知財求人 - 知財ポータルサイト「IP Force」
▶ 独立行政法人情報通信研究機構の特許一覧 ▶ 株式会社シグリードの特許一覧
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024137410
(43)【公開日】2024-10-07
(54)【発明の名称】通信ネットワークの制御装置
(51)【国際特許分類】
H04L 9/12 20060101AFI20240927BHJP
G09C 1/00 20060101ALI20240927BHJP
【ＦＩ】
H04L9/12
G09C1/00 650Z
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2023048931
(22)【出願日】2023-03-24
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和４年度 総務省、情報通信技術の研究開発「グローバル量子暗号通信網構築のための研究開発」に係る委託研究、産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(71)【出願人】
【識別番号】509241085
【氏名又は名称】株式会社シグリード
(74)【代理人】
【識別番号】100099623
【弁理士】
【氏名又は名称】奥山 尚一
(74)【代理人】
【識別番号】100125380
【弁理士】
【氏名又は名称】中村 綾子
(74)【代理人】
【識別番号】100142996
【弁理士】
【氏名又は名称】森本 聡二
(74)【代理人】
【識別番号】100166268
【弁理士】
【氏名又は名称】田中 祐
(72)【発明者】
【氏名】佐々木 雅英
(72)【発明者】
【氏名】江角 淳
(72)【発明者】
【氏名】李 凱
(57)【要約】
【課題】秘密情報のリレー伝送において盗聴の難易度を高める。
【解決手段】複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置１００は、ソースノードとターミナルノードと前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部１１０と、前記ソースノードに対し、秘密情報を秘密分散により得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部１２０と、各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記複数の秘密分散データがターミナルノードにおいて結合されるとマスキングが数学的にキャンセルされるように、前記中継ノードに対しマスキングと乱数の送信とを指示するマスキング指示部１３０とを備える。
【選択図】図１９
【解決手段】複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置１００は、ソースノードとターミナルノードと前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部１１０と、前記ソースノードに対し、秘密情報を秘密分散により得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部１２０と、各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記複数の秘密分散データがターミナルノードにおいて結合されるとマスキングが数学的にキャンセルされるように、前記中継ノードに対しマスキングと乱数の送信とを指示するマスキング指示部１３０とを備える。
【選択図】図１９
【特許請求の範囲】
【請求項1】
複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置であって、
前記通信ネットワークにおいて、秘密情報の送信元であるソースノードと、前記秘密情報の宛先であるターミナルノードと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部と、
前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部と、
各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、前記中継ノードに対し、前記乱数による前記秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示するマスキング指示部と
を備える、通信ネットワークの制御装置。
前記通信ネットワークにおいて、秘密情報の送信元であるソースノードと、前記秘密情報の宛先であるターミナルノードと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部と、
前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部と、
各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、前記中継ノードに対し、前記乱数による前記秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示するマスキング指示部と
を備える、通信ネットワークの制御装置。
【請求項2】
前記ターミナルノードに対し、前記複数の経路を通じて送られた前記複数の秘密分散データを結合し前記秘密情報を復元するよう指示する復元指示部をさらに備える請求項１に記載の通信ネットワークの制御装置。
【請求項3】
前記乱数がガロア体ＧＦ（ｑｘ）上の元であり、ｑは素数であり、ｘは正整数である、請求項１又は２に記載の通信ネットワークの制御装置。
【請求項4】
前記マスキング指示部は、前記ターミナルノードでの、前記マスキングがなされた前記複数の秘密分散データの結合において、前記乱数の四則演算によりマスキングがキャンセルされるように、マスキングの指示を行う、請求項３に記載の通信ネットワークの制御装置。
【請求項5】
前記通信ネットワークの各リンクにおいて暗号化が行われるように前記ソースノードと前記ターミナルノードと前記中継ノードとに指示を行う暗号化指示部をさらに備える請求項１又は２に記載の通信ネットワークの制御装置。
【請求項6】
請求項１又は２に記載の制御装置と、
前記複数のノードと、
２つの前記ノードを接続する前記リンクと
を有する通信ネットワークシステム。
前記複数のノードと、
２つの前記ノードを接続する前記リンクと
を有する通信ネットワークシステム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、通信ネットワークの制御装置に関する。
【背景技術】
【0002】
離れて位置する送信者と受信者が情報理論的に安全な方法で秘密の情報を共有するための方法として、古くからバーナム暗号が知られている。バーナム暗号によれば、送信者と受信者が当該の秘密情報と同じサイズの乱数列を予め共有し、当該乱数列を唯の１回に限って使用（ワンタイムパッド（Ｏｎｅ Ｔｉｍｅ Ｐａｄ（ＯＴＰ））での使用）して前記秘密情報が暗号化される。この暗号化による暗号文をデータ伝送することによって、秘密の情報を二者が安全に共有することができる。このとき第三者は暗号文から前記秘密情報に関する情報を取得することは困難である。
【0003】
バーナム暗号では秘密の乱数列を予め共有しておく必要があるが、通常のデータ伝送技術を用いている限り情報理論的に安全な方法でこれを実行することは困難である。しかし、量子鍵配送などの物理学の法則に基づく鍵共有の方法を用いれば、距離に限界があるとはいえ、離れた送信者と受信者の間でバーナム暗号に使用可能な秘密の乱数列（すなわち鍵）を共有できる。
【0004】
このようにして、近年、量子鍵配送による秘密の乱数列の共有と、ＯＴＰによるバーナム暗号化データの伝送とを組み合わせることによって、秘密情報を情報理論的に安全に共有することが実際に行われている。
【0005】
ところが、上記の方法には距離の制限がある。これは量子鍵配送が可能な距離には物理的な限界があるためである。この限界は、量子状態にある光信号が光ファイバー中を伝搬中に被る散逸に起因する。通信波長帯では１００ｋｍ程度が限界である。
【0006】
そこで、秘密情報を共有できる距離を拡大するために、リレー伝送の方法が用いられている。図１に通信ネットワークＮＷ１として示すように、送信者がいる始点（ソースノードＳＮ）と受信者がいる終点（ターミナルノードＴＮ）との間を、信頼できる複数の中継ノードＮ１～Ｎ４を経由して一本のデータ伝送用のリレー経路で結ぶ。前提として、中継ノードＮ１～Ｎ４は、信頼できる中継点すなわちトラステッドノードである。このリレー経路は、隣接する２つのノード間を接続する伝送リンクを５つ有する。すなわち、ソースノードＳＮと第１中継ノードＮ１とを接続する第１伝送リンクと、第１中継ノードＮ１と第２中継ノードＮ２とを接続する第２伝送リンクと、第２中継ノードＮ２と第３中継ノードＮ３とを接続する第３伝送リンクと、第３中継ノードＮ３と第４中継ノードＮ４とを接続する第４伝送リンクと、第４中継ノードＮ４とターミナルノードＴＮとを接続する第５伝送リンクとである。各伝送リンクの長さは、量子鍵配送が可能な長さである。
【0007】
各伝送リンクにより接続される２つのノードは、量子鍵配送を行うことによって、当該伝送リンクに固有の秘密乱数列を共有する。このようにして、リレー経路上の全ての伝送リンクにおいて秘密乱数列が準備される。
ソースノードＳＮは、秘密情報Ｋを第１伝送リンクの秘密乱数列ｋ１を用いてＯＴＰで秘匿化し、秘匿化されたデータ
を第１中継ノードＮ１に送る。
ソースノードＳＮは、秘密情報Ｋを第１伝送リンクの秘密乱数列ｋ１を用いてＯＴＰで秘匿化し、秘匿化されたデータ
【数1】
【0008】
第１中継ノードＮ１は、まず秘密乱数列ｋ１を用いて、
から秘密情報Ｋを復号し、次に第２伝送リンクの秘密乱数列ｋ２を用いて秘密情報ＫをＯＴＰで再び秘匿化し、秘匿化されたデータ
を第２中継ノードＮ２にデータ伝送する。以下、順を追って中継ノード毎に復号及びＯＴＰ秘匿化が繰り返されることによって、ターミナルノードＴにて秘密情報Ｋが復号される。このように、リレー経路上の全ての伝送リンクの各々を上記の物理乱数列のワンタイムパッドでの利用によって秘匿化した上で、ソースノードＳＮからターミナルノードＴＮまで秘密情報Ｋがリレー伝送される。
【数2】
【数3】
【0009】
各伝送リンクは、バーナム暗号に基づいて秘匿化されているため盗聴者に対して安全である。また、各伝送リンクにおいて送られる秘密分散データは、中継ノードに到着する度に完全に復号される一方、中継ノードはいずれも、局舎によって隔離されて信頼性が担保されたトラステッドノードである。以上から、秘密情報Ｋが不正に漏洩することはないとされる。
【0010】
しかし、中継ノードが盗聴によって危殆化してしまう可能性は皆無ではない。例えば、中継ノードの局舎が予期せぬ災害や障害等で一部のセキュリティ機能が棄損する確率はゼロではない。また、ネットワークが広域化し中継ノードの数が増えるに従い、すべての中継ノードを理想的なトラステッドノードとして運用することは実質的に困難になってくる。
【0011】
特に、ソースノードとターミナルノードを結ぶリレー経路が１本しかない場合には、盗聴者はリレー経路上にある任意の1つの中間ノードを偶々危殆化させるだけで秘密情報Ｋを取得できるという安全上の弱点がある。
【0012】
このような弱点を解消するために、複数のリレー経路を使用して秘密情報Ｋのリレー伝送を行う分散化リレー伝送の方法が特許文献１に記載されている。図２に示すように、分散化リレー伝送が行われる通信ネットワークＮＷ２では、ソースノードＳＮとターミナルノードＴＮとの間にｍ本のリレー経路が設定される。各リレー経路にはｎ個の中継ノードが設けられる。図２の例では、ｍ＝７であり、ｎ＝７である。
【0013】
第１リレー経路は第１中継ノードＮ１１～第７中継ノードＮ１７を有し、第２リレー経路は第１中継ノードＮ２１～第７中継ノードＮ２７を有し、第３リレー経路は第１中継ノードＮ３１～第７中継ノードＮ３７を有し、第４リレー経路は第１中継ノードＮ４１～第７中継ノードＮ４７を有し、第５リレー経路は第１中継ノードＮ５１～第７中継ノードＮ５７を有し、第６リレー経路は第１中継ノードＮ６１～第７中継ノードＮ６７を有し、第７リレー経路は第１中継ノードＮ７１～第７中継ノードＮ７７を有する。通信ネットワークＮＷ２内の各リレー経路において隣接する２つのノードを接続する伝送リンクの長さは、通信ネットワークＮＷ１の場合と同様に、量子鍵配送が可能な長さである。
【0014】
ソースノードＳＮは、まず秘密情報Ｋと同じサイズをもつ（ｍ－１）個の乱数ｕ１、ｕ２、ｕ３、…、ｕｍ－１を生成する。次にソースノードＳＮは、秘密情報Ｋと生成された全ての乱数との排他的論理和
を計算する。このようにして秘密情報Ｋは、ｍ個の秘密分散データ（Ｋ１、Ｋ２＝ｕ１、Ｋ３＝ｕ２、…、及びＫｍ＝ｕｍ－１）に秘密分散される。ソースノードＳＮは、ｍ個の秘密分散データをｍ本のリレー経路にそれぞれ割り当てる。それぞれの秘密分散データは、リレー経路上でＯＴＰ秘匿化及び復号が繰り返されながら、ターミナルノードＴＮに送られる。ターミナルノードＴＮは、各リレー経路から受信したデータを復号して得られたｍ個の秘密分散データＫ１～Ｋｍの排他的論理和を計算することにより秘密情報Ｋを復号する。
【数4】
【0015】
通信ネットワークＮＷ２において、盗聴者はｍ本のリレー経路のそれぞれについていずれかの中間ノードを攻撃してｍ個の秘密分散データを取得しない限り、秘密情報Ｋを復号することはできない。このように、分散化リレー伝送では、リレー経路の本数を増やすことによって、盗聴者による攻撃の難易度を高め、システムの安全性を向上させている。
【先行技術文献】
【特許文献】
【0016】
【特許文献1】特表２０１８－５０２５１４号公報
【発明の概要】
【発明が解決しようとする課題】
【0017】
従来の分散化リレー伝送においては、任意の１つの中継ノードが盗聴しようとする者の攻撃により危殆化してしまうと、当該中継ノードを有するリレー経路の全体が危殆化してしまうという問題がある。
【0018】
本発明は、このような状況に鑑みてなされたものであって、秘密情報のリレー伝送において盗聴の難易度を高めることを目的とする。
【課題を解決するための手段】
【0019】
本発明の一実施形態によれば、複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置が提供される。この制御装置は、前記通信ネットワークにおいて、秘密情報の送信元であるソースノードと、前記秘密情報の宛先であるターミナルノードと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部と、前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部と、各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、前記中継ノードに対し、前記乱数による前記秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示するマスキング指示部とを備える。
【発明の効果】
【0020】
本発明によれば、秘密情報のリレー伝送において盗聴の難易度を高めることができる。
【図面の簡単な説明】
【0021】
【図1】通信ネットワークの一例を示す説明図である。
【図2】通信ネットワークの別の例を示す説明図である。
【図3】攻撃ポイントの具体例を示す説明図である。
【図4】第１実施形態の概要を示す説明図である。
【図5】第１実施形態の例を示す説明図である。
【図6】第１実施形態の別の例を示す説明図である。
【図7】第１実施形態の効果を示す表である。
【図8A】攻撃ポイントの具体例を示す説明図である。
【図8B】攻撃ポイントの具体例を示す説明図である。
【図8C】攻撃ポイントの具体例を示す説明図である。
【図8D】攻撃ポイントの具体例を示す説明図である。
【図9A】攻撃ポイントの具体例を示す説明図である。
【図9B】攻撃ポイントの具体例を示す説明図である。
【図9C】攻撃ポイントの具体例を示す説明図である。
【図9D】攻撃ポイントの具体例を示す説明図である。
【図10】第２実施形態を示す説明図である。
【図11】第３実施形態を示す説明図である。
【図12A】攻撃ポイントの具体例を示す説明図である。
【図12B】攻撃ポイントの具体例を示す説明図である。
【図12C】攻撃ポイントの具体例を示す説明図である。
【図12D】攻撃ポイントの具体例を示す説明図である。
【図12E】攻撃ポイントの具体例を示す説明図である。
【図13】第４実施形態を示す説明図である。
【図14】第５実施形態を示す説明図である。
【図15】第５実施形態を示す説明図である。
【図16】第５実施形態の効果を示す表である。
【図17】攻撃ポイントの具体例を示す説明図である。
【図18】第６実施形態を示す説明図である。
【図19】通信ネットワークの制御装置のブロック図である。
【図20】ガロア体（５１）における計算例を示す説明図である。
【図21】ガロア体（５１）における別の計算例を示す説明図である。
【図22】制御装置のコンピュータハードウェア構成例を示す説明図である。
【発明を実施するための形態】
【0022】
以下、本発明を図示の実施の形態に基づいて説明する。ただし、本発明は、以下に説明する実施の形態によって限定されるものではない。
【0023】
まず、本発明の発明者は、従来の分散化リレー伝送について以下に述べるとおり鋭意検討を行った。
【0024】
図３に再び通信ネットワークＮＷ２を示す。例えば、第１リレー経路において中継ノードＮ１４が危殆化し、第２リレー経路において中継ノードＮ２６が危殆化し、第３リレー経路において中継ノードＮ３５が危殆化し、第４リレー経路において中継ノードＮ４２が危殆化し、第５リレー経路において中継ノードＮ５４が危殆化し、第６リレー経路において中継ノードＮ６１が危殆化し、第７リレー経路において中継ノードＮ７６が危殆化したとする。この場合、秘密分散データＫ１～Ｋ７が漏洩し、結果的に秘密情報Ｋが漏洩する。
【0025】
このように通信ネットワークＮＷ２においては、各リレー経路において偶々危殆化されたに過ぎない中継ノードＮ１４、Ｎ２６、Ｎ３５、Ｎ４２、Ｎ５４、Ｎ６１及びＮ７６の組み合わせにより、秘密情報Ｋが漏洩してしまうという問題がある。
【0026】
例えば、ｍ本のリレー経路の各々にｎ個の中継ノードが設置されていた場合、盗聴者による攻撃ポイントの可能な組み合わせの総数はｎｍと大きな数になる。盗聴者はｎｍ通りの組み合わせの中からどの組み合わせを選んでも、その組み合わせに係る中継ノードを危殆化させることで秘密情報Ｋを取得できる。このように、通信ネットワークの正規のユーザや運用者にとって、盗聴の難易度がさらに高まることが望ましい。
【0027】
そこで、盗聴者が各リレー経路に設置された複数の中継ノードの一つを任意に攻撃対象として選び危殆化させただけでは、秘密情報を取得しにくいような実施形態を以下に説明する。
【0028】
＜第１実施形態＞
図４に通信ネットワークＮＷ１１を示す。この通信ネットワークＮＷ１１は、通信ネットワークＮＷ２と同様に、ソースノードＳＮとターミナルノードＴＮとを結ぶ７本のリレー経路（第１リレー経路～第７リレー経路）を有し、各リレー経路には７個の中継ノードが設けられている。この通信ネットワークにおいては、盗聴者が第１リレー経路において第３中継ノードＮ１３を攻撃ポイントとして選んだ場合には、他の全てのリレー経路においても第３中継ノードＮ２３、Ｎ３３、Ｎ４３、Ｎ５３、Ｎ６３及びＮ７３を攻撃ポイントとして選ばない限り、盗聴者は秘密情報を取得できないようになっている。つまり、従来技術とは異なり、盗聴者が選んだ攻撃ポイントの組み合わせが特定の組み合わせに合致しない限り、秘密情報の漏洩は生じない。これにより、盗聴の難易度を大幅に高めることができる。
図４に通信ネットワークＮＷ１１を示す。この通信ネットワークＮＷ１１は、通信ネットワークＮＷ２と同様に、ソースノードＳＮとターミナルノードＴＮとを結ぶ７本のリレー経路（第１リレー経路～第７リレー経路）を有し、各リレー経路には７個の中継ノードが設けられている。この通信ネットワークにおいては、盗聴者が第１リレー経路において第３中継ノードＮ１３を攻撃ポイントとして選んだ場合には、他の全てのリレー経路においても第３中継ノードＮ２３、Ｎ３３、Ｎ４３、Ｎ５３、Ｎ６３及びＮ７３を攻撃ポイントとして選ばない限り、盗聴者は秘密情報を取得できないようになっている。つまり、従来技術とは異なり、盗聴者が選んだ攻撃ポイントの組み合わせが特定の組み合わせに合致しない限り、秘密情報の漏洩は生じない。これにより、盗聴の難易度を大幅に高めることができる。
【0029】
図４に示すように、ソースノードＳＮは、秘密情報Ｋを秘密分散データＫ１～Ｋ７へ秘密分散する。７個の秘密分散データは７本のリレー経路を通じてそれぞれソースノードＳＮからターミナルノードＴＮへ送られる。その際、秘密分散データは中継ノードによる中継の度に乱数によるマスク（暗号化）が行われる。
【0030】
具体的には、中継ノードＮ１１は、中継ノードＮ１２に対し、秘密分散データＫ１をそのまま送るのではなく、秘密分散データＫ１に乱数によるマスクが施されてなる秘密分散データＫ１’’を送る。中継ノードＮ１２は、中継ノードＮ１３に対し、秘密分散データＫ１’’をそのまま送るのではなく、秘密分散データＫ１’’に乱数によるマスクが施されてなる秘密分散データＫ１’’’を送る。以下同様である。中継ノードＮ１７は、中継ノードＮ１６から受信した秘密分散データＫ’’’’’’’をそのままターミナルノードＴＮへ送る。
【0031】
以上のように、秘密分散データＫ１は中継の度にマスクが施される。秘密分散データＫ２～Ｋ７も中継の度にマスクが施される。
【0032】
通信ネットワークＮＷ１２を示す図５を参照して具体的に説明する。リレー経路の本数を２とし、各リレー経路における中継ノードの数を４とする（ｍ＝２、ｎ＝４）。後述するように、リレー経路の本数や中継地点の数が変わっても基本的な考え方は変わらない。通信ネットワークＮＷ１２は、ソースノードＳＮとターミナルノードＴＮとを結ぶ第１リレー経路ＲＰ１と第２リレー経路ＲＰ２とを有する。第１リレー経路ＲＰ１には、第１中継ノードＮ１１から第４中継ノードＮ１４が設けられ、第２リレー経路ＲＰ２には、第１中継ノードＮ２１から第４中継ノードＮ２４が設けられている。
第１リレー経路ＲＰ１は、ソースノードＳＮと第１中継ノードＮ１１とを接続する伝送リンクと、第１中継ノードＮ１１と第２中継ノードＮ１２とを接続する伝送リンクと、第２中継ノードＮ１２と第３中継ノードＮ１３とを接続する伝送リンクと、第３中継ノードＮ１３と第４中継ノードＮ１４とを接続する伝送リンクと、第４中継ノードＮ１４とターミナルノードＴＮとを接続する伝送リンクとを有する。
第２リレー経路ＲＰ２は、ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、第２中継ノードＮ２２と第３中継ノードＮ２３とを接続する伝送リンクと、第３中継ノードＮ２３と第４中継ノードＮ２４とを接続する伝送リンクと、第４中継ノードＮ２４とターミナルノードＴＮとを接続する伝送リンクとを有する。
各伝送リンクにより接続される２つのノードは、当該伝送リンクを用いてＯＴＰ鍵の直接共有が可能である。
第１リレー経路ＲＰ１は、ソースノードＳＮと第１中継ノードＮ１１とを接続する伝送リンクと、第１中継ノードＮ１１と第２中継ノードＮ１２とを接続する伝送リンクと、第２中継ノードＮ１２と第３中継ノードＮ１３とを接続する伝送リンクと、第３中継ノードＮ１３と第４中継ノードＮ１４とを接続する伝送リンクと、第４中継ノードＮ１４とターミナルノードＴＮとを接続する伝送リンクとを有する。
第２リレー経路ＲＰ２は、ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、第２中継ノードＮ２２と第３中継ノードＮ２３とを接続する伝送リンクと、第３中継ノードＮ２３と第４中継ノードＮ２４とを接続する伝送リンクと、第４中継ノードＮ２４とターミナルノードＴＮとを接続する伝送リンクとを有する。
各伝送リンクにより接続される２つのノードは、当該伝送リンクを用いてＯＴＰ鍵の直接共有が可能である。
【0033】
各秘密分散データは、同数の中継ノードを経由して各リレー経路上をターミナルノードに向けてリレー伝送され、各リレー経路上の中継ノードの数を中継段数と呼ぶ。ソースノードから見て同じ順番の中間ノードは同じ段に属すると見なす。ある中継ノードから見て、ソースノード側の段を前段とし、ターミナルノード側の段を後段とする。
【0034】
ソースノードＳＮは、乱数ｒ０を用いて秘密情報Ｋを秘密分散データＫ１と秘密分散データＫ２とに秘密分散する。すなわち、以下のとおりである。
【数5】
【0035】
秘密分散データＫ１を含んだパケットは、ソースノードＳＮから、第１リレー経路ＲＰ１上の中継ノードＮ１１、Ｎ１２、Ｎ１３及びＮ１４を順に経て、ターミナルノードＴＮへ伝送される。同様に、秘密分散データＫ２を含んだパケットは、ソースノードＳＮから、第２リレー経路ＲＰ２上の中継ノードＮ２１、Ｎ２２、Ｎ２３及びＮ２４を順に経て、ターミナルノードＴＮへ伝送される。
【0036】
さらに、異なるリレー経路に属する２つの中継ノードの間には公開のデータ通信路がリレー経路とは別に設けられる。ただし、これらのデータ通信路は、秘密分散データの伝送には使用されず、後述するマスク用の乱数を送受信するために使用される。
【0037】
以下、図５の例を参照して分散化リレー伝送の基本的な手順を説明する。
ソースノードＳＮは以下の処理を行う。
・乱数ｒ０を生成し、乱数ｒ０を用いて秘密情報Ｋを２つの秘密分散データＫ１及びＫ２に秘密分散する。
・秘密分散データＫ１をＯＴＰによって秘匿化したデータを第１のリレー経路ＲＰ１上にある中継ノードＮ１１に伝送する。
・同様に、ソースノードＳＮは、秘密分散データＫ２をＯＴＰによって秘匿化したデータを第２のリレー経路ＲＰ２上にある中継ノードＮ２１に伝送する。
ソースノードＳＮは以下の処理を行う。
・乱数ｒ０を生成し、乱数ｒ０を用いて秘密情報Ｋを２つの秘密分散データＫ１及びＫ２に秘密分散する。
・秘密分散データＫ１をＯＴＰによって秘匿化したデータを第１のリレー経路ＲＰ１上にある中継ノードＮ１１に伝送する。
・同様に、ソースノードＳＮは、秘密分散データＫ２をＯＴＰによって秘匿化したデータを第２のリレー経路ＲＰ２上にある中継ノードＮ２１に伝送する。
【0038】
第１のリレー経路上にある第１中継ノードＮ１１は、以下の処理を行う。
・乱数ｒ１を生成する。
・ソースノードから受信した秘匿化データから、秘密分散データＫ１を復号する。乱数ｒ１によって秘密分散データＫ１をマスクして、
を得る。
・得られた結果をＯＴＰによって秘匿化したデータを、同一リレー経路上にある後段の中継ノードＮ１２に伝送する。
・第２のリレー経路ＲＰ２でも乱数ｒ１を使用できるように、ＯＴＰによって秘匿化した乱数ｒ１のデータを、第２のリレー経路ＲＰ２上にある後段の中継ノードＮ２２に伝送する。
・乱数ｒ１を生成する。
・ソースノードから受信した秘匿化データから、秘密分散データＫ１を復号する。乱数ｒ１によって秘密分散データＫ１をマスクして、
【数6】
・得られた結果をＯＴＰによって秘匿化したデータを、同一リレー経路上にある後段の中継ノードＮ１２に伝送する。
・第２のリレー経路ＲＰ２でも乱数ｒ１を使用できるように、ＯＴＰによって秘匿化した乱数ｒ１のデータを、第２のリレー経路ＲＰ２上にある後段の中継ノードＮ２２に伝送する。
【0039】
第２のリレー経路上にある第１中継ノードＮ２１は、以下の処理を行う。
・乱数ｒ２を生成する。
・ソースノードから受信した秘匿化データから、秘密分散データＫ２を復号する。乱数ｒ２によって秘密分散データＫ２をマスクして、
を得る。
・得られた結果をＯＴＰによって秘匿化したデータを、同一リレー経路上にある後段の中継ノードＮ２２に伝送する。
・第１のリレー経路ＲＰ１でも乱数ｒ２を使用できるように、ＯＴＰによって秘匿化した乱数ｒ２のデータを、第１のリレー経路ＲＰ１上にある後段の中継ノードＮ１２に伝送する。
・乱数ｒ２を生成する。
・ソースノードから受信した秘匿化データから、秘密分散データＫ２を復号する。乱数ｒ２によって秘密分散データＫ２をマスクして、
【数7】
・得られた結果をＯＴＰによって秘匿化したデータを、同一リレー経路上にある後段の中継ノードＮ２２に伝送する。
・第１のリレー経路ＲＰ１でも乱数ｒ２を使用できるように、ＯＴＰによって秘匿化した乱数ｒ２のデータを、第１のリレー経路ＲＰ１上にある後段の中継ノードＮ１２に伝送する。
【0040】
第１のリレー経路上にある第２中継ノードＮ１２は、以下の処理を行う。
・乱数ｒ３を生成する。
・第２のリレー経路上にある前段の中間ノードＮ２１から伝送された秘匿化データから、乱数ｒ２を復号する。
・同一リレー経路上にある前段の中間ノードＮ１１から伝送された秘匿化データから、
を復号する。
・乱数ｒ３と提供された乱数ｒ２とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第1のリレー経路でも乱数ｒ２が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ１３に伝送する。
・さらに、第２のリレー経路でも乱数ｒ３を使用できるように、ＯＴＰによって秘匿化した乱数ｒ３のデータを、第２のリレー経路上にある後段の中間ノードＮ２３に伝送する。
・乱数ｒ３を生成する。
・第２のリレー経路上にある前段の中間ノードＮ２１から伝送された秘匿化データから、乱数ｒ２を復号する。
・同一リレー経路上にある前段の中間ノードＮ１１から伝送された秘匿化データから、
【数8】
・乱数ｒ３と提供された乱数ｒ２とを用いて、マスクされた秘密分散データ
【数9】
【数10】
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ１３に伝送する。
・さらに、第２のリレー経路でも乱数ｒ３を使用できるように、ＯＴＰによって秘匿化した乱数ｒ３のデータを、第２のリレー経路上にある後段の中間ノードＮ２３に伝送する。
【0041】
第２のリレー経路上にある２番目の中間ノードＮ２２は、以下の処理を行う。
・乱数ｒ４を生成する。
・第１のリレー経路上にある前段の中間ノードＮ１１から伝送された秘匿化データから、乱数ｒ１を復号する。
・同一リレー経路上にある前段の中間ノードＮ２１から伝送された秘匿化データから
を復号する。
・自ら生成した乱数ｒ４と提供された乱数ｒ１とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第２のリレー経路でも乱数ｒ１が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ２３に伝送する。
・さらに、第１のリレー経路でも乱数ｒ４を使用できるように、ＯＴＰによって秘匿化した乱数ｒ４のデータを、第１のリレー経路上にある後段の中間ノードＮ１３に伝送する。
・乱数ｒ４を生成する。
・第１のリレー経路上にある前段の中間ノードＮ１１から伝送された秘匿化データから、乱数ｒ１を復号する。
・同一リレー経路上にある前段の中間ノードＮ２１から伝送された秘匿化データから
【数11】
・自ら生成した乱数ｒ４と提供された乱数ｒ１とを用いて、マスクされた秘密分散データ
【数12】
【数13】
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ２３に伝送する。
・さらに、第１のリレー経路でも乱数ｒ４を使用できるように、ＯＴＰによって秘匿化した乱数ｒ４のデータを、第１のリレー経路上にある後段の中間ノードＮ１３に伝送する。
【0042】
第１のリレー経路上にある第３中継ノードＮ１３は、以下の処理を行う。
・乱数ｒ５を生成する。
・第２のリレー経路上にある前段の中間ノードＮ２２から伝送された秘匿化データから、乱数ｒ４を復号する。
・同一リレー経路上にある前段の中間ノードＮ１２から伝送された秘匿化データから、
を復号する。
・自ら生成した乱数ｒ５と提供された乱数ｒ４とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第1のリレー経路でも乱数ｒ４が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ１４に伝送する。
・さらに、第２のリレー経路でも乱数ｒ５を使用できるように、ＯＴＰによって秘匿化した乱数ｒ５のデータを、第２のリレー経路上にある後段の中間ノードＮ２４に伝送する。
・乱数ｒ５を生成する。
・第２のリレー経路上にある前段の中間ノードＮ２２から伝送された秘匿化データから、乱数ｒ４を復号する。
・同一リレー経路上にある前段の中間ノードＮ１２から伝送された秘匿化データから、
【数14】
・自ら生成した乱数ｒ５と提供された乱数ｒ４とを用いて、マスクされた秘密分散データ
【数15】
【数16】
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ１４に伝送する。
・さらに、第２のリレー経路でも乱数ｒ５を使用できるように、ＯＴＰによって秘匿化した乱数ｒ５のデータを、第２のリレー経路上にある後段の中間ノードＮ２４に伝送する。
【0043】
第２のリレー経路上にある第３中継ノードＮ２３は、以下の処理を行う。
・乱数ｒ６を生成する。
・第１のリレー経路上にある前段の中間ノードＮ１２から伝送された秘匿化データから、乱数ｒ３を復号する。
・同一リレー経路上にある前段の中間ノードＮ２２から伝送された秘匿化データから、
を復号する。
・自ら生成した乱数ｒ６と提供された乱数ｒ３とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第２のリレー経路でも乱数ｒ３が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ２４に伝送する。
・さらに、第１のリレー経路でも乱数ｒ６を使用できるように、ＯＴＰによって秘匿化した乱数ｒ６のデータを、第１のリレー経路上にある後段の中間ノードＮ１４に伝送する。
・乱数ｒ６を生成する。
・第１のリレー経路上にある前段の中間ノードＮ１２から伝送された秘匿化データから、乱数ｒ３を復号する。
・同一リレー経路上にある前段の中間ノードＮ２２から伝送された秘匿化データから、
【数17】
・自ら生成した乱数ｒ６と提供された乱数ｒ３とを用いて、マスクされた秘密分散データ
【数18】
【数19】
・得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ２４に伝送する。
・さらに、第１のリレー経路でも乱数ｒ６を使用できるように、ＯＴＰによって秘匿化した乱数ｒ６のデータを、第１のリレー経路上にある後段の中間ノードＮ１４に伝送する。
【0044】
第１のリレー経路上にある第４中継ノードＮ１４は、後段のノードがターミナルノードＴＮであることから新たな乱数の生成は行わないが、以下の処理を行う。
・第２のリレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、乱数ｒ６を復号する。
・同一リレー経路上にある前段の中間ノードＮ１３から伝送された秘匿化データから、
を復号する。
・提供された乱数ｒ６を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第1のリレー経路でも乱数ｒ６が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
・第２のリレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、乱数ｒ６を復号する。
・同一リレー経路上にある前段の中間ノードＮ１３から伝送された秘匿化データから、
【数20】
・提供された乱数ｒ６を用いて、マスクされた秘密分散データ
【数21】
【数22】
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
【0045】
第２のリレー経路上にある第４中継ノードＮ２４は、後段のノードがターミナルノードＴＮであることから新たな乱数の生成は行わないが、以下の処理を行う。
・第１のリレー経路上にある前段の中間ノードＮ１３から伝送された秘匿化データから、乱数ｒ５を復号する。
・同一リレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、
を復号する。
・提供された乱数ｒ５を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第２のリレー経路でも乱数ｒ５が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
・第１のリレー経路上にある前段の中間ノードＮ１３から伝送された秘匿化データから、乱数ｒ５を復号する。
・同一リレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、
【数23】
・提供された乱数ｒ５を用いて、マスクされた秘密分散データ
【数24】
【数25】
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
【0046】
ターミナルノードＴは、以下の処理を行う。
・第１のリレー経路上の中間ノードＮ１４から伝送された秘匿化データから、
を復号する。
・第２のリレー経路上の中間ノードＮ２４から伝送された秘匿化データから、
を復号する。
・これら２つの復号されたデータに対して排他的論理和を計算することによって、秘密情報
を復元する。
・第１のリレー経路上の中間ノードＮ１４から伝送された秘匿化データから、
【数26】
・第２のリレー経路上の中間ノードＮ２４から伝送された秘匿化データから、
【数27】
・これら２つの復号されたデータに対して排他的論理和を計算することによって、秘密情報
【数28】
【0047】
＜第１実施形態のポイント＞
・第１のポイント： ターミナルノードにおける乱数マスクの自動解除
上記手順に従えば、１つのリレー経路上の中継ノードで生成されたマスク用の乱数ｒ１～ｒ６はリレー経路間での受け渡しによって、必ず２本のリレー経路で使用される。そのため、リレー経路を集約するターミナルノードＴＮでは、各々の乱数の相殺によってマスクの効果は必ず自動的に解除される。また、ターミナルノードＴＮは、マスク用の乱数ｒ１～Ｒ６を知る必要はない。以上のように、ターミナルノードＴＮにおける秘密情報Ｋの復元が保証される。
・第１のポイント： ターミナルノードにおける乱数マスクの自動解除
上記手順に従えば、１つのリレー経路上の中継ノードで生成されたマスク用の乱数ｒ１～ｒ６はリレー経路間での受け渡しによって、必ず２本のリレー経路で使用される。そのため、リレー経路を集約するターミナルノードＴＮでは、各々の乱数の相殺によってマスクの効果は必ず自動的に解除される。また、ターミナルノードＴＮは、マスク用の乱数ｒ１～Ｒ６を知る必要はない。以上のように、ターミナルノードＴＮにおける秘密情報Ｋの復元が保証される。
【0048】
・第２のポイント： 中継ノードにおける乱数マスキングと中継に伴うマスクの更新
従来の分散化リレー伝送では、ソースノードにおいてのみ秘密情報に対する乱数マスキングを行っていた。これに対し、本実施形態では、中継ノードも秘密分散データに対する乱数マスキングを行う。さらに、手順に従えば、秘密分散データが後段の中間ノードに中継される度に、新たな乱数が追加されて乱数マスクが更新される。その結果、秘密分散データは中継ノード毎に異なる乱数でマスクされる。また、盗聴者は、或る中継ノードの盗聴に成功したとしても、別のノードが生成した乱数によるマスクが施された秘密分散データを得ることができるだけであって、秘密分散データそのものを得ることはできない。例えば、盗聴者は、中継ノードＮ１２（図５）の盗聴に成功したとしても、別のノードＮ１１が生成した乱数ｒ１によるマスクが施された秘密分散データを得ることができるだけであって、秘密分散データＫ１そのものを得ることはできない。
従来の分散化リレー伝送では、ソースノードにおいてのみ秘密情報に対する乱数マスキングを行っていた。これに対し、本実施形態では、中継ノードも秘密分散データに対する乱数マスキングを行う。さらに、手順に従えば、秘密分散データが後段の中間ノードに中継される度に、新たな乱数が追加されて乱数マスクが更新される。その結果、秘密分散データは中継ノード毎に異なる乱数でマスクされる。また、盗聴者は、或る中継ノードの盗聴に成功したとしても、別のノードが生成した乱数によるマスクが施された秘密分散データを得ることができるだけであって、秘密分散データそのものを得ることはできない。例えば、盗聴者は、中継ノードＮ１２（図５）の盗聴に成功したとしても、別のノードＮ１１が生成した乱数ｒ１によるマスクが施された秘密分散データを得ることができるだけであって、秘密分散データＫ１そのものを得ることはできない。
【0049】
【0050】
その結果、従来に比べて盗聴の難易度は高くなる。すなわち、盗聴者は、各々のリレー経路から任意に１つの攻撃ポイントを選んで組み合わせるだけでは乱数マスクを解除できないため、秘密情報Ｋを復元することができない。
【0051】
・第３のポイント： 大規模なネットワークへの拡張性
以下に説明するように、中継ノードで行われる処理は、周辺のノードとの接続関係だけで決まる局所的な処理に限られており、分散化リレー伝送のネットワーク全体の規模とは無関係である。そのため、前述の発明の基本的な手順は、規模の大きなネットワークに対しても容易に拡張され得る。このことが発明の第３のポイントである。
以下に説明するように、中継ノードで行われる処理は、周辺のノードとの接続関係だけで決まる局所的な処理に限られており、分散化リレー伝送のネットワーク全体の規模とは無関係である。そのため、前述の発明の基本的な手順は、規模の大きなネットワークに対しても容易に拡張され得る。このことが発明の第３のポイントである。
【0052】
リレー伝送を行うにあたり、まずソースノードとターミナルノードが設定される。ソースノードは、秘密情報Ｋを複数個の秘密分散データに秘密分散する。ソースノードは、個々の秘密分散データ毎に、中継地点として経由すべき中間ノードとターミナルノードを順番に指定し、経路情報としてパケットのヘッダ部に書き込む。この経路情報によって当該の秘密分散データに固有のリレー経路がネットワーク上に設定される。パケットを受け取った中間ノードは経路情報に従って転送先となる次の中間ノードを選択する。このようにして、通信ネットワーク上に秘密分散データの数に等しい本数のリレー経路が構成される。
【0053】
中継ノードは以下の処理を行う。
Ｓ１： 同じリレー経路上にある前段のソースノード又は前段の中間ノードから秘密分散データの入力を受ける。
Ｓ２： 乱数を必要な数だけ生成する。乱数の総数は、当該中継ノードが乱数を1個ずつ提供する先となる他のリレー経路の本数Ｌ１に等しい。
Ｓ３： 他のリレー経路上にある前段の中間ノードから１個の乱数の提供を受ける。ここで受け取る乱数の総数は、当該中間ノードに乱数を提供する元となる他のリレー経路の本数Ｌ２に等しい。
Ｓ４： マスク用の乱数を生成する。ここで、上記ステップＳ２で生成したＬ１個の乱数の総和と、上記ステップＳ３で提供されたＬ２個の乱数の総和とを加算した乱数を、マスク用の乱数とする。
Ｓ５： 上記ステップＳ１で入力された秘密分散データに対して、上記ステップＳ４で計算したマスク用の乱数を更に乱数マスクに追加して秘密分散データを更新する。
Ｓ６： 同じリレー経路上にある後段の中間ノードもしくは後段のターミナルノードに対して、上記ステップＳ５で更新された秘密分散データを出力する。
Ｓ７： １個の乱数を提供する先となる、他のリレー経路上にある後段の中間ノードに対して、上記ステップＳ２で生成したＬ１個の乱数をリレー経路毎に１個ずつ提供する。
Ｓ８： 秘密分散データの入力を受けた後段の中間ノードは上記ステップＳ１～Ｓ７の処理を逐次的に繰り返して、最終的に秘密分散データをターミナルノードに集約する。
Ｌ１およびＬ２はゼロ以上の整数である。
Ｓ１： 同じリレー経路上にある前段のソースノード又は前段の中間ノードから秘密分散データの入力を受ける。
Ｓ２： 乱数を必要な数だけ生成する。乱数の総数は、当該中継ノードが乱数を1個ずつ提供する先となる他のリレー経路の本数Ｌ１に等しい。
Ｓ３： 他のリレー経路上にある前段の中間ノードから１個の乱数の提供を受ける。ここで受け取る乱数の総数は、当該中間ノードに乱数を提供する元となる他のリレー経路の本数Ｌ２に等しい。
Ｓ４： マスク用の乱数を生成する。ここで、上記ステップＳ２で生成したＬ１個の乱数の総和と、上記ステップＳ３で提供されたＬ２個の乱数の総和とを加算した乱数を、マスク用の乱数とする。
Ｓ５： 上記ステップＳ１で入力された秘密分散データに対して、上記ステップＳ４で計算したマスク用の乱数を更に乱数マスクに追加して秘密分散データを更新する。
Ｓ６： 同じリレー経路上にある後段の中間ノードもしくは後段のターミナルノードに対して、上記ステップＳ５で更新された秘密分散データを出力する。
Ｓ７： １個の乱数を提供する先となる、他のリレー経路上にある後段の中間ノードに対して、上記ステップＳ２で生成したＬ１個の乱数をリレー経路毎に１個ずつ提供する。
Ｓ８： 秘密分散データの入力を受けた後段の中間ノードは上記ステップＳ１～Ｓ７の処理を逐次的に繰り返して、最終的に秘密分散データをターミナルノードに集約する。
Ｌ１およびＬ２はゼロ以上の整数である。
【0054】
ターミナルノードは、各々のリレー経路上にある最後の中間ノードから秘密分散データの入力を受ける。そして全ての秘密分散データを集約して乱数によるマスクを解除し、秘密情報Ｋを復元する。
【0055】
上記ステップＳ４及びＳ５によれば、上記ステップＳ２で生成された乱数は、当該中継ノードが所属するリレー経路においてマスク用の乱数の一部として使用される。同時に、実際の順序に従って上記ステップＳ７、Ｓ３、Ｓ４及びＳ５によれば、上記ステップＳ２で生成された乱数は、上記ステップＳ７にて提供先として選ばれた１本のリレー経路においてもマスク用の乱数の一部として使用される。このように、あるリレー経路にある中継ノードで生成された乱数は、必ず２本のリレー経路上で使用される。その結果、ターミナルノードでリレー経路が集約されたときに乱数の効果が必ず相殺される。このようにして発明の第１のポイントが保証される。
【0056】
なお、上記ステップＳ７において、生成した１個の乱数を提供する先のリレー経路の本数を１本に限定せずに一般に奇数とすることもできる。この場合、１個の乱数が提供元のリレー経路も含めて偶数本のリレー経路で使用されることにより、ターミナルノードでリレー経路が集約されたときにやはり乱数が相殺される。
【0057】
上記ステップＳ５によれば、各々のリレー経路上では、秘密分散データが次の中継ノードに中継される度に、新しい乱数が追加されてマスクが更新される。これによって発明の第２のポイントが保証される。
【0058】
上記ステップＳ２に記載の本数Ｌ１と、上記ステップＳ３に記載の本数Ｌ２とは、ネットワークとリレー経路の設定状況に依存して中継ノード毎に予め決められる。
図５の例によれば、ソースノードに接続する中継ノードＮ１１及びＮ２１では（Ｌ１、Ｌ２）＝（１、０）であり、中継ノードＮ１２、Ｎ１３、Ｎ２２及びＮ２３では（Ｌ１、Ｌ２）＝（１、１）であり、ターミナルノードに接続する中継ノードＮ１４及びＮ２４では（Ｌ１、Ｌ２）＝（０、１）である。
図５の例によれば、ソースノードに接続する中継ノードＮ１１及びＮ２１では（Ｌ１、Ｌ２）＝（１、０）であり、中継ノードＮ１２、Ｎ１３、Ｎ２２及びＮ２３では（Ｌ１、Ｌ２）＝（１、１）であり、ターミナルノードに接続する中継ノードＮ１４及びＮ２４では（Ｌ１、Ｌ２）＝（０、１）である。
【0059】
上記ステップＳ１～Ｓ７が実行された結果、どのようにして発明の第１および第２のポイントが実現されるのかを、一般化された実例に則して説明する。
図６に通信ネットワークＮＷ１３を示す。この通信ネットワークＮＷ１３は、通信ネットワークＮＷ１２に対して、ソースノードＳＮとターミナルノードＴＮとを結ぶ第３リレー経路ＲＰ３がさらに設けられたものである。第３リレー経路ＲＰ３には、第１中継ノードＮ３１から第４中継ノードＮ３４が設けられている。
第３リレー経路ＲＰ３は、ソースノードＳＮと第１中継ノードＮ３１とを接続する伝送リンクと、第１中継ノードＮ３１と第２中継ノードＮ３２とを接続する伝送リンクと、第２中継ノードＮ３２と第３中継ノードＮ３３とを接続する伝送リンクと、第３中継ノードＮ３３と第４中継ノードＮ３４とを接続する伝送リンクと、第４中継ノードＮ３４とターミナルノードＴＮとを接続する伝送リンクとを有する。
図６に通信ネットワークＮＷ１３を示す。この通信ネットワークＮＷ１３は、通信ネットワークＮＷ１２に対して、ソースノードＳＮとターミナルノードＴＮとを結ぶ第３リレー経路ＲＰ３がさらに設けられたものである。第３リレー経路ＲＰ３には、第１中継ノードＮ３１から第４中継ノードＮ３４が設けられている。
第３リレー経路ＲＰ３は、ソースノードＳＮと第１中継ノードＮ３１とを接続する伝送リンクと、第１中継ノードＮ３１と第２中継ノードＮ３２とを接続する伝送リンクと、第２中継ノードＮ３２と第３中継ノードＮ３３とを接続する伝送リンクと、第３中継ノードＮ３３と第４中継ノードＮ３４とを接続する伝送リンクと、第４中継ノードＮ３４とターミナルノードＴＮとを接続する伝送リンクとを有する。
【0060】
通信ネットワークＮＷ１３では、１本のリレー経路と他の２本のリレー経路との間で乱数の受け渡しが行われる。ソースノードに接続する中継ノードＮ１１、Ｎ２１及びＮ３１では（Ｌ１、Ｌ２）＝（２、０）であり、ターミナルノードに接続する中継ノードＮ１４、Ｎ２４及びＮ３４では（Ｌ１、Ｌ２）＝（０、２）であり、その他の中継ノードＮ１２、Ｎ１３、Ｎ２２、Ｎ２３、Ｎ３２及びＮ３３では（Ｌ１、Ｌ２）＝（２、２）である。
【0061】
上記ステップＳ１に従って第１のリレー経路上の中継ノードＮ１１は秘密分散データＫ１の入力を受ける。中継ノードＮ１１は次に、上記ステップＳ２に従って２個の乱数ｒ１とｒ２を生成し、上記ステップＳ７に従ってそれぞれの乱数を第２および第３のリレー経路上の後段の中継ノードＮ２２及びＮ３２に提供する。上記ステップＳ４に従って中継ノードＮ１１はマスク用の乱数
を得る。そして、上記ステップＳ５に従って秘密分散データＫ１にマスクを施して
に更新し、中継ノードＮ１２へ伝送する。
【数30】
【数31】
【0062】
上記ステップＳ１に従って中継ノードＮ１２は秘密分散データ
の入力を受ける。さらに上記ステップＳ３に従って第２および第３のリレー経路から、それぞれ乱数ｒ３及びｒ５の提供を受ける。次に、上記ステップＳ２に従って乱数ｒ７とｒ８を生成し、上記ステップＳ７に従ってそれぞれの乱数を第２および第３のリレー経路上の後段の中間ノードＮ２３及びＮ３３に提供する。上記ステップＳ４に従って中継ノード１２はマスク用の乱数
を得る。そして、上記ステップＳ５に従って秘密分散データ
にマスクを施して
に更新し、中継ノードＮ１３へ伝送する。
このようにして、中継された先の中継ノードでも基本的に同じ処理が繰り返される。その結果、第1のリレー経路にある中継ノードにより中継される度に、秘密分散データの乱数マスクが更新されていく。これは発明の第２のポイントである。
【数32】
【数33】
【数34】
【数35】
このようにして、中継された先の中継ノードでも基本的に同じ処理が繰り返される。その結果、第1のリレー経路にある中継ノードにより中継される度に、秘密分散データの乱数マスクが更新されていく。これは発明の第２のポイントである。
【0063】
図６に示すように、乱数｛ｒ１、ｒ３、ｒ７、ｒ９、ｒ１３、ｒ１５｝は、第１と第２のリレー経路にて使用され、ターミナルノードで相殺される。乱数｛ｒ２、ｒ５、ｒ８、ｒ１１、ｒ１４、ｒ１７｝は、第１と第３のリレー経路にて使用され、ターミナルノードで相殺される。乱数｛ｒ４、ｒ６、ｒ１０、ｒ１２、ｒ１６、ｒ１８｝は、第２と第３のリレー経路の組で使用され、ターミナルノードで相殺される。このように、図６に示した３本のリレー経路の例は、図５に示した２本のリレー経路の例が３つ組み合わされたものとして理解できる。このようにしてリレー経路の本数が増えた場合でも、発明の第１のポイントが保証される。
【0064】
＜効果＞
本実施形態によれば、盗聴者は、秘密情報の分散化リレー伝送のネットワークに対し、危殆化させる攻撃ポイントの組み合わせを自由に選ぶだけでは、秘密情報を復元することが難しくなる。その一方で、仮に危殆化が生じてしまった場合、通信ネットワークの正規のユーザや運用者は、盗聴者による攻撃のパターンを特定することが可能になる。
本実施形態によれば、盗聴者は、秘密情報の分散化リレー伝送のネットワークに対し、危殆化させる攻撃ポイントの組み合わせを自由に選ぶだけでは、秘密情報を復元することが難しくなる。その一方で、仮に危殆化が生じてしまった場合、通信ネットワークの正規のユーザや運用者は、盗聴者による攻撃のパターンを特定することが可能になる。
【0065】
図５に示した通信ネットワークＮＷ１２に即して効果を説明する。上記第２のポイントによれば、中継ノードは、異なる乱数でマスクされた秘密分散データと、幾つかの乱数とを保持することになる。図７として示す表の第１行に、第１リレー経路上にある中継ノードＮ１１～Ｎ１４が保持する秘密分散データ及び乱数を示す。同様にこの表の第１列に、第２リレー経路上にある中継ノードＮ２１～Ｎ２４が保持する秘密分散データ及び乱数を示す。
【0066】
盗聴者が秘密情報
を復元するためには、第１リレー経路上にある中継ノードを盗聴して秘密分散データＫ１に関する情報を取得し、第２リレー経路上にある中継ノードを盗聴して秘密分散データＫ２に関する情報を取得した後、それらを合成する必要がある。このとき攻撃ポイントとなる２つの中間ノードの特定の組み合わせを選ぶ必要がある。図７として示す表に、攻撃ポイントの組み合わせと合成の結果、取得できる情報との対応関係を示す。秘密情報Ｋの復元に成功する攻撃ポイントの組み合わせは、（Ｎ１１、Ｎ２１）と、（Ｎ１２、Ｎ２２）と、（Ｎ１３、Ｎ２３）と、（Ｎ１４、Ｎ２４）との４通りに限定されることが分かる。これら４つのパターンを図８Ａ～図８Ｄにもそれぞれ示す。
【数36】
【0067】
例えば、攻撃ポイントが（Ｎ１３、Ｎ２３）である場合、盗聴者は初めに中継ノードＮ１３上の秘密分散データ
とＮ２３上の秘密分散データ
との排他的論理和
を取得できる。次に中継ノードＮ２３から取得した乱数ｒ３と、中継ノードＮ１３から取得した乱数ｒ４とを用いて
からマスクを解除して秘密情報
を復元することができる。
【数37】
【数38】
【数39】
【数40】
【数41】
【0068】
攻撃ポイントが上記４つの組み合わせ以外の組み合わせの場合、盗聴者は秘密情報Ｋに施されたマスクを解除することができない。図５に示した２本のリレー経路の例では、図７に示したように、全てのリレー経路から同じ段に属する中間ノードを選んで一括して攻撃ポイントとしない限り、盗聴者は秘密情報Ｋを復元できない。反対に、正規のユーザや運用者は盗聴者にとって有効な攻撃ポイントの組み合わせを、図７に示した４つのパターンに限定することができる。
【0069】
このように、有効な攻撃ポイントの組み合わせは、従来はｎｍ＝２４＝１６通りだったのが、本実施形態によれば４通りに減らすことができる。つまり、盗聴者にとって盗聴の難易度が高まる。
【0070】
図６に示した３つのリレー経路の例では、秘密情報Ｋの復元が可能となる３個の中間ノードの組み合わせは、（Ｎ１１、Ｎ２１、Ｎ３１）と、（Ｎ１２、Ｎ２２、Ｎ３２）と、（Ｎ１３、Ｎ２３、Ｎ３３）と、（Ｎ１４、Ｎ２４、Ｎ３４）とのいずれかに限定されることが分る。これら４つの組み合わせを図９Ａ～図９Ｄにそれぞれ示す。これに対し、中継ノードが秘密分散データをそのまま中継するだけの従来の分散化リレー伝送では、可能な３個の中間ノードの組み合わせの総数は、ｎｍ＝４３＝６４である。上記実施形態によれば、盗聴者にとって有効な攻撃パターンの数を６４から４に減らすことができる。
【0071】
＜第２実施形態＞
図１０に通信ネットワークＮＷ２１を示す。通信ネットワークＮＷ２１においては、図６に示した通信ネットワークＮＷ１３と同様に、ソースノードＳＮとターミナルノードＴＮとの間に３本のリレー経路ＲＰ１～ＲＰ３が設けられ、各リレー経路には４つの中継ノードが設けられている。
図１０に通信ネットワークＮＷ２１を示す。通信ネットワークＮＷ２１においては、図６に示した通信ネットワークＮＷ１３と同様に、ソースノードＳＮとターミナルノードＴＮとの間に３本のリレー経路ＲＰ１～ＲＰ３が設けられ、各リレー経路には４つの中継ノードが設けられている。
【0072】
通信ネットワークＮＷ２１において、第１と第２のリレー経路間で乱数｛ｒ１、ｒ３、ｒ７、ｒ９、ｒ１３、ｒ１５｝の受渡しがなされ、第２と第３のリレー経路間で乱数｛ｒ４、ｒ６、ｒ１０、ｒ１２、ｒ１６、ｒ１８｝の受渡しがなされる。通信ネットワークＮＷ２１では、乱数ｒ２、ｒ５、ｒ８、ｒ１１、ｒ１４及びｒ１７が使用されず、生成もされない点が図６の通信ネットワークＮＷ１３とは異なる。
【0073】
通信ネットワークＮＷ２１において、第１及び第３のリレー経路上にある中継ノードＮ１２、Ｎ１３、Ｎ３２及びＮ３３では、（Ｌ１、Ｌ２）＝（１、１）である。第２のリレー経路上にある中継ノードＮ２２及びＮ２３では、（Ｌ１、Ｌ２）＝（２、２）である。ソースノードに接続する中継ノードＮ１１、Ｎ２１及びＮ３１では、それぞれ（Ｌ１、Ｌ２）＝（１、０）、（Ｌ１、Ｌ２）＝（２、０）及び（Ｌ１、Ｌ２）＝（１、０）である。ターミナルノードに接続する中継ノードＮ１４、Ｎ２４及びＮ３４では、それぞれ（Ｌ１、Ｌ２）＝（０、１）、（Ｌ１、Ｌ２）＝（０、２）及び（Ｌ１、Ｌ２）＝（０、１）である。
【0074】
図６に示した通信ネットワークＮＷ１３と比べると、通信ネットワークＮＷ２１においてはペアを形成するリレー経路の組が３つから２つに減ったことにより、使用される乱数が６個少ない。通信ネットワークＮＷ２１は、図５に示した通信ネットワークＮＷ１２における２本のリレー経路の例が２つ組み合わされたものとして理解できる。秘密情報Ｋの復元を可能とする３個の中継ノードの組み合わせは、（Ｎ１１、Ｎ２１、Ｎ３１）と、（Ｎ１２、Ｎ２２、Ｎ３２）と、（Ｎ１３、Ｎ２３、Ｎ３３）と、（Ｎ１４、Ｎ２４、Ｎ３４）との４つに限定される。これは、図６に示した通信ネットワークＮＷ１３に関係する図９Ａ～図９Ｄに示した特定の組み合わせと同じである。図６の通信ネットワークＮＷ１３のようにペアを形成するリレー経路について可能な３つの組み合わせの全てを利用する必要はなく、図１０に示した通信ネットワークＮＷ２１のように、隣接するリレー経路に由来する２つの組み合わせを利用するだけでも同じ結果が得られることが分かる。
リレー経路の本数がさらに多い場合でも、図１０の例のように、隣接する２つのリレー経路間でのみ乱数の受け渡しを行うだけで、同様の効果を得ることができる。
リレー経路の本数がさらに多い場合でも、図１０の例のように、隣接する２つのリレー経路間でのみ乱数の受け渡しを行うだけで、同様の効果を得ることができる。
【0075】
＜第３実施形態＞
図１１に通信ネットワークＮＷ３１を示す。図１０に示した通信ネットワークＮＷ２１の第２リレー経路ＲＰ２が、図１１の通信ネットワークＮＷ３１においては第２リレー経路ＲＰ２ａに置き換えられている。この第２リレー経路ＲＰ２ａは、３つの中継ノードすなわち第１中継ノードＮ２１と第２中継ノードＮ２２と第４中継ノードＮ２４とを有する。第2リレー経路ＲＰ２ａはまた、ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、第２中継ノードＮ２２と第４中継ノードＮ２４とを接続する伝送リンクと、第４中継ノードＮ２４とターミナルノードＴＮとを接続する伝送リンクとを有する。
図１１に通信ネットワークＮＷ３１を示す。図１０に示した通信ネットワークＮＷ２１の第２リレー経路ＲＰ２が、図１１の通信ネットワークＮＷ３１においては第２リレー経路ＲＰ２ａに置き換えられている。この第２リレー経路ＲＰ２ａは、３つの中継ノードすなわち第１中継ノードＮ２１と第２中継ノードＮ２２と第４中継ノードＮ２４とを有する。第2リレー経路ＲＰ２ａはまた、ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、第２中継ノードＮ２２と第４中継ノードＮ２４とを接続する伝送リンクと、第４中継ノードＮ２４とターミナルノードＴＮとを接続する伝送リンクとを有する。
【0076】
このように、図１１の通信ネットワークＮＷ３１においては、図１０に示した通信ネットワークＮＷ２１と比べて、第２リレー経路上の中継ノードの数が１つ少ない。これを、第３段目の中継ノードＮ２３が欠損したものと見なして取り扱う。また、図１０の通信ネットワークＮＷ２１にて使用される乱数ｒ７、ｒ１２、ｒ１５、ｒ１６が、図１１の通信ネットワークＮＷ３１では使用されない。
【0077】
図１２Ａ～図１２Ｅに示すように、本実施形態では、秘密情報Ｋの復元を可能とする３個の中間ノードの組み合わせは（Ｎ１１、Ｎ２１、Ｎ３１）と、（Ｎ１２、Ｎ２２、Ｎ３２）と、（Ｎ１３、Ｎ２２、Ｎ３３）と、（Ｎ１３、Ｎ２４、Ｎ３３）と、（Ｎ１４、Ｎ２４、Ｎ３４）との５つに限定される。図１０において中継ノードＮ２３が果たしていた役割を、図１１では同じリレー経路上にある前段の中継ノードＮ２２又は後段の中継ノードＮ２４が代わりに担っていることが分かる。以上のように、各リレー経路上の中継ノードの数が揃っていない場合でも同様の効果が得られる。
【0078】
＜第４実施形態＞
図１３に通信ネットワークＮＷ４１を示す。通信ネットワークＮＷ４１は、ソースノードＳＮとターミナルノードＴＮとを接続する第１リレー経路ＲＰ１ｂ及び第２リレー経路ＲＰ２ｂを有する。第１リレー経路ＲＰ１ｂを通じて秘密分散データＫ１が伝送され、第２リレー経路ＲＰ２ｂを通じて秘密分散データＫ２が伝送される。
図１３に通信ネットワークＮＷ４１を示す。通信ネットワークＮＷ４１は、ソースノードＳＮとターミナルノードＴＮとを接続する第１リレー経路ＲＰ１ｂ及び第２リレー経路ＲＰ２ｂを有する。第１リレー経路ＲＰ１ｂを通じて秘密分散データＫ１が伝送され、第２リレー経路ＲＰ２ｂを通じて秘密分散データＫ２が伝送される。
【0079】
第１リレー経路ＲＰ１ｂは、第１中継ノードＮ１１と第２中継ノードＮ１２と第３中継ノードＮ１３と第４中継ノードＮ１４と第５中継ノードＮ１５とを有する。第１リレー経路ＲＰ１ｂはまた、
ソースノードＳＮと第１中継ノードＮ１１とを接続する伝送リンクと、
第１中継ノードＮ１１と第２中継ノードＮ１２とを接続する伝送リンクと、
第２中継ノードＮ１２と第３中継ノードＮ１３とを接続する伝送リンクと、
第３中継ノードＮ１３と第４中継ノードＮ１４とを接続する伝送リンクと、
第４中継ノードＮ１４と第５中継ノードＮ１５とを接続する伝送リンクと、
第５中継ノードＮ１５とターミナルノードＴＮとを接続する伝送リンクとを有する。
ソースノードＳＮと第１中継ノードＮ１１とを接続する伝送リンクと、
第１中継ノードＮ１１と第２中継ノードＮ１２とを接続する伝送リンクと、
第２中継ノードＮ１２と第３中継ノードＮ１３とを接続する伝送リンクと、
第３中継ノードＮ１３と第４中継ノードＮ１４とを接続する伝送リンクと、
第４中継ノードＮ１４と第５中継ノードＮ１５とを接続する伝送リンクと、
第５中継ノードＮ１５とターミナルノードＴＮとを接続する伝送リンクとを有する。
【0080】
第２リレー経路ＲＰ２ｂは、第１中継ノードＮ２１と第２中継ノードＮ２２と第３中継ノードＮ２３と第４中継ノードＮ２４と第５中継ノードＮ２５とを有する。第２リレー経路ＲＰ２ｂはまた、
ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、
第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、
第２中継ノードＮ２２と第３中継ノードＮ２３とを接続する伝送リンクと、
第３中継ノードＮ２３と第４中継ノードＮ２４とを接続する伝送リンクと、
第４中継ノードＮ２４と第５中継ノードＮ２５とを接続する伝送リンクと、
第５中継ノードＮ２５とターミナルノードＴＮとを接続する伝送リンクとを有する。
ソースノードＳＮと第１中継ノードＮ２１とを接続する伝送リンクと、
第１中継ノードＮ２１と第２中継ノードＮ２２とを接続する伝送リンクと、
第２中継ノードＮ２２と第３中継ノードＮ２３とを接続する伝送リンクと、
第３中継ノードＮ２３と第４中継ノードＮ２４とを接続する伝送リンクと、
第４中継ノードＮ２４と第５中継ノードＮ２５とを接続する伝送リンクと、
第５中継ノードＮ２５とターミナルノードＴＮとを接続する伝送リンクとを有する。
【0081】
本実施形態では中継地点の１つが第１リレー経路ＲＰ１ｂと第２リレー経路ＲＰ２ｂとによって共有されている。この中継地点を図１３の符号Ｐ１により示す。中継地点Ｐ１は、秘密分散データＫ１に対しては中継ノードＮ１３として機能し、秘密分散データＫ２に対しては中継ノードＮ２３として機能する。
【0082】
第１リレー経路ＲＰ１ｂ上にある第２中継ノードＮ１２は、第２リレー経路ＲＰ２ｂ上にある第４中継ノードＮ２４に対し、乱数ｒ３をＯＴＰによって秘匿化して提供する。同様に、第２リレー経路ＲＰ２ｂ上にある第２中継ノードＮ２２は、第１リレー経路ＲＰ１ｂ上にある第４中継ノードＮ１４に対し、乱数ｒ４をＯＴＰによって秘匿化して提供する。
【0083】
中継地点Ｐ１における中継ノードＮ１３及びＮ２３は、乱数の生成や受け入れを行わない。中継ノードＮ１３及びＮ２３は、入力された秘密分散データを、乱数マスクの更新を行うことなく、次の中継ノードに向けて出力する。
【0084】
中継地点Ｐ１が危殆化した場合、盗聴者は
を取得できる。しかし、乱数ｒ３及びｒ４が盗聴者にとっては不明であるため、マスクを解除して秘密情報Ｋを取得することはできない。
【数42】
【0085】
従来の分散化リレー伝送の方法では，異なる秘密分散データを含んだ全てのパケットが一箇所の中継地点で合流すると、秘密分散の効果が失われるという問題があった。これに対し、本実施形態では、秘密分散データＫ１及びＫ２をそれぞれ含む２つのパケットが中継地点Ｐ１に到着するが、秘密情報が盗聴者によって復元できないようになっている。
【0086】
このように、複数のリレー経路が共通の中継地点を含む場合でも有効である。
【0087】
＜第５実施形態＞
図１４に通信ネットワークＮＷ５１を示す。この通信ネットワークＮＷ５１は、図５に示した通信ネットワーク１２と同様に、ソースノードＳＮとターミナルノードＴＮとを結ぶ第１リレー経路ＲＰ１と第２リレー経路ＲＰ２とを有する。
図１４に通信ネットワークＮＷ５１を示す。この通信ネットワークＮＷ５１は、図５に示した通信ネットワーク１２と同様に、ソースノードＳＮとターミナルノードＴＮとを結ぶ第１リレー経路ＲＰ１と第２リレー経路ＲＰ２とを有する。
【0088】
ソースノードＳＮは、乱数ｒ０を用いて秘密情報Ｋを秘密分散データＫ１及びＫ２に秘密分散する。秘密分散データＫ１を含んだパケットは、ソースノードＳＮから、経路情報に従って順番に中継ノードＮ１１、Ｎ１２、Ｎ１３及びＮ１４を経てターミナルノードＴＮへ送られる。同様に、秘密分散データＫ２を含んだパケットは、ソースノードＳＮから、中継ノードＮ２１、Ｎ２２、Ｎ２３及びＮ２４を経てターミナルノードＴＮへ送られる。
【0089】
さらに、異なるリレー経路に属する２つの中継ノードの間には公開のデータ通信路がリレー経路とは別に設けられる。ただし、これらのデータ通信路は、秘密分散データの伝送には使用されず、後述するマスク用の乱数を送受信するために使用される。
【0090】
まず第１段階として、図１４に示すように、公開鍵ｋと非公開鍵ｋ’のペアを予め準備しておく。このペアは、続く第２段階において、秘密分散データにマスクをかけるために用いる乱数を、異なるリレー経路に所属する２つのノード間で秘匿化して送受信するために使用される。
【0091】
第２段階では、図１５に示すように、各リレー経路上の中継ノードは、自らマスク用乱数を生成するとともに、別のリレー経路に所属する前段の中継ノードからマスク用乱数の提供を受ける。これにより、秘密分散データに対する乱数マスクが中継区間毎に更新される。最後にターミナルノードにおいて、全てのマスク用乱数が相殺されることによって、秘密情報
が復元される。
【数43】
【0092】
図１４及び図１５を参照しながらさらに詳細に説明する。
＜第１段階＞
図１４に、本実施形態の第１段階における公開鍵ｋと非公開鍵ｋ´の準備の例を示す。中継ノードＮ２２は、公開鍵暗号方式の一般的な手順に従って、公開鍵ｋ２２と非公開鍵ｋ´２２のペアを準備して公開鍵ｋ２２を公開する。同様に、中継ノードＮ１３は公開鍵ｋ１３と非公開鍵ｋ´１３のペアを準備して公開鍵ｋ１３を公開する。中継ノードＮ１４は公開鍵ｋ１４と非公開鍵ｋ´１４のペアを準備して公開鍵ｋ１４を公開する。中継ノードＮ２４は公開鍵ｋ２４と非公開鍵ｋ´２４のペアを準備して公開鍵ｋ２４を公開する。ターミナルノードＴＮは、公開鍵ｋＴと非公開鍵ｋ´Ｔのペアを準備して公開鍵ｋＴを公開する。
これにより、リレー経路上のノードは、ノード間の物理的な距離に制約されることなく、上記の各ノードへ各々対応する公開鍵を用いて情報を秘匿化して送信することができる。
＜第１段階＞
図１４に、本実施形態の第１段階における公開鍵ｋと非公開鍵ｋ´の準備の例を示す。中継ノードＮ２２は、公開鍵暗号方式の一般的な手順に従って、公開鍵ｋ２２と非公開鍵ｋ´２２のペアを準備して公開鍵ｋ２２を公開する。同様に、中継ノードＮ１３は公開鍵ｋ１３と非公開鍵ｋ´１３のペアを準備して公開鍵ｋ１３を公開する。中継ノードＮ１４は公開鍵ｋ１４と非公開鍵ｋ´１４のペアを準備して公開鍵ｋ１４を公開する。中継ノードＮ２４は公開鍵ｋ２４と非公開鍵ｋ´２４のペアを準備して公開鍵ｋ２４を公開する。ターミナルノードＴＮは、公開鍵ｋＴと非公開鍵ｋ´Ｔのペアを準備して公開鍵ｋＴを公開する。
これにより、リレー経路上のノードは、ノード間の物理的な距離に制約されることなく、上記の各ノードへ各々対応する公開鍵を用いて情報を秘匿化して送信することができる。
【0093】
＜第２段階＞
図１５に、本実施形態の第２段階を示す。
ソースノードＳＮは以下の処理を行う。
・乱数Ｒ０を生成する。
・乱数Ｒ０を用いて秘密情報Ｋを２つの秘密分散データＫ１及びＫ２に秘密分散する。
・秘密分散データＫ１をＯＴＰによって秘匿化したデータを第１リレー経路上にある中継ノードＮ１１に伝送する。
・秘密分散データＫ２をＯＴＰによって秘匿化したデータを第２リレー経路上にある中継ノードＮ２１に伝送する。
図１５に、本実施形態の第２段階を示す。
ソースノードＳＮは以下の処理を行う。
・乱数Ｒ０を生成する。
・乱数Ｒ０を用いて秘密情報Ｋを２つの秘密分散データＫ１及びＫ２に秘密分散する。
【数44】
・秘密分散データＫ２をＯＴＰによって秘匿化したデータを第２リレー経路上にある中継ノードＮ２１に伝送する。
【0094】
第１リレー経路上にある第１中継ノードＮ１１は以下の処理を行う。
・自ら乱数ｒ１を生成する。
・ソースノードＳＮから受信した秘匿化データから、秘密分散データＫ１を復号する。
・乱数ｒ１によって秘密分散データＫ１をマスクして
を得る。得られた結果をＯＴＰによって秘匿化したデータを、同一リレー経路上にある後段の中継ノードＮ１２に伝送する。
・第２リレー経路でも乱数ｒ１を使用できるように、公開鍵ｋ２２によって秘匿化した乱数ｒ１のデータを、第２リレー経路上にある後段の中継ノードＮ２２に送信する。
・自ら乱数ｒ１を生成する。
・ソースノードＳＮから受信した秘匿化データから、秘密分散データＫ１を復号する。
・乱数ｒ１によって秘密分散データＫ１をマスクして
【数45】
・第２リレー経路でも乱数ｒ１を使用できるように、公開鍵ｋ２２によって秘匿化した乱数ｒ１のデータを、第２リレー経路上にある後段の中継ノードＮ２２に送信する。
【0095】
第２リレー経路上にある第１中継ノードＮ２１は以下の処理を行う。
・自ら乱数ｒ２を生成する。
・ソースノードＳＮから受信した秘匿化データから、秘密分散データＫ２を復号する。
・乱数ｒ２によって秘密分散データＫ２をマスクして
を得る。得られた結果をＯＴＰによって秘匿化したデータを、同じリレー経路上にある後段の中継ノードＮ２２に伝送する。
・第１リレー経路でも乱数ｒ２を使用できるように、公開鍵ｋ１３によって秘匿化した乱数ｒ２のデータを、第１リレー経路上にある後段の中継ノードＮ１３に送信する。
・自ら乱数ｒ２を生成する。
・ソースノードＳＮから受信した秘匿化データから、秘密分散データＫ２を復号する。
・乱数ｒ２によって秘密分散データＫ２をマスクして
【数46】
・第１リレー経路でも乱数ｒ２を使用できるように、公開鍵ｋ１３によって秘匿化した乱数ｒ２のデータを、第１リレー経路上にある後段の中継ノードＮ１３に送信する。
【0096】
第１リレー経路上にある第２中継ノードＮ１２は以下の処理を行う。
・自ら乱数ｒ３を生成する。
・同一リレー経路上にある前段の中継ノードＮ１１から伝送された秘匿化データから
を復号する。
・自ら生成した乱数ｒ３を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中継ノードＮ１３に伝送する。
・第２リレー経路でも乱数ｒ３を使用できるように、公開鍵ｋ２４によって秘匿化した乱数ｒ３のデータを、第２のリレー経路上にある後段の中継ノードＮ２４に送信する。
・自ら乱数ｒ３を生成する。
・同一リレー経路上にある前段の中継ノードＮ１１から伝送された秘匿化データから
【数47】
・自ら生成した乱数ｒ３を用いて、マスクされた秘密分散データ
【数48】
【数49】
・第２リレー経路でも乱数ｒ３を使用できるように、公開鍵ｋ２４によって秘匿化した乱数ｒ３のデータを、第２のリレー経路上にある後段の中継ノードＮ２４に送信する。
【0097】
第２リレー経路上にある第２中継ノードＮ２２は以下の処理を行う。
・自ら乱数ｒ４を生成する。
・第１リレー経路上にある前段の中継ノードＮ１１から送信された秘匿化データから、非公開鍵ｋ´２２を用いて乱数ｒ１を復号する。
・同一リレー経路上にある前段の中継ノードＮ２１から伝送された秘匿化データから、
を復号する。
・自ら生成した乱数ｒ４と提供された乱数ｒ１とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第２のリレー経路でも乱数ｒ１が使用される。得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中継ノードＮ２３に伝送する。
・第１のリレー経路でも乱数ｒ４を使用できるように、公開鍵ｋ１３によって秘匿化した乱数ｒ４のデータを、第１リレー経路上にある後段の中継ノードＮ１３に送信する。
・自ら乱数ｒ４を生成する。
・第１リレー経路上にある前段の中継ノードＮ１１から送信された秘匿化データから、非公開鍵ｋ´２２を用いて乱数ｒ１を復号する。
・同一リレー経路上にある前段の中継ノードＮ２１から伝送された秘匿化データから、
【数50】
・自ら生成した乱数ｒ４と提供された乱数ｒ１とを用いて、マスクされた秘密分散データ
【数51】
【数52】
・第１のリレー経路でも乱数ｒ４を使用できるように、公開鍵ｋ１３によって秘匿化した乱数ｒ４のデータを、第１リレー経路上にある後段の中継ノードＮ１３に送信する。
【0098】
第１リレー経路上にある第３中継ノードＮ１３は以下の処理を行う。
・自ら乱数ｒ５を生成する。
・第２リレー経路上にある前段の中継ノードＮ２１から送信された秘匿化データから、非公開鍵ｋ´１３を用いて乱数ｒ２を復号する。
・第２リレー経路上にある前段の中継ノードＮ２２から送信された秘匿化データから、非公開鍵ｋ´１３を用いて乱数ｒ４を復号する。
・同一リレー経路上にある前段の中継ノードＮ１２から伝送された秘匿化データから、
を復号する。
・自ら生成した乱数ｒ５と提供された乱数ｒ２及びｒ４とを用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第１リレー経路でも乱数ｒ２及びｒ４が使用される。得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ１４に伝送する。
・公開鍵ｋＴによって秘匿化した乱数ｒ５のデータを、第２リレー経路の終点であるターミナルノードＴに送信する。
・自ら乱数ｒ５を生成する。
・第２リレー経路上にある前段の中継ノードＮ２１から送信された秘匿化データから、非公開鍵ｋ´１３を用いて乱数ｒ２を復号する。
・第２リレー経路上にある前段の中継ノードＮ２２から送信された秘匿化データから、非公開鍵ｋ´１３を用いて乱数ｒ４を復号する。
・同一リレー経路上にある前段の中継ノードＮ１２から伝送された秘匿化データから、
【数53】
・自ら生成した乱数ｒ５と提供された乱数ｒ２及びｒ４とを用いて、マスクされた秘密分散データ
【数54】
【数55】
・公開鍵ｋＴによって秘匿化した乱数ｒ５のデータを、第２リレー経路の終点であるターミナルノードＴに送信する。
【0099】
第２リレー経路上にある第３中継ノードＮ２３は以下の処理を行う。
・自ら乱数ｒ６を生成する。
・同一リレー経路上にある前段の中継ノードＮ２２から伝送された秘匿化データから、
を復号する。
・自ら生成した乱数ｒ６を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。得られた結果をＯＴＰによって秘匿化したデータを、同一経路上にある後段の中間ノードＮ２４に伝送する。
・第１のリレー経路でも乱数ｒ６を使用できるように、公開鍵ｋ１４によって秘匿化した乱数ｒ６のデータを、第１リレー経路上にある後段の中継ノードＮ１４に送信する。
・自ら乱数ｒ６を生成する。
・同一リレー経路上にある前段の中継ノードＮ２２から伝送された秘匿化データから、
【数56】
・自ら生成した乱数ｒ６を用いて、マスクされた秘密分散データ
【数57】
【数58】
・第１のリレー経路でも乱数ｒ６を使用できるように、公開鍵ｋ１４によって秘匿化した乱数ｒ６のデータを、第１リレー経路上にある後段の中継ノードＮ１４に送信する。
【0100】
第１リレー経路上にある第４中継ノードＮ１４は、後段のノードがターミナルノードＴＮであることから新たな乱数の生成は行わないが、以下の処理を行う。
・第２リレー経路上にある前段の中継ノードＮ２３から送信された秘匿化データから、非公開鍵ｋ´１４を用いて乱数ｒ６を復号する。
・同一リレー経路上にある前段の中継ノードＮ１３から伝送された秘匿化データから、
を復号する。
・提供された乱数ｒ６を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第１のリレー経路でも乱数ｒ６が使用される。得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
・第２リレー経路上にある前段の中継ノードＮ２３から送信された秘匿化データから、非公開鍵ｋ´１４を用いて乱数ｒ６を復号する。
・同一リレー経路上にある前段の中継ノードＮ１３から伝送された秘匿化データから、
【数59】
・提供された乱数ｒ６を用いて、マスクされた秘密分散データ
【数60】
【数61】
【0101】
第２リレー経路上にある第４中継ノードＮ２４は、後段のノードがターミナルノードＴＮであることから新たな乱数の生成は行わないが、以下の処理を行う。
・第１リレー経路上にある前段の中継ノードＮ１２から送信された秘匿化データから、非公開鍵ｋ´２４を用いて乱数ｒ３を復号する。
・同一リレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、
を復号する。提供された乱数ｒ３を用いて、マスクされた秘密分散データ
に対して更にマスクを施して、マスクされた秘密分散データ
を得る。このようにして第２リレー経路でも乱数ｒ３が使用される。
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
・第１リレー経路上にある前段の中継ノードＮ１２から送信された秘匿化データから、非公開鍵ｋ´２４を用いて乱数ｒ３を復号する。
・同一リレー経路上にある前段の中間ノードＮ２３から伝送された秘匿化データから、
【数62】
【数63】
【数64】
・得られた結果をＯＴＰによって秘匿化したデータを、ターミナルノードＴＮに伝送する。
【0102】
ターミナルノードＴＮは以下の処理を行う。
・第１リレー経路上の中継ノードＮ１４から伝送された秘匿化データから、
を復号する。
・第１リレー経路上の前段の中継ノードＮ１３から送信された秘匿化データから、非公開鍵ｋ´Ｔを用いて乱数ｒ５を復号する。これは、第２リレー経路の終端であるターミナルノードＴＮに乱数ｒ５が提供されたと解釈できる。
・第２リレー経路上の中継ノードＮ２４から伝送された秘匿化データから、
を復号する。
・上記３回の復号により得られた３つのデータの排他的論理和を計算することによって、秘密情報
を復元する。
・第１リレー経路上の中継ノードＮ１４から伝送された秘匿化データから、
【数65】
・第１リレー経路上の前段の中継ノードＮ１３から送信された秘匿化データから、非公開鍵ｋ´Ｔを用いて乱数ｒ５を復号する。これは、第２リレー経路の終端であるターミナルノードＴＮに乱数ｒ５が提供されたと解釈できる。
・第２リレー経路上の中継ノードＮ２４から伝送された秘匿化データから、
【数66】
・上記３回の復号により得られた３つのデータの排他的論理和を計算することによって、秘密情報
【数67】
【0103】
図１６を参照して、本実施形態の効果を説明する。前述の第２のポイントによれば、異なる中間ノードには異なる乱数でマスクされた秘密分散データと幾つかの乱数が保持されることになる。図１６として示す表の第１行に、第１リレー経路の上にある中間ノードＮ１１～Ｎ１４に保持された秘密分散データと乱数を示す。同様に、この表の第１列に、第２リレー経路の上にある中間ノードＮ２１～Ｎ２４に保持された秘密分散データと乱数を示す。
【0104】
秘密情報
を復元するためには、第１のリレー経路の上にある中間ノードを盗聴して秘密分散データＫ１に関する情報を、第２のリレー経路の上にある中間ノードを盗聴してＫ２に関する情報をそれぞれ取得した後、それらを合成する必要ある。このとき攻撃ポイントとなる２つの中間ノードの組み合わせを選ぶ必要がある。図１６として示す表には、攻撃ポイントの組み合わせと合成の結果取得できる情報との対応関係をも示している。秘密情報Ｋの復元に成功する攻撃ポイントの組み合わせは（Ｎ１１、Ｎ２１）に限定されることが分かる。この組み合わせを図１７にも示す。攻撃ポイントの組み合わせがを１通りに限定され、その他の組み合わせでは、盗聴者は秘密情報Ｋに施されたマスクを解除することができない。
このようにし、正規のユーザや運用者は分散化リレー伝送システムに対する攻撃ポイントの組み合わせのパターンを大幅に制限することができる。つまり、盗聴者から見た攻撃の難易度が高まる。
【数68】
このようにし、正規のユーザや運用者は分散化リレー伝送システムに対する攻撃ポイントの組み合わせのパターンを大幅に制限することができる。つまり、盗聴者から見た攻撃の難易度が高まる。
【0105】
＜第６実施形態＞
図１８に通信ネットワークＮＷ６１を示す。この通信ネットワークＮＷ６１は、図１４及び図１５に示した通信ネットワークＮＷ５１と同様に、第１リレー経路ＲＰ１及びＲＰ２を有する。さらに、異なるリレー経路に属する２つの中継ノードの間には公開のデータ通信路がリレー経路とは別に設けられる。ただし、これらのデータ通信路は、秘密分散データの伝送には使用されず、マスク用の乱数を送受信するために使用される。
図１８に通信ネットワークＮＷ６１を示す。この通信ネットワークＮＷ６１は、図１４及び図１５に示した通信ネットワークＮＷ５１と同様に、第１リレー経路ＲＰ１及びＲＰ２を有する。さらに、異なるリレー経路に属する２つの中継ノードの間には公開のデータ通信路がリレー経路とは別に設けられる。ただし、これらのデータ通信路は、秘密分散データの伝送には使用されず、マスク用の乱数を送受信するために使用される。
【0106】
本実施形態では、通信ネットワークＮＷ５１における前述の処理に加え、ソースノードＳＮが乱数ｒ０を生成して秘密分散データＫ２をマスクして
を得る。ソースノードＳＮは、得られた結果を中継ノードＮ２１に送る。
乱数ｒ０を、中継ノードＮ１２による公開鍵ｋ１２で秘匿化して中継ノードＮ１２に送信する。
中継ノードＮ１２は、非公開鍵ｋ´１２を用いて乱数ｒ０を復号し、乱数ｒ０をマスク用乱数の一部として用いる。
この場合、盗聴者は、攻撃ポイントの組み合わせとして（Ｎ１１，Ｎ２１）を選んだとしても、秘密情報Ｋを復元することはできない。盗聴者は乱数ｒ０を知らないからである。盗聴者が秘密情報の復元を行うためには、３つ以上のノードを攻撃する必要がある。例えば、中継ノードＮ１１及びＮ２１に加え、乱数ｒ０を得るために中継ノードＮ１２も攻撃しなければならない。
このようにして、ソースノードＳＮから中継ノードへ乱数を直接に供給することで、盗聴の難易度を更に高めることができる。
【数69】
乱数ｒ０を、中継ノードＮ１２による公開鍵ｋ１２で秘匿化して中継ノードＮ１２に送信する。
中継ノードＮ１２は、非公開鍵ｋ´１２を用いて乱数ｒ０を復号し、乱数ｒ０をマスク用乱数の一部として用いる。
この場合、盗聴者は、攻撃ポイントの組み合わせとして（Ｎ１１，Ｎ２１）を選んだとしても、秘密情報Ｋを復元することはできない。盗聴者は乱数ｒ０を知らないからである。盗聴者が秘密情報の復元を行うためには、３つ以上のノードを攻撃する必要がある。例えば、中継ノードＮ１１及びＮ２１に加え、乱数ｒ０を得るために中継ノードＮ１２も攻撃しなければならない。
このようにして、ソースノードＳＮから中継ノードへ乱数を直接に供給することで、盗聴の難易度を更に高めることができる。
【0107】
なお、乱数を秘匿化して送受信するための暗号方式として公開鍵暗号方式を挙げたが、これに限られない。ＡＥＳ（Advanced Encryption Standard）等の、他の算術的暗号方式を使用してもよい。
【0108】
図１９に、複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークを制御する制御装置１００を示す。この制御装置１００は、通信ネットワーク内の各ノードと通信可能に構成され、経路設定部１１０と送信指示部１２０とマスキング指示部１３０とを備えている。通信ネットワークと制御装置１００とをまとめて通信ネットワークシステムと呼ぶことができる。
【0109】
経路設定部１１０は、秘密情報Ｋの送信元であるソースノードＳＮと、前記秘密情報の宛先であるターミナルノードＴＮと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する。
【0110】
送信指示部１２０は、前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する。
【0111】
マスキング指示部１３０は、中継ノードに対し、乱数による秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示する。ここで、マスキングの指示と、乱数の送信の指示とは、（ａ）各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、（ｂ）前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、行われる。
これにより、ターミナルノードにおける秘密情報の復元の際に、マスキングが数学的にキャンセルされる。このキャンセルは、ターミナルノードがマスク用乱数を知ることなく自動的に行われる。
これにより、ターミナルノードにおける秘密情報の復元の際に、マスキングが数学的にキャンセルされる。このキャンセルは、ターミナルノードがマスク用乱数を知ることなく自動的に行われる。
【0112】
制御装置１００は復元指示部１４０をさらに備えていてもよい。復元指示部１４０は、前記ターミナルノードに対し、前記複数の経路を通じて送られた前記複数の秘密分散データを結合し前記秘密情報を復元するよう指示する。
【0113】
前記乱数はガロア体ＧＦ（ｑｘ）上の元とすることができる。ただし、ｑは素数であり、ｘは正整数である。
【0114】
図示した実施形態は、ガロア体ＧＦ（２ｘ）における乱数を用いている。そのため、ターミナルノードにおける復号の際に、ターミナルノードが受信する全てのマスキング済み秘密分散データに含まれる同じマスク用乱数の個数が２の倍数倍であれば、上記キャンセルの効果が得られる。ガロア体ＧＦ（２ｘ）における或る乱数と、その乱数と同じ乱数とについては、両乱数の加法の結果と、両乱数の排他的論理和の結果が同じである。そして、このことは、ガロア体ＧＦ（ｑｘ）（ただし、ｑは素数）に一般化される。
【0115】
ｘ１，ｘ２をガロア体ＧＦ（２ｘ）の元とすると、ｘ１＋ｘ２の計算と、ｘ１とｘ２のＸＯＲ（排他的論理和）の計算とは等価である。例えば、ガロア体ＧＦ（２８）上で、ｘ１＝１００（ビット表現では０１１００１００）とし、ｘ２＝２４６（ビット表現では１１１１０１１０）とする。ガロア体ＧＦ（２８）上の加算でｘ１＋ｘ２＝１４６となる。その一方で、ｘ１とｘ２の各ビット間でＸＯＲを計算すると、１００１００１０になる。このビット表現を十進数で表現すると１４６である。つまり、加算と排他的論理和は等価であることが分かる。よって、同じ元どうしを加算した場合（例えば、ｘ１＋ｘ１）、各ビットは同じビットどうしの排他的論理和であるため、結果は０となる。つまりキャンセル（相殺）される。したがって、ガロア体ＧＦ（２ｘ）上の偶数個（２の倍数個）の元を加算すると、０になる。
一般に、ガロア体ＧＦ（ｑｘ）において、ｑ個の同じ元が加算されると０になる。
以上がガロア体の計算の特徴である。これまでに述べた実施形態は、このようなガロア体の計算の特徴を巧みに利用したものである。
一般に、ガロア体ＧＦ（ｑｘ）において、ｑ個の同じ元が加算されると０になる。
以上がガロア体の計算の特徴である。これまでに述べた実施形態は、このようなガロア体の計算の特徴を巧みに利用したものである。
【0116】
ｑ＝２の場合、加算と減算は等価である。
ｑ＞２の場合、加算と減算は等価ではない。ｑ＞２の場合に、乱数によるマスキングをキャンセルするために、ｑ個の同じ元の加算のみならず、減算も利用できる。この場合、一回の減算（２つの同じ元どうしの減算）で０になる。例えば、ｘ１－ｘ１＝０である。
より一般的には、ｑが素数の場合、ターミナルノードでの結合においてマスキング用乱数の四則演算によりマスキングが数学的にキャンセルされるように、マスキングを行うことができる。
ｑ＞２の場合、加算と減算は等価ではない。ｑ＞２の場合に、乱数によるマスキングをキャンセルするために、ｑ個の同じ元の加算のみならず、減算も利用できる。この場合、一回の減算（２つの同じ元どうしの減算）で０になる。例えば、ｘ１－ｘ１＝０である。
より一般的には、ｑが素数の場合、ターミナルノードでの結合においてマスキング用乱数の四則演算によりマスキングが数学的にキャンセルされるように、マスキングを行うことができる。
【0117】
図２０を参照する。ガロア体ＧＦ（５１）において、Ｋ１、Ｋ２を秘密分散データとし、Ｋ＝２＊Ｋ１＋３＊Ｋ２として秘密分散したとする。ｒ１、ｒ２、ｒ３及びｒ４は乱数である。図５を参照して述べた方法に準じた方法でデータのやり取りが行われる。
ネットワークＮＷ７１内のソースノードＳＮからターミナルノードＴＮまでの２つの経路のうち、第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られる。
中継ノードＮ１２～Ｎ１４及びＮ２２～Ｎ２４において、乱数の加算による秘密分散データのマスキングが行われる。そして、ターミナルノードＴＮは、以下の２つのマスキング済み秘密分散データを受信する。
K1+r1+r2+r3+r4
K2+r2+r1+r4+r3
ターミナルノードは、秘密分散のルールに基づいた以下の計算を行い、秘密情報Ｋを復元する。
2*(K1+r1+r2+r3+r4)+3*(K2+r2+r1+r4+r3)
=(2*K1+3*K2)+(2*r1+3*r1)+(2*r2+3*r2)+(2*r3+3*r3)+(2*r4+3*r4)
=2*K1+3*K2
=K
このように、ターミナルノードでの結合において、ｑ個の同じ乱数が加算されることでマスキングがキャンセルされる。
ネットワークＮＷ７１内のソースノードＳＮからターミナルノードＴＮまでの２つの経路のうち、第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られる。
中継ノードＮ１２～Ｎ１４及びＮ２２～Ｎ２４において、乱数の加算による秘密分散データのマスキングが行われる。そして、ターミナルノードＴＮは、以下の２つのマスキング済み秘密分散データを受信する。
K1+r1+r2+r3+r4
K2+r2+r1+r4+r3
ターミナルノードは、秘密分散のルールに基づいた以下の計算を行い、秘密情報Ｋを復元する。
2*(K1+r1+r2+r3+r4)+3*(K2+r2+r1+r4+r3)
=(2*K1+3*K2)+(2*r1+3*r1)+(2*r2+3*r2)+(2*r3+3*r3)+(2*r4+3*r4)
=2*K1+3*K2
=K
このように、ターミナルノードでの結合において、ｑ個の同じ乱数が加算されることでマスキングがキャンセルされる。
【0118】
図２１を参照する。ガロア体ＧＦ（５１）において、Ｋ１、Ｋ２を秘密分散データとし、Ｋ＝２＊Ｋ１＋３＊Ｋ２として秘密分散したとする。ｒ１、ｒ２、ｒ３及びｒ４は乱数である。図５を参照して述べた方法に準じた方法でデータのやり取りが行われる。
ネットワークＮＷ７２内のソースノードＳＮからターミナルノードＴＮまでの２つの経路のうち、第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られる。
中継ノードＮ１２では以下に示すように減算によるマスキングが行われる。
2*K1-r1
中継ノードＮ２２でも減算によるマスキングが行われる。
中継ノードＮ１３では以下に示すように加算及び減算によるマスキングが行われる。
2*K1-r1+r2-r3
中継ノードＮ２３でも加算及び減算によるマスキングが行われる。
中継ノードＮ１４では以下に示すように加算によるマスキングが行われる。
2*K1-r1+r2-r3+r4
中継ノードＮ２４でも加算によるマスキングが行われる。
ターミナルノードは、秘密分散のルールに基づいた以下の計算を行い、秘密情報Ｋを復元する。
(2*K1-r1+r2-r3+r4)+(3*K2-r2+r1-r4+r3)
=(2*K1+3*K2)+(r1-r1)+(r2-r2)+(r3-r3)+(r4-r4)
=2*K1+3*K2
=K
このように、ターミナルノードでの結合において、或る乱数から同じ乱数を引くことによりマスキングがキャンセルされる。
ネットワークＮＷ７２内のソースノードＳＮからターミナルノードＴＮまでの２つの経路のうち、第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られる。
中継ノードＮ１２では以下に示すように減算によるマスキングが行われる。
2*K1-r1
中継ノードＮ２２でも減算によるマスキングが行われる。
中継ノードＮ１３では以下に示すように加算及び減算によるマスキングが行われる。
2*K1-r1+r2-r3
中継ノードＮ２３でも加算及び減算によるマスキングが行われる。
中継ノードＮ１４では以下に示すように加算によるマスキングが行われる。
2*K1-r1+r2-r3+r4
中継ノードＮ２４でも加算によるマスキングが行われる。
ターミナルノードは、秘密分散のルールに基づいた以下の計算を行い、秘密情報Ｋを復元する。
(2*K1-r1+r2-r3+r4)+(3*K2-r2+r1-r4+r3)
=(2*K1+3*K2)+(r1-r1)+(r2-r2)+(r3-r3)+(r4-r4)
=2*K1+3*K2
=K
このように、ターミナルノードでの結合において、或る乱数から同じ乱数を引くことによりマスキングがキャンセルされる。
【0119】
あるいは、図示はしないが、ソースノードにおいて以下のように秘密分散が行われてもよい。
K=2K1+5K2-3K3
そして、ソースノードとターミナルノードとを接続する３つの経路が設定される。第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られ、第３の経路を通じて秘密分散データＫ３が送られる。各経路で乱数によるマスキングが行われる。
ターミナルノードは、ソースノードでの秘密分散のルールに従って、第１の経路を通じて受信したマスキング済み秘密分散データに２を乗じた結果と、第２の経路を通じて受信したマスキング済み秘密分散データに５を乗じた結果と、第３の経路を通じて受信したマスキング済み秘密分散データに３を乗じた結果とを加算する。この加算によりマスキングがキャンセルされるように、各経路で乱数によるマスキングが行われる。
K=2K1+5K2-3K3
そして、ソースノードとターミナルノードとを接続する３つの経路が設定される。第１の経路を通じて秘密分散データＫ１が送られ、第２の経路を通じて秘密分散データＫ２が送られ、第３の経路を通じて秘密分散データＫ３が送られる。各経路で乱数によるマスキングが行われる。
ターミナルノードは、ソースノードでの秘密分散のルールに従って、第１の経路を通じて受信したマスキング済み秘密分散データに２を乗じた結果と、第２の経路を通じて受信したマスキング済み秘密分散データに５を乗じた結果と、第３の経路を通じて受信したマスキング済み秘密分散データに３を乗じた結果とを加算する。この加算によりマスキングがキャンセルされるように、各経路で乱数によるマスキングが行われる。
【0120】
制御装置１００は、前記通信ネットワークの各リンクにおいて暗号化が行われるようにソースノードとターミナルノードと中継ノードとに指示を行う暗号化指示部（不図示）を備えていてもよい。各リンクにおいて、ＯＴＰ、ＡＥＳなど、任意の暗号化を行うことができる。各リンクにおいて暗号化が行われることで、斯かる暗号化が行われない場合に比べて、盗聴の難易度を高めることができる。
【0121】
図２２に、制御装置１００のコンピュータハードウェア構成例を示す。制御装置１００は、ＣＰＵ３５１と、インタフェース装置３５２と、表示装置３５３と、入力装置３５４と、ドライブ装置３５５と、補助記憶装置３５６と、メモリ装置３５７とを備えており、これらがバス３５８により相互に接続されている。
【0122】
制御装置１００の機能を実現するプログラムは、ＣＤ－ＲＯＭ等の記録媒体３５９によって提供される。プログラムを記録した記録媒体３５９がドライブ装置３５５にセットされると、プログラムが記録媒体３５９からドライブ装置３５５を介して補助記憶装置３５６にインストールされる。あるいは、プログラムのインストールは必ずしも記録媒体３５９により行う必要はなく、ネットワーク経由で行うこともできる。補助記憶装置３５６は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。
【0123】
メモリ装置３５７は、プログラムの起動指示があった場合に、補助記憶装置３５６からプログラムを読み出して格納する。ＣＰＵ３５１は、メモリ装置３５７に格納されたプログラムにしたがって制御装置１００の機能を実現する。インタフェース装置３５２は、ネットワークを通して他のコンピュータに接続するためのインタフェースとして用いられる。表示装置３５３はプログラムによるＧＵＩ（Graphical User Interface）等を表示する。入力装置３５４はキーボード及びマウス等である。
【0124】
なお、制御装置１００と同様のコンピュータハードウェア構成を、通信ネットワーク内の各ノードも有する。
【0125】
これまでに説明した実施形態は、装置としての側面だけではなく、方法としての側面及びコンピュータプログラムとしての側面をも有している。
【0126】
これまでに説明した実施形態に関し、以下の付記を開示する。
［付記１］
複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置であって、
前記通信ネットワークにおいて、秘密情報の送信元であるソースノードと、前記秘密情報の宛先であるターミナルノードと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部と、
前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部と、
各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、前記中継ノードに対し、前記乱数による前記秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示するマスキング指示部と
を備える、通信ネットワークの制御装置。
［付記２］
前記ターミナルノードに対し、前記複数の経路を通じて送られた前記複数の秘密分散データを結合し前記秘密情報を復元するよう指示する復元指示部をさらに備える付記１に記載の通信ネットワークの制御装置。
［付記３］
前記乱数がガロア体ＧＦ（ｑｘ）上の元であり、ｑは素数であり、ｘは正整数である、付記１又は２に記載の通信ネットワークの制御装置。
［付記４］
前記マスキング指示部は、前記ターミナルノードでの、前記マスキングがなされた前記複数の秘密分散データの結合において、前記乱数の四則演算によりマスキングがキャンセルされるように、マスキングの指示を行う、付記３に記載の通信ネットワークの制御装置。
［付記５］
前記通信ネットワークの各リンクにおいて暗号化が行われるように前記ソースノードと前記ターミナルノードと前記中継ノードとに指示を行う暗号化指示部をさらに備える付記１又は２に記載の通信ネットワークの制御装置。
［付記６］
付記１又は２に記載の制御装置と、
前記複数のノードと、
２つの前記ノードを接続する前記リンクと
を有する通信ネットワークシステム。
［付記１］
複数のノードと２つの前記ノードを接続するリンクとを有する通信ネットワークの制御装置であって、
前記通信ネットワークにおいて、秘密情報の送信元であるソースノードと、前記秘密情報の宛先であるターミナルノードと、前記ソースノードと前記ターミナルノードとを複数の中継ノードを介して接続する複数の経路とを設定する経路設定部と、
前記ソースノードに対し、前記秘密情報を秘密分散することにより得られる複数の秘密分散データを前記複数の経路でそれぞれ送るよう指示する送信指示部と、
各経路内の或るリンクと別のリンクとにおいて異なる乱数により前記秘密分散データがマスキングされて送られるように、かつ、前記マスキングがなされた前記複数の秘密分散データが前記ターミナルノードにおいて結合されると前記マスキングが数学的にキャンセルされて前記秘密情報が復元されるように、前記中継ノードに対し、前記乱数による前記秘密分散データのマスキングと、当該中継ノードと異なる前記経路に属する中継ノードへの前記乱数の送信とを指示するマスキング指示部と
を備える、通信ネットワークの制御装置。
［付記２］
前記ターミナルノードに対し、前記複数の経路を通じて送られた前記複数の秘密分散データを結合し前記秘密情報を復元するよう指示する復元指示部をさらに備える付記１に記載の通信ネットワークの制御装置。
［付記３］
前記乱数がガロア体ＧＦ（ｑｘ）上の元であり、ｑは素数であり、ｘは正整数である、付記１又は２に記載の通信ネットワークの制御装置。
［付記４］
前記マスキング指示部は、前記ターミナルノードでの、前記マスキングがなされた前記複数の秘密分散データの結合において、前記乱数の四則演算によりマスキングがキャンセルされるように、マスキングの指示を行う、付記３に記載の通信ネットワークの制御装置。
［付記５］
前記通信ネットワークの各リンクにおいて暗号化が行われるように前記ソースノードと前記ターミナルノードと前記中継ノードとに指示を行う暗号化指示部をさらに備える付記１又は２に記載の通信ネットワークの制御装置。
［付記６］
付記１又は２に記載の制御装置と、
前記複数のノードと、
２つの前記ノードを接続する前記リンクと
を有する通信ネットワークシステム。
【0127】
以上、本発明の実施の形態につき述べたが、本発明は既述の実施の形態に限定されるものではなく、本発明の技術的思想に基づいて各種の変形及び変更が可能である。
【符号の説明】
【0128】
ＮＷ１、ＮＷ２ 通信ネットワーク
ＳＮ ソースノード
ＴＮ ターミナルノード
Ｎ１１～Ｎ１７ 中継ノード
ＲＰ１、ＲＰ２、ＲＰ３ 経路
Ｋ 秘密情報
１００ 制御装置
１１０ 経路設定部
１２０ 送信指示部
１３０ マスキング指示部
１４０ 復元指示部
ＳＮ ソースノード
ＴＮ ターミナルノード
Ｎ１１～Ｎ１７ 中継ノード
ＲＰ１、ＲＰ２、ＲＰ３ 経路
Ｋ 秘密情報
１００ 制御装置
１１０ 経路設定部
１２０ 送信指示部
１３０ マスキング指示部
１４０ 復元指示部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8A】
【図8B】
【図8C】
【図8D】
【図9A】
【図9B】
【図9C】
【図9D】
【図10】
【図11】
【図12A】
【図12B】
【図12C】
【図12D】
【図12E】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】