CN112507644B

CN112507644B - 优化的sm4算法线性层电路

Info

Publication number: CN112507644B
Application number: CN202011406329.XA
Authority: CN
Inventors: 林达; 向泽军; 张莎莎; 曾祥勇
Original assignee: Hubei University
Current assignee: Hubei University
Priority date: 2020-12-03
Filing date: 2020-12-03
Publication date: 2021-05-14
Anticipated expiration: 2040-12-03
Also published as: CN112507644A

Abstract

本发明涉及优化的SM4算法线性层电路，具体包括第一模块、第二模块、第三模块、第四模块、第五模块和第六模块，第一模块的输出信号受部分总输入信号影响,第二模块的输出信号受部分总输入信号以及第一模块的部分输出信号影响,第三模块的输出信号受部分总输入信号以及第一模块和第二模块的部分输出信号影响,第四模块的输出信号受第一模块、第二模块以及第三模块的部分输出信号影响,第五模块的输出信号受第二模块以及第四模块的部分输出信号影响,第六模块的输出信号受第二模块以及第五模块的部分输出信号影响。本发明的SM4算法线性层电路中异或门电路数目前已知最少，降低了整体密码算法硬件实现的成本及面积。

Description

优化的SM4算法线性层电路

技术领域

本发明涉及SM4算法的加密实现技术，具体的涉及一种优化的SM4算法线性层电路。

背景技术

随着轻量级应用越来越普遍,为了适应资源受限平台,密码算法的优化实现越来越受到广泛关注,如图1所示，我国商用分组密码标准(SM4算法)属于常用密码算法的一种，是我国国家密码管理局发布的密码行业标准,适用于无线局域网和可信计算系统,在我国密码行业中占据着极其重要的地位。

扩散作为设计密码算法的两个基本准则之一,对于密码算法的安全性起着至关重要的作用,而密码算法的线性部件是实现扩散的主要组件。因此,在研究密码算法的硬件实现时,线性部件的硬件实现开销也不容忽视。

密码算法线性层可由矩阵表示，其实现代价也可由实现该矩阵所需异或数来评估。研究表明，求解线性矩阵的最少异或数实现(即最优实现)是一个NP-困难问题。因此，学者们提出了一系列高效的启发式算法搜索矩阵的优化实现，比如算法Paar1、RPaar1、Paar2、BP、BFI(Banik等人的方法)、RNBP、A1以及A2。值得注意的是，这些算法给出的矩阵实现与矩阵的大小以及稠密度有关，对于较大、较稠密的矩阵，上述搜索算法给出的实现仍有进一步优化的空间。

发明内容

本发明要解决的技术问题是针对以上不足，提供一种优化的SM4算法线性层电路，可减少电路所需异或门电路数量来降低密码算法线性层的实现成本以及所需硬件面积,从而达到优化整体密码算法硬件实现的目的。

为解决以上技术问题，本发明采用以下技术方案：

优化的SM4算法线性层电路，包括第一模块、第二模块、第三模块、第四模块、第五模块和第六模块，设线性层电路总输入信号为{x₀,x₁,…,x₃₁},输出信号为{y₀,y₁,…,y₃₁}，寄存器记为t_i，则所述第一模块的输入信号为：

x₀,x₁,x₂,x₃,x₅,x₆,x₇,x₈,x₉,x₁₀,x₁₁,x₁₂,x₁₃,x₁₄,x₁₅,x₁₇,x₁₈,x₁₉,x₂₀,x₂₁,x₂₂,x₂₃,x₂₄,x₂₅,x₂₆,x₂₇,x₂₈,x₂₉,x₃₀,x₃₁，输出信号为：

t₃₂,t₃₃,t₃₄,t₃₅,t₃₆,t₃₇,t₃₈,t₄₀,t₄₁,t₄₂,t₄₃,t₄₄,t₄₅,t₄₇,t₄₈,t₅₀,t₅₄,t₅₇,t₅₈,t₆₀,t₆₆，具体包括21个异或门电路，分别为：

t₃₂＝x₃₀⊕x₁₄,t₃₃＝x₁₄⊕x₂₂,t₃₄＝x₂₉⊕x₁₃,t₃₅＝x₂₅⊕x₁₇,t₃₆＝x₂⊕x₇,t₃₇＝x₂₆⊕x₁₈,t₃₈＝x₁₇⊕x₉,t₄₀＝x₂₄⊕x₈,t₄₁＝x₈⊕x₀,t₄₂＝x₉⊕x₁,t₄₃＝x₂₀⊕x₂₈,t₄₄＝x₂₈⊕x₁₂,t₄₅＝x₇⊕x₃₁,t₄₇＝x₁₈⊕x₁₀,t₄₈＝x₁₉⊕x₂₇,t₅₀＝x₁₀⊕x₂,t₅₄＝x₅⊕x₃,t₅₇＝x₂₇⊕x₁₁,t₅₈＝x₁₃⊕x₂₁,t₆₀＝x₆⊕x₁₂,t₆₆＝x₃₁⊕x₁₅，

所述第二模块的输入信号为：

x₀,x₁,x₂,x₄,x₅,x₆,x₁₁,x₁₂,x₁₅,x₁₆,t₃₂,t₃₃,t₃₄,t₃₅,t₃₆,t₃₇,t₃₈,t₄₀,t₄₁,t₄₃,t₄₄,t₄₅,t₄₇,t₄₈,t₅₄,t₅₇,t₅₈,t₆₀，输出信号为：

t₃₉,t₄₆,t₄₉,t₅₁,t₅₂,t₅₃,t₅₅,t₅₉,t₆₁,t₆₂,t₆₃,t₆₇,t₆₉,t₇₀,t₇₁,t₇₂,t₇₃,t₇₄,t₇₅,t₇₇,t₉₂，具体包括21个异或门电路,分别为：

t₃₉＝x₁₆⊕t₃₃,t₄₆＝x₁⊕t₄₅,t₄₉＝t₄₅⊕t₃₄,t₅₁＝x₂⊕t₄₁,t₅₂＝t₄₁⊕t₃₂,t₅₃＝t₃₄⊕x₅,t₅₅＝t₃₂⊕x₆,t₅₉＝t₅₄⊕x₁₁,t₆₁＝x₀⊕t₃₃,t₆₂＝x₁₂⊕t₄₃,t₆₃＝t₃₃⊕t₄₄,t₆₇＝x₁₁⊕t₄₈,t₆₉＝t₄₃⊕t₄₇,t₇₀＝x₁₅⊕t₅₈,t₇₁＝t₄₈⊕t₃₈,t₇₂＝t₅₈⊕t₅₇,t₇₃＝t₄₄⊕t₃₇,t₇₄＝t₅₇⊕t₃₅,t₇₅＝t₃₈⊕t₃₆,t₇₇＝t₆₀⊕x₄,t₉₂＝t₄₇⊕t₄₀，

所述第三模块的输入信号为：

x₃,x₄,x₂₁,x₂₂,t₃₅,t₃₆,t₃₇,t₃₉,t₄₀,t₄₂,t₄₃,t₄₆,t₄₈,t₄₉,t₅₀,t₅₁,t₅₂,t₅₃,t₅₅,t₅₉,t₆₁,t₆₂,t₆₃,t₆₇,t₆₉,t₇₀,t₇₁,t₇₂,t₇₃,t₇₄,t₇₅,t₇₇,t₉₂，输出信号为：

t₅₆,t₆₄,y₂₈,y₂₇,y₂₅,y₁₈,y₁₇,t₈₀,t₈₁,t₈₂,y₉,y₂₉,t₈₅,y₂₆,t₈₇,y₁₀,y₂₂,y₄,y₃₀,y₃₁,y₃,y₀，具体包括22个异或门电路,分别为：

t₅₆＝x₂₂⊕t₅₅,t₆₄＝x₂₁⊕t₅₃,t₆₅＝t₅₅⊕t₄₃[y₂₈],t₆₈＝t₅₃⊕t₄₈[y₂₇],t₇₆＝t₇₄⊕x₃[y₂₅],t₇₈＝t₆₉⊕x₄[y₁₈],t₇₉＝x₃⊕t₇₁[y₁₇],t₈₀＝t₇₁⊕t₄₂,t₈₁＝t₃₆⊕t₇₀,t₈₂＝t₃₇⊕t₅₁,t₈₃＝t₆₇⊕t₄₂[y₉],t₈₄＝t₇₀⊕t₄₉[y₂₉],t₈₅＝t₃₅⊕t₄₆,t₈₆＝x₄⊕t₇₃[y₂₆],t₈₇＝t₇₃⊕t₅₀,t₈₈＝t₆₂⊕t₅₀[y₁₀],t₉₁＝t₆₁⊕t₄₀[y₂₂],t₁₀₀＝t₇₇⊕t₆₃[y₄],t₁₀₃＝t₃₉⊕t₅₂[y₃₀],t₁₀₄＝t₄₆⊕t₇₅[y₃₁],t₁₀₆＝t₅₉⊕t₇₂[y₃],t₁₀₈＝t₅₁⊕t₉₂[y₀]；

所述第四模块的输入信号为：

t₄₀,t₄₂,t₅₀,t₅₆,t₅₉,t₆₁,t₆₃,t₆₄,t₆₅,t₆₆,t₆₈,t₇₂,t₇₆,t₇₇,t₇₈,t₈₀,t₈₁,t₈₂,t₈₅,t₈₇；输出信号为y₈,t₉₀,y₇,t₉₄,y₁₅,y₂₁,y₅,y₁₁,y₁₂,y₂₀,y₁₉,y₁,y₂；具体包括13个异或门电路,分别为:

t₈₉＝t₅₀⊕t₈₂[y₈],t₉₀＝t₈₂⊕t₆₁,t₉₃＝t₄₂⊕t₈₅[y₇],t₉₄＝t₄₀⊕t₅₆,t₉₅＝t₈₅⊕t₆₆[y₁₅],t₉₆＝t₆₆⊕t₈₁[y₂₁],t₉₇＝t₈₁⊕t₆₄[y₅],t₉₈＝t₆₄⊕t₅₉[y₁₁],t₉₉＝t₅₆⊕t₇₇[y₁₂],t₁₀₅＝t₆₃⊕t₆₅[y₂₀],t₁₀₇＝t₇₂⊕t₆₈[y₁₉],t₁₀₉＝t₈₀⊕t₇₆[y₁],t₁₁₂＝t₈₇⊕t₇₈[y₂]；

所述第五模块的输入信号为t₃₉,t₄₉,t₇₅,t₉₀,t₉₄,t₉₅,t₉₇，输出信号为y₁₆,y₆,y₂₃,y₁₃，具体包括4个异或门电路,分别为:

t₁₀₁＝t₉₀⊕t₃₉[y₁₆],t₁₀₂＝t₉₄⊕t₃₉[y₆],t₁₁₀＝t₇₅⊕t₉₅[y₂₃],t₁₁₄＝t₄₉⊕t₉₇[y₁₃]；

所述第六模块的输入信号为t₅₂,t₉₂,t₁₀₁,t₁₀₂，输出信号为y₁₄,y₂₄，具体包含两个异或门电路，分别为：t₁₁₁＝t₅₂⊕t₁₀₂[y₁₄],t₁₁₃＝t₉₂⊕t₁₀₁[y₂₄]。

本发明的有益效果为：本发明给出的优化的SM4算法线性层电路中异或门电路数目前已知最优(即最少)。本发明减少了SM4算法线性变换的实现代价,进而降低了整体密码算法硬件实现的成本及面积。

下面结合附图和实施例对本发明进行详细说明。

附图说明

图1为SM4算法原始实现流程图；

图2为SM4算法迭代搜索矩阵的优化实现框架图；

图3为本发明的优化的SM4算法线性层模块连接图；

图4为本发明的第一模块电路图；

图5为本发明的第二模块电路图；

图6为本发明的第三模块电路图；

图7为本发明的第四模块电路图；

图8为本发明的第五模块电路图；

图9为本发明的第六模块电路图。

具体实施方式

以下结合附图对本发明的原理和特征进行描述，所举实例只用于解释本发明，并非用于限定本发明的范围。

如图1所示为SM4密码算法流程图,本发明涉及的电路是优化整个算法中的线性层L部分对应电路。

本发明的线性层电路的得到方法为，扩充SM4算法线性部件对应的矩阵,得到该矩阵在二元域上的表示；优化矩阵的实现,减少实现该矩阵所需异或门电路数量；列出算法线性部件的门级硬件电路图。具体步骤为：

S1、扩充算法线性部件对应的矩阵,得到该矩阵在二元域上的表示

对于SM4算法,其线性变换可由矩阵

表示,其中B₁,B₂,B₃分别定义为如下8×8矩阵,

于是,矩阵L可扩充为二元域F₂上的32×32矩阵,即

S2.优化矩阵的实现,减少实现该矩阵所需异或门电路数量

线性部件的输出为其输入的线性表达,相应的,在硬件实现其对应的矩阵时,任一输出信号可由输入信号线性表示。因此,目前的研究通常通过统计实现矩阵所有输出信号所消耗的异或门电路数目来评估算法线性层的实现代价。本发明沿用这种方法,设硬件实现时矩阵的输入信号为{x₀,x₁,…,x₃₁},输出信号为{y₀,y₁,…,y₃₁}。

本发明基于如图2所示框架，迭代搜索SM4算法线性层线性变换对应矩阵L的优化实现。

下面，我们介绍利用该框架搜索矩阵L的优化实现的步骤。

S2.1:将矩阵L作为该框架的输入，并从Paar1、RPaar1、BP、BFI、RNBP、A1以及A2中随机选择一个算法求解矩阵L的初始实现A。A由有限个(设为n)形如t_i＝t_j⊕t_k的异或操作构成，其中t为寄存器，其存储值为矩阵L的输入或异或操作得到的中间值；

S2.2:从上述实现A中截取长度为LEN(LEN∈[2,n-1]，且初始值为n-1。)的连续片段，记为片段2，并依此恢复出矩阵L’。下面我们给出根据片段2恢复出矩阵L’的一般过程：

S2.2.1：求矩阵L’的输出；

片段2也是由若干形如t_i＝t_j⊕t_k的异或操作构成。设片段

我们将片段2中的所有异或操作等式左边的寄存器组成的集合记为S_O，即

从S_O中剔除掉仅在片段2中被使用并且储存值不等于矩阵L的任意输出的寄存器，筛选后S_O集合中的元素即为矩阵L’的输出。

S2.2.2：求矩阵L’的输入；

由步骤S2.2.1可得矩阵L’的输出集合S_O，将S_O中的元素展开为关于矩阵L的输入(即x₀,x₁,…,x₃₁)的线性表达式，所有线性表达式中的变量组成的集合S_i即为矩阵L’的输入；

S2.2.3：根据输入集合S_i以及输出集合S_O即可恢复矩阵L’；

S2.3:再次从Paar1、RPaar1、BP、BFI、RNBP、A1以及A2中随机选择一个算法求解矩阵L’的实现，该实现与截取片段2等价。用矩阵L’的实现替换片段2，得到矩阵L新的实现。

S2.4:使用下列有助于减少实现代价的约简规则优化替换后矩阵L的实现；

如表1所示，我们以规则2为例简要说明上述规则实现约简的原理。假设给定的实现形如{…,t_u＝t_a⊕t_b,…,t_v＝t_a⊕t_u,…}，则寄存器t_v可改写为t_v＝t_a⊕t_u＝t_a⊕(t_a⊕t_b)＝t_b。因此，该实现转换为{…,t_u＝t_a⊕t_b,…,t_v＝t_b,…}。因为寄存器t_u最初只用作生成t_v，而寄存器t_v与寄存器t_b存储的值相同且与寄存器t_u无关，故我们可以从该实现中删除t_u＝t_a⊕t_b以及t_v＝t_b，并将该实现中所有异或操作数t_v改为t_b。因此，规则2减少了两个异或数，从而优化了该给定实现。

表1约简规则表

对于替换后矩阵L的实现，我们从该实现中任取2或3个寄存器(形如t_u＝t_a⊕t_b。)分别判断选取寄存器是否满足上表所示约简规则，约简之后矩阵的实现记为B，则实现B与原始实现A等价。若实现B所需异或门电路数较少，则用实现B替换原始实现A回到步骤S2.2重新搜索；否则，从实现A中截取下一个长为LEN的连续片段回到步骤S2.2继续搜索。若实现A中所有长度为LEN的连续片段均已被截取以恢复L’，则从A中截取LEN-1的连续片段继续搜索，直至截取片段长度LEN＝1停止搜索。

利用上述框架，我们得到如下表2所示SM4线性层线性变换对应矩阵L的优化实现。

表2 SM4算法线性变换矩阵L的优化实现

S3.列出算法线性部件的门级硬件电路图

利用目前已知基于g-xor标准求解矩阵实现的技术(Paar1，RPaar1,Paar2,BP,BFI,RNBP,A1,A2)，本发明涉及的SM4算法线性层线性变换对应矩阵L的实现代价如下表所示：

表3、现有技术实现SM4算法线性层线性层异或门数量

Paar1	RPaar1	Paar2	BP	BFI	RNBP	A1	A2
								96	96	96	88	88	88	87	86

本发明的SM4算法线性层线性变换对应矩阵实现所消耗的异或数为83，目前已知最优。

如表2所示，实现SM4算法线性变换对应矩阵所需异或门电路数为83,深度为6,因此,如图3所示，SM4算法线性变换的硬件实现可分为六个模块。所有模块均为异或门电路的集成,除初始模块(第一模块),其他各模块均受深度较浅模块的影响。各模块的输入输出分析如下：

(1)第一模块：

第一模块的输出信号受SM4算法线性变换的部分输入信号影响,该模块的输出信号又会影响第二模块、模块三以及第四模块的输出信号值。

输入：

x₀,x₁,x₂,x₃,x₅,x₆,x₇,x₈,x₉,x₁₀,x₁₁,x₁₂,x₁₃,x₁₄,x₁₅,x₁₇,x₁₈,x₁₉,x₂₀,x₂₁,x₂₂,x₂₃,x₂₄,x₂₅,x₂₆,x₂₇,x₂₈,x₂₉,x₃₀,x₃₁；

输出：

t₃₂＝x₃₀⊕x₁₄,t₃₃＝x₁₄⊕x₂₂,t₃₄＝x₂₉⊕x₁₃,t₃₅＝x₂₅⊕x₁₇,t₃₆＝x₂₃⊕x₇,t₃₇＝x₂₆⊕x₁₈,t₃₈＝x₁₇⊕x₉,t₄₀＝x₂₄⊕x₈,t₄₁＝x₈⊕x₀,t₄₂＝x₉⊕x₁,t₄₃＝x₂₀⊕x₂₈,t₄₄＝x₂₈⊕x₁₂,t₄₅＝x₇⊕x₃₁,t₄₇＝x₁₈⊕x₁₀,t₄₈＝x₁₉⊕x₂₇,t₅₀＝x₁₀⊕x₂,t₅₄＝x₅⊕x₃,t₅₇＝x₂₇⊕x₁₁,t₅₈＝x₁₃⊕x₂₁,t₆₀＝x₆⊕x₁₂,t₆₆＝x₃₁⊕x₁₅。

(2)第二模块

第二模块的输出信号受SM4算法线性变换的部分输入信号以及第一模块的部分输出信号影响,该模块的输出信号又会影响第三模块、第四模块、第五模块以及第六模块的输出信号值。

输入：

x₀,x₁,x₂,x₄,x₅,x₆,x₁₁,x₁₂,x₁₅,x₁₆,t₃₂,t₃₃,t₃₄,t₃₅,t₃₆,t₃₇,t₃₈,t₄₀,t₄₁,t₄₃,t₄₄,t₄₅,t₄₇,t₄₈,t₅₄,t₅₇,t₅₈,t₆₀；

输出：

t₃₉,t₄₆,t₄₉,t₅₁,t₅₂,t₅₃,t₅₅,t₅₉,t₆₁,t₆₂,t₆₃,t₆₇,t₆₉,t₇₀,t₇₁,t₇₂,t₇₃,t₇₄,t₇₅,t₇₇,t₉₂，

具体包括21个异或门电路集成,分别为：

t₃₉＝x₁₆⊕t₃₃,t₄₆＝x₁⊕t₄₅,t₄₉＝t₄₅⊕t₃₄,t₅₁＝x₂⊕t₄₁,t₅₂＝t₄₁⊕t₃₂,t₅₃＝t₃₄⊕x₅,t₅₅＝t₃₂⊕x₆,t₅₉＝t₅₄⊕x₁₁,t₆₁＝x₀⊕t₃₃,t₆₂＝x₁₂⊕t₄₃,t₆₃＝t₃₃⊕t₄₄,t₆₇＝x₁₁⊕t₄₈,t₆₉＝t₄₃⊕t₄₇,t₇₀＝x₁₅⊕t₅₈,t₇₁＝t₄₈⊕t₃₈,t₇₂＝t₅₈⊕t₅₇,t₇₃＝t₄₄⊕t₃₇,t₇₄＝t₅₇⊕t₃₅,t₇₅＝t₃₈⊕t₃₆,t₇₇＝t₆₀⊕x₄,t₉₂＝t₄₇⊕t₄₀。

(3)第三模块

第三模块的输出信号受SM4算法线性变换的部分输入信号以及第一模块和第二模块的部分输出信号影响,该模块的输出信号又会影响第四模块的输出信号值。

输入：

x₃,x₄,x₂₁,x₂₂,t₃₅,t₃₆,t₃₇,t₃₉,t₄₀,t₄₂,t₄₃,t₄₆,t₄₈,t₄₉,t₅₀,t₅₁,t₅₂,t₅₃,t₅₅,t₅₉,t₆₁,t₆₂,t₆₃,t₆₇,t₆₉,t₇₀,t₇₁,t₇₂,t₇₃,t₇₄,t₇₅,t₇₇,t₉₂；

输出：

t₅₆,t₆₄,y₂₈,y₂₇,y₂₅,y₁₈,y₁₇,t₈₀,t₈₁,t₈₂,y₉,y₂₉,t₈₅,y₂₆,t₈₇,y₁₀,y₂₂,y₄,y₃₀,y₃₁,y₃,y₀；具体包括22个异或门电路集成,分别为：

t₅₆＝x₂₂⊕t₅₅,t₆₄＝x₂₁⊕t₅₃,t₆₅＝t₅₅⊕t₄₃[y₂₈],t₆₈＝t₅₃⊕t₄₈[y₂₇],t₇₆＝t₇₄⊕x₃[y₂₅],t₇₈＝t₆₉⊕x₄[y₁₈],t₇₉＝x₃⊕t₇₁[y₁₇],t₈₀＝t₇₁⊕t₄₂,t₈₁＝t₃₆⊕t₇₀,t₈₂＝t₃₇⊕t₅₁,t₈₃＝t₆₇⊕t₄₂[y₉],t₈₄＝t₇₀⊕t₄₉[y₂₉],t₈₅＝t₃₅⊕t₄₆,t₈₆＝x₄⊕t₇₃[y₂₆],t₈₇＝t₇₃⊕t₅₀,t₈₈＝t₆₂⊕t₅₀[y₁₀],t₉₁＝t₆₁⊕t₄₀[y₂₂],t₁₀₀＝t₇₇⊕t₆₃[y₄],t₁₀₃＝t₃₉⊕t₅₂[y₃₀],t₁₀₄＝t₄₆⊕t₇₅[y₃₁],t₁₀₆＝t₅₉⊕t₇₂[y₃],t₁₀₈＝t₅₁⊕t₉₂[y₀]。

(4)第四模块

第四模块的输出信号受SM4算法线性变换实现第一模块、第二模块以及第三模块的部分输出信号影响,该模块的输出信号又会影响第五模块的输出信号值。

输入：

t₄₀,t₄₂,t₅₀,t₅₆,t₅₉,t₆₁,t₆₃,t₆₄,t₆₅,t₆₆,t₆₈,t₇₂,t₇₆,t₇₇,t₇₈,t₈₀,t₈₁,t₈₂,t₈₅,t₈₇；

输出：y₈,t₉₀,y₇,t₉₄,y₁₅,y₂₁,y₅,y₁₁,y₁₂,y₂₀,y₁₉,y₁,y₂；

具体包括13个异或门电路,分别为:

(5)第五模块

第五模块的输出信号受SM4算法线性变换实现第二模块以及第四模块的部分输出信号影响,该模块的输出信号又会影响第六模块的输出信号值。

输入：t₃₉,t₄₉,t₇₅,t₉₀,t₉₄,t₉₅,t₉₇；

输出：y₁₆,y₆,y₂₃,y₁₃；

具体包括4个异或门电路集成,分别为:

t₁₀₁＝t₉₀⊕t₃₉[y₁₆],t₁₀₂＝t₉₄⊕t₃₉[y₆],t₁₁₀＝t₇₅⊕t₉₅[y₂₃],t₁₁₄＝t₄₉⊕t₉₇[y₁₃]，所述第六模块的输入信号为t₅₂,t₉₂,t₁₀₁,t₁₀₂，输出信号为y₁₄,y₂₄，包含两个异或门电路，输出信号为：t₁₁₁＝t₅₂⊕t₁₀₂[y₁₄],t₁₁₃＝t₉₂⊕t₁₀₁[y₂₄]。

(6)第六模块

第六模块的输出信号受SM4算法线性变换实现第二模块以及第五模块的部分输出信号影响。

输入：t₅₂,t₉₂,t₁₀₁,t₁₀₂；

输出：y₁₄,y₂₄；

具体包含两个异或门电路，输出信号为：t₁₁₁＝t₅₂⊕t₁₀₂[y₁₄],t₁₁₃＝t₉₂⊕t₁₀₁[y₂₄]。

图3中所有模块均为异或门电路的集成,各模块的电路实现已由图4-9具体给出。由于各模块所需异或门电路总数达到目前已知最优,图4-9给出的电路实现降低了算法线性部件的实现代价。基于上述实现,本发明可以减少对应模块的实现成本以及面积,从而达到优化整体算法硬件实现的目的。

由表3的结果可知，与现有技术给出的SM4算法线性层硬件电路相比，本发明给出的SM4算法线性层硬件电路中异或门数量最优。以上所述为本发明最佳实施方式的举例，其中未详细述及的部分均为本领域普通技术人员的公知常识。本发明的保护范围以权利要求的内容为准，任何基于本发明的技术启示而进行的等效变换，也在本发明的保护范围之内。

Claims

1.优化的SM4算法线性层电路，其特征在于，包括第一模块、第二模块、第三模块、第四模块、第五模块和第六模块，设线性层电路总输入信号为{x₀,x₁,…,x₃₁},输出信号为{y₀,y₁,…,y₃₁}，寄存器记为t_i，则所述第一模块的输入信号为：

t₃₂,t₃₃,t₃₄,t₃₅,t₃₆,t₃₇,t₃₈,t₄₀,t₄₁,t₄₂,t₄₃,t₄₄,t₄₅,t₄₇,t₄₈,t₅₀,t₅₄,t₅₇,t₅₈,t₆₀,t₆₆，具体包括21个异或门电路，分别为：t₃₂＝x₃₀⊕x₁₄,t₃₃＝x₁₄⊕x₂₂,t₃₄＝x₂₉⊕x₁₃,t₃₅＝x₂₅⊕x₁₇,t₃₆＝x₂₃⊕x₇,t₃₇＝x₂₆⊕x₁₈,t₃₈＝x₁₇⊕x₉,t₄₀＝x₂₄⊕x₈,t₄₁＝x₈⊕x₀,t₄₂＝x₉⊕x₁,t₄₃＝x₂₀⊕x₂₈,t₄₄＝x₂₈⊕x₁₂,t₄₅＝x₇⊕x₃₁,t₄₇＝x₁₈⊕x₁₀,t₄₈＝x₁₉⊕x₂₇,t₅₀＝x₁₀⊕x₂,t₅₄＝x₅⊕x₃,t₅₇＝x₂₇⊕x₁₁,t₅₈＝x₁₃⊕x₂₁,t₆₀＝x₆⊕x₁₂,t₆₆＝x₃₁⊕x₁₅；

所述第二模块的输入信号为：

t₃₉＝x₁₆⊕t₃₃,t₄₆＝x₁⊕t₄₅,t₄₉＝t₄₅⊕t₃₄,t₅₁＝x₂⊕t₄₁,t₅₂＝t₄₁⊕t₃₂,t₅₃＝t₃₄⊕x₅,t₅₅＝t₃₂⊕x₆,t₅₉＝t₅₄⊕x₁₁,t₆₁＝x₀⊕t₃₃,t₆₂＝x₁₂⊕t₄₃,t₆₃＝t₃₃⊕t₄₄,t₆₇＝x₁₁⊕t₄₈,t₆₉＝t₄₃⊕t₄₇,t₇₀＝x₁₅⊕t₅₈,t₇₁＝t₄₈⊕t₃₈,t₇₂＝t₅₈⊕t₅₇,t₇₃＝t₄₄⊕t₃₇,t₇₄＝t₅₇⊕t₃₅,t₇₅＝t₃₈⊕t₃₆,t₇₇＝t₆₀⊕x₄,t₉₂＝t₄₇⊕t₄₀，所述第三模块的输入信号为：

t₅₆＝x₂₂⊕t₅₅,t₆₄＝x₂₁⊕t₅₃,t₆₅＝t₅₅⊕t₄₃[y₂₈],t₆₈＝t₅₃⊕t₄₈[y₂₇],t₇₆＝t₇₄⊕x₃[y₂₅],t₇₈＝t₆₉⊕x₄[y₁₈],t₇₉＝x₃⊕t₇₁[y₁₇],t₈₀＝t₇₁⊕t₄₂,t₈₁＝t₃₆⊕t₇₀,t₈₂＝t₃₇⊕t₅₁,t₈₃＝t₆₇⊕t₄₂[y₉],t₈₄＝t₇₀⊕t₄₉[y₂₉],t₈₅＝t₃₅⊕t₄₆,t₈₆＝x₄⊕t₇₃[y₂₆],t₈₇＝t₇₃⊕t₅₀,t₈₈＝t₆₂⊕t₅₀[y₁₀],t₉₁＝t₆₁⊕t₄₀[y₂₂],t₁₀₀＝t₇₇⊕t₆₃[y₄],t₁₀₃＝t₃₉⊕t₅₂[y₃₀],t₁₀₄＝t₄₆⊕t₇₅[y₃₁],t₁₀₆＝t₅₉⊕t₇₂[y₃],t₁₀₈＝t₅₁⊕t₉₂[y₀]；所述第四模块的输入信号为：

所述第六模块的输入信号为t₅₂,t₉₂,t₁₀₁,t₁₀₂，输出信号为y₁₄,y₂₄，包含两个异或门电路，输出信号为：t₁₁₁＝t₅₂⊕t₁₀₂[y₁₄],t₁₁₃＝t₉₂⊕t₁₀₁[y₂₄]。