JP2003015522A

JP2003015522A - 暗号回路

Info

Publication number: JP2003015522A
Application number: JP2001195752A
Authority: JP
Inventors: Soichi Okada; 壮一岡田; Naoya Torii; 直哉鳥居; Tomohiro Hayashi; 朋弘林; Chikahiro Deguchi; 千佳広出口; Yumi Fujiwara; 由実藤原
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2001-06-28
Filing date: 2001-06-28
Publication date: 2003-01-17
Anticipated expiration: 2021-06-28
Also published as: US7158638B2; DE60105788T2; EP1271839A3; EP1271839A2; EP1271839B1; JP3851115B2; DE60105788D1; US20030108195A1

Abstract

(57)【要約】【課題】 AESブロック暗号を実装する際に、回路規模
を小型化するとともに一定水準の高速処理が実現可能な
暗号回路を提供する。【解決手段】 Round処理部が、Round Keyの値を入力デ
ータに加算する第１Round Key加算回路と、第１Round K
ey加算回路の出力を一時的に格納するとともにShift Ro
w変換を実行する中間レジスタ兼Shift Row変換回路と、
中間レジスタ兼Shift Row変換回路の値が入力されByte
Sub変換を実行するByte Sub変換回路と、中間レジスタ
兼Shift Row変換回路の値が入力されRound Keyの値を加
算する第２Round Key加算回路と、第２Round Key加算回
路の出力に対してMix Column変換を実行するMix Column
変換回路と、第１セレクタ、中間レジスタ兼Shift Row
変換回路、Byte Sub変換回路、Mix Column変換回路の出
力のうちいずれか１つを第２Round Key加算回路に出力
する第２セレクタとを備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、共通鍵暗号として
現在の米国標準であるDESに代わり、次世代の共通鍵ブ
ロック暗号AES（Advanced Encryption Standard）とし
て標準化されつつあるRijndaelアルゴリズムをハードウ
ェア実装するための暗号回路に関する。

【０００２】

【従来の技術】電子商取引や電子マネー等、インターネ
ットを用いた様々なサービスが検討されている。これら
の技術は、個人の生活にとどまらず、会社間の取引や生
産性の向上等様々な分野で広く用いられていく技術であ
る。特に、今後は、個人認証を目的として、スマートカ
ードやモバイル機に暗号機能が搭載され、認証、電子署
名、及びデータの暗号化等に広く使われると予想され
る。

【０００３】これらの応用において、インターネット上
の第三者からの盗聴を防ぐ意味で共通鍵暗号が用いられ
る。共通鍵暗号は、現在の米国標準であるDESに代わる
次世代の共通鍵ブロック暗号AES（Advanced Encryptio
n Standard）として、Rijndaelと呼ばれる暗号アルゴ
リズムが選定され、標準化されようとしている（AESド
ラフト http://csrc.nist.gov/publications/drafts/d
fips-AES.pdf参照）。

【０００４】AESは処理ブロック長128ビットのブロック
暗号であり、その暗号化アルゴリズムは、図１に示すよ
うに、ラウンドファンクション部２０と鍵スケジュール
部１０で構成される暗号回路により実現可能であると考
えられる。ラウンドファンクション部２０は、入力デー
タを一時格納する入力レジスタ２１と、入力データと拡
大鍵との排他的論理和演算を行うEXOR処理部２２とRoun
d処理部２３、最終Round処理部２４および出力データを
一時格納する出力レジスタ２５からなる。

【０００５】Round処理部２３は、Byte Sub変換部３
１、Shift Row変換部３２、Mix Column変換部３３およ
びRound Key加算部３４からなり、最終Round処理部２４
はRound処理部２３からMix Column変換部３３を除いた
処理を行うもので、Byte Sub変換部３５、 Shift Row変
換部３６およびRound Key加算部３７から構成される。

【０００６】Round処理は繰り返し行われるが、最終Rou
nd処理を含むRound処理の繰り返し回数Nrは、鍵スケジ
ュール部１０に入力される鍵長により決められており、
表１に示すように規定されている。

【０００７】

【表１】

【０００８】このことから、各鍵長においてそれぞれRo
und処理の回数をNr-1回行い、最後に最終Round処理を行
うものであり、鍵長が128bitではRound処理が9回繰り返
され、鍵長が192bitでは11回繰り返され、鍵長が256bit
では13回繰り返され、最後に最終Round処理を行うこと
となる。EXOR回路２２、Round処理部２３および最終Rou
nd処理部２４には、鍵スケジュール部１０で生成された
Round Keyが入力される。

【０００９】鍵スケジュール部１０は、 AESドラフトに
示される鍵生成スケジュールに基づいてRound Keyを生
成するものであり、そのアルゴリズムを図２に示す。AE
Sブロック暗号の回路化にあたり、AES Proposal仕様（R
ijndael Specification，http://csrc.nist.gov/encryp
tion/aes/rijndael/Rijndael.pdf）に２つのハードウェ
ア実装が紹介されている。

【００１０】そのうちの１つは、図１に示す全ての機能
をそのまま128bit単位でハードウェア化する方法（以
下、従来例１と称す）である。この場合、暗号化と復号
化において、各機能の処理の順番が逆となり、暗号化に
おける処理回路と復号化時における処理回路を別々に用
意する必要がある。

【００１１】また、表１に示すように鍵長によりRound
処理の実施回数を変える必要があるため、鍵長毎に回路
を作成する必要がある。さらに、ラウンドファンクショ
ン部２０で使用されるRound Keyは、暗号化時と復号化
時において逆順になるため、鍵スケジュール部１０にお
いて鍵生成の順を暗号化時と復号化時とで逆にする必要
がある。したがって、暗号化時と復号化時における鍵ス
ケジュール回路を別々に構成するか、暗号化時と復号化
時において鍵スケジュール部１０を共通に使用できるよ
うな工夫をする必要がある。

【００１２】２つ目の方法は、図３に示すように、Byte
Sub変換部５１とMix Column変換部５２を有するコプロ
セッサ５０を作成してByte Sub変換とMix Column変換の
機能のみをハードウェア化し、その他の機能をプログラ
ム４１に組み込んでソフトウェア化しＣＰＵ４０で処理
する方法（以下、従来例２と称す）である。

【００１３】この場合、処理時間的にＣＰＵ４０での処
理に不向きなByte Sub変換とMix Column変換をコプロセ
ッサ５０としてハードウェア化し、他の処理をＣＰＵ４
０に格納されたプログラム４１で処理することで回路規
模を小さくすることができる。

【００１４】

【発明が解決しようとする課題】スマートカード等にAE
Sブロック暗号を組込むことを想定した場合、暗号回路
に要求される性能は、一定水準の処理速度を保ちつつ、
回路規模の小型化にある。この要求を前提とした場
合、従来提案されている全ての機能を128bit単位でハー
ドウェア化する方法では回路規模が大きすぎ、スマート
カードへの搭載が困難となる。また、Byte Sub変換とMi
x Column変換の機能のみをハードウェア化し、他機能を
ソフトウェアで処理する方法では、要求処理速度を満足
しないといった問題がある。

【００１５】また、Round Keyを生成する鍵スケジュー
ル部１０では、メモリにすべてのRound Keyを格納する
と大きなメモリ容量が必要となり、回路規模が大きくな
る。したがって、処理速度を低下させずに回路規模の削
減を行うために、メモリにすべての拡大鍵を格納する必
要がないような回路構成でRound Keyの生成を行うこと
が望まれる。

【００１６】本発明では、AESブロック暗号を実装する
際に、回路規模を小型化するとともに一定水準の高速処
理が実現可能な暗号回路の提供を目的とする。

【００１７】

【課題を解決するための手段】本発明に係る暗号回路
は、暗号鍵から所定の処理ブロック長に対応するビット
数の複数のRound Keyを生成し、入力データとRound Key
のうちの１つとEXOR演算を実行するEXOR演算部と、Byte
Sub変換、Shift Row変換、Mix Column変換、Round Key
加算を含むRound処理を複数回実行するRound処理部とを
備えるラウンドファンクション部により入力データとRo
und Keyによる暗号化／復号化処理を処理ブロック長毎
に実行する暗号回路であって、Round処理部が、入力デ
ータを処理ブロック長よりも小さい実行ブロック長に分
割する第１セレクタと、実行ブロック長毎にRound Key
の値を入力データに加算する第１Round Key加算回路
と、第１Round Key加算回路の出力を一時的に格納する
とともに処理ブロック長によるShift Row変換を実行す
る中間レジスタ兼Shift Row変換回路と、中間レジスタ
兼Shift Row変換回路の値が実行ブロック長毎に入力さ
れByte Sub変換を実行するByteSub変換回路と、中間レ
ジスタ兼Shift Row変換回路の値が実行ブロック長毎に
入力されRound Keyの値を実行ブロック長毎に加算する
第２Round Key加算回路と、第２Round Key加算回路の出
力に対してMix Column変換を実行するMix Column変換回
路と、第１セレクタ、中間レジスタ兼Shift Row変換回
路、Byte Sub変換回路、Mix Column変換回路の出力のう
ちいずれか１つを第２Round Key加算回路に出力する第
２セレクタとを備える。

【００１８】ここで、実行ブロック長は８の倍数ビット
とすることができ、処理ブロック長が１２８ビットであ
り実行ブロック長が３２ビットとすることができる。さ
らに、暗号鍵の鍵長が１２８ビット、１９２ビット、２
５６ビットのうちのいずれかとすることができる。

【００１９】また、Byte Sub変換回路は、入力データに
対して行列演算を実行する復号化用行列演算部と、入力
データと復号化用行列演算部の出力とのうちいずれかを
出力する第３セレクタと、第３セレクタから出力される
データに対して逆数演算を実行する逆数演算部と、逆数
演算部から出力されるデータに対して行列演算を実行す
る暗号化用行列演算部と、逆数演算部の出力と暗号化用
行列演算部の出力のうちいずれか一方を出力する第４セ
レクタとを備える構成とすることができる。

【００２０】さらに、復号化用行列演算部と暗号化行列
演算部は、１クロックで８ビット毎の演算を行うように
複数の排他的論理和演算回路を備えている構成とするこ
とができ、１クロックで１ビットの演算を行うように排
他的論理和演算回路を備える構成とすることができる。

【００２１】また、中間レジスタ兼Shift Row変換回路
に入力されるデータのシフト量に関するシフトデータを
暗号化時と復号化時において逆順に入力することによ
り、中間レジスタ兼Shift Row変換回路を暗号化と復号
化に共通に使用することができる。

【００２２】さらに、Mix Column変換回路は、乗数固定
の複数の乗算器と複数の乗算器の排他的論理和を演算す
るEXOR回路とを備え、各乗算器に入力されるデータと各
乗算器に設定された乗数との間で行列演算を実行するよ
うに構成できる。この場合、Mix Column変換回路は、８
ビット単位で演算が可能な４つの乗算器と４つの乗算器
の出力に基づいて排他的論理和演算を実行するEXOR回路
とを有する演算器を４つ備える構成とすることができ
る。この乗算器は、２つの乗数を制御可能であり暗号化
と復号化に共通に使用されるように構成でき、上位ビッ
トからの加算値を制御するように構成することもでき
る。

【００２３】また、暗号鍵を実行ブロック長に応じたビ
ット数に分割して出力する第５セレクタと、実行ブロッ
ク長毎にデータをラッチするフリップフロップ回路が複
数段接続されたシフトレジスタと、シフトレジスタの最
終段のフリップフロップ回路の出力と定数群のうちから
選択される１つの定数との排他的論理和演算を実行する
第１EXOR回路と、シフトレジスタのフリップフロップの
うち暗号化時に演算対象となるフリップフロップの出力
と復号化時に演算対象となるフリップフロップの出力と
が入力されいずれか１つを選択的に出力する第６セレク
タと、第６セレクタの出力をローテーション処理するRo
t Byte処理回路と、第６セレクタの出力とRot Byte処理
回路の出力とが入力され、いずれか１つを選択的に出力
する第７セレクタと、第７セレクタの出力に対して実行
ブロック長毎のByte Sub変換を実行するSub Byte処理回
路と、第６セレクタの出力とSub Byte処理回路の出力が
入力され、いずれか１つを選択的に出力する第８セレク
タと、第１EXOR回路の出力と第８セレクタの出力とに基
づいて排他的論理和演算を実行する第２EXOR回路と、シ
フトレジスタのフリップフロップのうち暗号化時にその
出力が演算対象となるフリップフロップに対して、第２
EXOR回路の出力と、隣接する段のフリップフロップの出
力とのうちいずれかを選択的に出力するシフトレジスタ
部セレクタとを備える、暗号鍵から所定の処理ブロック
長に対応するビット数の複数のRoundKeyを実行ブロック
長に対応するビット数毎に分割された拡大鍵として生成
する拡大鍵スケジュール回路を有するように構成でき
る。

【００２４】ここで、シフトレジスタは、３２ビット単
位でデータ処理を実行する８個のフリップフロップ回路
を備え、第６セレクタは、フリップフロップのうち下か
ら２段目、４段目、６段目、８段目のフリップフロップ
の出力が入力され、いずれか１つを出力するように構成
できる。

【００２５】また、第７セレクタに中間レジスタ兼Shif
t Row変換回路の出力が入力され、Sub Byte処理回路の
出力を第２セレクタに入力することにより、Sub Byte処
理回路とRound処理部のByte Sub変換回路とを共用する
ように構成できる。

【００２６】

【発明の実施の形態】〈ラウンドファンクション部〉AE
Sブロック暗号は、鍵長１２８／１９２／２５６ビッ
ト、処理ブロック長１２８ビットで暗号化／復号化を行
うものであり、図１に示すように、暗号鍵から複数のRo
und Keyを生成する鍵スケジュール部１０と、鍵スケジ
ュール部１０から供給されるRound Keyを用いて暗号化
／復号化を実行するラウンドファンクション部２０で構
成される。ラウンドファンクション部２０では、排他的
論理和演算、Byte Sub変換処理、Shift Row変換処理、M
ix Column変換処理、Round Key加算処理などの処理を行
う。

【００２７】第１実施形態は、このラウンドファンクシ
ョン部２０を実現するための回路を構成するものであ
り、図４にその回路構成を示す。各回路ブロックではSh
ift Row変換処理を除いて３２ビットによる処理を実行
し、Shift Row変換処理では１２８ビットによる処理を
実行するものとし、各回路ブロック間のデータの転送は
３２ビット単位で実施されるものとする。

【００２８】このラウンドファンクション部には、入力
データを一時格納する入力レジスタ２０１と、１２８ビ
ットの入力データから３２ビットのデータを選択する第
１セレクタ２０２と、第１セレクタ２０２の出力が１つ
の入力端子に入力される第２セレクタ２０３と、第２セ
レクタ２０３の出力が入力される第１Round Key加算回
路２０４と、第１Round Key加算回路２０４に拡大鍵ま
たは"0"を加算データとして入力する加算データセレク
タ２０５と、第１Round Key加算回路２０４の出力値を
格納するとともに１２８ビット単位でShift Row変換処
理を実行する中間レジスタ兼Shift Row変換回路２０６
と、中間レジスタ兼Shift Row変換回路２０６の値が３
２ビット毎に入力されByte Sub変換を実行するByte Sub
変換回路２０７と、中間レジスタ兼Shift Row変換回路
２０６の値が３２ビット毎に入力される第２Round Key
加算回路２０８と、第２Round Key加算回路２０８に拡
大鍵または"0"を加算データとして入力する加算データ
セレクタ２０９と、第２Round Key加算回路２０８の出
力に対してMix Column変換を実行するMix Column変換回
路２１０とを備えている。第２セレクタ２０３には、第
１セレクタ２０２、Byte Sub変換回路２０７、Mix Colu
mn変換回路２１０および中間レジスタ兼Shift Row変換
回路２０６の出力が入力されており、このうちいずれか
１つを第２Round Key加算回路２０４に出力するように
構成される。〈暗号化時の動作スケジュール〉このラウンドファンク
ション部における暗号化時における動作スケジュールを
表２に示す。

【００２９】

【表２】

【００３０】ここで、Round０では、第２セレクタ２０
３のセレクタ位置をａとして第１Round Key加算回路２
０４により拡大鍵の加算処理を実行する。第１セレクタ
２０２により入力レジスタ２０１内の入力データを３２
ビット毎に選択して第１RoundKey加算回路２０４に入力
し、鍵スケジュール部から入力されるRound Keyのうち
３２ビット毎に分割された拡大鍵の加算処理を実行す
る。入力データおよび拡大鍵を３２ビット毎に変更しな
がら、第１Round Key加算回路２０４による加算処理を
実行することで、第000サイクル〜第003サイクルの４サ
イクルで１２８ビットの処理ブロックに対し、図１にお
けるEXOR処理部２２の排他的論理和演算処理を実行する
ことができる。第１Round Key加算回路２０４による演
算結果は、３２ビット毎に中間レジスタ兼Shift Row変
換回路２０６に順次格納される。

【００３１】Round１では、図１におけるRound処理２３
を実行するものであり、Byte Sub変換処理３１、Shift
Row変換処理３２、Mix Column変換処理３３、Round Key
加算処理３４を実行する。このために、まず、第004サ
イクル〜第007サイクルで、第２セレクタ２０３のセレ
クタ位置をｂとし、中間レジスタ兼Shift Row変換回路
２０６に格納されているデータを３２ビットずつシフト
させながら読み出してByte Sub変換回路２０７に入力す
る。このとき、加算データセレクタ２０５により選択さ
れるデータを"0"とすることで、第１Round Key加算回路
２０４をマスク状態とする。Byte Sub変換回路２０７に
よる演算結果は、３２ビット毎に中間レジスタ兼Shift
Row変換回路２０６に順次格納される。このことによ
り、１２８ビットのByte Sub変換処理が行われ、演算結
果が中間レジスタ兼Shift Row変換回路２０６に格納さ
れることとなる。

【００３２】次に、第008サイクルにおいて、Shift Row
変換処理を実行する。中間レジスタ兼Shift Row変換回
路２０６では、１２８ビット単位でShift Row変換処理
を行うことが可能となっており、この第008サイクルに
おいて、１２８ビットのShift Row変換処理を実行す
る。このとき、第２セレクタ２０３のセレクタ位置はい
ずれの位置であってもよいが、次のサイクルでの処理を
考慮してｃの位置とすることが好ましい。

【００３３】第009サイクル〜第012サイクルでは、Mix
Column変換処理およびRound Key加算処理を実行する。
ここでは、中間レジスタ兼Shift Row変換回路２０６に
格納されているデータを３２ビットずつシフトさせなが
ら読み出して第２Round Key加算回路２０８に入力す
る。このとき、加算データセレクタ２０９により選択さ
れるデータを"0"とすることで、第２Round Key加算回路
２０８をマスク状態とする。また、第２セレクタ２０３
のセレクタ位置をｃとすることにより、Mix Column変換
回路２１０でMix Column変換処理が実行されたデータが
第２セレクタ２０３を介して第１Round Key加算回路２
０４に入力される。加算データセレクタ２０５により選
択されるデータは、鍵スケジュール部から入力される拡
大鍵が選択されており、第１Round Key加算回路２０４
においてRound Key加算処理が実行される。Mix Column
変換回路２１０でMix Column変換処理され、第１Round
Key加算回路２０４においてRound Key加算処理された演
算結果は、３２ビット毎に中間レジスタ兼Shift Row変
換回路２０６にそれぞれシフトされながら格納される。
このことにより、第009サイクル〜第012サイクルで、Mi
x Column変換処理およびRound Key加算処理を実行した
１２８ビットの演算結果が中間レジスタ兼ShiftRow変換
回路２０６に格納される。このようにして、第004サイ
クル〜第012サイクルの９サイクルで１つのRound処理が
実行される。

【００３４】以下、第２Round〜第（Nr−１）Roundにお
いて、第１Roundと同様の処理を実行する（ただし、Nr
は最終Round処理を含むRound処理の繰り返し回数であ
り、表１に示すように、鍵長により異なる回数が規定さ
れている）。

【００３５】第（Nr）Round（最終Round）では、図１に
おける最終Round処理２４を実行するものであり、Byte
Sub変換処理３５、Shift Row変換処理３６、Round Key
加算処理３７を実行する。

【００３６】このために、第（Nr＊９−５）サイクル〜
第（Nr＊９−２）サイクルにおいて、第２セレクタ２０
３のセレクタ位置をｂとし、中間レジスタ兼Shift Row
変換回路２０６に格納されているデータを３２ビットず
つシフトさせながら読み出してByte Sub変換回路２０７
に入力する。このとき、加算データセレクタ２０５によ
り選択されるデータを"0"とすることで、第１Round Key
加算回路２０４をマスク状態とする。Byte Sub変換回路
２０７による演算結果は、３２ビット毎に中間レジスタ
兼Shift Row変換回路２０６に順次格納される。このこ
とにより、１２８ビットのByte Sub変換処理が行われ、
演算結果が中間レジスタ兼Shift Row変換回路２０６に
格納されることとなる。

【００３７】次に、第（Nr＊９−１）サイクルにおい
て、１２８ビットのShift Row変換処理を実行する。こ
のとき、第２セレクタ２０３のセレクタ位置はいずれの
位置であってもよいが、次のサイクルでの処理を考慮し
てｄの位置とすることが好ましい。

【００３８】第（Nr＊９）サイクル〜第（Nr＊９＋３）
サイクルでは、Round Key加算処理を実行する。ここで
は、第２セレクタ２０４のセレクタ位置をｄとすること
で、中間レジスタ兼Shift Row変換回路２０６に格納さ
れているデータを３２ビットずつシフトさせながら読み
出して第２セレクタ２０３を介して第１Round Key加算
回路２０４に入力する。このとき、加算データセレクタ
２０５により選択されるデータを鍵スケジュール部から
供給される拡大鍵とすることで、第１Round Key加算回
路２０４による３２ビット毎のRound Key加算処理を実
行することができる。第１Round Key加算回路２０４に
おいてRound Key加算処理された演算結果は、３２ビッ
ト毎に中間レジスタ兼Shift Row変換回路２０６にそれ
ぞれシフトされながら格納される。このことにより、第
（Nr＊９）サイクル〜第（Nr＊９＋３）サイクルで、Ro
und Key加算処理を実行した１２８ビットの演算結果が
中間レジスタ兼Shift Row変換回路２０６に格納され
る。このようにして、第（Nr＊９−５）サイクル〜第
（Nr＊９＋３）サイクルの９サイクルで最終Round処理
が実行される。〈復号化時の動作スケジュール〉このラウンドファンク
ション部における復号化時の動作は暗号化時の逆順で処
理が実行される。このときの動作スケジュールを表３に
示す。

【００３９】

【表３】

【００４０】ここで、Round０では、第２セレクタ２０
３のセレクタ位置をａとして第１Round Key加算回路２
０４により拡大鍵の加算処理を実行する。第１セレクタ
２０２により入力レジスタ２０１内の入力データを３２
ビット毎に選択して第１RoundKey加算回路２０４に入力
し、鍵スケジュール部から入力されるRound Keyのうち
３２ビット毎に分割された拡大鍵の加算処理を実行す
る。このとき、第１セレクタ２０２を介して入力される
データは暗号化時の入力順と逆に入力され、かつ鍵スケ
ジュール部から入力される拡大鍵の入力順も暗号化時の
逆に入力することとする。このように、入力データおよ
び拡大鍵を３２ビット毎に変更しながら、第１Round Ke
y加算回路２０４による加算処理を実行することで、第0
00サイクル〜第003サイクルの４サイクルで１２８ビッ
トの処理ブロックに対するRound Key加算処理を実行す
ることができる。第１Round Key加算回路２０４による
演算結果は、３２ビット毎に中間レジスタ兼Shift Row
変換回路２０６に順次格納される。

【００４１】Round１では、Shift Row変換、Byte Sub変
換、Round Key加算、Mix Column変換の順に処理を実行
する。このために、まず、第004サイクルにおいて、中
間レジスタ兼Shift Row変換回路２０６において、１２
８ビット単位でShift Row変換処理を実行する。この場
合、暗号化時におけるShift Row変換処理と同じ処理が
行われる。また、第２セレクタ２０３のセレクタ位置は
いずれの位置であってもよいが、次のサイクルでの処理
を考慮してｂの位置とすることが好ましい。

【００４２】次に、第005サイクル〜第008サイクルで、
第２セレクタ２０３のセレクタ位置をｂとし、中間レジ
スタ兼Shift Row変換回路２０６に格納されているデー
タを３２ビットずつシフトさせながら読み出してByte S
ub変換回路２０７に入力する。このとき、加算データセ
レクタ２０５により選択されるデータを"0"とすること
で、第１Round Key加算回路２０４をマスク状態とす
る。Byte Sub変換回路２０７による演算結果は、３２ビ
ット毎に中間レジスタ兼Shift Row変換回路２０６に順
次格納される。この場合も、暗号化時の逆変換処理とな
るようにByte Sub変換処理を実行するものであり、詳細
は後述する。このことにより、１２８ビットのByte Sub
変換処理が行われ、演算結果が中間レジスタ兼Shift Ro
w変換回路２０６に格納されることとなる。

【００４３】第009サイクル〜第012サイクルでは、Roun
d Key加算処理およびMix Column変換処理を実行する。
ここでは、中間レジスタ兼Shift Row変換回路２０６に
格納されているデータを３２ビットずつシフトさせなが
ら読み出して第２Round Key加算回路２０８に入力す
る。このとき、加算データセレクタ２０９により選択さ
れるデータを鍵スケジュール部から入力される拡大鍵と
する。また、第２セレクタ２０３のセレクタ位置をｃと
して、Mix Column変換回路２１０の出力を第２セレクタ
２０３を介して第１Round Key加算回路２０４に入力す
る。このとき、加算データセレクタ２０５により選択さ
れるデータを"0"とすることにより、第１Round Key加算
回路２０４をマスク状態とする。この場合も、暗号化時
と逆変換処理となるようにMix Column変換処理を実行す
るものであり、詳細は後述する。このことにより、第２
Round Key加算回路２０８によるRound Key加算処理とMi
x Column変換回路２１０によるMix Column変換処理を実
行した１２８ビットの演算結果が中間レジスタ兼Shift
Row変換回路２０６に格納される。このようにして、第0
04サイクル〜第012サイクルの９サイクルで１つのRound
処理が実行される。

【００４４】以下、第２Round〜第（Nr−１）Roundにお
いて、第１Roundと同様の処理を実行する（ただし、Nr
は最終Round処理を含むRound処理の繰り返し回数であ
り、表１に示すように、鍵長により異なる回数が規定さ
れている）。

【００４５】第（Nr）Round（最終Round）では、Shift
Row変換処理、Byte Sub変換処理、Round Key加算処理を
実行する。このために、第（Nr＊９−５）サイクルにお
いて、１２８ビットのShift Row変換処理を実行する。
このとき、第２セレクタ２０３のセレクタ位置はいずれ
の位置であってもよいが、次のサイクルでの処理を考慮
してｂの位置とすることが好ましい。

【００４６】次に、第（Nr＊９−４）サイクル〜第（Nr
＊９−１）サイクルにおいて、第２セレクタ２０３のセ
レクタ位置をｂとし、中間レジスタ兼Shift Row変換回
路２０６に格納されているデータを３２ビットずつシフ
トさせながら読み出してByteSub変換回路２０７に入力
する。このとき、加算データセレクタ２０５により選択
されるデータを"0"とすることで、第１Round Key加算回
路２０４をマスク状態とする。Byte Sub変換回路２０７
による演算結果は、３２ビット毎に中間レジスタ兼Shif
t Row変換回路２０６に順次格納される。このことによ
り、１２８ビットのByte Sub変換処理が行われ、演算結
果が中間レジスタ兼Shift Row変換回路２０６に格納さ
れることとなる。

【００４７】第（Nr＊９）サイクル〜第（Nr＊９＋３）
サイクルでは、Round Key加算処理を実行する。ここで
は、第２セレクタ２０４のセレクタ位置をｄとすること
で、中間レジスタ兼Shift Row変換回路２０６に格納さ
れているデータを３２ビットずつシフトさせながら読み
出して第２セレクタ２０３を介して第１Round Key加算
回路２０４に入力する。このとき、加算データセレクタ
２０５により選択されるデータを鍵スケジュール部から
供給される拡大鍵とすることで、第１Round Key加算回
路２０４による３２ビット毎のRound Key加算処理を実
行することができる。第１Round Key加算回路２０４に
おいてRound Key加算処理された演算結果は、３２ビッ
ト毎に中間レジスタ兼Shift Row変換回路２０６にそれ
ぞれシフトされながら格納される。このことにより、第
（Nr＊９）サイクル〜第（Nr＊９＋３）サイクルで、Ro
und Key加算処理を実行した１２８ビットの演算結果が
中間レジスタ兼Shift Row変換回路２０６に格納され
る。このようにして、第（Nr＊９−５）サイクル〜第
（Nr＊９＋３）サイクルの９サイクルで最終Round処理
が実行される。〈中間値レジスタ兼Shift Row変換回路〉中間値レジス
タ兼Shift Row変換回路の１実施例を図５に示す。

【００４８】ここでは、８ビット単位で処理を行うシフ
トレジスタを４個設けた構成となっている。１番目のシ
フトレジスタは、４つのフリップフロップ３０２，３０
４，３０６，３０８が順次接続される構成でなり、各フ
リップフロップ３０２，３０４，３０６，３０８にはそ
れぞれ入力を選択するセレクタ３０１，３０３，３０
５，３０７が接続されている。１番目のセレクタ３０１
には、入力データIN0とフリップフロップ３０２の出力
とが入力されておりいずれか一方をフリップフロップ３
０２に入力するように構成されている。また、２〜４番
目のセレクタ３０３，３０５，３０７にはそれぞれ前段
のフリップフロップ３０２，３０４，３０６の出力およ
びフリップフロップ３０４，３０６，３０８の出力とが
入力されておりいずれか一方をフリップフロップ３０
４，３０６，３０８に入力するように構成されている。

【００４９】２番目のシフトレジスタは、４つのフリッ
プフロップ３１２，３１４，３１６，３１８が順次接続
される構成でなり、各フリップフロップ３１２，３１
４，３１６，３１８にはそれぞれ入力を選択するセレク
タ３１１，３１３，３１５，３１７が接続されている。
１番目のセレクタ３１１には、入力データIN1とフリッ
プフロップ３１２の出力およびフリップフロップ３１８
の出力が入力されておりいずれか一方をフリップフロッ
プ３１２に入力するように構成されている。また、２〜
４番目のセレクタ３１３，３１５，３１７にはそれぞれ
前段のフリップフロップ３１２，３１４，３１６の出力
およびフリップフロップ３１４，３１６，３１８の出力
とが入力されておりいずれか一方をフリップフロップ３
１４，３１６，３１８に入力するように構成されてい
る。

【００５０】３番目のシフトレジスタは、４つのフリッ
プフロップ３２２，３２４，３２６，３２８が順次接続
される構成でなり、各フリップフロップ３２２，３２
４，３２６，３２８にはそれぞれ入力を選択するセレク
タ３２１，３２３，３２５，３２７が接続されている。
１番目のセレクタ３２１には、入力データIN2とフリッ
プフロップ３２２の出力およびフリップフロップ３２６
の出力が入力されておりいずれか一方をフリップフロッ
プ３２２に入力するように構成されている。また、２番
目のセレクタ３２３には前段のフリップフロップ３２２
の出力、フリップフロップ３２４の出力およびフリップ
フロップ３２８の出力が入力されておりいずれか一方を
フリップフロップ３２４に入力するように構成されてい
る。３番目のセレクタ３２５には前段のフリップフロッ
プ３２４の出力、フリップフロップ３２６の出力および
フリップフロップ３２２の出力が入力されておりいずれ
か一方をフリップフロップ３２６に入力するように構成
されている。４番目のセレクタ３２７には前段のフリッ
プフロップ３２６の出力、フリップフロップ３２８の出
力およびフリップフロップ３２４の出力が入力されてお
りいずれか一方をフリップフロップ３２８に入力するよ
うに構成されている。

【００５１】４番目のシフトレジスタは、４つのフリッ
プフロップ３３２，３３４，３３６，３３８が順次接続
される構成でなり、各フリップフロップ３３２，３３
４，３３６，３３８にはそれぞれ入力を選択するセレク
タ３３１，３３３，３３５，３３７が接続されている。
１番目のセレクタ３３１には、入力データIN3とフリッ
プフロップ３３２の出力およびフリップフロップ３３４
の出力が入力されておりいずれか一方をフリップフロッ
プ３３２に入力するように構成されている。また、２番
目のセレクタ３３３には前段のフリップフロップ３３２
の出力、フリップフロップ３３４の出力およびフリップ
フロップ３３６の出力が入力されておりいずれか一方を
フリップフロップ３３４に入力するように構成されてい
る。３番目のセレクタ３３５には前段のフリップフロッ
プ３３４の出力、フリップフロップ３３６の出力および
フリップフロップ３３８の出力が入力されておりいずれ
か一方をフリップフロップ３３６に入力するように構成
されている。４番目のセレクタ３３７には前段のフリッ
プフロップ３３６の出力、フリップフロップ３３８の出
力およびフリップフロップ３３２の出力が入力されてお
りいずれか一方をフリップフロップ３３８に入力するよ
うに構成されている。

【００５２】このように構成した中間値レジスタ兼Shif
t Row変換回路を、各処理における中間値レジスタとし
て動作させる場合には、入力データIN0〜IN3に各８ビッ
ト単位のデータを入力することで、各サイクルにおいて
３２ビット単位で処理されたデータを格納することがで
きる。さらに、各セレクタ３０１〜３３７のセレクタ位
置をｂにして、各フリップフロップのデータを後段にシ
フトさせつつ、入力データIN0〜IN3にそれぞれ８ビット
毎のデータを入力することで、４サイクルで１２８ビッ
トのデータを入力することができる。１２８ビットのデ
ータ入力が完了した場合、１サイクル目に入力された４
つの８ビットデータは、それぞれフリップフロップ３０
８，３１８，３２８，３３８にラッチされていることと
なる。

【００５３】次にShift Row変換の動作について説明す
る。Rijndaelアルゴリズムでは、入力データをそれぞれ
８bitのデータa00〜a33に分割しこれをマトリクスとし
て処理を行い、暗号化と復号化でシフトの向きが逆にな
っている。本発明では、データの処理順をColumn（列）
配列順とし、暗号化時と復号化時において逆順に処理す
ることにより、同じ処理でShift Row変換処理を実現す
ることができる。

【００５４】

【表４】

【００５５】表４左に示すように、各Row（行）におけ
るデータが左端のColumnから順に配列されているような
場合には、暗号化時には、左端のColumnから順に処理が
実行される。また、復号化時には、表４右に示すよう
に、右端のColumnから順に処理が実行される。

【００５６】Shift Row変換処理では、暗号化時には、
表４左に示されているような配列のデータ配列をRow毎
に異なるシフト量でローテートシフトする。具体的に
は、表５に示すように、１行目をそのままとし、２行目
を左１Byteローテートシフト、３行目を左２Byteローテ
ートシフト、４行目を左３Byteローテートシフトする。
このことにより、表５左に示す処理前の状態から表５右
の処理後の状態となる。

【００５７】

【表５】

【００５８】また、復号化時には、暗号化時と逆変換処
理となるように、表４左に示されているような配列のデ
ータ配列からRow毎に異なるシフト量でローテートシフ
トする。具体的には、表６に示すように、１行目をその
ままとし、２行目を左３Byteローテートシフト、３行目
を左２Byteローテートシフト、４行目を左１Byteローテ
ートシフトする。このことにより、表６左に示す処理前
の状態から表６右の処理後の状態となる。

【００５９】

【表６】

【００６０】本実施形態では、図５に示すような中間値
レジスタ兼Shift Row変換回路を用いている。このこと
から、１２８ビットのデータの入力が完了した段階で、
最初のサイクルで入力されたデータが最後段のフリップ
フロップ３０８，３１８，３２８，３３８にラッチされ
ており、前段のフリップフロップに順にデータがラッチ
されている。データを取り出す場合には、１サイクル毎
に右側に１Byteずつシフトしながら右端に位置する最後
段のフリップフロップからデータが取り出されることと
なる。したがって、データの処理順が右端側からである
ことを考慮してデータを配列し直すと、暗号化時のShif
t Row処理前は表７の左のような形態となる。

【００６１】

【表７】

【００６２】表５と同様のローテートシフトを行うため
には、表７の右に示すように、１行目をそのままとし、
２行目を右１Byteローテートシフト、３行目を右２Byte
ローテートシフト、４行目を右３Byteローテートシフト
することとなる。

【００６３】このような暗号化時におけるShift Row変
換処理を行うためには、図５に示す中間値レジスタ兼Sh
ift Row変換回路を用いて各セレクタを切換制御し、１
２８ビット単位で一括してデータの入れ換えを行う。

【００６４】１番目のRowについては、シフトの必要が
ないため、各セレクタ３０１，３０３，３０５，３０７
のセレクタ位置をａとする。２番目のRowについては、
右１Byteローテートシフトを実行するために、セレクタ
３１１のセレクタ位置をｃとし、それ以外のセレクタ３
１３，３１５，３１７のセレクタ位置をｂとする。３番
目のRowについては、右２Byteローテートシフトを実行
するために、各セレクタ３２１，３２３，３２５，３２
７のセレクタ位置をｃとする。４番目のRowについて
は、右に３byteローテートシフトを実行するために、各
セレクタ３３１，３３３，３３５，３３７のセレクタ位
置をｃとする。

【００６５】前述したようなShift Row変換処理を実行
する前における中間値レジスタ兼Shift Row変換回路の
各フリップフロップがラッチしている出力データを図５
に示すようにそれぞれb00〜b33とすると、各出力データ
は表８の右に示すような配列で各フリップフロップの出
力にラッチされることとなる。

【００６６】

【表８】

【００６７】復号化時には、表４のように右側の列から
処理が実行されるため、表９左に示すように、データが
配列される。

【００６８】

【表９】

【００６９】表６と同様のローテートシフトを行うため
には、表９の右に示すように、１行目をそのままとし、
２行目を右１Byteローテートシフト、３行目を右２Byte
ローテートシフト、４行目を右３Byteローテートシフト
することとなる。

【００７０】したがって、前述した暗号化時におけるSh
ift Row変換時と同様に、中間値レジスタ兼Shift Row変
換回路の各セレクタのセレクタ位置を設定して、表８に
示すような暗号化時におけるローテートシフト処理と全
く同じ処理を実行することにより、復号化時におけるSh
ift Row変換処理を実行することが可能となる。

【００７１】このことにより、同一の中間値レジスタ兼
Shift Row変換回路で暗号化時および復号化時におけるS
hift Row変換処理を共用することができる。〈Mix Column変換回路〉この実施形態で採用されるMix
Column変換回路の一例を図６に示す。

【００７２】このMix Column変換回路は４つの第１演算
器３５１，第２演算器３５２，第３演算器３５３，第４
演算器３５４を含んでいる。第１演算器３５１は、それ
ぞれ８ビット単位で演算処理を実行する第１乗算器３６
１，第２乗算器３６２，第３乗算器３６３，第４乗算器
３６４と、各乗算器３６１〜３６４の出力の排他的論理
和演算を実行するEXOR回路３６５とで構成されている。
その他の第２演算器３５２〜第４演算器３５４について
も、図示していないが、第１乗算器〜第４乗算器の４つ
の乗算器とEXOR回路が設けられている。

【００７３】（a0j,a1j,a2j,a3j）で構成される第ｊ番
目のColumnを（b0j,b1j,b2j,b3j）で構成されるColumn
に変換処理を行うものとした場合、変換処理後の第ｊ番
目のColumnのデータ（b0j,b1j,b2j,b3j）は、次のよう
に表すことができる。暗号化 b0j = 02*a0j + 03*a1j + 01*a2j + 01*a3j b1j = 01*a0j + 02*a1j + 03*a2j + 01*a3j b2j = 01*a0j + 01*a1j + 02*a2j + 03*a3j b3j = 03*a0j + 01*a1j + 01*a2j + 02*a3j 復号化 b0j = 0E*a0j + 0B*a1j + 0D*a2j + 09*a3j b1j = 09*a0j + 0E*a1j + 0B*a2j + 0D*a3j b2j = 0D*a0j + 09*a1j + 0E*a2j + 0B*a3j b3j = 0B*a0j + 0D*a1j + 09*a2j + 0E*a3j ここで、各項に乗算されている係数はそれぞれ２桁の１
６進数である。

【００７４】このようなMix Column変換処理を実行する
ために、Column単位の３２ビットデータをそれぞれ第１
演算器３５１〜第４演算器３５４に入力して、第１乗算
器〜第４乗算器による乗算およびEXOR回路による演算を
行う。

【００７５】各演算器３５１〜３５４に設けられる乗算
器３６１〜３６４は、暗号化および復号のいずれの場合
にも共通に使用することができるように、暗号化時の係
数および復号化時の係数を備えており、演算時に選択す
ることが可能に構成されている。

【００７６】第１演算器３５１の第１乗算器３６１で
は、入力されるデータに対して0x02倍または0x0E倍のい
ずれかの乗算が可能となっている。第２乗算器３６２で
は、入力されるデータに対して0x03倍または0x0B倍のい
ずれかの乗算が可能となっている。第３乗算器３６３で
は、入力されるデータに対して0x01倍または0x0D倍のい
ずれかの乗算が可能となっている。第４乗算器３６４で
は、入力されるデータに対して0x01倍または0x09倍のい
ずれかの乗算が可能となっている。

【００７７】第２演算器３５２の第１乗算器では、入力
されるデータに対して0x01倍または0x09倍のいずれかの
乗算が可能となっている。第２乗算器では、入力される
データに対して0x02倍または0x0E倍のいずれかの乗算が
可能となっている。第３乗算器では、入力されるデータ
に対して0x03倍または0x0B倍のいずれかの乗算が可能と
なっている。第４乗算器では、入力されるデータに対し
て0x01倍または0x0D倍のいずれかの乗算が可能となって
いる。

【００７８】第３演算器３５３の第１乗算器では、入力
されるデータに対して0x01倍または0x0D倍のいずれかの
乗算が可能となっている。第２乗算器では、入力される
データに対して0x01倍または0x09倍のいずれかの乗算が
可能となっている。第３乗算器では、入力されるデータ
に対して0x02倍または0x0E倍のいずれかの乗算が可能と
なっている。第４乗算器では、入力されるデータに対し
て0x03倍または0x0B倍のいずれかの乗算が可能となって
いる。

【００７９】第４演算器３５４の第１乗算器では、入力
されるデータに対して0x03倍または0x0B倍のいずれかの
乗算が可能となっている。第２乗算器では、入力される
データに対して0x01倍または0x0D倍のいずれかの乗算が
可能となっている。第３乗算器では、入力されるデータ
に対して0x01倍または0x09倍のいずれかの乗算が可能と
なっている。第４乗算器では、入力されるデータに対し
て0x02倍または0x0E倍のいずれかの乗算が可能となって
いる。

【００８０】このような第１演算器３５１〜第４演算器
３５４の第１乗算器〜第４乗算器の各係数を暗号化時お
よび復号化時において変更することにより、暗号化時と
復号化時における回路構成を共通に使用することが可能
となる。〈Mix Column変換回路の乗算器〉Mix Column変換回路中
に含まれる乗算器の一例を図７に示す。

【００８１】入力される８ビットデータ（a7,a6,a5,a4,
a3,a2,a1,a0）に対し、係数（b3,b2,b1,b0）の乗算を行
うものとする。この場合、８ビットデータ（a7,a6,a5,a
4,a3,a2,a1,a0）に係数の各ビットを乗算する部分積演
算部３７５〜３７８を設けている。さらに、係数の最上
位ビットを乗算する部分積演算部３７５の演算結果に対
して、部分積演算部３７６の演算結果を１ビットシフト
させて加算する加算器３７１、部分積演算部３７７の演
算結果をさらに１ビットシフトさせて加算する加算器３
７２、部分積演算部３７８の演算結果をさらに１ビット
シフトさせて加算する加算器３７３を備えている。加算
器３７３の演算結果と部分積演算部３７５、各加算器３
７１〜３７３でオーバーフローしたキャリーが入力さ
れ、除数により除算される除算器３７４が設けられてい
る。

【００８２】このような構成により、係数（b3,b2,b1,b
0）として、暗号化時における係数と復号化時における
係数とを選択的にセットすることでMix Column変換処理
を暗号化時と復号化時において共通に使用することがで
きる。

【００８３】（b3,b2,b1,b0）としてセットされる係数
は、前述したように、各乗算器について２つずつ設定さ
れている。各乗算器における係数の組み合わせは、（0x
02,0x0E）,（0x03,0x0B），（0x01,0x0D），（0x01,0x0
9）の４通りであり、これを下位４ビットで表示する
と、（0010,1110）,（0011,1011），（0001,1101），
（0001,1001）となる。このような係数において共通す
るビットの演算は部分積の制御を行わず、異なるビット
の演算は加算処理を制御することで、回路規模を小さく
することが可能である。

【００８４】たとえば、係数が（0x01,0x0D）の組み合
わせの場合、２進数で表現すると（0001,1101）とな
り、上位２ビットの部分積の加算結果を下位２ビットの
部分積に加算するか否かを制御することで、２つの係数
を選択して乗算することが可能となる。係数（0x01,0x0
D）の組み合わせの場合における回路構成の例を図８に
示す。

【００８５】図８では、入力される８ビットデータ（a
7,a6,a5,a4,a3,a2,a1,a0）に対し、１ビットシフトさせ
て加算処理を実行する第１加算器３８１が設けられてい
る。第１加算器３８１の出力は、制御ロジック３８２を
介して第２加算器３８３に入力されている。この第２加
算器３８３は、係数の最下位ビットによる部分積演算結
果を加算するものであって、入力される８ビットデータ
に対して３ビットシフトさせて加算処理を実行するよう
に構成されている。

【００８６】加算器３８３の演算結果と第１加算器３８
１および第２加算器３８３でオーバーフローしたキャリ
ーが入力され、除数により除算される除算器３８４が設
けられている。

【００８７】制御ロジック３８２は、係数が0x01である
場合には、上位２ビットの演算結果である第１加算器３
８１の出力を第２加算器３８３に出力しない。また、制
御ロジック３８２は、係数が0x0Dである場合には、上位
２ビットの演算結果である第１加算器３８１の出力を第
２加算器３８３に出力するように構成される。

【００８８】ここでの乗算は既約多項式M(x)＝ｘ⁸＋ｘ⁴
＋ｘ³＋ｘ＋１とするＧＦ（２⁸）上での乗算であり、加
算はＧＦ（２）上での加算であるため、排他的論理和演
算で実現することが可能である。

【００８９】このように、２つの係数の異なるビットに
おける部分積の加算処理を制御することにより回路規模
を小さくすることができ、回路規模を削減することが可
能となる。〈鍵スケジュール部〉鍵スケジュール部の回路構成の一
例を図９に示す。

【００９０】この鍵スケジュール部は、主に、拡大鍵生
成ロジック部１０１、拡大鍵レジスタ１２０および鍵入
力レジスタ１３１とから構成されている。鍵入力レジス
タ１３１は、８個の３２ビットレジスタk0〜k7から構成
される２５６ビットのレジスタであり、レジスタk0から
順に暗号鍵が３２ビット毎に格納される。暗号鍵が２５
６ビットの場合にはレジスタk0〜k7全てにデータが格納
され、暗号鍵が１９２ビットの場合にはレジスタk0〜k5
にデータが格納され、暗号鍵が１２８ビットの場合には
レジスタk0〜k3にデータが格納される。

【００９１】鍵入力レジスタ１３１には、各レジスタk0
〜k7のうちいずれか１つの値を選択的に出力するセレク
タ１３２が接続されている。このセレクタ１３２は、鍵
入力レジスタ１３１の２５６ビットデータから３２ビッ
トのデータを選択して拡大鍵レジスタ１２０の最下位に
入力するものである。

【００９２】拡大鍵レジスタ１２０は、３２ビット単位
での処理が可能な８個のフリップフロップ１２１〜１２
８が順次接続されたシフトレジスタで構成されている。
最下位に位置するフリップフロップ１２８には、セレク
タ１３２の出力と拡大鍵生成ロジック部１０１の出力を
選択するセレクタ１１３の出力が入力される。フリップ
フロップ１２８の出力W7KEYは、フリップフロップ１２
７に入力されている。フリップフロップ１２７の出力W6
KEYは、フリップフロップ１２６の前段にあるセレクタ
１１２に入力されている。セレクタ１１２には、フリッ
プフロップ１２７の出力W6KEYと拡大鍵生成ロジック１
０１の出力とが入力されており、いずれか一方をフリッ
プフロップ１２６に入力するように構成されている。

【００９３】フリップフロップ１２６の出力W5KEYは、
フリップフロップ１２５に入力されている。フリップフ
ロップ１２５の出力W4KEYは、フリップフロップ１２４
の前段にあるセレクタ１１１に入力されている。セレク
タ１１１には、フリップフロップ１２５の出力W4KEYと
拡大鍵生成ロジック１０１の出力とが入力されており、
いずれか一方をフリップフロップ１２４に入力するよう
に構成されている。

【００９４】フリップフロップ１２４の出力W3KEYは、
フリップフロップ１２３に入力されている。フリップフ
ロップ１２３の出力W2KEYは、フリップフロップ１２２
に入力されている。フリップフロップ１２２の出力W1KE
Yは、フリップフロップ１２１に入力されている。

【００９５】拡大鍵生成ロジック部１０１は、拡大鍵生
成用定数Rconが格納されているＲＯＭ１０２、ＲＯＭ１
０２から読み出される値と読出信号RCON#ENとの論理積
演算を行うAND回路１０３、拡大鍵レジスタ１２０の最
上位に位置するフリップフロップ１２１の出力W0KEYとA
ND回路１０３の出力が入力されて排他的論理和演算を実
行するEXOR回路１０４を含んでいる。

【００９６】また、拡大鍵生成ロジック部１０１は、フ
リップフロップ１２１の出力W0KEY、フリップフロップ
１２４の出力W3KEY、フリップフロップ１２６の出力W5K
EY、フリップフロップ１２８の出力W7KEYが入力され、
いずれか１つを選択的に出力するセレクタ１０５を備え
ている。セレクタ１０５の出力は、データのローテーシ
ョン処理を行うRot Byte回路１０６、セレクタ１０７、
セレクタ１０９に入力されている。セレクタ１０７に
は、Rot Byte回路１０６の出力とセレクタ１０５の出力
が入力されており、いずれかをSub Byte回路１０８に供
給する。Sub Byte回路１０８は、３２ビット分のByte S
ub変換処理を実行するものであり、その出力がセレクタ
１０９に供給する。セレクタ１０９は、Sub Byte回路１
０８の出力とセレクタ１０５の出力が入力され、いずれ
か一方を出力する。拡大鍵生成ロジック部１０１は、EX
OR回路１０４の出力とセレクタ１０９の出力が入力さ
れ、排他的論理和演算を実行するEXOR回路１１０を備え
ている。

【００９７】このように構成される鍵スケジュール部で
は、ラウンドファンクション部のRound Key加算処理
に用いる拡大鍵の生成、暗号化時における鍵入力レジ
スタの書き換えと、暗号化と復号化終了に伴う拡大鍵初
期値のセットアップ、復号化時の鍵入力レジスタの書
き換えに伴う拡大鍵初期値のセットアップなどの機能を
備える。

【００９８】ラウンドファンクション部のRound Key加
算処理で用いられるRound Keyは、鍵長２５６ビットの
場合では、Initial Round KeyとRound Key01〜Round Ke
y14の合計１５個必要となる。各Round keyは処理ブロッ
ク長に対応して１２８ビットで構成されており、鍵スケ
ジュール部で生成される３２ビットの拡大鍵で各Round
keyを充当するためには、W00〜W59の６０個の拡大鍵が
必要となる。このような拡大鍵W00〜W59は、暗号化時に
はW00→W59の順に使用され、復号化時にはW59→W00の順
に使用される。この実施形態では、表１０に示すよう
に、暗号化時にW00→W59の順に拡大鍵を生成するととも
に、復号化時においてW59→W00の順に拡大鍵の生成を行
うように構成する。

【００９９】

【表１０】

【０１００】ここで、暗号化時の拡大鍵W08は、W08=W00
^Sub Byte(Rot Byte(W07))^Rcon[1]の式により、W00とS
ub Byte(Rot Byte(W07))と定数Rcon[1]との排他的論理
和で演算される。A^A=Aという性質を利用すると、拡大
鍵W00は、W00= W08^Sub Byte(Rot Byte(W07))^Rcon[1]
で表され、W08とW07から生成できることがわかる。よっ
て、復号化では、一旦、W00=>W59まで生成して、暗号化
の時と逆の順番W59=>W00で拡大鍵を生成することが可能
である。これにより、復号化時もすべての拡大鍵をメモ
リに格納しておく必要はなく、各ラウンドで必要な拡大
鍵だけを生成しながら、復号処理を行うことが可能とな
る。

【０１０１】まず、ラウンドファンクション部でのRoun
d Key加算用拡大鍵の生成について説明する。表１０に
示すように各ラウンドのRound Key加算で4個の拡大鍵(3
2bit単位)が使用され、拡大鍵はラウンドファンクショ
ンのMix Column変換 + Round Key加算のバックグラウン
ドで演算されるため4個の拡大鍵は4サイクルで作成すれ
ばよい。このため図９に示すような回路構成において、
１サイクルで１個の拡大鍵を生成する構成となってい
る。拡大鍵レジスタ１２０はシフトレジスタで構成され
ており、ラウンドファンクション部で使用される現在の
拡大鍵は、フリップフロップ１２１の出力W0KEYを用い
る。

【０１０２】拡大鍵生成ロジック部１０１のセレクタ１
０５(SEL#B)は、表１１に示すように、鍵長と暗号化/復
号化の2種類の条件により切り換え制御が行われる。ま
た、拡大鍵生成ロジック部１０１の出力が供給されるセ
レクタ１１１，１１２，１１３（SEL#E〜SEL#G）は、鍵
長に基づいて、表１２のように設定される。ただし、暗
号鍵が初期値として入力される際には、各セレクタ１１
１〜１１３のセレクタ位置はｂが選択される。さらに、
セレクタ１０７，１０９(SEL#C〜D)は、表１３に示すよ
うに、各拡大鍵の生成論理により切り換え制御が行われ
る。ＲＯＭ１０２には、EXOR回路１０４に供給される定
数Rcon[i]が格納されており、アドレスｉ番地に対応す
る各定数Rcon[i]が表１４に示すように格納されてい
る。

【０１０３】

【表１１】

【０１０４】

【表１２】

【０１０５】

【表１３】

【０１０６】

【表１４】

【０１０７】表１０に示すように、鍵長が２５６ビット
である場合の各演算について回路動作を説明する。な
お、ラウンドファンクション動作前に、鍵入力レジスタ
１３１の各レジスタk0〜k7の値をロードすることによっ
て、No.00〜07からの初期値が拡大鍵レジスタ１２０の
各フリップフロップ１２１〜１２８にセットされている
ものとする。

【０１０８】暗号化時における拡大鍵W08は、表１０に
示されているように、W08=W00^Sub Byte(Rot Byte(W0
7))^Rcon[1]で演算される。このW08=W00^Sub Byte(Rot
Byte(W07))^Rcon[1]の演算開始時には、フリップフロッ
プ１２１の出力W0KEYにはW00がセットされており、EXOR
回路１０４に入力される。また、フリップフロップ１２
８の出力W7KEYにはW07がセットされており、このW07が
セレクタ１０５（SEL#B）に入力されている。

【０１０９】ROM１０２のRconアドレスを"1"にし、AND
回路１０３に入力される読出信号RCON#ENをイネーブル
にして、Rcon[1]^W00の演算をEXOR回路１０４で行い、
その結果をEXOR回路１１０に入力する。一方、セレク
タ１０５（SEL#B）を通過したW07は、Rot Byte回路１０
６とSub Byte回路１０７による処理が行われ、Sub Byte
(Rot Byte(W07)) の演算結果がEXOR回路１１０に入力さ
れる。よって、EXOR回路１１０では、W08=W00^Sub Byte
(Rot Byte(W07))^Rcon[1]の演算が行われる。

【０１１０】次に、拡大鍵W09=W01^W08の演算処理を説
明する。W09=W01^W08の演算開始時には、フリップフロ
ップ１２１の出力W0KEYにはW01がセットされており、EX
OR回路１０４にこれが入力されている。フリップフロッ
プ１２８の出力W7KEYにはW08がセットされており、セレ
クタ１０５（SEL#B）に入力されている。AND回路１０３
に入力される読出信号RCON#ENをディセーブルにして、
フリップフロップ１２１から入力されるW01がそのままE
XOR回路１１０に入力されるように設定する。このと
き、セレクタ１０９（SEL#D）ではセレクタ位置がｂに
設定されており、セレクタ１０５（SEL#B）を通過したW
08が、セレクタ１０９を介してそのままEXOR回路１１０
に入力される。

【０１１１】よって、EXOR回路１１０では、W09=W01^W0
8の演算が行われる。 W10〜W11、W13〜W15も同じパスで
それぞれ演算が行われる。拡大鍵W12の演算処理を説明
する。拡大鍵W12=W04^SubByte(W11)で演算され、この演
算の開始時には、フリップフロップ１２１の出力W0KEY
にはW04がセットされ、EXOR回路１０４に入力されてい
る。また、フリップフロップ１２８の出力W7KEYにはW11
がセットされておりセレクタ１０５（SEL#B）に入力さ
れている。AND回路１０３に入力される読出信号RCON#EN
をディセーブルとして、W04がそのままEXOR回路１０４
に入力されるように設定する。一方、セレクタ１０７
（SEL#C）ではセレクタ位置がｂに設定されており、セ
レクタ１０５（SEL#B）を通過したW11が、セレクタ１０
７（SEL#C）を介してSub Byte回路１０８に入力され
る。このことにより、Sub Byte回路１０８によるSub By
te処理が行われ、Sub Byte(W11) の演算結果がEXOR回路
１１０に入力される。よって、EXOR回路１１０では、W1
2=W04^Sub Byte(W11)の演算が行われる。

【０１１２】以上の要領で全ての拡大鍵について演算が
行われる。次に、暗号化時の鍵入力レジスタ１３１の書
換えと、暗号化と復号化終了に伴う拡大鍵初期値のセッ
トアップについて説明する。このセットアップ動作は、
次の暗号化もしくは復号化に備え、鍵入力レジスタ１３
１に格納されている拡大鍵初期値を拡大鍵レジスタ１２
０に転送する動作である。

【０１１３】鍵入力レジスタ１３１にセットされた拡大
鍵初期値は、セレクタ１３２(SEL#A)により３２ビット
単位でデータ選択が行われ、セレクタ１１３(SEL#G)の
セレクタ位置ｂを経由して拡大鍵レジスタ１２０にセッ
トされる。拡大鍵レジスタ１２０は、前述したようにシ
フトレジスタ構成であり、フリップフロップ１２８（FF
7）=>フリップフロップ１２７（FF6）=>フリップフロッ
プ１２６（FF5）=>フリップフロップ１２５（FF4）=>フ
リップフロップ１２４（FF3）=>フリップフロップ１２
３（FF2）=>フリップフロップ１２２（FF1）=>フリップ
フロップ１２１（FF0）へとシフトして行き、８サイク
ルで全ての拡大鍵初期値が転送される。なお、セレクタ
１３２（SEL#A）で選択される鍵入力データは鍵入力レ
ジスタ１３１のレジスタk0,k1,k2,k3,k4,k5,k6,k7の順
番である。

【０１１４】復号化時の鍵入力レジスタ１３１の書換え
に伴う拡大鍵初期値のセットアップについて説明する。
表１０のように、復号化においては、拡大鍵初期値を暗
号化での最終拡大鍵のセット(W59〜W52)とする必要があ
る。鍵入力レジスタ１３１の書換えにより、鍵入力レジ
スタ１３１にセットされたデータを前述した方法で、一
旦、拡大鍵レジスタ１２０に転送し、暗号化の拡大鍵生
成論理に従い、最終拡大鍵のセット（W52〜W59）まで図
９の回路を動作させる。

【０１１５】この最終拡大鍵のセットの生成期間に、W5
2の生成時にW52を鍵入力レジスタ１３１のレジスタk7に
転送し、W53の生成時にW53をレジスタk6に転送し、W54
の生成時にW54をレジスタk5に転送し、W55の生成時にW5
5をレジスタk4に転送し、W56の生成時にW56をレジスタk
3に転送し、W57の生成時にW57をレジスタk2に転送し、W
58の生成時にW58をレジスタk1に転送し、W59の生成時に
W59をk0に転送することにより鍵入力レジスタ１３１に
逆の順番で最終拡大鍵をセットする。さらに、鍵入力レ
ジスタ１３１の最終拡大鍵のセットを前述した方法で拡
大鍵レジスタ１２０に転送することで復号化時の鍵入力
レジスタの書換えに伴う拡大鍵初期値のセットアップが
完了するこの後、セレクタ１０５（SEL#B）、セレクタ
１０７（SEL#C）、セレクタ１０９（SEL#D）、セレクタ
１１１〜１１３（SEL#E〜SEL#G）を表１１〜表１３に示
すようなセレクタ位置に設定し、復号化に必要な各拡大
鍵を順次生成する。〈Byte Sub変換回路の共用化〉上述
した鍵スケジュール部のSub Byte処理およびラウンドフ
ァンクション部のByte sub変換処理では、ともに３２ビ
ット単位でのByte Sub変換処理を実行しているため、こ
れらの処理回路を共用化することが考えられる。

【０１１６】たとえば、図９に示す鍵スケジュール部に
設けられるSub Byte回路１０８をラウンドファンクショ
ン部のByte Sub変換回路と共用化することについて考
察。図４に示すラウンドファンクション部における中間
レジスタ兼Shift Row変換回路２０６からByte Sub変換
回路２０７への入力BSINを、図９に示す拡大鍵生成ロジ
ック部１０１のセレクタ１０７のセレクタ位置ｃに接続
する。さらに、拡大鍵生成ロジック部１０１のSub Byte
回路１０８からの出力を、図４のByte Sub変換回路２０
７の出力BSOUTとしてセレクタ２０３に接続する。

【０１１７】Sub Byte回路１０８を用いてByte Sub変換
処理を行う場合には、表１３に示すように、セレクタ１
０７（SEL#C）のセレクタ位置をｃとし、セレクタ１０
９（SEL#D）のセレクタ位置をｂとする。このことによ
って、拡大鍵生成ロジック部１０１のSub Byte回路１０
８を用いてラウンドファンクション部のByte Sub変換処
理を実行することが可能となる。〈Byte Sub変換回路〉Byte Sub変換処理は、８ビット単
位での逆数演算と行列演算との組み合わせで構成されて
おり、暗号化時においては逆数演算を行った後に行列演
算を実行し、復号化時においては行列演算を行った後に
逆数演算を実行する。このようなByteSub変換処理を、
暗号化時と復号化時において共通の回路で実施するため
に、図１０に示すような回路を提案する。

【０１１８】図１０に示すByte Sub変換回路３９１は、
復号化用行列演算回路３９２と、セレクタ３９３、逆数
演算回路３９４、暗号化用行列演算回路３９５、セレク
タ３９６とで構成されている。

【０１１９】セレクタ３９３は、入力データと復号化用
行列演算回路３９２の出力が入力されておりいずれか一
方を逆数演算回路３９４に入力するように構成されてい
る。また、セレクタ３９６は、逆数演算回路３９４の出
力と暗号化用行列演算回路３９５の出力が入力されてお
り、いずれか一方を出力するように構成されている。

【０１２０】暗号化時には、セレクタ３９３を入力デー
タ側にし、セレクタ３９６を暗号化用行列演算回路３９
５側にする。また、復号化時には、セレクタ３９３を復
号化用行列演算回路３９２側にし、セレクタ３９６を逆
数演算回路３９４側にする。このことにより、暗号化時
におけるByte Sub変換処理と、復号化時におけるByteSu
b変換処理とを共通の回路構成で実現することが可能と
なる。

【０１２１】暗号化時における行列演算処理は、次のよ
うな数１で表される。

【０１２２】

【数１】

【０１２３】これを展開すると、次に示す数２のように
表すことができる。ただし、ここでの”＋”は排他的論
理和演算で構成される。

【０１２４】

【数２】

【０１２５】また、復号化時における行列演算処理は、
次のような数３で表される。

【０１２６】

【数３】

【０１２７】これを同様に展開すると、次に示す数４の
ように表すことができる。

【０１２８】

【数４】

【０１２９】暗号化用行列演算回路の一例を図１１に示
す。ここでは、８ビットの入力レジスタ４０１、出力レ
ジスタ４０３および排他的論理和と否定で構成される論
理回路４０２で構成される。暗号化時において数２に示
すような排他的論理和演算を実行するためには、論理回
路４０２内の排他的論理和回路のうち、重複する演算処
理を共用化することで１６個のEXORと４個のＮＯＴを組
み合わせることにより実現することが可能となる。

【０１３０】復号化用行列演算回路の一例を図１２に示
す。暗号化用行列演算回路と同様に、８ビットの入力レ
ジスタ４０５、出力レジスタ４０７および排他的論理和
と否定で構成される論理回路４０６で構成されている。
ここでも暗号化用行列演算回路と同様に、復号化時にお
いて数４に示すような排他的論理和演算を実行するため
に、論理回路４０６内の排他的論理和回路のうち、重複
する演算処理を共有化することで１３個のEXOR回路と２
個のＮＯＴを組み合わせることで実現することが可能と
なる。

【０１３１】暗号化用行列演算回路の他の例を図１３に
示す。この暗号化用行列演算回路は、入力レジスタ４１
１、出力レジスタ４１４、定数保持用レジスタ４１３お
よび排他的論理回路で構成される論理回路４１２を備え
ている。入力レジスタ４１１、出力レジスタ４１４、定
数保持用レジスタ４１３は、いずれも８ビットのシフト
レジスタで構成されており、クロックに同期して１ビッ
トずつ右にローテートシフトする。

【０１３２】数１の右辺第１項の定数は、１つの行が３
つの"0"と５つの"1"でなり、１つずつシフトするように
構成されている。これから、入力レジスタ４１１のx0,x
4,x5,x6,x7の各ビットをローテートシフトさせながら論
理回路４１２に入力してEXOR演算を実行することで、数
１の右辺第１項の行列演算を行うことができる。

【０１３３】また、定数保持用レジスタ４１３には、下
位ビットから順に数１右辺第２項の定数がセットされて
いる。定数保持用レジスタ４１３の値をローテートシフ
トさせながら最下位ビットの値を論理回路４１２に入力
しEXOR演算を実行することで、数１右辺第２項の行列演
算を行うことができる。

【０１３４】このことにより、入力レジスタ４１１にデ
ータがセットされると、最初のクロックでy0が演算され
て出力レジスタ４１４に格納される。次のクロックで
は、y1が演算されて出力レジスタ４１４に格納され、以
下順次演算処理を実行して８クロックで（y7,y6,y5,y4,
y3,y2,y1,y0）の演算が完了する。この場合の論理回路
４１２は５個のEXOR回路で数２の演算処理を実行するこ
とが可能となる。

【０１３５】これと同様に構成した復号化用行列演算回
路の他の例を図１４に示す。この復号化用行列演算回路
は、入力レジスタ４１５、出力レジスタ４１８、定数保
持用レジスタ４１７および排他的論理回路で構成される
論理回路４１６を備えている。入力レジスタ４１５、出
力レジスタ４１８、定数保持用レジスタ４１７は、いず
れも８ビットのシフトレジスタで構成されており、クロ
ックに同期して１ビットずつ右にローテートシフトす
る。

【０１３６】数３の右辺第１項の定数は、１つの行が５
つの"0"と３つの"1"の組み合わせでなり、１つずつシフ
トするように構成されている。これから、入力レジスタ
４１５のx2,x5,x7の各ビットをローテートシフトさせな
がら論理回路４１６に入力してEXOR演算を実行すること
で、数３の右辺第１項の行列演算を行うことができる。

【０１３７】また、定数保持用レジスタ４１７には、下
位ビットから順に数３右辺第２項の定数がセットされて
いる。定数保持用レジスタ４１７の値をローテートシフ
トさせながら最下位ビットの値を論理回路４１６に入力
しEXOR演算を実行することで、数３右辺第２項の行列演
算を行うことができる。

【０１３８】このことにより、入力レジスタ４１５にデ
ータがセットされると、最初のクロックでy0が演算され
て出力レジスタ４１８に格納される。以下、暗号化時と
同様に順次演算処理を実行して８クロックで（y7,y6,y
5,y4,y3,y2,y1,y0）の演算が完了する。この場合の論理
回路４１６は３個のEXOR回路で数４の演算処理を実行す
ることが可能となる。（付記１）暗号鍵から所定の処理ブロック長に対応する
ビット数の複数のRound Keyを生成し、入力データと前
記Round Keyのうちの１つとEXOR演算を実行するEXOR演
算部と、Byte Sub変換、Shift Row変換、Mix Column変
換、Round Key加算を含むRound処理を複数回実行するRo
und処理部とを備えるラウンドファンクション部により
入力データと前記Round Keyによる暗号化／復号化処理
を前記処理ブロック長毎に実行する暗号回路であって、
前記Round処理部が、入力データを前記処理ブロック長
よりも小さい実行ブロック長に分割する第１セレクタ
と、前記実行ブロック長毎に前記Round Keyの値を入力
データに加算する第１Round Key加算回路と、前記第１R
ound Key加算回路の出力を一時的に格納するとともに前
記処理ブロック長によるShift Row変換を実行する中間
レジスタ兼Shift Row変換回路と、前記中間レジスタ兼S
hift Row変換回路の値が前記実行ブロック長毎に入力さ
れByte Sub変換を実行するByte Sub変換回路と、前記中
間レジスタ兼Shift Row変換回路の値が前記実行ブロッ
ク長毎に入力され前記Round Keyの値を前記実行ブロッ
ク長毎に加算する第２Round Key加算回路と、前記第２R
ound Key加算回路の出力に対してMix Column変換を実行
するMix Column変換回路と、前記第１セレクタ、中間レ
ジスタ兼Shift Row変換回路、Byte Sub変換回路、Mix C
olumn変換回路の出力のうちいずれか１つを前記第２Rou
nd Key加算回路に出力する第２セレクタとを備えること
を特徴とする暗号回路。

【０１３９】（付記２）前記実行ブロック長は８の倍数
ビットである付記１に記載の暗号回路。（付記３）前記処理ブロック長が１２８ビットであり、
前記実行ブロック長が３２ビットである付記１または２
に記載の暗号回路。

【０１４０】（付記４）前記暗号鍵の鍵長が１２８ビッ
ト、１９２ビット、２５６ビットのうちのいずれかであ
る付記１〜３に記載の暗号回路。

【０１４１】（付記５）前記Byte Sub変換回路は、入力
データに対して行列演算を実行する復号化用行列演算部
と、入力データと前記復号化用行列演算部の出力とのう
ちいずれかを出力する第３セレクタと、前記第３セレク
タから出力されるデータに対して逆数演算を実行する逆
数演算部と、前記逆数演算部から出力されるデータに対
して行列演算を実行する暗号化用行列演算部と、前記逆
数演算部の出力と前記暗号化用行列演算部の出力のうち
いずれか一方を出力する第４セレクタとを備える付記１
〜４のいずれかに記載の暗号回路。

【０１４２】（付記６）前記復号化用行列演算部と前記
暗号化行列演算部は、１クロックで８ビットの演算を行
うようにEXOR回路を接続している付記５に記載の暗号回
路。

【０１４３】（付記７）前記復号化行列演算部と前記暗
号化行列演算部は、１クロックで１ビットの演算を行う
ようにEXOR回路を接続している付記５に記載の暗号回
路。

【０１４４】（付記８）前記中間レジスタ兼Shift Row
変換回路に入力されるデータのシフト量に関するシフト
データを暗号化時と復号化時において逆順に入力するこ
とにより、前記中間レジスタ兼Shift Row変換回路を暗
号化と復号化に共通に使用する、付記１〜７のいずれか
に記載の暗号回路。

【０１４５】（付記９）前記Mix Column変換回路は、乗
数固定の複数の乗算器と前記複数の乗算器の排他的論理
和を演算するEXOR回路とを備え、各乗算器に入力される
データと各乗算器に設定された乗数との間で行列演算を
実行する、付記１〜８のいずれかに記載の暗号回路。

【０１４６】（付記１０）前記Mix Column変換回路は、
８ビット単位で演算が可能な４つの乗算器と前記４つの
乗算器の出力に基づいて排他的論理和演算を実行するEX
OR回路とを有する演算器を４つ備える付記９に記載の暗
号回路。

【０１４７】（付記１１）前記乗算器が、２つの乗数を
制御可能であり暗号化と復号化に共通に使用される付記
９または１０に記載の暗号回路。

【０１４８】（付記１２）前記乗算器は、上位ビットか
らの加算値を制御するように構成される、付記１１に記
載の暗号回路。

【０１４９】（付記１３）暗号鍵を前記実行ブロック長
に応じたビット数に分割して出力する第５セレクタと、
前記実行ブロック長毎にデータをラッチするフリップフ
ロップ回路が複数段接続されたシフトレジスタと、前記
シフトレジスタの最終段のフリップフロップ回路の出力
と定数群のうちから選択される１つの定数との排他的論
理和演算を実行する第１EXOR回路と、前記シフトレジス
タのフリップフロップのうち暗号化時に演算対象となる
フリップフロップの出力と復号化時に演算対象となるフ
リップフロップの出力とが入力されいずれか１つを選択
的に出力する第６セレクタと、前記第６セレクタの出力
をローテーション処理するRot Byte処理回路と、前記第
６セレクタの出力と前記Rot Byte処理回路の出力とが入
力され、いずれか１つを選択的に出力する第７セレクタ
と、前記第７セレクタの出力に対して前記実行ブロック
長毎のByte Sub変換を実行するSub Byte処理回路と、前
記第６セレクタの出力と前記Sub Byte処理回路の出力が
入力され、いずれか１つを選択的に出力する第８セレク
タと、前記第１EXOR回路の出力と前記第８セレクタの出
力とに基づいて排他的論理和演算を実行する第２EXOR回
路と、前記シフトレジスタのフリップフロップのうち暗
号化時にその出力が演算対象となるフリップフロップに
対して、前記第２EXOR回路の出力と、隣接する段のフリ
ップフロップの出力とのうちいずれかを選択的に出力す
るシフトレジスタ部セレクタと、を備える、前記暗号鍵
から所定の処理ブロック長に対応するビット数の複数の
Round Keyを前記実行ブロック長に対応するビット数毎
に分割された拡大鍵として生成する拡大鍵スケジュール
回路を有する付記１〜１２のいずれかに記載の暗号回
路。

【０１５０】（付記１４）前記シフトレジスタは、３２
ビット単位でデータ処理を実行する８個のフリップフロ
ップ回路を備え、前記第６セレクタは、前記フリップフ
ロップのうち下から２段目、４段目、６段目、８段目の
フリップフロップの出力が入力され、いずれか１つを出
力するように構成されている付記１３に記載の暗号回
路。

【０１５１】（付記１５）前記第７セレクタに前記中間
レジスタ兼Shift Row変換回路の出力が入力され、前記S
ub Byte処理回路の出力を前記第２セレクタに入力する
ことにより、前記Sub Byte処理回路と前記Round処理部
のByte Sub変換回路とを共用する、付記１３または１４
に記載の暗号回路。

【０１５２】

【発明の効果】本発明によれば、特定処理回路の処理デ
ータを所定の実行ブロック長に細分化することにより、
ＡＥＳブロック暗号アルゴリズムをコンパクトな回路で
実行可能となる。また、暗号化時における処理回路と復
号化時における処理回路を共有化するとともに、鍵スケ
ジュール部とラウンドファンクション部の回路の一部を
共有化することでさらに回路規模を小さくすることが可
能となる。、

【図面の簡単な説明】

【図１】RijndaelアルゴリズムによるＡＥＳの処理ブロ
ック図。

【図２】鍵スケジュールのプログラムリスト。

【図３】想定される回路実装の例を示すブロック図。

【図４】本発明の１実施形態に採用されるラウンドファ
ンクション部のブロック図。

【図５】中間レジスタ兼Shift Row変換回路のブロック
図。

【図６】Mix Column変換回路のブロック図。

【図７】乗算器の構成を示すブロック図。

【図８】乗算器の他の構成を示すブロック図。

【図９】鍵スケジュール部のブロック図。

【図１０】Byte Sub変換回路のブロック図。

【図１１】暗号化用行列演算回路のブロック図。

【図１２】復号化用行列演算回路のブロック図。

【図１３】暗号化用行列演算回路の他の例を示すブロッ
ク図。

【図１４】復号化用行列演算回路の他の例を示すブロッ
ク図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者林朋弘神奈川県横浜市港北区新横浜２丁目15番16 号株式会社富士通コンピュータテクノロジ内 (72)発明者出口千佳広神奈川県横浜市港北区新横浜２丁目15番16 号株式会社富士通コンピュータテクノロジ内 (72)発明者藤原由実神奈川県横浜市港北区新横浜２丁目15番16 号株式会社富士通コンピュータテクノロジ内Ｆターム(参考） 5J104 AA18 JA03 NA02 NA22

Claims

【特許請求の範囲】

【請求項１】暗号鍵から所定の処理ブロック長に対応す
るビット数の複数のRound Keyを生成し、入力データと
前記Round Keyのうちの１つと排他的論理和演算を実行
するEXOR演算部と、Byte Sub変換、Shift Row変換、Mix
Column変換、Round Key加算を含むRound処理を複数回
実行するRound処理部とを備えるラウンドファンクショ
ン部により入力データと前記Round Keyによる暗号化／
復号化処理を前記処理ブロック長毎に実行する暗号回路
であって、前記Round処理部が、入力データを前記処理ブロック長
よりも小さい実行ブロック長に分割する第１セレクタ
と、前記実行ブロック長毎に前記Round Keyの値を入力
データに加算する第１Round Key加算回路と、前記第１R
ound Key加算回路の出力を一時的に格納するとともに前
記処理ブロック長によるShift Row変換を実行する中間
レジスタ兼Shift Row変換回路と、前記中間レジスタ兼S
hift Row変換回路の値が前記実行ブロック長毎に入力さ
れByte Sub変換を実行するByte Sub変換回路と、前記中
間レジスタ兼Shift Row変換回路の値が前記実行ブロッ
ク長毎に入力され前記Round Keyの値を前記実行ブロッ
ク長毎に加算する第２Round Key加算回路と、前記第２R
ound Key加算回路の出力に対してMix Column変換を実行
するMix Column変換回路と、前記第１セレクタ、中間レ
ジスタ兼Shift Row変換回路、Byte Sub変換回路、Mix C
olumn変換回路の出力のうちいずれか１つを前記第２Rou
nd Key加算回路に出力する第２セレクタとを備えること
を特徴とする暗号回路。
【請求項２】前記Byte Sub変換回路は、入力データに対
して行列演算を実行する復号化用行列演算部と、入力デ
ータと前記復号化用行列演算部の出力とのうちいずれか
を出力する第３セレクタと、前記第３セレクタから出力
されるデータに対して逆数演算を実行する逆数演算部
と、前記逆数演算部から出力されるデータに対して行列
演算を実行する暗号化用行列演算部と、前記逆数演算部
の出力と前記暗号化用行列演算部の出力のうちいずれか
一方を出力する第４セレクタとを備える請求項１に記載
の暗号回路。
【請求項３】前記中間レジスタ兼Shift Row変換回路に
入力されるデータのシフト量に関するシフトデータを暗
号化時と復号化時において逆順に入力することにより、
前記中間レジスタ兼Shift Row変換回路を暗号化と復号
化に共通に使用する、請求項１または２に記載の暗号回
路。
【請求項４】前記Mix Column変換回路は、乗数固定の複
数の乗算器と前記複数の乗算器の排他的論理和を演算す
るEXOR回路とを備え、各乗算器に入力されるデータと各
乗算器に設定された乗数との間で行列演算を実行する、
請求項１〜３のいずれかに記載の暗号回路。
【請求項５】暗号鍵を前記実行ブロック長に応じたビッ
ト数に分割して出力する第５セレクタと、前記実行ブロック長毎にデータをラッチするフリップフ
ロップ回路が複数段接続されたシフトレジスタと、前記シフトレジスタの最終段のフリップフロップ回路の
出力と定数群のうちから選択される１つの定数との排他
的論理和演算を実行する第１EXOR回路と、前記シフトレジスタのフリップフロップのうち暗号化時
に演算対象となるフリップフロップの出力と復号化時に
演算対象となるフリップフロップの出力とが入力されい
ずれか１つを選択的に出力する第６セレクタと、前記第６セレクタの出力をローテーション処理するRot
Byte処理回路と、前記第６セレクタの出力と前記Rot Byte処理回路の出力
とが入力され、いずれか１つを選択的に出力する第７セ
レクタと、前記第７セレクタの出力に対して前記実行ブロック長毎
のByte Sub変換を実行するSub Byte処理回路と、前記第６セレクタの出力と前記Sub Byte処理回路の出力
が入力され、いずれか１つを選択的に出力する第８セレ
クタと、前記第１EXOR回路の出力と前記第８セレクタの出力とに
基づいて排他的論理和演算を実行する第２EXOR回路と、前記シフトレジスタのフリップフロップのうち暗号化時
にその出力が演算対象となるフリップフロップに対し
て、前記第２EXOR回路の出力と、隣接する段のフリップ
フロップの出力とのうちいずれかを選択的に出力するシ
フトレジスタ部セレクタと、を備える、前記暗号鍵から
所定の処理ブロック長に対応するビット数の複数のRoun
d Keyを前記実行ブロック長に対応するビット数毎に分
割された拡大鍵として生成する拡大鍵スケジュール回路
を有する請求項１〜４のいずれかに記載の暗号回路。