JPH10504694A

JPH10504694A - 量子暗号法

Info

Publication number: JPH10504694A
Application number: JP8507854A
Authority: JP
Inventors: ポール・デイビッドタウンゼント、
Original assignee: British Telecommunications PLC
Current assignee: British Telecommunications PLC
Priority date: 1994-08-18
Filing date: 1995-08-16
Publication date: 1998-05-06
Also published as: EP0776558A1; EP0776558B1; AU688563B2; DE69521515D1; DE69521515T2; AU3228595A; WO1996006491A1; CA2196556A1; CA2196556C

Abstract

(57)【要約】量子暗号法を用いた通信方法において、高度に減衰した光源からの単一フォトン信号が変調され、後に検出される。変調された信号を検出する段階で、この信号はその符号化された状態に従って２つの岐路間に分けられる。異なる符号化状態に対応する信号がそれぞれの岐路内で独立して検出され、一致信号の検出のレートが判断される。このレートがしきい値と比較されて、立ち聞き者の存在が検知される。

Description

【発明の詳細な説明】量子暗号法発明の背景この発明は量子暗号法（quantum cryptography: 量子暗号作成（解読）法）を用いた通信システムに関する。本願出願人の先行する出願ＰＣＴ／ＧＢ９３／０２６３７及びＰＣＴ／ＧＢ９３／０２０７５に記述したように、量子暗号法は通信システムにおける伝送をその後暗号化するか解読するのに使用するためのキーを配給するための技術である。キーは単一フォトン信号の変調によって配給される。単一フォトン信号を傍受する立ち聞きする者（eavesdropper；注：この明細書では辞書にならって者とする訳語を当てるが機械装置と解しても技術の論旨は変らないことを予めことわっておく）は受領したデータの統計を混乱させるから、検出することができる。“ 単一フォトン信号”という用語は必要とされる量子的性質をもつ信号を意味する。たとえば、パラメトリックな下方変換によって真の単一フォトンが生成される。この種の技術が初期の上述した応用で記述され、クレームされている。このような真の単一フォトンソースは、しかし、構築と信頼性のある運用をするのがむづかしいことが見出された。そこで一般にはレーザダイオード，ＬＥＤのような “古典的な”ソースを採用して、この種のソースからの出力を厳格に減衰させて所定の時間スロット中に一般には複数ではなく、かつ平均してみると１よりもはるかに小さい数のフォトンがあるようにするのが好ましいとされる。発明の要約この発明を第１の観点でとらえると、量子暗号法を用いた通信方法が用意され、大きな減衰を与えられたソースからの単一フォトン信号を変調し、かつ変調された信号を検出する段階を含み、変調された信号を検出する段階は符号化した状態に従って２つの枝に信号が分けられて、別な符号化した状態に対応している信号は独立して検出され、さらに検出器の２つの枝での一致した信号の検出レートが判断され、しきい値と比較されて、立ち聞きする者の存在を検知することを特徴とした方法となっている。この発明は減衰したソースからの信号と、このようなソースからの信号を攻めるのに必要な立ち聞き技術との特有の性質を使用して、立ち聞き者の検出に新しい手法を与えるものである。これによって、この発明はこの出願人や他の者によって以前に提案された量子暗号法技術に対するセキュリティ（保安）の強化を与えることができるものとし、加えて、この発明の手法なしには適切なセキュリティを提供することがないような、量子信号に対するある簡単化した符号化技術を使用できるようにもしている。高度の減衰を与えたソースが使用されるときは、所定の時間スロットの何れにも１を越えたフォトンがほとんどあり得ないというのに十分なレベルに減衰が設定される。これが達成されるためには、時間スロット当りのフォトンの平均数はとなる。符号化したキーデータを傍受しようとした立ち聞き者はビームスプリッタを用いてフォトンパワーの一部を分岐し、残りが受信機に伝送されるようにする。しかしこれは、一般には分岐比が極めて小さい場合を除き、受信機における検出レートを著しく減少させることに通じ、分岐比が極めて小さければ、立ち聞き者が抽出できる有用なデータ量は極めて限られたものとなる。実際には、すべての実チャンネルは有限量の損失があり、これは立ち聞き者が低損失チャンネルに代えて自分の分岐損失を補償して、ビームスプリットという攻めの可能性を生じさせる。しかし、光ファイバはすでに理論的な最小損失を達成しており、もっと低損失のチャンネルに代えるということは技術的に非常にむづかしく、特にキロメートルとかそれ以上の長さのチャンネルの代替はむづかしい。立ち聞き者は、代って傍受／再送信という攻めを用いるかもしれない。その名称が意味するように、これには立ち聞き者は非破壊的に到来信号を検出してから、受信機での検出のために適切に変調された信号を再度送信することが含まれる。しかし、もとの強度レベルが１よりもかなり低いときには、立ち聞き者が検出の度毎に応答して同じ強度レベルでフォトン信号を再送信することは、受信機におけるカウントレートを著しく低下させる。このことは次のように理解できる。すなわち立ち聞き者が検出した信号フォトンを、（０．１の強度レベルの場合には１０うち１の機会だけにおいて、）１フォトンを受信機で検出することとなる信号で置き換えることである。この過程の統計は後の理論的検討でより厳密に取扱い完全に記述する。この受信機におけるカウントレートの減少を回避するために、立ち聞き者は、送信する単一フォトン信号の強度を高めるかもしれない。上記の単純な理由づけによると、平均強度が１に等しくなるように増大して、受信機でのカウントレートの変動を除去することを期待することになる。実際には、有限効率の受信機という場合であるから、立ち聞き者による増大強度の信号発生はこの発明では受信機においてビームスプリッタでの一致のカウントが対応して増加する結果として、検出することができる。一致のレートを検出する段階には一対の単一フォトン検出器に接続された一致ゲートを用いて実時間で一致信号を検出することが含まれる。しかし、好ましくは、この段階は異なる時間に対して記録したデータを処理することによって、単一フォトンの検出後に実行されるのがよい。この場合は、異なる分岐からの信号が異なる検出器でそれぞれ記録されるか、代って単一の検出器を使うのであれば、別の分岐からの信号は枝の一方に導入された遅延によって時間領域では分けられているようにする。二つの分岐の間で変調された信号を分け、かつ一致信号のレートの検出する段階は、異なる基礎を用いて変調され検出されたと判断された単一フォトン信号に対して実行される。後述するように４状態暗号プロトコルで異なる変調と検出の基礎が使用される場合は、これがビームスプリッタで行われる測定と正しく等価なものである。したがって信号は一致検出に使用してもよい。代って、単一フォトン信号は２つの非直交状態で成る基礎を用いて変調することができ、一致のレートを検出する段階は、送信機において既知の状態で符号化されたと受信機で判断される信号と関係づけて実行される。後に詳述するように、この発明は２つの非直交状態を用いて量子暗号法を著しく強化するために使用できる。ここで提案する二状態機構は単一フォトンパルスの非常に短い時間内に伝送される多フォトン基準パルスを使用することを必要とする。しかし、短い時間目盛上で第２のパルスを検出することは重大な実用上の問題をもたらし、その理由は適切なフォトン検出器が関係する一般には１μｓというむだ時間(dead time)にある。この発明では一致検出を使用することによって、二状態機構を基準パルスの伝送と検出を必要とせずに安心なものとする。この発明は点と点とを結ぶリンクでの使用に限定されず、各種の網トポロジィでも使用でき、その中には、分岐したすなわち星状トポロジィ、ループ・バックすなわちリングトポロジィなど後述するもの、また本願と共に未決の国際出願ＰＣＴ／ＧＢ９４／０１９５３及びＰＣＴ／ＧＢ９４／０１９５２で記述され、クレームされているものを含んでいる。現行の技術を用いると、量子化法は30kmという長さの光ファイバリンク上での実現に成功しており［C.Marand and P.D.Townsend,Optics Letters,vol.20 Aug 15,1995］、したがってＬＡＮ、キャンパス中の網及びＭＡＮ（首都圏網；Metro politan Area Networks）を含む広い範囲の産業上の応用に適したものである。また、たとえば大規模光通信網において２つの核となるサーバ間での保安リンク用としても使用できる。この発明を第２の観点でとらえると、量子暗号法で使用するための通信システムが用意されており、その構成は、高度に減衰された光ソースを含む送信機（Ｔ）と、１又は複数の受信機（Ｒ１−Ｒ３）と、該送信機を該受信機の各々にリンクしている網とで成り、該受信機には異なる符号化された状態に対応している受信機の分岐内で一致信号の検出のレートを判断して、その検出のレートをしきい値と比較し、立ち聞き者のいることを検出するための手段を備えることを特徴としている。図面の簡単な説明この発明を実施するシステムを例をあげて、添付の図面を参照して次に詳述する。図１はこの発明を実施する点と点との間のシステムの模式図である；図２は受信機検出器効率の関数として、立ち聞きする者の伝送強度ｎをプロットした；図３は立ち聞きする者の有無の場合の一致検出確率を示す；図４はこの発明を実施するシステムの詳細図である；図５は複数アクセスリングトポロジィを用いた別の実施例を示す；図６は複数アクセストポロジィのさらに別な実施例を示す；図７は平均フォトン数の関数として一致検出を示した実験データのプロットである；図８は液晶偏波変調器の模式図である。実施例についての記載量子暗号法を用いたキーを分配するために構成された光通信システム１は送信機２と受信機３と、かつ受信機は、例えば光ファイバリンクである伝送媒体によって接続されて成る。送信機２内の偏波変調器（ポラリゼーション・モジュレータ）５は送出する単一フォトン信号を乱数発生器（ＲＮＧ）６からのデータ流に応答してランダムに符号化する。受信機内の別な乱数発生器（ＲＮＧ）７も同じ様にその偏波変調器８を制御する。受信機の偏波変調器からの出力はポラライザに進み、そこでは光信号をその偏波状態に依って、２つの単一フォトン検出器（ＡＰＤ）10，11の第１又は他方へ向ける。単一フォトン検出器11，10の出力は一致カウンタ12によって監視される。単一フォトンソース２は減衰された古典的なソースであり、コヒーレントのものでもインコヒーレントのものでもよい。後に詳述するが、この種のソースで作られる信号の統計について探究がされ、媒体４上を伝送される変調された信号を傍受する立ち聞き者の検出に機能することが判明している。特に、一致検出レートの上昇が傍受／再送信の仕掛け（アタック）が生じたときに検出される。図７は図１に示したようなシステムの系統でのこの効果を実験的に示したものである。この実験は立ち聞きする者（送信機）と受信機との間の通信リンクすなわち仕掛け（アタック）の再送信部を表わすために使用される。その機構は乱数発生器と変調器とを静的な偏波制御器で置き代えることによって単純化されており、したがって、送信機に到達するフォトンの偏波状態は一定であり、円偏波（右又は左）もしくは対角線形（＋４５°又は−４５°）状態のいずれかが選択される。受信機のポラライザの配向は垂直（０°）線形状態が検出器１に向い、水平（９０°）線形状態が検出器２に向うようにしている。この場合、実験は量子キー伝送の一部を連続的にシミュレートしたもので、立ち聞きする者は受信機として別な基盤を選んでおり、したがって一致計数は有限の確率をもつものとなっている。図７は一致する事象の数（検出器１と検出器２の計数）に対する単一事象の数（検出器１のみの計数）の比が、立ち聞きする者が再送出パルス内のフォトンの平均数ｎを増大させるとともにどのように変わるかを示している。ｎ＝０．１に対して２×１０^-3台の比がｎ＝１に対しては２×１０^-2に上昇している。直線は後述の式８のプロットであり、η＝３．５×１０^-2，Ｔ＝１の値をあてている。これらはそれぞれゲルマニウムＡＰＤの検出効率と、光ファイバチャンネルの伝送効率とについての実験的に測定した値である。すでに述べたように、合法的な送信機と立ち聞きする者との間のチャンネルが無損失であって、かつ立ち聞きする者が完全に効率的な検出器（η＝１）を所有したとしても、たとえば仮に立ち聞きする者と送信機とが共にｎ＝０．１パルスを用いたとすると、受信機における計数比は非常に低い。この結果、立ち聞きする者は単一の計数レートをほぼ一定に保験データはこの場合一致計数比が顕著に増大することを示しており、これが立ち聞きする者の存在がはっきりわかるようにする。図４はこの発明を実施するシステムのさらに詳細を示す。送信機１はパルス半導体レーザとして、例えばＤＦＢレーザを含む。適切なデバイスの一例は日立のシリーズＨＬ１３６１ＤＦＢレーザダイオードで、１２９０−１３３０ｎｍにおいて５ｍＷの光パワーで動作する。現在の例では、この機構は光ファイバ応用形式（図４）で実現され、ここでは量子チャンネルと公衆チャンネルの両方が送信機１を受信機にリンクする伝送ファイバ３上で伝送される。送信機ではパルス半導体レーザ48が光源（ソース）となっている。レーザ48と、位相変調器41のための変調器ドライバ49とはマイクロプロセッサ50によって制御される。受信機２にはそれ自身のローカル制御マイクロプロセッサ54があり、変調器ドライバ52を介してその位相変調器42を制御する。受信機制御プロセッサは２つの検出器43， 44のために検出器バイアス供給源53も制御する。送信機と受信機との両方では、信号経路の分岐として溶融ファイバ５０／５０カップラが使用されている。適切なカップラがモデルＰ２Ｓ１３ＡＡ５０としてＳＩＦＡＭから市販されている。データの符号化（エンコード）とデコード用に適した変調器41，42はリチウム・ナイオベートもしくは半導体位相変調器で、例えば１００ＭＨｚで動作するものである。代って、液晶偏波変調器を使用できる。図８の例では、スタックが２つのキラル・スメチック−ＣセルＳ１，Ｓ２で構成されている。各セルは一対のガラス基板ｇ１，ｇ２で成り、各基板上にはＩｎＴｉＯ電極Ｅが形成されている。ポリイミドのコーティングで一方向にこすられたものが各電極上に形成されている。基板の上と下とのこする方向は通常は反対向きとして、液晶分子の僅かな表面のプレチルト（前もってあった傾き）から生ずる、たまっているスプレー弾性エネルギーを最小とするようにしている。ポリイミド整列層が望ましいが、他の平面整列材も使用可能で、例えば、こすったナイロン、こすったポリビニル・アルコール、もしくは斜め蒸着した酸化シリコン又はフッ化マグネシウムが使える。全体的な性能で最良のものは現在のところバランスのとれたポリイミドである。図８の構造に代るものとしては、単一の両サイドをもつ基板でＳ１の上側基板と、Ｓ２の下側基板とを置換えてもよい。スペーサＳＰは基板を分けて、体積を規定し、そこの中に液晶材料を閉じ込める。スペーサ材料は周辺に配置するか、恐らくはセル全体に無作為に分散して配置することができる。接着性のシールを基板の１つに施してセルの横方向の境界を定める。シールは毛細管（キャピラリィ）による充填ができるように１又は複数の隙間を備えることになる（隙間が１つだけのときは真空充填となる）。各種の強誘電体液晶（ＦＥＬＣ）と液晶混合物が市販されており、この種のデバイスで使用でき、例えば適切な材料はＭer ckからのＺＬＩ−４３１８がある。入手できる強誘電体混合物の全リストは、Ｍ erck Ltd,Ｍerck House,Poole,Dorset,BH15 1TD,U.K．から得ることができる。各セル内のガラス基板間の間隔は一般には１．５ないし２μｍの範囲である。各セルの厚さと液晶の屈折率異方性とは入力ビームの波長において、例えば半波長板とか１／４波長板として機能するように選ばれる。この例では、液晶材料は一般的な複屈折率０．１５をもつとしている。従って、波長８３０ｎｍの動作では、半波長板としての動作に対して、セルは厚さ２．８μｍを持つようにされ、１／４波長板ではその厚さの半分のセルを使用する。液晶材料が異なる複屈折をもつときは、セルの厚さはそれに応じた寸法とする。選ばれたＦＥＬＣ材料は複屈折として０．５という大きな値をもつことができる。しかし、より一般的には、ＦＥＬＣは５８９ｎｍで０．１５−０．１３の範囲の複屈折を有する。電界が電極を用いて各セルに対して印加されるときは、セル内の結晶分子は特性チルト角θに傾く。印加された電界の極性を変えると分子は角度２θにわたって回転する。このセルは双安定デバイスとして機能し、これら２つの安定配向状態間で電界による切換え（スイッチング）が行われる。強誘電体キラルスメチックＣ材料は、分子の長手方向に対して９０°に近い角度で強い自発性（スポンタネアス）分極を示す。この自発性分極が電界と相互作用をする。材料の表面安定度とカイラリティ（キラル度）とは、自発性分極が切換え（スイッチング）の際に反転するときに、印加された電界に直交する面内で＋θから−θへ層チルトが回転する。層チルトの大きさは電界によって変わらないで、回転の向きだけが変わる。理解しておきたいことは、分子の長手方向軸が電界と一致するという傾向はなく、言い換えれば分子はセルの壁に対して傾くことがないことである。層チルトは常に電界方向に沿った面内で生ずる。双安定ＦＥスイッチングは一般に＋／−５０Ｖμｍ^-1以上で破壊前の電圧で観測することができる。適切な単一フォトン検出器は例えば半導体アバランシェ・フォトダイオード（ＡＰＤ）で、B.F.Levin,C.G.Bethea and J.C.Campbell,Electronics Letters,20 596（1984）に記述されているようなものである。これらは逆ブレークダウンを越えてバイアスさわ、RGW Brown,KD Ridley and JGRarity;Appl.Opt.25 4122(19 86)，及びAppl.Opt.26,2383(1987)で論じられているように、受動もしくは能動クエンチングを備えたＧeiger モードで動作する。キー分布プロトコルは各受領されたフォトンが与えられたクロック周期と関係していること、及びいずれのＡＰＤが検出したかによって０又は１として識別されることを要求する。これらの機能は時間間隔アナライザ45（例えば Hewlett-Packard 53310A）によって実行される。このデバイスへの開始信号は回路46による処理の後のＡＰＤ出力によって用意される。回路46は各出力と直列に接続された増幅器兼弁別器と弁別器（例えばLecroy 612A,821 及び 622）に接続されたＯＲゲートとで成る。停止信号は後述のクロック再生器で作られる。検出過程はP.D.Townsend,J.G.Rarity an d P.R.Tapster,Electronics letters,29,634(1993)及び29,1291(1993)に記述されている。ＳＰＣＭ−１００−ＰＱ（GE Canada Electro Optics）のようなシリコンＡＰＤは４００−１０６０ｎｍ波長範囲で使用でき、ゲルマニウム又はＩｎＧａＡｓデバイスでＮＤＬ５１０２ＰとかＮＤＬ５５００Ｐ（ＮＥＣ）のようなものは１００−１５５０ｎｍ範囲で使用できる。上述のように、理想的には、量子チャンネルはたかだか１つのフォトンを含むパルスを使用する。この状態は減衰器55をレーザ源と一線に接続し、強度をパルス当りのフォトン平均数ｎが約0.1のレベルとなるように減少させて近似される。図４に示すように、代わりの機械的に切換えする経路56がレーザからの出力用に用意されていて、減衰器すなわち単一フォトンソースのバイパスとなっている。スイッチは例えばＪＤＳ−Ｆitel ＳＷ12である。これは量子チャンネルと同じ波長での公衆チャンネルを提供するが、明るい多フォトンパルスを用いるものである。これらのパルスの大きな強度は単一フォトン検出器には飽和と電流加熱との効果を生じさせる。これが生じないようにするために、ＡＰＤ上の逆バイアスは破壊の十分下となるように減らされていて、デバイスが標準のアナログモードでは大幅に感度が減った状態で動作するようにしている。代って、ＡＰＤは電子機械的光スイッチ手段によって絶縁され、送信機で使われているのと同様とするか、あるいは電子光学スイッチを用いて、それが多フォトンパルスがｐ−ｉ− ｎフォトダイオードのような追加の標準検出器に進む経路を作るようにする。あるいはこれと違って、公衆チャンネルを別の波長で符号化して同じファイバ伝送リンクを作って伝播させてもよい。この場合には、公衆チャンネルは波長敏感性カップラを用いる標準検出器に進む経路をとる。量子チャンネル波長で別な絶縁をするのに波長選択性フィルタという手段によってもよい。このチャンネルはパルス当り多数のフォトンで動作するから、その性質は古典的なもので、従って、立ち聞きする者によるアタックができるように開かれたものである。このチャンネルは符号化プロトコルに対する公衆チャンネルを提供する。送信機と受信機とはこの公衆チャンネルで通信して、与えられた信号パルスに対してどのエンコード／デコード・アルファベットが使われたかについての情報を交換する。このデータを基に、受信機で受信した信号の統計が解析できて、キーがセキュリティを保って受信されたかどうか、すなわち立ち聞きするものがキーのいずれかの部分を傍受してしまったかを判断する。プロトコルについての公衆段階での利用に加えて、公衆チャンネルは伝送システムの校正にも使用される。長距離光ファイバリンクで例えば50kmといったものの上では、温度変動といった、光ファイバに対する避けることができない効果が原因して、送信されたパルスの偏波と位相との両方が時間とともにゆっくりとランダムに変わることがある。校正段階は、我々の上記引用国際出願ＰＣＴ／ＧＢ９３／０２６３７で記述したように、こういった変動を補正することが可能である。図６はこの発明で使用するためのマルチ・アクセス網を示す。図６の例では２つの受信機しか示していないが、実際にはもっと多数の受信機を採用した網がしばしば使われる。その数の選び方は使用分野によって変る。単一の場所での局地的な施設では網は１０の受信機又は端末だけで構成されることになろう。これに対して、公衆網では数十から百以上といった受信機が網に接続され、単一のサーバから分配された量子キーを受領することになる。多数の異なる構成のうちのどの１つも網に対して使用でき、例えばトリー、バス、リング、スターといった構成の網でも、またその組合せの網にも使用できる。図６は２つの受信機と１つの送信機とを含む放送網の特殊例を示す。送信機は利得切換えつき半導体レーザ69で上述した形式のものと、減衰器又は強度変調器 67と、偏波変調器68と、制御電子回路70とで成る。受信機内の単一フォトン検出器は上述の第１実施例で記述したのと同じデバイスでよい。各受信機にはマイクロプロセッサ制御部62があり、それがＡＰＤの出力を弁別器／増幅器回路63を経て受領する。制御部62は電子フィルタ64とローカル発振器65とともに、ＡＰＤバイアス供給源66も制御する。電子フィルタ64はＡＰＤによる信号出力の周波数スペクトラムの第１高周波を絶縁するもので、これは網を経由して受領した同期パルスに応答して行われる。電子フィルタはローカル発振器65をロックするパルス周波数で正弦波を発生する。ローカル発振器65の出力は制御部62で受領されて、量子伝送の間にタイミング基準を送出する。図５はさらに別な実施例でリング・トポロジィを使用したものを示す。このシステムは送信機／交換機Ｔを備え、それが３つの受信機Ｒ１−Ｒ３に接続され、その間にリングトポロジィを有する受動光網Ｎが介在する。送信機Ｔには量子チャンネルソース71（量子暗号法によるキーを確立する際に使用される）とともに、通常の強度変調されたソース（通常のトラヒックを搬送するとともに校正の際には多フォトン信号を出力する）とがある。量子チャンネルソース71と標準のソース74とは異なる周波数それぞれλ_q、とλ_sとで動作する。量子ソース１からの出力は切換え可能な減衰器79と、ポラライザ兼バンドパスフィルタ78（量子チャンネル波長λ_qと同調している）とを通って進む。各受信機またはノードは、第１の多フォトン検出器75でチャンネルλ_s上の信号用のものと、量子チャンネル波長λ_qでの多フォトンタイミング信号用検出器8 0と、変調器72（この例では偏波変調器）とで構成される。クロック検出器80はファイバカップラ81によって網Ｎに接続されており、λ_qでの弱いタップが作られている。これらのタップは低い結合度（例えば１％台）をもち、量子チャンネル内で余分な減衰が導入されないようにしている。代って、別な波長λ_cを校正信号用に使うのであれば、ＷＤＭ（波長分割多重）カップラで有限の結合度をλ_c でもち、かつ理想的にはλ_qで零結合度をもつものが採用できる。信号波長用の検出器75はＷＤＭカップラ77によって網に接続される。ＷＤＭカップラはファイバカップラであり、波長依存結合特性をもつ。この例ではＷＤＭカップラは量子チャンネルに対しては直接透過形経路を作り、ループからの結合度はλ_qでは小さいが、信号波長λ_sでは結合度がもっと大きな値Ｆ_sとなっている。減衰したコヒーレントもしくはインコヒーレント光源でこの発明で使用した形式のものは、一般にそれぞれｎフォトン状態の重畳もしくは統計的混合(statist ical mixtures)であってポアッソン統計に従うもの（このことは量子暗号機構の動作上非常に重要なこととは言えないことではある）を作り出す。その結果、光源がｎフォトンを含む光パルスを生成する確率は式（１）で与えられる。図１に示した形式の、典型的な受信機は、アバランシェ・フォトダイオード（ＡＰＤ）のような検出器で単一フォトンレベルで感度を持つようにするためにブレークダウンを越えて逆バイアスされたものを備えている。到来する光パルスがこの種のＡＰＤ内でｎ光電子を生成する確率は式（２）で与えられ、ここでηはＡＰＤの量子効率であり、Ｔは伝送割合もしくは量子チャンネルの係数である。P.D.Townsend and I.Thompson,Journal of Modern Optics Vol.41,p. 2425,1994 で論じられているように、光パルス継続時間は一般にはＡＰＤの不感度時間（デッドタイム）よりもずっと短くなるように選ばれる。したがって、ＡＰＤは光パルス当りたかだか１電圧パルスを生じ得るのであって、これが生じる確率は式（３）で与えられる。この結果、受信機の計数レートは式（４）となり、ここでＲ_tは送信機内の減衰した光源がパルスを受けるレートすなわち時間スロット周波数である。式（４）から、ｎ＜＜１でη＝Ｔ＝１であれば、であるから、受信機の計数レートは理想的なシステムであっても時間スロットレートよりも常に小さくなる。新しい検出機構の動作を説明するために、一般化された受信機を考えることとし、そこでは量子チャンネルの出力が２つの岐路に分けられ、各々が単一フォトン検出器で監視される。このような分岐は例えばファイバカップラという手段で実現できるが、図１で示した受信機はこの機能をも実行することを後に示す。分岐比β：（１−β）をもつファイバカップラの例をとるとし、上述の経過をとるときは、βアーム検出器に対する計数レートは次のようになる。 βを（１−β）で置き換えた同様の表示が他の検出器に対する計数レートとして得られる。２つの検出器が適切な一致検出回路によって接続されると、一致計数レートは次のようになる。 β＝０．５の特別な場合には、一致レートは単一のレートによって便利となるように正規化されて、次の比を与え、１の場合には、この確率はＣ＝０．０５と小さく、減衰したパルスは全体としては分割することができない粒子のように振舞う。真の単一フォトンに対しては、分割は生じ得ないから一致レートは零である。ここで量子チャンネル上の立ち聞きする者と、採用することができる２つの形式の測定戦略について考察することとする。第１の戦略では、立ち聞きする者が “ビームスプリッタ・アタック”を実行することを試みるとし、ここでは減衰した光パルスを分割することが試みられる。この方法では、測定がパルスの一方の半分について実行され、他の半分は立ち聞きする者の存在に気付いていない受信者への伝播のために残しておく。しかし、上述のように、減衰したコヒーレントパルスはこのような分割はむづかしく、パルスの小部分だけ、従ってそれが搬送しているキービットが立ち聞きするものに漏れることになる。それにも拘らず、 Bennett et al．J.Crypt.1992 で論じられているように、量子暗号法プロトコルの誤り補正及びプライバシィ増幅段階の間に立ち聞きする者へ漏れた全情報を計算するときにはこの一部分を勘定に入れることが重要とされる。別な重要考慮事項として、立ち聞きする者のビームスプリッタアタックでは受信機の計数レートを低減させることが避けられないことである。例えば、分割されていったパワー割合が（１−β）であると、受信した計数レートは式（６）で与えられ、式（４）と比較すると指数に現れる割合βだけ減少することが分かる。明らかに（１− β）が大きいと、受信機は計数レートの大きな減少を蒙り、立ち聞きする者の存在の警報を受ける。立ち聞きする者に対して敏感な戦略として、伝送ソースから予期されるパワーのゆらぎを越えない程度だけ受信機における計数レートを減少させることがある。例えば、この種の時間的なパワー変動が例えば、実用上すぐに得ることができる値である±１０％以下に維持できれば、立ち聞きする者は警報の設定を回避するためには、（１−β）≦０．１を使わなければならない。しかし、立ち聞きする者への情報の漏れの計算では、もっと保守的な見積もりである（１−β）＝１を通常は使用している(Bennett et al．J.Crypt.1992)。これは無損失もしくは低損失チャンネルを挿入することによって、ビームスプリットアタックを補償する可能性を勘定に入れている。上述のようにこの種のアタックには厳しい技術的な困難があるが、それでもなお、絶対的に最悪な場合を代表しており、したがって得られるキーの秘密性を非常に安全に見積ることができる。第２の形式の立ち聞きする者のアタックは“傍受／再送信（インターセプト／リセンド）”と呼ばれるものであり、受信者の計数レート変化に対する監視能力が極めて重要であり、これから論ずるように基本的な方法として現在の発明を支えている。傍受／再送信では、立ち聞きするものがチャンネルに割込んで測定を試みてから、次々にキーデータのコピィを送るものである。無論、量子暗号法プロトコルは立ち聞きする者による測定が発生せざるを得ないキー内の誤りを検出するように設計されている。しかしながら、現在の発明は、実用化システムで使用される減衰したコヒーレント状態の性質を探究することによって、この検出確率を著しく改善している。特に、式（４）との類推によって、立ち聞きする者の計数レートは次のようになる。ここでは添字ｔ，ｅ，ｒを使って、送信機、立ち聞きする者、受信機をそれぞれ特定するパラメータを表わしている。もし立ち聞きする者が、到来するパルスのトは次のようになる。信機における計数レートに著しい減少を導く。は受信者に警報を送ることになる。この結果、立ち聞きする者は受信機の計数レートが一定に保たれるような（上述した通り、少なくとも光源のパワーゆらぎの次式が見出される。完全なシステムとしてη_e＝η_r＝Ｔ_e＝Ｔ_r＝１に対しては、もし立ち聞きする者が受信機に向けて送られた各パルスがはっきりと検出されることを保証し（１２）はもっと実際的な検出器効率（＜８０％）に対して、立ち聞きする者はすでに見たように減衰したコヒーレントパルスの平均フォトン数が増大すると、２つに分けることは簡単になる。その結果、上述の形式のビームスプリッタ測定を受信機が実行するときは、一致検出のレートは立ち聞きする者の存在で大幅に増大する。図３は式（８）で定義された、正規化した一致確率を、立ち聞きするチャンネルは無損失と仮定され、受信機と立ち聞きする者との検出器効率はそれ層顕著になることが分かる。従って、この技術は立ち聞きする者の検出確率を大きくするのに魅力的である。しかし、５０：５０カップラ又はビームスプリッタを用いる一致測定は、量子キー分配が行われている間に通常実行される測定とは別個に実行されなければならないとされる。これは受信機の設計を複雑にするし、潜在的なキービットを無駄にすることにもなる。これに代って、我々の提案は Bennett ／Brassardの４状態暗号法機構で通常は無視されてきたデータを使うというものである。例えば、図１に示した実験的機構の場合には、ランダムなキーシーケンスが、送信機Ｔと受信機Ｒ内の変調器を用いて減衰した光パルスの偏波を符号化することによりチャンネル上を伝送される。Ｔは二値ディジット（０，１）に対して２つの異なる表現、すなわち（０°，９０°）と（−４５°，＋４５°）を用い、キー伝送の間に両者間をランダムに切換える。Ｒもまたランダムかつ独立に０°と−４５°とのポラライザ測定角度間の切換えをする。伝送後は、Ｒは公衆チャンネルを用いて、Ｔに対して、どのビット期間内にあるフォトンが受領され、かつどのポラライザ測定角が使用されたかを告げるが、その結果、すなわちフォトンが０又は１出力ポートで検出されたかどうかは告げない。次にＴは送られかつ測定された偏波角度がΔθ＝０°又は９０°違っているようなビット期間を公開し、データのこの半分だけが保存される。（送信偏波角と測定偏波角との差Δθの値が０°か９０°かであるビット期間を公開して特定し、これらのビット期間からのデータだけを送信機と受信機によって保存する。）これらの場合に対しては、フォトンは理想的には正しいポラライザ出力ポートで観測される単位確率（１）を有しており、その結果、送信され受信されたビットシーケンスは同じものとなるはずである。もし、立ち聞きする者が傍受をしてキーを再送しようとすると、これらの最終の共用ストリングは一般には約２５％の実質的な誤り率をもつことになり[Bennett et al,J.Crypt 1992]、ＴとＲとはそのデータのランダムサブセットを公然と比較することによりそれをチェックし、その後捨てることとする。この誤りは立ち聞きする者が知らずに、例えばΔθ＝±４５ °のようなチャンネル上での間違った測定をした場合などで発生する。この場合、測定の結果は蓋然性があり、パルスは０としてもあるいは１としても等しく登録されることになろう。これは立ち聞きする者がときに間違ったビットで送信し、それによってＴとＲとが完全な一致を予期している場合に誤りを生じさせる。一致検出機構に話を戻すとし、Δθ＝±４５°での偏波測定は５０：５０ビームスプリッタでの測定と正式には等価である。これはポラライザの各出力ポートに対する透過確率がこの場合は５０％に等しいからである。他の符号作成原理は異なる分割比を与え、例えば４状態機構で（０°，９０°）（−２２．５°，＋６７．５°）を使用するものは受信機で１５：８５ビームスプリッタと等価であ対しては依然として大きな値である。この結果、Ｒはデータの排除された部分をとることができ、同じ時間スロット内で０及び１検出器の両方がある計数を登録した一致事象を探すことができる。この一致レートは立ち聞きする者がいないと立ち聞きする者が居て、受領した計数レートが既知のシステムパラメータから予増加することになる。以上を要約すると、このシステムの使用者は標準プロトコルの範囲で集められ、しかし使われていない、データについて追加の解析を実行するだけで、立ち聞きする者を検知する使用者の能力を高めることができる。この技術は実際のシステムで使用されている減衰したコヒーレント状態の性質を活用し、余分な部品や装置を必要としない。上述の例は４状態符号化を使っているが、他の機構も使用できる。近年、Bermett[Phys.Rev.Lett.,68,3121(1992)]は量子暗号法機構を開発し、そこでは上述の例のような２つのベースで各々が２つの直交状態を含むものではなく、たった２つの非直交状態を使っている。ここではBennett によって考察されたものよりももっと簡単でかつもっと実用的な特殊例を参照して、この機構の動作を記述していく。もっとも重要なことは、一致検出技術がこの簡単にした機構に保安状態を与えるために使用できることであり、これなしでは立ち聞きする者に対して無防備となってしまうことである。位相符号化機構の例について述べることとするが、この機構では二値ディジット０と１とがそれぞれ位相シフト０°と９０°とで表わされる。このような機構は図４に示したのと同一の機構で実現することができる。キー分配は各パルスをこの２つの位相シフトのうちの１でランダムに変調する送信機、各到来パルスの測定のために２つの位相シフトの１をランダムに選ぶ受信機とを伴って進られる。送信機と受信機との位相シフトの差が（φ_t−φ_r）＝０°のときは、単一フォトン干渉は一方の出力ポートで完全に建設的であって、これをＣとラベルを付け、また他方の出力ポートでは完全に破壊的でこれをＤとラベルを付ける。この場合にはフォトンは干渉計内の最終カップラで決定論的に振舞い、常にＣで検出される。（フォトンが検出される出力ポートは４状態機構のようにビットを決定せず、したがって、０と１からＣとＤへのラベル付け機構で変わることはない）。（φ_t−φ_r）＝±９０°の他の場合には、フォトンは最終カップラで確率論的に振舞いＣ又はＤで等しく検出されそうである。その結果、平均して受信機の検出の３／４がＣポートで、１／４がＤポートで生ずることになる。前のデータは無視され、後のものがキーを生成するのに用いられる。受信機は公衆チャンネルを用いてＤ事象が生じたのはどの時間スロットであったかを送信機に告げる。この時点で、ＲとＴとは共用キーを所有することになるが、その理由は、受信機はあるフォトンが（φ_t−φ_r）＝±９０°のときにＤでだけ観測されたことを知り、したがってφ_rの知識からφ_tを計算することができ、さらにビットが分るからである。もちろんこれは立ち聞きする者が伝送チャンネル上に居らず、理想的な無雑音の場合に限られる。実際のシステムでは、送信機と受信機とはチャンネル上で連続的に立ち聞き行為があることを示すほどにエラーレート（誤り率）が高くないことをチェックする必要があり、その上で、通常の方法で共有するビットシーケンスについて誤り補正とプライバシィ増幅とを実行することになる[Bennett et al,J.Crypt.,5, 3(1992)]。これまで記述してきたように、現用の機構は簡単な２レベル変調機構を必要とするというだけの利点があるが、特定の形式の傍受／再送信アタックに対しては無防備である。特に、もし、立ち聞きする者が受信機と同じ装置と位相シフトとを用いてチャンネル上で測定を実行すると、確率論的な結果すなわち立ち聞きする者のＤポートでの検出は受信者と同様に立ち聞きする者が送信機によってどのビットが送られたかを明白に計算することができる。その結果、もし立ち聞きする者がこのような瞬間だけ（４のうちほぼ１）、十分に平均フォトン数を増してパルスを再送信すると、受信者は誤り率が増えたのか、検出レートが減ったのかが分らない。もとのBennett 機構では、この種のアタックは新しい基準パルス技術の使用によって回避していた。しかし、これには単一フォトン検出器を受信機において、信号フォトン到着後短時間で第２のパルスを検出する必要があり、これは実際のシステムではこの種の検出器が関係する不感度時間（一般には約１μｓ）の故に実用的ではない。これに代って、我々はこのような立ち聞き戦略を検出するために上述したような一致技術を用いている。ここでは受信機はＤ事象が記録された時間スロットで、Ｃポートでも検出が生じているかどうかを見るチェックを行なう。すでに述べたように、受信側での測定はこの場合、ビームスプリッタ測定と等価であり、一致事象の確率は、立ち聞きする者によってパルスのフォトン数が増大されていればぐんと大きくなる。４状態機構では、立ち聞きする者は受信機の計数レートを維ければならない。その理由は検出されたパルスの４つのうちの１だけが受信機に送られることによる。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号９５３０１０５０．１ (32)優先日 1995年２月20日 (33)優先権主張国欧州特許機構（ＥＰ） (81)指定国ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＤＥ，ＤＫ，ＥＳ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，ＩＴ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＡＵ，ＣＡ，ＪＰ，ＫＲ，ＮＺ，ＵＳ

Claims

【特許請求の範囲】１．高度に減衰したソースからの単一フォトン信号を変調し、変調した信号を検出する段階を含む量子暗号法を用いる通信の方法であって、変調した信号を検出する段階では信号が符号化された状態に従って２つの岐路に分けられ、異なる符号化された状態に対応する信号が独立に検出され、かつ、立ち聞きする者の存在を検出するために検出器の２つの岐路における一致信号の検出レートを判断し、しきい値と比較する段階を有することを特徴とする方法。２．高度に減衰したソースからの単一フォトンの強度が時間スロット当りの平均フォトン数にして１よりも極めて小さいものであるようにした請求項１記載の方法。３．一致信号の検出のレートを判断し、しきい値と比較する段階が該信号の検出後、少なくとも１つの単一フォトン検出器(43,44)とリンクしている制御プロセッサ(54;図４）内で行われる請求項１又は２記載の方法。４．単一フォトンが４状態符号化原理を用いて変調され、一致信号の検出のレートを判断する段階が、異なるそれぞれの原理を用いて変調され検出されたと判断された単一フォトン信号に対して行われる前記請求項１ないし３のいずれか１項に記載の方法。５．単一フォトン信号が２つの非直交状態で成る暗号原理を用いて変調され、一致のレートを判断する段階が送信機における既知状態で符号化されたと受信機で判断された信号との関係で行われる前記請求項１ないし４のいずれか１項記載の方法。６．単一フォトン信号は送信機と受信機とをリンクする光ファイバ接続上に出力され、秘密の量子暗号法キーが変調された単一フォトン信号上に符号化されたデータを用いて該送信機と該受信機間に確立される前記請求項１ないし５のいずれか１項記載の方法。７．単一フォトン信号が複数アクセス網（Ｎ；図５）上に出力され、該複数アクセス網に接続された複数の受信機の各々がそれぞれの量子暗号法キーを確立する前記請求項１ないし６のいずれか１項記載の方法。８．高度に減衰した光源を含む送信機（Ｔ）と、１又は複数の受信機（Ｒ１−Ｒ３）と、該送信機と該受信機とをリンクする網（Ｎ）とで成り、各受信機には異なる符号化状態に対応して受信機の岐路内で一致信号の検出のレートを判断し、該検出のレートをしきい値と比較して、立ち聞きする者の存在を検出することを特徴とする量子暗号法で使用する通信システム。９．前記網が光ファイバ網である請求項８記載のシステム。１０．前記網は複数アクセス網であって複数の受信機（Ｒ１−Ｒ３）に接続されている請求項８又は９記載のシステム。