JP3119735B2 - ビット攪拌装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は秘密通信技術に関し、特
にビット攪拌装置に関する。

【０００２】

【従来の技術】０及び１からなるビット情報化されたデ
ィジタル化情報を公開通信網や放送網を使用して送信す
るに際しては、第三者の盗聴、詐称を完全に防止するの
は困難なため、近年の計算機及び情報処理技術の発達の
もと、送信側は送信情報を攪拌して送信し、一方受取側
はこの攪拌された情報を逆の手順で元に戻すことが行わ
れている。そして、この技術に用いられるのがビット攪
拌である。このビット攪拌は秘密鍵通信方式に係る技術
の一つでもあり、高速で攪拌率が高く、またＬＳＩで実
行する場合には回路規模が小さいことが要求される。以
下、このビット攪拌をおこなうために従来なされてきた
方法について記す。

【０００３】なお、実際の送受信に際しては、計算機や
各種送受信設備での処理や取り合いの便宜等をも考慮の
上、少なくも６４ビットを一区切りとしてビット攪拌を
行うことが多いが、本明細書においては発明内容（要
旨）の理解性を考慮の上、原則として４ビットを一区切
りとしてビット攪拌を行う場合を説明する。また、ディ
ジタル信号の公開通信網を使用しての秘密鍵通信方法に
ついては例えば、別途本願出願人が、特願平３−１９９
１４８号、同３−２２７１２５号、同３−３１８８１６
号、同４−１６８００７号等 にて出願し、また池野信
一、小山謙二共著 「現代暗号理論」 電子通信学会発
行 等にも説明されている技術であるため、その一般的
な内容の説明は省略する。更に、連続して発生する送信
情報を所定数ずつのビット情報に区分けする技術、これ
らのビット情報や固定値としてのビット情報に対しての
行列の演壇や排他的論理和を求めるための具体的回路構
成等は、例えば、オーム社刊 渡辺 茂 他著「マイク
ロコンピュータハンドブック」、オーム社刊 情報処理
学会編「情報処理ハンドブック」等に記載されている周
知の技術であるため、同じく説明は省略する。［ 第一の従来例］ 第一の従来例として、ディジタル化した情報を、置換に
より攪拌するビット攪拌器について説明する。図３に、
このビット攪拌器の攪拌ビット数ｎ＝４の場合の回路の
構成を示す。

【０００４】以下、この置換による４ビット攪拌につい
て説明する。 ［ビット攪拌器の構成］ ４ビットの入力〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕に対して同
じく４ビットの出力〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕を ａ₀ → ｂ₂ ａ₁ → ｂ₃ ａ₂ → ｂ₁ ａ₃ → ｂ₀ となるように電線（ここにいう電線とは、ビット情報と
しての電流、電圧、光等が伝わる通信線若しくは回路と
いう意味である。）を交差させたものである。 ［ビット攪拌器の回路規模］ 電線の引き回しであるため、回路構成は非常に簡単にな
る。 ［ビット攪拌器を用いた送信信号の攪拌］ ディジタル化された４ビットの情報を、このビット攪拌
器に入力し、その出力をそのまま送信する。 ［受信回路］ 上記送信回路で送られてきた情報の復元は、受信情報を
同じビット攪拌器の入出力部を逆にして通すことにより
なされる。 ［ビット攪拌器の安全性］ このビット攪拌器は、以下の行に示す４ビットの、すな
わち４個の、数学でいう置換（数１）をハード的になす
ものである。

【０００５】

【数１】

【０００６】本置換においては、上の行の列が入力ビッ
トで、下の行の列が出力ビットである。つまり、例えば
最初の第０ビットは最後の第３ビットに移ることを示
す。（なお、本明細書においては、置換や行列における
順番は原則として「１」からでなく「０」から数えるも
のとする。）さて、このような置換の総数は４！通りで
あるが、どの置換を用いても入力１ビットが出力１ビッ
トにしか影響を与えない。このため、送信中の情報を盗
聴した悪意ある第三者によって１ビットの変更が行われ
ても、その影響は出力１ビットにしか影響を与えない。
このため、それに気づかずに、変更された情報がそのま
ま復元される危険性がある。一例を示すなら、９（１０
０１）の最上位の桁が「１」から「０」に変更されたた
め１となり、ひいては２月９日が２月１日に、あるいは
１億９００万円が１億１００万円に変更の上復元され、
しかもこの種の変更は、意味のある「日本国」が無意味
な「日本小」や「日本見」等に変更の上復元されるのと
異なり、気付き難い。

【０００７】また、通信網における何等かの異常、例え
ば、落雷等で回路の一部に不都合が生じても同様なこと
が生じる。更にまた、有料放送においては、放送料金を
納入した者にあらかじめ復号装置を貸与した上で映像情
報をディジタル信号化した上で秘密化して放送をなす
が、その際無断（無料）盗聴防止の面から復号手段の一
部でも不明であるならば、送信情報が全く復元できない
ようにしたいという要望があるが、この面からも難があ
る。

【０００８】このため、かかるビット攪拌器について
は、その性能の良し悪しの尺度としてビット攪拌率とい
う概念導入せられている。そして入力ビットの変化が出
力のビットに小さな影響しか与えないことをビット攪拌
率が小さいという。逆に最適なビット攪拌とは、入力１
ビットが出力の平均半分のビットに影響を与えることで
ある。なお、実際にはいつも完全に半分であると復号の
ヒントとなること、他の事情等もあり、半分前後も採用
される。

【０００９】そして、行列化とビット情報の演算では、
行列の各行に１の立つビット数が半分にあるとき、入力
に行列をかけると１の立つビットに対応するビットが出
力に影響する。なお、ディジタル信号の暗号化では、
“ビットなだれ効果”が重要であるといわれるがこれは
“出力１ビットに入力ビットの半分が関係している”と
いう意味であり、行列の半分が１であるとこれが充たさ
れる。

【００１０】

【数２】 ｂ₀ に関与する入力ビット ａ₀ ，ａ₁ ，ａ₂ ｂ₁ 〃 ａ₁ ｂ₂ 〃 ａ₂ 行列の各行に立つ１が半分くらいになると、半分の入力
が出力に関与する。なお、全ビットが影響すると、通常
その補数（コンプリメント）をとると、全く影響しない
こととなるため、全ビットが影響するのは好ましくな
い。

【００１２】また、出力の各ビットに影響を与える入力
ビットが、対応する入力ビットを除くと相関があること
をビット攪拌に偏りがあるという。［ 第二の従来例］ 第二の従来例として、ディジタル化された情報をある特
定値との排他的論理和により攪拌するビット攪拌器につ
いて説明する。図４に、この従来例の攪拌ビット数ｎ＝
４の場合の回路構成を示す。以下、ある特定値との排他
的論理和による４ビット攪拌について説明する。 ［ビット攪拌器の構成］ ４ビットの入力〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕と、秘密鍵
若しくは共有鍵といわれる秘密の数値情報に相応する４
ビットの特定値ｋ＝〔０，１，１，１〕とのビット毎の
排他的論理和を出力〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕とす
る。 ［ビット攪拌器の回路規模］ 回路はビット毎の排他的論理和のみにより実現されるの
で、一般にｎビットの攪拌に対してｎのオーダのゲート
（ここにゲートとは、入力のための接続、切断を行う電
子回路をいい、排他的論理和は３ゲート、論理積は１ゲ
ートである。）、ｎビットのメモリという小さい回路と
なる。 ［ビット攪拌器を用いた送信回路の一例］ ディジタル化された４ビットの情報を、このビット攪拌
器に入力し、出力を取り出すことにより攪拌して送信す
る。 ［受信回路］ 上記送信回路で攪乱された上送られてきた情報の復元
は、受信信号をそのまま同じ回路のビット攪拌器に通す
ことによりなされる。 ［ビット攪拌器の安全性］ このビット攪拌器は、４ビットの特定値との排他的論理
和にすぎないので、この総数は２⁴ 通りあるが、そのい
ずれを用いても入力１ビットが出力１ビットにしか影響
を与えない。このため従来例１と同様、最適なビット攪
拌でないことがわかる。［ 第三の従来例］ 第三の従来例として、ディジタル化された情報を、各行
の１の数がその列の平均半分程度ある行列との積により
攪拌するビット攪拌器がある。図５に、この従来例の攪
拌ビット数ｎ＝４の場合の回路構成を示す。

【００１３】以下、この攪拌器について説明する。 ［ビット攪拌器の構成］ に対して、それぞれ４ビットの入力〔ａ₀ ，ａ₁ ，
ａ₂ ，ａ₃ 〕とのビット毎の論理積を取り、その各結果
に対して、それぞれ全ビットの排他的論理和を取ったも
の（これをトーナメント排他的論理和と呼ぶ）を出力と
するように構成する。なお、ここに、上記４つの特定値
ｋ_i （ｉ＝１，…，４）は秘密鍵、共有鍵に相応するも
のである。 ［ビット攪拌器の回路規模］ ４ビットの攪拌に１６個の論理積と１２個の排他的論理
和が必要になり、一般にｎビットの攪拌に対してｎ² の
オーダ（ここに、ｎ² のオーダとは（ｎ² ／定数）以上
（ｎ² ＊定数）以下という意味である。定数が２、３程
度である一方、ｎが６４、１２８、…と大きくなると回
路規模等は実用上ｎ² により支配される。）のゲート数
が必要であり、きわめて大きい回路になる。また、４ビ
ットの攪拌に１６ビットのメモリが必要になり、一般に
ｎビットの攪拌に対してｎ² ビットのメモリが必要であ
る。 ［ビット攪拌器を用いた送信回路の一例］ ４ビットのディジタル情報を、図５に示すビット攪拌器
に入力し、攪拌した上でその出力を送信する。 ［受信回路］ 送信情報を復元するには、同じ回路のビット攪拌器を受
信回路として用いるが、上記４つの固定値の代わりに以
下の固定値を用いる。

【００１４】 ｋ₁ ’＝ 〔１，１，０，１〕 ｋ₂ ’＝ 〔０，１，１，０〕 ｋ₃ ’＝ 〔１，１，０，１〕 ｋ₄ ’＝ 〔０，１，０，１〕 ［ビット攪拌器の安全性］ 上記で構成したビット攪拌器は、実際には、４ビットの
入力をＡ＝〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕、出力をＢ＝
〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕とするとき、４つの固定値
ｋ₁ ，ｋ₂ ，ｋ₃ ，ｋ₄ を第零行から順に第三行（既述
のごとく、最初の行を第１行でなく第零行として数え
る。）として求められる４×４行列Ｍ２（数３）

【００１５】

【数３】

【００１６】に対して、出力Ｂの転値Ｂ^t を、（数４）
のように入力Ａの転値Ａ^t と行列Ｍ２との積として求め
るものである。

【００１７】

【数４】

【００１８】また、受信回路で使われるｋ₁ ’，
ｋ₂ ’，ｋ₃ ’，ｋ₄ ’により同様に構成した行列は丁
度Ｍ２の逆行列Ｍ２^-1になっている。このとき、行列Ｍ
２の１の数が各行に対して平均半分ぐらいあるので、入
力１ビットが出力の平均半分のビットに影響を与える最
適なビット攪拌になり、ビット攪拌の偏りが緩和され
る。

【００１９】

【発明が解決しようとする課題】以上説明したように、
従来のディジタル化された情報をビット攪拌して送信す
る技術には、以下のような問題がある。まず回路規模を
小さくするために、置換もしくは特定値の排他的論理和
でビット攪拌を行う第一及び第二従来例では、ビット攪
拌に偏りが存在する。また、ビット攪拌率が低いため、
第三者の悪意の操作や回路の不具合等によるビットの変
更が行われても、それに気づかないまま情報が復元され
る危険性が起こる。更に、有料秘密放送等では結果的に
事実上の解読がなされ易くなる。そしてこれらの問題は
入力に冗長性がある場合には特に顕著である。

【００２０】第三従来例では、ｎビットの攪拌にｎ×ｎ
個の論理積と（ｎ−１）×ｎ個の排他的論理和、ｎ² ビ
ットのメモリが必要になる。つまりｎビットの攪拌に対
してｎ² のオーダのゲート数及びメモリが必要なので、
ｎが大きくなると回路規模が非常に大きくなる。そして
特に、従来の技術欄で説明したごとく、通常は６４ビッ
ト以上の情報を一区切りとしてビット攪乱がなされるた
め、第１及び第２従来例においては事実上の解読の容易
性はともかく、極く少数のビット変更に気づき難くな
り、第３従来例においては必要な回路規模等が急速に増
大するため、その不都合が増加する。

【００２１】本発明は以上の問題点に鑑みてなされたも
のであり、攪拌率が高く、ビット攪拌に偏りがなく、か
つ回路規模の小さいビット攪拌器を提供することを目的
とする。

【００２２】

【課題を解決するための手段】上記目的を達成するた
め、請求項１の発明においては、ｎビットの入力データ
をｎビットの出力データに変換するビット攪拌装置であ
って、ｎビットの鍵データを記憶する記憶手段と、前記
記憶手段に記憶された鍵データと前記入力データについ
て対応するビット毎に論理積をとり、得られたｎ個の論
理積について有限体ＧＦ（２）上の和を算出する積和演
算手段と、前記記憶手段に記憶された鍵データの各ビッ
トを反転して得られる反転値のビットそれぞれと前記積
和演算手段によって得られた値との論理積をとる論理積
手段と、前記論理積手段により得られたｎビットデータ
と前記入力データについて対応するビット毎に排他的論
理和をとることにより前記出力データを算出する論理和
手段とを備えることを特徴とする。

【００２３】請求項２の発明は、請求項１の発明におい
て、前記記憶手段に記憶された鍵データは１のビット数
と０のビット数とが略等しいことを特徴とする。

【００２４】請求項３の発明は、ｎビットの入力データ
をｎビットの出力データに変換するビット攪拌装置であ
って、ｎビットの鍵データを記憶する記憶手段と、前記
記憶手段に記憶された鍵データを予め定められた第１の
関数に従って変換し、得られたｎビットデータと前記入
力データについて対応するビット毎に論理積をとり、得
られたｎ個の論理積について有限体ＧＦ（２）上の和を
算出する第１の積和演算手段と、前記記憶手段に記憶さ
れた鍵データを予め定められた関数に従って変換し、得
られたｎビットデータと前記入力データについて対応す
るビット毎に論理積をとり、得られたｎ個の論理積につ
いて有限体ＧＦ（２）上の和を算出する第２の積和演算
手段と、前記記憶手段に記憶された鍵データの各ビット
を反転して得られる反転値のビットのうちｋ個のビット
それぞれと前記第１の積和演算手段によって得られた値
との論理積をとる第１の論理積手段と、前記反転値のｋ
個のビットを除く（ｎ−ｋ）個のビットそれぞれと前記
第２の積和演算手段によって得られた値との論理積をと
る第２の論理積手段と、前記第１の論理積手段により得
られたｋビットのデータと第２の論理積手段により得ら
れた（ｎ−ｋ）ビットのデータとを連結して得られるｎ
ビットデータと前記入力データについて、対応するビッ
ト毎に排他的論理和をとることにより前記出力データを
算出する論理和手段とを備えることを特徴とする。

【００２５】請求項４の発明は、請求項３の発明におい
て、前記記憶手段に記憶された鍵データは１のビット数
と０のビット数とが略等しいことを特徴とする。

【００２６】請求項５の発明は、請求項４の発明におい
て、前記第１の関数は恒等置換であり、前記第２の関数
はビットの巡回シフトであることを特徴とする。

【００２７】

【００２８】

【００２９】

【００３０】

【００３１】

【００３２】

【作用】上記構成により、請求項１の発明においては、入力データをＡ＝〔ａ ₀ ，ａ ₁ ，・・・，ａ _n-1 〕、 出力データをＢ＝〔ｂ ₀ ，ｂ ₁ ，・・・，ｂ _n-1 〕、 鍵データをＲ＝〔ｒ ₀ ，ｒ ₁ ，・・・，ｒ _n-1 〕としたと
きに、出力データＢは、 ｂ ₀ ＝ａ ₀ ＋ｒ ₀ ＾＊（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁ ＋・・・＋ｒ ₃ ＊ａ _n-1 ） ｂ ₁ ＝ａ ₁ ＋ｒ ₁ ＾＊（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁ ＋・・・＋ｒ ₃ ＊ａ _n-1 ） ・ ｂ _n-1 ＝ａ _n-1 ＋ｒ _n-1 ＾＊（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁ ＋・・・＋ｒ _n-1 ＊ａ _n-1 ） となる。但し、＾はビット反転で、乗法及び加法は共に
有限体ＧＦ（２）上の演算である。つまり、入力データ
Ａの各ビットそれぞれに対して、異なる積和演算が行わ
れるのではなく、共通の積和演算（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁
＋・・・＋ｒ _n-1 ＊ａ _n-1 ）の結果を用いた演算によるビ
ット攪拌が行われる。

【００３３】請求項２の発明においては、鍵データＲは
１のビット数と０のビット数とが略等しいという性質を
有するので、このビット攪拌装置全体をｎ×ｎの変換行
列と考えた場合に、その変換行列の各行における１の数
が略半数となり、入力データにおける１ビットが出力デ
ータの略半数のビットに影響を与えるビット攪拌が行わ
れる。

【００３４】請求項３の発明においては、例えば、ｎを
４、ｋを２、 入力データをＡ＝〔ａ ₀ ，ａ ₁ ，ａ ₂ ，ａ ₃ 〕、 出力データをＢ＝〔ｂ ₀ ，ｂ ₁ ，ｂ ₂ ，ｂ ₃ 〕、 鍵データをＲ＝〔ｒ ₀ ，ｒ ₁ ，ｒ ₂ ，ｒ ₃ 〕、 鍵データＲが第１の関数ｆ ₁ によって変換された場合に
得られるデータＱを Ｑ＝〔ｑ ₀ ，ｑ ₁ ，ｑ ₂ ，ｑ ₃ 〕、 鍵データＲが第２の関数ｆ ₂ によって変換された場合に
得られるデータＳを Ｓ＝〔ｓ ₀ ，ｓ ₁ ，ｓ ₂ ，ｓ ₃ 〕としたときに、 出力データＢは、 ｂ ₀ ＝ａ ₀ ＋ｒ ₀ ＾＊（ｑ ₀ ＊ａ ₀ ＋ｑ ₁ ＊ａ ₁ ＋ｑ ₂ ＊ａ ₂ ＋ｑ ₃ ＊ａ ₃ ） ｂ ₁ ＝ａ ₁ ＋ｒ ₁ ＾＊（ｑ ₀ ＊ａ ₀ ＋ｑ ₁ ＊ａ ₁ ＋ｑ ₂ ＊ａ ₂ ＋ｑ ₃ ＊ａ ₃ ） ｂ ₂ ＝ａ ₂ ＋ｒ ₂ ＾＊（ｓ ₀ ＊ａ ₀ ＋ｓ ₁ ＊ａ ₁ ＋ｓ ₂ ＊ａ ₂ ＋ｓ ₃ ＊ａ ₃ ） ｂ ₃ ＝ａ ₃ ＋ｒ ₃ ＾＊（ｓ ₀ ＊ａ ₀ ＋ｓ ₁ ＊ａ ₁ ＋ｓ ₂ ＊ａ ₂ ＋ｓ ₃ ＊ａ ₃ ） となる。つまり、入力データＡの各ビットそれぞれに対
して、異なる積和演算が行われるのではなく、２種類の
積和演算（ｑ ₀ ＊ａ ₀ ＋ｑ ₁ ＊ａ ₁ ＋ｑ ₂ ＊ａ ₂ ＋ｑ ₃ ＊ａ ₃ ）
及び（ｓ ₀ ＊ａ ₀ ＋ｓ ₁ ＊ａ ₁ ＋ｓ ₂ ＊ａ ₂ ＋ｓ ₃ ＊ａ ₃ ）の結
果を用いた演算によるビット攪拌が行われる。

【００３５】請求項４の発明においては、鍵データＲは
１のビット数と０のビット数とが略等しいという性質を
有するので、このビット攪拌装置全体をｎ×ｎの変換行
列と考えた場合に、上記ｋの値や関数の内容によっては
その変換行列の各行における１の数が略半数となる確立
が高くなるので、入力データにおける１ビットが出力デ
ータの略半数のビットに影響を与えるビット攪拌が行わ
れ得る。

【００３６】請求項５の発明においては、上記データ
Ｑ、Ｒは、例えば、 Ｑ＝〔ｒ ₀ ，ｒ ₁ ，ｒ ₂ ，ｒ ₃ 〕、 Ｓ＝〔ｒ ₁ ，ｒ ₂ ，ｒ ₃ ，ｒ ₀ 〕、 となるので、出力データＢは、 ｂ ₀ ＝ａ ₀ ＋ｒ ₀ ＾＊（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁ ＋ｒ ₂ ＊ａ ₂ ＋ｒ ₃ ＊ａ ₃ ） ｂ ₁ ＝ａ ₁ ＋ｒ ₁ ＾＊（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁ ＋ｒ ₂ ＊ａ ₂ ＋ｒ ₃ ＊ａ ₃ ） ｂ ₂ ＝ａ ₂ ＋ｒ ₂ ＾＊（ｒ ₁ ＊ａ ₀ ＋ｒ ₂ ＊ａ ₁ ＋ｒ ₃ ＊ａ ₂ ＋ｒ ₀ ＊ａ ₃ ） ｂ ₃ ＝ａ ₃ ＋ｒ ₃ ＾＊（ｒ ₁ ＊ａ ₀ ＋ｒ ₂ ＊ａ ₁ ＋ｒ ₃ ＊ａ ₂ ＋ｒ ₀ ＊ａ ₃ ） となる。これら２種類の積和演算（ｒ ₀ ＊ａ ₀ ＋ｒ ₁ ＊ａ ₁
＋ｒ ₂ ＊ａ ₂ ＋ｒ ₃ ＊ａ ₃ ） 及び（ｒ ₁ ＊ａ ₀ ＋ｒ ₂ ＊ａ ₁ ＋ｒ
₃ ＊ａ ₂ ＋ｒ ₀ ＊ａ ₃ ）は鍵データＲと入力データＡとのビ
ット毎の論理積となっているので、鍵データの１のビッ
ト数と０のビット数とが略等しいという性質より、この
ビット攪拌装置全体をｎ×ｎの変換行列と考えた場合
に、その変換行列の各行における１の数が略半数とな
り、入力データにおける１ビットが出力データの略半数
のビットに影響を与えるビット攪拌が行われる。

【００３７】

【００３８】

【００３９】

【００４０】

【００４１】

【００４２】

【実施例】以下、本発明を実施例に基づき説明する。 （第１実施例） 本実施例の基本は請求項１の発明に係る。図１は本発明
の攪拌ビット数ｎ＝４、分割数ｔ＝１の実施例における
ビット攪拌器の回路図を示すものである。以下本図を参
照しながら実施例の手順を説明する。 ［ビット攪拌器の構成］ 固定値Ｒ＝〔ｒ₀ ，ｒ₁ ，ｒ₂ ，ｒ₃ 〕＝〔１，０，
０，１〕に対して、４ビットの入力Ａ＝〔ａ₀ ，ａ₁ ，
ａ₂ ，ａ₃ 〕とのビット毎の論理積を取り、その結果に
対して、全ビットの排他的論理和を取ったもの（トーナ
メント排他的論理和）と、固定値Ｒの反転の各ビットと
の論理積をとり、その各出力と入力とのビット毎の排他
的論理和を取ったものを出力Ｂ＝〔ｂ₀ ，ｂ₁ ，ｂ₂ ，
ｂ₃ 〕とするように構成する。 ［ ビット攪拌器の回路規模］ ４ビットの攪拌が、排他的論理和７個、論理積８個で実
現できることになる。一般に、ｎビットの攪拌に排他的
論理和が２＊ｎ−１個、論理積が２＊ｎ個必要になり、
ｎのオーダのゲート数で実現できることになり、回路は
非常に簡単になる。また、４ビットの攪拌に必要なメモ
リが４ビットになる。一般に、ｎビットの攪拌に必要な
メモリはｎビットになる。 ［ビット攪拌器を用いた送信回路の一例］ デジタル化された４ビットの情報〔ａ₀ ，ａ₁ ，ａ₂ ，
ａ₃ 〕を、図１に示すビット攪拌器にそのまま入力する
ことにより攪拌して送信する。 ［受信回路］ 上記送信回路で送られてきた情報を復元するには、（図
１）と同じ回路を有するビット攪拌器を受信回路として
用いる。 ［ビット攪拌器の安全性］ 上記で構成したビット攪拌器は、実際には、４ビットの
入力をＡ＝〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕、４ビットの出
力をＢ＝〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕、１×４行列ｅ_i
を最初の列を第零列とし、第ｉ列目のみが１で他は０で
ある行列とするとき、固定値Ｒに対して、第零行を前記
固定値Ｒの第零ビット目ｒ₀ が１であることより、ｅ₀
になるので、〔１，０，０，０〕とし、第一行を前記固
定値Ｒの第一ビット目ｒ₁ が０であることより、ｅ₁ と
前記固定値Ｒとの排他的論理和になるので、〔１，１，
０，１〕とし、第二行を前記固定値Ｒの第二ビット目ｒ
₂ が０であることより、ｅ₂ と前記固定値Ｒとの排他的
論理和になるので、〔１，０，１，１〕とし、第三行を
前記固定値Ｒの第三ビット目ｒ₃ が１であることより、
ｅ₃ になるので、〔０，０，０，１〕とし、即ち（数
５）で示される行列

【００４３】

【数５】

【００４４】として求められるＧＦ（２）上の４×４行
列Ｍを用いて、出力Ｂの転値Ｂ^t を、（数６）のように
入力Ａの転値Ａ^t と行列Ｍとの積として求めるものであ
る。

【００４５】

【数６】

【００４６】上記のように、行列Ｍとの乗法としてビッ
ト攪拌を行うとき、入力ビットＡ＝〔ａ₀ ，ａ₁ ，
ａ₂ ，ａ₃ 〕に対して、出力ビットＢ＝〔ｂ₀ ，ｂ₁ ，
ｂ₂ ，ｂ₃〕は次のように計算される。 ｂ₀ ＝ａ₀ ＋ｒ₀ ＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） ｂ₁ ＝ａ₁ ＋ｒ₁ ＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） ｂ₂ ＝ａ₂ ＋ｒ₂ ＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） ｂ₃ ＝ａ₃ ＋ｒ₃＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） 但し、＾はビット反転で、乗法及び加法は共に有限体Ｇ
Ｆ（２）上の演算である。そこで、上記四つの（ｒ₀ ＊
ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ）の計算を
一つの回路で求めて、回路の削減を図ることにより、ビ
ット攪拌器は（図１）の回路で実現される。

【００４７】またこのビット攪拌器を用いて秘密通信を
行うとき、送信回路に上記の行列Ｍによるビット攪拌器
をそのまま用いると、受信回路は行列Ｍの逆行列Ｍ^-1と
の積により復元できることになるが、行列Ｍの構成か
ら、行列Ｍの逆行列Ｍ^-1はＭに等しい。よって受信側
は、送信側と同一の回路で構成できる。ここで、固定値
の取り方から、行列Ｍは１の数が各行に対して平均半分
ぐらいある行列になり、入力１ビットが出力の平均半分
のビットに影響を与える最適なビット攪拌になる。

【００４８】（第２実施例） 本実施例は、ｎ個毎に区切れかつ次ぎ次ぎに発生する０
若しくは１からなるビット情報を攪拌するビット攪拌器
において、各桁が０若しくは１からなるｎ桁の固定した
ビット情報Ｒ（ｒ ₀ ，ｒ ₁ ，…，ｒ _n - ₁ ）を有する固定値
部と、ｅiを有限体ＧＦ（２）上の第ｉ列のみが１で他
は０である１×ｎ行列とし、この１×ｎ行列がｎ個より
なるｎ×ｎ行列をＭとしたとき、更に、ｔをｎ以下の正
整数、ｋ ₁ 、ｋ ₂ 、…、ｋtをｋ ₁ ＋ｋ ₂ ＋…＋ｋt＝ｎなる
正整数、ｆ ₁ 、ｆ ₂ 、…、ｆtをｎビットからｎビットへ
のｔ個の関数としたときに、前記行列が上から順にｋ ₁
個、ｋ ₂ 個、…、ｋt個を一区切りとして合計ｔ個に区分
けした上で、更に前記固定値から情報を得て上から第ｈ
（ここに１≦ｈ≦ｔ）番の区分けされた各行において
は、行列全体の上から第ｉ行目は前記固定値Ｒの第ｉビ
ット目ｒiが１であればｅiとし、前記固定値Ｒの第ｉビ
ット目ｒiが０であればｅiと前記固定値Ｒの前記関数ｆ
hによる出力値ｆh（Ｒ）との排他的論理和となることに
より構成したｎ×ｎ行列Ｍを有する行列部と、攪拌処理
が入力ビット情報をＡ〔ａ ₀ ，…，ａ _n - ₁ 〕、出力ビット
情報をＢ〔ｂ ₀ ，…，ｂ _n - ₁ 〕とし、更に前記行列Ｍにつ
いての情報を得て、その第ｉ行第ｊ列をｍi,jと表した
ときに、ｂi＝Σ ｍi,s＊ａs（ここにｉ＝０，…，ｎ
−１，ｓ＝０，…，ｎ−１，であり、Σはｓ＝０からｎ
−１までの和）である攪拌部とを有することを特徴とす
るビット攪拌器に関し、これにおいて、ｎ＝４、ｔ＝
２、ｋ₁ ＝２、ｋ₂ ＝２とし、ｆ₁ は恒等置換、ｆ₂ は
左１ビットの巡回置換としたものである。

【００４９】図２は本実施例におけるビット攪拌器の回
路図を示すものである。以下、本図を参照しながらその
手順を説明する。 ［ビット攪拌器の構成］ 固定値Ｒ ＝〔ｒ₀ ，ｒ₁ ，ｒ₂ ，ｒ₃ 〕＝〔１，０，
１，０〕，ｋ₁ ＝２，ｋ₂ ＝２とする。

【００５０】４ビットの入力〔ａ₀ ，ａ₁ ，ａ₂ ，
ａ₃ 〕と固定値Ｒとのビット毎の論理積を取り、その結
果に対して、全ビットの排他的論理和を取ったもの（ト
ーナメント排他的論理和）ｚ₁ と、固定値Ｒの左１巡回
シフトさせたものと入力ビットとのビット毎の論理積を
取り、その結果に対して、全ビットの排他的論理和を取
ったもの（トーナメント排他的論理和）ｚ₂ とを求め、
固定値Ｒの反転Ｒ＾に対して、出力の第零ビット目は、
Ｒ＾の第零ビット目とｚ₁ との論理積をとったものと、
入力ビットの第零ビット目との排他的論理和を取ったも
のとし、出力の第一ビット目は、Ｒ＾の第一ビット目と
ｚ₁ との論理積をとったものと、入力ビットの第一ビッ
ト目との排他的論理和を取ったものとし、出力の第二ビ
ット目は、Ｒ＾の第二ビット目とｚ₂ との論理積をとっ
たものと、入力ビットの第二ビット目との排他的論理和
を取ったものとし、出力の第三ビット目は、Ｒ＾の第三
ビット目とｚ₂ との論理積をとったものと、入力ビット
の第三ビット目との排他的論理和を取ったものとするよ
うに構成する。 ［ビット攪拌器の回路規模］ ４ビットの攪拌が、排他的論理和１０個、論理積１２個
の規模で実現できることになる。一般に、ｎビットの攪
拌に、分割数ｔ＝２とすると、排他的論理和が３＊ｎ−
２個、論理積が３＊ｎ個必要になり、ｎのオーダのゲー
ト数で実現できることになり、回路は非常に簡単にな
る。また、４ビットの攪拌に必要なメモリが４ビットに
なる。一般に、ｎビットの攪拌に必要なメモリはｎビッ
トになる。 ［ビット攪拌器を用いた送信回路の一例］ ８ビットの入力ビットを上記の４ビット攪拌器で、攪拌
して送信する回路を構成する。

【００５１】入力ビットを〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ ，
ａ₄ ，ａ₅ ，ａ₆ ，ａ₇ 〕とし、入力ビットの下位４ビ
ット〔ａ₄ ，ａ₅ ，ａ₆ ，ａ₇ 〕を上記で構成したビッ
ト攪拌器に入力し、その出力〔ｂ₀ ，ｂ₁ ，ｂ₂ ，
ｂ₃ 〕と入力の上位４ビット〔ａ₀ ，ａ₁ ，ａ₂ ，
ａ₃ 〕との排他的論理和を出力の下位４ビットとし、入
力の下位４ビット〔ａ₄ ，ａ₅ ，ａ₆ ，ａ₇ 〕を出力の
上位４ビットとする操作を２回繰り返した結果を出力と
する。この回路は、同じ操作を２回繰り返すので、その
共通操作部のみの回路（図２）で実現される。 ［受信回路］ 上記送信回路で送られてきた情報を復元するには、上記
の送信回路の構成から、受信回路は同じ回路を逆に辿れ
ばよいことがわかる。よって、上記で求めた送信回路
（図２）と同じ回路を受信回路として用いる。 ［ビット攪拌器の安全性］ 上記で構成したビット攪拌器は、実際には、４ビットの
入力をＡ＝〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕、４ビットの出
力をＢ＝〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕、１×４行列ｅ_i
を最初の列を第零列とし、第ｉ列目のみが１で他は０で
ある行列とするとき、固定値Ｒに対して、第零行目から
第一行目までは第一の実施例と同様に、第零行は前記固
定値Ｒの第零ビット目ｒ₀ が１であることより、ｅ₀ に
なるので、〔１，０，０，０〕とし、第一行は前記固定
値Ｒの第一ビット目ｒ₁ が０であることより、ｅ₁ と前
記固定値Ｒとの排他的論理和になるので、〔１，１，
１，０〕とし、第二行目から第三行目までは、固定値Ｒ
の１ビット左巡回置換〔０，１，０，１〕を用いて、第
二行は前記固定値Ｒの第二ビット目ｒ₂ が１であること
より、ｅ₂ になるので、〔０，０，１，０〕とし、第三
行目は前記固定値Ｒの第三ビット目ｒ₃ が０であること
より、ｅ₃ と前記固定値Ｒの左１ビット巡回置換との排
他的論理和になるので、〔０，１，０，０〕とし、即ち
（数７）に示す行列となる。

【００５２】

【数７】

【００５３】として求められるＧＦ（２）上の４×４行
列Ｍを用いて、出力Ｂの転値Ｂ^t を、（数６）のように
入力Ａの転値Ａ^t と行列Ｍとの積として求めるものであ
る。上記のように、行列Ｍとの乗法として攪拌し送信さ
れるとき、入力ビット〔ａ₀ ，ａ₁ ，ａ₂ ，ａ₃ 〕に対
して、出力ビット〔ｂ₀ ，ｂ₁ ，ｂ₂ ，ｂ₃ 〕は次のよ
うに計算される。

【００５４】 ｂ₀ ＝ａ₀ ＋ｒ₀ ＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） ｂ₁ ＝ａ₁ ＋ｒ₁ ＾＊（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ） ｂ₂ ＝ａ₂ ＋ｒ₂ ＾＊（ｒ₁ ＊ａ₀ ＋ｒ₂ ＊ａ₁ ＋ｒ₃ ＊ａ₂ ＋ｒ₀ ＊ａ₃ ） ｂ₃ ＝ａ₃ ＋ｒ₃ ＾＊（ｒ₁ ＊ａ₀ ＋ｒ₂ ＊ａ₁ ＋ｒ₃ ＊ａ₂ ＋ｒ₀ ＊ａ₃ ） 但し、＾はビット反転（ｒ₀ が１なら０、０なら１）で
あり、乗法及び加法は共に有限体ＧＦ（２）上の演算
（１＋１＝０＋０＝０、１＋０＝０＋１＝１）である。

【００５５】そこで、上記二つの（ｒ₀ ＊ａ₀ ＋ｒ₁ ＊
ａ₁ ＋ｒ₂ ＊ａ₂ ＋ｒ₃ ＊ａ₃ ）と同じく二つの（ｒ₁
＊ａ₀ ＋ｒ₃ ＊ａ₁ ＋ｒ₃ ＊ａ₂ ＋ｒ₀ ＊ａ₃ ）の計算
を、それぞれ一つの回路で求めて回路の削減を図ること
により、４ビット攪拌器は（図２）の回路で実現され
る。またこのビット攪拌器を用いて秘密通信を行うと
き、送受信回路は上記で述べたように構成できる。

【００５６】ここで、固定値の取り方から、行列Ｍは１
の数が各行に対して平均半分ぐらいある行列になり、入
力１ビットが出力の平均半分のビットに影響を与える最
適なビット攪拌になる。

【００５７】なお、第１及び第２実施例においては、固
定値Ｒのビット情報（４個）のうち、調度半数を１とし
たが、ビット情報の数ｎが、８なら３〜５個が１、１６
なら７〜９個が１、３２なら１５〜１７個が、６４なら
３０〜３４個が、一般には｛ｎ／２±（log₂ｎ）／３｝
の範囲内の整数個が１ならば、ビット攪拌率が良好、し
かも１の個数に多様性（変化）があるため復号され難
く、しかも回路構成も楽になる。

【００５８】

【発明の効果】第１実施例においては、入力１ビットが
出力の平均半分のビットに影響を与える最適な４ビット
攪拌を論理積８個と排他的論理和が７個という小規模で
実現することができた。また、４ビットの攪拌に必要な
メモリが４ビットで抑えられる。

【００５９】実際にビット攪拌器を用いて秘密通信を行
うときには、ビット数ｎとして、少なくとも６４以上の
大きな数が用いられる。ところが、従来の技術のｎビッ
ト攪拌器は、入力１ビットが出力の平均半分のビットに
影響を与える最適なビット攪拌であるように構成する
と、回路規模がｎ² のオーダのゲート数になったり、必
要なメモリがｎ² ビットになったりする。また逆にｎの
オーダのゲート数及びメモリという小さい回路規模で構
成すると、入力１ビットが出力１ビットにしか影響を与
えない。

【００６０】しかし、本発明のように固定したビット情
報Ｒの１の数を全固定情報の半分程度に取って構成する
と、行列Ｍの１の数が各行に対して平均半分ぐらいある
ので、入力１ビットが出力の平均半分のビットに影響を
与える最適なビット攪拌になる。またビット攪拌器は、
排他的論理和が２＊ｎ−１個、論理積が２＊ｎ個、ｎビ
ットのメモリで実現される。このため、ｎのオーダのゲ
ート数という小さな回路規模で、入力１ビットが出力の
平均半分のビットに影響を与える最適なビット攪拌器を
構成することが可能になる。

【００６１】第２実施例においては、入力１ビットが出
力の平均半分のビットに影響を与える最適な４ビット攪
拌を排他的論理和１０個、論理積１２個、必要なメモリ
が４ビットという小規模で実現することができた。第一
の実施例に比較してゲート数が増えるが、ビット攪拌の
偏りがより緩和されるという利点がある。

【００６２】実際にビット攪拌器を用いて秘密通信を行
うときには、ビット数ｎとして、少なくとも６４以上の
大きな数が用いられる。ところが、従来の技術のｎビッ
ト攪拌器は、入力１ビットが出力の平均半分のビットに
影響を与える最適なビット攪拌であるように構成する
と、回路規模がｎ² のオーダのゲート数になったり、必
要なメモリがｎ² ビットになったりする。また逆にｎの
オーダのゲート数とメモリという小さい回路規模で構成
すると、入力１ビットが出力１ビットにしか影響を与え
ない。

【００６３】しかし、ｎビット攪拌器を本発明のように
固定したビット情報Ｒの１の数を全固定情報の半分ぐら
いに取って構成すると、行列Ｍの１の数が各行に対して
平均半分ぐらいあるので、入力１ビットが出力の平均半
分のビットに影響を与える最適なビット攪拌になる。ま
たビット攪拌器は、排他的論理和が３＊ｎ−２個、論理
積が３＊ｎ個、ｎビットのメモリで実現される。このた
め、ｎのオーダのゲート数とメモリという小さな回路規
模で、入力１ビットが出力の平均半分のビットに影響を
与える最適なビット攪拌器を構成することが可能にな
る。

【００６４】更に、従来の方法は、ビット攪拌率を上げ
るために行列演算を用いると、ｎビットの攪拌に排他的
論理和がｎ² −ｎ個、論理積がｎ² 個必要になり、ｎ²
のオーダのゲート数、またｎ² のメモリが必要になると
いう問題があった。しかし本発明により、ｎのオーダの
ゲート数とメモリという小さい回路規模で最適なビット
攪拌率を持つビット攪拌器を構成することができる。

【００６５】また、固定値を変換する関数としてビット
の巡回シフトを採用しているので回路構成が簡単とな
る。なお、固定値を変換する関数として入力値に依存さ
せるように構成した場合には、さらに攪拌の効果、非解
読性を向上させることができる。

【００６６】以上説明したように本出願に係る発明は、
従来の技術であれば不可能であったビット攪拌の偏りが
緩和され最適なビット攪拌率をもちながら回路規模が小
さいビット攪拌器を構成することができる。

【００６７】なお、本願発明によってビット攪拌器を得
る構成は上記の実施例に限定されないのは勿論である。
すなわち、。任意のビット数ｎ、固定値Ｒ、ｎの分割数
ｔについて構成可能であり、また従来ある攪拌器に付加
することも可能である。また、ハード的にでなく、大型
計算機を使用してソフト的になしてもよいのは勿論であ
る。

【図面の簡単な説明】

【図１】ビット数ｎ＝４、分割数ｔ＝１の場合のビット
攪拌器の回路図

【図２】ビット数ｎ＝４、分割数ｔ＝２の場合のビット
攪拌器の回路図

【図３】第一の従来例のビット数ｎ＝４の場合のビット
攪拌器の回路図

【図４】第二の従来例のビット数ｎ＝４の場合のビット
攪拌器の回路図

【図５】第三の従来例のビット数ｎ＝４の場合のビット
攪拌器の回路図

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (5)

(57)【特許請求の範囲】
1. 【請求項１】 ｎビットの入力データをｎビットの出力
   データに変換するビット攪拌装置であって、 ｎビットの鍵データを記憶する記憶手段と、 前記記憶手段に記憶された鍵データと前記入力データに
   ついて対応するビット毎に論理積をとり、得られたｎ個
   の論理積について有限体ＧＦ（２）上の和を算出する積
   和演算手段と、 前記記憶手段に記憶された鍵データの各ビットを反転し
   て得られる反転値のビットそれぞれと前記積和演算手段
   によって得られた値との論理積をとる論理積手段と、 前記論理積手段により得られたｎビットデータと前記入
   力データについて対応するビット毎に排他的論理和をと
   ることにより前記出力データを算出する論理和手段とを
   備えることを特徴とするビット攪拌装置。
2. 【請求項２】 前記記憶手段に記憶された鍵データは１
   のビット数と０のビット数とが略等しいことを特徴とす
   る請求項１記載のビット攪拌装置。
3. 【請求項３】 ｎビットの入力データをｎビットの出力
   データに変換するビット攪拌装置であって、 ｎビットの鍵データを記憶する記憶手段と、 前記記憶手段に記憶された鍵データを予め定められた第
   １の関数に従って変換し、得られたｎビットデータと前
   記入力データについて対応するビット毎に論理積をと
   り、得られたｎ個の論理積について有限体ＧＦ（２）上
   の和を算出する第１の積和演算手段と、 前記記憶手段に記憶された鍵データを予め定められた第
   ２の関数に従って変換し、得られたｎビットデータと前
   記入力データについて対応するビット毎に論理積をと
   り、得られたｎ個の論理積について有限体ＧＦ（２）上
   の和を算出する第２の積和演算手段と、 前記記憶手段に記憶された鍵データの各ビットを反転し
   て得られる反転値のビットのうちｋ個のビットそれぞれ
   と前記第１の積和演算手段によって得られた値との論理
   積をとる第１の論理積手段と、 前記反転値のｋ個のビットを除く（ｎ−ｋ）個のビット
   それぞれと前記第２の積和演算手段によって得られた値
   との論理積をとる第２の論理積手段と、 前記第１の論理積手段により得られたｋビットのデータ
   と第２の論理積手段により得られた（ｎ−ｋ）ビットの
   データとを連結して得られるｎビットデータと前記入力
   データについて、対応するビット毎に排他的論理和をと
   ることにより前記出力データを算出する論理和手段とを
   備えることを特徴とするビット攪拌装置。
4. 【請求項４】 前記記憶手段に記憶された鍵データは１
   のビット数と０のビット数とが略等しいことを特徴とす
   る請求項３記載のビット攪拌装置。
5. 【請求項５】 前記第１の関数は恒等置換であり、前記
   第２の関数はビットの巡回シフトであることを特徴とす
   る請求項４記載のビット攪拌装置。