JPH07193565A

JPH07193565A - 疑似乱数を用いた通信方法とその装置

Info

Publication number: JPH07193565A
Application number: JP5331241A
Authority: JP
Inventors: Takahisa Yamamoto; 貴久山本; Keiichi Iwamura; 恵市岩村
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 1993-12-27
Filing date: 1993-12-27
Publication date: 1995-07-28
Anticipated expiration: 2019-11-24
Also published as: JP3591857B2

Abstract

(57)【要約】【目的】安全な疑似乱数をより高速にかつ容易に生成
する疑似乱数を用いた通信方法とその装置を提供するこ
とを目的とする。【構成】疑似乱数生成装置１は、自乗剰余演算装置２
と論理演算装置３を備える。自乗剰余演算装置２は、初
期値ｙ0と剰余演算の法であるＮと互いに素である任意
の定数Ｒから、次式に示す演算を連鎖的に行い、ｙ₁ ，
ｙ₂ ，…を生成する。ｙ_i+1 ＝（ｙ_i ²＋Ｍ・Ｎ）／Ｒ
（ｉ＝０，１，２，…）、ただし、Ｍ＝ｙ_i ²・Ｎ’ｍｏ
ｄＲ、Ｎ’＝−Ｎ^-1 ｍｏｄＲ。Ｒ(＝２^t)はＮと互
いに素な整数である。自乗剰余演算装置２のｙ_i+1出力
線５に、シーケンシャルに出力されるｙ₁,ｙ₂,…の各値
は論理演算装置３に入力される。論理演算装置３では、
入力されたｙ₁,ｙ₂,…の任意の（単数／複数）ビットを
切り出して、それを疑似乱数として出力線６に疑似乱数
を出力する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、暗号通信、特に、デー
タの秘匿、発信者・着信者の認証、暗号鍵の共有、零知
識証明プロトコル等で必要な乱数生成を用いた通信方法
とその装置に関する。また、例えば、モンテカルロシミ
ュレーション等で必要な乱数生成方法とその装置に関す
る。

【０００２】

【従来の技術】暗号通信で用いる乱数列は、ある時点ま
での生成した乱数列のみからその時点以降に生成する乱
数が容易に予測できないことが必要である。文献「Prim
alityand Cryptography」（Evangelos Kranakis著、Ｊ
ＯＨＮＷＩＬＥＹ＆ＳＯＮＳ発行、pp.108-137）に
は、上の条件を満たす疑似乱数系列が掲載されている。

【０００３】つまり、疑似乱数列をｂ₁ , ｂ₂ ，…とす
るとビットｂ_i は，Ｘ₀ を任意に与える初期値、ｐ，ｑ
をｐ≡ｑ≡３（ｍｏｄ４）である素数として、Ｘ_i+1 ＝Ｘ_i ² ｍｏｄＮ（ｉ＝０，１，２，…）（式１）ｂ_i ＝ｌｓｂ（Ｘ_i ）（ｉ＝１，２，…）（式２）によって与えれる（ただし、Ｎ＝ｐ・ｑ，ｌｓｂは最下
位ビットを表わす）。

【０００４】また、文献「暗号と情報セキュリティ」
（辻重男、笠原正雄編著、昭晃堂発行、pp.86 ）には、
別の疑似乱数列生成方法が掲載されている。

【０００５】つまり、疑似乱数列をｂ₁,ｂ₂,…とすると
ビットｂ_i は、ｘ₀ を任意に与える初期値、ｐ，ｑを素
数、ｅをＬ（Ｌはｐ−１とｑ−１の最小公倍数）と互い
に素な数として、ｘ_i+1 ＝ｘ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式３）ｂ_i ＝ｌｓｂ（ｘ_i ）（ｉ＝１，２，…）（式４）によって与えられる（ただし、Ｎ＝ｐ・ｑ，ｌｓｂは最
下位ビットを表わす）。

【０００６】これらの方法から生成された疑似乱数列ｂ
₁ ，ｂ₂ ，…，ｂ_i のみからｂ_i+1を求めることは、Ｎ
を因数分解するのと同程度の手間が必要であることが知
られている。つまり、ある時点までに生成された疑似乱
数列のみからその時点以降に生成されるべき乱数を求め
るための計算量は、Ｎを因数分解するのに必要な計算量
と同等であることが知られている。ただし、Ｎを因数分
解することを計算量的に困難にするためにはｐ，ｑを数
百ビット程度にする必要がある。このように、ある時点
までに生成された乱数列のみからその時点以降に生成さ
れるべき乱数を予測することが計算量的に困難となるよ
うな方法により生成された乱数は、暗号学的に安全な疑
似乱数と呼ばれている。

【０００７】式（１）、式（３）のような演算は、次式
で示される乗算剰余と呼ばれる演算に含まれる。Ｑ＝υ・ν ｍｏｄＮ（Ｑ，υ，νは整数）（式５）このような乗算剰余を効率的に演算する方法としてモン
ゴメリ法（P.L.Ｍontgomery “Ｍodular multiplicatio
n without trial division”Ｍath.of Computation,vo
l.44,1985,pp.519-521 参照）が知られている。このモ
ンゴメリ法を用いれば、法Ｎによる除算を行うことなく
演算できるので、通常の乗算剰余より効率的に処理でき
る。

【０００８】モンゴメリ法を用いた場合の乗算剰余をＭ
ｏｎｔ（υ，ν）とすると、Ｍｏｎｔ（υ，ν）は互い
に素な数であるＲを用いて、Ｍｏｎｔ（υ，ν）≡υ・ν・Ｒ^-1（ｍｏｄＮ）（式６）により与えられる。

【０００９】モンゴメリ法では、上式の計算結果Ｍｏｎ
ｔ（υ，ν）を得るためにＭｏｎｔ（υ，ν）＝（υ・ν＋Ｍ・Ｎ）／Ｒ（式７）ただし、Ｍ＝υ・ν・Ｎ’ｍｏｄＲ（式８）Ｎ’＝−Ｎ^-1 ｍｏｄＲ（式９）という演算を行っている。

【００１０】Ｎが奇数の場合、Ｒ＝２^t （ｔは任意の整
数）とすればＲとＮは互いに素な整数になる。この場
合、Ｒによる除算及び剰余演算は実質的な演算を必要と
せず、Ｍｏｎｔ（υ，ν）を乗算と加算のみで高速に計
算できる。

【００１１】モンゴメリ法を用いた場合の自乗剰余演算
の計算手順は、式（１）と同じパラメ−タとＮと互いに
素な数であるＲを用いて、ｙ₀ ＝Ｒ・Ｘ₀ ｍｏｄＮ（式１０）ｙ_i+1 ＝Ｒ^-1・ｙ_i ² ｍｏｄＮ（ｉ＝０，１，２，…）（式１１）によって与えられる。

【００１２】この場合、式（１）と式（１１）で生成さ
れる系列を比較すると、ｙ_i ＝Ｒ・Ｘ_i ｍｏｄＮ（ｉ＝０，１，２，…）（式１２）となり、式（１１）で生成される系列ｙi （ｉ＝０，
１，２，…）は、式（１）で生成される系列Ｘ_i （ｉ＝
０，１，２…）にＲを掛けたものになっている。よって
従来では、暗号学的に安全な疑似乱数系列として、Ｘ_i
の最下位ビットの系列であるｂ_i を生成するために、演
算で得られたｙ_i に対し、Ｘ_i ＝Ｒ^-1・ｙ_i ｍｏｄＮ（ｉ＝０，１，２，…）（式１３）という演算を行う必要があった。

【００１３】一方、式（３）は、式（５）に示したべき
乗剰余演算を繰り返すことによって実行することができ
る。具体的に乗算剰余の繰り返しによって、べき乗剰余
ｘ_i+1 ＝ｘ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…，ｓ）を
順次計算する手順は以下の[アルゴリズム１]に示すよう
になる。また、そのフローチャートを図１３に示す。た
だし、ただし、ｅをｋビットからなる整数でｅ＝［ｅ_k
ｅ_k-1…ｅ₂ ｅ₁ ］で表わすとする。 [アルゴリズム１] ＩＮＰＵＴｘ₀ ，ｅ，Ｎ、ｓ（**1）ＦＯＲｉ＝０ＴＯｓ（**2）ｘ_i+1 ＝１ＦＯＲｊ＝ｋＴＯ１ＩＦｅ_j ＝１ＴＨＥＮｘ_i+1＝ｘ_i+1・ｘ_i ｍｏｄＮＩＦｊ＞１ＴＨＥＮｘ_i+1＝ｘ_i+1・ｘ_i+1 ｍｏｄＮＮＥＸＴＯＵＴＰＵＴｘ_i+1 （＝ｘ_i ^e ｍｏｄＮ）ＮＥＸＴ（**9）

【００１４】ライン（**1）のＩＮＰＵＴ文では、ｘ₀、
ｅ、Ｎ、ｓの各値を入力する。ここで、ｓは剰余演算の
繰り返し数である。ライン（**2）のＦＯＲ文は、ライ
ン（**9）までの処理を、変数ｉに関して「０」から
「ｓ」まで繰り返すコマンドであり、べき乗剰余ｘ_i+1
（ｉ＝０，１，２，…，ｓ）を順次求める処理を繰り返
させる。

【００１５】次に、モンゴメリ法の計算手順を用いた乗
算剰余の繰り返しによるべき乗剰余ｘ_i+1 ＝ｘ_i ^e ｍｏ
ｄＮを計算する手順は以下のようになる。ただし、Ｒ
はＮと互いに素である整数とし、ｅは先程と同じくｋビ
ットからなる整数でｅ＝［ｅ _k ｅ_k-1 …ｅ₂ ｅ₁ ］で表
わせるとする。このアルゴリズムを実行すれば、式
（２）で得られる系列ｘ_i （ｉ＝０，１，２，…，ｓ）
を得ることができる。 [アルゴリズム２] ＩＮＰＵＴｘ₀ ，ｅ，Ｎ，ｓ，Ｒ_R ＝Ｒ² ｍｏｄＮＦＯＲｉ＝０ＴＯｓｙ_i＝Ｍｏｎｔ（ｘ_i ，Ｒ_R）（＊１）ｙ_i+1＝Ｍｏｎｔ（１，Ｒ_R）（＊２）ＦＯＲｊ＝ｋＴＯ１ＩＦｅ_j ＝１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1，ｙ_i）ＩＦｊ＞１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1，ｙ_i+1）ＮＥＸＴｘ_i+1 ＝Ｍｏｎｔ（ｙ_i+1，１）（＊３）ＯＵＴＰＵＴｘ_i+1 （＝ｘ_i ^e ｍｏｄＮ）ＮＥＸＴ [アルゴリズム２]に従って式（２）をモンゴメリ法によ
り計算する場合に、ｊに対するＦＯＲ−ＮＥＸＴ部分の
出力として得られる系列ｙ_i+1 （ｉ＝０，１，２，…，
ｓ）は、式（１）と同じパラメ−タとＮと互いに素な数
であるＲを用いて、ｙ₀ ＝Ｒ・ｘ₀ ｍｏｄＮ（式１４）ｙ_i+1 ＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式１５）と表わされる。

【００１６】この場合、式（３）で生成される系列ｘ
_i+1 （ｉ＝０，１，２，…）と式（１５）で生成される
系列ｙ_i+1 （ｉ＝０，１，２，…）とを比較すると、ｙ_i ＝Ｒ・ｘ_i ｍｏｄＮ（ｉ＝０，１，２，…）（式１６）となっている。つまり、[アルゴリズム２]に従って式
（３）をモンゴメリ法により計算する場合に、ｊに対す
るＦＯＲ−ＮＥＸＴ部分の出力として得られる系列ｙ
_i+1 （ｉ＝０，１，２，…ｓ）は、式（３）で得られる
系列ｘ_i+1 （ｉ＝０，１，２，…ｓ）に対して式（１
６）のような関係にある。

【００１７】よって、入力ｘ_iに対してモンゴメリ法を
用いないべき乗剰余演算の[アルゴリズム１]で得られる
演算結果ｘ_i+1（ｘ_i ^e ｍｏｄＮ）を、モンゴメリ法を
用いたべき剰余演算の[アルゴリズム２]により得るため
には、[アルゴリズム２]の式（＊１）により、ｘ_iをｙ_i
＝Ｍｏｎｔ（ｘ_i，Ｒ_R）（＝Ｒ・ｘ_i ｍｏｄＮ）に補
正し、式（＊３）により出力ｘ_i+1としてｊに対するＦ
ＯＲ−ＮＥＸＴ部分の出力として得られるｙ_i+1からｘ
_i+1＝Ｍｏｎｔ（ｙ_i+1，１）（＝Ｒ^-1・ｙ_i+1 ｍｏｄ
Ｎ）と補正する必要があった。

【００１８】

【発明が解決しようとする課題】しかしながら、上述し
た安全な疑似乱数生成方法を用いた場合には、ｐ，ｑを
数百ビット程度にする必要があるため演算量が大きく、
特に式（１）、式（３）部分の計算量が大きいため、高
速に疑似乱数を生成できず、その疑似乱数に基づいて通
信データの生成／再生を高速に行えないという問題があ
った。

【００１９】本発明は上記従来例に鑑みてなされたもの
で、安全な疑似乱数をより高速にかつ容易に生成し高速
に通信データの生成／再生を行う疑似乱数を用いた通信
方法とその装置を提供することを目的とする。

【００２０】

【課題を解決するための手段】上記目的を達成するた
め、本発明の疑似乱数を用いた通信方法とその装置は、
以下の構成を備える。即ち、所定の値Ｎを法とし、所定
の初期値Ｘ₀と、所定の値Ｃとに基づいて、漸化式Ｘ_i+1
＝Ｃ・Ｘ_i ² ｍｏｄＮをi=0,1,2,...,sの順で繰り返し
計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求める計算工程
と、前記数列から所定部分を抽出し、その抽出された抽
出データを疑似乱数データとする抽出工程と、前記疑似
乱数データに基づいて、通信データを生成／再生する通
信工程とを備える。

【００２１】また、別の発明は、所定の値Ｎを法とし、
所定の初期値Ｘ₀と、所定の値Ｃとに基づいて、漸化式
Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=0,1,2,...,sの順で繰
り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求め、前記
数列から所定部分を抽出し、その抽出された抽出データ
を疑似乱数データとすし、前記疑似乱数データに基づい
て、通信データを生成／再生する通信工程とを備える。

【００２２】また、さらに別の発明は、所定の値Ｎを法
とし、所定の初期値Ｘ0と、所定の値Ｃとに基づいて、
漸化式Ｘ_i+1＝Ｃ・Ｘ_i ² ｍｏｄＮをi=0,1,2,...,sの
順で繰り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求め
る計算手段と、前記数列から所定部分を抽出し、その抽
出された抽出データを疑似乱数データとする抽出手段
と、前記疑似乱数データに基づいて、通信データを生成
／再生する通信手段と、を備える。

【００２３】さらに別の発明は、所定の値Ｎを法とし、
所定の初期値Ｘ0と、所定の値Ｃとに基づいて、漸化式
Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=0,1,2,...,sの順で繰
り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求める計算
手段と、前記数列から所定部分を抽出し、その抽出され
た抽出データを疑似乱数データとする抽出手段と、前記
疑似乱数データに基づいて、通信データを生成／再生す
る通信手段と、を備える。

【００２４】

【作用】以上の構成において、所定の値Ｎを法とし、所
定の初期値Ｘ₀と、所定の値Ｃとに基づいて、漸化式Ｘ
_i+1＝Ｃ・Ｘ_i ² ｍｏｄＮをi=0,1,2,...,sの順で繰り
返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求め、前記数
列から所定部分を抽出し、その抽出された抽出データを
疑似乱数データとすし、前記疑似乱数データに基づい
て、通信データを生成／再生する。

【００２５】また、別の発明は、所定の値Ｎを法とし、
所定の初期値Ｘ₀と、所定の値Ｃとに基づいて、漸化式
Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=0,1,2,...,sの順で繰
り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を求め、前記
数列から所定部分を抽出し、その抽出された抽出データ
を疑似乱数データとし、前記疑似乱数データに基づい
て、通信データを生成／再生する。

【００２６】また、さらに別の発明は、所定の値Ｎを法
とし、所定の初期値Ｘ₀と、所定の値Ｃとに基づいて、
漸化式Ｘ_i+1＝Ｃ・Ｘ_i ² ｍｏｄＮをi=0,1,2,...,sの
順で繰り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を、計
算手段が求め、前記数列から所定部分を、抽出手段が抽
出し、その抽出された抽出データを疑似乱数データと
し、通信手段が、前記疑似乱数データに基づいて、通信
データを生成／再生する。

【００２７】さらに別の発明は、所定の値Ｎを法とし、
所定の初期値Ｘ₀と、所定の値Ｃとに基づいて、漸化式
Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=0,1,2,...,sの順で繰
り返し計算し、数列Ｘ₁,Ｘ₂,Ｘ₃,...Ｘ_s+1を、計算手段
が求め、前記数列から所定部分を、抽出手段が抽出し、
その抽出された抽出データを疑似乱数データとし、前記
疑似乱数データに基づいて、通信手段が通信データを生
成／再生する。

【００２８】

【実施例】以上説明した課題を解決する本発明の第１の
実施例について、以下、適宜図を参照しながら説明す
る。

【００２９】本実施例による疑似乱数生成方法は、暗号
学的に暗算な疑似乱数系列として式（１２）のｙ_i から
直接、 α_i ＝ｌｓｂ（ｙ_i ）（ｉ＝０，１，２，…）（式１７）によって得られたαi を用いることにより、式（１３）
の演算を省くことを可能にし、出力乱数の安全性を低下
させることなく疑似乱数の生成速度を向上させたもので
ある。

【００３０】式（１）で用いた疑似乱数生成の安全性
は、Ｘ_i+1 からｂ_i を求めることが非常に困難であるこ
と、つまりｂ_i がＸ_i+1のハードコアビットであること
を利用している。式（１１）、（１７）を用いた疑似乱
数生成の場合もＸi+1 にある定数Ｒを掛けたｙ_i+1 から
α_i を求めることは非常に困難である。つまり、α_iは
ｙ_i+1 のハードコアビットであるので、式（１１）、式
（１７）を用いた疑似乱数生成の安全性も、式（１）を
用いた疑似乱数生成と同程度である。

【００３１】以上のように本実施例によれば、式（１
３）の処理を行うことなく、式（１）と同程度の安全性
を有する疑似乱数列をより高速に、或はより小さな回路
規模で生成することを可能にし、本実施例の方法を用い
ることで、高速に通信データの生成／再生を行うことが
できる。

【００３２】次に、式（１１）、式（１７）を用いた疑
似乱数生成の安全性も式（１）を用いた疑似乱数生成と
同程度であることの証明を行う。その前に用いる記号等
を簡単に定義する。詳しくは、文献「現代暗号理論」
（池野、小山著、昭和６１年発行、電子情報通信学会、
１４−１５、９５−９６）参照されたい。・平方剰余：
Ｘ₂ ≡ｃ（ｍｏｄｐ）に解があるときｃはｐの平方剰
余、解がないときは平方非剰余という。

【００３３】・ルジャンドル記号（ｘ／ｐ）：ｐを素数
とし、Ｘ≠ ０（ｍｏｄｐ）のとき、（ｘ／ｐ）＝１ :ｘがｐの平方剰余の時 ―１ :ｘがｐの平方非剰余の時・Ｚ^* _N：Ｎと互いに素で０からＮ―１までの範囲の整
数。

【００３４】・ヤコビ記号（ｘ／Ｎ）：ｘ∈Ｚ^* _Nと、Ｎ
＝ｐ・ｑ（ｐ，ｑは素数）に対し、ヤコビ記号（ｘ／
N）は、ルジャンドル記号（ｘ／ｐ）を用いて、（ｘ／Ｎ）＝（ｘ／ｐ）（ｘ／ｑ）で表される。・Ｚ^* _N（＋１）＝｛ｘ∈Ｚ^* _N｜（ｘ／Ｎ）＝１｝・Ｚ^* _N（―１）＝｛ｘ∈Ｚ^* _N｜（ｘ／Ｎ）＝―１｝・Ｑ₁＝｛ｘ∈Ｚ^* _N｜（ｘ／ｐ）＝（ｘ／ｑ）＝１｝・Ｑ₂＝｛ｘ∈Ｚ^* _N｜（ｘ／ｐ）＝（ｘ／ｑ）＝―１｝・Ｑ₃＝｛ｘ∈Ｚ^* _N｜（ｘ／ｐ）＝―（ｘ／ｑ）＝１｝・Ｑ₄＝｛ｘ∈Ｚ^* _N｜（ｘ／ｐ）＝―（ｘ／ｑ）＝―
１｝式（１１）、式（１７）を用いた疑似乱数生成の安全性
が式（１）を用いた疑似乱数生成の安全性と同じである
ことを示すのは次の命題を証明することに等しい。 [命題]「式（１１）、（１７）より生成された疑似乱数
列α_i+1 ，α_i+2 ，…からα_i を正しく推測できるな
ら、任意のｃ（ｃ∈Ｚ^* _N（＋１））に対して、その平方
剰余を判定できる。」 [証明]Ｒ∈Ｑ₁の時、任意のｃ（ｃ∈Ｚ^* _N（＋１））に
対して、ｂ＝Ｒ・ｃｍｏｄＮｙ_i+1 ＝Ｒ^-1・ｂ² ｍｏｄＮとし、ｙ_i+1 を初期値として、式（１１）、式（１７）
によりα_i+1 ，α_i+2 ，…を生成する。

【００３５】このとき、ｂ∈Ｚ^* _N（＋１）ｙ_i+1∈Ｑ₁ となる。このとき、ｙ_i+1 ＝Ｒ^-1・ｚ² ｍｏｄＮｙ_i+1 ・Ｒ＝ｚ² ｍｏｄＮの解をＺ_j （ｊ＝１，２，３，４）（ただし、Ｚ_j∈Ｑ_j
）とすると、Ｚ₁ ≡−Ｚ₂ （ｍｏｄＮ）Ｚ₃ ≡−Ｚ₄ （ｍｏｄＮ）より、仮定を用いて、 α_i ＝ｌｓｂ（ｚ₁）を予想することができる。よって、 α_i ＝ｌｓｂ（ｂ）ならｂ∈Ｑ₁ そのときｃ∈Ｑ₁ α_i ≠ｌｓｂ（ｂ）ならｂ∈Ｑ₂ そのときｃ∈Ｑ₂ 同様にＲ∈Ｑ₂ ，Ｒ∈Ｑ₃ ，Ｒ∈Ｑ₄ の時も、ｃの平方
剰余性を判定できる。

【００３６】証明終わり。図１は本実施例による疑似乱
数生成装置１の構成を示す図である。疑似乱数生成装置
１は、自乗剰余演算装置２と、論理演算装置３から構成
される。

【００３７】自乗剰余演算装置２は、初期値ｙ₀ と剰余
演算の法であるＮと互いに素である任意の定数Ｒから、
次式に示す演算を連鎖的に行い、ｙ₁ ，ｙ₂ ，…を生成
する。ｙ_i+1 ＝Ｒ^-1・ｙ_i ² ｍｏｄＮ（ｉ＝０，１，２，…）（式１８）Ｎ＝ｐ・ｑ（式１９）ただし、ｐ、ｑは、ｐ≡ｑ≡３（ｍｏｄ４）である素
数。

【００３８】Ｒは、Ｎと互いに素な任意の数。生成され
たｙ₁ ，ｙ₂ ，…は、ｙ_i+1出力線５にシーケンシャル
に出力される。

【００３９】上式で表わされる演算方式は、前述のよう
にモンゴメリ法と呼ばれるものである。モンゴメリ法で
は、実際に計算結果ｙ_i+1 を得るために、次式の演算を
行う。ｙ_i+1 ＝（ｙ_i ²＋Ｍ・Ｎ）／Ｒ（ｉ＝０，１，２，…）（式２０）ただし、Ｍ＝ｙ_i ²・Ｎ’ｍｏｄＲ（式２１）Ｎ’＝−Ｎ^-1 ｍｏｄＲ（式２２）ここで、Ｎは奇数であるので、Ｒ＝２^t （ｔは任意の整
数）とすればＲとＮは互いに素な整数になる。この場
合、Ｒによる除算及び剰余演算は実質的な演算を必要と
せず、ｙ_i+1 を乗算と加算演算で高速に計算できる。

【００４０】自乗剰余演算装置２の構成としては、例え
ばハードウエアで構成する場合には、加算機と、乗算器
と、Ｒによる除算及び剰余演算のためのビットシフトを
行うシフタ等の基本演算器を備えることによって、容易
にモンゴメリの方法による演算を実行できる。さらに、
文献「モンゴメリー法を用いたべき乗アルゴリズムとシ
ストリックアレイ」（岩村、松本、今井；vol.92,No.13
4,pp.49-54,1992 ）に示される公知のモンゴメリ演算回
路を用いることもできる。

【００４１】自乗剰余演算装置２のｙ_i+1出力線５に、
シーケンシャルに出力されるｙ₁ ，ｙ₂ ，…の各値は論
理演算装置３に入力される。論理演算装置３では、入力
されたｙ₁,ｙ₂,…のそれぞれ下位log₂ｎ（但し、ｎはＮ
の２進表示による桁数）ビットの範囲にある任意の（単
数／複数）ビットを切り出して、それを疑似乱数として
出力線６に疑似乱数を出力する。例えば、下位log₂ｎビ
ット全てを疑似乱数としてもよいし、最下位ビットだけ
を疑似乱数として出力してもよい。

【００４２】論理演算装置３を、例えばハードウエアに
より構成する場合には、入力された入力されたｙ_i （ｉ
＝１，２，…）をパラレルでラッチし、その下位log₂ｎ
ビットを純にシリアルに出力するようなパラレル入力シ
リアル出力のシフトレジスタを用いることができる。

【００４３】図２は、第１の実施例である疑似乱数生成
方法をソフトウエアで実現するための疑似乱数生成プロ
グラムを搭載したデータ処理装置１５の構成を示す図で
ある。ここで、ＣＰＵ１０は、疑似乱数生成プログラム
を搭載したデータ処理装置１５全体の制御を行う。キー
ボード１１は、疑似乱数生成プログラムの起動コマンド
や疑似乱数生成プログラムのための各種パラメータ値な
どの入力を行う。ＲＯＭ１３には、本実施例の疑似乱数
を生成する疑似乱数生成プログラム等が予め格納されて
おり、ＣＰＵ１０によって読み出されながら実行され
る。ＲＡＭ１４は、疑似乱数生成プログラムを実行させ
るなどの作業領域であり、また疑似乱数生成結果が格納
される。

【００４４】第３図は、疑似乱数生成プログラムの処理
過程を説明するフローチャートである。以下このフロー
チャートに基づき疑似乱数生成プログラムの処理過程を
説明する。疑似乱数生成プログラムは、式（７）〜式
（９）の演算の実行を基本としている。

【００４５】ステップＳ１では、３（ｍｏｄ４）であ
る素数を任意に選び、ｐとｑに設定する。そして、ｐ・
ｑの乗算を行い、結果をＮに設定する。そして、Ｎと互
いに素な任意の数をＲに設定する。さらに、Ｒ＝２^tを
満たす「t」値を計算する。またさらに、「−Ｎ^-1 ｍｏ
ｄＲ」を計算して、結果をＮ’に設定する。

【００４６】ステップＳ２では、乱数生成のための任意
の初期値をｙ₀にセットする。

【００４７】ステップＳ３では、ｙ_i ²・Ｎ’ｍｏｄ２^t
の演算を行い、結果をＮ’に設定する。

【００４８】ステップＳ４では、乱数生成の繰り返し数
を示すｉを「０」に初期化する。

【００４９】ステップＳ５では、「ｙ_i ²・Ｎ’ｍｏｄ
２^t」を計算して、結果をＭに設定する。尚、ここで、
「ｙ_i ²・Ｎ’」を２^tで割る処理が基本になるので、除
算は「ｙ_i ²・Ｎ’」を「t」ビットシフト処理すればよ
いので高速に処理できる。

【００５０】ステップＳ６では、「（ｙ_i ²＋Ｍ・Ｎ）／
２^t」の演算を行い、結果をｙ_i+1に設定する。ここでの
除算も「t」ビットシフトが基本となるので高速に処理
できる。

【００５１】ステップＳ７では、ｙ_iから、所定数の所
定位置のビット列を切り出して、ｒａｎｄ（ｉ）に設定
する。尚、ｒａｎｄ（ｉ）は１次元の配列である。

【００５２】ステップＳ８では、ｉ値を所定のＥｎｄ値
と比較して、ｉ値がＥｎｄ値より小さければ、ステップ
Ｓ９へ進む。尚、Ｅｎｄ値は、予め生成したい乱数列の
量に対応して設定されている。これは、例えば、キーボ
ード１１からでもよいし、本疑似乱数生成プログラムを
呼び出す別のプログラムで設定してもよい。

【００５３】ステップＳ９では、次の乱数を生成するた
めにｉをカウントアップする。そして、ステップＳ５か
らの処理に戻り、次の乱数の生成を継続する。

【００５４】以上の処理を行うことで、配列領域ｒａｎ
ｄに一連の疑似乱数列が生成される。

【００５５】尚、モンゴメリ法による疑似乱数生成方法
を示してきたが、一般に自乗演算結果Ｘ²に任意の定数
Ｃを掛けた数Ｃ・Ｘ²に対し剰余演算を行い、その結果
得られるｙ＝Ｃ・Ｘ² ｍｏｄＮの所定ビットから疑似乱
数を生成することもできる。図４は、第２の実施例によ
る疑似乱数生成装置２０の構成を示す図である。疑似乱
数生成装置２０は、自乗剰余演算装置２１と論理演算装
置２２から構成される。

【００５６】自乗剰余演算装置２１は、初期値ｙ₀ と任
意の定数Ｃから、次式に基づく演算を連鎖的に行い、ｙ
1,ｙ2,…を生成する。ｙ_i+1 ＝Ｃ・ｙ_i ² ｍｏｄＮ（ｉ＝０，１，２，…）Ｎ＝ｐ・ｑただし、ｐ，ｑはｐ≡ｑ≡３（ｍｏｄ４）である素数。
図４の自乗剰余演算装置２１に示された演算、即ち、ｙ_i ² ｍｏｄＮＣ・ｙ_i ² ｍｏｄＮは、両者とも乗算剰余演算であるため、自乗剰余装置２
１を構成としては、乗算剰余演算を行えるものであれば
よい。特にハードウエアにより構成する場合には、文献
「並列処理によるＲＳＡ暗号装置の構成法」（岩村、松
本、今井；電子情報通信学会論文Ａ、vol.J75-A,No.8,p
p.1301-1311,1992）に示される公知の乗算剰余演算回路
を用いることもできる。自乗剰余演算装置からの出力
は、論理演算装置に入力される。論理演算装置では入力
されたｙ₁,ｙ₂,…のそれぞれ下位log₂ｎ（ただし、ｎは
Ｎの２進表示による桁数）ビットの範囲にある任意の
（複数／単数）ビットから疑似乱数を生成し出力する。

【００５７】論理演算装置２２は入力されたｙ₁,ｙ₂,…
のそれぞれ下位log₂ｎビットの範囲にある任意のビット
を疑似乱数として出力することができる。例えば、下位
log₂ｎビット全てを疑似乱数とすることも、最下位ビッ
トだけを疑似乱数として出力することもできる。

【００５８】以上、詳細に説明した様に本発明の実施例
によれば、暗号学的に安全な疑似乱数をモンゴメリ法に
より生成する場合、式（１１）により得られるｙi の所
定のビットを疑似乱数として用いることにより、安全性
を低下させることなく、従来必要であった式（１３）の
演算を不要にできる。そのことにより、従来と同程度の
安全性を有する疑似乱数列を高速に、或はより小さな回
路規模で生成することが可能である。

【００５９】以上説明した様に、本実施例の方法とその
装置で生成された疑似乱数を用いることで、高速に通信
データの生成／再生を行うことができる。

【００６０】［第２の実施例］第２の実施例による疑似
乱数生成器は、[アルゴリズム２]の式（＊３）で示され
た演算を省くことにより、式（３）と同程度の安全性を
有する疑似乱数列をより高速に、或はより小さな回路規
模で生成することを可能とすることを目的としている。

【００６１】まず、[アルゴリズム２]の式（＊３）で示
された演算を省いた時の[アルゴリズム３]を以下に示
す。 [アルゴリズム３] ＩＮＰＵＴｘ₀ ，ｅ，Ｎ，Ｒ_R ＝Ｒ² ｍｏｄＮｙ₀ ＝Ｍｏｎｔ（ｘ₀，Ｒ_R）ＦＯＲｉ＝０ＴＯｓｙ_i+1 ＝Ｍｏｎｔ（１，Ｒ_R ）ＦＯＲｊ＝ｋＴＯ１ＩＦｅ_j ＝１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1 ，ｙ_i ）ＩＦｊ＞１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1 ，ｙ_i+1 ）ＮＥＸＴＯＵＴＰＵＴｙ_i+1 （＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ）ＮＥＸＴこの[アルゴリズム３]を実行することによりえられる系
列ｙ_i （ｉ＝０，１，２，…，ｓ）は、式（１５）によ
り示される。式（＊３）を省略した場合の第５の実施例
による疑似乱数生成器は、暗号学的に疑似乱数系列とし
ての式（１５）のｙ_i から α_i ＝ｌｓｂ（ｙ_i ）（ｉ＝０，１，２，…）（式２３）によって得られたα_i を用いる。

【００６２】ここで、式（１５）と式（２３）を用いた
疑似乱数生成の安全性について考察する。式（３）で用
いた疑似乱数生成の安全性は、ｘ_i+1 からｂ_i を求める
ことが困難であること、つまりｂ_i がｘ_i+1 のハードコ
アビットであることを利用している。式（１５）で得ら
れる系列ｙ_i（ｉ＝０，１，２，…）は、式（３）で得
られる系列ｘ_i （ｉ＝０，１，２，…）に定数Ｒを掛け
てＮで剰余をとった値である（式（１６）参照）。よっ
て、ｘ_i+1 からｂ_i ＝ｌｓｂ（ｘ_i ）を求めることが非
常に困難であれば、ｘ_i+1 に定数Ｒを掛けてＮで剰余を
とったｙ_i+1 （＝Ｒ・ｘ_i+1 ｍｏｄＮ）からα_i＝ｌｓ
ｂ(ｙ_i)(ｌｓｂ(Ｒ・ｘ_i ｍｏｄＮ))を求めることも非
常に困難である。つまり、ａ_i はｙ_i+1のハードコアビ
ットであるので、式（１５）と式（２３）を用いた疑似
乱数生成の安全性も式（３）を用いた疑似乱数生成と同
程度である。

【００６３】次に、図５を用いて、[アルゴリズム３]を
実行するための処理フローを説明する。

【００６４】ステップＳ１０では、ｘ₀、ｅ、Ｎ、ｓの
各値を入力する。ここで、ｓは剰余演算の繰り返し数で
ある。

【００６５】ステップＳ１１では、Ｍｏｎｔ（ｘ₀，
Ｒ_R）の演算を行い、その結果をｙ₀に設定する。ここ
で、Ｍｏｎｔ（ｘ₀ ，Ｒ_R）は、ｘ₀ ，Ｒ_Rを変数とし、
式（７）、式（８）、式（９）の演算を行う関数であ
る。但し、式（９）は、予め計算しておくことができ、
Ｎ’は定数として扱えるため、実際には、式（７）、式
（８）を演算してＭｏｎｔ（ｘ₀ ，Ｒ_R）を求める。式
（７）、式（８）の演算において、法Ｒは予め２^tで表
現されているため、必要な除算は、ビットシフトで実行
できる。

【００６６】ステップＳ１２では、剰余演算の繰り返し
数のカウンタｉを、まず「０」に初期化する。そして、
このステップにエントリするごとに、カウンタｉをカウ
ントアップし、次のステップへ進む。カウントアップは
ｓまで行う。

【００６７】ステップＳ１３では、Ｍｏｎｔ（１，
Ｒ_R）の演算を行い、その結果をｙ_i+1に設定する。

【００６８】ステップＳ１４では、ｅの各ビットをポイ
ントするビットポインタｊを、まずｋに設定する。ここ
で、ｋはｅのビット長であり予め設定されているとす
る。そして、このステップにエントリするごとに、ビッ
トポインタｊをカウントダウンし、次のステップへ進
む。カウントダウンは１まで行う。

【００６９】ステップＳ１５では、ビットポインタｊで
指定されるｅのビットが「１」であるかどうかチェック
する。そして、「１」であればステップＳ１６へ進み、
Ｍｏｎｔ（ｙ_i+1，ｙ_i）の演算を行い、その結果をｙ
_i+1に設定する。「０」であればステップＳ１７へ進
む。

【００７０】ステップＳ１８では、ビットポインタｊが
「１」以上かどうかチェックし、「１」以上でなけれ
ば、ステップＳ２８へ進む。「１」以上であればステッ
プＳ１８へ進み、「Ｍｏｎｔ（ｙ_i+1，ｙ_i+1）」の演算
をおこない、その結果をｙ_i+1に設定する。

【００７１】ステップＳ１９では、ビットポインタｊが
「ｋ〜１」区間の値であるかチェックし、その区間値で
あれば、ステップＳ１４からの剰余演算処理へ戻る。そ
の区間値以外であればステップＳ１００へ進む。

【００７２】ステップＳ１００では、ｙ_i+1 （i=0,1,
2,...）を記憶装置等に格納する。

【００７３】ステップＳ１０１では、カウンタｉが「０
〜ｓ」区間の値であるかチェックし、その区間値であれ
ば、ステップＳ１２からの処理に戻り、次の剰余演算処
理を行う。その区間値以外であれば、剰余演算処理を終
了する。

【００７４】図６は、第２の実施例の疑似乱数生成装置
９３である。べき乗余剰演算装置９３は演算はアルゴリ
ズム３に従って初期値ｘ₀ ，剰余演算の法であるＮ，Ｎ
と互いにそである任意の定数Ｒ、べきｅから、以下の演
算を連鎖的に行ない、ｙ₁，ｙ₂，…を生成する。ｙ₀ ＝Ｒ・ｘ₀ ｍｏｄＮ（式２４）ｙ_i+1 ＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式２５）ここで、Ｎ＝ｐ・ｑただし、ｐ，ｑは素数。

【００７５】ｅ（≧２）は任意の定数。べき乗余剰演算
装置９０では、アルゴリズム３を実行している。べき乗
余剰演算装置９０の入力は初期値ｘ₀，べきｅ，演算の
法Ｎ，定数Ｒ，Ｒ_R＝Ｒ² ｍｏｄＮ，ｉに対する繰り返
し演算回数ｓである。べき乗余剰演算装置９０からはｙ
_i+ ₁ （ｉ＝０，１，…，ｓ）が順次出力される。べき乗
余剰演算装置９０は、入力バッファ９４、判定部９６、
モンゴメリ演算器９５、メモリ９８、出力部９７からな
る。べき乗余剰演算装置９０の動作手順を次に述べる。１．入力バッファ９４にはｘ0 ，ｅ，Ｎ，Ｒ，ＲR ，ｓ
が入力される。入力バッファ９４に入力されたｅ，ｓは
判定部９６に入力される。判定部９６では、ｅを［ｅ_k
ｅ_k-1 …ｅ₂ ｅ₁ ］のｋビットに分解する。更に判定部
９６が備えるｉ及びｊに対する２つのカウンタに対して
ｉ＝０，ｊ＝ｋと設定する。入力バッファ９４に入力さ
れたＲ，Ｎはモンゴメリ演算器９５に設定され、モンゴ
メリ演算の初期値ｘ₀ ，Ｒ_R はメモリ９８に保持され
る。

【００７６】２．メモリ９８にあるｘ₀ ，Ｒ_R によりモ
ンゴメリ演算器９５においてｙ₀ が算出され、ｙ₁ ＝Ｒ
と共にモンゴメリ演算の初期値としてメモリ９８に保持
される。

【００７７】３．ｉ＝０，ｊ＝ｋに対し、判定回路はｅ
_j ＝１及びｊ＞１を判定し、判定結果に応じてメモリ９
８に対するアドレス信号を出力する。メモリ９８はｙ_i
とｙ_i+1を保持するが、ｙ_i+1はモンゴメリ演算器９５の
出力結果により随時更新される。メモリ９８は、判定部
９６からのアドレス信号に応じて、モンゴメリ演算の出
力ｙi+1 を記憶し、判定部９６からのアドレス信号に応
じて読み出し、モンゴメリ演算器９５へｙ_i+1あるいは
ｙ_iを出力する。モンゴメリ演算器９５はメモリ９８か
らの出力に応じてモンゴメリ演算を行なう。判定部９６
のｊに対するカウンタを１カウントダウンさせ、ｊ＝０
となるまでこの手順を繰り返す。

【００７８】４．ｊ＝０となったら、判定部９６は出力
部９７に対しイネーブル信号を出し、出力部９７はｊ＝
０の時のｙ_i+1をラッチする。出力部９７はラッチした
ｙ_i+1をべき乗余剰演算結果として出力し、同時にｙ_i+1
をモンゴメリ演算器９５の次の入力としてメモリ９８で
保持する。判定部９６のｉに対するカウンタを１カウン
トアップさせ、ｉ＝ｓとなるまで手順３．、手順４．を
繰り返す。

【００７９】５．終了。べき乗余剰演算装置９０からの
出力は、論理演算装置９１に入力される。論理演算装置
９１では、入力されたｙ₁ ，ｙ₂ ，…のそれぞれ下位ｌ
ｏｇ₂ｎ（但し、ｎはＮの２進表示による桁数）ビット
の範囲にある任意の（複数／単位）ビットから疑似乱数
を生成し、出力する。

【００８０】論理演算装置９１は、入力されたｙ₁ ，ｙ
₂ ，…のそれぞれ下位ｌｏｇ₂ｎビットの範囲にある任
意のビットを疑似乱数として出力することができる。例
えば、下位ｌｏｇ₂ｎビット全てを疑似乱数とすること
も、最下位ビットだけを疑似乱数として出力することも
できる。

【００８１】論理演算装置として例えば、ハードウエア
により構成する場合には、入力されたｙ_i （ｉ＝１，
２，…）をパラレルでラッチし、その下位ｌｏｇ₂ｎビ
ットを順次シリアルに出力するパラレル入力シリアル出
力のシフトレジスタを用いることができる。

【００８２】以上のように第２の実施例によれば、[ア
ルゴリズム２]において従来必要であった式（＊３）の
処理を省いた[アルゴリズム３]の計算手順により、式
（３）と同程度の安全性を有する疑似乱数列をより高速
に、或はより小さな回路規模で生成できる。

【００８３】以上説明した様に、本実施例の方法とその
装置で生成された疑似乱数を用いることで、高速に通信
データの生成／再生を行うことができる。

【００８４】［第３の実施例］第３の実施例による疑似
乱数生成器は、[アルゴリズム２]の式（＊１）、式（＊
３）で示された演算を両方とも省くことにより、式
（３）と同程度の安全性を有する疑似乱数列をより高速
に、或はより小さな回路規模で生成することを可能とす
ることを目的としている。

【００８５】第３の実施例の[アルゴリズム４]を以下に
示す。 [アルゴリズム４] ＩＮＰＵＴｙ₀ （＝ｘ₀），ｅ，Ｎ，ＲＦＯＲｉ＝０ＴＯｓｙ_i+1＝ＲＦＯＲｊ＝ｋＴＯ１ＩＦｅ_j ＝１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1，ｙ_i）ＩＦｊ＞１ＴＨＥＮｙ_i+1 ＝Ｍｏｎｔ（ｙ_i+1，ｙ_i+1）ＮＥＸＴＯＵＴＰＵＴｙ_i+1 （＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ）ＮＥＸＴこのアルゴリズムを実行することによりえられる系列ｙ
_i （ｉ＝０，１，２，…，ｓ）は、Ｎと互いに素である
Ｒを用いて、ｙ₀ ＝ｘ₀ ｍｏｄＮ（式２６）ｙ_i+1 ＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式２７）と表わされる。この場合、式（３）で生成される系列ｘ
_i （ｉ＝０，１，２，…）と式（２７）で生成される系
列ｙ_i （ｉ＝０，１，２，…）とを比較すると、ｙ_i ＝Ｒ**(1-eⁱ)・ｘ_i ｍｏｄＮ（ｉ＝０，１，２，…）（式２８）となっている。尚、ここで、「Ｒ**(1-eⁱ)」は、Ｒの(1
-eⁱ)乗を意味するものとする。

【００８６】式（＊１）、式（＊３）を省略した場合の
本実施例による疑似乱数生成器は、暗号学的に安全な疑
似乱数系列として式（２７）のｙ_i から、ａ_i’＝ｌｓｂ（ｙ_i）（ｉ＝０，１，２，…）（式２９）によって得られたａ_i’を用いる。

【００８７】この場合も安全性に関して前述の式（＊
３）を省略した場合と同じことが言える。式（２７）で
得られる系列ｙ_i （ｉ＝０，１，２，…）は、式（３）
で得られる系列ｘ_i （ｘ＝０，１，２，…）に定数Ｒ**
(1-eⁱ⁺¹)を掛けてＮで剰余をとった値である（式（２
８）参照）。

【００８８】よって、ｘ_i+1 からｂ_i ＝ｌｓｂ（ｘ_i）
を求めることが非常に困難であれば、ｘ_i+1 に定数Ｒ**
(1-eⁱ⁺¹)を掛けてＮで剰余をとったｙ_i+1（＝(Ｒ**(1-eⁱ⁺¹)・ｘi+1) ｍｏｄＮ）からａ_i ^'＝ｌｓｂ（ｙ_i）（＝ｌｓｂ（(Ｒ**(1-eⁱ⁺¹)・ｘi)
ｍｏｄＮ））を求めることも非常に困難である。つま
り、ａ_i ^'はｙ_i+1のハードコアビットであるので、式
（２７）と式（２９）を用いた疑似乱数生成の安全性も
式（３）を用いた疑似乱数生成と同程度である。

【００８９】次に、図７を用いて、[アルゴリズム３]を
実行するための処理フローを説明する。

【００９０】ステップＳ２００では、ｙ₀、ｅ、Ｎ、ｓ
の各値を入力する。ここで、ｓは剰余演算の繰り返し数
である。

【００９１】ステップＳ２０１では、剰余演算の繰り返
し数のカウンタｉを、まず「０」に初期化する。そし
て、このステップにエントリするごとに、カウンタｉを
カウントアップし、次のステップへ進む。カウントアッ
プはｓまで行う。

【００９２】ステップＳ２０２では、Ｒをｙ_i+1に設定
する。

【００９３】ステップＳ２０３では、ｅの各ビットをポ
イントするビットポインタｊを、まずｋに設定する。こ
こで、ｋはｅのビット長であり予め設定されているとす
る。そして、このステップにエントリするごとに、ビッ
トポインタｊをカウントダウンし、次のステップへ進
む。カウントダウンは１まで行う。ステップＳ２０４で
は、ビットポインタｊで指定されるｅのビットが「１」
であるかどうかチェックする。そして、「１」であれば
ステップＳ２０５へ進み、Ｍｏｎｔ（ｙ_i+1，ｙ_i）の演
算を行い、その結果をｙ_i+1に設定する。「０」であれ
ばステップＳ２０６へ進む。

【００９４】ステップＳ２０６では、ビットポインタｊ
が「１」以上かどうかチェックし、「１」以上でなけれ
ば、ステップＳ２０７進む。「１」以上であればステッ
プＳ２０８へ進み、「Ｍｏｎｔ（ｙ_i+1，ｙ_i+1）」の演
算をおこない、その結果をｙ _i+1に設定する。

【００９５】ステップＳ２０８では、ビットポインタｊ
が「ｋ〜１」区間の値であるかチェックし、その区間値
であれば、ステップＳ２０３からの剰余演算処理へ戻
る。その区間値以外であればステップＳ２０９へ進む。

【００９６】ステップＳ２０９では、ｙ_i+1 （i=0,1,
2,...）を記憶装置等に格納する。

【００９７】ステップＳ２１０では、カウンタｉが「０
〜ｓ」区間の値であるかチェックし、その区間値であれ
ば、ステップＳ１２からの処理に戻り、次の剰余演算処
理を行う。その区間値以外であれば、剰余演算処理を終
了する。

【００９８】図８は、第３の実施例の疑似乱数生成装置
８３の構成を示す図である。疑似乱数生成装置８３は、
べき乗剰余演算装置８０と論理演算装置８１を備える。
べき乗剰余演算装置８０は演算を[アルゴリズム４]に従
って、初期値ｙ₀ ，剰余演算の法であるＮ，Ｎと互いに
素である任意の定数Ｒ、べきｅ等を入力バッファ８４に
入力する。この入力は、例えばキーボード１１を用いて
入力する。モンゴメリ演算器８５では、入力バッファ８
４から、Ｎ，Ｒ、ｙ₀の各値を入力し、次式に相当する
演算を行いｙ_i+1 （i=0,1,2,...）の数列、即ち、ｙ1
，ｙ2 ，…を順次求める。ｙ_i+1 ＝Ｒ^-(e-1)・ｙ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式３０）ただし、Ｎ＝ｐ・ｑｐ，ｑは素数ｅ：ｅ≧２を満たす任意の定数尚、ｐ，ｑは予め設定されているとする。また、Ｎ（＝
ｐ・ｑ）も予め計算されているとする。モンゴメリ演算
器８５での実際の演算方法は、上式を直接計算するので
はなく、モンゴメリ法を適用した以下に示す等価式に基
づいて演算を行う。

【００９９】[アルゴリズム４]で用いられているモンゴ
メリ法による演算Ｍｏｎｔ（ｕ，ｖ）は前述のように、
式（７）〜式（９）の演算を行なっている。

【０１００】上述のようにＮは奇数であるので、Ｒ＝２
^t （ｔは任意の整数）とすればＲとＮは互いに素な整数
になる。この場合、Ｒによる乗算及び剰余演算は実質的
な演算を必要とせず、Ｍｏｎｔ（ｕ，ｖ）を乗算と加算
のみで高速に計算できる。よって、このモンゴメリ法に
よる演算の繰り返しにより実現できるべき乗剰余演算も
高速に計算できる。

【０１０１】べき乗剰余演算では、[アルゴリズム４]を
実行している。べき乗剰余演算装置８０の入力バッファ
８４に対する入力は初期値ｙ₀ （＝ｘ₀），べきｅ，演
算の法Ｎ，定数Ｒ，ｉに対する繰り返し演算回数ｓであ
る。べき乗剰余演算装置８０の出力部８７からはｙ_i+1
（ｉ＝０，１，…，ｓ）が順次出力される。べき乗剰余
演算装置８０は、入力バッファ８４、判定部８６、モン
ゴメリ演算器８５、メモリ８８、出力部８７を備える。
べき乗剰余演算装置８０の動作の手順を述べる。１．入力バッファにはｙ_o ＝（ｘ₀ ），ｅ，Ｎ，Ｒ，ｓ
が入力される。入力手段に入力されたｅ，ｓは判定部８
６に入力される。判定部８６では、ｅを［ｅk ｅk-1 …
ｅ2 ｅ1 ］のｋビットに分解する。更に判定部８６が備
えるｉ及びｊに対する２つのカウンタに対してｉ＝０，
ｊ＝ｋと設定する。入力バッファ８４に入力されたＲ，
Ｎはモンゴメリ演算器８５に設定され、モンゴメリ演算
の初期値ｙ ₀ ，ｙ₁ ＝Ｒはメモリ８８に保持される。

【０１０２】２．ｉ＝０，ｊ＝ｋに対し、判定回路はｅ
_j ＝１及びｊ＞１を判定し、判定結果に応じてメモリ８
８に対するアドレス信号を出力する。メモリ８８はｙ_i
とｙ_i+ ₁ を保持するが、ｙi+1 はモンゴメリ演算器８５
の出力結果により随時更新される。メモリ８８は判定部
８６からのアドレス信号に応じてモンゴメリ演算器８５
の出力ｙi+1 を記憶し、判定部８６からのアドレス信号
に応じて読み出しモンゴメリ演算器８５へｙi+1 あるい
はｙi を出力する。モンゴメリ演算器８５はメモリ８８
からの出力に応じてモンゴメリ演算を行なう。判定部８
６のｊに対するカウンタを１カウンタダウンさせ、ｊ＝
０となるまでこの手順を繰り返す。

【０１０３】３．ｊ＝０となったら判定部８６は出力部
８７に対し、イネーブル信号を出し、出力部８７はｊ＝
０の時のｙ_i+1をラッチする。出力部８７はラッチした
ｙ_i+1をべき乗剰余演算結果として出力し、同時にｙi+1
をモンゴメリ演算器８５の次の入力としてメモリ８８
で保持する。判定部８６のｉに対するカウンタを１カウ
ントアップさせ、ｉ＝ｓとなるまで手順２．と手順３．
を繰り返す。

【０１０４】４．終了。上記入力バッファ８４としては
ｙ₀ （＝ｘ₀），ｅ，Ｎ，Ｒの各入力値をラッチし保持
するレジスタ、判定部８６としてはｅ_j ＝１及びｊ＞１
を判定する比較器とｉ及びｊに対するカウンタとアドレ
ス指定信号やイネーブル信号を出力する論理回路で構成
できる。メモリ８８は書き込み／読み出しがランダムに
行なえるＲＡＭ、出力部８７としては判定部８６からの
イネーブル信号に応じてｙ_i+1 の出力値をラッチし保持
するレジスタ等で構成できる。

【０１０５】上記モンゴメリ法の演算を行なう手段とし
て、例えばハードウエアにより構成する場合には、加算
器と、乗算器と、Ｒによる除算剰余演算のためのビット
シフトをシフタ等の基本要素から構成できる。更に、文
献、「モンゴメリ法を用いたべき乗アルゴリズムとシス
トリックアレイ」（岩村，松本，今井；信学技報，vol.
92,No.134,pp.49-54,1992 ）に示される公知のモンゴメ
リ演算回路を用いることもできる。

【０１０６】べき乗余剰演算装置８０からの出力は、論
理演算装置８１に入力される。論理演算装置８１では、
入力されたｙ₁ ，ｙ₂ ，…のそれぞれ下位ｌｏｇ₂ｎ
（但し、ｎはＮの２進表示による桁数）ビットの範囲に
ある任意の（複数／単位）ビットから疑似乱数を生成
し、出力する。

【０１０７】論理演算装置８１は、入力されたｙ₁ ，ｙ
₂ ，…のそれぞれ下位ｌｏｇ₂ｎビットの範囲にある任
意のビットを疑似乱数として出力することができる。例
えば、下位ｌｏｇ₂ｎビット全てを疑似乱数とすること
も、最下位ビットだけを疑似乱数として出力することも
できる。

【０１０８】論理演算装置として例えば、ハードウエア
により構成する場合には、入力されたｙ_i （ｉ＝１，
２，…）をパラレルでラッチし、その下位ｌｏｇ₂ｎビ
ットを順次シリアルに出力するパラレル入力シリアル出
力のシフトレジスタを用いることができる。

【０１０９】以上説明したように、第３の実施例によれ
ば、[アルゴリズム２]において従来必要であった式（＊
１），式（＊３）の処理を省いた[アルゴリズム４]の計
算手順により、式（３）と同程度の安全性を有する疑似
乱数列をより高速に、あるいはより小さな回路規模で生
成することを可能にしたものである。

【０１１０】この場合、モンゴメリ法を用いたことによ
る乗算剰余演算の高速化に加えて、[アルゴリズム２]に
必要であった入力に対する変換と出力を得るための変換
が不要になるので、演算全体としての高速化が期待でき
る。

【０１１１】以上説明した様に、本実施例の方法とその
装置で生成された疑似乱数を用いることで、高速に通信
データの生成／再生を行うことができる。

【０１１２】［第４の実施例］以上説明して実施例で
は、モンゴメリ法による疑似乱数生成方法を示したが、
一般にべき乗演算結果ｘ^e に任意の定数Ｃを掛けた数Ｃ
・ｘ^e に対し剰余演算を行ない、その結果得られるｙ＝
Ｃ・ｘ^e ｍｏｄＮの所定ビットから疑似乱数を生成す
ることもできる。

【０１１３】図９は、第４の実施例による疑似乱数生成
装置の構成図７３である。べき乗余剰演算装置７０は初
期値ｘ0 ，剰余演算の法であるＮ，べきｅから、次式の
演算を連鎖的に行ない、ｘ1 ，ｘ2 ，…を生成する。ｘi₊₁ ＝ｘ_i ^e ｍｏｄＮ（ｉ＝０，１，２，…）（式３１）ここで、Ｎ＝ｐ・ｑただし、ｐ，ｑを素数ｅ（≧２）は任意の定数。乗算剰余演算器７０は入力値ｘ_i+1 （ｉ＝０，１，２，
…）、剰余演算の法であるＮから、ｙ_i+1 ＝Ｃ・ｘ_i+1 ｍｏｄＮ（ｉ＝０，１，２，…）（式３２）という演算を行ない、ｙ1 ，ｙ2 ，…を生成する。

【０１１４】べき乗剰余演算装置７０では、[アルゴリ
ズム１]を実行している。べき乗剰余演算装置７０の入
力は、初期値ｘ₀ ，べきｅ，演算の法Ｎ，ｉに対する繰
り返し演算回数ｓである。べき乗剰余演算装置７０から
はｘ_i+1 （ｉ＝０，１，…，ｓ）が順次出力される。べ
き乗剰余演算装置７０は、入力バッファ７４、判定部７
６、乗算剰余演算器７５、メモリ７８、出力部７７から
なる。

【０１１５】次に、べき乗剰余演算装置７０の動作の手
順を述べる。１．入力バッファ７４には、ｘ₀ ，ｅ，Ｎ，ｓが入力さ
れる。入力バッファ７４に入力されたｅ，ｓは判定部７
６に入力される。判定部７６ではｅを［ｅ_k ｅ_k- ₁ …ｅ
₂ ｅ₁ ］のｋビットに分解する。更に判定部７６が備え
るｉ及びｊに対する２つのカウンタに対してｉ＝０，ｊ
＝ｋと設定する。入力バッファ７４に入力されたＲ，Ｎ
は乗算剰余演算器７５に設定され、乗算剰余演算の初期
値ｘ₀ ，ｘ ₁ ＝１はメモリ７８に保持される。

【０１１６】２．ｉ＝０，ｊ＝ｋに対し、判定部７６
は、ｅj ＝１及びｊ＞１を判定し、判定結果に応じてメ
モリ７８に対するアドレス信号を出力する。メモリ７８
はｘ_i とｘ_i+1を保持するが、ｘ_i+1は乗算剰余演算器７
５の出力結果により随時更新される。メモリ７８は判定
部７６からのアドレス信号に応じて乗算剰余演算の出力
ｘ _i+1を記憶し、判定部７６からのアドレス信号に応じ
て読み出し、乗算剰余演算器７５へ、ｘ_i+1あるいはｘ_i
を出力する。乗算剰余演算器７５は、メモリ７８からの
出力に応じて乗算剰余演算を行なう。判定部７６のｊに
対するカウンタを１カウントダウンさせ、ｊ＝０となる
までこの手順を繰り返す。

【０１１７】３．ｊ＝０となったら判定部７６は出力部
７７に対しイネーブル信号を出し、出力部７７はｊ＝０
の時のｘ_i+1 をラッチする。出力部７７はラッチしたｙ
_i+1をべき乗剰余演算結果として出力し、同時にｘ_i+1を
乗算剰余演算器７５の次の入力としてメモリ７８で保持
する。判定部７６のｉに対するカウンタを１カウントア
ップさせ、ｉ＝ｓとなるまで手順２．、手順３．を繰り
返す。

【０１１８】４．終了。入力バッファ７４としては、ｘ
0 ，ｅ，Ｎ，ｓの各入力値をラッチし保持するレジス
タ、判定部７６としてはｅ_j ＝１及びｊ＞１を判定する
比較器とｉ及びｊに対するカウンタとアドレス指定信号
やイネーブル信号を出力する論理回路で構成できる。メ
モリ７８は書き込み／読み出しがランダムに行なえるＲ
ＡＭ、出力部７７としては判定部７６からのイネーブル
信号に応じてｘ_i+1 の出力値をラッチし保持するレジス
タ等で容易に構成できる。

【０１１９】前述のように、べき乗剰余演算は乗算剰余
演算の繰り返しで実現できる。べき乗剰余演算装置７０
及び乗算剰余器での乗算剰余演算を、例えばハードウエ
アにより構成する場合には、文献「並列処理によるＲ
ＳＡ暗号装置の構成ｂ法」（岩村，松本，今井；電子情
報通信学会論文誌Ａ，vol.J75-A,No.8,pp.1301-1311,19
92）に示される公知の乗算剰余演算方法を用いることも
できる。

【０１２０】乗算剰余演算器７２からの出力は、論理演
算装置７１に入力される。論理演算装置７１では入力さ
れたｙ₁，ｙ₂ ，…のそれぞれ下位ｌｏｇ₂ ｎ（但し、
ｎはＮの２進表示による桁数）ビットの範囲にある任意
の（複数／単数）ビットから疑似乱数を生成し、出力す
る。

【０１２１】論理演算装置７１は、入力されたｙ₁ ，ｙ
₂ ，…のそれぞれ下位ｌｏｇ₂ ｎビットの範囲にある任
意のビットを疑似乱数として出力することができる。例
えば、下位ｌｏｇ₂ ｎビット全てを疑似乱数とすること
も、最下位ビットだけを疑似乱数として出力することも
できる。

【０１２２】以上説明した様に、本実施例の方法とその
装置で生成された疑似乱数を用いることで、高速に通信
データの生成／再生を行うことができる。

【０１２３】［第５の実施例］これまで述べてきたよう
に、上記の疑似乱数生成方法によって生成された疑似乱
数は解析に対して強いので、この疑似乱数を暗号化方式
に用いることにより安全な暗号通信が実現できる。以
下、通信文と乱数との間でビット毎に排他的論理和をと
る暗号化方式（ストリーム暗号）による暗号通信ネット
ワークにおいて、以上説明してきた実施例の乱数生成器
を用いた暗号通信での応用例を以下説明する。

【０１２４】図１０は、ネットワークの加入者間で固有
かつ秘密の暗号鍵を共有している共通鍵暗号通信ネット
ワーク３０を示す。Ａ，Ｂ，Ｃ，…，Ｎはそのネットワ
ークの各加入者である。通信ネットワーク３４は、ネッ
トワークの加入者Ａ，Ｂ，Ｃ，…，Ｎ３１間の通信を可
能とするネットワークである。各加入者Ａ，Ｂ，Ｃ，
…，Ｎの下の各サークル内の各符号Ｋ_AB，Ｋ_AC，…は、
それぞれの加入者が共有している暗号鍵を意味する。例
えば、各符号Ｋ_AB，Ｋ_AC，…は、それぞれ加入者Ａ−Ｂ
間、加入者Ａ−Ｃ間で共有している暗号鍵，…を示して
いる。

【０１２５】図１１は、本実施例の乱数生成器を用いた
暗号装置及び複合装置を含む通信装置の構成をブロック
図により示したものである。

【０１２６】図１２は、図１０、図１１で示された暗号
通信システムにおけるＡ、Ｂ間の秘匿通信の様子を示し
ている。

【０１２７】図１２において、送信者Ａが使用する送信
器４５から受信者Ｂの利用する受信器４６への暗号通信
は以下の手順で行う。

【０１２８】１．通信の送信者Ａは、送信者Ｂと共有し
ている秘密の鍵Ｋ_ABの全て又は一部を乱数生成器４０の
初期値として、乱数生成器４０に設定し、乱数系列ｋ_i
（４１）を生成させる。

【０１２９】２．送信器Ａで生成した乱数系列ｋ_i（４
１）と、予め作られた通信文ｍ_i（４２）をビット毎に
排他的論理和「ｍ_i(+)ｋ_i」を排他的論理和器４３で計
算し、その結果の暗号文ｃ_iを受信器４６に送信する。

【０１３０】３．通信の受信者Ｂは、送信元Ａと共有し
ている秘密の鍵Ｋ_ABの全て又は一部を受信器Ｂの乱数生
成器４７の初期値として乱数生成器４７に設定し、乱数
系列ｋ _i を生成させる。

【０１３１】４．受信器Ｂでは、生成した乱数系列ｋ_i
と受信した暗号文ｃ_iをビット毎に排他的論理和「ｃ
_i(+)ｋ_i」をとり、その出力が通信文ｍ_i（４８）として
復元される。

【０１３２】この手順に従えば、正規の受信者Ｂだけが
その秘密の鍵Ｋ_ABを知っているので受け取った暗号文を
本来の通信文に複合でき、それ以外の加入者（Ｃ〜Ｎ）
はその暗号文をする際に用いられた秘密の鍵を知らない
のでその内容を知ることができない。このことにより秘
匿通信が実現される。

【０１３３】また、図１０のようにあらかじめ暗号鍵が
配布されているのではなく、暗号通信を行うに先立って
送・受信者間で暗号鍵を共有する必要がある携帯のネッ
トワークにおいても、公知の鍵共有を行えば同じ手順で
暗号通信を実現することができる。

【０１３４】尚、第５の実施例に示した暗号通信ネット
ワークでは通信文の送信者と受信者の間で固有かつ秘密
の鍵を共有しているので、暗号文を受け取り、意味をな
す通信文に複号できるということは、通信文がその鍵の
もう一人の所有者から送信されたということを受診者に
保証している。そのため、第３の実施例に示した秘匿通
信システムでは、通信の発信者及び着信者の認証も行う
ことができる。

【０１３５】以上説明した様に、本実施例の方法とその
装置で生成された疑似乱数を用いることで、高速に通信
データの生成／再生を行う暗号通信ネットワークを実現
できる。

【０１３６】［第６の実施例］第５の実施例のようにあ
らかじめ暗号鍵が配布されているのではなく、暗号通信
を行うに先立って送・受信者間で暗号鍵を共有する必要
がある形態のネットワークにおいて、盗聴の可能性のあ
る通信路を介した場合でも安全に暗号鍵を共有できる方
式としてDiffie-Hellmanの方式（W.Doffie and M.E.Hel
lman “ Direction in crytography ”，IEEE,IT,vol.
IT-22,No.6,1976 ）が良く知られている。その際に用い
る乱数として本実施例により生成した乱数を用いること
ができる。

【０１３７】その場合に用いる乱数は、送信者と着信者
で同じものを持つ必要はないため、乱数発生器に設定す
る初期値は任意の値を用いればよい。

【０１３８】尚、本発明は、複数の機器から構成される
システムに適用しても１つの機器から成る装置に適用し
ても良い。また、本発明は、システム或は装置にプログ
ラムを供給することによって達成される場合にも適用で
きることはいうまでもない。

【０１３９】以上、詳細に説明した実施例によって、暗
号学的に安全な疑似乱数をモンゴメリ法により生成する
場合、式（１５あるいは式（２５により得られるｙi の
所定ビットを疑似乱数として用いることにより、安全性
を低下させることなく、従来必要であった式（＊３）あ
るいは式（＊１），式（＊３）の演算を不要にしたもの
である。そのことにより、従来と同程度の安全性を有す
る疑似乱数をより高速に、あるいはより小さな回路規模
で生成することが可能である。そのため、その生成され
た疑似乱数を用いることで、高速に通信データの生成／
再生を行うことができる。

【０１４０】

【発明の効果】以上説明したように本発明によれば、安
全な疑似乱数をより高速にかつ容易に生成し高速に通信
データの生成／再生を行うことができる。

【０１４１】

【図面の簡単な説明】

【図１】第１の実施例による疑似乱数生成装置の構成を
示す図である。

【図２】本発明の疑似乱数生成処理を実行するデータ処
理装置の図である。

【図３】第１の実施例による疑似乱数生成プログラムの
フローチャートである。

【図４】モンゴメリ法以外の方法による疑似乱数発生方
法の一例を示す図である。

【図５】第２の実施例による疑似乱数生成プログラムの
フローチャートである。

【図６】第２の実施例による疑似乱数生成装置の構成を
示す図である。

【図７】第３の実施例による疑似乱数生成のフローチャ
ートである。

【図８】第３の実施例による疑似乱数生成装置の構成を
示す図である。

【図９】第４の実施例による疑似乱数生成装置の構成を
示す図である。

【図１０】第５の実施例による共通鍵暗号通信ネットワ
ークを示す図である。

【図１１】第５の実施例による通信装置の構成図であ
る。

【図１２】第５の実施例による暗号通信システムでの秘
匿通信の様子を示す図である。

【符号の説明】

１０ＣＰＵ１１キーボード１２デイスプレイモニタ１３疑似乱数発生プログラム１４ＲＡＭ

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号庁内整理番号ＦＩ技術表示箇所Ｇ０９Ｃ 1/00 9364−5Ｌ

Claims

【特許請求の範囲】

【請求項１】疑似乱数を用いた通信方法であって、所定の値Ｎを法とし、所定の初期値Ｘ₀と、所定の値Ｃ
とに基づいて、漸化式Ｘ_i+1＝Ｃ・Ｘ_i ² ｍｏｄＮをi=
0,1,2,...,sの順で繰り返し計算し、数列Ｘ₁,Ｘ₂,
Ｘ₃,...Ｘ_s+1を求める計算工程と、前記数列から所定部分を抽出し、その抽出された抽出デ
ータを疑似乱数データとする抽出工程と、前記疑似乱数データに基づいて、通信データを生成／再
生する通信工程と、を備えることを特徴とする疑似乱数
を用いた通信方法。
【請求項２】前記漸化式は、モンゴメリ法に基づいて
演算されることを特徴とする請求項１に記載の疑似乱数
を用いた通信方法。
【請求項３】前記モンゴメリ法に基づいて演算される
前記漸化式の数列解は、前記所定のＮと互いに素な整数Ｒを選択し、モンゴメリ法による漸化式Ｘ_i+1＝（Ｘ_i ² ＋ (Ｘ_i ² ・(−Ｎ^-1 ｍｏｄＲ) ｍｏｄ
Ｒ)・Ｎ）／Ｒ (i=0,1,2,...,s)の演算によって得られ
ることを特徴とする請求項２に記載の疑似乱数を用いた
通信方法。
【請求項４】前記整数Ｒは、ｔを整数とする２^tべき
形式で置き換え可能で、前記モンゴメリ法による漸化式の前記整数Ｒによる除算
項は、その除算項の非除数をｔビットシフトすることで
計算されることを特徴とする請求項３に記載の疑似乱数
を用いた通信方法。
【請求項５】疑似乱数を用いた通信方法であって、所定の値Ｎを法とし、所定の初期値Ｘ₀と、所定の値Ｃ
とに基づいて、漸化式Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=
0,1,2,...,sの順で繰り返し計算し、数列Ｘ₁,Ｘ₂,
Ｘ₃,...Ｘ_s+1を求める計算工程と、前記数列から所定部分を抽出し、その抽出された抽出デ
ータを疑似乱数データとする抽出工程と、前記疑似乱数データに基づいて、通信データを生成／再
生する通信工程と、を備えることを特徴とする疑似乱数
を用いた通信方法。
【請求項６】前記漸化式は、モンゴメリ法に基づいて
演算されることを特徴とする請求項５に記載の疑似乱数
を用いた通信方法。
【請求項７】前記モンゴメリ法に基づいて演算される
前記漸化式の数列解は、ｕ、ｖを整数の引き数とし、Ｑ
を出力結果とする乗算剰余式Ｑ=（ｕ・ｖ＋(ｕ・ｖ・(-Ｎ^-1 ｍｏｄＲ) ｍｏｄＲ)
・Ｎ）／Ｒの演算を行う演算工程を備えることを特徴とする請求項
６に記載の疑似乱数生成方法。
【請求項８】疑似乱数を用いた通信装置であって、所定の値Ｎを法とし、所定の初期値Ｘ₀と、所定の値Ｃ
とに基づいて、漸化式Ｘ_i+1＝Ｃ・Ｘ_i ² ｍｏｄＮをi=
0,1,2,...,sの順で繰り返し計算し、数列Ｘ₁,Ｘ₂,
Ｘ₃,...Ｘ_s+1を求める計算手段と、前記数列から所定部分を抽出し、その抽出された抽出デ
ータを疑似乱数データとする抽出手段と、前記疑似乱数データに基づいて、通信データを生成／再
生する通信手段と、を備えることを特徴とする疑似乱数
を用いた通信装置。
【請求項９】前記漸化式は、モンゴメリ法に基づいて
演算されることを特徴とする請求項８に記載の疑似乱数
を用いた通信装置。
【請求項１０】前記モンゴメリ法に基づいて演算され
る前記漸化式の数列解は、前記所定のＮと互いに素な整数Ｒを選択し、モンゴメリ法による漸化式Ｘ_i+1＝（Ｘ_i ² ＋ (Ｘ_i ² ・(−Ｎ^-1 ｍｏｄＲ) ｍｏｄ
Ｒ)・Ｎ）／Ｒ (i=0,1,2,...,s)の演算によって得られ
ることを特徴とする請求項９に記載の疑似乱数を用いた
通信装置。
【請求項１１】前記整数Ｒは、ｔを整数とする２^tべ
き形式で置き換え可能で、前記モンゴメリ法による漸化式の前記整数Ｒによる除算
項は、その除算項の非除数をｔビットシフトすることで
計算されることを特徴とする請求項１０に記載の疑似乱
数を用いた通信装置。
【請求項１２】疑似乱数を用いた通信装置であって、所定の値Ｎを法とし、所定の初期値Ｘ₀と、所定の値Ｃ
とに基づいて、漸化式Ｘ_i+1＝Ｃ・Ｘ_i ^e ｍｏｄＮをi=
0,1,2,...,sの順で繰り返し計算し、数列Ｘ₁,Ｘ₂,
Ｘ₃,...Ｘ_s+1を求める計算手段と、前記数列から所定部分を抽出し、その抽出された抽出デ
ータを疑似乱数データとする抽出手段と、前記疑似乱数データに基づいて、通信データを生成／再
生する通信手段と、を備えることを特徴とする疑似乱数
を用いた通信装置。
【請求項１３】前記漸化式は、モンゴメリ法に基づい
て演算されることを特徴とする請求項１２に記載の疑似
乱数を用いた通信装置。
【請求項１４】前記モンゴメリ法に基づいて演算され
る前記漸化式の数列解は、ｕ、ｖを整数の引き数とし、
Ｑを出力結果とする乗算剰余式Ｑ=（ｕ・ｖ＋(ｕ・ｖ・(-Ｎ^-1 ｍｏｄＲ) ｍｏｄＲ)
・Ｎ）／Ｒの演算を行う演算手段を備えることを特徴とする請求項
１３に記載の疑似乱数生成装置。