特開 2024-75947 量子鍵配送システム及び量子鍵配送方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2024075947

(43)【公開日】2024-06-05

(54)【発明の名称】量子鍵配送システム及び量子鍵配送方法

(51)【国際特許分類】

   H04L 9/12 20060101AFI20240529BHJP

【ＦＩ】

H04L9/12

【審査請求】未請求

【請求項の数】2

【出願形態】ＯＬ

(21)【出願番号】P 2022187232

(22)【出願日】2022-11-24

(71)【出願人】

【識別番号】000004226

【氏名又は名称】日本電信電話株式会社

(71)【出願人】

【識別番号】504176911

【氏名又は名称】国立大学法人大阪大学

(74)【代理人】

【識別番号】110001243

【氏名又は名称】弁理士法人谷・阿部特許事務所

(72)【発明者】

【氏名】本庄 利守

(72)【発明者】

【氏名】武居 弘樹

(72)【発明者】

【氏名】生田 拓也

(72)【発明者】

【氏名】井上 恭

(57)【要約】

【課題】ＴＦ－ＱＫＤの量子鍵配送システムにおいて、伝搬位相の制御やデコイ法を用いることなく、耐盗聴性の高い秘密鍵配送を可能とする量子鍵配送装置を提供する。
【解決手段】
コヒーレントパルス光源２１、パルス光をフレーム化して搬送波位相を設定するＰＭ２２、パルス光のデータ位相を設定するＰＭ２３、パルス光の平均光子数を１未満まで減衰させる光減衰器２５を含むアリス２０及びボブ３０と、アリス２０及びボブ３０から光信号を入力する遅延マッハツェンダー干渉計、光子を検出する光子検出器１６、１７を含むチャーリー１０とを備え、チャーリーが光子検出情報をアリス及びボブに通知し、アリス及びボブは、光子検出情報に基づいて鍵ビット列を生成し、鍵ビット列の一部をチャーリーと交換して不一致率を見積り、不一致率に基づいて、鍵ビット列に誤り訂正処理を施し、鍵ビット列をデータ圧縮する。
【選択図】図２

【特許請求の範囲】

【請求項1】

第１の光信号送受信装置と、
前記第１の光信号送受信装置を介して互いに通信する第２の光信号送受信装置及び第３の光信号送受信装置を含み、前記第２の光信号送受信装置と前記第３の光信号送受信装置に共通鍵暗号通信のための秘密鍵を配送する量子鍵配送システムであって、
前記第２の光信号送受信装置と前記第３の光信号送受信装置は、
時間間隔が２Ｔの連続するパルス光を含むパルス列を生成するパルス列生成部と、
前記パルス光をＮパルス毎にフレーム化し、各フレームにランダムな搬送波位相を設定する搬送波位相設定部と、
前記パルス光の各々に、0またはπのデータ位相を設定して位相変調する位相変調部と、
位相変調された前記パルス光の１つ当たりの平均光子数を１未満まで減衰させて光信号を生成する光減衰器と、を含み、
前記第１の光信号送受信装置は、
前記第２の光信号送受信装置から受信した光信号と、前記第３の光信号送受信装置から受信した光信号とを、前記フレームの時間位置が一致し、かつ、各前記パルス光の時間位置が半周期ずれた状態で入力する、遅延時間が前記時間間隔の半分のＴである遅延マッハツェンダー干渉計と、
前記遅延マッハツェンダー干渉計の出力端において、前記パルス光に含まれる光子を前記位相変調部によって設定されたデータ位相毎に検出する複数の光子検出器と、
複数の前記光子検出器のうちの光子を検出した前記光子検出器と、当該光子検出器によって光子が検出された時刻を含む光子検出情報を前記第２の光信号送受信装置及び前記第３の光信号送受信装置に通知する光子検出情報通知部と、を含み、
前記第２の光信号送受信装置及び前記第３の光信号送受信装置は、
前記光子検出情報と、前記位相変調部によって設定されたデータ位相とに基づいて鍵ビット列を生成する鍵ビット列生成部と、
前記鍵ビット列の一部をテストビットとして互いに交換し、前記テストビットの不一致率を見積もると共に、前記不一致率の見積りに利用された前記テストビットを廃棄する不一致率見積り部と、
前記不一致率に基づいて、前記フレーム毎の前記鍵ビット列に、誤り訂正処理を施す誤り訂正部と、
前記不一致率に基づいて前記誤り訂正がされた前記鍵ビット列を、前記フレーム毎にデータ圧縮するデータ圧縮部と、を含む、
量子鍵配送システム。

【請求項2】

第１の光信号送受信装置と、当該第１の光信号送受信装置を介して互いに通信する第２の光信号送受信装置及び第３の光信号送受信装置を含み、前記第２の光信号送受信装置と前記第３の光信号送受信装置に共通鍵暗号通信のための秘密鍵を配送する量子鍵配送システムにおいて行われる量子鍵配送方法であって、
前記第２の光信号送受信装置及び前記第３の光信号送受信装置において、時間間隔が２Ｔの連続するパルス光を含むパルス列を生成する工程と、前記パルス光をＮパルス毎にフレーム化し、各フレームにランダムな搬送波位相を設定する工程と、前記パルス光の各々に、０またはπのデータ位相を設定して位相変調する工程と、位相変調された前記パルス光の１つ当たりの平均光子数を１未満まで減衰させて光信号を生成する工程と、
前記第１の光信号送受信装置において、前記第２の光信号送受信装置から受信した光信号と、前記第３の光信号送受信装置から受信した光信号とを、前記フレームの時間位置が一致し、かつ、各前記パルス光の時間位置が半周期ずれた状態で、遅延時間が前記時間間隔の半分のＴである遅延マッハツェンダー干渉計に入力させる工程と、前記遅延マッハツェンダー干渉計の出力端において、前記パルス光に含まれる光子を設定されたデータ位相毎に複数の光子検出器によって検出する工程と、複数の前記光子検出器のうちの光子を検出した前記光子検出器と、当該光子検出器によって光子が検出された時刻を含む光子検出情報を前記第２の光信号送受信装置及び前記第３の光信号送受信装置に通知する工程と、
前記第２の光信号送受信装置及び前記第３の光信号送受信装置において、前記光子検出情報と、設定されたデータ位相とに基づいて鍵ビット列を生成する工程と、前記鍵ビット列の一部をテストビットとして互いに交換し、前記テストビットの不一致率を見積ると共に、前記不一致率の見積りに利用された前記テストビットを廃棄する工程と、前記不一致率に基づいて、前記フレーム毎の前記鍵ビット列に誤り訂正処理を施す工程と、前記不一致率に基づいて前記誤り訂正がされた前記鍵ビット列を前記フレーム毎にデータ圧縮する工程と、を含む、量子鍵配送方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、二つの光信号送受信装置と、この光信号送受信装置の間を仲介する光信号送受信装置を含む量子鍵配送システム及び、この量子鍵配送システムで実施される量子鍵配送方法に関する。

【背景技術】

【0002】

量子力学の原理に基づいて、共通鍵暗号通信のための秘密鍵を離れた二者に安全に供給する量子鍵配送（Quantum Key Distribution、以下、「ＱＫＤ」とも記す。）の研究開発が進められている。複数の方式があるＱＫＤのうち、送受信装置間の長距離化が可能な振幅場対ＱＫＤ（Twin Field QKD、以下、「ＴＦ－ＱＫＤ」とも記す）は、例えば、非特許文献１に記載されている。

【0003】

非特許文献１に記載のシステムは、秘密鍵を共有するアリス及びボブと、アリスとボブの中間点に位置して秘密鍵共有の仲立ちをする第三者であるチャーリーを含む。このようなシステムにおいて、アリスとボブはそれぞれチャーリーへパルス光の信号を送信し、チャーリーは送信されてきた光信号を受信し、合波して光子を検出する。そして、この検出では合波するパルス光の位相差に応じて検出器で光子が検出され、検出した検出器と、アリスとボブが送信した光信号の位相に基づいて秘密鍵が生成される。このシステムでは、チャーリーを介して通信するシステムのアリスとボブの物理的距離は、光子の伝送距離の２倍とすることができる。これによって、非特許文献１に記載のシステムは、アリスとボブが直接光子を送受信するＱＫＤシステムよりも通信の長距離化が可能となる。

【先行技術文献】

【非特許文献】

【0004】

【非特許文献1】M. Lucamarini, Z. L. Yuan, J. F. Dynes, and A. J. Shields, "Overcoming the rate-distance limit of quantum key distribution without quantum repeaters," Nature, vol. 557, pp. 400-403 (2018).

【発明の概要】

【発明が解決しようとする課題】

【0005】

非特許文献１に記載の公知技術において、チャーリーは、アリスによって送信された光信号とボブによって送信された光信号とを、その位相差が保持された状態で合波する必要がある。このためには、アリス及び／またはボブ（以下、「アリス／ボブ」とも記す）からチャーリーまでの間を伝播する光信号の位相（以下、「伝搬位相」とも記す）をそれぞれ保持しなければならない。

【0006】

しかしながら、一般に伝送路として用いられる光ファイバは、温度等、周囲の環境により光学的距離が変動し、これに伴い伝搬位相が変動する。このため、非特許文献１に記載の構成の実装にあたっては、伝搬位相の変動を抑止するように制御する構成が必要である。伝搬位相が保持されるように制御する構成は、例えば、プローブ光を使って伝搬位相をモニタする等して実現することが可能である。ただし、伝搬位相のモニタには高度な技術が要求され、ＱＫＤ装置の複雑化、高コスト化を招く。

【0007】

また、非特許文献１に記載の公知技術は、秘密鍵の秘匿性を保障すべく、光子数分岐攻撃対策としてデコイ法を用いている。デコイ法においては、アリス／ボブが光変調器によりパルスごとに平均光子数を無作為に変調している。また、アリス／ボブは、盗聴検知のため、検出光子数の統計的性質を解析するデータ処理を行っている。このような処理は、アリス／ボブとなる装置及びプロトコルを煩雑化する。また、デコイ法を用いる場合、秘密鍵生成効率が低くなるという問題もある。

【0008】

本発明は、上記の点に鑑みてなされたものであり、ＴＦ－ＱＫＤの量子鍵配送システムにおいて、伝搬位相の制御やデコイ法を用いることなく、耐盗聴性の高い秘密鍵配送を可能とする量子鍵配送装置及び量子鍵配送方法を提供することを目的とする。

【課題を解決するための手段】

【0009】

上記目的を達成するために本発明の一形態の量子鍵配送システムは、第１の光信号送受信装置と、第１の光信号送受信装置を介して互いに通信する第２の光信号送受信装置及び第３の光信号送受信装置を含み、第２の光信号送受信装置と第３の光信号送受信装置に共通鍵暗号通信のための秘密鍵を配送する量子鍵配送システムであって、第２の光信号送受信装置と第３の光信号送受信装置は、時間間隔が２Ｔの連続するパルス光を含むパルス列を生成するパルス列生成部と、パルス光をＮパルス毎にフレーム化し、各フレームにランダムな搬送波位相を設定する搬送波位相設定部と、パルス光の各々に、0またはπのデータ位相を設定して位相変調する位相変調部と、位相変調されたパルス光の１つ当たりの平均光子数を１未満まで減衰させて光信号を生成する光減衰器と、を含み、第１の光信号送受信装置は、第２の光信号送受信装置から受信した光信号と、第３の光信号送受信装置から受信した光信号とを、フレームの時間位置が一致し、かつ、各パルス光の時間位置が半周期ずれた状態で入力する、遅延時間が前記時間間隔の半分のＴである遅延マッハツェンダー干渉計と、遅延マッハツェンダー干渉計の出力端において、パルス光に含まれる光子を位相変調部によって設定されたデータ位相毎に検出する複数の光子検出器と、複数の光子検出器のうちの光子を検出した光子検出器と、当該光子検出器によって光子が検出された時刻を含む光子検出情報を第２の光信号送受信装置及び第３の光信号送受信装置に通知する光子検出情報通知部と、を含み、第２の光信号送受信装置及び第３の光信号送受信装置は、光子検出情報と、位相変調部によって設定されたデータ位相とに基づいて鍵ビット列を生成する鍵ビット列生成部と、鍵ビット列の一部をテストビットとして互いに交換し、テストビットの不一致率を見積ると共に、不一致率の見積りに利用されたテストビットを廃棄する不一致率見積り部と、前記不一致率に基づいて、前記フレーム毎の前記鍵ビット列に、誤り訂正処理を施す誤り訂正部と、不一致率に基づいて、前記誤り訂正がされた鍵ビット列をフレーム毎にデータ圧縮するデータ圧縮部と、を含む。

【0010】

また、本発明の一形態の量子鍵配送方法は、第１の光信号送受信装置と、当該第１の光信号送受信装置を介して互いに通信する第２の光信号送受信装置及び第３の光信号送受信装置を含み、第２の光信号送受信装置と第３の光信号送受信装置に共通鍵暗号通信のための秘密鍵を配送する量子鍵配送システムにおいて行われる量子鍵配送方法であって、第２の光信号送受信装置及び第３の光信号送受信装置において、時間間隔が２Ｔの連続するパルス光を含むパルス列を生成する工程と、パルス光をＮパルス毎にフレーム化し、各フレームにランダムな搬送波位相を設定する工程と、パルス光の各々に、０またはπのデータ位相を設定して位相変調する工程と、位相変調されたパルス光の１つ当たりの平均光子数を１未満まで減衰させて光信号を生成する工程と、第１の光信号送受信装置において、第２の光信号送受信装置から受信した光信号と、第３の光信号送受信装置から受信した光信号とを、フレームの時間位置が一致し、かつ、各パルス光の時間位置が半周期ずれた状態で、遅延時間が前記時間間隔の半分のＴである遅延マッハツェンダー干渉計に入力させる工程と、遅延マッハツェンダー干渉計の出力端において、パルス光に含まれる光子を設定されたデータ位相毎に複数の光子検出器によって検出する工程と、複数の光子検出器のうちの光子を検出した光子検出器と、当該光子検出器によって光子が検出された時刻を含む光子検出情報を第２の光信号送受信装置及び第３の光信号送受信装置に通知する工程と、第２の光信号送受信装置及び第３の光信号送受信装置において、光子検出情報と、設定されたデータ位相とに基づいて鍵ビット列を生成する工程と、鍵ビット列の一部をテストビットとして互いに交換し、テストビットの不一致率を見積ると共に、不一致率の見積りに利用されたテストビットを廃棄する工程と、不一致率に基づいて、フレーム毎の鍵ビット列に誤り訂正処理を施す工程と、不一致率に基づいて、フレーム毎に鍵ビット列をデータ圧縮する工程と、を含む。

【発明の効果】

【0011】

以上の形態によれば、ＴＦ－ＱＫＤの量子鍵配送システムにおいて、伝搬位相の制御やデコイ法による盗聴検知が不要な量子鍵配送装置及び量子鍵配送方法を提供することができる。

【図面の簡単な説明】

【0012】

【図1】本発明の一実施形態の比較例となる公知のＴＦ－ＱＫＤ装置を説明するための図である。

【図2】（ａ）、（ｂ）及び（ｃ）は、いずれも本実施形態の構成を説明するための模式図である。

【図3】図２（ｂ）に示した波長変調器による搬送波位相の付与について説明するための図である。

【図4】図２（ｃ）に示したチャーリーにおける光信号の動きを説明するための図である。

【図5】図２（ａ）に示した鍵配送システムにおいて送受信されるデータを説明するためのシーケンス図である。

【図6】（ａ）、（ｂ）は、図５において送受信されるデータを使って行われるビット列の生成処理を説明するためのフローチャートであって、（ａ）はアリスにおいて実行される処理、（ｂ）はボブにおいて実行される処理を示す。

【図7】図５において送受信されるデータを使って行われる秘密鍵ビットの生成処理を説明するためのフローチャートである。

【図8】アリスの光信号に対して成りすまし攻撃が行われた例を説明するための図である。

【図9】アリス及びボブの光信号に対して成りすまし攻撃が行われた例を説明するための図である。

【発明を実施するための形態】

【0013】

［概要］
以下、本発明の一実施形態の説明に先立って、本実施形態で利用する公知の量子鍵配送装置を比較例として説明する。なお、概要及び実施形態で示す図面は、いずれも本発明の構成の配置、動作、機能、目的、効果、技術思想等を説明する模式的な図であって、本実施形態の具体的な構成を限定するものではない。また、図面にあっては同様の部材に同様の符号を付し、その説明の一部を略す場合もある。

【0014】

図１は、本実施形態の比較例となる公知のＴＦ－ＱＫＤ装置を説明するための図である。図１に示すＴＦ－ＱＫＤシステムは、チャーリー１００と、チャーリー１００を介して通信するアリス２００及びボブ３００とを含んでいる。アリス２００は、コヒーレント光源２０１、コヒーレント光源２０１の出力した光信号の強度を調整する強度変調器（Intensity Modulators；図中では「ＩＭ」と記す）２０２、バイアス位相の位相変調器（Phase Modulators；図中では「ＰＭ」と記す）２０３、データ位相の位相変調器２０４、可変式の光減衰器２０５を含む。また、ボブ３００は、同様に、コヒーレント光源３０１、コヒーレント光源３０１の出力した光信号の強度を調整する強度変調器３０２、バイアス位相の位相変調器３０３、データ位相の位相変調器３０４及び光減衰器３０５を含む。チャーリー３００は、光子検出器１０６、１０７及び、ビームスプリッタ１０８を含んでいる。アリス２００、ボブ３００及びチャーリー１００は、通信における当事者を示すと共に、本実施形態においては光信号の送受信機能を有する通信ノード（光信号送受信装置）を示している。

【0015】

以下、上記のＴＦ－ＱＫＤ装置の動作を説明する。
アリス２００とボブ３００はそれぞれ、平均光子数が１程度の微弱なコヒーレントパルス光（以下、単に「パルス光」とも記す）をチャーリー１００に送信する。パルス光の位相θは、バイアス位相θ₀＝πｋ／Ｍと、データ位相θ_d＝｛０またはπ｝の和となる。すなわち、以下の式（１）が成立する。
θ＝θ₀＋θ_d ・・・式（１）
上記の式（１）において、Ｍは２以上の整数、ｋについては０≦ｋ＜Ｍが成立する。以下、説明の簡易化のため、Ｍを２として説明を行う。この場合、θ₀は｛０またはπ／２｝となり、位相値θは０、π／２、π、３π／２のいずれかとなる。アリス２００及びボブ３００は、この４つの位相値のいずれかを無作為に選択し、パルス状のコヒーレント光に付与する。アリス２００から送信される光信号をＳｙ、ボブ３００から送信される光信号をＳｘとして図１中に示す。光信号Ｓｘ、Ｓｙは、複数のパルス光を含むパルス列を形成する。

【0016】

次にチャーリー１００は、送られてきた光信号Ｓｘ、Ｓｙを２入力２出力のビームスプリッタ１０８で合波し、出力端に配置された光子検出器１０６、１０７においてそれぞれ光子検出する。アリス２００及びボブ３００から送信された光信号Ｓｘ、Ｓｙの光子は、ビームスプリッタ１０８において干渉し合い、両者の位相差に応じて光子検出器１０６、または光子検出器１０７で検出される。この際、光子は、アリス２００から送信される光信号Ｓｙと、ボブ３００から送信される光信号Ｓｘとの位相差が０である場合に光子検出器１０６によって検出される。また、光子は、光信号Ｓｙと、光信号Ｓｘとの位相差がπである場合に光子検出器１０７によって検出される。パルス光同士の位相差と光子を検出する光子検出器との対応は、アリス２００からビームスプリッタ１０８までの伝搬位相、及びボブ３００からビームスプリッタ１０８までの伝搬位相を調整することによって実現できる。

【0017】

光信号Ｓｘ、Ｓｙの位相差が{０，π}以外である場合、光子は、光信号Ｓｘ、Ｓｙの位相差で決まる確率にしたがって光子検出器１０６または光子検出器１０７によって検出される。なお、パルス光は、光減衰器２０５、３０５によって減衰されているために受信される際のパワーは微小である。このため、光子は、光子検出器１０６、１０７のいずれによっても検出されない場合がある。チャーリー１００は、光子が検出された場合に、光子検出器１０６、１０７のいずれによって光子が検出されたかを記録する。

【0018】

上記したパルス光の送受信を複数回行った後、チャーリー１００は、光子が検出されたパルス光と、光子を検出した光子検出器１０６、１０７のいずれかをアリス２００及びボブ３００に通知する。通知を受けたアリス２００及びボブ３００は、光子が検出されたパルス光に付与したバイアス位相を互いに通知し合う。以上の処理により、アリス２００とボブ３００は、光子が検出されたパルス光について、自身が付与しバイアス位相と、他方が付与したバイアス位相と、干渉後のパルス光の光子を検出した光子検出器の情報（以下、「光子検出情報」とも記す）を得ることができる。

【0019】

次に、アリス２００及びボブ３００は、光子検出情報と、自身が付与したデータ位相の値に基いてビット値を生成する。すなわち、アリス２００及びボブ３００は、自身が付与したバイアス位相と相手が付与したバイアス位相とが異なっている光子検出情報を除外する。そして、バイアス位相が同一の光子検出情報につき、アリス２００及びボブ３００は、光子検出器１０６が光子を検出した場合、データ位相が０であればビット０、データ位相がπならばビット１を生成する。また、光子検出器１０７が光子を検出した場合、アリス２００は、データ位相が０であればビット０、データ位相がπならばビット１を生成する。このとき、ボブ３００は、データ位相がπならばビット０、データ位相が０ならばビット１を生成する。このように生成されたビット値は、チャーリーのビームスプリッタにおける干渉条件より、アリス２００とボブ３００とで同一となる。ＴＦ－ＱＫＤ装置においては、アリス２００とボブ３００が共有するビット値を秘密鍵とする。

【0020】

上記の秘密鍵の秘匿性は、次のように保障されている。先ず、チャーリー１００は、光子検出結果からアリス２００から送信された光信号Ｓｙと、ボブ３００から送信された光信号Ｓｘとの位相差を知り得るが、位相値自体を知ることはできない。このため、チャーリーが悪意のある第三者であったとしても、鍵ビットを生成することはできない。

【0021】

また、位相が０、π／２、π、３π／２のいずれかである微弱なコヒーレント光は、量子力学的非直交関係にある。このため、外部の盗聴者は、光信号Ｓｙ、Ｓｘからアリス２００／ボブ３００がコヒーレント光に付与した位相値を知ろうとしても、位相値が４つの状態のうちのいずれであるかを１００％正しく識別することはできない。したがって、盗聴者は、伝送経路上でパルス光を測定して鍵ビットを得ることはできない。

【0022】

ただし、光子数分岐攻撃と呼ばれる盗聴法は、アリス２００とボブ３００が共有する鍵ビットを知り得ることがある。すなわち、光子数分岐攻撃は、微弱なパワーのパルス光にも有限の確率で光子が２個以上存在し得ることを利用する。この際、盗聴者は、量子非破壊測定と呼ばれる測定法によって信号状態は変えず、パルス光の光子数を測定する。そして、盗聴者は、２個以上の光子を含むパルス光に対し、１個の光子を抜き出し、残った光子を無損失伝送路を介してチャーリー１００に送信する。また、盗聴者は、光子を１個だけ含むパルス光を除去する。無損失伝送路を用いる理由は、光子抜き出し及びパルス除去による伝送光パワーの減少を補償するためである。すなわち、光伝送路には伝搬損失があり、伝送につれて伝送光パワーは減少する。盗聴者は、伝送路を無損失なものに置き換えて、本来の伝搬損失による減少分と盗聴による減少分を等しく設定すれば、盗聴行為を隠蔽することができる。

【0023】

次に盗聴者は、抜き出した光子をそのままの状態で量子メモリに保存する。そして、光信号送受信後に光子検出情報及びバイアス位相情報が明らかになった後、それらに基づいて、保存しておいた光子を測定する。バイアス位相が既知である場合、盗聴者は、位相差が０またはπのデータ位相が識別可能である。前述のように、光子数が１であるパルスは除外されているため、盗聴者はチャーリーに届く全ての光子と同一の光子を保有することになる。したがって、盗聴者は、チャーリー１００の光子検出事象からアリス２００／ボブ３００が生成したビット値の全てを知ることが可能になる。

【0024】

光子数分岐攻撃に対処するための方法としては、デコイ法と呼ばれる方法がある。デコイ法は、パルス光の光強度（すなわち、平均光子数）をパルスごとにランダムに設定する。光強度の設定は、アリス２００の強度変調器２０２、ボブ３００の強度変調器３０２によって行われる。前述のように、光子数分岐攻撃においては、無損失伝送路を用いることにより、盗聴時でもチャーリー１００の受信光子数に変化が無いように設定する。盗聴がない場合にチャーリー１００が受信する光子数は、伝送路損失及びパルス光の平均光子数で決まり、盗聴者はこれに合わせてチャーリー１００へ光子を送る必要がある。ところが、パルス光ごとに平均光子数が異なっている場合、盗聴者は、チャーリー１００に送るべき光子数が分からない。そこでパルス送受信後に、アリス２００は送信パルス光強度をチャーリー１００に通知し、チャーリー１００はそれに応じた光子検出がされているか検証することにより、光子数分岐攻撃を検知することが可能になる。

【0025】

以上説明したように、デコイ法は、光子数分岐攻撃を検知することができる。しかし、デコイ法においては、秘密鍵生成効率が低くなる。すなわち、デコイ法において、アリスとボブがランダムに光強度を設定すると、チャーリーのビームスプリッタに入力されるパルス光の強度が相違し、両者が完全には干渉せず、その光子検出結果から生成されたビットに誤りが生じ得る。そこで、アリスとボブは、光信号送受信後に、送信光強度を通知し合い、ビームスプリッタへ入力される光強度が同一である検出事象を抽出し、そこからビットを生成する。このような処理は、光子検出事象の一部を廃棄することになるので、鍵ビット生成効率を低下させる。

【0026】

以下で説明する本発明の実施形態は、上述の比較例のように伝搬位相制御やデコイ法の必要性がなく、耐盗聴性の高い秘密鍵配送を可能とするものである。

【0027】

［実施形態］
以下、本発明の一実施形態を説明する。図２（ａ）、図２（ｂ）及び図２（ｃ）は、本発明の一実施形態の構成を説明するための模式図である。本実施形態の量子鍵配送システムは、第１の光信号送受信装置であるチャーリー１０と、チャーリー１０を介して互いに通信する第２の光信号送受信装置であるアリス２０及び第３の光信号送受信装置であるボブを含む。そして、量子鍵配送システムはアリス２０とボブ３０に秘密鍵を配送する。なお、チャーリー１０、アリス２０、ボブ３０は、いずれも暗号通信の当事者を表すが、実体は光信号の送受信機能を有する光信号送受信装置であり、光信号送受信装置は、光通信において機能する光学素子、ハードウェア及びコンピュータプログラム等のソフトウェアを含む構成である。

【0028】

図２（ａ）は、量子鍵配送システムの全体を示している。図２（ｂ）は、図２（ａ）に示す量子鍵配送システムに含まれるアリス２０及びボブ３０それぞれを示している。図２（ｃ）は、図２（ａ）に示す量子鍵配送システムに含まれるチャーリー１０を示している。図２（ａ）に示すように、本実施形態の量子鍵配送システムは、上記比較例のＴＦ－ＱＫＤシステムと同様に、チャーリー１０と、チャーリー１０を介して通信するアリス２０及びボブ３０を含む。以下、アリス２０及びまたはボブ３０を、アリス２０／ボブ３０とも記す。アリス２０は、パルス光である光信号Ｓａをチャーリー１０に送信する。また、ボブ３０は、光信号Ｓｂをチャーリー１０に送信する。チャーリー１０は、光信号Ｓａ、Ｓｂを受信し、両者を合波する。

【0029】

アリス２０／ボブ３０は、図２（ｂ）に示すように、コヒーレントパルス光源２１、搬送波位相θ_cの位相変調器である位相変調器２２、データ位相θ_dの位相変調器である位相変調器２３及び光減衰器２５を含む。コヒーレントパルス光源２１は、連続するパルス光を含み、各パルス光の時間間隔が２Ｔであるパルス光列を発生する。位相変調器２２は、パルス光に搬送波位相θ_cを付与する。位相変調器２３は、パルス光に０、またはπのデータ位相θ_dを付与する。このような構成のうち、コヒーレントパルス光源２１は、連続するパルス光を含むパルス列を構成する光信号を生成する光信号生成部として機能する。位相変調器２２は、パルス光をＮパルス毎にフレーム化し、各フレームにランダムな搬送波位相を設定する搬送波位相設定部として機能する。位相変調器２３は、パルス光の各々に、データ位相を設定して位相変調する位相変調部として機能する。光減衰器２５は、位相変調されたパルス光の１つ当たりの平均光子数を１未満まで減衰させて光信号を生成する光減衰器として機能する。

【0030】

チャーリー１０は、図２（ｃ）に示すように、ビームスプリッタ１８、１９、光信号検出部１６、１７を備えている。ビームスプリッタ１８は、光信号Ｓａ、Ｓｂの一部を透過し、他の一部を反射する。ビームスプリッタ１９は、ビームスプリッタ１８を透過した光信号の一部を透過し、他の一部を反射する。このようなビームスプリッタ１８、１９は、遅延マッハツェンダー干渉計を構成する。遅延マッハツェンダー干渉計は、光信号Ｓａと光信号Ｓｂとを合波し、時間間隔が光信号Ｓａ、Ｓｂの時間間隔２Ｔの半分であるＴのパルス列を生成する。光子検出器１６、１７は、遅延マッハツェンダー干渉計のそれぞれの出力から出力される光信号を検出する。

【0031】

ビームスプリッタ１８、１９で構成される遅延マッハツェンダー干渉計は、アリス２０から受信した光信号Ｓａと、ボブ３０から受信した光信号Ｓｂとを、フレームの時間位置が一致し、かつ、各パルス光の時間位置がずれた状態で入力する。光子検出器１６、１７は、遅延マッハツェンダー干渉計の出力端において、パルス光に含まれる光子を位相変調器２３によって設定されたデータ位相毎に検出する。チャーリー１０は、光子検出器１６、１７のうちの光子を検出したものを、この光子検出器によって光子が検出された時刻（時間スロット）を含む光子検出情報を、アリス２０及びボブ３０に通知する光子検出情報通知部（不図示）を含む。光子検出情報の生成は、チャーリー１０の不図示の演算装置や記憶装置のハードウェア、またはハードウェア上で動作するプログラムやプログラムで実行されるプロトコルといったソフトウェアによって実行することができる。

【0032】

また、アリス２０／ボブ３０は、光子検出情報と、位相変調器２３によって設定されたデータ位相とに基づいて鍵ビット列を生成する鍵ビット列生成部（不図示）と、鍵ビット列の一部をテストビットとして互いに交換し、テストビットの不一致率を見積る不一致率見積り部と、フレーム毎に、不一致率に基づいて鍵ビット列をデータ圧縮するデータ圧縮部（不図示）と、を含む。これら各部の構成は、上記ハードウェア、ソフトウェアが協働することによって実現することができる。

【0033】

図３は、位相変調器２２による搬送波位相θ_cの付与について説明するための図である。図３の縦軸はパルス光の強度を示し、横軸は時間を示している。搬送波位相θ_cの付与は、図３に示すように、パルス光をＮ個ずつフレーム化して行われる。図３においては、３つのフレームｆ１、ｆ２、ｆ３を示す。１フレーム長（時間）は、アリス２０／ボブ３０からチャーリー１０までの伝送路の伝搬位相揺らぎ時間より十分短いものとする。フレームｆ１、ｆ２、ｆ３の各々に付与される搬送波位相θ_cはランダムであり、フレームｆ１、ｆ３には搬送波位相θ_c（ｋ＋１）が付与され、フレームｆ２には搬送波位相θ_c（ｋ）が付与されている。位相変調器２３は、パルス光ごとに０またはπのデータ位相θ_dを付与する。光減衰器２５は、位相変調されたパルス光を平均１光子／パルス未満まで減衰させる。減衰後の光信号Ｓａ、Ｓｂは、アリス２０及びボブ３０からチャーリー１０に送信される。

【0034】

図４は、チャーリー１０における光信号Ｓａ、Ｓｂの動きを説明するための模式図である。なお、図４では、アリス２０から受信した光信号Ｓａとボブ３０から受信した光信号Ｓｂは、それらを構成するパルスで示され、また、それらの図における濃度によって区別して表されている。光信号Ｓａを構成するパルス光は、光信号Ｓｂを構成するパルス光よりも濃い濃度で表される。光信号Ｓａ、Ｓｂは、チャーリー１０にそれぞれ入力される。この際、光信号Ｓａ、Ｓｂは、フレーム時間位置が同期し、かつ、その経路差によりパルスが半周期ずれた状態で入力される。経路差は、例えば、遅延マッハツェンダー干渉計の前段のファイバーディレイラインの長さを調整することによって実現することができる。ここで、本実施形態の「フレーム時間位置」は、１フレームの開始から終了までの時間範囲における、フレーム開始からの経過時間をいう。

【0035】

ビームスプリッタ１８は、光信号Ｓａ、Ｓｂを合波し、一部を反射し、一部を透過する。反射されたパルス光を図４中にパルス光Ｓｃ、透過されたパルス光をパルス光Ｓｄとする。パルス光Ｓｃは、その経路差によってパルス光Ｓｄに対して半周期遅れるようにずれている。これにより、遅延マッハツェンダー干渉計の２つの経路上において、アリス２０からのパルス光とボブ３０からのパルス光が交互に並んだパルス列が伝搬する。このパルス列において、パルス光の時間間隔はＴとなる。パルス光Ｓｃ、Ｓｄは、ビームスプリッタ１９において、経路差によって１パルスずれた状態で合波される。これにより、アリス２０からのパルス光とボブ３０からのパルス光とが重なり合う。

【0036】

遅延マッハツェンダー干渉計の出力端には光子検出器１６、１７が設けられている。ビームスプリッタ１９で合波されたパルス光の光子は、アリス２０から送信された光信号Ｓａと、ボブ３０から送信された光信号Ｓｂとの位相差に応じて光子検出器１６、１７のいずれかで検出される。図４においては、光子検出器１６によって光子が検出された光信号をＳｅ、光子検出器１７によって光子が検出された光信号をＳｆとして示す。

【0037】

光子検出器１６、１７によって光子が検出される確率は、次のようにして算出される。すなわち、遅延マッハツェンダー干渉計に入力される際の光信号Ｓａ、Ｓｂの位相をそれぞれθ_a、θ_bとする。光子検出器１６、１７が光子を検出する確率は、それぞれ
ｃｏｓ²［（θ_a－θ_b＋π／２）／２］、ｓｉｎ²［（θ_a－θ_b＋π／２）／２］に比例する。但し、光信号が含む光子は平均１光子／パルス未満であり、伝送損失を受けている。このため、光子が検出されることは、稀、かつランダムである。

【0038】

図５は、図２（ａ）に示した鍵配送システムにおいて送受信されるデータを説明するためのシーケンス図である。図６（ａ）、図６（ｂ）は、図５において送受信されるデータを使って行われるビット列の生成処理を説明するためのフローチャートであって、図６（ａ）はアリス２０において行われる処理、図６（ｂ）はボブ３０において行われる処理を説明する。図７は、図５において送受信されるデータを使って行われる秘密鍵ビットの生成処理を説明するためのフローチャートである。図５に示すように、アリス２０／ボブ３０は、チャーリー１０に向けて光信号Ｓａ、Ｓｂをそれぞれ送信する（５０１，５０２）。チャーリー１０は、光子を検出した時間スロット及び光子検出器１６、１７を含む光子検出情報をアリス２０／ボブ３０に通知する（５０３，５０４）。図４に示すデータの送受信は、チャーリー１０、アリス２０／ボブ３０が備える通信機能によって実行される。また、図５（ａ）、図５（ｂ）及び図６のフローチャートが示す処理は、アリス２０／ボブ３０が備えるハードウェア、ソフトウェアが協働して実現する。

【0039】

光子検出情報を取得したアリス２０は、光子を検出した光子検出器１６、１７と光子検出した時間スロットに対応する自身の光信号のパルスのデータ位相θ_dを参照し、ビットを生成する。具体的には、図６（ａ）に示すように、アリス２０は、光子を検出した光子検出器が光子検出１６であるか否か判断する（ステップＳ６１１）。光子検出器１６において光子が検出された場合（ステップＳ６１１：Ｙｅｓ）、アリス２０は、自身のデータ位相θ_dが０であれば（ステップＳ６１２：Ｙｅｓ）、ビット０を生成する（ステップＳ６１３）。また、ステップＳ６１２において、アリス２０は、自身のデータ位相θ_dがπであれば（ステップＳ６１２：Ｎｏ）、ビット１を生成する（ステップＳ６１５）。

【0040】

ステップＳ６１１において、光子を検出した光子検出器が光子検出器１６でないと判定された場合（ステップＳ６１１：Ｎｏ）、アリス２０は、光子検出器１７が光子を検出したとして、自身が送信した光信号Ｓａのデータ位相θ_dを判断する（ステップＳ６１５）。そして、データ位相θ_dが０であると判断した場合（ステップＳ６１６：Ｙｅｓ）、アリス２０は、ビット０を生成する。そして、データ位相θ_dが０でないと判断した場合（ステップＳ６１６：Ｎｏ）、アリス２０は、データ位相θ_dがπであるとして、ビット１を生成する（ステップＳ６１８）。このような処理の後、アリス２０は、取得した光子検出情報の全てについて処理が終了したか否かを判定する（ステップＳ６１４）。そして、処理が終了していない、すなわち、未だ処理すべき光子検出情報がある場合（ステップＳ６１４：Ｎｏ）、ステップＳ６１１に戻って次の光子検出情報の処理を行う（ステップＳ６１１）。

【0041】

また、ボブ３０は、アリス２０と同様に、光子検出情報から光子を検出した光子検出器が光子検出器１６であるか否かを判定する（ステップＳ６２１）。そして、光子検出器１６であると判断した場合（ステップＳ６２１：Ｙｅｓ）、ボブ３０は、データ位相θ_dが０であるか判断する（ステップＳ６２２）。データ位相θ_dが０である場合（ステップＳ６２２：Ｙｅｓ）、ボブ３０は、ビット０を生成する（ステップＳ６２３）。また、ボブ３０は、ステップＳ６２２において、データ位相θ_dが０でないと判断した場合（ステップＳ６２２：Ｎｏ）、データ位相θ_dはπであるとしてビット１を生成する（ステップＳ６２５）。

【0042】

さらに、ボブ３０は、ステップＳ６２１において、光子を検出した光子検出器が光子検出器１６でないと判断した場合（ステップＳ６２１：Ｎｏ）、光子検出器１７が光子を検出したとして、自身の送信した光信号のデータ位相θ_dが０であるか否か判断する（ステップＳ６２６）。データ位相θ_dが０である場合（ステップＳ６２６：Ｙｅｓ）、ボブ３０は、アリスと反対に、ビット１を生成する（ステップＳ６２７）。そして、ボブ３０は、データ位相θ_dが０でない場合（ステップＳ６２６：Ｎｏ）、データ位相θ_dがπであるとして、アリス２０と反対に、ビット０を生成する（ステップＳ６２７）。ボブ３０は、アリスと同様に、このような処理を全ての光子検出情報について行っている（ステップＳ６２４、６２１）。

【0043】

このようにして生成されたビット値がアリス２０とボブ３０とで一致する条件は、アリス２０／ボブ３０の光信号送受信装置が理想的であり、アリス２０／ボブ３０の搬送波位相θ_cが同一で、伝送経路に揺らぎがなく、盗聴されていないことである。しかしながら、このような条件の全てが満たされることは少なく、ある確率でアリス２０によって生成されたビット列と、ボブ３０によって生成されたビット率に不一致が生じる。このため、アリス２０とボブ３０は、生成されたビット率から以下に示す処理によってビット鍵を生成する。

【0044】

図７に示すフローチャートは、アリス２０／ボブ３０の各々において行われる。また、図７のステップＳ７０１からステップＳ７０６の処理は、いずれもフレーム毎に行われる。アリス２０／ボブ３０は、各々が所有するビット列の不一致率（ビット不一致率）ｅを見積る（ステップＳ７０１）。ステップＳ７０１の処理は、アリス２０／ボブ３０の各々が生成したビット列の一部をテストビットとして照合し合って行われる。なお、この際、アリス２０／ボブ３０は、見積もったビット不一致率ｅが５０％以上のフレームについては、ビット値を反転し、そのフレームのビット不一致率を（１－ｅ）として再定義する。なお、本実施形態のビット不一致率の基準は、５０％に限定されるものではない。ビット不一致率の基準は、安全性理論に基づいて、伝送距離等に応じて変動する値である。その後、アリス２０／ボブ３０は、ビット値照合に用いたテストビットを廃棄する（ステップＳ７０２）。

【0045】

次に、アリス２０／ボブ３０は、見積もられたビット不一致率に基づいて、各フレームに公開チャンネルを通して誤り訂正プロトコルを実行し（ステップＳ７０３）、さらに秘匿性増強と呼ばれるデータ処理を各フレームに実行する（ステップＳ７０４）。秘匿性増強処理は、誤り訂正のために公開された情報量は漏洩したものとみなし、さらにビット不一致率を全て盗聴に起因するものとみなして盗聴量の上限を見積り、この上限が極力０に近づくように誤り訂正及び盗聴行為による漏洩情報量分を圧縮する処理である。アリス２０／ボブ３０は、これらのデータ処理後に残ったビット列を秘密鍵ビットとする（ステップＳ７０５）。なお、ビット不一致率が大きいフレームについては、秘密鍵を抽出することができない。本実施形態においては、このようなフレームを全て廃棄する。

【0046】

本実施形態のアリス２０とボブ３０との間で送受信される光信号は、平均光子数が１光子／パルス未満の微弱なコヒーレントパルス光の列である。このようなパルス列の各パルスの位相を正しく測定することはできず、従って、盗聴者は、アリス２０／ボブ３０の生成ビットの全てを知ることはできない。このことにより、本実施形態で生成された秘密鍵ビットの秘匿性が保障される。

【0047】

本実施形態の特徴は、光信号のパルス列をフレーム化し、フレーム毎に搬送波位相をランダムに設定し、フレームごとに誤り訂正、秘匿性増強を行う点にある。伝送路が揺らぐと、チャーリー１０に到達時のアリス２０とボブ３０のパルス列の搬送波位相が揺らぐことになる。しかし、上記したように、伝送路揺らぎの時間変化は１フレームの時間に比べて十分遅く、１つのフレーム内の搬送波位相ずれは一定とみなせる。この位相ずれはテストビットの不一致率に反映され、フレーム毎に誤り訂正、秘匿性増強を行うことにより、位相ずれによるビット不一致は補償される。したがって、本実施形態は、例えば、非特許文献１に記載のように、伝送路の伝搬位相を制御する必要がない。

【0048】

以下、本実施形態の量子鍵配送システム、量子鍵配送方法の盗聴対策を、盗聴法毎に説明する。

【0049】

盗聴法としては、盗聴者が光信号の一部を分岐してパルスのデータ位相を測定する、ビームスプリッティング攻撃と呼ばれる盗聴法がある。本実施形態の量子鍵配送システムは、パルスに含まれる光子数が少ないため、一部のパルスのデータ位相しか測定できず、かつ、どのパルスのデータ位相が測定できるかは確率的である。したがって、ビームスプリッタ攻撃による盗聴は、アリス２０／ボブ３０が生成した光信号を特定してデータ位相を測定することができず、本実施形態で生成された秘密鍵ビットを知ることができない。

【0050】

また、他の盗聴法に、盗聴者がアリス２０／ボブ３０からチャーリー１０に向かう光信号の伝送路に割り込んで偽装パルスをチャーリー１０に送信する、成りすまし攻撃と呼ばれる盗聴法がある。成りすまし攻撃は、盗聴者が光信号の各パルスのデータ位相を測定し、測定できたパルスのみについて測定値を付与した偽装パルスをチャーリー１０に送信する。成りすまし攻撃を使って本実施形態の量子鍵配送システムへの攻撃を試みた場合、チャーリー１０は、孤立パルスの偽装パルスを受信することになる。このような偽装パルスを受信すると、チャーリーの遅延干渉計出力端子では、コヒーレントパルスと空パルスが重なり合うことが起こる。

【0051】

図８は、アリス２０の光信号Ｓａに対して成りすまし攻撃が行われた例を説明するための図である。図８において、破線で示すパルス光は、光信号Ｓａのうち、盗聴の過程で測定されず、消失したことを示している。アリス２０からの単独パルスとボブ３０からの連続パルスが遅延マッハツェンダー干渉計に入力した場合、光子検出器１６、１７においてボブ３０からのパルス光のみが入力される時間スロットが発生する。

【0052】

図９は、アリス２０／ボブ３０の両方の光信号Ｓａ、Ｓｂの両方に成りすまし攻撃がされた例を示している。このような場合、盗聴者は、光信号Ｓａ、Ｓｂの両方のパルス光を測定し、同じ時間スロットで位相の測定に成功したパルス光の対だけをチャーリー１０に送信する。このとき、チャーリー１０の遅延マッハツェンダー干渉計には、光信号Ｓａ、Ｓｂの単独パルスが同じタイミングで入力される。入力された単独パルスは、ビームスプリッタ１０８において合波され、伝搬時間が異なるパルス光Ｓｃ、Ｓｄに分岐されるため、光子検出器１６、１７にはアリス２０またはボブ３０からのパルス光のみが入力される時間スロットが発生する。

【0053】

上記のように、アリス２０／ボブ３０の一方のパルス光のみが入力された時間スロットにおける光子検出事象は、アリス２０／ボブ３０の送信位相差とは全く無関係なものとなり、光子検出器１６、１７のいずれで光子検出されるかは全くランダムである。したがって、アリス２０／ボブ３０が上述の手順によってビット列を生成した場合、このような光子検出はビットの不一致と判定される。本実施形態のビット列の生成工程は、アリス２０／ボブ３０がビット不一致率から盗聴量の上限を見積り、その分をデータ圧縮する工程を含むので、成りすましによる盗聴は不成功となる。

【0054】

さらに、本実施形態の量子鍵配送システムは、光子数分岐攻撃に対しても耐性がある。光子数分岐攻撃は、１つのパルスに含まれている光子数を測定し、光子数が複数であるパルスから１光子だけ抜き出して残りの光子はそのままチャーリー１０に送信し、光子数１であるパルスはブロックする盗聴法である。光子数分岐攻撃が行われると、チャーリー１０は単独パルスを受信することになる。このような場合、上記した成りすまし攻撃時と同様に、アリス２０／ボブ３０のテストビットの一致、不一致の確率が所定の値以下とはならず、秘密鍵は生成されない。したがって、光子数分岐攻撃による盗聴は不成功となる。このような本実施形態によれば、非特許文献１に記載のように、パルスごとに平均光子数を無作為に変調するデコイ法で対抗することが不要になり、装置及びプロトコルの煩雑化を回避することができる。

【0055】

以上説明した本実施形態は、離れて設置された２つの光信号送受信装置の間に通信を仲介する光信号送受信装置を設置するシステム構成により長距離化を可能とするＴＦ－ＱＫＤにおいて、伝搬位相の制御を必要とすることなく鍵ビットを生成し、またデコイ法を用いることなく光子数分岐攻撃を不成功とすることができ、それによって、装置構成が簡便な量子鍵配送システム、この量子鍵配送システムにおいて実施される量子鍵配送方法を提供することができる。

【符号の説明】

【0056】

１０、１００ チャーリー
１６、１７、１０６、１０７ 光子検出器
１８、１９、１０８、１０９ ビームスプリッタ
２０、２００ アリス
２１、２０１ コヒーレントパルス光源
２２、２３、２０３、２０４ 位相変調器
２５、２０５ 光減衰器
３０、３００ ボブ
２０２ 強度変調器

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】