JP2007148317A - 暗号化方法，暗号復号化方法，暗号化装置，暗号復号化装置および通信システム - Google Patents

Abstract

【課題】古典の物理乱数等を用いることにより従来の数理的な暗号よりはるかに強い暗号強度を持ち、多様なメデイアに応用可能な暗号化技術を提供する。
【解決手段】１ビットの入力データを擬似乱数および物理乱数により定まる少なくとも２ビットの離散値に対応させ前記入力データを変調し符号化信号を生成する変調ステップと、前記符号化信号を通信路符号化し出力する通信路符号化ステップとを有し、(1)前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、(2)前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、(3)前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている。
【選択図】図１

Description

本発明は、情報を暗号化して送受信するシステムにおいて用いられる暗号化／暗号復号化技術に関し、特に、Yuen量子暗号方式を量子揺らぎの代わりに古典の物理乱数等を用いることにより従来の数理的な暗号よりはるかに強い暗号強度を持ち、多様なメデイアに応用可能な暗号化／暗号復号化技術に関するものである。

現代のネットワークでは、暗号化手法として、共通鍵暗号などの数理的暗号が用いられている。代表例としてストリーム暗号（古典暗号）がある。図１８はストリーム暗号を適用された一般的な送受信システムの構成を示すブロック図であり、この図１８に示す送受信システム１００は、平文の暗号化を行なう正規送信者側の暗号化装置１１０と、この暗号化装置１１０からネットワーク等を介して送信されてきた暗号文を暗号復号化する正規受信者側の暗号復号化装置１２０とをそなえて構成されている。

ここで、暗号化装置１１０は、擬似乱数発生器１１１および変調部（排他的論理和演算器）１１２をそなえて構成されている。擬似乱数発生器１１１は、予め設定された暗号鍵Ｋに基づいて擬似乱数ｒiを生成して出力するものであり、例えば暗号鍵Ｋが１００ビットの２進数であれば、擬似乱数ｒ_iとしては、（２¹⁰⁰−１）ビットの２進数、つまり（２¹⁰⁰−１）ビット周期の擬似乱数が生成される。変調部１１２は、暗号化すべき平文ｘ_iと擬似乱数発生器１１１によって生成された擬似乱数ｒ_iとの排他的論理和（ＸＯＲ:eXclusive ＯＲ）を算出し暗号文ｃiとして出力するものである。つまり、平文ｘ_iは、擬似乱数ｒ_iに基づき変調部１１２によって暗号化され、暗号文ｃ_iとして出力される。

また、暗号復号化装置１２０は、擬似乱数発生器１２１および復調部（排他的論理和演算器）１２２をそなえて構成されている。擬似乱数発生器１２１は、暗号化装置１１０の擬似乱数発生器１１１と同じ暗号鍵Ｋに基づいて、この擬似乱数発生器１１１と同期して擬似乱数ｒ_iを生成して出力するものである。復調部１２２は、暗号化装置１１０から送信されてきた暗号文ｃ_iと擬似乱数発生器１２１によって生成された擬似乱数ｒ_iとの排他的論理和（ＸＯＲ）を算出し平文ｘ_iとして出力するものである。つまり、暗号文ｃ_iは、暗号化装置１１０側の擬似乱数ｒ_iと同期する擬似乱数ｒ_i（暗号化装置１１０側で擬似乱数ｒ_iを生成するために用いられた暗号鍵Ｋと同一の暗号鍵に基づいて生成された擬似乱数）に基づき、復調部１２２によって暗号復号化され、平文ｘ_iとして出力される。

このようなストリーム暗号を適用された送受信システム１００において、暗号文ｃ_iは、既知平文攻撃と呼ばれる攻撃手法によって解読される可能性がある。既知平文攻撃は、盗聴者が、暗号文ｃ_iを盗聴するだけでなく、その暗号文ｃ_iを暗号化する前の平文ｘ_iも入手し、これらの暗号文ｃ_iと平文ｘ_iとをつき合わせることにより擬似乱数を得て、その擬似乱数により、平文を入手した部分以外の暗号文を解読する攻撃手法である。

擬似乱数発生器１１１は、暗号鍵Ｋに基づいて擬似的に乱数に見える数列を算出して出力しているため、擬似乱数発生器１１１から出力された擬似乱数列が暗号鍵Ｋの桁数以上の長さ入手されてしまうと、その擬似乱数列から暗号鍵Ｋは逆算され、擬似乱数が全て再現されることになる。例えば、暗号文１００ビットとその暗号文に対応する平文１００ビットとが入手されると、暗号鍵１００ビットが逆算され、他の暗号文についても解読されてしまう。

そこで、近年、上述のような既知平文攻撃も含め、いかなる攻撃手法によっても解読不可能（無条件安全）であると言われる量子暗号の技術が提案されている。例えば、下記非特許文献１，２においては、Yuen暗号（Ｙ−００方式量子暗号）あるいは量子ストリーム暗号と呼ばれる技術が提案されている。このＹ−００方式量子暗号は、量子力学的な非直交状態にある多数の量子状態を多値信号として用いた量子暗号通信である。

以下、量子状態としてコヒーレント状態にある光の位相を用いて多値位相変調方式によりＹ−００方式量子暗号を実現する場合について、図１９を参照しながら説明する。
隣接する位相角に配置されたコヒーレント光には、１ビットの平文「０」と１ビットの平文「１」とが交互に割り当てられている。図１９に示す例では、位相角φ_i-1，φ_i，φ_i+1，φ_i+2，…に配置されたコヒーレント光に、それぞれ平文「０」，「１」，「０」，「１」，…が割り当てられている。

光強度が光子数による表示で１万個程度の場合は２００値程度の多値位相変調を行なうことにより、位相角の近接するコヒーレント光どうしを量子揺らぎ（コヒーレントノイズ）によって判別できないように、位相多値信号の配置間隔が設計されている。図１９に示す例では、位相角φ_iのコヒーレント光について多値位相変調を行なうことにより、隣接する位相角φ_i-1，φ_i+1にそれぞれ配置された２つのコヒーレント光が量子揺らぎの中に入るように、位相多値信号の配置間隔が設計されている。

一方、互いに１８０度位相角の異なるコヒーレント光には、反転ビットとなる平文が割り当てられている。例えば、位相角０度のコヒーレント光に１ビットの平文「０」が割り当てられている場合、位相角１８０度のコヒーレント光には１ビットの平文「１」が割り当てられている。これら互いに１８０度位相角の異なるコヒーレント光を一組とし、どの組を用いて平文１ビットを表現するかは、送信側と受信側とで同期の取れている擬似乱数を用いて決定し、平文１ビットの通信ごとに切り替える。

図１９に示す例では、上述した通り位相角φ_i-1，φ_i，φ_i+1，φ_i+2，…のコヒーレント光にそれぞれ平文「０」，「１」，「０」，「１」，…が割り当てられ、１８０度位相角の異なるコヒーレント光、つまり位相角φ_i-1+180°，φ_i+180°，φ_i+1+180°，φ_i+2+180°，…のコヒーレント光にそれぞれ平文「１」，「０」，「１」，「０」，…が割り当てられている。このとき、異なる位相角のコヒーレント光がＮ（Ｎは偶数）個設定されている場合、互いに１８０度位相角の異なるコヒーレント光の組はＮ／２組設定されていることになり、擬似乱数として、例えば０〜(Ｎ／２−１)の、Ｎ／２個の整数値の中の値を生成する。そして、例えば１ビットの平文「１」を送信する際に擬似乱数として“ｉ”が生成されると、位相角φ_i，φ_i+180°のコヒーレント光の組が選択され、位相角φ_iのコヒーレント光とこれに隣接する位相角φ_i-1，φ_i+1のコヒーレント光とが量子揺らぎの中に入るように位相角φ_iのコヒーレント光の多値位相変調が行なわれ、多値位相変調後の光信号が送信されることになる。

受信側では、送信側と同期した擬似乱数を用い、どの組のコヒーレント光が用いられたのかが分かるため、１８０度位相角の異なる二つの状態を判別して、平文が「１」なのか「０」なのかを判定することができる。
このとき、量子揺らぎは、小さいため、位相角の近い（判別距離の小さい）コヒーレント光の判別を妨げることになるが、１８０度位相角の離れた（判別距離の大きい）二つのコヒーレント光のどちらを受信したかを判別する場合の妨げにはならない。しかし、盗聴者は正規の送受信者が用いている擬似乱数を知らないため、どの組のコヒーレント光を用いて通信が行われているのかを知ることができない。

このため、盗聴した暗号文を暗号復号化するには送信者が送ったコヒーレント光の位相を正確に知って多値位相変調された光信号を復調する必要があるが、伝送路を流れるコヒーレント光を盗聴しても量子揺らぎの中に埋もれてしまい、盗聴者は、平文の状態（「１」または「０」）を示すコヒーレント光と、このコヒーレント光の位相角に近いコヒーレント光とを区別することができず、復調することができない。

例えば、受信側において、上述のごとく位相角φiのコヒーレント光とこれに隣接する位相角φ_i-1，φ_i+1のコヒーレント光とが量子揺らぎの中に入るように多値位相変調を施された光信号を受信すると、盗聴者は、位相角φ_i-1，φ_i，φ_i+1のコヒーレント光（判別距離の小さいコヒーレント光）の判別を行なわなければならず、解読困難である。これに対し、正規の受信者は、送信側と同期した擬似乱数に基づいて、位相角φ_i，φ_i+180°のコヒーレント光の組が用いられていることを判別できるため、あとは１８０度位相角の異なる二つの状態を判別し、平文が「１」であると復調でき、暗号復号化することができる。

このように、Ｙ−００方式量子暗号によれば、量子揺らぎによって情報を判別できない工夫がなされているため、量子揺らぎのない古典暗号に比べ、極めて高い安全性を保証することができるのである。さらに安全性を高める技術として送信される多値信号を不規則に変動させる信号拡散ランダム化（Deliberate Signal Randomization：ＤＳＲ）理論が開発されている（非特許文献１，３参照）。

一方、上記方式は量子力学的な通信媒体を用いるため、電気信号や電波で使用することができない。しかし安全性は量子系より劣るが、このような暗号を古典の物理系で実施する古典Ｙ−００方式と呼ばれる方法が玉川大学らによって研究されている。
H. P. Yuen, "A New Approach to Quantum Cryptography"， quant-ph/0311061 v6 (30 Jul 2004) O. Hirota, K. Kato, M. Sohma, T. Usuda, K. Harasawa, "Quantum stream cipher based on optical communications", Proc. on Quantum communication and quantum imaging, Proc. of SPIE, vol-5551, pp206-219, 2004 土本敏之, 泊知枝, 宇佐見庄五, 臼田毅, 内匠逸, "DSRによる混合状態に対する量子最適検出特性"第27回情報理論とその応用シンポジウム,vol-1, pp.359-362, 12月, 2004

上述の量子系でのＹ−００方式の実施は量子力学的性質をもつ通信媒体を使用しなければならず、応用範囲が限られる。このため、本出願人は古典物理系で擬似乱数と物理系の雑音とを用いてＹ−００方式を実施する古典Ｙ−００方式を提案している（例えば、特願２００４−２６０５１２号等）。ところがこれまでの古典Ｙ−００方式の実施例はアナログ的ＤＳＲを応用するものであり、必然的に出力が多値信号となるため、電気的なメモリや、フレキシブルディスク，ＣＤ（Compact Disc），ＤＶＤ（Digital Versatile Disc）等の記録媒体の暗号技術への応用ができない。

そこで、本願発明者らは、Yuen量子暗号方式を量子揺らぎの代わりに古典の物理乱数を用いることにより従来の数理的な暗号よりはるかに強い暗号強度を持ち、多様なメデイアに応用可能な古典Yuen暗号を実現する技術を提案している（特願２００５−２７６１１７号参照）。この技術においては、擬似乱数による多値変調の出力に対しさらに物理乱数による離散ＤＳＲ技術を実施する変調を行なうことで、離散的な信号出力が得られることから、所望の通信路符号化を行なうことが可能になり、そのため、従来の数理暗号よりはるかに強い暗号強度を持ち、さらに、電波通信や電気通信において使用可能で且つ電気的なメモリや各種記録媒体にデータ保存可能であり、雑音の影響を受けることがなく、さらには通信速度への影響を最小にすることのできる古典Ｙ−００方式暗号が提供されている。

今回、本願発明者らは、上記古典Ｙ−００方式暗号とは異なる手法によって、多様なメディアに応用可能で、かつ、従来の数理暗号よりはるかに強い暗号強度（上記古典Ｙ−００方式暗号と同等の暗号強度）を持つ暗号化／暗号復号化技術を新たに開発した。本発明は、その暗号化／暗号復号化技術を開示・提供することを目的としている。

上記目的を達成するために、本発明の暗号化方法は、１ビットの入力データを擬似乱数、および物理乱数により定まる、少なくとも２ビットの離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップと、前記符号化信号を通信路符号化し暗号化データとして出力する通信路符号化ステップとを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、ことを特徴としている。

また、本発明の暗号化方法は、１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
前記変調ステップは、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４として前記符号化信号を生成する、ことを特徴としている。

このとき、前記物理乱数として、物理乱数によって決定される値に定期的もしくは不定期に変更される暗号鍵に基づいて生成される第２の擬似乱数を用いてもよい。
本発明の暗号復号化方法は、１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、
前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく擬似乱数により、前記符号化信号を前記入力データに復調することを特徴としている。

本発明の暗号化装置は、暗号鍵に基づく擬似乱数を生成する擬似乱数生成部と、物理現象に基づく物理乱数を生成する物理乱数生成部と、１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる行って符号化信号を得る変調部とをそなえ、前記変調部が、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、ことを特徴としている。

このような暗号化装置において、前記擬似乱数生成部、前記物理乱数生成部、および前記変調部を、前記暗号鍵および前記擬似乱数の漏洩を抑止するとともに、前記物理乱数生成部によって生成される物理乱数の、物理的擾乱による確率分布変動を抑止する、耐タンパ領域に配置してもよいし、前記擬似乱数生成部を、前記擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成してもよい。また、前記擬似乱数生成部に前記擬似乱数の生成動作を実行させるクロック信号の入力回数を前記擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の擬似乱数出力回数保持部と、前記擬似乱数生成部による擬似乱数生成動作と、前記符号化信号の送信先通信装置における暗号復号化装置の復調用擬似乱数生成部による復調用擬似乱数生成動作とを同期させるために、前記擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記擬似乱数生成部からの前記擬似乱数の出力回数を調整する同期調整部とをそなえてもよい。さらに、前記送信先通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信先通信装置に送信する暗号送信部と、前記送信先通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて復調用擬似乱数の出力回数に復号化する復号受信部とをそなえ、前記同期調整部は、前記復号受信部によって復号化された、前記送信先通信装置側の前記復調用擬似乱数の出力回数が、前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数よりも大きい場合、前記擬似乱数生成部からの前記擬似乱数の出力回数を前記送信先通信装置側の前記復調用擬似乱数の出力回数に合わせるように調整してもよい。

また、本発明の暗号化方法は、１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
前記変調ステップは、前記擬似乱数の状態を０，１，２，３の４状態のうちの一つとし、前記物理乱数の状態を０，１の２状態のうちの一つとし、前記離散値の状態を０，１，２，３の４状態のうちの一つとして、前記符号化信号を生成し、
前記入力データ１ビット毎に付与された通し番号をｉとし、入力データ、擬似乱数、物理乱数、および離散値の組合せパターンに割り振られた番号をｋ（ｋは０から１５までの整数）とし、前記入力データをｘ_k,iとし、前記擬似乱数をｒ_k,iとし、前記物理乱数をｆ_k,iとし、前記離散値をｓ_k,iとし、ｋが０から７までのいずれか一つの整数であるとき前記入力データｘ_k,i＝０、ｋが８から１５までのいずれか一つの整数であるとき前記入力データｘ_k,i＝１、ｋが０，１，８，９のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝０、ｋが２，３，１０，１１のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝１、ｋが４，５，１２，１３のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝２、ｋが６，７，１４，１５のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝３、ｋが偶数であるとき前記物理乱数ｆ_k,i＝０、ｋが奇数であるとき前記物理乱数ｆ_k,i＝１とした場合、前記離散値ｓ_k,iの代表組み合わせＳ_j＝（ｓ_0,i，ｓ_1,i，ｓ_2,i，ｓ_3,i，ｓ_4,i，ｓ_5,i，ｓ_6,i，ｓ_7,i，ｓ_8,i，ｓ_9,i，ｓ_10,i，ｓ_11,i，ｓ_12,i，ｓ_13,i，ｓ_14,i，ｓ_15,i）（ｊは１から６までの整数）が、
Ｓ₁＝（０，１，０，１，２，３，２，３，２，３，２，３，０，１，０，１）
Ｓ₂＝（０，１，０，２，１，３，２，３，２，３，１，３，０，２，０，１）
Ｓ₃＝（０，１，０，３，１，２，２，３，２，３，１，２，０，３，０，１）
Ｓ₄＝（０，２，０，２，１，３，１，３，１，３，１，３，０，２，０，２）
Ｓ₅＝（０，２，０，３，１，２，１，３，１，３，１，２，０，３，０，２）
Ｓ₆＝（０，３，０，３，１，２，１，２，１，２，１，２，０，３，０，３）
であり、
前記変調ステップは、上記６種類の代表組み合わせＳ₁〜Ｓ₆のうちのいずれか一つを用いて前記符号化信号を生成する、ことを特徴としている。

このとき、０から３までのいずれか一つの整数としてそれぞれ与えられる２つの数値をｕ，ｖと定義するとともに、０から３までの整数のうち前記数値ｕ，ｖのいずれにも選ばれなかった整数として与えられる数値をｗと定義し、
前記変調ステップは、上記６種類の代表組み合わせＳ_jのそれぞれにおける前記離散値ｓ_k,iについて、
ｓ'_2u,i=ｓ_2v,i
ｓ'_2u+1,i=ｓ_2v+1,i
ｓ'_2u+8,i=ｓ_2v+8,i
ｓ'_2u+9,i=ｓ_2v+9,i
ｓ'_2w,i=ｓ_2w,i
ｓ'_2w+1,i=ｓ_2w+1,i
ｓ'_2w+8,i=ｓ_2w+8,i
ｓ'_2w+9,i=ｓ_2w+9,i
となる入れ替えを行なって得られた組み合わせＳ'_j＝（ｓ'_0,i，ｓ'_1,i，ｓ'_2,i，ｓ'_3,i，ｓ'_4,i，ｓ'_5,i，ｓ'_6,i，ｓ'_7,i，ｓ'_8,i，ｓ'_9,i，ｓ'_10,i，ｓ'_11,i，ｓ'_12,i，ｓ'_13,i，ｓ'_14,i，ｓ'_15,i）を用いて前記符号化信号を生成してもよい。

さらに、０から７までの整数として与えられる数値をｍと定義するとともに、０から７までの整数のうち前記数値ｍに選ばれなかった整数として与えられる数値をｎと定義し、
前記変調ステップは、上記６種類の代表組み合わせＳ'_jのそれぞれにおける前記離散値ｓ'_k,iについて、
ｓ"_2m+1,i=ｓ'_2m,i
ｓ"_2m,i=ｓ'_2m+1,i
ｓ"_2n,i=ｓ'_2n,i
ｓ"_2n+1,i=ｓ'_2n+1,i
となる入れ替えを行なって得られた組み合わせＳ"_j＝（ｓ"_0,i，ｓ"_1,i，ｓ"_2,i，ｓ"_3,i，ｓ"_4,i，ｓ"_5,i，ｓ"_6,i，ｓ"_7,i，ｓ"_8,i，ｓ"_9,i，ｓ"_10,i，ｓ"_11,i，ｓ"_12,i，ｓ"_13,i，ｓ"_14,i，ｓ"_15,i）を用いて前記符号化信号を生成してもよい。

本発明の暗号復号化装置は、１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、
前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、前記入力データに復調する暗号復号化装置であって、
前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく復調用擬似乱数を生成する復調用擬似乱数生成部と、
該復調用擬似乱数生成部によって生成された擬似乱数により、前記符号化信号を前記入力データに復調する復調部とをそなえた、ことを特徴としている。

このような暗号復号化装置において、前記復調用擬似乱数生成部および前記復調部を、前記暗号鍵および前記復調用擬似乱数の漏洩を防止する耐タンパ領域に配置してもよいし、前記復調用擬似乱数生成部を、前記復調用擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成してもよい。また、前記復調用擬似乱数生成部に前記復調用擬似乱数の生成動作を実行させるクロック信号の入力回数を前記復調用擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の復調用擬似乱数出力回数保持部と、前記復調用擬似乱数生成部による復調用擬似乱数生成動作と、前記符号化信号の送信元通信装置における暗号化装置の擬似乱数生成部による擬似乱数生成動作とを同期させるために、前記復調用擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を調整する同期調整部とをそなえてもよい。さらに、前記送信元通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信元通信装置に送信する暗号送信部と、前記送信元通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて擬似乱数の出力回数に復号化する復号受信部とをそなえ、前記同期調整部は、前記復号受信部によって復号化された、前記送信元通信装置側の前記擬似乱数の出力回数が、前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数よりも大きい場合、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を前記送信元通信装置側の前記擬似乱数の出力回数に合わせるように調整してもよい。

本発明の通信システムは、請求項５，請求項９〜請求項１２のいずれか一項に記載の暗号化装置であって、前記符号化信号の送信元通信装置にそなえられ、前記符号化信号を送信先通信装置に複数のパケットとして送信する暗号化装置と、請求項１３〜請求項１７のいずれか一項に記載の暗号復号化装置であって、前記符号化信号の送信先通信装置にそなえられ、前記送信元通信装置の前記暗号化装置から受信した各パケットにおける前記符号化信号を前記入力データに復調する暗号復号化装置とをそなえ、前記暗号化装置から前記暗号復号化装置に送信される各パケットのヘッダ部に、前記複数のパケットについての通し番号、または、各パケットのコンテナ部における前記符号化信号の変調時に用いられた前記擬似乱数の出力回数が記述され、前記暗号復号化装置は、前記暗号化装置からの前記複数のパケットを保持するパケット保持部と、前記パケット保持部に保持された前記複数のパケットを、各パケットのヘッダ部に記述された前記通し番号または前記出力回数に従う順序に並べ替えて前記復調部に入力する並べ替え部とをそなえている、ことを特徴としている。

このような通信システムにおいて、前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、前記通し番号または前記出力回数が含まれ、前記暗号復号化装置は、各パケットのヘッダ部に記述された前記通し番号または前記出力回数と、前記復調部による前記符号化信号の復調結果に含まれる前記通し番号または前記出力回数とを比較する第１比較部と、前記第１比較部による比較の結果、これらの通し番号または出力回数が不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえていてもよい。

また、前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、当該パケットについて固有の認証コードとして、前記擬似乱数生成部によって生成された擬似乱数列が含まれ、前記暗号復号化装置は、前記復調部による前記符号化信号の復調結果に含まれる前記認証コードと、前記復調用擬似乱数生成部によって生成された、当該認証コードに対応する復調用擬似乱数列とを比較する第２比較部と、前記第２比較部による比較の結果、これらの認証コードが不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえていてもよい。

上述した本発明によれば、物理乱数による離散ＤＳＲ技術が実施されるとともに、２ビットの離散的な信号出力が得られることから、所望の通信路符号化を行なうことが可能になり、そのため、従来の数理暗号よりはるかに強い暗号強度（上記古典Ｙ−００方式暗号と同等の暗号強度）を持ち、さらに、電波通信や電気通信において使用可能で且つ電気的なメモリや各種記録媒体にデータ保存可能であり、雑音の影響を受けることがなく、さらには通信速度への影響を最小にすることのできる暗号化／暗号復号化技術を提供できる。

以下、図面を参照して本発明の実施の形態を説明する。
〔１〕第１実施形態の暗号化装置の構成
図１は本発明の第１実施形態としての暗号化装置の構成を示すブロック図で、この図１に示すように、第１実施形態の暗号化装置１０は、擬似乱数発生器１１，物理乱数発生器１２，変調部１３および通信路符号化部１４をそなえて構成されている。

擬似乱数発生器（第１の擬似乱数生成部，変調用擬似乱数生成部）１１は、予め設定された暗号鍵Ｋに基づいて変調用の擬似乱数（第１の擬似乱数）ｒ_iを生成して出力するものである。例えば暗号鍵Ｋが１００ビットの２進数であれば、擬似乱数発生器１１からは（２¹⁰⁰−１）ビットの２進数つまり（２¹⁰⁰−１）ビット周期の擬似乱数が生成されることになる。この擬似乱数発生器１１からの出力が擬似乱数ｒ_iとして取り扱われる。本実施形態において、擬似乱数ｒ_iは、４個の整数値０，１，２，３を状態として持つものである。つまり、ｒ_i∈｛０，１，２，３｝である。

物理乱数発生器（物理乱数生成部）１２は、物理現象に基づく物理乱数ｆ_iを生成するものである。物理現象としては、本質的にランダムな現象、例えば自然界の雑音，宇宙線，熱揺らぎ（熱雑音），放射性同位元素の崩壊などが用いられ、このような物理現象を用いることにより、物理乱数発生器１２は、暗号鍵が不要で再現性や周期性の無い予測不能な乱数列を生成することができる。この物理乱数発生器１２からの出力が物理乱数ｆ_iとして取り扱われる。本実施形態において、物理乱数ｆ_iは、２個の整数値０，１を状態として持つものである。つまり、ｆ_i∈｛０，１｝である。なお、物理乱数発生器１２に代えて、例えば図１７を参照しながら後述するような乱数発生器１８を用いることも可能である。

変調部１３は、２進数の入力データとしての平文ｘ_iを、擬似乱数発生器１１によって生成された変調用擬似乱数ｒ_iおよび物理乱数発生器１２によって生成された物理乱数ｆ_iにより定まる２ビットの離散値（状態数４）に対応させて変調し変調出力ｓ_iとして出力するものである。本実施形態では、上述した通り、擬似乱数ｒ_iの状態数は４、物理乱数ｆ_iの状態数は２、変調出力ｓ_iの状態数は４となっており、変調部１３において、変調出力ｓ_iは、平文ｘ_i，擬似乱数ｒ_iおよび物理乱数ｆ_iを変数とする変調用３変数関数の出力として取り扱われる。本実施形態では、その変調用３変数関数をｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）として表す。

この変調用３変数関数は、具体的には図５〜図７を参照しながら後述するエンコード表に基づいて平文ｘ_i，擬似乱数ｒ_iおよび物理乱数ｆ_iを出力ｓ_iに対応させるもので、下記項目[I],[II],[III]の条件の全てを同時に満たすように平文ｘ_iと擬似乱数ｒ_iと物理乱数ｆ_iと出力ｓ_iとの対応関係を設定するものである。なお、出力（離散値）ｓ_iは、４個の整数値０，１，２，３を状態として持つものである。つまり、ｓ_i∈｛０，１，２，３｝である。

[I]後述する暗号化データ（暗号文ｃ_i）を通信路符号復号化して得られる復号信号ｄ_iが擬似乱数ｒ_iにより前記入力データとしての平文ｘiに復調可能であること。つまり、正規受信者は、正規送信者が用いた物理乱数ｆ_iを知らなくても、正規の擬似乱数ｒ_iのみよって復号信号ｄ_iを暗号復号化できること。
[II]出力（離散値）ｓ_iに対応する平文ｘ_iの２値（０，１）それぞれの数が等しいこと。この項目[II]の条件は、「暗号」としての性質で、暗号文（実際には暗号文ｃ_iを盗聴して得られた復号信号ｄ_i＝ｓ_i）が平文ｘ_iに一意に対応しないための条件である。この項目[II]の条件を満たすことにより、正規送受信者が使用した擬似乱数ｒ_iおよび物理乱数ｆ_iを知らない盗聴者から見ると、どの一つの暗号文も平文ｘ_iの値０，１に等確率で対応することになり、平文ｘ_iと暗号文とを一意に対応付けることができない。具体的には図８および図９を参照しながら後述するように、変調部１３の出力ｓ_iに対応する、平文ｘ_iが「１」である場合の数と平文ｘ_iが「０」である場合の数とが等しくなるように、つまり、物理乱数ｆ_iおよび擬似乱数ｒ_iがランダムであれば変調の出力ｓ_iの状態もランダムに分布するように、上述した３変数関数（エンコード表）が設定さる。

[III]平文（入力データの値）ｘ_iと出力（離散値）ｓ_iとの対に異なる複数（ここでは２）の擬似乱数ｒ_iが同数（ここでは１ずつ）対応付けられていること。この項目[III]の条件は、平文ｘ_iとこの平文ｘ_iを暗号化した暗号文（実際には暗号文ｃ_iを盗聴して得られた復号信号ｄ_i）との対のみからでは、暗号化に用いられた擬似乱数ｒ_iを一意に決定できないようにするための条件、つまり既知平文攻撃に対して安全であるための条件である。この項目[III]の条件を満たすことにより、正規送受信者が使用した擬似乱数ｒ_iおよび物理乱数ｆ_iを知らない盗聴者が、平文ｘ_iと暗号文との対から擬似乱数ｒ_iを推定すると、異なる複数の擬似乱数ｒ_iが平文ｘ_iと暗号文との対に等確率で対応することになり、既知平文攻撃で擬似乱数ｒ_iを一意に決めることができない。

なお、変調部１３による変調は変調出力が４値の離散的な多値信号になれば良いため、強度変調、位相変調、ＰＣＭ（Pulse Code Modulation）のようなデジタル変調等、変調方式を問わず利用可能である。変調の入力信号、および変調の出力信号もまた、強度信号、位相信号、デジタル信号、複数の信号線を用いたパラレル信号や時系列データとなるシリアル信号等、離散的な値の表現が可能な信号であれば信号の種類を問わず利用可能である。

通信路符号化部１４は、変調部１３の出力ｓ_iに通信路に適した所望の通信路符号化を行ない、その出力ｓ_iを暗号文（暗号化データ）ｃ_iとして出力するものである。たとえば、ＯＮ状態とＯＦＦ状態の２状態で情報を表現する通信路に対して変調部１３の出力ｓ_iを適合させるために、変調部１３の出力ｓ_iを２進数に変換する。さらに通信路のエラーに対する耐性を付加するため誤り訂正符号による符号化を行ない、また、必要に応じて符号の利用効率を上げる処理を行なうなどの一連の符号化処理を行なう。誤り訂正符号の例としてはハミング符号、リードソロモン符号、ＬＤＰＣ（Low Density Parity Check）符号、ターボ符号などがある。

なお、変調部１３の出力ｓ_iとして既に通信路に最適な信号が出力されるような変調部１３を用いた場合は通信路符号化部１４の動作は恒等写像で表され、このとき通信路符号化部１４を省略することが可能である。
〔２〕第１実施形態の暗号復号化装置の構成
図２は本発明の第１実施形態としての暗号復号化装置の構成を示すブロック図で、この図２に示すように、本実施形態の暗号復号化装置２０は、上述した暗号化装置１０によって得られた暗号文ｃ_iを暗号復号化するものであって、擬似乱数発生器２１，復調部２２
，および通信路符号復号化部２３をそなえて構成されている。

通信路符号復号化部２３は、暗号化装置１０によって得られた暗号文ｃ_iを通信路符号復号化し、復号信号ｄ_iを得るものである。なお、同一の平文ｘ_iに対応する復号信号ｄ_iと暗号化装置１０の変調部１３の出力ｓ_iは等しい。また、暗号文ｃ_iを直接復調可能な復調部２２を用いる場合の通信路符号復号化部２３の動作は恒等写像で表され、このとき通信路符号復号化部２３を省略することが可能である。

擬似乱数発生器（擬似乱数生成部，復調用擬似乱数生成部）２１は、暗号化装置１０において変調部１３による変調に用いられた擬似乱数ｒ_iを生成した暗号鍵Ｋと同一の暗号鍵Ｋに基づいて、その変調用擬似乱数ｒ_iに同期する復調用擬似乱数ｒ_iを生成して出力するもので、暗号化装置１０における擬似乱数発生器１１と同一構成を有するものである。
復調部２２は、通信路符号復号化部２３により得られた復号信号ｄ_iを、擬似乱数発生器２１によって生成された擬似乱数ｒ_iにより、入力データとしての平文ｘ_iに復調するもので、本実施形態では、図６（Ｂ）もしくは図７（Ｂ）を参照しながら後述するデコード表に基づいて復号信号ｄ_iおよび擬似乱数ｒ_iを平文ｘ_iに対応させることにより、復号信号ｄ_iを平文ｘ_iに復調するようになっている。つまり、復調部２２において、平文ｘ_iは、復号信号ｄ_iおよび擬似乱数ｒ_iを変数とする復調用２変数関数の出力として取り扱われる。本実施形態では、その復調用２変数関数をｘ_i＝Ｄ（ｄ_i，ｒ_i）として表す。

〔３〕第１実施形態の変調用３変数関数（エンコード表）および復調用２変数関数（デコード表）について
ここで、図３〜図１０を参照しながら、擬似乱数ｒ_iの状態数が４かつ物理乱数ｆ_iの状態数が２かつ変調出力ｓ_iの状態数が４である場合（４−２−４型）が、上記項目[I],[II],[III]の条件を満たす変調用３変数関数（エンコード表）の最小構成であることについて説明するとともに、その４−２−４型の変調用３変数関数（エンコード表）および復調用２変数関数（デコード表）の具体例について説明する。

〔３−１〕２−２−２型
図３に、４−２−４型よりも小さい構成である、２−２−２型の変調用３変数関数（エンコード表）の例、つまり、擬似乱数ｒ_iの状態数が２かつ物理乱数ｆ_iの状態数が２かつ変調出力ｓ_iの状態数が２である場合の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）の例を示す。ここでは、ｒ_i∈｛０，１｝，ｆ_i∈｛０，１｝，ｓ_i∈｛０，１｝とする。この図３では、平文ｘiが「０」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの４通りの組み合わせ、および、平文ｘ_iが「１」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの４通りの組み合わせ、つまり合計８通りのｘ_i，ｒ_i，ｆ_iの組み合わせに対する、出力（離散値）ｓ_iの例(1)〜(3)が示されている。

図３に示す出力ｓ_iの例(1)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝０、
と設定されているが、この例(1)では、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘiは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、出力ｓ_iの例(1)では、上記項目[I]の条件を満たすことができない。

図３に示す出力ｓ_iの例(2)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
と設定されているが、この例(2)でも、上記例(1)と同様、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘ_iは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、出力ｓ_iの例(2)でも、上記項目[I]の条件を満たすことができない。

図３に示す出力ｓ_iの例(1),(2)のように、平文ｘ_iの値「０」に対応付けられる擬似乱数ｒ_iに割り当てられた出力値グループと、平文ｘ_iの値「１」に対応付けられる同じ擬似乱数ｒ_iに割り当てられた出力値グループとが同じ値（ここでは０，１）からなる場合、正規受信者であっても、擬似乱数だけでは復号信号ｄ_iを復調することができなくなる。
図３に示す出力ｓ_iの例(3)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
と設定されているが、この例(3)では、一つの擬似乱数ｒ_i＝０に対応する２種類の出力（それぞれ物理乱数ｆ_i＝０，１に対応する出力）ｓ_iとして同一の値１が割り当てられるために物理乱数ｆ_iが機能せず、２組存在する平文ｘ_i＝０と出力ｓ_i＝１との対に、いずれも擬似乱数ｒ_i＝０が対応することになり、上記項目[III]の条件を満たすことができず、既知平文攻撃で擬似乱数ｒ_iを一意に決めることができてしまう。

２−２−２型で考えられる全ての設定パターン（ｘ_i，ｒ_i，ｆ_iの組み合わせに対する出力ｓ_i）は、図３に示す出力ｓ_iの例(1)〜(3)のいずれかに対応するため、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、２−２−２型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）は存在しない。
〔３−２〕２−２−４型
次に、図４に、４−２−４型よりも小さく２−２−２型よりも大きい構成である、２−２−４型の変調用３変数関数（エンコード表）の例、つまり、擬似乱数ｒ_iの状態数が２かつ物理乱数ｆ_iの状態数が２かつ変調出力ｓ_iの状態数が４である場合の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）の例を示す。ここでは、ｒ_i∈｛０，１｝，ｆ_i∈｛０，１｝，ｓ_i∈｛０，１，２，３｝とする。この図４では、平文ｘ_iが「０」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの４通りの組み合わせ、および、平文ｘ_iが「１」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの４通りの組み合わせ、つまり合計８通りのｘ_i，ｒ_i，ｆ_iの組み合わせに対する、出力（離散値）ｓ_iの例(1)〜(5)が示されている。

図４に示す出力ｓ_iの例(1)は、図３の例(1)と同じ設定であるため、上述した通り、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘ_iは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、上記項目[I]の条件を満たすことができない。

図４に示す出力ｓ_iの例(2)は、図３の例(2)と同じ設定であるため、上述した通り、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘ_iは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、上記項目[I]の条件を満たすことができない。

図４に示す出力ｓ_iの例(3)は、図３の例(3)と同じ設定であるため、上述した通り、一つの擬似乱数ｒ_i＝０に対応する２種類の出力（それぞれ物理乱数ｆ_i＝０，１に対応する出力）ｓ_iとして同一の値１が割り当てられ物理乱数ｆ_iが機能せず、２組存在する平文ｘ_i＝０と出力ｓ_i＝１との対に、いずれも擬似乱数ｒ_i＝０が対応することになり、上記項目[III]の条件を満たすことができず、既知平文攻撃で擬似乱数ｒ_iを一意に決めることができてしまう。

図４に示す出力ｓ_iの例(4)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
と設定されているが、この例(4)では、平文ｘ_iと出力ｓ_iとの対に一つの擬似乱数ｒ_iしか対応付けられていないので、上記項目[III]の条件は満たされておらず、従って、既知平文攻撃で擬似乱数ｒ_iを一意に決めることができてしまう。

図４に示す出力ｓ_iの例(5)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
と設定されているが、この例(5)では、平文ｘ_iと出力ｓ_iとの対に異なる２つの擬似乱数ｒ_iが対応付けられているので、上記項目[III]の条件は満たされているが、出力ｓ_i＝０，１に対応する平文ｘ_iは「０」のみであり、また、出力ｓ_i＝２，３に対応する平文ｘ_iは「１」のみであり、上記項目[II]の条件が満たされておらず、平文ｘ_iと出力ｓ_iとが対応しており、平文ｘ_iと暗号文とを一意に対応付けることができてしまう。

２−２−４型で考えられる全ての設定パターン（ｘ_i，ｒ_i，ｆ_iの組み合わせに対する出力ｓ_i）は、図４に示す出力ｓ_iの例(1)〜(5)のいずれかに対応するため、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、２−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）は存在しない。
〔３−３〕４−２−４型
図５に、４−２−４型の変調用３変数関数（エンコード表）の例、つまり、擬似乱数ｒ_iの状態数が４かつ物理乱数ｆ_iの状態数が２かつ変調出力ｓ_iの状態数が４である場合の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）の例を示す。ここでは、ｒ_i∈｛０，１，２，３｝，ｆ_i∈｛０，１｝，ｓ_i∈｛０，１，２，３｝とする。この図５では、平文ｘ_iが「０」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの８通りの組み合わせ、および、平文ｘ_iが「１」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの８通りの組み合わせ、つまり合計１６通りのｘ_i，ｒ_i，ｆ_iの組み合わせに対する、出力（離散値）ｓ_iの例(1)〜(7)が示されている。

図５に示す出力ｓ_iの例(1)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝０、
と設定されている。この例(1)は、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）となっている。

ここで、例(1)において、出力ｓ_i＝０に対応する平文ｘ_i＝０の数は２であり、出力ｓ_i＝０に対応する平文ｘ_i＝１の数は２であり、他の出力ｓ_i＝１，２，３についても同様であるので、上記項目[II]の条件は満たされている。また、例(1)において、平文ｘ_i＝０と出力ｓ_i＝０との対には、異なる２つの擬似乱数ｒ_i＝０，１が一つずつ対応付けられており、他の対についても同様であるので、上記項目[III]の条件は満たされている。

この例(1)によるエンコード表を図６（Ａ）に示す。また、図６（Ａ）に示すエンコード表に対応するデコード表（復調用２変数関数）ｘ_i＝Ｄ（ｄ_i，ｒ_i）を図６（Ｂ）に示す。さらに、図６（Ｂ）に示すデコード表を２進数に書き換えたものを図６（Ｃ）に示す。なお、図５に示す出力ｓ_iの例(1)が上記項目[I]の条件を満たすことは図６（Ｂ）に示すデコード表を参照すれば明らかであり、上記項目[II]の条件を満たすことは、後述する図８を参照すれば明らかである。また、上記項目[III]の条件を満たすことは、図６（Ａ）に示すエンコード表や後述する図８を参照しても明らかなように、平文ｘ_iと出力ｓ_iとの全ての対に異なる２つの擬似乱数ｒ_iが１つずつ対応付けられている。例えば、平文ｘ_i＝０と出力ｓ_i＝０との対には、異なる２つの擬似乱数ｒ_i＝０，１が１つずつ対応付けられ、平文ｘ_i＝０と出力ｓ_i＝１との対には、異なる２つの擬似乱数ｒ_i＝０，１が１つずつ対応付けられ、平文ｘ_i＝１と出力ｓ_i＝１との対には、異なる２つの擬似乱数ｒ_i＝２，３が１つずつ対応付けられている。

また、図８は、図５に示す出力ｓ_iの例(1)つまり図６（Ａ）に示すエンコード表について平文ｘ_iと擬似乱数ｒ_iと物理乱数ｆ_iと出力ｓiとの対応関係を図式化して示すもので、この図８に示すように、図６（Ａ）に示すエンコード表によれば、出力ｓ_iに対応する、平文ｘ_iが「１」である場合の数と平文ｘ_iが「０」である場合の数とが等しく、また、平文ｘ_iと出力ｓ_iとの間における擬似乱数ｒ_iおよび物理乱数ｆ_iの対応関係も全て均等に配分されており（ラインL0000,L0011,L0101,L0110,L0202,L0213,L0303,L0312,L1002,L1013,L1103,L1112,L1200,L1211,L1301,L1310参照）、物理乱数ｆ_iおよび擬似乱数ｒ_iがランダムであれば出力ｓiの状態もランダムに分布するようになる。

図５に示す出力ｓ_iの例(2)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝１、
と設定されている。この例(2)では、出力ｓ_iと物理乱数ｆ_iとの間に相関が見られるが、この例(2)も、図５に示す出力ｓ_iの例(1)と同様、上記項目[I]〜[III]の条件の全てを同時に満たしており、既知平文攻撃で擬似乱数ｒ_iを推定することができないので、４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）として用いることができる。

図５に示す出力ｓ_iの例(3)は、図３の例(2)と同じ設定であるため、上述した通り、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘ_iは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、上記項目[I]の条件を満たすことができない。

図５に示す出力ｓ_iの例(4)は、図３の例(1)と同じ設定であるため、上述した通り、復調部２２において復号信号ｄ_i（＝ｓ_i）を復号する際、例えば復号信号ｄ_i＝０に対し擬似乱数ｒ_i＝０となった時に平文ｘ_iは「０」である場合と「１」である場合の両方があり、復調部２２において復号信号ｄ_iを擬似乱数ｒ_iによって平文ｘ_iに復調することができない。つまり、上記項目[I]の条件を満たすことができない。

図５に示す出力ｓ_iの例(5)は、図３の例(3)と同じ設定であるため、上述した通り、一つの擬似乱数ｒ_i＝０に対応する２種類の出力（それぞれ物理乱数ｆ_i＝０，１に対応する出力）ｓ_iとして同一の値１が割り当てられ物理乱数ｆ_iが機能せず、２組存在する平文ｘ_i＝０と出力ｓ_i＝１との対に、いずれも擬似乱数ｒ_i＝０が対応することになり、上記項目[III]の条件を満たすことができず、既知平文攻撃で擬似乱数ｒ_iを一意に決めることができてしまう。

図５に示す出力ｓ_iの例(6)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝１、
と設定されている。この例(6)も、図５に示す出力ｓ_iの例(1)と同様、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）となっている。この例(6)は、上述した例(2)における擬似乱数ｒ_iと出力ｓ_iとの対応関係について、擬似乱数ｒ_iの値「１」と「２」とを入れ替えたものと等価である。

図５に示す出力ｓ_iの例(7)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
と設定されている。この例(7)も、図５に示す出力ｓiの例(1)と同様、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）となっている。この例(7)は、上述した例(1)における擬似乱数ｒ_iと出力ｓ_iとの対応関係について、擬似乱数ｒ_iの値「１」と「３」とを入れ替えたものと等価である。この例(7)によるエンコード表を図７（Ａ）に示す。また、図７（Ａ）に示すエンコード表に対応するデコード表（復調用２変数関数）ｘ_i＝Ｄ（ｄ_i，ｒ_i）を図７（Ｂ）に示す。さらに、図７（Ｂ）に示すデコード表を２進数に書き換えたものを図７（Ｃ）に示す。

また、図９は、図５に示す出力ｓ_iの例(7)つまり図７（Ａ）に示すエンコード表について平文ｘ_iと擬似乱数ｒ_iと物理乱数ｆ_iと出力ｓ_iとの対応関係を図式化して示す図もので、この図９に示すように、図７（Ａ）に示すエンコード表によれば、図８に示した例と同様に、出力ｓ_iに対応する、平文ｘiが「１」である場合の数と平文ｘiが「０」である場合の数とが等しく、また、平文ｘ_iと出力ｓ_iとの間における擬似乱数ｒ_iおよび物理乱数ｆ_iの対応関係も全て均等に配分されており（ラインL0000,L0011,L0301,L0310,L0202,L0213,L0103,L0112,L1002,L1013,L1303,L1312,L1200,L1211,L1101,L1110参照）、物理乱数ｆ_iおよび擬似乱数ｒ_iがランダムであれば出力ｓ_iの状態もランダムに分布するようになる。

ところで、図６（Ｂ）に示すデコード表を２進数に書き換えた、図６（Ｃ）に示すデコード表を参照すると、復号信号ｄ_iの２ビットのうちの上位ビットと平文ｘ_iとの排他的論理和が、擬似乱数ｒ_iの２ビットのうちの上位ビットに対応している。つまり、図６（Ｃ）に示すデコード表では、盗聴者が平文ｘ_iとこれに対応する暗号文ｃ_iを通信路符号復号化した復号信号ｄ_iとを得て既知平文攻撃を行なう場合、１ビットの物理乱数による不規則な対応付けによって、既知平文攻撃をもってしても盗聴者が知ることができない１ビット情報は、擬似乱数の下位１ビットに対応している。これに対し、図７（Ｂ）に示すデコード表を２進数に書き換えた、図７（Ｃ）に示すデコード表では、既知平文攻撃をもってしても盗聴者が知ることができない１ビット情報は、擬似乱数が「００であるか、１１であるか」という１ビット情報、もしくは「０１であるか、１０であるか」という１ビット情報に対応している。

このように、４−２−４型で考えられる設定パターン（ｘ_i，ｒ_i，ｆ_iの組み合わせに対する出力ｓ_i）には、図５に示す出力ｓ_iの例(3)〜(5)のごとく、上記項目[I]〜[III]の条件のうちいずれか一つ、もしくは複数を満たさないものもあるが、図５に示す出力ｓ_iの例(1),(2),(6),(7)のごとく、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、４−２−４型の変調用３変数関数（エンコード表）ｓi＝M（ｘi，ｒi，ｆi）を設定可能である。本実施形態の暗号化装置１０における変調部１３では、そのような４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）、例えば図６（Ａ）もしくは図７（Ａ）に示すエンコード表を用いて平文ｘ_iの変調が行なわれる。そして、本実施形態の暗号復号化装置２０における復調部２２では、変調に用いた４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）に対応するデコード表（復調用２変数関数）ｘ_i＝Ｄ（ｄ_i，ｒ_i）、例えば図６（Ｂ），（Ｃ）もしくは図７（Ｂ），（Ｃ）を用いて復号信号ｄ_iの復調が行なわれる。

なお、ここでは、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、４−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）としては、図５に示す例(1),(2),(6),(7)の４通りのみを示しているが、計算上、図５に示す例(1),(2),(6),(7)の４通りを含む、２３０４０通りの組み合わせ（エンコード
表）が考えられる。

この２３０４０個のエンコード表の集合の中には６個の代表要素（エンコード表）が存在し、それぞれの代表要素の擬似乱数ｒ_iと物理乱数ｆ_iと出力ｓ_iとの関係について、擬似乱数ｒ_iの値の入れ替えを施し、さらに物理乱数ｆ_iの値の入れ替えを施すことにより、２３０４０通りの等価なパターンの全数を表現し尽くすことができる。

例えば、図２０に示す代表要素１では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝１、
と設定されている。この代表要素１は図５の例(2)に等しいが、平文「０」の場合の擬似乱数ｒ_iの「１」と「２」とを入れ替え、さらに平文「１」の場合の擬似乱数ｒ_iの「１」と「２」とを入れ替えたものは、図５の例(6)に等しい。このように擬似乱数ｒ_iの入れ替えは常に平文ｘ_iが「０」の場合と平文ｘ_iが「１」の場合とについて、対応する擬似乱数ｒ_iの入れ替えを同時に行なう。一方、物理乱数ｆ_iの入れ替えについてはこの限りではなく、平文ｘ_iが「０」の場合と平文ｘ_iが「１」の場合とについてそれぞれ独立に、同一の擬似乱数ｒ_iに属する物理乱数「０」，「１」の入れ替えを施すことが可能である。よって、代表要素１は擬似乱数ｒ_iの入れ替えが６通りあり、さらにそれぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計６×２５６＝１５３６通りの変形が可能である。

次に、図２０に示す代表要素２では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝１、
と設定されている。この代表要素２には、擬似乱数ｒ_iの入れ替えが２４通りあり、さらに、それぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計２４×２５６＝６１４４通りの変形が可能である。

次に、図２０に示す代表要素３では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝１、
と設定されている。この代表要素３には、擬似乱数ｒ_iの入れ替えが２４通りあり、さらに、それぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計２４×２５６＝６１４４通りの変形が可能である。

次に、図２０に示す代表要素４では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
と設定されている。この代表要素４には、擬似乱数ｒ_iの入れ替えが６通りあり、さらに、それぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計６×２５６＝１５３６通りの変形が可能である。

次に、図２０に示す代表要素５では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
と設定されている。この代表要素５には、擬似乱数ｒ_iの入れ替えが２４通りあり、さらに、それぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計２４×２５６＝６１４４通りの変形が可能である。

次に、図２０に示す代表要素６では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝３、
と設定されている。この代表要素６には、擬似乱数ｒ_iの入れ替えが６通りあり、さらに、それぞれについて物理乱数ｆ_iの入れ替えが２５６通りあるため、合計６×２５６＝１５３６通りの変形が可能である。

以上に示したとおり、図２０に示す代表要素１〜６のそれぞれについて擬似乱数ｒ_iと物理乱数ｆ_iとの入れ替えを施すことにより、代表要素１，４，６はそれぞれ１５３６通りの変形が、代表２，３，５はそれぞれ６１４４通りの変形が可能であり、合計１５３６×３＋６１４４×３＝２３０４０通りの、上記項目[I]〜[III]の条件全てを満たす等価なエンコード表を全て表現し尽くすことができる。

なお、以下に、上述した代表要素１〜６のそれぞれについて擬似乱数ｒ_iと物理乱数ｆ_iとの入れ替えを一般化して説明する。ここでは、入力データとしての平文１ビット毎に付与された通し番号をｉとし、入力データ（平文）、擬似乱数、物理乱数、および離散値（出力）の組合せパターンに割り振られた番号をｋ（ｋは０から１５までの整数）とし、前記入力データ（平文）をｘ_k,iとし、前記擬似乱数をｒ_k,iとし、前記物理乱数をｆ_k,iとし、前記離散値（出力）をｓ_k,iとし、ｋが０から７までのいずれか一つの整数であるとき前記入力データｘ_k,i＝０、ｋが８から１５までのいずれか一つの整数であるとき前記入力データｘ_k,i＝１、ｋが０，１，８，９のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝０、ｋが２，３，１０，１１のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝１、ｋが４，５，１２，１３のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝２、ｋが６，７，１４，１５のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝３、ｋが偶数であるとき前記物理乱数ｆ_k,i＝０、ｋが奇数であるとき前記物理乱数ｆ_k,i＝１とした場合、前記離散値（出力）ｓ_k,iの代表組み合わせＳ_j＝（ｓ_0,i，ｓ_1,i，ｓ_2,i，ｓ_3,i，ｓ_4,i，ｓ_5,i，ｓ_6,i，ｓ_7,i，ｓ_8,i，ｓ_9,i，ｓ_10,i，ｓ_11,i，ｓ_12,i，ｓ_13,i，ｓ_14,i，ｓ_15,i）（ｊは１から６までの整数）を、
Ｓ₁＝（０，１，０，１，２，３，２，３，２，３，２，３，０，１，０，１）
Ｓ₂＝（０，１，０，２，１，３，２，３，２，３，１，３，０，２，０，１）
Ｓ₃＝（０，１，０，３，１，２，２，３，２，３，１，２，０，３，０，１）
Ｓ₄＝（０，２，０，２，１，３，１，３，１，３，１，３，０，２，０，２）
Ｓ₅＝（０，２，０，３，１，２，１，３，１，３，１，２，０，３，０，２）
Ｓ₆＝（０，３，０，３，１，２，１，２，１，２，１，２，０，３，０，３）
とする。これらの６種類の代表組み合わせＳ₁〜Ｓ₆は、それぞれ、上述した代表要素１〜６に対応している。

このとき、０から３までのいずれか一つの整数としてそれぞれ与えられる２つの数値をｕ，ｖと定義するとともに、０から３までの整数のうち前記数値ｕ，ｖのいずれにも選ばれなかった整数として与えられる数値をｗと定義し、上記６種類の代表組み合わせＳ₁〜Ｓ₆のそれぞれにおける前記離散値（出力）ｓ_k,iについて、
ｓ'_2u,i=ｓ_2v,i
ｓ'_2u+1,i=ｓ_2v+1,i
ｓ'_2u+8,i=ｓ_2v+8,i
ｓ'_2u+9,i=ｓ_2v+9,i
ｓ'_2w,i=ｓ_2w,i
ｓ'_2w+1,i=ｓ_2w+1,i
ｓ'_2w+8,i=ｓ_2w+8,i
ｓ'_2w+9,i=ｓ_2w+9,i
となる入れ替えを行なって得られた組み合わせＳ'_j＝（ｓ'_0,i，ｓ'_1,i，ｓ'_2,i，ｓ'_3,i，ｓ'_4,i，ｓ'_5,i，ｓ'_6,i，ｓ'_7,i，ｓ'_8,i，ｓ'_9,i，ｓ'_10,i，ｓ'_11,i，ｓ'_12,i，ｓ'_13,i，ｓ'_14,i，ｓ'_15,i）も、上記項目[I]〜[III]の条件全てを満たす等価なエンコード表として用いることができる。例えば、ｕ＝０、ｖ＝１、ｗ＝２，３とした場合には、各組み合わせＳ_jにおいて、ｓ_0,iとｓ_2,iとの入れ替え、ｓ_1,iとｓ_3,iとの入れ替え、ｓ_8,iとｓ_10,iとの入れ替え、および、ｓ_9,iとｓ_11,iとの入れ替えが行なわれる。つまり、擬似乱数ｒ_0,iとｒ_2,iとの入れ替え、擬似乱数ｒ_1,iとｒ_3,iとの入れ替え、擬似乱数ｒ_8,iとｒ_10,iとの入れ替え、および、擬似乱数ｒ_9,iとｒ_11,iとの入れ替えが行なわれ、その他の擬似乱数については入れ替えを行なわなかったことになり、このような入れ替えを行なわれた各Ｓ'_jも、上記項目[I]〜[III]の条件全てを満たす等価なエンコード表として用いることができる。

さらに、０から７までの整数として与えられる数値をｍと定義するとともに、０から７までの整数のうち前記数値ｍに選ばれなかった整数として与えられる数値をｎと定義し、上記６種類の代表組み合わせＳ'_jのそれぞれにおける前記離散値（出力）ｓ'_k,iについて、
ｓ"_2m+1,i=ｓ'_2m,i
ｓ"_2m,i=ｓ'_2m+1,i
ｓ"_2n,i=ｓ'_2n,i
ｓ"_2n+1,i=ｓ'_2n+1,i
となる入れ替えを行なって得られた組み合わせＳ"_j＝（ｓ"_0,i，ｓ"_1,i，ｓ"_2,i，ｓ"_3,i，ｓ"_4,i，ｓ"_5,i，ｓ"_6,i，ｓ"_7,i，ｓ"_8,i，ｓ"_9,i，ｓ"_10,i，ｓ"_11,i，ｓ"_12,i，ｓ"_13,i，ｓ"_14,i，ｓ"_15,i）も、上記項目[I]〜[III]の条件全てを満たす等価なエンコード表として用いることができる。例えば、ｍ＝０，５、ｎ＝１，２，３，４，６，７，８とした場合には、各組み合わせＳ'_jにおいて、ｓ'_0,iとｓ'_1,iとの入れ替え、および、ｓ'_10,iとｓ'_11,iとの入れ替えが行なわれる。つまり、物理乱数ｆ_0,iとｆ_1,iとの入れ替え、および、物理乱数ｆ_10,iとｆ_11,iとの入れ替えが行なわれ、その他の物理乱数については入れ替えを行なわなかったことになり、このような入れ替えを行なわれた各Ｓ"_jも、上記項目[I]〜[III]の条件全てを満たす等価なエンコード表として用いることができる。

〔３−４〕８−２−４型
ここでは、擬似乱数ｒ_iの状態数が４である場合について説明しているが、擬似乱数ｒ_iの状態数を８としてもよい。図１０は、８−２−４型の変調用３変数関数（エンコード表）の例、つまり、擬似乱数ｒ_iの状態数が８かつ物理乱数ｆ_iの状態数が２かつ変調出力ｓ_iの状態数が４である場合の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）の例を示す。ここでは、ｒ_i∈｛０，１，２，３，４，５，６，７｝，ｆ_i∈｛０，１｝，ｓ_i∈｛０，１，２，３｝とする。この図１１では、平文ｘ_iが「０」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの１６通りの組み合わせ、および、平文ｘ_iが「１」である場合についての擬似乱数ｒ_iと物理乱数ｆ_iとの１６通りの組み合わせ、つまり合計３２通りのｘ_i，ｒ_i，ｆ_iの組み合わせに対する、出力（離散値）ｓ_iの例(1)が示されている。

図１０に示す出力ｓ_iの例(1)では、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝０かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝０かつｒ_i＝４かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝４かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝５かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝５かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝６かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝０かつｒ_i＝６かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝７かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝０かつｒ_i＝７かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝０かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝１かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝０の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝２かつｆ_i＝１の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝０の時にｓ_i＝３、
ｘ_i＝１かつｒ_i＝３かつｆ_i＝１の時にｓ_i＝２、
ｘ_i＝１かつｒ_i＝４かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝４かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝５かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝５かつｆ_i＝１の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝６かつｆ_i＝０の時にｓ_i＝０、
ｘ_i＝１かつｒ_i＝６かつｆ_i＝１の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝７かつｆ_i＝０の時にｓ_i＝１、
ｘ_i＝１かつｒ_i＝７かつｆ_i＝１の時にｓ_i＝０、
と設定されている。この例(1)は、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、８−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）となっている。

８−２−４型で考えられる設定パターン（ｘ_i，ｒ_i，ｆ_iの組み合わせに対する出力ｓ_i）にも、図５に示す出力ｓ_iの例(3)〜(5)のごとく、上記項目[I]〜[III]の条件の全てを同時に満たさないものもあるが、図１０に示す出力ｓ_iの例(1)のごとく、上記項目[I]〜[III]の条件の全てを同時に満たすマッピングを実現することのできる、８−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）を設定可能である。本実施形態の暗号化装置１０における変調部１３において、そのような８−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）を用いて平文ｘiの変調を行ない、本実施形態の暗号復号化装置２０における復調部２２では、変調に用いた８−２−４型の変調用３変数関数（エンコード表）ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）に対応するデコード表（復調用２変数関数）ｘ_i＝Ｄ（ｄ_i，ｒ_i）を用いて復号信号ｄ_iの復調を行なうように構成してもよい。

〔４〕第１実施形態の暗号化手順
次に、第１実施形態の暗号化手順（暗号化装置１０の動作）について、より具体的には、図７（Ａ）に示すエンコード表を用いて平文ｘ_iを１ビット送信する場合の暗号化手順について説明する。
平文ｘ_iを１ビット送信する際に、例えば擬似乱数発生器１１によって生成された擬似乱数ｒ_iが「２」で且つ物理乱数発生器１２によって生成された物理乱数ｆ_iが「１」のときに、送信対象の平文ｘ_iが「０」であれば変調部１３の出力ｓ_iとしてM（０，２，１）＝３が出力され、送信対象の平文ｘ_iが「１」であれば変調部１３の出力ｓ_iとしてM（１，２，１）＝１が出力される。

ここでは、物理乱数ｆ_iが「１」であるとしているが、この物理乱数ｆ_iは「１」のほかに「０」となる可能性がある。つまり、図７（Ａ）に示すエンコード表に従うと、送信対象の平文ｘ_i＝０が、上述のごとく擬似乱数ｒ_i＝２のとき物理乱数ｆ_i＝１となって出力ｓ_i＝M（０，２，１）＝３に変調される確率と、擬似乱数ｒ_i＝２のとき物理乱数ｆ_i＝０となって出力出力ｓ_i＝M（０，２，０）＝２に変調される確率とは等しい。同様に、送信対象の平文ｘ_i＝１が、上述のごとく擬似乱数ｒ_i＝２のとき物理乱数ｆ_i＝１となって出力ｓ_i＝M（１，２，１）＝１に変調される確率と、擬似乱数ｒ_i＝２のとき物理乱数ｆ_i＝０となって出力出力ｓ_i＝M（１，２，０）＝０に変調される確率とは等しい。

このように、変調部１３の出力ｓ_iには、物理乱数ｆ_iを用いて、正規受信者側で平文ｘ_iの状態を判別可能な状況を保ちつつ不規則な対応付けが付与されており、この変調部１３の出力ｓiを通信路符号化部１４によって通信路符号化した出力が暗号文ｃ_iである。このとき、上述した図７（Ａ）に示すエンコード表を用いることにより、後述するごとく正規受信側（暗号復号化装置２０側）において、暗号文ｃ_iを通信路符号復号化した復号信号ｄ_i（＝ｓ_i）は物理乱数ｆ_iを用いることなく擬似乱数ｒ_iにより平文ｘ_iに復調可能であり、また、出力ｓ_iに対応する平文ｘ_iの２値「０」，「１」それぞれの数が等しいため、復号信号ｄ_iは平文ｘ_iの値「０」もしくは「１」に一意に対応せず、さらに、復号信号ｄ_iとこの復号信号ｄ_iに対応する平文ｘ_iとの対には異なる２つの擬似乱数ｒ_iが一つずつ対応付けられているので、その対のみからでは、暗号化（変調）に用いられた擬似乱数ｒ_iを一意に決定できないようになっている。

〔５〕第１実施形態の暗号復号化手順
次に、第１実施形態の暗号復号化手順（暗号復号化装置２０の動作）について、より具体的には、図７（B）に示すデコード表を用いて平文１ビットの暗号文ｃ_iを暗号復号化する手順について説明する。
暗号文ｃ_iの正規受信者側の暗号復号化装置２０においては、前述した通り、擬似乱数発生器２１により、暗号化装置１０で変調用擬似乱数ｒ_iを生成した暗号鍵Ｋと同一の暗号鍵Ｋに基づいて、その変調用擬似乱数ｒ_iに同期した復調用擬似乱数ｒ_iが出力されている。従って、正規受信者側で平文１ビットに対応する暗号文ｃ_iを受信すると、暗号文ｃ_iを通信路符号復号化部２３により通信路符号復号化して復号信号ｄ_iを得るとともに、受信タイミングに合わせ、その暗号文ｃ_iを暗号化する際に用いられた変調用擬似乱数ｒ_iと同じ状態の復調用擬似乱数ｒ_iが、擬似乱数発生器２１によって生成され出力され、図７（B）に示すデコード表に従って、平文ｘ_iが復調用２変数関数Ｄ（ｄ_i，ｒ_i）の値として得られ、復号信号ｄ_iが平文ｘ_iに復調される。

例えば、図７（B）に示すデコード表によれば、復号信号ｄ_i＝０のとき擬似乱数ｒ_i＝１もしくは２であれば平文ｘ_i＝１となり、復号信号ｄ_i＝０のとき擬似乱数ｒ_i＝０もしくは３であれば平文ｘ_i＝０となる。
このように、暗号文ｃ_iの正規受信者側の暗号復号化装置２０においては、物理乱数ｆ_iを用いることなく、変調用擬似乱数ｒ_iに同期した復調用擬似乱数ｒ_iのみで復号信号ｄ_iを平文ｘ_iに暗号復号化することができる。

〔６〕第１実施形態の暗号強度
次に、第１実施形態の暗号技術によって得られた暗号文ｃ_iの、暗号文単独攻撃に対する暗号強度について説明する。ここでは、暗号化に際して図７（A）に示すエンコード表を用い、盗聴者が暗号文ｃ_iを盗聴して通信路符号復号化し、復号信号ｄ_i＝０を得ている状態で行なう暗号文単独攻撃について説明する。

暗号文ｃ_iの盗聴により復号信号ｄ_i＝０を得た盗聴者は、その暗号文ｃ_iを得るために用いられた擬似乱数ｒ_iを知らないため、図９に示す４本のラインL0000,L1200,L0310,L1110のいずれの場合を見ているかを区別することができない。ここで、図９に示すラインL0000は平文ｘ_i＝０，擬似乱数ｒ_i＝０および物理乱数ｆ_i＝０で復号信号ｄ_i＝０となった場合、図９に示すラインL1200は平文ｘ_i＝１，擬似乱数ｒ_i＝２および物理乱数ｆ_i＝０で復号信号ｄ_i＝０となった場合、図９に示すラインL0310は平文ｘ_i＝０，擬似乱数ｒ_i＝３および物理乱数ｆ_i＝１で復号信号ｄ_i＝０となった場合、図９に示すラインL1110は平文ｘ_i＝１，擬似乱数ｒ_i＝１および物理乱数ｆ_i＝１で復号信号ｄ_i＝０となった場合である。

このため、盗聴者は、正規送信者によって送信された暗号文ｃ_i（復号信号ｄ_i＝０）に対応する平文ｘ_iの状態が「０」であるか「１」であるかを解読することは不可能になる。従って、本実施形態の暗号技術を用いることにより、暗号文単独攻撃に対し十分な暗号強度を確保することができる。
また、同じく図９を参照しながら、本実施形態の暗号技術により図７（A）に示すエンコード表を用いて得られた暗号文ｃ_iの、既知平文攻撃に対する暗号強度について説明する。ここでは、盗聴者が、暗号文ｃ_iを盗聴して復号信号ｄ_i＝０を得た上で、且つ、何らかの手段で、この暗号文ｃ_iに対応する平文ｘ_i＝１を入手して、対応する擬似乱数ｒ_iを推定し、さらに暗号鍵Ｋの推定を行なう既知平文攻撃について説明する。

暗号文ｃ_iを盗聴し、この暗号文ｃ_iを通信路符号復号化して復号信号ｄ_i＝０を得た盗聴者が、暗号文ｃ_iに対応する平文ｘ_i＝１を入手している場合、その暗号文ｃ_iを得るために用いられた擬似乱数ｒ_iを知らないため、図８に示す２本のラインL1200,L1110のいずれの場合を見ているかを区別することができない。
つまり、盗聴者は、たとえ暗号文ｃ_iを通信路符号復号化した復号信号ｄ_i＝０に対応する平文ｘ_iが「１」であることを知ったとしても、正規送受信者が使用した擬似乱数ｒ_iが「２」と「１」のいずれであるか知ることができない。つまり、盗聴者の側で推定される平文１ビット毎の擬似乱数の状態は２種類存在するため、盗聴者が例えば１００ビットの平文を手に入れて既知平文攻撃を行なっても、平文１００ビットから推定される擬似乱数列には２¹⁰⁰通りのパターンの任意性があり、さらに、そのパターン一つ一つについて擬似乱数から暗号鍵を推定する演算を行なわなければならず、既知平文攻撃によって暗号鍵Ｋを推定する事により既に入手した平文ｘ_i以外に対応する暗号文ｃ_iを解読することは実質的に不可能であると言える。特に、２¹⁰⁰通りのパターンの任意性の起源は、物理乱数発生器１２によって生成される物理乱数ｆ_iにあるため、数学的な近道が発見されて暗号文ｃ_iが解読されてしまう可能性もない。

上述した事例からも明らかな通り、一組の復号信号ｄ_iと平文ｘ_iとの対に、異なる２つの擬似乱数ｒ_iを一つずつ対応付けることにより、当該対が２つのうちのいずれの擬似乱数ｒ_iによって変調されたものであるかを、盗聴者が判別することができないように構成することができる。そして、このとき、既知平文攻撃を行なう盗聴者が判別しなければならない場合の数は２となるため、既知平文攻撃に対する暗号強度は従来の暗号に比べ飛躍的に高くなる。従って、本実施形態の暗号技術を用いることにより、既知平文攻撃に対しても十分な暗号強度を確保でき、高い安全性を保証することができる。

〔７〕第１実施形態の効果
このように本発明の第１実施形態としての暗号化／暗号復号化技術によれば、暗号文ｃ_iを通信路符号復号化して得られる復号信号ｄ_iを擬似乱数ｒ_iのみにより平文ｘ_iに復調可能であり且つ出力ｓ_i（＝ｄ_i）に対応する平文ｘ_iの２値「０」，「１」それぞれの数が等しく且つ平文ｘ_iの値と出力ｓ_i（＝ｄ_i）との対に異なる２つの擬似乱数ｒ_iを同数対応付けるように平文ｘ_iと擬似乱数ｒ_iと物理乱数ｆ_iと出力ｓ_iとの対応関係を設定する変調用３変数関数ｓ_i＝Ｍ（ｘ_i，ｒ_i，ｆ_i）を用いて、平文ｘ_iを、状態数４の擬似乱数ｒ_iおよび状態数２の物理乱数ｆ_iにより定まる、状態数４の離散値ｓ_iに変調した後、その変調結果である出力ｓ_iを通信路符号化して得られた暗号文ｃ_iを送信し、正規送信者側の暗号鍵Ｋと同一の暗号鍵Ｋを保有する正規受信者側では、その暗号鍵Ｋに基づいて生成された擬似乱数ｒ_iのみを用い、物理乱数ｆ_iを用いることなく、暗号文ｃ_iから平文ｘ_iが暗号復号化データとして得られる。

このようにして変調部１３の出力ｓ_iには物理乱数ｆ_iによる不規則な対応付けが付与されており、前述した通り、暗号文単独攻撃のみならず既知平文攻撃に対しても極めて高い暗号強度を確保することができる高い安全性を保証しながら、正規受信者側では物理乱数ｆ_iを用いることなく擬似乱数ｒ_iのみで復号信号ｄ_iを復調することが可能になる。
このとき、本実施形態の暗号技術は、Ｙ−００方式量子暗号とは異なり、符号（単なる数値）により実現されるので、既存の古典暗号の場合と同様、電波や電線での暗号文伝送が可能であり電波通信や電気通信においても使用可能になるほか、暗号文ｃ_iを電気的なメモリや各種記録媒体（フレキシブルディスク，ＣＤ，ＤＶＤ等）に保存することも可能になる。また、暗号文ｃ_iは、電気的なメモリに貯められるため、ルーターを通過することも可能になる。

また、前述したように、本実施形態の暗号技術は符号（単なる数値）により実現されるので、Ｙ−００方式量子暗号のように不安定で多くの物理状態を送受信する必要がないため、雑音の影響を受けることがなく、本暗号技術を光通信において使用する場合、低雑音の光増幅器が不要になりその光増幅器の雑音レベルによって中継段数が制限を受けることがなくなるほか、線形性の良い光源および受光デバイスの開発も不要である。

さらに、本実施形態の暗号技術によれば、変調に用いられる擬似乱数ｒ_iの状態数が４でもでも十分高い安全性を保証できるので、多値信号の状態数を２００値程度必要とするＹ−００方式量子暗号に比べて状態数を極めて少なくでき、擬似乱数ｒ_iのビット数を抑
えて擬似乱数発生器１１，２１の動作速度が通信速度へ及ぼす影響を最小にすることができる。

また、本実施形態の暗号化技術によれば、送信対象の平文１ビット当たりの変調出力ｓ_iは２ビットとなり、伝送効率が大幅に向上する。特に、本実施形態の暗号化技術によれば、上記古典Ｙ−００方式暗号と同等の暗号強度を確保しながら、上記古典Ｙ−００方式暗号の２倍の伝送効率を達成することができる。
ところで、ストリーム暗号では、既知平文攻撃に対して脆弱であるため、暗号化側（正規送信者側）と暗号復号化側（正規受信者側）との暗号鍵を、公開鍵暗号を使って頻繁に配布して変更する必要があった。ただし、素因数分解を用いた公開鍵暗号による暗号化で暗号鍵を配布する場合は、その公開鍵暗号の安全性はあくまで現在までのところは素因数分解を高速に行なうアルゴリズムが発見されていないことに依拠する安全性に過ぎず、一旦、素因数分解を高速に行なう計算方法が発見されてしまえば、極めて容易に暗号鍵を解読されてしまう。このため、公開鍵暗号を使用した暗号鍵の配布を行なう必要を無くすことが望まれていた。

これに対し、本実施形態の暗号技術によれば、擬似乱数発生器１１，２１で用いられる暗号鍵Ｋを変更することなく、つまりは擬似乱数発生器１１，２１を暗号化装置１０や暗号復号化装置２０に組み込み（埋め込み）利用者に暗号鍵Ｋを一切知らせることなく、前述のごとく既知平文攻撃に対し極めて高い暗号強度を確保することができるので、上述のような公開鍵暗号を使用した暗号鍵の配布を行なう必要がなくなり、公開鍵暗号による脆弱性を解消することもできる。

なお、上述のように暗号鍵Ｋを含む擬似乱数発生器を埋め込む場合には、暗号鍵Ｋが利用者のみならず不正アクセス者（盗聴者）等から読み出されるのを防止して暗号文の安全性を確実なものにすべく、少なくとも暗号鍵Ｋを保存するメモリを含むチップを、外部から暗号鍵Ｋを読み出し不可能な状態に構成し、耐タンパ性を有する構造とすることが望ましい。耐タンパ性を有する構造としては、例えば、チップ表面が空気に触れると記録内容が消滅するメモリチップや、信号を読み出すプローブを取り付けると動作できなくなる回路などが用いられる。

〔８〕第２実施形態の暗号化／暗号復号化技術
上述した第１実施形態の暗号化／暗号復号化技術では、送信対象の平文ｘ_iの全ビットについて、例えば図７（Ａ）に示すような変調用３変数関数ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i）を用いて変調部１３による変調を行ない、送信対象の平文ｘ_iの各ビットを２ビットの出力ｓ_iに変調している。従って、変調出力ｓ_iのビット数は送信対象の平文ｘ_iのビット数の２倍になる。

図１１〜図１６を参照しながら以下に説明する、本発明の第２実施形態としての暗号化／暗号復号化技術は、図１〜図１０を参照しながら第１実施形態として上述した暗号化／暗号復号化技術と、図１８を参照しながら従来技術として上述したストリーム暗号方式とを組み合わせたもので、この第２実施形態では、平文ｘ_iが８ビット毎に９ビットの出力ｓ_iに変調されるように構成されている。

図１１は本発明の第２実施形態としての暗号化装置の構成を示すブロック図で、この図１１に示すように、第２実施形態の暗号化装置１０Ａは、第１実施形態と同様の擬似乱数発生器１１，物理乱数発生器１２，変調部１３および通信路符号化部１４をそなえるとともに、擬似乱数発生器１１′，１１″，変調部１５，切替制御部１６およびスイッチ１７ａ，１７ｂをさらにそなえて構成されている。なお、図１１において既述の符号と同一の符号は同一もしくはほぼ同一の部分を示しているので、その詳細な説明は省略する。

第２実施形態における擬似乱数発生器１１は、第１実施形態と同様、予め設定された暗号鍵Ｋに基づいて変調用の擬似乱数ｒ_iを生成して出力するものであるが、第２実施形態では、８ビットの平文ｘ_iに対し擬似乱数ｒ_iを２ビット生成出力するように構成されている。
擬似乱数発生器（擬似乱数生成部，変調用擬似乱数生成部）１１′は、予め設定された暗号鍵Ｋ′に基づいて変調用の擬似乱数ｒ_i′を生成して出力するものである。擬似乱数発生器１１と同様、例えば暗号鍵Ｋ′が１００ビットの２進数であれば、擬似乱数発生器１１′からは（２¹⁰⁰−１）ビットの２進数つまり（２¹⁰⁰−１）ビット周期の擬似乱数が生成されることになる。この擬似乱数発生器１１′からの出力が擬似乱数ｒ_i′として取り扱われ、この擬似乱数ｒ_i′は、後述する変調部１５での変調（ストリーム暗号化）に用いられる。本実施形態において、擬似乱数ｒ_i′は、８ビットの平文ｘ_iに対し７ビット生成出力される。

擬似乱数発生器（擬似乱数生成部，変調用擬似乱数生成部）１１″は、予め設定された暗号鍵Ｋ″に基づいて変調用の擬似乱数ｒ_i″を生成して出力するものである。擬似乱数発生器１１，１１′と同様、例えば暗号鍵Ｋ″が１００ビットの２進数であれば、擬似乱数発生器１１″からは（２¹⁰⁰−１）ビットの２進数つまり（２¹⁰⁰−１）ビット周期の擬似乱数が生成されることになる。この擬似乱数発生器１１″からの出力が擬似乱数ｒ_i″として取り扱われ、この擬似乱数ｒ_i″は、後述する切替制御部１６による切替制御に用いられる。より具体的に、擬似乱数ｒ_i″は、８ビットの平文ｘ_iに対し３ビット生成出力され、後述するごとく、切替制御部１６によってスイッチ１７ａ，１７ｂを変調部１３側に切り替えるタイミング（変調部１３による変調を行なうべき平文ｘ_iのビット／スロット番号）を、８ビットの平文ｘ_i（一ブロック）毎に１回だけ決めるために用いられる。従って、擬似乱数ｒ_i″は、８個の整数値０，１，２，３，４，５，６，７を状態として持つものである。つまり、ｒ_i″∈｛０，１，２，３，４，５，６，７｝である。

変調部（排他的論理和演算器）１５は、図１８に示した変調部１１２と同様の機能を果たすもので、変調すべき平文ｘ_iと擬似乱数発生器１１′によって生成された擬似乱数ｒ_i′との排他的論理和（ＸＯＲ:eXclusive ＯＲ）を算出し変調結果として出力するものである。つまり、平文ｘ_iは、擬似乱数ｒ_i′に基づき変調部１５によって変調され、変調結果ｓ_iとして出力される。

スイッチ１７ａは、送信対象の平文ｘ_iを変調部１３と変調部１５とのいずれか一方に選択的に切り替えて入力するものであり、スイッチ１７ｂは、変調部１３からの変調結果と変調部１５からの変調結果とのいずれか一方を出力ｓ_iとして選択的に切り替えて通信路符号化部１４に入力するものであり、切替制御部１６は、擬似乱数発生器１１″によって生成された擬似乱数ｒ_i″に従って、スイッチ１７ａ，１７ｂを、変調部１３側と変調部１５側とのいずれか一方に切替制御するものである。

本実施形態において、切替制御部１６は、８ビットの平文ｘiを一つのブロックとして扱い、擬似乱数発生器１１″からの擬似乱数ｒ_i″を受け、図１３を参照しながら後述するごとく、その擬似乱数ｒ_i″の状態値（０〜７）を上記ブロックにおける一つのスロット番号とみなし、そのスロット番号（状態値）に対応する１ビットの平文ｘ_iを変調部１３に入力するようにスイッチ１７ａを変調部１３側に切り替えるとともに、その１ビットの平文ｘ_iに対する変調部１３による変調結果を出力ｓ_iとして通信路符号化部１４に入力するようにスイッチ１７ｂを変調部１３側に切り替える一方、上記スロット番号（状態値）以外の７ビットの平文ｘ_iについては変調部１５に入力するようにスイッチ１７ａを変調部１５側に切り替えるとともに、その７ビットの平文ｘ_iに対する変調部１５による変調結果を出力ｓ_iとして通信路符号化部１４に入力するようにスイッチ１７ｂを変調部１５側に切り替える。これにより、本実施形態では、ブロック毎に、８ビットの平文ｘ_iのうちの１ビットに対し変調部１３による変調が施され、残りの７ビットに対し変調部１５による変調が施され、８ビットの平文ｘ_iが９ビットの出力ｓ_iに変調されて出力されるようになっている。

図１２は本発明の第２実施形態としての暗号復号化装置の構成を示すブロック図で、この図１２に示すように、第２実施形態の暗号復号化装置２０Ａは、第１実施形態と同様の擬似乱数発生器２１，復調部２２，および通信路符号復号化部２３をそなえるとともに、擬似乱数発生器２１′，２１″，復調部２４，切替制御部２５およびスイッチ２６ａ，２６ｂをさらにそなえて構成されている。なお、図１２において既述の符号と同一の符号は同一もしくはほぼ同一の部分を示しているので、その詳細な説明は省略する。

第２実施形態における擬似乱数発生器２１は、第１実施形態と同様、暗号化装置１０Ａにおいて変調部１３による変調に用いられた擬似乱数ｒ_iを生成した暗号鍵Ｋと同一の暗号鍵Ｋに基づいて、その変調用擬似乱数ｒ_iに同期する復調用擬似乱数ｒ_iを生成して出力するもので、暗号化装置１０Ａにおける擬似乱数発生器１１と同一構成を有するもので、９ビットの復号信号ｄiに対し擬似乱数ｒ_iを２ビット生成出力するように構成されている。

擬似乱数発生器（擬似乱数生成部，復調用擬似乱数生成部）２１′は、暗号化装置１０Ａにおいて擬似乱数ｒ_i′を生成した暗号鍵Ｋ′と同一の暗号鍵Ｋ′に基づいて、その変調用擬似乱数ｒ_i′に同期する復調用擬似乱数ｒ_i′を生成して出力するもので、暗号化装置１０Ａにおける擬似乱数発生器１１′と同一構成を有するもので、９ビットの復号信号ｄ_iに対し擬似乱数ｒ_iを７ビット生成出力するように構成されている。

擬似乱数発生器（擬似乱数生成部，復調用擬似乱数生成部）２１″は、暗号化装置１０Ａにおいて擬似乱数ｒ_i″を生成した暗号鍵Ｋ″と同一の暗号鍵Ｋ″に基づいて、その変調用擬似乱数ｒ_i″に同期する復調用擬似乱数ｒ_i″を生成して出力するもので、暗号化装置１０Ａにおける擬似乱数発生器１１″と同一構成を有するもので、９ビットの復号信号ｄ_iに対し擬似乱数ｒ_i″を３ビット生成出力するように構成されている。この擬似乱数ｒ_i″は、後述する切替制御部２５による切替制御に用いられる。より具体的に、擬似乱数ｒ_i″は、後述するごとく、切替制御部２５によってスイッチ２６ａ，２６ｂを復調部２２側に切り替えるタイミング（復調部２２による復調を行なうべき２ビットの復号信号ｄ_i）を、９ビットの復号信号ｄ_i（一ブロック）毎に１回だけ決めるために用いられる。

復調部（排他的論理和演算器）２４は、図１８に示した復調部１２２と同様の機能を果たすもので、復調すべき復号信号ｄ_iと擬似乱数発生器２１′によって生成された擬似乱数ｒ_i′との排他的論理和（ＸＯＲ）を算出し平文ｘ_iとして出力するものである。つまり、復号信号ｄ_iは、擬似乱数ｒ_i′に基づき復調部２４によって復調され、その復調結果が平文ｘ_iとして出力される。

スイッチ２６ａは、通信路復号化部２３によって得られた復号信号ｄ_iを復調部２２と復調部２４とのいずれか一方に選択的に切り替えて入力するものであり、スイッチ２６ｂは、復調部２２からの復調結果と復調部２４からの復調結果とのいずれか一方を平文ｘ_iとして選択的に切り替えて出力するものであり、切替制御部２５は、擬似乱数発生器２１″によって生成された擬似乱数ｒ_i″に従って、スイッチ２６ａ，２６ｂを、復調部２２側と復調部２４側とのいずれか一方に切替制御するものである。

本実施形態において、切替制御部２５は、９ビットの復号信号ｄ_iを一つのブロックとして扱い、擬似乱数発生器２１″からの擬似乱数ｒ_i″を受け、その擬似乱数ｒ_i″の状態値（０〜７）を上記ブロックにおける一つのスロット番号とみなし、そのスロット番号（状態値）に対応する１ビットおよびその次のビットの、２ビットの復号信号ｄ_iを復調部２２に入力するようにスイッチ２６ａを復調部２２側に切り替えるとともに、その２ビットの復号信号ｄ_iに対する復調部２２による復調結果を平文ｘ_iとして出力するようにスイッチ２６ｂを復調部２２側に切り替える一方、上記２ビット以外の７ビットの復号信号ｄ_iについては復調部２４に入力するようにスイッチ２６ａを復調部２４側に切り替えるとともに、その７ビットの復号信号ｄ_iに対する復調部２４による復調結果を平文ｘ_iとして出力するようにスイッチ２６ｂを復調部２４側に切り替える。これにより、本実施形態では、ブロック毎に、９ビットの復号信号ｄ_iのうちの２ビットに対し復調部２２による復調が施され、残りの７ビットに対し復調部２４による復調が施され、９ビットの復号信号ｄ_iが８ビットの平文ｘ_iに復調されて出力されるようになっている。

次に、図１３を参照しながら、図１１に示す暗号化装置１０Ａによる暗号化動作について具体的に説明する。なお、ここで、変調部１３は、図７（Ａ）に示すエンコード表に従って変調を行なうものとする。
図１３に示す例では、まず最初の一ブロックの８ビットの平文ｘ_i＝０１０００１１０に対し、擬似乱数発生器１１″により３ビットの擬似乱数ｒ_i″=０１１（＝３）が生成されており、このブロックのスロット番号３（最初から４番目のビット）の平文ｘ_i＝０に対し変調部１３による変調を施し、それ以外の平文ｘ_iに対しては変調部１５による変調を施すように、切替制御部１６によってスイッチ１７ａ，１７ｂが切替制御される。

つまり、スロット番号０，１，２，４，５，６，７の平文ｘ_iが入力される時にはスイッチ１７ａ，１７ｂは変調部１５側に切り替えられ、平文ｘ_i＝０，１，０，０，１，１，０は、変調部１５に入力され、この変調部１５においてそれぞれ擬似乱数発生器１１′によって生成された擬似乱数ｒ_i′＝１，０，０，１，１，０，１との排他的論理和（ＸＯＲ）が算出され、その算出結果が変調出力ｓ_i＝１，１，０，１，０，１，１として通信路符号化部１４に入力される。

また、スロット番号３の平文ｘ_iが入力される時にはスイッチ１７ａ，１７ｂは変調部１３側に切り替えられ、スロット番号３の平文ｘ_i＝０は、変調部１３に入力され、この変調部１３において、図７（Ａ）に示すエンコード表（３変数関数ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i））に基づいて、平文ｘ_i＝０と擬似乱数発生器１１によって生成された擬似乱数ｒ_i＝１１＝３と物理乱数発生器１２によって生成された物理乱数ｆ_i＝１とから、２ビットの変調結果がｓ_i＝M（０，３，１）＝００として得られ出力される。

同様に、次の一ブロックの８ビットの平文ｘ_i＝１０１１０１００に対しては、擬似乱数発生器１１″により３ビットの擬似乱数ｒ_i″=１０１（＝５）が生成されており、このブロックのスロット番号５（最初から６番目のビット）の平文ｘ_i＝１に対し変調部１３による変調を施し、それ以外の平文ｘ_iに対しては変調部１５による変調を施すように、切替制御部１６によってスイッチ１７ａ，１７ｂが切替制御される。

つまり、スロット番号０，１，２，３，４，６，７の平文ｘ_iが入力される時にはスイッチ１７ａ，１７ｂは変調部１５側に切り替えられ、平文ｘ_i＝１，０，１，１，０，０，０は、変調部１５に入力され、この変調部１５においてそれぞれ擬似乱数発生器１１′によって生成された擬似乱数ｒ_i′＝０，１，１，０，０，０，１との排他的論理和（ＸＯＲ）が算出され、その算出結果が変調出力ｓ_i＝１，１，０，１，０，０，１として通信路符号化部１４に入力される。

また、スロット番号５の平文ｘ_iが入力される時にはスイッチ１７ａ，１７ｂは変調部１３側に切り替えられ、スロット番号５の平文ｘ_i＝１は、変調部１３に入力され、この変調部１３において、図７（A）に示すエンコード表（３変数関数ｓ_i＝M（ｘ_i，ｒ_i，ｆ_i））に基づいて、平文ｘ_i＝１と擬似乱数発生器１１によって生成された擬似乱数ｒ_i＝０１＝１と物理乱数発生器１２によって生成された物理乱数ｆ_i＝０とから、２ビットの変調結果がｓ_i＝M（１，１，０）＝０１として得られ出力される。

これにより、最初の一ブロックの８ビットの平文ｘ_i＝０１０００１１０は９ビットの出力ｓ_i＝１１０００１０１１に変調され、次の一ブロックの８ビットの平文ｘ_i＝１０１１０１００は９ビットの出力ｓ_i＝１１０１００１０１に変調され、このように変調して得られた出力ｓ_iは、通信路符号化部１４によって通信路符号化され、暗号文ｃ_iとして送信されることになる。

一方、このような暗号文ｃ_iを受信した正規受信側の、図１２に示す暗号復号化装置２０Ａにおいては、暗号文ｃ_iを通信路符号復号化部２３により通信路符号復号化して復号信号ｄ_iが得られるとともに、受信タイミングに合わせ、その暗号文ｃ_iを暗号化する際に用いられた変調用擬似乱数ｒ_i，ｒ_i′，ｒ_i″と同じ状態の復調用擬似乱数ｒ_i，ｒ_i′，ｒ_i″が、擬似乱数発生器２１，２１′，２１″によって生成され出力される。

そして、図１３に示した上記最初の一ブロックの８ビットの平文ｘ_iに対応する９ビットの復号信号ｄ_i＝１１０００１０１１に対し、擬似乱数発生器２１″により３ビットの擬似乱数ｒ_i″=０１１（＝３）が生成され、このブロックのスロット番号３および４（最初から４，５番目のビット）の２ビットの復号信号ｄ_i＝００に対し復調部２２による復調を施し、それ以外の復号信号ｄ_iに対しては復調部２４による復調を施すように、切替制御部２５によってスイッチ２６ａ，２６ｂが切替制御される。

つまり、スロット番号０，１，２，５，６，７，８の復号信号ｄ_iが入力される時にはスイッチ２６ａ，２６ｂは復調部２４側に切り替えられ、復号信号ｄ_i＝１，１，０，１，０，１，１は、復調部２４に入力され、この復調部２４においてそれぞれ擬似乱数発生器２１′によって生成された擬似乱数ｒ_i′＝１，０，０，１，１，０，１との排他的論理和（ＸＯＲ）が算出され、その算出結果が復調出力（平文）ｘ_i＝０，１，０，０，１，１，０として出力される。

また、スロット番号３，４の復号信号ｄ_iが入力される時にはスイッチ２６ａ，２６ｂは復調部２２側に切り替えられ、スロット番号３，４の平文ｘ_i＝００は、復調部２２に入力され、この復調部２２において、図７（Ｂ）に示すデコード表（２変数関数ｘ_i＝Ｄ（ｄ_i，ｒ_i））に基づいて、復号信号ｄ_i＝００と擬似乱数発生器２１によって生成された擬似乱数ｒ_i＝１１＝３とから、復調結果がｘ_i＝Ｄ（０，３）＝０として得られ出力される。これにより、図１３に示した上記最初の一ブロックの８ビットの平文ｘ_iに対応する９ビットの復号信号ｄ_i＝１１０００１０１１は、８ビットの平文ｘ_i＝０１０００１１０に復調される。なお、図１３に示した上記次の一ブロックの８ビットの平文ｘ_iに対応する９ビットの復号信号ｄ_i＝１１０１００１０１についても同様にして８ビットの平文ｘ_i＝１０１１０１００に復調される。

このように本発明の第２実施形態としての暗号化／暗号復号化技術によれば、図１〜図１０を参照しながら第１実施形態として上述した暗号化／暗号復号化技術と、図１８を参照しながら従来技術として上述したストリーム暗号方式とが組み合わされ、８ビットの平文ｘ_iが９ビットの出力ｓ_iに変調され、また９ビットの復号信号ｄ_iが８ビットの平文ｘ_iに復調される。その際、図１〜図１０を参照しながら第１実施形態として上述した暗号化／暗号復号化技術（変調部１３による変調）は、８ビットの平文ｘ_iの中から擬似乱数ｒ_i″によってランダムに選ばれた１ビットの平文ｘ_iに対して適用されるので、盗聴者が、このように暗号化された暗号文ｃ_iに対応する復号信号ｄ_iを得たとしても、どの部分に変調部１３による変調が施されているかが分からず、上述した第１実施形態と同様の作用効果を得ることができる。

また、上述した第１実施形態では、送信対象の平文１ビット当たりの変調出力ｓ_iは２ビットとなっていたが、第２実施形態では、８ビットの平文ｘ_iが９ビットの出力ｓ_iに変調されているので、第１実施形態よりもさらに伝送効率が大幅に向上する。
さらに、第１実施形態の暗号化装置１０においては物理乱数発生器１２により１ビットの平文ｘ_iに対し１ビットの物理乱数ｆ_iを生成する必要があるため、高速動作可能な物理乱数発生器１２を用いる必要があるが、第２実施形態の暗号化装置１０Ａにおいては８ビットの平文ｘ_iに対し１ビットの物理乱数ｆ_iを生成すればよいので、第２実施形態における物理乱数発生器１２としては第１実施形態のものよりも低速動作のものを用いることができる。高速動作可能な物理乱数発生器は高価であるが、低速動作の物理乱数発生器は低価格であるので、第２実施形態の暗号化装置１０Ａは、第１実施形態の暗号化装置１０よりも安価に構成することが可能になる。

なお、上述した暗号化装置１０Ａおよび暗号復号化装置２０Ａでは、それぞれ異なる暗号鍵Ｋ，Ｋ′，Ｋ″に基づいて３つの擬似乱数発生器１１，１１′，１１″；２１，２１′，２１″により３種類の擬似乱数ｒ_i，ｒ_i′，ｒ_i″を生成しているが、図１４に示す暗号化装置１０Ｂや図１５に示す暗号復号化装置２０Ｂのごとく、３種類の擬似乱数ｒ_i，ｒ_i′，ｒ_i″を一つの暗号鍵Ｋａに基づいて一つの擬似乱数発生器１１ａ，２１ａにより生成してもよい。ここで、図１４は第２実施形態の暗号化装置の変形例（暗号化装置１０Ｂ）の構成を示すブロック図、図１５は第２実施形態の暗号復号化装置の変形例（暗号復号化装置２０Ｂ）の構成を示すブロック図、図１６は図１４に示す暗号化装置１０Ｂによる暗号化動作を具体的に説明するための図である。

図１４に示すように、暗号化装置１０Ｂでは、図１１に示した暗号化装置１０Ａの３つの擬似乱数発生器１１，１１′，１１″に代えて、１つの擬似乱数発生器１１ａがそなえられている。
この擬似乱数発生器（擬似乱数生成部，変調用擬似乱数生成部）１１ａは、予め設定された暗号鍵Ｋａに基づいて、８ビットの平文ｘ_i（一ブロック）毎に、１２ビットの変調用の擬似乱数Ｒ_iを生成して出力するものである。擬似乱数発生器１１，１１′，１１″と同様、例えば暗号鍵Ｋａが１００ビットの２進数であれば、擬似乱数発生器１１ａからは（２¹⁰⁰−１）ビットの２進数つまり（２¹⁰⁰−１）ビット周期の擬似乱数が生成されることになる。

そして、ここでは例えば図１６に示すように、擬似乱数発生器１１ａで生成された１２ビットの変調用の擬似乱数Ｒ_iのうち、上から１ビット目から３ビット目までの３ビットが擬似乱数ｒ_i″として切替制御部１６へ入力され、上から４ビット目から５ビット目までの２ビットが擬似乱数ｒ_iとして変調部１３に入力され、上から６ビット目から最下位ビットまでの７ビットが擬似乱数ｒ_i′として変調部１５に入力される。

また、図１５に示すように、暗号復号化装置２０Ｂは、図１２に示した暗号復号化装置２０Ａの３つの擬似乱数発生器２１，２１′，２１″に代えて、１つの擬似乱数発生器２１ａがそなえられている。
この擬似乱数発生器（擬似乱数生成部，復調用擬似乱数生成部）２１ａは、暗号化装置１０Ｂにおいて擬似乱数Ｒ_iを生成した暗号鍵Ｋａと同一の暗号鍵Ｋａに基づいて、その変調用擬似乱数Ｒ_iに同期する復調用擬似乱数Ｒ_iを生成して出力するもので、暗号化装置１０Ｂにおける擬似乱数発生器１１ａと同一構成を有するもので、９ビットの復号信号ｄ_iに対し擬似乱数Ｒ_iを１２ビット生成出力するように構成されている。

そして、暗号復号化装置２０Ｂにおいても、暗号化装置１０Ｂにおける１２ビットの変調用の擬似乱数Ｒ_iと同様、擬似乱数発生器２１ａで生成された１２ビットの変調用の擬似乱数Ｒ_iのうち、上から１ビット目から３ビット目までの３ビットが擬似乱数ｒ_i″として切替制御部２５へ入力され、上から４ビット目から５ビット目までの２ビットが擬似乱数ｒ_iとして復調部２２に入力され、上から６ビット目から最下位ビットまでの７ビットが擬似乱数ｒ_i′として復調部２４に入力される。

このような構成により、暗号化装置１０Ｂにおいては、図１６に示すように、上述した暗号化装置１０Ａの暗号化動作（図１３参照）と同様にして、８ビットの平文ｘ_iが９ビットの出力ｓ_iに変調され、また、暗号復号化装置２０Ｂにおいては、上述した暗号復号化装置２０Ａの暗号復号化動作と同様にして、９ビットの復号信号ｄ_iが８ビットの平文ｘ_iに復調される。

これにより、上述した第２実施形態の暗号化／暗号復号化技術と同様の作用効果が得られるほか、変形例としての暗号化装置１０Ｂおよび暗号復号化装置２０Ｂにおいては、それぞれ１つの擬似乱数発生器１１ａおよび２１ａによって生成された擬似乱数が３種類の擬似乱数ｒ_i″，ｒ_i，ｒ_i′として用いられるので構成をより簡素化することができるとともに、暗号鍵もＫａの１種類のみを用いるので暗号鍵Ｋａの管理も容易になる。

ここでは、８ビットの平文ｘ_iを一つのブロックとし、そのブロック毎に、８ビットの平文ｘ_iのうちの１ビットに対し変調部１３による変調を施し、残りの７ビットに対し変調部１５による変調を施し、８ビットの平文ｘ_iを９ビットの出力ｓ_iに変調しているが、これに限定されるものではない。例えば、ｍ（ｍは２以上の整数）ビットの平文を一つのブロックとし、そのブロック毎に、ｍビットの平文ｘ_iのうちのｎ（ｎは１以上ｍ−１以下の整数）ビットに対し変調部１３による変調を施し、残りのｍ−ｎビットに対し変調部１５による変調を施し、ｍビットの平文ｘ_iをｍ＋ｎビットの出力ｓ_iに変調するように、切替制御部１６がスイッチ１７ａ，１７ｂを制御してもよい。

〔９〕第３実施形態の暗号化／暗号復号化技術
図２１は、本発明の第３および第４実施形態としての暗号化／暗号復号化技術を適用された通信システム１，１Ａの全体構成を示すブロック図であり、この図２１に示す第３実施形態の通信システム１は、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ，１ｂをそなえて構成されている。この第３実施形態の通信システム１および後述する第４実施形態の通信システム１Ａでは、２つの通信装置１ａ，１ｂの相互間が、改竄の無い通信路（信号線路）を介して通信可能に接続され、その通信路を介して２つの通信装置１ａ，１ｂが公開通信によって同期処理を行なう場合について説明する。

これらの通信装置１ａ，１ｂはいずれも同一の構成を有しており、通信装置１ａは、第１もしくは第２実施形態により上述した手法で通信装置１ｂへ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃと、第１もしくは第２実施形態により上述した手法で通信装置１ｂから受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃと、後述する送受信部５２および同期調整部５３とをそなえて構成されるとともに、通信装置１ｂは、第１もしくは第２実施形態により上述した手法で通信装置１ａへ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃと、第１もしくは第２実施形態により上述した手法で通信装置１ａから受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃと、後述する送受信部５２および同期調整部５３とをそなえて構成されている。なお、暗号化装置１０Ｃの構成については図２２を参照しながら後述し、暗号復号化装置２０Ｃの構成については図２３を参照しながら後述する。

また、図２１に示す通信システム１では、通信装置１ａにおける暗号化装置１０Ｃと通信装置１ｂにおける暗号復号化装置２０Ｃとが対になっており、これらの装置１０Ｃ，２０Ｃにおける擬似乱数発生器１１，２１（図２２，図２３参照）は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂにおける暗号化装置１０Ｃと通信装置１ａにおける暗号復号化装置２０Ｃとが対になっており、これらの装置１０Ｃ，２０Ｃにおける擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａから通信装置１ｂへの送信データは、暗号化装置１０Ｃによって上述した暗号化手順で暗号化され暗号文として通信装置１ｂへ送信され、通信装置１ｂ側では、通信装置１ａから受信した暗号文が、暗号復号化装置２０Ｃによって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂから通信装置１ａへの送信データは、暗号化装置１０Ｃによって上述した暗号化手順で暗号化され暗号文として通信装置１ａへ送信され、通信装置１ａ側では、通信装置１ｂから受信した暗号文が、暗号復号化装置２０Ｃによって上述した暗号復号化手順で平文に暗号復号化される。

ここで、送受信部５２および同期調整部５３は、何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃと暗号復号化装置２０Ｃとの間の暗号通信が行なえなくなった場合に用いられるものである。
送受信部５２は、後述する不揮発性メモリ３４（図２２参照）または不揮発性メモリ４４（図２３参照）から読み出された変調用擬似乱数または復調用擬似乱数の出力回数を、同期情報として通信相手の通信装置１ａもしくは１ｂに送信するとともに、通信相手の通信装置１ａもしくは１ｂから同期情報を受信するものである。この送受信部５２としては、公開通信を行なう一般的なトランシーバ等が用いられる。

何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃと暗号復号化装置２０Ｃとの間の暗号通信が行なえなくなった場合には、通信装置１ａ，１ｂにそれぞれそなえられた送受信部５２，５２を用いて、通信装置１ａ，１ｂ間（送受信部５２，５２の相互間）で通信ネットワーク等（ここでは改竄の無い通信路）を介し上記出力回数が同期情報としてやり取りされるようになっている。

同期調整部５３は、上記同期ズレが生じている場合に、通信装置１ａの変調用擬似乱数発生器１１（図２２参照）による擬似乱数生成動作と通信装置１ｂの復調用擬似乱数発生器２１（図２３参照）による擬似乱数生成動作とを同期させるために、もしくは、通信装置１ｂの変調用擬似乱数発生器１１（図２２参照）による擬似乱数生成動作と通信装置１ａの復調用擬似乱数発生器２１（図２３参照）による擬似乱数生成動作とを同期させるために、不揮発性メモリ３４もしくは４４から読み出された前記出力回数に基づいて、擬似乱数発生器１１，２１からの擬似乱数の出力回数を調整するものである。

特に、第３実施形態の同期調整部５３は、送受信部５２によって復号化された、通信相手の通信装置１ａもしくは１ｂ側の復調用擬似乱数（または変調用擬似乱数）の出力回数が、不揮発性メモリ３４（または４４）から読み出された変調用擬似乱数（または復調用擬似乱数）の出力回数よりも大きい場合、暗号化装置１０Ｃの擬似乱数発生器１１からの変調用擬似乱数（または暗号復号化装置２０Ｃの擬似乱数発生器２１からの復調用擬似乱数）の出力回数を通信相手の通信装置１ａもしくは１ｂ側の復調用擬似乱数（または変調用擬似乱数）の出力回数に合わせるように調整するものである。

その際、第３実施形態の同期調整部５３は、図２２や図２３を参照しながら後述するように、暗号化装置１０Ｃの不揮発性メモリ３４または暗号復号化装置２０Ｃの不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器１１または２１に対するクロック信号の空（カラ）打ちを行なうことにより、擬似乱数発生器１１または２１からの出力回数の調整を行なうようになっている。なお、クロック信号の空打ちとは、平文の暗号化を行なうことなく擬似乱数の出力回数を調整するためだけに擬似乱数発生器１１または２１に擬似乱数生成動作を実行させるクロック信号を入力する動作のことを言う。

次に、図２２を参照しながら暗号化装置１０Ｃの構成について説明する。図２２は本発明の第３実施形態としての暗号化装置１０Ｃの構成を示すブロック図であり、この図２２に示す暗号化装置１０Ｃは、第１実施形態の暗号化装置１０と同様の変調用擬似乱数発生器１１，物理乱数発生器１２および変調部１３のほか、識別番号用ＲＯＭ（Read Only Memory）３１，暗号鍵用ＲＯＭ（Read Only Memory）３２，カウンタ３３および不揮発性メモリ３４をそなえて構成されている。

そして、本実施形態の暗号化装置１０Ｃは、擬似乱数生成用の暗号鍵や擬似乱数発生器１１からの擬似乱数ｒ_iの漏洩を抑止するとともに、物理乱数発生器１２によって生成される物理乱数ｆ_iの、物理的擾乱による確率分布変動を抑止する耐タンパ領域６０内に配置されている。ここで、第３実施形態の暗号化装置１０Ｃが配置される耐タンパ領域６０は、下記項目(11)〜(17)のごとき構造を提供するものである。なお、図２２に示す暗号化装置１０Ｃ（耐タンパ領域６０）は、例えば一つのチップ（図示略）上に構成される。

(11)チップを分解しても暗号鍵用ＲＯＭ３２の暗号鍵（即ち、擬似乱数ｒ_iの「種」）を読めない構造。例えば、ＲＯＭ３２における暗号鍵を読もうとしてチップを分解すると、ＲＯＭ３２が壊れる配線構造。
(12)チップを分解しても擬似乱数ｒ_iの信号線（擬似乱数発生器１１と変調部１３との間の信号線）をタップすることができない構造。例えば、擬似乱数ｒ_iの信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

(13)チップの外部からの物理的擾乱を加えても、物理乱数発生器１２からの物理乱数ｆ_iに確率分布の変動が生じない構造。例えば、チップ全体が冷却されたり異常な入力電圧が印加されたりしても、物理乱数ｆ_iの確率分布が変化しない物理乱数発生器の構造。あるいは、温度や入力電圧を検知して物理乱数ｆ_iの分布が偏る前にチップの動作を停止させる仕組み。

(14)識別番号用ＲＯＭ３１の識別番号を読み出すことは可能であるが改竄することができない構造。
(15)チップを分解しても物理乱数ｆ_iの信号線（物理乱数発生器１２と変調部１３との間の信号線）をタップすることができない構造。例えば、物理乱数ｆ_iの信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

(16)不揮発性メモリ３４に保持される情報（例えば、後述するごとくカウンタ３３によって計数される出力回数）を改竄することができない構造。
(17)カウンタ３３を回避して擬似乱数発生器１１に直接アクセスして擬似乱数発生器１１に任意回数目の擬似乱数ｒ_iを発生させない構造。例えば、チップを分解してもカウンタ３３と擬似乱数発生器１１との間の信号線をタップすることができない構造で、その信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

なお、図２２に示す暗号化装置１０Ｃでは、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

また、第３実施形態の変調用擬似乱数発生器１１は、変調用擬似乱数ｒ_iの生成動作のリセットおよび繰り返しを禁止するように構成されている。つまり、本実施形態において、擬似乱数発生器１１は、「擬似乱数出力のリセット（巻き戻し）は如何なる場合も不可能」に構成されている。その代わり、本実施形態では、外部から要求があると、「現在何番目の擬似乱数まで出力したか」を、後述するカウンタ３３および不揮発性メモリ３４の機能によって出力することができるようになっている。

さらに、第３実施形態の変調用擬似乱数発生器１１では、クロック信号の空打ちを行なうことにより、変調用擬似乱数ｒ_i（つまりはその出力回数）を１つずつ進めることができるほか、後述する不揮発性メモリ３４に所望の出力回数（例えばＮ）を設定することにより、変調用擬似乱数ｒ_iを、現在の出力回数よりも先の所望の出力回数（Ｎ番目）から生成・出力することができる。ただし、現在の出力回数（例えばＭ）よりも前の出力回数（Ｎ＜Ｍ）を設定して変調用擬似乱数発生器１１にその出力回数から変調用擬似乱数ｒ_iを生成させることはできないようになっている。いずれにしても、第３実施形態の変調用擬似乱数発生器１１は、「生成される変調用擬似乱数ｒ_iを先に進めることはできても、決して後戻りすることはできない仕様」になっている。

識別番号用ＲＯＭ３１は、本暗号化装置１０Ｃ固有の識別番号（ＩＤ番号）を保持するもので、外部から識別番号出力要請を行なうことにより、その識別番号がＲＯＭ３１から外部へ出力されるようになっている。この識別番号は、暗号鍵用ＲＯＭ３２に保持される暗号鍵（種）と数値的な関係は全くないものであるが、暗号鍵（種）と一対一で対応し、この識別番号により、本暗号化装置１０Ｃと同期すべき暗号復号化装置２０Ｃ、つまり本暗号化装置１０Ｃの暗号鍵用ＲＯＭ３２に保持される暗号鍵（種）と同一の暗号鍵（種）を保持している暗号復号化装置２０Ｃを特定することができるようになっている。

暗号鍵用ＲＯＭ３２は、変調用擬似乱数発生器１１で用いられる暗号鍵（種）を保持するもので、第３実施形態の変調用擬似乱数発生器１１は、ＲＯＭ３２に保持された暗号鍵（種）に基づいて変調用擬似乱数ｒ_iを生成するようになっている。
カウンタ３３は、変調用擬似乱数発生器１１に擬似乱数生成動作を実行させるべく外部から入力されるクロック信号の入力回数、つまり変調用擬似乱数発生器１１からの変調用擬似乱数ｒ_iの出力回数を計数するものである。

不揮発性メモリ（変調用擬似乱数出力回数保持部）３４は、カウンタ３３によって計数された出力回数（クロック信号の入力回数）を保持するもので、外部（暗号化装置１０Ｃ外／耐タンパ領域６０外）からの出力命令に応じて、保持している出力回数を外部（暗号化装置１０Ｃ外／耐タンパ領域６０外）へ出力する機能も有している。また、不揮発性メモリ３４には、外部（暗号化装置１０Ｃ外／耐タンパ領域６０外）から所望の出力回数（例えばＮ）が設定されるように構成されており、不揮発性メモリ３４に出力回数が設定されると、その出力回数は、さらに、この不揮発性メモリ３４からカウンタ３３に設定されるように構成されている。そして、変調用擬似乱数発生器１１は、暗号鍵用ＲＯＭ３２に保持された暗号鍵（種）に基づいて、カウンタ３３に設定された出力回数に対応するＮ番目から、変調用擬似乱数ｒ_iを生成するように構成されている。

ここで、上述のごとく、暗号鍵用ＲＯＭ３２に保持された暗号鍵（種）に基づいて、カウンタ３３に設定された出力回数に対応するＮ番目から、変調用擬似乱数ｒ_iを生成する変調用擬似乱数発生器１１としては、例えば、ＢＢＳ（Blum, Blum, and Shub）生成器が用いられる（例えば、L. Blum, M. Blum, and M. Shub, "A Simple Unpredictable Pseudo-Random Number Generator", SIAM Journal on Computing, v. 15, n.2, 1986, pp.364-383参照）。このＢＢＳ生成器では、「種」（暗号鍵）から直接Ｎ番目の変調用擬似乱数ｒ_iを計算することができる。

従って、第３実施形態において、変調用擬似乱数発生器１１は、クロック信号を入力される都度、順次、変調用擬似乱数ｒ_iを生成することできるほか、カウンタ３３（不揮発性メモリ３４）に出力回数Nを設定するだけで、そのＮ番目の変調用擬似乱数ｒ_iを、暗号鍵用ＲＯＭ３２に保持されている暗号鍵（種）から直接生成することができるようになっている。

また、第３実施形態において、変調用擬似乱数発生器１１からの変調用擬似乱数ｒ_iの出力回数（クロック信号の入力回数）は、常時、カウンタ３３によって計数されて不揮発性メモリ３４に記録されるので、本暗号化装置１０Ｃの電源が遮断されても、次回の通電時には、変調用擬似乱数発生器１１は、電源遮断時において最後に出力した擬似乱数の次の擬似乱数から出力を開始することになる。

なお、変調用擬似乱数発生器１１に対するクロック信号の空打ちや、不揮発性メモリ３４への出力回数の設定は、初期設定時等に利用者の要望によって行なわれるほか、前述したように暗号化装置１０Ｃと暗号復号化装置２０Ｃとの同期調整（擬似乱数発生器１１と２１との擬似乱数生成動作に生じた同期ズレの解消）を行なうために同期調整部５３（図２１参照）によって実行される。

上述のごとく構成された暗号化装置１０Ｃにおいて、耐タンパ領域６０の内部と外部とのインタフェースとしては、以下の項目(21)〜(28)に対応するものが必要となる。
(21)平文入力（変調部１３への入力ｘ_i）
(22)暗号文出力（変調部１３からの出力ｓ_i）
(23)装置識別番号の出力命令入力（識別番号用ＲＯＭ３１への出力命令）
(24)装置識別番号出力（(23)の出力命令に応じた識別番号用ＲＯＭ３１からの出力）
(25)クロック信号入力（カウンタ３３／変調用擬似乱数発生器１１への入力）
(26)擬似乱数の出力回数の出力命令入力（不揮発性メモリ３４への出力命令）
(27)擬似乱数の出力回数の出力（(26)の出力命令に応じた不揮発性メモリ３４からの出力）
(28)擬似乱数の出力回数の設定入力（不揮発性メモリ３４への入力）

このとき、前述した通り、項目(28)の入力インタフェースによって不揮発性メモリ３４（カウンタ３３）に設定される出力回数は、常に増加する方向にしか設定できないようになっているが、項目(28)の入力インタフェースを省略して、カウンタ３３／変調用擬似乱数発生器１１に対するクロック信号のカラ打ちを行なうことで、出力回数の設定を行なうように構成してもよい。

次に、図２３を参照しながら暗号復号化装置２０Ｃの構成について説明する。図２３は本発明の第３実施形態としての暗号復号化装置２０Ｃの構成を示すブロック図であり、この図２３に示す暗号復号化装置２０Ｃは、第１実施形態の暗号復号化装置２０と同様の復調用擬似乱数発生器２１および復調部２２のほか、識別番号用ＲＯＭ（Read Only Memory）４１，暗号鍵用ＲＯＭ（Read Only Memory）４２，カウンタ４３および不揮発性メモリ４４をそなえて構成されている。

そして、本実施形態の暗号復号化装置２０Ｃは、擬似乱数生成用の暗号鍵や擬似乱数発生器１１からの擬似乱数ｒ_iの漏洩を抑止する耐タンパ領域６０内に配置されている。ここで、第３実施形態の暗号復号化装置２０Ｃが配置される耐タンパ領域６０は、下記項目(31)〜(35)のごとき構造を提供するものである。なお、図２３に示す暗号復号化装置２０Ｃ（耐タンパ領域６０）は、例えば一つのチップ（図示略）上に構成される。

(31)チップを分解しても暗号鍵用ＲＯＭ４２の暗号鍵（即ち、擬似乱数ｒ_iの「種」）を読めない構造。例えば、ＲＯＭ４２における暗号鍵を読もうとしてチップを分解すると、ＲＯＭ４２が壊れる配線構造。
(32)チップを分解しても擬似乱数ｒ_iの信号線（擬似乱数発生器２１と復調部２２との間の信号線）をタップすることができない構造。例えば、擬似乱数ｒ_iの信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

(33)識別番号用ＲＯＭ４１の識別番号を読み出すことは可能であるが改竄することができない構造。
(34)不揮発性メモリ４４に保持される情報（例えば、後述するごとくカウンタ４３によって計数される出力回数）を改竄することができない構造。
(35)カウンタ４３を回避して擬似乱数発生器２１に直接アクセスして擬似乱数発生器２１に任意回数目の擬似乱数ｒ_iを発生させない構造。例えば、チップを分解してもカウンタ４３と擬似乱数発生器２１との間の信号線をタップすることができない構造で、その信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

なお、図２３に示す暗号復号化装置２０Ｃでは、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｃ側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

また、第３実施形態の復調用擬似乱数発生器２１も、上述した第３実施形態の変調用擬似乱数発生器１１と同様、復調用擬似乱数ｒ_iの生成動作のリセットおよび繰り返しを禁止するように構成されている。つまり、本実施形態において、擬似乱数発生器２１は、「擬似乱数出力のリセット（巻き戻し）は如何なる場合も不可能」に構成されている。その代わり、本実施形態では、外部から要求があると、「現在何番目の擬似乱数まで出力したか」を、後述するカウンタ４３および不揮発性メモリ４４の機能によって出力することができるようになっている。

さらに、第３実施形態の復調用擬似乱数発生器２１でも、クロック信号の空打ちを行なうことにより、復調用擬似乱数ｒ_i（つまりはその出力回数）を１つずつ進めることができるほか、後述する不揮発性メモリ４４に所望の出力回数（例えばＮ）を設定することにより、復調用擬似乱数ｒ_iを、現在の出力回数よりも先の所望の出力回数（Ｎ番目）から生成・出力することができる。ただし、現在の出力回数（例えばＭ）よりも前の出力回数（Ｎ＜Ｍ）を設定して復調用擬似乱数発生器２１にその出力回数から復調用擬似乱数ｒ_iを生成させることはできないようになっている。いずれにしても、第３実施形態の復調用擬似乱数発生器２１は、「生成される復調用擬似乱数ｒ_iを先に進めることはできても、決して後戻りすることはできない仕様」になっている。

識別番号用ＲＯＭ４１は、本暗号復号化装置２０Ｃ固有の識別番号（ＩＤ番号）を保持するもので、外部から識別番号出力要請を行なうことにより、その識別番号がＲＯＭ４１から外部へ出力されるようになっている。この識別番号は、暗号鍵用ＲＯＭ４２に保持される暗号鍵（種）と数値的な関係は全くないものであるが、この識別番号により、本暗号復号化装置２０Ｃと同期すべき暗号化装置１０Ｃ、つまり本暗号復号化装置２０Ｃの暗号鍵用ＲＯＭ４２に保持される暗号鍵（種）と同一の暗号鍵（種）を保持している暗号化装置１０Ｃを特定することができるようになっている。

暗号鍵用ＲＯＭ４２は、復調用擬似乱数発生器２１で用いられる暗号鍵（種）を保持するもので、第３実施形態の復調用擬似乱数発生器２１は、ＲＯＭ４２に保持された暗号鍵（種）に基づいて復調用擬似乱数ｒ_iを生成するようになっている。
カウンタ４３は、復調用擬似乱数発生器２１に擬似乱数生成動作を実行させるべく外部から入力されるクロック信号の入力回数、つまり復調用擬似乱数発生器２１からの復調用擬似乱数ｒ_iの出力回数を計数するものである。

不揮発性メモリ（復調用擬似乱数出力回数保持部）４４は、カウンタ４３によって計数された出力回数（クロック信号の入力回数）を保持するもので、外部（暗号復号化装置２０Ｃ外／耐タンパ領域６０外）からの出力命令に応じて、保持している出力回数を外部（暗号復号化装置２０Ｃ外／耐タンパ領域６０外）へ出力する機能も有している。また、不揮発性メモリ４４には、外部（暗号復号化装置２０Ｃ外／耐タンパ領域６０外）から所望の出力回数（例えばＮ）が設定されるように構成されており、不揮発性メモリ４４に出力回数が設定されると、その出力回数は、さらに、この不揮発性メモリ４４からカウンタ４３に設定されるように構成されている。そして、復調用擬似乱数発生器２１は、暗号鍵用ＲＯＭ４２に保持された暗号鍵（種）に基づいて、カウンタ４３に設定された出力回数に対応するＮ番目から、復調用擬似乱数ｒ_iを生成するように構成されている。ここで、復調用擬似乱数発生器２１としては、上述した第３実施形態の変調用擬似乱数発生器１１と同様、例えば、ＢＢＳ生成器を用いることができる。

従って、第３実施形態において、復調用擬似乱数発生器２１は、クロック信号を入力される都度、順次、復調用擬似乱数ｒ_iを生成することできるほか、カウンタ４３（不揮発性メモリ４４）に出力回数Nを設定するだけで、そのＮ番目の復調用擬似乱数ｒ_iを、暗号鍵用ＲＯＭ４２に保持されている暗号鍵（種）から直接生成することができるようになっている。

また、第３実施形態において、復調用擬似乱数発生器２１からの復調用擬似乱数ｒ_iの出力回数（クロック信号の入力回数）は、常時、カウンタ４３によって計数されて不揮発性メモリ４４に記録されるので、本暗号復号化装置２０Ｃの電源が遮断されても、次回の通電時には、復調用擬似乱数発生器２１は、電源遮断時において最後に出力した擬似乱数の次の擬似乱数から出力を開始することになる。

なお、復調用擬似乱数発生器２１に対するクロック信号の空打ちや、不揮発性メモリ４４への出力回数の設定は、初期設定時等に利用者の要望によって行なわれるほか、前述したように暗号化装置１０Ｃと暗号復号化装置２０Ｃとの同期調整（擬似乱数発生器１１と２１との擬似乱数生成動作に生じた同期ズレの解消）を行なうために同期調整部５３（図２１参照）によって実行される。

上述のごとく構成された暗号復号化装置２０Ｃにおいて、耐タンパ領域６０の内部と外部とのインタフェースとしては、以下の項目(41)〜(48)に対応するものが必要となる。
(41)暗号文入力（復調部２２への入力ｃ_i）
(42)平文出力（復調部２２からの出力ｘ_i）
(43)装置識別番号の出力命令入力（識別番号用ＲＯＭ４１への出力命令）
(44)装置識別番号出力（(43)の出力命令に応じた識別番号用ＲＯＭ４１からの出力）
(45)クロック信号入力（カウンタ４３／復調用擬似乱数発生器２１への入力）
(46)擬似乱数の出力回数の出力命令入力（不揮発性メモリ４４への出力命令）
(47)擬似乱数の出力回数の出力（(46)の出力命令に応じた不揮発性メモリ４４からの出力）
(48)擬似乱数の出力回数の設定入力（不揮発性メモリ４４への入力）

このとき、前述した通り、項目(48)の入力インタフェースによって不揮発性メモリ４４（カウンタ４３）に設定される出力回数は、常に増加する方向にしか設定できないようになっているが、項目(48)の入力インタフェースを省略して、カウンタ４３／復調用擬似乱数発生器２１に対するクロック信号のカラ打ちを行なうことで、出力回数の設定を行なうように構成してもよい。

なお、第３実施形態では、暗号化装置１０Ｃは、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第３実施形態では、暗号復号化装置２０Ｃは、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第３実施形態としての通信システム１（暗号化装置１０Ｃおよび暗号復号化装置２０Ｃ）によれば、通信装置１ａと通信装置１ｂとの相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができる。

また、第３実施形態の通信システム１では、第１実施形態や第２実施形態の暗号技術を適用することにより、上述のごとく既知平文攻撃に対し極めて高い暗号強度を確保することができるため、公開鍵暗号を使用した頻繁な暗号鍵の再配布を行なう必要が無くなり、固定の暗号鍵を通信装置１ａ，１ｂにおける暗号化装置１０Ｃおよび暗号復号化装置２０Ｃのそれぞれに埋め込んで使用することができる。さらに通信装置１ａ，１ｂにおける暗号化装置１０Ｃおよび暗号復号化装置２０Ｃのそれぞれに暗号鍵を埋め込むことにより、利用者自身に対してすらも暗号鍵を秘匿した高い秘匿性を保持した状態で、装置寿命が尽きるまで通信システム１を運用することができる。

さらに、第３実施形態の通信システム１では、暗号化装置１０Ｃおよび暗号復号化装置２０Ｃが、それぞれ、チップ上における耐タンパ領域６０に配置されて耐タンパ性が確保され、耐タンパ領域６０とその外部との入出力は上記項目(21)〜(28)および(41)〜(48)に示したものに限定されている。

これにより、上記項目(21)〜(28)および(41)〜(48)のインタフェースを通じて、擬似乱数発生器１１，２１によって生成される擬似乱数ｒ_iや、ＲＯＭ３２，４２に保持される暗号鍵を、耐タンパ領域６０外に一切読み出すことはできない。また、上記項目(11)〜(17)および上記項目(31)〜(35)の構造を提供する耐タンパ領域６０を採用することにより、チップを分解しても、ＲＯＭ３２，４２に保持される暗号鍵を読み出したり、擬似乱数ｒ_iの信号線をタップしたり、物理乱数ｆ_iの信号線をタップしたりすることが一切できず、さらに、チップの外部からの物理的擾乱（熱や電圧）を加えても、物理乱数発生器１２からの物理乱数ｆ_iの確率分布が変化しなくなる。

従って、盗聴者等が、擬似乱数ｒ_iや暗号鍵や乱数表を盗み出して暗号解読に利用することを確実に防止できる。さらには、盗聴者等が、暗号化装置１０Ｃそのものを盗み出し物理的擾乱を加えることにより物理乱数発生器１２の出力を偏らせた状態で選択平文攻撃を行なおうとしても、物理乱数発生器１２からの物理乱数ｆ_iの確率分布が変化しないため（もしくは物理的擾乱が加わると動作が停止するため）、選択平文攻撃を行なっても、物理乱数ｆ_iの揺らぎによって暗号化装置１０Ｃからの出力の解読が不可能になり（もしくは動作停止によって暗号化装置１０Ｃからの出力を得られなくなり）、暗号鍵（種）を逆算することは不可能であり、選択平文攻撃に対しても極めて高い暗号強度を確保することができる。

さらに、擬似乱数発生器１１，２１が、擬似乱数ｒ_iの生成動作のリセットおよび繰り返しを禁止するように構成され、「擬似乱数出力のリセット（巻き戻し）は如何なる場合も不可能」になっているので、盗聴者等は、暗号化装置１０Ｃや暗号復号化装置２０Ｃを盗み出しても、擬似乱数ｒ_iをリセット（巻き戻）して同じ擬似乱数列を繰り返し生成・出力させて再使用するることができない。従って、暗号鍵（種）の解読に用いられうる余計な情報を盗聴者等に与えられることがなく、盗聴者による解読、暗号鍵の逆算を確実に抑止して、暗号化装置１０Ｃへの選択平文攻撃や、暗号復号化装置２０Ｃへの選択暗号文攻撃に対しても極めて高い暗号強度を確保することができる。

なお、ここで、選択平文攻撃とは、盗聴者等が、暗号化装置１０Ｃを奪取し、その暗号化装置１０Ｃに対し、全て「０」もしくは「１」の平文を入力して得られた暗号文から暗号鍵（種）を逆算する攻撃のこと（ブラックボックステスト）である。また、選択暗号文攻撃とは、盗聴者等が、暗号復号化装置２０Ｃを奪取し、その暗号復号化装置２０Ｃに対しブラックボックステストを行なって暗号鍵（種）を逆算する攻撃のことである。

一方、第３実施形態の通信システム１では、例えば、停電などで発生した異常停止の後の復旧時などに、通信装置１ａにおける擬似乱数生成動作と通信装置１ｂにおける擬似乱数生成動作との同期をとる必要が生じると、通信装置１ａにおける送受信部５２と通信装置１ｂにおける送受信部５２とが、公開通信を相互に行ない、変調用擬似乱数ｒ_iおよび復調用擬似乱数ｒ_iの出力回数（それぞれ不揮発性メモリ３４，４４から読み出されたもの）を同期情報として交換する。

そして、通信装置１ａ，１ｂにおける擬似乱数ｒ_iの同期処理を行なう場合、各通信装置１ａ，１ｂにおける同期調整部５３が、暗号化装置１０Ｃの不揮発性メモリ３４または暗号復号化装置２０Ｃの不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器１１または２１に対するクロック信号の空打ちを行なうことにより、出力回数値の小さい方の出力回数を増加させ、暗号化装置１０Ｃにおける擬似乱数発生器１１の出力回数と暗号復号化装置２０Ｃにおける擬似乱数発生器２１の出力回数とを一致させ、暗号化装置１０Ｃにおける擬似乱数発生器１１の擬似乱数生成動作と暗号復号化装置２０Ｃにおける擬似乱数発生器２１の擬似乱数生成動作とを同期させる。

〔１０〕第４実施形態の暗号化／暗号復号化技術
第４実施形態の通信システム１Ａも、第３実施形態の通信システム１と同様、図２１に示すごとく、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ，１ｂをそなえて構成されている。前述した通り、第４実施形態の通信システム１Ａでは、２つの通信装置１ａ，１ｂの相互間が、改竄の無い通信路（信号線路）を介して通信可能に接続され、その通信路を介して２つの通信装置１ａ，１ｂが公開通信によって同期処理を行なう場合について説明する。

第４実施形態の通信装置１ａ，１ｂはいずれも同一の構成を有しており、第４実施形態の通信システム１Ａにおいて、通信装置１ａは、第１もしくは第２実施形態により上述した手法で通信装置１ｂへ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄと、第１もしくは第２実施形態により上述した手法で通信装置１ｂから受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄと、前述した送受信部５２および同期調整部５３とをそなえて構成されるとともに、通信装置１ｂは、第１もしくは第２実施形態により上述した手法で通信装置１ａへ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄと、第１もしくは第２実施形態により上述した手法で通信装置１ａから受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄと、前述した送受信部５２および同期調整部５３とをそなえて構成されている。なお、暗号化装置１０Ｄの構成については図２４を参照しながら後述し、暗号復号化装置２０Ｄの構成については図２５を参照しながら後述する。

ただし、図２４および図２５を参照しながら後述するごとく、第４実施形態の暗号化装置１０Ｄは、変調部１３によって得られた符号化信号（ｓ_i）を送信先通信装置１ａまたは１ｂに複数のパケットとして送信するように構成されるとともに、第４実施形態の暗号復号化装置２０Ｄは、送信元通信装置１ａまたは１ｂの暗号化装置１０Ｄから受信した各パケットにおける符号化信号（ｓ_i）を入力データ（平文ｘ_i）に復調するように構成されている。

特に、第４実施形態の通信システム１Ａ（暗号化装置１０Ｄおよび暗号復号化装置２０Ｄ）は、ＩＰ（Internet Protocol）網のように、パケットの到着順序が入れ替わったり消失したりし得る通信路を用いた通信を対象とし、個々のパケットが正規送信者からの送信されたものであるか否かを認識する必要があるシステム（具体的にはＩＰ電話の通信システム）を対象としている。

また、第４実施形態の通信システム１Ａにおいても、通信装置１ａにおける暗号化装置１０Ｄと通信装置１ｂにおける暗号復号化装置２０Ｄとが対になっており、これらの装置１０Ｄ，２０Ｄにおける擬似乱数発生器１１，２１（図２４，図２５参照）は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂにおける暗号化装置１０Ｄと通信装置１ａにおける暗号復号化装置２０Ｄとが対になっており、これらの装置１０Ｄ，２０Ｄにおける擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａから通信装置１ｂへの送信データは、暗号化装置１０Ｄによって上述した暗号化手順で暗号化され暗号文として通信装置１ｂへ送信され、通信装置１ｂ側では、通信装置１ａから受信した暗号文が、暗号復号化装置２０Ｄによって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂから通信装置１ａへの送信データは、暗号化装置１０Ｄによって上述した暗号化手順で暗号化され暗号文として通信装置１ａへ送信され、通信装置１ａ側では、通信装置１ｂから受信した暗号文が、暗号復号化装置２０Ｄによって上述した暗号復号化手順で平文に暗号復号化される。なお、第４実施形態の通信システム１Ａにおいて、送受信部５２および同期調整部５３は、第３実施形態において説明したものと同様のものであるので、その説明は省略する。

次に、図２４を参照しながら暗号化装置１０Ｄの構成について説明する。図２４は本発明の第４実施形態としての暗号化装置１０Ｄの構成を示すブロック図であり、この図２４に示す暗号化装置１０Ｄは、第３実施形態の暗号化装置１０Ｃと同様の変調用擬似乱数発生器１１，物理乱数発生器１２，変調部１３，識別番号用ＲＯＭ３１，暗号鍵用ＲＯＭ３２，カウンタ３３および不揮発性メモリ３４のほか、組込み部３５およびパケット化部３６をそなえて構成されている。

そして、本実施形態の暗号化装置１０Ｄも、第３実施形態の暗号化装置１０Ｃと同様、チップ（図示略）において、耐タンパ領域６０（上記項目(11)〜(17)のごとき構造を提供するもの）内に配置されている。ただし、パケット化部３６は、耐タンパ領域６０外に配置されていてもよい。なお、図２４中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示しているので、その説明は省略する。

また、図２４に示す暗号化装置１０Ｄでは、第３実施形態と同様、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

組込み部３５は、入力データｘ_iを、後述するパケット化部３６によってパケットのコンテナ部として取り扱われるパケット単位〔図２６（B）に示すごとくパケットのコンテナ部に格納される、一定量のデータ単位〕に分割し、そのパケット単位毎に、そのパケット単位の最初のデータｘ_iを変調部１３で変調する際に用いられる変調用擬似乱数ｒ_iの、擬似乱数発生器１１からの出力回数（何番目の擬似乱数であるかを示す数値）を、カウンタ３３（不揮発性メモリ３４）によって計数された現在の計数値に基づいて求め、求められた出力回数を、当該パケット単位（一定量の入力データ内）に組み込むとともに、擬似乱数発生器１１からの所定擬似乱数列を、当該パケット単位について固有の認証コードとして当該パケット単位（一定量の入力データ内）に組み込むものである。これにより、暗号化装置１０Ｄから暗号復号化装置２０Ｄに送信される各パケットのコンテナ部における符号化信号には、出力回数および認証コードが含まれることになる。

その際、組込み部３５は、出力回数や認証コードのパケット単位における格納位置（組込み／埋め込み位置；つまり各パケットのコンテナ部における格納位置）を、擬似乱数発生器１１からの擬似乱数に基づいて決定し、図２６（A）に示すごとく、決定された位置に出力回数や認証コードが配置されるように、出力回数や認証コードを組み込むようになっている。つまり、本実施形態では、出力回数や認証コードの組込み位置／埋め込み位置は、擬似乱数発生器１１からの擬似乱数によってスクランブルされる。

パケット化部３６は、図２６（Ｂ）に示すごとく、組込み部３５で分割され変調部１３で変調されたパケット単位を、コンテナ部に格納するとともに、変調・暗号化されていないヘッダ部を作成してコンテナ部に付与することにより、パケットを作成し（変調結果のパケット化を行ない）、通信相手（送信先）の通信装置１ａまたは１ｂに送信するものである。その際、パケット化部３６は、図２６（Ｂ）に示すごとく、各パケット単位に組み込んだ出力回数と同じものを、変調することなく生のまま上記ヘッダ部に記述するようになっている。なお、パケット化部３６は、必要に応じて、暗号化装置１０Ｄで用いられる暗号鍵の識別番号（ＩＤ番号；ＲＯＭ３１に保持されている装置識別番号）を、変調することなく生のまま上記ヘッダ部に記述してもよい。

なお、図２６（Ａ）は、第４実施形態において、組込み部３５によって行なわれる、認証コードおよび出力回数の入力データ（平文）への組込み例を示す図、図２６（Ｂ）は、図２６（Ａ）に示す入力データ（平文）を、後述するパケット化部３６によりパケット化した例を示す図である。また、出力回数に代えて、パケットの送信順序を示す通し番号をパケット単位に組み込むようにしてもよい。さらに、暗号化装置１０Ｄにおいても、耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(21)〜(28)に対応するものがそなえられている。

次に、図２５を参照しながら暗号復号化装置２０Ｄの構成について説明する。図２５は本発明の第４実施形態としての暗号復号化装置２０Ｄの構成を示すブロック図であり、この図２５に示す暗号復号化装置２０Ｄは、第３実施形態の暗号復号化装置２０Ｃと同様の復調用擬似乱数発生器２１，復調部２２，識別番号用ＲＯＭ４１，暗号鍵用ＲＯＭ４２，カウンタ４３および不揮発性メモリ４４のほか、ＦＩＦＯメモリ４５，並べ替え部４６，取出し部４７，比較部（第１比較部，第２比較部）４８，パケット消失判断部４９，パケット破棄部５０および出力回数調整部５４をそなえて構成されている。

そして、本実施形態の暗号復号化装置２０Ｄも、第３実施形態の暗号復号化装置２０Ｃと同様、チップ（図示略）において、耐タンパ領域６０（上記項目(31)〜(35)のごとき構造を提供するもの）内に配置されている。なお、図２５中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示しているので、その説明は省略する。
また、図２５に示す暗号復号化装置２０Ｄでは、第３実施形態と同様、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｄ側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

ＦＩＦＯ（First In First Out）メモリ４５は、十分長い受信メモリであって、通信相手（送信元）の通信装置１ａまたは１ｂの暗号化装置１０Ｄから受信した複数のパケットを保持するパケット保持部として機能するものである。
並べ替え部４６は、ＦＩＦＯメモリ４５に保持された前記複数のパケットを、ＦＩＦＯメモリ４５において、各パケットのヘッダ部に記述された出力回数（または通し番号）に従う順序に並べ替え、その出力回数に応じた順序でパケットのコンテナ部における符号化信号をＦＩＦＯメモリ４５から復調部２２に入力させるものである。

取出し部４７は、復調用擬似乱数発生器２１によって生成された復調用擬似乱数（組込み部３５による組込み時に用いられた変調用擬似乱数と同じもの）に基づいて、復調部２２による復調結果から、組込み部３５によって組み込まれた出力回数および認証コードを取り出し、これらの出力回数および認証コードを取り出した後の復調結果を正式な復調結果として暗号復号化装置２０Ｄの外部へ出力するものである。

比較部（第１比較部，第２比較部）４８は、各パケットのヘッダ部に記述された出力回数と復調部１３による復調結果から取出し部４７によって取り出された出力回数とを比較するとともに、復調部１３による復調結果から取出し部４７によって取り出された認証コードと、復調用擬似乱数発生器２１によって生成された、当該認証コードに対応する復調用擬似乱数列とを比較するものである。

パケット消失判断部４９は、暗号化装置１０Ｄから複数のパケットのうちの一つを受信した後に、そのパケットのヘッダ部に記述された出力回数（または通し番号）に従って次に受信すべきパケットが所定時間以内に受信されない場合、当該パケットが消失したものと判断するものである。
パケット破棄部５０は、比較部４８による比較の結果、出力回数（または通し番号）が不一致であった場合や認証コードが不一致であった場合、当該パケットを破棄するものである。

出力回数調整部５４は、パケット破棄部５０によってパケットを破棄した場合、もしくは、パケット消失判断部４９によってパケットが消失したものと判断された場合、復調用擬似乱数発生器２１から復調部２２に出力される復調用擬似乱数ｒ_iの出力回数を、破棄されたパケットもしくは消失したと判断されたパケットの次に正常に受信されたパケットについての出力回数（そのパケットのコンテナ部に含まれるパケット単位の最初のデータｘ_iを変調する際に用いられる変調用擬似乱数ｒ_iの出力回数）に合わせるように調整するものである。その際、出力回数調整部５４は、第３実施形態の同期調整部５３と同様、暗号復号化装置２０Ｄの不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器２１に対するクロック信号の空打ちを行なうことにより、擬似乱数発生器２１からの出力回数の調整を行なうようになっている。

なお、暗号復号化装置２０Ｄにおいても、耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(41)〜(48)に対応するものがそなえられている。
また、第４実施形態では、ＦＩＦＯメモリ４５，並べ替え部４６，パケット消失判断部４９，パケット破棄部５０および出力回数調整部５４を耐タンパ領域６０内に配置しているが、これらの各部は、擬似乱数を直接利用するものではないので、耐タンパ領域６０外に配置してもよい。

さらに、第４実施形態では、暗号化装置１０Ｄは、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第４実施形態では、暗号復号化装置２０Ｄは、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第４実施形態としての通信システム１Ａ（暗号化装置１０Ｄおよび暗号復号化装置２０Ｄ）によれば、通信装置１ａと通信装置１ｂとの相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができるほか、第３実施形態の通信システム１（暗号化装置１０Ｃおよび暗号復号化装置２０Ｃ）と同様の作用効果を得ることもできる。

また、第４実施形態の通信システム１Ａの各通信装置１ａ，１ｂにおいても、暗号化装置１０Ｄおよび暗号復号化装置２０Ｄが、それぞれ、耐タンパ領域６０内に配置されているので、擬似乱数発生器１１，２１と変調部１３や復調部２２との間の信号線だけでなく、擬似乱数発生器１１，２１と各構成要素との間の信号線からもタップすることができないようになっているので、第３実施形態と同様、チップを分解しても、ＲＯＭ３２，４２に保持される暗号鍵を読み出したり、擬似乱数ｒ_iの信号線をタップしたり、物理乱数ｆ_iの信号線をタップしたりすることが一切できず、さらに、チップの外部からの物理的擾乱を加えても、物理乱数発生器１２からの物理乱数ｆ_iの確率分布が変化しなくなる。従って、第４実施形態の通信システム１Ａにおいても、第３実施形態の通信システム１と同様の作用効果を得ることができる。

ところで、通信装置１ａ，１ｂ間でパケット通信を行なう場合、パケットの順序の入れ替えが生じると変調用擬似乱数と復調用擬似乱数との対応が取れなくなり、暗号復号化装置２０Ｄにおいて、順序の入れ替わったパケットにおける暗号文（符号化信号）を正しく復調できず、文字化け等が生じてしまうことがある。
そこで、第４実施形態の通信システム１Ａでは、暗号復号化装置２０Ｄ側においてパケットの到着順序入れ替わった否かを認識するために、パケットのヘッダ部には、変調・暗号化されていない生の出力回数（または通し番号）が記述されている。

これにより、複数のパケットが送信中に入れ替わって通信装置１ａまたは１ｂにおいて送信時とは異なる順序で受信されても、並べ替え部４６が、ＦＩＦＯメモリ４５における各パケットのヘッダ部に記述された出力回数（通し番号）を参照し、ＦＩＦＯメモリ４５においてパケットの保持順序を入れ替えることで、パケット受信後に正しい順序に入れ替えることができる。つまり、各パケットのヘッダ部に記述された出力回数（通し番号）を参照してパケットを正しい順序に並べてから復調部２２に送り込むことができる。従って、第４実施形態の通信システム１Ａでは、通信装置１ａ，１ｂ間でパケット通信を行ない通信中にパケット順序の入れ替えが生じた場合でも、受信側でパケットを正しい順序に並べ替えることができるので、変調用擬似乱数と復調用擬似乱数との対応関係を常に保持しながら暗号文（符号化信号）を正しく復調することが可能になる。

また、第４実施形態の通信システム１Ａでは、各パケットのコンテナ部に保持される符号化信号（暗号文）内にも、擬似乱数ｒ_iの出力回数（または通し番号）が埋め込まれており、暗号復号化装置２０Ｄ側において、取出し部４７によってコンテナ部から取り出された出力回数とヘッダ部に記述された出力回数とを比較部４８により比較し、これらの出力回数が不一致の場合、パケットの改竄もしくは通信路の雑音でビットが反転したことになるので、そのパケットをパケット破棄部５０によって破棄する。

さらに、第４実施形態の通信システム１Ａでは、暗号復号化装置２０Ｄ側においてパケットが正規送信者から送信されてきたものであるか否かを認識するために、暗号化されたパケット内部（コンテナ部の暗号文）には、認証コード（変調用擬似乱数発生器１１によって生成された擬似乱数列）が埋め込まれており、暗号復号化装置２０Ｄ側において、取出し部４７によってコンテナ部から取り出された認証コードと、復調用擬似乱数発生器２１によって生成された、当該認証コードに対応する復調用擬似乱数列とを比較部４８により比較し、これらの認証コードが不一致の場合も、パケットの改竄もしくは通信路の雑音でビットが反転したことになるので、そのパケットをパケット破棄部５０によって破棄する。なお、このような破棄を行なった後に、認証コードが一致する正規送信者からのパケットが届いたとしても、そのパケットはパケット破棄部５０によって破棄される。

またさらに、第４実施形態の通信システム１Ａでは、パケット消失判断部４９により、ＦＩＦＯメモリ４５に保持されているパケットのヘッダ部（出力回数／通し番号）が監視され、受信すべきパケットが所定時間以内に受信されない場合、そのパケットが消失したものと判断される。
そして、上述のようにパケット破棄部５０によってパケットが破棄された場合やパケット消失判断部４９によってパケットが消失したものと判断された場合、出力回数調整部５４が、暗号復号化装置２０Ｄの不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器２１に対するクロック信号の空打ちを行なうことにより、復調用擬似乱数発生器２１から復調部２２に出力される復調用擬似乱数ｒ_iの出力回数が、破棄されたパケットもしくは消失したと判断されたパケットの次に正常に受信されたパケットについての出力回数となるように調整される。これにより、パケットを破棄したり消失パケットが発生したりしても、変調用擬似乱数と復調用擬似乱数との対応関係を常に保持しながら暗号文（符号化信号）を正しく復調することが可能になる。

また、第４実施形態の通信システム１Ａでは、各パケットのコンテナ部内に、擬似乱数の出力回数，認証コードおよび通信文（入力データ）が格納されることになるが、これらの格納位置が固定されていると、盗聴者等によってその格納位置が推定され、擬似乱数の出力回数および認証コードの部分をコピーして通信文を入れ替えた偽造パケットが作成され、盗聴者等による成りすまし行為が可能になってしまう。これを防止すべく、第４実施形態の通信システム１Ａでは、組込み部３５により、出力回数や認証コードを埋め込む際に、その埋め込み位置を、図２６（Ａ）や図２６（Ｂ）に示すごとく、擬似乱数発生器１１からの擬似乱数によってスクランブルしている。これにより、盗聴者等が上述のような成りすまし行為を行なうことは不可能になる。

なお、本実施形態では、組込み部３５により、変調部１３によって変調を行なう前の入力データに対し、出力回数および認証コードを、擬似乱数によってスクランブルさせて埋め込み、出力回数および認証コードに対しても変調を施しているが、変調部１３によって変調された後の暗号文（パケット単位）に対し、変調部１３による変調を施されていない出力回数および認証コードを、擬似乱数によってスクランブルさせて埋め込んでもよい。この場合、暗号化装置１０Ｄにおいて、組込み部３５は、変調部１３とパケット化部３６との間に設けられ、出力回数および認証コードを埋め込まれた暗号文をパケット化する一方、暗号復号化装置２０Ｄにおいて、取出し部４７は、ＦＩＦＯメモリ４５と復調部２２との間に設けられ、出力回数および認証コードを取り出した後のパケット内暗号文を復調部２２に入力することになる。このような構成によっても、上述した実施形態と同様の作用効果を得ることができる。

〔１１〕第５実施形態の暗号化／暗号復号化技術
図２７は、本発明の第５および第６実施形態としての暗号化／暗号復号化技術を適用された通信システム１'，１Ａ'の全体構成を示すブロック図であり、この図２７に示す第３実施形態の通信システム１は、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ'，１ｂ'をそなえて構成されている。この第５実施形態の通信システム１'および後述する第６実施形態の通信システム１Ａ'では、２つの通信装置１ａ'，１ｂ'の相互間が、改竄の有り得る通信路（信号線路）を介して通信可能に接続され、その通信路を介して２つの通信装置１ａ'，１ｂ'が、後述するバーナム暗号通信によって同期処理を行なう場合について説明する。

これらの通信装置１ａ'，１ｂ'はいずれも同一の構成を有しており、通信装置１ａ'は、第１もしくは第２実施形態により上述した手法で通信装置１ｂ'へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃ'と、第１もしくは第２実施形態により上述した手法で通信装置１ｂ'から受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃ'と、後述する不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３とをそなえて構成されるとともに、通信装置１ｂ'は、第１もしくは第２実施形態により上述した手法で通信装置１ａ'へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃ'と、第１もしくは第２実施形態により上述した手法で通信装置１ａ'から受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃ'と、後述する不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３とをそなえて構成されている。なお、暗号化装置１０Ｃ'の構成については図２８を参照しながら後述し、暗号復号化装置２０Ｃ'の構成については図２９を参照しながら後述する。

また、図２７に示す通信システム１'では、通信装置１ａ'における暗号化装置１０Ｃ'と通信装置１ｂ'における暗号復号化装置２０Ｃ'とが対になっており、これらの装置１０Ｃ'，２０Ｃ'における擬似乱数発生器１１，２１（図２８，図２９参照）は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂ'における暗号化装置１０Ｃ'と通信装置１ａ'における暗号復号化装置２０Ｃ'とが対になっており、これらの装置１０Ｃ'，２０Ｃ'における擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａ'から通信装置１ｂ'への送信データは、暗号化装置１０Ｃ'によって上述した暗号化手順で暗号化され暗号文として通信装置１ｂ'へ送信され、通信装置１ｂ'側では、通信装置１ａ'から受信した暗号文が、暗号復号化装置２０Ｃ'によって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂ'から通信装置１ａ'への送信データは、暗号化装置１０Ｃ'によって上述した暗号化手順で暗号化され暗号文として通信装置１ａ'へ送信され、通信装置１ａ'側では、通信装置１ｂ'から受信した暗号文が、暗号復号化装置２０Ｃ'によって上述した暗号復号化手順で平文に暗号復号化される。

ここで、不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３は、何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃ'と暗号復号化装置２０Ｃ'との間の暗号通信が行なえなくなった場合に用いられるものである。
不揮発性メモリ（乱数表保持部）５１は、後述する送受信部５２Ａによる暗号化／暗号復号化に用いられる乱数表を保持するものである。通信装置１ａ'，１ｂ'の不揮発性メモリ５１，５１には、暗号化装置１０Ｃ'と暗号復号化装置２０Ｃ'との間の暗号通信が正常に行なわれている際に、暗号化データのやり取りが行なわれている合間をぬって上記乱数表の乱数列を暗号通信によってやり取りすることで、同一の乱数表が蓄積されて保持される。

送受信部（暗号送信部／復号受信部）５２Ａは、不揮発性メモリ３４（図２８参照）または不揮発性メモリ４４（図２９参照）から読み出された変調用擬似乱数または復調用擬似乱数の出力回数を、不揮発性メモリ５１に保持された乱数表に基づいて暗号化し暗号化同期情報として通信相手の通信装置１ａ'もしくは１ｂ'に送信するとともに、通信相手の通信装置１ａ'もしくは１ｂ'から受信した暗号化同期情報を、不揮発性メモリ５１に保持された乱数表に基づいて変調用擬似乱数または復調用擬似乱数の出力回数に復号化するものである。この送受信部５２Ａによる暗号化方式としては、例えばバーナム暗号（Vernam cipher）が採用される。バーナム暗号は、平文の長さ以上の長さを持つ乱数を暗号鍵として用い、平文（ここでは出力回数）と暗号鍵との排他的論理和（ＸＯＲ）を暗号文として算出する暗号方式である。

何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃ'と暗号復号化装置２０Ｃ'との間の暗号通信が行なえなくなった場合には、通信装置１ａ'，１ｂ'にそれぞれそなえられた送受信部５２Ａ，５２Ａを用いて、不揮発性メモリ５１，５１にそれぞれ保持された同一の乱数表に従い、暗号化／暗号復号化動作を同期させて行なうことにより、通信装置１ａ'，１ｂ'間（送受信部５２Ａ，５２Ａの相互間）で通信ネットワーク等（盗聴だけでなく改竄が有り得る信号線路）を介し上記出力回数が暗号化同期情報としてやり取りされるようになっている。

同期調整部５３は、第３および第４実施形態において説明したものと同様のものであるので、その詳細な説明は省略するが、第５実施形態の同期調整部５３も、上記同期ズレが生じている場合に、通信装置１ａ'の変調用擬似乱数発生器１１（図２８参照）による擬似乱数生成動作と通信装置１ｂ'の復調用擬似乱数発生器２１（図２９参照）による擬似乱数生成動作とを同期させるために、もしくは、通信装置１ｂ'の変調用擬似乱数発生器１１（図２８参照）による擬似乱数生成動作と通信装置１ａ'の復調用擬似乱数発生器２１（図２９参照）による擬似乱数生成動作とを同期させるために、不揮発性メモリ３４もしくは４４から読み出された前記出力回数に基づいて、擬似乱数発生器１１，２１からの擬似乱数の出力回数を調整するものである。

そして、第５実施形態の通信装置１ａ'，１ｂ'において、上述した暗号化装置１０Ｃ'，暗号復号化装置２０Ｃ'，不揮発性メモリ５１および送受信部５２Ａは、擬似乱数生成用の暗号鍵や擬似乱数発生器１１，２１からの擬似乱数ｒ_iの漏洩を抑止するとともに、物理乱数発生器１２（図２８参照）によって生成される物理乱数ｆ_iの、物理的擾乱による確率分布変動を抑止する耐タンパ領域６０内に配置されている。具体的に、第５実施形態の耐タンパ領域６０は、下記項目(51)〜(59)のごとき構造を提供するものである。なお、図２７に示す各通信装置１ａ'，１ｂ'は、例えば一つのチップ上に構成され、このチップ上に耐タンパ領域６０が設けられる。

(51)チップを分解しても暗号鍵用ＲＯＭ３２，４２（図２８，図２９参照）の暗号鍵（即ち、擬似乱数ｒ_iの「種」）を読めない構造。例えば、ＲＯＭ３２，４２における暗号鍵を読もうとしてチップを分解すると、ＲＯＭ３２，４２が壊れる配線構造。
(52)チップを分解しても擬似乱数ｒ_iの信号線（擬似乱数発生器１１と変調部１３との間の信号線や擬似乱数発生器２１と復調部２２との間の信号線；図２８，図２９参照）をタップすることができない構造。例えば、擬似乱数ｒ_iの信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

(53)チップの外部からの物理的擾乱を加えても、物理乱数発生器１２からの物理乱数ｆ_iに確率分布の変動が生じない構造。例えば、チップ全体が冷却されたり異常な入力電圧が印加されたりしても、物理乱数ｆ_iの確率分布が変化しない物理乱数発生器の構造。あるいは、温度や入力電圧を検知して物理乱数ｆ_iの分布が偏る前にチップの動作を停止させる仕組み。

(54)チップを分解しても不揮発性メモリ５１の乱数表を読めない構造。例えば、不揮発性メモリ５１における乱数表を読もうとしてチップを分解すると、不揮発性メモリ５１が壊れる配線構造。
(55)チップを分解しても不揮発性メモリ５１と送受信部５２Ａとの間の信号線をタップすることができない構造。例えば、不揮発性メモリ５１における乱数表を読もうとしてチップを分解すると、不揮発性メモリ５１が壊れる配線構造。

(56)識別番号用ＲＯＭ３１，４１（図２８，図２９参照）の識別番号を読み出すことは可能であるが改竄することができない構造。
(57)チップを分解しても物理乱数ｆ_iの信号線（物理乱数発生器１２と変調部１３との間の信号線；図２８参照）をタップすることができない構造。例えば、物理乱数ｆ_iの信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

(58)不揮発性メモリ３４，４４（図２８，図２９参照）に保持される情報〔例えば、後述するカウンタ３３，４３（図２８，図２９参照）によって計数される出力回数〕を改竄することができない構造。
(59)カウンタ３３，４３（図２８，図２９参照）を回避して擬似乱数発生器１１，２１に直接アクセスして擬似乱数発生器１１，２１に任意回数目の擬似乱数ｒ_iを発生させない構造。例えば、チップを分解してもカウンタ３３と擬似乱数発生器１１との間の信号線（図２８参照）やカウンタ４３と擬似乱数発生器２１との間の信号線（図２９参照）をタップすることができない構造で、その信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

次に、図２８を参照しながら暗号化装置１０Ｃ'の構成について説明する。図２８は本発明の第５実施形態としての暗号化装置１０Ｃ'の構成を示すブロック図で、図２８中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図２８に示すように、第５実施形態の暗号化装置１０Ｃ'は、図２２に示した第３実施形態の暗号化装置１０Ｃが単体で耐タンパ領域６０内に配置されている点以外は、第３実施形態の暗号化装置１０Ｃと全く同じ構成を有しているので、その説明は省略する。第５実施形態の暗号化装置１０Ｃ'は、図２７を参照しながら説明した通り、通信装置１ａ'，１ｂ'において暗号復号化装置２０Ｃ'，不揮発性メモリ５１および送受信部５２Ａとともに耐タンパ領域６０内に配置されている。

なお、図２８に示す暗号化装置１０Ｃ'でも、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、暗号化装置１０Ｃ'についても、耐タンパ領域６０の内部と外部とのインタフェースとして、上記項目(21)〜(28)に対応するものが必要となる。

次に、図２９を参照しながら暗号復号化装置２０Ｃ'の構成について説明する。図２９は本発明の第５実施形態としての暗号復号化装置２０Ｃ'の構成を示すブロック図で、図２９中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図２９に示すように、第５実施形態の暗号復号化装置２０Ｃ'は、図２３に示した第３実施形態の暗号復号化装置２０Ｃが単体で耐タンパ領域６０内に配置されている点以外は、第３実施形態の暗号復号化装置２０Ｃと全く同じ構成を有しているので、その説明は省略する。第５実施形態の暗号復号化装置２０Ｃ'は、図２７を参照しながら説明した通り、通信装置１ａ'，１ｂ'において暗号化装置１０Ｃ'，不揮発性メモリ５１および送受信部５２Ａとともに耐タンパ領域６０内に配置されている。

なお、図２９に示す暗号復号化装置２０Ｃ'でも、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｃ'側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、暗号復号化装置２０Ｃ'についても、耐タンパ領域６０の内部と外部とのインタフェースとして、上記項目(41)〜(48)に対応するものが必要となる。

また、第５実施形態では、暗号化装置１０Ｃ'は、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第５実施形態では、暗号復号化装置２０Ｃ'は、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第５実施形態としての通信システム１'（暗号化装置１０Ｃ'および暗号復号化装置２０Ｃ'）によれば、通信装置１ａ'と通信装置１ｂ'との相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができるほか、第３実施形態の通信システム１（暗号化装置１０Ｃおよび暗号復号化装置２０Ｃ）と同様の作用効果を得ることもできる。

また、第５実施形態の通信システム１'の各通信装置１ａ'，１ｂ'においては、暗号化装置１０Ｃ'，暗号復号化装置２０Ｃ'，不揮発性メモリ５１および送受信部５２Ａを一つにまとめた全体が、チップ上において、上記項目(51)〜(59)の構造を提供する一の耐タンパ領域６０内に配置されて耐タンパ性が確保され、耐タンパ領域６０とその外部との入出力は上記項目(21)〜(28)および(41)〜(48)に示したものに限定されている。

これにより、上記項目(21)〜(28)および(41)〜(48)のインタフェースを通じて、擬似乱数発生器１１，２１によって生成される擬似乱数ｒ_iや、ＲＯＭ３２，４２に保持される暗号鍵や、不揮発性メモリ５１に保持される乱数表を、耐タンパ領域６０外に一切読み出すことはできない。また、上記項目(51)〜(59)の構造を提供する耐タンパ領域６０を採用することにより、チップを分解しても、ＲＯＭ３２，４２に保持される暗号鍵を読み出したり、擬似乱数ｒ_iの信号線をタップしたり、物理乱数ｆ_iの信号線をタップしたり、不揮発性メモリ５１に保持される乱数表を読み出したり、乱数表の乱数列の信号線をタップしたりすることが一切できず、さらに、チップの外部からの物理的擾乱（熱や電圧）を加えても、物理乱数発生器１２からの物理乱数ｆ_iの確率分布が変化しなくなる。従って、第５実施形態の通信システム１'においても、第３実施形態の通信システム１と同様の作用効果を得ることができる。

一方、第５実施形態の通信システム１'では、暗号通信を行なっている通信装置１ａ'，１ｂ'どうしは、その暗号通信の合間に乱数表の共有を行なっておき、各通信装置１ａ'，１ｂ'の不揮発性メモリ５１に共通の乱数表を蓄積しておく。そして、例えば、停電などで発生した異常停止の後の復旧時などに、通信装置１ａ'における擬似乱数生成動作と通信装置１ｂ'における擬似乱数生成動作との同期をとる必要が生じると、通信装置１ａ'における送受信部５２Ａと通信装置１ｂ'における送受信部５２Ａとが、不揮発性メモリ５１に保持された乱数表を用いたバーナム暗号による暗号通信を相互に行ない、変調用擬似乱数ｒ_iおよび復調用擬似乱数ｒ_iの出力回数（それぞれ不揮発性メモリ３４，４４から読み出されたもの）を同期情報として交換する。

そして、通信装置１ａ'，１ｂ'における擬似乱数ｒ_iの同期処理を行なう場合、各通信装置１ａ'，１ｂ'における同期調整部５３が、暗号化装置１０Ｃ'の不揮発性メモリ３４または暗号復号化装置２０Ｃ'の不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器１１または２１に対するクロック信号の空打ちを行なうことにより、出力回数値の小さい方の出力回数を増加させ、暗号化装置１０Ｃ'における擬似乱数発生器１１の出力回数と暗号復号化装置２０Ｃ'における擬似乱数発生器２１の出力回数とを一致させ、暗号化装置１０Ｃ'における擬似乱数発生器１１の擬似乱数生成動作と暗号復号化装置２０Ｃ'における擬似乱数発生器２１の擬似乱数生成動作とを同期させる。

なお、同期調整部５３が、擬似乱数発生器１１または２１に対するクロック信号の空打ちを行なう場合、擬似乱数ｒ_iの種（暗号鍵）が例えば１００ビットとすると、出力回数の情報も１００ビットになるが、出力回数が２¹⁰⁰回のオーダに達していることはまず有り得ない。つまり、同期情報（出力回数）は１００ビットの下の桁に偏っていることが予想される。盗聴者等に余計な情報を与えないためには、このような偏りを無くすことが望ましい。そこで、同期情報（出力回数）を１００ビットの情報として出力する際には、出力回数を格納するビットスロットの位置の入れ替えを、通信装置１ａ'，１ｂ'で共有している乱数表（不揮発性メモリ５１）に基づいて行なうことがより好ましい。

ところで、通信装置１ａ'，１ｂ'の相互間が、盗聴だけでなく改竄がありうる通信路（信号線路）を介して通信可能に接続されている際に、擬似乱数ｒ_iの同期を、上述のように「暗号化装置１０Ｃ'と暗号復号化装置２０Ｃ'とが互いに自装置における擬似乱数ｒ_iの出力回数を公開し、出力回数の値の小さい側が大きい側に合わせる」という手順で行なう場合、出力回数（同期情報）を暗号化することなく生のまま上記信号線路を通じて送受信すると、盗聴者等による改竄行為により、その出力回数が巨大な数（例えば２¹⁰⁰など）に改竄されてしまうおそれがある。

このような改竄が行なわれると、暗号化装置１０Ｃ'もしくは暗号復号化装置２０Ｃ'において同期調整のためのクロック信号のカラ打ちが止まらなくなり、暗号化装置１０Ｃ'もしくは暗号復号化装置２０Ｃ'が使用できなくなるおそれがある。この脆弱性に対処すべく、本実施形態では、出力回数（同期情報）が、送受信部５２Ａによってバーナム暗号化されて送受信されるため、盗聴者等によって改竄されることがなくなり、上述のような改竄による脆弱性を解消することもできる。

〔１２〕第６実施形態の暗号化／暗号復号化技術
第６実施形態の通信システム１Ａ'も、第５実施形態の通信システム１'と同様、図２７に示すごとく、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ'，１ｂ'をそなえて構成されている。前述した通り、第６実施形態の通信システム１Ａ'では、２つの通信装置１ａ'，１ｂ'の相互間が、改竄の有り得る通信路（信号線路）を介して通信可能に接続され、その通信路を介して２つの通信装置１ａ'，１ｂ'が、後述するバーナム暗号通信によって同期処理を行なう場合について説明する。

第６実施形態の通信装置１ａ'，１ｂ'はいずれも同一の構成を有しており、第６実施形態の通信システム１Ａ'において、通信装置１ａ'は、第１もしくは第２実施形態により上述した手法で通信装置１ｂ'へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄ'と、第１もしくは第２実施形態により上述した手法で通信装置１ｂ'から受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄ'と、第５実施形態において前述した不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３とをそなえて構成されるとともに、通信装置１ｂ'は、第１もしくは第２実施形態により上述した手法で通信装置１ａ'へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄ'と、第１もしくは第２実施形態により上述した手法で通信装置１ａ'から受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄ'と、第５実施形態において前述した不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３とをそなえて構成されている。なお、暗号化装置１０Ｄ'の構成については図３０を参照しながら後述し、暗号復号化装置２０Ｄ'の構成については図３１を参照しながら後述する。

ただし、第４実施形態と同様、第６実施形態の暗号化装置１０Ｄ'は、変調部１３によって得られた符号化信号（ｓ_i）を送信先通信装置１ａ'または１ｂ'に複数のパケットとして送信するように構成されるとともに、第６実施形態の暗号化装置１０Ｄ'は、送信元通信装置１ａ'または１ｂ'の暗号化装置１０Ｄ'から受信した各パケットにおける符号化信号（ｓ_i）を入力データ（平文ｘ_i）に復調するように構成されている。つまり、第６実施形態の通信システム１Ａ'（暗号化装置１０Ｄ'および暗号復号化装置２０Ｄ'）も、第４実施形態と同様、パケットの到着順序が入れ替わったり消失したりし得る通信路を用いた通信を対象とし、個々のパケットが正規送信者からの送信されたものであるか否かを認識する必要があるシステム（具体的にはＩＰ電話の通信システム）を対象としている。

また、第６実施形態の通信システム１Ａ'においても、通信装置１ａ'における暗号化装置１０Ｄ'と通信装置１ｂ'における暗号復号化装置２０Ｄ'とが対になっており、これらの装置１０Ｄ'，２０Ｄ'における擬似乱数発生器１１，２１は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂ'における暗号化装置１０Ｄと通信装置１ａにおける暗号復号化装置２０Ｄとが対になっており、これらの装置１０Ｄ'，２０Ｄ'における擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａ'から通信装置１ｂ'への送信データは、暗号化装置１０Ｄ'によって上述した暗号化手順で暗号化され暗号文として通信装置１ｂ'へ送信され、通信装置１ｂ'側では、通信装置１ａ'から受信した暗号文が、暗号復号化装置２０Ｄ'によって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂ'から通信装置１ａ'への送信データは、暗号化装置１０Ｄ'によって上述した暗号化手順で暗号化され暗号文として通信装置１ａ'へ送信され、通信装置１ａ'側では、通信装置１ｂ'から受信した暗号文が、暗号復号化装置２０Ｄ'によって上述した暗号復号化手順で平文に暗号復号化される。

なお、第６実施形態の通信システム１Ａ'において、不揮発性メモリ５１，送受信部５２Ａおよび同期調整部５３は、第５実施形態において説明したものと同様のものであるので、その説明は省略する。また、第６実施形態の通信装置１ａ'，１ｂ'においても、上述した暗号化装置１０Ｄ'，暗号復号化装置２０Ｄ'，不揮発性メモリ５１および送受信部５２Ａは、第５実施形態と同様に、チップ上における耐タンパ領域６０（上記項目(51)〜(59)のごとき構造を提供するもの）内に配置されている。

次に、図３０を参照しながら暗号化装置１０Ｄ'の構成について説明する。図３０は本発明の第６実施形態としての暗号化装置１０Ｄ'の構成を示すブロック図で、図３０中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３０に示すように、暗号化装置１０Ｄ'は、図２４に示した第４実施形態の暗号化装置１０Ｄが単体で耐タンパ領域６０内に配置されている点以外は、第４実施形態の暗号化装置１０Ｄと全く同じ構成を有しているので、その説明は省略する。第６実施形態の暗号化装置１０Ｄ'は、図２７を参照しながら説明した通り、通信装置１ａ'，１ｂ'において暗号復号化装置２０Ｄ'，不揮発性メモリ５１および送受信部５２Ａとともに耐タンパ領域６０内に配置されている。

なお、図３０に示す暗号化装置１０Ｄ'でも、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、暗号化装置１０Ｄ'についても、耐タンパ領域６０の内部と外部とのインタフェースとして、上記項目(21)〜(28)に対応するものが必要となる。

次に、図３１を参照しながら暗号復号化装置２０Ｄ'の構成について説明する。図３１は本発明の第６実施形態としての暗号復号化装置２０Ｄ'の構成を示すブロック図で、図３１中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３１に示すように、第６実施形態の暗号復号化装置２０Ｄ'は、図２５に示した第４実施形態の暗号化装置２０Ｄが単体で耐タンパ領域６０内に配置されている点以外は、第４実施形態の暗号復号化装置２０Ｄと全く同じ構成を有しているので、その説明は省略する。第６実施形態の暗号復号化装置２０Ｄ'は、図２７を参照しながら説明した通り、通信装置１ａ'，１ｂ'において暗号化装置１０Ｄ'，不揮発性メモリ５１および送受信部５２Ａとともに耐タンパ領域６０内に配置されている。

なお、図３１に示す暗号復号化装置２０Ｄ'でも、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｄ'側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、暗号復号化装置２０Ｄ'についても、耐タンパ領域６０の内部と外部とのインタフェースとして、上記項目(41)〜(48)に対応するものが必要となる。

また、第６実施形態では、暗号化装置１０Ｄ'は、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第６実施形態では、暗号復号化装置２０Ｄ'は、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第６実施形態としての通信システム１Ａ'（暗号化装置１０Ｄ'および暗号復号化装置２０Ｄ'）によれば、通信装置１ａ'と通信装置１ｂ'との相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができるほか、第４実施形態の通信システム１Ａ（暗号化装置１０Ｄおよび暗号復号化装置２０Ｄ）と同様の作用効果を得ることもできる。

また、第６実施形態の通信システム１Ａ'の各通信装置１ａ'，１ｂ'においては、暗号化装置１０Ｄ'，暗号復号化装置２０Ｄ'，不揮発性メモリ５１および送受信部５２Ａを一つにまとめた全体が、チップ上において、上記項目(51)〜(59)の構造を提供する一の耐タンパ領域６０内に配置されて耐タンパ性が確保され、耐タンパ領域６０とその外部との入出力は上記項目(21)〜(28)および(41)〜(48)に示したものに限定されている。これにより、第６実施形態の通信システム１Ａ'においても、第５実施形態の通信システム１'と同様の作用効果を得ることができる。

〔１３〕第７実施形態の暗号化／暗号復号化技術
上述した第５および第６実施形態では、擬似乱数ｒ_iの同期処理を行なう際、同期情報として出力回数をバーナム暗号通信で通知し、同期調整部５３が、暗号化装置１０Ｃ'／１０Ｄ'の不揮発性メモリ３４または暗号復号化装置２０Ｃ'／２０Ｄ'の不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器１１または２１に対するクロック信号の空打ちを行なうことで、擬似乱数ｒ_iを同期させていたが、第７実施形態および後述する第８実施形態では、送受信部５２Ａを用いて新しく擬似乱数ｒ_iの種（暗号鍵）をバーナム暗号で暗号化して再配布し合い、新しい暗号鍵（新暗号鍵）を暗号鍵用ＲＯＭ３２，４２に再設定するとともに、カウンタ３３，４３（不揮発性メモリ３４，４４）における擬似乱数ｒ_iの出力回数を“０”にリセットし、新暗号鍵で生成される擬似乱数列を用いるようにすることによって、擬似乱数ｒ_iを同期させるように構成している。

第７および第８実施形態は、このような同期手法に対応したもので、図３２は、本発明の第７および第８実施形態としての暗号化／暗号復号化技術を適用された通信システム１"，１Ａ"の全体構成を示すブロック図であり、この図３２に示す第７実施形態の通信システム１"は、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ"，１ｂ"をそなえて構成されている。この第７実施形態の通信システム１"および後述する第８実施形態の通信システム１Ａ"では、２つの通信装置１ａ"，１ｂ"の相互間が、改竄の有り得る通信路（信号線路）を介して通信可能に接続され、その通信路を介して、２つの通信装置１ａ"，１ｂ"が、上述したバーナム暗号通信によって、上記同期手法で同期処理を行なう場合について説明する。

これらの通信装置１ａ"，１ｂ"はいずれも同一の構成を有しており、通信装置１ａ"は、第１もしくは第２実施形態により上述した手法で通信装置１ｂ"へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃ"と、第１もしくは第２実施形態により上述した手法で通信装置１ｂ"から受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃ"と、上述と同様の不揮発性メモリ５１および送受信部５２Ａとをそなえて構成されるとともに、通信装置１ｂ"は、第１もしくは第２実施形態により上述した手法で通信装置１ａ"へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｃ"と、第１もしくは第２実施形態により上述した手法で通信装置１ａ"から受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｃ"と、上述と同様の不揮発性メモリ５１および送受信部５２Ａとをそなえて構成されている。つまり、第７実施形態の通信システム１"は、第５実施形態における同期調整部５３を省略した構成となっている。なお、暗号化装置１０Ｃ"の構成については図３３を参照しながら後述し、暗号復号化装置２０Ｃ"の構成については図３４を参照しながら後述する。

また、図３２に示す通信システム１"では、通信装置１ａ"における暗号化装置１０Ｃ"と通信装置１ｂ"における暗号復号化装置２０Ｃ"とが対になっており、これらの装置１０Ｃ"，２０Ｃ"における擬似乱数発生器１１，２１は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂ"における暗号化装置１０Ｃ"と通信装置１ａ"における暗号復号化装置２０Ｃ"とが対になっており、これらの装置１０Ｃ"，２０Ｃ"における擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａ"から通信装置１ｂ"への送信データは、暗号化装置１０Ｃ"によって上述した暗号化手順で暗号化され暗号文として通信装置１ｂ"へ送信され、通信装置１ｂ"側では、通信装置１ａ"から受信した暗号文が、暗号復号化装置２０Ｃ"によって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂ"から通信装置１ａ"への送信データは、暗号化装置１０Ｃ"によって上述した暗号化手順で暗号化され暗号文として通信装置１ａ"へ送信され、通信装置１ａ"側では、通信装置１ｂ"から受信した暗号文が、暗号復号化装置２０Ｃ"によって上述した暗号復号化手順で平文に暗号復号化される。

ここで、不揮発性メモリ５１および送受信部５２Ａは、何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃ'と暗号復号化装置２０Ｃ'との間の暗号通信が行なえなくなった場合に用いられるもので、いずれも第５および第６実施形態で説明したものと同様の機能を果たすものである。
ただし、第５実施形態の送受信部５２Ａは、同期処理時に暗号鍵用ＲＯＭ３２，４２に再設定すべき新暗号鍵を、不揮発性メモリ５１に保持された乱数表に基づいてバーナム暗号により暗号化し暗号化同期情報として通信相手の通信装置１ａ"もしくは１ｂ"に送信するとともに、通信相手の通信装置１ａ"もしくは１ｂ"から受信した暗号化同期情報を、不揮発性メモリ５１に保持された乱数表に基づいて新暗号鍵に復号化するものである。

何らかの要因により擬似乱数発生器１１と２１との擬似乱数生成動作に同期ズレが生じて暗号化装置１０Ｃ"と暗号復号化装置２０Ｃ"との間の暗号通信が行なえなくなった場合には、通信装置１ａ"，１ｂ"にそれぞれそなえられた送受信部５２Ａ，５２Ａを用いて、不揮発性メモリ５１，５１にそれぞれ保持された同一の乱数表に従い、暗号化／暗号復号化動作を同期させて行なうことにより、通信装置１ａ"，１ｂ"間（送受信部５２Ａ，５２Ａの相互間）で通信ネットワーク等（盗聴だけでなく改竄が有り得る信号線路）を介し上記新暗号鍵が暗号化同期情報としてやり取りされるようになっている。

新暗号鍵を受信した送受信部５２Ａは、その新暗号鍵を暗号鍵用ＲＯＭ３２，４２に再設定するとともに、通信装置１ａ"と通信装置１ｂ"とで同時タイミングで、暗号化装置１０Ｃ"もしくは暗号復号化装置２０Ｃ"に対してリセット信号を出力し、カウンタ３３，４３（不揮発性メモリ３４，４４）における擬似乱数ｒ_iの出力回数を“０”にリセットするようになっている。なお、本実施形態では、同期調整部５３を省略しているが、第５，第６実施形態の同期調整部５３により、上述した新暗号鍵の再設定およびリセット信号の出力を行なうように構成することも可能である。

そして、第７実施形態の通信装置１ａ"，１ｂ"において、上述した暗号化装置１０Ｃ"，暗号復号化装置２０Ｃ"，不揮発性メモリ５１および送受信部５２Ａは、第５実施形態と同様、上記項目(51)〜(59)のほか下記項目(60),(61)のごとき構造を提供する耐タンパ領域６０内に配置されている。
(60)チップを分解しても新暗号鍵の信号線（送受信部５２Ａと暗号鍵用ＲＯＭ３２との間の信号線）をタップすることができない構造。例えば、新暗号鍵の信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。
(61)チップを分解してもリセット信号の信号線〔送受信部５２Ａと不揮発性メモリ３４（カウンタ３３）との間の信号線〕をタップすることができない構造。例えば、リセット信号の信号線をタップすべくチップを壊すと、チップが動作しなくなる配線構造。

次に、図３３を参照しながら暗号化装置１０Ｃ"の構成について説明する。図３３は本発明の第７実施形態としての暗号化装置１０Ｃ"の構成を示すブロック図で、図３３中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３３に示すように、第７実施形態の暗号化装置１０Ｃ"は、図２８に示した第５実施形態の暗号化装置１０Ｃ'とほぼ同じ構成を有している。

ただし、第７実施形態の暗号化装置１０Ｃ"において、暗号鍵用ＲＯＭ３２は、送受信部５２Ａからの指示に応じて暗号鍵を新暗号鍵に再設定することが可能な構成を有するとともに、カウンタ３３（不揮発性メモリ３４）は、送受信部５２Ａからのリセット信号に応じて擬似乱数ｒ_iの出力回数を“０”にリセットすることが可能な構成を有している。また、変調用擬似乱数発生器１１は、リセット信号により不揮発性メモリ３４つまりはカウンタ３３がリセットされると、その出力回数を０に戻せる（リセットできる）構成を有している。

なお、図３３に示す暗号化装置１０Ｃ"でも、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

また、本実施形態では、上述した通り、擬似乱数ｒ_iの同期処理に際しては、第５実施形態のごとき耐タンパ領域６０外の同期調整部５３（擬似乱数ｒ_iの出力回数）を用いることなく、同じ耐タンパ領域６０内の送受信部５２Ａから通知されるリセット信号および新暗号鍵が同期情報として用いられることになるため、本実施形態の暗号化装置１０Ｃ"についての耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(21)〜(25)に対応するものが必要であり、擬似乱数ｒ_iの出力回数に係るインタフェース（上記項目(26)〜(28)に対応するもの）は不要となる。

次に、図３４を参照しながら暗号復号化装置２０Ｃ"の構成について説明する。図３４は本発明の第７実施形態としての暗号復号化装置２０Ｃ"の構成を示すブロック図で、図３４中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３４に示すように、第７実施形態の暗号復号化装置２０Ｃ"は、図２９に示した第５実施形態の暗号復号化装置２０Ｃ'とほぼ同じ構成を有している。

ただし、第７実施形態の暗号復号化装置２０Ｃ"において、暗号鍵用ＲＯＭ４２は、送受信部５２Ａからの指示に応じて暗号鍵を新暗号鍵に再設定することが可能な構成を有するとともに、カウンタ４３（不揮発性メモリ４４）は、送受信部５２Ａからのリセット信号に応じて擬似乱数ｒ_iの出力回数を“０”にリセットすることが可能な構成を有している。また、復調用擬似乱数発生器２１は、リセット信号により不揮発性メモリ４４つまりはカウンタ４３がリセットされると、その出力回数を０に戻せる（リセットできる）構成を有している。

なお、図３４に示す暗号復号化装置２０Ｃ"でも、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｃ"側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。

また、本実施形態では、上述した通り、擬似乱数ｒ_iの同期処理に際しては、第５実施形態のごとき耐タンパ領域６０外の同期調整部５３（擬似乱数ｒ_iの出力回数）を用いることなく、同じ耐タンパ領域６０内の送受信部５２Ａから通知されるリセット信号および新暗号鍵が同期情報として用いられることになるため、本実施形態の暗号復号化装置２０Ｃ"についての耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(41)〜(45)に対応するものが必要であり、擬似乱数ｒ_iの出力回数に係るインタフェース（上記項目(46)〜(48)に対応するもの）は不要となる。

また、第７実施形態では、暗号化装置１０Ｃ"は、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第７実施形態では、暗号復号化装置２０Ｃ"は、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第７実施形態としての通信システム１"（暗号化装置１０Ｃ"および暗号復号化装置２０Ｃ"）によれば、通信装置１ａ"と通信装置１ｂ"との相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができるほか、第５実施形態の通信システム１'（暗号化装置１０Ｃ'および暗号復号化装置２０Ｃ'）と同様の作用効果を得ることもできる。

また、第７実施形態の通信システム１"の各通信装置１ａ"，１ｂ"においては、暗号化装置１０Ｃ"，暗号復号化装置２０Ｃ"，不揮発性メモリ５１および送受信部５２Ａを一つにまとめた全体が、チップ上において、上記項目(51)〜(61)の構造を提供する一の耐タンパ領域６０内に配置されて耐タンパ性が確保され、耐タンパ領域６０とその外部との入出力は上記項目(21)〜(25)および(41)〜(45)に示したものに限定されている。

これにより、上記項目(21)〜(25)および(41)〜(45)のインタフェースを通じて、擬似乱数発生器１１，２１によって生成される擬似乱数ｒ_iや、ＲＯＭ３２，４２に保持される暗号鍵や、不揮発性メモリ５１に保持される乱数表や、ＲＯＭ３２，４２に再設定される新暗号鍵を、耐タンパ領域６０外に一切読み出すことはできない。また、上記項目(51)〜(61)の構造を提供する耐タンパ領域６０を採用することにより、チップを分解しても、ＲＯＭ３２，４２に保持される暗号鍵を読み出したり、擬似乱数ｒ_iの信号線をタップしたり、物理乱数ｆ_iの信号線をタップしたり、不揮発性メモリ５１に保持される乱数表を読み出したり、乱数表の乱数列の信号線をタップしたり、新暗号鍵やリセット信号の信号線をタップしたりすることが一切できず、さらに、チップの外部からの物理的擾乱（熱や電圧）を加えても、物理乱数発生器１２からの物理乱数ｆ_iの確率分布が変化しなくなる。従って、第７実施形態の通信システム１"においても、第５実施形態の通信システム１'と同様の作用効果を得ることができる。

一方、第７実施形態の通信システム１"では、第５実施形態と同様、暗号通信を行なっている通信装置１ａ"，１ｂ"'どうしは、その暗号通信の合間に乱数表の共有を行なっておき、各通信装置１ａ"，１ｂ"の不揮発性メモリ５１に共通の乱数表を蓄積しておく。そして、例えば、停電などで発生した異常停止の後の復旧時などに、通信装置１ａ"における擬似乱数生成動作と通信装置１ｂ"における擬似乱数生成動作との同期をとる必要が生じると、通信装置１ａ"における送受信部５２Ａと通信装置１ｂ"における送受信部５２Ａとが、不揮発性メモリ５１に保持された乱数表を用いたバーナム暗号による暗号通信を相互に行ない、新暗号鍵を交換する。

そして、通信装置１ａ"，１ｂ"における擬似乱数ｒ_iの同期処理を行なう場合、前述した通り、新暗号鍵を受信した送受信部５２Ａによって、その新暗号鍵が暗号鍵用ＲＯＭ３２，４２に再設定されるとともに、通信装置１ａ"と通信装置１ｂ"とで同時タイミングで暗号化装置１０Ｃ"もしくは暗号復号化装置２０Ｃ"に対してリセット信号が出力され、カウンタ３３，４３（不揮発性メモリ３４，４４）における擬似乱数ｒ_iの出力回数が“０”にリセットされる。これにより、暗号化装置１０Ｃ"における擬似乱数発生器１１と暗号復号化装置２０Ｃ"における擬似乱数発生器２１とが、同じ新暗号鍵を用いて同時に動作を再開することになって、暗号化装置１０Ｃ"における擬似乱数発生器１１の擬似乱数生成動作と暗号復号化装置２０Ｃ"における擬似乱数発生器２１の擬似乱数生成動作とを同期させることがきる。

なお、第７実施形態において、別途、擬似乱数の同期が外れていることを確認する手段がある場合や、擬似乱数の同期が外れていることの確認を省略しても問題ない場合は、通信装置１ａ"および１ｂ"それぞれの不揮発性メモリ５１，５１に保持された同一の乱数表を、バーナム暗号通信の暗号鍵として用いるのではなく、新暗号鍵そのものとして用いる変形が可能である。この変形例では、バーナム暗号通信を行なう必要がないため、送受信部５２Ａを省略できる。

〔１４〕第８実施形態の暗号化／暗号復号化技術
第８実施形態の通信システム１Ａ"も、第７実施形態の通信システム１"と同様、図３２に示すごとく、通信ネットワーク等を介して相互に通信可能に接続された２つの通信装置１ａ"，１ｂ"をそなえて構成されている。前述した通り、第７実施形態の通信システム１Ａ"では、２つの通信装置１ａ"，１ｂ"の相互間が、改竄の有り得る通信路（信号線路）を介して通信可能に接続され、その通信路を介して、２つの通信装置１ａ"，１ｂ"が、第７実施形態と同様の同期手法で同期処理を行なう場合について説明する。

第８実施形態の通信装置１ａ"，１ｂ"はいずれも同一の構成を有しており、第８実施形態の通信システム１Ａ"において、通信装置１ａ"は、第１もしくは第２実施形態により上述した手法で通信装置１ｂ"へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄ"と、第１もしくは第２実施形態により上述した手法で通信装置１ｂ"から受信した暗号化データ（ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄ"と、第７実施形態において前述した不揮発性メモリ５１および送受信部５２Ａとをそなえて構成されるとともに、通信装置１ｂ"は、第１もしくは第２実施形態により上述した手法で通信装置１ａ"へ送信すべき入力データ（平文ｘ_i）を暗号化する暗号化装置１０Ｄ"と、第１もしくは第２実施形態により上述した手法で通信装置１ａ"から受信した暗号化データ（暗号文ｃ_iもしくはｓ_i）を暗号復号化する暗号復号化装置２０Ｄ"と、上述と同様の不揮発性メモリ５１および送受信部５２Ａとをそなえて構成されている。つまり、第８実施形態の通信システム１Ａ"は、第６実施形態における同期調整部５３を省略した構成となっている。なお、暗号化装置１０Ｄ"の構成については図３５を参照しながら後述し、暗号復号化装置２０Ｄ"の構成については図３６を参照しながら後述する。

ただし、第４および第６実施形態と同様、第８実施形態の暗号化装置１０Ｄ"は、変調部１３によって得られた符号化信号（ｓ_i）を送信先通信装置１ａ"または１ｂ"に複数のパケットとして送信するように構成されるとともに、第８実施形態の暗号化装置１０Ｄ"は、送信元通信装置１ａ"または１ｂ"の暗号化装置１０Ｄ"から受信した各パケットにおける符号化信号（ｓ_i）を入力データ（平文ｘ_i）に復調するように構成されている。つまり、第８実施形態の通信システム１Ａ"（暗号化装置１０Ｄ"および暗号復号化装置２０Ｄ"）も、第４および第６実施形態と同様、パケットの到着順序が入れ替わったり消失したりし得る通信路を用いた通信を対象とし、個々のパケットが正規送信者からの送信されたものであるか否かを認識する必要があるシステム（具体的にはＩＰ電話の通信システム）を対象としている。

また、第８実施形態の通信システム１Ａ"においても、通信装置１ａ"における暗号化装置１０Ｄ"と通信装置１ｂ"における暗号復号化装置２０Ｄ"とが対になっており、これらの装置１０Ｄ"，２０Ｄ"における擬似乱数発生器１１，２１は、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。同様に、通信装置１ｂ"における暗号化装置１０Ｄ"と通信装置１ａ"における暗号復号化装置２０Ｄ"とが対になっており、これらの装置１０Ｄ"，２０Ｄ"における擬似乱数発生器１１，２１も、同一の暗号鍵に基づいて擬似乱数ｒ_iを同期させて生成するように構成されている。ただし、上述した各装置対で用いられる暗号鍵としては、異なるものが設定されている。

このような構成により、通信装置１ａ"から通信装置１ｂ"への送信データは、暗号化装置１０Ｄ"によって上述した暗号化手順で暗号化され暗号文として通信装置１ｂ"へ送信され、通信装置１ｂ"側では、通信装置１ａ"から受信した暗号文が、暗号復号化装置２０Ｄ"によって上述した暗号復号化手順で平文に暗号復号化される。同様に、通信装置１ｂ"から通信装置１ａ"への送信データは、暗号化装置１０Ｄ"によって上述した暗号化手順で暗号化され暗号文として通信装置１ａ"へ送信され、通信装置１ａ"側では、通信装置１ｂ"から受信した暗号文が、暗号復号化装置２０Ｄ"によって上述した暗号復号化手順で平文に暗号復号化される。

なお、第８実施形態の通信システム１Ａ"において、不揮発性メモリ５１および送受信部５２Ａは、第７実施形態において説明したものと同様のものであるので、その説明は省略する。また、第８実施形態の通信装置１ａ"，１ｂ"においても、上述した暗号化装置１０Ｄ"，暗号復号化装置２０Ｄ"，不揮発性メモリ５１および送受信部５２Ａは、第７実施形態と同様に、チップ上における耐タンパ領域６０（上記項目(51)〜(61)のごとき構造を提供するもの）内に配置されている。

次に、図３５を参照しながら暗号化装置１０Ｄ"の構成について説明する。図３５は本発明の第８実施形態としての暗号化装置１０Ｄ"の構成を示すブロック図で、図３５中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３５に示すように、第８実施形態の暗号化装置１０Ｄ"は、図３０に示した第６実施形態の暗号化装置１０Ｄ'とほぼ同じ構成を有している。

ただし、第８実施形態の暗号化装置１０Ｄ"においても、第７実施形態と同様、暗号鍵用ＲＯＭ３２は、送受信部５２Ａからの指示に応じて暗号鍵を新暗号鍵に再設定することが可能な構成を有するとともに、カウンタ３３（不揮発性メモリ３４）は、送受信部５２Ａからのリセット信号に応じて擬似乱数ｒ_iの出力回数を“０”にリセットすることが可能な構成を有している。また、変調用擬似乱数発生器１１は、リセット信号により不揮発性メモリ３４つまりはカウンタ３３がリセットされると、その出力回数を０に戻せる（リセットできる）構成を有している。

なお、図３５に示す暗号化装置１０Ｄ"でも、通信路符号化部１４（図１，図１１，図１４参照）が図示されていないが、通信路符号化部１４は、第１および第２実施形態と同様にそなえられていてもよいし、そなえられていなくてもよい。通信路符号化部１４をそなえる場合、その通信路符号化部１４は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、第７実施形態と同様、本実施形態の暗号化装置１０Ｄ"についての耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(21)〜(25)に対応するものが必要であり、擬似乱数ｒ_iの出力回数に係るインタフェース（上記項目(26)〜(28)に対応するもの）は不要となる。

次に、図３６を参照しながら暗号復号化装置２０Ｄ"の構成について説明する。図３６は本発明の第８実施形態としての暗号復号化装置２０Ｄ"の構成を示すブロック図で、図３６中、既述の符号と同一の符号は同一もしくはほぼ同一の部分を示している。この図３６に示すように、第８実施形態の暗号復号化装置２０Ｄ"は、図３１に示した第６実施形態の暗号復号化装置２０Ｄ'とほぼ同じ構成を有している。

ただし、第８実施形態の暗号復号化装置２０Ｄ"においても、第７実施形態と同様、暗号鍵用ＲＯＭ４２は、送受信部５２Ａからの指示に応じて暗号鍵を新暗号鍵に再設定することが可能な構成を有するとともに、カウンタ４３（不揮発性メモリ４４）は、送受信部５２Ａからのリセット信号に応じて擬似乱数ｒ_iの出力回数を“０”にリセットすることが可能な構成を有している。また、復調用擬似乱数発生器２１は、リセット信号により不揮発性メモリ４４つまりはカウンタ４３がリセットされると、その出力回数を０に戻せる（リセットできる）構成を有している。

なお、図３６に示す暗号復号化装置２０Ｄ"でも、通信路符号復号化部２３（図２，図１２，図１５参照）が図示されていないが、通信路符号復号化部２３は、暗号化装置１０Ｃ"側に通信路符号化部１４がそなえられている場合、第１および第２実施形態と同様にそなえられる。通信路符号復号化部２３をそなえる場合、その通信路符号復号化部２３は、耐タンパ領域６０内に配置してもよいし、耐タンパ領域６０外に配置してもよい。また、第７実施形態と同様、本実施形態の暗号復号化装置２０Ｄ"についての耐タンパ領域６０の内部と外部とのインタフェースとしては、上記項目(41)〜(45)に対応するものが必要であり、擬似乱数ｒ_iの出力回数に係るインタフェース（上記項目(46)〜(48)に対応するもの）は不要となる。

また、第８実施形態では、暗号化装置１０Ｄ"は、図１に示す暗号化装置１０と同様に構成されているが、図１１に示す暗号化装置１０Ａや図１４に示す暗号化装置１０Ｂと同様の構成をそなえて構成されていてもよい。また、第８実施形態では、暗号復号化装置２０Ｄ"は、図２に示す暗号化装置２０と同様に構成されているが、図１２に示す暗号復号化装置２０Ａや図１５に示す暗号復号化装置２０Ｂと同様の構成をそなえて構成されていてもよい。

このように構成された本発明の第８実施形態としての通信システム１Ａ"（暗号化装置１０Ｄ"および暗号復号化装置２０Ｄ"）によれば、通信装置１ａ"と通信装置１ｂ"との相互間で本実施形態の暗号技術を適用した暗号通信が実現され、第１および第２実施形態と同様の作用効果を得ることができるほか、第６実施形態の通信システム１Ａ'（暗号化装置１０Ｄ'および暗号復号化装置２０Ｄ'）と同様の作用効果を得ることもできる。

また、第８実施形態の通信システム１Ａ"の各通信装置１ａ"，１ｂ"においては、暗号化装置１０Ｄ"，暗号復号化装置２０Ｄ"，不揮発性メモリ５１および送受信部５２Ａを一つにまとめた全体が、チップ上において、上記項目(51)〜(61)の構造を提供する一の耐タンパ領域６０内に配置されて耐タンパ性が確保され、耐タンパ領域６０とその外部との入出力は上記項目(21)〜(28)および(41)〜(48)に示したものに限定されている。これにより、第８実施形態の通信システム１Ａ"においても、第７実施形態の通信システム１"と同様の作用効果を得ることができる。

なお、第８実施形態において、別途、擬似乱数の同期が外れていることを確認する手段がある場合や、擬似乱数の同期が外れていることの確認を省略しても問題ない場合は、通信装置１ａ"および１ｂ"それぞれの不揮発性メモリ５１，５１に保持された同一の乱数表を、バーナム暗号通信の暗号鍵として用いるのではなく、新暗号鍵そのものとして用いる変形が可能である。この変形例では、バーナム暗号通信を行なう必要がないため、送受信部５２Ａを省略できる。

〔１５〕変形例
なお、本発明は上述した実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で種々変形して実施することができる。
例えば、上述した実施形態では、物理乱数発生器１２を用いているが、この物理乱数発生器１２に代えて擬似乱数発生器や図１７に示すような乱数発生器１８を用いてもよい。

暗号化装置１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｃ'，１０Ｄ'，１０Ｃ"，１０Ｄ"において、物理乱数発生器１２に代え、擬似乱数発生器１１，１１′，１１″，１１ａ；２１，２１′，２１″，２１ａとは別個の擬似乱数発生器（暗号鍵固定；図示略）を用いることにより、高価な物理乱数発生器を用いる必要がなくなり暗号化装置１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｃ'，１０Ｄ'，１０Ｃ"，１０Ｄ"を安価に構成することが可能になるほか、完全にソフトウエアだけによる実装が可能になるという利点が得られる。

また、図１７に示す乱数発生器１８は、擬似乱数発生器１１，１１′，１１″，１１ａ；２１，２１′，２１″，２１ａとは別個の擬似乱数発生器１１ｂと、物理乱数発生器１２ａとをそなえて構成されている。擬似乱数発生器（第２の擬似乱数生成部，変調用擬似乱数生成部）１１ｂは、暗号鍵Ｋｂに基づいて、上述した物理乱数ｆ_iに代わる擬似乱数（第２の擬似乱数）ｆ_i′を生成して出力するものであり、物理乱数発生器（物理乱数生成部）１２ａは、上述した物理乱数発生器１２と同様、物理現象に基づく物理乱数ｆ_jを生成するものである。そして、擬似乱数発生器１１ｂの暗号鍵Ｋｂは、物理乱数発生器１２ａによって生成された物理乱数ｆ_jによって決定される値に、定期的もしくは不定期に変更されるように構成されている。このとき、暗号鍵Ｋｂを変更するタイミングを物理乱数発生器の出力値によって決定するように構成してもよい。

暗号化装置１０においては物理乱数発生器１２により１ビットの平文ｘ_iに対し１ビットの物理乱数ｆ_iを生成する必要があるため、高速動作可能な物理乱数発生器を用いる必要があるが、乱数発生器１８における物理乱数発生器１２ａとしては第１実施形態のものよりも低速動作のものを用いることができる。前述した通り、高速動作可能な物理乱数発生器は高価であるが、低速動作の物理乱数発生器は低価格であるので、物理乱数発生器１２に代えて図１７に示す乱数発生器１８を用いた場合には、安全性（暗号強度）を大きく落とすことなく、本発明の暗号化装置を、より安価に構成することが可能になる。

また、例えばパーソナルコンピュータ等を利用して本発明の暗号化装置を実現する場合には、「ある時刻にマウスポインタが指す画面上の位置」などのデータを暗号鍵として動作する擬似乱数発生器を、物理乱数発生器１２に代えて用いれば、高価な物理乱数発生器を搭載することなく、物理乱数発生器を用いた場合とほぼ同等の暗号強度（安全性）を確保した暗号化装置を実現することが可能である。

一方、上述した本発明の第４実施形態の暗号化／暗号復号化技術を用いることにより、コンテンツの再生回数と課金との関係を明確にした、光ディスク等の記録媒体によるコンテンツ配給サービスを提供することが可能になる。
例えば、コンテンツ配給者が、利用者に対する課金を行ない、コンテンツを光ディスクに記録して利用者に提供する場合、コンテンツ配給者は、例えば暗号化装置１０Ｄを光ディスクへのコンテンツ記録装置として用いる一方、利用者は、例えば暗号復号化装置２０Ｄを光ディスク再生装置（プレーヤ）として用いる。なお、その際、第４実施形態のパケットが、一枚の光ディスクに記録されるコンテンツに対応するものとして取り扱う。

より具体的に説明すると、コンテンツ提供者は、コンテンツを暗号化装置１０Ｄにより変調して得られた暗号化コンテンツを光ディスクの暗号化領域に記録するとともに、その光ディスクディスク表面のラベルまたは光ディスクの非暗号化領域に、識別番号（暗号鍵と一対一に対応するが暗号鍵を推定できない文字列）と、擬似乱数出力回数（もしくは何枚目の光ディスクであるかを示す情報）とを書き込み、その光ディスクを利用者に提供する。

このとき、識別番号としては、例えば識別番号用ＲＯＭ３１に保持された識別番号（ＩＤ番号）が読み出されて上記非暗号化領域に書き込まれる。また、擬似乱数出力回数としては、提供すべきコンテンツの最初のデータｘ_iを変調部１３で変調する際に用いられる変調用擬似乱数ｒ_iの、擬似乱数発生器１１からの出力回数（何番目の擬似乱数であるかを示す数値）が、カウンタ３３（不揮発性メモリ３４）から読み出されて上記非暗号化領域に書き込まれる。また、光ディスクの暗号化領域には、上述した暗号化コンテンツのほか、上記擬似乱数出力回数も埋め込まれている。その埋め込み位置は、第４実施形態と同様、擬似乱数発生器１１によって生成される擬似乱数を用いてスクランブルされることが望ましい。

そして、利用者は、コンテンツ配給者から光ディスクを受け取ると、その光ディスクの内容（コンテンツ）を暗号復号化装置２０Ｄにより復調して再生する。光ディスクの再生を開始する際、暗号復号化装置２０Ｄは、非暗号化領域に書き込まれた擬似乱数出力回数を読み取り、光ディスクの枚数の抜けが有る場合、例えば複数枚の光ディスクを所定順序で再生する場合にその順序の通り再生せず１枚以上の光ディスクを飛ばして再生しようたした場合などには、利用者に対して「警告」を発する。

利用者がその「警告」に応じて、光ディスクを正しいものに替えた場合、暗号復号化装置２０Ｄは、出力回数の確認を再度行なって再生を開始する。また、利用者が「警告」を参照した上、１枚以上の光ディスクを飛ばして再生することに同意した場合、暗号復号化装置２０Ｄは、例えば出力回数調整部５４の機能を用い、不揮発性メモリ４４に対する出力回数の設定、あるいは、擬似乱数発生器２１に対するクロック信号の空打ちを行なうことにより、擬似乱数発生器２１から復調部２２に出力される復調用擬似乱数ｒ_iの出力回数を、次に再生されるべき光ディスクについての出力回数となるように調整する。これにより、変調用擬似乱数と復調用擬似乱数との対応関係を常に保持しながら、次の光ディスクにおける暗号化コンテンツを正しく復調することが可能になる。ただし、暗号復号化装置２０Ｄの擬似乱数発生器２１は、復調用擬似乱数ｒ_iの生成動作のリセットおよび繰り返しを禁止するように構成されているので、飛ばされた光ディスクの暗号化コンテンツは再生することはできなくなる。

このとき、前述した通り、暗号復号化装置２０Ｄの擬似乱数発生器２１は、復調用擬似乱数ｒ_iの生成動作のリセットおよび繰り返しを禁止するように構成されているので、利用者は、光ディスクのコンテンツを一度再生すると、そのコンテンツを二度と再生することができなくなる。このため、利用者が、所望のコンテンツを複数回再生することを望む場合には、コンテンツ提供者に再生回数に応じた料金を支払い、その再生回数だけ、コンテンツを繰り返し変調して暗号化コンテンツとして光ディスクに記録する。従って、コンテンツ提供者は、コンテンツの再生回数と課金との関係を明確にして、利用者に対して再生回数に応じた課金を確実に行なうことが可能になる。

なお、暗号復号化装置２０Ｄは、光ディスクの再生を開始する際、第４実施形態とほぼ同様に、復調して暗号化領域から取り出された出力回数と、非暗号化領域に書き込まれた出力回数とを比較し、これらの出力回数が不一致の場合、光ディスクの内容に対し何らかの改竄が施されているものと認識して、その光ディスクの再生を禁止するように構成してもよい。

また、コンテンツ再生装置として用いられる暗号復号化装置２０Ｄの耐タンパ領域６０内に、暗号復号化されたデジタル信号を、さらに画像信号や音声信号にアナログ変換するための再生装置を内包すれば、暗号復号化装置２０Ｄの耐タンパ領域６０から出力される再生信号をアナログ信号とすることができるので、デジタル再生信号の複製を抑止することができ効果的である。

〔１６〕その他
上述した暗号化装置１０，１０Ａ〜１０Ｄ，１０Ｃ'，１０Ｄ'，１０Ｃ"，１０Ｄ"における擬似乱数発生器１１，物理乱数発生器１２，変調部１３，１５，通信路符号化部１４，カウンタ３３，組込み部３５およびパケット化部３６としての機能（全部もしくは一部の機能）や、上述した暗号復号化装置２０，２０Ａ〜２０Ｄ，２０Ｃ'，２０Ｄ'，２０Ｃ"，２０Ｄ"における通信路符号復号化部２３，擬似乱数発生器２１，復調部２２，２４，カウンタ４３，並べ替え部４６，取出し部４７，比較部４８，パケット消失判断部４９，パケット破棄部５０および出力回数調整部５４としての機能（全部もしくは一部の機能）や、上述した通信装置１ａ，１ｂにおける送受信部５２および同期調整部５３としての機能（全部もしくは一部の機能）は、コンピュータ（ＣＰＵ，情報処理装置，各種端末を含む）が所定のアプリケーションプログラム（暗号化プログラム／暗号復号化プログラム）を実行することによって実現される。

そのプログラムは、例えばフレキシブルディスク，ＣＤ（ＣＤ−ＲＯＭ，ＣＤ−Ｒ，ＣＤ−ＲＷなど），ＤＶＤ（ＤＶＤ−ＲＯＭ，ＤＶＤ−ＲＡＭ，ＤＶＤ−Ｒ，ＤＶＤ−ＲＷ，ＤＶＤ＋Ｒ，ＤＶＤ＋ＲＷなど）等のコンピュータ読取可能な記録媒体に記録された形態で提供される。この場合、コンピュータはその記録媒体からプログラムを読み取って内部記憶装置または外部記憶装置に転送し格納して用いる。また、そのプログラムを、例えば磁気ディスク，光ディスク，光磁気ディスク等の記憶装置（記録媒体）に記録しておき、その記憶装置から通信回線を介してコンピュータに提供するようにしてもよい。

ここで、コンピュータとは、ハードウエアとＯＳ（オペレーティングシステム）とを含む概念であり、ＯＳの制御の下で動作するハードウエアを意味している。また、ＯＳが不要でアプリケーションプログラム単独でハードウエアを動作させるような場合には、そのハードウエア自体がコンピュータに相当する。ハードウエアは、少なくとも、ＣＰＵ等のマイクロプロセッサと、記録媒体に記録されたプログラムを読み取るための手段とをそなえている。上記の暗号化プログラムもしくは暗号復号化プログラムとしてのアプリケーションプログラムは、上述のようなコンピュータに、擬似乱数発生器１１，物理乱数発生器１２，変調部１３，１５，通信路符号化部１４，カウンタ３３，組込み部３５およびパケット化部３６，擬似乱数発生器２１，通信路符号復号化部２３，復調部２２，２４，カウンタ４３，並べ替え部４６，取出し部４７，比較部４８，パケット消失判断部４９，パケット破棄部５０，送受信部５２，同期調整部５３および出力回数調整部５４としての機能（全部もしくは一部の機能）を実現させるプログラムコードを含んでいる。また、その機能の一部は、アプリケーションプログラムではなくＯＳによって実現されてもよい。

さらに、本実施形態における記録媒体としては、上述したフレキシブルディスク，ＣＤ，ＤＶＤ，磁気ディスク，光ディスク，光磁気ディスクのほか、ＩＣカード，ＲＯＭカートリッジ，磁気テープ，パンチカード，コンピュータの内部記憶装置（ＲＡＭやＲＯＭなどのメモリ），外部記憶装置等や、バーコードなどの符号が印刷された印刷物等の、コンピュータ読取可能な種々の媒体を利用することもできる。

〔１７〕付記
（付記１）
１ビットの入力データを擬似乱数、および物理乱数により定まる、少なくとも２ビットの離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップと、
前記符号化信号を通信路符号化し暗号化データとして出力する通信路符号化ステップとを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、
ことを特徴とする、暗号化方法。

（付記２）
１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
前記変調ステップは、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４として前記符号化信号を生成する、
ことを特徴とする、暗号化方法。

（付記３）
前記物理乱数として、物理乱数によって決定される値に定期的もしくは不定期に変更される暗号鍵に基づいて生成される第２の擬似乱数を用いることを特徴とする、付記１または付記２に記載の暗号化方法。
（付記４）
１ビットの入力データを擬似乱数、および物理乱数により定まる、少なくとも２ビットの離散値に対応させる変調を行なって得られた出力を、所望の符号語に通信路符号化して得られる暗号化データであって、
前記変調に際して、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、暗号化データを、通信路符号復号化して復号信号にするステップを含み、前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく擬似乱数により、前記復号信号を前記入力データに復調する、
ことを特徴とする、暗号復号化方法。

（付記５）
１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、
前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、
前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく擬似乱数により、前記入力データに復調することを特徴とする、暗号復号化方法。

（付記６）
暗号鍵に基づく擬似乱数を生成する擬似乱数生成部と、
物理現象に基づく物理乱数を生成する物理乱数生成部と、
１ビットの入力データを擬似乱数、および物理乱数により定まる、少なくとも２ビットの離散値に対応させる変調を行なって符号化信号を得る変調部と、
前記変調部の出力を所望の符号語に通信路符号化し、暗号化データとして出力する通信路符号化部とをそなえ、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、
ことを特徴とする、暗号化装置。

（付記７）
暗号鍵に基づく擬似乱数を生成する擬似乱数生成部と、
物理現象に基づく物理乱数を生成する物理乱数生成部と、
１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって符号化信号を得る変調部とをそなえ、
前記変調部が、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の
状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、
ことを特徴とする、暗号化装置。

（付記８）
１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
前記変調ステップは、前記擬似乱数の状態を０，１，２，３の４状態のうちの一つとし、前記物理乱数の状態を０，１の２状態のうちの一つとし、前記離散値の状態を０，１，２，３の４状態のうちの一つとして、前記符号化信号を生成し、
前記入力データ１ビット毎に付与された通し番号をｉとし、入力データ、擬似乱数、物理乱数、および離散値の組合せパターンに割り振られた番号をｋ（ｋは０から１５までの整数）とし、前記入力データをｘ_k,iとし、前記擬似乱数をｒ_k,iとし、前記物理乱数をｆ_k,iとし、前記離散値をｓ_k,iとし、ｋが０から７までのいずれか一つの整数であるとき前記入力データｘ_k,i＝０、ｋが８から１５までのいずれか一つの整数であるとき前記入力データｘ_k,i＝１、ｋが０，１，８，９のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝０、ｋが２，３，１０，１１のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝１、ｋが４，５，１２，１３のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝２、ｋが６，７，１４，１５のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝３、ｋが偶数であるとき前記物理乱数ｆ_k,i＝０、ｋが奇数であるとき前記物理乱数ｆ_k,i＝１とした場合、前記離散値ｓ_k,iの代表組み合わせＳ_j＝（ｓ_0,i，ｓ_1,i，ｓ_2,i，ｓ_3,i，ｓ_4,i，ｓ_5,i，ｓ_6,i，ｓ_7,i，ｓ_8,i，ｓ_9,i，ｓ_10,i，ｓ_11,i，ｓ_12,i，ｓ_13,i，ｓ_14,i，ｓ_15,i）（ｊは１から６までの整数）が、
Ｓ₁＝（０，１，０，１，２，３，２，３，２，３，２，３，０，１，０，１）
Ｓ₂＝（０，１，０，２，１，３，２，３，２，３，１，３，０，２，０，１）
Ｓ₃＝（０，１，０，３，１，２，２，３，２，３，１，２，０，３，０，１）
Ｓ₄＝（０，２，０，２，１，３，１，３，１，３，１，３，０，２，０，２）
Ｓ₅＝（０，２，０，３，１，２，１，３，１，３，１，２，０，３，０，２）
Ｓ₆＝（０，３，０，３，１，２，１，２，１，２，１，２，０，３，０，３）
であり、
前記変調ステップは、上記６種類の代表組み合わせＳ₁〜Ｓ₆のうちのいずれか一つを用いて前記符号化信号を生成する、
ことを特徴とする、暗号化方法。

（付記９）
０から３までのいずれか一つの整数としてそれぞれ与えられる２つの数値をｕ，ｖと定義するとともに、０から３までの整数のうち前記数値ｕ，ｖのいずれにも選ばれなかった整数として与えられる数値をｗと定義し、
前記変調ステップは、上記６種類の代表組み合わせＳ_jのそれぞれにおける前記離散値ｓ_k,iについて、
ｓ'_2u,i=ｓ_2v,i
ｓ'_2u+1,i=ｓ_2v+1,i
ｓ'_2u+8,i=ｓ_2v+8,i
ｓ'_2u+9,i=ｓ_2v+9,i
ｓ'_2w,i=ｓ_2w,i
ｓ'_2w+1,i=ｓ_2w+1,i
ｓ'_2w+8,i=ｓ_2w+8,i
ｓ'_2w+9,i=ｓ_2w+9,i
となる入れ替えを行なって得られた組み合わせＳ'_j＝（ｓ'_0,i，ｓ'_1,i，ｓ'_2,i，ｓ'_3,i，ｓ'_4,i，ｓ'_5,i，ｓ'_6,i，ｓ'_7,i，ｓ'_8,i，ｓ'_9,i，ｓ'_10,i，ｓ'_11,i，ｓ'_12,i，ｓ'_13,i，ｓ'_14,i，ｓ'_15,i）を用いて前記符号化信号を生成する、
ことを特徴とする、付記８記載の暗号化方法。

（付記１０）
０から７までの整数として与えられる数値をｍと定義するとともに、０から７までの整数のうち前記数値ｍに選ばれなかった整数として与えられる数値をｎと定義し、
前記変調ステップは、上記６種類の代表組み合わせＳ'_jのそれぞれにおける前記離散値ｓ'_k,iについて、
ｓ"_2m+1,i=ｓ'_2m,i
ｓ"_2m,i=ｓ'_2m+1,i
ｓ"_2n,i=ｓ'_2n,i
ｓ"_2n+1,i=ｓ'_2n+1,i
となる入れ替えを行なって得られた組み合わせＳ"_j＝（ｓ"_0,i，ｓ"_1,i，ｓ"_2,i，ｓ"_3,i，ｓ"_4,i，ｓ"_5,i，ｓ"_6,i，ｓ"_7,i，ｓ"_8,i，ｓ"_9,i，ｓ"_10,i，ｓ"_11,i，ｓ"_12,i，ｓ"_13,i，ｓ"_14,i，ｓ"_15,i）を用いて前記符号化信号を生成する、
ことを特徴とする、付記９記載の暗号化方法。

（付記１１）
前記擬似乱数生成部、前記物理乱数生成部、および前記変調部は、前記暗号鍵および前記擬似乱数の漏洩を抑止するとともに、前記物理乱数生成部によって生成される物理乱数の、物理的擾乱による確率分布変動を抑止する、耐タンパ領域に配置されていることを特徴とする、付記６または付記７記載の暗号化装置。
（付記１２）
前記擬似乱数生成部は、前記擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成されていることを特徴とする、付記１１記載の暗号化装置。

（付記１３）
前記擬似乱数生成部に前記擬似乱数の生成動作を実行させるクロック信号の入力回数を前記擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の擬似乱数出力回数保持部と、
前記擬似乱数生成部による擬似乱数生成動作と、前記符号化信号の送信先通信装置における暗号復号化装置の復調用擬似乱数生成部による復調用擬似乱数生成動作とを同期させるために、前記擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記擬似乱数生成部からの前記擬似乱数の出力回数を調整する同期調整部とをそなえた、
ことを特徴とする、付記１２記載の暗号化装置。

（付記１４）
前記送信先通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、
前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信先通信装置に送信する暗号送信部と、
前記送信先通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて復調用擬似乱数の出力回数に復号化する復号受信部とをそなえ、
前記同期調整部は、前記復号受信部によって復号化された、前記送信先通信装置側の前記復調用擬似乱数の出力回数が、前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数よりも大きい場合、前記擬似乱数生成部からの前記擬似乱数の出力回数を前記送信先通信装置側の前記復調用擬似乱数の出力回数に合わせるように調整することを特徴とする、付記１３記載の暗号化装置。

（付記１５）
１ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、
前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
１）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、前記入力データに復調する暗号復号化装置であって、
前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく復調用擬似乱数を生成する復調用擬似乱数生成部と、
該復調用擬似乱数生成部によって生成された擬似乱数により、前記符号化信号を前記入力データに復調する復調部とをそなえた、
ことを特徴とする、暗号復号化装置。

（付記１６）
前記復調用擬似乱数生成部および前記復調部は、前記暗号鍵および前記復調用擬似乱数の漏洩を防止する耐タンパ領域に配置されていることを特徴とする、付記１５記載の暗号復号化装置。
（付記１７）
前記復調用擬似乱数生成部は、前記復調用擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成されていることを特徴とする、付記１６記載の暗号復号化装置。

（付記１８）
前記復調用擬似乱数生成部に前記復調用擬似乱数の生成動作を実行させるクロック信号の入力回数を前記復調用擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の復調用擬似乱数出力回数保持部と、
前記復調用擬似乱数生成部による復調用擬似乱数生成動作と、前記符号化信号の送信元通信装置における暗号化装置の擬似乱数生成部による擬似乱数生成動作とを同期させるために、前記復調用擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を調整する同期調整部とをそなえた、
ことを特徴とする、付記１７記載の暗号復号化装置。

（付記１９）
前記送信元通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、
前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信元通信装置に送信する暗号送信部と、
前記送信元通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて擬似乱数の出力回数に復号化する復号受信部とをそなえ、
前記同期調整部は、前記復号受信部によって復号化された、前記送信元通信装置側の前記擬似乱数の出力回数が、前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数よりも大きい場合、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を前記送信元通信装置側の前記擬似乱数の出力回数に合わせるように調整することを特徴とする、付記１８記載の暗号復号化装置。

（付記２０）
付記６，付記７，付記１１〜付記１４のいずれか一項に記載の暗号化装置であって、前記符号化信号の送信元通信装置にそなえられ、前記符号化信号を送信先通信装置に複数のパケットとして送信する暗号化装置と、
付記１５〜付記１９のいずれか一項に記載の暗号復号化装置であって、前記符号化信号の送信先通信装置にそなえられ、前記送信元通信装置の前記暗号化装置から受信した各パケットにおける前記符号化信号を前記入力データに復調する暗号復号化装置とをそなえ、
前記暗号化装置から前記暗号復号化装置に送信される各パケットのヘッダ部に、前記複数のパケットについての通し番号、または、各パケットのコンテナ部における前記符号化信号の変調時に用いられた前記擬似乱数の出力回数が記述され、
前記暗号復号化装置は、
前記暗号化装置からの前記複数のパケットを保持するパケット保持部と、
前記パケット保持部に保持された前記複数のパケットを、各パケットのヘッダ部に記述された前記通し番号または前記出力回数に従う順序に並べ替えて前記復調部に入力する並べ替え部とをそなえている、
ことを特徴とする、通信システム。

（付記２１）
前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、前記通し番号または前記出力回数が含まれ、
前記暗号復号化装置は、
各パケットのヘッダ部に記述された前記通し番号または前記出力回数と、前記復調部による前記符号化信号の復調結果に含まれる前記通し番号または前記出力回数とを比較する第１比較部と、
前記第１比較部による比較の結果、これらの通し番号または出力回数が不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえている、
ことを特徴とする、付記２０記載の通信システム。

（付記２２）
前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、当該パケットについて固有の認証コードとして、前記擬似乱数生成部によって生成された擬似乱数列が含まれ、
前記暗号復号化装置は、
前記復調部による前記符号化信号の復調結果に含まれる前記認証コードと、前記復調用擬似乱数生成部によって生成された、当該認証コードに対応する復調用擬似乱数列とを比較する第２比較部と、
前記第２比較部による比較の結果、これらの認証コードが不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえている、
ことを特徴とする、付記２０または付記２１に記載の通信システム。

（付記２３）
前記暗号復号化装置は、
前記複数のパケットのうちの一つを受信した後に、前記通し番号または前記出力回数に従って次に受信すべきパケットが所定時間以内に受信されない場合、当該パケットが消失したものと判断するパケット消失判断部と、
前記パケット破棄部によってパケットを破棄した場合、もしくは、前記パケット消失判断部によってパケットが消失したものと判断された場合、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を、破棄されたパケットもしくは消失したと判断されたパケットの次に正常に受信されたパケットにおける前記通し番号または前記出力回数に応じた出力回数に合わせるように調整する出力回数調整部とをそなえている、
ことを特徴とする、付記２１または付記２２に記載の通信システム。

（付記２４）
前記暗号化装置は、
前記パケット毎に含まれる前記通し番号または前記出力回数または前記認証コードの、各パケットの前記コンテナ部における格納位置を、前記擬似乱数生成部によって生成された前記擬似乱数に基づいて決定し、決定された当該格納位置に前記通し番号または前記出力回数または前記認証コードが配置されるように、前記通し番号または前記出力回数または前記認証コードを前記入力データに組み込む組込み部をそなえるとともに、
前記暗号復号化装置は、
前記復調用擬似乱数生成部によって生成された前記復調用擬似乱数に基づいて、前記復調部による復調結果から前記通し番号または前記出力回数または前記認証コードを取り出す取出し部をそなえている、
ことを特徴とする、付記２１または付記２２に記載の通信システム。

以上のように、本発明によれば、暗号化データに物理乱数による不規則な対応付けを付与して既知平文攻撃に対して高い安全性を保証しながら、正規受信者側では物理乱数を用いることなく擬似乱数のみで暗号化データを暗号復号化することが可能になる。このとき、本発明の暗号技術は符号により実現されるので、電波通信や電気通信において使用可能で且つ電気的なメモリや各種記録媒体にデータ保存可能であり、雑音の影響を受けることがなく、さらには通信速度への影響を最小にすることのできる暗号技術を提供できる。従って、本発明は、情報を暗号化して送受信するシステムに用いて好適であり、その有用性は極めて高いものと考えられる。

本発明の第１実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第１実施形態としての暗号復号化装置の構成を示すブロック図である。 擬似乱数の状態数が２かつ物理乱数の状態数が２かつ変調出力（離散値）の状態数が２である場合（２−２−２型）の変調用３変数関数（エンコード表）の例を示す図である。 擬似乱数の状態数が２かつ物理乱数の状態数が２かつ変調出力（離散値）の状態数が４である場合（２−２−４型）の変調用３変数関数（エンコード表）の例を示す図である。 擬似乱数の状態数が４かつ物理乱数の状態数が２かつ変調出力（離散値）の状態数が４である場合（４−２−４型）の変調用３変数関数（エンコード表）の例を示す図である。 （Ａ）は図５に示す出力の例(1)についてのエンコード表を示す図、（Ｂ）は（Ａ）に示すエンコード表に対応するデコード表（復調用２変数関数）を示す図、（Ｃ）は（Ｂ）に示すデコード表を２進数に書き換えて示す図である。 （Ａ）は図５に示す出力の例(7)についてのエンコード表を示す図、（Ｂ）は（Ａ）に示すエンコード表に対応するデコード表（復調用２変数関数）を示す図、（Ｃ）は（Ｂ）に示すデコード表を２進数に書き換えて示す図である。 図６（Ａ）に示すエンコード表について平文と擬似乱数と物理乱数と出力との対応関係を図式化して示す図である。 図７（Ａ）に示すエンコード表について平文と擬似乱数と物理乱数と出力との対応関係を図式化して示す図である。 擬似乱数の状態数が８かつ物理乱数の状態数が２かつ変調出力（離散値）の状態数が４である場合（８−２−４型）の変調用３変数関数（エンコード表）の例を示す図である。 本発明の第２実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第２実施形態としての暗号復号化装置の構成を示すブロック図である。 図１１に示す暗号化装置による暗号化動作を具体的に説明するための図である。 第２実施形態の暗号化装置の変形例の構成を示すブロック図である。 第２実施形態の暗号復号化装置の変形例の構成を示すブロック図である。 図１４に示す暗号化装置による暗号化動作を具体的に説明するための図である。 本実施形態において物理乱数発生器に代えて用いられる乱数発生器の構成を示すブロック図である。 ストリーム暗号を適用された一般的な送受信システムの構成を示すブロック図である。 Ｙ−００方式量子暗号について説明するための図である。 擬似乱数の状態数が４かつ物理乱数の状態数が２かつ変調出力（離散値）の状態数が４である場合（４−２−４型）の変調用３変数関数（エンコード表）の全ての例を説明するための図である。 本発明の第３および第４実施形態としての通信システムの全体構成を示すブロック図である。 本発明の第３実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第３実施形態としての暗号復号化装置の構成を示すブロック図である。 本発明の第４実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第４実施形態としての暗号復号化装置の構成を示すブロック図である。 （Ａ）は第４実施形態における認証コードおよび出力回数の入力データ（平文）への組込み例を示す図、（Ｂ）は（Ａ）に示す入力データ（平文）をパケット化した例を示す図である。 本発明の第５および第６実施形態としての通信システムの全体構成を示すブロック図である。 本発明の第５実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第５実施形態としての暗号復号化装置の構成を示すブロック図である。 本発明の第６実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第６実施形態としての暗号復号化装置の構成を示すブロック図である。 本発明の第７および第８実施形態としての通信システムの全体構成を示すブロック図である。 本発明の第７実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第７実施形態としての暗号復号化装置の構成を示すブロック図である。 本発明の第８実施形態としての暗号化装置の構成を示すブロック図である。 本発明の第８実施形態としての暗号復号化装置の構成を示すブロック図である。

符号の説明

１，１Ａ，１'，１Ａ'，１"，１Ａ" 通信システム
１ａ，１ｂ，１ａ'，１ｂ'，１ａ"，１ｂ" 通信装置（送信先通信装置／送信元通信装置）
１０，１０Ａ，１０Ｂ，１０Ｃ，１０Ｄ，１０Ｃ'，１０Ｄ'，１０Ｃ"，１０Ｄ" 暗号化装置
１１，１１′，１１″，１１ａ，１１ｂ 擬似乱数発生器（擬似乱数生成部，変調用擬似乱数生成部）
１２，１２ａ 物理乱数発生器（物理乱数生成部）
１３，１５ 変調部
１４ 通信路符号化部
１６ 切替制御部
１７ａ，１７ｂ スイッチ
１８ 乱数発生器
２０，２０Ａ，２０Ｂ，２０Ｃ，２０Ｄ，２０Ｃ'，２０Ｄ'，２０Ｃ"，２０Ｄ" 暗号復号化装置
２１，２１′，２１″，２１ａ 擬似乱数発生器（擬似乱数生成部，復調用擬似乱数生成部）
２２，２４ 復調部
２３ 通信路符号復号化部
２５ 切替制御部
２６ａ，２６ｂ スイッチ
３１ 識別番号用ＲＯＭ
３２ 暗号鍵用ＲＯＭ
３３ カウンタ
３４ 不揮発性メモリ（変調用擬似乱数出力回数保持部）
３５ 組込み部
３６ パケット化部
４１ 識別番号用ＲＯＭ
４２ 暗号鍵用ＲＯＭ
４３ カウンタ
４４ 不揮発性メモリ（復調用擬似乱数出力回数保持部）
４５ ＦＩＦＯメモリ（パケット保持部）
４６ 並べ替え部
４７ 取出し部
４８ 比較部（第１比較部，第２比較部）
４９ パケット消失判断部
５０ パケット破棄部
５１ 不揮発性メモリ（乱数表保持部）
５２ 送受信部
５２Ａ 送受信部（暗号送信部／復号受信部）
５３ 同期調整部
５４ 出力回数調整部
６０ 耐タンパ領域
１００ 送受信システム
１１０ 暗号化装置
１１１ 擬似乱数発生器
１１２ 変調部（排他的論理和生成器）
１２０ 暗号復号化装置
１２１ 擬似乱数発生器
１２２ 復調部（排他的論理和生成器）

Claims (20)

1. １ビットの入力データを擬似乱数、および物理乱数により定まる、少なくとも２ビットの離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップと、
   前記符号化信号を通信路符号化し暗号化データとして出力する通信路符号化ステップとを有し、
   １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
   ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
   ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、
   ことを特徴とする、暗号化方法。
2. １ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
   １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
   ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
   ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
   前記変調ステップは、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４として前記符号化信号を生成する、
   ことを特徴とする、暗号化方法。
3. 前記物理乱数として、物理乱数によって決定される値に定期的もしくは不定期に変更される暗号鍵に基づいて生成される第２の擬似乱数を用いることを特徴とする、請求項１または請求項２に記載の暗号化方法。
4. １ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、
   前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
   １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
   ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
   ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、
   前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく擬似乱数により、前記入力データに復調する、
   ことを特徴とする、暗号復号化方法。
5. 暗号鍵に基づく擬似乱数を生成する擬似乱数生成部と、
   物理現象に基づく物理乱数を生成する物理乱数生成部と、
   １ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって符号化信号を得る変調部とをそなえ、
   前記変調部が、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
   １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
   ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
   ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、
   ことを特徴とする、暗号化装置。
6. １ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させ、前記入力データを変調し符号化信号を生成する変調ステップを有し、
   １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
   ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
   ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられており、
   前記変調ステップは、前記擬似乱数の状態を０，１，２，３の４状態のうちの一つとし、前記物理乱数の状態を０，１の２状態のうちの一つとし、前記離散値の状態を０，１，２，３の４状態のうちの一つとして、前記符号化信号を生成し、
   前記入力データ１ビット毎に付与された通し番号をｉとし、入力データ、擬似乱数、物理乱数、および離散値の組合せパターンに割り振られた番号をｋ（ｋは０から１５までの整数）とし、前記入力データをｘ_k,iとし、前記擬似乱数をｒ_k,iとし、前記物理乱数をｆ_k,iとし、前記離散値をｓ_k,iとし、ｋが０から７までのいずれか一つの整数であるとき前記入力データｘ_k,i＝０、ｋが８から１５までのいずれか一つの整数であるとき前記入力データｘ_k,i＝１、ｋが０，１，８，９のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝０、ｋが２，３，１０，１１のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝１、ｋが４，５，１２，１３のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝２、ｋが６，７，１４，１５のいずれか一つの整数であるとき前記擬似乱数ｒ_k,i＝３、ｋが偶数であるとき前記物理乱数ｆ_k,i＝０、ｋが奇数であるとき前記物理乱数ｆ_k,i＝１とした場合、前記離散値ｓ_k,iの代表組み合わせＳ_j＝（ｓ_0,i，ｓ_1,i，ｓ_2,i，ｓ_3,i，ｓ_4,i，ｓ_5,i，ｓ_6,i，ｓ_7,i，ｓ_8,i，ｓ_9,i，ｓ_10,i，ｓ_11,i，ｓ_12,i，ｓ_13,i，ｓ_14,i，ｓ_15,i）（ｊは１から６までの整数）が、
   Ｓ₁＝（０，１，０，１，２，３，２，３，２，３，２，３，０，１，０，１）
   Ｓ₂＝（０，１，０，２，１，３，２，３，２，３，１，３，０，２，０，１）
   Ｓ₃＝（０，１，０，３，１，２，２，３，２，３，１，２，０，３，０，１）
   Ｓ₄＝（０，２，０，２，１，３，１，３，１，３，１，３，０，２，０，２）
   Ｓ₅＝（０，２，０，３，１，２，１，３，１，３，１，２，０，３，０，２）
   Ｓ₆＝（０，３，０，３，１，２，１，２，１，２，１，２，０，３，０，３）
   であり、
   前記変調ステップは、上記６種類の代表組み合わせＳ₁〜Ｓ₆のうちのいずれか一つを用いて前記符号化信号を生成する、
   ことを特徴とする、暗号化方法。
7. ０から３までのいずれか一つの整数としてそれぞれ与えられる２つの数値をｕ，ｖと定義するとともに、０から３までの整数のうち前記数値ｕ，ｖのいずれにも選ばれなかった整数として与えられる数値をｗと定義し、
   前記変調ステップは、上記６種類の代表組み合わせＳ_jのそれぞれにおける前記離散値ｓ_k,iについて、
   ｓ'_2u,i=ｓ_2v,i
   ｓ'_2u+1,i=ｓ_2v+1,i
   ｓ'_2u+8,i=ｓ_2v+8,i
   ｓ'_2u+9,i=ｓ_2v+9,i
   ｓ'_2w,i=ｓ_2w,i
   ｓ'_2w+1,i=ｓ_2w+1,i
   ｓ'_2w+8,i=ｓ_2w+8,i
   ｓ'_2w+9,i=ｓ_2w+9,i
   となる入れ替えを行なって得られた組み合わせＳ'_j＝（ｓ'_0,i，ｓ'_1,i，ｓ'_2,i，ｓ'_3,i，ｓ'_4,i，ｓ'_5,i，ｓ'_6,i，ｓ'_7,i，ｓ'_8,i，ｓ'_9,i，ｓ'_10,i，ｓ'_11,i，ｓ'_12,i，ｓ'_13,i，ｓ'_14,i，ｓ'_15,i）を用いて前記符号化信号を生成する、
   ことを特徴とする、請求項６記載の暗号化方法。
8. ０から７までの整数として与えられる数値をｍと定義するとともに、０から７までの整数のうち前記数値ｍに選ばれなかった整数として与えられる数値をｎと定義し、
   前記変調ステップは、上記６種類の代表組み合わせＳ'_jのそれぞれにおける前記離散値ｓ'_k,iについて、
   ｓ"_2m+1,i=ｓ'_2m,i
   ｓ"_2m,i=ｓ'_2m+1,i
   ｓ"_2n,i=ｓ'_2n,i
   ｓ"_2n+1,i=ｓ'_2n+1,i
   となる入れ替えを行なって得られた組み合わせＳ"_j＝（ｓ"_0,i，ｓ"_1,i，ｓ"_2,i，ｓ"_3,i，ｓ"_4,i，ｓ"_5,i，ｓ"_6,i，ｓ"_7,i，ｓ"_8,i，ｓ"_9,i，ｓ"_10,i，ｓ"_11,i，ｓ"_12,i，ｓ"_13,i，ｓ"_14,i，ｓ"_15,i）を用いて前記符号化信号を生成する、
   ことを特徴とする、請求項７記載の暗号化方法。
9. 前記擬似乱数生成部、前記物理乱数生成部、および前記変調部は、前記暗号鍵および前記擬似乱数の漏洩を抑止するとともに、前記物理乱数生成部によって生成される物理乱数の、物理的擾乱による確率分布変動を抑止する、耐タンパ領域に配置されていることを特徴とする、請求項５記載の暗号化装置。
10. 前記擬似乱数生成部は、前記擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成されていることを特徴とする、請求項９記載の暗号化装置。
11. 前記擬似乱数生成部に前記擬似乱数の生成動作を実行させるクロック信号の入力回数を前記擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の擬似乱数出力回数保持部と、
    前記擬似乱数生成部による擬似乱数生成動作と、前記符号化信号の送信先通信装置における暗号復号化装置の復調用擬似乱数生成部による復調用擬似乱数生成動作とを同期させるために、前記擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記擬似乱数生成部からの前記擬似乱数の出力回数を調整する同期調整部とをそなえた、
    ことを特徴とする、請求項１０記載の暗号化装置。
12. 前記送信先通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、
    前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信先通信装置に送信する暗号送信部と、
    前記送信先通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて復調用擬似乱数の出力回数に復号化する復号受信部とをそなえ、
    前記同期調整部は、前記復号受信部によって復号化された、前記送信先通信装置側の前記復調用擬似乱数の出力回数が、前記擬似乱数出力回数保持部から読み出された前記擬似乱数の出力回数よりも大きい場合、前記擬似乱数生成部からの前記擬似乱数の出力回数を前記送信先通信装置側の前記復調用擬似乱数の出力回数に合わせるように調整することを特徴とする、請求項１１記載の暗号化装置。
13. １ビットの入力データを擬似乱数、および物理乱数により定まる離散値に対応させる変調を行なって得られた符号化信号であって、
    前記変調に際して、前記擬似乱数の状態数を４、前記物理乱数の状態数を２、前記離散値の状態数を４とし、
    １）前記符号化信号は前記擬似乱数により前記入力データに復調可能であり、
    ２）前記離散値の特定の値に対応する前記入力データ、前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データの２値それぞれに対して数が等しく、
    ３）前記入力データのそれぞれの値と前記離散値のそれぞれの値に対応する前記擬似乱数、および前記物理乱数の組み合わせの数は、前記入力データおよび前記離散値のいずれの組み合わせに対しても等しく対応付けられている、符号化信号を、前記入力データに復調する暗号復号化装置であって、
    前記変調に用いられた前記擬似乱数を生成した暗号鍵と同一の暗号鍵に基づく復調用擬似乱数を生成する復調用擬似乱数生成部と、
    該復調用擬似乱数生成部によって生成された擬似乱数により、前記符号化信号を前記入力データに復調する復調部とをそなえた、
    ことを特徴とする、暗号復号化装置。
14. 前記復調用擬似乱数生成部および前記復調部は、前記暗号鍵および前記復調用擬似乱数の漏洩を防止する耐タンパ領域に配置されていることを特徴とする、請求項１３記載の暗号復号化装置。
15. 前記復調用擬似乱数生成部は、前記復調用擬似乱数の生成動作のリセットおよび繰り返しを禁止するように構成されていることを特徴とする、請求項１４記載の暗号復号化装置。
16. 前記復調用擬似乱数生成部に前記復調用擬似乱数の生成動作を実行させるクロック信号の入力回数を前記復調用擬似乱数の出力回数として保持し、前記耐タンパ領域外からの命令に応じて前記出力回数を前記耐タンパ領域外へ出力する、不揮発性の復調用擬似乱数出力回数保持部と、
    前記復調用擬似乱数生成部による復調用擬似乱数生成動作と、前記符号化信号の送信元通信装置における暗号化装置の擬似乱数生成部による擬似乱数生成動作とを同期させるために、前記復調用擬似乱数出力回数保持部から読み出された前記出力回数に基づいて、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を調整する同期調整部とをそなえた、
    ことを特徴とする、請求項１５記載の暗号復号化装置。
17. 前記送信元通信装置と同一の乱数表を保持する、不揮発性の乱数表保持部と、
    前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数を、前記乱数表保持部に保持された前記乱数表に基づいて暗号化し暗号化同期情報として前記送信元通信装置に送信する暗号送信部と、
    前記送信元通信装置から受信した暗号化同期情報を、前記乱数表保持部に保持された前記乱数表に基づいて擬似乱数の出力回数に復号化する復号受信部とをそなえ、
    前記同期調整部は、前記復号受信部によって復号化された、前記送信元通信装置側の前記擬似乱数の出力回数が、前記復調用擬似乱数出力回数保持部から読み出された前記復調用擬似乱数の出力回数よりも大きい場合、前記復調用擬似乱数生成部からの前記復調用擬似乱数の出力回数を前記送信元通信装置側の前記擬似乱数の出力回数に合わせるように調整することを特徴とする、請求項１６記載の暗号復号化装置。
18. 請求項５，請求項９〜請求項１２のいずれか一項に記載の暗号化装置であって、前記符号化信号の送信元通信装置にそなえられ、前記符号化信号を送信先通信装置に複数のパケットとして送信する暗号化装置と、
    請求項１３〜請求項１７のいずれか一項に記載の暗号復号化装置であって、前記符号化信号の送信先通信装置にそなえられ、前記送信元通信装置の前記暗号化装置から受信した各パケットにおける前記符号化信号を前記入力データに復調する暗号復号化装置とをそなえ、
    前記暗号化装置から前記暗号復号化装置に送信される各パケットのヘッダ部に、前記複数のパケットについての通し番号、または、各パケットのコンテナ部における前記符号化信号の変調時に用いられた前記擬似乱数の出力回数が記述され、
    前記暗号復号化装置は、
    前記暗号化装置からの前記複数のパケットを保持するパケット保持部と、
    前記パケット保持部に保持された前記複数のパケットを、各パケットのヘッダ部に記述された前記通し番号または前記出力回数に従う順序に並べ替えて前記復調部に入力する並べ替え部とをそなえている、
    ことを特徴とする、通信システム。
19. 前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、前記通し番号または前記出力回数が含まれ、
    前記暗号復号化装置は、
    各パケットのヘッダ部に記述された前記通し番号または前記出力回数と、前記復調部による前記符号化信号の復調結果に含まれる前記通し番号または前記出力回数とを比較する第１比較部と、
    前記第１比較部による比較の結果、これらの通し番号または出力回数が不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえている、
    ことを特徴とする、請求項１８記載の通信システム。
20. 前記暗号化装置から前記暗号復号化装置に送信される各パケットのコンテナ部における前記符号化信号に、当該パケットについて固有の認証コードとして、前記擬似乱数生成部によって生成された擬似乱数列が含まれ、
    前記暗号復号化装置は、
    前記復調部による前記符号化信号の復調結果に含まれる前記認証コードと、前記復調用擬似乱数生成部によって生成された、当該認証コードに対応する復調用擬似乱数列とを比較する第２比較部と、
    前記第２比較部による比較の結果、これらの認証コードが不一致であった場合、当該パケットを破棄するパケット破棄部とをそなえている、
    ことを特徴とする、請求項１８または請求項１９に記載の通信システム。

Images