JP2830842B2

JP2830842B2 - 擬似乱数発生装置

Info

Publication number: JP2830842B2
Application number: JP8142057A
Authority: JP
Inventors: 道雄島田
Original assignee: Nippon Electric Co Ltd
Current assignee: NEC Corp
Priority date: 1996-06-05
Filing date: 1996-06-05
Publication date: 1998-12-02
Anticipated expiration: 2016-06-05
Also published as: JPH09325881A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は擬似乱数発生装置に
関し、特に通信システムや計算機システムにおいて採用
され、許可されていない者が不正に情報を取得すること
等を防止するために、情報に擬似乱数を排他的論理和で
加算して暗号に変換したり暗号に擬似乱数を排他的論理
和で加算して元の情報を復元するストリーム暗号装置等
に用いられる擬似乱数発生装置に関する。

【０００２】

【従来の技術】従来から広く知られている暗号として、
ストリーム暗号と呼ばれるものがある。これは、擬似乱
数発生装置によって生成される擬似乱数系列と、送信す
る情報系列との排他的論理和を、暗号系列として送信す
るものである。なお、一般的には、情報系列が“０００
０・・・”であっても不正解読ができないように、スト
リーム暗号が設計される。情報系列が“００００・・
・”の場合には、ストリーム暗号の出力する暗号系列か
ら情報系列を不正解読することと、擬似乱数から擬似乱
数発生装置の内部状態を推定することとは等価である。
このため、以下では、「ストリーム暗号が不正解読され
るという代わりに、単に「擬似乱数発生装置が不正解読
される」ということもある。

【０００３】また、従来から広く知られている擬似乱数
発生装置として、複数の線形フィードバック・シフトレ
ジスタ（ＬｉｎｅａｒＦｅｅｄｂａｃｋＳｈｉｆｔ
Ｒｅｇｉｓｔｅｒ；以下、ＬＦＳＲと略す）の出力す
る擬似乱数を、結合関数と呼ばれる非線形関数によって
非線形結合して、より非線形性の高い擬似乱数を生成す
る方法がある。ここで、非線形結合とは線形結合ではな
い結合のことであり、ビットｘ₁，…，ｘ_n（ｎは正の
整数、以下同じ）の線形結合とはｙ＝ｘ₁＋ｘ₂＋…ｘ
_nやｙ＝ｘ₁＋ｘ₂＋…ｘ_n＋１など、排他的論理和＋
だけを使ってビットｙを与えることである。言い換える
と、、ビットｘ₁，…，ｘ_nの非線形結合とは、ｙ＝ｘ
₁＊ｘ₂＋ｘ₂＊ｘ₃＋…＋ｘ_n＊ｘ₁等、論理積＊と
排他的論理和＋との両方を使ってビットｙを与えること
であり、ｙを与える式をどのように変形しても線形結合
に帰着しないようなものである。また、非線形結合の非
線形性とは、ｙを与える式の次数のことであり、式の次
数が大きいほど非線形性が高いといわれる。なお、当然
のことながら、結合関数の入力を増やせば増やすほど、
非線形性の高い非線形結合が実現可能になる。

【０００４】図６は、従来の擬似乱数発生装置の構成を
示すブロック図である。図において、ｎ個のＬＦＳＲ５
０１−１〜５０１−ｎは、入力端子５１１に“０”が供
給されているときには、入力端子５１０にパスが入力さ
れると、入力端子５１２から供給される初期状態と呼ば
れるビット系列を、内部状態として保持する。なお、そ
れぞれのＬＦＳＲ５０１−１〜５０１−ｎには、一般に
はＬＦＳＲ毎に異なった初期状態が供給される。また、
ＬＦＳＲ５０１−１〜５０１−ｎは、入力端子５１１に
“１”が供給されているときには、入力端子５１０にパ
ルスが１個入力される毎に、擬似乱数を出力する。ｎ個
のＬＦＳＲ５０１−１〜５０１−ｎの出力する擬似乱数
は、結合関数回路５０２に入力され、結合関数回路５０
２の出力が、擬似乱数として出力端子５１３から出力さ
れる。

【０００５】なお、図６の擬似乱数発生装置に、擬似乱
数を発生させるには、次のようにする。まず、入力端子
５１２に初期状態を供給する。次に、入力端子５１１に
“０”を供給して、入力端子５１０にパルス（あるいは
クロックと呼ぶ）を１個入力する。そして、入力端子５
１１に“１”を供給する。すると、それ以降は、入力端
子５１０にパルスを１個入力する毎に、出力端子５１３
から擬似乱数が得られる。

【０００６】図７は、ＬＦＳＲ５０１−１〜５０１−ｎ
を示す機能ブロック図である。図において、シフトレジ
スタ６０１は、入力端子６１１に“０”が供給されてい
るときには、入力端子６１０にパルスが入力されると、
入力端子６１２から供給される初期状態と呼ばれるビッ
ト系列を、内部状態として保持する。また、シフトレジ
スタ６０１は、入力端子６１１に“１”が供給されてい
るときには、入力端子６１０にパルスが１個入力される
と、保持されているビット系列を右側に１ビットだけシ
フトして、排他的論理和回路６０２の出力をビット系列
の左端のビットとして保持する。なお、ビット系列の右
端に保持されていたビットは、保持されているビット系
列が右側に１ビットだけシフトされると、捨てられる。

【０００７】また、シフトレジスタ６０１に保持されて
いるビット系列は、出力端子６１３に供給されている。
排他的論理和回路６０２は、シフトレジスタ６０１に保
持されているビット系列のうち、予め決められた位置に
あるビットの排他的論理和を計算して、計算結果をシフ
トレジスタ６０１に供給する。排他的論理和回路６０２
の出力は、出力端子６１４にも供給されており、それが
擬似乱数として出力される。ＬＦＳＲ５０１−１〜５０
１−ｎの構造は全て同一であるが、シフトレジスタ６０
１の長さと、シフトレジスタ６０１に記憶されているビ
ットのうち排他的論理和回路６０２に供給されるビット
の位置は、一般に、ＬＦＳＲ毎に異なっている。なお、
入力端子６１０，６１１，６１２には、それぞれ図６の
入力端子５１０，５１１，５１２から入力される値が供
給されており、出力端子６１４の出力は図６の結合関数
５０２に供給されている。出力端子６１３の出力は、図
６においては、使われていない。

【０００８】結合関数回路５０２とは、入力されたビッ
トの非線形結合をとってその結果を出力する結合関数の
機能を持つものであり、論理関数回路やリード・オン・
メモリ（ＲＯＭ）あるいはそれらの組合わせによって表
現される。図８は、４入力の結合関数回路５０２の一例
を示す機能ブロック図である。これは、ｎ＝４とした擬
似乱数発生装置で使われるもので、４個のＬＦＳＲ５０
１−１〜５０１−４の出力する擬似乱数が、それぞれ入
力端子７０１−１〜７０１−４に供給される。

【０００９】論理積回路７０１は、入力端子７１０−１
に供給される値と入力端子７１０−２に供給される値の
論理積を計算して、その結果を出力する。論理積回路７
０２は、入力端子７１０−１に供給される値と入力端子
７１０−３に供給される値の論理積を計算して、その結
果を出力する。論理積回路７０３は、入力端子７１０−
２に供給される値と入力端子７１０−３に供給される値
の論理積を計算して、その結果を出力する。排他的論理
和回路７０４は、論理積回路７０１の出力と論理積回路
７０２の出力と論理積回路７０３の出力と入力端子７１
０−４に供給される値との排他的論理和を計算し、計算
結果を出力端子７１１から出力する。出力端子７１１の
出力は図６の出力端子５１３に供給されている。

【００１０】しかしながら、従来の擬似乱数発生装置の
ＬＦＳＲ５０１−１〜５０１−ｎに与えられた初期状態
は、しばしば、コリレーション・アタック（ｃｏｒｒｅ
ｌａｔｉｏｎａｔｔａｃｋ）と呼ばれる解読方法で推
定されてしまう。すなわち、あるＬＦＳＲ５０１−ｊ
（ｊ＝１〜ｎ）の出力で条件付けたときの結合関数回路
５０２の出力の条件付き確率分布が一様でない場合に
は、そのＬＦＳＲ５０１−ｊと等価なＬＦＳＲの出力系
列と結合関数回路５０２の出力系列との相関を最大にす
るような等価ＬＦＳＲの初期状態を総当りで求めること
で、ＬＦＳＲ５０１−ｊに与えられた初期状態が求めら
れてしまう。

【００１１】また、一般的に、あるｔ個のＬＦＳＲの出
力で条件付けたときの結合関数回路５０２の出力の条件
付き確率分布が一様でない場合には、それらのｔ個のＬ
ＦＳＲと等価なｔ個のＬＦＳＲの出力系列と結合関数回
路５０２の出力系列との相関を最大にするようなｔ個の
等価ＬＦＳＲの初期状態を総当りで求めることで、ｔ個
のＬＦＳＲに与えられた初期状態が求められる。なお、
以上の説明では、説明の便宜上、結合関数回路５０２の
出力系列からＬＦＳＲの初期状態を推定することを考え
たが、情報系列は理想的な乱数ではなく冗長度を持って
いるので、以上の操作において、結合関数回路５０２の
出力系列の代わりに暗号系列を用いても、ＬＦＳＲの初
期状態を推定できる。すなわち、コリレーション・アタ
ックは、情報系列が“００００・・・”でない場合で
も、実行可能である。

【００１２】なお、注意しておくが、何次までのコリレ
ーション・アタックが実行できるか否かは、結合関数の
性質だけでなく、ｔ個のＬＦＳＲの段数の合計にも依存
して決まる。例えば、ｔ個のＬＦＳＲの段数の合計が６
４ビットであれば、求める初期状態を総当りで求めるこ
とが困難になるので、ｔ次のコリレーション・アタック
は実行できないが、ｔ個のＬＦＳＲの段数の合計が２０
ビットであれば、ｔ次のコリレーション・アタックは容
易に実行できる。

【００１３】このため、従来は、（ｔ＋１）次のコリレ
ーション・アタックが実行できなくなるほどＬＦＳＲの
段数を増やすと共に、ｔ個のＬＦＳＲの出力で条件付け
たときの結合関数の出力の条件付き確率分布が一様であ
るような結合関数を用いて、ｔ次のコリレーション・ア
タックを防いでいた。なお、そのような結合関数は、ｔ
次コリレーション・イミューン（ｃｏｒｒｅｌａｔｉｏ
ｎｉｍｍｕｎｅ）であると言われる。例えば、４入力
の結合関数を用いる場合には、結合関数を１次コリレー
ション・イミューンにできることが知られているので、
２次のコリレーション・アタックが実行できないように
ＬＦＳＲの段数が選択される。なお、図６の４入力結合
関数回路は、１次コリレーション・イミューンであるこ
とが知られている。

【００１４】なお、従来の擬似乱数発生装置及びコリレ
ーション・アタックや４入力結合関数に関しては、例え
ば、特開平７−１０４９７６号公報や、１９８６年にス
プリンガー・ヴァーラグから刊行されたルェッペル著
「アナリシス・アンド・デザイン・オブ・ストリーム・
サイファー」（Ｒ．Ａ．Ｒｕｅｐｐｅｌ著Ａｎａｌ
ｙｓｉｓａｎｄＤｅｓｉｇｎｏｆＳｔｒｅａｍ
Ｃｉｐｈｅｒｓ，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａ
ｇ，１９８６）の第９２頁から第１４１頁にかけて
や、島田道雄著「結合関数の無相関性について」（第１
７回情報理論とその応用シンポジウム予稿集１９９４
年）の第５３頁から第５６頁にかけて詳しい解説があ
る。

【００１５】

【発明が解決しようとする課題】従来の擬似乱数発生装
置の問題点は、上述した文献（島田道雄著「結合関数の
無相関性について」）で示されているように、コリレー
ション・イミューンな結合関数を使っていても、差分コ
リレーション・アタックで解読できるということであ
る。その理由は、例えば、図６の４入力結合関数回路を
考えてみれば分かる。図８の４入力結合関数回路の場合
には、入力端子７１０−４の入力が線形結合しているの
で、入力端子７１０−４に擬似乱数を供給しているＬＦ
ＳＲの周期をＬとすると、時刻ｔと時刻Ｌ＋ｔとにおけ
る結合関数の出力の差分をとることで、そのＬＦＳＲの
出力の影響が結合関数の出力の差分に出なくなるように
することができる。そうすると、４入力の結合関数に基
づく擬似乱数発生装置を１次コリレーション・アタック
で解読することが、３入力結合関数に基づく擬似乱数発
生装置を１次コリレーション・アタックで解読すること
に帰着してしまう。３入力結合関数は、１次コリレーシ
ョン・イミューンにできないので、１次コリレーション
・アタックで簡単に解読されてしまう。

【００１６】本発明は上述した従来技術の欠点を解決す
るためになされたものであり、その目的は、ＬＦＳＲの
段数や個数を増やさずに、ＬＦＳＲに供給されるクロッ
ク信号を制御することで、ストリーム暗号に適した擬似
乱数発生装置を提供することである。

【００１７】

【課題を解決するための手段】本発明による擬似乱数発
生装置は、クロック信号が入力される毎に内部状態を更
新して擬似乱数を生成するｎ個（ｎは正の整数、以下同
じ）のフィードバックシフトレジスタと、このｎ個のフ
ィードバックシフトレジスタの各出力を結合して擬似乱
数を生成するｔ次（ｔは正の整数、以下同じ）コリレー
ションイミューンな結合関数回路とを含む擬似乱数発生
装置であって、外部からＬ個（Ｌは正の整数、以下同
じ）のクロックが供給される毎に前記ｎ個のフィードバ
ックシフトレジスタの内部状態に依存して信号を生成す
る信号選択手段と、外部からＬ個のクロックが供給され
る毎に前記信号選択手段から供給される信号に依存して
長さＬでハミング重みがＬ×ｔ／ｎ以下の互いに異なる
ｎ種類の２値系列を生成し、この２値系列に従ってクロ
ックを前記フィードバックシフトレジスタに供給する信
号発生手段とを含むことを特徴とする。

【００１８】

【発明の実施の形態】本発明の作用は以下の通りであ
る。

【００１９】さて、良く考えてみると、コリレーション
・アタックが成功するためには、次の２つの条件が必要
であることが分かる。すなわち、第１の条件は、解読者
が擬似乱数発生装置のＬＦＳＲと等価なＬＦＳＲを持っ
ており、解読者が等価なＬＦＳＲの初期状態を適切に設
定することで、その等価ＬＦＳＲに、擬似乱数発生装置
のＬＦＳＲと同じ擬似乱数系列を発生させられるという
ものである。また、第２の条件は、既に述べたように、
結合関数の入出力間に相関があるというものである。

【００２０】これらの２つの条件が揃わないとコリレー
ション・アタックが実行できないのである。そして、従
来は、第２の条件を崩すことで、すなわち、結合関数の
入出力間に相関が出ないようにすることで、コリレーシ
ョン・アタックを防いでいたのである。

【００２１】そこで本発明では、第１の条件を崩すこと
で、コリレーション・アタックを防ぐことにした。すな
わち、従来の擬似乱数発生装置では、それぞれのＬＦＳ
Ｒに常にクロック信号を供給していたのだが、本発明で
は、クロックのパルスを間引いてクロック信号のパター
ンを変化させることにした。すなわち、従来は、“００
００・・・・”というクロック信号を使っていたのに対
して、本発明では、それ以外の２値系列もクロック信号
として使用することにした。クロック信号のパターンを
解読者に秘密にしておけば、複製されたＬＦＳＲに擬似
乱数発生装置のＬＦＳＲと同じ擬似乱数発生系列を発生
させられないので、第１の条件が崩れ、コリレーション
・アタックが実行できなくなる。

【００２２】なお、以上では、クロック信号を２値系列
として表現したが、２値系列のτ番目が“０”であると
いうことは、クロック信号のτ単位時刻にパルスが有る
ことを意味し、２値系列のτ番目が“１”であること
は、クロック信号のτ単位時刻にパルスが無いことを意
味する（“０”と“１”とを入れ替えても良いのだが、
説明の便宜上、このようにしておく）。また、単位時刻
とは、クロック信号の周期すなわちパルス１個の長さに
相当する時刻を“１”として測った時間のことである。

【００２３】ただし、ただ単にランダムにクロック信号
のパターンを選択するのでは、擬似乱数発生装置の出力
する擬似乱数の周期が極端に短くなる危険性がある。例
えば、どのＬＦＳＲも周期Ｔビットの周期系列を擬似乱
数系列として出力したら、擬似乱数発生装置の出力する
擬似乱数系列も周期Ｔビットの周期系列になってしま
う。擬似乱数系列の周期が短いと、例えば、盗聴によっ
て得られた擬似乱数系列全体をメモリに記憶しておき、
それを暗号系列に排他的論理和で加算することで、簡単
に不正解読されてしまう。

【００２４】そこで本発明では、次のような工夫によっ
て、擬似乱数の周期が短くなることを防いでいる。すな
わち、クロック信号として、互いに長さとハミング重み
とが等しいｎ個の２値系列から構成されるｎ個組を、予
め複数個選んでおき、それら複数個のｎ個組みからラン
ダムに１つのｎ個組を選択し、選択されたｎ個組みの各
２値系列を、ｎ個のＬＦＳＲのそれぞれに逐次的に供給
する。例えば、ｎ＝４の場合には、次のようにする。

【００２５】まず、４個組みとして、（０００１，００
１０，０１００，１０００）（４単位時刻分），（１０
００，０１００，００１０，０００１），（４単位時刻
分）（０，０，０，０）（１単位時刻分）を用意してお
く。そして、ある時刻に１番目の４個組みが選択された
ならば、その４個組みの２値系列の長さは“４”である
から、次の４単位時刻までは、ＬＦＳＲ５０１−１に
は、“０００１”を、ＬＦＳＲ５０１−２には“００１
０”を、ＬＦＳＲ５０１−３には“０１００”を、ＬＦ
ＳＲ５０１−４には“１０００”をそれぞれクロック信
号として供給する。すると、“１”の場合にクロックパ
ルスが間引かれ、次の４単位時刻後までには、どのＬＦ
ＳＲにも３個のパルスが供給されることになる。このこ
とは、結果だけを見れば、どのＬＦＳＲにも“０００”
というクロック信号が供給されたのと等価である。つま
り、“０”の場合にはＬＦＳＲはシフト動作を行い、
“１”の場合にシフト動作を行わない。また、各ＬＦＳ
Ｒに供給されるクロック信号の“１”の位置が互いに異
なるので、各ＬＦＳＲに同一時刻に入力されるパルスの
うちの１つのみを間引くことになる。

【００２６】以上のようにすれば、本擬似乱数発生装置
のＬＦＳＲの内部状態が、少なくとも特定の時刻におい
ては、従来の擬似乱数発生装置のＬＦＳＲの内部状態と
同様に推移する。このため、擬似乱数発生装置の出力す
る擬似乱数系列の周期が擬似乱数発生装置の出力する擬
似乱数発生系列の周期よりも短くなることはない。

【００２７】ただし、ただ単にクロック信号として、互
いに長さとハミング重みとが等しい２値系列から構成さ
れるｎ個組を用いるのでは、依然として、簡単に不正解
読される危険性がある。なぜなら、前述の例において、
例えば、ハミング重みが“３”である（１１１０，１１
０１，１０１１，０１１１）という２値系列の４個組み
を用いると、ある時刻に出力された擬似乱数と次の時刻
に出力された擬似乱数との間に相関が生じることがある
からである。すなわち、４入力の結合関数は高々１次コ
リレーション・イミューンであり、クロック信号のハミ
ング重みが“３”であれば、ある時刻と次の時刻とでは
３個のＬＦＳＲの出力が等しくなることがあるからであ
る。

【００２８】そこで、本発明では、結合関数がｔ次コリ
レーション・イミューンであれば、長さＬのクロック信
号として、ハミング重みがＬｔ／ｎであるような２値系
列だけを使用する。例えば、ｎ＝４の場合には、結合関
数が１次コリレーション・イミューンであれば、長さ
“４”のクロック信号として、ハミング重みが“１”で
あるような、“０００１”，“００１０”，“０１０
０”，“１０００”といった“１”の位置が互いに異な
る２値系列だけを、ｎ個組みの要素として使用するので
ある。そのようにすれば、ある時刻と次の時刻とで出力
が常に等しいのは１個のＬＦＳＲだけになるから、１次
コリレーション・イミューンな結合関数を使うことで、
ある時刻に出力された擬似乱数と次の時刻に出力された
擬似乱数との間に相関が生じることを防ぐことができ
る。

【００２９】次に、本発明の実施例について図面を参照
して詳細に説明する。

【００３０】図１は、本発明の擬似乱数発生装置の一実
施例の構成を示すブロック図であり、図６と同等部分は
同一符号により示されている。

【００３１】図において、本実施例の擬似乱数発生装置
は、クロックが入力されるごとに１ビットの擬似乱数を
生成するｎ個のＬＦＳＲ５０１−１〜５０１−ｎと、こ
れらｎ個のＬＦＳＲの出力する擬似乱数を非線形結合し
てビットを生成するｔ次コリレーション・イミューンな
結合関数回路と、ｎ個のＬＦＳＲに記憶されたビットの
うち予め決められた一部又は全部のビットに予め決めら
れた非線形変換を施して予め決められた個数のビットを
出力する信号選択回路１０２と、信号選択回路１０２の
出力に依存して、長さがＬでハミング重みがＬｔ／ｎ以
下であるようなｎ個の２値系列を、外部から入力される
クロックに同期して逐次に出力する信号発生回路１０３
と、外部から入力されるクロックと信号発生回路１０３
の出力との論理和を演算して、その演算結果をｎ個のＬ
ＦＳＲにクロックとして供給するｎ個の論理和回路１０
１−１〜１０１−ｎとを含んで構成され、外部から入力
されるクロックに同期して結合関数回路５０２より擬似
乱数を出力する。

【００３２】ＬＦＳＲ５０１−１〜５０１−ｎは、入力
端子１１１に“０”が供給されているときには、論理和
回路１０１−１〜１０１−ｎからパルスが供給される
と、入力端子１１２から供給される初期状態と呼ばれる
ビット系列を、内部状態として保持する。また、ＬＦＳ
Ｒ５０１−１〜５０１−ｎは、入力端子１１１に“１”
が供給されているときには、論理和回路１０１−１〜１
０１−ｎからパルスが供給されるごとに、内部状態を更
新すると共に擬似乱数を出力する。そして、ＬＦＳＲ５
０１−１〜５０１−ｎの出力する擬似乱数が、結合関数
回路５０２に入力されて、結合関数回路５０２の出力
が、擬似乱数として出力端子１１３から出力される。Ｌ
ＦＳＲ５０１−１〜５０１−ｎの内部状態は、信号選択
回路１０２に供給されている。なお、ＬＦＳＲ５０１−
１〜５０１−ｎの内部状態は、図７の出力端子６１３を
介して出力される。

【００３３】信号選択回路１０２については、後で詳し
く述べるが、ＬＦＳＲ５０１−１〜５０１−ｎの内部状
態に対して予め決められた非線形変換を施して、予め決
められた数のビットを発生する。信号発生回路１０３に
ついては、後で詳しく述べるが、信号選択回路１０２の
出力に応じて、予め決められたクロック信号を生成し
て、論理和回路１０１−１〜１０１−ｎに供給する。論
理和回路１０１−１〜１０１−ｎは、入力端子１１０か
ら供給されるパルス系列と、信号発生回路１０３から供
給されるクロック信号との論理和をとることで、クロッ
ク信号に対応するパルス系列を生成して、そのパルス系
列を、それぞれＬＦＳＲ５０１−１〜５０１−ｎに供給
する。

【００３４】なお、図１の擬似乱数発生装置に擬似乱数
を発生させるには、次のようにする。まず、入力端子１
１２に初期状態を供給する。次に、入力端子１１１に
“０”を供給して、入力端子１１０にパルスを１個入力
する。そして、入力端子１１１に“１”を供給する。す
ると、それ以降は、入力端子１１０にパルスを１個入力
するごとに、出力端子１１３から擬似乱数が得られる。

【００３５】図２は、ｎ＝４とする図１の擬似乱数発生
装置で使われる信号選択回路１０２の基本構成の一例を
示す機能ブロック図である。図において、図１のＬＦＳ
Ｒ５０１−１〜５０１−４の出力が、それぞれ入力端子
２１０−１〜２１０−４に供給されている。配線２０１
は、予め決められた配線であり、入力端子２１０−１〜
２１０−４から供給される信号の予め決められた一部あ
るいは全部を、重複も許して出力する。配線２０１の出
力は、ｕ個（ｕは正の整数、以下同じ）の論理積回路２
０２−１〜２０２−ｕの出力は配線２０３に供給され
る。

【００３６】配線２０３は予め決められた配線であり、
論理積回路２０２−１〜２０２−ｕから供給される信号
の予め決められた一部あるいは全部を、重複も許して出
力する。配線２０３の出力は、５個の排他的論理和回路
２０４−１〜２０４−５に供給され、排他的論理和回路
２０４−１〜２０４−５の出力は出力端子２１１から出
力される。そして、出力端子２１１の出力が、図１の信
号発生回路１０３に供給される。信号選択回路１０２の
出力は、ＬＦＳＲ５０１−１〜５０１−４の出力に依存
しているので、ＬＦＳＲ５０１−１〜５０１−４の全て
の初期状態を知らない第三者は、信号選択回路１０２の
出力を容易には推定できない。

【００３７】図３は、ｎ＝４とする図１の擬似乱数発生
回路で用いられる信号発生回路１０３の基本構成の一例
を示す機能ブロック図である。図において、図１の入力
端子１１０から入力される信号が入力端子３２０に供給
され、図１の入力端子１１１から入力される信号が入力
端子３２１に供給され、図１の信号選択回路１０２の出
力が入力端子３２２に供給されている。カウンタ３０７
は、入力端子３２１に“０”が供給されているときに
は、論理和回路３０２からパルスが供給されると、カウ
ント値をゼロにする。また、カウンタ３０７は、入力端
子３２１に“１”が供給されているときには、論理和回
路３０２からパルスが供給されるごとに、カウント値を
“１”だけ増加し、また、保持されているカウント値
を、論理和回路３０６とデコーダ３０９とに供給する。
なお、カウント値が３から“１”だけ増加したときに
は、カウント値は“０”に戻るものとする。

【００３８】レジスタ３０８は、論理和回路３０１から
パルスが供給されると、入力端子３２２に供給されてい
る５ビットを保持し、また、保持されている５ビットの
うち、左端のビットを論理和回路３０６に供給し、それ
以外の４ビットを転置回路３１０に供給する。デコーダ
３０９は、カウンタ３０７の出力が“ｘ”であれば、右
から“ｘ”ビット目が１であるような４ビットを出力す
る。すなわち、デコーダ３０９は、ｘ＝“０”，
“１”，“２”，“３”に対して、それぞれ“０００
１”，“００１０”，“０１００”，“１０００”を出
力する。転置回路３１０は、レジスタ３０８の出力に応
じて、デコーダ３０９の出力ビットの転置（すなわち位
置を入れ替えたもの）を出力する。なお、どういった転
置を行うかは、予め決められているものとする。

【００３９】セレクタ３１１は、論理積回路３０４の出
力が“０”であれば、転置回路３１０の出力を選択して
出力し、論理積回路３０４の出力が“１”であれば、
“００００”を出力する。そして、セレクタ３１１の出
力が出力端子３２３から出力される。なお、出力端子３
２３の出力は、図１の論理和回路１０１−１〜１０１−
５に供給される。

【００４０】論理和回路３０６は、カウンタ３０７の出
力とレジスタ３０８の出力の左端ビットとの計３ビット
の論理和を計算して、その結果を出力する。否定回路３
０５は、論理和回路３０６の出力を反転して、その結果
を出力する。論理積回路３０３は、入力端子３２１から
供給される信号と論理和回路３０６の出力の論理積を計
算して、その結果を出力する。論理積回路３０４は、入
力端子３２１から供給される信号と否定回路３０５の出
力との論理積を計算して、その結果を出力する。論理和
回路３０１は、入力端子３２０から供給される信号と論
理積回路３０３の出力との論理和を計算して、その結果
を出力する。論理和回路３０２は、入力端子３２０から
供給される信号と論理積回路３０４の出力との論理和を
計算して、その結果を出力する。

【００４１】同図の信号発生回路の動作を説明すると、
次のようになる。入力端子３２１に“０”が供給されて
いるときに、入力端子３２０にパルスが供給されると、
カウンタ３０７のカウント値が“０”に設定されると共
に、入力端子３２２に供給されている５ビットがレジス
タ３０８に保持される。そして、入力端子３２１に
“１”が供給されており、かつ、カウンタ３０７のカウ
ント値が“０”であり、かつ、レジスタ３０８に保持さ
れている５ビットの左端のビットが“０”であれば、セ
レクタ３１１から“００００”が出力され、入力端子３
２０にパルスが１個入力されると、レジスタ３０８には
入力端子３２２から供給される新しい５ビットが保持さ
れる。一方、入力端子３２１に“１”が供給されてお
り、かつ、カウンタ３０７のカウント値が“０”であ
り、かつ、レジスタ３０８に保持されている５ビットの
左端のビットが“１”であれば、次の４単位時刻後にカ
ウンタ３０７のカウント値が再び“０”になるまで、出
力端子３２３からハミング重みが“１”であるような４
ビットが出力される。

【００４２】図４は、ｎ＝４とする図３の信号発生回路
１０３で用いられる転置回路３１０の基本構成の一例を
示す機能ブロック図である。図において、入力端子４１
０−１〜４１０−４には、図３のデコーダ３０９の出力
が供給され、入力端子４１１には、図３のレジスタ３０
８の出力の右４ビットが供給されている。入力端子４１
０−１〜４１０−４に供給された信号は、配線４０１−
１に入力される。配線４０１−ｊ（ｊ＝１，２，３，
４）は、４ビットの入力に対して予め決められた２通り
の配線によって、予め決められた互いに異なる２通りの
転置を施す。そして、夫々の転置結果を図中の左側と右
側とに出力し、夫々セレクタ４０２−ｊの左側と右側と
に供給する。

【００４３】セレクタ４０２−ｊ（ｊ＝１，２，３，
４）には、入力端子４１１に供給されている４ビットの
うち１ビットが供給されており、そのビットの値に応じ
て、左側あるいは右側の入力を選択して出力する。そし
て、セレクタ４０２−ｊ（ｊ＝１，２，３）の出力は、
配線４０１−（ｊ＋１）に入力され、セレクタ４０２−
４の出力は、出力端子４１２−１〜４１２−４から出力
される。なお、出力端子４１２−１〜４１２−４から出
力された４ビットは、図３のセレクタ３１１の左側の入
力に供給される。

【００４４】ところで、図１中の線形フィードバックシ
フトレジスタ５０１−１〜５０１−ｎに代えて、非線形
フィードバックシフトレジスタを用いても良い。図５
は、非線形フィードバックシフトレジスタの一構成例を
示すブロック図である。図において、シフトレジスタ８
０１は、図７のＬＦＳＲ５０１と同様の構造を持つもの
である。図中のシフトレジスタ８０１は、入力端子８１
１に“０”が供給されているときに、入力端子８１０に
パルスが入力されると、入力端子８１２から供給される
初期状態と呼ばれるビット系列を、内部状態として保持
する。また、シフトレジスタ８０１は、入力端子８１１
に“１”が供給されているときに、入力端子８１０にパ
ルスが１個入力されると、保持されているビット系列を
右側に１ビットだけシフトして、排他的論理和回路８０
２の出力をビット系列の左端のビットとして保持する。
なお、ビット系列の右端に保持されていたビットは、保
持されているビット系列が右側に１ビットだけシフトさ
れると、捨てられる。

【００４５】また、シフトレジスタ８０１に保持されて
いるビット系列は、出力端子８１３と非線形関数回路８
０３に供給されている。排他的論理和回路８０２は、シ
フトレジスタ８０１に保持されているビット系列のう
ち、予め決められた位置にあるビットの排他的論理和を
計算して、計算結果をシフトレジスタ８０１に供給す
る。非線形関数回路８０３は、シフトレジスタ８０１に
保持されているビット系列のうち、予め決められた位置
にあるビットの非線形結合を計算する。すなわち、予め
決められた位置にあるビットに対して、予め決められた
排他的論理和以外の論理演算を施す。そして、その計算
結果が擬似乱数として出力端子８１４から出力される。

【００４６】要するに、線形フィードバックシフトレジ
スタの代わりに、非線形フィードバックレジスタを用い
て擬似乱数発生装置を構成した場合でもクロックパルス
を間引くことによってシフトレジスタの段数や個数を増
やさずに、ストリーム暗号化に適した擬似乱数を発生す
ることができるのである。

【００４７】以上のように、本装置を用いて擬似乱数を
発生させれば、全てのＬＦＳＲの初期状態を知らない第
三者には、ＬＦＳＲの内部状態がどのようなタイミング
で推移しているか推測できないので、一般的に用いられ
ている４入力の結合関数回路を使っていても、コリレー
ション・アタック及び差分コリレーション・アタックに
強い擬似乱数を発生できるのである。これにより、比較
的簡単な構成でありながら、ストリーム暗号に適した擬
似乱数発生装置が実現できる。

【００４８】また、本装置では、結合関数回路において
非線形な変換が行われるだけでなく、信号選択回路にお
いても非線形な変換が行われ、その変換結果にも依存し
て擬似乱数が生成されるので、一般的に用いられている
４入力の結合関数回路を使っていても、非線形性の高い
擬似乱数を生成できるのである。これにより、ストリー
ム暗号に適した擬似乱数発生装置が実現できる。

【００４９】要するに本装置では、複数のパルスから構
成されるクロックの入力に応じて夫々シフト動作するｎ
個のシフトレジスタと、このｎ個のシフトレジスタの各
出力を結合して擬似乱数を生成する結合関数回路とを含
み、ｎ個のシフトレジスタに入力されるクロックのパル
スを間引いているのである。これにより、比較的簡単な
構成でありながら、ストリーム暗号に適した擬似乱数を
発生することができるのである。

【００５０】

【発明の効果】以上説明したように本発明は、擬似乱数
を発生する線形（非線形）フィードバックシフトレジス
タへの入力クロックを間引くことにより、そのレジスタ
の初期状態を知らない第三者にはシフトレジスタの内部
状態がどのようなタイミングで推移しているのか推測で
きず、比較的簡単な回路構成でコリレーション・アタッ
クに強い擬似乱数を発生することができるという効果が
ある。

【図面の簡単な説明】

【図１】本発明の実施例による擬似乱数発生装置の構成
を示すブロック図である。

【図２】図１中の信号選択回路の内部構成例を示すブロ
ック図である。

【図３】図１中の信号発生回路の内部構成例を示すブロ
ック図である。

【図４】図３中の転置回路の内部構成例を示すブロック
図である。

【図５】図１中のＬＦＳＲの代わりに用いる非線形フィ
ードバックレジスタの内部構成例を示すブロック図であ
る。

【図６】従来の擬似乱数発生装置の構成を示すブロック
図である。

【図７】図６中のＬＦＳＲの内部構成例を示すブロック
図である。

【図８】図６中の結合関数回路の内部構成例を示すブロ
ック図である。

【符号の説明】

１０２信号選択回路１０３信号発生回路５０１―１〜５０１―ｎＬＦＳＲ５０２結合関数回路

Claims

(57)【特許請求の範囲】

【請求項１】クロック信号が入力される毎に内部状態
を更新して擬似乱数を生成するｎ個（ｎは正の整数、以
下同じ）のフィードバックシフトレジスタと、このｎ個
のフィードバックシフトレジスタの各出力を結合して擬
似乱数を生成するｔ次（ｔは正の整数、以下同じ）コリ
レーションイミューンな結合関数回路とを含む擬似乱数
発生装置であって、外部からＬ個（Ｌは正の整数、以下
同じ）のクロックが供給される毎に前記ｎ個のフィード
バックシフトレジスタの内部状態に依存して信号を生成
する信号選択手段と、外部からＬ個のクロックが供給さ
れる毎に前記信号選択手段から供給される信号に依存し
て長さＬでハミング重みがＬ×ｔ／ｎ以下の互いに異な
るｎ種類の２値系列を生成し、この２値系列に従ってク
ロックを前記フィードバックシフトレジスタに供給する
信号発生手段とを含むことを特徴とする擬似乱数発生装
置。
【請求項２】前記フィードバックシフトレジスタは、
線形フィードバックシフトレジスタであることを特徴と
する請求項１記載の擬似乱数発生装置。
【請求項３】前記フィードバックシフトレジスタは、
非線形フィードバックシフトレジスタであることを特徴
とする請求項１記載の擬似乱数発生装置。
【請求項４】前記信号発生手段は、ｉ種類目（ｉは正
の整数、以下同じ）の２値系列のｊ番目（ｊは正の整
数、以下同じ）が“０”ならば、時刻ｊにｉ番目のフィ
ードバックレジスタにクロックを供給することを特徴と
する請求項１〜３のいずれかに記載の擬似乱数発生装
置。