JP2003501736A - ロバストな乱数発生器 - Google Patents

Abstract

(57)【要約】 乱数を発生する方法および装置（３００）が開示される。第１の実施形態では、乱数を発生する方法は、第２の乱数を生成することを伴う。デジタル乱数発生器（３０４）から疑似乱数が生成され、第１の乱数がアナログ乱数発生器（２０８−１）から生成される。第１の乱数は、疑似乱数と組み合わされて、両方の発生器の結果である第２の乱数が生成される。他の実施形態では、方法は、暗号関数を使用して乱数を発生する。疑似乱数が、暗号関数（１０４）の出力から発生され、第１の乱数がアナログ乱数発生器（２０８−１）から発生される。疑似乱数および第１の乱数は、暗号関数（１０４）の出力から第２の乱数を発生するために、結合されて暗号関数（１０４）に入力される。第２の乱数は、疑似乱数および第１の乱数に関連している。

Description

【発明の詳細な説明】

【０００１】 本願は、１９９９年６月８日に出願された米国特許仮出願第６０／１３８，１
８２号の利益を主張する。

【０００２】 （発明の背景） 本発明は、概して、乱数発生器に関し、より詳細には、デジタルおよびアナロ
グの両方の乱数発生源を使用する乱数発生器に関する。

【０００３】 乱数発生器は、暗号法等の種々の目的に使用されている。暗号法の正確な使用
は、統計的に高品質な乱数の発生源に依存する。残念ながら、従来の乱数発生器
（「ＲＮＧ」）は、欠点を有している。

【０００４】 単純な乱数発生器は、デジタル技術を使用して疑似乱数を生成する。疑似乱数
は、デジタル処理により生成される実質的に、または、高度にランダムな数であ
る。デジタル技術は、そのデジタル的な性質のために決定論的な疑似乱数を生成
することができる。換言すれば、２つの同一のデジタル乱数発生器は、デジタル
入力値が同じであれば、同じ疑似乱数を生成する。従って、デジタル技術は、理
想的な結果には及ばない。それは、疑似乱数が予測可能だからである。

【０００５】 乱数を発生する通常のデジタル技術は、線形合同生成アルゴリズムである。こ
のアルゴリズムは、出力の生成を繰り返し、この出力は次の出力のタネとして使
用される。しかしながら、この技術によって生成された乱数の系列は小さく、比
較的小さい数の個々の出力の後で繰り返す。本明細書中で、軌道とは、デジタル
乱数発生器が、１つの出力が以前の出力と同じになるまでに生成する出力の数と
して定義される。理解されるように、再帰的アルゴリズムは、出力が繰り返され
るまでに軌道中で一意な出力を生成する。最初の値がいったん繰り返すと、引き
続く値もまた繰り返す。繰り返しのパターンは、予測可能であるので、望ましく
ない。このアルゴリズムは、ほとんどのＣプログラミング言語のライブラリに見
出される。

【０００６】 ロバストな乱数を提供するために、従来のシステムはアナログ乱数発生器に頼
る。アナログ乱数発生器は、デジタル乱数発生器のような周期的な軌道を持たな
い乱数のストリームを生成する。これらのアナログ乱数発生器は、通常、例えば
ノイズ等のランダムなアナログ電圧をランダムなデータのデジタルストリームに
変換する。これらの回路は、通常、１００Ｋビット以下のレートの乱数のストリ
ームを生成する、別個の集積回路である。しかしながら、これらの乱数発生レー
トは、短い時間周期の間に大きな数のランダムなビットが必要な超高性能な暗号
法には、不適切である。

【０００７】 アナログ乱数発生器は、故障しやすい。アナログ乱数発生器の寿命は、乱数を
使用するデジタル回路よりもかなり短い。当業者には理解され得るように、アナ
ログ乱数発生器の故障は、効果的な暗号法を台無しにし得る。さらに、乱数を発
生するために使用されるアナログ電圧の発生源は、攻撃者によって制御されやす
い。従って、攻撃をより受けにくい、より信頼性の高いアナログ乱数発生器に対
する要求がある。

【０００８】 アナログ乱数発生器は、通常、乱数を使用するデジタル回路とは別個の集積回
路上に位置する。これは、デジタル半導体プロセスが、概して、アナログ半導体
プロセスと共存できないからである。デジタル集積回路は、通常、高いゲインを
有し、高速なＣＭＯＳスイッチングに最適化されている。しかしながら、アナロ
グ乱数発生器は、デジタルデータストリームをランダムに生成するために、ラン
ダムな電圧の発生源を効果的に増幅する線形なアナログ特性を必要とする。デジ
タル半導体プロセスを改変して、よりよいアナログ特性を生成することは可能で
あるが、デジタル回路の性能が意に反して影響されてしまう。従って、アナログ
乱数発生器を同じ集積回路に集積することは、従来の技術では非常に困難である
。

【０００９】 さらに、デジタル暗号関数を含む集積回路とは別個の集積回路に位置するアナ
ログ乱数発生器は、攻撃されやすい。より詳細には、暗号関数への乱数を運ぶ回
路基板上のトレースが、攻撃を受けやすい。例えば、攻撃者は、アナログ乱数発
生器からの信号を操作し、または置換することができる。当業者は理解し得るよ
うに、この攻撃は、暗号アルゴリズムおよびキーを、より容易に決定可能にする
。

【００１０】 要するに、乱数を高いデータレートで、高い信頼性で生成する乱数発生器を開
発することが望まれている。さらに、乱数発生器は、デジタル回路との同じ集積
回路上への集積に適応するべきである。

【００１１】 （発明の要旨） 本発明によれば、乱数を発生する方法および装置が開示される。第１の実施形
態では、乱数を発生する方法は、第２の乱数を生成することを伴う。デジタル乱
数発生器から疑似乱数が生成され、第１の乱数がアナログ乱数発生器から生成さ
れる。第１の乱数は、疑似乱数と組み合わされて、両方の発生器の結果である第
２の乱数が生成される。

【００１２】 他の実施形態では、方法は、暗号関数を使用して乱数を発生する。疑似乱数が
、暗号関数の出力から発生され、第１の乱数がアナログ乱数発生器から発生され
る。疑似乱数および第１の乱数は、暗号関数の出力から第２の乱数を発生するた
めに、暗号関数の入力に結合される。第２の乱数は、疑似乱数および第１の乱数
に関連している。

【００１３】 さらに他の実施形態では、乱数発生装置は、出力と、デジタル乱数発生器とア
ナログ乱数発生器とを有する。デジタル乱数発生器は、疑似乱数を生成する。ア
ナログ乱数発生器は、乱数を発生する。乱数発生器の出力は、デジタルおよびア
ナログ乱数発生器の両方に結合される。

【００１４】 （特定の実施形態の説明） 本発明には多くの異なる形態の実施形態が可能であるが、本発明の開示は、本
発明の原理の例示と考えるべきで、説明される実施形態に本発明の広範囲な局面
を限定することは意図しないという理解の下で、図面に示し、本明細書中で詳細
に説明するのは、本発明のいくつかの実施形態である。

【００１５】 図面において、同様の構成要素および／または特徴は、同じ参照ラベルを有す
る。同じタイプの種々の構成要素は、参照ラベルの後に、ダッシュと、同じ図面
中の同様の構成要素の間で区別する第２のラベルとを付けることにより区別され
る。第１の参照ラベルのみが以下の説明中で使用される場合、その説明はいくつ
かの同様の構成要素のどれにも当てはまる。

【００１６】 １つの実施形態が図１に示されている。この実施形態１００は、ループ中で暗
号化するために、暗号関数１０４すなわちクリプトファンクションを使用して疑
似乱数のブロックを生成する。平文入力（ｐｌａｉｎｔｅｘｔ ｉｎｐｕｔ）と
、キー入力と、暗号文出力（ｃｉｐｈｅｒｔｅｘｔ ｏｕｔｐｕｔ）とがクリプ
トファンクション１０４に含まれる。暗号文出力は、疑似乱数として使用される
。

【００１７】 キー入力は、暗号文出力を生成するためにクリプトファンクション１０４によ
って使用されるキーを受け取る。キーは、デバイスに一度初期化されて入り、乱
数発生器１００の寿命の期間中に変更される必要はない。

【００１８】 暗号文出力は、疑似乱数のブロックを次々に生成する。各ブロックは、次の暗
号化のタネとしてクリプトファンクション１０４の入力にフィードバックされる
。クリプトファンクション１０４は、任意の対称または非対称の暗号アルゴリズ
ムであり得る。例えば、非対称の暗号アルゴリズムは、非対称公開キー暗号（ａ
ｓｙｍｍｅｔｒｉｃ ｐｕｂｌｉｃ ｋｅｙ ｃｉｐｈｅｒ）であり得る。さら
に、クリプトファンクション１０４は、疑似乱数を生成するために暗号化または
復号化のいずれも行い得る。好適には、暗号アルゴリズムは、乱数を生成するた
めに暗号化を行う対称ブロック暗号関数（ｓｙｍｍｅｔｒｉｃ ｂｌｏｃｋ ｃ
ｉｐｈｅｒ ｆｕｃｎｔｉｏｎ）である。対称ブロック暗号関数の例は、データ
暗号化規格（ＤＥＳ）である。

【００１９】 クリプトファンクション１０４のランダム状態を増加するために、乱数のタネ
が使用される。タネは、好適には、ハイグレードなアナログ乱数発生器により生
成される。ランダムなタネを有することにより、出力軌道の値が予測不可能にな
る。しかしながら、この実施形態は、軌道中の値の同じ個々のセットが、キーが
変更されるまで繰り返す。クリプトファンクション１０４が強力な場合、軌道は
非常に大きくなるので、出力はランダムに見える。

【００２０】 疑似的にランダムな出力の品質をさらに増加するために、クリプトファンクシ
ョン１０４の速度が、出力が読み取られる速度を越えて加速される。クリプトフ
ァンクション１０４を高速で実行することにより、２つの連続した疑似乱数の読
み取りが、読み取られ得ない疑似乱数により分離される。従って、出力は、クリ
プトファンクション１０４に相関しなくなる。当業者は理解し得るように、この
特徴により攻撃者が出力を解析してキーまたは暗号アルゴリズムを決定すること
がより困難になる。

【００２１】 図２を参照すると、他の実施形態の乱数発生器２００がブロック図の形態で示
されている。乱数発生器２００は、クリプトファンクション１０４と、暗号文ブ
ロックレジスタ２０４と、複数のアナログ乱数発生器（「ＲＮＧ」）２０８と、
複数の排他ＯＲ（ＸＯＲ）ゲート２０６とを含む。この実施形態は、真の乱数を
生成するために、クリプトファンクション１０４およびアナログ乱数発生器２０
８の両方を使用する。さらに、すべてのアナログ乱数発生器２０８が故障しても
乱数発生器２００がだめにならないので、この実施形態はロバストである。すべ
てのアナログ乱数発生器が故障すると、回路の効率が、図１の実施形態の効率に
まで低下する。

【００２２】 クリプトファンクション１０４は、暗号文ブロックレジスタ２０４に結合され
る第１の乱数（ｍ）を生成する。暗号文レジスタ２０４は、クリプトファンクシ
ョン１０４からの６４ビットの暗号文のブロックを１つ格納する、直列または並
列に構成されたメモリレジスタであり得る。乱数発生時間の１サイクルの遅延が
、暗号文レジスタ２０４によって導入される。

【００２３】 乱数（ｍ）がレジスタ２０４を離れると、好適には少なくとも１ビットがアナ
ログ乱数発生器２０８によって操作される。当業者には理解され得るように、１
ビットの改変は、クリプトファンクション１０４の軌道を変更する。従って、ア
ナログ乱数発生器によって、軌道あたり１ビットが変更される場合、繰り返し軌
道は決して起こらない。好適には、暗号文レジスタ２０４を離れるいくつかのビ
ットが、アナログ乱数発生器２０８からの出力とＸＯＲがとられる。しかしなが
ら、他の実施形態では、レジスタ２０４とアナログ乱数発生器２０８とからの出
力を任意の数のやり方で組み合わせてもよい。

【００２４】 アナログ乱数発生器２０８は、好適には、クリプトファンクション１０４と同
じ集積回路上にある。しかしながら、一方、他の集積回路上にあってもよい。ア
ナログ乱数発生器２０８は、種々のやり方で、熱、電気的ノイズ、ダイオードの
電子接合ノイズ、位相ロックループからの位相ノイズおよび／または準安定性の
タイミング境界をランダムなバイナリデータストリームに変換する。これらの発
生器２０８がチップ上に（すなわち、同じ集積回路上に）作製される場合、それ
らの発生器２０８は、背景のセクションで上述した理由により、信頼性が低くな
る。発生器２０８のすべてが故障した場合、クリプトファンクションは、クリプ
トファンクション１０４のみで疑似乱数を擬似的にランダムに生成するためのタ
ネとして、最後の乱数を使用する。

【００２５】 各アナログ乱数発生器２０８は、暗号文レジスタ２０４からの出力のビットを
改変し得る出力を生成する。乱数発生器からの出力は、レジスタ２０４のビット
とＸＯＲが取られてもよいし、または単にそのビットを置換してもよい。アナロ
グ乱数発生器２０８がランダムな出力の生成を停止した場合、レジスタ２０４に
及ぼす発生器２０８の効果は、論理的にランダム性の低下を防止できなくなる。
発生器２０８の有効性をテストする１つのやり方は、０および１が時間の経過に
伴い均等に分布していることを検査することである。発生器２０８の有効性をテ
ストする他の技術もまた公知である。他の実施形態では、発生器２０８は、各暗
号文ブロックの複数のビットを生成し、レジスタ２０４から出力される同じ数の
ビットを改変し得る。

【００２６】 アナログ発生器２０８が乱数（ｍ）にエントロピーを導入した後、結果は第２
の乱数（ｍ＋１）になる。第２の乱数は、第３の乱数（ｍ＋２）を生成するタネ
として、クリプトファンクション１０４の平文入力に結合される。このサイクル
は繰り返し、周期的な態様で乱数ブロックを生成する。

【００２７】 図３を参照すると、他の実施形態の乱数発生器３００がブロック図の形態で示
されている。この実施形態は、クリプトファンクション１０４がデジタル乱数発
生器３０４に置き換えられたことを除いて、図２の実施形態と同様である。好適
には、ソフトウェアアルゴリズムがデジタル乱数発生器３０４として機能するが
、他の実施形態は、ハードウェア回路を使用し得る。結果として得られる発生器
３０４からの疑似乱数は、決定論的である。背景のセクションで議論したように
、ソフトウェア乱数発生器は、短い軌道を有している。しかしながら、アナログ
のランダム性がアナログ乱数発生器２０８によって導入されるので、この実施形
態は繰り返し軌道を有さないロバストな乱数を生成する。

【００２８】 デジタル乱数発生器３０４は、任意の数のやり方で実現され得る。好適には、
線形合同アルゴリズムがソフトウェアにコード化され、汎用プロセッサ上で実行
される。しかしながら、本発明は任意のデジタル乱数発生技術のロバスト性を増
加することができる。

【００２９】 図４を参照すると、乱数発生器４００の実施形態がブロック図の形態で示され
ている。この発生器４００は、暗号文ブロックレジスタ２０４から出力されるビ
ットに加えて、クリプトファンクション１０４で使用されるキーを変更すること
によって、ランダム性を改善する。クリプトファンクションを使用したデジタル
乱数発生器（例えば、図１参照）は、キーが変更されないままである限り、軌道
を繰り返す。しかしながら、キーを変更すると、平文と暗号文との間の関係が変
わり、軌道もまた変わる。

【００３０】 キーは、クリプトファンクション１０４にロードする前に、キーレジスタ４０
４に格納される。アナログ乱数発生器２０８は、キーレジスタ４０４に入力され
るビットをアナログ乱数発生器２０８のそれぞれとＸＯＲを取る（４０８）こと
によって、それらのビットをランダム化する。周期的に、ランダム化されたキー
がクリプトファンクション１０４にロードされる。理解され得るように、キーの
実際の値は、通常、乱数を発生する目的のために重要ではない。

【００３１】 次に図５を参照すると、クリプトファンクション１０４に入力されるキーをラ
ンダム化する乱数発生器５００の実施形態が示されている。この実施形態は、ア
ナログ乱数発生器２０８が暗号化ループに結合されていない点を除いて、図４の
実施形態と同様である。キー入力は、複数のアナログ乱数発生器をＸＯＲゲート
を介してキーのビットと結合することによって、ランダム化される。周期的に、
キーレジスタ４０４の中の新たにランダム化されたキーが、クリプトファンクシ
ョン１０４にロードされる。当業者は理解し得るように、キーの変更はクリプト
ファンクション１０４によって生成される軌道の中の乱数の繰り返しパターンを
変える。

【００３２】 図６を参照すると、他の実施形態の乱数発生器６００がブロック図の形態で示
されている。この発生器６００は、さらに乱数の品質を改善するために、不揮発
性レジスタ６０４と、ハッシュ関数６０８とを追加する。

【００３３】 ハッシュ関数６０８は、クリプトファンクション１０４からの出力を受け取り
、その出力をさらにスクランブルする。好適には、ＳＨＡ−１のような安全なハ
ッシュアルゴリズムが使用される。当業者は、ハッシュ関数の追加は、ハッシュ
関数に本来備わっている一方向の関数の形態で、解析に対するバリアを導入する
ことにより、暗号アルゴリズムとキーとの攻撃者からの安全性が高まることを理
解し得る。

【００３４】 軌道のランダム性を保存するために、不揮発性レジスタ６０４が使用され、暗
号文ブロックを周期的に格納する。好適には、レジスタ６０４は、バッテリーに
よりバックアップされたランダムアクセスメモリ（ＲＡＭ）であるが、フラッシ
ュメモリ、磁気コアメモリ、電気的に消去可能な読み出し専用メモリまたは他の
不揮発性メモリであってもよい。周期的に、プロセッサ（図示せず）は、暗号文
ブロックレジスタ２０４を読み出し、その値を不揮発性レジスタ６０４に格納す
る。回路から電源が取り除かれると、不揮発性レジスタ６０４は、最後に格納さ
れた乱数を維持する。電源が印加されるとすぐに、プロセッサは不揮発性レジス
タ６０４を読み出し、その値を暗号文レジスタ２０４にロードする。回復された
値は、引き続く乱数発生のためのタネとして使用される。従って、時間の経過に
伴うどんなランダム性の蓄積も、実質的に維持される。

【００３５】 図７を参照すると、乱数を生成する１つの方法を説明するフロー図が示されて
いる。ステップ７００において、乱数発生器の最初の電源投入であるかどうかの
判定がなされる。これは、以前に格納されたソフトウェア変数を検査するか、ま
たは不揮発性レジスタ６０４の中の値を検査することによって判定され得る。こ
れが最初の電源投入であると判定された場合には、乱数のタネがステップ７０４
においてロードされる。好適には、タネとなる数は、高品質なアナログ乱数発生
器によって、集積回路の外部で発生される。これが最初の電源の印加ではないた
めに乱数が以前に格納されていた場合には、不揮発性レジスタ６０４は、ステッ
プ７０８においてロードされる。

【００３６】 いったん乱数発生器がランダムなタネで初期化されると、さらなる乱数の発生
を進めることができる。ステップ７１２において、乱数は、そのランダムなタネ
から発生される。ステップ７２８において、ハッシュ関数がその乱数に実行され
る。何らかの回路または暗号操作が乱数を必要とする場合には、その乱数はステ
ップ７３２において使用される。

【００３７】 ステップ７１２において乱数が発生された後、軌道中の次の乱数が用意される
。ステップ７１６において、アナログ乱数発生器２０８はさらなるランダム性を
その乱数に混合する。ステップ７２０において、出力はクリプトファンクション
１０４の平文入力に結合される。ステップ７２４は、周期的に、現在の乱数を不
揮発性レジスタ６０４に格納する。プロセッサは、１秒間に１回等の頻繁ではな
い時間間隔で、現在の乱数を格納する。このように、発生器はロバストな態様で
乱数を生成する。

【００３８】 上述した説明に照らして、本発明のいくつかの利点が容易に明らかになる。乱
数発生器は、たとえすべてのアナログ乱数発生器が故障しても、疑似乱数を生成
することができる。アナログ乱数発生のみに頼らないことにより、アナログ発生
器が貧弱な初期特性を有しており最終的に故障し得る場合でさえ、アナログ乱数
発生器のデジタル半導体プロセスへの集積が現実的になる。さらに、乱数発生器
は、デジタル技術を利用するので、高い乱数データレートが可能になる。

【００３９】 本発明のいくつかの変形例および改変例もまた使用され得る。異なる実施形態
では、乱数発生器は以下の任意の１つまたはそれ以上のやり方で改変され得る。
クリプトファンクションは、乱数と、暗号化／復号化の両方を提供する二役を演
じ得る。従って、クリプトファンクションをすでに有する回路は、乱数の発生を
も提供するために、追加の回路部をほとんど必要としない。図６を参照して議論
した上述の実施形態は、タネとしての以後の使用のために乱数を周期的に格納し
ているが、他の実施形態は、適切な動作電力がキャパシタまたはバッテリーによ
って内部的に供給される場合には、電源が取り除かれた後に乱数を格納してもよ
い。

【００４０】 本発明の上記の説明は、例示および説明の目的のために提示され、本発明を限
定するようには意図されない。関連分野の技術または知識を伴う、上述した説明
と同等の変形例および改変例は、本発明の範囲内である。本明細書で説明された
実施形態は、さらに、本発明を実施するために知られるベストモードを説明する
ことが意図され、そのようなベストモードで、または、本発明の特定の用途また
は使用に必要であり得る種々の改変を伴う他の実施形態で、当業者が本発明を利
用できるようにすることが意図される。上述の特許請求の範囲は、従来技術によ
って許される範囲までの代替的な実施形態を含むように解釈されることが意図さ
れる。

【図面の簡単な説明】

【図１】 暗号関数を使用する乱数発生器の実施形態を表すブロック図である。

【図２】 アナログ乱数発生器およびクリプトファンクションの両方を使用して乱数を生
成する乱数発生器の実施形態を示すブロック図である。

【図３】 アナログおよびデジタル乱数発生技術の両方を使用する乱数発生器の他の実施
形態を表すブロック図である。

【図４】 キーをさらにランダム化するためにアナログ乱数発生技術を使用する乱数発生
器の実施形態を示すブロック図である。

【図５】 キーをランダム化するためにアナログ乱数発生技術を使用する乱数発生器の実
施形態を示すブロック図である。

【図６】 ハッシュ関数および不揮発性レジスタを利用する乱数発生器の実施形態を表す
ブロック図である。

【図７】 乱数を発生する方法を示すフロー図である。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＭＺ，ＳＤ，ＳＬ，ＳＺ，ＴＺ，ＵＧ ，ＺＷ)，ＥＡ(ＡＭ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ， ＲＵ，ＴＪ，ＴＭ)，ＡＥ，ＡＧ，ＡＬ，ＡＭ，ＡＴ， ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ，ＢＲ，ＢＹ，ＣＡ，Ｃ Ｈ，ＣＮ，ＣＲ，ＣＵ，ＣＺ，ＤＥ，ＤＫ，ＤＭ，ＤＺ ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＤ，ＧＥ，ＧＨ，ＧＭ， ＨＲ，ＨＵ，ＩＤ，ＩＬ，ＩＮ，ＩＳ，ＪＰ，ＫＥ，Ｋ Ｇ，ＫＰ，ＫＲ，ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ ，ＬＵ，ＬＶ，ＭＡ，ＭＤ，ＭＧ，ＭＫ，ＭＮ，ＭＷ， ＭＸ，ＭＺ，ＮＯ，ＮＺ，ＰＬ，ＰＴ，ＲＯ，ＲＵ，Ｓ Ｄ，ＳＥ，ＳＧ，ＳＩ，ＳＫ，ＳＬ，ＴＪ，ＴＭ，ＴＲ ，ＴＴ，ＴＺ，ＵＡ，ＵＧ，ＵＳ，ＵＺ，ＶＮ，ＹＵ， ＺＡ，ＺＷ

Claims (17)

【特許請求の範囲】
1. 【請求項１】 乱数を発生する方法であって、 暗号関数を用いて擬似乱数を生成する工程と、 アナログ乱数発生器から第１の乱数を生成する工程と、 該第１の乱数を該擬似乱数と組み合わせ、該暗号関数と該アナログ乱数発生器
   との両方の結果である第２の乱数を生成する工程と、 該暗号関数を使用することによって、該第２の乱数から第３の乱数を生成する
   工程と を包含する方法。
2. 【請求項２】 前記第２の乱数を不揮発性メモリロケーションに周期的に格
   納する工程と、 デジタル乱数発生器の電源を投入する工程と、 以前に格納された該第２の乱数を前記暗号関数にロードする工程と をさらに包含する、請求項１に記載の方法。
3. 【請求項３】 擬似乱数を生成する前記工程は、プロセッサ上でソフトウェ
   アアルゴリズムを実行する工程を包含する、請求項１に記載の方法。
4. 【請求項４】 擬似乱数を生成する前記工程は、対称ブロック暗号関数から
   擬似乱数ブロックを生成する工程を包含する、請求項１に記載の方法。
5. 【請求項５】 擬似乱数を生成する前記工程は、非対称公開キー暗号関数か
   ら擬似乱数を生成する工程を包含する、請求項１に記載の方法。
6. 【請求項６】 暗号関数を用いて乱数を発生する方法であって、該方法は、 該暗号関数の出力から疑似乱数を発生する工程と、 アナログ乱数発生器から第１の乱数を発生する工程と、 該疑似乱数および該第１の乱数から、第２の乱数を形成する工程と、 該第２の乱数を該暗号関数の入力に結合する工程と、 該暗号関数の第２の乱数に関連する出力から、第３の乱数を発生する工程と を包含する、方法。
7. 【請求項７】 前記暗号関数およびアナログ乱数発生器は、同じパッケージ
   の中に位置している、請求項６に記載の方法。
8. 【請求項８】 前記第３の乱数を不揮発性メモリロケーションに格納する工
   程をさらに包含する、請求項７に記載の方法。
9. 【請求項９】 疑似乱数を発生する前記工程は、乱数発生源を用いて前記暗
   号関数を初期化する工程を包含する、請求項６に記載の方法。
10. 【請求項１０】 前記乱数発生源は、前記暗号関数およびアナログ乱数発生
    器を含むパッケージの外部にある、請求項９に記載の方法。
11. 【請求項１１】 前記暗号関数にキーをロードする工程をさらに包含する、
    請求項６に記載の方法。
12. 【請求項１２】 キーをロードする前記工程の前に、前記アナログ乱数発生
    器を該キーのビットに結合する工程をさらに包含する、請求項１１に記載の方法
    。
13. 【請求項１３】 複数のビットを含むデジタル乱数を生成する出力と、 該出力に結合され、該デジタル乱数を発生する暗号関数と、 該暗号関数に結合された入力であって、該出力は、少なくとも部分的に該入力
    に結合されている、入力と、 ランダムなアナログ信号を発生するアナログ乱数発生器であって、該ランダム
    なアナログ信号は、該入力に結合されている、アナログ乱数発生器と を備えた、乱数発生装置。
14. 【請求項１４】 前記出力は、デジタル乱数が生成される第２のレートより
    も遅い第１のレートでサンプリングされる、請求項１３に記載の乱数発生装置。
15. 【請求項１５】 デジタル乱数を含む複数のビットを有するレジスタであっ
    て、前記アナログ乱数発生器は、該複数のビットの少なくとも１つに結合されて
    いる、レジスタをさらに備えた、請求項１３に記載の乱数発生装置。
16. 【請求項１６】 複数のアナログ乱数発生器をさらに備えた、請求項１３に
    記載の乱数発生装置。
17. 【請求項１７】 前記出力に結合されたハッシュ関数をさらに備えた、請求
    項１３に記載の乱数発生装置。