(57)【要約】【課題】  ２つの場所間で慎重を期する情報を送信する場合の安全性を強化する装置や方法を提供する。【解決手段】  双方向型量子鍵配送（ＱＫＤ）システム（２００）の単一光子「ウォッチドッグ」検出器（２８６）について述べる。反射ＱＫＤステーション（アリス）に入力、および／またはアリスから出力される弱いパルス数（例えば、Ｐ１、Ｐ２）をカウントすることにより、アリスにおける位相変調器（２６６）から位相情報を得るために量子チャネル（２４０）に弱いパルス（Ｐ３）を加えて、交換される鍵情報を推定しようとする盗聴者（イブ）を検出できる。
2006512879.tif 000002
【特許請求の範囲】
【請求項１】
双方向型量子鍵配送（ＱＫＤ）システムのための反射鍵暗号化ステーションであって、
位相変調器と、
前記位相変調器を介して送信鍵暗号化ステーションから到着する放射パルスを反射するよう配置されたファラデーミラーと、
前記放射パルスの一つを変調するための前記位相変調器を駆動させるために、第１ゲート信号を前記位相変調器に供給する、前記位相変調器に連結されたコントローラと、
前記コントローラに連結され、前記反射鍵暗号化ステーションに入力、および／または前記反射鍵暗号化ステーションから出力される光パルスを検出するために、前記コントローラからの第２ゲート信号でゲートされる、単一光子検出器と、
を備えた、反射鍵暗号化ステーション。
【請求項２】
前記放射パルスの一部を前記単一光子検出器に導くよう配置された、ビームスプリッタをさらに備えた、請求項１に記載の反射鍵暗号化ステーション。
【請求項３】
前記単一光子検出器に調整用放射ビームを供給するよう配置された、光子発光デバイスをさらに備えた、請求項１に記載の反射鍵暗号化ステーション。
【請求項４】
少なくとも前記光パルスの一部を前記単一光子検出器に導くよう配置された、光カプラを備えた、請求項１に記載の反射鍵暗号化ステーション。
【請求項５】
前記光パルスを前記単一光子検出器に選択的に反射するよう配置された、光スイッチを備えた、請求項１に記載の反射鍵暗号化ステーション。
【請求項６】
前記単一光子検出器に光学的に連結され、前記単一光子検出器を調整するために単一光子パルスを発光するよう調整された光子発光デバイスをさらに備えた、請求項１に記載の反射鍵暗号化ステーション。
【請求項７】
双方向型量子鍵配送（ＱＫＤ）システムの安全性を向上させる方法であって、
単一光子検出器を備えた反射鍵暗号化ステーションを提供し、
前記単一光子検出器を用いて、前記鍵暗号化ステーションに入力、および／または前記鍵暗号化ステーションから出力される放射パルスを監視する、
安全性を向上させる方法。
【請求項８】
さらに、前記反射鍵暗号化ステーションに備えられた光子発光デバイスを用いて、前記単一光子検出器を調整する、請求項７に記載の方法。
【請求項９】
前記単一光子検出器が、前記反射鍵暗号化ステーションにおける位相変調器が駆動している時間に対応した光パルスを検出するように、前記単一光子検出器をゲートする、請求項７に記載の方法。
【請求項１０】
前記検出器をゲートするためにコントローラから前記単一光子検出器にゲートパルスを送信する、請求項９に記載の方法。
【請求項１１】
前記入力された放射パルスのいくらかを前記単一光子検出器に導くための光スイッチを、ランダムに駆動させ、
前記ランダムに導かれた入力された放射パルスを検出するために、前記単一光子検出器をゲートする、
請求項７に記載の方法。
【請求項１２】
前記出力された放射パルスのいくらかを前記単一光子検出器に導くための光スイッチを、ランダムに駆動させ、
前記ランダムに導かれた出力された放射パルスを検出するために、前記単一光子検出器をゲートする、
請求項７に記載の方法。
【請求項１３】
前記入力および出力された放射パルスのいくらかを前記単一光子検出器に導くための光スイッチを、ランダムに駆動させ、
前記ランダムに導かれた入力および出力された放射パルスを検出するために、前記単一光子検出器をゲートする、
請求項７に記載の方法。
【請求項１４】
前記双方向型ＱＫＤシステムが、放射パルスを前記反射鍵暗号化ステーションに送信し、かつ前記反射鍵暗号化ステーションから送信された位相暗号化された放射パルスを受信するための、送信／受信鍵暗号化ステーションを備え、さらに、
前記単一光子検出器を用いて、所定の時間間隔で前記反射鍵暗号化ステーションに入力（μIN）、および前記反射鍵暗号化ステーションから出力（μOUT）する放射パルス当たりの平均光子数をカウントし、
前記送信／受信鍵暗号化ステーションにより送信されたものではない、前記反射鍵暗号化ステーションに入力する放射パルスの存在を検出するために、μINとμOUTを比較する、
請求項７に記載の方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は量子暗号に関し、特に「双方向」折り返し型光学システムを用いた量子鍵配送（ＱＫＤ）を行う際の安全性を高めるための装置、および方法に関する。
【背景技術】
【０００２】
量子鍵配送は、「量子チャネル」越しに送信された弱い光信号（例えば、平均で０．１フォトン）を用いて、送信者（「アリス」）と受信者（「ボブ」）との間で、鍵を設定することに関係する。鍵配送の安全性は、不確定状態にある量子系はどれでも測定するとその状態を変えるという、量子力学の原則に基づいている。結果として、量子信号を妨害あるいは測定しようとする盗聴者（「イブ」）は、送信信号にエラーを引き起こしてしまうため、その存在が明らかになる。量子暗号の一般的な原則は、ベネットとブラッザールの論文（非特許文献１参照）の中で、初めて発表された。具体的なＱＫＤシステムは、ベネットの特許文献１（以下、‘４１０特許と称す）に記載されている。
【０００３】
ベネット‐ブラッザールの論文と‘４１０特許は、それぞれいわゆる一方向型ＱＫＤシステムについて述べている。一方向型ＱＫＤシステムとは、アリスが単一光子の偏光をランダムに暗号化して、ボブがそれら光子の偏光をランダムに測定するものである。‘４１０特許に述べられている一方向型システムは、二光束マッハ・ツェンダー干渉計に基づいている。アリスとボブは、干渉計の位相を制御できるように、干渉計の各部にアクセスすることが可能である。アリスからボブに送信された信号（パルス）は、時分割され、異なった経路をたどる。従って、干渉計は、熱ドリフトを補正するために、伝送中は数十ナノメートルの精度で常に安定化している必要がある。これは、送信距離がキロメートル単位で測定されるような実際のアプリケーションにとって、通常不便である。
【０００４】
本明細書で参照することにより本明細書に組み込まれる、ギシンの特許文献２（以下、‘２３４特許と称す）では、偏光や熱ゆらぎを自動補正する、いわゆる「双方向」型ＱＫＤシステムについて開示されている。
【０００５】
図１は、‘２３４特許によるＱＫＤ装置に、さらに光遅延ラインＤＬを加えた概略図である。光遅延ラインＤＬの役割は以下に述べる。
【０００６】
この装置は、光ファイバ３で接続されたアリスとボブを備えている。ボブは、２×２型カプラ１２を有する。原理上は、ボブ側は、一つの長い腕がアリスに延びている非対称なマイケルソン干渉計である。ボブ側は、パルスレーザ１０と、第１カプラ１１と、ファラデーミラー１６と、第２カプラ１２と、位相変調器１３と、第２ファラデーミラー１４と、単一光子検出器１７とを有している。パルスレーザ１０は、例えばＤＦＢレーザであればよく、例えば１ＭＨｚの繰返し数で、例えば１３００ｎｍで３００ピコ秒（ｐｓ）の長パルスを発する。アリス側は、カプラ２０と、「通常」の検出器２３（すなわち、非単一光子検出器）と、位相変調器２１と、ファラデーミラー２２と、検出器２３で制御されるアッテネータ２４とを有している。
【０００７】
ボブは、アリスに、短くかつ比較的強いレーザパルスを送信することによって、送信を初期化する。カプラ１２に到着したパルスは、図示しないＰ１とＰ２の二つの部分（パルス）に分割される。Ｐ１は、直接アリスに向かい、Ｐ２は、まずミラー１４と１６（遅延ライン）で、一往復分だけ遅延させられる。パルスＰ１とＰ２は、アリスに向かって、ファイバを下っていく。二つのパルスは、カプラ２０で分割される。その際、弱いパルスを位相変調器２１を介して送信するために、大部分のパルスが検出器２３に向かうように分割される。ビットを暗号化するために、アリスはミラー２２で第１パルスＰ１を反射させる。しかし、第２パルスＰ２については、ファラデーミラー２２の前に配置された位相変調器２１を用いて、その位相を変調する（位相シフトΦA）。その後、二つのパルスはボブに戻る。
【０００８】
ボブ側での検出は、同様な遅延ライン１４〜１６におけるＰ１の遅延部により行われる。ボブは、パルスＰ２を変化させずに通過させるが、ミラー１４の前に配置された位相変調器１３で第１パルスＰ１の位相を変調する（位相シフトΦB）。それから、このパルスは、Ｐ２に干渉する。アリスとボブの位相変調器が共に停止、あるいはΦA−ΦB＝０（つまり、パルスＰ１とＰ２には、同じ位相シフトがなされている）であれば、強めあう干渉となる（２つのパルスは、全く同じ経路をたどる）。しかし、アリスもしくはボブが、二つのパルス間の位相設定を変更した場合、干渉は相殺されてしまう可能性もある。ΦA−ΦB＝πの場合、干渉は完全に相殺される。
【０００９】
この場合は、単一光子検出器１７において、光は検出されない。なお、位相シフトが異なる場合に得られる干渉は、完全に相殺されることが重要である。これによって、ボブが検出イベントを得る場合に、アリスが異なった位相を用いていない、従って、ボブと同じ位相を用いたことを確実に特定できるのである。
【００１０】
カプラ２０は、ほとんどの光を検出器２３に送信するため、この検出器はＰＩＮ光ダイオードなどの従来の検出器である。さらに、カプラ２０は、図示しない盗聴者に対する防護を確実に行うために必要な単一光子レベル（平均）を下回るまで、信号を減衰させる働きをする。さらに、検出器２３では、ボブからの入力信号の強度を監視する働きをすることも可能であり、いわゆる「トロイの木馬」攻撃を監視する。「トロイの木馬」は、盗聴者が、位相シフトされた反射パルスの値を読み取るために、アリスに強い探知パルスを送信するものである。
【特許文献１】米国特許第５，３０７，４１０号公報
【特許文献２】米国特許第６，４３８，２３４号公報
【非特許文献１】Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ：Ｐｕｂｌｉｃ  ｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ａｎｄ  ｃｏｉｎ  ｔｏｓｓｉｎｇ，  Ｐｒｏｃｅｅｄｉｎｇｓ  ｏｆ  ｔｈｅ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｃｏｎｆｅｒｅｎｃｅ  ｏｎ  Ｃｏｍｐｕｔｅｒｓ、Ｓｙｓｔｅｍｓ  ａｎｄ  Ｓｉｇｎａｌ  Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，１９８４，ｐｐ．１７５−１７９（ＩＥＥＥ、Ｎｅｗ  Ｙｏｒｋ、１９８４）
【発明の開示】
【発明が解決しようとする課題】
【００１１】
ギシンらの論文（“Ｑｕａｎｔｕｍ  Ｃｒｙｐｔｏｇｒａｐｈｙ，”  Ｒｅｖ．  Ｍｏｄ．  Ｐｈｙｓ．，Ｖｏｌ．７４、Ｎｏ．１、Ｊａｎｕａｒｙ  ２００２、１７２−１７３ページ）中で議論されているように、反射ＱＫＤシステムの本質である双方向性によって、レイリー後方散乱が懸念される。図１をさらに示すように、ボブにより光ファイバ３に放射された光パルスＰ１とＰ２は、光ファイバの材料の不均質性により散乱される。この光のごくわずかな部分（〜１％）が、ファイバに再度取り込まれ、ボブに向かって後方に送信される。上記の後進光は、アリスからボブに戻る位相暗号化された信号と結合し得る。そのため、ボブにおいて誤ったカウントがなされる可能性がある。
【００１２】
上記課題を解決するために、‘２３４特許と図１に示されたＱＫＤシステムは、ボブによって送信されたパルス列が格納されている前述の光遅延ラインＤＬ（例えば、光ファイバスプール）を、アリスにさらに備える必要がある。これにより、ボブに向かう、あるいはボブからやってくるパルスが、ボブとアリスを連結している光ファイバ３内に同時に存在しないことが保証される。
【００１３】
レイリー後方散乱の課題を解決する他の方法としては、より弱いパルスをボブから送信させるものがある。しかし、このアプローチを成功させるためには、システムは減衰を抑える必要がある。例えば、アリスのカプラ２０から、はるかに少量の光を検出器２３に送ることが可能でなければならない。困ったことに、これによって、システムは盗聴に対して脆弱になってしまう。これは、イブが、検出器２３に検出されないだけの十分に弱い探知パルスを用いることができるからである。検出器２３は、何百もの光子、あるいはそれ以上のオーダの光信号でなければ、検出できないのである。
【００１４】
特に、図１の双方向型システムは、検出器２３の検出感度が不足することで、２種類の攻撃に対して脆弱になる。一つは、トロイの木馬攻撃であり、他方は、「中間者」攻撃である。トロイの木馬攻撃の例では、盗聴者イブは、量子チャネルに侵入して、アリスに比較的弱く、かつ短い探知信号を送信する。この探知パルスは、アリスがパルスに伝える位相情報を得るために、ボブが送信するパルスと、同時もしくはほぼ同時（あるいは、中心周波数かその近傍）に、アリスの位相変調器２１に送られるよう調整される。ボブからアリスに送信された信号は、アリスで変調されボブに送り返された信号であって、探知パルスの影響は受けないままである。再掲すると、弱い探知パルスに関して、従来の検出器２３ではこのような攻撃を検出できない。
【００１５】
中間者攻撃では、イブは、アリスとボブの間にイブの装置を設置して、アリスかボブであるかのように装う。イブは、適切な時間と周波数に関する位相変調器の設定を確定するために、アリスに送信される弱い信号を準備することが可能である。さらに、イブはアリスによって変調された信号の複製を作り、その複製信号を、ボブが受信した信号と同一であるかのように光ファイバ上にのせる。イブは、アリスの元信号について学習すると、それに対応する位相シフトを行う。チャネル中のロスのため、イブはタイムビンのわずかな部分を学習するだけでよい。これによって、このような種類の攻撃は非常に強力なものとなる。
【００１６】
再掲すると、通常の検出器２３は、設置されているとしても、弱い信号（すなわち、何千もの光子よりも少ない光子数の信号）に対する検出感度が十分ではないため、このような攻撃を防ぐことはできない。
【課題を解決するための手段】
【００１７】
本発明の一態様は、双方向型量子鍵配送システムのための反射鍵暗号化ステーションである。本システムは、位相変調器と、送信鍵暗号化ステーションから位相変調器を介して到着する放射パルスを反射するよう配置された、ファラデーミラーとを備えている。本システムは、位相変調器に連結されているコントローラも備えている。コントローラは、放射パルスの一つを変調するために位相変調器を駆動させる必要があることから、位相変調器に第１ゲート信号を提供する。本システムは、コントローラに連結され、反射鍵暗号化ステーションに入力、および／または反射鍵暗号化ステーションから出力する光パルスを検出するために、コントローラからの第２ゲート信号をゲートする、単一光子検出器をさらに備えている。
【００１８】
本発明の他の態様は、双方向型量子鍵配送（ＱＫＤ）システムの安全性を向上させる方法である。本方法は、単一光子検出器を有する反射鍵暗号化ステーションを提供し、かつ単一光子検出器を用いて、鍵暗号化ステーションに入力、および／またはステーションから出力される光パルスを監視することを含む。
【発明の効果】
【００１９】
２つの場所間で慎重を期する情報を送信する場合に、安全性が強化された装置や方法を得ることができる。
【発明を実施するための最良の形態】
【００２０】
本発明は、量子暗号の分野に関し、量子暗号の分野で工業的実用性を有する。特に、２つの場所間で慎重を期する情報を送信する場合に、安全性の強化を必要とする装置や方法に対して工業的実用性を有する。
［装置］
図２は、図１で図示されたものと同様な折り返し型ＱＫＤシステム２００の概念図であるが、主要部のみを示すために簡略化されている。システム２００は、鍵暗号化ステーション、すなわち、送信／受信ステーションであるボブと、反射ステーションであるアリスとを有する。以下、単にボブ、アリスとして称する。盗聴者イブも、図２に示されている。
【００２１】
ボブ
ボブは、光パルス２０４を発光するレーザ２０２を有する。レーザ２０２は、入力端２０８Ａ、入力／出力端２０８Ｂ、および出力端２０８Ｃを有する時間多重化／逆多重化光学システム２０６に連結されている。光学システム２０６は、入力端２０８Ａで入力パルス２０４を受信し、各パルスを２つの時間多重化されたパルス（図示せず）に分割し、それらのパルスを入力／出力端２０８Ｂに出力する。同様に、光学システム２０６は、アリスから来る時間多重化されたパルスのペアを入力／出力端２０８Ｂで受信し、受信したパルスを単一パルスに合体（干渉）する。合体されたパルスは、出力端２０８Ｃの外へ導かれる。
【００２２】
単一光子検出器２１６は、出力端２０８Ｃで光学システム２０６に連結されている。位相変調器（ＰＭ）２２０は、光学システムの入力／出力端２０８Ｂに連結されている。ボブは、ＰＭ２２０の下流に配置され、４つのポート２２８Ａ〜２２８Ｄを有する光切替／分割部２２６も有する（ビームスプリッタの場合には、上記４つのポートは単に、軸２２８Ａ〜２２８Ｄとなる）。実施例として、光切替／分割部２２６は、通常の２×２型ビームスプリッタである。他の実施例として、光切替／分割部２２６は、駆動光スイッチであってもよい。ＰＭ２２０は、ポート２２６Ａに接続されている。実施例では、以下に述べるように、ミラー２３０が、補正を行うためにポート２２６Ｂに連結されていてもよい。ボブとアリスを接続する光ファイバ２４０は、ポート２２６Ｃに連結されている。
【００２３】
ボブは、さらに、コントローラ２４８を有している。コントローラ２４８は、レーザ２０２と、検出器２１６と、ＰＭ２２０と、光切替／分割部２２６が切り替え可能である場合にはポート２２８Ｄで光切替／分割部２２６とに、動作可能なように（例えば、電気的に）連結されている。
【００２４】
アリス
アリスは、光切替／分割部２２６と同様な光切替／分割部２６０を有している。光切替／分割部２６０は、一般的に４つのポート（軸）２６２Ａ〜２６２Ｄを有する。実施例として、光切替／分割部２２６はビームスプリッタ（例えば、２×２型カプラ）であれはよく、他の例としては、駆動光スイッチであってもよい。光ファイバ２４０は、ポート２６２Ａに連結されている。可変光学アッテネータ（ＶＯＡ）２６４は、光切替／分割部２６０の下流に配置され、同部２６０にポート２６２Ｃで連結されている。位相変調器（ＰＭ）２６６は、ＶＯＡ２６４の下流に配置され、ＶＯＡ２６４に光学的に連結されている。ファラデーミラー２７０はＰＭ２６６の下流に配置され、ＰＭ２６６に光学的に連結されている。
【００２５】
アリスは、光切替／分割部２６０のポート２６２Ｄに連結された光子発光デバイス２８０（例えば、レーザ）と、同部２６０のポート２６２Ｂに連結された単一光子検出器２８６とを、さらに有している。以下、単一光子検出器２８６は、「ウォッチドッグ検出器」、あるいはＷＤＤ２８６と称す。これは、単一光子検出器２８６が、アリスに対して行なわれる可能性のある様々な探索攻撃に対して、監視者のように振る舞うからである。この観点から、本発明は、従来のＱＫＤシステムと比して、双方向型ＱＫＤシステムの安全性向上において、工業的実用性を有するものである。
【００２６】
実施例として、ＷＤＤ２８６は、パルスＰ１やＰ２とは異なる波長を持つ光信号（例えば、探知信号Ｐ３）を検出するために、かなり広いスペクトル検出感度を有する。実施例として、ＶＯＡ２８２は、光子発光デバイス２８０の経路に任意に配置されている。
【００２７】
また、アリスは、コントローラ２８８を有している。コントローラ２８８は、ＰＭ２６６と、光子発光デバイス２８０と、ＶＯＡ２６４と、ＷＤＤ２８６と、任意にＶＯＡ２８２と、光切替／分割部２６０が切り替え可能である場合には光切替／分割部２２６とに、動作可能なように（例えば、電気的に）連結されている。
【００２８】
コントローラ２４８および２８８は、（例えば、電気的あるいは光学的に）リンクされている。これは、アリスとボブの動作を同期させるためである。特に、位相変調器２２０および２６６、検出器２１６、並びにＷＤＤ２８６の動作は、アリスとボブ間で鍵が交換された時のゲート信号を用いて、コントローラ２４８および２８８で調整される。
【００２９】
光切替／分割部２６０がビームスプリッタである場合、２６０の伝達比は、透過率約９０％／１０％で変化してもよい（すなわち、光ファイバ２４０からＶＯＡ２６４までの送信は９０％であり、光ファイバ２４０からＷＤＤ２８６へは１０％である）。これに対して、光子発光デバイス２８０からＷＤＤ２８６へは９０％であり、ＶＯＡ２６４からＷＤＤ２８６へは１０％である。
【００３０】
［想定される動作］
以下の想定は、システム２００の動作を考慮するに当たってなされたものである。第１に、アリスは、ランダムに短い既知の時間間隔で、ＰＭ２６６において可能な位相設定の１つを選択すると想定する。そのため、ＰＭ２６６の設定情報は、この間隔外から取り出すことができない。これは、例えば、コントローラ２８８からＰＭ２６６に送信されるゲート信号Ｓ１を用いて行われる。第２に、アリスは、検出器２８６のバンド幅外の波長を用いようとする盗聴を抑えるために配置された、狭帯域フィルタ（図示せず）を任意に有すると想定する。第３に、イブは、アリスにおける検出器２８６、もしくはボブにおける検出器２１６の量子的効率、あるいはアリスもしくはボブのロス（減衰）を変えることができないと想定する。第４に、イブは、光ファイバ２４０にフルアクセス可能であり、光ファイバ越しに送信された光信号を変調、ブロック、あるいは置換することができると想定する。
【００３１】
さらに、イブは、ＰＭ２６６の状態を探知する能力を制限されている（例えば、探知ビームをアリスを通して送信する）。従って、イブは以下を行うことができると想定する。
【００３２】
１）接触なしにボブ→アリス→ボブと信号を送り続け、探知信号を加えることで、トロイの木馬攻撃を行う。
２）ボブ→アリス→ボブと送信された信号をブロックし、イブ自身の信号に置き換えることで、中間者攻撃を行う。
３）上記１）と２）の組合せを使用して、量子鍵情報を最大限得ようとする。
【００３３】
アリスとボブ間の通信をイブに盗聴されないためには、以下が要求される。
１）ボブの検出器２１６が、適切に調整されること。
２）アリスからボブへの位相変調されたパルスが、パルス当たりの平均光子数μであること、およびシステムの安全性分析に依存すること。ここで、μはあらかじめ定義されていてもよい。
３）ＷＤＤ２８６が、確実にμを一定とするよう調整され、かつ正しく設定されていること。
４）光ファイバ２４０におけるロスは、ロスの測定における基準と比較しながら監視されること（例えば、ロスの測定は、光ファイバ２４０が設置された時に行われる）。これは、ファイバに対する環境もしくは物理的な変化による信号の減衰が、認識可能かつ特定の値を超えないようにして行われる。
【００３４】
［動作方法］
図２にさらに示すように、システム２００の動作において、時間多重化／逆多重化光学システム２０６によって、パルス２０４は２つの別個のパルスＰ１とＰ２に分離される。図１の従来のＱＫＤシステムに対して、パルスＰ１とＰ２は、比較的弱いパルスである。パルスは、ＰＭ２２０に向かって光学システムの入力／出力端２０８Ｂを出て行く。ＰＭ２２０は、パルスが変調されずに通過可能なようにゲートされている。パルスＰ１とＰ２は、次に光ファイバ２４０越しにアリスへ送られる。パルスＰ１とＰ２は、光切替／分割部２６０とＶＯＡ２６４を通過する。そこでは、必要であれば、パルスを減衰可能である。次に、パルスは、ＰＭ２６６を通過し、ファラデーミラー２７０で反射され、再度ＰＭ２６６に送り返される。
【００３５】
ＰＭ２６６を介したパルスＰ１とＰ２の通過に際して、ＰＭはパルスの１つ（例えば、Ｐ１）を変調する。これは、コントローラ２８８によって行われ、コントローラ２８８では、パルスＰ１がＰＭ２６６を通過する際に、ＰＭ２６６を短時間で駆動させる、間合いの取れたゲート信号Ｓ１（すなわち、パルス間のタイムセパレーションよりも小さい）を送信する。次に、パルスＰ１とＰ２は、ＶＯＡ２６４を通って送り返される。ＶＯＡ２６４では、必要であれば、再度パルスを減衰してもよい。次に、パルスは、光切替／分割部２６０が光スイッチであるかビームスプリッタであるかによって、またシステムの動作モードにもよって、完全にＷＤＤ２８６に偏向されてボブにそのまま戻るか、あるいはパルスの１つもしくは各々のパルスの一部がＷＤＤ２８６に偏向される。
【００３６】
パルスＰ１およびＰ２と光切替／分割部２６０との相互作用について、以下に詳細に述べる。パルスＰ１とＰ２は、ボブと、パルスがＰＭ２２０に進むことを許可する光切替／分割部２２６とに直接送り返されると、当面は想定する。ＰＭ２２０は、選択的位相変調値の１つを用いてランダムにパルスＰ２を変調する。これは、ＰＭ２２０に間合いの取れたゲート信号Ｓ２を提供する、コントローラ２４８により行うことができる。ゲート信号Ｓ２は、パルスＰ２がＰＭ２２０を通過する短い時間の間に位相変調器を駆動させるものである。
【００３７】
変調されたパルスＰ１とＰ２は、光学システム２０６に進む。光学システム２０６は、パルスを結合し、この結合パルスを出力端２０８Ｃの外部へ、検出器２１６に向かわせる。検出器２１６は、結合パルスを受信し、コントローラ２４８に信号を出力する。信号は、ＰＭ２６６と２０６によって、各々パルスＰ１とＰ２に伝えられる相対位相に対応している。
【００３８】
［ＷＤＤの動作］
ボブとアリスが、量子鍵を設定する過程で弱いパルスの交換を初期化する際、実施例では、ボブからアリスに到着するパルス数、およびアリスを出てボブに向かうパルス数をカウントするために、ＷＤＤ２８６を使用した。このカウントは、ＰＭ２６６がパルスＰ１を変調するために駆動された時に行われる。
【００３９】
上述のように、アリスのコントローラ２８８は、ＰＭ２６６を駆動させるために、間合いの取れたゲート信号Ｓ１を送信する。これは、ＰＭ２６６を通過するパルスＰ１の位相を変調するためである。しかし、実施例では、コントローラ２８８は、ＷＤＤゲート信号ＳＤもＷＤＤ２８６に送信している。信号ＳＤは、イブからの弱い探知パルスＰ３をＷＤＤ２８６で検出するために、ＷＤＤ２８６を駆動するよう調整されている。探知パルスＰ３は、アリスに潜入し、わずかな動作時間の間にＰＭ２６６の位相設定を検出するように設計されている。実施例では、ゲート信号Ｓ１とＳＤが同じになるよう、光切替／分割部２６０とＷＤＤ２８６、および光切替／分割部２６０とＰＭ２６６間の光経路長が等しくなるよう設計されている。光経路長が異なる場合には、タイミング差をうめるために、ゲート信号Ｓ１とＳＤのタイミングが調整される（すなわち、時間遅延が導入される）。
【００４０】
光切替／分割部２６０がビームスプリッタである場合、パルスＰ１とＰ２の一部（例えば、１０％）は、ＷＤＤ２８６に向かう。これにより、アリスに到着する単位時間当たりのパルス数を測定することができる。ボブからアリスに到着する平均のパルス数は、盗聴者がいなければ、特定の時間窓において一定であり、所定値を超えるべきではない。しかし、ＷＤＤ２８６によってカウントされるパルス数が所定値を超えて増加した場合、余分のパルスは、盗聴者によるものであると想定でき、鍵配送の工程は終了する。
【００４１】
アリスから出力されるパルス数のカウント
実施例では、アリスから出ていくパルス数もカウントされる。これは、イブが、限られたタイムスロット数で強いパルスをアリスに送信していないことを保証するためである。ＷＤＤ２８６は、単一光子検出器であるため、単一光子パルスか多重光子パルスかを区別することは不可能である。
【００４２】
しかし、アリスに入力するパルス（μIN）、またアリスから出力するパルス（μOUT）の所定の時間間隔にわたるＷＤＤ２８６からの時間間隔当たりの平均光子数（あるいは、平均カウント数（「クリック」））を比較することで、イブの存在が明らかになる。
【００４３】
アリスのＶＯＡ２６４は、パルスがボブに戻る前に、所定の強度で通過するパルス（あるいは、パルス当たりの光子数）を減衰する。アリスに入力およびアリスから出力される平均光子数は、アリスでの減衰のために（すなわち、μIN≠μOUT）強い探知パルスがない場合には、一般的に、所定時間間隔において異なっている。しかし、イブが、ＰＭ２６６の状態に関する情報を得ようとして、アリスに強い探知パルスを送信する場合、アリスから出力されるパルスのＷＤＤ２８６における平均カウント数は、アリスに入力されてくるパルスの平均カウント数と等しく（あるいは、ほぼ等しく）なる（すなわち、μIN≒μOUT）。
【００４４】
従って、ＷＤＤ２８６は、アリスに入力およびアリスから出力されると考えられる光子数に関連するポアソン統計量を確認する。
【００４５】
図３Ａは、アリスに入力、および／またはアリスから出力されるパルス数をカウントするための配置例を示すアリスの拡大概略図である。図３において、光切替／分割部２６０は、ポート２６２Ａ〜２６２Ｄを含む２×２型カプラである。ポート２６２Ａには、光ファイバ２４０が連結されている。光ファイバ部３０２と３０４は、ポート２６２Ｂと２６２Ｃに連結されている。追加の光ファイバ部３０６は、ポート２６２Ｄに連結され、カプラをＶＯＡ２６４、ＰＭ２６６、ファラデーミラー２７０に接続している。光ファイバ部３０２と３０４は、単一ファイバ部３１０に継ぎ合わされている。単一ファイバ部３１０は、光学的にＷＤＤ２８６に連結されている。
【００４６】
本動作において、入力パルス３２０は、パルスの半分（パルス３２０’とする）が光ファイバ部
３０４を通過して、ＷＤＤ２８６で検出されるように、光切替／分割部（カプラ）２６０によって分割される。さらに、出力パルス３３０は、パルスの半分（パルス３３０’とする）が光ファイバ
部３０２を通過して、ＷＤＤ２８６で検出されるように、光切替／分割部（カプラ）２６０によって分割される。ＷＤＤ２８６は、入力および出力パルスを認識するために、コントローラ２８８でゲートされる。
【００４７】
図３Ｂに示される同様な実施例においては、２つのＷＤＤ２８６Ａと２８６Ｂが使用される。ここで、ＷＤＤは各々、光ファイバ部である３０２と３０４に連結されている。
【００４８】
図１で示すように、他の実施例では、光切替／分割部２６０は光スイッチであり、入力および出力パルスは、ランダムにスイッチを駆動することでカウントされる。その際、光ファイバ２４０からＷＤＤ２８６への光経路を方向付けるためにコントローラ２８８を用いる。これらの組み合わせで、ＷＤＤ２８６は、ＷＤＤ２８６に向かう放射パルスを検出するためにゲートされる。実施例では、スイッチングとゲーティングのタイムビンを選択するために、コントローラ２８８に位置するランダム数生成器ＲＮＧが使用される。
【００４９】
アリスとボブの検出器自動調整
システム２００の物理的な安全性を維持する重要な鍵は、アリスとボブを別個に適応させ、調整できるということである。アリスとボブ共に、安全ではない光ラインを通じて送信された光子を使用せずに、μを独立に選択できることが好ましい。そうでなければ、盗聴者が、パルスの強度を変更することが可能となってしまう（増幅、あるいは置換するなど）。その結果、ノード調整の質が落ち、悪意ある目的にパルスが使用されることになる（例えば、探知パルスのパワーを増加させたり、パルス当たりの平均光子数μとして安全ではない値を使用するように、アリスに強制したりするなど）。
【００５０】
従って、実施例では、光子発光デバイス２８０は、ボブから独立してＷＤＤ２８６を調整するために用いられる。ＷＤＤ２８６を調整するために、コントローラ２８８は、光子発光デバイス２８０とＷＤＤ２８６間の光経路を確立するように、光子発光デバイスを駆動する。また、光切替／分割部２６０が駆動スイッチであれば、状況に応じて２６０を制御する。実施例では、単一光子を含む、あるいは選択的なパルス当たりの平均光子数μ（例えば、パルス当たりμ＝０．１フォトン）を含む出力調整ビームＢＣを生成するために、可変光学アッテネータ（ＶＯＡ）２８２を光子発光デバイス２８０の前に配置する。
【００５１】
同様に、ボブは、アリスから来る信号を使用することなく、検出器２１６の調整が可能である必要がある。従って、実施例では、ボブは、光切替／分割部２２６を経てミラー２３０に、次に光学システム２０６を経て検出器２１６に、一つ以上の光パルス２０４（あるいは、Ｐ１および／またはＰ２）の一部または全部を反射することで、自身の検出器を調整する。次に、検出器２１６は、コントローラ２４８に調整信号を送信する。コントローラ２４８には、検出器の調整を独立して行うための調整信号にうめこまれた情報が保存されている。ここで、ＢＢ８４の構成において、実際に、ボブが、調整の必要な二つの検出器を備えていることについて言及しておく。
【００５２】
ここでは、光子発光デバイス２８０とレーザ２０２が、各々、内部調整デバイスを含んでいると想定している。あるいは、コントローラ２８８と２４８において、各々、デバイス／レーザ調整が可能であることを想定している。
【００５３】
［ＷＤＤによる盗聴の制限］
盗聴に際して、イブは古典的なパルスを使用していると想定する。従って、イブが用いるいかなる量子状態もロスに対して脆弱である。また、アリスは、レイリー散乱を大きく増加させないためには十分小さいが、イブが用いる量子レベル（すなわち、弱い）にある探知パルスの量子相関を破壊するには十分高いロスを有している。
【００５４】
イブが所定の条件で、アリスを探知して受信可能な相互情報量の束縛条件を発見するためには、推定理論を用いることが可能である。一般的に、以下に述べるように、情報の漏洩は、秘密増幅段階で考慮され得る。アリスを探知し、しかもボブの検出器２１６あるいはＷＤＤ検出器２８６の量子効率を変更するために、イブが用いる可能性のある抜け穴をできる限り最小にするためは、検出器調整工程を行うことが好ましい。
【００５５】
第１に、ボブから光信号（パルス）は送られて来ず、アリスが入力および出力信号の両方を測定している場合を考える（ここでは、アリスの位相変調器２６６が作動中であると想定する）。ここでの課題は、ＷＤＤ２８６の信号の平均が与えられる、ＰＭ２６６の実際の位相設定に関して、盗聴者が得ることのできる情報の計算を行うことである。所定のタイムスロットの平均光子数が扱いやすい。平均光子数は、＜ｎi＞と表す。ここで、ｉ＝Ａ、Ｂ、Ｅ（アリス、ボブ、イブ）である。本システムにおける、次のパラメータは、アリスにおけるロスである。アリスは、いくらかのロスを加える。加えなければ、イブが測定に際し、正しい単一光子源を使用し、利益を得てしまう。アリスにおけるロスは比較的小さいと想定されるが、それでも盗聴者による正しい単一光子源の悪用などを防ぐには、まだ不十分である。
【００５６】
アリスにおいて前述のロスが存在する場合には、イブは、弱い探知パルスを生成するために、弱い相関パルス源を使用するしかない。ＬAは、アリスにおけるワンパスのロスを示し、イブが平均光子数＜ｎE＞を有する、弱い相関パルス（ＷＣＰ）源を使用していると想定する。
【００５７】
イブがアリスからやってくる全ての光子を解読でき、また、タイムスロットが１つあるいは２つの光子を含んでいることなどを、正確に把握していると想定することは適切である。なお、イブが量子非破壊（ＱＮＤ）を有していないとすると、イブはタイムビンを全て測定する必要がある。アリスの空もしくは満杯のタイムビンを解読できると、イブは、ＰＭ２６６の位相情報を得るために必要な探知パルスの数を制限することができる。従って、アリスのノード内部のロスにより、入力される平均光子数は、探知パルスと近い値、あるいはより高い値にすらなる。
【００５８】
イブがパルスを有していない確率は、ポワソン分布により定義されるクリックなしの確率であり、以下のように表される。
【００５９】
Ｓ0＝ｅｘｐ（−ＴA＜ｎE＞）            （０．１）
ここで、ＴA＝（１−ＬA）2は、アリスの２重パス透過性を示す。アリスから出力される平均光子数は、１より小さいと仮定する（すなわち、μOUT＜１）。再度、簡単にするために、ＷＤＤ２８６は、以下の条件でこの問題を簡単に解けるとする。
【００６０】
＜ｎE＞≒＜ｎB＞                    （０．２）
従って、ＷＤＤ２８６は、平均光子数＜ｎi＞の倍増を解決できる。信号がアリスから出た後、ボブに入力される平均光子数はＴA＜ｎB＞となる。ＴA＜ｎE＞の量は、イブから送信された探知信号の平均光子数となる。ボブに入力されるパルスあたりの平均光子数は、μと等しくならねばならない。これは、安全な送信のために、十分に低い値に維持される（例えば、μ＜０．１）、「マジック」光子数である。従って、以下は望ましい評価である。
【００６１】
ＴA＜ｎB＞≒ＴA＜ｎE＞              （０．３）
ここで、μが小さい数であることを利用して、鍵の値、特にタイムスロットの値を測定しているイブの確率は、以下のように抑えることができる。
【００６２】
ＴA＜ｎB＞・ＴA＜ｎB＞≒μ2            （０．４）
上記（０．４）式は、「衝突確率」と呼ばれる。これは、本方法を用いると、イブが測定している、アリスからの光子を少なくとも一つ含むタイムスロットの確率は、μよりも小さいことを意味している。さらに、イブは、単一光子パルスから全ての情報を取り出すことができない（具体的には、イブは、両ベースにおいて完全な情報を同時に取り出すことができない）。
【００６３】
μ＝０．１であるとすると、イブはタイムスロットの１０％の情報を得ることになり、これは、秘密増幅時に考慮され得る。情報の１０％は、送信におけるエラーの５％に対応しており、これはまだ、秘密増幅によって行われる可能性がある。
【００６４】
中間者攻撃に対処するために、アリスは、出力信号のレベルをμと同等な低いレベルに維持する。これにより、「通常の」ＢＢ８４プロトコル（２つの光子イベントが同じ方法で扱われる）で盗聴者が行うものと同じ方法で、イブが両方の相補的ベースにおける情報を測定することを防ぐのである。有利なことに、物理的な安全性は、ここでも量子論によって扱われ、不確定性原理によって守られる。
【００６５】
従って、アリスにとって、入力光パルスを監視し、出力流量をタイムスロット当たりの平均強度μに保つことは有益である。上記議論から、秘密増幅に利用するために十分低い相互情報量が保証される。イブが弱い相関パルスによりアリスを探知しようとしても、イブは、μの値に依存する所定の束縛を超えた情報を得ることはできない。むしろ、イブは、ＱＫＤシステムの安全性全体には影響を与えずに、鍵のレートを減少させるだけなのである。
【００６６】
以上、本特許出願は、２００３年２月７日に出願された、米国仮特許出願第６０／４４５，８０５号と、２００３年９月２５日に出願された、米国特許出願第１０／６７０，９７９号とから、優先権を主張する。
【産業上の利用可能性】
【００６７】
本発明は、量子暗号の分野に関し、量子暗号の分野で工業的実用性を有する。特に、２つの場所間で慎重を期する情報を送信する場合に、安全性の強化を必要とする装置や方法に対して工業的実用性を有する。
【図面の簡単な説明】
【００６８】
【図１】‘２３４特許に記載された従来の折り返し型ＱＫＤシステムに、レイリー散乱を抑えるための遅延ラインをさらに有する、折り返し型ＱＫＤシステムの概略図。
【図２】折り返し型ＱＫＤシステムの安全性を向上させるウォッチドッグ検出器と関連構成要素を有する、折り返し型ＱＫＤシステムの概略図。
【図３Ａ】１つのＷＤＤを使用して、アリスに入力および／またはアリスから出力されるパルス数をカウントする配置の例を示す、アリスの拡大概略図。
【図３Ｂ】２つのＷＤＤを使用して、アリスに入力および／またはアリスから出力されるパルス数をカウントする配置の例を示す、アリスの拡大概略図。
【符号の説明】
【００６９】
２００    ＱＫＤシステム
２０２    レーザ
２０４    光パルス
２０６    光学システム
２１６    検出器
２２６，２６０    光切替／分割部
２４０    光ファイバ
２４８，２８８    コントローラ
２６６    位相変調器
２８０    光子発光デバイス
２８６    ＷＤＤ検出器
【図１】
2006512879.tif 000003
【図２】
2006512879.tif 000004
【図３Ａ】
2006512879.tif 000005
【図３Ｂ】
2006512879.tif 000006
【国際調査報告】
2006512879.tif 000007