JP6037223B2 - 通信システム、送信機、受信機、および暗号化通信方法 - Google Patents

Description

本発明は、通信システム、送信機、受信機、および暗号化通信方法に係り、特に、多値強度変調、または多値位相変調を用いたＹ−００プロトコル（光通信量子暗号）における、通信路途中の攻撃者による通信データの改ざん攻撃に対する安全性の強化技術に関する。

Ｙ−００暗号プロトコルは、雑音によって正確に識別できない２Ｍ種類の信号を用いることで盗聴者が通信データを識別できなくすることにより、無限の計算能力においてもデータ解読が不能となる共通鍵暗号である。特に、レーザーのようなコヒーレント光信号が持つ、量子雑音と呼ばれる除去不可能な雑音がよく用いられる。

この共通鍵暗号では、正規受信者は、２Ｍ種類の光信号の中から互いに十分に離れたＭペア（通信基底と呼ぶ）を、あらかじめ決められた手順で選ぶことにより、雑音の影響を受けることなく２値データを送受信することができる。この通信基底は、あらかじめ共有された共通鍵と擬似乱数生成器によって決定される。一方で、共通鍵を持たない攻撃者は、前述の通り正確に識別できない２Ｍ種類の信号を受信しなければならず、正規受信者間の通信データを解読することが事実上不可能になる。

このＹ−００暗号プロトコルを具現化した通信方式には、例えば、非特許文献１に開示されている光位相変調方式と、非特許文献２に開示されている光強度変調方式が知られている。

図１０にＹ−００暗号通信システムの構成の概略を示す。図１０によれば、Ｙ−００暗号通信システムでは、例えば、光信号を送出する送信機１０１と、光信号を受信する受信機１５１とが、光ファイバ等の通信路１００を介して通信を行う。送信機１０１は、擬似乱数生成器１０３と、通信基底選択部１０４と、信号発信器１０５とを含み構成される。

擬似乱数生成器１０３は、共通鍵の入力によりＭ値ランニング鍵を生成して通信基底選択部１０４に出力する。通信基底選択部１０４は、擬似乱数生成器１０３により生成されたＭ値ランニング鍵を基にＭペアからなる通信基底を選択して信号発信器１０５へ出力する。信号発信器１０５には他に送信データ１０２が入力されている。信号発信器１０５は、この送信データ１０２および通信基底選択部１０４によって選択される値（Ｍペアからなる通信基底）を元にコヒーレント光信号などを生成して通信路１００へ出力する。信号発信器１０５は、例えば、光位相変調方式では２Ｍ値光位相信号を、光強度変調方式では２Ｍ値光強度信号を生成する。

受信機１５１は、信号検出器１５２と、擬似乱数生成器１５３と、信号識別部１５４と、を含み構成される。信号検出器１５２は、具体的には、光位相信号または光強度信号を受信して信号識別部１５４へ出力する。信号識別部１５４へは他に、擬似乱数生成器１５３により生成される、送信機１０１と同一の共通鍵に基づく同一のＭ値ランニング鍵が入力されている。信号識別部１５４は、擬似乱数生成器１５３から出力されるＭ値ランニング鍵を基に設定された閾値で信号を復号化して受信データ１５５とする。なお、信号検出器１５２は、具体的には、光位相変調方式ではヘテロダイン受信機などが用いられ、光強度変調方式ではヘテロダイン受信機以外にも安価な直接検波方式の汎用受信機が用いられる場合がある。

上記の構成を有するＹ−００暗号通信システムに対し、攻撃者が盗聴を行う場合の概略について図１１を参照しながら説明する。図１１に示すように、正規ユーザーは、通信路１００を介して送信機１０１と受信機１５１との間で通信を行う。一方、盗聴者は、通信路１００から送信機１０１の信号を分岐して盗聴器２５１で受信し、光信号で表現された暗号の盗聴を試みる。

図１２に、２Ｍ＝１４値の光強度変調方式の通信方法を例示した。正規送信者は、図１２（ａ）に示した通り、時刻ｔにおけるＭ値ランニング鍵ｋ_ｔにより、通信基底Ｂ（ｋ_ｔ）を決定する。このとき基底Ｂ（ｋ_ｔ）は、強度Ｓ_ｍｉｎ＋ｋ_ｔΔＳとＳ_ｍｉｎ＋（ｋ_ｔ＋Ｍ）ΔＳの光信号で構成される。ここで、Ｓ_ｍｉｎは最低強度、ΔＳは信号間隔で、ｋ_ｔが偶数の時は、強度レベルＳ_ｍｉｎ＋ｋ_ｔΔＳの光信号が送信データｘ_ｔ＝０、強度Ｓ_ｍｉｎ＋（ｋ_ｔ＋Ｍ）ΔＳの光信号がｘ_ｔ＝１に対応し、ｋ_ｔが奇数の時は、強度Ｓ_ｍｉｎ＋ｋ_ｔΔＳの光信号が送信データｘ_ｔ＝１、強度Ｓ_ｍｉｎ＋（ｋ_ｔ＋Ｍ）ΔＳの光信号がｘ_ｔ＝０に対応するものとする。正規受信者は、図１２（ｂ）に示すように、共通鍵を正規送信者と共有しているため、いずれの基底Ｂ（ｋ_ｔ）を用いて通信が行われているかを知っており、例えば強度Ｓ_ｍｉｎ＋（ｋ_ｔ＋Ｍ／２）ΔＳに閾値を設定することで、強度Ｓ_ｍｉｎ＋ｋ_ｔΔＳの光信号と強度Ｓ_ｍｉｎ＋（ｋ_ｔ＋Ｍ）ΔＳの信号を区別し、送信データｘ_ｔを復号する。なお、通信路１００に光強度減衰率ηがある場合には、閾値をη（Ｓ_ｍｉｎ＋（ｋ_ｔ＋Ｍ／２）ΔＳ）とすればよい。

一方、盗聴者は共通鍵を持たないため、いずれの通信基底Ｂ（ｋ_ｔ）が使用されたかを知らない。このため、図１２（ｃ）に示すように、盗聴者には２Ｍ値の強度信号を識別する必要が生じる。しかしながら上記したように、光信号の雑音で信号レベルを正しく識別できないため、盗聴者は、正規送受信者間のデータを読み取ることができない。

なお、図示省略したが、光位相変調方式でも同様である。具体的に、正規送信者は時刻ｔにおけるＭ値ランニング鍵ｋ_ｔにより、通信基底Ｂ（ｋ_ｔ）を決定する。このとき基底Ｂ（ｋ_ｔ）は、位相ｋ_ｔΔθラジアンと位相（ｋ_ｔ＋Ｍ）Δθラジアンの光信号で構成される。ここで、Δθ＝π／Ｍは信号間隔で、ｋ_ｔが偶数の時は、位相ｋ_ｔΔθラジアンの光信号が送信データｘ_ｔ＝０、位相（ｋ_ｔ＋Ｍ）Δθラジアンの光信号がｘ_ｔ＝１に対応し、ｋ_ｔが奇数の時は、位相ｋ_ｔΔθラジアンｋ_ｔの光信号が送信データｘ_ｔ＝１、位相（ｋ_ｔ＋Ｍ）Δθラジアンの光信号がｘ_ｔ＝０に対応するものとする。

正規受信者は共通鍵を正規送信者と共有しているため、いずれの基底Ｂ（ｋ_ｔ）を用いて通信が行われているかを知っており、位相（ｋ_ｔ±Ｍ／２）Δθラジアンに閾値を設定することで、位相ｋ_ｔΔθラジアンと位相（ｋ_ｔ＋Ｍ）Δθラジアンの信号を区別し、送信データｘ_ｔを復号する。一方、盗聴者は共通鍵を持たないため、いずれの通信基底Ｂ（ｋ_ｔ）が使用されたかを知らない。このため盗聴者には２Ｍ値の強度信号を識別する必要が生じる。しかしながら上記したように、光信号の雑音で信号位相を正しく識別できないため、盗聴者は、正規送受信者間のデータを読み取ることができない。

ところが、例えば、非特許文献３において、通信路の途中にいる攻撃者が、信号のビット反転によるデータの改ざんを行う場合の攻撃の特性が分析された。この攻撃では、ビット反転攻撃では、図１３のように、盗聴者は通信路１００ａを介して送信機１０１の信号を奪い、光信号で表現された送信データの反転をビット反転機４０１で試みたのち、通信路１００ｂを介して受信機１５１に送りつける。定型文書など盗聴者が予め送信データを知ることができる場合には、このビット反転攻撃により、盗聴者は、偽の送信データを正規受信者に送りつけることを意図する。光強度変調方式では、通信データ１ビットあたり１０％以下の有限な確率でビット反転を防げるものの、通信データをビット反転による改ざんから防御するには十分ではない。また、光位相変調方式に至っては、ビット反転攻撃を防御することがかなり困難である。

S. Ozharar, D. R. Reilly, S.X. Wang, G. S. Kanter, and P. Kumar, "Two-dimensionaloptical code-division modulation with quantum-noise aided encryption forapplications in key distribution," IEEE. J. LightwaveTechnol. vol. 29, No. 14, Jul. 15. 2011. K. Ohhata, O. Hirota, M.Honda, S. Akutsu, Y. Doi, K. Harasawa, and K. Yamashita, "10 Gb/s optical transceiver using the Yuen 2000 encryption protocol," IEEE. J. Lightwave Technology, vol. 28, no. 18, pp2714-2723, Sep.2010. 岩越 丈尚、広田 修、「Ｙ−００量子ストリーム暗号の改ざん耐性の検討」、電子情報通信学会、信学技報 Technical Report of IEICE Tech. Rep., Vol. 110, No. 281,ISEC2010-57, pp 51-5, Nov. 2010

攻撃者によるビット反転攻撃の概要を図１４に示す。ここでは、図１３における通信路１００ａにおける信号の減衰は無視できるとし、通信路１００ｂは減衰率ηを持つとする。図１４（ａ）に示す光位相変調方式では、通信路の途中で盗聴者が信号の位相をπラジアンだけ回転することにより、通信データビットの反転に成功する。一方、図１４（ｂ）に示す光強度変調方式では、信号の光強度が中心強度以下である場合には強度ＭΔＳだけ増幅し、中心強度以上の場合には強度ＭΔＳだけ減衰することによりビット反転を試みる。しかし、光強度の雑音により、中心強度をまたいで信号強度がシフトすることがある。このため、時々攻撃者の信号反転方法に誤りが生じ、その結果、送信データのビット反転に失敗する。しかしながら、光強度変調方式でも、雑音の確率分布の９９．７％信頼区間が強度幅で６ΓΔＳ程度であるとすれば、盗聴者がビット反転に失敗するのは、強度がＳ_ｍｉｎ＋（Ｍ±３Γ）ΔＳ程度の場合のみであり、ほとんどの強度に対しては無防備である。

本発明は上記した課題を解決するためになされたものであり、例えば、Ｙ−００暗号通信システムの通信路途中におけるビット反転攻撃から送信データを高い確率で保護することができる、通信システム、送信機、受信機、および暗号化通信方法を提供することを目的とする。

上記した課題を解決するために本発明の第１の観点に係る通信システムは、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に前記通信基底から１つの信号を発信する信号発信器と、を備えた送信機、ならびに、通信路を介して伝送された前記信号を受信する信号検出器と、前記共通鍵と、前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、を備えた受信機、からなる通信システムである。そしてその通信システムは、前記送信機に、前記Ｍ値擬似乱数列を基に入力された送信データと前記通信基底を構成するＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部を更に備え、前記受信機に、前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部を更に備えること、を特徴とする。

本発明において、前記Ｍ値擬似乱数列のＭは少なくともＺの階乗以上であり、前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを前記Ｚの階乗通り以下に切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備えること、を特徴とする。

本発明において、前記Ｍ値擬似乱数列のＭは少なくともＺの階乗以上であり、前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなす信号との対応付けをＺの階乗以下のｚ通りに切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、前記送信機が送信する前記信号が持つ雑音の確率分布の９９．７％信頼区間にｚ通り以上の信号が属すること、を特徴とする。

本発明において、前記Ｍ値擬似乱数列のＭは少なくとも前記Ｚの階乗以上であり、前記送信機は、前記Ｍ値擬似乱数列とは別の２以上のＹに対するＹ値擬似乱数列と、前記Ｍ値擬似乱数列および前記Ｙ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなす信号との対応付けを前記Ｚの階乗以下のｚ通りに切り替える前記第１のメモリまたは前記第１の演算部とを備え、前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｚ／Ｙ種類以上の信号が属すること、を特徴とする。

本発明において、前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、前記第１のメモリまたは前記第１の演算部は、同一の送信データに対応する複数の信号のうちいずれか一つを選択すること、を特徴とする。

本発明において、前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、Ｚ／２以下の最大の整数をＦとして、前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上に切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、前記第１のメモリまたは第１の演算部は、同一の送信データに対応する複数の信号のうちいずれか一つを選択すること、を特徴とする。

本発明において、前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、Ｚ／２以下の最大の整数をＦとして、前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上のｃ通りに切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、前記第１のメモリまたは前記第１の演算部は、同一の送信データに対応する複数の信号のうちいずれか一つを選択し、前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｃ種類以上の信号が属すること、を特徴とする。

本発明において、前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、Ｚ／２以下の最大の整数をＦとして、前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、前記送信機は、前記Ｍ値擬似乱数列とは別の２以上のＹに対するＹ値擬似乱数列と、前記Ｍ値擬似乱数列および前記Ｙ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上のｃ通りに切り替える前記第１のメモリまたは前記第１の演算部とを備え、前記第１のメモリまたは前記第１の演算部は、同一の送信データに対応する複数の信号のうちいずれか一つを選択し、前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｃ／Ｙ種類以上の信号が属すること、を特徴とする。

本発明において、前記信号発信器はコヒーレント光発生器であり、前記通信基底をなす信号はコヒーレント光の強度または位相のいずれかひとつ以上で表現されていること、を特徴とする。

本発明の第２の観点に係る送信機は、通信路を介して伝送された信号を受信する信号検出器と、共通鍵と、前記共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部と、を備えた受信機、とは前記通信路を介して通信する送信機である。そしてその送信機は、前記共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に前記通信基底から１つの信号を発信する信号発信器と、前記Ｍ値擬似乱数列を基に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部と、を備えたことを特徴とする。

本発明の第３の観点に係る受信機は、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器と、前記Ｍ値擬似乱数列を基に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部と、を備えた送信機とは通信路を介して通信する受信機である。そしてその受信機は、前記通信路を介して伝送された前記信号を受信する信号検出器と、前記共通鍵と、前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部と、を備えたことを特徴とする。

本発明の第４の観点に係る暗号化通信方法は、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器と、を備えた送信機、ならびに、通信路を介して伝送された前記信号を受信する信号検出器と、前記共通鍵と、前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、を備えた受信機、からなる通信システムの暗号化通信方法である。そしてその暗号化通信方法は、前記送信機が、前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データと前記通信基底をなすＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部により前記送信データを暗号化し、前記通信路を介して送信するステップと、前記受信機が、前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部により前記暗号化された前記送信データを復号化するステップと、を有することを特徴とする。

本発明によれば、例えば、Ｙ−００暗号通信システムの通信路途中におけるビット反転攻撃から送信データを高い確率で保護することができる、通信システム、送信機、受信機、および暗号化通信方法を提供することができる。

本発明の実施形態に係る通信システムの構成を示すブロック図である。 図１のルックアップテーブルのデータ構造の一例（実施例１）を示す図である。 図１のルックアップテーブルのデータ構造の一例（実施例２）を示す図である。 図１のルックアップテーブルのデータ構造の一例（実施例３）を示す図である。 本発明の実施形態に係る通信システムの変形例を示すブロック図である。 図１のルックアップテーブルのデータ構造の一例（実施例４）を示す図である。 図１のルックアップテーブルのデータ構造の一例（実施例５）を示す図である。 本発明の実施形態に係る通信システムの送信データの受信方法と盗聴方法との差異を模式的に示した図である。 本発明の実施形態に係る通信システムの送信データに対する改ざん攻撃とその失敗理由を模式的に示した図である。 従来のＹ−００暗号通信システム構成を示すブロック図である。 図１０および本発明の通信システムに対して盗聴者が盗聴を行う形態の概要を説明するために引用した図である。 光強度変調を用いた図１０の通信システムの通信例、および盗聴者の盗聴信号の一例を示した図である。 図１０および本発明の通信システムに対するビット反転攻撃の概要を説明するために引用した図である。 図１０の通信システムに対する攻撃者によるビット反転攻撃の概要を説明するために引用した図である。

以下、添付図面を参照して本発明を実施するための実施の形態（以下、単に実施形態という）について詳細に説明する。

［実施形態の構成］
図１に本実施形態に係る通信システムの構成が示されている。図１０に示す従来のＹ−００暗号通信システムとの構成上の差異は、送信機１０１にルックアップテーブル１０６（第１のメモリ）を、受信機１５１にルックアップテーブル１５６（第２のメモリ）を付加したことにある。ここでいうルックアップテーブル１０６，１５６とは、演算処理を単純な配列の参照処理に置換して効率化を図るために設計されたメモリ配列等のデータ構造をいう。これらルックアップテーブル１０６，１５６のデータ構造については後述する。なお、ルックアップテーブル１０６，１５６は、計算式による演算に置き換えてもよい。

したがって、送信機１０１は、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を共通鍵から出力する擬似乱数生成器１０３と、擬似乱数生成器１０３により生成されたＭ値ランニング鍵を基にＭペアからなる通信基底を選択して信号発信器１０５へ出力する通信基底選択部１０４と、Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器１０５と、Ｍ値擬似乱数列を基に入力される送信データ１０２と通信基底をなすＺ種類の信号との対応付けを２通り以上に切り替えるルックアップテーブル１０６とを含み構成される。ここで、信号発信器１０５はコヒーレント光発生器であり、通信基底をなす信号はコヒーレント光の強度または位相のいずれかひとつ以上で表現されている。

また、受信機１５１は、上記した送信機１０１とは通信路１００を介して通信し、通信路１００を介して伝送された信号を受信する信号検出器１５２と、共通鍵と、共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器１５３と、Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部１５４と、Ｍ値擬似乱数列を基に信号識別部１５４の出力を受信データに対応させるルックアップテーブル１５６とを含み構成される。なお、受信データは符号１５５で表記されている。

［実施形態の動作］
以下に本実施形態に係る通信システムの動作について詳細に説明する。上記構成において、送信機１０１は、信号発信器１０５が出力する信号を、通信基底選択部１０４の出力、ならびにルックアップテーブル１０６の出力を元に決定する。ルックアップテーブル１０６の出力は、送信データ１０２と、擬似乱数生成器１０３の出力を元に決定される。また、受信機１５１は、受信データ出力部１５５の出力を、ルックアップテーブル１５６の出力によって決定する。ルックアップテーブル１５６の出力は、信号識別部１５４と擬似乱数生成器１５３の出力により決定される。送信機１０１が持つルックアップテーブル１０６および受信機１５１が持つルックアップテーブル１５６のデータ構造により、攻撃者による通信路１００途中でのビット反転攻撃に対する耐性が決定される。以下に、そのデータ構造を実施例１〜実施例５として例示し、それぞれのビット反転攻撃に対する耐性を説明する。

（実施例１）
実施例１に係るルックアップテーブル１０６およびルックアップテーブル１５６のデータ構造が図２に示されている。実施例１では、ルックアップテーブル１０６，１５６には、同一内容が記憶され、Ｚ＝４、およびＭ＝１０２４とする。まず、正規ユーザーが用いる送信機１０１がどのような信号を出力するかについて、強度変調方式を使ったＹ−００暗号通信システムを例示して説明する。

送信機１０１は、入力される送信データ１０２として４値データをｑ、擬似乱数生成器１０３の出力であるＭ値ランニング鍵をｋ、ルックアップテーブル１０６の出力をＬＴ（ｑ，ｋ）とする暗号化データを生成して信号発信器１０５へ出力する。なお、ルックアップテーブル１０６のｋ ｍｏｄ ２４の表記は、ｋを４の階乗＝２４で除算したときの余りの値を示す。これを受けた信号発信器１０５は、以下の演算式（１）に示される光強度Ｓ（ｑ，ｋ）の信号を通信路１００経由で受信機１５１に出力する。

受信機１５１は、信号検出器１５２を用いて信号強度（ＲＳＳＩ：Received
Signal Strength Indication）を検出する。また、信号識別部１５４は、例えば、以下の演算式（２）（３）（４）を用いて閾値を設定し、ＲＳＳＩがどの区間に存在するかを判定する。

そして、信号検出器１５２で検出されたＲＳＳＩと演算によって得られた閾値と比較することにより、ＬＴ（ｑ，ｋ）の値が決定される。ここで決定されたＬＴ（ｑ，ｋ）に基づき送信機１０１のルックアップテーブル１０６と同一のデータ構造を有するルックアップテーブル１５６のｋ ｍｏｄ ２４の値を参照（比較）すれば、受信機ｑの値を直ちに復元することができる。このように、ルックアップテーブル１５６が復元したｑの値を受信データとして出力することで、正規ユーザーの送信機１０１と正規ユーザーの受信機１５１とは、誤りなくｑの値を復元することができる。厳密には、通信路１００には信号強度の減衰率ηが存在するため、受信機１５１は、演算式（２）（３）（４）に減衰率ηを乗算した値と信号検出器１５２で検出されたＲＳＳＩとを比較することによりｑを復元する。

ところで、図１１に示す形態にしたがって攻撃者が盗聴を試みる場合には、攻撃者はｋを知らないため、上記した演算式（２）（３）（４）で示された閾値を設定できず、したがってｑの復元はできない。このことを図８に示す。図８は、送信データの受信方法と盗聴方法との差異を模式的に示した図である。図８によれば、例えばｑ＝０１でｋ＝７のとき、つまり、ｋ ｍｏｄ ２４＝７のとき、ＬＴ（ｑ，ｋ）＝０を出力する。受信機１５１側では、受信した信号強度がηＳ^Ｔｈ１（ｋ）より小さい場合には、ＬＴ（ｑ，ｋ）＝０が判明するため、ｋ ｍｏｄ ２４＝７を参照することでｑ＝０１を復元できる。したがって、正規受信者はｑの値を誤りなく復元できる。一方、盗聴者はｋの値を知らないため、ｑの値を復元することができない。

次に、図１３に示す形態にしたがって攻撃者が信号を受信し、ｑの値を操作する場合を図９に示す。図９は、送信データに対する改ざん攻撃とその失敗理由を模式的に示した図である。仮に、攻撃者がｑ＝００をｑ'＝０１にビット反転することを目論んだとする。また、通信路１００ａの信号減衰率がなく、通信路１００ｂの信号強度減衰率はηであるとする。ｋ ｍｏｄ ２４＝８やｋ ｍｏｄ ２４＝１６場合、攻撃者はビット反転機４０１を用いて、信号強度を３ＭΔＳだけ増加させて通信路１００ｂに送り出さなければならない。ところが、攻撃者はｋの値を知らないため、ｋ ｍｏｄ ２４＝８やｋ ｍｏｄ ２４＝１６の場合には攻撃者は信号強度を３ＭΔＳだけ増加させなければならないが、ｋ ｍｏｄ ２４＝０や、ｋ ｍｏｄ ２４＝１２だった場合には、攻撃者は信号強度を１ＭΔＳだけ増加させなければならなく、ｋ ｍｏｄ ２４＝４やｋ ｍｏｄ ２４＝２０の場合には２ＭΔＳだけ増加させなければｑ'＝０１は得られない。

このことにより、攻撃者はｑ＝００をｑ'＝０１にビット反転することに高い確率で失敗する。雑音の確率分布の９９．７％信頼区間が２４ΔＳ以上である場合には、特に、攻撃者はｋ ｍｏｄ ２４の値を特定できなくなり、攻撃者は、約２／３の確率でビット反転に失敗する。

上記した強度変調方式に限らず、位相変調方式のＹ−００暗号通信システムの場合にも同様である。以下に、位相変調方式のＹ−００暗号通信システムについて説明する。まず、正規ユーザーが用いる送信機１０１がどのような信号を出力するかについて説明する。ここでは、入力される送信データ１０２の４値データをｑ、擬似乱数生成器１０３の出力であるＭ値ランニング鍵をｋ、ルックアップテーブル１０６の出力をＬＴ（ｑ，ｋ）とする。また、Ｚ＝４、およびＭ＝１０２４とする。例えばｑ＝００でｋ＝３２のとき、つまりｋ ｍｏｄ ２４＝８のとき、ルックアップテーブル１０６は、ＬＴ（ｑ，ｋ）＝０を出力する。信号間隔をΔθ＝π／（２Ｍ）であるとすれば、信号発信器１０５は、以下の演算式（５）で示される光強位相θ（ｑ，ｋ）の信号を出力する。

次に、受信機１５１は、信号検出器１５２を用いてこの信号の位相を検出する。さらに信号識別部１５４は、以下の演算式（６）（７）（８）（９）で示される閾値を設定し、受信された信号位相がどの区間に存在するかを判定する。

ここで、仮に、受信した信号位相がθ^Ｔｈ４（ｋ）とθ^Ｔｈ１（ｋ）の間にある場合には、ＬＴ（ｑ，ｋ）＝０が判明する。さらにルックアップテーブル１０６と同一のルックアップテーブル１５６を、測定されたＬＴ（ｑ，ｋ）の値をもとに予めわかっているｋ
ｍｏｄ ２４＝８の場合と比較すれば、ｑ＝００の値を一意に復元することができる。

一方、図１１の形態にしたがって攻撃者が盗聴を試みる場合には、攻撃者はｋを知らないため、上記した演算式（６）（７）（８）（９）で示された閾値を設定できず、したがってｑの復元はできない。

次に、図１３の形態にしたがって攻撃者が信号を受信し、ｑの値を操作する場合を考える。今、攻撃者がｑ＝００をｑ'＝０１にビット反転することを目論んだとする。ｋ ｍｏｄ ２４＝８やｋ ｍｏｄ ２４＝１６の場合、攻撃者はビット反転機４０１を用いて、信号位相を３ＭΔθだけ増加させて通信路１００ｂに送り出さなければならない。ところが攻撃者はｋの値を知らないため、ｋ ｍｏｄ ２４＝８やｋ ｍｏｄ ２４＝１６の場合には攻撃者は信号位相を３ＭΔθだけ増加させなければならないが、ｋ ｍｏｄ
２４＝０やｋ ｍｏｄ ２４＝１２だった場合、攻撃者は、信号位相を１ＭΔθだけ増加させなければならないし、ｋ ｍｏｄ ２４＝４やｋ ｍｏｄ ２４＝２０の場合には２ＭΔθだけ増加させなければｑ'＝０１は得られない。したがって、攻撃者は、ｑ＝００をｑ'＝０１にビット反転することに高い確率で失敗する。雑音の確率分布の９９．７％信頼区間が２４Δθ以上である場合、特に、攻撃者は、約２／３の確率でビット反転に失敗する。

（実施例２）
図３に示すルックアップテーブル１０６（１５６）を使用した通信システムを実施例２として以下に説明する。図３に示すデータ構造を有するルックアップテーブル１０６（１５６）によれば、例えば、ｑ＝００をｑ'＝１１またはｑ'＝１０にビット反転する場合には失敗する確率が１／２になる。しかし、ｑ＝００をｑ'＝０１にビット反転する場合には、間違いなく成功してしまう。したがって、実施例１のほうが好適である。つまり、送信信号ｑに対するＬＴ（ｑ，ｋ）の値がルックアップテーブル１０６，１５６中に全て網羅されるように、４の階乗通りの並び替えが配列されていることが望ましい。例えば、ｑがＺ値の送信データの場合にはＺの階乗通りを網羅すると良い。

（実施例３）
追加の２値擬似乱数ｂを送信機１０１と受信機１５１で共有する場合には、図４に示すルックアップテーブル１０６（１５６）を使用してもよい。図４に示すルックアップテーブル１０６（１５６）を使用した通信システムを実施例３として以下に説明する。実施例１では、強度変調の場合（Ｚの階乗）ΔＳ、位相変調の場合（Ｚの階乗）Δθだけ雑音の確率分布の９９．７％信頼区間が必要であったのに対し、実施例３では、強度変調の場合（Ｚの階乗／２）ΔＳ、位相変調の場合（Ｚの階乗／２）Δθとなり、したがって、量子雑音が小さい場合でも容易に実現できる。

一般に、ｂがＹ値の擬似乱数である場合には、強度変調の場合（Ｚの階乗／Ｙ）ΔＳ、位相変調の場合（Ｚの階乗／Ｙ）Δθが必要な雑音の確率分布の９９．７％信頼区間となり、さらに容易に実現できる。このとき追加の擬似乱数ｂは、擬似乱数生成器１０３と１５３から供給されるか、または、図５に示すように、共通の初期値から擬似乱数を生成する擬似乱数生成器１０７と擬似乱数生成器１５７から供給してもよい。

図５は、本実施形態に係る通信システムの変形例を示すブロック図である。図１の実施形態との差異は、送信機１０１と受信機１５１に、Ｍ値擬似乱数列を生成する擬似乱数生成器１０３，１５３とは別に、２以上のＹに対するＹ値擬似乱数列を生成するＹ値擬似乱数生成器１０７，１５７をそれぞれ備えことにある。擬似乱数生成器１０７と擬似乱数生成器１５７は、共通の初期値から擬似乱数を生成してルックアップテーブル１０６，１５６のそれぞれに入力する。このため、例えば、ルックアップテーブル１０６は、Ｍ値擬似乱数列およびＹ値擬似乱数列を基に送信機１０１に入力された送信データ１０２とＺ種類の信号との対応付けをＺの階乗通り以下に切り替える。Ｙ値擬似乱数生成器１０７，１５７の初期値は、共通鍵の一部であっても良い。

なお、上記した実施例１，２，３では、攻撃者が特定のｑの値を別の特定のｑ'にビット反転することを目論んだ場合には有効であるが、特に意図もなく、ｑの値を異なるｑ'にビット反転したい場合には対処できない。以下に、この場合にも対処可能な方法を、実施例４，５で説明する。

（実施例４）
図６に、実施例４に係るルックアップテーブル１０６（１５６）の構造が示されている。図６において、ｘは２値の送信データ、ｒは送信機１０１のみが持つ２値擬似乱数である。ここでは、Ｚ＝４およびＭ＝１０２４とする。この場合、ルックアップテーブル１０６，１５６は、それぞれが図６（ａ）、図６（ｂ）に示すように、異なっていてもよいが、送信機１０１と受信機１５１とを一体化した通信機である場合には、図６（ａ）のルックアップテーブルに統一したほうが好適である。

まず、正規ユーザーが用いる送信機１０１がどのような信号を出力するかについて、強度変調Ｙ−００暗号通信システムの場合を例示して説明する。ルックアップテーブル１０６の出力をＬＴ（ｘ，ｒ，ｋ）とする。ルックアップテーブル１０６は、例えば（ｘ、ｒ）＝（０、０）でｋ＝６のとき、つまりｋ ｍｏｄ _４Ｃ_２＝０のとき、ＬＴ（ｘ，ｒ，ｋ）＝０を出力する。（_４Ｃ_２の表記は、４つから２つを選ぶときの組み合わせの数である。）したがって、信号発信器１０５は、以下の演算式（１０）で示される光強度Ｓ（ｘ，ｒ，ｋ）の信号を出力する。

次に、受信機１５１は、信号検出器１５２を用いてこの信号のＲＳＳＩを検出する。さらに信号識別部１５４は、例えば、上記した演算式（２）（３）（４）で示した閾値を設定し、ＲＳＳＩがどの区間に存在するかを判定する。仮に、ＲＳＳＩがＳ^Ｔｈ１（ｋ）より小さい場合には、ＬＴ（ｘ，ｒ，ｋ）＝０が判明する。これにより、図６（ａ）または図６（ｂ）のルックアップテーブル１５６に、ｋ＝６、つまり、ｋ ｍｏｄ _４Ｃ_２＝０の場合と比較すれば、ｘ＝０であることが直ちに復元できる。したがって、受信機１５１のルックアップテーブル１５６は、ｘ＝０を受信データ出力部１５５へ出力する。このようにして、正規ユーザーの送信機１０１と正規ユーザーの受信機１５１とは、誤りなくｘの値を復元できる。厳密には、通信路１００には信号強度の減衰率ηが存在するため、受信機１５１は、演算式（２）（３）（４）にηを乗算した値とＲＳＳＩとを比較することによりｘを復元する。

一方、図１１の形態にしたがって攻撃者が盗聴を試みる場合には、攻撃者はｋを知らないため、上記した演算式（２）（３）（４）で示される閾値を設定できず、したがってｘの復元はできない。

次に、図１３の場合に従って攻撃者が信号を受信し、ｘの値を操作する場合を考える。今、攻撃者がｘ＝０をｘ'＝１にビット反転することを目論んだとする。通信路１００ａの信号減衰率がなく、通信路１００ｂの信号強度減衰率がηであったとする。この場合、攻撃者はビット反転機４０１を用いて、信号強度を２ＭΔＳまたは３ＭΔＳだけ増加させて通信路１００ｂに送り出さなければならない。但し、これは、攻撃者がｋ＝６を知っていた場合に成り立つことである。ところが攻撃者はｋの値を知らないので、他の場合にはＲＳＳＩを１ＭΔＳまたは３ＭΔＳだけ増加させなければならないかもしれない。また、他の場合には信号強度を１ＭΔＳまたは２ＭΔＳだけ増加させなければならないかもしれない。このことにより、攻撃者は、ｘ＝０をｘ'＝１にビット反転することに高い確率で失敗する。雑音の確率分布の９９．７％信頼区間が_４Ｃ_２ΔＳ以上である場合には、特に、攻撃者は約１／３の確率でビット反転に失敗する。

上記した強度変調方式に限らず位相変調方式のＹ−００暗号通信システムの場合にも同様である。まず、正規ユーザーが用いる送信機１０１がどのような信号を出力するかについて説明する。入力される送信データ１０２の２値データをｘ、擬似乱数生成器１０３の出力であるＭ値ランニング鍵をｋ、ルックアップテーブル１０６の出力をＬＴ（ｘ，ｒ，ｋ）とする。例えばｘ＝０でｋ＝６のとき、つまり、ｋ ｍｏｄ _４Ｃ_２＝０のとき、ＬＴ（ｑ，ｋ）＝０を出力する。信号間隔をΔθ＝π／（２Ｍ）であるとすると、信号発信器１０５は、以下の演算式（１１）で示される位相θ（ｘ，ｒ，ｋ）の信号を出力する。

次に、受信機１５１は、信号検出器１５２を用いてこの信号の位相を検出する。さらに信号識別部１５４は、上記した演算式（６）（７）（８）（９）で示される閾値を設定し、受信された信号位相がどの区間に存在するかを判定する。仮に、受信した信号位相がθ^Ｔｈ４（ｋ）とθ^Ｔｈ１（ｋ）の間にある場合には、ＬＴ（ｘ，ｒ，ｋ）＝０が判明する。さらにルックアップテーブル１５６を、予めわかっているｋ ｍｏｄ _４Ｃ_２＝０の場合と比較すれば、ｘ＝０の値を一意に復元できる。

一方、図１１の形態にしたがって攻撃者が盗聴を試みる場合には、攻撃者はｋを知らないため、上記した演算式（６）（７）（８）（９）で示した閾値を設定できず、したがってｘの復元はできない。

次に、図１３の形態にしたがって攻撃者が信号を受信し、ｘの値を操作する場合を考える。仮に、攻撃者がｘ＝０をｘ'＝１にビット反転することを目論んだとする。この場合、攻撃者はビット反転機４０１を用いて、送信データの信号位相を２ＭΔθだけ、または３ＭΔθだけ増加させて通信路１００ｂに送り出さなければならない。但し、これは、攻撃者がｋ＝６を知っていた場合に成り立つことである。ところが、攻撃者はｋの値を知らないため、他の場合には信号位相を１ＭΔθまたは３ＭΔθだけ増加させなければならないかもしれない。さらに他の場合には信号強度を１ＭΔθまたは２ＭΔθだけ増加させなければならないかもしれない。

このことにより、攻撃者はｘ＝０をｘ'＝１にビット反転することに高い確率で失敗する。雑音の確率分布の９９．７％信頼区間が_４Ｃ_２Δθ以上である場合には特に、攻撃者は約１／３の確率でビット反転に失敗する。

（実施例５）
但し、追加の２値擬似乱数ｂを送信機１０１と受信機１５１で共有する場合には、ルックアップテーブル１０６，１５６のそれぞれを、図７（ａ）、図７（ｂ）に示すデータ構造にしてもよい。このルックアップテーブル１０６，１５６を有する通信システムを実施例５として以下に説明する。

実施例４において必要な雑音の幅は、強度変調方式の場合_ＺＣ_ＦΔＳ、位相変調方式の場合_ＺＣ_ＦΔθであったのに対し、実施例５に係る通信システムでは、強度変調方式の場合（_ＺＣ_Ｆ／２）ΔＳ、位相変調方式の場合（_ＺＣ_Ｆ／２）Δθとなり、雑音の確率分布の９９．７％信頼区間が小さい場合でも容易に実現できる。一般にｂがＹ値の擬似乱数である場合には、強度変調方式の場合（_ＺＣ_Ｆ／Ｙ）ΔＳ、位相変調方式の場合（_ＺＣ_Ｆ／Ｙ）Δθが必要な雑音の確率分布の９９．７％信頼区間となり、さらに容易に実現できる。このとき追加の擬似乱数ｂは、擬似乱数生成器１０３と１５３から供給されるか、または、図５に示す本実施形態に係る通信システムの変形例に示すように、共通の初期値から擬似乱数を生成する擬似乱数生成器１０７と擬似乱数生成器１５７とから供給されてもよい。Ｙ値擬似乱数生成器１０７，１５７の初期値は、共通鍵の一部であっても良い。

（実施形態の効果）
以上説明のように、本実施形態に係る通信システムによれば、通信路の途中にいる攻撃者は、約１／３の確率で信号のビット反転に失敗する。これは攻撃者が特に目論みのないビット反転を行う場合でも同じである。上記したように、従来の光位相変調方式のＹ−００暗号通信システムでは、攻撃者にとってビット反転の方法が１通りしかないため、ほぼ１００％の確率でビット反転に成功する。一方、従来の光強度変調方式のＹ−００暗号通信システムでは、攻撃者にとってビット反転の方法が２通り存在しうるため、ある程度の確率で攻撃者はビット反転に失敗する。そこで本発明の実施形態に係る通信システムによれば、より多くの選択肢を攻撃者に与えることで、ビット反転攻撃に対する耐性を強化したＹ−００暗号通信システムを実現することができる。

なお本実施形態に係る通信システムによれば、コヒーレント光が持つ量子雑音を利用する場合についてのみ例示したが、量子雑音の代わりに古典物理学的なノイズを用いたＹ−００暗号通信システムに対しても同様に適用できる。例えば、電気回路のように量子雑音の効果が期待できない場合には、物理乱数、あるいは擬似乱数で信号を変調することで古典的なノイズを重畳させ、Ｙ−００暗号通信システムで使われる多値信号を電子回路上に実現してもよい。

なお、本実施形態に係る送信機１０１は、例えば、図１に示すように、通信路１００を介して伝送された信号を受信する信号検出器１５２と、共通鍵と、共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器１５３と、Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部１５４と、Ｍ値擬似乱数列を基に信号識別部１５４の出力を受信データ１５５に対応させる第２のメモリまたは第２の演算部（ルックアップテーブル１５６）と、を備えた受信機１５１、とは通信路１００を介して通信する送信機１０１である。そして、その送信機１０１は、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を共通鍵から出力する擬似乱数生成器１０３と、Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器１０５と、Ｍ値擬似乱数列を基に入力された送信データとＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部（ルックアップテーブル１０６）と、を備えたものである。

上記した本実施形態に係る送信機１０１によれば、例えば、Ｙ−００暗号通信システムの通信路途中におけるビット反転攻撃から送信データを高い確率で保護することができ、ビット反転攻撃に対する耐性を強化した送信機１０１を提供することができる。なお、例えば、図５に示すように、更に、追加の擬似乱数生成器１０７を備え、受信機１５１の疑似乱数生成器１５７と共通の初期値から追加のＹ値擬似乱数列を生成してルックアップテーブル１０６に入力し、ルックアップテーブル１０６が、Ｍ値擬似乱数列および追加のＹ値擬似乱数列を基に入力された送信データ１０２とＺ種類の信号との対応付けを、（Ｚの階乗／Ｙ）通り以上に切り替えるか、あるいは（_ＺＣ_Ｆ／Ｙ）通り以上に切り替える構成とすることで、量子雑音が小さい場合でもビット反転攻撃に対する耐性を強化することができる。

また、本実施形態に係る受信機１５１は、例えば、図１において、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を共通鍵から出力する擬似乱数生成器１０３と、Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器１０５と、Ｍ値擬似乱数列を基に入力された送信データとＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部（ルックアップテーブル１０６）と、を備えた送信機１０１とは通信路１００を介して信号を受信する受信機１５１である。そしてその受信機１５１は、通信路１００を介して伝送された信号を受信する信号検出器１５２と、共通鍵と、共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器１５３と、Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部１５４と、Ｍ値擬似乱数列を基に信号識別部１５４の出力を受信データに対応させる第２のメモリまたは第２の演算部（ルックアップテーブル１５６）と、を備えたものである。

上記した本実施形態に係る受信機１５１によれば、例えば、Ｙ−００暗号通信システムの通信路途中におけるビット反転攻撃から受信データを高い確率で保護することができ、ビット反転攻撃に対する耐性を強化した受信機１５１を提供することができる。なお、例えば、図５に示すように、更に、擬似乱数生成器１５７を設け、送信機１０１の疑似乱数生成器１０７とともに共通の初期値から追加のＹ値擬似乱数ｂを生成してルックアップテーブル１５６に入力して送信データを復号化する構成としてもよい。なお、本実施形態に係る通信システムにおいて、送信機１０１と受信機１５１は別体であるものとして説明したが、送受信機を一体化した通信機であっても同様に適用が可能である。

また、本実施形態に係る暗号化通信方法は、例えば、図１において、共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を共通鍵から出力する擬似乱数生成器１０３と、Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器１０５と、を備えた送信機１０１、ならびに、通信路１００を介して伝送された信号を受信する信号検出器１５２と、送信機１０１と共有する共通鍵と、この共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器１５３と、Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部１５４と、を備えた受信機１５１、からなる通信システムの暗号化通信方法である。そしてその暗号化通信方法は、送信機１０１が、Ｍ値擬似乱数列を基に入力された送信データとＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部（ルックアップテーブル１０６）により送信データを暗号化し、通信路１００を介して送信するステップと、受信機１５１が、Ｍ値擬似乱数列を基に信号識別部１５４の出力を受信データに対応させる第２のメモリまたは第２の演算部（ルックアップテーブル１５６）により暗号化された送信データを復号化するステップと、を有するものである。

上記した本実施形態に係る暗号化通信方法によれば、通信路１００の途中にいる攻撃者は、高い確率で信号のビット反転に失敗する。これは攻撃者が特に目論みのないビット反転を行う場合でも同じである。このため、例えば、Ｙ−００暗号通信システムの通信路途中におけるビット反転攻撃から送信データを高い確率で保護することができ、ビット反転攻撃に対する耐性を強化したＹ−００暗号化通信方法を提供することができる。

以上、本発明の好ましい実施形態について詳述したが、本発明の技術的範囲は上記実施形態に記載の範囲には限定されないことは言うまでもない。上記実施形態に、多様な変更または改良を加えることが可能であることが当業者に明らかである。またその様な変更または改良を加えた形態も本発明の技術的範囲に含まれ得ることが、特許請求の範囲の記載から明らかである。

１００、１００ａ、１００ｂ…通信路、１０１…送信機、１０２…送信データ、１０３…擬似乱数生成器、１０４…通信基底選択部、１０５…信号発信器、１０６…ルックアップテーブル（第１のメモリ）、１０７…擬似乱数生成器、１５１…受信機、１５２…信号検出器、１５３…擬似乱数生成器、１５４…信号識別部、１５５…受信データ、１５６…ルックアップテーブル（第２のメモリ）、１５７…擬似乱数生成器、２５１…盗聴器、４０１…ビット反転機

Claims (12)

1. 共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に前記通信基底から１つの信号を発信する信号発信器と、を備えた送信機、ならびに、通信路を介して伝送された前記信号を受信する信号検出器と、前記共通鍵と、前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、を備えた受信機、からなる通信システムにおいて、
   前記送信機に、
   前記Ｍ値擬似乱数列を基に入力された送信データと前記Ｚ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部を更に備え、
   前記受信機に、
   前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部を更に備えること、
   を特徴とする通信システム。
2. 前記Ｍ値擬似乱数列のＭは少なくともＺの階乗以上であり、
   前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを前記Ｚの階乗通り以下に切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備えること、
   を特徴とする請求項１記載の通信システム。
3. 前記Ｍ値擬似乱数列のＭは少なくともＺの階乗以上であり、
   前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを前記Ｚの階乗通り以下のｚ通りに切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、
   前記送信機が送信する前記信号が持つ雑音の確率分布の９９．７％信頼区間に前記ｚ種類以上の信号が属すること、
   を特徴とする請求項１記載の通信システム。
4. 前記Ｍ値擬似乱数列のＭは少なくとも前記Ｚの階乗以上であり、
   前記送信機は、
   前記Ｍ値擬似乱数列とは別の２以上のＹに対するＹ値擬似乱数列と、
   前記Ｍ値擬似乱数列および前記Ｙ値擬似乱数列を基に前記送信機に入力された送信データと前記Ｚ種類の信号との対応付けを前記Ｚの階乗通り以下のｚ通りに切り替える前記第１のメモリまたは前記第１の演算部とを備え、
   前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｚ／Ｙ種類以上の信号が属すること、
   を特徴とする請求項１記載の通信システム。
5. 前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、
   前記第１のメモリまたは前記第１の演算部は、
   同一の送信データに対応する複数の信号のうちいずれか一つを選択すること、
   を特徴とする請求項１記載の通信システム。
6. 前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、
   Ｚ／２以下の最大の整数をＦとして、
   前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、
   前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上に切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、
   前記第１のメモリまたは第１の演算部は、
   同一の送信データに対応する複数の信号のうちいずれか一つを選択すること、
   を特徴とする請求項１記載の通信システム。
7. 前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、
   Ｚ／２以下の最大の整数をＦとして、
   前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、
   前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上のｃ通りに切り替える前記第１のメモリまたは前記第１の演算部を前記送信機に備え、
   前記第１のメモリまたは前記第１の演算部は、
   同一の送信データに対応する複数の信号のうちいずれか一つを選択し、
   前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｃ種類以上の信号が属すること、
   を特徴とする請求項１記載の通信システム。
8. 前記通信基底をなす前記Ｚ種類の信号のうち同一の送信データに対応する信号が２つ以上あり、
   Ｚ／２以下の最大の整数をＦとして、
   前記Ｍ値擬似乱数列の前記Ｍは少なくとも_ＺＣ_Ｆ以上であり、
   前記送信機は、
   前記Ｍ値擬似乱数列とは別の２以上のＹに対するＹ値擬似乱数列と、
   前記Ｍ値擬似乱数列および前記Ｙ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを_ＺＣ_Ｆ通り以上のｃ通り以上に切り替える前記第１のメモリまたは前記第１の演算部とを備え、
   前記第１のメモリまたは前記第１の演算部は、
   同一の送信データに対応する複数の信号のうちいずれか一つを選択し、
   前記送信機が送信する信号が持つ雑音の確率分布の９９．７％信頼区間にｃ／Ｙ種類以上の信号が属すること、
   を特徴とする請求項１記載の通信システム。
9. 前記信号発信器はコヒーレント光発生器であり、
   前記通信基底をなす信号はコヒーレント光の強度または位相のいずれかひとつ以上で表現されていること、
   を特徴とする請求項１から８のいずれか１項記載の通信システム。
10. 通信路を介して伝送された信号を受信する信号検出器と、共通鍵と、前記共通鍵を元にＭ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部と、を備えた受信機、とは前記通信路を介して通信する送信機であって、
    前記共通鍵と、
    ３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、
    前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、
    前記Ｍ値擬似乱数列の出力を基に前記通信基底から１つの信号を発信する信号発信器と、
    前記Ｍ値擬似乱数列を基に入力された送信データと前記Ｚ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部と、
    を備えたことを特徴とする送信機。
11. 共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、前記Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器と、前記Ｍ値擬似乱数列を基に入力された送信データとＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部と、を備えた送信機とは通信路を介して通信する受信機であって、
    前記通信路を介して伝送された前記信号を受信する信号検出器と、
    前記共通鍵と、
    前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、
    前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、
    前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部と、
    を備えたこと、を特徴とする受信機。
12. 共通鍵と、３以上の整数Ｚに対して互いに異なるＺ種類の信号で一組を構成する通信基底と、Ｚ以上の整数Ｍに対してＭ値擬似乱数列を前記共通鍵から出力する擬似乱数生成器と、前記Ｍ値擬似乱数列の出力を基に通信基底から１つの信号を発信する信号発信器と、を備えた送信機、ならびに、通信路を介して伝送された前記信号を受信する信号検出器と、前記共通鍵と、前記共通鍵を元に前記Ｍ値擬似乱数列と同一の擬似乱数列を生成する擬似乱数生成器と、前記Ｍ値擬似乱数列を基に前記通信基底を構成する信号のうちいずれが受信されたのかを識別する信号識別部と、を備えた受信機、からなる通信システムの暗号化通信方法であって、
    前記送信機が、
    前記Ｍ値擬似乱数列を基に前記送信機に入力された送信データとＺ種類の信号との対応付けを２通り以上に切り替える第１のメモリまたは第１の演算部により前記送信データを暗号化し、前記通信路を介して送信するステップと、
    前記受信機が、
    前記Ｍ値擬似乱数列を基に前記信号識別部の出力を受信データに対応させる第２のメモリまたは第２の演算部により前記暗号化された前記送信データを復号化するステップと、
    を有することを特徴とする暗号化通信方法。