JP2002064480A

JP2002064480A - 暗号鍵配布方法及び装置

Info

Publication number: JP2002064480A
Application number: JP2000252656A
Authority: JP
Inventors: Akihisa Tomita; 章久富田
Original assignee: NEC Corp
Current assignee: NEC Corp
Priority date: 2000-08-23
Filing date: 2000-08-23
Publication date: 2002-02-28
Anticipated expiration: 2020-08-23
Also published as: US20020025041A1; US6895092B2; JP3829602B2

Abstract

(57)【要約】【課題】光ファイバ通信網に適合したコヒーレント光を
用いて、安全性の保証された暗号鍵配布システムを提供
する。【解決手段】送信者は、受信側で対称な確率分布を持つ
ように乱数を符号化し、送信光出力の強度と変調を、盗
聴者が送信端で最良の受信機を用いたときでも盗聴者の
信号対雑音比が２ｄＢ以下になるように設定すると同時
に、受信者の信号対雑音比が−１０ｄＢ以上になるよう
に設定して送信する。受信者は一組の乱数が伝送された
後、得られた信号の確率分布を計算して判別閾値を求
め、確率分布に異常があるとき盗聴があったと判断し、
暗号鍵の伝送をやり直す。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、秘匿性の高い情報
通信に関し、特に盗聴者に対して物理法則を用いて秘匿
性を保った暗号鍵の配布方法及び装置に関する。

【０００２】

【従来の技術】送信者と受信者の間で情報を伝達する際
に、二者が秘匿性の高い乱数の組（暗号鍵）を共有する
ことによって、傍受されても安全な情報の伝達や、改ざ
んの防止が可能になる。秘匿性が高く、情報理論的に絶
対的な安全性が証明されている暗号鍵、即ち、平文と同
じ長さの暗号鍵を用いて情報を伝達する方法では、一度
使った暗号鍵は必ず捨てるため、暗号鍵は一度しか用い
ることができず、常に新しい暗号鍵を配布する必要があ
り、非現実的である。

【０００３】現実的で、暗号鍵配布方法の秘匿性を量子
力学の原理に求めた量子暗号鍵配布方法として提案され
ている方法を用いると、安全な暗号鍵を送り手と受け手
のみで共有でき、絶対的に安全な通信が可能になること
が知られている。この量子暗号鍵配布方法は、量子力学
の法則によって、状態の基底をあらかじめ知らないかぎ
り量子状態を正確に測定できないことから、盗聴者の存
在は伝送における誤りの増加として検出される。量子暗
号鍵配布の具体的な方法はベネット（Ｂｅｎｎｅｔｔ，
Ｃ．Ｈ．）とブラッサード（Ｂｒａｓｓａｒｄ，Ｇ．）
によってＩＢＭテクニカルディスクロージャブリテン
（ＩＢＭＴｅｃｈｎｉｃａｌｄｉｓｃｌｏｓｕｒｅ
ｂｕｌｌｅｔｉｎ）２８巻３１５３−３１６３頁（１
９８５）で提案された。ベネットは、より光ファイバに
よる伝送に適した非直交２状態を用いた方法もフィジカ
ルレビューレターズ（ＰｈｙｓｉｃａｌＲｅｖｉｅｗ
Ｌｅｔｔｅｒｓ）誌６８巻３１２１−３１２４頁に述
べている。量子暗号は物理法則が暗号の安全性を保証す
るため、計算機の能力の限界に依存しない究極の安全性
保証が可能になる。

【０００４】

【発明が解決しようとする課題】しかしながら、上述し
た従来の量子暗号プロトコルでは１ビットの情報を１つ
の光子で送ることが必要である。このため、光の検出に
は量子効率の低い光子計数法を用いなければならず、伝
送効率が小さい。また、光の偏光や位相に信号を載せて
いるために伝送路での擾乱に弱く、誤り率が増大して安
全な暗号伝送ができなることもあるといった問題があ
る。また、伝送路におけるコヒーレンスの必要性のため
光増幅器を用いることができず、現在の光ファイバ通信
網に用いることができず、専用線が必要になる。このた
め、敷設のコストが大きいという問題が生じる。

【０００５】ベネット（Ｂｅｎｎｅｔｔ，Ｃ．Ｈ．）と
ウィズナー（Ｗｉｅｓｎｅｒ，Ｓ．Ｊ．）は合衆国特許
第５，５１５，４３８号において非常に弱い変調をかけ
たコヒーレント光を用いる暗号鍵配布の方法を開示し
た。この方法では、たとえば、平均Ｎ個の光子を送ると
き（“１”，“０”）に応じて（Ｎｃｏｓ２（π／４−
δ），Ｎｃｏｓ２（π／４＋δ））と（Ｎｓｉｎ２（π
／４−δ），Ｎｓｉｎ２（π／４＋δ））のように２種
類の変調をかけた信号を用いる。このため、測定による
揺らぎの大きさが変調の強さと同程度以上になるように
変調指数（変調度とも云う）δを小さな値に選ぶと、測
定では状態を正確に決めることができなくなる。さら
に、２つの独立な信号を用いることでベネット（Ｂｅｎ
ｎｅｔｔ，Ｃ．Ｈ．）とブラッサード（Ｂｒａｓｓａｒ
ｄ，Ｇ．）によって提案された４状態を用いた量子暗号
と同様な安全性が期待できる。しかし、彼らのプロトコ
ルでは１ビットの伝送に２つの信号を必要とする。さら
に、これら２つの信号の間で位相コヒーレンスを保つ量
子通信路を必要とし、その分擾乱に対して弱くなってい
る。

【０００６】これに対してユーエン（Ｙｕｅｎ，Ｈ．
Ｐ．）とキム（Ｋｉｍ，Ａ．Ｍ．）はフィジックスレタ
ーズ（ＰｈｙｓｉｃｓＬｅｔｔｅｒｓ）誌Ａ２４１
巻，１３５−１３８頁、（１９９８）で弱い多光子光
（コヒーレント光）でも用いることのできる暗号鍵配布
の具体的なプロトコルを与え、彼らのプロトコルが本質
的には非直交２状態を用いた量子暗号と同様な原理によ
って安全性が保障されていることを示した。彼らの方法
では伝送路でのコヒーレンスは必要とせず、現在の光フ
ァイバ通信網の中で用いることができる。

【０００７】ユーエン−キムのプロトコルでは”０”
と”１”が対称的な確率分布で受信されるように符号化
される。送信者は符号化された信号を弱いコヒーレン
ト光に乗せて伝送する。通常の通信ではＶ＝０を閾値と
して”０”と”１”を判別する。これに対してユーエン
−キムのプロトコルではＶ_th＝±ｍＳ（Ｓは信号の振幅
の平均値）をそれぞれ”１”、”０”に対する閾値とす
る。このため、受信した信号は非直交２状態を用いた量
子暗号と同様に”１”、”０”、”判別不能”の３つに
判別される。受信者は”判別不能”とされたビットの位
置を送信者に伝え、このビットを捨てる。受信者が”
１”か”０”に判別できたビット列には誤りが含まれて
いるので送信者と受信者はビットを交換して誤りのない
ビット列を得る。送信者と受信者は誤り訂正を行った
後、残ったビットからハッシュ関数による秘匿性の増強
によって安全な暗号鍵を確立する。

【０００８】ユーエン−キムのプロトコルはつぎのよう
な性質を安全性の基礎にしている。信号は弱いコヒーレ
ント光で伝送されるため、信号対雑音比が悪く、閾値を
０にすると無視できない割合で誤りが生じる。一方、閾
値を上げると”判別不能”とされるビットが増えるが残
ったビットの誤り率を十分小さくすることができる。盗
聴者がいる場合、盗聴者は判別のための閾値を０にしな
ければならない。これは、受信者と盗聴者の信号に加わ
る雑音は互いに相関がないため、盗聴者の閾値が０でな
いと受信者が判別したビットを盗聴者も同時に判別でき
る確率が小さくなる。判別できなかったビットに対する
情報量は０であり、閾値０で判別したときの誤りは０．
５より小さいから盗聴者は閾値を０にして全てのビット
についての情報を得た方が有利になる。このとき、受信
者の得た誤りの少ないビットは盗聴者にとっては誤りを
含んだものになる。このため、受信者の情報量に対して
盗聴者の情報量は小さく、盗聴は失敗に終わる。また、
盗聴者が送られる信号を全て吸収して判別した結果を受
信者に再送するという攻撃を行ったとき、盗聴者の誤り
率が１０％を越えていれば受信者側の誤り率の異常な増
加として盗聴者の存在が検知できる。

【０００９】しかし、盗聴者が送信者の極めて近くにい
る場合には盗聴者の信号対雑音比が良いため閾値を０で
判別を行っても盗聴者の得るビットの誤りが小さくな
る。このような場合には盗聴が可能になるため、システ
ムの設計を行うには理論上安全性が保証できる盗聴者の
信号対雑音比の限度が明らかになっている必要がある。
ユーエンとキムの報告ではこの点についての考察がなさ
れておらず、盗聴者が存在しても安全な暗号鍵配布が行
えるシステム設計を行う上で問題があった。また、盗聴
者が０でない閾値で判別を行い、判別できたビットだけ
を受信者に再送する攻撃を行うとき、再送する信号を強
くすれば受信される平均光子数は盗聴がない場合と変わ
らず、受信者側の誤りを減らすことができるため盗聴が
成功しやすくなるという問題がある。また、平野は特開
２０００−１０１５７０号公報においてユーエン−キム
と同様な原理に基づく暗号システムを開示しているが、
ここでも盗聴者の信号対雑音比についての考察はなされ
ていない。

【００１０】本発明の目的は、量子通信路を必要とせ
ず、現在の光通信網を利用できる安全な暗号鍵配布方法
と装置を提供することにある。

【００１１】

【課題を解決するための手段】本発明の暗号鍵配布方法
は、送信端で盗聴者がいかなる受信機で盗聴したときで
も盗聴者の信号対雑音比が２ｄＢ以下になり、且つ、受
信端における受信者の信号対雑音比が−１０ｄＢ以上に
なるように出力信号光の光強度と変調度を設定し、乱数
列を符号化した変調信号で変調した信号光を受信者に伝
送し、受信者は、一連の乱数列の信号光を受信した後、
雑音重畳に由来した揺らぎを有する受信信号の頻度分布
から確率分布を計算して、前記確率分布の変化に基づい
て盗聴の有無を判別すると共に、受信者の誤り率が５％
以下になるように判別閾値を設定して、前記判別閾値に
基づいて乱数列の各ビットのビット値を判別し、判別で
きたビットの位置を送信者に連絡して判別誤りのないビ
ット列のみを取り出して送信者と共有し、前記共有した
ビット列を暗号鍵とすることを特徴としている。

【００１２】上記暗号鍵配布方法は、下記（１）〜
（５）の少なくとも１つを特徴として含んでいてもよ
い。（１）乱数は２値乱数とし、受信側で２値に相当する２
つのピークを有し、互いに対称な確率分布になるように
２値の乱数列を符号化する。（２）２値乱数の符号化にマンチェスター符号を用い
る。（３）計算した確率分布が２値（０，１）に相当する対
称形をなす２つのピークを有することを確認し、そのよ
うな確率分布が確認できない場合は、暗号鍵配布におい
て盗聴があったと判断して、暗号鍵の配布をやり直す。（４）暗号鍵伝送に際し、暗号鍵伝送路とは独立な伝送
路を用いて、管理情報として、クロック、及び、送信信
号光の光強度と変調度を受信者に送信する。（５）受信者は、受信した送信側の光強度情報と既知の
伝送路損失から推定される受信光の光強度期待値を計算
し、その結果と実際に受信した受信光の光強度とを比較
し、計算値と実測値との差に応じて伝送路の異常程度を
判断し、それを手がかりに暗号鍵配布の中止を決定す
る。

【００１３】本発明の暗号鍵配布装置は、符号化された
乱数列で変調された信号光を出射する送信装置と、前記
送信装置からの前記信号光を伝送する伝送路と、前記伝
送路からの信号光を受信・復号し、雑音重畳に由来した
揺らぎのある復号信号の頻度分布から確率分布を計算し
て、前記確率分布の変化に基づいて盗聴の有無を判別す
ると共に、誤り率が５％以下になるように判別閾値を設
定して、前記判別閾値に基づいて乱数列の各ビットのビ
ット値を判別し、判別できたビットの位置を送信者に送
信する受信装置とから成り、前記送信装置を出射する信
号光の１パルス当たりの平均光子数Ｎ（Ｎ≧１）及び変
調度δと前記伝送路の伝送損失Ｌとが下記式１、式２を
満足することを特徴としている。［式１］ δ≦０．８／Ｎ［式２］２δＬ²Ｎ²／Ｎｎ＞０．１ここで、Ｎｎは受信装置の雑音レベルで、予め測定して
求めておけばよい。

【００１４】本発明の暗号鍵配布装置は、上記式１、式
２を満たすことで、送信端で盗聴者がいかなる受信機で
盗聴したときでも盗聴者の信号対雑音比が２ｄＢ以下に
なり、且つ、受信端における受信者の信号対雑音比が−
１０ｄＢ以上になり、盗聴に対して安全に暗号鍵を配布
できる。

【００１５】上記暗号鍵配布装置は、より具体的には、
送信装置が、第１の光源と、クロック発生器と、前記ク
ロック発生器のクロックに基づいて乱数を発生する乱数
発生器と、前記乱数発生器で発生した乱数を符号化する
符号化器と、前記符号化器からの信号に基づいて第１の
光源からの光を変調して信号光とする第１の変調器と、
前記第１の変調器からの信号光を雑音レベル程度の光強
度に減衰する減衰器と、クロック光に用いられる光を発
生する第２の光源と、前記クロック発生器のクロックに
基づいて第２の光源からの光を変調してクロック光とす
る第２の変調器と、前記減衰器から出射した信号光と前
記前記第２の変調器から出射したクロック光とを合波し
て伝送路に出力する合波器とを有し、受信装置が、信号
光とクロック光とを分離する波長分波器と、前記波長分
波器からのクロック光を電気的なクロックに変換するク
ロック再生装置と、前記波長分波器から出射した信号光
を復号して、電気信号に変換する復号・検出器と、前記
クロック再生装置からのクロックに基づいて前記復号・
検出器からの電気信号の頻度分布の計測、頻度分布に基
づく確率分布の計算、前記確率分布の変化に基づいて盗
聴の有無の判別、誤り率が５％以下になる判別閾値の設
定、前記判別閾値に基づく乱数列の各ビットのビット値
の判別、判別できたビット位置の送信を行う演算装置と
を有する構成とするのが望ましい。また、クロック再生
装置が、クロック光を光電変換する光検出器と、前記光
検出器からの電気信号を波形整形するクロック再生回路
とを含み、復号・検出器が、信号光を１対１に分岐する
分波器と、前記分波器で２つに分岐した信号光の内の一
方の信号光を遅延する遅延器と、前記遅延器を経た信号
光と前記分波器からの他方の信号光との差を電気信号に
変換するバランスドデテクタとを含む構成とし、符号化
器は、受信装置側で２値に相当する２つのピークを有
し、互いに対称な確率分布が得られるように乱数列を符
号化するのがよい。具体的には、マンチェスター符号を
用いるとよい。ここで、乱数は２値乱数とし、受信側で
２値に相当する２つのピークを有し、互いに対称な確率
分布になるように符号化しているのは、２値（０，１）
の判別の際に、量子暗号と同様に、”０”、”１”、”
判別不能”の３つの判別状態が得られるようにして、盗
聴に対して安全に暗号鍵を配布できるようにするためで
ある。

【００１６】本発明の元となった研究によれば、盗聴者
の誤り率が１０％を越えているとき、受信者の信号対雑
音比の盗聴者からの劣化が１２ｄＢ以下であれば安全な
暗号鍵配布ができることが明らかになった。盗聴者が送
信者に隣接し最良の受信機を用いたとき、盗聴者の信号
対雑音比は最良になる。この条件においても盗聴者の信
号対雑音比が２ｄＢ以下であれば、盗聴者の用いる閾値
が０であるとき誤り率は１０％以上になる。そこで、受
信者の信号対雑音比が−１０ｄＢ以上になるように伝送
路の損失と送信信号光の光強度及び変調度が設計されて
いれば受信者の誤り率を５％以下にすることができ、安
全な暗号鍵配布ができる。従って、このような条件が満
たされる限り共有された暗号鍵の安全性を保証すること
ができる。また、クロックの伝送は送受信機の同期に必
要であり、送信側の光強度と変調度を送って受信側で予
想される値と比較することにより受信側で、盗聴者が一
部のビットだけを強い光で再送した場合などの伝送路の
異常を検知できる。このため、コヒーレント光による、
現在の光通信網を利用できる安全な暗号鍵配布システム
が実現される。

【００１７】また、本発明における受信側での閾値の設
定は、受信者が検出した信号の振幅から誤り率が所要の
値より小さくなるように判別閾値を設定して判別を行っ
てもよい。

【００１８】

【発明の実施の形態】次に、本発明の実施の形態につい
て図面を参照して詳細に説明する。

【００１９】図１を参照すると、本発明の一実施の形態
としての構成図が示されている。図１において、送信者
側の装置はクロック発生器（１１）、乱数発生器（１
２）、符号化器（１３）、第１の光源（１４）、第１の
変調器（１５）、減衰器（１６）、光強度モニタ（１
７）、第２の光源（１８）、第２の変調器（１９）と合
波器（１１０）からなる。第１の光源（１４）と第２の
光源（１８）の波長は異なっている。送信者側と受信者
側は光を伝送路（１１１）で結ばれている。受信者側の
装置は波長分波器（１１２）、クロック再生装置（１１
３）、復号・検出器（１１４）と演算装置（１１５）か
ら成る。演算装置（１１５）には記憶装置（１１６）が
接続されている。復号・検出器（１１４）は５０％−５
０％（分岐比が１対１）の分波器（１１７）と遅延器
（１１８）、バランスドデテクタ（１１９）、増幅器
（１２０）から成る。クロック再生装置（１１３）は光
検出器（１２１）とクロック再生回路（１２２）から成
る。ここで、光源、変調器等各部品は既存のものが利用
できる。その主なものの一例を示すと、第１、第２の光
源は半導体レーザ等が利用できる。第１、第２の変調器
は、ポッケルスセル等の電気光学素子やファラデー素子
等の磁気光学素子が利用できるが、半導体レーザと同じ
材料を用いた電界吸収型光変調器を用いると、同一基板
上に半導体レーザとモノリシックに集積化できる利点が
あるので、半導体電界吸収型光変調器を用いるのがよ
い。合波器（１１０）は、Ｙ字型分岐導波路や多モード
干渉導波路等が、波長分波器（１１２）には、アレイ導
波路格子やフォトニック結晶を用いたもの等が、分波器
（１１７）には、方向性結合器等が、遅延器（１１８）
は光ファイバ等が利用できる。また、クロック再生回路
（１２２）は、光検出器（１２１）で得られた波形を矩
形に整形すればよいから既存の波形整形回路が利用でき
る。演算装置（１１５）はマイクロコンピュータやパー
ソナルコンピュータが利用できる。パーソナルコンピュ
ータを用いた場合は記憶装置はパーソナルコンピュータ
に内蔵されているので、記憶装置（１１６）を演算装置
（１１５）と独立に設ける必要はない。ここで、演算装
置（１１５）は、図７、図８に示す流れ図に従って動作
する。

【００２０】乱数発生器（１２）はクロック発生器（１
１）からクロック信号が送られるごとに一定個数の２値
乱数を発生する。得られた乱数は符号化器（１３）によ
って立上りを“０”立下りを“１”とするマンチェスタ
ー符号に符号化される。符号化された乱数は第１の変調
器（１５）を介して第１の光源（１４）の光出力を変調
する。クロック信号はまた、第１の光源（１４）とは異
なる波長の第２の光源（１８）の光を第２の変調器を介
して変調する。乱数信号で変調された光出力は減衰器
（１６）によって減衰され、光強度が雑音レベル程度の
微弱な信号光になる。この減衰した信号光の光強度は下
記式１、式２を満足する。この結果、送信端で盗聴者が
いかなる受信機で盗聴したときでも盗聴者の信号対雑音
比が２ｄＢ以下になり、且つ、受信端における受信者の
信号対雑音比が−１０ｄＢ以上になる。乱数信号で変調
され、減衰器（１６）で減衰された出力光（信号光）と
クロック信号で変調された出力光（クロック光）は合波
器（１１０）で合波された後、光ファイバ伝送路のチャ
ネル（１１１）で受信者まで伝送される。［式１］ δ≦０．８／Ｎ［式２］２δＬ²Ｎ²／Ｎｎ＞０．１ここで、Ｎは信号光の光子数、δは信号光の変調度、Ｌ
は伝送路の損失、Ｎｎは受信装置の雑音レベル（予め測
定により既知）である。

【００２１】受信者側では波長分波器（１１２）でクロ
ック光と信号光を分離する。クロック光は光検出器（１
２１）で電気信号に変換された後クロック再生回路（１
２２）で波形整形されてクロック信号に再生され、受信
者側のクロックとなる。信号光はマンチェスター符号を
復号するため、５０％−５０％の分波器（１１７）で２
分され、一方を遅延器（１１８）で半クロック分だけ遅
らせる。２分された各々の信号光は、２つの検出器の出
力差を信号として出力するバランスドデテクタ（１１
９）で検出され、復号される。この時のマンチェスター
符号とその復号された波形の模式図を図２に示す。図
中、Ａはマンチェスター符号（図１Ａ点の波形）、Ｂは
Ａのマンチェスター符号に対して半周期遅らせたマンチ
ェスター符号（図１Ｂ点の波形）、ＣはＡのマンチェス
ター符号とＢのマンチェスター符号との差、即ち、バラ
ンスドデテクタ（１１９）で復号された信号波形（図１
Ｃ点の波形）である。マンチェスター符号は、出力され
るスロットの後ろ半分を信号とすることで、図２に示す
如く、“０”と“１”が絶対値が等しい正負の電圧信号
に復号される。

【００２２】バランスドデテクタ（１１９）で検出され
る信号光には雑音が重畳しており、バランスドデテクタ
（１１９）の測定結果には揺らぎが存在する。この信号
光の揺らぎを考慮した場合の受信者側における、“０”
と“１”に復号された電圧信号、及び、多数回の測定に
よって得られる“０”と“１”の頻度分布、即ち、確率
分布の模式図を図３に示す。（ａ）は揺らいでいる電圧
信号の、或る瞬時の“０”と“１”に復号された電圧信
号波形（図２のＣに相当）、（ｂ）は”０”の確率分
布、（ｃ）は”１”の確率分布を示す。図３（ｂ）、
（ｃ）において、横軸は復号された信号の大きさ、縦軸
は頻度、即ち、信号が検出される確率である。バランス
ドデテクタ（１１９）は直流分を打ち消すため、バラン
スドデテクタ（１１９）で得られる“０”と“１”に復
号された出力の各々の確率分布Ｐ（Ｖ）は、図３に示す
ように、互いに電圧値Ｖ＝０に対して対称になる。

【００２３】バランスドデテクタ（１１９）で得られた
信号は増幅器（１２０）で増幅された後、クロックごと
に演算装置（１１５）でディジタル信号になって記憶装
置（１１６）に記憶される。演算装置（１１５）は、送
信者がいくつかの乱数を送り終えた後で記憶装置（１１
６）に記憶された信号の確率分布関数を計算し、計算さ
れた確率分布関数が図３に示す如く“０”、“１”に対
応して２つのガウス型関数で近似できることを確かめ
る。確率分布に異常（例えば、分散の増減、対象性の劣
化、ピーク値をとる電圧値の変化等）が発見されたとき
は、盗聴があった証であるから、この回に得た信号は捨
てる。確率分布に異常が発見されない場合、盗聴がない
と判定できるので、判別閾値Ｖ_thに基づいて各々のビッ
トについてビット値の判別を行う。このとき、判別閾値
Ｖ_thはビット値“０”と“１”で符号が異なり、絶対値
が同じ有限の値Ｖ_th＝±ｍＳ（Ｓは信号の振幅の平均
値、ｍは０又は正数）を用いる。つまり、信号出力Ｖが
−ｍＳより小さいときビット値が１、ｍＳより大きいと
き０と判別し、−ｍＳとｍＳの間にあるときは判別不能
とする。雑音が大きいとき、判別閾値Ｖ_thの絶対値|Ｖ
_th|を大きくする（ｍを大きくする）と判別できるビッ
トは減るが、判別できたビットについては誤り率を小さ
くすることができる。この時、ｍ、即ち、判別閾値は、
式７（後述説明する）や図６に基づいて、受信者の誤り
率が５％以下になるように決める。

【００２４】乱数列の送信が終わった後で、判別できた
ビットの位置を暗号鍵伝送路とは独立な伝送路、例え
ば、現行の光通信網や無線、電話等の古典的な通信路を
用いて送信者に連絡する。受信者が判別不能としたビッ
トと誤って判別したビットとを捨て、判別できたビット
だけを取り出すことにより、送信者と受信者は誤りの少
ない乱数列を共有できる。この共有できた乱数列を暗号
鍵とする。

【００２５】もし、盗聴者が通信路から光を一部取り出
したとしても、受信者と盗聴者の間の雑音に相関がない
ので受信者がどのビットを判別できるかを盗聴者は予め
知ることはできない。そのため、盗聴漏れを防ぐため
に、盗聴者は判別閾値を０にして全てのビットについて
判別を行わなければならず、受信者の得た誤りの少ない
ビットは盗聴者にとっては誤りを含んだものになる。こ
のため、雑音が大きい場合には誤り率が大きくなって、
受信者の情報量に対して盗聴者の情報量は小さく、効果
的な盗聴ができない。盗聴者が送られてくる光を全て吸
収して判別を行い、結果を受信者に送ることも可能だ
が、その場合でも盗聴者の誤り率が１０％以上になるよ
う設定してあるので（式１を満足するように送信信号光
の光強度と変調度を設定）、盗聴者の判別は誤りを含
み、受信者の誤り率が異常に増加して盗聴者の存在が暴
露される。盗聴が検出された場合には暗号鍵の生成を中
止し、別の伝送路を用いて新たに暗号鍵の生成、配布を
もう一度最初からやり直す。

【００２６】他の実施の形態として、上記の暗号鍵配布
方法に加えてさらに安全な暗号鍵を共有するために、上
記暗号鍵生成プロトコルに加えて、誤り訂正や秘匿性増
強のために古典的な情報を送信者と受信者の間で交換す
る。これらの情報はクロック信号と同じ波長帯の光を用
いて双方向通信を行う。送信側の光強度と変調度とを暗
号鍵と同時に送って、受信側で、受信した送信側の光強
度情報と既知の伝送路損失から予想される受信光の光強
度期待値を計算し、その結果と実際に受信した受信光の
光強度とを比較し、計算値と実測値との差に応じて受信
側で伝送路の異常の有無を検知する。検知した伝送路の
異常程度を手がかりに盗聴の有無を判断し、暗号鍵配布
を中止するか又は続行するかを決定する。この時の演算
装置の動作は、図８の流れ図に従う。

【００２７】送信者の光強度と変調度、受信者の判別閾
値は次のように決められる。受信者の得る信号の確率分
布が下記の式３、式４で与えられるガウス型であるとす
る。［式３］Ｐ（Ｖ）＝（２πσ²）^-1/2ｅｘｐ［−（Ｖ−Ｓ）²／（２σ²）］（ビット値０が送信されたとき）［式４］Ｐ（Ｖ）＝（２πσ²）^-1/2ｅｘｐ［−（Ｖ＋Ｓ）²／（２σ²）］（ビット値１が送信されたとき）ここで、Ｓは確率変数Ｖの平均値、即ち、信号の振幅
（Ｖ）の平均値、σは信号の振幅の標準偏差である。こ
のとき、信号対雑音比β²はβ＝Ｓ／σと表せる。

【００２８】式３に対してｙ＝（Ｖ−Ｓ）／σ、式４に
対してｙ＝（Ｖ＋Ｓ）／σとし、式３、式４を標準化す
ると式３、式４は（２π）^-1/2ｅｘｐ［−ｙ²／２］と
なるから、ｙがｘ以上となる確率Ｑ（ｘ）は、下記式５
で表される。

【００２９】従って、受信者が判別閾値Ｖ_th＝±ｍＳを
用いてビット値を正しく判別する確率はＱ（（ｍ−１）
β）、誤って判別する確率はＱ（（ｍ＋１）β）とな
る。これより受信者がビット値を判別する確率Ｆは下記
式６で表される。［式６］Ｆ＝Ｑ（（ｍ−１）β）＋Ｑ（（ｍ＋１）β）判別した結果が誤りである確率、即ち、誤り率Ｐｅは下
記式７のようになる。［式７］Ｐｅ＝Ｑ（（ｍ＋１）β）／Ｆ受信者と盗聴者の雑音には相関がないので、盗聴者は受
信者がどのビットで判別をするか予め知ることはできな
い。そのため、盗聴漏れがないようにするためには、盗
聴者は判別閾値Ｖ_thを０（ｍ＝０）にして全てのビット
について判別を行わなければならない。盗聴者の誤り率
Ｐ^Eは盗聴者の信号対雑音比がΒ²のとき、下記式８で与
えられる。［式８］Ｐ^E＝Ｑ（Β）盗聴者が吸収−再送を行うと受信者の誤り率は下記式９
に示すように変化する。［式９］Ｐｅ’＝Ｐ^E（１−Ｐｅ）＋（１−Ｐ^E）Ｐｅ式９から分るように、盗聴者のいないときの受信者の誤
り率Ｐｅが５％になるように判別閾値Ｖ_thを選ぶと、盗
聴者の誤り率Ｐ^Eが１０％のとき受信者の誤り率は１４
％となり、盗聴者がいると受信者の誤り率がほぼ３倍に
なる。このように、いかなる盗聴者にとって誤り率Ｐ^E
が１０％を越えるように光強度と変調度を設定する、即
ち、誤り訂正が不可能になる誤り率となるように光強度
と変調度を設定すると、吸収−再送を行う盗聴者の存在
は誤り率の異常な増加から検出できる。

【００３０】ここで、受信者の誤り率を５％、盗聴者の
誤り率を１０％としたのは、誤り率が１０％を超えると
誤り訂正が不可能になるという事実を考慮して定めた。
受信者の誤り率は、誤り訂正が可能な１０％未満であれ
ば何パーセントでもよいが、１０％に近いと誤り訂正が
難しく、また、１％のように誤り率を低くすると送信が
難しくなるので、送信と誤り訂正の容易性・困難性を考
慮して５％とした。もちろん受信者の誤り率が１０％未
満であれば５％以外、例えば、４％、６％等、でもよい
ことは云うまでもない。盗聴に対して安全であるために
は、盗聴者が誤り訂正ができないようにすればよいか
ら、盗聴者の誤り率を１０％以上とすればよい。誤り率
が１０％以上で、盗聴者が最も有利な状況（受信者にと
っては最も不利な状況）となるのは誤り率が１０％のと
きであるから、盗聴者の誤り率を１０％とすれば、受信
者が最も不利な状況においても盗聴に対して安全である
ための光強度、変調度、判別閾値を決めることができる
ので、盗聴者の誤り率を１０％とした。

【００３１】傍受型の攻撃に対する安全性を求めるため
に、以下のように暗号鍵の伝送レートＲを計算する。こ
れは、受信者が判別できたビット列から安全な暗号鍵を
取り出せる割合を表すもので伝送レートＲが０より大き
いことが暗号鍵の伝送に必要である。暗号鍵の伝送レー
トＲは送信者と受信者の間のシャノン情報量Ｉ_AB＝１＋
Ｐｅｌｏｇ₂Ｐｅ＋（１−Ｐｅ）ｌｏｇ₂（１−Ｐｅ）か
ら、誤りの訂正のために失われるビットの割合Ｐｅと盗
聴者に流れる情報の割合（１−Ｐｅ）Ｔを引いたものに
なる。即ち、伝送レートＲは下記式１０で表される。［式１０］Ｒ＝Ｉ_AB−Ｐｅ−（１−Ｐｅ）Ｔただし、Ｔは受信者の得たビット列のｉ番目がｋである
確率ｐ（ｋ）と、受信者と盗聴者のビット列のｉ番目が
それぞれｋ，ｌである確率ｐ（ｋ，ｌ）を使って［式１１］Ｔ＝１＋ｌｏｇ₂［ｐ（０，０）／ｐ（０）＋ｐ（０．１）／ｐ（０）＋ｐ（１，０）／ｐ（１）＋ｐ（１，１）／ｐ（１）］と表せる。確率ｐ（ｋ，ｌ）は、ｐ（０，０）＝ｐ（１，１）＝（１−Ｐ^E）ｐ（０，１）＝ｐ（１，０）＝Ｐ^E であり、ｐ（０）＝ｐ（１）＝１／２を仮定しているか
ら、Ｔ＝１＋ｌｏｇ₂［１−２Ｐ^E＋２（Ｐ^E）²］となる。結局、暗号鍵の伝送レートＲは受信者と盗聴者
の誤り率を用いて［式１２］Ｒ＝１＋Ｐｅｌｏｇ₂Ｐｅ＋（１−Ｐｅ）ｌｏｇ₂（１−Ｐｅ） −Ｐｅ−（１−Ｐｅ）｛１＋ｌｏｇ₂［１−２Ｐ^E＋２（Ｐ^E）²］｝と書ける。

【００３２】図４に傍受型の攻撃に対して安全な暗号鍵
配布を行うために必要な受信者の誤り率Ｐｅと盗聴者の
誤り率Ｐ^Eの領域を示す。図中の曲線は式１２において
Ｒ＝０を満足する曲線である。曲線の上方は式１２のＲ
＞０を満たす領域で、判別できたビット列から暗号鍵を
取り出せる割合が正となる領域、即ち、暗号鍵の配布が
可能な領域である。曲線の下方は式１２のＲ＜０を満た
す領域で、判別できたビット列から暗号鍵を取り出せる
割合が負となり、ビット列から暗号鍵を取り出せない領
域、即ち、暗号鍵の配布が不可能な領域である。図４よ
り、盗聴者の誤り率を１０％（誤り訂正が不可能な誤り
率のうちで盗聴者がもっとも有利な誤り率）とすると、
受信者の誤り率を５％以下にすれば傍受型の攻撃に対し
ても安全といえる。従って、前述した、吸収−再生型の
攻撃に対して安全である条件を考慮すると、吸収−再生
型の攻撃と傍受型の攻撃の両方に対して安全であるため
には受信者の誤り率を５％以下にすればよい。

【００３３】盗聴者の誤り率Ｐ^Eは式８で与えられ、信
号対雑音比と盗聴者の誤り率Ｐ^Eとの関係は図５に示す
ようになる。図５から分るように、盗聴者の誤り率Ｐ^E
が１０％以上となるためには、盗聴者の信号対雑音比は
１．６（２ｄＢ）以下であれば良い。盗聴者がもっとも
有利な状況として、盗聴者が送信端にいてショット雑音
で制限される理想的な検出器を持っているとする。伝送
路に入射する平均光子数がＮで、変調によって光子数が
Ｎ（１±δ）のように変化するとき、信号対雑音比は２
δＮになる。従って、盗聴者の信号対雑音比を１．６
（２ｄＢ）以下とするためには、変調度δは下記式１を
満たすように決めればよい。［式１］ δ≦０．８／Ｎ一方、受信者が０でない判別閾値Ｖ_th（Ｖ_th＝±ｍＳ
（Ｓは信号の振幅の平均値、ｍ≠０）を用いたときの判
別閾値と受信者の誤り率との関係をさまざまな信号対雑
音比の値について式７により計算した結果を図６に示
す。図中、縦軸は受信者の信号対雑音比、横軸は判別閾
値Ｖ_th＝±ｍＳのｍ値を示す。曲線５１、５２、５３、
５４、５５、５６は信号対雑音比がそれぞれ７．８ｄ
Ｂ、２．６５ｄＢ、−３．２８ｄＢ、−９．２５ｄＢ、
−１５．１ｄＢ、−２１．４ｄＢのときの判別閾値と誤
り率の関係を示す曲線である。図６によれば、信号対雑
音比が−１５．１ｄＢの場合（曲線５５）と、−２１．
４ｄＢの場合（曲線５６）はｍを大きくしても、即ち、
判別閾値を大きくしても受信者の誤り率を５％以内にで
きない。信号対雑音比が−９．２５ｄＢ（曲線５４）で
あれば受信者の誤り率が５％以内（吸収−再生型、傍受
型の何れの攻撃に対しても安全な誤り率）になるように
判別閾値を選ぶことができる。このようことから、受信
者の誤り率を５％以内にするには受信者の信号対雑音比
が−１０ｄＢ以上必要なことが分かる。また、信号対雑
音比が−９．２５ｄＢ（曲線５４）のとき、判別閾値Ｖ
_thは平均信号強度Ｓの１２倍程度以上（ｍ≧１２）にす
る必要がある。信号対雑音比が−３．２８ｄＢ（曲線５
３）の場合は、判別閾値Ｖ_thは平均信号強度の３倍程度
以上（ｍ≧３）であればよい。判別閾値を大きくすると
誤り率は低下するが同時に判別するビット数も減少する
ので、誤り率に関する条件を満たしている限り判別閾値
はできるだけ低い方が良い。受信者の受け取る平均光子
数をＮｒ、雑音強度をＮｎとすると、信号対雑音比は２
δＮｒ²／Ｎｎとなる。伝送路の損失ＬのためにＮｒ＝
ＬＮは、伝送路に入射する信号光の平均光子数Ｎより小
さくなる。前述したように、受信者の誤り率を５％以内
にするには受信者の信号対雑音比が−１０ｄＢ以上必要
であるから、受信者の信号対雑音比が−１０ｄＢ以上
（０．１以上）になる、つまり、［式２］２δＬ²Ｎ²／Ｎｎ＞０．１となるように伝送路に許される損失Ｌ、伝送路に入射す
る信号光の平均光子数Ｎ及び変調度δを決める。ここ
で、雑音レベルＮｎは予め測定して求めておく。

【００３４】上記の実施の形態では、“０”と“１”の
信号に対する検出器出力の確率分布が対称になるように
マンチェスター符号を用いたが、２値位相変調を用いて
も良い。この場合、得られる信号対雑音比が上記実施の
形態と異なるので変調度、判別閾値は誤り率の条件を満
たすように変更する。

【００３５】

【発明の効果】以上説明したように、本発明は、暗号鍵
配布において、理論上安全性が保証できる盗聴者の信号
対雑音比の限度が明確になっており、また、安全な暗号
鍵配送を行うための伝送路損失と送信光の光強度及び変
調度との関係も明確になっているため、システムの設計
が現実の条件に則して行える。さらに、伝送路の異常を
判断する方法も与えらている。このため、本発明におい
ては、現在の光通信網を利用できるコヒーレント光を用
いて、安全な暗号鍵配布システムを提供できる。

【図面の簡単な説明】

【図１】本発明の実施の形態の構成図。

【図２】マンチェスター符号とその復号法を示す
図。

【図３】信号光の揺らぎを考慮した場合の復号され
た電圧信号、及び、多数回の測定によって得られる電圧
信号の確率分布を示す模式図。

【図４】傍受型の攻撃に対して安全な暗号鍵配布を
行うために必要な受信者の誤り率と盗聴者の誤り率の領
域を示す図。

【図５】判別閾値が０のときの信号対雑音比と盗聴
者の誤り率との関係を示す図。

【図６】０でない判別閾値を用いたときの判別閾値
と受信者の誤り率との関係を示す図。

【図７】演算装置の動作を示す流れ図。

【図８】演算装置の動作を示す流れ図。

【符号の説明】

１１クロック発生器１２乱数発生器１３符号化器１４第１の光源１５第１の変調器１６減衰器１７光強度モニタ１８第２の光源１９第２の変調器１１０合波器１１１伝送路１１２波長分波器１１３クロック再生装置１１４復号・検出器１１５演算装置１１６記憶装置１１７分波器１１８遅延器１１９バランスドデテクタ１２０増幅器１２１光検出器１２２クロック再生回路５１信号対雑音比７．８ｄＢの曲線５２信号対雑音比２．６５ｄＢの曲線５３信号対雑音比−３．２８ｄＢの曲線５４信号対雑音比−９．２５ｄＢの曲線５５信号対雑音比−１５．１ｄＢの曲線５６信号対雑音比−２１．４ｄＢの曲線

Claims

【特許請求の範囲】

【請求項１】送信者は、送信端で盗聴者がいかなる受
信機で盗聴したときでも盗聴者の信号対雑音比が２ｄＢ
以下になり、且つ、受信端における受信者の信号対雑音
比が−１０ｄＢ以上になるように出力信号光の光強度と
変調度を設定し、乱数列を符号化した変調信号で変調し
た信号光を送信し、受信者は、一連の乱数列の信号光を
受信した後、雑音重畳に由来した揺らぎを有する受信信
号の頻度分布から確率分布を計算して、前記確率分布の
変化に基づいて盗聴の有無を判別すると共に、受信者の
誤り率が５％以下になるように判別閾値を設定して、前
記判別閾値に基づいて乱数列の各ビットのビット値を判
別し、判別できたビットの位置を送信者に連絡して判別
誤りのないビット列のみを取り出して送信者と共有し、
前記共有したビット列を暗号鍵とすることを特徴とする
暗号鍵配布方法。
【請求項２】乱数は２値乱数とし、受信側で２値に相
当する２つのピークを有し、互いに対称な確率分布にな
るように２値の乱数列を符号化することを特徴とする請
求項１記載の暗号鍵配布方法。
【請求項３】２値乱数の符号化にマンチェスター符号
を用いたことを特徴とする請求項２記載の暗号鍵配布方
法。
【請求項４】計算した確率分布が２値（０，１）に相
当する対称形をなす２つのピークを有することを確認
し、そのような確率分布が確認できない場合は、暗号鍵
配布において盗聴があったと判断して、暗号鍵の配布を
やり直すことを特徴とする請求項１〜３の何れかに記載
の暗号鍵配布方式。
【請求項５】暗号鍵伝送に際し、暗号鍵伝送路とは独
立な通信路を用いて、管理情報として、クロック、及
び、送信信号光の光強度と変調度を受信者に送信するこ
とを特徴とする請求項１〜４の何れかに記載の暗号鍵配
布方法。
【請求項６】受信者は、受信した送信側の光強度情報
と既知の伝送路損失から推定される受信光の光強度期待
値を計算し、その結果と実際に受信した受信光の光強度
とを比較し、計算値と実測値との差に応じて伝送路の異
常程度を判断し、それを手がかりに暗号鍵配布の中止を
決定することを特徴とする請求項５記載の暗号鍵配布方
式。
【請求項７】符号化された乱数列で変調された信号光
を出射する送信装置と、前記送信装置からの前記信号光
を伝送する伝送路と、前記伝送路からの信号光を受信・
復号し、雑音重畳に由来した揺らぎのある復号信号の頻
度分布から確率分布を計算して、前記確率分布の変化に
基づいて盗聴の有無を判別すると共に、誤り率が５％以
下になるように判別閾値を設定して、前記判別閾値に基
づいて乱数列の各ビットのビット値を判別し、判別でき
たビットの位置を送信者に送信する受信装置とから成
り、前記送信装置を出射する信号光の１パルス当たりの
平均光子数Ｎ（Ｎ≧１）及び変調度δと前記伝送路の伝
送損失Ｌとが下記式を満足することを特徴とする暗号鍵
配布装置。 δ≦０．８／Ｎ２δＬ²Ｎ²／Ｎｎ＞０．１ここで、Ｎｎは受信装置の雑音レベルである。
【請求項８】送信装置が、第１の光源と、クロック発
生器と、前記クロック発生器のクロックに基づいて乱数
を発生する乱数発生器と、前記乱数発生器で発生した乱
数を符号化する符号化器と、前記符号化器からの信号に
基づいて第１の光源からの光を変調して信号光とする第
１の変調器と、前記第１の変調器からの信号光を雑音レ
ベル程度の光強度に減衰する減衰器と、クロック光に用
いられる光を発生する第２の光源と、前記クロック発生
器のクロックに基づいて第２の光源からの光を変調して
クロック光とする第２の変調器と、前記減衰器から出射
した信号光と前記前記第２の変調器から出射したクロッ
ク光とを合波して伝送路に出力する合波器とを有し、受
信装置が、信号光とクロック光とを分離する波長分波器
と、前記波長分波器からのクロック光を電気的なクロッ
クに変換するクロック再生装置と、前記波長分波器から
出射した信号光を復号して、電気信号に変換する復号・
検出器と、前記クロック再生装置からのクロックに基づ
いて前記復号・検出器からの電気信号の頻度分布の計
測、頻度分布に基づく確率分布の計算、前記確率分布の
変化に基づいて盗聴の有無の判別、誤り率が５％以下に
なる判別閾値の設定、前記判別閾値に基づく乱数列の各
ビットのビット値の判別、判別できたビット位置の送信
を行う演算装置とを有することを特徴とする請求項７記
載の暗号鍵配布装置。
【請求項９】クロック再生装置が、クロック光を光電
変換する光検出器と、前記光検出器からの電気信号を波
形整形するクロック再生回路とを含み、復号・検出器
が、信号光を１対１に分岐する分波器と、前記分波器で
２つに分岐した信号光の内の一方の信号光を遅延する遅
延器と、前記遅延器を経た信号光と前記分波器からの他
方の信号光との差を電気信号に変換するバランスドデテ
クタとを含むことを特徴とする請求項８記載の暗号鍵配
布装置。
【請求項１０】符号化器は、受信装置側で２値に相当
する２つのピークを有し、互いに対称な確率分布が得ら
れるように乱数列を符号化することを特徴とする請求項
８又は９記載の暗号鍵配布装置。
【請求項１１】乱数列の符号化にマンチェスター符号
を用いたことを特徴とする請求項７〜１０の何れかに記
載の暗号鍵配布装置。