WO2010103677A1 - 暗号通信システム - Google Patents

暗号通信システム Download PDF

Info

Publication number
WO2010103677A1
WO2010103677A1 PCT/JP2009/061893 JP2009061893W WO2010103677A1 WO 2010103677 A1 WO2010103677 A1 WO 2010103677A1 JP 2009061893 W JP2009061893 W JP 2009061893W WO 2010103677 A1 WO2010103677 A1 WO 2010103677A1
Authority
WO
WIPO (PCT)
Prior art keywords
random number
signal
base
basis
receiver
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2009/061893
Other languages
English (en)
French (fr)
Inventor
辰也 戸丸
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Hitachi Ltd
Original Assignee
Hitachi Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Hitachi Ltd filed Critical Hitachi Ltd
Priority to US13/201,001 priority Critical patent/US8582770B2/en
Priority to JP2011503641A priority patent/JP5280518B2/ja
Publication of WO2010103677A1 publication Critical patent/WO2010103677A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0819—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s)
    • H04L9/0822—Key transport or distribution, i.e. key establishment techniques where one party creates or otherwise obtains a secret value, and securely transfers it to the other(s) using key encryption key
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04B—TRANSMISSION
    • H04B10/00—Transmission systems employing electromagnetic waves other than radio-waves, e.g. infrared, visible or ultraviolet light, or employing corpuscular radiation, e.g. quantum communication
    • H04B10/70—Photonic quantum communication
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
    • H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
    • H04L9/0852—Quantum cryptography
    • H04L9/0858—Details about key distillation or coding, e.g. reconciliation, error correction, privacy amplification, polarisation coding or phase coding

Definitions

  • the present invention relates to an optical communication system, and more particularly to an encryption communication system with improved safety in optical communication.
  • Ciphers can be broadly divided into common key systems and public key systems.
  • the reason for security is that the common key method cannot be easily deciphered even if it is eavesdropped, and the reason for safety is that the public key requires an unrealistic time to decipher although the deciphering algorithm is known.
  • a cryptanalysis method may be discovered, and in the case of a public key, a faster solution than the currently known decryption algorithm may be discovered, and a quantum computer is realized.
  • quantum cryptography has attracted attention because it can be decrypted relatively easily using the current algorithm.
  • Quantum cryptography uses a quantum mechanical property to try to guarantee security in terms of physical laws. Whereas it is based on the safety that ordinary ciphers can be eavesdropped and difficult to decipher, quantum ciphers achieve safety in terms of physical laws. However, there is no worry that the safety will be threatened (Non-patent Document 1). However, as a matter of course, the quantum cryptography must use the quantum mechanical state. The quantum mechanical state easily changes from its original state (decoherence) due to interaction with the environment (decoherence), so there are many restrictions when applying quantum cryptography to an actual communication system. A transmission line such as an optical fiber always has a loss, and the loss changes the quantum state. Therefore, quantum cryptography is first limited in distance.
  • the maximum transmission distance is about 100 km. If there is a loss, it is normal communication to amplify to compensate for that, but amplification is also not allowed in quantum cryptography because it decoherens the original state. Furthermore, the feature of quantum cryptography is to use ultra-weak light. In order to operate such a quantum cryptography, there is a problem that the current optical communication system must be reconstructed. As seen above, it can be seen that there are many restrictions in operating quantum cryptography.
  • Non-patent Document 2 A method called the ⁇ scheme was proposed to solve the above-mentioned problems in quantum cryptography, and wiretapping was performed by setting signal bases to multiple values in phase space and setting adjacent bases within the range of quantum fluctuations. In such a case, accurate information is not given to a person (Non-patent Document 2). Since this scheme uses quantum fluctuations as a basis for safety, if the signal light intensity is too large, the effect of quantum fluctuations can be ignored, and sufficient safety cannot be obtained. Light intensity greater than that of quantum cryptography can be used, but the intensity needs to be sufficiently weaker than that in normal optical communication. Therefore, a method using anti-squeeze has been proposed as being applicable even with light intensity comparable to that of normal optical communication (Patent Document 1). It tries to make eavesdropping difficult by using multi-valued bases and anti-squeezed (spread) fluctuations. Anti-squeezed fluctuations are much larger than quantum fluctuations, so they are no longer quantum but classical fluctuations.
  • the mutual information amount I is a function of the bit error rate (BER). When there is no bit error, the mutual information amount I coincides with the information source entropy H (A) of the sender and decreases as the BER increases.
  • Quantum cryptography has emerged as a breakthrough improvement in security, but there are many problems in practical use, and one way to solve it is to use classic fluctuations like anti-squeezed light.
  • the accompanying carrier light is used.
  • the present invention discloses a method for forming this difference using classical fluctuations.
  • ⁇ Form a difference between authorized and unauthorized recipients by sharing seed keys between senders and receivers.
  • a binary random number is transmitted on two bases (generally, n and m are positive integers and n-value m-base) using a carrier light with classical fluctuation. Which of the two bases is adopted is determined by a random number. When operated ideally, since it is a random number-based random number signal, an unauthorized recipient cannot obtain any information.
  • a regular sender / receiver shares a base time series for transmitting / receiving a random number signal using a shared seed key (shared base).
  • Random numbers to be transmitted / received are not regarded as signals, but a random number base and a shared base are compared bit by bit, and only when they match, a random number superimposed thereon is shared between authorized senders and receivers.
  • a regular receiver collates a random number basis and a shared basis, a determination error occurs due to fluctuation of the carrier light, but it is corrected by using an error correction code. Since a legitimate receiver has base information, in principle, it is only necessary to make a binary decision with one known base. However, since an illegal receiver has no base information, a binary judgment must be made with two bases. The signal appears to the quaternary to the unauthorized recipient.
  • the BER when the binary determination is made from the quaternary signal is larger than that when the binary determination is made from the binary signal. This is the difference between legitimate recipients and unauthorized recipients.
  • the amount of information corresponding to this difference is the source of safe information.
  • a safe secret key can be obtained by correcting the safe information amount according to the redundancy of the error correction code and generating a random number of the corrected information amount by a privacy amplifier from a random number shared between the sender and the receiver. Using the obtained secret key, secure communication is realized by performing encrypted communication of an actual signal.
  • a new encryption key (secret key) is generated using the seed key as a starting point.
  • this method is based on a seed key, there is no effective attack method other than a brute force attack on the seed key because the newly generated secret key has been guaranteed in terms of information theory. Become. If there is no more effective attack method than a brute force attack on a seed key in cryptography, it is considered sufficiently secure. In that sense, the present invention realizes a sufficiently secure communication system. Furthermore, since the fluctuations used in the present invention are classical, they are resistant to loss and amplification, and are not subject to transmission distance limitations as in the case of transmitting quantum states. According to the present invention, it is possible to perform safe communication over a long distance using an existing optical fiber network.
  • FIG. 10 is a signal example when the present invention is realized based on the block diagram of FIG. 9.
  • FIG. It is a figure which shows typically the signal state on the phase space in the case of a binary 4 base. It is a figure which shows typically the signal state on the phase space in the case of quaternary 2 base.
  • generation It is a block diagram which shows the structural example for fluctuation light production
  • generation It is a block diagram which shows an example of the structure which superimposes a fluctuation on a laser and implement
  • FIG. 21 is a signal example when the present invention is realized based on the block diagram of FIG. 20.
  • phase fluctuations will be mainly shown as an example. Since the phase fluctuation is used, the modulation method is a phase modulation type. Either phase-shift keying (PSK) requiring reference light or differential type differential-phase-shift keying may be used.
  • PSK phase-shift keying
  • the signal is binary and the base number is 2. In this case, the signal appears to have four values.
  • n and m can be positive integers and can be easily extended to an n-value m basis, and in that case, an apparent signal has an n ⁇ m value.
  • FIG. 1 shows the principle for realizing it. It is assumed that legitimate transceivers share a seed key in advance, and the seed key is used to determine whether it is a q-axis basis or a p-axis basis.
  • FIG. 1B shows a binary signal in the case of a p-axis basis.
  • the legitimate receiver can be detected on the correct basis by the seed key, and in principle, binary determination can always be made in the state of fluctuation as shown in FIG. 1C, but the unauthorized receiver does not know the seed key, so FIG. It looks like a quaternary signal as shown in (d). As for the fluctuation of the quaternary signal, the overlap between adjacent ones increases, and the BER of the unauthorized recipient increases. Bit errors also occur in legitimate receivers, but the difference from unauthorized receivers is clear. This difference in bit error rate ensures a safe amount of information. The important point here is that an authorized receiver needs to make a binary decision from a quaternary signal, while an authorized recipient should make a binary decision from a binary signal. This difference produces a bit error rate difference. However, simply using the same key allows unauthorized recipients to estimate the basis, so it is a problem to devise a protocol that does not allow the basis estimation, and the present invention provides a solution to this.
  • FIG. 2 shows an overview of the communication protocol according to the present invention.
  • the layer 1 random numbers are transmitted and received using the fluctuation light. The safe amount of information is determined by the difference in BER between the legitimate recipient and the unauthorized recipient.
  • the amount of random number data is reduced to a private key by a privacy amplifier (C. H. Bennett , G. Brassard, C. Crepeau, and U. U. Maurer, “Generalized privacy amplification,” IEEE Trans.Inf. Theory 41, 1915 (1995).).
  • the layer 3 represents a normal signal transmission path, and uses the secret key obtained by the layer 2 to perform encrypted communication of the actual signal. In layer 3, it is not necessary to use fluctuation light.
  • Layer 1 sends and receives random numbers on a random basis.
  • the signal of the layer 1 is composed of only genuine random numbers including the base, no information is leaked even if it is illegally received.
  • the regular sender / receiver shares the shared basis in advance with the seed key, and only the data of the slot that matches the shared basis is adopted as the random number signal among the random number signals transmitted on the random number basis. Since the legitimate receiver also has a bit error, the actual processing is somewhat complicated as shown in the following specific embodiment, but in principle, the binary signal is binary-determined thanks to the seed key. .
  • the unauthorized receiver Since the unauthorized receiver must make a binary decision from the quaternary signal, the unauthorized receiver must receive random number data with a BER that is more disadvantageous than the authorized receiver. This difference in BER provides a safe amount of information between the legitimate sender and receiver, and a private key is obtained by the privacy amplifier (layer 2). The obtained secret key is extracted from the communication result using the seed key, but it is extracted from the difference in BER between the authorized recipient and the unauthorized recipient, and the extraction process is information-theoretic It is. This is important.
  • Layer 3 is a normal communication path and may be exposed to various attacks such as known plaintext attacks and selected plaintext attacks.
  • the layer 1 may be illegally received as a quaternary signal although there is a bit error. Therefore, there is a possibility that the ciphertext may be decrypted by comparing the illegal reception results of the layer 1 and the layer 3.
  • the secret key is extracted based on the difference regarding the BER between the authorized receiver and the unauthorized receiver, the unauthorized reception results of the layer 1 and the layer 3 are uncorrelated in information theory. . Since the layer 1 transmits and receives only random number signals, the illegal recipient cannot obtain data such as the correspondence between the ciphertext and the plaintext.
  • An illegal recipient can be obtained only with a true random number sequence except for the redundant portion of the error correction code. That is, when the amount of redundant information is removed by the privacy amplifier, there is no effective decryption method other than a brute force attack on the seed key. In order for an unauthorized receiver to realize decryption by an attack method that is more efficient than the brute force method, at least the layer 1 must be able to detect a random number signal with the same BER as the regular receiver. When this condition is satisfied, there is a possibility that a correlation appears between the unauthorized reception results of the layer 1 and the layer 3.
  • the method of the present invention is one-step security improved over ordinary encryption.
  • FIG. 3 shows a configuration example of a cryptographic communication system according to the present invention.
  • the transmitter 100 three random number generators (111, 112, 113) and two types of seed keys (121, 122) composed of random numbers are arranged.
  • the random number generator and the seed key can be divided into one each by dividing the output from one random number generator into three parts and dividing one kind of seed key into two parts.
  • the output of the random number generator 1 (111) is a random number that becomes a signal for generating a secret key, is encrypted using the seed key 2 (122), is encoded by the error correction encoder 141, and is stored in the buffer 131. Prepare to be sent.
  • the buffer 132 prepares the output of the random number generator 2 (112) as a random number for the dummy signal.
  • the random number generator 3 (113) converts the base into a random number, and the signal transmission of the layer 1 is performed based on the random number base.
  • a base shared between legitimate senders and receivers must be used.
  • the seed key 1 (121) is used.
  • the base is completely randomized by the random number generator 3 (113), but not all the random numbers transmitted and received are used as signals, but the random number base matches the base determined by the seed key 1 (121) It is assumed that random numbers are seen by unauthorized recipients, but regular recipients are seen by regular recipients.
  • FIG. 4 shows a specific example of the random number signal and the dummy random number processed by the above mechanism.
  • the q-axis base in FIG. 1 is set to “0”, and the p-axis base is set to “1”.
  • the random number base determined by the output of the random number generator 3 (113) is 010011101000100 as shown in FIG.
  • the base shared in advance between the sender and the receiver is 110100001101100.
  • the first basis of the shared basis is “1”, but the first of the random number basis determined by the random number generator 3 (113) is “0”, which is inconsistent.
  • a dummy random number A signal is transmitted by superimposing a standby in the buffer 132.
  • the superimposition of the signal is performed through the modulator 161 on the output light from the fluctuation light source 151.
  • the second output of the random number base (random number generator 3 (113)) is “1”.
  • the random number signal (waiting in the buffer 131) is superimposed and transmitted. To do. Since the next shared basis and random number basis are both “0”, the random number signal is continuously superimposed and transmitted. Thereafter, the same is repeated.
  • the timing at which the random number signal and the dummy random number are superimposed is determined depending on the output of the random number base (random number generator 3 (113)), so that the buffer 131 and the buffer 132 as shown in FIG. And waiting for a random number signal and a dummy random number. Since the signal (random signal and dummy random number) is binary and the base is also binary, the signal at the time of transmission is quaternary. In the column of “Transmission signal” in FIG. 4, signal values at the time of allocation in the phase space as shown in the lower left diagram are described. The random number in the “Signal” column is a random number signal, and the random number in the “Dummy” column is a dummy random number. Note that the random number data is error-corrected and encoded by an error correction encoder 141 in order to correct a bit error that occurs for a legitimate receiver.
  • Signals (random number signals and dummy random numbers) are transmitted through the optical transmission line 201 and received by the detector 311 in the receiver 300.
  • the detector 311 performs quaternary determination and binary determination simultaneously. This process is easy.
  • Two quadrature components (q-axis component and p-axis component) are measured by two sets of homodyne detectors.
  • a binary determination result for each base is obtained by performing binary determination (each component is positive or negative) on the output values I q and I p of each homodyne detector.
  • phase ⁇ is determined by arctan (I p / I q ) from the output values I q , I p of the two sets of homodyne detection results, four-value determination (“0”, “1”, “2”, “3”: (See FIG. 4). Since the base is randomized, the signal state appears to be four values even for a legitimate receiver. Therefore, it is first determined which base was used by determining four values. If the quaternary determination result is “0” or “2”, the base “0” is determined, and if the quaternary determination result is “1” or “3”, the base “1” and the random number base are determined.
  • the parity check function of the error correction code incorporated in the random number signal is used. If there is no error in the collation between the random number basis and the shared basis, the BER of the random number data becomes a small value estimated in advance, but if there is an error in the collation, a bit error will occur with a probability of 1/2 after the bit in which the error occurred. Therefore, the position where the bit error starts by the parity check can be almost specified. The position where this bit error has started is either whether a dummy random number has entered or the random number signal has dropped out. Therefore, the parity check is performed by removing the bit at the position where the bit error has started, and the parity check is performed by returning the bit discarded because it is determined to be a dummy, and a bit string almost free of bit errors is searched.
  • FIG. 4 shows a specific example of what happens when there is a bit error.
  • a rudimentary parity check bit is inserted in error correction coding by the error correction encoder 141. It is assumed that random number data is divided every 5 bits, and if the number of “1” is an odd number, it is “1”, and if it is an even number, it is “0”. The random number signal is shown in the “Signal” column on the transmission side in FIG. Parity for 5 bits from the left is inserted in the 6th bit. In FIG. 4, the parity bits are shown in italics. If there is no bit error during reception, the calculated parity of the received random number signal matches the value of the parity bit.
  • the bit with the underline added is a determination error.
  • bits that are not originally signal bits are treated as signal bits, and the shared random number increases by one bit.
  • the position of the parity check bit is shifted by 1 bit (on the receiving side in FIG. 4, the bit that the receiver recognizes as the parity bit is in italics.
  • the bit is shifted by 1 bit depending on whether there is a bit error or not. ).
  • the receiver performs a parity check without noticing that one bit has been shifted, the parity will not match with probability 1/2 after the bit in which the bit error has occurred. This makes it possible to roughly determine where a bit error has occurred.
  • the determination of the random number base of the bit that seems to be a bit error is changed and the processing of the receiver is repeated, and a bit string in which the parity is almost normal is searched. In the example on the receiving side in FIG. 4, an underlined bit is an error, and this bit is deleted from the shared random number, so that the bit error-free state can be restored.
  • the base collation is incorrect, and therefore, when returning, signal determination is performed based on a base different from the initial determination.
  • the signal determination at this time is binary determination because the base is fixed.
  • the processing in the receiver of this system is temporarily determined in four values, but is reduced to binary determination in the process of correcting the base determination error.
  • the BER is smaller than in the case of 4-level determination. This is a factor in which the legitimate receiver becomes informationally advantageous to the illegal receiver, and is brought about by the seed key 1 (121 and 321) shared in advance between the sender and the receiver.
  • the error correcting code is decoded and the seed key 2 (322) is decoded.
  • the output of the random number generator 1 (111) in the transmitter can be reproduced in the receiver.
  • the privacy amplifier (171 and 371) reduces the information amount of the random number signal shared between the sender and the receiver to the corrected information amount.
  • the privacy amplifier can be realized through logical operations, for example. It is assumed that 20% of the random numbers shared between the sender and the receiver is a safe amount of information, and the shared random number is '01001 01110'. If an exclusive OR is performed every 5 bits, it becomes “01”. In this process, all data are handled equally and the amount of information is reduced to 20%. This is an example of a privacy amplifier.
  • the BER of regular recipients and unauthorized recipients can be estimated as follows. As shown in FIG. 5, the directions of “0” and “1” of each base are assigned. If the signal state is taken as the signal “0” of the q-axis base (base “0”), the authorized receiver who knows that it is the q-axis base determines whether the measured value is on the right or left side with the p-axis as the boundary. do it. A bit error occurs when the authorized receiver obtains a measured value in the negative region of the q axis with respect to the signal “0”. If the fluctuation spread is sufficiently large compared to the quantum fluctuation and the classical handling of measurement is possible, the probability distribution of the signal “0” on the q-axis basis is given by the phase-related function P ( ⁇ ). The BER of the authorized recipient is described by the equation (1).
  • An unauthorized recipient will make a binary decision from a signal that appears to be quaternary, and if it finds a measurement value in areas 0 and 1, it will decide that the signal is “0”, and if it finds a measurement value in areas 2 and 3, it will Since it is determined as “1”, a bit error occurs when the measurement value is found in the region 2 and the region 3 for the signal “0”. Therefore, the BER of the unauthorized recipient is given by equation (2).
  • Probability distribution of the fluctuation P (theta) is, if using the magnitude ⁇ fluctuations given by equation (3), specifically the legitimate receiver bit error rate E B and unauthorized recipients bit error rate E E Can be requested.
  • FIG. 6 is a plot of E B and E E with 2 ⁇ as a variable. If the fluctuation of the Gaussian distribution is set so that the BER of the regular receiver is 10 ⁇ 12 , the BER of the illegal receiver is about 10 ⁇ 4 .
  • the error correction code (141) applied to the random number signal (111) does not need to be able to correct an error in the case of quaternary determination (two-base binary determination). In the base collation process in the receiver, it is only necessary to determine only positions where bit errors occur continuously. If the bit at the starting point of the continuous bit error can be specified, by correcting the bit, the BER is reduced to an expected value when the binary determination (one base binary determination) can be performed. On the contrary, if error correction can be performed with respect to quaternary determination (binary binary determination), the difference in BER based on the effect of fluctuation between the regular receiver and the illegal receiver is lost. That is, there is no difference between an authorized recipient who is guaranteed in terms of information theory and an unauthorized recipient.
  • an authorized recipient for example, BER
  • an error correction code is designed so that the continuous bit error starting points generated in the base matching process can be determined as easily as possible.
  • the signal transmitted / received by the layer 1 is a random number, and the base is determined by a true random number.
  • the random number signal is encrypted with the seed key 2 (122)
  • the seed key 2 (122) is not estimated by an unauthorized recipient because the signal is a random number. Since the seed key 1 (121) for determining the shared base is also buried in the random number base, an unauthorized recipient cannot be estimated here either. Since the illegal receiver cannot obtain meaningful information in the layer 1, the difference in BER formed between the legitimate receiver and the illegal receiver leads to a safe amount of information. However, it is necessary to correct the error correction code with redundancy. If the privacy amplifier executor 171 in the transmitter 100 and the privacy amplifier executor 371 in the receiver 300 operate with the same algorithm, a common secret key is formed between the transceivers.
  • the actual signal is encrypted by the encryptor 181 using the secret key generated in the transmitter, superimposed on the carrier light by the optical transmitter 182, and transmitted to the receiver 300 by the optical transmission line 202.
  • the optical transmitter 182 includes a light source and a modulator that modulates light emitted from the light source.
  • the receiver 300 receives the transmitted signal light by the photodetector 381 and converts it into an electrical signal, and the encryption / decryption device 382 uses the secret key to make a plain. This completes a series of secure cryptographic communication processes.
  • the communication performed on the optical transmission line 202 does not need to use carrier light with fluctuation, and may be normal optical communication.
  • the optical transmission lines 202 and 201 may be physically different, or wavelength multiplexing may be performed using the same optical transmission line.
  • Example 1 the random number base and the shared base are compared in pairs for each bit, and it is determined whether to transmit a random number signal or a dummy random number.
  • a method other than the first embodiment is also possible as a method for selecting the shared basis from the random number basis, and FIG. 7 shows an example of the configuration of a cryptographic communication system that realizes the method.
  • the shared basis and the random number basis are collated to determine which of the random number signal and the dummy random number is transmitted, as in the first embodiment.
  • the shared base and the random number base do not match, the shared base that has not been adopted is checked again with the random number base at the next bit to determine whether to transmit a random number signal or a dummy random number.
  • the shared basis is repeated until it matches the random number basis. In other words, the operation is performed so that the sequence of bases on which the random number signal is superimposed is aligned with the shared bases.
  • FIG. 8 shows the above mechanism as a specific example.
  • the random number base determined by the output of the random number generator 3 (113) is 00011101000100 in FIG.
  • the base shared in advance between the sender and receiver by the seed key 1 (121, 321) made up of random numbers is 10110000.
  • preparations are made for transmitting random number signals in a sequence of bases determined by shared bases.
  • the first base of the shared base is “1”, but the first of the random base determined by the random number generator 3 (113) is “0”, which is inconsistent.
  • a signal is transmitted by superimposing a dummy random number (output of the random number generator 2 (112)).
  • the shared basis “1” that was not matched is checked again with the next random number basis.
  • the second output of the random number base (random number generator 3 (113)) is “1”.
  • the random number signal is superimposed and transmitted.
  • the random number signal is subjected to error correction coding in the same manner as in the first embodiment, and for simplification, a parity bit is added every 5 bits as in the first embodiment. On the transmission side in FIG. 8, the parity bits are italicized.
  • the processing on the receiver 300 side is also modified from the processing in the first embodiment based on the modification of the processing on the transmitter 100 side.
  • quaternary determination is performed to determine which base is used in the same manner as in the first embodiment. This is compared with the shared basis, and if it matches, the random number data is adopted, and if it does not match, it is determined as a dummy random number.
  • the shared base that did not match is checked again with the random number base determined from the received signal next, and if it matches, the base and the random number data are adopted.
  • the parity after that position becomes an error with a probability of 1/2, and the position where the determination error has occurred is almost specified.
  • the position where this determination error occurred is either a dummy random number entered or the random number signal dropped out, so remove the bit near the position where the determination error occurred and repeat the base verification after that position to check the parity again.
  • perform a parity check by returning the bits that were discarded because it was determined to be a dummy near the position where there was a determination error, and performing the base check again after that position, and a bit string with almost no bit errors look for.
  • An example where there is no bit error and when there is no bit error is shown on the right side of FIG.
  • the base verification of the second bit from the left results in a determination error (indicated by an underline on the receiving side), and the random number signal that should originally be a shared random number is determined as a dummy random number. For this reason, the number of bits of the adopted data is reduced, the position of the parity bit is shifted, and the shared random number is completely different.
  • FIG. 8 it can be seen that when there is a basis determination error, the slot position of the shared random number changes so as not to retain the original pattern. In this case, the subsequent parity bits are erroneous with a probability of 1 ⁇ 2, and the position where the bit error occurred can be generally understood. If the position of the bit error can be almost specified, the bits in the vicinity thereof are corrected, and the correction is repeated until the bit error is almost eliminated and a BER that enables decoding of the error correction code is reached.
  • the protocol shown in FIG. 9 uses three random number generators (111, 112, 114) and three seed keys (122, 123, 124) made up of random numbers. Similar to the first embodiment, there is a method in which the output of one random number generator and one seed key are divided into three parts.
  • the arrangement of slots for sending random number signals and slots for sending dummy random numbers is determined by true random numbers using the random number generator 3 (113), but is determined by the pseudo random number generator 124 in this embodiment.
  • the base of the slot for transmitting the random number signal (output of the random number generator 1 (111)) is a shared base determined by the pseudo random number generator 123, and the slot of the slot for transmitting the dummy random number (output of the random number generator 2 (112)).
  • the base is determined by the random number generator 3 (114). In the present embodiment, it is determined in advance between the sender and the receiver by the seed key 2 (pseudorandom number generator 124) which slot of the transmission signal is embedded with the random number signal.
  • the transmission base is no longer a true random number, and the security is inferior to that of the first and second embodiments, but the data processing becomes easy.
  • FIG. 10 shows a specific example of the base and random number signal processing.
  • the shared base determined by the pseudo random number generator 123 is 10110000, and the random base determined by the random number generator 3 (114) is 0010111. It is the output 000111101000101 of the pseudo random number generator 124 that determines the arrangement of these two types of base information (the column “adopted slot” on the left side of FIG. 10).
  • the shared basis is the transmission basis
  • the random number basis is the transmission basis.
  • the transmission base of the result is 100101011000101.
  • the basis seen by the unauthorized recipient is a sequence of genuine random numbers (random number generator 3 (114)) and pseudorandom numbers (pseudorandom number generator 123) arranged using another pseudorandom number (pseudorandom number generator 124), Although pseudorandom number generators 123 and 124 are used, it is difficult to decipher the basis of each signal. Whether the random number signal is transmitted or the dummy random number is transmitted is determined by the pseudo random number generator 124, and the buffers 133 and 134 are provided as in the first and second embodiments so that the signal can be transmitted in accordance with the timing. .
  • the buffers 133 and 134 temporarily stand by each of these pairs.
  • the point that the random number signal (the output from the random number generator 1 (111)) is encrypted by the seed key 3 (122) and the point that the error correction encoding (141) is performed are the same as in the first and second embodiments. It is the same that the transmission signal appears to have four values.
  • the receiver performs projection detection on the q-axis base (base “0”) and the p-axis base (base “1”) using two sets of homodyne detectors 312 and 313, and performs binary determination. Only the detection result of the slot whose output of the pseudo random number generator 324 (the same as the output of the pseudo random number generator 124) corresponds to “0” is processed as the received random number, and the dummy slot (the output of the pseudo random number generator 324 is “ 1 ”) signal is ignored. Since the basis of the random number signal is determined by the output of the pseudo random number generator 323 (the same as the output of the pseudo random number generator 123), it is determined which of the two sets of homodyne outputs is to be adopted.
  • the output of the pseudo random number generator 324 that determines the slot of the shared base is synchronized with the transmission clock, so the random number signal is a part of the transmitted signal, so the output of the pseudo random number generator 323 that determines the shared base is the buffer 333. Wait for a while and adjust to the timing when the random number signal comes. Based on the output (shared base) of the pseudo-random number generator 323, the output of one of the two photodetectors 312 and 313 is adopted, and the output value (shared random number) is input to the buffer 334, and the output timing is adjusted. The data is input to the error correction code decoder 341.
  • the cipher is decrypted with the seed key 3 (322) (the same as the seed key 3 (122)), and the output of the random number generator 1 (111) in the transmitter is reproduced.
  • the random number signal can be shared between the transmitter and the receiver, the processing by the privacy amplifier executors (171 and 371) is performed in both the transmitter and the receiver, and the secret key is shared.
  • the actual signal encryption communication using the secret key is the same as in the first and second embodiments.
  • FIG. 11 is a diagram illustrating a signal state on the phase space in the case of the binary 4-base phase modulation method.
  • FIG. 11A shows a binary signal based on the q-axis
  • FIG. 11B shows a binary signal based on 45 ° rotated from the q-axis.
  • FIG. 11 (c) shows a p-axis base binary signal
  • FIG. 11 (d) shows a base binary signal rotated ⁇ 45 ° from the q-axis.
  • FIG. 12 is a diagram illustrating a signal state on the phase space in the case of the quaternary two-basis phase modulation method.
  • 12A shows a quaternary signal based on the q-axis and the p-axis
  • FIG. 12B shows a quaternary signal rotated by 45 ° from the case of FIG. 12A.
  • the fluctuation light source 151 which is an element common to each embodiment will be described.
  • Various forms of the fluctuation light source 151 are conceivable, but a method using the Kerr effect of an optical fiber is convenient.
  • An example is shown in FIG.
  • the output light from the laser light source 1510 is amplified by the optical amplifier 1521, passes through the band filter 1522, and propagates through the optical fiber 1523.
  • phase fluctuation is applied through the Kerr effect of the optical fiber.
  • the laser output light can be described relatively well in the coherent state, and the shape of the fluctuation in the phase space is circular, but it becomes elliptical through the Kerr effect of the optical fiber, and further progresses into a crescent shape.
  • Such light with an elliptical or crescent shape is called anti-squeezed light (T. Tomaru, and M. Ban, “Secure optical communication using antisqueezing,” Phys. Rev. A 74, 032312 (2006 ), T. Tomaru, “LD lightqueantisqueezing through fiber propagation in reflection-type interferometer,” Opt. Exp. 15, 11241 (2007)). Since the Kerr effect increases in proportion to the light intensity, it is effective to increase the peak intensity using pulsed light.
  • the pulse width, the light intensity, and the fiber dispersion value so as to satisfy the soliton condition (Japanese Patent Laid-Open No. 2008-003339). Further, if the light intensity is increased further than the above soliton condition, it becomes possible to satisfy the condition of higher-order solitons (Japanese Patent Laid-Open No. 2008-003339), and the pulse width reduction effect works and enhances the Kerr effect. it can. Further, at that time, the spectrum width is expanded, and the spectrum expansion exhibits the same effect as the phase fluctuation in phase detection, so that the effect of the fluctuation is further enhanced. Similar to the Kerr effect, the Raman effect is also effective in expanding phase fluctuations.
  • FIG. 14 shows an embodiment in which a fiber propagation part is reciprocated using an optical circulator 1524 and a Faraday mirror 1525.
  • the advantage is that the fiber length can be halved. Also, since the polarization rotates exactly 90 degrees when the fiber 1523 is reciprocated once regardless of the polarization state during fiber propagation, it is effective when it is desired to stabilize the polarization at the time of fluctuation generator output. It is also effective to increase the effect of phase fluctuation by incorporating a fiber interferometer in fluctuation generator 1520 and increasing the ratio of phase fluctuation to amplitude (T. Tomaru, “LD light antisqueezing through fiber propagation in reflection-type interferometer, ”Opt. Exp. 15, 11241 (2007)).
  • the above is what caused the phase fluctuation by the Kerr effect of the optical fiber. It is also possible to output light accompanied by phase fluctuation directly from a laser diode (LD). If the LD is operated near the oscillation threshold, the phase fluctuation is large. It is one method to use this property as it is.
  • LD laser diode
  • An injection current is required for LD oscillation. It is also possible to superimpose fluctuations (noise) on the injected current to generate the same effect as the fluctuation of the light source itself.
  • FIG. 15 shows such a case.
  • a fluctuation generation source for example, use of thermal fluctuation can be considered.
  • the output of the random number generator can be multivalued to make it equivalent to fluctuation.
  • the superimposition of fluctuation can also be performed in the modulator 161.
  • the modulator 161 is installed for signal superimposition. If the fluctuation is superimposed simultaneously with the signal superimposition, the modulator 161 works equivalent to the case where the light source fluctuates (FIG. 16).
  • the fluctuation generation source 1630 it is conceivable to use thermal fluctuation, to make the output of the random number generator multivalued, and to make it equivalent to fluctuation.
  • FIG. 17 shows the state of the intensity distribution function when operating on a binary binary basis.
  • the signal intensity of “0” and “1” varies depending on the base.
  • FIG. 17A and FIG. 17B are binary signals when the bases are different. Due to the difference in the basis, the threshold values of “0” and “1” are different between FIG. 17A and FIG.
  • the signal state has a total of four values as shown in FIG. Since there is an overlap in the probability distribution, bit errors increase.
  • the regular receiver who knows the base may make a quaternary determination once in the determination process as in the first and second embodiments. However, since a binary determination can be made in principle, as shown in FIG. Binary determination can be performed with almost no overlapping distribution.
  • Binary decision and quaternary decision are the same for the phase modulation method and the intensity modulation method. Therefore, the signal processing for the phase modulation method shown in the first to third embodiments can be similarly performed for the case of the intensity modulation method.
  • the embodiments of the present invention have been described above using the phase modulation method as a main example. However, as mentioned in the fifth embodiment, the present invention is established without distinction between the phase modulation method and the intensity modulation method.
  • the embodiment has been described mainly taking the binary base as an example, as described with reference to FIGS. 11 and 12, the present invention can also be applied to a case of a multi-value multi-base.
  • an error correction code is used for correcting a bit error that remains slightly even for a legitimate receiver and for correcting a base collation error in the receiver.
  • the random number data made redundant by the error correction code is transmitted through the optical transmission line 201 shown in FIGS.
  • the optical transmission line 201 it is ideal that a random number signal is transmitted on a random number basis. Therefore, consider transmitting the error correction code redundancy by the optical transmission line 202. As a result, only a complete random number signal is transmitted to the optical transmission line 201.
  • the optical transmission line 202 is a normal transmission line, there is no safety for redundancy, but the amount of information for redundancy is originally subtracted from the amount of safe information in the process of secret key generation, so this is not a problem.
  • the parity check function inherent in the error correction code is used to determine the basis, the basis verification error is corrected based on the result of the parity check, and the random number signal and the dummy random number are obtained. I was identifying.
  • the signal redundancy is also transmitted as a series of data together with the random data, so it is not determined at the first processing stage of the receiver which is the random data and which is the redundancy.
  • the redundant part was fixed while correcting the base verification error. Therefore, the data processing has to be complicated.
  • the redundant part is transmitted through the optical transmission line 202, the redundant part data for the parity check is fixed and reaches the receiver without fail, so the complexity of the base determination process in the receiver is reduced, and the circuit implementation When doing so, calculation time and calorific value are alleviated.
  • FIG. 18 shows a configuration example of a cryptographic communication system according to the present invention.
  • the transmitter 100 three random number generators (111, 112, 113) and two kinds of seed keys (121, 122) composed of random numbers are arranged.
  • the random number generator and the seed key can be divided into one each if the output from one random number generator is divided into three parts and one kind of seed key is divided into two parts.
  • the output of the random number generator 1 (111) is a random number that becomes a signal for generating a secret key, is encrypted using the seed key 2 (122), and is encoded by the error correction encoder 141.
  • an information symbol portion and a parity check symbol portion are separated, and the former is called a random number code and the latter is called a check symbol.
  • the random number code is prepared for transmission in the buffer 131.
  • the buffer 132 prepares the output of the random number generator 2 (112) as a random number for the dummy signal.
  • the random number generator 3 (113) converts the base into a random number, and the signal transmission of the layer 1 is performed based on the random number base.
  • the seed key 1 (121) is used.
  • the base is completely randomized by the random number generator 3 (113), but not all the random numbers transmitted and received are used as signals, but the random number base matches the base determined by the seed key 1 (121) It is assumed that random numbers are seen by unauthorized recipients, but regular recipients are seen by regular recipients.
  • FIG. 19 A specific example of the random number signal and the dummy random number processed by the above mechanism is shown in FIG.
  • the q-axis base in FIG. 1 is set to “0”, and the p-axis base is set to “1”.
  • the random number base determined by the output of the random number generator 3 (113) is assumed to be 010011101000100 as shown in FIG.
  • the base shared in advance between the sender and the receiver is 110100001101100.
  • the first basis of the shared basis is “1”
  • the first of the random number basis determined by the random number generator 3 (113) is “0”, which is inconsistent.
  • a dummy random number A signal is transmitted by superimposing a standby in the buffer 132.
  • the superimposition of the signal is performed through the modulator 161 on the output light from the fluctuation light source 151.
  • the second output of the random number base (random number generator 3 (113)) is “1”.
  • the random number code (waiting in the buffer 131) is superimposed and transmitted. To do. Since the next shared basis and random number basis are both “0”, the random number code is continuously superimposed and transmitted. Thereafter, the same is repeated.
  • the timing at which the random number code and the dummy random number are superimposed is determined depending on the output of the random number base (random number generator 3 (113)). Therefore, as shown in FIG. And waiting for a random number code and a dummy random number. Since the signal (random number code and dummy random number) is binary and the base is also binary, the signal at the time of transmission is quaternary.
  • the column of “Transmission signal” in FIG. 19 signal values when allocation in the phase space as shown in the lower left diagram is described.
  • the random number in the “Signal” column is a random number code
  • the random number in the “Dummy” column is a dummy random number.
  • the “parity check” column represents a parity check symbol. Here, as an example, the parity for every 5 bits of the random number signal is treated as a check symbol.
  • the parity check symbol generated by the error correction encoder 141 is multiplexed with other signals sent on the normal transmission line in the signal processing unit 183 for transmission on the normal optical transmission line 202.
  • This multiplexing is a method performed in normal communication such as packetization or time multiplexing. Thereafter, the light is guided to the optical transmitter 182 and transmitted to the receiver 300 through the optical transmission path 202. Light is received by the photodetector 381, converted into an electrical signal, and sent to the signal processing unit 383.
  • the signal processing unit 383 separates the multiplexed signal sequence into a state before multiplexing, and the check symbol is separated from other signals here.
  • the signals (random code and dummy random number) are transmitted by the optical transmission line 201 and received by the detector 311 in the receiver 300.
  • the detector 311 performs quaternary determination and binary determination simultaneously. This process is easy.
  • Two quadrature components (q-axis component and p-axis component) are measured by two sets of homodyne detectors.
  • a binary determination result for each base is obtained by performing binary determination (each component is positive or negative) on the output values I q and I p of each homodyne detector.
  • phase ⁇ is determined by arctan (I p / I q ) from the output values I q , I p of the two sets of homodyne detection results, four-value determination (“0”, “1”, “2”, “3”: (See FIG. 19). Since the base is randomized, the signal state appears to be four values even for a legitimate receiver. Therefore, it is first determined which base was used by determining four values. If the quaternary determination result is “0” or “2”, the base “0” is determined, and if the quaternary determination result is “1” or “3”, the base “1” and the random number base are determined.
  • a parity check symbol transmitted through the optical transmission line 202 is used. If there is no error in the collation between the random number basis and the shared basis, the BER of the random number data becomes a small value estimated in advance, but if there is an error in the collation, a bit error will occur with a probability of 1/2 after the bit in which the error occurred. Therefore, if a parity check is performed, the position where the bit error has started can be almost specified. The position at which this bit error has started is either a dummy random number has been entered or the random number code has been dropped. Therefore, the parity check is performed by removing the bit at the position where the bit error has started, and the parity check is performed by returning the bit discarded because it is determined to be a dummy, and a bit string almost free of bit errors is searched.
  • FIG. 19 also shows a specific example of what happens when there is a bit error.
  • error correction coding with an elementary parity check function is performed in the error correction encoder 141. Random number data is divided every 5 bits. If the number of “1” is odd, “1” is used, and if it is even, “0” is used as a check symbol. The random number code is shown in the “Signal” column on the transmission side in FIG. The parity for 5 bits from the left is 1 and is shown in the “parity check” column. If there is no bit error at the time of reception, the calculated parity of the received random number code matches the value of the check symbol.
  • the determination of the random number base on the receiving side is incorrect at the sixth bit from the left in FIG.
  • the bit with the underline added is a determination error.
  • bits that are not originally signal bits are treated as signal bits, and the shared random number increases by one bit.
  • the receiver performs a parity check without noticing that one bit has been increased, the parity will not match with a probability of 1/2 after the bit in which the bit error has occurred. This makes it possible to roughly determine where a bit error has occurred.
  • the determination of the random number base of the bit that seems to be a bit error is changed and the processing of the receiver is repeated, and a bit string in which the parity is almost normal is searched. In the example on the receiving side in FIG. 19, an underlined bit is an error, and this bit is deleted from the shared random number, so that the bit error-free state can be restored.
  • the base collation is incorrect, and therefore, when returning, signal determination is performed based on a base different from the initial determination.
  • the signal determination at this time is binary determination because the base is fixed.
  • the processing in the receiver in this system is temporarily determined in four values, but is reduced to binary determination in the process of correcting the base error.
  • the BER is smaller than in the case of 4-level determination. This is a factor in which the legitimate receiver becomes informationally advantageous to the illegal receiver, and is brought about by the seed key 1 (121 and 321) shared in advance between the sender and the receiver.
  • the error correcting code is decoded and the seed key 2 (322) is decoded.
  • the output of the random number generator 1 (111) in the transmitter can be reproduced in the receiver.
  • the privacy amplifier (171 and 371) reduces the information amount of the random number signal shared between the sender and the receiver to the corrected information amount.
  • the privacy amplifier can be realized through logical operations, for example. It is assumed that 20% of the random numbers shared between the sender and the receiver is a safe information amount and the shared random number is ‘01001 01110’. If an exclusive OR is performed every 5 bits, it becomes “01”. In this process, all data are handled equally and the amount of information is reduced to 20%. This is an example of a privacy amplifier.
  • the BER of regular recipients and unauthorized recipients can be similarly estimated by the method described in the first embodiment. As shown in FIG. 6, if the fluctuation of the Gaussian distribution is set so that the BER of the regular receiver is 10 ⁇ 12 , the BER of the unauthorized receiver is about 10 ⁇ 4 .
  • the error correction code (141) applied to the random number signal (111) does not need to be able to correct an error in the case of quaternary determination (two-base binary determination). In the base collation process in the receiver, it is only necessary to determine only positions where bit errors occur continuously. If the bit at the starting point of the continuous bit error can be specified, the bit is corrected, so that the BER is reduced to an expected value when binary (one base binary) can be determined. On the other hand, if error correction can be performed with respect to quaternary (binary binary) determination, the difference in BER based on the effect of fluctuations between the regular recipient and the unauthorized recipient is lost. That is, there is no informationally guaranteed difference between the legitimate recipient and the illegal recipient.
  • the ability of an error correction code applied to a random number signal is judged as a regular recipient (one base binary signal determination) For example, it is necessary that the BER is 10 ⁇ 12 ), and that it is insufficient for an unauthorized receiver (for example, the BER is 10 ⁇ 4 ) that needs to determine a signal with a binary basis. Furthermore, it is desirable that the error correction code is designed so that the continuous bit error starting points generated in the base matching process can be determined as easily as possible.
  • the signal transmitted and received on the optical transmission line 201 is a random number, and the base is also determined by a true random number.
  • the random number signal is encrypted with the seed key 2 (122)
  • the seed key 2 (122) is not estimated by an unauthorized recipient because the signal is a random number. Since the seed key 1 (121) for determining the shared base is also buried in the random number base, an unauthorized recipient cannot be estimated here either. Since the illegal receiver cannot obtain meaningful information on the optical transmission line 201, the difference in BER formed between the regular receiver and the illegal receiver brings a safe amount of information. However, it is necessary to correct the error correction code with redundancy. If the privacy amplifier executor 171 in the transmitter 100 and the privacy amplifier executor 371 in the receiver 300 operate with the same algorithm, a common secret key is formed between the transceivers.
  • the actual signal is encrypted by the encryptor 181 using the secret key generated in the transmitter, multiplexed with other signals by the signal processing unit 183, and superimposed on the carrier light by the optical transmitter 182 for optical transmission. It is transmitted to the receiver 300 through the path 202.
  • the optical transmitter 182 includes a light source and a modulator that modulates light emitted from the light source.
  • the receiver 300 receives the transmitted signal light by the photodetector 381 and converts it into an electrical signal.
  • the electrical signal is returned to the state of the signal before multiplexing by the signal processing unit 383, and the encrypted signal is received.
  • the separated and encrypted signal is decrypted in the decryptor 382 using the secret key. This completes a series of secure cryptographic communication processes.
  • the communication performed on the optical transmission line 202 does not need to use carrier light with fluctuation, and may be normal optical communication.
  • the optical transmission lines 202 and 201 may be physically different, or wavelength multiplexing may be performed using the same optical transmission line.
  • Example 6 the random number base and the shared base are compared in pairs for each bit, and it is determined whether to transmit a random number code or a dummy random number.
  • a method other than the sixth embodiment is also possible as a method for selecting a shared basis from among random number bases, and FIG. 20 shows a configuration example of a cryptographic communication system that realizes the method.
  • the present embodiment is the same as the method of the sixth embodiment in that the shared basis and the random number basis are collated to determine which of the random number code and the dummy random number is transmitted. However, if the shared base and the random number base do not match, the shared base that has not been adopted is checked again with the random number base at the next bit to determine whether to transmit a random number code or a dummy random number. The shared basis is repeated until it matches the random number basis. In other words, the operation is performed so that the sequence of bases on which the random number codes are superposed coincides with that of the shared bases.
  • FIG. 21 shows the above mechanism as a specific example.
  • the random number base determined by the output of the random number generator 3 (113) is 010011101000100 in FIG.
  • the base shared in advance between the sender and receiver by the seed key 1 (121, 321) made up of random numbers is 10110000.
  • preparations are made for transmitting random number signals in a sequence of bases determined by shared bases.
  • the first basis of the shared basis is “1”, but the first of the random number basis determined by the random number generator 3 (113) is “0” and does not match.
  • a signal is transmitted by superimposing a dummy random number (output of the random number generator 2 (112)).
  • the shared basis “1” that was not matched is checked again with the next random number basis.
  • the second output of the random number base (random number generator 3 (113)) is “1”.
  • the random number code is superimposed and transmitted.
  • the random number signal is subjected to error correction coding in the same manner as in the sixth embodiment, and is separated by the error correction encoder 141 into a random number code in the information symbol portion and a redundant parity check symbol. For simplification, the parity for every 5 bits is a check symbol as in the sixth embodiment.
  • the processing on the receiver 300 side is also modified from the processing of the sixth embodiment based on the modification of the processing on the transmitter 100 side.
  • quaternary determination is performed, and which base is used is the same as in the method of the sixth embodiment. This is compared with the shared base, and if it matches, the random number data is adopted as a random number code, and if it does not match, it is determined as a dummy random number.
  • the shared base that did not match is checked again with the random number base determined from the received signal next, and if it matches, the base and the random number data are adopted. If there is a base determination error, the parity after that position becomes an error with a probability of 1/2, and the position where the determination error has occurred is almost specified.
  • the position where this determination error occurred was either a dummy random number entered or the random number code was missing, so remove the bits near the position where the determination error occurred and repeat the base verification after that position to perform the parity check again.
  • perform a parity check by returning the bits discarded because it was determined to be a dummy near the position where there was a determination error, and performing the base check again after that position, and a bit string with almost no bit errors look for. Examples of cases where there is no basis determination error and cases where there is no basis determination are shown on the right side of FIG.
  • the base verification of the second bit from the left results in a determination error (indicated by an underline on the receiving side), and the random number signal that should originally be a shared random number is determined as a dummy random number. For this reason, the number of bits of the adopted data is reduced, and the shared random number is completely different.
  • the slot position of the shared random number changes so as not to remain the original when there is a basis determination error.
  • the subsequent parity check is erroneous with a probability of 1 ⁇ 2, and the position where the bit error occurred can be generally understood. If the position of the bit error can be almost specified, the bits in the vicinity thereof are corrected, and the correction is repeated until the bit error is almost eliminated and a BER that enables decoding of the error correction code is reached.
  • a secure secret key can be generated using the seed key as a starting hand and using fluctuations.
  • the present invention is based on the seed key, the process of generating the secret key is guaranteed in terms of information theory. Therefore, even if an unauthorized recipient tries to decipher the ciphertext, there is no effective attack method other than a brute force attack on the seed key. In other words, it is freed from the threat that an efficient cryptanalysis method may be discovered.
  • the system according to the present invention can use the current optical communication network as it is, and is a realistic and highly applicable system. For these two reasons, the present invention has high industrial applicability.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Physics & Mathematics (AREA)
  • Computer Security & Cryptography (AREA)
  • Electromagnetism (AREA)
  • Theoretical Computer Science (AREA)
  • Optics & Photonics (AREA)
  • Optical Communication System (AREA)

Abstract

　現在の光ファイバ網を利用して、情報漏えいに関して高い安全性を持った通信を実現する。 (1) 送受信者間で予め種鍵を共有し、揺らぎを伴ったキャリア光を用い、乱数で決定される基底を用いて乱数を送受信する。送受信者は種鍵で決まる共有基底と乱数基底を照合し、一致したスロットに重畳された乱数信号のみを採用し、送受信者間で乱数を共有する。この際、キャリア光に揺らぎがあるので受信結果にビット誤りがあるが、種鍵のおかげで正規受信者は不正受信者よりも小さいビット誤り率で受信できる。 (2) 送受信者間で共有された乱数をプライバシアンプにより安全な情報量まで情報量を減らして、それを秘密鍵とする。 (3) 得られた秘密鍵により実際の信号を送受信する。

Description

暗号通信システム
　本発明は光通信システムに関し、特に光通信において安全性を向上させた暗号通信システムに関する。
　通信における秘匿性の要求は古来より未来に亘る永遠のテーマであり、近年のネットワーク社会においては暗号学の発展によりその要求を確保してきた。暗号は共通鍵方式と公開鍵方式に大別できる。共通鍵方式は盗聴されても容易に解読できないことが安全性の根拠であり、公開鍵は解読アルゴリズムが知られているものの解読に非現実的な時間を要することが安全性の根拠である。しかしながら、共通鍵の場合は解読法が発見される可能性があり、また公開鍵の場合も現在知られている解読アルゴリズムよりも高速な解法が発見される可能性があると共に、量子コンピュータが実現すれば現在のアルゴリズムを用いても比較的容易に解読されてしまうため、量子暗号が注目されることになった。
　量子暗号は量子力学的性質を利用して物理法則的に安全性を保証しようとするものである。通常の暗号が盗聴できても解読が困難であることを安全性の拠り所にしているのに対して、量子暗号は物理法則的に安全性を実現するため、解読法や計算機の進歩があっても安全性が脅かされる心配がない（非特許文献１）。しかし、当然のことながら量子暗号は量子力学的状態を利用するのが条件である。量子力学的状態は環境との相互作用により容易に元の状態から変化する（ディコヒーレンス）ので、量子暗号を現実の通信系に応用する場合は制限事項が多い。光ファイバのような伝送路には必ず損失があり、損失は量子状態を変化させる。従って、量子暗号はまず距離の制限を受ける。例えば１００ｋｍ程度が最大伝送距離である。損失があればその分を補償するため増幅するのが通常の通信であるが、増幅も元の状態をディコヒーレンスさせるので量子暗号では許されない。さらに超微弱光を利用するのが量子暗号の特徴である。こういった性質の量子暗号を運用するためには現在の光通信システムを再構築しなければならない問題もある。以上見たように、量子暗号を運用するには多くの制限事項があることが分かる。
　以上の量子暗号における課題を解決することを目指して提案されたのがαηスキームと呼ばれる方法で、信号基底を位相空間上で多値にし、隣り合う基底を量子揺らぎの範囲内に設定して盗聴者に正確な情報を与えないようにしたものである（非特許文献２）。このスキームは量子揺らぎを安全性の根拠においているため、信号光強度が大きすぎると量子揺らぎの効果が無視できるようになり、十分な安全性が得られなくなる。量子暗号よりは大きい光強度を利用できるが、通常の光通信における強度に比べれば十分に弱い強度である必要がある。そこで通常の光通信並みの光強度でも適用できるものとして提案されたのがアンチスクイーズを用いた方法である（特許文献１）。多値基底とアンチスクイーズした（広がった）揺らぎを利用して盗聴を困難にしようとするものである。アンチスクイーズした揺らぎは量子揺らぎよりも十分に大きくしたものなので、もはや量子的というよりは古典的揺らぎと言える。
　通信の安全性を情報理論的に考察した場合は、信号光が量子的であるか古典的であるかを区別しない（非特許文献３，４）。送信者・正規受信者間の相互情報量Ｉ（Ｘ；Ｙ）と送信者・不正受信者間の相互情報量Ｉ（Ｘ；Ｚ）の差により、安全な情報量Ｃ＝Ｉ（Ｘ；Ｙ）－Ｉ（Ｘ；Ｚ）が得られる。相互情報量Ｉはビット誤り率（ＢＥＲ）の関数で、ビット誤りがない場合には送信者の情報源エントロピーＨ（Ａ）に一致し、ＢＥＲの増加と共に減少する。不正受信者のＢＥＲ（ＥE）が正規受信者のＢＥＲ（ＥB）よりも大きければ安全な情報量（Ｃ＞０）が確保され、情報論的に安全な通信が可能になる。情報論的に安全性を実現するために重要な点は、正規受信者と不正受信者の間に如何に差異を形成しＥE＞ＥBを実現するかにある。量子暗号では量子力学的性質を利用して盗聴された際に正規の送受信者がそれを検知する機能があり、それを利用してＥE＞ＥBを実現する。量子暗号のそれ以外の部分では量子力学的性質は利用しない。従って、量子力学的性質を利用しなくてもＥE＞ＥBを実現できる方法があれば安全な通信は可能である。
特開２００７－１２９３８６号公報 N. Gisin, G. Ribordy, W. Tittel and H. Zbinden, Rev. Mod. Phys. 74, 145 - 195 (2002). G. A. Barbosa, E. Corndorf, P. Kumar and H. P. Yuen, Phys. Rev. Lett. 90 (2003) 227901. A. D. Wyner, "The wire-tap channel," Bell Syst. Tech. J., 54, 1335 (1975). U. M. Maurer, "Secret key agreement by public discussion from common information," IEEE Trans. Inf. Theory, 39, 733 (1993).
　安全性を画期的に向上させるものとして量子暗号が登場したが、現実的に運用するには課題も多く、それを解決するひとつの方法はアンチスクイーズした光のような、古典的な揺らぎを伴ったキャリア光を用いることである。しかしながら、安全な通信を実現するために必要とされる正規受信者と不正受信者間の差異を如何に形成するかは未解決の課題である。本発明では古典揺らぎを利用してこの差異を形成するための方法を開示する。
　送受信者間で種鍵を共有することで、正規受信者と不正受信者間に差異を形成する。古典的な揺らぎを伴うキャリア光を用いて、２値の乱数を２基底（一般的にはｎ及びｍを正整数としてｎ値ｍ基底）で送信する。２つ基底のうちどちらを採用するかも乱数で決定する。理想的に運用した場合、乱数基底の乱数信号なので不正受信者は何の情報も得られない。正規の送受信者は、共有した種鍵を用いて乱数信号を送受信する基底の時系列を共有する（共有基底）。送受信する乱数をすべて信号とみなすのではなく、乱数基底と共有基底を１ビットごとに比較し、一致した場合のみ、そこに重畳された乱数を正規の送受信者間で共有する。正規受信者が乱数基底と共有基底を照合する際にはキャリア光の揺らぎのために判定誤りが発生するが、誤り訂正符号を用いることにより訂正される。正規受信者は基底情報があるので原理的には既知のひとつの基底で２値判定するだけでよいが、不正受信者は基底情報を持たないので２基底で２値判定しなければならない。不正受信者には信号が４値に見えることになる。４値信号から２値判定した場合のＢＥＲは２値信号から２値判定する場合よりも大きくなる。これが正規受信者と不正受信者間の差異である。この差異分に相当する情報量が安全な情報量の元になる。誤り訂正符号の冗長度に応じてその安全な情報量を補正し、送受信者間で共有した乱数からプライバシアンプによりその補正した情報量の乱数を生成すれば、安全な秘密鍵が得られる。得られた秘密鍵を用いて実際の信号を暗号通信することにより安全な通信を実現する。
　本発明は、種鍵を元手に新たな暗号鍵（秘密鍵）を生成している。本方法は種鍵を元手にしているものの、新たに生成された秘密鍵は情報論的に安全性が保証されたものなので、種鍵に対する総当り攻撃以外に有効な攻撃法がないことになる。暗号において種鍵に対する総当り攻撃よりも有効な攻撃法が無い場合、それは十分に安全とみなされる。その意味で本発明は十分に安全な通信システムを実現する。さらに本発明で利用する揺らぎは古典的なものなので、損失及び増幅に対して耐性があり、量子状態を伝送する場合のような伝送距離の制限を受けない。本発明によれば、既存の光ファイバネットワークを利用して、長距離に亘って安全な通信が可能になる。
本発明の物理的原理を示した図である。 本発明を実現するための原理を示したブロック図である。 本発明による暗号通信システムの構成例を示したブロック図である。 図３のブロック図に基づいて本発明を実現した場合の信号例を示す図である。 位相空間上の信号値を表す領域と揺らぎの関係を示した図である。 正規受信者と不正受信者のビット誤り率を示すプロットの一例を示す図である。 本発明による暗号通信システムの構成例を示したブロック図である。 図７のブロック図に基づいて本発明を実現した場合の信号例を示す図である。 本発明による暗号通信システムの構成例を示したブロック図である。 図９のブロック図に基づいて本発明を実現した場合の信号例である。 ２値４基底の場合の位相空間上の信号状態を模式的に示す図である。 ４値２基底の場合の位相空間上の信号状態を模式的に示す図である。 揺らぎ光生成のための構成例を示すブロック図である。 揺らぎ光生成のための構成例を示すブロック図である。 レーザーに揺らぎを重畳し、等価的に揺らぎ光源を実現する構成の一例を示すブロック図である。 変調器に揺らぎを重畳し、等価的に揺らぎ光源を実現する構成の一例を示すブロック図である。 強度変調方式の場合の各信号の強度分布を示した図である。 本発明による暗号通信システムの構成例を示したブロック図である。 図１８のブロック図に基づいて本発明を実現した場合の信号例を示す図である。 本発明による暗号通信システムの構成例を示したブロック図である。 図２０のブロック図に基づいて本発明を実現した場合の信号例である。
１００　送信機
１１１～１１４　乱数発生器
１２１，１２２　種鍵
１２３，１２４　擬似乱数発生器
１３１～１３４　バッファ
１５１　揺らぎ光源
１６１　変調器
１７１　プライバシアンプ実行器
１８１　暗号器
１８２　光送信機
１８３　信号処理部
２０１，２０２　光伝送路
３００　受信機
３１１～３１３　光検出器
３２１，３２２　種鍵
３２３，３２４　擬似乱数発生器
３３３，３３４　バッファ
３４１　誤り訂正復号器
３７１　プライバシアンプ実行器
３８１　光検出器
３８２　暗号復号器
３８３　信号処理部
１５１０　レーザー
１５２０　揺らぎ生成器
１５２１　光アンプ
１５２２　帯域透過フィルタ
１５２３　光ファイバ
１５２４　サーキュレータ
１５２５　ファラデーミラー
１５３０，１６３０　揺らぎ発生源
　本発明の具体的実施例を記述する前に、まずそのポイントとなる一般的なことを述べる。本発明により通信の安全性を向上させるためには、信号光に揺らぎがあることが重要である。揺らぎがなくてもプロトコルの複雑性が不正受信者の解読困難性を増すが、十分な安全性を得るためには揺らぎが重要である。光の揺らぎは振幅揺らぎと位相揺らぎに大別でき、どちらの揺らぎに対しても本発明は有効であるが、以下の実施例では主に位相揺らぎの場合を例に取って示すことにする。位相揺らぎを利用するので、変調方式は位相変調型である。参照光を必要とするPhase-shift keying (PSK)でも差動型のDifferential-phase-shift keyingでもどちらでも良い。簡単化のため信号は２値、基底数は２とする。この場合、見かけ上信号は４値になる。ただし、本発明は、ｎ及びｍを正整数として、ｎ値ｍ基底に容易に拡張することができ、その場合、見かけ上信号はｎ×ｍ値になる。
　安全な通信を実現するためには、不正受信者よりも正規受信者が有利な状況を作る必要がある。図１にそれを実現する原理を示す。正規の送受信者は予め種鍵を共有すると仮定し、その種鍵を用いてｑ軸基底かｐ軸基底かを決定する。図１（ａ）はｑ軸基底の場合の２値信号で、三日月の形は各信号状態“０”及び“１”の位相空間上の揺らぎを表す。信号光の振幅の絶対値をＥとすれば、信号“０”は（ｑ，ｐ）＝（Ｅ，０）に、信号“１”は（ｑ，ｐ）＝（－Ｅ，０）に対応するが、キャリア光の揺らぎのために信号光を測定すれば信号“０”の場合は（ｑ，ｐ）＝（Ｅ＋δｑ，δｐ）に、信号“１”の場合は（ｑ，ｐ）＝（－Ｅ＋δｑ，δｐ）になる。δｑとδｐが揺らぎである。図１の三日月はこの揺らぎの範囲を表し、測定値は概ね揺らぎの範囲内のいずれかの１点になる。図１（ｂ）はｐ軸基底の場合の２値信号を表す。
　正規受信者は種鍵により正しい基底で検出でき、原理的には常に図１（ｃ）のような揺らぎの状態で２値判定可能であるが、不正受信者は種鍵を知らないので図１（ｄ）に示すように４値信号に見える。４値信号の揺らぎは隣通しの重なりが大きくなり、不正受信者のＢＥＲは増加する。正規受信者にも僅かながらビット誤りが生じるが、不正受信者との差は明らかである。このビット誤り率の差が安全な情報量を確保する。ここで重要な点は、正規受信者が２値信号から２値判定すればよいのに対して不正受信者は４値信号から２値判定しなければならない点である。この差がビット誤り率の差を生成する。但し、単純に同じ鍵を使い続けると不正受信者に基底の推定を許すため、基底の推定を許さないプロトコルを考案することが課題であり、本発明がこれに対する解決法を与える。
　図２に、本発明による通信プロトコルの全体像を示す。レーヤー１において、揺らぎ光を用いて乱数の送受信をする。安全な情報量は正規受信者と不正受信者のＢＥＲの差により決定され、レーヤー２においてはその情報量までプライバシアンプにより乱数データの情報量を縮小して秘密鍵とする(C. H. Bennett, G. Brassard, C. Crepeau, and U. U. Maurer, “Generalized privacy amplification,” IEEE Trans. Inf. Theory 41, 1915 (1995).)。レーヤー３は通常の信号伝送路を表し、レーヤー２で得られた秘密鍵を用いて実際の信号を暗号通信する。レーヤー３では揺らぎ光を利用する必要はない。
　レーヤー１では乱数基底で乱数を送受信する。原理的には、レーヤー１の信号は基底も含めて真性乱数のみで構成されるので、不正受信されたとしても何らの情報も漏れない。但し、後述する誤り訂正符号による信号の冗長があるので、これに対する情報量の補正は必要である。正規の送受信者は種鍵により共有基底を予め共有しており、乱数基底で送られてくる乱数信号の中から共有基底に合致したスロットのデータのみを乱数信号として採用する。正規受信者もビット誤りがあるので、以下の具体的実施例で示すように実際の処理はやや複雑になるが、原理的には種鍵のおかげで２値信号を２値判定することになる。不正受信者は４値信号から２値判定しなければならないため、不正受信者は正規受信者よりも不利なＢＥＲで乱数データを受信しなければならない。このＢＥＲの差は正規の送受信者間に安全な情報量をもたらし、プライバシアンプにより秘密鍵が得られる（レーヤー２）。得られた秘密鍵は、種鍵を使った通信結果から抽出されたものではあるが、正規受信者と不正受信者間のＢＥＲに関する差異から抽出したものであり、抽出過程は情報論的なものである。この点が重要である。
　レーヤー３は通常の通信路であり、既知平文攻撃や選択平文攻撃等の各種攻撃にさらされる可能性がある。また、レーヤー１ではビット誤りがあるものの４値信号として不正受信される可能性がある。従って、レーヤー１及びレーヤー３の不正受信結果を照合することにより暗号文が解読される可能性が一見有りうる。しかし、本発明の方法では、正規受信者と不正受信者間のＢＥＲに関する差異に基づいて秘密鍵を抽出しているため、レーヤー１とレーヤー３の不正受信結果は情報理論的に無相関になる。レーヤー１は乱数信号のみの送受信なので、暗号文と平文の対応関係のようなデータを不正受信者が得ることはできない。不正受信者が得られるのは、誤り訂正符号の冗長分を除けば真性乱数列のみである。即ち、その冗長分の情報量をプライバシアンプにより除去された場合、種鍵に対する総当り攻撃以外に有効な解読法がない。不正受信者が総当り法よりも効率的な攻撃法で解読を実現するためには、少なくともレーヤー１において正規受信者と同じＢＥＲで乱数信号を検出できなければならない。この条件が満たされると、レーヤー１とレーヤー３の不正受信結果に相関が出てくる可能性がある。
　種鍵に対する総当り攻撃以外に有効な攻撃法がないならば、解読法を発見されうるとの脅威から開放され、全数探索（総当り攻撃）に関する計算時間のみで安全性を評価できる。この意味で、本発明の方法は通常の暗号よりも一段階安全性が向上したものである。
　以下、本発明の実施例について詳細に説明する。
　基底及び信号の両者を真性乱数化すれば、不正受信者には完全にランダムな信号列だけが見える。図３に本発明による暗号通信システム構成例を示す。送信機１００内に３台の乱数発生器（１１１，１１２，１１３）、乱数からなる２種類の種鍵（１２１，１２２）が配備される。乱数発生器と種鍵は、１台の乱数発生器からの出力を３分割することと、一種類の種鍵を２分割することを行えば、それぞれひとつずつで済ますこともできる。乱数発生器１（１１１）の出力が秘密鍵生成のための信号となる乱数であり、種鍵２（１２２）を用いて暗号化され、誤り訂正符号器１４１により符合化され、バッファ１３１にて送信される準備をする。バッファ１３２にはダミー信号用の乱数として乱数発生器２（１１２）の出力を準備する。乱数発生器３（１１３）が基底を乱数化するためのもので、この乱数基底に基づいてレーヤー１の信号送信が行われる。正規受信者が正しく受信するためには正規の送受信者間で共有された基底を用いなければならないが、そのために種鍵１（１２１）を利用する。基底は乱数発生器３（１１３）により完全にランダムにするが、送受信されたすべての乱数を信号として採用するのではなく、種鍵１（１２１）で決定される基底に乱数基底が合致した場合のみを採用することとし、不正受信者には乱数に見えるが正規受信者には規則性のある基底の並びに見えるようにする。
　以上の仕組みで処理される乱数信号及びダミー乱数を具体例で示したのが図４である。基底を指定するのに、図１のｑ軸基底の場合を“０”、ｐ軸基底の場合を“１”とする。乱数発生器３（１１３）の出力で決まる乱数基底を、図４に示すように０１００１１１０１０００１００とする。一方、送受信者間で予め共有した基底を、１１０１００００１１０１１００とする。図４では共有基底の最初の基底は“１”であるが、乱数発生器３（１１３）で決まる乱数基底の最初は“０”なので不一致であり、この場合は基底“０”にダミー乱数（バッファ１３２で待機）を重畳して信号を送信する。信号の重畳は揺らぎ光源１５１からの出力光に変調器１６１を通して行う。乱数基底（乱数発生器３（１１３））の２番目の出力は“１”であり、この場合は共有基底の２番目の出力に一致したので乱数信号（バッファ１３１に待機）を重畳して送信する。次の共有基底と乱数基底は共に“０”なので引き続き乱数信号を重畳して送信する。以下、同様に繰り返す。
　この方式では、どのタイミングで乱数信号及びダミー乱数を重畳するかは乱数基底（乱数発生器３（１１３））の出力に依存して決定されるため、図３に示すようにバッファ１３１とバッファ１３２を具備して乱数信号及びダミー乱数を待機する。信号（乱数信号及びダミー乱数）が２値、基底も２値であるため、送信する際の信号は４値になる。図４の「伝送信号」の欄には、左下図のような位相空間上の割り振りをした際の信号値が記されている。「信号」欄の乱数が乱数信号、「ダミー」欄の乱数がダミー乱数である。尚、正規受信者に対して生じるビット誤りを訂正するために乱数データは誤り訂正符号器１４１により誤り訂正符合化されている。
　信号（乱数信号及びダミー乱数）は、光伝送路２０１により伝送され受信機３００内の検出器３１１により受光される。検出器３１１では４値判定と２値判定を同時に行う。この処理は容易である。２組のホモダイン検出器により２つの直交位相成分（ｑ軸成分及びｐ軸成分）を測定する。それぞれのホモダイン検出器の出力値Ｉｑ，Ｉｐを２値判定（各成分が正か負か）したものが各基底に対する２値判定結果である。２組のホモダイン検出結果の出力値Ｉｑ，Ｉｐからarctan(Ｉｐ／Ｉｑ)により位相φを決定すれば４値判定（“０”，“１”，“２”，“３”：図４参照）できる。基底が乱数化されているので正規受信者にも信号状態は４値に見える。そこでまずは４値判定することでどちらの基底が利用されたかを判定する。４値判定結果が“０”又は“２”ならば基底“０”、４値判定結果が“１”又は“３”ならば基底“１”と乱数基底の判定をする。これを種鍵１（３２１）（送信機内の種鍵１（１２１）と同じもの）で決まる共有基底と照合し、一致すれば重畳されてきた信号を乱数信号と判定し、不一致の場合はダミー乱数と判定する。図４の右側に、以上の受信側の処理の一例を示す。但し、４値判定に基づいて基底の判定を行ったために基底の判定誤り、即ち共有基底との照合判定誤りは多い。
　これを訂正するために、乱数信号に組み込まれた誤り訂正符号のパリティチェック機能を利用する。乱数基底と共有基底の照合に誤りがなければ乱数データのＢＥＲは予め推定される小さな値になるが、照合に誤りがあれば誤りがあったビット以降、確率１／２でビット誤りになる。従って、パリティチェックによりビット誤りが始まった位置はほぼ特定できる。このビット誤りが始まった位置は、ダミー乱数が入ってしまったか乱数信号が抜け落ちたかのどちらかである。従って、ビット誤りが始まった位置のビットを抜いてパリティチェックを行うことと、ダミーと判定したために捨てたビットを戻してパリティチェックを行うことを順番に行い、ビット誤りがほぼなくなるビット列を探す。
　ビット誤りがあった場合にどのようになるかの具体例も、図４に示す。簡単化のため、初歩的なパリティチェックのビットを誤り訂正符号器１４１による誤り訂正符号化において挿入した場合を考える。乱数データを５ビットごとに区切り、“１”の個数が奇数ならば“１”、偶数ならば“０”として、６ビット目にパリティチェックビットとしてその結果を入れたとする。乱数信号は図４の送信側における「信号」欄に示されており、１１０１０１０１である。左から５ビット分のパリティが６ビット目に挿入してある。図４ではパリティビットを斜字体で示す。受信時にビット誤りが無ければ、受信した乱数信号のパリティを計算したものはパリティビットの値と一致する。仮に受信側の乱数基底の判定が、図４の左から６番目のビットで誤ったとする。図４の受信側の例では、下線を付加したビットが判定誤りである。この場合、本来信号ビットでないビットが信号ビットとして扱われることになり、共有乱数が１ビット増えることになる。その結果、パリティチェックビットの位置が１ビットずれる（図４の受信側では、受信者がパリティビットと認識するビットが斜字体になっている。ビット誤りがある場合とない場合で１ビットずれる。）。
　１ビットずれたことに気付かないで受信者がパリティチェックを行えば、ビット誤りが発生したビット以降、確率１／２でパリティが一致しなくなる。これによりビット誤りがどこで生じたのか概ね判定できる。ビット誤りと思われるビットの乱数基底の判定を変更して受信機の処理を再度行うことを繰り返し、パリティがほぼ正常になるビット列を探す。図４の受信側の例では、下線のあるビットが誤りであり、このビットが共有乱数から削除されることでビット誤りなしの状態に復帰できる。ダミーと判定して一旦捨てたビットを戻す場合は、基底の照合が間違っていた訳だから、戻す際には最初の判定とは異なる基底を基準に信号判定をする。この際の信号判定は、基底が確定しているので２値判定になる。本方式の受信機内の処理は一旦４値判定するが、基底の判定誤りを訂正する過程で２値判定に還元されることになる。２値判定の場合は、４値判定の場合に比べてＢＥＲが小さくなる。これが、正規受信者が不正受信者に対して情報論的に有利になる因子であり、予め送受信者間で共有した種鍵１（１２１及び３２１）によりもたらされるものである。
　ビット誤りがほぼ無くなり、誤り訂正復号器３４１による誤り訂正可能なＢＥＲになれば誤り訂正符号の復号を行い、種鍵２（３２２）による復号を行う。これにより受信機内で、送信機内の乱数発生器１（１１１）の出力を再現できたことになる。最終的な秘密鍵生成のためには、１基底２値判定の場合（正規受信者）と２基底２値判定の場合（不正受信者）のＢＥＲで決まる情報量差を誤り訂正符号における冗長分で補正し、プライバシアンプ（１７１及び３７１）によりその補正された情報量まで送受信者間で共有された乱数信号の情報量を減らす。
　プライバシアンプは、例えば論理演算を通して実現することができる。送受信者間で共有された乱数の２０％が安全な情報量で、共有乱数が‘０１００１　０１１１０’であったとする。５ビットずつ排他的論理和を取ることにすれば‘０１’になる。この処理ではすべてのデータを同等に扱い情報量を２０％に縮小している。これがプライバシアンプの一例である。
　正規受信者及び不正受信者のＢＥＲは、以下のように見積もることができる。図５に示すように各基底の“０”，“１”の向きを割り振る。信号状態をｑ軸基底（基底“０”）の信号“０”に取ることにすれば、ｑ軸基底であることを知る正規受信者は測定値がｐ軸を境界に右側か左側かを判定すればよい。信号“０”に対して正規受信者がｑ軸の負の領域に測定値を得た場合がビット誤りになる。揺らぎの広がりが量子揺らぎに比べて十分に大きく、測定に関して古典的な取り扱いが可能であるとき、ｑ軸基底の信号“０”の確率分布が、位相に関する関数Ｐ(θ)で与えられるならば、正規受信者のＢＥＲは式（１）で記述される。
Figure JPOXMLDOC01-appb-M000001
　不正受信者は、４値に見える信号から２値判定することになり、領域０と領域１に測定値を見出せば信号“０”と判定し、領域２と領域３に測定値を見出せば信号“１”と判定することになるので、信号“０”に対しては領域２と領域３に測定値が見出された場合がビット誤りである。従って不正受信者のＢＥＲは式（２）で与えられる。
Figure JPOXMLDOC01-appb-M000002
　揺らぎの確率分布Ｐ(θ)が、揺らぎの大きさδθを用いて式（３）により与えられるならば、正規受信者のビット誤り率ＥBと不正受信者のビット誤り率ＥEを具体的に求めることができる。
Figure JPOXMLDOC01-appb-M000003
　２δθを変数にしてＥB及びＥEをプロットしたものが図６である。正規受信者のＢＥＲが１０-12になるようにガウス分布の揺らぎを設定すれば、不正受信者のＢＥＲは１０-4程度になる。
　乱数信号（１１１）に施される誤り訂正符号（１４１）は、４値判定（２基底２値判定）した場合の誤りを訂正できる必要はない。受信機における基底の照合過程では、連続的にビット誤りが発生する位置のみを判定できればよい。連続的ビット誤り開始点のビットを特定できれば、そのビットを修正することによりＢＥＲは２値判定（１基底２値判定）できた場合の予想値にまで下がる。逆に４値判定（２基底２値判定）に対して誤り訂正できてしまうと、正規受信者と不正受信者の揺らぎの効果に基づくＢＥＲの差がなくなってしまう。即ち、情報論的に保証された正規受信者と不正受信者間の差異が無くなってしまう。従って、本プロトコルにおいて情報論的に正規受信者と不正受信者の差異を形成するためには、乱数信号に施される誤り訂正符号の能力が１基底２値判定できる正規受信者（例えば、ＢＥＲが１０-12）に対して十分で、２基底２値判定が必要な不正受信者（例えば、ＢＥＲが１０-4）に対して不十分である必要がある。さらに、基底の照合過程で生じた連続的ビット誤り開始点ができるだけ容易に判定できるように誤り訂正符号が設計されていることが望ましい。
　レーヤー１で送受信される信号は乱数であり、基底も真性乱数で決定される。乱数信号は種鍵２（１２２）により暗号化されるが、信号が乱数なので不正受信者に種鍵２（１２２）を推定されることはない。共有基底を決定する種鍵１（１２１）も乱数基底の中に埋もれているので、こちらも不正受信者は推定できない。レーヤー１において不正受信者が意味のある情報を得られないので、正規受信者と不正受信者間に形成されるＢＥＲの差が安全な情報量をもたらす。但し、誤り訂正符号の冗長分で補正する必要がある。送信機１００内のプライバシアンプ実行器１７１及び受信機３００内のプライバシアンプ実行器３７１が同じアルゴリズムで演算すれば、送受信機間で共通の秘密鍵が形成される。
　送信機において生成された秘密鍵を用いて暗号器１８１により実際の信号を暗号化し、光送信機１８２によりキャリア光に重畳し、光伝送路２０２により受信機３００まで伝送する。光送信機１８２は、光源と、その光源の出射光を変調する変調器からなる。
　受信機３００は、伝送された信号光を光検出器３８１により受光して電気信号に変換し、暗号復号器３８２により秘密鍵を用いて平文化する。以上で、安全な暗号通信の一連の過程が終了する。
　光伝送路２０２で行う通信は、揺らぎを伴うキャリア光を用いる必要は無く、通常の光通信でよい。光伝送路２０２と２０１は物理的に異なるものでも良いし、同じ光伝送路を用いて波長多重を行っても良い。
　実施例１では乱数基底と共有基底を１ビットごとに対にして比較し、乱数信号を送信するかダミー乱数を送信するか決定した。乱数基底の中から共有基底を選ぶ方法は実施例１以外の方法も可能であり、それを実現する暗号通信システムの構成例を示したのが図７である。本実施例では、共有基底と乱数基底を照合して乱数信号とダミー乱数のどちらを送信するかを決定するのは実施例１の方式と同様である。ただし、共有基底と乱数基底が不一致の場合に、不採用になった共有基底を次のビットで再度乱数基底と照合して乱数信号とダミー乱数のどちらを送信するかを決定する点が異なる。共有基底は乱数基底と一致するまで照合を繰り返す。言い換えれば、乱数信号が重畳される基底の並びが共有基底の並びに一致するように運用される。
　以上の仕組みを具体例で示したのが図８である。乱数発生器３（１１３）の出力で決まる乱数基底は、図８では０１００１１１０１０００１００である。一方、乱数からなる種鍵１(１２１，３２１)によって送受信者間で予め共有した基底は、１０１１００００である。送信機側においては、まず共有基底で決まる基底の並びで乱数信号を送信する準備をする。図８の例では、共有基底の最初の基底は“１”であるが、乱数発生器３（１１３）で決まる乱数基底の最初は“０”であり不一致なので、この場合は基底“０”にダミー乱数（乱数発生器２（１１２）の出力）を重畳して信号を送信する。不一致だった共有基底“１”は、再度次の乱数基底と照合される。乱数基底（乱数発生器３（１１３））の２番目の出力は“１”であり、この場合は共有基底の最初の基底“１”に一致したので、乱数信号を重畳して送信する。乱数信号は実施例１と同様に誤り訂正符合化され、簡単化のため実施例１と同様に５ビットごとにパリティビットを加えるものとする。図８の送信側では、パリティビットを斜字体にしている。
　受信機３００側の処理も、送信機１００側の処理の変形に基づき実施例１の処理から変形される。まず４値判定を行い、どちらの基底が利用されたかを判定する点は、実施例１の方式と同様である。これを共有基底と照合し、一致すればその乱数データを採用し、不一致の場合はダミー乱数と判定する。不一致だった共有基底は、次に受信信号から判定される乱数基底と再び照合され、一致すればその基底と乱数データとが採用される。基底の判定誤りがあった場合、その位置以降のパリティが確率1/2で誤りになり、判定誤りがあった位置がほぼ特定される。この判定誤りがあった位置は、ダミー乱数が入ってしまったか乱数信号が抜け落ちたかのどちらかなので、判定誤りがあった位置付近のビットを抜いてその位置以降の基底照合を再度やり直してパリティチェックを行うことと、判定誤りがあった位置付近でダミーと判定したために捨てたビットを戻してその位置以降の基底照合を再度やり直してパリティチェックを行うことを順番に行い、ビット誤りがほぼなくなるビット列を探す。ビット誤りが無かった場合とあった場合の例を、図８の右側に示す。この例では、左から２番目のビットの基底照合が判定誤りになり（受信側に下線で示す）、本来共有乱数となるべき乱数信号をダミー乱数と判定してしまっている。このため採用データのビット数が減り、パリティビットの位置がずれてしまうと共に共有乱数がまったくの別物になってしまう。図８の例では、基底判定誤りがある場合に共有乱数のスロット位置が原型を留めないほど変わっている様子がわかる。この場合、以降のパリティビットは確率１／２で誤りになり、ビット誤りがあった位置が概ねわかることになる。ビット誤りの位置がほぼ特定できれば、その付近のビットを修正し、ビット誤りがほぼなくなり、誤り訂正符号の復号が可能なＢＥＲになるまで修正を繰り返す。
　実施例２の方式では、受信機において基底判定の誤りに基づいて信号ビットの挿入あるいは除去を行った際に、それ以降の基底照合を再度やり直す必要があるため、実施例１の方式に比べて処理が多くなる欠点があるが、共有基底の並びが種鍵だけで完全に決定される長所がある。
　レーヤー１における乱数の送受信で不正受信者に対して意味のある情報を与えないためには、信号と共に基底も乱数で決定される必要がある。しかしながら、実施例１及び実施例２で見たように正規受信者に対してもビット誤りがあるために乱数基底の中から共有基底を抽出する過程は幾分複雑である。現実的運用の観点からもう少し簡便な方法でこれを実現したい。それを実現するためのシステムの一つが、図９に示した暗号通信システムである。
　図９に示すプロトコルでは、乱数発生器を３台（１１１，１１２，１１４）と乱数からなる種鍵を３個（１２２，１２３，１２４）利用する。実施例１と同様に、一台の乱数発生器の出力と１つの種鍵をそれぞれ３分割して使う方法もある。実施例１では乱数信号を送るスロットとダミー乱数を送るスロットの並びは乱数発生器３（１１３）を用いて真性乱数により決定されたが、本実施例では擬似乱数発生器１２４により決定する。乱数信号（乱数発生器１（１１１）の出力）を送信するスロットの基底は擬似乱数発生器１２３で決まる共有基底を用い、ダミー乱数（乱数発生器２（１１２）の出力）を送信するスロットの基底は乱数発生器３（１１４）により決定する。本実施例では、送信信号のどのスロットに乱数信号が埋め込まれているかを種鍵２（擬似乱数発生器１２４）により予め送受信者間で取り決めておくことになる。送信基底は真性乱数ではなくなっており、安全性に関しては実施例１及び２よりは劣ることになるが、データ処理は容易になる。
　基底及び乱数信号の処理の具体例を示したのが図１０である。擬似乱数発生器１２３で決まる共有基底が１０１１００００で、乱数発生器３（１１４）で決まる乱数基底が００１０１１１である。これらの２種類の基底情報の並びを決定するのが擬似乱数発生器１２４の出力０１００１１１０１０００１０１である（図１０左側の「採用スロット」の欄）。“０”の際は共有基底を送信基底とし、“１”の際は乱数基底を送信基底とする。その結果の送信基底が１００１０１０１１０００１０１になる。不正受信者が見る基底は真性乱数（乱数発生器３（１１４））と擬似乱数（擬似乱数発生器１２３）をもうひとつの擬似乱数（擬似乱数発生器１２４）を使って並べたものであり、擬似乱数発生器１２３及び１２４が使われているものの、各信号の基底を解読することは困難である。尚、乱数信号を送信するのかダミー乱数を送信するのかは擬似乱数発生器１２４により決定され、そのタイミングに合わせて信号送信できるように実施例１及び２と同様にバッファ１３３及び１３４が具備される。本実施例では、乱数信号と共有基底が対をなし、またダミー乱数とダミー基底が対を成しているので、バッファ１３３及び１３４ではそれぞれそれらの対で一時待機する。乱数信号（乱数発生器１（１１１）からの出力）が種鍵３（１２２）により暗号化される点と誤り訂正符合化（１４１）される点は、実施例１及び２と同様である。送信信号が見かけ上４値になるのも同様である。
　受信機では２組のホモダイン検出器３１２，３１３を用いてｑ軸基底（基底“０”）及びｐ軸基底（基底“１”）に対する射影検出を行い、それぞれ２値判定する。擬似乱数発生器３２４の出力（擬似乱数発生器１２４の出力と同じもの）が“０”に相当するスロットの検出結果のみを受信乱数として処理し、ダミースロット（擬似乱数発生器３２４の出力が“１”）の信号は無視する。乱数信号の基底は擬似乱数発生器３２３の出力（擬似乱数発生器１２３の出力と同じもの）で決まっているので、それに従い、２組のホモダイン出力のどちらを採用するかを決定する。
　共有基底のスロットを決める擬似乱数発生器３２４の出力は伝送クロックに同期するが、乱数信号は送信されてくる信号の一部なので、共有基底を決定する擬似乱数発生器３２３の出力はバッファ３３３で一時待機し乱数信号が来るタイミングに合わせる。擬似乱数発生器３２３の出力（共有基底）に基づき２つの光検出器３１２及び３１３のどちらかの出力を採用し、その出力値（共有乱数）はバッファ３３４に入力され、出力タイミングが調整されて誤り訂正符号の復号器３４１に入力される。その後、種鍵３（３２２）（種鍵３（１２２）と同じもの）により暗号が復号化され、送信機内の乱数発生器１（１１１）の出力が再現される。以上により送受信者間で乱数信号を共有できたので、送受信機双方でプライバシアンプ実行器（１７１及び３７１）による処理を実施し、秘密鍵を共有する。秘密鍵を用いての実際の信号の暗号通信は実施例１及び２と同様である。
　この方法では採用スロットと採用基底が予め決まっているので、実施例１及び２の真性乱数基底方式の場合のような情報論的安全性を保証できるわけではないが、不正受信者の解読が困難であることに変わりなく、不正受信者による解読が困難で且つ比較的運用が容易なシステムを構築できる。
　実施例３までは２値２基底の位相変調方式を示した。本発明の方式は一般的には、ｎ及びｍを正整数としてｎ値ｍ基底で運用可能である。例えば、図１１は、２値４基底の位相変調方式の場合の位相空間上の信号状態を示す図である。図１１（ａ）はｑ軸基底の２値信号を示し、図１１（ｂ）はｑ軸から４５゜回転した基底の２値信号を示している。また、図１１（ｃ）はｐ軸基底の２値信号を示し、図１１（ｄ）はｑ軸から－４５゜回転した基底の２値信号を示している。図１２は、４値２基底方式の位相変調方式の場合の位相空間上の信号状態を示す図である。図１２（ａ）はｑ軸及びｐ軸を基底とする４値信号を示し、図１２（ｂ）は図１２（ａ）の場合から４５゜回転した基底の４値信号を示している。
　ここで、各実施例に共通の要素である揺らぎ光源１５１について説明する。揺らぎ光源１５１は様々な形態が考えられるが、光ファイバのカー効果を使った方法が便利である。一例を図１３に示す。レーザー光源１５１０からの出力光は光アンプ１５２１により増幅され、帯域フィルタ１５２２を通過して光ファイバ１５２３を伝播する。この際、光ファイバのカー効果を通して位相揺らぎが加わる。レーザー出力光はコヒーレント状態で比較的よく記述でき、位相空間上の揺らぎの形が円形であるが、光ファイバのカー効果を通して楕円形、またさらに進んで三日月形になる。このように揺らぎの形が楕円形や三日月形になった光をアンチスクイズド光と呼ぶ（T. Tomaru, and M. Ban, “Secure optical communication using antisqueezing,” Phys. Rev. A 74, 032312 (2006), T. Tomaru, “LD light antisqueezing through fiber propagation in reflection-type interferometer,” Opt. Exp. 15, 11241 (2007)）。カー効果は光強度に比例して大きくなるので、パルス光にしてピーク強度を大きくするのが有効である。この場合、ファイバ伝播に伴うパルス広がりを抑えることが効果的であり、ソリトン条件を満足するようにパルス幅、光強度、ファイバの分散値を選ぶと良い（特開２００８－００３３３９号公報）。また、上記のソリトン条件よりもさらに光強度を増加させると高次ソリトンの条件を満たすことが可能になり（特開２００８－００３３３９号公報）、パルス幅縮小効果が働きカー効果を増強することができる。またその際スペクトル幅が拡大することになり、スペクトルの拡大は位相検出において位相揺らぎと同等な効果を示すので、さらに揺らぎの効果が増強される。またカー効果と同様に、ラマン効果も位相揺らぎの拡大に有効である。
　図１４は、光サーキュレータ１５２４とファラデーミラー１５２５を用いてファイバ伝播の部分を往復にした実施例である。ファイバ長を半分にできる点が有利である。また、ファイバ伝播中の偏波状態に係わらずファイバ１５２３を１往復した時点で偏波がちょうど９０度回転するので、揺らぎ生成器出力時の偏波を安定させたい場合に有効である。さらに、揺らぎ生成器１５２０内にファイバ干渉計を組み、振幅に対する位相揺らぎの比を大きくして、位相揺らぎの効果を大きくすることも有効である（T. Tomaru, “LD light antisqueezing through fiber propagation in reflection-type interferometer,” Opt. Exp. 15, 11241 (2007)）。
　以上は、光ファイバのカー効果により位相揺らぎを発生させるものであった。レーザーダイオード（ＬＤ）から直接位相揺らぎを伴う光を出力させることも可能である。ＬＤを発振閾値近傍で動作させれば位相揺らぎが大きい。この性質をそのまま利用するのもひとつの方法である。
　ＬＤ発振のためには注入電流が必要である。注入電流に揺らぎ（ノイズ）を重畳し、光源自体の揺らぎと同様な効果を発生させることも可能である。図１５にその場合を示す。揺らぎ発生源としては、例えば、熱揺らぎを利用することが考えられる。また、揺らぎはアナログ的な乱数と考えることもできるので乱数発生器の出力を多値にして揺らぎと等価的にすることもできる。
　揺らぎの重畳は、また、変調器１６１において行うこともできる。変調器１６１は信号重畳のために設置されているものであるが、信号重畳と共に揺らぎも同時に重畳すれば、光源に揺らぎがある場合と等価な働きをする（図１６）。揺らぎ発生源１６３０としては、熱揺らぎを利用することや、乱数発生器の出力を多値にして揺らぎと等価的にすること等が考えられる。
　これまでは位相変調方式を例にとって示してきた。しかし、本発明は強度変調方式においても適用可能である。図１７に、２値２基底で運用する場合の強度分布関数の様子を示す。強度変調方式では“０”，“１”の信号強度が基底に依存して変化する。図１７（ａ）と図１７（ｂ）は、それぞれ基底が異なる場合の２値の信号である。基底の違いに起因して、“０”と“１”の閾値が図１７（ａ）と図１７（ｂ）では異なる。基底を知らない場合、図１７（ｄ）に示すように、信号状態は合計４値になり、４値判定が必要になる。確率分布には重なりがあるためにビット誤りが多くなる。基底を知る正規受信者は、実施例１及び２のように判定過程において一旦４値判定をする場合もあるが、原理的に２値判定可能なので、図１７（ｃ）に示すように、確率分布の重なりがほとんど無い状態で２値判定できる。
　２値判定及び４値判定する点は、位相変調方式の場合も強度変調方式の場合も同様である。従って、実施例１～３に示した位相変調方式に対する信号処理は、強度変調方式の場合に対しても同様に実施することができる。
　以上、位相変調方式を主な例に取って本発明の実施例を説明した。しかし、実施例５で言及したように、本発明は位相変調方式及び強度変調方式の区別無く成立するものである。また、主に２値２基底を例にとって実施例を述べたが、図１１、図１２を用いて説明したように、さらに多値多基底の場合でも本発明を適用することができる。
　本発明では、正規受信者にも僅かに残るビット誤りを訂正するためと、受信機における基底照合誤りを訂正するために誤り訂正符号を用いている。誤り訂正符号により冗長化された乱数データは図３及び図７の光伝送路201で伝送される。元々、光伝送路201では乱数基底で乱数信号が伝送されることが理想である。そこで誤り訂正符号の冗長分を光伝送路202で伝送することを考える。これにより光伝送路201には完全な乱数信号のみが伝送される状況となる。光伝送路202は通常の伝送路であるために冗長分の安全性はないが、冗長分の情報量は元々、秘密鍵生成の過程で安全な情報量から差し引かれるのでこれは問題にならない。また、冗長分を光伝送路202で確実に送ることにより、受信機側の処理の複雑度が緩和される。実施例１及び２に於いては、基底の判定を行うために誤り訂正符号に内在するパリティチェック機能を用い、パリティチェックの結果に基づいて基底の照合誤りを訂正し、乱数信号とダミー乱数を識別していた。実施例１及び２では信号の冗長分も乱数データ分と一緒に一連のデータとして伝送されていたために、どれが乱数データ分でどれが冗長分か受信機の最初の処理段階では確定せず、基底の照合誤りを訂正しながら冗長部が確定していった。そのため、データ処理が複雑にならざるを得ない。しかしながら、冗長分を光伝送路202で伝送すればパリティチェックのための冗長分のデータが確定し、確実に受信者に届くので、受信機における基底確定のプロセスの複雑度が緩和し、回路実装した際に計算時間や発熱量等が緩和される。以上の考えに基づいた実施例を以下に述べる。
　基底及び信号の両者を真性乱数化すれば、不正受信者には完全にランダムな信号列だけが見える。図１８に、本発明による暗号通信システムの構成例を示す。送信機１００内に３台の乱数発生器（１１１，１１２，１１３）、及び乱数からなる２種類の種鍵（１２１，１２２）が配備される。乱数発生器と種鍵は、１台の乱数発生器からの出力を３分割することと、一種類の種鍵を２分割することを行えば、それぞれ一つずつで済ますこともできる。乱数発生器１（１１１）の出力が秘密鍵生成のための信号となる乱数であり、種鍵２（１２２）を用いて暗号化され、誤り訂正符号器１４１により符合化される。誤り訂正符号化においては情報記号の部分とパリティ検査記号の部分を分離し、前者を乱数符号、後者を検査記号と呼ぶことにする。乱数符号はバッファ１３１にて送信される準備をする。バッファ１３２にはダミー信号用の乱数として乱数発生器２（１１２）の出力を準備する。乱数発生器３（１１３）が基底を乱数化するためのもので、この乱数基底に基づいてレーヤー１の信号送信が行われる。正規受信者が正しく受信するためには正規の送受信者間で共有された基底を用いなければならないが、そのために種鍵１（１２１）を利用する。基底は乱数発生器３（１１３）により完全にランダムにするが、送受信されたすべての乱数を信号として採用するのではなく、種鍵１（１２１）で決定される基底に乱数基底が合致した場合のみを採用することとし、不正受信者には乱数に見えるが正規受信者には規則性のある基底の並びに見えるようにする。
　以上の仕組みで処理される乱数信号及びダミー乱数を具体例で示したのが図１９である。基底を指定するのに、図１のｑ軸基底の場合を“０”、ｐ軸基底の場合を“１”とする。乱数発生器３（１１３）の出力で決まる乱数基底を、図１９に示すように０１００１１１０１０００１００とする。一方、送受信者間で予め共有した基底を、１１０１００００１１０１１００とする。図１９では共有基底の最初の基底は“１”であるが、乱数発生器３（１１３）で決まる乱数基底の最初は“０”なので不一致であり、この場合は基底“０”にダミー乱数（バッファ１３２で待機）を重畳して信号を送信する。信号の重畳は揺らぎ光源１５１からの出力光に変調器１６１を通して行う。乱数基底（乱数発生器３（１１３））の２番目の出力は“１”であり、この場合は共有基底の２番目の出力に一致したので乱数符号（バッファ１３１に待機）を重畳して送信する。次の共有基底と乱数基底は共に“０”なので引き続き乱数符号を重畳して送信する。以下、同様に繰り返す。
　この方式では、どのタイミングで乱数符号及びダミー乱数を重畳するかは乱数基底（乱数発生器３（１１３））の出力に依存して決定されるため、図１８に示すようにバッファ１３１とバッファ１３２を具備して乱数符号及びダミー乱数を待機する。信号（乱数符号及びダミー乱数）が２値、基底も２値であるため、送信する際の信号は４値になる。図１９の「伝送信号」の欄には、左下図のような位相空間上の割り振りをした際の信号値が記されている。「信号」欄の乱数が乱数符号、「ダミー」欄の乱数がダミー乱数である。「パリティ検査」欄がパリティ検査記号を表す。ここでは例として、乱数信号５ビットごとのパリティを検査記号として扱うことにする。
　誤り訂正符号器１４１で生成されたパリティ検査記号は、通常の光伝送路２０２で伝送するために信号処理部１８３において、通常の伝送路で送る他の信号と多重化される。この多重化はパケット化や時間多重といった通常の通信で行われている方法である。その後、光送信機１８２に導かれ、光伝送路２０２により受信機３００に伝送される。光検出器３８１により受光され、電気信号に変換され、信号処理部３８３に送られる。信号処理部３８３は多重化された信号列を多重化前の状態に分離するもので、検査記号はここで他の信号と分離される。
　信号（乱数符号及びダミー乱数）は、光伝送路２０１により伝送され受信機３００内の検出器３１１により受光される。検出器３１１では４値判定と２値判定を同時に行う。この処理は容易である。２組のホモダイン検出器により２つの直交位相成分（ｑ軸成分及びｐ軸成分）を測定する。それぞれのホモダイン検出器の出力値Ｉｑ，Ｉｐを２値判定（各成分が正か負か）したものが各基底に対する２値判定結果である。２組のホモダイン検出結果の出力値Ｉｑ，Ｉｐからarctan(Ｉｐ／Ｉｑ)により位相φを決定すれば４値判定（“０”，“１”，“２”，“３”：図１９参照）できる。基底が乱数化されているので正規受信者にも信号状態は４値に見える。そこでまずは４値判定することでどちらの基底が利用されたかを判定する。４値判定結果が“０”又は“２”ならば基底“０”、４値判定結果が“１”又は“３”ならば基底“１”と乱数基底の判定をする。これを種鍵１（３２１）（送信機内の種鍵１（１２１）と同じもの）で決まる共有基底と照合し、一致すれば重畳されてきた信号を乱数符号と判定し、不一致の場合はダミー乱数と判定する。図１９の右側に、以上の受信側の処理の一例を示す。但し、４値判定に基づいて基底の判定を行ったために基底の判定誤り、即ち共有基底との照合判定誤りは多い。
　これを訂正するために、光伝送路２０２を通して伝送されたパリティ検査記号を利用する。乱数基底と共有基底の照合に誤りがなければ乱数データのＢＥＲは予め推定される小さな値になるが、照合に誤りがあれば誤りがあったビット以降、確率１／２でビット誤りになる。従って、パリティチェックをすればビット誤りが始まった位置はほぼ特定できる。このビット誤りが始まった位置は、ダミー乱数が入ってしまったか乱数符号が抜け落ちたかのどちらかである。従って、ビット誤りが始まった位置のビットを抜いてパリティチェックを行うことと、ダミーと判定したために捨てたビットを戻してパリティチェックを行うことを順番に行い、ビット誤りがほぼなくなるビット列を探す。
　ビット誤りがあった場合にどのようになるかの具体例も図１９に示す。簡単化のため、初歩的なパリティチェック機能を持った誤り訂正符号化を誤り訂正符号器１４１において行った場合を考える。乱数データを５ビットごとに区切り、“１”の個数が奇数ならば“１”、偶数ならば“０”を検査記号とする。乱数符号は図１９の送信側における「信号」欄に示されており、１１０１０１０１である。左から５ビット分のパリティは１になり、「パリティ検査」の欄に示されている。受信時にビット誤りが無ければ、受信した乱数符号のパリティを計算したものは検査記号の値と一致する。仮に受信側の乱数基底の判定が、図１９の左から６番目のビットで誤ったとする。図１９の受信側の例では、下線を付加したビットが判定誤りである。この場合、本来信号ビットでないビットが信号ビットとして扱われることになり、共有乱数が１ビット増えることになる。
　１ビット増えたことに気付かないで受信者がパリティチェックを行えば、ビット誤りが発生したビット以降、確率１／２でパリティが一致しなくなる。これによりビット誤りがどこで生じたのか概ね判定できる。ビット誤りと思われるビットの乱数基底の判定を変更して受信機の処理を再度行うことを繰り返し、パリティがほぼ正常になるビット列を探す。図１９の受信側の例では、下線のあるビットが誤りであり、このビットが共有乱数から削除されることでビット誤りなしの状態に復帰できる。ダミーと判定して一旦捨てたビットを戻す場合は、基底の照合が間違っていた訳だから、戻す際には最初の判定とは異なる基底を基準に信号判定をする。この際の信号判定は、基底が確定しているので２値判定になる。本方式の受信機内の処理は一旦４値判定するが、基底の誤りを訂正する過程で２値判定に還元されることになる。２値判定の場合は、４値判定の場合に比べてＢＥＲが小さくなる。これが、正規受信者が不正受信者に対して情報論的に有利になる因子であり、予め送受信者間で共有した種鍵１（１２１及び３２１）によりもたらされるものである。
　ビット誤りがほぼ無くなり、誤り訂正復号器３４１による誤り訂正可能なＢＥＲになれば誤り訂正符号の復号を行い、種鍵２（３２２）による復号を行う。これにより受信機内で、送信機内の乱数発生器１（１１１）の出力を再現できたことになる。最終的な秘密鍵生成のためには、１基底２値判定の場合（正規受信者）と２基底２値判定の場合（不正受信者）のＢＥＲで決まる情報量差を誤り訂正符号における冗長分で補正し、プライバシアンプ（１７１及び３７１）によりその補正された情報量まで送受信者間で共有された乱数信号の情報量を減らす。
　プライバシアンプは、例えば論理演算を通して実現することができる。送受信者間で共有された乱数の２０％が安全な情報量で共有乱数が‘０１００１　０１１１０’であったとする。５ビットずつ排他的論理和を取ることにすれば‘０１’になる。この処理ではすべてのデータを同等に扱い情報量を２０％に縮小している。これがプライバシアンプの一例である。
　正規受信者及び不正受信者のＢＥＲは、実施例１に記した方法で同様に見積もることができる。図６に示すように正規受信者のＢＥＲが１０-12になるようにガウス分布の揺らぎを設定すれば、不正受信者のＢＥＲは１０-4程度になる。
　乱数信号（１１１）に施される誤り訂正符号（１４１）は、４値判定（２基底２値判定）した場合の誤りを訂正できる必要はない。受信機における基底の照合過程では、連続的にビット誤りが発生する位置のみを判定できればよい。連続的ビット誤り開始点のビットを特定できればそのビットを修正することにより、ＢＥＲは２値（１基底２値）判定できた場合の予想値にまで下がる。逆に４値（２基底２値）判定に対して誤り訂正できてしまうと、正規受信者と不正受信者の揺らぎの効果に基づくＢＥＲの差がなくなってしまう。即ち、正規受信者と不正受信者間の情報論的に保証された差異が無くなってしまう。従って、本プロトコルにおいて情報論的に正規受信者と不正受信者の差異を形成するためには、乱数信号に施される誤り訂正符号の能力が１基底２値の信号判定をする正規受信者（例えば、ＢＥＲが１０-12）には十分で、２基底２値の信号判定が必要な不正受信者（例えば、ＢＥＲが１０-4）には不十分である必要がある。さらに、基底の照合過程で生じた連続的ビット誤り開始点ができるだけ容易に判定できるように誤り訂正符号が設計されていることが望ましい。
　光伝送路２０１で送受信される信号は乱数であり、基底も真性乱数で決定される。乱数信号は種鍵２（１２２）により暗号化されるが、信号が乱数なので不正受信者に種鍵２（１２２）を推定されることはない。共有基底を決定する種鍵１（１２１）も乱数基底の中に埋もれているので、こちらも不正受信者は推定できない。光伝送路２０１において不正受信者が意味のある情報を得られないので、正規受信者と不正受信者間に形成されるＢＥＲの差が安全な情報量をもたらす。但し、誤り訂正符号の冗長分で補正する必要がある。送信機１００内のプライバシアンプ実行器１７１及び受信機３００内のプライバシアンプ実行器３７１が同じアルゴリズムで演算すれば、送受信機間で共通の秘密鍵が形成される。
　実際の信号は、送信機において生成された秘密鍵を用いて暗号器１８１により暗号化され、信号処理部１８３で他の信号と多重化され、光送信機１８２においてキャリア光に重畳され、光伝送路２０２により受信機３００まで伝送される。光送信機１８２は、光源と、その光源の出射光を変調する変調器からなる。
　受信機３００は伝送された信号光を光検出器３８１により受光して電気信号に変換し、その電気信号は信号処理部３８３において多重化前の信号の状態に戻され、暗号化された信号が分離され、その暗号化された信号は暗号復号器３８２において秘密鍵を用いて平文化される。以上で、安全な暗号通信の一連の過程が終了する。
　光伝送路２０２で行う通信は、揺らぎを伴うキャリア光を用いる必要は無く、通常の光通信でよい。光伝送路２０２と２０１は物理的に異なるものでも良いし、同じ光伝送路を用いて波長多重を行っても良い。
　実施例６では乱数基底と共有基底を１ビットごとに対にして比較し、乱数符号を送信するかダミー乱数を送信するか決定した。乱数基底の中から共有基底を選ぶ方法は実施例６以外の方法も可能であり、それを実現する暗号通信システムの構成例を示したのが図２０である。本実施例は、共有基底と乱数基底を照合して乱数符号とダミー乱数のどちらを送信するかを決定する点では実施例６の方式と同様である。ただし、共有基底と乱数基底が不一致の場合に、不採用になった共有基底を次のビットで再度乱数基底と照合して乱数符号とダミー乱数のどちらを送信するかを決定する点が異なる。共有基底は乱数基底と一致するまで照合を繰り返す。言い換えれば、乱数符号が重畳される基底の並びが共有基底の並びに一致するように運用される。
　以上の仕組みを具体例で示したのが図２１である。乱数発生器３（１１３）の出力で決まる乱数基底は、図２１では０１００１１１０１０００１００である。一方、乱数からなる種鍵１(１２１，３２１)によって送受信者間で予め共有した基底は、１０１１００００である。送信機側においては、まず共有基底で決まる基底の並びで乱数信号を送信する準備をする。図２１の例では、共有基底の最初の基底は“１”であるが、乱数発生器３（１１３）で決まる乱数基底の最初は“０”であり不一致なので、この場合は基底“０”にダミー乱数（乱数発生器２（１１２）の出力）を重畳して信号を送信する。不一致だった共有基底“１”は、再度次の乱数基底と照合される。乱数基底（乱数発生器３（１１３））の２番目の出力は“１”であり、この場合は共有基底の最初の基底“１”に一致したので、乱数符号を重畳して送信する。乱数信号は実施例６と同様に誤り訂正符合化され、情報記号の部分の乱数符合と冗長分のパリティ検査記号に、誤り訂正符号器１４１において分離される。簡単化のため実施例６と同様に５ビットごとのパリティが検査記号になっている。
　受信機３００側の処理も、送信機１００側の処理の変形に基づき実施例６の処理から変形される。まず４値判定を行い、どちらの基底が利用されたかを判定する点は、実施例６の方式と同様である。これを共有基底と照合し、一致すればその乱数データを乱数符合として採用し、不一致の場合はダミー乱数と判定する。不一致だった共有基底は、次に受信信号から判定される乱数基底と再び照合され、一致すればその基底と乱数データとが採用される。基底の判定誤りがあった場合、その位置以降のパリティが確率１／２で誤りになり、判定誤りがあった位置がほぼ特定される。この判定誤りがあった位置は、ダミー乱数が入ってしまったか乱数符号が抜け落ちたかのどちらかなので、判定誤りがあった位置付近のビットを抜いてその位置以降の基底照合を再度やり直してパリティチェックを行うことと、判定誤りがあった位置付近でダミーと判定したために捨てたビットを戻してその位置以降の基底照合を再度やり直してパリティチェックを行うことを順番に行い、ビット誤りがほぼなくなるビット列を探す。基底の判定誤りが無かった場合とあった場合の例を、図２１の右側に示す。この例では、左から２番目のビットの基底照合が判定誤りになり（受信側に下線で示す）、本来共有乱数となるべき乱数信号をダミー乱数と判定してしまっている。このため採用データのビット数が減り、共有乱数がまったくの別物になってしまう。図２１の例では、基底判定誤りがある場合に共有乱数のスロット位置が原型を留めないほど変わっている様子がわかる。この場合、以降のパリティチェックは確率１／２で誤りになり、ビット誤りがあった位置が概ねわかることになる。ビット誤りの位置がほぼ特定できれば、その付近のビットを修正し、ビット誤りがほぼなくなり、誤り訂正符号の復号が可能なＢＥＲになるまで修正を繰り返す。
　実施例７の方式では、受信機において基底判定の誤りに基づいて信号ビットの挿入あるいは除去を行った際に、それ以降の基底照合を再度やり直す必要があるため、実施例６の方式に比べて処理が多くなる欠点があるが、共有基底の並びが種鍵だけで完全に決定される長所がある。
　本発明では種鍵を元手に揺らぎを利用して安全な秘密鍵を生成できることを示した。本発明は種鍵を元手にしているものの、秘密鍵生成の過程は情報論的に安全性が保証されたものである。従って、不正受信者が暗号文の解読を試みようとしても、種鍵に対する総当り攻撃以外に有効な攻撃法がないことになる。即ち、暗号文の効率的な解読法が発見されるかもしれないとの脅威から開放されることになる。本発明による方式は、現在の光通信ネットワークをそのまま利用することが可能であり、現実的で適用性の高い方式である。これら２つの理由から本発明は産業上、利用可能性が高い。

Claims (14)

  1. 　第１の乱数発生器、誤り訂正符号器、第２の乱数発生器、第３の乱数発生器、第１の光源、第１の変調器、プライバシアンプ、暗号器、並びに第２の光源及び第２の変調器を有する光送信機を具備する送信機と、
    　第１の光検出器、誤り訂正復号器、プライバシアンプ、第２の光検出器、及び暗号復号器を具備する受信機と、
    　前記送信機と前記受信機をつなぐ光伝送路とを有し、
    　前記送信機と前記受信機は予め乱数からなる第１の種鍵を共有し、前記第１の種鍵は前記送信機と前記受信機に共有基底を与え、
    　前記送信機は、前記第１の乱数発生器の出力を乱数信号として前記誤り訂正符号器によって誤り訂正符合化し、
    　前記第２の乱数発生器の出力をダミー乱数とし、前記第３の乱数発生器の出力を前記乱数信号及び前記ダミー乱数送信のための乱数基底とし、前記乱数基底と前記共有基底が一致した場合には前記乱数信号を信号とし、前記乱数基底と前記共有基底が一致しない場合には前記ダミー乱数を信号とし、
    　前記第１の光源からの出力光に前記第１の変調器により、前記乱数基底で前記信号を重畳して第１の信号光とし、
    　その際、前記第１の光源からの出力光は揺らぎを伴うか、あるいは前記第１の光源又は前記第１の変調器において揺らぎが重畳され、
    　前記第１の信号光は前記光伝送路に出力され、
    　前記プライバシアンプは前記第１の乱数発生器の出力である乱数信号のビット数を減らして秘密鍵を生成し、
    　前記暗号器は前記秘密鍵を用いて送信信号を暗号化し、
    　前記暗号化した送信信号によって変調した第２の信号光を前記光送信機から出力し、
    　前記受信機は、前記第１の光検出器で前記第１の信号光を受信し、
    　乱数基底及び信号の値を判定し、受信した乱数基底と前記共有基底とを照合し、一致した場合の信号を誤り訂正符号化された乱数信号として、前記誤り訂正復号器で復号し、
    　前記プライバシアンプによってビット数を減らして秘密鍵を取り出し、
    　前記第２の光検出器で前記第２の信号光を受信し、
    　前記取り出した秘密鍵を用いて前記暗号復号器で、前記第２の光検出器で受信した信号から前記送信信号を復号することを特徴とする暗号通信システム。
  2. 　第１の乱数発生器、誤り訂正符号器、第２の乱数発生器、第３の乱数発生器、第１の光源、第１の変調器、プライバシアンプ、暗号器、並びに第２の光源及び第２の変調器を有する光送信機を具備する送信機と、
    　第１の光検出器、誤り訂正復号器、プライバシアンプ、第２の光検出器、及び暗号復号器を具備する受信機と、
    　前記送信機と前記受信機をつなぐ光伝送路とを有し、
    　前記送信機と前記受信機は予め乱数からなる第１の種鍵を共有し、前記第１の種鍵は前記送信機と前記受信機に共有基底を与え、
    　前記送信機は、前記第１の乱数発生器の出力を乱数信号として前記誤り訂正符号器によって誤り訂正符合化し、
    　前記第２の乱数発生器の出力をダミー乱数とし、前記第３の乱数発生器の出力を前記乱数信号及び前記ダミー乱数送信のための乱数基底とし、
    　前記乱数基底と前記共有基底が一致した場合には前記乱数信号を信号とし、前記乱数基底と前記共有基底が一致しない場合には前記ダミー乱数を信号とし、これにより各乱数基底の信号が決まり、次の基底決定の過程において前記乱数基底に一致しなかった前記共有基底と次の乱数基底との照合を行い、一致すれば前記乱数信号を信号とし、一致しなければ前記ダミー乱数を信号とし、前記共有基底が前記乱数基底に一致するまで照合と信号決定の処理を繰り返し、前記共有基底と前記乱数基底の一致後は次の共有基底に進んで同様の処理を繰り返し、
    　前記第１の光源からの出力光に前記第１の変調器により、前記乱数基底で前記信号を重畳して第１の信号光とし、
    　その際、前記第１の光源からの出力光は揺らぎを伴うか、あるいは前記第１の光源又は前記第１の変調器において揺らぎが重畳され、
    　前記第１の信号光は前記光伝送路に出力され、
    　前記プライバシアンプは前記第１の乱数発生器の出力である乱数信号のビット数を減らして秘密鍵を生成し、
    　前記暗号器は前記秘密鍵を用いて送信信号を暗号化し、
    　前記暗号化した送信信号によって変調した第２の信号光を前記光送信機から出力し、
    　前記受信機は、前記第１の光検出器で前記第１の信号光を受信し、
    　乱数基底及び信号の値を判定し、受信した乱数基底と前記共有基底とを照合し、一致するまで同じ共有基底で乱数基底との照合を繰り返し、一致した場合に信号を乱数信号として扱い、次の共有基底に進んで同様の処理を繰り返し、
    　以上の一連の過程により得られた信号を誤り訂正符号化された乱数信号として前記誤り訂正復号器で復号し、
    　前記プライバシアンプによってビット数を減らして秘密鍵を取り出し、
    　前記第２の光検出器で前記第２の信号光を受信し、
    　前記取り出した秘密鍵を用いて前記暗号復号器で、前記第２の光検出器で受信した信号から前記送信信号を復号することを特徴とする暗号通信システム。
  3. 　第１の乱数発生器、誤り訂正符号器、第２の乱数発生器、第３の乱数発生器、第１の擬似乱数発生器、第２の擬似乱数発生器、第１の光源、第１の変調器、プライバシアンプ、暗号器、並びに第２の光源及び第２の変調器を有する光送信機を具備する送信機と、
    　第１の光検出器、第１の擬似乱数発生器、第２の擬似乱数発生器、誤り訂正復号器、プライバシアンプ、第２の光検出器、及び暗号復号器を具備する受信機と、
    　前記送信機と前記受信機をつなぐ光伝送路とを有し、
    　前記送信機と前記受信機は予め乱数からなる第１の種鍵と第２の種鍵を共有し、前記第１の種鍵は前記送信機内及び前記受信機内それぞれの第１の擬似乱数発生器を通して共有基底を与え、前記第２の種鍵は前記送信機内及び前記受信機内それぞれの第２の擬似乱数発生器を通して前記共有基底を利用する信号スロットを与え、
    　前記送信機は、前記第１の乱数発生器の出力を乱数信号として前記誤り訂正符号器によって誤り訂正符合化し、
    　前記第２の乱数発生器の出力をダミー乱数とし、前記第３の乱数発生器の出力をダミーの乱数基底とし、
    　前記共有基底を利用する信号スロットでは前記共有基底を用いて前記乱数信号を信号とし、前記共有基底を利用しない信号スロットでは前記ダミーの乱数基底を用いて前記ダミー乱数を信号とし、
    　前記第１の光源からの出力光に前記第１の変調器を用いて前記信号を重畳して第１の信号光とし、
    　その際、前記光源からの出力光は揺らぎを伴うか、あるいは前記光源又は前記変調器において揺らぎが重畳され、
    　前記第１の信号光は前記光伝送路に出力され、
    　前記プライバシアンプは前記第１の乱数発生器の出力である乱数信号のビット数を減らして秘密鍵を生成し、
    　前記暗号器は前記秘密鍵を用いて送信信号を暗号化し、
    　前記暗号化した送信信号によって変調した第２の信号光を前記光送信機から出力し、
    　前記受信機は、前記第１の光検出器で前記第１の信号光を受信し、
    　前記共有基底の信号スロットで伝送されてきた信号を乱数信号として前記誤り訂正復号器で復号し、
    　前記プライバシアンプによってビット数を減らして秘密鍵を取り出し、
    　前記第２の光検出器で前記第２の信号光を受信し、
    　前記取り出した秘密鍵を用いて前記暗号復号器で、前記第２の光検出器で受信した信号から前記送信信号を復号することを特徴とする暗号通信システム。
  4. 　請求項１～３のいずれか１項記載の暗号通信システムにおいて、前記第１の光源からの出力光の揺らぎは位相揺らぎあるいは強度揺らぎであること、又は前記第１の光源あるいは前記第１の変調器によって重畳される揺らぎは前記第１の信号光に位相揺らぎあるいは強度揺らぎを与えるものであることを特徴とする暗号通信システム。
  5. 　請求項１又は２記載の暗号通信システムにおいて、前記送信機と前記受信機は予め第２の種鍵を共有し、前記送信機では、前記第１の乱数発生器から発生された乱数信号を前記第２の種鍵により暗号化したのち前記誤り訂正符号器によって誤り訂正符号化し、前記受信機では、前記誤り訂正復号器で復号された信号を前記第２の種鍵を用いて復号することを特徴とする暗号通信システム。
  6. 　請求項３記載の暗号通信システムにおいて、前記送信機と前記受信機は予め第３の種鍵を共有し、前記送信機では、前記第１の乱数発生器から発生された乱数信号を前記第３の種鍵により暗号化したのち前記誤り訂正符号器によって誤り訂正符号化し、前記受信機では、前記誤り訂正復号器で復号された信号を前記第３の種鍵を用いて復号することを特徴とする暗号通信システム。
  7. 　請求項１～３のいずれか１項記載の暗号通信システムにおいて、前記乱数信号及び前記ダミー乱数は２値とし、前記乱数基底は２基底とし、合わせて４値の状態で信号が伝送されることを特徴とする暗号通信システム。
  8. 　請求項１～３のいずれか１項記載の暗号通信システムにおいて、前記乱数信号及び前記ダミー乱数はｎ値とし、前記乱数基底はｍ基底とし、合わせてｎ×ｍ値の状態で信号が伝送されることを特徴とする暗号通信システム。
  9. 　第１の乱数発生器、誤り訂正符号器、第２の乱数発生器、第３の乱数発生器、第１の光源、第１の変調器、プライバシアンプ、暗号器、並びに第２の光源及び第２の変調器を有する光送信機を具備する送信機と、
    　第１の光検出器、誤り訂正復号器、プライバシアンプ、第２の光検出器、及び暗号復号器を具備する受信機と、
    　前記送信機と前記受信機をつなぐ第１及び第２の光伝送路とを有し、
    　前記送信機と前記受信機は予め乱数からなる第１の種鍵を共有し、前記第１の種鍵は前記送信機と前記受信機に共有基底を与え、
    　前記送信機は、前記第１の乱数発生器の出力を乱数信号として前記誤り訂正符号器によって誤り訂正符合化し、前記乱数信号の情報分と冗長分を分離し、前者を乱数符号、後者を検査記号とし、
    　前記第２の乱数発生器の出力をダミー乱数とし、前記第３の乱数発生器の出力を前記乱数符号及び前記ダミー乱数送信のための乱数基底とし、前記乱数基底と前記共有基底が一致した場合には前記乱数符号を信号とし、前記乱数基底と前記共有基底が一致しない場合には前記ダミー乱数を信号とし、
    　前記第１の光源からの出力光に前記第１の変調器により、前記乱数基底で前記信号を重畳して第１の信号光とし、
    　その際、前記第１の光源からの出力光は揺らぎを伴うか、あるいは前記第１の光源又は前記第１の変調器において揺らぎが重畳され、
    　前記第１の信号光は前記第１の光伝送路に出力され、
    　前記プライバシアンプは前記第１の乱数発生器の出力である乱数信号のビット数を減らして秘密鍵を生成し、
    　前記暗号器は前記秘密鍵を用いて送信信号を暗号化し、
    　前記暗号化した送信信号と前記検査記号は多重化され、前記多重化された信号によって変調した第２の信号光は前記光送信機から前記第２の光伝送路に出力され、
    　前記受信機は、前記第２の光検出器で前記第２の信号光を受信し、その受信信号から前記暗号化した送信信号と前記検査記号を分離し、
    　前記受信機は前記第１の光検出器で前記第１の信号光を受信し、
    　乱数基底及び信号の値を判定し、受信した乱数基底と前記共有基底とを照合し、一致した場合の信号を乱数符号とし、一致しなかった場合の信号をダミー乱数とし、前記検査記号を用いて前記乱数符号を検査し、それにより基底の照合誤りをチェックし、照合誤りがあった場合は基底を訂正し、それに伴い乱数符号とダミー乱数の判定を訂正し、
    　前記検査記号を用いて前記判定訂正後の乱数符号を前記誤り訂正復号器で復号し、
    　前記プライバシアンプによってビット数を減らして秘密鍵を取り出し、
    　前記取り出した秘密鍵を用いて、前記暗号復号器で前記暗号化した送信信号を送信信号に復号することを特徴とする暗号通信システム。
  10. 　第１の乱数発生器、誤り訂正符号器、第２の乱数発生器、第３の乱数発生器、第１の光源、第１の変調器、プライバシアンプ、暗号器、並びに第２の光源及び第２の変調器を有する光送信機を具備する送信機と、
    　第１の光検出器、誤り訂正復号器、プライバシアンプ、第２の光検出器、及び暗号復号器を具備する受信機と、
    　前記送信機と前記受信機をつなぐ第１及び第２の光伝送路とを有し、
    　前記送信機と前記受信機は予め乱数からなる第１の種鍵を共有し、前記第１の種鍵は前記送信機と前記受信機に共有基底を与え、
    　前記送信機は、前記第１の乱数発生器の出力を乱数信号として前記誤り訂正符号器によって誤り訂正符合化し、前記乱数信号の情報分と冗長分を分離し、前者を乱数符号、後者を検査記号とし、
    　前記第２の乱数発生器の出力をダミー乱数とし、前記第３の乱数発生器の出力を前記乱数符号及び前記ダミー乱数送信のための乱数基底とし、
    　前記乱数基底と前記共有基底が一致した場合には前記乱数符号を信号とし、前記乱数基底と前記共有基底が一致しない場合には前記ダミー乱数を信号とし、これにより各乱数基底の信号が決まり、次の基底決定の過程において前記乱数基底に一致しなかった前記共有基底と次の乱数基底との照合を行い、一致すれば前記乱数符号を信号とし、一致しなければ前記ダミー乱数を信号とし、前記共有基底が前記乱数基底に一致するまで照合と信号決定の処理を繰り返し、前記共有基底と前記乱数基底の一致後は次の共有基底に進んで同様の処理を繰り返し、
    　前記第１の光源からの出力光に前記第１の変調器により、前記乱数基底で前記信号を重畳して第１の信号光とし、
    　その際、前記第１の光源からの出力光は揺らぎを伴うか、あるいは前記第１の光源又は前記第１の変調器において揺らぎが重畳され、
    　前記第１の信号光は前記第１の光伝送路に出力され、
    　前記プライバシアンプは前記第１の乱数発生器の出力である乱数信号のビット数を減らして秘密鍵を生成し、
    　前記暗号器は前記秘密鍵を用いて送信信号を暗号化し、
    　前記暗号化した送信信号と前記検査記号は多重化され、前記多重化された信号によって変調した第２の信号光は前記光送信機から前記第２の光伝送路に出力され、
    　前記受信機は、前記第２の光検出器で前記第２の信号光を受信し、その受信信号から前記暗号化した送信信号と前記検査記号を分離し、
    　前記受信機は前記第１の光検出器で前記第１の信号光を受信し、
    　乱数基底及び信号の値を判定し、受信した乱数基底と前記共有基底とを照合し、一致するまで同じ共有基底で乱数基底との照合を繰り返し、一致した場合に信号を乱数符号とし、一致しなかった場合に信号をダミー乱数とし、次の共有基底に進んで同様の処理を繰り返し、前記検査記号を用いて前記乱数符号を検査し、それにより基底の照合誤りをチェックし、照合誤りがあった場合は基底を訂正し、それに伴い乱数符号とダミー乱数の判定を訂正し、
    　前記検査記号を用いて前記判定訂正後の乱数符号を前記誤り訂正復号器で復号し、
    　前記プライバシアンプによってビット数を減らして秘密鍵を取り出し、
    　前記取り出した秘密鍵を用いて、前記暗号復号器で前記暗号化した送信信号を送信信号に復号することを特徴とする暗号通信システム。
  11. 　請求項９又は１０記載の暗号通信システムにおいて、前記第１の光源からの出力光の揺らぎは位相揺らぎあるいは強度揺らぎであること、又は前記第１の光源あるいは前記第１の変調器によって重畳される揺らぎは前記第１の信号光に位相揺らぎあるいは強度揺らぎを与えるものであることを特徴とする暗号通信システム。
  12. 　請求項９又は１０記載の暗号通信システムにおいて、前記送信機と前記受信機は予め第２の種鍵を共有し、前記送信機では、前記第１の乱数発生器から発生された乱数信号を前記第２の種鍵により暗号化したのち前記誤り訂正符号器によって誤り訂正符号化し、前記受信機では、前記誤り訂正復号器で復号された信号を前記第２の種鍵を用いて復号することを特徴とする暗号通信システム。
  13. 　請求項９又は１０記載の暗号通信システムにおいて、前記乱数信号及び前記ダミー乱数は２値とし、前記乱数基底は２基底とし、合わせて４値の状態で信号が伝送されることを特徴とする暗号通信システム。
  14. 　請求項９又は１０記載の暗号通信システムにおいて、前記乱数信号及び前記ダミー乱数はｎ値とし、前記乱数基底はｍ基底とし、合わせてｎ×ｍ値の状態で信号が伝送されることを特徴とする暗号通信システム。
PCT/JP2009/061893 2009-03-11 2009-06-30 暗号通信システム Ceased WO2010103677A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US13/201,001 US8582770B2 (en) 2009-03-11 2009-06-30 Cryptographic communication system
JP2011503641A JP5280518B2 (ja) 2009-03-11 2009-06-30 暗号通信システム

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JPPCT/JP2009/054653 2009-03-11
PCT/JP2009/054653 WO2010103628A1 (ja) 2009-03-11 2009-03-11 暗号通信システム

Publications (1)

Publication Number Publication Date
WO2010103677A1 true WO2010103677A1 (ja) 2010-09-16

Family

ID=42727936

Family Applications (2)

Application Number Title Priority Date Filing Date
PCT/JP2009/054653 Ceased WO2010103628A1 (ja) 2009-03-11 2009-03-11 暗号通信システム
PCT/JP2009/061893 Ceased WO2010103677A1 (ja) 2009-03-11 2009-06-30 暗号通信システム

Family Applications Before (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/054653 Ceased WO2010103628A1 (ja) 2009-03-11 2009-03-11 暗号通信システム

Country Status (2)

Country Link
US (1) US8582770B2 (ja)
WO (2) WO2010103628A1 (ja)

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014120931A (ja) * 2012-12-17 2014-06-30 Tamagawa Gakuen 通信システム、送信機、受信機、および暗号化通信方法
US10305681B2 (en) 2013-06-12 2019-05-28 Hitachi, Ltd. High-security communication system, and transmitter and receiver both used therein

Families Citing this family (13)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2011099325A1 (ja) * 2010-02-15 2011-08-18 株式会社日立製作所 暗号通信システム及びそれに用いる送信機及び受信機
AU2013265020B2 (en) * 2012-05-23 2017-10-12 University Of Leeds Secure communication
KR101479112B1 (ko) * 2012-10-23 2015-01-07 에스케이 텔레콤주식회사 양자키 분배 프로토콜에서 비트 오류 수정을 위한 치환 방법
JP6157974B2 (ja) * 2013-07-31 2017-07-05 株式会社東芝 送信機、受信機、量子鍵配送（ＱＫＤ；ＱｕａｎｔｕｍＫｅｙＤｉｓｔｒｉｂｕｔｉｏｎ）システム及び量子鍵配送方法
CN105553648B (zh) * 2014-10-30 2019-10-29 阿里巴巴集团控股有限公司 量子密钥分发、隐私放大及数据传输方法、装置及系统
CN106470101B (zh) 2015-08-18 2020-03-10 阿里巴巴集团控股有限公司 用于量子密钥分发过程的身份认证方法、装置及系统
US20170222803A1 (en) * 2016-02-02 2017-08-03 Kabushiki Kaisha Toshiba Communication device, cryptographic communication system, cryptographic communication method, and computer program product
US9998255B2 (en) 2016-05-11 2018-06-12 International Business Machines Corporation Fiber optic light intensity encryption
EP3419005A1 (en) * 2017-06-22 2018-12-26 Gemalto Sa Computing device processing expanded data
JP6484780B1 (ja) * 2018-04-03 2019-03-20 フォトメディカル合同会社 微弱光検出システムおよび微弱光検出方法
US12254286B2 (en) * 2018-12-12 2025-03-18 Nec Corporation Random number supply method and device
CN115021902A (zh) * 2022-05-12 2022-09-06 北京邮电大学 一种基于随机化算法的通信方法及相关设备
CN118573372B (zh) * 2024-07-29 2024-10-29 宁波展通电信设备股份有限公司 基于量子技术的光纤安全通信方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7333611B1 (en) * 2002-09-27 2008-02-19 Northwestern University Ultra-secure, ultra-efficient cryptographic system
JP2008092484A (ja) * 2006-10-05 2008-04-17 Hitachi Ltd セキュアな光通信用中継機および光の２つの直交位相成分の測定器
JP2008245053A (ja) * 2007-03-28 2008-10-09 Hitachi Information & Communication Engineering Ltd 光通信量子暗号通信方法及びその装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP4124194B2 (ja) * 2004-11-01 2008-07-23 日本電気株式会社 共有情報生成方法およびシステム
GB2430124B (en) * 2005-09-09 2008-01-09 Toshiba Res Europ Ltd Quantum communication system
JP4822811B2 (ja) 2005-11-02 2011-11-24 株式会社日立製作所 光通信装置
US7831049B1 (en) * 2006-05-10 2010-11-09 Nucrypt, LLC Enhanced encryption method and system for ultra secure applications
JP5189900B2 (ja) 2008-06-04 2013-04-24 株式会社日立製作所 暗号通信装置
JP5260171B2 (ja) 2008-07-31 2013-08-14 株式会社日立製作所 光通信システム

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7333611B1 (en) * 2002-09-27 2008-02-19 Northwestern University Ultra-secure, ultra-efficient cryptographic system
JP2008092484A (ja) * 2006-10-05 2008-04-17 Hitachi Ltd セキュアな光通信用中継機および光の２つの直交位相成分の測定器
JP2008245053A (ja) * 2007-03-28 2008-10-09 Hitachi Information & Communication Engineering Ltd 光通信量子暗号通信方法及びその装置

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
HORACE P. YUEN ET AL.: "Security of Y-00 and similar quantum cryptographic protocols", 12 November 2004 (2004-11-12), Retrieved from the Internet <URL:http://arxiv.org/PS_cache/quant-ph/pdf/0407/0407067v2.pdf> [retrieved on 20090417] *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2014120931A (ja) * 2012-12-17 2014-06-30 Tamagawa Gakuen 通信システム、送信機、受信機、および暗号化通信方法
US10305681B2 (en) 2013-06-12 2019-05-28 Hitachi, Ltd. High-security communication system, and transmitter and receiver both used therein

Also Published As

Publication number Publication date
US8582770B2 (en) 2013-11-12
US20110311050A1 (en) 2011-12-22
WO2010103628A1 (ja) 2010-09-16

Similar Documents

Publication Publication Date Title
JP5282147B2 (ja) 暗号通信システム及びそれに用いる送信機及び受信機
WO2010103677A1 (ja) 暗号通信システム
JP4398374B2 (ja) 暗号通信装置
US10305681B2 (en) High-security communication system, and transmitter and receiver both used therein
US8284937B2 (en) Method for synchronization in encrypted communications using shared key
US7970140B2 (en) Method and system for encrypted communications using multi-valued modulation
JP6471903B2 (ja) 光秘匿通信システム
US20170170953A1 (en) Decoy bits method for direct encryption and key generation
JP5189900B2 (ja) 暗号通信装置
Molotkov How many sessions of quantum key distribution are allowed from the first launch to the next restart of the system?
JP5260171B2 (ja) 光通信システム
JP5280518B2 (ja) 暗号通信システム
US7912215B2 (en) Data transmission apparatus, data receiving apparatus and method executed thereof
CN114157418B (zh) 一种基于量子网络的可信数据上链装置及方法
US7869600B2 (en) Optical transmitter and transmitting method for transmitting cryptogram
IL227264A (en) A method and system that allows you to test the cryptographic honestness of an error-prone data item
US7606367B2 (en) Quantum cryptography with fewer random numbers
Jin et al. Low transmission overhead for polar coding physical-layer encryption
JP7430942B2 (ja) 信号処理システム
JP5710521B2 (ja) 高セキュリティ通信システム、並びにそれに用いる送信機及び受信機
Cincotti On the security of spectrally encoded quantum-encryption protocols
Kanamori et al. NISp1-10: Bank transfer over quantum channel with digital checks
Tomaru Secret key distribution protocol for practical optical channels using a preshared key and phase fluctuations
Iwakoshi Study of tolerability against defacing of Y 00 quantum stream cipher
Donnet et al. Cryptanalysis of Y-00 under Heterodyne Measurement and Fast Correlation Attack.

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09841502

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 2011503641

Country of ref document: JP

WWE Wipo information: entry into national phase

Ref document number: 13201001

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09841502

Country of ref document: EP

Kind code of ref document: A1