特集トニクス・ォオールフトッ
ネ ワーク

IOWN 時代のセキュリティ R&Dート
光論理ゲ

暗号回路

光論理ゲートで構成する暗号回路技術

近年，ナノフォトニクス技術の進展により小型の光素子の実現が可能になり，光論理ゲートの研究開発がさかんに行われています．
私たちは，IOWN（Innovative Optical and Wireless Network）の構成要素であるオールフォトニクス ・ ネットワークにおける光情報通信および光コンピューティング上でのデータの暗号化 ・ 認証な

たかはしじゅんこ

ちだ順子

千田浩司

やまこしきみひろ

きた

しょうた

山越公洋

しんやあきひこ北†1どに用いるため，光論理ゲートで構成する暗号回路の研究を行って新家います．本稿では，標準暗号の 1 つである AES の暗号回路を光論

NTT 社会情報研究所† 1

理ゲートで構成する方法を紹介します．

NTT 物性科学基礎研究所† 2

オールフォトニクス ・ ネットワーク
情報処理基盤における光演算こうじ高橋†1

†1

翔太

†2昭彦

†2ティングの性能向上のためにさまざまおよびステートと鍵との加算であるな専用ハードウェアが光回路で実現さAddRoundKey から構成されます．

れます．そのため，APN 情報処理基

本章では，AES の主要な演算であるオールフォトニクス・ネットワーク盤の安全性を担保するために必要な暗SubBytes と MixColumns に 着 目（APN）の情報処理基盤では，通信ネッ号専用ハードウェアも光回路で実装し，それらを光回路で実現する方法をトワーク・通信基盤から端末デバイスし，暗号演算が全体の性能のボトル紹介します．に至るまで光技術を導入することによ

ネックとならないように遅延や消費電■光 論 理 ゲ ー ト で 実 装 す る

り，低消費電力，高品質・大容量およ力を抑えた回路にすることが望ましい

SubBytes

び低遅延の情報処理の実現をめざしてと考えます．そこで私たちは，光信号

SubBytes は， 8 ビットごとに仕います．従来のネットワーク機器でのにより暗号・認証の演算が可能な光暗様で定められた S-box テーブルに基データ処理および端末デバイスでの演号回路を研究しています．本章では，づいた変換を行います．S-box テーブ

算は電子回路で行われていますが，標 準 暗 号 の 1 つ で あ る Advanced

ルは， 8 ビット入出力の非線形変換でAPN 情報処理基盤ではそれらに光技

Encryption Standard（AES）を光す．ある 8 ビットの入力値に対して，術を用いることにより，処理や演算の回路で実現する方法を紹介します．

テーブルを参照することにより，8 ビッ性能を向上させることを想定していま■ AES の暗号方式

トの出力値が得られます．例えば，入す．光技術の 1 つに，光論理ゲートでAES は，128ビットブロック長のブ

力 値0xf0に 対 す る S-box の 出 力 は構成され，論理演算等が可能な光回路

ロック暗号であり，鍵長は128，192，0x8c となります（入出力の値は16進があります．光回路は，例えば，深層256ビットから選択することができま数で表しています）．

学習の分野における学習アルゴリズム

す ．ステートと呼ばれる中間値のこのようなテーブルに基づいた変換の演算に利用されており，低遅延・低128ビットを 8 ビットずつ区切って 4は，光論理ゲートの一種であるマッハ・消費電力な演算が可能と示されていま× 4 行列で表現し，暗号化の基本構造

ツェンダー干渉型光スイッチ（MZIす（1）．

であるラウンド関数を繰り返し演算しスイッチ）を用いて実装することがでて暗号文を出力します．ラウンド関数

きます．MZI スイッチは，図 1（a）には，非線形演算であるSubBytes，線形示すように，光カプラと位相シフタか演算であるShiftRows，MixColumns，ら構成され，位相シフタが埋め込まれ光暗号回路技術
APN 情報処理基盤では，コンピュー（2）

2021.1159

特集

IOWN 時代のセキュリティ R&D（a） マッハ・ツェンダー干渉型光スイッチ

電圧オン・オフ

光カプラ（b） スイッチの動作に 1 つの光信号が選択され，出力され電圧オン（電気信号 “ 1 ”）ます．このように，MZI を用いて 8入力光出力光ビットの入力に対して 1 ビットの光信号を出力するテーブル変換を実現することが可能です．

光カプラ

前述のように複数の MZI スイッチ

位相シフタを接続し，256個の光信号を適切に設電圧オフ（電気信号 “ 0 ”）定することで，S-box テーブルを構成入力光することができます．MZI の入力（電出力光気信号）に S-box テーブルの入力を設定し，光信号に S-box テーブルの図1

マッハ・ツェンダー干渉型光スイッチ（MZI スイッチ）とその動作出力を設定します．例えば，S-box
テーブルの各256個の値の最下位ビッ

入力 8 ビット （電気信号）：MZIスイッチ

X8

X7X6X5X4X3

トを光信号に設定しておけば，入力 8X2ビット（x1，x2，・・・，x8）に対してX1

S-box テーブルの出力の最下位 1 ビッ10110

出力 1 ビット（光信号）（光信号の中から 1 つを選択して出力する）

“1”

光信号
（256（＝ 2 8）個）トを得ることができます．同様に，
S-box テーブルの出力の各々 n ビット目（n ＝1，．．．，7 ）を光信号に設定しておけば， 8 ビットの入力に対するS-box テーブルの出力の n ビット目を得ることができます．

010

8 ビット分の S-box テーブルの出

図２MZI スイッチによるテーブル変換の実装方法

力を得るためには，上記演算処理を時系列的に 8 回繰り返す方法や図 2 の回路を 8 個並列に実装する方法もありま60た経路に電圧を加えるか否かによって私たちは，テーブル変換の入力ビッすが，光の場合は波長を 8 波長に多重光導波路の屈折率の変化を起こすこと

ト数に応じた数の MZI スイッチを接化し，波長ごとに S-box テーブルの nにより， 2 つの経路の位相差を変更し続して経路を切り替えることにより（図ビット目を導出することにより，図 2ます．このことにより，MZI は光の2 ），入力 8 ビットに対して 1 ビットの 1 つの回路で 8 ビット分を演算する経路を切り替えるスイッチとして動作の光信号を出力するテーブル変換の実ことも可能です．

します．例えば図 1（b）では，上側の装方法を考案しました．図 2 におい■光 論 理 ゲ ー ト で 実 装 す る

経路に光が入力され，位相シフタが埋て，単一の光源を分岐した256個（＝MixColumns

め込まれた経路に電圧を加える場合は2 個）の光を用意し，点灯（光信号のMixColumns は，図 3（a）に示すよ（電気信号のビット “ 1 ” に相当）光信

ビット “ 1 ” に相当）または消灯（光信うに，定数行列とステートの乗算で定号は直進した経路（上側）から出力さ号のビット “ 0 ” に相当）と設定します．

義されています（X，Y は 8 ビット）．

れ，電圧を加えない場合は（電気信号

こ の と き， 8 ビ ッ ト の 入 力（x1，行列式を計算すると，出力の各 8 ビッのビット “ 0 ” に相当）光信号はクロスx2，・・・，x8）に応じて経路を選択

トは図 3（b）の式①のように表すことした経路（下側）から出力されます．

しながら光が MZI を通過し，最終的ができます（図 3（b）では Y1 のみを示

2021.118特集（a）

出力

定数行列

き，電気による論理ゲートに比べて約ステート300倍の高速な演算が可能です（3）．
Y102030101

X1

Y201020301

X2Y301010203

X3Y403010102

X4Y ゲートによる XOR 演算の原理を
図 4 に示します．図 4 のように，位相差が180°で振幅の大きさが同等の 2 つの信号光（入力信号光 A と入力信号光B）を入力とします．図 4 の「－」は入力信号光の振幅が 0 の状態，つまり（b）

Y1＝｛ 02 ｝
・X1⊕｛ 03 ｝
・X2⊕ X3 ⊕ X4

信号光がない状態を示します．この 2…①つの信号光を Y ゲートへ入力し，出力（※）⊕：排他的論理和（XOR）・：乗算

図３

光の振幅の大きさを判定します．例えば，図 4 のケース④の場合， 2 つの入力信号光の振幅が同等で位相差が180°

AES の MixColumns 構成であるため，信号が打ち消し合い，振幅が 0 となります．このようにして，入力信号光A合流点

振幅が 0 の状態をビット “ 0 ”，振幅の大きさが入力信号光と同程度である状

出力信号光態をビット “ 1 ” に対応付けると，図 4の出力信号光のビット値に示すように入力信号光BYゲート

ケース信号光

入力信号光AXOR の論理演算を行うことが可能と入力信号光B

出力信号光

出力ビット値①0②1③1④0

図４なります．このように 2 つの入力信号光の位相差を180°にするといった入力光に対する制約をつけることで，Yゲー
トを用いて XOR 演算が可能なことが示されています．
ここで， 7 ビットの XOR 演算を行う際には複数の Y ゲートをつなげて演算しますが，XOR 演算の演算結果を次の XOR 演算の入力とする場合は，Y ゲートを用いた XOR 演算

各 Y ゲートの 2 つの入力信号光の位相差は演算結果に依存し，必ずしも180°しています）．さらに，乗算を計算す方法を紹介します．同様に， 5 ビットになるとは限りません〔例えば，4 ビッると，式①は 5 ビットの XOR 演算（入の XOR 演算も構成可能です．

トの XOR 演算（a ⊕ b ⊕ c ⊕ d）を行

力 5 ビット・出力 1 ビットの XOR 演

XOR 演算が可能な光演算素子としう際に，a，b との XOR 演算結果と c，算）5 つと， 7 ビットの XOR 演算（入て Y ゲートがあります ．Y ゲートは，d との XOR 演算結果とが共にケース

力 7 ビット・出力 1 ビットの XOR 演

2 つの入力信号光が合流する点で信号②の出力となり，その結果を XOR 演（3）算） 3 つを用いて表すことができますを重ね合わせます．光信号が振幅と位算する場合など〕．よって，各 Y ゲー

（2）

．ここでは，例として， 7 ビットの相を持つ「波」である性質を利用する

トの 2 入力信号光の位相差を演算結果

XOR 演算を光論理ゲートで構成することで XOR 演算や OR 演算を実現でに応じて変更するといった操作が必要

2021.1161

特集

IOWN 時代のセキュリティ R&Dであり，この操作による遅延や消費電判定します．具体的には，出力光の検計算するには，SubBytes の演算と力が増加してしまいます．

出なし（消灯），または入力光の振幅同様に，時系列的に演算する，複数のそこで私たちは，演算途中の位相のの偶数倍（ 2 倍， 4 倍， 6 倍）の振幅演算回路を用いる，または， 1 つの演変換を不要とするために，Y ゲートのを検出した場合は出力結果をビット算回路で波長の多重化により演算を行

入力の光信号を同位相として演算し，“ 0 ”，入力光の振幅の奇数倍（ 1 倍，うという実装方法が可能です．

演算の最後にしきい値処理により出力3 倍， 5 倍， 7 倍）を検出した場合は結果を補正する方法を考案しました．

出力結果をビット “ 1 ” と判定します．

図 5 にその概要を示します．本手法

前述の実装方法により，Y ゲートの演

私たちは，光論理ゲートを利用する

は，Y ゲートの重ね合わせと光検出器

算度に入力光の位相を変換する必要なAES 暗号回路の構成方法を考案しま

内でのしきい値処理により構成されまく，XOR 演算を行うことが可能になした．今後，APN 情報処理基盤の安す．Y ゲートの重ね合わせでは，合計ります．本演算方法により，Y ゲート全性を確保するために，さまざまな暗7 つの Y ゲートを利用して，光の振幅の出力の処理を 7 回（Y ゲートの出力号方式による演算や認証などのセキュを足し合わせていきます〔入力数が 7の数）から 1 回（しきい値処理時のみ）リティ技術を光回路で実装する光セであるため， 8 番目は振幅 “ 0 ” の光に削減することが可能です．

キュリティアクセラレータが必要に今後の展開（消灯）とします〕．しきい値処理では，

図 3（b）の式①から計算される 7 ビッなってきます．このアクセラレータは，入力光（x1，x2，x3，x4，x5，x6，x7）

トの XOR 演算および 5 ビットの XOR

図 6 に示す APN 情報処理基盤を支えの中で光の振幅が 0 でない信号の数が演算を図 5 に示す演算方法に対応させるアーキテクチャである光ディスアグ

多いほど，出力光の振幅が大きくなる

ると，Y1 の 1 ビット分を計算するこ

リゲーテッドコンピューティング（4）のため，それを検出し，出力のビットをとができます．Y1（ 8 ビット分）を構成要素の 1 つになると考えていま

x1x2

W1

出力光

Z2x3x4

入力光Yゲート

Z1x5

Z3x7Z4光検出器：
振幅検出＋しきい値処理

W2x6

演算結果
（電気信号）
yy ＝1…

0光
ケース

x1x2x3

Z1

Z2W2

出力光

y ＝1y ＝01

y ＝12128

図5622021.11

７ ビット入力・ １ ビット出力の XOR 演算の実装方法

スマートモビリティ

スマートスポーツ

スマートシティスマートアグリ光ディスアグリゲーテッドコンピューティング基盤：光セキュリティアクセラレータ※「【NTT IR DAY 2020】オープニング～ CTOから見たNTTの成長戦略」を基に図を作成．

図６

光セキュリティアクセラレータを搭載した APN 情報処理基盤

す．従来，CPU・メモリ等の各種デバイスは各サーバ内に閉じていましたが，光ディスアグリゲーテッドコン
ピューティングは，それらを高速光ネットワークで接続し，分散させることにより，ラック・データセンタスケールのコンピュータとして扱うという新しいアーキテクチャです．光セキュリ
ティアクセラレータは，安全な光ディスアグリゲーテッドコンピューティン
グ基盤およびそれによる安全なスマートサービスの提供につながると考えています．今後も，低遅延・低消費電力の光セキュリティアクセラレータの実現のために，私たちは光の特性を活かした新たな暗号・認証の実装方式の研究を引き続き行っていきます．このことにより，安全な IOWN の実現に貢献していきます．

■参考文献（1） J. Peng，Y. Alkabani, S. Sun, V. J. Sorger,
and T. El-Ghazawi：“DNNARA：A Deep
Neural Network Accelerator using
Residue，” ICPP 2020, No. 61, pp. 1 -11,Edmonton, Canada, August 2020．
（2） NIST：“A n nou ncing t he ADVANCEDENCRYPTION STANDARD（AES），” Federal
Information Processing Standards Publication
197, 2001．
（3） S. Kita, K. Nozaki, K. Takata, A. Shinya，and M. Notomi：“Ultrashort low-loss Ψgates for linear optical logic on Si photonics
platform,” Communications Physics, Vol. 3,  No. 33, pp.1-8, 2020.
（4） 岡田 ・ 木原 ・ 岡崎：“IOWN を支えるディス
アグリゲーテッドコンピューティング ,”NTT 技術ジャーナル , Vol. 33, No. 5, pp. 4044, 2021．

（上段左から）高橋  順子/ 千田  浩司/山越  公洋（下段左から）北  翔太/ 新家  昭彦

光技術で暗号回路を実現するというチャレンジングな研究テーマに取り組んでいます．今後も，安全な新しい光コンピューティング基盤の実現をめざして，研究を進めていきます．

◆問い合わせ先NTT 社会情報研究所
企画担当
E-mailsolab

2021.11

hco.ntt.co.jp

63