ホーム > 特許ランキング > 日本電信電話株式会社
知財求人 - 知財ポータルサイト「IP Force」
▶ 日本電信電話株式会社の特許一覧 ▶ 国立大学法人大阪大学の特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024116739
(43)【公開日】2024-08-28
(54)【発明の名称】量子鍵配送システム及び量子鍵配送方法
(51)【国際特許分類】
H04L 9/12 20060101AFI20240821BHJP
H04L 9/08 20060101ALI20240821BHJP
【ＦＩ】
H04L9/12
H04L9/08 E
H04L9/08 C
【審査請求】未請求
【請求項の数】2
【出願形態】ＯＬ
(21)【出願番号】P 2023022525
(22)【出願日】2023-02-16
(71)【出願人】
【識別番号】000004226
【氏名又は名称】日本電信電話株式会社
(71)【出願人】
【識別番号】504176911
【氏名又は名称】国立大学法人大阪大学
(74)【代理人】
【識別番号】110001243
【氏名又は名称】弁理士法人谷・阿部特許事務所
(72)【発明者】
【氏名】本庄 利守
(72)【発明者】
【氏名】武居 弘樹
(72)【発明者】
【氏名】生田 拓也
(72)【発明者】
【氏名】井上 恭
(57)【要約】
【課題】ＴＦ－ＱＫＤの量子鍵配送システムにおいて、伝搬位相の制御やデコイ法による盗聴検知が不要な量子鍵配送システムを提供する。
【解決手段】アリス１０、ボブ２０及びチャーリー３０を含む量子鍵配送システムを、アリス１０、ボブ２０が備えるパルス光発生部、各パルス光を位相変調する位相印加部、位相変調された各パルス光の平均光子数を１未満に減衰する光減衰器と、チャーリー３０が備える遅延マッハツェンダー干渉計Ｍ、アリス１０、ボブ２０から受信した光パルス列に含まれるパルス光を半周期ずらして入力し、遅延マッハツェンダー干渉計Ｍから出力した光子をそれぞれ検出する光子検出器３０１、３０２と、アリス１０及びボブ２０が備える位相を互いに通知する通知部、他方から通知された位相情報と自身が印加した位相に基づいて鍵ビットを生成する鍵ビット生成部と、によって構成する。
【選択図】図３
【解決手段】アリス１０、ボブ２０及びチャーリー３０を含む量子鍵配送システムを、アリス１０、ボブ２０が備えるパルス光発生部、各パルス光を位相変調する位相印加部、位相変調された各パルス光の平均光子数を１未満に減衰する光減衰器と、チャーリー３０が備える遅延マッハツェンダー干渉計Ｍ、アリス１０、ボブ２０から受信した光パルス列に含まれるパルス光を半周期ずらして入力し、遅延マッハツェンダー干渉計Ｍから出力した光子をそれぞれ検出する光子検出器３０１、３０２と、アリス１０及びボブ２０が備える位相を互いに通知する通知部、他方から通知された位相情報と自身が印加した位相に基づいて鍵ビットを生成する鍵ビット生成部と、によって構成する。
【選択図】図３
【特許請求の範囲】
【請求項1】
第１の光信号送受信装置と、
前記第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、
前記第１の光信号送受信装置と前記第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、前記第１の光信号送受信装置と前記第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムであって、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生するパルス光発生部と、
前記コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加部と、
前記位相印加部の位相印加によって位相変調された前記各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する光減衰器と、を含み、
前記第３の光信号送受信装置は、
二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計と、
前記二つの入力端子に対し、前記第１の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光と、前記第２の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる入力部と、
前記二つの出力端子から出力した光子をそれぞれ検出する第１の光子検出器及び第２の光子検出器と、
光子が検出された時刻と、前記第１の光子検出器、前記第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を前記第１の光信号送受信装置、前記第２の光信号送受信装置に通知する光子検出情報通知部と、を含み、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
前記第３の光信号送受信装置における光子検出に係るパルス光の位相が｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報を互いに通知する位相情報通知部と、
他方から通知された前記位相情報と、自身の前記位相印加部において印加した位相に基づいて鍵ビットを生成する鍵ビット生成部と、
を含む、量子鍵配送システム。
前記第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、
前記第１の光信号送受信装置と前記第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、前記第１の光信号送受信装置と前記第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムであって、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生するパルス光発生部と、
前記コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加部と、
前記位相印加部の位相印加によって位相変調された前記各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する光減衰器と、を含み、
前記第３の光信号送受信装置は、
二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計と、
前記二つの入力端子に対し、前記第１の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光と、前記第２の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる入力部と、
前記二つの出力端子から出力した光子をそれぞれ検出する第１の光子検出器及び第２の光子検出器と、
光子が検出された時刻と、前記第１の光子検出器、前記第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を前記第１の光信号送受信装置、前記第２の光信号送受信装置に通知する光子検出情報通知部と、を含み、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
前記第３の光信号送受信装置における光子検出に係るパルス光の位相が｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報を互いに通知する位相情報通知部と、
他方から通知された前記位相情報と、自身の前記位相印加部において印加した位相に基づいて鍵ビットを生成する鍵ビット生成部と、
を含む、量子鍵配送システム。
【請求項2】
第１の光信号送受信装置と、
前記第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、
前記第１の光信号送受信装置と前記第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、前記第１の光信号送受信装置と前記第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムにおいて行われる量子鍵配送方法であって、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生する工程と、
前記コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加工程と、
前記位相印加工程によって位相変調された前記各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する工程と、を実行し、
前記第３の光信号送受信装置は、
二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計の前記二つの入力端子に対し、前記第１の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光と、前記第２の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる工程と、
前記二つの出力端子から出力した光子をそれぞれ第１の光子検出器及び第２の光子検出器で検出する工程と、
光子が検出された時刻と、前記第１の光子検出器、前記第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を前記第１の光信号送受信装置、前記第２の光信号送受信装置に通知する工程と、を実行し、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
前記第３の光信号送受信装置における光子検出に係るパルス光の位相が｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報を互いに通知する工程と、
他方から通知された前記位相情報と、自身の前記位相印加工程において印加した位相に基づいて鍵ビットを生成する工程と、
を実行する、量子鍵配送方法。
前記第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、
前記第１の光信号送受信装置と前記第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、前記第１の光信号送受信装置と前記第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムにおいて行われる量子鍵配送方法であって、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生する工程と、
前記コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加工程と、
前記位相印加工程によって位相変調された前記各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する工程と、を実行し、
前記第３の光信号送受信装置は、
二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計の前記二つの入力端子に対し、前記第１の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光と、前記第２の光信号送受信装置から受信した前記減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる工程と、
前記二つの出力端子から出力した光子をそれぞれ第１の光子検出器及び第２の光子検出器で検出する工程と、
光子が検出された時刻と、前記第１の光子検出器、前記第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を前記第１の光信号送受信装置、前記第２の光信号送受信装置に通知する工程と、を実行し、
前記第１の光信号送受信装置及び前記第２の光信号送受信装置は、
前記第３の光信号送受信装置における光子検出に係るパルス光の位相が｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報を互いに通知する工程と、
他方から通知された前記位相情報と、自身の前記位相印加工程において印加した位相に基づいて鍵ビットを生成する工程と、
を実行する、量子鍵配送方法。
【発明の詳細な説明】
【技術分野】
【0001】
量子力学の原理に基づいて、共通鍵暗号通信のための秘密鍵を離れた二者に安全に供給する量子鍵配送（Quantum Key Distribution、以下、「ＱＫＤ」とも記す。）の研究開発が進められている。複数の方式があるＱＫＤのうち、送受信装置間の長距離化が可能な振幅場対ＱＫＤ（Twin Field QKD、以下、「ＴＦ－ＱＫＤ」とも記す）は、例えば、非特許文献１に記載されている。
【0002】
非特許文献１に記載のシステムは、秘密鍵を共有するアリス及びボブと、アリスとボブの中間点に位置して秘密鍵共有の仲立ちをする第三者であるチャーリーを含む。このようなシステムにおいて、アリスとボブはそれぞれチャーリーへパルス光の信号を送信し、チャーリーは送信されてきた光信号を受信し、合波して光子を検出する。そして、この検出では合波するパルス光の位相差に応じて検出器で光子が検出され、検出した検出器と、アリスとボブが送信した光信号の位相に基づいて秘密鍵が生成される。このシステムでは、チャーリーを介して通信するシステムのアリスとボブの物理的距離は、光子の伝送距離の２倍とすることができる。これによって、非特許文献１に記載のシステムは、アリスとボブが直接光子を送受信するＱＫＤシステムよりも通信の長距離化が可能となる。
【先行技術文献】
【非特許文献】
【0003】
【非特許文献1】M. Lucamarini, Z. L. Yuan, J. F. Dynes, and A. J. Shields, "Overcoming the rate-distance limit of quantum key distribution without quantum repeaters," Nature, vol. 557, pp. 400-403 (2018).
【発明の概要】
【発明が解決しようとする課題】
【0004】
非特許文献１に記載の公知技術において、チャーリーは、アリスによって送信された光信号とボブによって送信された光信号とを、その位相差が保持された状態で合波する必要がある。このためには、アリス及び／またはボブ（以下、「アリス／ボブ」とも記す）からチャーリーまでの間を伝播する光信号の位相（以下、「伝搬位相」とも記す）をそれぞれ保持しなければならない。
【0005】
しかしながら、非特許文献１に記載の公知技術は、秘密鍵の秘匿性を保障すべく、光子数分岐攻撃対策としてデコイ法を用いている。デコイ法においては、アリス／ボブが光変調器によりパルス光ごとに平均光子数を無作為に変調している。また、アリス／ボブは、盗聴検知のため、検出光子数の統計的性質を解析するデータ処理を行っている。このような処理は、アリス／ボブとなる装置及びプロトコルを煩雑化する。また、デコイ法を用いる場合、秘密鍵生成効率が低くなるという問題もある。
【0006】
本発明は、上記の点に鑑みてなされたものであり、ＴＦ－ＱＫＤの量子鍵配送システムにおいてデコイ法を用いることなく、耐盗聴性の高い秘密鍵配送を可能とする量子鍵配送システム及び量子鍵配送方法を提供することを目的とする。
【課題を解決するための手段】
【0007】
上記目的を達成するために本発明の一形態の量子鍵配送システムは、第１の光信号送受信装置と、第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、第１の光信号送受信装置と第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、第１の光信号送受信装置と第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムであって、第１の光信号送受信装置及び第２の光信号送受信装置は、時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生するパルス光発生部と、コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加部と、位相印加部の位相印加によって位相変調された各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する光減衰器と、を含み、第３の光信号送受信装置は、二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計と、二つの入力端子に対し、第１の光信号送受信装置から受信した減衰光パルス列に含まれるパルス光と、第２の光信号送受信装置から受信した減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる入力部と、二つの出力端子から出力した光子をそれぞれ検出する第１の光子検出器及び第２の光子検出器と、光子が検出された時刻と、第１の光子検出器、第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を第１の光信号送受信装置、第２の光信号送受信装置に通知する光子検出情報通知部と、を含み、第１の光信号送受信装置及び第２の光信号送受信装置は、第３の光信号送受信装置における光子検出に係るパルス光の位相が、｛０またはπ｝であるか｛π／２または３π／２｝であるかの情報（公知の前例でθ_｛０｝に相当する情報）を互いに通知する位相情報通知部と、他方から通知された位相情報と、自身の位相印加部において印加した位相に基づいて鍵ビットを生成する鍵ビット生成部と、を含む。
【0008】
また、本発明の一形態の量子鍵配送方法は、第１の光信号送受信装置と、第１の光信号送受信装置と離間して配置される第２の光信号送受信装置と、第１の光信号送受信装置と第２の光信号送受信装置との間に配置される第３の光信号送受信装置を含み、第１の光信号送受信装置と第２の光信号送受信装置との間の共通鍵暗号通信のための秘密鍵を供給する量子鍵配送システムにおいて行われる量子鍵配送方法であって、第１の光信号送受信装置及び第２の光信号送受信装置は、時間間隔が２Ｔの連続的なコヒーレント光パルス列を発生する工程と、コヒーレント光パルス列に含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加工程と、位相印加工程によって位相変調された各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する工程と、を実行し、第３の光信号送受信装置は、二つの入力端子及び二つの出力端子を備え、遅延時間がＴである遅延マッハツェンダー干渉計の二つの入力端子に対し、第１の光信号送受信装置から受信した減衰光パルス列に含まれるパルス光と、第２の光信号送受信装置から受信した減衰光パルス列に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる工程と、二つの出力端子から出力した光子をそれぞれ第１の光子検出器及び第２の光子検出器で検出する工程と、光子が検出された時刻と、第１の光子検出器、第２の光子検出器のいずれが光子を検出したのかを示す光子検出情報を第１の光信号送受信装置、第２の光信号送受信装置に通知する工程と、を実行し、第１の光信号送受信装置及び第２の光信号送受信装置は、第３の光信号送受信装置における光子検出に係るパルス光の位相が、｛０またはπ｝であるか｛π／２または３π／２｝であるかの情報を互いに通知する工程と、他方から通知された位相情報と、自身の位相印加工程において印加した位相に基づいて鍵ビットを生成する工程と、を実行する。
【発明の効果】
【0009】
以上の形態によれば、ＴＦ－ＱＫＤの量子鍵配送システムにおいて、伝搬位相の制御やデコイ法による盗聴検知が不要な量子鍵配送システム及び量子鍵配送方法を提供することができる。
【図面の簡単な説明】
【0010】
【図1】本発明の一実施形態の比較例となる公知のＴＦ－ＱＫＤ装置を説明するための図である。
【図2】本実施形態の量子鍵配送システムの全体を示す図である。
【図5】鍵ビット生成を説明するためのタイミングチャートを示す図である。
【図8】本実施形態の光子数分岐攻撃の検知を説明するための図である。
【発明を実施するための形態】
【0011】
［概要］
以下、本発明の一実施形態の説明に先立って、本実施形態で利用する公知の量子鍵配送装置を比較例として説明する。なお、概要及び実施形態で示す図面は、いずれも本発明の構成の配置、動作、機能、目的、効果、技術思想等を説明する模式的な図であって、本実施形態の具体的な構成を限定するものではない。また、図面にあっては同様の部材に同様の符号を付し、その説明の一部を略す場合もある。
以下、本発明の一実施形態の説明に先立って、本実施形態で利用する公知の量子鍵配送装置を比較例として説明する。なお、概要及び実施形態で示す図面は、いずれも本発明の構成の配置、動作、機能、目的、効果、技術思想等を説明する模式的な図であって、本実施形態の具体的な構成を限定するものではない。また、図面にあっては同様の部材に同様の符号を付し、その説明の一部を略す場合もある。
【0012】
図１は、本実施形態の比較例となる公知のＴＦ－ＱＫＤ装置を説明するための図である。図１に示すＴＦ－ＱＫＤシステムは、チャーリー３と、チャーリー３を介して通信するアリス１及びボブ２とを含んでいる。アリス１は、コヒーレントパルス光源１１、コヒーレントパルス光源１１の出力した光信号の強度を調整する強度変調器（Intensity Modulators；図中では「ＩＭ」と記す）１２、バイアス位相の位相変調器（Phase Modulators；図中では「ＰＭ」と記す）１３、データ位相の位相変調器１４、光減衰器１５を含む。また、ボブ２は、同様に、コヒーレントパルス光源２１、コヒーレントパルス光源２１の出力した光信号の強度を調整する強度変調器２２、バイアス位相の位相変調器２３、データ位相の位相変調器２４及び光減衰器２５を含む。チャーリー３は、光子検出器３１、３２及び、ビームスプリッタ３３を含んでいる。アリス１、ボブ２及びチャーリー３は、通信における当事者を示すと共に、本実施形態においては光信号の送受信機能を有する通信ノード（光信号送受信装置）を示している。
【0013】
以下、上記のＴＦ－ＱＫＤ装置の動作を説明する。
アリス１とボブ２はそれぞれ、平均光子数が１程度の微弱なコヒーレントパルス光（以下、単に「パルス光」とも記す）をチャーリー３に送信する。パルス光の位相θは、バイアス位相θ0＝πｋ／Ｍと、データ位相θd＝{０またはπ｝の和となる。すなわち、以下の式（１）が成立する。
θ＝θ0＋θd ・・・式（１）
上記の式（１）において、Ｍは２以上の整数、ｋについては０≦ｋ＜Ｍが成立する。以下、説明の簡易化のため、Ｍを２として説明を行う。この場合、θ0は{０またはπ／２｝となり、位相値θは０、π／２、π、３π／２のいずれかとなる。アリス１及びボブ２は、この４つの位相値のいずれかを無作為に選択し、パルス状のコヒーレント光に付与する。アリス１から送信される光信号をＬ１、ボブ２から送信される光信号をＬ２として図１中に示す。光信号Ｌ１、Ｌ２は、複数のパルス光を含む光パルス列を形成する。
アリス１とボブ２はそれぞれ、平均光子数が１程度の微弱なコヒーレントパルス光（以下、単に「パルス光」とも記す）をチャーリー３に送信する。パルス光の位相θは、バイアス位相θ0＝πｋ／Ｍと、データ位相θd＝{０またはπ｝の和となる。すなわち、以下の式（１）が成立する。
θ＝θ0＋θd ・・・式（１）
上記の式（１）において、Ｍは２以上の整数、ｋについては０≦ｋ＜Ｍが成立する。以下、説明の簡易化のため、Ｍを２として説明を行う。この場合、θ0は{０またはπ／２｝となり、位相値θは０、π／２、π、３π／２のいずれかとなる。アリス１及びボブ２は、この４つの位相値のいずれかを無作為に選択し、パルス状のコヒーレント光に付与する。アリス１から送信される光信号をＬ１、ボブ２から送信される光信号をＬ２として図１中に示す。光信号Ｌ１、Ｌ２は、複数のパルス光を含む光パルス列を形成する。
【0014】
次にチャーリー３は、送られてきた光信号Ｌ１、Ｌ２を２入力２出力のビームスプリッタ３３で合波し、出力端に配置された光子検出器３１、３２においてそれぞれ光子検出する。アリス１及びボブ２から送信された光信号Ｌ１、Ｌ２の光子は、ビームスプリッタ３３において干渉し合い、両者の位相差に応じて光子検出器３１、または光子検出器３２で検出される。この際、光子は、アリス１から送信される光信号Ｌ２と、ボブ２から送信される光信号Ｌ１との位相差が０である場合に光子検出器３１によって検出される。また、光子は、光信号Ｌ２と、光信号Ｌ１との位相差がπである場合に光子検出器３２によって検出される。パルス光同士の位相差と光子を検出する光子検出器との対応は、アリス１からビームスプリッタ３３までの伝搬位相、及びボブ２からビームスプリッタ３３までの伝搬位相を調整することによって実現できる。
【0015】
光信号Ｌ１、Ｌ２の位相差が{０，π}以外である場合、光子は、光信号Ｌ１、Ｌ２の位相差で決まる確率にしたがって光子検出器３１または光子検出器３２によって検出される。なお、パルス光は、光減衰器１５、２５によって減衰されているために受信される際のパワーは微小である。このため、光子は、光子検出器３１、３２のいずれによっても検出されない場合がある。チャーリー３は、光子が検出された場合に、光子検出器３１、３２のいずれによって光子が検出されたかを記録する。
【0016】
上記したパルス光の送受信を複数回行った後、チャーリー３は、光子が検出されたパルス光と、光子を検出した光子検出器３１、３２のいずれかをアリス１及びボブ２に通知する。通知を受けたアリス１及びボブ２は、光子が検出されたパルス光に付与したバイアス位相を互いに通知し合う。以上の処理により、アリス１とボブ２は、光子が検出されたパルス光について、自身が付与しバイアス位相と、他方が付与したバイアス位相と、干渉後のパルス光の光子を検出した光子検出器を特定する情報（以下、「光子検出情報」とも記す）を得ることができる。
【0017】
次に、アリス１及びボブ２は、光子検出情報と、自身が付与したデータ位相の値に基づいてビット値を生成する。すなわち、アリス１及びボブ２は、自身が付与したバイアス位相と相手が付与したバイアス位相とが異なっている光子検出情報を除外する。そして、バイアス位相が同一の光子検出情報につき、アリス１及びボブ２は、光子検出器３１が光子を検出した場合、データ位相が０であればビット０、データ位相がπならばビット１を生成する。また、光子検出器３２が光子を検出した場合、アリス１は、データ位相が０であればビット０、データ位相がπならばビット１を生成する。このとき、ボブ２は、データ位相がπならばビット０、データ位相が０ならばビット１を生成する。このように生成されたビット値は、チャーリー３のビームスプリッタ３３における干渉条件より、アリス１とボブ２とで同一となる。ＴＦ－ＱＫＤ装置においては、アリス１とボブ２が共有するビット値を秘密鍵とする。
【0018】
上記の秘密鍵の秘匿性は、次のように保障されている。先ず、チャーリー３は、光子検出結果からアリス１から送信された光信号Ｌ１と、ボブ２から送信された光信号Ｌ２との位相差を知り得るが、位相値自体を知ることはできない。このため、チャーリーが悪意のある第三者であったとしても、鍵ビットを生成することはできない。
【0019】
また、位相が０、π／２、π、３π／２のいずれかである微弱なコヒーレント光は、量子力学的非直交関係にある。このため、外部の盗聴者は、光信号Ｌ１、Ｌ２からアリス１／ボブ２がコヒーレント光に付与した位相値を知ろうとしても、位相値が４つの状態のうちのいずれであるかを１００％正しく識別することはできない。したがって、盗聴者は、伝送経路上でパルス光を測定して鍵ビットを得ることはできない。
【0020】
ただし、光子数分岐攻撃と呼ばれる盗聴法は、アリス１とボブ２が共有する鍵ビットを知り得ることがある。すなわち、光子数分岐攻撃は、微弱なパワーのパルス光にも有限の確率で光子が２個以上存在し得ることを利用する。この際、盗聴者は、量子非破壊測定と呼ばれる測定法によって信号状態は変えず、パルス光の光子数を測定する。そして、盗聴者は、２個以上の光子を含むパルス光に対し、１個の光子を抜き出し、残った光子を無損失伝送路を介してチャーリー３に送信する。また、盗聴者は、光子を１個だけ含むパルス光をブロックする。無損失伝送路を用いる理由は、光子抜き出し及びパルス光のブロックによる伝送光パワーの減少を補償するためである。すなわち、光伝送路には伝搬損失があり、伝送につれて伝送光パワーは減少する。盗聴者は、伝送路を無損失なものに置き換えて、本来の伝搬損失による減少分と盗聴による減少分を等しく設定すれば、盗聴行為を隠蔽することができる。
【0021】
次に盗聴者は、抜き出した光子をそのままの状態で量子メモリに保存する。そして、光信号送受信後に光子検出情報及びバイアス位相情報が明らかになった後、それらに基づいて、保存しておいた光子を測定する。バイアス位相が既知である場合、盗聴者は、位相差が０またはπのデータ位相が識別可能である。前述のように、光子数が１であるパルス光はブロックされているため、盗聴者はチャーリーに届く全ての光子と同一の光子を保有することになる。したがって、盗聴者は、チャーリー３の光子検出事象からアリス１／ボブ２が生成したビット値の全てを知ることが可能になる。
【0022】
光子数分岐攻撃に対処するための方法としては、デコイ法と呼ばれる方法がある。デコイ法は、パルス光の光強度（すなわち、平均光子数）をパルス光ごとにランダムに設定する。光強度の設定は、アリス１の強度変調器１２、ボブ２の強度変調器２２によって行われる。前述のように、光子数分岐攻撃においては、無損失伝送路を用いることにより、盗聴時でもチャーリー３の受信光子数に変化が無いように設定する。盗聴がない場合にチャーリー３が受信する光子数は、伝送路損失及びパルス光の平均光子数で決まり、盗聴者はこれに合わせてチャーリー３へ光子を送る必要がある。ところが、パルス光ごとに平均光子数が異なっている場合、盗聴者は、チャーリー３に送るべき光子数が分からない。そこでパルス光送受信後に、アリス１は送信パルス光強度をチャーリー３に通知し、チャーリー３はそれに応じた光子検出がされているか検証することにより、光子数分岐攻撃を検知することが可能になる。
【0023】
以上説明したように、デコイ法は、光子数分岐攻撃を検知することができる。しかし、デコイ法においては、秘密鍵生成効率が低くなる。すなわち、デコイ法において、アリス１とボブ２がランダムに光強度を設定すると、チャーリー３のビームスプリッタ３３に入力されるパルス光の強度が相違し、両者が完全には干渉せず、その光子検出結果から生成されたビットに誤りが生じ得る。そこで、アリス１とボブ２は、光信号送受信後に、送信光強度を通知し合い、ビームスプリッタ３３へ入力される光強度が同一である検出事象を抽出し、そこからビットを生成する。このような処理は、光子検出事象の一部を廃棄することになるので、鍵ビット生成効率を低下させる。
【0024】
以下で説明する本発明の実施形態は、上述の比較例のように伝搬位相制御やデコイ法の必要性がなく、耐盗聴性の高い秘密鍵配送を可能とするものである。
【0025】
［実施形態］
以下、本発明の一実施形態を説明する。図２は、本発明の一実施形態の構成を説明するための模式図である。本実施形態の量子鍵配送システムは、第１の光信号送受信装置であるアリス１０と、アリス１０と離間して配置される第2の光信号送受信装置であるボブ２０と、アリス１０とボブ２０との間に配置されるチャーリー３０と、を含む。そして、量子鍵配送システムは、アリス１０とボブ２０との間の共通鍵暗号通信のための秘密鍵を供給する。なお、チャーリー３０、アリス１０、ボブ２０は、いずれも暗号通信の当事者を表すが、実体は光信号の送受信機能を有する光信号送受信装置であり、光信号送受信装置は、光通信において機能する光学素子、ハードウェア及びコンピュータプログラム等のソフトウェアを含む構成である。
以下、本発明の一実施形態を説明する。図２は、本発明の一実施形態の構成を説明するための模式図である。本実施形態の量子鍵配送システムは、第１の光信号送受信装置であるアリス１０と、アリス１０と離間して配置される第2の光信号送受信装置であるボブ２０と、アリス１０とボブ２０との間に配置されるチャーリー３０と、を含む。そして、量子鍵配送システムは、アリス１０とボブ２０との間の共通鍵暗号通信のための秘密鍵を供給する。なお、チャーリー３０、アリス１０、ボブ２０は、いずれも暗号通信の当事者を表すが、実体は光信号の送受信機能を有する光信号送受信装置であり、光信号送受信装置は、光通信において機能する光学素子、ハードウェア及びコンピュータプログラム等のソフトウェアを含む構成である。
【0026】
図２は、量子鍵配送システムの全体を示している。図２に示すように、本実施形態の量子鍵配送システムは、上記比較例のＴＦ－ＱＫＤシステムと同様に、チャーリー３０と、チャーリー３０を介して通信するアリス１０及びボブ２０を含む。以下、アリス１０及びまたはボブ２０を、アリス１０／ボブ２０とも記す。アリス１０は、連続する複数のパルス光を含み、パルス光の時間間隔が２Ｔのコヒーレント光パルス列を光信号Ｌａとしてチャーリー３０に送信する。また、ボブ２０は、光信号Ｌｂをチャーリー３０に送信する。チャーリー３０は、光信号Ｌａ、Ｌｂを受信し、両者を合波する。
【0027】
図３（ａ）は、図２に示すアリス１０を説明するための模式的なブロック図である。図３（ｂ）は、ボブ２０を説明するための模式的なブロック図であり、図３（ｃ）は、チャーリー３０を説明するための模式的なブロック図である。図３（ａ）、図３（ｂ）に示すように、アリス１０は、光信号Ｌａを発生するパルス光発生部であるコヒーレントパルス光源１０１、光信号Ｌａに含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相印加部である位相変調器１０２、位相変調された各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する光減衰器１０３を備えている。また、ボブ２０は、光信号Ｌｂを発生するコヒーレントパルス光源２０１、光信号Ｌｂに含まれる各パルス光に０、π／２、π、３π／２のいずれかの位相を印加する位相変調器２０２、位相変調された各パルス光の平均光子数を１未満に減衰して減衰光パルス列を生成する光減衰器２０３を備えている。
【0028】
図３（ｃ）に示すように、チャーリー３０は、遅延マッハツェンダー干渉計Ｍを備え得ている。マッハツェンダー干渉計Ｍは、２つのビームスプリッタ３０４、３０５を、図３（ｃ）のように、不図示の交差する二直線上に位置するように配置して構成される。遅延マッハツェンダー干渉計Ｍは、二つの入力端子３１１、３１２、二つの出力端子３２１、３２２を備えている。ビームスプリッタ３０４、３０５は、入射した光の一部を透過し、他の一部を反射することによって経路ｒａ、ｒｂを形成する。経路ｒｂは経路ｒａよりも長く、これにより遅延マッハツェンダー干渉計Ｍは、経路ｒａを通るパルス光に比べて経路ｒｂを通るパルス光の遅延時間がＴになるように設計されている。
【0029】
また、チャーリー３０は、二つの入力端子３１１、３１２に対し、アリス１０から受信した光パルス列（減衰光パルス列に相当）に含まれるパルス光と、ボブ２０から受信した減衰光パルス列（減衰光パルス列に相当）に含まれるパルス光とを、半周期ずらしてそれぞれ入力させる入力部を備えている。このような入力部は、例えば、遅延マッハツェンダー干渉計Ｍの前段のボブ側からの入力に対してファイバーディレイラインを用いて長さを調整することによって実現できる。
【0030】
また、チャーリー３０は、出力端子３２１、３２２から出力した光子をそれぞれ検出する第１の光子検出器である光子検出器３０１、第２の光子検出器である光子検出器３０２を備えている。
【0031】
さらに、チャーリー３０は、光子が検出された時刻と、光子検出器３０１、光子検出器３０２のいずれが光子を検出したのかを示す情報とを含む光子検出情報をアリス１０、ボブ２０に通知する不図示の光子検出情報通知部を含んでいる。
【0032】
また、アリス１０及びボブ２０は、チャーリー３０における光子検出に係るパルス光の位相が、｛０またはπ｝であるか｛π／２または３π／２｝であるかの情報を互いに通知する不図示の位相情報通知部を備えている。ここで、「チャーリー３０における光子検出に係るパルス光の位相」とは、チャーリー３０において光子が検出されたパルス光に印加した位相を指す。アリス１０及びボブ２０は、他方から通知された位相情報と、自身の位相変調器１０２または位相変調器２０２において印加した位相に基づいて鍵ビットを生成する不図示の鍵ビット生成部を含む。
【0033】
上記した不図示の光子検出情報通知部、位相情報通知部、鍵ビット生成部は、光子信号送受信装置であるアリス１０、ボブ２０及びチャーリー３０の通信機能、公知のカウンタやメモリ及びＣＰＵ（Central Processor Unit）によって実現することができる。
【0034】
図４は、以上説明した構成のチャーリー３０において行われる光子検出を説明するための図である。図４に示すように、チャーリー３０は、アリス１０及びボブ２０から光信号Ｌａ、Ｌｂをそれぞれ入力する。図４に示すように、光信号Ｌａはパルス光ａ１、ａ２、ａ３・・・（以下、「パルス光ａ１、ａ２、ａ３」と記す）を含む光パルス列であり、光信号Ｌｂはパルス光ｂ１、ｂ２、ｂ３・・・（以下、「パルス光ｂ１、ｂ２、ｂ３」と記す）を含む光パルス列である。入力端子３１１、３１２において、パルス光ａ１、ａ２、ａ３と、パルス光ｂ１、ｂ２、ｂ３は、周期が半周期ずれている。このため、経路ｒａ、ｒｂを、パルス光ａ１、ａ２、ａ３とパルス光ｂ１、ｂ２、ｂ３とが交互に並ぶ、時間間隔Ｔの光パルス列が伝搬する。
【0035】
経路ｒａ、ｒｂをそれぞれ伝播した光パルス列は、遅延マッハツェンダー干渉計Ｍの出力段、すなわちビームスプリッタ３０５において合波される。この際、経路ｒａを通った光パルス列と経路ｒｂを通った光パルス列は、１パルスずれた状態で合波され、重なり合って干渉する。ビームスプリッタ３０５の出力端子３２１、３２２から出力された干渉パルス光の光子は、図４に示すパルス光ａ３、ｂ３の位相差、パルス光ｂ２、ａ３の位相差、パルス光ａ２、ｂ２等の位相差に応じて光子検出器３０１、３０２のどちらか一方で検出される。
【0036】
以下、経路ｒａを伝播した光パルス列と、経路ｒｂを伝播した光パルス列との干渉と、干渉パルス光の光子を検出する光子検出部について説明する。ここで、パルス光ａ１、ａ２、ａ３が遅延マッハツェンダー干渉計Ｍに入力する際の複素振幅をＡｅｘｐ（ｉθa）、パルス光ｂ１、ｂ２、ｂ３が遅延マッハツェンダー干渉計Ｍに入力する際の複素振幅をＡｅｘｐ（ｉθb）とする。このとき、図４の光子検出器３０１に入力するパルスの振幅Ｅ1は、式（１）によって表される。また、光子検出器３０２に入力するパルスの振幅Ｅ2は、式（２）によって表される。
Ｅ1＝－（Ａ／２）{ｅｘｐ（ｉθa）＋ｅｘｐ（ｉθb）}・・・式（１）
Ｅ2＝ｉ（Ａ／２）{ｅｘｐ（ｉθa）－ｅｘｐ（ｉθb）}・・・式（２）
ただし、アリス１０が出力する光パルス列とボブ２０が出力する光パルス列の遅延マッハツェンダー干渉計Ｍへの入力時の強度は等しいものとする。
Ｅ1＝－（Ａ／２）{ｅｘｐ（ｉθa）＋ｅｘｐ（ｉθb）}・・・式（１）
Ｅ2＝ｉ（Ａ／２）{ｅｘｐ（ｉθa）－ｅｘｐ（ｉθb）}・・・式（２）
ただし、アリス１０が出力する光パルス列とボブ２０が出力する光パルス列の遅延マッハツェンダー干渉計Ｍへの入力時の強度は等しいものとする。
【0037】
上記より、光子検出器３０１での検出確率ρ1は、以下の式（３）のように表される。また、光子検出器３０２での検出確率ρ2は、以下の式（４）のように表される。
ρ1∝｜eｘｐ（ｉθa）＋eｘｐ（ｉθb）｜2
＝２{１＋ｃｏｓ（θa－θb）} ・・・式（３）
ρ2∝｜eｘｐ（ｉθa）－eｘｐ（ｉθb）｜2
＝２{１－ｃｏｓ（θa－θb）} ・・・式（４）
ここで、アリス１０／ボブ２０から遅延マッハツェンダー干渉計Ｍの入力端子３１１、３１２までの伝送伝搬は等しくなるように調整されている。上記のθa、θbはパルス光に印加される位相（変調位相）であり、０、π／２、π、３π／２のいずれかであり、この位相によって光子検出器３０１、３０２における光子検出確率が決定する。表１は、光子検出器３０１、３０２の検出確率をまとめて示す表である。
ρ1∝｜eｘｐ（ｉθa）＋eｘｐ（ｉθb）｜2
＝２{１＋ｃｏｓ（θa－θb）} ・・・式（３）
ρ2∝｜eｘｐ（ｉθa）－eｘｐ（ｉθb）｜2
＝２{１－ｃｏｓ（θa－θb）} ・・・式（４）
ここで、アリス１０／ボブ２０から遅延マッハツェンダー干渉計Ｍの入力端子３１１、３１２までの伝送伝搬は等しくなるように調整されている。上記のθa、θbはパルス光に印加される位相（変調位相）であり、０、π／２、π、３π／２のいずれかであり、この位相によって光子検出器３０１、３０２における光子検出確率が決定する。表１は、光子検出器３０１、３０２の検出確率をまとめて示す表である。
【0038】
【表1】
【0039】
なお、上記の表１において、共通の比例係数は省略されている。表１によれば、アリス１０／ボブ２０の位相の組み合わせが０，０（表１の（１））、０，π（表１の（２））、π，０（表の（５））、π，π（表の（６））のとき、光子検出器３０１、３０２のどちらか一方が光子を検出する。このような組み合わせを、以下、「位相が｛０またはπ｝」と記す。また、アリス１０／ボブ２０の位相の組み合わせがπ／２，π／２（表の（１１））、π／２，π／２（表の（１２））、３π／２，π／２（表の（１５））、３π／２，３π／２（表の（１６））である場合、光子検出器３０１、３０２のどちらか一方が光子を検出する。このような組み合わせを、以下、「位相が{π／２または３π／２}」と記す。それ以外の組み合わせでは光子検出器３０１、３０２が等確率で光子を検出する。
【0040】
以上の特性を利用し、本実施形態は、アリス１０とボブ２０において鍵ビットが生成される。図５は、鍵ビット生成を説明するためのタイミングチャートである。図５に示すように、アリス１０／ボブ２０は、それぞれチャーリー３０に対して光信号Ｌａ、Ｌｂを送信する（５０１，５０２）。チャーリー３０は、光信号Ｌａ、Ｌｂを受信し、遅延マッハツェンダー干渉計Ｍに入力する。そして、遅延マッハツェンダー干渉計Ｍの出力端に配置された光子検出器３０１、３０２を使って光子を検出する。そして、チャーリー３０は、光子を検出した時間スロット及び光子検出器３０１、３０２のいずれかを特定する光子検出情報をアリス１０／ボブ２０に送信する（５０３，５０４）。
【0041】
ここで、本実施形態のアリス１０は、光子検出がされたとき、光子が検出されたパルス光に自身が印加した｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報をボブ２０に通知する（５０６）。また、ボブ２０は、光子が検出されたパルス光に自身が印加した｛０またはπ｝であるか｛π／２または３π／２｝であるかの位相情報をアリス１０に通知する（５０５）。そして、自身が印加した位相、他方が印加した位相及び光子を検出した光子検出器に基づいてビット列を生成する（５０７，５０８）。
【0042】
図６は、アリス１０におけるビット列の生成を説明するためのフローチャートである。図７は、ボブ２０におけるビット列の生成を説明するためのフローチャートである。アリス１０は、図６に示すように、光子検出情報からチャーリー３０における光子の検出を検出する（ステップＳ６０１）。そして、光子検出情報に含まれる光子を検出した光子検出器３０１、３０２を特定する情報と、ボブ２０から通知された位相と、自身がパルス光に印加した位相から以下の処理を実行する。すなわち、アリス１０は、位相が{０またはπ｝であって、光子検出器３０１が光子を検出したか否かを判断する（ステップＳ６０２）。アリス１０は、ステップＳ６０２において、アリス１０／ボブ２０の位相が{０またはπ｝の場合において、光子を検出した光子検出器が光子検出器３０１であると判断すると（ステップＳ６０２：ＹＥＳ）、自身が印加した位相θaが０であるか判断し（ステップＳ６０３）、位相θaが０であれば（ステップＳ６０３：ＹＥＳ）、ビット０を生成する（ステップＳ６０４）。また、位相θaが０でない場合（ステップＳ６０３：ＮＯ）、位相θaがπであるか判断する（ステップＳ６０５）。位相θaがπである場合（ステップＳ６０５：ＹＥＳ）、ビット１を生成する（ステップＳ６０６）。ステップＳ６０５において、位相θaが０でない場合（ステップＳ６０５：ＮＯ）、アリス１０は、光子検出情報における次の光子の検出の処理に戻る。
【0043】
ステップＳ６０２において、アリス１０／ボブ２０の位相が{０またはπ｝であって、光子検出器３０１が光子を検出していないと判断された場合（ステップＳ６０２：ＮＯ）、アリス１０は、位相が{０またはπ｝であって、光子検出器３０２が光子を検出したか否かを判断する（ステップＳ６０７）。そして、アリス１０は、位相θaが{０またはπ｝の場合において、光子検出器３０２が光子を検出したと判断した場合（ステップＳ６０７：ＹＥＳ）、位相θａが０であるか判断し（ステップＳ６０８）、位相θaが０であれば（ステップＳ６０８：ＹＥＳ）、ビット０を生成する（ステップＳ６０９）。また、位相θaが０でない場合（ステップＳ６０８：ＮＯ）、位相θaがπであるか判断する（ステップＳ６１０）。位相θaがπである場合（ステップＳ６１０：ＹＥＳ）、ビット１を生成する（ステップＳ６１１）。ステップＳ６１０において、位相θaがπでない場合（ステップＳ６１０：ＮＯ）、アリス１０は、光子検出情報における次の光子の検出の処理に戻る。
【0044】
ステップＳ６０７において、位相が{０またはπ｝であって、光子検出器３０２が光子を検出していないと判断された場合（ステップＳ６０７：ＮＯ）、アリス１０は、位相が{π／２または３π／２｝であって、光子検出器３０１が光子を検出したか否かを判断する（ステップＳ６１２）。そして、アリス１０は、位相θaが{π／２または３π／２｝の場合において、光子検出器３０１が光子を検出したと判断した場合（ステップＳ６１２：ＹＥＳ）、位相θａがπ／２であるか判断し（ステップＳ６１３）、位相θaがπ／２であれば（ステップＳ６１３：ＹＥＳ）、ビット０を生成する（ステップＳ６１４）。また、位相θaがπ／２でない場合（ステップＳ６１３：ＮＯ）、位相θaが３π／２であるか判断する（ステップＳ６１５）。位相θaが３π／２である場合（ステップＳ６１５：ＹＥＳ）、ビット１を生成する（ステップＳ６１６）。ステップＳ６１５において、位相θaが３π／２でない場合（ステップＳ６１５：ＮＯ）、アリス１０は、光子検出情報における次の光子の検出の処理に戻る。
【0045】
ステップＳ６１２において、位相が{π／２または３π／２｝であって、光子検出器３０１が光子を検出していないと判断された場合（ステップＳ６１２：ＮＯ）、アリス１０は、位相が{π／２または３π／２｝であって、光子検出器３０２が光子を検出したか否かを判断する（ステップＳ６１７）。そして、アリス１０は、位相θaが{π／２または３π／２｝の場合において、光子検出器３０２が光子を検出したと判断した場合（ステップＳ６１７：ＹＥＳ）、位相θａがπ／２であるか判断し（ステップＳ６１８）、位相θaがπ／２であれば（ステップＳ６１８：ＹＥＳ）、ビット０を生成する（ステップＳ６１９）。また、位相θaがπ／２でない場合（ステップＳ６１８：ＮＯ）、位相θaが３π／２であるか判断する（ステップＳ６２０）。位相θaが３π／２である場合（ステップＳ６２０：ＹＥＳ）、ビット１を生成する（ステップＳ６２１）。ステップＳ６２０において、位相θaが３π／２でない場合（ステップＳ６２０：ＮＯ）、アリス１０は、光子検出情報における次の光子の検出の処理に戻る。
【0046】
また、ボブ２０は、図７に示すように、ビット列を生成する。すなわち、ボブ２０は、位相が{０またはπ｝であって、光子検出器３０１が光子を検出した場合（ステップＳ７０２：ＹＥＳ）、自身が印加した位相θbが０であれば（ステップＳ７０３：ＹＥＳ）、ビット０を生成する（ステップＳ７０４）。また、ボブ２０が印加した位相θbがπである場合（ステップＳ７０５：ＹＥＳ）、ビット１を生成する（ステップＳ７０６）。また、ボブ２０は、ステップＳ７０２において、位相が{０またはπ｝であって、光子検出器３０２が光子を検出したと判断した場合（ステップＳ７０７：ＹＥＳ）、位相θbがπであれば（ステップＳ７０８：ＹＥＳ）、ビット０を生成する（ステップＳ７０９）。また、ボブ２０が印加した位相θbが０である場合（ステップＳ７１０：ＹＥＳ）、ビット１を生成する（ステップＳ７１１）。
【0047】
また、ボブ２０は、位相が{π／２または３π／２｝であって、光子検出器３０１が光子を検出したと判断した場合（ステップＳ７１２：ＹＥＳ）、位相θbがπ／２であれば（ステップＳ７１３：ＹＥＳ）、ビット０を生成する（ステップＳ７１４）。また、位相θbが３π／２である場合（ステップＳ７１５：ＹＥＳ）、ビット１を生成する（ステップＳ７１６）。さらに、ボブ２０は、位相が{π／２または３π／２｝であって、光子検出器３０２が光子を検出した場合（ステップＳ７１７：ＹＥＳ）、位相θbがπ／２であれば（ステップＳ７１８：ＹＥＳ）、ビット１を生成する（ステップＳ７１９）。また、位相θbが３π／２である場合（ステップＳ７２０：ＹＥＳ）、ビット０を生成する（ステップＳ７２１）。
【0048】
以上の処理によれば、アリス１０／ボブ２０は、位相が{０またはπ}の場合と{π／２または３π／２}の場合にビットを生成し、その他の場合にビットを生成しない。生成されたビットは、アリス１０とボブ２０とにおいて同じになる。本実施形態は、このようにして生成されたビット列を秘密鍵ビットとする。
【0049】
以上説明したプロトコルにより生成した秘密鍵の秘匿性は、送信される光信号Ｌａ、Ｌｂが１パルス当たりの平均光子数が１光子未満の微弱なコヒーレントパルス列であり、かつ、各パルス光の位相値が０、π／２、π、３π／２のいずれかであることにより保障される。秘密鍵ビットは、アリス１０／ボブ２０の位相に基づいて生成されるため、盗聴者が鍵ビットを得るには送信されるパルス光の位相を知る必要がある。しかし、上記のような光パルス列の各パルス光の位相を正しく測定することができない。そのため、盗聴者はアリス１０／ボブ２０の生成ビットの全てを知ることはできない。
【0050】
例えば、盗聴者が伝送される光信号の一部を分岐してパルス光の位相を測定しようとしても（ビームスプリッタ攻撃と呼ばれる盗聴法）、光子数が少ないため、一部のパルス位相しか知ることできない。したがって、ビームスプリッタ攻撃では全ての鍵ビット値を知ることはできない。
【0051】
また、盗聴者が伝送路に割り込んで各パルス光の位相を測定し、測定できたパルス光のみについて、測定値を付与した偽装パルスをチャーリー３０に送る盗聴法（成りすまし攻撃と呼ばれる）を試みた場合を考える。このような場合、位相が０、π／２、π、３π／２のいずれかである微弱なコヒーレントパルス光は量子力学的非直交関係にあり、４つの位相値を正しく識別することはできない。そのため、チャーリーに送る偽装パルスはアリス１０／ボブ２０の送信したパルス光とは異なるものとなり、これから生成したビット値はアリス１０とボブ２０とで一致しない。そこで、アリス１０／ボブ２０は生成した鍵ビットの一部を照合し、不一致ビットがあれば盗聴ありと判断する。換言すると、盗聴者はアリス１０／ボブ２０に気付かれずに成りすまし攻撃を行うことはできない。
【0052】
さらに、盗聴法には、光子数分岐攻撃と呼ばれるものがある。本実施形態が光子数分岐攻撃を検知することについて、図８を用いて説明する。光子数分岐攻撃では、盗聴者は複数の光子を含むパルス光から１光子を抜き出して残りを無損失伝送路を介してチャーリー３０へ送信し、１光子以下のパルスはブロックする。このような場合、チャーリー３０の遅延マッハツェンダー干渉計には、図８に示すように、孤立したパルス光が入力されることになる。この場合、遅延マッハツェンダー干渉計の出力端では、相対的に短い経路を経たアリスからのパルス光（破線ボックス内のａｘ）、または長い経路を経たボブ２０からのパルス光（破線ボックス内のｂｙ）は干渉相手がいないまま出力されることになり、２つの光子検出器３０１、３０２においてランダムに光子検出される。この光子検出事象から生成したビットは、アリス１０とボブ２０とで不一致となり得る。そこで、成りすまし攻撃時と同様にして、照合ビットの一部の不一致率から盗聴が検知される。すなわち、盗聴者は、アリス１０／ボブ２０に気付かれずに光子数分岐攻撃を行うことはできない。
【0053】
以上説明したように、本実施形態の量子鍵配送システム、量子鍵配送方法は、ＴＦ－ＱＫＤの量子鍵配送システムにおいて、デコイ法による盗聴検知が不要でありながら、秘匿性が保障される秘密鍵を提供することができる。また、本実施形態によれば、ビームスプリッタ攻撃、成りすまし攻撃、光子数分岐攻撃のいずれに対しても対抗することができる。
【符号の説明】
【0054】
１０ アリス
１１，２１，１０１，２０１ コヒーレントパルス光源
１２，２２，１０２，２０２ 強度変調器
１３，１４，２３，２４，１０２，２０２ 位相変調器
１５，２５，２０２，２０３ 光減衰器
２０ ボブ
３０ チャーリー
３１，３２，３０１，３０２ 光子検出器
３３,３０４，３０５ ビームスプリッタ
３１１，３１２ 入力端子
３２１，３２２ 出力端子
１１，２１，１０１，２０１ コヒーレントパルス光源
１２，２２，１０２，２０２ 強度変調器
１３，１４，２３，２４，１０２，２０２ 位相変調器
１５，２５，２０２，２０３ 光減衰器
２０ ボブ
３０ チャーリー
３１，３２，３０１，３０２ 光子検出器
３３,３０４，３０５ ビームスプリッタ
３１１，３１２ 入力端子
３２１，３２２ 出力端子
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】