JP3112655B2 - データ暗号化装置及びデータ復号化装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はデータ暗号化装置及
びデータ復号化装置に関し、特に秘密鍵を用いたブロッ
ク暗号及び復号方式に関する。

【０００２】

【従来の技術】近年、デジタル通信が急速に普及してき
たが、健全な産業の発展やプライバシ−を保護する等の
観点から、通信におけるデータの機密性を確保できる安
全性の高いデータ暗号化方式が要求されている。また、
画像や音声データのリアルタイム通信においては、安全
性のみならず暗号処理の高速性も要求される。 （第１の従来例）データ暗号化方式の第１の従来例とし
て、疑似乱数加算型暗号がある。

【０００３】この方式では、送信側・受信側双方が同じ
秘密鍵（以下、単に「鍵」という。）を共有しており、
平文データＭを一定長の平文データブロックＭｉに区切
り、区切られた各Ｍｉに対して、共有している鍵をシー
ドとして平文データブロックＭｉと同じ長さの乱数デー
タＲを発生させる。そして、各平文データブロックＭｉ
とその乱数データＲとを対応させるビット毎に排他的論
理和の計算を行うことによって、暗号文データブロック
Ｃｉを得る。式に表現すると以下の通りである。

【０００４】Ｃｉ＝Ｍｉ（＋）Ｒ ただし、演算子“（＋）”は対応するビット毎の排他的
論理和を意味する。最後に、得られた各暗号文データブ
ロックＣｉを連結し、暗号文Ｃが得られるというもので
ある。この方式は、暗号化速度が非常に高いという点が
特徴であり、画像や音声データのリアルタイム通信にお
けるデータ暗号化方式として適している。

【０００５】しかし、この方式はきわめて安全性が低
い。即ち、いま暗号化する鍵の値が同じであるとする
と、わずか１組の平文データブロックＭｉと暗号文デー
タブロックＣｉを入手しただけで、以下の式より、乱数
Ｒが判明するので、他の全ての平文データブロックＭｉ
を解読することができてしまう。 Ｒ＝Ｍｉ（＋）Ｃｉ （第２の従来例）データ暗号化方式の第２の従来例とし
ては、ＤＥＳ（Data Encryption Standard）方式やＦＥ
ＡＬ（Fast Data Encipherment Algorithm）方式といっ
たブロック暗号方式というものがある。ＤＥＳ方式なら
びにＦＥＡＬ方式は、岡本栄司著「暗号理論入門」（共
立出版）に詳しく述べられている。

【０００６】このブロック暗号方式は、６４ビットの入
出力データを扱うものであるが、強力にデータを攪乱す
る能力を持っている。しかし、暗号処理速度は、それぞ
れＤＥＳ方式で１６段、ＦＥＡＬ方式で３２段の暗号化
処理を繰り返すために、第１の従来例で述べた疑似乱数
加算型暗号と比較して遅い。そのため、画像や音声デー
タのリアルタイム通信におけるデータ暗号化方式として
は適していない。 （第３の従来例）データ暗号化方式の第３の従来例とし
ては、Ｇｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式がある。Ｇ
ｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式は、Ｐｈｉｌ Ｓｕ
ｔｈｅｒｌａｎｄ編「ＡＰＰＬＩＥＤ ＣＲＹＰＴＯＧ
ＲＡＰＨＹ（Ｓｅｃｏｎｄ Ｅｄｉｔｉｏｎ）」（Ｊｏ
ｈｎ Ｗｉｌｅｙ＆Ｓｏｎｓ，Ｉｎｃ）の２９６〜２９
７ペ−ジに詳しく述べられている。

【０００７】図７は、Ｇｅｎｅｒａｌｉｚｅｄ ＤＥＳ
方式のデータ攪乱装置４０の構成を示すブロック図であ
る。本データ攪乱装置４０は、データ変換部４１と７個
の排他的論理和部４００〜４０６から構成され、２５６
ビットのデータを入力とし、それを４８ビットの部分鍵
データに従ってデータ攪乱し、２５６ビットのデータを
出力する。なお、このデータ攪乱装置４０から出力され
たデータは入力に戻されて再びデータ攪乱される。これ
が１６回繰り返されることで暗号化が終了する。

【０００８】２５６ビットの入力データは、３２ビット
ずつの８個のブロックに分割され、上位からＡ７，Ａ
６，…，Ａ０と呼ぶ。また出力データ２５６ビットも、
３２ビットずつの８個のブロックに分割され、上位から
Ｂ７，Ｂ６，…，Ｂ０と呼ぶ。データ変換部４１は、第
２の従来例で示したＤＥＳ方式におけるｆ関数と呼ばれ
るものであり、３２ビットの入力データを４８ビットの
部分鍵データに従って攪乱し、３２ビットの出力データ
を出力する。

【０００９】７個の排他的論理和部４００〜４０６は、
それぞれ２個のブロックについてビットごとの排他的論
理和を演算する。Ａ０はデータ変換部４１に入力され、
４８ビットの部分鍵に基づいて変換されてＣとなる。そ
して、ＣとＡ１は排他的論理和部４００において排他的
論理和の演算が行われ、Ｂ０となる。同様に、ＣとＡ２
の排他的論理和の結果がＢ１となる。以下、同様に、Ｃ
とＡｉ（ｉ＝３，４，…，７）の排他的論理和の結果が
Ｂ（ｉ−１）、即ち、Ｂ２，Ｂ３，…，Ｂ６となる。な
お、Ａ０はそのままＢ７となる。

【００１０】データの暗号化処理で必要とする時間のほ
とんどは、データ変換部４１での処理時間であるから、
このＧｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式では、従来の
ＤＥＳ方式とほぼ同じ暗号化処理時間で、４倍のデータ
を暗号化することができる。すなわちＤＥＳ方式と比
べ、高速に暗号化処理できるので、画像や音声データの
リアルタイム通信におけるデータ暗号化方式として適し
ている。

【００１１】

【発明が解決しようとする課題】しかしながら、この第
３の従来例におけるデータ攪乱装置４０は、以下の通
り、安全性の点において問題がある。データ変換部４１
への入力データ３２ビットは、データ攪乱装置４０への
２５６ビットの入力データのうち、下位の３２ビットＡ
０だけである。

【００１２】データ変換部４１からの出力ＣとＡｉ（ｉ
＝１，２，…，７）を排他的論理和したものがＢ（ｉ−
１）になるので、データ攪乱装置４０から出力されたデ
ータを入力に戻すという操作を繰り返すことにより、デ
ータ変換部４１への入力は３２ビットずつずれることに
なる。すなわち、元々のデータ攪乱装置４０への２５６
ビットの入力データを３２ビットずつの８個のブロック
に分割し、上位からＩｎ７，Ｉｎ６，…，Ｉｎ０と呼ぶ
と、１回目の繰り返しではＩｎ０に関係するデータがデ
ータ変換部４１に入力され、２回目の繰り返しではＩｎ
１に関係するデータがデータ変換部４１に入力される。
以下同様にして、３回目の繰り返しでＩｎ２に関係する
データが、４回目の繰り返しではＩｎ３に関係するデー
タが、…、８回目の繰り返しではＩｎ７に関するデータ
が、データ変換部４１に入力される。

【００１３】これは逆に言うと、Ｉｎ７は８回目の繰り
返しでないと、データ変換部４１に入力されないという
ことになり、Ｉｎ７に関してはデータの撹乱の度合いは
低く、他のブロックへの影響度は低いと言わなければな
らない。すなわち安全性に問題がある。そこで、本発明
はかかる問題点に鑑みてなされたものであり、高速に暗
号化及び復号化処理ができ、かつ、安全性の高いデータ
暗号装置及びデータ復号化装置、即ち、リアルタイム秘
密通信に好適なデータ暗号化装置及びデータ復号化装置
を提供することを目的とする。

【００１４】

【課題を解決するための手段】上記目的を達成するため
に本願発明は、Ｎビットのデータを１個のブロックとす
るＭ個（Ｍ≧３）のブロックからなる平文データを予め
与えられた鍵データに基づいて暗号化し暗号文データと
して出力するデータ暗号化装置であって、前記Ｍ個のブ
ロックを１個のブロックに融合する融合手段と、前記融
合手段により得られたブロックを前記鍵データに基づい
て変換する変換手段と、前記変換手段により得られたブ
ロックと前記Ｍ個のブロックのうち予め定められたＪ個
のブロックのそれぞれとを合成する合成手段と、前記合
成手段により得られたＪ個のブロックを含むＭ個のブロ
ックを前記暗号文データとして出力する出力手段とを備
えることを特徴とする。

【００１５】これにより、従来の如く平文データを構成
する１つのブロックがそのまま変換手段に入力されるの
でなく、平文データを構成するM個（M≧３）のブロック
が融合されたものが変換手段に入力されるので、暗号化
処理の高速性を犠牲にすることなく安全性が高められ、
ディジタル化された画像情報などのリアルタイム秘密通
信に好適なデータ暗号化装置が実現できる。

【００１６】

【発明の実施の形態】以下、本発明の実施の形態につい
て図面を用いて詳細に説明する。通常、データ暗号化装
置で暗号化された暗号文データは、暗号化した際の鍵デ
ータを共有しているデータ復号装置で暗号化変換と逆変
換となる演算を施され、復号文データとなって出力され
る。本実施形態では、データ暗号化装置を有する送信機
において、ある平文データが暗号化されて暗号文データ
となって送信され、その暗号文データがデータ復号装置
を有する受信機で復号されて復号文データとなり出力さ
れるという暗号通信システムとして説明する。 （暗号通信システムの構成）図１は、本実施形態に係る
暗号通信システムの構成を示すブロック図である。

【００１７】なお、二重線で囲まれた構成ブロック（こ
こでは、データ暗号化装置１０及びデータ復号化装置２
０）は別の図面においてさらに詳細なブロック図に展開
されていることを示す。この暗号通信システムは、送信
機１および受信機２から構成される。送信機１および受
信機２は、たとえば、ディジタル化された画像情報を送
受信するビデオサ−バシステムのサ−バと端末などであ
る。

【００１８】送信機１は、図１に示されるように、デー
タ暗号化装置１０及び送信部１１を備える。データ暗号
化装置１０には、５１２ビットの平文データと２５６ビ
ットの鍵データが入力される。この平文データは、ディ
ジタル符号化された音声または画像情報である。また、
鍵データは、予め送信機１と受信機２との間で定めてい
たものである。これら平文データと鍵データは、データ
暗号化装置１０に入力され処理を施されて５１２ビット
の暗号文データとなり、送信部１１により並列to直列変
換、変調及び増幅され伝送路３を経て受信機２に送信さ
れる。

【００１９】受信機２は、図１に示されるように、デー
タ復号化装置２０及び受信部２１を備える。データ復号
化装置２０には、受信部２１を介して受信され直列to並
列変換された５１２ビットの暗号文データと、予め送信
機１と受信機２で定めている２５６ビットの鍵データが
入力される。これら暗号文データと鍵データは、データ
復号装置に入力され処理を施されて復号文データとな
り、デコ−ドされた後、ディスプレイもしくはスピ−カ
から出力される。 （データ暗号化装置１０の構成）図２は、図１に示され
るデータ暗号化装置１０の構成の一例を示すブロック図
である。

【００２０】本図において、このデータ暗号化装置１０
は、第１データ攪乱部１０１と、第１段数制御部１０２
と、第１鍵制御部１０３とを備えている。第１データ攪
乱部１０１は、入力される５１２ビットのデータを第１
鍵制御部１０３から入力される３２ビットの部分鍵デー
タに従いデータ攪乱し、５１２ビットのデータを出力す
る。

【００２１】第１段数制御部１０２は、第１データ攪乱
部１０１から出力される５１２ビットのデータが、合計
で何回データ攪乱されたかを制御する。予め指定された
回数に満たない場合には、再び第１データ攪乱部１０１
に入力する。予め指定された回数になった場合は、出力
データをデータ暗号化装置１０から出力するものであ
る。本実施形態では、上記の指定された回数を８回とす
る。

【００２２】第１鍵制御部１０３は、入力された鍵デー
タ２５６ビットを部分鍵と呼ばれる上位から３２ビット
ずつ８個の部分鍵Ｋ０，…，Ｋ７に分割し、暗号化され
るデータが第１データ攪乱部１０１に１度目に入力され
た場合にはＫ０を第１データ攪乱部１０１に入力し、以
下、データが繰り返し第１データ攪乱部１０１に入力さ
れる度に、Ｋ１，Ｋ２，…，Ｋ７と順に入力する。 （データ復号化装置２０の構成）図３は、図１に示され
るデータ復号化装置２０の構成の一例を示すブロック図
である。

【００２３】本図において、このデータ復号化装置２０
は、第２データ攪乱部２０１と、第２段数制御部２０２
と、第２鍵制御部２０３とを備えている。第２データ攪
乱部２０１は、入力される５１２ビットのデータを第２
鍵制御部２０３から入力される３２ビットの部分鍵デー
タに従いデータ攪乱し、５１２ビットのデータを出力す
る。

【００２４】第２段数制御部２０２は、第２データ攪乱
部２０１から出力される５１２ビットのデータが、合計
で何回データ攪乱されたかを制御する。予め指定された
回数に満たない場合には、再び第２データ攪乱部２０１
に入力する。予め指定された回数になった場合は、出力
データをデータ復号化装置２０から出力するものであ
る。先に述べたように、本実施形態では、上記の指定さ
れた回数を８回とする。

【００２５】第２鍵制御部２０３は、入力された鍵デー
タ２５６ビットを部分鍵と呼ばれる上位から３２ビット
ずつ８個の部分鍵Ｌ７，…，Ｌ０に分割し、暗号化され
るデータが第２データ攪乱部２０１に１度目に入力され
た場合にはＬ０を第１データ攪乱部２０１に入力し、以
下、データが繰り返し第２データ攪乱部２０１に入力さ
れる度に、Ｌ１，Ｌ２，…，Ｌ７と順に入力する。 （第１データ攪乱部１０１の構成）図４は、図２に示さ
れる第１データ攪乱部１０１の構成の一例を示すブロッ
ク図である。

【００２６】本図において、この第１データ攪乱部１０
１は、データ融合手段に相当する１５個の排他的論理和
部１１００〜１１１４、データ変換部３００及びデータ
合成手段に相当する１５個の排他的論理和部１２００〜
１２１４から構成される。入力されたデータ５１２ビッ
トは、上位から３２ビットずつの１６個のブロックに分
割し、ブロックをそれぞれ上位からＸ１５，Ｘ１４，
…，Ｘ２，Ｘ１，Ｘ０と呼ぶ。また出力データ５１２ビ
ットも、上位から３２ビットずつの１６個のブロックに
分割し、ブロックをそれぞれ上位からＹ１５，Ｙ１４，
…，Ｙ２，Ｙ１，Ｙ０と呼ぶ。以下に、第１データ攪乱
部１０１の動作について述べる。

【００２７】１５個の排他的論理和部１１００〜１１１
４は、１６個のブロックＸ０〜Ｘ１５を融合する手段で
あり、ここでは、これらのビットごとの排他的論理和を
演算する。ここで、「融合」とは複数のブロックを対象
とする可逆（復号可能）な演算をいう。具体的には、排
他的論理和部１１１４においてＸ１５とＸ１４の排他的
論理和Ｕ１４が算出される。次にＵ１４とＸ１３の排他
的論理和Ｕ１３が算出される。以下、同様にして、Ｘ１
２，Ｘ１１，Ｘ１０，Ｘ９，Ｘ８，Ｘ７，Ｘ６，Ｘ５，
Ｘ４，Ｘ３，Ｘ２，Ｘ１，Ｘ０との排他的論理和が算出
され、最終的な結果Ｕ０が算出される。

【００２８】このＵ０はそのままＹ１５として出力され
ると同時に、データ変換部３００に入力され、ここで第
１鍵制御部１０３から入力された部分鍵データ３２ビッ
トに基づく変換を施されてＶとなる。ここで、このデー
タ変換部３００による「変換」とは可逆だけでなく非可
逆（逆変換が存在しない変換一方向性関数）も含む写像
をいう。

【００２９】１５個の排他的論理和部１２００〜１２１
４は、上記Ｖと１５個のブロックＸ１５〜Ｘ１のそれぞ
れとを合成し出力する手段である。ここで、「合成」と
は2個のブロックを対象とする可逆（復号可能）な演算
をいう。具体的には、上記ＶとＸ１とを排他的論理和し
た結果をＹ０として出力し、上記ＶとＸ２とを排他的論
理和した結果をＹ１として出力し、以下同様に、ＶとＸ
ｉ（ｉ＝３，４，５，…，１５）を排他的論理和した結
果をＹ（ｉ−１）、即ち、Ｙ２，Ｙ３，Ｙ４，Ｙ５，
…，Ｙ１４として出力する。なお、これら１６個のブロ
ックＹ０〜Ｙ１５は、図示されていないクロックに同期
して５１２ビットの出力データとしてこの第1データ攪
乱部１０１から出力される。 （第２データ攪乱部２０１の構成）図５は、図３に示さ
れる第２データ攪乱部２０１の構成の一例を示すブロッ
ク図である。

【００３０】本図において、この第２データ攪乱部２０
１は、データ変換部３０１、上記データ合成手段に対応
する１５個の排他的論理和部２１００〜２１１４及び上
記データ融合手段に対応する１５個の排他的論理和部２
２００〜２２１４から構成される。なお、データ変換部
３０１は、図４で述べたデータ変換部３００と全く同一
の機能を有する。

【００３１】入力されたデータ５１２ビットは、上位か
ら３２ビットずつの１６個のブロックに分割し、ブロッ
クをそれぞれ上位からＺ１５，Ｚ１４，…，Ｚ２，Ｚ
１，Ｚ０と呼ぶ。また出力データ５１２ビットも、上位
から３２ビットずつの１６個のブロックに分割し、ブロ
ックをそれぞれ上位からＷ１５，Ｗ１４，…，Ｗ２，Ｗ
１，Ｗ０と呼ぶ。以下に、第２データ攪乱部２０１の動
作について述べる。

【００３２】Ｚ１５はデータ変換部３０１に入力され、
第２鍵制御部２０３から入力された部分鍵データ３２ビ
ットに基づいて変換され、Ｓとなる。そして、排他的論
理和部２１１４において上記ＳとＺ１４が排他的論理和
されてＷ１５となって出力され、排他的論理和部２１１
３において上記ＳとＺ１３が排他的論理和されてＷ１４
となって出力され、以下同様にして、上記ＳとＺｉ（ｉ
＝１２，１１，…，０）が排他的論理和されてＷ（ｉ＋
１）、即ち、Ｗ１３，Ｗ１２，…，Ｗ１として出力され
る。

【００３３】一方、排他的論理和部２２１４においてＺ
１５とＷ１５が排他的論理和されてＴ１４となり、排他
的論理和部２２１３においてＴ１４とＷ１４が排他的論
理和されてＴ１３となり、以下同様にして、Ｗ１３，Ｗ
１２，Ｗ１１，Ｗ１０，Ｗ９，Ｗ８，Ｗ７，Ｗ６，Ｗ
５，Ｗ４，Ｗ３，Ｗ１との排他的論理和が演算されて最
終的にＴ０となり、これがＷ０として出力される。 （データ変換部３００、３０１の構成）図６は、図４
（及び図５）に示されるデータ変換部３００（及び３０
１）の構成の一例を示すブロック図である。

【００３４】本図において、このデータ変換部３００
は、部分鍵加算部３００１と、参照鍵算出部３００２
と、テーブル鍵保存部３００３と、テーブル鍵排他的論
理和部３００４とを備えている。部分鍵加算部３００１
は、入力される３２ビットのデータＡと入力される部分
鍵データ３２ビットＫとを算術加算演算して出力データ
Ｂとする。また３２ビット目以上の繰り上がりは無視さ
れる。すなわち、 Ｂ＝（Ａ ＋ Ｋ） ｍｏｄ ２＾３２ である。ただし，α ｍｏｄ β は、αをβで割った余
りを意味する。

【００３５】参照鍵算出部３００２は、部分鍵加算部３
００１から出力されたＢに基づいて８ビットの参照鍵Ｒ
ｅｆを出力する。３２ビットのデータＢを、上位から８
ビットずつに区切り、それぞれＢ３，Ｂ２，Ｂ１，Ｂ０
と呼ぶ。そして以下のように、参照鍵Ｒｅｆを計算す
る。 Ｒｅｆ＝Ｂ０（＋）Ｂ１（＋）Ｂ２（＋）Ｂ３ テーブル鍵保存部３００３は、予め定めている２５６種
類の３２ビットのテーブル鍵Ｔａｂ［ｉ］（ｉ＝０，
１，…，２５５）を記録している。参照鍵算出部３００
２から入力された８ビットの参照鍵Ｒｅｆに基づき、テ
ーブル鍵Ｔａｂ［Ｒｅｆ］を出力し、テーブル鍵排他的
論理和部３００４に入力する。

【００３６】テーブル鍵排他的論理和部３００４は、部
分鍵加算部３００１から入力された３２ビットのデータ
Ｂと、テーブル鍵保存部３００３から入力された３２ビ
ットのテーブル鍵Ｔａｂ［Ｒｅｆ］を、排他的論理和し
てＣとする。すなわち、 Ｃ＝Ｂ（＋）Ｔａｂ［Ｒｅｆ］ とする。

【００３７】そして、Ｃをデータ変換部３００の出力デ
ータとする。 （第１データ攪乱部１０１と第２データ攪乱部２０１の
関係）図４に示される第１データ攪乱部１０１と、図５
に示される第２データ攪乱部２０１は、共に、５１２ビ
ットの入力データと、３２ビットの部分鍵データが入力
されて、５１２ビットの出力データを出力するというも
のである。以下、第１データ攪乱部１０１と第２データ
攪乱部２０１との関係、即ち、第1データ攪乱部１０１
で暗号化された平文データがデータ攪乱部２０１により
復号される原理について説明する。

【００３８】先に説明したように、図４の第１データ攪
乱部１０１のＸ１５，Ｘ１４，…，Ｘ１，Ｘ０と、Ｙ１
５，Ｙ１４，…，Ｙ１，Ｙ０と、Ｕと、Ｖの間には以下
のような関係が成り立つ。但し，Ｆ（Ｋｉ，α）は部分
鍵がＫｉで入力データがαである時のデータ変換部３０
０の出力を示す。 Ｕ＝Ｘ１５（＋）Ｘ１４（＋）…（＋）Ｘ１（＋）Ｘ０ −（式１） Ｖ＝Ｆ（Ｋｉ，Ｕ） −（式２） Ｙ１５＝Ｕ −（式３） Ｙ１４＝Ｖ（＋）Ｘ１５ −（式４） Ｙ１３＝Ｖ（＋）Ｘ１４ −（式５） … Ｙ１＝Ｖ（＋）Ｘ２ −（式６） Ｙ０＝Ｖ（＋）Ｘ１ −（式７） また図５の第２データ攪乱部２０１のＺ１５，Ｚ１４，
…，Ｚ１，Ｚ０と、Ｗ１５，Ｗ１４，…，Ｗ１，Ｗ０
と、Ｓと、Ｔの間には以下のような関係が成り立つ。

【００３９】 Ｓ＝Ｆ（Ｋｉ，Ｚ１５） −（式８） Ｗ１５＝Ｓ（＋）Ｚ１４ −（式９） Ｗ１４＝Ｓ（＋）Ｚ１３ −（式１０） … Ｗ２＝Ｓ（＋）Ｚ１ −（式１１） Ｗ１＝Ｓ（＋）Ｚ０ −（式１２） Ｗ０＝Ｚ１５（＋）Ｗ１５（＋）Ｗ１４（＋）…（＋）Ｗ２（＋）Ｗ１ −（式１３） ここで，Ｋｉの値が同じであり、第1データ攪乱部１０
１からの出力データをデータ攪乱部２０１に入力する場
合を考える。つまり、 Ｚ１５＝Ｙ１５，Ｚ１４＝Ｙ１４，…，Ｚ１＝Ｙ１，Ｚ０＝Ｙ０ −（式１４） である。

【００４０】まず，（式３）と（式１４）から Ｚ１５＝Ｙ１５＝Ｕ −（式１５） となるので、Ｓ＝Ｆ（Ｋｉ，Ｚ１５）＝Ｆ（Ｋｉ，Ｕ）
−（式１６）が成立する。この（式１
６）と（式２）より Ｓ＝Ｖ −（式１７） が成り立つ。この（式１７）より、（式９）〜（式１
２）は、それぞれ Ｗ１５＝Ｖ（＋）Ｙ１４ −（式１８） Ｗ１４＝Ｖ（＋）Ｙ１３ −（式１９） … Ｗ２＝Ｖ（＋）Ｙ１ −（式２０） Ｗ１＝Ｖ（＋）Ｙ０ −（式２１） となる。ここで以下のような排他的論理和の性質を利用
する。

【００４１】 α＝β（＋）｛β（＋）γ｝＝γ −（式２２） （式１８）に（式４）を、（式１９）に（式５）を、
（式２０）に（式６）を、（式２１）に（式７）をそれ
ぞれ代入し、上記の性質（式２２）を用いると、 Ｗ１５＝Ｖ（＋）｛Ｖ（＋）Ｘ１５｝＝Ｘ１５ −（式２３） Ｗ１４＝Ｖ（＋）｛Ｖ（＋）Ｘ１４｝＝Ｘ１４ −（式２４） … Ｗ２＝Ｖ（＋）｛Ｖ（＋）Ｘ２｝＝Ｘ２ −（式２５） Ｗ１＝Ｖ（＋）｛Ｖ（＋）Ｘ１｝＝Ｘ１ −（式２６） となる。またこれらの（式２３）〜（式２６）と（式１
５）より、（式１３）は、 Ｗ０＝Ｚ１５（＋）Ｗ１５（＋）Ｗ１４（＋）…（＋）Ｗ２（＋）Ｗ１ ＝Ｙ１５（＋）Ｘ１５（＋）Ｘ１４（＋）…（＋）Ｘ２（＋）Ｘ１ ＝Ｕ（＋）Ｘ１５（＋）Ｘ１４（＋）…（＋）Ｘ２（＋）Ｘ１ −（式２７） となる。この（式２７）と（式１）の辺々を排他的論理
和すると、左辺は、 左辺＝Ｗ０（＋）Ｕ −（式２８） であり、右辺は、 右辺＝Ｕ（＋）Ｘ１５（＋）Ｘ１４（＋）…（＋）Ｘ２（＋）Ｘ１（＋）Ｘ１ ５（＋）Ｘ１４（＋）…（＋）Ｘ１（＋）Ｘ０ となり、上記性質（式２２）より、 ＝Ｕ（＋）Ｘ０ −（式２９） である。よって、（式２８）と（式２９）より、 Ｗ０（＋）Ｕ＝Ｕ（＋）Ｘ０ −（式３０） よって、 Ｗ０＝Ｘ０ −（式３１） となる。

【００４２】以上の（式２３）〜（式２６）及び（式３
１）からわかることは、５１２ビットのデータＸを、第
１データ攪乱部１０１において、３２ビットの部分鍵デ
ータＫｉを用いて攪乱した結果である５１２ビットのデ
ータをＹとし、そしてこの５１２ビットのデータＹを、
第２データ攪乱部２０１において、先にＸを攪乱してＹ
を生成した時に用いたのと同じ３２ビットの部分鍵デー
タＫｉで攪乱すると、５１２ビットのデータＸに戻ると
いうことである。 （第１鍵制御部１０３の動作）ここでは、図２に示され
る第１鍵制御部１０３の動作について述べる。

【００４３】第１鍵制御部１０３に入力される鍵データ
２５６ビットを３２ビットずつの８個のブロックに分割
し、上位からＫ０，Ｋ１，…，Ｋ６，Ｋ７と呼ぶ。ここ
で５１２ビットのデータＡが、データ暗号化装置１０に
おいて暗号化される時、第１データ攪乱部１０１への入
出力を８回を繰り返される。この時、第１鍵制御部１０
３は、１回目の繰返時にはＫ０を、２回目の繰返時には
Ｋ１を、…，８回目の繰返時にはＫ７を、それぞれ第１
データ攪乱部１０１に入力する。 （第２鍵制御部２０３の動作）ここでは、図３に示され
る第２鍵制御部２０３の動作について述べる。

【００４４】第２鍵制御部２０３に入力される鍵データ
２５６ビットを３２ビットずつの８個のブロックに分割
し、上位からＬ７，Ｌ６，…，Ｌ１，Ｌ０と呼ぶ。ここ
で５１２ビットのデータＢが、データ復号化装置２０に
おいて復号化される時、第２データ攪乱部２０１への入
出力を８回を繰り返される。この時、第２鍵制御部２０
３は、１回目の繰返時にはＬ０を、２回目の繰返時には
Ｌ１を、…，８回目の繰返時にはＬ７を、それぞれ第２
データ攪乱部２０１に入力する。 （データ暗号化装置１０とデータ復号化装置２０の関
係）図２に示されるデータ暗号化装置１０と、図３に示
されるデータ復号化装置２０は、共に、５１２ビットの
入力データと、２５６ビットの鍵データが入力されて、
５１２ビットの出力データを出力するというものであ
る。ここでは、データ暗号化装置１０と、データ復号化
装置２０との関係について説明する。

【００４５】今からデータ暗号化装置１０において、５
１２ビットのデータＡを、２５６ビットの鍵データＫで
暗号化するものとする。ここでＫは３２ビットずつのブ
ロックに分割し、各ブロックを上位からＫ０，Ｋ１，
…，Ｋ６，Ｋ７と呼ぶ。この時、第１鍵制御部１０３の
動作より、第１データ攪乱部には、Ｋ０，Ｋ１，…，Ｋ
６，Ｋ７の順で、第１データ攪乱部１０１に入力され
る。そして、ＡはＫ０を用いて第１データ攪乱部１０１
で攪乱されてＡ１となる。次に、Ａ１は、Ｋ１を用いて
第１データ攪乱部１０１で攪乱されてＡ２となる。以
下、同様にして、Ａ３，Ａ４，Ａ５，Ａ６，Ａ７と攪乱
される。そしてＡ７は、Ｋ７を用いて第１データ攪乱部
１０１で攪乱されてＡ８となり、このＡ８がデータ暗号
化装置１０の出力データ５１２ビットとなる。次に、デ
ータ暗号化装置１０からの５１２ビットの出力データＡ
８を、先の暗号化の時に用いたのと同じ値である鍵デー
タＫで復号する。ここで、Ｋを３２ビットずつのブロッ
クに分割し、各ブロックを上位からＬ７，Ｌ６，…，Ｌ
１，Ｌ０と呼ぶ。

【００４６】この時、第２鍵制御部２０３の動作より、
第２データ攪乱部には、Ｌ０，Ｌ１，…，Ｌ６，Ｌ７の
順で、第２データ攪乱部２０１に入力される。また同じ
２５６ビットのデータＫを分割したものであるから，Ｋ
０＝Ｌ７，Ｋ１＝Ｌ６，Ｋ２＝Ｌ５，Ｋ３＝Ｌ４，Ｋ４
＝Ｌ３，Ｋ５＝Ｌ２，Ｋ６＝Ｌ１，Ｋ７＝Ｌ０が成り立
っている。そして、Ａ８はＬ０を用いて第２データ攪乱
部２０１で攪乱されてＢ１となる。この時、Ｋ７＝Ｌ０
であることと、第１データ攪乱部１０１と第２データ攪
乱部２０１の関係から、Ｂ１＝Ａ７である。次に、Ｂ１
は、Ｌ１を用いて第２データ攪乱部２０１で攪乱されて
Ｂ２となる。この時、Ｋ６＝Ｌ１であることと、第１デ
ータ攪乱部１０１と第２データ攪乱部２０１の関係か
ら，Ｂ２＝Ａ６である。以下、同様にして，Ｂ３，Ｂ
４，Ｂ５，Ｂ６，Ｂ７と攪乱される。またＢ３＝Ａ５，
Ｂ４＝Ａ４，Ｂ５＝Ａ３，Ｂ６＝Ａ２，Ｂ７＝Ａ１が成
り立っている。そしてＢ７は、Ｌ７を用いて第２データ
攪乱部２０１で攪乱されてＢ８となり、このＢ８がデー
タ復号化装置２０の出力データ５１２ビットとなる。こ
こで、Ｂ７＝Ａ１であることと、Ｋ０＝Ｌ７であること
と、第１データ攪乱部１０１と第２データ攪乱部２０１
の関係から、Ｂ８＝Ａである。以上のことからわかるこ
とは、５１２ビットのデータＡを、データ暗号化装置１
０において、２５６ビットの鍵データＫを用いて暗号化
した結果である５１２ビットのデータをＢとし、そして
この５１２ビットのデータＢを、データ復号化装置２０
において、先にＡを攪乱してＢを生成した時に用いたの
と同じ２５６ビットの鍵データＫで復号すると、５１２
ビットのデータＡに戻るということである。 （暗号通信システムの動作）次に、上述の図１〜図６を
参照し、本暗号通信システム全体の動作を説明する。

【００４７】まず、送信機１においては、入力された一
定時間長の画像情報はディジタル化されて、５１２ビッ
トの平文データが生成される。その平文データと送信機
１に予め保持されていた２５６ビットの鍵データは、デ
ータ暗号化装置１０に入力される。２５６ビットの鍵デ
ータは、第１鍵制御部１０３に入力されて、３２ビット
ずつの上位から部分鍵データＫ０，Ｋ１，…，Ｋ７に分
割される。

【００４８】５１２ビットの平文データは、第１データ
攪乱部１０１に入力され、そして出力された値を再び第
１データ攪乱部１０１に入力する。これを８回繰り返
す。この時、第１データ攪乱部１０１には、３２ビット
の部分鍵データとしてＫ０から順にＫ１，Ｋ２，…，Ｋ
７が入力される。そして最終的に第１データ攪乱部１０
１から出力された値を５１２ビットの暗号文データとし
て出力する。

【００４９】そして、データ暗号化装置１０から出力さ
れた５１２ビットの暗号文データは、送信部１１を介し
て受信機２に送信される。受信機２では、送信機１から
送信されてきた５１２ビットの暗号文データを、受信部
２１で受信して、２５６ビットの鍵データと共にデータ
復号化装置２０に入力する。

【００５０】２５６ビットの鍵データは、第２鍵制御部
２０３に入力されて、３２ビットずつの上位から部分鍵
データＬ７，Ｋ６，…，Ｌ０に分割される。５１２ビッ
トの暗号文データは、第２データ攪乱部２０１に入力さ
れ、そして出力された値を再び第２データ攪乱部２０１
に入力する。これを８回繰り返す。この時、第２データ
攪乱部２０１には、３２ビットの部分鍵データとしてＬ
０から順にＬ１，Ｌ２，…，Ｌ７が入力される。そして
最終的に第２データ攪乱部２０１から出力された値を５
１２ビットの復号文データとして出力する。

【００５１】復号文データは、受信機２において画像信
号または音声信号に変換されてディスプレイまたはスピ
−カ−から表示また出力される。ここで上述したよう
に、ある５１２ビットの平文データＡを鍵データＫを用
いてデータ暗号化装置１０で暗号化した暗号文Ｂを、同
じ鍵データＫを用いてデータ復号化装置２０で復号した
復号文Ｃは、平文データＡに等しい。次に本データ暗号
化装置１０の安全性について、述べる。

【００５２】本実施形態で述べた第１データ攪乱部１０
１において、データ変換部３００に入力されるデータ３
２ビットは、５１２ビットの入力データ全ての影響があ
る３２ビットである。よってデータ暗号化装置１０は、
１回目の第１データ攪乱部での攪乱により、出力の各ビ
ットに５１２ビットの入力データの全てのビットの影響
を及ぼしめることができる。これにより、平文データを
構成する１つのブロックをそのままデータ変換部４１に
入力させる従来のデータ攪乱装置４０に比べ、暗号化の
安全性は高くなる。

【００５３】以上のように、本発明により、従来のＧｅ
ｎｅｒａｌｉｚｅｄ ＤＥＳ方式による高速性という利
点を享受しつつ、その欠点である安全性の問題が解消さ
れる。なお、本実施形態のデータ暗号化装置１０及びデ
ータ復号化装置２０の各構成部は、ＥＸＯＲ（Exclusiv
e-OR）等の論理回路を用いた専用のハ−ドウェアで実現
することができるだけでなく、汎用のマイクロプロセッ
サ、制御プログラム、上記テーブルを格納したＲＯＭ及
び作業域としてのＲＡＭ等からなるコンピュ−タシステ
ム上でのソフトウェアによって実現することができるの
は言うまでもない。

【００５４】また、本実施形態では、第1データ攪乱部
１０１の融合手段は１５個の排他的論理和部１１００〜
１１１４からなり、１６個のブロックＸ０〜Ｘ１５の排
他的論理和を算出したが、本発明はこれら個数に限定さ
れるものではない。例えば、融合手段は７個の排他的論
理和部から構成され、一つおきに選び出した８個のブロ
ックＸ１、Ｘ３、Ｘ５、Ｘ７、Ｘ９、Ｘ１１、Ｘ１３、
Ｘ１５だけの排他的論理和を算出するものであってもよ
い。そして、データ復号化装置２０の対応する部分（１
５個の排他的論理和部２２００〜２２１４）も同様に変
更すればよい。これにより、安全性は若干劣るが、必要
な回路は削減され処理は高速化される。つまり、融合手
段を構成する排他的論理和部の規模は、必要とされる回
路の大きさ（又は処理時間）と安全性とのトレードオフ
を考慮して決定すればよい。

【００５５】また、このように１６個のブロックの一部
についてのみ融合する場合には、融合の対象となるブロ
ックを繰り返し回数に応じて変化させる方式とすること
もできる。具体的には、第1段数制御部１０２による制
御の下で、１回目の攪乱において奇数ブロックＸ１、Ｘ
３、…、Ｘ１５のみ融合し、２回目の攪乱において偶数
ブロックＸ０、Ｘ２、…、Ｘ１４のみ融合し、３回目の
攪乱において下位ブロックＸ０〜Ｘ７のみ融合し、…と
いうように予め回数値と対象ブロックとを決めておくや
り方である。これにより、固定したブロックのみを融合
する場合に比べて同一回路規模（処理時間）でも安全性
を高めることができる。

【００５６】同様に、本実施形態の第1データ攪乱部１
０１の合成手段は１５個の排他的論理和部１２００〜１
２１４から構成されたが、これらの個数を削減すること
もできる。例えば、図４において、入力ブロックＸ１５
をそのまま出力ブロックＹ１４として出力させること
で、１個の排他的論理和部１２１４を削減する等であ
る。但し、安全性の点からは、合成手段は本実施形態の
如く１５個の排他的論理和部１２００〜１２１４から構
成するのが好ましい。

【００５７】また、本実施形態では、融合手段及び合成
手段は排他的論理和部で構成されたが、キャリー付きの
フルアダー等の可逆な演算であれば排他的論理和に限定
されないことは言うまでもない。但し、融合手段は、従
来のＧｅｎｅｒａｌｉｚｅｄＤＥＳ方式の高速性を損な
うことがない程度の簡易なものが望ましい。また、本実
施形態で述べたデータ暗号化装置１０またはデータ復号
化装置２０において、第１データ攪乱部１０１、第２デ
ータ攪乱部２０１への入力を繰り返す回数を８回として
いるが、これは８回でなくてもよい。繰り返し回数が８
回よりも少ない場合は、データ暗号化装置１０、データ
復号化装置２０に入力される鍵データのビット数２５６
ビットよりも少なくすることができる。一方、繰り返し
回数が８回よりも多い場合は、データ暗号化装置１０、
データ復号化装置２０に入力される鍵データのビット数
２５６ビットよりも多くすればよい。また繰り返し回数
が８回よりも多い場合でも、鍵データを２５６ビットの
ままにして、分割された部分鍵データを重複して使用す
ることもできる。

【００５８】また、データ変換部３００、３０１は本実
施形態の構成に限られるものではなく、３２ビットの入
力データと３２ビットの部分鍵データとから出力データ
を一意に特定できる変換であればよい。つまり、出力デ
ータと部分鍵データとから変換前の入力データに復元す
ることができない一方向性変換であってもよい。さら
に、本実施形態では、融合手段、合成手段及びデ−タ変
換部３００、３０１は、いずれも３２ビットデータを１
個のブロックとしブロックを変換単位としたが、本発明
はこのようなビット数やブロック数に限定されるもので
はない。例えば、本発明を汎用の６４ビットＣＰＵで実
現する場合であれば６４ビットデータを1個のブロック
として変換したり、逆に処理の高速性を考慮し、1個の
ブロックの半分のビット数のデータ（例えば、下位１６
ビットデータ）のみを変換するものであってもよい。

【００５９】

【発明の効果】以上の説明から明らかなように本発明は
Ｎビットのデータを１個のブロックとするＭ個（Ｍ≧
３）のブロックからなる平文データを予め与えられた鍵
データに基づいて暗号化し暗号文データとして出力する
データ暗号化装置であって、前記Ｍ個のブロックを１個
のブロックに融合する融合手段と、前記融合手段により
得られたブロックを前記鍵データに基づいて変換する変
換手段と、前記変換手段により得られたブロックと前記
Ｍ個のブロックのうち予め定められたＪ個のブロックの
それぞれとを合成する合成手段と、前記合成手段により
得られたＪ個のブロックを含むＭ個のブロックを前記暗
号文データとして出力する出力手段と備えることを特徴
とする。

【００６０】つまり、従来のＧｅｎｅｒａｌｉｚｅｄ
ＤＥＳ方式如く平文データを構成する１つのブロックが
そのまま変換手段に入力されるのでなく、平文データを
構成する全てのブロックが融合されたものが変換手段に
入力される。これにより、より多くの入力ブロックの影
響を受けたブロックが変換手段で変換されるので、従来
のＧｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式よりも安全性は
高い。

【００６１】また、前期融合手段を排他的論理和等の簡
易な演算手段で構成することにより、データの暗号化処
理で必要とされる時間のほとんどが変換手段での変換時
間となるので、Ｇｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式と
同様の効果、即ち、単なるＤＥＳ方式よりも暗号化処理
に要する時間が短縮化されるという効果も維持される。

【００６２】よって、本発明に係るデータ暗号化装置は
従来のＧｅｎｅｒａｌｉｚｅｄ ＤＥＳ方式における高
速性を維持しつつ安全性の高い暗号化装置であり、特に
マルチメディア技術の進展が望まれる今日における画像
情報等のリアルタイム秘密通信等に好適であり、その実
用的効果は極めて大きい。

【図面の簡単な説明】

【図１】本発明の実施形態に係る暗号通信システムの構
成を示すブロック図である。

【図２】図１に示されるデータ暗号化装置１０の構成を
示すブロック図である。

【図３】図１に示されるデータ復号化装置２０の構成を
示すブロック図である。

【図４】図２に示される第１データ攪乱部１０１の構成
を示すブロック図である。

【図５】図３に示される第２データ攪乱部２０１の構成
を示すブロック図である。

【図６】図４（及び図５）に示されるデータ変換部３０
０（及び３０１）の構成を示すブロック図である。

【図７】従来のデータ暗号化装置の構成を示すブロック
図である。

【符号の説明】

１ 送信機 ２ 受信機 ３ 伝送路 １０ データ暗号化装置 １１ 送信部 ２０ データ復号化装置 ２１ 受信部 １０１ 第１データ攪乱部 １０２ 第１段数制御部 １０３ 第１鍵制御部 １１００〜１１１４ 排他的論理和部（融合手段） １２００〜１２１４ 排他的論理和部（合成手段） ２０１ 第２データ攪乱部 ２０２ 第２段数制御部 ２０３ 第２鍵制御部 ２１００〜２１１４ 排他的論理和部 ２２００〜２２１４ 排他的論理和部 ３００、３０１ データ変換部 ３００１ 部分鍵加算部 ３００２ 参照鍵算出部 ３００３ テーブル鍵保存部 ３００４ テーブル鍵排他的論理和部

フロントページの続き (56)参考文献 特開 平６−118872（ＪＰ，Ａ) Ｂｒｕｃｅ Ｓｃｈｎｅｉｅｒ ａｎ ｄ Ｊｏｈｎ Ｋｅｌｓｅｙ，“Ｕｎｂ ａｌａｎｃｅｄ Ｆｅｉｓｔｅｌ Ｎｅ ｔｗｏｒｋｓ ａｎｄ Ｂｌｏｃｋ Ｃ ｉｐｈｅｒ Ｄｅｓｉｇｎ，”Ｌｅｃｔ ｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕ ｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏｌ. 1039，（1996），ｐｐ．121−144 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (8)

(57)【特許請求の範囲】
1. 【請求項１】 Ｎビットのデータを１個のブロックとす
   るＭ個（Ｍ≧３）のブロックからなる平文データを予め
   与えられた鍵データに基づいて暗号化し暗号文データと
   して出力するデータ暗号化装置であって、 前記Ｍ個のブロックを１個のブロックに融合する融合手
   段と、 前記融合手段により得られたブロックを前記鍵データに
   基づいて変換する変換手段と、 前記変換手段により得られたブロックと前記Ｍ個のブロ
   ックのうち予め定められたＪ個のブロックのそれぞれと
   を合成する合成手段と、 前記合成手段により得られたＪ個のブロックを含むＭ個
   のブロックを前記暗号文データとして出力する出力手段
   とを備えることを特徴とするデータ暗号化装置。
2. 【請求項２】 前記融合は前記Ｍ個のブロックについて
   のビットごとの排他的論理和をとる演算であることを特
   徴とする請求項１記載のデータ暗号化装置。
3. 【請求項３】 前記合成は前記変換手段により得られた
   ブロックと前記Ｊ個のブロックのそれぞれとのビットご
   との排他的論理和をとる演算であることを特徴とする請
   求項２記載のデータ暗号化装置。
4. 【請求項４】 前記変換は非可逆な演算であり、 前記暗号文データには前記融合手段により得られたブロ
   ックが含まれることを特徴とする請求項３記載のデータ
   暗号化装置。
5. 【請求項５】 前記Ｍは４以上の偶数であり、 前 記Ｊは（Ｍ−１）であることを特徴とする請求項４記
   載のデータ暗号化装置。
6. 【請求項６】 Ｎビットのデータを１個のブロックとす
   るＭ個（Ｍ≧３）のブロックからなる暗号文データを予
   め与えられた鍵データに基づいて復号化し復号文データ
   として出力するデータ復号化装置であって、 前記Ｍ個のブロックのうち予め定められた１個のブロッ
   クを前記鍵データに基づいて変換する変換手段と、 前記変換手段により得られたブロックと前記Ｍ個のブロ
   ックのうち予め定められたＪ個のブロックのそれぞれと
   を合成する合成手段と、 前記合成手段により得られたＪ個のブロックを含むＭ個
   のブロックを１個のブロックに融合する融合手段と、 前記融合手段により得られた１個のブロックと前記合成
   手段で得られたJ個のブロックとを含むＭ個のブロック
   を前記復号文データとして出力する出力手段とを備える
   ことを特徴とするデータ復号化装置。
7. 【請求項７】 前記融合は前記Ｍ個のブロックについて
   のビットごとの排他的論理和をとる演算であることを特
   徴とする請求項６記載のデータ復号化装置。
8. 【請求項８】 前記合成は前記変換手段により得られた
   ブロックと前記Ｊ個のブロックのそれぞれとのビットご
   との排他的論理和をとる演算であることを特徴とする請
   求項７記載のデータ復号化装置。