量子情報処理パラダイム

2．量子暗号
富田 章久…‖‖‖＝……………‖‖‖‖＝州…＝州…‖‖…川‖‖＝……l‖州l……l‖‖‖‖‖…lll………‖‖‖‖m‖‖‖‖‖…lll……‖‖‖‖‖州l……ll‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖‖＝…‖‖州…川‖‖‖‖州………仙‖……‖仙……………州…‖‖‖仙川…仙現法，今後の研究課題についても述べる．

1．はじめに

2．暗号鍵配布の安全性

インターネットの爆発的普及，電子商取引の実用化

今，送信者（Alice）から受信者（Bob）に2進乱を迎え，通信の秘密保持・改蛮防止や個人の認証など暗号技術の社会的な必要性が高まっている．現在，数列を送る．得られた生の鍵から図1のような過程でDES暗号のような共通鍵方式やRSA暗号をはじめと最終鍵が生成される［5］．このとき，乱数について盗する公開錘方式が広く用いられている．しかし，これ聴者（Eve）が持つ情報量よりもBobの情報量が大らは「計算量的安全性」つまり今あるコンピュータできければ，情報量の差の分だけの安全な乱数列をは暗号を解読するのに時間がかかりすぎるということAliceとBobが共有することができる．Eveの情報に基盤を置いている．つまり，現行の暗号方式は計算量を減らすために，量子力学の測定の性質を用いるの機ハードウェアと暗号解読アルゴリズムの進歩に常にが量子暗号錘配布である．量子力学における測定には脅かされている．特に銀行間のトランザクションや軍① 非直交状態を1回の測定で完全には区別できな事・外交にかかわる情報などの極めて高い安全性が要い（ある確率で間違う）．
② 未知の状態の完全なコピーは作れない．

求される分野では原理的に安全な暗号方式が実用になればそのインパクトは大きい．量子暗号の安全性は量といった性質がある．Aliceは，いくつかの状態がそ子力学という物理学の原理に基づいているため，いかれぞれビット値0または1を表すとして，送信する状なる技術の進歩があっても保証される．Bennettら

態がどの固有状態にあるかをあらかじめBobに知ら［1］による具体的な量子暗号鍵配布プロトコルの提案せずに送信する．盗聴を行うためにEveは量子力学を契機に孟子暗号の研究が盛んになっている．

的状態を完全に知るには①の性質により多数回の測定

本稿では，量子暗号の中で最も実現性が高いと考えを行わなければならないが，1ビット当たり1個しかられている量子暗号鍵配布を紹介する．情報理論で無光子が送られない場合，②により完全なコピーが作れ

条件安全性が証明されている暗号方式にone timeないのでそれは不可能である．Eveの測定結果はこのpad法がある［2］．この方法では乱数の列（暗号鍵）ため必ず誤りを含む．完全な測定ができないのはを他人に知られないように共有することが必要だが，Bobも同様であるが，彼は別の通信路でAliceと通量子暗号鍾配布はこのための手段を与えるものである．

信することができ（この通信路は古典的で誤りはない

装置が完全な場合には量子暗号鍵配布の安全性は数学ものとする），送られてきた乱数列のうち自分がどの的に証明されている［3，4］．しかしながら，現実にはビットで正しい測定をしたかを知ることができる．

完全な装置を作成するのは不可能である．実際の装置

Aliceとの古典的な交信によって正しい測定をしたビで安全性を保障するには最適なシステムの設計を行うットだけを鍵として採用すると，鍵のビットについて必要がある．以下では，現実のシステム解析に適用でのBobの誤り率は三哩想的には0になる．このように，きる安全性の解析法を吉見明する．量子暗号鍵配布の実

古典的な通信によってBobは鍵についての情報量を高めることができ，安全な鍵の共有ができる．Eveがとみた あきひさ

科学技術振興事業団今升孟子計算機構プロジェタト
NEC基礎研究所〒305−8501つくば市御幸が丘34322（44）

自分の情報量を増やすために途中で測定を行うとBobの誤り率が異常に増大するため盗聴が検出される．

© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ■

以上のことをより定量的に検討する［6］．Bobの測測定結果からもとの量子状態を推定することに当たる

定結果における誤りは装置吟ゞ完全な場合は盗聴者の存ためである．測定結果が〝のとき量子状態が才であ在を示すが，実際には装置の不完全性からも誤りが生る条件付確率紬は，もとの量子状態がとる確率れじ，これらは区別できない．現実の装置で誤りを全て量子状態が才のとき〟なる測定結果を得る確率

盗聴と判断すると暗号鍵の共有が不可能になるので，P（〃Iわと測定した結果が〟になる確率凡とを用いてどの程度誤りがあっても安全な暗号鍾が生成できるか

Bayesの定理によりを解析する必要がある．Bobの誤り率をeβとすると

紬＝（3）AliceとBobの間のシャノン情報量はアプリオリにで与えられる．確率かとP（〟lブ）は測定する系によっ

等確率な2値信号に対してはん月＝1＋eβlog2eβ＋（1−eβ）log2（1−gβ）てあらかじめ決まる．また，確率凡は測定の結果と（1）して得られる．EveのRenyiエントロピーは測定で与えられる．Bobは判別できたnsut tfット（sift−（盗聴）前の値凡）＝−log2∑♪雷から測定した結果〟

ed bits）のうちnsu，1＾Bビットの情報しか持たない．

による値凡」＝−log2∑ヴ乙に減少する．盗聴によっ

2方向通信による，知られている最もよい誤り訂正プて得られるEveのRenyi情報量ZRはロトコル［7］では誤り率は0．15以下でなければならないとされている．ここで得られた誤りのない長さ乃柁。

′斤＝㍗車log2写かlog2写〃‰）のビット列（reconciled bits）からさらに秘匿性増強（4）となる．特にアプリオリに等確率な2値信号（か＝♪2（Privacy Amp】ほcation）アルゴリズムによって安全＝1／2）に対してはな暗号鍵を得る．Eveの得る情報量の上限を丁とす′〝＝写ヰ＋log2写q‰）

ると，ビット列の長さのr（＜1）倍をハツシングに用（5）い，さらに乃5ビットを安全パラメータとして犠牲にである．IRの上限丁はCollision Rateの期待値することで，生成された長さ（1−丁）乃柁。一刀5の暗号

く♪。（y）〉を用いて鍵に対するEveのシャノン情報量をr＝1・log2〈♪c（y）〉

伊d ≦log2（2−恥・1）た篇（2）（6）で表される．ただし，Collision Rateは以下のようにに抑えることができる［8］．ここで乃5は定数だから定義される．Aliceの送るビット列をX，Eveが盗聴十分長い乱数列を送れば無視できるようになり，任意の結果得たビット列をyとする．測定結果がy＝の安全性を持つ長さがほぼ（1−㌻）乃re。の暗号鍵が得ら（拘）のとき，送られたビット列が∬＝（ん）である条件れる．

付確率は個々のビットについての条件付確率の直積

Eveの得る情報量はRenyiのエントロピーの減少で測る［5］．これは盗聴という行為が，Eveが自分の2002年5月号

EhLPh。b。t（xly）＝rTqLJP，になる．CollisionRateは全ての可能なビット列．方について貝印抽旭の2乗の和と© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（45）323

れぞれ0と1にする組を用いる．暗号鍵配布の手順はして定轟される：

以下のようである．
（7）

ヵc（y）＝写招御飯抽）＝如仔乙〝ノ）

1．Aliceは1ビットごとにどちらかの組を使うかこれより，CollisionRateの期待値はを決めて乱数を送る．この段階ではAliceは自（8）く♪c（y）〉＝写助c（〝）＝（冥祝げr8C

分の選択をBobに連絡しない．

2．Bobは送られてきた光子の偏光状態を測定するとなる．これと式（6）を用いると丁はr＝1＋log2∑凡百‰ f（9）J」

が，検光子を00方向と900方向の偏光を正しく判別できる基底か450方向と1350方向の偏光をと表される．Jensenの不等式

正しく判別できる基底のいずれかをランダムに∑凡log2∑烏有≦log2∑凡￠‰

（10）

i，〃

選択して測定する．検光子の向きが送られてきにより，T≧IR，すなわち㌻がRenyi情報量の上限でた偏光とあっているときは正しいビット値が得あることが示された．

られるが，向きが違っているときは正しい値は以上で述べた誤り訂正と秘匿性増強の過程で失われるビットを考えると暗号鍵の鍵生成レートは次のように書ける：

得られない．正しい測定が行える確率は1／2である．

3．AliceはBobが全ての光子を受け取った後にそ斤＝1十ズ［eβlog2伽十（1−eβ）log2（1−eβ）ト丁（11）

れぞれの光子について自分の選択をBobに連絡

ただし，ズは誤り訂正の効率である．安全な暗号鍵配し，Bobは正しい測定をしたビットの位置を布にはこの鍵生成レートが正の値になることが必要でAliceに連絡する．これでAliceとBobはビッある．実際の暗号鍵の生成レートは上の斤に信号検ト列を共有できる．偏光状態の組や検光子の向出レートと，検出された信号から判別されたビットがきについての連絡はビット催そのものを知らせ得られる確率をかけたものになる．量子暗号では盗聴ているわけではないので普通の通信路を使えばによって得られる情報量㌻が大きくなると誤り率eβよい．

も大きくなる．言い換えれば，誤り率が与えられると4．Bobは送られてきたビットをいくつか選んでEveの得られる情報量は量子情報理論に基づいて決めAliceに確認し，誤り率を測定する．誤り率がられる最適な盗聴法におけるゎ♪f（eβ）で上限が抑えら大きければAliceとBobは盗聴者がいたと結論れる．これによって所望の安全性を実現するために必し，その回送られた乱数列は全て捨てる．誤り

要な秘匿性増強のためのビット数や誤り率の許容範囲率が小さいとき，誤り訂正と秘匿性増強を経てが決められる．最適な盗聴法は信号の伝送方法と盗聴安全性が確認できた乱数列を最終的な暗号鍵と方法によって変わるため，実際に行われる量子暗号鍵する．

配布の方法に基づいた解析が必要である．

暗号鍾配布システムの構成はおおよそ図2に示すようなものである．送信者は乱数発生器からの出力で光3．量子暗号鍵配布の実際源からの光を変調する．このとき，符号化の基底をラ3．1実現法

ンダムに選定するためもう一つ乱数発生器が必要であ

上に述べた不完全な測定と古典的通信による受信者る．生成された光子は伝送路（光ファイバまたは自由の情報量増大を量子力学的状態の測定によって実現す空間）を通って受信器に入る．受信者は光子の状態をる具体的な方法としてBB84［1］とよばれる偏光また測定するための基底を受信者の乱数発生器によって定は位相で表された光子の4状態を用いる方法，非直交め，光子検出器で光子を検出する．以上で量子通信路

2状態を用いるB92［9］，エンタングル状態を用いるが構成される．これに加えて暗号鍵を生成するための2粒子干渉E91［10］やこれらの変形が提案されている．

古典通信路が必要になる．実際のシステムではさらにここでは，最も解析が進んでいるBB84について説

クロック分配，送受信者の基底の較正，その他のシス明する．具体的には，光子の偏光状態をビット値に対テム管理情報の交換が必要だが，これは古典情報路と応させる（符号化）．例えば水平（0り 方向と垂直共用できる．また，量子通信と古典通信で用いる光の（900）方向の直線偏光状態をそれぞれ0と1とする組

波長を変えることで物理的には同一の光ファイバを用と，斜めの450方向と1350方向の直線偏光状態をそいることができる．

324（46）© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

t・

■・・・

図2 量子暗号鍾配布システムの構成（二重線で結ばれた部分が量子通信路に当たる）

3．2 装置が不完全な場合の安全性［6］い．また，受信器における検出確率をj㌔打とすると送信側の光源が完全（必ず1光子を放出する）で受乃柁。＝月矧明槻である．結局，鍾生成レートは斤＝（1−〟／形作。）（1−log2Ll＋4er−4e封）信側の装置も誤りがない場合，量子暗号鍾配布は無条件に安全である．盗聴がビットごとに行われる場合＋ズ［eβlog2eβ＋（1一朗）log2（1−eβ）】（14）（IndividualAttack），送信側の光源が完全で1ビッで与えられる．誤り訂正が完全に行われるとして（ズト当たり1光子のみを送る（単一光子光源）場合，＝1）鍵生成レートが正の値を取る誤り率の最大値はBB84プロトコルでは光源が完全な場合0．113となる．

r（eβ）≦（ミ

一方，伝送路での光子の損失は鍵生成レートを低下

log2（1＋eβ￣4e孟）（lカ

させるだけで誤りを生まないので，安全性には直接影で丁の上限が与えられる［11］．近似的に単一光子を響しない．ただし，受信器が光子を誤検出する（ダー発生する光源としてよく行われているように半導体レクカウント）確率が高いときには伝送された光子よりーザからのパルス光を0．1光子／パルス程度に弱めた誤検出が支配的になるため誤りが増加する．光子検出

ものを使うと，光子数乃の分布は平均光子数Ⅳのポには一般に光通信用のアバランシュフォトダイオード

ワソン分布P（乃，〃）＝eXpト〃］Ⅳ乃／乃！になる．1ビ（APD）が光子計数モードで用いられる［13，15］が，ット当たり2個以上の光子が送られていると，光を分1ビットスロット当たりのタータカウント確率は10￣6岐して受信する光子の状態に影響を与えずに測定できから10−3程度になる．伝送路での損失をα（dB／km），

るので，検出されることなく盗聴が可能になる．すな

光子の偏光状態が一部ランダムになる割合を〝とす

わちCollisionRateは1になりうる．今，誤り訂正しる．受信器が光子を検出する確率（量子効率）をヮ，て得た乃柁。ビットのうち，∽ビットが2個以上の光ダークカウント確率をj㌔，受信器における損失βと子で送られたとする．．盗聴によって状態が変化して誤する．⊥kmの伝送後に受信器が光子を検出する確率りが起きるのは光子数が1個のときだから，㌻の評価は1ビットスロット当たり検出器に1個以上の光子が式（1カで用いるべき誤り率erは測定された誤り率eβを到達する確率を5としてj㌔gr＝勤＋J㌔一助凡で与形作。／（乃柁。一肌）倍したもめになろ．また，ビット列にえられるから受信器における誤り率はついてのCollision RateはmビットのCollision￠β且斤＝Rateが1であることから（8）でn柁。をnn。−mに置き

S叩＋j㌔（1勃2j㌔grとなる．1ビットの乱数を送るのに平均光子数〃の換えたものになる．Aliceの送るビット列が十分長いレーザパルスが使われたとすると，Sは（長さ乃畑 ）とき研は期待値〟で置き換えてよい［6，S＝1−eXp卜10￣（dL＋抑10N］（16）12］ので，er＝eβで与えられる．最終的に鍾が生成されるレートはビッ乃rec（用‰c−〟

また，〟／乃 。 は送信側で1ビット当たり2個以上の光子が送られる確率S〟＝1−eXp［−Ⅳ］（1＋〃）に等し2002年5月号

ト列が送出されるクロック周波数／とを使って以下のように表せる：

R，加L［bit／sec］＝（1／2）f［Hz］・j㌔ETR© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（川（47）325

ここで，最初の1／2はBB84プロトコルでBobが正偏光は必ずしも保存されないため，ビームスプリッタ

しい測定をする確率である．観測される誤りが全て受で分割した光子の位相差をビット値に対応させること信器に起因すると仮定すると伝送可能な距離を求めるがよく行われている．現在得られている最長の量子暗ことができる．伝送路として光通信に広く用いられる

号鍵配布の実験は48kmのファイバを用いている波長である1550nm帯で得られるα＝0．2dB／km，V［19］．また，ファイパを通るときの偏光状態のゆらぎ＝0．01のファイバを考える．図3は単一光子光源をを自動的に補償する方法も提案されている［17］．この用いた場合の鍵生成レートでクロック周波数により規方法を用い，誤り訂正や秘匿性の増強も含めたシステ格化したものを示す．これから，100km以上の伝送ム実験も行われ，10kmのファイバを伝送させて最終を行うには光子検出器のダークカウント確率を10−4的な鍾生成レート200bit／sが得られている［18］．こ以下にしなければならないことがわかる．ここで，受れらの実験についての詳細は文献を参照されたい．

信器の損失を1dB，量子効率を0．18と仮定した．図4．今後の研究課題

4は光源としてレーザ光を用いた場合の鍵生成レートを示す．単一光子光源を用いたときに比べ伝送可能な最後に今後研究の進展が期待される課題をいくつか距離が大幅に狭まっている．

あげる．
前節で見たように安全に伝送できる距離を増すには

3．3 実験の現状

British Telecom［16］，ジュネーブ大［17］，IBM単一光子光源が必要である．より単一光子に近い光源［18］，Los Alamos国立研［19］などいくつかのグルーとしては非線形光学結晶から2光子の対が発生する現プで暗号鍾配布の実験が行われている．ファイバでは象（パラメトリックダウンコンバージョン，PDC）を用いることも提案されている［6］．pDCが同時に同か起きないため，ほぼ単一光子を発生する光源とみな02すことができる．光子が発生したことは2光子対の片0方を検出すれば知ることができる．既にいくつかの研■究機開から実験の報告があるが装置の大きさや光子の0発生効率の低さを克服する必要がある．
■

理論的にも，光源が完全でない場合の本稿で述べた

0︵白山NコV≡∝ON︶

11111

山一く∝NO−トく∝Z些りゝ山i

じエネルギーの光子を発生することは極めてまれにし解析はindividualな盗聴法しか扱えず，全ての盗聴
00ヰ

204060
DI＄TANCE（kmト80100

に対する安全性の証明や効率の良いプロトコル等の研究が必要である．
また，暗号鍾を生成するためのソフトウェアも重要■

図3 単一光子光源による暗号鍵生成レートと伝送距離である．誤り訂正や秘匿性の増強，相手の認証などが（fもはダークカウント確率）必要となる．情報理論はビット数の下限を与えるだけ1トを犠牲にすることが必要になるかが異なってくる．

0■

できるだけビットの損失の少ないプログラムを作るこ1とが必要である．これらは実際に量子暗号鍵配布が可い

能な誤り率の限界をきめるため，実用上の性能一伝送

1

距離・伝送レートなどに大きな影響を与える．

0■︵quNコく≡∝ON︶

山一く∝NO●トく∝︼N山ロト﹈ヒであり，アルゴリズムや実装によってどれだけのビッ種々の実証実験が示しているように量子暗号鍵配布
は既存の光通信デバイスを用いることによって実現で0102030DISTANCE（kmI326（48）きる．理論，実験とソフトウェア開発をさらに進めていくことにより，実用的な量子暗号システムの実現は

図4 レーザ光による暗号鍵生成レートと伝送距離（Ⅳは1パルスの平均光子数）40

比較的早いものと期待される．さらに，長距離伝送や交換，多対多の暗号鍵配布，量子暗号鍵配布以外の暗© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

オペレーションズ・リサーチ

［9］Bennett，C．H．， Quantum cryptography using any号プロトコルなどにより高皮な安全の保障された量子暗号ネットワークが社会の根幹を支えることを期待し

twonon−Orthogonalstates ，月如．Reu．Lelt．，68（1992），ている．認子暗号の研究は情報の基礎理論からプロト

312ト3124．

［10］Ekert，A．K．， Quantum cryptography based onBell，stheorem ，Eb．Rev．Leit．，67（1991），661−663．

コル，物理的実装，テンヾイス開発と広い分野にまたがっている．この中でも実際の設計に必ず現れる最適化［11］Lutkenhaus，N．，の問題を扱うことが今後より重要になっていくものとSecurity against eavesdropping

inquantumcryptography

考えている．

，勒．Rev．，A54（1996），97−

111．

［12］Hoe仔ding，W．，JAm．Shli．Assoc．，58（1963），13，

参考文献［13］Hiskett，P．A．，Bonfrate，C．，Bujjer，G．

［1］Bennett，C．H．，andBrassard，G．，

Quantumcrypto−

Townsend，P．D．，

graphy：Public key distribution and coin tossing ，

experimentusinganInGaAs／InPSPAD−basedquan−

P和C．皿J乃ム C血〆（九 Co，，ゆ〟ね柑，伽ね∽5，α乃dtum cryptographyreceiveroperatingatl．55FLm

Sな乃αJ伽c俗Sわ移助郷わ喝血dね，（1984），175．

，］．

〃od．（砂Jfα，48（2001），1957−1966．

［2］岡本達明，山本博資，『現代暗号』（1997），産業図書，第4［14］Stuck，D．，Ribordy，G．，Stefanov，AリZbinden，H．

牽．

［3］Mayers，D．，

Eighty kilometer transmission

Rarity，）．G．，Wall，T．，

Unconditionlsecurityin quantum

key distributiom with Peltier cooledInGaAs／InP

cryptography ，（1998），arXive e−PYint quani−♪h／APDs

9β02α，5．

Photoncountingforquantum，j．Mod Otics，48（2001），1967−1981．

［15］Bourennane，M．，Karlson，A．，Ciscar，）．P．

［4］Nielsen，M．A．，andChuang，I．L．，Quantumcon4）uLa−
tion and quantumildbmation，Sec．12．6（2000），Cam−bridgeUniv．Press，Cambridge，UK．

Mathes，M．，

Single−Photon countersin the telecom

wavelength region of 1550 nm for quantum informa‑

tionprocessing ，JMod．Otics，48（2001），1983−1995．
［16］Marand，C．and Townsend，P．D．， Quantum key［5］Slutsky，B．，Rao，R．，Sun，P．−C．，Tancevski，L．，andFainman，S．，

Defense frontier analysis of quantum

distribution overdistancesaslong as30km

cryptographicsystems ，4妙l．Cbtics，37（1998），2869−
2878．

［6］Lutkenhaus，N．，

Security againstindividual

attacksforrealisticquantumkeydistribution

上e払，20（1995），1695−1697．

［17］Zbinden，H．，Bechman−Pasquinucci，H．，Gisin，N．
and Ribordy，G．，，鼎卵．

凡紺リA61（2000），052304．

Quantum cryptography，A〟，J．

月明りβ67（1998），743−748．

［18］Bethune，D．S．，and Risk，W．P．， An autocompen・［7］Bassard，G．，andSalvail，L．， Secret−keyreconcila−
tionbypublicdiscussion，（砂tics，PYDC．Eurocrht

93（Lofth−us，Norway，1993）．

Sating 負ber−Optic quantum cryptography system
based on polarization splitting oflight，」旺EgJ￠〟α乃蝕桝EJβCわ℃乃．，36（2000），340−347．
［8］Bennett，C．H．，Brassard，G．，Crepeau，C．，andMaur−［19］Hughes，R．JリMorgan，G．L．，andPeterson，er，U．M．，

Generalized privacy amplification

71Ⅵ乃S．ノブげ7Ⅶβ0叩，41（1995），1915−1923．

2002年5月号，1BEE

Quantum keydistributionovera48kmoptica＝ibre
network ，JMod．（砂tics，47（2000），533−547．

© 日本オペレーションズ・リサーチ学会. 無断複写・複製・転載を禁ず.

（49）32丁