特開 2023-666 量子鍵配送システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2023000666

(43)【公開日】2023-01-04

(54)【発明の名称】量子鍵配送システム

(51)【国際特許分類】

   H04L 9/12 20060101AFI20221222BHJP

【ＦＩ】

H04L9/00 631

【審査請求】未請求

【請求項の数】3

【出願形態】ＯＬ

(21)【出願番号】P 2021101617

(22)【出願日】2021-06-18

(71)【出願人】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(74)【代理人】

【識別番号】110001243

【氏名又は名称】弁理士法人谷・阿部特許事務所

(72)【発明者】

【氏名】本庄 利守

(72)【発明者】

【氏名】武居 弘樹

(72)【発明者】

【氏名】生田 拓也

(72)【発明者】

【氏名】井上 恭

(57)【要約】

【課題】ＴＦ－ＱＫＤシステムと同様の構成で、デコイ法を用いることなく光子数分岐攻撃を検知できる量子鍵配送システムを提供する。
【解決手段】離れた二者（アリスとボブ）のそれぞれの装置は、連続するコヒーレントパルス列を出力するコヒーレント光源、前記コヒーレントパルス列の各パルスに対して位相差０またはπを付与する位相変調器、および１パルス当りの平均光子数が１未満であるように設定された減衰器を含む。第三者（チャーリー）の装置は、前記コヒーレントパルス列が入力される第１の２×２光ビームスプリッターと第２の２×２光ビームスプリッターとの間が２本の光路で接続され、前記２本の光路により、遅延時間がパルス間隔に等しく、伝搬位相差が２πの整数倍である遅延回路を構成する遅延マッハツェンダー干渉計、および前記第２の２×２光ビームスプリッターの出力のそれぞれに接続された２つの光子検出器を含む。
【選択図】図２

【特許請求の範囲】

【請求項1】

離れた二者に共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムであって、
前記二者のそれぞれの装置は、
連続するコヒーレントパルス列を出力するコヒーレント光源、
前記コヒーレント光源から出力された前記コヒーレントパルス列の各パルスに対して位相差０またはπを付与する位相変調器、および
１パルス当りの平均光子数が１未満であるように設定された減衰器を含み、
鍵共有を仲介する第三者の装置は、
前記二者からの前記コヒーレントパルス列が入力される第１の２×２光ビームスプリッターと第２の２×２光ビームスプリッターとの間が２本の光路で接続され、前記２本の光路により、遅延時間がパルス間隔に等しく、伝搬位相差が２πの整数倍である遅延回路を構成する遅延マッハツェンダー干渉計、および
前記第２の２×２光ビームスプリッターの出力のそれぞれに接続された２つの光子検出器を含み、
前記二者の一方の装置において、前記第三者から得られた光子検出の結果と、前記二者の他方の装置から得られた位相差の情報とに基づいて、前記秘密鍵を生成することを特徴とする量子鍵配送システム。

【請求項2】

前記二者の装置から前記第１の２×２光ビームスプリッターの入力に至るまでの伝搬経路は、前記二者の搬送波位相をφ_a、φ_bとしたとき、φ_a＝φ_b＋π／２となるように設定されていることを特徴とする請求項１に記載の量子鍵配送システム。

【請求項3】

前記二者の装置において、各パルスに対して付与する位相差は、０またはπのデータ位相θ_dと、バイアス位相θ₀＝πｋ／Ｍの和θ＝θ₀＋θ_dであり、Ｍは２以上の整数、ｋは０≦ｋ＜Ｍを満たす整数であることを特徴とする請求項１または２に記載の量子鍵配送システム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、長距離化が可能である振幅場対量子鍵配送方式における量子鍵配送システムに関する。

【背景技術】

【0002】

量子力学の原理に基づいて、共通鍵暗号通信のための秘密鍵を、離れた二者に安全に供給する量子鍵配送（Quantum Key Distribution：ＱＫＤ）の研究開発が進められている。ＱＫＤにもいくつかの方式があるが、ここでは従来技術として、長距離化が可能である振幅場対ＱＫＤ（Twin Field QKD：ＴＦ ＱＫＤ）について述べる（例えば、非特許文献１参照）。

【0003】

図１に、従来の量子鍵配送システムの構成を示す。ここでは、鍵を共有する二者をアリスとボブ、両者の中間点に位置して鍵共有の仲立ちをする第三者をチャーリーと呼ぶ。アリス１０及びボブ２０には、コヒーレント光源１１，２１と、強度変調器１２，２２と、位相変調器１３，２３と、１パルス当りの平均光子数が１未満であるように設定された減衰器１３，２４とが、それぞれ順に縦続接続されている。チャーリー３０には、アリス１０及びボブ２０に接続された伝送路からの信号光を入力し、光子検出器３２，３３に出力する２入力２出力のビームスプリッター３１が設けられている。

【0004】

アリス１０及びボブ２０から、チャーリー３０へそれぞれ信号光を送り、チャーリー３０は、送られてきた信号光を合波して光子検出する。このＴＦ ＱＫＤシステムでは、アリスとボブの物理的距離は、光子の伝送距離の２倍となる。そのため、アリスとボブの間で光子を送受信するＱＫＤシステムよりも長距離化が可能である。以下、この構成によりアリスとボブが秘密鍵を共有する過程を、順をおって説明する。

【0005】

まず、アリス１０とボブ２０は、平均光子数が１程度の微弱コヒーレントパルス光をチャーリー３０に送信する。パルス光の位相θは、バイアス位相θ₀＝πｋ／Ｍとデータ位相θ_d＝｛０またはπ｝の和θ＝θ₀＋θ_dとする。ここで、Ｍは２以上の整数、ｋは０≦ｋ＜Ｍを満たす整数である。以降では、説明の簡便化のため、Ｍ＝２とする。この場合、θ₀＝｛０またはπ／２｝であり、位相θは｛０，π／２，π，３π／２｝となる。アリス１０とボブ２０は、この４つの位相値のいずれかを無作為に選択して、位相変調器１３，２３により、パルス光に印加して送信する。なお、図１では、送信者に強度変調器１２，２２が備えられているが、これについては後ほど説明する。

【0006】

次に、チャーリー３０は、送られてきたコヒーレントパルスをビームスプリッター３１で合波し、２つの出力端にてそれぞれ光子検出する。ビームスプリッター３１においてアリス１０とボブ２０から送られてきたパルス光が干渉し合い、両者の位相差に応じて、２つの光子検出器３２，３３で光子が検出される。ここで、アリス１０とボブ２０の送信時の位相差が０であれば光子検出器３２で光子が検出され、位相差がπであれば光子検出器３３で光子が検出されるように、ビームスプリッター３１までの光路を設定しておく。この条件下では、｛０，π｝以外の位相差の場合は、位相差で決まる確率に従って、光子検出器３２，３３で確率的に光子検出されることになる。なお、チャーリー３０において受信されるパルス光は微小パワーなので、光子が検出されない場合がある。チャーリー３０は、光子検出された場合に、どちらの光子検出器で光子検出されたかを記録する。すなわち、アリス１０とボブ２０の送信時の位相差が記録される。

【0007】

アリス１０とボブ２０からチャーリー３０へのパルス光の送信を多数回行った後、チャーリー３０は、光子検出されたパルスと光子検出器をアリスとボブに通知する。アリス１０とボブ２０は、光子が検出されたパルスに印加したバイアス位相を互いに通知する。光子検出されたパルスと位相差の情報を得たアリス１０とボブ２０は、それらの情報と、自身送信したパルス光、印加した位相θとから、次のようにビットを生成する。
１）バイアス位相θ₀がアリス１０とボブ２０で異なっていた光子検出事象を除外する。
２）バイアス位相θ₀が同一である検出事象に対して、光子検出器３２で光子検出した場合、
２ａ）アリス１０とボブ２０ともに位相差が０ならばビット０、
２ｂ）位相差がπならばビット１を生成する。
３）バイアス位相θ₀が同一である検出事象について、光子検出器３３で光子検出した場合、
３ａ）アリス１０は位相差が０ならばビット０、位相差がπならばビット１、
３ｂ）ボブ２０は位相差がπならばビット０、位相差が０ならばビット１を生成する。

【0008】

チャーリー３０のビームスプリッター３１における干渉条件より、このように生成したビット値は、アリス１０とボブ２０で同一となる。これを秘密鍵とする。

【0009】

生成した秘密鍵の安全性は、次のように保障される。チャーリー３０が悪意のある第三者だったとしても、光子検出の結果からチャーリー３０が知り得るのは、アリス１０のパルス光とボブ２０のパルス光が同位相か逆位相かのみであり、位相値自体は分からない。従って、鍵ビットは分からない。また、盗聴者が伝送路の信号光からアリス１０またはボブ２０がパルス光に印加して位相値を知ろうとしても、位相が｛０，π／２，π，３π／２｝である微弱コヒーレント光は、量子力学的非直交関係にあり、この４状態を１００％の確率で正しく識別することはできない。そのため、伝送経路上で信号光を測定して鍵ビットを知ることはできない。

【0010】

しかしながら、光子数分岐攻撃と呼ばれる高度な盗聴法がなされると、盗聴者に生成した鍵ビットが知られることとなる。この盗聴法は、コヒーレントパルス光には、微弱パワーであっても、有限の確率で光子が２個以上存在し得ることを利用する。盗聴者は、量子非破壊測定と呼ばれる測定法より、信号状態は変えずに、伝送路のパルス光の光子数を測定する。そして、光子数が２個以上であった場合に、そのうちの１個を抜き出し、残りの光子を、無損失伝送路を介してそのままチャーリーに送る。含まれている光子数が１個の場合は、そのパルスを除去する。無損失伝送路を用いるのは、光子の抜き出し及び光子１個のパルス除去による光パワーの減少を補償するためである。一般的に、光伝送路には伝搬損失があり、伝送につれて信号光パワーは減少する。伝送路を無損失なものに置き換え、本来の伝搬損失による減少分と盗聴による減少分とを等しく設定すれば、盗聴行為を隠蔽することができる。

【0011】

次に盗聴者は、抜き出した光子をそのままの状態で量子メモリに保存しておく。そして、信号光の送信が終了した後に、光子検出した情報とバイアス位相情報とが明らかになった後に、それらに基づいて、保存しておいた光子を測定する。バイアス位相が分かっていれば、｛０，π｝のデータ位相は識別可能である。上述したように、盗聴者は光子数が１であるパルスは除外しているため、盗聴者はチャーリーに届く全ての光子と同一の光子を保有している。従って、チャーリーの光子検出事象からアリスとボブとが生成したビットは、全て盗聴者の知るところとなる。

【0012】

光子数分岐攻撃に対処するため、従来技術では、デコイ法と呼ばれる方法を採用する。デコイ法では、送信パルス光の光強度（すなわち、平均光子数）をパルスごとにランダムに設定する。図１に示した送信者１０，２０内の強度変調器１２，２２はそのために備えられている。光子数分岐攻撃においては、伝送路を無損失なものに置き換えることにより、盗聴時でもチャーリーの受信光子数には変化が無いように設定する。ここで、正常時の受信光子数は、伝送路損失及び送信パルスの平均光子数で決まり、盗聴者はこれに合わせてチャーリーへ光子を送る必要がある。ところが、パルスごとに平均光子数が異なっていると、盗聴者には送るべき光子数が分からない。そこで、パルス送信後に、アリス１０は送信パルスの光強度をボブ２０に通知し、ボブ２０はそれに応じた光子検出がされているか検証することにより、光子数分岐攻撃を検知する。

【0013】

デコイ法を用いることにより光子数分岐攻撃を検知することはできるが、その反面、秘密鍵生成効率は低下する。アリスとボブがランダムに光強度を設定すると、チャーリーのビームスプリッターに入力されるアリスとボブからパルス光の強度が異なることが起こる。このため、２つのパルス光が完全には干渉せず、光子検出の結果から生成したビットに誤りが生じる。そこで、アリスとボブは、信号光送信後に、パルス光の光強度を通知し合う。そして、ビームスプリッターへの入力光強度が同一である検出事象を抽出し、そこからビットを生成する。入力光強度が不一致の光子検出事象は廃棄することになるので、その分、鍵ビット生成効率は低下する。

【先行技術文献】

【非特許文献】

【0014】

【非特許文献1】M. Lucamarini, Z. L. Yuan, J. F. Dynes, and A. J. Shields, “Overcoming the rate-distance limit of quantum key distribution without quantum repeaters,” Nature, vol. 557, pp. 400-403 (2018).

【発明の概要】

【発明が解決しようとする課題】

【0015】

上述したように、従来、光子数分岐攻撃に対処するため、デコイ法を用いていた。そのため、アリスとボブは、送信する信号光の光強度をランダムに変調する手段を備える必要があった。また、チャーリーのビームスプリッターへの入力光強度が不整合となる光子検出事象は鍵ビット生成から除外しており、鍵ビットの生成効率が制限されていた。

【課題を解決するための手段】

【0016】

本発明の目的は、ＴＦ－ＱＫＤシステムと同様のシステム構成としつつ、デコイ法を用いることなく光子数分岐攻撃を検知できる量子鍵配送システムを提供することにある。

【0017】

本発明は、このような目的を達成するために、一実施態様は、離れた二者（アリスとボブ）に共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムであって、前記二者のそれぞれの装置は、連続するコヒーレントパルス列を出力するコヒーレント光源、前記コヒーレント光源から出力された前記コヒーレントパルス列の各パルスに対して位相差０またはπを付与する位相変調器、および１パルス当りの平均光子数が１未満であるように設定された減衰器を含み、鍵共有を仲介する第三者（チャーリー）の装置は、前記二者からの前記コヒーレントパルス列が入力される第１の２×２光ビームスプリッターと第２の２×２光ビームスプリッターとの間が２本の光路で接続され、前記２本の光路により、遅延時間がパルス間隔に等しく、伝搬位相差が２πの整数倍である遅延回路を構成する遅延マッハツェンダー干渉計、および前記第２の２×２光ビームスプリッターの出力のそれぞれに接続された２つの光子検出器を含み、前記二者の一方の装置において、前記第三者から得られた光子検出の結果と、前記二者の他方の装置から得られた位相差の情報とに基づいて、前記秘密鍵を生成することを特徴とする。

【発明の効果】

【0018】

以上説明したように、本発明によれば、第三者の装置において遅延マッハツェンダー干渉計により二者からの光子を干渉させるので、盗聴者によるパルスの抜き出しがあると、二者における秘密鍵の生成に不一致が生ずることとなり、デコイ法を用いることなく光子数分岐攻撃を検知することが可能となる。

【図面の簡単な説明】

【0019】

【図1】従来の量子鍵配送システムの構成を示す図である。

【図2】本発明の実施例１にかかる量子鍵配送システムの構成を示す図である。

【図3】実施例１の量子鍵配送システムの送信者の構成を示す図である。

【図4】実施例１の量子鍵配送システムの光子検出特性を示す図である。

【図5】なりすまし盗聴を検知する原理を説明するための図である。

【発明を実施するための形態】

【0020】

以下、図面を参照しながら本発明の実施形態について詳細に説明する。

【実施例0021】

図２に、本発明の実施例１にかかる量子鍵配送システムの構成を示す。離れた二者であるアリス５０及びボブ６０から、鍵共有を仲介する第三者であるチャーリー７０へそれぞれ信号光を送り、チャーリー７０は、送られてきた信号光を一括測定する。チャーリー７０には、アリス５０及びボブ６０に接続された伝送路からの信号光を、遅延マッハツェンダー（ＭＺ）干渉計７１の２つの入力端子にそれぞれ入力する。遅延ＭＺ干渉計７１は、入力された信号光を２×２ビームスプリッター７４により２経路に分岐し、それぞれ長さの異なる２つの光路を伝搬させた後、２×２ビームスプリッター７５により再び合波する干渉計である。ビームスプリッター７５の出力に光子検出器７２，７３が接続されている。干渉計内の２つの光路は、遅延時間がパルス間隔に等しく、伝搬位相差が２πの整数倍であるように設定されている。

【0022】

図３に、実施例１の量子鍵配送システムの送信者の構成を示す。アリス５０及びボブ６０には、連続するコヒーレントパルス列を出力するコヒーレント光源５１と、コヒーレントパルス列の各パルスに対して位相差０またはπを付与する位相変調器５３と、１パルス当りの平均光子数が１未満であるように設定された減衰器５４とが、それぞれ順に縦続接続されている。

【0023】

送信者であるアリス５０とボブ６０は、各パルスの位相が０またはπである連続するコヒーレントパルス列を、平均光子数１未満／パルスの微弱強度にして送信する。光パルスに印加する位相が０またはπである点、及び連続パルス列である点が従来技術とは異なる。また、デコイ法のための強度変調手段は備えられていない。

【0024】

チャーリー７０の遅延ＭＺ干渉計７１の出力段では、アリス５０とボブ６０からのパルス列の隣接パルス同士が重なり合って干渉する。以下、この干渉を式により説明する。干渉する隣接パルスのうち、アリス５０の先方パルスの複素振幅をＥ_a1、後方パルスをＥ_a2、ボブ６０の先方パルスをＥ_b1、後方パルスをＥ_b2、と表記する。遅延ＭＺ干渉計７１の出力段では、長経路を経たＥ_a1とＥ_b1及び短経路を経たＥ_a2とＥ_b2の４パルスが重なり合う。ビームスプリッター７５において反射光は、位相がπ／２シフトすることを考慮すると、干渉計の２つの出力端子からの出力光Ｅ₁、Ｅ₂は、それぞれ次のように表される。

【0025】

【数1】

【0026】

ここで、各パルスを指数表示でＥ＝Ａｅｘｐ［ｉ（φ＋θ）］と表記する。但し、Ａは実数振幅、φは搬送波位相、θはデータ位相を表す。この表記を用いると、上式は次のように書き直される。

【0027】

【数2】

【0028】

但し、実数振幅Ａはアリス５０とボブ６０で同一とし、添え字のａ，ｂはアリス５０またはボブ６０の位相であること、添え字の番号はパルス順をそれぞれ表している。ここで、送信者から遅延ＭＺ干渉計７１の入力に至るまでの伝搬経路は、φ_a＝φ_b＋π／２となるように設定されている。すると、式（３），（４）は次のように書き直される。

【0029】

【数3】

【0030】

上記では、パルス光を古典的な複素振幅で表したが、そのまま量子力学的確率振幅に読み替えることができ、その絶対値の二乗により光子の存在確率が与えられる。従って、式（５），（６）より、遅延ＭＺ干渉計７１の２つの出力における光子の存在確率ｐ₁，ｐ₂は、それぞれ次式で表される。

【0031】

【数4】

【0032】

但し、μ≡Ａ²は平均光子数／パルス、

【0033】

【数5】

【0034】

である。

【0035】

式（７），（８）におけるデータ位相θは、アリス５０とボブ６０が各パルスに印加するデータ位相であり、０またはπの値をとる。したがって、式（７），（８）は、光子検出確率はアリス５０とボブ６０のデータ位相の組み合わせに依存することを示している。

【0036】

図４に、実施例１の量子鍵配送システムの光子検出特性を示す。アリス５０とボブ６０で印加されたデータ位相θの組み合わせに対するａ₁及びａ₂の値を示す。図４において、項番１から４は、アリス５０とボブ６０の隣接位相差がともに０、項番５から８までは、｛アリス５０の位相差０、ボブ６０の位相差π｝、項番９から１２までは、｛アリス５０の位相差π、ボブ６０の位相差０｝、項番１３から１６までは、アリス５０とボブ６０ともに位相差πという組み合わせになっている。ここで特徴的なことは、｛アリス５０の位相差０、ボブ６０の位相差π｝の場合に光子検出されるのは、項番６または８の２パターンのみであり、｛アリス５０の位相差π、ボブ６０の位相差０｝の場合に光子検出されるのは、項番１０または１１の２パターンのみということである。この光子検出特性を利用して、アリス５０とボブ６０は以下の手順によりビットを生成する。

【0037】

アリス５０とボブ６０からパルス列が送信された後、チャーリー７０は、光子検出した隣接パルスの時間位置及び検出器をアリス５０とボブ６０に通知する。これを受けてアリス５０とボブ６０は、光子検出した隣接パルスのデータ位相差が０であったかπであったかを、互いに通知し合う。但し、位相値自体は非公開とする。位相差の情報を得たアリス５０とボブ６０は、位相差がともに０またはともにπであった光子検出事象を除外し、次のようにビットを生成する。
１）アリス５０の隣接位相差が０かつボブ６０の位相差がπの場合に、
１ａ）アリス５０は、先方パルスと後方パルスの位相（θ_a1，θ_a2）が（０，０）ならビット０、（π，π）ならビット１を、
１ｂ）ボブ６９は、先方パルスと後方パルスの位相（θ_b1，θ_b2）が（π，０）ならビット０、（０，π）ならビット１を、それぞれ生成する。
２）アリス５０の隣接位相差がπかつボブの位相差が０の場合に、
２ａ）アリス５０は、先方パルスと後方パルスの位相（θ_a1，θ_a2）が（０，π）ならビット０、（π，０）ならビット１を、
２ｂ）ボブ６０は、先方パルスと後方パルスの位相（θ_b1，θ_b2）が（０，０）ならビット０、（π，π）ならビット１を、それぞれ生成する。

【0038】

図４に示した光子検出特性より、このように生成したビットは、アリス５０とボブ６０で一致する。これを鍵ビットとする。

【0039】

上記ビット生成手順において、データ位相値を知っているのはアリス５０またはボブ６０のみであり、チャーリー７０を含む第三者には、両者が生成したビット値は分からない。よって、これを秘密鍵とすることができる。

【0040】

伝送信号の安全性は、伝送される信号光が微弱コヒーレントパルス列であることに基づく。パルス列の平均光子数は１パルス当り１未満であるため、全ての位相値を測定することはできない。例えば、盗聴者が信号光の一部を分岐して、分岐光の位相を測定しても、正しい測定値が得られるのは一部のみ、かつ、どのパルスの位相値が得られるかは確率的である。たまたまアリスとボブがビット生成する隣接パルスの位相値を測定できる場合もあるが、その確率は低く、一部の情報が漏えいした場合は、秘匿性増強というデータ処理により、除外することができる。

【0041】

盗聴者が伝送される信号光の全てを測定し、位相値が得られた２連続パルスを偽装信号としてチャーリーに送るという盗聴法、すなわち、なりすまし盗聴が考えられる。この場合、以下で説明するように、アリス５０とボブ６０が偽装信号から生成するビットには不一致が生じ得るので、なりすまし盗聴を検知することができる。

【0042】

図５を参照して、なりすまし盗聴を検知する原理を説明する。アリス５０が送信した信号光に対して、なりすまし盗聴が行われ、アリス５０の側からチャーリー７０に対して、偽装信号として２連続パルスが送られてきたとする。図５は、チャーリー７０の遅延ＭＺ干渉計７１の出力段でのパルスの重なり具合を示している。図５（ａ）は、長経路を経たアリス５０側からのパルス、図５（ｂ）は、短経路を経たアリス５０側からのパルス、図５（ｃ）は、長経路を経たボブ６０側からのパルス、図５（ｄ）は、短経路を経たボブ６０側からのパルスの時間位置をそれぞれ表している。

【0043】

図５（ａ），（ｂ）に示すように、アリス５０側からの２連続パルス（Ｅ_a1、Ｅ_a2）は、ＭＺ干渉計７１の出力段では３つの時間位置に分かれる。このうち、２番目の時間位置では、アリス５０からの２パルス（Ｅ_a1、Ｅ_a2）とボブ６０からの２パルス（Ｅ_b1、Ｅ_b2）とが重なり合う。この状況は、盗聴が行われていない時も同じであり、偽装信号の位相が元のパルスを正しく再現していれば、光子検出事象から生成するビットは、アリス５０とボブ６０で一致する。

【0044】

一方、１番目の時間位置で重なり合うのは、アリス５０からの先方パルス（Ｅ_a1）とボブ６０のパルス列のうち隣接する２パルスであり、３番目の時間位置で重なり合うのは、アリス５０からの後方パルス（Ｅ_a2）とボブ６０のパルス列のうち隣接する２パルスである。盗聴が行われていない正常な場合であれば、１番目の時間位置では、偽装信号の先方パルスのひとつ前のパルス、すなわちアリス５０のパルス列のうち隣接するパルスが重なるはずである。同様に、３番目の時間位置では、偽装信号の後方パルスのひとつ後のパルス、すなわちアリス５０のパルス列のうち隣接するパルスが重なるはずである。

【0045】

なりすまし盗聴が行われていると、アリス５０からの隣接パルスに相当するパルスが欠落する。従って、遅延ＭＺ干渉計７１における干渉が正常な場合とは異なるので、アリス５０とボブ６０がこれらの時間位置での光子検出事象からビットを生成すると、両者で不一致が生じ得る。アリス５０とボブ６０は、秘密鍵生成後、一部のビットをテストビットとして互いに照合する。テストビットに不一致があれば、その秘密鍵は盗聴されたと判断する。不一致がなければ、安全な秘密鍵が得られたとする。

【0046】

実施例１は、光子数分岐攻撃を検知する機能も備えている。光子数分岐攻撃において、盗聴者は、チャーリー７０に届く光子と自身が抜き出して保存する光子とを、全て同一とするために、光子数が１個であるパルスを除外する。実施例１に対して、そのような盗聴が行われると、チャーリー７０が受信するパルス列に欠落が生じ、図５を用いて説明した原理と同様にして、アリス５０とボブ６０が生成するビットに不一致が起こり得る。従って、テストビットの照合により、盗聴を検知することができる。

【0047】

以上述べたように、実施例１は、ＴＦ－ＱＫＤシステムと同様のシステム構成としつつ、デコイ法を用いることなく光子数分岐攻撃を検知する量子鍵配送を実現することができる。

【実施例0048】

実施例１では、アリス５０とボブ６０からチャーリー７０の遅延ＭＺ干渉計７１に至るまでの伝搬経路が、アリス５０とボブ６０の搬送波位相を用いてφ_a＝φ_b＋π／２の関係となるように設定されていた。このような設定は、プローブ光を用いた位相変動検出及び位相シフターを用いた伝搬位相制御により実現可能ではあるが、非常に高度な位相制御装置を必要とする。そこで実施例２では、そのような位相制御装置を用いることなく、実施例１と同様の量子鍵配送を実現する。

【0049】

実施例２の装置構成は、図２，３に示した実施例１の構成と同じである。但し、アリス５０とボブ６０において各パルスに印加する位相θを｛０，π｝ではなく、バイアス位相θ₀とデータ位相θ_dの和θ＝θ₀＋θ_dとする。データ位相θ_dは、実施例１と同様に、パルスごとに０またはπとする。一方、バイアス位相θ₀は、πをＭ等分した位相値のいずれか、すなわちθ₀＝πｋ／Ｍとする。但し、Ｍは２以上の整数、ｋは０≦ｋ＜Ｍを満たす整数とする。アリス５０とボブ６０は、送信するパルス列をＮパルスごとにブロック化し、各ブロックにバイアス位相θ₀をそれぞれランダムに割り当てる。このように位相が設定された連続パルス列を、アリス５０とボブ６０からチャーリー７０へ送信する信号光とする。

【0050】

上述したパルス列を用いて、アリス５０とボブ６０は、実施例１と同様の手順により鍵ビットを生成する。この際、チャーリー７０の遅延ＭＺ干渉計７１に到達するまでの伝搬経路がφ_a＝φ_b＋π／２の関係を満たしていれば、実施例１と同様の原理により、アリスとイブの生成ビットは一致する。一方、この関係を満たしていなければ、ビット誤りが生じる。そこで、アリス５０とボブ６０は、ブロックごとにテストビットの照合を行い、ビット誤り率が許容値以下であるブロックではφ_a＝φ_b＋π／２の関係が概ね満たされていると判定する。この関係を満たしているブロックの生成ビットに対して、誤り訂正・秘匿性増強などのデータ処理を施し、これを秘密鍵とする。ビット誤り率が許容値以上であるブロックについては、生成ビットを廃棄する。あるいは、ビット誤り率が１に近い場合は、一方をビット反転させたうえで、誤り率が許容値以下の場合と同様に取り扱う。

【0051】

実施例２では、バイアス位相がブロックごとにランダムに設定されているため、伝搬経路に依らず、確率的にφ_a＝φ_b＋π／２が満たされる場合があり、そこから鍵ビットを生成している。従って、実施例１より鍵ビットの生成効率は下がるものの、高度な位相制御が不要なシステムとなっている。

【0052】

以上説明したように、本実施形態によれば、離れた二者から両者の中間点に位置する第三者に信号光を送信するシステム構成により、長距離化を可能としている。加えて、ＴＦ ＱＫＤ型量子鍵配送において、デコイ法を用いることなく光子数分岐攻撃を検知する機能を備えている。このことから、装置構成が簡便かつ秘密鍵生成効率が高い量子鍵配送システムを提供することができる。