(57)【要約】  重複した公開通信を避け、全体でより少ない量の通信路を用いて、秘密通信を行う秘密通信方法及びその通信装置を提供する。  秘密通信方法において、初期乱数Ｘ，Ｙの誤り率を推定するステップと、盗聴情報量の上限を推定するステップと、誤り確率の推定値に基づいた誤り訂正符号から決まる暗号化関数、誤り訂正復号化関数ｇ、暗号復号化補助変数を決定するステップと、盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃから、暗号化Ｚを一意に生成するステップと、暗号文Ｚを伝送するステップと、初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数と誤り訂正復号化関数ｇを用いて、暗号文Ｚを伝送文ＭBに復元するステップを含む。
2008013008.tif 000002
【特許請求の範囲】
【請求項１】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数、誤り訂正復号化関数ｇ、及び暗号復号化補助変数を決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、
（ｅ）受信者に送信する伝送情報Ｍを暗号化関数、初期乱数Ｘ、及び秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数、及び誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする秘密通信方法。
【請求項２】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数Ｆ、及び誤り訂正復号化関数ｇを決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、
（ｅ）受信者に送信する伝送情報Ｍを暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃ、及び乱数Ｄから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃと誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする秘密通信方法。
【請求項３】
送信者、受信者の初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする請求項１記載の秘密通信方法。
【請求項４】
送信者、受信者の前記初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする請求項２記載の秘密通信方法。
【請求項５】
前記暗号化関数をＡ，Ｂ，Ｔとし、前記伝送情報Ｍの暗号化を
Ｚ＝ＢＭ＋（Ｉ，Ａ＋ＢＣ）ＴＸ
とすることを特徴とする請求項１又は３記載の秘密通信方法。
ここで、Ｉは単位行列、ただし、前記誤り訂正復号化関数ｇに対応する誤り訂正の意味での符号化行列をＦとしたとき、行列Ａ，Ｂ，Ｔは以下を満たすものとする。
2008013008.tif 000015
【請求項６】
前記暗号化関数をＦとし、前記伝送情報Ｍの暗号化を 
2008013008.tif 000016
とすることを特徴とする請求項２又は４記載の秘密通信方法。
【請求項７】
前記暗号復号化補助変数をＴの逆行列Ｔ-1とし、前記暗号文Ｚの復号化を
2008013008.tif 000017
とすることを特徴とする請求項５記載の秘密通信方法。
【請求項８】
前記暗号文の復号化を
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）
とすることを特徴とする請求項２、４又は６記載の秘密通信方法。
【請求項９】
全ての乱数や行列の要素がビットではなく、Ｚ／ｄＺの要素で与えられることを特徴とする請求項１から８の何れか１項記載の秘密通信方法。
ここで、論理的排他和はＺ／ｄＺ上の和になる。なお、ｄは任意の自然数である。
【請求項１０】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、
（ａ）ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（１０１，１１５）と、
（ｂ）前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（１０２，１１６）と、
（ｃ）前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（１０４）と、
（ｄ）前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（１１９）と、
（ｅ）ｍ−ｋビットの情報Ｍを入力する入力装置（１０６）と、
（ｆ）暗号化符号化に必要な関数を決定する暗号化関数決定装置（１０７）と、
（ｇ）暗号化を行う暗号化装置（１０３）と、
（ｈ）秘密通信に用いる誤り訂正復号化関数ｇを決定する誤り訂正復号化関数決定装置（１２１）と、
（ｉ）暗号の復号化に用いる暗号復号化補助変数を決定する暗号復号化補助変数決定装置（１１４）と、
（ｊ）誤り訂正の復号化を行う誤り訂正復号化器（１２２）と、
（ｋ）暗号の復号化を行う暗号復号化装置（１１７）と、
（ｌ）暗号文Ｚを伝送する、送信機（１０９）、公開通信路（１１０）及び受信機（１１１）と、
（ｍ）通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（１０８，１２３）と、
（ｎ）前記暗号復号化装置（１１７）からの復元した情報ＭBを出力する出力装置（１２０）とを具備することを特徴とする秘密通信装置。
【請求項１１】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており，第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、
（ａ）ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（１０１，１１５）と、
（ｂ）前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（１０２，１１６）と、
（ｃ）前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（１０４）と、
（ｄ）前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（１１９）と、
（ｅ）ｍ−ｋビットの情報Ｍを入力する入力装置（１０６）と、
（ｆ）乱数を生成させる乱数生成装置（１０５）と、
（ｇ）暗号化符号化に必要な関数を決定する暗号化関数決定装置（１０７）と、
（ｈ）暗号化を行う暗号化装置（１０３）と、
（ｉ）秘密通信に用いる誤り訂正復号化関数ｇを決定する誤り訂正復号化関数決定装置（１２１）と、
（ｊ）誤り訂正の復号化を行う誤り訂正復号化器（１２２）と、
（ｋ）暗号の復号化を行う暗号復号化装置（１１７）と、
（ｌ）暗号文を伝送する、送信機（１０９）、公開通信路（１１０）及び受信機（１１１）と、
（ｍ）通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（１０８，１２３）と、
（ｎ）前記暗号復号化装置（１１７）からの復元した情報ＭBを出力する出力装置（１２０）とを具備することを特徴とする秘密通信装置。
【請求項１２】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙを保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数Ｘ，Ｙを用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対する暗号化関数、誤り訂正復号化関数ｇ、及び暗号復号化補助変数を決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを確率的に決定するステップと、
（ｅ）受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、及び秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数、及び誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする秘密通信方法。
【請求項１３】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数Ｆ、及び誤り訂正復号化関数ｇを決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを確率的に決定するステップと、
（ｅ）受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃ、及び乱数Ｄから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃと誤り訂正復号化関数を用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする秘密通信方法。
【請求項１４】
送信者、受信者の初期乱数Ｘ，Ｙの生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする請求項１２記載の秘密通信方法。
【請求項１５】
送信者、受信者の前記初期乱数Ｘ，Ｙの生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする請求項１３記載の秘密通信方法。
【請求項１６】
前記暗号化関数をＡ，Ｂ，Ｔとし、伝送情報Ｍの暗号化を
Ｚ＝ＢＭ＋（Ｉ，Ａ＋ＢＣ）ＴＸ
とすることを特徴とする請求項１２又は１４記載の秘密通信方法。
ここで、Ｉは単位行列、ただし、前記誤り訂正復号化関数ｇに対応する誤り訂正符号の意味での符号化行列をＦとしたとき、行列Ａ，Ｂ，Ｔは以下を満たすものとする。
2008013008.tif 000018
【請求項１７】
前記暗号化関数をＦとし、伝送情報Ｍの暗号化を 
2008013008.tif 000019
とすることを特徴とする請求１３又は１５記載の秘密通信方法。
【請求項１８】
前記暗号復号化補助変数をＴの逆行列Ｔ-1とし、暗号文Ｚの復号を
2008013008.tif 000020
とすることを特徴とする請求項１６記載の秘密通信方法。
【請求項１９】
前記暗号文Ｚの復号化を
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）
とすることを特徴とする請求項１３、１５又は１７記載の秘密通信方法。
【請求項２０】
前記秘匿性増強行列ＣをＴｏｅｐｌｉｔｚ行列によって生成することを特徴とする請求項１３記載の秘密通信方法。
【請求項２１】
全ての乱数や行列の要素がビットではなく、Ｚ／ｄＺの要素で与えられることを特徴とする請求項１２から２０の何れか１項記載の秘密通信方法。
ここで、論理的排他和はＺ／ｄＺ上の和になる。なお、ｄは任意の自然数である。
【請求項２２】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、
（ａ）ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（２０１，２１５）と、
（ｂ）前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（２０２，２１６）と、
（ｃ）前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（２０４）と、
（ｄ）前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（２１９）と、
（ｅ）ｍ−ｋビットの情報Ｍを入力する入力装置（２０６）と、
（ｆ）暗号化符号化に必要な関数を決定する暗号化関数決定装置（２０７）と、
（ｇ）暗号化を行う暗号化装置（２０３）と、
（ｈ）秘密通信に用いる誤り訂正復号化関数ｇを決定する誤り訂正復号化関数決定装置（２２１）と、
（ｉ）暗号の復号化に用いる暗号復号化補助変数を決定する暗号復号化補助変数決定装置（２１４）と、
（ｊ）誤り訂正の復号化を行う誤り訂正復号化器（２２２）と、
（ｋ）暗号の復号化を行う暗号復号化装置（２１７）と、
（ｌ）暗号文Ｚを伝送する、送信機（２０９）、公開通信路（２１０）及び受信機（２１１）と、
（ｍ）通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（２０８）と、
（ｎ）前記秘匿性増強行列Ｃを伝送する、送信機（２１２）、公開通信路（２１３）、受信機（２１８）と、
（ｏ）前記暗号復号化装置（２１７）からの復元した情報ＭBを出力する出力装置（２２０）とを具備することを特徴とする秘密通信装置。
【請求項２３】
遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、
（ａ）ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（２０１，２１５）と、
（ｂ）前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（２０２，２１６）と、
（ｃ）前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（２０４）と、
（ｄ）前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（２１９）と、
（ｅ）ｍ−ｋビットの情報Ｍを入力する入力装置（２０６）と、
（ｆ）乱数を生成させる乱数生成装置（２０５）と、
（ｇ）暗号化符号化に必要な関数を決定する暗号化関数決定装置（２０７）と、
（ｈ）暗号化を行う暗号化装置（２０３）と、
（ｉ）秘密通信に用いる誤り訂正復号化関数を決定する誤り訂正復号化関数決定装置（２２１）と、
（ｊ）誤り訂正の復号化を行う誤り訂正復号化器（２２２）と、
（ｋ）暗号の復号化を行う暗号復号化装置（２１７）と、
（ｌ）暗号文Ｚを伝送する、送信機（２０９）、公開通信路（２１０）及び受信機（２１１）と、
（ｍ）通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（２０８）と、
（ｎ）前記秘匿性増強行列Ｃを伝送する、送信機（２１２）、公開通信路（２１３）、受信機（２１８）と、
（ｏ）前記暗号復号化装置（２１７）からの復元した情報ＭBを出力する出力装置（２２０）とを具備することを特徴とする秘密通信装置。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、秘密通信方法及び秘密通信装置に関するものである。特に、遠隔地にある２者が相関を持った乱数を保持しており、第３者にこれらの情報が漏れているかもしれない状況の下で、これらの乱数を用いてより第３者に情報が漏れない効率的な情報の伝達に関する。
【背景技術】
【０００２】
〔第１の背景技術〕
インターネットの爆発的普及、電子商取引の実用化によって、通信の秘密保持・改竄防止や個人の認証など暗号技術の社会的な必要性が高まっている。現在、ＤＥＳ暗号のような共通鍵方式やＲＳＡ暗号などの公開鍵方式が広く用いられている。しかしながら、これらは「計算量的安全性」にその基盤を置いている。つまり、現行の暗号方式は計算機ハードウェアと暗号解読アルゴリズムの進歩に常に脅かされている。特に銀行間のトランザクションや軍事・外交にかかわる情報などの極めて高い安全性が要求される分野では原理的に安全な暗号方式が実用になればそのインパクトは大きい。【０００３】
情報理論で無条件安全性が証明されている暗号方式にワンタイムパッド法がある。ワンタイムパッド法は通信文と同じ長さの秘密共有鍵を用い、秘密共有鍵を１回で使い捨てることが特徴である。しかし、ワンタイムパッド法には完全に一致し、第３者に全く情報が漏れていない秘密共有鍵を遠隔地にある２者で誤り無しに共有することが必要であり、これは一般には困難を伴う。一方、遠隔地にある２者が相関を持った初期乱数を共有しており、第３者にこれらの情報が漏れているかもしれない状況は比較的容易に、実現することができる。事実、量子暗号によって、量子通信、基底照合及び誤り確率推定後に送信者、受信者が持つ乱数はこのようなものである。したがって、この状況の下で、２者間で秘密通信を行うことの需要は大きい。従来技術では、量子暗号も含め、以下に述べる鍵蒸留をはじめに行い、その後に、この鍵を用いてワンタイムパッド法による秘密通信を行う方法が採られている。【０００４】
鍵蒸留とは、上記の設定から、２者間で適切に通信を行うことで、両者の間でほぼ完全に一致し、なおかつ、第３者にはほとんど情報の流出が無い秘密共有鍵を生成するプロセスのことを指す。また、誤りが起こりえる通信に対処するため、誤り訂正符号が知られている。その方法としては、Ｒｅｅｄ−Ｓｏｌｏｍｏｎ符号、ＬＤＰＣ符号など多くの技術が知られている。鍵蒸留のために、誤り訂正符号の技術が用いられることは知られている（例えば、非特許文献３参照）。【０００５】
なお、最近の量子暗号の研究により、量子通信を用いて、初期乱数を生成し、これらの誤りの確率や、これについて、盗聴者が獲得した情報量の上限を求める方法については、多くの研究がなされており、初期乱数生成装置、及びその初期乱数についての誤り確率を推定する装置、盗聴情報量の上限を推定する装置については背景技術とみなすことができる。【０００６】
従来この種の秘密通信装置は、第３者に情報が流出することなく送信者、受信者がそれぞれ持つ初期乱数を元に送信者が情報を受信者に伝送するため、たとえば、はじめに鍵蒸留装置によって秘密共有鍵を生成し、その秘密共有鍵によるワンタイムパッド法を用いて秘密通信を行う方法が採られていた（非特許文献２参照）。【０００７】
以下、この秘密通信方法（非特許文献２の方法）に記載された秘密通信装置の構成を説明する。【０００８】
図１は従来技術（非特許文献２）の秘密通信装置のブロック図、図２はその秘密通信方法を示すフローチャートである。【０００９】
図１，２に示すように、この秘密通信装置は、鍵蒸留部Ａとワンタイムパッド秘密通信部Ｂから構成されている。鍵蒸留部Ａは初期乱数生成装置１，１５、初期乱数記憶装置２，１６、送信機９，２８、公開通信路１０，２９、受信機１１，３０、共有鍵生成装置２４，２６、秘匿性増強行列生成装置８，１８、パリティ検査行列生成装置２５、誤り訂正符号の復号化関数生成装置２１、誤り率推定装置４、盗聴情報量推定装置１９を備えている。ワンタイムパッド秘密通信部Ｂは、送信機２８、公開通信路２９、受信機３０、入力装置６、出力装置２０、暗号化部２７、復号化部３１を備えている。なお、ここでは、誤り率推定装置４と盗聴情報量推定装置１９は、送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【００１０】
ここで、誤り率推定装置４は、送信者Ｓと受信者Ｒが持つ初期乱数の間の誤りの割合を推定し、符号化率を決定する。パリティ検査行列生成装置２５は、誤り率の値に応じた符号化関数をあらかじめ記憶している。誤り訂正符号の復号化関数生成装置２１は、誤り率の値に応じた復号化関数をあらかじめ記憶している。盗聴情報量推定装置１９は、送信者Ｓが持つ初期乱数に関して、盗聴者が盗聴可能な情報量の上限値を推定する。秘匿性増強行列生成装置８，１８は盗聴情報量と符号化率から一意に決まる秘匿性増強行列をあらかじめ記憶している。送信者Ｓの持つ共有鍵生成装置２４は、初期乱数、秘匿性増強行列と符号化関数から共有鍵を生成する。受信者Ｒの持つ共有鍵生成装置２６は、初期乱数、秘匿性増強行列、復号化関数と送信者Ｓから送られてくるビット列から共有鍵を生成する。なお、非特許文献２では量子通信などを用いることで、初期乱数生成装置１，１５、誤り率推定装置４、盗聴情報量推定装置１９を構成している。【００１１】
次に、非特許文献２に記載された秘密通信装置の動作について説明する。【００１２】
はじめに、送信者Ｓ、受信者Ｒの初期乱数生成装置１，１５で相関のある初期乱数を生成し（ステップＳ１）、それぞれの初期乱数記憶装置２，１６で記憶する（ステップＳ２，Ｓ３）。同時に、誤り率推定装置４で、これらの乱数の間の誤りの割合（誤り率）を推定する（ステップＳ４）。パリティ検査行列生成装置２５で、誤り率推定装置４で推定した誤り率の値に応じた、符号化のパリティ検査行列を生成する（ステップＳ５）。誤り訂正符号の復号化関数生成装置２１は、誤り率推定装置４でその符号化に対応する復号化の関数を生成する（ステップＳ６）。そして、盗聴情報量推定装置１９で、この乱数について盗聴者が盗聴可能な情報量の上限値を推定する（ステップＳ７）。次に、この盗聴情報量が、推定された誤り率から決まる閾値より大きいか否か、判定し（ステップＳ８）、大きい場合は、再度、初期乱数の生成からやり直す。一方、閾値よりも小さい場合は、送信者Ｓ、受信者Ｒのそれぞれの秘匿性増強行列生成装置８，１８で秘匿性増強行列を生成する（ステップＳ９，Ｓ１０）。そして、送信者Ｓは、共有鍵生成装置２４で初期乱数、秘匿性増強行列と符号化関数から決まる共有鍵を生成する（ステップＳ１１）。また、送信者Ｓは共有鍵生成装置２４で受信者Ｒが共有鍵生成のために必要なシンドロームに関する情報を生成し、公開通信路１０を用いて伝送する（ステップＳ１２）。受信者Ｒは、送信者Ｓから送られてきたビット列を用いて、共有鍵生成装置２６で初期乱数、秘匿性増強行列、復号化関数から共有鍵を生成する（ステップＳ１３）。以上が、鍵蒸留部Ａの動作である。【００１３】
次に、ワンタイムパッド秘密通信部Ｂの動作について説明する。【００１４】
送信者Ｓは暗号化部２７で入力情報（ステップＳ１４）と共有鍵の論理的排他和を取り、それを暗号文とする（ステップＳ１５）。その暗号文を公開通信路２９を用いて受信者Ｒに送る（ステップＳ１６）。次に、受信者Ｒは復号化部３１で受信した暗号文と共有鍵との論理的排他和を取り、暗号文の復号化を行う（ステップＳ１７）。【００１５】
なお、非特許文献２においては、送信者Ｓの共有鍵生成装置２４はシンドローム生成部と共有鍵生成部からなるが、本発明と比較するため、これらをまとめて共有鍵生成装置２４と表記した。【００１６】
同様に、非特許文献２においては、受信者Ｒの共有鍵生成装置２６はシンドローム復号部と共有鍵生成部からなるが、本発明と比較するため、これらをまとめて共有鍵生成装置２６と表記した。【００１７】
また、量子暗号では量子通信、基底照合及び誤り確率推定後、得られた相関のある乱数に対して鍵蒸留を行うことで秘密共有鍵を生成する（例えば、特許文献２参照）。その後に、この秘密共有鍵を用いて秘密通信を行うことが一般的である。【００１８】
さらに、干渉量子暗号鍵配送のためのシステム（下記特許文献１）及び量子鍵配送方法および通信装置（下記特許文献２）が開示されている。【００１９】
〔第２の背景技術〕
上記した第１の背景技術に加え、さらに以下の第２の背景技術について説明する。【００２０】
秘匿性増強のために、Ｔｏｅｐｌｉｔｚ行列を用いる方法が知られている（例えば、非特許文献２参照）。【００２１】
従来この種の秘密通信装置は、第３者に情報が流出することなく送信者、受信者がそれぞれ持つ初期乱数を元に送信者が情報を受信者に伝送するため、たとえば、はじめに鍵蒸留装置によって秘密共有鍵を生成し、その秘密共有鍵によるワンタイムパッド法を用いて秘密通信を行う方法が採られていた（非特許文献５参照）。【００２２】
以下、この秘密通信方法（非特許文献５の方法）に記載された秘密通信装置の構成を説明する。【００２３】
図３は従来技術（非特許文献５）の秘密通信装置のブロック図、図４はその操作フローチャートである。【００２４】
図３，４に示すように、この秘密通信装置は、鍵蒸留部Ａとワンタイムパッド秘密通信部Ｂから構成されている。鍵蒸留部Ａは初期乱数生成装置５１，６５、初期乱数記憶装置５２，６６、送信機５９，６２，７８、公開通信路６０，６３，７９、受信機６１，６８，８０、共有鍵生成装置７４，７６、秘匿性増強行列生成装置５８、符号化関数生成装置９４、誤り訂正符号の復号化関数生成装置７１、誤り率推定装置５４、盗聴情報量推定装置６９、変換器９０，９１、符号化器９２、誤り訂正復号化器９３を備えている。ワンタイムパッド秘密通信部Ｂは、送信機７８、公開通信路７９、受信機８０、入力装置５６、出力装置７０、暗号化部７７、復号化部８１を備えている。なお、ここでは、誤り率推定装置５４と盗聴情報量推定装置６９を送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【００２５】
ここで、誤り率推定装置５４は送信者Ｓと受信者Ｒが持つ初期乱数の間の誤りの割合を推定し、符号化率を決定する。符号化関数生成装置９４は誤り率の値に応じた符号化関数をあらかじめ記憶している。盗聴情報量推定装置６９は、送信者Ｓが持つ初期乱数に関して、盗聴者が盗聴可能な情報量の上限値を推定する。秘匿性増強行列生成装置５８は盗聴情報量と符号化率から一意に決まる秘匿性増強行列をあらかじめ記憶している。送信者Ｓの持つ共有鍵生成装置７４は、初期乱数、秘匿性増強行列と符号化関数から共有鍵を生成する。受信者Ｒの持つ共有鍵生成装置７６は、初期乱数、秘匿性増強行列、復号化関数と送信者Ｓから送られてくるビット列から共有鍵を生成する。なお、非特許文献５では量子通信などを用いることで、初期乱数生成装置５１，６５、誤り率推定装置５４、盗聴情報量推定装置６９を構成している。【００２６】
次に、非特許文献５に記載された秘密通信装置の動作について説明する。【００２７】
はじめに、送信者Ｓ、受信者Ｒの初期乱数生成装置５１，６５で相関のある初期乱数を生成し（ステップＳ２１）、それぞれの初期乱数記憶装置５２，６６で記憶する（ステップＳ２２，２３）。同時に、誤り率推定装置５４でこれらの乱数の間の誤りの割合（誤り率）を推定する（ステップＳ２４）。符号化関数生成装置９４は、誤り率推定装置５４で推定（ステップＳ２４）した誤り率に応じた符号化関数を生成する（ステップＳ２５）。誤り訂正符号の復号化関数生成装置７１は、誤り率推定装置５４でその符号化に対応する復号化の関数を生成する（ステップＳ２６）。そして、盗聴情報量推定装置６９で、この乱数について盗聴者が盗聴可能な情報量の上限値を推定する。次に、この盗聴情報量が、推定された誤り率から決まる閾値より大きいか否かを判定し、大きい場合は、再度初期乱数の生成からやり直す。一方、閾値よりも小さい場合は、送信者Ｓは、秘匿性増強行列生成装置５８で秘匿性増強行列を生成し（ステップＳ３２）、送信機６２、公開通信路６３、受信機６８を用いて秘匿性増強行列を伝送する（ステップＳ３４）。【００２８】
そして、送信者Ｓは、乱数生成装置５５で乱数を生成し（ステップＳ２７）、符号化器９２で符号化を行い（ステップＳ２８）、符号化されたビット列を初期乱数を用いて変換器９０で変換し（ステップＳ２９）、変換されたビット列を送信機５９、公開通信路６０、受信機６１を用いて受信者Ｒに伝送する（ステップＳ３０）。受信者Ｒは、受信したビット列を初期乱数を用いて変換器９１を用いて変換し、変換されたビット列を誤り訂正復号化器９３で復号化し（ステップＳ３１）、共有鍵生成装置７６で秘匿性増強行列を用いて共有鍵を生成する（ステップＳ３５）。【００２９】
以上が、鍵蒸留部Ａの動作である。【００３０】
次に、ワンタイムパッド秘密通信部Ｂの動作について説明する。【００３１】
送信者Ｓは暗号化部７７で入力情報（ステップＳ３６）と共有鍵の論理的排他和を取り、それを暗号文とする（ステップＳ３７）。前記暗号文を公開通信路７９を用いて受信者Ｒに送る（ステップＳ３８）。次に、受信者Ｒは復号化部８１で受信した暗号文と共有鍵との論理的排他和を取り、暗号文の復号化を行う（ステップＳ３９）。【００３２】
また、量子暗号では量子通信、基底照合及び誤り確率推定後、得られた相関のある乱数に対して鍵蒸留を行うことで秘密共有鍵を生成する（例えば、特許文献２、５参照）。その後に、この秘密共有鍵を用いて秘密通信を行うことが一般的である。また、本願発明者は、量子通信によって、初期乱数を生成した場合での、秘匿性増強行列を初期乱数生成後に決定するプロトコルによる鍵蒸留の安全性を定量的に評価する方法を提案している（下記非特許文献５参照）。【００３３】
さらに、干渉量子暗号鍵配送のためのシステム（下記特許文献１）及び量子鍵配送方法および通信装置（下記特許文献２）が開示されている。
【特許文献１】米国特許第５３０７４１０号公報
【特許文献２】特開２００４−２７４４５９号公報
【非特許文献１】ベネット（Ｂｅｎｎｅｔｔ，Ｃ．Ｈ．），ブラッサード（Ｂｒａｓｓａｒｄ，Ｂ）著「量子暗号：公開鍵配送とコイン投げ」プロシーディングズＩＥＥＥコンピュータ，システム並びに信号処理国際シンポジウム（ＩＥＥＥ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｃｏｍｐｕｔｅｒ，ｓｙｓｔｅｍ，ａｎｄ  ｓｉｇｎａｌ  ｐｒｏｃｅｓｓｉｎｇ）、ｐｐ．１７５−１７９。
【非特許文献２】Ｈ．Ｋｒａｗｃｚｙｋ，Ａｄｖａｎｃｅｓ  ｉｎ  Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’９４（Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ），ＬＮＣＳ８３９，ｐｐ．１２９−１３９，１９９４．“ＬＦＳＲ−ｂａｓｅｄ  Ｈａｓｈｉｎｇ  ａｎｄ  Ａｕｔｈｅｎｔｉｃａｔｉｏｎ”
【非特許文献３】ｐｐ．１２６５（２００４）渡辺曜大、松本渉、今井秀樹著、「低密度パリティ検査符号を用いた量子鍵配送における情報一致」，国際情報理論とその応用シンポジウム予稿集、（イタリア）“Ｉｎｆｏｒｍａｔｉｏｎ  ｒｅｃｏｎｃｉｌｉｔａｔｉｏｎ  ｉｎｑｕａｎｔｕｍ  ｋｅｙ  ｄｉｓｔｒｉｂｕｔｉｏｎ  ｕｓｉｎｇ  ｌｏｗ−ｄｅｎｓｉｔｙ  ｐａｒｉｔｙ−ｃｈｅｃｋ  ｃｏｄｅｓ，”Ｐｒｏｃ．ｏｆ  Ｉｎｔｅｒｎａｔｉｏｎａｌ  Ｓｙｍｐｏｓｉｕｍ  ｏｎ  Ｉｎｆｏｒｍａｔｉｏｎ  Ｔｈｅｏｒｙ  ａｎｄ  ｉｔｓ  Ａｐｐｌｉｃａｔｉｏｎｓ，ＩＳＩＴＡ２００４，Ｐａｒｍａ，Ｉｔａｌｙ，Ｏｃｔｏｂｅｒ，２００４，ｐ．１２６５−１２６９．
【非特許文献４】Ｐｅｔｅｒ  Ｗ．Ｓｈｏｒ  ａｎｄ  Ｊｏｈｎ  Ｐｒｅｓｋｉｌｌ，「Ｓｉｍｐｌｅ  Ｐｒｏｏｆ  ｏｆ  Ｓｅｃｕｒｉｔｙ ｏｆ  ｔｈｅ  ＢＢ８４  Ｑｕａｎｔｕｍ  Ｋｅｙ  Ｄｉｓｔｒｉｂｕｔｉｏｎ  Ｐｒｏｔｏｃｏｌ」Ｐｈｙｓｉｃａｌ  Ｒｅｖｉｅｗ  Ｌｅｔｔｅｒｓ  ｖｏｌｕｍｅ  ８５（２０００）ｐｐ．  ４４１−４４４．
【非特許文献５】林正人「量子鍵配送における実用的な安全性評価」ｈｔｔｐ：／／ｌａｎｌ．ａｒｘｉｖ．ｏｒｇ／ａｂｓ／ｑｕａｎｔ−ｐｈ ／０６０２１１３，「Ｐｒａｃｔｉｃａｌ  Ｅｖａｌｕａｔｉｏｎ  ｏｆ  Ｓｅｃｕｒｉｔｙ  ｆｏｒ  Ｑｕａｎｔｕｍ  Ｋｅｙ  Ｄｉｓｔｒｉｂｕｔｉｏｎ」
【発明の開示】
【００３４】
上記した第１の背景技術による従来技術の第１の問題点は、共有鍵を生成する鍵蒸留部とワンタイムパッド秘密通信部の２段階のプロセスを経た秘密通信では２度にわたって公開通信を行うことである。その理由は、鍵蒸留部での公開通信路の使用と、ワンタイムパッド秘密通信部での公開通信路の使用が重複しているためである。
【００３５】
第２の問題点は、秘密通信全体の作業量が多いことである。その理由は、鍵蒸留部とワンタイムパッド秘密通信部の双方の部分の作業が必要なためである。
【００３６】
また、上記した第２の背景技術による従来技術の第３の問題点は、共有鍵を生成する鍵蒸留部での２回の公開通信とワンタイムパッド秘密通信部での１回の合計、３回の公開通信を行うことである。その理由は、鍵蒸留部での公開通信路の使用と、ワンタイムパッド秘密通信部での公開通信路の使用が重複しているためである。また、より強い安全性を保障するには、初期乱数生成後に、秘匿性行列をＴｏｅｐｌｉｔｚ行列を用いて生成することが優れていることが知られている。したがって、より強い安全性を保障するには、初期乱数生成後に秘匿性行列を生成し、公開通信路を用いて伝送する条件の下で、できるだけ、公開通信路の使用回数を減らした秘密通信が望まれる。
【００３７】
本発明の第１の目的は、上記状況に鑑みて、重複した公開通信を避け、全体でより少ない量の公開通信路を用いて、秘密通信を行う秘密通信方法及びその通信装置を提供することにある。
【００３８】
また、本発明の第２の目的は、従来のような鍵蒸留部とワンタイムパッド秘密通信部の双方の部分の作業を改善して、秘密通信全体の作業量を低減することである。
【００３９】
さらに、本発明の第３の目的は、上記状況に鑑みて、初期乱数生成後に、秘匿性行列を生成し、公開通信路を用いて伝送する条件の下で、この重複した公開通信を避け、全体でより少ない量の公開通信路を用いて、秘密通信を行う秘密通信方法及びその通信装置を提供することにある。
【００４０】
本発明は、上記目的を達成するために、
【００４１】
〔１〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数、誤り訂正復号化関数ｇ、及び暗号復号化補助変数を決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、
（ｅ）受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、及び秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数と誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする。
【００４２】
〔２〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数Ｆ、及び誤り訂正復号化関数ｇを決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、
（ｅ）受信者に送信する情報Ｍを前記暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃ、及び乱数Ｄから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃと誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする。
【００４３】
〔３〕上記〔１〕記載の秘密通信方法において、送信者、受信者の前記初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする。
【００４４】
〔４〕上記〔２〕記載の秘密通信方法において、送信者、受信者の前記初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする。
【００４５】
〔５〕請求項１又は３記載の秘密通信方法において、前記暗号化関数をＡ，Ｂ，Ｔとし、伝送情報Ｍの暗号化を
Ｚ＝ＢＭ＋（Ｉ，Ａ＋ＢＣ）ＴＸ
とする。
ここで、Ｉは単位行列、ただし、誤り訂正復号化関数ｇに対応する誤り訂正符号の意味での符号化行列をＦとしたとき、行列Ａ，Ｂ，Ｔは以下を満たすものとする。
2008013008.tif 000003
【００４６】
〔６〕上記〔２〕又は〔４〕記載の秘密通信方法において、前記暗号化関数をＦとし、伝送情報Ｍの暗号化を
2008013008.tif 000004
とする。
【００４７】
〔７〕上記〔５〕記載の秘密通信方法において、前記暗号復号化補助変数をＴの逆行列Ｔ-1とし、暗号文Ｚの復号化を
2008013008.tif 000005
とする。
【００４８】
〔８〕上記〔２〕、〔４〕又は〔６〕記載の秘密通信方法において、前記暗号文Ｚの復号化を
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）
とする。
【００４９】
〔９〕上記〔１〕から〔８〕の何れか１項記載の秘密通信方法において、全ての乱数や行列の要素がビットではなく、Ｚ／ｄＺの要素で与えられることを特徴とする。
ここで、論理的排他和はＺ／ｄＺ上の和になる。なお、ｄは任意の自然数である。
【００５０】
〔１０〕第１の装置発明は、ｎビットの初期乱数Ｘ、Ｙを共有する手段（図５の初期乱数生成装置１０１、１１５）、初期乱数Ｘ、Ｙを記憶する装置（図５の初期乱数記憶装置１０２、１１６）、初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する手段（図５の誤り率推定装置１０４）、初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する装置（図５の盗聴情報量推定装置１１９）、ｍ−ｋビットの情報Ｍを入力する手段（図５の入力装置１０６）、暗号化符号化に必要な関数を決定する手段（図５の暗号化関数決定装置１０７）、暗号化を行う手段（図５の暗号化装置１０３）、秘密通信に用いる誤り訂正符号の復号化関数を決定する手段（図５の誤り訂正復号化関数決定装置１２１）、暗号の復号化に用いる暗号復号化補助変数を決定する手段（図５の暗号復号化補助変数決定装置１１４）誤り訂正の復号化を行う手段（図５の誤り訂正復号化器１２２）、暗号の復号化を行う手段（図５の暗号復号化装置１１７）、暗号文Ｚを伝送する手段（図５の送信機１０９、公開通信路１１０、受信機１１１）、通信の秘匿性を増強するために用いられる行列を決定する手段（図５の秘匿性増強行列生成装置１０８，１２３）、復元した情報ＭBを出力する出力装置１２０とを有する。
このような構成を採用し、情報を初期乱数や符号化器を用いて変換してから伝送することにより、従来技術に比べ少ない公開通信路の使用回数で秘密通信を行うことができる。
【００５１】
〔１１〕第２の装置発明は、第１の装置発明の手段に加え、ｋビットの乱数Ｄを発生する手段（図７の乱数生成装置１０５）を有する。そして、第１の装置発明における暗号の復号化に用いる暗号復号化補助変数を決定する手段（図５の暗号復号化補助変数決定装置１１４）をなくすことができる。
このような構成を採用することで、第１の装置発明に比べ、暗号化装置１０３、暗号復号化装置１１７での作業量が少なくなる。また、従来技術に比べ少ない公開通信路の使用回数で秘密通信を行うことができる。
さらに、
【００５２】
〔１２〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙを保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数Ｘ，Ｙを用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数、誤り訂正復号化関数ｇ、及び暗号復号化補助変数を決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを確率的に決定するステップと、
（ｅ）受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、及び秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数と誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする。
【００５３】
〔１３〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており，第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数Ｘ，Ｙを用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、
（ａ）初期乱数Ｘ，Ｙの誤り率を推定するステップと、
（ｂ）盗聴情報量の上限を推定するステップと、
（ｃ）前記誤り率の推定値に基づいた誤り訂正符号、該誤り訂正符号に対応する暗号化関数Ｆ、及び誤り訂正復号化関数ｇを決定するステップと、
（ｄ）前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを確率的に決定するステップと、
（ｅ）受信者に送信する情報Ｍを前記暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃ、及び乱数Ｄから、暗号文Ｚを一意に生成するステップと、
（ｆ）前記暗号文Ｚを伝送するステップと、
（ｇ）前記初期乱数Ｙ、秘匿性増強行列Ｃと誤り訂正復号化関数ｇを用いて、前記暗号文Ｚを伝送文ＭBに復元するステップとを
含むことを特徴とする。
【００５４】
〔１４〕上記〔１２〕記載の秘密通信方法において、送信者、受信者の前記初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする。
【００５５】
〔１５〕上記〔１３〕記載の秘密通信方法において、送信者、受信者の前記初期乱数の生成、初期乱数Ｘ，Ｙの誤り率の推定、及び盗聴情報量の上限の推定が量子暗号プロトコルによってなされることを特徴とする。
【００５６】
〔１６〕上記〔１２〕又は〔１４〕記載の秘密通信方法において、前記暗号化関数をＡ，Ｂ，Ｔとし、伝送情報Ｍの暗号化を
Ｚ＝ＢＭ＋（Ｉ，Ａ＋ＢＣ）ＴＸ
とする。
ここで、Ｉは単位行列、ただし、誤り訂正復号化関数ｇに対応する誤り訂正符号の意味での符号化行列をＦとしたとき、Ａ，Ｂ，Ｔは以下を満たすものとする。
2008013008.tif 000006
【００５７】
〔１７〕上記〔１３〕又は〔１５〕記載の秘密通信方法において、前記暗号化関数をＦとし、伝送情報Ｍの暗号化を
2008013008.tif 000007
とする。
【００５８】
〔１８〕上記〔１６〕記載の秘密通信方法において、前記暗号復号化変数をＴの逆行列Ｔ-1とし、暗号文Ｚの復号化を
2008013008.tif 000008
とする。
【００５９】
〔１９〕上記〔１３〕、〔１５〕又は〔１７〕記載の秘密通信方法において、前記暗号文Ｚの復号化を
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）
とする。
【００６０】
〔２０〕上記〔１３〕記載の秘密通信方法において、前記秘匿性増強行列ＣをＴｏｅｐｌｉｔｚ行列によって生成することを特徴とする。
【００６１】
〔２１〕上記〔１２〕から〔２０〕の何れか１項記載の秘密通信方法において、全ての乱数や行列の要素がビットではなく、Ｚ／ｄＺの要素で与えられることを特徴とする。
ここで、論理的排他和はＺ／ｄＺ上の和になる。なお、ｄは任意の自然数である。
【００６２】
〔２２〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（２０１，２１５）と、前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（２０２，２１６）と、前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（２０４）と、前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（２１９）と、ｍ−ｋビットの情報Ｍを入力する入力装置（２０６）と、暗号化符号化に必要な関数を決定する暗号化関数決定装置（２０７）と、暗号化を行う暗号化装置（２０３）と、秘密通信に用いる誤り訂正復号化関数ｇを決定する誤り訂正復号化関数決定装置（２２１）と、暗号の復号化に用いる暗号復号化補助変数を決定する暗号復号化補助変数決定装置（２１４）と、誤り訂正の復号化を行う誤り訂正復号化器（２２２）と、暗号の復号化を行う暗号復号化装置（２１７）と、暗号文Ｚを伝送する、送信機（２０９）、公開通信路（２１０）及び受信機（２１１）と、通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（２０８）と、前記秘匿性増強行列Ｃを伝送する、送信機（２１２）、公開通信路（２１３）、受信機（２１８）と、前記暗号復号化装置（２１７）からの復元した情報ＭBを出力する出力装置（２２０）とを具備することを特徴とする。
【００６３】
〔２３〕遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信装置において、ｎビットの初期乱数Ｘ，Ｙを共有する初期乱数生成装置（２０１，２１５）と、前記初期乱数Ｘ，Ｙを記憶する初期乱数記憶装置（２０２，２１６）と、前記初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する誤り率推定装置（２０４）と、前記初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する盗聴情報量推定装置（２１９）と、ｍ−ｋビットの情報Ｍを入力する入力装置（２０６）と、乱数を生成させる乱数生成装置（２０５）と、暗号化符号化に必要な関数を決定する暗号化関数決定装置（２０７）と、暗号化を行う暗号化装置（２０３）と、秘密通信に用いる誤り訂正復号化関数ｇを決定する誤り訂正復号化関数決定装置（２２１）と、誤り訂正の復号化を行う誤り訂正復号化器（２２２）と、暗号の復号化を行う暗号復号化装置（２１７）と、暗号文Ｚを伝送する送信機（２０９）、公開通信路（２１０）及び受信機（２１１）と、通信の秘匿性を増強するために用いられる行列を決定する秘匿性増強行列生成装置（２０８）と、前記秘匿性増強行列Ｃを伝送する送信機（２１２）、公開通信路（２１３）、受信機（２１８）と、前記暗号復号化装置（２１７）からの復元した情報ＭBを出力する出力装置（２２０）とを具備することを特徴とする。
すなわち、
【００６４】
〔Ａ〕第３（上記〔２２〕）の装置発明は、ｎビットの初期乱数Ｘ、Ｙを共有する手段（図９の初期乱数生成装置２０１、２１５）、初期乱数Ｘ、Ｙを記憶する装置（図９の初期乱数記憶装置２０２、２１６）、初期乱数Ｘ，Ｙの間の誤り率を推定し、符号化率ｍ／ｎを決定する手段（図９の誤り率推定装置２０４）、初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定する装置（図９の盗聴情報量推定装置２１９）、ｍ−ｋビットの情報Ｍを入力する手段（図９の入力装置２０６）、暗号化符号化に必要な関数を決定する手段（図９の暗号化関数決定装置２０７）、暗号化を行う手段（図９の暗号化装置２０３）、秘密通信に用いる誤り訂正符号の復号化関数を決定する手段（図９の誤り訂正復号化関数決定装置２２１）、暗号の復号化に用いる暗号復号化補助変数を決定する手段（図９の暗号復号化補助変数決定装置２１４）、誤り訂正の復号化を行う手段（図９の誤り訂正復号化器２２２）、暗号の復号化を行う手段（図９の暗号復号化装置２１７）、暗号文Ｚを伝送する手段（図９の送信機２０９、公開通信路２１０、受信機２１１）、通信の秘匿性を増強するために用いられる行列を決定する手段（図９の秘匿性増強行列生成装置２０８）、復元した情報ＭBを出力する出力装置２２０とを有する。
このような構成を採用し、情報を初期乱数や符号化器を用いて変換してから伝送することにより、従来技術に比べ少ない公開通信路の使用回数で秘密通信を行うことができる。
【００６５】
〔Ｂ〕第４（上記〔２３〕）の装置発明は、第３の装置発明の手段に加え、ｋビットの乱数Ｄを発生する手段（図１１の乱数生成装置２０５）を有する。このような構成を採用することで、第１の装置発明に比べて、暗号化装置２０３、暗号復号化装置２１７での作業量が少なくなる。
また、従来技術に比べ少ない公開通信路の使用回数で秘密通信を行うことができる。
【図面の簡単な説明】
【００６６】
【図１】従来技術（非特許文献２）の秘密通信装置のブロック図である。
【図２】従来技術（非特許文献２）の秘密通信方法を示すフローチャートである。
【図３】従来技術（非特許文献５）の秘密通信装置のブロック図である。
【図４】従来技術（非特許文献５）の秘密通信装置の操作フローチャートである。
【図５】本発明の第１実施例を示す秘密通信装置のブロック図である。
【図６】本発明の第１実施例を示す秘密通信方法を示すフローチャートである。
【図７】本発明の第２実施例を示す秘密通信装置のブロック図である。
【図８】本発明の第２実施例を示す秘密通信方法を示すフローチャートである。
【図９】本発明の第３実施例を示す秘密通信装置のブロック図である。
【図１０】本発明の第３実施例を示す秘密通信装置の操作フローチャートである。
【図１１】本発明の第４実施例を示す秘密通信装置のブロック図である。
【図１２】本発明の第４実施例を示す秘密通信装置の操作フローチャートである。
【発明を実施するための最良の形態】
【００６７】
本発明の秘密通信方法は、遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、初期乱数Ｘ，Ｙの誤り率を推定するステップと、盗聴情報量の上限を推定するステップと、誤り確率の推定値に基づいた誤り訂正符号及び、それから決まる暗号化関数、誤り訂正復号化関数ｇ、暗号復号化補助変数を決定するステップと、盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、暗号文Ｚを伝送するステップと、初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数と誤り訂正復号化関数ｇを用いて、暗号文Ｚを伝送文ＭBに復元するステップを含む。【００６８】
また、本発明の秘密通信方法は、遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙを保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する安全性を向上した秘密通信方法において、初期乱数Ｘ，Ｙの誤り率を推定するステップと、盗聴情報量の上限を推定するステップと、誤り確率の推定値に基づいた誤り訂正符号及び、この誤り訂正符号から決まる暗号化関数、誤り訂正復号化関数、暗号復号化補助変数を決定するステップと、盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを確率的に決定するステップと、受信者に送信する情報Ｍを暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、暗号文Ｚを伝送するステップと、初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数と誤り訂正復号化関数ｇを用いて、暗号文Ｚを伝送文ＭBに復元するステップを含む。【００６９】
以下、本発明の実施の形態について説明する。【００７０】
図５は本発明の第１実施例を示す秘密通信装置のブロック図、図６はその秘密通信方法を示すフローチャートである。【００７１】
これらの図に示すように、本発明の第１実施例を示す秘密通信装置は、伝送する情報Ｍを入力する入力装置１０６と、復元した情報ＭBを出力する出力装置１２０と、初期乱数生成装置１０１，１１５と、初期乱数記憶装置１０２，１１６と、誤り率推定装置１０４と、盗聴情報量推定装置１１９と、暗号化装置１０３と、暗号化関数決定装置１０７と、暗号復号化装置１１７と、暗号復号化補助変数決定装置１１４と、誤り訂正符号の復号化を行う誤り訂正復号化器１２２と、誤り訂正符号の復号化関数決定装置１２１と、秘匿性増強行列生成装置１０８，１２３と、送信機１０９と、公開通信路１１０と、受信機１１１とを含む。なお、ここでは、誤り率推定装置１０４と盗聴情報量推定装置１１９は、送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【００７２】
ここで、初期乱数生成装置１０１，１１５は、ｎビットの初期乱数ＸとＹを生成する装置である。誤り率推定装置１０４は送信者Ｓの初期乱数（ビット列）Ｘと受信者Ｒの初期乱数Ｙ（ビット列）のうち、一致しないビットの割合（誤り率）を推定する機能を持つ。また、誤り率に応じて、符号化率ｍ／ｎを決定する機能を持つ。【００７３】
盗聴情報量推定装置１１９は、送信者Ｓの初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値を推定する機能を持つ。例えば、量子通信などを用いて相関のある初期乱数ＸとＹを生成する場合、誤り率は生成した初期乱数の一部を送信者Ｓと受信者Ｒが公開し、不一致の割合を計算することで推定する。【００７４】
そして、この場合、盗聴情報量の上限は、鍵蒸留の場合と同じ方法でもう一方の基底についての誤り率の推定値から計算できる。【００７５】
なお、量子通信による初期乱数の生成の場合、状況に応じて、様々な盗聴情報量の上限の推定方式が提案されている（非特許文献４参照）。しかし、初期乱数生成装置１０１，１１５と、誤り率推定装置１０４と、盗聴情報量推定装置１１９については、初期乱数が生成でき、同時に、誤り率と盗聴情報量の上限が推定できる装置の組み合わせであれば構わない。【００７６】
また、秘匿性増強行列生成装置１０８，１２３は、整数ｋ，ｍについて想定されうる全ての値について、ｍ−ｋ×ｋの秘匿性増強行列をあらかじめ記憶している。【００７７】
次に、図５及び図６を参照して、本発明の第１実施例の操作について詳細に説明する。【００７８】
実際の通信に先立って、想定される個々の誤り率ごとに、符号化率ｍ／ｎを決めておく。そして、個々の符号化率に応じて、誤り訂正線形符号の符号化を与えるｎ×ｍ行列Ｆとその復号化を与える誤り訂正復号化関数ｇを決める。さらに、はきだし法によって、以下の条件を満たすｎ×ｎ行列Ｔとその逆行列Ｔ-1、ｎ−ｋ×ｋ行列Ａ及びｎ−ｋ×ｍ−ｋ行列Ｂを求める。なお、Ａ，Ｂ，Ｔは暗号化関数として、逆行列Ｔ-1は暗号復号化補助変数として用いる。
2008013008.tif 000009
【００７９】
ここで、Ｉkはｋ×ｋの単位行列を表し、０k,m-kはｋ×ｍ−ｋのゼロ行列を表す。そして、想定される個々の誤り率ごとに行列Ａ，Ｂ，Ｔを暗号化関数決定装置１０７に記憶させておく。また、想定される個々の誤り率ごとの誤り訂正復号化関数ｇを誤り訂正符号の復号化関数決定装置１２１に記憶させておく。想定される個々の誤り率ごとの逆行列Ｔ-1を暗号復号化補助変数決定装置１１４に記憶させておく。【００８０】
次に、ｎビットの初期乱数Ｘ，Ｙを生成し（ステップＳ４１）、送信者Ｓ、受信者Ｒはそれぞれの初期乱数記憶装置１０１，１１５に初期乱数Ｘ，Ｙを記憶する（ステップＳ４２，Ｓ４３）。誤り率推定装置１０４で、誤り率を推定し、符号化率ｎ／ｍを決定する（ステップＳ４４）。すなわち、ｍの値を決定する。【００８１】
そして、盗聴情報量推定装置１１９で、送信者Ｓの初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定し（ステップＳ４７）、ｋがｍよりも大きければ初期乱数を破棄し、再度最初からやり直す（ステップＳ４８）。ｋがｍより小さければ、送信者Ｓ、受信者Ｒの双方の秘匿性増強行列生成装置１０８，１２３でｍ−ｋ×ｋの秘匿性増強行列Ｃを生成する（ステップＳ４９，５３）。【００８２】
次に、ｍとｋの値に応じて、暗号化関数決定（ステップＳ４５）、暗号復号化関数決定（ステップＳ５２）、暗号復号化補助変数決定（ステップＳ５４）を行う。つまり、暗号化関数決定装置１０７にて暗号化関数である行列Ａ，Ｂ，Ｔを、誤り訂正符号の復号化関数決定装置１２１にて誤り訂正復号化関数ｇを、暗号復号化補助変数決定装置１１４にて暗号復号化補助変数である逆行列Ｔ-1を、それぞれ決定する。【００８３】
次に、入力装置１０６でｍ−ｋビットの入力情報Ｍを決定する（ステップＳ４６）。【００８４】
そして、暗号化装置１０３にて、行列Ａ，Ｂ，Ｔ、初期乱数Ｘ及び秘匿性増強行列Ｃを用いて、入力情報Ｍを、ｎ−ｋビット列
Ｚ＝ＢＭ＋（Ｉn-k，Ａ＋ＢＣ）ＴＸ
に暗号化する（ステップＳ５０）。ここで、Ｉn-kはｎ−ｋ×ｎ−ｋの単位行列を表す。【００８５】
そこで、送信者Ｓは、送信機１０９、公開通信路１１０、受信器１１１を用いて、ｎ−ｋビットの伝送ビット列Ｚを受信者Ｒに伝送する（ステップＳ５１）。【００８６】
暗号復号化装置１１７にて、逆行列Ｔ-1、初期乱数Ｙ、秘匿性増強行列Ｃ及び、誤り訂正復号化器１２２を用いて、ｎ−ｋビット列Ｚを以下のようにｍ−ｋビット列ＭBに復号化する（ステップＳ５５）。 
2008013008.tif 000010
【００８７】
最後に、出力装置１２０にて、ビット列ＭBを出力する。【００８８】
このように、遠隔地にある２者が相関を持った初期乱数Ｘ，Ｙを保持しており、第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、初期乱数Ｘ，Ｙの誤り率を推定するステップと、盗聴情報量の上限を推定するステップと、前記誤り率の推定値に基づいた誤り訂正符号、この誤り訂正符号から決まる暗号化関数Ｆ、誤り訂正復号化関数ｇ及び暗号復号化補助変数を決定するステップと、前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、受信者Ｒに送信する伝送情報Ｍを暗号化関数、初期乱数Ｘ、及び秘匿性増強行列Ｃから、暗号文Ｚを一意に生成するステップと、前記暗号文Ｚを伝送するステップと、前記初期乱数Ｙ、秘匿性増強行列Ｃ、暗号復号化補助変数及び誤り訂正復号化関数ｇを用いて前記暗号文Ｚを伝送文ＭBに復元するステップとを含む。【００８９】
次に、本発明の第２実施例について図面を参照して説明する。【００９０】
図７は本発明の第２実施例の構成を示す秘密通信装置のブロック図、図８はその秘密通信方法を示すフローチャートである。【００９１】
なお、ここでは、第１実施例と同じ部分には、同じ番号を付し、その説明は省略する。【００９２】
この第２実施例では、第１実施例の構成に乱数Ｄを生成する乱数生成装置１０５を加え、暗号復号化補助変数決定装置１１４を取り除いた構成を有する。なお、ここでも、誤り率推定装置１０４と盗聴情報量推定装置１１９は、送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【００９３】
次に、図７及び図８を参照して、本発明の第２実施例の操作を説明する。ここでは、本発明の第１実施例との相違点について述べることで説明を行う。【００９４】
実際の通信に先立って、想定される個々の誤り率ごとに、符号化率ｍ／ｎを決めておく。そして、個々の符号化率に応じて、誤り訂正線形符号の符号化を与えるｎ×ｍ行列Ｆとその復号化を与える誤り訂正復号化関数ｇを決め、想定される個々の誤り率ごとに行列Ｆを暗号化関数決定装置１０７に記憶させておく。また、想定される個々の誤り率ごとの誤り訂正復号化関数ｇを誤り訂正符号の復号化関数決定装置１２１に記憶させておく。【００９５】
次に、第１実施例のステップＳ４１〜４４を行う（ステップＳ６１〜６４）。次に、ｍの値に応じて暗号化関数決定装置１０７にて暗号化関数Ｆを、誤り訂正符号の復号化関数決定装置１２１にて誤り訂正復号化関数ｇをそれぞれ決定する（ステップＳ６５，７３）。そして、第１実施例のステップＳ４７〜４９を行う（ステップＳ６８〜７０、７４）。【００９６】
次に、入力装置１０６で、ｍ−ｋビットの入力情報Ｍを決定する（ステップＳ６６）。そして、乱数生成装置１０５でｋビットの乱数Ｄを生成する（ステップＳ６７）。暗号化装置１０３にて、ｍ−ｋ×ｋの秘匿性増強行列Ｃ（ステップＳ７０）を用いて符号化器のｎビットの出力に初期乱数Ｘを加えて伝送するｎビットの暗号文
2008013008.tif 000011
を生成し（ステップＳ７１）、出力する。【００９７】
送信者Ｓは、送信機１０９、公開通信路１１０、受信機１１１を用いて、ｎビットの暗号文Ｚを受信者Ｒに伝送する（ステップＳ７２）。【００９８】
暗号復号化装置１１７にて、初期乱数Ｙ、秘匿性増強行列Ｃ及び、誤り訂正復号化器１２２を用いて、ｎビット列Ｚを以下のようにｍ−ｋビット列ＭBに復号化する（ステップＳ７５）。
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）【００９９】
最後に、出力装置１２０にて、ビット列ＭBを出力する。【０１００】
このように、遠隔地にある送信者と受信者が相関を持った初期乱数Ｘ，Ｙをそれぞれ保持しており，第３者にこれらの情報が漏れているかもしれない状況の下、これらの乱数を用いて第３者に情報が漏れることなく効率的に情報を伝達する秘密通信方法において、初期乱数Ｘ，Ｙの誤り率を推定するステップと、盗聴情報量の上限を推定するステップと、前記誤り率の推定値に基づいた誤り訂正符号、この誤り訂正符号に対応する暗号化関数Ｆ、及び誤り訂正復号化関数ｇを決定するステップと、前記盗聴情報量の上限値の推定値と前記誤り訂正符号の符号化率に基づいて、秘匿性増強行列Ｃを一意に決定するステップと、受信者に送信する情報Ｍを前記暗号化関数、初期乱数Ｘ、秘匿性増強行列Ｃ、及び乱数Ｄから暗号文Ｚを一意に生成するステップと、前記暗号文Ｚを伝送するステップと、前記初期乱数Ｙ、秘匿性増強行列Ｃと誤り訂正復号化関数ｇを用いて前記暗号文Ｚを伝送文ＭBに復元するステップとを含む。【０１０１】
なお、上記した本発明の第１及び第２実施例では、誤り率推定装置及び盗聴情報量推定装置は、送信者側に入れた例を示したが、送信者側又は受信者側の何れ一方に入れるようにしても構わない。【０１０２】
以下、本発明の他の実施の形態について詳細に説明する。【０１０３】
図９は本発明の第３実施例を示す秘密通信装置のブロック図、図１０はその秘密通信装置の操作フローチャートである。【０１０４】
これらの図に示すように、本発明の第３実施例を示す秘密通信装置は、伝送する情報Ｍを入力する入力装置２０６と、復元した情報ＭBを出力する出力装置２２０と、初期乱数生成装置２０１，２１５と、初期乱数記憶装置２０２，２１６と、誤り率推定装置２０４と、盗聴情報量推定装置２１９と、暗号化装置２０３と、暗号化関数決定装置２０７と、暗号復号化装置２１７と、暗号復号化補助変数決定装置２１４と、誤り訂正符号の復号化を行う誤り訂正復号化器２２２と、誤り訂正符号の復号化関数決定装置２２１と、秘匿性増強行列生成装置２０８と、送信機２０９と、公開通信路２１０と、受信機２１１、秘匿性増強行列Ｄを伝送するための送信機２１２、公開通信路２１３、受信機２１８とを含む。なお、ここでは誤り率推定装置２０４と盗聴情報量推定装置２１９を送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【０１０５】
初期乱数生成装置２０１，２１５は、ｎビットの初期乱数ＸとＹを生成する装置である。誤り率推定装置２０４は送信者Ｓの初期乱数（ビット列）Ｘと受信者Ｒの初期乱数Ｙ（ビット列）のうち、一致しないビットの割合（誤り率）を推定する機能を持つ。また、誤り率に応じて、符号化率ｍ／ｎを決定する機能を持つ。【０１０６】
盗聴情報量推定装置２１９は、送信者Ｓの初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値を推定する機能を持つ。例えば、量子通信などを用いて、相関のある初期乱数ＸとＹを生成する場合、誤り率は生成した初期乱数の一部を送信者Ｓと受信者Ｒが公開し、不一致の割合を計算することで推定する。【０１０７】
そしてこの場合、盗聴情報量の上限は鍵蒸留の場合と同じ方法で、もう一方の基底についての誤り確率の推定値から計算できる。【０１０８】
なお、量子通信による初期乱数の生成の場合、状況に応じて、様々な盗聴情報量の上限の推定方式が提案されている（非特許文献４参照）。しかし、初期乱数生成装置２０１，２１５と、誤り率推定装置２０４と、盗聴情報量推定装置２１９については、初期乱数が生成でき、同時に、誤り率と盗聴情報量の上限が推定できる装置の組み合わせであれば構わない。【０１０９】
また、秘匿性増強行列生成装置２０８は、それぞれのサイズの秘匿性増強行列Ｃを記憶してはいないが、確率的に秘匿性増強行列Ｃを与える機能を有している。【０１１０】
次に、図９及び図１０を参照して、本発明の第３実施例の操作について詳細に説明する。【０１１１】
実際の通信に先立って、想定される個々の誤り確率ごとに、符号化率ｍ／ｎを決めておく。そして、個々の符号化率に応じて、誤り訂正線形符号の符号化を与えるｎ×ｍ行列Ｆとその復号化を与える誤り訂正復号化関数ｇを決める。さらに、はきだし法によって、以下の条件を満たすｎ×ｎ行列Ｔ、その逆行列Ｔ-1、ｎ−ｋ×ｋ行列Ａ及びｎ−ｋ×ｍ−ｋ行列Ｂを求める。なお、ここでは、Ａ，Ｂ，Ｔが暗号化関数となる。
2008013008.tif 000012
【０１１２】
ここで、Ｉkはｋ×ｋの単位行列を表し、０k,m-kはｋ×ｍ−ｋのゼロ行列を表す。そして、想定される個々の誤り確率ごとに行列Ａ，Ｂ，Ｔを暗号化関数決定装置２０７に記憶させておく。また、想定される個々の誤り確率ごとの誤り訂正復号化関数ｇを誤り訂正符号の復号化関数決定装置２２１に記憶させておく。更に、想定される個々の誤り確率ごとの逆行列Ｔ-1を暗号復号化補助変数として、暗号復号化補助変数決定装置２１４に記憶させておく。【０１１３】
次に、ｎビットの初期乱数Ｘ，Ｙを生成し、送信者Ｓ、受信者Ｒはそれぞれの初期乱数記憶装置２０１、２１５に初期乱数Ｘ，Ｙを記憶する（ステップＳ８１〜８３）。誤り率推定装置２０４で、誤り率を推定し、符号化率ｎ／ｍを決定する（ステップＳ８４）。すなわち、ｍの値を決定する。【０１１４】
そして、盗聴情報量推定装置２１９で、送信者Ｓの初期乱数Ｘについて盗聴者が獲得しうる情報量の上限値ｋを推定し（ステップＳ８７）、ｋがｍよりも大きければ、最初からやり直し、推定された盗聴情報量ｋがｍよりよりも小さければ、送信者Ｓでのみ、秘匿性増強行列生成装置２０８でｍ−ｋ×ｋの秘匿性増強行列ＣをＴｏｅｐｌｉｔｚ行列によって生成する（ステップＳ８８，８９）。すなわち、ｍ−１個の乱数Ｘ1，…，Ｘm-1を独立に生成し、秘匿性増強行列Ｃのｉ，ｊ成分のＣi,jをＸi+j-1によって与える。なお、ここで、秘匿性増強行列Ｃの生成方法は確率的であれば、他の方法でも構わない。そして、送信機２１２，公開通信路２１３，受信機２１８を用いて、秘匿性増強行列Ｃを送信者Ｓに送っても構わない。【０１１５】
次に、ｍ及びｋの値に応じて暗号化関数決定装置２０７にて、行列Ａ，Ｂ，Ｔを、誤り訂正符号の復号化関数決定装置２２１にて、誤り訂正復号化関数ｇを、暗号復号化補助変数決定装置２１４にて、逆行列Ｔ-1をそれぞれ決定する（ステップＳ８５，８６，９４）。【０１１６】
次に、入力装置２０６で、ｍ−ｋビットの入力情報Ｍを決定する（ステップＳ９１）。【０１１７】
そして、暗号化装置２０３にて、行列Ａ，Ｂ，Ｔ、初期乱数Ｘ及び秘匿性増強行列Ｃを用いて、入力情報Ｍを、ｎ−ｋビット列
Ｚ＝ＢＭ＋（Ｉn-k，Ａ＋ＢＣ）ＴＸ
に暗号化する（ステップＳ９２）。ここで、Ｉn-kはｎ−ｋ×ｎ−ｋの単位行列を表す。【０１１８】
そこで、送信者Ｓは、送信機２０９、公開通信路２１０、受信器２１１を用いて、ｎ−ｋビットの伝送ビット列Ｚを受信者Ｒに伝送する（ステップＳ９３）。【０１１９】
暗号復号化装置２１７にて、逆行列Ｔ-1、初期乱数Ｙ、秘匿性増強行列Ｃ及び誤り訂正復号化器２２２を用いて、ｎ−ｋビット列Ｚを以下のようにｍ−ｋビット列ＭBに復号化する（ステップＳ９０，９５）。
2008013008.tif 000013
【０１２０】
最後に出力装置２２０にてビット列ＭBを出力する。【０１２１】
次に、本発明の第４実施例について図面を参照して説明する。【０１２２】
図１１は本発明の第４実施例の構成を示す秘密通信装置のブロック図、図１２はその秘密通信装置の操作フローチャートである。【０１２３】
この第４実施例では、第３実施例の構成に乱数Ｄを生成する乱数生成装置２０５を加え、暗号復号化補助変数決定装置２１４を取り除いた構成を有する。なお、ここでは、誤り率推定装置２０４と盗聴情報量推定装置２１９を送信者側に入れた例を示したが、受信者側に入れるようにしても構わない。【０１２４】
次に、図１１及び図１２を参照して、本発明の第４実施例の操作を説明する。【０１２５】
ここでは、本発明の第３実施例との相違点について述べることで説明を行う。【０１２６】
実際の通信に先立って、想定される個々の誤り確率ごとに、符号化率ｍ／ｎを決めておく。そして、個々の符号化率に応じて、誤り訂正線形符号の符号化を与えるｎ×ｍ行列Ｆとその復号化を与える誤り訂正復号化関数ｇを決め、想定される個々の誤り確率ごとに行列Ｆを暗号化関数決定装置２０７に記憶させておく。また、想定される個々の誤り確率ごとの誤り訂正復号化関数ｇを誤り訂正符号の復号化関数決定装置２２１に記憶させておく。【０１２７】
次に、第３実施例のステップＳ８１〜８４を行う（ステップＳ１０１〜１０４）。次に、ｍの値に応じて暗号化関数決定装置２０７にて、暗号化関数Ｆを、誤り訂正符号の復号化関数決定装置２２１にて誤り訂正復号化関数ｇをそれぞれ、決定する（ステップＳ１０５、１０６）。【０１２８】
そして、第３実施例のステップＳ８７〜９０を行う（ステップＳ１０７〜１１０）。【０１２９】
そして、入力装置２０６で、ｍ−ｋビットの入力情報Ｍを決定する（ステップＳ１１１）。そして、乱数生成装置２０５でｋビットの乱数Ｄを生成する（ステップＳ１１２）。暗号化装置２０３にて、ｍ−ｋ×ｋの秘匿性増強行列Ｃを用いて符号化器のｎビットの出力に初期乱数Ｘを加えて伝送するｎビットの暗号文
2008013008.tif 000014
を生成し、出力する（ステップＳ１０９）。【０１３０】
送信者Ｓは、送信機２０９、公開通信路２１０、受信機２１１を用いて、ｎビットの暗号文Ｚを受信者Ｒに伝送する（ステップＳ１１４）。【０１３１】
暗号復号化装置２１７にて、初期乱数Ｙ、秘匿性増強行列Ｃ及び誤り訂正復号化器２２２を用いて、ｎビット列Ｚを以下のようにｍ−ｋビット列ＭBに復号化する（ステップＳ１１５）。
ＭB＝（Ｃ，Ｉ）ｇ（Ｚ−Ｙ）【０１３２】
最後に、出力装置２２０にて、ビット列ＭBを出力する。【０１３３】
なお、上記した本発明の第３及び第４実施例では、誤り率推定装置及び盗聴情報量推定装置は、送信者側に入れた例を示したが、送信者側又は受信者側の何れか一方に入れるようにしても構わない。【０１３４】
また、本発明は上記実施例に限定されるものではなく、本発明の趣旨に基づき種々の変形が可能であり、これらを本発明の範囲から排除するものではない。【０１３５】
本発明によれば、全体の公開通信路の使用回数及び全体の作業量を減らすことができる。これにより、従来技術では、鍵蒸留部とワンタイムパッド秘密通信部の２つのステップに分けて秘密通信を行っていたが、鍵蒸留部のプロセスを経ずに直接秘密通信を行うことができる。【０１３６】
また、本発明によれば、全体の公開通信路の使用回数及び全体の作業量を減らすことにより、通信の安全性を向上させることができる。
【産業上の利用可能性】
【０１３７】
本発明の秘密通信方法及び秘密通信装置は、全体の公開通信路の使用回数及び全体の作業量を減らすことができる秘密通信に利用可能である。
また、本発明の秘密通信方法及び秘密通信装置は、盗聴に対する高い安全性が必要な通信用暗号装置や、乱数列を基にした電子認証や電子商取引、電子投票システムなどに利用可能である。
【図１】
2008013008.tif 000021
【図２】
2008013008.tif 000022
【図３】
2008013008.tif 000023
【図４】
2008013008.tif 000024
【図５】
2008013008.tif 000025
【図６】
2008013008.tif 000026
【図７】
2008013008.tif 000027
【図８】
2008013008.tif 000028
【図９】
2008013008.tif 000029
【図１０】
2008013008.tif 000030
【図１１】
2008013008.tif 000031
【図１２】
2008013008.tif 000032
【国際調査報告】
2008013008.tif 000033
2008013008.tif 000034