JP2001042766A - データ暗号化装置及びその方法 - Google Patents

Abstract

(57)【要約】 【課題】 巡回ビットシフト操作を伴うデータ変換を行
なうデータ暗号化装置であって、全単射な変換を行な
い、かつ、ビットアバランシェ性能の高いデータ変換を
行なうデータ暗号化装置を提供する。 【解決手段】 データ変換部３００（及び３０１）は、
入力データＦと部分鍵データＫｉとの２＾３２を法とす
る算術加算を行う鍵加算部３００１と、そこから出力さ
れるデータＧを入力として、Ｇを上位に７ビットだけ巡
回ビットシフトしたデータＲｏｔ７（Ｇ）と、Ｇを上位
に１ビットだけ巡回ビットシフトしたデータＲｏｔ１
（Ｇ）と、Ｇ自身との排他的論理和演算を行うデータ置
換部３００２とを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、データ暗号化装置
及びその方法に関し、特に、巡回ビットシフトを伴うデ
ータ暗号化技術に関する。

【０００２】

【従来の技術】近年、デジタル通信が急速に普及してき
たが、健全な産業の発展やプライバシーを保護する等の
観点から、通信におけるデータの機密性を確保できる安
全性の高いデータ暗号化方式が要求されている。そのよ
うなデータ暗号化方式は、安全性のみならず暗号処理の
高速性及び実装の簡便性も要求される。 （第１の従来技術）データ暗号化方式の第１の従来技術
として、擬似乱数加算型暗号がある。

【０００３】この方式では、送信側・受信側双方が同じ
秘密鍵（以下、単に「鍵」という。）を共有しており、
平文データＭを一定長の平文データブロックＭｉに区切
り、区切られた各平文データブロックＭｉに対して、共
有している鍵をシードとして平文データブロックＭｉと
同じ長さの乱数データＲを発生させる。次に、各平文デ
ータブロックＭｉとその乱数データＲとを対応するビッ
ト毎に排他的論理和をとることにより、暗号文データブ
ロックＣｉを得る。式に表現すると以下の通りである。

【０００４】Ｃｉ＝Ｍｉ（＋）Ｒ ここで、演算子“（＋）”は対応するビット毎の排他的
論理和を意味する。最後に、得られた各暗号文データブ
ロックＣｉを連結することにより、暗号文Ｃを得る。こ
のデータ暗号化方式は、暗号化速度が非常に高いという
特徴を有し、画像や音声データのリアルタイム通信にお
けるデータ暗号化方式として適している。

【０００５】しかし、この方式はきわめて安全性が低
い。なぜなら、暗号化に用いられる鍵が常に同じである
とすると、わずか１組の平文データブロックＭｉと暗号
文データブロックＣｉとを入手しただけで、以下の式か
ら明らかなように、乱数Ｒが判明するので、他の全ての
平文データブロックＭｉを解読することができてしまう
からである。

【０００６】Ｒ＝Ｍｉ（＋）Ｃｉ （第２の従来技術）データ暗号化方式の第２の従来技術
としては、ＤＥＳ（ＤａｔａＥｎｃｒｙｐｔｉｏｎＳｔ
ａｎｄａｒｄ）方式やＦＥＡＬ（ＦａｓｔＤａｔａＥｎ
ｃｉｐｈｅｒｍｅｎｔＡｌｇｏｒｉｔｈｍ）方式といっ
たブロック暗号方式というものがある。なお、ＤＥＳ方
式ならびにＦＥＡＬ方式は、岡本栄司著「暗号理論入
門」（共立出版）に詳しく述べられている。

【０００７】このブロック暗号方式は、６４ビットの入
出力データを扱うものであるが、強力にデータを撹乱す
る能力を持っている。このようなブロック暗号方式の具
体的な技術として、特開平１−２７６１８９号公報に記
載されたＭｕｌｔｉ２暗号方式を挙げることができる。
図１４は、Ｍｕｌｔｉ２暗号方式のデータ暗号化装置に
用いられている３つのデータ変換部のうちの１つである
データ変換部４０の構成を示すブロック図である。

【０００８】本データ変換部４０は、鍵加算部４０１
と、第１データ置換部４０２と、第２データ置換部４０
３とから構成され、３２ビットの入力データＡに対し
て、入力される３２ビットの部分鍵データＫｉに基づく
データ変換処理を行うことにより、３２ビットの出力デ
ータＤを出力する。具体的には、データ変換部４０への
入力データＡ及び部分鍵データＫｉは、鍵加算部４０１
に入力される。鍵加算部４０１は、その入力データＡと
部分鍵データＫｉとを、２＾３２を法とする算術加算を
行い、３２ビットのデータＢを出力する。式で表現する
と、 Ｂ＝（Ａ＋Ｋｉ）ｍｏｄ２＾３２ を実行する。ここで、演算子“＋”は算術加算を意味
し、“αｍｏｄβ”はαをβで割った余りを意味し、
“２＾３２”は２の３２乗を意味する。

【０００９】第１データ置換部４０２は、前記鍵加算部
４０１から出力されたデータＢを入力とし、そのデータ
Ｂを上位に２ビットだけ巡回シフトしたデータＲｏｔ２
（Ｂ）とデータＢ自身と定数データ１との２＾３２を法
とする算術加算を行い、３２ビットのデータＣを出力す
る。式で表現すると、 Ｃ＝（Ｒｏｔ２（Ｂ）＋Ｂ＋１）ｍｏｄ２＾３２ を実行する。ここで、“Ｒｏｔα（Ｘ）”は３２ビット
のデータＸを上位にαビットだけ巡回シフトすること
（及び、そのような巡回シフトによって得られたデー
タ）を意味する。

【００１０】第２データ置換部４０３は、前記第１デー
タ置換部４０２から出力されたデータＣを入力とし、デ
ータＣを上位に４ビットだけ巡回シフトしたデータＲｏ
ｔ４（Ｃ）とデータＣ自身とのビットごとの排他的論理
和演算を行い、３２ビットのデータＤを出力する。式で
表現すると、 Ｄ＝Ｒｏｔ４（Ｃ）（＋）Ｃ を実行する。このデータＤがデータ変換部４０の最終結
果として出力される。

【００１１】このように、従来のデータ変換部４０は、
複数の巡回ビットシフトを組み合わせた演算を行うこと
で、高速なデータ撹乱操作を行っている。

【００１２】

【発明が解決しようとする課題】しかしながら、上記従
来技術におけるデータ変換部４０は、以下のような点に
おいて、安全性に問題がある。いま、第２データ置換部
４０３に以下の関係式を満たす２つの入力データＭ１，
Ｍ２それぞれが入力された場合に得られる出力データを
検討する。

【００１３】Ｍ１（＋）Ｍ２＝５５５５５５５５ｈ ここで、“ｈ”は１６進表記であることを示す。まず、
巡回ビットシフトの線形性から、以下の式が成り立つ。 Ｒｏｔ４（Ｍ１）（＋）Ｒｏｔ４（Ｍ２）＝Ｒｏｔ４
（Ｍ１（＋）Ｍ２） また、データ５５５５５５５５ｈ自体の対称性から、以
下の式が成り立つ。

【００１４】 Ｒｏｔ４（５５５５５５５５ｈ）＝５５５５５５５５ｈ これらより、以下の式が成り立つ。 Ｒｏｔ４（Ｍ１）（＋）Ｒｏｔ４（Ｍ２）＝５５５５５
５５５ｈ 従って、 Ｒｏｔ４（Ｍ１）（＋）Ｍ１（＋）Ｒｏｔ４（Ｍ２）
（＋）Ｍ２＝００００００００ｈ すなわち、 Ｒｏｔ４（Ｍ１）（＋）Ｍ１＝Ｒｏｔ４（Ｍ２）（＋）
Ｍ２ が成り立つ。つまり、２つの入力データＭ１，Ｍ２それ
ぞれが入力された場合に得られる出力データは等しくな
る。このことは、第２データ置換部４０３が全単射な変
換（全射かつ単射な変換）ではないことを意味してお
り、これによって、データ変換部４０自体の変換が全単
射でないことがわかる。

【００１５】図１５は、このような第２データ置換部４
０３やデータ変換部４０の写像、即ち、全単射でない写
像の性質を示す図である。定義域Ｘ中の異なる２つの入
力値が、値域Ｙ中の同一の出力値に写像される様子が示
されている。データ変換部４０がこのような性質を持つ
ことは、暗号の安全性上好ましくない。定義域Ｘに比
べ、値域Ｙの要素数が減少してしまうので、データ撹乱
性能の点で充分ではないからである。

【００１６】ここで、例えば、第２データ置換部４０３
の操作を、入力データに対して上位に２ビットだけ巡回
シフトしたデータＲｏｔ２（Ｘ）だけを出力するように
変更することが考えられる。そうすれば、第２データ置
換部４０３は全単射な変換を行なうことが保証される。
しかし、そのような変換Ｒｏｔ２（Ｘ）では、ビットア
バランシェ性能が十分でない点で、やはり安全性に欠け
る。なお、ビットアバランシェ性能とは、入力データ中
の１つのビット値の変化が出力データ中の何個のビット
値の変化に波及するか（ビット値の変化をもたらせる
か）の程度をいう。

【００１７】そこで、本発明はかかる問題点に鑑みてな
されたものであり、巡回ビットシフト操作を伴うデータ
変換を行なうデータ暗号化装置及びその方法であって、
データ撹乱性能の優れたデータ変換、即ち、全単射な変
換を行ない、かつ、ビットアバランシェ性能の高いデー
タ変換を行なうデータ暗号化装置及びその方法を提供す
ることを目的とする。

【００１８】

【課題を解決するための手段】上記目的と達成するため
に、本発明に係るデータ暗号化装置は、ｎビットの平文
データをｎビットの暗号文データに暗号化する装置であ
って、前記平文データを巡回ビットシフトすることによ
り、前記平文データをＳ1、Ｓ2、…、Ｓk（いずれも０
以上ｎ未満の整数であり、ｋは３以上の奇数）ビットだ
けそれぞれ巡回シフトしたｋ個のシフトデータを生成す
る巡回ビットシフト手段と、生成された前記ｋ個のシフ
トデータを融合することにより、前記暗号文データを生
成するシフトデータ融合手段とを備えることを特徴とす
る。

【００１９】ここで、前記データ暗号化装置はさらに、
前記巡回ビットシフト手段による巡回ビットシフトに先
立ち、予め与えられた鍵データと平文データとを融合す
る鍵融合手段を備え、前記巡回ビットシフト手段は、前
記鍵融合手段によって前記鍵データが融合された平文デ
ータに対して前記巡回ビットシフトを行なってもよい。

【００２０】また、前記シフトデータ融合手段は、前記
ｋ個のシフトデータを融合した後に、その融合によって
得られたｎビットのデータと予め与えられた鍵データと
を融合し、その結果得られるｎビットのデータを前記暗
号文データとして生成してもよい。また、前記巡回ビッ
トシフト手段は、指示されたビット数だけ前記平文デー
タを巡回シフトするｋ個の巡回シフト部と、鍵データを
取得する鍵データ取得部と、取得した鍵データに基づい
て前記Ｓ1、Ｓ2、…、Ｓkを決定し、それぞれ前記ｋ個
の巡回シフト部に指示するシフト量決定部とを有し、前
記ｋ個の巡回シフト部は、それぞれ、前記シフト量決定
部から指示された前記Ｓ1、Ｓ2、…、Ｓkビットだけ前
記平文データを巡回シフトしてもよい。

【００２１】また、前記巡回ビットシフト手段は、前記
平文データをＳ1、Ｓ2、…、Ｓm（いずれも０以上ｎ未
満の整数であり、ｍは３以上の整数）ビットだけそれぞ
れ巡回シフトするｍ個の巡回シフト部と、鍵データを取
得する鍵データ取得部と、取得した鍵データに基づいて
前記ｍ個の巡回シフト部の中からｋ個の巡回シフト部を
選択し、選択したｋ個の巡回シフト部による巡回シフト
によって得られたｋ個のデータを前記シフトデータとし
て生成する選択部とを有してもよい。

【００２２】また、上記目的を達成するために、上記デ
ータ暗号化装置の構成要素を含むデータ暗号化方法とし
たり、それら構成要素をステップとするプログラムとし
て実現してもよい。

【００２３】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を用いて詳細に説明する。通常、データ暗号化装
置で暗号化された暗号文データは、その暗号化の際に用
いられた鍵データを共有しているデータ復号化装置にお
いて上記暗号化の逆変換となる演算を施され、復号文デ
ータとなって出力される。

【００２４】以下の実施形態では、データ暗号化装置を
有する送信機においてある平文データが暗号化されて暗
号文データとなって受信機に送信され、その暗号文デー
タが、データ復号化装置を有する受信機で復号されて復
号文データとなり利用されるという暗号通信システムに
本発明を適用した例を示す。 （暗号通信システムの構成）図１は、本発明の実施形態
における暗号通信システムの構成を示すブロック図であ
る。この暗号通信システムは、送信機１、受信機２及び
伝送路３から構成される。送信機１及び受信機２は、た
とえば、デジタル化された画像情報をそれぞれ送信及び
受信するビデオサーバシステムのサーバ及びその端末等
である。伝送路３は、インタネット等に代表されるネッ
トワーク通信網やデジタル放送におけるトランスポート
ストリーム等である。

【００２５】送信機１は、データ暗号化装置１０及び送
信部１１を備える。データ暗号化装置１０には、６４ビ
ットの平文データと２５６ビットの鍵データが入力され
る。この平文データは、デジタル符号化された音声や画
像情報等が６４ビットのブロックに区切られて生成され
たものである。また、鍵データは、予め送信機１と受信
機２との間で定めていた共通の秘密鍵である。これら平
文データと鍵データは、データ暗号化装置１０に入力さ
れ処理を施されて６４ビットの暗号文データとなり、送
信部１１により並列to直列変換、変調及び増幅され伝送
路３を経て受信機２に送信される。

【００２６】受信機２は、データ復号化装置２０及び受
信部２１を備える。データ復号化装置２０には、受信部
２１を介して受信され直列to並列変換された６４ビット
の暗号文データと、上述の２５６ビットの鍵データが入
力される。これら暗号文データと鍵データは、データ復
号化装置２０に入力され処理を施されて６４ビットの復
号文データとなり、図示されていないデコーダ等によっ
てデコードされた後、ディスプレイやスピーカから映像
や音声として再生出力される。 （データ暗号化装置１０の構成）図２は、図１に示され
るデータ暗号化装置１０の構成の一例を示すブロック図
である。このデータ暗号化装置１０は、第１データ撹乱
部１０１と、第１段数制御部１０２と、第１鍵制御部１
０３とを備えている。

【００２７】第１データ撹乱部１０１は、入力される６
４ビットの平文データを、第１鍵制御部１０３から入力
される３２ビットの部分鍵データに従ってデータ撹乱
し、６４ビットのデータを出力する。第１段数制御部１
０２は、第１データ撹乱部１０１による撹乱を繰り返さ
せるための制御を行なう。具体的には、第１データ撹乱
部１０１での撹乱の回数が予め指定された回数に満たな
い場合には、第１データ撹乱部１０１から出力された６
４ビットのデータを再び第１データ撹乱部１０１に入力
する。予め指定された回数になった場合は、そのデータ
をデータ暗号化装置１０からの出力データとして送信部
１１に出力する。本実施形態では、上記指定回数を８回
としている。

【００２８】第１鍵制御部１０３は、入力された２５６
ビットの鍵データを上位桁から３２ビットずつ８個の部
分鍵Ｋ０，…，Ｋ７に分割し、それらを第１データ撹乱
部１０１での繰り返し回数に同期させて、第１データ撹
乱部１０１に出力する。具体的には、平文データが第１
データ撹乱部１０１に最初に入力された場合には部分鍵
Ｋ０を第１データ撹乱部１０１に与え、以下、そのデー
タが繰り返し第１データ撹乱部１０１に入力される度
に、Ｋ１，Ｋ２，…，Ｋ７を順に第１データ撹乱部１０
１に順に与える。 （データ復号化装置２０の構成）図３は、図１に示され
るデータ復号化装置２０の構成の一例を示すブロック図
である。このデータ復号化装置２０は、第２データ撹乱
部２０１と、第２段数制御部２０２と、第２鍵制御部２
０３とを備えている。

【００２９】第２データ撹乱部２０１は、受信部２１か
ら送られてきた６４ビットの暗号文データを、第２鍵制
御部２０３から入力される３２ビットの部分鍵データに
従ってデータ撹乱し、６４ビットのデータを出力する。
第２段数制御部１０２は、第２データ撹乱部２０１によ
る撹乱を繰り返させるための制御を行なう。具体的に
は、第２データ撹乱部２０１での撹乱の回数が予め指定
された回数に満たない場合には、第２データ撹乱部２０
１から出力された６４ビットのデータを再び第２データ
撹乱部２０１に入力する。予め指定された回数になった
場合は、そのデータをデータ復号化装置２０からの出力
データとして出力する。本実施形態では、上記指定回数
を８回としている。

【００３０】第２鍵制御部２０３は、入力された２５６
ビットの鍵データを上位桁から３２ビットずつ８個の部
分鍵Ｌ７，…，Ｌ０に分割し、それらを第２データ撹乱
部２０１での繰り返し回数に同期させて、第２データ撹
乱部２０１に出力する。具体的には、暗号文データが第
２データ撹乱部２０１に最初に入力された場合には部分
鍵Ｌ０を第２データ撹乱部２０１に与え、以下、そのデ
ータが繰り返し第２データ撹乱部２０１に入力される度
に、Ｌ１，Ｌ２，…，Ｌ７を順に第２データ撹乱部２０
１に与える。 （第１データ撹乱部１０１の構成）図４は、図２に示さ
れる第１データ撹乱部１０１の構成の一例を示すブロッ
ク図である。この第１データ撹乱部１０１は、排他的論
理和部１０１１とデータ変換部３００とから構成され
る。なお。この第１データ撹乱部１０１における桁分離
（１つのデータを２以上の部分桁からなる部分データに
分離すること）、桁交換（１つのデータを構成する複数
の部分データを入れ換えること）、桁連結（２以上の部
分データを桁方向に連結して新たな１つのデータにする
こと）に関する処理は、本図における配線によって示さ
れている。

【００３１】入力された６４ビットのデータは、上位３
２ビットのブロックＸ１と下位３２ビットのＸ０に分割
される。また３２ビットデータの２個のブロックＹ１，
Ｙ０を上位３２ビットをＹ１、下位３２ビットをＹ０と
して連結した６４ビットデータを出力データ６４ビット
としている。ブロックＸ１は、そのままＹ０として出力
されると共にデータ変換部３００に入力され、このデー
タ変換部３００において、第１鍵制御部１０３から送ら
れてきた３２ビットの部分鍵データに基づく変換を施さ
れ、３２ビットのデータＳとして排他的論理和部１０１
１に送られる。排他的論理和部１０１１は、そのデータ
ＳとブロックＸ０とのビット毎の排他的論理和演算を行
い、演算値Ｙ１を出力する。

【００３２】なお、以上の動作によって出力されるこれ
ら２個のブロックＹ１，Ｙ０は、図示されていないクロ
ックに同期して６４ビットの出力データとして連結さ
れ、この第１データ撹乱部１０１から出力される。 （第２データ撹乱部２０１の構成）図５は、図３に示さ
れる第２データ撹乱部２０１の構成の一例を示すブロッ
ク図である。この第２データ撹乱部２０１は、データ変
換部３０１と排他的論理和部２０１１とから構成され
る。これらデータ変換部３０１及び排他的論理和部２０
１１とは、それぞれ、図４に示された第１データ撹乱部
１０１のデータ変換部３００及び排他的論理和部１０１
１と同一の機能を有する。また、この第２データ撹乱部
２０１における桁分離、桁交換、桁連結に関する処理
は、本図における配線によって示されている。

【００３３】入力されたデータ６４ビットは、上位桁３
２ビットのブロックＺ１と下位３２ビットのブロックＺ
０に分割される。また３２ビットデータの２個のブロッ
クＷ１，Ｗ０を上位３２ビットをＷ１、下位３２ビット
をＷ０として連結した６４ビットデータを出力データ６
４ビットとしている。ブロックＺ０は、そのままＷ１と
して出力されると共にデータ変換部３０１に入力され、
このデータ変換部３０１において、第２鍵制御部２０３
から送られてきた３２ビットの部分鍵データに基づく変
換を施され、３２ビットのデータＴとして排他的論理和
部２０１１に送られる。排他的論理和部２０１１は、そ
のデータＴとブロックＺ１とのビット毎の排他的論理和
演算を行い、演算値Ｗ０を出力する。 （データ変換部３００及び３０１の構成）図６は、図４
（及び図５）に示されたデータ変換部３００（及び３０
１）の構成の一例を示すブロック図である。

【００３４】データ変換部３００は、３２ビットの入力
データＦ及び３２ビットの部分鍵データＫｉを入力と
し、３２ビットのデータＯを出力するものであり、鍵加
算部３００１とデータ置換部３００２と換字テーブルデ
ータ保管部３００３を備えている。鍵加算部３００１
は、３２ビットの２入力１出力の加算器等からなり、入
力データＦと部分鍵データＫｉとの２＾３２を法とする
算術加算を行い、結果を３２ビットのデータＧとして出
力する。すなわち、以下の式で示される演算を行なう。

【００３５】Ｇ＝（Ｆ＋Ｋ）ｍｏｄ２＾３２ データ置換部３００２は、巡回ビットシフトのための固
定的な配線パターンの信号線と排他的論理和ゲート等か
らなり、前記データＧを入力として、Ｇを上位に７ビッ
トだけ巡回ビットシフトしたデータＲｏｔ７（Ｇ）と、
Ｇを上位に１ビットだけ巡回ビットシフトしたデータＲ
ｏｔ１（Ｇ）と、Ｇ自身との排他的論理和演算を行い、
その結果を３２ビットのデータＨとして出力する。すな
わち、以下の式で示される演算を行なう。

【００３６】 Ｈ＝Ｒｏｔ７（Ｇ）（＋）Ｒｏｔ１（Ｇ）（＋）Ｇ 前記データＨは、上位桁から８ビットずつの４個のブロ
ックＩ３，Ｉ２，Ｉ１，Ｉ０に分割され、順に換字テー
ブルデータ保管部３００３に入力される。換字テーブル
データ保管部３００３は、ＲＯＭ等からなり、２５６個
の記憶場所に異なる８ビットデータが予め格納された換
字テーブルデータＴａｂ［０〜２５５］を記憶してお
り、入力された８ビットデータが示す記憶場所に格納さ
れた８ビットデータを出力する変換器である。

【００３７】具体的には、この換字テーブルデータ保管
部３００３は、盛合志帆，青木和麻呂，神田雅透，高嶋
洋一，松本勉著『既知のブロック暗号攻撃に対する安全
性を考慮したＳ−ｂｏｘの構成法』（電子情報通信学会
技術研究報告，ＩＳＥＣ９８−１３）に記載の８ビット
×２５６の換字テーブルデータを記憶しており、前記ブ
ロックＩ３，Ｉ２，Ｉ１，Ｉ０を順に入力データとし
て、対応する記憶場所に格納された８ビットデータを出
力していく。すなわち、入力データＩ３，Ｉ２，Ｉ１，
Ｉ０に対してそれぞれ、Ｊ３＝Ｔａｂ［Ｉ３］，Ｊ２＝
Ｔａｂ［Ｉ２］，Ｊ１＝Ｔａｂ［Ｉ１］，Ｊ０＝Ｔａｂ
［Ｉ０］を出力データとする。

【００３８】前記４個の８ビットデータＪ３，Ｊ２，Ｊ
１，Ｊ０は、上位桁からＪ３，Ｊ２，Ｊ１，Ｊ０の順に
連結され、３２ビットの出力データＯとして、このデー
タ変換部３００から出力される。なお、換字テーブルデ
ータ保管部３００３への入出力の切り換えは、マルチプ
レクサ回路及びデマルチプレクサ回路等で実現され、こ
れら回路は、入力されたバイトデータＩ０〜３が対応す
る桁Ｊ０〜３に出力されるように同期して動作する。 （第１データ撹乱部１０１と第２データ撹乱部２０１と
の関係）図４に示される第１データ撹乱部１０１と図５
に示される第２データ撹乱部２０１とは、共に、６４ビ
ットの入力データと３２ビットの部分鍵データとを入力
とし、６４ビットの出力データを出力する。以下、第１
データ撹乱部１０１と第２データ撹乱部２０１との関
係、すなわち、第１データ撹乱部１０１で暗号化された
平文データがデータ撹乱部２０１での復号化により、必
ず元に復元されることの原理について説明する。

【００３９】先に説明したように、図４に示された第１
データ撹乱部１０１のＸ１，Ｘ０と、Ｙ１，Ｙ０と、Ｓ
の間には以下のような関係が成り立つ。ただし、３２ビ
ットの部分鍵データをＫｉとし、Ｆ（Ｋｉ，α）は部分
鍵データがＫｉで入力データがαである時のデータ変換
部３００の出力を示す。 Ｓ＝Ｆ（Ｋｉ，Ｘ１） −（式１） Ｙ１＝Ｓ（＋）Ｘ０ −（式２） Ｙ０＝Ｘ１ −（式３） また、Ｋｉの値を同じとした時、図５に示された第２デ
ータ撹乱部２０１のＺ１，Ｚ０と、Ｗ１，Ｗ０と、Ｔの
間には以下のような関係が成り立つ。

【００４０】Ｔ＝Ｆ（Ｋｉ，Ｚ０） −（式４） Ｗ１＝Ｚ０ −（式５） Ｗ０＝Ｔ（＋）Ｚ１ −（式６） 第１データ撹乱部１０１からの出力データは、そのまま
第２データ撹乱部２０１に入力されるので、以下の関係
が成り立つ。

【００４１】Ｙ１＝Ｚ１ −（式７） Ｙ０＝Ｚ０ −（式８） 以上の関係より、まず、（式３）と（式８）から、以下
が成り立つ。 Ｙ０＝Ｚ０＝Ｘ１ −（式９） この（式９）より、（式４）を以下の通り変形できる。

【００４２】Ｔ＝Ｆ（Ｋｉ，Ｘ１） −（式１０） これら（式１０）と（式１）より、以下が成り立つ。 Ｓ＝Ｔ −（式１１） この（式１１）と（式６）より、以下が成り立つ。 Ｗ０＝Ｓ（＋）Ｚ１ −（式１２） さらに、この（式１２）と（式７）より、以下が成り立
つ。

【００４３】Ｗ０＝Ｓ（＋）Ｙ１ −（式１３） この（式１３）と（式２）より、以下が成り立つ。 Ｗ０＝Ｓ（＋）｛Ｓ（＋）Ｘ０｝ −（式１４） となる。ここで、以下のような排他的論理和の性質を利
用する。

【００４４】 β（＋）｛β（＋）γ｝＝γ −（式１５） この性質（式１５）と（式１４）より、以下が成り立
つ。 Ｗ０＝Ｘ０ −（式１６） となる。一方、（式３）と（式５）と（式８）とから、
以下が成り立つ。

【００４５】Ｗ１＝Ｘ１ −（式１７） 以上の（式１６）と（式１７）からわかることは、６４
ビットのデータＸを、第１データ撹乱部１０１におい
て、３２ビットの部分鍵データＫｉを用いて撹乱した結
果である６４ビットのデータをＹとし、そしてこの６４
ビットのデータＹを、第２データ撹乱部２０１におい
て、先にＸを撹乱してＹを生成した時に用いたものと同
じ３２ビットの部分鍵データＫｉで撹乱すると、６４ビ
ットのデータＸに戻るということである。 （第１鍵制御部１０３の動作）ここでは、図２に示され
る第１鍵制御部１０３の動作について述べる。

【００４６】６４ビットの平文データは、データ暗号化
装置１０において暗号化される時、第１データ撹乱部１
０１による撹乱が８回繰り返される。この時、第１鍵制
御部１０３は、１回目の撹乱時にはＫ０を、２回目の撹
乱時にはＫ１を、…、８回目の撹乱時にはＫ７を、それ
ぞれ第１データ撹乱部１０１に出力する。 （第２鍵制御部２０３の動作）ここでは、図３に示され
る第２鍵制御部２０３の動作について述べる。

【００４７】６４ビットの暗号文データは、データ復号
化装置２０において復号化される時、第２データ撹乱部
２０１での撹乱が８回繰り返される。この時、第２鍵制
御部２０３は、１回目の撹乱時にはＬ０を、２回目の撹
乱時にはＬ１を、…、８回目の撹乱時にはＬ７を、それ
ぞれ第２データ撹乱部２０１に出力する。 （データ暗号化装置１０とデータ復号化装置２０の関
係）図２に示されるデータ暗号化装置１０と図３に示さ
れるデータ復号化装置２０とは、共に、６４ビットの入
力データと２５６ビットの鍵データとを入力とし、６４
ビットの出力データを出力する。以下、データ暗号化装
置１０とデータ復号化装置２０との関係、すなわち、デ
ータ暗号化装置１０で暗号化された平文データがデータ
復号化装置２０での復号化により、必ず元に復元される
ことの原理について説明する。

【００４８】いま、データ暗号化装置１０において、６
４ビットの平文データＡを、２５６ビットの鍵データＫ
に従って暗号化するものとする。鍵データＫは、第１鍵
制御部１０３において、３２ビットずつのブロックに分
割され（上位桁から部分鍵データＫ０，Ｋ１，…，Ｋ
６，Ｋ７）、部分鍵データＫ０，Ｋ１，…，Ｋ６，Ｋ７
の順で、第１データ撹乱部１０１に入力される。

【００４９】平文データＡは、部分鍵データＫ０を用い
て第１データ撹乱部１０１で撹乱され、データＡ１とな
る。続いて、データＡ１は、部分鍵データＫ１を用いて
第１データ撹乱部１０１で撹乱されてデータＡ２とな
る。以下、同様にして、データＡ３，Ａ４，Ａ５，Ａ
６，Ａ７へと撹乱される。そして、データＡ７は、Ｋ７
を用いて第１データ撹乱部１０１で撹乱され、データＡ
８となり、このデータＡ８がデータ暗号化装置１０で最
終的に得られた暗号文データとして出力され、送信部１
１及び伝送路３を経て受信機２に伝送され、受信部２１
を経てデータ復号化装置２０に入力される。

【００５０】データ復号化装置２０においては、データ
暗号化装置１０での暗号化に用いられた鍵データＫと同
一の鍵データＫが用いられる。２５６ビットの鍵データ
は、第２鍵制御部２０３において、３２ビットずつのブ
ロックに分割され（上位桁から部分鍵データＬ７，Ｌ
６，…，Ｌ１，Ｌ０）、部分鍵データＬ０，Ｌ１，…，
Ｌ６，Ｌ７の順で、第２データ撹乱部２０１に入力され
る。なお、同じ２５６ビットの鍵データＫを分割したも
のであるから、これら２種類の部分鍵データＫ０〜Ｋ
７、Ｌ７〜Ｌ０間には、Ｋ０＝Ｌ７，Ｋ１＝Ｌ６，Ｋ２
＝Ｌ５，Ｋ３＝Ｌ４，Ｋ４＝Ｌ３，Ｋ５＝Ｌ２，Ｋ６＝
Ｌ１，Ｋ７＝Ｌ０が成り立っている。

【００５１】暗号文データＡ８は、部分鍵データＬ０を
用いて第２データ撹乱部２０１で撹乱されてデータＢ１
となる。この時、部分鍵データＫ７＝部分鍵データＬ０
であり、かつ、そのときには第１データ撹乱部１０１で
の撹乱と第２データ撹乱部２０１での撹乱とが逆変換の
関係となることから、データＢ１＝データＡ７が成り立
つ。続いて、データＢ１は、部分鍵データＬ１を用いて
第２データ撹乱部２０１で撹乱されてデータＢ２とな
る。この時、部分鍵データＫ６＝部分鍵データＬ１であ
り、かつ、そのときには第１データ撹乱部１０１での撹
乱と第２データ撹乱部２０１での撹乱とが逆変換の関係
となることから、データＢ２＝データＡ６が成り立つ。

【００５２】以下、同様にして，データＢ３，Ｂ４，Ｂ
５，Ｂ６，Ｂ７へと撹乱される。同様の理由により、Ｂ
３＝Ａ５，Ｂ４＝Ａ４，Ｂ５＝Ａ３，Ｂ６＝Ａ２，Ｂ７
＝Ａ１である。そしてデータＢ７は、部分鍵データＬ７
を用いて第２データ撹乱部２０１で撹乱されてデータＢ
８となり、このデータＢ８がこのデータ復号化装置２０
で最終的に得られる復号文データとなる。ここで、デー
タＢ７＝データＡ１であり、さらに、部分鍵データＫ０
＝部分鍵データＬ７であり、かつ、そのときには第１デ
ータ撹乱部１０１での撹乱と第２データ撹乱部２０１で
の撹乱とが逆変換の関係となることから、データＢ８＝
データＡとなる。

【００５３】以上のことからわかることは、６４ビット
の平文データＡを、データ暗号化装置１０において、２
５６ビットの鍵データＫを用いて暗号化した結果である
６４ビットの暗号文データをＢとし、そしてこの６４ビ
ットの暗号文データＢを、データ復号化装置２０におい
て、先に平文データＡを撹乱して暗号文データＢを生成
した時に用いたものと同じ２５６ビットの鍵データＫで
復号すると、６４ビットの平文データＡに戻るというこ
とである。 （暗号通信システムの動作）次に、図１〜図６を参照
し、本暗号通信システム全体の動作を説明する。

【００５４】まず、送信機１において、入力された一定
時間長の画像情報がデジタル化及び符号化されること
で、６４ビットの平文データが生成される。その平文デ
ータと送信機１に予め保持されていた２５６ビットの鍵
データは、データ暗号化装置１０に入力される。２５６
ビットの鍵データは、第１鍵制御部１０３に入力され
て、上位桁から３２ビットずつの部分鍵データＫ０，Ｋ
１，…，Ｋ７に分割される。

【００５５】６４ビットの平文データは、同時に入力さ
れる部分鍵データＫｉiに従って第１データ撹乱部１０
１で撹乱される。この撹乱は、第１段数制御部１０２に
よる制御の下で、８回繰り返される。この時、第１デー
タ撹乱部１０１には、３２ビットの部分鍵データとして
Ｋ０から順にＫ１，Ｋ２，…，Ｋ７が入力される。そし
て最終的に第１データ撹乱部１０１から出力された６４
ビットのデータが暗号文データとしてデータ暗号化装置
１０から出力される。

【００５６】データ暗号化装置１０から出力された６４
ビットの暗号文データは、送信部１１及び伝送路３を介
して受信機２に伝送される。受信機２では、送信機１か
ら送信されてきた６４ビットの暗号文データは、受信部
２１で受信され、２５６ビットの鍵データと共にデータ
復号化装置２０に入力される。

【００５７】２５６ビットの鍵データは、第２鍵制御部
２０３に入力され、上位桁から３２ビットずつの部分鍵
データＬ７，Ｌ６，…，Ｌ０に分割される。６４ビット
の暗号文データは、同時に入力される部分鍵データＬi
に従って第２データ撹乱部２０１で撹乱される。この撹
乱は、第２段数制御部２０２による制御の下で、８回繰
り返される。この時、第２データ撹乱部２０１には、３
２ビットの部分鍵データとしてＬ０から順にＬ１，Ｌ
２，…，Ｌ７が入力される。そして最終的に第２データ
撹乱部２０１から出力された６４ビットのデータが復号
文データとしてデータ復号化装置２０から出力される。

【００５８】出力された復号文データは、受信機２にお
いて画像信号又は音声信号に変換されてディスプレイに
表示されたりスピーカから音声出力される。 （データ暗号化装置１０の安全性）次に、本データ暗号
化装置１０の安全性について述べる。まず、送信機１及
び受信機２双方が共通に有するデータ変換部３００（及
び３０１）の変換操作が全単射であることを示す。

【００５９】鍵加算部３００１で行われる操作は、鍵デ
ータから生成される部分鍵データを入力データに加算す
る操作であり、部分鍵データは入力データによらず一定
の値であるから全単射であることが保証される。次に、
データ置換部３００２は、１〜（２＾３２−１）の入力
データに対してその出力値が０にならないことが計算機
を用いた実験によって確認されている。この実験結果
と、データ置換部３００２の操作が線形であることか
ら、データ置換部３００２の全単射性が保証される。

【００６０】また、データ置換部３００２の全単射性に
ついては、以下のように理論的に示すこともできる。い
ま、データ置換部３００２への３２ビット入力データＡ
の各ビットを上位桁からＡ３１，Ａ３０，…，Ａ０と
し、Ａ＝（Ａ３１，Ａ３０，…，Ａ０）と表現すると、 Ｒｏｔ１（Ａ）＝（Ａ３０，Ａ２９，…，Ａ１，Ａ０，
Ａ３１） Ｒｏｔ７（Ａ）＝（Ａ２４，Ａ２３，…，Ａ２７，Ａ２
６，Ａ２５） であるから、 Ｒｏｔ７（Ａ）（＋）Ｒｏｔ１（Ａ）（＋）Ａ＝（Ａ３
１（＋）Ａ３０（＋）Ａ２４，Ａ３０（＋）Ａ２９
（＋）Ａ２３，…，Ａ１（＋）Ａ０（＋）Ａ２６，Ａ０
（＋）Ａ３１（＋）Ａ２５） である。この関係は、データ置換部３００２の３２ビッ
ト出力データをＢ＝（Ｂ３１，Ｂ３０，…，Ｂ０）とし
たとき、

【００６１】

【数１】

【００６２】−（式１８） というように表現できる。ただし、

【００６３】

【数２】

【００６４】−（式１９） であり、 Ｘ０＝Ｘ１＝Ｘ６＝１、かつ、Ｘｉ＝０（ｉは０，１，６以外） −（式２０） である。

【００６５】ここで、文献「線型代数入門」（齋藤正彦
著，東京大学出版会）のＰ．９０の問題４及びその解答
から、

【００６６】

【数３】

【００６７】−（式２１） が成り立つ。ここで、ｄｅｔＸは行列Ｘの行列式を意味
し、（式２１）の右辺は、αが１の３２乗根全てを動く
ときの積を意味する。（式１９）及び（式２０）より、
（式２１）を以下の通り変形できる。

【００６８】

【数４】

【００６９】−（式２２） ここで、文献「代数学」（永尾汎著，朝倉書店）のＰ．
１６５の例題３９．１よりα＾３２＝１なるαはα＝１
以外にないことが判明しているので、（式２２）を以下
の通り変形できる。 ｄｅｔＸ＝１＋１＋１＝１ｍｏｄ２ −（式２３） よって、行列Ｘは可逆行列であり、データ置換部３００
２の出力データが零になるのは入力データが零の時に限
る。このことと、データ置換部３００２の操作が線形で
あることから、データ置換部３００２の全単射性が保証
される。

【００７０】なお、Ｎ１＝７，Ｎ２＝１，Ｎ３＝０以外
の（Ｎ１，Ｎ２，Ｎ３）についても、変換ＲｏｔＮ１
（＋）ＲｏｔＮ２（＋）ＲｏｔＮ３が全単射であること
は上記と同様にして示すことができる。また、巡回ビッ
トシフト操作を組み合わせる個数が３個以外の奇数個で
あっても同様に示すことができる。つまり、奇数個の巡
回ビットシフト（０ビットの巡回ビットシフトも含む）
を組み合わせる限りは、そのようなデータ変換の全単射
性が保証される。

【００７１】さらに、換字テーブルデータ保管部３００
３は、重複しない８ビットデータが予め格納された換字
テーブルデータに基づいて入力される８ビットデータを
変換しているので、この換字テーブルデータ保管部３０
０３も全単射性も保証されている。以上より、データ変
換部３００（及び３０１）を構成する全ての要素におけ
る変換操作が全単射であることから、データ変換部３０
０（及び３０１）全体の変換操作は全単射である。

【００７２】図７は、本実施形態のデータ置換部３００
２やデータ変換部３００（及び３０１）の写像、即ち、
全単射な変換を示す図である。定義域Ｘ中の異なる２つ
の入力値は必ず値域Ｙ中の異なる出力値に写像される様
子が示されている。従来技術における図１５に示された
写像とは異なり、本実施形態の写像によれば、定義域Ｘ
に比べて値域Ｙの要素数が減少してしまうという不具合
は回避される。

【００７３】このように、従来技術とは異なり、本実施
形態におけるデータ置換部３００２及びデータ変換部３
００（及び３０１）は、全単射な変換を行なうので、デ
ータ撹乱性能、即ち、安全性の点で優れている。次に、
本実施形態におけるデータ変換部３００（及び３０１）
のビットアバランシェ性能について検討する。

【００７４】データ変換部３００（及び３０１）が有す
るデータ置換部３００２は、入力データ自体Ｘに加え
て、その入力データＸを巡回ビットシフトして得られる
２つのデータＲｏｔ７（Ｘ）及びＲｏｔ１（Ｘ）との排
他的論理和演算を行っているので、入力データＸでのビ
ット値の変化は、そのビットだけでなく、他の２つのビ
ットにも波及する。そして、データ置換部３００２から
の出力データは換字テーブルデータ保管部３００３にお
いて非線形操作を受けるので、ここでの変換によって、
上記ビット値の変化は、さらに多くのビットに波及す
る。

【００７５】このように、従来技術とは異なり、本実施
形態におけるデータ変換部３００（及び３０１）及びデ
ータ暗号化装置１０は、高いビットアバランシェ性能を
有するので、データ撹乱性能、即ち、安全性の点で優れ
ている。以上のように、本実施形態におけるデータ変換
部３００（及び３０１）は、従来技術と異なり、入力デ
ータに対して３以上かつ奇数個の種類の巡回ビットシフ
ト（０ビットの巡回シフトも含む）を行なって排他的論
理和をとるデータ置換部３００２を有するので、巡回ビ
ットシフトという高速な暗号化だけでなく、全単射な変
換で、かつ、ビットアバランシェ性能の高い暗号化、即
ち、極めて安全性の高い暗号化を行なう。 （第１の変形例）次に、上記実施形態におけるデータ変
換部３００（及び３０１）の変形例を示す。以下に説明
する全ての変形例は、上記実施形態のデータ変換部３０
０（及び３０１）と置換可能なものであり、少なくとも
データ変換部３００（及び３０１）が発揮する効果を奏
するものである。

【００７６】図８は、第１の変形例に係るデータ変換部
３１０の構成を示すブロック図である。本図において、
上記実施形態のデータ変換部３００（及び３０１）と同
一の構成要素には同一の符号を付けている（以下、他の
図面についても同様）。このデータ変換部３１０は、上
記実施形態におけるデータ変換部３００（及び３０１）
の鍵加算部３００１とデータ置換部３００２との間に、
新たな構成要素であるビット置換部３０１０が追加され
た構成を有する。

【００７７】ビット置換部３０１０は、鍵加算部３００
１から出力された３２ビットのデータＧの各ビットを不
規則に入れ換える操作を行なう。例えば、データＧの第
１ビットを第１５ビットに移動させ、第２ビットを第２
７ビットに移動させ、第３ビットを第７ビットに移動さ
せ、・・、それによって得られる３２ビットのデータＧ
Ｘをデータ置換部３００２に出力する。

【００７８】このビット置換部３０１０は全単射な変換
を行なうので、データ変換部３１０全体としても全単射
性が保証される。従って、このデータ変換部３１０は、
少なくとも、上記実施形態のデータ変換部３００（及び
３０１）が有するデータ撹乱性能を有すると言える。 （第２の変形例）図９は、第２の変形例に係るデータ変
換部３２０の構成を示すブロック図である。このデータ
変換部３２０は、上記実施形態におけるデータ変換部３
００（及び３０１）の鍵加算部３００１とデータ置換部
３００２とを入れ換えたもの（接続順序を入れ換えたも
の）に等しい。

【００７９】このデータ変換部３２０は、データ撹乱性
能の点で、上記実施形態のデータ変換部３００（及び３
０１）と同様の性能を発揮することは言うまでもない。 （第３の変形例）図１０は、第３の変形例に係るデータ
変換部３３０の構成を示すブロック図である。このデー
タ変換部３３０は、上記実施形態におけるデータ変換部
３００（及び３０１）のデータ置換部３００２を新たな
構成要素である回転量可変データ置換部３０２０に置き
換えたものに等しい。

【００８０】回転量可変データ置換部３０２０は、鍵加
算部３００１から出力された３２ビットのデータＧに対
して、１５ビットの回転量鍵データによって定まる回転
量（巡回シフトするビット数）の３種類の巡回ビットシ
フトを同時並列に行ない、得られた３つの３２ビットデ
ータを排他的論理和演算して得られる結果を３２ビット
のデータＨとして出力する。

【００８１】図１１は、回転量可変データ置換部３０２
０の詳細な構成を示すブロック図である。この回転量可
変データ置換部３０２０は、３つのシフタ３０２１〜３
０２３、３つの並列to直列変換器３０２４〜３０２６及
び排他的論理和部３０２７から構成される。シフタ３０
２１〜３０２３は、３２ビットのシフトレジスタであ
り、最上位ビットが最下位ビットに巡回シフトするよう
結線されており、それぞれ、並列to直列変換器３０２６
〜３０２４から送られてくるクロックに同期して、上位
桁に巡回ビットシフトする。

【００８２】並列to直列変換器３０２４〜３０２６は、
５ビットの並列データを入力とし、その５ビットのデー
タが示す値（０〜３１）に相当する個数のクロックパル
スを、それぞれ、シフタ３０２３〜３０２１に対して直
列に出力する。なお、これら並列to直列変換器３０２４
〜３０２６は、それぞれ、１５ビットの回転量鍵データ
の上位５ビット、中位５ビット、下位５ビットの並列デ
ータを保持し、新たな３２ビットデータがシフタ３０２
１〜３０２３に入力されると、保持しているそれら５ビ
ットデータが示す個数のクロックパルスを、それぞれ、
シフタ３０２３〜３０２１に出力する。

【００８３】排他的論理和部３０２７は、３つのシフタ
３０２１〜３０２３から出力された３つの３２ビットデ
ータに対して、ビット毎の排他的論理和演算を行ない、
３２ビットのデータＨとして出力する。３２ビットの入
力データＧ及び１５ビットの回転量鍵データがこの回転
量可変データ置換部３０２０に入力された場合の処理の
流れは、以下の通りである。

【００８４】３２ビットの入力データＧは、３つのシフ
タ３０２１〜３０２３それぞれに入力され保持されると
ともに、１５ビットの回転量鍵データは、５ビットずつ
に分割され、それぞれ、３つの並列to直列変換器３０２
４〜３０２６に保持され、デコードされ、直列に変換さ
れて、対応する個数のパルス列として、シフタ３０２３
〜３０２１に出力される。

【００８５】その結果、シフタ３０２１〜３０２３に保
持されていたデータＧは、同時並行に、それぞれ、並列
to直列変換器３０２６〜３０２４から送られてくるパル
スの個数に相当するビット数だけ上位桁に巡回シフトさ
れる。その後、シフタ３０２１〜３０２３それぞれに保
持されている３つの３２ビットデータは、排他的論理和
部３０２７に送られ、ここで、同一ビット毎の排他的論
理和が演算されて、データＨとして出力される。

【００８６】例えば、いま、回転量鍵データが“０００
００００１０１１００１１ｂ”（“ｂ”は２進表記を示
す）である場合には、この回転量可変データ置換部３０
２０は、入力されたデータＧに対して、以下の演算を行
なうことになる。Ｈ＝Ｒｏｔ１９（Ｇ）（＋）Ｒｏｔ５
（Ｇ）（＋）Ｇこのように、この回転量可変データ置換
部３０２０によれば、３つのシフタ３０２１〜３０２３
での回転量は、回転量鍵データによって動的に決定され
る。従って、この変形例におけるデータ変換部３３０
は、回転量鍵データを秘密鍵としておくことで、固定的
なビット数の巡回シフトによるデータ置換が繰り返され
る上記実施形態のデータ変換部３００（及び３０１）よ
りも秘匿性が増す。

【００８７】なお、この回転量可変データ置換部３０２
０は、入力データに対して３種類の巡回ビットシフトを
行なって排他的論理和をとる点において上記実施形態の
データ置換部３００２と共通するので、この第３の変形
例におけるデータ変換部３３０は、上記実施形態のデー
タ変換部３００（及び３０１）と同様に、全単射な変換
で、かつ、ビットアバランシェ性能の高い暗号化を行な
うことが保証される。

【００８８】また、回転量鍵データについては、上記実
施形態における２５６ビットの鍵データと同様に、予め
送信機１と受信機２それぞれに、共通の秘密鍵として格
納しておけばよい。例えば、上記２５６ビットの鍵デー
タとは別に、１２０ビットの鍵データを送信機１と受信
機２それぞれに格納しておき、データ変換部３３０によ
る８回のデータ変換に対応させて、その１２０ビットの
鍵データを８分割して得られる８個の１５ビットデータ
を順次に回転量鍵データとしてデータ変換部３３０に与
えていけばよい。

【００８９】なお、本変形例で例示した上記３種類の回
転量（１９、５、０）は、上記実施形態における回転量
（７、１、０）と以下の点で共通し、好ましい値の組み
合わせのひとつである。つまり、これらの３つの回転量
（Ｎ１，Ｎ２，Ｎ３）における隣接する２つの回転量の
差分値（３２を法とする差分値）を算出すると、本変形
例では、（１３、１４、５）となり、上記実施形態で
は、（２５、６、１）となり、３つの差分値は互いに素
である。従って、３種類の巡回ビットシフトによって得
られる３つのシフトデータ間の不規則性が高い、つま
り、より安全性が高いと言える。 （第４の変形例）図１２は、第４の変形例に係るデータ
変換部３４０の構成を示すブロック図である。このデー
タ変換部３４０は、上記実施形態におけるデータ変換部
３００（及び３０１）のデータ置換部３００２を新たな
構成要素である加算数可変データ置換部３０３０に置き
換えたものに等しい。

【００９０】加算数可変データ置換部３０３０は、鍵加
算部３００１から出力された３２ビットのデータＧに対
して、５ビットの加算数鍵データによって定まる個数の
巡回ビットシフタを用い、それらから出力される３２ビ
ットデータを排他的論理和演算して得られる結果を３２
ビットのデータＨとして出力する。図１３は、加算数可
変データ置換部３０３０の詳細な構成を示すブロック図
である。この加算数可変データ置換部３０３０は、５つ
の巡回ビットシフタ３０３１〜３０３５及び排他的論理
和部３０３６から構成される。

【００９１】巡回ビットシフタ３０３１〜３０３５は、
３２ビットの入力データＸを上位桁にそれぞれ１９、
７、５、１、０ビットだけ巡回シフトさせる固定的な配
線パターンからなる信号線と出力バッファゲート等から
なり、イネーブル端子に“１”が入力されている場合に
は、巡回シフトによって得られた３２ビットデータＲｏ
ｔｎ（Ｘ）を排他的論理和部３０３６に出力し、イネー
ブル端子に“０”が入力されている場合には、巡回シフ
トした結果に拘わらず、零（００００００００ｈ）を排
他的論理和部３０３６に出力する。

【００９２】排他的論理和部３０３６は、５つの巡回ビ
ットシフタ３０３１〜３０３５から出力された５つの３
２ビットデータに対して、ビット毎の排他的論理和演算
を行ない、３２ビットのデータＨとして出力する。３２
ビットの入力データＧ及び５ビットの加算数鍵データが
この加算数可変データ置換部３０３０に入力された場合
の処理の流れは、以下の通りである。

【００９３】３２ビットの入力データＧは、５つの巡回
ビットシフタ３０３１〜３０３５それぞれに入力され、
それぞれのビット数だけ巡回シフトされた後に保持され
るとともに、５ビットの加算数鍵データは、１ビットず
つに分割され、それぞれ、巡回ビットシフタ３０３１〜
３０３５のイネーブル端子に出力される。その結果、巡
回ビットシフタ３０３１〜３０３５に保持されていたデ
ータＲｏｔｎ（Ｘ）は、イネーブル端子に入力された信
号の論理（“１”又は“０”）に従って、排他的論理和
部３０３６に出力されるか、零（００００００００ｈ）
が排他的論理和部３０３６に出力される。

【００９４】このようにして５つの巡回ビットシフタ３
０３１〜３０３５から送られてきた５つの３２ビットデ
ータは、排他的論理和部３０３６において、同一ビット
毎の排他的論理和演算が施され、データＨとして出力さ
れる。例えば、いま、加算数鍵データが“１０１０１
ｂ”である場合には、この加算数可変データ置換部３０
３０は、入力されたデータＧに対して、以下の演算を行
なうことになる。

【００９５】 Ｈ＝Ｒｏｔ１９（Ｇ）（＋）Ｒｏｔ５（Ｇ）（＋）Ｇ 同様に、加算数鍵データが“１１１１１ｂ”である場合
には、この加算数可変データ置換部３０３０は、入力さ
れたデータＧに対して、以下の演算を行なうことにな
る。 Ｈ＝Ｒｏｔ１９（Ｇ）（＋）Ｒｏｔ７（Ｇ）（＋）Ｒｏ
ｔ５（Ｇ）（＋）Ｒｏｔ１（Ｇ）（＋）Ｇ このように、この加算数可変データ置換部３０３０は、
入力されたデータＧに対して、５種類の巡回ビットシフ
タ３０３１〜３０３５から動的に選択された巡回ビット
シフタだけを用いて、それぞれの固定ビット数だけ巡回
シフトし、それらの結果をビット毎に排他的論理和演算
し、得られた３２ビットデータを出力するのに等しい機
能を有する。

【００９６】従って、この変形例におけるデータ変換部
３４０は、５ビットの加算数鍵データを５ビット中の
“１”のビット合計数が３個又は５個となる秘密値とし
ておくことで、有効化される巡回ビットシフタの数が動
的に変更されるので、常に３個の巡回ビットシフトによ
るデータ置換が繰り返される上記実施形態のデータ変換
部３００（及び３０１）よりも秘匿性が増す。

【００９７】なお、この加算数可変データ置換部３０３
０は、入力データに対して３以上かつ奇数個の巡回ビッ
トシフトを行なって排他的論理和をとる点において上記
実施形態のデータ置換部３００２と共通するので、この
第４の変形例におけるデータ変換部３４０は、上記実施
形態のデータ変換部３００（及び３０１）と同様に、全
単射な変換で、かつ、ビットアバランシェ性能の高い暗
号化を行なうことが保証される。

【００９８】なお、加算数鍵データについては、上記実
施形態における２５６ビットの鍵データと同様に、予め
送信機１と受信機２それぞれに、共通の秘密鍵として格
納しておけばよい。例えば、上記２５６ビットの鍵デー
タとは別に、４０ビットの鍵データを送信機１と受信機
２それぞれに格納しておき、データ変換部３４０による
８回のデータ変換に対応させて、その４０ビットの鍵デ
ータを８分割して得られる８個の５ビットデータを順次
に加算数鍵データとしてデータ変換部３４０に与えてい
けばよい。

【００９９】以上、本発明に係るデータ暗号化装置につ
いて、実施形の態及び変形例に基づいて説明したが、本
発明はこれら実施の形態及び変形例に限られないことは
勿論である。例えば、本実施形態や変形例のデータ変換
部等は、配線パターンやＥＸＯＲ（Exclusive-OR）ゲー
ト等の論理ＩＣ等を用いた専用ハードウェアによって実
現されていたが、これに換えて、汎用のマイクロプロセ
ッサ、制御プログラム、換字テーブルを格納したＲＯＭ
及び作業域としてのＲＡＭ等からなるコンピュータシス
テム上で実行されるプログラムを用いたソフトウェアに
よって実現することができるのは言うまでもない。そし
て、そのようなプログラムは、ＤＶＤ−ＲＯＭ等のコン
ピュータ読み取り可能な記録媒体に格納して配布した
り、通信ネットワーク等の伝送媒体を介して配信するこ
とができる。

【０１００】なお、プログラムにより実現する場合に
は、上位桁に巡回ビットシフトさせる機械語命令Rotate
-Shift-Leftや、排他的論理和演算させる機械語命令Exo
r等を用いてデータ置換部を構成することで、高速実装
が可能となる。また、プログラム等のシーケンシャル処
理によって巡回ビットシフトを実現する場合には、同一
データに対して７ビット及び１ビットだけシフトさせる
ことでＲｏｔ７（Ｘ）及びＲｏｔ１（Ｘ）を得てもよい
し、１ビットだけシフトした後に、そのデータをさらに
６ビットだけシフトさせることで同様の結果を得てもよ
い。

【０１０１】また、上記実施の形態や変形例における様
々な構成要素を組み合わせることもできる。例えば、第
３の変形例における回転量可変データ置換部３０２０と
第４の変形例における加算数可変データ置換部３０３０
との両方の機能を備えるデータ置換部としてもよい。具
体的には、クロック入力端子とイネーブル入力端子とを
有するシフトレジスタを用いることによって、有効とな
る巡回ビットシフタの数（種類）とそれら有効化された
巡回ビットシフタにおけるビットシフト数とが鍵データ
によって動的に決定されるようなデータ置換部を実現す
ることもできる。

【０１０２】また、本実施形態の第１及び第２データ撹
乱部１０１、２０１を構成する排他的論理和部１０１
１、２０１１に換えて、キャリー付きのフルアダー等の
可逆な演算器とすることもできる。つまり、排他的論理
和部１０１１に換える演算器と排他的論理和部２０１１
に換える演算器とは、それぞれ逆演算を行なう関係にあ
ればよい。ただし、それら演算器は、高速性を損なうこ
とがない程度の簡易なものが望ましい。

【０１０３】また、本実施形態のデータ変換部３００を
構成する鍵加算部３００１に換えて、排他的論理和等の
演算器、即ち、２つの３２ビットデータを入力とし１つ
の３２ビットデータを出力するような演算器とすること
もできる。ただし、上述したように、その演算器は、高
速性を損なうことがない程度の簡易なものが望ましい。

【０１０４】また、本実施形態のデータ暗号化装置１０
及びデータ復号化装置２０において、第１データ撹乱部
１０１及び第２データ撹乱部２０１での撹乱は８回繰り
返えされたが、本発明はこのような回数に限定されるも
のではない。その繰り返し回数を８回よりも少なくした
場合には、データ暗号化装置１０及びデータ復号化装置
２０に入力される鍵データのビット数を２５６ビットよ
りも少なくすることができる。一方、繰り返し回数を８
回よりも多くした場合には、データ暗号化装置１０及び
データ復号化装置２０に入力される鍵データのビット数
を２５６ビットよりも多くすればよい。また、繰り返し
回数を８回よりも多くした場合であっても、鍵データを
２５６ビットのままにして、分割された部分鍵データを
重複して使用してもよい。

【０１０５】また、２５６ビットよりも小さい鍵データ
や部分鍵データについては、ＤＥＳ方式やＦＥＡＬ方式
で行われているような部分鍵生成手段を用いて、それら
を生成してもよい。また、本実施形態では、データ変換
部３００（及び３０１）等は３２ビットのデータを１個
のブロックとし、ブロックを単位として変換したが、本
発明はこのようなビット数やブロック数に限定されるも
のではない。例えば、本発明を汎用の６４ビットＣＰＵ
を用いて実現する場合であれば６４ビットデータを１個
のブロックとして変換してもよい。逆に、処理の高速性
を考慮し、１個のブロック（３２ビット）の半分のデー
タ（例えば、下位１６ビットデータ）のみを変換するも
のであってもよい。

【０１０６】

【発明の効果】以上の説明から明らかなように、本発明
に係るデータ暗号化装置は、ｎビットの平文データをｎ
ビットの暗号文データに暗号化する装置であって、前記
平文データを巡回ビットシフトすることにより、前記平
文データをＳ1、Ｓ2、…、Ｓk（いずれも０以上ｎ未満
の整数であり、ｋは３以上の奇数）ビットだけそれぞれ
巡回シフトしたｋ個のシフトデータを生成する巡回ビッ
トシフト手段と、生成された前記ｋ個のシフトデータを
融合することにより、前記暗号文データを生成するシフ
トデータ融合手段とを備えることを特徴とする。

【０１０７】これによって、このデータ暗号化装置に入
力された平文データは、巡回ビットシフトによって３以
上かつ奇数個の異なるシフトデータに変換された後に融
合されるので、このデータ暗号化装置は、データ撹乱性
能の優れたデータ変換、即ち、ビットアバランシェ性能
の高いデータ変換を行ない、かつ、全単射な変換を行な
うことが保証される。

【０１０８】つまり、平文データは、３個以上のシフト
データに変換され融合されることから、１個のシフトデ
ータに変換される従来技術と比べ、このデータ暗号化装
置のビットアバランシェ性能は高いことが保証され、か
つ、その平文データは、奇数個のシフトデータに変換さ
れ融合されることから、２個のシフトデータに変換され
る従来技術と異なり、このデータ暗号化装置の全単射性
が保証される。

【０１０９】ここで、前記データ暗号化装置はさらに、
前記巡回ビットシフト手段による巡回ビットシフトに先
立ち、予め与えられた鍵データと平文データとを融合す
る鍵融合手段を備え、前記巡回ビットシフト手段は、前
記鍵融合手段によって前記鍵データが融合された平文デ
ータに対して前記巡回ビットシフトを行なってもよい。

【０１１０】これによって、平文データは鍵データと融
合された後に、巡回ビットシフトが行われるので、固定
的な変換を繰り返すという不具合が回避され、安全な秘
密鍵暗号が実現される。また、前記巡回ビットシフト手
段は、前記平文データを前記Ｓ1、Ｓ2、…、Ｓkビット
だけそれぞれ巡回シフトするｋ個の巡回シフト部を有し
てもよい。

【０１１１】これによって、平文データは、ｋ個の巡回
シフト部に並列に入力され、そこで同時並行して巡回ビ
ットシフト操作が施されるので、これらｋ個の巡回ビッ
トシフトをシーケンシャルに行なう場合に比べ、暗号化
の時間が短縮される。また、前記ｋ個の巡回シフト部
は、それぞれ、前記平文データを前記Ｓ1、Ｓ2、…、Ｓ
kビットだけそれぞれ巡回シフトさせる配線パターンが
施された信号線で構成したり、前記鍵融合手段は、算術
加算器で構成し、前記シフトデータ融合手段は、排他的
論理和ゲートで構成することもできる。

【０１１２】これによって、簡易な回路で、かつ、高速
にデータ撹乱を行なうデータ暗号化装置が実現される。
また、前記シフトデータ融合手段は、前記ｋ個のシフト
データを融合した後に、その融合によって得られたｎビ
ットのデータと予め与えられた鍵データとを融合し、そ
の結果得られるｎビットのデータを前記暗号文データと
して生成してもよい。

【０１１３】これによって、平文データは巡回ビットシ
フトされ融合された後に、鍵データと融合されるので、
固定的な変換を繰り返すという不具合が回避され、安全
な秘密鍵暗号が実現される。また、前記巡回ビットシフ
ト手段は、指示されたビット数だけ前記平文データを巡
回シフトするｋ個の巡回シフト部と、鍵データを取得す
る鍵データ取得部と、取得した鍵データに基づいて前記
Ｓ1、Ｓ2、…、Ｓkを決定し、それぞれ前記ｋ個の巡回
シフト部に指示するシフト量決定部とを有し、前記ｋ個
の巡回シフト部は、それぞれ、前記シフト量決定部から
指示された前記Ｓ1、Ｓ2、…、Ｓkビットだけ前記平文
データを巡回シフトしてもよい。

【０１１４】これによって、ｋ個の巡回ビット部それぞ
れで巡回シフトされるビット数は鍵データによって動的
に決定されるので、暗号化の秘匿性が増す。また、前記
巡回ビットシフト手段は、前記平文データをＳ1、Ｓ2、
…、Ｓm（いずれも０以上ｎ未満の整数であり、ｍは３
以上の整数）ビットだけそれぞれ巡回シフトするｍ個の
巡回シフト部と、鍵データを取得する鍵データ取得部
と、取得した鍵データに基づいて前記ｍ個の巡回シフト
部の中からｋ個の巡回シフト部を選択し、選択したｋ個
の巡回シフト部による巡回シフトによって得られたｋ個
のデータを前記シフトデータとして生成する選択部とを
有してもよい。

【０１１５】これによって、平文データから生成される
シフトデータの個数及び巡回シフトのビット数は鍵デー
タによって動的に決定されるので、暗号化の秘匿性が増
す。また、上記目的を達成するために、上記データ暗号
化装置の構成要素を含むデータ暗号化方法としたり、そ
れら構成要素をステップとするプログラムとして実現し
てもよい。

【０１１６】このように、本発明に係るデータ暗号化装
置等は、従来技術における巡回シフト操作を用いた暗号
方式における高速性を維持しつつ、より高いデータ撹乱
性能を実現する暗号化装置であり、特にマルチメディア
技術の進展が望まれる今日における画像情報等のリアル
タイム秘密通信等に好適であり、その実用的効果は極め
て大きい。

【図面の簡単な説明】

【図１】本発明の実施形態における暗号通信システムの
構成を示すブロック図である。

【図２】同システムのデータ暗号化装置の構成を示すブ
ロック図である。

【図３】同システムのデータ復号化装置の構成を示すブ
ロック図である。

【図４】同データ暗号化装置の第１データ撹乱部の構成
を示すブロック図である。

【図５】同データ復号化装置の第２データ撹乱部の構成
を示すブロック図である。

【図６】同第１及び第２データ撹乱部のデータ変換部の
構成を示すブロック図である。

【図７】同データ変換部の写像の性質を示す図である。

【図８】第１の変形例に係るデータ変換部の構成を示す
ブロック図である。

【図９】第２の変形例に係るデータ変換部の構成を示す
ブロック図である。

【図１０】第３の変形例に係るデータ変換部の構成を示
すブロック図である。

【図１１】同データ変換部の回転量可変データ置換部の
詳細な構成を示すブロック図である。

【図１２】第４の変形例に係るデータ変換部の構成を示
すブロック図である。

【図１３】同データ変換部の加算数可変データ置換部の
詳細な構成を示すブロック図である。

【図１４】従来のデータ暗号化装置におけるデータ変換
部の構成を示すブロック図である。

【図１５】従来のデータ変換部の写像の性質を示す図で
ある。

【符号の説明】

１ 送信機 ２ 受信機 ３ 伝送路 １０ データ暗号化装置 １１ 送信部 ２０ データ復号化装置 ２１ 受信部 １０１ データ撹乱部 １０１１ 排他的論理和部 １０２ 段数制御部 １０３ 鍵制御部 ２０１ データ撹乱部 ２０１１ 排他的論理和部 ２０２ 段数制御部 ２０３ 鍵制御部 ３００ データ変換部 ３００１ 鍵加算部 ３００２ データ置換部 ３００３ 換字テーブルデータ保管部 ３０１ データ変換部 ３０１０ ビット置換部 ３０２０ 回転量可変データ置換部 ３０２１〜３０２３ シフタ ３０２４〜３０２６ 直列変換器 ３０２７ 排他的論理和部 ３０３０ 加算数可変データ置換部 ３０３１〜３０３５ 巡回ビットシフタ ３０３６ 排他的論理和部 ３１０、３２０、３３０、３４０ データ変換部 ４０１ 鍵加算部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 宮地 充子 石川県能美郡辰口町旭台一丁目50番Ｄ−34 号 Ｆターム(参考） 5J104 AA36 JA18 NA02 NA27 PA04

Claims (18)

【特許請求の範囲】
1. 【請求項１】 ｎビットの入力データをｎビットの出力
   データに変換するデータ変換装置を備えるデータ暗号化
   装置であって、 前記データ変換装置は、 前記入力データを巡回ビットシフトすることにより、前
   記入力データをＳ1、Ｓ2、…、Ｓk（いずれも０以上ｎ
   未満の整数であり、ｋは３以上の奇数）ビットだけそれ
   ぞれ巡回シフトしたｋ個のシフトデータを生成する巡回
   ビットシフト手段と、 生成された前記ｋ個のシフトデータを融合することによ
   り、前記出力データを生成するシフトデータ融合手段と
   を備えることを特徴とするデータ暗号化装置。
2. 【請求項２】 前記データ変換装置はさらに、 前記巡回ビットシフト手段による巡回ビットシフトに先
   立ち、予め与えられた鍵データと入力データとを融合す
   る鍵融合手段を備え、 前記巡回ビットシフト手段は、前記鍵融合手段によって
   前記鍵データが融合された入力データに対して前記巡回
   ビットシフトを行なうことを特徴とする請求項１記載の
   データ暗号化装置。
3. 【請求項３】 前記巡回ビットシフト手段は、 前記入力データを前記Ｓ1、Ｓ2、…、Ｓkビットだけそ
   れぞれ巡回シフトするｋ個の巡回シフト部を有すること
   を特徴とする請求項２記載のデータ暗号化装置。
4. 【請求項４】 前記ｋ個の巡回シフト部は、それぞれ、
   前記入力データを前記Ｓ1、Ｓ2、…、Ｓkビットだけそ
   れぞれ巡回シフトさせる配線パターンが施された信号線
   であることを特徴とする請求項３記載のデータ暗号化装
   置。
5. 【請求項５】 前記鍵融合手段は、算術加算器及び排他
   的論理和ゲートのいずれかであり、 前記シフトデータ融合手段は、排他的論理和ゲートであ
   ることを特徴とする請求項４記載のデータ暗号化装置。
6. 【請求項６】 前記シフトデータ融合手段は、前記ｋ個
   のシフトデータを融合した後に、その融合によって得ら
   れたｎビットのデータと予め与えられた鍵データとを融
   合し、その結果得られるｎビットのデータを前記出力デ
   ータとして生成することを特徴とする請求項１記載のデ
   ータ暗号化装置。
7. 【請求項７】 前記巡回ビットシフト手段は、 指示されたビット数だけ前記入力データを巡回シフトす
   るｋ個の巡回シフト部と、 鍵データを取得する鍵データ取得部と、 取得した鍵データに基づいて前記Ｓ1、Ｓ2、…、Ｓkを
   決定し、それぞれ前記ｋ個の巡回シフト部に指示するシ
   フト量決定部とを有し、 前記ｋ個の巡回シフト部は、それぞれ、前記シフト量決
   定部から指示された前記Ｓ1、Ｓ2、…、Ｓkビットだけ
   前記入力データを巡回シフトすることを特徴とする請求
   項１記載のデータ暗号化装置。
8. 【請求項８】 前記巡回ビットシフト手段は、 前記入力データをＳ1、Ｓ2、…、Ｓm（いずれも０以上
   ｎ未満の整数であり、ｍは３以上の整数）ビットだけそ
   れぞれ巡回シフトするｍ個の巡回シフト部と、 鍵データを取得する鍵データ取得部と、 取得した鍵データに基づいて前記ｍ個の巡回シフト部の
   中からｋ個の巡回シフト部を選択し、選択したｋ個の巡
   回シフト部による巡回シフトによって得られたｋ個のデ
   ータを前記シフトデータとして生成する選択部とを有す
   ることを特徴とする請求項１記載のデータ暗号化装置。
9. 【請求項９】 ｎビットの入力データをｎビットの出力
   データに変換するデータ変換ステップを含むデータ暗号
   化方法であって、 前記データ変換ステップは、 前記入力データを巡回ビットシフトすることにより、前
   記入力データをＳ1、Ｓ2、…、Ｓk（いずれも０以上ｎ
   未満の整数であり、ｋは３以上の奇数）ビットだけそれ
   ぞれ巡回シフトしたｋ個のシフトデータを生成する巡回
   ビットシフトサブステップと、 生成された前記ｋ個のシフトデータを融合することによ
   り、前記出力データを生成するシフトデータ融合サブス
   テップとを含むことを特徴とするデータ暗号化方法。
10. 【請求項１０】 前記データ変換ステップはさらに、 前記巡回ビットシフトステップにおける巡回ビットシフ
    トに先立ち、予め与えられた鍵データと入力データとを
    融合する鍵融合サブステップを含み、 前記巡回ビットシフトサブステップでは、前記鍵融合ス
    テップにおいて前記鍵データが融合された入力データに
    対して前記巡回ビットシフトを行なうことを特徴とする
    請求項９記載のデータ暗号化方法。
11. 【請求項１１】 前記シフトデータ融合サブステップで
    は、前記ｋ個のシフトデータを融合した後に、その融合
    によって得られたｎビットのデータと予め与えられた鍵
    データとを融合し、その結果得られるｎビットのデータ
    を前記出力データとして生成することを特徴とする請求
    項９記載のデータ暗号化方法。
12. 【請求項１２】 前記巡回ビットシフトサブステップ
    は、 鍵データを取得する鍵データ取得サブステップと、 取得した鍵データに基づいて前記Ｓ1、Ｓ2、…、Ｓkを
    決定するシフト量決定サブステップと、 決定された前記Ｓ1、Ｓ2、…、Ｓkビットだけ前記入力
    データを巡回シフトする巡回シフトサブステップとを含
    むことを特徴とする請求項９記載のデータ暗号化方法。
13. 【請求項１３】 前記巡回ビットシフトサブステップ
    は、 鍵データを取得する鍵データ取得サブステップと、 取得した鍵データに基づいて予め定められたｍ個の数値
    Ｓ1、Ｓ2、…、Ｓm（いずれも０以上ｎ未満の整数であ
    り、ｍは３以上の整数）からｋ個を選択する選択サブス
    テップと、 選択されたｋ個の数値Ｓ1、Ｓ2、…、Ｓkに相当するビ
    ット数だけ前記入力データをそれぞれ巡回シフトする巡
    回シフトサブステップとを含むことを特徴とする請求項
    ９記載のデータ暗号化方法。
14. 【請求項１４】 ｎビットの入力データをｎビットの出
    力データに変換するデータ変換ステップを含むデータ暗
    号化プログラムが記録されたコンピュータ読み取り可能
    な記録媒体であって、 前記データ変換ステップは、 前記入力データを巡回ビットシフトすることにより、前
    記入力データをＳ1、Ｓ2、…、Ｓk（いずれも０以上ｎ
    未満の整数であり、ｋは３以上の奇数）ビットだけそれ
    ぞれ巡回シフトしたｋ個のシフトデータを生成する巡回
    ビットシフトサブステップと、 生成された前記ｋ個のシフトデータを融合することによ
    り、前記出力データを生成するシフトデータ融合サブス
    テップとを含むことを特徴とする記録媒体。
15. 【請求項１５】 前記データ変換ステップはさらに、 前記巡回ビットシフトサブステップにおける巡回ビット
    シフトに先立ち、予め与えられた鍵データと入力データ
    とを融合する鍵融合サブステップを含み、 前記巡回ビットシフトサブステップでは、前記鍵融合サ
    ブステップにおいて前記鍵データが融合された入力デー
    タに対して前記巡回ビットシフトを行なうことを特徴と
    する請求項１４記載の記録媒体。
16. 【請求項１６】 前記シフトデータ融合サブステップで
    は、前記ｋ個のシフトデータを融合した後に、その融合
    によって得られたｎビットのデータと予め与えられた鍵
    データとを融合し、その結果得られるｎビットのデータ
    を前記出力データとして生成することを特徴とする請求
    項１４記載の記録媒体。
17. 【請求項１７】 前記巡回ビットシフトサブステップ
    は、 鍵データを取得する鍵データ取得サブステップと、 取得した鍵データに基づいて前記Ｓ1、Ｓ2、…、Ｓkを
    決定するシフト量決定サブステップと、 決定された前記Ｓ1、Ｓ2、…、Ｓkビットだけ前記入力
    データを巡回シフトする巡回シフトサブステップとを含
    むことを特徴とする請求項１４記載の記録媒体。
18. 【請求項１８】 前記巡回ビットシフトサブステップ
    は、 鍵データを取得する鍵データ取得サブステップと、 取得した鍵データに基づいて予め定められたｍ個の数値
    Ｓ1、Ｓ2、…、Ｓm（いずれも０以上ｎ未満の整数であ
    り、ｍは３以上の整数）からｋ個を選択する選択サブス
    テップと、 選択されたｋ個の数値Ｓ1、Ｓ2、…、Ｓkに相当するビ
    ット数だけ前記入力データをそれぞれ巡回シフトする巡
    回シフトサブステップとを含むことを特徴とする請求項
    １４記載の記録媒体。