JP2020525863A

JP2020525863A - アナログコンポーネントを備えたデータセキュリティ装置

Info

Publication number: JP2020525863A
Application number: JP2020517771A
Authority: JP
Inventors: ボグダーノフ、アンドレイ; ノーマンスミス、ジョシュア; チャドマッカラム、ロバート
Original assignee: Individual
Current assignee: Individual
Priority date: 2017-06-09
Filing date: 2018-06-11
Publication date: 2020-08-27
Anticipated expiration: 2038-06-11
Also published as: EP3635725A4; KR20230137476A; US11004360B2; EP3635725A1; KR102579147B1; KR20240033158A; CN117572675A; CN110785812A; US20230298485A1; WO2018227174A1; US20180357934A1; KR20200016365A; US11699361B2; KR102643708B1; JP7252216B2; US20210256878A1; CN110785812B; JP2023093455A

Abstract

データセキュリティ装置は、アナログコンポーネントを含む。アナログコンポーネントは、高度なエントロピーをもって内部的に動作する。この高度のエントロピーは、外部の駆動信号に応答するコンポーネント間の相互作用に存する。このアナログコンポーネント内の相互作用は、アナログコンポーネントのデジタルシミュレーションが非実用的なるのに十分な高いレベルのエントロピーを有する。アナログコンポーネントは、デジタルシミュレーションを実用的に実行できないため、これをデジタルクローン不能と呼ぶ。データセキュリティ装置は、平文データを暗号文へと暗号化し、及び／またはデータを暗号文から平文へと復号化することによりデータを処理する。平文と暗号文の間の変換の一部が、アナログコンポーネントを用いる。アナログコンポーネントはデジタルクローン不能である（つまり、デジタルシミュレーションを実用的に実行できない）ため、アナログコンポーネントを用いる変換プロセスの一部では、アナログコンポーネント自体の保有または同じ署名を持つ別のアナログコンポーネントの保有が必要となる。【選択図】図１４Ａ

Description

（関連出願への相互参照）
本出願は、２０１７年６月９日に出願された米国仮特許出願第６２／５１７，５３３号からの優先権の利益を主張するものであり、参照のため、その全体を本明細書に組み込んでいる。

図面は、以下の説明のより良い理解を提供するために含められており、本明細書に組み込まれてその一部を構成する。これらの図面は、本開示の例示的な実施形態を示し、発明の詳細な説明とともに、本開示の原理を説明するものである。

第１層を示す、アナログコンポーネント１００の第１のサブコンポーネント１０５の例示的な実施形態を示す。

図１Ａに示す例の断面図である。図１Ａに示す例の断面図である。図１Ａに示す例の断面図である。図１Ａに示す例の断面図である。図１Ａに示す例の断面図である。

例示的な実施形態の第２層を示す。

図２Ａに示す例の断面図である。図２Ａに示す例の断面図である。図２Ａに示す例の断面図である。図２Ａに示す例の断面図である。図２Ａに示す例の断面図である。

例示的な実施形態の第３層を示す。

図３Ａに示す例の断面図である。図３Ａに示す例の断面図である。図３Ａに示す例の断面図である。図３Ａに示す例の断面図である。図３Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図４Ａに示す例の断面図である。図４Ａに示す例の断面図である。図４Ａに示す例の断面図である。図４Ａに示す例の断面図である。図４Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図５Ａに示す例の断面図である。図５Ａに示す例の断面図である。図５Ａに示す例の断面図である。図５Ａに示す例の断面図である。図５Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図６Ａに示す例の断面図である。図６Ａに示す例の断面図である。図６Ａに示す例の断面図である。図６Ａに示す例の断面図である。図６Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図７Ａに示す例の断面図である。図７Ａに示す例の断面図である。図７Ａに示す例の断面図である。図７Ａに示す例の断面図である。図７Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図８Ａに示す例の断面図である。図８Ａに示す例の断面図である。図８Ａに示す例の断面図である。図８Ａに示す例の断面図である。図８Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図９Ａに示す例の断面図である。図９Ａに示す例の断面図である。図９Ａに示す例の断面図である。図９Ａに示す例の断面図である。図９Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図１０Ａに示す例の断面図である。図１０Ａに示す例の断面図である。図１０Ａに示す例の断面図である。図１０Ａに示す例の断面図である。図１０Ａに示す例の断面図である。

例示的な実施形態の第４層を示す。

図１１Ａに示す例の断面図である。図１１Ａに示す例の断面図である。図１１Ａに示す例の断面図である。図１１Ａに示す例の断面図である。図１１Ａに示す例の断面図である。

アナログコンポーネント１００の第２のサブコンポーネント１０７の底面図の例示的な実施形態を示す。

図１２Ａに示す例の断面を示す。

第１のサブコンポーネント１０５及び第２のサブコンポーネント１０７を含めて組み立てられたアナログコンポーネント１００の例示的な実施形態の上面図を示す。

図１３Ａに示されている例示的な実施形態の断面を示す。図１３Ａに示されている例示的な実施形態の断面を示す。

アナログコンポーネント１００として組み立てられた、図１１Ｆと同様の例示的な実施形態を示す。

アナログコンポーネント１００として組み立てられた、図１１Ｅと同様の例示的な実施形態を示す。

例示的な動作を説明するため、第１電極信号線１２０を示す。

例示的な動作を説明するため、第１電極信号線１２０及び第１電極３２０を示す。

例示的な動作に係る液晶セル１６００の内部上面図を示す。

他の例示的な動作に係る液晶セル１６００の内部上面図を示す。

暗号化の動作を実行するためのデータセキュリティ装置２０００を示す。

復号化の動作を実行するためのデータセキュリティ装置２０００を示す。

データセキュリティ装置２０００における制御回路２１００とアナログコンポーネント１００との間の関係を示す。

制御回路２１００における例示的な実施形態に係る暗号化の動作のフローを示す。

制御回路２１００における例示的な実施形態に係る復号化の動作のフローを示す。

１６ラウンド換字転置ネットワークである例示的なブロック暗号Ｅ１の全体構造を示し、更にブロック暗号の変種Ｅ２を示す。

認証付き暗号化（ＡＥ）スキームの動作を示す。

例示的な実施形態に係るブロック暗号を用いた関数Ｅ_Ｋの構造を示す。

例示的な実施形態に係る暗号化の動作のカウンタモードを示す。

例示的な実施形態に係る動作のメッセージ認証コードモードを示す。

例示的な実施形態に係る全体的なＡＥＡ暗号化モードを示す。

データセキュリティ装置は、アナログコンポーネントを含む。このアナログコンポーネントは、高度なエントロピーを伴って内部的に動作する。この高度のエントロピーは、外部の駆動信号に応答する内部のコンポーネント間の相互作用に存する。このアナログコンポーネント内部の相互作用は、このアナログコンポーネントのデジタルシミュレーションが非実用的となるのに十分な高いレベルのエントロピーを有する。以下説明するアナログコンポーネントは、デジタルシミュレーションを実用的に実行できないため、デジタルクローン不能と呼ぶ。

以下説明するアナログコンポーネントは、入力を受け取り、この入力に基づいて出力を生成する。２個のアナログコンポーネントが同様に作られている場合、同一の入力に応答して同じ出力を生成する。アナログコンポーネントが入力から出力を生成する手法を、アナログコンポーネントの署名と呼ぶ。

データセキュリティ装置は、平文データを暗号文に暗号化すること、及び／又はデータを暗号文から平文に復号化することによってデータを処理する。平文と暗号文との間の変換の一部が、アナログコンポーネントを用いる。アナログコンポーネントはデジタルクローン不能である（つまり、デジタルシミュレーションを実用的に実行できない）ため、アナログコンポーネントを使用する変換過程の一部では、当該アナログコンポーネント自体の保有、または同一の署名を有する他のアナログコンポーネントの保有が必要となる。

種々の例示的な実施形態において、所与のアナログコンポーネントまたは所与のアナログコンポーネントセットの署名は、製造プロセスを調整することにより修正される。以下説明するように、この調整は容易かつ安価に行われる。他の例示的な実施形態では、署名は、アナログコンポーネントの製造工程外で修正される。

以下説明するデータセキュリティ装置は、送信中のデータにも静止データと等しく適用可能なスループット暗号化及び復号化システムである。

発明者は、高性能デジタルクラスタを用いた場合、わずか１サイクルのデータの復号化にも２年間の処理が必要であることを、シミュレーションの研究を通じて見出した。次のサイクルのデータには更に２年間を要することになる。これが、以下で敷衍する上記の高レベルのエントロピーの機能である。その上、量子コンピューティングも、アナログコンポーネントの機能をデジタルシミュレートすることの非実用性を軽減するものとは考えられていない。

このデータセキュリティ装置は、一般に、アナログコンポーネントと駆動コンポーネントを有する。はじめにアナログコンポーネントを説明し、その後、駆動コンポーネントを説明する。

アナログコンポーネント
図１Ａないし１８は、データセキュリティ装置で使用するためのアナログコンポーネント１００の例示的な実施形態を表す。この例示的な実施形態は、本発明の概念の原理を教示するために提供される教示的な実施形態である。当業者は多くの修正、改変、変更、改善及び代替を行い得るものであり、それらはすべて、本明細書に記載の本発明の概念の範囲内にあるとみなされる。本発明の概念の境界は、添付の特許請求の範囲に記載されたところによる。加えて、特に反対の断りがない限り、図１Ａないし図１３Ｃに示す構造を構築するため、利用可能な機器と選択された材料の詳細に従って、任意の既知の製造技術が用いられる。

図１Ａないし１Ｆは、以下においてアナログコンポーネント１００と呼ぶ装置を部分的に示す。これらの図において、第１のサブコンポーネント１０５は、第１の基板１１０上に構築されている状態で示されている。この例示的な実施形態では、第１の基板１１０はシリコンオンインシュレータ基板である。他の例示的な実施形態では、導電性材料で作られた任意の構造を付加する前に、誘電体層が設けられる。第１の基板１１０は、導電性の幾つかのパッド１３０を含む。パッド１３０の幾つかは、同じく導電性である第１電極信号線１２０と一体である。これらの図は、１６個の第１電極信号線１２０を示している。他の例示的な実施形態では、第１電極信号線１２０の数は６４個あるいは１２８個である。ここで、「第１」という用語は、製造の順序を意味するものではなく、これらの信号線を後述する他の信号線と区別するためにのみ用いている。

図２Ａないし２Ｆは、図１Ａないし１Ｆに描かれた配置上の第１の誘電体層２１０を部分的に示す。信号線ビア２２０は導電性材料で充填され、第１電極信号線１２０を延長する。パッド１３０は、パッド延長部２３０によって同様に延長される。例示的な実施形態は、１６個の信号線ビア２２０を有しており、１個が第１電極信号線１２０のいずれかに対応する。図２Ｃは、信号線ビア２２０が第１電極信号線１２０と直接接触しているところを示す。この配置は厳密には必要ではなく、他の中間コンポーネントが介在していてもよい。

図３Ａないし３Ｆは、アナログコンポーネント１００の第１サブコンポーネント１０５の第３層を部分的に示す。第３層は、導電体で形成された接地面３５０、導電体で形成された第１電極３２０及び絶縁体で形成された第２の誘電体層３１０を含む。パッド延長部２３０により延長されたパッド１３０の幾つかは、接地面３５０に電気的に接続されているため接地されているパッド３３０である。

図３Ａに示す例示的な実施形態では、接地面３５０が、第１電極３２０が形成される内部領域を定めている。図３Ａに示す例示的な実施形態では、第１電極３２０は、内部領域の一方の側にすべて形成され、内部領域の他方の側には電極がない。

図３Ａはまた、第１電極３２０が行及び列をなして形成されていることを示す。第１電極３２０の長さは、図３Ｅに示す断面のように、行ごとに寸法が異なる。第１電極３２０の幅及び深さは、図３Ｄに示す断面のように、各列が均一である。図３Ａを参照すると、異なる行の任意の所与の２つの電極に関して、電極の第１のものは第１の方向に第１の寸法値を有し、電極の第２のものは、同じ第１の方向（すなわち、図３Ｅに示す断面に沿った方向）に第２の寸法値を有し、第１の寸法値は第２の寸法値と異なる、ということができる。換言すれば、第１電極３２０の長さ、幅又は深さは多様である。

図３Ａないし３Ｆに示す例では、第１電極３２０は、図面の下端に最も近い行から始まって、行ごとに長さが２倍になっている。寸法の他の変形も可能であり、本発明の概念の範囲内における代替的な例示的実施形態を構成する。

図３Ｃでは、第１電極３２０は、第１電極信号線１２０とそれぞれ電気的に接続されている。ここで、「電気的に接続」とは、電荷が導体の経路に沿って移動できることを意味する。図３Ｃの例示的な実施形態では、導体の経路は、信号線ビア２２０内に形成された導電性材料を含む。信号線ビア２２０は、厳密にはすべての例示的な実施形態において存在する必要はない。他の例示的な実施形態では、第１電極３２０は、第１電極信号線１２０と一体に形成される。更に他の例示的な実施形態では、第１電極３２０及び第１電極信号線１２０は、所与の実装における工学的要件に応じ、追加的な層、線及びビアによって電気的に接続される。

図３Ｃでは、パッド延長部２３０は、以前に形成された層からのパッド延長部２３０上に形成される。読者は、この例示的な実施形態では、所望のアクセス及び試験を容易にするため、パッド１３０に各層が構築されることを理解するであろう。パッド延長部２３０は、不要であれば、特定のパッド１３０から省略されてもよい。

図４Ａないし４Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第４層を部分的に示す。この層では、第１のクラッド層４１０及び幾つかの接地面ポスト４５０が、第３層上に形成される。図４Ｄは、接地面ポスト４５０が接地面３５０と電気的に接続されていることを断面で示す。

図４Ｃ及び４Ｅは、第１電極３２０が第１のクラッド層４１０の直下にあることを示す。

図５Ａないし５Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第５層を部分的に示しており、入力導波路５６１、出力導波路５６４、及び導波路スペーサ５６０を含む多くの要素が、導波路材料で形成されている。他の例示的な実施形態における出力導波路５６４の数は、１６個以上である。図５Ａないし５Ｆの例示的な実施形態では、５６４の数は、第１電極３２０の列の数に一致している。ここでは、第１電極３２０は４列に形成されており、４個の出力導波路５６４がある。

図５Ａでは、入力導波路５６１は、後述する液晶セルを収容する領域の一端に沿って配置されている。出力導波路５６４は、液晶セルを収容する領域の他端で、入力導波路５６１の反対側に配置される。入力導波路５６１が位置する領域の端を入力端と呼び、出力導波路５６４が位置する領域の端を出力端と呼んでもよい。図５Ｅは、第１のサブコンポーネント１０５の、入力導波路５６１を通る断面を示すものであり、入力導波路５６１はこの図の左側にある。図５Ｆは、第１のサブコンポーネント１０５の、図の右側に向かって出力導波路５６４の１つを通る断面を示す。

図５Ｅは、第１電極３２０の１つが部分的に入力導波路５６１の下にあることを示すが、他の例示的な実施形態では、導波路のいずれの下にも第１電極３２０がない。

導波路スペーサ５６０の数、位置、及びサイズは変更されてもよい。この例示的な実施形態における液晶セルを収容する領域の左側及び右側に沿ったスペーサは、その後のセルの側壁の形成を容易にする。

図６Ａないし６Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第６層を部分的に示している。ここには、第３の誘電体層６１０が、第１のサブコンポーネント１０５の特定の部分に形成されるが、他の部分には形成されずまたはそこから除去され、また、ここには、接地面ポスト延長部６５０が形成される。センサ空洞部６６０は、図６Ａ、６Ｂ及び６Ｆに示すように、第３の誘電体層６１０内に形成される。

図６Ｆは、出力導波路５６４のうちの例示のものを通過した光出力を受信するように配置された、センサ空洞部６６０のうちの例示のものを示す。

図７Ａないし７Ｆは、センサ信号線７２０が形成される、第１のサブコンポーネント１０５の第７層を部分的に示す。センサ信号線７２０は、パッド延長部２３０を介してパッド１３０とそれぞれ電気的に接続される。更に、接地面ポスト延長部６５０の１つに、接地面ポスト追加延長部７５０が構築される。図７Ｂは、接地面ポスト追加延長部７５０が、この特定の接地面ポストを、図７Ｄに示す接地面ポスト延長部６５０のうちの２つよりも高く持ち上げているのを示す。これが、後述するセンサの組み立てにおける接地のために提供される簡便な実装の詳細である。他の実装も、本発明の概念の範囲内である。

図８Ａないし８Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第８層を部分的に示しており、ここには、第４の誘電体層８１０及びセンサ信号線ビア８２０が形成されている。センサ信号線ビア８２０には導電性材料が充填され、センサ信号線７２０を延長する。第４の誘電体層８１０は、第１のサブコンポーネント１０５の特定の部分には形成されないか、又はそこから除去される。

図９Ａないし９Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第９層を部分的に示しており、ここには、第１ポリイミド層９１０が、少なくとも、液晶セルを収容する領域に形成される。第１のポリイミド層９１０は、少なくとも、センサ空洞部６６０内には形成されないか、又はそこから除去される。

図１０Ａないし１０Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第１０層を部分的に示しており、ここには、導電性エポキシ１０５０が接地面ポスト延長部６５０上に設けられ、また、ここには、ガスケット材１０７０が導波路スペーサ５６０、入力導波路５６１及び出力導波路５６４の付近に設けられている。

図１１Ａないし１１Ｆは、アナログコンポーネント１００の第１のサブコンポーネント１０５の第１１層を部分的に示しており、ここには、センサセンブリ１１６０がセンサ空洞部６６０上に設けられている。センサセンブリ１１６０は、センサハウジング１１６１及び１つ以上のセンサ１１６４を含む。センサハウジング１１６１は、図１１Ｂに描かれている他の導体を経由し、センサセンブリ接地線１１５０を介して接地面３５０に接地されている。

図１１Ａないし１１Ｆにおいて、それぞれの出力導波路５６４は、センサ空洞部６６０のうちの対応するものと、当該センサ空洞部６６０上に位置する、センサ１１６４のうちの対応するものとを有する。センサ１１６４の入力及び出力は、センサ信号線７２０に電気的に接続される。

例として、図１１Ｆに、出力導波路５６４の１つを断面で示す。この出力導波路は、液晶セルから光入力を受信するように配置されている。この出力導波路はまた、センサ空洞部６６０のうちの対応するものに光出力を伝達するように配置されている。センサ１１６４のうちの対応するものは、センサ空洞部６６０のうちの１つの上に配置されて感知を行い、その結果はセンサ信号線７２０を経由して出力される。出力導波路は、液晶セルの光出力をセンサに伝達する。

図１２Ａ及び１２Ｂは、第１の基板１１０の第２のサブコンポーネント１０７を示す。図１２Ｂは、図１２Ａに描かれた第２のサブコンポーネント１０７を達成するための、第２の基板１５１０上の３層の構築物を示す。第１層として、第２電極１４２０が第２基板１５１０上に形成される。この例示的な実施形態では、第２電極１４２０は唯一の電極として形成され、実質的に第２基板１５１０のすべてを覆う。

第２層として、第２クラッド層１３１０が、第２電極接地ポスト延長部１２５０の位置を除く第２電極１４２０上に形成される。第２電極接地ポスト延長部１２５０は、第２電極１４２０と電気的に接続される。

第３層として、第２電極接地ポスト延長部１２５０が第２クラッド層１３１０を通って延長される点を除き、第２ポリイミド層１２１０が、第２クラッド層１３１０上に形成される。

図１３Ａないし図１３Ｃは、アナログコンポーネント１００を形成する第１のサブコンポーネント１０５と第２のサブコンポーネント１０７との組み合わせを示す。

第１のサブコンポーネント１０５と第２のサブコンポーネント１０７を組み立てる前に、ポリイミド層はラビングと呼ばれる前処理を受ける。例示的な実施形態では、ポリイミド層は手で擦られるが、他のラビングの工程も本発明の概念の範囲内である。ラビングは、ポリイミド層に分子配列を付与するものである。代替的な例示的実施形態のひとつにおいては、分子配列が不規則な分子配列となるように、複数のポリイミド層が擦られる。換言すれば、第１のポリイミド層９１０及び第２のポリイミド層１２１０の一方または両方が１つ以上の方向に擦られ、これにより、アナログコンポーネント１００の機能を予測またはモデル化することの困難性が増大する。

図１３Ｂに示すように、接地面ポスト延長部６５０は、導電性エポキシ１０５０によって第２電極接地ポスト延長部１２５０と接合される。第２のサブコンポーネント１０７が第１のサブコンポーネント１０５に取り付けられると、第２のポリイミド層１２１０が、ガスケット材１０７０を圧縮及び変形させる。圧縮及び変形したガスケット材１０７０は、入力導波路５６１の両側面、出力導波路５６４の両側面及び導波路スペーサ５６０の１側面を押圧して、液晶セルの空洞を取り囲む側壁を提供する。

液晶セル１６００を形成する液晶材料で充填された状態の空洞を、図１４Ａ及び図１４Ｂに示す。図１４Ａでは、センサ空洞部６６０のうちの例示のものが、例えば、出力導波路５６４のうちの１つからセンサ１１６４にうちの１つへの光の伝送を促進する光学オイルにより充填されている状態を示している。

液晶材料の空洞への挿入は、任意の従来の方法、例えば、その目的のために開けその後恒久的に閉じるポート（図示せず）を通して誘導される真空を用いて行われる。

第１電極３２０が、第１電極信号線１２０とそれぞれ電気的に接続されていることを先に指摘した。図１４Ｂは、液晶セル１６００がこの第１電極３２０の上にあることを示す。第１電極３２０の左端及び右端には部分的にのみ液晶セル１６００がその上にあるが、液晶セル１６００は、第１電極３２０上にある。

図１４Ｂはまた、液晶セル１６００上の第２電極１４２０を示す。図１４Ｂに示す例は、液晶セル１６００全体の上にある唯一の第２電極を含む。他の例示的な実施形態では、複数の第２電極が提供される。唯一のまたは２個以上の第２電極が提供されるかにかかわらず、第２電極は、図１４Ｂに描かれた態様で第１電極３２０に対向する必要がある。換言すれば、第１電極３２０と第２電極１４２０との間に電荷が形成され液晶材料内の結晶の配向が液晶セル１６００内で変化することができるよう、第１及び第２電極は、液晶セル１６００の反対側にある。

アナログコンポーネント１００を、第１のサブコンポーネント１０５及び第２のサブコンポーネント１０７に関連して教示した。他の例示的な実施形態では、アナログコンポーネント１００は、それぞれのサブコンポーネント上に、異なる層を伴って形成される。他の例示的な実施形態では、層は結合及び／または再配置される。

アナログコンポーネントの動作
動作においては、例示的な実施形態ではコヒーレント光入力である光入力が、入力導波路５６１に導入される。入力導波路５６１は、光信号を液晶セル１６００に伝達する。第１電極信号線１２０に通電されると、第１電極３２０と第２電極１４２０との間の電荷により、液晶セル１６００内の結晶の配向が変化する。液晶セル１６００を通る光入力の通過は、結晶の配向によって影響を受ける。結晶は、予測不可能な態様で拡散、強め合う干渉及び弱め合う干渉を惹き起こす。

出力導波路５６４は、液晶セル１６００の光出力を、どのようなものであれ受信し、これをセンサ空洞部６６０に伝達する。出力は、出力導波路ごとに異なる。出力導波路５６４を通って運ばれる液晶セル１６００の光出力は、センサ空洞部６６０内の光学オイルに入り、この媒体を介して、センサ１１６４に伝達される。

こうしてセンサ１１６４は、液晶セル１６００の光出力を感知する。

図１４Ａ及び１４Ｂの例示的な実施形態は、特定のセンサセンブリ１１６０に依存して多くの手法で変更され得る。図１４Ａ及び１４Ｂの例示的な実施形態は、センサセンブリ１１６０が、アナログコンポーネント１００の製造工程の終わりまたは終わり近くで別個のデバイスとして設置される実装を教示する。この実装の結果は、出力導波路５６４の出力とセンサ１１６４への入力との間の角度である。光学オイルは、出力がセンサ１１６４に到達するのを助けるために用いられる。この分野に精通している者は、センサ空洞６６０内の角度のある反射面の使用などの代替案を想到するであろう。

センサ１１６４は、他の例示的な実施形態では、アナログコンポーネント１００の一体的な構造として製造され、液晶セル１６００の光出力が出力導波路５６４を通過し、方向を変えることなくセンサ１１６４に直接進むように配向される。

別の例示的な実施形態では、液晶セル１６００の光出力は、出力導波路５６４によって、突き合わせ結合された光ファイバへと運ばれ、これによりセンサ１１６４への出力が提供される。

他の例示的な実施形態では、センサセンブリ１１６０はオフチップである。センサ１１６４をオンチップにすることには、アナログコンポーネント１００がリバースエンジニアリングに対し、より耐性を有するという利点がある。上記の議論は、一般的に、第１電極信号線にそれぞれ電気的に接続されている第１電極と、第１電極上の液晶セルと、液晶セル上にあり第１電極に対向する１個以上の第２電極と、液晶セルへの光入力を伝達するように構成された入力導波路と、液晶セルの光出力を感知するように構成されたセンサとを有する装置を説明した。この装置はまた、液晶セルの光出力をセンサに伝達するように構成された出力導波路を有する。

図１４Ｂが示すように、第１電極３２０のうちの描かれたものの各々は、第１の方向（この例では図の左から右）に異なる寸法値（この例では長さ）を有する。第１電極３２０間の寸法のこれらの差は、第１電極３２０と第２電極１４２０との間に供給される電荷、及び、これに対応する、液晶セル１６００内の結晶の配向への効果がより無秩序になり、したがって解析及びリバースエンジニアリングに対し、より耐性を有するようになる、という利点を有する。

図３Ａに戻ると、第１電極３２０の配置は、所与のアナログコンポーネント１００の特定の署名の態様と考えることができる。同一の署名を有するアナログコンポーネント１００の２つの例は同一の動作、あるいは、後述する平文と暗号文との間の変換を行う目的で相互運用性を実現するのに十分な程度、同一に近い動作を行う。署名が一致しないアナログコンポーネント１００の２つの例は、相互運用ができない。

上記の単純化された例により説明したアナログコンポーネント１００は、異なる署名を得るために容易に変更できるいくつかの観点を有する。既に述べたように、第１電極３２０の配置はそのような観点の１つである。所与のデバイスの署名という観点で変更を加えるには、製造工程において、第１電極３２０を提供するマスクを変更するだけでよい。所与の第１電極３２０の位置、長さ、幅及び形状は、マスクを変えることにより容易に変えられる。このようなアナログコンポーネントの異なる署名を得るために変更できる他の観点としては、第1ポリイミド層９１０及び／または第２ポリイミド層１２１０のポリイミドの擦りの変更、液晶セル１６００を充填する材料に適用される配合の変更、入力導波路５６１及び出力導波路５６４を構築するために用いられる特定の材料の変更が含まれる。

様々な例示的な実施形態において、温度コントローラ（図示せず）は、液晶セル１６００内の材料の温度を調整して、様々な環境で一貫した動作を実現する。アナログコンポーネント１００の異なる署名を得るために変えることができる別の観点は、液晶セル１６００が調整される温度である。

相互運用に適した１個以上のアナログコンポーネントの組を得るために、あるいは他と相互運用できないアナログコンポーネントを得るため、前述の観点の組み合わせが変更される。

動作中、定常的な光入力が入力導波路５６１に導入される。液晶セル１６００の出力は、センサ１１６４により検知される。アナログコンポーネント１００へのアナログコンポーネント入力Ａ_ｉは、第１電極信号線を介して提供されてもよい。アナログコンポーネント入力Ａ_ｉは、バイナリ値またはビットの連続である。

図１５に部分的に示す例示的な実施形態では、アナログコンポーネント１００は、１２０−０から１２０−Ｆまで個別に番号付けされた１６個の第１電極信号線１２０を有する。第１電極信号線１２０がそれぞれの第１電極３２０と電気的に接続されているため、これらの第１電極信号線１２０からの信号が第１電極３２０に伝わる。図１６に部分的に示す例示的な実施形態では、アナログコンポーネント１００は１６個の第１電極３２０を有する。第１電極３２０には、３２０−０から３２０−Ｆまで個別に番号が付けられている。第１電極信号線１２０−０は第１電極３２０−０に電気的に接続されており、以下も同様である。

アナログコンポーネント入力Ａ_ｉは、この例示的な実施形態では同時に１６ビット、アナログコンポーネント１００に入力される。例えばクロックの制御下で、ビットストリームの次の１６ビットのうちのそれぞれの値が、第1電極信号線１２０のうちのそれぞれのものの駆動に用いられる。例えば、第０ビットの値が1の場合、第１電極信号線１２０−０が駆動される。例えば、第１ビットの値が０の場合、第１電極信号線１２０−１は駆動されず、第Ｆビットに至るまで同様に駆動される。第１電極信号線１２０のうちのある特定のものを駆動すると、第１電極３２０のうちの対応するものに電荷が導入される。したがって、特定のサイクルにおいて、アナログコンポーネント入力Ａ_ｉとして用いられる１６ビットのビットストリームの値に従って、ある特定の第１電極３２０に電荷が導入され、他の第１電極３２０には電荷が導入されない。

第１電極３２０はすべて、少なくとも１つの第２電極１４２０に対向しているため、第１電極３２０の所与の１つに電荷が現れると、液晶セル１６００内の液晶材料の結晶が影響を受ける。

図１７は、１６ビットのアナログコンポーネント入力Ａ_ｉとして“０１１０００００１００１００００”を第１電極信号線１２０に印加したシミュレーション結果の例を示す。ここで、最上位ビット（左側）が線１２０−０の駆動に用いられており、最下位ビット（右側）が線１２０−Ｆの駆動に用いられている。この例では、線１２０−１、１２０−２、１２０−８及び１２０−Ｂが駆動される。対応する電極３２０−１、３２０−２、３２０−８及び３２０−Ｂが通電され、液晶セル１６００内の結晶の配向に影響を及ぼす。図１７では、電荷によって乱されていない場合の液晶セル１６００内の結晶を、図面の上部から下部の方向に縦に配置された四角柱によって表している。図面では、結晶は、電荷によって完全に移動すると、紙面裏から表に向かう方向に再整列し、電荷が存在するが結晶を完全に再配向するには不十分な場合は、中間的な位置をとる。

図１８は、図１７に類似しているが、アナログコンポーネント入力Ａ_ｉの１６ビットが“１０１１１１１０１１１１００１１１”である。電極３２０−０、３２０−２から３２０−５、３２０−７から３２０−Ａ及び３２０−Ｄから３２０−Ｆに電荷が導入される。このシミュレーション結果では、破線の楕円で囲まれた領域に、結晶がいずれの第１電極３２０の直下にもない場合であっても近くの電極３２０−０、３２０−２、３２０−Ｄ及び３２０−Ｆの電荷からの影響を受けている結晶が含まれている。これらのシミュレートされた結晶は、ほぼ完全に再配向している。ここで、電極３２０−５と３２０−６の間の領域を比較すると、これら２つの電極の間の結晶は、近くの電荷の影響を受けるが、完全な再配向に達する程度ではない。

入力導波路５６１に導入された光は、出力導波路５６４に、図１７及び図１８の例で異なった態様で通過し、その結果、センサ１１６４で感知される値はそれぞれの場合で異なる。

第１電極３２０の長さを異ならせることにより、入力導波路５６１を通して導入された光と液晶セル１６００内の多数の結晶との間の内部相互作用のエントロピーが増大する。

液晶セル１６００の全部よりも少ない部分（図１７及び図１８の右側に描かれた半分）に沿って第１電極３２０を形成することによっても、エントロピーを増大させ、アナログコンポーネント１００のデジタル複製不能性に寄与する。

上記の例示的な実施形態におけるアナログコンポーネント入力Ａ_ｉには、一度に１６ビットが取り込まれている。４個のセンサ１１６４はそれぞれ、光の１６個の変動を検出するのに十分な感度を有する。つまり、各センサは、４ビットにエンコード可能な値を出力できる。４個のセンサ１１６４のそれぞれの出力からエンコードされた４ビットは、全部で１６ビットである。これら４つの４ビットのセットは連結され、１６ビットのアナログコンポーネント出力Ａ_ｏとなる。

上述の例では、アナログコンポーネント１００の第１電極信号線１２０の駆動にビットストリームを用いた。一度に１６ビットが取り込まれるこのビットストリームが、より一般的にいえば、アナログコンポーネント入力Ａ_ｉである。

上述の例では、１６ビットのアナログコンポーネント出力Ａ_ｏは、液晶セル１６００内の結晶がアナログコンポーネント入力Ａ_ｉによって影響を受けた後にセンサ１１６４が感知したところによって決定された。つまり、アナログコンポーネントの出力Ａ_ｏは、アナログコンポーネントの入力Ａ_ｉに基づいていた。後述の適切な制御回路を用いて、アナログコンポーネント入力Ａ_ｉに基づき、アナログコンポーネント１００からアナログコンポーネント出力Ａ_ｏを繰り返し取得して、任意の長さのビットストリームを１６ビット単位で処理することができる。

上述の例示的な実施形態では、１６本の第１電極信号線１２０、１６本の第１電極３２０、４本の出力導波路５６４、及び４本のセンサ１１６４を用いたが、これらの数量は、本発明の概念を読者に教示するために用いたものである。

他の例示的な実施形態におけるアナログコンポーネント１００の設計では、２５６個の第１電極信号線１２０を使用することにより２５６ビット単位のビットストリームを処理する。この例を、以下では２５６ビットチップと呼ぶ。これらの第１電極信号線１２０は、２５６個の第１電極３２０のうちの対応するものとそれぞれ接続されている。これらの第１電極３２０は、図１８のように４列に配置されるが、各列に６４個の第１電極３２０を有する。この２５６ビットチップの例示的な実施形態は、６４個の出力導波路５６４を有し、これらの出力導波路５６４のそれぞれは、液晶セル１６００の光出力を、６４個のセンサ１１６４のうちの対応するものに伝達する。センサ１１６４は４ビット値を出力し、これが連結され、２５６ビットのアナログコンポーネント出力Ａ_ｏが提供される。

直前の段落で説明した２５６ビットチップと同様の、更に別の例示的な実施形態では、３２個のみの出力導波路５６４が形成され、３２個のみのセンサ１１６４が提供される。ただし、この例では、各センサは８ビット値を出力するのに十分な感度を有する。３２個の８ビット値を連結して、２５６ビットのアナログコンポーネント出力Ａ_ｏを提供する。２５６ビットチップと同様の、さらに別の例示的な実施形態では、第１電極３２０は、より多いまたはより少ない行及び列に配列される。他の例示的な実施形態では、出力導波路５６４の位置は、エントロピーを最大化するように設定される。読者は、本稿に記載されている本発明の概念から逸脱することなく、更に他の変形を想到し得る。

以上の説明は、第１電極信号線１２０が駆動されたときに、どの第１電極３２０に電荷が導入されるかを、第１電極信号線１２０と第１電極３２０との間の相互接続がどのように決定するかを説明したものである。第１電極信号線１２０と第１電極３２０との間の接続パターンを変更すると、アナログコンポーネント１００の異なる署名が生じる。したがって、アナログコンポーネント１００の構成を変更できる幾つかの手法に加えて、第１電極信号線１２０と第１電極３２０との間の接続の構成を変更することもできる。１つの例示的な実施形態では、第１電極信号線１２０と第１電極３２０との間の接続を簡便に変更できるように、追加的な相互接続層が設けられる。

駆動コンポーネント
アナログコンポーネント１００は、例えば、図１９Ａ及び図１９Ｂに一般的に示されるデータセキュリティ装置２０００の一部として有用である。図１９Ａでは、データセキュリティ装置２０００は平文メッセージＭを受信し、これをデジタルデータＭとも呼ぶ。ここで「平文」という語は、平文メッセージＭが人により読み取り可能なメッセージを表すことを要するということを意味するものではない。平文メッセージＭは、暗号化される前のビットの組を表す。様々な例示的な実施形態の平文メッセージＭは、いくつかの他の工程によって事前に暗号化され、他の例示的な実施形態では、他の工程によって事前に暗号化されていないデータである。

暗号化工程により、データセキュリティ装置２０００は、平文メッセージＭを暗号文Ｃに変換する。図１９Ｂでは、データセキュリティ装置２０００は暗号文Ｃを受信する。復号化工程により、データセキュリティ装置２０００は、暗号文Ｃを、図１９Ａで最初に入力された平文メッセージＭと一致する平文メッセージＭへと復元する。

図１９Ａ及び１９Ｂは極めて単純化されているが、アナログコンポーネント１００が用いられる環境の一般的な観念を提供している。図１９Ａ及び図１９Ｂに示されるデータセキュリティ装置２０００は一例としては、同じデータセキュリティ装置２０００であるが、少なくとも１つのアナログコンポーネント１００を使用して暗号化または復号化を実行する。他の例では、図１９Ａのデータセキュリティ装置２０００は、通信リンクを介して図１９Ｂのデータセキュリティ装置２０００から分離されており、例示的な実施形態では、図１９Ｂのデータセキュリティ装置２０００から離れている。この後者の例では、図１９Ａ及び図１９Ｂのそれぞれにおけるデータセキュリティ装置２０００の署名が一致する必要があり、そのようでなければ、一方に入力された平文メッセージＭが、他方から出力された平文メッセージＭに一致しない。

図２０は、図１９Ａ以降のデータセキュリティ装置２０００の例示的な実施形態をより詳細に示す。データセキュリティ装置２０００は、制御回路２１００及びアナログコンポーネント１００を含む。制御回路２１００は、データセキュリティ装置２０００の外部から平文メッセージＭを受信し、暗号文Ｃをデータセキュリティ装置２０００の外部に出力する。平文メッセージＭの暗号文Ｃへの処理の一部に、アナログコンポーネント１００が用いられる。

１つの例示的な実施形態において、制御回路２１００は、特定用途向け集積回路（ＡＳＩＣ）として実装される。

他の例示的な実施形態では、制御回路２１００は、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として実装される。ＡＳＩＣは製造前に構成される一方、ＦＰＧＡはＡＳＩＣの記述に用いられるものと同様のハードウェア記述言語（ＨＤＬ）を用いて製造後に構成可能な集積回路である。

ＨＤＬは、ＦＰＧＡの挙動を定義し、ＦＰＧＡをプログラムして、定義済みの機能を実行する構造を有するようにする。つまり、ＦＰＧＡの構造はＨＤＬによって定義され、プログラムされたＦＰＧＡを、ＡＳＩＣのように構造的に固有の電子回路とする。

ＦＰＧＡの構造と、これをプログラムするのに用いられるＨＤＬとの関係（及び同様に、ＡＳＩＣの構造とその製造を定義するのに用いられるＨＤＬとの関係）は、ここで、定義済みの様々な動作を実行するように構成（あるいは改造）された回路として表し直される。「定義済みの動作」とは、ＨＤＬ（またはＶｅｒｉｌｏｇやＶＨＤＬなどの他の定義言語）で具体化された動作である。

例示的な実施形態では、制御回路２１００はセキュアＦＰＧＡである。

図２１は、制御回路２１００による暗号化のための定義済みの動作の実施形態を示す。この実施形態は、平文メッセージＭが特定のアナログコンポーネント１００にとって適切な単位で順次処理されることを想定している。例えば、図１Ａないし４２に示すアナログコンポーネント１００の場合、適切な単位は１６ビットである。２５６ビットの例示的な実施形態の場合、この単位は２５６ビットである。以下では、適切なサイズの単位を一般にチャンクと呼ぶ。

次に、図２１で用いられる記号を説明する。

図２１では、平文メッセージＭは長さ｜Ｍ｜を有し、ｍ個のチャンクＭ_ｉに分割される。ここでｉ＝１，Ｋ，ｍである。記号Ｍ_ｉは、平文メッセージＭのｉ番目のチャンクを表す。

図２１は、キーストリームＳの概念を含んでおり、これをデジタルキーストリームＳとも呼ぶ。キーストリームはｍ個のチャンクＳ_ｉで生成される。ここで、ｉ＝１，Ｋ，ｍである。Ｓ_ｉは、それぞれのＭ_ｉについて生成される。

暗号文Ｃは、Ｃ_ｉ＝Ｍ_ｉＸＯＲＳ_ｉとすることにより、ｍ個のチャンクＣ_ｉで生成される。ここでｉ＝１，Ｋ，ｍである。

Ｎはノンスである。Ｋ１及びＫ２は２５６ビットの鍵である。

は、ノンスＮとｉの和より1少ない、Ｋ１を用いた暗号化の結果である。

は、ノンスＮとｉの和より1少ない、Ｋ２を用いた暗号化の結果である。

アナログコンポーネントは、１６ビットバージョン、２５６ビットバージョン、または別の例示的な実施形態のいずれであっても、Ａとして表す。アナログコンポーネント入力はＡ_ｉであり、アナログコンポーネント出力はＡ_ｏである。

上記を踏まえ、関数Ｅ_Ｋは

として与えられる。ここで、ｘはビットの組である。上記の式では、先の式において、

の項は、

を、アナログコンポーネントＡを駆動するアナログコンポーネント入力Ａ_ｉとして用いた結果を意味すると解釈できる。この結果が、Ａ_ｏであるともいえる。

Ｅ_Ｋ（ｘ）の定義を用いて、キーストリームＳを、

と簡潔に与えることができる。ここで、２本の縦線は連結操作を示す。同様に、暗号文Ｃは、Ｍの最初の｜Ｍ｜ビットにつき

と簡潔に与えることができる。

図２１の処理は、何らかの平文メッセージＭが暗号化されるとき開始される。カウンタはｓ２１１０で初期化される。ビットの最初のチャンクＭ_ｉはｓ２１２０で取得される。チャンクが短すぎる場合、チャンクを作成するのに十分な値となるよう桁が埋められる。チャンクの桁が埋められると、埋められた桁は後で破棄され、暗号文Ｃには含まれない。

処理はｓ２１３０に続き、ノンスＮとｉの和よりも１少ない和がＥ１_Ｋ１で暗号化される。その結果は、ｓ２１４０でアナログコンポーネント１００の第１電極信号線１２０を駆動するために用いられ、特定の第１電極３２０に電荷が導入され、これにより液晶セル１６００内の液晶の配向を変える。センサ１１６４の出力はデジタル形式で表現され、Ａ_ｏとして得られる。これを

と記してもよい。換言すれば、

はアナログコンポーネント出力のデジタル表現に基づく。

ｓ２１５０では、その結果はＫ１を使用して再び暗号化され、

となる。

ｓ２１３０からｓ２１５０の処理で、第１の暗号化及び鍵Ｋ１を採り入れている。実際のところ、ここでは第１の暗号化を２回用いている。1回はＮ＋ｉ−１でアナログコンポーネント入力を生成し、もう1回はアナログコンポーネント出力で用いている。この第１の暗号化は、例示的な実施形態ではブロック暗号化である。ｓ２１６０の処理では、第２の暗号化と、鍵Ｋ１とは異なる鍵Ｋ２を用いている。例示的な実施形態では、第２の暗号化もまたブロック暗号化である。ｓ２１６０では、Ｎ＋ｉ−１で第２の暗号化が実行され、（Ｅ２_Ｋ２（Ｎ＝Ｉ−１）が得られる。

ｓ２１７０では、ＸＯＲ演算が実行されて、Ｓｉが得られる。

ｓ２１８０では、Ｍ_ｉとＳ_ｉでＸＯＲ演算が実行され、Ｃ_ｉが得られる。

ｓ２１９０で、Ｍのうちが処理するチャンクＭ_ｉが残っている場合、処理はｓ２１９５に続いてｓ２１２０で続行される。ｓ２１９５でカウンタをインクリメントすると、処理が次のチャンクＭ_ｉに進むことを助ける。一方、処理するチャンクが残っていない場合、埋められた桁を破棄する点を除いて、暗号化は終了する。

図２２は、復号化における制御回路２１００の定義済みの動作を示す。

図２２は、２つの例外を除いて図２１と同一である。ｓ２２２０では、平文メッセージＭのチャンクの代わりに、暗号文ＣのチャンクＣ_ｉが取得される。ｓ２２８０では、Ｃ_ｉとＳ_ｉでＸＯＲ演算が実行され、Ｍ_ｉが得られる。

暗号化工程では

が用いられ、復号化工程では、

が用いられ、Ｃに代入して

と書き直すことができ、Ｍが得られる、という事実のため、図２１に示す暗号化工程と図２２に示す復号化工程との間の類似性が一部にある。したがって、入力として平文メッセージＭを用いるか、代わりに暗号文Ｃを用いるかによって、暗号化を実行する同一の制御回路２１００を、復号化の実行に用いることもできる。暗号文と平文の間の変換のための動作の制御は、機能を失うことなく、汎用マイクロプロセッサによって実装されたソフトウェアモジュールまたはロジックで、同様に、実用的に具体化できる。

制御回路２１００の追加の観点を提供して、データセキュリティ装置２０００のセキュリティを改善することができる。

詳細な実装
制御回路２１００の定義済みの動作のより詳細な実装を、例示的な実施形態に沿ってここで述べる。この例示的な実施形態においては、認証付き暗号化（ＡＥ）の特定のタイプとしての、アナログコンポーネントでの認証付き暗号化（ＡＥＡ）を、より詳細な動作が実装する。

例示的な実施形態では、ブロック暗号Ｅ１は、図２３による換字転置ネットワークである。ブロック暗号Ｅ１は、２５６ビットのブロック長及び２５６ビットの鍵サイズを有する。入力として２５６ビットの平文Ｘと２５６ビットの鍵ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ１_ｋ（ｘ）を生成する。

ブロック暗号Ｅ２は、デジタルコンポーネントのみに依存するベースラインレベルのセキュリティを確立するために用いられる。この例では、ブロック暗号Ｅ２はＥ１の変種として設計されており、その全体構造も図２３に示すとおりである。これは、ブロック長２５６ビット、鍵サイズ２５６ビットの換字転置ネットワークである。入力として２５６ビットの平文Ｘと２５６ビットのマスター鍵ｋを受け入れ、対応する２５６ビットの暗号文Ｙ＝Ｅ２_ｋ（ｘ）を生成する。

例示的な実施形態では、Ｅ２は、グローバルＳＰＮ構造とラウンド変換及び鍵スケジュールの構造の両方をＥ１と共有する。ただし、置換層、拡散層、及びラウンド鍵配送の各コンポーネントは、Ｅ１のそれとは異なる。

置換層：異なる非線形８ビットＳボックスが用いられる。

拡散層：異なる３２×３２ＭＤＳ行列が用いられる。

鍵の追加：異なる２５６ビットのラウンド定数を用いて、マスター鍵からサブ鍵を導出する。

例示的な実施形態において、Ｅ１及びＥ２は、ブロック暗号ＳＨＡＲＫに類似したフルＭＤＳ拡散層を有する換字転置ネットワークである（ＶｉｎｃｅｎｔＲｉｊｍｅｎ、ＪｏａｎＤａｅｍｅｎ、ＢａｒｔＰｒｅｎｅｅｌＡｎｔｏｏｎＢｏｓｓｅｌａｅｒｓＥｒｉｋＤｅＷｉｎ：ＴｈｅｃｉｐｈｅｒＳＨＡＲＫ。ＦＳＥ１９９６、ＬＮＣＳ１０３９、ｐｐ．９９−１１１）。ＡＥＳとは異なり、各ラウンドの状態全体にＭＤＳ行列を適用し、また１列だけではない。実装効率という面では多少重くなるが、これは非常に迅速な拡散（わずか１ラウンドでフル拡散に到達する）につながり、数ラウンドにわたって暗号解析特性が大幅に速く減退する。下表に、Ｅ１／Ｅ２とＳＨＡＲＫ及びＡＥＳの両方との比較を示す。

ＡＥＡ
ＡＥＡは、本発明の概念による認証付き暗号化（ＡＥ）のためのモードであり、ブロック暗号Ｅ１及びＥ２、ならびに２５６ビット入力を２５６ビット出力にマッピングするアナログコンポーネントＡを利用する。ＡＥＡモードでは、アナログコンポーネントＡが厳密に全単射であるとは想定しておらず、全単射の不完全性が許容される。ただし、コンポーネントＡは決定論的関数であり、これは、入力が等しいと出力が等しくなることを意味する。

ＡＥ
認証付き暗号化（ＡＥ）スキームの１つの目標は、機密性と真正性／完全性を同時に提供することである。これは、ブロック暗号などの暗号化アルゴリズムと、メッセージ認証コード（ＭＡＣ）などの真正性及び完全性メカニズムを組み合わせることで実現できる。

メッセージ及び鍵を入力すると直ちに、ＡＥアルゴリズムは、対応する暗号文及び認証タグを出力する。復号化の間、この認証タグが検証される。検証に成功すると直ちに、平文が返される。これ以外の場合、失敗が通知され、平文は復元されない。基本的な概念は、鍵の所有者のみが有効な認証タグを生成でき、暗号文またはタグ（またはその両方）の輸送中に変更されれば、高い確率で検証が失敗する、ということである。

ブロック暗号動作モードと同様、多くのＡＥスキームは更に入力としてノンスをとる（一度限り用いられる番号であり、公開されるが同じ鍵で繰り返されない）。ノンスの入力は、特定のメッセージの暗号化と復号化において同一でなければならない。

動作を図２４に示す。これは、ノンスに基づく認証付き暗号化を示すものである。送信者は、ノンスＮ、暗号文Ｃ及びタグＴを送信する。ノンスＮは、同一の鍵の下の単一のメッセージに用いられるだけである。

インターフェース
認証付き暗号化のＡＥＡ動作モードは、入力として以下を受け取る。
１．２５６ビットの秘密鍵Ｋ１と２５６ビットの秘密鍵Ｋ２を含む５１２ビットの秘密鍵Ｋ。すなわち、Ｋ＝（Ｋ１，Ｋ２）；
ｉ）鍵Ｋ１は、例えば、ＡＳＩＣチップ上で、アナログコンポーネントＡと緊密に統合される。
ｉｉ）鍵Ｋ２は、認証付き暗号化のベースラインレベルのセキュリティを確立する目的で、アナログコンポーネントＡを含むハードウェアモジュールの外部、たとえば、ＦＰＧＡ上あるいはユーザーソフトウェア内に配置できる。
２．２５６ビットのノンスＮ（１回限り用いられる番号）;
３．長さが

ビットである、メッセージ入力Ｍ

暗号化及び認証に用いられる場合、メッセージ入力と同じ長さの暗号文を、長さ２５６ビットの認証タグＴとともに出力する。

復号化及び検証に用いられる場合、検証成功を表すシンボル「Ｓ」とともに回復した平文を出力し、またはメッセージをまったく出力せず、検証失敗を表す「Ｆ」を出力する。

ノンス入力は公開されていることを想定されるものであるが、（Ｋ，Ｎ）の任意の組み合わせは1回限り用いられるという意味で一意である必要がある。２５６ビットより短いノンスは、ゼロが埋め込まれて２５６ビットの文字列とされる。一般に、１個の鍵に対して最大２^ｔ個のメッセージブロックの処理が必要な場合、誕生日のパラドックスにより、ノンスは２ｔビット長である必要がある。

以下では、様々なビルディングブロックを定義し、最後にＡＥＡ暗号化、復号化／検証アルゴリズムを定義する。

ＣＴＲモード
ビルディングブロックＣＴＲ（Ｎ，Ｋ，Ｍ）は、２５６ビットのノンスＮ、５１２ビットの鍵Ｋ、及びメッセージ入力Ｍ（長さ

ビット）を取り込み、以下を経て、等しい長さの暗号文Ｃを生成する。

ｒｅｔｕｒｎＣ
ここで、関数

は、

と定義される。関数Ｅ_Ｋ（Ｍ）の動作及びこの関数を用いたＣＴＲモードの暗号化を、図３３及び図３２にそれぞれ示す。

ＣＢＣ−ＭＡＣ
ビルディングブロックＣＢＣ（Ｋ，Ｍ）は、５１２ビットの鍵Ｋ及びメッセージ入力Ｍ（長さ

ビット、かつ２５６ビットの倍数）を取り込み、ＣＢＣモードのメッセージの最後のブロックを暗号化したものを返す。

ここで、Ｅ_Ｋ（Ｍ）は、ＣＴＲ暗号化において上述したように定義される。関数Ｅ_Ｋに基づくこのＭＡＣアルゴリズムを図３４に示す。

パディング
パディングアルゴリズム

は、入力として。長さ

２^１２８ビットのメッセージＭ及び２５６ビットの鍵Ｌ_１及びＬ_２を取り込む。次のように、長さt・２５６、t≧１のビット文字列を返す。
ｉｆ｜Ｍ｜ｉｓａｍｕｌｔｉｐｌｅｏｆ２５６：

ｅｌｓｅ

ここで、ＸＯＲＰＡＤ（Ｍ，Ｌ）は、２個のビット文字列Ｍ及びＬの短い方の列を、長い方の列の終わりにＸＯＲし、結果を返す。

メッセージ認証コード（ＭＡＣ）アルゴリズム
ＭＡＣアルゴリズムＭＡＣ（ｔ，Ｋ，Ｍ）は、入力として、２５６ビットの整数ｔ、５１２ビットの鍵Ｋ、及び長さ

ビットのメッセージＭを取り込む。以下のように認証タグを返す。

ここで、

は、整数tの２５６ビットバイナリ表現を示す。
ＡＥＡ−ＥＮＣＲＹＰＴ：暗号化とタグ生成

ＡＥＡ認証付き暗号化アルゴリズムＡＥＡ−ＥＮＣＲＹＰＴ（Ｋ，Ｎ，Ｍ）は、５１２ビットの鍵Ｋ、２５６ビットのノンスＮ及び長さ

ビットのメッセージＭを取り込む。以下のように、暗号文Ｃ及び２５６ビットのタグＴを返す。

２つのＭＡＣ呼び出しに異なる定数（整数ｔ）を使用することにより、ノンスと暗号文ブロックの処理の間での適切なドメインの分離が保証される。

暗号文は常に平文と等しい長さを有することに留意されたい。ＡＥＡアルゴリズムの全体的な動作を図３５に示す。

ＡＥＡ−ＶＥＲＩＦＹ：復号化とタグ検証
ＡＥＡ復号化及び検証アルゴリズム

（Ｍ，｛Ｓ，Ｆ｝）は、入力として５１２ビットの鍵Ｋ、２５６ビットのノンスＮ、暗号文Ｃ及び２５６ビットのタグＴを取り込む。認証タグを検証し、成功すると、復号化されたメッセージおよび成功を表す記号「Ｓ」（上記のキーストリームSと混同しないこと）を返す。失敗を確認すると直ちに、空のメッセージと記号「Ｆ」を返す。

設計の理論的根拠とセキュリティ分析
カウンタモード暗号化ルーチンＥ_Ｋ（Ｍ）を

と定義する目的は、アナログコンポーネントＡの入力と出力の両方をブロック暗号呼び出しによりマスクすることである。更に、Ｅ１とＥ２を両方とも強度に保守的に設計されたブロック暗号として、結果のカウンターキーストリームの再構築には、ＭをＥ２と並行して暗号化し、結果をＸＯＲ演算することにより、混合されたＥ１アナログ部分とＥ２の両方を暗号化分析する必要がある。

ＡＥＡ認証付きモードの動作の全体的な構成は、ＥＡＸ設計と同じではない（Ｍ．Ｂｅｌｌａｒｅ、Ｐ．Ｒｏｇａｗａｙ及びＤ．Ｗａｇｎｅｒ、“ＡＣｏｎｖｅｎｔｉｏｎａｌＡｕｔｈｅｎｔｉｃａｔｅｄ−ＥｎｃｒｙｐｔｉｏｎＭｏｄｅ”２００３年を参照）。ＥＡＸは、カウンターモード暗号化において、ＡＥＡのＥ１／Ａ／Ｅ２設計の代わりに、通常のブロック暗号呼び出しを用いる。また、ＡＥＡのＭＡＣ設計はＯＭＡＣとは異なる。２個の鍵Ｌ_１とＬ_２の差異は、有限体

で繰り返される二重化によってＬから導出されるのではなく、その代わりに、Ｌを鍵として用い、異なる定数をブロック暗号Ｅ１で暗号化することにより導出される。これは、大きな有限体で二重化するにはかなりの実装リソースが必要になるのに対し、追加のブロック暗号呼び出しでは既に実装された暗号を用いることができるためである。

ＡＥＡは、ブロック暗号Ｅ１及びＥ２のフォワード実装を使用し、これらの逆関数を用いない。これにより、実装特性、特にハードウェアの実装特性が更に向上する。

ＡＥＡモードの動作は、ＥＡＸの証明可能なセキュリティ特性から利益を得る。認証付き暗号化の動作モードとして、プライバシーと真正性という２つのセキュリティ概念が重要となる。プライバシーとは平文の機密性を指し、真正性とは偽造攻撃に対するセキュリティを指す。

ＥＡＸの著者らは、これら２つのセキュリティ概念について、σｎビット以下のメッセージブロック（おそらく多くのクエリにわたって）をクエリする攻撃者のアドバンテージが以下のように制限されることを証明している。

ここで、τはタグの長さを示す。アドバンテージは

となるにつれ１に近づくので、バウンド（限界）はいずれも基本的にバースデイバウンド（限界）である。ＡＥＡの場合、ｎ＝τ＝２５６であるため、同じ鍵に対して暗号化されているのが２^１２８ブロック以下である場合、モードは安全であると見なされる。ＡＥＡのＭＡＣアルゴリズムは、ＯＭＡＣのセキュリティ証明の要件を充足する。つまり、Ｌがランダムであるときは、Ｌ_１とＬ_２は常に独立したランダム値である。

ＡＥＡとＥＡＸとの更に別の相違は、必ずしも全単射ではないアナログコンポーネントＡを用いていることに関係する。しかしながら、ＥＡＸのセキュリティ分析では、実際には、完全なブロック暗号を要約し、ランダムなｎビットからｎビットへの関数を想定している。上述のセキュリティ限界は、ランダム関数であるとの仮定を用いて導出される。これは、Ａの非全単射性が２５６ビットから２５６ビットへのランダムな関数の衝突確率すなわち１／２^２５６とほぼ等しく、ブロック暗号Ｅ１が安全な擬似ランダム順列であること、あるいは、ブロック暗号Ｅ２が安全な擬似ランダム順列であることのいずれかであれば、セキュリティ限界は等しくＡＥＡに適用されることを意味する。

Ｅ１及びＥ２は両方とも安全な擬似ランダム順列になるように設計されているため、ＥＡＸのセキュリティ限界はＡＥＡにも適用される。

最後に、ＡＥＡに適用可能なＥＡＸの証明可能なセキュリティ分析は、ノンスを重視する攻撃者を想定しているため、ノンスが繰り返されるときに保証は行われない。このため、ＡＥＡでは一意のノンスが用いられる。

部分的危殆化の分析
上記のセキュリティ分析は、暗号鍵が危殆化されないと想定される標準モデルに適用されるものであり、攻撃者の目標は、新しい暗号文を復号化するか、あるいは有効な認証タグで新しいメッセージの偽造に成功することである。後者は、次の２つの設定のいずれかである。
実存的な偽造：メッセージの内容を制御せずに、有効な新しいメッセージ／タグの対を導く。
普遍的な偽造：メッセージの内容を完全に制御できる、任意の有効な新しいメッセージ/タグの対を導く。

鍵が危殆化されていない場合、これらはすべて、以上概説した実証済みのセキュリティ限界に至るまで、不可能である。

Ｅ_Ｋ暗号の１つまたは２つの構成要素が危殆化された場合の影響について説明する。以下の定義を想起されたい。

第１のシナリオ（Ｓ１）では、デジタル部分Ｅ２_Ｋ２のみが、攻撃者が任意のクエリを計算できる、すなわち、鍵Ｋ２を知っているか否かにかかわらず、その機能を抽出またはシミュレートすることに成功している、という意味で危殆化されている。第２のシナリオ（Ｓ２）では、デジタル的に実装されたすべての機能が攻撃者によって再構築、すなわち、Ｅ１_Ｋ１及びＥ２_Ｋ２の両方に対する任意のクエリの計算がされ得る。これは、Ｋ１とＫ２の両方の回復が含まれる場合と含まれない場合とを含む。この第２のシナリオは、マスター鍵Ｋ＝（Ｋ１，Ｋ２）全体の危殆化に相当することに注意されたい。

Ｓ１攻撃に対するセキュリティ
このシナリオでは、攻撃者は、任意の入力ｘについてＥ２_Ｋ２（ｘ）を計算できる。セキュリティの目標にとって、これには以下の含意がある。

機密性：暗号文ブロックＣ_ｉを復号化するためには、攻撃者は、

のみならず

の知識を必要とするカウンターキーストリーム

を計算しなければならない。Ｅ１_Ｋ１とＡは危殆化されていないため、Ｓ_ｉについての情報はなく、したがって平文のＭ_ｉについての情報もない。

偽造：以上概説したように、攻撃者は、Ｅ２_Ｋ２の知識のみが与えられた場合、カウンターキーストリームを計算することができない。攻撃者は、自分の選択した平文に対応する正しい暗号文を作成できず、普遍的な偽造は排除される。実存的な偽造の場合、攻撃者はランダムな暗号文（または同じキーを持つ他のクエリから取得した暗号文）の正しいタグを計算しようとする可能性がある。しかしながら、彼が持っていない正しいＣＢＣ−ＭＡＣ暗号を生成するためには、

を計算する機能が必要である。

要約すると、

の危殆化はＡＥＡのセキュリティに直接的な影響を及ぼさない。ただし、証明可能なセキュリティ限界は、ランダム関数として振る舞う

に依存する。

Ｓ２攻撃に対するセキュリティ
このシナリオでは、攻撃者は任意の入力xについて

の両方を計算することができる。セキュリティの目標にとって、これには以下の含意がある。

機密性：暗号文ブロックＣ_ｉを復号化するために、攻撃者は

のみならず

の知識を必要とするカウンターキーストリーム

を計算しなければならない。

の両方が危殆化している場合、セキュリティは、危殆化されていないコンポーネントＡに完全に依存する。その衝突確率がランダムよりも高い場合、対応する機密性の限界は、衝突確率Ａが

に等しいとした場合、

まで減少する。

偽造：（Ｓ１）シナリオのように、現在、実存的な偽造と普遍的な偽造の両方に対するセキュリティは、危殆化されていない唯一のコンポーネントＡに完全に依存している。衝突確率がランダムより高い場合、対応する機密性の限界は、衝突確率Ａが

に等しいとした場合、

まで減少する。

要約すると、

両方が危殆化しても、ＡＥＡのセキュリティへの影響は直ちには及ばない。ただし、そのセキュリティは、アナログコンポーネントの機能を複製できないこと、及び、衝突の可能性の両方に依存する。

量子化後のセキュリティ
量子コンピュータ、特にＧｒｏｖｅｒのアルゴリズムを使用して、Ｅ_１及びＥ_２などの対称暗号化アルゴリズムの鍵を網羅的に検索する問題は、検索空間の平方根に従って高速化され得る。Ｇｒｏｖｅｒのアルゴリズムを用いれば、ｋビットの鍵は、Ｏ（２^ｋ）でなくＯ（２^ｋ／２）の時間で、力づくで検索できる。Ｅ１とＥ２は２５６ビットの鍵とされているため、１２８ビットの量子化後のセキュリティレベルを引き続き提供する。第２の考慮事項は、完全なブロック暗号の鍵を網羅的に検索するためにＧｒｏｖｅｒのアルゴリズムを実際に実装するのに必要な量子回路のサイズ（量子ビット数）である。最近の研究（Ｍ．Ｇｒａｓｓｌｅｔａｌ．：ＡｐｐｌｙｉｎｇＧｒｏｖｅｒ‘ｓＡｌｇｏｒｉｔｈｍｔｏＡＥＳ：ＱｕａｎｔｕｍＲｅｓｏｕｒｃｅＥｓｔｉｍａｔｅｓ、ＰＱＣｒｙｐｔｏ２０１６）では、ＡＥＳ−２５６を攻撃するには合計６６８１量子ビットの量子回路が必要であると推定されている。時間計算量は、１．４４×２^１５１オペレーションと推定されている。Ｅ１とＥ２はより大きな状態サイズで設計されているため、量子攻撃を成功させるには少なくとも上述のリソースが必要となる。

第２の懸念は、動作モード（ＡＥＡ）の量子化後セキュリティである。合成モードとして、そのセキュリティは、基盤となるＣＢＣ及びＣＴＲ動作モードのセキュリティに基づいている。ＣＢＣとＣＴＲはいずれも、暗号化アルゴリズムが従来の方法で実装されている場合は常に、標準のＰＲＦ仮定の下で、量子攻撃者に対してＩＮＤ−ＣＰＡ（選択された平文攻撃で識別できない）セキュリティを提供することがよく知られている。これは、量子攻撃者が通常の暗号化クエリを処理するために量子アルゴリズムを使用できるだけで、特段の量子暗号化クエリを要求しないことを意味する。暗号化アルゴリズムが量子コンピュータにも実装されており、攻撃者が重畳メッセージで量子クエリを要求できる場合、事情は変わる。最近の研究（Ｍ．Ａｎａｎｄｅｔａｌ．：Ｐｏｓｔ−ｑｕａｎｔｕｍＳｅｃｕｒｉｔｙｏｆｔｈｅＣＢＣ，ＣＦＢ，ＯＦＢ，ＣＴＲ，ａｎｄＸＴＳＭｏｄｅｓｏｆＯｐｅｒａｔｉｏｎ，ＰＱＣｒｙｐｔｏ２０１６）は、この場合において、基礎となるブロック暗号の標準的な非量子ＰＲＦ仮定は、ＣＴＲでＩＮＤ−ｑＣＰＡを達成するのに十分であるに過ぎず、ＣＢＣでも十分でないことを明らかにしている。ＣＢＣでＩＮＤ−ｑＣＰＡセキュリティをもたらすには、基礎となるブロック暗号がｑＰＲＦ（量子セキュアＰＲＦ）である必要がある。

ＡＥＳベースの変種
代替的な実施形態で、ＡＥＡで用いられる専用のブロック暗号Ｅ２及び／またはＥ１は、ＡＥＳベースのブロック暗号構成で置き換えることができる。ＡＥＳは１２８ビットのブロック暗号であるため、Ｆ関数としてＡＥＳ−２５６（鍵は２５６ビット鍵）を用いる平衡Ｆｅｉｓｔｅｌネットワークを用いた２５６ビットのブロック暗号に変換される。２５６ビットの鍵Ｋの下での２５６ビットの入力Ｘから暗号文Ｙへの暗号化は、以下のように与えられる。

関数Ｆは

と定義され、ラウンド鍵は、

と定義される。

ＡＥＳ−２５６が安全なブロック暗号である場合、Ｄａｉ及びＳｔｅｉｎｂｅｒｇｅｒの結果（ＹｕａｎｘｉＤａｉ、ＪｏｈｎＳｔｅｉｎｂｅｒｇｅｒ：Ｉｎｄｉｆｆｅｒｎｔｉａｂｉｌｉｔｙおｆ８−ｒｏｕｎｄＦｅｉｓｔｅｌｎｅｔｗｏｒｋｓ、ＣＲＹＰＴＯ２０１６）は、８ラウンド後のランダム順列からの無差別性を示唆しており、追加のセキュリティマージンのために２ラウンドが追加されている。

無差別性は非常に強力なセキュリティ概念である。たとえば、バースデイバウンド（２^１２８）に至るすべての適応的に選択された平文攻撃に対するセキュリティは、わずか４ラウンド後ですでに達成される（Ｍ．Ｌｕｂｙ，Ｃ．Ｒａｃｋｏｆｆ，Ｈｏｗｔｏｃｏｎｓｔｒｕｃｔｐｓｅｕｄｏｒａｎｄｏｍｐｅｒｍｕｔａｔｉｏｎｓｆｒｏｍｐｓｅｕｄｏ−ｒａｎｄｏｍｆｕｎｃｔｉｏｎｓ，ＳＩＡＭＪｏｕｒｎａｌｏｎＣｏｍｐｕｔｉｎｇ，ｖｏｌ．１７，ｎ．２ｐｐ．３７３−３８６，Ａｐｒｉｌ１９８８）。

サンプルアプリケーションプログラミングインターフェイス
暗号化：

は、ＡＥＡアルゴリズムに従って認証付き暗号化を実装する。入力は次のとおりである。
ｍｓｇ：メッセージ入力、長さ「ｌｅｎ」バイトのバイト単位の文字列。
ｌｅｎ：バイト単位による「ｍｓｇ」の長さ。０とＭＡＸＩＮＴとの間の範囲で指定可能。
ｎｏｎｃｅ：２５６ビット（３２バイト）のノンス。この番号は、キーの有効期間中に一意である必要がある。秘密である必要はなく、異なるキーに対して繰り返すことができる。２５６ビットより小さいノンスにはゼロが埋め込まれる。
ｋｅｙ：５１２ビットのマスター鍵。Ｅ１及びＥ２ブロック暗号のＫ１及びＫ２から構成される。
この関数の出力は：
c：暗号文。入力「ｍｓｇ」と同じ長さである。
ｔａｇ：ｍｓｇ、ｋｅｙ及びｎｏｎｃｅに対応する認証タグ。

復号化及び検証：

が、ＡＥＡアルゴリズムに従った復号化とタグ検証を実装する。入力は次のとおりである。
ｃ：暗号文入力、長さ「ｌｅｎ」バイトのバイト単位の文字列。
ｌｅｎ：「ｃ」の長さ。０とＭＡＸＩＮＴとの間の範囲で指定可能。
ｔａｇ：cに対応する認証タグ。
ｎｏｎｃｅ：暗号文の生成に用いられた２５６ビットのノンス。
ｋｅｙ：５１２ビットのマスターキー。Ｅ１及びＥ２ブロック暗号のＫ１及びＫ２から構成される。
この関数の出力は：
ｍｓｇ：検証成功時の平文。入力「ｍｓｇ」と同じ長さである。タグの検証が失敗した場合、この出力は空である。
検証の成功を示すブール値を返す。

他の特徴及び他の機能は、この技術に精通している者には想到されるものであり、そのような変形は、上記で提供される完全かつ詳細な例に照らして予想されるものである。しかし、そのような変形は、以下の特許請求の範囲及び趣旨の範囲外と見なされるべきものではない。

（付記）
（付記１）
第１電極信号線とそれぞれ電気的に接続されている第１電極と、
前記第１電極上にある液晶セルと、
前記液晶セル上にあり前記第１電極に対向する１個以上の第２電極と、
前記液晶セルに光入力を伝達するよう構成された入力導波路と、
前記液晶セルの光出力を感知するよう構成されたセンサと、
を備える装置。

（付記２）
前記液晶セルの光出力を前記センサに伝達する出力導波路を更に備える付記１に記載の装置。

（付記３）
第１の方向に第１の寸法値を有する前記第１電極のうちの第１のものと、
前記第１の方向に第２の寸法値を有する前記第１電極のうちの第２のものと、
を更に含み、
前記第１の寸法値は、前記第２の寸法値とは異なる、
付記１に記載の装置。

（付記４）
前記液晶セルと接触し、不規則な分子配列を有するポリイミド層を更に備える付記１に記載の装置。

（付記５）
アナログコンポーネントと、
長さ｜Ｍ｜のデジタルデータＭを取得することと、デジタルキーストリーム

を決定することと、Ｍの最初の｜Ｍ｜ビットにつき暗号文

を計算することとを含む所与の動作を実行するように適合された制御回路と、
を備える装置であって、
Ｎはノンスであり、
Ｋ１及びＫ２は鍵であり、
Ｅ１_Ｋ１（Ｎ）はＫ１を用いてＮを暗号化したものであり、
Ｅ２_Ｋ２（Ｎ）はＫ２を用いてＮを暗号化したものであり、
Ａは前記アナログコンポーネントであり、

はＫ１を用いて

を暗号化したものであり、

は、
Ｅ１_Ｋ１（Ｎ）を用いてアナログコンポーネント入力Ａ_ｉを取得することと、
前記アナログコンポーネント入力Ａ_ｉに基づいて、前記アナログコンポーネントＡからアナログコンポーネント出力Ａ_ｏを取得することと、
前記アナログコンポーネント出力Ａ_ｏのデジタル表現を取得することと、

を前記デジタル表現に基づくものとすることと、
によって決定される、
装置。

（付記６）
前記アナログコンポーネントＡは、第１の側に第１電極を有し、第２の側に第２電極を有する液晶セルを含み、
前記制御回路は、Ｅ１_Ｋ１（Ｎ）を用いて前記第１電極を駆動し、
前記アナログコンポーネント出力Ａ_ｏは、前記制御回路によって駆動された前記液晶セルの光出力を感知することにより決定される、
付記５に記載の装置。

図２１は、制御回路２１００による暗号化のための定義済みの動作の実施形態を示す。この実施形態は、平文メッセージＭが特定のアナログコンポーネント１００にとって適切な単位で順次処理されることを想定している。例えば、図１Ａないし１８に示すアナログコンポーネント１００の場合、適切な単位は１６ビットである。２５６ビットの例示的な実施形態の場合、この単位は２５６ビットである。以下では、適切なサイズの単位を一般にチャンクと呼ぶ。

図２１では、平文メッセージＭは長さ｜Ｍ｜を有し、ｍ個のチャンクＭ_ｉに分割される。ここでｉ＝１，．．．，ｍである。記号Ｍ_ｉは、平文メッセージＭのｉ番目のチャンクを表す。

図２１は、キーストリームＳの概念を含んでおり、これをデジタルキーストリームＳとも呼ぶ。キーストリームはｍ個のチャンクＳ_ｉで生成される。ここで、ｉ＝１，．．．，ｍである。Ｓ_ｉは、それぞれのＭ_ｉについて生成される。

暗号文Ｃは、Ｃ_ｉ＝Ｍ_ｉＸＯＲＳ_ｉとすることにより、ｍ個のチャンクＣ_ｉで生成される。ここでｉ＝１，．．．，ｍである。

例示的な実施形態において、Ｅ１及びＥ２は、ブロック暗号ＳＨＡＲＫに類似したフルＭＤＳ拡散層を有する換字転置ネットワークである（ＶｉｎｃｅｎｔＲｉｊｍｅｎ、ＪｏａｎＤａｅｍｅｎ、ＢａｒｔＰｒｅｎｅｅｌ、ＡｎｔｏｏｎＢｏｓｓｅｌａｅｒｓ、ＥｒｉｋＤｅＷｉｎ：ＴｈｅｃｉｐｈｅｒＳＨＡＲＫ。ＦＳＥ１９９６、ＬＮＣＳ１０３９、ｐｐ．９９−１１１）。ＡＥＳとは異なり、各ラウンドの状態全体にＭＤＳ行列を適用し、また１列だけではない。実装効率という面では多少重くなるが、これは非常に迅速な拡散（わずか１ラウンドでフル拡散に到達する）につながり、数ラウンドにわたって暗号解析特性が大幅に速く減退する。下表に、Ｅ１／Ｅ２とＳＨＡＲＫ及びＡＥＳの両方との比較を示す。

復号化及び検証に用いられる場合、検証成功を表すシンボル”Ｓ”とともに回復した平文を出力し、またはメッセージをまったく出力せず、検証失敗を表す”Ｆ”を出力する。

ｒｅｔｕｒｎＣ
ここで、関数

は、

と定義される。関数Ｅ_Ｋ（Ｍ）の動作及びこの関数を用いたＣＴＲモードの暗号化を、図２６及び図２５にそれぞれ示す。

ここで、Ｅ_Ｋ（Ｍ）は、ＣＴＲ暗号化において上述したように定義される。関数Ｅ_Ｋに基づくこのＭＡＣアルゴリズムを図２７に示す。

ここで、

は、整数tの２５６ビットバイナリ表現を示す。

ＡＥＡ−ＥＮＣＲＹＰＴ：暗号化とタグ生成
ＡＥＡ認証付き暗号化アルゴリズムＡＥＡ−ＥＮＣＲＹＰＴ（Ｋ，Ｎ，Ｍ）は、５１２ビットの鍵Ｋ、２５６ビットのノンスＮ及び長さ

暗号文は常に平文と等しい長さを有することに留意されたい。ＡＥＡアルゴリズムの全体的な動作を図２８に示す。

（Ｍ，｛Ｓ，Ｆ｝）は、入力として５１２ビットの鍵Ｋ、２５６ビットのノンスＮ、暗号文Ｃ及び２５６ビットのタグＴを取り込む。認証タグを検証し、成功すると、復号化されたメッセージおよび成功を表す記号”Ｓ”（上記のキーストリームＳと混同しないこと）を返す。失敗を確認すると直ちに、空のメッセージと記号”Ｆ”を返す。

ここで、τはタグの長さを示す。アドバンテージは

のみならず

の知識を必要とするカウンターキーストリーム

を計算しなければならない。

に等しいとした場合、

まで減少する。

に等しいとした場合、

まで減少する。

Claims

第１電極信号線とそれぞれ電気的に接続されている第１電極と、
前記第１電極上にある液晶セルと、
前記液晶セル上にあり前記第１電極に対向する１個以上の第２電極と、
前記液晶セルに光入力を伝達するよう構成された入力導波路と、
前記液晶セルの光出力を感知するよう構成されたセンサと、
を備える装置。
前記液晶セルの光出力を前記センサに伝達する出力導波路を更に備える請求項１に記載の装置。
第１の方向に第１の寸法値を有する前記第１電極のうちの第１のものと、
前記第１の方向に第２の寸法値を有する前記第１電極のうちの第２のものと、
を更に含み、
前記第１の寸法値は、前記第２の寸法値とは異なる、
請求項１に記載の装置。
前記液晶セルと接触し、不規則な分子配列を有するポリイミド層を更に備える請求項１に記載の装置。
アナログコンポーネントと、
長さ｜Ｍ｜のデジタルデータＭを取得することと、デジタルキーストリーム

を決定することと、Ｍの最初の｜Ｍ｜ビットにつき暗号文

を計算することとを含む所与の動作を実行するように適合された制御回路と、
を備える装置であって、
Ｎはノンスであり、
Ｋ１及びＫ２は鍵であり、
Ｅ１_Ｋ１（Ｎ）はＫ１を用いてＮを暗号化したものであり、
Ｅ２_Ｋ２（Ｎ）はＫ２を用いてＮを暗号化したものであり、
Ａは前記アナログコンポーネントであり、

はＫ１を用いて

を暗号化したものであり、

は、
Ｅ１_Ｋ１（Ｎ）を用いてアナログコンポーネント入力Ａ_ｉを取得することと、
前記アナログコンポーネント入力Ａ_ｉに基づいて、前記アナログコンポーネントＡからアナログコンポーネント出力Ａ_ｏを取得することと、
前記アナログコンポーネント出力Ａ_ｏのデジタル表現を取得することと、

を前記デジタル表現に基づくものとすることと、
によって決定される、
装置。
前記アナログコンポーネントＡは、第１の側に第１電極を有し、第２の側に第２電極を有する液晶セルを含み、
前記制御回路は、Ｅ１_Ｋ１（Ｎ）を用いて前記第１電極を駆動し、
前記アナログコンポーネント出力Ａ_ｏは、前記制御回路によって駆動された前記液晶セルの光出力を感知することにより決定される、
請求項５に記載の装置。