JPH11220463A

JPH11220463A - 鍵更新方法

Info

Publication number: JPH11220463A
Application number: JP10035369A
Authority: JP
Inventors: Jun Anzai; 潤安齋
Original assignee: KODO IDO TSUSHIN SECURITY GIJU; Advanced Mobile Telecommunications Security Technology Research Laboratory Co Ltd
Current assignee: KODO IDO TSUSHIN SECURITY GIJU; Advanced Mobile Telecommunications Security Technology Research Laboratory Co Ltd
Priority date: 1998-02-03
Filing date: 1998-02-03
Publication date: 1999-08-10
Anticipated expiration: 2018-02-03
Also published as: JP2865654B1

Abstract

(57)【要約】【課題】基地局と複数の端末からなるシステムにおい
て、特定端末だけを排除して、残りの端末でできるだけ
早急に更新鍵を共有する。【解決手段】予め各端末は、互いに素である第１の端
末情報ｎ_iを保持する。準備として基地局は、鍵Ｋと秘
密鍵ｅを定め、第２の端末情報Ｘ_i＝Ｋ^e modn_iを対応す
る端末に配布する。特定の端末Ｔ₁を排除する場合、基
地局は（ｎ₁,Ｘ₁,ｅ）を各端末に一斉通知する。端末Ｔ
₁以外の各端末Ｔ_iでは、次の手順で鍵Ｋを求めることが
できる。（ｎ₁,ｎ_i）より、ｙ_i＝１／ｎ₁ mod n_i，ｙ_k
＝１／ｎ_i mod n₁ （２≦ｉ≦５）を満たす整数ｙ_i、
ｙ_kを求め、前記整数ｙ_i、ｙ_kと、端末ｉの端末情報Ｘ_i
と、端末ｋの端末情報Ｘ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋
Ｘ_k・ｙ_k・ｎ_i mod n_i・n_kを計算し、秘密鍵ｅとＫ^eから更
新鍵Ｋを求める。しかし、端末Ｔ₁には（ｎ₁,Ｘ₁,ｅ）
しかないので、鍵Ｋを求めることは、ＲＳＡ暗号を破る
の同程度に困難である。したがって、基地局から各端末
に（ｎ₁,Ｘ₁,ｅ）を同報するだけで、特定端末を排除し
た残りの端末で更新鍵を共有できる。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、基地局および複数
端末からなるスター型通信システムにおける暗号鍵更新
方法に関し、特に、基地局が特定した端末以外のすべて
の端末に共通の秘密鍵を安全に配送する鍵更新方法に関
する。

【０００２】

【従来の技術】基地局が複数の端末を管理するスター型
通信システムにおいて、基地局と傘下の複数の端末がグ
ループを形成し、グループで同じグループ秘密鍵を共有
して同報の暗号通信を行なう場合を考える。グループ秘
密鍵を用いて暗号化された情報は、同じ秘密鍵を保有す
るグル−プ内の端末だけが復号することができる。

【０００３】ところで、このグループから特定の端末を
排除したい場合が生じうる。それは、例えばグループ内
のある端末が盗難にあい、その端末を用いた暗号通信の
盗聴や偽情報の送信などの不正が考えられる場合などで
ある。このとき、この秘密鍵を管理する基地局は、でき
るだけ速やかに、盗難にあった端末を排除してグループ
秘密鍵を更新し、残りの端末だけで新たな秘密鍵を共有
することが必要となる。

【０００４】図９は、基地局が特定した端末以外で鍵デ
ータを共有するための、第１の従来例における鍵更新方
法を示す。図９では、２〜６で示す５個の端末Ｔ₁〜Ｔ₅
が、それぞれ固有鍵ｋ₁〜ｋ₅を保持しており、基地局１
が全端末の固有鍵を管理している。このとき、例えば基
地局１が端末Ｔ₁を排除して、他の端末Ｔ₂〜Ｔ₅に新し
い共通の秘密鍵を配付する場合について説明する。

【０００５】まず、基地局１は秘密鍵Ｋを生成し、これ
をそれぞれｋ₂〜ｋ₅を鍵として暗号化し、それぞれ端末
Ｔ₂〜Ｔ₅に配送する。排除される端末Ｔ₁以外の各端末
Ｔ₂〜Ｔ₅では固有鍵を用いてこれを復号し、秘密鍵Ｋを
獲得する。なお、図９中において、例えばＥｋ₂（Ｋ）
は、Ｋを固有鍵ｋ₂で暗号化した暗号文である。この通
信路上のデータは、それぞれ端末Ｔ₂〜Ｔ₅の固有鍵で暗
号化されているため、たとえ端末Ｔ₁がこの通信データ
を盗聴したとしても、基地局１が生成した秘密鍵Ｋを獲
得することができない。

【０００６】しかし、この方法では、一般にＮ個の端末
から１つの端末を排除するためには、基地局は（Ｎ−
１）回の暗号化を行ない、（Ｎ−１）個のデータを送信
しなくてはならない。グループが大きくなると、この作
業は基地局にとって非常に負担になる。また、全局更新
まではグループ内の暗号通信等の業務を停止する必要が
あるが、（Ｎ−１）局に配り終えるまでの業務停止期間
が長いと大きな問題である。

【０００７】図10は、特公平5-46731号公報に示された
第２の従来例における鍵更新方法である。第２の従来例
では、公開鍵暗号の手法を用いている。図10では、２〜
６で示す５個の端末Ｔ₁〜Ｔ₅が、それぞれ固有の秘密鍵
（ｅ₁,ｄ₁）〜（ｅ₅,ｄ₅）を保持している。ここで、各
秘密鍵（ｅ_i,ｄ_i）は、ｅ_i・ｄ_i mod(p-1) ＝１（ｐはシステム公開の素数) が成り立っているものとする。基地局１は全端末の公開
鍵ｐ₁＝ｇ^e1 mod p，・・・，ｐ₅＝ｇ^e5 mod p を管理している。ここでｇはシステム公開の整数であ
り、各端末の公開鍵ｐ_iおよびシステム公開の情報ｇ、
ｐから各端末の秘密鍵（ｅ_i,ｄ_i）を求めることはビッ
ト長を長く取れば離散対数問題に帰着して困難である。
従来例１と同様に、端末Ｔ₁を排除する場合、まず、基
地局は乱数Ｒを生成し、鍵Ｋ＝ｇ^R mod p を生成するとともに、これよりＺ₂＝ｐ₂ ^R mod p，・・・，Ｚ₅＝ｐ₅ ^R mod p を求めて、端末Ｔ₁を除いた各Ｔ₂〜Ｔ₅に配送する。端
末Ｔ₁以外の各端末ｉでは、受け取ったＺ_iと秘密鍵ｄ_i
を用いて、基地局と共通の更新鍵Ｋ＝Ｚ_i ^di mod p（＝(ｐ_i ^R)^di mod p＝((ｇ^ei)^di)^R mod
p＝ｇ^R mod p）を獲得する。

【０００８】この方法は、第１の従来例と異なり、基地
局が各端末の秘密鍵を知り得ないため、基地局の不正を
防止できる点で、第１の実施例より安全性が向上してい
る。

【０００９】

【発明が解決しようとする課題】しかし、従来の鍵更新
方法では、Ｎ個の端末から１つの端末を排除するために
は、基地局は（Ｎ−１）回の暗号化を行ない、（Ｎ−
１）個のデータを送信しなくてはならない。例えば、10
00個の端末から１個の端末を排除して、残りの999個の
端末で新たな共通の秘密鍵を共有する場合を考える。こ
のとき、第１および第２の従来例では、999回の暗号化
の処理と999個の暗号文の送信を行なう必要がある。い
ずれにしても、基地局側にとって、これら作業は非常に
負担なものとなる。

【００１０】また、一般に端末は、小型で安価に実現す
る必要性により、それほど計算能力が高くない。このよ
うな端末で、高速に鍵を更新する必要がある。第２の従
来例においては、端末は鍵を獲得するために、長いビッ
ト長のべき乗剰余演算が必要である。この演算を、計算
能力が高くない端末で実現するのは、かなりの負担であ
り、鍵更新までの処理時間が長くなる。

【００１１】本発明は、かかる点に鑑み、特定の端末だ
けを排除して、他の端末で分配鍵情報を共有する方法で
あって、次の点を特徴とする鍵更新方法を実現すること
を目的とする。（１）基地局から端末への通信量が少ない。

【００１２】基地局における暗号処理の手間が少なく、
暗号文の送信量が少ない。

【００１３】全局更新までの業務停止期間が短い。（２）計算能力が高くない端末で高速に鍵更新が実現で
きる。

【００１４】端末での処理が削減できる。

【００１５】

【課題を解決するための手段】本発明では、上記の問題
を解決するために、鍵更新方法を、基地局において、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ；Ｎ
は端末数）を満たすｎ_iを生成して、第１の端末情報として基地局
に保管するとともに、各端末ｉに配布し、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j を満たす（Ｋ,ｅ）を任意に決定して、Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して、第２の端末情報として基地局に保管すると
ともに、各端末ｉに配布し、鍵更新時に、基地局が特定
した端末ｋの第１の端末情報ｎ_kと第２の端末情報Ｘ
_kを、基地局から全端末に一斉通知し、端末ｋを除く全
ての端末ｉで、ｎ_iとｎ_kを用いて、ｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k （ｉ≠
ｋ）を満たす整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、ｙ_kと、端
末ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めるという
構成とした。

【００１６】このように構成したことにより、基地局か
ら全端末に同報通信をするだけで鍵更新ができるので、
鍵更新のための業務停止期間を短くできるとともに、端
末での処理が削減できるので、計算能力が高くない端末
で高速に鍵更新ができる。

【００１７】

【発明の実施の形態】本発明の請求項１記載の発明は、
基地局と、前記基地局と接続されたＮ台（Ｎは２以上の
整数）の端末からなる通信システムにおいて、前記基地
局は、前記端末の第１の端末情報を格納する第１の基地
局側記憶部と、第２の端末情報を格納する第２の基地局
側記憶部を備え、前記端末は、前記第１の端末情報と前
記第２の端末情報を格納する端末情報格納部と、受信部
と、第１計算部と、第２計算部とを備え、第ｉ番目（１
≦ｉ≦Ｎ）の端末の第１の端末情報は、互いに素であ
る、すなわち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦
Ｎ；ｉ≠ｊ）となる整数ｎ_iであり、第２の端末情報
は、秘密鍵ｅを整数として、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j（１≦
ｉ,ｊ≦Ｎ；ｉ≠ｊ）を満たすＫを、更新鍵を生成する
ための情報とするとき、前記秘密鍵ｅをべきとし前記整
数ｎ_iを法とするＫのべき乗剰余値Ｘ_i＝Ｋ^e modn_i
（ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、（１）前記基地局
において、鍵更新時に、前記基地局が特定した端末ｋの
第１の端末情報ｎ_kと第２の端末情報Ｘ_kを、前記基地局
側記憶部から取り出して全端末に一斉通知し、（２）全
ての端末ｉにおいて、前記受信部で、前記端末ｋの第１
の端末情報ｎ_kと第２の端末情報Ｘ_kを受信し、（３）端
末ｋを除く全ての端末ｉでは、前記第１の計算部におい
て、端末ｉと前記端末ｋの第１の端末情報ｎ_iとｎ_kを用
いて、ｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k
（ｉ≠ｋ）となる整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、
ｙ_kと、端末ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_k
とから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を
計算し、（４）端末ｋを除く全ての端末ｉでは、前記第
２の計算部において、前記秘密鍵ｅとＫ^eから更新鍵Ｋ
を求める鍵更新方法であり、基地局から各端末に（ｎ_k,
Ｘ_k）を同報送信するのみで、端末ｋ以外の端末で鍵更
新を可能とするという作用を有する。

【００１８】本発明の請求項２記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる通信システムの鍵更新装置において、前
記基地局は、前記端末の第１の端末情報を格納する第１
の基地局側記憶手段と、第２の端末情報を格納する第２
の基地局側記憶手段を備え、前記端末は、前記第１の端
末情報と前記第２の端末情報を格納する端末情報格納手
段とを備え、第ｉ番目（１≦ｉ≦Ｎ）の端末の第１の端
末情報は、互いに素である、すなわち、ＧＣＤ（ｎ_i,ｎ
_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる整数ｎ_iであ
り、第２の端末情報は、秘密鍵ｅを整数として、ｎ_i＜
Ｋ^e＜ｎ_i・ｎ_j を満たすＫを、更新鍵を生成するための
情報とするとき、前記秘密鍵ｅをべきとし前記整数ｎ_i
を法とするＫのべき乗剰余値Ｘ_i＝Ｋ^e mod n_i（ＧＣＤ
（Ｘ_i,ｎ_i）＝１）であり、（１）前記基地局は、鍵更
新時に、前記基地局が特定した端末ｋの第１の端末情報
ｎ_kと第２の端末情報Ｘ_kを、前記基地局側記憶手段から
取り出して全端末に一斉通知する手段を備え、（２）全
ての端末ｉは、前記端末ｋの第１の端末情報ｎ_kと第２
の端末情報Ｘ_kを受信する受信手段を備え、（３）端末
ｋを除く全ての端末ｉでは、前記第１の計算部におい
て、端末ｉと前記端末ｋの第１の端末情報ｎ_iとｎ_kを用
いて、ｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k（ｉ
≠ｋ）を満たす整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、ｙ_k
と、端末ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_kとか
ら、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を計算
する第１の計算手段を備え、（４）端末ｋを除く全ての
端末ｉでは前記秘密鍵ｅとＫ^eから更新鍵Ｋを求める第
２の計算手段を備える鍵更新装置であり、基地局から各
端末に（ｎ_k,Ｘ_k）を同報送信するのみで、端末ｋ以外
の端末で鍵更新を可能とするという作用を有する。

【００１９】本発明の請求項３記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる通信システムにおいて、前記基地局は、
前記端末の第１の端末情報を格納する第１の基地局側記
憶部と、第２の端末情報を格納する第２の基地局側記憶
部を備え、前記端末は、前記第１の端末情報と前記第２
の端末情報を格納する端末情報格納部と、受信部と、第
１計算部と、第２計算部とを備え、第ｉ番目（１≦ｉ≦
Ｎ）の端末の第１の端末情報は、互いに素である、すな
わち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠
ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵
ｅを整数として、任意の整数ｓ（１≦ｓ＜Ｎ）に対し
て、ｎ_i＜Ｋ^e＜(ｎ_iの最大値)^s+1 を満たすＫを、更新
鍵を生成するための情報とするとき、前記秘密鍵ｅをべ
きとし前記整数ｎ_iを法とするＫのべき乗剰余値Ｘ_i＝Ｋ
^e mod n_i（ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、（１）前
記基地局において、鍵更新時に、前記基地局が特定した
端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1〜ｎ_ksと第２の端末
情報Ｘ_k1〜Ｘ_ksを、前記基地局側記憶部から取り出して
全端末に一斉通知し、（２）全ての端末ｉにおいて、前
記受信部で、前記端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1〜
ｎ_ksと第２の端末情報Ｘ_k1〜Ｘ_ksを受信し、（３）端末
ｋ₁〜ｋ_sを除く全ての端末ｉでは、前記第１の計算部に
おいて、端末ｉの端末情報ｎ_iと前記端末ｋ₁〜ｋ_sの第
１の端末情報ｎ_k1〜ｎ_ksを用いて、Ｍ_i＝Ｍ／ｎ_i，Ｍ_k1
＝Ｍ／ｎ_k1，・・・，Ｍ_ks＝Ｍ／ｎ_ks（Ｍ＝ｎ_i・ｎ_k1・...・
ｎ_ks；ｉ≠ｋ₁〜ｋ_s）を求め、ｙ_i＝１／Ｍ_i mod n_i，
ｙ_k1＝１／Ｍ_k1 mod n_k1，・・・，ｙ_ks＝１／Ｍ_ks mod n
_ks を満たす整数ｙ_i、ｙ_k1〜ｙ_ksを求め、前記整数
Ｍ_i、Ｍ_k1〜Ｍ_ksとｙ_i、ｙ_k1〜ｙ_ks、端末ｉの端末情報
Ｘ_iと、端末ｋ₁〜ｋ_sの端末情報Ｘ_k1〜Ｘ_ksを用いて、
Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ_k1・Ｍ_k1・ｙ_k1＋...＋Ｘ_ks・Ｍ_ks・
ｙ_ksmod Ｍを計算し、（４）端末ｋ₁〜ｋ_sを除く全ての
端末ｉでは、前記第２の計算部において、前記秘密鍵ｅ
とＫ^eから更新鍵Ｋを求める鍵更新方法であり、基地局
から各端末に（ｎ_k1〜ｎ_ks）と（Ｘ_k1〜Ｘ_ks）を同報送
信するのみで、複数の端末を除外して鍵更新を行なうこ
とを可能とするという作用を有する。

【００２０】本発明の請求項４記載の発明は、基地局
と、前記基地局と接続されたＮ台（Ｎは２以上の整数）
の端末からなる通信システムにおいて、前記基地局は、
前記端末の第１の端末情報を格納する第１の基地局側記
憶部と、第２の端末情報を格納する第２の基地局側記憶
部を備え、前記端末は、前記第１の端末情報と前記第２
の端末情報を格納する端末情報格納部と、受信部と、第
１計算部と、第２計算部とを備え、第ｉ番目（１≦ｉ≦
Ｎ）の端末の第１の端末情報は、互いに素である、すな
わち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠
ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵
ｅを整数として、任意の整数ｓ（１≦ｓ＜Ｎ）に対し
て、ｎ_i＜Ｋ^e＜(ｎ_iの最大値)^s+1 を満たすＫを、更新
鍵を生成するための情報とするとき、前記秘密鍵ｅをべ
きとし前記整数ｎ_iを法とするＫのべき乗剰余値Ｘ_i＝Ｋ
^e mod n_i（ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、任意の整
数ｔ（１≦ｔ≦ｓ）に対して、（１）前記基地局におい
て、鍵更新時に、前記基地局が特定した端末ｋ₁〜ｋ_tの
第１の端末情報ｎ_k1〜ｎ_ktと第２の端末情報Ｘ_k1〜Ｘ_kt
を、前記基地局側記憶部から取り出して全端末に一斉通
知し、（２）前記基地局において、鍵更新時に、ｆ（１
≦ｆ＜ｓ−ｔ）個の第１の端末情報ｎ_r1〜ｎ_rfと、ｆ個
の第２の端末情報Ｘ_r1〜Ｘ_rfを生成して全端末に一斉通
知し、（３）全ての端末ｉにおいて、前記受信部で、前
記端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1〜ｎ_ksと第２の端
末情報Ｘ_k1〜Ｘ_ksと前記第１の端末情報ｎ_r1〜ｎ_rfと前
記第２の端末情報Ｘ_r1〜Ｘ_rfを受信し、（４）端末ｋ₁
〜ｋ_tを除く全ての端末ｉでは、前記第１の計算部にお
いて、端末ｉの第１端末情報ｎ_iと前記端末ｋ₁〜ｋ_sの
第１端末情報ｎ_k1〜ｎ_ksおよび前記第１の端末情報ｎ_r1
〜ｎ_rfと前記第２の端末情報Ｘ_r1〜Ｘ_rfを用いて、Ｍ_i
＝Ｍ／ｎ_i，Ｍ_k1＝Ｍ／ｎ_k1，・・・，Ｍ_kt＝Ｍ／ｎ_kt，Ｍ
_r1＝Ｍ／ｎ_r1，・・・，Ｍ_rf＝Ｍ／ｎ_rf（Ｍ＝ｎ_i・ｎ
_k1・...・ｎ_kt・ｎ_r1・...・ｎ_rf；ｉ≠ｋ₁〜ｋ_s≠ｒ₁〜
ｒ_f）を求め、ｙ_i＝１／Ｍ_i mod n_i，ｙ_k1＝１／Ｍ_k1 m
od n_k1，・・・，ｙ_kt＝１／Ｍ_kt mod n_kt，ｙ_r1＝１／Ｍ
_r1 mod n_r1，・・・，ｙ_rf＝１／Ｍ_rf mod n_rf を満たす整
数ｙ_i、ｙ_k1〜ｙ_ksを求め、前記整数Ｍ_i、Ｍ_k1〜Ｍ_kt、
Ｍ_r1〜Ｍ_rfとｙ_i、ｙ_k1〜ｙ_kt、ｙ_r1〜ｙ_rf端末ｉの端
末情報Ｘ_iと、端末ｋ₁〜ｋ_sの端末情報Ｘ_k1〜Ｘ_ksと前
記端末情報Ｘ_r1〜Ｘ_rfを用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ
_k1・Ｍ_k1・ｙ_k1＋...＋Ｘ_kt・Ｍ_kt・ｙ_kt＋Ｘ_r1・Ｍ_r1・ｙ_r1
＋...＋Ｘ_rf・Ｍ_rf・ｙ_rf mod Ｍを計算し、（４）端末
ｋ₁〜ｋ_tを除く全ての端末ｉでは、前記第２の計算部に
おいて、前記秘密鍵ｅとＫ^eから更新鍵Ｋを求める鍵更
新方法であり、基地局から各端末に（ｎ_k1〜ｎ_ks）と
（Ｘ_k1〜Ｘ_ks）を同報送信するのみで、複数の端末を除
外して鍵更新を行なうことを可能とするという作用を有
する。

【００２１】本発明の請求項５記載の発明は、請求項１
記載の鍵更新方法において、前記基地局が、鍵更新時に
前記各端末の第１の端末情報と互いに素である、ＧＣＤ
（ｎ,ｎ_i）＝１（１≦ｉ≦Ｎ）を満たす整数ｎと、前記
秘密鍵ｅをべきとし前記整数ｎを法とするＫのべき乗剰
余値Ｘ＝Ｋ^e mod n（ＧＣＤ（Ｘ,ｎ）＝１）を一斉通知
し、前記任意の端末ｉでは、前記第１の計算部におい
て、端末ｉの第１の端末情報ｎ_iと前記整数ｎを用い
て、ｙ_i＝１／ｎ mod n_i，ｙ＝１／ｎ_i mod n を満たす
整数ｙ_i、ｙを求め、前記整数ｙ_i、ｙと、端末ｉの端末
情報Ｘ_iと、前記Ｘとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ＋Ｘ・ｙ・ｎ
_i mod n_i・n を計算し、次に前記第２の計算部におい
て、前記秘密鍵ｅとＫ^eから更新鍵Ｋを求めるものであ
り、基地局から各端末に（ｎ,Ｘ）を同報送信するのみ
で、全端末で鍵更新を可能とするという作用を有する。

【００２２】本発明の請求項６記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記整数ｎ
を基地局が生成した素数ｐとｑの積とするものであり、
暗号解読を困難にするという作用を有する。

【００２３】本発明の請求項７記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記端末の
第１の計算部で、拡張ユークリッド互除法を用いて前記
整数ｙ_i、ｙ_kを求めるものであり、高速に計算するとい
う作用を有する。

【００２４】本発明の請求項８記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記端末の
第２の計算部で、Newton-Raphson法を用いて前記整数Ｋ
を求めるものであり、高速に計算するという作用を有す
る。

【００２５】本発明の請求項９記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記第１の
端末情報を、前記基地局が作成し、あらかじめ基地局と
端末に備えられた暗号通信手段により、対応する端末に
配布するものであり、安全に第１の端末情報を配布する
という作用を有する。

【００２６】本発明の請求項10記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記基地局
が任意の秘密の整数Ｋとｅを生成して、前記第１の基地
局側記憶部に格納している各端末ｉの第１の端末情報ｎ
_iを用いて第２の端末情報Ｘ_iを計算し、これを鍵更新の
前に対応する各端末に配布するものであり、端末情報の
配布の安全性を高めるという作用を有する。

【００２７】本発明の請求項11記載の発明は、請求項
３、４記載の鍵更新方法において、更新鍵を生成するた
めの前記情報Ｋが、(ｎ_iの最大値)^s＜Ｋ^e＜(ｎ_iの最大
値)^s+1を満たすものであり、基地局が特定した複数の端
末が各端末の端末情報を集めたとしても整数Ｋを求める
ことができないようにするという作用を有する。

【００２８】本発明の請求項12記載の発明は、請求項
１、４、５記載の鍵更新方法において、前記鍵更新を連
続して行なう場合において、第ｉ回目の鍵更新で特定の
端末ｋの端末情報を一斉通話した後には、第（ｉ＋１）
回目の鍵更新の前に、基地局は前記端末ｋの第１の端末
情報を用いた第２の端末情報を計算せず、また端末ｋに
は配布しないものであり、不必要な計算と通信を省略す
るという作用を有する。

【００２９】本発明の請求項13記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、基地局が、
新規加入の端末ｊに対して端末ｊの第２の端末情報と、
鍵更新時に一斉通話した特定端末ｉの第１、第２の端末
情報を通知し、端末ｊでは前記第１、第２の計算部を備
えて前記更新鍵Ｋを求めるものであり、新規加入の端末
に対して更新鍵を配布するという作用を有する。

【００３０】本発明の請求項14記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記基地局
の第１、第２の基地局側記憶部および前記端末の第１、
第２の端末情報格納部は、外部より観測したり変更でき
ない領域とするものであり、基地局、端末からの鍵、準
備情報の盗難を防ぐという作用を有する。

【００３１】本発明の請求項15記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記整数ｅ
を基地局の秘密の整数とし、鍵更新時に前記基地局が送
信する端末情報に加えて整数ｅを一斉通知するものであ
り、正規端末同士の鍵更新前の結託防止をして安全性を
強化するという作用を有する。

【００３２】本発明の請求項16記載の発明は、請求項
１、３、４、５記載の鍵更新方法において、前記鍵Ｋに
バージョン番号を付加し、基地局はバージョン番号が一
致していない端末ｊに、端末ｊの第２の端末情報と、鍵
更新時に一斉通話した特定端末ｉの第１および第２の端
末情報を対応する端末に通知し、端末ｊでは前記第１、
第２の計算部において、相当するバージョンの鍵Ｋを求
めるものであり、バージョン管理により、更新に失敗し
た端末のフォローを可能にするという作用を有する。

【００３３】本発明の請求項17記載の発明は、請求項９
記載の鍵更新方法の、前記基地局と各端末にあらかじめ
備えられた暗号通信手段において、基地局のディジタル
署名を付加するものであり、端末による基地局の認証、
ｎの改ざん検知により、安全性を強化するという作用を
有する。

【００３４】以下、本発明の実施の形態を、図１〜図８
を参照して、詳細に説明する。

【００３５】(第１の実施の形態)本発明の第１の実施の
形態は、基地局と５つの端末のシステムにおいて、基地
局では、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦５；ｉ≠ｊ）となる第１の端末情報ｎ_i（＝ｐ_i・ｑ_i；ｐ_i,ｑ_iは素
数）を基地局と対応する各端末ｉの間で秘密に共有し、
基地局はｎ_i＜Ｋ^e＜ｎ_i・ｎ_j （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して基地局に保管するとともに、各端末１〜５に
配布し、鍵更新時に、排除する端末１の端末情報（ｎ₁,
Ｘ₁）を、基地局から端末２〜５に一斉通知し、端末２
〜５で（ｎ_i,ｎ₁）を用いて、ｙ_i＝１／ｎ₁ mod n_i，ｙ₁＝１／ｎ_i mod n₁ （２≦ｉ
≦５）を満たす整数ｙ_i、ｙ₁を求め、前記整数ｙ_i、ｙ₁と、端
末ｉの端末情報Ｘ_iと、端末１の準備情報Ｘ₁とから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ₁＋Ｘ₁・ｙ₁・ｎ_i mod n_i・n₁ を計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求める鍵更新
方法である。

【００３６】本発明の第１の実施の形態の鍵更新方法
は、システムセットアップ、準備フェーズ、鍵更新の３
つのフェーズに分けられる。以下、基地局が５つの端末
を管理している場合について、各フェ−ズに分けて説明
する。

【００３７】図１は、本発明の第１の実施の形態の鍵更
新方法のセットアップを示している。図１において、１
は基地局、２〜６は、基地局の管理下にある端末であ
る。７〜11は、各端末内の、外部より観測も変更もでき
ない記憶部である。

【００３８】各端末Ｔ₁，Ｔ₂，Ｔ₃，Ｔ₄，Ｔ₅は、第１
の端末情報ｎ₁，ｎ₂，ｎ₃、ｎ₄，ｎ₅を、それぞれこの
領域に秘密に保持している。第１の端末情報は、任意の
ｎ_iとｎ_j（ｉ,ｊ＝１〜５）の最大公約数ＧＣＤ（ｎ_i,
ｎ_j）が１であるよう、互いに素に定める。

【００３９】一方、基地局は、各端末の第１の端末情報
ｎ₁〜ｎ₅を、外部より観測も変更もできない記憶部12に
秘密に保管している。

【００４０】図２は、本発明の第１の実施の形態の準備
フェーズを示している。まず、基地局１は、素数ｐ_iと
ｑ_iを定め、これらの積ｎ_i（＝ｐ_i・ｑ_i）を決定する。
そして、鍵Ｋと秘密鍵ｅを、すべての端末の第１の端末
情報において、ＧＣＤ（Ｋ^e mod n_i,ｎ_i）＝１および、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j （１≦ｉ,ｊ≦５；ｉ≠ｊ）を満たすように決定する。ただし、法ｎ_iが素数ｐ_i、ｑ
_iの積であるため、ＧＣＤ（Ｋ^e mod n_i,ｎ_i）＝１が満
たされる確率は、１−（１／ｐ_i＋１／ｑ_i）となり、素
数ｐ_i、ｑ_iをＲＳＡ暗号のように10進100桁程度に十分
に大きくとると、ほとんど上記条件を満たす。

【００４１】次に、基地局１は、端末Ｔ₁の第１の端末
情報ｎ₁を法とし、前記ｅをべきとする鍵Ｋのべき乗剰
余値Ｘ₁を求める。これを第２の端末情報と称し、式で
表すとＸ₁＝Ｋ^e mod n₁ （ＧＣＤ（Ｘ_i,ｎ_i）＝１）となる。ここで、mod n₁ は、ｎ₁で除したときの剰余を
示す記号である。基地局１は同様に、端末Ｔ₂〜Ｔ₅の第
２の端末情報Ｘ₂〜Ｘ₅を求め、これらを記憶部12に記憶
するとともに、対応する端末に配布する。端末は、これ
をそれぞれ記憶部７〜11に記憶する。基地局１により、
第２の端末情報を求めて配布する準備フェーズの作業
は、各端末ごとであり時間がかかるが、基地局１はもと
もと計算パワーが大きく、また、前の鍵更新と次の鍵更
新の間の、時間が空いたときにすればよいので問題はな
い。

【００４２】図３は、端末Ｔ₁を排除する場合の鍵更新
フェーズを示している。基地局１は、記憶部12から、排
除する端末Ｔ₁の第１、第２の端末情報ｎ₁、Ｘ₁および
秘密の整数ｅを各端末に一斉通知する。このとき、端末
Ｔ₂では、保持している第１、第２の端末情報を用い
て、次の計算を行ない、鍵Ｋを求める。（１）端末Ｔ₁および端末Ｔ₂の第１の端末情報ｎ₁、ｎ₂
を用いて、ｙ₁＝１／ｎ₂ mod n₁，ｙ₂＝１／ｎ₁ mod n₂ を満たす整数ｙ₁、ｙ₂を求め、前記整数ｙ₁、ｙ₂と、端
末２の端末情報Ｘ₂と、端末１の端末情報Ｘ₁とから、Ｋ^e＝Ｘ₂・ｙ₂・ｎ₁＋Ｘ₁・ｙ₁・ｎ₂ mod n₁・n₂ を計算する。整数ｙ₁、ｙ₂は、ｎ₁、ｎ₂が互いに素であ
るので必ず存在し、拡張ユークリッド互除法により、計
算パワーがそれほどない端末であっても、多項式時間で
求めることができる。（２）整数ｅとＫ^eからNewton-Raphson法を用いて更新
鍵Ｋを求める。

【００４３】以上の計算は、端末Ｔ₃〜Ｔ₅でも同様に行
なうことができ、結果として、Ｔ₂〜Ｔ₅で共通の鍵Ｋを
共有することができる。

【００４４】一方、端末Ｔ₁においては、基地局から一
斉通知された情報と保持している端末情報が同じである
ために、上記（１）でのｙ₁、ｙ₂の算出ができない。そ
のため、鍵Ｋを共有することができない。

【００４５】図４に、以上の処理を行なうための、各端
末の構成について示している。図４において、20は、第
１の端末情報を格納する第１の端末情報格納部、21は、
準備フェーズで基地局１から配送された第２の端末情報
を格納する第２の端末情報格納部である。また、22は、
鍵更新フェーズで基地局１から配布される情報を受信す
る一斉通知受信部、23は、上記（１）の計算を行なう第
１の計算部である。第１の計算部23で、基地局１から配
布される第１の端末情報ｎ_jと、第１の端末情報格納部
の格納値ｎ_iを用い、上記整数ｙ_i、ｙ_jを求める。24
は、鍵更新フェーズでの上記（２）の計算を行なう第２
の計算部であり、ここで、第１の計算部の出力Ｋ^eと秘
密鍵ｅを用い、上記（２）の計算を行ない、鍵Ｋを求め
る。

【００４６】図５には、基地局の構成を示している。25
は、全端末の第１の端末情報を格納する第１の端末情報
格納部、26は、秘密鍵ｅと鍵Ｋおよびｐ_i、ｑ_iとその積
ｎ_iを生成する鍵生成部である。27は、鍵生成部の出力
値と、各端末の第１の端末情報を用いて、第２の端末情
報を生成する端末情報生成部である。第２の端末情報Ｘ
_iは、各端末の第１の端末情報ｎ_iを法とし、ｅをべきと
する鍵Ｋのべき乗剰余値として計算され、28の第２の端
末情報格納部に格納される。

【００４７】29は、排除する端末を指定する排除端末指
定部、30は、排除端末指定部の指定により、鍵更新フェ
ーズにおける、排除端末Ｔ_jの第１、第２の端末情報
ｎ_j、Ｘ_jを、端末情報格納部25、28から選択して、前記
秘密鍵ｅとあわせて、同報で全端末に通知する同報通知
部である。

【００４８】次に、第１の実施の形態における安全性の
説明を行なう。（１）すべての端末は、準備フェーズでは、鍵Ｋを求め
ることは困難である。準備フェーズで、例えば端末Ｔ₁
が保持する情報は、以下の２つである。・第１の端末情報：ｎ₁ ・第２の端末情報：Ｘ₁＝Ｋ^e mod n₁ これらの情報はそれぞれ、ＲＳＡ暗号の法、暗号文に対
応すると考えることができる。そのため、Ｋとｎを十分
に大きくとっておけば、ＲＳＡ暗号に帰着して、これら
からＫを求めることが困難となる。なお秘密鍵ｅは、準
備フェーズで各端末に公開してもよいが、鍵更新フェー
ズで初めて明らかにすると、鍵更新前に正規端末同士の
結託により鍵Ｋが解読される危険を防止できるので、よ
り安全であると考えられる。ここで秘密鍵ｅを小さな固
定値とすることにより、端末の計算量を少なくすること
ができ、例えば、ＲＳＡ暗号において最小とされている
ｅ＝３を用いることができる。また、第１の端末情報
は、総当たり攻撃に対抗できる程度の大きな数にとって
おくことが必要である。（２）排除される端末Ｔ₁は、鍵更新フェーズにおいて
も、鍵Ｋを求めることは困難である。鍵更新フェーズで
排除される端末Ｔ₁が保持する情報は、上記（１）に追
加して、秘密鍵ｅだけである。そのため、Ｘ₁＝Ｋ^e mod n₁ を解いてＫを求めることは、Ｋとｎを十分に大きくとっ
ておけば、ＲＳＡ暗号に帰着して、これらからＫを求め
ることが困難となる。

【００４９】図６は、以上の方法により、定期的な鍵更
新を行なう場合の鍵更新時の構成を示す。基地局は、す
べての端末の第１の端末情報と互いに素となるｎを求
め、Ｘ＝Ｋ^e mod n を計算する。そして、このｎ、Ｘと秘密鍵ｅを全端末に
一斉通知する。このとき、端末Ｔ₁では、保持している
第１、第２の端末情報ｎ₁、Ｘ₁を用いて次の計算を行な
い、鍵Ｋを求める。（１）端末Ｔ₁の第１の端末情報ｎ₁と配布されたｎを用
いて、ｙ₁＝１／ｎ mod n₁，ｙ＝１／ｎ₁ mod n を満たす整数ｙ₁、ｙを求める。整数ｙ₁、ｙはｎ₁、ｎ
が互いに素であるので必ず存在し、拡張ユークリッド互
除法により、計算パワーがそれほどない端末であって
も、多項式時間で求めることができる。整数ｙ₁、ｙ
と、端末Ｔ₁の第１の端末情報ｎ₁、第２の端末情報Ｘ₁
と、配布されたＸおよび整数ｎを用いて、Ｋ^e＝Ｘ・ｙ・ｎ₁＋Ｘ₁・ｙ₁・ｎ mod n₁・n を計算する。整数ｙ₁、ｙは、ｎ₁、ｎが互いに素である
ので必ず存在し、拡張ユークリッド互除法により、計算
パワーがそれほどない端末であっても、多項式時間で求
めることができる。ここでＫ^eは、Ｋ^e＜ｎ₁・ｎを満たしているので、mod n₁・n を無視することができ
る。（２）端末Ｔ₁および端末Ｔ₂の第２の端末情報Ｘ₁、Ｘ₂
および整数ｅとＫ^eから、Newton-Raphson法を用いて更
新鍵Ｋを求める。

【００５０】以上の計算は、端末Ｔ₂〜Ｔ₅でも同様に行
なうことができ、結果としてすべての端末で共通の鍵Ｋ
を共有することができる。各端末は、特定の端末を排除
する場合も、鍵の定期更新でも、同じ手続きを行ない、
端末での処理が簡素化される。また、端末において、鍵
更新の原因がわからないために、システム全体での安全
性が向上する。

【００５１】また、端末Ｔ₁を排除して鍵更新した後の
準備フェーズでは、引き続き端末Ｔ₁を排除することが
可能である。これは、例えば５つの端末で共通の秘密鍵
を共有してグループ内の暗号通信を行なっている際に、
まず端末Ｔ₁が盗難にあい、これに対応して残りの４端
末で新たな共通の秘密鍵を共有する。次に、さらに端末
Ｔ₂も盗難にあい、端末Ｔ₁、Ｔ₂両方とも排除して、次
の共通の鍵を共有する必要が生じる、といったシナリオ
である。

【００５２】このためには、端末Ｔ₁排除後の準備フェ
ーズにおいて、基地局１は、端末Ｔ₁の第２の端末情報
を求めない。次の鍵更新フェーズで、端末Ｔ₁は、自身
の第２の端末情報を保持しないために、新しい鍵を求め
ることはできない。ただし、勿論この準備フェーズで、
基地局が端末Ｔ₁の第２の端末情報を求めて、端末Ｔ₁に
配布すると、次の鍵更新フェーズで再び端末Ｔ₁を含め
て新しい鍵を更新し、端末Ｔ₂だけを排除することも可
能となる。

【００５３】第１の実施の形態では、各端末の第２の端
末情報は、基地局が生成して準備フェーズで各端末に配
送するとしたが、これは別の組織が生成して基地局と端
末に配送してもよい。配布はせずに、あらかじめ複数蓄
積しておいたものを、順次鍵更新に使用してもよい。

【００５４】なお、前記暗号通信手段は秘密鍵暗号を用
いたものでも公開鍵暗号を用いたものでもよい。ただ
し、公開鍵暗号を用いたほうが、基地局１が各端末の公
開鍵だけを保持するため、基地局１の不正に対して安全
性が強化される。基地局と各端末の間に備えられた暗号
通信手段に、基地局のディジタル署名を付加すれば、端
末による基地局の認証ができるし、第三者によるｎの改
ざん攻撃を検知することができ、安全性が強化される。

【００５５】また、鍵Ｋにバージョン番号を付加し、基
地局はバージョン番号が一致していない端末ｊに、端末
ｊの第２の端末情報と、鍵更新時に一斉通話した特定端
末ｉの第１および第２の端末情報を対応する端末に通知
し、端末ｊでは第１、第２の計算部において、相当する
バージョンの鍵Ｋを求めるようにすれば、バージョン管
理により、更新に失敗した端末のフォローが可能にな
る。

【００５６】上記のように、本発明の第１の実施の形態
によれば、鍵更新方法を、基地局と複数の端末のシステ
ムにおいて、基地局では、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる第１の端末情報ｎ_iを生成して基地局に保管する
とともに、各端末に配布し、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して基地局に保管するとともに、各端末に配布
し、鍵更新時に、排除する端末１の端末情報（ｎ₁,
Ｘ₁）を、基地局から各端末に一斉通知し、各端末で
（ｎ_i,ｎ₁）を用いて、ｙ_i＝１／ｎ₁ mod n_i，ｙ₁＝１／ｎ_i mod n₁ を満たす整数ｙ_i、ｙ₁を求め、前記整数ｙ_i、ｙ₁と、通
知されたＸ₁と、端末iの準備情報Ｘ_iとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ₁＋Ｘ₁・ｙ₁・ｎ_i mod n_i・n₁ を計算し、整数ｅとＫ^eからNewton-Raphson法を用いて
更新鍵Ｋを求める構成としたので、基地局から各端末に
（ｎ₁,Ｘ₁）を同報するのみで、１つの端末を排除し
て、残りの端末で新しい鍵を更新して共有することがで
きる。

【００５７】（第２の実旋の形態）本発明の第２の実施
の形態は、基地局と５つの端末のシステムにおいて、基
地局では、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦５；ｉ≠ｊ）となる第１の端末情報ｎ_iを生成して基地局に保管する
とともに、各端末Ｔ₁〜Ｔ₅に配布し、排除する盗難局の
台数を２台として（ｎ_iの最大値）²＜Ｋ^e＜（ｎ_iの最大値）³ を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して基地局に保管するとともに、各端末Ｔ₁〜Ｔ₅
に配布し、鍵更新時に、排除する端末Ｔ₁と端末Ｔ₂の端
末情報（ｎ₁,Ｘ₁）、（ｎ₂,Ｘ₂）を、基地局から全端末
に一斉通知し、端末Ｔ₃〜Ｔ₅で（ｎ_i,Ｘ_i）と通知され
た（ｎ₁,Ｘ₁）、（ｎ₂,Ｘ₂）を用いて、Ｍ_i＝Ｍ／ｎ_i，Ｍ₁＝Ｍ／ｎ₁，Ｍ₂＝Ｍ／ｎ₂ （Ｍ＝ｎ_i・ｎ₁・ｎ₂；ｉ≠１,２）を求め、ｙ_i＝１／Ｍ_i mod n_i，ｙ₁＝１／Ｍ₁ mod n₁，ｙ₂＝１／Ｍ₂ mod n₂ を満たす整数ｙ_i、ｙ₁、ｙ₂を求め、前記整数Ｍ_i、
Ｍ₁、Ｍ₂とｙ_i、ｙ₁、ｙ₂、端末ｉの準備情報Ｘ_iと、端
末Ｔ₁、Ｔ₂の準備情報Ｘ₁、Ｘ₂を用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ₁・Ｍ₁・ｙ₁＋Ｘ₂・Ｍ₂・ｙ₂ mod Ｍを計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めることに
より、２つの端末を同時に排除できる鍵更新方法であ
る。Ｋ^eの生成時に盗難局の台数を予め設定することに
より何台でも排除することができる。例えば、一台排除
用のＸ_i1からｔ台排除用のＸ_itを予め基地局と端末の間
で共有しておけば、ｔ台までの排除を自由に行なうこと
ができる。また、盗難局同士の結託が起こり得ないよう
なシステムにおいては、Ｋ^eの範囲を、ｎ_i＜Ｋ^e＜（ｎ_iの最大値）³ としても良く、Ｋ^eのとりうる範囲を大きくすることが
できる。

【００５８】第２の実施の形態のシステムセットアップ
および準備フェーズは第１の実施の形態と同じである。

【００５９】図７は、端末Ｔ₁と端末Ｔ₂を排除する場合
を示している。基地局１は、記憶している端末Ｔ₁の第
１、第２の端末情報ｎ₁、Ｘ₁および秘密の整数ｅ、さら
に端末Ｔ₂の第１、第２の端末情報ｎ₂、Ｘ₂を一斉通知
する。このとき、端末Ｔ₃では、保持している第１、第
２の端末情報を用いて、（１）端末Ｔ₃で保持している（ｎ₃,Ｘ₃）と通知された
（ｎ₁,Ｘ₁）、（ｅ₂,Ｘ₂）を用いて、Ｍ₁＝Ｍ／ｎ₁，Ｍ₂＝Ｍ／ｎ₂，Ｍ₃＝Ｍ／ｎ₃ （Ｍ＝ｎ₁・ｎ₂・ｎ₃）を求め、ｙ₁＝１／Ｍ₁ mod n₁，ｙ₂＝１／Ｍ₂ mod n₂，ｙ₃＝１／Ｍ₃ mod n₃ を満たす整数ｙ₁、ｙ₂、ｙ₃を求める。整数ｙ₁、ｙ₂、
ｙ₃は、ｎ₁、ｎ₂、ｎ₃が互いに素であるので必ず存在
し、拡張ユークリッド互除法により、計算パワーがそれ
ほどない端末であっても、多項式時間で求めることがで
きる。前記整数Ｍ₁、Ｍ₂、Ｍ₃とｙ₁、ｙ₂、ｙ₃、端末Ｔ
₃の第２の端末情報Ｘ₃と、端末Ｔ₁、Ｔ₂の第２の端末情
報Ｘ₁、Ｘ₂を用いて、Ｋ^e＝Ｘ₁・Ｍ₁・ｙ₁＋Ｘ₂・Ｍ₂・ｙ₂＋Ｘ₃・Ｍ₃・ｙ₃ mod Ｍを計算する。

【００６０】（２）上記のＫ^eと秘密鍵ｅからNewton-Ra
phson法を用いて更新鍵Ｋを求めることができる。

【００６１】以上の計算は、残りの端末Ｔ₄、Ｔ₅でも同
様に行なうことができ、結果として、端末Ｔ₃〜Ｔ₅が鍵
Ｋを求めることができる。一方、端末Ｔ₁、端末Ｔ₂は鍵
Ｋ求めることができない。そのため端末Ｔ₁と端末Ｔ₂を
同時に排除して、残りの端末で更新鍵を共有することが
できる。

【００６２】図８は、２つの端末を同時に排除する第２
の実施の形態において、１つの端末だけを排除する場合
を示している。

【００６３】基地局１は、すべての端末の第１の端末情
報ｎ_iと互いに素となるｎを求め、Ｘ＝Ｋ^e mod n を計算する。端末Ｔ₁だけを排除する場合、基地局は、
記憶している端末Ｔ₁の第１、第２の端末情報ｎ₁とＸ₁
とｅおよび、前記Ｘとｎを全端末に一斉通知する。

【００６４】端末Ｔ₂では、保持している第１、第２の
端末情報を用いて、Ｍ＝Ｍ／ｎ，Ｍ₁＝Ｍ／ｎ₁，Ｍ₂＝Ｍ／ｎ₂ （Ｍ＝ｎ・ｎ₁・ｎ₂）を求め、ｙ＝１／Ｍ mod n，ｙ₁＝１／Ｍ₁ mod n₁，ｙ₂＝１／Ｍ₂ mod n₂ を満たす整数ｙ、ｙ₁、ｙ₂を求め、前記整数Ｍ、Ｍ₁、
Ｍ₂とｙ、ｙ₁、ｙ₂、端末Ｔ₂の第２の端末情報Ｘ₂と、
通知されたＸ₁、Ｘを用いて、Ｋ^e＝Ｘ・Ｍ・ｙ＋Ｘ₁・Ｍ₁・ｙ₁＋Ｘ₂・Ｍ₂・ｙ₂ mod Ｍを計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求める。以上
の計算は、残りの端末Ｔ₃〜Ｔ₅でも同様に行なうことが
でき、結果として、端末Ｔ₂〜Ｔ₅が鍵Ｋを求めることが
できる。一方端末Ｔ₁は鍵Ｋを求めることができない。
そのため残りの端末で共通の更新鍵を共有することがで
きる。

【００６５】このようにして、端末Ｔ₁だけを排除し
て、残りの端末で共通の更新鍵を共有することができ
る。Ｋ^eの生成時に盗難局の台数を予め設定することに
より何台でも排除することができる。例えば、ｔ台排除
用のＸ_itを予め基地局と端末の間で共有し、盗難局数が
判明した時点で必要なだけ互いに素となる（Ｘ,ｎ），
（Ｘ',ｎ'）・・・を生成して配送すれば、ｔ台までの
排除を自由に行なうことができる。

【００６６】第１の実施の形態の場合と同様に、第２の
実施の形態においても、ＧＣＤ（ｎ,ｎ_i）＝１（ｉ＝１〜５）を用いて、更新鍵の定期更新を行なうことが可能であ
る。

【００６７】また、以上の説明では特定の端末を排除す
る場合について述べたが、秘密の第１の端末情報ｎ₆を
保持する新しい端末Ｔ₆が追加された場合には、この端
末に第２の端末情報Ｘ₆を配布することにより、端末の
追加と排除を同時に行なうことができる。つまり、端末
Ｔ₆は、自身の第２の端末情報Ｘ₆と排除端末の第１、第
２の端末情報および秘密鍵ｅより更新鍵を計算すること
ができる。勿論、基地局が最新の更新鍵Ｋを、新規端末
の第１の端末情報ｎ₆を用いて暗号化し、その結果Ｅｎ₆
（Ｋ）を端末Ｔ₆に配布してもよい。

【００６８】上記のように、本発明の第２の実施の形態
によれば、鍵更新方法を、基地局と５つの端末のシステ
ムにおいて、基地局では、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦５；ｉ≠ｊ）となる第１の端末情報ｎ_iを生成して基地局に保管する
とともに、各端末Ｔ₁〜Ｔ₅に配布し、排除する盗難局の
台数を２台として（ｎ_iの最大値）²＜Ｋ^e＜（ｎ_iの最大値）³ を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して基地局に保管するとともに、各端末Ｔ₁〜Ｔ₅
に配布し、鍵更新時に、排除する端末Ｔ₁と端末Ｔ₂の端
末情報（ｎ₁,Ｘ₁）、（ｎ₂,Ｘ₂）を、基地局から全端末
に一斉通知し、端末Ｔ₃〜Ｔ₅で（ｎ_i,Ｘ_i）と通知され
た（ｎ₁,Ｘ₁）、（ｎ₂,Ｘ₂）を用いて、Ｍ_i＝Ｍ／ｎ_i，Ｍ₁＝Ｍ／ｎ₁，Ｍ₂＝Ｍ／ｎ₂ （Ｍ＝ｎ_i・ｎ₁・ｎ₂；ｉ≠１,２）を求め、ｙ_i＝１／Ｍ_i mod n_i，ｙ₁＝１／Ｍ₁ mod n₁，ｙ₂＝１／Ｍ₂ mod n₂ を満たす整数ｙ_i、ｙ₁、ｙ₂を求め、前記整数Ｍ_i、
Ｍ₁、Ｍ₂とｙ_i、ｙ₁、ｙ₂、端末ｉの端末情報Ｘ_iと、端
末Ｔ₁、Ｔ₂の準備情報Ｘ₁、Ｘ₂を用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ₁・Ｍ₁・ｙ₁＋Ｘ₂・Ｍ₂・ｙ₂ mod Ｍを計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めることに
より、２つの端末を同時に排除する構成としたので、基
地局から各端末に（ｎ₁,Ｘ₁）と（ｎ₂,Ｘ₂）を同報する
だけで、２つ端末を同時に排除できる。また、この方法
を拡張することにより、３台以上の端末を排除すること
もできるし、さらに、所定数以下の任意の台数の端末を
排除するようにもできる。

【００６９】

【発明の効果】以上説明したように、本発明では、鍵更
新方法を、基地局において、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる第１の端末情報ｎ_i（＝ｐ_i・ｑ_i；ｐ_i,ｑ_iは素
数）を基地局と対応する各端末ｉの間で秘密に共有し、
基地局はｎ_i＜Ｋ^e＜ｎ_i・ｎ_j （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）を計算して基地局に保管するとともに、各端末１〜Ｎに
配布し、鍵更新時に、基地局が特定した端末ｋの端末情
報（ｎ_k,Ｘ_k）を、基地局から端末１〜Ｎに一斉通知
し、端末ｋ以外の端末で（ｎ_i,ｎ_k）を用いて、ｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k （ｉ≠
ｋ）を満たす整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、ｙ_kと、端
末ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めるという
構成としたので、基地局から全端末に（ｎ_k,Ｘ_k）を同
報通信するだけで、１個の端末を排除して残りの端末で
同じ更新鍵を獲得でき、鍵更新のための業務停止期間を
短くできるという効果が得られる。

【００７０】また、鍵更新方法を、基地局が鍵更新時に
各端末の第１の端末情報と互いに素であるＧＣＤ（ｎ,ｎ_i）＝１（１≦ｉ≦Ｎ）を満たす整数ｎと、Ｘ＝Ｋ^e mod n （ＧＣＤ（Ｘ_i,ｎ）＝１）を各端末に一斉通知し、端末ｉでは、（ｎ_i,ｎ）を用い
て、ｙ_i＝１／ｎ mod n_i，ｙ＝１／ｎ_i mod n （１≦ｉ≦
Ｎ）を満たす整数ｙ_i、ｙを求め、前記整数ｙ_i、ｙと、端末
ｉの準備情報Ｘ_iと、通知されたＸ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ・ｙ・ｎ_i mod n_i・n を計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めるという
構成としたので、すべての端末が更新鍵を獲得できる定
期更新にも使用することができ、基地局は特定端末を排
除する場合も定期更新時も意識する必要がなく、処理の
簡素化と安全性の向上が実現できるという効果が得られ
る。

【００７１】また、鍵更新方法を、基地局では、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる第１の端末情報ｎ_iを生成して基地局に保管する
とともに、各端末１〜Ｎに配布し、排除する盗難局の台
数を２台として（ｎ_iの最大値）²＜Ｋ^e＜（ｎ_iの最大値）³ を満たす鍵Ｋと秘密鍵ｅを任意に決定して、第２の端末
情報Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ）＝１）を計算して基地局に保管するとともに、各端末１〜Ｎに
配布し、鍵更新時に、基地局が特定した端末ｋと端末ｍ
の端末情報（ｎ_k,Ｘ_k）、（ｎ_m,Ｘ_m）を、基地局から全
端末に一斉通知し、端末ｋ、ｍ以外の端末で（ｎ_i,
Ｘ_i）と通知された（ｎ_k,Ｘ_k）、（ｎ_m,Ｘ_m）を用い
て、Ｍ_i＝Ｍ／ｎ_i，Ｍ_k＝Ｍ／ｎ_k，Ｍ_m＝Ｍ／ｎ_m （Ｍ＝ｎ_i・ｎ_k・ｎ_m；i≠ｋ,ｍ）、ｙ_i＝１／Ｍ_i mod n_i，ｙ_k＝１／Ｍ_k mod n_k，ｙ_m＝１／Ｍ_m mod n_m を満たす整数ｙ_i、ｙ_k、ｙ_mを求め、前記整数Ｍ_i、
Ｍ_k、Ｍ_mとｙ_i、ｙ_k、ｙ_m、端末ｉの端末情報Ｘ_iと、端
末ｋ、ｍの端末情報Ｘ_k、Ｘ_mを用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ_k・Ｍ_k・ｙ_k＋Ｘ_m・Ｍ_m・ｙ_m mod Ｍを計算し、秘密鍵ｅとＫ^eから更新鍵Ｋを求めることに
より、２つの端末を同時に排除できるするという構成と
したので、基地局から全端末に（ｎ_k,Ｘ_k）と（ｎ_m,
Ｘ_m）を同報通信するだけで、２個の端末を同時に排除
できるという効果が得られる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態の鍵更新方法におけ
るセットアップを示す図、

【図２】第１の実施の形態の鍵更新方法における準備フ
ェーズを示す図、

【図３】第１の実施の形態の鍵更新方法において、端末
Ｔ₁を排除する鍵更新フェーズを示す図、

【図４】第１の実施の形態の鍵更新方法における各端末
の構成を示す図、

【図５】第１の実施の形態の鍵更新方法における基地局
側の構成を示す図、

【図６】第１の実施の形態の鍵更新方法において、定期
更新の場合の鍵更新フェーズを示す図、

【図７】第２の実施の形態の鍵更新方法において、特定
の端末Ｔ₁、Ｔ₂を同時に排除する場合の鍵更新フェーズ
を示す図、

【図８】第２の実施の形態において特定の端末Ｔ₁だけ
を排除する場合の鍵更新フェーズを示す図、

【図９】第１の従来例における鍵更新方式を示す図、

【図１０】第２の従来例における鍵更新方式を示す図で
ある。

【符号の説明】

１基地局２〜６端末Ｔ₁〜Ｔ₅ ７〜11 端末内の記憶部 12 基地局内の記憶部 20 第１の端末情報格納部 21 第２の端末情報格納部 22 一斉通知受信部 23 第１の計算部 24 第２の計算部 25 第１の端末情報格納部(基地局) 26 鍵Ｋ,ｐ,ｑ,ｎ生成部 27 第２の端末情報計算部 28 第２の端末情報格納部(基地局) 29 排除端末指定部 30 同報通知部

Claims

【特許請求の範囲】

【請求項１】基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる通信システムにお
いて、前記基地局は、前記端末の第１の端末情報を格納
する第１の基地局側記憶部と、第２の端末情報を格納す
る第２の基地局側記憶部を備え、前記端末は、前記第１
の端末情報と前記第２の端末情報を格納する端末情報格
納部と、受信部と、第１計算部と、第２計算部とを備
え、第ｉ番目（１≦ｉ≦Ｎ）の端末の第１の端末情報
は、互いに素である、すなわち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵ｅを
整数として、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j （１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）を満たすＫを、更新鍵を生成するための情報とすると
き、前記秘密鍵ｅをべきとし前記整数ｎ_iを法とするＫ
のべき乗剰余値Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、（１）前記基地局において、鍵更新時に、前記
基地局が特定した端末ｋの第１の端末情報ｎ_kと第２の
端末情報Ｘ_kを、前記基地局側記憶部から取り出して全
端末に一斉通知し、（２）全ての端末ｉにおいて、前記
受信部で、前記端末ｋの第１の端末情報ｎ_kと第２の端
末情報Ｘ_kを受信し、（３）端末ｋを除く全ての端末ｉ
では、前記第１の計算部において、端末ｉと前記端末ｋ
の第１の端末情報ｎ_iとｎ_kを用いてｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k （ｉ≠
ｋ）となる整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、ｙ_kと、端末
ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を計算し、（４）端末ｋを除く全ての端末ｉでは、前記
第２の計算部において、前記秘密鍵ｅとＫ^eから更新鍵
Ｋを求めることを特徴とする鍵更新方法。
【請求項２】基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる通信システムの鍵
更新装置において、前記基地局は、前記端末の第１の端
末情報を格納する第１の基地局側記憶手段と、第２の端
末情報を格納する第２の基地局側記憶手段を備え、前記
端末は、前記第１の端末情報と前記第２の端末情報を格
納する端末情報格納手段とを備え、第ｉ番目（１≦ｉ≦
Ｎ）の端末の第１の端末情報は、互いに素である、すな
わち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵ｅを
整数として、ｎ_i＜Ｋ^e＜ｎ_i・ｎ_j を満たすＫを、更新鍵を生成するための情報とすると
き、前記秘密鍵ｅをべきとし前記整数ｎ_iを法とするＫ
のべき乗剰余値Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、（１）前記基地局は、鍵更新時に、前記基地局
が特定した端末ｋの第１の端末情報ｎ_kと第２の端末情
報Ｘ_kを、前記基地局側記憶手段から取り出して全端末
に一斉通知する手段を備え、（２）全ての端末ｉは、前
記端末ｋの第１の端末情報ｎ_kと第２の端末情報Ｘ_kを受
信する受信手段を備え、（３）端末ｋを除く全ての端末
ｉでは、前記第１の計算部において、端末ｉと前記端末
ｋの第１の端末情報ｎ_iとｎ_kを用いてｙ_i＝１／ｎ_k mod n_i，ｙ_k＝１／ｎ_i mod n_k （ｉ≠
ｋ）を満たす整数ｙ_i、ｙ_kを求め、前記整数ｙ_i、ｙ_kと、端
末ｉの端末情報Ｘ_iと、端末ｋの端末情報Ｘ_kとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ_k＋Ｘ_k・ｙ_k・ｎ_i mod n_i・n_k を計算する第１の計算手段を備え、（４）端末ｋを除く
全ての端末ｉでは前記秘密鍵ｅとＫ^eから更新鍵Ｋを求
める第２の計算手段を備えることを特徴とする鍵更新装
置。
【請求項３】基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる通信システムにお
いて、前記基地局は、前記端末の第１の端末情報を格納
する第１の基地局側記憶部と、第２の端末情報を格納す
る第２の基地局側記憶部を備え、前記端末は、前記第１
の端末情報と前記第２の端末情報を格納する端末情報格
納部と、受信部と、第１計算部と、第２計算部とを備
え、第ｉ番目（１≦ｉ≦Ｎ）の端末の第１の端末情報
は、互いに素である、すなわち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵ｅを
整数として、任意の整数ｓ（１≦ｓ＜Ｎ）に対してｎ_i＜Ｋ^e＜(ｎ_iの最大値)^s+1 を満たすＫを、更新鍵を生成するための情報とすると
き、前記秘密鍵ｅをべきとし前記整数ｎ_iを法とするＫ
のべき乗剰余値Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、（１）前記基地局において、鍵更新時に、前記
基地局が特定した端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1〜
ｎ_ksと第２の端末情報Ｘ_k1〜Ｘ_ksを、前記基地局側記憶
部から取り出して全端末に一斉通知し、（２）全ての端
末ｉにおいて、前記受信部で、前記端末ｋ₁〜ｋ_sの第１
の端末情報ｎ_k1〜ｎ_ksと第２の端末情報Ｘ_k1〜Ｘ_ksを受
信し、（３）端末ｋ₁〜ｋ_sを除く全ての端末ｉでは、前
記第１の計算部において、端末ｉの端末情報ｎ_iと前記
端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1〜ｎ_ksを用いて、Ｍ_i ＝Ｍ／ｎ_i，Ｍ_k1＝Ｍ／ｎ_k1，・・・Ｍ_ks＝Ｍ／ｎ_ks （Ｍ＝ｎ_i・ｎ_k1・...・ｎ_ks；ｉ≠ｋ₁〜ｋ_s）を求め、ｙ_i ＝１／Ｍ_i mod n_i，ｙ_k1＝１／Ｍ_k1 mod n_k1，・・・ｙ_ks＝１／Ｍ_ks mod n_ks を満たす整数ｙ_i、ｙ_k1〜ｙ_ksを求め、前記整数Ｍ_i、Ｍ
_k1〜Ｍ_ksとｙ_i、ｙ_k1〜ｙ_ks、端末ｉの端末情報Ｘ_iと、
端末ｋ₁〜ｋ_sの端末情報Ｘ_k1〜Ｘ_ksを用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ_k1・Ｍ_k1・ｙ_k1＋...＋Ｘ_ks・Ｍ_ks・
ｙ_ks mod Ｍを計算し、（４）端末ｋ₁〜ｋ_sを除く全ての端末ｉで
は、前記第２の計算部において、前記秘密鍵ｅとＫ^eか
ら更新鍵Ｋを求めることを特徴とする鍵更新方法。
【請求項４】基地局と、前記基地局と接続されたＮ台
（Ｎは２以上の整数）の端末からなる通信システムにお
いて、前記基地局は、前記端末の第１の端末情報を格納
する第１の基地局側記憶部と、第２の端末情報を格納す
る第２の基地局側記憶部を備え、前記端末は、前記第１
の端末情報と前記第２の端末情報を格納する端末情報格
納部と、受信部と、第１計算部と、第２計算部とを備
え、第ｉ番目（１≦ｉ≦Ｎ）の端末の第１の端末情報
は、互いに素である、すなわち、ＧＣＤ（ｎ_i,ｎ_j）＝１（１≦ｉ,ｊ≦Ｎ；ｉ≠ｊ）となる整数ｎ_iであり、第２の端末情報は、秘密鍵ｅを
整数として、任意の整数ｓ（１≦ｓ＜Ｎ）に対して、ｎ_i＜Ｋ^e＜(ｎ_iの最大値)^s+1 を満たすＫを、更新鍵を生成するための情報とすると
き、前記秘密鍵ｅをべきとし前記整数ｎ_iを法とするＫ
のべき乗剰余値Ｘ_i＝Ｋ^e mod n_i （ＧＣＤ（Ｘ_i,ｎ_i）＝１）であり、任意の整数ｔ（１≦ｔ≦ｓ）に対して、（１）
前記基地局において、鍵更新時に、前記基地局が特定し
た端末ｋ₁〜ｋ_tの第１の端末情報ｎ_k1〜ｎ_ktと第２の端
末情報Ｘ_k1〜Ｘ_ktを、前記基地局側記憶部から取り出し
て全端末に一斉通知し、（２）前記基地局において、鍵
更新時に、ｆ（１≦ｆ＜ｓ−ｔ）個の第１の端末情報ｎ
_r1〜ｎ_rfと、ｆ個の第２の端末情報Ｘ_r1〜Ｘ_rfを生成し
て全端末に一斉通知し、（３）全ての端末ｉにおいて、
前記受信部で、前記端末ｋ₁〜ｋ_sの第１の端末情報ｎ_k1
〜ｎ_ksと第２の端末情報Ｘ_k1〜Ｘ_ksと前記第１の端末情
報ｎ_r1〜ｎ_rfと前記第２の端末情報Ｘ_r1〜Ｘ_rfを受信
し、（４）端末ｋ₁〜ｋ_tを除く全ての端末ｉでは、前記
第１の計算部において、端末ｉの第１端末情報ｎ_iと前
記端末ｋ₁〜ｋ_sの第１端末情報ｎ_k1〜ｎ_ksおよび前記第
１の端末情報ｎ_r1〜ｎ_rfと前記第２の端末情報Ｘ_r1〜Ｘ
_rfを用いて、Ｍ_i ＝Ｍ／ｎ_i，Ｍ_k1＝Ｍ／ｎ_k1，・・・Ｍ_kt＝Ｍ／ｎ_kt，Ｍ_r1＝Ｍ／ｎ_r1，・・・Ｍ_rf＝Ｍ／ｎ_rf （Ｍ＝ｎ_i・ｎ_k1・...・ｎ_kt・ｎ_r1・...・ｎ_rf；ｉ≠ｋ₁〜ｋ_s≠ｒ₁〜ｒ_f）を求め、ｙ_i ＝１／Ｍ_i mod n_i，ｙ_k1＝１／Ｍ_k1 mod n_k1，・・・ｙ_kt＝１／Ｍ_kt mod n_kt，ｙ_r1＝１／Ｍ_r1 mod n_r1，・・・ｙ_rf＝１／Ｍ_rf mod n_rf を満たす整数ｙ_i、ｙ_k1〜ｙ_ksを求め、前記整数Ｍ_i、Ｍ
_k1〜Ｍ_kt、Ｍ_r1〜Ｍ_rfとｙ_i、ｙ_k1〜ｙ_kt、ｙ_r1〜ｙ_rf
端末ｉの端末情報Ｘ_iと、端末ｋ₁〜ｋ_sの端末情報Ｘ_k1
〜Ｘ_ksと前記端末情報Ｘ_r1〜Ｘ_rfを用いて、Ｋ^e＝Ｘ_i・Ｍ_i・ｙ_i＋Ｘ_k1・Ｍ_k1・ｙ_k1＋...＋Ｘ_kt・Ｍ_kt・
ｙ_kt＋Ｘ_r1・Ｍ_r1・ｙ_r1＋...＋Ｘ_rf・Ｍ_rf・ｙ_rf mod Ｍを計算し、（４）端末ｋ₁〜ｋ_tを除く全ての端末ｉで
は、前記第２の計算部において、前記秘密鍵ｅとＫ^eか
ら更新鍵Ｋを求めることを特徴とする鍵更新方法。
【請求項５】前記基地局が、鍵更新時に前記各端末の
第１の端末情報と互いに素であるＧＣＤ（ｎ,ｎ_i）＝１（１≦ｉ≦Ｎ）を満たす整数ｎと、前記秘密鍵ｅをべきとし前記整数ｎ
を法とするＫのべき乗剰余値Ｘ＝Ｋ^e mod n （ＧＣＤ（Ｘ,ｎ）＝１）を一斉通知し、前記任意の端末ｉでは、前記第１の計算
部において、端末ｉの第１の端末情報ｎ_iと前記整数ｎ
を用いて、ｙ_i＝１／ｎ mod n_i，ｙ＝１／ｎ_i mod n を満たす整数ｙ_i、ｙを求め、前記整数ｙ_i、ｙと、端末
ｉの端末情報Ｘ_iと、前記Ｘとから、Ｋ^e＝Ｘ_i・ｙ_i・ｎ＋Ｘ・ｙ・ｎ_i mod n_i・n を計算し、次に前記第２の計算部において、前記秘密鍵
ｅとＫ^eから更新鍵Ｋを求めることを特徴とする請求項
１記載の鍵更新方法。
【請求項６】前記整数ｎを基地局が生成した素数ｐと
ｑの積とすることを特徴とする請求項１、３、４、５記
載の鍵更新方法。
【請求項７】前記端末の第１の計算部で、拡張ユーク
リッド互除法を用いて前記整数ｙ_i、ｙ_kを求めることを
特徴とする請求項１、３、４、５記載の鍵更新方法。
【請求項８】前記端末の第２の計算部で、Newton-Rap
hson法を用いて前記整数Ｋを求めることを特徴とする請
求項１、３、４、５記載の鍵更新方法。
【請求項９】前記第１の端末情報を、前記基地局が作
成し、あらかじめ基地局と端末に備えられた暗号通信手
段により、対応する端末に配布することを特徴とする請
求項１、３、４、５記載の鍵更新方法。
【請求項１０】前記基地局が任意の秘密の整数Ｋとｅ
を生成して、前記第１の基地局側記憶部に格納している
各端末ｉの第１の端末情報ｎ_iを用いて第２の端末情報
Ｘ_iを計算し、これを鍵更新の前に対応する各端末に配
布することを特徴とする請求項１、３、４、５記載の鍵
更新方法。
【請求項１１】更新鍵を生成するための前記情報Ｋ
が、 (ｎ_iの最大値)^s＜Ｋ^e＜(ｎ_iの最大値)^s+1 を満たすことを特徴とする請求項３、４記載の鍵更新方
法。
【請求項１２】前記鍵更新を連続して行なう場合にお
いて、第ｉ回目の鍵更新で特定の端末ｋの端末情報を一
斉通話した後には、第（ｉ＋１）回目の鍵更新の前に、
基地局は前記端末ｋの第１の端末情報を用いた第２の端
末情報を計算せず、また端末ｋには配布しないことを特
徴とする請求項１、４、５記載の鍵更新方法。
【請求項１３】基地局が、新規加入の端末ｊに対して
端末ｊの第２の端末情報と、鍵更新時に一斉通話した特
定端末ｉの第１、第２の端末情報を通知し、端末ｊでは
前記第１、第２の計算部を備えて前記更新鍵Ｋを求める
ことを特徴とする請求項１、３、４、５記載の鍵更新方
法。
【請求項１４】前記基地局の第１、第２の基地局側記
憶部および前記端末の第１、第２の端末情報格納部は、
外部より観測したり変更できない領域とすることを特徴
とする請求項１、３、４、５記載の鍵更新方法。
【請求項１５】前記整数ｅを基地局の秘密の整数と
し、鍵更新時に前記基地局が送信する端末情報に加えて
整数ｅを一斉通知することを特徴とする請求項１、３、
４、５記載の鍵更新方法。
【請求項１６】前記鍵Ｋにバージョン番号を付加し、
基地局はバージョン番号が一致していない端末ｊに、端
末ｊの第２の端末情報と、鍵更新時に一斉通話した特定
端末ｉの第１および第２の端末情報を対応する端末に通
知し、端末ｊでは前記第１、第２の計算部において、相
当するバージョンの鍵Ｋを求めることを特徴とする請求
項１、３、４、５記載の鍵更新方法。
【請求項１７】前記基地局と各端末にあらかじめ備え
られた暗号通信手段において、基地局のディジタル署名
を付加することを特徴とする請求項９記載の鍵更新方
法。