JP2003302901A - セルラーオートマタを適用したハッシュ値算出処理方法およびデータ処理装置 - Google Patents

Abstract

(57)【要約】 【課題】 改良されたハッシュ値算出実行方法、および
装置を提供する。 【解決手段】 ハッシュファンクションは、圧縮値算出
および出力値算出処理ファンクションを含み、ある特定
のクラスのセルラーオートマタ、すなわち２×ｎ（２−
ｂｙ−ｎ）セルラーオートマタを適用した構成を有す
る。本構成により、ハッシュファンクションの効率的実
行が可能となり、理想的なセキュリティが実現される。
さらに、本構成のハッシュファンクションは、ＦＰＧＡ
において構成するに最適なものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、セキュアなデータ
通信のための暗号処理技術に関し、さらに詳細には、ハ
ッシュ値算出処理方法およびデータ処理装置に関する。

【０００２】

【従来の技術】ソフトウェアダウンロードは、ソフトウ
ェア無線（ＳＤＲ：Software definedradio）において
キーとなる処理である。ソフトウェア・ダウンロードの
処理は、ターミナルの構成、コンテンツを変更すること
で、ターミナルに新機能（ソフトウェアによって定義さ
れた機能）を導入することを可能とするものである。

【０００３】多くのソフトウェアのダウンロード処理
は、公衆通信網を介して実行される。従って、ダウンロ
ードにおけるセキュリティが大きな問題となる。

【０００４】上述したように、ソフトウェア再構成可能
無線システムあるいは、ソフトウェア無線（ＳＤＲ：So
ftware defined radio）システムは、公衆通信網を介し
たソフトウェアのダウンロード処理に基づくシステムで
あり、従って、ダウンロード処理におけるセキュリティ
問題が１つの大きな課題である。

【０００５】ソフトウェア無線（ＳＤＲ：Software def
ined radio）システムの導入における１つの問題、ある
いは論点は、ダウンロードされるソフトウェアの認証、
改竄検証処理である。具体的には、現在、無線装置、あ
るいはシステムは、その製造および販売以前に、例えば
使用周波数帯域、出力、変調方式等について政府等、当
局の認定を受けることが要求される。

【０００６】しかし、ソフトウェア無線（ＳＤＲ）は、
再プログラム可能なハードウェアを用いるので、当局の
認定後にソフトウェアが違法に改変されたり、あるいは
全く認定を受けることがなかった場合、無線装置が違法
な電波を発生させたりすることが起こり得る。その結
果、他のユーザに対して電波干渉等の障害を発生させた
り、または、デバイスのユーザへの損傷を発生させる可
能性すらある。

【０００７】この問題の1つの重要な面は、暗号処理ハ
ッシュ・ファンクションによって実行されるデータ検証
（ｉｎｔｅｇｒｉｔｙ）コントロールにある。

【０００８】暗号処理ハッシュ・ファンクションは、昨
今の暗号処理において重要な役割を果たしている。暗号
処理ハッシュ・ファンクションの基本的考え方は、ハッ
シュ値が入力ストリングのコンパクトイメージ（デジタ
ル・フィンガープリント、メッセージダイジェストと呼
ばれる場合もある）を提供し、そのストリングの固有識
別データとして使用可能となるということである。

【０００９】文献：" A.J. Menezes, P.C. van Oorscho
t and S.A. Vanstone, {Handbook of Applied Cryptogr
aphy}. Boca Roton: CRC Press, 1997",は、暗号処理ハ
ッシュ・ファンクションは、最上位レベルにおいて２つ
のクラスに分割されると述べている。キー不適用ハッシ
ュ・ファンクション、これは、１つの入力パラメータと
してメッージを用いるものである。さらに、キー適用ハ
ッシュ・ファンクション、これは、２つの異なる入力と
して、メッセージおよび秘密鍵を適用するものである。
本発明は、1方向性ハッシュ・ファンクションと呼ばれ
るキー不適用ハッシュ・ファンクションに関する。

【００１０】一方、ＳＤＲにおけるセキュア・ダウンロ
ーディングと、通常のインターネット・ダウンローディ
ングには差異はあるのか、もしあるとすれば、それはど
のような差異であるのかといった疑問がある。セキュリ
ティ技術が適用される特定の環境においては、いくつか
の差異がある。

【００１１】セキュリティ構成上の必要構成として、Ｓ
ＤＲに適用するＦＰＧＡおよびＤＳＰは、両者とも、暗
号処理のためにＧＦ（２）上の処理を実行するできるだ
けシンプルな暗号処理用コンポーネントを持つことがあ
る。

【００１２】本明細書においては、認証および検証を実
行するＳＤＲセキュリティに関する問題に適用可能なツ
ールとして適用可能な新規なハッシュ・ファンクション
を提示する。本明細書において、提示する１方向性ハッ
シュ・ファンクションは、２次元線形セルラーオートマ
タを基本構成とした高速専用１方向性ハッシュ・ファン
クションに類する構成を持つ。

【００１３】ファンクションのデザインおよびセキュリ
ティ解析は、ＣＡおよび暗号処理技術に関する最近の開
示結果に基づいて可能である。この解析において、１方
向性ハッシュ・ファンクションは、公知の各種のアタッ
クに対して耐性を持つことが証明されている。１方向性
ハッシュ・ファンクションの特性として、コンパクトな
ＦＰＧＡあるいはＤＳＰにおける実装に適していること
がある。

【００１４】

【発明が解決しようとする課題】従って、本発明では、
ソフトウェア無線（ＳＤＲ）、特にＦＰＧＡを適用した
構成において、そのデータ正当性（ｉｙｔｅｇｒｉｔ
ｙ）制御に適した新規な専用１方向性ハッシュ・ファン
クションを提案する。ここで提案する１方向性ハッシュ
・ファンクションは、多くの２次元線形セルラーオート
マタ(ＣＡ:CellularAutomata)を用いた１方向性ハッシ
ュ・ファンクションの適用構成とは異なるアプローチに
基づくものである。

【００１５】ここで提案する構成の基本となるコンポー
ネントは、いわゆる２×ｎ（２−ｂｙ−ｎ）線形セルラ
ーオートマタ（ＣＡ）である。ＣＡを適用した１方向性
ハッシュ・ファンクションの利点は、高速処理可能であ
ること、ハードウェアにおける実行に適していること、
さらに、既に知られているＣＡ理論に基づいて、セキュ
リテイ評価が可能であることがある。

【００１６】本発明の目的の１つは、２×ｎ（２−ｂｙ
−ｎ）線形セルラーオートマタ（ＣＡ）を適用してハッ
シュ値を計算する方法およびデータ処理装置を提供する
ことにある。

【００１７】

【課題を解決するための手段】本発明の第１の側面は、
ハッシュ値算出処理方法であり、（ａ）以下に示すステ
ップを含む圧縮値算出処理ステップと、（ａ−１）メッ
セージＭに基づいて算出されるベクトルデータのセルラ
ーオートマタ（ＣＡ）に対する入力処理ステップ、（ａ
−２）セルラーオートマタ（ＣＡ）の状態遷移処理ステ
ップ、（ｂ）以下に示すステップを含む出力値算出処理
ステップと、（ｂ−１）前記圧縮値算出処理における出
力の分割処理ステップ、（ｂ−２）前記ステップ（ｂ−
１）の実行により取得されるセグメントの複数のセルラ
ーオートマタ（ＣＡ）に対する入力処理ステップ、（ｂ
−３）各セルラーオートマタ（ＣＡ）の状態に基づく各
セルラーオートマタ（ＣＡ）の状態遷移処理ステップ、
（ｂ−４）各セルラーオートマタ（ＣＡ）のビットを選
択して、該選択ビットをハッシュ値として出力する処理
ステップ、を有することを特徴とするハッシュ値算出処
理方法にある。

【００１８】さらに、本発明のハッシュ値算出処理方法
の一実施態様において、前記圧縮値算出処理ステップ
は、さらに、メッセージＭを各々が２ｎビットのｍブロ
ック：Ｍ＝（Ｍ₁，Ｍ₂，．．．，Ｍ _m）に分割し、各ｉ
＝１，２，．．．，ｍについて、Ｈ₀＝２ｎビット初期
値を設定し、圧縮関数：ｈ*（・）の値として、 Ｈ_i＝ｈ*（Ｍ_i，Ｈ_i-1）， を算出し、Ｈ_mが全て０からなるベクトルの場合は、下
記式、 Ｈ_m＝ｈ*（Ｍ_m，Ｈ₀）， により、Ｈ_mを再計算し、前記Ｈ_mを出力値算出処理ステ
ップにおける入力値として出力する、上記各処理を含む
ことを特徴とする。

【００１９】さらに、本発明のハッシュ値算出処理方法
の一実施態様において、前記圧縮値算出処理ステップ
は、さらに、メッセージＭを各々が２ｎビットのｍブロ
ック：Ｍ＝（Ｍ₁，Ｍ₂，．．．，Ｍ _m）に分割し、各ｉ
＝１，２，．．．，ｍについて、Ｈ₀＝２ｎビット初期
値を設定し、下式に従って、Ｍ_i,jおよび、Ｈ_i-1,jの非
線形加算値を算出し、

【数３】 なお、上記式において、Ｍ_i,jは、Ｍ_i,のｊ番目のセグ
メントを示し、Ｈ_i,jは、Ｈ_i,のｊ番目のセグメントを
示す、セグメントＸ_i,jの連結処理により、２ｎ次元の
ベクトルＸ_iを生成し、 ２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ（ＣＡ）を
初期状態Ｙ（０）＝Ｘ _iに設定し、２×ｎ（２−ｂｙ−
ｎ）セルラーオートマタ（ＣＡ）について、以下の処理
に従ったｎサイクルの状態遷移を実行し、 Ｙ（ｋ）＝ＣＡ（Ｙ（ｋ−１）），ｋ＝１，
２，．．．，ｎ， 下記式に示す値、 ｈ*（Ｍ_i，Ｈ_i-1）＝Ｈ_i＝Ｙ（ｎ） を出力値算出処理ステップにおける入力値として出力す
る、上記各処理を含むことを特徴とする。

【００２０】さらに、本発明のハッシュ値算出処理方法
の一実施態様において、前記出力値算出処理ステップ
は、（１）前記圧縮値算出処理ステップの出力としての
Ｈ_mを入力、（２）Ｈ_mを、８つの等しいデータ長のバイ
ナリセグメントに分割し、２×（ｎ／８）（２−ｂｙ−
（ｎ／８））セルラーオートマタ（ＣＡ）を取得した
（Ｈ _m／８）セグメントに基づいて初期化、（３）下記
（ａ）〜（ｂ）を８回実行、（ａ）各セルラーオートマ
タ（ＣＡ）のｎ／８遷移の実行、（ｂ）Ｉ＝１，
２，．．．，８の各々について以下に示す処理に従った
現ＣＡの更新処理の実行、ＣＡＩの中間ビットが１の場
合、ＣＡＩとＣＡ（Ｉ＋１）の現状値において、ビット
−バイ−ビットｍｏｄ２加算により、ＣＡ（Ｉ＋１）を
更新、ＣＡＩの中間ビットが０の場合、ビット−バイ−
ビットｍｏｄ２コンプリメンテーションにより、ＣＡ
（Ｉ＋１）を更新、（４）下記（ｃ），（ｄ），（ｅ）
および（ｆ）を４／ｎ回、実行、（ｃ）各セルラーオー
トマタ（ＣＡ）のｎ／１６遷移の実行、（ｄ）Ｉ＝１，
２，．．．，８の各々について以下に示す処理に従った
現ＣＡの更新処理の実行、ＣＡＩの中間ビットが１の場
合、ＣＡＩとＣＡ（Ｉ＋１）の現状値において、ビット
−バイ−ビットｍｏｄ２加算により、ＣＡ（Ｉ＋１）を
更新、ＣＡＩの中間ビットが０の場合、ビット−バイ−
ビットｍｏｄ２コンプリメンテーションにより、ＣＡ
（Ｉ＋１）を更新、（ｅ）各セルラーオートマタ（Ｃ
Ａ）のｎ／１６遷移の実行、（ｆ）ＣＡの中間ビットを
バッファに入力、（５）バッファに格納された２ｎ次元
のバイナリベクトルを出力、上記各処理を含むことを特
徴とする。

【００２１】さらに、本発明の第２の側面は、ハッシュ
値算出処理を実行するデータ処理装置であり、（ａ）以
下の処理手段を含み圧縮値算出処理を実行する圧縮値算
出処理手段と、（ａ−１）セルラーオートマタ（ＣＡ）
に対する入力データとして、メッセージＭに基づいてベ
クトルデータを算出する算出処理手段、（ａ−２）状態
遷移処理を実行するセルラーオートマタ（ＣＡ）処理手
段、（ｂ）以下に示す処理手段を含み出力値算出処理を
実行する出力値算出処理手段と、（ｂ−１）前記圧縮値
算出処理における取得セグメントを入力するセルラーオ
ートマタ（ＣＡ）処理手段であり、各セルラーオートマ
タ（ＣＡ）の状態に基づく遷移処理を実行するセルラー
オートマタ（ＣＡ）処理手段、を有することを特徴とす
るデータ処理装置にある。

【００２２】さらに、本発明のデータ処理装置の一実施
態様において、前記圧縮値算出処理手段は、（１）下式
に従って、Ｍ_i,jおよび、Ｈ_i-1,jの非線形加算値を算出
する算出手段、

【数４】 なお、上記式において、Ｍ_i,jは、Ｍ_i,のｊ番目のセグ
メントを示し、Ｈ_i,jは、Ｈ_i,のｊ番目のセグメントを
示す、（２）セグメントＸ_i,jの連結処理により、２ｎ
次元のベクトルＸ_iを生成する２×ｎ（２−ｂｙ−ｎ）
セルラーオートマタ（ＣＡ）であり、下記処理を実行す
る２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ（Ｃ
Ａ）、初期状態Ｙ（０）＝Ｘ_iに設定し、以下の処理に
従ったｎサイクルの状態遷移を実行し、 Ｙ（ｋ）＝ＣＡ（Ｙ（ｋ−１）），ｋ＝１，
２，．．．，ｎ， 下記式に示す値、 ｈ*（Ｍ_i，Ｈ_i-1）＝Ｈ_i＝Ｙ（ｎ） を前記出力値算出処理手段に対する出力値とする、上
記、（１）、（２）の処理手段を有することを特徴とす
る。

【００２３】さらに、本発明のデータ処理装置の一実施
態様において、前記出力値算出処理手段は、以下の出力
値算出アルゴリズム、前記圧縮値算出処理手段の出力値
の分割セグメント（Ｈ_m／８）に基づいて２×（ｎ／
８）（２−ｂｙ−（ｎ／８））セルラーオートマタ（Ｃ
Ａ）を初期化、（１）下記（ａ）〜（ｂ）を８回実行、
（ａ）各セルラーオートマタ（ＣＡ）のｎ／８遷移の実
行、（ｂ）Ｉ＝１，２，．．．，８の各々について以下
に示す処理に従った現ＣＡの更新処理の実行、ＣＡＩの
中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋１）の現状
値において、ビット−バイ−ビットｍｏｄ２加算によ
り、ＣＡ（Ｉ＋１）を更新、ＣＡＩの中間ビットが０の
場合、ビット−バイ−ビットｍｏｄ２コンプリメンテー
ションにより、ＣＡ（Ｉ＋１）を更新、（２）下記
（ｃ），（ｄ），（ｅ）および（ｆ）を４／ｎ回、実
行、（ｃ）各セルラーオートマタ（ＣＡ）のｎ／１６遷
移の実行、（ｄ）Ｉ＝１，２，．．．，８の各々につい
て以下に示す処理に従った現ＣＡの更新処理の実行、Ｃ
ＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋１）
の現状値において、ビット−バイ−ビットｍｏｄ２加算
により、ＣＡ（Ｉ＋１）を更新、ＣＡＩの中間ビットが
０の場合、ビット−バイ−ビットｍｏｄ２コンプリメン
テーションにより、ＣＡ（Ｉ＋１）を更新、（ｅ）各セ
ルラーオートマタ（ＣＡ）のｎ／１６遷移の実行、
（ｆ）ＣＡの中間ビットをバッファに入力、を実行する
２×ｎセルラーオートマタ（ＣＡ）を有することを特徴
とする。

【００２４】さらに、本発明のデータ処理装置の一実施
態様において、ハッシュ値を算出する前記データ処理装
置は、フィールドプログラマブル・ゲートアレイによっ
て構成されていることを特徴とする。

【００２５】

【発明の実施の形態】（１）システム構成 上述したように、ソフトウェア再構成可能無線システム
あるいは、ソフトウェア無線（ＳＤＲ：Software defin
ed radio）システムは、公衆通信網を介したソフトウェ
アのダウンロード処理に基づくシステムであり、従っ
て、ダウンロード処理におけるセキュリティ問題が１つ
の大きな課題である。

【００２６】図１は、本発明のハッシュ・ファンクショ
ンが適用可能な無線ネットワーク構成例を示している。
ソフトウェア無線（ＳＤＲ：Software defined radio）
１２１，１２３，１２４…は、単信、または２重通信手
法により受信または送信、または、両者の処理を行な
う。ＳＤＲには、再構成可能ロジック（プログラマブル
論理デバイス（ＰＬＤ））が備えられている。ＰＬＤの
一例は、フィールドプログラマブル・ゲートアレイ（Ｆ
ＰＧＡ）であり、例えば、再構成可能ロジックブロック
（ＣＬＢ）、入出力ブロック（ＩＯＢ）、ＣＬＢとＩＯ
Ｂとをプログラマブル接続する接続手段を有する。

【００２７】ＣＬＢ，ＩＯＢ，接続構成は、ビットスト
リームによってその構成が決定される。再構成可能ロジ
ックは、耐タンパ・ハードウェアパッケージ１５０内に
構成される。この耐タンパ・ハードウェアパッケージ１
５０には、再構成可能ロジックと、再構成可能ロジック
にダウンロードするソフトウェアに関する認証処理、改
竄検証等のセキュリティ機能を実行するデバイスとが併
せて格納されている。

【００２８】再構成可能ロジックにダウンロードするビ
ットストリームは、サーバ１０１からベース・ステーシ
ョン１１１を介して送信される。また、ソフトウェア・
プログラム（ビットストリーム）は、光学的メモリ、磁
気的メモリデバイス、その他の記憶デバイスからロード
することも可能である。

【００２９】（２）ＳＤＲシステムにおける初期処理 ＳＤＲに対するソフトウェアのダウンロード処理につい
て、図２を参照して説明する。

【００３０】まず、ソフトウェア又はプログラムファイ
ル３０１、例えばＦＰＧＡのような再プログラム可能な
ロジックに対してダウンロード可能なビットファイルが
検証のために管理局に提出される。認定が済むと、ソフ
トウェアには、管理局、例えば政府の秘密鍵［ｋ］３０
６を適用した電子署名がなされる。

【００３１】この電子署名のプロセスの前に、プログラ
ムファイルは、ハッシュ・ファンクション３０２によっ
て処理がなされ、非暗号化フィンガープリント３０３が
ハッシュ結果として生成される。電子署名は、このフィ
ンガープリント３０３（ハッシュ結果）に基づいて、暗
号処理部３０４が秘密鍵３０６を適用して実行する。

【００３２】電子署名は、以下の式によって示される。

【００３３】

【数５】

【００３４】ハッシュ・ファンクション３０２は、１方
向性ハッシュ・ファンクションである。これは、特定の
２次元セルラーオートマタ(ＣＡ:Cellular Automata)に
基づくものである。この中心となるコンポーネントは、
いわゆる２×ｎ（２−ｂｙ−ｎ）線形セルラーオートマ
タ（ＣＡ）である。ＣＡを適用した１方向性ハッシュ・
ファンクションの利点は、高速処理可能であること、ハ
ードウェアにおける実行に適していること、さらに、既
に知られているＣＡ理論に基づいて、セキュリテイ評価
が可能であることがある。この構成および処理について
は、後述する。

【００３５】このハッシュ・ファンクション３０２およ
び暗号処理部３０４における処理の後、暗号化フィンガ
ープリント３０５が出力される。認定されたソフトウェ
アは、プログラムファイル（ビットファイル）３０７
と、暗号化フィンガープリントビットファイル３０８に
よって構成される。

【００３６】（３）ＳＤＲシステムのターミナルにおけ
る処理 図３にターミナルの機能ブロック図を示す。

【００３７】ダウンロードソフトウェアの復号は、初期
処理プロセスのほぼ逆の処理となる。

【００３８】まず、暗号化ビットファイル４５１に対し
て、ターミナル秘密鍵４５２を適用して復号処理（Ｓ４
０１）を実行する。

【００３９】次に、電子署名（暗号化ハッシュ・ファン
クション）が、すべてのターミナルで利用可能な政府公
開鍵４５３を適用して復号される（Ｓ４０２）。２次元
線形セルラーオートマタに基づくハッシュ・ファンクシ
ョンを適用して、復号ビットファイルのハッシュ値、あ
るいはフィンガープリントを算出する（Ｓ４０３）。２
つの値が符合すれば（Ｓ４０４）、ソフトウェアは、正
当であり、認可されてから改竄されていないこととなる
（Ｓ４０５）。

【００４０】上述した改竄検証、認証処理によってソフ
トウェアの検証がなされた後、ビットファイルは、ＦＰ
ＧＡにダウンロードされる。フィンガープリントが不一
致であった場合は、ソフトウェアは改変されたか、又
は、政府による署名及び認定がなされていないものであ
り、このような場合は、ロード処理は実行されず、エラ
ーであることをユーザに知らせるため、エラーメッセー
ジがディスプレイに表示される。

【００４１】上述したセキュリティチェックは、耐タン
パ・ハードウェアパッケージに格納されたＦＰＧＡのよ
うな再構成可能ロジックによって構成されたセキュリテ
ィチェック・デバイスによって実行される。この耐タン
パ・ハードウェアパッケージは、復号ビットファイルの
ダウンロード処理に適用する再構成可能ロジック（ＦＰ
ＧＡ）も含むものである。

【００４２】ターミナル秘密鍵４５２、および政府公開
鍵４５３は、耐タンパ・ハードウェアパッケージ内のセ
キュリティチェック・デバイスのメモリに格納される。
例えば、ＳＤＲのような無線データ通信装置の製造者が
これらの鍵を耐タンパ・ハードウェアパッケージ内に格
納する処理を実行する。

【００４３】（４）ＳＤＲ構成 図４は、ソフトウェア無線（ＳＤＲ：Software defined
radio）に代表される本発明に係る無線データ通信装置
の構成を示すブロック図である。ＳＤＲは、トランシー
バ５０１、Ａ／Ｄ，Ｄ／Ａコンバータ５０２、再構成可
能ロジックと、セキュリティ機能実行デバイスとを格納
した耐タンパ・ハードウェアパッケージ５０３、ディジ
タルシグナルプロセッサ（ＤＳＰ）５０４、ＣＰＵ５０
５、ＲＯＭ５０６、メモリ５０７、Ｉ／Ｏインタフェー
ス５０８、Ａ／Ｄ，Ｄ／Ａコンバータ５０９を有する。
データは、上述の各素子をバスを介して転送可能であ
る。

【００４４】耐タンパ・ハードウェアパッケージ５０３
内の再構成可能ロジックにダウンロードするソフトウェ
ア・プログラム（ビットストリーム）は、トランシーバ
５０１によって受信され、耐タンパ・ハードウェアパッ
ケージ５０３に転送される。転送プログラムに関するセ
キュリティチェック処理が、耐タンパ・ハードウェアパ
ッケージ５０３内のＦＰＧＡによって構成されるセキュ
リティチェック・デバイスによって実行される。セキュ
リティチェック・デバイスは、プログラムの正当性につ
いての検証を実行し、正当性の確認がなされた場合にお
いてのみ、再構成可能ロジックに対するダウンロードが
許可される。

【００４５】耐タンパ・ハードウェアパッケージ５０３
内のセキュリティチェック・デバイスは、同一の耐タン
パ・ハードウェアパッケージに格納された再構成可能ロ
ジックにダウンロードするソフトウェア・プログラムに
関するセキュリティチェックプロセスを実行するプロセ
ッサーを有する。

【００４６】セキュリティチェック・デバイスは、さら
に、秘密鍵を格納したメモリを有する。セキュリティチ
ェック・デバイスのプロセッサは、この秘密鍵を適用し
て、暗号化されたソフトウェア・プログラムの復号処理
を実行する。この秘密鍵は、例えば、各無線データ通信
装置に固有に割り当てられる。

【００４７】セキュリティチェック・デバイスは、さら
に、管理局の公開鍵を格納したメモリを有する。セキュ
リティチェック・デバイスは、この管理局の公開鍵を適
用して、ソフトウェア・プログラムに付加された電子署
名の検証処理を実行する。

【００４８】耐タンパ・ハードウェアパッケージ内のセ
キュリティチェック・デバイスは、ソフトウェア・プロ
グラムに付加された電子署名の検証処理による認証処理
を実行し、さらに、ソフトウェア・プログラムのデータ
に基づくハッシュ値の計算により、ソフトウェア・プロ
グラムの改竄検証処理を実行する。

【００４９】（５）ハッシュ・ファンクション ハッシュ・ファンクションについて、以下詳細に説明す
る。説明は、３パートに分けて行なう。パートＩ（セク
ション５−１，５−２）は、２×ｎ（２−ｂｙ−ｎ）線
形セルラーオートマタ（ＣＡ）の概要およびハッシュフ
ァンクションのバックグラウンドについて説明する。パ
ートＩＩ（セクション５−３）は、セルラーオートマタ
による暗号処理のバックグラウンドについて説明する。

【００５０】パートＩＩＩ（セクション５−４）は、本
発明に従った、セルラーオートマタを適用したハッシュ
ファンクションの処理方法および装置について説明す
る。

【００５１】セクション５−１は、本発明の項生におけ
る主要部である２×ｎ（２−ｂｙ−ｎ）線形セルラーオ
ートマタ（ＣＡ）の主要特徴についてのまとめている。
セクション５−２と５−３は、ＣＡによって実行される
１方向性ハッシュファンクションと、暗号処理のバック
グラウンドの説明である。セクション５−４では、本発
明に係る新奇なハッシュファンクションを説明する。

【００５２】（５−１）２次元セルラーオートマタ ここで我々が提案する特徴的な２次元線形セルラーオー
トマタ（ＣＡ）は、それぞれが隣接するすべてのセルに
接続された２×ｎ（２−ｂｙ−ｎ）のセル配列構成を持
つ。各セルは基本的に３つの隣接セルを持つ。

【００５３】ここでは、線形有限状態マシン（ＬＦＳ
Ｍ）およびＣＡについての理論的バックグラウンドにつ
いて説明する。全ての数学的処理は、バイナリフィール
ドＧＦ（２）において実行される。本発明の構成を実現
するために、線形有限状態マシンＭは、シングル・ビッ
ト素子および遷移機能を持つ。時刻ｔにおけるｉ番目の
メモリ素子の状態値をs^t _iとする。時刻ｔにおけるＭの
状態をs^tとする。

【００５４】遷移ファンクションｆは、時刻ｔ＋１のＭ
の状態を時刻ｔの状態に基づいて決定する。これは、す
なわち、s^t+1＝ｆ（s^t）として示される。マシンの次の
状態ファンクションは、状態グラフを用いてグラフとし
て示すことができる。

【００５５】Ｍにおける線形性は、ファンクションｆが
ｎビットベクトルからｎビットベクトルへの線形ファン
クションであることを意味する。すなわち、すべての２
状態ａおよびｂにおいて、 ｆ（ａ＋ｂ）＝ｆ（ａ）＋ｆ（ｂ） が成立する。遷移ファンクションｆは、ｎ個のファンク
ション、ｆ₁，ｆ₂，・・ｆ_n，として示すことができ
る。ここで、ｉ番目のファンクションは、セルｉの次状
態を以下に示す式に従って算出する。 s^t+1 _i＝ｆ₁（s^t）

【００５６】ＣＡの規則では、ファンクションｆ₁は、
セルｉのセル・ルールと呼ばれる。遷移ファンクション
ｆは、ｆ₁の各々が線形である場合に、線形となる。説
明を簡単にするために、ｓを現在の状態を示すものとし
て用い、ｓ⁺を次状態を示すものとする。同様にセルｉ
について、ｓ_iを現在の状態を示すものとして用い、ｓ_i
⁺を次状態を示すものとする。

【００５７】ＣＡでは、セル間のコミュニケーション
は、最近接するものとで実行される。すなわち、セル
は、最近接セルと接続される。

【００５８】図５は、トップセル６０１−１〜ｎ、ボト
ロセル６５１−１〜ｎを持つ２×ｎ（２−ｂｙ−ｎ）セ
ルラーオートマタ（ＣＡ）の接続構成を示す。左端およ
び右端のセルは、それぞれ左および右からコンスタント
に０の入力を受けるものと仮定する。このようなＣＡを
レキュラー構成の２×ｎ（２−ｂｙ−ｎ）セルラーオー
トマタ（ＣＡ）と呼ぶ。

【００５９】各タイムのステップにおいて、各セルは、
セルルールを用いて新状態値を算出する。異なるセル
は、異なるルールを適用可能であり、ＣＡをハイブリッ
ド構成とすることが可能である。ここでは、ＣＡが全接
続構成を持つもの、すなわち、各セルがすべての近隣３
セルからの入力を受ける構成とする。例えば、セル（ｔ
₂）６０１−２は、セル（ｔ₁）６０１−１、セル
（ｔ₃）（図示せず）、およびセル（ｂ₂）６５１−２か
らの入力を受ける。結果として、セルｉにおけるセルル
ールｆ_iは、以下に示すルールゼロあるいはルールワン
のいずれかになる。

【００６０】

【数６】

【００６１】上記式において、ｓ_l（ｓ_r）は、左（右）
の現在状態値を示し、ｓ_vは、垂直方向、ｓ_sは、セルｉ
自身の状態を示す。ルールゼロおよびルールワンは、１
次元ＣＡ文献に示されるルール９０およびルール１５０
に対応する。

【００６２】このように２つのルールのみが存在するに
過ぎないので、セルにおいて適用するルールを、例えば
ルールワンを“１”、ルールゼロを“０”としてシング
ルビットに符号化することが可能となる。ここでは、図
５に示すように、ルールを示す値として、ｔ_l，ｔ₂，・
・ｔ_n、およびｂ_l，ｂ₂，・・ｂ_nを用いる。トップセル
の１〜ｎが、ｔ_l，ｔ₂，・・ｔ_n、に対応し、ボトムセ
ルのｎ＋１〜２ｎが、ｂ_l，ｂ₂，・・ｂ_nに対応する。
一般に、２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ
（ＣＡ）を識別するために、ルールベクトル［［ｔ_l，
ｔ₂，・・ｔ_n］，［ｂ_l，ｂ₂，・・ｂ_n］］を用いる。

【００６３】ＬＦＳＭの遷移マトリクスＴは、遷移ファ
ンクションを代数学的に示す、すなわち、Ｓ⁺＝ＳＴで
ある。線形ハイブリッドＣＡの遷移ファンクションは、
３重対角性を持ち、その線形フィードバックシフトレジ
スタ（ＬＦＳＲ）は対応する構成を持つ。ＣＡにおい
て、遷移マトリクスは、下記のブロック構成を持つ。

【００６４】

【数７】

【００６５】上記式において、Ｔ_lおよびＴ₂は、ｎ×ｎ
（ｎ−ｂｙ−ｎ）の３重対角行列である。Ｉは、ｎ×ｎ
（ｎ−ｂｙ−ｎ）の恒等行列である。２×４（２−ｂｙ
−４）ＣＡの遷移マトリクスは、下記のようになる。

【００６６】

【数８】

【００６７】上記式において、ｔ_iおよびｂ_i、（ｉ≦ｉ
≦ｎ）は、前述した定義に従ったものである。

【００６８】２×ｎ（２−ｂｙ−ｎ）ＣＡの遷移マトリ
クスは対称である。初期状態に戻るまでにすべての非ゼ
ロ状態を生成するＣＡは、最大長サイクルを持つＣＡと
なる。

【００６９】図６に示すような、２×３（２−ｂｙ−
３）ＣＡを想定する。ノードに対応するセル、２つのノ
ードを接続するラインから理解されるように、２つのセ
ルが互いに次の状態に対して影響を及ぼす構成となって
いる。ＣＡがルールベクトル［［１，１，０］，［０，
０，１］］を適用すると想定する。

【００７０】すなわち、［ｔ_l，ｔ₂，ｔ₃］＝［１，
１，０］、［ｂ_l，ｂ₂，ｂ₃］＝［０，０，１］とす
る。

【００７１】セルｉの現状態をｓ_i（１≦ｉ≦６）と
し、ｓ⁺ _iを次の状態とする。各セルの次状態ファンクシ
ョンを下式に示すように設定する。

【００７２】

【数９】

【００７３】次状態ファンクションの適用において、図
７に示すテーブルに従ったベクトルシーケンスの評価を
行なう。ここでの初期状態は、（ｓ_l，ｓ₂，ｓ₃，ｓ₄，
ｓ₅，ｓ₆）＝（１，０，０，１，０，０）である。

【００７４】想定するＣＡは、初期状態（１，０，０，
１，０，０）に復帰するまでに、すべての非ゼロ状態を
とるものとする。従って、最大長サイクルを有する。

【００７５】ここで想定する２×ｎ（２−ｂｙ−ｎ）Ｃ
Ａの生成するベクトルシーケンスは、ルールベクトル
［［１，１，０］，［０，０，１］］を適用する。

【００７６】（５−２）１方向性ハッシュファンクショ
ン （５−２−１）累次（Ｉｔｅｒａｔｅｄ）ハッシュファ
ンクションの一般モデル 多くの１方向性ハッシュファンクション：ハッシュ
（・）は、連続する固定サイズのブロック処理により、
任意長のハッシュ入力処理を繰り返し実行するものとさ
れている。任意の有限長のハッシュ入力Ｍは、固定長、
すなわちｌ長のブロックＭ_iに分割される。この予備処
理は、ブロック長ｌの複合ブロックｍの生成のためにエ
クストラワード／ビット（パディング）を必要に応じて
付加し、また、パディングの無い入力の長さを示すブロ
ックが付加される場合がある。

【００７７】各ブロックＭ_iは、内部の固定サイズファ
ンクションｈの入力とされる。これはハッシュの圧縮値
算出処理ファンクションであり、固定ビット長ｎの中間
結果値を算出する。これは先行するｎビットの中間結果
値と次の入力ブロックＭ_iとのファンクションである。
Ｈ_iをステージｉにおける一部結果を示すものとする。
入力Ｍ＝（Ｍ_l，Ｍ₂，・・Ｍ_n）であるときの累次１方
向性ハッシュファンクションの一般的処理は、下式のよ
うにモデル化される。 Ｈ₀＝ＩＶ， Ｈ_i＝ｈ（Ｈ_i-1，Ｍ_i），１≦ｉ≦ｍ， ｈａｓｈ（Ｍ）＝ｇ（Ｈ_m）． ……（１）

【００７８】Ｈ_i-1は、ステージｉ−１とステージｉと
をつなぐｎビット連鎖変数であり、Ｈ₀は、あらかじめ
設定された開始値あるいは初期値ＩＶである。オプショ
ナル変換関数ｇは、ｎビット連鎖変数をｎ’ビット結果
ｇ（Ｈ_m）にマップする最終ステップにおいて用いられ
る。ｇは、しばしばｇ（Ｈ_m）＝Ｈ_mとしての恒等マッピ
ングを行なう。文献において示される各種の１方向性ハ
ッシュファンクションは、それぞれ予備処理、圧縮値算
出ファンクション、出力変換処理において、個々に異な
るものである。

【００７９】（５−２−２）専用（ｄｅｄｉｃａｔｅ
ｄ）１方向性ハッシュファンクション 構成の点から分析すると、１方向性ハッシュファンクシ
ョンは、圧縮処理を含む処理特性に基づいて分類するこ
とが可能である。今日までに累次１方向性ハッシュファ
ンクションは、３つの大きなカテゴリ分類がなされてい
る。ブロック暗号処理に基づく１方向性ハッシュファン
クション、モジュラ演算に基づく１方向性ハッシュファ
ンクション、そして、専用（ｄｅｄｉｃａｔｅｄ）１方
向性ハッシュファンクションである。

【００８０】専用（ｄｅｄｉｃａｔｅｄ）１方向性ハッ
シュファンクションは、高速性を持ち、また他のシステ
ムサブコンポーネント（例えばブロック暗号処あるいは
モジュラ演算サブコンポーネントのように、ハッシュ以
外の処理目的のために存在するコンポーネント）と独立
してハッシュ専用に構築されたものである。

【００８１】以下に説明する１方向性ハッシュファンク
ションは、すべていわゆるＭＤ４，ＭＤ５，ＳＨＡ−
１，ＲＩＰＥＭＤ−１６０、ＨＡＶＥＬに基づいてい
る。

【００８２】ＭＤ４は、 "R.L. Rivest, "The MD4 mess
age-digest algorithm", Advancesin cryptology -CRYP
TO 90, {Lecture Notes in Computer Science}, vol. 5
37,pp. 303-311, 1991"において最初に提案された。

【００８３】ＭＤ５は、例えば、"[22] RFC 1321,"The
MD5 message-digest algorithm", Internet request fo
r comments 1321, R.L. Rivest, April 1992". に記載
されている。またＳＨＡ−１は、例えば、 "[23] FIPS
180-1, "Secure hash standard", Federal Information
Processing Standards Publication 180-1, U.S. Depa
rtment of Commerce / NIST, 1995"に記載されている。

【００８４】また、ＲＩＰＥＭＤ−１６０は、例え
ば、"[24] Integrity Primitives for Secure Informat
ion Systems: Final Rep. of RACE Integrity Primitiv
es Eval.RIPE-RACE 1040. {Lecture Notes in Computer
Science}, vol. 1007, 1995"に記載されている。さら
に、ＨＡＶＥＬは、例えば、 "[25] Y. Zheng, J. Piep
rzyk and J. Sebery, "HAVAL - a one-way hashing alg
orithm with variable length of output", Advances i
n cryptology - AUSCRYPT 92, {Lecture Notes inCompu
ter Science}, vol. 718, pp. 83-104, 1993"に記載さ
れている。

【００８５】ＧＦ（２）上におけるセルラーオートマタ
を適用した様々なクラスに属する専用ハッシュファンク
ションについてのレポートとしては、例えば下記の文献
がある。

【００８６】"[14] I.B. Damgard, "A design principl
e for hash functions", Advancesin Cryptology -CRYP
TO 89, {Lecture Notes in Computer Science}, vol. 4
35,pp. 416-427, 1990", "J. Daemen, R. Govaerts and
J. Vandewalle", "[26] A framework for the design of one-way hash f
unctions including cryptanalysis of Damgard's one-
way function based on cellular automaton",Advances
in cryptology - ASIACRYPT '91, {Lecture Notes in
Computer Science}, vol. 739, 1993", [27] S. Hirose and S. Yoshida, "A one-way hash fun
ction based on a two-dimensional cellular automato
n", {The 20th Symp. on Information Theoryand Its A
ppl. (SITA97)}, Matsuyama, Japan, Dec. 1997, Proc.
vol. 1, pp.213-216", [38] M. Mihaljevic, Y. Zheng, and H. Imai, "A cell
ular automaton basedfast one-way hash function sui
table for hardware implementation", Public Key Cry
ptography - PKC '98, {Lecture Notes in Computer Sc
ience}, vol.1431, pp. 217-233, 1998.

【００８７】本発明に従った１方向性ファンクション
は、専用１方向性ハッシュファンクションのクラスに属
する。これは、２次元セルラーオートマタを適用したア
プローチによるものである。

【００８８】（５−２−３）１方向性ハッシュファンク
ションのセキュリティ ある１方向性ハッシュファンクションが提示された場
合、可能な限り仮定を排除したある特定の状況のもとで
のアタック（攻撃）の計算量の下限を証明可能であるこ
とが好ましい。しかし、このような証明はほとんどな
い。一般的には、ある１方向性ハッシュファンクション
のセキュリティに関する最良のガイダンスとして提示さ
れるのは、最も効率的な想定し得るアタックの計算量で
あり、これは、セキュリティの上限を示すに過ぎない。

【００８９】計算量２ⁿのアタックは、各処理を単位ワ
ークとするほぼ２ⁿの処理数を必要とする。アタックに
おける記憶量も考慮すべきである。以下に説明するよう
な、ハッシュコードが均一なランダム変数に近づくと仮
定した場合の理論が示されている。

【００９０】ｎビットハッシュファンクションｈにおい
て、２ⁿ以内のハッシュ処理によって１つのプリイメー
ジ（ｐｒｅｉｍａｇｅ）、あるいは第２のプリイメージ
（”A.J. Menezes, P.C. van Oorschot and S.A. Vanst
one, {Handbook of Applied Cryptography}. Boca Roto
n: CRC Press, 1997”, for example参照）を発見する
アタックの可能性がある。

【００９１】メッセージの選択が可能である場合、たと
えば、文献"G. Yuval, "How to swindle Rabin", {Cryp
tologia} vol. 3, pp. 187-190, 1979"に示されるバー
スディアタックにより、ｈａｓｈ（Ｍ）＝ｈａｓｈ
（Ｍ’）の関係を持つメッセージＭ，Ｍ’のコリージョ
ンが、２^n/2の処理とリーズナブルなメモリ量に基づい
て発見可能となる。

【００９２】もし、２つの条件、すなわち、（ａ）プリ
イメージ、および第２プリイメージの各々を生成するの
に、ほぼ２ⁿの処理を必要とすること、（ｂ）上記のコ
リージョンの生成にほぼ２^n/2の処理が必要となる。こ
れらの両条件を満足すれば、ｎビット１方向性ハッシュ
ファンクション：ｈａｓｈ（・）は、理想的なセキュリ
ティを持つことができる。

【００９３】多くのモデルにおいて、ハッシュ（・）の
セキュリティをｈおよびｇのセキュリティに関連付けす
ることが、以下に説明する結果に基づいて可能となる。

【００９４】理論１ ハッシュ（・）がＭＤ強度を持つ累次ハッシュファンク
ションであるとする。この場合、ハッシュ（・）（アタ
ッカーは、ＩＶを任意に選択可能とする。）に対するプ
リイメージおよびコリージョンアタックは、対応するｈ
およびｇに対するアタックとほぼ同様の計算量となる。

【００９５】理論１は、ハッシュ（・）のセキュリティ
の下限を示す。前述の文献”[20] B. Preneel, R. Gova
erts and J. Vandewalle, "Hash functions based on b
lockciphers: a synthetic approach", Advances in cr
yptology - CRYPTO 93, {Lecture Notes in Computer S
cience}, vol. 773, pp. 368-378, 1994",、および文献
" [18] L. Knudsen and B. Preneel, "Fast and secur
e hashing based oncodes", Advances in cryptology -
CRYPTO 97, {Lecture Notes in ComputerScience}, vo
l. 1294, pp. 485-498, 1997",によれば、Ｄａｖｉｓ−
Ｍｅｙｅｒ圧縮ファンクションに基づく累次ハッシュフ
ァンクションは、下記式に基づくものとなる。

【００９６】

【数１０】

【００９７】上記式において、Ｅ_K（・）は、鍵Ｋによ
って制御されたブロック鍵であり、Ｅ_K（・）のセキュ
リテイに応じてセキュア性が保持される。

【００９８】鍵のブロック連鎖に関するセキュリティ理
論、および、前述の文献［１８］に記載の事項（現代の
暗号処理の理論の１つのスタンダード）に基づいて、以
下に説明する仮定を導いた。

【００９９】仮定１ 圧縮処理ファンクションｈをＤａｖｉｓ−Ｍａｙｅｒフ
ァンクション（２）とすることで、暗号処理変換は、セ
キュアに保たれる。ｈにおけるコリージョンの検出に
は、ｎビットのハッシュ結果があるとしたとき、ほぼ２
^n/2の処理が必要となる。

【０１００】上述の議論は、セキュアな１方向性ハッシ
ュファンクションのデザインにおける主要な問題点を、
セキュアな圧縮処理ファンクション、および良好な出力
値算出ファンクションをデザインすることで解決可能で
あることを示している。

【０１０１】（５−３）セルラーオートマタを適用した
暗号処理技術における背景これまで知るところでは、２
×ｎ（２−ｂｙ−ｎ）ＣＡを暗号処理アプリケーション
に適用した構成に関するレポートは存在しない。これら
のＣＡは、ＦＰＧＡや同様の構成を適用した暗号処理ブ
ロックの生成にたいへん適したものであると思われる。

【０１０２】一方、ＧＦ（２）上でのＣＡによる暗号処
理アプリケーションに関する結果は複数、公開されてい
るが、ここでは、これらの中から、本発明に関連する部
分のみを抽出して説明する。

【０１０３】セルラーオートマタは、あるハッシュファ
ンクションを実行する構成であると同様、ブロックおよ
びストリーム暗号鍵としてのブロック生成にも適用可能
である。セルラーオートマタの最初の暗号処理に対する
適用構成は、文献：in "[29]S. Wolfram, "Cryptograph
y with Cellular Automata", Advances in cryptology
- CRYPTO 85, {Lecture Notes in Computer Science},
vol. 218, pp. 429-432, 1985"に記載されている。セル
ラーオートマタに基づいたブロックおよびストリーム暗
号鍵については、文献" [32] S. Nandi, B.K. Kar and
P. Pal Chaudhuri, "Theory and applications of cell
ular automata in cryptography", {IEEE Trans. Compu
t.}, vol. 43, pp.1346-1357, Dec. 1994"において提案
されている。

【０１０４】ＲＯＭ付きＰＣＡ（ＰＣＡ ｗｉｔｈ ＲＯ
Ｍ（Read Only Memory））と呼ばれる２つのＣＡを適用
した鍵ストリーム生成装置、および２ステージＰＣＡに
ついておよび、そのセキュリティ解析の結果について
は、前述の文献［３２］に記載されている。

【０１０５】いくつかのＣＡを適用した暗号処理に関し
ては、文献" [9] S. Wolfram, {Cellular Automata and
Complexity}. Reading MA: Addison-Wesley, 1994",an
d "[10] P.P. Chaudhuri, D.R. Chaudhuri, S. Nandi a
nd S. Chattopadhyay, {Additive Cellular Automata:
Theory and Applications}. New York: IEEE Press,199
7"にまとめられている。

【０１０６】また、ＣＡに基づく鍵ストリーム生成装置
に関する暗号解析についても公開文献がある。中心のＣ
Ａセルによって生成されるビットシーケンスに基づく、
ＣＡの初期状態への回帰処理については、文献"[33] W.
Meier and O. Staffelbach,"Analysis of pseudo rand
om sequences generated by cellular automata", Adva
nces in Cryptology - EUROCRYPT 91, {Lecture Notes
in Computer Science}, vol. 547, pp. 186-189, 199
2”に記載されている。

【０１０７】また、文献"[34] C.K. Koc and A.M. Apoh
an, "Inversion of cellular automata iterations",
{IEE Proc. - Comput. Digit. Tech.}, vol. 144, pp.
279-284, 1997"には、非線形ＣＡ構成を想定した場合
の、所与の状態ベクトルの前状態を算出する逆処理アル
ゴリズムについての記載がある。

【０１０８】２ステージＰＣＡおよびＲＯＭ付きＰＣＡ
についての暗号処理セキュリテイ解析については、"[3
6] M. Mihaljevic, "Security examination of a cellu
lar automata based pseudo random bit generator usi
ng an algebraic replica approach", Applied Algebr
a, Algorithms and Error Correcting Codes - AAECC 1
2, {Lecture Notes in Computer Science}, vol. 1255,
pp. 250-262, 1997"に記載されている。

【０１０９】これらのスキームに対する暗号処理アタッ
ク等の攻撃、たとえば暗号テキストに対するアタック等
を想定した場合の、攻撃に対する性質についても開示さ
れており、実効キーサイズがその形式的サイズよりもか
なり小さいことが示されている。平文テキステトに対す
るアタックについての同様の弱点については、文献"[3
5] S.R. Blackburn, S. Murphy and K.G. Peterson, "C
omments on "Theory and Applications of Cellular Au
tomata in Cryptography"", {IEEE Trans. Comput.}, v
ol. 46, pp.637-638, May 1997"に示されている。

【０１１０】最近、プログラマブル・セルラーオートマ
タに基づく、改良されたキーストリーム生成装置が提案
され、これについての解析が、"[37] M. Mihaljevic, "
An improved key stream generator based on the prog
rammable cellular automata", Information and Commu
nication Security - ICICS '97, {Lecture Notes inCo
mputer Science}, vol. 1334, pp. 181-191, 1997"に示
されている。

【０１１１】ＧＦ（２）上におけるセルラーオートマタ
に基づくハッシュファンクション１方向性ハッシュファ
ンクションに適用するためのＣＡアプリケーションとし
ての最初の提案は、文献"[14] I.B. Damgard, "A desig
n principle for hash functions", Advances in Crypt
ology - CRYPTO 89, {Lecture Notes in Computer Scie
nce}, vol. 435, pp. 416-427, 1990"に示されている。

【０１１２】文献［１４］のスキームに対する耐攻撃特
性については、文献［２６］に、セルハッシュ（Ｃｅｌ
ｌｈａｓｈ）と呼ばれる新規なＣＡ構成の提案とともに
説明されている。セルハッシュ（Ｃｅｌｌｈａｓｈ）
は、Ｎ個の３２ビットワード、Ｍ_i，ｉ＝０，１，・
・、Ｎ−の連結データの生成、および以下に示す処理に
従ったメッセージの予備処理を想定している。

【０１１３】

【数１１】Ｈ⁰＝ＩＶ， ａｎｄ ｆｏｒ ｊ＝１，
２，．．．，Ｎ−１， Ｈ^j＝Ｆ_c（Ｈ^j-1， Ｍ_j-1 Ｍ_jmodN．．．
Ｍ_j+δmodN）， Ｈ^N をハッシュ結果とする。

【０１１４】上記式において、Ｆ_c（Ｈ，Ａ）は、変数
Ｈ（２５７ビット長のビットストリーム）に関する関数
（ファンクション）である。Ａは、長さ２５６ビットの
ビットストリングである。ＩＶは、長さ２５７ビットの
全ゼロのビッストリングである。結果は、２５７ビット
のビットストリングとなる。Ｆ_c（Ｈ，Ａ）は、以下に
示す５つのステップによる処理（文献［２６］参照）と
なる。

【０１１５】ステップ１は、各ビット値を文献［２９］
に示される非線形更新処理ルールを適用して近隣ビット
値に従って更新する非線形セルラーオートマタ処理であ
る。更新ルールにおける非線形性は、要求される乱雑性
を保証する。

【０１１６】ステップ２は、ビットストリングＡが０の
みからなる場合のサークル状の対称性を排除するため
に、１ビットを補足する処理である。ステップ３は、拡
散性（ｄｉｆｆｕｓｉｏｎ）を増大させるための線形Ｃ
Ａ処理である。ステップ４は、実メッセージをＨ中に注
入して、次の実行ラウンドにおける拡散および乱雑化を
図る処理である。ステップ５は、ビット入れ替え処理で
あり、前回の近隣位置からビット情報を取り出す。

【０１１７】文献［２７］では、２次元ＣＡに基づく１
方向性ハッシュファンクションが紹介され解析されてい
る。２次元ＣＡにおける遷移ファンクションは、１次元
ＣＡの２状態遷移ファンクションの合成構成である。第
１状態遷移ファンクションは、縦列に関する１次元であ
るとみなした２次元ＣＡをに従って計算を実行する。第
２状態遷移ファンクションは、横列に関する１次元であ
るとみなした２次元ＣＡをに従って計算を実行する。各
メッセージブロックについて、２次元ＣＡは、所定数の
サイクルを実行し、ハッシュ結果値は、最終サイクルに
おけるＣＡ状態値によって求められる。

【０１１８】文献［３８］は、ビット指向アプリケーシ
ョンにおける１方向性ハッシュファンクションのデザイ
ンに関する問題を指摘し、新しいプログラマブル・セル
ラートマタを紹介している。新規なハッシュファンクシ
ョンが提案され、そのセキュリティおよび複雑性が解析
されている。提案されているハッシュファンクション
は、新規な圧縮および出力値算出処理構成を持つ反復ハ
ッシュファンクション態様を適用した構成である。

【０１１９】提案に係る圧縮値算出ファンクションは、
セルラーオートマタを適用した暗号変換に基づくＤａｖ
ｉｓ−Ｍｅｙｅｒ型の１種である。出力値算出ファンク
ションは、同様にセルラーオートマタに基づくキースト
リーム生成装置である。セルラーオートマタの採用によ
り、ハッシュファンクションの効率化が実現される。

【０１２０】提案に係るハッシュファンクションに関し
ては、圧縮値算出および出力値算出のセキュリテイにつ
いての解析が実行されている。これまでに開示されてい
る文献等に基づく解析結果は、提案に係るハッシュファ
ンクションは理想的なセキュリティを有する。提案に係
るハッシュファンクションは、文献［２６］，［２７］
に示されるスキームにおける良好な特性を持ち、セキュ
リティを向上させ、また複雑性を低下させた構成であ
る。

【０１２１】（５−４）ハッシュファンクションに基づ
く新規なセルラーオートマタ このセクションでは、本発明に係る新規なハッシュファ
ンクションについて説明する。このハッシュファンクシ
ョンは、ＳＤＲに対するダウンロードの正当性検証（ｉ
ｎｔｅｇｒｉｔｙ）制御に適したものである。さらに、
このハッシュファンクションは、ＦＰＧＡ（フィールド
プログラマブル・ゲートアレイ）によって構成するのに
適している。これは、ＣＡのセル、およびセル状態の変
更処理用の回路が、ＦＰＧＡ内の再構成可能論理ブロッ
ク（ＣＬＢ）、入出力ブロック（ＩＯＢ）、およびＣＬ
ＢとＩＯＢのプログラマブル接続を行なう接続手段によ
って構成可能なものであるからである。

【０１２２】ＦＰＧＡによって構成するハッシュファン
クションは、耐タンパ構成のハードウェアパッケージ内
に配置することが好ましい。これは、ハッシュファンク
ション処理が、ＳＤＲにダウンロードするプログラムフ
ァイルのセキュリティチェックの１ステップとして実効
されるものであるからである。

【０１２３】圧縮値算出処理ファンクションｈと、出力
値算出処理ファンクションｇは新規な構成であり、セル
ラーオートマタに基づく構成である。また、最近公開さ
れた結果に基づいて、ファンクションｈ，ｇのセキュリ
ティは保証されている。

【０１２４】提案に係るハッシュファンクションは、高
速ハッシュが可能であり、また、適用法則およびブロッ
ク生成処理を採用しているため、プリイメージ（Ｐｒｅ
ｉｍａｇｅ）あるいはコリージョン（ｃｏｌｌｉｓｉｏ
ｎ）に対する耐性が高いものである。新規な圧縮値算出
処理ファンクションｈ*、および出力値算出処理ファン
クションｇ*もさらに全体のハッシュファンクションｈ
ａｓｈ*の構成、および基本構想については、次のセク
ションの４パートにおいて説明する。

【０１２５】（５−４−１）新規構成における基本構想 セキュアなソフトウェアのダウンロードに関する実行構
成は、以下に説明する専用１方向性ハッシュファンクシ
ョンの構成を含むものである。

【０１２６】ＧＦ（２）上における加算、乗算の単純な
計算処理を適用したＦＰＧＡ、ＤＳＰによる実行構成に
より、効率的な実行構成が実現される。

【０１２７】また、２次元の２×ｎ（２−ｂｙ−ｎ）線
形ＣＡの構成および解析に関する最近の報告によれば、
このＣＡ構成は、ソフトウェア無線における正当性検証
制御としての１方向性ハッシュファンクションに適用す
るブロック生成に適したものである。提案するファンク
ションは、累次（ｉｔｅｒａｔｅｄ）ハッシュファンク
ション（式（１）参照）に従ったものであり、また式
（２）に従ったＤａｖｉｓ−Ｍｅｙｅｒ理論を適用して
いる。圧縮値算出ファンクションｈは、以下の式によっ
て定義される。

【０１２８】

【数１２】

【０１２９】上記式において、Ｆ_MiＨ_i-1は、Ｍ_iに従っ
て、Ｈ_i-1をマップするファンクション（関数）であ
る。Ｍ_iは、メッセージＭのｉ番目の部分データであ
る。これは、圧縮値算出処理ファンクションおよび出力
値算出処理ファンクションがセキュアであるという仮定
に基づいて、セキュアなハッシュファンクション構成が
実現されることを保証するものである。

【０１３０】（５−４−２）圧縮値算出処理ファンクシ
ョンｈ*（・） ここでは、以下に示す条件設定とする。 （１）２ｎは、各Ｍ_iまたはＨ_i-1のビット数である。 （２）Ｍ_i,jは、Ｍ_iのｊ番目のセグメントである。な
お、全てのセグメントは、等しいセグメント長：ｌを有
するとする。 （３）Ｈ_i,jは、Ｈ_i-1のｊ番目のセグメントである。な
お、全てのセグメントは、等しいセグメント長：ｌを有
するとする。 （４）ｆ_j（・），（ｊ＝１，２，・・Ｊ）は、各々が
非線形マップ｛０，１｝¹→｛０，１｝¹を行なうファン
クションであり、たとえばブーリアンファンクションで
ある。これは、前述の文献［２５］に示す法則を満足
し、ファンクションｆ_jのセットは、コリージョンに対
する耐性を有する。 （５）ＣＡ（・）は、現ＣＡ状態を次の状態にマップす
る処理手段であり、多項式特性を持つ２×ｎ（２−ｂｙ
−ｎ）ＣＡを想定している。

【０１３１】ファンクション｛ｆ_j｝^J _j=1の適当な選択
を実行したとすると、Ｊ個のコリージョンフリーファン
クションのセットが取得可能となる。従って、任意の変
数Ａ，Ｂにおいて、ｆ_j（Ａ，Ｂ）＝ｆ_j（Ａ，Ｂ’）
（ｋ＝１，２，・・．Ｊ）となるＢ’（Ｂ’＝Ｂ）は、
存在しない。すべての入力値に対して、ファンクション
ｆ_jがマッピング｛０，１｝¹→｛０，１｝¹を実行する
という事実によって、ファンクションｆ_j（・）のコリ
ージョンに対する耐性が保証される。

【０１３２】圧縮値算出処理ファンクションは、入力値
Ｍ_iおよびＨ_i-1を、図８および以下に説明するように、
圧縮値算出処理ファンクションの出力としてマップする
処理を実行する。

【０１３３】圧縮値算出処理ファンクションのマッピン
グ・アルゴリズム （１）入力：Ｍ_iおよびＨ_i-1 （２）Ｍ_i,jおよびＨ_i-1,jとの非線形結合

【０１３４】

【数１３】

【０１３５】上記のＭ_i,jおよびＨ_i-1,jとの非線形結合
は、プロセッサ（算出処理手段）８０１によって実行さ
れる。また、ファンクション［ｆ］は、プロセッサ８０
２−１〜ｎ／１６において実行される。これらのプロセ
ッサは、ＦＰＧＡのＣＬＢによって構成可能である。

【０１３６】上述のファンクション［ｆ］は、ファンク
ション・プロセッサ８０２−１〜ｎ／１６によって実行
され、各プロセッサの出力は、セグメントＸ_i,jとな
る。上記処理に従って、Ｘ_i,jに基づいて、２次元ベク
トルＸ_iが生成される。

【０１３７】（３）ＣＡプロセス （３−１）ＣＡ処理手段８０３をＸ_iとしたＣＡの初期
状態Ｙ（０）に設定する。 （３−２）２×ｎ（２−ｂｙ−ｎ）ＣＡのｎサイクル処
理 Ｙ（ｋ）＝ＣＡ（Ｙ（Ｋ−１）），Ｋ＝１，２，・・，
ｎ

【０１３８】上記処理は、２×ｎ（２−ｂｙ−ｎ）ＣＡ
処理手段８０３において実行する。

【０１３９】（４）出力：ｈ*（Ｍ_i，Ｈ_i-1）＝Ｈ_i＝Ｙ
（ｎ）

【０１４０】上記プロセス（１）〜（４）は、プロセッ
サ８０１に対する出力データＨ_iの入力に基づいて繰り
返し実行する。最終データＨ_mがＣＡからの出力とされ
る。このＨ_mは、以下に説明する出力値算出処理ファン
クションｇ*（・）において処理される。このＨ_mは、秘
密鍵を提供するものである。

【０１４１】（５−４−３）出力値算出処理ファンクシ
ョンｇ*（・） 出力値算出処理ファンクションは、Ｈ_mを２ｎ次元バイ
ナリベクトルにマップする処理を行なう。この出力値算
出処理ファンクションｇ*（・）は、２×ｎ（２−ｂｙ
−ｎ）ＣＡに基づく新奇なキーストリーム生成手段であ
る。このように、全体のハッシュファンクション構成
は、類似した実行構成を持つ構成である。

【０１４２】生成手段の入力変数Ｈ_mは、秘密鍵として
利用される。この秘密鍵を適用して、ｇ*（・）は、出
力を行なわないいくつかの処理ステップを経てｎビット
の出力を生成する。出力値算出処理ファンクションｇ*
を実現するキーストリーム生成手段の主要部構成は以下
の通りである。 ａ）８つの２×（ｎ／８）（２−ｂｙ−（ｎ／８））Ｃ
Ａ ｂ）ミキシング用ブロック−更新ロジック ｃ）バッファ

【０１４３】出力値算出処理ファンクションのブロック
構成について図９に示し、以下、出力値算出処理アルゴ
リズムについて説明する。

【０１４４】（１）入力：Ｈ_m

【０１４５】（２）初期化処理 （２−１）Ｈ_mを、８つの等しいデータ長のバイナリセ
グメントに分割、各２×（ｎ／８）（２−ｂｙ−（ｎ／
８））ＣＡ９０１−１〜８が、Ｈ_mの分割データＨ_m／８
を受領、 （２−２）２×（ｎ／８）セルラーオートマタ（ＣＡ）
を取得した（Ｈ_m／８）セグメントに基づいて初期化、

【０１４６】（３）処理 （３−１）下記処理を８回実行、 （３−１−１）各セルラーオートマタ（ＣＡ）のｎ／８
遷移の実行、 （３−１−２）Ｉ＝１，２，．．．，８の各々について
以下に示す処理に従った現ＣＡの更新処理の実行、 ＣＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋
１）の現状値において、ビット−バイ−ビットｍｏｄ２
加算により、ＣＡ（Ｉ＋１）を更新、ＣＡ９＝ＣＡ１と
仮定する。ＣＡＩの中間ビットが０の場合、ビット−バ
イ−ビットｍｏｄ２コンプリメンテーションにより、Ｃ
Ａ（Ｉ＋１）を更新、ＣＡ９＝ＣＡ０と仮定する。 （３−２）下記処理を４／ｎ回、実行、 （３−２−１）各セルラーオートマタ（ＣＡ）のｎ／１
６遷移の実行、 （３−２−２）Ｉ＝１，２，．．．，８の各々について
以下に示す処理に従った現ＣＡの更新処理の実行、ＣＡ
Ｉの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋１）の
現状値において、ビット−バイ−ビットｍｏｄ２加算に
より、ＣＡ（Ｉ＋１）を更新、ＣＡ９＝ＣＡ１と仮定す
る。ＣＡＩの中間ビットが０の場合、ビット−バイ−ビ
ットｍｏｄ２コンプリメンテーションにより、ＣＡ（Ｉ
＋１）を更新、ＣＡ９＝ＣＡ０と仮定する。 （３−２−３）各セルラーオートマタ（ＣＡ）のｎ／１
６遷移の実行、 （３−２−４）ＣＡの中間ビットをバッファ９２２に入
力、

【０１４７】図９において、各ＣＡ状態は、更新処理ロ
ジック９２１に対して各２×（ｎ／８）（２−ｂｙ−
（ｎ／８））ＣＡ９０１−１〜８から伝えられる。更新
処理ロジック９２１は、各２×（ｎ／８）（２−ｂｙ−
（ｎ／８））ＣＡ９０１−１〜８からの入力値が０か１
かによって、各ゲートロジック９１１−１〜８に対する
制御コマンドを出力する。

【０１４８】（４）出力：バッファ９２２に格納された
２ｎ次元のバイナリベクトル

【０１４９】（５−４−４）ハッシュファンクションｈ
ａｓｈ*(・) 本発明によるハッシュファンクションは、上述の圧縮値
算出処理ファンクションｈ*（・）および出力値算出処
理ファンクションｇ*（・）を含んで構成される。ハッ
シュファンクションｈａｓｈ*(・)のアルゴリズムは、
ｈ*（・）、ｇ*（・）を含み、下記に示すアルゴリズム
となる。

【０１５０】１．入力 メッセージＭ、および２ｎビット初期値ＩＶ

【０１５１】２．予備処理 前述の文献［２５］に示されたアプローチを適用したＭ
Ｄ強化（ＭＤ−ｓｔｒｅｎｇｔｈｅｎｉｎｇ）およびパ
ディング処理、処理メッセージを各々が２ｎビットのｍ
ブロック：Ｍ＝（Ｍ₁，Ｍ₂，．．．，Ｍ_m）に分割、

【０１５２】３．繰り返し（累次）処理 Ｈ₀＝ＩＶとして、各ｉ＝１，２，．．．，ｍについ
て、以下を実行、＊圧縮値算出処理ファンクションｈ*
（・）の値を算出 Ｈ_i＝ｈ*（Ｍ_i，Ｈ_i-1）， 上記式において、ｈ*（・）は、前述のセクション（５
−４−２）での定義に従ったものである。

【０１５３】４．もし、Ｈ_mが全て０からなるベクトル
の場合は、下記式、 Ｈ_m＝ｈ*（Ｍ_m，Ｈ₀）， により、Ｈ_mを再計算し、次ステップに進む。

【０１５４】５．出力値算出ファンクション セクション８５−４−３）の定義に従ったファンクショ
ンｇ*（・）を適用してｇ*（Ｈ_m）を計算

【０１５５】６．出力 ２ｎビットメッセージダイジェスト：ｈａｓｈ*（Ｍ）
＝ｇ*（Ｈ_m）

【０１５６】上述したハッシュファンクションｈａｓｈ
*（Ｍ）＝ｇ*（Ｈ_m）は、例えば、ＳＤＲに対するソフ
トウェアダウンロードの処理構成として説明した図２に
示すブロック図のハッシュファンクション３０２におい
て実行される。また、ターミナルハードウェア（ＳＤ
Ｒ）の機能ブロック図としての図３において、上述のハ
ッシュファンクションが利用される。

【０１５７】図３におけるステップＳ４０３において、
上述した２次元線形セルラーオートマタに基づくハッシ
ュファンクションを適用して、復号ビットファイルのハ
ッシュまたはフィンガープリントの計算が実行される。
２つの値が一致（Ｓ４０４）すれば、ソフトウェアは、
承認され、認証処理の後の改竄が無いと判定（Ｓ４０
５）される。、

【０１５８】上述したハッシュファンクションを含むセ
キュリティチェックは、耐タンパハードウェアパッケー
ジに構成されたＦＰＧＡによるセキュリティチェックデ
バイスにおいて実行される。

【０１５９】（６）結論 以上、特定の実施例に基づいて、本発明を説明してきた
が、本発明は、実施例に限定されるものではない。当業
者が該実施例の修正や代用を成し得ることは自明であ
る。本発明の要旨、すなわち、特許請求の範囲の欄の記
載を逸脱しない範囲で実施例の修正や代用は成し得るも
のである。

【０１６０】

【発明の効果】上述したように、本発明によれば、ＳＤ
Ｒにおける処理に適した高速１方向性ハッシュファンク
ションが実現され、特にＦＰＧＡに適し、また新しい２
×ｎ（２−ｂｙ−ｎ）セルラーオートマタを適用した高
速１方向性ハッシュファンクションが実現される。

【０１６１】本発明によれば、新規なハッシュファンク
ションが実現される。これは、新規な圧縮値算出および
出力値算出処理ファンクションを適用した累次（ｉｔｅ
ｒａｔｅｄ）ハッシュファンクションとして実現され
る。

【０１６２】本発明のハッシュファンクションは、圧縮
値算出および出力値算出処理ファンクションを含み、圧
縮値算出処理ファンクションは、セルラーオートマタを
適用した暗号処理に基づくＤａｖｉｓ−Ｍｅｙｅｒ型の
１態様であり、出力値算出処理ファンクションもまたセ
ルラーオートマタを適用したキーストリーム生成手段と
して実現される。本発明に従えば、ある特定のクラスの
セルラーオートマタ、すなわち２×ｎ（２−ｂｙ−ｎ）
セルラーオートマタを適用した構成であるので、ハッシ
ュファンクションの効率的実行が可能となる。

【０１６３】さらに、本発明によれば、ハッシュファン
クションは、圧縮値算出および出力値算出処理ファンク
ションを含む構成であるので、理想的なセキュリティレ
ベルが実現される。すなわち、プリイメージ、および第
２プリイメージの各々を生成するのに、ほぼ２ⁿの処理
を必要とすること、また、コリージョンの生成にほぼ２
^n/2の処理が必要となる。これらの両条件を満足する理
想的なセキュリティが実現される。

【０１６４】さらに、本発明によれば、これまでに公開
された専用ハッシュファンクションのいずれよりもＦＰ
ＧＡを適用した構成に適したハッシュファンクションが
実現される。

【図面の簡単な説明】

【図１】本発明のシステムが適用可能な無線ネットワー
ク構成例を示す図である。

【図２】ＳＤＲに対するソフトウェア・ダウンロード処
理の初期処理を説明するブロック図である。

【図３】ターミナルハードウェア（ＳＤＲ）の機能ブロ
ック図である。

【図４】無線データ通信装置（ＳＤＲ）のブロック図で
ある。

【図５】２×ｎ（２−ｂｙ−ｎ）セルラーオートマタの
内部接続構成を示す図である。

【図６】２×３（２−ｂｙ−３）セルラーオートマタの
内部接続構成を示す図である。

【図７】ルールベクトル［［１，１，０］，［０，０，
１］］を適用した２×ｎ（２−ｂｙ−ｎ）セルラーオー
トマタの生成するベクトルシーケンスである。

【図８】本発明に従ったハッシュファンクションにおけ
る圧縮値算出処理ファンクション構成を示すブロック図
である。

【図９】本発明に従ったハッシュファンクションにおけ
る出力値算出処理ファンクション構成を示すブロック図
である。

【符号の説明】

１０１ サーバ １１１ ベース基地 １２１，１２３，１２４ ＳＤＲ １５０ 耐タンパ・ハードウェアパッケージ ３０１ プログラムファイル ３０２ ハッシュファンクション ３０３ 非暗号化フィンガープリント ３０４ 暗号処理部 ３０５ 暗号化フィンガープリント ３０６ 政府秘密鍵 ３０７ プログラムファイル ３０８ ビットファイル暗号化フィンガープリント ４５１ 暗号化署名ビットファイル ４５２ ターミナル秘密鍵 ４５３ 政府公開鍵 ５０１ トランシーバ ５０２ Ａ／Ｄ，Ｄ／Ａコンバータ ５０３ 耐タンパ・ハードウェアパッケージ ５０４ ＤＳＰ ５０５ ＣＰＵ ５０６ ＲＯＭ ５０７ メモリ ５０８ Ｉ／Ｏインタフェース ５０９ Ａ／Ｄ，Ｄ／Ａコンバータ ６０１ トップセル ６５１ ボトムセル ８０１ プロセッサ ８０２ ファンクションプロセッサ ８０３ ２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ ９０１ ２×（ｎ／８）（２−ｂｙ−（ｎ／８））セル
ラーオートマタ ９１１ ゲートロジック ９２１ 更新処理ロジック ９２２ バッファ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 河野 隆二 東京都品川区東五反田３丁目14番13号 株 式会社ソニーコンピュータサイエンス研究 所内 Ｆターム(参考） 5J104 AA08 AA18 JA01 LA01 NA12 NA42

Claims (8)

【特許請求の範囲】
1. 【請求項１】ハッシュ値算出処理方法であり、 （ａ）以下に示すステップを含む圧縮値算出処理ステッ
   プと、 （ａ−１）メッセージＭに基づいて算出されるベクトル
   データのセルラーオートマタ（ＣＡ）に対する入力処理
   ステップ、 （ａ−２）セルラーオートマタ（ＣＡ）の状態遷移処理
   ステップ、 （ｂ）以下に示すステップを含む出力値算出処理ステッ
   プと、 （ｂ−１）前記圧縮値算出処理における出力の分割処理
   ステップ、 （ｂ−２）前記ステップ（ｂ−１）の実行により取得さ
   れるセグメントの複数のセルラーオートマタ（ＣＡ）に
   対する入力処理ステップ、 （ｂ−３）各セルラーオートマタ（ＣＡ）の状態に基づ
   く各セルラーオートマタ（ＣＡ）の状態遷移処理ステッ
   プ、 （ｂ−４）各セルラーオートマタ（ＣＡ）のビットを選
   択して、該選択ビットをハッシュ値として出力する処理
   ステップ、 を有することを特徴とするハッシュ値算出処理方法。
2. 【請求項２】前記圧縮値算出処理ステップは、さらに、 メッセージＭを各々が２ｎビットのｍブロック：Ｍ＝
   （Ｍ₁，Ｍ₂，．．．，Ｍ _m）に分割し、 各ｉ＝１，２，．．．，ｍについて、Ｈ₀＝２ｎビット
   初期値を設定し、圧縮関数：ｈ*（・）の値として、 Ｈ_i＝ｈ*（Ｍ_i，Ｈ_i-1）， を算出し、 Ｈ_mが全て０からなるベクトルの場合は、下記式、 Ｈ_m＝ｈ*（Ｍ_m，Ｈ₀）， により、Ｈ_mを再計算し、 前記Ｈ_mを出力値算出処理ステップにおける入力値とし
   て出力する、 上記各処理を含むことを特徴とする請求項１に記載のハ
   ッシュ値算出処理方法。
3. 【請求項３】前記圧縮値算出処理ステップは、さらに、 メッセージＭを各々が２ｎビットのｍブロック：Ｍ＝
   （Ｍ₁，Ｍ₂，．．．，Ｍ _m）に分割し、 各ｉ＝１，２，．．．，ｍについて、Ｈ₀＝２ｎビット
   初期値を設定し、 下式に従って、Ｍ_i,jおよび、Ｈ_i-1,jの非線形加算値を
   算出し、 【数１】 なお、上記式において、Ｍ_i,jは、Ｍ_i,のｊ番目のセグ
   メントを示し、Ｈ_i,jは、Ｈ_i,のｊ番目のセグメントを
   示す、 セグメントＸ_i,jの連結処理により、２ｎ次元のベクト
   ルＸ_iを生成し、 ２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ（ＣＡ）を
   初期状態Ｙ（０）＝Ｘ _iに設定し、 ２×ｎ（２−ｂｙ−ｎ）セルラーオートマタ（ＣＡ）に
   ついて、以下の処理に従ったｎサイクルの状態遷移を実
   行し、 Ｙ（ｋ）＝ＣＡ（Ｙ（ｋ−１）），ｋ＝１，
   ２，．．．，ｎ， 下記式に示す値、 ｈ*（Ｍ_i，Ｈ_i-1）＝Ｈ_i＝Ｙ（ｎ） を出力値算出処理ステップにおける入力値として出力す
   る、 上記各処理を含むことを特徴とする請求項１に記載のハ
   ッシュ値算出処理方法。
4. 【請求項４】前記出力値算出処理ステップは、 （１）前記圧縮値算出処理ステップの出力としてのＨ_m
   を入力、 （２）Ｈ_mを、８つの等しいデータ長のバイナリセグメ
   ントに分割し、２×（ｎ／８）（２−ｂｙ−（ｎ／
   ８））セルラーオートマタ（ＣＡ）を取得した（Ｈ _m／
   ８）セグメントに基づいて初期化、 （３）下記（ａ）〜（ｂ）を８回実行、 （ａ）各セルラーオートマタ（ＣＡ）のｎ／８遷移の実
   行、 （ｂ）Ｉ＝１，２，．．．，８の各々について以下に示
   す処理に従った現ＣＡの更新処理の実行、 ＣＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋
   １）の現状値において、ビット−バイ−ビットｍｏｄ２
   加算により、ＣＡ（Ｉ＋１）を更新、 ＣＡＩの中間ビットが０の場合、ビット−バイ−ビット
   ｍｏｄ２コンプリメンテーションにより、ＣＡ（Ｉ＋
   １）を更新、 （４）下記（ｃ），（ｄ），（ｅ）および（ｆ）を４／
   ｎ回、実行、 （ｃ）各セルラーオートマタ（ＣＡ）のｎ／１６遷移の
   実行、 （ｄ）Ｉ＝１，２，．．．，８の各々について以下に示
   す処理に従った現ＣＡの更新処理の実行、 ＣＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋
   １）の現状値において、ビット−バイ−ビットｍｏｄ２
   加算により、ＣＡ（Ｉ＋１）を更新、 ＣＡＩの中間ビットが０の場合、ビット−バイ−ビット
   ｍｏｄ２コンプリメンテーションにより、ＣＡ（Ｉ＋
   １）を更新、 （ｅ）各セルラーオートマタ（ＣＡ）のｎ／１６遷移の
   実行、 （ｆ）ＣＡの中間ビットをバッファに入力、 （５）バッファに格納された２ｎ次元のバイナリベクト
   ルを出力、 上記各処理を含むことを特徴とする請求項１に記載のハ
   ッシュ値算出処理方法。
5. 【請求項５】ハッシュ値算出処理を実行するデータ処理
   装置であり、 （ａ）以下の処理手段を含み圧縮値算出処理を実行する
   圧縮値算出処理手段と、 （ａ−１）セルラーオートマタ（ＣＡ）に対する入力デ
   ータとして、メッセージＭに基づいてベクトルデータを
   算出する算出処理手段、 （ａ−２）状態遷移処理を実行するセルラーオートマタ
   （ＣＡ）処理手段、 （ｂ）以下に示す処理手段を含み出力値算出処理を実行
   する出力値算出処理手段と、 （ｂ−１）前記圧縮値算出処理における取得セグメント
   を入力するセルラーオートマタ（ＣＡ）処理手段であ
   り、各セルラーオートマタ（ＣＡ）の状態に基づく遷移
   処理を実行するセルラーオートマタ（ＣＡ）処理手段、 を有することを特徴とするデータ処理装置。
6. 【請求項６】前記圧縮値算出処理手段は、 （１）下式に従って、Ｍ_i,jおよび、Ｈ_i-1,jの非線形加
   算値を算出する算出手段、 【数２】 なお、上記式において、Ｍ_i,jは、Ｍ_i,のｊ番目のセグ
   メントを示し、Ｈ_i,jは、Ｈ_i,のｊ番目のセグメントを
   示す、 （２）セグメントＸ_i,jの連結処理により、２ｎ次元の
   ベクトルＸ_iを生成する２×ｎ（２−ｂｙ−ｎ）セルラ
   ーオートマタ（ＣＡ）であり、下記処理を実行する２×
   ｎ（２−ｂｙ−ｎ）セルラーオートマタ（ＣＡ）、 初期状態Ｙ（０）＝Ｘ_iに設定し、 以下の処理に従ったｎサイクルの状態遷移を実行し、 Ｙ（ｋ）＝ＣＡ（Ｙ（ｋ−１）），ｋ＝１，
   ２，．．．，ｎ， 下記式に示す値、 ｈ*（Ｍ_i，Ｈ_i-1）＝Ｈ_i＝Ｙ（ｎ） を前記出力値算出処理手段に対する出力値とする、 上記、（１）、（２）の処理手段を有することを特徴と
   する請求項５に記載のデータ処理装置。
7. 【請求項７】前記出力値算出処理手段は、 以下の出力値算出アルゴリズム、 前記圧縮値算出処理手段の出力値の分割セグメント（Ｈ
   _m／８）に基づいて２×（ｎ／８）（２−ｂｙ−（ｎ／
   ８））セルラーオートマタ（ＣＡ）を初期化、（１）下
   記（ａ）〜（ｂ）を８回実行、 （ａ）各セルラーオートマタ（ＣＡ）のｎ／８遷移の実
   行、 （ｂ）Ｉ＝１，２，．．．，８の各々について以下に示
   す処理に従った現ＣＡの更新処理の実行、 ＣＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋
   １）の現状値において、ビット−バイ−ビットｍｏｄ２
   加算により、ＣＡ（Ｉ＋１）を更新、 ＣＡＩの中間ビットが０の場合、ビット−バイ−ビット
   ｍｏｄ２コンプリメンテーションにより、ＣＡ（Ｉ＋
   １）を更新、 （２）下記（ｃ），（ｄ），（ｅ）および（ｆ）を４／
   ｎ回、実行、 （ｃ）各セルラーオートマタ（ＣＡ）のｎ／１６遷移の
   実行、 （ｄ）Ｉ＝１，２，．．．，８の各々について以下に示
   す処理に従った現ＣＡの更新処理の実行、 ＣＡＩの中間ビットが１の場合、ＣＡＩとＣＡ（Ｉ＋
   １）の現状値において、ビット−バイ−ビットｍｏｄ２
   加算により、ＣＡ（Ｉ＋１）を更新、 ＣＡＩの中間ビットが０の場合、ビット−バイ−ビット
   ｍｏｄ２コンプリメンテーションにより、ＣＡ（Ｉ＋
   １）を更新、 （ｅ）各セルラーオートマタ（ＣＡ）のｎ／１６遷移の
   実行、 （ｆ）ＣＡの中間ビットをバッファに入力、 を実行する２×ｎセルラーオートマタ（ＣＡ）を有する
   ことを特徴とする請求項５に記載のデータ処理装置。
8. 【請求項８】ハッシュ値を算出する前記データ処理装置
   は、フィールドプログラマブル・ゲートアレイによって
   構成されていることを特徴とする請求項５に記載のデー
   タ処理装置。