JP7837537B2 - 暗号鍵共有システム - Google Patents

Description

本発明は、自由空間における見通し通信路を伝搬する光信号を利用した、情報理論的に安全な暗号鍵を共有する暗号鍵共有システムに関する。

従来の通信インフラでは、通信を秘匿化する暗号鍵を共有するために、公開鍵暗号方式が使用されている。しかし、公開鍵暗号の安全性は、解読者の計算能力への仮定の下で保証されたものであり、手間と時間を厭わなければ原理的には計算処理によって解読できる。

それに対して、情報理論的に安全な暗号鍵を共有する技術として、見通し通信路を利用した物理レイヤ暗号、及び、量子鍵配送（ＱＫＤ：Quantum Key Distribution）の研究が進められている。なお、情報理論的に安全とは、情報理論に基づいて、盗聴者が無限の計算能力を持っていると仮定した場合でも解読されないことが数学的に証明されていることを指す。

物理レイヤ暗号は、自由空間における見通し通信路を伝搬する光を利用し、情報理論的に安全な暗号鍵を共有するものである（特許文献１、非特許文献１）。この物理レイヤ暗号は、量子鍵配送に比べて、暗号鍵の生成速度が速く、遠距離への暗号鍵の配送が可能という利点を有する。一方、量子鍵配送は、物理レイヤ暗号に比べて、盗聴のみならず、物理学的に許される様々な攻撃に対して、情報理論的に安全な暗号鍵を共有できるという利点を有する。

国際公開第２０１９／１３９５４４号

Z. Pan et al., "Secret-key distillation across a quantum wiretap channel under restricted eavesdropping," Phys. Rev. Applied, vol. 14, no. 2, 024044, 2020.

従来の物理レイヤ暗号では、盗聴者への通信路モデルを指定する必要があるので、通信路モデルの指定が可能な範囲に盗聴モデルが限定されてしまう。このため、物理レイヤ暗号では、将来的に量子技術が発展して盗聴者の能力が向上した場合、情報理論的に安全な暗号鍵を共有できなくなる可能性がある。

また、従来の量子鍵配送は、その強力な安全性と引き換えに、鍵の生成速度及び伝送距離に厳しい制限が課せられている。情報理論的に安全な情報通信ネットワークを全地球的な規模に拡張するため、低軌道衛星－地上局間では高速な暗号鍵の生成を実現し、高高度の静止軌道衛星－地上局間では鍵共有を実現する必要がある。しかし、量子鍵配送では、鍵の生成速度及び伝送距離の制限により、その要求に応えることが困難である。

そこで、本発明は、情報理論的に安全な暗号鍵を共有できると共に、鍵生成速度及び伝送距離を向上させる暗号鍵共有システムを提供することを課題とする。

前記課題を解決するため、本発明に係る暗号鍵共有システムは、見通し通信路を伝搬する光信号を利用して、差動位相変調量子鍵送信装置と差動位相変調量子鍵受信装置との間で暗号鍵を共有する暗号鍵共有システムであって、前記差動位相変調量子鍵送信装置は、差動位相変調により乱数ビットを前記光信号に符号化し、前記見通し通信路を介して、符号化した前記光信号を予め設定した強度で送信する送信光学部と、認証付き公開通信路を介した鍵蒸留処理により、前記送信光学部の乱数ビット系列から暗号鍵を生成する第１鍵蒸留部と、を備え、前記差動位相変調量子鍵受信装置は、前記見通し通信路を介して、前記送信光学部から前記光信号を受信し、受信した前記光信号から前記乱数ビットを復号する受信光学部と、前記認証付き公開通信路を介した鍵蒸留処理により、前記受信光学部の乱数ビット系列から暗号鍵を生成する第２鍵蒸留部と、を備え、前記差動位相変調量子鍵送信装置は、前記見通し通信路の大気ゆらぎを測定する第１通信路状態モニタリング部、をさらに備え、前記差動位相変調量子鍵受信装置は、前記見通し通信路の大気ゆらぎを測定する第２通信路状態モニタリング部と、前記第１通信路状態モニタリング部及び前記第２通信路状態モニタリング部が測定した大気ゆらぎに基づいて、前記見通し通信路の外部に漏れた漏洩光の強度を推定する通信路状態推定部と、をさらに備え、前記送信光学部は、前記通信路状態推定部が推定した漏洩光の強度に基づいて、送信する前記光信号の強度を設定し、前記第１鍵蒸留部は、前記漏洩光の強度に基づいて、前記送信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整し、前記第２鍵蒸留部は、前記漏洩光の強度に基づいて、前記受信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整する構成とした。

かかる構成によれば、暗号鍵共有システムは、差動位相変調量子鍵配送を見通し通信路に適用すると共に、光信号の強度を適切な値に設定できるので、鍵生成速度及び伝送距離を向上させることできる。さらに、暗号鍵共有システムは、見通し通信路の想定範囲内で盗聴行為に一切の制限を設けることなく、汎用的結合可能性を満足する暗号鍵を生成できるので、盗聴者の能力が向上した場合でも情報理論的に安全な暗号鍵を共有できる。

なお、汎用的結合可能性とは、各プロトコル単体として保証された安全性がそれらのどのような結合の仕方や利用環境でも保持されるという性質である。一般的な量子鍵配送の安全性は理想的なプロトコルと実際に実装されたプロトコルを表す量子状態間のトレース距離によって測られ、トレース距離が任意の指定された小さな値ε以下に小さくできる場合にそのプロトコルがε-安全であると言う。例えば、汎用的結合可能性が満足されている場合、ε－安全なプロトコルとε´－安全なプロトコルとを組み合わせると、（ε＋ε´）－安全なプロトコルとなる。暗号鍵共有システムの汎用的結合可能性については後記する。

本発明によれば、情報理論的に安全な暗号鍵を共有できると共に、鍵生成速度及び伝送距離を向上させることができる。

実施形態において、通信路モデルを説明する説明図である。 実施形態に係る暗号鍵共有システムの構成を示すブロック図である。 実施形態において、送信光学部の構成を示すブロック図である。 実施形態において、受信光学部の構成を示すブロック図である。 実施形態において、鍵蒸留処理を示すシーケンス図である。 実施形態において、暗号鍵の圧縮率の調整を説明する説明図である。 実施形態において、通信路状態モニタリング部の構成を示すブロック図である。 実施例において、漸近長での鍵生成レートを示すグラフである。 実施例において、有限長さでの鍵生成レートを示すグラフである。

以下、実施形態について図面を参照して説明する。但し、以下に説明する実施形態は、本発明の技術思想を具体化するためのものであって、特定的な記載がない限り、本発明を以下のものに限定しない。また、同一の手段には同一の符号を付し、説明を省略する場合がある。

［通信路モデル］
図１を参照し、実施形態に係る暗号鍵共有システム１（図２）の前提となる通信路モデルについて説明する。
大気ゆらぎが存する見通し通信路４（例えば、低軌道衛星－地上局間、高高度の静止軌道衛星－地上局間）にも適用可能な物理レイヤの暗号技術として、見通し通信量子鍵配送を採用した暗号鍵共有システム１（図２）を提案する。見通し通信量子鍵配送は、図１の通信路モデルと、その通信路モデルに対して、量子鍵配送の安全性証明技法の一つである、相補性アプローチを適用することで、安全性を証明できる。この相補性アプローチは、送信者Ａと正規受信者Ｂとの間の見通し通信路４の特性と無関係に安全性を証明できる。

図１に示すように、送信者Ａは、レーザ光源２００と、位相変調器２０２とを有し、乱数ビットを符号化する。このとき、変調方式は、前後の光パルスの相対位相によりビット値が定まる、差動位相変調方式とする。また、光パルスの平均光子数をμ_Ａで表す。なお、平均光子数μ_Ａの決め方については、後記する。

送信者Ａは、位相不敏感な見通し通信路４を介して、変調された光パルス列９０を正規受信者Ｂに伝送する。なお、見通し通信路４を通過する光パルス列９０には、大気ゆらぎに限らない、任意の物理現象が効果を及ぼすとしてもよい。ただし、唯一の条件として、見通し通信路４が各光パルスの絶対位相や光パルス間の相対位相に無依存であることが要求される。この条件を位相不敏感と呼ぶ。この位相不敏感の条件が破られるには、大気中の粒子の持つ双極子モーメントが光パルスの位相と共鳴し、さらに後続の光子に影響を与える、といった手段が見通し通信路４に設けられる必要がある。このため、双極子モーメントの緩和時間が光パルス間隔よりも長くなる、又は、モーメントの共鳴周波数の線幅がその間隔に対応する必要がある。現行の差動位相変調の変調速度（約１ＧＨｚ）では、大気中の分子がそのような鋭い線幅を持つことは考えにくい。このため、差動位相変調であれば、この位相不敏感の条件を満足できると考えられる。

図１に示すように、正規受信者Ｂは、１ビット遅延干渉計３０１と、その出力に配された２つの光子検出器３０２（３０２_０，３０２_１）とを有する。正規受信者Ｂは、送信者Ａから送られた光パルスを復調する。

光子検出器３０２は、光子の存在を感知すると光子数とは無関係にオン状態になる、オン―オフ型の光子検出器である。正規受信者Ｂは、１つ目の光子検出器３０２_０に“０”、２つ目の光子検出器３０２_１に“１”という番号を付しておき、ある時刻にオン状態となった光子検出器３０２_０，３０２_１の番号を記録する。このビット情報を時系列に並べたビット列を正規受信者Ｂの生鍵と呼ぶ。なお、オン―オフ型の光子検出器３０２は、光子が到来していないにも関わらず電気パルスを出力する暗計数という性質を持つ。また、遅延干渉計の不完全性により、光子が誤った出力ポートに漏れ出す可能性もある。これらの影響により２つの光子検出器３０２_０，３０２_１が同時にオン状態になった場合にも検出成功として扱い、“０”又は“１”の何れかを割り当てる。

盗聴者Ｅの盗聴方法は、物理レイヤ暗号と同様、送信者Ａ及び正規受信者Ｂに発見されないようにするため、様々な見通し外の位置（例えば、ビームフットプリントの端、正規受信者Ｂの後方）からの受動的な盗聴シナリオに限定される。見通し通信量子鍵配送では、これらの盗聴シナリオを、盗聴者Ｅが送信者Ａの前段に置かれたビームスプリッタ９１を通して盗聴を行うモデルに帰着させている。この盗聴モデルでは、盗聴者Ｅは、送信者Ａが送信した光パルス強度のうち、ビームスプリッタ９１の反射率（タッピング率）η_Ｅに対応する光強度を窃取できるものとする。つまり、タッピング率η_Ｅは、盗聴者Ｅが見通し通信路４で光信号４０をタッピングできる比率を表す。一方、盗聴者Ｅは、量子暗号と同様、任意の復調方法を実装した受信装置で盗聴可能であり、盗聴した情報に対して任意の信号処理を施すことができるものとする。なお、タッピング率η_Ｅの決め方については後記する。

送信者Ａ及び正規受信者Ｂのビット列、すなわち生鍵は、互いに異なっている上、部分的に盗聴者Ｅに漏れている可能性がある。この生鍵から相等しく安全なビット列、すなわち最終鍵を生成するために、鍵蒸留処理と呼ばれる信号処理を、認証付き公開通信路５で情報を交換しながら実施する。

この見通し通信量子鍵配送の安全性は、一般的な量子鍵配送と同様、以下の式（１）に示すように、２つの量子状態ρ，σの間のトレース距離ｄ_Ｔｒ（ρ，σ）によって算出できる。なお、Ｔｒはトレース演算子を表す。

鍵蒸留処理が終了した時点における送信者Ａの最終鍵の状態｜κ^ｆｉｎ _Ａ＞＜κ^ｆｉｎ _Ａ｜と盗聴者Ｅが量子メモリに保持している量子状態ρ_Ｅ（κ^ｆｉｎ _Ａ）にまたがる同時量子状態を以下の式（２）で表す。ここで、送信者Ａの最終鍵のビット系列をκ^ｆｉｎ _Ａで表す。

また、理想的な鍵に対応する量子状態を以下の式（３）で表す。なお、｜・｜は系列の長さ、Ｔｒ_Ａ（・）は送信者Ａの系に着目した部分トレースを表す。これら２つの量子状態のトレース距離は、以下の式（４）で定義される。

この式（４）で定義される値を量子汎用的安全性基準と呼ぶ。見通し通信量子鍵配送では、この量子汎用的安全性基準で安全性を評価できるため、盗聴者Ｅが量子力学を用いた一般的な盗聴を行える場合も安全性を評価できる。さらに、量子汎用的安全性基準がいわゆる汎用的結合可能性を満足する安全性基準となっているため、他の汎用的結合可能性を満足するセキュリティ技術と互換性を持った安全性評価も可能となる。なお、式（４）の計算結果が予め設定した値ε_Ｘよりも小さい場合、この見通し通信量子鍵配送プロトコルはε_Ｘ－安全であるとする。

見通し通信では、指向性の高いレーザ光が用いられるため、送信者Ａ及び正規受信者Ｂから発見されることなく、盗聴者Ｅが光ビームの中心に盗聴装置を設置し、全ての光信号を盗聴後に何らかの処理を施して再送信するというような能動的な攻撃を行うことは、実質的に極めて困難である。このため、盗聴者Ｅは、送信者Ａ及び正規受信者Ｂの視野に入らないように、大気ゆらぎ等によって見通し通信路４から漏れてくる光（漏洩光）を利用するより外はない。しかし、大気ゆらぎを含む自然環境の外乱は、盗聴者Ｅによって密かに意図的に制御され得るものではないことは明らかである。これらの理由によって、レーザ光を用いた見通し通信では、盗聴者Ｅは、漏れてくる光信号から情報をタッピングすることしかできないという通信路モデルを想定することが合理的であると考えられている。そして、見通し通信路４とその周囲の状態は様々な手段で直接に観測することが可能であり、盗聴モデルの妥当性を判断することが可能である。

以上のように、見通し通信路４を想定した場合、見通し通信路４の外部に漏れる漏洩光は、タッピング率η_Ｅで表すことができ、ビームスプリッタ９１を用いて簡単にモデル化できる。この場合、盗聴者Ｅによる盗聴行為は、漏洩光に対しての測定を含む何らかの操作を行うことに限定される。この想定のもとであれば、量子鍵配送方式として差動位相変調方式を採用した場合、汎用的結合可能性を備えた暗号鍵を生成できる。

［暗号鍵共有システムの構成］
図２を参照し、実施形態に係る暗号鍵共有システム１の構成について説明する。
暗号鍵共有システム１は、見通し通信路４を伝搬する光信号４０を利用して、送信者系（差動位相変調量子鍵送信装置）２と正規受信者系（差動位相変調量子鍵受信装置）３との間で暗号鍵を共有するものである。図２に示すように、暗号鍵共有システム１は、送信者系２と、正規受信者系３と、見通し通信路４と、認証付き公開通信路５とを備える。なお、図２では、光信号４０と、プローブ光４１と、見通し通信路４の大気ゆらぎ４２とを図示した。

送信者系２は、見通し通信路４を介して、正規受信者系３に光信号４０を送信するものであり、送信光学部２０と、鍵蒸留部（第１鍵蒸留部）２１と、通信路状態モニタリング部（第１通信路状態モニタリング部）２２とを備える。

送信光学部２０は、差動位相変調により乱数ビットを光信号４０に符号化し、見通し通信路４を介して、符号化した光信号４０を予め設定した強度で送信するものである。
鍵蒸留部２１は、認証付き公開通信路５を介した鍵蒸留処理により、送信光学部２０の乱数ビット系列から暗号鍵を生成するものである。

通信路状態モニタリング部２２は、見通し通信路４の状態（大気ゆらぎ４２）を測定するものである。ここで、通信路状態モニタリング部２２は、後記する通信路状態モニタリング部３２が照射した十分な強度のレーザビーム（プローブ光４１_Ｂ）を観測することで、見通し通信路４の状態を測定する。また、通信路状態モニタリング部２２は、プローブ光４１_Ａを通信路状態モニタリング部３２に照射する。

正規受信者系３は、見通し通信路４を介して、送信者系２から光信号４０を受信するものであり、受信光学部３０と、鍵蒸留部（第２鍵蒸留部）３１と、通信路状態モニタリング部（第２通信路状態モニタリング部）３２とを備える。

受信光学部３０は、見通し通信路４を介して、送信光学部２０から光信号４０を受信し、受信した光信号４０から乱数ビットを復号するものである。
鍵蒸留部３１は、認証付き公開通信路５を介した鍵蒸留処理により、受信光学部３０の乱数ビット系列から暗号鍵を生成するものである。

通信路状態モニタリング部３２は、見通し通信路４の状態（大気ゆらぎ４２）を測定するものである。ここで、通信路状態モニタリング部３２は、通信路状態モニタリング部２２が照射した十分な強度のレーザビーム（プローブ光４１_Ａ）を観測することで、見通し通信路４の状態を測定する。また、通信路状態モニタリング部３２は、プローブ光４１_Ｂを通信路状態モニタリング部２２に照射する。

見通し通信路４は、見通し通信を行うための通信路である。ここで、見通し通信とは、送信者及び受信者の間に遮蔽物がなく、互いに見通せる状態の通信のことである。例えば、見通し通信としては、低軌道衛星－地上局間光通信、高高度の静止軌道衛星－地上局間光通信などがあげられる。
認証付き公開通信路５は、認証付きの公開通信路である。例えば、認証付き公開通信路５は、鍵蒸留処理や見通し通信路４の状態を送受信するために利用する。

［送信光学部の構成］
図３を参照し、送信光学部２０の構成について説明する。
図３に示すように、送信光学部２０は、レーザ光源２００と、物理乱数源２０１と、位相変調器２０２と、光強度調整器２０３と、送信用光学系２０４とを備える。

レーザ光源２００は、光パルス列を発生させるレーザ光源である。
物理乱数源２０１は、乱数ビット系列を生成するものである。
位相変調器２０２は、物理乱数源２０１が生成した乱数ビット系列に基づいて、レーザ光源２００が発生させた光パルス列を位相変調するものである。

光強度調整器２０３は、位相変調器２０２が変調した光パルス列の強度を適切なレベルで調整するものである。本実施形態では、光強度調整器２０３は、後記する通信路状態推定部３２４が推定したタッピング率η_Ｅに基づいて、光パルス列の強度を調整する。ここで、光強度調整器２０３は、タッピング率η_Ｅが大きい場合（つまり、漏洩光の強度が大きい場合）、光信号の強度が弱くなるように設定する。一方、光強度調整器２０３は、タッピング率η_Ｅが小さい場合（つまり、漏洩光の強度が小さい場合）、光信号の強度が強くなるように設定する。

送信用光学系２０４は、見通し通信路４を介して、光強度調整器２０３で強度が調整された光パルス列（光信号４０）を送信する光学系である。例えば、送信用光学系２０４は、光を集光するための送信用望遠鏡、送信者系２と正規受信者系３との相対的な位置変化に追随して送信用望遠鏡の姿勢を変化させる粗追尾系、及び、大気揺らぎ４２などにより生じるビーム位置の細かな変化を補正するための精追尾系で構成されている。

以下、送信光学部２０の動作について説明する。
レーザ光源２００から出力された長さ（Ｎ_ｔｏｔ＋１）の光パルス列は、位相変調器２０２に入力される。この光パルス列は、物理乱数源２０１から出力される伝送系列（ｘ_０，ｘ_１，…，ｘ_Ｎｔｏｔ）に基づいて、位相変調(任意のインデックスｉについて、ｘ_ｉ＝０ならば０、ｘ_ｉ＝１ならばπ)が施される。なお、Ｎ_ｔｏｔは、伝送した光パルスの総数を表す。

位相変調された光パルス列は、光強度調整器２０３に入力され、その強度が平均光子数μ_Ａになるまで調整（減光）される。ここで、平均光子数μ_Ａは、通信路状態推定部３２４から入力されるタッピング率η_Ｅに基づいて、鍵生成速度を最大化するように設定される。減光された光パルス列は、送信用光学系２０４に入力された後、見通し通信路４に入力される。

さらに、伝送系列に対して、あるビットｘ_ｉと１つ前のビットｘ_ｉ―１との排他的論理和を計算する差動排他的論理和処理を施すことで、生鍵系列（ａ_１，…，ａ_Ｎｔｏｔ）を生成する。この生鍵系列（ａ_１，…，ａ_Ｎｔｏｔ）は、鍵蒸留部２１に入力される。

［受信光学部の構成］
図４を参照し、受信光学部３０の構成について説明する。
図４に示すように、受信光学部３０は、受信用光学系３００と、１ビット遅延干渉計３０１と、光子検出器３０２とを備える。

受信用光学系３００は、見通し通信路４を介して、送信光学部２０から光パルス列（光信号４０）を受信する光学系である。例えば、受信用光学系３００は、光を受光するための受信用望遠鏡、送信者系２と正規受信者系３との相対的な位置変化に追随して受信用望遠鏡の姿勢を変化させる粗追尾系、及び、大気揺らぎ４２などにより生じるビーム位置の細かな変化を補正するための精追尾系で構成されている。

１ビット遅延干渉計３０１は、受信用光学系３００が受信した光パルス列について、光パルスを１ビット遅延させて干渉させるものである。
光子検出器３０２は、オン―オフ型の光子検出器であり、２つの光子検出器３０２_０，３０２_１で構成されている。なお、光子検出器３０２_０をＤ０、光子検出器３０２_１をＤ１と記載する場合がある。

以下、受信光学部３０の動作について説明する。
受信用光学系３００で受信した光パルス列は、差動位相変調方式で復調するために１ビット遅延干渉計３０１に入力される。１ビット遅延干渉計３０１から出力された光パルスは、出力されたポートに応じて２つの光子検出器３０２_０，３０２_１の何れかに入力される。具体的には、一つ前の光パルスとの相対位相が０である光パルスは光子検出器３０２_０に、その相対位相がπである光パルスは光子検出器３０２_１に入力される。

そして、各タイムスロットにおいて、オン状態になった光子検出器３０２の出力を時系列で並べることで、生鍵系列（ｂ_１，…，ｂ_Ｎｔｏｔ）を生成する。この生鍵系列（ｂ_１，…，ｂ_Ｎｔｏｔ）は、鍵蒸留部３１に入力される。

表１には、生鍵系列（ｂ_１，…，ｂ_Ｎｔｏｔ）の決定ルールを示した。表１に示すように、光子検出器３０２_０のみがオン状態になった場合にはｂ_ｉ＝０とし、光子検出器３０２_１のみがオン状態になった場合にはｂ_ｉ＝１とする。また、光子検出器３０２_０，３０２_１の両方ともオン状態になった場合、ｂ_ｉ＝０又はｂ_ｉ＝１をランダムで決定する。また、光子検出器３０２_０，３０２_１の両方ともオフ状態になった場合、光子が散逸されたとして、検出失敗を表すシンボルを設定する（ｂ_ｉ＝×）。

［鍵蒸留処理］
図５を参照し、鍵蒸留部２１，３１が実行する鍵蒸留処理について説明する。
図５に示すように、鍵蒸留処理は、認証付き公開通信路５を介して行う処理であり、シフティングＳ１と、量子ビット誤り率推定Ｓ２と、情報整合Ｓ３と、秘匿性増強Ｓ４という４つの処理からなる。

＜シフティング＞
シフティングＳ１では、正規受信者系３の鍵蒸留部３１が、光子受信に成功したインデックス情報を送信者系２に公開する。このインデックス情報は、ｂ_ｉ≠×となるインデックスｉを表す。

送信者系２の鍵蒸留部２１は、送信者系２の生鍵系列（ａ_１，…，ａ_Ｎｔｏｔ）から、鍵蒸留部２１が公開したインデックス情報に対応するビットを抜き出して時系列順に並べることで、シフティングを経たビット系列、すなわちシフト鍵系列を構築する。つまり、鍵蒸留部２１は、正規受信者系３が受信できていないビットを生鍵系列（ａ_１，…，ａ_Ｎｔｏｔ）から除去する。
鍵蒸留部３１は、鍵蒸留部２１と同様、正規受信者系３の生鍵系列（ｂ_１，…，ｂ_Ｎｔｏｔ）からシフト鍵系列を構築する。

＜量子ビット誤り率推定＞
量子ビット誤り率推定Ｓ２では、正規受信者系３の鍵蒸留部３１が、シフト鍵系列の各ビットに対して、確率ｐ_ｔｅｓｔのベルヌーイサンプリングを実施する。そして、鍵蒸留部３１は、そのサンプリング結果に基づいて、ビット列を抜き出すことで、正規受信者系３のテストビット系列を長さＮ_ｔｅｓｔで構成する。さらに、鍵蒸留部３１は、そのテストビット系列と、そのシフト鍵系列中のインデックス情報とを送信者系２に公開する。

送信者系２の鍵蒸留部２１は、正規受信者系３が公開したインデックス情報に基づいて、送信者系２のシフト鍵系列からビットを抜き出すことで、送信者系２のテストビット系列を構成する。そして、鍵蒸留部２１は、送信者系２と正規受信者系３とのテストビット系列を比較することで、量子ビット誤り率を推定する。なお、テストビット系列を抜き出した後のシフト鍵系列の長さをＮ_ｓｉｆｔとする。また、送信者系２のシフト鍵系列が（ａ_１，…，ａ_{Ｎｓｉｆｔ}）となり、正規受信者系３のシフト鍵系列が（ｂ_１，…，ｂ_{Ｎｓｉｆｔ}）となる。

＜情報整合＞
情報整合Ｓ３では、送信者系２の鍵蒸留部２１が、推定した量子ビット誤り率に基づいて、誤り訂正に必要な誤り訂正情報を算出する。この誤り訂正情報の長さをＮ_ＩＲとする。そして、鍵蒸留部２１が、この誤り訂正情報を既に共有している鍵を１回だけ使用して、すなわちワンタイムパッドで暗号化した後、正規受信者系３に公開する。なお、送信者系２の訂正鍵系列（ａ_１，…，ａ_{Ｎｓｉｆｔ}）は、シフト鍵系列と同一である。

正規受信者系３の鍵蒸留部３１は、送信者系２が公開した誤り訂正情報を用いて、正規受信者系３のシフト鍵系列から、送信者系２のシフト鍵系列と非常に高い確率で一致する、訂正鍵系列（ａ´_１，…，ａ´_{Ｎｓｉｆｔ}）を構成する。

＜秘匿性増強＞
秘匿性増強Ｓ４では、正規受信者系３の通信路状態推定部３２４が、測定された見通し通信路４の大気ゆらぎに基づいて、タッピング率η_Ｅを推定する。そして、通信路状態推定部３２４は、推定したタッピング率η_Ｅを送信者系２に公開する。なお、タッピング率η_Ｅの推定手法は、その詳細を後記する。

送信者系２の鍵蒸留部２１は、後記するように、正規受信者系３が公開したタッピング率η_Ｅに基づいて、送信光学部２０の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整する。これと同様、正規受信者系３の鍵蒸留部３１は、タッピング率η_Ｅに基づいて、受信光学部３０の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整する。なお、暗号鍵の圧縮率とは、秘匿性増強Ｓ４において、訂正鍵系列から最終鍵系列を生成したときの系列サイズの比率を表す。

図６を参照し、暗号鍵の圧縮率の調整について説明する。
この図６では、ドットで図示したスロット６０～６２が、正規受信者系３が受信に成功したスロット（生鍵系列）を表す。また、丸印を付したスロット６０が、Ｎ_ｓｉｆｔ個のシフト鍵系列を表す。また、三角印を付したスロット６１が、Ｎ_ｔｅｓｔ個のテストビット系列を表す。また、三角印及び四角印の両方を付したスロット６２が、シフト鍵の直前に位置するテストビット（Ｎ_{ｓｉｆ－ｔｅｓ}個）を表す。また、星印を付したスロット６３が、シフト鍵の直前に位置する受信に失敗したスロット（Ｎ_ｃａｎｄ個）を表す。

正規受信者系３の鍵蒸留部３１は、テストビット系列の個数Ｎ_ｔｅｓｔと、シフト鍵の直前に位置しているテストビット（スロット６２）の個数Ｎ_{ｓｉｆ－ｔｅｓ}と、受信に失敗したスロットの内、その直後のスロットがシフト鍵系列として採用されたビット（スロット６３）の個数Ｎ_ｃａｎｄとを送信者系２に公開する。

送信者系２の鍵蒸留部２１は、正規受信者系３より受信したＮ_ｔｅｓｔ、Ｎ_{ｓｉｆ－ｔｅｓ}及びＮ_ｃａｎｄの情報から、以下の各式を用いて、秘密鍵長Ｎ_ｆｉｎを算出する。そして、鍵蒸留部２１は、Ｎ_ｓｉｆｔ×Ｎ_ｆｉｎのサイズで二次元の圧縮行列を生成し、正規受信者系３に送信する。さらに、鍵蒸留部２１は、その圧縮行列を訂正鍵系列（ａ_１，…，ａ_{Ｎｓｉｆｔ}）に乗算することで、最終鍵（ｋ_１，…，ｋ_Ｇ）を生成する。これと同様、正規受信者系３の鍵蒸留部３１は、その圧縮行列を訂正鍵系列（ａ´_１，…，ａ´_{Ｎｓｉｆｔ}）に乗算することで、最終鍵（ｋ´_１，…，ｋ´_Ｇ）を生成する。

以上の鍵蒸留処理により生成される最終鍵の長さＧは、以下の式（５）で表される。この式（５）の右辺のうち、誤り訂正情報の長さＮ_ＩＲは、情報整合Ｓ３で採用した誤り訂正技術に依存して定まる。また、最終鍵長Ｎ_ｆｉｎは、以下の式（６）で表される。

ここで、関数ｈ_２（ｐ）は、二次元エントロピーと呼ばれ、以下の式（７）によって定義される。また、ｋ_ｐｈは、以下の式（８）と式（９）の何れかを満足するＮ^Ｌ _ｒｅｃ以下の正の整数である。また、関数Ｄ_ＫＬ（ｐ｜｜ｑ）は、Ｋｕｌｌｂａｃｋ－Ｌｅｉｂｌｅｒ情報量と呼ばれ、以下の式（１０）で定義される。任意に与えられたパラメータε，ｓに対して、このプロトコルは、｛２（ε－２^－ｓ）｝^１／２－安全となる。

ｐ_ｐｈ（μ）は、位相誤り率と呼ばれる盗聴者Ｅへの漏洩情報量に関係するものであり、以下の式（１１）で表される。

Ｎ^Ｌ _ｒｅｃは、量子ビット誤り率推定Ｓ２で公開されるテストビット系列に関係するビットを除外したビット系列の長さであり、以下の式（１２）で表される。ここで、ｋ_ｔｅｓｔは、以下の式（１３）と式（１４）の何れかを満足するＮ_ｃａｎｄ以下の正の整数である（なお、Ｎ_ｃａｎｄ及びｐ_ｔｅｓｔの定義は前記したとおりである）。

［通信路状態モニタリング部の構成］
図７を参照し、通信路状態モニタリング部２２，３２の構成について説明する。なお、図７は、図２の暗号鍵共有システム１のうち、通信路状態モニタリング部２２，３２に関連する構成を抜き出したものである。
図７に示すように、送信者系２の通信路状態モニタリング部２２は、プローブ光照射部２２０と、受信強度測定部２２１と、ＤＩＭＭ部２２２と、気象センサ２２３とを備える。

正規受信者系３の通信路状態モニタリング部３２は、プローブ光照射部３２０と、受信強度測定部３２１と、ＤＩＭＭ部３２２と、気象センサ３２３と、通信路状態推定部３２４と、記憶部３２５とを備える。なお、通信路状態モニタリング部３２については、通信路状態モニタリング部２２と異なる点を中心に説明する。

プローブ光照射部２２０，３２０は、見通し通信路４を介して、プローブ光４１を照射するレーザビーム光源である。本実施形態では、送信者系２のプローブ光照射部２２０は、送信用光学系２０４と同軸又は非常に近い位置から、正規受信者系３に向けてプローブ光４１_Ａを照射する。また、正規受信者系３のプローブ光照射部３２０は、受信用光学系３００と同軸又は非常に近い位置から、送信者系２に向けてプローブ光４１_Ｂを照射する。このとき、プローブ光照射部２２０，３２０は、光信号４０に対して、プローブ光４１の波長及び偏光方向を異なるものとし、光信号４０とプローブ光４１との混信を防止することが好ましい。

受信強度測定部２２１，３２１は、見通し通信路４を介して、プローブ光４１を受信し、見通し通信路４の状態（大気ゆらぎ４２）として、プローブ光４１からシンチレーションインデックスとビーム捕捉エラーとを測定するものである。本実施形態では、送信者系２の受信強度測定部２２１は、正規受信者系３のプローブ光照射部３２０が照射したプローブ光４１_Ｂから、シンチレーションインデックス及びビーム捕捉エラーを測定する。また、正規受信者系３の受信強度測定部３２１は、送信者系２のプローブ光照射部２２０が照射したプローブ光４１_Ａから、シンチレーションインデックス及びビーム捕捉エラーを測定する。

ＤＩＭＭ部２２２，３２２は、見通し通信路４の状態（大気ゆらぎ４２）として、見通し通信路４に存在する大気の屈折率に関するＦｒｉｅｄパラメータを測定するものである。なお、ＤＩＭＭとは、Ｄｉｆｆｅｒｅｎｔｉａｌ Ｉｍａｇｅ Ｍｏｔｉｏｎ Ｍｏｎｉｔｏｒの略称である。このＤＩＭＭ部２２２，３２２は、離れた位置の開口を通過したプローブ光４１がカメラセンサ上に形成した像の相対的な重心揺らぎを測定する。本実施形態では、ＤＩＭＭ部２２２が送信者系２側のＦｒｉｅｄパラメータを測定し、ＤＩＭＭ部３２２が正規受信者系３側のＦｒｉｅｄパラメータを測定する。

気象センサ２２３，３２３は、見通し通信路の状態として、大気の風圧、湿度、気温、気圧などを測定するものである。また、気象センサ２２３が送信者系２側の気象パラメータを測定し、気象センサ３２３が正規受信者系３側の気象パラメータを測定する。

なお、送信者系２の通信路状態モニタリング部２２は、認証付き公開通信路５を介して、送信者側の見通し通信路の状態を正規受信者系３の通信路状態推定部３２４に送信する。

通信路状態推定部３２４は、通信路状態モニタリング部２２，３２が測定した大気ゆらぎに基づいて、見通し通信路４の外部に漏れた漏洩光の強度（タッピング率η_Ｅ）を推定するものである（なお、衛星など送信側が宇宙空間にある場合には、この限りではない）。ここで、通信路状態推定部３２４は、タッピング率η_Ｅを推定する際、記憶部３２５の履歴データを参照してもよい。
記憶部３２５は、見通し通信路４の状態の履歴データを記憶するメモリ、ＨＤＤ（Hard Disk Drive）などの記憶装置である。

以下、タッピングη_Ｅの推定手法の一例を説明する。
大気が十分に安定している場合（例えば、シチレーションインデックスが１０^－２以下の場合)、見通し通信路４の外部への光の漏洩の寄与が小さく、見通し通信路４の監視に用いる機器の精度も高くなるので、見通し通信路４の盗聴可能性が低いと考えられる。このような場合、通信路状態推定部３２４は、タッピング率η_Ｅを低い設定値（例えば、１０^－６）で推定する。

大気が不安定な場合（例えば、シンチレーションインデックスが１０^－１以上の場合）、見通し通信路４の外部への光の漏洩の寄与が大きく、見通し通信路４の監視に用いる機器の精度も低くなるので、見通し通信路４の盗聴可能性が高いと考えられる。さらに、見通し通信路４の外部に漏れた光子が、全て盗聴されるという最悪なケースも考えられる。このような場合、通信路状態推定部３２４は、タッピング率η_Ｅを高い設定値（例えば、１－（送信者－正規受信者間の損失率））で推定する。

なお、本実施形態では、送信者系２及び正規受信者系３の両方でシンチレーションインデックスを測定している。そこで、見通し通信路４の送信者系２側について、送信者系２で測定したシンチレーションインデックスを適用し、見通し通信路４の正規受信者系３側について、正規受信者系３で測定したシンチレーションインデックスを適用してもよい。また、送信者系２及び正規受信者系３のシンチレーションインデックスから統計値（例えば、平均値）を求め、その統計値を利用してもよい。
また、タッピング率η_Ｅを推定する際、シンチレーションインデックス以外の指標（ビーム捕捉エラー、Ｆｒｉｅｄパラメータ、大気の風圧など）も利用してもよい。

［作用・効果］
以上のように、実施形態に係る暗号鍵共有システム１は、差動位相変調量子鍵配送を見通し通信路４に適用すると共に、光信号の強度を適切な値に設定できるので、鍵生成速度及び伝送距離を向上させることできる。さらに、暗号鍵共有システム１は、見通し通信路４の想定範囲内で盗聴行為に一切の制限を設けることなく、汎用的結合可能性を満足する暗号鍵を生成できるので、盗聴者の能力が向上した場合でも情報理論的に安全な暗号鍵を共有できる。

すなわち、暗号鍵共有システム１は、自由空間における見通し通信路４に、差動位相変調方式にもとづく量子鍵配送方式を適用することによって、光信号に対する物理的な制約を緩和しても、安全な暗号鍵を効率的に生成できる。さらに、暗号鍵共有システム１は、見通し通信路４の状態を観測して、その測定結果に応じて、送出する光信号の強度や暗号鍵の圧縮率を適応的に調整することによって、見通し通信路４の状態の変化にかかわらず、安全な暗号鍵を生成するとともに、暗号鍵の生成量を最大にできる。

また、暗号鍵共有システム１は、低軌道衛星－地上局間において、量子技術を駆使した高度な盗聴行為によっても破られることのない、情報理論的に安全な暗号鍵を、効率的に共有できる。さらに、暗号鍵共有システム１は、高高度の静止軌道衛星－地上局間において、非常な遠距離であるにも関わらず、量子技術を駆使した高度な盗聴行為によっても破られることのない、情報理論的に安全な暗号鍵の共有を実現できる。これにより、暗号鍵共有システム１は、情報理論的に安全な情報通信ネットワークを全地球的な規模に拡張できる。

（変形例）
以上、実施形態を詳述してきたが、本発明は前記した実施形態に限られるものではなく、本発明の要旨を逸脱しない範囲の設計変更等も含まれる。

前記した実施形態では、光強度調整器が、通信路状態推定部が推定したタッピング率η_Ｅに基づいて、光信号の強度を調整することとして説明したが、これに限定されない。例えば、暗号鍵共有システムの管理者が、光信号の強度を予め設定してもよい。

実施例として、実施形態に係る暗号鍵共有システムの効果を示すために、従来の物理レイヤ暗号及び量子鍵配送との性能比較の結果について説明する。

一般的に、各鍵共有技術の性能は、伝送した光パルスの総数Ｎ_ｔｏｔに対する鍵の長さＧの比で定義される鍵生成レートで評価できる。図８では、暗号鍵共有システムの鍵生成レートを実線で図示し、従来の物理レイヤ暗号の鍵生成レートを破線で図示し、従来の量子鍵配送の鍵生成レートを一点鎖線で図示した。

図８では、漸近長と呼ばれる、光パルスの総数Ｎ_ｔｏｔを無限大に設定できる理想的な環境において、各鍵共有技術の鍵生成レートを、送信者と正規受信者との間の損失に対して算出している。ここで、光パルスの繰返レートを１ＧＨｚ、検出器の暗計数率を１ｋＨｚ、誤り訂正符号のシャノン限界からの効率を１．１としている。また、見通し通信路が透過率（１－η_Ｂ）のビームスプリッタでモデル化できる線形損失通信路モデルを考えている。送信者と正規受信者との間の透過率は、（１－η_Ｅ）（１－η_Ｂ）で表される。なお、η_Ｂは、見通し通信路の損失を表す。

物理レイヤ暗号の変調方式及び通信路モデルとして、暗号鍵共有システムと同様のものを想定している。暗号鍵共有システムと物理レイヤ暗号の鍵生成レートの比較は、大（符号９２_Ｌ）、中（符号９２_Ｍ）、小（符号９２_Ｓ）と、３種類のタッピング率η_Ｅについて行っている。それぞれの場合において、光パルスの平均光子数μ_Ａを数値的に最適化している。

図８に示すように、従来の量子鍵配送の鍵生成レート（一点鎖線)は、３つの鍵共有技術の中でも最も低く、送信者と正規受信者との間の損失が５０ｄＢを超えると、急激に減少する。この損失値は、低軌道衛星－地上間光通信のリンクバジェットαと同等であるため、中軌道以遠の衛星と地上局の通信を行うためには、必然的に物理レイヤ暗号を使わざるを得ない。

暗号鍵共有システムの鍵生成レート（実線）は、従来の量子鍵配送と同様、送信者と正規受信者との間の損失が小さくなると、急激に減少する。しかし、盗聴者のタッピング率η_Ｅが小さくなるにつれて、より大きな損失でも鍵生成が可能になる。暗号鍵共有システムでは、タッピング率η_Ｅが十分に小さい場合、静止軌道衛星－地上間光通信のリンクバジェットβに相当する損失でも、鍵を生成できる。そのため、暗号鍵共有システムでは、タッピング率η_Ｅをある程度の確度で推定できる状況下では、従来の量子鍵配送では困難な、グローバル規模の安全な通信ネットワークを実現できる。

等しいタッピング率で比較した場合、従来の物理レイヤ暗号(破線)の鍵生成レートは、暗号鍵共有システムに対して常にある一定の割合で上回っており、送信者と正規受信者との間の損失が大きくなっても、急激に減少しない。そのため、物理レイヤ暗号は、見通し通信量子鍵配送よりも高速又は遠距離通信に適している。ただし、盗聴者が量子力学的な技術を応用した盗聴方法を用いることが懸念される場合、安全性の観点から見通し通信量子鍵配送に基づいた暗号鍵共有システムを使わざるを得ない。

装置実装の観点からは、光パルスの総数Ｎ_ｔｏｔが有限長さである場合においても、漸近長における理論限界に近い性能が達成されることが好ましい。そこで、図９には、光パルスの総数Ｎ_ｔｏｔを有限長さに設定した環境において、暗号鍵共有システムの鍵生成レートを図示した。

図９に示すように、各タッピング率（符号９２_Ｌ，９２_Ｍ，９２_Ｓ）において、光パルスの総数Ｎ_ｔｏｔが１０^９個のとき、漸近長に非常に近い性能であることが分かる。伝送レートが１ＧＨｚのとき、この光パルスの総数Ｎ_ｔｏｔの値が１秒分に相当しており、静止軌道衛星だけでなく、地球を比較的に高速度で公転する低軌道衛星と地上間光通信の限られた通信時間ウィンドウにおいても、十分な量の鍵を蓄積できることを意味している。また、鍵蒸留処理における計算機への負担も考慮される必要があるが、通信路における光子の散逸を考慮すると、現在実用レベルにある鍵蒸留処理のハードウェアでも十分処理できるほどの量のシフト鍵しか残らないと考えられる。そのため、現在の技術水準にあるハードウェアにより実現できる。

１ 暗号鍵共有システム
２ 送信者系（差動位相変調量子鍵送信装置）
３ 正規受信者系（差動位相変調量子鍵受信装置）
４ 見通し通信路
５ 認証付き公開通信路
２０ 送信光学部
２１ 鍵蒸留部（第１鍵蒸留部）
２２ 通信路状態モニタリング部（第１通信路状態モニタリング部）
３０ 受信光学部
３１ 鍵蒸留部（第２鍵蒸留部）
３２ 通信路状態モニタリング部（第２通信路状態モニタリング部）
３２４ 通信路状態推定部

Claims (4)

1. 見通し通信路を伝搬する光信号を利用して、差動位相変調量子鍵送信装置と差動位相変調量子鍵受信装置との間で暗号鍵を共有する暗号鍵共有システムであって、
   前記差動位相変調量子鍵送信装置は、
   差動位相変調により乱数ビットを前記光信号に符号化し、前記見通し通信路を介して、符号化した前記光信号を予め設定した強度で送信する送信光学部と、
   認証付き公開通信路を介した鍵蒸留処理により、前記送信光学部の乱数ビット系列から暗号鍵を生成する第１鍵蒸留部と、を備え、
   前記差動位相変調量子鍵受信装置は、
   前記見通し通信路を介して、前記送信光学部から前記光信号を受信し、受信した前記光信号から前記乱数ビットを復号する受信光学部と、
   前記認証付き公開通信路を介した鍵蒸留処理により、前記受信光学部の乱数ビット系列から暗号鍵を生成する第２鍵蒸留部と、
   を備え、
   前記差動位相変調量子鍵送信装置は、
   前記見通し通信路の大気ゆらぎを測定する第１通信路状態モニタリング部、をさらに備え、
   前記差動位相変調量子鍵受信装置は、
   前記見通し通信路の大気ゆらぎを測定する第２通信路状態モニタリング部と、
   前記第１通信路状態モニタリング部及び前記第２通信路状態モニタリング部が測定した大気ゆらぎに基づいて、前記見通し通信路の外部に漏れた漏洩光の強度を推定する通信路状態推定部と、をさらに備え、
   前記送信光学部は、前記通信路状態推定部が推定した漏洩光の強度に基づいて、送信する前記光信号の強度を設定し、
   前記第１鍵蒸留部は、前記漏洩光の強度に基づいて、前記送信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整し、
   前記第２鍵蒸留部は、前記漏洩光の強度に基づいて、前記受信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率を調整することを特徴とする暗号鍵共有システム。
2. 前記送信光学部は、前記漏洩光の強度が大きい場合、送信する前記光信号の強度が弱くなるように設定し、前記漏洩光の強度が小さい場合、当該光信号の強度が強くなるように設定することを特徴とする請求項１に記載の暗号鍵共有システム。
3. 前記第１鍵蒸留部は、前記漏洩光の強度が大きい場合、前記送信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率が大きくなるように調整し、前記漏洩光の強度が小さい場合、当該暗号鍵の圧縮率が小さくなるように調整し、
   前記第２鍵蒸留部は、前記漏洩光の強度が大きい場合、前記受信光学部の乱数ビット系列から暗号鍵を生成するときの圧縮率が大きくなるように調整し、前記漏洩光の強度が小さい場合、当該暗号鍵の圧縮率が小さくなるように調整することを特徴とする請求項１又は請求項２に記載の暗号鍵共有システム。
4. 前記通信路状態推定部は、前記漏洩光の強度として、盗聴者が前記見通し通信路で前記光信号をタッピングできる比率であるタッピング率を推定することを特徴とする請求項１から請求項３の何れか一項に記載の暗号鍵共有システム。