JPH06342257A - 逐次暗号方式 - Google Patents

Abstract

(57)【要約】 【目的】 ハードウェア規模またはプログラム規模が小
さい線形フィードバックレジスタ（LFSR）を用いた擬似
乱数生成器を用い、フレームの脱落およびビット誤りに
対応した安全な逐次暗号方式を提供する。 【構成】 暗号部100 で、フレーム先頭で初期値K0〜K3
を各LFSRに設定し、生成した擬似乱数データPN i と平
文データP i との排他的論理和を計算し暗号文データC
i を送出する。暗号文データC i をLFSRの格納値に排他
的論理和で加算しLFSRに再度格納する。復号部101 で、
フレーム先頭で暗号部100 と共有している秘密の初期値
K0〜K3を各LFSRに設定し、受信した暗号文データC' i
との排他的論理和を求めてLFSRに再度格納する。暗号部
100 側と同じ擬似乱数データPN iを生成する。受信した
暗号文データC' i と擬似乱数データPN i との排他的
論理和を計算して復号文データP' i を得る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、情報の秘密通信（特に
無線を用いた秘密通信）における暗号方式のうち規模が
比較的小さく高速処理が可能な逐次暗号方式に関するも
のである。

【０００２】

【従来の技術】近年、価値の高い電子情報が増加の一途
をたどっており、そのような情報を第三者の詐取や盗聴
から護りつつ公開チャンネルで伝送する秘密通信の実現
が要望されている。特に無線のネットワークを用いた場
合には第三者による盗聴等が容易となるため、秘密通信
は重要なものとなる。

【０００３】ところで、無線で音声や映像等の情報を送
る場合、電波状態によっては、しばしば受信側で受け取
るデータに遅延が生じる。このとき、データをフレーム
単位で削除する「フレームの脱落」の処理を行うことが
ある。それは、情報自身に冗長があるため、遅延よりも
フレームの脱落を行った方が受信側での影響が少ないか
らである。なお、「フレーム」とは、複数ビットのデー
タ単位であり、情報の伝送においては一般的にこの単位
で伝送を行う。

【０００４】無線を用いた秘密通信における暗号方式に
おいては、通信途中でフレームが脱落しても、受信側で
「誤り復帰」をできるようにしておくことが必要であ
る。また、暗号化することによる通信速度の低下や通信
の遅延が生じるとしても、それをできるだけ小さなもの
にすることが必要である。なお、後者の条件は秘密通信
に用いる暗号に一般的に要求されることである。

【０００５】以上の条件を満たす暗号方式として、一般
に逐次暗号方式が用いられる。逐次暗号方式は、暗号側
（送信側）と復号側（受信側）の双方で同じ擬似乱数列
を生成し、暗号側では平文にその擬似乱数列を排他的論
理和で加算して暗号文を作成して送出し、復号側では受
信した暗号文に対して暗号側と同じ擬似乱数列を排他的
論理和で加算して復号文（平文）を求めるようにしたも
のである。なお、「擬似乱数」とは、コンピュータで生
成されることから乱数列に周期性をもつものであり、周
期性のない「普通乱数」と区別される。擬似乱数列は初
期値の設定に依存し、それが同じであれば同じ擬似乱数
列が生成される。

【０００６】〔第１の従来例〕逐次暗号方式において用
いられる擬似乱数生成器としては、一般的に、並列に配
置した複数の線形フィードバックレジスタと、それらか
らの出力ビットを論理積やスイッチ等で結合して擬似乱
数に変換する非線形変換部からなるものが知られてい
る。線形フィードバックレジスタ（Linear Feedback Sh
ift Register）は略してＬＦＳＲとも表現される。

【０００７】このような従来の擬似乱数生成器を用いた
逐次暗号方式を第１の従来例として図５に示し、以下に
説明する。図５において、１は暗号部（送信側）、２は
復号部（受信側）である。また、３ａは暗号部１におけ
る第１の擬似乱数生成器、３ｂは復号部２における第２
の擬似乱数生成器、４は暗号部１において平文データＰ
［ｉ］と第１の擬似乱数生成器３ａから出力された擬似
乱数データＰＮ［ｉ］との排他的論理和を計算して暗号
文データＣ［ｉ］を作成する第１の排他的論理和部、５
は復号部２において受信した暗号文データＣ′［ｉ］と
第２の擬似乱数生成器３ｂから出力された前記と同じ擬
似乱数データＰＮ［ｉ］との排他的論理和を計算して復
号文データＰ′［ｉ］（元の平文データ）を求める第２
の排他的論理和部である。図では、排他的論理和を、
“○”に“＋”を組み合わせた記号で表している。ただ
し、明細書中では、“＾”の記号で排他的論理和の演算
子を表すことにする。

【０００８】第１および第２の擬似乱数生成器３ａ，３
ｂの構成は同一となっており、４個の線形フィードバッ
クレジスタ（ＬＦＳＲ）６ａ〜９ａおよび６ｂ〜９ｂ
と、それらからの出力を非線形に結合して擬似乱数を生
成する非線形変換部１０ａ，１０ｂとからなっている。

【０００９】線形フィードバックレジスタ（ＬＦＳＲ）
を含む擬似乱数生成器を用いた逐次暗号方式は、一般的
に、処理が高速で、実現規模が小さく、このことが大き
なメリットとなっている。なお、実現規模とは、ハード
ウェアで構成する場合にはハードウェア量を指し、ソフ
トウェアで構成する場合にはプログラム量を指す。

【００１０】線形フィードバックレジスタ（ＬＦＳＲ）
を含む擬似乱数生成器の具体的な例として、非線形変換
部を桁上げ付きの加算で実現したリュッペルの方法があ
る。

【００１１】なお、リュッペルの方法については、『Ra
iner A.Rueppel,"Analysis and Design of Stream Ciph
ers",Springer-Verlag,1986.』のP209〜P230に詳細に開
示されている。

【００１２】次に、この図５に示した第１の従来例によ
る逐次暗号方式の動作を説明する。

【００１３】なお、ここでは、擬似乱数生成器３ａ，３
ｂが１回の処理で１バイトの擬似乱数を生成するものと
する。

【００１４】まず、暗号部１での動作を説明する。

【００１５】（１）暗号部１における第１の擬似乱数生
成器３ａは、フレームの先頭で各線形フィードバックレ
ジスタ（ＬＦＳＲ）６ａ〜９ａに初期値を設定する。こ
のＬＦＳＲ６ａ〜９ａに設定する初期値が暗号部１と復
号部２とに「共通の秘密の鍵」となっている。ＬＦＳＲ
６ａ〜９ａに初期値が設定されると、第１の擬似乱数生
成器３ａは１回の処理を行い、１バイトの擬似乱数デー
タＰＮ［０］を生成する。この動作の結果、シフト動作
によって各線形フィードバックレジスタ（ＬＦＳＲ）６
ａ〜９ａの格納値が変化する。すなわち、第１の擬似乱
数生成器３ａの「内部状態」が更新される。言い換える
と、この擬似乱数生成器３ａは、内部状態をもち、内部
状態によって決定される擬似乱数列を生成するとともに
内部状態を更新するようになっている。なお、初期状態
においては、その内部状態は設定された初期値に依存す
る。

【００１６】（２）第１の排他的論理和部４は、入力さ
れてきた１バイトの平文データＰ［０］と擬似乱数デー
タＰＮ［０］との排他的論理和を計算して暗号文データ
Ｃ［０］を作成し、それを送出する。暗号文データＣ
［０］は、“＾”を排他的論理和の演算子として、 Ｃ［０］＝Ｐ［０］＾ＰＮ［０］ となる。

【００１７】（３）以下同様にして、第１の擬似乱数生
成器３ａは、各線形フィードバックレジスタ（ＬＦＳ
Ｒ）６ａ〜９ａの格納値から継続して擬似乱数データＰ
Ｎ［ｉ］（ｉ＝１，２……）を生成し、第１の排他的論
理和部４は、平文データＰ［ｉ］と擬似乱数データＰＮ
［ｉ］との排他的論理和、 Ｃ［ｉ］＝Ｐ［ｉ］＾ＰＮ［ｉ］ より、逐次に暗号文データＣ［ｉ］（ｉ＝１，２……）
を作成して送出する。

【００１８】次に、復号部２での動作を説明する。

【００１９】（１）復号部２における第２の擬似乱数生
成器３ｂは、フレームの先頭で各線形フィードバックレ
ジスタ（ＬＦＳＲ）６ｂ〜９ｂに初期値を設定する。す
でに述べたとおり、このＬＦＳＲ６ｂ〜９ｂに設定する
初期値が暗号部１と復号部２とに「共通の秘密の鍵」と
なっている。ＬＦＳＲ６ｂ〜９ｂに初期値が設定される
と、第２の擬似乱数生成器３ｂは１回の処理を行い、暗
号部１におけるのと全く同一の１バイトの擬似乱数デー
タＰＮ［０］を生成する。

【００２０】なお、この復号部２における第２の擬似乱
数生成器３ｂも、内部状態をもち、内部状態によって決
定される擬似乱数列を生成するとともに内部状態を更新
するようになっている。

【００２１】（２）第２の排他的論理和部５は、入力さ
れてきた１バイトの暗号文データＣ′［０］と擬似乱数
データＰＮ［０］との排他的論理和を計算して復号文デ
ータＰ′［０］を、 Ｐ′［０］＝Ｃ′［０］＾ＰＮ［０］ によって求める。

【００２２】（３）以下同様にして、擬似乱数生成器３
ａは、各線形フィードバックレジスタ（ＬＦＳＲ）６ｂ
〜９ｂの格納値から継続して擬似乱数データＰＮ［ｉ］
（ｉ＝１，２……）を生成し、第２の排他的論理和部５
は、受信した暗号文データＣ′［ｉ］と擬似乱数データ
ＰＮ［ｉ］との排他的論理和、 Ｐ′［ｉ］＝Ｃ′［ｉ］＾ＰＮ［ｉ］ より、逐次に復号文データＰ′［ｉ］（ｉ＝１，２…
…）を得る。もちろん、各暗号文データＣ′［ｉ］が暗
号文データＣ［ｉ］と同じであれば、復号文データＰ′
［ｉ］は元の平文データＰ［ｉ］と同じになる。

【００２３】以上のように暗号部１の擬似乱数生成器３
ａと復号部２の擬似乱数生成器３ｂとはともにフレーム
の先頭において両者で共有している秘密の鍵によってそ
れぞれの線形フィードバックレジスタ（ＬＦＳＲ）６ａ
〜９ａおよび６ｂ〜９ｂを初期化する。したがって、も
しフレームの脱落が生じても、次のフレームにおいては
復号部２側で誤りは生じない。すなわち、フレームの脱
落に起因した誤りに対する復帰が自動的に行われる。

【００２４】〔第２の従来例〕無線を用いた通信ではそ
の通信路上においてしばしばフレーム内でビットの脱落
や挿入といった暗号側と復号側の同期（第１の従来例に
おけるｉ）がずれる誤りを生じる。こういった誤りのほ
とんどについてはフレームに付加した誤り訂正符号等を
用いて修正できるが、それでもなお誤りは残り得る。し
たがって、秘密通信に用いる暗号方式は、フレームの途
中でデータが誤っても、受信側（復号部）においてでき
るだけ早期に誤りから復帰することが必要である。第１
の従来例の構成の場合には、フレームの途中でデータに
誤りが生じ、暗号側と復号側の同期がずれると、受信側
でそのフレーム全体が間違って復号されてしまう。この
問題点を解決したのが自己同期型の逐次暗号方式であ
る。

【００２５】自己同期型の逐次暗号方式の代表的な構成
は、ブロック暗号を用いた暗号文フィードバックモード
（Cipher Feed-Back Mode ；略称ＣＦＢモード）であ
る。暗号文フィードバックモード（ＣＦＢモード）は、
米国商務省標準局（ＮＳＢ）によりデータ暗号化規格Ｄ
ＥＳ（Data Encryption Standard）を規準とした利用モ
ードの１つとして標準化されている。

【００２６】図６は、この標準のデータ暗号化規格ＤＥ
Ｓの部分を一般的な８バイト幅のブロック暗号に置き換
えた第２の従来例としての１バイトＣＦＢモードの構成
を示す。

【００２７】図６において、１１は暗号部、１２は復号
部である。１３ａ，１３ｂは１回の処理で１バイト上位
（左）にシフトしかつ最下位に暗号文データＣ［ｉ］，
Ｃ′［ｉ］を格納する８バイトの第１および第２のシフ
トレジスタである。これらのシフトレジスタ１３ａ，１
３ｂには、初期値としてオール１を格納するようになっ
ている。１４ａ，１４ｂは、シフトレジスタ１３ａ，１
３ｂの出力を一方の入力とするとともに、暗号部１１と
復号部１２とで共通の秘密の鍵Ｋを他方の入力とし、そ
の共通の秘密の鍵Ｋによってシフトレジスタ１３ａ，１
３ｂの格納値を暗号化するブロック暗号部である。暗号
化されたデータであるブロック暗号は８バイト幅であ
る。１５ａ，１５ｂはブロック暗号部１４ａ，１４ｂの
出力８バイトのうち最上位の１バイトを選択する選択部
である。１６は暗号部１１において平文データＰ［ｉ］
と選択部１５ａからの１バイトデータとの排他的論理和
を計算して暗号文データＣ［ｉ］を作成する第１の排他
的論理和部、１７は復号部１２において受信した暗号文
データＣ′［ｉ］と選択部１５ｂからの１バイトデータ
との排他的論理和を計算して復号文データＰ′［ｉ］
（元の平文データ）を求める第２の排他的論理和部であ
る。

【００２８】次に、この図６に示した第２の従来例に係
る自己同期型の逐次暗号方式の動作を説明する。

【００２９】まず、暗号部１１での動作を説明する。

【００３０】（１）シフトレジスタ１３ａは、フレーム
の先頭でオール１を初期値として設定する。

【００３１】（２）ブロック暗号部１４ａは、復号部１
２と共通の秘密の鍵Ｋをもってシフトレジスタ１３ａの
格納値を暗号化する。

【００３２】（３）選択部１５ａは、ブロック暗号部１
４ａの出力８バイトのうち最上位の１バイトを取り出
す。

【００３３】（４）第１の排他的論理和部１６は、入力
されてきた１バイトの平文データＰ［０］と選択部１５
ａからの１バイトデータとの排他的論理和を計算して暗
号文データＣ［０］を作成し、送出する。

【００３４】（５）シフトレジスタ１３ａは、１バイト
上位にシフトし、かつ、その最下位バイトに排他的論理
和部１６の出力である１バイトの暗号文データＣ［０］
を格納する。

【００３５】これ以降、上記の（２）〜（５）を繰り返
し、逐次に暗号文データＣ［ｉ］（ｉ＝１，２……）を
作成して送出する。

【００３６】次に、復号部１２での動作を説明する。

【００３７】（１）シフトレジスタ１３ｂは、フレーム
の先頭でオール１を初期値として設定する。

【００３８】（２）ブロック暗号部１４ｂは、暗号部１
１と同じ秘密の鍵Ｋをもってシフトレジスタ１３ｂの格
納値を暗号化する。

【００３９】（３）選択部１５ｂは、ブロック暗号部１
４ｂの出力８バイトのうち最上位の１バイトを取り出
す。

【００４０】（４）第２の排他的論理和部１７は、受信
した１バイトの暗号文データＣ′［０］と選択部１５ｂ
からの１バイトデータとの排他的論理和を計算して復号
文データＰ′［０］を作成する。

【００４１】（５）シフトレジスタ１３ｂは、１バイト
上位にシフトし、かつ、その最下位バイトに受信した１
バイトの暗号文データＣ′［０］を格納する。

【００４２】これ以降、上記の（２）〜（５）を繰り返
し、逐次に復号文データＰ′［ｉ］（ｉ＝１，２……）
を作成する。

【００４３】以上において、復号部１２における選択部
１５ｂから出力される１バイトデータが暗号部１１にお
ける選択部１５ａから出力される１バイトデータと同じ
になり、受信した暗号文データＣ′［ｉ］が暗号部１１
より送出された暗号文データＣ［ｉ］と一致している限
り、その受信した暗号文データＣ′［ｉ］を復号化した
復号文データＰ′［ｉ］は送出された平文データＰ
［ｉ］と一致することになる。

【００４４】この自己同期型の逐次暗号方式において
は、通信路上においてある１バイトの暗号文データＣ
［ｉ］にビット誤りが生じた場合、復号部１２のシフト
レジスタ１３ｂに対応する誤った暗号文データＣ′
［ｉ］が残っている期間においては復号文データＰ′
［ｉ］が平文データＰ［ｉ］とは異なったものとなる。
つまり、ビット誤りが生じた当該の１バイトとそのデー
タがシフトレジスタ１３ｂに残っている間の復号結果の
８バイトとの合計９バイト分の誤りが続くが、その後に
おいては正しい復号結果が自動的に出力されるように自
己同期される。また、この例ではバイト単位の処理を行
っているため、ビット脱落などによるビット単位の同期
ずれには対応しないが、バイト単位の同期ずれに対して
は自己復帰する。勿論処理をビット単位に行うとヒット
脱落にも対応ができる。

【００４５】この自己同期型の逐次暗号方式では、フレ
ームの脱落を含む一般的なデータ誤りから９バイト後に
おいて自己復帰するため、あえてフレームの先頭がくる
たびにシフトレジスタ１３ａ，１３ｂをオール１に設定
し直す必要はなくて、暗号部１１と復号部１２とで独立
に動作を続行してよく、以降、（２）〜（５）の動作を
繰り返す間に暗号部１１と復号部１２との間で自動的に
同期してくるようになる。

【００４６】

【発明が解決しようとする課題】しかしながら、上記し
た第１の従来例の場合、暗号部１の線形フィードバック
レジスタ（ＬＦＳＲ）６ａ〜９ａと復号部２の線形フィ
ードバックレジスタ（ＬＦＳＲ）６ｂ〜９ｂのそれぞれ
に対してフレームの先頭において初期設定される共通の
秘密の鍵（初期値）のみで、生成される擬似乱数データ
ＰＮ［ｉ］（ｉ＝０，１……）が決定されてしまう。し
たがって、一定の暗号／復号の組み合わせについては、
どのフレームにおいても擬似乱数データＰＮ［ｉ］が同
一となってしまう。そのため、解読者によって、任意の
フレームにおける平文データＰ［ｉ］と暗号文データＣ
［ｉ］との関係が一旦暴露されたときには、擬似乱数デ
ータＰＮ［ｉ］が、 ＰＮ［ｉ］＝Ｃ［ｉ］＾Ｐ［ｉ］ によって求められてしまうことになる。そして、その求
められた擬似乱数データＰＮ［ｉ］に基づいて、任意の
暗号文データＣ′［ｉ］が Ｐ′［ｉ］＝Ｃ′［ｉ］＾ＰＮ［ｉ］ によって解読されてしまい、これでは安全性に重大な問
題を生じさせることになる。

【００４７】ここで、注意すべきことは、解読者が解読
に際して、暗号部１と復号部２とで共有している秘密の
鍵、すなわち、線形フィードバックレジスタ（ＬＦＳ
Ｒ）６ａ〜９ａおよび６ｂ〜９ｂに設定される初期値を
知る必要がなく、あるフレームにおける平文、暗号文の
ペアが手に入るだけでよいということである。つまり、
それだけ解読が容易であるということである。

【００４８】また、上記した第２の従来例の場合、自己
同期型であって擬似乱数列の生成要因として暗号文デー
タを用いることから内部状態をもっていないことにな
り、共通の秘密の鍵Ｋを入力とするブロック暗号部１４
ａ，１４ｂが必要となる。ところが、このブロック暗号
部は一般に、第１の従来例で述べた線形フィードバック
レジスタ（ＬＦＳＲ）を用いた擬似乱数生成器に比べる
と、規模が大きく、処理速度が遅いという不利な点を有
している。

【００４９】なお、このブロック暗号部を第１の従来例
で述べた線形フィードバックレジスタ（ＬＦＳＲ）を用
いた擬似乱数生成器に置き換えることはできない。なぜ
ならば、線形フィードバックレジスタ（ＬＦＳＲ）を用
いた擬似乱数生成器はブロック暗号部と異なりＬＦＳＲ
の格納値つまり内部状態をもち、その値そのものが秘密
の鍵となっているからである。したがって、この構成に
はブロック暗号部が必須であり、大規模でしかも処理が
遅いという問題点は解消されない。

【００５０】本発明は、このような事情に鑑みて創案さ
れたものであって、比較的小規模でありながら、フレー
ムの脱落およびビット誤りに対応した安全性の高い逐次
暗号方式を提供することを目的とする。

【００５１】

【課題を解決するための手段】上記目的を達成するため
に、請求項１の発明の逐次暗号方式は、内部状態をもち
その内部状態によって決定される擬似乱数列を生成する
とともに内部状態を更新する第１の擬似乱数生成器と、
前記第１の擬似乱数生成器の内部状態の初期値を格納す
る第１の初期値格納部と、平文データと前記第１の擬似
乱数生成器から出力される擬似乱数データとの和を暗号
文データとして計算し送出する暗号文データ算出部とか
ら構成された暗号部と、内部状態をもちその内部状態に
よって決定される擬似乱数列を生成するとともに内部状
態を更新する第２の擬似乱数生成器と、前記第２の擬似
乱数生成器の内部状態の初期値を格納する第２の初期値
格納部と、受信した暗号文データと前記第２の擬似乱数
生成器から出力される擬似乱数データとの差を復号文デ
ータとして計算し出力する復号文データ算出部とから構
成された復号部とを備え、前記第１および第２の初期値
格納部は互いに同一の初期値を格納し、前記第１および
第２の擬似乱数生成器はそれぞれ各フレームの先頭で各
々前記第１および第２の初期値格納部の格納値を内部状
態に設定するとともに決められたビット位置から始まる
決められたビット数の前記暗号文データを前記内部状態
に融合するように構成されていることを特徴としてい
る。

【００５２】請求項２の発明は、請求項１の逐次暗号方
式において、前記第１および第２の擬似乱数生成器に設
定する初期値と、内部状態に暗号文データを融合するビ
ット位置およびビット数とを前記暗号部と復号部におけ
る共通の秘密の鍵とすることを特徴としている。

【００５３】請求項３の発明は、請求項１の逐次暗号方
式において、前記第１および第２の擬似乱数生成器が複
数の線形フィードバックレジスタとそれらの出力を非線
形変換する非線形変換部とからなり、前記内部状態への
融合が決められた線形フィードバックレジスタの格納値
と決められたビット位置から始まる決められたビット数
の暗号文データとの排他的論理和をとってその結果をも
との線形フィードバックレジスタに格納することであ
り、その線形フィードバックレジスタの選択を前記暗号
部と復号部における共通の秘密の鍵とすることを特徴と
している。

【００５４】請求項４の発明は、請求項１から請求項３
までのいずれか１項の逐次暗号方式において、前記第１
および第２の擬似乱数生成器がそれぞれ暗号文データに
代えて、決められたビット位置から始まる決められたビ
ット数の平文データおよび復号文データをそれぞれの内
部状態に融合するように構成されていることを特徴とし
ている。

【００５５】請求項５の発明は、請求項１から請求項４
までのいずれか１項の逐次暗号方式において、前記暗号
文データ算出部が平文データと前記第１の擬似乱数生成
器からの擬似乱数データとの排他的論理和をとって暗号
文データを送出するものであり、前記復号文データ算出
部が受信した暗号文データと前記第２の擬似乱数生成器
からの擬似乱数データとの排他的論理和をとって復号文
データを出力するものであるように構成されたことを特
徴としている。

【００５６】請求項６の発明は、内部状態をもちその内
部状態によって決定される擬似乱数列を生成するととも
に内部状態を更新する第１の擬似乱数生成器と、前記第
１の擬似乱数生成器の内部状態の初期値を格納する第１
の初期値格納部と、平文データと前記第１の擬似乱数生
成器から出力される擬似乱数データとの和を暗号文デー
タとして計算し送出する暗号文データ算出部とから構成
された暗号部と、内部状態をもちその内部状態によって
決定される擬似乱数列を生成するとともに内部状態を更
新する第２の擬似乱数生成器と、前記第２の擬似乱数生
成器の内部状態の初期値を格納する第２の初期値格納部
と、受信した暗号文データと前記第２の擬似乱数生成器
から出力される擬似乱数データとの差を復号文データと
して計算し出力する復号文データ算出部とから構成され
た復号部とを備え、前記第１および第２の初期値格納部
は互いに同一の初期値を格納し、前記第１および第２の
擬似乱数生成器はそれぞれ各初期値格納部の格納値と決
められたビット位置から始まる決められたビット数の前
記暗号文データとの融合値を前記内部状態に設定するよ
うに構成されていることを特徴としている。

【００５７】請求項７の発明は、請求項６の逐次暗号方
式において、前記第１および第２の擬似乱数生成器が複
数の線形フィードバックレジスタとそれらの出力を非線
形変換する非線形変換部とからなり、前記内部状態への
融合値の設定が決められた線形フィードバックレジスタ
の格納値と決められたビット位置から始まる決められた
ビット数の暗号文データとの排他的論理和をとってその
結果をもとの線形フィードバックレジスタに設定するこ
とであり、その線形フィードバックレジスタの選択を前
記暗号部と復号部における共通の秘密の鍵とすることを
特徴としている。

【００５８】

【作用】上記構成による請求項１の発明においては、暗
号部ではまずフレームの先頭で初期値を第１の擬似乱数
生成器の内部に設定し、暗号文データ算出部は生成され
た擬似乱数データと平文データとの和を計算して暗号文
データを作成し送出する。第１の擬似乱数生成器は決め
られたビット位置から始まる決められたビット数の暗号
文データがフィードバックされ内部状態に融合される。
復号部でも同様に、まずフレームの先頭で暗号部と同じ
初期値を第２の擬似乱数生成器の内部に設定し、暗号部
側と同じ擬似乱数データを作成する。そして、受信した
暗号文データとその擬似乱数データとの差を計算して復
号文データを求める。復号部が受信した暗号文データが
暗号部から送出した暗号文データと同じであれば、その
復号文データは暗号部での平文データと同一になる。復
号部の第２の擬似乱数生成器は暗号部と同じ決められた
ビット位置から始まる決められたビット数の暗号文デー
タを内部状態に融合する。したがって、第２の擬似乱数
生成器からの擬似乱数データは第１の擬似乱数生成器か
らの擬似乱数データと同一になる。フレームごとに初期
化しているため、フレームの脱落が生じても、次のフレ
ームまでは影響を及ぼさない。

【００５９】しかも、暗号文データを次の擬似乱数デー
タの生成に関与させているため、生成される擬似乱数デ
ータの系列の種類数が非常に多くなり、解読者が万一、
一組の平文データと暗号文データとを入手しそれに対応
した擬似乱数データを解読したとしても、そのことから
直ちに他の暗号文データを解読することはできない。

【００６０】請求項２の発明においては、暗号部と復号
部に共通の秘密の鍵として、擬似乱数生成器への初期値
と融合すべきビット位置およびビット数としてあるの
で、解読がよりむずかしくなる。

【００６１】請求項３の発明においては、擬似乱数生成
器を複数の線形フィードバックレジスタと非線形変換部
の組み合わせで構成してあるので、実現規模を小さくす
ることができる。

【００６２】請求項４の発明においては、内部状態へ融
合するものとして、暗号文データの代わりに平文データ
および復号文データが用いられている。

【００６３】請求項５の発明においては、暗号文データ
を作成するのに平文データと擬似乱数データとの排他的
論理和をとり、復号文データを作成するのに暗号文デー
タと擬似乱数データとの排他的論理和をとる。

【００６４】請求項６の発明においては、暗号部と復号
部とで共通な初期値格納部の初期値と暗号文データの融
合値を擬似乱数生成器の内部状態として設定するから、
通信路上で誤りが生じてもその誤りから自動的に復帰す
ることが可能となり、各フレームの先頭で初期値を設定
し直す必要がないため、解読に対する安全性をより高い
ものにすることができる。

【００６５】請求項７の発明においては、請求項３の発
明と同様、擬似乱数生成器を複数の線形フィードバック
レジスタと非線形変換部の組み合わせで構成してあるの
で、実現するためのハードウェア規模またはプログラム
規模を小さくでき、高速処理が可能となる。

【００６６】

【実施例】以下、本発明の一実施例の逐次暗号方式につ
いて、図面を参照しながら説明する。

【００６７】第１の実施例 図１は第１の実施例に係る逐次暗号方式の構成図であ
る。図１において、１００は暗号部（送信側）、１０１
は復号部（受信側）である。また、１０２ａは暗号部１
００における第１の擬似乱数生成器、１０２ｂは復号部
１０１における第２の擬似乱数生成器である。第１の擬
似乱数生成器１０２ａは、４つの線形フィードバックレ
ジスタ（ＬＦＳＲ）１０３ａ〜１０６ａとそれらの出力
を非線形に結合して擬似乱数を生成する非線形変換部１
１１ａとから構成されている。１０７ａ〜１１０ａは各
線形フィードバックレジスタ（ＬＦＳＲ）１０３ａ〜１
０６ａに初期値Ｋ０〜Ｋ３を格納するための第１の初期
値格納部である。第２の擬似乱数生成器１０２ｂも同様
に、４つの線形フィードバックレジスタ（ＬＦＳＲ）１
０３ｂ〜１０６ｂとそれらの出力を非線形に結合して擬
似乱数を生成する非線形変換部１１１ｂとから構成され
ている。１０７ｂ〜１１０ｂは各線形フィードバックレ
ジスタ（ＬＦＳＲ）１０３ｂ〜１０６ｂに暗号部１００
と同じ初期値Ｋ０〜Ｋ３を格納するための第２の初期値
格納部である。

【００６８】１１２は暗号部１００において平文データ
Ｐ［ｉ］と第１の擬似乱数生成器１０２ａからの擬似乱
数データＰＮ［ｉ］との排他的論理和を計算して暗号文
データＣ［ｉ］を作成する「暗号文データ算出部」とし
ての第１の排他的論理和部、１１３は復号部１０１にお
いて受信した暗号文データＣ′［ｉ］と第２の擬似乱数
生成器１０２ｂから出力された前記と同じ擬似乱数デー
タＰＮ［ｉ］との排他的論理和を計算して復号文データ
Ｐ′［ｉ］（元の平文データ）を求める「復号文データ
算出部」としての第２の排他的論理和部である。

【００６９】１１４ａは暗号部１００において線形フィ
ードバックレジスタ（ＬＦＳＲ）１０３ａ〜１０６ａの
うちのいずれかのものの内容と暗号文データＣ［ｉ］と
の排他的論理和を計算しその計算結果をもとの線形フィ
ードバックレジスタ（ＬＦＳＲ）に格納する第３の排他
的論理和部、１１４ｂは復号部１０１において線形フィ
ードバックレジスタ（ＬＦＳＲ）１０３ｂ〜１０６ｂの
うちのいずれかのものの内容と暗号文データＣ′［ｉ］
との排他的論理和を計算しその計算結果をもとの線形フ
ィードバックレジスタ（ＬＦＳＲ）に格納する第４の排
他的論理和部である。

【００７０】次に、図１に示した第１の実施例による逐
次暗号方式の動作を図２の状態説明図を用いて説明す
る。なお、ここでは、擬似乱数生成器１０２ａ，１０２
ｂは１回の処理当たり１バイトの擬似乱数を生成するも
のとする。また、各線形フィードバックレジスタ（ＬＦ
ＳＲ）１０３ａ〜１０６ａおよび１０３ｂ〜１０６ｂの
データ長は１バイト以上とする。図２において、１カラ
ム目は時刻、２カラム目は各線形フィードバックレジス
タ（ＬＦＳＲ）の格納値、３カラム目は暗号部１００側
の第１の排他的論理和部１１２の計算結果である暗号文
データＣ［ｉ］の内容、４カラム目は復号部１０１側の
第２の排他的論理和部１１３の計算結果である復号文デ
ータＰ′［ｉ］の内容である。

【００７１】まず、暗号部１００での動作を説明する。

【００７２】（１）暗号部１００における第１の擬似乱
数生成器１０２ａは、フレームの先頭において４つの各
線形フィードバックレジスタ（ＬＦＳＲ）１０３ａ〜１
０６ａに初期値を設定する。図では４つの線形フィード
バックレジスタをＬＦＳＲ０，ＬＦＳＲ１，ＬＦＳＲ
２，ＬＦＳＲ３とし、それぞれの初期値をＫ０，Ｋ１，
Ｋ２，Ｋ３としている。この初期値Ｋ０，Ｋ１，Ｋ２，
Ｋ３が暗号部１００と復号部１０１とに共通の秘密の鍵
となっている。

【００７３】初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３がＬＦＳＲ
０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３に設定される
と、第１の擬似乱数生成器１０２ａは、この状態から１
回の動作を行い、１バイトの擬似乱数データＰＮ［０］
を生成する。この動作の結果、シフト動作によって各Ｌ
ＦＳＲ０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３の格納
値は初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３より変化する。図２
ではこの変化を矢印で示している。第１の排他的論理和
部１１２では、この擬似乱数データＰＮ［０］と入力し
た１バイトの平文データＰ［０］との排他的論理和Ｐ
［０］＾ＰＮ［０］（＝Ｃ［０］）を計算し、暗号文デ
ータＣ［０］を作成して送出する。

【００７４】（２）暗号部１００における第３の排他的
論理和部１１４ａは、４つのＬＦＳＲ０，ＬＦＳＲ１，
ＬＦＳＲ２，ＬＦＳＲ３のうちＬＦＳＲ０の格納値から
１バイトを取り出し、これと暗号文データＣ［０］との
排他的論理和を求め、元のＬＦＳＲ０に格納する。すな
わち、Ｋ０が変化したものとＣ［０］との排他的論理和
がＬＦＳＲ０に格納されることになる。なお、残りのＬ
ＦＳＲ１〜ＬＦＳＲ３の格納値は（１）の動作で変化し
た状態のままである。第１の擬似乱数生成器１０２ａ
は、この状態からさらに１回の動作を行い、１バイトの
擬似乱数データＰＮ［１］を生成する。ＬＦＳＲ０〜Ｌ
ＦＳＲ３の格納値はシフト動作により変化する。第１の
排他的論理和部１１２では、（１）と同様にして、排他
的論理和Ｐ［１］＾ＰＮ［１］（＝Ｃ［１］）を計算
し、暗号文データＣ［１］を作成して送出する。

【００７５】（３）第３の排他的論理和部１１４ａは、
ＬＦＳＲ０〜ＬＦＳＲ３のうちＬＦＳＲ１の格納値から
１バイトを取り出し、これと暗号文データＣ［１］との
排他的論理和を求め、元のＬＦＳＲ１に格納する。残り
のＬＦＳＲ０，ＬＦＳＲ２，ＬＦＳＲ３の格納値は
（２）の動作で変化した状態のままである。第１の擬似
乱数生成器１０２ａは擬似乱数データＰＮ［２］を生成
し、第１の排他的論理和部１１２は、排他的論理和Ｐ
［２］＾ＰＮ［２］（＝Ｃ［２］）を計算し、暗号文デ
ータＣ［２］を作成して送出する。

【００７６】（４）次に、第３の排他的論理和部１１４
ａは、ＬＦＳＲ２の格納値と暗号文データＣ［２］との
排他的論理和を求め、元のＬＦＳＲ２に格納する。残り
のＬＦＳＲ０，ＬＦＳＲ１，ＬＦＳＲ３の格納値は
（３）の動作で変化した状態のままである。第１の擬似
乱数生成器１０２ａは擬似乱数データＰＮ［３］を生成
し、第１の排他的論理和部１１２は、排他的論理和Ｐ
［３］＾ＰＮ［３］（＝Ｃ［３］）により暗号文データ
Ｃ［３］を作成して送出する。

【００７７】（５）今度は、ＬＦＳＲ３の格納値と暗号
文データＣ［３］との排他的論理和を求め、ＬＦＳＲ３
に格納する。第１の擬似乱数生成器１０２ａは擬似乱数
データＰＮ［４］を生成し、第１の排他的論理和部１１
２は暗号文データＣ［４］を作成して送出する。

【００７８】（６）これ以降は、第１の擬似乱数生成器
１０２ａは線形フィードバックレジスタ（ＬＦＳＲ）に
対する暗号文データＣ［ｉ］の融合は行わず、通常の動
作を行う。したがって、これ以降の動作は第１の従来例
と同様となる。そして、第１の排他的論理和部１１２に
おいては、排他的論理和Ｐ［ｉ］＾ＰＮ［ｉ］（＝Ｃ
［ｉ］）により暗号文データＣ［ｉ］を作成して送出す
る。

【００７９】次に、復号部１０１での動作を説明する。

【００８０】（１）復号部１０１における第２の擬似乱
数生成器１０２ｂは、フレームの先頭において４つの各
線形フィードバックレジスタ（ＬＦＳＲ）１０３ｂ〜１
０６ｂに初期値を設定する。暗号部１００側と同様に４
つの線形フィードバックレジスタをＬＦＳＲ０，ＬＦＳ
Ｒ１，ＬＦＳＲ２，ＬＦＳＲ３とすると、それぞれの初
期値として暗号部１００側と同じ初期値Ｋ０，Ｋ１，Ｋ
２，Ｋ３を設定する。

【００８１】この初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３は暗号
部１００と復号部１０１とで共通の秘密の鍵である。

【００８２】初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３がＬＦＳＲ
０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３に設定される
と、第２の擬似乱数生成器１０２ｂは、その状態から１
回の動作を行い、暗号部１００側と同じ１バイトの擬似
乱数データＰＮ［０］を生成する。各ＬＦＳＲ０，ＬＦ
ＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３の格納値は初期値Ｋ
０，Ｋ１，Ｋ２，Ｋ３から変化する。第２の排他的論理
和部１１３では、受信した暗号文データＣ′［０］と擬
似乱数生成器１０２ｂからの擬似乱数データＰＮ［０］
との排他的論理和Ｃ′［０］＾ＰＮ［０］（＝Ｐ′
［０］）を計算し、復号文データＰ′［０］を出力す
る。この場合、復号部１０１で受信した暗号文データ
Ｃ′［０］が暗号部１００で送出した暗号文データＣ
［０］と同じであれば、復号文データＰ′［０］は元の
平文データＰ［０］と同じになる。

【００８３】（２）復号部１０１における第４の排他的
論理和部１１４ｂは、暗号部１００側と同様に、４つの
ＬＦＳＲ０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３のう
ちＬＦＳＲ０の格納値と受信した暗号文データＣ′
［０］との排他的論理和を求め、元のＬＦＳＲ０に格納
する。第２の擬似乱数生成器１０２ｂは、この状態から
さらに１回の動作を行い、１バイトの擬似乱数データＰ
Ｎ［１］を生成する。ＬＦＳＲ０〜ＬＦＳＲ３の格納値
はシフト動作により変化する。第２の排他的論理和部１
１３では、（１）と同様に、排他的論理和Ｃ′［１］＾
ＰＮ［１］（＝Ｐ′［１］）を計算し、復号文データ
Ｐ′［１］を出力する。

【００８４】（３）第４の排他的論理和部１１４ｂは、
ＬＦＳＲ０〜ＬＦＳＲ３のうちＬＦＳＲ１の格納値から
１バイトを取り出し、これと受信した暗号文データＣ′
［１］との排他的論理和を求め、元のＬＦＳＲ１に格納
する。第２の擬似乱数生成器１０２ｂは擬似乱数データ
ＰＮ［２］を生成し、第２の排他的論理和部１１３は、
排他的論理和Ｃ′［２］＾ＰＮ［２］（＝Ｐ′［２］）
を計算し、復号文データＰ′［２］を出力する。

【００８５】（４）次に、第４の排他的論理和部１１４
ｂは、ＬＦＳＲ２の格納値と受信した暗号文データＣ′
［２］との排他的論理和を求め、元のＬＦＳＲ２に格納
する。第２の擬似乱数生成器１０２ｂは擬似乱数データ
ＰＮ［３］を生成し、第２の排他的論理和部１１３は、
排他的論理和Ｃ′［３］＾ＰＮ［３］（＝Ｐ′［３］）
を計算し、復号文データＰ′［３］を出力する。

【００８６】（５）今度は、ＬＦＳＲ３の格納値と暗号
文データＣ′［３］との排他的論理和を求め、ＬＦＳＲ
３に格納する。第２の擬似乱数生成器１０２ｂは擬似乱
数データＰＮ［４］を生成し、第２の排他的論理和部１
１３は復号文データＰ′［４］を出力する。

【００８７】（６）これ以降は、第２の擬似乱数生成器
１０２ｂは線形フィードバックレジスタ（ＬＦＳＲ）に
対する暗号文データＣ′［ｉ］の融合は行わず、通常の
動作を行う。したがって、これ以降の動作は第１の従来
例と同様となる。そして、第２の排他的論理和部１１３
においては、排他的論理和Ｃ′［ｉ］＾ＰＮ［ｉ］（＝
Ｐ′［ｉ］）により復号文データＰ′［ｉ］を出力す
る。

【００８８】以上の説明において、復号部１０１が受信
した暗号文データＣ′［ｉ］が暗号部１００の送信した
暗号文データＣ［ｉ］と同一であれば、暗号文データ
Ｃ′［ｉ］が内部状態に融合される第２の擬似乱数生成
器１０２ｂが生成する擬似乱数データＰＮ［ｉ］は暗号
部１００側と同一となり、第２の排他的論理和部１１３
によって復号化された復号文データＰ′［ｉ］は元の平
文データＰ［ｉ］と一致することになる。

【００８９】なお、復号部１０１側の第２の擬似乱数生
成器１０２ｂにおいて、どの暗号文データをどの線形フ
ィードバックレジスタ（ＬＦＳＲ）にどのビット位置か
らどのビット数で融合するかは、暗号部１００との間で
事前の取り決めにより定めておくことが必要である。そ
して、この取り決めそのものを共通の秘密の鍵として利
用するようにしてもよい。

【００９０】次に、この第１の実施例の逐次暗号方式の
安全性について説明する。

【００９１】この逐次暗号方式における第１および第２
の擬似乱数生成器１０２ａ，１０２ｂの出力は、最初の
１バイトの擬似乱数データＰＮ［０］についてはすべて
のフレームで同じであるが、その後は、暗号文データＣ
［ｉ］，Ｃ′［ｉ］の内容に従って変化する。つまり、
擬似乱数生成器に融合される暗号文データがその都度に
おいて相違すれば、２バイト目以降に生成される擬似乱
数列もその都度において相違することとなり、擬似乱数
列の種類数が非常に多い状態となる。

【００９２】各線形フィードバックレジスタ（ＬＦＳ
Ｒ）を互いに素であるビット数のＭ系列生成ＬＦＳＲと
し、非線形変換部１１１ａ，１１１ｂを桁上げ付きの加
算で実現したリュッペルの方法では、擬似乱数列の周期
は各ＬＦＳＲの取り得るすべての値とほぼ同じである。
図２の（６）のタイミングでＬＦＳＲ０，ＬＦＳＲ１，
ＬＦＳＲ２，ＬＦＳＲ３の取り得る値は、４バイト（３
２ビット）の暗号文データを融合された後であるので、
２³²通りとなる。したがって、ＰＮ［５］から後の擬似
乱数列は２³²通りもあり、ある平文データＰ［ｉ］と暗
号文データＣ［ｉ］との関係が解読者に入手されそのと
きの擬似乱数データＰＮ［ｉ］がたとえ暴露されたとし
ても、それはその場限りのものであるに過ぎず、決して
任意の暗号文データの解読が可能となるものではない。
融合する暗号文データＣ［ｉ］のビット数を多くするこ
とによって、生成できる擬似乱数列の種類数を充分に多
くでき、逐次暗号方式の安全性が高いものとなる。ま
た、この第１の実施例を実現するに当たって、第１の従
来例（図５）に付加する要素はわずかですむ。

【００９３】なお、上記実施例では第３および第４の排
他的論理和部１１４ａ，１１４ｂに暗号文データＣ
［ｉ］，Ｃ′［ｉ］を入力することで暗号文データＣ
［ｉ］，Ｃ′［ｉ］を第１および第２の擬似乱数生成器
１０２ａ，１０２ｂの内部状態に融合させるように構成
したが、これに代えて、決められたビット位置から始ま
る決められたビット数の平文データＰ［ｉ］および復号
文データＰ′［ｉ］を内部状態に融合させるように構成
してもよい。

【００９４】第２の実施例 この第２の実施例は、通信路上でフレームの途中にビッ
ト誤りや、ビットの脱落等が生じた場合に復号部（受信
側）で正常状態に自動復帰するようにした自己同期型の
逐次暗号方式である。なお、この例も第２の従来例と同
様、バイト単位での処理を行っているため、ビット単位
の同期ずれには対応していない。勿論処理をビット単位
とすると、この問題は解決される。

【００９５】図３は第２の実施例に係る逐次暗号方式の
構成図である。図３において、２００は暗号部（送信
側）、２０１は復号部（受信側）である。また、２０２
ａは暗号部２００における第１の擬似乱数生成器、２０
２ｂは復号部２０１における第２の擬似乱数生成器であ
る。第１の擬似乱数生成器２０２ａは、４つの線形フィ
ードバックレジスタ（ＬＦＳＲ）２０３ａ〜２０６ａと
それらの出力を非線形に結合して擬似乱数を生成する非
線形変換部２１１ａとから構成されている。２０７ａ〜
２１０ａは各線形フィードバックレジスタ（ＬＦＳＲ）
２０３ａ〜２０６ａに初期値Ｋ０〜Ｋ３を格納するため
の第１の初期値格納部である。第２の擬似乱数生成器２
０２ｂも同様に、４つの線形フィードバックレジスタ
（ＬＦＳＲ）２０３ｂ〜２０６ｂとそれらの出力を非線
形に結合して擬似乱数を生成する非線形変換部２１１ｂ
とから構成されている。２０７ｂ〜２１０ｂは各線形フ
ィードバックレジスタ（ＬＦＳＲ）２０３ｂ〜２０６ｂ
に暗号部２００と同じ初期値Ｋ０〜Ｋ３を格納するため
の第２の初期値格納部である。

【００９６】２１２は暗号部２００において平文データ
Ｐ［ｉ］と第１の擬似乱数生成器２０２ａからの擬似乱
数データＰＮ［ｉ］との排他的論理和を計算して暗号文
データＣ［ｉ］を作成する「暗号文データ算出部」とし
ての第１の排他的論理和部、２１３は復号部２０１にお
いて受信した暗号文データＣ′［ｉ］と第２の擬似乱数
生成器２０２ｂから出力された前記と同じ擬似乱数デー
タＰＮ［ｉ］との排他的論理和を計算して復号文データ
Ｐ′［ｉ］（元の平文データ）を求める「復号文データ
算出部」としての第２の排他的論理和部である。

【００９７】２１４ａは暗号部２００において第１の初
期値格納部２０７ａ〜２１０ａのうちのいずれかのもの
の格納値と暗号文データＣ［ｉ］との排他的論理和を計
算しその計算結果をその初期値格納部に対応している線
形フィードバックレジスタ（ＬＦＳＲ）に格納する第３
の排他的論理和部、２１４ｂは復号部２０１において第
２の初期値格納部２０７ｂ〜２１０ｂのうちのいずれか
のものの格納値と暗号文データＣ′［ｉ］との排他的論
理和を計算しその計算結果をその初期値格納部に対応し
ている線形フィードバックレジスタ（ＬＦＳＲ）に格納
する第４の排他的論理和部である。

【００９８】次に、図３に示した第２の実施例による逐
次暗号方式の動作を図４の状態説明図を用いて説明す
る。なお、ここでは、擬似乱数生成器２０２ａ，２０２
ｂは一回の処理当たり１バイトの擬似乱数を生成するも
のとする。また、各線形フィードバックレジスタ（ＬＦ
ＳＲ）２０３ａ〜２０６ａおよび２０３ｂ〜２０６ｂの
データ長は１バイト以上とする。

【００９９】まず、暗号部２００での動作を説明する。

【０１００】（１）第１の擬似乱数生成器２０２ａは、
フレームの先頭において４つの各線形フィードバックレ
ジスタ（ＬＦＳＲ）２０３ａ〜２０６ａに初期値を設定
する。つまり、ＬＦＳＲ０，ＬＦＳＲ１，ＬＦＳＲ２，
ＬＦＳＲ３に初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３を設定す
る。この状態から、第１の擬似乱数生成器２０２ａは１
回の動作を行い、１バイトの擬似乱数データＰＮ［０］
を生成する。第１の排他的論理和部２１２は、この擬似
乱数データＰＮ［０］と１バイトの平文データＰ［０］
との排他的論理和Ｐ［０］＾ＰＮ［０］（＝Ｃ［０］）
を計算し、暗号文データＣ［０］を作成して送出する。

【０１０１】（２）第３の排他的論理和部２１４ａは、
ＬＦＳＲ０に対応した第１の初期値格納部２０７ａから
初期値Ｋ０を取り出し、これと暗号文データＣ［０］と
の排他的論理和Ｋ０＾Ｃ［０］を求め、それを元のＬＦ
ＳＲ０に格納する。なお、（１）において他のＬＦＳＲ
１，ＬＦＳＲ２，ＬＦＳＲ３の格納値はそれぞれ変化し
て１回動作後の状態となる。図４ではこの変化を矢印で
示している。第１の擬似乱数生成器２０２ａは、この状
態からさらに１回の動作を行い、１バイトの擬似乱数デ
ータＰＮ［１］を生成する。第１の排他的論理和部２１
２では排他的論理和Ｐ［１］＾ＰＮ［１］（＝Ｃ
［１］）を計算し、暗号文データＣ［１］を作成し送出
する。

【０１０２】（３）第３の排他的論理和部２１４ａは、
ＬＦＳＲ１に対応した第１の初期値格納部２０８ａから
初期値Ｋ１を取り出し、これと暗号文データＣ［１］と
の排他的論理和Ｋ１＾Ｃ［１］を求め、それを元のＬＦ
ＳＲ１に格納する。他のＬＦＳＲ０，ＬＦＳＲ２，ＬＦ
ＳＲ３の格納値は（２）での動作後の状態のままであ
る。第１の擬似乱数生成器２０２ａは、この状態からさ
らに１回の動作を行って擬似乱数データＰＮ［２］を生
成する。第１の排他的論理和部２１２では排他的論理和
Ｐ［２］＾ＰＮ［２］（＝Ｃ［２］）を計算し、暗号文
データＣ［２］を作成し送出する。

【０１０３】（４）次に、第３の排他的論理和部２１４
ａは、ＬＦＳＲ２に対応した第１の初期値格納部２０９
ａから初期値Ｋ２を取り出し、これと暗号文データＣ
［２］との排他的論理和Ｋ２＾Ｃ［２］を求め、それを
元のＬＦＳＲ２に格納する。第１の擬似乱数生成器２０
２ａはさらに１回の動作を行って擬似乱数データＰＮ
［３］を生成し、第１の排他的論理和部２１２では排他
的論理和Ｐ［３］＾ＰＮ［３］（＝Ｃ［３］）を計算
し、暗号文データＣ［３］を作成し送出する。

【０１０４】（５）第３の排他的論理和部２１４ａは、
ＬＦＳＲ３に対応した第１の初期値格納部２１０ａから
初期値Ｋ３を取り出し、これと暗号文データＣ［３］と
の排他的論理和Ｋ３＾Ｃ［３］を求め、それを元のＬＦ
ＳＲ３に格納する。第１の擬似乱数生成器２０２ａはさ
らに１回の動作を行って擬似乱数データＰＮ［４］を生
成し、第１の排他的論理和部２１２では排他的論理和Ｐ
［４］＾ＰＮ［４］（＝Ｃ［４］）を計算し、暗号文デ
ータＣ［４］を作成し送出する。

【０１０５】以下、（６）〜（９）で上記の（２）〜
（５）と同様の処理を行う。つまり、 （６）第３の排他的論理和部２１４ａは初期値Ｋ０と暗
号文データＣ［４］との排他的論理和を求め、元のＬＦ
ＳＲ０に格納し、第１の擬似乱数生成器２０２ａは擬似
乱数データＰＮ［５］を生成し、第１の排他的論理和部
２１２は排他的論理和Ｐ［５］＾ＰＮ［５］（＝Ｃ
［５］）より暗号文データＣ［５］を作成する。

【０１０６】（７）第３の排他的論理和部２１４ａは初
期値Ｋ１と暗号文データＣ［５］との排他的論理和を求
め、元のＬＦＳＲ１に格納し、第１の擬似乱数生成器２
０２ａは擬似乱数データＰＮ［６］を生成し、第１の排
他的論理和部２１２は排他的論理和Ｐ［６］＾ＰＮ
［６］（＝Ｃ［６］）より暗号文データＣ［６］を作成
する。

【０１０７】（８）第３の排他的論理和部２１４ａは初
期値Ｋ２と暗号文データＣ［６］との排他的論理和を求
め、元のＬＦＳＲ２に格納し、第１の擬似乱数生成器２
０２ａは擬似乱数データＰＮ［７］を生成し、第１の排
他的論理和部２１２は排他的論理和Ｐ［７］＾ＰＮ
［７］（＝Ｃ［７］）より暗号文データＣ［７］を作成
する。

【０１０８】（９）第３の排他的論理和部２１４ａは初
期値Ｋ３と暗号文データＣ［７］との排他的論理和を求
め、元のＬＦＳＲ３に格納し、第１の擬似乱数生成器２
０２ａは擬似乱数データＰＮ［８］を生成し、第１の排
他的論理和部２１２は排他的論理和Ｐ［８］＾ＰＮ
［８］（＝Ｃ［８］）より暗号文データＣ［８］を作成
する。

【０１０９】これ以降も同様の処理を繰り出し実行す
る。

【０１１０】次に、復号部２０１での動作を説明する。

【０１１１】（１）復号部２０１における第２の擬似乱
数生成器２０２ｂは、フレームの先頭において４つの各
線形フィードバックレジスタ（ＬＦＳＲ）２０３ｂ〜２
０６ｂの初期値を設定する。暗号部２００側と同様に４
つの線形フィードバックレジスタをＬＦＳＲ０，ＬＦＳ
Ｒ１，ＬＦＳＲ２，ＬＦＳＲ３とすると、それぞれの初
期値として暗号部２００側と同じ初期値Ｋ０，Ｋ１，Ｋ
２，Ｋ３を設定する。

【０１１２】この初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３は暗号
部２００と復号部２０１とで共通の秘密の鍵である。

【０１１３】初期値Ｋ０，Ｋ１，Ｋ２，Ｋ３がＬＦＳＲ
０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３に設定される
と、第２の擬似乱数生成器２０２ｂは、その状態から１
回の動作を行い、暗号部２００側と同じ１バイトの擬似
乱数データＰＮ［０］を生成する。第２の排他的論理和
部２１３では、受信した暗号文データＣ′［０］と擬似
乱数データＰＮ［０］との排他的論理和Ｃ′［０］＾Ｐ
Ｎ［０］（＝Ｐ′［０］）を計算し、復号文データＰ′
［０］を出力する。この場合、復号部１０１で受信した
暗号文データＣ′［０］が暗号部１００で送出した暗号
文データＣ［０］と同じであれば、復号文データＰ′
［０］は元の平文データＰ［０］と同じになる。

【０１１４】（２）復号部２０１における第４の排他的
論理和部２１４ｂは、暗号部２００側と同様に、ＬＦＳ
Ｒ０に対応した第２の初期値格納部２０７ｂから初期値
Ｋ０を取り出し、これと暗号文データＣ′［０］との排
他的論理和Ｋ０＾Ｃ′［０］を求め、元のＬＦＳＲ０に
格納する。第２の擬似乱数生成器２０２ｂは、この状態
からさらに１回の動作を行い、１バイトの擬似乱数デー
タＰＮ［１］を生成する。第２の排他的論理和部２１３
では、排他的論理和Ｃ′［１］＾ＰＮ［１］（＝Ｐ′
［１］）を計算し、復号文データＰ′［１］を出力す
る。

【０１１５】（３）第４の排他的論理和部２１４ｂは、
ＬＦＳＲ１から初期値Ｋ１を取り出し、これと暗号文デ
ータＣ′［１］との排他的論理和Ｋ１＾Ｃ′［１］を求
め、元のＬＦＳＲ１に格納する。第２の擬似乱数生成器
２０２ｂは擬似乱数データＰＮ［２］を生成し、第２の
排他的論理和部２１３は、排他的論理和Ｃ′［２］＾Ｐ
Ｎ［２］（＝Ｐ′［２］）を計算し、復号文データＰ′
［２］を出力する。

【０１１６】（４）次に、第４の排他的論理和部１１４
ｂは、ＬＦＳＲ２から初期値Ｋ２を取り出し、これと暗
号文データＣ′［２］との排他的論理和Ｋ２＾Ｃ′
［２］を求め、元のＬＦＳＲ２に格納する。第２の擬似
乱数生成器２０２ｂは擬似乱数データＰＮ［３］を生成
し、第２の排他的論理和部２１３は、排他的論理和Ｃ′
［３］＾ＰＮ［３］（＝Ｐ′［３］）を計算し、復号文
データＰ′［３］を出力する。

【０１１７】（５）今度は、第４の排他的論理和部１１
４ｂは、ＬＦＳＲ３から初期値Ｋ３を取り出し、これと
暗号文データＣ′［３］との排他的論理和Ｋ３＾Ｃ′
［３］を求め、元のＬＦＳＲ３に格納する。第２の擬似
乱数生成器２０２ｂは擬似乱数データＰＮ［４］を生成
し、第２の排他的論理和部２１３は、排他的論理和Ｃ′
［４］＾ＰＮ［４］（＝Ｐ′［４］）を計算し、復号文
データＰ′［４］を出力する。

【０１１８】以下、（６）〜（９）で上記の（２）〜
（５）と同様の処理を行う。つまり、 （６）第４の排他的論理和部２１４ｂは初期値Ｋ０と暗
号文データＣ′［４］との排他的論理和を求め、元のＬ
ＦＳＲ０に格納し、第２の擬似乱数生成器２０２ｂは擬
似乱数データＰＮ［５］を生成し、第２の排他的論理和
部２１３は排他的論理和Ｃ′［５］＾ＰＮ［５］を計算
し、復号文データＰ′［５］を出力する。

【０１１９】（７）第４の排他的論理和部２１４ｂは初
期値Ｋ１と暗号文データＣ′［５］との排他的論理和を
求め、元のＬＦＳＲ１に格納し、第２の擬似乱数生成器
２０２ｂは擬似乱数データＰＮ［６］を生成し、第２の
排他的論理和部２１３は排他的論理和Ｃ′［６］＾ＰＮ
［６］（＝Ｐ′［６］）を計算し、復号文データＰ′
［６］を出力する。

【０１２０】（８）第４の排他的論理和部２１４ｂは初
期値Ｋ２と暗号文データＣ′［６］との排他的論理和を
求め、元のＬＦＳＲ２に格納し、第２の擬似乱数生成器
２０２ｂは擬似乱数データＰＮ［７］を生成し、第２の
排他的論理和部２１３は排他的論理和Ｃ′［７］＾ＰＮ
［７］（＝Ｐ′［７］）を計算し、復号文データＰ′
［７］を出力する。

【０１２１】（９）第４の排他的論理和部２１４ｂは初
期値Ｋ３と暗号文データＣ′［７］との排他的論理和を
求め、元のＬＦＳＲ３に格納し、第２の擬似乱数生成器
２０２ｂは擬似乱数データＰＮ［８］を生成し、第２の
排他的論理和部２１３は排他的論理和Ｃ′［８］＾ＰＮ
［８］（＝Ｐ′［８］）を計算し、復号文データＰ′
［８］を出力する。

【０１２２】これ以降も同様の処理を繰り出し実行す
る。

【０１２３】以上の説明において、復号部２０１が受信
した暗号文データＣ′［ｉ］が暗号部２００の送信した
暗号文データＣ［ｉ］と同一であれば、初期値と受信し
た暗号文データとの排他的論理和が内部状態に融合され
る第２の擬似乱数生成器２０２ｂが生成する擬似乱数デ
ータＰＮ［ｉ］は暗号部２００側と同一となり、第２の
排他的論理和部２１３によって復号化された復号文デー
タＰ′［ｉ］は元の平文データＰ［ｉ］と一致すること
になる。

【０１２４】なお、復号部２０１側の第２の擬似乱数生
成器２０２ｂにおいて、どの暗号文データをどの線形フ
ィードバックレジスタ（ＬＦＳＲ）にどのビット位置か
らどのビット数で融合するかは、暗号部２００との間で
事前の取り決めにより定めておくことが必要である。そ
して、この取り決めそのものを共通の秘密の鍵として利
用するようにしてもよい。

【０１２５】この第２の実施例においては、例えば通信
路上で暗号文データＣ［０］にビット誤りが生じた場
合、復号部２０１では図４の（２）〜（５）の間、ビッ
ト誤りが継続する。つまり、復号文データＰ′［０］〜
Ｐ′［４］の結果は、もとの平文データＰ［０］〜Ｐ
［４］とは異なったものとなる。しかし、（６）におい
てＬＦＳＲ０の格納値をＫ０＾Ｃ［４］に再設定するた
め、これ以降は正しい復号結果が出力されることにな
る。

【０１２６】したがって、この実施例は、正しく暗号文
データが復号部２０１に送られていれば、暗号部２００
側と復号部２０１側との同期がとれる自己同期型の逐次
暗号方式となっている。それゆえ、何も各フレームの先
頭ごとに暗号部２００および復号部２０１で各ＬＦＳＲ
０，ＬＦＳＲ１，ＬＦＳＲ２，ＬＦＳＲ３の初期化を行
う必要はなく、両者別々に動作を継続すればよい。さら
に、第２の実施例では線形フィードバックレジスタ（Ｌ
ＦＳＲ）を有する擬似乱数生成器を用いた構成としてい
るので、同じ自己同期型の逐次暗号方式であっても、第
２の従来例に比べて実現規模が小さくてよく、しかも、
処理速度が速いという利点がある。

【０１２７】以上、本発明を２つの実施例によって詳細
に説明したが、本発明は上記実施例に限定されるもので
はなく、次の点で拡張することができる。

【０１２８】 第１および第２の実施例において、暗
号側、復号側はそれぞれ入力の平文、暗号文に生成した
疑似乱数を排他的論理和で加えている。この部分は、暗
号側を一般の加算、復号側を減算としてもよい。

【０１２９】 第１および第２の実施例においては、
１回の処理で１バイトの擬似乱数データを生成する擬似
乱数生成器を用いているが、生成する擬似乱数データの
ビット数は何ビットであってもよい。

【０１３０】 第１の実施例においては、擬似乱数生
成器への内部状態への融合のためにフレームの先頭にお
いて４バイト分の暗号文データを擬似乱数生成器にフィ
ードバックしているが、このフィードバックするものは
暗号文データに代えて平文データや復号文データであっ
てもよいし、バイト数は何バイトでもよい。また、継続
して入力する必要もなく、決められたビット位置に順番
に入力するようにしてもよい。ただし、これらの情報は
暗号側と復号側とで共有する必要がある。

【０１３１】 第２の実施例においては、暗号文デー
タを１バイトずつ各ＬＦＳＲに順番に入力しているが、
これは任意の長さとしてもよいし、また、継続して入力
する必要はなく、決められた時刻に（タイミングで）入
力するようにしてもよい。ただし、これらの情報は暗号
側と復号側とで共有する必要がある。

【０１３２】 第１および第２の実施例においては、
擬似乱数生成器を４つの線形フィードバックレジスタ
（ＬＦＳＲ）と１つの非線形変換部との組み合わせで実
現したが、これに限定する必要はなく、擬似乱数生成器
の構成は任意である。

【０１３３】 第１および第２の実施例においては、
暗号文データを擬似乱数生成器の４つのＬＦＳＲに順番
に融合しているが、この順序は任意である。ただし、こ
の情報は暗号側と復号側とで共有する必要がある。

【０１３４】

【発明の効果】以上のように、請求項１または請求項４
の発明によれば、フレームごとに初期化を行っているた
め、フレームの脱落が生じても次のフレームで正常状態
に復帰することができるのはもちろん、フレームの先頭
で擬似乱数生成器の内部状態に暗号文データもしくは平
文データ，復号文データを融合し、その融合データを次
の擬似乱数データの生成に関与させているから、生成さ
れる擬似乱数データの系列の種類数を非常に多くするこ
とができ、解読者が一組の平文データと暗号文データと
の関係を入手しそれに対応した擬似乱数データを解読し
たとしても、他の暗号文データが解読されてしまうこと
を確実に防止することができる。

【０１３５】請求項２の発明によれば、暗号部と復号部
に共通の秘密の鍵を、擬似乱数生成器への初期値と融合
すべきビット位置およびビット数としてあるので、解読
をよりむずかしいものとし、逐次暗号方式の安全性を高
めることができる。

【０１３６】請求項６の発明によれば、暗号部と復号部
とで共有している秘密の鍵を初期値格納部の初期値とし
て設定し、かつ、その初期値と暗号文データとの融合値
を擬似乱数生成器の内部状態として設定するから、通信
路上でビット誤りが生じてもその誤りから自動復帰する
ことができ、各フレームの先頭で初期値の設定し直しを
する必要がないので、解読に対する安全性をより高める
ことができる。

【０１３７】請求項３または請求項７の発明によれば、
擬似乱数生成器を線形フィードバックレジスタと非線形
変換部の組み合わせで構成してあるので、実現規模を小
さくして高速処理を可能にすることができる。

【図面の簡単な説明】

【図１】本発明の第１の実施例に係る逐次暗号方式の構
成図である。

【図２】第１の実施例における逐次暗号方式の動作説明
に供する状態説明図である。

【図３】本発明の第２の実施例に係る自己同期型の逐次
暗号方式の構成図である。

【図４】第２の実施例における逐次暗号方式の動作説明
に供する状態説明図である。

【図５】ＬＦＳＲを用いた第１の従来例に係る逐次暗号
方式の構成図である。

【図６】ブロック暗号のＣＦＢモードを用いた第２の従
来例の自己同期型の逐次暗号方式の構成図である。

【符号の説明】

１００…暗号部 １０１…復号部 １０２ａ…第１
の擬似乱数生成器 １０２ｂ…第２の擬似乱数生成器 １０３ａ〜１０６
ａ…線形フィードバックレジスタ（ＬＦＳＲ） １０
３ｂ〜１０６ｂ…線形フィードバックレジスタ（ＬＦＳ
Ｒ） １０７ａ〜１１０ａ…第１の初期値格納部
１０７ｂ〜１１０ｂ…第２の初期値格納部 １１１
ａ，１１１ｂ…非線形変換部 １１２…第１の排他的
論理和部 １１３…第２の排他的論理和部 １１４
ａ…第３の排他的論理和部 １１４ｂ…第４の排他的
論理和部 ２００…暗号部 ２０１…復号部 ２
０２ａ…第１の擬似乱数生成器 ２０２ｂ…第２の擬
似乱数生成器 ２０３ａ〜２０６ａ…線形フィードバ
ックレジスタ（ＬＦＳＲ） ２０３ｂ〜２０６ｂ…線形フィードバックレジスタ（Ｌ
ＦＳＲ） ２０７ａ〜２１０ａ…第１の初期値格納部
２０７ｂ〜２１０ｂ…第２の初期値格納部 ２１１ａ，２１１ｂ…非線形変換部 ２１２…第１の
排他的論理和部 ２１３…第２の排他的論理和部 ２１４ａ…第３の排
他的論理和部 ２１４ｂ…第４の排他的論理和部

Claims (7)

【特許請求の範囲】
1. 【請求項１】 内部状態をもちその内部状態によって決
   定される擬似乱数列を生成するとともに内部状態を更新
   する第１の擬似乱数生成器と、前記第１の擬似乱数生成
   器の内部状態の初期値を格納する第１の初期値格納部
   と、平文データと前記第１の擬似乱数生成器から出力さ
   れる擬似乱数データとの和を暗号文データとして計算し
   送出する暗号文データ算出部とから構成された暗号部
   と、内部状態をもちその内部状態によって決定される擬
   似乱数列を生成するとともに内部状態を更新する第２の
   擬似乱数生成器と、前記第２の擬似乱数生成器の内部状
   態の初期値を格納する第２の初期値格納部と、受信した
   暗号文データと前記第２の擬似乱数生成器から出力され
   る擬似乱数データとの差を復号文データとして計算し出
   力する復号文データ算出部とから構成された復号部とを
   備え、前記第１および第２の初期値格納部は互いに同一
   の初期値を格納し、前記第１および第２の擬似乱数生成
   器はそれぞれ各フレームの先頭で各々前記第１および第
   ２の初期値格納部の格納値を内部状態に設定するととも
   に決められたビット位置から始まる決められたビット数
   の前記暗号文データを前記内部状態に融合するように構
   成されていることを特徴とする逐次暗号方式。
2. 【請求項２】 前記第１および第２の擬似乱数生成器に
   設定する初期値と、内部状態に暗号文データを融合する
   ビット位置およびビット数とを前記暗号部と復号部にお
   ける共通の秘密の鍵とすることを特徴とする請求項１に
   記載の逐次暗号方式。
3. 【請求項３】 前記第１および第２の擬似乱数生成器が
   複数の線形フィードバックレジスタとそれらの出力を非
   線形変換する非線形変換部とからなり、前記内部状態へ
   の融合が決められた線形フィードバックレジスタの格納
   値と決められたビット位置から始まる決められたビット
   数の暗号文データとの排他的論理和をとってその結果を
   もとの線形フィードバックレジスタに格納することであ
   り、その線形フィードバックレジスタの選択を前記暗号
   部と復号部における共通の秘密の鍵とすることを特徴と
   する請求項１に記載の逐次暗号方式。
4. 【請求項４】 前記第１および第２の擬似乱数生成器が
   それぞれ暗号文データに代えて、決められたビット位置
   から始まる決められたビット数の平文データおよび復号
   文データをそれぞれの内部状態に融合するように構成さ
   れていることを特徴とする請求項１から請求項３までの
   いずれか１項に記載の逐次暗号方式。
5. 【請求項５】 前記暗号文データ算出部が平文データと
   前記第１の擬似乱数生成器からの擬似乱数データとの排
   他的論理和をとって暗号文データを送出するものであ
   り、前記復号文データ算出部が受信した暗号文データと
   前記第２の擬似乱数生成器からの擬似乱数データとの排
   他的論理和をとって復号文データを出力するものである
   ように構成された請求項１から請求項４までのいずれか
   １項に記載の逐次暗号方式。
6. 【請求項６】 内部状態をもちその内部状態によって決
   定される擬似乱数列を生成するとともに内部状態を更新
   する第１の擬似乱数生成器と、前記第１の擬似乱数生成
   器の内部状態の初期値を格納する第１の初期値格納部
   と、平文データと前記第１の擬似乱数生成器から出力さ
   れる擬似乱数データとの和を暗号文データとして計算し
   送出する暗号文データ算出部とから構成された暗号部
   と、内部状態をもちその内部状態によって決定される擬
   似乱数列を生成するとともに内部状態を更新する第２の
   擬似乱数生成器と、前記第２の擬似乱数生成器の内部状
   態の初期値を格納する第２の初期値格納部と、受信した
   暗号文データと前記第２の擬似乱数生成器から出力され
   る擬似乱数データとの差を復号文データとして計算し出
   力する復号文データ算出部とから構成された復号部とを
   備え、前記第１および第２の初期値格納部は互いに同一
   の初期値を格納し、前記第１および第２の擬似乱数生成
   器はそれぞれ各初期値格納部の格納値と決められたビッ
   ト位置から始まる決められたビット数の前記暗号文デー
   タとの融合値を前記内部状態に設定するように構成され
   ていることを特徴とする逐次暗号方式。
7. 【請求項７】 前記第１および第２の擬似乱数生成器が
   複数の線形フィードバックレジスタとそれらの出力を非
   線形変換する非線形変換部とからなり、前記内部状態へ
   の融合値の設定が決められた線形フィードバックレジス
   タの格納値と決められたビット位置から始まる決められ
   たビット数の暗号文データとの排他的論理和をとってそ
   の結果をもとの線形フィードバックレジスタに設定する
   ことであり、その線形フィードバックレジスタの選択を
   前記暗号部と復号部における共通の秘密の鍵とすること
   を特徴とする請求項６に記載の逐次暗号方式。