JP2023150921A - ネットワーク制御装置 - Google Patents

Abstract

【課題】秘匿通信網を利用する複数のユーザがメッセージの共有を効率的に行うことができるようにする。【解決手段】複数のユーザノードと、ハブノードと、前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクとを備えたネットワークにおけるネットワーク制御装置１００は、第１指示部１１０と第２指示部１２０とを備える。第１指示部は、各ユーザノードに対し当該ユーザノードが保有するメッセージを、リンクに割り当てられた鍵により暗号化してなる暗号文を前記ハブノードへ送信するよう指示し、前記第２指示部は、前記ハブノードに、前記複数のユーザノードから受信した複数の前記暗号文を前記鍵により復号し、取得された複数の前記メッセージのうち、２つ以上の前記メッセージの組み合わせを定め、前記組み合わせに係るメッセージの排他的論理和を計算し排他的論理和を各ユーザノードへ送信するよう指示する。【選択図】図１２

Description

本発明はネットワーク制御装置に関する。

クラウドサービスや高速移動通信技術の進展により、インターネットの通信トラフィックは急速な増大を続けている。大容量の光ファイバーをはじめとするネットワーク設備の増強も進んでいるが、端末数や新たなサービス・アプリケーションは今後も増加の一途をたどると予想されることから、現在の延長線上でのインフラ強化では間に合わず、通信の方法そのものをより効率的なものへ変える必要がある。
また、機密性の高い情報の量も増えていることから、情報セキュリティの確保がますます求められている。通信効率の改善とともに、正規ユーザ以外の第３者への情報漏洩や不正なデータ改竄を防ぐ仕組みも求められる。

ネットワーク上で効率よくマルチキャスト通信を行う方法として、中継ノードに集まった複数の情報を合成して別の情報に変換（符号化）してから転送する、いわゆるネットワーク符号化が知られている（非特許文献１及び２）。ネットワーク符号化は、通信トラフィックの急増を支える新たな技術として実用化が始まりつつある（非特許文献３）。
さらに、通信の安全性を確保する手法として、ネットワーク符号化に乱数による秘匿化を組み合わせたセキュアネットワーク符号化（非特許文献４～６）という技術の研究開発も進展している。
また、量子力学の原理を用いて完全秘匿通信を実現する手法として、量子鍵配送（Quantum Key Distribution, ＱＫＤ）及びＱＫＤで生成した鍵（対称的な秘密乱数列の対）をワンタイムパッドで用いる量子暗号がある。近年、量子暗号を用いた多地点間での秘匿通信や秘密分散保管などの暗号アプリケーションを提供するための量子暗号通信ネットワークの実用化が始まっている（非特許文献７～９）。

R. Ahlswede, N. Cai, S.-Y. R. Li, and R. W. Yeung, "Network information flow," IEEE Trans. Inf. Theory, vol. 46, no. 4, pp. 1204-1216, Jul. 2000. S.-Y. R. Li, R. W. Yeung, and N. Cai, "Linear network coding," IEEE Trans. Inf. Theory, vol. 49, no. 2, pp. 371-381, Feb. 2003. S. Katti, H. Rahul, W. Hu, D. Katabi, M. Medard, J. Crowcroft, "XORs in The Air: Practical Wireless Network Coding,"SIGCOMM’06, September 11-15, 2006, Pisa, Italy. N. Cai and R. W. Yeung, "Secure network coding," in Proc. IEEE Int. Symp. Inf. Theory, Lausanne, Switzerland, Jun. 30-Jul. 5, 2002, p. 323. D. Silva and F. R. Kschischang, "Universal secure network coding via rank-metric codes," IEEE Trans. Inf. Theory, vol. 57, no.2, pp.1124-1135 (2011). H. Yao, D. Silva, S. Jaggi, and M. Langberg, "Network Codes Resilient to Jamming and Eavesdropping," IEEE/ACM Trans. Networking, vol. 22, no. 6, pp.1978-1987 (2014). M. Peev, et al., New J. Phys. 11, 075001, 2009. M. Sasaki, et al., Opt. Express 19, pp. 10387-10409, 2011. Y. L. Tang, et al., Phys. Rev. X 6(1) 011024, 2016.

量子暗号通信ネットワークなどの秘匿通信網における秘密乱数列は貴重な鍵資源である。秘匿通信網を利用する複数のユーザがマルチキャストによりメッセージの共有を行う場合、メッセージのワンタイムパッド化や事前のグループ鍵の共有のために多くの鍵が消費される。ユーザ数が増えると、鍵の消費量が急激に増加するため、秘密乱数列の生成が追い付かず、秘匿通信サービスの提供能力を制限してしまうという問題がある。

本発明は、このような状況に鑑みてなされたものであって、秘匿通信網を利用する複数のユーザがメッセージの共有を効率的に行うことができるようにすることを目的とする。

上記目的を達成するために、複数のユーザノードと、ハブノードと、前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクとを備えたネットワークにおけるネットワーク制御装置は、前記ユーザノードに指示を行う第１指示部と、前記ハブノードに指示を行う第２指示部とを備える。前記第１指示部は、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを、当該ユーザノードと前記ハブノードとを接続する前記リンクに割り当てられた鍵により暗号化してなる暗号文を前記ハブノードへ送信するステップを行うよう指示する。前記第２指示部は、前記ハブノードに対し、前記複数のユーザノードから受信した複数の前記暗号文を前記鍵により復号し複数の前記メッセージを取得するステップと、取得された複数の前記メッセージのうち、２つ以上の前記メッセージの組み合わせを所定のルールに基づいて定め、前記組み合わせに係る前記２つ以上の前記メッセージの排他的論理和を計算するステップと、前記排他的論理和を前記複数のユーザノードの各々へ送信するステップとを行うよう指示する。前記第１指示部はさらに、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを用いて前記排他的論理和を復号するステップを行うよう指示する。

本発明によれば、秘匿通信網を利用する複数のユーザがメッセージの共有を効率的に行うことができるようになる。

量子暗号通信ネットワークを示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の検討例を示す説明図である。 同検討例において消費される鍵を示す説明図である。 （Ａ）～（Ｆ）はいずれも、６つのユーザノードを有するネットワークにおけるマルチキャスト配信の検討例を示す説明図である。（Ｇ）は同検討例において消費される鍵を示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の第１の例を示す説明図である。 （Ａ）及び（Ｂ）はいずれも同第１の例を示す説明図である。 同第１の例において消費される鍵を示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の第２の例を示す説明図である。 （Ａ）及び（Ｂ）はいずれも同第２の例を示す説明図である。 同第２の例において消費される鍵を示す説明図である。 （Ａ）及び（Ｂ）はいずれも、６つのユーザノードを有するネットワークにおけるマルチキャスト配信の第１の例を示す説明図である。 同第１の例を示す説明図である。 同第１の例において消費される鍵を示す説明図である。 ６つのユーザノードを有するネットワークにおけるマルチキャスト配信の第２の例を示す説明図である。 同第２の例を示す説明図である。 同第２の例において消費される鍵を示す説明図である。 ６つのユーザノードを有するネットワークにおけるマルチキャスト配信の第３の例を示す説明図である。 同第３の例を示す説明図である。 同第３の例において消費される鍵を示す説明図である。 ６つのユーザノードを有するネットワークにおけるマルチキャスト配信の第４の例を示す説明図である。 同第４の例を示す説明図である。 同第４の例において消費される鍵を示す説明図である。 ４つのユーザノードを有するネットワークにおけるマルチキャスト配信の別の検討例において消費される鍵を示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の第３の例を示す説明図である。 （Ａ）及び（Ｂ）はいずれも同第３の例を示す説明図である。 同第３の例において消費される鍵を示す説明図である。 ネットワーク制御装置の構成を示すブロック図である。 ノードのコンピュータハードウェア構成例を示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の第３の検討例を示す説明図である。 上記第３の検討例において消費される鍵を示す説明図である。 （Ａ）～（Ｄ）はいずれも、４つのユーザノードを有するネットワークにおけるマルチキャスト配信の第４の例を示す説明図である。 （Ａ）及び（Ｂ）はいずれも同第４の例を示す説明図である。 上記第４の検討例において消費される鍵を示す説明図である。 （Ａ）～（Ｇ）はいずれも、６つのユーザノードを有するネットワークにおけるマルチキャスト配信の第５の例を示す説明図である。

以下、本発明を図示の実施の形態に基づいて説明する。ただし、本発明は、以下に説明する実施の形態によって限定されるものではない。

まず、本発明の発明者は、以下に述べるとおり鋭意検討を行った。

［１．量子鍵配送を利用した秘匿通信網］
ネットワーク上での通信の安全性確保の手法としては、現在、公開鍵暗号による認証と鍵交換、共通鍵暗号によるデータ通信の暗号化が標準的に使われている。これらの暗号技術は、解くのが難しい数学問題を用いることで、暗号鍵を知らない第三者に対して、暗号文からもとの情報を解読するために途方もない計算を必要とする状況を作り出し、実質的に盗聴や改竄が防止される。しかし、計算技術の進展とともに解読の危険性が高まるために、定期的に暗号鍵の長さを伸長したり、暗号方式を更新する必要がある。
これに対して、どんな計算機でも解読できない安全性（情報理論的安全性）を保証する方法も知られている。情報理論的安全性に基づく暗号方式は、暗号仕様の更新をすることなく、超長期間にわたり安全性を保証することが原理的に可能である。

情報理論的安全性を保証する代表的な方法として、量子鍵配送により共有した暗号鍵を用いて、ワンタイムパッド（One Time Pad, ＯＴＰ）方式でデータ通信の暗号化を行う手法（量子暗号）が知られている。量子鍵配送（Quantum Key Distribution, ＱＫＤ）は、光回線で結ばれた離れた２地点間で、情報理論的安全性を持った共通の乱数列（Ｋとする）を暗号鍵として共有する方法である。暗号化は、送信するメッセージ（Ｕとする）と、メッセージＵと同じサイズの暗号鍵Ｋとを用意して論理和
により行う。暗号文Ｘは、通常の通信回線（量子鍵配送のための光回線とは別の回線）を経由して受信者に送られる。受信者は、受信した暗号文Ｘと手元にある暗号鍵Ｋとの論理和
により、メッセージＵを復号する。一度使った暗号鍵Ｋは２度と使いまわさずに一回一回使い捨てること（ワンタイムパッド方式）により、情報理論的に安全な暗号通信を実現できる。なお、ＱＫＤで生成した暗号鍵Ｋ（対称的な乱数列の対）は、送信者、受信者において、第三者に漏れないように安全に管理する必要がある。そのように管理された各々の乱数列のことを特に秘密乱数列と呼ぶ。

２地点を結ぶ１対のＱＫＤリンクシステムの鍵生成速度は、伝送距離の増加とともに減少し、通常の敷設光ファイバーでは５０ｋｍで数１００ｋｂｐｓ程度、１００ｋｍでは数ｋｂｐｓ程度になる。そこで、複数の「信頼できる局舎（トラステッドノード）」を５０～６０ｋｍの間隔で設け、各トラステッドノード内のＱＫＤ装置（ＱＫＤモジュール）を連接することで、広域ネットワークである量子鍵配送ネットワーク（Quantum Key Distribution Network, ＱＫＤＮ）が得られる。
各トラステッドノードには、ＱＫＤモジュールとは別に、鍵管理装置（鍵マネージャ：Key Manager, ＫＭ）というものを別途用意して、ＱＫＤモジュールで生成された暗号鍵をＫＭに転送し保管する。ＫＭどうしは古典回線（ＫＭリンク）で接続され、必要な時に暗号鍵のカプセルリレー（鍵リレー）を行うなど、暗号鍵の管理・運用を行う。
このようにして共有した暗号鍵は、既存の通信ネットワークや暗号インフラ（後述する図１におけるユーザネットワーク）に存在する様々な暗号アプリケーション、例えば、ワンタイムパッド（ＯＴＰ）による完全秘匿通信や、共通鍵暗号、秘密分散保管などのアプリケーションへの鍵供給などに利用することができる。暗号鍵のカプセルリレーの経路制御やＱＫＤＮ全体の管理などを行うために、ＱＫＤＮコントローラおよびＱＫＤＮマネージャという機能エレメントが導入されている。ＱＫＤＮと、暗号アプリケーションが実行されるユーザネットワークとを有するネットワークを、量子暗号通信ネットワークと呼ぶ。

図１に、量子暗号通信ネットワークＮＷ１の概念的な構造を示す。量子暗号通信ネットワークＮＷ１は、量子鍵配送ネットワークＱＫＤＮ１とユーザネットワークＵＮ１とを有する。量子鍵配送ネットワークＱＫＤＮ１は、複数のトラステッドノードＴＮを有するとともに、４つの機能レイヤＬ１～Ｌ４を有する。

量子レイヤＬ１は、各トラステッドノード内のＱＫＤモジュールＱＭを介して連接されたＱＫＤリンクの集合である。ＱＫＤリンクは１対１のリンクである。或るＱＫＤリンクにより、或るトラステッドノード内の１つのＱＫＤモジュールと、別のトラステッドノード内の１つのＱＫＤモジュールとが接続される。各ＱＫＤリンクは独立に暗号鍵を生成する。生成された暗号鍵は、当該トラステッドノード内の鍵マネージャＫＭに送られ管理・運用される。

鍵管理レイヤＬ２は、各トラステッドノード内の鍵マネージャＫＭと、鍵マネージャＫＭどうしを接続するＫＭリンクとを有する。鍵マネージャＫＭは、量子レイヤＬ１で生成された暗号鍵を蓄積し、ＯＴＰ暗号化による鍵カプセルリレーにより必要なエンド・エンド間で暗号鍵を共有する。鍵マネージャＫＭは、ユーザネットワークＵＮ１上の暗号アプリケーションへの暗号鍵の供給など鍵管理全般を担う。

ＱＫＤＮ制御レイヤＬ３は、ＱＫＤＮ全般のサービスの制御を行う１つ以上のＱＫＤＮコントローラＣＴを有する。レイヤＬ３は、複数のＱＫＤＮコントローラＣＴからなるネットワークであってもよい。
ＱＫＤＮ管理レイヤＬ４は、ＱＫＤＮマネージャＭＧ１を有する。ＱＫＤＮマネージャＭＧは、レイヤＬ１～Ｌ３の各々からパフォーマンス情報を収集し、サービスが適切に稼働しているかを監視して、必要に応じて制御をＱＫＤＮ制御レイヤＬ３へ命じる機能を持つ。

ユーザネットワークＵＮ１は、複数のユーザ端末ＵＤが存在する機能レイヤであるサービスレイヤＬ５と、ユーザネットワーク管理レイヤＬ６とを有する。サービスレイヤＬ５における複数のユーザ端末ＵＤは、対応する鍵マネージャＫＭから供給された鍵及び暗号アプリケーションを用いて暗号化通信を行う。サービスレイヤＬ５は３つ以上のユーザ端末ＵＤからなる多地点ネットワークであってもよい。ユーザネットワーク管理レイヤＬ６におけるネットワークマネージャＭＧ２は、ＱＫＤＮマネージャＭＧ１との通信及びユーザ端末ＵＤの管理を行う。

量子暗号通信ネットワークＮＷ１の鍵管理レイヤＬ２やサービスレイヤＬ５は、秘匿通信網の一例となっている。すなわち、鍵管理レイヤＬ２においては、ＯＴＰ暗号化による鍵カプセルリレーにより必要な２地点のＫＭ間での対称暗号鍵の共有や、３地点以上のＫＭ間でのグループ鍵の共有が行われる。また、サービスレイヤＬ５においては、鍵管理レイヤＬ２から供給された鍵を用いて、２地点間の秘匿通信や複数地点間での秘匿マルチキャスト通信等が行われる。

このような秘匿通信網において、各リンクを秘匿化する対称鍵として利用される秘密乱数列は、１回の使用に限って有効であるため、使用済の秘密乱数列は破棄されなくてはならない。こうして秘匿通信網を利用することで、多くの秘密乱数列が消費されるため、ネットワークの運用管理者は新たに多くの秘密乱数列を生成し対称鍵を補充しておく必要がある。秘密乱数列は貴重な鍵資源であるため、その効率的な利用方法を検討することが重要である。

［２．秘匿通信網を用いたマルチキャスト配信］
従来技術の課題を説明するために、上記の秘匿通信網を用いたマルチキャスト配信の一例を示す。図２Ａ（Ａ）に示すネットワークＮＷ４Ａは、典型的には上記のサービスレイヤＬ５の一例であり、４つのユーザノードＡ～ＤとハブノードＨとを有する。あるいは、これらのノードを鍵マネージャＫＭに対応させると、ネットワークＮＷ４Ａは鍵管理レイヤＬ２の一例となる。ネットワークＮＷ４Ａにおいて、４つのユーザノードＡ～Ｄの各々とハブノードＨとはリンクにより接続されている。また、ユーザノードＡとユーザノードＣとがリンクにより接続され、ユーザノードＣとユーザノードＢとがリンクにより接続され、ユーザノードＢとユーザノードＤとがリンクにより接続され、ユーザノードＡとユーザノードＤとがリンクにより接続されている。４つのユーザノードＡ～ＤにはそれぞれユーザＵ_Ａ～Ｕ_Ｄがそれぞれ関連付けられており、ハブノードＨにはユーザが関連付けられていない。４名のユーザＵ_Ａ～Ｕ_Ｄにより一つのユーザグループが形成される。
ユーザノードＡ～ＤとハブノードＨは、トラステッドノードとして実装、運用され、盗聴者はノード内にあるデータにはアクセスすることは極めて困難であると仮定する。その一方で、各ノードを結ぶリンクは、盗聴者のアクセスが可能であり、リンク上を流れる情報はすべて盗聴者の手に渡るものと仮定する。
ユーザＵ_ＡがメッセージＳ_Ａを保有し、ユーザＵ_ＢがメッセージＳ_Ｂを保有し、ユーザＵ_ＣがメッセージＳ_Ｃを保有し、ユーザＵ_ＤがメッセージＳ_Ｄを保有している状態で、各ユーザは自ら保有するメッセージを他の３名のユーザにマルチキャスト配信する場合を想定した例である。

２つのノードを接続するリンクには、当該リンクを秘匿化するための秘密乱数列が対称鍵として用意されている。例えば、対称鍵（Ｋ_ＡＣ）_ｉは、ノードＡとノードＣとを接続するリンクＡＣに用意された第ｉ番目の秘密乱数列を意味している。対称鍵（Ｋ_ＡＤ）_ｉ、（Ｋ_ＢＣ）_ｉなども同様である。
簡単のため、グループ鍵ＲではなくメッセージＳ_Ａ～Ｓ_Ｄを、対称鍵を用いて秘匿化し鍵リレーによって転送する場合を想定する。また、簡単のため、対称鍵の長さはメッセージと同じ長さとする。
鍵を節約するために、ユーザのいないハブノードＨにはメッセージが配信されない。

このとき、図２Ａ（Ａ）に示すように、ユーザノードＡは、ユーザノードＣに対し、自ら保有するメッセージＳ_Ａと対称鍵（Ｋ_ＡＣ）_１との排他的論理和（バーナム暗号による暗号文）を送る。この排他的論理和を受信したユーザノードＣは、対称鍵（Ｋ_ＡＣ）_１を用いた復号によりメッセージＳ_Ａを得たのち、メッセージＳ_Ａと対称鍵（Ｋ_ＢＣ）_１との排他的論理和をユーザノードＢへ送る。この排他的論理和を受信したユーザノードＢは、対称鍵（Ｋ_ＢＣ）_１を用いた復号によりメッセージＳ_Ａを得る。
また、ユーザノードＡは、ユーザノードＤに対し、自ら保有するメッセージＳ_Ａと対称鍵（Ｋ_ＡＤ）_１との排他的論理和を送る。この排他的論理和を受信したユーザノードＤは、対称鍵（Ｋ_ＡＤ）_１を用いた復号によりメッセージＳ_Ａを得る。
このようにして、メッセージＳ_ＡがユーザノードＡからユーザノードＢ、Ｃ及びＤへマルチキャスト配信される。
同様にして、図２Ａ（Ｂ）に示すように、メッセージＳ_ＢがユーザノードＢからユーザノードＡ、Ｃ及びＤへマルチキャスト配信される。図２Ａ（Ｃ）に示すように、メッセージＳ_ＣがユーザノードＣからユーザノードＡ、Ｂ及びＤへマルチキャスト配信される。図２Ａ（Ｄ）に示すように、メッセージＳ_ＤがユーザノードＤからユーザノードＡ、Ｂ及びＣへマルチキャスト配信される。

図２Ａ（Ａ）～（Ｄ）に示したように、一つのユーザノードが自ら保有するメッセージをマルチキャスト配信するにあたり、３個の鍵（秘密乱数列）が消費される。したがって、４つのユーザノードＡ～Ｄの各々によるマルチキャスト配信により、１２個の鍵が消費される。このことを図２Ｂに示す。ユーザノード同士を結ぶ各リンクでは３個の鍵が消費される一方で、ユーザノードとハブノードとを接続するリンクにおいては秘密乱数列が消費されない。

図３（Ａ）に示すネットワークＮＷ６Ａは、６つのユーザノードＡ～ＦとハブノードＨとを有する。６つのユーザノードＡ～Ｆの各々とハブノードＨとはリンクにより接続されている。また、ユーザノードＡとユーザノードＣとがリンクにより接続され、ユーザノードＣとユーザノードＥとがリンクにより接続され、ユーザノードＥとユーザノードＢとがリンクにより接続されている。また、ユーザノードＢとユーザノードＤとがリンクにより接続され、ユーザノードＤとユーザノードＦとがリンクにより接続され、ユーザノードＦとユーザノードＡとがリンクにより接続されている。６つのユーザノードＡ～ＦにはそれぞれユーザＵ_Ａ～Ｕ_Ｆがそれぞれ関連付けられており、ハブノードＨにはユーザが関連付けられていない。６名のユーザＵ_Ａ～Ｕ_Ｆにより一つのユーザグループが形成される。
ユーザＵ_ＡがメッセージＳ_Ａを、ユーザＵ_ＢがメッセージＳ_Ｂを、ユーザＵ_ＣがメッセージＳ_Ｃを、ユーザＵ_ＤがメッセージＳ_Ｄを、ユーザＵ_ＥがメッセージＳ_Ｅを、ユーザＵ_ＦがメッセージＳ_Ｆを保有している状態で、各ユーザは自ら保有するメッセージを他の５名のユーザにマルチキャスト配信する場合を想定した例である。

このとき、図３（Ａ）に示すように、ユーザノードＡは、ユーザノードＣに対し、自ら保有するメッセージＳ_Ａと対称鍵（Ｋ_ＡＣ）_１との排他的論理和を送る。この排他的論理和を受信したユーザノードＣは、対称鍵（Ｋ_ＡＣ）_１を用いた復号によりメッセージＳ_Ａを得たのち、メッセージＳ_Ａと対称鍵（Ｋ_ＥＣ）_１との排他的論理和をユーザノードＥへ送る。この排他的論理和を受信したユーザノードＥは、対称鍵（Ｋ_ＥＣ）_１を用いた復号によりメッセージＳ_Ａを得たのち、メッセージＳ_Ａと対称鍵（Ｋ_ＥＢ）_１との排他的論理和をユーザノードＢへ送る。この排他的論理和を受信したユーザノードＢは、対称鍵（Ｋ_ＥＢ）_１を用いた復号によりメッセージＳ_Ａを得る。
また、ユーザノードＡは、ユーザノードＦに対し、自ら保有するメッセージＳ_Ａと対称鍵（Ｋ_ＡＦ）_１との排他的論理和を送る。この排他的論理和を受信したユーザノードＦは、対称鍵（Ｋ_ＡＦ）_１を用いた復号によりメッセージＳ_Ａを得たのち、メッセージＳ_Ａと対称鍵（Ｋ_ＦＤ）_１との排他的論理和をユーザノードＤへ送る。この排他的論理和を受信したユーザノードＤは、対称鍵（Ｋ_ＦＤ）_１を用いた復号によりメッセージＳ_Ａを得る。
このようにして、メッセージＳ_ＡがユーザノードＡからユーザノードＢ～Ｆへマルチキャスト配信される。
同様にして、図３（Ｂ）に示すように、メッセージＳ_ＢがユーザノードＢから、当該ユーザノードを除く５つのユーザノードへマルチキャスト配信される。図３（Ｃ）に示すように、メッセージＳ_ＣがユーザノードＣから、当該ユーザノードを除く５つのユーザノードへマルチキャスト配信される。図３（Ｄ）に示すように、メッセージＳ_ＤがユーザノードＤから、当該ユーザノードを除く５つのユーザノードへマルチキャスト配信される。図３（Ｅ）に示すように、メッセージＳ_ＥがユーザノードＥから、当該ユーザノードを除く５つのユーザノードへマルチキャスト配信される。図３（Ｆ）に示すように、メッセージＳ_ＦがユーザノードＦから、当該ユーザノードを除く５つのユーザノードへマルチキャスト配信される。

図３（Ａ）～（Ｆ）に示したように、一つのユーザノードが自ら保有するメッセージをマルチキャスト配信するにあたり、５個の鍵（秘密乱数列）が消費される。したがって、６つのユーザノードＡ～Ｆの各々によるマルチキャスト配信により、３０個の鍵が消費される。このことを図３（Ｇ）に示す。ユーザノード同士を結ぶ各リンクでは５個の鍵が消費される一方で、ユーザノードとハブノードとを接続するリンクにおいては秘密乱数列が消費されない。

これまでに述べたように、４つのユーザノードを有するネットワークＮＷ４Ａにおいて、４×（４－１）＝１２個の鍵が消費される。６つのユーザノードを有するネットワークＮＷ６Ａにおいては、６×（６－１）＝３０個の鍵が消費される。
ｎ個のユーザノードを有するネットワークにおいて各ユーザノードがマルチキャスト配信を行う場合、少なくともｎ×（ｎ－１）個すなわちｎ^２個程度の、比較的大量の鍵（秘密乱数列）が消費されることとなる。このように、従来技術の方法では、ユーザノード数ｎが増えると、鍵（秘密乱数列）の消費量が指数関数的に増加する。鍵が大量に消費されるため、秘匿通信網の可用性が大きく損なわれてしまうという問題がある。

このような問題に対処すべく、以下に述べる実施形態では、秘匿通信網を用いて情報共有のためのマルチキャスト配信を行うときに、以下の２つの手法を用いる。各手法を単独で用いてもよいし、両手法を組み合わせて用いてもよい。なお、説明を簡単にするため、ユーザノード数ｎを４とし、マルチキャスト配信されるメッセージの数を４とする。
１つ目の手法は、４つのメッセージ（Ｓ_Ａ、Ｓ_Ｂ、Ｓ_Ｃ、Ｓ_Ｄ）の共有を、異なる時刻で個別に実行するのではなく、同じ時刻に一括して実行することである。メッセージとは異なり、グループ鍵を配送する時刻は任意に設定できるため、一括処理が可能である。
２つ目の手法は、複数のメッセージの排他的論理和、例えば
あるいは
等の値を計算し、これらの値をノード間のリンク（公開通信路）を通じて伝えることである。一般に、個々のデータを個別に送る代わりに、データ同士の排他的論理和を送ることで、全体の伝送効率を改善する方法をネットワーク符号化と呼んでいる。

複数のメッセージの共有を同時に行うことにより、このような異なるメッセージ同士の演算に実質的な意味を持たせることができる。さらに、排他的論理和の演算対象となる複数のメッセージの各々は他のメッセージを相互に秘匿化しているため、ＲやＲ_１等の、排他的論理和の結果が漏洩したとしても、各メッセージは秘匿化されたままとなる。そこで、共有の対象となる各メッセージを、鍵を用いて秘匿化し伝送するのではなく、複数のメッセージの排他的論理和の結果を伝送することで、各メッセージに秘匿状態を保ちつつ鍵の消費量を減らすことができる。

［実施形態］
ユーザノード数ｎを４とし、共有しようとするメッセージの数を４とする例を説明する。

［４人の第１の例］
図４Ａ（Ａ）にネットワークＮＷ４１を示す。このネットワークは、ネットワークＮＷ４Ａと同様のトポロジーである。ユーザノードＡ、Ｂ、Ｃ、Ｄの各々は、各自が保有するメッセージ（あるいはグループ鍵（グループ内で将来的に使用される鍵））Ｒ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄを、各リンクにあてがわれた鍵（秘密乱数列）Ｋ_ＨＡ、Ｋ_ＨＢ、Ｋ_ＨＣ、Ｋ_ＨＤを用いて秘匿化した後、ハブノードＨに送る。そのほか、ユーザノードＡ、Ｃは自ら保有するメッセージＲ_Ａ、Ｒ_Ｃを、鍵（Ｋ_ＡＣ）_１、（Ｋ_ＡＣ）_２を用いて秘匿化した後、互いに相手Ｃ／Ａに送付する。ユーザＢとＤも同様である。

具体的には、図４Ａ（Ａ）に示すように、ユーザノードＡは、自ら保有するメッセージＲ_Ａと鍵（Ｋ_ＨＡ）_１との排他的論理和をハブノードＨに送るとともに、メッセージＲ_Ａと鍵（Ｋ_ＡＣ）_１との排他的論理和をユーザノードＣに送る。
図４Ａ（Ｂ）に示すように、ユーザノードＢは、自ら保有するメッセージＲ_Ｂと鍵（Ｋ_ＨＢ）_１との排他的論理和をハブノードＨに送るとともに、メッセージＲ_Ｂと鍵（Ｋ_ＢＤ）_１との排他的論理和をユーザノードＤに送る。
図４Ａ（Ｃ）に示すように、ユーザノードＣは、自ら保有するメッセージＲ_Ｃと鍵（Ｋ_ＨＣ）_１との排他的論理和をハブノードＨに送るとともに、メッセージＲ_Ｃと鍵（Ｋ_ＡＣ）_２との排他的論理和をユーザノードＡに送る。
図４Ａ（Ｄ）に示すように、ユーザノードＤは、自ら保有するメッセージＲ_Ｄと鍵（Ｋ_ＨＤ）_１との排他的論理和をハブノードＨに送るとともに、メッセージＲ_Ｄと鍵（Ｋ_ＢＤ）_２との排他的論理和をユーザノードＢに送る。

その結果、図４Ｂ（Ａ）に示すように、ユーザノードＡ及びＣの各々がメッセージＲ_Ａ及びＲ_Ｃを保有することとなり、ユーザノードＢ及びＤの各々がメッセージＲ_Ｂ及びＲ_Ｄを保有することとなる。また、ハブノードＨは、４つのメッセージＲ_Ａ～Ｒ_Ｄを保有することとなる。

続いて、ハブノードＨは以下の２つの排他的論理和（すなわち２つのネットワーク符号化情報）Ｒ_１及びＲ_２を計算する。
その後、図４Ｂ（Ｂ）に示すように、ハブノードＨは、排他的論理和Ｒ_１及びＲ_２を全てのユーザノードＡ～Ｄへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１、Ｒ_２を、既に保有しているメッセージを用いて復号することにより、新たに３つのメッセージを取得することができる。表1に、各ユーザノードにて行われる復号計算の詳細をまとめる。

ユーザノードＡ及びＣは、ハブノードＨから受信したＲ_１と既に保有しているメッセージＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｂを取得し、ハブノードＨから受信したＲ_２と既に保有しているメッセージＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｄを取得する。
ユーザノードＢ及びＤは、ハブノードＨから受信したＲ_１と既に保有しているメッセージＲ_Ｂとの排他的論理和を計算することによりメッセージＲ_Ａを取得し、ハブノードＨから受信したＲ_２と既に保有しているメッセージＲ_Ｄとの排他的論理和を計算することによりメッセージＲ_Ｃを取得する。

以上のようにして、ユーザノードＡ～ＤによるメッセージＲ_Ａ～Ｒ_Ｄの共有ができたことになる。このとき、図４Ｃに示すように、リンクＡＣにおいて２つの鍵が消費され、リンクＢＤにおいても２つの鍵が消費され、ハブノードＨと各ユーザノードとの間のリンクの各々において１つの鍵が消費される。つまり、合計８個の鍵が消費される。これは、図２Ａ及び図２Ｂに示した方法により消費される鍵の数（１２個）に比べて４個少ない。このように、鍵の消費量を減らすことができる。

排他的論理和Ｒ_１とＲ_２が漏洩する可能性はある。その一方で、排他的論理和Ｒ_１の演算対象であるメッセージＲ_Ａ及びＲ_Ｂの一方は他方を秘匿化し、排他的論理和Ｒ_２の演算対象であるメッセージＲ_Ｃ及びＲ_Ｄの一方は他方を秘匿化している。そのため、排他的論理和Ｒ_１とＲ_２が漏洩したとしても、第三者が各メッセージを取得できる可能性は極めて低い。

仮に何らかのインシデントにより、例えばメッセージＲ_Ａ及び排他的論理和Ｒ_１が漏洩したとすると、第三者は排他的論理和Ｒ_１からメッセージＲ_Ｂを得ることができてしまう。しかし、メッセージＲ_ＣとＲ_Ｄは影響を受けない。そこで、このような、限定的ではあるが連鎖的なメッセージの危殆化を防ぐために、ハブノードＨが排他的論理和Ｒ_１、Ｒ_２を送るときに一般的なブロック暗号（例えばＡＥＳ：Advanced Encryption Standard）や公開鍵暗号などを用いて念のため秘匿化してもよい。

［４人の第２の例］
図５Ａ（Ａ）にネットワークＮＷ４２を示す。このネットワークは、ネットワークＮＷ４Ａと同様のトポロジーである。図５Ａ（Ａ）～（Ｄ）に示すように、ユーザノードＡ、Ｂ、Ｃ、Ｄの各々は、各自が保有するメッセージＲ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄを、ハブノードＨとのリンクにあてがわれた鍵Ｋ_ＨＡ、Ｋ_ＨＢ、Ｋ_ＨＣ、Ｋ_ＨＤを用いて秘匿化した後、ハブノードＨに送る。この段階では、図５Ｂ（Ａ）に示すように、各ユーザノードが保有するメッセージの数は変わっていないが、ハブノードＨは４つのメッセージＲ_Ａ～Ｒ_Ｄの全てを保有している。

続いて、ハブノードＨは、以下の３つの排他的論理和（すなわち３つのネットワーク符号化情報）Ｒ_１、Ｒ_２及びＲ_３を計算する。
その後、図５Ｂ（Ｂ）に示すように、ハブノードＨは、排他的論理和Ｒ_１、Ｒ_２及びＲ_３を全てのユーザノードＡ～Ｄへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１、Ｒ_２、Ｒ_３を、既に保有しているメッセージを用いて復号することにより、新たに３つのメッセージを取得することができる。表２に、各ユーザノードにて行われる復号計算の詳細をまとめる。

ユーザノードＡは、ハブノードＨから受信したＲ_２と既に保有しているメッセージＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｃを取得し、ハブノードＨから受信したＲ_１と既に保有しているメッセージＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｂを取得する。さらに、ユーザノードＡは、ハブノードＨから受信したＲ_３と既に保有しているメッセージＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｄを取得する。
ユーザノードＣは、ハブノードＨから受信したＲ_２と既に保有しているメッセージＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ａを取得する。また、ユーザノードＣは、ハブノードＨから受信したＲ_１とＲ_２との排他的論理和と、既に保有しているメッセージＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｂを取得する。さらに、ユーザノードＣは、ハブノードＨから受信したＲ_２とＲ_３との排他的論理和と、既に保有しているメッセージＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｄを取得する。
ユーザノードＢ及びＤも同様の復号を行うことにより残りの３つのメッセージを取得する。

以上のようにして、ユーザノードＡ～ＤによるメッセージＲ_Ａ～Ｒ_Ｄの共有ができたことになる。このとき、図５Ｃに示すように、ハブノードＨと各ユーザノードとの間のリンクの各々において１つの鍵が消費される。つまり、合計４個の鍵が消費される。これは、図２Ａ及び図２Ｂに示した方法により消費される鍵の数（１２個）に比べて８個少ない。このように、鍵の消費量を減らすことができる。

排他的論理和Ｒ_１～Ｒ_３が漏洩する可能性はある。その一方で、各排他的論理和の演算対象である２つのメッセージの一方は他方を秘匿化している。そのため、排他的論理和が漏洩したとしても、各メッセージの情報が漏洩する可能性は極めて低い。

仮に何らかのインシデントによりトラステッドノードが危殆化するなどして、例えばメッセージＲ_Ａ及び排他的論理和Ｒ_１～Ｒ_３が漏洩したとすると、第三者は排他的論理和Ｒ_１からメッセージＲ_Ｂを、排他的論理和Ｒ_２からメッセージＲ_Ｃを、排他的論理和Ｒ_３からメッセージＲ_Ｄを得ることができてしまう。
このように、先の例に比べて秘密乱数列が更に節約されることに伴い、インシデントの影響の及ぶ範囲が広くなる。そこで、このようなメッセージの連鎖的な危殆化を防ぐために、ハブノードＨが排他的論理和Ｒ_１、Ｒ_２、Ｒ_３を送るときに一般的なブロック暗号（例えばＡＥＳ：Advanced Encryption Standard）や公開鍵暗号などを用いて念のため秘匿化してもよい。

鍵の総消費量削減の効果と、１つのメッセージが漏洩した場合に生じ得る他のメッセージの危殆化のリスクとを考慮し、目的に応じて、第一の例又は第二の例を選択することができる。

秘匿通信網を用いてメッセージの共有を行う際に消費される秘密乱数列の個数を減らすことができる。ｎ個のユーザノードがｎ個のメッセージを共有するために消費される秘密乱数列の個数を、ｎ^２個程度から、最も少ない場合でｎ個程度にまで削減することができる。これは、メッセージの共有を目的とした秘匿通信網の可用性と利便性を大きく向上させる。

［６人の第１の例］
メンバーの人数ｎを６とし、メッセージの数を６とする例を用いて、複数の実施例を説明する。これらの異なる実施例では、鍵の消費量削減の効果と、メッセージの一つが漏洩した場合に生じ得る他のメッセージの危殆化のリスクとの組み合わせが異なっている。

図６Ａ（Ａ）にネットワークＮＷ６１を示す。このネットワークは、ネットワークＮＷ６Ａと同様のトポロジーである。

図６Ａ（Ａ）に示すように、ユーザノードＣ、Ａ、Ｆの各々は、各自が保有しているメッセージＲ_Ｃ、Ｒ_Ａ、Ｒ_Ｆを、各リンクにあてがわれた秘密乱数列Ｋ_ＨＣ、Ｋ_ＨＡ、Ｋ_ＨＦを用いて秘匿化した後、ハブノードＨに送る。
ユーザノードＡは、メッセージＲ_Ａを鍵により秘匿化してユーザノードＣ及びＦへ送る。
メッセージＲ_Ｃは、鍵により秘匿化された状態で、ユーザノードＣからユーザノードＡへ送られるとともに、ハブノードＨからユーザノードＦへ送られる。
メッセージＲ_Ｆは、鍵により秘匿化された状態で、ユーザノードＦからユーザノードＡへ送られるとともに、ハブノードＨからユーザノードＣへ送られる。
このように、ユーザノードＡ及びＣの一方は、他方が保有しているメッセージを、両ユーザノードを直に接続するリンクを通じて受信する。ユーザノードＡ及びＦの一方は、他方が保有しているメッセージを、両ユーザノードを直に接続するリンクを通じて受信する。ユーザノードＣ及びＦの一方は、他方が保有しているメッセージを、ハブノードＨを経由して受信する。
この段階で、ユーザノードＡ、Ｃ及びＦ並びにハブノードＨが３つのメッセージＲ_Ａ、Ｒ_Ｃ及びＲ_Ｆを共有できている。この共有のために消費された秘密乱数列の総数は９である。

図６Ａ（Ｂ）に示すように、ユーザノードＥ、Ｂ、Ｄの各々は、各自が保有しているメッセージＲ_Ｅ、Ｒ_Ｂ、Ｒ_Ｄを、各リンクにあてがわれた秘密乱数列Ｋ_ＨＥ、Ｋ_ＨＢ、Ｋ_ＨＤを用いて秘匿化した後、ハブノードＨに送る。
ユーザノードＢは、メッセージＲ_Ｂを鍵により秘匿化してユーザノードＥ及びＤへ送る。
メッセージＲ_Ｅは、鍵により秘匿化された状態で、ユーザノードＥからユーザノードＢへ送られるとともに、ハブノードＨからユーザノードＤへ送られる。
メッセージＲ_Ｄは、鍵により秘匿化された状態で、ユーザノードＤからユーザノードＢへ送られるとともに、ハブノードＨからユーザノードＥへ送られる。
このように、ユーザノードＢ及びＥの一方は、他方が保有しているメッセージを、両ユーザノードを直に接続するリンクを通じて受信する。ユーザノードＢ及びＤの一方は、他方が保有しているメッセージを、両ユーザノードを直に接続するリンクを通じて受信する。ユーザノードＥ及びＤの一方は、他方が保有しているメッセージを、ハブノードＨを経由して受信する。
この段階で、ユーザノードＢ、Ｄ及びＥ並びにハブノードＨが３つのメッセージＲ_Ｂ、Ｒ_Ｄ及びＲ_Ｅを共有できている。この共有のために消費された秘密乱数列の総数は９である。

図６Ａ（Ａ）及び（Ｂ）に示したメッセージ配信の結果、各ユーザノードは３つのメッセージを保有し、ハブノードＨは６つ全てのメッセージを保有しており、１８個の鍵が消費されている。

続いて、ハブノードＨは、以下の３つの排他的論理和（すなわち３つのネットワーク符号化情報）Ｒ_１、Ｒ_２及びＲ_３を計算する。
その後、図６Ｂに示すように、ハブノードＨは、排他的論理和Ｒ_１、Ｒ_２及びＲ_３を全てのユーザノードＡ～Ｆへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１、Ｒ_２及びＲ_３を、既に保有しているメッセージを用いて復号することにより、新たに３つのメッセージを取得することができる。表３に、各ユーザノードにおいて行われる復号計算の詳細をまとめる。

ユーザノードＡ、Ｃ及びＦは、Ｒ_１とメッセージＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｂを取得し、Ｒ_２とメッセージＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｄを取得し、Ｒ_３とメッセージＲ_Ｆとの排他的論理和を計算することによりメッセージＲ_Ｅを取得する。
ユーザノードＢ、Ｄ及びＥは、Ｒ_１とメッセージＲ_Ｂとの排他的論理和を計算することによりメッセージＲ_Ａを取得し、Ｒ_２とメッセージＲ_Ｄとの排他的論理和を計算することによりメッセージＲ_Ｃを取得し、Ｒ_３とメッセージＲ_Ｅとの排他的論理和を計算することによりメッセージＲ_Ｆを取得する。

以上のようにして、６つのユーザノードＡ～Ｆによる６つのメッセージＲ_Ａ～Ｒ_Ｆの共有ができたことになる。
図６Ｃに示すように、ユーザノードＣとユーザノードＡとのリンクにおいて２個の鍵が消費され、ユーザノードＡとユーザノードＦとのリンクにおいて２個の鍵が消費され、ユーザノードＣとハブノードＨとのリンクにおいて２個の鍵が消費され、ハブノードＨとユーザノードＦとのリンクにおいて２個の鍵が消費され、ユーザノードＡとハブノードＨとのリンクにおいて１個の鍵が消費されている。
また、ユーザノードＥとユーザノードＢとのリンクにおいて２個の鍵が消費され、ユーザノードＢとユーザノードＤとのリンクにおいて２個の鍵が消費され、ユーザノードＥとハブノードＨとのリンクにおいて２個の鍵が消費され、ハブノードＨとユーザノードＤとのリンクにおいて２個の鍵が消費され、ユーザノードＢとハブノードＨとのリンクにおいて１個の鍵が消費されている。
このように計１８個の鍵が消費されている。これは、図３に示した方法により消費される鍵の数（３０個）の６割にあたる。このように、鍵の消費量を減らすことができる。

排他的論理和Ｒ_１～Ｒ_３が漏洩する可能性はある。その一方で、各排他的論理和の演算対象である２つのメッセージの一方は他方を秘匿化している。そのため、排他的論理和が漏洩したとしても、各メッセージの情報が漏洩する可能性は極めて低い。

仮に何らかのインシデントによりトラステッドノードが危殆化するなどして、例えばメッセージＲ_Ａ及び排他的論理和Ｒ_１～Ｒ_３が漏洩したとすると、第三者は排他的論理和Ｒ_１からメッセージＲ_Ｂを得ることができてしまう。しかし、他の４つのメッセージＲ_Ｃ～Ｒ_Ｆに影響は及ばない。
とはいえ、このような限定的ではあるが連鎖的なメッセージの危殆化を防ぐために、ハブノードＨが排他的論理和Ｒ_１、Ｒ_２、Ｒ_３を送るときに一般的なブロック暗号（例えばＡＥＳ：Advanced Encryption Standard）や公開鍵暗号などを用いて念のため秘匿化してもよい。

［６人の第２の例］
図７ＡにネットワークＮＷ６２を示す。このネットワークは、ネットワークＮＷ６Ａと同様のトポロジーである。

図７Ａに示すように、全てのユーザノードＡ～Ｆは、自ら保有するメッセージを、各リンクにあてがわれた鍵Ｋ_ＨＡ、Ｋ_ＨＣ、Ｋ_ＨＥ、Ｋ_ＨＢ、Ｋ_ＨＤ、Ｋ_ＨＦを用いて秘匿化した後、ハブノードＨに送る。
さらに、ユーザノードＡ及びＣは互いに、自らが保有するメッセージを、鍵を用いて送り合う。ユーザノードＥ及びＢとユーザノードＤ及びＦとについても同様である。この段階で、各ユーザノードは２つのメッセージを保有し、ハブノードＨは全てのメッセージＲ_Ａ～Ｒ_Ｆを保有している。これまでに消費された鍵の総数は１２である。

続いて、ハブノードＨは、以下の４つの排他的論理和（４つのネットワーク符号化情報）Ｒ_１～Ｒ_４を計算する。
その後、図７Ｂに示すように、ハブノードＨは、排他的論理和Ｒ_１～Ｒ_４を全てのユーザノードＡ～Ｆへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１～Ｒ_４を、既に保有しているメッセージを用いて復号することにより、新たに４つのメッセージを取得することができる。表４に、各ユーザノードにおいて行われる復号計算の詳細をまとめる。

ここで、表中のＲ_１とＲ_３との排他的論理和と、Ｒ_２とＲ_４との排他的論理和とは以下のとおりである。

ユーザノードＡ及びＣは、Ｒ_４とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｅを取得し、Ｒ_１とＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｂを取得し、Ｒ_２とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｄを取得し、Ｒ_３とＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｆを取得する。
ユーザノードＥ及びＢは、Ｒ_１とＲ_Bとの排他的論理和を計算することによりメッセージＲ_Ａを取得し、Ｒ_４とＲ_Ｅとの排他的論理和を計算することによりメッセージＲ_Ｃを取得し、Ｒ_２とＲ_４との排他的論理和とＲ_Ｅとの排他的論理和を計算することによりメッセージＲ_Ｄを取得し、Ｒ_１とＲ_３との排他的論理和とＲ_Ｂとの排他的論理和を計算することによりメッセージＲ_Ｆを取得する。
ユーザノードＤ及びＦは、Ｒ_３とＲ_Ｆとの排他的論理和を計算することによりメッセージＲ_Ａを取得し、Ｒ_２とＲ_Ｄとの排他的論理和を計算することによりメッセージＲ_Ｃを取得し、Ｒ_２とＲ_４との排他的論理和とＲ_Ｄとの排他的論理和を計算することによりメッセージＲ_Ｅを取得し、Ｒ_１とＲ_３との排他的論理和とＲ_Ｆとの排他的論理和を計算することによりメッセージＲ_Ｂを取得する。

以上のようにして、６つのユーザノードＡ～Ｆによる６つのメッセージＲ_Ａ～Ｒ_Ｆの共有ができたことになる。
図７Ｃに示すように、ユーザノードＣとユーザノードＡとのリンクにおいて２個の鍵が消費され、ユーザノードＥとユーザノードＢとのリンクにおいて２個の鍵が消費され、ユーザノードＦとユーザノードＤとのリンクにおいて２個の鍵が消費されている。さらに、ハブノードＨと６つのユーザノードとの間のリンクにおいて計６個の鍵が消費されている。
このように計１２個の鍵が消費されている。これは、図３に示した方法により消費される鍵の数（３０個）の４割にあたる。このように、鍵の消費量を減らすことができる。

排他的論理和Ｒ_１～Ｒ_４が漏洩する可能性はある。その一方で、各排他的論理和の演算対象である２つのメッセージの一方は他方を秘匿化している。そのため、排他的論理和が漏洩したとしても、各メッセージの情報が漏洩する可能性は極めて低い。

仮に何らかのインシデントによりトラステッドノードが危殆化するなどして、例えばメッセージＲ_Ａ及び排他的論理和Ｒ_１～Ｒ_４が漏洩したとすると、第三者は排他的論理和Ｒ_１からメッセージＲ_Ｂを、排他的論理和Ｒ_３からメッセージＲ_Ｆを得ることができてしまう。しかし、他の４つのメッセージに影響は及ばない。
とはいえ、このような限定的ではあるが連鎖的なメッセージの危殆化を防ぐために、ハブノードＨが排他的論理和Ｒ_１～Ｒ_４を送るときに一般的なブロック暗号（例えばＡＥＳ：Advanced Encryption Standard）や公開鍵暗号などを用いて念のため秘匿化してもよい。

［６人の第３の例］
図８ＡにネットワークＮＷ６３を示す。このネットワークは、ネットワークＮＷ６Ａと同様のトポロジーである。

図８Ａに示すように、全てのユーザノードＡ～Ｆは、自ら保有するメッセージを、各リンクにあてがわれた鍵Ｋ_ＨＡ、Ｋ_ＨＣ、Ｋ_ＨＥ、Ｋ_ＨＢ、Ｋ_ＨＤ、Ｋ_ＨＦを用いて秘匿化した後、ハブノードＨに送る。
この段階で、各ユーザノードは当初と変わらず一つのメッセージを保有したままであるが、ハブノードＨは六つ全てのメッセージを保有している。これまでに消費された秘密乱数列の総数は６である。

続いて、ハブノードＨは、以下の５つの排他的論理和（５つのネットワーク符号化情報）Ｒ_１～Ｒ_５を計算する。
その後、図８Ｂに示すように、ハブノードＨは、排他的論理和Ｒ_１～Ｒ_５を全てのユーザノードＡ～Ｆへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１～Ｒ_５を、既に保有しているメッセージを用いて復号することにより、新たに５つのメッセージを取得することができる。表５に、各ユーザノードにおいて行われる復号計算の詳細をまとめる。

ユーザノードＡは、Ｒ_１～Ｒ_５の各々とＲ_Ａとの排他的論理和を計算することによりメッセージＲ_Ｂ～Ｒ_Ｆをそれぞれ取得する。
ユーザノードＣは、Ｒ_２とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ａを取得し、Ｒ_２とＲ_４との排他的論理和とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｅを取得し、Ｒ_１とＲ_２との排他的論理和とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｂを取得し、Ｒ_２とＲ_３との排他的論理和とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｄを取得し、Ｒ_２とＲ_５との排他的論理和とＲ_Ｃとの排他的論理和を計算することによりメッセージＲ_Ｆを取得する。
ユーザノードＥ、Ｂ、Ｄ及びＦも、表５に示す計算を行うことにより、５つのメッセージを新たに取得する。

以上のようにして、６つのユーザノードＡ～Ｆによる６つのメッセージＲ_Ａ～Ｒ_Ｆの共有ができたことになる。
図８Ｃに示すように、６個の鍵が消費されている。これは、図３に示した方法により消費される鍵の数（３０個）の２割にあたる。このように、鍵の消費量を減らすことができる。

排他的論理和Ｒ_１～Ｒ_５が漏洩する可能性はある。その一方で、各排他的論理和の演算対象である２つのメッセージの一方は他方を秘匿化している。そのため、排他的論理和が漏洩したとしても、各メッセージの情報が漏洩する可能性は極めて低い。

仮に何らかのインシデントによりトラステッドノードが危殆化するなどして、例えばメッセージＲ_Ａ及び排他的論理和Ｒ_１～Ｒ_５が漏洩したとすると、第三者は残りの５つのメッセージＲ_Ｂ～Ｒ_Ｆを得ることができてしまう。
このような連鎖的なメッセージの危殆化を防ぐために、ハブノードＨが排他的論理和Ｒ_１～Ｒ_５を送るときに一般的なブロック暗号（例えばＡＥＳ：Advanced Encryption Standard）や公開鍵暗号などを用いて念のため秘匿化してもよい。

以上、６つのユーザノードが存在する場合の第１から第３の実施例によれば、６つのユーザノードが６個のメッセージを共有するにあたり、それぞれ異なる方法で鍵の消費量を減らすことができる。他方、鍵の総消費量の低減に伴って、メッセージの一つが漏洩した場合に生じ得る他のメッセージの連鎖的な危殆化のリスクが増加する。要求される安全性に応じて、適切な方法を選択することができる。

［６人の第４の例］
本例においては、各ユーザが準備するグループ鍵の大きさが異なる。４人のユーザＵ_Ａ、Ｕ_Ｂ、Ｕ_Ｃ及びＵ_Ｄが存在しており、ユーザＵ_Ａ及びＵ_Ｂは１単位のメッセージを保有し、ユーザＵ_Ｃ及びＵ_Ｄは２単位のメッセージを保有しているものとする。

この場合、ユーザＵ_Ｃ´及びＵ_Ｄ´が仮想的に追加されて、計６名のユーザが存在するものと考えることができる。６名のユーザＵ_Ａ、Ｕ_Ｂ、Ｕ_Ｃ、Ｕ_Ｃ´、Ｕ_Ｄ及びＵ_Ｄ´は、それぞれユーザノードＡ、Ｂ、Ｃ、Ｃ´、Ｄ及びＤ´に関連付けることができる。６つのユーザノードはそれぞれ１単位のメッセージを保有している。すなわち、ユーザノードＡ、Ｂ、Ｃ、Ｃ´、Ｄ及びＤ´はそれぞれ、メッセージＲ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｃ´、Ｒ_Ｄ及びＲ_Ｄ´を保有している。

図９Ａに示すネットワークＮＷ６４において、６つのユーザノードＡ、Ｂ、Ｃ、Ｃ´、Ｄ及びＤ´の各々は、リンクによりハブノードＨと接続されている。また、ユーザノードＡとユーザノードＣとがリンクにより接続され、ユーザノードＣとユーザノードＣ´とがリンクにより接続され、ユーザノードＣ´とユーザノードＢとがリンクにより接続されている。さらに、ユーザノードＢとユーザノードＤとがリンクにより接続され、ユーザノードＤとユーザノードＤ´とがリンクにより接続され、ユーザノードＤ´とユーザノードＡとがリンクにより接続されている。

ネットワークＮＷ６４は、図５Ａ（Ａ）に示したネットワークＮＷ４２に、仮想的なユーザノードＣ´及びＤ´が追加されたものと考えることができる。ユーザノードＣ´はユーザノードＢ及びＣとハブノードＨとに接続され、ユーザノードＤ´はユーザノードＡ及びＤとハブノードＨとに接続される。また、ネットワークＮＷ６４は、図８Ａに示したネットワークＮＷ６３におけるユーザノードＥ及びＦをそれぞれユーザノードＣ´及びＤ´に置き換えたものと考えることもできる。このネットワークＮＷ６４において、ネットワークＮＷ６３と同様の方法でメッセージの共有を行うことができる。

具体的には、図９Ａに示すように、全てのユーザノードＡ～Ｆは、自ら保有するメッセージを、鍵を用いて秘匿化した後、ハブノードＨに送る。
この段階で、各ユーザノードは当初と変わらず一つのメッセージを保有したままであるが、ハブノードＨは六つ全てのメッセージを保有している。これまでに消費された秘密乱数列の総数は６である。

続いて、ハブノードＨは、以下の５つの排他的論理和（５つのネットワーク符号化情報）Ｒ_１～Ｒ_５を計算する。
その後、図９Ｂに示すように、ハブノードＨは、排他的論理和Ｒ_１～Ｒ_５をユーザノードＡ及びＢへ送る。また、ハブノードＨは、排他的論理和Ｒ_１、Ｒ_２、Ｒ_３及びＲ_５をユーザノードＣ及びＣ´へ送り、排他的論理和Ｒ_１、Ｒ_２、Ｒ_３及びＲ_４をユーザノードＤ及びＤ´へ送る。ユーザノードＣ及びＣ´に排他的論理和Ｒ_４を送る必要は無く、ユーザノードＤ及びＤ´に排他的論理和Ｒ_５を送る必要は無い。各ユーザノードは、受信した排他的論理和を、既に保有しているメッセージを用いて復号することにより、新たにメッセージを取得することができる。表６に、各ユーザノードにおいて行われる復号計算の詳細をまとめる。

以上のようにして、４名のユーザが、それぞれが１単位のメッセージＲ_Ａ及びＲ_Ｂと、それぞれ２単位のメッセージ（Ｒ_Ｃ、Ｒ_Ｃ´）及び（Ｒ_Ｄ、Ｒ_Ｄ´）とを共有することができる。図９Ｃに示すように、６個の鍵が消費されている。

ネットワーク内の物理ユーザノードによって、保有しているメッセージの単位数が異なる場合、メッセージの単位数が比較的多い物理ユーザノードに１つ以上の仮想ユーザノードを設けることができる。そして、当該物理ユーザノードが当初から保有している少なくとも１単位のメッセージを当該仮想ユーザノードに割り当てることができる。これにより、仮想ユーザノードを設ける前に比べて、ユーザノード間のメッセージ単位数のばらつきを小さくし、後続のメッセージ共有処理を効率的に行うことができる。

［６人の第５の例］
本例では、上記第３の実施例において指摘した連鎖的な危殆化の問題（すなわち、一つのメッセージ、例えばＲ_Ａが漏洩した場合に、公開された５つの排他的論理和から第三者が他の全てのメッセージが復号できてしまうという問題）を防ぐための方法が導入される。

以下に、上記第３の実施例をベースに具体的に説明する。表７に示すように、ネットワーク符号化情報Ｒ_１、Ｒ_２、Ｒ_３、Ｒ_４、Ｒ_５に対する具体的な定義の方法を、可能な１２０個のケースごとに異なるものとする。

ユーザノードＡ～Ｆ及びハブノードＨは、事前に秘密情報として表７に示す対応表を共有しているものする。そして、ハブノードＨは、１つのケース番号を選択し、選択されたケース番号に従って排他的論理和（ネットワーク符号化情報）を計算し、その排他的論理和をケース番号とともにユーザノードへ送る。ユーザノードは、受信された排他的論理和及びケース番号に基づいて、全てのグループ鍵を取得することができる。
表７の対応表を知らない第三者は、たとえＲ_Ａを不正に得たとしても、他の五つのグループ鍵を知ることはできない。
本例では、ハブノードＨにおけるネットワーク符号化情報Ｒ_１～Ｒ_５の定義のランダム化により、ネットワーク符号化に伴うメッセージの連鎖的な危殆化を防ぐことができる。

［４人の場合の別の例］
図１０に示すネットワークＮＷ４Ｂは、４つのユーザノードＡ～ＤとハブノードＨとを有する。４つのユーザノードＡ～Ｄの各々とハブノードＨとはリンクにより接続されている。また、ユーザノード同士を接続するリンクは存在しない。ユーザノードＡがメッセージＲ_Ａを保有し、ユーザノードＢがメッセージＲ_Ｂを保有し、ユーザノードＣがメッセージＲ_Ｃを保有し、ユーザノードＤがメッセージＲ_Ｄを保有している状態で、各ユーザノードは自ら保有するメッセージを他の３名のユーザにマルチキャスト配信する場合を想定した例である。

ネットワークＮＷ４Ｂにおいて、ユーザノードＡは、ハブノードＨに対し、メッセージＲ_Ａを鍵（Ｋ_ＡＨ）_１により秘匿化して送る。ハブノードＨは、ユーザノードＢに対し、メッセージＲ_Ａを鍵（Ｋ_ＢＨ）_１により秘匿化して送り、ユーザノードＣに対し、メッセージＲ_Ａを鍵（Ｋ_ＣＨ）_１により秘匿化して送り、ユーザノードＤに対し、メッセージＲ_Ａを鍵（Ｋ_ＤＨ）_１により秘匿化して送る。
ユーザノードＢは、ハブノードＨに対し、メッセージＲ_Ｂを鍵（Ｋ_ＢＨ）_２により秘匿化して送る。ハブノードＨは、ユーザノードＡに対し、メッセージＲ_Ｂを鍵（Ｋ_ＡＨ）_２により秘匿化して送り、ユーザノードＣに対し、メッセージＲ_Ｂを鍵（Ｋ_ＣＨ）_２により秘匿化して送り、ユーザノードＤに対し、メッセージＲ_Ｂを鍵（Ｋ_ＤＨ）_２により秘匿化して送る。
ユーザノードＣは、ハブノードＨに対し、メッセージＲ_Ｃを鍵（Ｋ_ＣＨ）_３により秘匿化して送る。ハブノードＨは、ユーザノードＡに対し、メッセージＲ_Ｃを鍵（Ｋ_ＡＨ）_３により秘匿化して送り、ユーザノードＢに対し、メッセージＲ_Ｃを鍵（Ｋ_ＢＨ）_３により秘匿化して送り、ユーザノードＤに対し、メッセージＲ_Ｃを鍵（Ｋ_ＤＨ）_３により秘匿化して送る。
ユーザノードＤは、ハブノードＨに対し、メッセージＲ_Ｄを鍵（Ｋ_ＤＨ）_４により秘匿化して送る。ハブノードＨは、ユーザノードＡに対し、メッセージＲ_Ｄを鍵（Ｋ_ＡＨ）_４により秘匿化して送り、ユーザノードＢに対し、メッセージＲ_Ｄを鍵（Ｋ_ＢＨ）_４により秘匿化して送り、ユーザノードＣに対し、メッセージＲ_Ｄを鍵（Ｋ_ＣＨ）_４により秘匿化して送る。

以上のようにして、ユーザノードＡ～Ｄは、メッセージＲ_Ａ～Ｒ_Ｄを共有できたことになる。この共有にあたり、図１０に示したように、ハブノードＨとユーザノードとの間の４つのリンクの各々で４個の鍵が消費される。ネットワークＮＷ４Ｂの全体で、１６個の鍵が消費される。

［４人の第３の例］
図１１Ａ（Ａ）にネットワークＮＷ４３を示す。このネットワークは、ネットワークＮＷ４Ｂと同様のトポロジーである。図１１Ａ（Ａ）～（Ｄ）に示すように、ユーザノードＡ、Ｂ、Ｃ、Ｄの各々は、各自が保有するメッセージＲ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄを、各リンクにあてがわれた鍵を用いて秘匿化した後、ハブノードＨに送る。

その結果、図１１Ｂ（Ａ）に示すように、ハブノードＨは、４つのメッセージＲ_Ａ～Ｒ_Ｄを保有することとなる。

続いて、ハブノードＨは以下の２つの排他的論理和（すなわち２つのネットワーク符号化情報）Ｒ_１及びＲ_２を計算する。

その後、図１１Ｂ（Ｂ）に示すように、ハブノードＨは、排他的論理和Ｒ_１～Ｒ_３を全てのユーザノードＡ～Ｄへ送る。各ユーザノードは、受信した排他的論理和Ｒ_１～Ｒ_３を、既に保有しているメッセージを用いて復号する。

具体的には、ユーザノードＡは、以下の計算により、メッセージＲ_Ｂ、Ｒ_Ｃ及びＲ_Ｄを得る。

ユーザノードＢは、以下の計算により、メッセージＲ_Ａ、Ｒ_Ｃ及びＲ_Ｄを得る。

ユーザノードＣは、以下の計算により、メッセージＲ_Ａ、Ｒ_Ｂ及びＲ_Ｄを得る。

ユーザノードＤは、以下の計算により、メッセージＲ_Ａ、Ｒ_Ｂ及びＲ_Ｃを得る。

以上のようにして、ユーザノードＡ～ＤによるメッセージＲ_Ａ～Ｒ_Ｄの共有ができたことになる。このとき、図１１Ｃに示すように、４つのリンクの各々において１つの鍵が消費される。つまり、合計４個の鍵が消費される。これは、図１０に示した方法により消費される鍵の数（１６個）の４分の１にあたる。このように、鍵の消費量を減らすことができる。

図１２に、これまでの各実施形態に係るネットワークを制御するネットワーク制御装置１００を示す。ネットワーク制御装置１００は、各ユーザノードに対して指示を行う第１指示部１１０と、ハブノードＨに対して指示を行う第２指示部１２０とを備える。第１指示部１１０からの指示により各ユーザノードはこれまでに述べた処理を行い、第２指示部１２０からの指示によりハブノードＨはこれまでに述べた処理を行う。
また、ネットワーク制御装置１００は、ネットワーク構成部１３０を備えていてもよい。ネットワーク構成部１３０は、上述したように、ある物理ユーザノードに仮想ユーザノードを追加し、当該物理ユーザノードが当初から保有している複数単位のメッセージのうち、少なくとも１単位のメッセージを当該仮想ユーザノードに割り当てて、当該物理ユーザノード及び当該仮想ユーザノードがネットワーク内の複数のユーザノードに含まれるものとなるように当該ネットワークを構成する処理を行う。
ネットワーク制御装置１００は送信部１４０を備えていてもよい。送信部１４０は、表７に示したようなケース番号（ルール番号）を各ユーザノード及びハブノードへ送る。

図１３に、ネットワーク制御装置１００のコンピュータハードウェア構成例を示す。ハブノードＨは、ＣＰＵ３５１と、インタフェース装置３５２と、表示装置３５３と、入力装置３５４と、ドライブ装置３５５と、補助記憶装置３５６と、メモリ装置３５７とを備えており、これらがバス３５８により相互に接続されている。

ネットワーク制御装置１００の機能を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体３５９によって提供される。プログラムを記録した記録媒体３５９がドライブ装置３５５にセットされると、プログラムが記録媒体３５９からドライブ装置３５５を介して補助記憶装置３５６にインストールされる。あるいは、プログラムのインストールは必ずしも記録媒体３５９により行う必要はなく、ネットワーク経由で行うこともできる。補助記憶装置３５６は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

メモリ装置３５７は、プログラムの起動指示があった場合に、補助記憶装置３５６からプログラムを読み出して格納する。ＣＰＵ３５１は、メモリ装置３５７に格納されたプログラムにしたがってネットワーク制御装置１００の機能を実現する。インタフェース装置３５２は、ネットワークを通して他のコンピュータに接続するためのインタフェースとして用いられる。表示装置３５３はプログラムによるＧＵＩ（Graphical User Interface）等を表示する。入力装置３５４はキーボード及びマウス等である。

なお、ネットワーク制御装置１００と同様のコンピュータハードウェア構成を、通信ネットワーク内の各ユーザノード及びハブノードも有する。

これまでに説明した実施形態は、装置としての側面だけではなく、方法としての側面及びコンピュータプログラムとしての側面をも有している。

秘匿通信網を利用したメッセージの共有において、複数個のメッセージの共有を、異なる時刻で個別に実行してもよいし、同一時刻に一括して実行してもよい。
ユーザノードは、公開通信路を通じて受信したネットワーク符号化情報（複数のメッセージの排他的論理和）から、手持ちのメッセージを用いて、他のメッセージを復元する。ネットワーク符号化情報は公開されるが、各々のメッセージは互いに秘匿化し合っているため、機密性は保たれる。各ユーザノードが、既に保有するメッセージを用いて他のメッセージを復号できるような、排他的論理和の演算対象となる複数のメッセージの組み合わせが、ネットワーク制御装置１００からハブノードＨに対して指示される。
これまでに述べた実施形態により、鍵（秘密乱数列）によるメッセージの秘匿化転送の一部を、ネットワーク符号化情報（複数のメッセージの排他的論理和）の公開とそれに続くメッセージの復元とに置き換えることによって、秘匿通信網における鍵の総消費量を減らすことが可能である。

［負荷分散］
図２Ｂを参照しながら述べたように、ネットワークＮＷ４Ａにおいては特定のリンクに秘密乱数列の使用が偏り、負荷が集中するという問題がある。

そこで、秘密乱数列の消費の負荷を分散させることを考える。図１４Ａ（Ａ）に、ネットワークＮＷ４Ｃを示す。このネットワークＮＷ４Ｃは、図２Ｂに示したネットワークＮＷ４Ａと同じトポロジーである。

図１４Ａ（Ａ）～（Ｄ）に示すように、ユーザノードＡ、Ｂ、Ｃ、Ｄの各々は、各自が保有するメッセージＲ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄを、各リンクにあてがわれた秘密乱数列Ｋ_ＨＡ、Ｋ_ＨＢ、Ｋ_ＨＣ、Ｋ_ＨＤを用いて秘匿化した後、ハブノードＨに送る。並行して、各ユーザノードは両隣のユーザノードにも秘密乱数列を用いてメッセージを秘匿化して送る。
同じく図１４Ａ（Ａ）～（Ｄ）に示すように、ハブノードＨは、メッセージＲ_Ａを鍵により秘匿化しユーザノードＢに送り、メッセージＲ_Ｂを鍵により秘匿化してユーザノードＡに送り、メッセージＲ_Ｃを鍵により秘匿化してユーザノードＤに送り、メッセージＲ_Ｄを鍵により秘匿化してユーザノードＣに送る。

このようにして４つのメッセージの共有が完了する。このとき、図１４Ｂに示すように、８本のリンクの各々において２個の鍵が消費され、消費の負荷が各リンクに分散している。しかし、消費される鍵の総数は１６個であり、図２Ｂに示した１２個に比べ増加している。つまり、図２Ｂに示したネットワークＮＷ４Ａに比べ、ネットワークＮＷ４Ｃにおいては秘密乱数列の消費の負荷は分散しているが、消費する秘密乱数列の総数が増えている。

また、図３に示したネットワークＮＷ６Ａにおいても、鍵の消費の負荷がユーザノード同士を接続するリンクに集中している。

以上のような問題を踏まえ、鍵の消費量を抑えつつ負荷の分散を図る実施形態を説明する。
図１５Ａ（Ａ）にネットワークＮＷ４４を示す。トポロジーは図２Ｂに示したネットワークＮＷ４Ａと同じである。
図１５Ａ（Ａ）～（Ｄ）に示すように、ユーザノードＡ～Ｄの各々は、各自が保有するメッセージＲ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄを、各リンクにあてがわれた秘密乱数列Ｋ_ＨＡ、Ｋ_ＨＢ、Ｋ_ＨＣ、Ｋ_ＨＤを用いて秘匿化した後、ハブノードＨに送る。これと並行して、各ユーザノードは、両隣のユーザにも秘密乱数列を用いてメッセージを秘匿化して送る。この段階で秘密乱数列の消費量は１２個であり、各ユーザノード及びハブノードが保有するメッセージを図１５Ｂ（Ａ）に示す。すなわち、ハブノードＨは４つのメッセージを全て保有し、ユーザノードＡは、３つのメッセージＲ_Ａ、Ｒ_Ｃ及びＲ_Ｄを保有し、ユーザノードＢは、３つのメッセージＲ_Ｂ、Ｒ_Ｃ及びＲ_Ｄを保有し、ユーザノードＣは、３つのメッセージＲ_Ａ、Ｒ_Ｂ及びＲ_Ｃを保有し、ユーザノードＤは、３つのメッセージＲ_Ａ、Ｒ_Ｂ及びＲ_Ｄを保有している。

続いて、図１５Ｂ（Ｂ）に示すように、ハブノードＨは、保有している４つのメッセージ（Ｒ_Ａ、Ｒ_Ｂ、Ｒ_Ｃ、Ｒ_Ｄ）の排他的論理和Ｒを以下のように計算する。
そして、ハブノードＨは、ネットワーク符号化情報である排他的論理和Ｒを公開する。すなわち、ハブノードＨは、ユーザノードＡ～Ｄの各々に対し各リンクを通じて排他的論理和Ｒを送る。
このとき排他的論理和Ｒが漏洩したとしても、４つのメッセージの各々は他の３つのメッセージを秘匿化しているため、機密性は保たれる。
各ユーザノードは、排他的論理和Ｒと、既に保有している３つのメッセージとの排他的論理和を計算することにより、第４番目のメッセージを取得することができる。
このとき、図１５Ｃに示すように、秘密乱数列の総消費量は１２個である。さらに、ユーザノード間の各リンクでは２個の鍵が消費され、ハブノードとユーザノードとの各リンクでは１個の鍵が消費される。

このように、秘匿通信網を用いてメッセージの共有を行う際に使用される秘密乱数列の消費と補給の負荷を、秘密乱数列の総消費量を増やすことなく、特定の伝送リンクから他の伝送リンクに分散することができる。これは、鍵共有のための秘匿通信網の可用性と利便性を向上させる。

図１６（Ａ）にネットワークＮＷ６５を示す。このネットワークＮＷ６５は、図３に示したネットワークＮＷ６Ａと同じトポロジーである。
図１６（Ａ）に示すように、ユーザノードＡはメッセージＲ_Ａを、両隣のユーザノードＣ及びＦに、鍵による秘匿化をした上で送る。並行してユーザノードＡは、ハブノードＨへもメッセージＲ_Ａを秘匿化して送る。ハブノードＨは、ユーザノードＥ及びＤに対しメッセージＲ_Ａを秘匿化して送る。このようにして、５つのユーザノードＡ、Ｃ、Ｆ、Ｅ及びＤの間でメッセージＲ_Ａが安全に共有される。ここまでで５個の秘密乱数列が消費されている。

メッセージＲ_Ｂ～Ｒ_Ｆについても同様の手順で共有が行われる。すなわち以下のとおりである。
図１６（Ｂ）に示すように、ユーザノードＢはメッセージＲ_Ｂを、両隣のユーザノードＥ及びＤに、鍵による秘匿化をした上で送る。並行してユーザノードＢは、ハブノードＨへもメッセージＲ_Ｂを秘匿化して送る。ハブノードＨは、ユーザノードＣ及びＦに対しメッセージＲ_Ｂを秘匿化して送る。このようにして、５つのユーザノードの間でメッセージが安全に共有される。
図１６（Ｃ）に示すように、ユーザノードＣはメッセージＲ_Ｃを、両隣のユーザノードＡ及びＥに、鍵による秘匿化をした上で送る。並行してユーザノードＣは、ハブノードＨへもメッセージＲ_Ｃを秘匿化して送る。ハブノードＨは、ユーザノードＢ及びＦに対しメッセージＲ_Ｃを秘匿化して送る。このようにして、５つのユーザノードの間でメッセージが安全に共有される。
図１６（Ｄ）に示すように、ユーザノードＤはメッセージＲ_Ｄを、両隣のユーザノードＢ及びＦに、鍵による秘匿化をした上で送る。並行してユーザノードＤは、ハブノードＨへもメッセージＲ_Ｄを秘匿化して送る。ハブノードＨは、ユーザノードＡ及びＥに対しメッセージＲ_Ｄを秘匿化して送る。このようにして、５つのユーザノードの間でメッセージが安全に共有される。
図１６（Ｅ）に示すように、ユーザノードＥはメッセージＲ_Ｅを、両隣のユーザノードＢ及びＣに、鍵による秘匿化をした上で送る。並行してユーザノードＥは、ハブノードＨへもメッセージＲ_Ｅを秘匿化して送る。ハブノードＨは、ユーザノードＡ及びＤに対しメッセージＲ_Ｅを秘匿化して送る。このようにして、５つのユーザノードの間でメッセージが安全に共有される。
図１６（Ｆ）に示すように、ユーザノードＦはメッセージＲ_Ｆを、両隣のユーザノードＡ及びＤに、鍵による秘匿化をした上で送る。並行してユーザノードＦは、ハブノードＨへもメッセージＲ_Ｆを秘匿化して送る。ハブノードＨは、ユーザノードＢ及びＣに対しメッセージＲ_Ｆを秘匿化して送る。このようにして、５つのユーザノードの間でメッセージが安全に共有される。
以上のようにして、６個のユーザノードＡ～Ｆの各々は５つのメッセージを取得し、ハブノードＨは６つ全てのメッセージを取得する。

続いてハブノードＨは、６つのメッセージの排他的論理和Ｒを以下のように計算する。
続いてハブノードＨは、各ユーザノードに公開通信路を通じて排他的論理和Ｒを送る。ユーザノードＡは、ハブノードＨから受け付けた排他的論理和Ｒと、既に保有している５つのメッセージＲ_Ａ、Ｒ_Ｃ、Ｒ_Ｄ、Ｒ_Ｅ及びＲ_Ｆの排他的論理和すなわち
との排他的論理和を計算することにより、ユーザノードＡにとって第６番目のメッセージであるメッセージＲ_Ｂを取得する。
他のユーザノードＢ～Ｆも同様にして、第６番目のメッセージを取得する。

このようにして、全てのユーザノードによる６個のメッセージの共有が完了したことになる。ネットワーク全体での秘密乱数列の消費量は３０個であり、負荷分散が行われない場合（図３（Ｇ））と同じである。他方、消費の負荷は、図１６（Ｇ）に示すように、ユーザノード同士を接続するリンクと、ユーザノードとハブノードとを接続するリンクとに対し分散されている。

鍵の消費量の増加を抑えつつ負荷の分散を図ることも、図１２に示したネットワーク制御装置１００により実現することができる。

ネットワーク制御装置１００内の第１指示部１１０、第２指示部１２０、ネットワーク構成部１３０及び送信部１４０は、物理的に同一のノードに存在してもよいし、物理的に異なる複数のノードに分散されて存在してもよい。

これまでに説明した実施形態に関し、以下の付記を開示する。
［付記１］
複数のユーザノードと、ハブノードと、前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクとを備えたネットワークにおけるネットワーク制御装置であって、
前記ユーザノードに指示を行う第１指示部と、
前記ハブノードに指示を行う第２指示部と
を備え、
前記第１指示部は、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを、当該ユーザノードと前記ハブノードとを接続する前記リンクに割り当てられた鍵により暗号化してなる暗号文を前記ハブノードへ送信するステップを行うよう指示し、
前記第２指示部は、前記ハブノードに対し、
前記複数のユーザノードから受信した複数の前記暗号文を前記鍵により復号し複数の前記メッセージを取得するステップと、
取得された複数の前記メッセージのうち、２つ以上の前記メッセージの組み合わせを所定のルールに基づいて定め、前記組み合わせに係る前記２つ以上の前記メッセージの排他的論理和を計算するステップと、
前記排他的論理和を前記複数のユーザノードの各々へ送信するステップと
を行うよう指示し、
前記第１指示部はさらに、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを用いて前記排他的論理和を復号するステップを行うよう指示する、
ネットワーク制御装置。
［付記２］
前記ネットワークが、２つの前記ユーザノードを接続するリンクをさらに備え、
前記第１指示部はさらに、前記２つのユーザノードのうちの一方のユーザノードに対し、当該ユーザノードが保有するメッセージを、当該ユーザノードと前記２つのユーザノードのうちの他方のユーザノードとを接続する前記リンクに割り当てられた鍵により暗号化してなる暗号文を前記他方のユーザノードへ送信するステップを行うよう指示する、
付記１に記載のネットワーク制御装置。
［付記３］
複数単位のメッセージを保有している物理ユーザノードに仮想ユーザノードを追加し、前記物理ユーザノードが保有している前記複数単位のメッセージのうち、少なくとも１単位のメッセージを前記仮想ユーザノードに割り当てて、前記物理ユーザノード及び前記仮想ユーザノードが前記複数のユーザノードに含まれるものとなるように前記ネットワークを構成するネットワーク構成部をさらに備える付記１又は２に記載のネットワーク制御装置。
［付記４］
前記所定のルールを含む複数のルールを前記複数のユーザノードの各々と前記ハブノードとに対して送信する送信部をさらに備え、
前記第２指示部は、前記所定のルールが前記複数のルールのうちのいずれであるかを示すルール番号と前記排他的論理和とを前記複数のユーザノードの各々に送信するよう指示を行う、
付記１～３のいずれか一項に記載のネットワーク制御装置。
［付記５］
前記第１指示部と前記第２指示部とが物理的に異なるノードに存在する、付記１～４のいずれか一項に記載のネットワーク制御装置。
［付記６］
付記１～５のいずれか一項に記載のネットワーク制御装置と、
前記複数のユーザノードと、
前記ハブノードと、
前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクと
を備えるネットワーク。

以上、本発明の実施の形態につき述べたが、本発明は既述の実施の形態に限定されるものではなく、本発明の技術的思想に基づいて各種の変形及び変更が可能である。

ＱＭ ＱＫＤモジュール
ＴＮ トラステッドノード
ＫＭ 鍵マネージャ
ＣＴ ＱＫＤＮコントローラ
ＭＧ１ ＱＫＤＮマネージャ
ＭＧ２ ネットワークマネージャ
ＵＤ ユーザ端末
Ａ～Ｆ ユーザノード
Ｈ ハブノード
１００ 制御装置
１１０ 第１指示部
１２０ 第２指示部
１３０ ネットワーク構成部
１４０ 送信部

Claims (6)

1. 複数のユーザノードと、ハブノードと、前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクとを備えたネットワークにおけるネットワーク制御装置であって、
   前記ユーザノードに指示を行う第１指示部と、
   前記ハブノードに指示を行う第２指示部と
   を備え、
   前記第１指示部は、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを、当該ユーザノードと前記ハブノードとを接続する前記リンクに割り当てられた鍵により暗号化してなる暗号文を前記ハブノードへ送信するステップを行うよう指示し、
   前記第２指示部は、前記ハブノードに対し、
   前記複数のユーザノードから受信した複数の前記暗号文を前記鍵により復号し複数の前記メッセージを取得するステップと、
   取得された複数の前記メッセージのうち、２つ以上の前記メッセージの組み合わせを所定のルールに基づいて定め、前記組み合わせに係る前記２つ以上の前記メッセージの排他的論理和を計算するステップと、
   前記排他的論理和を前記複数のユーザノードの各々へ送信するステップと
   を行うよう指示し、
   前記第１指示部はさらに、前記複数のユーザノードの各々に対し、当該ユーザノードが保有するメッセージを用いて前記排他的論理和を復号するステップを行うよう指示する、
   ネットワーク制御装置。
2. 前記ネットワークが、２つの前記ユーザノードを接続するリンクをさらに備え、
   前記第１指示部はさらに、前記２つのユーザノードのうちの一方のユーザノードに対し、当該ユーザノードが保有するメッセージを、当該ユーザノードと前記２つのユーザノードのうちの他方のユーザノードとを接続する前記リンクに割り当てられた鍵により暗号化してなる暗号文を前記他方のユーザノードへ送信するステップを行うよう指示する、
   請求項１に記載のネットワーク制御装置。
3. 複数単位のメッセージを保有している物理ユーザノードに仮想ユーザノードを追加し、前記物理ユーザノードが保有している前記複数単位のメッセージのうち、少なくとも１単位のメッセージを前記仮想ユーザノードに割り当てて、前記物理ユーザノード及び前記仮想ユーザノードが前記複数のユーザノードに含まれるものとなるように前記ネットワークを構成するネットワーク構成部をさらに備える請求項１又は２に記載のネットワーク制御装置。
4. 前記所定のルールを含む複数のルールを前記複数のユーザノードの各々と前記ハブノードとに対して送信する送信部をさらに備え、
   前記第２指示部は、前記所定のルールが前記複数のルールのうちのいずれであるかを示すルール番号と前記排他的論理和とを前記複数のユーザノードの各々に送信するよう指示を行う、
   請求項１～３のいずれか一項に記載のネットワーク制御装置。
5. 前記第１指示部と前記第２指示部とが物理的に異なるノードに存在する、請求項１～４のいずれか一項に記載のネットワーク制御装置。
6. 請求項１～５のいずれか一項に記載のネットワーク制御装置と、
   前記複数のユーザノードと、
   前記ハブノードと、
   前記複数のユーザノードの各々と前記ハブノードとをそれぞれ接続する複数のリンクと
   を備えるネットワーク。

Images