JP2009169316A

JP2009169316A - ハッシュ関数演算装置及び署名装置及びプログラム及びハッシュ関数演算方法

Info

Publication number: JP2009169316A
Application number: JP2008010014A
Authority: JP
Inventors: Yusuke Naito; 祐介内藤
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2008-01-21
Filing date: 2008-01-21
Publication date: 2009-07-30

Abstract

【課題】ＳＰＲ性あるいはｐＳＰＲ性を満たす圧縮関数を用いて、ｅＴＣＲ性を満たすハッシュ関数を構成する。
【解決手段】並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、圧縮関数を計算する。並列処理部１３０は、メッセージ入力部１１０が入力した入力メッセージＭと、ハッシュ鍵入力部１２０が入力した並列ハッシュ鍵Ｋ_１とに基づいて、並列圧縮関数演算部１５０を呼び出して、複数の圧縮ビット列ｈ_ｉを生成する。直列処理部１６０は、並列処理部１３０が生成した複数の圧縮ビット列ｈ_ｉと、ハッシュ鍵入力部１２０が入力した直列ハッシュ鍵Ｋ_２とに基づいて、直列圧縮関数演算部１８０を呼び出して、ハッシュ値Ｈを算出する。
【選択図】図５

Description

この発明は、電子署名などに利用されるハッシュ関数を演算するハッシュ関数演算装置に関する。

電子署名などに利用されるハッシュ関数は、ＣＲ（ＣｏｌｌｉｓｉｏｎＲｅｓｉｓｔａｎｃｅ）性を満たすことが要求される。近年、従来使われてきたＭＤ（ＭｅｓｓａｇｅＤｉｇｅｓｔＡｌｇｏｒｉｔｈｍ）５やＳＨＡ（ＳｅｃｕｒｅＨａｓｈＡｌｇｏｒｉｔｈｍ）−１などのハッシュ関数は、ＣＲ性を満たさないことが判明し、ＣＲ性を満たすハッシュ関数を構成することが困難であることが認識された。
そこで、電子署名などにおいては、ＣＲ性を満たすハッシュ関数を用いる代わりに、ＴＣＲ（ＴａｒｇｅｔＣｏｌｌｉｓｉｏｎＲｅｓｉｓｔａｎｃｅ）性あるいはｅＴＣＲ（ｅｎｈａｎｃｅｄ−ＴＣＲ）性を満たす鍵付きハッシュ関数を用いることが提案されている。ここで、ｅＴＣＲ性を満たす鍵付きハッシュ関数のほうが、ＴＣＲ性を満たす鍵付きハッシュ関数よりも効率的である。

ハッシュ関数は、通常、圧縮関数を用いて構成される。
非特許文献１には、ｅＳＰＲ（ｅｖａｌｕａｔｅｄ−ＳＰＲ）性を満たす圧縮関数を用いて、ｅＴＣＲ性を満たす鍵付きハッシュ関数を構成する方法が開示されている。
非特許文献２、非特許文献３、非特許文献４、非特許文献５には、ＴＣＲ性を満たす圧縮関数を用いて、ＴＣＲ性を満たす鍵付きハッシュ関数を構成する方法が開示されている。
また、非特許文献３には、ＳＰＲ（ＳｅｃｏｎｄＰｒｅ−ｉｍａｇｅＲｅｓｉｓｔａｎｃｅ）性を満たす圧縮関数を用いて、ＴＣＲ性を満たす鍵付きハッシュ関数を構成する方法が開示されている。
Ｓ．Ｈａｌｅｖｉ、Ｈ．Ｋｒａｗｃｚｙｋ「ＳｔｒｅｎｇｔｈｅｎｉｎｇＤｉｇｉｔａｌＳｉｇｎａｔｕｒｅｓｖｉａＲａｎｄｏｍｉｚｅｄＨａｓｈｉｎｇ」ＣＲＹＰＴＯ２００６、４１〜５９ページ。Ｍ．Ｂｅｌｌａｒｅ、Ｐ．Ｒｏｇａｗａｙ「Ｃｏｌｌｉｓｉｏｎ−ＲｅｓｉｓｔａｎｔＨａｓｈｉｎｇ：ＴｏｗａｒｄＭａｋｉｎｇＵＷＯＨＦｓＰｒａｃｔｉｃａｌ」ＣＲＹＰＴＯ’９７、４７０〜４８４ページ。Ｖ．Ｓｈｏｕｐ「ＡＣｏｍｐｏｓｉｔｉｏｎＴｈｅｏｒｅｍｆｏｒＵｎｉｖｅｒｓａｌＯｎｅ−ＷａｙＨａｓｈＦｕｎｃｔｉｏｎｓ」ＥＵＲＯＣＲＹＰＴ２０００、４４５〜４５２ページ。Ｗ．Ｌｅｅ、Ｄ．Ｃｈａｎｇ、Ｓ．Ｌｅｅ、Ｓ．Ｈ．Ｓｕｎｇ、Ｍ．Ｎａｎｄｉ「ＮｅｗＰａｒａｌｌｅｌＤｏｍａｉｎＥｘｔｅｎｄｅｒｓｆｏｒＵＯＷＨＦ」ＡＳＩＡＣＲＹＰＴ２００３、２０８〜２２７ページ。Ｎ．Ｎａｎｄｉ「ＡＳｕｆｆｉｃｉｅｎｔＣｏｎｄｉｔｉｏｎｆｏｒＯｐｔｉｍａｌＤｏｍａｉｎＥｘｔｅｎｄｅｒｏｆＵＯＷＨＦｓ」ＳＡＣ２００４、３４１〜３５４ページ。Ｍ．Ｎａｏｒ、Ｍ．Ｙｕｎｇ「ＵｎｉｖｅｒｓａｌＯｎｅ−ＷａｙＨａｓｈＦｕｎｃｔｉｏｎｓａｎｄｔｈｅｉｒＣｒｙｐｔｇｒａｐｈｉｃＡｐｐｌｉｃａｔｉｏｎｓ」ＳＴＯＣ’８９、３３−４３ページ。Ｐ．Ｓａｒｋａｒ「ＭａｓｋｉｎｇＢａｓｅｄＤｏｍａｉｎＥｘｔｅｎｄｅｒｓｆｏｒＵＯＷＨＦｓ：ＢｏｕｎｄｓａｎｄＣｏｎｓｔｒｕｃｔｉｏｎｓ」ＡＳＩＡＣＲＹＰＴ２００４、１８７〜２００ページ。

一般に、ｅＳＰＲ性を満たす圧縮関数を構成することは、ＳＰＲ性あるいはｐＳＰＲ（ｐａｒｔｉａｌ−ＳＰＲ）性を満たす圧縮関数を構成するよりも難しい。

この発明は、例えば、上記のような課題を解決するためになされたものであり、ＳＰＲ性あるいはｐＳＰＲ性を満たす圧縮関数を用いて、ｅＴＣＲ性を満たすハッシュ関数を構成することを目的とする。

この発明にかかるハッシュ関数演算装置は、
データを処理する処理装置と、並列圧縮関数演算部と、直列圧縮関数演算部と、メッセージ入力部と、並列処理部と、直列処理部と、ハッシュ値出力部とを有し、
上記並列圧縮関数演算部は、上記処理装置を用いて、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）の入力ビット列を入力し、入力した入力ビット列に基づいてｂ_１ビット（ただし、ｂ_１は１以上ａ_１未満の所定の整数。）の並列出力ビット列を生成し、
上記直列圧縮関数演算部は、上記処理装置を用いて、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、上記ｂ_２ビットの直列出力ビット列を生成し、
上記メッセージ入力部は、上記処理装置を用いて、Ｌ_１ビット（ただし、Ｌ_１は１以上の任意の整数。）のビット列を入力して入力メッセージＭとし、
上記並列処理部は、上記処理装置を用いて、上記メッセージ入力部が入力した入力メッセージＭに基づいて、上記ａ_１ビットの複数の並列ビット列ｍ”を生成し、生成した複数の並列ビット列ｍ”それぞれを上記入力ビット列として上記並列圧縮関数演算部に入力し、上記並列圧縮関数演算部が入力した複数の並列ビット列ｍ”それぞれに対して生成した複数の並列出力ビット列を取得して複数の圧縮ビット列ｈとし、
上記直列処理部は、上記処理装置を用いて、上記並列処理部が取得した複数の圧縮ビット列ｈに基づいて、上記ａ_２ビットの複数の直列ビット列ｙを生成し、生成した複数の直列ビット列ｙのうち少なくともいずれかの直列ビット列ｙと、上記直列ビット列ｙと異なる他の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算部に入力し、上記直列圧縮関数演算部が入力した直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記直列ビット列ｙに基づいて生成された中間ビット列ｃとし、取得した中間ビット列ｃのうちのいずれかをハッシュ値Ｈとし、
上記ハッシュ値出力部は、上記処理装置を用いて、上記直列処理部が取得したハッシュ値Ｈを出力することを特徴とする。

この発明にかかるハッシュ関数演算装置によれば、並列圧縮関数演算部及び直列圧縮関数演算部が計算する圧縮関数がＳＰＲ性あるいはｐＳＰＲ性を満たす圧縮関数であれば、ｅＴＣＲ性を満たすハッシュ関数を演算することができるという効果を奏する。

実施の形態１．
実施の形態１について、図１〜図１０を用いて説明する。

ハッシュ関数演算装置１００は、任意のビット数のビット列（以下「入力メッセージ」と呼ぶ。）と、所定のビット数のビット列（以下「ハッシュ鍵」と呼ぶ。）とを入力し、入力した入力メッセージとハッシュ鍵とに基づいて、所定のビット数のビット列（以下「鍵付きハッシュ値」と呼ぶ。）を算出する装置である。
ハッシュ関数演算装置１００は、例えば、署名装置や署名検証装置で用いられる。この実施の形態では、ハッシュ関数演算装置１００を署名装置や署名検証装置に用いる場合について説明するが、ハッシュ関数演算装置１００は、署名装置や署名検証装置以外のシステムで利用してもよい。

図１は、この実施の形態における署名装置８１０の構成の一例を示す全体構成図である。
署名装置８１０は、署名対象メッセージ入力部８１１、ハッシュ鍵生成部８１２、ハッシュ関数演算装置１００、署名関数演算部８１３、署名出力部８１４を有する。

署名対象メッセージ入力部８１１は、署名の対象であるビット列Ｍ（以下「署名対象メッセージ」と呼ぶ。）を入力する。
ハッシュ鍵生成部８１２は、所定のビット数のハッシュ鍵Ｋをランダムに生成する。
ハッシュ関数演算装置１００は、署名対象メッセージ入力部８１１が入力した署名対象メッセージＭと、ハッシュ鍵生成部８１２が生成したハッシュ鍵Ｋとに基づいて、鍵付きハッシュ値Ｈを算出する。
署名関数演算部８１３は、ハッシュ関数演算装置１００が算出した鍵付きハッシュ値Ｈに基づいて、署名ｓを生成する。例えば、署名関数演算部８１３は、署名者の秘密鍵を用いて、鍵付きハッシュ値Ｈを暗号化し、署名ｓとする。
署名出力部８１４は、ハッシュ鍵生成部８１２が生成したハッシュ鍵Ｋと、署名関数演算部８１３が生成した署名ｓとを、署名対象メッセージＭに対する署名として出力する。

図２は、この実施の形態における署名検証装置８２０の構成の一例を示す全体構成図である。
署名検証装置８２０は、署名対象メッセージ入力部８２１、署名入力部８２２、ハッシュ関数演算装置１００、署名復号演算部８２３、署名比較部８２４を有する。

署名対象メッセージ入力部８２１は、署名装置８１０により署名を付された署名対象メッセージＭを入力する。
署名入力部８２２は、署名装置８１０が署名対象メッセージＭに対する署名として出力したハッシュ鍵Ｋ及び署名ｓを入力する。
ハッシュ関数演算装置１００は、署名対象メッセージ入力部８２１が入力した署名対象メッセージＭと署名入力部８２２が入力したハッシュ鍵Ｋとに基づいて、鍵付きハッシュ値Ｈを算出する。
署名復号演算部８２３は、署名入力部８２２が入力した署名ｓに基づいて、復号ビット列Ｈ’を生成する。例えば、署名復号演算部８２３は、署名装置８１０が用いた署名者の秘密鍵に対応する公開鍵を用いて、署名ｓを復号し、復号ビット列Ｈ’とする。
署名比較部８２４は、ハッシュ関数演算装置１００が算出した鍵付きハッシュ値Ｈと、署名復号演算部８２３が生成した復号ビット列Ｈ’とを比較して、一致するか否かを判定する。鍵付きハッシュ値Ｈと復号ビット列Ｈ’とが一致した場合、署名比較部８２４は、署名が有効であると判定する。鍵付きハッシュ値Ｈと復号ビット列Ｈ’とが一致しない場合、署名比較部８２４は、署名が有効でないと判定する。署名比較部８２４は、判定結果を出力する。

図３は、この実施の形態における署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００の外観の一例を示す図である。
署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００は、システムユニット９１０、ＣＲＴ（Ｃａｔｈｏｄｅ・Ｒａｙ・Ｔｕｂｅ）やＬＣＤ（液晶）の表示画面を有する表示装置９０１、キーボード９０２（Ｋｅｙ・Ｂｏａｒｄ：Ｋ／Ｂ）、マウス９０３、ＦＤＤ９０４（Ｆｌｅｘｉｂｌｅ・Ｄｉｓｋ・Ｄｒｉｖｅ）、コンパクトディスク装置９０５（ＣＤＤ）、プリンタ装置９０６、スキャナ装置９０７などのハードウェア資源を備え、これらはケーブルや信号線で接続されている。
システムユニット９１０は、コンピュータであり、ファクシミリ機９３２、電話器９３１とケーブルで接続され、また、ローカルエリアネットワーク９４２（ＬＡＮ）、ゲートウェイ９４１を介してインターネット９４０に接続されている。

図４は、この実施の形態における署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００のハードウェア資源の一例を示す図である。
署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００は、プログラムを実行するＣＰＵ９１１（Ｃｅｎｔｒａｌ・Ｐｒｏｃｅｓｓｉｎｇ・Ｕｎｉｔ、中央処理装置、処理装置、演算装置、マイクロプロセッサ、マイクロコンピュータ、プロセッサともいう）を備えている。ＣＰＵ９１１は、バス９１２を介してＲＯＭ９１３、ＲＡＭ９１４、通信装置９１５、表示装置９０１、キーボード９０２、マウス９０３、ＦＤＤ９０４、ＣＤＤ９０５、プリンタ装置９０６、スキャナ装置９０７、磁気ディスク装置９２０と接続され、これらのハードウェアデバイスを制御する。磁気ディスク装置９２０の代わりに、光ディスク装置、メモリカード読み書き装置などの記憶装置でもよい。
ＲＡＭ９１４は、揮発性メモリの一例である。ＲＯＭ９１３、ＦＤＤ９０４、ＣＤＤ９０５、磁気ディスク装置９２０の記憶媒体は、不揮発性メモリの一例である。これらは、記憶装置あるいは記憶部の一例である。
通信装置９１５、キーボード９０２、スキャナ装置９０７、ＦＤＤ９０４などは、入力部、入力装置の一例である。
また、通信装置９１５、表示装置９０１、プリンタ装置９０６などは、出力部、出力装置の一例である。

通信装置９１５は、ファクシミリ機９３２、電話器９３１、ＬＡＮ９４２等に接続されている。通信装置９１５は、ＬＡＮ９４２に限らず、インターネット９４０、ＩＳＤＮ等のＷＡＮ（ワイドエリアネットワーク）などに接続されていても構わない。インターネット９４０或いはＩＳＤＮ等のＷＡＮに接続されている場合、ゲートウェイ９４１は不用となる。
磁気ディスク装置９２０には、オペレーティングシステム９２１（ＯＳ）、ウィンドウシステム９２２、プログラム群９２３、ファイル群９２４が記憶されている。プログラム群９２３のプログラムは、ＣＰＵ９１１、オペレーティングシステム９２１、ウィンドウシステム９２２により実行される。

上記プログラム群９２３には、以下に述べる実施の形態の説明において「〜部」として説明する機能を実行するプログラムが記憶されている。プログラムは、ＣＰＵ９１１により読み出され実行される。
ファイル群９２４には、以下に述べる実施の形態の説明において、「〜の判定結果」、「〜の計算結果」、「〜の処理結果」として説明する情報やデータや信号値や変数値やパラメータが、「〜ファイル」や「〜データベース」の各項目として記憶されている。「〜ファイル」や「〜データベース」は、ディスクやメモリなどの記録媒体に記憶される。ディスクやメモリになどの記憶媒体に記憶された情報やデータや信号値や変数値やパラメータは、読み書き回路を介してＣＰＵ９１１によりメインメモリやキャッシュメモリに読み出され、抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示などのＣＰＵの動作に用いられる。抽出・検索・参照・比較・演算・計算・処理・出力・印刷・表示のＣＰＵの動作の間、情報やデータや信号値や変数値やパラメータは、メインメモリやキャッシュメモリやバッファメモリに一時的に記憶される。
また、以下に述べる実施の形態の説明において説明するフローチャートの矢印の部分は主としてデータや信号の入出力を示し、データや信号値は、ＲＡＭ９１４のメモリ、ＦＤＤ９０４のフレキシブルディスク、ＣＤＤ９０５のコンパクトディスク、磁気ディスク装置９２０の磁気ディスク、その他光ディスク、ミニディスク、ＤＶＤ（Ｄｉｇｉｔａｌ・Ｖｅｒｓａｔｉｌｅ・Ｄｉｓｋ）等の記録媒体に記録される。また、データや信号は、バス９１２や信号線やケーブルその他の伝送媒体によりオンライン伝送される。

また、以下に述べる実施の形態の説明において「〜部」として説明するものは、「〜回路」、「〜装置」、「〜機器」であってもよく、また、「〜ステップ」、「〜手順」、「〜処理」であってもよい。すなわち、「〜部」として説明するものは、ＲＯＭ９１３に記憶されたファームウェアで実現されていても構わない。或いは、ソフトウェアのみ、或いは、素子・デバイス・基板・配線などのハードウェアのみ、或いは、ソフトウェアとハードウェアとの組み合わせ、さらには、ファームウェアとの組み合わせで実施されても構わない。ファームウェアとソフトウェアは、プログラムとして、磁気ディスク、フレキシブルディスク、光ディスク、コンパクトディスク、ミニディスク、ＤＶＤ等の記録媒体に記憶される。プログラムはＣＰＵ９１１により読み出され、ＣＰＵ９１１により実行される。すなわち、プログラムは、以下に述べる「〜部」としてコンピュータを機能させるものである。あるいは、以下に述べる「〜部」の手順や方法をコンピュータに実行させるものである。

図５は、この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図である。
ハッシュ関数演算装置１００は、メッセージ入力部１１０、ハッシュ鍵入力部１２０、並列処理部１３０、並列圧縮関数演算部１５０、直列処理部１６０、直列圧縮関数演算部１８０、ハッシュ値出力部１９０を有する。

並列圧縮関数演算部１５０は、ＣＰＵ９１１を用いて、並列処理部１３０から呼び出されて、圧縮関数を計算する。
並列圧縮関数演算部１５０は、ＣＰＵ９１１を用いて、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）のビット列（以下「入力ビット列」と呼ぶ。）を入力し、入力した入力ビット列に基づいて、ｂ_１ビット（ただし、ｂ１は１以上の所定の整数。）のビット列（以下「並列出力ビット列」と呼ぶ。）を生成する。並列圧縮関数演算部１５０は、ＣＰＵ９１１を用いて、所定の圧縮関数により、入力ビット列を圧縮して並列出力ビット列を生成する。並列圧縮関数演算部１５０は、ＣＰＵ９１１を用いて、生成した並列出力ビット列を出力する。

直列圧縮関数演算部１８０は、ＣＰＵ９１１を用いて、直列処理部１６０から呼び出されて、圧縮関数を計算する。
直列圧縮関数演算部１８０は、ＣＰＵ９１１を用いて、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）のビット列（以下「第一ビット列」と呼ぶ。）と、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、ｂ_２ビットのビット列（以下「直列出力ビット列」と呼ぶ。）を生成する。直列圧縮関数演算部１８０は、ＣＰＵ９１１を用いて、第一ビット列と第二ビット列とを結合してａ_２＋ｂ_２ビットのビット列（以下「第三ビット列」と呼ぶ。）を生成し、所定の圧縮関数により、生成した第三ビット列を圧縮して直列出力ビット列を生成する。直列圧縮関数演算部１８０は、ＣＰＵ９１１を用いて、生成した直列出力ビット列を出力する。

ここで、並列圧縮関数演算部１５０が使用する所定の圧縮関数と、直列圧縮関数演算部１８０が使用する所定の圧縮関数は、同じであってもよいし、異なっていてもよい。二つの圧縮関数が同じである場合、直列圧縮関数演算部１８０は、並列圧縮関数演算部１５０を呼び出すことにより、直列出力ビット列を生成してもよい。すなわち、直列圧縮関数演算部１８０は、ＣＰＵ９１１を用いて、生成した第三ビット列を並列圧縮関数演算部１５０に入力し、並列圧縮関数演算部１５０が入力した第三ビット列に対して出力した並列出力ビット列を取得して、直列出力ビット列としてもよい。

メッセージ入力部１１０は、ＣＰＵ９１１を用いて、入力メッセージＭを入力する。メッセージ入力部１１０は、ＲＡＭ９１４を用いて、入力した入力メッセージＭを記憶する。

ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、ａ_１＋ａ_２−ｋビット（ただし、ｋは１以上ａ_１未満の所定の整数。）のハッシュ鍵Ｋを入力する。ハッシュ鍵入力部１２０が入力するハッシュ鍵Ｋは、ａ_１−ｋビットのビット列Ｋ_１（以下「並列ハッシュ鍵」と呼ぶ。）と、ａ_２ビットのビット列Ｋ_２（以下「直列ハッシュ鍵」）とが結合したビット列である。ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、並列ハッシュ鍵Ｋ_１と直列ハッシュ鍵Ｋ_２とを入力する。ハッシュ鍵入力部１２０は、ＲＡＭ９１４を用いて、入力した並列ハッシュ鍵Ｋ_１及び直列ハッシュ鍵Ｋ_２を記憶する。

並列処理部１３０は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭと、ハッシュ鍵入力部１２０が記憶した並列ハッシュ鍵Ｋ_１とを入力する。並列処理部１３０は、入力した入力メッセージＭと並列ハッシュ鍵Ｋ_１とに基づいて、複数の圧縮ビット列ｈ_ｉ（ただし、ｉは１以上ｎ以下の整数。ｎは並列処理部１３０が生成する圧縮ビット列の数。）を生成する。並列処理部１３０は、ＣＰＵ９１１を用いて、入力メッセージＭ及び並列ハッシュ鍵Ｋ_１から並列圧縮関数演算部１５０に入力する入力ビット列を生成し、生成した入力ビット列を並列圧縮関数演算部１５０に入力する。並列処理部１３０は、ＣＰＵ９１１を用いて、入力した入力ビット列に対して並列圧縮関数演算部１５０が出力した並列出力ビット列を取得する。並列処理部１３０は、ＣＰＵ９１１を用いて、取得した並列出力ビット列に基づいて、ｎ個の圧縮ビット列ｈ_ｉを生成する。並列処理部１３０は、ＲＡＭ９１４を用いて、生成したｎ個の圧縮ビット列ｈ_ｉを記憶する。

直列処理部１６０は、ＣＰＵ９１１を用いて、並列処理部１３０が記憶したｎ個の圧縮ビット列ｈ_ｉと、ハッシュ鍵入力部１２０が記憶した直列ハッシュ鍵Ｋ_２とを入力する。直列処理部１６０は、ＣＰＵ９１１を用いて、入力したｎ個の圧縮ビット列ｈ_ｉと直列ハッシュ鍵Ｋ_２とに基づいて、ハッシュ値Ｈを生成する。直列処理部１６０は、ＣＰＵ９１１を用いて、圧縮ビット列ｈ_ｉ及び直列ハッシュ鍵Ｋ_２から直列圧縮関数演算部１８０に入力する第一ビット列及び第二ビット列を生成し、生成した第一ビット列及び第二ビット列を直列圧縮関数演算部１８０に入力する。直列処理部１６０は、ＣＰＵ９１１を用いて、入力した第一ビット列及び第二ビット列に対して直列圧縮関数演算部１８０が出力した直列出力ビット列を取得する。直列処理部１６０は、ＣＰＵ９１１を用いて、取得した直列出力ビット列に基づいて、ハッシュ値Ｈを生成する。直列処理部１６０は、ＲＡＭ９１４を用いて、生成したハッシュ値Ｈを記憶する。

ハッシュ値出力部１９０は、ＣＰＵ９１１を用いて、直列処理部１６０が記憶したハッシュ値Ｈを入力する。ハッシュ値出力部１９０は、ＣＰＵ９１１を用いて、入力したハッシュ値Ｈを出力する。

図６は、この実施の形態における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図である。

並列処理部１３０は、並列詰め物生成部１３１、並列詰め物結合部１３２、並列分割部１３４、並列生成部１３５、並列圧縮部１３６を有する。
また、ハッシュ鍵入力部１２０は、並列ハッシュ鍵入力部１２１を有する。
また、ハッシュ関数演算装置１００は、並列固定記憶部１４３を有する。

並列ハッシュ鍵入力部１２１は、ＣＰＵ９１１を用いて、並列ハッシュ鍵Ｋ_１を入力する。並列ハッシュ鍵入力部１２１は、ＲＡＭ９１４を用いて、入力した並列ハッシュ鍵Ｋ_１を記憶する。

並列固定記憶部１４３は、ＲＯＭ９１３を用いて、ｋビットのビット列Ｆ（以下「並列固定ビット列」と呼ぶ。）をあらかじめ記憶している。並列固定ビット列Ｆは、あらかじめ定められた所定のビット列である。並列固定ビット列Ｆは、例えば、１ビットのビット列であり、「１」もしくは「０」である。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１−ｋより大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１−ｋの整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。なお、ａ_１は、並列圧縮関数演算部１５０が入力する入力ビット列のビット数である。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットのビット列Ｐ_１（以下「並列詰め物」と呼ぶ。）を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを「０」にした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１−ｋビットが「０」であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

並列詰め物結合部１３２は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭと、並列詰め物生成部１３１が記憶した並列詰め物Ｐ_１とを入力する。並列詰め物結合部１３２は、入力した入力メッセージＭと並列詰め物Ｐ_１とに基づいて、入力メッセージＭと並列詰め物Ｐ_１とを結合したビット列（以下「並列結合ビット列Ｍ^＊」と呼ぶ。）を生成する。例えば、並列詰め物結合部１３２は、ＣＰＵ９１１を用いて、入力メッセージＭの後に、並列詰め物Ｐ_１を結合して、並列結合ビット列Ｍ^＊を生成する。並列詰め物結合部１３２は、ＲＡＭ９１４を用いて、生成した並列結合ビット列Ｍ^＊を記憶する。

並列分割部１３４は、ＣＰＵ９１１を用いて、並列詰め物結合部１３２が記憶した並列結合ビット列Ｍ^＊を入力する。並列分割部１３４は、ＣＰＵ９１１を用いて、入力した並列結合ビット列Ｍ^＊に基づいて、並列結合ビット列Ｍ^＊をａ_１−ｋビットごとに分割した複数のビット列ｍ_ｉ（以下「並列分割ビット列」と呼ぶ。）（ただし、ｉは１以上ｎ以下の整数。ｎは並列分割ビット列ｍ_ｉの数。）を生成する。並列分割部１３４は、ＲＡＭ９１４を用いて、生成したｎ個の並列分割ビット列ｍ_ｉを記憶する。

並列生成部１３５は、ＣＰＵ９１１を用いて、並列ハッシュ鍵入力部１２１が記憶した並列ハッシュ鍵Ｋ_１と、並列固定記憶部１４３が記憶した並列固定ビット列Ｆと、並列分割部１３４が記憶したｎ個の並列分割ビット列ｍ_ｉとを入力する。並列生成部１３５は、ＣＰＵ９１１を用いて、入力した並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉとに基づいて、並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉそれぞれとの間のビットごとの排他的論理和を取り、ｎ個のビット列ｍ_ｉ’（以下「並列撹乱ビット列」と呼ぶ。）（ただし、ｉは１以上ｎ以下の整数。）を生成する。ここで、並列ハッシュ鍵Ｋ_１及びｎ個の並列分割ビット列ｍ_ｉは、それぞれａ_１−ｋビットのビット列であり、並列生成部１３５が生成するｎ個の並列撹乱ビット列ｍ_ｉ’も同じく、ａ_１−ｋビットのビット列である。
並列生成部１３５は、ＣＰＵ９１１を用いて、生成したｎ個の並列撹乱ビット列ｍ_ｉ’と、入力した並列固定ビット列Ｆとに基づいて、ｎ個の並列撹乱ビット列ｍ_ｉ’それぞれと並列固定ビット列Ｆとを結合したｎ個のビット列ｍ_ｉ”（以下「並列ビット列」と呼ぶ。）（ただし、ｉは１以上ｎ以下の整数。）を生成する。例えば、並列生成部１３５は、ＣＰＵ９１１を用いて、ｎ個の並列撹乱ビット列ｍ_ｉ’それぞれの後に、並列固定ビット列Ｆを結合して、ｎ個の並列ビット列ｍ_ｉ”を生成する。並列生成部１３５が生成するｎ個の並列ビット列ｍ_ｉ”のビット数は、ａ_１ビットである。
並列生成部１３５は、ＲＡＭ９１４を用いて、生成したｎ個の並列ビット列ｍ_ｉ”を記憶する。

並列圧縮部１３６は、ＣＰＵ９１１を用いて、並列生成部１３５が記憶したｎ個の並列ビット列ｍ_ｉ”を入力する。並列圧縮部１３６は、ＣＰＵ９１１を用いて、入力したｎ個の並列ビット列ｍ_ｉ”に基づいて、ｎ個の並列ビット列ｍ_ｉ”それぞれを入力ビット列として並列圧縮関数演算部１５０に入力する。並列圧縮部１３６は、ＣＰＵ９１１を用いて、入力したｎ個の並列ビット列ｍ_ｉ”に対して並列圧縮関数演算部１５０が出力したｎ個の並列出力ビット列を取得して、ｎ個の圧縮ビット列ｈ_ｉ（ただし、ｉは１以上ｎ以下の整数。）とする。ここで、並列圧縮部１３６が取得するｎ個の圧縮ビット列ｈ_ｉは、それぞれｂ_１ビットのビット列である。並列圧縮部１３６は、ＲＡＭ９１４を用いて、取得したｎ個の圧縮ビット列ｈ_ｉを記憶する。

図７は、この実施の形態における直列処理部１６０の内部ブロックの一例を示す詳細ブロック構成図である。
直列処理部１６０は、直列詰め物生成部１６１、直列詰め物結合部１６２、直列分割部１６３、直列圧縮部１６６を有する。
また、ハッシュ鍵入力部１２０は、直列ハッシュ鍵入力部１２２を有する。
また、ハッシュ関数演算装置１００は、直列初期値記憶部１４２を有する。

直列ハッシュ鍵入力部１２２は、ＣＰＵ９１１を用いて、直列ハッシュ鍵Ｋ_２を入力する。直列ハッシュ鍵入力部１２２は、ＲＡＭ９１４を用いて、入力した直列ハッシュ鍵Ｋ_２を記憶する。

直列初期値記憶部１４２は、ＲＯＭ９１３を用いて、ｂ_２ビットのビット列ＩＶ（以下「直列初期値ビット列」と呼ぶ。）をあらかじめ記憶している。直列初期値ビット列ＩＶは、あらかじめ定められた所定のビット列である。

直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭと、並列圧縮部１３６が記憶した圧縮ビット列ｈ_ｉの数ｎとを入力する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。なお、直列詰め物生成部１６１は、入力メッセージＭのビット数Ｌ_１を算出する代わりに、並列詰め物生成部１３１が算出した入力メッセージＭのビット数Ｌ_１を取得してもよい。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、入力した圧縮ビット列ｈ_ｉの数ｎに基づいて、ｎ個の圧縮ビット列ｈ_ｉのビット数を合計した整数Ｌ_２を算出する。すなわち、直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、圧縮ビット列ｈ_ｉのビット数ｂ_１と圧縮ビット列ｈ_ｉの数ｎとの積を算出して、整数Ｌ_２とする。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数Ｌ_２に基づいて、以下の条件を満たす整数ｎ_２を算出する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、整数ｎ_２がａ_２＋ｅ_２より大きく、かつ、整数ｎ_２と整数Ｌ_２との和ｎ_２＋Ｌ_２がａ_２の整数倍となる整数ｎ_２のうち、最小の整数ｎ_２を算出する。なお、ａ_２は、直列圧縮関数演算部１８０が入力する第一ビット列のビット数である。また、ｅ_２は、１以上の所定の整数であり、例えば、６４である。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数ｎ_２に基づいて、ｎ_２ビットのビット列Ｐ_２（以下「直列詰め物」と呼ぶ。）を生成する。例えば、直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、ａ_２ビットのビット列（以下「直列第一詰め物ビット列」と呼ぶ。）と、ｎ_２−ａ_２ビットのビット列（以下「直列第二詰め物ビット列」と呼ぶ。）とからなる直列詰め物Ｐ_２を生成する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、直列第一詰め物ビット列として、すべてのビットが「０」であるビット列を生成する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、直列第二詰め物ビット列として、最初のビットを「１」、残りのビットを、入力メッセージＭのビット数Ｌ_１を二進数で表現したビット列としたビット列を生成する。ここで、直列詰め物生成部１６１が整数ｎ_２を算出する際の条件より、直列第二詰め物ビット列は、ｅ_２ビットより長い。
なお、直列詰め物生成部１６１が生成する直列第二詰め物ビット列は、最後からｅ_２ビットが入力メッセージＭのビット数Ｌ_１を表わす二進数であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
直列詰め物生成部１６１は、ＲＡＭ９１４を用いて、生成した直列第一詰め物ビット列と直列第二詰め物ビット列とを記憶する。

直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、並列圧縮部１３６が記憶したｎ個の圧縮ビット列ｈ_ｉと、直列詰め物生成部１６１が生成した直列第一詰め物ビット列及び直列第二詰め物ビット列とを入力する。直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、入力したｎ個の圧縮ビット列ｈ_ｉと直列第一詰め物ビット列と直列第二詰め物ビット列とに基づいて、直列第一詰め物ビット列と、ｎ個の圧縮ビット列ｈ_ｉと、直列第二詰め物ビット列とをすべて結合したビット列（以下「直列結合ビット列Ｈ^＊」と呼ぶ。）を生成する。例えば、直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、直列第一詰め物ビット列の後に、ｎ個の圧縮ビット列ｈ_ｉを順番に結合し、更にその後に、直列第二詰め物ビット列を結合して、直列結合ビット列Ｈ^＊を生成する。直列詰め物結合部１６２は、ＲＡＭ９１４を用いて、生成した直列結合ビット列Ｈ^＊を記憶する。

直列分割部１６３は、分割部１６４、直列生成部１６５を有する。
分割部１６４は、ＣＰＵ９１１を用いて、直列詰め物結合部１６２が記憶した直列結合ビット列Ｈ^＊を入力する。分割部１６４は、ＣＰＵ９１１を用いて、入力した直列結合ビット列Ｈ^＊に基づいて、直列結合ビット列Ｈ^＊をａ_２ビットごとに分割した複数のビット列ｘ_ｉ（以下「直列分割ビット列」と呼ぶ。）（ただし、ｉは１以上ｓ以下の整数。ｓは直列分割ビット列の数。）を生成する。分割部１６４は、ＲＡＭ９１４を用いて、生成したｓ個の直列分割ビット列ｘ_ｉを記憶する。
直列生成部１６５は、ＣＰＵ９１１を用いて、直列ハッシュ鍵入力部１２２が記憶した直列ハッシュ鍵Ｋ_２と、分割部１６４が記憶したｓ個の直列分割ビット列ｘ_ｉとを入力する。直列生成部１６５は、ＣＰＵ９１１を用いて、入力した直列ハッシュ鍵Ｋ_２とｓ個の直列分割ビット列ｘ_ｉとに基づいて、直列ハッシュ鍵Ｋ_２とｓ個の直列分割ビット列ｘ_ｉそれぞれとの間の排他的論理和を取り、ｓ個のビット列ｙ_ｉ（以下「直列ビット列」と呼ぶ。）（ただし、ｉは１以上ｓ以下の整数。）を生成する。ここで、直列ハッシュ鍵Ｋ_２及びｓ個の直列分割ビット列ｘ_ｉは、それぞれａ_２ビットのビット列であり、直列生成部１６５が生成するｓ個の直列ビット列ｙ_ｉも同じく、ａ_２ビットのビット列である。
直列生成部１６５は、ＲＡＭ９１４を用いて、生成したｓ個の直列ビット列ｙ_ｉを記憶する。

直列圧縮部１６６は、ＣＰＵ９１１を用いて、直列初期値記憶部１４２が記憶した直列初期値ビット列ＩＶと、直列生成部１６５が記憶したｓ個の直列ビット列ｙ_ｉとを入力する。直列圧縮部１６６は、ＣＰＵ９１１を用いて、入力した直列初期値ビット列ＩＶとｓ個の直列ビット列ｙ_ｉとに基づいて、鍵付きハッシュ値Ｈを算出する。

まず、直列圧縮部１６６は、ＣＰＵ９１１を用いて、ｓ個の直列ビット列ｙ_ｉのうち最初の直列ビット列ｙ_１を第一ビット列として直列圧縮関数演算部１８０に入力し、直列初期値ビット列ＩＶを第二ビット列として直列圧縮関数演算部１８０に入力する。直列圧縮部１６６は、ＣＰＵ９１１を用いて、入力した直列ビット列ｙ_１及び直列初期値ビット列ＩＶに対して直列圧縮関数演算部１８０が出力した直列出力ビット列を取得して、最初の中間ビット列ｃ_１とする。
次に、直列圧縮部１６６は、ＣＰＵ９１１を用いて、ｓ個の直列ビット列ｙ_ｉのうち２番目の直列ビット列ｙ_２を第一ビット列として直列圧縮関数演算部１８０に入力し、取得した最初の中間ビット列ｃ_１を第二ビット列として直列圧縮関数演算部１８０に入力する。直列圧縮部１６６は、ＣＰＵ９１１を用いて、入力した直列ビット列ｙ_２及び中間ビット列ｃ_１に対して直列圧縮関数演算部１８０が出力した直列出力ビット列を取得して、２番目の中間ビット列ｃ_２とする。
以下、これを繰り返す。すなわち、直列圧縮部１６６は、ＣＰＵ９１１を用いて、ｉ番目の直列ビット列ｙ_ｉを第一ビット列として直列圧縮関数演算部１８０に入力し、ｉ−１番目の中間ビット列ｃ_ｉ−１を第二ビット列として直列圧縮関数演算部１８０に入力する。直列圧縮部１６６は、ＣＰＵ９１１を用いて、入力した直列ビット列ｙ_ｉ及び中間ビット列ｃ_ｉ−１に対して直列圧縮関数演算部１８０が出力した直列出力ビット列を取得して、ｉ番目の中間ビット列ｃ_ｉとする。
ｓ番目の中間ビット列ｃ_ｓを取得した場合、直列圧縮部１６６は、ＲＡＭ９１４を用いて、取得したｓ番目の中間ビット列ｃ_ｓを、鍵付きハッシュ値Ｈとして記憶する。

次に、動作について説明する。

図８は、この実施の形態におけるハッシュ関数演算装置１００が鍵付きハッシュ値を算出するハッシュ関数演算処理の流れの一例を示すフローチャート図である。
ハッシュ関数演算処理は、メッセージ入力工程Ｓ７１０、ハッシュ鍵入力工程Ｓ７２０、並列処理工程Ｓ７３０、直列処理工程Ｓ７６０、ハッシュ値出力工程Ｓ７９０を有する。

メッセージ入力工程Ｓ７１０において、メッセージ入力部１１０は、ＣＰＵ９１１を用いて、入力メッセージＭを入力する。
ハッシュ鍵入力工程Ｓ７２０において、ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、ハッシュ鍵Ｋ（並列ハッシュ鍵Ｋ_１及び直列ハッシュ鍵Ｋ_２）を入力する。
並列処理工程Ｓ７３０において、並列処理部１３０は、ＣＰＵ９１１を用いて、メッセージ入力工程Ｓ７１０でメッセージ入力部１１０が入力した入力メッセージＭと、ハッシュ鍵入力工程Ｓ７２０でハッシュ鍵入力部１２０が入力した並列ハッシュ鍵Ｋ_１とに基づいて、ｎ個の圧縮ビット列ｈ_ｉを生成する。
直列処理工程Ｓ７６０において、直列処理部１６０は、ＣＰＵ９１１を用いて、並列処理工程Ｓ７３０で並列処理部１３０が生成したｎ個の圧縮ビット列ｈ_ｉと、ハッシュ鍵入力工程Ｓ７２０でハッシュ鍵入力部１２０が入力した直列ハッシュ鍵Ｋ_２とに基づいて、鍵付きハッシュ値Ｈを生成する。
ハッシュ値出力工程Ｓ７９０において、ハッシュ値出力部１９０は、ＣＰＵ９１１を用いて、直列処理工程Ｓ７６０で直列処理部１６０が生成した鍵付きハッシュ値Ｈを出力する。

図９は、この実施の形態における並列処理部１３０が並列処理をする並列処理工程Ｓ７３０の流れの一例を示すフローチャート図である。
並列処理工程Ｓ７３０は、並列詰め物生成工程Ｓ７３１、並列詰め物結合工程Ｓ７３２、並列分割工程Ｓ７３４、並列生成工程Ｓ７３５、並列圧縮工程Ｓ７３６を有する。

並列詰め物生成工程Ｓ７３１において、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力工程Ｓ７１０でメッセージ入力部１１０が入力した入力メッセージＭに基づいて、並列詰め物Ｐ_１を生成する。
並列詰め物結合工程Ｓ７３２において、並列詰め物結合部１３２は、ＣＰＵ９１１を用いて、メッセージ入力工程Ｓ７１０でメッセージ入力部１１０が入力した入力メッセージＭと、並列詰め物生成工程Ｓ７３１で並列詰め物生成部１３１が生成した並列詰め物Ｐ_１とに基づいて、並列結合ビット列Ｍ^＊を生成する。

次に、並列処理部１３０は、ＣＰＵ９１１を用いて、並列分割工程Ｓ７３４〜並列圧縮工程Ｓ７３６をｎ回繰り返す。なお、この段落において、ｉは何回目の繰り返しであるかを示す１以上ｎ以下の整数を表わす。
並列分割工程Ｓ７３４において、並列分割部１３４は、ＣＰＵ９１１を用いて、並列詰め物結合工程Ｓ７３２で並列詰め物結合部１３２が生成した並列結合ビット列Ｍ^＊に基づいて、ｉ番目の並列分割ビット列ｍ_ｉを生成する。
並列生成工程Ｓ７３５において、並列生成部１３５は、ＣＰＵ９１１を用いて、並列分割工程Ｓ７３４で並列分割部１３４が生成したｉ番目の並列分割ビット列ｍ_ｉと、ハッシュ鍵入力工程Ｓ７２０でハッシュ鍵入力部１２０が入力した並列ハッシュ鍵Ｋ_１と、並列固定記憶部１４３があらかじめ記憶した並列固定ビット列Ｆとに基づいて、ｉ番目の並列ビット列ｍ_ｉ”を生成する。
並列圧縮工程Ｓ７３６において、並列圧縮部１３６は、ＣＰＵ９１１を用いて、並列生成工程Ｓ７３５で並列生成部１３５が生成したｉ番目の並列ビット列ｍ_ｉ”に基づいて、並列圧縮関数演算部１５０を呼び出し、ｉ番目の圧縮ビット列ｈ_ｉを生成する。

図１０は、この実施の形態における直列処理部１６０が直列処理をする直列処理工程Ｓ７６０の流れの一例を示すフローチャート図である。
直列処理工程Ｓ７６０は、直列詰め物生成工程Ｓ７６１、直列詰め物結合工程Ｓ７６２、直列分割工程Ｓ７６４、直列生成工程Ｓ７６５、直列圧縮工程Ｓ７６６を有する。

直列詰め物生成工程Ｓ７６１において、直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、メッセージ入力工程Ｓ７１０でメッセージ入力部１１０が入力した入力メッセージＭに基づいて、直列詰め物Ｐ_２（直列第一詰め物ビット列及び直列第二詰め物ビット列）を生成する。
直列詰め物結合工程Ｓ７６２において、直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、ｎ回の並列圧縮工程Ｓ７３６で並列圧縮部１３６が生成したｎ個の圧縮ビット列ｈ_ｉと、直列詰め物生成工程Ｓ７６１で直列詰め物生成部１６１が生成した直列詰め物Ｐ_２とに基づいて、直列結合ビット列Ｈ^＊を生成する。

次に、直列処理部１６０は、ＣＰＵ９１１を用いて、直列分割工程Ｓ７６４〜直列圧縮工程Ｓ７６６をｓ回繰り返す。なお、この段落において、ｉは何回目の繰り返しであるかを示す１以上ｓ以下の整数を表わす。
直列分割工程Ｓ７６４において、分割部１６４は、ＣＰＵ９１１を用いて、直列詰め物結合工程Ｓ７６２で直列詰め物結合部１６２が生成した直列結合ビット列Ｈ^＊に基づいて、ｉ番目の直列分割ビット列ｘ_ｉを生成する。
直列生成工程Ｓ７６５において、直列生成部１６５は、ＣＰＵ９１１を用いて、分割工程Ｓ７６４で分割部１６４が生成したｉ番目の直列分割ビット列ｘ_ｉと、ハッシュ鍵入力工程Ｓ７２０でハッシュ鍵入力部１２０が入力した直列ハッシュ鍵Ｋ_２とに基づいて、ｉ番目の直列ビット列ｙ_ｉを生成する。
直列圧縮工程Ｓ７６６において、直列圧縮部１６６は、ＣＰＵ９１１を用いて、直列生成工程Ｓ７６５で直列生成部１６５が生成したｉ番目の直列ビット列ｙ_ｉと、前回の直列圧縮工程Ｓ７６６で直列圧縮部１６６が生成したｉ−１番目の中間ビット列ｃ_ｉ−１とに基づいて、直列圧縮関数演算部１８０を呼び出し、ｉ番目の中間ビット列ｃ_ｉを生成する。なお、１回目の直列圧縮工程Ｓ７６６において、直列圧縮部１６６は、ＣＰＵ９１１を用いて、中間ビット列ｃ_０の代わりとして、直列初期値記憶部１４２があらかじめ記憶した直列初期値ビット列ＩＶを使用する。また、ｓ回目の直列圧縮工程Ｓ７６６において、直列圧縮部１６６は、ＲＡＭ９１４を用いて、生成した中間ビット列ｃ_ｓを鍵付きハッシュ値Ｈとして記憶する。

ハッシュ関数演算装置１００は、以上のようにして、鍵付きハッシュ値Ｈを算出する。

証明は省略するが、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。
したがって、構成するのが難しいｅＳＰＲ性を満たす圧縮関数を構成する必要はなく、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が、比較的容易に構成できるＳＰＲ性を満たす圧縮関数を計算するよう構成すれば、ｅＴＣＲ性を満たすハッシュ関数を計算するハッシュ関数演算装置１００を構成できる。このため、ハッシュ関数演算装置１００が算出したハッシュ値を用いて、攻撃に対する耐性が強く安全な電子署名システムを構築することができる。

なお、圧縮関数のＳＰＲ性とは、以下のように定義される。
圧縮関数が入力するビット列のビット数をａ、出力するビット列のビット数をｂとし、ｂビットのビット列ｃとａ−ｂビットのビット列ｍとを結合したビット列を入力した場合に、圧縮関数が出力するビット列をｈ（ｃ，ｍ）とする。
攻撃者には、ｂビットのランダムなビット列ｃと、ａ−ｂビットのランダムなビット列ｍとが与えられる。攻撃者は、ｈ（ｃ，ｍ）＝ｈ（ｃ’，ｍ’）となるｂビットのビット列ｃ’とａ−ｂビットのビット列ｍ’との組（ただし、ｃ≠ｃまたはｍ≠ｍ’。）を見つけようとする。総当り攻撃よりも速くビット列ｃ’とビット列ｍ’との組を見つけることができる攻撃者が存在しない場合に、その圧縮関数はＳＰＲ性を満たす。

また、ハッシュ関数のｅＴＣＲ性とは、以下のように定義される。
ハッシュ関数が入力するビット列をＭ、ハッシュ鍵をｋとした場合に、ハッシュ関数が出力するビット列をＨ_ｋ（Ｍ）とする。
攻撃者は、自由にビット列Ｍを決定する。その後、攻撃者には、ランダムなハッシュ鍵ｋが与えられる。攻撃者は、Ｈ_ｋ（Ｍ）＝Ｈ_ｋ’（Ｍ’）となるビット列Ｍ’とハッシュ鍵ｋ’との組（ただし、Ｍ≠Ｍ’またはｋ≠ｋ’。）を見つけようとする。総当り攻撃よりも速くビット列Ｍ’とハッシュ鍵ｋ’との組を見つけることができる攻撃者が存在しない場合に、そのハッシュ関数はｅＴＣＲ性を満たす。

この実施の形態におけるハッシュ関数演算装置１００は、データを処理する処理装置（ＣＰＵ９１１）と、並列圧縮関数演算部１５０と、直列圧縮関数演算部１８０と、メッセージ入力部１１０と、並列処理部１３０と、直列処理部１６０と、ハッシュ値出力部１９０とを有する。
上記並列圧縮関数演算部１５０は、上記処理装置（ＣＰＵ９１１）を用いて、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）の入力ビット列を入力し、入力した入力ビット列に基づいてｂ_１ビット（ただし、ｂ_１は１以上ａ_１未満の所定の整数。）の並列出力ビット列を生成する。
上記直列圧縮関数演算部１８０は、上記処理装置（ＣＰＵ９１１）を用いて、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、上記ｂ_２ビットの直列出力ビット列を生成する。
上記メッセージ入力部１１０は、上記処理装置（ＣＰＵ９１１）を用いて、Ｌ_１ビット（ただし、Ｌ_１は１以上の任意の整数。）のビット列を入力して入力メッセージＭとする。
上記並列処理部１３０は、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部１１０が入力した入力メッセージＭに基づいて、上記ａ_１ビットの複数の並列ビット列ｍ”を生成し、生成した複数の並列ビット列ｍ”それぞれを上記入力ビット列として上記並列圧縮関数演算部１５０に入力し、上記並列圧縮関数演算部１５０が入力した複数の並列ビット列ｍ”それぞれに対して生成した複数の並列出力ビット列を取得して複数の圧縮ビット列ｈとする。
上記直列処理部１６０は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列処理部１３０が取得した複数の圧縮ビット列ｈに基づいて、上記ａ_２ビットの複数の直列ビット列ｙを生成し、生成した複数の直列ビット列ｙのうち少なくともいずれかの直列ビット列ｙと、上記直列ビット列ｙと異なる他の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算部１８０に入力し、上記直列圧縮関数演算部１８０が入力した直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記直列ビット列ｙに基づいて生成された中間ビット列ｃとし、取得した中間ビット列ｃのうちのいずれかをハッシュ値Ｈとする。
上記ハッシュ値出力部１９０は、上記処理装置（ＣＰＵ９１１）を用いて、上記直列処理部１６０が取得したハッシュ値Ｈを出力する。

この実施の形態におけるハッシュ関数演算装置１００によれば、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がＳＰＲ性を満たす圧縮関数であれば、ｅＴＣＲ性を満たすハッシュ関数を演算することができるという効果を奏する。

この実施の形態におけるハッシュ関数演算装置１００は、更に、データを記憶する記憶装置（ＲＯＭ９１３）と、直列初期値記憶部１４２とを有する。
上記直列初期値記憶部１４２は、上記記憶装置（ＲＯＭ９１３）を用いて、上記ｂ_２ビットのビット列を直列初期ビット列ＩＶとして記憶する。
上記直列処理部１６０は、上記処理装置（ＣＰＵ９１１）を用いて、生成した複数の直列ビット列ｙのうち最初の直列ビット列ｙと、上記直列初期値記憶部１４２が記憶した直列初期ビット列ＩＶとに基づいて、上記最初の直列ビット列ｙを上記第一ビット列とし上記直列初期ビット列ＩＶを上記第二ビット列として上記直列圧縮関数演算部１８０に入力し、上記直列圧縮関数演算部１８０が入力した最初の直列ビット列ｙ及び直列初期ビット列ＩＶに対して生成した直列出力ビット列を取得して上記最初の直列ビット列ｙに基づいて生成された中間ビット列ｃとし、生成した複数の直列ビット列ｙのうち最初以外の直列ビット列ｙと、上記最初以外の直列ビット列ｙより一つ前の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記最初以外の直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算部１８０に入力し、上記直列圧縮関数演算部１８０が入力した最初以外の直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記最初以外の直列ビット列ｙに基づいて生成された中間ビット列ｃとし、上記複数の直列ビット列ｙのうち最後の直列ビット列ｙに基づいて生成された中間ビット列ｃをハッシュ値Ｈとする。

この実施の形態における並列処理部１３０は、並列詰め物生成部１３１と、並列詰め物結合部１３２と、並列分割部１３４と、並列生成部１３５とを有する。
上記並列詰め物生成部１３１は、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部１１０が入力した入力メッセージＭに基づいて、ｎ_１ビット（ただし、ｎ_１は１以上の整数で、ｎ_１＋Ｌ_１が整数ｄ_１の整数倍。Ｌ_１は上記入力メッセージＭのビット数。上記整数ｄ_１は１以上の所定の整数。）のビット列を生成して並列詰め物Ｐ_１とする。
上記並列詰め物結合部１３２は、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部１１０が入力した入力メッセージＭと、上記並列詰め物生成部１３１が生成した並列詰め物Ｐ_１とに基づいて、上記入力メッセージＭと上記並列詰め物Ｐ_１とを結合したビット列を生成して並列結合ビット列Ｍ^＊とする。
上記並列分割部１３４は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列詰め物結合部１３２が生成した並列結合ビット列Ｍ^＊に基づいて、上記並列結合ビット列Ｍ^＊を上記ｄ_１ビットごとに分割した複数のビット列を生成して複数の並列分割ビット列ｍとする。
上記並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列分割部１３４が生成した複数の並列分割ビット列ｍそれぞれに基づいて、上記複数の並列ビット列ｍ”を生成する。

この実施の形態におけるハッシュ関数演算装置１００は、更に、並列ハッシュ鍵入力部１２１を有する。
上記並列ハッシュ鍵入力部１２１は、上記処理装置（ＣＰＵ９１１）を用いて、上記ｄ_１ビットのビット列を入力して並列ハッシュ鍵Ｋ_１とする。
上記並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列ハッシュ鍵入力部１２１が入力した並列ハッシュ鍵Ｋ_１と、上記並列分割部１３４が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記複数の並列ビット列ｍ”を生成する。

この実施の形態における並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列ハッシュ鍵入力部１２１が入力したハッシュ鍵Ｋ_１と、上記並列分割部１３４が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記ハッシュ鍵Ｋ_１と上記並列分割ビット列ｍとの排他的論理和をそれぞれ算出して複数の並列撹乱ビット列ｍ’とし、算出した複数の並列撹乱ビット列ｍ’それぞれに基づいて、上記複数の並列撹乱ビット列ｍ’と所定の並列固定ビット列とを結合したビット列をそれぞれ生成して上記複数の並列ビット列ｍ”とする。

この実施の形態における並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記複数の並列撹乱ビット列ｍ’と１ビットの並列固定ビット列とを結合したビット列をそれぞれ生成して上記複数の並列ビット列ｍ”とする。

この実施の形態における並列詰め物生成部１３１は、上記処理装置（ＣＰＵ９１１）を用いて、上記ｄ_１個の連続した「０」を含む並列詰め物Ｐ_１を生成する。

この実施の形態における直列処理部１６０は、直列詰め物生成部１６１と、直列詰め物結合部１６２と、直列分割部１６３とを有する。
上記直列詰め物生成部１６１は、上記処理装置（ＣＰＵ９１１）を用いて、上記メッセージ入力部１１０が入力した入力メッセージＭに基づいて、ｎ_２ビット（ただし、ｎ_２は１以上の整数で、ｎ_２＋Ｌ_２が整数ｄ_２の整数倍。Ｌ_２は上記複数の圧縮ビット列ｈのビット数を合計した整数。上記整数ｄ_２は１以上の所定の整数。）のビット列を生成して直列詰め物Ｐ_２とする。
上記直列詰め物結合部１６２は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列処理部１３０が取得した複数の圧縮ビット列ｈと、上記直列詰め物生成部１６１が生成した直列詰め物Ｐ_２とに基づいて、上記複数の圧縮ビット列ｈと上記直列詰め物Ｐ_２とを結合したビット列を生成して直列結合ビット列Ｈ^＊とする。
上記直列分割部１６３は、上記処理装置（ＣＰＵ９１１）を用いて、上記直列詰め物結合部１６２が生成した直列結合ビット列Ｈ^＊に基づいて、上記複数の直列ビット列ｙを生成する。

この実施の形態におけるハッシュ関数演算装置１００は、更に、直列ハッシュ鍵入力部１２２を有する。
上記直列ハッシュ鍵入力部１２２は、上記処理装置（ＣＰＵ９１１）を用いて、上記ｄ_２ビットのビット列を入力して直列ハッシュ鍵Ｋ_２とする。
上記直列分割部１６３は、上記処理装置（ＣＰＵ９１１）を用いて、上記直列詰め物結合部１６２が生成した直列結合ビット列Ｈ^＊に基づいて、上記直列結合ビット列Ｈ^＊を上記ｄ_２ビットごとに分割した複数のビット列を生成して複数の直列分割ビット列ｘとし、上記直列ハッシュ鍵入力部１２２が入力した直列ハッシュ鍵Ｋ_２と、生成した複数の直列分割ビット列ｘそれぞれとに基づいて、上記複数の直列ビット列ｙを生成する。

この実施の形態における直列分割部１６３は、上記処理装置（ＣＰＵ９１１）を用いて、上記直列ハッシュ鍵入力部１２２が入力したハッシュ鍵Ｋ_２と、生成した複数の直列分割ビット列ｘそれぞれとに基づいて、上記ハッシュ鍵Ｋ_２と上記直列分割ビット列ｘとの排他的論理和をそれぞれ算出して複数の直列ビット列ｙとする。

この実施の形態における直列詰め物生成部１６１は、上記処理装置（ＣＰＵ９１１）を用いて、上記ｄ_２個の連続した「０」を含む直列詰め物Ｐ_２を生成する。

この実施の形態における直列詰め物生成部１６１は、上記処理装置（ＣＰＵ９１１）を用いて、上記ｄ_２個の連続した「０」を含む直列第一詰め物ビット列と、上記入力メッセージＭのビット数Ｌ_１をｅ_２ビット（ただし、ｅ_２は１以上の所定の整数。）の二進数で表現したビット列を含む直列第二詰め物ビット列とからなる直列詰め物Ｐ_２を生成する。
上記直列詰め物結合部１６２は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列処理部１３０が取得した複数の圧縮ビット列ｈと、上記直列詰め物生成部１６１が生成した直列詰め物Ｐ_２に含まれる直列第一詰め物ビット列及び直列第二詰め物ビット列とに基づいて、上記直列第一詰め物ビット列と上記複数の圧縮ビット列ｈと上記直列第二詰め物ビット列とを結合したビット列を生成して直列結合ビット列Ｈ^＊とする。

この実施の形態における直列圧縮関数演算部１８０は、上記処理装置（ＣＰＵ９１１）を用いて、ａ_２ビット（ただし、ａ_２＝ａ_１−ｂ_１。）の第一ビット列を入力し、ｂ_１ビットの第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とを結合したビット列を生成して第三ビット列とし、生成した第三ビット列を上記入力ビット列として上記並列圧縮関数演算部１５０に入力し、上記並列圧縮関数演算部１５０が入力した第三ビット列に対して出力した並列出力ビット列を取得して上記直列出力ビット列とする。

この実施の形態におけるハッシュ関数演算装置１００によれば、圧縮関数を計算する演算部が一つで済むので、ハッシュ関数演算装置１００を論理回路を用いて実現する場合には、回路が小さくなり、ハッシュ関数演算装置１００をプログラムを用いて実現する場合には、プログラムコードが短くなるという効果を奏する。

この実施の形態における並列圧縮関数演算部１５０は、上記処理装置（ＣＰＵ９１１）を用いて、ＳＰＲ性圧縮関数を演算することにより、上記入力ビット列に基づいて上記並列出力ビット列を生成する。

この実施の形態におけるハッシュ関数演算装置１００によれば、ｅＴＣＲ性を満たすハッシュ関数を演算することができるという効果を奏する。

この実施の形態における署名装置８１０は、ハッシュ関数演算装置１００と、署名関数演算部８１３と、署名出力部８１４とを有する。
上記ハッシュ関数演算装置１００は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力する。
上記署名関数演算部８１３は、上記ハッシュ値出力部１９０が出力したハッシュ値Ｈに基づいて、署名ｓを生成する。
上記署名出力部８１４は、上記署名関数演算部８１３が生成した署名ｓを、上記署名対象メッセージに対する署名として出力する。

この実施の形態における署名装置８１０によれば、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がＳＰＲ性を満たす圧縮関数であれば、攻撃に対する耐性が強く安全な電子署名を実現することができるという効果を奏する。

この実施の形態における署名装置８１０は、並列ハッシュ鍵生成部（ハッシュ鍵生成部８１２）と、ハッシュ関数演算装置１００と、署名関数演算部８１３と、署名出力部８１４とを有する。
上記並列ハッシュ鍵生成部８１２は、上記ｄ_１ビットのビット列ｋ_１をランダムに生成する。
上記メッセージ入力部１１０は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力する。
上記並列ハッシュ鍵入力部１２１は、上記並列ハッシュ鍵生成部（ハッシュ鍵生成部８１２）が生成したビット列ｋ_１を上記並列ハッシュ鍵Ｋ_１として入力する。
上記署名関数演算部８１３は、上記ハッシュ値出力部１９０が出力したハッシュ値Ｈに基づいて、署名ｓを生成する。
上記署名出力部８１４は、上記並列ハッシュ鍵生成部８１２が生成したビット列ｋ_１と、上記署名関数演算部８１３が生成した署名ｓとの組を、上記署名対象メッセージに対する署名として出力する。

この実施の形態における署名装置８１０は、直列ハッシュ鍵生成部（ハッシュ鍵生成部８１２）と、ハッシュ関数演算装置１００と、署名関数演算部８１３と、署名出力部８１４とを有する。
上記直列ハッシュ鍵生成部（ハッシュ鍵生成部８１２）は、上記ｄ_２ビットのビット列ｋ_２をランダムに生成する。
上記メッセージ入力部１１０は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力する。
上記直列ハッシュ鍵入力部１２２は、上記直列ハッシュ鍵生成部（ハッシュ鍵生成部８１２）が生成したビット列ｋ_２を上記直列ハッシュ鍵Ｋ_２として入力する。
上記署名関数演算部８１３は、上記ハッシュ値出力部１９０が出力したハッシュ値Ｈに基づいて、署名ｓを生成する。
上記署名出力部８１４は、上記直列ハッシュ鍵生成部８１２が生成したビット列ｋ_２と、上記署名関数演算部８１３が生成した署名ｓとの組を、上記署名対象メッセージに対する署名として出力する。

この実施の形態におけるハッシュ関数演算装置１００は、データを処理する処理装置（ＣＰＵ９１１）を有するコンピュータをハッシュ関数演算装置１００として機能させるプログラムを、コンピュータが実行することにより実現することができる。

この実施の形態におけるコンピュータプログラムによれば、ＳＰＲ性を満たす圧縮関数に基づいて、ｅＴＣＲ性を満たすハッシュ関数を演算するハッシュ関数演算装置１００を実現することができるという効果を奏する。

この実施の形態におけるハッシュ関数演算装置１００がハッシュ値を計算するハッシュ関数演算方法は、並列圧縮関数演算工程と、直列圧縮関数演算工程とを有する。
並列圧縮関数演算工程において、上記処理装置（ＣＰＵ９１１）が、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）の入力ビット列を入力し、入力した入力ビット列に基づいてｂ_１ビット（ただし、ｂ_１は１以上ａ_１以下の所定の整数。）の並列出力ビット列を生成する。
上記直列圧縮関数演算工程において、上記処理装置（ＣＰＵ９１１）が、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、上記ｂ_２ビットの直列出力ビット列を生成する。
上記ハッシュ関数演算方法は、更に、以下の工程を有する。
上記処理装置（ＣＰＵ９１１）が、Ｌ_１ビット（ただし、Ｌ_１は１以上の任意の整数。）のビット列を入力して入力メッセージＭとする。
上記処理装置（ＣＰＵ９１１）が、入力した入力メッセージＭに基づいて、上記ａ_１ビットの複数の並列ビット列ｍ”を生成する。
上記処理装置（ＣＰＵ９１１）が、生成した複数の並列ビット列ｍ”それぞれを上記入力ビット列として上記並列圧縮関数演算工程を実行し、上記並列圧縮関数演算工程で入力した複数の並列ビット列ｍ”それぞれに対して生成した複数の並列出力ビット列を取得して複数の圧縮ビット列ｈとする。
上記処理装置（ＣＰＵ９１１）が、取得した複数の圧縮ビット列ｈに基づいて、上記ａ_２ビットの複数の直列ビット列ｙを生成する。
上記処理装置（ＣＰＵ９１１）が、生成した複数の直列ビット列ｙのうち少なくともいずれかの直列ビット列ｙと、上記直列ビット列ｙと異なる他の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算工程を実行し、上記直列圧縮関数演算工程で入力した直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記直列ビット列ｙに基づいて生成された中間ビット列ｃとし、取得した中間ビット列ｃのうち少なくともいずれかをハッシュ値Ｈとする。
上記処理装置（ＣＰＵ９１１）が、取得したハッシュ値Ｈを出力する。

この実施の形態におけるハッシュ関数演算方法によれば、並列圧縮関数演算工程及び直列圧縮関数演算工程で計算する圧縮関数がＳＰＲ性を満たす圧縮関数であれば、ｅＴＣＲ性を満たすハッシュ関数を演算することができるという効果を奏する。

以上説明したハッシュ関数演算装置１００は、ランダムな固定鍵Ｋ_１‖Ｋ_２（ハッシュ鍵Ｋ）を生成する固定鍵装置（ハッシュ鍵生成部８１２）と、前記固定鍵装置の出力の一部Ｋ_１（並列ハッシュ鍵）と任意長のメッセージＭ（入力メッセージ）を受け、任意長のメッセージ（入力メッセージＭ）の長さに依存した長さの値（複数の圧縮ビット列ｈ_ｉ）を出力する並列処理装置（並列処理部１３０）と、並列処理装置の出力（複数の圧縮ビット列ｈ_ｉ）と固定鍵装置の出力の一部Ｋ_２（直列ハッシュ鍵）を受け、固定長の値（ハッシュ値Ｈ）を出力する直列処理装置（直列処理部１６０）を有する。

並列処理装置（並列処理部１３０）は、任意長メッセージＭ（入力メッセージ）を受け、Ｍにある値（並列詰め物Ｐ_１）をパディングし、ある長さごとにこの値（並列結合ビット列Ｍ^＊）を分割する装置（並列分割部１３４）と、この装置の出力値（複数の並列分割ビット列ｍ_ｉ）と鍵の一部Ｋ_１（並列ハッシュ鍵）を受け、この値ごとにＫ_１を排他的論理和する装置（並列生成部１３５）と、その装置の出力（複数の並列ビット列ｍ_ｉ”）を受け、その値それぞれをＳＰＲ性圧縮関数で計算する装置（並列圧縮部１３６）と、この装置の出力（複数の圧縮ビット列ｈ_ｉ）を受け、値を結合する装置（直列詰め物結合部１６２）を有する。

直列処理装置（並列圧縮関数演算部１５０）は、並列処理装置（並列処理部１３０）の出力（複数の圧縮ビット列ｈ_ｉ）を受け、この値にある値（直列詰め物Ｐ_２）をパディングし、ある長さごとにこの値（直列結合ビット列Ｈ^＊）を分割する装置（分割部１６４）と、この装置の出力値（複数の直列分割ビット列ｘ_ｉ）と鍵の一部Ｋ_２（直列ハッシュ鍵）を受け、装置の出力値をそれぞれＫ_２と排他的論理和する装置（直列生成部１６５）と、この装置の出力（複数の直列ビット列ｙ_ｉ）を受け、ＳＰＲ性圧縮関数をＭＤ構造につないだ関数を計算する装置（直列圧縮部１６６）を有する。

以上説明したハッシュ関数演算装置１００によれば、ＳＰＲ性圧縮関数からｅＴＣＲ性ハッシュ関数を構成することができる。

以上説明した署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力しｂビットのビット列を出力するＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムな２ａ−ｂ−１ビットの鍵Ｋ_１‖Ｋ_２（ただし、｜Ｋ_１｜＝ａ−１。）を生成する。並列詰め物結合部１３２は、長さがａ−ｂ−１ビットの倍数となる値Ｍ^＊＝Ｍ‖０^ｕ‖０^{ａ−ｂ−１}を生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａ−ｂ−１ビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ’＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ｍ_ｉ’‖１（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉとする。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数の値Ｈ^＊＝０^ａ−ｂ‖ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖ‖＜Ｍ＞を生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｘ_１‖ｘ_２‖…‖ｘ_ｓとする。直列生成部１６５は、ｘ_ｉ（ｉ＝１，２，…，ｓ）とＫ_２とを排他的論理和し、ｙ_ｉ＝ｘ_ｉＸＯＲＫ_２（ｉ＝１，２，…，ｓ）とする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここでｃ_０＝ＩＶで、ＩＶはｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名として（Ｋ_１，Ｋ_２，σ（ｃ_ｓ））を出力する。

以上説明した署名装置８１０によれば、安全かつ効率的な署名を構成することができる。

以上説明したハッシュ関数演算方法は、ＳＰＲ性圧縮関数を並列に並べ、圧縮関数への入力にランダムな鍵（並列ハッシュ鍵Ｋ_１）を排他的論理和する処理と、ＳＰＲ性圧縮関数の出力に別のランダムな鍵（直列ハッシュ鍵Ｋ_２）を排他的論理和する処理とを、ＳＰＲ性圧縮関数を直列に並べるＭＤ構造に加えたものである。

以上説明したハッシュ関数演算方法によれば、ＳＰＲ性圧縮関数からｅＴＣＲ性ハッシュ関数を構成することができる。

以上のように、圧縮関数の繰り返し構造に対して、圧縮関数の並列処理部分とハッシュ鍵を加えることにより、比較的簡易に構成できるＳＰＲ性圧縮関数から、短い長さのハッシュ鍵を用い、署名関数との親和性が高いｅＴＣＲ性ハッシュ関数を構成できる。

また、メッセージ長にかかわらず、ハッシュ鍵の長さが一定なので、メッセージが長い場合でも署名が長くならず、署名の計算量が少なくて済む。

実施の形態２．
実施の形態２について、図１１〜図１３を用いて説明する。

図１１は、この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態１で説明したハッシュ関数演算装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、ａ_１ビットのハッシュ鍵Ｋを入力する。ハッシュ鍵入力部１２０が入力するハッシュ鍵Ｋは、ａ_１ビットの並列ハッシュ鍵Ｋ_１からなる。ハッシュ鍵入力部１２０は、ＲＡＭ９１４を用いて、入力した並列ハッシュ鍵Ｋ_１を記憶する。

直列処理部１６０は、ＣＰＵ９１１を用いて、並列処理部１３０が記憶したｎ個の圧縮ビット列ｈ_ｉを入力する。直列処理部１６０は、入力したｎ個の圧縮ビット列ｈ_ｉと直列ハッシュ鍵Ｋ_２とに基づいて、ハッシュ値Ｈを生成する。直列処理部１６０は、ＲＡＭ９１４を用いて、生成したハッシュ値Ｈを記憶する。

図１２は、この実施の形態における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図である。
なお、実施の形態１で説明したハッシュ関数演算装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１よりも大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１の整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットの並列詰め物Ｐ_１を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを「０」にした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１ビットが「０」であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

並列分割部１３４は、ＣＰＵ９１１を用いて、並列詰め物結合部１３２が記憶した並列結合ビット列Ｍ^＊を入力する。並列分割部１３４は、ＣＰＵ９１１を用いて、入力した並列結合ビット列Ｍ^＊に基づいて、並列結合ビット列Ｍ^＊をａ_１ビットごとに分割した複数の並列分割ビット列ｍ_ｉ（ただし、ｉは１以上ｎ以下の整数。ｎは並列分割ビット列ｍ_ｉの数。）を生成する。並列分割部１３４は、ＲＡＭ９１４を用いて、生成したｎ個の並列分割ビット列ｍ_ｉを記憶する。

並列生成部１３５は、ＣＰＵ９１１を用いて、並列ハッシュ鍵入力部１２１が記憶した並列ハッシュ鍵Ｋ_１と、並列分割部１３４が記憶したｎ個の並列分割ビット列ｍ_ｉとを入力する。並列生成部１３５は、ＣＰＵ９１１を用いて、入力した並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉとに基づいて、並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉそれぞれとの間のビットごとの排他的論理和を取り、ｎ個の並列ビット列ｍ_ｉ”を生成する。ここで、並列ハッシュ鍵Ｋ_１及びｎ個の並列分割ビット列ｍ_ｉは、それぞれａ_１ビットのビット列であり、並列生成部１３５が生成する並列ビット列ｍ_ｉ”も同じく、ａ_１ビットのビット列である。

図１３は、この実施の形態における直列処理部１６０の内部ブロックの構成の一例を示す詳細ブロック構成図である。
なお、実施の形態１で説明したハッシュ関数演算装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭと、並列圧縮部１３６が記憶した圧縮ビット列ｈ_ｉの数ｎとを入力し、ＣＰＵ９１１を用いて、入力メッセージＭのビット数Ｌ_１と、ｎ個の圧縮ビット列ｈ_ｉのビット数を合計した整数Ｌ_２とを算出する。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数Ｌ_２に基づいて、以下の条件を満たす整数ｎ_２を算出する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、整数ｎ_２がａ_２＋ｅ_２より大きく、かつ、整数ｎ_２と整数Ｌ_２との和ｎ_２＋Ｌ_２がａ_２の整数倍となる整数ｎ_２のうち、最小の整数ｎ_２を算出する。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数ｎ_２に基づいて、ｎ_２ビットの直列詰め物Ｐ_２を生成する。例えば、直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを、入力メッセージＭのビット数Ｌ_１を二進数で表現したビット列とした直列詰め物Ｐ_２を生成する。
なお、直列詰め物生成部１６１が生成する直列詰め物Ｐ_２は、最後からｅ_２ビットが入力メッセージＭのビット数Ｌ_１を表わす二進数であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
直列詰め物生成部１６１は、ＲＡＭ９１４を用いて、生成した直列詰め物Ｐ_２を記憶する。

直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、並列圧縮部１３６が記憶したｎ個の圧縮ビット列ｈ_ｉと、直列詰め物生成部１６１が生成した直列詰め物Ｐ_２とを入力する。直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、入力したｎ個の圧縮ビット列ｈ_ｉと直列詰め物Ｐ_２とに基づいて、ｎ個の圧縮ビット列ｈ_ｉと直列詰め物Ｐ_２とをすべて結合した直列結合ビット列Ｈ^＊を生成する。例えば、直列詰め物結合部１６２は、ＣＰＵ９１１を用いて、ｎ個の圧縮ビット列ｈ_ｉを順番に結合し、その後に直列詰め物Ｐ_２を結合して、直列結合ビット列Ｈ^＊を生成する。直列詰め物結合部１６２は、ＲＡＭ９１４を用いて、生成した直列結合ビット列Ｈ^＊を記憶する。

直列分割部１６３は、分割部１６４を有する。
分割部１６４は、ＣＰＵ９１１を用いて、直列詰め物結合部１６２が記憶した直列結合ビット列Ｈ^＊を入力する。分割部１６４は、ＣＰＵ９１１を用いて、入力した直列結合ビット列Ｈ^＊に基づいて、直列結合ビット列Ｈ^＊をａ_２ビットごとに分割した複数の直列ビット列ｙ_ｉ（ただし、ｉは１以上ｓ以下の整数。ｓは直列分割ビット列の数。）を生成する。分割部１６４は、ＲＡＭ９１４を用いて、生成したｓ個の直列ビット列ｙ_ｉを記憶する。

以上のような構成とした場合も、実施の形態１と同様、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。
また、実施の形態１と比較して、ハッシュ鍵Ｋのビット数が少ないので、署名装置８１０が出力する署名のビット数が少なくなり、記憶装置が署名を記憶するために必要となる記憶容量や、通信装置が署名を送受信するために必要となる通信回線の容量を削減できる。
更に、実施の形態１と比較して、並列生成部１３５の処理や直列分割部１６３の処理が少ないので、ハッシュ関数演算装置１００がハッシュ値を算出する処理にかかる時間が短くなる。また、並列生成部１３５や直列分割部１６３を論理回路を用いて実現する場合には、回路が小さくなり、並列生成部１３５や直列分割部１６３をプログラムを用いて実現する場合には、プログラムコードが短くなる。

この実施の形態における並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列ハッシュ鍵入力部１２１が入力したハッシュ鍵Ｋ_１と、上記並列分割部１３４が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記ハッシュ鍵Ｋ_１と上記並列分割ビット列ｍとの排他的論理和をそれぞれ算出して複数の並列ビット列ｍ”とする。

この実施の形態における直列分割部１６３は、上記処理装置（ＣＰＵ９１１）を用いて、上記直列詰め物結合部１６２が生成した直列結合ビット列Ｈ^＊に基づいて、上記直列結合ビット列Ｈ^＊を上記ｄ_２ビットごとに分割した複数のビット列を生成して上記複数の直列ビット列ｙとする。

この実施の形態における直列詰め物生成部１６１は、上記処理装置（ＣＰＵ９１１）を用いて、上記入力メッセージＭのビット数Ｌ_１をｅ_２ビット（ただし、ｅ_２は１以上の所定の整数。）の二進数で表現したビット列を含む直列詰め物Ｐ_２を生成する。

以上説明したハッシュ関数演算装置１００は、ランダムな固定鍵Ｋ_１（並列ハッシュ鍵）を生成する固定鍵装置（ハッシュ鍵生成部８１２）と、前記固定鍵装置の出力Ｋ_１（並列ハッシュ鍵）と任意長のメッセージＭ（入力メッセージ）を受け、任意長のメッセージ（入力メッセージＭ）の長さ（ビット数Ｌ_１）に依存した長さの値（複数の圧縮ビット列ｈ_ｉ）を出力する並列処理装置（並列処理部１３０）と、並列処理装置（並列処理部１３０）の出力（複数の圧縮ビット列ｈ_ｉ）を受け、固定長の値（ハッシュ値Ｈ）を出力する直列処理装置（直列処理部１６０）を有する。

並列処理装置（並列処理部１３０）は、任意長メッセージＭ（入力メッセージ）を受け、Ｍにある値（並列詰め物Ｐ_１）をパディングし、ある長さごとにこの値（並列結合ビット列Ｍ^＊）を分割する装置（並列分割部１３４）と、この装置の出力値（複数の並列分割ビット列ｍ_ｉ）と鍵Ｋ_１（並列ハッシュ鍵）を受け、この値ごとにＫ_１を排他的論理和する装置（並列生成部１３５）と、その装置の出力（複数の並列ビット列ｍ_ｉ”）を受け、その値それぞれをＳＰＲ性圧縮関数で計算する装置（並列圧縮部１３６）と、この装置の出力（複数の圧縮ビット列ｈ_ｉ）を受け、値を結合する装置（直列詰め物結合部１６２）を有する。

直列処理装置（直列処理部１６０）は、並列処理装置（並列処理部１３０）の出力（複数の圧縮ビット列ｈ_ｉ）を受け、この値にある値（直列詰め物Ｐ_２）をパディングし、ある長さごとにこの値（直列結合ビット列Ｈ^＊）を分割する装置（分割部１６４）と、この装置の出力値（複数の直列ビット列ｙ_ｉ）を受け、ＳＰＲ性圧縮関数をＭＤ構造につないだ関数を計算する装置（直列圧縮部１６６）を有する。

以上説明したハッシュ関数演算装置１００によれば、ＳＰＲ性圧縮関数からｅＴＣＲ性ハッシュ関数を構成することができる。また、以上説明したハッシュ関数演算装置１００を用いれば、安全かつ効率的な署名を構成することができる。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力しｂビットのビット列を出力するＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムなａビットの鍵Ｋ_１（並列ハッシュ鍵）を生成する。並列詰め物結合部１３２は、長さがａビットの倍数となる値Ｍ^＊＝Ｍ‖１‖０^ｕ‖０^ａを生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ”＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ｍ_ｉ”（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉとする。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数の値Ｈ^＊＝ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖ‖＜Ｍ＞を生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｙ_１‖ｙ_２‖…‖ｙ_ｓとする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここで、ｃ_０＝ＩＶで、ＩＶはｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名として（Ｋ_１，σ（ｃ_ｓ））を出力する。

以上説明したハッシュ関数演算方法は、ＳＰＲ性圧縮関数を並列に並べ、ＳＰＲ性圧縮関数への入力にランダムな鍵（並列ハッシュ鍵Ｋ_１）を排他的論理和する処理を、ＳＰＲ性圧縮関数を直列に並べるＭＤ構造に加えたものである。

実施の形態３．
実施の形態３について、説明する。
この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成、並列処理部１３０及び直列処理部１６０の内部ブロックの構成は、実施の形態２で説明したものと同様なので、図１１〜図１３を参照しつつ、実施の形態２と異なる部分について説明する。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１＋ｅ_１よりも大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１の整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。なお、ｅ_１は、１以上の所定の整数であり、例えば、６４である。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットの並列詰め物Ｐ_１を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、最後からａ_１ビットを「０」、残りのビットを、入力メッセージＭのビット数Ｌ_１を二進数で表現したビット列とした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１ビットが「０」、その前のｅ_１ビットが入力メッセージＭのビット数Ｌ_１を表わす二進数であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、並列圧縮部１３６が記憶した圧縮ビット列ｈ_ｉの数ｎを入力し、ＣＰＵ９１１を用いて、ｎ個の圧縮ビット列ｈ_ｉのビット数を合計した整数Ｌ_２を算出する。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数Ｌ_２に基づいて、以下の条件を満たす整数ｎ_２を算出する。直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、整数ｎ_２と整数Ｌ_２との和ｎ_２＋Ｌ_２がａ_２の整数倍となる１以上の整数ｎ_２のうち、最小の整数ｎ_２を算出する。
直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、算出した整数ｎ_２に基づいて、ｎ_２ビットの直列詰め物Ｐ_２を生成する。例えば、直列詰め物生成部１６１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを「０」とした直列詰め物Ｐ_２を生成する。
なお、直列詰め物生成部１６１が生成する直列詰め物Ｐ_２は、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。

以上のような構成とした場合も、実施の形態２と同様、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。

この実施の形態における並列詰め物生成部１３１は、上記処理装置（ＣＰＵ９１１）を用いて、上記入力メッセージＭのビット数Ｌ_１をｅ_１ビット（ただし、ｅ_１は１以上の所定の整数。）の二進数で表現したビット列を含む並列詰め物Ｐ_１を生成する。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力しｂビットのビット列を出力するＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムなａビットの鍵Ｋ_１（並列ハッシュ鍵）を生成する。並列詰め物結合部１３２は、長さがａビットの倍数となる値Ｍ^＊＝Ｍ‖０^ｕ‖＜Ｍ＞‖０^ａ−ｂを生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ”＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ｍ_ｉ”（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉ（ｉ＝１，２，…，ｎ）とする。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数の値Ｈ^＊＝０^ａ−ｂ‖ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖを生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｙ_１‖ｙ_２‖…‖ｙ_ｓとする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここでｃ_０＝ＩＶで、ＩＶはｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名（Ｋ_１，σ（ｃ_ｓ））を出力する。

実施の形態４．
実施の形態４について、図１４を用いて説明する。

この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成は、実施の形態３で説明したものと同様なので、図１１を参照しつつ、実施の形態３と異なる部分について説明する。

ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、ａ_１−ｂ_１ビットのハッシュ鍵Ｋを入力する。ハッシュ鍵入力部１２０が入力するハッシュ鍵Ｋは、ａ_１−ｂ_１ビットの並列ハッシュ鍵Ｋ_１からなる。ハッシュ鍵入力部１２０は、ＲＡＭ９１４を用いて、入力した並列ハッシュ鍵Ｋ_１を記憶する。

図１４は、この実施の形態における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図である。
なお、実施の形態１で説明したハッシュ関数演算装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

ハッシュ関数演算装置１００は、並列初期値記憶部１４１を有する。
並列初期値記憶部１４１は、ＲＯＭ９１３を用いて、ｂ_１ビットのビット列ＩＶ’（以下「並列初期値ビット列」と呼ぶ。）をあらかじめ記憶している。並列初期値ビット列ＩＶ’は、あらかじめ定められた所定のビット列である。なお、並列初期値ビット列ＩＶ’は、直列初期値記憶部１４２が記憶した直列初期値ビット列ＩＶと同じであってもよいし、異なっていてもよい。並列初期値ビット列ＩＶ’と直列初期値ビット列ＩＶとが同じ場合には、一つの初期値記憶部が、並列初期値記憶部１４１と直列初期値記憶部１４２とを兼ねる構成としてもよい。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１＋ｅ_１よりも大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１−ｂ_１の整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットの並列詰め物Ｐ_１を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、最後からａ_１ビットを「０」、残りのビットを、入力メッセージＭのビット数Ｌ_１を二進数で表現したビット列とした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１ビットが「０」、その前のｅ_１ビットが入力メッセージＭのビット数Ｌ_１を表わす二進数であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

並列分割部１３４は、ＣＰＵ９１１を用いて、並列詰め物結合部１３２が記憶した並列結合ビット列Ｍ^＊を入力する。並列分割部１３４は、ＣＰＵ９１１を用いて、入力した並列結合ビット列Ｍ^＊に基づいて、並列結合ビット列Ｍ^＊をａ_１−ｂ_１ビットごとに分割した複数の並列分割ビット列ｍ_ｉ（ただし、ｉは１以上ｎ以下の整数。ｎは並列分割ビット列ｍ_ｉの数。）を生成する。並列分割部１３４は、ＲＡＭ９１４を用いて、生成したｎ個の並列分割ビット列ｍ_ｉを記憶する。

並列生成部１３５は、ＣＰＵ９１１を用いて、並列ハッシュ鍵入力部１２１が記憶した並列ハッシュ鍵Ｋ_１と、並列初期値記憶部１４１が記憶した並列初期値ビット列ＩＶ’と、並列分割部１３４が記憶したｎ個の並列分割ビット列ｍ_ｉとを入力する。並列生成部１３５は、ＣＰＵ９１１を用いて、入力した並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉとに基づいて、並列ハッシュ鍵Ｋ_１とｎ個の並列分割ビット列ｍ_ｉそれぞれとの間の排他的論理和を取り、ｎ個の並列撹乱ビット列ｍ_ｉ’（ただし、ｉは１以上ｎ以下の整数。）を生成する。ここで、並列ハッシュ鍵Ｋ_１及びｎ個の並列分割ビット列ｍ_ｉは、それぞれａ_１−ｂ_１ビットのビット列であり、並列生成部１３５が生成する並列撹乱ビット列ｍ_ｉ’も同じく、ａ_１−ｂ_１ビットのビット列である。
並列生成部１３５は、ＣＰＵ９１１を用いて、生成したｎ個の並列撹乱ビット列ｍ_ｉ’と、入力した並列初期値ビット列ＩＶ’とに基づいて、ｎ個の並列撹乱ビット列ｍ_ｉ’それぞれと、並列初期値ビット列ＩＶ’とを結合したｎ個の並列ビット列ｍ_ｉ”（ただし、ｉは１以上ｎ以下の整数。）を生成する。例えば、並列生成部１３５は、ＣＰＵ９１１を用いて、ｎ個の並列撹乱ビット列ｍ_ｉ’それぞれの後に、並列初期値ビット列ＩＶ’を結合して、ｎ個の並列ビット列ｍ_ｉ”を生成する。並列生成部１３５が生成するｎ個の並列ビット列ｍ_ｉ”のビット数は、ａ_１ビットである。
並列生成部１３５は、ＲＡＭ９１４を用いて、生成したｎ個の並列ビット列ｍ_ｉ”を記憶する。

この実施の形態における直列処理部１６０の内部ブロックの構成は、実施の形態３で説明したものと同様なので、ここでは説明を省略する。

証明は省略するが、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がｐＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。
一般に、ｐＳＰＲ性を満たす圧縮関数を構成するほうが、ＳＰＲ性を満たす圧縮関数を構成するよりも容易であり、ＳＰＲ性を満たさない圧縮関数であっても、ｐＳＰＲ性を満たす場合がある。
したがって、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０がＳＰＲ性を満たさない場合であっても、ｐＳＰＲ性さえ満たしていれば、ｅＴＣＲ性を満たすハッシュ関数を計算するハッシュ関数演算装置１００を構成できる。例えば、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０がＳＰＲ性を満たすと考えられる圧縮関数を計算するよう構成したが、のちに、この圧縮関数がＳＰＲ性を満たさないことが判定した場合であっても、ｐＳＰＲ性を満たしていれば、ハッシュ関数演算装置１００が計算するハッシュ関数のｅＴＣＲ性を確保できる。このため、ハッシュ関数演算装置１００が算出したハッシュ値を用いて、攻撃に対する耐性が強く安全な電子署名システムを構築することができる。

なお、圧縮関数のｐＳＰＲ性とは、以下のように定義される。
圧縮関数が入力するビット列のビット数をａ、出力するビット列のビット数をｂとし、ｂビットのビット列ｃと、ａ−ｂビットのビット列ｍとを結合したビット列を入力した場合に、圧縮関数が出力するビット列をｈ（ｃ，ｍ）とする。
攻撃者には、あらかじめ定められたｂビットの固定ビット列ｃと、ａ−ｂビットのランダムなビット列ｍとが与えられる。攻撃者は、ｈ（ｃ，ｍ）＝ｈ（ｃ，ｍ’）となるａ−ｂビットのビット列ｍ’（ただし、ｍ≠ｍ’。）を見つけようとする。総当り攻撃よりも速くビット列ｍ’を見つけることができる攻撃者が存在しない場合に、その圧縮関数は、ｐＳＰＲ性を満たす。

圧縮関数のｐＳＰＲ性を破る攻撃者が存在すると仮定すると、固定ビット列ｃと、その攻撃者が見つけたビット列ｍ’との組は、圧縮関数のＳＰＲ性を破る。
しかし、圧縮関数のＳＰＲ性を破る攻撃者が存在すると仮定しても、その攻撃者が見つけたビット列ｍ’は、ｃ＝ｃ’でない限り、圧縮関数のｐＳＰＲ性を破らない。
したがって、攻撃者にとって、ｐＳＰＲ性を破るほうがＳＰＲ性を破るより難しい。圧縮関数を構成する側の立場から言うと、ｐＳＰＲ性を満たす圧縮関数を構成するほうがＳＰＲ性を満たす圧縮関数を構成するよりも容易である。

この実施の形態における並列生成部１３５は、上記処理装置（ＣＰＵ９１１）を用いて、上記並列ハッシュ鍵入力部１２１が入力したハッシュ鍵Ｋ_１と、上記並列分割部１３４が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記ハッシュ鍵Ｋ_１と上記並列分割ビット列ｍとの排他的論理和をそれぞれ算出して複数の並列撹乱ビット列ｍ’とし、算出した複数の並列撹乱ビット列ｍ’それぞれに基づいて、上記複数の並列撹乱ビット列ｍ’と所定の並列固定ビット列（並列初期値ビット列ＩＶ’）とを結合したビット列をそれぞれ生成して上記複数の並列ビット列ｍ”とする。

この実施の形態におけるハッシュ関数演算装置１００によれば、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がｐＳＰＲ性を満たす圧縮関数であれば、ｅＴＣＲ性を満たすハッシュ関数を演算することができるという効果を奏する。

この実施の形態における並列圧縮関数演算部１５０は、上記処理装置（ＣＰＵ９１１）を用いて、ｐＳＰＲ性圧縮関数を演算することにより、上記入力ビット列に基づいて上記並列出力ビット列を生成する。

以上説明したハッシュ関数演算装置１００は、ランダムな固定鍵Ｋ_１（並列ハッシュ鍵）を生成する固定鍵装置（ハッシュ鍵生成部８１２）と、前記固定鍵装置の出力Ｋ_１と任意長のメッセージＭ（入力メッセージ）を受け、任意長のメッセージ（入力メッセージＭ）の長さ（ビット数Ｌ_１）に依存した長さの値（複数の圧縮ビット列ｈ_ｉ）を出力する並列処理装置（並列処理部１３０）と、並列処理装置の出力（複数の圧縮ビット列ｈ_ｉ）を受け、固定長の値（ハッシュ値Ｈ）を出力する直列処理装置（直列処理部１６０）を有するｅＴＣＲ性ハッシュ関数装置である。

並列処理装置（並列処理部１３０）は、任意長メッセージＭ（入力メッセージ）を受け、Ｍにある値（並列詰め物Ｐ_１）をパディングし、ある長さごとにこの値（並列結合ビット列Ｍ^＊）を分割する装置（並列分割部１３４）と、この装置の出力値（複数の並列分割ビット列ｍ_ｉ）と鍵Ｋ_１（並列ハッシュ鍵）を受け、この値ごとにＫ_１を排他的論理和する装置（直列生成部１６５）と、その装置の出力（複数の並列ビット列ｍ_ｉ”）を受け、その値それぞれをｐＳＰＲ性圧縮関数で計算する装置（直列圧縮部１６６）と、この装置の出力（複数の圧縮ビット列ｈ_ｉ）を受け、値を結合する装置（直列詰め物結合部１６２）を有する。

直列処理装置（直列処理部１６０）は、並列処理装置（並列処理部１３０）の出力（複数の圧縮ビット列ｈ_ｉ）を受け、この値にある値（直列詰め物Ｐ_２）をパディングし、ある長さごとにこの値（直列結合ビット列Ｈ^＊）を分割する装置（分割部１６４）と、この装置の出力値（複数の直列ビット列ｙ_ｉ）を受け、ｐＳＰＲ性圧縮関数をＭＤ構造につないだ関数を計算する装置（直列圧縮部１６６）を有する。

以上説明したハッシュ関数演算装置１００によれば、ｐＳＰＲ性圧縮関数からｅＴＣＲ性ハッシュ関数を構成することができる。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力してｂビットのビット列を出力するｐＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムなａ−ｂビットの鍵Ｋ_１（並列ハッシュ鍵）を生成する。並列詰め物結合部１３２は、長さがａ−ｂビットの倍数となる値Ｍ^＊＝Ｍ‖０^ｕ‖＜Ｍ＞‖０^ａ−ｂを生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａ−ｂビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ’＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ＩＶ’‖ｍ_ｉ’（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉ（ｉ＝１，２，…，ｎ）とする。ここで、ＩＶ’はあらかじめ定められたｂビットの固定値である。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数の値Ｈ^＊＝０^ａ−ｂ‖ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖを生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｘ_１‖ｘ_２‖…‖ｘ_ｓとする。直列生成部１６５は、ｘ_ｉ（ｉ＝１，２，…，ｓ）とＫ_２とを排他的論理和し、ｙ_ｉ＝ｘ_ｉＸＯＲＫ_２とする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここで、ｃ_０＝ＩＶで、ＩＶはＩＶ’と異なるｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名（Ｋ_１，σ（ｃ_ｓ））を出力する。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０によれば、安全かつ効率的な署名を構成することができる。

以上説明したハッシュ関数演算方法は、ｐＳＰＲ性圧縮関数を並列に並べ、ｐＳＰＲ性圧縮関数への入力にランダムな鍵（並列ハッシュ鍵Ｋ_１）を排他的論理和する処理を、ｐＳＰＲ性圧縮関数を直列に並べるＭＤ構造に加えたものである。

以上説明したハッシュ関数演算方法によれば、ｐＳＰＲ性圧縮関数からｅＴＣＲ性ハッシュ関数を構成することができる。

以上のように、圧縮関数の繰り返し構造に対して、圧縮関数の並列処理部分とハッシュ鍵を加えることにより、比較的簡易に構成できるｐＳＰＲ性圧縮関数から、短い長さのハッシュ鍵を用い、署名関数との親和性が高いｅＴＣＲ性ハッシュ関数を構成できる。

実施の形態５．
実施の形態５について、説明する。
この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成、並列処理部１３０及び直列処理部１６０の内部ブロックの構成は、実施の形態４で説明したものと同様なので、図１１、図１３、図１４を参照しつつ、実施の形態４と異なる部分について説明する。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１−ｂ_１よりも大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１−ｂ_１の整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットの並列詰め物Ｐ_１を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを「０」とした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１−ｂ_１ビットが「０」であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

以上のような構成とした場合も、実施の形態４と同様、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がｐＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力しｂビットのビット列を出力するｐＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムなａ−ｂビットの鍵Ｋ_１（並列ハッシュ鍵）を生成する。並列詰め物結合部１３２は、長さがａ−ｂビットの倍数となる値Ｍ^＊＝Ｍ‖１‖０^ｕ‖０^ａ−ｂを生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａ−ｂビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ”＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ＩＶ’‖ｍ_ｉ”（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉとする。ここで、ＩＶ’はあらかじめ定められたｂビットの固定値である。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数の値Ｈ^＊＝ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖ‖＜Ｍ＞を生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｙ_１‖ｙ_２‖…‖ｙ_ｓとする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここでｃ_０＝ＩＶで、ＩＶはＩＶ’と異なるｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名として（Ｋ_１，σ（ｃ_ｓ））を出力する。

実施の形態６．
実施の形態６について、説明する。
この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成は、実施の形態１で説明したものと同様なので、図５及び図６を参照しつつ、実施の形態１と異なる部分について説明する。

ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、ａ_１＋ａ_２−ｂ_１ビットのハッシュ鍵Ｋを入力する。ハッシュ鍵入力部１２０が入力するハッシュ鍵Ｋは、ａ_１−ｂ_１ビットの並列ハッシュ鍵Ｋ_１と、ａ_２ビットの直列ハッシュ鍵Ｋ_２とが結合したビット列である。ハッシュ鍵入力部１２０は、ＣＰＵ９１１を用いて、並列ハッシュ鍵Ｋ_１と直列ハッシュ鍵Ｋ_２とを入力する。ハッシュ鍵入力部１２０は、ＲＡＭ９１４を用いて、入力した並列ハッシュ鍵Ｋ_１及び直列ハッシュ鍵Ｋ_２を記憶する。

この実施の形態における並列処理部１３０の内部ブロックの構成は、実施の形態４で説明したものと同様なので、図１４を参照しつつ、実施の形態４と異なる部分について説明する。

並列初期値記憶部１４１は、ＲＯＭ９１３を用いて、直列初期値記憶部１４２が記憶した直列初期値ビット列ＩＶとは異なる並列初期値ビット列ＩＶ’をあらかじめ記憶している。

並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、メッセージ入力部１１０が記憶した入力メッセージＭを入力する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、入力した入力メッセージＭに基づいて、入力メッセージＭのビット数Ｌ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出したビット数Ｌ_１に基づいて、以下の条件を満たす整数ｎ_１を算出する。並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、整数ｎ_１がａ_１−ｂ_１より大きく、かつ、整数ｎ_１とビット数Ｌ_１との和ｎ_１＋Ｌ_１がａ_１−ｂ_１の整数倍となる整数ｎ_１のうち、最小の整数ｎ_１を算出する。
並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、算出した整数ｎ_１に基づいて、ｎ_１ビットの並列詰め物Ｐ_１を生成する。例えば、並列詰め物生成部１３１は、ＣＰＵ９１１を用いて、最初のビットを「１」、残りのビットを「０」とした並列詰め物Ｐ_１を生成する。
なお、並列詰め物生成部１３１が生成する並列詰め物Ｐ_１は、最後からａ_１−ｂ_１ビットが「０」であればよく、残りのビットは、あらかじめ定めた所定のパターンにしたがっていれば、他の値であってもよい。
並列詰め物生成部１３１は、ＲＡＭ９１４を用いて、生成した並列詰め物Ｐ_１を記憶する。

この実施の形態における直列処理部１６０の内部ブロックの構成は、実施の形態１で説明したものと同様なので、ここでは説明を省略する。

以上のような構成とした場合も、実施の形態４及び実施の形態５と同様、並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０が計算する圧縮関数がｐＳＰＲ性を満たす場合、ハッシュ関数演算装置１００が計算するハッシュ関数はｅＴＣＲ性を満たす。

以上説明したハッシュ関数演算装置１００は、ランダムな固定鍵Ｋ_１‖Ｋ_２（ハッシュ鍵Ｋ）を生成する固定鍵装置（ハッシュ鍵生成部８１２）と、前記固定鍵装置の出力の一部Ｋ_１（並列ハッシュ鍵）と任意長のメッセージＭ（入力メッセージ）を受け、任意長のメッセージ（入力メッセージＭ）の長さ（ビット数Ｌ_１）に依存した長さの値（複数の圧縮ビット列ｈ_ｉ）を出力する並列処理装置（並列処理部１３０）と、並列処理装置の出力（複数の圧縮ビット列ｈ_ｉ）と固定鍵装置の出力の一部Ｋ_２（直列ハッシュ鍵）を受け、固定長の値（ハッシュ値Ｈ）を出力する直列処理装置（直列処理部１６０）を有するｅＴＣＲ性ハッシュ関数装置である。

並列処理装置（並列処理部１３０）は、任意長メッセージＭ（入力メッセージ）を受け、Ｍにある値（並列詰め物Ｐ_１）をパディングし、ある長さごとにこの値（並列結合ビット列Ｍ^＊）を分割する装置（並列分割部１３４）と、この装置の出力値（複数の並列分割ビット列ｍ_ｉ）と鍵の一部Ｋ_１（並列ハッシュ鍵）を受け、この値ごとにＫ_１を排他的論理和する装置（並列生成部１３５）と、その装置の出力（複数の並列ビット列ｍ_ｉ”）を受け、その値それぞれをｐＳＰＲ性圧縮関数で計算する装置（並列圧縮部１３６）と、この装置の出力（複数の圧縮ビット列ｈ_ｉ）を受け、値を結合する装置（直列詰め物結合部１６２）とを有する。

直列処理装置（直列処理部１６０）は、並列処理装置（並列処理部１３０）の出力を受け、この値（複数の圧縮ビット列ｈ_ｉ）にある値（直列詰め物Ｐ_２）をパディングし、ある長さごとにこの値（直列結合ビット列Ｈ^＊）を分割する装置（分割部１６４）と、この装置の出力値（複数の直列分割ビット列ｘ_ｉ）と鍵の一部Ｋ_２（直列ハッシュ鍵）を受け、装置の出力値をそれぞれＫ_２と排他的論理和する装置（直列生成部１６５）と、この装置の出力（複数の直列ビット列ｙ_ｉ）を受け、ｐＳＰＲ性圧縮関数をＭＤ構造につないだ関数を計算する装置（直列圧縮部１６６）とを有する。

以上説明したハッシュ関数演算装置１００を用いた署名装置８１０は、以下の動作をする。
Ｍを署名をつけたいメッセージとする。並列圧縮関数演算部１５０及び直列圧縮関数演算部１８０は、ａビットのビット列を入力してｂビットのビット列を出力するｐＳＰＲ性圧縮関数を計算する。ハッシュ鍵生成部８１２は、ランダムな２（ａ−ｂ）ビットの鍵Ｋ_１‖Ｋ_２（ただし、｜Ｋ_１｜＝ａ−ｂ。｜Ｋ_２｜＝ａ−ｂ。）を生成する。並列詰め物結合部１３２は、長さがａ−ｂビットの倍数となる値Ｍ^＊＝Ｍ‖０^ｕ‖０^ａ−ｂを生成する。ただし、ｕの長さが最小となるようにする。並列分割部１３４は、ａ−ｂビットごとにＭ^＊を分割し、Ｍ^＊＝ｍ_１‖ｍ_２‖…‖ｍ_ｎとする。並列生成部１３５は、ｍ_ｉ（ｉ＝１，２，…，ｎ）とＫ_１とを排他的論理和し、ｍ_ｉ’＝ｍ_ｉＸＯＲＫ_１（ｉ＝１，２，…，ｎ）とする。並列圧縮部１３６は、ＩＶ’‖ｍ_ｉ’（ｉ＝１，２，…，ｎ）を圧縮関数の入力として並列圧縮関数演算部１５０に計算させ、その出力値をｈ_ｉ（ｉ＝１，２，…，ｎ）とする。ここで、ＩＶ’はあらかじめ定められたｂビットの固定値である。直列詰め物結合部１６２は、ｈ_１，ｈ_２，…，ｈ_ｎをビット結合し、長さがａ−ｂの倍数となる値Ｈ^＊＝０^ａ−ｂ‖ｈ_１‖ｈ_２‖…‖ｈ_ｎ‖１‖０^ｖ‖＜Ｍ＞を生成する。ただし、ｖの長さが最小となるようにする。分割部１６４は、Ｈ^＊をａ−ｂビットごとに分割し、Ｈ^＊＝ｘ_１‖ｘ_２‖…‖ｘ_ｓとする。直列生成部１６５は、ｘ_ｉ（ｉ＝１，２，…，ｓ）とＫ_２とを排他的論理和し、ｙ_ｉ＝ｘ_ｉＸＯＲＫ_２（ｉ＝１，２，…，ｓ）とする。直列圧縮部１６６は、ｃ_ｉ−１‖ｙ_ｉ（ｉ＝１，２，…，ｓ）を圧縮関数の入力として直列圧縮関数演算部１８０に計算させ、ｃ_ｉとする。ここで、ｃ_０＝ＩＶで、ＩＶはＩＶ’と異なるｂビットの固定値である。署名関数演算部８１３は、σ（ｃ_ｓ）（ただし、σは署名関数。）を計算する。署名出力部８１４は、Ｍに対する署名（Ｋ_１，Ｋ_２，σ（ｃ_ｓ））を出力する。

以上説明したハッシュ関数演算方法は、ｐＳＰＲ性圧縮関数を並列に並べ、圧縮関数への入力にランダムな鍵（並列ハッシュ鍵Ｋ_１）を排他的論理和する処理と、ｐＳＰＲ性圧縮関数の出力に別のランダムな鍵（直列ハッシュ鍵Ｋ_２）を排他的論理和する処理とを、ｐＳＰＲ性圧縮関数を直列に並べるＭＤ構造に加えたものである。

実施の形態７．
実施の形態７について、図１５を用いて説明する。

実施の形態２または実施の形態５で説明したハッシュ関数演算装置１００のうち、直列処理部１６０の構成は、ＭＤ５やＳＨＡ−１を計算する既存のハッシュ関数演算装置の構成と共通している。
この実施の形態では、ＭＤ５やＳＨＡ−１を計算する既存のハッシュ関数演算装置を利用して、ハッシュ関数演算装置を構成する方式について説明する。

図１５は、この実施の形態におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図である。
なお、実施の形態２または実施の形態５で説明したハッシュ関数演算装置１００と共通する部分については、同一の符号を付し、ここでは説明を省略する。

ハッシュ関数演算装置１００は、圧縮結合部１７０、ハッシュ関数演算装置２００を有する。
ハッシュ関数演算装置２００は、ＭＤ５やＳＨＡ−１を計算する既存のハッシュ関数演算装置である。ハッシュ関数演算装置２００は、任意のビット数のビット列を入力し、所定のビット数のビット列を算出して、出力する。

圧縮結合部１７０は、ＣＰＵ９１１を用いて、並列処理部１３０が記憶したｎ個の圧縮ビット列ｈ_ｉを入力する。圧縮結合部１７０は、ＣＰＵ９１１を用いて、入力したｎ個の圧縮ビット列ｈ_ｉに基づいて、ｎ個の圧縮ビット列ｈ_ｉをすべて結合したビット列（以下「圧縮結合ビット列Ｍ’」と呼ぶ。）を生成する。圧縮結合部１７０は、ＣＰＵ９１１を用いて、生成した圧縮結合ビット列Ｍ’を、ハッシュ関数演算装置２００に入力する。

ハッシュ値出力部１９０は、ＣＰＵ９１１を用いて、ハッシュ関数演算装置２００が入力した圧縮結合ビット列Ｍ’に対するハッシュ値として算出したビット列を取得して、ハッシュ値Ｈとする。ハッシュ値出力部１９０は、ＣＰＵ９１１を用いて、取得したハッシュ値Ｈを出力する。

以上のように構成することにより、既存のハッシュ関数演算装置２００を利用して、ハッシュ関数演算装置１００を構成することができる。特に、ハッシュ関数演算装置１００を論理回路を用いて構成する場合、論理回路を用いて構成された既存のハッシュ関数演算装置２００に、他の機能ブロックを実現する論理回路を付加すればよく、ハッシュ関数演算装置１００の製造コストを低くすることができる。また、既存のハッシュ関数演算装置２００を再利用するので、資源を無駄にせず、環境への負荷を減らすことができる。

このように、並列圧縮関数演算部１５０が計算する圧縮関数がＳＰＲ性あるいはｐＳＰＲ性を満たすよう構成すれば、直列圧縮関数演算部１８０が計算する圧縮関数としてＭＤ５やＳＨＡ−１を計算するハッシュ関数が使用している圧縮関数を使用しても、ｅＴＣＲ性を満たすハッシュ関数を計算するハッシュ関数演算装置１００を構成できる。このため、ハッシュ関数演算装置１００が算出したハッシュ値を用いて、攻撃に対する耐性が強く安全な電子署名システムを構築することができる。

実施の形態１における署名装置８１０の構成の一例を示す全体構成図。実施の形態１における署名検証装置８２０の構成の一例を示す全体構成図。実施の形態１における署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００の外観の一例を示す図。実施の形態１における署名装置８１０、署名検証装置８２０あるいはハッシュ関数演算装置１００のハードウェア資源の一例を示す図。実施の形態１におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図。実施の形態１における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図。実施の形態１における直列処理部１６０の内部ブロックの一例を示す詳細ブロック構成図。実施の形態１におけるハッシュ関数演算装置１００が鍵付きハッシュ値を算出するハッシュ関数演算処理の流れの一例を示すフローチャート図。実施の形態１における並列処理部１３０が並列処理をする並列処理工程Ｓ７３０の流れの一例を示すフローチャート図。実施の形態１における直列処理部１６０が直列処理をする直列処理工程Ｓ７６０の流れの一例を示すフローチャート図。実施の形態２におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図。実施の形態２における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図。実施の形態２における直列処理部１６０の内部ブロックの構成の一例を示す詳細ブロック構成図。実施の形態４における並列処理部１３０の内部ブロックの構成の一例を示す詳細ブロック構成図。実施の形態７におけるハッシュ関数演算装置１００の機能ブロックの構成の一例を示すブロック構成図。

符号の説明

１００ハッシュ関数演算装置、１１０メッセージ入力部、１２０ハッシュ鍵入力部、１２１並列ハッシュ鍵入力部、１２２直列ハッシュ鍵入力部、１３０並列処理部、１３１並列詰め物生成部、１３２並列詰め物結合部、１３４並列分割部、１３５並列生成部、１３６並列圧縮部、１４１並列初期値記憶部、１４２直列初期値記憶部、１４３並列固定記憶部、１５０並列圧縮関数演算部、１６０直列処理部、１６１直列詰め物生成部、１６２直列詰め物結合部、１６３直列分割部、１６４分割部、１６５直列生成部、１６６直列圧縮部、１７０圧縮結合部、１８０直列圧縮関数演算部、１９０ハッシュ値出力部、２００ハッシュ関数演算装置、８１０署名装置、８１１，８２１署名対象メッセージ入力部、８１２ハッシュ鍵生成部、８１３署名関数演算部、８１４署名出力部、８２０署名検証装置、８２２署名入力部、８２３署名復号演算部、８２４署名比較部、９０１表示装置、９０２キーボード、９０３マウス、９０４ＦＤＤ、９０５ＣＤＤ、９０６プリンタ装置、９０７スキャナ装置、９１０システムユニット、９１１ＣＰＵ、９１２バス、９１３ＲＯＭ、９１４ＲＡＭ、９１５通信装置、９２０磁気ディスク装置、９２１ＯＳ、９２２ウィンドウシステム、９２３プログラム群、９２４ファイル群、９３１電話器、９３２ファクシミリ機、９４０インターネット、９４１ゲートウェイ、９４２ＬＡＮ。

Claims

データを処理する処理装置と、並列圧縮関数演算部と、直列圧縮関数演算部と、メッセージ入力部と、並列処理部と、直列処理部と、ハッシュ値出力部とを有し、
上記並列圧縮関数演算部は、上記処理装置を用いて、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）の入力ビット列を入力し、入力した入力ビット列に基づいてｂ_１ビット（ただし、ｂ_１は１以上ａ_１未満の所定の整数。）の並列出力ビット列を生成し、
上記直列圧縮関数演算部は、上記処理装置を用いて、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、上記ｂ_２ビットの直列出力ビット列を生成し、
上記メッセージ入力部は、上記処理装置を用いて、Ｌ_１ビット（ただし、Ｌ_１は１以上の任意の整数。）のビット列を入力して入力メッセージＭとし、
上記並列処理部は、上記処理装置を用いて、上記メッセージ入力部が入力した入力メッセージＭに基づいて、上記ａ_１ビットの複数の並列ビット列ｍ”を生成し、生成した複数の並列ビット列ｍ”それぞれを上記入力ビット列として上記並列圧縮関数演算部に入力し、上記並列圧縮関数演算部が入力した複数の並列ビット列ｍ”それぞれに対して生成した複数の並列出力ビット列を取得して複数の圧縮ビット列ｈとし、
上記直列処理部は、上記処理装置を用いて、上記並列処理部が取得した複数の圧縮ビット列ｈに基づいて、上記ａ_２ビットの複数の直列ビット列ｙを生成し、生成した複数の直列ビット列ｙのうち少なくともいずれかの直列ビット列ｙと、上記直列ビット列ｙと異なる他の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算部に入力し、上記直列圧縮関数演算部が入力した直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記直列ビット列ｙに基づいて生成された中間ビット列ｃとし、取得した中間ビット列ｃのうちのいずれかをハッシュ値Ｈとし、
上記ハッシュ値出力部は、上記処理装置を用いて、上記直列処理部が取得したハッシュ値Ｈを出力する
ことを特徴とするハッシュ関数演算装置。
上記ハッシュ関数演算装置は、更に、データを記憶する記憶装置と、直列初期値記憶部とを有し、
上記直列初期値記憶部は、上記記憶装置を用いて、上記ｂ_２ビットのビット列を直列初期ビット列ＩＶとして記憶し、
上記直列処理部は、上記処理装置を用いて、生成した複数の直列ビット列ｙのうち最初の直列ビット列ｙと、上記直列初期値記憶部が記憶した直列初期ビット列ＩＶとに基づいて、上記最初の直列ビット列ｙを上記第一ビット列とし上記直列初期ビット列ＩＶを上記第二ビット列として上記直列圧縮関数演算部に入力し、上記直列圧縮関数演算部が入力した最初の直列ビット列ｙ及び直列初期ビット列ＩＶに対して生成した直列出力ビット列を取得して上記最初の直列ビット列ｙに基づいて生成された中間ビット列ｃとし、生成した複数の直列ビット列ｙのうち最初以外の直列ビット列ｙと、上記最初以外の直列ビット列ｙより一つ前の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記最初以外の直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算部に入力し、上記直列圧縮関数演算部が入力した最初以外の直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記最初以外の直列ビット列ｙに基づいて生成された中間ビット列ｃとし、上記複数の直列ビット列ｙのうち最後の直列ビット列ｙに基づいて生成された中間ビット列ｃをハッシュ値Ｈとする
ことを特徴とする請求項１に記載のハッシュ関数演算装置。
上記並列処理部は、並列詰め物生成部と、並列詰め物結合部と、並列分割部と、並列生成部とを有し、
上記並列詰め物生成部は、上記処理装置を用いて、上記メッセージ入力部が入力した入力メッセージＭに基づいて、ｎ_１ビット（ただし、ｎ_１は１以上の整数で、ｎ_１＋Ｌ_１が整数ｄ_１の整数倍。Ｌ_１は上記入力メッセージＭのビット数。上記整数ｄ_１は１以上の所定の整数。）のビット列を生成して並列詰め物Ｐ_１とし、
上記並列詰め物結合部は、上記処理装置を用いて、上記メッセージ入力部が入力した入力メッセージＭと、上記並列詰め物生成部が生成した並列詰め物Ｐ_１とに基づいて、上記入力メッセージＭと上記並列詰め物Ｐ_１とを結合したビット列を生成して並列結合ビット列Ｍ^＊とし、
上記並列分割部は、上記処理装置を用いて、上記並列詰め物結合部が生成した並列結合ビット列Ｍ^＊に基づいて、上記並列結合ビット列Ｍ^＊を上記ｄ_１ビットごとに分割した複数のビット列を生成して複数の並列分割ビット列ｍとし、
上記並列生成部は、上記処理装置を用いて、上記並列分割部が生成した複数の並列分割ビット列ｍそれぞれに基づいて、上記複数の並列ビット列ｍ”を生成する
ことを特徴とする請求項１または請求項２に記載のハッシュ関数演算装置。
上記ハッシュ関数演算装置は、更に、並列ハッシュ鍵入力部を有し、
上記並列ハッシュ鍵入力部は、上記処理装置を用いて、上記ｄ_１ビットのビット列を入力して並列ハッシュ鍵Ｋ_１とし、
上記並列生成部は、上記処理装置を用いて、上記並列ハッシュ鍵入力部が入力した並列ハッシュ鍵Ｋ_１と、上記並列分割部が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記複数の並列ビット列ｍ”を生成する
ことを特徴とする請求項３に記載のハッシュ関数演算装置。
上記並列生成部は、上記処理装置を用いて、上記並列ハッシュ鍵入力部が入力したハッシュ鍵Ｋ_１と、上記並列分割部が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記ハッシュ鍵Ｋ_１と上記並列分割ビット列ｍとの排他的論理和をそれぞれ算出して複数の並列撹乱ビット列ｍ’とし、算出した複数の並列撹乱ビット列ｍ’それぞれに基づいて、上記複数の並列撹乱ビット列ｍ’と所定の並列固定ビット列とを結合したビット列をそれぞれ生成して上記複数の並列ビット列ｍ”とする
ことを特徴とする請求項４に記載のハッシュ関数演算装置。
上記並列生成部は、上記処理装置を用いて、上記複数の並列撹乱ビット列ｍ’と１ビットの並列固定ビット列とを結合したビット列をそれぞれ生成して上記複数の並列ビット列ｍ”とする
ことを特徴とする請求項５に記載のハッシュ関数演算装置。
上記並列生成部は、上記処理装置を用いて、上記並列ハッシュ鍵入力部が入力したハッシュ鍵Ｋ_１と、上記並列分割部が生成した複数の並列分割ビット列ｍそれぞれとに基づいて、上記ハッシュ鍵Ｋ_１と上記並列分割ビット列ｍとの排他的論理和をそれぞれ算出して複数の並列ビット列ｍ”とする
ことを特徴とする請求項４に記載のハッシュ関数演算装置。
上記並列詰め物生成部は、上記処理装置を用いて、上記ｄ_１個の連続した「０」を含む並列詰め物Ｐ_１を生成する
ことを特徴とする請求項３乃至請求項７のいずれかに記載のハッシュ関数演算装置。
上記並列詰め物生成部は、上記処理装置を用いて、上記入力メッセージＭのビット数Ｌ_１をｅ_１ビット（ただし、ｅ_１は１以上の所定の整数。）の二進数で表現したビット列を含む並列詰め物Ｐ_１を生成する
ことを特徴とする請求項３乃至請求項８のいずれかに記載のハッシュ関数演算装置。
上記直列処理部は、直列詰め物生成部と、直列詰め物結合部と、直列分割部とを有し、
上記直列詰め物生成部は、上記処理装置を用いて、上記メッセージ入力部が入力した入力メッセージＭに基づいて、ｎ_２ビット（ただし、ｎ_２は１以上の整数で、ｎ_２＋Ｌ_２が整数ｄ_２の整数倍。Ｌ_２は上記複数の圧縮ビット列ｈのビット数を合計した整数。上記整数ｄ_２は１以上の所定の整数。）のビット列を生成して直列詰め物Ｐ_２とし、
上記直列詰め物結合部は、上記処理装置を用いて、上記並列処理部が取得した複数の圧縮ビット列ｈと、上記直列詰め物生成部が生成した直列詰め物Ｐ_２とに基づいて、上記複数の圧縮ビット列ｈと上記直列詰め物Ｐ_２とを結合したビット列を生成して直列結合ビット列Ｈ^＊とし、
上記直列分割部は、上記処理装置を用いて、上記直列詰め物結合部が生成した直列結合ビット列Ｈ^＊に基づいて、上記複数の直列ビット列ｙを生成する
ことを特徴とする請求項１乃至請求項９のいずれかに記載のハッシュ関数演算装置。
上記直列分割部は、上記処理装置を用いて、上記直列詰め物結合部が生成した直列結合ビット列Ｈ^＊に基づいて、上記直列結合ビット列Ｈ^＊を上記ｄ_２ビットごとに分割した複数のビット列を生成して上記複数の直列ビット列ｙとする
ことを特徴とする請求項１０に記載のハッシュ関数演算装置。
上記ハッシュ関数演算装置は、更に、直列ハッシュ鍵入力部を有し、
上記直列ハッシュ鍵入力部は、上記処理装置を用いて、上記ｄ_２ビットのビット列を入力して直列ハッシュ鍵Ｋ_２とし、
上記直列分割部は、上記処理装置を用いて、上記直列詰め物結合部が生成した直列結合ビット列Ｈ^＊に基づいて、上記直列結合ビット列Ｈ^＊を上記ｄ_２ビットごとに分割した複数のビット列を生成して複数の直列分割ビット列ｘとし、上記直列ハッシュ鍵入力部が入力した直列ハッシュ鍵Ｋ_２と、生成した複数の直列分割ビット列ｘそれぞれとに基づいて、上記複数の直列ビット列ｙを生成する
ことを特徴とする請求項１０に記載のハッシュ関数演算装置。
上記直列分割部は、上記処理装置を用いて、上記直列ハッシュ鍵入力部が入力したハッシュ鍵Ｋ_２と、生成した複数の直列分割ビット列ｘそれぞれとに基づいて、上記ハッシュ鍵Ｋ_２と上記直列分割ビット列ｘとの排他的論理和をそれぞれ算出して複数の直列ビット列ｙとする
ことを特徴とする請求項１２に記載のハッシュ関数演算装置。
上記直列詰め物生成部は、上記処理装置を用いて、上記ｄ_２個の連続した「０」を含む直列詰め物Ｐ_２を生成する
ことを特徴とする請求項１０乃至請求項１３のいずれかに記載のハッシュ関数演算装置。
上記直列詰め物生成部は、上記処理装置を用いて、上記入力メッセージＭのビット数Ｌ_１をｅ_２ビット（ただし、ｅ_２は１以上の所定の整数。）の二進数で表現したビット列を含む直列詰め物Ｐ_２を生成する
ことを特徴とする請求項１０乃至請求項１４のいずれかに記載のハッシュ関数演算装置。
上記直列詰め物生成部は、上記処理装置を用いて、上記ｄ_２個の連続した「０」を含む直列第一詰め物ビット列と、上記入力メッセージＭのビット数Ｌ_１をｅ_２ビット（ただし、ｅ_２は１以上の所定の整数。）の二進数で表現したビット列を含む直列第二詰め物ビット列とからなる直列詰め物Ｐ_２を生成し、
上記直列詰め物結合部は、上記処理装置を用いて、上記並列処理部が取得した複数の圧縮ビット列ｈと、上記直列詰め物生成部が生成した直列詰め物Ｐ_２に含まれる直列第一詰め物ビット列及び直列第二詰め物ビット列とに基づいて、上記直列第一詰め物ビット列と上記複数の圧縮ビット列ｈと上記直列第二詰め物ビット列とを結合したビット列を生成して直列結合ビット列Ｈ^＊とする
ことを特徴とする請求項１０乃至請求項１３のいずれかに記載のハッシュ関数演算装置。
上記直列圧縮関数演算部は、上記処理装置を用いて、ａ_２ビット（ただし、ａ_２＝ａ_１−ｂ_１。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２＝ｂ_１。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とを結合したビット列を生成して第三ビット列とし、生成した第三ビット列を上記入力ビット列として上記並列圧縮関数演算部に入力し、上記並列圧縮関数演算部が入力した第三ビット列に対して出力した並列出力ビット列を取得して上記直列出力ビット列とする
ことを特徴とする請求項１乃至請求項１６のいずれかに記載のハッシュ関数演算装置。
上記並列圧縮関数演算部は、上記処理装置を用いて、ＳＰＲ（ＳｅｃｏｎｄＰｒｅｉｍａｇｅＲｅｓｉｓｔａｎｃｅ）性圧縮関数及びｐＳＰＲ（ｐａｒｔｉａｌ−ＳＰＲ）性圧縮関数のいずれかを演算することにより、上記入力ビット列に基づいて上記並列出力ビット列を生成する
ことを特徴とする請求項１乃至請求項１７のいずれかに記載のハッシュ関数演算装置。
請求項１乃至請求項１８のいずれかに記載のハッシュ関数演算装置と、署名関数演算部と、署名出力部とを有し、
上記ハッシュ関数演算装置は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力し、
上記署名関数演算部は、上記ハッシュ値出力部が出力したハッシュ値Ｈに基づいて、署名ｓを生成し、
上記署名出力部は、上記署名関数演算部が生成した署名ｓを、上記署名対象メッセージに対する署名として出力する
ことを特徴とする署名装置。
並列ハッシュ鍵生成部と、請求項４乃至請求項７のいずれかに記載のハッシュ関数演算装置と、署名関数演算部と、署名出力部とを有し、
上記並列ハッシュ鍵生成部は、上記ｄ_１ビットのビット列ｋ_１をランダムに生成し、
上記メッセージ入力部は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力し、
上記並列ハッシュ鍵入力部は、上記並列ハッシュ鍵生成部が生成したビット列ｋ_１を上記並列ハッシュ鍵Ｋ_１として入力し、
上記署名関数演算部は、上記ハッシュ値出力部が出力したハッシュ値Ｈに基づいて、署名ｓを生成し、
上記署名出力部は、上記並列ハッシュ鍵生成部が生成したビット列ｋ_１と、上記署名関数演算部が生成した署名ｓとの組を、上記署名対象メッセージに対する署名として出力する
ことを特徴とする署名装置。
直列ハッシュ鍵生成部と、請求項１２または請求項１３に記載のハッシュ関数演算装置と、署名関数演算部と、署名出力部とを有し、
上記直列ハッシュ鍵生成部は、上記ｄ_２ビットのビット列ｋ_２をランダムに生成し、
上記メッセージ入力部は、署名の対象である署名対象メッセージを上記入力メッセージＭとして入力し、
上記直列ハッシュ鍵入力部は、上記直列ハッシュ鍵生成部が生成したビット列ｋ_２を上記直列ハッシュ鍵Ｋ_２として入力し、
上記署名関数演算部は、上記ハッシュ値出力部が出力したハッシュ値Ｈに基づいて、署名ｓを生成し、
上記署名出力部は、上記直列ハッシュ鍵生成部が生成したビット列ｋ_２と、上記署名関数演算部が生成した署名ｓとの組を、上記署名対象メッセージに対する署名として出力する
ことを特徴とする署名装置。
データを処理する処理装置を有するコンピュータを、請求項１乃至請求項１７のいずれかに記載のハッシュ関数演算装置として機能させることを特徴とするプログラム。
データを処理する処理装置を有するハッシュ関数演算装置がハッシュ値を計算するハッシュ関数演算方法において、
上記処理装置が、ａ_１ビット（ただし、ａ_１は２以上の所定の整数。）の入力ビット列を入力し、入力した入力ビット列に基づいてｂ_１ビット（ただし、ｂ_１は１以上ａ_１以下の所定の整数。）の並列出力ビット列を生成する並列圧縮関数演算工程と、
上記処理装置が、ａ_２ビット（ただし、ａ_２は１以上の所定の整数。）の第一ビット列を入力し、ｂ_２ビット（ただし、ｂ_２は１以上の所定の整数。）の第二ビット列を入力し、入力した第一ビット列と入力した第二ビット列とに基づいて、上記ｂ_２ビットの直列出力ビット列を生成する直列圧縮関数演算工程とを有し、
上記処理装置が、Ｌ_１ビット（ただし、Ｌ_１は１以上の任意の整数。）のビット列を入力して入力メッセージＭとし、
上記処理装置が、入力した入力メッセージＭに基づいて、上記ａ_１ビットの複数の並列ビット列ｍ”を生成し、
上記処理装置が、生成した複数の並列ビット列ｍ”それぞれを上記入力ビット列として上記並列圧縮関数演算工程を実行し、上記並列圧縮関数演算工程で入力した複数の並列ビット列ｍ”それぞれに対して生成した複数の並列出力ビット列を取得して複数の圧縮ビット列ｈとし、
上記処理装置が、取得した複数の圧縮ビット列ｈに基づいて、上記ａ_２ビットの複数の直列ビット列ｙを生成し、
上記処理装置が、生成した複数の直列ビット列ｙのうち少なくともいずれかの直列ビット列ｙと、上記直列ビット列ｙと異なる他の直列ビット列ｙに基づいて生成された中間ビット列ｃとに基づいて、上記直列ビット列ｙを上記第一ビット列とし上記中間ビット列ｃを上記第二ビット列として上記直列圧縮関数演算工程を実行し、上記直列圧縮関数演算工程で入力した直列ビット列ｙ及び中間ビット列ｃに対して生成した直列出力ビット列を取得して上記直列ビット列ｙに基づいて生成された中間ビット列ｃとし、取得した中間ビット列ｃのうち少なくともいずれかをハッシュ値Ｈとし、
上記処理装置が、取得したハッシュ値Ｈを出力する
ことを特徴とするハッシュ関数演算方法。