【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、量子力学の不確定性原理を利用した量子暗号装置に関し、更に詳しくは、
量子力学的状態を変調した第１の信号を伝える量子チャンネルと古典的状態を変調した第２の信号を伝える古典チャンネルとを用い、不確定性原理に基づいて盗聴行為によって第１の信号に発生する攪乱の有無を古典チャンネルで監視しながら乱数表を送信側から受信側に伝送し、前記乱数表を秘密鍵とする量子暗号装置に関する。

【０００２】

【従来の技術】暗号には、盗聴されていることを前提にその解読が計算量論的に困難であることに安全性の根拠を置く現代暗号と、量子力学の不確定性原理を利用し盗聴者の有無をモニタしながら鍵である乱数列を交換することを特徴とする量子暗号がある。

【０００３】現代暗号は送信するメッセージを数字化し（これを平叙文と呼ぶ）、それに乱数を演算して第三者にはランダムに見える暗号文にし、第三者の知らない復号法で受信者が復号するもので、大きく分けて秘密鍵暗号法と公開鍵暗号法がある。 送信者が暗号化に使う乱数表を暗号鍵、受信者が復号に使う乱数表を復号鍵と呼ぶが、秘密鍵暗号法では暗号鍵と復号鍵は同一（秘密鍵と呼ばれる）であり、送信者と受信者は何らかの安全な方法、例えば直接会うなど、で事前に秘密鍵を決定しておく。 平叙文と秘密鍵の長さが等しいとき、すなわち一度使った秘密鍵は必ず捨てるとき（これをone time pad法と呼ぶが）、この方法は絶対的安全性を有していることがShannon により証明されている。 しかし、メッセージに匹敵する長さの秘密鍵をその都度事前に交換することの非現実性（それができるならばメッセージそのものを交換すればよい）の故、one time pad法は実際には使われていない。 実用的な秘密鍵暗号法では同じ秘密鍵を繰り返し使用する。

【０００４】公開鍵暗号法では受信者が公開鍵と秘密鍵の２つを所有しており、公開鍵を一般に公開する。 送信者は受信者の公開鍵を使って暗号化し送信し、受信者は秘密鍵を使って復号化する。 言うまでもなく、ここでも公開鍵と秘密鍵を繰り返し使用する。 これらの現代暗号については次に示す文献に詳細に説明されている。

【０００５】［１］太田和夫・黒澤馨・渡辺治著「情報セキュリティの科学」（講談社ブルーバックス） ［２］今井秀樹著「暗号のおはなし」（日本規格協会） ［３］岡本英司著「暗号理論入門」（共立出版） ［４］池野信一、小山謙二著「現代暗号理論」（電子通信学会） 現代暗号では暗号文が盗聴されることを前提としており、盗聴されても解読に天文学的時間がかかることに安全性の根拠を置いている。 計算量論的表現を用いれば、
整数の素因数分解がＰ型問題に属していないという仮説に根拠を置いている。

【０００６】しかし、この仮説は未だ証明されていない予想に過ぎない。 それどころか１９９４年には量子コンピューティング法まで計算法を拡張すれば素因数分解がＰ型問題に転化されることが数学的に証明された。 これについては次に示す文献に詳細に説明されている。

【０００７】［５］Peter W.Shor:"Algorithms for qua
ntum computation:Discrete logarithms and factorin
g,"Proceedings of the 35th Annual Symposium on Fou
ndations of Computer Science,edited by S.Goldwasse
r (IEEE Computer Society,Los Alamitos,CA,1994) p.1
24. ［６］西野哲朗「量子コンピュータ」情報処理学会誌第３６巻４号（1995年 4月）p.337. この量子コンピュータは未だ実用化されていないが、現代暗号の究極の拠り所が理論上とはいえ崩れ去ったため、その安全性が将来保証されなくなることが避けられないと考えられている。

【０００８】量子コンピューティング法を用いてもなお破ることができない暗号として量子暗号がある。 これは量子力学の不確定性原理に基づき盗聴者のどんな盗聴行為も必ず何らかの痕跡を量子レベルの信号に残すことを利用し、盗聴されていないことを確認しながら秘密鍵を決定する手続きである。 すなわち、上述した秘密鍵暗号方式において送信者と受信者が何らかの安全な方法で事前に秘密鍵を決定しておく必要があるが、その安全な方法としては、直接会見を除けば現在のところ量子暗号以外はない。 量子暗号を用いれば恒常的に秘密鍵の交換を行うことが可能であり、絶対安全が保証されているone
time pad法の使用が可能となる。

【０００９】量子暗号の具体的方法として偏光による４
状態暗号および位相による非直交２状態暗号が従来提案されている。 しかし、これらの従来の提案は実用化に際し大きな欠点を有している。 以下、それぞれの提案と欠点につき説明する。

【００１０】まず、偏光による４状態暗号とその問題点について説明する。 ４状態暗号は最初に考案された量子暗号であり、詳細は次に示す文献に説明されている。

【００１１】［７］CHBennett and G.Brassard,in Pr
oceedings of IEEE InternationalConference on Compu
ters,Systems and Signal Processing,Bangalore,India
(IEEE,New York,1984) ,p.175. ［８］Ａ． エカート／井元信之訳「量子暗号への招待」
パリティ、vol.7,No.2,p.26(1992). ［９］Ｇ． コリンズ／井元信之訳「量子暗号は史上最強の暗号」パリティ、vol.8,No.5,p.31(1993). この従来の４状態暗号は、図３に示すように、送信者１
と受信者２は１ビットにつき光子を１つだけ含む光パルス３を送る量子チャンネル４と送信および受信状況を確認し合う古典的チャンネル５を使う。 量子チャンネル４
は通常光ファイバであり、古典的チャンネル５は無線や電話等である。 古典的チャンネル５は盗聴されていることを前提とするが、改竄はされないと仮定する。 このことを明確にするため、以下本明細書では古典的チャンネルを公開チャンネルと呼ぶ。 また、量子暗号に限らず暗号理論の前提として、盗聴者は図の伝送路部にアクセスすることはできるが、送信側および受信側にはアクセスできない。 送信側ビット“０”および“１”を光パルス３にコーディングするにあたり、直線偏光と円偏光の２
種類の変数、すなわち２種類のコーディング法を用いる。 例えば、直線偏光コーディングの場合は「水平」を“０”に、「垂直」を“１”に、円偏光コーディングの場合は「右回り」を“０”に、「左回り」を“１”に対応させる。 このような取り決めを送信者１と受信者２は予め（公開チャンネル５で）行っておく。 送信者１は二進法で書かれた乱数表６を用意する。 これは受信者２と共有する秘密鍵７を生成するための元になる乱数表である。 秘密鍵７は次に説明するように乱数表６から半分弱のビットを抽出した部分乱数表となっている。 ４状態暗号における送信者１と受信者２のプロトコルは次のようになる。

【００１２】ステップ１：送信者１はランダムにコーディング法を選択し、乱数表６に従って光パルス３の偏光を変調器８を用いて変調する。 例えば、円偏光でコーディングすることとし、乱数表６の最初の値が“１”ならば「左回り」偏光となるように光パルス３の偏光状態を変える。 送信者１には選択したコーディング法は知らせず、光パルス３だけを送る。 同様にして引き続くビットに対して次々と光子を送る。

【００１３】ステップ２：受信者２は受けた光パルス３
が光子を１つしか含まないので、直線偏光と円偏光の両方を測ることはできない（不確定性原理）。 従って、どちらを測るかを決心し、偏光測定器を含む受光器９を用いて測定する。 送信者１が選択したコーディング法と同じコーディング法と間違ったコーディング法を選ぶ確率はそれぞれ５０％である。 同じだった場合、乱数表６の値が正しく受信者２に再現されるが、間違った場合は、
そのビットに関する送信者１と受信者２の間の相互情報量はゼロとなる。

【００１４】ステップ３：光パルスを１つ測定する毎に（あるいは後でまとめて交信してもよいが）受信者２はどちらのコーディング法を選択したか、公開チャンネル５で明らかにする。 送信者１はそれを聞き、受信者２のコーディング選択が正しかったか否かを公開チャンネル５で伝える。

【００１５】ステップ４：送信者１と受信者２は双方が同じコーディング法を選択した約半分のビットだけを採用し、後の半分は捨てる。 盗聴がなければ双方に同じ乱数表が形成されているはずである。

【００１６】ステップ５：送信者１と受信者２は残ったビットのうち適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行う。 十分な数の照合ビットが一致すれば、上記文献に説明されているような理由により、１に近い確率で盗聴されていないと結論づけられる。

【００１７】ステップ６：照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。

【００１８】以上の手順により、盗聴されていないことをリアルタイムでモニタしながら秘密鍵を生成して行くことができる。 万一照合ビットから盗聴を発見した場合は、盗聴発見期間の交信をすべて無効とし、量子チャンネル４をチェックするか、あらためて構築する。 実際は盗聴者が最も恐れるのは盗聴の発覚であり、しかも発覚の危険を侵しても盗聴遂行できない（盗聴した秘密鍵は破棄されてしまう）ので、量子暗号に対して盗聴者のなすべき手段は事実上ない。

【００１９】偏光による４状態暗号の欠点のひとつは、
光ファイバによる伝送においては、直線偏光と円偏光の計４つの偏光状態を保持することが困難な点である。 そのため、安定化のために、フィードバックを用いる必要が生じる。 ２つ目は、送信者側において、４つの偏光状態を切り替えるためには、πのオーダの位相差変化（波長のオーダの光路長変化）を与えなければならない点である。 電気光学素子を用いて電気的にこれを行うには、
高い電圧印加ないし大きな相互作用長が必要となるため、高速化、小型化には適さない。 ３つ目は、光子を検出する検出器を必要とする点である。 光ファイバの伝送損失が小さい波長領域では、量子効率が高く雑音の少ない光子検出器は利用できない。

【００２０】次に、位相による非直交２状態暗号とその問題点について説明する。 非直交２状態暗号は、直交しない２つの量子状態をビット“０”と“１”に対応させて送信する方法である。 以下は非直交２状態量子暗号の一例である。 詳細は次に示す文献に記載されている。

【００２１】［10］CHBenett,Phys.Rev.Lett.68,3121
(1992). ［11］B.Huttncr,N.Imoto,N.Gisin,and T.Mor,Phys.Re
v.A51,1863(1995). ここでは文献［10］で提案された構成を説明のためにより簡略化した図４で説明する。 送信者１はコヒーレント光パルス１１を５０％のビームスプリッタ１２で光パルス１３と１４に分け、位相変調器１５を用いて光パルス１３の光位相を乱数表６に従ってビット値が“０”ならば０度、ビット値が“１”ならば１８０度と変調し、光ファイバ１６と１７からなる量子チャンネル４に送る。
以下すべての量子暗号において公開チャンネル５は共通であるので、本明細書では省略する。 受信者２は、５０
％のビームスプリッタ１８で光パルス１３および１４を干渉させる（実際は文献［10］にも述べられているようにビームスプリッタ１２および１８の反射率は５０％である必要はない）。 ビームスプリッタ１２からビームスプリッタ１８までは１つのマッハツェンダー干渉計を構成する。

【００２２】受信者２は光ファイバ１６と１７の間の位相差θを適当に調節し、ビームスプリッタ１８においてビット値“０”のパルスは受光器１９側がダークフリンジに、ビット値“１”のパルスは受光器２０側がダークフリンジになるようにする。 コヒーレント光パルス１１
の強度は、パルスに含まれる平均光子数が１よりずっと小さい（例えば０．１の）コヒーレント状態の光を用いる。 これは光パルス１１に含まれる光子の数が２以上になる確率をできる限り０に近づけるためである。 平均光子数が１よりずっと小さいため、パルス到着時に受光器１９と２０の何れにも光子がカウントされないケースがほとんどとなるので、ほとんどの場合受信者２にとってビット値判定不能となる。 しかし受光器１９でカウントされた場合はビット値は“１”、受光器２０でカウントされた場合は“０”であると確定的に結論することができる。 以上のことから次のようなプロトコルで秘密鍵交換が可能である。

【００２３】ステップ１：送信者１は乱数表６に従って光パルス１３の位相を位相変調器１５を用いて変調し送る。

【００２４】ステップ２：受信者２は受光器１９と２０
で光子のカウンティングを行う。 カウントした場合、受信者２は送信者１が乱数表６から引いたビット値がわかる。 受信者２は受光器１９と２０のどちらでカウントしたかは言わず、カウントした、あるいはしなかった事実だけを公開チャンネルで送信者１に告げる。

【００２５】ステップ３：受信者２がカウントしないと公表したビットは、受信者に伝わっていないので、送信者１もそのビットを破棄し、カウントがあったビットのみ残す。

【００２６】ステップ４：残ったビット列から適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル５で）行う。 十分な数の照合ビットが一致すれば、後で述べる理由により１に近い確率で盗聴されていないと結論づけられる。

【００２７】ステップ５：照合ビットを除いたビットは送信者１と受信者２しか知らない同一の値を有することが保証されているので、それを秘密鍵７と決定する。

【００２８】このスキームに対し盗聴者に何ができるかを考える。 量子チャンネル４にアクセスして二手に分かれた光パルスの位相差を測定するためには、受信者と同様干渉させて光子カウンティングを行う必要がある。 たまたまカウンティングに成功すれば、送信者と同じ装置を用いて送信者が送ったのと同じ並列２パルスを送ることができる。 しかしほとんどのパルスで光子がカウントされないので、その場合は偽のパルスを何も送らないか、ランダムな位相差を持った偽のパルスを送るしかない。 前者の場合、伝送レートが本来値から下がり、後者の場合照合ビットの矛盾を引き起こし、いずれにせよ送信者と受信者から検知される。

【００２９】位相による非直交２状態暗号では、送信側と受信側に大きな干渉計が構成されることになる。 従って、使用する光の波長よりもかなり短い精度で、光路長を安定させなければならない。 伝送路部では、光路を２
つ使用するかわりに、パルスに時間差をつけることによって１つの光路だけを利用することも可能だが、それでも送信側と受信側では位相差をつけるために光路を２つに分けなければならず、その光路差を光の波長よりもかなり短い精度で安定させなければならない。 これらの安定化のために、フィードバックを用いる必要が生じる。

【００３０】また、送信者側において、ビット値を切り替えるためにπの位相差変化（波長のオーダの光路長変化）を与えるため、偏光の場合と同じ欠点が生じる。 光子を検出する検出器を必要とする点も、偏光の場合と同様である。

【００３１】

【発明が解決しようとする課題】上述したように、従来の方法では、直線偏光と円偏光の４つの偏光状態を保持することが困難であり、安定化のためにフィードバックを必要とし、また送信側において４つの偏光状態を切り替えるためにπのオーダの位相差変化、すなわち波長のオーダの光路長変化を与える必要があるとともに、更に光子検出器を必要とする。 また更に、使用する光の波長よりもかなり短い精度で光路長を安定させる必要があるという問題がある。

【００３２】すなわち、従来の方法は、光ファイバ使用時の光路長の安定化、大きな位相差変化、および光子検出器を必要とするという問題がある。

【００３３】本発明は、上記に鑑みてなされたもので、
その目的とするところは、微小周波数変調の印加と検出に基づき微小位相変調しか必要とせず、光路長の安定化や光子検出器を必要としない量子暗号装置を提供することにある。

【００３４】

【課題を解決するための手段】上記目的を達成するため、請求項１記載の本発明は、量子力学的状態を変調した第１の信号を伝える量子チャンネルと古典的状態を変調した第２の信号を伝える古典チャンネルとを用い、不確定性原理に基づいて盗聴行為によって前記第１の信号に発生する攪乱の有無を前記古典チャンネルで監視しながら、乱数表を送信側から受信側に伝送し、前記乱数表を秘密鍵とする量子暗号装置であって、前記送信側が、
多数の光子からなるコヒーレント光パルスを発生する光パルス発生手段と、送信側乱数表の１つまたは複数のビット値に基づいて決定される波形で前記光パルスを微小変調し、この微小変調された光パルスを前記量子チャンネルを通して受信側に送信する変調手段とを有し、前記受信側が、前記量子チャンネルを通して送信されてくる前記光パルスを受信し、受信側乱数表の１つまたは複数のビット値に基づいて決定される波形で微小変調する変調手段と、この微小変調された光パルスに残存する変調成分の周波数分布を測定する測定手段とを有し、前記測定結果に基づき古典チャンネルで受信側と送信側が交信することにより送信側と受信側で共通でランダムな１つまたは複数のビット値を決定し、この決定されたビット値のみを使用して共通乱数表を生成し、この共通乱数表の一部を送信側と受信側が古典チャンネルを通して照合し、一致していた場合のみ、前記共通乱数表の残りの部分を秘密鍵として登録することを要旨とする。

【００３５】請求項１記載の本発明にあっては、送信側が多数の光子からなるコヒーレント光パルスを発生し、
送信側乱数表の１つまたは複数のビット値に基づいて決定される波形で光パルスを微小変調し、この光パルスを量子チャンネルを通して受信側に送信し、受信側は光パルスを受信し、受信側乱数表の１つまたは複数のビット値に基づいて決定される波形で微小変調し、この光パルスに残存する変調成分の周波数分布を測定し、該測定結果に基づき古典チャンネルで受信側と送信側が交信して送信側と受信側で共通でランダムな１つまたは複数のビット値を決定し、この決定したビット値のみを使用して共通乱数表を生成し、この共通乱数表の一部を送信側と受信側が古典チャンネルを通して照合し、一致していた場合のみ、共通乱数表の残りの部分を秘密鍵として登録するため、必要とされる電圧は小さく、小型化、高速化に適し、更に高い周波数における変調を選択した場合、
装置構成は非常に単純になり、光路長の波長オーダでの安定化が必要なくなり、また低い周波数における変調を選択した場合、光ファイバの損失の小さい波長領域で高い量子効率をもつ光検出器を利用できる。

【００３６】

【発明の実施の形態】以下、図面を用いて本発明の実施の形態について説明する。 図１は、本発明の一実施形態に係る量子暗号装置の構成を示す図である。 同図において、送信者２１は多数の光子を含むコヒーレント光パルス２２を発生し、変調器２３に入射する。 変調器２３は電気光学素子であり、正弦波交流電圧を加えてコヒーレント光パルス２２を微小変調する。 正弦波の大きさは、
サイドバンドの大きさが光子１個相当よりも小さくなるようにとる。 正弦波の周波数は、受信者３１がファブリペロー共振器２９でサイドバンドを分離できるために、
ある程度大きくなければならない（例えば１ＧＨｚ）。
交流信号の位相は、乱数表２４から１ビット取り出して、ビット値が０なら０゜、１なら１８０゜とする。

【００３７】上述したように、変調器２３で微小変調されたコヒーレント光パルスは、光ファイバからなる量子チャンネル２５を通って受信者３１へ送られる。 受信者３１は、変調されたコヒーレント光パルス２６を受け取り、変調器２７で送信者と同じように、乱数表２４とは独立の乱数表２８から取り出したビット値に基づいてコヒーレント光パルス２６に変調を加える。 再変調されたコヒーレント光パルスは、ファブリペロー共振器２９を通してサイドバンドのみを取り出し、光子検出器３０で光子を検出する。

【００３８】ここで、もし送受信者が乱数表から引いたビット値が異なっていれば、２つの変調は互いに打ち消し合うので、サイドバンドの光子は検出されないはずである。 従って、受信者３１は光子が検出されたか否かを公開チャンネル３２を通じて送信者２１に伝え、検出された時のビット値のみを用いて乱数表を構成すれば、この乱数表は送信者と受信者に共通のものとなる。

【００３９】最後に、盗聴の有無を確認するため、作成した共通の乱数表から適当な割合で照合ビットを抽出し、それぞれの答合わせを（公開チャンネル３２で）行い、十分な数の照合ビットが一致しているかをテストする。 問題がなければ、照合ビットを除いたビットは送信者２１と受信者３１しか知らない同一の値を有することが保証されているので、それを秘密鍵と決定する。

【００４０】本方式における盗聴に対する安全性は、ビット値に応じて送信側の選ぶ２つの光パルスの量子状態が、非直交になっていることに因っている。 量子力学の原理によって、この２つの量子状態を見分けようとする盗聴者のいかなる試みも、通信に誤りを導入するので、
上記のテストによって排除することができる。

【００４１】上述したように、本実施形態では、偏光も干渉計も用いず、唯一つの光モードのみで送信するため、装置構成が非常に簡単になり、光路差の安定化、光路長の安定化および大きな位相差変化を必要としない。

【００４２】図２は、本発明の他の実施形態に係る量子暗号装置の構成を示す図である。 同図において、送信者２１は多数の光子を含むコヒーレント光パルス２２を発生し、位相板３３を用いて、前記コヒーレント光パルス２２の偏光状態を、斜め４５゜の直線偏光３７と、横直線偏光３６が、位相差９０゜で加わった楕円偏光にする。 この光パルスを変調器２３に入射し、縦直線偏光３
８に微小変調を加える。

【００４３】更に詳しくは、上記位相差９０゜というのは、例えば、横直線偏光３６の振幅成分が一番左端にある時に、斜め４５゜の直線偏光３７の振幅成分がゼロ（すなわち、図面の中心点）になり、次に横直線偏光３
６の振幅成分がゼロ（すなわち、図面の中心点）にある時に、斜め４５゜の直線偏光３７の振幅成分が右下端になるような状態を示す。 このような状態にあるときには直線偏光３６，３７のベクトル合成したものは楕円状態で回転することになる。 上記コヒーレント光パルス２２
に対して、このような状態を上記位相板３３を用いて作り出す。

【００４４】次に、この楕円偏光されたコヒーレント光パルスを変調器２３に入力する。 ここでこの楕円状態で回転しているベクトルを、例えば、図２の３６と３８の直線偏光に分解して考え、この縦直線偏光３８に対して微小変調を変調器２３により加える。

【００４５】変調器２３は、電気光学素子であり、複数の周波数の交流電圧を加えて微小変調する。 変調電圧の大きさは、各サイドバンドの大きさが光子１個相当よりも小さくなるようにとる。 周波数は、１／ｆゆらぎに代表されるようなショット雑音以外の雑音が無視できる程度に高ければよい（ＭＨｚ程度）。 各周波数の交流信号の位相は、乱数表２４から１ビットずつ引いて、ビット値が０なら０゜、１なら１８０゜とする。

【００４６】このように微小変調されたコヒーレント光パルスは、光ファイバからなる量子チャンネル２５を通って受信者３１に送信される。 受信者３１は、変調されたコヒーレント光パルス４０を受け取り、変調器２７で送信者と同じように、乱数表２８から引いた複数のビット値に基づいて前記コヒーレント光パルス４０に変調を加える。 再変調されたコヒーレント光パルスは、偏光子３４を用いて斜め４５゜の直線偏光３９の成分を取り出す。 この過程で、微小変調は振幅変調に変換されるので、光検出器３５を用いて電気信号に変換する。

【００４７】なお、上述した受信側における変調方法についても上記の送信側と同様に、図２の縦直線偏光３８
に対して微小変調を加えることになる。 更に、受信側では、この再変調されたコヒーレント光パルスを図２で表すところの斜め４５゜の直線偏光３７と斜め４５゜の直線偏光３９で合成されたものとして考え、偏光子３４を用いて斜め４５゜の直線偏光３７の成分を取り除き、斜め４５゜の直線偏光３９の成分を取り出す。

【００４８】最終的には、この斜め４５゜の直線偏光３
９の成分は微小変調が振幅変調という形で表現されたものとなっているため、光検出器３５を用いてこの斜め４
５゜の直線偏光３９の成分は電気信号に変換され、この変換された電気信号から、各周波数の振幅成分を検出することができる。

【００４９】ある周波数について、送信者と受信者の引いたビット値が異なっている場合、振幅変調のその周波数成分は打ち消し合うため、振幅変調のその周波数成分の期待値はゼロである。 送信者と受信者の引いたビット値が等しい場合、振幅変調のその周波数成分の期待値は有限の値をとる。 実際に測定される値は、この期待値のまわりにショット雑音に相当するゆらぎを伴うため、期待値がゼロの場合でも測定値はゼロになるとは限らない。 従って、あるしきい値を設け、期待値がゼロの場合（送信者と受信者の引いたビット値が異なっている場合）を排除する。 しきい値を越えた測定結果が得られた場合、送信者と受信者の引いたビット値が等しいことを意味するので、受信者はどの周波数でしきい値を越えた測定結果が得られたかを送信者に公開チャンネル３２を通じて伝えることにより、送信者と受信者は共通の乱数表を構成していくことが可能である。

【００５０】最後に、盗聴の有無を確認するため、作成した共通の乱数表から適当な割合で照合ビット抽出し、
それぞれの答合わせを（公開チャンネル３２で）行い、
十分な数の照合ビットが一致しているかをテストする。
問題がなければ、照合ビットを除いたビットは送信者２
１と受信者３１しか知らない同一の値を有することが保証されているので、それを秘密鍵と決定する。

【００５１】本方式における盗聴に対する安全性は、各周波数成分において、ビット値に応じて送信側の選ぶ２
つのサイドバンドの量子状態が、非直交になっていることに因っている。 量子力学の原理によって、この２つの量子状態を見分けようとする盗聴者のいかなる試みも、
通信に誤りを導入するので、上記のテストによって排除することができる。

【００５２】この実施形態では、光子検出器ではなく、
光強度を電流に変換する光検出器３５を使用している。
これは、通常の光通信用に広く用いられているものであるため、技術的にも成熟しており、量子効率が高く帯域の広いものが容易に得られ、小型化、集積化にも適している。

【００５３】この実施形態においては、送信者と受信者の引いたビット値が等しい時に、受信者がしきい値を越える測定値を得る確率は小さい。 しかし、１つの光パルスに多くの周波数を割り当てることができるため、１パルス当たりの秘密鍵生成量は、１に近いオーダにすることができる。

【００５４】更に詳しくは、光子検出器ではなく光検出器３５を使用していることから、送信者と受信者がそれぞれの乱数表から引いたビット値がたとえ等しかったとしても、必ずしも受信側でしきい値を越える測定値を得られるわけではなく、光子検出器を使用した場合に比べて、受信側でしきい値を越える測定値を得る確率は小さくなる。 しかしながら、この実施形態では１つの光パルスに一度に複数の周波数を多重した形態で微小変調を掛けることができ、かつ１つの周波数に対して乱数表から引いた１つのビット値で微小変調することから、一度に複数のビット値を検出対象とすることで、結果的に１つの光パルスに対する秘密鍵の生成確率をより１に近いオーダにすることを可能にしている。

【００５５】なお、上記実施形態では、コヒーレント光パルス２２を使用しているが、コヒーレント光パルス２
２の代わりに、直交位相スクイーズド光パルスを用いることにより、ショット雑音を低減し、秘密鍵の生成効率を上げることも可能である。 また、上述したように、本実施形態では、大きな位相差変化を必要としないとともに、光子検出器も必要としない。

【００５６】

【発明の効果】以上説明したように、本発明によれば、
送信側で多数の光子からなるコヒーレント光パルスを発生し、乱数表の１つまたは複数のビット値に基づいて決定される波形で光パルスを微小変調し、受信側は光パルスを受信し、乱数表の１つまたは複数のビット値に基づいて決定される波形で微小変調し、この光パルスに残存する変調成分の周波数分布を測定し、測定結果に基づき古典チャンネルで受信側と送信側が交信して送信側と受信側で共通でランダムな１つまたは複数のビット値を決定し、この決定したビット値のみを使用して共通乱数表を生成し、共通乱数表の一部を送信側と受信側が古典チャンネルを通して照合し、一致していた場合のみ、共通乱数表の残りの部分を秘密鍵として登録するので、必要とする電圧は小さく、小型化、高速化に適し、更に高い周波数における変調を選択した場合、装置構成は非常に単純になり、光路長の波長オーダでの安定化が必要なくなり、また低い周波数における変調を選択した場合、光子検出器を必要とせず、光ファイバの損失の小さい波長領域で高い量子効率をもつ光検出器を利用できる。 すなわち、本発明では、従来の問題である光路長の安定化、
大きな位相差変化、光子検出器のうち同時に２つを解決することができる。

【図面の簡単な説明】

【図１】本発明の一実施形態に係る量子暗号装置の構成を示す図である。

【図２】本発明の他の実施形態に係る量子暗号装置の構成を示す図である。

【図３】従来の偏光による４状態暗号を行う構成を示す図である。

【図４】従来の位相による非直交２状態暗号を行う構成を示す図である。

【符号の説明】

２１ 送信者 ２２，２６，４０ コヒーレント光パルス ２３，２７ 変調器 ２４，２８ 乱数表 ２５ 量子チャンネル ２９ ファブリペロー共振器 ３０ 光子検出器 ３１ 受信者 ３２ 公開チャンネル ３３ 位相板 ３４ 偏光子 ３５ 光検出器

───────────────────────────────────────────────────── フロントページの続き (72)発明者 清水 薫 東京都新宿区西新宿三丁目19番２号 日本 電信電話株式会社内 Ｆターム(参考） 5J104 AA05 AA16 EA02 EA16 NA02 5K002 AA02 AA03 BA02 CA14 DA14