JP3464797B2 - 非線形動的置換装置及びブロック置換の方法 - Google Patents

Description

【発明の詳細な説明】 関連出願 この出願は1989年10月４日出願の出願番号第07/416,9
53号の一部継続出願である。

発明の背景 1.発明の分野 本発明は暗号化装置及び暗号化方法の分野に関し、特
に、ブロック置換暗号化方法及びその装置に関する。

2.従来の技術 多くの場合、デジタル形態の情報を１つの場所から別
の場所へ受信者には明確で、あいまいではないが、その
間に介入して来た者には理解できないような方式で通信
することが望まれる。従って、多くの場合に、何らかの
所定の暗号化プロセスにより通信されるべき情報を暗号
化し、暗号化形態の情報を伝送し、次に受信場所で情報
を解読するのが一般的である。どのようなレベルの暗号
化であっても、送信は偶然に介入して来た者にとって意
味のないものとなるので、希望する機密保護の程度に応
じて、相対的に単純で、容易に解ける暗号を使用して良
い。別の状況においては、希望する機密保護の程度によ
って、暗号解読により解読するのがより困難であるか、
又は言うまでもなくできれば最高レベルの機密保護をも
って、ほぼ解読が不可能になるような暗号化技法を使用
することが指示されることもあるだろう。そのような暗
号化技法の適用用途としては、製造工場間、銀行の支店
間などの機密を含む通信のような商業分野での用途や、
IFF（敵味方識別）のみに限定されないが、IFFを含む軍
事への適用がある。場合によっては、暗号化の主たる目
的は通信中の情報を介入者が解読するのを阻止すること
であるが、別の場合には、IFFのように、介入者自身が
同じ暗号化方式によって偽情報を発信して、所期の受信
者を欺くのを防止することを主たる目的とすることもあ
る。多くの用途で、双方の目的が存在している場合が多
い。

ブロック置換は、２進数のシーケンスの形態をとるク
リアテキストメッセージを暗号化するために使用される
方法である。その方法に従えば、シーケンスは何らかの
所定のブロック長ｎを有する複数のブロックに分割さ
れ、ブロック置換装置はクリアテキスト中の各々のブロ
ックを２進数から成る一意の新ブロックと置き換える。
置換ブロックは暗号化メッセージ又は暗号文を構成し、
各々の置換ブロックはクリアテキストブロックのあいま
いさのない１対１変換を表わしている。従来の技術で
は、そのような置換は一般にルックアップテーブル、ス
イッチング構成又はフィードバックシフトレジスタによ
って起こる。ところが、実際に設置しうるスイッチング
構成の数はごく限られており、また、シフトレジスタを
繰り返し循環されるのには長い時間を要する。パターン
又はバイアスをそれ自体の中に含んでいない置換を発見
するときに、付加的な問題が発生する。現時点では、可
能なシステマティックパターンのコンピュータシミュレ
ーションにより、競合する置換を検査するが、場合によ
っては、それを補正するために追加の回路を使用する。

従来の技術では、様々な種類の暗号化機器や暗号化方
法が良く知られている。たとえば、米国特許第3,796,83
0号、第3,798,359号、第4,078,152号、第4,195,200号、
第4,255,811号、第4,316,055号及び第4,520,232号を参
照。一般に、ブロック置換に関する限り、それらのシス
テムはキー依存暗号化・解読システムであり、本発明に
おけるように、１つの並び換え済み数字の加法的集合を
別の並換え数字の加法的集合にモジュロ２加算によるブ
ロック置換に基づくものではない。

親出願においては、ブロック置換技法によるモジュロ
２加算に基づく暗号化の方法及び装置が開示されてお
り、それによれば、相対的に単純なハードウェアによっ
て置き換え方式を使用することができる。ｎビット２進
数のそれ自体への１対１マッピングであるブロック置換
は、ｎビット２進数のいくつかの順列が１つの並べ換え
済み数字の集合から別の数字の集合へのモジュロ２加算
によるブロック置換を定義すること、並びにそれらの１
部分集合はベクトルとして見たときに加法関係を有する
方程式を定義することに基づいており、それにより、集
合の残る部分を限定された方程式の部分集合から生成で
きるであろう。これは、頻繁な変換の単純変更を可能に
する。変換及びそれを使用する方法の様々な特性が開示
されている。ところが、方程式集合の残る部分を限定さ
れた方程式の部分集合から生成し得ることによって、暗
号解読がいくつかの用途で希望されるより容易になって
しまうであろう。

従って、本発明は、方程式を（整然とした、容易に可
変であるやり方により）非線形化して、方程式集合の残
りの部分を、限定された方程式の部分集合から生成し得
ないようにする装置を提供する。

発明の簡単な説明 本発明は、相対的に単純なハードウェアによってブロ
ック置換方式の使用が可能であり、暗号解読をさらに困
難にするように、ブロック置換方式のモジュロ２加算に
基づく暗号化の非線形化を行う装置を提供することにあ
る。ｎビット２進数のそれ自体への１対１マッピングで
ある基本ブロック置換は、ｎビット２進数のいくつかの
順列が１つの並び換え済み数字の集合から別の数字の集
合へのモジュロ２加算によるブロック置換を定義するこ
とと、それらの一部分集合はベクトルとして見たときに
加法関係を有する方程式を定義することとに基づいてい
る。これは、頻繁な変換の単純変更を可能にする。そこ
で、方程式は同様に順序正しく、容易に可変な方式で非
線形化されるので、方程式集合の残り部分を限定された
方程式の部分集合からもはや生成しえなくなる。変換及
びそれを使用する方法の様々な特性を開示する。

図面の簡単な説明 図１は、１つの３ビット２進数の集合から別の２進数
の集合へのモジュロ２加算による多数対１変換を示す。

図２は、１つの３ビット２進数の集合から別の２進数
の集合へのモジュロ２加算による１対１変換を示す。

図３は、第１の方程式を除いて再順序付けされてお
り、第１の列の３桁数を先行する行の第２の列にある３
桁数と同じにする図２の変換方程式を提示する。第１の
方程式を除くと、この場合、各々の列は同じ順序である
が、異なる開始位置を有する。

図４は、図３に対応しているが、第１及び第３の列は
第２の列に関して縦にシフトしている。それらのシフト
は、それぞれ、下方へ位置６つ分と、２つ分である。第
１の方程式を除いて、各々の列は同じ順序のままである
が、その開始位置は異なっている。

図５は、図４に対応しており、暗号化を目的として
と＝の記号が入れ替わっている。

図６は、データを暗号化する装置のブロック線図であ
る。

図７は、図６の装置により暗号化されたデータを解読
する装置のブロック線図である。

図８は、図６を使用する暗号化の１例である。

図９は、図７を使用する解読の１例である。

図10は、列１及び列２に固定語001が加算されてい
る、図４の変換方程式に対応する変換方程式の集合を提
示する。第１の方程式を除いて、列１及び列２は同じ順
序であるが、開始位置は異なっている。

図11は、図10の変換方程式のような変換方程式の集合
に従ってデータを暗号化する装置のブロック線図であ
る。

図12は、図11の装置によって暗号化されたデータを解
読する装置のブロック線図である。

図13は、図11を使用する暗号化の１例である。

図14は、図12を使用する解読の１例である。

図15は、図２の方程式の一般形態X_n-1Xn＝Znへの再
配列を示す。

図16は、本発明に従った暗号化及び解読のためのシス
テムのブロック線図である。

図17は、付録２のA12ページに提示されている方程式
の集合の第１の列及び第２の列にオフセット0101を加算
することにより取り出される暗号化及び解読に有用な方
程式の集合を示す。

発明の詳細な説明 本発明は親出願の中で詳細に説明されているブロック
置換によってモジュロ２加算に基づく暗号化を非線形化
する方法及び装置を含むものであるので、本発明の改良
の基礎を示すために、ここで、親出願の開示を今一度挙
げておく。親出願の中に記載されている通り、以下に続
く説明の中では、まず、ｎの値が３である場合のｎビッ
ト２進数のブロックに関して親出願の方法及び装置を説
明する。次に、その方法と装置を一般的にｎビットブロ
ックに拡張させ、ｎ＝８までのブロックのいくつかの特
性を提示する。ｎ＝３とした以下の例を提示することに
より、さらに多くの組合わせを有するより大形のブロッ
クを使用する場合と比べて元の発明の概念をより良く理
解できるであろうと考えられる。

ブロック置換は、ｎビット２進数のそれ自体への１対
１マッピングに通常適用される用語である。このマッピ
ングを2ⁿ個のｎビット数のペアリングとして書き表わす
ことができる： この中で、各々の列は同じ2ⁿ個の別個のｎビット数の集
合ではあるが、異なる順序で書き表わされている。従っ
て、このマッピングを： と書き表わされるｎビット数の順列、すなわち、何らか
の索引の集合に対して（X₁X_iX_j）であると考えることが
できる。この順列の通常の表記法は、単に、X₁→Xi,Xi
−→Xj等々を意味している。

列表記法に戻ると、元の集合とそのイメージから１組
の単純な方程式を定義することができるであろう： この中で、はモジュロ２加算（すなわち、桁上げのな
い対応する数字の加算）を意味する。一般に、集合
（Y₁,Y₂,...）は全て別個であるとは限らないが、状況
によっては全てが別個である。元の発明に従えば、集合
が別個であるとき、従来の手段ではなく、モジュロ２加
算によってブロック置換を生成できる。主要なタスク
は、この方式が機能する状況があればその状況と、置換
をどのようにして急速に変更できるかということと、バ
イアスの欠如とを確定することである。

ブロック置換をモジュロ２加算により生成できること
は自明ではない。たとえば、３ビット２進数の１つの配
列を図１に示すモジュロ２加算によって別の配列と置換
える試みについて考える。右側の列３では、011と100は
それぞれ２回現れるが、001と110は全く現れない。中心
の列２の数に作用する左側の列１の数は、列１の３ビッ
ト２進語の集合のそれ自体への変換を生じさせる。これ
は多数対１の変換であり、変換されたブロック011及び1
00について元のブロックを回復しようとしたときに結果
として生じるあいまいさがあるために、ブロック置換に
対しては役に立たない。

図２に示すように別の配列を試行すれば、異なる結果
が得られる。この場合、どの対の列も１対１の変換を構
成している。詳細にいえば、変換は列３の３ビット２進
数（クリアテキスト）からそれ自体、列１の暗号化テキ
ストへの１対１の変換である。各々の列は、厳密に一度
現れる３ビット数から全て構成されている。

任意の３桁２進ブロックを暗号化２進ブロックに変換
するために図２の変換を使用できることは自明であろう
し、また、言うまでもなく、同じ方程式を使用して、列
１の暗号化語を発見し、次に、同じ行、図２の列３の対
応するクリアテキスト語を選択することにより、暗号化
メッセージを解読することができるであろう。これは、
図５に示すようにと＝が入れ替わった場合に最も好都
合である。暗号化語を元のクリアテキスト語に変換する
ための等価の変換は、列１の語を列２の語に加算して列
３の語を求めれば得られる。

再び図２を参照すると、ここに示す変換、この点につ
いては、ここで関心ある種類のあらゆる変換の興味ある
特性が見られるであろう。詳細にいえば、３つの２進数
から成る８つのブロックのうち、下位の４つのブロック
000,001,010及び011は下位の４つのうちの２つのブロッ
ク、すなわち、000及び001と、上位の４つのうちの２つ
のブロック、すなわち、110及び111とにマッピングされ
る。同様に、８つのうち大きいほうの４つのブロックが
下位の４つの中のブロックと、上位の４つの中のブロッ
クとに２つずつマッピングされるのは当然である。同様
に、偶数ブロック000,010,100及び110は２つの偶数ブロ
ック000及び010と、２つの奇数ブロック001及び011とに
マッピングされている。４つの奇数ブロックについて
は、半分が奇数ブロックに、残る半分は偶数ブロックに
マッピングされている。解読時にも同じことが当てはま
るのは自明である。従って、大形である、小形である、
偶数である、奇数であるなどの暗号化ブロックの何らか
の特性を知っても、非暗号化ブロックの特性を同じよう
に知ることにはつながらない。このため、暗号化はバイ
アスなしであるという。その点について、各ブロックの
真ん中の数字を考慮しただけでも、真ん中の数字として
零を有する図２の４つのブロックは同様に真ん中の数字
として零を有するブロックに２つ、真ん中の数字として
１を有する２つのブロックに２つ、それぞれマッピング
されていることに注意すべきである。同様に、真ん中の
数字として１を有する４つのブロックのうち２つが真ん
中の数字として１を有するブロックに、残る２つは真ん
中の数字として零を有するブロックにマッピングされて
いることは言うまでもない。この特性はあらゆるブロッ
クサイズに適用され、代数学的には最大サブグループと
して特徴づけて良いあらゆるブロックの集合に均等に分
割することに延長される。この暗号化のバイアスなし特
性は、特に暗号化が時間の経過に伴って頻繁に変化する
ような状況に関連して、ここで開示する暗号化方式の非
常に有益な特性である。

詳細にいえば、当然のことながら、実際のどの暗号化
装置においても、パターンがそのパターンの暗号解読を
可能にするのに十分な長さの時間維持されないほど頻繁
に暗号化方式を変更できることが望まれる場合もあるだ
ろう。この目的のために、図２の行を図３に示すように
再配列することにより、図２の方程式のいくつかの特性
を認識できるであろう。行をどのように再配列しても、
各々の方程式はそれ独自の完全性を別個に、表の中の位
置とは関係なく維持するので、変換に対する影響が全く
ないことはもちろんである。本質的には、図３の第２の
行は図２の第４の行であり、また、図３の第３の行は図
２の第５の行であって、連続する各々の行は、連続する
各々の行の左側の列が先行する行の第２の列と同じ３ビ
ット数を含むように配列されている。そのように配列す
ると、第１の行、すなわち、全て同一である行を無視し
た場合、３つの列は、それぞれ、ラップアラウンドを伴
って３ビット２進数の同じシーケンスを含んでいること
がわかる。詳細にいえば、第１の列は第２の列と同じシ
ーケンスを有するが、第２の列と比べて下方へ位置１つ
（上方へは位置６つ）ずれており、また、第３の列は第
２の列と同じシーケンスを有するが、第２の列のシーケ
ンスと比べて下方へ位置３つ（上方へは位置４つ）ずれ
ている。

図３の第１の行、すなわち、全て同一である行を今一
度無視すると、列１の３ビット２進数を第２の列に関し
てラップアラウンドを伴って合わせて位置６つ分下方へ
シフトした場合でも、図４に示すように、依然として１
対１の変換が起こることがわかる。同一の行を除いて、
変換は図３の変換とは全く異なる。１例を挙げると、列
３の111は図３では列１の011にマッピングされ、図４で
は列１の100にマッピングされている。ところが、それ
に加えて、図４の列１及び列３の３桁の数のシーケンス
（同一の行を除く）は図３及び図４の列２におけるシー
ケンスと依然として同じであるが、それぞれ、列２と比
較してラップアラウンドを伴ってシフトされているとい
う点に注意することは重要である。すなわち、単に、図
３の第１の列の数を第２の列の数に関してシフトするこ
とにより、図３の変換は図４の新たな変換に変化してお
り、第３の列の数も第２の列の数に関してシフトしてい
るのであるが、その量はモジュロ２加算方程式の完全性
を維持するために異なっている。ここでも、解読時に
は、図４の記号及び＝を図５に示すように入れ替える
ことができる。

どのブロックサイズに対してもより普遍的にいえば、
方程式の集合を次のように書き表わすことができる。

ブロックサイズｎに対して、ｍ＝2ⁿ−１である。θ＝
00...00、全て零から構成されるｎビット語である。

列１を列２に関して位置Ｓ個だけずらすと、モジュロ
２加算方程式の完全性を維持するために、列３は異なる
量P_sだけシフトされる。所定のシフトＳに対して、P_sは
シフトプログラマにより確定される。

次に図６を参照すると、これまで説明した暗号化技法
と解読技法に従って暗号化を実行するシステムのブロッ
ク線図が見られるであろう。

クリアテキスト語はメモリＩのそのアドレスへ送信さ
れる。これは、θ以外の列３からの語X_k-Psを選択する
ことに対応している。概念はその語を列２にある相手方
に加算するというものである。X_k-Psがθ以外であり且
つそれをX_kに加算すべき場合、これは、列３の順序デー
タＫ−P_sをもつ語を同じように列３にある順序Ｋ−P_s＋
P_s＝Ｋをもつ語に加算することと等価である。従って、
クリアテキスト語の順序データＫ−P_sはP_sに加算される
ために加算器24,26へ送信されることになる。新たな順
序数はメモリIIのそのアドレスへ送信される。そのアド
レスの内容をクリアテキスト語にモジュロ２加算して、
列１で暗号化語X_k-sを得る。クリアテキスト語がθであ
れば、その暗号試験画像は同一である。

順序データの加算を実行するのは桁上げ加算器（Ｃ）
と、最下位ビット加算器（LSB）の２つである。桁上げ
加算器は数を従来通りに桁上げを伴って加算する。たと
えば、001＋011＝100となる。しかしながら、加算がｎ
個を越える数字を要求する場合、すなわち、１をｎ＋１
位置に桁上げする場合には、その代わりに、その余分の
１を第１の位置に加算する。たとえば、100＋110＝1010
＝＞011となる。これはLBS加算器により実行される。こ
れは、単に、ｍ＝2ⁿ−１とするモジュロｍ加算である。
この例では、ｎ＝３、ｍ＝７であり、10進項で表わされ
る加算は４＋６＝10≡3 mod 7となる。尚、100＝＞、11
0＝＞６及び011＝＞３である。

解読に関わるブロック線図を図７に示す。暗号テキス
ト語はメモリＩのそのアドレスへ送信される。これは、
θ以外の列１からの語X_k-sを選択することに対応してい
る。概念はそれを相手方である列２にあるX_kに加算する
というものである。これは、列１のX_k-sを同じように列
１にある順序データＫ−Ｓ＋Ｓ＝Ｋをもつ語に加算する
ことと等価である。従って、暗号テキスト語の順序デー
タＫ−Ｓは加算器へ送信されて、Ｓに加算されることに
なる。新たな順序数は、メモリIIのそのアドレスへ送信
される。そのアドレスの内容を暗号テキスト語にモジュ
ロ２加算して、列３の暗号化語X_k-Psを得る。暗号テキ
スト語がθであれば、それをθとして解読する。

順序データＫ−Ｓ＋Ｓ及びＫ−P_s＋P_sの加算はモジュ
ロｍであるか又はラップアラウンドを伴うと理解され
る。すなわち、順序データが最終位置より大きければ、
順序データからｍを減算するのである。暗号テキスト語
がθであれば、それを同じ語として解読する。

シフトプログラムは、列３の対応するP_sシフトＳと共
に列１のシフトＳを使用する順序を確定する。所望のど
のような順序も使用できる。シフトＳは基本順列の累乗
に対応しており、これは加算による置換を確定する。

そこで、例を挙げると、図８において、クリアデータ
値が010であれば、メモリＩのそのアドレスは順序デー
タ001を与え、これは010がメモリＩのシーケンスの中の
位置１（方程式集合の列３）にあることの２進表記であ
る。プログラムの中の第１のシフト位置はＳ＝６であ
り、このとき、P₆＝２となる。010の位置であるｋ−P₆
＝１にP₆＝２を加算する。２進表記法では、001＋010＝
011となる。メモリIIのアドレス011に対応するのは数10
0である。（これは、100が列３の位置３にあるというの
と等価である。）暗号テキスト語は110＝100010であ
る。これは、図５の加法方程式のうち第１のものを表わ
している。

解読時には、暗号テキスト語は110である。図９にお
いては、メモリＩのそのアドレスは順序データ100を与
える。すなわち、メモリＩのシーケンス中の位置４とい
うことになる。プログラム中の第１のシフト位置はＳ＝
６である。110の位置であるＫ−６＝４に６、２進表記
法では110を加算する。４＋６＝10である。ｍ＝７によ
る減算で10−７＝３となり、ラップアラウンドを伴う位
置３となる。２進表記法においては、100＋110＝011モ
ジュロ７である。メモリIIのアドレス011に対応するの
は数100である。110100＝010。これは、図４の加法方
程式のうち第１のものを表わす。

図４の第１及び第２の列に固定数をモジュロ２加算す
る場合。さらに別の１対１変換が結果として起こる。

次に図11及び図12を参照すると、任意のブロックサイ
ズについて、零語であるθ以外の固定語を使用して暗号
化と解読を実行するブロック線図が見てとれるであろ
う。その手続きは本質的には先のと同じであり、ただ
し、暗号化プロセスでは固定語をモジュロ２加算する追
加過程を最終過程として含み、解読プロセスにおいては
その過程を第１の過程として含んでいる。

１例を図13及び図14に示す。この場合、000はもはや
固定したままではなく、001に変換される。そこで、110
はそれ自体に変換されるので、この場合には固定される
ことになる。

固定語加算器は、利用者によって選択された順序での
ｎビットのいずれか、又は全てを引きつづき加算でき
る。

次に１例として図８を参照すると、これまで論じた暗
号化技法及び解読技法に従って暗号化を実行するシステ
ムのブロック線図が見られるであろう。図示する通り、
000を除くあらゆる値のクリアデータ20がアドレスとし
てメモリ22に提供される。様々なメモリアドレスには、
クリアデータ値の順序データ、すなわち、図４（並びに
図５及び図10）の右側のカラムの順序付けされたシーケ
ンスにおけるそのクリアデータ値の、２進数として表わ
される位置が記憶されている。この位置は、メモリ22の
出力として、加算器24及び26の組合わせとして示されて
いる加算器に供給される。加算器は、シフトプログラマ
28によって制御されるように、メモリの出力をシフトP_S
の値に加算するために結合される。この加算はモジュロ
２加算ではなく、最上位ビットからの桁上げが最下位ビ
ットのキャリーインに結合することを１つの例外とする
正規の２進加算である。従って、加算器は111より大き
い和１として1000又は単なる000ではなく、結果001を提
供する。そこで、加算器の出力は順序データシーケンス
の中では量P_Sだけシフトされた新たな３ビット２進数で
あることがわかるであろう。次に、この新たな位置をメ
モリ30のアドレスとして使用し、メモリ30はその出力と
して、図４の列２の値に対応する３ビット２進数、ある
いは、図３の対応するクリアデータ値を提供する。そこ
で、例を挙げると、クリアデータ値が010である場合、
その値はメモリＩへのアドレスとしてシーケンス中の00
1のその値の場所を表わす。シフトプログラムがＳ＝６
を選択すると、P₆＝２となり、列３は列２から位置２つ
分、すなわち、量010だけ下方へシフトされる。その場
合に010のクリアデータ値に隣接するであろう３ビット
２進数は、図５におけるように100である。このクリア
データ010へのモジュロ２加算は、図５に示す値に対応
する110の暗号化値を与える。ところが、クリアテキス
トデータが000である場合には、その値はメモリＩへの
アドレスとしてシーケンス中の000の値の場所を表わ
す。この値はシフトされず、メモリ30において順序デー
タとして変化しないまま提供される。従って、それ自体
に加算される000は固定したままである。

図５の列２の基本順序データと比較した図５の列３の
シーケンスの下方へのシフトP_Sが、相補する上方へのシ
フトに対応するのは言うまでもない。従って、ｎビット
ブロックに関しては、P_Sの下方へのシフトはｍ−P_Sの上
方へのシフトと等価である。また、３ビットブロックに
ついては、零、並びに７及びその倍数の第２の列に関す
る第１の列のシフトを除いて、起こりうるシフトの全て
の値は所望の１対１マッピングを与えるということにも
注意する。これは、そのようなシフトが各々の行を第１
の列の対応する行と同じにしたマトリクス中の第２の列
を形成すると考えられるためであり、それ自身にどの数
をモジュロ２加算しても零となる。従って、７又はその
倍数のシフトに対しては、あらゆるクリアデータ値は暗
号化の目的には役に立たない000にマッピングされる。
しかしながら、通常は、３ビットを越えるｎビットのブ
ロックについては、零並びにｍの整数倍以外のあらゆる
シフトは所望の結果をもたらし、従って、元の発明に従
って使用可能であることが後にわかるであろう。

図７に従った解読のブロック線図を図９に示す。ハー
ドウェアの観点からいえば、この線図は暗号化に関わる
図８の線図と厳密に同じであるが、解読の場合には、暗
号化に関わる所定のシフトP_Sに対して適用可能なシフト
Ｓのみが異なる。９ページの例と同様に、暗号化に関わ
る２のシフトP_Sに代わり、シフト６が図８及び図９の表
に示すように適正な解読を行わせ、以下も同様である。
暗号化ハードウェアと解読ハードウェアが解読時に適正
な回復すべきクリアデータについて関連するシフトを使
用していなければならないことは自明であるが、実質的
に不可能でなければ、暗号解読を非常に難しくするため
に、適用可能なシフトを両端で頻繁に変化させても良
い。

図５のどの１対の列に固定数をモジュロ２加算して
も、依然としてさらに１対１の変換が起こる。例を挙げ
ると、図10では、図５の第１の列と第２の列に固定数00
1がモジュロ２加算されている。そこで、クリアテキス
ト語としての010は暗号化語111にマッピングされ、これ
に対し、図８の例では、010は110にマッピングされる。

固定語加算器を使用する暗号化に関わるブロック線図
の１例が図13に見られる。この図は、第１の列の010と
同じ第２の列の行にある値に対応するメモリ30の出力に
固定語（この例では001）を加算するために、固定語加
算器32が含まれていることを除いて、図８と同一であ
る。すなわち、固定語加算器は列２の値に固定語（この
例では001）を加算するだけであり、その後にクリアテ
キスト後をモジュロ２加算して、暗号化データを得る。
同じようにこの例についても、メモリ22へのアドレスと
して010のクリアデータを使用すると、メモリの出力は0
01になる。図８の例で同じシフト010を使用すると、001
にP_S＝２を加算することになって、メモリ30に対するア
ドレスは011になる。この結果、メモリ30からの出力は1
00となり、これに固定語加算器は固定語001をモジュロ
２加算して、101を得る。このクリアテキスト語へのモ
ジュロ２加算は、図10に示すように暗号化語111を与え
る。

図13の暗号化に関わるブロック線図に対応する解読時
のブロック線図を図14に示す。図からわかるように、図
14は図13と同一であり（ただし、この場合にも、解読時
のシフトは暗号化のときのシフトとは異なる）、メモリ
22への印加の前に、固定語加算器が暗号化データにも固
定語をモジュロ２加算するという点が異なっている。暗
号化語を得るために固定語の１度目のモジュロ２加算は
図11で実行されていたので、このモジュロ２加算は本質
的には固定語の２度目のモジュロ２加算である。すなわ
ち、同じ語の２度目のモジュロ２加算は、実際には、１
度目のモジュロ２加算を無効にしてしまうので、図12の
暗号化データに固定語がモジュロ２加算された後、その
モジュロ２加算の結果を解読を目的として図10の方程式
と共に使用して良い。従って、例を挙げると、図13の例
の暗号化語111を使用するとき、図14のメモリ22へのア
ドレスとしては111001＝110となる。これにより、メ
モリ出力は100となり、これにＳ＝６、すなわち、110の
値を加算する。ラップアラウンドを伴うと、100＋110＝
1010＝＞011である。そこで、この結果として、メモリ3
0へのアドレスは011となり、すなわち、その出力は100
となって、それに、メモリ22へのアドレスである110を
モジュロ２加算して、クリアテキストデータ010を回復
するのである。さらに、図13及び図14の固定語加算器は
固定語001を使用していたが、他のどのような３ビット
固定語を使用しても良いことはもちろんであり、事実、
固定語は時間の経過に伴ってシフトの変化と共に、ある
いは、シフトの変化とは別個に変更されても良く、000
の固定語はシステムの動作を図８及び図９の動作に本質
的に縮小させる。

図６、図７、図11及び図12に関連して説明した方法を
プログラム制御の下でマイクロプロセッサ利用システム
と共に容易に実行しうることは自明である。あるいは、
本質的にはルックアップテーブルとして使用される読取
り専用メモリでメモリを容易に事前プログラムできるで
あろうし、また、暗号化・解読システムの少なくとも主
要な素子を高速の個別の構成要素において実現できるか
又はカスタム集積チップを介して実現できるように、加
算器及びモジュロ２加算器を従来通りの加算器とするこ
とは容易に可能であろう。シフトプログラムも、シフト
が希望される回数、シフト順序それ自体が変更される範
囲などに応じて様々な形態をとりうるであろうし、希望
に応じたシフトレジスタの実現形態を含めて、マイクロ
プロセッサ利用集積回路又は他の実現形態を容易に適用
することができる。

以下の付録１の中では、ここまで説明した変換をさら
に解析しており、その様々な特性と特徴を記載してい
る。付録２では、親出願のブロック置換の方法のいくつ
かの面を検討し、非線形性と、クリアテキストから暗号
化テキストへの（そして、その逆の）非線形マッピング
の概念を提示している。この意味で、非線形性は、クリ
アテキストから暗号化テキストへの（及び暗号化テキス
トからクリアテキストへの）マッピングがビットごとの
モジュロ２加算の演算の下で非線形であることを意味し
ている。その点に関して、図１は１つの３ビット２進数
の集合から別の２進数の集合へのモジュロ２加算による
多数対１変換を示すことを指摘した。この特定の例は、
第１の列の３ビット数の８つのとりうる値を８つのとり
うる組合わせの中の６つを表わしている列３の６つの３
ビット数にモジュロ２加算によってマッピングしてお
り、この場合、２つ（100及び011）はそれぞれ２度繰り
返されている。２つの３ビット数（010及び101）が同じ
３ビット数（100）にマッピングされており且つ他の２
つの３ビット数（100及び110）は同じ３ビット数（01
0）にマッピングされているので、逆のマッピングはあ
いまいさを呈し、図１に示すマッピングを暗号化及び解
読の目的には不適切なものにしてしまう。

これに対し、図２から図５は、８つのとりうる３ビッ
トクリアテキスト語（列１）を対応する、あいまいさの
ない暗号化テキスト語（列３）に暗号化するための方程
式の集合を提示する。それらの方程式は列１と列３との
入れ替えによって有効なままであり、従って、この入れ
替えを伴って、入れ替え前の方程式が暗号化の方程式を
形成するのと同じように、対応する解読のための方程式
を形成する。しかしながら、図２から図５の各々に示す
方程式の集合は、所定の方程式の集合（図２から図５に
おけるような３ビット数に関わる８つの方程式）の中の
どの２つの方程式の加算もその集合の方程式の中の１つ
であるという意味で線形である。たとえば、図２では、
第１の方程式、すなわち、零方程式の別のどの方程式に
加算しても、結果はその別の方程式となり、従って、加
算は自明なものであり、一方、第２の方程式と第３の方
程式の加算は第４の方程式をもたらし、第３の方程式と
第４の方程式の加算は第２の方程式をもたらし、第４の
方程式と第５の方程式の加算は第８の方程式をもたらす
等々となっている。１つの方程式をそれ自体にモジュロ
２加算したときでも、８つの方程式の中の１つ、すなわ
ち、零方程式が得られ、これは、３つ以上の方程式、た
とえば、方程式２、３及び４をモジュロ２加算するとき
にも起こるであろう。その場合、方程式２と方程式３の
加算は方程式４をもたらし、方程式４をそれ自体に加算
すれば、零方程式となるからである。その点に関して
は、２つの方程式をモジュロ２加算するとき、加算され
る方程式のいずれか一方又は双方を２つ又は３つ以上の
他の方程式の和であると考えて良いので、そのモジュロ
２加算をより大きい任意の数の方程式を加算することと
等価であると考えても良い。さらに、所定の集合の中に
は、和が別の方程式とならない方程式の組合わせは存在
しない。暗号解読の観点から最も重大であるのは、零方
程式以外の７つの方程式のうち右の３つを与えたとき、
既知の３つの方程式の組合わせの適切な和によって残る
４つの方程式を確定しうるということである。たとえ
ば、図２の方程式３及び方程式４の２つの方程式の和の
組合わせを使用して残りの方程式を生成することは不可
能であり、そこでは、方程式２、３又は４と、５、６、
７又は８とを使用することができる。例として、方程式
２、４及び８を取り上げると、方程式２と方程式４の和
は方程式３を形成し、方程式２と方程式８の和は方程式
７を形成し、方程式２、方程式４及び方程式８の和は方
程式６を形成し、方程式４と方程式８の和は方程式５を
形成する。また、当然のことながら、上記の規則は他の
ビット長をもつ語の暗号化にも適用され、４ビット語の
暗号化のための16個の方程式についての生成方程式は４
つの独立した方程式の様々な組合わせをモジュロ２加算
することにより確定される。

図10の方程式の集合に関しては、どの２つの方程式を
加算しても、その集合の第３の方程式は得られず、図10
の左側の列の各々に001を加算することによって、零方
程式と、図５の方程式の集合の残り部分とが得られるよ
うになっており、その集合は集合の中の任意の３つの独
立した方程式により生成可能である。本発明が回避しよ
うとしているのは、独立した方程式から成る基本集合か
ら方程式の残りを生成するこの能力であり、本発明は、
線形方程式の基本集合を元の出願に開示されている様々
な方式によって時間の経過に伴って又は動的に変更しう
るのみならず、その結果得られる基本集合を変動する範
囲で、様々な組合わせで時間の経過に伴って又は動的に
非線形化することもでき、暗号解析を以前よりはるかに
困難にするように、そのような能力の排除を順序正し
く、論理的な方式によって実行する。

再び図２を参照すると、方程式の順序を再配列した場
合、列１の数の列３の数へのマッピングの変化が全くな
いことはもちろんである。従って、図２の式を図15に示
すように再配列できるであろう。詳細にいえば、零方程
式を無視すると、列２に現れる第１の数（001）は列１
の次の行で起こり、列２の第２の数（111）は列１の第
３の行で起こり、以下も同様である。列２の最後の数
（101）で結果として起こるラップアラウンドは（同様
に零方程式を無視すれば）列１の第１の行に至る。その
結果得られる方程式の編成は付録２のセクション3.2に
最初に記載されている１組の式に示す形態であり、図15
においては、X₁は001、X_mは101である。１つの零方程式
と、2ⁿ−１個の零でない方程式とを有する任意のビット
長の語（数）に関わるどのような方程式の集合も、それ
により定義されるマッピングの変更を伴わずにそのよう
に配列できるのであるが、それは、そのような配列が方
程式の出願順序の変更であるにすぎず、方程式それ自体
のいずれかの変更ではないためである。

付録２のセクション3.2には、そのような方程式から
成るいくつかの方程式群を列１及び列２に現れる語の再
配列により変更して、対応して新しいモジュロ２加算方
程式を得ても良いことが示されており、それらの新たな
方程式を元の方程式の集合の中の元の方程式群と置換え
たときにも、１対１のマッピングは依然として維持され
ており、従って、新たな方程式は暗号化及び解読に適し
ている。その点に関して、１対１のマッピングが維持さ
れるのは、選択された方程式群の列１及び列２に現れる
マルチビット語の順序は変わるが、語それ自体は変わら
ないために、マッピングされる語の群と、それらを選択
された方程式によってマッピングしてゆく語の群とは変
わらないが、それら２つの語群の中では、列１のどの語
が列３のどの語にマッピングされるかは変わっているか
らである。それらの変更後の方程式の正味の効果は、そ
れらの方程式がもはや変更前の方程式の線形延長ではな
くなる、すなわち、変更前の方程式の中の２つまたは３
つ以上により変更後の方程式を生成できなくなるという
ことである。従って、これにより、元の集合の線形性は
破断して、暗号解読を希望に応じてさらに困難にするの
であるが、その破断が可能な範囲については後に論じ
る。

付録２のセクション3.2には、ある条件の下では、所
定の集合の中の方程式群を変更し、それらを使用して、
集合全体について１対１マッピングを維持するように元
の集合の中の対応する元の方程式群と置換えても良く、
また、同時に、先に述べたように方程式の集合の線形特
性を破断させるようにしても良いことが示されている。
それらの条件は付録２のセクション3.3に方程式の形で
さらに詳細に示されており、そこには、実行可能な２つ
の変更が方程式の形で示されている。その基本概念は、
元の方程式の集合の連続する３つずつの行の和をとると
いうものであり、付録２のセクション3.2における解析
によれば、セクション3.3に述べてあるように、そのよ
うな連続する３つずつの行をとることによる非線形化は
元の集合の３つ又は４つの連続する行のみを１組として
使用する場合に、そして、その場合に限って作用するこ
とがわかる。３つの連続する行を使用する場合には、実
際には４つの行、すなわち、元の集合の３つの連続する
行と共に、それら３つの連続する行のベクトルモジュロ
２和に対応する第４の行を変更することになる。その変
更は、下記の式を４つの行の各々にベクトル加算するこ
とにより得られる： （x₁x₂）（x₁x₂）＝θ 元の線形方程式の集合の４つの連続する行を使用する
場合には、元の方程式の集合の６つの行、すなわち、そ
れら４つの連続する行と共に、４つの連続する行のうち
初めの３つのベクトル和を表わす行及び元の集合の４つ
の連続する行の終わりの３つのベクトル和に対応する行
（たとえば、付録２のセクション3.3に示すように、行
１、２及び３の和に対応する行と、行２、３及び４の和
に対応する行）が変更される。この場合の変更は、対応
する６つの行に次のようにしてベクトル加算することに
より得られる： 行１及びｑには（x₁x₂）（x₁x₂）＝θ 行２及び３には（x₁x₃）（x₁x₃）＝θ 行４及びｑ＋１には（x₂x₃）（x₂x₃）＝θ 上記の式と、付録２のセクション3.3に示した元の方
程式の形態は、元の線形方程式の集合の第１の行、第２
の行、第３の行及び他の１つの行を取り上げた場合、あ
るいは、元の線形方程式の集合の第１の行、第２の行、
第３の行、第４の行及び他の２つの行を取り上げた場合
に非線形化が作用することを示している。その方法は、
変更のために選択した元の集合の中の方程式がそれら自
体の中では線形であるために作用するので、本発明の方
法によって一度非線形化した方程式を非線形化プロセス
の一部として再度使用することはできないであろう。こ
れは、このプロセスにより非線形化しうる方程式は４つ
又は６つだけであることを示唆しようとするものであ
り、言うまでもなく、より大きな語サイズに関わる全方
程式の中ではごくわずかな数である（たとえば、４ビッ
ト語は16個の方程式を要求し、８ビット語は256個の方
程式等々となっている。）。ところが、再び図15を参照
すると、x₁として零でない行から列２のどの語、すなわ
ち、どの数を選択すべきかは任意であることに注意しな
ければならない。例を挙げると、x₁として001ではな
く、011を選択したならば、本質的には下方の５つの方
程式を上へシフトし且つ上の２つの零でない方程式をラ
ップアラウンドすることになって、第３の零でない行は
第１の行となり、第４の零でない行は第２の行になり、
第５の零でない行は第３の行となり、第６の零でない行
は第４の行となり、第７の零でない行は第５の行とな
り、第１の零でない行は第６の行となるであろうし、そ
れ以降も同様であり、その結果、方程式自体も、方程式
の順序付けも変わらないが、そのシーケンスにおける開
始点のみが変わるのである。そのような方程式の配列は
図３に示されており、そこでは、X₁＝100、X_m（＝X₇）
＝011であった。従って、付録２の10ページに提示され
ている方程式は、３つの連続する行と、それら３つの連
続する行の和に対応する行とを変更（非線形化）すべき
場合に、選択される３つの行も、それら３つの行の和に
対応する行のいずれも先の選択の結果として先に非線形
化できるものではなかったということのみを制限とし
て、どの３つの連続する行もそのように選択しうるとい
う意味で一般的である。同様に、４つの連続する行に先
に説明した２つの和の行を加えたものを選択する場合に
は、同じように、それらの選択される４つの行と、２つ
の和の行がいずれも先にこのプロセスにより非線形化で
きていなかったと仮定すれば、どの４つの連続する行を
使用しても良い。非線形化に際して方程式を一般化する
ためには、X₁が選択された３つ又は４つの連続する行の
中の第１の行の第２の列の値であると考えると共に、各
々の列の値をそれに従って再び番号付けするだけで良
い。

非線形化プロセスは零方程式以外の方程式について実
行されることに注意する。使用する語のビット長をｎと
するとき、2ⁿ−１個のそのような方程式が存在している
ので、ｎの値にかかわらず、非線形化のために利用でき
る方程式は必然的に奇数になるのであるが、非線形化プ
ロセスは一度に偶数個（４つ又は６つ）の方程式を非線
形化する（高速システムにおいては、所定の線形方程式
の集合の中の重複しない方程式群に関わる非線形化プロ
セスは、どのプロセスを使用するかにかかわらず、完全
に互いに無関係であるので、異なる重複しない方程式群
を同時に非線形化するように構成されても良い）。従っ
て、何らかの線形集合が与えられたとき、その集合の中
の全ての方程式が非線形化されるとは限らないというこ
とは明らかである。そこで、どれほどの数の方程式を非
線形化しうるか及び非線形化に際して方程式を選択する
論理的な方式が存在するか否かに関して疑問がある。そ
れらの考慮事項は付録２のセクション3.4から3.6で論じ
られている。一般に、全ての方程式を非線形化できるわ
けではないが、通常、４ビット以上の語サイズについて
は大半の方程式を非線形化でき、残っているほどんど重
大ではない非線形化方程式があれば、それは暗号解析の
観点からはおそらく誤解を招くものである。さらに、非
線形すべき行の数とID、並びにどの非線形化技法を使用
するかということを時間の経過に伴って変更する又は動
的に変更することは暗号解読の問題をさらに増大させる
のであるが、そのような時変非線形化又は動的に変化す
る非線形化は、ハードウェアの観点（ソフトウェア制御
の下で実行されるのであれば、ソフトウェアの観点）か
らは、開始時の線形方程式の集合（先に述べた通り、そ
れ自体、時間の経過に伴って又は動的に変更されても良
い）を単純で、容易に可変の生成関数から生成しうるの
で困難ではなく、その方程式の集合は論理的プロセスを
利用して方式と範囲の双方で非線形でき、その方式と範
囲も、それぞれ、それ自体、時間の経過に伴って又は動
的に変更されて良いことに注意すべきであることは当然
である。

以上の説明の１例として、４ビット数、すなわち、４
ビット語から別の４ビット数、すなわち、別の４ビット
語への特定の生成関数を利用する線形マッピングのため
の16個の方程式を示す付録２の付録Ａの表１に注目す
る。それらの16個の方程式は付録２のセクション3.3に
元の方程式で示される方式で編成されている。付録２の
付録Ａに記載してある通り、16個の方程式の中のいずれ
か２つの和が、ここで使用する線形性の概念に従えばそ
れら16個の方程式の中の別のものであることは容易に確
認される。この表１は非線形化され、その非線形化形態
は付録２の付録の表15示されている。詳細にいえば、そ
の非線形化は第１の方法に従っている、すなわち、（零
方程式を無視して）元の方程式の集合の３つの連続する
行と、それに加えて、初めの３つの行の和を表わす行と
を利用している。その点に関して、列１の初めの３つの
零でない数（1001、0001及び0010）のモジュロ２加算の
和は1010に等しく、これは零でない方程式の第11の行の
値である。そこで、行１、２、３及び11は、それらの列
１及び列２の各々にx₁x₂をモジュロ２加算することに
より非線形化される。さらに具体的には、x₁は0001に等
しく、x₂は0010に等しいので、x₁x₂＝0011となる。00
11を第１の方程式の列１および列２にモジュロ２加算す
ると、付録２の付録の表15に示すように、10100010＝
1000となる（1000は第１の方程式に関わる列３の元の値
である）。行２、３及び11にある方程式についての同じ
加算は、それら４つの行に関する変換を実行する。同様
に、零でない方程式の行５、６及び７に加算をする場合
には、零でない方程式の行15（表１の最後）の方程式が
得られる。それら４つの行は行１、２、３及び11と同じ
ようにして非線形化されるが、適用される式は実際には
次のようになる： （x₅x₆）（x₅x₆）＝θ（θは0.00...） 付録２の付録の表15にある16個の方程式から成る集合
をさらに非線形化することに関しては、表の中に、考慮
しうる３つの連続する方程式から成る他の２つの方程式
列、特定すれば、行８、９及び10と、行12、13及び14と
がある。ところが、行８、９及び10のモジュロ２加算の
和は既に使用した行である零でない方程式の中の行３を
形成し、また、行12、13及び14のモジュロ２加算の和は
既に使用したもう１つの行である行７を形成する。従っ
て、３つの連続する行、すなわち、３つの連続する方程
式から成る方程式群が、他に２つ存在しているのである
が、それらの方程式群のいずれについても、その和は既
に非線形化されている行、すなわち、方程式であるの
で、それらの方程式群を別の非線形化に使用することは
できない。

もう１つの例として、付録２の付録の表４を参照す
る。この線形方程式の集合（セット）は同一の生成関数
を使用するが、新たな基底に適用されるものであり（付
録２の付録３ページの最下部、即ち、x₁＝0011,x₂＝011
0,x₃＝1100,x₄＝1000、を参照）、先の例と同じ方程式
の集合（方程式１、２、３、５、６、７、及び15）を使
用して非線形化されたときには、付録２の付録の表４に
記載されている非線形方程式集合を与える。

最後に、第３の例として、付録２の付録の表17を含む
段落の次の段落に記載されている例を表18に示す非線形
化方程式に注目する。この例は、付録２の付録の表１に
示されている15個の方程式の表（零方程式を伴う）の別
の非線形化の例であり、異なる基礎、特定すれば、４つ
の連続する（零でない）方程式１、２、３及び４に１、
２及び３の和、すなわち、方程式11と、方程式２、３及
び４の和、すなわち、方程式12とを加え、さらには、３
つの連続する方程式13、14及び15と、その和である方程
式８とを加えたものを使用して非線形化されるのであ
る。４つの連続する方程式並びにその２つのモジュロ２
加算の和の方程式を非線形化するための方程式は、言う
までもなく先に挙げたものであり、付録２のセクション
3.3に記載されている。詳細にいえば、行１及びｑにつ
いて１つ、行２及び３について１つ、行４及びｑ＋１に
ついて１つの３つの異なる方程式を使用することにな
る。例を挙げると、行１の場合、列３に零を加算し、列
１及び２の各々にx₁x₂をモジュロ２加算をする（どれ
でも、それをそれ自体にモジュロ２加算した和は零に等
しい）。x₁x₂＝0011であるので、これを方程式１に加
算すると、方程式10100010＝1000となり、これは付録
２の付録の表18の非線形化された方程式の集合の中の零
でない第１の方程式である。線形の零でない方程式の集
合の行２については、列１及び列２の各々にx₁x₃を加
算する。すなわち、00010100＝0101である。表１の線
形の方程式の集合の行２の列１及び２にこれを加算する
と、表18Aの方程式の集合の中の第５の零でない方程式
が得られる。最後に、行４及び行ｑ＋１に関わる第３の
方程式の利用の１例として、x₂x₃＝00110100＝0110
となる。これを、たとえば、線形の零でない方程式の行
４の列１及び列２に加算すると、表18にある非線形化さ
れた方程式の集合の中の零でない方程式の行２が得られ
る。適用可能な行の６つ全てを非線形化プロセスに従っ
て変更しなければならないのはもちろんである。すなわ
ち、この後者の例においては、先の例のように８つでは
なく、方程式のうち10個を非線形化することになり、言
うまでもなく、その結果として起こる列１から列３への
マッピングは、通常は、２つの方程式の集合の場合とは
全く異なっている。

最後に、初めの２つの列の各々に「オフセット」をモ
ジュロ２加算することにより、非線形化方程式をさらに
変更しても良い。これは、もちろん、オフセットをそれ
自体にモジュロ２加算することこれは言うまでもなく０
である）と等価であるので、第３の列にある数に影響を
及ぼさない。特定の例を挙げると、図17は、先に説明し
た、付録２の付録の表18に示されている第３の例の方程
式の集合について、第１の列及び第２の列へのオフセッ
ト0101の加算によって変更した方程式を提示している。

図16は、本発明に従った暗号化及び解読のための典型
的な装置のブロック線図を示す。図16に見られるよう
に、最終的には読み取り／書込みメモリの形態をとるル
ックアップテーブルを使用するのが好都合であり、この
場合、クリアテキストデータブロック又は暗号化テキス
トデータブロック（共にｎビットの長さ）はメモリにア
ドレスとして並列に提示され、対応するアドレスに記憶
されているデータは各データブロックの暗号化又は解読
にそれぞれ対応している。その目的のためには、メモリ
アドレス範囲が操作すべきデータブロックより１ビット
広くなるように、暗号化又は解読のいずれかに要求され
るアドレススペース（たとえば、ｎ＋１アドレスビッ
ト）の２倍のアドレススペースをもつメモリを使用する
のが好都合であろう。この方式では、メモリアドレスの
うち１ビットを使用して、動作を暗号化動作とすべきか
又は解読動作すべきかを指定しても良い。特定の例を挙
げると、メモリアドレスの最上位ビットは解読プロセス
を指示すべきときは０、暗号化プロセスを指示すべきと
きには１であっても良いであろうし、解読データはメモ
リのアドレス範囲の下半分に記憶され、また、暗号化デ
ータはメモリの上部アドレス範囲に記憶されることにな
る。このように、暗号化と解読は、共に、単一のビット
の制御によってルックアップテーブルの希望の通りに実
行可能であり、ｎビットから成る１ブロックの暗号化又
は解読を１回のメモリサイクルで実行できる。

暗号化と解読のマッピングを周期的に及び／又は動的
に変更すべきであると仮定すると、ルックアップテーブ
ルの内容を変更する何らかの方法を提供しなければなら
ない。これを専用ハードウェアで実行することは可能で
あろうが、暗号化方式と解読方式の変更が起こる回数
は、通常、暗号化と解読のプロセスそれ自体を実行しな
ければならない回数よりはるかに少ないので、プログラ
ム制御の下で適切なプロセッサにより変更を実行するの
が好都合である。従って、通常は暗号化及び解読それ自
体と同じ速度で変更を実行する必要はない。そこで、図
16に示す非線形動的置換発生器はそれに対する様々な入
力に基づいてプログラム制御の下で動作すれば良い。詳
細にいえば、たとえば、ブロック置換ビットサイズ
（ｎ）、ｎ個の線形に独立した数から成る基本集合、生
成関数、非線形化を開始すべき線形集合の初めの方程
式、及び実行すべき非線形化関数の繰り返しの回数のよ
うに、暗号化の方程式を定義するいくつかの基本情報が
与えられると、その方程式をプログラム制御の下で容易
に生成できるであろう。

非線形化方程式にオフセットを適用したならば、列３
の各々の数又はブロックをルックアップテーブルの暗号
化のために割当てられた部分の、各行についての列１の
ブロックに等しいアドレスに記憶する。従って、列１の
数又はブロックがアドレスとして適用される場合、メモ
リから読み取られる数は、各々の暗号化ブロックを表わ
すその行に関わる列３の数である。テーブルの解読部分
については、列３のブロックをメモリアドレスとして使
用し（さらに適切にはアドレス部分、解読を指定するア
ドレスビットを含む全アドレス）、それらのアドレスに
記憶されているデータが列１の各々のブロックであると
いう点で、プロセスは逆になる。すなわち、解読中に
は、暗号化ブロックにより定義されるアドレスでメモリ
への入力が起こり、各アドレスに記憶されているデータ
は関連するクリアテキストブロックに対応する出力とし
て提供される。便宜を考えて、暗号化及び解読のための
詳細な方法を付録３に記載してある。

暗号化プロセスと解読プロセスは、共に、何らかの
（可変）開始情報が与えられれば、単に論理的操作を包
含しているにすぎないので、それらのプロセスを完全に
プログラム制御の下で実行することができるのは自明で
あろう。ところが、プロセッサは同じ暗号化方程式と解
読方程式を何度も再生成するのをやめるために、暗号化
と解読を実行できる速度は非常に大きく低減するであろ
う。これに対し、ルックアップテーブルを使用すると、
暗号化方程式及び解読方程式の集合全体を一度で確定で
き、暗号化又は解読すべきどのデータブロックについて
も、その情報は方程式を変更すべき時点に至るまで１回
のメモリサイクルを通して絶えず利用可能となってい
る。

本発明の暗号化及び解読のための好ましい一実施例を
ここに開示し且つ説明したが、本発明の趣旨から逸脱せ
ずに形態及び詳細について様々な変更を実施しうること
は当業者には自明であろう。

付録 １ バイアスされないブロック置換 要約 ブロック置換とは、ｎビットの２進数をそれ自身への
１対１マッピングである。このような置換または変換
を、順列で表すことができる。ｎビットの２進数の或る
順列は、ブロック置換を、一つの順列処理された組の数
のモジュロ２加算によって規定することを表している。
このような順列を複製と称している。これら順列の部分
集合は、以下のような追加の特徴を有している。即ち、
これら順列が規定する等式は、ベクトルとして見た時
に、加算関係を有している特徴である。このような順列
を、加算と称する。バイアスされないブロック置換は定
義される。加算順列によって規定された置換はバイアス
されない状態であると共に、あらゆるバイアスされない
ブロック置換を複製式順列によって表せることが示され
ている。これら加算順列は、同一特性を保有するグルー
プを形成するように表されている。これら加算順列の存
在に対する種々の条件が確立され、これらグループの或
る特性が決定され、このようなグループの数が計数され
ると共に、ｎビット数のすべての成立可能な順列と比較
される。

序言 ブロック置換は、通常、ｎビットの２進数のそれ自身
への１対１マッピングに適用された用語である。このマ
ッピングを、2ⁿ個のｎビット数の対として書くことがで
きる。即ち、 ここで、各列は、同じ2ⁿ個の別個のｎビット数の組であ
るが、異なった順序で書くことができる。従って、この
マッピングを、以下に記載されたようなｎビット数の順
列として考えることができる。

または、指数のある組に対しては（x₁x_ix_j…）となる。
これら順列に対する、このような通常の表記は、単にx₁
→x_i、x_i→x_j等を意味する。列の表記法に戻ると、一組
の簡単な方程式を、元の組およびそれのイメージから規
定することができる。

ここで、記号は、モジュロ２加算（即ち、桁上げなし
で、対応する数字を加算すること）を意味する。一般
に、集合｛y₁,y₂…｝の全ては独立したものではない
が、或る状況の下では、独立したものとなる。独立した
ものとなると、ブロック置換を、従来の手段に基づくよ
り、むしろ、モジュロ２加算によって発生させることが
できる。主要なタスクとしては、必要に応じて、これら
状況を決定することであり、ここにおいて、このスチー
ム（計画）が実行され、如何にしてこれら置換を迅速に
変更できるか、および偏りを無くすことができるかが決
定される。

これらブロック置換を、モジュロ２加算によって発生
させることが可能であるか、明らかでなかった。例え
ば、モジュロ２加算によって、３ビットの２進数の１つ
の構成を、他の構成に置換する方法を考察する。このこ
とが図１に示されている。コラム（列）３の右側におい
て、011と100の各々が２回現れるのに対して、001と100
は、現れない。コラム２の中心の数字で作用している、
コラム１の左側の数字によって、３ビットの二進ワード
の集合の、それら自身への変換を構成する。これは、多
１変換であると共に、ブロック置換に対しては有効なも
のではない。

図２に示したもう１つの構成を実施することによって
異なった結果が得られる。この場合、変換は、３ビット
の２進数からそれ自身への１対１である全てのコラムの
各々は正確に、一回だけ３ビット数より構成されてい
る。

定義 ｎビットの２進数の反復性の配列（アレイ）は、2ⁿ＝
ｍ＋１個の方程式の集合である。即ち、 ここで、集合｛y_k｝、｛x_k｝および｛z_k｝の各々は、2ⁿ
個の独立したｎビットの２進数から成っている。

この集合｛y_k｝によって、マッピングx_k→z_kが規定さ
れる。この集合y_kはすべての値を取るので、集合y_j＝Ｉ
＝（０…０）の正確に１つの要素は恒等式をとる。従っ
て、x_j＝z_jは固定点であり、他の点は存在しない。各コ
ラムが独立したｎビット数より構成されるので、他の２
つのコラムの各々の順列となる。

先ず、最初の疑問として、如何にして、このような反
復性の配列を構成するかである。

命題１ ｎビットの２進数の反復性配列を、（ｎ＋１）個の行
のあらゆる組の合計から構成することができ、これの列
には、恒等式（identity）およびｎ個のG_nの生成元が包
含されており、これは、ｎビットの２進数のグループで
ある。

証明 普遍性を失わずに、第１の（ｎ＋１）個の行はこの特
性を有するものと仮定できる。１つの行が、Ｉ＝ＩＩ
であるか、または恒等式が３つの異なった行内で発生す
る。ここで、z₁＝x₁＝y₁＝Ｉと仮定する。次に、集合
｛z₂,…,z_n+1｝、｛x₂,…,x_n+1｝、｛y₂,…,y_n+1｝の各
々が、ｎ個の独立した、G_nの生成元から構成される。こ
の配列の残りの行を構成するために、列２からｎ＋１ま
での対のモジュロ２合計と、これら列の３倍の合計と、
最後に、 を採用する。このような方法で構成した、追加の列の数
は以下の通りである： そこで、この配列は、このようなプロセスによって完全
に特定化される。ｉ＞ｎ＋１に対するz_i、x_i、y_iの各々
は、生成元の異なった線形組合わせであるので、これら
全ては、独立したものであると共に、｛z_i｝、｛x_i｝お
よび｛y_i｝の2ⁿ個の要素の集合の各々は、ｎ桁の２進数
の順列である。

ここで、z₁＝x₂＝y₃＝Ｉであると仮定する。最初の３
つからの行の対を互いに加算することができない。その
理由は、このことによって、列の１つにおけるz₁、x₂ま
たはy₂の複製したものを生じるからである。我々は、こ
の問題点を、初期のｎ＋１列から奇数の列を互いに加算
することによって回避している。従って、以下の行が得
られる： ここで注意すべき点は、二項係数に対する一般の恒等
式である： ｎ個の奇数に対して、この方法で生成した行の数を総
計すると、以下が得られる： ｎ個の偶数に対しては、左辺の合計中の最後の項が以
下である： 従って、それを、再度、2ⁿ個の行に加算する。

最初のケースのように、行要素は、生成元と恒等式
の、2ⁿ個の独立の線形組合わせである。（Q.E.D.） 命題１によって、反復性配列を生成する方法が得られ
るが、これらすべてをこの方法で生成できることを意味
するものではない。他の定義を導入する方が好都合であ
る。この反復性配列の個々の行を、ベクトルとして考え
ることができ、これらベクトルを、対応するスカラー成
分モジュロ２を加算することによって、互いに加算する
ことができる。

定義 反復性配列を加算配列（additive array）と称し、こ
の反復性配列は、あらゆる奇数行のベクトル合計モジュ
ロ２が、再度元の配列におけるもう１つの行であるよう
な特性を有している。

明らかに、命題１におけるように生成した、反復性配
列は加算配列であるが、この加算特性を有しないような
他の配列も存在する。

命題２ 固定の行ＩＩ＝Ｉを有するｎビット数のあらゆる、
加算配列は、ｎ個の線形的に独立した行の最大の集合を
有している。

証明 ｋを、独立した行の最大数とすると共に、ｋ＜ｎと仮
定する。この加算配列は、恒等式を包含した、正確に2ⁿ
個の行を有している。前述の命題１によって、これらｋ
個の行によって、2^k個の行の配列を生成する。従って、
残余の（2ⁿ−2^k）個の行を複製する必要があると共に、
この配列を加算することはできない。

ｋ＝ｎ＋ｑで、ｑが正整数の場合に、独立した行の最
大の集合によって、2^n+q個の行が生成される。各列にお
いて、2ⁿ個の独立したｎビットの各々は、2^q回だけ現れ
るようになる。この2ⁿ個の加算配列は、2^n+q個の行を有
する配列中に埋没される。この配列を、より大きな配列
から適切な列を選択することによって、取出すことがで
きる。この加算配列に対して、最初の列、例えばx₁y₁
＝z₁を選択する。x₁は列１において2^q−１回以上現れ、
同様に、y₁は、列２内で、更に、z₁は列３内で2^q−１回
以上現れるようになる。x₁とy₁との同じ組合わせが再度
起こらないので、３（2^q−１）個の行を、この加算配列
に対する次の考慮点より排除する必要がある。第２の選
択、即ちz₂から、列３内のz₂を含む2^q−１個の行を排除
する必要があるが、x₂またはy₂は、すでに除去した行に
存在していたので、第２のステップにおいて、排除され
た行の数は≧2^q−１である。後続する各ステップに対し
て、≧2^q−１個の行を除去する。このプロセスは、2ⁿ個
のステップの後で完了する。2ⁿ個の行が選ばれたと共
に、以下に示すように、排除された行の数が規定され
る： ３（2^q−１）＋（2ⁿ−１）（2^q−１）＝（2ⁿ＋２）（2^q−１） 従って、選択および排除された行の総数は以下に与えら
れる： 2ⁿ＋（2ⁿ＋２）（2^q−１）＝2^n+q＋２（2^q−１）＞2^n+q. そこで、このプロセスを完了するためには、行は十分に
存在しない。この矛盾点はｋ＝ｎを意味する。（Q.E.
D.） 上述した事項は、かなり学術的なものに見えるが、如
何にして加算配列およびその結果としての置換を生成す
るかを表しており、更にまた、このプロセスによって、
これらの全てのものが得られることを表している。しか
し、これら加算配列には、次の命題に記載された、もう
１つの極めて有益な特性を有している。

命題３ 固定された恒等式の行を有する加算配列はグループで
ある。

証明 この配列内の行をベクトルと考えることができると主
に、以下に示す、それぞれの成分を加算することができ
る： ここで、x_ix_j＝x_k等である。これは、グループ動作で
ある。この配列中の各行は、ｎ個の生成元の或る部分集
合の合計である。２つの行の合計は、また、これら生成
元の或る部分集合の合計であり、従って、このような合
計から構成される配列内に存在する。グループ恒等式
は、行Ｉ＝ＩＩである。（Q.E.D.） 列の各対によって、順列を以下のように規定する。即
ち、１つの列内の数を採用する。例えば、列２ではy₁を
採用し、列１内で同じ番号を見出す。これは、例えば、
列２内のy₂のようなパートナーを有している。再度、列
１内にy₂を配置すると、列２内ではパートナーy₂が存在
するようになる。このことによって、列２から列１に向
かって順列y₁→y₂→y₃→…が規定される。このような順
列の６個の内、３個は独立したものであり、これらを加
算配列によって規定する。

定義 加算配列によって定義された順列を、加算順列と称し
ている。

最初に、固定点がＩであるような場合を考え、y_m+1＝
x_m+1＝z_m+1＝Ｉを実行する。この加算配列中における列
の順序は任意なものである。第２の列に対して、y_j＝x₁
を選択できると共に、第３の列に対して、y_k＝x_j等を選
択する。指数について再構築すると、以下のものが得ら
れる： 列１および列２内における数の順序は、これら２つの
列によって規定された順列を表すようになり、これによ
って以下のものが導出される。

定義 列１と列２との間で、順列によって規定された順序で
配列されている列を有する加算配列を以下、正規化され
ていると称する。

命題４ 固定された恒等式を有する加算配列を以下の形態で書
くことができる： ここで記号“p"は整数である。

証明 正規化した形態において、この配列を、以下のように
書くことができる。

配列がグループであるので、これを、順次の列の対の合
計を採用することによって、再生成することができ、以
下のように得られる： 新しい配列中の列は、元の配列中の列と同一（しかし、
再構成されているが）となる必要がある。これら列の順
序における開始点は、特定できない、ある数量の位置だ
けシフトしているが、左側の対角構成から、これら列の
順序を同一にする必要がある。この新しい配列内の列２
は、以下の通りである。

これは、元の配列内の列３と同一である。その結果とし
て、元の配列内の列３は、元の配列内の列２と同一なも
のであるが、特定された数量の位置だけシフトしてい
る。（Q.E.D.） 後述から明らかなように、このシフト分“p"は、任意
の数のみを取るものである。今までは、特殊なケースを
除いて、前以ってこのｐを決定したり、または、このｐ
の知識から配列を決定する適切な手段が見つかっていな
かった。しかし乍ら、このｐに対する可能な値を除去す
る規則や、許容し得る値をペアリングする規則が存在す
る。このシフト量“p"によって配列および置換の全体ク
ラスを決定する。今までは、このｐに対する、可能なす
べての値が、ｎ≦８のブロックサイズに対して見つかっ
ている。

命題５ “g"が、固定の恒等式を有するｎビットの２進数の加
算順列の最大長である場合に、順列“g"のべき数“s"に
対して、“g^s"もまた加算である。

証明 “g"は以下に示した加算配列の列１および列２によっ
て規定され、この場合、以下の恒等式を省略する： このg^sを定義する配列は、以下のようになる： 前述の命題４の証明のように、この“g"に対する配列
のグループ構成から、“g"を再生できる。この場合に、
ｓの間隔だけ離間したｍ対の列の合計を用いて再生して
いる。即ち、 左辺の対角線構造から明らかなように、列１および列
２は、前記のように同一の順序であるが、異なった開始
点を有している。即ち、この配列は回転したものであ
る。ここで、g³、x_mx_s＝w_sに対する配列から、x_s-s＝
x_mである。従って、ｇに対する回転した配列の列１（ま
たは列２）は、集合｛w₁,…,w_m｝より構成され、この集
合は、｛x₁,…,x_m｝の置換された形態または回転した形
態である。

このことは、g^sに対する加算配列内の行の一般形態が
以下のものであることを示している： ここで、記号p_sは、べき数ｓに相当するシフトである。
また、このp_sは基本的なシストに関連すると共に、ｓの
各値に対して異なっている。同一の順列グループにおい
て、一方の置換から他方の置換に変化する場合に、これ
らシフトおよびこれらの順序を知ることは重要である。
詳細は後述する。

命題５において、加算であるという特性は必要なこと
である。反復性順列“g"の例が図示されており、これら
順列は、加算でなく、且つ、このg^sは反復性を有しな
い。

この“g"が最大長の順列でなかったとしても、命題５
は真実でもある。循環性の存在によって、この証明を少
し、複雑なものにする。しかし乍ら、最大長でない順列
に相当する置換と一緒に開始することには、殆ど実用上
の興味が存在しない。その理由としては、べき数によっ
て完全なグループを生成しないからである。恒等式以外
の固定点を有する順列によって、また、グループを構成
する。しかし乍ら、これらグループを生成する加算配列
は、グループではない。

次のステップは、順列のこれらのグループおよび対応
する置換は、可能な、すべての入力／出力対を生成する
極めて好適な特性を有していることを表している。

これら加算配列の各々を、列の対によって正確に１つ
のエレメントを固定維持している配列によって生成する
ので、各配列によって、2ⁿ個の二進語の１つを固定状態
に保持する。従って、これら順列は、2ⁿ個の要素上のす
べての順列の対称形態のグループに帰属するだけでな
く、ｍ＝2ⁿ−１個の要素上の順列のサブグループp_mにも
帰属する。所定の順列のすべてのべき数によって、グル
ープを構成する。順列の順序は、それ自身のサイクル
（循環性）の最小公倍数であると共に、このグループの
順序は、その中における独立した順列の数である。それ
のサイクルのすべてが同一の長さであれば、順列は通常
であると言える。

これら順列の一つのグループに対する重要な特性は、
推移性である。推移性的なグループは、少なくとも１つ
の順列を有し、これによってあらゆる要素またはワード
を他のものに変換する。

命題６ Ｇが、加算順列のべき数によって生成したp_mのサブグ
ループであり、ここでｇがｍ＝2ⁿ−１の順位の場合に、
このＧは、2ⁿ−１個の固定されていないワードに対して
推移的である。

証明 固定ワードx_jに相当するシングルサイクル順列（ｊ）
を省略することによって、Ｇが2ⁿ−１個のｎビットワー
ドに関する順列のサブグループとなり、これらｎビット
ワードは固定されて保持される。ｇ｛g,g²,g³,…,g^m＝
Ｉ｝のｍ個のべき数によってＧを生成するので、それ自
身の順序|G|はｍと等しくなる。2ⁿ−１個のｎビットワ
ードの１つを固定で保持するＧのサブグループに対して
G₁を与える。これが加算順列のグループであるので、G₁
＝｛１｝、恒等式順列のみとなる。そこで、G₁は順列|G
₁|＝１を有すると共に、 内でG1の指数を有する。（Q.E.D.） 他の固定点を有する加算配列 恒等式以外の固定の要素を有する加算配列を、固定の
２進数を列１と列２内の各数に単に加算することによっ
て、生成できる。例えば、Ｈを命題４に記載されている
ような配列（およびグループ）とし、新しい配列H'を以
下のように生成する： 明らかなように、H'は2ⁿ個の行を有し、これら行のい
ずれかの対、または偶数個の行の合計がＨの中に存在し
ている。その理由は、w'sを抹消するからである。H'中
の奇数の列を合計すると、H'中の列となる。その理由
は、この合計値は、Ｈと列ｗｗ＝Ｉとを加算したもの
における列の合計値に等しいからである。従って、Ｈ∪
H'は2ⁿ＋１個の要素を持ち、列の加算の下で閉じられる
と共に、恒等式ＩＩ＝Ｉを包含するようになる。従っ
て、Ｈ∪H'はグループであり、Ｈは最大のサブグループ
であり、更に、H'＝~Hは、Ｈの相対補数である。

H'中の列１をシフトすることができ、これによって、
元の配列によって規定された順列のべき数に対応する配
列を得ることができる。代表的な行は以下のようであ
る： （x_k-jｗ）（x_kｗ）＝x_k−p_j これは、Ｈのｊ番目のべき数における、対応の行のイメ
ージである。そこで、H'によって規定される順列は加算
性であると共に、それのべき数である。

Ｉが固定されていない2ⁿ個の行を有する加算配列を有
するものとする。更に、この配列は、（ｎ＋１）個の線
形的に独立した行のすべての奇数個の組合せの総和を有
するものとする。命題１の証明のように、これによって
正確に2ⁿ個の行を生成する。従って、偶数組の和または
偶数の行の和がこの配列中に存在できない。それ自身を
含んだ、単一行の各々に、それを加算することによっ
て、固定した恒等式を有する2ⁿ個の行の加算配列を生成
する。

この結果として、固定の恒等式を有する加算配列と、
他の固定の数を有する加算配列との間には、１対１対応
が存在するようになる。

従って、ブロック置換として利用するために関心のあ
る、すべての加算配列は、固定の恒等式を有するか、ま
たは、前述したように、このような配列から得ることが
できる。何れにしても、加算配列は特定化されない限
り、固定の恒等式を有するようになる。一般に、行Ｉ
Ｉ＝Ｉを省略する。

加算配列の生成 配列内において、独立した行または生成元の分配につ
いての何かを知ることは有効なものである。

命題７ ｎビットの２進数における、固定のＩを有する最大加
算配列において、ｎ個の連続した行は生成元である。

証明 ｎ個の第１番の行について考察すると、以下の通りで
ある： これら行が独立したものでなければ、以下のようにな
る ここで、Ｑは、Ｓ≦ｎ−１個の要素を有する｛1,…,n−
１｝の部分集合である。この配列中の次の行は、x_nx
_n+1＝x_n+1-pである。この配列は加算グループであるの
で、以下の事実となる。即ち、およびこれを、連続した
行に対して適用した場合に、ｓ＜ｎ個の生成元を有する
全体配列を生成できる（Q.E.D.） このことは、我々の目的であるが、このことによっ
て、ｎ個の等距離離間した行が生成元であることを表し
ている。

以下において、特に説明しない限りにおいて、加算配
列は最大であると共に正規化されており、更に、固定の
恒等式を有している。簡単のため、行ＩＩ＝Ｉを省略
する。基本配列のｋ番の行に対する一般形態は以下の通
りである。

x_k-1x_k＝x_k-p 基本順列のべき数ｓに相当する配列に対して、ｋ番目の
行は以下の通りである。

通常のように、ｎはブロックのサイズで、ｍ＝2ⁿ−１
である。p₁≡ｐと規定する。p_sの値について知ること
は、これらを生成するブロック置換を利用するためには
重要なことである。ｓ≠ｔでなければ、p_s≠p_tであるこ
とは明白である。

命題８ ｐ≧ｎ 証明 基本配列の（ｐ＋１）番の列は、以下の通りである： x_px_p+1＝x_p+1-p＝x₁ ｐ＋１≦ｎならば、これは、最初のｎ個の行が互いに相
関しており、これは命題７と矛盾する。（Q.E.D.） 注意:s＝ｍ＋ｋならば、ｓが次数ｍの順列ｇのべき数な
ので、以下となる： g^m+k＝g^m・g^k＝Ｉ・g^k. そこで、これら指数をモジュロｍと表現できる。

命題９ ｐがシフトに対して許容し得る値ならば＝2ⁿ−ｐで
ある。

証明 正規化された順列において、第１列を、第２列に対し
て１段下がって配置する。第３列は、第２列に対してｐ
段下方にシフトすると共に、第１列よりｐ−１段シフト
して配置する。第１列と第２列とを相互交換すると共
に、結果として得られる配列の上側を下方に向け（即
ち、行の順序を逆にする）ると、新しい配列において、
第３列は、第２列に対して、ｍ−（ｐ−１）＝2ⁿ−ｐ位
置だけ下方にシフトされる。順序のみ変更してあるの
で、新しい配列は、これによって同一グループから順列
を発生するという観点において、元の配列と等価なもの
となる。（Q.E.D.） 注意：≧ｎであるので、ｐ≦2ⁿ−ｎとなる。

命題10 或る整数に対して、べき数ｓ＝2^rの場合、ｒ≧０、p_s
＝spとなる。

証明 ｒ＝１ならば、ｓ＝２およびx_k-2x_k＝x_k-p2とな
る。これを書替えると： x_k-2x_k＝x_k-2x_k-1x_k-1x_k. ｋ−１とｋ−ｐを指数と考えると： x_k-2x_k＝x_k-1-px_k-p＝x_k-p-p＝x_k-2p. そこで、p₂＝2pとなると共にこのステートメントはｒ＝
１に対して正しいものとなる。

或るべき数ｓ＝2^rに対して、p_s＝2^rp、2^r+1＝2^r＋2^r
と仮定すると、以下のようになる。

x_k-2r＋１x_k＝x_k-2r_-2rx_k＝x_k-2r_-2rx_k-2rx_k-2rx_k ＝x_k-2r_-2r_px_k-2r_p＝x_k-2r_p-2r_p＝x_k-2r＋1_p. （Q.E.D.） ｐに関して、他に制約、即ち、第３列のシフトがあ
る。ｇが、加算配列の列２→１によって規定される順列
の場合に、列１→３によって規定される順列がg^p-1とな
り、列３→２によって規定される順列がg^m-pとなる。こ
れら順列は、明らかに、関連性を有し且つ、ｇ・g^p-1・
g^m-p＝g⁰＝Ｉであり、恒等式の順列となる。

指数１＋（ｐ＋１）＋（ｍ−ｐ）の合計は≡0 mod m
となる。また、明らかに１＜ｐ＜ｍである。更に一般
に、べき数g^sに対して、対応する順列は以下となる。

g^s・g^ps^-s・g^m-ps＝Ｉ 従って、以下となる。

ｓ＋（p_s−ｓ）＋（ｍ−p_s）≡0 mod m and p_s≠s,m 命題11 加算配列によって、２対の列における基本順列のべき
数ｓを生成する場合には、３つの列および3s≡0 mod m
のすべてにおいて、このべき数を生成する。

証明 ３つの順列の内の２つが同一べき数である場合に、配
列を構成することができ、この結果として、代表的な行
が以下のようになる。

前述のグループ特性によって、これらを互いに加算す
ることによって同一配列中にもう１行が得られる。

x_k+sx_k+2s＝（x_kx_k+s）（x_kx_k-s） ＝x_k+sx_k-s これは次のことを意味する： x_k+2s＝x_k-s及び3s≡0 mod m. このことは、3|mの場合のみにおいて起こり、この場合
以下となる： p_s＝−ｓ≡2s mod m,及びp_s−ｓ＝2s−ｓ＝s,m−p_s＝s. 推論 加算配列によって、別の各対を有する同一な順列を生
成する場合に、順列は次数３のものである。

証明 命題11におけるように、ｈ＝g^sを生成する場合に、h³
＝g^3s＝Ｉとなる。（Q.E.D.） p_s＝2s、 またはｍ−ｓの場合に、同じ順列が生成され、以下の条
件となる： シフトに対する候補を選択または排除するのに役立つ
種々の事実が沢山存在しているが、現在の処、このシフ
トパターンを完全に決定するための不十分な法則が見つ
かっている。これらの事実のいくつかは以下の通りであ
る： 1. もしp_s＝ｔならば対称によってp_t＝ｓとなる。

2. もしｐ＝2^tならば x_k-1＝x_kx_k-p＝x_kx_k-2t＝x_k-2t_p＝x_k-22t これは、以下の場合のみ可能である:2^2t≡1 modulo m 3. もしｐ＝2^t＋１ならば x_k＝x_k-1x_k-1-2t＝x_k-1-2t_p＝x_k-1-2t₍₂t₊₁） これは、以下の場合のみ可能となる:2^2t＋2^t＋１≡0
modulo m 4. もしp|mならば となる。その理由としては、それ以外では2^tp＝ｍ＋ｐ
とx_kx_k-2t＝x_k-2t_p＝x_k-m-p＝x_k-p＝x_kx_k-1とｔ＝
０であるから。

最大加算順列の計数 慣習によって、これら加算配列を、列１および列２に
よって規定された順列に従って構成してきた。この順列
が最大長の場合には（即ち、サブサイクルを有しないｍ
＝2ⁿ−１個の要素からなる順列）、この配列は、独立し
た自己保存型ブロックを有しない。逆に、最大配列によ
って最大順列を生成する。しかし、最大順列のべき数
は、サイクルを有することも可能である。これは、この
最大長の順列が最初の順位でない限りの場合である。従
って、他の列の対によって生成した順列に関しての一般
的な結論を引出せない。

加算配列によって生成した６個の順列のすべてが同一
サイクルを有する場合には、この配列は、各列が同一要
素を有する同一長の結合していないサブアレイの形態で
対応するサイクルを有している。列１および列２によっ
て生成した基本的な順列が、他の順列によって占有され
ていない循環構造を有している場合には、この配列中
に、結合していないサブアレイまたはブロックが存在
し、この配列中において、列３内の要素は、列１および
列２中の要素から独立している。

また、明らかなように、あらゆる最大長の加算順列を
利用して、最大の配列を生成できる。従って、最初に固
定の恒等式を有する配列および順列を考察すると、最大
長の順列および最大配列の列１および列２の間に１対１
対応が存在すると共に、従って、実体として、配列を有
するようになる。

命題12 ｎビットの２進数として、シフトｐの所定の値を有す
る最大長の加算配列の数量は以下の通りである。

証明 Ｑ（ｎ）を、ｎビットの２進数の生成元の独立した集
合の数とする。これら生成元の各集合によって、最大配
列を生成する。しかし乍ら、これら生成元が利用される
順位に差が生じる。これは、第３列を導出する項x_m＝ｆ
（x₁,…,x_n）は、これら生成元の相対順位に依存するか
らである。そのような順位がn!個存在している。一旦、
配列が生成されると、この配列の開始列または、順列の
開始点は、無関係となる。例えば、第１列がx_mx₁＝x
_1-pの場合に、x₁x₂＝x_2-pで開始する代わりに底部ま
で循環でき、この結果として、このプロセスはｍ＝2ⁿ−
１の係数によって冗長なものとなる。従って、以下のよ
うになる： ここで が、ｎビットワードから選択できる、独立したｋ個の要
素から成る集合の数であると仮定する。これは、ｋ＝１
またはｋ＝２に対して正しいものである。ｎ個の要素か
ら成る集合を単一のｎビットワードを（ｎ−１）個の要
素から成る集合に隣接させることによって構成できる。
合体させることができるこのようなｍ個のワードが存在
する。しかし乍ら、ｍ＝2ⁿ−１を、 を除去することによって減少させる必要がある。このこ
とによって、この（ｎ−１）個からなる集合において、 によってこれらワードを複製する。

は、（ｎ−１）の集合内のワード対の合計であると共
に、最後に、 によって複製する。このワードは、（ｎ−１）個より成
る集合のすべてのワードの合計である。従って、ｍを以
下によって減少する必要がある： これらワードの数を、（ｎ−１）個より成る集合＝2ⁿ
−１−（2^n-1−１）＝2ⁿ−2^n-1に隣接させる必要があ
る。しかし乍ら、ｎ個の要素より成る集合を、ｎ個の異
なった（ｎ−１）個の要素より成る集合によって生成で
きるので、 となる。その結果、以下となる。

（Mn）を、演算し易い形態に書換えると： ここで 単純な再帰関係が存在する： Ｍ（ｎ＋１）＝2ⁿ（2ⁿ−１）Ｍ（ｎ） ｍが素数でない限り、順列グループには、最大でない
順列のいくつかが含まれるようになり、このため、或る
適当なサイクルを有するようになる。これらは、最大の
順列のべき数g^sであり、ここでｓは、ｍの除数である。
これらは、ｍ−１の除数であるｓの値の数を計数するこ
とによって計算できる。

固定のＩを有するｎビットの数字の加算順列のグルー
プにおいて、Ｌ（ｎ）個の最大順列およびＳ（ｎ）個の
最大でない順列が存在する。

Ｌ（ｎ）＋Ｓ（ｎ）＝ｍ−１＝2ⁿ−２ ｎビット数の集合に対して、2ⁿ!個の順列が存在する一
方、独立した置換が得られる2^n-1!のみが存在する。そ
の理由としては、この順列内の開始点によって何ら相違
が生じないからである。最大の加算配列において、固定
の行以外の行の順序を循環できる。これら加算配列によ
って、単一の固定点を有する順列の部分集合である処の
順列を生成する。Ｆ（ｎ）が、2ⁿ個の固定したワードの
いずれか１つを保有する順列の全体数である場合に、こ
のＦ（ｎ）は以下のようになる： 便宜上、多数の他の項について定義できる。これら項
は以下の通りである： N_p（ｎ）:p₁の独立した値の数で、ｎビット数の最大
加算配列の列３における基本的なシフトである。

Ｍ（ｎ）：所定のｐおよび所定の固定点に対する最大
加算順列の数であり、これは、命題12より導き出す。

Ｔ（ｎ）：所定のｐおよび所定の固定点に対する加算
順列の合計数である。2ⁿ−１が素数の場合に、Ｔ（ｎ）
＝Ｍ（ｎ）となり、一般的には以下のようになる。

Ｈ（ｎ）:nビット数に対する加算順列の合計数であ
り、以下の通りである。

Ｈ（ｎ）＝2ⁿN_p（ｎ）Ｔ（ｎ）． Ｇ（ｎ）:nビット数に対する加算順列のグループの数
であり、以下の通りである。

表１はビットサイズｎ≦８に対するこれらパラメータ
のタブである。比率Ｈ（ｎ）/F（ｎ）によって、加算順
列の相対的にまれな値が与えられる。

バイアスされないブロック置換 ブロック置換デバイスを設計するに当たっての最終目
標は、ｎビットの２進数を、それら自身に対して、バイ
アスされない状態で変換する方法を有することである。
このことは十分に規定されているように見えるが、基本
的には暗号テキスト中に、明瞭なテキストの性質に関す
る情報が、何も含まれていない。例えば、部分集合をそ
れ自身にマッピングする必要はなく、ある特徴（例え
ば、二進位置における、下方向の半分や、ゼロである）
を有する数字を、同一の特性または逆の特性を有する数
字のイメージと、等価的に類似させる必要がある。ラン
ダムな入力に対して、等価的に類似するすべての出力を
所望することは、不十分であると共に、この変換が１対
１であることのみ要求される。そこで、以下の定義を提
案する。

定義 ｎビットの２進数を、それ自身への置換または変換
は、以下の場合において、バイアスされないしていると
称す： ａ）．単一の固定点以外に、不変の部分集合が存在しな
い場合。

ｂ）.nビット数の最大のサブグループのすべてを、２つ
の等価な部分に対して、それ自身へおよびそれの相対補
数にマッピングする場合。

更に進める前に、これら最大のサブグループに関する
事実を収集する必要がある。同一の二進位置においてゼ
ロを有する２進数の集合は、そのようなサブグループで
ある。しかし乍ら、同様に他にも存在する。2^k次のサブ
グループを、2^k+1次のサブグループ中に埋設すると共
に、2^k個の要素を有するより大きなサブグループ中の相
対補数を有するようになる。

命題13 G_nを、グループオペレーションのように、モジュロ２
加算を有するｎビットの２進数のグループに設定する。
Ｈを、2^n-1次のサブグループにすると共に、ＨをG_n内の
その補数にする。次に、ｘに対しては、以下の通りでｙ
∈,xｙ∈H,またｘ∈Ｈおよびｙ∈ならば、以下の
通りとなるｘｙ＝ｚ∈ 証明 恒等式Ｉ＝（０…０）を含まないので、はサブグル
ープとなれない。定義によれば、x,y∈H,ならば、以下
の通りであるｘｙ∈H. ｚ＝ｘｙとし、ここでｘ∈Ｈおよびｙ∈．もしｚ∈
Ｈならば、グループ特性によってｙ＝ｚｘ∈Ｈとな
る。これは、矛盾であり、その理由は以下のためであ
る:H∩＝．そこでｚ∈．となる。Ｈとにおける
要素の数は、ｐ＝2^n-1である。このＨ内の各要素、また
は２進数を、Ｈに属するｐ対よりなる数の合計として書
くことができる。このことによって、ＨからＨまで、p²
個の対が与えられる。

混在させた対の合計であるＨにおける数を、２つの考
察方法で表現できる。即ち、p2個の対であり、ここで
は、Ｈからｐ個がＨからのｐ個に整合している。もう１
つのp²個の対を、からのｐ個のワードをＨからのｐワ
ードで整合させることによって生成する。このことによ
って、Ｈにおける混在させた合計を表す方法として合計
で2p²通りの方法が得られる。

Ｇの全体において、2p個のワードが存在しており、こ
れを（2p）^２＝4p²対と表せる。残りのp²個の対は、Ｈ
からの数の合計が得られる対である。以上において、2p
²個の対は、に相当し、p²個の対はＨに相当する。Ｈ
ととの２組は、同数の要素を有するので、残りのp²個
の対は、Ｈに帰属する。

（即ち、x,y∈⇒ｘｙ∈Ｈ）（Q.E.D.） ｎビットの２進数G_nのそれらの置換は、Ｔの変換とし
て考えられる。この結果、これを以下の加算配列で表す
と、TG_n＝G_nとなる。

次に、第１項によって変換Tx_k＝z_kを規定する。Ｔが
線形ならば、 Ｔ（x_jx_k）＝Tx_jTx_kとなる。

命題14 固定の恒等式を有する最大の加算配列によって、線形
変換が規定される。

証明 一般の行は、x_k-1x_k＝x_k-pである。

Ｔを、列２を列３へマッピング変換させる、Tx_k＝x
_k-p。以下の通りとする： x_kx_j＝x_i. Ｔ（x_kx_j）＝Tx_i＝x_i-p. Tx_kTx_j＝x_k-px_j-p. この配列は命題３による加算グループであるので、以
下のようになる： x_k-px_j-p＝（x_kx_j）（x_k-1x_j-1）＝x_ix_i-1＝x_i-p および Ｔ（x_kx_j）＝Tx_kTx_j. この特性は、一般に、G_nに関する１対１変換に対して正
しいものではない。

命題15 ｎビットの２進数のそれ自身への変換は、Ｉ＝（00…
０）が固定点の場合にのみ、線形状態となり得る。

証明 一般性を失わずに、ｎビットの２進数を、以下の順序
で構成できる即ち、各２進数に続く数字は変換処理の下
では、それのイメージとなるような順序である。

Ｔが線形なので、集合1,…,mにおける或るｉに対し
て、以下となるＴ（x_kx_j）＝Tx_kTx_j＝x_k+1x_j+1・
x_kx_j＝x_iまた、x_j＝x_iならば、Ｔ（x_kx_j）＝Ｔ（x_k
Ｉ）＝Tx_kTx_jとなり、これは以下を意味する。（Q.
E.D.） 証明 一般性を失わずにｎビット数を、別の順序で構成する
こともできるので、その結果として各々を、それの後続
するものにマッピングできる。即ち、 命題15に基づいて、Ｔが線形ならば、Ｉ＝（０…０）
は固定点である。最初に、Tx_k＝x_k+1に循環性がないも
のとする。Ｔが一次（線形）変換なので、Ｔ（x_kx_j）
＝Tx_kTx_jとなる。もしx_i＝x_kx_jならば、以下のよう
になる： z_k＝x_kx_k-1をｍ＝2^n-1個の２進数（但し、Ｉ＝（０
…０）以外の）の各々に対して与えられる。ｍ＝2^n-1個
のこのような等式が存在する。z_kは、Ｉ以外のｎビット
数のすべての値をとるか、または複製したものが存在す
る。あるｋ≠ｊに対してz_k＝z_jを考える。従って、x_k
x_k+1＝x_jx_j+1とx_i＝x_kx_j＝x_k+1x_j+1＝x_i+1,にな
り、矛盾である。

循環性または不変の集合が存在する場合には、各循環
性を、上述のように、自己保持集合として書換えられる
と共に、同じ理由付けを各サイクル（循環性）に与えら
れる。（Q.E.D.） 以上において、G_nに関する、すべての一次変換が、固
定の恒等式を有する加算であることを見てきた。次に、
非線形（少なくとも数学者にとって）であるアフィン変
換について考察する。このアフィン変換には、以下のよ
うな特性を有している:T（ｘｙ）＝TxTy、ここで
Ｃはある定数がある。

命題17 恒等式以外の固定点を有する最大の加算配列によっ
て、アフィン変換を定義する。

証明 或る固定数Ａを有する加算配列を、固定のＩを有する
配列から、行ＡＡ＝Ｉをこの配列内の各行に加えるこ
とによって得ることができる。

固定のＩを有する配列において、Tx_k＝x_k-pである。
固定のＡを有する配列において、T'（x_kＡ）＝x_k-pと
なる。次に、以下のように設定し直す： x_j＝x_kA,T′x_j＝Tx_k＝Ｔ（x_jＡ）． Ｔ′（ｘｙ）＝Ｔ（ｘｙＡ）＝Ｔ（ｘＡｙＡＡ） Ｔ′（ｘｙ）＝Ｔ（ｘＡ）Ｔ（ｙ＋Ａ）＋TA Ｔ′（ｘｙ）＝Ｔ′ｘＴ′ｙＣこでＣ＝TA.となる。 （Q.E.D.） T'が任意のアフィン変換である場合には、一次変換Ｔ
の項をT'x＝TxＣとして書換えられる。命題16によっ
て、Ｔを加算配列として表すことができる。Ａ＝T^-1Cを
規定することによって、対応の加算配列を生成して、T'
を表すことができ、これは行ＡＡ＝Ｉを、Ｔに対する
配列の各行に加えることによって達成できる。

命題18 Ｈがｎビットの２進数のグループであるG_nのサブグル
ープであると共に、Ｔが一次変換、またはＡ∈Ｈを有す
るT'x＝TxTAがG_nのアフィン変換である場合に、これ
らTHおよびT'HはG_nのサブグループである。

証明 Ｇ＝THとする。命題15と16とに基づいて、Ｔを、固定
の恒等式を有する加算配列によって表すことができる。
Ｉ∈H,TI＝ＩそこでＩ∈Ｇとなる。x,y∈Ｈとする。Ｈ
は加算グループｘｙ＝ｚ∈Ｈであるので、Tx,Tyおよ
びTz∈Ｇとなる。

Tz＝Ｔ（ｘｙ）＝TxTy∈Ｇの線形特性によって、Ｇ
はモジュロ２加算の下で近接する。あらゆるｘ∈G,x
ｘ＝Ｉ∈Ｇに対してｘは、それ自身の反転したものでＧ
はグループである。アフィンの場合に、TA∈ＧとＴ′Ａ
＝TATA＝Ｉとなり、Ｉ∈Ｇとなる。Ｔ′ｘＴ′ｙ＝
Ｔ′（ｘｙＡ）∈Ｇ。これは、以下の理由に基づ
く:xｙＡ∈Ｈ （Q.E.D.） 命題19 最大長の線形（一次）またはアフィン変換はバイアス
されないなものである。

証明 最大値であるために、真先にこの変換には、それの固
定点以外では、循環性を有しないと共に、この結果とし
て適当な不変の集合を保有していない。

Ｔを線形とし、G_nの最大サブグループＨを考察する。
以下２つの集合を定義すると： もし、x,y∈ＭならばＴ（ｘｙ）＝TxTy∈Ｈとな
る。その理由は、Ｔが線形であると共に、Ｈがグループ
であるからである。従って、ｘｙ∈Ｍとなる。各ｘが
自己反転しているので、Ｍはサブグループであると共
に、ＮはＨに対してそれの補数となる。

もし、ｘ∈Ｍおよびｙ∈Ｎならば、次のようになる:z
＝ｘｙ∈Ｈ。従って、ＭまたはＮ内である。もし、ｚ
∈Ｍならば、そのグループ特性によって次のようにな
る。ｙ＝ｚｘ∈Ｍ。その結果として、ｚ∈Ｎとなる。

ｘ、ｙ∈Ｎ、Tx、Ty∈ならば、最大のサブグループ
Ｈの補数である。命題13に基づいて、TxTy∈Ｈとな
る。直線性のために、Ｔ（ｘｙ）∈Ｈとなる。x,y∈
Ｈのためｘｙ∈Ｈとなる。Ｔ（ｘｙ）∈Ｈのためx,
y∈Ｎ⇒ｘｙ∈Ｍとなる。

Ｔは、適当な不変の部分集合を有していないので、TH
≠ＨおよびＮ≠，即ち、空の集合となる。ｘ∈Ｎを選
択すると共に、ｘおよびm Q⊂Ｈによって生成したグル
ープＱについて考察する。このＱには、複素数ｘＭが
含まれており、これには、ｘｙ、ここでｙ∈Ｍである
ような形態の対のすべてについて包含されている。明ら
かに、Ｍ⊂Ｑである。ｚ∈Ｎを選ぶ（ここではｚ≠
ｘ）。これは、|H|＝2^n-1を|M|で割算するために可能と
なる。そこで|N|≧２となる。あるｗに対して、ｚ＝ｘ
ｗとなる。ｚ、ｘ∈Ｈであるので、グループはｗ∈Ｈ
ともなる。ｘ、ｚ∈Ｎであるので、ｗ∈Ｍとなる。従っ
て、ＮまたはＭのいずれかの要素は、Ｑの要素となる。
従って、Ｑ＝Ｈであると共に、ＭはＨの最大のサブグル
ープである。Ｈは2^n-1次であるので、この結果として、
最大サブグループＭの次数は、 となる。

注意:TMはグループであると共に、|TM|＝|M|。

T'を、T'x＝TxTAおよびＣ＝TAで規定したアフィン
変換とする。再び、２つの集合を規定すると、以下のよ
うになる： Ｃ∈Ｈであると仮定する。ｘ∈M'ならばT'x＝TxＣ
∈Ｈとなる。従って、Tx∈ＨおよびM'⊆Ｍ、ｘ∈Ｍなら
ばTx∈H.T'x＝TxＣ∈Ｈ、その結果、ｘ∈M'およびM'
＝M.M∪N'＝ＨおよびM'∩N'＝のため,N′＝Ｎとな
る。ここから、この証明は、第一部門のように進行す
る。

今、Ｃ∈と仮定する。ｘ∈M'ならばT'x＝TxＣ∈
Ｈ従って、Tx∈ＨおよびM'⊆Ｍ、ｘ∈Ｍ、Tx∈Ｈならば
T'x＝TxＣ∈Ｈ、M'＝Ｎおよび、その結果として、N'
＝Ｍ。この場合に、M'はサブグループではないが、この
証明の第１部分、即ち、 である。このＨが最大なので、相対補数~Hは、全体の構
成であり、この結果、Ｃ∈ＨまたはＣ∈となる。（Q.
E.D.） Ｔが線形である場合には、この証明によってあらゆる
サブグループが保持される。Ｈが2^n-1の次数であれば、
ｎ−１ビットの２進数のグループG_n-1に対して、同型の
ものとなる。G_n-1は、Ｈから成るG_nにおいて、関連した
補数を有するようになる。同一のプロセスがG_n-1にも適
用できる。このことによって、以下に示したようにサブ
グループの連鎖シーケンスが導出される： G_n⊃G_n-1⊃・・・G₁⊃G₀＝｛Ｉ｝ ここで、各G_kを、Ｔハーフによって、G_k-1にマッピング
すると共に、ハーフをにマッピングする。

注意:G_n-1等に対する数個の候補で開始できるので、こ
れらサブグループのこのシーケンスは独特なものでな
い。

加算配列によって、バイアスされないの置換または変
換を生成することを見てきた。次に、以下に規定される
方針でバイアスされない的な変換または置換に対する必
要な特性を考慮する。

命題20 G_nは、ｍ＝2ⁿ−１個の最大サブグループを有する。

証明 G_nは、ｎ個の独立したｎビット数によって生成され
る。｛x₁,x₂,…,x_n｝をそのような集合にする。生成元
のｎ−１の部分集合によって、最大の部分集合を生成す
る。

の最大サブグループをこの方法で生成する。最大サブグ
ループの、このような収集をH₁,H₂,…,H_nと設計する。
ここで、H_iは｛x₁,・・・,x_i-1,x_i+1,・・・,x_n｝によ
って生成される。換言すれば、x_iを除いたすべてによっ
て生成される。次に、各ｉｎに対して、x_i∈_ｉであ
ると共に、ｉ≠ｊに対して、x_i∈H_jである。

次に、最大サブグループ間での演算“H"について定義
する。

H_k＝H_i＋H_j≡（H_i∩H_j）∪（_ｉ∩_ｊ）． 非接合集合の集まりであると共に、|H_i∩H_i|＝｜_ｉ
∩_j|＝2^n-2であるので、|H_k|＝2^n-1となる。x_c＝x_a
x_bとし、ここでx_a,x_b∈H_k。

３つの可能性が、存在している。即ち、 1. X_a,x_b∈H_i∩H_j従ってx_c∈H_i∩H_jこれはH_i∩H_jがグ
ループであるからである。

2. x_a,x_b∈_ｉ∩_ｊ従って、命題13に基づいて、x_c
∈,H_i∩H_jとなる。

3. x_a∈H_i∩H_jおよびx_b∈_{ｉ ｊ}従って、命題13に基
づいてx_c∈_ｉ∩_ｊとなる。

x_c∈H_kの場合、明らかにＩ∈H_kであり、そこでH_kは、
最大サブグループでもある。

このような方法で生成した最大サブグループの各々に
対して、x_k＝x_ix_jを組合わせることができる。即ち、
x_kは集合｛x₁,x₂,…,x_n｝内の生成元の合計である。こ
の集合は、~H_kに属している。明らかに、この方法で生
成した最大サブグループの合計はｍであり、ｎビットの
数に１対１対応している。

このような方法で生成しなかった最大のサブグループ
H_oが存在しているものとする。ｑ数、｛x_a,x_b,・・・｝
∈_ｏを、すでに生成したあるH_kに対する生成元｛x₁,x
₂,・・・,x_n｝・x_o＝x_ax_b・・・.x_o＝x_kの最大の部
分集合とする。これら生成元によって独特の合計を生成
するので、｛x_a,x_b,・・・｝∈_ｋとなる。ｐ個の残り
の生成元｛x_f,x_g・・・｝∈H_o∩H_kこでｐ＋ｑ＝ｎ。従
って、（H_o∩H_k）∪（_ｏ∩_ｋ）は最大サブグループ
となる。これは、H_o＝H_kでなければ、可能なものとなら
ない。（Q.E.D.） 最大のサブグループと数との間には、関心関係が存在
している。G_nは、それ自身の最大のサブグループである
ことは明らかである。G_n＋Ｈ_ｉ＝H_i＋G_n＝H_iおよびH_i＋
H_i＝G_n。最大のサブグループ＝｛G_n,H_i,・・・,H_n,H₁
＋H₂,・・・｝の収集によって、恒等式として作用するG
_nと一緒の演算“＋”の下で、グループを構成する。前
述した規定によってx_k→H_kへのマッピング状態の下で
は、^GはG_nと同一なものである。

上述した証明は、少し複雑であるが、これによって、
サブグループの構造のあるものを表している。同一の結
果が更に基本的な手段によって得られる。

（ｎ−１）個の独立した要素の各集合によって、2^n-1
次の最大のサブグループを生成する。命題12から、独立
した（ｎ−１）個の要素からなる集合の数は、Ｑ（n,n
−１）である。しかし、異なった（ｎ−１）個からなる
集合によって、同一のサブグループを生成できる。次数
ｎ−１のサブグループは、ｎ−１ビットの数のグループ
と同一である。この後者のグループには、Ｑ（ｎ−１）
個の独立した（ｎ−１）個の要素から成る集合を有して
いる。従って、（ｎ−１）ビットの数のグループを、Ｑ
（ｎ−１）組の生成元によって発生でき、各最大グルー
プを、すべての独立した（ｎ−１）個より成る集合を利
用してＱ（ｎ−１）回、生成する。そこでG_nの独立した
最大サブグループの数は、以下となる： 推論 恒等式以外の数の各々が、 個の最大サブグループ内および 個の補数内に発生する。

証明 ｍ個の最大サブグループが存在するので、各数は、最
大サブグループまたは、それの補数内において、ｍ回現
れるようになる。非恒等式数に対する 個の残余の場所が、最大サブグループ中に現れると共
に、補数内に 個の場所が現れる。従って、対称によって、非恒等式数
の各々は、 個の最大サブグループ中および 個の補数中に現れるようになる。（Q.E.D.） 命題21 H_i、H_j、H_kが、３つの独立した最大のサブグループで
ある場合に、G_n＝H_i＋H_j＋H_kとなる。

証明 H_iの各々および_ｉの各々は、 個の数を有する。また、H_i∩H_j,H_i∩_ｊおよび_ｉ∩
_ｊは 個の数を有する。H_i∪H_jにおける独立した数の集合は、
集合（H_i∩_ｉ）∪（H_i∩H_j）∪（H_i∩H_j）であり、こ
れは、 個の数より構成される。失った 個の数は、_ｉ∩_ｊ。H_k＝H_i＋H_j＝（H_i∩H_j）∪（
_ｉ∩_ｊ）に含まれている。従ってG_n＝H_i∪H_j∪H_kおよ
びG_n＝H_i＋H_j＋H_k。（Q.E.D.） 推論 いずれか３つの従属した数｛x_i,x_j,x_k｝の集合で、こ
れら数はいずれもＩでない数であり、この集合には、ｍ
個の最大のサブグループの各々から、少なくとも１つの
数が含まれている。

証明 命題20の証明において、一組の最大サブグループを、
一組のG_n、｛x₁,x₂,…,x_n｝の生成元のために生成し
た。これら生成元を、これらのサブグループに関して以
下のように書換えられる： |H_k|＝｜_k|＝2^n-1,|H_jz∩H_k|＝｜_ｊ∩_k| ＝|H_j∩_k|＝｜_ｊ∩H_k|＝2^n-2. 帰納法によって、これらｎ回折れた交差部分は、 の要素を有すると共に、単集合である。例として、x₁、
x₂およびx_k＝x₁x₂を採用する。

H_k＝H₁＋H₂は、命題20の観点において、従属した集合で
あり、x_kはH_kと組合わされた数で、命題21によって、G_n
＝H₁＋H₂＋H_kとなる。命題13に基づいて、以下となる： ｛x_k｝＝_１∩_２∩H₃∩・・・・∩H_n 勿論、 である。最大のサブグループのいずれも、の形態のもの
である。ここで、ｉは、｛1,2,…,n｝の部分集合を越え
た範囲である。ｉ≠1,2ならば、｛x₁,x₂,x_k｝∈ΣH_iと
なる。さもなければ、次の３つの場合が考えられる： 1. ｉ≠1,＝２ x₁∈ΣH_i 2. ｉ＝1,≠２ x₂∈ΣH_i 3. ｉ＝1,＝２ x_k∈ΣH_i （Q.E.D.） これは、ベクトル空間を有する置換とは異なるもの
で、ここでは、ベクトルの独立した集合によってこの空
間を分けている。

命題22 G_nをそれ自身への１対１変換は、これを複製配列によ
って表現できる場合および場合にのみ限り、バイアスさ
れない状態となる。

証明 序文で示したように、TG_n→G_nへの変換（ここでTx_i＝
Z_i）を、y_ix_i＝z_iの形態で書くことができる。これ
は、２列マトリックスのモジュロ２加算によって表現で
き、以下に示した第３のものが得られる： y_iマトリックスによって変換Ｔを表す。各マトリックス
は2ⁿ個のエントリを有するようになる。x_iおよびz_iマト
リックスに対して、2ⁿ個のｎビットの２進数の各々が、
一度だけ現れる。その理由は、Ｔは、これに対して１対
１であるからである。Ｔがバイアスされない状態である
と共に、y_iマトリックスが、繰返されたｎビットの数の
いくつかを有することができるので、その結果として、
2ⁿ個の数のすべては別個なものとならない。

ｍ＝2ⁿ−１個の最大サブグループH₁、H₂、…、H_mが存
在している。Ｔがバイアスされない状態なので、これに
よって、各H_iを以下のようにマッピングする： 命題13から、最大のサブグループH_iとそれの補数に対
応するブロック中にマトリックスを構成することが可能
となる。即ち、 Ｔはバイアスされない状態なので、これら４つのブロ
ックの各々を、2^n-2個の数字より構成する必要がある。
ｎビットの数を、ｙマトリックス中において、y_o＝Ｉ、
y₁、y₂、…、y_nと設計することができると共にこれらの
各々は、多項目の根の多重度p_j≧０と共に現れるように
なる。y_j∈H_iの場合に、a_ij＝１とし、y₁∈~H_iの場合
に、a_ij＝０とする。明らかに、すべてのｉに対して、a
_io＝１となる。その理由は、恒等式Ｉは、各サブグルー
プに属する。各H_iおよび~H_iに対して、以下の方程式が
成立する。

これら２組の方程式は、矛盾していない。その理由は、
以下の通りであるからである： ｍ個の最大のサブグループに相当するｍ個の方程式を、
マトリックス形態で書くことができる。即ち、 左辺のｍ×ｍマトリックスの行列式を用いて、クラメー
ルの法則を利用して、p_iを解くことができる。例えば、
以下のようになる。

推論から命題20まで、分母中の行列式の各行は、１で
ある 個のエントリを有していると共に、０である 個の
エントリを有している。列２から列ｍまでを列１に加算
することは、行列式の値を変化させるものでない。その
結果として、以下のようになる。

各行列式において、一定な第１列を因数分解すると共
に、ｉ番目の列に対して、同一結果を保つようになり、
この結果、以下のものが得られる。

ｉ≦ｉ≦ｍに対して、 p_o≦１である。その理由は、po＞１は、バイアスされな
い置換の定義に反して、１つ以上の固定ワードを意味す
る。p_o＝０の場合に、 これは整数でない。

残り可能性はp_o＝１であり、この場合、すべてのｉに
対してp_iが以下のようになる： 従って、この変換がバイアスされない状態ならば、す
べてのp_iは１となる（p_i＝１）。これは定義によって複
製配列である。

注意：このp_oの値を限定するためのバイアスされない置
換の定義に対して、注意を払う必要はない。p_o≧２なら
ば０＜p_i＜１であり、これはまた、不可能なことであ
る。

また、この変換が複製されたものであるものとする。
任意の最大のサブグループＨを考察する。各マトリック
スの列は、Ｈ中に2^n-1個のエントリを有すると共に、~H
中に2^n-1個のエントリを有している。これらマトリック
スを、命題13を駆使して、以下のように、ブロック内で
書替えることができる。

ここで、ｘマトリックス中において、Ｈからのｂ個のエ
ントリと、~Hからの2^n-1−ｂ個のエントリとを、ｙマト
リックス中のＨからの2^n-1個のエントリに加算する。こ
のことによって、Ｈから合計で2b個のエントリと、ｚマ
トリックスの~Hから2ⁿ−2b個のエントリとが生じる。こ
の変換が複製なので、ｚ列のマトリックスは、~Hから|H
|＝2^n-1個のエントリを有するようになる。従って、2b
＝2^n-1およびｂ＝2^n-2＝2^n-1−ｂ。そこで|TH∩H|＝|T
∩｜＝2^n-2およびＴはバイアスされない状態とな
る。Q.E.D. 命題14は実際上、命題22に包含されているが、前者の命
題の証明によって、変換の構成および線形性から得られ
る追加の特性について更に詳細に開示されている。

従って、ｎビットの２進数のバイアスされない置換
は、以下の３つのカテゴリーの１つに該当するようにな
る。

1.これは反復性であるが、必要性ではない。一般にそれ
のべき数は反復性ではない。これは非線形変換であり、
これはまた、アフィンではない。

2.恒等式以外の固定点を有する加算性である。これのべ
き数もまた加算性である。これら変換のこのグループの
すべては、アフィンである。

3.固定した恒等式を有する加算性である。これのべき数
もまた加算性である。これら変換のこのグループのすべ
ては線形である。これらによって更に別の特性が設けら
れており、これらによって、すべてのサブグループを分
割すると共に、最大のサブグループを分割するものでな
い。

付録 ２ ブロック置換用機構としての非線形動的置換デバイス 目次 1. 序論 2. 線形およびアフィン・オーソモーフィズムに関する
背景知識 3. 非線形オーソモーフィズムおよび動的置換デバイス
（DSD） ３−１ 概要 ３−２ 線形オーソモーフィズムの変換 ３−３ 非線形化の要約 ３−４ 非線形化手法のアプリケーション ３−５ 非線形化のための行および方程式の選択 ３−６ 非線形化手法の要約 ３−７ 他の行選択 4. バイアスのない暗号書記法 ４−１ アバランチングおよびビット独立 ４−２ バイアス欠如の他の基準 ４−３ オーソモーフィズムのアプリケーション 参考文献 付録 1. 序論 動的置換デバイス（DSD）という用語は、テレダイン
・エレクトロニクス社で新造されたもので、２進数の明
快なテキスト・ブロックを２進数の暗号化ブロック（ま
たはその逆）にマッピングまたは順列することを、いわ
ゆるオーソモーフィズム（正形態）により達成されるブ
ロック置換デバイス、すなわちＳ−ボックスを示すもの
である。

すべてのブロック置換は、ルックアップテーブル、順
列、またはブール関数により述べることができる。ルッ
クアップテーブルは、対応する明快なテキストおよび暗
号テキスト対の単なる一覧表である。順列は、ルックア
ップテーブルを示すための通常の方法であり、サイクル
またはマップされた数の一部を示すという利点がある。
順列には、Ｓ−ボックスの設計において考慮に入れるこ
とのできる多少の代数的特性もある。（一般的に用いら
れる）ブール関数は、従属変数が別のｎビット数の個々
のビットであるところのｎビットの２進数またはブロッ
クの関数である。このように、ブール関数は、ｎビット
数のブロック置換を述べるために必要とされる。

オーソモーフィズムはブロック置換を述べるための別
の方法であるが、大部分のブロック置換はオーソモーフ
ィズムではないので特別な部類に入る。参考文献２に示
すように、現在多くのオーソモーフィズムがある。ルッ
クアップテーブルまたはブール関数により述べると、そ
の特別特性が不明瞭になりがちである。

Gnを調整に関するモジュロ２加算（記号で示す）の
もとでのｎビットの２進数群であるとすると、Gnのオー
ソモーフィズムは｛ｘＲ（ｘ）｝_ｘεGn＝Gnになるよ
うな１対１のマッピング（R:Gn→Gn）である。これは、
2ⁿ対の収集において２組の数の各々で各数がちょうど一
度現れるように、および対の和モジュロ２が再びGnであ
るようにして、各ｎビットの２進数を別のｎビットの２
進数と対をとったものと同等である。（これを今までに
行うことができたかどうかは明らかではない）ある数は
モジュロ２をオールゼロ加法一致に加えなければならな
いので、これは１つの固定小数点を伴う全単射マッピン
グを成す。

2. 線形およびアフィン・オーソモーフィズムに関する
背景知識 線形（保形）およびアフィン・オーソモーフィズムは
参考文献３および４にその詳細を述べる。線形オーソモ
ーフィズムは、ブロック・サイズｎに対する2ⁿ個の方程
式の集合により表すことができ、各xiはｎビットの２進
数である： ここで、ｍ＝2ⁿ−１であり、ｐは、初期条件または重要
変数｛x1,x2,...,xn｝とは無関係で、母関数により決ま
る整数である。この方程式の集合は、三次元スペースで
の2ⁿベクトルの集合と考えることができる。これらのベ
クトルは成分に関するモジュロ２を追加することができ
る。

線形の場合、１組のベクトルが加法群を形成するが、
それは長所でもあり短所でもある。いずれかの組のｎ個
の線形的に無関係なベクトル（方程式）が分かっている
と、群の特性から残りの方程式を求めることができる。
すべてのブロック置換と同様に、マッピングは順列によ
り表すことができる。この場合、どのカラム対を選ぶか
により３つの順列がある。慣例として、一般にカラム
１、ｘk-1からカラム３、ｘk-pへのマッピングを考え
る。参考文献３および４に述べる補償特性とは、カラム
１をカラム２に関してシフトした場合、カラム３も対応
する大きさだけシフトされ、新しい線形オーソモーフィ
ズムを表す。

新オーソモーフィズムを表す順列は、元のオーソモー
フィズムを表す多数の順列である。参考文献４には、こ
れらの順列が、推移的な次数2ⁿ−１の循環順列群を成す
こと、すなわち固定数以外の各数がオーソモーフィズム
のファミリにより１つおきの数でマップされることが示
されている。

アフィン・オーソモーフィズムは、元の2ⁿの方程式の
各々をＳＳ＝Θの方程式にベクトル的に加えることに
より、線形オーソモーフィズムに変換したりそこから誘
導することができる。ここで、Ｓは固定数である。

実際、線形DSDは、連続変化するシフト位置ととも
に、または同等に、異なる順列群とともに用いられてい
る。このようにして用いると、Ｓ−ボックスは非線形で
ある。

非線形性に対する線形性には別の側面があり、既述さ
れるレベルの側面である。オーソモーフィズム・ブロッ
ク置換は、線形的に独立したｎビット数の最大の集合に
適用される線形再帰的母関数により誘導されている。あ
る集合の方程式におけるあるカラムから別のカラムへの
数のマッピングは、ビットごとのモジュロ２加算演算の
もとでも線形的である。しかし、該マッピングを演算モ
ジュロｍ（ｍ＝2ⁿ−１）のもとで考えるならば、マッピ
ングは一般に非線形である。ここで、すべてのベクトル
ｘ、ｙ、およびスカラーａ、ｂに対してＦ（ax＋by）＝
aFx＋bFyとなるように、線形性はマッピングＦの特性に
より定義される。

参考文献１では、Ｓ−ボックスまたはマッピングは、
ブール関数、すなわちｎビット数（明快なテキスト）を
ｎビット（暗号テキスト）の数の１ビットにマップする
ｎ関数の集合により定義される。オーソモーフィズムは
ブロック置換なので、特別な種類だが、このように表す
こともできる。参考文献１では、マッピングまたはブロ
ック置換が整数レベル（おそらくモジュロｍ加算のも
と）で非線形であるための十分な条件は、すべてのｎブ
ール関数が（ビット・レベルにおいて）非線形であると
いうことが証明されている。これは必要な条件であると
断言されてはいない。付録に、整数レベル・モジュロｍ
において非線形である線形ブール関数を伴う線形オーソ
モーフィズム（モジュロ２加算）の例が与えられてい
る。

3. 非線形オーソモーフィズムおよび動的置換デバイス 3.1 概要 非線形性の異なる定義に関する最後の章の注釈を考慮
して、Gnから、ビットに関するモジュロ２加算の演算の
もとでのGnへの非線形マッピングであるという意味で、
本章は、非線形オーソモーフィズムを用いるブロック置
換と特に関係がある。非線形オーソモーフィズムを考察
する動機づけは２要素ある： a. 線形オーソモーフィズムよりも多くの非線形オーソ
モーフィズムがある。

b. 非線形オーソモーフィズムは、グループ対称性が欠
けているので、暗号解読に対して、線形またはアフィン
・バージョンよりもずっと耐性がなければならない。

しかし、非線形オーソモーフィズムは自己同形群を生
成しないし、対応する動的置換デバイスがシフト動作に
より順列を変更することができないという点に矛盾があ
る。

第一の問題点は、非線形オーソモーフィズムを定型的
に作成する方法を見つけることである。あるアプローチ
では、参考文献４のprop.1で用いるプロセスの変形を試
みて、各カラムのｎ数の連続組が線形的に独立している
べきだという要求条件を緩和し、オーソモーフィズムを
表すために１組の方程式を作っている。ｎ個の線形的に
独立した数を選び、次のような方程式の配列を始める： 線形的に独立した集合｛x1,...,xn｝の選択は、バッデ
イング・オーソモーフィズムのｎ−１個の方程式を指定
する。｛x2,...,xn+1｝および｛z2,...,zn+1｝が線形的
に独立であるように、ｘn+1の候補を選ぶと、連続する
ステップがｘmまで続くならば線形またはアフィン・オ
ーソモーフィズムを生じる。線形独立についての制約を
取り除くと、唯一の制約はｘn+1またはｚn+1のいずれも
がその前を複製しないことである。この手順で経験する
問題点は、ほとんど常にｘm（ｍ＝2ⁿ−１）に達する前
に選択するものがなくなることである。普遍性をなくす
ことなく、固定小数点が式ΘΘ＝Θにより得られるこ
とを前提とすることができる。非常に長い経験的手順を
避けるために、幾つかの補足的指導が必要である。

別のアプローチは、線形オーソモーフィズムを定義す
る方程式の集合を選び、和の第３カラムが変わらないよ
うにして２つのカラムの数字を並べ換えて、線形オーソ
モーフィズムを非線形オーソモーフィズムに変換するも
のである。次節でそのアプローチについて調べる。

3.2 線形オーソモーフィズムから非線形オーソモーフ
ィズムへの変換 線形オーソモーフィズムはベクトルとして扱われる方
程式の加法群として表すことができ、成分ごとのモジュ
ロ２を加えて、オーソモーフィズム・ブロック置換を表
す方程式の同じ配列または群の別の方程式（ベクトル）
を得ることができる。一致方程式（ΘΘ＝Θ）は除い
て、オーソモーフィズムは次のように書くことができ
る： カラム３の和を保つようにカラム１および２の数字をそ
の間で再配列すると、非線形オーソモーフィズムが得ら
れる。オーソモーフィズムは３つのカラム間の関係に基
づいているので、３つの行の間の関係を捜すことが直観
的に試みられる。群構造のために、最初の３つの方程式
のベクトル和は、すでに位置ｑにある別の式になり、ｑ
は次で与えられる： この最後の式は、カラム１のｐ＋１のシフトまたは基本
順列の（ｐ＋１）乗を表す配列から得られる。

したがって： x3−（ｐ＋１）x3＝x3−ｐ（ｐ＋１） および ｑ≡３−ｐ（ｐ＋１）モジュロｍ ここでｐ（ｐ＋１）はカラム１のｐ＋１のシフトに対応
するカラム３のシフトである（参考文献４）。

普遍性をなくすことなく、線形オーソモーフィック配
列の最初のｊ行を選び、隣接する行の連続する３つの和
をとる。その最初は次のようになる： （ｘmx1x2）（x1x2x3）＝（x1−ｐs2−ｐx3−ｐ） これは方程式配列のｑ番目の位置の行で次のように書く
ことができる： ｘq-1ｘq＝ｘq-p このようにして得られる残りの行は次のようになり： ｑ−ｊ行だけｊ組の方程式から取り出した元の配列の合
計ｊ−２の隣接行に対するものである。ｊ−２行の第二
群は、カラム１および２の共通数字を消去して自然変換
を行い、下記のようになる： これらのｊ−２変更行では、カラム１は、第１集合のカ
ラム１のｘj-2およびｘj-1以外すべて、およびカラム２
のx1およびx2以外すべてを複製する。このプロセスがう
まくいくならば、第１集合の複製を第２集合のカラム１
および２のｊ−２の元の数字と置き換えるためのメカニ
ズムを見つけなければならない。しかし、第一の疑問は
それが可能であるかどうかということである。

Ｓを第1j方程式のカラム１の数字の集合とし、Ｔをカ
ラム２の対応する数字の集合とする。これらの集合は、
ｊ−２方程式の第２集合のカラム１および２の元の数字
と、ＳおよびＴの各々に残された２つの数字とから成る
S'およびT'の組で各々置き換えなければならない。

Ｓ＝｛ｘm,x1,…,x j−１｝→S'＝｛ｘj-2,x j−1,x q−1,…,x q＋ｊ−４｝ Ｔ＝｛x1,x2,…,x j｝→T'＝｛x1,x2,x q,…,x q＋ｊ−３｝ １つの集合から別の集合に変換する際の条件は相互に関
係がある。ｘkεＳおよびｘk→x' kεS'であれば、ｘk+
1εＴおよびｘk+1→x' k＋１εT'になる。ｘkｘk+1＝
ｘk+1-p＝x' kx' k＋１なのでx' k＋１＝ｘkｘk+1
x' kとなる。

ｘm→x'εS'とすると、Ｔから、x1→ｘmx' m＝x'1
εT'となる。x'1εT'すなわちx' m＝ｘq-1＝ｘmx1x
2になるためには、x' mεS'が唯一の可能な選択であ
り、その場合x1→x'1＝x2である。

同様に、他方では、ｘj-1εＳおよびｘj-1→x' j−１
εS'となる。ｘjεＴおよびｘj→ｘj-1ｘjx' j−１
＝x' jεT'となる。再び、x'εT'すなわちx' j＝ｘj-2
ｘj-1ｘj＝ｘq+j-3εT'になるためには、x' j−１
＝ｘj-2が唯一の可能な選択である。このようにして、
第一集合のｊ方程式の最初および最後の変更行は一意に
指定される： ｘmx1＝x1−ｐはｘq-1x2＝x1−ｐになり、 ｘj-1ｘj＝ｘj-pはｘj-2ｘq+j-3＝ｘj-pになる。

次に、第二の元の方程式を考える： x1x2＝x2−ｐ x1→x'1εS'である。これらを用いているのでx'1≠ｘq-
1またはｘj-2である。

x2→x'2εS'、ここでx'2＝x1x2x'1である。

x'＝ｘq,x q＋1,…,x q＋ｊ−４であればx'2εT'にな
る。したがって、唯一の可能性はx'1＝ｘj-1εS'であ
る。その場合、x'2＝x1x2ｘj-1である。

ｊ≧３にたいして ｊ＝３なら x'1＝x2およびx'2＝x1 x2x1＝x2−ｐ ｊ＝４なら x'1＝x3およびx'2＝ｘq x3ｘq＝x2−
ｐ ｊ＞４なら x2εT' ｊ＝４であれば、変更すべき４の第一集合のもう１つの
方程式、すなわち第三の方程式である。なぜならば、ｊ
＝４、S'＝｛x2,x2,x q−1,x q｝およびT'＝｛x1,x2,x
q,x q＋１｝だからである。唯一の未使用対はｘqεS'お
よびx1εT'である。幸いにも、ｘqx1＝x3−ｐであ
り、変換は完了した。

3.3 非線形化の要約 ３つまたは４つの連続する行の組を用いる場合および
その場合にだけ、連続する３つの行の和をとることによ
り非線形化が作用する。３つの連続する行を選ぶと、そ
の結果（答）は： ４つの行の各々にベクトル的に加算することにより変更
することができる： （x1x2）（x1x2）＝Θ ４つの連続する行を選ぶと、その答は： ベクトル的に加算することにより変更することができ
る： １およびｑ行へ （x1x2）（x1x2）＝Θ ２および３行へ （x1x3）（x1x3）＝Θ ４およびｑ＋１行へ （x2x3）（x2x3）＝Θ 3.4 非線形手法の適用 測定可能な数量であるかのように非線形のレベルにつ
いてしばしば話がでる。どういうわけか、不連続な線形
関数が超越関数よりも非線形的でないように思われる。
暗号文では、線形ブール関数からの非線形ブール関数の
ハミング距離について言及する。線形性は明確に定義さ
れ、線形およびおそらくアフィン関数を削除したとき
に、非線形関数は単に残されたすべてのものであるが、
測定可能性を非線形レベルにありとする傾向に陥る。

最後の節では、任意の線形オーソモーフィズムの４つ
または６つの行を一度に非線形化するための２つの手段
について述べた。これらの方法は、オーソモーフィック
配列の任意の行から始めて、適用することができるの
で、各々は１つの線形オーソモーフィズムから2ⁿ−１の
異なる非線形オーソモーフィズムを生じることはできる
が、大きなｎでは、方程式の元の配列の大部分は完全な
ままであるという意味において“非常に非線形的”では
ない。したがってこれらの１つまたは２つのプロセスを
繰り返し用いることは当然である。行がなくなることは
除いた制約は、多くの行オーバラップを有することであ
る。元の行、変更行の一部は非線形性の尺度であるとみ
なされるので、次の疑問点は多くのオーバラップしない
行をどのようにして効率的に選ぶかということである。

3.5. 非線形化のための行または方程式の選択 この非線形化プロセスでは３つまたは４つの連続する方
程式の組を選ぶための多くの方法がある。唯一の基本的
な基準は、いずれかの３つまたは４つの組から３つの和
として得られる行が、別の３つまたは４つの組とオーバ
ラップしないことである。その他に、新しいオーソモー
フィズムでの不連続線形部分を避けるために、線形オー
ソモーフィズムからできる限り多くの行を適度に均一な
配列で変更することは明らかであると思われる。まず、
ｍ＝2ⁿ−１が複合数である場合を考える。ｄをｍの因数
とする。線形オーソモーフィズムから、対応する和の行
ｑおよびｑ＋１とともに行番号１、２、３および４を選
択する。次に、前節の述べてあるようにして変更される
連続する６つの行を選択することができる。これらの連
続する６つの行番号は： ここでａは連続する値０、１、２、...をとる。このプ
ロセスは２つの方法で終了することができる。まず第一
に、４つの組の方程式の１つを別の組で複製することが
でき、すなわち４つの組をオーバラップし、３つの和で
ある方程式の集合の間で同じことが起こる。これはある
整数ａにおいて次の場合に起こる： １＋ad、２＋ad、３＋adまたは４＋ad≡１、２、３ま
たはまたは４モジュロｍ ｑ＋adまたはｑ＋１＋ad≡ｑまたはｑ＋１モジュロｍ これは次と同等である： ad≡０、±１、±２または±３モジュロｍ 連続する最初の行、すなわち１と１＋ｄ、の間の最小間
隔は、４つの集合で少なくとも４でなければならない。
ｍ＝2ⁿ−１は奇数で、ｄはｍを割り切り、ｄも奇数であ
るから、ｄは５以上である。これはad≡０、±１、±２
または±３モジュロｍであることも意味する。

１、２、３、または４≡ｑ＋adまたはｑ＋１＋adモジ
ュロｍ １＋ad、２＋ad、３＋adまたは４＋ad≡ｑまたはｑ＋１
モジュロｍ これは次と同等である： ad≡±ｑ、±（ｑ−１）、±（ｑ−２）、±（ｑ−
３）または±（ｑ−４）モジュロｍ これを避けるために、ｄはｑ、...、ｑ−４と互いに素
でなければならないが、ｄが７以上であることを必要と
するので、これらの数のうちの１つは５の倍数でなけれ
ばならない。４つではなく３つの行を選ぶならば、条件 または±（ｑ−４）は省かれる。その場合、ｄが５以上
であることは上記の条件を満たす。（注：ここでのすべ
ての整数は正なので、条件 モジュロｍ等は を意味する。ｄはｍを割り切るので、ｑと互いに素であ
れば、任意の整数ｂに対してもbm−ｑと互いに素でなけ
ればならない） 3.6. 非線形化手法の要約 ｍ＝2ⁿ−１が素でなければ、非線形プロセスで、連続
する４つの方程式を配置するために、ｍの因数ｄで、
ｑ、ｑ−１、...、ｑ−４と互いに素である数を捜す
（連続する３つの方程式を配置するためには、ｑ−１、
ｑ−２、ｑ−３と互いに素である数）。

そのような数を見つけることができたときに、非線形
化のための線形配列における均一に配置された密な集合
の方程式が得られる。付録に幾つかの例を示す。

3.7 他の行選択 上記方法が該当しないように思われるときには、別の
明らかな可能性としては、３つおよびその和により定義
される連続する４つの行を選ぶ方法があり、次の４組の
最初の行は前の４組の最後の行（３つの和）のすぐ後に
続く。例えば： このプロセスは次の３つの条件のうちのいずれか１つが
起こるときに終了する： 1.bq≡０、±１、±２モジュロｍ 2.（ｂ−１）ｑ≡１、−２、−３モジュロｍ 3.（ｂ＋１）≡１、２、３モジュロｍ ｑが素であるか、少なくともｍ±１、ｍ±２またはｍ±
３の約数でなければ、このプロセスは、非線形のための
オーバラップしない４組の大きな数を生じることができ
る。このプロセスは６つの行とともに行うこともできる
が、終了条件がもっと複雑になる。

一般に、これらの２つの方法は、適切な条件下におい
て、非線形化のための線形オーソモーフィズムからオー
バラップしない集合の方程式を選択することができる。
均一に配列された比較的小さな数の方程式だけは、変更
されないままである。

このプロセスに取り組むための他の多くの方法があ
り、例えばオーバラップなしで４および６つの行の集合
を一緒に適合させる方法がある。これは位相上の問題に
なる。このようにして不連続線形ではない非線形オーソ
モーフィズムを生成することが可能である点が重要であ
る。

4. 暗号バイアスの基準 ２進数のブロック置換におけるバイアスがないための
一般に認められている測定できる基準を著者は知らな
い。２つの広く用いられている基準はアバランチング
（良いまたは厳しい）およびビット独立である。他の２
つの考えられる基準が次に提示される。すなわち、
（１）バランス、これは代数グループとしてのｎビット
の２進数の特性に関しており、（２）推移性、これはブ
ロック置換に一般に適用されないある順列群の特性であ
る。４つのうちで、多くても３つの基準を同時に満たす
ことができるように思われる。

4.1 アバランチングおよびビット独立 厳しいなだれ基準（SAC）は、１ｉ、Ｊｎ（ｎは
ブロック・サイズ）のすべてに対して、入力ブロックの
ｉ番目のビットを変化させると、その時間の半分で、出
力ブロックのｊ番目のビットが変化するという特性とし
て定義される。ビット独立基準（BIC）は平均の入力ブ
ロックのｉ番目のビットを変化させると、出力ブロック
のビットの半分が変化するという特性として定義される
（参考文献１）。これらの特性は、任意のブロック・サ
イズの２進数の代数的特性によっても説明することがで
きる。

Gnはすべてのｎビットの２進数の加法群で、記号は
ビット単位でのモジュロ２加算を意味する。

最大ｎ個の小群Hiがあり、“ベーシック”と呼ぶこと
ができ、Hiの各ブロックはｉ番目の位置に０を有すると
いう特性により定義される。左から右に番号をつけて、
Hnはすべて偶数から成り、H1はすべて下位数から成る。
一般に： 明らかに、Hiは以下の特性により特徴づけられる： 合計して最大2n−１個の小群（MSG）があり、次の演
算により上記のベーシックMSGから得ることができる。

H_k＝H_i＋H_j≡（H_i∩H_j）∪（_ｉ∩_ｊ） これは9.4節の参考文献２に述べるブール環に幾らか類
似しているが、MSGの論理積はMSGではないので、各集合
の論理積により定義される乗法半群特性はここでは適用
されない。加法演算は実際には上記で定義したものの補
数であり、これは、事実上、２つのMSGの和が別の数の
補数であることを定義する。

ある数ｘのｉ番目のビットを変化させて新しい数字ｙ
を得ることは、 のようなｙを選ぶことと同等である。あるｉに対して2ⁿ
−１個の対がある。SACは、１≦ｉ、ｊ≦ｎに対して、T
xTyが、半分の時間でｊ番目のビットが０となり（変
化なし）、半分の時間でｊ番目のｎビットが１になる
（変化）ことを要求することと同等である。さらに正式
には次のように定義する： P_i＝｛TxTy|xｙ＝０…010…０｝ここで１はｉ番目
のビット位置にある。

注：これはｘεHiおよびｙεｉまたはその逆であるこ
とを意味する。該対は2ⁿ−１個あるが和は明確でないこ
とがあるので|Pi|≦2^n-1。したがって、SACは下記と同
等である： １≦i,j≦ｎに対して、n²の条件で Piは、全く同じものから全く異なる数字までの範囲を
とることのある2^n-1個のｎビットの数字から成る。各ビ
ットは（順序のない）対（0,1）、（0,0）、（1,1）を
加えて得られる。該対の数字が各々ａ、ｂ、ｃであれ
ば、ａ＋ｂ＋ｃ＝2^n-1となり、これはPiを定義する対の
数字である。対の０の数はａ＋2b＝2^n-1であり、１の数
はａ＋2c＝2^n-1であるから、ａは偶数で、Piの2^n-1数の
各ビット位置に現れる１および０の数は偶数である。例
えば、ｎ＝４であれば、Piには８つの４ビット数を含
み、おそらく明確ではないが、各ビット位置には０、
２、４、６、８個の１を含む。等分に割われていないな
らば（アバランチング）、最も近い近似は2:6である。

多数の出現を含めて、Piを2^n-1個の数字の集合とみな
すと、近似的アバランチングの尺度は、すべてのn²個の
ｉ、ｊ対にわたり平均をとった である。

ビット独立基準はアバランチングに関係がある。各集
合の多様性を含めてPiの集合を考える。BICを満たすた
めには、０および１の数は各ブロックでだいたい等しく
なければならない。もちろん、ｎ個の奇数については、
個々のブロックでは決して起こることはできない。Piに
は合計してn2^n-1個の２進ビットを伴う2^n-1個のｎビッ
ト数（複製を含む）がある。NPiを、複製または多数出
現を含めた、Piの集合の０の個数とする。

は所定ビット位置におけるBICの尺度である。全般的にB
ICは次を指定する： 所定のPiについて、数字を次のように列挙するが、Zij
はｉ番目の数字のｊ番目の位置で１＝2^n-1である。

次に、アバランチングは、各カラムの０および１がだい
たい均等に割られることを指定し、BICは行での同等条
件を指定する。

SACおよびBICは、所定のＳボックスまたはマッピング
について同じか異なるｎビット数の個々のビット間の関
係を指すので、たいていビット・レベル特性と呼ばれ
る。このようにして、オーソモーフィック・マッピング
に適用すると、これらの特性は、重要変数または、母関
数により影響を受けるｎ個の線形的に独立した数字の特
定集合により異なる。

４−2. バイアス欠如についての他の基準 前節では群演算（）がビット単位のモジュロ２加算
であるｎ個の２進数の群Gnの最大の小群（MSG）につい
て簡単に述べた。ｍ＝2ⁿ−１個の該MSGのH1、...、Hmが
あり、ブール加法演算のもとである群を形成する： H_k＝H_i＋H_j≡（H_i∩H_j）∪（_ｉ∩_ｊ） ｎ個のMSGは、所定のビット位置にすべて０を有するこ
とで特徴づけられ、例えば、偶数は概念的に容易に心に
思い描かれる。これらは、アバランチングの定義で暗黙
的に用いられるが、他のｍ−ｎ個のMSGは代数的に同等
に重要であり、ｎ個の線形的に独立したMSGを用いて全
体の集合を作成することができる。参考文献３では、以
下を導入した： 定義:Gnでの全単射マッピングは、各最大の小群をマ
ップするならば、すなわち次数2ⁿ−１の各小群で、半分
をそれ自体に、半分をその補数にした場合に、バランス
がとれているといわれる。

Ｔが全単射マッピングであれば、これは|TH_i∩H_i|＝|
TH_i∩_i|＝2^n-2であることを意味する。バランスのと
れているときおよびその場合にだけ、Ｔがオーソモーフ
ィズムであるということも参考文献３に示してある。こ
のように、バランスは、線形性または重要変数とは無関
係に、整数レベルでのオーソモーフィック・ブロック置
換の一意および普遍的特性である。現実的な結論は、オ
ーソモーフィックＳボックスの設計において、この特性
を組み入れるか確認するために特別な努力を払う必要は
なかった。

推移性は、特定の順列群の特性であるので、Ｓボック
スに属すると考えられる明らかな特性ではない。ブロッ
ク置換がその一例であるｍ＝2ⁿ−１数（または文字）で
順列を考えるならば、82頁の参考文献６の定義が適切で
ある： 定義：順列群は、いずれか１つのｍ文字（数字）を他
の文字（数字）に変換する少なくとも１つの順列を含む
ならば、推移性があるという。

しかし、参考文献３のprop.6により、線形オーソモー
フィズムは2ⁿ−１非固定数で推移性群を形成する。実
際、アフィン・オーソモーフィズムでも同様である。こ
の特性は、もちろん、整数レベルでの完全なミキシング
を意味し、１つのブロック置換ではなくその群の特性で
ある。

すべての可能なブロック置換の収集またはGnでの全単
射マッピングは、順列から見たときに、推移性群、すな
わちPm、ｍ要素での対称群、および次数m!を成す。他の
推移性小群は、最大順列のすべての累乗をとることによ
り生成することができ、すなわち適切なサブサイクルの
ないものになる。線形または保形オーソモーフィズムの
場合、自己同形を定義する方程式の配列にカラムをシフ
トすることのできる特性により、これは特に容易であ
る。最大非線形オーソモーフィズムを用いて推移性小群
を生成することはできるが、一般に、他の項はオーソモ
ーフィズムではない。

4.3. オーソモーフィズムのアプリケーション Ｔが線形（保形）またはアフィン・オーソモーフィズ
ムであれば、厳しいアバランチングが可能でないことは
明らかである。この場合、TxTy＝Ｔ（ｘｙ）＋Ｓで
Ｓは固定数である（Ｔが線形であればＳ＝00...0）。し
たがって、Piは１つの数字および|P_i∩H_j|＝０または１
およ|P_i∩_j|＝１または０から成る。しかし、ｎ数字P
iは０および１の等しい配列を有することがあるので、
ビット独立が可能である。

他方、線形の１から構成する非線形オーソモーフィズ
ムは優れたアバランチングおよびBICを示す。厳しいア
バランチングおよび正確に1/2のBIC比に関して非線形オ
ーソモーフィズムの付録に一例を示す。

すべてのオーソモーフィズムおよび唯一のオーソモー
フィズムには参考文献３に定義するバランスがある。線
形およびアフィン・オーソモーフィズムは順列の推移性
群により表される。したがって、ブロック置換のファミ
リについては、変動することのある固定小数点を除い
て、各明快テキスト・ブロックは各可能な暗号テキスト
・ブロックにマップされる。これは次のように要約する
ことができる： a. SACおよびBIC:重要変数により異なるビット・レベ
ル特性 b. バランス：すべてのオーソモーフィズムの普遍的整
数レベル特性 c. 推移性：線形またはアフィン・オーソモーフィズム
の群の普遍的整数レベル特性 および： ＊ これは群特性であり、最大であるブロック置換、
すなわちノー・サイクルを選択してから、そこからすべ
ての電力を取り込むことにより異なる。

6. 参考文献 1. “暗号書記法的的に優れたＳボックスの構造化設
計”、アダムスおよびタバレス、Ｊ、暗号学（1990）3:
27−41 2. “数学の基礎”、Vol １、ベンケ、バッハマン
他、MITプレス1986 6. “有限群理論の紹介”、W.レダーマン、オリバーお
よびボイド、1965 7. “シフト・レジスタ・シーケンス”、S.W.ゴロウ
ム、アエギアン・パーク・プレス、1982 （付録２の）付録 A. 色々な視点から見た線形オーソモーフィズム ２節で述べたように、線形オーソモーフィズムは幾つ
かの方法で表して見ることができる。例えば、母関数が
ｘk＝ｘk-4ｘk-3でｎ＝４の場合を考えるが、このと
きｐ＝12で、ベース組または線形独立組を伴う： x₁＝0001,x₂＝0010,x₃＝0100,x₄＝1000. これが次の表を定義する： カラム１からカラム３（または他のカラム対）へのマッ
ピングはモジュロ２加算のもとで線形であることは容易
に確認される。この同じマッピングは、ｙ（カラム３）
がｘ（カラム１）の関数ｆ（ｘ）である表により表すこ
とができる。10進数表記では以下のようになる： モジュロ16加算のもとや、図形形式で表すことにより、
これが非線形であることを確かめることは容易である。
マッピングは置換として表すこともできる： （０）（1,3,5,15,2,6,10,13,4,12,7,9,8,11,14） カラム１を数字の自然の順番に書き直し、それに対応し
てカラム３を再配列して、ブール関数により書くことも
できる。ブール関数はカラム３のビットをカラム１のブ
ロックの関数として表す。

これから、ブール関数は次のように書くことができる： f₁＝b₁b₂ f₂＝b₂b₃ f₃＝b₁b₃b₄ f₄＝b₁b₄ 母関数ｘk＝ｘk-4ｘk-3は線形的に独立の４ビット数
の集合で普遍的に動作するが、ブール関数は特定マッピ
ングにより異なる。例えば、同じ母関数でベースに適用
されるものについて考える。

x₁＝0011,x₂＝0110,x₃＝1100,x₄＝1000 これは新しい表を定義する： 最初の例と同様に、ブール関数を得るためには、カラム
１および３を再配列するのが便利である： これから、ブール関数は次のように書くことができる： f₁＝b₁b₂ f₂＝b₁b₄ f₃＝b₃b₄ f₄＝b₁b₂b₃ f1を除き、これらは前の例とは異なる。

B. 非線形のための保形（線形）オーソモーフィズムに
おける方程式または行の選択 3.5節に、非線形書のためのオーバラップしない４つ
または６つの方程式を選ぶ各種の方法を提示した。概念
は、オーソモーフィック・マッピングを定義する配列の
ｍ＝2ⁿ−１方程式の大部分を非線形化することである。
2ⁿ−１は奇数であり、４つまたは６つの式の集合にプロ
セスが適用されるので、3.2節の方法によりすべての方
程式を変更することは決して可能ではない。すべてのブ
ロック・サイズに対して、または同じブロック・サイズ
の異なる母関数に対するものでさえ、最適なプロセスは
ない。ブロック・サイズｎ＝４、５、６、７、および８
についての幾つかの例を以下に示す。

ｎ＝４では、各々ｐ＝４、ｑ＝８およびｐ＝12、ｑ＝
11の共役母関数が１対だけある。行の対応する最大最大
密度は、15行のうちの10行の変更に対して、次に示すよ
うに与えられる： ｎ＝５では、再び最適なものはハイブリッド・ミック
スである。例えば、ｘk＝ｘk-5ｘk-2では、ｐ＝18、
ｑ＝23、およびｍ＝31である。31行中の24行を次のよう
に選んで変更することができる： ｘk＝ｘk-5ｘk-4ｘk-2ｘk-1に対応するｐ＝19、
ｑ＝11では、31行から28行を次のように選んで変更する
と少し優れたものにすることができる： ｎ＝６およびｘk＝ｘk-6ｘk-1では、シフトはｐ＝
６およびｑ＝40である。ｍ＝63でそのうちの７は因数な
ので、3.5節に述べたようにｄ＝７は行間の候補であ
る。また、ｑ＝40では、７はｑ、ｑ−１、...、ｑ−４
の除数ではない。これは次のような63行から54行の変更
をもたらす： 改めてもう一度、方程式または行の集合を変更するため
に選択することは、母関数により異なる。この特定の選
択は、ｎ＝６に対応するｑの他の大部分の値に対してう
まくゆかない。

ｎ＝７では、ｍ＝127はMersenne素数であるから、以
前のてっとり早い方法は用いられないが、ある母関数で
は、非常にうまくすることができる。ｐ＝19およびｑ＝
９となるｎ＝７、ｘk＝ｘk-7ｘk-5ｘk-4ｘk-3
ｘk-2ｘk-1を考える。以下のように行をとる。

２つの４組が続く６組の同じパターンの後に： を通して行を完了させる： 127個の方程式から124をこのようにして変更することが
でき、117、122、および127だけを除くだけである。こ
れに関する他の変形も３つの方程式だけを除くことによ
り同様にうまくゆく。

また、ｎ＝７、ｘk＝ｘk-7ｘk-6ｘk-4ｘk-2、
ｐ＝107およびｑ＝10では、２つの６組および１つの４
組を用い、最後の行の間での調整が伴う、類似システム
がうまくゆく。再び、127の方程式から124を選んで変更
することはできるが、この密度または効率はすべての母
関数に当てはまらないように思われる。

ｎ＝８では、母関数ｘk＝ｘk-8ｘk-6ｘk-5ｘk-
3を考えるが、ｐ＝16、ｑ＝54、ｍ＝2ⁿ−１＝255であ
る。一致するもの以外は第一行からはじまり、最初の３
つの３集合の和である行が伴う、連続する３集合の方程
式から成る４集合の行を選択する。3.5節を参照して、
行間がｄ＝５の行を選ぶ。５はｍの因数で、ｑ−１＝5
3、ｑ−２＝52、およびｑ−３＝51と互いに素である。
これは以下の行の選択に至る： ここで０ａ50である。これは、オーソモーフィック
配列の合計して255のなかから、非線形化のための51x4
＝204行または方程式を選択する。このなかには、行５
および５の倍数すべてが取り除かれている。

しかし、ｑ−４＝50は５の倍数なので６組の行を選ぶ
と、上記の行間は効率的にうまくゆかない。事実、ａ＝
10、４＋10a＝54のときには、プロセスは6x10＝60行だ
けで終了する。しかし、残りの195行をどちらかという
と少しづつ４組または６組の行に分ける幾つかの方法が
ある。

行間ｄ＝17は、ｍ＝255の除数であるが、ｑ−３＝51
の除数でもあるので、効率的な行間ではない。

再び、ｎ＝８で、母関数がｘk＝ｘk-8ｘk-4ｘk-3
ｘk-2（ｐ＝25、ｑ＝60、およびｍ＝255）のとき、ｄ
＝17は、ｍの因数であるが、ｑ＝60、ｑ−１＝5
9、...、ｑ−４＝56の除数ではない。６組の行は次のよ
うに選択することができる： このプロセスは、合計15x6＝90行に対して、ａ＝14のと
きに終了する。ａ＝15では、１＋17a＝256≡１モジュロ
ｍであるから、プロセスが繰り返す。しかし、次のよう
にして再びはじめることができる： このプロセスも、さらに別の15x6＝90の行に対して、ａ
＝14のときに終了する。再び、ａ＝15のときに、プロセ
スは繰り返す。これで合計して180行が得られる。残り
の75行には対応する和の３集合を含まない。

しかし、ｐ＝16、ｑ＝54のときと同様に、５はｑ−１
＝59、ｑ−２＝58、およびｑ−３＝57とお互いに素であ
るから、ｄ＝５の行間で再び４集合を選択することがで
きる。

これは、ｍおよびｑの適切な集合合せ、すなわち協働
母関数に容易に適用される。しかし、“満足のできる”
非線形マッピングを得るために、線形オーソモーフィズ
ムを表すいくつの方程式を変更しなければならないかは
明らかでない。

C. アバランチングおよびビット独立のシステム・パラ
メータに対する従属性 ４−１節には、アバランチングおよびビット独立が、
代数構造だけではなく、ブロック置換の実際の数字によ
り決まることが指摘してある。それを説明するために、
シフトがｐ＝12およびｑ＝11である母関数
を伴う線形オーソモーフィズムにより定義されるブ
ロック置換のｎ＝４ビット・ファミリを用いる。

最初の例と同様にして、以下の行と、ベースまたは線
形的に独立した集合x1＝0001、x2＝0010、x3＝0100、x4
＝1000とを用いて非線形オーソモーフィズムを生成す
る： これは、本付録のＡ章の最初の線形オーソモーフィック
・マッピングの非線形バージョンである。変更すると以
下のようになる： ４−１節に述べるようにアバランチングおよびビット
独立を測定するためには、まずP1＝｛TxTy|xｙ＝10
00｝の集合を列挙するが、これは最初のビット位置だけ
が異なるｘ、ｙの対である。ｎ＝４では、16の４ビット
数の対が８対を形成するが、必ずしも違っている必要は
ない。したがって、多数の出現を含めて、|P1|＝|P2|＝
|P3|＝|P4|＝８である。また、Hiが、ｉ番目のビット位
置が０のｎビット数の最大小群であることを思い出して
ほしい。ここで、ｎ＝４では、H4は偶数の小群であり、
H1は下位半数の小群、等々である。P1では、欄送りは次
のワークシートにある。各|P1∩Hj|＝４は、８のうちの
４、またはP1の各要素のビットの半分がｊ番目のビット
位置の０であること、すなわち、縦行配列の欄送りで
は、各カラムが半分０と半分１とから成ることを意味す
る。P1の各要素の０の数が作表され、水平欄送りされ
る。０の合計数、32ビットからNP1＝16であるので、半
分は０である。

P1、P3、P4に対して同じ欄送りをした場合、16対すべ
てに対して|P1∩Hj|＝４であり、各P1に対してNP1＝16
であるので、アバランチングは厳しく次のようになる。

比較のために、同じ集合の方程式で非線形化し、新し
いベース集合を用いる点だけの異なる、Ａ章の第二の例
をここで用いることができる： x1＝0011、x2＝0110、x3＝1100、x4＝1000 この第二非線形オーソモーフィズムは次のように書くこ
とができる： ワークシートの実例と同じ計算をするとその答は次の通
りである： |P1∩H1|＝|P1∩H2|＝０、|P1∩H3|＝８ および残りの13に対して|Pi∩Hj|＝４である。NP1＝1
2、およびNP2＝NP3＝NP4＝16であるから： アバランチングはもはや厳しくないが、ほとんど半分の
時間でビット変化があるので、“満足ができる”という
ことができる。

第三の例では、ｐ＝12およびｑ＝11である同じ線形オ
ーソモーフィズムに再び戻るが、今回は部分的に異なる
行の集合、すなわち６つ集合および４つ集合で非線形化
する： しかし、第一例と同じベースまたは線形的に独立な集
合、すなわちx1＝0001、x2＝0010、x3＝0100、x4＝1000
を用いる。第三の非線形オーソモーフィズムは次のよう
に書くことができる： この答は次のようになる： 他の15集合に対して|P2∩H3|＝０ |Pi∩Hj|＝４ NP2＝12およびNP1＝NP3＝NP4＝16 したがって： そして厳しくないアバランチングは、第二の例のときよ
りも、多少の粗い数だけ近くなる。

付録 ３ 非線形動的置換の方法 1. 母関数およびベース集合を用いて、線形オーソモー
フィズム方程式の集合を生成する： 2.xq＝x1x2x3となるようなｑを求める。

3.qおよびｍの因数に基づいて以下が決まる： ａ） 次の各繰り返しに対して以下の２集合の方程式
のいずれを非線形化すべきか ａ＝０、１、２、・・・I: 集合１＝Ｂ＋ad、Ｂ＋１＋ad、Ｂ＋２＋adおよびＢ＋
ｑ−１＋ad 集合２＝Ｂ＋ad、Ｂ＋１＋ad、Ｂ＋２＋ad、Ｂ＋３＋
ad、Ｂ＋ｑ−１＋ad、Ｂ＋ｑ＋ad ここでＢは開始方程式であり、１とｍの間の任意の数
字にすることができ、ｄは以下に定義する。

ｂ） 非線形化された連続する集合の間の行間ｄ
（例、方程式Ｂ＋3d、Ｂ＋１＋3d、Ｂ＋２＋3dおよびＢ
＋ｑ−１＋3dは１回の繰り返しで非線形化され、次の繰
り返しでは、方程式Ｂ＋4d、Ｂ＋１＋4d、Ｂ＋２＋4dお
よびＢ＋ｑ−１＋4dが非線形化される） 注：ある例では、集合１および集合２の両方を交互か何
か他のパターンで用いる。

4. ａ＝０から始めて、ａ＝Ｉ（繰返しの入力番号）で
あるか、すでに非線形化された行でプロセスが作動を試
みたときに停止することを繰り返すと、以下に定義する
非線形化アルゴリズムを行う： 集合１を非線形化する場合には、集合１の各方程式に
ベクトル的に加える、 （x_B+adx_B+1+ad）（x_B+adx_B+1+ad）＝θ 集合２を非線形化する場合、 方程式Ｂ＋adおよびＢ＋ｇ−１＋adにベクトル的に加
える、 （x_B+adx_B+1+ad）（x_B+adx_B+1+ad）＝θ 方程式Ｂ＋１＋adおよびＢ＋２＋adにベクトル的に加
える、 （x_B+adx_B+2+ad）（x_B+adx_B+2+ad）＝θ 方程式Ｂ＋３＋adおよびＢ＋Ｑ＋adにベクトル的に加
える、 （x_B+1+adx_B+2+ad）（x_B+1+adx_B+2+ad）＝θ 注：すべての場合において、いずれかの方程式番号また
はｘへのインデックスがｍよりも大きいならば、ｍの値
からその数字を引いた数字をその数字の代わりに用いる
（例、Ｂ＋１＋adがｍより大きいならば、ｍ−（Ｂ＋１
＋ad）をその代わりに用いる）。

5. オーソモーフィック暗号化置換、およびステップ４
で作成した非線形オーソモーフィズム方程式から生じる
オーソモーフィズム暗号解読置換を反映する自然な順番
の暗号化索引テーブルおよび暗号解読索引テーブルを生
成する。非線形動的置換デバイスは、これらの索引テー
ブルと変換固定小数点を変更するメカニズムとから成
る。

索引テーブルの代わりに、２集合の変更した方程式を
用いることができる： 暗号化では、明快テキストはカラム１であり、カラム
３の暗号テキストに暗号化される： カラム１および２は同じ順番であるが、１つだけ位置が
シフトされている。カラム３の数字は異なる順序であ
る。

暗号解読では、カラム３の暗号テキストがカラム１の明
快テキストに暗号解読される ここで方程式の行の順番を、カラム２と３が同じ順番に
なるように、個々の方程式自体は変えないで、配列する
が、１つの位置だけシフトするので、カラム１の数字は
もはやカラム２および３の順番とは違う。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 ミッテンサール，ロスロップ アメリカ合衆国 91361 カリフォルニ ア州・サウザンド オークス・ロス パ ドレス ドライブ・240 (56)参考文献 特開 平３−192383（ＪＰ，Ａ) ネットワークセキュリティ，日経マグ ロウヒル社，ｐ．32−34 暗号の数理 作り方と解読の原理, ｐ．72−78 暗号理論の基礎，共立出版株式会社, ｐ．29−32 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 610 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (2)

(57)【特許請求の範囲】
1. 【請求項１】クリアテキストブロックをなす2ⁿ個の相異
   なるｎビット２進数W₀〜W_mのいずれか１つを、暗号化ブ
   ロックをなす2ⁿ個の相異なるｎビット２進数Z₀〜Z_mの対
   応する１つに置換することを行う暗号装置であって： 暗号化ブロックをなす2ⁿ個の相異なるｎビット２進数Z₀
   〜Z_mであって、クリアテキストブロックをなす2ⁿ個の相
   異なるｎビット２進数W₀〜W_mそれぞれでアドレス可能
   な、暗号化ブロックをなすｎビット２進数Z₀〜Z_mを格納
   するメモリを備え； クリアテキストブロックをなす2ⁿ個の相異なるｎビット
   ２進数W₀〜W_mから、暗号化ブロックをなす2ⁿ個の相異な
   るｎビット２進数Z₀〜Z_mを導出する非線形動的置換発生
   器を備え； （ａ） 前記非線形動的置換発生器では、2ⁿ個の相異な
   る線形の式のセットが使用され、すなわち、クリアテキ
   ストブロックをなす2ⁿ個の相異なるｎビット２進数W₀〜
   W_mのそれぞれと、2ⁿ個の相異なるｎビット２進数X₀〜X_m
   の対応するものとのモジュロ２加算の結果が、ｎビット
   ２進数の2ⁿ個のモジュロ２の和Y₀〜Y_mであることを表し
   ている、2ⁿ個の相異なる線形の式のセットにして、前記
   2ⁿ個の相異なる線形の式の１つは零の式であり、２つ以
   上の式のモジュロ２の和が前記2ⁿ個の相異なる線形の式
   の１つに一致し、前記2ⁿ個の相異なる線形の順序が 【数１】 で定められている、2ⁿ個の相異なる線形の式のセットが
   使用され；且つ、 （ｂ） 前記非線形動的置換発生器は、前記2ⁿ個の相異
   なる線形の式のセットのうちのサブセットの非線形化に
   よる、2ⁿ個の相異なる式の変更されたセットの生成を行
   う手段を備え、 2ⁿ個の相異なる線形の式の変更された前記セットは、変
   更を加えられた、クリアテキストブロックをなす2ⁿ個の
   相異なるｎビット２進数W₀′〜W_m′のそれぞれと、変更
   を加えられた、2ⁿ個の相異なるｎビット２進数X₀′〜
   X_m′の対応するものとのモジュロ２加算の結果が、変更
   を加えられた、ｎビット２進数の2ⁿ個のモジュロ２の和
   Y₀′〜Y_m′であることを表していて、前記2ⁿ個の相異な
   る線形の式の１つは零の式であり且つ２つ以上の式のモ
   ジュロ２の和が前記2ⁿ個の相異なる線形の式の１つに一
   致することがないという特徴を有しており、 2ⁿ個の相異なる式の変更されたセットの生成を行う前記
   手段には、前記2ⁿ個の相異なる線形の式のセットのうち
   のサブセットの非線形化を行うために、 （b1）前記2ⁿ個の相異なる線形の式のセットのうちの前
   記サブセットとして、引き続く第1,第2,第３の式k,k＋
   1,k＋２と、これらの式のモジュロ２の和に等しい第４
   の式とを選択する手段、 （b2）前記第１の式および前記第２の式に対応する２つ
   のｎビット２進数X_kおよびX_k+1のモジュロ２加算による
   和を作る手段、 （b3）このモジュロ２加算の和を、前記サブセットの前
   記第1,第2,第3,第４の式に対して、モジュロ２加算する
   手段 が備えられており； 前記の変更を加えられたモジュロ２の和Y₀′〜Y_m′が、
   ｎビット２進数の2ⁿ個の相異なる暗号化ブロックZ₀〜Z_m
   として用いられるか、又は、オフセットをモジュロ２加
   算された後で、ｎビット２進数の2ⁿ個の相異なる暗号化
   ブロックZ₀〜Z_mとして用いられる ことを特徴とする暗号装置。
2. 【請求項２】クリアテキストブロックをなす2ⁿ個の相異
   なるｎビット２進数W₀〜W_mのいずれか１つを、暗号化ブ
   ロックをなす2ⁿ個の相異なるｎビット２進数Z₀〜Z_mの対
   応する１つに置換することを行う暗号装置であって： 暗号化ブロックをなす2ⁿ個の相異なるｎビット２進数Z₀
   〜Z_mであって、クリアテキストブロックをなす2ⁿ個の相
   異なるｎビット２進数W₀〜W_mそれぞれでアドレス可能
   な、暗号化ブロックをなすｎビット２進数Z₀〜Z_mを格納
   するメモリを備え； クリアテキストブロックをなす2ⁿ個の相異なるｎビット
   ２進数W₀〜W_mから、暗号化ブロックをなす2ⁿ個の相異な
   るｎビット２進数Z₀〜Z_mを導出する非線形動的置換発生
   器を備え； （ａ） 前記非線形動的置換発生器では、2ⁿ個の相異な
   る線形の式のセットが使用され、すなわち、クリアテキ
   ストブロックをなす2ⁿ個の相異なるｎビット２進数W₀〜
   W_mのそれぞれと、2ⁿ個の相異なるｎビット２進数X₀〜X_m
   の対応するものとのモジュロ２加算の結果が、ｎビット
   ２進数の2ⁿ個のモジュロ２の和Y₀〜Y_mであることを表し
   ている、2ⁿ個の相異なる線形の式のセットにして、前記
   2ⁿ個の相異なる線形の式の１つは零の式であり、２つ以
   上の式のモジュロ２の和が前記2ⁿ個の相異なる線形の式
   の１つに一致し、前記2ⁿ個の相異なる線形の順序が 【数２】 で定められている、2ⁿ個の相異なる線形の式のセットが
   使用され；且つ、 （ｂ） 前記非線形動的置換発生器は、前記2ⁿ個の相異
   なる線形の式のセットのうちのサブセットの非線形化に
   よる、2ⁿ個の相異なる式の変更されたセットの生成を行
   う手段を備え、 2ⁿ個の相異なる線形の式の変更された前記セットは、変
   更を加えられた、クリアテキストブロックをなす2ⁿ個の
   相異なるｎビット２進数W₀′〜W_m′のそれぞれと、変更
   を加えられた、2ⁿ個の相異なるｎビット２進数X₀′〜
   X_m′の対応するものとのモジュロ２加算の結果が、変更
   を加えられた、ｎビット２進数の2ⁿ個のモジュロ２の和
   Y₀′〜Y_m′であることを表している、2ⁿ個の相異なる線
   形の式の変更されたセットにして、前記2ⁿ個の相異なる
   線形の式の１つは零の式であり且つ２つ以上の式のモジ
   ュロ２の和が前記2ⁿ個の相異なる線形の式の１つに一致
   することがないという特徴を有しており、 2ⁿ個の相異なる式の変更されたセットの生成を行う前記
   手段には、前記2ⁿ個の相異なる線形の式のセットのうち
   のサブセットの非線形化を行うために、 （b1）前記2ⁿ個の相異なる線形の式のセットのうちの前
   記サブセットとして、引き続く第1,第2,第3,第４の式k,
   k＋1,k＋2,k＋３と、前記第1,第2,第３の式k,k＋1,k＋
   ２のモジュロ２加算の和に等しい第５の式と、前記第2,
   第3,第４の式ｋ＋1,k＋2,k＋３のモジュロ２加算の和に
   等しい第６の式とを選択する手段、 （b2）前記第１の式および前記第２の式に対応する２つ
   のｎビット２進数X_kおよびX_k+1のモジュロ２加算による
   第１の和を作る手段、 （b3）前記第１の式および前記第３の式に対応する２つ
   のｎビット２進数X_kおよびX_k+2のモジュロ２加算による
   第２の和を作る手段、 （b4）前記第２の式および前記第３の式に対応する２つ
   のｎビット２進数X_k+1およびX_k+2のモジュロ２加算によ
   る第３の和を作る手段、 （b5）モジュロ２加算の前記第１の和を、前記サブセッ
   トの前記第1,第５の式に対して、モジュロ２加算する手
   段、 （b6）モジュロ２加算の前記第２の和を、前記サブセッ
   トの前記第2,第３の式に対して、モジュロ２加算する手
   段、 （b7）モジュロ２加算の前記第３の和を、前記サブセッ
   トの前記第4,第６の式に対して、モジュロ２加算する手
   段 が備えられており、 前記の変更を加えられたモジュロ２の和Y₀′〜Y_m′が、
   ｎビット２進数の2ⁿ個の相異なる暗号化ブロックZ₀〜Z_m
   として用いられるか、又は、オフセットをモジュロ２加
   算された後で、ｎビット２進数の2ⁿ個の相異なる暗号化
   ブロックZ₀〜Z_mとして用いられる ことを特徴とする暗号装置。