JP2023157175A - ユーザ拠点装置、暗号通信システム、暗号通信方法 - Google Patents

Abstract

【課題】第１と第２のユーザ拠点間で共有する暗号鍵が盗聴されるの安価な手段と方法で防止し、セキュリティを向上させたユーザ拠点装置、暗号通信システム及び暗号通信方法を提供する。【解決手段】ユーザ拠点は、暗号データを送信するための暗号モジュールと、前記暗号データを生成するのに使用された暗号鍵を復元及び分散する機能を有した鍵共有モジュールとを備える。前記鍵共有モジュールは、前記暗号鍵を分散した複数の乱数鍵を、それぞれ異なる経路で配送するために、複数のＣＶＱＫＤ装置を有し、この複数のＣＶＱＫＤ装置は、前記異なる経路のそれぞれの設けられた中継ノード内のＣＶＱＫＤ装置に量子接続しており、さらに前記複数のＣＶＱＫＤ装置は、前記暗号鍵の分散と、分散された暗号鍵の復元を行うために、暗号鍵の分散／復元回路と接続している。【選択図】図２

Description

本発明は、ユーザ拠点装置、暗号通信システム、暗号通信方法に関する。

現在普及している公開鍵暗号方式は、既存のコンピュータ、アルゴリズムでは有効な時間内に解読できないという計算量的安全性に依拠している。将来、量子コンピュータの運用が始まると、計算量的安全性が保証されなくなり、従来の暗号方式ではセキュアな通信を担保することができなくなる。そこで、計算的安全性に依らない、情報理論的安全性をもつ暗号方式として量子暗号が期待されている。

しかし量子暗号を利用するシステムでは光ケーブルを用いる性質上、遠隔地のユーザ同が、直接鍵を共有できる距離に制約がある。そこで、通信距離を延ばすために、中間ノード（或は中継ノード）を利用して、量子暗号鍵を中継する技術がある。この中継技術を用いると、遠隔地に離れたユーザ同士が、量子暗号鍵を共有することができる。

しかし、量子暗号プロトコルＢＢ８４を用いたＱｕａｎｔｕｍ Ｋｅｙ Ｄｉｓｔｒｉｂｕｔｉｏｎ（以下ＢＢ８４ＱＫＤと記す）装置は、高価であり、ユーザが多数を容易に所有できないという課題がある。

このため、暗号鍵（乱数鍵）をルーティングする拠点（鍵配信サーバ）からユーザ拠点への鍵配送をインターネットで実現してコストを低減しようという考えがある。

しかしこの方法は、インターネット上で配送中の暗号鍵（乱数鍵）を盗聴されるというリスクが発生する。このような問題は、ラストワンマイル問題と称される。

特許第３２６３８７８号公報 特許第４３０４２１５号公報 特許第５６７２４２５号公報 特許第５６８５７３５号公報 特許第６７８３７７２号公報

上記したように、暗号鍵をルーティングする拠点からユーザ拠点への鍵配送をインターネットで実現すると、上記ラストワンマイル問題が生じることになる。

そこで本発明の目的は、ユーザ拠点と、このユーザ拠点で使用する暗号鍵（乱数鍵とも称される）を送出するための中継ノード、及び前記ユーザ拠点から当該暗号鍵を受取るための中継ノードを、比較的安価な別のＱＫＤ装置（例えばＣＶＱＫＤ（Ｃｏｎｔｉｎｕｏｕｓ Ｖａｒｉａｂｌｅ ＱＫＤ）装置）を持つノードとし、セキュリティを向上させたユーザ拠点装置、暗号通信システム及び暗号通信方法を提供することにある。

さらにまた、暗号鍵（乱数鍵）を分散し、分散した乱数鍵を送信する、また分散されている乱数鍵を受信するために、複数の経路（ルート）を設けて、暗号鍵（乱数鍵）が、経路の途中で完全復元されるのを抑制することができる、ユーザ拠点装置、暗号通信システム及び暗号通信方法を提供することにある。

一実施形態によれば、暗号データを送信するための暗号モジュールと、
前記暗号データを生成するのに使用された暗号鍵を少なくとも復元する機能を有した鍵共有を備えたユーザ拠点の装置であって、
前記鍵共有モジュールは、
前記暗号鍵を分散した複数の乱数鍵を、異なる経路で配送するためと、前記異なる経路から送られてくる分散された暗号鍵を受信するために、
前記異なる経路のそれぞれの初段に設けられた中継ノード内のフロントエンドに適する量子暗号通信装置（例えばＣＶＱＫＤ装置）に量子接続される、複数のフロントエンドに適する量子暗号通信装置を有するとともに、
前記複数のフロントエンドに適する量子暗号通信装置には、前記暗号鍵の分散及び分散された暗号鍵の復元を行う暗号鍵の分散／復元回路を接続している、ユーザ拠点装置が提供される。

図１は本発明の前提となる量子暗号通信システムの構成説明図である。 図２は本発明の一実施形態を示す構成説明図である。 図３は図２の鍵共有モジュール１０２、２０２の構成例を示す図である。 図４は拠点Ａ内の機器配列の例を示す説明図である。 図５Ａは中継ノード内の機器配列の例を示す説明図である。 図５Ｂは中間ノード内の機器配列の例を示す説明図である。 図６は本発明のさらに他の実施形態を示す構成説明図である。 図７は暗号鍵を分散して複数の経路（ルート）に割り当てる場合の処理の一例を説明するフローチャートである。 図８は複数の経路に分散した鍵を集合して、復元する際の処理の一例を説明するためのフローチャートである。 図９は上記複数の鍵伝送経路を設定するタイプであってスタティクタイプを説明する説明図である。 図１０は、上記複数の鍵伝送経路を設定するタイプであってダイナミックタイプを示す説明図である。 図１１は、中継ノードと中間ノードにおけるＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせの例を示す図である。 図１２は、中継ノードと中間ノードにおけるＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせの他の例を示す図である。 図１３は、中継ノードと中間ノードにおけるＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせのさらに他の例を示す図である。 図１４は、鍵共有モジュールにおける暗号鍵（乱数鍵）１３２の生成方法と、拠点Ａにおける平文データ１３１の暗号化の一例を説明する図である。 図１５は、分散された暗号鍵の生成方法を説明する説明図である。 図１６は、分散された暗号鍵の復元方法を説明する説明図である。 図１７は、拠点Ａにおける平文データ１３１の暗号化の一例を示す説明図である。 図１８は、分散された暗号鍵の生成方法の他の例を説明する説明図である。 図１９は、分散された暗号鍵の復元方法の他の例を説明する説明図である。

以下、実施の形態について図面を参照して説明する。
図１はこの発明の前提となる量子暗号通信システムの構成例を示している。今、Ａが送信元の第１の拠点（ユーザＡの装置と称してもよい）であり、Ｂが、送信先の第２の拠点Ｂ（ユーザＢの装置と称してもよい）とする。なお拠点Ａと拠点Ｂは、相互に通信が可能であるが、ここでは、第１の拠点Ａを送信元、第２の拠点Ｂを送信先として説明する。第１の拠点Ａと第２の拠点Ｂとは、暗号データ伝送系３００を介して接続されている。暗号データ伝送系３００は、例えばインターネット上に構成されている。

第１の拠点Ａは、プロセッサ１００、暗号モジュール１０１、鍵共有モジュール１０２を含む。また第２の拠点Ｂも、プロセッサ２００、暗号モジュール２０１、鍵共有モジュール２０２を含む。

ここで、第１の拠点Ａの鍵共有モジュール１０２と、第２の拠点Ｂの鍵共有モジュール２０２は、それぞれ例えばＣＶＱＫＤ装置（第２種ＱＣＤ装置と称してもよい）により構成されているものとする。

第１の拠点Ａの鍵共有モジュール１０２は、量子鍵配送路５１１を介して中継ノードＣに接続されている。また第２の拠点Ｂの鍵共有モジュール２０２は、量子鍵配送路５２１を介して中継ノードＤに接続されている。

中継ノードＣは、ＣＶＱＫＤ装置４１１と、ＢＢ８４ＱＫＤ装置（量子暗号プロトコルＢＢ８４を用いたＱＫＤ装置であり、第1種ＱＫＤ装置と称してもよい）４４２とを含み、互いのＱＫＤ装置は、相互に乱数鍵をやり取りすることができる。

端末ノードＤも、端末ノードＣと同様な構成であり、ＣＶＱＫＤ装置４４４と、ＢＢ８４ＱＫＤ装置４４３（第１種ＱＫＤ装置）とを含み、互いのＱＫＤ装置は、相互に乱数鍵をやり取りすることができる。

中継ノードＣのＢＢ８４ＱＫＤ装置４４２と中継ノードＤのＢＢ８４ＱＫＤ装置４４３との間は、中間ノード４０１、４０２を接続した暗号鍵伝送経路４００で接続されている。中間ノード４０１は、ＢＢ８４ＱＫＤ装置４１１とＢＢ８４ＱＫＤ装置４２１を有し、中間ノード４０２もＢＢ８４ＱＫＤ装置４１１とＢＢ８４ＱＫＤ装置４２２を有する。この暗号鍵伝送経路４００は、量子暗号鍵をいわゆる入れ子構造で配信するもので、例えば鍵Ａ１を鍵Ａ２に変換し、次に鍵Ａ２を鍵Ａ３に変換して、最後に鍵Ａ１に戻すように配信するという方式である。このような配信を行うことで、盗聴を防止し、セキュリティを高くしている。

上記のシステムでは、鍵共有モジュール１０２が、暗号鍵（乱数鍵）１３２を生成する。暗号モジュール１０１は、鍵共有モジュール１０２からの暗号鍵（乱数鍵）１３２を用いて、平文データ１３１を暗号化する。そして暗号化した暗号データ３０２を、暗号データ伝送系３００を介して、第２の拠点Ｂへ送信する。なお平文データ１３１は、プロセッサ１００内の図示しない記憶装置から読み出されたものである。また、暗号データ３０２は、例えば、平文データ１３１と暗号鍵１３２とがイクスクルーシブルオア（ＸＯＲ）演算されて得られたデータである。また暗号データ伝送系３００は、インターネットである。

一方、中継ノードＣは、拠点Ａの鍵共有モジュール１０２から送られてくる暗号鍵（乱数鍵）を、ＣＶＱＫＤ装置４１１で受け取り、次にＢＢ８４ＱＫＤ装置４４２に入力し、このＢＢ８４ＱＫＤ装置４４２から外部の暗号鍵伝送経路４００へ出力するという、中継処理を行う。

ＢＢ８４ＱＫＤ装置４４２は、量子鍵（光通信を暗号鍵）を暗号鍵伝送経路４００の中間ノード４０１のＢＢ８４ＱＫＤ装置４１１に向けて出力する。

中間ノード４０１内では、ＢＢ８４ＱＫＤ装置４１１からの乱数鍵をＢＢ８４ＱＫＤ装置４１２が受け取る。次に、このＢＢ８４ＱＫＤ装置４１２は、乱数鍵を次の中間ノード４０２のＢＢ８４ＱＫＤ装置４２１へ送信する。この中間ノード４０２内では、ＢＢ８４ＱＫＤ装置４２１からの乱数鍵をＢＢ８４ＱＫＤ装置４２２が受け取る。

上記のように暗号鍵伝送経路４００の中間ノード４０１、４０２では、ＢＢ８４ＱＫＤ装置のみによる量子鍵配送による乱数鍵の配信が行われる。

上記のように配送される乱数鍵は、拠点Ｂに近くなると、中継ノードＤのＢＢ８４ＱＫＤ装置４４３により受信される。ＢＢ８４ＱＫＤ装置４４３で受信された乱数鍵は、ＣＶＱＫＤ装置４４４に送られる。ＣＶＱＫＤ装置４４４は、乱数鍵を、量子鍵配送路５２１を介して拠点Ｂ内の鍵共有モジュール２０２に配信する。

鍵共有モジュール２０２は、暗号（乱数）鍵１３２を暗号モジュール２０１に供給する。暗号モジュール２０１は、暗号データ伝送系３００から取得した暗号データ３０２と暗号鍵１３２とを用いて復号演算を行い、元の平文データ１３１を得る。この平文データは、プロセッサ２００に取り込まれる。

上記したシステムによると、第１の中継ノードＣと記第１の鍵共有モジュール１０２との間は、第１の量子鍵配送路５１１で接続し、暗号鍵を配送するのに、互いのＣＶＱＤ装置を用いている。また同様に、第２の中継ノードＤと前記第２の鍵共有モジュール２０２との間も、量子鍵配送路５２１で接続し、暗号鍵を配送するのに、互いのＣＶＱＫＤ装置を用いている。

この結果、本暗号通信システム及び暗号通信方法によると、拠点Ａと中継ノードＣ間の盗聴危険領域における暗号鍵配送が量子鍵配送路５１１となったことで、セキュリティ性能が高くなっている。また拠点Ｂと中継ノードＤ間においても同様なことが言える。

しかし図１に示す構成であっても、さらなる不安がある。そこで発明者は、上記した暗号通信システムのセキュリティ能力をさらに向上させることに着目した。

図２は、本発明の一実施形態を示している。この実施形態は、中継ノードＣのＢＢ８４ＱＫＤ装置４４２とＣＶＱＫＤ装置４４１との間の接続ラインＹ１、中継ノードＤのＢＢ８４ＱＫＤ装置４４３とＣＶＱＫＤ装置４４４との間の接続ラインＹ２において、盗聴が行われる可能性がるので、さらに暗号鍵のセキュリティを担保できるようにしている。

図１と同一部分には、図１と同じ符号を付して説明する。図２のシステムは、拠点Ａと拠点Ｂとの間にさらに第２の暗号鍵伝送経路６００を設けている。

ここで、先の暗号鍵伝送経路４００を、第１の暗号鍵伝送経路４００、図２に示した暗号鍵伝送経路６００を、第２の暗号鍵伝送経路６００と称して説明を行う。

第２の暗号鍵伝送経路６００は、中継ノード６０１と中継ノード６０２を直列に接続している。中継ノード６０１は、ＣＶＱＫＤ装置６１１とＢＢ８４ＱＫＤ装置６１２を直列接続した構成である。同様に中継ノード６０２も、ＢＢ８４ＱＫＤ装置６２１とＣＶＱＫＤ装置６２２とを直列接続した構成である。勿論、中継ノード６０１と６０２の間に、第１の暗号鍵伝送経路４００のように中間ノードが複数存在してもよい。

上記の構成であると、複数（この例では２つ）の暗号鍵伝送路４００が設けられている。このために鍵共有モジュール１０２の内部には、各経路４００と６００の中継ノード内のＣＶＱＫＤ装置に接続するための２つのＣＶＱＫＤ装置１０２ａと１０２ｂとが設けられている。

即ち、拠点Ａの鍵共有モジュール１０２は、中継ノードＣのＣＶＱＫＤ装置４４１と接続するＣＶＱＫＤ装置１０２ａ（光ケーブル５１１ａで接続）と、第２の暗号鍵伝送経路６００の中継ノード６０１のＣＶＱＫＤ装置６１１に接続するＣＶＱＫＤ装置１０２ｂを備える（光ケーブル５１１ｂで接続）。

また拠点Ｂの鍵共有モジュール２０２も、拠点Ａと同様な構成であり、中継ノードＤのＣＶＱＫＤ装置４４４と接続するＣＶＱＫＤ装置２０２ａ（光ケーブル５２１ａで接続）と、第２の暗号鍵伝送経路６００の中継ノード６０２のＣＶＱＫＤ装置６２２に接続するＣＶＱＫＤ装置２０２ｂ（光ケーブル５２１ｂで接続）を備える。

上記した構成によると、送信元と宛先で暗号鍵を分散して、複数の暗号鍵伝送路４００、６００を用いて暗号鍵を共有している。このため暗号鍵伝送路上のいずれかのノード(中間ノードや中継ノード)が攻撃されても、攻撃者は分散された暗号鍵の一部しか取得できず、暗号鍵のすべてを得ることができない。そのため、本構成によってユーザは安全に暗号鍵を共有し、暗号通信することができる。

なおＣＶＱＫＤ装置は、ＢＢ８４ＱＫＤ装置よりも安価に実施できる。ＢＢ８４ＱＫＤ装置は、光を粒状の光子として捉える量子検出器を採用しており、高い性能を有するものが求められ、それ故、高価となる。これに対して、ＣＶＱＫＤ装置は、光を波の強弱として捉える一般的な光検出器を採用しており、安価に実施できるという特徴がある。しかし両者は、光ケーブルで接続が可能であり、共存が可能である。本システムは、この共存性を旨く利用し、安価に通信のセキュリティ向上を実現しているのである。

図３は、図２の拠点Ａの鍵共有モジュール１０２の構成例を代表して示している。本実施形態の場合、２つのＣＶＱＫＤ装置１０２ａと１０２ｂとが、分散／復元回路１０２ｃに接続されて構成される。ＣＶＱＫＤ装置１０２ａは、光ケーブル５１１ａを介して中継ノードＣと接続され、ＣＶＱＫＤ装置１０２ｂは、光ケーブル５１１ｂを介して中継ノード６０１と接続される。

図２の鍵共有モジュール２０２も、上記と同様な構成であり、鍵共有モジュール２０２の場合は、光ケーブル５２１ａと５２１ｂに各ＣＶＱＫＤ装置がそれぞれ接続される。

従って、本実施における拠点Ａや拠点Ｂの装置としての構成は、以下のように言える。即ち、暗号データを送信するための暗号モジュール１０１と、前記暗号データを生成するのに使用された暗号鍵を復元または分散する機能を有した鍵共有モジュール１０２を備えたユーザ拠点の装置Ａである。そして、
前記鍵共有モジュール１０２は、前記暗号鍵を分散した複数の暗号鍵（複数の乱数鍵）を、異なる経路で配送するためと、前記異なる経路から送られてくる分散されている暗号鍵を受信するために、
前記異なる経路の初段に設けられた中継ノード内のＣＶＱＫＤ装置に量子接続される、複数のＣＶＱＫＤ装置１０２ａ，１０２ｂと、前記複数のＣＶＱＫＤ装置が接続されている、前記暗号鍵の分散／復元回路１０２ｃとを備えた、ユーザ拠点装置である。

また上記の実施例において、暗号通信システムとしての構成は、以下のように言える。即ち、暗号通信システムは、暗号データ伝送系で接続された第１の拠点Ａとの第２の拠点Ｂを有する。そして、第１の中継ノードＣと前記第１の拠点Ａとは、互いのＣＶＱＫＤ装置により量子接続され、分散された前記暗号鍵の中継を行う。また、第２の中継ノードＤと前記第２の拠点Ｂとは、互いのＣＶＱＫＤ装置により量子接続され、分散された前記暗号鍵の中継を行う。さらに、第３の中継ノード６０１と前記第１の拠点Ａとは、互いのＣＶＱＫＤ装置により量子接続され、分散された前記暗号鍵の中継を行う。さらにまた第４の中継ノード６０２と前記第２の拠点Ｂとは、互いのＣＶＱＫＤ装置により量子接続され、分散された前記暗号鍵の中継を行う。そして、
前記第１の中継ノードＣと前記第２の中継ノードＤとの間は、互いのＢＢ８４ＱＫＤ装置により接続され、前記第３の中継ノード６０１と前記第４の中継ノード６０２との間も、互いのＢＢ８４ＱＫＤ装置により接続されている、暗号通信システムである。

次に、上記した各ブロック（拠点、中継ノード、中間ノード等）内のデバイス外観を示して構成を説明する。

図４は、拠点Ａや拠点Ｂ内の機器配列の構成例を示す説明図である。拠点Ａを代表して説明する。暗号モジュール１０１は、暗号通信サーバ１０１ａを有し、プロセッサ１００は、例えばパーソナルコンピュータを含む。また、鍵共有モジュール１０２は、ＣＶＱＫＤ装置１０２ａ，１０２ｂ，制御サーバ１０２ｃ、鍵管理サーバ１０２ｄを備える。

上記の暗号通信サーバ１０１ａは、プロセッサ１００からのアプリケーションの要求に応じて、鍵管理サーバ１０２ｄが共有している暗号鍵を用いて、平文データを暗号化する機能と、他の拠点Ｂへ暗号化した暗号データを送信する機能を有する。

鍵共有モジュール１０２内の制御サーバ１０２ｃは、鍵共有モジュール１０２の全体を統括して制御する。鍵管理サーバ１０２ｄは、他の拠点Ｂと暗号鍵を共有する機能を持つ。また、鍵管理サーバ１０２ｄは、図３で説明したように暗号鍵を分散、或は復元する機能を有する。

ＣＶＱＫＤ装置１０２ａ，１０２ｂは、図２或は図３で示したように、光ケーブル５１１ａを介して中継ノードＣのＣＶＱＫＤ装置４４１に接続され、ＣＶＱＫＤ装置１０２ｂは、光ケーブル５１１ｂを介して中継ノード６０１のＣＶＱＫＤ装置６１１に接続される。拠点Ｂも同様な構成である。

図５Ａは、中継ノードＣ、Ｄ内の機器配列の例を示す説明図である。中継ノードＣを代表して説明する。中継ノードＣは、鍵管理サーバ４６１、制御サーバ４６２、ＣＶＱＫＤ装置４４１、ＢＢ８４ＱＫＤ装置４４２を含む。

中継ノードＣは、ＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置とでラストワンマイルをつなげる拠点である。中継ノードＣには、ユーザ拠点Ａと接続するための安価なＣＶＱＫＤ装置４４１と、中間ノード４０１内のＢＢ４８ＱＫＤ装置４１１と接続するためのＢＢ８４ＱＫＤ装置４４２とが設置される。いずれの接続も光ケーブルが用いられる。

制御サーバ４６２は、ＣＶＱＫＤ装置４４１を用いてユーザ拠点Ａと光ファイバを通じて通信を行い量子鍵を共有する機能を持つ。また、制御サーバ４６２は、ＢＢ８４ＱＫＤ装置４４２を用いて中間ノード４０１のＢＢ８４ＱＫＤ装置４１１と光ファイバを通じて通信を行い量子鍵を共有する機能を持つ。

鍵管理サーバ４６１は一般のネットワークを通じて、制御サーバ４６２から取得する量子鍵を用いてユーザ拠点間で共有しようとしている暗号鍵（分散された乱数鍵）を次のノード(ユーザ拠点、中継ノード、中間ノード)へルーティングする機能を持つ。

図５Ｂは、中間ノード４０１、４０２の機器配列の例を示す説明図である。中間ノード４０１を代表して説明する。中間ノード４０１は、鍵管理サーバ４６１、制御サーバ４６２、ＢＢ８４ＱＫＤ装置４１１、ＢＢ８４ＱＫＤ装置４１２を含む。

この中間ノードは、ＢＢ８４ＱＫＤ装置４１１、ＢＢ８４ＱＫＤ装置４１２により、分散された暗号鍵（分散された乱数鍵）をリレーする拠点である。

制御サーバ４６２は、ＢＢ８４ＱＫＤ装置４１１、ＢＢ８４ＱＫＤ装置４１２を用いて中継ノードまたは中間ノードと光ファイバを通じて量子鍵を共有する機能を持つ。鍵管理サーバ４６１は一般のネットワークを通じて、制御サーバ４６２から取得する量子鍵を用いてユーザ拠点間で共有しようとしている暗号鍵を次のノード(ユーザ拠点、中継ノード、中間ノード)へルーティングする機能を持つ。

図６は、さらなる実施形態を示す図である。この実施形態は、暗号鍵（分散された暗号鍵）をメッシュ型の量子暗号配信網を介して複数のユーザ拠点間でのやり取りを可能としている。先の実施形態と同一機能の部分には、先の実施形態と同一符号を付して説明する。

本実施形態であると、メッシュ型の量子暗号配信網であることから、暗号鍵伝送経路の数は、任意に設定することができ、多数の鍵伝送経路（ルート）を構築することが可能である。多数の鍵伝送経路（ルート）の設定タイプは、スタティクタイプでもよいし、ダイナミックタイプでも可能である。

図６の例は、鍵伝送経路が３つ構築された例を示している。拠点Ａから拠点Ｂへ暗号データが送信される場合を説明する。

第１の鍵伝送経路ＲＵ１は、拠点Ａ側の中継ノードＲＵ１１と、拠点Ｂ側の中継ノードＲＵ１Ｎとの間に構築されており、中間ノードＲＵ１２、ＲＵ１３・・・・・ＲＵ１（Ｎ－１）により構成されている。
第２の鍵伝送経路ＲＵ２は、拠点Ａ側の中継ノードＲＵ２１と、拠点Ｂ側の中継ノードＲＵ２Ｎとの間に構築されており、中間ノードＲＵ２２、ＲＵ２３・・・・・ＲＵ２（Ｎ－１）により構成されている。
第３の鍵伝送経路ＲＵ３は、拠点Ａ側の中継ノードＲＵ３１と、拠点Ｂ側の中継ノードＲＵ３Ｎとの間に、構築されており、中間ノードＲＵ３２、ＲＵ３３・・・・・ＲＵ３（Ｎ－１）により構成されている。

この実施例では、暗号鍵１３２は、３つの分散された暗号鍵１３２ａ，１３２ｂ，１３２ｃとなり、それぞれが、鍵伝送経路ＲＵ１、ＲＵ２、ＲＵ３を介して、拠点Ａから拠点Ｂへ伝送されるものとして説明する。拠点Ａの暗号モジュール１０１は、暗号データ伝送系３００を介して拠点Ｂの暗号モジュール２０１へ伝送される。

なお、図では分かり易くするために鍵の形が単純に３つに分割された状態を示している。しかし各種の暗号化方法があり、また「分割」と「分散」は、異なるものであり、これらの暗号鍵の生成方法については、後で説明することにする。

一方、分散された暗号鍵（分散された乱数鍵と称してもよい）１３２ａ，１３２ｂ，１３２ｃは、鍵共有モジュール１０２から、それぞれのルートを形成する中継ノードＲＵ１、ＲＵ２、ＲＵ３へ送出される。それぞれの中継ノードＲＵ１、ＲＵ２、ＲＵ３の構成は、図２、図５Ａで説明した構成と同じ構成である。拠点Ａの鍵共有モジュール１０２は、各中継ノードＲＵ１、ＲＵ２、ＲＵ３へ暗号鍵１３２ａ，１３２ｂ，１３２ｃを送出するために３つのＣＶＱＫＤ装置を備えている。

中間ノードＲＵ１２、ＲＵ１３・・・・・ＲＵ１（Ｎ－１）、中間ノードＲＵ２２、ＲＵ２３・・・・・ＲＵ２（Ｎ－１）、中間ノードＲＵ３２、ＲＵ３３・・・・・ＲＵ３（Ｎ－１）は、それぞれ、図２、図５Ｂで説明した構成と同じ構成である。拠点Ｂの鍵共有モジュール２０２は、各中継ノードＲＵ１、ＲＵ２、ＲＵ３からの暗号鍵１３２ａ，１３２ｂ，１３２ｃを受信するために３つのＣＶＱＫＤ装置を備えている。

なお、中間ノードの数は、拠点Ａと拠点Ｂ間の距離に応じて任意に調整可能である。したがって、中間ノードが不要な場合もあり、拠点Ａ側の中継ノードと拠点Ｂ側の中継ノードが直接接続される場合もある。またこの実施形態であると、メッシュ型の量子暗号配信網が利用されるので、ルート数の変更も可能である。

図７は、暗号鍵を分散して、分散された暗号鍵を複数の経路（ルート）に割り当てる場合の処理の一例を説明するフローチャートである。この処理機能は、それぞれの鍵共有モジュール１０２、２０２内に設けられている。

この処理機能は、大きく分けると、量子鍵共有処理ブロック７１０、暗号鍵生成ブロック７２０、暗号鍵分散処理部７３０で構成されている。

量子鍵共有処理ブロック７１０は、入力部７１から指令を取り込む。指令に応じて、量子鍵共有処理ブロック７１０は、予め、量子鍵を共有するための任意の複数の経路を準備する。例えば、経路１から経路ｎが準備される。各経路の情報は、例えば先に説明した拠点Ａから拠点Ｂの間の中継ノードと中間ノードの配列情報である。この経路１－ｎは、同時に全てが使用されるのではなく、量子鍵共有処理ブロック７１０は、経路１、経路２、経路３、・・・・経路ｎの中からできるだけ今まで利用されていない経路を選択して特定する。したがって、各経路のプロフィール情報には、使用回数の情報も含まれる。

次に、暗号鍵生成ブロック７２０は、複数の経路が特定された後、ある拠点から別の拠点に配信するための暗号鍵を生成する。

次に、暗号鍵分散処理部７３０では、暗号鍵をを以下のように処理する。まず暗号鍵を分散する（ステップ７３１）。この場合、分散数は先に設定した複数の経路の数と同じ数になるように分散し、分散された暗号鍵を生成し、それぞれをメモリに保存する。なお、暗号鍵の分散とは、後述するように、生成した乱数を暗号鍵を分散した結果とみなす場合もある。

次に、分散した暗号鍵がメモリに残っているか否かのチェックを行う（ステップ７３２）。残っている場合は、分散した暗号鍵の送信経路を選択し、例えば使用回数の少ない経路から選択する（ステップ７３３）。次ぎに、分散した鍵（共有する量子鍵）を選択した経路に送信し、ステップ７３２に戻る（ステップ７３４）。ステップ７３２からステップ７３４のルーチンが繰り返されて、分散した鍵が残っていない場合は、終了通知を出力部７２に出力する。

図８は、受信側の拠点Ｂで、複数の経路（ルート）に分散された暗号鍵を集合させて、元の暗号鍵を復元するための処理の一例を示すフローチャートである。この処理は、鍵共有モジュール１０２、２０２内に設けられている。

この処理ブロックは、大きく分けると、量子鍵共有処理ブロック８１０、分散暗号鍵の復元処理部８３０で構成されている。

量子鍵共有処理ブロック８１０は、入力部８１から指令を取り込む。指令に応じて、量子鍵共有処理ブロック８１０は、量子鍵を共有する複数の経路（予め準備された複数の経路）を構築する（これは、図７示した経路１－経路ｎと同じである）。なお実際に使用する複数の経路の情報は、予め拠点Ａと拠点Ｂ間で相互に確認されている。

複数の経路から取り込まれる分散された暗号鍵は、それぞれ、分散暗号鍵の復元処理部８３０に入力する。復元処理部８３０は、まず、分散した暗号鍵を全て受信したかどうかの判定を行う（ステップ８３１）。全て受信している場合は、分指した暗号鍵を用いて、元の暗号鍵の復元処理を実行する（ステップ８３３）。ステップ８３１で、分散した暗号鍵の収集が完了していない場合は、分散した暗号鍵の受信待ちを行い、ステップ８３１に戻る（ステップ８３１、８３２）。

ステップ８３３にて、分散した暗号鍵のすべてが揃い、元の暗号鍵が復元されると、この暗号鍵が、暗号モジュール２０１に与えられ、暗号データの復号が行われる。つまりユーザ間での暗号通信が開始される（ステップ８３４）。暗号通信が開始されたことの情報は、出力部８２から出力される。

図９は、上記した複数の経路をどのように構築するか（複数の経路の構築方法：スタティクタイプ）を説明する説明図である。図７では、拠点Ａから拠点Ｂまでの複数の経路が既に決まっていることを前提として説明したが、図９では、それぞれの経路の構築方法を説明する。

まず、前提として、経路管理サーバ１０００は、クラウド上に配置され、データベースには、経路上のノード情報を備える。つまり、経路管理サーバ１０００は、量子暗号配信網を構成している多数のノードを管理するものであり、配信網上の各ノードの位置（アドレス）情報（３次元的マトリックス網の交点情報と称してもよい）を有する。各ノードはまた周囲に直近で存在する他の複数のノードのいずれとでも接続又は遮断が可能なセレクタと、このセレクタの制御回路を有する。そして、経路管理サーバ１０００によりアドレス指定されたノードの制御回路は、同じくサーバ１０００からの指令により入力側ノードと出力側ノードとを選択してルートの一部を構築するための待機状態となることができる。

図９に戻って、拠点Ａから拠点Ｂまでに複数の経路が構築される例を説明する。以下は、経路管理サーバ１０００からの指令に基づく動作の説明である。

中継ノードＲＵ１１は、例えば拠点Ａからの通知を受けて、経路管理サーバ１０００にリンク要求情報を送る。リンク要求情報には、拠点Ｂを通信相手としていることと、通信する経路の数の情報が含まれる。

経路管理サーバ１０００は、中継ノードＲＵ１１の隣の中間ノードＲＵ１２を指定してリンク先として隣の中継ノードＲＵ１１を指示する。これにより、中間ノードＲＵ１２は、中継ノードＲＵ１１とリンクする。次に経路管理サーバ１０００は、中間ノードＲＵ１３を指定してリンク先として中間ノードＲＵ１２を指示する。これにより、中間ノードＲＵ１２と中間ノードＲＵ１３とが、リンクする。このように、次々と経路が構築され、拠点Ｂの隣の中継ノードＲＵ１Ｎの１つ前の中間ノードＲＵ１（Ｎ－１）（図示せず）までの経路が形成される。

次に、経路管理サーバ１０００は、中継ノードＲＵ１Ｎを指定してリンク先として中間ノードＲＵ１（Ｎ－１）を指示する。すると、中継ノードＲＵ１Ｎは、中間ノードＲＵ１（Ｎ－１）とリンクする。また、経路管理サーバ１０００は、第１の経路が構築されたことを、中継ノードＲＵ１１，拠点Ａ、拠点Ｂに通知する（９１２、９１３）。

次に、システムは、第２の経路の構築を開始する。管理サーバ１０００は、中継ノードＲＵ２１を指定してリンク先として拠点Ａを指示する。これにより拠点Ａと第２の経路の先頭の中継ノードＲＵ２１がリンクする。次に経路管理サーバ１０００は、中間ノードＲＵ２２を指定してリンク先として中継ノードＲＵ２１を指示する。これにより中間ノードＲＵ２２と中継ノードＲＵ２１がリンクする。このように、次々と第２の経路が構築され、拠点Ｂの隣の中継ノードＲＵ２Ｎの１つ前の中間ノードＲＵ２（Ｎ－１）までの経路が形成される。

すると今度は、経路管理サーバ１０００は、中継ノードＲＵ２Ｎを指定してリンク先として中間ノードＲＵ２（Ｎ－１）（図示せず）を指示する。すると、中継ノードＲＵ２Ｎは、中間ノードＲＵ２（Ｎ－１）とリンクする。また、経路管理サーバ１０００は、第１の経路が構築されたことを、中継ノードＲＵ２１，拠点Ａ、拠点Ｂに通知する（９１２、９１３）。

以下は、同様に第３の経路、第４の経路・・・が構築されて、指定されたルート数まで達すると、経路構築処理は停止する。

上記の鍵伝送経路（ルート）の設定タイプは、スタティクタイプであるがダイナミックタイプでもよい。また、上記の手順に限らず、多数の設定タイプが可能である。

図１０は、鍵伝送経路（ルート）を設定するタイプであってダイナミックタイプを示す説明図である。この鍵伝送路の構築方法は、各ノードが経路情報を保持していることを前提としている。

まず、経路情報は、例えば、現在位置から、所望の中継ノード（所望の拠点）に近づくために、次に選択すべきノードを指定するためのリンク用データである。中継ノードとしては、複数が設定されており、それぞれの中継ノードに近づくための隣のノードアドレス（リンク用データ）が予めメモリに保存されている。したがってリンク形成指令データ（リンク要求データ）には、送信元となる拠点の識別データと、その拠点周辺の中継ノードのアドレス（識別データ）と、送信先の拠点の識別データと、その拠点周辺の中継ノードのアドレス（識別データ）が含まれており、次々と経路を構築する各ノードを転送される。これにより、経路を構築したノードは、何処から何処の拠点間の経路を構築しているのかを認識することができる。

図１０に戻って説明する。拠点Ａは、直近の中継ノードＲＵ１１に第１の経路（ルート１）のリンクの形成を要求する（リンク要求データを与える）（ステップＲ１Ｓ０）。すると、中継ノードＲＵ１１は、例えば中間ノードＲＵ１２を選択し、リンクを形成し、この中間ノードＲＵ１２に対して、リンク要求データを与える（ステップＲ１Ｓ１）。さらに今度は、中間ノードＲＵ１２が、次の中間ノードを選択してリンクを形成し、次の中間ノードに対してリンク要求データを与える（ステップＲ１Ｓ２）。このように次々とリンクが形成され、中継ノードＲＵ１Ｎまで経路が構成されると、中継ノードＲＵ１Ｎは、中継ノードＲＵ１１に対して第１の経路の構築が完了したことの通知を行う（ステップＲ１Ｓ３）。このときは拠点Ａに対しても通知が行われる。さらにまた中継ノードＲＵ１Ｎは、拠点Ｂに対しても第１の経路の構築が完了したことの通知を行う（ステップＲ１ＳＮ）。次に、第２の経路の構築が開始される。

拠点Ａは、直近の中継ノードＲＵ２１に第２の経路（ルート２）のリンクの形成を要求する（リンク要求データを与える）（ステップＲ２Ｓ０）。すると、中継ノードＲＵ２１は、例えば中間ノードＲＵ２２を選択し、リンクを形成し、この中間ノードＲＵ２２に対して、リンク要求データを与える（ステップＲ２Ｓ１）。さらに今度は、中間ノードＲＵ２２が、次の中間ノードを選択してリンクを形成し、次の中間ノードに対してリンク要求データを与える（ステップＲ２Ｓ２）。このように次々とリンクが形成され、中継ノードＲＵ２Ｎまで経路が構成されると、中継ノードＲＵ２Ｎは、中継ノードＲＵ２１に対して第２の経路の構築が完了したことの通知を行う（ステップＲ３Ｓ３）。このときは拠点Ａに対しても通知が行われる。さらにまた中継ノードＲＵ１Ｎは、拠点Ｂに対しても第２の経路の構築が完了したことの通知を行う（ステップＲ２ＳＮ）。以後は、同様な方法で、第３の経路、第４の経路の構築が行われる。

図１１、図１２、図１３は、それぞれ中継ノードと中間ノードにおけるＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせの各種の例を示している。いずれの実施例も３つの経路を構築した例であるが、経路の数は限定されるものではない。

図１１の実施形態は、拠点Ａ内のＣＶＱＫＤ装置１０２ａ，１０２ｂ，１０２ｃに接続される中継ノードＣ，Ｅ，Ｇは、それぞれＣＶＱＫＤ装置と、ＢＢ８４ＱＫＤ装置により構成された例である。中継ノードＣ，Ｅ，Ｇ内の各ＣＶＱＫＤ装置が、拠点Ａ内の各ＣＶＱＫＤ装置１０２ａ，１０２ｂ，１０２ｃと接続されている。

一方、拠点Ｂ内のＣＶＱＫＤ装置２０２ａ，２０２ｂ，２０２ｃに接続される中継ノードＤ，Ｆ，Ｈも、それぞれＣＶＱＫＤ装置と、ＢＢ８４ＱＫＤ装置により構成された例である。この場合も中継ノードＤ，Ｆ，Ｈ内の各ＣＶＱＫＤ装置が、拠点Ｂ内の各ＣＶＱＫＤ装置２０２ａ，２０２ｂ，２０２ｃと接続されている。そして、中継ノードＣ，Ｅ，Ｇと中継ノードＤ，Ｆ，Ｈ間をそれぞれ接続する中間ノードＸ，Ｙ，Ｚは、それぞれＢＢ８４ＱＫＤ装置により構成されている。

図１２の実施形態は、拠点Ａ内のＣＶＱＫＤ装置１０２ａ，１０２ｂ，１０２ｃに接続されるノード（ＣＶＱＫＤノード）Ｊ，Ｋ，Ｌは、それぞれ同じタイプのＣＶＱＫＤ装置とＣＶＱＫＤ装置とにより構成された例である。一方、拠点Ｂ内のＣＶＱＫＤ装置２０２ａ，２０２ｂ，２０２ｃに接続される中継ノードＤ，Ｆ，Ｈも、それぞれＣＶＱＫＤ装置と、ＢＢ８４ＱＫＤ装置により構成されている（図１１のケースと同じである）。そしてノードＪ，Ｋ，Ｌと対応する中継ノードＤ，Ｆ，Ｈの間の中継ノードＣ、Ｅ，Ｇが拠点Ａ側をＣＶＱＫＤ装置で構成され、拠点Ｂ側をＢＢ８４ＱＫＤ装置で構成されている。

図１３の実施形態は、拠点Ａ内のＣＶＱＫＤ装置１０２ａ，１０２ｂ，１０２ｃに接続されるＣＶＱＫＤノードＪ，Ｋ，Ｌは、それぞれ同じタイプのＣＶＱＫＤ装置とＣＶＱＫＤ装置とにより構成された例である。

一方、拠点Ｂ内は、ＣＶＱＫＤ装置持たず、ＢＢ８４ＱＫＤ装置２０２ｄ，２０２ｅ，２０２ｆを有する。このため、拠点Ｂに直近の３つの経路のノード（ＢＢ８４ＱＫＤノード）Ｘ、Ｙ，Ｚは、それぞれＢＢ８４ＱＫＤ装置により構成された例である。

そして、ノードＪ，Ｋ，ＬとノードＸ、Ｙ，Ｚとの間の中継ノードＣ、Ｅ、Ｇが、それぞれＣＶＱＫＤ装置（拠点Ａ側に位置する）と、ＢＢ８４ＱＫＤ装置（拠点Ｂ側に位置する）により構成されている。

上記したように、中継ノードや中間ノードにおける、ＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせとして各種の例が可能である。
上記した構成と本実施形態の全体をみて、ＣＶＱＫＤ装置とＢＢ８４ＱＫＤ装置の組み合わせを捕らえると、ＣＶＱＫＤ装置をフロントエンドエンに適する第１の量子暗号通信装置、ＢＢ８４ＱＫＤ装置をバックエンドに適する第２の量子暗号通信装置とも言える。

所で、本システムでは暗号鍵が鍵共有モジュールで生成される。暗号鍵の生成方法としては種々の方法があるので、以下、代表的なものを幾つか説明する。

図１４は、鍵共有モジュール１０２における暗号鍵（これ以降は乱数鍵と称する）１３２の生成方法と、拠点Ａにおける平文データ１３１の暗号化の一例を説明する図である。なおここでは、図６に示した暗号通信システムを想定して以下説明する。

今、生成した３つの分割された乱数鍵（先に説明した分割された暗号鍵）を、それぞれ乱数鍵「１」、乱数鍵「２」、乱数鍵「３」とする。拠点Ａの鍵共有モジュール１０２において、
・乱数鍵「１」 ＸＯＲ 乱数鍵「２」 ＸＯＲ 乱数鍵「３」
を計算することで、乱数鍵（暗号鍵）１３２を得る。

一方、暗号モジュール１０１においては、
・乱数鍵１３２ ＸＯＲ 平文データ１３１
を計算することで、暗号データ３０２を得る。

このように、ここでの暗号通信システムは、乱数鍵と平文データ１３１をそれぞれ分割した複数の分割データのバーナム暗号の重ね合わせで、暗号データ３０２を生成しているため、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノードに侵入し、分割データの一部を窃取したとしても、拠点Ａと拠点Ｂとがインターネット網（暗号データ伝送系３００）で通信する暗号データ３０２の一部ですら復号化することはできない。

また、以上のように、暗号通信システムにおいては、拠点Ａと拠点Ｂとの間において、たとえばバーナム暗号の重ね合わせを前提として、乱数鍵全体の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵（暗号鍵）を共有することにより、不正な盗聴者により、あるルート上の中間ノードに侵入されて、乱数鍵の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、乱数鍵を復号することはできず、ユーザの通信の安全性を保つことができる。

図１５、図１６は、さらに分散された暗号鍵の生成方法と復元方法を説明する説明図である。図１５は、暗号通信システムにおける鍵共有モジュール１０２、２０２における乱数鍵１３２の生成方法の一例を示す図である。ここでは、分散数３、閾値３のランプ型秘密分散（この例は（閾値Ｋ＝３, Ｌ＝２, 分散数Ｎ＝３）のランプ型秘密分散）によって乱数鍵１３１（＝１３１ａ，１３１ｂ，１３１ｃ）を生成する場合を一例として挙げる。このランプ型秘密分散の場合、３つの分散データ（分散された暗号鍵）１３２ａ、１３２ｂ、１３２ｃの中の１つが盗聴されても復元を行うことができない。また、ここでは、乱数（ダミーデータ、つまり使い捨てる物理乱数）と平文（ここでは共通鍵、つまり乱数鍵１３２として利用する物理乱数）との割合が「１：２」であることを想定する。ランプ型とは、乱数と平文との割合を変更可能としたものであり、乱数と平文との割合が「（閾値－１）：１」の場合、特に、完全秘密分散と称される。

鍵共有モジュール１０２に、まず、ある物理乱数２０００があったと仮定する。そして、鍵共有モジュール１０２は、その物理乱数を元データ２００１として考えて、閾値３のランプ型秘密分散による分散処理を実施したと仮定する。そして、鍵共有モジュール１０２は、任意に生成した乱数（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」 ）を、この分散で得られたものであると見なすことにする。言い換えれば、乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」がみなし分散された暗号鍵（乱数鍵）と言える。

つまり、鍵共有モジュール１０２は、実際には、ここでは秘密分散による分散データ（分散された暗号鍵）１３２ａ、１３２ｂ、１３２ｃの生成を実施していない。したがって、分散データ１３２ａ、１３２ｂ、１３２ｃとしては、量子鍵配送機能によって生成された量子鍵を流用したものとすることも可能であり、物理乱数生成の効率がよくなる。

このように本システムは、単純な秘密分散を利用したデータ転送にはない特徴を有する。なお、ここで任意に生成した乱数（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」 ）を秘密分散法による分散処理して分散データ１３２ａ、１３２ｂ、１３２ｃとして生成するものとしても良いが、しかし、この場合、鍵共有モジュール１０２では、量子鍵配送機能によって生成された量子鍵（物理乱数）とは別に、元データとなるための物理乱数も余計に生成しなくてはならず、物理乱数生成の効率が悪くなる。

閾値３のランプ型秘密分散の分散処理について、より詳しく説明すると、まず、元データを閾値の数に振り分ける。たとえば、元データ２００１が「１～１５」であるとすると、「１，４，７，１０，１３」と、「２，５，８，１１，１４」と、「３，６，９，１２，１５」とに振り分ける。図１５では、振り分け後の各グループを行で表している。

続いて、３つの分散データを生成するにあたり、分散（２）については２行目を１列分ずらし、分散（３）については３行目を１列分ずらした上で、分散（１）～分散（３）のそれぞれについて、たとえば排他的論理和による畳み込みを実行する。なお、この畳み込みは、排他的論理和に限らず、多項式による計算であってもよいし、加算や減算などであってもよい。

拠点Ａの鍵共有モジュール１０２は、乱数を生成すると、この乱数を、以上の手順（閾値３のランプ型秘密分散による分散処理）で得られた分散データであるものと見なす。つまり、鍵共有モジュール１０２は複数の乱数列（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」）を生成し、それぞれの乱数列を分散データであるものと見なす。鍵共有モジュール１０２は、この乱数（分散データ１９）を乱数列毎に別ルートに振り分けて拠点Ｂに向けて転送する。

図１６は、上記のように暗号鍵（乱数鍵）を配信する暗号通信システムにおける鍵共有モジュール１０２、及び２０２による乱数鍵１３２の取得方法、つまり復元方法の一例を示す図である。

鍵共有モジュール１０２、及び２０２は、３つの分散データ（実際には、単なる乱数）を使って、分散数３、閾値３のランプ型秘密分散（この例は（閾値Ｋ＝３, Ｌ＝２, 分散数Ｎ＝３）のランプ型秘密分散）による復元処理を実行する（図１６の「計算２０１０」）。この復元によって、前述の、仮定上の物理乱数の元データ２００１として「１～１５」が得られる。

なお、秘密分散法による分散処理を実施せずに、このように復元処理を実施すると一部の分散データの一部レイヤ（行）のデータ（元データ）は、不整合（すべての分散データを元データに復元した場合、いくつかの分散データで元データが一致しない）を起こす。不整合を起こさないためには、一部の分散データに別の乱数（ｘ１～ｘ５）が排他的論理和されていると見なせば良い。これは鍵共有モジュール１０２と鍵共有モジュール２０２との間で事前共有されていたものと考えれば良い。なお、鍵共有モジュール１０２と鍵共有モジュール２０２との間でどの分散データから元データを生成するのかを事前、または動的に決定すれば、少なくとも鍵共有モジュール１０２と鍵共有モジュール２０２とで生成する元データは一致するので、この不整合は問題にならない。なお、一部不整合はあるものの、物理乱数（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」）を分散データと見なして、秘密分散法による復元処理を実施しているので、安全性は十分に確保される。

ここでは、乱数と平文との割合が「１：２」であることを想定しているので、鍵共有モジュール２０２は、復元された元データ「１～１５」の中から、たとえば、「１，４，７，１０，１３」（あらかじめ定められた１行分）をダミーデータ（使い捨てる物理乱数）として取り除き、「２，３，５，６，８，９，１１，１２，１４，１５」（あらかじめ定められた２行分）を抜き出すことにより、拠点Ｂに配送する乱数鍵１３２を生成する。

完全秘密分散の場合には、乱数と平文との割合が「閾値－１：１」（「２：１」）であるので、鍵共有モジュール１０２は、たとえば、「１，２，４，５，７，８，１０，１１，１３、１４」（あらかじめ定められた２行分）をダミーデータ（使い捨てる物理乱数）として取り除き、「３，６，９，１２，１５」（あらかじめ定められた１行分）を抜き出すことにより、拠点Ｂに配送する乱数鍵１３２を生成する。

一方、末端ノードＣ１３１から分散データ１３２ａ，１３２ｂ，１３２ｃを受け取った鍵共有モジュール２０２においても、鍵共有モジュール１０２と同じ計算を行って、拠点Ｂで使用する乱数鍵１３２を生成する。鍵共有モジュール１０２で生成される乱数鍵１３２と、鍵共有モジュール２０２で生成される乱数鍵１３２とは同一である。換言すれば、拠点Ａと拠点Ｂにおける乱数鍵（暗号鍵）は、共有化された乱数鍵１３２である。

図１７は、拠点Ａにおける平文データ１３１の暗号化の一例を示す説明図である。

拠点Ａでは、
・乱数鍵１３２ ＸＯＲ 平文データ１３１
を計算することで、暗号データ３０２を得る。

このように、ランプ型秘密分散法で分散したものと見なした複数の分散データ１３２ａ，
１３２ｂ，１３２ｃ（実際は、単なる乱数）を配送することで、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノードに侵入し、分散データの一部を窃取したとしても、乱数鍵の情報は漏洩しない。したがって、拠点Ａと拠点Ｂとがインターネット網で通信する暗号データ３０２の一部ですら復号化することはできない。

以上のように、拠点Ａと拠点Ｂ（送信元ノードと送信先ノード）との間において、秘密分散法による復元処理を前提として、乱数鍵１３２の生成に必須のデータを複数系統の経路（ルート）に振り分けて送受信し、乱数鍵１３２（共通鍵）を共有することができる。このシステムは、不正な盗聴者により、あるルート上の中間ノードに侵入されて、暗号鍵の生成に必須のデータの一部を窃取されたとしても、不正な盗聴者は、暗号鍵を復号することはできず、ユーザの通信の安全性を保つことができる。またここでは分散数は閾値と同じ３の例で説明したが、分散数を分散数＝閾値＋α（α＝１,２,３・・・）とすれば、（分散数―閾値）個の分散データは消失しても乱数鍵１６は生成できるので、いくつかの中間ノードに動作不良が発生しても、末端ノードＣ１３１と拠点Ａと拠点Ｂは問題なく乱数鍵１３２を共有できる。

ところで、以上の説明では、ある元データの存在を仮定して、分散数３、閾値３のランプ型秘密分散による復元を実行し、乱数と平文との割合が「１：２」であるならば、復元によって得られるデータの中から（３行分中の）１行分を乱数（ダミーデータ）として取り除き、２行分のデータを乱数鍵１６として使用した。ここで、情報理論的安全性をあきらめれば、復元によって得たデータのすべてを平文（乱数鍵１３２）として使用することもできるし、あるいは、１行分のすべてではなく、その行の一部のみを乱数とすることもできる。この場合においても、情報理論的安全性は確保できないものの、元データを得るための演算子の組み合わせは膨大であり、ユーザの暗号通信の安全性は十分に確保できる。そして、この場合には、乱数の消費量を大幅に削減することができる。したがって、転送レートもそれに伴い向上する。

閾値２とした場合、情報理論的安全性を確保するためには、乱数と平文との割合は「１：１」とするしかないが、前述のように、情報理論的安全性をあきらめれば、復元によって得たデータのすべてを平文として使用することもできるし、あるいは、（２行分中の）１行分のすべてではなく、その行の一部のみを乱数とすることもできる。この場合においても、情報理論的安全性は確保できないものの、元データを得るための演算子の組み合わせは膨大であり、ユーザの暗号通信の安全性は十分に確保できる。よって、乱数の消費量を大幅に削減することができる。なお、利用できる秘密分散方式は上記に限られるものではなく、例えば他の排他的論理和により秘密分散方式や多項式による秘密分散方式なども利用可能である。

図１８および図１９を参照して、閾値２の秘密分散による乱数鍵１３２の生成方法について説明する。図１８は、閾値２、分散数３の秘密分散による乱数鍵１３２の生成方法の一例を示す図である。

鍵共有モジュール１０２に、まず、ある物理乱数があったと仮定する。また、鍵共有モジュール１０２は、それを元データとして考えて、閾値２の秘密分散法による分散処理を実施したものと仮定する。鍵共有モジュール１０２は、任意に生成した乱数（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」）を、この分散処理で得られたものであると見なす。つまり、鍵共有モジュール１０２は、実際には、秘密分散による分散データ１３２の実態的な生成は実施しない。このように本システムは、単純な秘密分散を利用したデータ転送にはない特徴を有する。前述したように、ここで実際に秘密分散処理を実施するとしても良いが、その場合、物理乱数生成の効率は悪くなる。

閾値２の秘密分散について、より詳しく説明すると、まず、元データを閾値の数に振り分ける。たとえば、元データが「１～１４」であるとすると、「１，３，５，７，９，１１，１３」と、「２，４，６，８，１０，１２，１４」とに振り分ける。図１８では、振り分け後の各グループを行で表している。

続いて、３つの分散データを生成するにあたり、分散（２）については２行目を１列分ずらし、分散（３）については２行目を２列分ずらした上で、分散（１）～分散（３）のそれぞれについて、たとえば排他的論理和による畳み込みを実行する。なお、この畳み込みは、排他的論理和に限らず、多項式による計算であってもよいし、加算や減算などであってもよい。

鍵共有モジュール１０２は、乱数を生成すると、この乱数を、以上の手順（閾値２の秘密分散）で得られた分散データであるものと見なす。鍵共有モジュール１０２は、この乱数（分散データ１３２）を乱数列毎（乱数鍵「１」, 乱数鍵「２」, 乱数鍵「３」）に別ルートに振り分けて鍵共有モジュール２０２に転送する。

図１９は、閾値２の秘密分散による乱数鍵１３２の生成方法（復元処理）の一例を示す図である。

鍵共有モジュール２０２は、２つの分散データＡ、Ｃ（実際には、単なる乱数）を使って、分散数３、閾値２の秘密分散による復元を実行する（図１９の「計算２０２０」）。この復元によって、前述の、仮定上の物理乱数の元データ「１～１４」が得られる。

なお、閾値２、分散数２のランプ型秘密分散の場合、復元で不整合は発生しないが、閾値２、分散数２＋α（α＝１，２，３，…）の秘密分散の場合、前述の、分散数３、閾値３のランプ型秘密分散の場合と同様、復元すると、一部の分散データの一部レイヤのデータが不整合を起こす。そこで、前述の、分散数３、閾値３のランプ型秘密分散の場合と同様、事前共有された別の乱数が重ねられていると見なす。

閾値２の秘密分散による乱数鍵１６の生成によっても、第２実施形態の暗号通信システムは、秘密分散で分散したものと見なした複数の分散データ（実際は、単なる乱数）を配送することで、不正な盗聴者が、ある１つのルート内に存在する、ある１つの中間ノードに侵入し、分散データ１９の一部を窃取したとしても、拠点ＡとＢとがインターネット網３００で通信する暗号データ３０３の一部ですら復号化することはできない。またこの例は閾値２、分散数３なので、（分散数―閾値）＝１個の分散データは消失しても乱数鍵１３２は生成できるので、１つのルート上の中間ノードに動作不良が発生しても、鍵共有モジュール１０２と鍵共有モジュール２０２は問題なく乱数鍵１３２を共有できる。なお、ここでは説明を簡単にするために、図１８、および図１９の秘密分散方式で説明したが、利用できる秘密分散方式はこれに限られるものではなく、例えば他の排他的論理和により秘密分散方式や多項式による秘密分散方式なども利用可能である。

上記した実施形態において技術的な特徴を以下に記述する。まず拠点Ａ、拠点Ｂの構成の特徴を説明する。

Ａ１）一実施形態によれば、ユーザ拠点の装置Ａは、暗号データを送信するための暗号モジュール１０１と、前記暗号データを生成するのに使用された暗号鍵を復元及び分散する機能を有した鍵共有モジュール１０２を備え備える。そして前記鍵共有モジュール１０２は、前記暗号鍵を分散した複数の乱数鍵を、異なる経路で配送するためと、前記異なる経路から送られてくる分散された暗号鍵を受信するために、複数のＣＶＱＫＤ装置１０２ａ，１０２ｂを有し、この複数のＣＶＱＫＤ装置１０２ａ，１０２ｂは、前記異なる経路のそれぞれの設けられた中継ノード内のＣＶＱＫＤ装置に量子接続している。

さらに前記複数のＣＶＱＫＤ装置１０２ａ，１０２ｂは、前記暗号鍵の分散及び分散された暗号鍵の復元を行うために、暗号鍵の分散／復元回路１０２ｃと接続している。

Ａ２）前記鍵共有モジュール１０２は、前記異なる経路に対して、秘密分散方式による、分散された暗号鍵（乱数鍵）を送出する。

Ａ３）前記異なる経路は、複数のノードがメッシュ型に配置された量子暗号配信網である。

Ａ４）前記異なる経路は、複数のノードがメッシュ型に配置された量子暗号配信網であり、前記鍵共有モジュール１０２は、前記量子暗号配信網の任意の前記ノードを指定し、分散された暗号鍵のそれぞれを配信するための量子暗号鍵は進路を構築する処理手段を備える。

Ｂ１）また別の実施形態によれば、暗号通信システムは、暗号データ伝送系により接続された第１の拠点Ａとの第２の拠点Ｂを有する、そして、前記第１の拠点Ａは、分散された複数の暗号鍵を前記第２の拠点Ｂに向けて配送するために拠点内の複数のＣＶＱＫＤ装置を備え、この複数のＣＶＱＫＤ装置を複数の暗号鍵配送路に接続している。
そして前記複数の暗号鍵配送路の途中には、それぞれ、配送路内のＣＶＱＫＤ装置と、このＣＶＱＫ装置の出力をＢＢ８４プロトコルにより処理して前記拠点Ｂに向けて出力するＢＢ８４ＱＫＤ装置と、を一体に備える中継ノードとを有する。

Ｂ２）前記暗号通信システムと、上記拠点内の複数のＣＶＱＫＤ装置と、前記中継ノードを用いて、分散された暗号鍵を配信する暗号通信方法が提供される。

Ｂ３）前記第１の拠点Ａは、分散された複数の暗号鍵を前記第２の拠点Ｂに向けて配送するために拠点内の第１、第２のＣＶＱＫＤ装置１０２ａ，１０２ｂを備え、この第１、第２のＣＶＱＫＤ装置１０２ａ，１０２ｂを第１、第２の前記暗号鍵配送路に配置されている第１、第２の中継ノード内の第３、第４のＣＶＱＫＤ装置４４１、６１１に接続している。

Ｂ４）前記第１、第２の中継ノードは、前記第３、第４のＣＶＱＫＤ装置４４１、６１１の出力を受信するＢＢ４８ＱＫＤ装置４１２、６１２を含む。

Ｂ５）前記複数の暗号鍵配送路は、複数のノードがメッシュ型に配置された量子暗号配信網である。

Ｂ６）前記暗号鍵を分散した複数の乱数鍵を、異なる経路で配送するためと、前記異なる経路から送られてくる分散された暗号鍵を受信するための手段は、鍵共有モジュール１０２であり、前記複数の暗号鍵配送路は、複数のノードがメッシュ型に配置された量子暗号配信網であり、
前記鍵共有モジュールは、前記複数の暗号鍵配送路に対して、秘密分散方式による、分散された暗号鍵（乱数鍵）を送出する。

本発明のいくつかの実施形態を説明したが、これらの実施形態は例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。さらにまた、請求項の各構成要素において、構成要素を分割して表現した場合、或いは複数を合わせて表現した場合、或いはこれらを組み合わせて表現した場合であっても本発明の範疇である。また、複数の実施形態を組み合わせてもよく、この組み合わせで構成される実施例も発明の範疇である。

また、図面は、説明をより明確にするため、実際の態様に比べて、各部の幅、厚さ、形状等について模式的に表される場合がある。また請求項を制御ロジックとして表現した場合、コンピュータを実行させるインストラクションを含むプログラムとして表現した場合、及び前記インストラクションを記載したコンピュータ読み取り可能な記録媒体として表現した場合でも本発明の装置を適用したものである。また、使用している名称や用語についても限定されるものではなく、他の表現であっても実質的に同一内容、同趣旨であれば、本発明に含まれるものである。

Ａ・・・拠点、Ｂ・・・拠点、Ｃ、Ｄ、６０１、６０２・・・中継ノード、
１００，２００・・・プロセッサ、１０１、２０１・・・暗号モジュール、１０２、２０２・・・鍵共有モジュール、１３１・・・平文データ、１３２・・・暗号鍵、３００・・・インターネット網、３０２・・・暗号データ、
４００、６００・・・暗号鍵伝送路、４０１、４０２・・・中間ノード、１０２ａ、１０２ｂ、２０２ａ、２０２ｂ、４４１、４４４、６１１、６２２・・・ＣＶＱＫＤ装置、４１１、４２２、４４２、４４３・・・ＢＢ８４ＱＫＤ装置。

Claims (11)

1. 暗号データを送信するための暗号モジュールと、前記暗号データを生成するのに使用された暗号鍵を復元及び分散する機能を有した鍵共有モジュールとを備えるユーザ拠点装置であって、
   前記鍵共有モジュールは、前記暗号鍵を分散した複数の乱数鍵を、異なる経路で配送するためと、前記異なる経路から送られてくる分散された暗号鍵を受信するために、複数のフロントエンドに適する量子暗号通信装置を有し、この複数のフロントエンドに適する量子暗号通信装置は、前記異なる経路のそれぞれの設けられた中継ノード内のフロントエンドに適する量子暗号通信装置に量子接続しており、
   さらに前記複数のフロントエンドに適する量子暗号通信装置は、前記暗号鍵の分散と、分散された暗号鍵の復元を行うために、暗号鍵の分散／復元回路接続している、前記ユーザ拠点装置。
2. 前記鍵共有モジュールは、前記異なる経路に対して、秘密分散方式による、分散された暗号鍵（乱数鍵）を送出する、請求項１に記載のユーザ拠点装置。
3. 前記異なる経路は、複数のノードがメッシュ型に配置された量子暗号配信網である、請求項１に記載のユーザ拠点装置。
4. 前記異なる経路は、複数のノードがメッシュ型に配置された量子暗号配信網であり、
   前記鍵共有モジュールは、前記量子暗号配信網の任意の前記ノードを指定し、分散された暗号鍵のそれぞれを配信するための量子暗号鍵は進路を構築する処理手段を備える、請求項１に記載のユーザ拠点装置。
5. 暗号データ伝送系により接続された第１の拠点との第２の拠点を有し、
   前記第１の拠点は、分散された複数の暗号鍵を前記第２の拠点に向けて配送するために拠点内に複数のフロントエンドに適する量子暗号通信装置を備え、この複数のフロントエンドに適する量子暗号通信装置を複数の暗号鍵配送路に接続しており、
   前記複数の暗号鍵配送路の途中には、それぞれ、配送路内のフロントエンドに適する量子暗号通信装置と、このフロントエンドに適する暗号通信装置の出力を処理して前記第２の拠点に向けて出力するバックトエンドに適する量子暗号通信装置と、を一体に備える中継ノードとを有する、ことを特徴とする暗号通信システム。
6. 前記第１の拠点は、分散された複数の暗号鍵を前記第２の拠点に向けて配送するために拠点内に第１、第２のフロントエンドに適する量子暗号通信装置を備え、
   この第１、第２のフロントエンドに適する量子暗号通信装置を第１、第２の前記暗号鍵配送路に配置されている第１、第２の中継ノード内の第３、第４のフロントエンドに適する量子暗号通信装置に接続している、請求項５に記載の暗号通信システム。
7. 前記第１、第２の中継ノードは、前記第３、第４のフロントエンドに適する量子暗号通信装置の出力を受信するバックエンドに適する量子暗号通信装置を含む、請求項６に記載の暗号通信システム。
8. 前記複数の暗号鍵配送路は、複数のノードがメッシュ型に配置された量子暗号配信網である、請求項1に記載の暗号通信システム。
9. 前記暗号鍵を分散した複数の乱数鍵を、複数の暗号鍵配送路で配送するためと、前記複数の暗号鍵配送路から送られてくる分散された暗号鍵を受信するための手段は、
   鍵共有モジュール、前記複数の暗号鍵配送路は、複数のノードがメッシュ型に配置された量子暗号配信網であり、
   前記鍵共有モジュールは、前記複数の暗号鍵配送路に対して、秘密分散方式による、分散された暗号鍵（乱数鍵）を送出する、請求項５に記載の暗号通信システム。
10. 暗号データを送信するための暗号モジュールと、前記暗号データを生成するのに使用された暗号鍵を復元及び分散する機能を有した鍵共有モジュールとを備えるユーザ拠点装置を用いる暗号通信方法であって、
    前記鍵共有モジュールにより、前記暗号鍵を分散した複数の乱数鍵を、異なる経路で配送するためと、前記異なる経路から送られてくる分散された暗号鍵を受信するために、複数のフロントエンドに適する量子暗号通信装置を利用し、
    鍵共有モジュールにより、
    前記複数のフロントエンドに適する量子暗号通信装置を介して、前記異なる経路のそれぞれの設けられた複数の中継ノード内のそれぞれのフロントエンドに適する量子暗号通信装置に対して、分散された暗号鍵を量子配信し、
    さらに前記複数のフロントエンドに適する量子暗号通信装置介して、前記中継ノード内のそれぞれの前記フロントエンドに適する量子暗号通信装置から量子受信した分散された暗号鍵の復元を、暗号鍵の分散／復元回路で復元する、
    暗号通信方法。
11. 暗号データ伝送系により接続された第１の拠点との第２の拠点を有し、
    前記第１の拠点から分散された複数の暗号鍵を前記第２の拠点に向けて配送するために、前記第１の拠点内の複数のフロントエンドに適する量子暗号通信装置から複数の暗号鍵配送路内の対応する複数のフロントエンドに適する量子暗号通信装置に配信し、
    前記複数の暗号鍵配送路の途中では、それぞれ、配送路内の前記複数の前記フロントエンドに適する量子暗号通信装置の出力をそれぞれ処理するバックトエンドに適する量子暗号通信装置を介して前記第２の拠点に向けて出力するようにした、ことを特徴とする暗号通信方法。

Images