JP2008177815A - ブロードキャスト暗号方式およびブロードキャスト暗号装置 - Google Patents

Abstract

【課題】一度ネットワークから離脱した機器が、ネットワークに不正アクセスすることが不可能になり、さらに、鍵更新時の通信のオーバーヘッドおよび計算のオーバーヘッドを低減させる鍵更新装置の提供を目的とする。
【解決手段】本発明の鍵管理装置（親機１０）は、情報処理装置（子機１１）の固有情報を受信する固有情報受信部（鍵情報受信部１０２）と、鍵管理装置（親機１０）の固有情報および前記固有情報受信部（鍵情報受信部１０２）が受信した固有情報を基にユニキャスト鍵を生成するユニキャスト鍵生成部（鍵生成部１０３）と、新規グループマスター鍵を生成するグループマスター鍵生成部（鍵生成部１０３）と、前記ユニキャスト鍵を無効にする鍵管理部（制御部１０１）とを備える。
【選択図】図１

Description

本発明は、グループ内の通信において、グループ内のメンバー全員が共有する暗号鍵すなわちグループ鍵を用いることにより、グループ外のメンバーに対してグループ内の通信の安全性を確保するブロードキャスト暗号方式およびブロードキャスト暗号装置に関するものである。

図９は、グループ鍵を使うシステムとして既に実用化されているECHONETシステムにおけるグループ鍵更新の処理動作を示す図である。

以上のように処理フローを有するグループ鍵更新方式およびグループ鍵更新装置について、その動作（非特許文献１に記載された動作）を説明する。

鍵設定機能搭載ノードは新しい共有鍵（New Group Key 又はNew Master Key）を作成して、これを以前の共有鍵（Pre Group Key 又は Pre Master Key）で暗号化して、機器に送信する。

機器側では以前の共有鍵（Pre Group Key 又は Pre Master Key）を使ってこれを認証する。認証が合格した場合に、機器は以前の共有鍵（Pre Group Key 又は Pre Master Key）で新しい共有鍵（New Group Key 又はNew Master Key）を復号して、新しい共有鍵を取得する。機器は、以前の共有鍵（Pre Group Key 又は Pre Master Key）を使って暗号化した応答信号を作成して、これを鍵設定機能搭載ノードに送信する。

以上がECHONETシステムにおける基本的な鍵更新の処理である。

ところで、共有鍵を一定期間毎に更新する場合に、共有鍵の機器への配送は、機器毎の個別の認証・暗号化処理により行う他、伝送路遅延等の為に、機器毎に新しい共有鍵（New Group Key 又はNew Master Key）を取得する時間差が生じる。そこで、共有鍵の更新においては、鍵更新を同期させる仕組みが必要である。

次に、図１０を用いて、ECHONETシステムの共有鍵同期を含めた鍵更新の処理について説明する。

鍵設定機能搭載ノードは、管理しているすべての機器に対して、新しい共有鍵（New Group Key 又はNew Master Key）を以前の共有鍵（Pre Group Key 又は Pre Master Key）を使って暗号化して送信する。

機器側は、以前の共有鍵（Pre Group Key 又は Pre Master Key）を使って復号化してその信号の受信に成功すると、新しい共有鍵（New Group Key 又は New Master Key）を使って暗号化した応答信号を鍵設定機能搭載ノードに送信する。

鍵設定機能搭載ノードは、新しい共有鍵（New Group Key 又はNew Master Key）の受信に成功した機器に対して、新しい共有鍵（New Group Key 又はNew Master Key）を使って暗号化したメッセージを送信する。

機器側は、新しい共有鍵（New Group Key 又は New Master Key）を使って、その信号の受信に成功すると、新しい共有鍵（New Group Key 又は New Master Key）を使って暗号化した応答信号を鍵設定機能搭載ノードに送信する。

鍵設定機能搭載ノードは、全ての機器からの上記応答信号を受信すると、各機器に対して、更新完了のメッセージを新しい共有鍵（New Group Key 又は New Master Key）を使って暗号化して送信する。

ところで、このような動作（非特許文献１に記載された動作）をするブロードキャスト暗号方式およびブロードキャスト暗号装置では、新しいグループ鍵を以前のグループ鍵で暗号化して送信する。この場合、一度グループから離脱した機器（例えば、盗難された機器）でも、その後のグループ鍵を入手可能であり、従って、その後の通信の内容も入手可能である。これは、例えば、盗難されたり、紛失したりした機器を使った、ネットワークへの不正アクセスを可能とすることになり、セキュリティ上課題である。

ECHONETシステム以外で、グループ鍵を使うシステムとして無線LAN（IEEE８０２．１１i）もある。IEEE８０２．１１では、鍵更新プロトコルとして４-way Handshake（非特許文献２に記載された動作）が定義されているが、このプロトコルでは、親機と子機間の、暗号化されない情報のハンドシェイクで共有した情報で生成された暗号鍵で、グループ鍵が配送される為、ECHONETシステムと同様に、盗難されたり、紛失したりした機器を使った、ネットワークへの不正アクセスを可能とすることになり、セキュリティ上課題である。

また、鍵更新後の暗号通信を行う為に、鍵更新時における、鍵設定機能搭載ノードと各機器間で送受信される信号が全て誤りなく伝送されなければならない。もし、受信された信号に誤りが検出された場合には、その信号を再送する必要があり、大きな伝送遅延時間を発生させる。このようなグループ鍵更新方式およびグループ鍵更新装置を、例えば高速電力線通信に適用した場合には、その影響は顕著となる。即ち、伝送路が劣悪な為に通信時の伝送誤りが発生し易く、且つ高画質画像と音声信号を高速電力線通信で伝送する場合には、大きな伝送遅延時間はサービス品質の劣化を招くという課題がある。

更に、上記方式では、更新完了のメッセージを各機器が受け取る時間差が生じる。また、このメッセージが伝送路で損失又は誤った場合には、鍵設定機能搭載ノードから機器側への通信と機器側から鍵設定機能搭載ノードへの通信の両通信にオーバーヘッドが発生すると共に、上述のような伝送路遅延が生じる。その為に、ECHONETシステムでは、鍵更新時に一時的に、複数のグループ鍵を使用することで対応しているが、このことは、上述の通信のオーバーヘッドに加え、計算のオーバーヘッドを発生させると共に、鍵管理を複雑にするという課題がある。
ECHONET SPECIFICATION Ver.3.21 第2部 第10章 ECHONETセキュア通信仕様 IEEE Std 802.11i -2004

本発明が解決しようとしている課題は２点ある。

一つ目の課題は、ECHONETシステムで用いているブロードキャスト暗号方式においては、新しいグループ鍵を以前のグループ鍵で暗号化して送信する。この場合、一度グループから離脱した機器（例えば、盗難された機器）でも、その後のグループ鍵を入手可能であり、従って、その後の通信の内容も入手可能である。これは、例えば、盗難されたり、紛失したりした機器を使った、ネットワークへの不正アクセスを可能とすることになり、セキュリティ上課題であるという点である。

二つ目の課題は、高画質画像と音声信号の伝送をメインのアプリケーションに想定するような高速無線通信や高速電力線通信に適用する場合には、伝送路が劣悪な為に通信時の伝送誤りが発生し易く、それに起因して信号の再送頻度が高まる。これは、大きな伝送遅延時間を発生させ、結果的にサービス品質の劣化を招くという点である。

更に、上記方式では、更新完了のメッセージを各機器が受け取る時間差が生じる。また、このメッセージが伝送路で損失又は誤った場合には、鍵設定機能搭載ノードから機器側への通信と機器側から鍵設定機能搭載ノードへの通信の両通信にオーバーヘッドが発生すると共に、上述のような伝送路遅延が生じる。その為に、ECHONETシステムでは、鍵更新時に一時的に、複数のグループ鍵を使用することで対応しているが、このことは、上述の通信のオーバーヘッドに加え、計算のオーバーヘッドを発生させるという課題がある。

本発明は、情報通信ネットワークに接続する情報処理装置が保持するグループマスター鍵を更新する鍵更新装置であって、前記情報処理装置の固有情報を受信する固有情報受信部と、前記鍵更新装置の固有情報および前記固有情報受信部が受信した固有情報を基にユニキャスト鍵を生成するユニキャスト鍵生成部と、前記情報処理装置が保持するグループマスター鍵に置換わり、さらに、前記ユニキャスト鍵によって暗号化されて配送される新規グループマスター鍵を生成するグループマスター鍵生成部と、を有し、前記情報処理装置が情報通信ネットワークから離脱した際には、前記ユニキャスト鍵を無効にする鍵管理部と、を備える鍵更新装置である。

本発明の鍵更新装置によれば、前記情報処理装置が前記情報通信ネットワークから離脱した際は、前記鍵更新装置が前記鍵更新装置と情報処理装置との間で計算された前記ユニキャスト鍵を無効にするので、前記情報通信ネットワークから離脱した前記情報通信装置は、前記新規グループマスター鍵の更新をすることができなくなるので、悪意のある人に前記グループマスター鍵が漏洩したとしても、前記情報通信ネットワークの通信のセキュリティを高めることができる。

請求項１に記載の発明は、情報通信ネットワークに接続する情報処理装置が保持するグループマスター鍵を更新する鍵更新装置であって、前記情報処理装置の固有情報を受信する固有情報受信部と、前記鍵管理装置の固有情報および前記固有情報受信部が受信した固有情報を基にユニキャスト鍵を生成するユニキャスト鍵生成部と、前記情報処理装置が保持するグループマスター鍵に置換わり、さらに、前記ユニキャスト鍵によって暗号化されて配送される新規グループマスター鍵を生成するグループマスター鍵生成部と、を有し、前記情報処理装置が情報通信ネットワークから離脱した際には、前記ユニキャスト鍵を無効にする鍵管理部と、を備える鍵管理装置である。

請求項１に記載の発明によれば、前記情報処理装置が前記情報通信ネットワークから離脱した際は、前記鍵更新装置が前記鍵更新装置と情報処理装置との間で計算された前記ユニキャスト鍵を無効にするので、前記情報通信ネットワークから離脱した前記情報通信装置は、前記新規グループマスター鍵の更新をすることができなくなるので、悪意のある人に前記グループマスター鍵が漏洩したとしても、前記情報通信ネットワークの通信のセキュリティを高めることができるという効果を奏する。

本発明の請求項２に記載の発明は、請求項１記載の鍵管理装置であって、前記グループマスター鍵および前記鍵管理装置の固有情報を用いてグループ一時鍵を更新するグループ一時鍵更新部を更に有する鍵管理装置である。

請求項２に記載の発明によれば、前記グループマスター鍵および前記鍵管理装置の固有情報を用いて、さらにグループ一時鍵の更新をすることによって、前記情報通信ネットワークのセキュリティをより高めることができるという効果を奏する。

本発明の請求項３に記載の発明は、請求項２記載の鍵管理装置であって、前記グループ一時鍵はハッシュ関数を使いて出力される鍵管理装置である。

請求項３に記載の発明によれば、前記グループマスター鍵および前記鍵管理装置の固有情報及びハッシュ関数を用いてグループ一時鍵の更新をすることによって、前記情報通信ネットワークのセキュリティをより高めることができるという効果を奏する。

本発明の請求項４に記載の発明は、請求項１記載の鍵管理装置であって、前記情報処理装置に対してグループマスター鍵更新情報を送信する鍵管理装置である。

請求項４に記載の発明によれば、前記鍵管理装置は、前記情報処理装置に対してグループマスター鍵の更新情報を送信するので、前記情報通信ネットワークで用いられるグループマスター鍵を更新する際の同期を取ることができるという効果を奏する。

本発明の請求項５に記載の発明は、請求項４記載の鍵管理装置であって、前記グループ鍵更新情報が、ビーコン信号に含まれている鍵管理装置である。

請求項５に記載の発明によれば、前記鍵更新装置から定期的に送信されるビーコンに前記鍵更新情報を含ませることにより、前記情報通信ネットワークで用いられるグループマスター鍵を更新する際の同期を取ることができ、更に、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを減らすことが可能になるという効果を奏する。

本発明の請求項６に記載の発明は、請求項１記載の鍵管理装置であって、前記鍵管理装置の固有情報および前記新規グループ鍵のうち少なくとも一つをシリアル系列からパラレル系列に変換し、当該パラレル系列を出力するシリアル／パラレル変換器と、前記シリアル／パラレル変換器から出力されたパラレル系列に対応する直交符号の組合せを並列に出力する並列組合せ符号化部と、前記並列組合せ部から出力された直交符号の組合せをビット毎に加算して出力する加算部と、前記加算部からの出力を１ビット量子化し、鍵更新情報として前記情報通信端末に送信する１ビット量子化部と、を備える鍵管理装置である。

請求項６に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを減らすことが可能になるという効果を奏する。

本発明の請求項７に記載の発明は、請求項６記載の鍵管理装置であって、直交符号が対応付けられ、前記１ビット量子化部から出力される鍵更新情報を相関処理する複数の相関器と、前記複数の相関器のうち、相関レベルが上位となる相関器を抽出し、それらのレベルの最小値を出力するレベル部と、前記レベル抽出部が出力したレベルが所定のレベルを超えているかを判定するレベル判定部と、を備える鍵管理装置である。

請求項７に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を更に改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを更に減らすことが可能になるという効果を奏する。

本発明の請求項８に記載の発明は、請求項６および７いずれか一項記載の鍵管理装置であって、前記直交符号は、Walshコードである鍵管理装置である。

請求項８に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを減らすことが可能になるという効果を奏する。

本発明の請求項９に記載の発明は、請求項６および７いずれか一項記載の鍵管理装置であって、前記直交符号は、巡回シフトM系列である鍵管理装置である。

請求項９に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを減らすことが可能になるという効果を奏する。

本発明の請求項１０に記載の発明は、請求項１記載の情報通信端末であって、直交符号が対応付けられ、前記鍵更新装置から出力される鍵更新情報を相関処理する複数の相関器と、前記複数の相関器のうち、相関レベルが上位となる相関器を抽出し、当該相関器に対応する直交符号を抽出する最尤推定部と、前記最尤判定部が抽出した直交符号の組合せからパラレル系列を出力する並列組合せ複合化部と、前記パラレル系列をパラレル／シリアル変換するパラレル／シリアル変換器と、を備える情報通信端末である。

請求項１０に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを減らすことが可能になるという効果を奏する。本発明の請求項１１に記載の発明は、請求項６記載の鍵管理装置であって、直交符号が対応付けられ、前記１ビット量子化部から出力される鍵更新情報を相関処理する複数の相関器と、前記複数の相関器のうち、相関レベルが上位となる相関器に対応する直交符号の組合せを抽出し、それらが当該抽出された直交符号の組合せと前記並列組合せ符号化部で選択された直交符号の組合せとの比較を行う一致するか否かを判定する上位レベル抽出部と、前記並列組合せ符号化部で選択された直行符号の組合せと一致させるために、前記上位レベル抽出部で抽出された直交符号の組合せを修正するマッピング修正部とを備える鍵管理装置である。

請求項１１に記載の発明によれば、前記鍵管理装置と前記情報処理装置との間で行われる通信の伝送信頼性を更に改善することが可能となるため、鍵更新の際に行われる前記鍵管理装置と前記情報処理装置との間で行われる通信のオーバーヘッドを更に減らすことが可能になるという効果を奏する。

以下、発明の実施の形態について、図１〜８を用いて説明する。

（実施の形態）
図１（ａ）は、本発明のブロードキャスト暗号方式における暗号鍵更新の親機と子機との間のハンドシェイクを示す図である。図１（ｂ）は、本発明の親機及び子機のハードウェア構成を示す図である。図２は、図１でハンドシェイクされる信号の符号化処理の構成を示すブロック図である。図３（ａ）は、図２における符号化処理に対して、雑音耐性特性を改善した符号化処理の構成を示すブロック図である。図３（ｂ）は、図３における符号化処理に対して、高速化を図った符号化処理の構成を示すブロック図である。図４は、図２と図３における符号化処理に対応する復号化処理の構成を示すブロック図である。図５は、図１のハンドシェイクの処理フローを示す図である。図６（ａ）は、図３に示す符号化の処理フローを示す図である。図６（ｂ）は、図３に示す符号化の処理フローを示す図である。図７は、電力線上での伝送を想定したBER（Bit Error Rate）およびEb／N０特性のシミュレーション計算例（出典：松尾英範“インパルス雑音環境下におけるOFDM復調方式の研究”、京都大学大学院修士論文）を示す図である。図８は、図２と図３における符号化処理時の並列組合せSS符号化におけるパラレル系列長（ビット数）および並列伝送符号数の特性の計算例を示す図である。

以下の実施の形態において説明する処理は、各子機１１の初期認証後のブロードキャスト暗号における暗号鍵更新に関するものであり、初期認証時に、親機１０と各子機１１は互いに相手のMACアドレスを共有しているものとする。また、初期認証時には、親機１０と各子機１１が対になって共有する個別の鍵（以下、ユニキャスト鍵と言う。）を互いに共有して、子機１１は、初期認証された各子機１１については、そのユニキャスト鍵リストに登録し、その後の再認証時にこれを利用する。

まず、ハンドシェイクにおいて使われる鍵について説明する。鍵は３種類ある。一つ目はユニキャスト鍵である。ユニキャスト鍵は、親機１０と各子機１１が対になって共有する個別の鍵で、鍵更新時の認証と更新されたグループ鍵配送時の暗号化に使われる。二つ目はグループマスター鍵である。グループマスター鍵は、後述するグループ一時鍵の生成に使われると共に、親機１０が定期的にブロードキャストするビーコン中に含まれる、グループ一時鍵の生成に使われる乱数の暗号化に使われる。三つ目はグループ一時鍵である。グループ一時鍵は、グループマスター鍵からある関数（例えば、ハッシュ関数）の出力として得られる鍵で、一定時間Tｃ毎にこの関数演算を繰り返すことで、一定時間Tｃ毎にグループ一時鍵は更新される。このグループ一時鍵は、通常の通信時の暗号化に使われ、一つの親機１０で管理されるネットワークに参加する全ての子機１１と親機１０との間で共有される。

次に、親機１０と子機１１との間のハンドシェイクについて図１（ａ）、図１（ｂ）および図５を用いて説明する。

一定期間毎に、又は親機１０の指示により鍵更新を行う場合には、図１（ａ）に示す様に、まず親機１０から各子機１１に鍵更新メッセージ１が通信部１０４より送信される。鍵更新メッセージ１は、ユニキャスト鍵の生成に必要な、親機１０が鍵生成部１０３で生成したQNonce（乱数）を含み、各子機１１に対して、以前の各子機１１のユニキャスト鍵で暗号化されて送信される。

この際に、無効化すべき子機１１の以前のユニキャスト鍵で暗号化されたメッセージは配送されない。なぜなら、無効化すべき子機１１のユニキャスト鍵は更新されず、無効化されたユニキャスト鍵は、親機１０の制御部１０１により、認証済ユニキャスト鍵リスト（記憶部１０５）からも削除される。

鍵更新メッセージ１を鍵情報受信部１１２により受信した各子機１１は、以前のユニキャスト鍵で受信メッセージを復号して得られたQNonceと共に、初期認証時に取得した親機１０のMACアドレスおよび、自身で生成したTNonce（乱数）と自身のMACアドレスを用いて、鍵生成部１１３によって新しいユニキャスト鍵を生成する。

次に、各子機１１は、TNonceと復号されたQNonceとを含むメッセージに対して、以前のユニキャスト鍵でこのメッセージに対して計算されたMIC（Message Integration Code）値を付加した鍵更新メッセージ２を以前のユニキャスト鍵で暗号化して、通信部１１４によって親機１０に対して送信する。

鍵更新メッセージ２を鍵情報受信部１０２によって受信した親機１０は、制御部１０１により以前のユニキャスト鍵で受信メッセージを復号して得られたQNonceと自身が送信したQNonceとが一致するか否かのチェックと、以前のユニキャスト鍵で復号したMIC値以外のメッセージに対してMIC値を計算して、その結果が復号されたMIC値と一致するか否かのチェックを行う。これらの２種類のチェックが一致した場合に、相手の子機１１を正当な子機と認証する。

一致しなかった場合には、その子機１１に対して再送要求を行い、一定の再送数を経ても一致しない場合には、その子機は再認証モードに移行する。

親機１０は、鍵更新メッセージ２の受信後、相手の子機１１を正当な子機と認証出来た場合には、復号されたTNonceと共に、初期認証時に取得した子機１１のMACアドレスおよび、自身の鍵生成部１０３で生成したQNonceと自身のMACアドレスから新しいユニキャスト鍵を、子機１１側と同じアルゴリズムで生成する。この時点で、各子機１１と親機１０は個別に新しいユニキャスト鍵を共有出来たことになる。

そして、親機１０が生成した新しいグループマスター鍵を含むメッセージに対して、新しいユニキャスト鍵でこのメッセージに対して計算されたMIC（Message Integration Code）値を付加した鍵更新メッセージ３を新しいユニキャスト鍵で暗号化して、親機１０から各子機１１に対して送信する。

また、一定の再送数を経ても親機１０からメッセージ（鍵更新メッセージ３）を受信出来なかった子機１１に対しては、再認証モードに移行する。この場合、子機１１は、リクエストメッセージを親機１０に送信して、再認証と更新されたグループ鍵の配送を要求するか、または、次の一斉に行われる鍵更新のタイミングまで、再認証と更新されたグループ鍵の配送を待つ。

各子機１１がこのメッセージを受信して復号化出来れば、この時点で、基本的にはグループマスター鍵の更新が可能であるが、グループマスター鍵を一定期間毎に更新する場合に、グループマスター鍵の各子機１１への配送は、子機１１毎の個別の認証・暗号化処理により行う他、伝送路遅延等の為に、各子機１１の間で、新しいグループマスター鍵を取得する時間差が生じる。そこで、グループマスター鍵の更新においては、鍵更新を同期させる仕組みが必要である。そこで、鍵更新メッセージ３送信後に送信される最初のビーコン信号（Beacon ４）中の、使用中のグループマスター鍵に対応する識別情報であるNKI（Network Key Index）をインクリメントすることで、グループマスター鍵が更新されたことを、ネットワークに接続されている全子機１１に通知する。また、このビーコン信号（Beacon ４）中には、新しいグループマスター鍵で暗号化された乱数が含まれている。識別情報のインクリメントは、制御部１０１で行われる。

各子機１１は、鍵更新メッセージ３受信後一定時間T内にビーコン受信に成功すれば、鍵更新メッセージ３受信後一定時間T後に、新しいグループマスター鍵と、受信ビーコン中の信号からグループマスター鍵で復号した乱数等からグループ一時鍵を生成して、これを、今後の通常の通信用のグループ一時鍵として記憶部１１５にインストールする。子機１１側の制御部１１１は、鍵情報受信部１１２、鍵生成部１１３、通信部１１４および記憶部１１５に必要な制御を行う。これで、一連のハンドシェイクにおける鍵更新の処理は終了する。その後の、親機１０と各子機１１間の通信は新しいグループ一時鍵を使って暗号化される。これらの処理により、鍵更新の同期を図る。そして、このグループ一時鍵は、一定時間Tｃ毎に、親機１０と各子機１１内での繰り返し演算で更新される。グループ一時鍵を一定時間Tｃ毎に更新するのは、万が一、何らかの手段で、悪意のある人にグループマスター鍵が漏洩しても、ネットワークと時間的に同期をとるような労力を要さない限り、ネットワーク内の通信の安全性が破られることを防ぐ為である。

次に、図２を使って、図１（ａ）でハンドシェイクされる信号が最終的に出力する前の符号化処理について説明する。

まず、本来送信すべき鍵更新メッセージをシリアル／パラレル変換器２０により、シリアル系列からパラレル系列に変換する。この場合、パラレル系列長をNとすると、シリアル／パラレル変換器２０はNビット周期でパラレル系列を出力する。変換されたパラレル系列は、その状態（例：３ビット系列ならば、１１０等の状態）に応じて、次段の並列組合せSS符号化部２１において、予め一意に対応させているM個の直交符号を選択して、それらを並列にシリアルに出力して、次段の加算部２２で、それらをビット単位で加算する。

具体的には、シリアル／パラレル変換器２０の出力のパラレル系列がNビットの場合に、その状態数は２^N通り存在する。そこで、並列組合せSS符号化部２１では、その状態数分だけ、直交符号を容易しておく。そして、パラレル系列の各状態に対して一意にM個の直交符号の組合せの対応付けをしておく。そこで、予め容易された直交符号の中から、リアル／パラレル変換器２０から出力されたパラレル系列の状態に予め一意に対応させているM個の直交符号が選択されて、それらは並列に出力されて、それらは、その後にビット単位で加算される。

例えば、系列長Nのパラレル系列M_kj（j=１〜N）に対して、M個の直交符号（符号長L：例として、＋１又は−１の２値符号とする。）C_ti （i=１〜L）の組合せが対応付けされているとする。ここで左記符号の添え字tは、直交符号の識別子を示し、iは直交符号の各ビットの番号を示す。M個の直交系列（系列長L）C_tiの組合せの集合をAとすると、この時、図２における、１つのパラレル系列M_kiに対応する加算出力S_iは（数１）で表現される。

ここで、各iに対してS_iは最大絶対値はMとなるが、その極性に応じて１ビット量子化部２３において、S_iを２値信号に変換する。例えば、S_iの極性がプラスならば＋１を、S_iの極性がマイナスならば−１を出力するようにする。１ビット量子化部２３の出力をQ_iとすると、Q_iは（数２）で表現される。

これらの出力はMAC（Media Access Control）レイヤや物理レイヤでの処理を経て、図１（ａ）に示す鍵更新メッセージとしてハンドシェイクされる。これらの処理は親機１０と各子機１１の双方において行われる。

次に図４を使って、上述のように符号化されたメッセージを受信側で復号する処理について説明する。

上述の物理レイヤとMACレイヤの処理を受信系でも経た後の信号R_iは、一般に伝送路でノイズN_iが加わり、（数３）で表現される。

まず、予め用意している全ての直交符号を参照系列とする２^N個の相関器から構成される相関部４０との間で相関処理が行われる。ここで、各相関器の出力CO_tは（数４）で表現される。

これらの出力は、次段の最尤判定部４１により、出力レベルが上位M個の相関器に対応する直交符号が抽出され、これらは次段の並列組合せSS復号化部４２において対応するパラレル系列に変換された後、パラレル／シリアル変換器４３によりシリアル系列に変化される。これらにより、鍵更新メッセージを復号することが出来る。

ここで、（数４）を考えると、まず第２項については、直交符号とのノイズの相関を示すが、伝送路で加わるノイズは直交符号とは無相関であると考えられるから、第２項は十分に小さい値になると考えられる。次に、第１項については、簡単の為に、非線形処理である、送信系での１ビット量子化を考慮せず、Q_iをS_iに置き換えると、（数４）の第１項は、（数１）を使って（数５）のように置き換えられる。

上（数５）の第２項は、異なる直交符号間の相互相関であり、直交符号の特性から、その値はゼロとなる。一方、第１項は、同じ直交符号間の自己相関であり、その値は最大値Lとなる。

ところで、本発明の送信系の最終段で、非線形の１ビット量子化を行っており、（数４）は（数５）が示すような値にならないものの、直交符号長がある程度の長さの場合には、近い特性を示す。（数４）の第２項をゼロとした場合での、数値計算例では、直交符号長１２８の時、（数４）の第１項の値は、最低値でも４であった。

ここで、本発明のノイズに対する耐性について考える。（数４）の第２項の値、すなわちノイズレベルが４（デシベル表示で、１０×log（４）＝６ｄB）を超えない限り、希望の直交符号が正しく復号出来ることを示す。

図７は、電力線上での伝送を想定したBER（Bit Error Rate）およびEb／N０特性のシミュレーション計算例である。現在、高速電力線通信や高速無線通信では、伝送路におけるマルチパスフェージングへ高い耐性等の特性を有することから、変調方式としてOFDM（Orthogonal Frequency Division Multiplexing）が一般に使われる。この方式の特徴として、シングルキャリア（図７ではQPSK）よりもBERおよびEb／N０特性カーブは、図７に示すように急峻になる。従って、同じEb／N０の改善量でも、改善されるBERの値はより大きい。本発明を使うことにより、上記数値計算例によれば、最低でも、６dＢ程度のEb／N０の改善が期待出来る。

次に、上記のようにノイズに対する耐性が改善された場合の、鍵配送に伴う通信のオーバーヘッドについて考える。実験によれば、高速電力線通信における一般の家庭でのBERは１０^-2〜１０^-3程度であり、非常に劣悪である。鍵配送の場合には、配送される情報の１ビットの誤りも許されない。例えば、通常BER＝１０^-2 の伝送路の場合、誤り無しでの送信確率が９９％を超える送信回数NTは、

を満足すれば良い。（数６）を満足するNTの最小値は１５である。一方、本発明により６dＢのEb／N０の改善があれば、図７より、BERは約２^-5となる。この時、同様に、誤り無しでの送信確率が９９％を超える送信回数NT１は、

を満足すれば良い。（数７）を満足するNT１の最小値は１である。

同様に、通常BER＝１０^-3 の伝送路の場合は、誤り無しでの送信確率が９９％を超える送信回数の最小値は３で、本発明により６dＢのEb／N０の改善があれば、誤り無しでの送信確率が９９％を超える送信回数の最小値は１である。

従って、本発明によれば、高速電力線通信が適用されるような劣悪な伝送路であっても、鍵配送の再送数を大幅に低減可能である。

次に、図２に示す符号化処理における符号化時のオーバーヘッドについて考える。伝送路での誤りを低減する手法として一般に誤り訂正符号化（例：畳み込み符号）があるが、これらの符号化では、冗長ビットを付加する必要があり、通信時のオーバーヘッドを招く。例えば、畳み込み符号（硬判定）の場合、Eb／N０で３dBの利得を得るのに、本来の情報量と同じ量の冗長ビットの付加を必要とする。この場合、物理レイヤでの伝送速度が同じ場合には、スループットが半分になってしまい、大きなサービス品質の低下を招く。一方、本発明における符号化処理では並列組合せSS符号化方式を用いる。前述のように、シリアル／パラレル変換器２０の出力のパラレル系列がNビットの場合に、その状態数は２^N通り存在する。そこで、並列組合せSS符号化部２１では、その状態数分だけ、直交符号を用意しておく。そして、パラレル系列の各状態に対して一意にM個の直交符号の組合せの対応付けをしておく。そこで、予め容易された直交符号の中から、シリアル／パラレル変換器２０から出力されたパラレル系列の状態に予め一意に対応させているM個の直交符号が選択されて、それらは並列に出力される。

一般に、符号長Nの直交符号はN個存在する。この場合、N個の直交符号の中のM個の直交符号の組合せの数_NC_Mは、以下の（数８）で計算出来る。

図８は、直交符号長１２８で、用意する直交符号数１２８の時の、図２と図３における符号化処理時の並列組合せSS符号化におけるパラレル系列長（ビット数）および並列伝送符号数の特性の計算例である。また、図８で、符号の極性を含むと記載したパラレル系列長とは、直交符号の極性が異なるものは異なる直交符号として扱うようにした場合のケースである。このケースでは、図８によれば、並列伝送符号数が３１個の場合に１２８ビットに状態数になる。言い換えれば、並列伝送符号数が３１個であれば、１２８ビットの鍵を配送するのに冗長ビットを付加する必要がないことを意味する。前述のノイズ耐性に対する計算例は、このケースの場合の計算例である。

次に図３（ａ）に示す符号化処理について、図６（ａ）に示す処理フローを示す図も使って説明する。

前述の図２に示す符号化処理の場合には、図３（ａ）に示す相関部３０の各相関器の出力レベルは、並列組合せSS符号化部２１における、パラレル系列の状態と直交符号の組合せの対応付けに依存する。図３（ａ）に示す各相関器の出力レベルはノイズ耐性に直接影響する為に、パラレル系列の状態と直交符号の組合せの対応付けを制御することによって、図４に示す各相関器の出力レベルが一定以上の値になるようにしたものである。

具体的には、１ビット量子化出力レベルを入力とする各相関器出力レベルを比較して、レベル抽出部３１で、レベルが上位Ｍ個の相関器レベルを抽出して、次段のレベル判定部３２で、それらの最小値が、予め設定しておいた閾値以上か否かを判定する。閾値以上の場合には、現在の１ビット量子化出力をそのまま出力する。前記最小値が閾値未満の場合には、マッピングカウンターをインクリメントして、パラレル系列の状態と直交符号の組合せの対応付けを変更して、再度、図２に示す符号化処理を行う。

もし、一定時間後も、前記最小値が閾値未満の場合には、前記最小値が最大時の、パラレル系列の状態と直交符号の組合せの対応付けで、図２に示す符号化処理を行って出力する。

なお、パラレル系列の状態と直交符号の組合せの対応付けの情報に対応するマッピングカウンターの値は、鍵更新メッセージ中に含める。

なお、上述した直交符号の具体例としては、Walshコードまたは巡回シフトM系列等が好適に用いられる。

次に図３（ｂ）に示す符号化処理について、図６（ｂ）に示す処理フローを示す図も使って説明する。

前述の図２に示す符号化処理の場合には、図３（ａ）に示す相関部３０の各相関器の出力レベルは、並列組合せSS符号化部２１における、パラレル系列の状態と直交符号の組合せの対応付けに依存すると共に、１ビット量子化という非線形処理によって、相関部３０の各相関器の出力レベル上位Ｍ個に対応する直交符号が、並列組合せSS符号化部２１において選択した直交符号と一致しない可能性もある。そこで、一致しない場合の補正処理を予め送信系で行うことにより、１ビット量子化という非線形処理によって生じるデータ誤りを防ぐようにしたものである。

具体的には、１ビット量子化出力レベルを入力とする各相関器出力レベルを比較して、上位符号抽出部３３で、レベルが上位Ｍ個の相関器レベルに対応する直交符号を抽出して、抽出された直交符号が、選択された直交符号と一致するか否かを判定する。一致していた場合には、現在の１ビット量子化出力をそのまま出力する。一致していなかった場合には、次段のマッピング修正部３４で、抽出された直交符号が選択される形になるように、並列組合せSS符号化部２１における、入力パラレル信号に対応する直交符号のマッピングを修正する。具体的には、抽出された直交符号が選択される形になるように、必要な数だけマッピングカウンターをインクリメントして、パラレル系列の状態と直交符号の組合せの対応付けを変更して、再度、図２に示す符号化処理を行う。このような処理により、次回には、正しく１ビット量子化出力をそのまま出力することが可能となり、高速処理が可能となる。

ここで、前述のマッピングカウンターについて説明する。例えば、シリアル／パラレル変換器２０に最初に入力された値をＭＳＢ（Most Significant Bit）、最後に入力された値をLSB（Least Significant Bit）として、パラレル信号を例えばNp（= ０〜２^N -１）として数値化する。一方、直交符号の選択についても、各選択状態に０から２^N -１での番号Np２を付与する。初期状態としては、パラレル信号の値がNpの場合に、番号Npに対応する直交符号の選択を並列組合せSS符号化部２１において行った場合に、前述のマッピングカウンターをインクリメントするとは、パラレル信号の値がNpの場合には、番号Np＋１に対応する直交符号の選択を並列組合せSS符号化部２１において処理することによって行う。また、同様に、初期状態としては、パラレル信号の値がNpの場合に、番号Npに対応する直交符号の選択を並列組合せSS符号化部２１において行った場合に、前述の、抽出された直交符号が選択（番号Np２に対応する選択状態とする）される形になるように、必要な数だけマッピングカウンターをインクリメントするとは、パラレル信号の値がNp'の場合には、番号Np'＋Np２-Npに対応する直交符号の選択を並列組合せSS符号化部２１において処理することによって行う。

本発明のブロードキャスト暗号方式およびブロードキャスト暗号装置は、高い伝送信頼性を確保すると共に、通信のオーバーヘッドを低減するため、伝送路が劣悪で、また伝送帯域幅が限定的な無線通信や電力線を使った通信にも適用出来る。

（ａ）本発明のブロードキャスト暗号における暗号鍵更新の親機と子機との間のハンドシェイクを示す図、（ｂ）本発明の親機及び子機のハードウェア構成を示す図 図１でハンドシェイクされる信号の符号化処理の構成を示すブロック図 （ａ）図２における符号化処理に対して、雑音耐性特性を改善した符号化処理の構成を示すブロック図、（ｂ）図３における符号化処理に対して、高速化を図った符号化処理の構成を示すブロック図 図２と図３における符号化処理に対応する復号化処理の構成を示すブロック図 図１のハンドシェイクの処理フローを示す図 （ａ）図３に示す符号化の処理フローを示す図、（ｂ）図３に示す符号化の処理フローを示す図 電力線上での伝送を想定したBER（Bit Error Rate）およびEb／N０特性のシミュレーション計算例（出典：松尾英範“インパルス雑音環境下におけるOFDM復調方式の研究”、京都大学大学院修士論文）を示す図 図２と図３における符号化処理時の並列組合せSS符号化におけるパラレル系列長（ビット数）および並列伝送符号数の特性の計算例を示す図 ECHONETシステムにおけるグループ鍵更新の処理動作を示す図 ECHONETシステムの共有鍵同期を含めた鍵更新の処理について説明する図

符号の説明

１０ 親機
１１、１１A、１１B 子機
２０ シリアル／パラレル変換器
２１ 並列組合せSS符号化部
２２ 加算部
２３ １ビット量子化部
３０ 相関部
３１ レベル抽出部
３２ レベル判定部
３３ 上位符号抽出部
３４ マッピング修正部
４０ 相関部
４１ 最尤判定部
４２ 並列組合せSS復号化部
４３ パラレル／シリアル変換器
１０１、１１１ 制御部
１０２、１１２ 鍵情報受信部
１０３、１１３ 鍵生成部
１０４、１１４ 通信部
１０５、１１５ 記憶部

Claims (11)

1. 情報通信ネットワークに接続する情報処理装置が保持するグループマスター鍵を更新する鍵更新装置であって、
   前記情報処理装置の固有情報を受信する固有情報受信部と、
   前記鍵管理装置の固有情報および前記固有情報受信部が受信した固有情報を基にユニキャスト鍵を生成するユニキャスト鍵生成部と、前記情報処理装置が保持するグループマスター鍵に置換わり、さらに、前記ユニキャスト鍵によって暗号化されて配送される新規グループマスター鍵を生成するグループマスター鍵生成部と、を有し、前記情報処理装置が情報通信ネットワークから離脱した際には、前記ユニキャスト鍵を無効にする鍵管理部と、
   を備える鍵管理装置。
2. 請求項１記載の鍵管理装置であって、
   前記グループマスター鍵および前記鍵管理装置の固有情報を用いてグループ一時鍵を更新するグループ一時鍵更新部を更に有する鍵管理装置。
3. 請求項２記載の鍵管理装置であって、
   前記グループ一時鍵はハッシュ関数を使いて出力される鍵管理装置。
4. 請求項１記載の鍵管理装置であって、
   前記情報処理装置に対してグループマスター鍵更新情報を送信する鍵管理装置。
5. 請求項４記載の鍵管理装置であって、
   前記グループ鍵更新情報が、ビーコン信号に含まれている鍵管理装置。
6. 請求項１記載の鍵管理装置であって、
   前記鍵管理装置の固有情報および前記新規グループ鍵のうち少なくとも一つをシリアル系列からパラレル系列に変換し、当該パラレル系列を出力するシリアル／パラレル変換器と、
   前記シリアル／パラレル変換器から出力されたパラレル系列に対応する直交符号の組合せを並列に出力する並列組合せ符号化部と、
   前記並列組合せ部から出力された直交符号の組合せをビット毎に加算して出力する加算部と、前記加算部からの出力を１ビット量子化し、鍵更新情報として前記情報通信端末に送信する１ビット量子化部とを備える鍵管理装置。
7. 請求項６記載の鍵管理装置であって、
   直交符号が対応付けられ、前記１ビット量子化部から出力される鍵更新情報を相関処理する複数の相関器と、前記複数の相関器のうち、相関レベルが上位となる相関器を抽出し、それらのレベルの最小値を出力するレベル部と、前記レベル抽出部が出力したレベルが所定のレベルを超えているかを判定して、前記並列組合せ符号化部におけるパラレル系列に対応する直交符号の組合せを変更するレベル判定部とを備える鍵管理装置。
8. 請求項６および７いずれか一項記載の鍵管理装置であって、
   前記直交符号は、Walshコードである鍵管理装置。
9. 請求項６および７いずれか一項記載の鍵管理装置であって、
   前記直交符号は、巡回シフトM系列である鍵管理装置。
10. 請求項１記載の情報通信端末であって、
    直交符号が対応付けられ、前記鍵更新装置から出力される鍵更新情報を相関処理する複数の相関器と、前記複数の相関器のうち、相関レベルが上位となる相関器を抽出し、当該相関器に対応する直交符号を抽出する最尤推定部と、前記最尤判定部が抽出した直交符号の組合せからパラレル系列を出力する並列組合せ複合化部と、前記パラレル系列をパラレル／シリアル変換するパラレル／シリアル変換器と、
    前記パラレル系列をパラレル／シリアル変換するパラレル／シリアル変換器と、
    を備える情報通信端末。
11. 請求項６記載の鍵管理装置であって、
    直交符号が対応付けられ、前記１ビット量子化部から出力される鍵更新情報を相関処理する複数の相関器と、
    前記複数の相関器のうち、相関レベルが上位となる相関器に対応する直交符号の組合せを抽出し、当該抽出された直交符号の組合せと前記並列組合せ符号化部で選択された直交符号の組合せとの比較を行う上位レベル抽出部と、
    前記並列組合せ符号化部で選択された直行符号の組合せと一致させるために、前記上位レベル抽出部で抽出された直交符号の組合せを修正するマッピング修正部とを備える鍵管理装置。

Images