JP2023145914A - 暗号通信システム、暗号通信装置および暗号通信方法 - Google Patents

Abstract

【課題】バーナム暗号や秘密分散法を用いて、複数系統の経路を介して、２つのノード間で暗号鍵（共通鍵）を共有化することで、ユーザの暗号通信の安全性を保つことができる暗号通信システムを配送する。【解決手段】実施形態によれば、暗号通信システムは、暗号通信を実行するユーザに対して暗号鍵を配送する。システムは、複数のノードでネットワークを構成し、複数のノードの中の、第１ユーザへ暗号鍵を配送する第１ノードと、第２ユーザへ暗号鍵を配送する第２ノードとの間で暗号鍵を共有化する。第１ノードは、第２ノードとの間の経路について、ネットワーク上にｎ（ｎ＞１）系統分を形成し、ｎ個の第１データを生成し、ｎ個の第１データをｎ系統の経路に振り分けて第２ノードへ送信し、ｎ個の第１データを重ね合わせて暗号鍵を生成する。第２ノードは、ｎ系統の経路を介して第１ノードからｎ個の第１データを受信し、ｎ個の第１データを重ね合わせて暗号鍵を生成する。【選択図】図４

Description

本発明の実施形態は、暗号通信システム、暗号通信装置および暗号通信方法に関する。

通信手段や暗号鍵（共通鍵）の送信手段を変更することにより、通信距離を延伸するための中間ノードの信頼性劣化に対して暗号化通信の安全性劣化を抑制する量子暗号通信システムがある。たとえば、送信元ノードから送信先ノードへ中間ノードを経由する２つ以上の複数の経路で共有された独立な暗号鍵（共通鍵）で、送信元ノードから送信先ノードへの暗号通信を多重暗号化する技術がある。

また、１つの暗号鍵（共通鍵）を複数に分割して、送信元ノードから送信先ノードへ中間ノードを経由する２つ以上の複数の経路で共有し、送信先ノードで暗号鍵（共通鍵）の結合を行って復号化を行う技術がある。

秘匿したいデータを複数の断片に分散して伝送することで、分散したデータから情報漏洩することがないという技術を秘密分散法と呼ぶ。秘密分散法の１つである（ｋ，ｎ）閾値秘密分散法は、秘匿したいデータをｎ個に分散し、このうち任意のｋ個を集めれば元のデータを復元できるが、ｋ－１個を集めても元のデータに含まれる情報は全く復元できないという特長を持つ。（ｋ，ｎ）閾値秘密分散法は完全秘密分散法とも呼ばれる。

また、完全秘密分散法と比べてデータの秘匿性を犠牲にし、伝送効率を向上させる方法としてランプ型秘密分散法がある。たとえば、分散データに対して乱数データを組み合わせて排他的論理和を行うことで、分散データを難読化する技術がある。

特許第５６７２４２５号公報 特許第６７８３７７２号公報 特許第５６８５７３５号公報

しかしながら、これらの技術においては、多重化した経路内の中間ノードが単一障害点となり得る耐障害性の問題や、不正な盗聴者により平文の暗号鍵の一部を窃取された場合に通信内容の一部が復号化され、通信の安全性が保たれない問題があった。

また、中間ノードを入れ子にすることで転送距離が約半分になり、社会実装上の導入や運用のコストが増大する問題があった。

本発明の１つの実施形態は、バーナム暗号や秘密分散法を用いて、複数系統の経路を介して２つのノード間で暗号鍵（共通鍵）を共有化することで、ユーザの暗号通信の安全性を保つことができる暗号通信システム、暗号通信装置および暗号通信方法を提供する。

実施形態によれば、暗号通信システムは、暗号通信を実行する第１ユーザと第２ユーザとに対して暗号鍵を配送する。システムは、複数のノードでネットワークを構成し、複数のノードの中の、第１ユーザへ暗号鍵を配送する第１ノードと、第２ユーザへ暗号鍵を配送する第２ノードとの間で暗号鍵を共有化する。第１ノードは、第２ノードとの間の経路について、ネットワーク上にｎ（ｎ＞１）系統分を形成し、ｎ個の第１データを生成し、ｎ個の第１データをｎ系統の経路に振り分けて第２ノードへ送信し、ｎ個の第１データを重ね合わせて暗号鍵を生成する。第２ノードは、ｎ系統の経路を介して第１ノードからｎ個の第１データを受信し、ｎ個の第１データを重ね合わせて暗号鍵を生成する。

第１実施形態の暗号通信システムの一構成例を示すブロック図。 第１実施形態の暗号通信システムの量子暗号通信網内のノードが末端ノードの役割を担う場合における一機能構成例を示すブロック図。 第１実施形態の暗号通信システムの量子暗号通信網内のノードが中間ノードの役割を担う場合における一機能構成例を示すブロック図。 第１実施形態の暗号通信システムが実行する暗号通信方法の処理手順を表すシーケンスチャート。 第１実施形態の暗号通信システムにおける量子暗号通信網内の末端ノードによる乱数鍵の生成方法およびユーザによる平文データの暗号化の一例を示す図。 第２実施形態の暗号通信システムの一構成例を示すブロック図。 第２実施形態の暗号通信システムの量子暗号通信網内のノードが末端ノードの役割を担う場合における一機能構成例を示すブロック図。 第２実施形態の暗号通信システムが実行する暗号通信方法の処理手順を表すシーケンスチャート。 第２実施形態の暗号通信システムにおける、分散数３、閾値３のランプ型秘密分散による乱数鍵の生成方法の一例を示す第１図。 第２実施形態の暗号通信システムにおける、分散数３、閾値３のランプ型秘密分散による乱数鍵の生成方法の一例を示す第２図。 第２実施形態の暗号通信システムにおけるユーザによる平文データの暗号化の一例を示す図。 第２実施形態の暗号通信システムにおける、分散数３、閾値２のランプ型秘密分散による乱数鍵の生成方法の一例を示す第１図。 第２実施形態の暗号通信システムにおける、分散数３、閾値２のランプ型秘密分散による乱数鍵の生成方法の一例を示す第２図。 第１実施形態または第２実施形態の暗号通信システムにおける量子暗号通信網１３上の２ノード間のルートの第１形成例を示すシーケンスチャート。 第１実施形態または第２実施形態の暗号通信システムの経路管理サーバの一構成例を示すブロック図。 第１実施形態または第２実施形態の暗号通信システムにおける量子暗号通信網１３上の２ノード間のルートの第２形成例を示すシーケンスチャート。

以下、実施の形態について、図面を参照して説明する。
（第１実施形態）
まず、第１実施形態について説明する。

第１実施形態の暗号通信システムは、送信元ノードと送信先ノードとの間において、たとえばバーナム暗号の重ね合わせを用いた暗号鍵（以降、インターネット網で利用される暗号鍵を乱数鍵と記載する）の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵（共通鍵）を共有する。第１実施形態の暗号通信システムは、暗号通信を実行するユーザに対して、当該２つのノードから、共有化された暗号鍵を配送する。

これにより、不正な盗聴者により、あるルート上の中間ノードに侵入されて、乱数鍵の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、乱数鍵を復号することはできず、ユーザの通信の安全性を保つことができる。

図１は、第１実施形態の暗号通信システムの一構成例を示すブロック図である。第１実施形態の暗号通信システムは、インターネット網１４を介して暗号データ１７を送受信するユーザＡ１１（ユーザＡ１１の通信機器）とユーザＢ１２（ユーザＢ１２の通信機器）とに対して、量子暗号通信網１３を介して暗号通信のための乱数鍵（暗号鍵）１６を配送する。ユーザＡ１１は、暗号通信システムから配送される乱数鍵１６を使って平文データ１５を暗号化し、この暗号化によって生成された暗号データ１７をインターネット網１４でユーザＢ１２に送信する。ユーザＢ１２は、同じく暗号通信システムから配送される乱数鍵１６を使って、インターネット網１４経由でユーザＡ１１から受信した暗号データ１７を復号し、平文データ１５を取得する。つまり、第１実施形態の暗号通信システムは、暗号通信を実行するユーザに対して乱数鍵を配送するサービスを提供するプラットフォームである。

図１に示すように、第１実施形態の暗号通信システムは、量子暗号通信網（メッシュ）１３を備える。量子暗号通信網１３は、各々が量子鍵配送機能を有する複数のノードがメッシュ状に接続されている。なお、メッシュ状の接続と言っても、隣接するノード間がすべて接続されているとは限らない。一部の隣接するノード間は接続されていなくても構わない。量子鍵配送は、光子など量子の挙動を利用する技術であり、たとえば、光ファイバを媒体としてノード間で光子により暗号鍵情報を送受信することで暗号鍵を生成・共有する。なお、量子暗号通信網１３上において隣接する２つのノード間で量子鍵配送機能により生成・共有する暗号鍵は、ユーザに配送する乱数鍵１６ではなく、当該隣接する２つのノード間で暗号通信（量子暗号通信）を実行するための暗号鍵である。なお、乱数鍵１６は、末端ノードＣ１３１と隣接ノード間で生成・共有された乱数鍵から生成される場合もある。この暗号通信には、たとえば、暗号データだけでは解読不可能なＯＴＰ（ワンタイムパッド暗号）が使用される。

複数のノードの中には、ユーザＡ１１と接続されている末端ノードＣ１３１と、ユーザＢ１２と接続されている末端ノードＤ１３２と、末端ノードＣ１３１と末端ノードＤ１３２との間に形成されるルート上に介在する中間ノード１３３とが含まれている。なお、量子暗号通信網１３内の各ノードは、ユーザに対して乱数鍵１６を配送する末端ノードにもなり得るし、乱数鍵１６の生成に必須のデータ（後述する分割データ１８）を中継する中間ノードにもなり得る。

ユーザＡ１１は、ユーザＢ１２との間の暗号通信を開始する際、末端ノードＣ１３１に乱数鍵１６を要求する。なお、ユーザＡ１１の乱数鍵１６の要求は、末端ノードＣ１３１に対して直接的に行われるものでなくてもよい。たとえば、ユーザＡ１１は、乱数鍵１６の提供サービスを一元的に管理する不図示のサーバに対して乱数鍵１６を要求する。ユーザＡ１１からの要求を受けたサーバは、その要求を、ユーザＡ１１と接続されている末端ノードＣ１３１に伝達する。サーバに対する乱数鍵１６の要求には、通信相手の指定が含まれている。そしてたとえば、サーバは、ユーザＡ１１の通信相手であるユーザＢ１２と接続されている末端ノードＤ１３２に対して、末端ノードＣ１３１との間での乱数鍵１６の共有化および共有化した乱数鍵１６のユーザＢ１２への配送を指示する。またはその逆に末端ノードＣ１３１に対して、末端ノードＤ１３２との間での乱数鍵１６の共有化および共有化した乱数鍵１６のユーザＢ１２への配送を指示する。

末端ノードＣ１３１は、ユーザＡ１１からの乱数鍵１６の要求を受けると、乱数鍵１６の生成に必須のデータとして複数の分割データ１８を生成する。分割データと記載しているが乱数鍵１６のデータを単純に分割するという意味ではない。分割データ１８は、たとえば乱数鍵１６と同一長の乱数になる場合がある。つまり、この場合、複数の分割データ１８の生成とは、乱数鍵１６のデータ長をｘとした場合、乱数鍵１６をｎ等分してデータ長（ｘ／ｎ）の分割データ１８をｎ個生成することではなく、たとえば乱数鍵１６と同一長（ｘ）の分割データ１８をｎ個生成することである。なお、乱数を分割データ１８として生成することに代えて、量子鍵配送機能によって生成される量子鍵を分割データ１８として流用することとしてもよい。

なお、末端ノードＣ１３１からユーザＡ１１への乱数鍵１６の配送は、ユーザＡ１１がインターネット網で暗号通信を実行している間、継続的に行われる場合がある。従って、乱数鍵１６の生成に必須の分割データ１８の生成も、継続的に行われる。

また、末端ノードＣ１３１は、末端ノードＤ１３２との間に、複数の分割データ１８を別ルートに振り分けて転送するための複数のルートを形成する。末端ノードＣ１３１は、たとえば、末端ノードＤの情報を前述のサーバから取得する。量子暗号通信網１３上におけるルートの形成の詳細については後述する。たとえば、分割データ１８の生成数と、ルートの形成数とは同数である。

末端ノードＣ１３１は、複数の分割データ１８を、末端ノードＤ１３２を目的の送信先として、量子暗号通信網１３上において隣接する、それぞれが別のルートを構成する複数の中間ノード１３３へ転送（量子鍵配送）する。また、末端ノードＣ１３１は、複数の分割データ１８を排他的論理和などで重ね合わせて乱数鍵１６を生成し、生成した乱数鍵１６をユーザＡ１１へ配送する。

一方、末端ノードＤ１３２は、複数の中間ノード１３３から量子鍵配送された複数の分割データ１８を排他的論理和などで重ね合わせて乱数鍵１６を生成し、生成した乱数鍵１６をユーザＢ１２へ配送する。末端ノードＣ１３１で生成される乱数鍵１６と、末端ノードＤ１３２で生成される乱数鍵１６とは同一である。換言すれば、ユーザＡ１１とユーザＢとに配送される乱数鍵１６は、末端ノードＣ１３１と末端ノードＤ１３２との間で共有化された乱数鍵１６である。

中間ノード１３３は、末端ノードＣ１３１または別の中間ノード１３３から量子鍵配送された分割データ１８を、配送ルートに従って、次の中間ノード１３３あるいは末端ノードＤ１３２へ量子鍵配送する。なお、ルートの形成時など、末端ノードＤ１３２側から末端ノードＣ１３１側への逆方向のデータ中継が適宜行われる場合がある。

図２は、量子暗号通信網１３内のノードが末端ノード（１３１、１３２）の役割を担う場合における一機能構成例を示すブロック図である。

末端ノード１３１，１３２は、受信部２０１、乱数鍵分割データ生成部２０２、暗号鍵（乱数鍵）生成部２０３、量子鍵受信部２０４、量子鍵送信部２０５および送信部２０６のデータ処理機能部と、記憶部２０７のストレージ機能部とを備える。データ処理機能部は、プログラムをＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）が実行することによって実現されるものであってもよいし、たとえば電気回路といったハードウェアとして実現されるものであってもよい。ストレージ機能部は、ＨＤＤ（ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）やＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）といった様々なストレージ装置を適用することができる。

受信部２０１は、ユーザ（ユーザＡ１１、ユーザＢ１２）からの乱数鍵１６の要求を受信する。前述したように、この乱数鍵１６の要求は、たとえば、暗号鍵の提供サービスを一元的に管理するサーバ経由で送信されてくる。

乱数鍵分割データ生成部２０２は、乱数鍵１６の生成に必須のデータである複数の分割データ１８を生成する（末端ノードＣ１３１の場合）。前述したように、乱数を分割データ１８として生成することに代えて、量子鍵配送機能によって生成される量子鍵を分割データ１８として流用してもよい。つまり、乱数鍵分割データ生成部２０２は、量子鍵配送機能が担ってもよい。

暗号鍵（乱数鍵）生成部２０３は、乱数鍵分割データ生成部２０２が生成した複数の分割データ１８（末端ノードＣ１３１の場合）または量子鍵受信部２０４が受信した複数の分割データ１８（末端ノードＤ１３２の場合）を排他的論理和などで重ね合わせ、乱数鍵１６を生成する。

量子鍵受信部２０４は、それぞれが別のルートを構成する複数の中間ノード１３３から複数の分割データ１８を受信する（末端ノードＤ１３２の場合）。一方、量子鍵送信部２０５は、乱数鍵分割データ生成部２０２が生成した複数の分割データ１８を、それぞれが別のルートを構成する複数の中間ノード１３３へ転送（量子鍵配送）する（末端ノードＣ１３１の場合）。量子鍵受信部２０４および量子鍵送信部２０５は、量子鍵配送機能が担う。

送信部２０６は、受信部２０１が受信したユーザ（ユーザＡ１１、ユーザＢ１２）からの乱数鍵１６の要求に対して、暗号鍵生成部２０３が生成した乱数鍵１６を配送する。末端ノードＣ１３１または末端ノードＤ１３２と、ユーザＡ１１またはユーザＢ１２との間の通信は、何らかの機密保護対策が施されていることを前提とする。ここでは、その方法については問わない。

記憶部２０７は、分割データ１８や乱数鍵１６を含む各種データを記憶する。記憶部２０７は、中間ノード１３３との間で暗号通信を実行するための暗号鍵も記憶する。なお、この各種データは適時消去される。

図３は、量子暗号通信網１３内のノードが中間ノード１３３の役割を担う場合における一機能構成例を示すブロック図である。

中間ノード１３３は、受信部３０１、乱数生成部３０２、量子鍵受信部３０３、量子鍵送信部３０４および送信部３０５のデータ処理機能部と、記憶部３０６のストレージ機能部とを備える。データ処理機能部は、量子鍵配送機能が担い、プログラムをＣＰＵが実行することによって実現されるものであってもよいし、たとえば電気回路といったハードウェアとして実現されるものであってもよい。ストレージ機能部は、ＨＤＤやＳＳＤといった様々なストレージ装置を適用することができる。

受信部３０１は、末端ノードＣ１３１または別の中間ノード１３３から量子鍵配送の要求を受信する。乱数生成部３０２は、量子鍵配送に使用する乱数（量子暗号通信網の暗号鍵）を生成する。量子鍵受信部３０３は、別の中間ノード１３３から分割データ１８を受信する。量子鍵送信部３０４は、量子鍵受信部３０３が受信した分割データ１８を、中間ノード１３３または末端ノードＤ１３２へ量子鍵配送する。送信部３０５は、受信部３０１が受信した量子鍵配送の要求に対して、対応可否の情報を返す。記憶部３０６は、分割データ１８や乱数を含む各種データを記憶する。なお、この各種データは適時消去される。

図４は、第１実施形態の暗号通信システムが実行する暗号通信方法の処理手順を表すシーケンスチャートである。例として、分割データ１８を３つ生成し、異なる３つのルートで配送することを想定する。

ユーザＡ１１は、末端ノードＣ１３１に乱数鍵１６を要求し、末端ノードＣ１３１は、この要求を受信する（Ｓ１）。なお、この要求は、ユーザＡ１１と末端ノードＣ１３１との間で直接的に授受されるのではなく、乱数鍵１６の提供サービスを一元的に管理するサーバを介して授受される場合もある。

末端ノードＣ１３１は、１つ目の乱数鍵［１］（分割データ１８）を生成し、ルート１の１台目の中間ノード１３３へ量子鍵配送し、ルート１の１台目の中間ノード１３３は、この乱数鍵［１］を受信する（Ｓ２）。なお、乱数鍵の生成は、量子鍵配送機能による量子鍵の生成であってもよい。

ルート１の１台目の中間ノード１３３は、２台目の中間ノード１３３に乱数鍵［１］を量子鍵配送し、以降、Ｎ台目の中間ノード１３３まで、この乱数鍵［１］の量子鍵配送を繰り返す（Ｓ３）。

ルート１のＮ台目の中間ノード１３３は、末端ノード１３２に乱数鍵［１］を量子鍵配送する（Ｓ４）。

２つ目、３つ目の乱数鍵［２，３］も、１つ目の乱数鍵［１］と同様、末端ノードＣ１３１で生成後、ルート２，３のＮ台の中間ノード１３３を経由して、末端ノードＤ１３２に量子鍵配送する（Ｓ５～７、Ｓ８～１０）。

末端ノードＣ１３１は、生成した３つの乱数鍵［１，２，３］（分割データ１８）を排他的論理和で重ね合わせ、乱数鍵１６を生成する（Ｓ１１）。なお、重ね合わせは、排他的論理和の代わりに、または、排他的論理和と共に、多数存在する別の手法、たとえば加算や減算を使用してもよい。

末端ノードＣ１３１は、ステップＳ１における乱数鍵１６の要求に答えて、ユーザＡ１１に対して、生成した乱数鍵１６を配送する（Ｓ１２）。

末端ノードＣ１３１から乱数鍵１６を受け取ったユーザＡ１１は、その乱数鍵１６を用いて、バーナム暗号で平文データ１５を暗号化して暗号データ１７を生成する。そして、ユーザＡ１１は、平文データ１５を暗号化した暗号データ１７を、インターネット網１４を通じてユーザＢ１２へ配送する（Ｓ１３）。

一方、末端ノードＤ１３２は、ステップＳ４、ステップＳ７、ステップＳ１０でそれぞれ配送された３つの乱数鍵［１，２，３］（分割データ１８）を、ステップＳ１１と同一の手法で重ね合わせ、乱数鍵１６を生成する（Ｓ１４）。末端ノードＤ１３２は、ユーザＢ１２に対して、生成した乱数鍵１６を配送する（Ｓ１５）。

ユーザＢ１２は、ユーザＡ１１から配送された暗号データ１７を、末端ノードＤ１３２から配送された乱数鍵１６を用いて復号化し、平文データ１５を取得する（Ｓ１６）。

図５は、末端ノードＣ１３１における乱数鍵１６の生成方法と、ユーザＡ１１における平文データ１５の暗号化の一例を示す図である。

ここでは、生成した３つの乱数鍵（分割データ１８）を、それぞれ乱数鍵［１］、乱数鍵［２］、乱数鍵［３］とする。末端ノードＣ１３１において、
・乱数鍵［１］ ＸＯＲ 乱数鍵［２］ ＸＯＲ 乱数鍵［３］
を計算することで、乱数鍵１６を得る。

一方、ユーザＡ１１においては、
・乱数鍵１６ ＸＯＲ 平文データ１５
を計算することで、暗号データ１７を得る。

このように、第１実施形態の暗号通信システムは、複数の分割データ１８のバーナム暗号の重ね合わせで乱数鍵１６を生成しているため、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノード１３３に侵入し、分割データ１８の一部を窃取したとしても、ユーザＡ１１とユーザＢ１２とがインターネット網１４で通信する暗号データ１７の一部ですら復号化することはできない。

以上のように、第１実施形態の暗号通信システムにおいては、送信元ノードと送信先ノードとの間において、たとえばバーナム暗号の重ね合わせを前提として、乱数鍵１６の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵１６（共通鍵）を共有することにより、不正な盗聴者により、あるルート上の中間ノードに侵入されて、乱数鍵の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、乱数鍵を復号することはできず、ユーザの通信の安全性を保つことができる。

（第２実施形態）
次に、第２実施形態について説明する。

第２実施形態の暗号通信システムは、送信元ノードと送信先ノードとの間において、たとえば秘密分散法を用いて、乱数鍵の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵（インターネット網の暗号鍵）を共有化する。第２実施形態の暗号通信システムは、暗号通信を実行するユーザＡ１１やユーザＢ１２に対して、当該２つの末端ノード（末端ノードＣ１３１や末端ノードＤ１３２）から、共有化された暗号鍵を配送する。

これにより、不正な盗聴者により、あるルート上の中間ノードに侵入されて、乱数鍵１６の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、乱数鍵１６を復号することはできず、ユーザの通信の安全性を保つことができる。

図６は、第２実施形態の暗号通信システムの一構成例を示すブロック図である。前述した第１実施形態の暗号通信システムと同様、第２実施形態の暗号通信システムは、インターネット網１４を介して暗号データ１７を送受信するユーザＡ１１とユーザＢ１２とに対して、暗号通信のための乱数鍵１６を配送する。つまり、この第２実施形態の暗号通信システムも、暗号通信を実行するユーザに対して暗号鍵を配送するサービスを提供するプラットフォームである。第１実施形態の暗号通信システムとの違いは、第２実施形態の暗号通信システムでは、第１実施形態の暗号通信システムの分割データ１８（図１参照）が分散データ１９に置き換わっている点にある。

第２実施形態の暗号通信システムにおいては、末端ノードＣ１３１は、ユーザＡ１１からの乱数鍵１６の要求を受けると、乱数鍵１６の生成に必須のデータとして複数の分散データ１９を生成する。なお、分散データ１９は、必ずしも乱数鍵１６を秘密分散法により分散処理して生成したものではなく、単なる乱数であって、当該単なる乱数を、便宜的に、乱数鍵１６を秘密分散法により分散し生成したデータと見なすことも可能である。したがって、第１実施形態の暗号通信システムにおける分割データ１８と同様、分散データ１９は、量子鍵配送機能によって生成された量子鍵を流用したものであってもよい。また、第１実施形態の暗号通信システムと同様、分散データ１９の生成は、ユーザＡ１１が暗号通信を実行している間、継続的に行われても良い。

末端ノードＣ１３１は、複数の分散データ１９を、末端ノードＤ１３２を目的の送信先として、量子暗号通信網１３上において隣接する、それぞれが別のルートを構成する複数の中間ノード１３３へ転送（量子鍵配送）する。また、末端ノードＣ１３１は、分散データ１９が実際は秘密分散処理されていない単なる乱数であっても、排他的論理和などを用いる秘密分散法による復元処理を実行して、乱数鍵１６を取得する。なお、説明を簡単にするために、ここでは乱数鍵１６は復元処理後のデータとしているが、乱数鍵１６は、その復元処理後のデータに対して、何らかの加工処理したデータとしても良い。末端ノードＣ１３１は、生成した乱数鍵１６をユーザＡ１１へ配送する。

一方、末端ノードＤ１３２も、複数の中間ノード１３３から量子鍵配送された複数の分散データ１９を使って、排他的論理和などを用いる秘密分散法による復元処理を実行する。末端ノードＤ１３２は、この復元処理で得られたデータを基に乱数鍵１６を生成し、生成した乱数鍵１６をユーザＢ１２へ配送する。末端ノードＣ１３１で生成される乱数鍵１６と、末端ノードＤ１３２で生成される乱数鍵１６とは同一である。換言すれば、ユーザＡ１１とユーザＢとに配送される乱数鍵１６は、末端ノードＣ１３１と末端ノードＤ１３２との間で共有化された乱数鍵１６である。

図７は、第２実施形態の暗号通信システムにおいて、量子暗号通信網１３内のノードが末端ノード（１３１、１３２）の役割を担う場合における一機能構成例を示すブロック図である。

末端ノード１３１，１３２は、受信部７０１、乱数鍵分散データ生成部７０２、暗号鍵生成部７０３、量子鍵受信部７０４、量子鍵送信部７０５および送信部７０６のデータ処理機能部と、記憶部７０７のストレージ機能部とを備える。このうち、受信部７０１、量子鍵受信部７０４、量子鍵送信部７０５、送信部７０６および記憶部７０７は、第１実施形態の末端ノードＣ１３１，Ｄ１３２の受信部２０１、量子鍵受信部２０４、量子鍵送信部２０５、送信部２０６および記憶部２０７に対応するものである（図２参照）。乱数鍵分散データ生成部７０２は、第１実施形態の末端ノード１３１の乱数鍵分割データ生成部２０２と実質的に対応し、その名称を変更したものである。また、第１実施形態の末端ノード１３１の乱数鍵分割データ生成部２０２の生成物を分割データ１８と称するのに対して、乱数鍵分散データ生成部７０２の生成物を分散データ１９と称する。一方、暗号鍵生成部７０３は、第１実施形態の末端ノード１３１，１３２の暗号鍵生成部２０３と名称が同じではあるが、その実体は異なっている。従って、ここでは、暗号鍵生成部７０３についての説明のみ行い、その他についての説明は省略する。

暗号鍵生成部７０３は、乱数鍵分散データ生成部７０２が生成した複数の分散データ１９（末端ノードＣ１３１の場合）または量子鍵受信部２０４が受信した複数の分散データ１９（末端ノードＤ１３２の場合）を使って、排他的論理和などを用いる秘密分散法による復元処理を実行する。そして、暗号鍵生成部７０３は、この復元処理で得られたデータを基に乱数鍵１６を生成する。この秘密分散法による乱数鍵１６の生成の詳細については後述する。

なお、第２実施形態の暗号通信システムにおいても、量子暗号通信網１３内のノードが中間ノード１３３の役割を担う場合における機能構成については、第１実施形態の暗号通信システムと同様であるので、その説明を省略する。

図８は、第１実施形態の暗号通信システムが実行する暗号通信方法の処理手順を表すシーケンスチャートである。例として、分散データ１９を３つ生成し、異なる３つのルートで配送することを想定する。

ユーザＡ１１は、末端ノードＣ１３１に乱数鍵１６を要求し、末端ノードＣ１３１は、この要求を受信する（Ｓ１）。なお、この要求は、ユーザＡ１１と末端ノードＣ１３１との間で直接的に授受されるのではなく、乱数鍵１６の提供サービスを一元的に管理するサーバを介して授受される場合もある。

末端ノードＣ１３１は、１つ目の乱数鍵［１］（分散データ１９）を生成し、ルート１の１台目の中間ノード１３３へ量子鍵配送し、ルート１の１台目の中間ノード１３３は、この乱数鍵［１］を受信する（Ｓ２）。なお、乱数鍵の生成は、量子鍵配送機能による量子鍵の生成であってもよい。

ルート１の１台目の中間ノード１３３は、２台目の中間ノード１３３に乱数鍵［１］を量子鍵配送し、以降、Ｎ台目の中間ノード１３３まで、この乱数鍵［１］の量子鍵配送を繰り返す（Ｓ３）。

ルート１のＮ台目の中間ノード１３３は、末端ノード１３２に乱数鍵［１］を量子鍵配送する（Ｓ４）。

２つ目、３つ目の乱数鍵［２，３］も、１つ目の乱数鍵［１］と同様、末端ノードＣ１３１で生成後、ルート２，３のＮ台の中間ノード１３３を経由して、末端ノードＤ１３２に量子鍵配送する（Ｓ５～７、Ｓ８～１０）。

末端ノードＣ１３１は、生成した３つの乱数鍵［１，２，３］（分散データ１９）を使って、排他的論理和などを用いる秘密分散法による復元処理を実行する。末端ノードＣ１３１は、この復元で得られたデータを基に乱数鍵１６を生成し（Ｓ１１）、生成した乱数鍵１６をユーザＡ１１へ配送する（Ｓ１２）。秘密分散法による復元処理で得られたデータを基にした乱数鍵１６の生成とは、秘密情報（乱数鍵１６）を秘匿するために埋め込まれたダミー情報（使い捨ての物理乱数など）を取り除くことである。

末端ノードＣ１３１から乱数鍵１６を受け取ったユーザＡ１１は、その乱数鍵１６を用いて、バーナム暗号で平文データ１５を暗号化し、暗号データ１７を生成する。そして、ユーザＡ１１は、平文データ１５を暗号化した暗号データ１７を、インターネット網１４を通じてユーザＢ１２へ配送する（Ｓ１３）。

一方、末端ノードＤ１３２は、ステップＳ４、ステップＳ７、ステップＳ１０でそれぞれ配送された３つの乱数鍵［１，２，３］（分散データ１９）を使って、排他的論理和などを用いる秘密分散法による復元処理を実行する。末端ノードＤ１３２は、この復元で得られたデータを基に乱数鍵１６を生成し（Ｓ１４）、生成した乱数鍵１６をユーザＢ１２へ配送する（Ｓ１５）。

ユーザＢ１２は、ユーザＡ１１から配送された暗号データ１７を、末端ノードＤ１３２から配送された乱数鍵１６を用いて復号化し、平文データ１５を取得する（Ｓ１６）。

ここで、図９および図１０を参照して、第２実施形態の暗号通信システムでの末端ノードＣ１３１やＤ１３２による乱数鍵１６の生成方法について説明する。

図９は、第２実施形態の暗号通信システムにおける末端ノードＣ１３１による乱数鍵１６の生成方法の一例を示す第１図である。ここでは、分散数３、閾値３のランプ型秘密分散（この例は（閾値Ｋ＝３, Ｌ＝２, 分散数Ｎ＝３）のランプ型秘密分散）によって乱数鍵１６を生成する場合を一例として挙げる。このランプ型秘密分散の場合、３つの分散データ１９の中の１つが盗聴されても復元を行うことができない。また、ここでは、乱数（ダミーデータ、つまり使い捨てる物理乱数）と平文（ここでは共通鍵、つまり乱数鍵１６として利用する物理乱数）との割合が「１：２」であることを想定する。ランプ型とは、乱数と平文との割合を変更可能としたものであり、乱数と平文との割合が「（閾値－１）：１」の場合、特に、完全秘密分散と称される。

末端ノードＣ１３１に、まず、ある物理乱数があったと仮定する。そして、末端ノードＣ１３１は、その物理乱数を元データとして考えて、閾値３のランプ型秘密分散による分散処理を実施したと仮定する。そして、末端ノードＣ１３１は、任意に生成した乱数（乱数鍵[１], 乱数鍵[２], 乱数鍵[３] ）を、この分散で得られたものであると見なす。つまり、末端ノードＣ１３１は、実際には、ここでは秘密分散による分散データ１９の生成を実施していない。したがって、分散データ１９は、量子鍵配送機能によって生成された量子鍵を流用したものとすることも可能で、物理乱数生成の効率がよくなる。このように本発明は、単純な秘密分散を利用したデータ転送にはない特徴を有する。なお、ここで任意に生成した乱数（乱数鍵[１], 乱数鍵[２], 乱数鍵[３] ）を秘密分散法による分散処理して分散データ１９を生成するものとしても良いが、しかし、この場合、末端ノードＣ１３１では、量子鍵配送機能によって生成された量子鍵（物理乱数）とは別に、元データとなるための物理乱数も余計に生成しなくてはならず、物理乱数生成の効率が悪くなる。

閾値３のランプ型秘密分散の分散処理について、より詳しく説明すると、まず、元データを閾値の数に振り分ける。たとえば、元データが「１～１５」であるとすると、「１，４，７，１０，１３」と、「２，５，８，１１，１４」と、「３，６，９，１２，１５」とに振り分ける。図９では、振り分け後の各グループを行で表している。

続いて、３つの分散データを生成するにあたり、分散（２）については２行目を１列分ずらし、分散（３）については３行目を１列分ずらした上で、分散（１）～分散（３）のそれぞれについて、たとえば排他的論理和による畳み込みを実行する。なお、この畳み込みは、排他的論理和に限らず、多項式による計算であってもよいし、加算や減算などであってもよい。

末端ノードＣ１３１は、乱数を生成すると、この乱数を、以上の手順（閾値３のランプ型秘密分散による分散処理）で得られた分散データであるものと見なす。つまり、末端ノードＣ１３１は複数の乱数列（乱数鍵[１], 乱数鍵[２], 乱数鍵[３]）を生成し、それぞれの乱数列を分散データであるものと見なす。末端ノードＣ１３１は、この乱数（分散データ１９）を乱数列毎に別ルートに振り分けて末端ノードＤ１３２に転送する。

図１０は、第２実施形態の暗号通信システムにおける末端ノードＣ１３１による乱数鍵１６の生成方法の一例を示す第２図である。

末端ノードＣ１３１は、３つの分散データ１９（実際には、単なる乱数）を使って、分散数３、閾値３のランプ型秘密分散（この例は（閾値Ｋ＝３, Ｌ＝２, 分散数Ｎ＝３）のランプ型秘密分散）による復元処理を実行する（図１０の「計算」）。この復元によって、前述の、仮定上の物理乱数の元データ「１～１５」が得られる。

なお、秘密分散法による分散処理を実施せずに、このように復元処理を実施すると一部の分散データの一部レイヤ（行）のデータ（元データ）は、不整合（すべての分散データを元データに復元した場合、いくつかの分散データで元データが一致しない）を起こす。不整合を起こさないためには、一部の分散データに別の乱数（ｘ１～ｘ５）が排他的論理和されていると見なせば良い。これは末端ノードＣ１３１と末端ノードＤ１３２との間で事前共有されていたものと考えれば良い。なお、末端ノードＣ１３１と末端ノードＤ１３２との間でどの分散データから元データを生成するのかを事前、または動的に決定すれば、少なくとも末端ノードＣ１３１と末端ノードＤ１３２とで生成する元データは一致するので、この不整合は問題にならない。なお、一部不整合はあるものの、物理乱数（乱数鍵[１], 乱数鍵[２], 乱数鍵[３]）を分散データと見なして、秘密分散法による復元処理を実施しているので、安全性は十分に確保される

ここでは、乱数と平文との割合が「１：２」であることを想定しているので、末端ノードＣ１３１は、復元された元データ「１～１５」の中から、たとえば、「１，４，７，１０，１３」（あらかじめ定められた１行分）をダミーデータ（使い捨てる物理乱数）として取り除き、「２，３，５，６，８，９，１１，１２，１４，１５」（あらかじめ定められた２行分）を抜き出すことにより、ユーザＡ１１に配送する乱数鍵１６を生成する。

完全秘密分散の場合には、乱数と平文との割合が「閾値－１：１」（「２：１」）であるので、末端ノードＣ１３１は、たとえば、「１，２，４，５，７，８，１０，１１，１３、１４」（あらかじめ定められた２行分）をダミーデータ（使い捨てる物理乱数）として取り除き、「３，６，９，１２，１５」（あらかじめ定められた１行分）を抜き出すことにより、ユーザＡ１１に配送する乱数鍵１６を生成する。

一方、末端ノードＣ１３１から分散データ１９を受け取った末端ノードＤ１３２においても、末端ノードＣ１３１と同じ計算を行って、ユーザＢ１２に配送する乱数鍵１６を生成する。末端ノードＣ１３１で生成される乱数鍵１６と、末端ノードＤ１３２で生成される乱数鍵１６とは同一である。換言すれば、ユーザＡ１１とユーザＢとに配送される乱数鍵１６は、末端ノードＣ１３１と末端ノードＤ１３２との間で共有化された乱数鍵１６である。

第１実施形態の暗号通信システムでは、ｎ個の乱数（分割データ１８）を使ってｎ×（１／３）個の乱数鍵１６を生成するのに対して、第２実施形態の暗号通信システムでは、たとえば乱数と平文との割合が「１：２」である場合、ｎ個の乱数（分散データ１９）を使って、ｎ×（２／３）個の乱数鍵１６を生成するので、乱数の消費量を低減できる。したがって、この例では通信レートも２倍に向上する。なお、乱数と平文との割合が「閾値－１：１」の完全秘密分散である場合、ｎ×（１／３）個の乱数鍵１６が生成されることになる。つまり、第１実施形態の暗号通信システムにおける重ね合わせと乱数の消費量は同じとなる。

図１１は、ユーザＡ１１における平文データ１５の暗号化の一例を示す図である。
第１実施形態の暗号通信システムの場合と同様、第２実施形態の暗号通信システムにおいても、ユーザＡ１１は、
・乱数鍵１６ ＸＯＲ 平文データ１５
を計算することで、暗号データ１７を得る。

このように、第２実施形態の暗号通信システムは、ランプ型秘密分散法で分散したものと見なした複数の分散データ１９（実際は、単なる乱数）を配送することで、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノードに侵入し、分散データ１９の一部を窃取したとしても、乱数鍵１６の情報は漏洩しない。したがって、ユーザＡ１１とユーザＢ１２とがインターネット網１４で通信する暗号データ１７の一部ですら復号化することはできない。

以上のように、第２実施形態の暗号通信システムにおいては、送信元ノードと送信先ノードとの間において、秘密分散法による復元処理を前提として、乱数鍵１６の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵１６（共通鍵）を共有することにより、不正な盗聴者により、あるルート上の中間ノードに侵入されて、暗号鍵の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、暗号鍵を復号することはできず、ユーザの通信の安全性を保つことができる。またここでは分散数は閾値と同じ３の例で説明したが、分散数を分散数＝閾値＋α（α＝１,２,３・・・）とすれば、（分散数―閾値）個の分散データは消失しても乱数鍵１６は生成できるので、いくつかの中間ノード１３３に動作不良が発生しても、末端ノードＣ１３１と末端ノードＤ１３２は問題なく乱数鍵１６を共有できる。

ところで、以上の説明では、ある元データの存在を仮定して、分散数３、閾値３のランプ型秘密分散による復元を実行し、乱数と平文との割合が「１：２」であるならば、復元によって得られるデータの中から（３行分中の）１行分を乱数（ダミーデータ）として取り除き、２行分のデータを乱数鍵１６として使用した。ここで、情報理論的安全性をあきらめれば、復元によって得たデータのすべてを平文（乱数鍵１６）として使用することもできるし、あるいは、１行分のすべてではなく、その行の一部のみを乱数とすることもできる。この場合においても、情報理論的安全性は確保できないものの、元データを得るための演算子の組み合わせは膨大であり、ユーザの暗号通信の安全性は十分に確保できる。そして、この場合には、乱数の消費量を大幅に削減することができる。したがって、転送レートもそれに伴い向上する。

閾値２とした場合、情報理論的安全性を確保するためには、乱数と平文との割合は「１：１」とするしかないが、前述のように、情報理論的安全性をあきらめれば、復元によって得たデータのすべてを平文として使用することもできるし、あるいは、（２行分中の）１行分のすべてではなく、その行の一部のみを乱数とすることもできる。この場合においても、情報理論的安全性は確保できないものの、元データを得るための演算子の組み合わせは膨大であり、ユーザの暗号通信の安全性は十分に確保できる。よって、乱数の消費量を大幅に削減することができる。なお、ここでは説明を簡単にするために、図９、および図１０の秘密分散方式で説明したが、利用できる秘密分散方式はこれに限られるものではなく、例えば他の排他的論理和により秘密分散方式や多項式による秘密分散方式なども利用可能である。

図１２および図１３を参照して、閾値２の秘密分散による乱数鍵１６の生成方法について説明する。図１２は、閾値２、分散数３の秘密分散による乱数鍵１６の生成方法の一例を示す第１図である。
末端ノードＣ１３１に、まず、ある物理乱数があったと仮定する。また、末端ノードＣ１３１は、それを元データとして考えて、閾値２の秘密分散法による分散処理が実施したものと仮定する。末端ノードＣ１３１は、任意に生成した乱数（乱数鍵[１], 乱数鍵[２], 乱数鍵[３]）を、この分散処理で得られたものであると見なす。つまり、前述したように、末端ノードＣ１３１は、実際には、秘密分散による分散データ１９の生成は実施しない。このように本発明は、単純な秘密分散を利用したデータ転送にはない特徴を有する。前述したように、ここで実際に秘密分散処理を実施するとしても良いが、その場合、物理乱数生成の効率は悪くなる。

閾値２の秘密分散について、より詳しく説明すると、まず、元データを閾値の数に振り分ける。たとえば、元データが「１～１４」であるとすると、「１，３，５，７，９，１１，１３」と、「２，４，６，８，１０，１２，１４」とに振り分ける。図１２では、振り分け後の各グループを行で表している。

続いて、３つの分散データを生成するにあたり、分散（２）については２行目を１列分ずらし、分散（３）については２行目を２列分ずらした上で、分散（１）～分散（３）のそれぞれについて、たとえば排他的論理和による畳み込みを実行する。なお、この畳み込みは、排他的論理和に限らず、多項式による計算であってもよいし、加算や減算などであってもよい。

末端ノードＣ１３１は、乱数を生成すると、この乱数を、以上の手順（閾値２の秘密分散）で得られた分散データであるものと見なす。末端ノードＣ１３１は、この乱数（分散データ１９）を乱数列毎（乱数鍵[１], 乱数鍵[２], 乱数鍵[３]）に別ルートに振り分けて末端ノードＤ１３２に転送する。

図１３は、閾値２の秘密分散による乱数鍵１６の生成方法（復元処理）の一例を示す第２図である。

末端ノードＣ１３１は、３つの分散データ１９（実際には、単なる乱数）を使って、分散数３、閾値２の秘密分散による復元を実行する（図１３の「計算」）。この復元によって、前述の、仮定上の物理乱数の元データ「１～１４」が得られる。

なお、閾値２、分散数２のランプ型秘密分散の場合、復元で不整合は発生しないが、閾値２、分散数２＋α（α＝１，２，３，…）の秘密分散の場合、前述の、分散数３、閾値３のランプ型秘密分散の場合と同様、復元すると、一部の分散データの一部レイヤのデータが不整合を起こす。そこで、前述の、分散数３、閾値３のランプ型秘密分散の場合と同様、事前共有された別の乱数が重ねられていると見なす。
閾値２の秘密分散による乱数鍵１６の生成によっても、第２実施形態の暗号通信システムは、秘密分散で分散したものと見なした複数の分散データ１９（実際は、単なる乱数）を配送することで、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノードに侵入し、分散データ１９の一部を窃取したとしても、ユーザＡ１１とユーザＢ１２とがインターネット網１４で通信する暗号データ１７の一部ですら復号化することはできない。またこの例は閾値２、分散数３なので、（分散数―閾値）＝１個の分散データは消失しても乱数鍵１６は生成できるので、中間ノード１３３の１つのルートに動作不良が発生しても、末端ノードＣ１３１と末端ノードＤ１３２は問題なく乱数鍵１６を共有できる。なお、ここでは説明を簡単にするために、図１２、および図１３の秘密分散方式で説明したが、利用できる秘密分散方式はこれに限られるものではなく、例えば他の排他的論理和により秘密分散方式や多項式による秘密分散方式なども利用可能である。

（ルート形成［１］）
第１実施形態の暗号通信システムでは、分割データ１８を送受信するための複数のルートを末端ノードＣ１３１と末端ノード１３２との間に形成する。また、第２実施形態の暗号通信システムでは、分散データ１９を送受信するための複数のルートを末端ノードＣ１３１と末端ノード１３２との間に形成する。

ここで、図１４を参照して、末端ノードＣ１３１と末端ノードＤ１３２との間の複数のルートを量子暗号通信網１３上に形成する第１例について説明する。第１例は、量子暗号通信網１３内の各ノードが自律的に動作して複数のルートを生成する、いわゆるダイナミックリンクである。ダイナミックリンクによる経路探索によれば、末端ノード１３１，１３２間の通信中に中間ノード１３３の障害があった場合、障害ノードを避けて通信する迂回経路を選択することが可能になる。

末端ノードＣ１３１は、末端ノードＤ１３２へのリンクを、ルート１の１台目の中間ノードに要求する（Ｓ１）。ルート１の１台目の中間ノードは、隣接する中間ノードに対して経路を探索し、ルート１の２台目の中間ノードを決定し、リンクを要求する（Ｓ２）。経路探索の際、宛先である末端ノードＤ１３２が隣接している場合は、末端ノードＤ１３２へリンクを要求する。２台目以降Ｎ台目まで経路探索とリンクを繰り返し、宛先である末端ノードＤ１３２へリンクを要求できるまで繰り返す（Ｓ３～Ｓ４）。中間ノード１３３からリンク要求を受けた末端ノードＤ１３２は、末端ノードＣ１３１へリンク完了通知を送信する（Ｓ５）。

末端ノードＣ１３１は、末端ノードＤ１３２へのリンクを、ルート２の１台目の中間ノードに要求し、ルート１と同様の処理を行う（Ｓ６～Ｓ１０）。これを乱数鍵の分割データ１６の数分、あるいは、乱数鍵の分散データ１８の数分繰り返し、すべてのデータの配送ルートを決定する。

これにより、量子暗号通信網１３上に、末端ノードＣ１３１と末端ノードＤ１３２との間のルートが目的の数分形成されることになる。前述したように、ダイナミックリンクによる経路探索によれば、末端ノード１３１，１３２間の通信中に中間ノード１３３の障害があった場合、障害ノードを避けて通信する迂回経路を選択することが可能になる。

なお、各中間ノード１３３は、ある中間ノード１３３から末端ノードＤ１３２を相手先とする指定を含む接続（リンク）の要求を受けた後、別のある中間ノード１３３からも末端ノードＤ１３２を相手先とする指定を含む接続（リンク）の要求を受けた場合、当該別のある中間ノード１３３からの要求に対して、拒否の回答を行うことが好ましい。これにより、１つの中間ノード１３３が複数のルート上に介在することを回避できる。換言すれば、ある１つの中間ノード１３３への攻撃により、複数の分割データ１８または分散データ１９が窃取されることを防止できる。

（ルート形成［２］）
続いて、末端ノードＣ１３１と末端ノードＤ１３２との間の複数のルートを量子暗号通信網１３上に形成する第２例について説明する。第２例は、量子暗号通信網１３上に形成され得るルートを管理する経路管理サーバの管理の下、複数のルートを生成する、いわゆるスタティックリンクである。経路情報を経路管理サーバで一元管理することで、適切なルートを提供することができるほか、通信前に障害ノードの有無を確認し、障害ノードを含まない経路を選択することができる。

図１５は、経路管理サーバの一構成例を示すブロック図である。経路管理サーバは、受信部１５０１と、情報管理部１５０２と、経路計算部１５０３と、送信部１５０４と、記憶部１５０５とを備える。

受信部１５０１は、末端ノードＤ１３１から、リンクの確立要求を受信する。また、受信部１５０１は、たとえば量子暗号通信網１３上においてノードの増設や移動が発生した場合、オペレータにＧＵＩ（Ｇｒａｐｈｉｃａｌ Ｕｓｅｒ Ｉｎｔｅｒｆａｃｅ）を提供するプログラムなどから経路情報の更新要求を受信する。

情報管理部１５０２は、受信部１５０１が経路情報の更新要求を受信した際に、記憶部１５０５の経路情報を更新する。

経路計算部１５０３は、受信部１５０１がリンクの確立要求を受信した際に、記憶部１５０５の経路情報を元に、経路を計算する。経路の計算アルゴリズムは、たとえばラウンドロビン方式やリーストコネクション方式が使用されてよい。

送信部１５０４は、情報管理部１５０２の処理結果を要求元へ送信する。また、経路計算部１５０３の処理結果として、中間ノード１３３や末端ノード１３１，１３２へリンク先指示を送信し、接続ノードの情報を含むリンク完了通知を要求元へ送信する。

記憶部１５０５は、たとえば、ユーザＡ１１，Ｂ１２を含む全ユーザに関連する経路情報として、中間ノード１３３や末端ノード１３１，１３２の情報を記憶する。

図１６は、末端ノードＣ１３１と末端ノードＤ１３２との間の複数のルートを量子暗号通信網１３上に形成する第２例を示すシーケンスチャートである。

末端ノードＣ１３１は、宛先とルート数を含むリンクの確立要求を経路管理サーバに送信する（Ｓ１）。経路管理サーバは、要求内の情報と経路情報を元に経路を計算し、接続先ノードの情報を含むリンク完了通知を末端ノードＣ１３１へ送信する。また、経路管理サーバは、計算したルートに含まれるすべての中間ノード１３３や末端ノード１３２に対して、ルートを構成するためのリンク先指示を送信する（Ｓ３～Ｓ９）。

なお、経路管理サーバは、１つの中間ノード１３３が複数のルート上に介在することがないようにルートを選択する。

これにより、量子暗号通信網１３上に、末端ノードＣ１３１と末端ノードＤ１３２との間のルートが目的の数分形成されることになる。前述したように、経路情報を経路管理サーバで一元管理することで、適切なルートを提供することができるほか、通信前に障害ノードの有無を確認し、障害ノードを含まない経路を選択することが可能になる。また、１つの中間ノード１３３が複数のルート上に介在することは回避され、ある１つの中間ノード１３３への攻撃により、複数の分割データ１８または分散データ１９が窃取されることを防止できる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１１…ユーザＡ、１２…ユーザＢ、１３…量子暗号通信網、１４…インターネット網、１５…平文データ、１６…・乱数鍵、１７…暗号データ、１８…分割データ、１９…分散データ、１３１…末端ノードＣ、１３２…末端ノードＤ、１３３…中間ノード、２０１…受信部、２０２…乱数鍵分割データ生成部、２０３…暗号鍵生成部、２０４…量子鍵受信部、２０５…量子鍵送信部、２０６…送信部、２０７…記憶部、３０１…受信部、３０２…乱数生成部、３０３…量子鍵受信部、３０４…量子鍵送信部、３０５…送信部、３０６…記憶部、７０１…受信部、７０２…乱数鍵分散データ生成部、７０３…暗号鍵生成部、７０４…量子鍵受信部、７０５…量子鍵送信部、７０６…送信部、１５０１…受信部、１５０２…情報管理部、１５０３…経路計算部、１５０４…送信部、１５０５…記憶部。

Claims (14)

1. 暗号通信を実行する第１ユーザと第２ユーザとに対して暗号鍵を配送するシステムであって、複数のノードでネットワークを構成し、前記複数のノードの中の、前記第１ユーザへ前記暗号鍵を配送する第１ノードと、前記第２ユーザへ前記暗号鍵を配送する第２ノードとの間で前記暗号鍵を共有化する暗号通信システムにおいて、
   前記第１ノードは、
   前記第２ノードとの間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成し、
   ｎ個の第１データを生成し、
   前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記第２ノードへ送信し、
   前記ｎ個の第１データを重ね合わせて前記暗号鍵を生成し、
   前記第２ノードは、
   前記ｎ系統の経路を介して前記第１ノードから前記ｎ個の第１データを受信し、
   前記ｎ個の第１データを重ね合わせて前記暗号鍵を生成する、
   暗号通信システム。
2. 前記ｎ個の第１データを重ね合わせることは、前記ｎ個の第１データの排他的論理和を算出することである請求項１に記載の暗号通信システム。
3. 暗号通信を実行する第１ユーザと第２ユーザとに対して暗号鍵を配送するシステムであって、複数のノードでネットワークを構成し、前記複数のノードの中の、前記第１ユーザへ前記暗号鍵を配送する第１ノードと、前記第２ユーザへ前記暗号鍵を配送する第２ノードとの間で前記暗号鍵を共有化する暗号通信システムにおいて、
   前記第１ノードは、
   前記第２ノードとの間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成し、
   ｎ個の第１データを生成し、
   前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記第２ノードへ送信し、
   前記ｎ個の第１データを分散データと見なした秘密分散法の復元によって得られる第２データを基に前記暗号鍵を生成し、
   前記第２ノードは、
   前記ｎ系統の経路を介して前記第１ノードから前記ｎ個の第１データを受信し、
   前記ｎ個の第１データを分散データと見なした秘密分散法の復元によって得られる第２データを基に前記暗号鍵を生成する、
   暗号通信システム。
4. 前記秘密分散法は、完全秘密分散法を含むランプ型秘密分散法である請求項３に記載の暗号通信システム。
5. 前記複数のノードのそれぞれは、前記ネットワーク上において隣接する全ノードの中から前記経路の形成に適したノードを探索する機能を有し、
   前記第１ノードは、前記暗号鍵の配送開始時、前記ネットワーク上において隣接するｎ個の第３ノードに対して前記経路を形成するための接続を要求し、
   前記第２ノードは、前記経路を形成するための接続を要求する前記ネットワーク上において隣接する第４ノードと接続した場合、前記第４ノードを含んで形成される前記経路を介して前記経路の形成の完了を前記第１ノードへ通知する、
   請求項１または３に記載の暗号通信システム。
6. 前記ネットワーク上に形成され得る経路を管理する経路管理サーバを具備し、
   前記第１ノードは、前記暗号鍵の配送開始時、前記第２ノードとの間のｎ系統分の経路の形成を前記経路管理サーバに対して要求する、
   請求項１または３に記載の暗号通信システム。
7. 前記ｎ系統の経路は、前記ｎ系統の経路の中の複数の経路に同一のノードが重複して適用されないように形成される請求項１または３に記載の暗号通信システム。
8. 前記ネットワークは、前記複数のノード間が光ファイバで接続される構成を有し、
   前記複数のノードのそれぞれは、前記ネットワーク上において隣接するノードとの間で前記光ファイバを媒体として光子によりデータを送受信する、
   請求項１または３に記載の暗号通信システム。
9. 暗号通信を実行する２ユーザのうちの一方のユーザに対して暗号鍵を配送する暗号通信装置であって、他方のユーザに対して前記暗号鍵を配送する他の暗号通信装置との間でネットワークを介して前記暗号鍵を共有化する暗号通信装置において、
   前記他の暗号通信装置との間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成する手段と、
   ｎ個の第１データを生成する手段と、
   前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記他の暗号通信装置へ送信する手段と、
   前記ｎ個の第１データを重ね合わせて前記暗号鍵を生成する手段と、
   を具備する暗号通信装置。
10. 前記ｎ系統の経路を介して前記他の暗号通信装置からｎ個の第１データを受信する手段をさらに具備する請求項９に記載の暗号通信装置。
11. 暗号通信を実行する２ユーザのうちの一方のユーザに対して暗号鍵を配送する暗号通信装置であって、他方のユーザに対して前記暗号鍵を配送する他の暗号通信装置との間でネットワークを介して前記暗号鍵を共有化する暗号通信装置において、
    前記他の暗号通信装置との間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成する手段と、
    ｎ個の第１データを生成する手段と、
    前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記他の暗号通信装置へ送信する手段と、
    前記ｎ個の第１データを分散データと見なした秘密分散法の復元によって得られる第２データを基に前記暗号鍵を生成する手段と、
    を具備する暗号通信装置。
12. 前記ｎ系統の経路を介して前記他の暗号通信装置からｎ個の第１データを受信する手段をさらに具備する請求項１１に記載の暗号通信装置。
13. 暗号通信を実行する第１ユーザと第２ユーザとに対して暗号鍵を配送するシステムであって、複数のノードでネットワークを構成し、前記複数のノードの中の、前記第１ユーザへ前記暗号鍵を配送する第１ノードと、前記第２ユーザへ前記暗号鍵を配送する第２ノードとの間で前記暗号鍵を共有化する暗号通信システムの暗号通信方法において、
    前記第１ノードは、
    前記第２ノードとの間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成し、
    ｎ個の第１データを生成し、
    前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記第２ノードへ送信し、
    前記ｎ個の第１データを重ね合わせて前記暗号鍵を生成し、
    前記第２ノードは、
    前記ｎ系統の経路を介して前記第１ノードから前記ｎ個の第１データを受信し、
    前記ｎ個の第１データを重ね合わせて前記暗号鍵を生成する、
    暗号通信方法。
14. 暗号通信を実行する第１ユーザと第２ユーザとに対して暗号鍵を配送するシステムであって、複数のノードでネットワークを構成し、前記複数のノードの中の、前記第１ユーザへ前記暗号鍵を配送する第１ノードと、前記第２ユーザへ前記暗号鍵を配送する第２ノードとの間で前記暗号鍵を共有化する暗号通信システムの暗号通信方法において、
    前記第１ノードは、
    前記第２ノードとの間の経路について、前記ネットワーク上にｎ（ｎ＞１）系統分を形成し、
    ｎ個の第１データを生成し、
    前記ｎ個の第１データを前記ｎ系統の経路に振り分けて前記第２ノードへ送信し、
    前記ｎ個の第１データを分散データと見なした秘密分散法の復元によって得られる第２データを基に前記暗号鍵を生成し、
    前記第２ノードは、
    前記ｎ系統の経路を介して前記第１ノードから前記ｎ個の第１データを受信し、
    前記ｎ個の第１データを分散データと見なした秘密分散法の復元によって得られる第２データを基に前記暗号鍵を生成する、
    暗号通信方法。

Images