JP2017055335A - 移動体制御システム - Google Patents

Abstract

【課題】移動体に要求される情報処理を低減し搭載される計算機の大型化を防止しつつ、データ通信の安全性を確保し、かつ複数の基地局間で移動体の制御を安全に引き継ぐことのできる移動体制御システムを提供する。【解決手段】ドローン３と、ドローン３の制御を行うコントローラ７１、７２、７３と、暗号鍵を生成し配信する量子鍵配送プラットフォーム６とを備える移動体制御システム１。量子鍵配送プラットフォーム６は、ドローン３の移動経路上にありドローン３の通信制御を行うコントローラ７１、７２、７３に異なる暗号鍵Ｋ１〜Ｋ３を生成し、ドローン３は、量子鍵配送プラットフォーム６により生成され配送される、全てのコントローラ７１、７２、７３に割り当てられた暗号鍵Ｋ１〜Ｋ３を保持し、コントローラ７１、７２、７３は、量子鍵配送プラットフォーム６により生成され配送される、自機に割り当てられた暗号鍵Ｋ１〜Ｋ３を保持し、移動経路上においてドローン３と暗号鍵Ｋ１〜Ｋ３を用いて通信を行いつつドローン３の制御を引き継ぐ。【選択図】図２

Description

本発明は、移動体制御システムに関するものである。

近年、ドローン等の各種移動体の商用利用が急速に進む一方で、規制に向けた議論や安全な制御技術の確立に向けた取り組みが活発化している。

例えば、ドローンの制御やデータ伝送に使われる無線通信では、傍受や干渉、妨害の影響を受けやすい。

また、ドローンに搭載される無線通信器は通信可能なエリアが狭く、通常は視野圏内程度の範囲に限られ、広域でドローンを安全に飛行させる上で障害となっている。

しかし、軍事用途等の特定の用途を除けば、ドローンの通信制御やデータ通信の暗号化は行われてはおらず、現在、研究開発や試験が行われている段階である。

ここで、従来用いられている通信制御方法として、例えば、特許文献１には、移動体が複数の基地局を切り替える通信方式が記載されている。

また、特許文献２には、移動端末が移動中に複数の基地局との通信を切り替える際に用いられる秘匿通信について記載されている。

また、特許文献３には、移動体の通信を単純な共通鍵を用いて暗号化する方法が記載されている。

特開２０１５−８８７８２号公報 特開２０１４−２３０２９号公報 特開２００７−２３５３５３号公報

しかし、特許文献１に記載されている通信方式は、基地局を高速に切り替えることを目的とするものであり、通信の安全性についての対策に関するものではない。

また、特許文献２に記載されている通信方式は、主に同期ずれによる復号処理の失敗を回避するためのものであり、データ通信自体の安全性についての対策に関するものではない。

また、特許文献３に記載されている通信方式は、単純な共通鍵による暗号化を想定しており、セキュリティの強度を可変とすることで複数の基地局の有効利用を可能とするものである。しかし、単に選択可能な複数経路をシステムとして利用しているのみであり、安全な制御の引き継ぎを実現するものではない。

また、通信の安全性を確保するため広く普及している公開鍵暗号や共通鍵暗号は、有線網や無線基地局メッシュ網のインフラ上に実装されることが想定されていて、ドローン等の移動体の通信制御やデータ通信にそのまま利用しようとすると、限られた計算機リソース下での計算遅延やフェーディングによる特性劣化を招いてしまう。

また、警備や安全保障等に関わる重要な通信では、高い通信安全性を確保する必要があるが、ドローン等の移動体に搭載可能な小規模な計算機により遅延の無い暗号化を実現することは極めて困難である。

また、安易に暗号装置を軽量小型化すると性能の低下を招き、高度な計算機により暗号を解読される危険性が高まる。

そこで、本発明は、上述した問題点に鑑みて案出されたものであり、移動体に要求される情報処理を低減し搭載される計算機の大型化を防止しつつ、データ通信の安全性を確保し、かつ複数の基地局間で移動体の制御を安全に引き継ぐことができる移動体制御システムを提供することを目的とする。

第１発明に係る移動体制御システムは、情報を保存可能な移動体と、前記移動体の移動経路上に配置され前記移動体の制御を行う複数の基地局と、前記基地局及び前記移動体により用いられる暗号鍵を生成し配信する暗号生成装置とを備え、前記移動体と前記基地局とが暗号化を用いて通信を行う移動体制御システムであって、前記暗号鍵生成装置は、前記移動体の移動経路上にあり前記移動体の通信制御を行う前記基地局毎に異なる前記暗号鍵を生成し、前記移動体は、前記暗号鍵生成装置により生成され配送される、前記移動経路上にあり自機を制御する全ての前記基地局に割り当てられた前記暗号鍵を保持し、前記基地局は、前記暗号鍵生成装置により生成され配送される、自機に割り当てられた前記暗号鍵を保持し、前記移動経路上において前記移動体と前記暗号鍵を用いて通信を行いつつ順次前記移動体の制御を引き継ぐことを特徴とする。

第２発明に係る移動体制御システムは、第１発明において、前記暗号鍵生成装置は、光ファイバにより接続された複数の送信機及び受信機の対である量子鍵配送リンクがそれぞれボールト内で接続されネットワーク化された量子鍵配送プラットフォームにより構成され、前記移動体及び前記基地局への前記暗号鍵の配送は、前記送信機又は前記受信機からトラスティッドクーリエにより行われることを特徴とする。

第３発明に係る移動体制御システムは、第２発明において、前記量子鍵配送プラットフォームは、前記移動体の前記移動経路の最初に位置する前記送信機が自機及び他の前記送信機及び前記受信機に用いられる全ての前記暗号鍵を生成し、前記送信機又は前記受信機は、自機が用いる前記暗号鍵を保持するとともに、他の前記暗号鍵を保持することなく前記移動体の前記移動経路の下流に位置する他の前記送信機又は前記受信機に配送するキーリレーを行うことを特徴とする。

第４発明に係る移動体制御システムは、第３発明において、前記キーリレーは、前記暗号鍵の配送に用いられる配送用暗号鍵を用いて前記暗号鍵を暗号化及び復号化して行われることを特徴とする。

第５発明に係る移動体制御システムは、第１発明において、前記暗号鍵生成装置は、単一の真性乱数生成装置により構成され、前記移動体及び前記基地局への前記暗号鍵の配送は、前記真性乱数生成装置からトラスティッドクーリエにより行われることを特徴とする。

第６発明に係る移動体制御システムは、第２発明乃至第５発明の何れか１つにおいて、前記トラスティッドクーリエにはWegman-Carter認証が用いられることを特徴とする。

上述した構成からなる本発明によれば、移動体に要求される情報処理を低減し搭載される計算機の大型化を防止しつつ、データ通信の安全性を確保し、かつ複数の基地局間で移動体の制御を安全に引き継ぐことができる。

本発明の実施形態に係る移動体制御システムにおいて、最初の量子鍵配送リンクを構成する送信機から受信機に暗号鍵が配送される様子を示す模式図である。 最初のコントローラがドローンを制御する様子を示す模式図である。 ２番目のコントローラがドローンを制御する様子を示す模式図である。 ３番目のコントローラがドローンを制御する様子を示す模式図である。 ドローンから飛行経路の末端にある受信機にデータが送信される様子を示す模式図である。 ドローンが飛行経路上の移動を終えた様子を示す模式図である。 本発明の変形例に係る移動体制御システムにおけるドローンの制御の様子を示す模式図である。

以下、本発明の実施形態に係る移動体制御システム１について説明する。

図１は、本発明の実施形態に係る移動体制御システム１において、最初の量子鍵配送リンクＬ１を構成する送信機２１ａから受信機２１ｂに暗号鍵Ｋ１〜Ｋ４が配送される様子を示す模式図である。なお、本実施形態の説明において「配送」とは、量子鍵配送及び後述するトラスティッドクーリエによる情報の伝達の両方の概念を含むものとする。

本実施形態に係る移動体制御システム１は、暗号生成装置としての量子鍵配送プラットフォーム６と、基地局としてのコントローラ７１、７２、７３と、ドローン３を備えて構成されている。

そして、移動体制御システム１では、ドローン３とコントローラ７１、７２、７３とが、ワンタイムパッド暗号化を用いて通信を行う。

ワンタイムパッド暗号化は、真性乱数を平文と同じサイズだけ用意しそれを暗号鍵として二者間で共有し、平文と暗号鍵のビット和によって暗号文を生成し伝送し、受信側で再び暗号文と暗号鍵のビット和により平文を復号する通信方式である。暗号鍵は剥ぎ取り式メモ（パッド）のように１回毎に使い捨てられる。そのためワンタイムパッド暗号化は、暗号鍵さえ安全に共有できたとすると、どんな強力な計算機を用いても暗号文から平文を解読することが原理的に不可能なことが数学的に証明されている唯一の方式であり、極めて安全性の高い通信方式である。

本実施形態においては、ワンタイムパッド暗号化に用いられる使い捨ての暗号鍵として、暗号鍵Ｋ１〜Ｋ７が用いられる。暗号鍵Ｋ１〜Ｋ７はそれぞれ異なる乱数列である。

なお、本発明においてはワンタイムパッド暗号化以外にも、暗号鍵を共通鍵としたその他の暗号化方式を採用することが可能である。しかし、上述したようにワンタイムパッド暗号化は極めて安全性の高い通信方式であるため、本発明においてはワンタイムパッド暗号化が用いられることが好ましく、本実施形態においてもワンタイムパッド暗号化が採用されている。なお、暗号鍵は使い捨てであることが望ましい。

量子鍵配送プラットフォーム６は、光ファイバ５１で接続された送信機２１ａと受信機２１ｂにより形成された量子鍵配送リンクＬ１、光ファイバ５２で接続された送信機２２ａと受信機２２ｂにより形成された量子鍵配送リンクＬ２、光ファイバ５３で接続された送信機２３ａと受信機２３ｂにより形成された量子鍵配送リンクＬ３、及び光ファイバ５４で接続された送信機２４ａと受信機２４ｂにより形成された量子鍵配送リンクＬ４が、それぞれ外部からの不正な侵入ができないように防御が施された安全な局舎やその中にある管理区域であるボールト４ａ、４ｂ、４ｃ内で連結されて構成されている。

量子鍵配送は、通信路に対するどんな盗聴技術や通信路から抜き取ったデータに対するどんな解読技術でも、暗号鍵の情報を正規送受信者以外に一切漏らすことなく、安全に２地点間で暗号鍵を共有する技術である。量子鍵配送リンクの送信機と受信機は、このような原理的に盗聴・解読されない暗号鍵を配送し共有する。

量子鍵配送リンク間の接続箇所を外部から物理的及び電磁的に遮蔽されたボールト４ａ〜４ｃで覆うことにより、当該接続箇所において通信が漏洩することを防止することができる。したがって、当該接続箇所を介して量子鍵配送リンクを接続してネットワーク化した量子鍵配送プラットフォーム６は、原理的に盗聴・解読されない暗号鍵を任意の所望のボールド内の送信機及び受信機間で配送し共有することができる。

送信機２１ａ、２２ａ、２３ａ、２４ａ及び受信機２１ｂ、２２ｂ、２３ｂ、２４ｂはそれぞれ暗号鍵の生成、送受信及び記憶が可能な端末である。本実施形態においては便宜上送信機及び受信機を分けて説明しているが、実際には暗号鍵の送信と受信の両方の機能を有する端末である。

また、送信機２１ａ、２２ａ、２３ａ、２４ａ及び受信機２１ｂ、２２ｂ、２３ｂ、２４ｂは、暗号鍵を量子鍵配送により送受信する。暗号鍵Ｋ１〜Ｋ４の量子鍵配送時には、これらの暗号鍵をカプセル化するため、別個に暗号鍵Ｋ５〜Ｋ７が用いられる（図２〜図４参照）。

また、送信機２１ａ、２２ａ、２３ａ、２４ａ及び受信機２１ｂ、２２ｂ、２３ｂ、２４ｂは、外部記憶装置との接続端子を備えていて、接続端子に接続された外部記憶装置に生成した暗号鍵を保存することができる。

ドローン３は、コントローラ７１、７２、７３の制御を受けて飛行する無人飛行機であり、プロペラやモータ、電池等の駆動装置、コントローラ７１、７２、７３との通信に用いられる暗号鍵等の各種情報を記憶する記憶装置、コントローラ７１、７２、７３との通信を行うアンテナ、外部記憶装置との情報の授受を行う接続端子及びこれらの構成全体を制御する制御部を主に備えて構成されている。

更に、ドローン３は、撮像装置等の任意の機能を備えてもよい。撮像装置で撮像される画像や動画のデータは、通信装置により地上のコントローラ７１、７２、７３や受信機２１ｂ、２２ｂ、２３ｂ、２４ｂ等にリアルタイムで送信される他、ドローン３に内蔵された記憶装置に保存されてもよい。

なお、本実施形態においては移動体としてドローン３を例に説明しているが、本発明においてはこれに限られず、自動運転を行う各種車両や船舶、列車等、様々な移動体を適用することができる。

また、ドローン３においては保存する暗号鍵は恒久的なメディアではなく、電源の喪失でデータが消滅するDRAM（Dynamic Random Access Memory）などの揮発性メモリ内に蓄積することが望ましい。この仕組みによりドローン３が悪意ある第三者に渡った場合、各基地局の暗号鍵が漏洩することを避けることができる。

コントローラ７１、７２、７３は、それぞれに割り当てられた固有の暗号鍵を用いてドローン３と通信を行いドローン３の制御を行う基地局として機能する。図１の例ではコントローラ７１は暗号鍵Ｋ１、コントローラ７２は暗号鍵Ｋ２、コントローラ７３は暗号鍵Ｋ３を用いてドローン３の制御を行う。

なお、実際にはドローン３とコントローラ７１、７２、７３との間の通信制御には認証用の暗号鍵と通信用の暗号鍵がそれぞれ２つずつ必要であるが、本実施形態においてはこれらの２種類の暗号鍵を１つの暗号鍵Ｋ１〜Ｋ４として表現している。

次に、本実施形態に係る移動体制御システム１の動作について説明する。

以下の説明においては、ドローン３の制御は最初のコントローラ７１から３番目のコントローラ７３に順次引き継がれていき、最後にドローン３に保存されているデータが受信機２４ｂへと送信されるという一連の動作が行われる。

まず、暗号生成装置である量子鍵配送プラットフォーム６の量子鍵配送リンクＬ１は、ドローン３の制御に用いられる暗号鍵Ｋ１〜Ｋ３、及び飛行経路の末端にある受信機２４ｂに情報を送信するために用いられる暗号鍵Ｋ４を生成し、送信機２１aと受信機２１ｂの間で配送し共有する（図１参照）。

これにより暗号鍵Ｋ１〜Ｋ４は、送信機２１ａと受信機２１ｂにそれぞれ保存されることになる（図１参照）。

次に、暗号鍵Ｋ１〜Ｋ４が、送信機２１ａから外部記憶装置を介するトラスティッドクーリエによりドローン３へと配送される。また、同様にドローン３を制御するための暗号鍵Ｋ１が、受信機２１ｂから外部記憶装置を介するトラスティッドクーリエによりコントローラ７１へと配送される（図２参照）。

トラスティッドクーリエは、厳格に管理され、組織外の者に情報が漏えいしないように、重要情報を配送する配送者である。本実施形態において、トラスティッドクーリエは外部記憶装置に情報を記憶しこれを搬送することで情報の配送を行う。

なお、トラスティッドクーリエによる量子鍵の配送時には、どんな計算機でも破られないことが証明されているWegman-Carter認証によるユーザ認証が行われることが安全性の面から好ましい。

量子鍵配送リンクＬ２は、送信機２２ａと２２ｂ間で暗号鍵Ｋ５を配送し共有する（図２参照）。量子鍵配送リンクＬ３は、送信機２３ａと２３ｂ間で暗号鍵Ｋ６を配送し共有する（図３参照）。量子鍵配送リンクＬ４は、送信機２４ａと２４ｂ間で暗号鍵Ｋ７を配送し共有する（図３参照）。暗号鍵Ｋ５〜Ｋ７は、前記暗号鍵Ｋ１〜Ｋ４のそれぞれを必要な送信機、受信機へ量子鍵配送リンクにより配送（キーリレー）するための暗号鍵である。暗号鍵Ｋ１〜Ｋ７は全て異なる暗号鍵である。

暗号鍵Ｋ１〜Ｋ３は、ドローン３の飛行経路上においてドローン３の制御を行う全てのコントローラ７１、７２、７３がそれぞれ保有する暗号鍵に対応する暗号鍵であり、ドローン３はこの暗号鍵Ｋ１〜Ｋ３を有することで、飛行経路上の全てのコントローラ７１、７２、７３と通信を行うことが可能となる。

また、暗号鍵Ｋ４は、ドローン３が自機に保存された情報を目的地である受信機２４ｂに送信する際に用いられる（図５参照）。すなわち、ドローン３は、自機が保持し最終的に受信機２４ｂに送信する情報を、暗号鍵Ｋ４を用いて暗号化する。

ドローン３により暗号化された情報は、同じく暗号鍵Ｋ４を有する受信機２４ｂによってのみ復号化することが可能である。

そのためドローン３から送信される情報が傍受された場合でも、傍受者は当該情報を復号化することができず、情報の送受信を安全に行うことが可能となる。

次に、ドローン３のコントローラ７１による制御が開始される。図２は、最初のコントローラ７１がドローンを制御する様子を示す模式図である。

コントローラ７１は、暗号鍵Ｋ１を用いてドローン３と通信を行い、ドローン３の制御を行う。ここで用いられた暗号鍵Ｋ１は、ドローン３の制御の終了とともに破棄される。

また、受信機２１ｂは、図２に示すように、自機が用いなかった暗号鍵Ｋ２〜Ｋ４を、ドローン３の移動経路の下流にあるコントローラ７２、７３及び受信機２４ｂの利用に供するため、送信機２３ａへと供給する。

受信機２１ｂから送信機２３ａへの暗号鍵Ｋ２〜Ｋ４の供給では、まず、受信機２１ｂにより保持されている暗号鍵Ｋ２〜Ｋ４が、トラスティッドクーリエにより送信機２２ａに供給される。この供給はボールト４ａ内で行われるため安全に行うことができる。

次に、送信機２２ａから受信機２２ｂに向けて、光ファイバ５２を通じた量子鍵配送による暗号鍵Ｋ２〜Ｋ４のキーリレーが行われる。このキーリレーは暗号鍵Ｋ５を用いて暗号鍵Ｋ２〜Ｋ４をカプセル化することにより行われる。

次に、暗号鍵Ｋ２〜Ｋ４を受信した受信機２２ｂから、同じボールト４ｂ内の送信機２３ａに対して、暗号鍵Ｋ２〜Ｋ４がトラスティッドクーリエにより供給される。この供給もボールト４ｂ内で行われるため安全に行うことができる。

次に、ドローン３の制御が移動経路上の２番目のコントローラ７２に引き継がれる。図３は、２番目のコントローラ７２がドローン３を制御する様子を示す模式図である。

コントローラ７２は、暗号鍵Ｋ２を用いてドローン３と通信を行い、ドローン３の制御を行う。

また、送信機２３ａは、暗号鍵Ｋ３、Ｋ４を、ドローン３の移動経路の下流にある他のコントローラ７３及び受信機２４ｂの利用に供するため、図３に示すように、暗号鍵Ｋ６を用いて暗号鍵Ｋ３、Ｋ４をカプセル化し、光ファイバ５３を介して受信機２３ｂへとキーリレーする。

次に、ドローンの制御が移動経路上の３番目のコントローラ７３に引き継がれる。図４は、３番目のコントローラ７３がドローン３を制御する様子を示す模式図である。

コントローラ７３は、暗号鍵Ｋ３を用いてドローン３と通信を行い、ドローン３の制御を行う。

また、ドローン３の移動経路の下流にある受信機２４ｂの利用に供するため、暗号鍵Ｋ４が、受信機２３ｂから送信機２４ａにトラスティッドクーリエにより供給される。この供給はボールト４ｃ内で行われるため安全である。

そして、送信機２４ａは、図４に示すように、暗号鍵Ｋ４の送信機２４ｂへのキーリレーを行う。このキーリレーは暗号鍵Ｋ７を用いて暗号鍵Ｋ４をカプセル化することにより行われる。

次に、ドローン３が、自機が保持している暗号鍵Ｋ４により暗号化された情報を、受信機２４ｂへと送信する。図５は、ドローン３から飛行経路の末端にある受信機２４ｂに情報が送信される様子を示す模式図である。

受信機２４ｂは、暗号鍵Ｋ４を用いてドローン３から送信された情報を復号化する。

そして、一連の動作を終えたドローン３は、所定の場所に着陸する。図６は、ドローン３が飛行経路上の移動を終えた様子を示す模式図である。

なお、上述した移動経路上のプロセスを逆方向に向けて繰り返すことで、ドローン３を終着地点から再び出発地点へと戻らせることができる（図６参照）。

また、上述した実施形態においてはドローン３の制御に用いる暗号鍵Ｋ１〜Ｋ４の基地局間の配送を、量子鍵配送を用いたキーリレーにより行う態様であったが、本発明においてはこれに限らず、キーリレーをトラスティッドクーリエにより行ってもよい。

この場合、暗号鍵生成装置は単一の真性乱数生成装置により構成され、暗号鍵生成装置からのドローン３及び各コントローラへの暗号鍵の配送は、トラスティッドクーリエにより行われることになる。

上述した実施形態に係る移動体制御システム１によると、暗号鍵の生成や配送等の処理を地上のネットワーク等の設備に担わせることができ、移動体に要求される情報処理を低減し搭載される計算機の大型化を防止することができる。

また、暗号化による通信を行い、更に暗号鍵の配送を量子鍵配送やトラスティッドクーリエを用いて行うことで、データ通信の安全性を確保することができ、かつ複数の基地局間で移動体の制御を安全に引き継ぐことが可能となる。

次に、本発明の変形例について説明する。図７は、本発明の変形例に係る移動体制御システム１’におけるドローン３の制御の様子を示す模式図である。

図７に示す変形例では、複数の飛行経路及び制御区域がある場合に行われる制御について説明する。ここでは、複数の制御区域にわたり、複数のノードに分散保存した暗号鍵を用いて、より安全な認証や飛行経路の動的選択が行われる。

変形例に係る移動体制御システム１’は、ドローン３と、送信機２１ａ、２２ａ、２３ａ、２４ａ、２５ａ、２６ａ、２７ａ、２８ａ、受信機２１ｂ、２２ｂ、２３ｂ、２４ｂ、２５ｂ、２６ｂ、２７ｂ、２８ｂ及び図示しないコントローラを備えて構成されている。

本変形例においてもドローン３の制御は基地局であるコントローラにより行われるが、簡易に説明するためここでは送信機及び受信機をコントローラと一体のものとして説明する。

そのため、送信機又は受信機がドローン３を制御するという場合には、実際は送信機又は受信機から暗号鍵を配送されたコントローラがドローン３を制御するという意味である。

送信機２１ａと受信機２１ｂの間、送信機２２ａと受信機２２ｂの間、送信機２３ａと受信機２３ｂの間、送信機２４ａと受信機２４ｂの間、送信機２５ａと受信機２５ｂの間、送信機２６ａと受信機２６ｂの間、送信機２７ａと受信機２７ｂの間、及び送信機２８ａと受信機２８ｂの間がそれぞれ光ファイバにより接続されることで、量子鍵配送リンクＬ１〜Ｌ８を形成している。

そして、この量子鍵配送リンクＬ１〜Ｌ８がボールト４ａ〜４ｅ内で互いに接続されることにより、暗号生成装置としての量子鍵配送プラットフォームが形成されている。

送信機２２ａ、受信機２１ｂ、送信機２４ａ及び送信機２３ａはボールト４ａにより覆われている。受信機２５ｂ、送信機２７ａ及び受信機２３ｂはボールト４ｂにより覆われている。受信機２２ｂ、送信機２６ａ及び送信機２５ａはボールト４ｃにより覆われている。受信機２６ｂ、受信機２４ｂ、受信機２７ｂ及び送信機２８ａはボールト４ｄにより覆われている。基地局２８ｂはボールト４ｅにより覆われている。

変形例に係る移動体制御システム１’では、ドローン３及び各基地局（コントローラ）への暗号鍵の配送は、上述した実施形態に係る移動体制御システム１と同様に行われる。

変形例に係る移動体制御システム１’では、まず、送信機２１ａにより暗号鍵Ｋ１〜Ｋ８が生成されるとともに、量子鍵配送によるキーリレーにより受信機２１ｂに暗号鍵Ｋ１〜Ｋ８が配送される。暗号鍵Ｋ１〜Ｋ８は互いに異なる暗号鍵である。

次に、トラスティッドクーリエにより送信機２１ａからドローン３に暗号鍵Ｋ１〜Ｋ８が配送される。

そして、受信機２１ｂに配送された暗号鍵Ｋ１〜Ｋ８のうち、暗号鍵Ｋ１のみが受信機２１ｂに保持されるとともに、受信機２１ｂが、トラスティッドクーリエにより、送信機２２ａへボールト４ａ内で暗号鍵Ｋ４、Ｋ５を配送し、さらに送信機２２ａは量子鍵配送リンクＬ２を経て受信機２２ｂに暗号鍵Ｋ４、Ｋ５を配送する。この量子鍵配送も、上述した実施形態に係る移動体制御システム１と同様に、図示しない暗号鍵を用いたカプセル化により行われる。

また、受信機２１ｂは、送信機２４ａにボールト４ａ内でトラスティッドクーリエにより暗号鍵Ｋ６、Ｋ７、Ｋ８を配送し、さらに送信機２４ａは量子鍵配送リンクＬ４を介して受信機２４ｂへ暗号鍵Ｋ６、Ｋ７、Ｋ８を配送する。この量子鍵配送も図示しない暗号鍵を用いたカプセル化により行われる。

また、受信機２１ｂは、送信機２３ａにボールト４ａ内でトラスティッドクーリエにより暗号鍵Ｋ２、Ｋ３を配送し、さらに、送信機２３ａは量子鍵配送リンクＬ３を介して受信機２３ｂへ暗号鍵Ｋ２、Ｋ３を配送する。この量子鍵配送も図示しない暗号鍵を用いたカプセル化により行われる。

また、受信機２４ｂは、暗号鍵Ｋ６、Ｋ７のみを保持するとともに、暗号鍵Ｋ８をボールト４ｄ内でトラスティッドクーリエにより送信機２８ａに配送し、さらに送信機２８ａは量子鍵配送リンクＬ８を経て受信機２８ｂに配送する。この量子鍵配送も図示しない暗号鍵を用いたカプセル化により行われる。

次に、受信機２１ｂ（実際には受信機２１ｂから暗号鍵Ｋ１を配送されたコントローラ）が暗号鍵Ｋ１を用いてドローン３の制御を行う（図７中（１））。

次に、ドローン３はノード４ｃの受信機２２ｂ（実際には受信機２２ｂから暗号鍵Ｋ４を配送されたコントローラ）及びノード４ｂの受信機２３ｂ（実際には受信機２３ｂから暗号鍵Ｋ２を配送されたコントローラ）の通信可能範囲に移動していく。

そして、ドローン３の認証が、受信機２２ｂ（実際には受信機２２ｂから暗号鍵Ｋ４を配送されたコントローラ）の暗号鍵Ｋ４及び受信機２３ｂ（実際には受信機２３ｂから暗号鍵Ｋ２を配送されたコントローラ）の暗号鍵Ｋ２を用いて行われる（図７中（２））。このように、複数のコントローラに分割して保存された暗号鍵を用いて行われる認証を以下「結託認証」という。

受信機２２ｂ、２３ｂにより認証されたドローン３は、次に受信機２２ｂ（実際には受信機２２ｂから暗号鍵Ｋ５を配送されたコントローラ）と暗号鍵Ｋ５を用いて通信を行い、受信機２２ｂの制御を受ける（図７中（３））。

次に、ドローン３は飛行を続け、ノード４ｂの受信機２３ｂ（実際には受信機２３ｂから暗号鍵Ｋ３を配送されたコントローラ）及びノード４ｄの受信機２６ｂ（実際には受信機２６ｂから暗号鍵Ｋ６を配送されたコントローラ）の通信可能範囲に移動していく。

そしてドローン３の結託認証が、受信機２３ｂ（実際には受信機２３ｂから暗号鍵Ｋ３を配送されたコントローラ）の暗号鍵Ｋ３及び受信機２６ｂ（実際には受信機２６ｂから暗号鍵Ｋ６を配送されたコントローラ）の暗号鍵Ｋ６を用いて行われ（図７中（４））、認証後にはドローン３は受信機２６ｂ（実際には受信機２６ｂから暗号鍵Ｋ７を配送されたコントローラ）と暗号鍵Ｋ７を用いて通信を行い、受信機２６ｂの制御を受ける（図７中（５））。

更にドローン３は飛行を続け、受信機２８ｂ（実際には受信機２８ｂから暗号鍵Ｋ８を配送されたコントローラ）の通信可能範囲に移動し、受信機２８ｂに制御が引き継がれる。このとき、ドローン３は受信機２８ｂ（実際には受信機２８ｂから暗号鍵Ｋ８を配送されたコントローラ）と暗号鍵Ｋ８を用いて通信を行う（図７中（６））。

そして、ドローン３は一連の動作を終える。

このように、複数のコントローラによる結託認証を採用することで、より安全な制御や、複数の移動経路に階層的な優先度を設定し状況に応じた動的な制御を行うことができる。

また、暗号鍵を分散して保存する際には、複数の暗号鍵の任意の２つによりドローン３の認証が可能となるよう、閾値秘密分散を用いて暗号鍵の管理を行ってもよい。これによりドローン３の制御が動的に行われる場合において、ある時点で通信可能なコントローラが限定される場合であっても、信頼性を損なわずに移動を継続することができる。

なお、このような動的制御は（２，３）閾値法や、より運用の信頼性を高めることができる（３，５）閾値法等、パラメータを適宜変更して適用することが可能である。

（ｋ，ｎ）閾値法とは、全体をｎ個に分割し、そのうち任意のｋ個により全体を復元することが可能であるが、ｋ−１個以下では復元ができない、効率的な冗長性を付与したデータ分割の仕組みである。

また、ドローン３とコントローラ間の通信は様々な理由でパケットロスが発生しうる。パケットロスにより事前に配布された暗号鍵である真性乱数の対の中の利用アドレスが食い違うと、データの復号ができなくなる。

こうした事態を回避するため、通信するブロック単位で真性乱数表のどの部分を用いる加を示すアドレス情報をブロックの先頭や末尾など規定の位置に付与することができる。

また、固定ブロック長でない場合には、利用する鍵の長さの情報をブロックの先頭や末尾、もしくは前記アドレス情報の直後など規定の位置に含めてもよい。

こうした対策により真性乱数表の利用履歴の検証も可能となり、より安全な制御が可能となる。

例えば、図７でノード４ａ（実際にはノード４ａ内の受信機又は送信機から暗号鍵を配送されたコントローラ）の通信範囲から離れたドローン３が何らかの理由でノード４ａの通信範囲に戻ってくる場合、ノード４ａから送られてくる真性乱数表のアドレスは先ほどまで利用した真性乱数表の最後のアドレス以降のものでなくてはならず、想定しうるパケットロスを超えて離れたアドレスであることはない。

これによりノード４ａとドローン３間の通信履歴も安全な通信制御のために利用することができる。

なお、こうした仕組みを用いる際には、各ノード（実際にはノード内の受信機又は送信機から暗号鍵を配送されたコントローラ）がドローン３のいない状態で制御信号を送り続ける状況を回避する仕組みを組み込むことが望ましい。

例えば、ノードとドローン３間で送達確認の手段を備えるか、もしくは次のノードでドローンが制御され始めた時点でこの情報を別のノードに送ることができれば、先のノードが無駄に制御情報を送る必要が無くなる。

また、十分な通信リソースを確保できる環境においては、制御情報を全てのノード（実際にはノード内の受信機又は送信機から暗号鍵を配送されたコントローラ）から同時に送ってもよい。これにより全てのノードが配布された真性乱数表の同一の場所を利用することになるため、ドローン３側での認証管理が容易となるだけでなく、ノード間の移動時にアドレスの履歴を継続することで、より安全な制御が可能となる。

更に各ノードとドローン３間で送達確認ができない状況であっても、ノード間を移動するドローンの制御が容易なものとなる。

また、ドローンにより暗号鍵を用いて暗号化されたデータについて、複数のドローン間で中継して目的のコントローラ、送信機又は受信機に伝達する態様であってもよい。この場合ドローン間のデータの送受信は無線通信を用いて行われることになるが、データが暗号鍵により暗号化されていて、当該暗号鍵と同一の暗号鍵を有するコントローラ、送信機又は受信機のみが復号化できる態様であるため、データの中継を安全に行うことができる。

１、１’ 移動体制御システム
３ ドローン
４ａ、４ｂ、４ｃ、４ｄ、４ｅ ボールト
２１ａ〜２８ａ 送信機
２１ｂ〜２８ｂ 受信機
５１、５２、５３、５４ 光ファイバ
６ 量子鍵配送プラットフォーム
７１、７２、７３ コントローラ
Ｋ１〜Ｋ８ 暗号鍵
Ｌ１〜Ｌ８ 量子鍵配送リンク

Claims (6)

1. 情報を保存可能な移動体と、前記移動体の移動経路上に配置され前記移動体の制御を行う複数の基地局と、前記基地局及び前記移動体により用いられる暗号鍵を生成し配信する暗号生成装置とを備え、前記移動体と前記基地局とが暗号化を用いて通信を行う移動体制御システムであって、
   前記暗号鍵生成装置は、前記移動体の移動経路上にあり前記移動体の通信制御を行う前記基地局毎に異なる前記暗号鍵を生成し、
   前記移動体は、前記暗号鍵生成装置により生成され配送される、前記移動経路上にあり自機を制御する全ての前記基地局に割り当てられた前記暗号鍵を保持し、
   前記基地局は、前記暗号鍵生成装置により生成され配送される、自機に割り当てられた前記暗号鍵を保持し、前記移動経路上において前記移動体と前記暗号鍵を用いて通信を行いつつ順次前記移動体の制御を引き継ぐ
   ことを特徴とする移動体制御システム。
2. 前記暗号鍵生成装置は、光ファイバにより接続された複数の送信機及び受信機の対である量子鍵配送リンクがそれぞれボールト内で接続されネットワーク化された量子鍵配送プラットフォームにより構成され、
   前記移動体及び前記基地局への前記暗号鍵の配送は、前記送信機又は前記受信機からトラスティッドクーリエにより行われる
   ことを特徴とする請求項１記載の移動体制御システム。
3. 前記量子鍵配送プラットフォームは、前記移動体の前記移動経路の最初に位置する前記送信機が自機及び他の前記送信機及び前記受信機に用いられる全ての前記暗号鍵を生成し、
   前記送信機又は前記受信機は、自機が用いる前記暗号鍵を保持するとともに、他の前記暗号鍵を保持することなく前記移動体の前記移動経路の下流に位置する他の前記送信機又は前記受信機に配送するキーリレーを行う
   ことを特徴とする請求項２記載の移動体制御システム。
4. 前記キーリレーは、前記暗号鍵の配送に用いられる配送用暗号鍵を用いて前記暗号鍵を暗号化及び復号化して行われることを特徴とする請求項３記載の移動体制御システム。
5. 前記暗号鍵生成装置は、単一の真性乱数生成装置により構成され、
   前記移動体及び前記基地局への前記暗号鍵の配送は、前記真性乱数生成装置からトラスティッドクーリエにより行われる
   ことを特徴とする請求項１記載の移動体制御システム。
6. 前記トラスティッドクーリエにはWegman-Carter認証が用いられることを特徴とする請求項２乃至５の何れか１項記載の移動体制御システム。

Images