JPWO2005076519A1 - 量子鍵配送方法および通信装置 - Google Patents

Abstract

本発明の量子鍵配送方法では、受信側の通信装置が、極めて高い誤り訂正能力をもつＬＤＰＣ符号用のパリティ検査行列を用いて誤り訂正を行うこととした。また、本発明の量子鍵配送方法では、送信側の通信装置が生成した巡回符号シンドロームと、誤り訂正後の推定語に基づいて生成した推定巡回符号シンドロームと、を比較し、前記推定語の誤り検出を行うこととした。

Description

本発明は、高度に安全性の保証された共通鍵を生成することが可能な量子鍵配送方法に関するものであり、特に、誤り訂正符号を用いてデータ誤りを訂正可能な量子鍵配送方法および当該量子鍵配送を実現可能な通信装置に関するものである。

以下、従来の量子暗号システムについて説明する。近年、高速大容量な通信技術として光通信が広く利用されているが、このような光通信システムでは、光のオン／オフで通信が行われ、オンのときに大量の光子が送信されているため、量子効果が直接現れる通信系にはなっていない。
一方、量子暗号システムでは、通信媒体として光子を用い、不確定性原理等の量子効果が生じるように１個の光子で１ビットの情報を伝送する。このとき、盗聴者が、その偏光，位相等の量子状態を知らずに適当に基底を選んで光子を測定すると、その量子状態に変化が生じる。したがって、受信側では、この光子の量子状態の変化を確認することによって、伝送データが盗聴されたかどうかを認識することができる。
第１０図は、従来の偏光を利用した量子鍵配送の概要を示す図である。たとえば、水平垂直方向の偏光を識別可能な測定器では、量子通信路上の、水平方向（０°）に偏光された光と垂直方向（９０°）に偏光された光とを正しく識別する。一方、斜め方向（４５°，１３５°）の偏光を識別可能な測定器では、量子通信路上の、４５°方向に偏光された光と１３５°方向に偏光された光とを正しく識別する。
このように、各測定器は、規定された方向に偏光された光については正しく認識できるが、たとえば、斜め方向に偏光された光を水平垂直方向（０°，９０°）の偏光を識別可能な測定器にて測定すると、水平方向と垂直方向に偏光された光をそれぞれ５０％の確率でランダムに識別する。すなわち、識別可能な偏光方向に対応していない測定器を用いた場合には、その測定結果を解析しても、偏光された方向を正しく識別することができない。
第１０図に示す従来の量子鍵配送では、上記不確定性（ランダム性）を利用して、盗聴者に知られずに送信者と受信者との間で鍵を共有する（たとえば、非特許文献１参照。）。なお、送信者および受信者は、量子通信路以外に公開通信路を使用することができる。
ここで、鍵の共有手順について説明する。まず、送信者は、乱数列（１，０の列：送信データ）を発生し、さらに送信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応，×：斜め方向に偏光された光を識別可能な測定器に対応）をランダムに決定する。その乱数列と送信コードの組み合わせで、送信する光の偏光方向が自動的にきまる。ここでは、０と＋の組み合わせで水平方向に偏光された光を、１と＋の組み合わせで垂直方向に偏光された光を、０と×の組み合わせで４５°方向に偏光された光を、１と×の組み合わせで１３５°方向に偏光された光を、量子通信路にそれぞれ送信する（送信信号）。
つぎに、受信者は、受信コード（＋：水平垂直方向に偏光された光を識別可能な測定器，×：斜め方向に偏光された光を識別可能な測定器）をランダムに決定し、量子通信路上の光を測定する（受信信号）。そして、受信コードと受信信号の組み合わせによって受信データを得る。ここでは、受信データとして、水平方向に偏光された光と＋の組み合わせで０を、垂直方向に偏光された光と＋の組み合わせで１を、４５°方向に偏光された光と×の組み合わせで０を、１３５°方向に偏光された光と×の組み合わせで１を、それぞれ得る。
つぎに、受信者は、自身の測定が正しい測定器で行われたものかどうかを調べるために、受信コードを、公開通信路を介して送信者に対して送信する。受信コードを受け取った送信者は、正しい測定器で行われたものかどうかを調べ、その結果を、公開通信路を介して受信者に対して返信する。
つぎに、受信者は、正しい測定器で受信した受信信号に対応する受信データだけを残し、その他を捨てる。この時点で、残された受信データは送信者と受信者との間で確実に共有できている。
つぎに、送信者と受信者は、それぞれの通信相手に対して、共有データから選択した所定数のデータを、公開通信路を経由して送信する。そして、受け取ったデータが自身の持つデータと一致しているかどうかを確認する。たとえば、確認したデータの中に一致しないデータが１つでもあれば、盗聴者がいるものと判断して共有データを捨て、再度、鍵の共有手順を最初からやり直す。一方、確認したデータがすべて一致した場合には、盗聴者がいないと判断し、確認に使用したデータを捨て、残った共有データを送信者と受信者の共有鍵とする。
一方、上記従来の量子鍵配送方法の応用として、たとえば、伝送路上におけるデータ誤りを訂正可能な量子鍵配送方法がある（たとえば、非特許文献２参照。）。
この方法では、送信者が、データ誤りを検出するために、送信データを複数のブロックに分割し、ブロック毎のパリティを公開通信路上に送信する。そして、受信者が、公開通信路を経由して受け取ったブロック毎のパリティと受信データにおける対応するブロックのパリティとを比較して、データ誤りをチェックする。このとき、異なるパリティがあった場合、受信者は、どのブロックのパリティが異なっているのかを示す情報を公開通信路上に返信する。そして、送信者は、該当するブロックをさらに前半部のブロックと後半部のブロックに分割し、たとえば、前半部のパリティを公開通信路上に返信する（二分探索）。以降、送信者と受信者は、上記二分探索を繰り返し実行することによりエラービットの位置を特定し、最終的に受信者がそのビットを訂正する。
さらに、送信者は、データに誤りがあるにもかかわらず、偶数個の誤りのために正しいと判定されたパリティがある場合を想定し、送信データをランダムに並べ替えて（ランダム置換）複数のブロックに分割し、再度、上記二分探索による誤り訂正処理を行う。そして、ランダム置換によるこの誤り訂正処理を繰り返し実行することによって、すべてのデータ誤りを訂正する。
［非特許文献１］
Ｂｅｎｎｅｔｔ，Ｃ．Ｈ．ａｎｄ Ｂｒａｓｓａｒｄ，Ｇ．：Ｑｕａｎｔｕｍ Ｃｒｙｐｔｏｇｒａｐｈｙ：ＰｕｂｌｉｃＫｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ ａｎｄ Ｃｏｉｎ Ｔｏｓｓｉｎｇ，Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＩＥＥＥ Ｃｏｎｆｅｒｅｎｃｅ ｏｎＣｏｍｐｕｔｅｒｓ，Ｓｙｓｔｅｍ ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ，Ｂａｎｇａｌｏｒｅ，Ｉｎｄｉａ，ｐｐ．１７５−１７９（ＤＥＣ．１９８４）．
［非特許文献２］
Ｂｒａｓｓａｒｄ，Ｇ．ａｎｄ Ｓａｌｖａｉｌ，Ｌ．１９９３ Ｓｅｃｒｅｔ−Ｋｅｙ Ｒｅｃｏｎｃｉｌｉａｔｉｏｎ ｂｙ Ｐｕｂｌｉｃ Ｄｉｓｃｕｓｓｉｏｎ，Ｉｎ Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ’９３，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ７６５，４１０−４２３．
しかしながら、上記第１０図に示す従来の量子鍵配送においては、誤り通信路を想定していないため、誤りがある場合には盗聴行為が存在したものとして上記共通データ（共通鍵）を捨てることとなり、伝送路によっては共通鍵の生成効率が非常に悪くなる、という問題があった。
また、上記伝送路上におけるデータ誤りを訂正可能な量子鍵配送方法においては、エラービットを特定するために膨大な回数のパリティのやりとりが発生し、さらに、ランダム置換による誤り訂正処理が所定回数にわたって行われるため、誤り訂正処理に多大な時間を費やすことになる、という問題があった。
本発明は、上記に鑑みてなされたものであって、極めて高い特性を持つ誤り訂正符号を用いて伝送路上におけるデータ誤りを訂正しつつ、高度に安全性の保証された共通鍵を生成することが可能な量子鍵配送方法を提供することを目的とする。

本発明にかかる量子鍵配送方法は、暗号鍵の元となる乱数列を所定の量子状態で量子通信路上に送信する送信側の通信装置と、当該量子通信路上の光子を測定する受信側の通信装置、で構成された量子暗号システムにおける量子鍵配送方法であって、たとえば、各通信装置が、同一のパリティ検査行列（要素が「０」または「１」の行列）を生成する検査行列生成ステップ（後述する実施の形態のステップＳ１，Ｓ１１に相当）と、前記送信側の通信装置が、誤り検出のための巡回符号（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を生成する巡回符号生成ステップ（ステップＳ２に相当）と、前記受信側の通信装置が、光方向を正しく識別可能な測定器で測定した結果として得られた確率情報付きの受信データを保持し、前記送信側の通信装置が、前記受信データに対応する送信データ（乱数列の一部）を保持する送受信ステップ（ステップＳ３，Ｓ４，Ｓ１２，Ｓ１３に相当）と、前記送信側の通信装置が、前記パリティ検査行列および前記送信データに基づいて生成した誤り訂正情報と、前記巡回符号および前記送信データに基づいて生成した誤り検出情報と、を公開通信路を介して前記受信側の通信装置に通知する情報通知ステップ（ステップＳ５，Ｓ１４に相当）と、前記受信側の通信装置が、前記パリティ検査行列と前記確率情報付きの受信データと前記誤り訂正情報と前記誤り検出情報に基づいて、前記送信データを推定する送信データ推定ステップ（ステップＳ１５に相当）と、前記各通信装置が、公開された情報量に応じて送信データの一部を捨てて、残りの情報で暗号鍵を生成する暗号鍵生成ステップ（ステップＳ６，Ｓ１６に相当）と、を含むことを特徴とする。
この発明によれば、たとえば、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用のパリティ検査行列を用いて共有情報のデータ誤りを訂正し、さらに、巡回符号ＣＲＣを用いて共有情報（推定語）の誤り検出を行い、その後、公開された誤り訂正情報に応じて共有情報の一部を捨てることとした。

第１図は、本発明にかかる量子暗号システム（送信側および受信側の通信装置）の構成を示す図であり、第２図は、量子鍵配送の概要を示すフローチャートであり、第３図は、量子鍵配送の概要を示すフローチャートであり、第４図は、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法を示すフローチャートであり、第５図は、有限アフィン幾何符号ＡＧ（２，２^２）のマトリクスを示す図であり、第６図は、最終的な列の重み配分λ（γ_ｉ）と行の重み配分ρ_ｕを示す図であり、第７図は、巡回符号ＣＲＣ（ｎ×ｄ行列）の一例を示す図であり、第８図は、ｍ_ＡのシンドロームＳ_Ａよび巡回符号シンドロームＳ_Ｃの生成方法の概略構成を示す図であり、第９図は、本実施の形態のシンドローム復号法を示すフローチャートであり、第１０図は、従来の偏光を利用した量子鍵配送の概要を示す図である。

以下に、本発明にかかる量子鍵配送方法の実施の形態を図面に基づいて詳細に説明する。なお、この実施の形態によりこの発明が限定されるものではない。また、以下では、例として偏光を利用する量子鍵配送について説明するが、本発明は、たとえば、位相を利用するもの，周波数を利用するもの等にも適用可能であり、どのような量子状態を利用するかについては特に限定しない。
量子鍵配送は、盗聴者の計算能力によらず、安全性の保証された鍵配送方式であるが、たとえば、より効率よく共有鍵を生成するためには、伝送路を通ることによって発生するデータの誤りを取り除く必要がある。そこで、本実施の形態では、極めて高い特性をもつことが知られている低密度パリティ検査（ＬＤＰＣ：：Ｌｏｗ−Ｄｅｎｓｉｔｙ Ｐａｒｉｔｙ−Ｃｈｅｃｋ）符号を用いて誤り訂正を行う量子鍵配送について説明する。
第１図は、本発明にかかる量子暗号システム（送信側および受信側の通信装置）の構成を示す図である。この量子暗号システムは、情報ｍ_ａを送信する機能を備えた送信側の通信装置と、伝送路上で雑音等の影響を受けた情報ｍ_ａ、すなわち情報ｍ_ｂを受信する機能を備えた受信側の通信装置と、から構成される。
また、送信側の通信装置は、量子通信路を介して情報ｍ_ａを送信し、公開通信路を介してシンドロームＳ_Ａを送信し、これらの送信情報に基づいて暗号鍵（受信側との共通鍵）を生成する暗号鍵生成部１と、暗号化部２１が暗号鍵に基づいて暗号化したデータを、送受信部２２が公開通信路を介してやりとりする通信部２と、を備え、受信側の通信装置は、量子通信路を介して情報ｍ_ｂを受信し、公開通信路を介してシンドロームＳ_Ａを受信し、これらの受信情報に基づいて暗号鍵（送信側との共通鍵）を生成する暗号鍵生成部３と、暗号化部４２が暗号鍵に基づいて暗号化したデータを、送受信部４１が公開通信路を介してやりとりする通信部４と、を備える。
上記送信側の通信装置では、量子通信路上に送信する情報ｍ_ａとして、偏光フィルターを用いて所定の方向に偏光させた光を、受信側の通信装置に対して送信する。一方、受信側の通信装置では、水平垂直方向（０°，９０°）の偏光を識別可能な測定器と斜め方向（４５°，１３５°）の偏光を識別可能な測定器とを用いて、量子通信路上の、水平方向（０°）に偏光された光と垂直方向（９０°）に偏光された光と４５°方向に偏光された光と１３５°方向に偏光された光とを識別する。なお、各測定器は、規定された方向に偏光された光については正しく認識できるが、たとえば、斜め方向に偏光された光を水平垂直方向（０°，９０°）の偏光を識別可能な測定器にて測定すると、水平方向と垂直方向に偏光された光をそれぞれ５０％の確率でランダムに識別する。すなわち、識別可能な偏光方向に対応していない測定器を用いた場合には、その測定結果を解析しても、偏光された方向を正しく識別することができない。
以下、上記量子暗号システムにおける各通信装置の動作、すなわち、本実施の形態における量子鍵配送について詳細に説明する。第２図および第３図は、本実施の形態の量子鍵配送の概要を示すフローチャートであり、詳細には、第２図は送信側の通信装置の処理を示し、第３図は受信側の通信装置の処理を示す。
まず、上記送信側の通信装置および受信側の通信装置では、パリティ検査行列生成部１０，３０が、特定の線形符号のパリティ検査行列Ｈ（ｎ×ｋ行列）を求め、このパリティ検査行列Ｈから「ＨＧ＝０」を満たす生成行列Ｇ（（ｎ−ｋ）×ｎ行列）を求め、さらに、Ｇ^−１・Ｇ＝Ｉ（単位行列）となるＧの逆行列Ｇ^−１（ｎ×（ｎ−ｋ）行列）を求める（ステップＳ１，ステップＳ１１）。本実施の形態では、上記特定の線形符号として、シャノン限界に極めて近い優れた特性をもつＬＤＰＣ符号を用いた場合の量子鍵配送について説明する。なお、本実施の形態では、誤り訂正方式としてＬＤＰＣ符号を用いることとしたが、これに限らず、たとえば、ターボ符号等の他の線形符号を用いることとしてもよい。また、たとえば、後述する誤り訂正情報（シンドローム）が適当な行列Ｈと送信データｍ_Ａ（情報ｍ_ａの一部）の積Ｈｍ_Ａで表される誤り訂正プロトコル（たとえば、従来技術にて説明した「伝送路上におけるデータ誤りを訂正可能な量子鍵配送」に相当する誤り訂正プロトコル）であれば、すなわち、誤り訂正情報と送信データｍ_Ａの線形性が確保されるのであれば、その行列Ｈをパリティ検査行列として用いることとしてもよい。
ここで、上記パリティ検査行列生成部１０におけるＬＤＰＣ符号の構成法について、詳細には、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法（第２図ステップＳ１の詳細）について説明する。第４図は、有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成法を示すフローチャートである。なお、パリティ検査行列生成部３０については、パリティ検査行列生成部１０と同様に動作するのでその説明を省略する。また、本実施の形態における検査行列生成処理は、たとえば、設定されるパラメータに応じてパリティ検査行列生成部１０で実行する構成としてもよいし、通信装置外部の他の制御装置（計算機等）で実行することとしてもよい。本実施の形態における検査行列生成処理が通信装置外部で実行される場合は、生成済みの検査行列が通信装置に格納される。以降の実施の形態では、パリティ検査行列生成部１０で上記処理を実行する場合について説明する。
まず、パリティ検査行列生成部１０では、「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用の検査行列のベースとなる有限アフィン幾何符号ＡＧ（２，２^ｓ）を選択する（第４図、ステップＳ２１）。ここでは、行の重みと列の重みがそれぞれ２^ｓとなる。第５図は、たとえば、有限アフィン幾何符号ＡＧ（２，２^２）のマトリクスを示す図（空白は０を表す）である。
つぎに、パリティ検査行列生成部１０では、列の重みの最大値ｒ_１（２＜ｒ_１≦２^ｓ）を決定する（ステップＳ２２）。そして、符号化率ｒａｔｅ（１シンドローム長／鍵の長さ）を決定する（ステップＳ２２）。
つぎに、パリティ検査行列生成部１０では、ガウス近似法（Ｇａｕｓｓｉａｎ Ａｐｐｒｏｘｉｍａｔｉｏｎ）による最適化を用いて、暫定的に、列の重み配分λ（γ_ｉ）と行の重み配分ρ_ｕを求める（ステップＳ２３）。なお、行の重み配分の生成関数ρ（ｘ）はρ（ｘ）＝ρ_ｕｘ^ｕ−１＋（１−ρ_ｕ）ｘ^ｕとする。また、重みｕはｕ≧２の整数であり、ρ_ｕは行における重みｕの割合を表す。
つぎに、パリティ検査行列生成部１０では、有限アフィン幾何の行の分割により構成可能な、行の重み｛ｕ，ｕ＋１｝を選択し、さらに（１）式を満たす分割係数｛ｂ_ｕ，ｂ_ｕ＋１｝を求める（ステップＳ２４）。なお、ｂ_ｕ，ｂ_ｕ＋１は非負の整数とする。

具体的には、下記（２）式からｂ_ｕを求め、上記（１）式からｂ_ｕ＋１を求める。

つぎに、パリティ検査行列生成部１０では、上記決定したパラメータｕ，ｕ＋１，ｂ_ｕ，ｂ_ｕ＋１によって更新された行の重みの比率ρ_ｕ´，ρ_ｕ＋１´を（３）式により求める（ステップＳ２５）。

つぎに、パリティ検査行列生成部１０では、ガウス近似法による最適化を用いて、さらに上記で求めたｕ，ｕ＋１，ρ_ｕ´，ρ_ｕ＋１´を固定のパラメータとして、暫定的に、列の重み配分λ（γ_ｉ）を求める（ステップＳ２６）。なお、重みγ_ｉはγ_ｉ≧２の整数であり、λ（γ_ｉ）は列における重みγ_ｉの割合を表す。また、列数が１以下となる重み（λ（γ_ｉ）≦γ_ｉ／ｗ_ｔ，ｉは正の整数）を候補から削除する。ただし、ｗ_ｔはＡＧ（２，２^ｓ）に含まれる１の総数を表す。
つぎに、上記で求めた重み配分を満たし、かつ下記（４）式を満たす、列の重み候補のセット｛γ_１，γ_２，…γ_１（γ_１≦２^ｓ）｝を選択する（ステップＳ２７）。そして、下記の（４）式を満たさない列の重みγ_ｉが存在する場合には、その列の重みを候補から削除する。

なお、各ａは、列の重み２^ｓを構成するための｛γ_１，γ_２，…γ_１｝に対する非負の整数となる係数を表し、ｉ，ｊは正の整数であり、γ_ｉは列の重みを表し、γ_１は列の最大重みを表す。
つぎに、パリティ検査行列生成部１０では、ガウス近似法による最適化を用いて、さらに上記で求めたｕ，ｕ＋１，ρ_ｕ´，ρ_ｕ＋１´と｛γ_１，γ_２，…γ_１｝を固定パラメータとして、列の重み配分λ（γ_ｉ）と行の重み配分ρ_ｕを求める（ステップＳ２８）。
つぎに、パリティ検査行列生成部１０では、分割処理を行う前に、列の重み配分λ（γ_ｉ）と行の重み配分ρ_ｕを調整する（ステップＳ２９）。なお、調整後の各重みの配分は、可能な限りガウス近似法で求めた値に近い値にする。第６図は、ステップＳ２９における最終的な列の重み配分λ（γ_ｉ）と行の重み配分ρ_ｕを示す図である。なお、ｎ（γ_ｉ）は、重み単位の総列数を表し、ｎ_ｕは重み単位の総行数を表す。
最後に、パリティ検査行列生成部１０では、有限アフィン幾何における行および列を分割して（ステップＳ３０）、ｎ×ｋのパリティ検査行列Ｈを生成する。本発明における有限アフィン幾何符号の分割処理は、規則的に分割するのではなく、各行または各列から「１」をランダムに抽出する。なお、この抽出処理は、ランダム性が保持されるのであればどのような方法を用いてもよい。
このように、本実施の形態では、上記有限アフィン幾何に基づく「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」の構成去（第２図、ステップＳ１）を実行することによって、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用の検査行列Ｈ（ｎ×ｋ行列）を生成することができる。
上記のように、パリティ検査行列Ｈ（ｎ×ｋ行列），生成行列Ｇ，Ｇ^−１（Ｇ^−１・Ｇ＝Ｉ：単位行列）を生成後、つぎに、送信側の通信装置では、受信側の通信装置が送信データｍ_Ａを正確に推定できない可能性（送信データｍ_Ａと後述する推定語ｍ_Ｃが一致しない場合）があるので、特に、盗聴者の存在により誤判定の発生確率が高くなる場合があるので、このような誤判定確率を極力小さくするために、巡回符号生成部１６にて、誤り検出のための巡回符号ＣＲＣ（Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を生成する（第２図、ステップＳ２）。ここでは、上記で生成したパリティ検査行列Ｈとは別に、巡回符号ＣＲＣ（ｎ×ｄ行列）を生成する。
ここで、上記巡回符号生成部１６における巡回符号ＣＲＣ（ｎ×ｄ行列）の構成法（第２図ステップＳ２の詳細）について説明する。
たとえば、鍵長ｎをｎ＝７とし、ＧＦ（２）上の原始多項式ｇｘを多項式表現したときの最大次数ｄをｄ＝３とし、３次の原始多項式ｇｘをｇｘ＝ｘ^３＋ｘ＋１（ベクトル表現：［１０１１］）とした場合（ｎ×ｄのＣＲＣを構成する場合）、ＣＲＣの検査多項式ｘ^ｄ−１Ｈ（ｘ^−１）は下記（５）式のように表すことができる。なお、多項式Ｈ（ｘ）は、Ｈ（ｘ）＝（ｘ^ｎ＋１）／ｇｘである。

したがって、巡回符号ＣＲＣ（ｎ×ｄ行列）は、ＣＲＣの検査多項式ｘ^ｄ−１Ｈ（ｘ^−１）のベクトル表現：［１１１０１００］を巡回シフト（ｄ＝３）した、第７図に示すｎ×ｄの行列となる。第７図は、巡回符号ＣＲＣ（ｎ×ｄ行列）の一例を示す図である。
上記のように、巡回符号ＣＲＣ（ｎ×ｋ行列）を生成後、つぎに、送信側の通信装置では、乱数発生部１１が、乱数列ｍ_ａ（１，０の列：送信データ）を発生し、さらに送信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応したコード，×：斜め方向に偏光された光を識別可能な測定器に対応したコード）をランダムに決定する（第２図、ステップＳ３）。一方、受信側の装置では、乱数発生部３１が、受信コード（＋：水平垂直方向に偏光された光を識別可能な測定器に対応したコード，×：斜め方向に偏光された光を識別可能な測定器に対応したコード）をランダムに決定する（第３図、ステップＳ１２）。
つぎに、送信側の通信装置では、光子生成部１２が、上記乱数列ｍ_ａと送信コードの組み合わせで自動的に決まる偏光方向で光子を送信する（ステップＳ４）。たとえば、０と＋の組み合わせで水平方向に偏光された光を、１と＋の組み合わせで垂直方向に偏光された光を、０と×の組み合わせで４５°方向に偏光された光を、１と×の組み合わせで１３５°方向に偏光された光を、量子通信路にそれぞれ送信する（送信信号）。
光子生成部１２の光信号を受け取った受信側の通信装置の光子受信部３２では、量子通信路上の光を測定する（受信信号）。そして、受信コードと受信信号の組み合わせによって自動的に決まる受信データｍ_ｂを得る（ステップＳ１３）。ここでは、受信データｍ_ｂとして、水平方向に偏光された光と＋の組み合わせで０を、垂直方向に偏光された光と＋の組み合わせで１を、４５°方向に偏光された光と×の組み合わせで０を、１３５°方向に偏光された光と×の組み合わせで０を、それぞれ得る。なお、受信データｍ_ｂは、確率情報付きの硬判定値とする。
つぎに、受信側の通信装置では、上記測定が正しい測定器で行われたものかどうかを調べるために、乱数発生部３１が、受信コードを、公開通信路を介して送信側の通信装置に対して送信する（ステップＳ１３）。受信コードを受け取った送信側の通信装置では、上記測定が正しい測定器で行われたものかどうかを調べ、その結果を、公開通信路を介して受信側の通信装置に対して送信する（ステップＳ４）。そして、受信側の通信装置および送信側の通信装置では、正しい測定器で受信した受信信号に対応するデータだけを残し、その他を捨てる（ステップＳ４，Ｓ１３）。その後、残ったデータをメモリ等に保存し、その先頭から順にｎビットを読み出し、これを、正式な送信データｍ_Ａと受信データｍ_Ｂ（ｍ_Ｂは伝送路上で雑音等の影響を受けたｍ_Ａ：ｍ_Ｂ＝ｍ_Ａ＋ｅ（雑音等））とする。すなわち、ここでは、必要に応じてつぎのｎビットを読み出して、送信データｍ_Ａ受信データｍ_Ｂを生成する。本実施の形態では、残ったデータのビット位置が、送信側の通信装置と受信側の通信装置との間で共有できている。なお、ｍ_Ｂは、上記ｍ_ｂ同様、確率情報付きの硬判定値である。
つぎに、送信側の通信装置では、シンドローム生成部１４が、パリティ検査行列Ｈ（ｎ×ｋ行列）と巡回符号ＣＲＣ（ｎ×ｄ行列）とを連結し、連結後の行列と送信データｍ_Ａとを用いて、ｍ_ＡのシンドロームＳ_Ａ＝Ｈ×ｍ_Ａよび巡回符号シンドロームＳ_Ｃ＝ＣＲＣ×ｍ_Ａを計算し、その結果を、公開通信路通信部１３，公開通信路を介して受信側の通信装置に通知する（ステップＳ５）。第８図は、ｍ_ＡのシンドロームＳ_Ａおよび巡回符号シンドロームＳ_Ｃの生成方法の概略構成を示す図である。この段階で、ｍ_ＡのシンドロームＳ_Ａ（ｋビット分の情報）および巡回符号シンドロームＳ_Ｃ（ｄビット分の情報）は盗聴者に知られる可能性がある。一方、受信側の通信装置では、公開通信路通信部３４にてｍ_ＡのシンドロームＳ_Ａおよび巡回符号シンドロームＳ_Ｃを受信し、それをシンドローム復号部３３に通知する（ステップＳ１４）。
つぎに、シンドローム復号部３３では、本実施の形態のシンドローム復号法を用いて、元の送信データｍ_Ａを推定する（ステップＳ１５）。詳細には、雑音等による確率情報付きの硬判定値ｍ_Ｂの誤りを訂正することによって推定後ｍ_Ｃを生成し、推定後ｍ_Ｃに誤りがなければそれを元の送信データｍ_Ａと判定する。ここでは、「Ｓ_Ａ＝Ｈｍ_Ｃ」を満たすｍ_Ｃを確率情報付きの硬判定値ｍ_Ｂから推定し、その推定結果ｍ_Ｃに誤りがなければそれを共有情報ｍ_Ａとする。以下、本実施の形態のシンドローム復号法を詳細に説明する。
第９図は、本実施の形態のシンドローム復号法を示すフローチャートである。なお、上記のように、２元のｎ（列）×ｋ（行）の検査行列Ｈを想定した場合、ｉ列（１≦ｉ≦ｎ）ｊ行（１≦ｊ≦ｋ）目の要素をＨ_ｉｊと表記する。また、受信データｍ_Ｂをｍ_Ｂ＝（ｍ_Ｂ１，ｍ_Ｂ２，…，ｍ_Ｂｎ）とし、推定語（硬判定値）ｍ_Ｃをｍ_Ｃ＝（ｍ_Ｃ１，ｍ_Ｃ２，…，ｍ_Ｃｎ）とする。また、ｍ_ＡのシンドロームＳ_ＡをＳ_Ａ＝（Ｓ_Ａ１，Ｓ_Ａ２，…，Ｓ_Ａｋ）、また、通信路としては、条件付確率Ｐ（ｍ_Ｂ｜ｍ_Ｃ＝ｍ_Ａ）で記述される無記憶通信路を想定する。
まず、シンドローム復号部３３では、初期設定として、Ｈ_ｉｊ＝１を満たす全ての列と行の組み合わせ（ｉ，ｊ）の事前値をｑ_ｉｊ（０）＝１／２，ｑ_ｉｊ（１）＝１／２とする。ｑ_ｉｊ（０）はＨ_ｉｊが「０」である確率を表し、ｑ_ｉｊ（１）はＨ_ｉｊが「１」である確率を表す。そして、復号の反復回数を示すカウンタ値を１＝１（イテレーション：１回）とし、さらに、最大反復回数１_ｍａｘを設定する（ステップＳ３１）。
つぎに、シンドローム復号部３３では、ｊ＝１，２，…，ｋの順に、Ｈ_ｉｊ＝１を満たす全ての列と行の組み合わせ（ｉ，ｊ）について外部値ｒ_ｉｊ（０）とｒ_ｉｊ（１）を更新する（ステップＳ３２）。本実施の形態においては、たとえば、ｊ（１≦ｊ≦ｋ）番目のシンドロームＳ_Ａｊが「０」の場合、更新式（６），更新式（７）を用いて外部値ｒ_ｉｊ（０）とｒ_ｉｊ（１）を更新する。

一方、ｊ（１≦ｊ≦ｋ）番目のシンドロームＳ_Ａｊが「１」の場合は、更新式（８），更新式（９）を用いて外部値ｒ_ｉｊ（０）とｒ_ｉｊ（１）を更新する。

なお、上記Ｋは、「ｒ_ｉｊ（０）＋ｒ_ｉｊ（１）＝１」が成り立つように規定された値（正規化するための値）とする。また、上記Ｐ（ｍ_Ｂ｜ｍ_Ｃ）は、条件付確率、すなわち、推定語ｍ_Ｃが「０」または「１」の場合における受信データｍ_Ｂの確率を表す。また、上記部分集合Ａ（ｉ）は、検査行列Ｈのｉ列目において「１」が立っている行インデックスの集合を表し、部分集合Ｂ（ｊ）は、検査行列Ｈのｊ行目において「１」が立っている列インデックスの集合を表す。
上記更新処理を具体的に記載すると、たとえば、Ｓ_Ａｊ＝０，ｊ＝１，かつＨ_ｉ１＝１を満たす全ての列と行の組み合わせが（ｉ，１）＝（３，１）（４，１）（５，１）の場合、式（６），式（７）が適用され、外部値ｒ_３１（０），ｒ_３１（１）が式（１０），式（１１）のように更新される。すなわち、Ｈ_３１以外のＨ_４１，Ｈ_５１を用いて、外部値ｒ_３１（０），ｒ_３１（１）を更新する。ここでは、検査行列Ｈの３列１行目が「０」である確率と「１」である確率をそれぞれ求めている。

つぎに、シンドローム復号部３３では、ｉ＝１，２，…，ｎの順に、Ｈ_ｉｊ＝１を満たす全ての列と行の組み合わせ（ｉ，ｊ）について事前値ｑ_ｉｊ（０）とｑ_ｉｊ（１）を更新する（ステップＳ３３）。この更新処理は、式（１２），式（１３）にて表すことができる。

なお、上記Ｋ´は、「ｑ_ｉｊ（０）＋ｑ_ｉｊ（１）＝１」が成り立つように規定された値（正規化するための値）とする。
上記更新処理を具体的に記載すると、たとえば、ｉ＝３，かつＨ_ｉｊ＝１を満たす全ての列と行の組み合わせが（３，ｊ）＝（３，１）（３，２）（３，３）の場合、式（１２），式（１３）が適用され、事前値ｑ_３１（０），ｑ_３１（１）が式（１４），式（１５）のように更新される。すなわち、Ｈ_３１以外のＨ_３２，Ｈ_３３を用いて、事前値ｑ_３１（０），ｑ_３１（１）を更新する。

つぎに、シンドローム復号部３３では、事後確率（条件付確率×事前値）Ｑ_ｉ（０），Ｑ_ｉ（１）を求め、この事後確率から一時推定語ｍ_Ｃ´＝（ｍ_Ｃ１´，ｍ_Ｃ２´，…，ｍ_Ｃｎ´）を求める（ステップＳ３４）。すなわち、式（１６），式（１７）の計算結果に基づいて、式（１８）における一時推定語を得る。ここでは、イテレーション１回毎に判定処理を行う。

なお、上記Ｋ´´は、「Ｑ_ｉ（０）＋Ｑ_ｉ（１）＝１」が成り立つように規定された値（正規化するための値）とする。また、条件付確率Ｐ（ｍ_Ｂ｜ｍ_Ｃ＝０）は、式（１９），式（２０）のように定義され、ｐはビット誤り率を表す。

つぎに、シンドローム復号部３３では、一時推定語ｍ_Ｃ´が送信データｍ_Ａといえるかどうかを検査する（ステップＳ３５）。ここでは、たとえば、ｍ_Ｃ´＝（ｍ_Ｃ１´，ｍ_Ｃ２´，…，ｍ_Ｃｎ´）が「ｍ_Ｃ´×Ｈ^Ｔ＝Ｓ_Ａ」という条件を満たしていれば（ステップＳ３６、Ｙｅｓ）、当該ｍ_Ｃ´を推定語ｍ_Ｃ＝（ｍ_Ｃ１，ｍ_Ｃ２，…，ｍ_Ｃｎ）として出力する。
一方、上記条件を満たさない場合で、かつ１＜１_ｍａｘの場合は（ステップＳ３６、Ｎｏ）、カウンタ値１をインクリメントし、スデップＳ３２の処理を上記更新された値を用いて再度実行する。以降、上記条件を満たすまで（１＜１_ｍａｘの範囲で）、更新された値を用いてステップＳ３２〜３３６の処理を繰り返し実行する。
つぎに、シンドローム復号部３３では、上記推定語ｍ_Ｃ＝（ｍ_Ｃ１，ｍ_Ｃ２，…，ｍ_Ｃｎ）と、受信データｍ_Ｂ＝（ｍ_Ｂ１，ｍ_Ｂ２，…，ｍ_Ｂｎ）と、を比較（ＥＸＯＲ）し、エラーベクトル（受信データｍ_Ｂ＝ｍ_Ａ＋ｅ（雑音等）のｅに相当）を出力する（ステップＳ３７）。
つぎに、シンドローム復号部３３では、「Ｈ×ｍ_Ｃ＝Ｓ_Ａ」を満たす推定後ｍ_Ｃが複数個存在すること（ＨとＳ_Ａを固定した場合のｍ_Ｃのエントロピーは２^ｎ−ｋ個となる）が原因で誤判定が発生し、送信データｍ_Ａを正確に推定できない可能性（送信データｍ_Ａと上記で正しいと判定した推定語ｍ_Ｃが一致しない場合）があることから、上記推定語ｍ_Ｃの誤り検出を行う（ステップＳ３８）。ここでは、上記ステップＳ１４にて受信した巡回符号シンドロームＳ_Ｃ＝ＣＲＣ×ｍ_Ａと、式（２１）に示す推定巡回符号シンドロームＳ_Ｃ´と、を比較し、Ｓ_Ｃ＝Ｓ_Ｃ´であれば、推定語ｍ_Ｃに誤りがないと判断し、上記推定語ｍ_Ｃ＝（ｍ_Ｃ１，ｍ_Ｃ２，…，ｍ_Ｃｎ）を元の送信データｍ_Ａ＝（ｍ_Ａ１，ｍ_Ａ２，…，ｍ_Ａｎ）として出力し、第９図に示すアルゴリズムを終了する。一方で、Ｓ_Ｃ≠Ｓ_Ｃ´であれば、推定語ｍ_Ｃに誤りがあると判断し、この推定語ｍ_Ｃを捨てる。

ただし、上記ｒｅｍは、ＧＦ（２）上の除算ｍ_Ｃ／ｇｘの剰余を表す。
このように、上記本実施の形態の量子鍵配送で採用するシンドローム復号法においては、従来技術にて記載した誤り訂正で発生していた「エラービットを特定するための膨大な回数のパリティのやりとり（二分探索）」を排除し、極めて高い特性（誤り訂正能力）をもつＬＤＰＣ符号用のパリティ検査行列を用いて誤り訂正を行うこととした。これにより、短時間で伝送路上におけるデータ誤りを訂正しつつ、高度に安全性の保証された共通鍵を生成することができる。
また、本実施の形態では、送信側の通信装置が生成した巡回符号シンドロームＳ_Ｃと、推定語ｍ_Ｃに基づいて生成した推定巡回符号シンドロームＳ_Ｃ´と、を比較し、推定語ｍ_Ｃの誤り検出を行うこととした。これにより、受信データｍ_Ｂから判定した推定語ｍ_Ｃの誤判定確率を大幅に低減することができる。すなわち、元の送信データｍ_Ａを高精度に推定できる。
なお、本実施の形態においては、受信データｍ_Ｂおよびｍ_ｂを確率情報付きの硬判定値としたが、これに限らず、たとえば、軟判定値としてもよい。
上記のように送信データｍ_Ａを推定後、最後に、受信側の通信装置では、共有鍵生成部３５が、公開された誤り訂正情報（盗聴された可能性のある上記ｋビット分の情報：Ｓ_Ａ）に応じて共有情報（ｍ_Ａ）の一部を捨てて、ｎ−ｋビット分の情報量を備えた暗号鍵ｒを生成する（第３図、ステップＳ１６）。すなわち、共有鍵生成部３５では、先に計算しておいたＧ^−１（ｎ×（ｎ−ｋ））を用いて下記（２２）式により暗号鍵ｒを生成する。受信側の通信装置は、この暗号鍵ｒを送信側の通信装置との共有鍵とする、

一方で、送信側の通信装置においても、共有鍵生成部１５が、公開された誤り訂正情報（盗聴された可能性のある上記ｋビット分の情報：Ｓ_Ａ）に応じて共有情報（ｍ_Ａ）の一部を捨てて、ｎ−ｋビット分の情報量を備えた暗号鍵ｒを生成する（第２図、ステップ３６）。すなわち、共有鍵生成部１５では、先に計算しておいたＧ^−１（ｎ×（ｎ−ｋ））を用いて上記（２２）式により暗号鍵ｒを生成する（ステップＳ６）。送信側の通信装置は、この暗号鍵ｒを受信側の通信装置との共有鍵とする。
なお、本実施の形態においては、さらに、正則なランダム行列Ｒを用いて上記共有鍵を並べ替える構成としてもよい。これにより、秘匿性を増強させることができる。具体的には、まず、送信側の通信装置が、正則なランダム行列Ｒ（（ｎ−ｋ）×（ｎ−ｋ））を生成し、さらに、当該Ｒを、公開通信路を介して受信側の通信装置に通知する。ただし、この処理は、受信側の通信装置で行うこととしてもよい。その後、送信側および受信側の通信装置が、先に計算しておいたＧ^−１（ｎ×（ｎ−ｋ））とランダム行列Ｒを用いて下記（２３）式により暗号鍵ｒを生成する。

以上、本実施の形態おいては、確定的で特性が安定した「Ｉｒｒｅｇｕｌａｒ−ＬＤＰＣ符号」用のパリティ検査行列を用いて共有情報のデータ誤りを訂正し、さらに、巡回符号ＣＲＣを用いて共有情報（推定語）の誤り検出を行い、その後、公開された誤り訂正情報に応じて共有情報の一部を捨てる構成とした。これにより、エラービットを特定／訂正するための膨大な回数のパリティのやりとりがなくなり、誤り訂正情報を送信するだけで誤り訂正制御が行われるため、誤り訂正処理にかかる時間を大幅に短縮できる。
また、本実施の形態においては、送信側の通信装置が生成した誤り検出情報を用いて、受信側の通信装置が推定語の誤り検出を行うこととした。これにより、推定語の誤判定確率を大幅に低減することができ、元の送信データを高精度に推定できる。
また、本実施の形態においては、公開された情報に応じて共有情報の一部を捨てているので、高度に安全性の保証された共通鍵を生成することができる。
なお、本実施の形態では、ＨＧ＝０を満たす生成行列Ｇ（（ｎ−ｋ）×ｎ）から、Ｇ^−１・Ｇ＝Ｉ（単位行列）となる逆行列Ｇ^−１（ｎ×（ｎ−ｋ））を生成し、当該逆行列Ｇ^−１を用いて共有情報（ｎ）の一部（ｋ）を捨てて、ｎ−ｋビット分の情報量を備えた暗号鍵ｒを生成することとしたが、これに限らず、共有情報（ｎ）の一部を捨てて、ｍ（ｍ≦ｎ−ｋ）ビット分の情報量を備えた暗号鍵ｒを生成することとしてもよい。具体的にいうと、ｎ次元ベクトルをｍ次元ベクトルに写す写像Ｆ（・）を想定する。Ｆ（・）は、共有鍵の安全性を保証するために、「任意のｍ次元ベクトルｖに対して、写像Ｆと生成行列Ｇの合成写像Ｆ・Ｇにおける逆像（Ｆ・Ｇ）^−１（ｖ）の元の個数がｖによらず一定（２^{ｎ−ｋ−ｍ}）である」、という条件を満たす必要がある。このとき、共有鍵ｒは、ｒ＝Ｆ（ｍ_Ａ）となる。
また、本実施の形態においては、ステップＳ６，Ｓ１６の処理で、生成行列Ｇ^−１を用いずに、パリティ検査行列Ｈの特性を用いて共有情報の一部を捨てる構成としてもよい。具体的には、まず、共有鍵生成部１５，３５が、上記ステップＳ１，Ｓ１１で生成したパリティ検査行列Ｈの列に対してランダム置換を行う。そして、通信装置間で捨てるビットに関する情報を、公開通信路を介して交換する。たとえば、元の有限アフィン幾何ＡＧ（２，２^ｓ）の１列目の中から特定の「１」を選び、その位置を、公開通信路を介して交換する。その後、共有鍵生成部１５，３５が、上記置換後のパリティ検査行列から上記「１」に対応する分割後の位置、および巡回シフトされた各列における上記「１」に対応する分割後の位置を特定し、その特定した位置に対応する共有情報ｍ_Ａ内のビットを捨てて、残りのデータを暗号鍵ｒとする。これにより、複雑な生成行列Ｇ，Ｇ^−１の演算処理を削除することができる。

以上のように、本発明にかかる量子鍵配送方法および通信装置は、高度に安全性の保証された共通鍵を生成する技術として有用であり、特に、盗聴者が存在する可能性のある伝送路上の通信に適している。

Claims (7)

1. 暗号鍵の元となる乱数列を所定の量子状態で量子通信路上に送信する送信側の通信装置と、当該量子通信路上の光子を測定する受信側の通信装置、で構成された量子暗号システムにおける量子鍵配送方法において、
   各通信装置が、同一のパリティ検査行列（要素が「０」または「１」の行列）を生成する検査行列生成ステップと、
   前記送信側の通信装置が、誤り検出のための巡回符号（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を生成する巡回符号生成ステップと、
   前記受信側の通信装置が、光方向を正しく識別可能な測定器で測定した結果として得られた確率情報付きの受信データを保持し、前記送信側の通信装置が、前記受信データに対応する送信データ（乱数列の一部）を保持する送受信ステップと、
   前記送信側の通信装置が、前記パリティ検査行列および前記送信データに基づいて生成した誤り訂正情報と、前記巡回符号および前記送信データに基づいて生成した誤り検出情報と、を公開通信路を介して前記受信側の通信装置に通知する情報通知ステップと、
   前記受信側の通信装置が、前記パリティ検査行列と前記確率情報付きの受信データと前記誤り訂正情報と前記誤り検出情報に基づいて、前記送信データを推定する送信データ推定ステップと、
   前記各通信装置が、公開された情報量に応じて送信データの一部を捨てて、残りの情報で暗号鍵を生成する暗号鍵生成ステップと、
   を含むことを特徴とする量子鍵配送方法。
2. 前記送信データ推定ステップにあっては、
   初期設定として、前記パリティ検査行列内の要素「１」に対応する事前値を設定する初期設定ステップと、
   前記誤り訂正情報に応じて、前記パリティ検査行列内の要素「１」に対応する外部値を、同一行における他の要素「１」に対応する事前値および前記確率情報を用いて更新する処理、を行単位に実行する外部値更新ステップと、
   前記パリティ検査行列内の要素「１」に対応する事前値を、同一列における他の要素「１」に対応する前記更新後の外部値を用いて更新する処理、を列単位に実行する事前値更新ステップと、
   前記確率情報および前記更新後の事前値に基づいて事後確率を算出し、当該事後確率から一時推定語を求める（硬判定）一時推定ステップと、
   前記一時推定語が前記パリティ検査行列との間に確立されている所定の条件を満たす場合に、前記誤り検出情報を用いて当該一時推定語の誤り検出を行い、誤りがなければ当該一時推定語を元の送信データと判定し、前記所定の条件を満たさない場合に、当該条件を満たすまで前記更新後の値を用いて、前記外部値更新ステップ、前記事前値更新ステップおよび前記一時推定ステップを繰り返し実行する送信データ推定ステップと、
   を含むことを特徴とする請求の範囲第１項に記載の量子鍵配送方法。
3. 前記送信データ推定ステップにあっては、
   前記誤り検出情報と、前記一時推定語を用いて生成した推定誤り検出情報と、を比較し、一致していれば前記一時推定語に誤りがないと判断し、一致していなければ前記一時推定語に誤りがあると判断することを特徴とする請求の範囲第２項に記載の量子鍵配送方法。
4. 量子鍵配送により装置間で暗号鍵を共有する量子暗号システムを構成し、かつ暗号鍵の元となる乱数列を所定の量子状態で量子通信路上に送信する通信装置において、
   暗号鍵を共有する相手側装置と同一のパリティ検査行列を生成するパリティ検査行列生成手段と、
   誤り検出のための巡回符号（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を生成する巡回符号生成手段と、
   光方向を正しく識別可能な測定器で測定した結果として得られる相手側装置の受信データに対応する送信データ（乱数列の一部）および前記パリティ検査行列に基づいて生成した誤り訂正情報と、前記送信データおよび前記巡回符号に基づいて生成した誤り検出情報と、を公開通信路を介して前記相手側装置に通知する情報通知手段と、
   公開された情報量に応じて前記送信データの一部を捨てて、残りの情報で暗号鍵を生成する暗号鍵生成手段と、
   を備えることを特徴とする通信装置。
5. 量子鍵配送により装置間で暗号鍵を共有する量子暗号システムを構成し、かつ量子通信路上の光子（暗号鍵の元となる乱数列）を測定する通信装置において、
   暗号鍵を共有する相手側装置と同一のパリティ検査行列（要素が「０」または「１」の行列）を生成するパリティ検査行列生成手段と、
   誤り検出のための巡回符号（ＣＲＣ：Ｃｙｃｌｉｃ Ｒｅｄｕｎｄａｎｃｙ ｃｈｅｃｋ）を生成する巡回符号生成ステップと、
   前記パリティ検査行列、光方向を正しく識別可能な測定器で測定して得られた確率情報付きの受信データ、相手側装置から公開通信路を介して受信した誤り訂正情報および誤り検出情報に基づいて、元の送信データを推定する送信データ推定手段と、
   公開された情報量に応じて前記送信データの一部を捨てて、残りの情報で暗号鍵を生成する暗号鍵生成手段と、
   を備えることを特徴とする通信装置。
6. 前記送信データ推定手段は、
   初期設定として、前記パリティ検査行列内の要素「１」に対応する事前値を設定し、
   つぎに、前記誤り訂正情報に応じて、前記パリティ検査行列内の要素「１」に対応する外部値を、同一行における他の要素「１」に対応する事前値および前記確率情報を用いて更新する処理、を行単位に実行し、
   つぎに、前記パリティ検査行列内の要素「１」に対応する事前値を、同一列における他の要素「１」に対応する前記更新後の外部値を用いて更新する処理、を列単位に実行し、
   つぎに、前記確率情報および前記更新後の事前値に基づいて事後確率を算出し、当該事後確率から一時推定語を判定し、
   つぎに、前記一時推定語が前記パリティ検査行列との間に確立されている所定の条件を満たす場合に、前記誤り検出情報を用いて当該一時推定語の誤り検出を行い、誤りがなければ当該一時推定語を元の送信データと判定し、前記所定の条件を満たさない場合に、当該条件を満たすまで前記更新後の値を用いて、前記行単位の処理、前記列単位の処理および前記一時推定語判定処理を繰り返し実行することを特徴とする請求の範囲第５項に記載の通信装置。
7. 前記送信データ推定手段は、
   前記誤り検出情報と、前記一時推定語を用いて生成した推定誤り検出情報と、を比較し、一致していれば前記一時推定語に誤りがないと判断し、一致していなければ前記一時推定語に誤りがあると判断することを特徴とする請求の範囲第６項に記載の通信装置。

Images