(57)【特許請求の範囲】
【請求項１】
量子鍵配送を行う送信側の通信装置と受信側の通信装置の間で、前記送信側の通信装置が、二種類の既存のプロトコルで用いられる量子状態の中から、弱コヒーレント光の量子状態をランダムに選択し、量子通信路を介して、選択した量子状態を持つ前記弱コヒーレント光のパルスで量子鍵を配送する量子鍵配送システムにおいて使用される量子鍵配送方式であって、
前記送信側の通信装置が、前記二種類の既存のプロトコルの使用割合を前記弱コヒーレント光の送信側の通信装置と受信側の通信装置との間の通信距離に応じて定め、
前記二種類の既存のプロトコルは、貯蔵攻撃に対して脆弱性のあるＢＢ８４プロトコルと、完全判別遮断再送攻撃に対して脆弱性のあるＳＡＲＧプロトコルである
ことを特徴とする量子鍵配送方式。
【請求項２】
前記貯蔵攻撃に対しては前記ＢＢ８４プロトコルより頑強となり、前記完全判別遮断再送攻撃に対しては前記ＳＡＲＧプロトコルより頑強となるように、前記二種類の既存のプロトコルの使用割合が前記通信距離に応じて定められることを特徴とする請求項１記載の量子鍵配送方式。
【請求項３】
前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数をμとし、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数を２μとした場合において、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合よりも盗聴者の取りうる相互情報量が少なくなる最小の距離をｍとし、前記盗聴者の取りうる相互情報量が１未満となる最大の距離をＭとし、前記通信距離をＬ（但し、ＬはｍとＭの間の値をとる）としたときに、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルの使用割合ａをａ≦（Ｌ−ｍ）／（Ｍ−ｍ）（但し、aは０と１を除いた値）で定め、平均光子数をμ×２／（１＋ａ）で定めることを特徴とする請求項１に記載の量子鍵配送方式。
【請求項４】
前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ]であり、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ]である場合、Ｍ＝１２５ｋｍ，ｍ＝８７．５ｋｍとして、前記使用割合aをａ≦（L−８７．５）／（１２５−８７．５）（但し、aは０と１を除いた値であり、Ｌは８７．５ｋｍと１２５ｋｍの間の値をとる）で定め、平均光子数を０．２／（１＋ａ）で定めることを特徴とする請求項３に記載の量子鍵配送方式。
【請求項５】
前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数をμとし、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数を２μとした場合において、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合よりも盗聴者の取りうる相互情報量が少なくなる最小の距離をｍとし、前記盗聴者の取りうる相互情報量が１未満となる最大の距離をＭとし、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合に前記盗聴者の取りうる相互情報量が１未満となる最大の距離をｎとし、前記通信距離をＬ（但し、ＬはｎとＭの間の値をとる）としたときに、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルの使用割合ａをａ≦（Ｌ−ｍ）／（Ｍ−ｍ）（但し、aは０と１を除いた値）で定め、平均光子数をμ×２／（１＋ａ）で定めることを特徴とする請求項１に記載の量子鍵配送方式。
【請求項６】
前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ]であり、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ]である場合、Ｍ＝１２５ｋｍ，ｍ＝８７．５ｋｍ，ｎ＝１００ｋｍとして、前記使用割合aをａ≦（L−８７．５）／（１２５−８７．５）（但し、aは０と１を除いた値であり、Ｌは１００ｋｍと１２５ｋｍの間の値をとる）で定め、平均光子数を０．２／（１＋ａ）で定めることを特徴とする請求項５に記載の量子鍵配送方式。
【請求項７】
量子鍵配送を行う送信装置と受信装置の間で秘密鍵を共有するための通信方法であって、
前記送信装置が、二種類の既存のプロトコルで用いられる量子状態の中から、弱コヒーレント光の量子状態をランダムに選択するステップと、
前記送信装置が、量子通信路を介して、選択した量子状態を持つ前記弱コヒーレント光を前記受信装置に送信するステップと、
前記受信装置が、前記二種類の既存のプロトコルで用いられる基底のいずれかを用いて前記弱コヒーレント光の量子状態を観測するステップと、
前記送信装置が、前記二種類の既存のプロトコルのうちの一方のプロトコルを使用することを示す第１の値または前記二種類の既存のプロトコルのうちの他方のプロトコルを使用することを示す第２の値をとる乱数を発生させるステップと、
前記乱数が前記第１の値である場合に、前記送信装置が、古典通信路を介して、前記一方のプロトコルに従った古典情報を前記受信装置に送信し、前記乱数が前記第２の値である場合に、前記送信装置が、前記古典通信路を介して、前記他方のプロトコルに従った古典情報を前記受信装置に送信するステップと、
前記受信装置が、前記送信者から送信された古典情報を元に該古典情報が前記二種類の既存のプロトコルのうちのいずれに従ったものであるかを決定し、決定されたプロトコルに従って前記送信装置から受信した前記弱コヒーレント光の量子状態を判別するステップと、
前記判別が行えない場合に、前記送信装置及び前記受信装置が前記量子状態を破棄するステップと、
前記判別が行える場合に、前記送信装置及び前記受信装置が、前記決定されたプロトコルに従って、判別された量子状態と古典情報とを対応させて、前記送信装置と前記受信装置との間で秘密鍵を共有するステップと
を有し、
前記二種類の既存のプロトコルは、貯蔵攻撃に対して脆弱性のあるＢＢ８４プロトコルと、完全判別遮断再送攻撃に対して脆弱性のあるＳＡＲＧプロトコルである
ことを特徴とする通信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、（量子暗号を用いて秘密鍵を配送する）量子鍵配送プロトコルに関して、特に、弱コヒーレント光で実装して量子鍵配送を行うときに使用される量子鍵配送プロトコルに関する。
本願は、２００４年８月３１日に出願された特願２００４−２５３２６６号に対して優先権を主張するものであって、その内容をここに援用する。
【背景技術】
【０００２】
従来より、レーザ光線などのような干渉性を持ち波長や位相の揃ったコヒーレント光を用いて量子鍵配送が行われている。このとき、量子鍵配送を弱コヒーレント光で実装した場合は、無視できない高い確率で多光子が発生する。このように弱コヒーレント光で量子鍵配送を行うと、光子検出器の光子検出確率は光子数に対して正比例し、通信路の光子損失率に対して反比例する。また、光子損失率は距離に対して正比例する。尚、以下の説明では、弱コヒーレント光の送信者をアリス、受信者をボブと呼ぶことにする。【０００３】
光子数分割攻撃とは、多光子が発生した場合に原理的に行うことが可能な攻撃である。例えば、下記の非特許文献１に、光子数分割攻撃として「貯蔵攻撃」と「完全判別遮断再送攻撃」が述べられている。「貯蔵攻撃」とは、多光子が含まれているパルスから光子を一部分離して量子メモリに格納し、残りの光子を無損失通信路でボブに送り、その後のアリスとボブの通信内容から量子メモリに格納した光子に対して適切な観測を行うことで秘密鍵の情報を得る攻撃である。また、「完全判別遮断再送攻撃」とは、多光子が含まれているパルスに対して多光子一括測定を行うことで、ある確率でどの量子状態であるかを確実に判別することができ、判別できた場合に新しい量子状態を生成して無損失通信路を介してボブに送る攻撃である。【０００４】
光子数分割攻撃を行った場合、光子検出器の光子検出確率は攻撃者がボブに送る光子数に対して正比例する。このとき、攻撃が行われない場合の光子検出確率と同じになるように攻撃者が攻撃の頻度を制御することによって、攻撃者は攻撃の事実を検知されずに攻撃を成功させることができる。特に、長距離の量子鍵配送では、通信路の光子損失率が高くなって光子検出確率が低くなる。この結果、攻撃者の攻撃の頻度が高くなり、攻撃者に漏れる鍵の相互情報量（つまり、漏洩情報量）が高くなる。【０００５】
非特許文献１で提案されているＢＢ８４プロトコルが貯蔵攻撃に対して脆弱であることを解決するために、非特許文献２などではＳＡＲＧプロトコルが提案されている。ＢＢ８４プロトコルとＳＡＲＧプロトコルは古典通信路の通信内容と鍵の篩い分け方法が異なる。それに伴い、１パルスあたりの鍵の生成効率がＳＡＲＧプロトコルはＢＢ８４プロトコルの半分しかない。そこでＳＡＲＧプロトコルを弱コヒーレント光で実装する際には、鍵の生成効率をＢＢ８４プロトコルと同じにするためにコヒーレント光の強度を２倍に高めて（つまり、１パルスあたりの平均光子数を２倍に増やして）いるが、それでもＳＡＲＧプロトコルはＢＢ８４プロトコルより貯蔵攻撃に対して頑強であることが示されている。また、これら二つのプロトコルを用いた場合、安全な通信が可能である距離に限界があるという問題が知られている。例えば非特許文献２では、ＢＢ８４プロトコル，ＳＡＲＧプロトコルを用いた場合、通信距離がそれぞれ５０ｋｍ以上，１００ｋｍ以上のときには安全な通信を行えないことが示されている。
【非特許文献１】C. H. Bennett, G. Brassard, “Quantum Cryptography: Public Key Distribution and Coin Tossing”, Proceedings of IEEE Conference on Computers, Systems and Signal Processing, pp. 175-179, 1984
【非特許文献２】V. Scarani, A. Acin, G. Ribordy, N. Gisin, “Quantum Cryptography Protocol Robust against Photon Number Splitting Attacks for Weak Laser Pulse Implementations”, Physical Review Letters, vol. 92 no. 5, 2004
【非特許文献３】Charles H. Bennett, Gilles Brassard, Claude Crepeau, and Ueli M. Maurer, “Generalized Privacy Amplification”, IEEE Transaction on Information Theory, vol. 41, no. 6, pp. 1915-1923, Nov 1995
【発明の開示】
【発明が解決しようとする課題】
【０００６】
しかしながら、攻撃者が完全判別遮断再送攻撃のみを行うと想定した場合は、コヒーレント光の強度を高めていることが理由となり、結果的には、ＳＡＲＧプロトコルがＢＢ８４プロトコルより脆弱になってしまう。つまり、弱コヒーレント光の強度を高めていくために多光子発生確率が高くなって攻撃者がボブに送る光子数も高くなる。したがって、光子数分割攻撃を行った場合に攻撃者の攻撃の頻度が高くなって、攻撃者に漏れる鍵の相互情報量（つまり、漏洩情報量）が高くなってしまう。【０００７】
本発明は、以上のような問題点に鑑みてなされたものであり、ＢＢ８４プロトコルとＳＡＲＧプロトコルの利点を利用することにより、攻撃者が光子数分割攻撃を行った場合に同一距離における漏洩情報量の最大値をＢＢ８４プロトコルやＳＡＲＧプロトコルより少なく抑えることができる量子鍵配送プロトコルを提供することを目的とする。
【課題を解決するための手段】
【０００８】
本発明による量子鍵配送プロトコルは、弱コヒーレント光のパルスで実装された量子鍵配送システムにおいて使用される量子鍵配送プロトコルであって、二種類の既存のプロトコルの使用割合を前記弱コヒーレント光の送信者と受信者との間の通信距離に応じて定めている。【０００９】
また、本発明による量子鍵配送プロトコルにおいては、前記二種類の既存のプロトコルは、貯蔵攻撃に対して脆弱性のあるＢＢ８４プロトコルと、完全判別遮断再送攻撃に対して脆弱性のあるＳＡＲＧプロトコルであることが好ましい。【００１０】
また、本発明による量子鍵配送プロトコルにおいては、貯蔵攻撃に対してはＢＢ８４プロトコルより頑強となり、完全判別遮断再送攻撃に対してはＳＡＲＧプロトコルより頑強となるように、前記二種類の既存のプロトコルの使用割合が前記通信距離に応じて定められることが好ましい。【００１１】
また、本発明による量子鍵配送プロトコルにおいては、前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数をμとし、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数を２μとした場合において、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合よりも盗聴者の取りうる相互情報量が少なくなる最小の距離をｍとし、前記盗聴者の取りうる相互情報量が１未満となる最大の距離をＭとし、前記通信距離をＬ（但し、ＬはｍとＭの間の値をとる）としたときに、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルの使用割合ａをａ≦（Ｌ−ｍ）／（Ｍ−ｍ）（但し、aは０と１を除いた値）で定め、平均光子数をμ×２／（１＋ａ）で定めることが好ましい。これにより、ＢＢ８４プロトコル及びＳＡＲＧプロトコルのいずれのプロトコルよりも秘密鍵の生成効率を上げることが可能となる。【００１２】
この場合において、前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ] であり、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ]である場合、Ｍ＝１２５ｋｍ，ｍ＝８７．５ｋｍとして、前記使用割合aをａ≦（L−８７．５）／（１２５−８７．５）（但し、aは０と１を除いた値であり、Ｌは８７．５ｋｍと１２５ｋｍの間の値をとる）で定め、平均光子数を０．２／（１＋ａ）で定められる。【００１３】
また、本発明による量子鍵配送プロトコルにおいては、前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数をμとし、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数を２μとした場合において、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合よりも盗聴者の取りうる相互情報量が少なくなる最小の距離をｍとし、前記盗聴者の取りうる相互情報量が１未満となる最大の距離をＭとし、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルをそれぞれ単独で用いた場合に前記盗聴者の取りうる相互情報量が１未満となる最大の距離をｎとし、前記通信距離をＬ（但し、ＬはｎとＭの間の値をとる）としたときに、前記ＢＢ８４プロトコル及び前記ＳＡＲＧプロトコルの使用割合ａをａ≦（Ｌ−ｍ）／（Ｍ−ｍ）（但し、aは０と１を除いた値）で定め、平均光子数をμ×２／（１＋ａ）で定めることが好ましい。これにより、ＢＢ８４プロトコル及びＳＡＲＧプロトコルをそれぞれ単独で用いたのでは不可能であった距離ｎを越える安全な通信が可能となる。また、上述したのと同様に、ＢＢ８４プロトコル及びＳＡＲＧプロトコルのいずれのプロトコルよりも秘密鍵の生成効率を上げることが可能となる。【００１４】
この場合において、前記ＢＢ８４プロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ] であり、前記ＳＡＲＧプロトコルを単独で用いたときの弱コヒーレント光のパルス中の平均光子数が０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ]である場合、Ｍ＝１２５ｋｍ，ｍ＝８７．５ｋｍ，ｎ＝１００ｋｍとして、前記使用割合aをａ≦（L−８７．５）／（１２５−８７．５）（但し、aは０と１を除いた値であり、Ｌは１００ｋｍと１２５ｋｍの間の値をとる）で定め、平均光子数を０．２／（１＋ａ）で定められる。【００１５】
量子鍵配送を行う送信者と受信者の間で秘密鍵を共有するための本発明の通信方法は、前記送信者が、二種類の既存のプロトコルで用いられる量子状態の中から、弱コヒーレント光の量子状態をランダムに選択するステップと、前記送信者が、量子通信路を介して、選択した量子状態を持つ前記弱コヒーレント光を前記受信者に送信するステップと、前記受信者が、前記二種類の既存のプロトコルで用いられる基底のいずれかを用いて前記弱コヒーレント光の量子状態を観測するステップと、前記送信者が、前記二種類の既存のプロトコルのうちの一方のプロトコルを使用することを示す第１の値または前記二種類の既存のプロトコルのうちの他方のプロトコルを使用することを示す第２の値をとる乱数を発生させるステップと、前記乱数が前記第１の値である場合に、前記送信者が、古典通信路を介して、前記一方のプロトコルに従った古典情報を前記受信者に送信し、前記乱数が前記第２の値である場合に、前記送信者が、前記古典通信路を介して、前記他方のプロトコルに従った古典情報を前記受信者に送信するステップと、前記受信者が、前記送信者から送信された古典情報を元に該古典情報が前記二種類の既存のプロトコルのうちのいずれに従ったものであるかを決定し、決定されたプロトコルに従って前記送信者から受信した前記弱コヒーレント光の量子状態を判別するステップと、前記判別が行えない場合に、前記送信者及び前記受信者が前記量子状態を破棄するステップと、前記判別が行える場合に、前記送信者及び前記受信者が、前記決定されたプロトコルに従って、判別された量子状態と古典情報とを対応させて、前記送信者と前記受信者との間で秘密鍵を共有するステップとを有している。
【発明の効果】
【００１６】
本発明の量子鍵配送プロトコルによれば、弱コヒーレント光で既存のプロトコルを単独で用いるよりも安全な量子鍵配送システムを構築することができ、弱コヒーレント光を用いた量子鍵配送の通信距離の安全限界をさらに伸ばすことができる。また、光子数分割攻撃において、攻撃者に漏れる秘密鍵に関する相互情報量（漏洩情報量）を既存のプロトコルを単独で用いるよりも少なくすることができる。さらに、物理的な新技術を待たずに、既存の量子鍵配送システムを使って容易に本発明の量子鍵配送プロトコルを実現することができる。
【図面の簡単な説明】
【００１７】
【図１】本発明の実施の形態における量子鍵配送プロトコルの実行の流れを示すフローチャートである。
【図２】図１の続きのフローチャートである。
【図３】光子数分割攻撃に対する公知技術と本発明の頑強性を比較した特性図である。
【図４】ＢＢ８４プロトコルとＳＡＲＧプロトコルの使用割合ａを変化させた場合の光子数分割攻撃に対する頑強性を比較した特性図である。
【図５】光子数分割攻撃に対して最も頑強となるように使用割合ａを変化させた場合の頑強性の関係を表わす特性図である。
【図６】ＢＢ８４プロトコル及びＳＡＲＧプロトコルに関する通信距離と漏洩情報量の関係，本発明のプロトコルにおいて使用割合ａを通信距離に応じて最適な値に変化させた場合の通信距離と漏洩情報量の関係，本発明のプロトコルにおいて８７．５ｋｍ超の通信における使用割合ａの最適な値およびその直線近似を示した特性図である。
【図７】本発明の実施の形態による量子鍵配送プロトコルを実現するための量子鍵配送システムの構成を示すブロック図である。
【図８】本発明の実施の形態で用いられる乱数生成器の詳細な構成を示すブロック図である。
【符号の説明】
【００１８】
１  ビームスプリッタ
２  位相変調器
３  平衡型フォトダイオード
４  レーザ光発生器
５  ファラデーミラー
６  同期用光送受信機
７  同期用光注入／分配器
８  アッテネータ
９  光サーキュレータ
１０  コアカプラー
１１  アリス側電子制御回路
１２  ボブ側電子制御回路
１３  アリス側計算機
１４  ボブ側計算機
１５  乱数生成器   
【発明を実施するための最良の形態】
【００１９】
＜発明の概要＞
（量子暗号を用いて秘密鍵を配送する）量子鍵配送プロトコルにおいて、量子状態を弱コヒーレント光のパルスで実装した場合には無視できない確率で多光子が発生する。また、長距離通信における光子の損失と組み合わせることにより、光子数分割攻撃と呼ばれる攻撃が原理的に行われうることが知られている。この結果、秘密鍵に関する盗聴が可能となり、長距離通信において安全な量子鍵配送が不可能という問題が起こる。そこで、この問題を解決するために、本発明の量子鍵配送プロトコルでは、既存のＢＢ８４プロトコルとＳＡＲＧプロトコルを通信距離に応じて定まる割合に従って使い分ける。この結果、これまで知られていた既存のプロトコル（つまり、ＢＢ８４プロトコルとＳＡＲＧプロトコル）よりも光子数分割攻撃に対して頑強なプロトコルを実現することができる。これによって、これまで不可能であった長距離量子鍵配送が実現できる。また、２つのプロトコルを使い分ける使用割合ａは、例えば、ＢＢ８４プロトコル単独で用いる平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］（ＳＡＲＧプロトコル単独では平均光子数が０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ］に相当）であって通信距離がＬ（＞８７．５ｋｍ）である場合、ａ≦（Ｌ−８７．５）／（１２５−８７．５）で定める。この時に用いる平均光子数は０．２／（１＋ａ）で定める。なお、ＳＡＲＧプロトコルはａ＝０とした場合と同じであり、ＢＢ８４プロトコルはａ＝１とした場合と同じになる。また、通信距離Ｌが８７．５ｋｍ以下の場合には使用割合ａ＝０と定める。【００２０】
すなわち、本発明では、ＢＢ８４プロトコルとＳＡＲＧプロトコルをランダムに使い分けることにより、「貯蔵攻撃」に対してはＢＢ８４プロトコルより頑強であり、「完全判別遮断再送攻撃」に対してＳＡＲＧプロトコルより頑強となる量子鍵配送プロトコルを実現している。その結果、弱コヒーレント光で長距離量子鍵配送を実装したとき、攻撃者が光子数分割攻撃を行った場合に、同一距離における漏洩情報量の最大値をＢＢ８４プロトコルやＳＡＲＧプロトコルより少なく抑えることが可能となる。【００２１】
＜実施の形態＞
以下、図面を参照しながら本発明における量子鍵配送プロトコルの実施の形態を詳細に説明する。【００２２】
まず、本発明のプロトコルで使われる量子状態を以下のように定義する。
量子状態として、（数１）を用意する。ここで、（数２）は基底Ａに属し、（数３）は基底Ｂに属する。また、（数４）に対して（数５）を満たし、（数６）に対して（数７）を満たす。さらに、各量子状態を古典情報として表わす場合には次に示す（数８）に対応させる。
また、本発明の量子鍵配送プロトコルの機能で用いられるａ−乱数発生器を次のように定義する。
０≦ａ≦１に対して、ａ−乱数発生器とは、出力の要請があった場合に確率ａで“０”を、確率１−ａで“１”を出力するものである。【００２３】
次に、フローチャートを用いて本発明における量子鍵配送プロトコルの実行の流れを説明する。図１は、本発明における量子鍵配送プロトコルの実行の流れを示すフローチャートであり、図２は、図１の続きのフローチャートである。これらのフローチャートは、弱コヒーレント光を送受信するアリス（送信者）とボブ（受信者）との間でやり取りされるデータの流れを示している。【００２４】
まず、図１のフローチャートにおいて、アリスは、弱コヒーレント光の量子状態（数１）の中から一つを選び出して（数９）とする（ステップＳ１）。次に、アリスは量子通信路を介して（数９）をボブに送信する（ステップＳ２）。すると、ボブは、（数９）を基底Ａ，Ｂのいずれかを用いて観測し、観測結果（数１０）を得る（ステップＳ３）。そして、ボブはアリスのａ−乱数発生器に出力を要請する（ステップＳ４）。これによって、アリスはａ−乱数発生器の出力結果の判定を行い（ステップＳ５）、出力結果が“０”であれば、ＢＢ８４プロトコルと同様に、（数１１）とする（ステップＳ６）。すなわち、基底Ａ及び基底Ｂのうち、アリスがステップＳ１で選択した量子状態（数９）を含むいずれかの基底をＸとする。また、出力結果が“１”であれば、ＳＡＲＧプロトコルと同様に、（数１２）とする（ステップＳ７）。すなわち、アリスがステップＳ１で選択した量子状態（数９）と、量子状態（数１）の中で（数９）に対して直交状態とならないいずれかの量子状態とをＸとする。次に、アリスは、古典通信路を介してステップＳ６又はステップＳ７の出力結果Ｘの古典情報をボブへ送信する（ステップＳ８）。【００２５】
次に、図２のフローチャートにおいて、ボブは、出力結果Ｘの２状態が互いに直交しているか否かを判断し（ステップＳ９）、出力結果Ｘの２状態が互いに直交していれば（ステップＳ９でＹｅｓの場合）、これ以降の処理はＢＢ８４プロトコルの場合と同様になる。すなわち、ボブは、（数１３）であるか否かを判断する（ステップＳ１０）。一方、出力結果Ｘの２状態が互いに直交していなければ（ステップＳ９でＮｏの場合）、これ以降の処理はＳＡＲＧプロトコルの場合と同様になる。すなわち、ボブは、（数１４）であるか否かを判断する（ステップＳ１１）。【００２６】
ここで、ステップＳ１０で（数１３）でなければ（ステップＳ１０でＮｏの場合）、ステップＳ２でアリスから送られた量子状態を正確に特定できないため、（数９）と（数１０）とを破棄してプロトコルを終了する（ステップＳ１２）。一方、ステップＳ１０で（数１３）であれば（ステップＳ１０でＹｅｓの場合）、（数９）と（数１０）を古典情報に変換して２ビット目の値を秘密鍵として共有し、プロトコルを終了する（ステップＳ１３）。上述したように、各量子状態を古典情報として２ビットで表した場合、１ビット目が基底Ａ，基底Ｂのいずれであるかを示し、２ビット目が各基底に属する２つの量子状態のいずれかであるかを示している。ステップＳ６及びステップＳ８の処理によって、ステップＳ２でボブに送られた量子状態の属する基底が基底Ａ，基底Ｂのいずれであるかがボブに送られている（公開されている）。しかし、当該基底に属する量子状態のうち、いずれの量子状態がステップＳ１で選択されたかは公開されていないので、これに対応する２ビット目の情報を秘密鍵として用いる。【００２７】
また、ステップＳ１１で、ボブが（数１４）であるか否かを判断した結果、（数１４）でなければ（ステップＳ１１でＮｏの場合）、ステップＳ２でアリスから送られた量子状態を正確に特定できないため、（数９）と（数１０）とを破棄してプロトコルを終了する（ステップＳ１２）。一方、ステップＳ１１でボブが（数１４）であるか否かを判断した結果、（数１４）であれば（ステップＳ１１でＹｅｓの場合）、（数１５）とする（ステップＳ１４）。すなわち、ＳＡＲＧプロトコルの場合と同様に、出力結果Ｘに含まれる２つの量子状態のうち、観測結果（数１０）に対して直交状態となる量子状態がステップＳ１で選択された量子状態に一致するので、これを（数１６）とする。そして、（数９）と（数１６）とを古典情報に変換して、１ビット目の値を秘密鍵として共有し、プロトコルを終了する（ステップＳ１５）。ステップＳ７及びステップＳ８の処理によって、ステップＳ２でボブに送られた量子状態（数９）とこの量子状態と異なる基底に属する量子状態とを含む出力結果Ｘの古典情報がボブに送られている（公開されている）。しかし、ステップＳ２でボブに送られた量子状態が基底Ａ，基底Ｂのいずれかに属するかは公開されていないので、これに対応する１ビット目の情報を秘密鍵として用いる。【００２８】
【数１】
0004555979.tif 000002
【００２９】
【数２】
0004555979.tif 000003
【００３０】
【数３】
0004555979.tif 000004
【００３１】
【数４】
0004555979.tif 000005
【００３２】
【数５】
0004555979.tif 000006
【００３３】
【数６】
0004555979.tif 000007
【００３４】
【数７】
0004555979.tif 000008
【００３５】
【数８】
0004555979.tif 000009
【００３６】
【数９】
0004555979.tif 000010
【００３７】
【数１０】
0004555979.tif 000011
【００３８】
【数１１】
0004555979.tif 000012
【００３９】
【数１２】
0004555979.tif 000013
【００４０】
【数１３】
0004555979.tif 000014
【００４１】
【数１４】
0004555979.tif 000015
【００４２】
【数１５】
0004555979.tif 000016
【００４３】
【数１６】
0004555979.tif 000017
【００４４】
図３は、光子数分割攻撃に対する公知技術と本発明の頑強性を比較した特性図である。つまり、この図は、公知技術と本発明で、使用割合ａ＝０．５としたときの光子数分割攻撃に対する頑強性を表わしたグラフである。図の横軸はアリス−ボブ間の通信距離［ｋｍ］を表わし、縦軸は攻撃者が持つ秘密鍵に関する相互情報量［／ｂｉｔ］（つまり、漏洩情報量）を表わしている。尚、グラフのパラメータは（ａ）ＢＢ８４プロトコル、（ｂ）ＳＡＲＧプロトコル、（ｃ）本発明のプロトコルである。【００４５】
また、アリス−ボブ間の通信光ファイバの減衰率を０．２５［ｄＢ／ｋｍ］とし、ＢＢ８４プロトコルにおける１パルスあたりの平均光子数を０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］（ＳＡＲＧプロトコルにおける平均光子数は０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ］に相当）とする。何れの特性も通信距離が長くなるほどファイバによる光子損失率が高くなり、攻撃者が攻撃を行える頻度が増えるため、秘密鍵に関する相互情報量（漏洩情報量）が増加する。また、攻撃者は、アリス−ボブ間の通信距離に応じて最も有利な攻撃を行うものとする。短距離では貯蔵攻撃（ＢＢ８４プロトコル）が最も有利であり、ある距離を境に完全判別遮断再送攻撃（ＳＡＲＧプロトコル）が最も有利な攻撃となる。境界距離は、実装装置のパラメータやプロトコル及び使用割合ａの値に応じて変化する。このようなことから、本発明のプロトコル（ｃ）の特性は、ＢＢ８４プロトコル（ａ）とＳＡＲＧプロトコル（ｂ）の利点を採った特性となっている。尚、ＳＡＲＧプロトコルは本発明のプロトコルにおいてａ＝０とした場合と同じであり、ＢＢ８４プロトコルはａ＝１とした場合と同じになる。【００４６】
尚、ＢＢ８４プロトコル以外のプロトコルに対して貯蔵攻撃を行った場合に攻撃者の秘密鍵に関する相互情報量（漏洩情報量）が１にならない。この理由は、アリスが送信するＸの古典情報が２つの互いに非直交な量子状態である場合が存在するため、攻撃者がどちらの状態かを完全に判別することができない場合があるからである。【００４７】
逆に、完全判別遮断再送攻撃を行った場合に、ＳＡＲＧプロトコルより本発明のプロトコルの方式のほうが、同一通信距離に対する攻撃者への漏洩情報量が少ないのは、１パルスあたりの秘密鍵生成効率を同じにするために、１パルスあたりの平均光子数をＳＡＲＧプロトコルより抑えているため、多光子の発生確率がＳＡＲＧプロトコルより少ないからである。【００４８】
図４は、使用割合ａを変化させた場合の光子数分割攻撃に対する頑強性を比較した特性図である。つまり、この図は、本発明において、（ａ）ａ＝０．５、および（ｂ）ａ＝０．２５とした場合の光子数分割攻撃に対する頑強性を表わしたグラフである。図の横軸はアリス−ボブ間の通信距離［ｋｍ］を表わし、縦軸は攻撃者が持つ秘密鍵に関する相互情報量［／ｂｉｔ］（つまり、漏洩情報量）を表わしている。尚、グラフのパラメータは（ａ）ａ＝０．５、（ｂ）ａ＝０．２５である。また、アリス−ボブ間の通信光ファイバの減衰率を０．２５［ｄＢ／ｋｍ］とし、ＢＢ８４プロトコルにおける１パルスあたりの平均光子数を０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］（ＳＡＲＧプロトコルにおける平均光子数は０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ］に相当）とする。通信距離が長くなるほど、ファイバによる減衰が高くなり、攻撃者が攻撃を行える頻度が増えるため、秘密鍵に関する相互情報量（漏洩情報量）が増加する。【００４９】
貯蔵攻撃を行う場合には、ａ−乱数発生器が“０”を出力する頻度が高いほど攻撃者の秘密鍵に関する相互情報量（漏洩情報量）は高くなる。逆に完全判別遮断再送攻撃を行う場合には、ａ−乱数発生器が“０”を出力する頻度が高いほど、１パルスあたりの平均光子数が少なくなるため、同一通信距離に対する攻撃者が得られる秘密鍵に関する相互情報量（漏洩情報量）が少なくなる。【００５０】
図５は、光子数分割攻撃に対して最も頑強となるように使用割合ａを変化させた場合の頑強性の関係を表わす特性図である。つまり、この図は、攻撃者が光子数分割攻撃を行った場合に漏洩する情報量を最小に抑えるために、アリス−ボブ間の通信距離に応じて使用割合ａを最適な値に変化させた場合の頑強性を表わしたグラフである。図の横軸は、アリス−ボブ間の通信距離［ｋｍ］を表わし、縦軸は攻撃者が持つ秘密鍵に関する相互情報量［／ｂｉｔ］（つまり、漏洩情報量）を表わしている。なお、ビットあたりの相互情報量が１になると安全な秘密鍵を生成することができなくなるが、１ビットあたりの相互情報量が１未満であれば、たとえ相互情報量が１に非常に近い値であっても、非特許文献３で提案されている秘匿性増強と呼ばれる古典通信技術を用いて安全な秘密鍵（相互情報量が限りなく０に近い秘密鍵）を生成できる。また、アリス−ボブ間の通信光ファイバの減衰率を０．２５［ｄＢ／ｋｍ］とし、ＢＢ８４プロトコルにおける１パルスあたりの平均光子数を０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］（ＳＡＲＧプロトコルにおける平均光子数は０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ］に相当）とする。【００５１】
近距離では使用割合ａ＝０となり、ある距離を境として距離の増加に応じて使用割合ａを増加させ、最終的には使用割合ａ＝１の近くまで変化させることにより、本発明のプロトコルによる通信距離の安全限界を１２５ｋｍまで伸ばすことができる。尚、ＢＢ８４プロトコルでは通信距離の安全限界は５０ｋｍであり、ＳＡＲＧプロトコルでは通信距離の安全限界は１００ｋｍである。【００５２】
図６においては、図３と同じくＢＢ８４プロトコル及びＳＡＲＧプロトコルについて通信距離と漏洩情報量の関係を表すグラフ、図５と同じく本発明のプロトコルにおいて使用割合ａを通信距離に応じて最適な値に変化させた場合の通信距離と漏洩情報量の関係を表すグラフ、本発明のプロトコルにおいて８７．５ｋｍ超の通信における使用割合ａの最適な値およびその直線近似を表すグラフをそれぞれ示してある。ただし、図６において、通信距離と漏洩情報量の関係を表すグラフは、図３及び図５よりもプロット数を増やしたより精度の高いものを示してある。なお、図６の横軸はアリス−ボブ間の通信距離［ｋｍ］を表わし、縦軸は漏洩情報量［／ｂｉｔ］及び使用割合ａを表わしている。【００５３】
図６において、ＢＢ８４プロトコルで用いる弱光コヒーレント光のパルス中の平均光子数を０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］（ＳＡＲＧプロトコルでの平均光子数は０．２［ｐｈｏｔｏｎ／ｐｕｌｓｅ］に相当），通信距離Ｌ（＞８７．５ｋｍ）とした場合、使用割合ａの曲線は直線（Ｌ−８７．５）／（１２５−８７．５）で近似できる。また、この時の平均光子数は０．２／（１＋ａ）である。そして、８７．５ｋｍ超の通信では、既存のプロトコルより鍵の生成効率が改善される。すなわち、８７．５ｋｍ超の通信では、ＢＢ８４プロトコル及びＳＡＲＧプロトコルよりも漏洩情報量を小さくすることができるため、それに応じて通信効率が向上し、アリス−ボブ間で鍵を共有できるまでの時間をＢＢ８４プロトコル及びＳＡＲＧプロトコルに比べて短縮することができる。また、１００ｋｍ超の通信では、これまで不可能であった安全な通信が実現される。【００５４】
なお、本発明の量子化鍵配送プロトコルでは、図６に示した使用割合ａの最適な値またはこれを直線近似した値を用いることが必須ではなく、図６に斜線を付した範囲内にある使用割合ａの値であれば良い。【００５５】
具体的に言うと、ＢＢ８４プロトコルで用いる平均光子数をμ（ＳＡＲＧプロトコルでは平均光子数２μに相当）のとき、本発明の量子鍵配送プロトコルでは、ＢＢ８４プロトコル及びＳＡＲＧプロトコルの使用割合ａがａ≦（Ｌ−ｍ）／（Ｍ−ｍ）で定められる（ただし、使用割合ａは０と１を除いた値）。ここで、ｍは、弱コヒーレント光の１パルスあたりの平均光子数を一定にしたときに、本発明を用いることでＢＢ８４プロトコル又はＳＡＲＧプロトコルを単独で用いた場合よりも盗聴者の取りうる相互情報量が少なくなる最小の距離である。また、Ｍは、本発明により盗聴者の取りうる相互情報量を１未満にできる最長距離である。さらに、Ｌは上述した通信距離であって、距離ｍと距離Ｍとの間の値をとる。また、この時の平均光子数はμ×２／（１＋ａ）で定める。特に、弱コヒーレント光の１パルスあたりの平均光子数が０．１［ｐｈｏｔｏｎ／ｐｕｌｓｅ］である場合には、Ｍ＝１２５ｋｍ，ｍ＝８７．５ｋｍとなることから、使用割合ａはａ≦（Ｌ−８７．５）／（１２５−８７．５）（ただし、ａは０と１を除いた値）で定まる。【００５６】
図７は、本発明の量子鍵配送プロトコルを実現するための量子鍵配送システムの構成を示すブロック図である。本発明の量子鍵配送システムは、従来の量子鍵配送システムの構成に対してアリス側に乱数生成器１５（上述したａ−乱数発生器に相当）を付加したものである。図８は本発明で用いられる乱数生成器１５の詳細な構成を示すブロック図である。尚、図７と図８では同一の構成要素は同一の符号が付してある。【００５７】
図７において、量子鍵配送システムはアリス側とボブ側とに分割されていて、アリス側は、２つのビームスプリッタ１、位相変調器２、ファラデーミラー５、同期用光送受信機６、同期用光注入／分配器７、アッテネータ８、アリス側電子制御回路１１、アリス側計算機１３、及び乱数生成器１５を備えた構成となっている。【００５８】
また、ボブ側は、ビームスプリッタ１、位相変調器２、２つの平衡型フォトダイオード３、レーザ光発生器４、同期用光送受信機６、同期用光注入／分配器７、アッテネータ８、光サーキュレータ９、コアカプラー１０、ボブ側電子制御回路１２、及びボブ側計算機１４を備えた構成となっている。尚、図７において各構成要素を接続する伝送路は、細線が電気信号伝送路であり、太線が光ファイバである。【００５９】
図７に示す量子鍵配送システムの動作について説明する。
アリス側では、ファラデーミラー５によってボブ側へ光子が送信する。その際、２つのビームスプリッタ１，位相変調器２およびアッテネータ８によってファイバ中の光子の状態を制御する。【００６０】
一方、ボブ側では、ボブ側計算機１４がレーザ光発生器４を制御して、レーザ光発生器４およびアッテネータ８により単光子を発生させる。そして、光サーキュレータ９，コアカプラー１０およびビームスプリッタ１を通じて光子をファイバに通す。また、ボブ側電子制御回路１２は位相変調器２を制御して光子を観測する基底を設定する。さらに、２つの平衡型フォトダイオード３によって光子を観測し、観測によって得られた結果をもとにボブ側電子制御回路１２が信号処理を行う。【００６１】
これら光子をアリス側とボブ側の間で通信するにあたって、通信に関する同期は、アリス側電子制御回路１１およびボブ側電子制御回路１２の制御の下に、アリス側およびボブ側にそれぞれ設けられた同期用光送受信機６および同期用光注入／分配器７が行う。【００６２】
そして、アリス側計算機１３とボブ側計算機１４は、それぞれアリス側電子制御回路１１とボブ側電子制御回路１２を介して各部を制御するとともに、乱数発生器１５により発生させた乱数をアリス側計算機１３が使用して、上述した本発明のアルゴリズムを実行する。【００６３】
また、図８において、本発明で用いられ乱数生成器１５は、位相変調器２、２つの平衡型フォトダイオード３、レーザ光発生器４、及びアッテネータ８を備えた構成であって、アリス側計算機１３に接続されている。【００６４】
図８に示す乱数発生器１５の動作について説明する。レーザ光発生器４とアッテネータ８により単光子を発生させる。アリス側計算機１３が位相変調器２を制御して単光子の位相を調整することで、２つの平衡型フォトダイオード３のうちのどちらか一方で光子が観測される。アリス側計算機１３は、いずれか一方（例えば、図中の上側のもの）の平衡型フォトダイオード３で光子が観測された場合に情報０を対応させ、他方の平衡型フォトダイオード３（例えば、図中の下側のもの）で光子が観測された場合に情報１を対応させる。これを繰り返すことで０と１からなる数列が生成されるが、この数列が完全な乱数であることは量子力学的に保障されている。また、０と１の割合は位相変調器２が設定する位相によって自由に調整できる。【００６５】
以上、図面を参照して本発明の実施の形態を説明してきたが、上記実施の形態は本発明の例示に過ぎず、本発明が上記実施の形態に限定されるものでないことは明らかである。したがって、本発明の精神および範囲を逸脱しない範囲で構成要素の追加，省略，置換，その他の変更を行っても良い。
【産業上の利用可能性】
【００６６】
本発明の量子鍵配送プロトコルは、量子系の通信装置と乱数生成器については既存のシステムを用い、古典系でやり取りする通信情報と鍵の篩い分け処理のみを変更するだけで実用化することができるので、あらゆる通信分野において直ぐに実用化することが可能となる。また、現在の量子鍵配送システムの殆んどは弱コヒーレント光を用いて実現されているため、本発明の量子鍵配送プロトコルを適用することによってシステムの安全性を一層高めることができるので、通信分野のインフラにおける利用価値は極めて高い。
【図１】
0004555979.tif 000018
【図２】
0004555979.tif 000019
【図３】
0004555979.tif 000020
【図４】
0004555979.tif 000021
【図５】
0004555979.tif 000022
【図６】
0004555979.tif 000023
【図７】
0004555979.tif 000024
【図８】
0004555979.tif 000025