JP2003069555A - 暗号装置および暗復号処理方法 - Google Patents

Abstract

(57)【要約】 【課題】 パケットの暗復号処理の高速化を実現可能な
暗号装置を得ること。 【解決手段】 本発明の暗号装置は、ハードウェアによ
る暗復号処理とソフトウェアによる暗復号処理とを併用
する構成とし、さらに、受信パケットの暗復号長によっ
て、ハードウェアによる暗復号処理を行うか、ソフトウ
ェアによる暗復号処理を行うか、を決定する暗号ロジッ
ク決定部１２を備える構成とする。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、計算機間の通信デ
ータを暗号化／復号（以降、暗復号と呼ぶ）する暗号装
置に関するものであり、特に、ハードウェア（Ｈ／Ｗ）
による暗復号とソフトウェア（Ｓ／Ｗ）による暗復号と
を併用する暗号装置、およびＨ／ＷとＳ／Ｗを併用した
場合の暗復号処理方法に関するものである。

【０００２】

【従来の技術】以下、従来の暗号装置について説明す
る。近年、ＩＰＳＥＣをはじめとするネットワークセキ
ュリティ規格の標準化とともにネットワークの高速化が
進んでいる。これに伴って、ネットワーク上のパケット
を暗号化する暗号装置においても高速化の要求が高まっ
ている。

【０００３】そこで、最近では、高速化のニーズを実現
するため、暗号機能を別ボード化し、そのボードにＨ／
Ｗによる暗号機能を持たせる暗号装置が登場している。
図４は、上記のような機能を持つ従来の暗号装置の構成
を示す図である。なお、暗号装置は、パケットの暗号化
および復号を実施するが、以降では、復号も含めて「暗
号」または「暗復号」と記述する。

【０００４】図４において、１０１はメインボードであ
り、１０２は暗号ボードであり、１１１は受信したパケ
ットの内容を精査し、受信したパケットの処理（暗号，
透過中継，廃棄）を決定するパケット受信部であり、１
１２は暗復号処理（Ｈ／Ｗ）を行う暗号ボード１０２を
制御する暗号ボード制御部であり、１１３は暗復号処理
部であり、１１４はパケットをネットワークへ送信する
パケット送信部である。

【０００５】パケットを受信したパケット受信部１１１
では、当該パケットの内容を精査し、暗号化あるいは復
号の必要がある場合、暗号ボード制御部１１２に対して
受信パケットを転送する。暗号ボード制御部１１２で
は、受信パケットを暗号ボード１０２へ転送する（内部
バス使用）。

【０００６】暗号ボード１０２では、たとえば、受信パ
ケットを暗号化し、完了した時点で、暗号パケットと暗
号化完了通知をメインボード１０１に対して転送する。
暗号ボード制御部１１２では、暗号化完了通知が確認で
きた段階で、暗号パケットをパケット送信部１１４へ転
送し、最後に、パケット送信部１１４では、受け取った
暗号パケットを外部へ送信する。

【０００７】

【発明が解決しようとする課題】しかしながら、上記、
従来の暗号装置においては、以下に示すような問題があ
った。

【０００８】パケットに対する暗復号処理としては、上
記従来技術のようなＨ／Ｗによるもの以外に、たとえ
ば、Ｓ／Ｗによる暗復号処理がある。図５は、Ｈ／Ｗに
よる暗復号処理能力とＳ／Ｗによる暗復号処理能力（Ｃ
ＰＵが十分に速い場合）とを示す図である。たとえば、
Ｈ／Ｗによる暗復号処理は、バス転送を行う必要がある
ため（図示のバス転送オーバヘッド＋バス転送時間）、
暗復号長が短いパケットの場合にＳ／Ｗによる暗復号処
理よりも速度が遅くなっている。一方、Ｓ／Ｗによる暗
復号処理は、ＣＰＵ処理にある程度の時間が必要になる
ため、暗復号長が長いパケットの場合にＨ／Ｗによる暗
復号処理よりも遅くなっている。

【０００９】このように、上記従来の暗号装置において
は、暗復号長が長いパケットについては効率よく暗復号
処理を行えるが、暗復号長が短いパケットについてはバ
スの転送時間がネックとなり、効率よく暗復号処理を行
うことができない、という問題があった。

【００１０】なお、Ｈ／Ｗによる暗号化とＳ／Ｗによる
暗号化とを併用する技術文献として、たとえば、特開平
１１−３０５６５９号公報に記載の「暗号機構の高信頼
化方式」があるが、これは、高速なＨ／Ｗ暗号化処理手
段が故障した場合のバックアップとしてＳ／Ｗ暗号化処
理手段を使用する方式であり、高速化のための併用では
ない。

【００１１】本発明は、上記に鑑みてなされたものであ
って、Ｈ／Ｗによる暗復号処理とＳ／Ｗによる暗復号処
理とを用いて処理の高速化を図ることによって、従来効
率のよい暗復号処理を実現できなかった、暗復号長の短
いパケットの中継性能を向上させることが可能な暗号装
置、および当該暗号装置による暗復号処理方法を得るこ
とを目的とする。

【００１２】

【課題を解決するための手段】上述した課題を解決し、
目的を達成するために、本発明にかかる暗号装置にあっ
ては、ハードウェアによる暗復号処理とソフトウェアに
よる暗復号処理とを併用する構成とし、受信パケットの
暗復号長によって、ハードウェアによる暗復号処理を行
うか、ソフトウェアによる暗復号処理を行うか、を決定
する処理決定手段（後述する実施の形態の暗号ロジック
決定部１２に相当）、を備えることを特徴とする。

【００１３】つぎの発明にかかる暗号装置にあっては、
さらに、ハードウェアによる暗復号処理の状態およびソ
フトウェアによる暗復号処理後のパケットを格納する格
納手段、を備え、ソフトウェアによる暗復号処理後、前
記格納手段内の暗復号処理の状態を確認し、ハードウェ
アによる暗復号処理が完了している場合、ソフトウェア
による暗復号処理後のパケットをネットワークに転送
し、ハードウェアによる暗復号処理が実行中の場合、ソ
フトウェアによる暗復号処理後のパケットを前記格納手
段に格納することを特徴とする。

【００１４】つぎの発明にかかる暗復号処理方法にあっ
ては、ハードウェアによる暗復号処理とソフトウェアに
よる暗復号処理とを併用し、たとえば、内部バスの転送
速度やＣＰＵ速度に応じて適応的に変更可能な暗復号長
のしきい値に基づいて、受信パケットに対して、ハード
ウェアによる暗復号処理を行うか、ソフトウェアによる
暗復号処理を行うか、を決定する処理決定ステップ、を
含むことを特徴とする。

【００１５】つぎの発明にかかる暗復号処理方法にあっ
ては、さらに、ソフトウェアによる暗復号処理後、ハー
ドウェアによる暗復号処理の状態を確認する確認ステッ
プと、ハードウェアによる暗復号処理が完了している場
合に、ソフトウェアによる暗復号処理後のパケットをネ
ットワークに送信する第１の送信ステップと、ハードウ
ェアによる暗復号処理が実行中の場合に、ソフトウェア
による暗復号処理後のパケットを記憶し、ハードウェア
による暗復号処理が完了後に、記憶した順序でパケット
をネットワークに送信する第２の送信ステップと、を含
むことを特徴とする。

【００１６】

【発明の実施の形態】以下に、本発明にかかる暗号装置
および暗復号処理方法の実施の形態を図面に基づいて詳
細に説明する。なお、この実施の形態によりこの発明が
限定されるものではない。また、暗号装置は、パケット
の暗号化および復号を実施するが、以降では、復号も含
めて「暗号」または「暗復号」と記述する。

【００１７】実施の形態１．図１は、本発明にかかる暗
号装置の構成を示す図である。図１において、１はＳ／
Ｗによる暗復号処理を行うメインボードであり、２はＨ
／Ｗによる暗復号処理を行う暗号ボードであり、１１は
パケット受信部であり、１２は暗号ロジック決定部であ
り、１３は暗号ボード制御部であり、１４は暗復号処理
部（Ｈ／Ｗ）であり、１５は暗復号処理部（Ｓ／Ｗ）で
あり、１６はパケット送信部であり、１７は内部バスで
ある。

【００１８】ここで、上記暗号装置の基本的な動作につ
いて説明する。上記パケット受信部１１では、ネットワ
ークから送られてくるパケットの受信処理および受信し
たパケットの精査を行い、受信パケットに対して暗復号
処理を行うかどうかを判断する。

【００１９】暗号ロジック決定部１２では、暗復号デー
タのレングス（暗復号長）によって、暗号ボード２にお
いてＨ／Ｗによる暗復号処理を行うか、メインボード１
においてＳ／Ｗによる暗復号処理を行うか、を決定す
る。なお、どちらの暗復号処理を行うかについては、内
部バスの転送速度やメインボード上のＣＰＵ速度などに
応じて適応的に変更可能な暗復号長のしきい値を基準に
決定する。

【００２０】暗号ボード制御部１３では、暗号ボード２
の制御と、メインボード１および暗号ボード２間におけ
るパケットの転送処理、を行う。なお、メインボード１
のＣＰＵは、暗号ボード制御部１３がパケットを暗号ボ
ード２へ転送した後、暗号ボード２での暗復号処理が完
了するまでの間、当該パケットの処理から解放されるた
め、次のパケットに対する処理等を行うことができる。

【００２１】暗復号処理部（Ｈ／Ｗ）１４は、たとえ
ば、暗号ＬＳＩ等で構成される。暗復号処理部（Ｓ／
Ｗ）１５は、上記暗復号処理部（Ｈ／Ｗ）１４と同一の
機能をＳ／Ｗで実現したものである。パケット送信部１
６では、ネットワークへパケットを送信する。なお、内
部バス１７は、メインボード１と暗号ボード２との間で
高速なデータ転送を実現するバスである。

【００２２】つぎに、本発明の特徴となる上記暗号装置
の暗復号処理方法について説明する。図２は、実施の形
態１の暗復号処理方法を示す図である。まず、パケット
受信部１１では、受け取ったパケットの内容を精査し、
暗復号パケットか、透過中継パケットか、廃棄パケット
か、を分類する（ステップＳ１、ステップＳ２）。たと
えば、透過中継パケットに分類できる場合（ステップＳ
２，透過中継パケット）、パケット受信部１１では、受
信パケットを、暗復号処理を行わずにパケット送信部１
６に転送する。そして、パケット送信部１６では、パケ
ット送信処理を行う（ステップＳ４）。また、廃棄パケ
ットに分類できる場合（ステップＳ２，廃棄パケッ
ト）、パケット受信部１１では、受信パケットを廃棄す
る（ステップＳ３）。

【００２３】一方、暗復号パケットに分類できる場合
（ステップＳ２，暗復号パケット）、パケット受信部１
１では、受信パケットを暗号ロジック決定部１２に通知
し、暗号ロジック決定部１２では、あらかじめ指定され
た暗復号長のしきい値ｌに基づいて、Ｈ／Ｗによる暗復
号処理を行うか、Ｓ／Ｗによる暗復号処理を行うか、を
決定する（ステップＳ５）。

【００２４】たとえば、暗復号長が上記しきい値よりも
長い場合（ステップＳ５，Ｙｅｓ）、暗号ロジック決定
部１２では、Ｈ／Ｗによる暗復号処理を選択し、受信パ
ケットを暗号ボード制御部１３へ転送する。暗号ボード
制御部１３では、受信パケットを暗号ボード２へ転送し
（ステップＳ６）、さらに、暗復号処理を起動する（ス
テップＳ７）。なお、暗復号処理の起動については、パ
ケットの転送を確認した暗号ボード側で実施することと
してもよい。また、暗号ボード制御部１３の処理終了
後、メインボード１のＣＰＵは、次のパケットに対する
処理など、別の処理を実行してもよい。

【００２５】暗号ボード２の暗復号処理部（Ｈ／Ｗ）１
４では、受信パケットに対して所定の暗復号処理を行い
（ステップＳ８）、この処理が終了した時点で、メイン
ボード１に対して暗復号処理後のパケットを転送し、さ
らに、処理の完了（暗復号完了通知）を通知する（ステ
ップＳ９）。この通知は、たとえば、割り込みによって
行われる。

【００２６】暗復号完了通知を受け取った暗号ボード制
御部１３では、割り込みの完了処理を実施し、暗復号処
理後の受信パケットをパケット送信部１６に対して転送
する（ステップＳ１０）。なお、割り込みの完了処理と
は、たとえば、割り込みステータスのクリアや、次のパ
ケットの暗号ボード２への転送／起動処理などである。

【００２７】そして、暗復号処理後のパケットを受け取
ったパケット送信部１６では、当該パケットをネットワ
ークへ送信する（ステップＳ４）。

【００２８】一方、ステップＳ５の処理において、暗復
号長が上記しきい値よりも短い場合（ステップＳ５，Ｎ
ｏ）、暗号ロジック決定部１２では、Ｓ／Ｗによる暗復
号処理を選択し、受信パケットを暗復号処理部（Ｓ／
Ｗ）１５へ転送する。暗復号処理部（Ｓ／Ｗ）１５で
は、受信パケットに対して所定の暗復号処理を行い（ス
テップＳ１１）、この処理が終了した時点で、パケット
送信部１６に対して暗復号処理後のパケットを転送す
る。

【００２９】そして、暗復号処理後のパケットを受け取
ったパケット送信部１６では、当該パケットをネットワ
ークへ送信する（ステップＳ４）。

【００３０】このように、本実施の形態においては、内
部バスの転送速度やメインボード上のＣＰＵ速度などに
応じて適応的に変更可能な暗復号長のしきい値を使用し
て、Ｈ／Ｗによる暗復号処理とＳ／Ｗによる暗復号処理
とを切り替える構成とした。これにより、処理の高速化
を促進できるため、従来、効率のよい暗復号処理を実現
できなかったパケット（暗復号長の短いパケット）に対
しても、中継性能を向上させることができる。

【００３１】実施の形態２．前述の実施の形態１では、
暗復号処理における高速化の促進を目的とした。しかし
ながら、このような高速化を実現すると、たとえば、非
常に高速な端末が接続されたネットワークで前述の暗号
装置を使用した場合、端末から送信される暗号化対象パ
ケットのパケット間隔が短くなるため、暗号装置内でパ
ケットの順序が入れ替わってしまうことがある。たとえ
ば、端末が、暗復号長の長いパケット（Ｈ／Ｗで暗復号
処理を行う）のすぐ後に暗復号長の非常に短いパケット
（Ｓ／Ｗで暗復号処理を行う）を送信した場合、後から
送信されたパケットの暗号処理が先に完了し、このパケ
ットが先に送信されてしまう可能性がある。

【００３２】そこで、本実施の形態では、暗復号処理完
了後に参照する暗号完了キューを暗号ボード制御部１３
内に設け、パケットの受信順序と送信順序を一致させる
機能を追加する。なお、暗号装置の構成については、前
述の実施の形態１の図１と同様であるため、同一の符号
を付してその説明を省略する。

【００３３】図３は、実施の形態２の暗復号処理方法を
示す図である。まず、メインボード１では、前述と同様
にステップＳ１〜ステップＳ７の処理を行い、暗号ボー
ド制御部１３が、暗復号処理対象のパケットを内部の暗
号完了キューに、暗復号中を示すステータスで登録する
（ステップＳ２１）。ここでは、登録したパケットを一
意に識別できる識別子を登録する。たとえば、受信パケ
ットのバッファアドレス等でもよい。

【００３４】その後、暗号ボード２では、前述と同様に
ステップＳ８およびステップＳ９の処理を行い、メイン
ボード１では、暗復号完了通知を受け取った暗号ボード
制御部１３が、暗号完了キューのステータスを暗復号完
了に更新する（ステップＳ２２）。

【００３５】以降、メインボード１では、実施の形態１
と同様の処理で、暗復号処理後の信号をネットワークへ
送信する（ステップＳ２３、ステップＳ４、ステップＳ
２４，Ｎｏ）。

【００３６】一方、Ｓ／Ｗによる暗復号処理が選択され
た場合、メインボード１では、実施の形態１と同様に暗
復号処理を実施後、暗復号処理部（Ｓ／Ｗ）１５が、暗
号完了キューに暗復号中を示すステータスの登録が有る
かどうかチェックし（ステップＳ２５）、登録がなけれ
ば（ステップＳ２５，Ｎｏ）、実施の形態１と同様の処
理で、暗復号処理後の信号をネットワークへ送信する
（ステップＳ４、ステップＳ２４，Ｎｏ）。

【００３７】また、ステップＳ２５の処理において、暗
号完了キューに登録があった場合（ステップＳ２５，Ｙ
ｅｓ）、暗復号処理部（Ｓ／Ｗ）１５では、登録パケッ
トがＳ／Ｗによる暗復号処理後のパケットよりも前に受
信したパケットであると判断し、当該Ｓ／Ｗによる暗復
号処理後のパケットを、暗号完了キューへ暗復号処理完
了のステータスで登録する（ステップＳ２６）。

【００３８】この場合、パケット送信部１６では、Ｈ／
Ｗによる暗復号処理完了後、暗号完了キューの先頭から
Ｓ／Ｗによる暗復号処理後のパケットを取り出し送信す
る（ステップＳ２３、ステップＳ４）。最終的には、暗
号完了キューの先頭に暗復号処理完了のステータスのパ
ケットがなくなった場合に（ステップＳ２４，Ｎｏ）、
あるいは、暗号完了キューに登録が無くなった場合に、
処理を終了する。なお、この処理では、連続的に暗号完
了キューから取り出すパケット数に制限を設けて、ＣＰ
Ｕの独占を防止することとしてもよい。

【００３９】このように、本実施の形態においては、前
述の実施の形態１と同様の効果が得られるとともに、さ
らに、暗号ボード制御部１３内に暗復号処理完了後に参
照するキューを備える構成としたため、パケットの送信
間隔が短い端末が存在するネットワークであっても、パ
ケット受信順序とパケット送信順序とを一致させること
ができる。

【００４０】

【発明の効果】以上、説明したとおり、本発明によれ
ば、受信パケットの暗復号長によって、Ｈ／Ｗによる暗
復号処理とＳ／Ｗによる暗復号処理とを切り替える構成
とした。これにより、処理の高速化を促進できるため、
従来、効率のよい暗復号処理を実現できなかったパケッ
ト（暗復号長の短いパケット）に対しても、中継性能を
向上させることが可能な暗号装置を得ることができる、
という効果を奏する。

【００４１】つぎの発明によれば、さらに、Ｓ／Ｗによ
る暗復号処理の完了後に参照する格納手段を備える構成
とした。これにより、パケットの送信間隔が短い端末が
存在するネットワークであっても、パケット受信順序と
パケット送信順序とを一致させることが可能な暗号装置
を得ることができる、という効果を奏する。

【００４２】つぎの発明によれば、内部バスの転送速度
やメインボード上のＣＰＵ速度などに応じて適応的に変
更可能な暗復号長のしきい値を使用して、Ｈ／Ｗによる
暗復号処理とＳ／Ｗによる暗復号処理とを切り替える構
成とした。これにより、処理の高速化を促進できるた
め、従来、効率のよい暗復号処理を実現できなかったパ
ケット（暗復号長の短いパケット）に対しても、中継性
能を向上させることができる、という効果を奏する。

【００４３】つぎの発明によれば、Ｈ／Ｗによる暗復号
処理が完了している場合に、Ｓ／Ｗによる暗復号処理後
のパケットをネットワークに送信し、一方、Ｈ／Ｗによ
る暗復号処理が実行中の場合に、Ｓ／Ｗによる暗復号処
理後のパケットを記憶し、Ｈ／Ｗによる暗復号処理が完
了後に、記憶した順序でパケットをネットワークに送信
する。これにより、パケットの送信間隔が短い端末が存
在するネットワークであっても、パケット受信順序とパ
ケット送信順序とを一致させることができる、という効
果を奏する。

【図面の簡単な説明】

【図１】 本発明にかかる暗号装置の構成を示す図であ
る。

【図２】 実施の形態１の暗復号処理方法を示す図であ
る。

【図３】 実施の形態２の暗復号処理方法を示す図であ
る。

【図４】 従来の暗号装置の構成を示す図である。

【図５】 Ｈ／Ｗによる暗復号処理能力とＳ／Ｗによる
暗復号処理能力とを示す図である。

【符号の説明】

１ メインボード、２ 暗号ボード、１１ パケット受
信部、１２ 暗号ロジック決定部、１３ 暗号ボード制
御部、１４ 暗復号処理部（Ｈ／Ｗ）、１５暗復号処理
部（Ｓ／Ｗ）、１６ パケット送信部、１７ 内部バ
ス。

Claims (4)

【特許請求の範囲】
1. 【請求項１】 ハードウェアによる暗復号処理とソフト
   ウェアによる暗復号処理とを併用する暗号装置におい
   て、 受信パケットの暗復号長によって、ハードウェアによる
   暗復号処理を行うか、ソフトウェアによる暗復号処理を
   行うか、を決定する処理決定手段、 を備えることを特徴とする暗号装置。
2. 【請求項２】 さらに、ハードウェアによる暗復号処理
   の状態およびソフトウェアによる暗復号処理後のパケッ
   トを格納する格納手段、 を備え、 ソフトウェアによる暗復号処理後、前記格納手段内の暗
   復号処理の状態を確認し、ハードウェアによる暗復号処
   理が完了している場合、ソフトウェアによる暗復号処理
   後のパケットをネットワークに転送し、ハードウェアに
   よる暗復号処理が実行中の場合、ソフトウェアによる暗
   復号処理後のパケットを前記格納手段に格納することを
   特徴とする請求項１に記載の暗号装置。
3. 【請求項３】 ハードウェアによる暗復号処理とソフト
   ウェアによる暗復号処理とを併用する暗復号処理方法に
   おいて、 内部バスの転送速度やＣＰＵ速度に応じて適応的に変更
   可能な暗復号長のしきい値に基づいて、受信パケットに
   対して、ハードウェアによる暗復号処理を行うか、ソフ
   トウェアによる暗復号処理を行うか、を決定する処理決
   定ステップ、を含むことを特徴とする暗復号処理方法。
4. 【請求項４】 さらに、 ソフトウェアによる暗復号処理後、ハードウェアによる
   暗復号処理の状態を確認する確認ステップと、 ハードウェアによる暗復号処理が完了している場合に、
   ソフトウェアによる暗復号処理後のパケットをネットワ
   ークに送信する第１の送信ステップと、 ハードウェアによる暗復号処理が実行中の場合に、ソフ
   トウェアによる暗復号処理後のパケットを記憶し、ハー
   ドウェアによる暗復号処理が完了後に、記憶した順序で
   パケットをネットワークに送信する第２の送信ステップ
   と、 を含むことを特徴とする請求項３に記載の暗復号処理方
   法。