルに対応するので妥当である。基底ベクトル｜０＞１１６及び｜１＞１１８は、ブロッホ球１１４のどの部分にも存在できる基底と考えられ、したがって、それぞれ、一般的なラベル｜ψ＞及び｜ψ−＞の形を取る。任意のベクトルの一般的な状態は、次のように示すことができる。
｜ψ＞＝α｜０＞＋β｜１＞
ここで、α及びβは共に複素数であり、｜α２｜＋｜β２｜＝１であり、θ１２０は｜φ＞と｜ψ＞との間の角度である。
【００５０】
したがって、｜φ＞１１２は、０の状態のキュービット１１６及び１の状態のキュービット１１８の１次結合によって表すことができる。偏光は、数千の可能な状態の１つにすることが可能であることが理解されよう。これは、選択された基底｜ψ＞、｜ψ−＞について、たとえば、キュービット測定ステップにおいて、光子が以下に述べるような所与の状態にある確率（ｐ）が存在することを意味する。
ｐ（｜φ＞，｜ψ＞）＝１／２（１＋ｃｏｓ２θ）
ｐ（｜φ＞，｜ψ−＞）＝１／２（１−ｃｏｓ２θ）
【００５１】
これらの確率関数の知識によって、送信された量子情報の、盗聴者２８による歪みがあるかどうかの統計的判断が可能になる。
【００５２】
次に図６を参照して、第１のフェーズのステップ４２のステージ１をさらに詳細に説明する。このステージ１は、送信者２０と目的とする受信者２４との間で秘密共有鍵２６を確立するものである。ステージ１は、ステップ１３０において、キュービットのシーケンスを生成することから開始する。このキュービットのシーケンスは、２次元ヒルベルト空間のすべての純粋な状態の光子の一様な分布からランダム且つ独立に選ばれる。（純粋な状態は、図５のブロッホ球の表面に存在する。）この点で、光子のビームスプリッタ７６による偏光は、ランダム且つ独立であるが、可能な状態が純粋なものであることを確保するように制約される。
【００５３】
ステップ４２のステージ１は続行されて、送信者２０は、ステップ１３２において、そのシーケンスの各キュービットにバイナリ値を割り当てる。実際面では、これは、偏光面で偏光された光子が１の値又は０の値のいずれかを有することができるように、その偏光面で各逆方向にビット値を割り当てることに等しい。次に、送信者２０は、ステップ１３４において、キュービットのシーケンスの割り当てられた状態をデータストア８４に記憶する。後述するように、これらの記憶された状態は、共有秘密鍵２６のその後の確立に使用される。
【００５４】
次に、送信者２０は、ステップ１３６において、量子チャネル１６を介して、キュービットのランダムなシーケンスを受信者２４へ送信する。このステージでは、量子チャネルが、盗聴者（Ｃ）２８に対して安全であるかどうかは分かっていない。しかしながら、受信者２４は、ステップ１３８において、送信されたキュービットを受信し、それらキュービットを測定して、ヒルベルト空間における、受信者自身のランダム且つ独立に選択された基底に従ってキュービットの状態を決定する。受信者２４は、送信者２０においてキュービットの生成の際に使用されたものと同じ制約条件を仮定していることが理解されよう。ステップ４２のステージ１は、受信者２４が、ステップ１４０において、キュービットのローカルに決定された状態を今後の解析のためにデータストア９８に記憶することで完了する。
【００５５】
図７は、第１のフェーズのステップ４４のステージ２の詳細を示している。このステージ２は、送信者２０と目的とする受信者２４との間で秘密共有鍵２６を確立するものである。ステージ２の目的は、盗聴がもしあれば、信頼できる統計的境界（statistical bound）を盗聴レベルに置くことである。ステップ４４のステージ２は、送信者が、ステップ１５０において、受信者へ送信された１組のキュービットのランダムなサブセットを選ぶことから開始する。たとえば、この１組の送信されたキュービットが、１００万個の量子ビットを含む場合、ステップ１５０において選択されたランダムなサブセットは、おそらく、１０，０００個の量子ビットを含む場合がある。次に、送信者（Ａ）２０は、ステップ１５２において、選択されたサブセットのキュービットの識別情報及びそれらの各状態を公衆（無線）チャネル上で送信する。次に、受信者（Ｂ）２４は、ステップ１５４において、キュービットのサブセットの識別情報及びそれらの正しい各量子状態を読み出す。この情報を使用して、受信者は、ステップ１３６において量子チャネル１６上で送信者により送信された対応するキュービットを特定することができ、これらの各キュービットの記憶された測定結果を調べることができる。受信者は、これらの測定結果を特定すると、次に、ステップ１５６において、その結果の第１の統計的分布を求める。同様に、受信者は、ステップ１５８において、選択されたサブセットにおけるキュービットの識別情報及びそれらの各状態の第２の統計的分布も計算する。これら識別情報及びそれらの各状態は、ステップ１５２において、公衆（無線）チャネルを介して送信されたものである。
【００５６】
次に、これら第１の統計的分布及び第２の統計的分布は、ステップ１６０において比較される。量子チャネル１６と、送信者の量子通信デバイス１２及び受信者の量子通信デバイス１４の双方とが完全であり（伝送エラーも他のあらゆるエラーもない、すなわち雑音がない）、且つ、盗聴がない場合、受信者の測定結果は、該当する測定について量子理論により予測された統計的分布を有するはずである。したがって、２つの統計的分布が異ならない場合、量子チャネル１６のセキュリティは、ステップ１６２において、許容可能であるとみなされ、したがって、送信されたキュービットは、秘密共有鍵２６を決定するのに使用することができる。一方、実際には、（たとえ盗聴がなくても）必然的にいくつかのエラーはあるので、実際の結果がこれらの予測と完全に一致しない可能性が高い。したがって、ステップ１６０において、統計的分布が異なると判断された場合、相違の程度がステップ１６２において検討される。相違の程度が、あらかじめ設定されたしきい値と比較される。このあらかじめ設定されたしきい値は、統計的境界を、起こり得る盗聴／伝送エラーレベルに置くように選択される。相違がしきい値よりも大きくない場合、第１のフェーズのステップ４４のステージ２は、ステップ１６２に進むことができる。ステップ１６２において、量子チャネルのセキュリティは、許容可能であるとみなされる。そうでない場合、量子チャネルのセキュリティは、ステップ１６８において許容不可能とみなされ、送信者２０と目的とする受信者２４との間で秘密共有鍵２６を確立する第１のフェーズは、送信されたキュービットについては終了する。
【００５７】
測定結果の統計的分布が、送信者（Ａ）２０及び受信者（Ｂ）２４について量子理論から予測される方法を次に説明する。
【００５８】
或る特定のパルスについて、Ａが純粋なキュービット状態｜ａ＞を送信し、Ｂがベース｜ｂ＞、｜ｂ'＞において測定を実行するものと仮定する。ここで、＜ｂ｜ｂ'＞＝０である。
【００５９】
ここで使用される規約は、状態のすべてが正規化されている、すなわち、＜ａ｜ａ＞＝＜ｂ｜ｂ＞＝＜ｂ'｜ｂ'＞＝１であるということである。
【００６０】
次に、雑音等がないものと仮定して、Ｂが結果｜ｂ＞を得る確率は、｜＜ａ｜ｂ＞｜＾２であり、結果｜ｂ'＞の確率は｜＜ａ｜ｂ'＞｜＾２である。
【００６１】
このステージで使用されているパルスのサブセット全体の測定結果を調べることによって、Ｂは、（範囲０≦ｐ≦０．５の）ｐ及び（０．５−ｐよりも小さい）ｄｐのあらゆる特定の選択肢について、可能性の低い結果がｐと（ｐ＋ｄｐ）との間の確率を有する状態のリストを作成する。詳細には、Ｂは、ｄｐを小さく（たとえば、例示として０．０１）取り、０．５＝ｎ  ｄｐ（したがって、この例示ではｎ＝５０）となるように序数を０．５に取り、そのリストを、可能性の低い結果が以下の範囲の確率を有する状態のサブリストに分割する。
［０，ｄｐ］，［ｄｐ，２ｄｐ］，［２ｄｐ，３ｄｐ］，…，［（ｎ−１）ｄｐ，０，５］
【００６２】
次に、Ｂは、各サブリスト［ｒ  ｄｐ，（ｒ＋１）ｄｐ］について、実際の結果を調べ、可能性の低い結果が起こった頻度を確かめる。その頻度は、全体のおおよそ（（ｒ＋０．５）ｄｐ）に等しい割合で観測されているはずであり、その分布はほぼ２項分布であるので、Ｂは、それらの結果が各サブリストについて理論と一致するかどうかを検査することができる（この検査を実施することは当業者に十分に可能であるので、これは本明細書では詳細に説明しない）。より一般的には、Ｂは、サブリストの集まり全体について、結果が理論と一致するかどうかを統計的に検査することができ、一致しない場合、そのデータと一致する最大盗聴レベルの見積もりを与える不一致を統計的に見積もることができる（この場合も、当業者はこの統計的な手段を実施する方法を十分に知っている）。この不一致は、ステップ１６６において、所定のしきい値と比較される。
【００６３】
次に図８を参照して、次に第１のフェーズのステップ５６のステージ３の詳細を説明する。このステージに達すると、送信者（Ａ）２０は、自身の１組のキュービットのすべてを生成して、受信者（Ｂ）２４へ送信していることになり、受信者は、受信したキュービットの状態を測定していることになり、量子チャネルは、許容可能な盗聴レベルを有するように評価されていることになる。送信者（Ａ）２０は、まず、ステップ１８０において、受信者へ送信されたキュービットのすべてとして新たな１組のキュービットを決定する。この新たな１組のキュービットについては、ステップ４４のステージ２において、確認の情報は受信者（Ｂ）２４へ送信されない。実際の共有ランダム鍵２６が生成されるのは、この新たな１組のキュービットからである。
【００６４】
送信者（Ａ）２０は、ステップ１８２において、この新たな組の各キュービットのベースを記述する２進数列を求める。ここで、各２進数列は、以下に説明する手順のおかげで、対応するキュービットの状態が専らその２進数列からだけでは導出できないことを確保するのに十分なランダム度を有する。これに加えて、送信者は、ステップ１８４において、この新たな１組にあるキュービットの状態を記述するランダムなバイナリ値の自身の鍵列（図示せず）を導出する。この鍵列は、共有秘密鍵２６の送信者のバージョンを生成する基礎である。
【００６５】
受信者２４が共有秘密鍵２６の自身のバージョンを導出する手段を有するために、送信者２０は、ステップ１８６において、この新たな１組の各キュービットのベースを表す２進数列（ベースの記述）を受信者２４へ送信する。送信されたキュービットが基底の記述（basis description）の第１の基底要素又は第２の基底要素のいずれかとしてランダムに現れる基底の記述が選択される。正しいキュービットが現れる場所に関する選択は、等確率であり、各キュービットについて独立に行われる。リストの各キュービットについて、第１の基底要素は０に対応し、第２の基底要素は１に対応する。
【００６６】
基底の記述が属するキュービットの状態に関する明示的な情報はステップ１８６において送信されないことが理解されよう。ポイントは、キュービットが第１の基底要素（送信者の０のラベルに対応する）又は第２の基底要素のいずれかであり、これらが等確率であるということである。盗聴者２８の見地から、盗聴者がこの情報から知るすべては、キュービットが２つの基底状態の同じ割合の混合物であるということである。しかし、２つの直交する基底状態のあらゆる同じ割合の混合物は、同じ（混合された）量子状態に対応する。一方、この状態はランダムであり、この基底の記述だけからでは、受信者も第三者も導出することができないが、受信者（又は第三者）は、基底の記述及びキュービット状態の測定の組み合わせからキュービット状態に関するいくつかの情報を得ることができる。たとえば、基底が｜ａ＞、｜ａ'＞（通常通り、これらは、直交しており、且つ、正規化されている）であったと送信者２０が示し、受信者２４が基底｜ｂ＞、｜ｂ'＞で測定を行って解｜ｂ＞を得たとすると、受信者２４は、確率｜＜ａ｜ｂ＞｜＾２で送信された状態が｜ａ＞であり、確率｜＜ａ'｜ｂ＞｜＾２で送信された状態が｜ａ'＞であったことを知る。これは、｜ａ＞及び｜ａ'＞が等確率であったこと、及び、状態｜ａ＞、｜ａ'＞から｜ｂ＞を得る各確率が｜＜ａ｜ｂ＞｜＾２、｜＜ａ'｜ｂ＞｜＾２であることから得られる。
【００６７】
この送信は、公衆チャネル上で無線信号１８として行われる。次に、受信者２４は、この送信された情報を受信すると、ステップ１８８において、これらのベースの情報（２進数列）の統計的解析を実行して、送信者の鍵列に関するいくつかの統計的情報を導出する。次に、この情報は、ステップ１９０において、受信により使用され、送信者のバイナリ鍵列と相関された受信者自身のバイナリ鍵列が求められる。最後に、標準的な暗号化技法（エラー訂正方法や秘匿性増強方法等）がステップ１９２において使用されて、受信者のバイナリ鍵列から、短縮された共有ランダムバイナリ列が導出される。この短縮された共有ランダムバイナリ列は、送信者と受信者との間のその後の通信に実際の共有秘密鍵２６として使用される。
【００６８】
次に図９を参照して、本発明の第２の実施の形態を次に説明する。この第２の実施の形態は、第１の実施の形態と多くの点で類似しており、したがって、簡潔にするために、以下の説明は、それらの実施の形態の間の相違に限定することにする。第１の実施の形態と第２の実施の形態との主な相違は、第２の実施の形態における受信者の量子通信デバイス２００が、測定を実行する前に、或る時間の間、量子状態を記憶する能力を有するということである。光子ストレージは、現在、あまりよく開発された技術分野ではないが、高速に進歩している領域であり、発表された論文には、たとえば、平面鏡の複数の反射を使用することによって実際にストレージをどのように達成できるかを示すシステムが記載されている。図９は、受信者の通信デバイス２００を示している。この受信デバイス２００は、第１の実施の形態の図４に見られる他の要素に加えて光子ストレージユニット２０２を備える。第１の実施の形態の図４に見られる他の要素には、対応する参照番号が付されている。
【００６９】
このストレージは、目的とする受信者２４によって以下のように使用される。受信者の通信デバイス２００は、光子を受信すると、その量子状態を測定せずに、できるだけ長い間その光子の量子状態を保存することを目的として、その光子を光子ストレージユニット２０２に入れる。次に、受信者２４は、送信者２０が、その光子状態が属する基底に関する情報を受信者へ送信するのを待機する。これらは、第１の実施の形態と同様に、送信された実際の状態が等確率で第１の基底要素及び第２の基底要素となるようにランダムに符号化される。この選択は、各回においてランダムに行われ、従来のビット１及びビット０が、第１の基底要素及び第２の基底要素によってそれぞれ符号化される。この情報を受信した後においてのみ、受信者２４は光子の測定を実行する。受信された各光子の量子状態は、送信者２０が受信者２４に示した、その状態が属する基底において測定される。
【００７０】
盗聴もチャネル雑音も存在しない場合、これによって、有利なことに、送信者及び受信者は、送信された１光子キュービットあたり１ビットの割合で、ランダム共有鍵２６を生成することが可能になる。実際には、第１の実施の形態で説明した標準的な手順を通じて処理することによって、盗聴又は雑音の可能性が対応される。すなわち、状態の或るサブセットを使用してデータと一致した最大盗聴レベルの統計的境界を取得し、次いで、残りの状態を使用して秘匿性増強により共有秘密鍵を生成することによって、盗聴又は雑音の可能性が対応される。本明細書で説明したランダム配送通信プロトコルにおいて、受信者側でストレージを使用することの利点は、ストレージを使用することによって、所与の鍵ビット生成レートについてより大きなセキュリティレベルが提供され、同様に、所与のセキュリティレベルについてより大きな鍵ビット生成レートが提供されるということである。
【００７１】
上述した実施の形態のそれぞれでは、送信者２０及び受信者２４は、２次元状態のヒルベルト空間すべてを使用するのではなく、或る固定された実部分空間を使用することに同意することが可能である。この実部分空間は、ブロッホ球（図５参照）の大円上の状態に対応する。すなわち、ヒルベルト空間全体の２次元状態の実部分空間に対応する。たとえば、偏光された光子が使用されているので、送信者２０及び受信者２４は、水平方向に偏光された光子状態及び垂直方向に偏光された光子状態の実際の重ね合わせ（real superposition）のみを使用することを選択する。この新たな実施の形態では、送信者のランダムに選ばれたキュービット状態は、その実部分空間の一様な分布から得られ、受信者の選ばれた測定値も同様である。すでに述べたように、ランダムな選択は、１つ１つの偏光ごとに独立に行われる。
【００７２】
本発明の上述した複素バージョン（２次元状態）及び実バージョン（２次元状態の実部分空間）の双方に適用されるさらに別の変形では、送信者及び受信者が公衆無線チャネルをわたって交換する情報、及び、キュービットがバイナリ列の符号化に使用される方法を変更することができる。たとえば、それが、ステップ５６のステージ３において好都合である場合、受信者２４は、受信した各キュービットに対して受信者２４が実行した測定の記述を送信者２０へ公衆無線チャネル上で送信することができ、その結果、送信者及び受信者は共に、秘匿性増強前に、自身の各ランダム列がどのように相関するかを知る。この点で、受信者の通信デバイス１４は、送信者へ情報を返信するための無線送信機（図示せず）をさらに備えることになり、送信者の通信デバイス１２は、受信者の通信デバイス１４からの通信を受信するための無線受信機（図示せず）をさらに備えることになる。送信者へ戻るこの無線通信リンクは、送信者及び受信者が最大盗聴レベルを見積もることを可能にする、使用された統計的試験について送信者及び受信者が議論することをサポートするのに使用することもできる。さらに、送信者は、或るより複雑な符号化方式によって（たとえば、いくつかのキュービットを使用して、ランダム列の単一ビットを符号化することによって）送信されたキュービットから自身のランダム列を生成することもでき、無線チャネル上で部分情報のみを受信者へ送信することもできる。
【００７３】
上述したように、本実施の形態のほとんどの実用的な用途では、複数のベースが少なくともほぼ一様に分散されていることが好ましい。ヒルベルト空間における第１の複数のベースに多数のベースがある場合、それらベースをランダムに選ぶことによってこれを達成することができる。一方、選ぶベースが少ない場合、ベースがおおよそ一様に分散されている特定の幾何学的構成（たとえば、プラトニックソリッドによって画定されたもの）でベースを選ぶことによって一様な分散を確保することができる。これを達成する１つの通常の方法は、ブロッホ球に内接し、且つ、ブロッホ球と同心のプラトニックソリッドのコーナーを通過する１つのベクトルを有するようにベースのそれぞれの配置を行うことによるものである。これは、この方法のヒルベルト空間バージョンの複素バージョンに適用される。任意のＮ個のベースの実部分空間バージョンでは、大円のベクトルを角度ｐｉ／Ｎだけ隔てて取ることによって、それらベースを、正確に一様に分散するように選ぶことができる。
【００７４】
本発明の特定の好ましい実施の形態を説明してきたが、問題となっている実施の形態は、例示にすぎず、適切な知識及び技術の所有者に思い浮かぶような変形及び変更は、添付の特許請求の範囲に説明されたような本発明の精神及び範囲から逸脱することなく行えることが理解されよう。
【図面の簡単な説明】
【００７５】
【図１】本発明の第１の実施の形態によるメッセージの安全な通信に使用される二者の間の量子無線通信システムを示す概略図である。
【図２】図１のシステムを使用して安全な送受信プロトコルを実施することに含まれる異なる処理ステップを示すフロー図である。
【図３】送信者に設けられたデータ生成／送信装置を示す概略ブロック図である。
【図４】受信者に設けられたデータ受信／読み出し装置を示す概略ブロック図である。
【図５】ヒルベルト空間の一表現、及び、そのヒルベルト空間内における図３のデータ生成／送信装置によって生成された光子の量子状態を示す図である。
【図６】図２の図の第１の処理ステージを詳細に示すフロー図である。
【図７】図２の図の第２の処理ステージを詳細に示すフロー図である。
【図８】図２の図の第３の処理ステージを詳細に示すフロー図である。
【図９】本発明の第２の実施の形態による、受信者に設けられたデータ受信／読み出し装置を示す概略ブロック図である。
【符号の説明】
【００７６】
１０・・・通信システム
１２・・・送信者の通信デバイス
１４・・・受信者の通信デバイス
１６・・・光ファイバ通信リンク
１８・・・無線信号
２０・・・送信者
２２・・・文書
２４・・・受信者
２６・・・秘密共有鍵
２８・・・盗聴者
３０・・・盗聴デバイス
３２・・・変換接続
７０・・・強度の弱いコヒーレント光パルス光源又は単一光子光源（レーザ）
７６・・・光偏光ビームスプリッタ
８０・・・量子ビットファイバカプラ（送信機）
８２・・・マイクロプロセッサ
８４・・・データストア
８６・・・無線送信機
９０・・・マイクロプロセッサ
９２・・・量子ビットファイバカプラ（受信機）
９４・・・光偏光子
９６・・・単一光子検出器
９８・・・データストア
１００・・・無線受信機
２０２・・・光子ストレージ
【図１】
0004829788.tif 000002
【図２】
0004829788.tif 000003
【図３】
0004829788.tif 000004
【図４】
0004829788.tif 000005
【図５】
0004829788.tif 000006
【図６】
0004829788.tif 000007
【図７】
0004829788.tif 000008
【図８】
0004829788.tif 000009
【図９】
0004829788.tif 000010