JP2010531018A - 有限体演算を用いる暗号学的乱数発生器 - Google Patents

Abstract

高速でコンパクトであり、かつ暗号化強度の高い乱数発生器を提供する集積回路チップのための多様な実施形態として、装置（１００）及び方法（２００）が提供される。一実施形態における装置には、イニシャルランダムソース（１０、３１０）及び、該ソースと通信可能に接続される後処理ブロック（２０）が備えられる。後処理ブロック（２０）はイニシャルランダムソース（１０、３１０）から信号を受信し、１又は複数の有限体演算を信号上に適用して出力を生成し、該出力に基づく出力信号を出力チャネル（２２）を介して提供するよう構成される。

Description

本発明は、半導体集積回路等の電子回路に関する。具体的には、真の乱数発生器として機能する電子回路に関する。

半導体集積回路は、何百何千もの半導体素子が単一のチップに一体化されていることが多々ある。このような半導体素子は、所望の機能を実行するために、相互に接続されている。

集積回路チップによって実行される機能の１つが乱数発生である。乱数発生器（ＲＮＧ）は、要素の配列を生成するよう構成されるデバイスであって、該配列はランダム配列として使用される。ランダム性に関しては、乱数発生器で生成されたランダム配列の暗号化強度を測定するための多様なランダム性テストによって、通常は評価される。乱数発生器として用いられている部品は、実際のところ擬似ランダムか、さもなければ暗号化強度が低いことが多い。なんらかのランダム性を包含しているように見えても、分析してみると程度の差はあれ、実際は予測可能性を有していることが明白となることがある。一方で、暗号化強度が高い乱数発生器は、かなりの分析が行われても予測不可能である乱数配列を生成するので、その完全な仕様書を与えられたとしても、どのようなランダム出力のビットになるかを予測することは、計算的に実行不可能である。

暗号化強度が高いＲＮＧは、キー生成、ストリーム暗号設計等の暗号タスクのための暗号集積回路に用いられる。

高速、コンパクト、且つ暗号化強度が高いユニットを用いて、真の乱数を生成するための方法及び装置の改良が求められている。
上記の記載は、一般的な背景情報として記載されただけであって、請求項に記載の主題の範囲を限定することを意図するものでもない。

本発明の一様態は装置であり、一実施形態によると、該装置には、イニシャルランダムソース及び、イニシャルランダムソースと通信可能に接続されている後処理ブロックが含まれる。この実施形態では、後処理ブロックは、イニシャルランダムソースからの信号を受信するよう構成されており、１又は複数の有限体演算を該信号に適用して出力を生成し、出力に基づく出力信号を出力チャネルを介して提供する。

本発明の別の様態は方法であり、一実施形態によると、該方法には、リングオシレータでイニシャルランダム信号を生成するステップが含まれる。イニシャルランダム信号は、複数の任意の入力信号から選択をするためのコントロール信号として用いられる。１又は複数の有限体演算が入力信号に対して実行される。この実施形態においては、１又は複数の有限体演算の結果が出力信号として提供される。

本発明の別の様態は集積回路デバイスであり、一実施形態によると、集積回路デバイスには、リングオシレータ、マルチプレクサ、有限体乗算部、有限体二乗部、及びアキュムレータが含まれる。マルチプレクサは、２つのデータ信号入力、コントロール信号入力、出力を備えている。コントロール信号入力は、リングオシレータの出力と通信可能に接続されている。有限体乗算部は、第１入力、第２入力、出力を備えている。有限体乗算部の第１入力は、マルチプレクサの出力と通信可能に接続されている。有限体二乗部は、入力及び出力を備えている。有限体二乗部の出力は、有限体乗算部の入力と通信可能に接続されている。アキュムレータは、入力及び出力を備えている。本実施形態では、アキュムレータの入力は有限体乗算部の出力と通信可能に接続されており、アキュムレータの出力は有限体二乗部の入力及び出力チャネルの双方と通信可能に接続されている。

本発明の概要は、以下の詳細な説明でさらに説明される概念をまとめたものを簡単な形で紹介するために設けられている。この概要は、請求項に記載の主題の重要な特徴または本質的な特徴を特定することを意図しておらず、また、請求項に記載の主題の範囲を限定することを意図するものでもない。請求項に記載の主題は、背景技術で記載された任意のまたは全ての問題点を解決する方法に限定されるものではない。

本発明の一実施形態に係る乱数発生器のコアモジュールの構造を示すブロック図である。 本発明の一実施形態に係る乱数を生成するための方法を説明するフロー図である。 本発明の一実施形態に係る乱数発生器のためのイニシャルランダムソースを示すブロック図である。

図１は、本発明の一実施形態に係る、有限体演算を用いて乱数を発生するよう構成された装置１００を示すブロック図である。装置１００は、例えば集積回路デバイスとして実現され、図示された種々の素子を１又は複数の集積回路チップに具えている。これらの素子は相互に通信可能に接続されており、種々の入出力を介して、１つの素子から別の素子への信号の伝送を可能にしている。この実施形態では、装置１００にはイニシャルランダムソース１０及び後処理ブロック２０が含まれ、後処理ブロック２０はイニシャルランダムソース１０の出力Ｂによって、イニシャルランダムソース１０から通信可能に接続されている。イニシャルランダムソース１０は、例えば１又は複数のリングオシレータとして実現される。イニシャルランダムソースの一実施形態を、図２を参照して以下で説明する。

本実施形態による後処理ブロック２０には、マルチプレクサ１２、有限体乗算部１４、有限体二乗部１６、アキュムレータ１８及び出力チャネル２２が含まれている。有限体乗算部１４及び有限体二乗部１６は、後処理ブロック２０内の構成要素であり、例えば、ガロア体演算（Galois field operation）としても知られる有限体演算を実行するよう構成されている。

マルチプレクサ１２には、２つのデータ信号入力Ｃ１及びＣ２、イニシャルランダムソース１０の出力Ｂと接続されているコントロール信号入力、及び、有限体乗算部１４の第１入力１３と接続されている出力が含まれる。これにより、後処理ブロック２０はマルチプレクサ１２からの出力信号ＢＭを有限体乗算部１４に通信する。有限対乗算部１４は、マルチプレクサ１２の出力に通信可能に接続されている第１入力１３に加えて、第２入力１５及びアキュムレータ１８と通信可能に接続されている出力を有している。有限体乗算部１４は、２つの入力１３及び１５を介して受信した２つの信号上で有限体乗算を実行し、結果として生じる出力信号を生成するよう構成されており、且つ、本実施形態においては、結果として生じる出力信号Ｚをアキュムレータ１８に通信する。

アキュムレータ１８は入力及び出力の両方を備えており、入力は有限体乗算部１４の出力と接続されている。アキュムレータ１８の出力に接続されるノードを介して、その出力が有限体二乗部１６及び出力チャネル２２の双方と接続される。有限体二乗部１６は、入力に対する有限体二乗等の有限体二乗演算を実行するよう構成される。有限体二乗部１６は、アキュムレータ１８の出力と接続されている入力、及び、有限体乗算部の第２入力１５と接続されている出力を備えている。これにより、有限体乗算部１４、有限体二乗部１６及びアキュムレータ１８は、サイクリックループ（cyclic loop）を形成し、また一方で、アキュムレータ１８は、出力チャネル２２に出力信号を送出し、該出力チャネルから装置１００による最終ランダム出力の反復(iteration)が発生される。出力チャネル２２はまた、アキュムレータ１８からの出力信号をそのまま送出するか、又は、一実施形態においては、出力信号の中央部等からビットのサブセットを選択するステップ等の追加的なエンド処理ステップを実行してから、ビットのサブセットを提供するか、を実行する。その結果、本実施形態の装置１００において、最終ランダム出力信号は、暗号化強度が高くなり、反復が高速かつ小型パッケージで提供される。

有限体乗算部１４の第１入力に提供される信号は、マルチプレクサ１２への入力から選択されており、その入力がイニシャルランダムソース１０によって選択コントロールされていることから、本実施形態において、該信号はイニシャルランダムソースに基づくことになる。有限体乗算部１４の入力に提供される信号がイニシャルランダムソース１０の出力に基づくようにする方法は、実施形態によって多様であり、イニシャルランダムソース１０の出力を直接又は１又は複数の事前変換の後で受け取るステップによるものや、何らかの方法でイニシャルランダムソースの出力によってコントロールされる信号を受け取るステップによるもの等、多様な実施形態が存在する。

このように、後処理ブロック２０は、イニシャルランダムソース１０に基づく入力信号ＢＭを受信するよう構成され、有限体乗算部１４や有限体二乗部１６等の構成要素を用いて入力信号ＢＭに有限体演算を適用してランダム化された出力Ｚを生成し、ランダム化された出力Ｚを少なくとも部分的に基にして構成される出力信号Ａを、出力チャネル２２を介して提供するよう構成されている。出力信号Ａは、有限体二乗部１６にも供給されており、そこで有限体二乗が実行されて、Ａ²＝Ａ＊Ａが出力として提供され、Ａ²が有限体乗算部１４の第２入力１５へ提供される。これにより、Ｚ（ｎ＋１）＝ＢＭ＊〔Ａ（ｎ）〕²に従って生成されたランダム化された出力Ｚのランダム化信号の各反復ｎについての、後処理ブロック２０における組み合わせ有限体演算が生じることになる。

装置１００の機能を、その構成要素のより詳細な説明に先立って、図２のフロー図２００を参照しながら説明する。図２は、有限体演算を用いて乱数を生成するための方法２００を説明するフロー図であり、この方法は図１の装置１００によって実行される。方法２００には、イニシャルランダム信号を生成するステップ２０１が含まれており、このステップは、装置１００のイニシャルランダムソース１０で実行される。方法２００にはさらに、イニシャルランダム信号をコントロール信号として用いて複数の任意の入力信号から選択するステップ２０３が含まれており、これは装置１００のマルチプレクサ１２で実行される。複数の任意の入力信号は、図１のマルチプレクサ１２への２つの入力で示されるような任意の２つの入力信号であるが、別の実施形態において、３又はそれ以上の任意の入力から選択するとしてもよい。方法２００には、１又は複数の有限体演算を入力信号上で実行するためのステップ２０５も含まれ、装置１００の例では、有限体乗算部１４及び有限体二乗部１６の少なくとも一方で実行される。さらに方法２００には、１又は複数の有限体演算による結果の少なくとも一部に基づいた出力信号を提供するためのステップ２０７が含まれ、装置１００においてはアキュムレータ１８及び出力チャネル２２の少なくとも一方で実行される。装置１００では方法２００のステップを実行するよう構成される特定のハードウェア素子が示されているが、方法２００の別の実施形態を実行するために多種多様な別の形態も採用可能である。

図１においては、有限体乗算部１４及び有限体二乗部１６が後処理ブロック２０の有限体演算素子の例として示されているが、別の実施形態では、後処理ブロックに含まれる有限体演算素子が１つのみであっても、図１で示されたように２つであっても、或はそれ以上の数であってもよい。このような有限体演算素子は、有限体加算、有限体乗算、有限体二乗、又は他の有限体演算等の有限体演算を実行するように構成される。有限体演算素子によって受信された信号及び生成された信号もまた、別の実施形態においては多種多様な構成（コンフィギュレーション）に変形される。図１の実施形態においては、有限体乗算部は有限体二乗部に入力を提供し、有限体二乗部は自身の出力を有限体乗算部の入力の１つとして提供するが、これは一例にすぎない。

例えば、他の構成では、１又は複数の有限体演算素子の出力を、有限体加算部への入力として用いること、又は、有限体乗算部、有限体二乗部や他のタイプの有限体演算部への入力として用いることも可能である。第３、第４、又はそれ以上の有限体演算素子が、図１において示される第１及び第２の有限体演算部と接続されて、第２演算部からの出力が第３演算部への入力として用いられ、第３演算部からの出力が第１演算部又は第４演算部の入力として用いられ、第４演算部の出力が第１演算部又は第５演算部への入力として用いられる等の構成が可能である。任意の上記の有限体演算素子は、有限体加算素子、有限体乗算素子、有限体二乗素子、又は他の任意のタイプの有限体演算素子である。これらの素子を用いることで、後処理ブロック２０は、任意の多様な有限体演算を、イニシャルランダムソースに基づいた信号に対して適用できるような構成となる。任意の多種多様な構成を用いて有限体演算素子が相互に接続されることにより、多種多様な実施形態によって暗号化強度の高いランダム出力が生成できる。

有限体演算は、暗号化強度の高いランダム出力を生成するために非常に適している。有限体とは、有限個の元のみからなる体である。全ての有限体は、何らかの素数Ｐ及び何らかの正数ｎ＞０に対してＰ^ｎの要素（元数）を有するので、有限体はＧＦ（Ｐ^ｎ）で示される（「ＧＦ」は有限体と同義の用語であるガロア体を示す）。いくつかの実施形態では、Ｐ＝２を用いることが実用的であるとされ、有限体はＧＦ（２^ｎ）と示される。この場合、ＧＦ（２^ｎ）の要素はｎビットのバイナリベクトルで表すことができる。

有限体演算は、有限体乗算部１４、有限体二乗部１６、有限体加算部（図１の実施形態には含まれない）、又は別タイプの有限体演算素子等のハードウェア素子に効果的に実現させることが可能である。実例として、有限体加算部は等価のバイナリベクトルに対するビット単位の加算を用いて実現される。別の実例として、有限体乗算部素子は、およそ７ｎ²のＮＡＮＤ論理ゲートが含まれ、最大数のロジックレベルであるおよそ４log(n)を有する回路を用いて実現される。さらに別の例として、有限体二乗を実行する有限体二乗素子は、入力バイナリベクトルのサイクリックシフト(cyclic shift)を用いて実現される。これとは別の演算が別の有限体演算素子で実現されることもある。

例えば、一実施形態では、有限体演算素子は、ｎを１６〜３２の素数とする有限体ＧＦ（２^ｎ）上で有限体演算を実行するよう構成される。その範囲には、１７、１９、２３、２９及び３１の５つの素数が存在する。すなわち、有限体は各々、２¹⁷、２¹⁹、２²³、２²⁹、２³¹という要素を有することになる。これらの有限体上で演算を実行するための有限体演算部は、およそ７²のNAND論理ゲートで実現される。７^ｎに近い数のＮＡＮＤ論理ゲートで実現される別の有限体演算部が用いられることもあるが、許容されるレンジの有意な変形は、類似の値あるいは場合によってはさらに大きい値から、ｎが１７、１９、２３、２９、３１のいずれかの場合の変分までである。さらに別の実施例では、有限体演算素子は別のタイプの論理ゲートでも、ＮＡＮＤゲート及び別のタイプの論理ゲートとの混合でも、論理ゲートではなく別の手段であってもよい。

図３は、イニシャルランダムソース３１０の一実施形態に関する追加的な説明であり、これは図１の装置１００におけるイニシャルランダムソース１０として用いられる。本実施形態において、イニシャルランダムソース３１０は、リングオシレータ３０１とオシレータコントローラ３０３を備えている。リングオシレータ３０１には直列接続されている複数のインバータ３０５が含まれる。図３では３つのインバータ３０５が示されているが、これは一例であって、リングオシレータ３０１は任意数のインバータを含むことができる。またリングオシレータ３０１には、例えばバッファ、ＯＲ論理ゲート、又はＡＮＤ論理ゲート等、多種多様な別のタイプの直列接続された複数の素子一式が含まれていてもよい。

インバータ一式３０５は、マルチプレクサ３０７の一方の入力と接続されている。オシレータコントローラは、マルチプレクサ３０７のもう一方の入力となるデータ信号出力１３及びマルチプレクサ３０７の制御設定になるコントロール信号出力３１１の両方を出力する。これにより、本実施形態において、マルチプレクサ３０７の出力３０９がイニシャルランダムソース３１０からのイニシャルランダム信号となる。オシレータコントローラ３０３はリングオシレータ３０１の状態をチェックし、イニシャルランダム信号が１０〜２０サイクル等の複数サイクルにおいてトグルしていなければ、オシレータコントローラ３０３は、出力３１１を介してコントロール信号を出力し、かつ出力３１３を介してデータ信号を出力して、リングオシレータ３０１に新規の値を設定する。この構造によって、リングオシレータ３０１は、既知の状態にリセットされる、すなわちオシレータが禁止される中間状態へ推移することを防止することができる。

図１の装置１００とは異なる実施形態で用いられるイニシャルランダムソースには、リングオシレータ３０１等のリングオシレータ、もしくは２以上のリングオシレータが含まれる場合もあり、例えば複数のリングオシレータ及び／又は別のランダムソース発生器の演算を組み合わせることで、イニシャルランダムソースからの最終結果が抽出される。別の実施形態では、イニシャルランダムソースには擬似ランダムソースも含まれており、擬似ランダムソースは単独で含まれる場合もあれば、リングオシレータや別のランダム発生器素子と組み合わされていることもある。例えば、擬似ランダムソースには線形フィードバックシフトレジスタが含まれる場合もある。

また、イニシャルランダムソース及び後処理ブロックの組み合わせは、より大きな装置に対して少数の素子のみで構成することもできる。複数の乱数発生器が並行して、或は別の共同して稼動するコンフィギュレーションで処理をするよう構成される装置であって、１又は複数の乱数発生器の各々が図１の装置１００で図示されたような構成要素の組又はそれに匹敵する別の乱数発生器コンフィギュレーションを備えるようにしてもよい。一実施形態では、２又はそれ以上の乱数発生器のサブシステムそれぞれからのランダム出力ビットの組を選択すること等によって、装置全体として、２又はそれ以上の並列乱数発生器からの各ランダム出力を基にした最終的なランダム出力を抽出する。別の装置には、後処理ブロック２０と通信するよう接続されている追加的な素子がさらに含まれており、後処理ブロック２０からの出力信号を受信し、且つ該出力信号に対して１又は複数の追加的な変換を実行するよう構成される。このようなメカニズムによって、多数の種類の実施形態において、乱数発生装置の最終的な出力信号の暗号化強度がさらに高められる。

本発明を１又は複数の実施形態を参照して説明したが、明細書又は特許請求の範囲から逸脱することなく形式及び詳細な説明に変更を加えることが可能であることは当業者には理解されるであろう。一例をあげると、特定の実施形態で説明された構成要素は、単独の集積回路チップに配置されても、２又はそれ以上の集積回路チップに分配されても、いくつか又は全ての素子が別のタイプの回路に分配された形でも提供され、コンピュータデバイス素子であってもよく、又別のハードウェア及びソフトウェアリソースであってもよいことが理解されるであろう。別の例をあげると、「例として」記述されている要素の任意の例は、本明細書に記載されたものとは異なるコンフィギュレーションを有する多様な実施形態のうちで可能な、ほんの一例に言及しているものであるが、本発明の請求項で規定される主題の範囲内にあることが当業者には理解されるであろう。さらに別の例を挙げると、上述された方法のステップは１又は複数の集積回路チップにおいて実行されてもよく、１又は複数又は全てのステップが別のタイプのハードウェアやソフトウェア素子で実行されてもよい。種々の実施形態における変形もまた、特許請求の範囲において規定される本発明の主題の範囲内である。

Claims (20)

1. 乱数発生装置であって、
   イニシャルランダムソースと、
   イニシャルランダムソースと通信可能に接続された後処理ブロックであって、イニシャルランダムソースに基づいて入力信号を受信し、１又は複数の有限体演算を入力信号に適用してランダム化された出力を生成し、ランダム化された出力の少なくとも一部に基づいた出力信号を、出力チャネルを介して出力するよう構成される後処理ブロックと
   を備えていることを特徴とする乱数発生装置。
2. 請求項１記載の乱数発生装置において、後処理ブロックで入力信号に適用される１又は複数の有限体演算は、有限体加算、有限体乗算及び有限体二乗からなるグループの中から選択された少なくとも１つの演算であることを特徴とする乱数発生装置。
3. 請求項２記載の乱数発生装置において、後処理ブロックで入力信号に適用される１又は複数の有限体演算はさらに、有限体加算、有限体乗算及び有限体二乗からなるグループの中から選択された少なくとも１つの追加的な演算を含んでいることを特徴とする乱数発生装置。
4. 請求項３記載の乱数発生装置において、後処理ブロックで入力信号に適用される１又は複数の有限体演算は、有限体乗算及び有限体二乗の両方を含んでいることを特徴とする乱数発生装置。
5. 請求項１記載の乱数発生装置において、後処理ブロックで入力信号に適用される１又は複数の有限体演算は、ｎを整数として、素数のｎ乗であるガロア体上の有限体演算であることを特徴とする乱数発生装置。
6. 請求項５記載の乱数発生装置において、後処理ブロックはさらに、ｎを１７、１９、２３、２９及び３１からなるグループから選択するように構成されることを特徴とする乱数発生装置。
7. 請求項５記載の乱数発生装置において、素数は２であることを特徴とする乱数発生装置。
8. 請求項１記載の乱数発生装置において、後処理ブロックはさらに、ランダム化された出力からのビットのサブセットとして、出力信号を提供するよう構成されることを特徴とする乱数発生装置。
9. 請求項１記載の乱数発生装置において、イニシャルランダムソースはリングオシレータを備えていることを特徴とする乱数発生装置。
10. 請求項９記載の乱数発生装置において、リングオシレータは複数の直列接続された素子を備え、該素子は、インバータ、バッファ、ＯＲ論理ゲート及びＡＮＤ論理ゲートからなるグループから選択された少なくとも１タイプの素子であることを特徴とする乱数発生装置。
11. 請求項９記載の乱数発生装置において、イニシャルランダムソースは複数のリングオシレータを備えていることを特徴とする乱数発生装置。
12. 請求項１記載の乱数発生装置において、イニシャルランダムソースは擬似ランダムソースを備えていることを特徴とする乱数発生装置。
13. 請求項１２記載の乱数発生装置において、擬似ランダムソースは線形フィードバックシフトレジスタであることを特徴とする乱数発生装置。
14. 請求項１記載の乱数発生装置において、イニシャルランダムソース及び後処理ブロックが第１乱数発生器に備えられており、乱数発生装置はさらに、第１乱数発生器と並行して動作する１又は複数の追加の乱数発生器を具え、出力信号が第１乱数発生器及び１又は複数の追加の乱数発生器の各々からのランダムビットであることを特徴とする乱数発生装置。
15. 請求項１記載の乱数発生装置において、該装置はさらに、後処理ブロックと通信可能に接続される１又は複数の追加的な素子を具え、該素子は、後処理ブロックからの出力信号を受信し、出力信号に対して１又は複数の追加的な変換を実行するよう構成されることを特徴とする乱数発生装置。
16. 乱数発生方法であって、
    イニシャルランダム信号を生成するステップと、
    イニシャルランダム信号をコントロール信号として用いて、複数の任意の入力信号から選択をするステップと、
    入力信号に１又は複数の有限体演算を実行するステップと、
    １又は複数の有限体演算の結果に少なくとも部分的に基づいている出力信号を提供するステップと
    からなることを特徴とする乱数発生方法。
17. 請求項１６記載の方法において、有限体演算は、有限体加算、有限体乗算及び有限体二乗からなるグループの中から選択された少なくとも１つの演算であることを特徴とする乱数発生方法。
18. 集積回路デバイスであって、
    リングオシレータと、
    ２つのデータ入力信号、コントロール信号入力、及び出力を具えるマルチプレクサであって、コントロール信号入力がリングオシレータの出力と通信可能に接続されるマルチプレクサと、
    第１及び第２入力並びに出力を備えている有限体乗算部であって、有限体乗算部の第１入力がマルチプレクサの出力と通信可能に接続される有限体乗算部と、
    入力及び出力を備えている有限体二乗部であって、有限体二乗部の出力が有限体乗算部の第２入力と通信可能に接続される有限体二乗部と、
    入力及び出力を備えているアキュムレータであって、アキュムレータの入力が有限体乗算部の出力と通信可能に接続されており、アキュムレータの出力が、有限体二乗部の入力及び出力チャネルの両方に通信可能に接続されるアキュムレータと
    を備えていることを特徴とする集積回路デバイス。
19. 請求項１８記載の集積回路デバイスにおいて、有限体乗算部は２のｎ乗の有限体上で乗算をするよう構成され、有限体乗算部は７ｎ²のＮＡＮＤ論理ゲートを備えていることを特徴とする集積回路デバイス。
20. 請求項１８記載の集積回路デバイスにおいて、有限体二乗部は入力バイナリベクトルのサイクリックシフトを実行するよう構成されることを特徴とする集積回路デバイス。

Images