JP2002247025A - 情報処理装置 - Google Patents

Abstract

(57)【要約】 【課題】 本願発明は、高いセキュリティを持つカ−ド
部材などの耐タンパ−情報処理装置を提供するものであ
る。技術的な課題は、カ−ド部材、例えばＩＣカ−ド用
チップでのデ−タ処理と消費電流との関連性を減らすこ
とである。 【解決手段】 本願発明の着眼点は、ＩＣカード用チッ
プで消費される電流値と、処理されているデータの関連
性を減らすための方法として、処理するデータを撹乱用
データで変形し、データの処理を変形したデータで処理
し、処理後に撹乱用データを用いて逆変換し、正しい処
理結果を求めるものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、機密性の高いＩＣ
カードなどの耐タンパ装置に関するものである。

【０００２】

【従来の技術】ＩＣカ−ドは、勝手に書き換えることが
許されないような個人情報の保持や、秘密情報である暗
号鍵を用いたデ−タの暗号化や、或いは暗号文の復号化
を行う装置である。ＩＣカ−ド自体は電源を持っておら
ず、ＩＣカ−ド用のリ−ダライタに差し込まれると、電
源の供給を受け、動作可能となる。ＩＣカードは動作可
能になると、リ−ダライタから送信されるコマンドを受
信し、そのコマンドに従って、デ−タの転送等の処理を
行う。

【０００３】ＩＣカ−ドの基本概念は、図１に示すよう
に、カ−ド１０１の上に、ＩＣカ−ド用チップ１０２を
搭載したものである。図に示すように、一般にＩＣカ−
ドは、所定位置に、供給電圧端子Ｖｃｃ、グランド端子
ＧＮＤ、リセット端子ＲＳＴ、入出力端子Ｉ／Ｏ、クロ
ック端子ＣＬＫ及び、を有する。この端子の位置は、I
ＳO７８１６の規格に定められている。これらの諸端子
を通して、リ−ダ−ライタから電源の供給やリ−ダライ
タとのデ−タの通信を行う。こうしたＩＣカ−ドを用い
た通信に関しては、例えばＷ．Ｒａｎｋl Ａｎd Ｅｆｆ
ｉｎg : ＳＭＡＲＴＣＡＲＤ ＨＡＮＤＢＯＯＫ、 Ｊ
ｏｈｎ Ｗｉlｅｙ & Ｓｏｎｓｓ、 １９９７、ＰＰ.４
１などに見られる。

【０００４】ＩＣカ−ドに搭載される半導体チップの構
成は、基本的には通常のマイクロコンピュ−タと同じ構
成である。図２はＩＣカ−ドに搭載される半導体チップ
の基本的構成を示すブロック図である。図２に見られる
ように、カード部材用の半導体チップは、中央処理装置
（ＣＰＵ）２０１、記憶装置２０４、入出力（Ｉ／Ｏ）
ポ−ト２０７、コ・プロセッサ２０２を有する。システ
ムによってはコ・プロセッサはない場合もある。ＣＰＵ
２０１は、論理演算や算術演算などを行う装置であり、
記憶装置２０４は、プログラムやデ−タを格納する装置
である。入出力ポ−トは、リ−ダライタと通信を行う装
置である。コ・プロセッサは、暗号処理そのもの、また
は、暗号処理に必要な演算を高速に行う装置である。こ
れには、例えば、ＲＳＡ暗号の剰余演算を行う為の特別
な演算装置や、ＤＥＳ暗号のラウンド処理を行う暗号装
置などがある。ＩＣカ−ド用プロセッサの中には、コ・
プロセッサを持たないものも多くある。デ−タバス２０
３は、各装置を接続するバスである。

【０００５】記憶装置２０４は、ＲＯＭ（Ｒｅａｄ Ｏ
ｎｌｙ Ｍｅｍｏｒｙ）やＲＡＭ（Ｒａｎｄｕｍ Ａｃ
ｃｅｓｓ Ｍｅｍｏｒｙ）、ＥＥＰＲＯＭ（Ｅｌｅｃｔ
ｒｉｃ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍａｂｌｅ
Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）などを有する。Ｒ
ＯＭは、記憶情報を変更できないメモリであり、主にプ
ログラムを格納するメモリである。ＲＡＭは自由に書き
換えができるメモリであるが、電源の供給が中断される
と、記憶している内容は消滅する。ＩＣカ−ドがリ−ダ
ライタから抜かれると電源の供給が中断されるため、Ｒ
ＡＭの内容は、保持されなくなる。ＥＥＰＲＯＭは、電
源の供給が中断されてもその内容を保持することができ
るメモリである。このＥＥＰＲＯＭは記憶情報を書き換
える必要があり、ＩＣカ−ドがリ−ダライタから抜かれ
ても、保持が可能なデ−タを格納するために使われる。
例えば、プリペイドカ−ドでのプリペイドの度数など
は、使用するたびに書き換えられ、かつリ−ダライタか
抜かれてもデ−タを保持する必要があるため、ＥＥＰＲ
ＯＭに保持される。

【０００６】ＩＣカ−ドは、プログラムや重要な情報が
ＩＣカ−ド用チップの中に密閉されているため、重要な
情報を格納したり、カ−ドの中で暗号処理を行うために
用いられる。従来、ＩＣカ−ドでの暗号を解読する難し
さは、暗号アルゴリズムの解読の困難さと同じと考えら
れていた。しかし、ＩＣカ−ドが暗号処理を行っている
時の消費電流を観測し、解析することにより、暗号アル
ゴリズムの解読より容易に暗号処理の内容や暗号鍵が推
定される可能性が示唆されている。消費電流は、リ−ダ
ライタから供給されている電流を測定することにより観
測することができ、この攻撃法の詳細は、例えば、Ｊｏ
ｈｎ Ｗｉｌｅｙ ＆ Ｓｏｎｓ社、Ｗ． Ｒａｎｋｌ
ｅ ＆ Ｗ． Ｆｆｆｉｎｇ著 「ＳＭＡＲＴ ＣＡＲ
Ｄ ＨＡＮＤＢＯＯＫ」の８.５.１.１ Ｐａｓｓｉｖｅ
Ｐｒｏｔｅｃｔｉｖｅ Ｍｅｃｈａｎｉｓｍｓ（２６
３ペ−ジ）にこのような危険性が記載されている。それ
は次のような理由による。 ＩＣカ−ド用チップを構成
しているＣＭＯＳは、出力状態が１から０あるいは０か
ら１に変わった時に電流を消費する。特に、デ−タバス
２０３においては、バスドライバ−の電流や、配線及
び、配線に接続されているトランジスタの静電容量のた
め、バスの値が１から０あるいは０から１に変わると、
大きな電流が流れる。そのため、消費電流を観測すれ
ば、ＩＣカ−ド用チップの中で、何が動作しているか分
かる可能性を示唆している。

【０００７】図３は、ＩＣカ−ド用チップの１サイクル
での消費電流の波形を示したものである。処理している
デ−タに依存して、電流波形が３０１や３０２のように
異なる。このような差は、バス２０３を流れるデ−タや
中央演算装置２０１で処理しているデ−タに依存して生
じる。

【０００８】16ビットのプリチャージバスにデータを転
送する場合を考える。プリチャージバスは、データ転送
の前に全てのビットを”０”にそろえるバスである。こ
のバスに、値は違うが、”１”のビットの数が同じデー
タ、たとえば、”１”のビットの数が２である16進数
の”８８”と”１１”を転送した場合、電流波形はほぼ
同じ波形になる。この理由は、”０”から”１”へ変化
したビットの数が同じであるため、同じように電流を消
費し、同じ電流波形になったからである。もし、”１”
のビットの数が１つ異なるデータ、たとえば”１”のビ
ットの数が３である”８９”や”１９”を転送した場
合、”１”のビットの数が２のデータとは消費電流波形
が異なる。これは、３ビット分のバスの値が”０”か
ら”１”に変化したため、その分の電流が消費される。
そのため、先の２ビットが変化したデータに比べて、消
費電流が１ビット分大きくなる。一般に、”１”のビッ
トの数が多いほど、電流波形は高くなると言う規則性が
ある。この規則性から、転送されるデータを推定するこ
とができる。

【０００９】具体的な命令でどのように差が出るかを、
次のような左シフト命令を例にして説明する。 ｌｏｇｉｃａｌ＿ｓｈｉｆｔｌ Ｒ１ （式１） この命令は、レジスタ１の内容を左シフトし、最上位ビ
ットの値をコンディションコードレジスタのキャリーフ
ラグに入れる命令である。レジスタＲ１の最上位ビット
が内部バスを経由してコンディションコードレジスタに
転送されるため、電流波形の大きさを比較すれば、最上
位ビットの”０”と”１”が識別できる可能性がある。
もしＲ１に重要なデータが入っていれば、そのデータの
1ビットが”０”であるか”１”であるかが分かる可能
性がある。特にＤＥＳのような暗号処理では、暗号鍵を
シフトする操作が頻発する。このシフト操作の時に暗号
鍵のデータを推定できる電流波形が生じ、暗号鍵を推定
される危険性がある。

【００１０】これは、コ・プロセッサ２０２の演算でも
同じである。演算内容が暗号鍵に依存した偏りがある
と、その偏りが消費電流から求められ、暗号鍵が推定さ
れる可能性がある。

【００１１】特願平10-354156号の「情報処理装置、端
タンパ処理装置」では、この課題を解決する方法とし
て、撹乱用データで処理データを変形し、変形されたデ
ータを処理し、処理結果を撹乱用データを用いて逆変換
することにより、処理中の消費電流とデータの関連性を
減らすことで解決しようとしている。

【００１２】次の命令列を例として、問題点を説明す
る。 ｌｏｇｉｃａｌ＿ｒｏｔａｔｅｌ Ｒ１ （式２） ｘｏｒ Ｒ１ Ｒ２ （式３） （式２）では、レジスタＲ１の値を左に論理ローテート
し、レジスタＲ１に格納する。（式３）では、レジスタ
Ｒ２とＲ１の排他的論理和を取り、Ｒ２に格納する。
（式２）と（式３）では、処理するデータをそのまま扱
っているので、データの内容によって消費電流波形の大
きさが変わり、電流波形を観測することによって、デー
タが推定できる。特開平10-354156号では、問題を解決
するために、勝手に選んだ乱数Ｘ１、Ｘ２を撹乱用デー
タとして用い、以下に示すように（式４）、（式５）で
Ｒ１、Ｒ２に格納されたデータを変形し、（式６）、
（式７）で変形データを処理し、Ｒ２に格納する。（式
８）、（式９）で逆変形するための準備計算を行い、
（式１０）でＲ２に格納された処理済変形データを逆変
形し、（式２）（式３）で得られるものと同じ値がＲ２
に格納される。 ｘｏｒ Ｘ１ Ｒ１ （式４） ｘｏｒ Ｘ２ Ｒ２ （式５） ｌｏｇｉｃａｌ＿ｒｏｔｅｔｅｌ Ｒ１ （式６） ｘｏｒ Ｒ１ Ｒ２ （式７） ｌｏｇｉｃａｌ＿ｒｏｔｅｔｅｌ Ｘ１ （式８） ｘｏｒ Ｘ１ Ｘ２ （式９） ｘｏｒ Ｘ２ Ｒ２ （式１０） ここで問題となるのは、特開平10-354156号では、デー
タのハミングウエイトが直接観測されないように、撹乱
用データを使っていた。しかし、撹乱用データはある確
率でハミングウエイトが０や８（特別な値）になる。も
し、撹乱用データがそのような特別のハミングウエイト
を持つと、実際の処理データのハミングウエイトが直接
観測できることになる。本発明では、撹乱用データのハ
ミングウエイトを０や８などの特別な値に成ることを防
ぐものである。

【００１３】具体的には、（式４）、（式５）を計算す
る際に、Ｘ１、Ｘ２の値に依存した消費電流の差が観測
可能であり、Ｘ１、Ｘ２のハミングウエイトが推定でき
る。たとえば、Ｘ１、Ｘ２のハミングウエイトと消費電
流が比例するプロセッサの場合、ハミングウエイトが０
となる場合を検出できる。同様に、ｘｏｒ演算でのビッ
トがする反転数と消費電流が比例する場合においても、
反転するビット数は、Ｘ１、Ｘ２のハミングウエイトと
等しい。ハミングウエイトが０となる値は０以外にはあ
りえないため、消費電流を観測することで、撹乱用デー
タが０となる場合の測定データのみを識別することが出
来る。上記の撹乱方式では、（式６）（式７）の計算に
際して、（式２）（式３）と同じ電流波形が観測される
ことなり、アタックが可能となる。

【００１４】

【発明が解決しようとしている課題】本願発明は、高い
セキュリティを持つカ−ド部材などの耐タンパ−情報処
理装置を提供するものである。

【００１５】本願発明の技術的な課題は、カ−ド部材、
例えばＩＣカ−ド用チップでのデ−タ処理と消費電流と
の関連性を減らすことである。消費電流とチップの処理
との関連性が減れば、観測した消費電流の波形からＩＣ
カ−ド用チップ内での処理や暗号鍵を推測することが困
難になる。即ち、本願発明は、カード部材等に高いセキ
ュリティを持たせんとするものである。

【００１６】

【課題を解決するための手段】本願発明の着眼点は、Ｉ
Ｃカード用チップで消費される電流値と、処理されてい
るデータの関連性を減らすための方法として、処理する
データを撹乱用データで変形し、データの処理を変形し
たデータで処理し、処理後に撹乱用データを用いて逆変
換し、正しい処理結果を求めるものである。さらに、撹
乱用データと消費電流の関連性を減らすために、撹乱用
データとして、データを変形する際に用いる撹乱用デー
タのバイナリ表現した際のハミングウエイトが常に一定
値となりかつ各ビットが”０”と”１”のどちらの値を
とるのかの確率が0.5となる。且つ、逆変換する際に用
いる撹乱用データのバイナリ表現もまたハミングウエイ
トが一定となり、各ビットが”０”と”１”のどちらの
値をとるのかの確率が0.5であるような撹乱用データを
生成することにより、撹乱用データを用いた処理の消費
電流と撹乱データの関連性を減らし、撹乱用データを消
費電流から推定した後に、変形したデータを消費電流か
ら推定し、推定された撹乱用データと変形したデータか
ら、元の処理データを推定するアタックを困難にする。
尚、ここで、ハミングウエイトとは、二進数における
“１”の数を意味する。

【００１７】さらに、撹乱用データを撹乱用データの生
成方法として、あらかじめ撹乱データとして用いること
の出来る値を複数生成し、格納しておくことにより、撹
乱用データを生成する際に撹乱用データを生成する際の
消費電流と撹乱用データの関連性を減らし、撹乱用デー
タを推定することを困難にする。

【００１８】

【発明の実施の形態】以下、本発明の実施例に付いて図
面を参照しながら説明する。

【００１９】図１はICカードの概観を示したものであ
る。ICカード１０１は、ISO７８１６の規格により、大
きさや、ICカードのチップ１０２の位置や接点の数およ
び割り当てなどが規定されている。

【００２０】図２はICカードチップ１０２の内部構成で
ある。構成に付いては、従来技術の説明で既に述べた通
りである。本発明は、プログラム２０５で処理するデー
タに撹乱を加えることにより、処理中に生じるICカード
用チップのハードウエアが消費する電流波形から、本物
のデータの推定を困難にさせるものである。

【００２１】従来の技術で説明したように、データをそ
のまま処理した場合、消費電流を測定することにより、
データを推定することが可能である。また、処理される
データを撹乱用のデータを用いて変形し、変形したデー
タに対して処理を行い、選られた処理結果を撹乱用に用
いたデータもしくは撹乱用に用いたデータを処理した値
を用いて逆変形を行い、本物の処理後データと等しい値
を得ることにより、処理中に消費される電流値とデータ
との間の相関を減らし、消費電流の測定からデータを推
定することを困難にする従来技術では、撹乱に用いるデ
ータについて制限を設けていないため、撹乱用データが
処理させる際の消費電流値により、撹乱用データを推定
し、測定データを分類することで、なおアタックが可能
である。

【００２２】例えば、XORを撹乱用の関数として用いた
場合、撹乱用データの全ビットが１の場合や全ビットが
０の場合などは、消費電流により識別可能であり、また
識別率が１００％でない場合でも、多くの測定サンプル
の平均値を計算することにより、識別誤りの影響をデー
タの推定には影響が無くなるようにすることが出来る。

【００２３】尚、前記処理の例は、例えば、ローテー
ト、シフト、ビット位置置換、拡大ビット位置置換など
の処理をあげる事が出来る。

【００２４】そこで、撹乱用データのハミングウエイト
が撹乱用データのビット長の半分に等しくなり、かつ撹
乱用データのそれぞれのビット位置での０と１の出現確
率が0.5となるように撹乱用データを生成することで、
撹乱用データが処理される際の消費電流より、撹乱用デ
ータが容易に特定できなくなる。

【００２５】入力データをＤ１、処理を関数ｆ、出力デ
ータをＤ２とするとき、 Ｄ２＝ｆ（Ｄ１） （式１１） となる。処理ｆの電流波形を測定することで、Ｄ１が推
定可能とする。ここで、撹乱用データＸ１ｉを用いて、
Ｄ１を撹乱する変形関数ｈと、ｈの逆変換を行うｇとい
う変換関数があり、次の（式１２）もしくは（式１３）
の関係を満たす場合、（式１１）の代わりに（式１２）
もしくは（式１３）を計算することで、（式１１）相当
の処理を行う。

【００２６】（式１２）もしくは（式１３）のいずれが
使用できるのかは、関数ｆ、関数ｈの性質に依存する。
（式１２）を満たす、関数ｆ、関数ｈの例としては、関
数ｆがローテート、シフト、ビット位置置換などの処理
（式１４）であり、関数ｈがｘｏｒ（式１５）の場合が
例としてあげられる。その場合は、関数ｇもまた、ｘｏ
ｒ（式１６）となる。

【００２７】一方、（式１３）を満たす、関数ｆ、関数
ｈの例としては、関数ｆが加減算で、関数ｈも加減算の
場合、関数ｆが乗除算で、関数ｈも乗除算の場合が例と
して上げられる。（式１２）や（式１３）においても、
処理ｆの電流波形を測定することで、ｈ（Ｄ１、Ｘ１
ｉ）の値は推定可能であるが、Ｘ１ｉが推定できない
と、Ｄ１を復元することはできない。 ｆ（Ｄ１）＝ｇ（ｆ（ｈ（Ｄ１、Ｘ１ｉ））、ｆ（Ｘ１ｉ））（式１２） ｆ（Ｄ１）＝ｇ（ｆ（ｈ（Ｄ１、Ｘ１ｉ））、Ｘ１ｉ） （式１３） ｈ（ｘ、ｙ）＝ｘ ｘｏｒ ｙ （式１４） ｆ（ｘ）＝ｒｏｔａｔｅ＿ｒｉｇｈｔ（ｘ） （式１５） ｇ（ｘ、ｙ）＝ｘ ｘｏｒ ｙ （式１６） ところが、Ｘ１ｉが値が特定の値Ｃになった場合に、外
部からの観測で識別可能で、変形関数ｈが既知である場
合、ｈ（Ｄ１、Ｃ）の値から、ｈの逆関数を取ること
で、Ｄ１を復元出来る。外部からの電流測定により識別
が容易なＸ１ｉとしては、すべてのビットが０である場
合や、すべてのビットが１の場合などが有る。というの
は、ハミングウエイトが０となるデータは０以外には存
在せず、同様にすべてのビットが１となる場合のハミン
グウエイトと等しいハミングウエイトを与える値は、す
べてのビットが１となるもの以外にはないからである。
関数ｈとして、ｘｏｒを用いた場合、Ｘ１ｉが０となっ
た場合、ｈ（Ｄ１、０）が即Ｄ１の値と等しくなる。値
のバラエティーが最も多いハミングウエイトは、データ
のビット長の半分のハミングウエイトである。

【００２８】図４は、１個の撹乱用データを用いた実施
例である。本実施例の特徴は、撹乱用データのハミング
ウエイトを与えることによって、撹乱用データの各ビッ
トがオール０になったり、オール１になったりすること
により、データが推定されることを防ぐものである。デ
ータ変形処理手段（４０２）で入力データＤ１（４０
１）を撹乱用データX1i（４０３）を用いて変形し、変
形データＨ２（４０４）を生成し、変形データ処理手段
（４０５）にて、変形データＨ１（４０４）を処理し、
変形データＨ２（４０６）を得る。データ逆変換処理手
段（４０７）で、変形データＨ２（４０７）を変形済み
撹乱用データＸ１ｏ（４０８）を用いて逆変換し、処理
済データＤ２（４０９）を得る。ここで、撹乱用データ
Ｘ１ｉ（４０３）と変形済み撹乱用データＸ１ｏ（４０
８）は、ともにハミングウエイトが一定の値である。

【００２９】この実施例は、請求項１に対応する実施例
である。撹乱用データＸ１ｉ（４０３）と、変形済み撹
乱用データＸ１ｏ（４０８）を作成する方法には幾つか
の方法が有る。

【００３０】図５は、ハミングウエイト一定の撹乱用デ
ータＸ１ｉ（５０２）およびハミングウエイト一定の処
理済撹乱データＸ１ｏ（５０４）を生成する一実施例で
ある。ハミングウエイト一定乱数生成手順（５０１）に
より、ハミングウエイト一定の乱数を生成し、第１撹乱
用データＸ１ｉ（５０２）とし、撹乱用データ処理手段
（５０３）で第１撹乱用データＸ１ｉ（５０２）を処理
し、処理済撹乱用データＸ１ｏ（５０４）を得る。ハミ
ングウエイト検査手段（５０５）により、処理済撹乱用
データＸ１ｏ（５０４）のハミングウエイトが検査さ
れ、所定のハミングウエイトと異なる場合は、ハミング
ウエイト一定の乱数生成手段（５０１）に対して再生成
制御信号を送り、撹乱用データＸ１ｉ（５０２）の生成
からやりなおす。これは、請求項２の実施例である。前
記ハミングウエイト検査は、具体的には多くはＣＰＵで
実行される。ハミングウエイト一定の乱数生成手段（５
０１）はＣＰＵあるいはその生成手段（Ｇｅｎｅｒａｒ
ｔｏｒ）がその役割を果たす。

【００３１】ハミングウエイト一定乱数生成の方法はい
くつか存在する。図６は、ハミングウエイト一定の乱数
の生成方法の１実施例で、請求項６の実施例でもある。
ここでは、発生したい乱数のビット数を２ｎビットとす
る。まずｎビット乱数発生手段（６０１）によりｎビッ
ト乱数（６０２）を生成する。このｎビット乱数発生手
段（６０１）は、疑似乱数でもよいし、物理現象を測定
して選られる真の乱数であってもよい。つぎにビット反
転処理手段（６０３）を用いて、発生したｎビット乱数
（６０２）を反転し、反転ｎビット乱数（６０４）を生
成する。つぎに、データ統合手段（６０５）にて、ｎビ
ット乱数（６０２）と反転ｎビット乱数（６０４）を結
合して、ハミングウエイト一定２ｎビット乱数（６０
６）を生成する。ｎビット乱数（６０２）の各ビットの
うち、値が１であるビット数をｎ１個、０であるビット
数をｎ２個とすると、 ｎ１＋ｎ２＝ｎ （式１７） であり、反転ｎビット乱数（６０４）はｎビット乱数
（６０２）の反転値であるので、値が１であるビットの
数はｎ２個、０であるビット数がｎ１個となる。従っ
て、ｎビット乱数（６０２）と反転ｎビット乱数（６０
４）を結合して作成した乱数のハミングウエイトは、ｎ
１＋ｎ２となり、（式１７）に示されるように、ここで
生成される乱数のハミングウエイトは、常にｎビットと
なる。

【００３２】図７はハミングウエイト一定乱数生成の別
の実施例で、請求項７の実施例である。目標のハミング
ウエイトＨを受け取り（７０２）、乱数Ｒを発生させる
（７０３）。乱数ＲのハミングウエイトＲＨを計算し
（７０４）、発生させた乱数ＲのハミングウエイトＲＨ
が目標のハミングウエイトＨと等しいか比較し、等しく
ない場合は、乱数Ｒ発生（７０３）からやり直す。乱数
Ｒのハミングウエイトと、目標のハミングウエイトＨが
等しい場合は、乱数Ｒを結果として返し（７０６）、処
理を終了する（７０７）。

【００３３】図１０は、ハミングウエイト一定乱数生成
の別の実施例で、請求項８の実施例である。予め、ｍビ
ット長のデータで、ハミングウエイトが一定であるデー
タを収めたテーブルを用意しておく。発生できるハミン
グウエイト一定の乱数は、ｍの倍数ビット長にかぎられ
る。まず、発生したい乱数のビット長をｎに設定し（１
００２）、Ｌにｎをｍで割った値を代入する（１００
４）。処理の基本的な流れは、ｍビット長のハミングウ
エイト一定の乱数をＬ個生成し結合することで、ｎビッ
ト長のハミングウエイト一定の乱数を生成する。つぎ
に、ハミングウエイト一定の乱数の生成結果を収めるＤ
を０に初期化する（１００４）。乱数Ｒを生成し、乱数
Ｒをインデックスとして、あらかじめハミングウエイト
が一定であるデータを収めたテーブルから値を１つ取り
出し、ｄに代入する（１００６）。Ｄをｍビット分左シ
フトし、ｄを加える（１００７）。乱数Ｒ発生（１００
５）からＤをｍビット分左シフトし、ｄを加える処理
（１００７）までを、Ｌ回繰り返し（１００８）、Ｄを
結果として返す（１００９）。

【００３４】図８は、決められたビット長（MaxBit）の
データで、ハミングウエイトがHammingビット（一定の
ハミングウエイト）となるデータをすべてリストアップ
し、datという配列に入れるための処理手順の実施例で
ある。dat配列の大きさは、（MaxBitの階乗）／｛（Ham
mingの階乗）＾２｝になる。尚、ここで、ｄａｔ配列と
は、ハミングウエイトが一定のデータを格納するための
配列である。たとえば、８ビット長のデータで、ハミン
グウエイトが４ビットとなるようなデータは、７０個に
なる。基本的な考え方は、Hamming個の１となるビット
位置を格納する配列を用意し、その配列におさめられた
ビット位置が重ならないように１となるビット位置を変
えて行くことで、すべての組み合わせを見つけ出すとい
うものである。まず、ハミングウエイトをHammingに代
入する（８０２）。つぎに生成したいデータのビット長
をMaxBitに代入する（８０３）。次にHamming個の要素
を持つ、１となるビットの位置を格納するpos配列を０
からHamming-1までの値で初期化する（８０４）。結果
を格納するためのdat配列へのインデックスnumを０に初
期化する（８０５）。尚、ここで、ｎｕｍは配列ｄａｔ
のインデックス値で、処理（８０６）で生成される値を
格納するインデックスの位置を示す。まず、pos配列に
収められたビット位置から、データを計算し、dat配列
のインデックスがnumの位置に収める（８０６）。イン
デックスnumに１を加える（８０７）。更新するビット
位置を決めるインデックスｂを０に初期化する（８０
８）。ｂが一番上位に位置するビットにたどり着いてい
るかチェックし（８０９）、たどり着いていなければ、
処理８０１に、たどり着いていれば、処理８１２に分岐
する。処理８０１では、１ビット上位がすでに１になっ
ているかチェックし、すでに１があれば、処理８１２に
飛び、１がなければ、処理８１１へ移行する。処理８１
１では、ビットの位置を１ビット分上位方向に進め、処
理８０６に移る。処理８１２では、現在注目しているビ
ットが、１となっているビットのうちの最上位のビット
かどうかをチェックし、最上位であった場合には、処理
８１３に進み、それ以外の場合は処理８１４に進む。処
理８１３では、１ビット上位にビット移動できるかチェ
ックし、移動できる場合は、８１１に飛び、移動できな
い場合は、処理８１４に飛ぶ。処理８１４では、現在注
目しているビットが値が１となっているうちの最下位の
ビットかどうかをチェックし、最下位のビットであれば
処理８１５に飛び、最下位ではない場合は処理８１６に
飛ぶ。処理８１６では、下位側のビットのうち、１にな
っているビットで一番近くにあるビットから数えて、１
ビット分上位ビットの位置に移動させる。処理８１５で
は、最下位にビットを移動させ、処理８１７に移る。処
理８１７では、注目するビットを１つ分、上位方向に位
置するビットに移す。処理８１８では、全部の組み合わ
せについて処理が終了したかをチェックし、まだ終わっ
ていなければ、処理８０６に飛び、すべての組み合わせ
に付いて処理が終わっていれば、終了する（８１９）。
結果は、dat配列に格納され、dat配列に格納されたデー
タの個数は、numに設定される。

【００３５】図１１は、撹乱用データＸ１ｉ（１１０
３）、変形済み撹乱用データＸ１ｏ（１１０５）を生成
する一実施例で、請求項３の実施例である。予め撹乱用
データＸ１ｉとして使用可能なデータを格納した撹乱用
データ格納手段（１１０２）より、撹乱用データ選択手
段（１１０１）がデータを選択し、撹乱用データＸ１ｉ
（１１０３）とする。選択された撹乱用データＸ１ｉ
（１１０３）を撹乱用データ処理手段（１１０４）によ
り処理し、変形済み撹乱用データＸ１ｏ（１１０５）を
生成する。撹乱用データ格納手段は通例、例えばＲＡＭ
あるいはレジスタなどが、又撹乱用データ処理手段は通
例、例えばＣＰＵあるいはＡＬＵなどが用いられる。図
９は、撹乱用データ格納手段（１１０２）に格納するた
めの、撹乱用データを予め選択する方法の一実施例であ
る。

【００３６】図９の実施例は、図８の実施例と同様の手
順で、ハミングウエイト一定のデータをリストアップし
ている。図８の実施例との違いは、リストアップされた
データをそのまま使用するのではなく、さらに撹乱用デ
ータ処理手段で処理し、処理結果のハミングウエイトを
計算してhxdatに代入し（９０７）、ｈｘｄａｔの値も
ハミングウエイト一定となることをチェックし（９０
８）、一定の場合だけ、dat配列に格納するようにして
いる点である。その他の処理に付いては、図８と同一で
ある。

【００３７】図１２は、撹乱用データＸ１ｉ（１２０
３）、変形済み撹乱用データＸ１ｏ（１２０４）を生成
する一実施例で、請求項４の実施例である。予め、図９
の実施例や図５の実施例などの方法で、撹乱用データお
よび処理済撹乱用データ格納手段（１２０１）に撹乱用
データおよび処理済撹乱用データの組を複数組格納し、
撹乱用データおよび処理済撹乱用データ選択手段（１２
０２）により、撹乱用データおよび処理済撹乱用データ
格納手段（１２０１）から、撹乱用データＸ１ｉ（１２
０３）及び処理済撹乱用データＸ１ｏ（１２０４）を取
り出す。図５５に図１２に対応するテーブルの例を示
す。これはデータ処理が、左ローテートの場合で、前記
撹乱用データおよび処理済撹乱用データ格納手段（１２
０１）に格納されたデータＸ１ｉ、Ｘ１ｏを例示する。

【００３８】また、撹乱用データおよび処理済撹乱用デ
ータ格納手段（１２０１）に格納するデータの個数を偶
数にし、格納するデータを適切に選択することで、請求
項５の実施例となる。請求項５の実施例としては、最低
限２組のデータがあればよい。

【００３９】図１３は、データ処理がテーブルルックア
ップで定義された処理を、２個の撹乱用データを用いて
撹乱する実施例で、請求項９の一実施例である。入力デ
ータＤ１（１３０１）を用いて、表を引き、処理済デー
タＤ２（１３１０）得る。表をＴａｂｌｅとすると、Ｄ
１とＤ２の関係は、（式１９）のようになる。 Ｄ２＝Ｔａｂｌｅ[Ｄ１] （式１９） この表引き処理を行う際の電流を測定すると、Ｄ１やＤ
２の値が推定できる。そこで、第１撹乱用データＸ１ｉ
と第２撹乱用データＸ２ｉと、表のインデックスと出力
結果を変形する関数ｆと関数ｇを考え、変形済みの表Ｘ
Ｔａｂｌｅを（式２０）のように定義する。 ＸＴａｂｌｅ[ｆ（ｉ、Ｘ１ｉ）] ＝ｇ（Ｔａｂｌｅ[ｉ]、Ｘ２ｉ） （式２０） また、ｇの逆関数をｈと定義する。 Ｄ＝ｈ（ｇ（Ｄ、Ｘ）、Ｘ） （式２２） すると、表引き処理は、 Ｈ１＝ｆ（Ｄ１、Ｘ１ｉ） （式２３） Ｈ２＝ＸＴａｂｌｅ[Ｈ１] （式２４） Ｄ２＝ｈ（Ｈ２、Ｘ２ｉ） （式２５） となる。関数ｆ（ｘ、ｙ）は、ｘの値が異なる場合に、
必ず異なる値になる必要がある。一方、関数ｇ、関数ｈ
は、（式２６）の関係を満たす必要がある。 ａ＝ｈ（ｇ（ａ、Ｘ）、Ｘ） （式２６） ここで、（式２４）の処理の消費電流によりＨ１もしく
はＨ２が推定されても、それぞれＸ１ｉ、Ｘ２ｉにより
撹乱されているため、（式２４）の測定結果だけでは、
Ｄ１、Ｄ２の値を推定することは出来ない。図１３で
は、（式２３）にあたる処理が、第１撹乱用データＸ１
ｉ（１３０３）を用いて、入力データＤ１（１３０１）
をデータ変形処理手段（１３０２）で処理し、変形デー
タＨ１（１３０４）を得る処理に相当する。また、（式
２４）に当たる処理は、変形データＨ１（１３０４）を
インデックスとして、変形済み表（１３０６）を表引き
する変形済み表アクセス手段（１３０５）を用いて、変
形データＨ２（１３０７）を得る処理に相当する。（式
２５）に相当する処理は、変形データＨ２（１３０７）
を第２撹乱用データＸ２ｉ（１３０９）を用いてデータ
逆変形処理手段（１３０８）を用いて逆変形し、処理済
データＤ２（１３０１）を得る処理に相当する。

【００４０】図１４は、図１３の実施例で用いる、第１
撹乱用データＸ１ｉ（１４０３）および第２撹乱用デー
タＸ２ｉ（１４０４）および変形済み表（１４０７）を
作成するための一実施例で、請求項１０の一実施例であ
る。第１ハミングウエイト一定乱数生成手段（１４０
１）により、第１撹乱用データＸ１ｉ（１４０３）を生
成し、第２ハミングウエイト一定乱数生成手段（１４０
２）により、第２撹乱用データＸ２ｉ（１４０４）を生
成し、表格納手段（１４０５）に格納された、（式１
９）を満たす表と、第１撹乱用データＸ１ｉ（１４０
３）と、第２撹乱用データＸ２ｉ（１４０４）から、表
変形手段（１４０６）により（式２０）を満たす変換が
行なわれ、変形済み表（１４０７）を生成する。第１ハ
ミングウエイト一定乱数生成手段（１４０１）および第
２撹乱用データＸ２ｉ（１４０４）には、請求項６、請
求項７、請求項８のいずれかのハミングウエイト一定乱
数生成手段を用いることが出来る。

【００４１】図１５は、図１３の実施例で用いる、第１
撹乱用データＸ１ｉ（１５０５）および第２撹乱用デー
タＸ２ｉ（１５０６）および変形済み表（１５０９）を
作成するための一実施例で、請求項１１の一実施例であ
る。予めハミングウエイト一定のデータが複数個格納さ
れた、第１撹乱用データ格納手段（１５０１）と、第１
撹乱用データ格納手段（１５０１）から値を１つ選択し
て取り出し、第１撹乱用データＸ１ｉ（１５０５）とす
るための第１撹乱用データ選択手段（１５０３）と、第
２撹乱用データ格納手段（１５０２）から値を１つ選択
して取り出し、第２撹乱用データＸ２ｉ（１５０６）と
するための第１撹乱用データ選択手段（１５０４）と、
表格納手段（１５０７）に格納された、（式１９）を満
たす表と、第１撹乱用データＸ１ｉ（１５０５）と、第
２撹乱用データＸ２ｉ（１５０６）から、表変形手段
（１５０８）により（式２０）を満たす変換が行なわ
れ、変形済み表（１４０７）が生成される。

【００４２】図５６に第１撹乱用データ格納手段（１５
０１）に格納された第１撹乱用データ、及び第２撹乱用
データ格納手段（１５０２）に格納された第２撹乱用デ
ータの例を示す。図５７に、表格納手段（１５０７）に
格納された表のを例示する。この例は、第１撹乱用デー
タがＯｘ１ｃ７１ｃ７１ｃ７１ｃ７、第１撹乱用データ
がＯｘ５５５５５５５５が選択された例である。

【００４３】図１６は、図１３の実施例で用いる、第１
撹乱用データＸ１ｉ（１６０３）および第２撹乱用デー
タＸ２ｉ（１６０４）および変形済み表（１６０５）を
作成するための一実施例で、請求項１２の一実施例であ
る。予め第１撹乱用データＸ１ｉに成り得るハミングウ
エイト一定の値と、第２撹乱用データＸ２ｉに成り得る
ハミングウエイト一定のデータと、さらにそれらの組を
用いて変形処理が行われた変形済み表が複数組が格納さ
れた、第１撹乱用データ、第２撹乱用データ及び変形済
み表格納手段（１６０２）から、第１撹乱用データ、第
２撹乱用データ及び変形済み表選択手段（１６０１）に
より、第１撹乱用データＸ１ｉ、第２撹乱用データ及び
変形済み表の組が１つ選択して取り出され、第１撹乱用
データＸ１ｉ（１６０３）、第２撹乱用データＸ２ｉ
（１６０４）、変形済み表（１６０５）として選択され
る。図５８に図１６に対応する第１撹乱用データ、第２
撹乱用データ及び変形済み表のテ−ブルの例を示す。第
１撹乱用データ、第２撹乱用データ及び変形済み表格納
手段（１６０２）には、このような表を複数セット有し
ている。

【００４４】図１７は、データ処理がテーブルルックア
ップとそれに引き続く１つの処理で定義された処理を、
２個の撹乱用データを用いて撹乱する実施例で、請求項
１３の一実施例である。入力データＤ１（１７０１）を
用いて、表を引き、処理ｐを行い、処理済データＤ２
（１７１２）得る。表をＴａｂｌｅとすると、Ｄ１とＤ
２の関係は、（式２５）のようになる。 Ｄ２＝ｐ（Ｔａｂｌｅ[Ｄ１]） （式２７） この表引き処理を行う際の電流を測定すると、Ｄ１やＤ
２の値が推定できる。そこで、第１撹乱用データＸ１ｉ
と第２撹乱用データＸ２ｉと、表のインデックスと出力
結果を変形する関数ｆと関数ｇを考え、変形済みの表Ｘ
Ｔａｂｌｅを（式２７）のように定義する。 ＸＴａｂｌｅ[ｆ（ｉ、Ｘ１ｉ）] ＝ｇ（Ｔａｂｌｅ[ｉ]、Ｘ２ｉ） （式２８） また、ｇの逆関数をｈと定義する。 Ｄ＝ｈ（ｇ（Ｄ、Ｘ）、Ｘ） （式２９） Ｘ２ｏを次の様に定義する Ｘ２ｏ＝ｐ（Ｘ２ｉ） （式３０） すると、表引き及び処理ｐは、 Ｈ１＝ｆ（Ｄ１、Ｘ１ｉ） （式３１） Ｈ２＝ＸＴａｂｌｅ[Ｈ１] （式３２） Ｈ３＝ｐ（Ｈ２） （式３３） Ｄ２＝ｈ（Ｈ３、Ｘ２ｏ） （式３４） と表現される。ここで、関数ｆ、関数ｈ、関数ｐは、
（式３５）を満たすものである必要がある。 ａ＝ｈ（ｐ（ｆ（ａ、Ｘ））、ｐ（Ｘ）） （式３５） この様な条件を満たす関数ｆ、関数ｈ、関数ｐの組み合わせには、 ｆ（ｘ、ｙ）＝ｘ ｘｏｒ ｙ （式３６） ｐ（ｘ） ＝右ローテーション（ｘ） ｈ（ｘ、ｙ）＝ｘ ｘｏｒ ｙ などがある。

【００４５】ここで、（式３２）の処理を行なう際の消
費電流によりＨ１が推定されても、Ｘ１ｉにより撹乱さ
れているため、（式３２）の測定結果だけでは、Ｄ１の
値を推定することは出来ない。同様に、（式３３）の処
理の消費電流によりＨ３が推定されても、Ｘ２ｉにより
撹乱されているため、（式３３）の測定結果だけでは、
Ｄ２の値を推定することは出来ない。図１７では、（式
３１）にあたる処理は、第１撹乱用データＸ１ｉ（１７
０３）を用いて、入力データＤ１（１７０１）をデータ
変形処理手段（１７０２）で処理し、変形データＨ１
（１７０４）を得る処理に相当する。また、（式３２）
に当たる処理は、変形データＨ１（１７０４）をインデ
ックスとして、変形済み表（１７０６）を表引きする変
形済み表アクセス手段（１７０５）を用いて、変形デー
タＨ２（１７０７）を得る処理に相当する。（式３３）
に相当する処理は、変形データＨ２（１７０７）を変形
済みデータ処理手段（１７０８）により処理し、処理済
変形データＨ３（１７０９）を得る処理に相当する。
（式３４）に相当する処理は、処理済変形データＨ３
（１７０９）を処理済第２撹乱用データＸ２ｏ（１７１
１）を用いてデータ逆変形処理手段（１７１０）により
逆変形し、処理済データＤ２（１７１２）を得る処理に
相当する。

【００４６】図１９は、図１７の実施例で用いる、第１
撹乱用データＸ１ｉ（１９０３）および第２撹乱用デー
タＸ２ｉ（１９０４）および変形済み表（１９０８）お
よび処理済第２撹乱用データＸ２ｏ（１９０９）を作成
するための一実施例で、請求項１４の一実施例である。

【００４７】第１ハミングウエイト一定乱数生成手段
（１９０１）により、第１撹乱用データＸ１ｉ（１９０
３）を生成し、第２ハミングウエイト一定乱数生成手段
（１９０２）により、第２撹乱用データＸ２ｉ（１９０
４）が生成される。撹乱用データ処理手段（１９０７）
により、第２撹乱用データＸ２ｉ（１９０４）が処理さ
れ、処理済第２撹乱用データ（１９０９）が生成され
る。ハミングウエイト検査手段（１９１０）により、処
理済第２撹乱用データ（１９０９）のハミングウエイト
が検査され、不適切な場合は、第２ハミングウエイト一
定乱数生成手段（１９０２）に対して、再生成制御信号
が送られ、第２撹乱用データＸ２ｉ（１９０４）の再生
成が行われる。表格納手段（１９０５）に格納された表
と、第１撹乱用データＸ１ｉ（１９０３）と、第２撹乱
用データＸ２ｉ（１９０４）から、表変形手段（１９０
６）により（式２７）を満たす変換が行なわれ、変形済
み表（１９０８）を生成する。第１ハミングウエイト一
定乱数生成手段（１９０１）および第２撹乱用データＸ
２ｉ（１９０４）には、請求項６、請求項７、請求項８
のいずれかのハミングウエイト一定乱数生成手段を用い
ることが出来る。本実施例の利点は、第１撹乱用デー
タ、第２撹乱用データをその都度生成するため、特に撹
乱用データのビット長が長い場合に、多くのバリエーシ
ョンが期待できる点である。

【００４８】図２０は、図１７の実施例で用いる、第１
撹乱用データＸ１ｉ（２００５）および第２撹乱用デー
タＸ２ｉ（２００６）および変形済み表（２０１０）お
よび処理済第２撹乱用データＸ２ｏ（２０１１）を作成
するための一実施例で、請求項１５の一実施例である。

【００４９】第１撹乱用データ格納手段（２００１）に
格納された、複数の第１撹乱用データ候補から、第１撹
乱用データ選択手段（２００３）によりデータを選択
し、第１撹乱用データＸ１ｉ（２００５）を生成し、第
２撹乱用データ格納手段（２００２）に格納された、複
数の第２撹乱用データ候補から、第２撹乱用データ選択
手段（２００４）によりデータを選択し、第２撹乱用デ
ータＸ２ｉ（２００６）を生成する。撹乱用データ処理
手段（２００９）により、第２撹乱用データＸ２ｉ（２
００６）が処理され、処理済第２撹乱用データ（２０１
１）が生成される。表格納手段（２００７）に格納され
た表と、第１撹乱用データＸ１ｉ（２００５）と、第２
撹乱用データＸ２ｉ（２００６）から、表変形手段（２
００８）により（式２６）を満たす変換が行なわれ、変
形済み表（２０１０）が生成される。本実施例の利点
は、予め第１撹乱用データ、第２撹乱用データの項補が
用意されているため、第１撹乱用データおよび第２撹乱
用データの生成に時間がかからず、かつリーク情報も少
なくて済むことである。

【００５０】図２１は、図１７の実施例で用いる、第１
撹乱用データＸ１ｉ（２１０５）および第２撹乱用デー
タＸ２ｉ（２１０６）および変形済み表（２１１０）お
よび処理済第２撹乱用データＸ２ｏ（２１０７）を作成
するための一実施例で、請求項１６の一実施例である。

【００５１】第１撹乱用データ格納手段（２１０１）に
格納された、複数の第１撹乱用データ候補から、第１撹
乱用データ選択手段（２１０３）によりデータを選択
し、第１撹乱用データＸ１ｉ（２１０５）を生成し、第
２撹乱用データおよび処理済第２撹乱用データ格納手段
（２１０２）に格納された、複数の第２撹乱用データお
よび処理済第２撹乱用データ候補の組から、第２撹乱用
データおよび処理済第２撹乱用データ選択手段（２１０
４）によりデータを選択し、第２撹乱用データＸ２ｉ
（２１０６）をおよび処理済第２撹乱用データＸ２ｏ
（２１０７）を生成する。表格納手段（２１０９）に格
納された表と、第１撹乱用データＸ１ｉ（２１０５）
と、第２撹乱用データＸ２ｉ（２１０６）から、表変形
手段（２１０８）により（式２６）を満たす変換が行な
われ、変形済み表（２１１０）が生成される。本実施例
の利点は、予め第１撹乱用データ、第２撹乱用データお
よび処理済第２撹乱用データの項補が用意されているた
め、第１撹乱用データ、第２撹乱用データおよび処理済
み第２撹乱用データＸ２ｏの生成に時間がかからず、第
２撹乱用データから処理済第２撹乱用データを生成する
処理がなく、その分請求項１５に比べてさらにリーク情
報が少なくて済む。

【００５２】図２２は、図１７の実施例で用いる、第１
撹乱用データＸ１ｉ（２２０３）および処理済第２撹乱
用データＸ２ｉ（２１０４）および変形済み表（２２０
５）を作成するための一実施例で、請求項１７の一実施
例である。

【００５３】第１撹乱用データと処理済第２撹乱用デー
タと変形済み表の組を複数格納した第１撹乱用データ、
処理済第２撹乱用データおよび変換済み表格納手段（２
２０２）より、第１撹乱用データ処理済み第２撹乱用デ
ータおよび変換済み表選択手段（２２０１）により、第
１撹乱用データ処理済み第２撹乱用データおよび変換済
み表を選択し、第１撹乱用データＸ１ｉ（２２０３）お
よび処理済第２撹乱用データＸ２ｉ（２１０４）および
変形済み表（２２０５）とする。本実施例の利点は、表
を変形する処理が不要なため、請求項１６に比べ、さら
にリーク情報が少なくて済む。

【００５４】図２３は、表引きとそれに引き続く１つの
処理からなる一連の処理を複数回繰り返す処理装置にお
いて、表のインデックスと内容を２つの撹乱用データを
用いて処理中に現れる数値を撹乱し、処理を行なう情報
処理装置の１実施例で、請求項１８の１実施例である。

【００５５】複数回繰り返して処理を行なう際に、変形
されているデータを逆変形する際に、まず次の処理のた
めの変形を行なった後に、逆変形を行なうという手順を
取るため、変形されていないデータが途中では現れず、
途中では、２重に変形されているか、１重に変形されて
いるかの違いはあるが、常に途中のデータは変形された
まま処理されるため、リーク情報が少ないのが特徴であ
る。

【００５６】この請求項１８で用いられるデータ変形お
よびデータ逆変形手段は、実行する順番を変えても同じ
値を返す必要がある。データｘを撹乱情報ｙ変形する処
理を関数ｆ（ｘ、ｙ）とし、変形データｘを撹乱情報ｙ
で逆変形する関数をｇ（ｘ、ｙ）とすると、 ｆ（ｇ（ｘ、ｙ１）、ｙ２）＝ｇ（ｆ（ｘ、ｙ２）、ｙ１） （式３７） なる条件を満たす必要がある。

【００５７】実施例中の、第１撹乱用データＸ１ｉ（２
３０３）、変形済み表（２３０６）、変形済み第２撹乱
用データ（２３１３）は、請求項１４、請求項１５、請
求項１６、請求項１７の実施例のいずれかにより生成す
ることが可能である。入力データＤ１（２３０１）を第
１撹乱用データＸ１ｉを用いてデータ変形処理手段（２
３０２）で変形し、変形データＨ１（２３０４）を得
る。変形データＨ１（２３０４）を用いて、変形済み表
（２３０６）を変形済み表アクセス処理手段（２３０
５）により表引き処理を行い、変形データＨ２（２３０
７）を得る。変形済みデータ処理手段（２３０８）に
て、変形データＨ２（２３０７）を処理し、処理済変形
データＨ３（２３０９）を得る。この状態で、Ｈ２は、
第２撹乱用データによる変形を受けた状態にある。さら
に、第１撹乱用データＸ１ｉ（２３０３）を用いて、処
理済変形データＨ３（２３０９）を、データ変形処理手
段（２３１０）で変形し、処理済変形データＨ４（２３
１１）を得る。Ｈ４は、第１撹乱用データと第２撹乱用
データの２つにより変形された状態にある。ここで、変
形済み第２撹乱用データＸ２ｏ（２３１３）を用いて、
データ逆変形処理手段（２３１２）により、処理済変形
データＨ５（２３１４）を得る。Ｈ５は、第２撹乱用デ
ータによる変形が解かれ、第１撹乱用データのみによっ
て変形している状態となり、変形済み表のインデックス
として使用可能である。処理済変形データＨ５（２３１
４）を用いて、変形済み表アクセス処理手段（２３１
５）により、変形済み表（２３０６）の表引きを行い、
処理済変形データＨ６（２３１６）を得る。処理済変形
データＨ６（２３１６）を変形済みデータ処理手段（23
17）で処理し、処理済変形データＨ７（２３１８）を得
る。Ｈ７は、第２撹乱データで変形を受けているため、
最終結果とするために、変形済み第２撹乱データＸ２ｏ
（２３１３）を用いて、逆変形を行い、最終的な結果で
ある、処理済データＤ２（２３２０）を得る。この実施
例は、一連の処理の繰り返し回数は、２回のみである
が、同様の手順で複数回の繰り返しが可能である。

【００５８】図１９は、図２３の実施例で用いる、第１
撹乱用データＸ１ｉ（１９０３）および変形済み表（１
９０８）および処理済第２撹乱用データＸ２ｏ（１９０
９）を作成するための一実施例でもあり、図１９と図２
３をあわせた実施例は、請求項１９の一実施例である。

【００５９】図２０は、図２３の実施例で用いる、第１
撹乱用データＸ１ｉ（２００５）および変形済み表（２
０１０）および処理済第２撹乱用データＸ２ｏ（２０１
１）を作成するための一実施例でもあり、図２０と図２
３をあわせた実施例は、請求項２０の一実施例である。

【００６０】図２１は、図２３の実施例で用いる、第１
撹乱用データＸ１ｉ（２１０５）および変形済み表（２
１１０）および処理済第２撹乱用データＸ２ｏ（２１０
７）を作成するための一実施例でもあり、図２１と図２
３をあわせた実施例は、請求項２１の一実施例である。

【００６１】図２２は、図２３の実施例で用いる、第１
撹乱用データＸ１ｉ（２２０３）および変形済み表（２
２０４）および処理済第２撹乱用データＸ２ｏ（２２０
５）を作成するための一実施例でもあり、図２２と図２
３をあわせた実施例は、請求項２２の一実施例である。

【００６２】図２４は、表引きとそれに引き続く１つの
処理からなる一連の処理を複数回繰り返す処理装置にお
いて、表のインデックスと出力をそれぞれ２つの撹乱用
データで２重に変形し、処理する実施例の一つで、請求
項２３の実施例の一つである。２重に変形することによ
り、消費電流による観測を少ない資源でより強力な撹乱
が行なえるようにする。

【００６３】この実施例で用いられる、４つの撹乱用デ
ータと、前記撹乱用データを用いて第２変形済み表を生
成する方法としては、請求項１９、２０、２１、２２が
ある。たとえば、予めハミングウエイト一定の数値を複
数個用意して選択する実施例の場合、予め用意した数値
のバリエーションが少ない場合、撹乱データを用いてデ
ータを変形する処理が既知の場合、予め用意されている
撹乱用データを全て推定することも可能となる。撹乱用
データを用いて変形する処理がXOR処理であった場合、
元のデータと撹乱用データが同一のデータであった場
合、変形済みのデータは０となることから、予め用意さ
れた撹乱用データのセットを推定することが不可能では
ない。そこで、たとえばハミングウエイトを固定しない
代りに常にビット長で表現できる全ての値を生成した撹
乱用データで変形した後に、ハミングウエイト一定の撹
乱用データを用いてさらに変形を行なうことで、容易に
は撹乱用データの推定ができなくなる。図２４を用い
て、処理の詳細を説明する。

【００６４】入力データＤ１（２４０１）が、第３撹乱
用データＸ３ｉ（２４０３）を用いて、データ変形手段
（２４０２）で変形され、変形データＨ１（２４０４）
が生成される。第３撹乱用データは、表引き処理に用い
られる表のインデックスを変形する２つの撹乱データの
うちの一つで、実際の表引きには、さらに第１撹乱用デ
ータＸ１ｉ（２４０６）で変形する必要がある。その変
形処理を行なうのが、データ変形処理手段（２４０５）
で、変形データＨ１（２４０４）を第１撹乱用データ
（２４０６）を用いて変形し、変形データＨ２（２４０
７）を得る。得られた変形データＨ２（２４０７）をイ
ンデックスとして用い、変形済み表アクセス処理手段
（２４０８）により第２変形済み表（２４０９）を表引
きし、変形データＨ３（２４１０）を得る。変形データ
Ｈ３（２４１０）を処理する変形済みデータ処理手段
（２４１１）で処理し、処理済変形データＨ４（２４１
２）を生成する。第３撹乱用データＸ３ｉ（２４０３）
を用いて、データ変形処理手段（２４１３）により、処
理済変形データＨ４（２４１２）を変形し、処理変形デ
ータＨ５（２４１４）を得て、さらに第１撹乱用データ
Ｘ１ｉ（２４０６）を用いてデータ変形処理手段（２４
１５）で変形し、処理済変形データＨ６（２４１６）を
得る。ここまでで、処理中のデータは、第３撹乱用デー
タＸ３ｉ（２４０３）、第１撹乱用データＸ１ｉ（２４
０６）、および第２変形表（２４０９）に畳み込まれて
いる、処理済第２撹乱用データＸ２ｏ（２４１８）、処
理済第４撹乱用データＸ４ｏ（２４２１）で変形されて
いる状態なので、まずデータ逆変換手順（２４１７）
で、処理済第２撹乱用データＸ２ｏ（２４１８）を用い
て、データの逆変形を行い、処理済変形データＨ７（２
４１９）を生成する。そしてデータ逆変換手順（２４２
０）で、処理済第４撹乱用データＸ４ｏ（２４２１）を
用いて、データの逆変形を行い、処理済変形データＨ８
（２４２２）を生成する。これで、データは第３撹乱用
データＸ３ｉ（２４０３）、第１撹乱用データＸ１ｉ
（２４０６）の２つの撹乱用データで変形されている状
態になるので、第２変形済み表（２４０９）のインデッ
クスとして用いることが出来る。変形済み表アクセス処
理手順（２４２３）で表引きを行い、変形データＨ９
（２４２４）を得て、さらに変形済みデータ処理手順
（２４２５）により、処理済変形データＨ１０（２４２
６）を得る。ここまでで、最終結果を処理済第２撹乱用
データＸ２ｏ（２４１８）、処理済第４撹乱用データＸ
４ｏ（２４２１）で変形されている状態のデータが得ら
れたことになるので、データ逆変換処理手順（２４２
７）により、処理済第２撹乱用データＸ２ｏ（２４１
８）による変形分を逆変形し、さらにデータ逆変換処理
手順（２４２９）により、処理済第４撹乱用データＸ４
ｏ（２４２１）による変形分を逆変形して最終的な結果
Ｄ２（２５３０）を得る。

【００６５】図２６は、図２４すなわち請求項２３の実
施例における、第１撹乱用データＸ１ｉ（２６０２）、
処理済第２撹乱用データＸ２ｏ（２６０６）、第３撹乱
用データＸ３ｉ（２６１２）、処理済第４撹乱用データ
Ｘ４ｏ（２６１８）と、第２処理済表（２６１７）を生
成する方法の１実施例であり、請求項２４の一実施例で
ある。処理手順は、まず図１９の実施例の方法で、第１
撹乱用データＸ１ｉ（２６０２）、処理済第２撹乱用デ
ータＸ２ｏ（２６０６）、および変形済み表（２６１
０）を生成し、生成した変形済み表（２６１０）をさら
に第３撹乱用データ生成手段（２６１１）で生成された
第３撹乱用データＸ３ｉ（２６１２）と、第４撹乱用デ
ータ生成手段（２６１３）で生成された第４撹乱用デー
タＸ４ｉ（２６１４）とを用いて、表変形処理手段（２
６１６）にて変形済み表（２６１０）をさらに変形し
て、第２変形済み表（２６１７）を得る。また、データ
の逆変換時に必要となる、処理済み第４撹乱用データＸ
４ｏ（２６１８）を第４撹乱用データＸ４ｉ（２６１
４）から、撹乱用データ処理手段（２６１５）を用いて
計算しておく。

【００６６】図２７は、図２４すなわち請求項２３の実
施例における、第１撹乱用データＸ１ｉ（２７０３）、
処理済第２撹乱用データＸ２ｏ（２７０７）、第３撹乱
用データＸ３ｉ（２７１２）、処理済第４撹乱用データ
Ｘ４ｏ（２７１８）と、第２処理済表（２７１４）を生
成する別の方法の位置実施例であり請求項２５の一実施
例である。

【００６７】処理手順は、まず図２０の実施例の方法
で、第１撹乱用データＸ１ｉ（２７０３）、処理済第２
撹乱用データＸ２ｏ（２７０６）、および変形済み表
（２７１０）を生成し、生成した変形済み表（２７１
０）をさらに第３撹乱用データ生成手段（２７１１）で
生成された第３撹乱用データＸ３ｉ（２７１２）と、第
４撹乱用データ生成手段（２７１５）で生成された第４
撹乱用データＸ４ｉ（２７１６）とを用いて、表変形処
理手段（２７１３）にて変形済み表（２７１０）をさら
に変形して、第２変形済み表（２７１４）を得る。ま
た、データの逆変換時に必要となる、処理済み第４撹乱
用データＸ４ｏ（２７１８）を第４撹乱用データＸ４ｉ
（２６１６）より、撹乱用データ処理手段（２７１７）
を用いて計算しておく。

【００６８】図２８は、図２４すなわち請求項２３の実
施例における、第１撹乱用データＸ１ｉ（２９０４）、
処理済第２撹乱用データＸ２ｏ（２８０５）、第３撹乱
用データＸ３ｉ（２８０７）、処理済第４撹乱用データ
Ｘ４ｏ（２８０４）と、第２処理済表（２９０９）を生
成する別の方法の位置実施例であり請求項２６の一実施
例である。

【００６９】処理手順は、まず図２１の実施例の方法
で、第１撹乱用データＸ１ｉ（２８０４）、処理済第２
撹乱用データＸ２ｏ（２８０５）、および変形済み表
（２８０３）を生成し、生成した変形済み表（２８０
３）をさらに第３撹乱用データ生成手段（８０６）で生
成された第３撹乱用データＸ３ｉ（２８０７）と、第４
撹乱用データ生成手段（２８１０）で生成された第４撹
乱用データＸ４ｉ（２８１１）とを用いて、表変形処理
手段（２７１３）にて変形済み表（２８０３）をさらに
変形して、第２変形済み表（２８０９）を得る。また、
データの逆変換時に必要となる、処理済み第４撹乱用デ
ータＸ４ｏ（２８１３）を第４撹乱用データＸ４ｉ（２
８１１）より、撹乱用データ処理手段（２８１２）を用
いて計算しておく。

【００７０】図２９、３０、３１、３２、３３、３４、
３５、３６、３７、３８、３９、４５、４６、４７を用
いて、請求項２７の一実施例について説明する。

【００７１】まず、図２９を用いて、ＳＢＯＸ表の変形
処理および撹乱用データについて説明する。ＳＢＯＸ表
のアドレス撹乱用データＳｉｎＸ１（２９０１）とＳＢ
ＯＸデータ撹乱用データＳｏｕｔＸ（２９０２）を用い
て、ＳＢＯＸ表（２９０３）をＳＢＯＸ表変形手段（２
９０４）で変形処理を行い、変形済みＳＢＯＸ表（２９
０５）を得る。ＳＢＯＸ表のアドレスおよびデータの変
形は、ＸＯＲで行なうものとする。また、ＳｏｕｔＸを
転置処理Ｐ（２９０６）、転置処理Ｅ（２９０７）を行
い、転置済みＳＢＯＸデータ撹乱用データＸＳｏｕｔＸ
（２９０９）を生成しておく。ここでの処理を纏める
と、ＳＢＯＸ表をＳＢＯＸ[0..63]、変形ＳＢＯＸ表をX
SBOX[0..63]、転置処理Ｐを関数Ｐ（）、拡大転置処理
Ｅを関数Ｅ（）で表現すると、 ＸＳＢＯＸ［ｉ xor SinX1]=SBOX[i] xor SoutX （式３８） ＸＳｏｕｔＸ＝Ｅ（Ｐ（ＳｏｕｔＸ）） （式３９） となる。ＳｉｎＸ１、ＳｏｕｔＸの作成方法は、請求項
１４、１５、１６、１７のいずれかの方法を用いること
ができる。

【００７２】図４６は、ＳＢＯＸの格納様式の一実施例
である。６４個の３２ビット整数からならる要素を持つ
１次元の配列としてＳＢＯＸを格納する。図４５は、図
４６の様式で格納されたＳＢＯＸを表引きするための処
理の一実施例で、４８ビットの入力を６ビットごとに分
解し、ＳＢＯＸ配列を表引きし、表引きの際に用いた６
ビットの値の位置に応じたマスクで必要なデータを取り
出し、順次加算することで、最終的な表引き結果を得
る。図４５のフローチャートを用いて、処理を順を追っ
て説明する。４５０２で、ｉｎに表引きの入力となる４
８ビットの数値を代入する。４８ビットを６ビットづつ
に分解し、８回に分けて処理するため、４５０３におい
て、処理回数をカウントするための変数ｊを０に初期化
する。４５０４で、表引き結果をマスクするための変数
maskを１５で初期化する。これは、下位４ビットがすべ
て１である数値である。４５０５で、表引き結果を格納
する変数ｒｅｓｕｌｔを０に初期化する。４５０６で、
ｉｎの下位６ビットを取り出し、ｉｄｘに代入する。４
５０７で、ｉｎを右に６ビットシフトし、つぎの６ビッ
トを取り出す準備を行う。４５０８でｄに図４６のＳＢ
ＯＸをｉｄｘをインデックスとしたときの表引き結果を
代入する。４５０９でｄとｍａｓｋのＡＮＤを計算し、
ｄに代入する。４５１０で、ｒｅｓｕｌｔにｄを加え
る。４５１１にて、ｍａｓｋを左に４ビットシフトし、
次のデータをマスクする準備とする。４５１２でカウン
タｊを１だけ加算する。４５１３でｊが８未満であれ
ば、４５０６からの処理を繰り返す。４５１４では、ｒ
ｅｓｕｌｔを結果として返す。

【００７３】図４７は、図２９のＳＢＯＸ表変形手段
（２３０４）の詳細なフローチャートであり、図４６の
様式で格納されたＳＢＯＸを変形するための手順を示
す。この手順で変形さされた変形済みＳＢＯＸ表は、図
４６の表引き処理により、表引きが可能である。また、
図４７で選られた変形済みＳＢＯＸを通常のＳＢＯＸと
見なして、新たな撹乱用データを用いて図４７の処理を
繰り返すことで、多重に変形することが可能である。図
４７にしたがって、ＳＢＯＸ変形の手順を説明する。４
７０２では、ＳＢＯＸを表引きするためのインデックス
idxを０に初期化する。４７０３では、ｉｄｘを６ビッ
トのビット列とみなし、そのビット列を８個繰り返して
選られる４８ビットの数値を計算し、ｉｎに代入する。
４７０３では、ｉｎと、４８ビットアドレス撹乱用デー
タとのｘｏｒを計算し、ｉｎに代入する。４７０５で
は、ｉｎをＳＢＯＸの表引き用の４８ビットの入力とし
て、図４５に示されるＳＢＸＯ表アクセス手順を呼び出
し、結果をｒｅｓｕｌｔとする。４７０６では、結果ｒ
ｅｓｕｌｔに対して、３２ビットの出力撹乱用データと
のｘｏｒを計算し、ｒｅｓｕｌｔに代入する。４７０７
では、変形済みＳＢＯＸ表のインデックスｉｄｘの位置
に、ｒｅｓｕｌｔを代入する。４７０８では、ｉｄｘに
１を加える。４８０９では、ｉｄｘが６４未満かどうか
を判定し、６４未満の場合は、４７０３からの処理を繰
り返す。ｉｄｘが６４になると、表の変換が終了する。

【００７４】次に、図３０を用いて、平文撹乱用データ
ＰＸで変形したデータを、逆変換するために用いる、置
換済み平文撹乱用データＰＸｏ１（3003）、ＰＸｏ２
（３００７）、ＰＸｏ３（3006）、ＰＸｏ４（3010）の
生成について説明する。平文用データＰＸを転置処理Ｉ
Ｐ（３００２）で転置し、上位３２ビットと下位３２ビ
ットにわけ、それぞれ転置済み平文撹乱用データ１のＰ
Ｘｏ１（３００３）、転置済み平文撹乱用データ２のＰ
Ｘｏ２（３００７）とする。この２つの値は、最終ラウ
ンドの処理が終わった後の、ＩＰ逆転置処理の直前で変
形データを最終的な結果にするための逆変形処理に用い
られる。つぎに、転置済み平文撹乱用データ１のＰＸｏ
１（３００３）、転置済み平文撹乱用データ２のＰＸｏ
２（３００７）に対して、拡大転置処理Ｅ（３００５、
３００９）を行ない、転置済み平文撹乱用データ３のＰ
Ｘｏ３（３００６）、転置済み平文撹乱用データ４のＰ
Ｘｏ４（３０１０）とし、各ラウンドでの変形ＳＢＯＸ
表の表引き前の逆変形処理に用いる。

【００７５】次に、図３１を用いて、秘密鍵撹乱用デー
タと、各ラウンドごとの鍵の処理のうち、ＬＳ処理の直
後に行なう変形処理用に用いる、処理済み秘密鍵撹乱用
データＫＸｏ１（３１０９）、ＫＸｏ２（３１１１）、
ＫＸｏ３（３１１３）について、説明する。本実施例で
は、選択転置処理ＰＣ２での通常の出力を、Ｘとした場
合、 Ｘ ｘｏｒ ＸＳｏｕｔＸ （式４０） という値を出力するようにしたい。選択置換ＰＣ１をＰ
Ｃ１（）と表現し、ＬＳ処理をＬＳ（）と表現し、鍵を
Ｋと表現する。本実施例では、鍵は秘密鍵撹乱用データ
ＫＸとのｘｏｒで撹乱されるため、第１ラウンドでは、 Ｋ０＝ＬＳ（ＰＣ１（ＫＸ ｘｏｒ Ｋ）） （式４１） ＫＸｏ１＝ＬＳ（ＰＣ１（ＫＸ）） ｘｏｒ ＩＮＶ＿ＰＣ２（ＳｉｎＸ１） （式４２） Ｋ１＝ＫＯ ｘｏｒ ＫＸｏ１ （式４３） Ｋ１＿ＯＵＴ＝ＰＣ２（Ｋ１） （式４４） Ｋ１＿ＯＵＴをＰＣ２からの出力として使うことで、
（式４０）を満たす値が得られる。つぎに、第２ラウン
ド用の値は、 ＫＸｏ２＝ＩＮＶ＿ＰＣ２（ＳｉｎＸ１）ｘｏｒ ＬＳ（ＩＮＶ＿ＰＣ２（ＳｉｎＸ１）） （式４５） Ｋ２＝ＬＳ（Ｋ１） ｘｏｒ ＫＸｏ２ （式４６） Ｋ２＿ＯＵＴ＝ＰＣ２（Ｋ２） となる。また、たとえばラウンド３のように、ＬＳ処理
で２ビット分ローテートするラウンドでは、 ＫＸｏ３＝ＩＮＶ＿ＰＣ２（ＳｉｎＸ１）ｘｏｒ ＬＳ（ＬＳ（ＩＮＶ＿ＰＣ２（ＳｉｎＸ１））） （式４７） Ｋ３＝ＬＳ（ＬＳ（Ｋ２））ｘｏｒ ＫＸｏ３ Ｋ３＿ＯＵＴ＝ＰＣ２（Ｋ３） （式４８） とすることで、（式４０）を満たす値が得られる。ＬＳ
処理でシフトするビットの種類は２種類のみなので、ラ
ウンド１用のＫＸｏ１と、ＬＳ処理のシフト量が１ビッ
トのＫＸｏ２、ＬＳ処理のシフト量が２ヒ゛ットのＫＸｏ３
の３種類の値が必要となる。これらの３つの値で、ラウ
ンド１６全ての変形処理を行なうことが出来る。（式４
１）、（式４５）、（式４７）で示されるＫＸｏ１、Ｋ
Ｘｏ２、ＫＸｏ３の計算は、図３１のシグナルフローの
通りである。本実施例では、変形処理にｘｏｒ演算を用
いるので、図３１中の、逆変換結合処理（３１０８、３
１１０、３１１２）はｘｏｒ処理を用いる。

【００７６】図３２は、平文データＰｔｅｘｔ（３２０
１）を変形する処理の一実施例である。

【００７７】平文撹乱用データＰＸ（３２０３）を用い
て、第１変形処理（３２０２）で変形し、変形済み平文
データＸＰｔｅｘｔ（３２０４）を作成する。ここで、
第１変形処理（３２０２）は、本実施例では、ｘｏｒ演
算を用いる。したがって、 ＸＰｔｅｘｔ＝Ｐｔｅｘｔ ｘｏｒ ＰＸ （式４９） となる。ＸＰｔｅｘｔを転置処理ＩＰ（３２０５）によ
り転置し、上位３２ビットを転置済み変形平文１のＸＰ
ｔｅｘｔＬ（３２０６）、下位３２ビットを転置済み変
形平文２のＸＰｔｅｘｔＲ（３２０７）とする。この処
理は、第１変形処理（３２０２）を除けば、通常のＤＥ
Ｓ暗号処理の処理フローに等しい。

【００７８】ここで、別の実施例を図５４に示す。この
別の実施例では、平文データ（５４０１）を転置処理Ｉ
Ｐ（５４０２）で処理した後に、第１変形手段（５４０
４、５４０７）で撹乱している。この実施例では、平文
撹乱用データＰＸ（５３０１）の処理が、転置処理ＩＰ
を行わずに済む分だけ、効率的である。図５３は、平文
撹乱用データの処理の１実施例である。

【００７９】図３３は、秘密鍵データＫ（３３０１）の
変形処理の一実施例で、秘密鍵撹乱用データＫＸ（３３
０３）を用いて、第２変形処理（３３０２）にて、秘密
鍵データＫ（３３０１）を変形し、変形済み秘密鍵デー
タＸＫ（３３０４）を得る。本実施例では、第２変形処
理手段として、ｘｏｒ演算を用いる。したがって、 ＸＫ＝Ｋ ｘｏｒ ＫＸ （式５０） となる。つぎに各ラウンドの処理を図３４、図３５、図
３６、図３７、図３８に示す。

【００８０】５つの図の違いは、ラウンドの違いで、第
１ラウンド、第５ラウンド、第９ラウンド、第１３ラウ
ンドの処理が図３５、第２ラウンド、第６ラウンド、第
１０ラウンド、第１４ラウンドの処理が、図３５、第３
ラウンド、第７ラウンド、第１１ラウンド、第１５ラウ
ンドの処理が、図３６、第４ラウンド、第８ラウンド、
第１２ラウンドの処理が図３７、第１６ラウンドの処理
が図３８に示されている。

【００８１】図３４の処理を順を追って説明する。ま
ず、撹乱処理を行わないときのＸＰｔｅｘｔＬ（３４０
１）に来るべき値をＰｔｅｘｔＬ、同様に撹乱処理を行
わなかったときのＸＰｔｅｘｔＲ（３４０２）に来るべ
き値をＰｔｅｘｔＬとする。すると、ＸＰｔｅｘｔＬお
よびＸＰｔｅｘｔＲは、 ＸＰｔｅｘｔＬ＝ＰＴｅｘｔＬ ｘｏｒ ＰＸｏ１ （式５１） ＸＰｔｅｘｔＲ＝ＰＴｅｘｔＲ ｘｏｒ ＰＸｏ２ （式５２） と表現される。同様に、ＸＫＬ（３４０７）の値をＸＫ
Ｌ０、撹乱処理を行わない場合のＸＫＬ（３４０７）に
来るべき値をＫＬ、選択置換処理ＰＣ１を関数ＰＣ
１（）として表現すると、 ＸＫＬ０＝ＫＬ ｘｏｒ ＰＣ１（ＫＸ） （式５３） となる。第３変形処理（３４０９）を実行後のＸＫＬ
（３４１０）の値をＸＫＬ１とし、選択置換ＰＣ２の逆
関数をＩＮＶ＿ＰＣ２（）とする。ここで、ＰＣ２（）
で参照されないビットに付いては、ＩＮＶ＿ＰＣ２（）
では０になるものとする。第３逆変形処理（３４０９）
で使用される処理済秘密鍵撹乱用データは、そのラウン
ドで行われるローテート処理ＬＳ（３４０８）でシフト
されるビット数で決まり、１ビットの場合は、ＫＸｏ
２、２ビットの場合は、ＫＸｏ３、ラウンド１の場合
は、ＫＸｏ１が用いられる。 ＸＫＬ１＝ＬＳ（ＸＫＬ０） ｘｏｒ ＫＸｏ１ （式５４） さらに、（式５３）と（式４２）を代入すると、 ＸＫＬ１ ＝ＬＳ（ＫＬ ｘｏｒ ＰＣ１（ＫＸ））ｘｏｒ ＫＸｏ１ （式５５） また、 ＬＳ（ａ ｘｏｒ ｂ）＝ＬＳ（ａ） ｘｏｒ ＬＳ（ｂ） （式５６） （ａ ｘｏｒ ｂ） ｘｏｒ ｃ ＝ａ ｘｏｒ （ｂ ｘｏｒ ｃ） （式５７） という関係を用いて、（式５４）を書き直すと、 ＸＫＬ１＝ＬＳ（ＫＬ ｘｏｒ ＰＣ１（ＫＸ））ｘｏｒ （ＬＳ（ＰＣ１（ＫＸ））ｘｏｒ ＩＮＶ＿ＰＣ２（ＳｉｎＸ１）） ＝ＬＳ（ＫＬ ｘｏｒ ＰＣ１（ＫＸ） ｘｏｒ ＰＣ１（ＫＸ）） ｘｏｒ ＩＮＶ＿ＰＣ２（ＳｉｎＸ１） ＝ＬＳ（ＫＬ） ｘｏｒ ＩＮＶ＿ＰＣ２（ＳｉｎＸ１） （式５８） となる。この値に選択置換処理ＰＣ−２（３４１４）を
施した値をＸＫＬ１ＰＣ２とすると、 ＸＫＬ１ＰＣ２＝ＰＣ２（ＸＫＬ１） ＝ＰＣ２（ＬＳ（ＫＬ） ｘｏｒ ＩＮＶ＿ＰＣ２（ＳｉｎＸ１）） ＝ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ ＳｉｎＸ１ （式５９） となる。ここでは、ラウンド１の場合について説明した
が、ラウンド５、ラウンド９、ラウンド１３において
も、選択置換処理ＰＣ−２（３４１４）の出力は、撹乱
処理を行わない場合の値である ＰＣ２（ＬＳ（Ｋ
Ｌ））とＳｉｎＸ１のｘｏｒを行った値となる。

【００８２】つぎにｘｏｒ演算（３４０４）を行った結
果を、ＸＰｔｅｘｔＲＸとし、拡大転置処理Ｅ（３４０
３）の演算を関数Ｅ（）と表現すると、ＸＰｔｅｘｔＲ
Ｘは、 ＸＰｔｅｘｔＲＸ ＝Ｅ（ＸＰｔｅｘｔＲ） ｘｏｒ ＸＫＬＰＣ２ （式６０） となり、（式５２）、（式５９）を代入すると、 ＸＰｔｅｘｔＲＸ＝Ｅ（ＰｔｅｘｔＲ ｘｏｒ ＰＸｏ２） ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ ＳｉｎＸ１ ＝Ｅ（ＰｔｅｘｔＲ）ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ Ｅ（ＰＸｏ２） ｘｏｒ ＳｉｎＸ１ （式６１） となる。転置済み平文撹乱用データ４のＰＸｏ４（３４
１６）を用いて、第１逆変形処理（３４１５）で逆変形
した結果を、ＸＰｔｅｘｔＲＸ２とすると、第１逆変形
処理はｘｏｒ演算であるので、 ＸＰｔｅｘｔＲＸ２＝ＸＰｔｅｘｔＲ ｘｏｒ ＰＸｏ４ ＝Ｅ（ＰｔｅｘｔＲ） ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ Ｅ（ＰＸｏ２） ｘｏｒ ＳｉｎＸ１ ｘｏｒ ＰＸｏ４ （式６２） また、図３０の実施例より、 ＰＸｏ４＝Ｅ（ＰＸｏ２） （式６３） であるので、（式６２）は、 ＸＰｔｅｘｔＲＸ２＝Ｅ（ＰｔｅｘｔＲ） ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ Ｅ（ＰＸｏ２） ｘｏｒ ＳｉｎＸ１ ｘｏｒ Ｅ（ＰＸｏ２） ＝Ｅ（ＰｔｅｘｔＲ） ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） ｘｏｒ ＳｉｎＸ１ （式６４） となる。また、撹乱処理を行わない場合の、変形ＳＢＯ
Ｘアクセス処理（３４１８）の入力となる値Ｐｔｅｘｔ
ＲＸ２は、 ＰｔｅｘｔＲＸ２ ＝Ｅ（ＰｔｅｘｔＲ） ｘｏｒ ＰＣ２（ＬＳ（ＫＬ）） （式６５） であり、（式６４）は、 ＸＰｔｅｘｔＲＸ２ ＝ＰｔｅｘｔＲＸ２ ｘｏｒ ＳｉｎＸ１ （式６６） となる。撹乱処理を行わない値と比較すると、ＳＢＯＸ
のアドレス撹乱用データＳｉｎＸ１とｘｏｒを取った値
と等しくなるため、変形済みＳＢＯＸ表（３４１９）を
アクセス屡事ができる。アクセスした結果には、Ｓｏｕ
ｔＸによる変形が行われているので、ｘｏｒ処理（３４
２１）への入力は、撹乱を行わない場合のＳＢＯＸの出
力をＳＲｅｓｕｌｔとすると、 Ｐ（ＳＲｅｓｕｌｔ ｘｏｒ ＳｏｕｔＸ （式６７） となる。（式６７）と転置済み変形平文１のＸＰｔｅｘ
ｔＬ（３４０１）とのｘｏｒ（３４２１）を計算する
と、 Ｐ（Ｓｒｅｓｕｌｔ ｘｏｒ ＳｏｕｔＸ） ｘｏｒ ＸＰｔｅｘｔＬ ＝Ｐ（Ｓｒｅｓｕｌｔ）ｘｏｒ Ｐ（ＳｏｕｔＸ） ｘｏｒ ＰｔｅｘｔＬ ｘ ｏｒ ＰＴｅｘｔＬ ｘｏｒ ＰＸｏ１ （式６８） となる。この値は、転置済み変形平文２のＸＰｔｅｘｔ
Ｒ（３４２３）に代入されるが、ここで、撹乱を行わな
い場合のＸＰｔｅｘｔＲ（３４２３）に代入される値
を、ＰｔｅｘｔＲ２、撹乱を行った場合の値をＸＰｔｅ
ｘｔＲ２とすると、 ＸＰｔｅｘｔＲ２＝ＰｔｅｘｔＲ２ ｘｏｒ Ｐ（ＳｏｕｔＸ） ｘｏｒ ＰＸｏ１ （式６９） 同様にして、撹乱を行わない場合のＸＰｔｅｘｔＬ（３
４２２）に代入される値を、ＰｔｅｘｔＬ２、撹乱を行
った場合の値をＸＰｔｅｘｔＬ２とすると、 ＸＰｔｅｘｔＬ２＝ＰｔｅｘｔＬ２ ｘｏｒ ＰＸｏ２ （式７０） （式６９）、（式７０）の値は、次のラウンドの図３５
で使用される。（式６９）と（式５１）を比較した場
合、ＰＸｏ２の代わりにＰＸｏ１が使われ、さらにＰ
（ＳｏｕｔＸ）でのｘｏｒが加わっている。この違いに
より、図３４と図３５では、第１逆変形処理（３５１
５）に用いられる転置済み平文撹乱用データ（３５１
６）が、ＰＸｏ４からＰＸｏ３に替わり、Ｐ（Ｓｏｕｔ
Ｘ）による変形を元に戻すために、第４逆変形処理（３
５１７）の処理が加わっている。第４逆変形処理（３５
１７）にたどり着くまでに、Ｐ（ＳｏｕｔＸ）は、拡大
置換処理Ｅ（）が施され、Ｅ（Ｐ（ＳｏｕｔＸ））とな
り、転置済みＳＢＯＸ撹乱用データＸＳｏｕｔＸと等し
くなる。

【００８３】図３５の撹乱を行わない場合のＸＰｔｅｘ
ｔＲ（３５２５）に代入される値を、ＰｔｅｘｔＲ３、
撹乱を行った場合の値をＸＰｔｅｘｔＲ３とし、、撹乱
を行わない場合のＸＰｔｅｘｔＬ（３５２４）に代入さ
れる値を、ＰｔｅｘｔＬ３、撹乱を行った場合の値をＸ
ＰｔｅｘｔＬ３とすると、 ＸＰｔｅｘｔＲ３＝ＰｔｅｘｔＲ３ ｘｏｒ Ｐ（ＳｏｕｔＸ） ｘｏｒ ＰＸｏ２ （式７１） ＸＰｔｅｘｔＬ３＝ＰｔｅｘｔＬ３ ｘｏｒ Ｐ（ＳｏｕｔＸ） ｘｏｒ ＰＸｏ１ （式７２） となる。

【００８４】（式７１）、（式７２）の値は、次のラウ
ンドの図３６で使用される。（式７１）と（式６９）を
比較した場合、ＰＸｏ１の代わりにＰＸｏ２が使われて
いる。この違いにより、図３５と図３６では、第１逆変
形処理（３６１５）に用いられる転置済み平文撹乱用デ
ータ（３５１６）が、ＰＸｏ３からＰＸｏ４に替わって
いる。また、ｘｏｒ処理（３６２３）の２つの入力のい
ずれにも、Ｐ（ＳｏｕｔＸ）がｘｏｒされているため、
Ｐ（ＳｏｕｔＸ）の影響が消える。その結果、図３６の
撹乱を行わない場合のＸＰｔｅｘｔＲ（３６２５）に代
入される値を、ＰｔｅｘｔＲ４、撹乱を行った場合の値
をＸＰｔｅｘｔＲ４とし、撹乱を行わない場合のＸＰｔ
ｅｘｔＬ（３６２４）に代入される値を、ＰｔｅｘｔＬ
４、撹乱を行った場合の値をＸＰｔｅｘｔＬ４とする
と、 ＸＰｔｅｘｔＲ４＝ＰｔｅｘｔＲ４ ｘｏｒ ＰＸｏ１ （式７３） ＸＰｔｅｘｔＬ４＝ＰｔｅｘｔＬ４ ｘｏｒ Ｐ（ＳｏｕｔＸ） ｘｏｒ ＰＸｏ２ （式７４） となる。

【００８５】（式７３）、（式７４）の値は、次のラウ
ンドの図３７で使用される。（式７３）と（式７１）を
比較した場合、ＰＸｏ２の代わりにＰＸｏ１が使われて
おり、またＰ（ＳｏｕｔＸ）によるｘｏｒが含まれてい
ない。この違いにより、図３６と図３７では、第１逆変
形処理（３７１５）に用いられる転置済み平文撹乱用デ
ータ（３５１６）が、ＰＸｏ４からＰＸｏ３に替わって
いる。Ｐ（ＳｏｕｔＸ）による変形を元に戻す必要が無
いため、第４逆変形処理が無くなっている。また、ｘｏ
ｒ処理（３７２１）の２つの入力のいずれにも、Ｐ（Ｓ
ｏｕｔＸ）がｘｏｒされているため、Ｐ（ＳｏｕｔＸ）
の影響が消える。その結果、図３７の撹乱を行わない場
合のＸＰｔｅｘｔＲ（３７２２）に代入される値を、Ｐ
ｔｅｘｔＲ５、撹乱を行った場合の値をＸＰｔｅｘｔＲ
５とし、撹乱を行わない場合のＸＰｔｅｘｔＬ（３７２
４）に代入される値を、ＰｔｅｘｔＬ５、撹乱を行った
場合の値をＸＰｔｅｘｔＬ５とすると、 ＸＰｔｅｘｔＲ５＝ＰｔｅｘｔＲ５ ｘｏｒ ＰＸｏ２ （式７５） ＸＰｔｅｘｔＬ５＝ＰｔｅｘｔＬ５ ｘｏｒ ＰＸｏ１ （式７６） となり、（式７５）、（式７６）は（式５１）、（式５
２）と同様の変形が行われているため、次のラウンドの
処理が図３４の実施例で行うことが出来る。

【００８６】図３８は、図３７の処理とほぼ同様である
が、最後にＸＰｔｅｘｔＬとＸＰｔｅｘｔＲの交換を行
っていない。したがって、図３８の撹乱を行わない場合
のＸＰｔｅｘｔＲ（３８２２）に代入される値を、Ｐｔ
ｅｘｔＲ６、撹乱を行った場合の値をＸＰｔｅｘｔＲ６
とし、撹乱を行わない場合のＸＰｔｅｘｔＬ（３８２
４）に代入される値を、ＰｔｅｘｔＬ６、撹乱を行った
場合の値をＸＰｔｅｘｔＬ６とすると、 ＸＰｔｅｘｔＲ６＝ＰｔｅｘｔＲ６ ｘｏｒ ＰＸｏ１ （式７７） ＸＰｔｅｘｔＬ６＝ＰｔｅｘｔＬ６ ｘｏｒ ＰＸｏ２ （式７８） となる。

【００８７】図３９は、最終結果を求めるための処理フ
ローを示す。第５逆変換処理（３９０５）により、転置
済み平文撹乱用データ１のＰＸｏ２（３９０４）を用い
て、転置済み変形平文１のＸＰｔｅｘｔＬ（３９０１）
を逆変形し、第６逆変換処理（３９０６）により、転置
済み平文撹乱用データ２のＰＸｏ１（３９０３）を用い
て、転置済み変形平文２のＸＰｔｅｘｔＲ（３９０２）
を逆変形する。これにより、変形がすべて取り除かれ
る。 ＰｔｅｘｔＲ６＝ＸＰｔｅｘｔＲ６ ｘｏｒ ＰＸｏ１ （式７９） ＰｔｅｘｔＬ６＝ＸＰｔｅｘｔＬ６ ｘｏｒ ＰＸｏ２ （式８０） 最後に、転置処理ＩＰ−１（３９０７）を用いて、第５
逆変換処理（３９０５）の結果と第６逆変換処理（３９
０６）の結果を入力として、転置処理を行い、最終的な
暗号文データＣｔｅｘｔ（３９０８）を得る。最終的な
暗号データＣｔｅｘｔを得る直前まで、どの時点をとっ
ても、データは変形を受けたままとなるので、電流波形
から本来のデータを推測することが困難に成る。

【００８８】ＳＢＯＸ表アドレス撹乱用データＳｉｎ
Ｘ、ＳＢＯＸ表データ撹乱用データＳｏｕｔＸおよび変
形ＳＢＯＸ表の作成を、図１９もしくは図２０もしくは
図２１もしくは図２２のような実施例で行ない、ハミン
グウエイトが常に一定とし、電流波形から本来のデータ
を推測することがさらに困難となった実施例が、請求項
２８の実施例となる。

【００８９】請求項２９の一実施例を、図３９、４０、
４１、４２、４３、４４、４５、４６、４７、５２に示
す。基本的な手順は請求項２７の実施例と同じである
が、ＳＢＯＸの変形を２回行っている点が、実施例２７
と違う。ＳＢＯＸの変形の一実施例を図５２に示す。撹
乱用データとしては、ＳＢＯＸアドレス撹乱用データＳ
ｉｎＸ１（５２０１）、転置済みＳＢＯＸデータ撹乱用
データＸＳｏｕｔ１（５２１０）、ＳＢＯＸアドレス撹
乱用データＳｉｎＸ２（５２１２）、転置済みＳＢＯＸ
データ撹乱用データＸＳｏｕｔＸ２（５２１８）を用
い、第２変形済みＳＢＯＸ表（５２１４）を生成する。
ＳＢＯＸ撹乱用データの個数が増えたため、図４０に示
される、ラウンド１、ラウンド５、ラウンド９、ラウン
ド１３の処理の一実施例において、ＳＢＯＸアドレス撹
乱用データＳｉｎＸ２（４０１５）を用いて、第３変形
処理（４０１４）を行う処理が追加となり、図４１に示
される、ラウンド２、ラウンド６、ラウンド１０、ラウ
ンド１４の処理の一実施例において、ＳＢＯＸアドレス
撹乱用データＳｉｎＸ２（４１１５）を用いて、第３変
形処理（４１１４）を行う処理と、転置済みＳＢＯＸデ
ータ撹乱用データＸＳｏｕｔＸ２（４１２１）を用い
て、第４逆変形処理（４１２０）が追加となり、図４２
に示される、ラウンド３、ラウンド７、ラウンド１１、
ラウンド１５の処理の一実施例において、ＳＢＯＸアド
レス撹乱用データＳｉｎＸ２（４２１５）を用いて、第
３変形処理（４２１４）を行う処理と、転置済みＳＢＯ
Ｘデータ撹乱用データＸＳｏｕｔＸ２（４２２１）を用
いて、第４逆変形処理（４２２０）が追加となり、図４
３に示される、ラウンド４、ラウンド８、ラウンド１２
の処理の一実施例において、ＳＢＯＸアドレス撹乱用デ
ータＳｉｎＸ２（４３１５）を用いて、第３変形処理
（４３１４）を行う処理が追加となり、図４４に示され
る、ラウンド１６の処理の一実施例において、ＳＢＯＸ
アドレス撹乱用データＳｉｎＸ２（４４１５）を用い
て、第３変形処理（４４１４）を行う処理が追加となっ
ている。

【００９０】ＳＢＯＸ表アドレス撹乱用データＳｉｎＸ
１、ＳＢＯＸ表アドレス撹乱用データＳｉｎＸ２、ＳＢ
ＯＸ表データ撹乱用データＳｏｕｔＸ１、ＳＢＯＸ表デ
ータ撹乱用データＳｏｕｔＸ２及び第２変形ＳＢＯＸ表
の作成を、図２６もしくは図２７もしくは図２８のよう
な実施例で行った場合が、請求項３０の実施例となる。

【００９１】ＳＢＯＸ表アドレス撹乱用データＳｉｎＸ
１、ＳＢＯＸ表アドレス撹乱用データＳｉｎＸ２、ＳＢ
ＯＸ表データ撹乱用データＳｏｕｔＸ１、ＳＢＯＸ表デ
ータ撹乱用データＳｏｕｔＸ２及び第２変形ＳＢＯＸ表
の作成を、図２６もしくは図２７もしくは図２８のよう
な実施例で行ない、かつハミングウエイトの検査を、全
ビット通じてのハミングウエイトではなく、中央演算処
理装置で一度に処理できるビット数に区切って評価した
際にも、ハミングウエイトのが一定となるようにハミン
グウエイトの検査を実施したものが、請求項３１の実施
例となる。

【００９２】

【発明の効果】本頑発明によれば、ＩＣカードチップで
の処理データを変形することと、その変形に用いる撹乱
用データの生成時に制約を加えることにより、消費電流
の波形から、処理や暗号鍵の推測を困難にする。

【図面の簡単な説明】

【図１】図１は、ＩＣカードのハードウエア構成の例を
示す図である。

【図２】図２は、ＩＣカード用チップ内のハードウエア
構成の例を示す図である。

【図３】図３は、消費電流の波形例を示す図である。

【図４】図４は、一つの撹乱用データを使ったデータ変
形の手順の例を示すフローチャートである。

【図５】図５は、撹乱用データをあらかじめ複数用意
し、選択することで撹乱用データを生成する、一つの撹
乱用データを使ったデータ変形の手順の例を示すフロー
チャートである。

【図６】図６は、ハミングウエイト一定の乱数生成方法
を示すフローチャートである。

【図７】図７は、ハミングウエイト一定の乱数生成方法
の例を示すフローチャートである。

【図８】図８は、ハミングウエイト一定の値の一覧表作
成方法の例を示すフローチャートである。

【図９】図９は、ハミングウエイトが一定でかつ、デー
タ処理手順処理後のハミングウエイト一定の値の一覧表
作成方法の例を示すフローチャートである。

【図１０】図１０は、ビット長の短いハミングウエイト
一定の一覧表から、ビット長の長いハミングウエイト一
定の乱数の生成方法の例を示すフローチャートである。

【図１１】図１１は、撹乱用データおよび処理済撹乱用
データ生成方法の例を示すフローチャートである。

【図１２】図１２は、撹乱用データおよび処理済撹乱用
データ生成方法の例を示すフローチャートである。

【図１３】図１３は、表引きによるデータ処理を、２つ
の撹乱用データを用いてタ変形して処理する方法の例を
示すフローチャートである。

【図１４】図１４は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図１５】図１５は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図１６】図１６は、撹乱用データおよび変形済み表生
成方法。

【図１７】表引きと１つのデータ処理手段からなるデー
タ処理を、２つの撹乱用データを用いて変形して処理す
る方法の例を示すフローチャートである。

【図１８】図１８は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図１９】図１９は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２０】図２０は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２１】図２１は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２２】図２２は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２３】図２３は、表引きと１つのデータ処理手段か
らなる処理を、２回繰り返すデータ処理を、２つの撹乱
用データを用いて変形して処理する方法の例を示すフロ
ーチャートである。

【図２４】図２４は、表引きと１つのデータ処理手段か
らなる処理を、２回繰り返すデータ処理を、４つの撹乱
用データを用いて変形して処理する方法の例を示すフロ
ーチャートである。

【図２５】図２５は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２６】図２６は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２７】図２７は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２８】図２８は、撹乱用データおよび変形済み表生
成方法の例を示すフローチャートである。

【図２９】図２９は、ＤＥＳ処理用ＳＢＯＸ撹乱用デー
タおよび変形ＳＢＯＸ生成方法の例を示すフローチャー
トである。

【図３０】図３０は、ＤＥＳ処理用平文撹乱用データ生
成方法の例を示すフローチャートである。

【図３１】図３１は、ＤＥＳ処理用秘密鍵撹乱用データ
生成方法の例を示すフローチャートである。

【図３２】図３２は、平文変形方法の例を示すフローチ
ャートである。

【図３３】図３３は、秘密鍵変形方法の例を示すフロー
チャートである。

【図３４】図３４は、ＤＥＳ第１、第５、第９、第１３
ラウンド処理方法の例を示すフローチャートである。

【図３５】図３５は、ＤＥＳ第２、第６、第１０、第１
４ラウンド処理方法の例を示すフローチャートである。

【図３６】図３６は、ＤＥＳ第３、第７、第１１、第１
５ラウンド処理方法の例を示すフローチャートである。

【図３７】図３７は、ＤＥＳ第４、第８、第１２ラウン
ド処理方法の例を示すフローチャートである。

【図３８】図３８は、ＤＥＳ第１６ラウンド処理方法の
例を示すフローチャートである。

【図３９】図３９は、ＤＥＳ最終逆変形方法の例を示す
フローチャートである。

【図４０】図４０は、ＤＥＳ第１、第５、第９、第１３
ラウンド処理方法の例を示すフローチャートである。

【図４１】図４１は、ＤＥＳ第２、第６、第１０、第１
４ラウンド処理方法の例を示すフローチャートである。

【図４２】図４２は、ＤＥＳ第３、第７、第１１、第１
５ラウンド処理方法の例を示すフローチャートである。

【図４３】図４３は、ＤＥＳ第４、第８、第１２ラウン
ド処理方法の例を示すフローチャートである。

【図４４】図４４は、ＤＥＳ第１６ラウンド処理方法の
例を示すフローチャートである。

【図４５】図４５は、ＳＢＯＸアクセス方法の例を示す
フローチャートである。

【図４６】図４６は、ＳＢＯＸ表の例を示す図である。

【図４７】図４６は、ＳＢＯＸ表変形方法の例を示すフ
ローチャートである。

【図４８】図４８は、ハミングウエイト一定撹乱用かつ
処理済のハミングウエイトも一定のデータ生成方法の例
を示すフローチャートである。

【図４９】図４９は、ハミングウエイト一定乱数生成方
式の例を示すフローチャートである。

【図５０】図５０は、ハミングウエイト一定乱数生成方
式の例を示すフローチャートである。

【図５１】図５１は、ハミングウエイト一定乱数生成方
式の例を示すフローチャートである。

【図５２】図５２は、ＤＥＳ処理用ＳＢＯＸ撹乱用デー
タおよび変形ＳＢＯＸ生成方法の例を示すフローチャー
トである。

【図５３】図５３は、ＤＥＳ処理用撹乱用データ生成方
法の例を示すフローチャートである。

【図５４】図５４は、ＤＥＳ処理中間データ撹乱方法の
例を示すフローチャートである

【図５５】図５５は、図１２に対応するテーブルの例を
示す図である。

【図５６】図５６は、第１撹乱用データ格納手段（１５
０１）に格納された第１撹乱用データ、及び第２撹乱用
データ格納手段（１５０２）に格納された第２撹乱用デ
ータの例を示す図である。

【図５７】図５７は、表格納手段（１５０７）に格納さ
れたデータの例を示す図である。

【図５８】図５８は、第１撹乱用データ、第２撹乱用デ
ータ及び変形済み表のテ−ブルの例を示す図である。

【符号の説明】

４０１：入力データ、４０２：データ変形処理手段、４
０３：攪乱用データ、４０４：変形データ、４０５：変
形データ処理手段、４０６：変形データ、４０７：変形
データ、４０８：変形済み攪乱用データ、４０９：処理
済データ、５０２：ハミングウエート一定の攪乱用デー
タ、５０３：攪乱用データ処理手段、５０４：処理済攪
乱用データ、５０５：ハミングウエイト検査手段、６０
１：ｎビット乱数発生手段、６０２：ｎビット乱数、６
０３：ビット反転処理手段、６０４：反転ｎビット乱
数、６０５：データ統合手段、６０６：ハミングウエイ
ト一定２ｎビット乱数。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 渡邊 高志 東京都国分寺市東恋ヶ窪一丁目280番地 株式会社日立製作所中央研究所内 (72)発明者 大木 優 東京都国分寺市東恋ヶ窪一丁目280番地 株式会社日立製作所中央研究所内 Ｆターム(参考） 5B035 AA13 BB09 CA11 CA29 5J104 AA47 JA04 NA02 NA07 NA09 NA20 NA22 NA35 NA40 NA42

Claims (31)

【特許請求の範囲】
1. 【請求項１】 プログラムを格納するプログラム格納
   部、データを保存するデータ格納部を有する記憶装置と
   プログラムにしたがい、所定の処理を実行する中央演算
   装置とを有し、 プログラムは、中央演算装置の指示を与える処理命令か
   ら構成される一つ以上のデータ処理手段からなり、 一つのデータ処理手段が、その入力データを処理し、処
   理済データを出力する入力データ処理手段を含み、且つ
   生成される撹乱用データXiのハミングウエイトが常に一
   定値であり、且つ、生成されたXiを前記入力データ処理
   手段で処理済撹乱用データXoに変換した後のハミングウ
   エイトも常に一定になるような、撹乱用データXiを生成
   する撹乱用データ生成手段を有し、 前記撹乱用データ生成手段は、 前記撹乱用データXiを使って入力データD1を変形し、変
   形データH1を作成するデータ変形手段と、 変形データH1を前記入力データ処理手段と同じ処理を行
   い、処理済変形データH2を得る変形データ処理手段と、 前記撹乱用データXiに前記入力データ処理手段と同じ処
   理を行い、処理済撹乱用データXoを生成する撹乱用デー
   タ処理手段と、 処理済撹乱用データXoを使用して処理済変形データH2を
   処理し、入力データD1を入力データ処理手段で処理した
   結果である処理済データD2を得るデータ逆変形処理手段
   と、を有することを特徴とする情報処理装置。
2. 【請求項２】 生成される撹乱用データXiのハミングウ
   エイトが、常に一定値であり、且つ、生成されたXiを予
   め定義された入力データ処理に従って処理して生成した
   処理済撹乱用データXoのハミングウエイトも常に一定で
   あるような、撹乱用データおよび処理済撹乱用データ生
   成手段であって、 撹乱用データおよび処理済撹乱用データを生成する手段
   は、ハミングウエイト一定の乱数を生成する撹乱用デー
   タ生成手段と、撹乱用データ処理手段と、及びハミング
   ウエイト検査手段とを有し、 前記撹乱用データ生成手段で生成されたデータを撹乱用
   データ処理手段で処理し、処理結果をハミングウエイト
   検査手段でハミングウエイトが所定の値であるかを検査
   し、所定の値でない場合に、撹乱用データ生成手段のデ
   ータ生成からやり直すように制御信号を送るハミングウ
   エイト検査手段を有し、ハミングウエイトが一定で、撹
   乱用データ処理手段で処理した後も、ハミングウエイト
   が一定となるような撹乱用データを生成するように構成
   された、撹乱用データおよび処理済撹乱用データ生成手
   段を、有する情報処理装置。
3. 【請求項３】 前記撹乱用データおよび処理済撹乱用デ
   ータを生成する手段が、あらかじめ、ハミングウエイト
   が一定でかつ、撹乱用データ処理手段で処理を行った結
   果も、ハミングウエイトが一定となるようなデータを選
   択して複数格納した撹乱用データ格納手段と、撹乱用デ
   ータ格納手段に格納されたデータをランダムに選択する
   撹乱用データ選択手段と、選択された撹乱用データXiを
   処理して、処理済の撹乱用データを生成する撹乱用デー
   タ処理をなす手段を有することを特徴とした、請求項１
   に記載の情報処理装置。
4. 【請求項４】 前記撹乱用データおよび処理済撹乱用デ
   ータを生成する手段として、あらかじめ、ハミングウエ
   イトが一定でかつ、撹乱用データ処理手段で処理を行っ
   た結果もハミングウエイトが一定となるようなデータ
   を、撹乱用データ処理手段で処理した結果と組み合わせ
   て、複数組格納した撹乱用データおよび処理済撹乱用デ
   ータ格納手段と、撹乱用データおよび処理済撹乱用デー
   タ格納手段に格納されたデータをランダムに選択する撹
   乱用データおよび処理済撹乱用データ選択手段とを有す
   ることを特徴とした、請求項１に記載の情報処理装置。
5. 【請求項５】 前記撹乱用データおよび処理済撹乱用デ
   ータ格納手段に格納するデータの組の数が遇数個であ
   り、且つ撹乱用データおよび処理済撹乱用データのいず
   れのビットについても、０となるか１となるかの確率が
   0.5となるように選択したデータを格納している撹乱用
   データおよび処理済撹乱用データ格納手段を有すること
   を特徴とする、請求項４に記載の情報処理装置。
6. 【請求項６】 ハミングウエイト一定の乱数を生成する
   手段として、発生する乱数のビット数の半分のビット数
   の乱数を発生させる乱数発生手段と、ビット反転演算を
   計算するビット反転演算手段と、乱数発生手段で生成さ
   れたデータと、ビット反転演算手段の計算結果を結合し
   て、所定のビット数の数値を生成する、データ結合手段
   から成る、ハミングウエイト一定乱数生成手段を、有す
   ることを特徴とする情報処理装置。
7. 【請求項７】 ハミングウエイト一定の乱数を生成する
   手段として、乱数発生手段と、前記乱数発生手段により
   生成された乱数のハミングウエイト計算手段と、前記ハ
   ミングウエイト計算手段の結果を検査し、目標ハミング
   ウエイトと等しくない場合に乱数発生手段に対して乱数
   の再生成を行わせる、ハミングウエイト検査手段とを有
   することを特徴とした、ハミングウエイト一定乱数生成
   手段を、有することを特徴とする情報処理装置。
8. 【請求項８】 ハミングウエイト一定の乱数を生成する
   手段として、発生させたい乱数のビット数の約数となる
   ビット数ハミングウエイト一定の乱数を発生させるハミ
   ングウエイト一定部分乱数発生手段と、発生させたい乱
   数のビット数に達するまで、前記ハミングウエイト一定
   部分乱数発生手段に乱数を生成させる乱数発生制御手段
   と、発生した乱数を結合して、所定のビット数の乱数と
   するデータ結合手段からなる、ハミングウエイト一定乱
   数生成手段を、有することを特徴とする情報処理装置。
9. 【請求項９】 プログラムを格納するプログラム格納
   部、データを保存するデータ格納部を有する記憶装置と
   プログラムにしたがい、所定の処理を実行する中央演算
   装置を有し、プログラムは、中央演算装置の指示を与え
   る処理命令から構成される一つ以上のデータ処理手段を
   有し、 一つのデータ処理手段が、インデックスとそれに対応し
   たデータから成る表を有し、入力データをインデックス
   として表引きを行い、インデックスに対応したデータを
   処理済データとして出力する入力データ処理手段を有
   し、 ハミングウエイトの値が常に一定となる第１の撹乱用デ
   ータX1iと、 ハミングウエイトの値が常に一定となる第２の撹乱用デ
   ータX2iと、 第１撹乱用データX1iでインデックスを撹乱し、 第２撹乱用データX2iでインデックスに対応したデータ
   を撹乱することにより生成された変形済み表を使い、 前記撹乱用データXiを使って入力データD1を変形し、変
   形データH1を作成するデータ変形手段と、 変形データH1をインデックスとして、前記変形済み表を
   引いて変形データＨ２を取り出す変形済み表アクセス処
   理手段と、 変形データＨ２を第２撹乱用データX2iを用いて、 入力データD1を入力データ処理手段で処理した結果であ
   る処理済データD2を得るデータ逆変形処理手段とを有す
   る、ことを特徴とする情報処理装置。
10. 【請求項１０】 第１撹乱用データX1iおよび第２撹乱
    用データX2iおよび変形済み表を生成する手段として、
    第１撹乱用データX1iを生成するための第１ハミングウ
    エイト一定乱数生成手段と、第２撹乱用データX2iを生
    成するための第２ハミングウエイト一定乱数生成手段
    と、第１撹乱用データX1iと第２撹乱用データX2iと表を
    用いて、表のインデックスを第１撹乱用データX1iで変
    形し、表のデータを第２撹乱用データX2iで変形し、変
    形済み表を生成する表変形手段を有すること、を特徴と
    する請求項９に記載の情報処理装置。
11. 【請求項１１】 第１撹乱用データX1iおよび第２撹乱
    用データX2iおよび変形済み表を生成する手段として、
    ハミングウエイト一定の値を予め複数格納している第１
    撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、 ハミングウエイト一定の値を予め複数格納している第２
    撹乱用データ格納手段と、第２撹乱用データ格納手段に
    格納されたデータをランダムに選択し、第２撹乱用デー
    タX2iとするための第２撹乱用データ選択手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段を有することを特徴とす
    る、請求項９に記載の情報処理装置。
12. 【請求項１２】 第１撹乱用データX1iおよび第２撹乱
    用データX2iおよび変形済み表を生成する手段として、
    第１撹乱用データになりうる、ハミングウエイト一定の
    値と、第２撹乱用データになりうる、ハミングウエイト
    一定の値と前記第１撹乱用データとなり得る値と前記第
    ２撹乱用データとなり得る値と表を用いて、あらかじめ
    表のインデックスを第１撹乱用データX1iで変形し、表
    のデータを第２撹乱用データX2iで変形して作成した変
    形済み表を、作成したときに用いた第１撹乱用データと
    第２撹乱用データを組にしたものを、複数組格納した第
    一撹乱用データ、第２撹乱用データおよび変形済み表格
    納手段と、 第一撹乱用データ、第２撹乱用データおよび変形済み表
    格納手段からランダムに、 第１撹乱用データと第２撹乱用データと変形済み表を選
    択する、第１撹乱用データ第２撹乱用データおよび変形
    済み表選択手段を有することを特徴とする、請求項９に
    記載の情報処理装置。
13. 【請求項１３】 プログラムを格納するプログラム格納
    部、データを保存するデータ格納部を有する記憶装置と
    プログラムにしたがい、所定の処理を実行する中央演算
    装置を有し、プログラムは、中央演算装置の指示を与え
    る処理命令から構成される一つ以上のデータ処理手段か
    らなり、 一つのデータ処理手段が、表引きを行い、表引き結果を
    データ処理処理し、処理結果を処理済データとして出力
    する入力データ処理手段を有し、且つ、 ハミングウエイトの値が常に一定となる第１の撹乱用デ
    ータX1iと、ハミングウエイトの値が常に一定となり、
    かつ前記表引き後に行われるデータ処理を行った結果の
    ハミングウエイトも常に一定となる様な第２の撹乱用デ
    ータX2iと、前記第２の撹乱用データX2iをデータ処理し
    た結果の処理済第２撹乱用データX2iと、 第１撹乱用データX1iでインデックスを撹乱し、 第２撹乱用データX2iでインデックスに対応したデータ
    を撹乱することにより生成された変形済み表を使い、 前記撹乱用データXiを使って入力データD1を変形し、変
    形データH1を作成するデータ変形手段と、 変形データH1をインデックスとして、前記変形済み表を
    引いて変形データＨ２を取り出す変形済み表アクセス処
    理手段と、 処理済変形データＨ２を処理し、処理済変形データＨ３
    を得る変形済みデータ処理手段と、 処理済み変形データＨ３を処理済第２撹乱用データX2o
    を用いて、入力データD1を用いて表引きを行い、表引き
    結果をデータ処理処理した結果である処理済データD2を
    得るデータ逆変形処理手段とを有することを特徴とする
    情報処理装置。
14. 【請求項１４】 第１撹乱用データX1iおよび第２撹乱
    用データX2iおよび処理済第２撹乱用データX2oおよび変
    形済み表を生成する手段として、 第１撹乱用データX1iを生成するための第１ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを生成するための第２ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 処理済第２撹乱用データX2oのハミングウエイトを計算
    し、処理済第２撹乱用データX2oのハミングウエイトが
    不適切な場合は第２ハミングウエイト一定乱数生成手段
    に対して、 第２撹乱用データX2iの再生成を行わせる、ハミングウ
    エイト検査手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段とを有することを特徴とす
    る、請求項１３に記載の情報処理装置。
15. 【請求項１５】 前記第１撹乱用データX1iおよび第２
    撹乱用データX2iおよび処理済第２撹乱用データX2oおよ
    び変形済み表を生成する手段として、 ハミングウエイト一定の値を予め複数格納している第１
    撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、 ハミングウエイト一定かつ撹乱用データ処理手段で処理
    した結果のハミングウエイトも一定となる様な値を複数
    格納している第２撹乱用データ格納手段と、第２撹乱用
    データ格納手段に格納されたデータをランダムに選択
    し、第２撹乱用データX2iとするための第２撹乱用デー
    タ選択手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段とを有することを特徴とす
    る、請求項１３に記載の情報処理装置。
16. 【請求項１６】 前記第１撹乱用データX1iおよび処理
    済第２撹乱用データX2oおよび変形済み表を生成する手
    段として、ハミングウエイト一定の値を予め複数格納し
    ている第１撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、 ハミングウエイト一定かつ撹乱用データ処理手段で処理
    した結果のハミングウエイトも一定となる様な、第２撹
    乱用データと処理済第２撹乱用データの組を複数組格納
    している第２撹乱用データおよび処理済第２撹乱用デー
    タ格納手段と、第２撹乱用データおよび処理済第２撹乱
    用データ格納手段に格納された、第２撹乱用データと処
    理済第２撹乱用データの組をランダムに選択し、第２撹
    乱用データX2iおよび処理済第２撹乱用データX2oとする
    ための第２撹乱用データおよび処理済第２撹乱用データ
    選択手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段と、を有することを特徴と
    する、請求項１３に記載の情報処理装置。
17. 【請求項１７】 前記第１撹乱用データX1iおよび処理
    済第２撹乱用データX2oおよび変形済み表を生成する手
    段として、 ハミングウエイト一定の第１撹乱用データに使用できる
    値と、 ハミングウエイト一定かつ撹乱用データ処理手段で処理
    した結果のハミングウエイトも一定となる様な、第２撹
    乱用データに使用できる値を処理した結果選られる処理
    済第２撹乱用データに使用できる値と、第１撹乱用デー
    タに使用できる値と前記処理済第２撹乱用データに使用
    できる値を生成したときに用いた第２撹乱用データに使
    用できる値を用いて、表のインデックスを第１撹乱用デ
    ータX1iに使用できる値で変形し、表のデータを第２撹
    乱用データX2iに使用できる値で変形し、変形済み表を
    生成し、前記第１撹乱用データに使用できる値と処理済
    第２撹乱用データに使用できる値と変形済み表の組を複
    数格納した、第１撹乱用データおよび処理済第２撹乱用
    データおよび変形済み表格納手段と、 第１撹乱用データと処理済第２撹乱用データと変形済み
    表の組をランダムに選択し、 第１撹乱用データX1iと処理済第２撹乱用データX2oと処
    理済表とするための、第１撹乱用データおよび処理済第
    ２撹乱用データおよび変形済み表選択手段とを有するこ
    とを特徴とする、請求項１３に記載の情報処理装置。
18. 【請求項１８】 プログラムを格納するプログラム格納
    部、データを保存するデータ格納部を有する記憶装置と
    プログラムにしたがい、所定の処理を実行し、データ処
    理を行なう中央演算装置を有し、 プログラムは、中央演算装置の指示を与える処理命令か
    ら構成される一つ以上のデータ処理手段を有し、 一つのデータ処理手段が、表引きを行い、表引き結果を
    データ処理処理し、処理結果を処理済データとして出力
    する入力データ処理手段を含み、前記処理手段を複数回
    繰り返すことで処理結果を生成し、且つ、 ハミングウエイトの値が常に一定となる第１の撹乱用デ
    ータX1iと、ハミングウエイトの値が常に一定となり、
    かつ前記表引き後に行われるデータ処理を行った結果の
    ハミングウエイトも常に一定となる様な第２の撹乱用デ
    ータX2iと、前記第２の撹乱用データX2iをデータ処理し
    た結果の処理済第２撹乱用データX2oと、第１撹乱用デ
    ータX1iでインデックスを撹乱し、第２撹乱用データX2i
    でインデックスに対応したデータを撹乱することにより
    生成された変形済み表を使い、前記撹乱用データXiを使
    って入力データD1を変形し、変形データH1を作成するデ
    ータ変形手段と、 変形データH1をインデックスとして、前記変形済み表を
    引いて変形データＨ２を取り出す変形済み表アクセス処
    理手段と、処理済変形データＨ２を処理し、処理済変形
    データＨ３を得る変形済みデータ処理手段と、 第１撹乱用データX1iを用いて処理済み変形データＨ３
    を変形し、処理済変形データＨ４を得るデータ変形処理
    手段と、 処理済第２撹乱用データX2oを用いて処理済み変形デー
    タＨ４を変形し、処理済変形データＨ５を得るデータ変
    形処理手段と、 処理済変形データＨ５をインデックスとして、前記変形
    済み表を引いて変形データＨ６を取り出す変形済み表ア
    クセス処理手段と、処理済変形データＨ６を処理し、処
    理済変形データＨ７を得る変形済みデータ処理手段と、 処理済第２撹乱用データX2oを用いて処理済み変形デー
    タＨ７を変形し、入力データD1を用いて表引きを行い、
    表引き結果をデータ処理処理し、さらにその結果を用い
    て表引きを行い、表引き結果をデータ処理処理した結果
    である処理済データD2を得るデータ逆変形処理手段と、
    を有することを特徴とする情報処理装置。
19. 【請求項１９】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび変形済み表を生成する手段と
    して、 第１撹乱用データX1iを生成するための第１ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを生成するための第２ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 処理済第２撹乱用データX2oのハミングウエイトを計算
    し、処理済第２撹乱用データX2oのハミングウエイトが
    不適切な場合は第２ハミングウエイト一定乱数生成手段
    に対して、第２撹乱用データX2iの再生成を行わせる、
    ハミングウエイト検査手段と、第１撹乱用データX1iと
    第２撹乱用データX2iと表を用いて、表のインデックス
    を第１撹乱用データX1iで変形し、表のデータを第２撹
    乱用データX2iで変形し、変形済み表を生成する表変形
    手段とを有することを特徴とする、請求項１８に記載の
    情報処理装置。
20. 【請求項２０】 前記第１撹乱用データX1iおよび処理
    済第２撹乱用データX2oおよび変形済み表を生成する手
    段として、ハミングウエイト一定の値を予め複数格納し
    ている第１撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、ハミングウエイト一定かつ撹乱
    用データ処理手段で処理した結果のハミングウエイトも
    一定となる様な値を複数格納している第２撹乱用データ
    格納手段と、第２撹乱用データ格納手段に格納されたデ
    ータをランダムに選択し、第２撹乱用データX2iとする
    ための第２撹乱用データ選択手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段とを有することを特徴とす
    る、請求項１８に記載の情報処理装置。
21. 【請求項２１】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび変形済み表を生成する手段と
    して、ハミングウエイト一定の値を予め複数格納してい
    る第１撹乱用データ格納手段と、第１撹乱用データ格納
    手段に格納されたデータをランダムに選択し、第１撹乱
    用データX1iとするための第１撹乱用データ選択手段
    と、ハミングウエイト一定かつ撹乱用データ処理手段で
    処理した結果のハミングウエイトも一定となる様な、第
    ２撹乱用データと処理済第２撹乱用データの組を複数組
    格納している第２撹乱用データおよび処理済第２撹乱用
    データ格納手段と、第２撹乱用データおよび処理済第２
    撹乱用データ格納手段に格納された、第２撹乱用データ
    と処理済第２撹乱用データの組をランダムに選択し、第
    ２撹乱用データX2iおよび処理済第２撹乱用データX2oと
    するための第２撹乱用データおよび処理済第２撹乱用デ
    ータ選択手段と、第１撹乱用データX1iと第２撹乱用デ
    ータX2iと表を用いて、表のインデックスを第１撹乱用
    データX1iで変形し、表のデータを第２撹乱用データX2i
    で変形し、変形済み表を生成する表変形手段とを有する
    ことを特徴とする、請求項１８に記載の情報処理装置。
22. 【請求項２２】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび変形済み表を生成する手段と
    して、 ハミングウエイト一定の第１撹乱用データに使用できる
    値と、 ハミングウエイト一定かつ撹乱用データ処理手段で処理
    した結果のハミングウエイトも一定となる様な、第２撹
    乱用データに使用できる値を処理した結果選られる処理
    済第２撹乱用データに使用できる値と、 第１撹乱用データに使用できる値と前記処理済第２撹乱
    用データに使用できる値を生成したときに用いた第２撹
    乱用データに使用できる値を用いて、表のインデックス
    を第１撹乱用データX1iに使用できる値で変形し、表の
    データを第２撹乱用データX2iに使用できる値で変形
    し、変形済み表を生成し、 前記第１撹乱用データに使用できる値と処理済第２撹乱
    用データに使用できる値と変形済み表の組を複数格納し
    た、第１撹乱用データおよび処理済第２撹乱用データお
    よび変形済み表格納手段と、 第１撹乱用データと処理済第２撹乱用データと変形済み
    表の組をランダムに選択し、第１撹乱用データX1iと処
    理済第２撹乱用データX2oと処理済表とするための、第
    １撹乱用データおよび処理済第２撹乱用データおよび変
    形済み表選択手段とを有することを特徴とする、請求項
    １８に記載の情報処理装置。
23. 【請求項２３】 プログラムを格納するプログラム格納
    部、データを保存するデータ格納部を有する記憶装置と
    プログラムにしたがい、所定の処理を実行し、データ処
    理を行なう中央演算装置を有し、 プログラムは、中央演算装置の指示を与える処理命令か
    ら構成される一つ以上のデータ処理手段からなり、一つ
    のデータ処理手段が、表引きを行い、表引き結果をデー
    タ処理処理し、処理結果を処理済データとして出力する
    入力データ処理手段を含み、前記処理手段を複数回繰り
    返すことで処理結果を生成し、且つ、 ハミングウエイトの値が常に一定である第１の撹乱用デ
    ータX1iと、 ハミングウエイトの値が常に一定であり、かつ前記表引
    き後に行われるデータ処理を行った結果のハミングウエ
    イトも常に一定となる様な第２の撹乱用データX2iと、
    前記第２の撹乱用データX2iをデータ処理した結果の処
    理済第２撹乱用データX2oと、 ハミングウエイトの値が常に一定である第３の撹乱用デ
    ータX3iと、 ハミングウエイトの値が常に一定であり、かつ前記表引
    き後に行われるデータ処理を行った結果のハミングウエ
    イトも常に一定となる様な第４の撹乱用データX4iと、
    前記第４の撹乱用データX4iをデータ処理した結果の処
    理済第４撹乱用データX4oと、第１撹乱用データX1iを用
    いてインデックスを撹乱し、 さらに第３撹乱用データX3iで前記第一撹乱用データを
    用いた撹乱されたインデックスをさらに撹乱し、 第２撹乱用データX2iを用いて前記インデックスに対応
    したデータを撹乱し、 第４撹乱用データX4iを用いて、前記第２撹乱用データ
    を用いて撹乱されたデータをさらに撹乱することにより
    生成された第２変形済み表を使い、 前記第３撹乱用データX3iを使って入力データD1を変形
    し、変形データH1を作成するデータ変形手段と、 前記第１撹乱用データX1iを使って変型データH1を変形
    し、変形データH2を作成するデータ変形手段と、 変形データH2をインデックスとして、前記第２変形済み
    表を引いて変形データＨ３を取り出す変形済み表アクセ
    ス処理手段と、 処理済変形データＨ３を処理し、処理済変形データＨ４
    を得る変形済みデータ処理手段と、 第３撹乱用データX3iを用いて処理済み変形データＨ４
    を変形し、処理済変形データＨ５を得るデータ変形処理
    手段と、 第１撹乱用データX1iを用いて処理済み変形データＨ５
    を変形し、処理済変形データＨ６を得るデータ変形処理
    手段と、処理済第２撹乱用データX2oを用いて処理済み
    変形データＨ６を変形し、処理済変形データＨ７を得る
    データ変形処理手段と、処理済第４撹乱用データX4oを
    用いて処理済み変形データＨ７を変形し、処理済変形デ
    ータＨ８を得るデータ変形処理手段と、 処理済変形データＨ８をインデックスとして、前記第２
    変形済み表を引いて変形データＨ９を取り出す変形済み
    表アクセス処理手段と、 処理済変形データＨ９を処理し、処理済変形データＨ１
    ０を得る変形済みデータ処理手段と、 処理済第２撹乱用データX2oを用いて処理済み変形デー
    タＨ１０を逆変形し、変型データＨ１１を得るデータ逆
    変型処理手段と、 処理済第４撹乱用データX4oを用いて処理済み変形デー
    タＨ１１を逆変形し、 入力データD1を用いて表引きを行い、表引き結果をデー
    タ処理処理し、さらにその結果を用いて表引きを行い、
    表引き結果をデータ処理処理した結果である処理済デー
    タD2を得るデータ逆変形処理手段とを有することを特徴
    とする情報処理装置。
24. 【請求項２４】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび第３撹乱用データX3iおよび処
    理済第４撹乱用データX4oおよび第２変形済み表を生成
    する手段として、 第１撹乱用データX1iを生成するための第１ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを生成するための第２ハミングウ
    エイト一定乱数生成手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 処理済第２撹乱用データX2oのハミングウエイトを計算
    し、処理済第２撹乱用データX2oのハミングウエイトが
    不適切な場合は第２ハミングウエイト一定乱数生成手段
    に対して、 第２撹乱用データX2iの再生成を行わせる、ハミングウ
    エイト検査手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段と、 第３撹乱用データX3iを生成するための第１乱数生成手
    段と、 第４撹乱用データX4iを生成するための第２乱数生成手
    段と、 第４撹乱用データX4iを処理し、処理済第４撹乱用デー
    タX4oを生成する撹乱用データ処理手段と、 第３撹乱用データX3iと第４撹乱用データX4iと変形済み
    表とを用いて、変形済み表のインデックスを第３撹乱用
    データX3iで変形し、変形済み表のデータを第４撹乱用
    データX4iで変形し、第２変形済み表を生成する表変形
    処理手段とを有することを特徴とする、請求項２３に記
    載の情報処理装置。
25. 【請求項２５】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび第３撹乱用データX3iおよび処
    理済第４撹乱用データX4oおよび第２変形済み表を生成
    する手段として、 ハミングウエイト一定の値を予め複数格納している第１
    撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、 ハミングウエイト一定かつ撹乱用データ処理手段で処理
    した結果のハミングウエイトも一定となる様な値を複数
    格納している第２撹乱用データ格納手段と、第２撹乱用
    データ格納手段に格納されたデータをランダムに選択
    し、第２撹乱用データX2iとするための第２撹乱用デー
    タ選択手段と、 第２撹乱用データX2iを処理し、処理済第２撹乱用デー
    タX2oを生成する撹乱用データ処理手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段と、 第３撹乱用データX3iを生成するための第１乱数生成手
    段と、 第４撹乱用データX4iを生成するための第２乱数生成手
    段と、 第４撹乱用データX4iを処理し、処理済第４撹乱用デー
    タX4oを生成する撹乱用データ処理手段と、 第３撹乱用データX3iと第４撹乱用データX4iと変形済み
    表とを用いて、変形済み表のインデックスを第３撹乱用
    データX3iで変形し、変形済み表のデータを第４撹乱用
    データX4iで変形し、第２変形済み表を生成する表変形
    処理手段とを有することを特徴とする、請求項２３に記
    載の情報処理装置。
26. 【請求項２６】 第１撹乱用データX1iおよび処理済第
    ２撹乱用データX2oおよび第３撹乱用データX3iおよび処
    理済第４撹乱用データX4oおよび第２変形済み表を生成
    する手段として、 ハミングウエイト一定の値を予め複数格納している第１
    撹乱用データ格納手段と、 第１撹乱用データ格納手段に格納されたデータをランダ
    ムに選択し、第１撹乱用データX1iとするための第１撹
    乱用データ選択手段と、ハミングウエイト一定かつ撹乱
    用データ処理手段で処理した結果のハミングウエイトも
    一定となる様な、第２撹乱用データと処理済第２撹乱用
    データの組を複数組格納している第２撹乱用データおよ
    び処理済第２撹乱用データ格納手段と、第２撹乱用デー
    タおよび処理済第２撹乱用データ格納手段に格納され
    た、第２撹乱用データと処理済第２撹乱用データの組を
    ランダムに選択し、第２撹乱用データX2iおよび処理済
    第２撹乱用データX2oとするための第２撹乱用データお
    よび処理済第２撹乱用データ選択手段と、 第１撹乱用データX1iと第２撹乱用データX2iと表を用い
    て、表のインデックスを第１撹乱用データX1iで変形
    し、表のデータを第２撹乱用データX2iで変形し、変形
    済み表を生成する表変形手段と、 第３撹乱用データX3iを生成するための第１乱数生成手
    段と、 第４撹乱用データX4iを生成するための第２乱数生成手
    段と、 第４撹乱用データX4iを処理し、処理済第４撹乱用デー
    タX4oを生成する撹乱用データ処理手段と、 第３撹乱用データX3iと第４撹乱用データX4iと変形済み
    表とを用いて、変形済み表のインデックスを第３撹乱用
    データX3iで変形し、変形済み表のデータを第４撹乱用
    データX4iで変形し、第２変形済み表を生成する表変形
    処理手段とを有することを特徴とする、請求項２３に記
    載の情報処理装置。
27. 【請求項２７】 プログラムを格納するプログラム格納
    部、データを保存するデータ格納部を有する記憶装置と
    プログラムにしたがい、所定の処理を実行し、データ処
    理を行なう中央演算装置を有し、プログラムは、中央演
    算装置の指示を与える処理命令から構成される一つ以上
    のデータ処理手段を有し、 一つのデータ処理手段が、メッセージと秘密鍵を入力と
    し、Data EncryptionStandard(DES)暗号処理を行い、暗
    号化処理を行ない、前記暗号化処理の処理結果を生成
    し、且つ、 平文を撹乱する平文撹乱用データPXを用いて、メッセー
    ジを変形する手段と、秘密鍵を撹乱する秘密鍵撹乱用デ
    ータKXを用いて、秘密鍵データＫを変形する手段と、 ＤＥＳ暗号処理で用いられるＳＢＯＸ表のインデックス
    を撹乱するためのＳＢＯＸアドレス撹乱用データSinX1
    を用いてSBOX表のインデックスを変形しＳＢＯＸ表を並
    べ替え、かつＳＢＯＸ表の出力を撹乱するためのＳＢＯ
    Ｘデータ撹乱用データSoutXとを用いて並べ替えられた
    ＳＢＯＸ表の出力を撹乱し、変形済みＳＢＯＸ表を作成
    するためのＳＢＯＸ表変形手段と、 ＳＢＯＸの表引き処理の直前のＸＯＲ結果が、データが
    ＳｉｎＸ１および平文撹乱用データＰＸもしくはＰＸを
    変形した値で変形された値となるように調整するための
    逆変形処理もしくは変形処理を、ＸＯＲの２つの入力デ
    ータのいずれかもしくは両方に有し、 ＳＢＯＸの表引き処理の前までにデータがＳｉｎＸ１で
    変形された値に調整するための、逆変形処理をＳＢＯＸ
    の直前に有し、 ＤＥＳの最終ラウンド終了後のＩＰ置換処理の直前もし
    くは直後に、平文撹乱用データＰＸもしくはＰＸを変形
    された値を逆変形するための逆変形処理手段を有するこ
    とを特徴とする、情報処理装置。
28. 【請求項２８】 前記ＳＢＯＸ表アドレス撹乱用データ
    ＳｉｎＸ１のハミングウエイトが一定かつ、ＳＢＯＸ表
    データ撹乱用データＳｏｕｔＸのハミングウエイトと、
    転置済みＳＢＯＸデータ撹乱用データＸＳｏｕｔＸのハ
    ミングウエイトが一定であるような、ＳｏｕｔＸを用い
    ていることを特徴とする、請求項２７に記載の情報処理
    装置。
29. 【請求項２９】 前記ＳＢＯＸ表アドレス撹乱に２つ以
    上の撹乱用データ用いて、アドレスの変形を複数回おこ
    ない、ＳＢＯＸ表のデータ撹乱に２つ以上の撹乱用デー
    タを用いて、変形を複数回以上行なうＳＢＯＸ表変形手
    段を有することを特徴とする、請求項２７に記載の情報
    処理装置。
30. 【請求項３０】 ＳＢＯＸ表アドレス撹乱用データのう
    ち、１つ以上の撹乱用データのハミングウエイトのが一
    定かつ、ＳＢＯＸ表データ撹乱用データのうち、１つ以
    上の撹乱用データのハミングウエイトが一定であるよう
    な、撹乱用データを用いることを特徴とする、請求項２
    ９に記載の情報処理装置。
31. 【請求項３１】 ハミングウエイトが一定となる撹乱用
    データが、中央演算装置で一度に処理できるビット長に
    分割した際のそれぞれの部分ビットにおけるハミングウ
    エイトも一定であるような、ＳＢＯＸアドレス撹乱用デ
    ータＳｉｎＸ１、ＳＢＯＸデータ撹乱用データＳｏｕｔ
    Ｘ１を用いることを特徴とする、請求項３０に記載の情
    報処理装置。