JP4861246B2 - 情報整合化方法、送信者装置、受信者装置、プログラム及び記録媒体 - Google Patents

Description

本発明は、量子ビットを用いて情報を共有化する技術に関し、特に情報整合化技術に関する。

現在広く使われている計算困難性に基づいた暗号方式とは異なり、量子力学の原理によって安全性が保障される鍵配送方式として量子鍵配送プロトコルが提案されており、近年注目を集めている。まず、量子鍵配送プロトコルの手順について簡単に説明する。

＜量子鍵配送プロトコルの手順＞
量子鍵配送では、送信者がランダムなビット列を選び、選んだビット列を光子の偏光等の量子状態に変調して受信者へ送信する。この送信過程で盗聴行為があった場合、量子力学の原理より、送信者が送信したビット列と受信者が受信したビット列の間に違いが生じる。よって、送受信者は送受信されたビット列の一部を公開して比較し、公開したビット列の間に生じている違いの割合（エラーレート）を求めることで、盗聴者が盗聴によって得ている情報量を見積もることができる。BB84プロトコル等、プロトコルごとに変調方法が異なり、情報量の見積もり方に多少差異はあるものの、このステップの目的はビット列を伝送し、そのエラーレートから盗聴者の情報量を見積もることである。

前述のステップを終えると、送受信者は公開せずに残ったビット列を所持している。以下送信者が所有する未公開のビット列をｘ、受信者が所有する未公開のビット列をｙと表す。盗聴行為があった場合、送受信者がそれぞれ所持するビット列ｘとｙの間には違いがあり、さらに、盗聴者はビット列ｘ，ｙに関する情報をある程度知っている。そのため、ビット列ｘ，ｙをそのまま秘密鍵として使用することはできない。そこで、送受信者は以下のような古典的な処理を行うことで、盗聴者に知られていないに等しいビット列（秘密鍵）を共有する。

まず送受信者は、「情報整合化」と呼ばれる誤り訂正処理を行い、等しいビット列を共有する。より詳しく述べると、送受信者は各自が所有するビット列に関する情報を、公開通信路を用いて交換し、交換した情報を利用して等しいビット列を共有する。ただし、公開通信路で送る情報は盗聴者にも知られてしまう。

その後、送受信者は、共有したビット列をハッシュ関数によって短くする「秘密増幅（プライバシー増幅）」と呼ばれる操作を行い、元のビット列より短い鍵（ビット列）を共有する。ここで、共有したビット列のうち盗聴者に漏洩した情報量がｍビットとした場合、共有したビット列からランダムにｍ＋ｓビットを捨てることにより、残ったビット列について盗聴者が持つ情報量を１／２^ｓとできる。よって、当該秘密増幅により、送受信者は、盗聴者に知られていないに等しいビット列（秘密鍵）を共有することができる。

公開せずに残ったビット列ｘの長さに対する最終的に共有したビット列の長さの割合は鍵レートと呼ばれる。効率上、量子鍵配送プロトコルにおける鍵レートはできるだけ高いことが望まれる。一方、盗聴者が得ている情報量に応じた秘密増幅により、十分に鍵長を短くしないと安全性は得られない。量子鍵配送プロトコルの性能尺度として、共有した鍵の安全性が保障される範囲内で鍵レートをどこまで高くできるのかが重要である。

＜従来の情報整合化＞
これまで、前半に説明したビット列の伝送方法を工夫することや、後半に説明した古典的な処理方法を工夫することで、安全性が保障される鍵レートを向上させる試みがなされてきた。特に，後半の古典的な処理のコストは前半の量子通信のコストに比べ安価なため、古典的な処理を工夫することで安全な鍵レートを向上することは非常に重要であり、先行研究として様々な方法が提案されている（非特許文献１〜４）。先行研究では、当該古典的な処理のうち、送受信者が等しいビット列を共有するための処理である「情報整合化」の部分を工夫している。

非特許文献１では、情報整合化を行う際に公開通信路を用いた情報伝送を、送受信者間の双方向で行った方が、送信者から受信者への一方向の情報伝送だけを行った場合より、高い鍵レートで安全性が保障されることを示している。また、非特許文献２では、情報整合化を始める前に、送信者が自分の所有するビット列の各ビットの値を、ある定められた確率で反転させてから情報整合化を行うと、何もせずに情報整合化を行った場合より、高い鍵レートで安全性が保障されることを示している。また、非特許文献３と４では，量子鍵配送プロトコルと関連があるエンタングルメント蒸留プロトコルと呼ばれる技術の処理方法が（非特許文献５）、量子鍵配送プロトコルにおいて利用可能であり、安全性が保障される鍵レートを向上できることを示している。

図１０，１１は、非特許文献３，４の情報整合化方法を説明するためのシーケンス図である。以下、これらの図を用いて非特許文献３，４の情報整合化方法を説明する。なお、非特許文献３，４の情報整合化の説明において「(+)」は排他的論理和演算子

を示す。また、u=(u₁₁,u₁₂,...,u_n1,u_n2)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,2})とし、v=(v₁₁,v₁₂,...,v_n1,v_n2)(v_ik∈{0,1})とし、w=(w₁₁,w₁₂,...,w_n1,w_n2)(w_ik∈{0,1})とし、u_i1=x_i1(+)x_i2とし、v_i1=y_i1(+)y_i2とし、w_i1=u_i1(+)v_i1とし、u_i2=x_i2,とし、v_i2=y_i2,とし、w_i2=u_i2+v_i2とし、u_jをu_j=(u_1j,...,u_nj) (j∈{1,2})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、T₀={i|1≦i≦n, w_i1=0}とし、T₁={i|1≦i≦n, w_i1=1}とし、u₂, v₂, w₂のうち、i∈T₀を満たすビットからなる部分列をそれぞれu_2,T0, v_2,T0, w_2,T0とし、i∈T₁を満たすビットからなる部分列をそれぞれu_2,T1, v_2,T1, w_2,T1とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とする。

まず、送信者装置がx=(x₁₁,x₁₂,...,x_n1,x_n2)を用い、u₁=(u₁₁,...,u_n1)を算出し（ステップＳ１０１）、u₁=(u₁₁,...,u_n1)のシンドロームs₁= u₁・M₁ ^Tを算出し（ステップＳ１０２）、シンドロームs₁を暗号化して受信者装置に送信する（ステップＳ１０３）。受信者装置は、受信した暗号文復号してシンドロームs₁を抽出し（ステップＳ１０４）、y=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v₁=(v₁₁,...,v_n1)を算出し（ステップＳ１０５）、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出し（ステップＳ１０６）、シンドロームs₁とt₁の排他的論理和s₁(+)t₁を算出し（ステップＳ１０７）、s₁(+)t₁を復号してw₁を生成し（ステップＳ１０８）、w₁を送信者装置に送信する（ステップＳ１０９）。

送信者装置は、w₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、u_2,Ｔ0とu_2,Ｔ1算出し（ステップＳ１１０）、受信者装置は、w₁とy=(y₁₁,y₁₂,...,y_n1,y_n2)とを用い、v_2,T0とv_2,Ｔ1を算出（ステップＳ１１１）する。送信者装置は、u_2,T0のシンドロームs_2,T0=u_2,T0・M₂ ^Tを算出し（ステップＳ１１２）、シンドロームs_2,T0を受信者装置に送信する（ステップＳ１１３）。受信者装置は、v_2,T0のシンドロームt_2,T0=v_2,T0・M₂ ^Tを算出し（ステップＳ１１４）、シンドロームs_2,T0とt_2,T0の排他的論理和s_2,T0(+)t_2,T0を算出し（ステップＳ１１５）、s_2,T0(+)t_2,T0を復号してw_2,T0を生成し（ステップＳ１１６）、v_2,T0とw_2,T0とからu_2,T0=v_2,T0 (+) w_2,T0を算出する（ステップＳ１１７）。

送信者装置はu_2,T1を受信者装置に送信する（ステップＳ１１８）。そして、送信者装置と受信者装置とは、u_2,T0とu_2,T1とを共有情報として出力する（ステップＳ１１９，１２０）。
D. Gottesman and H. -K. Lo, "Proof of security of quantum key distribution with two-way classical communications", IEEE Trans. Inform. Theory, vol. 49, no. 2, pp. 457-474, Feb. 2003. R. Renner, N. Gisin and B. Kraus, "Information-theoretic security proof for quantum key distribution protocols", Phys. Rev. A, vol. 72, p. 012332. 2005. X. Ma, C. H. F. Fung, F. Dupuis, K. Chen, K. Tamaki and H. -K. Lo, "Docoy-state quantum key distribution with two-way classical postprocessing", Phys. Rev. A, vol. 74, p. 032330, 2006. S. Watanabe, R. Matsumoto and T. Uyematsu, "Security of quantum key distribution protocol with two-way classical communication assisted by one-time pad encryption", in Proc. of AQIS 2006, Beijing, China, 2006, pp. 11-12. K. G. H. Vollbrecht and F. Vestraete, "Interpolation of reccurence and hashing entanglement distillation protocols", Phys. Rev. A, vol. 71, no. 6, p.062325, June 2005.

しかし、従来の情報整合化方法には、鍵レート改善の余地が残されていると考えられる。

本発明はこのような点に鑑みてなされたものであり、送受信者で共有する情報の安全性が保障される範囲内で、従来よりも高い鍵レートを実現できる情報整合化技術を提供することを目的とする。

本発明では、位数２の有限体をF₂とし、κ(κ≧２)個の有限体F₂の直積が成すベクトル空間をF₂ ^κとし、ベクトル空間F₂ ^κから有限体F₂へ移す線形な関数をξ₁とし、ベクトル空間F₂ ^κとベクトル空間F₂ ^r-1(r∈{2,...,κ})との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ^κの要素について線形な関数をξ_rとし、u=(u₁₁,...,u_1κ,...,u_n1,...,u_nκ)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,...,κ})とし、v=(v₁₁,...,v_1κ,...,v_n1,...,v_nκ)(v_ik∈{0,1})とし、w=(w₁₁,...,w_1κ,...,w_n1,...,w_nκ)(w_ik∈{0,1})とし、u_i1=ξ₁(x_i1,...,x_iκ)とし、v_i1=ξ₁(y_i1,...,y_iκ)とし、w_i1=u_i1+v_i1とし、u_ir=ξ_r(x_i1,...,x_iκ, w_i1,...,w_i(r-1))とし、v_ir=ξ_r(y_i1,...,y_iκ, w_i1,...,w_i(r-1))とし、w_ir=u_ir+v_irとし、u_j=(u_1j,...,u_nj) (j∈{1,...,κ})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、w_i ^r-1=(w_i1,...,w_i(r-1))とし、c(r)∈F₂ ^r-1に対してT_c(r)={i|1≦i≦n, w_i ^r-1=c(r)}とし、u_r, v_r, w_rのうち、i∈T_c(r)を満たすビットからなる部分列をそれぞれu_r,Tc(r), v_r,Tc(r), w_r,Tc(r)とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とし、・^Ｔを・の転置行列とする。

そして、まず、(a-1)送信者装置の記憶部にx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)(x_ik∈{0,1})を格納する過程と、(a-2)受信者装置の記憶部にy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)(y_ik∈{0,1})を格納する過程と、(a-3)送信者装置のパリティ系列変換部が、x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)を用い、u₁=(u₁₁,...,u_n1)を算出する過程と、(a-4)送信者装置のシンドローム計算部が、u₁=(u₁₁,...,u_n1)のシンドロームs₁=u₁・M₁ ^Tを算出する過程と、(a-5)送信者装置の通信部が、シンドロームs₁を受信者装置に送信する過程と、(a-6)受信者装置のパリティ系列変換部が、y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)を用い、v₁=(v₁₁,...,v_n1)を算出する過程と、(a-7)受信者装置のシンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する過程と、(a-8)受信者装置の加算部が、シンドロームs₁とt₁の和s₁+t₁を算出する過程と、(a-9)受信者装置のシンドローム復号部が、シンドロームの和s₁+t₁を復号してw₁を生成する過程と、 (a-10)受信者装置の復号部が、v₁とw₁とからu₁=v₁+w₁を算出する過程と、を実行する。

その後、r=2からr=κまでの各整数rについて、(b-1)受信者装置の通信部が、w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)を送信者装置に送信する過程と、(b-2)送信者装置のビット列分類部が、w_r-1,Tc(r-1)とx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)とを用い、各u_r,Tc(r)を算出する過程と、(b-3)受信者装置のビット列分類部が、w_r-1,Tc(r-1)とy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)とを用い、各v_r,Tc(r)を算出する過程と、(b-4)送信者装置のシンドローム計算部が、各u_r,Tc(r)のシンドロームs_r,Tc(r)=u_r,Tc(r)・M_r ^Tを算出する過程と、(b-5)送信者装置の通信部が、シンドロームs_r,Tc(r)を受信者装置に送信する過程と、(b-6)受信者装置のシンドローム計算部が、v_r,Tc(r)のシンドロームt_r,Tc(r)=v_r,Tc(r)・M_r ^Tを算出する過程と、(b-7)受信者装置の加算部が、シンドロームs_r,Tc(r)とt_r,Tc(r)の和s_r,Tc(r)+t_r,Tc(r)を算出する過程と、(b-8)受信者装置のシンドローム復号部が、シンドロームの和s_r,Tc(r)+t_r,Tc(r)を復号してw_r,Tc(r)を生成する過程と、(b-9)受信者装置の復号部が、v_r,Tc(r)とw_r,Tc(r)とからu_r,Tc(r)=v_r,Tc(r)+w_r,Tc(r)を算出する過程とを実行する。ここで、送信者装置の通信部は、u_r,Tc(r)そのものを受信者装置に送信しない。これにより、盗聴者に漏洩する情報量を低減させ、秘密増幅によって捨てられるビット数を減らし、鍵レートを向上させることができる。
その後、送信者装置及び受信者装置の各出力部が、u₁とu_r,Tc(r) (r∈{2,...,κ})との少なくとも一部を、共有情報として出力する過程を実行する。

また、本発明において好ましくはκ≧３である。これにより、κ≦２の場合（例えば非特許文献３，４の場合）に比べ、u₁=(u₁₁,...,u_n1)に含まれるx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)の情報量を低減させることができ、盗聴者に漏洩する情報量を低減させ、秘密増幅によって捨てられるビット数を減らし、鍵レートを向上させることができる。

また、本発明において、κ＝２とし、関数ξ₁を任意のa₁,a₂∈F₂に対してξ₁(a₁,a₂)=a₁+a₂を満たすものとし、(a-1)送信者装置の記憶部にx=(x₁₁,x₁₂,...,x_n1,x_n2)(x_ik∈{0,1})を格納する過程と、(a-2)受信者装置の記憶部にy=(y₁₁,y₁₂,...,y_n1,y_n2)(y_ik∈{0,1})を格納する過程と、(a-3)送信者装置のパリティ系列変換部が、x=(x₁₁,x₁₂,...,x_n1,x_n2)を用い、u₁=(u₁₁,...,u_n1)を算出する過程と、(a-4)送信者装置のシンドローム計算部が、u₁=(u₁₁,...,u_n1)のシンドロームs₁= u₁・M₁ ^Tを算出する過程と、(a-5)送信者装置の通信部が、シンドロームs₁を受信者装置に送信する過程と、(a-6)受信者装置のパリティ系列変換部が、y=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v₁=(v₁₁,...,v_n1)を算出する過程と、(a-7)受信者装置のシンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する過程と、(a-8)受信者装置の加算部が、シンドロームs₁とt₁の和s₁+t₁を算出する過程と、(a-9)受信者装置のシンドローム復号部が、シンドロームの和s₁+t₁を復号してw₁を生成する過程と、(a-10)受信者装置の復号部が、v₁とw₁とからu₁=v₁+w₁を算出する過程と、(b-1)受信者装置の通信部が、w₁を送信者装置に送信する過程と、(b-2)送信者装置のビット列分類部が、w₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、各u_2,Tc(2)を算出する過程と、(b-3)受信者装置のビット列分類部が、w₁とy=(y₁₁,y₁₂,...,y_n1,y_n2)とを用い、各v_2,Tc(2)を算出する過程と、(b-4)送信者装置のシンドローム計算部が、u_2,T0のシンドロームs_2,T0=u_2,T0・M₂ ^Tを算出する過程と、(b-5)送信者装置の通信部が、シンドロームs_2,T0を受信者装置に送信する過程と、(b-6)受信者装置のシンドローム計算部が、v_2,T0のシンドロームt_2,T0=v_2,T0・M₂ ^Tを算出する過程と、(b-7)受信者装置の加算部が、シンドロームs_2,T0とt_2,T0の和s_2,T0+t_2,T0を算出する過程と、(b-8)受信者装置のシンドローム復号部が、シンドロームの和s_2,T0+t_2,T0を復号してw_2,T0を生成する過程と、(b-9)受信者装置の復号部が、v_2,T0とw_2,T0とからu_2,T0=v_2,T0+w_2,T0を算出する過程と、送信者装置及び受信者装置の各出力部が、u₁とu_2,T0との少なくとも一部を共有情報として出力する過程とを実行する。

ここでu_2,T1は、u_2,T1そのものを送ることなく誤り訂正することができない情報である（詳細は後述）。よって、送信者装置と受信者装置とでu_2,T1を共有するためには、送信者装置が受信者装置へu_2,T1そのものを送らなければならない。しかし、送信者装置が受信者装置へu_2,T1そのものを送ったのではu_2,T1の情報が全て盗聴者に漏洩してしまう可能性があるため、誤り訂正ができたとしてもu_2,T1を秘密の共有情報として用いることはできない。さらに、u_2,T1そのものを送った場合、u_2,T1の情報が全て漏洩してしまうだけではなく、u₁のビット間の関係からその他のu₁に関する情報をも盗聴者に与えてしまう可能性がある。そのため、本発明ではu_2,T1の誤り訂正をあきらめ、送信者装置の通信部はu_2,T1そのものを受信者装置に送信しない（非特許文献３，４との相違点）。これにより、盗聴者に漏洩する情報量を低減させ、秘密増幅によって捨てられるビット数を減らし、鍵レートを向上させることができる。

また、この場合には、例えば、関数ξ₂を任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 1)=0又はξ₂(a₁,a₂, 1)=1を満たすものとし、送信者装置の出力部がu₁とu_2,T0の少なくとも一部とu_2,T1を共有情報として出力し、受信者装置の出力部がu₁とu_2,T0の少なくとも一部とv_2,T1を共有情報として出力してもよい。この場合、u_2,T1=v_2,T1=0又は1となり、xのビットそのものの情報が盗聴者に漏洩することはないため、鍵レートを向上させることができる。

また、関数ξ₂を任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 1)=a₁又はξ₂(a₁,a₂, 1)=a₂を満たすものとし、送信者装置のビット反転部が、u_2,T1の各ビット値をランダムに反転させたu_2,T1'を生成する過程と、送信者装置の通信部が、u_2,T1'を受信者装置に送信する過程と、さらにを実行し、送信者装置及び受信者装置の各出力部が、u₁とu_2,T0とu_2,T1'を共有情報として出力してもよい。この場合、u_2,T1'を送信してもu₁のその他の情報が漏洩することはないため、鍵レートを向上させることができる。

以上のように、本発明では、送受信者で共有する情報の安全性が保障される範囲内で、従来よりも高い鍵レートを実現できる。

以下、本発明を実施するための最良の形態を図面を参照して説明する。以下では、まず本発明の一般化した実施形態について説明を行い、その後、各具体例について説明する。

〔一般化した実施形態〕
＜定義＞
まず、本形態で使用する記号を定義する。

F₂：位数２の有限体
F₂ ^κ：κ(κ≧２)個の有限体F₂の直積が成すベクトル空間（F₂ ^κ= F₂×F₂…×F₂）
ξ₁：ベクトル空間F₂ ^κから有限体F₂へ移す線形な関数〔F₂ ^κ→F₂：任意のベクトルa,b∈F₂ ^κに対してξ₁(a+b)=ξ₁(a)+ξ₁(b)が成り立つ関数〕
ξ_r：ベクトル空間F₂ ^κとベクトル空間F₂ ^r-1(r∈{2,...,κ})との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ^κの要素について線形な関数〔F₂ ^κ×F₂ ^r-1→F₂：任意のベクトルa,b∈F₂ ^κと任意のベクトルc∈F₂と対してξ₁(a+b,c)=ξ₁(a,c)+ξ₁(b,c)が成り立つ関数〕
x：x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)(x_ik∈{0,1},i∈{1,...,n},n≧１,k∈{1,...,κ})
y：y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)(y_ik∈{0,1})
u：u=(u₁₁,...,u_1κ,...,u_n1,...,u_nκ)(u_ik∈{0,1})
v：v=(v₁₁,...,v_1κ,...,v_n1,...,v_nκ)(v_ik∈{0,1})
w：w=(w₁₁,...,w_1κ,...,w_n1,...,w_nκ)(w_ik∈{0,1})
u_i1：u_i1=ξ₁(x_i1,...,x_iκ)
v_i1：v_i1=ξ₁(y_i1,...,y_iκ)
w_i1：w_i1=u_i1+v_i1
u_ir：u_ir=ξ_r(x_i1,...,x_iκ, w_i1,...,w_i(r-1))
v_ir：v_ir=ξ_r(y_i1,...,y_iκ, w_i1,...,w_i(r-1))
w_ir：w_ir=u_ir+v_ir
u_j：u_j=(u_1j,...,u_nj) (j∈{1,...,κ})
v_j：v_j=(v_1j,...,v_nj)
w_j：w_j=(w_1j,...,w_nj)
w_i ^r-1：w_i ^r-1=(w_i1,...,w_i(r-1))
T_c(r)：T_c(r)={i|1≦i≦n, w_i ^r-1=c(r)}(c(r)∈F₂ ^r-1)
u_r,Tc(r)：u_rのうち、i∈T_c(r)を満たすビットからなる部分列
v_r,Tc(r)：v_rのうち、i∈T_c(r)を満たすビットからなる部分列
w_r,Tc(r)：w_rのうち、i∈T_c(r)を満たすビットからなる部分列
M_j：送信者装置と受信者装置との間で共有されるパリティ検査行列
・^Ｔ：・の転置行列
＜構成＞
図１は、本形態の構成を説明するためのブロック図である。以下、この図を用いて本形態の構成を説明する。

本形態では、図１に例示する送信者装置１０と受信者装置２０との間で情報共有化を行う。送信者装置１０及び受信者装置２０は、それぞれ、例えば、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）等からなるノイマン型のコンピュータに所定のプログラムが読み込まれることにより構成される。

図１に例示するように、送信者装置１０は、記憶部１０ａと、パリティ系列変換部１０ｂと、シンドローム計算部１０ｃ，１０ｅと、ビット列分割部１０ｄと、通信部１０ｆと、出力部１０ｇと、制御部１０ｈと、一時メモリ１０ｉとを有する。また、図１に例示するように、受信者装置２０は、記憶部２０ａと、パリティ系列変換部２０ｂと、シンドローム計算部２０ｃ，２０ｈと、加算部２０ｄ，２０ｉと、シンドローム復号部２０ｅ，２０ｊと、復号部２０ｆ，２０ｋと、通信部２０ｍと、出力部２０ｎと、制御部２０ｐと、一時メモリ２０ｑとを有する。また、送信者装置１０と受信者装置２０とは、インターネット等の公開通信路によって接続されているが、公開通信路で通信される情報は、盗聴者に盗聴されている可能性がある。

なお、記憶部１０ａ，２０ａ及び一時メモリ１０ｉ，２０ｑは、例えば、ＲＡＭ、レジスタ、ハードディスク等の補助記憶装置、或いはこれらを結合した記憶領域に相当する。また、通信部１０ｆ，２０ｍは、例えば、所定のプログラムが読み込まれたＣＰＵの制御のもと駆動するネットワークカード等である。また、図１のその他の構成ブロックは、例えば、それぞれの処理を実現するためのプログラムがＣＰＵに読み込まれることにより構成される。

＜情報整合化処理＞
図２，３は、本形態の情報整合化処理を説明するためのシーケンス図である。以下、これらの図を用いて本形態の情報整合化処理を説明する。なお、以下では説明を省略するが、送信者装置１０及び受信者装置２０は、それぞれ、制御部１０ｈ及び２０ｐの制御のもと各処理を実行する。また、特に明示しない限り、送信者装置１０は、演算過程の各データを逐一一時メモリ１０ｉに読み書きし、受信者装置２０は、演算過程の各データを逐一一時メモリ２０ｑに読み書きする。

＜前処理＞
シンドローム計算部１０ｃ，２０ｃ及びシンドローム復号部２０ｅは、nビットの線形符号とそのパリティ検査行列M₁とを共用し、それらを利用可能に構成される。また、シンドローム計算部１０ｅ，２０ｈ及びシンドローム復号部２０ｊは、n_r’ビットの線形符号とそのパリティ検査行列M_rとを共用し、それらを利用可能に構成される。なお、n_r’はu_r,Tc(r)やv_r,Tc(r) のビット長を示す。u_r,Tc(r)やv_r,Tc(r) のビット長は処理の出力に応じて変化する。そのため、取り得る様々のn_r’の線形符号とそのパリティ検査行列M_rとを共用しておくか、或いは共用しておいたビット長の線形符号を短縮・拡張してn_r’ビットの線形符号とそのパリティ検査行列M_rとを共用することにしてもよい。

また、共有される線形符号のレート等は、情報配信を行う量子通信路でのエラーレートに基づいて決定される。すなわち、線形符号の次元をεとし、エラーレートをｅとし、線形符号のビット長で取り得る全空間の次元をσとし、確率p(0≦p≦1)のバイナリエントロピーをh(p)=-p・logp-(1-p)・log(1-p)とした場合に、
ε/σ≦1-h(e²+(1-e)²) …(1)
を満たすように線形符号を決定する。

＜量子ビットを用いた情報配送処理＞
送信者装置１０が、量子ビットを用いた情報配送処理（例えば、BB84プロトコルやsix-stateプロトコル等）によりビット列x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)を受信者装置２０に送信する。これによって、受信者装置２０はビット列y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)を受信する。なお、送信者装置１０から受信者装置２０に配送される情報としては、例えば共通鍵等を例示できるが、必ずしもこれに限定されるものではない。

＜情報整合化処理＞
情報整合化処理では、まず、送信者装置１０にビット列x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)が入力され、当該ビット列xが記憶部１０ａに格納される（ステップＳ１）。また、受信者装置２０にビット列y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)が入力され、当該ビット列yが記憶部２０ａに格納される（ステップＳ２）。

次に、送信者装置１０のパリティ系列変換部１０ｂが、記憶部１０ａから読み込んだビット列x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)を用い、u_i1=ξ₁(x_i1,...,x_iκ)によってu₁=(u₁₁,...,u_n1)を算出する（ステップＳ３）。次に、シンドローム計算部１０ｃにu₁=(u₁₁,...,u_n1)が入力され、シンドローム計算部１０ｃが、u₁=(u₁₁,...,u_n1)のシンドロームs₁=u₁・M₁ ^Tを算出する（ステップＳ４）。そして、通信部１０ｆが、シンドロームs₁を受信者装置２０に送信する（ステップＳ５）。送信されたシンドロームs₁は受信者装置２０の通信部２０ｍで受信され、加算部２０ｄに送られる。

また、受信者装置２０のパリティ系列変換部２０ｂが、記憶部２０ａから読み込んだy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)を用い、v_i1=ξ₁(y_i1,...,y_iκ)によってv₁=(v₁₁,...,v_n1)を算出する（ステップＳ６）。次に、シンドローム計算部２０ｃにv₁=(v₁₁,...,v_n1)が入力され、シンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する（ステップＳ７）。次に、加算部２０ｄにシンドロームs₁とt₁が入力され、加算部２０ｄがシンドロームs₁とt₁の和s₁+t₁を算出する（ステップＳ８）。シンドロームの和s₁+t₁はシンドローム復号部２０ｅに入力され、シンドローム復号部２０ｅは、シンドロームの和s₁+t₁を復号してw₁を生成する（ステップＳ９）。復号方法としては、例えば最小復号法を用いる。最小復号法を用いる場合には、
A(s₁+t₁)={ω∈F₂ ⁿ|ω・M₁ ^T=s₁+t₁) …(2)
の集合A(s₁+t₁)の中から大きさが最少となる元をw₁として選択する。これは、u₁とv₁との食い違いを最小とする元をw₁として選択することに相当する。このような復号が可能なのは、u₁の各ビットとv₁の各ビットとが一致する確率よりも、これらが食い違う確率のほうが遙かに小さいと仮定できるからである。

次に、パリティ系列変換部２０ｂで算出されたv₁と、シンドローム復号部２０ｅで復号されたw₁とが復号部２０ｆに入力され、復号部２０ｆが、v₁とw₁とからu₁=v₁+w₁を算出する（ステップＳ１０）。

その後、受信者装置２０の制御部２０ｐが変数ｒに２を代入し、変数r=2を一時メモリ２０ｑに格納する（ステップＳ１１）。

次に、通信部２０ｍにw_r-1,Tc(r-1)(w_1,Tc(1)=w₁)が入力され、通信部２０ｍが、w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)を送信者装置１０に送信する（ステップＳ１２）。送信されたw_r-1,Tc(r-1)は、送信者装置１０の通信部１０ｆで受信され、ビット列分類部１０ｄに入力される。

ビット列分類部１０ｄには、さらに記憶部１０ａからx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)が読み込まれ、ビット列分類部１０ｄは、w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)とx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)とを用い、各u_r,Tc(r)を算出する。すなわち、ビット列分類部１０ｄは、w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)とx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)とを用い、u_ir=ξ_r(x_i1,...,x_iκ, w_i1,...,w_i(r-1))によってu_r=(u_1r,...,u_nr)を求め、u_rのうち、i∈T_c(r)〔T_c(r)={i|1≦i≦n, w_i ^r-1=c(r)}(c(r)∈F₂ ^r-1), w_i ^r-1=(w_i1,...,w_i(r-1))〕を満たすビットからなる各部分列をu_r,Tc(r)とする（ステップＳ１３）。

同様に、受信者装置２０のビット列分類部２０ｇに、シンドローム復号部２０ｊ（又は２０ｅ）で算出されたw_r-1,Tc(r-1)(w_1,Tc(1)=w₁)と、記憶部２０ａから読み出されたy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)とが入力され、ビット列分類部２０ｇは、これらを用い、各v_r,Tc(r)を算出する（ステップＳ１４）。

また、送信者装置１０のシンドローム計算部１０ｅにu_r,Tc(r)が入力され、シンドローム計算部１０ｅは、各u_r,Tc(r)のシンドロームs_r,Tc(r)=u_r,Tc(r)・M_r ^Tを算出する（ステップＳ１５）。算出されたシンドロームs_r,Tc(r)は、通信部１０ｆによって受信者装置２０に送信され（ステップＳ１６）、受信者装置２０の通信部２０ｍで受信される。

また、受信者装置２０のシンドローム計算部２０ｈにv_r,Tc(r)が入力され、シンドローム計算部２０ｈが、v_r,Tc(r)のシンドロームt_r,Tc(r)=v_r,Tc(r)・M_r ^Tを算出する（ステップＳ１７）。その後、加算部２０ｉに、通信部２０ｍで受信されたシンドロームs_r,Tc(r)と、シンドローム計算部２０ｈで算出されたシンドロームt_r,Tc(r)とが入力され、加算部２０ｉが、シンドロームs_r,Tc(r)とt_r,Tc(r)の和s_r,Tc(r)+t_r,Tc(r)を算出する（ステップＳ１８）。次に、シンドローム復号部２０ｊにシンドロームの和s_r,Tc(r)+t_r,Tc(r)が入力され、シンドローム復号部２０ｊが、シンドロームの和s_r,Tc(r)+t_r,Tc(r)を復号してw_r,Tc(r)を生成する（ステップＳ１９）。なお、復号できないシンドロームの和s_r,Tc(r)+t_r,Tc(r)が存在する場合、シンドローム復号部２０ｊはその復号を行わないこととしてもよいし、復号できないシンドロームの和s_r,Tc(r)+t_r,Tc(r)に対応するシンドロームs_r,Tc(r)を生成・送信しないこととしてもよい。なお、シンドロームの和s_r,Tc(r)+t_r,Tc(r)が復号できない場合とは、u_r,Tc(r)の各ビットとv_r,Tc(r)の各ビットとが一致する確率とこれらが食い違う確率とが同程度のため解（復号結果）が定まらない場合を意味する（最小復号法の説明参照）。

その後、シンドローム復号部２０ｊで復号されたw_r,Tc(r)と、ビット列分類部２０ｇで算出されたv_r,Tc(r)とが復号部２０ｋに入力され、復号部２０ｋが、v_r,Tc(r)とw_r,Tc(r)とからu_r,Tc(r)=v_r,Tc(r)+w_r,Tc(r)を算出する（ステップＳ２０）。

次に、制御部２０ｐが一時メモリ２０ｑに格納された変数ｒがκであるか否かを判定する（ステップＳ２１）。ここで、変数ｒ=κでなければ、制御部２０ｐはr=r+κとした変数ｒを一時メモリ２０ｑに上書きし、処理をステップＳ１２に戻す。一方、変数ｒ=κであれば、送信者装置１０及び受信者装置２０の各出力部１０ｇ，２０ｎが、u₁とu_r,Tc(r) (r∈{2,...,κ})を共有情報として出力する。或いは、u₁とu_r,Tc(r) (r∈{2,...,κ})との一部のみを共有情報として出力してもよい。
なお、以上の処理において送信者装置１０の通信部１０ｆは、u_r,Tc(r)そのものを受信者装置２０に送信しない。

＜秘密増幅処理＞
その後、送信者装置１０及び受信者装置２０からそれぞれ共有情報として出力された各情報に対し、秘密増幅処理が実行され、これにより安全性が向上された情報（例えば秘密鍵）が共有される。

〔κ=２の具体例〕
次に、κ=２とした場合の具体例を説明する。その他の定義は前述した〔一般化した実施形態〕の通りである。
ただし、この例では、関数ξ₁は任意のa₁,a₂∈F₂に対してξ₁(a₁,a₂)=a₁+a₂を満たし、関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 0)=a₁を満たし、ξ₂(a₁,a₂, 1)=0を満たすものとする。なお、これは一例であって、関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 0)=a₂を満たすものであってもよいし、ξ₂(a₁,a₂, 1)=1を満たすものであってもよい。また、前述の関数ξ₁の定義を満たし、なおかつ、任意のa₁,a₂∈F₂に対してξ₁(a₁,a₂)=a₁+a₂を満たす関数ξ₁としては、例えばa₁とa₂との排他的論理和関数を例示できる。

図４は、κ=２とした場合の具体例を説明するための送信者装置１０と受信者装置２０のブロック図である。また、図５，６は、κ=２とした場合の具体例を説明するためのシーケンス図である。

構成、前処理、量子ビットを用いた情報配送処理、秘密増幅処理については、前述した〔一般化した実施形態〕のとおりであるため説明を省略する。以下では、κ=２とした場合の情報整合化処理のみを説明する。

＜κ=２とした場合の情報整合化処理＞
κ=２の場合、ビット列x=(x₁₁,x₁₂,...,x_n1,x_n2)(x_ik∈{0,1})となり、y=(y₁₁,y₁₂,...,y_n1,y_n2)(y_ik∈{0,1})となる。まず、送信者装置１０にビット列x=(x₁₁,x₁₂,...,x_n1,x_n2)が入力され、当該ビット列xが記憶部１０ａに格納される（ステップＳ３１）。また、受信者装置２０にビット列y=(y₁₁,y₁₂,...,y_n1,y_n2)が入力され、当該ビット列yが記憶部２０ａに格納される（ステップＳ３２）。例えば、n=11の場合の一例として、x=(0,1,1,0,1,1,1,1,1,0,0,0,0,0,1,1,0,1,1,0,1,0)が記憶部１０ａに格納され、y=(0,1,1,1,1,1,0,1,1,0,1,1,0,0,1,1,1,1,0,0,1,0)が記憶部２０ａに格納される。

次に、送信者装置１０のパリティ系列変換部１０ｂが、記憶部１０ａから読み込んだビット列x=(x₁₁,x₁₂,...,x_n1,x_n2)を用い、u_i1=ξ₁(x_i1,x_i2)によってu₁=(u₁₁,...,u_n1)を算出する（ステップＳ３３）。例えば、x=(0,1,1,0,1,1,1,1,1,0,0,0,0,0,1,1,0,1,1,0,1,0)であり、関数ξ₁が排他的論理和関数であった場合、u₁=(1,1,0,0,1,0,0,0,1,1,1)が算出される。

次に、シンドローム計算部１０ｃにu₁=(u₁₁,...,u_n1)が入力され、シンドローム計算部１０ｃが、u₁=(u₁₁,...,u_n1)のシンドロームs₁=u₁・M₁ ^Tを算出する（ステップＳ３４）。例えば、u₁=(1,1,0,0,1,0,0,0,1,1,1)であり、パリティ検査行列M₁が、

であった場合、シンドロームs₁=(0,1,0,1,1,0,0,1,0,0)が算出される。

算出されたシンドロームs₁は、通信部１０ｆによって受信者装置２０に送信される（ステップＳ３５）。送信されたシンドロームs₁は受信者装置２０の通信部２０ｍで受信され、加算部２０ｄに送られる。

また、受信者装置２０のパリティ系列変換部２０ｂが、記憶部２０ａから読み込んだy=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v_i1=ξ₁(y_i1,y_i2)によってv₁=(v₁₁,...,v_n1)を算出する（ステップＳ３６）。例えば、y=(0,1,1,1,1,1,0,1,1,0,1,1,0,0,1,1,1,1,0,0,1,0)であり、関数ξ₁が排他的論理和関数であった場合、v₁=(1,0,0,1,1,0,0,0,0,0,1)が算出される。

次に、シンドローム計算部２０ｃにv₁=(v₁₁,...,v_n1)が入力され、シンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する（ステップＳ３７）。例えば、v₁=(1,0,0,1,1,0,0,0,0,0,1)であり、パリティ検査行列M₁が式（３）の行列であった場合、シンドロームt₁=(1,0,1,0,1,0,0,0,0,1)が算出される。

次に、加算部２０ｄにシンドロームs₁とt₁が入力され、加算部２０ｄがシンドロームs₁とt₁の和s₁+t₁を算出する（ステップＳ３８）。例えば、シンドロームs₁=(0,1,0,1,1,0,0,1,0,0)であり、シンドロームt₁=(1,0,1,0,1,0,0,0,0,1)であり、関数ξ₁が排他的論理和関数であった場合、s₁とt₁とのビット毎の排他的論理和（1,1,1,1,0,0,0,1,0,1）が算出される。

シンドロームの和s₁+t₁はシンドローム復号部２０ｅに入力され、シンドローム復号部２０ｅは、シンドロームの和s₁+t₁を復号してw₁を生成する（ステップＳ３９）。復号方法としては、例えば最小復号法を用いる。s₁とt₁とのビット毎の排他的論理和（1,1,1,1,0,0,0,1,0,1）を式（３）のパリティ検査行列M₁を用いて復号した場合、w₁=(0,1,0,1,0,0,0,0,1,1,0)となる。w₁=(0,1,0,1,0,0,0,0,1,1,0)は、u₁=(1,1,0,0,1,0,0,0,1,1,1)とv₁=(1,0,0,1,1,0,0,0,0,0,1)との排他的論理和となっている。すなわち、w₁の各ビットは、u₁の各ビットとv₁の各ビットとが同一であるか（w₁のビット値「0」）異なっているか（w₁のビット値「1」）を示している。つまり、w₁の各ビットは、xのパリティ列u₁とyのパリティ列v₁との一致・不一致をパリティビット毎に示している。

次に、パリティ系列変換部２０ｂで算出されたv₁と、シンドローム復号部２０ｅで復号されたw₁とが復号部２０ｆに入力され、復号部２０ｆが、v₁とw₁とからu₁=v₁+w₁を算出する（ステップＳ４０）。例えば、関数ξ₁が排他的論理和関数であり、v₁=(1,0,0,1,1,0,0,0,0,0,1)、w₁=(0,1,0,1,0,0,0,0,1,1,0)であった場合、それらのビット毎の排他的論理和u₁=(1,1,0,0,1,0,0,0,1,1,1)が算出される。

次に、通信部２０ｍにw₁が入力され、通信部２０ｍが、w₁を送信者装置１０に送信する（ステップＳ４１）。送信されたw₁は、送信者装置１０の通信部１０ｆで受信され、ビット列分類部１０ｄに入力される。

ビット列分類部１０ｄには、さらに記憶部１０ａからx=(x₁₁,x₁₂,...,x_n1,x_n2)が読み込まれ、ビット列分類部１０ｄは、w₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、各u_2,Tc(2)を算出する（ステップＳ４２）。すなわち、ビット列分類部１０ｄは、w₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、u_i2=ξ₂(x_i1,x_i2, w_i1)によってu₂=(u₁₂,...,u_n2)を求め、u₂のうち、i∈T_c(2)〔T_c(2)={i|1≦i≦n, w_i ¹=c(2)}(c(2)∈F₂), w_i ¹=(w_i1)〕を満たすビットからなる各部分列をu_2,Tc(2)とする。例えば、w₁=(0,1,0,1,0,0,0,0,1,1,0)であり、x=(0,1,1,0,1,1,1,1,1,0,0,0,0,0,1,1,0,1,1,0,1,0)であり、ξ₂(a₁,a₂, 0)=a₁及びξ₂(a₁,a₂, 1)=0である場合、ビット列分類部１０ｄは、まず、u_i2=ξ₂(x_i1,x_i2, w_i1)によってu₂=(0,0,1,0,1,0,0,1,0,0,1)を求める。次にビット列分類部１０ｄは、u₂のうち、i∈T₀〔T₀={i|1≦i≦n, w_i1=0}を満たすビットからなる部分列u_2,T0=(0,1,1,0,0,1,1)と、u₂のうち、i∈T₁〔T₁={i|1≦i≦n, w_i1=1}を満たすビットからなる部分列u_2,T1=(0,0,0,0)とを求める。

また、受信者装置２０のビット列分類部２０ｇに、シンドローム復号部２０ｅで算出されたw₁と、記憶部２０ａから読み出されたy=(y₁₁,y₁₂,...,y_n1,y_n2)とが入力され、ビット列分類部２０ｇは、これらを用い、各v_2,Tc(2)を算出する（ステップＳ４３）。すなわち、ビット列分類部２０ｇは、w₁とy=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v_i2=ξ₂(y_i1,y_i2, w_i1)によってv₂=(v₁₂,...,v_n2)を求め、v₂のうち、i∈T_c(2)〔T_c(2)={i|1≦i≦n, w_i ¹=c(2)}(c(2)∈F₂), w_i ¹=(w_i1)〕を満たすビットからなる各部分列をv_2,Tc(2)とする。例えば、w₁=(0,1,0,1,0,0,0,0,1,1,0)であり、y=(0,1,1,1,1,1,0,1,1,0,1,1,0,0,1,1,1,1,0,0,1,0)であり、ξ₂(a₁,a₂, 0)=a₁及びξ₂(a₁,a₂, 1)=0である場合、ビット列分類部２０ｇは、まず、v_i2=ξ₂(y_i1,y_i2, w_i1)によってv₂=(0,0,1,0,1,1,0,1,0,0,1)を求める。次にビット列分類部２０ｇは、v₂のうち、i∈T₀〔T₀={i|1≦i≦n, w_i1=0}を満たすビットからなる部分列v_2,T0=(0,1,1,1,0,1,1)と、v₂のうち、i∈T₁〔T₁={i|1≦i≦n, w_i1=1}を満たすビットからなる部分列v_2,T1=(0,0,0,0)とを求める。

なお、w_i1=1の場合、u_i1=ξ₁(x_i1,x_i2)とv_i1=ξ₁(y_i1,y_i2)とは相違している（誤りが生じている）。しかし、その誤り方には偏りはない。例えば、(x_i1,x_i2)=(0,0)及び(y_i1,y_i2)=(1,0)であるためにw_i1=1となる確率と、(x_i1,x_i2)=(1,0)及び(y_i1,y_i2)=(1,1)であるためにw_i1=1となるとは等しい。そのため、w_i1=1となるビット列(x_i1,x_i2)と(y_i1,y_i2)との誤り訂正を、シンドロームを用いて行うことはできない（最小復号法の説明参照）。これらの誤り訂正を行う場合には、ビットそのもの（例えばx_i1）を送信者装置１０から受信者装置２０に送信しなければならない。しかし、ビットそのものを送信したのでは盗聴者にｘの情報の一部が漏えいしてしまう。そのため、本実施例では、w_i1=1となるビット列(x_i1,x_i2)及び(y_i1,y_i2)の誤り訂正を行わず、これらを共有情報とはしない。これにより、漏えい情報量を低減させ、後段の秘密増幅によって削除されるビット数を減らし、鍵レートを向上させる。なお、本実施例ではξ₂(a₁,a₂, 1)=0とすることによって、w_i1=1となるビット列(x_i1,x_i2)及び(y_i1,y_i2)に対応するu_2,T1及びv_2,T1を共にゼロベクトルとしているが、u_2,T1及びv_2,T1を破棄するのであればξ₂(a₁,a₂, 1)=a₁であってもξ₂(a₁,a₂, 1)=a₂であってもかまわない。

次に、送信者装置１０のシンドローム計算部１０ｅにu_2,T0が入力され、シンドローム計算部１０ｅは、u_2,T0のシンドロームs_2,T0=u_2,T0・M₂ ^Tを算出する（ステップＳ４４）。例えば、u_2,T0=(0,1,1,0,0,1,1)であり、パリティ検査行列M₂が、

である場合、s_2,T0=(0,0,0)が算出される。

算出されたシンドロームs_2,T0は、通信部１０ｆによって受信者装置２０に送信され（ステップＳ４５）、受信者装置２０の通信部２０ｍで受信される。

また、受信者装置２０のシンドローム計算部２０ｈにv_2,T0が入力され、シンドローム計算部２０ｈが、v_2,T0のシンドロームt_2,T0=v_2,T0・M₂ ^Tを算出する（ステップＳ４６）。v_2,T0=(0,1,1,1,0,1,1) であり、パリティ検査行列M₂が式（４）に示す行列である場合、t_2,T0=(0,1,1)が算出される。

その後、加算部２０ｉに、通信部２０ｍで受信されたシンドロームs_2,T0と、シンドローム計算部２０ｈで算出されたシンドロームt_2,T0とが入力され、加算部２０ｉが、シンドロームs_2,T0とt_2,T0の和s_2,T0+t_2,T0を算出する（ステップＳ４７）。例えば、s_2,T0=(0,0,0)であり、t_2,T0=(0,1,1)である場合、(0,1,1)が算出される。

次に、シンドローム復号部２０ｊにシンドロームの和s_2,T0+t_2,T0が入力され、シンドローム復号部２０ｊが、シンドロームの和s_2,T0+t_2,T0を復号してw_2,T0を生成する（ステップＳ４８）。例えば、シンドロームの和が(0,1,1)である場合、w_2,T0=(0,0,0,1,0,0,0)が生成される。

その後、シンドローム復号部２０ｊで復号されたw_2,T0と、ビット列分類部２０ｇで算出されたv_2,T0とが復号部２０ｋに入力され、復号部２０ｋが、v_2,T0とw_2,T0とからu_2,T0=v_2,T0+w_2,T0を算出する（ステップＳ４９）。例えば、v_2,T0=(0,1,1,1,0,1,1)であり、w_2,T0=(0,0,0,1,0,0,0)である場合、u_2,T0=(0,1,1,0,0,1,1)を算出する。

そして、送信者装置１０及び受信者装置２０の各出力部１０ｇ，２０ｎが、u₁とu_2,T0とを共有情報として出力する（ステップＳ５０、５１）。なお、送信者装置１０及び受信者装置２０の各出力部１０ｇ，２０ｎが、u₁とu_2,T0との一部のみを共有情報として出力することとしてもよいし、送信者装置１０の出力部１０ｇがu₁とu_2,T0（又それらの一部）とu_2,T1=(0,...,0)を共有情報として出力し、受信者装置２０の出力部２０ｎがu₁とu_2,T0（又それらの一部）とv_2,T1=(0,...,0)を共有情報として出力することとしてもよい。

また、関数ξ₂を任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 1)=a₁又はξ₂(a₁,a₂, 1)=a₂を満たすものとし、送信者装置１０が、u_2,T1の各ビット値をランダムに反転させたu_2,T1'を生成し、これを受信者装置２０と共有する手順でもよい。

図７は、この変形例を説明するための送信者装置２１０と受信者装置２２０のブロック図である。また、図８は、この変形例を説明するためのシーケンス図である。

この変形例の送信者装置２１０は、前述の送信者装置１０にビット反転部２１０ｊを追加したものであり、その他の構成は送信者装置１０と同じである。また、受信者装置２２０は、u_2,T1の各ビット値をランダムに反転させたu_2,T1'を送信者装置２１０から受信し、出力する点のみが受信者装置２０と相違する。

この変形例の場合、前述と同様にステップＳ３１〜Ｓ４９の処理を実行した後、送信者装置のビット反転部２１０ｊが、ビット列分類部１０ｄで生成されたu_2,T1の各ビット値をランダムに反転させたu_2,T1'を生成し（ステップＳ７０）、通信部１０ｆと出力部１０ｇに送られる。通信部１０ｆはu_2,T1'を受信者装置２２０に送信する（ステップＳ７１）。送信されたu_2,T1'は受信者装置２２０の通信部２０ｍに受信され、出力部２０ｎに送られる。その後、送信者装置２１０及び受信者装置２２０の各出力部１０ｇ，２０ｎは、u₁とu_2,T0とu_2,T1'を共有情報として出力する（ステップＳ７２，７３）。

〔本形態の情報整合化の性能〕
次に、非特許文献１〜４の情報整合化と比較することによって本形態の情報整合化の性能を示す。
まず、各情報整合化を行った場合において、安全性が保たれる(ε-secure)範囲内での鍵レートの最大値KR_maxは以下の式で示される。

＜本形態の情報整合化（κ=2）を行った場合の鍵レートの最大値KR_max＞

＜非特許文献１の情報整合化を行った場合の鍵レートの最大値KR_max＞

＜非特許文献２の情報整合化を行った場合の鍵レートの最大値KR_max＞

＜非特許文献３，４の情報整合化を行った場合の鍵レートの最大値KR_max＞

図９は、本形態の情報整合化を行った場合と非特許文献１〜４の情報整合化を行った場合とでの鍵レートの違いを示したグラフである。ここで、図９（ａ）は、six-stateプロトコルにおける比較であり、図９（ｂ）は、BB84プロトコルにおける比較である。また、これらのグラフの横軸はエラーレートを示し、縦軸は鍵レートを示している。

これらのグラフから分かるように、本形態の情報整合化を行った場合、非特許文献１〜４の情報整合化を行った場合よりも鍵レートが向上する。また、本形態の情報整合化の方法では、非特許文献３と４のように送信者装置と受信者装置とで暗号情報をやり取りする必要がないため、暗号化のための鍵を事前に共有しておく必要もない。

なお、本発明は上述の実施の形態に限定されるものではなく、その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよいが、具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

本発明の産業上の利用分野としては、例えば、共通鍵暗号の鍵配送等を例示できる。

図１は、本形態の構成を説明するためのブロック図である。 図２は、本形態の情報整合化処理を説明するためのシーケンス図である。 図３は、本形態の情報整合化処理を説明するためのシーケンス図である。 図４は、κ=２とした場合の具体例を説明するための送信者装置と受信者装置のブロック図である。 図５は、κ=２とした場合の具体例を説明するためのシーケンス図である。 図６は、κ=２とした場合の具体例を説明するためのシーケンス図である。 図７は、変形例を説明するための送信者装置と受信者装置のブロック図である。 図８は、変形例を説明するためのシーケンス図である。 図９は、本形態の情報整合化を行った場合と非特許文献１〜４の情報整合化を行った場合とでの鍵レートの違いを示したグラフである。 図１０は、非特許文献３，４の情報整合化方法を説明するためのシーケンス図である。 図１１は、非特許文献３，４の情報整合化方法を説明するためのシーケンス図である。

符号の説明

１０，２１０ 送信者装置
２０，２２０ 受信者装置

Claims (13)

1. 送信者装置と受信者装置との間で実行する情報整合化方法であって、
   位数２の有限体をF₂とし、κ(κ≧２)個の有限体F₂の直積が成すベクトル空間をF₂ ^κとし、ベクトル空間F₂ ^κから有限体F₂へ移す線形な関数をξ₁とし、ベクトル空間F₂ ^κとベクトル空間F₂ ^r-1(r∈{2,...,κ})との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ^κの要素について線形な関数をξ_rとし、u=(u₁₁,...,u_1κ,...,u_n1,...,u_nκ)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,...,κ})とし、v=(v₁₁,...,v_1κ,...,v_n1,...,v_nκ)(v_ik∈{0,1})とし、w=(w₁₁,...,w_1κ,...,w_n1,...,w_nκ)(w_ik∈{0,1})とし、u_i1=ξ₁(x_i1,...,x_iκ)とし、v_i1=ξ₁(y_i1,...,y_iκ)とし、w_i1=u_i1+v_i1とし、u_ir=ξ_r(x_i1,...,x_iκ, w_i1,...,w_i(r-1))とし、v_ir=ξ_r(y_i1,...,y_iκ, w_i1,...,w_i(r-1))とし、w_ir=u_ir+v_irとし、u_j=(u_1j,...,u_nj) (j∈{1,...,κ})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、w_i ^r-1=(w_i1,...,w_i(r-1))とし、c(r)∈F₂ ^r-1に対してT_c(r)={i|1≦i≦n, w_i ^r-1=c(r)}とし、u_r, v_r, w_rのうち、i∈T_c(r)を満たすビットからなる部分列をそれぞれu_r,Tc(r), v_r,Tc(r), w_r,Tc(r)とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とし、・^Ｔを・の転置行列とした場合における、
   (a-1)送信者装置の記憶部にx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)(x_ik∈{0,1})を格納する過程と、
   (a-2)受信者装置の記憶部にy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)(y_ik∈{0,1})を格納する過程と、
   (a-3)送信者装置のパリティ系列変換部が、x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)を用い、u₁=(u₁₁,...,u_n1)を算出する過程と、
   (a-4)送信者装置のシンドローム計算部が、u₁=(u₁₁,...,u_n1)のシンドロームs₁=u₁・M₁ ^Tを算出する過程と、
   (a-5)送信者装置の通信部が、シンドロームs₁を受信者装置に送信する過程と、
   (a-6)受信者装置のパリティ系列変換部が、y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)を用い、v₁=(v₁₁,...,v_n1)を算出する過程と、
   (a-7)受信者装置のシンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する過程と、
   (a-8)受信者装置の加算部が、シンドロームs₁とt₁の和s₁+t₁を算出する過程と、
   (a-9)受信者装置のシンドローム復号部が、シンドロームの和s₁+t₁を復号してw₁を生成する過程と、
   (a-10)受信者装置の復号部が、v₁とw₁とからu₁=v₁+w₁を算出する過程と、
   を実行し、
   r=2からr=κまでの各整数rについて、
   (b-1)受信者装置の通信部が、w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)を送信者装置に送信する過程と、
   (b-2)送信者装置のビット列分類部が、w_r-1,Tc(r-1)とx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)とを用い、各u_r,Tc(r)を算出する過程と、
   (b-3)受信者装置のビット列分類部が、w_r-1,Tc(r-1)とy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)とを用い、各v_r,Tc(r)を算出する過程と、
   (b-4)送信者装置のシンドローム計算部が、各u_r,Tc(r)のシンドロームs_r,Tc(r)=u_r,Tc(r)・M_r ^Tを算出する過程と、
   (b-5)送信者装置の通信部が、シンドロームs_r,Tc(r)を受信者装置に送信する過程と、
   (b-6)受信者装置のシンドローム計算部が、v_r,Tc(r)のシンドロームt_r,Tc(r)=v_r,Tc(r)・M_r ^Tを算出する過程と、
   (b-7)受信者装置の加算部が、シンドロームs_r,Tc(r)とt_r,Tc(r)の和s_r,Tc(r)+t_r,Tc(r)を算出する過程と、
   (b-8)受信者装置のシンドローム復号部が、シンドロームの和s_r,Tc(r)+t_r,Tc(r)を復号してw_r,Tc(r)を生成する過程と、
   (b-9)受信者装置の復号部が、v_r,Tc(r)とw_r,Tc(r)とからu_r,Tc(r)=v_r,Tc(r)+w_r,Tc(r)を算出する過程と、
   を実行し、
   送信者装置及び受信者装置の各出力部が、u₁とu_r,Tc(r) (r∈{2,...,κ})との少なくとも一部を、共有情報として出力する過程を実行し、
   送信者装置の通信部は、u_r,Tc(r)そのものを受信者装置に送信しない、
   ことを特徴とする情報整合化方法。
2. 請求項１に記載の情報整合化方法であって、
   κ≧３であることを特徴とする情報整合化方法。
3. 送信者装置と受信者装置との間で実行する情報整合化方法であって、
   位数２の有限体をF₂とし、２個の有限体F₂の直積が成すベクトル空間をF₂ ²とし、ベクトル空間F₂ ²から有限体F₂へ移す線形な関数をξ₁とし、当該関数ξ₁は任意のa₁,a₂∈F₂に対してξ₁(a₁,a₂)=a₁+a₂を満たし、ベクトル空間F₂ ²とベクトル空間F₂との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ²の要素について線形な関数をξ₂とし、当該関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 0)=a₁又はξ₂(a₁,a₂, 0)=a₂を満たし、u=(u₁₁,u₁₂,...,u_n1,u_n2)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,2})とし、v=(v₁₁,v₁₂,...,v_n1,v_n2)(v_ik∈{0,1})とし、w=(w₁₁,w₁₂,...,w_n1,w_n2)(w_ik∈{0,1})とし、u_i1=ξ₁(x_i1,x_i2)とし、v_i1=ξ₁(y_i1,y_i2)とし、w_i1=u_i1+v_i1とし、u_i2=ξ₂(x_i1,x_i2, w_i1)とし、v_i2=ξ₂(y_i1,y_i2, w_i1)とし、w_i2=u_i2+v_i2とし、u_jをu_j=(u_1j,...,u_nj) (j∈{1,2})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、w_i ¹=(w_i1)とし、c(2)∈{0,1}に対してT_c(2)={i|1≦i≦n, w_i ¹=c(2)}とし、u₂, v₂, w₂のうち、i∈T_c(2)を満たすビットからなる部分列をそれぞれu_2,Tc(2), v_2,Tc(2), w_2,Tc(2)とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とし、・^Ｔを・の転置行列とした場合における、
   (a-1)送信者装置の記憶部にx=(x₁₁,x₁₂,...,x_n1,x_n2)(x_ik∈{0,1})を格納する過程と、
   (a-2)受信者装置の記憶部にy=(y₁₁,y₁₂,...,y_n1,y_n2)(y_ik∈{0,1})を格納する過程と、
   (a-3)送信者装置のパリティ系列変換部が、x=(x₁₁,x₁₂,...,x_n1,x_n2)を用い、u₁=(u₁₁,...,u_n1)を算出する過程と、
   (a-4)送信者装置のシンドローム計算部が、u₁=(u₁₁,...,u_n1)のシンドロームs₁= u₁・M₁ ^Tを算出する過程と、
   (a-5)送信者装置の通信部が、シンドロームs₁を受信者装置に送信する過程と、
   (a-6)受信者装置のパリティ系列変換部が、y=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v₁=(v₁₁,...,v_n1)を算出する過程と、
   (a-7)受信者装置のシンドローム計算部が、v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する過程と、
   (a-8)受信者装置の加算部が、シンドロームs₁とt₁の和s₁+t₁を算出する過程と、
   (a-9)受信者装置のシンドローム復号部が、シンドロームの和s₁+t₁を復号してw₁を生成する過程と、
   (a-10)受信者装置の復号部が、v₁とw₁とからu₁=v₁+w₁を算出する過程と、
   (b-1)受信者装置の通信部が、w₁を送信者装置に送信する過程と、
   (b-2)送信者装置のビット列分類部が、w₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、各u_2,Tc(2)を算出する過程と、
   (b-3)受信者装置のビット列分類部が、w₁とy=(y₁₁,y₁₂,...,y_n1,y_n2)とを用い、各v_2,Tc(2)を算出する過程と、
   (b-4)送信者装置のシンドローム計算部が、u_2,T0のシンドロームs_2,T0=u_2,T0・M₂ ^Tを算出する過程と、
   (b-5)送信者装置の通信部が、シンドロームs_2,T0を受信者装置に送信する過程と、
   (b-6)受信者装置のシンドローム計算部が、v_2,T0のシンドロームt_2,T0=v_2,T0・M₂ ^Tを算出する過程と、
   (b-7)受信者装置の加算部が、シンドロームs_2,T0とt_2,T0の和s_2,T0+t_2,T0を算出する過程と、
   (b-8)受信者装置のシンドローム復号部が、シンドロームの和s_2,T0+t_2,T0を復号してw_2,T0を生成する過程と、
   (b-9)受信者装置の復号部が、v_2,T0とw_2,T0とからu_2,T0=v_2,T0+w_2,T0を算出する過程と、
   送信者装置及び受信者装置の各出力部が、u₁とu_2,T0との少なくとも一部を共有情報として出力する過程と、を実行し、
   送信者装置の通信部は、u_2,T1そのものを受信者装置に送信しない、
   ことを特徴とする情報整合化方法。
4. 請求項３に記載の情報整合化方法であって、
   関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 1)=0又はξ₂(a₁,a₂, 1)=1を満たし、
   送信者装置の出力部がu₁とu_2,T0の少なくとも一部とu_2,T1を共有情報として出力する過程と、
   受信者装置の出力部がu₁とu_2,T0の少なくとも一部とv_2,T1を共有情報として出力する過程と、を実行する、
   ことを特徴とする情報整合化方法。
5. 請求項３に記載の情報整合化方法であって、
   関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 1)=a₁又はξ₂(a₁,a₂, 1)=a₂を満たし、
   当該情報整合化方法では、さらに
   送信者装置のビット反転部が、u_2,T1の各ビット値をランダムに反転させたu_2,T1'を生成する過程と、
   送信者装置の通信部が、u_2,T1'を受信者装置に送信する過程と、
   を実行し、
   送信者装置及び受信者装置の各出力部は、u₁とu_2,T0とu_2,T1'を共有情報として出力する、
   ことを特徴とする情報整合化方法。
6. 受信者装置と情報整合化を行う送信者装置であって、
   位数２の有限体をF₂とし、κ(κ≧３)個の有限体F₂の直積が成すベクトル空間をF₂ ^κとし、ベクトル空間F₂ ^κから有限体F₂へ移す線形な関数をξ₁とし、ベクトル空間F₂ ^κとベクトル空間F₂ ^r-1(r∈{2,...,κ})との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ^κの要素について線形な関数をξ_rとし、u=(u₁₁,...,u_1κ,...,u_n1,...,u_nκ)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,...,κ})とし、v=(v₁₁,...,v_1κ,...,v_n1,...,v_nκ)(v_ik∈{0,1})とし、w=(w₁₁,...,w_1κ,...,w_n1,...,w_nκ)(w_ik∈{0,1})とし、u_i1=ξ₁(x_i1,...,x_iκ)とし、v_i1=ξ₁(y_i1,...,y_iκ)とし、w_i1=u_i1+v_i1とし、u_ir=ξ_r(x_i1,...,x_iκ, w_i1,...,w_i(r-1))とし、v_ir=ξ_r(y_i1,...,y_iκ, w_i1,...,w_i(r-1))とし、w_ir=u_ir+v_irとし、u_j=(u_1j,...,u_nj) (j∈{1,...,κ})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、w_i ^r-1=(w_i1,...,w_i(r-1))とし、c(r)∈F₂ ^r-1に対してT_c(r)={i|1≦i≦n, w_i ^r-1=c(r)}とし、u_r, v_r, w_rのうち、i∈T_c(r)を満たすビットからなる部分列をそれぞれu_r,Tc(r), v_r,Tc(r), w_r,Tc(r)とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とし、・^Ｔを・の転置行列とした場合における、
   x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)(x_ik∈{0,1})を格納する記憶部と、
   x=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)を用い、u₁=(u₁₁,...,u_n1)を算出するパリティ系列変換部と、
   u₁=(u₁₁,...,u_n1)のシンドロームs₁=u₁・M₁ ^Tを算出する第１シンドローム計算部と、
   シンドロームs₁を受信者装置に送信する第１通信部と、
   受信者装置から送信されたw_r-1,Tc(r-1)(w_1,Tc(1)=w₁)とx=(x₁₁,...,x_1κ,...,x_n1,...,x_nκ)とを用い、各u_r,Tc(r)を算出するビット列分類部と、
   各u_r,Tc(r)のシンドロームs_r,Tc(r)=u_r,Tc(r)・M_r ^Tを算出する第２シンドローム計算部と、
   シンドロームs_r,Tc(r)を受信者装置に送信する第２通信部と、
   u₁とu_r,Tc(r)(r∈{2,...,κ})との少なくとも一部を、受信者装置との共有情報として出力する出力部と、を有し、
   上記通信部は、u_r,Tc(r)そのものを受信者装置に送信しない、
   を有することを特徴とする送信者装置。
7. 請求項６の送信者装置と情報整合化を行う受信者装置であって、
   y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)(y_ik∈{0,1})を格納する記憶部と、
   y=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)を用い、v₁=(v₁₁,...,v_n1)を算出するパリティ系列変換部と、
   v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する第１シンドローム計算部と、
   送信者装置から送信されたシンドロームs₁とt₁の和s₁+t₁を算出する加算部と、
   シンドロームの和s₁+t₁を復号してw₁を生成する第１シンドローム復号部と、
   v₁とw₁とからu₁=v₁+w₁を算出する第１復号部と、
   w_r-1,Tc(r-1)(w_1,Tc(1)=w₁)を送信者装置に送信する通信部と、
   w_r-1,Tc(r-1)とy=(y₁₁,...,y_1κ,...,y_n1,...,y_nκ)とを用い、各v_r,Tc(r)を算出するビット列分類部と、
   v_r,Tc(r)のシンドロームt_r,Tc(r)=v_r,Tc(r)・M_r ^Tを算出する第２シンドローム計算部と、
   送信者装置から送信されたシンドロームs_r,Tc(r)とt_r,Tc(r)の和s_r,Tc(r)+t_r,Tc(r)を算出する加算部と、
   シンドロームの和s_r,Tc(r)+t_r,Tc(r)を復号してw_r,Tc(r)を生成する第２シンドローム復号部と、
   v_r,Tc(r)とw_r,Tc(r)とからu_r,Tc(r)=v_r,Tc(r)+w_r,Tc(r)を算出する第２復号部と、
   u₁とu_r,Tc(r)(r∈{2,...,κ})との少なくとも一部を、送信者装置との共有情報として出力する出力部と、
   を有することを特徴とする受信者装置。
8. 受信者装置と情報整合化を行う送信者装置であって、
   位数２の有限体をF₂とし、２個の有限体F₂の直積が成すベクトル空間をF₂ ²とし、ベクトル空間F₂ ²から有限体F₂へ移す線形な関数をξ₁とし、当該関数ξ₁は任意のa₁,a₂∈F₂に対してξ₁(a₁,a₂)=a₁+a₂を満たし、ベクトル空間F₂ ²とベクトル空間F₂との直積がなすベクトル空間から有限体F₂へ移す関数であってベクトル空間F₂ ²の要素について線形な関数をξ₂とし、当該関数ξ₂は任意の(a₁,a₂)∈F₂ ²に対してξ₂(a₁,a₂, 0)=a₁又はξ₂(a₁,a₂, 0)=a₂を満たし、u=(u₁₁,u₁₂,...,u_n1,u_n2)(u_ik∈{0,1}, i∈{1,...,n}, n≧１, k∈{1,2})とし、v=(v₁₁,v₁₂,...,v_n1,v_n2)(v_ik∈{0,1})とし、w=(w₁₁,w₁₂,...,w_n1,w_n2)(w_ik∈{0,1})とし、u_i1=ξ₁(x_i1,x_i2)とし、v_i1=ξ₁(y_i1,y_i2)とし、w_i1=u_i1+v_i1とし、u_i2=ξ₂(x_i1,x_i2, w_i1)とし、v_i2=ξ₂(y_i1,y_i2, w_i1)とし、w_i2=u_i2+v_i2とし、u_j=(u_1j,...,u_nj) (j∈{1,2})とし、v_j=(v_1j,...,v_nj)とし、w_j=(w_1j,...,w_nj)とし、w_i ¹=(w_i1)とし、c(2)∈{0,1}に対してT_c(2)={i|1≦i≦n, w_i ¹=c(2)}とし、u₂, v₂, w₂のうち、i∈T_c(2)を満たすビットからなる部分列をそれぞれu_2,Tc(2), v_2,Tc(2), w_2,Tc(2)とし、M_jを送信者装置と受信者装置との間で共有されるパリティ検査行列とし、・^Ｔを・の転置行列とした場合における、
   x=(x₁₁,x₁₂,...,x_n1,x_n2)(x_ik∈{0,1})を格納する記憶部と、
   x=(x₁₁,x₁₂,...,x_n1,x_n2)を用い、u₁=(u₁₁,...,u_n1)を算出するパリティ系列変換部と、
   u₁=(u₁₁,...,u_n1)のシンドロームs₁= u₁・M₁ ^Tを算出する第１シンドローム計算部と、
   シンドロームs₁を受信者装置に送信する通信部と、
   受信者装置から送信されたw₁とx=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、各u_2,Tc(2)を算出するビット列分類部と、
   u_2,T0のシンドロームs_2,T0=u_2,T0・M₂ ^Tを算出する第２シンドローム計算部と、
   シンドロームs_2,T0を受信者装置に送信する通信部と、
   少なくともu₁とu_2,T0を、受信者装置との共有情報として出力する出力部と、を有し、
   上記通信部は、u_2,T1そのものを受信者装置に送信しない、
   を有することを特徴とする送信者装置。
9. 請求項８の送信者装置と情報整合化を行う受信者装置であって、
   y=(y₁₁,y₁₂,...,y_n1,y_n2)(y_ik∈{0,1})を格納する記憶部と、
   y=(y₁₁,y₁₂,...,y_n1,y_n2)を用い、v₁=(v₁₁,...,v_n1)を算出するパリティ系列変換部と、
   v₁=(v₁₁,...,v_n1)のシンドロームt₁=v₁・M₁ ^Tを算出する第１シンドローム計算部と、
   送信者装置から送信されたシンドロームs₁とt₁の和s₁+t₁を算出する第１加算部と、
   シンドロームs₁とt₁の和s₁+t₁を復号してw₁を生成する第１シンドローム復号部と、
   v₁とw₁とからu₁=v₁+w₁を算出する第１復号部と、
   w₁を送信者装置に送信する通信部と、
   w₁とy=(x₁₁,x₁₂,...,x_n1,x_n2)とを用い、各v_2,Tc(2)を算出するビット列分類部と、
   v_2,T0のシンドロームt_2,T0=v_2,T0・M₂ ^Tを算出する第２シンドローム計算部と、
   送信者装置から送信されたシンドロームs_2,T0とt_2,T0の和s_2,T0+t_2,T0を算出する第２加算部と、
   シンドロームの和s_2,T0+t_2,T0を復号してw_2,T0を生成する第２シンドローム復号部と、
   v_2,T0とw_2,T0とからu_2,T0=v_2,T0+w_2,T0を算出する第２復号部と、
   少なくともu₁とu_2,T0を、送信者装置との共有情報として出力する出力部と、
   を有することを特徴とする受信者装置。
10. 請求項６或いは８に記載の送信者装置としてコンピュータを機能させるためのプログラム。
11. 請求項７或いは９に記載の受信者装置としてコンピュータを機能させるためのプログラム。
12. 請求項１０に記載のプログラムを格納したコンピュータ読み取り可能な記録媒体。
13. 請求項１１に記載のプログラムを格納したコンピュータ読み取り可能な記録媒体。

Images