JP2012068351A - 暗号演算装置及びメモリシステム - Google Patents

Abstract

【課題】暗号化速度を高速化することができる暗号演算装置及びメモリシステムを提供する。
【解決手段】実施形態の暗号演算装置は、複数の暗号コアと、割当部と、連接部と、出力制御部と、を備える。複数の暗号コアは、ＣＴＳフラグがオンの場合に共通鍵を用いてＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行う。割当部は、ＣＴＳ信号が入力された場合に、第１入力データを複数の暗号コアのいずれかに割り当て、第１入力データを割り当てた所定暗号コアのＣＴＳフラグをオンする。連接部は、第１入力データの演算過程で生成された演算データと第１入力データの次に入力される第２入力データとを連接して連接データを生成する。出力制御部は、所定暗号コアへの連接データの出力制御、連接データの演算結果である第１暗号化データの出力制御、及び第１入力データの演算結果である第２暗号化データの出力制御を行って、所定暗号コアのＣＴＳフラグをオフする。
【選択図】図２

Description

本発明の実施形態は、暗号演算装置及びメモリシステムに関する。

共通鍵方式の暗号アルゴリズムは、予め決められたブロック長のデータを秘匿化することを目的に設計されたものであり、そのままではブロック長よりも長いデータの秘匿化を行うことができない。このため、共通鍵方式の暗号アルゴリズムを用いてブロック長より長いデータの秘匿化を行えるような暗号演算方法や、元のデータの改ざん検出のための認証子を生成する暗号演算方法などが開発されている。このような、共通鍵暗号方式を基本として様々な用途に向いた暗号演算方法は、暗号利用モードと呼ばれる。

ストレージデバイスに保存するデータの暗号利用モードについては、ＩＥＥＥ Ｐ１６１９−Ｓｔｄ−２００７に開示されている。また、ＩＥＥＥ Ｐ１６１９−Ｓｔｄ−２００７に開示されている暗号利用モードは、暗号利用モードを定めたＦＩＰＳ ＰＵＢ ＳＰ８００−３８シリーズにＳＰ８００−３８Ｅ（ＸＴＳ ｍｏｄｅ）として採用されている。

ところで、共通鍵暗号方式では、ブロック長のデータを演算して暗号化するように設計されているため、暗号化対象のデータをブロック長に分割した入力データ毎に演算することになるが、暗号化対象のデータがブロック長の整数倍でない場合、最後の入力データは、ブロック長未満のデータとなる。このため、ＸＴＳ ｍｏｄｅにおいては、ＲＦＣ２０４０で提案されたＣＴＳ（ciphertext stealing）という演算方法を利用して、ブロック長未満のデータを演算し、暗号化する。

ＩＥＥＥ Ｐ１６１９−Ｓｔｄ−２００７ ＦＩＰＳ ＰＵＢ ＳＰ８００−３８Ｅ

しかしながら、ＣＴＳを利用した演算方法では、ブロック長未満のデータの演算と、当該ブロック長未満のデータの直前に演算するブロック長のデータの演算との間に、依存関係が生じるため、ブロック長のデータの演算が所定の段階まで終了しなければ、ブロック長未満のデータの演算を開始することができない。

このため、複数の暗号コアを用いて入力データを並列に演算して暗号化する場合、ブロック長のデータが割り当てられた暗号コアによる演算が所定の段階まで終了するまで、ブロック長未満のデータが割り当てられた暗号コアは待ち状態となり、並列して暗号化を行うことができず、暗号化速度が遅延してしまう。

実施形態の暗号演算装置は、複数の暗号コアと、割当部と、連接部と、出力制御部と、を備える。複数の暗号コアは、ＣＴＳ（ciphertext stealing）を利用した演算を行うか否かを示すＣＴＳフラグを記憶するフラグ記憶部を有し、ＣＴＳフラグがオンに設定されている場合に、共通鍵を用いてＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行う。割当部は、ブロック長のデータである第１入力データの次に入力される第２入力データがブロック長未満であることを示すＣＴＳ信号が入力された場合に、前記第１入力データを前記複数の暗号コアのいずれかに割り当て、前記第１入力データを割り当てた暗号コアである所定暗号コアの前記ＣＴＳフラグをオンに設定する。連接部は、前記所定暗号コアによる前記第１入力データの演算過程で生成された演算データと前記第２入力データとを連接して、連接データを生成する。出力制御部は、前記所定暗号コアへの前記連接データの出力制御、前記所定暗号コアによる前記連接データの演算結果である第１暗号化データの出力制御、及び前記所定暗号コアによる前記第１入力データの演算結果である第２暗号化データの出力制御を行って、前記所定暗号コアの前記ＣＴＳフラグをオフに設定する。

図１は、本実施形態のメモリシステムの構成例を示すブロック図。 図２は、本実施形態の暗号演算装置の構成例を示すブロック図。 図３は、本実施形態の割当処理例を示すフローチャート。 図４は、本実施形態の通常の共通鍵暗号アルゴリズムの演算例を示すフローチャート。 図５は、本実施形態のＣＴＳを利用した共通鍵暗号アルゴリズムの前段の演算例を示すフローチャート。 図６は、本実施形態の出力制御及び連接処理例を示すフローチャート。 図７は、本実施形態のＣＴＳを利用した共通鍵暗号アルゴリズムの後段の演算例を示すフローチャート。 図８は、本実施形態の暗号コア及びレジスタへの入力データの割当例を示す図。 図９は、本実施形態の暗号コア及びレジスタからの暗号化データの出力例を示す図。 図１０は、暗号コアへの入力データの割当の比較例を示す図。 図１１は、暗号コアからの暗号化データの出力の比較例を示す図。

まず、本実施形態の暗号演算装置を備えるメモリシステムの構成について説明する。

図１は、本実施形態のメモリシステム１の構成の一例を示すブロック図である。メモリシステム１は、ホスト装置２からの書込要求に従って書込対象データを暗号化して記憶したり、暗号化して記憶している読出対象データをホスト装置２からの読出要求に従って復号化して読み出したりするものである。メモリシステム１は、例えば、ＮＡＮＤ型半導体メモリ装置などにより実現できる。メモリシステム１は、図１に示すように、暗号演算装置１０と、メモリ５０と、インタフェース部６０とを、備えている。ホスト装置２は、メモリシステム１が内蔵又は外付けされるコンピュータである。メモリシステム１への書込要求や読出要求は、ホスト装置２のＯＳ（Operating System）により行われる。

暗号演算装置１０は、ホスト装置２からの書込対象データを暗号化したり、メモリ５０に暗号化して記憶されている読出対象データを復号化したりする演算回路である。本実施形態では、書込対象データ及び読出対象データがブロック単位で暗号演算装置１０に入力され、暗号演算装置１０は、ブロック単位で書込対象データの暗号化及び読出対象データの復号化を行うものとする。本実施形態では、１ブロックを１２８ビットとして説明するが、１ブロックの大きさは、これに限定されるものではない。なお、暗号演算装置１０の詳細については、後述する。

メモリ５０は、暗号演算装置１０により暗号化されたデータを記憶する不揮発性のメモリであり、例えば、ＮＡＮＤ型フラッシュメモリなどにより実現できる。

インタフェース部６０は、ホスト装置２からの要求に従ってメモリシステム１の各部を制御する回路である。具体的には、インタフェース部６０は、ホスト装置２から書込対象データの書込要求を受け付けると、受け付けた書込対象データをブロック長の入力データに分割し、分割した入力データを暗号演算装置１０に順次出力して暗号化させる。そしてインタフェース部６０は、暗号演算装置１０から入力データを暗号化した暗号化データの入力を順次受け付け、受け付けた暗号化データをメモリ５０に出力して記憶させる。また、インタフェース部６０は、ホスト装置２から読出要求を受け付けると、読出対象データをブロック単位でメモリ５０から読み出し、暗号演算装置１０に順次出力して復号化させる。そしてインタフェース部６０は、暗号演算装置１０から復号化された読出対象データの入力を順次受け付け、復号化された読出対象データをホスト装置２に返却する。

図２は、本実施形態の暗号演算装置１０の構成の一例を示すブロック図である。図２に示すように、暗号演算装置１０は、暗号コア２０−１〜２０−４と、暗号演算制御部３０と、を備えている。なお本実施形態では、暗号コアの数が４つである場合を例に取り説明するが、暗号コアの数は、２つ以上であればいくつであってもよい。また以下では、暗号コア２０−１〜２０−４を各々区別する必要がない場合、単に暗号コア２０と称する場合がある。また、図２に示す例では、暗号演算装置１０の各部と接続される線は、データ信号が流れるデータ線を示しており、制御信号が流れる制御線については記載を省略している。

暗号コア２０−１〜２０−４の各々は、鍵データ信号線４１から入力される共通鍵を用いて、暗号演算制御部３０から入力される入力データに対して共通鍵暗号アルゴリズムの演算を行う。そして暗号コア２０−１〜２０−４の各々は、入力データの演算結果である暗号化データを暗号演算制御部３０へ出力する。ここで、暗号コア２０−１〜２０−４は、暗号演算制御部３０から順次入力される複数の入力データを並列して暗号化するものとする。なお本実施形態では、暗号コア２０の暗号化方式がＸＴＳモードであり、暗号コア２０の演算に用いる共通鍵暗号アルゴリズムがＡＥＳ（Advanced Encryption Standard）である場合を例に取り説明するが、これに限定されるものではない。また鍵データ信号線４１は、インタフェース部６０と接続されている。つまり、共通鍵は、インタフェース部６０から鍵データ信号線４１を介して暗号コア２０−１〜２０−４に入力される。

暗号コア２０−１〜２０−４は、それぞれ、ＣＴＳ（ciphertext stealing）を利用した演算を行うか否かを示すＣＴＳフラグを記憶するフラグ記憶部２２−１〜２２−４を有している。暗号コア２０−１〜２０−４の各々は、自身のＣＴＳフラグがオフに設定されていれば、通常の共通鍵暗号アルゴリズムの演算を行う。一方、暗号コア２０−１〜２０−４の各々は、自身のＣＴＳフラグがオンに設定されていれば、ＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行う。

暗号演算制御部３０は、暗号コア２０−１〜２０−４の制御や暗号コア２０−１〜２０−４の演算結果の出力制御など行う回路であり、セレクタ３１と、レジスタ３２と、連接部３３と、セレクタ３４と、セレクタ３５と、割当部３６と、出力制御部３７とを、備える。

セレクタ３１は、割当部３６及び出力制御部３７により制御され、入力データ信号線４２から入力される入力データや暗号コア２０−１〜２０−４から入力される演算結果の出力先を、レジスタ３２、連接部３３、及びセレクタ３５のいずれかに選択する。そしてセレクタ３１は、入力された入力データや演算結果を、選択した出力先に出力する。また入力データ信号線４２は、インタフェース部６０と接続されている。つまり、入力データは、インタフェース部６０から入力データ信号線４２を介してセレクタ３１に入力される。なお、入力データ信号線４２から入力される入力データは、ブロック長又はブロック長未満のデータである。

レジスタ３２は、セレクタ３１から入力される入力データや演算結果を記憶するものである。

連接部３３は、割当部３６及び出力制御部３７により制御され、セレクタ３１から入力される演算結果と、レジスタ３２に記憶されている入力データとを連接して、連接データを生成する回路である。

セレクタ３４は、割当部３６又は出力制御部３７により制御され、入力データ信号線４２から入力される入力データや連接部３３から入力される連接データの出力先を、暗号コア２０−１〜２０−４のいずれかに選択する。そしてセレクタ３４は、入力された入力データや連接データを、選択した出力先に出力する。

セレクタ３５は、出力制御部３７により制御され、セレクタ３１から入力される演算結果やレジスタ３２から入力される演算結果である暗号化データを出力データ信号線４３から出力する。なお出力データ信号線４３は、インタフェース部６０と接続されている。つまり、暗号化データは、セレクタ３５から出力データ信号線４３を介してインタフェース部６０に出力される。

割当部３６は、入力データ信号線４２から入力される入力データを暗号コア２０−１〜２０−４のいずれかに割り当てる回路である。そして割当部３６は、セレクタ３４を制御して、割り当てを行った暗号コア２０−１〜２０−４のいずれかに入力データを出力する。なお、割当部３６は、入力データをラウンドロビン方式で暗号コア２０−１〜２０−４に順番に割り当てる。

また割当部３６は、入力データ信号線４２からブロック長の入力データ（第１入力データの一例）の次に入力される次入力データ（第２入力データの一例）がブロック長未満であることを示すＣＴＳ信号がＣＴＳ信号線４４から入力された場合に、入力データ信号線４２から次入力データの前に入力されているブロック長の入力データを暗号コア２０−１〜２０−４のいずれかに割り当てる。そして割当部３６は、入力データを割り当てた暗号コアである所定暗号コアのＣＴＳフラグをオンに設定する。更に割当部３６は、入力データ信号線４２から入力された次入力データをレジスタ３２に記憶させ、データ長信号線４５から入力される次入力データのデータ長を連接部３３に出力するとともに、セレクタ３４を制御して、所定暗号コアに出力する。なおＣＴＳ信号線４４及びデータ長信号線４５は、インタフェース部６０と接続されている。つまり、ＣＴＳ信号は、インタフェース部６０からＣＴＳ信号線４４を介して割当部３６に入力され、次入力データのデータ長は、インタフェース部６０からデータ長信号線４５を介して割当部３６に入力される。

出力制御部３７は、暗号コア２０から入力される演算結果の出力制御などを行う回路である。出力制御部３７は、ＣＴＳフラグがオフに設定されている暗号コア２０から演算結果である暗号化データが暗号演算制御部３０に入力された場合、セレクタ３１を制御して、入力された暗号化データをセレクタ３５に出力し、出力データ信号線４３から出力する。なお、暗号コア２０による演算が終了すると、暗号コア２０から出力制御部３７へ終了信号が出力されるため、出力制御部３７は、終了信号の出力元の暗号コア２０のＣＴＳフラグを確認することで、ＣＴＳフラグがオフに設定されている暗号コア２０からの入力であるか否かを確認する。

また出力制御部３７は、前述のＣＴＳフラグがオンに設定されている所定暗号コアから入力データの演算過程で生成された演算データが暗号演算制御部３０に入力された場合、セレクタ３１を制御して、入力された演算データを連接部３３に出力するとともに、レジスタ３２に記憶されている次入力データを連接部３３に出力する。そして出力制御部３７は、連接部３３により生成された連接データを所定暗号コアに出力する。

また出力制御部３７は、所定暗号コアから入力データの演算結果である暗号化データ（第２暗号化データの一例）が暗号演算制御部３０に入力された場合、セレクタ３１を制御して、入力された暗号化データをレジスタ３２に出力し、記憶させる。

また出力制御部３７は、所定暗号コアから連接データの演算結果である暗号化データ（第１暗号化データの一例）が暗号演算制御部３０に入力された場合、セレクタ３１を制御して、入力された暗号化データをセレクタ３５に出力し、出力データ信号線４３から出力する。その後、出力制御部３７は、レジスタ３２に記憶されている暗号化データをセレクタ３５に出力して、出力データ信号線４３から出力する。そして、出力制御部３７は、所定暗号コアのＣＴＳフラグをオフに設定する。

次に、本実施形態の暗号演算装置の動作について説明する。

なお以下では、ホスト装置２から書込要求が行われる書込対象データはインタフェース部６０によりｍ＋１個のブロック長の入力データＰ_j（０≦ｊ≦ｍ）に分割され、入力データ信号線４２から順次入力データＰ_ｊが暗号演算装置１０に入力されるものとする。但し、最後の入力データＰ_ｍはブロック長未満であるものとする。

図３は、本実施形態の割当部３６で行われる割当処理の手順の流れの一例を示すフローチャートである。

まず、割当部３６は、ＣＴＳ信号線４４からＣＴＳ信号が入力されない場合、入力データ信号線４２から次に入力される次入力データＰ_ｊ＋１（０≦ｊ≦ｍ−２）がブロック長であると判定する（ステップＳ１００でＮｏ）。この場合、割当部３６は、次入力データＰ_ｊ＋１の前に入力されている入力データＰ_ｊをラウンドロビン方式で暗号コア２０−１〜２０−４のいずれかに割り当てる（ステップＳ１０２）。そして、ステップＳ１００に戻る。

一方、割当部３６は、ＣＴＳ信号線４４からＣＴＳ信号が入力された場合、入力データ信号線４２から次に入力される次入力データＰ_ｍがブロック長未満であると判定する（ステップＳ１００でＹｅｓ）。この場合、割当部３６は、次入力データＰ_ｍの前に入力されている入力データＰ_ｍ−１をラウンドロビン方式で暗号コア２０−１〜２０−４のいずれかに割り当て、入力データＰ_ｍ−１を割り当てた暗号コアである所定暗号コアのＣＴＳフラグをオンに設定する（ステップＳ１０４）。ここでは、割当部３６は、入力データＰ_ｍ−１を暗号コア２０−２に割り当てるものとする。つまり、所定暗号コアは、暗号コア２０−２であるものとする。

続いて、割当部３６は、入力データ信号線４２から入力された次入力データＰ_ｍをレジスタ３２に記憶させるとともに、データ長信号線４５から入力される次入力データＰ_ｍのデータ長を連接部３３に出力する（ステップＳ１０６）。また割当部３６は、セレクタ３４を制御して、次入力データＰ_ｍのデータ長を暗号コア２０−２にも出力する。そして割当部３６は、処理を終了する。

なお、インタフェース部６０がホスト装置２から新たな書込要求を受け付けると、入力データ信号線４２から新たな入力データが入力されるため、割当部３６は、ステップＳ１００から処理を再開する。

図４は、本実施形態の暗号コア２０で行われる通常の共通鍵暗号アルゴリズムの演算、即ちＣＴＳを利用しない共通鍵暗号アルゴリズムの演算の手順の流れの一例を示すフローチャートである。図４に示す処理は、図３のステップＳ１０２で割当部３６により入力データが割り当てられた暗号コア２０で行われる。

まず、暗号コア２０は、ｊ（０≦ｊ≦ｍ−２）番目のブロックの入力データＰ_ｊとマスク値Ｔ_ｊとの排他的論理和ＰＰを算出する（ステップＳ２００）。ここで、マスク値Ｔ_ｊは、ｊ＝０の場合、共通鍵Ｋｅｙ２及びセクター番号ｉ（Ｔｅａｋ Ｖａｌｕｅ）を数式（１）に代入することにより算出され、１≦ｊ≦ｍ−２の場合、数式（２）により算出される。なお、α^jは、ガロア体の原始元を示す。

Ｔ_０＝ＡＥＳｅｎｃ（Ｋｅｙ２，ｉ）×α^０ …（１）

Ｔ_ｊ＝Ｔ_ｊ−1×α^ｊ−1 …（２）

続いて、暗号コア２０は、算出した排他的論理和ＰＰと共通鍵Ｋｅｙ１を数式（３）に代入して、暗号化値ＣＣを算出する（ステップＳ２０２）。

ＣＣ＝ＡＥＳｅｎｃ（Ｋｅｙ１，ＰＰ） …（３）

続いて、暗号コア２０は、算出した暗号化値ＣＣとマスク値Ｔ_ｊとの排他的論理和である暗号化データＣ_ｊを算出し、暗号演算制御部３０へ出力する（ステップＳ２０４）。

なお、図４に示す処理は、暗号コア２０−１〜２０−４で並列して行われる。

図５は、本実施形態の暗号コア２０−２で行われるＣＴＳを利用した共通鍵暗号アルゴリズムの演算の前段の手順の流れの一例を示すフローチャートである。図５に示す処理は、図３のステップＳ１０４で割当部３６により入力データが割り当てられた暗号コア２０−２で行われる。

まず、暗号コア２０−２は、ｍ−１番目のブロックの入力データＰ_ｍ−１とマスク値Ｔ_ｍ−１との排他的論理和ＰＰを算出する（ステップＳ２１０）。なお、マスク値Ｔ_ｍ−１は、数式（４）により算出される。

Ｔ_ｍ−１＝Ｔ_ｍ−２×α^ｍ−２ …（４）

続いて、暗号コア２０−２は、算出した排他的論理和ＰＰと共通鍵Ｋｅｙ１を数式（３）に代入して、暗号化値ＣＣを算出し、暗号演算制御部３０へ出力する（ステップＳ２１２）。

続いて、暗号コア２０−２は、算出した暗号化値ＣＣとマスク値Ｔ_ｍ−１との排他的論理和のうちの次入力データＰ_ｍのデータ長分の上位ビットを暗号化データＣ_ｍとして算出し、暗号演算制御部３０へ出力する（ステップＳ２１４）。

以降の後段の処理については後述する。

図６は、本実施形態の出力制御部３７で行われる出力制御及び連接部３３で行われる連接処理の手順の流れの一例を示すフローチャートである。

まず、出力制御部３７は、ＣＴＳフラグがオフに設定されている暗号コア２０から入力データＰ_ｊ（０≦ｊ≦ｍ−２）の演算結果である暗号化データＣ_ｊが暗号演算制御部３０に入力された場合（ステップＳ３００でＮｏ）、セレクタ３１を制御して、入力された暗号化データＣ_ｊをセレクタ３５に出力し、出力データ信号線４３から出力する（ステップＳ３０２）。そして、ステップＳ３００に戻る。

一方、出力制御部３７は、ＣＴＳフラグがオンに設定されている暗号コア２０−２から入力データＰ_ｍ−１の演算過程で生成された演算データである暗号化値ＣＣが暗号演算制御部３０に入力された場合（ステップＳ３００でＹｅｓ）、セレクタ３１を制御して、入力された暗号化値ＣＣを連接部３３に出力するとともに、レジスタ３２に記憶されている次入力データＰ_ｍを連接部３３に出力する。そして連接部３３は、次入力データＰ_ｍに、暗号化値ＣＣとマスク値Ｔ_ｍ−１との排他的論理和のうちの、ブロック長から次入力データＰ_ｍのデータ長を引いた長さのデータを連接し、この連接してできたデータとマスク値Ｔ_ｍ−１との排他的論理和ＰＰを算出する（ステップＳ３０４）。なお、マスク値Ｔ_ｍは、数式（５）により算出される。

Ｔ_ｍ＝Ｔ_ｍ×α^ｍ …（５）

続いて、出力制御部３７は、連接部３３により算出された排他的論理和ＰＰをＣＴＳフラグがオンに設定されている暗号コア２０−２に出力するとともに、暗号コア２０−２から入力データＰ_ｍ−１の演算結果である暗号化データＣ_ｍが暗号演算制御部３０に入力されると、セレクタ３１を制御して、入力された暗号化データＣ_ｍをレジスタ３２に出力し、記憶させる（ステップＳ３０６）。

続いて、出力制御部３７は、ＣＴＳフラグがオンに設定されている暗号コア２０−２から排他的論理和ＰＰ（次入力データＰ_ｍ）の演算結果である暗号化データＣ_ｍ−１が暗号演算制御部３０に入力されると、セレクタ３１を制御して、入力された暗号化データＣ_ｍ−１をセレクタ３５に出力し、出力データ信号線４３から出力する（ステップＳ３０８）。

続いて、出力制御部３７は、レジスタ３２に記憶されている暗号化データＣ_ｍをセレクタ３５に出力して、出力データ信号線４３から出力する。そして、出力制御部３７は、暗号コア２０−２のＣＴＳフラグをオフに設定する（ステップＳ３１０）。

図７は、本実施形態の暗号コア２０−２で行われるＣＴＳを利用した共通鍵暗号アルゴリズムの演算の後段の手順の流れの一例を示すフローチャートである。図７に示す処理は、図６のステップＳ３０６の処理以降、ステップＳ３０８の処理以前に行われる。

まず、暗号コア２０−２は、暗号演算制御部３０から入力された排他的論理和ＰＰと共通鍵Ｋｅｙ１を数式（３）に代入して、暗号化値ＣＣを算出する（ステップＳ２２０）。

続いて、暗号コア２０−２は、算出した暗号化値ＣＣとマスク値Ｔ_ｍとの排他的論理和である暗号化データＣ_ｍ−１を算出し、暗号演算制御部３０へ出力する（ステップＳ２２２）。そして出力制御部３７は、処理を終了する。

なお、インタフェース部６０がホスト装置２から新たな書込要求を受け付けると、入力データ信号線４２から新たな入力データが入力され、割当部３６による割当処理が再開されるため、出力制御部３７も、ステップＳ３００から処理を再開する。

図８は、割当部３６による割当処理により、暗号コア２０−１〜２０−４及びレジスタ３２に割り当てられた入力データＰ_ｊの一例を示す図であり、図９は、出力制御部３７による出力制御により、暗号コア２０−１〜２０−４及びレジスタ３２から出力される暗号化データＣ_ｊの一例を示す図である。

図８に示す例では、割当部３６による図３に示す割当処理により、暗号コア２０−１、暗号コア２０−２、レジスタ３２、暗号コア２０−３、暗号コア２０−４の順番で、それぞれ、入力データＰ_ｍ−２、入力データＰ_ｍ−１、入力データＰ_ｍ、入力データＱ_０、入力データＱ_１が割り当てられている。

そして、出力制御部３７による図７に示す出力制御により、図９に示すように、暗号コア２０−１、暗号コア２０−２、レジスタ３２、暗号コア２０−３、暗号コア２０−４の順番で、それぞれ、入力データＰ_ｍ−２の暗号化データＣ_ｍ−２、入力データＰ_ｍの暗号化データＣ_ｍ−１、入力データＰ_ｍ−１の暗号化データＣ_ｍ、入力データＱ_０の暗号化データＣ_Ｑ０、入力データＱ_１の暗号化データＣ_Ｑ１が出力される。

このように、本実施形態の暗号演算装置１０では、ＣＴＳにより依存関係が生じる入力データＰ_ｍ−１及び入力データＰ_ｍの演算を、暗号コア２０−２、レジスタ３２、及び連接部３３を用いて行う。即ち、本実施形態の暗号演算装置１０では、依存関係が生じる入力データＰ_ｍ−１及び入力データＰ_ｍの演算を、複数の暗号コアを用いて行うのではなく、レジスタ３２、及び連接部３３を利用することで、単一の暗号コアで行う。このため、本実施形態の暗号演算装置１０によれば、ＣＴＳを利用した演算を行う場合であっても、暗号コアに待ち状態を生じさせることなく並列して暗号化を行うことができるので、暗号化速度を高速化することができる。

また本実施形態の暗号演算装置１０では、入力データＰ_ｊの入力順序で対応する暗号化データＣ_ｊを出力することができるので、暗号化データＣ_ｊの出力制御を簡素化することができる。

ここで、比較例として、本実施形態の暗号演算装置１０を用いずに入力データＰ_ｊを暗号コア２０−１’〜２０−４’に割り当て、暗号化データＣ_ｊを出力する例を、それぞれ、図１０、図１１に示す。

図１０に示す例では、暗号コア２０−１’、暗号コア２０−２’、暗号コア２０−３’、暗号コア２０−４’の順番で、それぞれ、入力データＰ_ｍ−２、入力データＰ_ｍ−１、入力データＰ_ｍ、入力データＱ_０が割り当てられている。この場合、暗号コア２０−３’は、暗号コア２０−２’の演算仮定で生成される暗号化値ＣＣを用いて入力データＰ_ｍの暗号化を行うので、暗号コア２０−２’により暗号化値ＣＣが生成されるまで待ち状態となり、並列して処理を行えないことになる。

そして、図１１に示すように、暗号コア２０−１’、暗号コア２０−２’、暗号コア２０−３’、暗号コア２０−４’の順番で、それぞれ、入力データＰ_ｍ−２の暗号化データＣ_ｍ−２、入力データＰ_ｍ−１の暗号化データＣ_ｍ、入力データＰ_ｍの暗号化データＣ_ｍ−１、入力データＱ_０の暗号化データＣ_Ｑ０が出力される。この場合、入力データＰ_ｍ−１及び入力データＰ_ｍの入力順序で対応する暗号化データＣ_ｍ及び暗号化データＣ_ｍ−１が出力されないため、暗号化データＣ_ｊの出力制御が複雑になる。

以上説明した通り、本実施形態によれば、暗号化速度を高速化することができる。

（変形例）
なお、本発明は、上記実施形態そのままに限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で構成要素を変形して具体化することができる。また、上記実施形態に開示されている複数の構成要素の適宜な組み合わせにより、種々の発明を形成することができる。例えば、実施形態に示される全構成要素からいくつかの構成要素を削除してもよい。さらに、異なる実施形態にわたる構成要素を適宜組み合わせても良い。

例えば上記実施形態では、暗号演算装置をＮＡＮＤ型半導体メモリ装置などのメモリシステムに適用した場合を例に取り説明したが、これに限定されるものではなく、磁気ディスク装置などに適用してもよい。つまり、上記実施形態の暗号演算装置が適用される記憶装置の記憶方式は、特定の記憶方式に限定されるものではない。

また上記実施形態では、暗号化を例に取り説明したが、復号化についても同様の手法を適用することができる。

１ メモリシステム
２ ホスト装置
１０ 暗号演算装置
２０−１〜２０−４（２０） 暗号コア
２２−１〜２２−４ フラグ記憶部
３０ 暗号演算制御部
３１、３４、３５ セレクタ
３２ レジスタ
３３ 連接部
３６ 割当部
３７ 出力制御部
４１ 鍵データ信号線
４２ 入力データ信号線
４３ 出力データ信号線
４４ ＣＴＳ信号線
４５ データ長信号線
５０ メモリ
６０ インタフェース部

Claims (5)

1. ＣＴＳ（ciphertext stealing）を利用した演算を行うか否かを示すＣＴＳフラグを記憶するフラグ記憶部を有し、前記ＣＴＳフラグがオンに設定されている場合に、共通鍵を用いて前記ＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行う複数の暗号コアと、
   ブロック長のデータである第１入力データの次に入力される第２入力データがブロック長未満であることを示すＣＴＳ信号が入力された場合に、前記第１入力データを前記複数の暗号コアのいずれかに割り当て、前記第１入力データを割り当てた暗号コアである所定暗号コアの前記ＣＴＳフラグをオンに設定する割当部と、
   前記所定暗号コアによる前記第１入力データの演算過程で生成された演算データと前記第２入力データとを連接して、連接データを生成する連接部と、
   前記所定暗号コアへの前記連接データの出力制御、前記所定暗号コアによる前記連接データの演算結果である第１暗号化データの出力制御、及び前記所定暗号コアによる前記第１入力データの演算結果である第２暗号化データの出力制御を行って、前記所定暗号コアの前記ＣＴＳフラグをオフに設定する出力制御部と、
   を備えることを特徴とする暗号演算装置。
2. レジスタを更に備え、
   前記割当部は、前記第２入力データを前記レジスタに記憶させ、
   前記所定暗号コアは、前記第１入力データに対して前記ＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行い、前記演算データ及び前記第２暗号化データを生成し、
   前記出力制御部は、前記演算データ及び前記レジスタに記憶されている前記第２入力データの前記連接部への出力制御を行い、
   前記所定暗号コアは、前記連接データに対して前記ＣＴＳを利用した共通鍵暗号アルゴリズムの演算を行い、前記第１暗号化データを生成することを特徴とする請求項１に記載の暗号演算装置。
3. 前記出力制御部は、前記第２入力データが出力された前記レジスタに前記第２暗号化データを記憶させ、前記第１暗号化データの出力制御を行った後に、前記レジスタに記憶されている前記第２暗号化データの出力制御を行うことを特徴とする請求項２に記載の暗号演算装置。
4. 前記割当部は、前記第２入力データのデータ長を前記連接部に出力し、
   前記連接部は、前記データ長に従い、前記演算データと前記第２入力データとを連接することを特徴とする請求項１〜３のいずれか１つに記載の暗号演算装置。
5. 請求項１〜４のいずれか１つに記載の暗号演算装置と、
   前記暗号演算装置から出力された暗号化データを記憶するメモリと、
   を備えることを特徴とするメモリシステム。

Images