(57)【特許請求の範囲】
【請求項１】
１シンボル分に対応する平文が入力されるごとに複数の基底の中から１つの基底を決定し、前記平文と前記基底とに応じてシンボルの変調位置を決定する決定部と、
前記変調位置を、前記基底で決まる信号識別領域内でランダムにシフトさせるシフト部と、
光源から出力される光を、前記シフト部でシフトされた位置に基づいて変調する変調器と、
を有し、
前記シフト部は、前記変調位置を前記基底の選択で決まる真のシンボル領域から、左隣のシンボル領域との中点、または右隣のシンボル領域との中点へランダム、かつ等確率でシフトさせることを特徴とする光送信機。
【請求項２】
前記平文の入力に同期して、前記シフト部に乱数を供給する乱数発生器、
をさらに有し、
前記シフト部は、前記乱数に基づいて、前記変調位置を、前記左隣のシンボル領域との中点である第１位置と、前記右隣のシンボル領域との中点である第２位置との間でランダム、かつ等確率でシフトさせることを特徴とする請求項１に記載の光送信機。
【請求項３】
前記乱数発生器は、物理乱数発生器または光送信機と正規の光受信器の間で乱数発生のための鍵を共有しない疑似乱数発生器であることを特徴とする請求項２に記載の光送信機。
【請求項４】
１シンボル分に対応する平文が入力されるごとに、あらかじめ用意された複数の基底の１つをランダムに選択して、１シンボル分に対応する前記平文と前記基底とに応じてシンボルの変調位置を決定し、
前記変調位置を、前記基底の選択で決まる真のシンボル領域から、左隣のシンボル領域との中点、または右隣のシンボル領域との中点へランダム、かつ等確率でシフトし、
前記シフトされた位置で変調した光信号として送信する、
ことを特徴とする光送信方法。
【請求項５】
前記平文の入力に同期して、乱数を発生し、
前記乱数に基づいて、前記左隣のシンボル領域との中点である第１位置と、前記右隣のシンボル領域との中点である第２位置のいずれかをランダム、かつ等確率で選択して前記変調位置をシフトさせる、
ことを特徴とする請求項４に記載の光送信方法。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は光送信機と光送信方法に関し、特に量子暗号を利用した光送信技術に関する。
【背景技術】
【０００２】
量子力学を用いた暗号方式として、Ｙｕｅｎ量子暗号が知られている。Ｙｕｅｎ量子暗号のプロトコルは「Ｙ−００」と呼ばれており、強度変調や位相変調された光信号をレーザ光が持つ量子ゆらぎ（雑音）によって拡散することで信号を秘匿する。量子暗号は物理現象を利用する暗号であり、数理暗号と比較して暗号化と復号化の時間が短く、かつ盗聴に対する耐性に優れている。
【０００３】
図１はＹ−００プロトコルによる一般的な光送信機の概略図、図２はＹ−００光通信量子暗号の原理を説明する図である。正規の送信者と受信者はシードキーを共有しており、光送信機は受信側装置と同期のとれた疑似乱数発生器１１２を有する。疑似乱数発生器１１２は、平文入力と同期して、シードキーから平文１ビットごとに疑似乱数を出力する。図２の例では、平文１ビットの送信ごとに疑似乱数１〜５のいずれかを出力する。送信シンボル決定装置１１３は、複数（Ｍ個）の基底の中から疑似乱数に応じた基底を選択して２つのシンボルを決定する。基底とは、複数のシンボルの組であり、例えば、図２のように２のシンボルの組である。位相変調の場合は、図２のように互いに１８０°位相の異なる２つのシンボルの対を、疑似乱数ごとに位相を異ならせて割り当てる。強度変調の場合は、強度の離れた２つのシンボルの対を疑似乱数ごとに強度レベルを異ならせながら割り当てる。各基底の２つのシンボルにそれぞれ平文"０"と"１"を割り当てる。変調器１１６は、決定されたシンボルに従って光源１１５からの光を変調する。変調光は光アンプ１１７で増幅されて光伝送路に出力される。
【０００４】
図２は、５つの基底（Ｍ＝５）で１０（２×Ｍ）個の位相変調状態で表現される１０ＰＳＫの例を示す。隣り合うシンボルには、対応する平文が同じ値にならないように"０"と"１"が交互に割り当てられる。また、シンボル間距離は、コヒーレント光の量子ゆらぎ（コヒーレントノイズＮ）により盗聴者が信号を識別できない程度に小さく設定されている。例えば、疑似乱数２に対応する基底「２」で、平文"１"に対応するシンボルＳが正規送信者から送信される。正規の受信者側では、光送信機と同期してシードキーから同じ疑似乱数２が生成され、基底「２」が特定される。正規受信者は、基底「２」に直交する軸をシンボル識別のための閾値Ｔとして設定する。疑似乱数に応じてビットごとにシンボル識別の閾値Ｔを切り替えることで、正規受信者は送信されたシンボルに対応する平文が「１」なのか「０」なのかを高い信号対雑音（Ｓ／Ｎ）比で判別することができる。他方、盗聴者は疑似乱数を知らないので、どの基底が選択されているか特定することができない。信号光を観測（盗聴）することができても、信号光がコヒーレントノイズに埋もれ、破線の範囲Ｅのいずれのシンボル位置で送信されてきたかを正しく推定することができない。誤り率は１／２よりも高くなる。
【０００５】
パルス位置変調方式で量子暗号の秘匿性を高めるために、パルス位置変調信号にデコイ信号を重畳する方法が提案されている（たとえば、特許文献１参照）。また、量子ショット雑音の分布を補正し、真の光信号レベルからの距離によらず量子雑音の影響度を均一に保って光信号レベル間隔を広げる方法が提案されている（たとえば、特許文献２参照）。
【先行技術文献】
【特許文献】
【０００６】
【特許文献１】特開２０１１−６１２９２号公報
【特許文献２】特開２０１２−７４９８０号公報
【発明の概要】
【発明が解決しようとする課題】
【０００７】
量子ゆらぎを利用する暗号化通信では、シンボル間距離を小さくして盗聴者による信号点の識別を困難にする。そのため、図２のコンスタレーションのように、光信号の電場の振幅（原点からシンボルまでの距離に対応）は小さい。電場の振幅は、光の強度すなわち光子数と比例関係にある。秘匿性を保つために１シンボル当たりの光子数を小さくすると、変調器１１６の出力パワーが減少し、長距離光伝送への適用が難しくなる。他方、光子数を増やして光強度を大きくすると、量子ゆらぎによる不確定性を十分に利用することができなくなり、秘匿性を保つことが困難になる。
【０００８】
そこで、秘匿性を維持し、かつ光子数を増やすことのできる暗号化光通信の技術を提供することを課題とする。
【課題を解決するための手段】
【０００９】
本発明の一態様では、光送信機は、
１シンボル分に対応する平文が入力されるごとに複数の基底の中から１つの基底を決定し、前記平文と前記基底とに応じてシンボルの変調位置を決定する決定部と、
前記変調位置を、前記基底で決まる信号識別領域内でランダムにシフトさせるシフト部と、
光源から出力される光を、前記シフト部でシフトされた位置に基づいて変調する変調器と、
を有する。
【発明の効果】
【００１０】
上記の構成により、秘匿性を維持し、かつ光子数を増やした暗号化光通信を実現することができる。
【図面の簡単な説明】
【００１１】
【図１】一般的な光通信量子暗号化光送信機の概略図である。
【図２】Ｙ−００光通信量子暗号の原理を説明する図である。
【図３】発明者が見出した課題を説明する図である。
【図４】発明者が見出した課題を説明する図である。
【図５】実施形態の量子暗号化の原理を説明する図である。
【図６】実施形態の量子暗号化の原理を説明する図である。
【図７】実施形態の量子暗号化の原理を説明する図である。
【図８】実施形態の量子暗号化を強度変調に適用したときの概念図である。
【図９】実施形態の光送信機の構成例１を示す図である。
【図１０】実施形態で用いられる光受信装置の一例を示す。
【図１１】物理乱数発生器の一例を示す図である。
【図１２】図１０の判定部で用いられる判定ルールの例を示す図である。
【図１３】物理乱数発生器の別の例を示す図である。
【図１４】実施形態の光送信機の構成例２を示す図である。
【図１５】実施形態の光送信方法のフローチャートである。
【発明を実施するための形態】
【００１２】
図３は、光子数の増大と秘匿性のトレードオフの関係を説明する図である。コンスタレーションの原点Ｏに近い位置では、電場の振幅、すなわちシンボル当たりの光子の数が小さく、隣接するシンボル間の距離が小さい。量子ゆらぎの不確定性により、信号が存在する確率密度が複数の信号点の間で互いに重複する。疑似乱数を知らない盗聴者は信号識別のための閾値Ｔを設定することができないので、光信号を測定できても実際に送信されたシンボルに対応する平文を正しく推定することができない。
【００１３】
コンスタレーションの原点Ｏから離れるにつれて、電場の振幅、すなわち１シンボル当たりの光子数が大きくなり、隣接するシンボル間の距離も大きくなる。量子ゆらぎ、すなわちコヒーレントノイズに由来するノイズ量の最小値｜Ｎmin｜を大きくすることができれば、シンボル間距離が大きくなっても量子ゆらぎにより誤り率を大きくすることができそうである。しかし、正規の送受信者にとっての最悪条件（すなわち、ノイズが少ないことで盗聴者にとって最も有利な条件）となるノイズ量｜Ｎmin｜は、ハイゼンベルクの不確定性原理（プランク定数）で決まる値を持ち、これを大きくすることはできない。
【００１４】
図４に示すように、正規送受信者にとっては秘匿性の観点から、１シンボルの継続時間（１タイムスロット）に、シンボル送信位置に対して±９０°未満であるが正規受信者に対する信号劣化が無視できる範囲でなるべく±９０°に近い位相ゆらぎがあることが好ましい。しかし、光子数が大きくなると、正規送信者が送信したシンボルを正しく推定する確率分布の半値全幅が小さくなる。その結果、真のシンボル領域Ｓに含まれる確率分布関数Ｄの面積（斜線の領域）が大きくなり、盗聴者によるシンボルＳの推定確率が１／２を超えてしまう。
【００１５】
また、変調シンボル数（２×Ｍ）を多くすることで、隣り合うシンボルの間隔を小さくして量子ゆらぎの効果を享受することができそうである。しかし、変調シンボル数を増やすことはシステムに対するインパクトが大きい。逆に言うと、変調シンボル数がシステム設計上の上限値に固定された場合、秘匿性を維持することのできる変調器出力、すなわち１シンボル当たりの光子数（光パワー）には上限がある。たとえば、変調シンボル数（２×Ｍ）が１６の場合、量子論的に可能な最大のシンボル識別能力を持つ盗聴者の誤り率を０．５より大きくするには、光子数を概ね１００［個／シンボル］未満にしなければならないことが一般に知られている。
【００１６】
変調器の平均出力光パワーＰ、すなわち初段の光アンプ１１７（図１参照）への入力パワーは
Ｐ＝ＮＰ・ｈ・ν・Ｒ［Ｗ］
で表される。ここで、ＮＰは１シンボルに含まれる光子数［個／シンボル］、ｈはプランク定数、νは光周波数［Ｈｚ］、Ｒはシンボルレートである。
【００１７】
プランク定数ｈ＝6.626070×10-34［Ｊ・ｓ］
光周波数ν＝ｃ／λ［Ｈｚ］
光速ｃ＝2.99792458×108［ｍ／ｓ］
波長λ＝1550×10-9［ｍ］
シンボルレートＲ＝32［Gbaud］＝32×109［baud］
１シンボル中の光子数Ｎｐ＝１００［個／シンボル］
とすると、平均光パワーＰは、約０．４１［μＷ］、すなわち−３３．９［ｄＢｍ］となる。１シンボル含まれる光子数Ｎｐを１００［個／シンボル］より小さくして秘匿性を維持しようとすると、変調器の平均出力光パワー、あるいは初段の光アンプ１１７への入力光パワーが小さくなる。この場合、正規の送受信者にとってもＳ／Ｎ比が低くなり、秘匿性と信号品質の間でトレードオフの問題が生じる。
【００１８】
そこで、実施形態では、１シンボル当たりの光子数を増やしても秘匿性を維持することのできる暗号化方法と光送信機を提供する。実施形態の構成と手法は、暗号通信の長距離光通信への適用に貢献することができる。
＜実施形態の量子暗号化の原理＞
図５は、実施形態の量子暗号化の原理を説明する図である。実施形態では、１シンボル送信ごとに、基底の選択により決まるシンボルの変調位置を、正規受信者が設定する信号識別領域（閾値Ｔで決まる領域）の範囲内で、ランダムにシフトさせる。より具体的には、疑似乱数に応じて選択される基底と、入力された１シンボル分に対応する平文とに基づいて、多値変調のシンボル変調位置が決定された上で、さらにその変調位置を信号識別領域内でランダムにシフトさせる。基底決定の後の変調位置のランダムシフトは、たとえば物理乱数に基づいて行う。
【００１９】
図５（Ａ）と図５（Ｂ）で、太い破線の矩形Ｍ１は、位相変調された正規送信者のシンボル領域である。破線のガウス曲線ＳT1は、Ｍ１でシンボルが送信されたときに、盗聴者がこの送信シンボルの位相を測定した時、測定値が値θとなる確率の確率分布である。
【００２０】
図５（Ａ）では、Ｍ１で送信されるはずのシンボルを、左隣のシンボル領域Ｍ２側にずらして送信する状態を示す。実線のガウス曲線ＳT2は、実際に送信されたシンボルの位相を盗聴者が測定した時、測定値が値θとなる確率の確率分布である。図５（Ｂ）では、Ｍ１で送信されるはずのシンボルを、右隣のシンボル領域Ｍ３側にずらして送信する状態を示す。実線のガウス曲線ＳT3は、送信されたシンボルの位相を盗聴者が測定した時、測定値が値θとなる確率の確率分布である。
【００２１】
図５（Ａ）の状態で送信するか、図５（Ｂ）の状態で送信するかは、１シンボルごとに物理乱数発生器、シード値を共有しない疑似乱数発生器などを用いて、ランダムに決定される。図５（Ａ）の状態と図５（Ｂ）の状態が等確率で発生してシンボルが送信される場合、盗聴者からθの確率分布は、図５（Ｃ）に示す統計的な混合状態に見える。真のシンボルの変調位置をランダムにずらすことで、光子数を増やして量子ゆらぎの効果が相対的に小さくなった場合でも、盗聴者が真のシンボルを推定する確率を１／２より小さくできる。
【００２２】
図５（Ａ）と図５（Ｂ）では、基底の選択で決まる真のシンボル領域Ｍ１を、左隣のシンボル領域Ｍ２との中点、または右隣のシンボル領域Ｍ３との中点のどちらかにシフトさせる例を示しているが、必ずしも隣接するシンボル領域との中点にずらす必要はない。正規受信者が設定するシンボル識別領域（閾値Ｔで設定される領域）の範囲内であれば、１シンボル送信ごとに基底で決まる変調位置をランダムにずらすことができる。これは、１シンボル送信期間中に連続的に変調位置を変えることを意味するのではない。シンボル単位でシンボル変調位置のシフト先がランダムに決定されたなら、１シンボル送信期間中はそのシフトされた位置でシンボルは送信される。
【００２３】
図６は、光子数を増やしたときに、シンボル変調位置をランダムにシフトさせる手法の概念図である。１シンボル当たりの光子数を増やすことで、信号送信の際の電場の振幅を大きくして変調器の平均出力光パワーを大きくすることができる。光子数の増大による秘匿性の劣化を解決するために、基底の選択と１シンボル分に対応する平文の値によって決定されたシンボルの変調位置を、正規受信者が設定するシンボル識別領域Ａ内の任意の位置にずらす。たとえば、疑似乱数２に応じた基底２で 平文"１"に対応するシンボルが送信される場合、図５のように、真のシンボル変調位置（θ）を右隣で隣接するシンボルとの中点、または左隣で隣接するシンボルとの中点にシフトさせる。右隣のシンボルとの中点にシフトされるか、左隣のシンボルとの中点にシフトされるかは、物理乱数あるいはシード値を正規の受信機と共有しない疑似乱数によって、ランダムに決定される。
【００２４】
あるいは、図６のように、隣接するシンボル位置の近傍にまでずらしてもよい。この場合も、いずれの側で隣接するシンボルの近傍位置にシフトされるかは、物理乱数あるいはシード値を共有しない疑似乱数によりランダムに決定される。変調位置のシフト先は、正規受信者が設定するシンボル識別領域Ａ内にある限り、隣接するシンボル位置を超える位置にずらしてもよい。シンボルは、シフト後の変調位置で送信される。
【００２５】
正規受信者は、共有シードキーを用いて送信側と同期して疑似乱数を生成するので、選択された基底で決まる閾値Ｔによりシンボル識別領域Ａを設定することができる。送信シンボルが１シンボル分に対応する平文と基底で決まる真のシンボル変調位置からずれた位置で送信されてきた場合でも、そのシンボルがシンボル識別領域Ａで受信される限り、そのシンボルに対応する平文を"１"と判定することができる。また、疑似乱数生成のタイミングでシンボルがシンボル識別領域Ｂで受信された場合は、そのシンボルに対応する平文を"０"と判定することができる。同様に、基底３が選択されているときは、基底３と直交する閾値Ｔを設定して、シンボル識別領域Ａで信号が受信された場合にはそのシンボルに対応する平文を"０"と判定し、シンボル識別領域Ｂで信号が受信された場合には、そのシンボルに対応する平文を"１"と判定することができる。
【００２６】
１シンボル当たりの光子数が多い場合は、量子ゆらぎが相対的に小さくなるため、盗聴者はシンボル位置を測定することはできても、図５で説明したように、そのシンボルの本来の変調位置を推定できる確率は低い。また、正規受信者と異なり疑似乱数を知らないので、信号識別のための閾値Ｔを設定することができない。その結果、光子数を増やしても通信の秘匿性を保つことができる。
【００２７】
図７は、図５の原理を別の観点から説明する図である。盗聴者が盗聴（位相θの測定）を行うと、図７（Ａ）のようにθ上のいずれかの点で信号光が検出され、盗聴者は確率分布ＳＴで受信光の位相θを推定する。しかし、盗聴者には、図７（Ｂ）のように本来のシンボル領域がＭ１であり、これがＭ２側にシフトされて送信されたのか、図７（Ｃ）のように本来のシンボル領域がＭ２であり、これがＭ１側にシフトされて送信されたのかを知ることはできない。
【００２８】
受信光の位相を測定した時、測定値が値θとなる確率の確率分布がＳＴである場合、本来のシンボル領域Ｍ１またはＭ２でのシンボル推定確率が小さくなり、誤り率が大きくなる。したがって、１シンボル当たりの光子数を大きくしたことにより量子ゆらぎの効果が相対的に小さくなっても、秘匿性が維持される。変調器の平均出力光パワーを大きくすることができるので、正規受信者は秘匿性を維持したまま、高いＳ／Ｎ比で信号光を受信することができる。
【００２９】
図８は、実施形態の量子暗号化を強度変調に適用する例を示す。異なる位相での複数の基底の設定に替えて、異なる強度レベルで複数（Ｍ個）の基底を用意する。各基底には、平文の値"１"と"０"に対応する２つの強度変調シンボルが割り当てられ、総数２×Ｍ個の強度変調シンボルで表現される。隣接するシンボル間では対応する平文の値"１"と"０"が交互に並ぶように配置される。
【００３０】
正規の送信者と受信者は同一のシードキーを共有し、送信側と受信側で同期して同じ疑似乱数が生成される。Ｍ個の基底の中から、疑似乱数に応じた基底が選択され、１シンボル分に対応する平文に応じた変調位置が決定される。正規の受信者は選択された基底を知っているので、その基底での２つのシンボルを最もエラーの確率を少なくし、識別のしやすい強度レベル（すなわち、２つの強度の平均値）を、シンボル識別のための閾値Ｔとして設定する。設定される閾値Ｔは、シンボルごとに切り替わる。
【００３１】
たとえば、あるシンボルの送信に基底２が選択された場合、基底２の強度が弱い方のシンボルのシンボル位置（平文"１"に対応）と強度が強い方のシンボルのシンボル位置（平文"０"に対応）の中心を閾値Ｔに設定する。送信される真のシンボルに対応する平文の値が"０"である場合、送信側では、物理乱数等に基づき、シンボルの変調位置を、閾値Ｔで決まる領域Ａの範囲内で強度軸に沿って右側または左側にランダムにシフトする。シフト先は、領域Ａの範囲内であれば、隣接するシンボル位置との中点であってもよいし、隣接するシンボル位置を超えてもよい。
【００３２】
正規受信者は、疑似乱数発生のタイミングで信号光を領域Ａで受信した場合は、その強度位置に関わらず平文を"０"と判定することができる。同様に、疑似乱数発生のタイミングで信号光を領域Ｂで受信した場合は平文を"１"と判定することができる。
【００３３】
盗聴者は、基底を知らないので、ある強度の信号光を観測できたとしても、真のシンボルを正しく推定することができず、したがって対応する平文を推定することもできない。
【００３４】
この方式により、１シンボル当たりの光子数を大きくしたことで量子ゆらぎの効果が相対的に小さくなっても、秘匿性を維持することができる。また、変調器の平均出力光パワーを大きくすることができるので、正規受信者は、高いＳ／Ｎ比で信号光を受信することができる。
＜装置構成＞
図９は、実施形態の光送信機の構成例１として、光送信機１０Ａを示す。光送信機１０Ａは、疑似乱数発生器１２と、送信シンボル決定装置１３Ａと、光源１５と、変調器１６と、光アンプ１７と、乱数発生器１８と、バイアス発生器１９を有する。乱数発生器１８は、物理乱数発生器でもよいし、シード値を正規の受信機と共有しない疑似乱数発生器であってもよい。
【００３５】
送信シンボル決定装置１３Ａには、"１"または"０"で表される平文が入力される。平文の入力と同期して、疑似乱数発生器１２と乱数発生器１８に同期信号が供給される。疑似乱数発生器１２は、同期信号に基づき、シードキーを用いてバイナリ疑似乱数列（ビット列）を生成し、出力する。疑似乱数発生器１２は、例えば、複数のＤ型フリップフロップ回路と１つの排他的論理和（ＸＯＲ）回路の組み合わせや、線形帰還シフトレジスタによる回路や、Ｂｌｕｍ−Ｂｌｕｍ−Ｓｈｕｂ疑似乱数発生器や、ＣＴＲモード（ｃｏｕｎｔｅｒ  ｍｏｄｅ）のＡＥＳ（Ａｄｖａｎｃｅｄ  Ｅｎｃｒｙｐｔｉｏｎ  Ｓｔａｎｄａｒｄ）暗号装置など、公知の構成を採用できる。疑似乱数発生器１２が出力するバイナリ疑似乱数列のビット数は、用いる基底の数によって異なる。たとえば、図６のように５つの基底を用いる場合は３ビットの疑似乱数列を出力する。
【００３６】
送信シンボル決定装置１３Ａは、疑似乱数発生器１２から出力される疑似乱数列に応じて、複数の基底の中から１つの基底を決定する。各基底は、それぞれ異なる位相または強度レベルを表わす。１シンボル分に対応する平文と決定された基底に基づいて、総数２×Ｍ個のシンボルの中から、送信シンボルが決定される。送信シンボル決定装置１３Ａは、加算器、乗算器、ＸＯＲ回路など、任意の回路構成を採用してもよい。決定された送信シンボルは、電気駆動信号として変調器１６に入力される。
【００３７】
平文の入力に同期して、乱数発生器１８は物理乱数またはシード値を正規の受信機と共有しない疑似乱数を生成する。物理乱数は、熱雑音、放射性元素の崩壊、光子の偏光方向など、ランダムな物理現象により生成される値である。物理乱数を生成する場合、乱数発生器１８として半導体中の熱雑音を利用するＩＣ（Integrated Circuit：集積回路）チップや、ハーフミラーを用いた乱数発生器、半導体レーザのカオス現象を利用したカオスレーザチップなどを用いることができる。
【００３８】
生成された乱数はバイアス発生器１９に入力される。バイアス発生器１９は、入力された乱数に応じたバイアス電圧を生成し、バイアス電圧を変調器１６に入力する。バイアス発生器１９は、１シンボル分に対応する平文と選択された基底によって決まるシンボル変調位置を所定の領域内でランダムにシフトさせるシフト部として機能する。
【００３９】
変調器１６は、送信シンボル決定装置１３Ａで決定された送信シンボルに基づいて、光源１５からの光を変調する。光源１５は、たとえば波長１５５０ｎｍの光を出力するレーザーダイオードである。光源１５から出力される光は、位相と振幅に一定の関係があるコヒーレント光であり、確率的なゆらぎ（量子ゆらぎ）を有する。光子数が少ないと量子ゆらぎが目立つが、光子数が増えると、量子ゆらぎは相対的に小さくなる。図６のように位相変調の場合、変調器１６は、送信シンボル決定装置１３Ａから出力される電気駆動信号に従って、光源からの光の位相を変調する。図８のように強度を変調する場合も、送信シンボル決定装置１３Ａから出力される駆動信号により、光源からの光は変調器１６で強度変調される。
【００４０】
変調器１６において、送信シンボル決定装置１３Ａで決定されたシンボルに応じた変調位置は、バイアス発生器１９から入力されるバイアス電圧により、閾値をまたがない範囲内（シンボル識別領域内）でランダムにシフトされる。ランダムシフトを受けた変調信号は光アンプ１７で増幅され、光伝送路３１に出力される。
【００４１】
上記の構成で、疑似乱数発生器１２と送信シンボル決定装置１３Ａは、デジタル論理回路に替えて、アナログ回路とＦＰＧＡ（Field Programmable Gate Array）の組み合わせを用いてもよい。あるいは、所定のソフトウェアプログラムを実行するマイクロプロセッサを用いてもよい。
【００４２】
図１０は、実施形態の光通信システムで用いられる光受信機２０の構成例を示す。光受信機２０は、受光部２１と、疑似乱数発生器２２と、領域設定部２３と、信号判定部２４を有する。
【００４３】
受光部２１は、光伝送路３１から光信号を受信する。受光部２１は、たとえば、光導波路や空間光学系による光デバイスと、フォトダイオード等の光検出器と、光検出器からの電流値を電圧信号に変換するトランスインピーダンスアンプ等を含む。受光部２１から出力されるアナログ電気信号は、信号判定部２４に入力される。
【００４４】
疑似乱数発生器２２は、光送信機１０Ａと共有されるシードキーを用い、光送信機１０Ａと同期して疑似乱数を生成する。光送信機１０Ａと同じシードキーを用いるため、疑似乱数発生器２２において光送信機１０Ａと同じ疑似乱数が生成される。生成された疑似乱数は領域設定部２３に入力される。
【００４５】
領域設定部２３は、入力された疑似乱数に従って、複数の基底の中から１つの基底を選択する。また、選択された基底に基づいて、受信シンボルを識別する閾値Ｔ、または閾値Ｔによって決まる領域を設定する。
【００４６】
信号判定部２４は、設定された閾値Ｔまたは領域に基づいて、受信シンボルを判定し、"０"または"１"を表わすデジタル電気信号（平文）を出力する。
【００４７】
光受信機２０は、従来のＹ−００プロトコルを用いて量子暗号を復号化することができる。また、１シンボル当たりの光子数が増大された状態で信号が送信されてくるので、高いＳ／Ｎ比で受信することができる。
【００４８】
図１１は、乱数発生器１８の一例として、ハーフミラーを用いる物理乱数発生器１８０を示す。物理乱数発生器１８０は、光源１８１と、光減衰器１８２と、ハーフミラー１８３と、第１の受光部１８４と、第２の受光部１８５と、判定部１８６と、メモリ１８７を有する。物理乱数発生器１８０は、たとえばモジュール型のデバイスとして実現される。
【００４９】
光減衰器１８２は、光源１８１から出力される光を、光子が１個ずつ出力されるレベルにまで減衰する。ハーフミラー１８３は、比較的強い光が入射された場合は、透過光と反射光のパワーが同じになる鏡である。ハーフミラー１８３に光子を１個ずつ入射すると、透過する場合と、反射される場合が等確率で発生する。
【００５０】
第１の受光部１８４と第２の受光部１８５は、たとえば、アバランシェフォトダイオードや光電子増幅管であり、１個の光子を検出可能である。第１の受光部１８４と第２の受光部１８５は、光子を検出すると電気バルスを出力する。第１の受光部１８４と第２の受光部１８５の出力は、判定部１８６の入力に接続される。
【００５１】
判定部１８６は、第１の受光部１８４の電気パルス出力と、第２の受光部１８５の電気パルス出力に基づき、所定のルールにしたがって選択した値をメモリ１８７に出力する。
【００５２】
図１２は、判定部１８６に設定されるルールの一例を示す。この例では、第１の受光部１８４で光子が検出され、第２の受光部１８５で光子が検出されないときに、乱数出力を"０"とする。第２の受光部１８５で光子が検出され、第１の受光部１８４で光子が検出されないときに、乱数出力を"１"とする。
【００５３】
第１の受光部１８４と第２の受光部１８５の出力（電気パルス）がともに０であるときは、光子が入力されていないか、または光子がハーフミラー１８３に吸収されて熱になったときなので、カウントしない。第１の受光部１８４と第２の受光部１８５の出力（電気パルス）が同時に１になったときは、ノイズの影響と考えられるので、これもカウントしない。
【００５４】
図１１に戻って、メモリ１８７は、たとえば非同期型のＦＩＦＯ（First In First Out）メモリである。判定部１８６からメモリ１８７に物理乱数が非同期で入力され、メモリ１８７内では物理乱数のデータが待ち行列にキューされる。メモリ１８７に出力トリガが入力されると、物理乱数はバイナリ乱数列として出力される。出力トリガは、たとえば出力指令信号や出力同期信号である。メモリ１８７から出力されるバイナリ乱数列が、物理乱数発生器１８０の出力となる。
【００５５】
物理乱数列の値に応じて、基底で決まる閾値Ｔをまたがない範囲内で、シンボル変調位置のシフト先が指定される。物理乱数列は、疑似乱数と異なり完全にランダムなので、盗聴者には真のシンボルの変調位置をシフト後の状態から推定することは不可能である。したがって、１シンボル当たりの光子数が増える場合でも暗号の秘匿性を維持することができる。
【００５６】
図１３は、乱数発生器１８の別の例として、高速な物理乱数発生器２８０を示す。物理乱数発生器２８０は、並列接続される複数の低速な物理乱数発生器２８２ａ〜２８２ｄと、パラレル／シリアル変換器２８５と、Ｎ分周器２８１とを有する。物理乱数発生器２８２ａ〜２８２ｄは、たとえば半導体中の熱雑音を利用するＩＣチップでもよいし、図１１の物理乱数発生器１８０を用いてもよい。物理乱数発生器２８２ａ〜２８２ｄの出力は、パラレル／シリアル変換器２８５の入力に接続されている。
【００５７】
パラレル／シリアル変換器２８５とＮ分周器２８１に、高速な出力同期信号が入力される。Ｎ分周器２８１は、出力同期信号を１／Ｎのクロック周波数に変換する。図１３の例ではＮ＝４である。Ｎ分周された同期信号は、物理乱数発生器２８２ａ〜２８２ｄのそれぞれに入力される。物理乱数発生器２８２ａ〜２８２ｄは、Ｎ分周されたクロック信号に同期して物理乱数を生成し、出力同期信号の１／４の速度でバイナリ乱数列を出力する。
【００５８】
パラレル／シリアル変換器２８５は、物理乱数発生器２８２ａ〜２８２ｄから並列で入力されたバイナリ乱数列をシリアル乱数列に変換し、高速な出力同期信号に同期してシリアルバイナリ乱数列を出力する。
【００５９】
図１３の高速な物理乱数発生器２８０を用いる場合は、平文入力と疑似乱数発生器１２での疑似乱数生成の速度を上げることができ、変調速度が向上する。
【００６０】
図１４は、実施形態の光送信機の構成例２として光送信機１０Ｂを示す。図９の光送信機１０Ａと同じ構成要素には同じ符号を付して重複する説明を省略する。光送信機１０Ｂは、疑似乱数発生器１２と、送信シンボル決定装置１３Ｂと、光源１５と、変調器１６と、光アンプ１７と、乱数発生器１８を有する。送信シンボル決定装置１３Ｂは、ランダムシフト部１４を有する。乱数発生器１８は、たとえば物理乱数発生器である。
【００６１】
光送信機１０Ｂで、乱数発生器１８の出力は、送信シンボル決定装置１３Ｂに入力される。送信シンボル決定装置１３Ｂは、１シンボル分に対応する平文の入力と同期して、疑似乱数発生器１２からの疑似乱数に基づいて基底を選択する。これと同期して、乱数発生器１８で生成された乱数がランダムシフト部１４に入力される。ランダムシフト部１４は、１シンボル分に対応する平文と基底とで決まるシンボル変調位置を、基底で決まる閾値Ｔをまたがない範囲（正規受信者が設定するシンボル識別領域内）で、別の変調位置にランダムにシフトさせる。
【００６２】
送信シンボル決定装置１３Ｂは、ランダムシフトされた送信シンボルを表わす電気信号を、変調器１６に入力する。変調器１６は、送信シンボル決定装置１３Ｂからの出力信号に基づいて、光源１５からの光の位相または強度を変調する。
【００６３】
変調器１６から出力された変調光信号は、光アンプ１７で増幅され、光伝送路３１に出力される。
＜光送信方法＞
図１５は、実施形態の光送信方法のフローチャートである。まず、光送信機１０Ａまたは１０Ｂで平文の入力を受け付ける（Ｓ１０１）。平文は、"１"または"０"の並びで表されるビット列である。次に、１シンボル分に対応する平文が入力されるごとに、あらかじめ決められた数（Ｍ個）の基底を疑似乱数に基づいて切り替えて、基底に対応する変調位置を決定する（Ｓ１０２）。平文の１ビットを１シンボルの光信号として送信する場合は、平文１ビットごとに、基底を切り替える。基底ごとに、１ビットの平文に対して異なる位相または強度レベルが与えられる。各基底での平文の値（"０"または"１"）とシンボルの対応付けに応じて変調位置が決まる。
【００６４】
１シンボル分に対応する平文と選択された基底で決まる変調位置を、基底に応じた閾値をまたがない範囲、すなわち正規受信者が設定するシンボル識別領域内で、ランダムにシフトさせる（Ｓ１０３）。ランダムなシフトは、あらかじめ決められている２つ以上のシフト先の中からランダムに選択してもよい。あるいは、シンボル識別領域内で、位相回転角または強度軸に沿った任意の位置へアナログ的にシフトさせてもよい。
【００６５】
ランダムシフト後のシンボル位置で、このシンボルを光信号として送信する（Ｓ１０４）。このときの光子数には特に制限はない。光子数が増えて量子ゆらぎの効果が小さくなっても、盗聴者は本来のシンボル送信位置を正しく推定することができない。
【００６６】
その後、未送信の平文が残っているかどうかを判断し（Ｓ１０５）、すべての平文が送信されるまでＳ１０２〜Ｓ１０４を繰り返す。
＜変形例＞
図９の光送信機１０Ａと図１４の光送信機１０Ｂは、基底で決まるシンボル位置を、乱数発生器１８を用いてシンボル識別領域内でランダムにシフトさせている。乱数発生器１８として、図１１及び図１３に示す物理乱数発生器１８０及び２８０に替えて、正規の受信機と共有されないシード値から乱数を生成する疑似乱数発生器を用いてもよい。正規の受信者は、基底さえわかればシンボル識別のための閾値Ｔ（または閾値Ｔで決まるシンボル識別領域）を適切に設定してシンボルを判別でき、シフト前の変調位置を特定する必要はない。したがって、１シンボル分に対応する平文と基底で決まる変調位置を、正規受信者が設定するシンボル識別領域内でランダムにシフトできるかぎり、疑似乱数を利用してもよい。光子数が増えたことで盗聴者が比較的高いＳ／Ｎ比で受信光を測定する場合でも、真のシンボル位置を正しく推定できる確率を低くすることができる。
【００６７】
真のシンボル位置のシフト先は、あらかじめ決めてある複数の位置の中から、物理乱数（または正規の受信機とシード値を共有しない疑似乱数）の値に応じて１つのシフト先をランダムに決定してもよい。たとえば、図５及び図８を参照して説明したように、真のシンボル位置の右隣で隣接するシンボルとの中点と、左隣で隣接するシンボルとの中点のいずれか一方をランダムにシフト先としてもよい。この場合は、平文１ビットの入力ごとに、１ビットの物理乱数またはシード値を共有しない疑似乱数を用いてシフト先をランダムに決めることができる。あるいは、乱数列を２ビットずつに区切って、４つのシフト先の中から１つのシフト先をランダムに決定してもよい。さらに、複数のシフト先の中から１つのシフト先を離散的に決めるのではなく、レーザカオス物理乱数発生器を用いて、ランダムにシフトされるシンボルの移動先をアナログ的に決定してもよい。
【００６８】
また、互いに直交する２つの正弦波を用いる振幅変調（Quadrature Amplitude Modulation：ＱＡＭ）や位相変調（Quadrature Phase Shift Keying：ＱＰＳＫ）に実施形態の量子暗号化を適用してもよい。ＱＰＳＫの場合は、１シンボル分に対応する平文２ビットごとに、疑似乱数発生器１２の出力に基づいて基底を選択し、物理乱数等により変調位置をランダムにシフトさせる。
【００６９】
これらの変形例によっても、暗号化光通信において、情報の秘匿性を保ったまま光子数を増やすことができる。盗聴を防止し、かつ正規受信者のＳ／Ｎ比を高めて、量子暗号化を長距離光通信に適用することができる。受信側では、従来のＹ−００プロトコルで信号を復号することができる。
【００７０】
以上の説明に対し、以下の付記を提示する。
（付記１）
１シンボル分に対応する平文が入力されるごとに複数の基底の中から１つの基底を決定し、前記平文と前記基底とに応じてシンボルの変調位置を決定する決定部と、
前記変調位置を、前記基底で決まる信号識別領域内でランダムにシフトさせるシフト部と、
光源から出力される光を、前記シフト部でシフトされた位置に基づいて変調する変調器と、
を有することを特徴とする光送信機。
（付記２）
前記平文の入力に同期して、前記シフト部に乱数を供給する乱数発生器、
をさらに有し、
前記シフト部は、前記乱数に基づいて、前記信号識別領域内の２つ以上のシフト位置の中から１つのシフト位置をランダムに選択して、前記変調位置をシフトさせることを特徴とする付記１に記載の光送信機。
（付記３）
前記シフト部は、前記乱数に基づいて、前記変調位置を、第１の方向で隣接するシンボルとの間の第１位置と、第２の方向で隣接するシンボルとの間の第２位置との間でランダムに選択することを特徴とする付記２に記載の光送信機。
（付記４）
前記シフト部は、前記乱数に基づいて、前記変調位置を、第１の方向で隣接するシンボルを超える第１位置と、第２の方向で隣接するシンボルを超える第２位置との間でランダムに選択することを特徴とする付記２に記載の光送信機。
（付記５）
前記乱数発生器は、物理乱数発生器または光送信機と正規の光受信器の間で乱数発生のための鍵を共有しない疑似乱数発生器であることを特徴とする付記２〜４のいずれかに記載の光送信機。
（付記６）
前記平文の入力に同期して前記シフト部に乱数を供給する物理乱数発生器、
をさらに有し、
前記シフト部は、前記乱数に基づいて、前記変調位置を前記信号識別領域内でアナログ的にシフトさせることを特徴とする付記１に記載の光送信機。
（付記７）
前記シフト部は、前記乱数に応じたバイアス電圧を生成する電圧発生器であり、
前記電圧生成器の出力は、前記変調器に入力されることを特徴とする付記１〜６のいずれかに記載の光送信機。
（付記８）
前記変調器は、前記シフト後のシンボル位置に基づいて、前記光源から出力される光の位相を変調することを特徴とする付記１〜７のいずれかに記載の光送信機。
（付記９）
前記変調器は、前記シフト後のシンボル位置に基づいて、前記光源から出力される光の強度を変調することを特徴とする付記１〜７のいずれかに記載の光送信機。
（付記１０）
付記１〜９のいずれかに記載の光送信機と、
前記光送信機から送られてくる光信号を受信する光受信機と、
前記光送信機と前記光受信機の間を接続する光伝送路と、
を含む光通信システム。
（付記１１）
１シンボル分に対応する平文が入力されるごとに、複数の基底の１つをランダムに選択して、入力された１シンボル分に対応する平文と前記基底に応じてシンボルの変調位置を決定し、
前記変調位置を、前記基底で決まる信号識別領域内でランダムにシフトし、
前記シフトされた位置で変調した光信号として送信する、
ことを特徴とする光送信方法。
（付記１２）
前記平文の入力に同期して、乱数を発生し、
前記乱数に基づいて、前記信号識別領域内の２つ以上のシフト位置の中から１つのシフト位置をランダムに選択して、決定された前記変調位置をシフトさせる、
ことを特徴とする付記１１に記載の光送信方法。
（付記１３）
前記乱数に基づいて、前記変調位置を、第１の方向で隣接するシンボルとの間の第１位置と、第２の方向で隣接するシンボルとの間の第２位置との間でランダムに選択する、
ことを特徴とする付記１２に記載の光送信方法。
（付記１４）
前記乱数に基づいて、前記変調位置を、第１の方向で隣接するシンボルを超える第１位置と、第２の方向で隣接するシンボルを超える第２位置との間でランダムに選択することを特徴とする付記１２に記載の光送信方法。
（付記１５）
前記平文の入力に同期して、物理乱数を発生し、
前記物理乱数に基づいて、決定された前記変調位置を前記信号識別領域内でアナログ的にシフトさせる、
ことを特徴とする付記１０に記載の光送信方法。
【符号の説明】
【００７１】
１０Ａ、１０Ｂ  光送信機
１２  疑似乱数発生器
１３Ａ、１３Ｂ  送信シンボル決定装置
１４  ランダムシフト部（シフト部）
１５  光源
１６  変調器
１７  光アンプ
１８  乱数発生器
１９  バイアス発生器（シフト部）
２０  光受信機
２１  受光部
２２  疑似乱数発生器
２３  領域設定部
２４  信号判定部
１８０、２８０  物理乱数発生器
【図１】
0006766363.tif 000002
【図２】
0006766363.tif 000003
【図３】
0006766363.tif 000004
【図４】
0006766363.tif 000005
【図５】
0006766363.tif 000006
【図６】
0006766363.tif 000007
【図７】
0006766363.tif 000008
【図８】
0006766363.tif 000009
【図９】
0006766363.tif 000010
【図１０】
0006766363.tif 000011
【図１１】
0006766363.tif 000012
【図１２】
0006766363.tif 000013
【図１３】
0006766363.tif 000014
【図１４】
0006766363.tif 000015
【図１５】
0006766363.tif 000016