(57)【要約】量子送信装置１００と量子受信装置２００とで予め秘密に共有されている秘密共有情報から生成した擬似乱数に基づいて、それぞれ量子変調或いは量子復調を行う。
2004030270.tif 000002
【特許請求の範囲】
【請求項１】
量子受信装置によって行われる擬似乱数の生成と同期して、量子受信装置と予め秘密に共有している秘密共有情報から第１の擬似乱数を生成する第１の擬似乱数生成部と、
予め定められた量子状態を持つキュビットを量子符号化する量子符号化部と、
上記量子符号化部が量子符号化したキュビットを上記第１の擬似乱数に基づいて量子変調する量子変調器とを備える量子送信装置。
【請求項２】
量子送信装置によって行われる擬似乱数の生成と同期して、量子送信装置と予め秘密に共有している秘密共有情報から第２の擬似乱数を生成する第２の擬似乱数生成部と、
量子送信装置から予め定められた量子状態を持つキュビットを送信され、送信されたキュビットを上記第２の擬似乱数に基づいて量子復調する量子復調器とを備える量子受信装置。
【請求項３】
キュビットを量子符号化し変調して送信する量子送信装置と送信されたキュビットを量子復調する量子受信装置とを備える量子暗号通信装置であって、
上記量子送信装置は、上記量子受信装置と予め秘密に共有している秘密共有情報から第１の擬似乱数を生成する第１の擬似乱数生成部と、
予め定められた量子状態を持つキュビットを量子符号化する量子符号化部と、
上記量子符号化部が量子符号化したキュビットを上記第１の擬似乱数に基づいて量子変調して上記量子受信装置に送信する量子変調器とを備え、
上記量子受信装置は、上記量子送信装置と予め秘密に共有している秘密共有情報から上記第１の擬似乱数の生成と同期して第２の擬似乱数を生成する第２の擬似乱数生成部と、
上記量子変調器から送信されたキュビットを受信し、受信したキュビットを上記第２の擬似乱数に基づいて量子復調する量子復調器とを備える量子暗号通信装置。
【請求項４】
上記量子受信装置は、さらに、
上記量子復調器によって量子復調されたキュビットを測定し、測定結果を出力する量子測定部を備える請求項３に記載された量子受信装置。
【請求項５】
上記量子送信装置は、さらに、
上記量子測定部によって出力された測定結果を受信する第１の古典通信部と、
上記第１の古典通信部によって受信された測定結果に基づいて、上記量子符号化部によって量子符号化されたキュビットを誤り訂正する第１の誤り訂正部を備え、
上記量子受信装置は、さらに、
上記量子符号化部によって量子符号化されたキュビットを受信する第２の古典通信部と、
上記第２の古典通信部によって受信されたキュビットに基づいて、上記量子測定部によって出力された測定結果を誤り訂正する第２の誤り訂正部とを備える請求項４に記載された量子暗号通信装置。
【請求項６】
上記第１の古典通信部は、上記量子受信装置の認証をせずに上記量子受信装置と通信し、
上記第２の古典通信部は、上記量子送信装置の認証をせずに上記量子送信装置と通信する請求項５に記載された量子暗号通信装置。
【請求項７】
上記量子暗号通信装置は、キュビットを所定期間に生成するキュビット生成部を上記量子送信装置または上記量子受信装置のいずれかに備え、
上記量子受信装置にキュビット生成部が備えられている場合には、キュビット生成部は、生成されたキュビットを上記量子符号化部に送信し、
上記量子符号化部は、上記キュビット生成部によって生成されたキュビットまたは送信されたキュビットのいずれかを量子符号化する請求項３に記載された量子暗号通信装置。
【請求項８】
上記量子受信装置は、さらに、
上記量子復調器によって量子復調されたキュビットを測定し、測定結果を出力する量子測定部を備え、
上記量子暗号通信装置は、上記キュビット生成部と上記量子変調器と上記量子復調器と上記量子測定部とをマッハ・ツェンダ干渉計によって構成する請求項７に記載された量子暗号通信装置。
【請求項９】
予め定められた量子状態を持つキュビットを量子符号化し、
予め秘密に共有している秘密共有情報から第１の擬似乱数を生成し、
上記生成された第１の擬似乱数に基づいて上記量子符号化したキュビットを量子変調し、
上記量子変調したキュビットを伝送し、
予め秘密に共有している秘密共有情報から上記第１の擬似乱数の生成と同期させて第２の擬似乱数を生成し、
上記生成された第２の擬似乱数に基づいて上記伝送したキュビットを量子復調する量子暗号通信方法。
【請求項１０】
上記量子暗号通信方法は、さらに、
上記量子復調したキュビットを測定し、測定した結果を送信し、
上記送信された測定結果に基づいて上記量子符号化されたキュビットを誤り訂正し、
上記量子符号化されたキュビットを送信し、
上記送信されたキュビットに基づいて上記測定結果を誤り訂正する請求項９に記載された量子暗号通信方法。
【発明の詳細な説明】
【技術分野】  この発明は、量子力学の不確定性原理に基づき盗聴者検知を行うことで秘匿性を保ちつつ乱数情報を共有する量子暗号通信装置および量子暗号通信方法に関するものである。
【背景技術】  図５の全体構成図は、例えば、１９８４年にＢｅｎｎｅｔｔとＢｒａｓｓａｒｄにより初めて提案された量子暗号（文献１：Ｃ．Ｈ．Ｂｅｎｎｅｔｔ  ａｎｄ  Ｇ．Ｂｒａｓｓａｒｄ，“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ  Ｋｅｙ  Ｄｉｓｔｒｉｂｕｔｉｏｎ  ａｎｄ  Ｃｏｉｎ  Ｔｏｓｓｉｎｇ，”ｉｎ  Ｐｒｏｃ．ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒｓ，Ｓｙｓｔｅｍｓ，ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，ＰＰ１７５−１７９，（１９８４），および，文献２：Ｃ．Ｈ．Ｂｅｎｎｅｔｔ，Ｆ．Ｂｅｓｓｅｔｔｅ，Ｇ．Ｂｒａｓｓａｒｄ，ａｎｄ  Ｌ．Ｓａｌｖａｉｌ，“Ｅｘｐｅｒｉｍｅｎｔａｌ  Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ，”  Ｊ．Ｃｒｙｐｔｏｌｏｇｙ，ｐｐ．３−２８，（１９９２））に代表される従来技術である。
図５において、量子送信装置１００は、量子暗号を用いて暗号文を送信する装置、量子受信装置２００は、量子暗号を用いて暗号文を受信する装置である。量子暗号通信路１は、量子送信装置１００から量子受信装置２００ヘキュビットを伝送する通信路である。
ここで、キュビットとは、任意の２準位状態：
2004030270.tif 000003
から構成され、その線形重ね合わせ
2004030270.tif 000004
も許す量子状態をいう。具体的には、量子暗号通信の分野では、光子の偏光状態、位相状態等がキュビットの状態を表すためによく用いられている。
古典通信網２は、量子送信装置１００と量子受信装置２００とを結び、従来から行われている通信方法で両装置間の通信を行う網である。
秘密共有情報３及び秘密共有情報２１は、量子送信装置１００と量子受信装置２００との間で予め秘密に共有されている情報である。量子暗号では、量子送信装置１００と量子受信装置２００とが秘匿性を保ちつつ、上記秘密共有情報よりはるかに大きなランダム情報を共有することを目的とする。
キュビット生成手段４は、予め定義されたキュビット
2004030270.tif 000005
を周期的に出力する。
乱数生成手段５は、第１の乱数ビットを出力する。
乱数生成手段６は、第２の乱数ビットを出力する。
量子符号化手段Ｘ７は、乱数生成手段５から出力された第１の乱数ビットに応じて、キュビット生成手段４によって生成されたキュビットを量子符号化する。その量子符号化ルールを以下に示す。
2004030270.tif 000006
上記ルール上のＸ変換はビットフリップ変換であり、パウリ行列のｘ成分が対応する。
量子変調手段Ｈ８は、乱数生成手段６から出力された第２の乱数ビットに応じて、量子符号化手段Ｘ７によって量子符号化されたキュビットを量子変調する。その変調ルールを以下に示す。
2004030270.tif 000007
2004030270.tif 000008
上記ルール上のＨ変換はアダマール変換であり、基底変換に対応する。
上述したように、２つの共役な十基底及び×基底を用いてキュビットを伝送するプロトコルをＢＢ８４プロトコルという。なお、２つの共役な＋基底及び×基底については後述する。
また、６状態量子暗号（文献３：Ｄ．Ｂｒｕｓｓ，“Ｏｐｔｉｍａｌ  Ｅａｖｅｓｄｒｏｐｐｉｎｇ  ｉｎ  Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ  ｗｉｔｈ  Ｓｉｘ  Ｓｔａｔｅｓ，”Ｐｈｙｓ．Ｒｅｖ．８１，ｐｐ．３０１８−３０２１，（１９９８））では、上述のＢＢ８４プロトコルが恒等変換とＨ変換との２つの変調ルールを用いてキュビット伝送していたのに対して、さらに、量子変調に用いる変換に
2004030270.tif 000009
を加えた３つの基底（変調ルール）で変調をかけることになる。この場合、０、１、２の３値をとる第２の乱数に対して上記３つの基底変換が選択される。
基底交換手段９は、乱数生成手段５によって出力された第１の乱数に対して、量子受信装置２００と古典通信を行い、ランダム共有情報を抽出する。
誤り訂正手段１０は、基底交換手段９によって出力されたランダム共有情報に対し、古典通信網２を介して量子受信装置２００と古典通信を行い、誤り訂正を実施する。
認証付古典通信手段１１は、基底交換手段９と誤り訂正手段１０が量子受信装置２００と古典通信を行うために設けられている。文献１及び文献２に明示されているように、認証付古典通信手段１１による認証には秘密共有情報３が用いられる。
秘匿性増強手段１２は、誤り訂正手段１０から出力された誤り訂正済みのランダム共有情報の秘匿性を増強する。
盗聴検知手段１３は、誤り訂正手段１０によって出力された付加情報から盗聴の有無を判断する。
秘密鍵１４は、秘匿性増強手段１２から出力され、量子受信装置２００との秘匿性を保ちつつ量子受信装置２００と共有される鍵である。
乱数生成手段２２は、第３の乱数ビットを出力する。
量子復調手段Ｈ２３は、量子暗号通信路１を通って伝送されたキュビットに対して、乱数生成手段２２から出力された第３の乱数ビットに応じて量子復調を実施する。その復調ルールを以下に示す。
2004030270.tif 000010
また、６状態量子暗号では、量子復調に用いる変換に
2004030270.tif 000011
を加えた３つの基底で復調をかけることになる。この場合、０、１、２の３値の乱数に対して上記３つの基底変換が選択される。
量子測定手段２４は、量子復調されたキュビットに対して、量子測定を行う。その測定結果は、
2004030270.tif 000012
を出力する。
具体的には、例えば、キュビットとして光子の偏光状態を用いる場合、偏光ビームスプリッタと２つの光子検出器を用いることで容易に実現できる。
基底交換手段２５は、量子測定手段２４によって出力された測定結果と乱数生成手段２２によって出力された第３の乱数に対して、量子送信装置１００と古典通信を行い、ランダム共有情報を抽出する。
誤り訂正手段２６は、基底交換手段２５から出力されたランダム共有情報に対して、量子送信装置１００と古典通信を行い、誤り訂正を実施する。
認証付古典通信手段２７は、基底交換手段２５と誤り訂正手段２６を実施するときに量子送信装置１００と古典通信を行うために設けられている。量子送信装置１００との認証には秘密共有情報２１が用いられる。
秘匿性増強手段２８は、誤り訂正済みのランダム共有情報の秘匿性を増強する。
盗聴検知手段２９は、誤り訂正手段２６によって出力された付加情報から盗聴の有無を判断する。
秘密鍵３０は、秘匿性増強手段２８から出力され、量子送信装置１００との秘匿性を保ちつつ量子送信装置１００と共有される鍵である。
次に動作について説明する。
図６の全体工程図は、文献１および文献２に代表される量子暗号通信方法の従来技術である。
全体工程は、量子暗号通信大工程（Ｓ１００）と古典データ処理大工程（Ｓ２００）の２つに大きく分けることができる。左側の処理は量子送信装置１００によって実行され、右側の処理は量子受信装置２００によって実行される。
量子暗号通信大工程（Ｓ１００）は、キュビット列を量子送信装置１００から量子受信装置２００へ伝送する工程である。キュビット毎に以下の６工程（Ｓ１１〜Ｓ１６）が繰り返される。
まず、キュビット生成工程（Ｓ１１）では、キュビット生成手段４が予め定義されたキュビット
2004030270.tif 000013
を周期的に生成する。
次に、量子符号化工程（Ｓ１２）では、乱数生成手段５によって出力された第１の乱数ビットに従い、量子符号化手段Ｘ７が生成されたキュビットを符号化していく。
量子変調工程（Ｓ１３）では、乱数生成手段６によって出力され第２の乱数ビットに従い、量子変調手段Ｈ８が符号化されたキュビットを変調していく。
この変調により、キュビットは互いに共役な２組の基底（＋基底及び×基底）で０、１を表現する４つの状態
2004030270.tif 000014
を持つ変調ビットになる。
量子伝送工程（Ｓ１４）では、上記変調ビットが、量子暗号通信路１を通して量子送信装置１００から量子受信装置２００へ伝送される。
量子復調工程（Ｓ１５）では、乱数生成手段２２によって出力された第３の乱数ビットに従い、量子復調手段Ｈ２３が伝送されたキュビット（変調ビット）を復調していく。
ここで、量子変復調で用いた恒等変換、アダマール変換が２度繰り返されると恒等変換になるという性質を利用すると、第２の乱数と第３の乱数が一致して、量子変復調に同じ変換が用いられたときのみ量子符号化され、量子変調されたキュビットが正しく量子復調されることがわかる。
量子測定工程（Ｓ１６）では、量子測定手段２４が量子復調されたキュビットを量子測定する。量子測定では、
2004030270.tif 000015
を出力する。従って、量子復調工程（Ｓ１５）で正しく量子復調されたときのみ、測定ビットと第１の乱数ビットが一致する。間違って量子復調された場合、測定ビットは確率１／２でしか第１の乱数ビットに一致しない。
以上、キュビット生成工程（Ｓ１１）から量子測定工程（Ｓ１６）までの６工程を全てのキュビットに対して繰り返した後、量子暗号通信大工程（Ｓ１００）は終了する。
古典データ処理大工程（Ｓ２００）では、以下の４工程が行われる。
まず、基底交換処理工程（Ｓ２１）では、量子暗号通信大工程（Ｓ１００）で実施されたキュビットの伝送で、量子変復調に用いた基底情報、第２の乱数ビット情報と第３の乱数ビット情報を量子送受信装置間で古典通信網２を介して交換する。この時、交換した基底情報が一致していれば正しい量子変復調が行われたことがわかる。よって、基底情報が一致し、正しい量子変復調が行われたキュビット伝送の第１の乱数ビットと量子測定ビットのみを摘出してランダム共有情報として出力する。基底情報の半分は一致しないため、量子送信装置１００から量子受信装置２００へ伝送されたキュビットの約半分が無効になる。文献３の６状態量子暗号では伝送されたキュビットの約２／３が無効になる。
この工程で用いられる古典通信においては、盗聴行為があってもよいが、第３者による改ざん・なりすましは防がなければならない。もし、なりすましを許すと盗聴者の所有する機器は、量子送信装置１００と量子受信装置２００を結ぶ量子暗号通信路１と古典通信網２のそれぞれの中継に入り、量子送信装置１００に対しては偽の量子受信装置２００として、量子受信装置２００に対しては偽の量子送信装置１００として振舞うことができる。よって、量子送信装置１００と盗聴者機器の間と盗聴者機器と量子受信装置２００の間で独立な秘密鍵を共有し、量子送信装置１００は盗聴者機器を正規の量子受信装置２００とみなして、量子暗号通信で共有した鍵で暗号文を送信し、盗聴者機器は量子送信装置１００と共有した鍵で暗号文を復号し、改めて、量子受信装置２００との間で共有した秘密鍵を用いて暗号化した後、量子受信装置２００に送信するような攻撃が可能となる。このため、第３者による改ざん・なりすましを防止するために、量子送受信装置間で予め秘密共有された秘密共有情報を使った認証を施さなければならない。
一般に、量子伝送工程（Ｓ１４）において、盗聴者機器が伝送されたキュビットを盗聴しても、量子変調に用いた基底情報を知らないため、必ずしも正しい量子復調ができない。もし、まちがった量子復調をおこなうと、伝送されたキュビットには、量子力学の不確定性原理により、全く間違った状態にあるキュビットに変化してしまうので盗聴の痕跡が残ることになる。
誤り訂正工程（Ｓ２２）では、基底交換処理工程（Ｓ２１）によって出力されたランダム共有情報から、量子送受信装置間の古典通信網２を介して盗聴を許すが、改ざん・なりすましを許さない古典通信をしながら、誤りを訂正していく。このため、量子送受信装置間で予め秘密共有された秘密共有情報を使った認証を施さなければならない。また、誤り訂正を行うが、第３者に漏れる情報量は小さく、秘匿性が保たれるようなデータ処理がなされる。このとき、付加情報として、ビットレート、ビット誤り率が出力される。この値の大小、変化等から盗聴の有無が判断される。
秘匿性増強処理工程（Ｓ２３）では、誤り訂正済みランダム共有情報にハッシュ関数を通して情報量的に情報の秘匿性を増強する。
秘密共有情報更新工程（Ｓ２４）では、秘匿性増強されたランダム共有情報の一部を使って、次回の量子暗号通信のために秘密共有情報を更新し、残ったランダム共有情報を秘密鍵として出力する。
また、量子暗号ではない、従来暗号における上記秘密共有情報からランダム共有情報を出力する手順について簡単に説明する。
この場合、送受信装置間で予め秘密に共有する秘密共有情報を暗号化鍵、復号鍵として、共通鍵ブロック暗号、ストリーム暗号等を用いて、上記秘密共有情報よりも大きなテンダム情報を暗号化通信し、秘匿性を保って、共有する。
しかし、従来暗号の場合においては盗聴検知機能がないので、盗聴者は暗号化されたランダム情報から、十分大きな計算量的処理を実施することが可能であれば、暗号解読が可能である。つまり、従来暗号においては、計算量的安全性のみに基づいて伝送されたランダム共有情報の秘匿性が担保される。一方、量子暗号においては、量子力学による盗聴検知機能に基づき、盗聴が検知されれば、その通信を破棄し、盗聴がないと確認されるまで通信を繰り返す等の処理を行い、盗聴がないと保証された伝送されたキュビットの情報量的安全性により秘匿性が担保されている。
従来の量子暗号通信装置および通信方法は、古典通信の際に予め用意した秘密共有情報を用いて認証を実施しなければならないという問題点と、量子暗号通信で得られた測定ビットから有効ビットを摘出するために送受信装置間で古典通信網を介して量子変復調の情報を交換するという基底交換を実施しなければならない、及び、それに伴い量子伝送したキュビット列のうち約半数（６状態量子暗号の場合は約２／３）が失われるという問題点があった。
また、従来暗号では、盗聴検知機能がないため、盗聴者の計算量的処理能力により、秘匿性が脅かされるという問題点がある。
この発明は、盗聴検知機能により伝送されたキュビットの情報量的安全性を保ちつつ、古典通信において認証が不要であり、また、基底交換も不要であり、さらに、伝送されたキュビットの全てを信号伝送に用いることのできる量子暗号通信装置および量子暗号通信方法を提供することを目的とする。
【発明の開示】
量子送信装置は、量子受信装置によって行われる擬似乱数の生成と同期して、量子受信装置と予め秘密に共有している秘密共有情報から第１の擬似乱数を生成する第１の擬似乱数生成部と、
予め定められた量子状態を持つキュビットを量子符号化する量子符号化部と、
上記量子符号化部が量子符号化したキュビットを上記第１の擬似乱数に基づいて量子変調する量子変調器とを備える。
【図面の簡単な説明】  図１は、実施の形態１の全体構成図である。
図２は、実施の形態１の量子暗号通信工程を示した図である。
図３は、実施の形態２の全体構成図である。
図４は、実施の形態３の全体構成図である。
図５は、量子暗号の全体構成を示した従来図である。
図６は、量子暗号の通信工程を示した従来図である。
【発明を実施するための最良の形態】実施の形態１．
図１は、実施の形態１の全体構成図である。
図１において、量子送信装置１００と量子受信装置２００とは、量子送信装置１００から量子受信装置２００へキュビットを伝送する量子暗号通信路１により接続されている。
古典通信網２は量子送受信装置間を結ぶ通信網である。
秘密共有情報３及び秘密共有情報２１は量子送受信装置間で予め共有されている秘密情報である。
量子送信装置１００の内部構成について説明する。
キュビット生成部４０は、予め定義されたキュビット
2004030270.tif 000016
を周期的に出力する。ここで、キュビットとして光子の偏光状態
2004030270.tif 000017
をとることも、キュビットとして干渉系を組んださいの位相状態をとることも、また、光子以外に電子など、任意の二準位状態を選ぶことも可能である。
光子の偏光状態をとった場合、光源からの出力口に偏光子をおくことで容易にこのようなキュビット生成部４０を実現できる。
乱数生成部５０は、第１の乱数ビットを出力する部である。
第１の擬似乱数生成部６０は、秘密共有情報３をシードとして第１の擬似乱数ビットを出力する部である。
量子符号化部７０は、キュビット生成部４０によって生成されたキュビットに対して、乱数生成部５０から出力された第１の乱数ビットに応じて量子符号化を実施する部である。その符号化ルールは、
2004030270.tif 000018
である。例えば、光子の偏光状態をキュビットとしてとった場合は、４５度偏光状態がＴＥ（ＴＲＡＮＳＶＥＲＳＥ  ＥＬＥＣＴＲＩＣ  ＰＯＬＡＲＩＺＡＴＩＯＮ  ＷＡＶＥ）モードで透過するように偏光変調器や位相変調器を設置し、第１の乱数ビットに従いＯＮ／ＯＦＦすることで容易に実現できる。
量子変調器８０は、量子符号化部７０によって量子符号化されたキュビットに対して、第１の擬似乱数生成部６０から出力された第１の擬似乱数ビットに応じて量子変調を実施する部である。その変調ルールは、
2004030270.tif 000019
である。Ｈ変換はアダマール変換であり、基底変換に対応する。
また、６状態量子暗号では、上述のＢＢ８４プロトコルが２つの共役な基底を用いてキュビット伝送していたのに対して、量子変調に用いる変換に
2004030270.tif 000020
を加えた３つの基底で変調をかけることになる。この場合、０、１、２の３値の第１の擬似乱数に対して上記３つの基底変換が選択される。具体的には、光子の偏光状態に上記のような変換を施すことは、位相変調器を用いて、位相変調器のＴＥモード面と偏光状態の水平偏光面を適当な角度になるように位相変調器を設置し、適当な位相変調をＴＥモードにのみかけることで容易に実現可能である。
第１の誤り訂正部９０は、乱数生成部５０から出力された第１の乱数に対して、量子受信装置２００と古典通信を行い、誤り訂正を実施する部である。この出力が誤り訂正済みランダム共有情報になる。
第１の古典通信部１３０は、第１の誤り訂正部９０が量子受信装置２００と古典通信を行うために設けられた部である。本実施の形態では、秘密共有情報３及び秘密共有情報２１から生成される擬似乱数を量子送信装置１００及び量子受信装置２００で共有しているため認証機能は必ずしも必要ではない。
第１の秘匿性増強部１１０は、誤り訂正済みランダム共有情報の秘匿性を増強する部である。
第１の盗聴検知部１２０は、第１の誤り訂正部９０によって出力される付加情報から盗聴の有無を判断する盗聴検知部である。
秘密鍵１４は、第１の秘匿性増強部１１０から出力され、量子受信装置２００との秘匿性を保ちつつ共有される鍵である。
次に、量子受信装置２００の内部構成について説明する。
第２の擬似乱数生成部２２０は、第１の擬似乱数生成部６０と同期して、秘密共有情報２１をシードとして第２の擬似乱数を出力する部である。
量子復調器２３０は、量子暗号通信路１を通って伝送されたキュビットに対して、第２の擬似乱数生成部２２０から出力された第２の擬似乱数ビットに応じて量子復調を実施する部である。その復調ルールは、
2004030270.tif 000021
である。
また、６状態量子暗号では、量子復調に用いる変換に
2004030270.tif 000022
を加えた３つの基底で復調をかけることになる。この場合、０、１、２の３値の第２の擬似乱数に対して上記３つの基底変換が選択される。
量子測定部２４０は量子復調されたキュビットに対して、量子測定を行う部である。その測定結果は、
2004030270.tif 000023
を出力する。
第２の誤り訂正部２５０は、量子測定部２４０から出力された測定結果に対して、量子送信装置１００と古典通信を行い、誤り訂正を実施する部である。この出力が誤り訂正済みランダム共有情報になる。
第２の古典通信部２６０は、第２の誤り訂正部２５０が量子送信装置１００と古典通信を行うために設けられた部である。第１の古典通信部１３０と同様に認証機能は必ずしも必要ない。
第２の秘匿性増強部２７０は、誤り訂正済みのランダム共有情報の秘匿性を増強する部である。
第２の盗聴検知部２８０は、第２の誤り訂正部２５０によって出力された付加情報から盗聴の有無を判断する部である。
秘密鍵３０は、第２の秘匿性増強部２７０から出力された量子送信装置１００との秘匿性を保ちつつ共有される鍵である。
次に動作について説明する。
図２は全体工程図である。
全体工程は、量子暗号通信大工程（Ｓ３００）と古典データ処理大工程（Ｓ４００）の２つに大きく分けることができる。
量子暗号通信大工程（Ｓ３００）では、キュビット列を量子送信装置から量子受信装置へ伝送する工程である。キュビット毎に以下の６工程が繰り返される。
キュビット生成工程（Ｓ３１）では、キュビット生成部４０が予め定義されたキュビット
2004030270.tif 000024
を周期的に生成する。
量子符号化工程（Ｓ３２）では、乱数生成部５０から出力された乱数ビットに従い、量子符号化部７０が生成されたキュビットを符号化していく。
量子変調工程（Ｓ３３）では、第１の擬似乱数生成部６０から出力された第１の擬似乱数ビットに従い、量子変調器８０が符号化されたキュビットを変調していく。この変調により、キュビットは互いに共役な２組の基底で０、１を表現する４つの状態
2004030270.tif 000025
になる。
量子伝送工程（Ｓ３４）では、こうした変調ビットを、量子暗号通信路１を通して量子送信装置１００から量子受信装置２００へ伝送する。
量子復調工程（Ｓ３５）は、第２の擬似乱数生成部２２０から出力された第２の擬似乱数ビットに従い、量子復調器２３０が伝送されたキュビットを復調していく。
本実施の形態では、量子変調工程（Ｓ３３）で生成された第１の擬似乱数ビットと量子復調工程（Ｓ３５）で生成された第２の擬似乱数ビットが同期している。このため、従来では、伝送されたキュビット列の約１／２（６状態量子暗号では２／３）が無効であったのに対し、本実施の形態による量子暗号通信方法によれば常に正しい量子復調がなされる。
量子測定工程（Ｓ３６）では、量子復調されたキュビットを量子測定する。量子測定では、
2004030270.tif 000026
を出力する。従って、量子復調工程（Ｓ３５）では常に正しく量子復調されるので、雑音や盗聴行為による擾乱が伝送中のキュビットに生じない限り、測定ビットは量子符号化工程（Ｓ３２）で生成された乱数ビットと常に一致する。
以上のＳ１１からＳ１６までの６工程を全てのキュビットに対して繰り返した後、量子暗号通信大工程（Ｓ３００）は終了する。
次に、古典データ処理大工程（Ｓ４００）では、以下の３工程が行われる。
誤り訂正処理工程（Ｓ４１）では、量子符号化工程（Ｓ３２）で生成された乱数ビットと量子測定工程（Ｓ３６）で測定した測定ビットから、量子送受信装置の古典通信網２を介して盗聴を許す古典通信をしながら、誤りを訂正していく。誤り訂正を行うが、第３者に漏れる情報量は小さく、秘匿性が保たれるようなデータ処理がなされる。このとき、付加情報として、ビットレート、ビット誤り率が出力される。この値の大小、変化等から盗聴の有無が判断される。当発明の場合、量子暗号通信大工程（Ｓ３００）において、秘密共有情報３及び秘密共有情報２１に基づき量子変復調が実施されているため、古典通信において、なりすまし・改ざんを許したとしても、整合性のある誤り訂正処理ができなく、盗聴者としてかならず検知できる。従って、従来技術でみられるような中継攻撃は成立しないので、古典通信における認証機能は必ずしも必要ない。
また、盗聴者が量子伝送工程（Ｓ３４）における伝送中のキュビットを盗聴する場合、量子変調情報を擬似ランダム性により予想できない上、量子符号化情報のランダム性も加わることで、量子力学により複製不可能性が証明されているキュビット１個から有意な情報を引き出すことは全く困難であり、その上、盗聴行為が必然的に引き起こす擾乱から、盗聴行為を検知することができる。
秘匿性増強処理工程（Ｓ４２）では、誤り訂正処理工程（Ｓ４１）によって出力された誤り訂正済みランダム共有情報にハッシュ関数を通して情報量的に秘匿性を増強する。
秘密共有情報更新工程（Ｓ４３）では、秘匿性増強されたランダム共有情報の一部を使って、次回の量子暗号通信のために秘密共有情報を更新し、残ったランダム共有情報を秘密鍵として出力する。
以上、本実施の形態では、互いに同時観測不可能な量子状態を用いて第１の信号伝送をおこなう量子通信路１と第２の古典情報データ通信を行う古典通信網２を用いて、量子力学により盗聴検知を行い、量子送信装置１００と量子受信装置２００は、予め安全に保持した秘密共有情報３及び秘密共有情報２１を使い古典通信においての改ざん、なりすましを防ぎ、安全かつ秘密に乱数データが共有できる量子暗号通信装置において、
量子暗号通信装置は、量子送信装置１００と量子受信装置２００とから構成され、
量子送信装置１００は、同一の量子状態のキュビットを定常的に生成できるキュビット生成部４と、キュビットに与える量子符号化の信号源となる乱数生成部５０と、秘密共有情報３をシードとし、当該シードから擬似乱数を生成していく第１の擬似乱数生成部６０と、乱数生成部５０から出力された乱数に応じて、キュビットに対して量子符号化を行う量子符号化部７０と、第１の擬似乱数生成部６０から出力された擬似乱数に応じて、キュビットに量子変調をかける量子変調器８０と、量子暗号通信終了後に、量子受信装置２００と古典通信を行いつつ秘匿性を保ったまま誤り訂正を実行する第１の誤り訂正部９０と、量子受信装置２００と誤り訂正処理を行うために、古典通信をおこなう第１の古典通信部１３０と、誤り訂正された秘密情報の秘匿性を増強する第１の秘匿性増強部１１０と、誤り訂正処理において出力された付加情報から盗聴検知をおこなう第１の盗聴検知部１２０を備える。
また、量子受信装置２００は、秘密共有情報２１をシードとし、当該シードから擬似乱数を生成していく第２の擬似乱数生成部２２０と、第２の擬似乱数生成部２２０から出力された擬似乱数に応じて、受信したキュビットに量子復調をかけることで復調をおこなう量子復調器２３０と、復調されたキュビットを測定し、古典ビットを出力する量子測定部２４０と、量子暗号通信終了後に、量子送信装置１００と古典通信を行いつつ秘匿性を保ったまま誤り訂正を実行する第２の誤り訂正部２５０と、量子送信装置１００と誤り訂正処理を行うために、古典通信をおこなう第２の古典通信部２６０と、誤り訂正された秘密情報の秘匿性を増強する第２の秘匿性増強部と、誤り訂正処理において出力された付加情報から盗聴検知をおこなう第２の盗聴検知部２８０とを備える。
また、本実施の形態に示す量子暗号通信方法は、キュビット生成部４０がキュビットを生成する生成工程と、生成されたキュビットに対して乱数生成部５０が生成した乱数ビットに従い量子符号化を行う量子符号化工程と、量子符号化を受けたキュビットに対して、第１の擬似乱数生成部６０が秘密共有情報３をシードとして生成した擬似乱数ビットに従い量子変調を行う量子変調工程と、量子変調を受けたキュビットに対して、量子通信路１を経由して量子送信装置１００から量子受信装置２００へ伝送する量子伝送工程と、受信したキュビットに対して量子復調を行う量子復調工程と、量子復調されたキュビットに対して、量子測定を行う量子測定工程までの工程群をキュビット毎に繰り返す量子暗号通信大工程と、
キュビット列を通信して得られた古典データに対して、古典通信網２を介して誤り訂正を行う誤り訂正処理工程と、誤り訂正がなされた古典データに対して、量子送受信装置が秘匿性増強を各個に行う秘匿性増強処理工程と、秘匿性増強を施された古典データに対して、その一部を秘密共有情報として更新する秘密共有情報更新工程までの工程群からなる古典データ処理大工程を備えたことを特徴とする。
本実施の形態では、量子送受信装置間で秘密共有情報をシードとし同期をとって出力する擬似乱数ビットに従って量子変復調がなされているので、従来存在していた基底交換部および基底交換処理工程を省くことができる。
このため、伝送されたキュビット列の約１／２（６状態量子暗号では２／３）を無効にすることなく、すべてのキュビットを有効利用でき、ビットレートを従来技術の２倍（もしくは３倍）という高速性を実現することができる。
特に、安全性を担保する許容ビットエラーレートが、ＢＢ８４プロトコル（１１％）に比べて高い６状態量子暗号（１２．７％）において（文献４：Ｈ．−Ｋ．Ｌｏ，“Ｐｒｏｏｆ  ｏｆ  ｕｎｃｏｎｄｉｔｉｏｎａｌ  ｓｅｃｕｒｉｔｙ  ｏｆ  ｓｉｘ−ｓｔａｔｅ  ｑｕａｎｔｕｍｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ｓｃｈｅｍｅ，”ｑｕａｎｔ−ｐｈ／０１０２１３８  ＬＡＮＬ−ｐｒｅｐｒｉｎｔ）、従来技術では伝送効率が１／３と低くなっていたのが、当発明では伝送効率が３倍となり、ＢＢ８４プロトコルと遜色のない伝送効率を実現できる。
また、量子送受信装置間で予め共有している秘密共有情報を使って量子変復調を行っているので、量子暗号通信大工程（Ｓ３００）において認証が行われているの等しく、従来技術のように古典データ処理大工程（Ｓ４００）において改めて認証通信を実行する必要がない。
また、盗聴検知機能により、盗聴の有無が確認できるため、盗聴無しのときの伝送されたキュビットの情報量的安全性が担保されるので、計算量的安全性には依存する従来暗号に比べて極めて安全なランダム情報の秘匿共有が可能である。
本実施の形態では、具体例として、任意のキュビットの偏光状態を採用して量子暗号通信を実現した。しかし、任意のキュビットの位相状態を採用して量子暗号通信を行うこともできる。
実施の形態２．
本実施の形態では、キュビットとして光子の位相状態を採用し、マッハ・ツェンダ干渉計を用いて量子暗号通信をする実施形態を示す。
図３は、実施の形態２の全体構成図である。マッハ・ツェンダ干渉計９００は、キュビット生成部４０、第１の位相変調器８１、量子通信路１０１、量子通信路１０２、量子測定部２４０、第２の位相変調器２３１から構成される。実施形態１との構成上の違いは、キュビット生成部、量子符号化部、量子変調器、量子通信路、量子復調器、量子測定部の構成である。
以下、実施の形態１と違う構成部分を説明する。
キュビット生成部４０は、単一光子源７００、ビームスプリッタ３５０、ミラー４００で構成されている。
単一光子源７００から出た光子は、ビームスプリッタ３５０およびミラー４００で２つの光路に分割される。上側の量子通信路１０１に光子のある状態を
2004030270.tif 000027
下側の量子通信路１０２に光子のある状態を
2004030270.tif 000028
とおくと、生成されるキュビットは、
2004030270.tif 000029
とかける。
第１の位相変調器８１は、実施の形態１の量子符号化部と量子変調器に対応する。第１の位相変調器８１は、乱数生成部５０から出力される第１の乱数ビットおよび第１の擬似乱数生成部６０から出力される第１の擬似乱数ビットに従って、生成キュビットを、
2004030270.tif 000030
に量子符号化及び量子変調する。
量子符号化及び量子変調されたキュビットは、量子通信路１０１を通って量子受信装置２００に量子伝送される。
伝送されたキュビットは、第１の擬似乱数生成部６０と同期した第２の擬似乱数生成部２２０から出力される第２の擬似乱数ビットに従って、実施の形態１の量子復調器に対応する第２の位相変調器２３１により、以下に示すルールで量子復調される。
2004030270.tif 000031
このとき、上述の通り、第１の擬似乱数ビットと第２の擬似乱数ビットとは一致しているため、上記量子復調されたキュビットは、第１の乱数ビットに従い、
2004030270.tif 000032
となっている。
ミラー２４１、ビームスプリッタ２４２、第１の光子検出器２４３、第２の光子検出器２４４で構成される量子測定部２４０では、
2004030270.tif 000033
することになる。
上記以外の構成は、実施の形態１と全く同じである。
以上のように、キュビットとして光子の位相状態を採用し、マッハ・ツェンダ干渉計９００を用いて量子暗号通信をした場合にも、従来存在していた基底交換部および基底交換処理工程を省略し、すべてのキュビットを有効利用することで、量子暗号通信の高速性を実現することができる。
実施の形態３．
以上の実施形態では、キュビット生成部が量子送信装置１００内に設置されていた。本実施の形態では、量子受信装置２００内におかれるような形態（文献５：Ｇ．Ｒｉｂｏｒｄｙ，Ｊ．−Ｄ．Ｇａｕｔｉｅｒ，Ｎ．Ｇｉｓｉｎ，Ｏ．Ｇｕｉｎｎａｒｄ，Ｈ．Ｚｂｉｎｄｅｎ，“Ａｕｔｏｍａｔｅｄ“Ｐｌｕｇ  ＆  Ｐｌａｙ”Ｑｕａｎｔｕｍ  Ｋｅｙ  Ｄｉｓｔｒｉｂｕｔｉｏｎ，”Ｅｌｅｃｔｒｏｎｉｃｓ  Ｌｅｔｔ．３４，ＰＰ．２１１６−２１１７，（１９９８））でも実現できる。
図４は、実施の形態３の全体構成図である。本実施の形態では、図４に示すように量子通信路として量子送受信装置間の往路と復路を別々に設置した（往路の量子通信路１０５、復路の量子通信路１０６）。しかし、ビームスプリッタやファラディーミラー等の光路制御部を用いて同一の光路をとるような形態をとることも可能である。
また、図４では、量子復調器２３０は、復路の量子通信路１０６中に設置されているが、往路の量子通信路１０５中に設置されていてもよい。
本実施の形態では、他の実施の形態と同様な効果を得ることができる。また、キュビット生成部４０を量子受信装置２００に備えることで、量子送信装置１００の処理負担を軽減することができる。
【産業上の利用可能性】  本発明によれば、装置間で基底を交換する処理を省くことができる。
また、キュビットの有効利用を図ることができる。
また、古典通信において改めて認証通信の実行を不要とすることができる。
また、安全なランダム情報の秘匿共有が可能である。
【図１】
2004030270.tif 000034
【図２】
2004030270.tif 000035
【図３】
2004030270.tif 000036
【図４】
2004030270.tif 000037
【図５】
2004030270.tif 000038
【図６】
2004030270.tif 000039
【国際調査報告】
2004030270.tif 000040
2004030270.tif 000041