JP2023143167A - 乱数生成回路 - Google Patents

Abstract

【課題】安定して高いエントロピーの乱数を発生する。【解決手段】 実施形態の乱数生成回路は、リングオシレータの発振出力を第１クロックを用いて取り込んで乱数値を発生するサンプリング回路と、前記サンプリング回路出力の周期性を検出する周期性検出回路と、前記サンプリング回路出力の乱数性テストを行う乱数性テスト回路と、前記周期性検出回路の検出結果に基づいて前記発振出力の発振周期を変更すると共に、前記乱数出力を複数の分割乱数に分割して前記分割乱数毎に乱数生成を行い、前記分割乱数の生成毎に前記乱数性テストを実行させる制御回路と、を具備する。【選択図】図１

Description

本発明の実施形態は、乱数生成回路に関する。

情報通信技術の発展に伴い、情報セキュリティに対する要求が大きくなっている。情報セキュリティ技術に欠かせない鍵生成や認証等においては乱数が使用されており、乱数の品質はセキュリティ上極めて重要である。一般的に、デジタル回路により構成される乱数生成器においては、リングオシレータ（以下、ＲＯともいう）をノイズソースとして用いることが多い。ＲＯは、高エントロピーのデータの発生源として高い信頼性が要求される。

特許第６０３４１５３号

実施形態は、安定して高いエントロピーの乱数を発生することができる乱数生成回路を提供することを目的とする。

実施形態の乱数生成回路は、リングオシレータの発振出力を第１クロックを用いて取り込んで乱数値を発生するサンプリング回路と、前記サンプリング回路出力の周期性を検出する周期性検出回路と、前記サンプリング回路出力の乱数性テストを行う乱数性テスト回路と、前記周期性検出回路の検出結果に基づいて前記発振出力の発振周期を変更すると共に、前記乱数出力を複数の分割乱数に分割して前記分割乱数毎に乱数生成を行い、前記分割乱数の生成毎に前記乱数性テストを実行させる制御回路と、を具備する。

本発明の一実施形態に係る乱数生成回路を示すブロック図。 図１中のイネーブル付きＦＦ４２の具体的な構成の一例を示す回路図。 図１中のイネーブル付きＦＦ４２の具体的な構成の一例を示す回路図。 発振周期可変のＲＯ２１の具体的な構成の一例を示す回路図。 周期性検出回路２５及び乱数性テスト回路２６の回路構成の一例を示す回路図。 乱数性テスト回路２６の回路構成の一例を示す回路図。 周期性検出回路２５及び乱数性テスト回路２６の一部の回路構成の一例を示す回路図。 周期性検出回路２５及び乱数性テスト回路２６の一部の回路構成の一例を示す回路図。 本実施形態の動作を説明するためのフローチャート。 本実施形態の動作タイミングを示すタイミングチャート。 周期性検出時のタイミングチャート。 乱数性テスト時のタイミングチャート。 シフトレジスタ群４０に供給されるイネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３を説明するためのタイミングチャート。 実施形態の動作の具体例を示すタイミングチャート。 実施形態の動作の具体例を示すタイミングチャート。

以下、図面を参照して本発明の実施形態について詳細に説明する。

（実施形態）
図１は本発明の一実施形態に係る乱数生成回路を示すブロック図である。本実施形態は、リングオシレータ（ＲＯ）を含むＲＯユニット内に乱数性テスト回路を設け、所定ビット数の乱数を複数に分割して生成し、分割した乱数（以下、分割乱数という）毎に乱数性テストを実施することで、ＲＯ発振などの発熱に伴うＲＯの発振周期変化のドリフト量を低減して乱数性テストのエラー発生回数を削減し、安定して高いエントロピーの乱数を得ることを可能にするものである。

図１において、乱数生成回路１は、制御回路１０、複数のＲＯユニット２０＿０，２０＿１…，２０＿ｎ（以下、これらのＲＯユニットを代表してＲＯユニット２０という）、後処理回路３０、シフトレジスタ群４０、リトライカウンタ５０及び比較器６０を含んで構成される。制御回路１０は、ＲＯユニット２０とシフトレジスタ群４０、リトライカウンタ５０の動作の制御を行う。乱数生成回路１は、ＮＡＮＤ回路やＮＯＲ回路、フリップフロップ回路などの論理回路で構成される。論理回路は一般的に、入力および出力信号の仕様とフローチャート、タイミングチャートを元にハードウェア記述言語でソースコードとして機能記述され、ソースコードを論理合成ツールにより論理回路に変換することにより実現される。なお、乱数生成回路１は、図示しないホスト装置等の上位システムにより、乱数生成の指示が与えられて、乱数を生成する。また、乱数生成回路１には、図示しないシステムクロックＣＫと非同期リセットＲＥＳＥＴＮが入力される。乱数生成回路１に使用されるフリップフロップ（以下、ＦＦ）のクロックにはシステムクロックＣＫが入力される。ＦＦは、システムクロックＣＫの立ち上がりエッジでＦＦの入力を取り込み、ＦＦの出力とする。非同期リセットＲＥＳＥＴＮ＝０で、乱数生成回路１内のＦＦは全て０に初期化される。

ＲＯユニット２０＿０～２０＿ｎの構成は相互に同一である。ＲＯユニット２０は、２つのリングオシレータ（ＲＯ）２１ａ，２１ｂを有する。ＲＯ２１ａ，２１ｂは、相互に同一構成であり、動作温度や電圧、回路構成や配線長、製造ばらつきなどに依存した周期で発振し、論理値“１”又は“０”を交互に出力する。なお、ＲＯ２１ａは主発振回路（主）であり、ＲＯ２１ｂはＲＯ２１ａのバックアップ発振回路（ｂａｃｋｕｐ）である。

ＲＯ２１ａの発振出力はＦＦ２２ａに供給される。ＦＦ２２ａは、乱数生成回路１に入力されるシステムクロックＣＫ（図示省略）に同期してＲＯ２１ａの発振出力を取り込んでＦＦ２３ａに出力する。ＦＦ２３ａは、システムクロックＣＫに同期してＦＦ２２ａの出力を取り込んでセレクタ２４の入力端（０）に出力する。また、ＲＯ２１ｂの発振出力はＦＦ２２ｂに供給される。ＦＦ２２ｂは、システムクロックＣＫに同期してＲＯ２１ｂの発振出力を取り込んでＦＦ２３ｂに出力する。ＦＦ２３ｂは、システムクロックＣＫに同期してＦＦ２２ｂの出力を取り込んでセレクタ２４の入力端（１）に出力する。セレクタ２４は、制御回路１０からの選択信号（Ｓｅｌｅｃｔ）によって制御されて入力端（０）又は入力端（１）を選択することで、ＦＦ２３ａの出力か、又は、ＦＦ２３ｂの出力のいずれかを出力する。

ＲＯ２１ａ，２１ｂの発振出力（以下、ＲＯ発振出力）とシステムクロックＣＫとは非同期である。ＦＦ２２ａ，２２ｂ（以下、これらのＦＦを代表してＦＦ２２という）は、それぞれＲＯ発振出力を、ＲＯ発振出力と非同期のシステムクロックＣＫによりサンプリングする。ＲＯ発振出力の周期（以下、ＲＯ発振周期という）とシステムクロックＣＫのクロック周期が倍数の関係に近い場合には、ＲＯ発振出力とシステムクロックＣＫの位相関係が変わりにくく、システムクロックＣＫの立ち上がりエッジで取り込むＲＯ発振出力の値が同じになり易く、ＦＦ２２の出力には固定値が続き易くなる。ＲＯ発振周期とシステムクロックＣＫのクロック周期がちょうど倍数の関係の場合には、ＦＦ２２の出力には固定値が続く。システムクロックＣＫ周期がＲＯ発振周期の倍数でない場合、ＦＦ２２の出力はシステムクロックＣＫ周期とＲＯ発振周期の最小公倍数で決まる周期性を持ったデータとなる。また、システムクロックＣＫの立ち上がりエッジとＲＯ発振出力の立ち上がりエッジまたは立下りエッジの重なるタイミングが現れることがあり、ＲＯ発振出力のジッター（ゆらぎ）やＦＦ２２のメタステーブルによって、ＦＦ２２の出力は不規則な値となる。この不規則な値がエントロピーにつながり、乱数性の元となる。

なお、ＦＦ２２でメタステーブルが発生した場合、ＦＦ２２の出力は一時的に不安定な状態になる。ＦＦ２２ａ，ＦＦ２２ｂの出力をそれぞれ２段目のＦＦ２３ａ，ＦＦ２３ｂ（以下、これらのＦＦを代表してＦＦ２３という）によって取り込むことで、メタステーブルが収まった後の確定したデータを得ることができる。こうして、ＦＦ２２，２３によりＲＯ発振出力のサンプリング回路が構成される。ＲＯ発振出力のジッターやＦＦ２２のメタステーブルによって、ＦＦ２３から不規則な値を得られる。この不規則さがエントロピーであり、上述したように、エントロピーが大きい程、乱数を用いた認証等におけるセキュリティ強度を向上させることができる。ＦＦ２３から得られるエントロピーは少ないため、後処理回路３０によりエントロピーの蓄積を行う。

セレクタ２４は、制御回路１０から選択信号（Ｓｅｌｅｃｔ）に基づいて選択したＦＦ２３の出力を後処理回路３０に出力する。後処理回路３０は、セレクタ２４の出力（ＲＯユニット出力）のエントロピーを蓄積し、シフトレジスタ群４０に入力するエントロピーを増大させる。

後処理回路３０は、ＦＦ３１＿０，３１＿１…，３１＿ｎ（以下、これらのＦＦを代表してＦＦ３１という）と排他的論理和回路（以下、ＥＸＯＲという）３２＿０，３２＿１…，３２＿ｎ（以下、これらのＥＸＯＲを代表してＥＸＯＲ３２という）とを含む。ＥＸＯＲ３２＿０，３２＿１…，３２＿ｎの一方入力端には、それぞれＲＯユニット２０＿０，２０＿１，…、２０＿ｎの出力データが与えられる。ＦＦ３１＿０，３１＿１…，３１＿ｎは、それぞれＥＸＯＲ３２＿０，３２＿１…，３２＿ｎの出力が入力され、入力されたデータをシステムクロックＣＫに同期して取り込んでそれぞれＲＯユニット２０＿０，２０＿１，…、２０＿ｎの他方入力端に出力する。

ＥＸＯＲ３２＿０，３２＿１，…，３２＿ｎは、２入力の排他的論理和演算を行って、ＦＦ３１＿０，３１＿１，…３１＿ｎに出力すると共にＥＸＯＲ３３にも出力する。ＥＸＯＲ３３は、ＥＸＯＲ３２＿０，３２＿１…，３２＿ｎの出力が入力され、これらの入力の排他的論理和演算を行って、後処理回路３０の出力としてシフトレジスタ群４０に出力する。

ＦＦ３１とＥＸＯＲ３２とのループによる自己フィードバックにより、ＲＯユニット出力が加算され、ＦＦ３１にエントロピーが蓄積される。また、各ＥＸＯＲ３２の出力をＥＸＯＲ３３によって加算する。ＥＸＯＲ３３による加算により、各ＲＯユニット２０のＲＯユニット出力のエントロピーを足し合わせることで、エントロピーを増大させたデータをシフトレジスタ群４０に出力することが可能となる。すなわち、ＦＦ２３出力のエントロピーが比較的低い場合でも、後処理回路３０により高エントロピーのデータを得ることが可能になる。

なお、ＦＦ３１とＥＸＯＲ３２のフィードバックループでは、例えば、ＲＯユニット出力を例えば４回繰り返し加算する。この場合、ＲＯユニット２０からはシステムクロックＣＫの１クロックで１ビットのデータが出力されるので、ＦＦ３１とＥＸＯＲ３２のループからはシステムクロックＣＫで４クロックに１回、１ビットのデータが出力される。この１ビットのデータがＥＸＯＲ３３を介してシフトレジスタ群４０に出力される。

本実施形態においては、後述するように、乱数生成を分割する。例えば、乱数生成を４分割し４つの分割乱数を生成するものとし、シフトレジスタ群４０は、この４つの分割乱数に対応する４段のシフトレジスタ４１＿０，４１＿１，４１＿２，４１＿３（以下、これらのシフトレジスタを代表してシフトレジスタ４１という）を有する。なお、乱数のビット数及び分割乱数の数は４に限定されるものではなく、適宜の数を設定することができる。

各シフトレジスタ４１は相互に同一構成であり、ｍ段（例えば２５６段）のイネーブル付きＦＦ４２を有する。シフトレジスタ４１の初段のイネーブル付きＦＦ４２には、ＥＸＯＲ３３の出力が入力される。イネーブル付きＦＦ４２は、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３（ｙは０～３）によって入力端のデータ取り込みが許可され、システムクロックＣＫに同期して入力端のデータを出力端から出力する。各イネーブル付きＦＦ４２は、出力を次段のイネーブル付きＦＦ４２の入力端に出力する。初段から最終段までのイネーブル付きＦＦ４２の出力が、乱数生成回路１の出力（乱数出力）の各ビット値となる。

図２及び図３は図１中のイネーブル付きＦＦ４２の具体的な構成の一例を示す回路図である。図２の例はイネーブル付きＦＦ４２をセレクタ４２ａ及びＦＦ４２ｂにより構成したものである。図３の例はイネーブル付きＦＦ４２をＤラッチ４３ａ、ＡＮＤ回路４３ｂ及びＦＦ４３ｃにより構成したものである。

図２において、セレクタ４２ａは、入力端（１）にイネーブル付きＦＦ４２への入力信号ＤＩＮが与えられ、入力端（０）にＦＦ４２ｂの出力が与えられる。セレクタ４２ａは、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３によって、入力信号ＤＩＮ又はＦＦ４２ｂの出力を選択してＦＦ４２ｂに出力する。イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３によってセレクタ４２ａの入力端（１）が選択される場合には、イネーブル付きＦＦ４２は、通常のＦＦとして機能する。また、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３によってセレクタ４２ａの入力端（０）が選択される場合には、イネーブル付きＦＦ４２は、出力を保持する。

後処理回路３０からは例えばシステムクロックＣＫの４クロックに１回１ビットのデータが出力される。イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３は、後処理回路３０の出力に対応するタイミングでセレクタ４２ａに後処理回路３０の出力を取り込ませる。これにより、各シフトレジスタ４１には、システムクロックＣＫの４クロック毎の後処理回路３０の出力が順次入力されて、各イネーブル付きＦＦ４２に転送される。こうして、例えば、システムクロックＣＫの１０２４クロックで、２５６段の１つのシフトレジスタ４１から２５６ビットの出力が得られる。後処理回路３０からの出力を取り込むシフトレジスタ４１をシフトレジスタ４１＿０，４１＿１，４１＿２，４１＿３で順次切換えることにより、各シフトレジスタ４１により、２５６×４＝１０２４ビットの乱数出力を得ることができる。

図３において、Ｄラッチ４３ａ及びＡＮＤ回路４３ｂにより、ゲーテッドクロックモジュールが構成される。このゲーテッドクロックモジュールは、システムクロックＣＫが“０”のタイミングでイネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３を取り込んで、取り込んだイネーブル信号が“１”だった場合に、次にシステムクロックＣＫが“１”になるタイミングで、ＡＮＤ回路４３ｂによりＦＦ４３ｃにシステムクロックＣＫを与える。これにより、ＦＦ４３ｃは、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３に指定される期間のシステムクロックＣＫによって、入力信号ＤＩＮを出力する。このように、図３の回路においても、図２と同様のイネーブル付きＦＦ４２を構成することができる。

本実施形態においては、各ＲＯユニット２０には、周期性検出回路２５及び乱数性テスト回路２６が設けられている。上述したように、システムクロックＣＫのクロック周期が倍数の関係に近い場合には、ＲＯユニット出力は固定値が続き易く、エントロピーは小さい値となる。周期性検出回路２５は、ＲＯユニット出力の周期性を検出して、検出結果に基づいて制御回路１０はＲＯ２１の発振周期を変化させる制御を行う。

図４は発振周期可変のＲＯ２１の具体的な構成の一例を示す回路図である。

図４において、ＲＯ２１は、ＮＯＲ回路Ｎ１、ＥＸＯＲ２７、遅延素子ＩＮ１，ＩＮ２，ＩＮ３及びセレクタＳＥ１により構成される。セレクタＳＥ１には、端子（００）にＥＸＯＲ２７の出力が入力され、端子（０１）に遅延素子ＩＮ１の出力が入力され、端子（１０）に遅延素子ＩＮ２の出力が入力され、端子（１１）に遅延素子ＩＮ３の出力が入力される。セレクタＳＥ１は、制御回路１０からの例えば２ビットの選択信号ＳＥＬ［１：０］の（００）、（０１）、（１０）又は（１１）によって、それぞれ端子（００）、端子（０１）、端子（１０）又は端子（１１）の入力を選択して出力する。セレクタＳＥ１の出力はＮＯＲ回路Ｎ１の一方入力端に供給されると共に、ＲＯ２１の出力としてＦＦ２２に供給される。ＮＯＲ回路Ｎ１の他方入力端には、制御回路１０からの信号ＩＮＩＴが入力される。ＥＸＯＲ２７は、一方入力端にＮＯＲ回路Ｎ１の出力が入力され、他方入力端に制御回路１０からの信号ＳＴＯＰが入力される。

ＮＯＲ回路Ｎ１は、信号ＩＮＩＴが“０”の場合にはインバータとして機能し、信号ＩＮＩＴが“１”の場合には、出力が“０”に固定される。また、ＥＸＯＲ２７は、信号ＳＴＯＰが“０”の場合には入力をそのまま出力し、信号ＳＴＯＰが“１”の場合にはインバータとして機能する。

いま、信号ＩＮＩＴが“０”であり、信号ＳＴＯＰが“０”であるものとする。この場合には、ＥＸＯＲ２７は、ＮＯＲ回路Ｎ１の出力をそのまま出力する。いま、セレクタＳＥ１が端子（００）を選択しているものとすると、ＮＯＲ回路Ｎ１の出力は、ＥＸＯＲ２７及びセレクタＳＥ１を介してＮＯＲ回路Ｎ１の一方入力端に供給されることになり、ＲＯ２１は１段のインバータにより構成されて、特定の周期で発振する。ここで、発振周期は動作温度や電圧以外に、回路の製造プロセスや使用回路の駆動能力、回路の接続に使用される配線幅や配線長、その他、製造ばらつきなどにも依存する。なお、信号ＳＴＯＰが“１”の場合には、ＥＸＯＲ２７はインバータとして機能するので、ＲＯ２１は２段のインバータにより構成されることになり発振を停止する。また、信号ＩＮＩＴが“１”になると、ＮＯＲ回路Ｎ１は固定値を出力することになり、ＲＯ２１は発振を停止する。

即ち、信号ＳＴＯＰは、“１”で発振停止、“０”で発振を制御するものである。また、信号ＩＮＩＴは、“１”でＲＯ発振出力の初期化と停止を制御し、通常動作時は“０”である。

セレクタＳＥ１が端子（０１）を選択すると、ＮＯＲ回路Ｎ１、ＥＸＯＲ２７及びＳＥ１のループ中に１段の遅延素子が挿入されることになり、ＲＯ２１の発振周期が長くなる。また、セレクタＳＥ１が端子（１０）を選択すると、ＮＯＲ回路Ｎ１、ＥＸＯＲ２７及びＳＥ１のループ中に２段の遅延素子が挿入されることになり、ＲＯ２１の発振周期が更に長くなる。更に、セレクタＳＥ１が端子（１１）を選択すると、ＮＯＲ回路Ｎ１、ＥＸＯＲ２７及びＳＥ１のループ中に３段の遅延素子が挿入されることになり、ＲＯ２１の発振周期が最も長くなる。

例えば、システムクロックＣＫの周期（以下、システムクロック周期という）が１２０ｎｓであり、選択信号ＳＥＬ［１：０］＝（００）をセレクタＳＥ１に与えた場合のＲＯ発振周期が１０ｎｓであるものとする。また、選択信号ＳＥＬを１段階変えてＮＯＲ回路Ｎ１、ＥＸＯＲ２７及びＳＥ１のループ中の遅延素子の個数を１個増加させると、ＲＯ発振周期が２ｎｓ長くなるものとする。即ち、この場合には、選択信号ＳＥＬ［１：０］＝（０１）をセレクタＳＥ１に与えるとＲＯ発振周期は１２ｎｓとなり、選択信号ＳＥＬ［１：０］＝（１０）をセレクタＳＥ１に与えるとＲＯ発振周期は１４ｎｓとなり、選択信号ＳＥＬ［１：０］＝（１１）をセレクタＳＥ１に与えるとＲＯ発振周期は１６ｎｓとなる。

即ち、選択信号ＳＥＬ［１：０］＝（００），（０１）の場合には、システムクロック周期とＲＯ発振周期とは倍数の関係であるが、選択信号ＳＥＬ［１：０］＝（１０），（１１）の場合には、システムクロック周期とＲＯ発振周期とは倍数の関係にならない。つまり、選択信号ＳＥＬを変化させることで、システムクロック周期とＲＯ発振周期とが倍数の関係になることを防止することが可能である。

なお、図４ではＲＯ２１がＲＯ発振周期として４つの周期を発生可能な例を示したが、ＲＯ２１が発生可能な周期は４つに限定されるものではなく、適宜の数のＲＯ発振周期を発生可能に構成されていてもよい。

（周期性検出回路／乱数性テスト回路）
周期性検出回路２５は、ＲＯユニット出力について、例えば、以下の（ａ１），（ｂ１）の２つの条件を判定する周期性検出を実施する。周期性検出回路２５は、（ａ１），（ｂ１）のいずれか一方の条件を満足すると、ワーニング（Ｗａｒｎｉｎｇ）を制御回路１０に出力する。

（ａ１）同一論理の１ビットが連続１０回続いた場合
（ｂ１）同一論理の３ビットまたは同一論理の４ビットが連続２４クロック続いた場合
周期性検出回路２５からワーニングが出力されると、制御回路１０は、ＲＯ２１の発振周期を変化させる。これによりワーニングを解消できる場合がある。

乱数性テスト回路２６は、ＲＯユニット出力について、例えば、以下の（ａ２）～（ｃ２）の３つの条件を判定する乱数性テストを実施する。乱数性テスト回路２６は、（ａ２）～（ｃ２）のいずれか１つの条件を満足すると、エラー（Ｅｒｒｏｒ）を制御回路１０に出力する。

（ａ２）同一論理の１ビットが連続２１回続いた場合
（ｂ２）先頭ビットと同じ値が１０２４ビット中に、５８９回以上または４３５回以下で出現した場合
（ｃ２）同一論理の１０ビット、１２ビット、１４ビット、１６ビットが連続１５２クロック続いた場合
制御回路１０は、乱数を分割した分割乱数を生成するように各部を制御しており、乱数性テスト回路２６は、分割乱数の元となるＲＯユニット出力について乱数性テストを実施する。乱数性テスト回路２６により分割乱数の元となるＲＯユニット出力についての乱数性テストによりエラーが検出されると、制御回路１０は、当該エラーとなった分割乱数を再生成するようになっている。

ＲＯユニット２０のＲＯ２１に生じるジッター（ＲＯ発振周期のゆらぎやＲＯ発振出力の立ち上がり、立下りエッジのタイミングのゆらぎ）やＦＦ２２で発生するメタステーブルがエントロピーの発生源となるが、ＲＯ発振時などの発熱により、ＲＯ発振周期は変化する。ＲＯ発振周期の変化量が多いと、ＲＯ発振周期とシステムクロックＣＫのクロック周期が倍数の関係になる機会が増えて、ＲＯ発振周期とシステムクロックＣＫのクロック周期が倍数の関係に近い場合は、ＦＦ２３の出力に固定値が続き、ＦＦ２３からエントロピーを得にくくなり、乱数性テスト回路２６でもエラーが発生しやすくなる。本実施形態においては、乱数生成を分割して乱数性テスト期間を短くすることで、発熱等の影響によるＲＯ発振周期変化の変化量を低減し、乱数性テストにおいてエラーを生じにくくし、エラーが発生しても当該エラーとなった分割乱数を再生成することで、高エントロピーの乱数を得るようになっている。

図５は上記（ａ１）又は（ａ２）の条件（同一論理の１ビットが連続Ｃ回）による周期性検出及び乱数性テストを可能にする周期性検出回路２５及び乱数性テスト回路２６の回路構成の一例を示す回路図である。

図５において、ｘはＲＯユニット出力であり、ｅｎ１ｓｔは、周期性検出／乱数性テスト開始時に１クロックだけ“１”となる信号であり、ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔは、周期性検出／乱数性開始後の次のクロックから、周期性検出／乱数性終了まで“１”となる信号である。また、ａは、ｘをＥＮ＝“１”（ｅｎ１ｓｔ＝“１”またはｘ＿ａ＿ｎｏｔ＿ｅｑｕａｌ＝“１”）で取り込んだ値であり、ｘ＿ａ＿ｎｏｔ＿ｅｑｕａｌは、ｘとａが異なる場合に“１”となる信号である。

周期性検出／乱数性テストの開始時にｅｎ１ｓｔが“１”となることによって、ＯＲ回路７０の出力により、入力されたｘは、ＦＦ７１に取り込まれてａとして比較器７２に出力される。比較器７２は、ｘとａとを比較して一致しているか否かの比較結果をＡＮＤ回路７３に出力する。ＡＮＤ回路７３にはｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔも入力されており、ｘ＝ａの場合には、ＡＮＤ回路７３からはシステムクロックＣＫ毎に“１”が出力される。同期カウンタ７５は、ＵＰに“１”が入力されると、保持している値に１を加算し、加算結果を比較器７６に出力する。

比較器７２の出力はインバータ７４にも与えられており、インバータ７４は、順次入力されるｘの論理値が変化することによって、“１”となるｘ＿ａ＿ｎｏｔ＿ｅｑｕａｌを出力する。ｘ＿ａ＿ｎｏｔ＿ｅｑｕａｌの“１”により、ＦＦ７１は、ｘを取り込んで比較器７２にａを出力する。また、同期カウンタ７５は、“１”のｘ＿ａ＿ｎｏｔ＿ｅｑｕａｌがＳＥＴ１に入力されると、保持している値を１に初期化する。こうして、同期カウンタ７５のカウント値は、ｘの論理が反転するまで増加することになる。

比較器７６は設定値Ｃが与えられており、同期カウンタ７５のカウント値、即ち、同一論理が連続する数が設定値に到達すると、“１”を出力する。設定値Ｃは、周期性検出回路２５では例えば１０とし、乱数性テスト回路２６では、２１とする。

比較器７６の“１”出力は、ＯＲ回路７７を介してＡＮＤ回路７８の一方入力端に与えられる。ＡＮＤ回路７８の他方入力端にはインバータ８０を介してｅｎ１ｓｔの反転信号が入力され、ＡＮＤ回路７８は、周期性検出／乱数性テストの開始後において、ＯＲ回路７７からの１出力をＦＦ７９に出力する。ＦＦ７９は、ＡＮＤ回路７８からの“１”出力をシステムクロックＣＫの立ち上がりエッジのタイミングで、エラー（Ｅｒｒｏｒ）又はワーニング（ｗａｒｎｉｎｇ）として出力する。なお、ＦＦ７９の出力は、ｅｎ１ｓｔが“１”となるまで保持される。即ち、ＦＦ７９の出力は、上記（ａ１）又は（ａ２）の条件によるワーニング（ｗａｒｎｉｎｇ）又はエラー（Ｅｒｒｏｒ）出力を示す。

図６は上記（ｂ２）の条件による乱数性テストを可能にする乱数性テスト回路２６の回路構成の一例を示す回路図である。図６において図５と同一の構成要素及び同一の信号には同一符号を付して説明を省略する。

図６において、ｅｎｌａｓｔ＿ｐ１は、周期性検出／乱数性テスト終了後に１クロックだけ“１”となる信号である。周期性検出／乱数性テストの開始時にｅｎ１ｓｔが“１”となることによって、入力されたｘはＦＦ７１に取り込まれてａ（先頭ビットの値）として比較器７２に出力される。比較器７２は、ａ（先頭ビットの値）と入力されるｘとを比較し、ｘが先頭ビットと同一論理の場合に“１”をＡＮＤ回路７３を介して同期カウンタ７５に出力する。

同期カウンタ７５は、ＵＰに“１”が入力されると、保持している値に１を加算し、加算結果を比較器７６に出力する。同期カウンタ７５は、“１”のｅｎ１ｓｔがＳＥＴ１に入力されると、保持している値を１に初期化する。こうして、同期カウンタ７５のカウント値は、周期性検出／乱数性テストの開始時の先頭ビットの論理値と同じ論理値のビット数を示すものとなる。

同期カウンタ７５の出力は比較器８２，８３に与えられる。比較器８２は、同期カウンタ７５のカウント値と設定値Ｃ１とを比較し、カウント値が設定値Ｃ１以上になると“１”をＯＲ回路７７に出力する。また、比較器８３は、同期カウンタ７５のカウント値と設定値Ｃ２とを比較し、カウント値が設定値Ｃ２以下になると“１”をＯＲ回路７７に出力する。ＯＲ回路７７は、２入力の少なくとも一方が“１”になると、“１”をＦＦ８４に出力する。設定値Ｃ１は５８９とし、設定値Ｃ２は４３５とする。ＦＦ８４は、ＯＲ回路７７からの“１”出力を、ｅｎｌａｓｔ＿ｐ１が“１”の期間にシステムクロックＣＫの立ち上がりエッジのタイミングで、エラー（Ｅｒｒｏｒ）として出力する。即ち、ＦＦ８４の出力は、上記（ｂ２）の条件によるエラー（Ｅｒｒｏｒ）出力を示す。

図７及び図８は上記（ｂ１）又は（ｃ２）の条件（同一論理のｎビットがＴクロック連続）による周期性検出及び乱数性テストを可能にする周期性検出回路２５及び乱数性テスト回路２６の回路構成の一例を示す回路図である。図７及び図８において図５と同一の構成要素及び同一の信号には同一符号を付して説明を省略する。周期性検出回路２５及び乱数性テスト回路２６の回路は、図７及び図８に示す回路を含む。

図７はシフトレジスタを示している。図７のシフトレジスタは縦続接続された２ｎ個のＦＦを含む。これらのＦＦは、入力を次段のＦＦに出力する。各ＦＦの出力は、Ｒ１［Ｘ］、Ｒ２［Ｘ］（Ｘは０～ｎ－１）である。初段のＦＦにはＲＯユニット出力ｘが入力される。初段からｎ個のＦＦは、ＲＯユニット出力をｎシステムクロックＣＫだけ順次シフトさせ、第ｎ段からｎ個のＦＦは、第ｎ－１段の出力Ｒ１［ｎ－１］をｎシステムクロックＣＫだけ順次シフトさせる。従って、Ｒ１［Ｘ］とＲ２［Ｘ］とは、ｎビットずれたＲＯユニット出力を示している。

図８は複数の比較器７２＿０，７２＿１，…，７２＿ｎ（以下、これらの比較器を代表して比較器７２という）を含む。比較器７２＿０にはＲ１［０］とＲ２［０］とが入力される。また、比較器７２＿１には、Ｒ１［１］とＲ１［２］とが入力される。同様に、比較器７２には、Ｒ１［Ｘ］とＲ２［Ｘ］とが入力される。各比較器７２は、２入力の論理が一致している場合に“１”をＡＮＤ回路８１に出力する。ＡＮＤ回路８１は、全比較器７２の出力が“１”の場合に“１”を出力する。即ち、ＡＮＤ回路８１は、連続するＲＯユニット出力のｎビットが同一論理であると共に、連続するＲＯユニット出力のｎビット同士が同一論理である場合には“１”を出力する。即ち、ＡＮＤ回路８１の出力の“１”は、同一論理のｎビットが連続した状態を示す。

ＡＮＤ回路８１の出力はｄｅｔ信号としてＡＮＤ回路８５及びインバータ８６に与えられる。ＡＮＤ回路８５は、ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔが“１”になった以降において、ＡＮＤ回路８１の出力を同期カウンタ７５に与える。インバータ８６は、ＡＮＤ回路８１の出力を反転させてＯＲ回路８７に出力する。ＯＲ回路８７は、周期性検出／乱数性テスト開始時に１クロックだけ“１”となる信号ｅｎ１ｓｔとインバータ８６の出力の論理和をＡＮＤ回路７８のＳＥＴ１端子に出力する。これにより、同期カウンタ７５は、周期性検出／乱数性テストの開始後に、ＡＮＤ回路８１の出力の“１”により初期化されて、ＡＮＤ回路８５の“１”をカウントアップする。

こうして、同期カウンタ７５は、ＲＯユニット出力の同一論理のｎビットが連続何クロック続いたかを示すカウント値を出力する。同期カウンタ７５の出力は比較器７６に供給される。比較器７６は設定値Ｔ－２ｎが与えられており、同期カウンタ７５のカウント値、即ち、同一論理のｎビットが連続するクロック数が設定値に到達すると、“１”を出力する。比較器７６の出力がＯＲ回路７７及びＡＮＤ回路７８を介してＦＦ７９から出力される。即ち、ＦＦ７９からは、上記（ｂ１）又は（ｂ３）の条件によるワーニング（ｗａｒｎｉｎｇ）又はエラー（Ｅｒｒｏｒ）出力が出力される。

なお、同一論理の３ビットが連続２４クロック続くことを検出する場合には、ｎ＝３、Ｔ＝２４とし、同一論理の４ビットが連続２４クロック続くことを検出する場合には、ｎ＝４、Ｔ＝２４とし、同一論理の１０ビットが連続１５２クロック続くことを検出する場合には、ｎ＝１０、Ｔ＝１５２とし、同一論理の１２ビットが連続１５２クロック続くことを検出する場合には、ｎ＝１２、Ｔ＝１５２とし、同一論理の１４ビットが連続１５２クロック続くことを検出する場合には、ｎ＝１４、Ｔ＝１５２とし、同一論理の１６ビットが連続１５２クロック続くことを検出する場合には、ｎ＝１６、Ｔ＝１５２として、各部を構成すればよい。

全ての周期性検出及び乱数性テストを実施する場合には、単純には６通りの構成を実装すればよいが、シフトレジスタはｎ＝１６（ＦＦは３２個）用の構成があれば、共用可能である。また、同期カウンタ７５についても、先に１になったｄｅｔ信号を優先することにより共用可能である。

乱数生成の開始時には、制御回路１０は、先ず、セレクタ２４に端子（０）を選択させる。これにより、ＲＯ２１ａの出力に基づくＲＯユニット出力について周期性検出回路２５による周期性検出が実施される。周期性検出回路２５からワーニングが発生すると、制御回路１０はＳＥＬ［１：０］の値を＋１する。周期性検出で４回のワーニングが発生すると、制御回路１０はＳＥＬ［１：０］の値を“０”にし、選択信号Ｓｅｌｅｃｔによりセレクタ２４に端子（１）を選択させる。これにより、以後、ＲＯ２１ｂの出力に基づくＲＯユニット出力について周期性検出回路２５による周期性検出が実施される。選択信号ＳｅｌｅｃｔをＳＥＬ［２］とすると、制御回路１０は、ワーニング発生でＳＥＬ［２：０］の値を＋１する動作を行うことになる。

制御回路１０は、ＲＯユニット２０からエラーが発生すると、リトライカウンタ５０にエラー回数をカウントさせる。リトライカウンタ５０は、エラー回数をカウントし、カウント結果を比較器６０に出力する。比較器６０は、リトライカウンタ５０のカウント結果が所定の閾値を超えると、乱数生成にエラーが生じたことを示すエラー出力（エラー通知）を図示しないホスト装置等の上位システムに出力する。

（作用）
次に、このように構成された実施形態の動作について図９から図１５を参照して説明する。図９は本実施形態の動作を説明するためのフローチャートである。図１０は本実施形態の動作タイミングを示すタイミングチャートである。

本実施形態においては、１０２４ビットの乱数出力を各２５６ビットずつの４つの分割乱数に分割して生成する例について説明する。後処理回路３０は４クロックで１ビットを出力するので、ＲＯユニット２０から１０２４ビットのＲＯユニット出力が出力されることで、１つの分割乱数が生成される。

（概要）
図１０は１０２４ビットの乱数出力を得るまでの動作タイミングを示している。なお、図１０の例は、乱数性テストの結果、エラーが発生していないと判定された場合を示している。図１０では図示しないホスト装置等の上位システムから供給される乱数生成の開始を指示するスタート信号（ＳＴＡＲＴ）及び制御回路１０から出力されるビジー信号（ＢＵＳＹ）に対応させて各動作のタイミングを矢印の期間によって示している。

スタート信号のパルスによって、乱数生成が開始される。先ず、２５６クロック（以下、クロックはシステムクロックＣＫを示す）の助走期間において、７回の周期性検出が実施される。助走期間が終了すると、１０２４クロックの期間で出力される１０２４ビットのＲＯユニット出力を用いて２５６ビットの分割乱数が生成されると共に乱数性テストが実施される。次の３４クロックで乱数性テストのエラーチェック及び周期性検出等が行われる。以後、分割乱数の生成及びエラーチェック等が３回繰返されて、１０２４ビットの乱数出力が得られる。

（助走期間）
図９において、制御回路１０は、スタート信号のパルスが入力されると、シフトレジスタ群４０を制御するイネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３のｙを先ずｙ＝０とする（Ｓ１）。次に、制御回路１０は、助走期間を実施する（Ｓ２）。

（周期性検出）
高エントロピーの乱数出力を得るためには、システムクロック周期とＲＯ発振周期とが倍数の関係にならないようにする必要がある。そこで、乱数生成の前に２５６クロックの助走期間を設けて、ＲＯ発振周期を調整する。図４の例では、ＲＯ２１ａ，２１ｂはそれぞれ発振周期を４つの周期に設定可能である。従って、ＲＯ発振周期を最大７回切り替えることで、ＲＯ２１により発生可能なＲＯ発振出力に基づくＲＯユニット出力の周期性テストを行うことができる。このＲＯ発振周期の変更に用いる選択信号ＳＥＬとして３ビットの選択信号ＳＥＬ［２：０］を用い、下位２ビットの選択信号ＳＥＬ［１：０］をＲＯ２１の周期変更に用い、上位１ビットの選択信号ＳＥＬ［２］をセレクタ２４の切り替えに用いる。

具体的には、制御回路１０は、ＲＯ２１ａに対する選択信号ＳＥＬ［１：０］を（００）から（０１），（１０），（１１）に順次切換え、また、ＲＯ２１ｂに対する選択信号ＳＥＬ［１：０］を（００）から（０１），（１０），（１１）に順次切換える。なお、ＲＯ２１ｂに対する最後の選択信号ＳＥＬ［１：０］＝（１１）を設定した場合には、以後切り替えるべき周期が存在しないので、この選択信号ＳＥＬ［１：０］＝（１１）に基づくＲＯ発振周期のＲＯ発振出力が以後の分割乱数の生成に用いられる。

図１１は周期性検出時のタイミングチャートを示している。図１１は、選択信号ＳＥＬ［２：０］、信号ＩＮＩＴ、信号ＰＤＥＴ＿ｅｎ１ｓｔ及び信号ＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔを示している。なお、図１１では、周期性検出回路２５に供給される図５及び図８の信号ｅｎ１ｓｔ及びｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔをそれぞれ信号ＰＤＥＴ＿ｅｎ１ｓｔ及び信号ＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔとして示している。

制御回路１０は、スタート信号のパルスの入力によって、信号ＩＮＩＴを“０”から“１”にして、ＲＯ発振出力を初期化した後、信号ＩＮＩＴを“０”に戻す。制御回路１０はこの初期化後の最初の４クロックは助走期間として待機する。次に、制御回路１０は、周期性検出開始を示すｅｎ１ｓｔを１クロックだけ“１”にした後、信号ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔを周期性検出開始の次のクロックから、周期性検出終了まで“１”にする。周期性検出回路２５は、これらの信号が入力されて、周期性検出を実施する。図１１の例では、周期性検出回路２５は、２４クロックで周期性検出を行い、次の３クロックで条件を満足するか否かの判定と、制御回路１１への判定結果通知を行う。こうして、周期性検出回路２５は、３２クロックで１回の周期性検出を行う。

周期性検出回路２５から周期性検出の結果のワーニングが制御回路１０に供給された場合には、制御回路１０は、選択信号ＳＥＬ［２：０］を＋１する。例えば、スタート信号のパルス入力直後は、選択信号ＳＥＬ［２：０］＝（０００）であり、ワーニングが発生する毎に選択信号ＳＥＬ［２：０］は、（００１），（０１０），（０１１），…と変化する。こうして、ワーニングが発生すると、ＲＯ２１のＲＯ発振周期が切り替わる。なお、例えば、スタート信号のパルス入力直後はセレクタ２４には選択信号Ｓｅｌｅｃｔ（ＳＥＬ［２］＝（０））が供給されてＲＯ２１ａからのＦＦ２３出力が選択されるが、４回目のワーニングの発生によって、制御回路１０は選択信号ＳＥＬ［２］＝（１）に変更してＲＯ２１ｂからのＦＦ２３出力を選択する。なお、この場合には、以後、乱数生成が終了するまで、選択信号Ｓｅｌｅｃｔ［２］は（１）のままとなる。

ワーニングの有無に拘わらず、周期性検出は７回実施される。制御回路１０は７回の周期性検出が終了すると、３２クロックの待機期間の後、乱数生成及び乱数性テストに移行する（Ｓ３）。

（分割乱数生成及び乱数性テスト）
図１２は乱数性テスト時のタイミングチャートを示している。図１２は、信号ＲＴＥＳＴ＿ｅｎ１ｓｔ、信号ＲＴＥＳＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔ及びＲＴＥＳＴ＿ｅｎｌａｓｔ＿ｐ１を示している。なお、図１２では、周期性検出回路２６に供給される図５、図６及び図８の信号ｅｎ１ｓｔ、信号ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔ及びｅｎｌａｓｔ＿ｐ１をそれぞれ信号ＲＴＥＳＴ＿ｅｎ１ｓｔ、信号ＲＴＥＳＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔ及びＲＴＥＳＴ＿ｅｎｌａｓｔ＿ｐ１として示している。

制御回路１０は、分割乱数生成及び乱数性テストの期間の開始時に、シフトレジスタ群４０を制御するイネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３のｙを先ずｙ＝０とする。１クロック毎にＲＯユニット出力は、後処理回路３０及び乱数性テスト回路２６に出力される。後処理回路３０のＦＦ３１及びＥＸＯＲ３２は、４クロック期間ＲＯユニット出力を加算して加算結果をＥＸＯＲ３３に出力する。ＥＸＯＲ３３は、全ＥＸＯＲ３２の出力を加算して出力する。ＥＸＯＲ３３からの出力は、４クロックに１回１ビットのデータとしてシフトレジスタ群４０に取り込まれる。従って、１０２４ビットのＲＯユニット出力によって、２５６ビットの分割乱数が生成される。ＥＸＯＲ３３からのデータ出力は、分割乱数として先ずシフトレジスタ４１＿０に記憶される。

図１３はシフトレジスタ群４０に供給されるイネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３を説明するためのタイミングチャートである。制御回路１０は、信号ＳＨＩＦＴＥＮｙが“１”の期間に、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３を発生する。制御回路１０は、信号ＳＨＩＦＴＥＮｙ＝１からシステムクロックＣＫで４クロックに１回のＳＨＩＦＴＥＮｙ＿ｐ０を発生させる。さらにＳＨＩＦＴＥＮｙ＿ｐ０をシステムクロックＣＫで１クロックずつ遅延させて、ＳＨＩＦＴＥＮｙ＿ｐ１，ＳＨＩＦＴＥＮｙ＿ｐ２，ＳＨＩＦＴＥＮｙ＿ｐ３を生成し、４クロックに１回発生するＳＨＩＦＴＥＮｙ＿ｐ３をシフトレジスタ群４０に供給する。上述したように、シフトレジスタ４１＿０～４の各イネーブル付きＦＦ４２は、それぞれ、イネーブル信号ＳＨＩＦＴＥＮ０＿ｐ３，ＳＨＩＦＴＥＮ１＿ｐ３，ＳＨＩＦＴＥＮ２＿ｐ３，ＳＨＩＦＴＥＮ３＿ｐ３の“１”によって、入力データを取り込んで出力する。

分割乱数生成及び乱数性テストの期間の開始時には、イネーブル信号ＳＨＩＦＴＥＮ０＿Ｐ３により、４クロックに１回、ＥＸＯＲ３３からのデータ出力は各イネーブル付きＦＦ４２に順次転送される。こうして、シフトレジスタ４１＿０において、２５６ビットの分割乱数が保持される。

分割乱数生成及び乱数性テストの期間の開始時には、図１２に示すように、制御回路１０は、乱数性テスト開始を示すｅｎ１ｓｔを１クロックだけ“１”にした後、信号ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔを乱数性テスト開始の次のクロックから、乱数性テスト終了まで“１”にする。１クロック毎にＲＯユニット出力は、乱数性テスト回路２６に入力される。乱数性テスト回路２６は、図１２に示す各信号が入力されて、乱数性テストを実施する。

即ち、乱数性テスト回路２６は、分割乱数を生成する１０２４ビットのＲＯユニット出力について乱数性テストを実施する。乱数性テスト回路２６は、図１０に示すように、ＲＯユニット出力１０２４ビットについての乱数テストの次の２クロックで乱数性テストの結果をチェックする（Ｓ４）。乱数性テストの結果がエラー無しであった場合（Ｓ４のＮＯ判定）には、制御回路１０は、ホスト装置等から要求されたビット数の乱数出力が生成されたか否かの終了条件を判定する（Ｓ７）。乱数性テストにエラーが無く、シフトレジスタ群４０の全てのシフトレジスタ４１に分割乱数が記憶された場合、即ち、ｙ＝３の場合には１０２４ビットの乱数出力が生成されており、終了条件を満足する（Ｓ７のＹＥＳ判定）ので、制御回路１０は処理を終了する（正常終了）。

乱数性テストにエラーが無く、終了条件を満足しない場合（Ｓ７のＮＯ判定）には、制御回路１０は、次のＳ８において、ｙをインクリメントした後、周期性検出を１回実施する。この場合には、図１０に示すように、エラーチェックの２クロック期間後の３２クロックにおいて、図１１の周期性検出が１回実施される。周期性検出においてワーニングが発生しない場合（Ｓ９のＮＯ判定）には、制御回路１０は、Ｓ３に処理を戻して、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３（ｙ＝１）を４クロックに１回“１”にして、次に生成される分割乱数をシフトレジスタ４１＿１に転送する。以後、同様の動作により、全てのシフトレジスタ４１に分割乱数を転送して、１０２４ビットの乱数出力を得る。一方、周期性検出において、ワーニングが発生した場合（Ｓ９のＹＥＳ判定）には、制御回路１０は、Ｓ２に移行して助走期間を実施して、次の乱数生成を実施する。なお、乱数性テストの結果のチェックの２クロック期間とこれに続く３２クロックの周期性検出の期間又は助走期間とにおけるＲＯユニット出力は乱数性テスト及び乱数出力には用いられない。

一方、乱数性テストの結果がエラー有りであった場合（Ｓ４のＹＥＳ判定）には、乱数性テスト回路２６は、エラーを制御回路１０に出力する。この場合には、制御回路１０は、リトライカウンタ５０にリトライカウンタのカウントアップを指示（Ｓ５）する。比較器６０は、リトライカウンタ５０のカウント値が上限に達したか否かを判定する（Ｓ６）。リトライカウンタ５０カウント値が上限に達していない場合（Ｓ６のＮＯ判定）には、制御回路１０は、Ｓ２に移行して助走期間を実施し、更に、分割乱数の生成と乱数性テストとを繰り返す。なお、この場合には、前回の乱数性テストにおいてエラー有りと判定された分割乱数については破棄し、新たに生成された分割乱数を乱数出力に用いる。リトライカウンタ５０のカウント値が上限に達した場合（Ｓ６のＹＥＳ判定）には、比較器６０は、リトライカウンタ５０の出力に基づいて、エラー出力（エラー通知）を発生して、乱数生成処理を終了する。なお、エラー出力は、ホスト装置等に供給される。

（動作の具体例）
次に、図１４及び図１５のタイミングチャートを参照して動作の具体例について説明する。図１４は助走期間における２回目の周期性検出においてワーニングが発生した場合の乱数生成を示すタイミングチャートである。また、図１５は助走期間における２回目の周期性検出においてワーニングが発生し、更に、１つ目の分割乱数を生成するＲＯユニット出力に対する乱数性テストによってエラーが発生した場合の乱数生成を示すタイミングチャートである。なお、図１４及び図１５における信号名は、上記説明における信号名と同様である。なお、イネーブル信号ＳＨＩＦＴＥＮｙ＿ｐ３をイネーブル信号ＳＨＩＦＴＥＮｙ（ｙ＝０～３）と表記する。また、周期性検出回路２５からのワーニングは、ＰＤＥＴ＿ｗａｒｎｉｎｇと表記し、乱数性テスト回路２６からのエラーは、ＲＴＥＳＴ＿ｅｒｒｏｒと表記する。また、リトライカウンタ５０のカウント値の上限値を超えた場合の比較器６０からのエラーは、ＲＮＧ＿ＥＲＲＯＲと表記し、分割乱数を含む乱数出力は、ＲＮＧ＿ＯＵＴ［１０２３：０］と表記する。

図１４において、スタート信号（ＳＴＡＲＴ）のパルス入力の後、信号ＩＮＩＴによりＲＯ発振出力が初期化され、選択信号ＳＥＬ［２：０］＝（０００）により、ＲＯ２１ａのＲＯ発振周期が設定される。ＰＤＥＴ＿ｅｎ１ｓｔにより周期性検出が開始され、ＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔの“１”の期間に周期性検出が実施される。図１４に示すように、ワーニングの発生の有無に拘わらず、３２×７クロックの助走期間において、７回の周期性検出が実施される。

図１４の例では、２回目の周期性検出の後、周期性検出回路２５からワーニング（ＰＤＥＴ＿ｗａｒｎｎｉｎｇ）が発生したことを示している。これにより、選択信号ＳＥＬ［２：０］が（００１）に変化し、ＲＯ２１ａのＲＯ発振周期が変更される。以後、助走期間においては、周期性検出回路２５からのワーニングは発生しておらず、選択信号ＳＥＬ［２：０］＝（００１）に基づくＲＯ発振周期のＲＯ発振出力が乱数生成に用いられる。

助走期間から３２クロックの後、ＲＴＥＳＴ＿ｅｎ１ｓｔにより乱数性テストが開始され、ＲＴＥＳＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔの“１”の期間、ＲＴＥＳＴ＿ｅｎｌａｓｔ＿ｐ１による乱数性テストの終了までの期間において、分割乱数生成及びこの分割乱数を生成するＲＯユニット出力に対する乱数性テストが実施される。

図１４の例では、乱数性テスト回路２６からはエラーは発生しておらず、分割乱数生成及び乱数性テスト後において、ＰＤＥＴ＿ｅｎ１ｓｔ及びＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔによる１回の周期性検出が実行される。以後、分割乱数生成及び乱数性テストと周期性検出が繰り返される。４回目の分割乱数生成時の乱数性テストに対してエラーが発生していないことから、図１４の例では乱数生成が終了し、ビジー信号（ＢＵＳＹ）が“０”となる。こうして、図１４の例では、２５６ビットの分割乱数が４回生成されて、１０２４ビット乱数出力が得られる。

図１５において、助走期間の動作は図１４と同じである。また、図１４と同様に、助走期間から３２クロックの後、ＲＴＥＳＴ＿ｅｎ１ｓｔにより乱数性テストが開始され、ＲＴＥＳＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔの“１”の期間、ＲＴＥＳＴ＿ｅｎｌａｓｔ＿ｐ１による乱数性テストの終了までの期間において、分割乱数生成及びこの分割乱数を生成するＲＯユニット出力に対する乱数性テストが実施される。

図１５の例では、１つ目の分割乱数生成時の乱数性テストのエラーチェックの結果、乱数性テスト回路２６からＲＴＥＳＴ＿ｅｒｒｏｒが発生したことを示している。制御回路１０は、このＲＴＥＳＴ＿ｅｒｒｏｒを受信すると、再度助走期間を設定する。即ち、図１５に示すように、制御回路１０は、信号ＩＮＩＴによりＲＯ発振出力を初期化し、選択信号ＳＥＬ［２：０］＝（０００）により、セレクタ２４の端子（０）を選択すると共に、ＲＯ２１ａのＲＯ発振周期を初期の状態に戻す。制御回路１０は、ＰＤＥＴ＿ｅｎ１ｓｔにより周期性検出を開始し、ＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔの“１”の期間に周期性検出を実施する。図１５に示すように、ワーニングの発生の有無に拘わらず、３２×７クロックの助走期間において、７回の周期性検出が実施される。

図１５の例では、７回目の周期性検出の期間、周期性検出回路２５からワーニング（ＰＤＥＴ＿ｗａｒｎｎｉｎｇ）は発生しておらず、ＲＯ２１ａのＲＯ発振周期は変更されていない。従って、選択信号ＳＥＬ［２：０］＝（０００）に基づくＲＯ発振周期のＲＯ発振出力が乱数生成に用いられる。

助走期間から３２クロックの後、ＲＴＥＳＴ＿ｅｎ１ｓｔにより乱数性テストが開始され、ＲＴＥＳＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔの“１”の期間、ＲＴＥＳＴ＿ｅｎｌａｓｔ＿ｐ１による乱数性テストの終了までの期間において、分割乱数生成及びこの分割乱数を生成するＲＯユニット出力に対する乱数性テストが実施される。なお、この場合には、前回エラーとなった１つ目の分割乱数を破棄し、新たな１つ目の分割乱数の生成及びこの分割乱数を生成する１０２４ビットのＲＯユニット出力に対する乱数性テストが行われる。

図１５の例では、以後、乱数性テスト回路２６からはエラーは発生しておらず、分割乱数生成及び乱数性テスト後において、ＰＤＥＴ＿ｅｎ１ｓｔ及びＰＤＥＴ＿ｅｎ２ｎｄ＿ｔｏ＿ｌａｓｔによる１回の周期性検出が実行される。そして、分割乱数生成及び乱数性テストと周期性検出が繰り返される。４回目の分割乱数生成時の乱数性テストに対してエラーが発生していないことから、図１５の例では乱数生成が終了し、ビジー信号（ＢＵＳＹ）が“０”となる。こうして、図１５の例においても、２５６ビットの分割乱数が４回生成されて、１０２４ビット乱数出力が得られる。

図１５の例では１つ目の分割乱数生成時の乱数性テストにおいてエラーが発生したので１つ目の分割乱数生成から再開したが、乱数性テストにおいてエラーが発生した分割乱数について分割乱数生成を再開すればよい。例えば、３つ目の分割乱数生成時の乱数性テストにおいてエラーが発生した場合には、再度３つ目の分割乱数生成から乱数生成を行えばよい。なお、乱数性テストのエラー発生毎にリトライカウンタ５０のカウント値がカウントアップされ、カウント値が上限に達すると乱数生成にエラーが発生したことを示すＲＮＧ＿ＥＲＲＯＲが発生して、乱数生成は終了する。

このように本実施形態においては、乱数を所定ビット数の分割乱数に分割して生成し、ＲＯユニット内に乱数性テスト回路を設けて、分割乱数を生成するＲＯユニット出力に対して乱数性テストを実施する。分割乱数は、分割しなかった場合の乱数生成時間よりも短時間で生成されることから、発熱等の影響によるＲＯ発振周期変化の変化量を制限することができ、乱数性テストのエラー発生を低減し、高いエントロピー値の乱数を得ることができる。また、分割乱数の生成毎に周期性検出を実施していることから、高エントロピーを得やすいＲＯ発振周期に設定変更を行うことができる。また、乱数性テストのエラーが生じた場合でもエラーを回避するＲＯ発振周期の設定が可能であるので、発熱等の影響によるＲＯ発振周期変化で偶発的に乱数性テストのエラーが生じた場合において、乱数性テストのエラーカウント数が上限値に到達するまで上位システムに対するエラー通知を行わないことにより、乱数生成の効率化を図ることができる。また、乱数性テストのエラーカウント数が上限値に達した場合には、故障として上位システムに通知することが可能である。また、ＲＯとして主発振回路用とバックアップ発振回路用の２系統を設けているので、故障や劣化に対し、信頼性が高いという効果もある。

本発明は、上記実施形態に限定されるものではなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、上記実施形態には種々の段階の発明が含まれており、開示される複数の構成要件における適当な組み合わせにより種々の発明が抽出され得る。例えば、実施形態に示される全構成要件からいくつかの構成要件が削除されても、発明が解決しようとする課題の欄で述べた課題が解決でき、発明の効果の欄で述べられている効果が得られる場合には、この構成要件が削除された構成が発明として抽出され得る。

１…乱数生成回路、１０…制御回路、２０…ＲＯユニット、２１，２１ａ，、２１ｂ…ＲＯ、２２，２２ａ，２２ｂ，２３，２３ａ，２３ｂ，３１…ＦＦ、２４…セレクタ、２５…周期性検出回路、２６…乱数性テスト回路、２７，３２，３３…ＥＸＯＲ、３０…後処理回路、４０…シフトレジスタ群、４１…シフトレジスタ、４２…イネーブル付きＦＦ、５０…リトライカウンタ、６０…比較器。

Claims (6)

1. リングオシレータの発振出力を第１クロックを用いて取り込んで乱数値を発生するサンプリング回路と、
   前記サンプリング回路出力の周期性を検出する周期性検出回路と、
   前記サンプリング回路出力の乱数性テストを行う乱数性テスト回路と、
   前記周期性検出回路の検出結果に基づいて前記発振出力の発振周期を変更すると共に、前記乱数出力を複数の分割乱数に分割して前記分割乱数毎に乱数生成を行い、前記分割乱数の生成毎に前記乱数性テストを実行させる制御回路と、
   を具備する乱数生成回路。
2. 前記制御回路は、
   前記分割乱数の生成毎に前記乱数性テストを実行した結果エラーの発生を検出した場合には、前記周期性検出回路の検出結果に基づいて前記発振周期を変更した後、前記エラーの対象となった前記分割乱数を破棄して新たに前記分割乱数の生成及び前記乱数性テストを実行させる、
   請求項１に記載の乱数生成回路。
3. 前記制御回路は、
   前記乱数性テストの前に、前記周期性の１回以上の検出を行い、検出結果に基づいて前記発振周期を変更する、
   請求項１又は２に記載の乱数生成回路。
4. 前記制御回路は、前記分割乱数の生成毎に前記乱数性テストを実行した結果エラーの発生を検出した場合には、エラーの発生回数をカウントしカウント値が上限値に到達した場合にはエラー通知を発生するように制御する
   請求項２に記載の乱数生成回路。
5. 第１のリングオシレータと、
   第２のリングオシレータと、
   前記第１及び第２のリングオシレータの一方の発振出力を選択するセレクタと、
   前記セレクタからの前記発振出力を第１クロックを用いて取り込んで乱数値を発生するサンプリング回路と、
   前記サンプリング回路出力の周期性を検出する周期性検出回路と、
   前記サンプリング回路出力の乱数性テストを行う乱数性テスト回路と、
   前記周期性検出回路の検出結果に基づいて前記発振出力の発振周期を変更すると共に、前記乱数出力を複数の分割乱数に分割して前記分割乱数毎に乱数生成を行い、前記分割乱数の生成毎に前記乱数性テストを実行させる制御回路と、
   を具備する乱数生成回路。
6. 前記制御回路は、周期性検出回路の検出結果に基づいて前記セレクタを制御する、
   請求項５に記載の乱数生成回路。
   

Images