TWI276337B - Electronic element and data processing method - Google Patents

Description

1276337 九、發明說明： 【發明所屬之技術領域】 本發明係關於一種構成可實現加 置的電子元件。例如，可對抗從裝置之消耗電力= 在裝置内處理之秘密資訊的 寸疋出 法。 又拿之電子兀件及資料處理方 【先前技術】 以彺之關於半導體裝置之秘密資訊保護 =，大致區分為利用以CPU(Centralp⑽ssing= 曰. 二=7°為代表之某特定半導體裝置的軟體所進行 的對抗措施，及對於半導，壯 措施等二種。 體衣置本身之以硬體進行的對抗 前者之以軟體進行的對抗措施，可由以lc卡為代表之 :併具有CPU與記憶體的裝置構成來實現。例如，在日本 :開：00-066585號公報中’對用於廣範圍之共通密鑰區 ▲加在 DES(Data Encryption standard)，按照預先決定 的規則X而使錢數參數R事先從使用在該演算法中之稱 為S-box白勺置換表計算出與在演算法規定之s_b〇x不同的

，，表之;k數個h ’並將該結果儲存在記憶體内。在進行 "、”i：之處理k ’除了晋通文資料M(或是密文資料c)與密 輪資料κ亦使域數參數R來處理密文㈣G(#通文資料 M)°藉此’與通常之只使用M(c)與κ之處理相比較，由於 在取得R之情況的數量會使處理流程產生變化，所以隨之 而來的消耗電力亦為多樣化。又，因藉由使用亂數參數R 316120 5 1 j276337 理之中間值成為無法預測，故無法從消耗電力中解 2貝5fl。此外，日本特表2⑽2-5偏54號公報亦為類 對抗措施，只有上述之規則χ絲數參數^取得方 不同，為本質上相同的對抗措施。 上安=體進行的對抗措施’係利用在半導體農置 2〇Γ/Γ 之設計手法來實現。例如，在日本特表 之261 34號公報中，係將同樣是數位電路之基本元件 閑特性為互修^ 為間(Ρ—作為對抗措施（以下將之簡稱 於農置之消耗=猎此由於演算法之中間值並不依存 心咱耗屯力，所以無法 二此：閑單位來構成對而是以某電路單位(此例二 差異電路)來構成對。但是，此只有外觀上之 之對抗為與曰本特表顧-52⑽號公報完全相同

能從==用間對進行之對抗措施，在原理上有可 此攸β耗兒力中解讀 ^ J 門料+ 6 貝权在貝讯。其理由說明如下。 完與游.閉進行 INV-AND間係以相同之日Γ广T =足該條件，成對之纖閘與 端的負載必須為相等。動作’且連接於該閘極之前 微小偏差的情況，在係因動作之時序如有 差，使得經各個間而來、之/肖耗电力上亦會發生時間 们間而來的電力被觀測出相位偏移之故。又， 316120 6 1276337 在某開對之AND閑與秦綱間之負載不 :動作後之消耗電力不同。因此可容易判別哪：;=個 作，且不進行互補之動作。為了進行互補之=已動 將之稱為虛設間)，係為了邏輯實現而不需的 :門：㈣出並未被使用，，與需：的 端之負載變小的傾向。為了實現 ^虛 使間成對而使間相對於電路全體而形成的情兄負载，不 特開2002-31 1826號公報之對Γ /例如日本 ::_相同時序來動作者二二對 :因於間對或電路對為了實現互補之動：：問•系 存在有二個所致。 〃輸出節點 專利文獻1 : 專利文獻2 : 專利文獻3 : 專利文獻4 : [發明内容】 日本锊開2000-066585號公報 日本特表2002-540654號公報 日本特表2003-526134號公報 曰本特開2002-31 1826號公報 (發明所欲解決之問題） 本發明之目的係構成以 之動作的半導體元件，藉以 之問題。 一個輸出節點進行原理上互補 解決上述時間差之問題及負載 (解決問題之手段） 其特徵為： 数之’互斥或（EXCLUSIVE ’ «輸入之輪人訊號執行預定 本發明之電子元件， 輪入預定之資料與第 OR)的結果當作輸入訊號 316120 7 1276337 之避輯運算，並輸出所執行之邏輯運算的結果與第2亂數 之1互斥或"作為輸出訊號。 本發明之電子元件，其特徵為·· 輪入資料、n位元之第i亂數及ι位元之 數作為輸入訊號，其中之x〇R資料係表示使η位 亂數與‘印位元之諸進行"互斥或”而得之資料利 用XOR資料盘第1激料夕” π匕 、 用〜、弟1亂數之互斥或"算出η位元之資料，使

用异出之η位元資料的各位元執行預定 =行之邏輯運算的結果與第嶋之”互斥二IS 其中’上述第i亂數係讀元之各位元為相同的值者· 去述第2亂數係與上述第1亂數之各位元的值相等的值， 者° /、中上述電子7^件並不依存於輸入訊號之狀態變 ’且不進行瞬態之處理而將輸出訊料以輸出。 上述電子元件還輸入下達將輸出訊號輸出的指 二=訊號’並且在指令訊號輸入的情況，將輸出訊號 其中，上述預定之邏輯運算係邏輯"及（AND)"、" (N_)"、"或⑽v、"反或互斥或（X0R)” 中;= —個。 仕 本發明之電子元件’係由複數個電晶體所構成， 入第1亂數、第21數及n位元㈣)之資料並 二 之訊號作為輸出訊號者，其特徵為： 、叱 316120 8 1276337 在第1亂數、第2亂數及n位元 執行第^亂數與_元之資料的1^^；；的情況， 互斥或"之執行結果的各位元進行預定之斥邏 吏用表示| 預定之邏輯運算的結果與第2亂數之"=運鼻再執行 示與所得的結料狀結果的輸出訊號==後將表 體之開關予以輸出。 利用硬數個電晶 /、中上述第1亂數係各位 數； 兀為相同值之η位元的亂 上述第2亂數係與上述第丨亂 值之1位元的亂數。 。位兀的值相等的 其中，上述電子元件係同時進 開關。 、々夂数個電晶體之 中上述電子元件係輸入下達將輪屮^ % 令之指令訊鲈，廿 出5孔號輸出的指 7汛唬，亚且在指令訊號 予以輸出。 Η月况，將輪出訊號 本發明之電子元件，係輸入第^亂 位元（n2 1)之資料#於山怒— 禾ζ就數及η 貝科亚輪出預疋之訊號作為 特徵為包含： 広‘唬者，其 輸入弟1虜L蔚、笛9全丨也/ *r> 儲户“ S 數位元之資料的輪入部； :子由W 1構成之邏輯資料的儲存部；及 複數個電晶體，其藉由開關而從上述 遥輯貧料取得在上述輸入部輸入有第職、第；= 斥或"並使用表示,,互斥二 位元之資科的"互 之執仃結果的各位元進行預定 316120 9 !276337 為 之邏輯運算再執行預定之邏輯運算的結果與第2亂數之” 互斥或所侍的結果等效之結果，並將之當作輸出訊號而輸 出。 數； 其中’上述第1亂數係各位元為相同值 之η位元的亂 上述第2亂數係與上述第丨亂數之各位元的值相等的 值之1位元的亂數。 其中’上述複數個電晶體係同時進行開關。 其中’上述輸入部還輸入下達將輸出訊號輸出的指 之指令訊號； 予電子元件係在指令訊號輸入的情況，將輸出訊號 予以輸出。 本發明之資料處理方法，其特徵為·· 輸入預定之資料盘第齡夕，丨 t 入1 $ ip ^ ^ ， 斥或的結果作為輸 心虎’根據輸人之輪人訊號執行預定之邏輯運算 出所執行之邏輯運算的結果與第2|L數之"為： 出訊號。 乍為輸 本發明之資料處理方法，其特徵為·· 查輸入麗資料、n位元之第1亂數及1位元之第2亂 數作為輸入訊號，其中之" 嶋。位元之資料進行"互斥或”而得之資料，利心 :枓與乂亂數之"互斥或"算出η位元之資料，使 之η位元資料的各位元執杆 —、斤 丁預疋之邀卓耳運算，並輪出所说 行之邏輯運算的結果鱼第2自# + ^ 彻出所執 〃、弟2齓數之"互斥或"作為輸出訊 316120 10 1276337 號0 (發明之效果） 的電路，且 根據本發明，則無需設置進行互補之動作 可對抗欲從消耗電力中特定出秘密資訊的攻擊 【實施方式】 (實施形態1) 使用第1圖至第i i圖說明實施形態i。實施形態工係 關於進行非線性變換之處理的基本元件A、進行線性變換 之處理的基本元件B及使用基本元件八、基本進行 加密演算法處理的電路。另夕卜，以下亦將n位元之資料A、 與η位元之資料元彼此間之"互斥或”記為AH B 〇 任意之加密演算法F，為了堅持其安全性，必須由非 線性變W1(0UP)、與線性變換Lj(〇gq)之組合所 :奏=在以數位電路安裝之情況，係指可等效變換成· or(”^、X〇R(互斥或"）間之組合之意。當然，即使組合 /或）、NOR(”反或"）、_("反及"）等基本問亦可安 裝。但是’該等之處理，亦可全部等效變換成爆 閘之組合。因此，以MD與·為中心加以說明。申、1 AND/OR. 〇R.n〇r.nand^^^m^-^ 相對#。 、百先’就構成非線性變換\之基本元件A加以說明 以下’將構成非線性變換之元件稱為基本 線性變換3,可由基本元件A構成。 又非 316120 1276337 第1圖係假想基本元件A輸入2bi t之輸入資料（Xi， 的情況，以方便說明基本元件A的處理之簡單元件2〇的示 意圖。第1圖之元件20係用以說明基本元件A的處理之簡 單構成，而非表示基本元件A之實施例者。基本元件A之 具體的實施例，係為第6圖之基本元件A1〇〇,且將於後述。 一元件 2〇 包含 XOR22、AND 閘 23、X〇R27 及 AND 閘 24。 几件20係輸入以就數r對（x"y])進行"互斥或"而得之 WKiO、x2(x2=Vr)。又，輸入亂數r及控制訊號如 26 ° 以下說明元件20之動作。 .⑴兀件20係輸入資料（Ά)(預定的資料之-例）盘 亂數Γ(第1亂數之-例)的"互斥或'即Xl(x〜)/、 x2(x2=Xj r) 〇 (2) X0R 22 係輸入（X、Y + ., Ul X2)(X〇R資料之一例）及亂數r， 執仃π互斥或"。亦即，執行「 Γ _ 之輸出成為Xi〜 …」及、r r」，R22 (3) AND閘23係輸入χ. 25) 0 1 輸出Xj」（輸出點 (4) X0R 27係輪入亂數r( 、弟2亂數之一例）盘「χ & \」，輸出「Xl&x厂r」。 J八、Xl& (5) AND閘24係輸入「 當控制訊號en26為「}」日士 1，^Γ」與控制訊號en 26， ,L ^ ^ ’輸出「z二χΑχ】’]：」。但是， 此為一例，基本元件A之 ^ 今A「η 日ιΐ女π 乍’右將控制訊號en之有效值 口又為「0」，則亦可以利用〇 ^ 間置換AND閘24之動作來實 316120 12 1276337 現0 又，若控制訊號⑶為以「上升」或「下降」決定是否 = 則基本之動作，亦可以利用正反器來 ，換AND閘24,且以控制訊號en為「上升」或「下降」 來取入X0R27的輪出之方十番 酚出之方式動作。以下’關於基本元〇 動^「為了使說明之理解簡單化而將控制訊號郎之有效 」’且以上述AND閘24之動作來說明。申請專利 :圍:與::」…」、「上升」、「下降」之全部的方二 者又，此就基本兀件B而言亦相同。 其认，將n_blt輸入之情況，與第1圖所示之2bit 輪入的元件2 0作對比而·^日日,^ 性處理中，例如，以進彳^在非線性變換心之各非線 料t A N D °基本元件A係輸入n 一⑽之資 ! „ . , Xn) n —bit 之亂數 Ra(ri、r2、···、rJ(第 1亂數之一例）、1 b i t之萬I叙 .^ 0 亂數rb (弟2亂數之一例）及控制 曰7汛唬之—例）作為輸入。然後，輸出 z、& Γΐ)&(Χ2 r2)&...((rn)，rbHen 作為輸出。 (la)將 n-bit 之齡 Λ V, 例)，與η位元之二X(Xl、X2、…、。(灣料之-χ ^ __ a(rpr2、···、rn)進行 11 互斥或”（（Xl、 :、二在輪入前與_Ra進行,，互斥或"者）。將結 Λ，；20之情f又，叫 (Γι Γ2)=(卜小因而，x，KXl、yj)。 ()針對X之全部的位元取其'，及（AND)"。將結果當 316120 13 1 1276337 作X’’。在為元件20之情況，x，’=xi&Xj。 ,(3a)將X與為lbit之亂數rb進行”互斥或”。將結果 當作”在為元件2〇之情況，rb=r，y= & & χ，Γ。 (4a)取y與控制訊號⑼之AND並輸出。將結果當作z。 在為元件20之f月况，如上所述，z= & & (p另外，在 輸出z之情況，係在所有的輸入訊號確定之後，藉由 制訊號en設為「丨」，而一次予以輸出。 工 、°° 、'元件執行上述之（1a)〜（4a)的處理，並將 其^乍基本元件A而構成非線性變換&。在輸出2之情況， 如則面所述’係在全部的輸入訊號確定之 號如一次將輸出z予以輸出。 ““孔 密吏特徵係如下。亦即，輸入將成為習知加 互：二二處理的對象之資料等)與亂數進行” 互斥或而得的資料。缺姑监：羽 行予mm 處理之對象的資料進 I耳"'的結果與亂數進行"互斥或"而後以此狀能 别出。而且，於輸出時’係在全部的輸入訊號 ; =輸出。湘此特徵，即可對於欲從裝置之消耗 = =出裝置内所處理之秘密資訊的攻擊，加以對抗。之寸 月匕夠對抗係基於如下理由。對輸 以 ”並浐屮。兮韵奴 作出Z以亂數r進行"互斥或 卢 數Γ由於「〇」與Γ1」讀2之機率出現戈 所Μ輸出ζ之訊號遷移率α變成1/2。又 見’ 況’係在全部的輸入訊號之狀態遷移結束時，：二之情 將輸出訊號Ζ予以輸出。在此所謂 九订處理以 為n-blt的資料」’係指利用本身 m〇R貝科）與亂數I (第數）之” 316120 14 1276337 ^斥或"而算出^位元之資料，使用算出之η位元資料的各 位凡執行AND運算（預定之邏輯運笞的,.. Λλτη k饵運异的一例），並執行所執 2娜運算（邏輯運算）之結果與亂數rb (第2亂數）之” 之：：”的：系列之過程。因此，攻擊者無法檢測出輸出z 之黾力的變動。有關後述之某太 ηψμ κ暴本兀件B亦相同。有關此特 敛點 '，將在第8圖至第U圖之說明中進—步說明。 為了更簡化基本元件A之遽 A、"lV -Γ Γ7 仟A之構成，亦可只使用lbit之亂 數。亦即 χη)與利用lbit 。將結果當作 (lb)將 n-bit 之輸入 χ(Χι、X2..... 之薦L數r所得之n-b i t連結進行，，互斥或η X’。亦即， X -(xi r、x2 r、…、χηΛΓ) (2b)針對X’之全部的位元取其Α·。將結果當 X，，。亦即， 田 X’ ’ 二（x/r)&(x2'r)&...&(x^r) (3b)將\’’與r進行"互斥或"。將結果當作y。亦即， y-(Xi r)&(x2 r)&…& (4b)取y與控制訊號en之AND並當做輸出。將結果當 作z 〇 田 以單一運异元件執行（1 b)〜（4b)之處理，並將其當作基 本元件A而構成s i。亦即 基本元件A(X): z:((Xl r)&(xrr)&〜(（rrr)&en。 其次，說明構成線性變換h之基本元件β的概略。 316120 15 1276337 乂下’ I構成線性變換 0械Τ〆， 谀之兀件％為基本元件β。線性 、交換L j係由基本元件Β所Μ 士

所構成。在線性變換h之各線性處 理T 以例如進行如下# W λ 处里之兀件來實現η輸入X〇R。 (c)針對n-bit之輪入 取立ΧΠρ ^ X(Xi、x2.....xn)的全部位元 取/、X0R。將結果當作χ，。亦即， χ’=χι、'·，χη 作與lbltm進行,,互斥或„。將結果當 y=(xi x2 ··· ^χη) 作2。(3〇取y與控制訊號的之Α㈣並當做輸出。將結果當 太元：Γ運算元件執行(lc)〜(3c)之處理，並將其當作基 本兀件B而構成h。亦即 基本元件B (X): z = (x厂x2'.，x;r)&en。 、在此，在輸入X既經與亂數成份進行，，互斥或”的情 :二二如’為A(x)之輸出的情況’若X為奇數位元串則不 進灯（2c)之處理。 =用作為基本元、基本元件β的輸人之控制訊號 ⑼的交化，係比各基本元件之其他的輸人訊號緩慢許多。 亦即’上述之基本元件A、基本元件β之情況，只在控制 ，號en為邏輯「丨」時，各基本元件以 「（加密演算法之中間值或是處理結果）'亂數值」 之形式輪出結果’除此以外之情況經常輸出Q。使用該等 316)20 16 1276337 凡件A、基本元件β，構成加密演算法F。如同後述之 =圖的「最後之變換層」的情況，對於基本元件A或是 几件β之處理結果’以前面之處理中所使用的I數進 订互斥或"即可獲得加密文或是普通文。 r-fU用第2圖說明使用基本元件Α、基本元件β a 處理的電路。第2圖係顯示使用基本元件 略之土方塊70件=于加密演算法之處理的電路3 0之構成概 法之θ ▲二土兀件A、基本元件B由於係對加密演算 未被I = 的對抗措施’所以適用演算法並 =路3〇包含選擇器2、|L數產生器3、"互斥或U ^士 5、非線性變換Si6等、線性變換μ等、控制電 互斤日:序產生電路彻、時序控制電路㈣、纖閑n、 性及暫㈣14°非線性變轉、線 成1又，線性變換^係由基本元件B所構成。 弟3圖係顯示第2圖所干夕帝 參照第3圖說明電路3。之動作㈣3◦之動作的流程圖。 輸入資料Xl(明文、穷令 ^ 將之盘离丨齡P 4 在文、岔鑰等），係由"互斥或,,4 =與亂數Rl加以互斥或處理，成為x<x〇R>Rl，並輸入 另外’在第2圖’以非線性變 料、1 U興LJ*之順序形成層。此為-例。非線性 ’:換層、線性變換層之順序、及層 法而定。來自"互斥或”5之上方的輪入為。,*u;產生器3 316120 17 1276337 之最上方的輸出為亂數&。又，來自至非線性變換& β之 右方的輸入為亂數K及亂數R2。從非線性變換Si6之左 方’輸入上述之控制訊號eni (S1〇2)。控制訊號eni，比 作為輸入訊號之X<X0R>Ri、Ri、及h之訊號變化慢而變 成ί 。該控制係由控制電路8、時序產生電路TG9、時序 控制電路tcio進行。非線性變換Sl6係輸出Xi<X0R> R2(S103)。同樣地，線性變換Lj係輸入Xi<x〇R>R2、κ 及比該等訊號之變化慢的控制訊號en2作為輸入。藉此， 線性變換L27係輸出X2<XQR>R2。此後，同樣地反覆進行 非線性變換、線性變換之處理（sl〇4)。 另外，在以同一電路處理非線性變換、線性變換之電 勺N况係以選擇為2選擇在最後之變換層^ (或是、） 1的結* Xl<X〇R> V並再次當作，，互斥或"4之輸入。 ^來自互斥或5之上方的輸入為Rj，亂數產生器3 =方的輸出為Rm。藉此，•自"互斥或”4之右方的輪 义Rj< X〇R> Rj + 1，Π互斥或”4之輸出變成X < x〇R>

Rm (S105)。 之二Γ寅算法F之處理所需的非線性變換、線性變化 处、二的階段，控制電路8對_閘U輸入"Γ,。藉 與係由丨|互斥或:12n^； n)輸出的結果um’ 第 / 2末處理，並輸出資料Xn (S106)。 成恤而;^τ路針^ 2圖所示之電路3◦，將亂數簡化 性變換Sl，係由只使用二:成：圖。例如，電路31之非線 11之亂數的基本元件A所構成。 316120 18 1276337 • « 电路31與電路30相較，由於刪減了在電路上所用之亂數 的數目，所以可在比電路3 〇少之電路面積上安裝。 第5圖係顯示在第2圖之電路3〇、第4圖之電路31 中的各層上所用之控制訊號的時序之圖。在開始進行加密 决^法處理之start訊號變成有效之後，針對輸入資料χι 之選擇器、2、"互彳或"4之處理結束，且其處理結果充分傳 播至構成非線性變換Si之基本元件A之後，最初之層心 的控制訊號en(Sl)會變化成邏輯i。之後&輸出運算結 果，且資料傳播至構成L2之基本元件B。在全部資料已傳 播之階段’ L2之控制訊號吨)變化成邏輯i。對之後的 層進行同樣之動作，最終為最後之層、之控制訊號 en(S2i —丨）變化成邏輯1 〇 有關上述之控制訊號，為了進行下 :使:控制訊號成為邏輯。之初始化處理。初:化:Γ ^有^全部，運算結束的階段進行的方法。χ，其他的 從h ^ ^ 口所不之攸上位層依次初始化之方法。 上位層依次初始化之方法， 開始為止之等待時門，％、 短直到下一個運算 A' 斤以可貫現高速處理。但是，在作 為初始化之對象的層與下一 乍 化的對象9之層間，品要儲存作為初始 〕對象之層的輪出之暫存器 第β FI总π -二 甩路成本會增加。 r構1= 為基本元件實施例之以電晶體呈 月豆構成的基本元件A100之圖。 电曰日版具 择於λ r 弟b圖之基本元件Aloo， 令訊鲈夕X j )及齓數Γ、控制訊號en(指 7 Λ唬之一例）。然後，輪出 曰 316120 19 1276337 l fe z 二（（Xi r)&(xf r；Tr)&en。 在z之式子中與Xl、及心進 數。第3個之亂數r為第2氣數H之亂數Γ為弟1亂 以下使用第6圖說明基本元件Α100。 (1)基本元件Α100係由上部U5與下 接所構成。輸出訊號ζ從上部 如、 (聰圖中，記號「二:16之間輸出。 ·」係扎汛唬反轉之意。又，附 在構成上部115之各電晶體上的向右箭號 訊號為「0」時電晶體導通者。 如表不在 +曰邮L认人丄Α 又，附在構成下部116之各 :曰心上的向左箭號「一」，係表示在 曰 =者。因而’上部115係訊號為「〇」時導通i電！;: 白、木合。又’下部π 6係訊號為「i」時導通之電日 合。施加部U3上施加有相當於邏輯Γ1」之電壓曰曰版、木 主（3)在施加部113上施加有相當於邏輯「丄」之電 情況，可依各電晶體之開關而輸出 甩土、 ζ-（（X! r)&(X2 r) r)&en。 說明基本元件A100之電晶體的構成。上部⑴係 :包晶體10卜電晶體102與電晶體103之並聯電路 黾晶體1 0 4與電晶體1 〇 5之串聯违i @ + B u n 連接與電晶體丨〇6並聯連 接而成的並聯電路加以串聯連接而構成。 ％連 (5)下部116係將電晶體1〇7、電 .^ ^ B +日^ 电日日脰108與電晶體1〇9 之串％連接、及電晶體110與電晶體⑴之並聯電路_ 晶體112之串聯連接加以並聯連接而構成。而且，“: 107、電晶體1〇9及電晶體112之—端係連接至接地二： 316120 20 1276337 (6)其次就輸入訊號加 輸入至電晶體。 以說明。輸入訊號係全部反轉 而 輸入訊號^經反轉而輸入至電晶體1〇2、電晶 、 電晶體108及電晶體11〇。 體 ⑺輪入訊號χ2經反轉而輸入至電晶體1〇3、電 1 0 5、電晶體1 〇 9及電晶體11 i。 112。 ⑻輸入訊號"經反轉而輸入至電晶體106及電 晶體 107 ⑼輸入訊號en經反轉而輸入至電晶體ι〇ι及電 如前面所述，基本元件A100係輪入以亂數1

Xl:，進打"，斥或，1而得之資料Χι、〜，並以將對Xl、x.

進行預定之邏輯運算的处果I自叙 ^ 1 J 能於Ψ夕少1产I 與亂數r進行Π互斥或π後的狀 ^ 御出之一况，在全部之輸入訊號確定之 傻—次輸出。亦即，輪出旬硤又&认 ^ ^ ^鄉 八 彻出汎號不叉輸入訊號之瞬態遷移的 4。又，不會在輸入至輸出之途中生成資料而一次輪出。 猎此，可對抗欲從消耗電力中特定出㈣資訊之攻擊。 第6圖之基本元件A10〇係2輸入AND型，且如前述， 輪出如下之Z。 A(X! ^ x2) ： ζ = ((χΓγ)&(xrr)»&en 在此，Xl=x厂r、x2=Xj，r。 在以基本元件A1 〇 〇構成第4圖之非線性變換I的情 况’係如^述。有關非線性變換\的輸入之<X〇R> {r、r、 r ...、Γί、r、及控制訊號en，基本元件A10 0係對任意 316120 21 1276337 並輸出ζ。亦即 之2blt進行A(W、Vr)之處理 z=(((Xi>)、)&((vr)、))&en 。然後，en=1之情況，輸出 弟7圖係顯示基本元件Α100之真值表。

χι=〇之情況，輸出ζ之訊號進行、「。二; 之遷移的訊號遷移率α (Χι=0)為： 」或1至 ^Χι = 〇)=ΡΟχ Ρ1(Χι = 〇)+Ρ1χ ρ〇(Χι = 〇) = 1/2 在此，Ρ0為Ζ變成「〇」之機率。？1為2 從真值表可知 勹ζ又成「1」之機 Ρ0二4/8、 Ρ1 二4/8 〇 Ρ0(χ 表可知 、1厂①甘心―馀仵下，Ζ變成「丨」之機率 :0)係〜◦之條件下，Ζ變成「〇」之機率。從真 Ρ 〇 (X1 = 0)二 3 / 4、 pl(Xf〇) = l/4。因而， a (xj=：〇)=p〇x PI (χ1 = 〇)+Ρ1χ Ρ〇(χ^〇) =4 / 8 x 1 / 4 + 4 / 8 x 3 / 4 二 1 / 2 〇 當x^l之情況亦同樣計算時，從真值表可知 P〇(Xfl)二 1/4、 P1 (X i = 1)二 3 / 4。因而， ^(xi-l)=P0x PKx^D + Plx POCx^l) 二4/8x 3/4+4/8x 1/4=1/2 。 316120 22 1276337 因而’訊號遷移率cr在輸入χι (或χ2)為〇與（之情況變 成相同。又，有關輸出2，係利用控制訊號en，在輸入訊 號確定之後-次輸出。亦即，輸出訊號不受輸入訊號之瞬 恶遷移的影響。X ’不會產生從輸入至輸出之途中的資料 而一次輸出。因此基本元件A1〇〇中，無法從消耗電力中預 測秘密資訊。 ' 第8A圖至第8C圖係基本元件A1〇〇中之亂數r與控制 訊號en之任務的說明圖。以不使用亂數厂與控制訊號如 之狀態處理上述基本元件A1〇〇中之χι&χ】之處理的情況， 與第8Α®所示之2輸人娜問相同。該情況之真值表為第 8Β圖。该情況，輪出中之訊號遷移率“，從第8β圖之真 值表可知 \ = 〇 時，a = ， xi = l 時，a (Xi二 1 ) = i/2。 亦即，訊號遷移率α不同。 使用第8C圖加以詳細說明。首先，在χ「〇之情況 輸出ζ之訊號進行1至1」或「1至〇」的遷移之訊號 移率a (xi = 0)為： a (Xl = 0)：：：P0x PKxfOHPlx P0(xf0) = l/4。 =，P0為z變成「〇」之機率。P1為z變成Γ1」之機率 攸乐8β圖之真值表可知Ρ0 = 3/4、Ρ1 = ΐ/4。又，ρ1(Χι = 0 係t Xl=◦之條件下ζ變成Γ1」之機率,4=〇)係在 之D下z變成「〇」之機率。從真值表可知 P〇(Xi=0)=l 、 316120 23 1276337 ,, PI (Xi = 0 )二〇。因而， a (Xi = 〇)=P〇x Ρ1(χ^0) + Ρ1χ PO(Xi = 〇) 二3/4x 〇+l/4x 1=1/4 ο 當x i = 1之情況亦同樣计异時’從真值表可知 POCx^D-1/2 。因而， 〇ί (χι = 1)-Ρ0χ PlCx^D + Plx Ρ〇(χ^ΐ) :3/4x l/2+l/4x 1/2=1/2 。 因而，如上所述’ χ^Ο 時，α (χ[二0)二 1/4，

Xi = l 時，α(χ^1) = 1/ 2〇 如此在訊號遷移率α上產生偏差。 因而，第8Α圖所示之2輸入AND，在單方之輸入& (或 X j)為0與1之情況就會產生電力差。因此，可從消耗電力 中預測AND閘之輸入。藉此，可特定出處理中所用之秘密 資訊。 其次，使用第9A圖至第9C圖說明控制訊號en。第9八 圖所示之不使用控制訊號en的基本元件A，在輸入訊號之 變化上有時間差的情況’會在瞬態遷移中產生不依存於亂 數之汛唬變化，而在訊號遷移率α上產生偏差。因此，可 特定出秘密資訊。第9Β圖係顯示第9Α圖之基本元件Α，的 真值表。又，第9C圖係顯示基本元件Α，之訊號遷移率“。 從第9Β圖之真值表中可知，關於輸出ζ之訊號遷移率“ (xj)、訊號遷移率α(χ1 = 〇之任一個均變成1/2。但是， 316120 1276337 . 在輸入訊號之變化上有時間差的情況，則成為如下。例如， 在基本兀件A中’如第9G圖所示訊號依&、X〗、『之順序 贫化的’丨月况’在Xj產生變化之時間中，於訊號遷移率α上 產生與第8C圖同樣的偏差。因而，可㈣耗電力中_ AND閘之輸入。Xi、Xj、r變化之順序即使不同也只是產生 偏差之：間偏移而已。另外，在輸入訊號之變化上沒有時 間差的情況，則沒有問題。 、 圖 第10A圖至帛10c圖係顯示基本元件μ⑽的處理之 第10A圖係顯示基本元件M〇〇的輸出入之圖。 請圖係顯示基本元件A10 0的真值表之圖。 之圖弟1〇C圖係顯示輸入訊號之變化與輸出訊號z的關係 J 而曼成1/2。而且，如第「同 所示，在控制訊號 w i〇c圖 z-直為〇。因m心1基本7"件⑽0之輸出 猎由使控制訊號⑶比 號變化慢成為i，就不會在輪出2上產生瞬熊、二：之； 產生訊號遷移率α均等的遷移。因而：=:二 特定出秘密資訊。 …、去攸扁耗電力中 如此，在輪出入值方面，對 的等以I數進行”互斤^ 處理對象之值 en進行運管所；ρέ 士 5且將其輪出依控制訊號 方式，Γ用;:、r崎 ^入以上之勘處理或其他⑽、麵、麵、 316120 1276337 XOR等中，以構成非線性變換層、線性變換層。 以上述手法構成基本元件時，單純組合習知基本閘， 且進行與上述同樣之運算並不能發揮作為對抗措施之功 能。例如，第11圖為第6圖之等效電路。第11圖之AND 閘40，係指為了進行χβχ』之處理，進行與第8A圖相同之 動作之意。因而，由於在訊號遷移率α上發生偏差，所以 可預測AND閘40之輸入。第11圖之「等效電路」與第1 圖之元件20相同。在元件20之輸出點25中，與AND閘 40同樣會在訊號遷移率α上產生偏差。因此，元件20係 為了方便說明基本元件Α之簡早構成。為了防止從電力消 耗泡漏出秘密資訊，在輸出入值方面，在進行對習知之值 以亂數值進行n互斥或π，且將其輸出依控制訊號en而一次 輸出的處理上，有必要以如第6圖之基本元件A1 0 0之一次 將輸出z予以輸出的單一運算元件來實現處理。 藉由安裝日本特表20 03-5261 34號公報或特開200 2-31 1826號公報之閘對或電路對等之互補的電路以使訊號 遷移率α均等化的方式，只要進行互補動作之電路不以相 同時序動作，就無法發揮作為對抗措施之功能。然而，本 實施形態1之基本元件Α1 00，係以單體之運算元件使訊號 遷移率α成為均等，而且不會在輸出ζ上產生瞬態遷移。 因此，不需要「進行互補動作之電路必須以相同時序動作」 之如前面所述的條件。因而，可效率佳地實現對抗措施。 又，第6圖之基本元件Α100只有存在1條輸出線。因而， 沒有必要如閘對或電路對般地考慮「輸出線之負載的均等 26 316120 l276337 化」。 亂數基本元4“於係輸入咖之資料與 中p a 或"的資料χ而執行預定之邏輯運算，並輸 *邏輯運算之結果與1數 工輸 以可你认L b J互斥或作為輸出訊號，所 消耗==號遷移率成為均等。因此，藉由消除 訊之攻擊。i #可對抗欲從消耗電力中特定出秘密資 赵’、&开〜1之基本兀件A由於係藉由使用-種類之亂 ^進行處理關錢數之種類，所以與使種之 礼數㈣況相較，可縮小安裝面積。 狀 击二:2幵八、1之基本兀件A由於在輸入訊號之狀態遷移 束的^執行處理以將輸出訊號Μ輸出 出之訊號遷移形成均等。 」使輛 貫施形態1之基本元件Α由於係依指示輸 號)而將輸出2予以輸出，所以可使訊號遷移 利用實施形態i之基本元件Α1〇〇,可對抗欲從消耗電 用資訊之攻擊。又’基本元件侧由於係利 电曰日版之电路構成而完成的硬體之對抗， 對抗方案更可進行高速處理。 ^之 、/'她形態1之基本元件Α100由於係使用一種類之亂數 r進仃處理以刪減1數之種類，所以比使用多種類之礼數 的情況，更可縮小安裝面積。 貝鈀形怨1之基本元件A100由於係依指示輸出之控制 316120 27 1276337 訊號en(指令訊號）而將輸出z予以輸出’所以可使訊號遷 移率形成均等。 (實施形態2) 其次，使用第1 2A圖至第16圖說明實施形態2。實施 形悲2係祝明藉由使用記憶體元件來實現具有與帛6圖所 示之實施形態1之基本元件A100等效的功能之lut2〇 述之第1 5圖）。 、首先，作為非線性層之例，就DES之S-box的構成方 法加以說明。之後，說明將LUT 200應用於S_b〇x之情況。 所謂「S-box」係對某輸入進行已決定之輸出的;憂。 表。㈣中，6blt輪入、4blt輸出之表經定義有8種類、。 此種的變換表，全部可在AND_x〇R電路中安裝。 弟m圖係表示DES演算法所定義<si表 圖。如第12A圖所示，S1表係輸入6bu之 V , Y γ V , 貝 丁卞 j 人5、）(4、 3 2、1、U，並變換成4bit之資料{y3、 、 而輸出。 1、y〇} 弟12B圖係顯示S1表的内容之圖。第m圖之 中，可從輸入資料丨Χ、Υ、Υ γ ν 表 胃才十 u5、x4、x3、x2、Xi、x〇^{X5 決定列。又，從{ χ4、χ3、χ2、Χι }決定行。 °末 從 苐12C圖係顯示輸入值與輸出值的—例之圖 u5、χ4、χ3、χ2、Χι、X。卜{011011} ，得 u5、x0} = {01 卜 1 。因而 可決定S1表之第2列。其次 316120 28 1276337 、x3、x2、Xi }二{1101}二 13 。因而’可決疋SI表之第i4行。因而，，可置 換成2列14行之「5」（〇 1 〇 1)。 弟12B圖所示之S1表第1列的「丨4、4、13 7」，係可從第13圖所示之yQ’等效變形成之式子。同 樣地，第2列以後亦可作變換。第丨3圖之式子，係與第& 圖之電路31的情況相同，可如第14圖所示分別由丨層之 非線性層與1層之線性層所構成。第14圖中，與第4 情況同樣，輸入資料是先利用亂數r對它進行,，互斥並 輸入至非線性層。其次，在第1厚夕非娩w*既^ '' 牡弟丄層之非線性層進行AND處 理，在第2層之線性層上進行χ〇κ之處理。 至此所說明之對抗措施，係如同第6圖之基本元件 AiOO 般，假設由 M〇SFET(Metal0xldeSemic〇nd2t〇rFieid

Effect Transistor :金氧半場效電晶體）所構成。但是， 亦可考慮不以M0SFET等級之設計來進行加密演算法之電 路的設計。例如，亦可考慮設計成為以FPGA(Fleld %

PiOgramble Gate Array :場可程式邏輯閘陣列）為代表之 可改寫的半導體裝置。該情況，成為設計者可自由變更以 事先安裝於晶片上之觀（statlc — Ac⑽ M_ry:靜態隨機存取記憶體）為基本而構成的記憶體 (以下將之簡稱為LUT)、或以正反器為代表之記憶元件的 内部狀態及其配線之規格。該種裝置之實施形態顯示於第 第15圖係顯示使用4輸入！輪出之lut2〇〇來實現與 3]612〇 29 1276337 第6圖之基本元件A100等效功能的構成之圖。 順㈣與基本WG等效，其輸人Xi、X2、r、 en作為輸入。輪出z為 z二（（X! r)&(xrr)>)&en。 LUT2GG包含輸人部25Q、複數個_⑽ 及複f固傳送電晶體（卿st—to⑽0等。SRAM具有 儲存貝現峰輯函數之值的功能。資料串Η 由各麵所館存之資料所構成。傳送電晶體係具有 左右接線之開關功能。 另稍對方、 以下說明第15圖之lUT ? π n όΑ投丄 配置於樹狀構造之各分支 α刀支上。如後面所述般，各傳送雷曰 體配置於分支201〜分支23◦之3。個分支的各個上:： 訊=，係使配置於各分支上之傳送電晶體進行^ 作為開關功能之傳送電晶體，係當輸入「◦」時不

⑴其次，說明LUT2GQ之構成。UT 分歧成分支201、分支202之-古 糸伙輪出Z 205、分支2〇6之八* 分支2〇2分歧成分支 Γ 支 m分歧成分支211、分支21? 之一支。分支206分歧成分支213、分 支211分歧成分支223、分支224夕 之二支。分 成分支挪、分支226之二支。八支；；支。分支212分歧 分支228之二支。分支214分二支二3分歧成分支· 二支。在「分支m、分支224歧成分乂支229、分支咖之 接有删。 24…分支挪」之各個上連 316120 30 1276337 (2)分支201與分支202同樣地進行分歧。分支2〇1 分歧成分支203、分支2〇4之二支。分支2〇3分歧成分支 2〇7、分支208之二支。分支204分歧成分支2〇9、分支21〇 之二支。分支207分歧成分支215、分支216之二支。分 支208分歧成分支217、分支218之二支。分支2〇9分歧 成分支219、分支220之二支。分支21〇分歧成分支221、 分支222之二支。在「分支215、分支216、…分支〗^」 之各個上連接有SRAM。第15圖中，在連接於分支216、分 支218、分支220上的SRAM内儲存有Γ1」。於其他的觀 内儲存有「0」。 (3)就輸入訊號加以說明。輸入訊號χ2之反轉訊號， 輸入至配置於分支201上的傳送電晶體。輪入訊號&輸入 ，配置於分支202上的傳送電晶體。輸入訊號心之反轉訊 號，輸入至配置於分支203、分支205上的傳送電晶體。 輸入訊號Xl輸入至配置於分支2〇4、分支2〇6上的傳送電 晶體。輸入訊號r之反轉訊號，輸入至配置於分支2〇7、 分支209、分支211、分支213上的傳送電晶體。輸入訊號 r輸入至配置於分支208、分支21〇、分支212、分支214 上的傳送電晶體。輸入訊號en之反轉訊號，輸入至配置於 分支215、分支217、分支219、分支221、分支223、分 支225、分支227、分支229上的傳送電晶體。輸入訊號 en輸入至配置於分支216、分支218、分支220、分支222、 分支224、分支226、分支228、分支230上的傳送電晶體。 若將控制訊號en之有效值設為「〇」，則前述之 316120 1276337 z-((Xi r)&(x/r^O&en中的r&en」之處理，就變更成r I e η」（與控制sfl號e η之〇 R)，以同樣思考方式可利用[υ τ 來貫現與基本元件Α等效的功能。 另外，若輸入訊號Xl、X2、r同時輸入的話則不需要 控制訊號en。此情況，各個相應之電晶體’同時進行開關。 此外，藉由亦在2輸入0R、N0R、NAND、X0R等上應用 同樣之處理方式，即可對抗欲從消耗電力中特定出秘密資 訊之攻擊。 山、 在3輸入以上之基本元件中，一般而言，lut之大小 被固定之情況很多。因此’如第16圖所示，組合2輪入之 基本元件來構成較為實際。此情況，要使用2個不同 的控制L第16圖所示’有關成為挪2犯之輸 入的LUT 291之輸出、及LUT⑽中來自哪29ι之輪入 =外的輸訊號變化有時間差，所以在共有控制訊號的 …從前述之理由(輸入訊號之瞬態遷移)來看，變成不 發揮亂數性之功能所致。 =實_，態2UUT2QQ，則可對抗欲從消耗電力 中4寸疋出秘密資訊之攻擊。 實施形態2之LUT 200， 進行處理以刪減亂數之種類 情況相較，可縮小安裝面積 由於藉由使用一種類之亂數r 所以與使用多種類之亂數的 於複數個電晶體 不會出現經過， 同時進行 而可使訊 實施形態2之LUT 200，由 開關，所以從輸入至輸出之途中 號遷移率成為均等。 3】612〇 32 1276337 實施形態2之謝2〇〇，由於係依指示# 號en(指令訊號）而將輸出z予以輪出，、 拴制成 率成為均等。 所以可使訊號遷移 (實施形態3) 其次，使用第Π圖至第22圖說明與 :A10G、第15圖之LUT2⑽不同的基本元件。第 寺同樣，可對抗欲從消耗電力特定出秘密資訊之 弟17圖係顯示實施形態3之基本元件八3⑽之圖。^ 本兀件A300,相對於第6圖之基本 土 t 5虎en之電晶體101與電晶體107的構成。亦即，其 本兀件讓之輸入訊號為Χι、X2、r。又，輸出Z變成土 z〜（（x! r)&(x2^rVr)。 控制訊號en不存在。基本元件議係假設輸入訊號&、 =、Γ以相同、時序輸入至各電晶體之情況的元件。 :即’由於輸人訊號係同時輸人’所以相應之複數個電晶 &的開關會同時進行。因而沒有必要控制訊號如之故。 只施形態3之基本元件A3〇〇，由於不需要控制訊號⑼ 之輪入，所以可以簡單之構成來安裝。 第18圖係顯示實施形態3之基本元件A4〇〇之圖。相 對於^ β η 彳 、弟6圖之基本元件Μ00為2輸入and型，基本元件 A4〇〇為2輸入0R型。輸入訊號為&、&、r、⑶。又，輸 出2變成 316120 33 1276337 * ζ = ((χ，Γ) I (x2>Vr)&eri。 與基本元件A100之情況 . 饭知入Χι、χ2為

Xi = Xi r、χ2 = χ〗r ° 如此，以亂數對輸出入進行" 號en之各電晶體的_，„^=。料絲於控制訊 A1◦◦同樣，可對抗欲從消耗電力輪中出；: 擊。 兒力中4寸足出秘密資訊之攻 (1) 說明基本元件A4〇〇之播士甘丄一 部仍與下部416之串聯連接^:基本元件漏係由上 415與下部416之間輸出。 。輪出訊號z從上部 (2) 第18圖中，記辨「, y 「 "b ·」、向右箭號「―」、向卢舒获 —」’與第δ圖之情況相同。 」、，則说 後述之第19圖至第22圖中亦為 1之思義，即使在 有相當於邏輯Π」之電墨。，、、、 &加部413上施加 (3 )在知加部413上施加有相 情況，利用夂雷曰卿田於邂輯之電壓的 〜扣谷电日日體之開關可輪出 Z=((W) | (X2>)Ar)&en。 (4)上部415係由電晶轉^^ 接所構成。電晶體4〇1之—心電路417之串聯連 連接在部分電路417上。部分電：：“13 2 ’另-端 電晶體403之串聯連接、及電曰㈣私曰曰體402與 聯電路與電曰 ^ 4與電晶體405之並 ⑸下却 連接予以並聯連接而成。 ^ )下416之電晶辦的棋山^ A100之下1 nR；ten a且〇構成係與第6圖之基本元件 下M16相同的構成。亦即，電晶體4〇?〜電晶體 316120 34 1276337 41 2之配置係與電晶體1 〇 7〜電晶體112之配置相同。但是， 在下部116之電晶體112上輸入有輸入訊號r之反轉訊 號，相對於此，在下部416之電晶體412上輸入訊號r並 無需反轉而直接輸入。 (6)其次’就輸入訊號加以說明。輪入訊號χι之反轉 訊號輸入至電晶體402、電晶體404、電晶體408及電晶體 410。 (Ό輸入訊號X2之反轉訊號輸入至電晶體4〇3、電晶體 405、電晶體409及電晶體411。 (8) 輸入訊號r輸入至電晶體406及電晶體412。 (9) 輸入訊號en之反轉訊號輪入至電晶體4〇1及電晶 體 407 〇 第19圖係顯示實施形態3之基本元件A5〇〇之圖。第 6圖之基本元件A100係2輪入AND型’相對於此，基本元 件A50G係2輸入NAND型。輸入訊號為wru， 輸出Z變成 Z =(〜（xrrH(xrrrr)&en。 與基本元件A100之情況同樣，輸入χ

Xl=Xi Γ、x2 二X厂 r 〇 且利用基於控制訊 藉此，與基本元件 出秘密資訊之攻 如此，以I數對輸出入進行"互斥或Μ。 號e η之各電晶體的開關，一次輸出ζ。 Α100同樣，可對抗欲從消耗電力中特定 擊。 (1)基本元件Α500 之電 晶體的構成， 如第19圖所示 316120 35 1276337 與第18圖之基本元件A4〇〇相同。但是，輸入至各電晶體 之訊號的反轉不同。 (2) 就輸入訊號加以說明。輸入訊號&輸入至電晶體 502、電晶體504、電晶體508及電晶體510。 (3) 輸入訊號X2輸入至電晶體5〇3、電晶體5〇5、恭曰 曰曰 體509及電晶體511。 (4) 輸入訊號r輸入至電晶體5〇6及電晶體512。 (5) 輸入訊號en之反轉訊號輸入至電晶體5〇1及電晶 體507。 曰曰 第20圖係顯示實施形態3之基本元件A6〇〇之圖。第 6圖之基本元件A100為2輪入MD型，相對於此，基本元 件A600為2輸入NOR型。輪入訊號為Xi、 r 輸出爾 「Z = (〜（χΓγ) 1 (χ2>)>)如n」。與基本元件A100之情況 同樣，輸入X!、X2為

XfXi r、x2二χ]’r 〇 如此，以亂數對輸出入進行”互斥或"。且利用基於控制气 號en之各電晶體的開關，一次輸出z。藉此，與基^元件 A100同樣，可對抗欲從消耗電力中特定出秘密資訊 擊。 又 (1) 基本元件A600之電晶體的構成，如第2〇圖所示， 與第18圖之基本元件A4QM目同。但是，輸入至各電晶鱗 之訊號之反轉的有無不同。 BS ^ (2) 就輸入訊號加以說明。輸入訊號心輸入至電g轉 316120 36 1276337 602、電晶體604、電晶體608及電晶體610。 (3) 輸入訊號&輪入至電晶體6〇3、電晶體6〇5、電晶 體609及電晶體611。 (4) 輸入訊號r之反轉訊號輸入至電晶體6〇6及電晶體 612。 (5)輸入訊號en之反轉訊號輸入至電晶體6〇ι及電晶 體 607 〇 第21圖係顯示實施形態、3之基本元件β7〇〇之圖。第 6圖之基本元件A100 $ 2輸人AND型，相對於此，基本元 件B700為2輸入XOR型。輸入訊號為X、p 輸出Ζ變成 2 與基本元件A100之情況同樣，輸入心、、為 xi = Xi r、χ2 = χ厂 r 〇 如此，以亂數對輸出入進行"互斥或,，。且利用基於 號e η之各電晶體的開關，一次輸出ζ。藉此，^ : 咖同樣，可對抗欲從消耗電力中特定出秘密資;t件 (1) 基本7G件B700係由上部721與下部7以 接所構成。輸出减z從上部721與下冑把《:連 (2) 在施加部719上施加有相當於邏輯「1 :。 ⑶在施力“”19上施加有相當於邏輯Γι」」=^ 情況，利用各電晶體之開關可輪出 」 兒壓的 z = ((xrr)^(x2'r)Ar)&en 〇 316120 37 1276337 (4) 上部721係由電晶體701與部分電路727之串聯連 接所構成。 電晶體71 0之一端連接在施加部71 9，另一端與部分 電路727連接。 (5) 說明部分電路727之構成。部分電路727係將電晶 體702與並聯電路723之串聯連接、及並聯電路724與電 晶體709之串聯連接予以並聯連接而成。 然後，並聯電路723係將電晶體703與電晶體704之 串聯連接、及電晶體705與電晶體706之串聯連接予以並 聯連接而構成之並聯電路。 又，並聯電路724係由電晶體707與電晶體708構成 之並聯電路。 (6) 其次說明下部722之構成。 下部722係將電晶體710、並聯電路725與電晶體715 之串聯連接、及並聯電路726與電晶體71 8之串聯連接予 以並聯連接而成。然後，並聯電路725與並聯電路723同 樣，係將電晶體711與電晶體712之串聯連接、及電晶體 713與電晶體714之串聯連接予以並聯連接而構成之並聯 電路。並聯電路726與並聯電路724同樣，係由電晶體716 與電晶體71 7構成之並聯電路。 (7) 其次’就輸入至各電晶體之輸入訊號加以說明。輸 入訊號X!輸入至電晶體703、電晶體707、電晶體711、電 晶體716。又，輸入訊號Xi之反轉訊號輸入至電晶體705、 電晶體713。輸入訊號X2輸入至電晶體704、電晶體708、 38 316120 1276337 電晶體712及電晶體717。又，輸入訊號x2之反轉訊號輸 入至電晶體7 0 6、電晶體714。輸入訊號r輸入至電晶體 709、電晶體718。輸入訊號r之反轉訊號輸入至電晶體 7 0 2、電晶體715。輸入訊號erl之反轉訊號輸入至電晶體 701、電晶體710。 第22圖係顯示實施形態3之基本元件A800之圖。第 6圖之基本元件A100為2輸入AND型，相對於此，基本元 件A8〇〇為3輸入AND型。輸入訊號為&、χ2、。 又’輸出z變成 z=((xrr)&(X2>)&(X3>rr)&eri。 與基本元件A100之情況同樣，輸入Xl、x2、x3為 Χι-Xi r、x2=Xj r、Χ3 = Χκ-Γ。 ^此’以亂數對輸出人進行"互斥或||。且利用基於控制訊 號en之各電晶體的開關’ 一次輸出z。藉此，與基本元件 A100同樣，可對抗欲從消耗電力中特定出秘密資訊之攻 技I1)基本元件删係由上部㈣與下部82〇之串聯達 )在&加部817上施加有相當於邏 _加細上施加有相 情況，利用各電晶體之開關可輪出 」之廷反的 「zK(XlV)&(xrr)&(xrr)>)&en」。 (4)上部819係由電晶體8〇]、φ a雕 與電晶體804之並聯電路、及：舁電晶體803 日日肢805與電晶體δ06與 316120 39 1276337 電晶體807之串聯電路與電晶體808之並聯電路的串聯連 接所構成。 (5) 下部820係將電晶體809、電晶體810與電晶體811 與電晶體81 2之串聯連接、及電晶體81 3與電晶體814與 電晶體815之並聯電路與電晶體81 6之串聯連接予以並聯 連接而構成之並聯電路。 (6) 其次’就輸入至各電晶體之輸入訊號加以說明。基 本元件A800中，輸入訊號Xl、X2、X3、厂、en係全部反轉， 並輸入至各電晶體。輸入訊號Xi之反轉訊號輸入至電晶體 80 2、電晶體80 5、電晶體810、電晶體81 3。輸入訊號χ2 之反轉訊號輸入至電晶體803、電晶體806、電晶體811 及電晶體814。輸入訊號&之反轉訊號輸入至電晶體8〇4、 電晶體807、電晶體812、電晶體815。輸入訊號Q之反轉 訊號輸入至電晶體808、電晶體816。輸入訊號如之反轉 訊號輸入至電晶體8 01、電晶體8 〇 9。 第23圖係顯示進行從消耗電力特定出秘密資訊之攻 擊時之消耗電力之時間變化的圖表。第23圖护二、 基本元件A、基本元件β之AND電路、XOR電由未使用 路，顯不對策前之狀態。如圖所示，在執行八仙斤構>成的弘 運异時，出現消耗電量之峰值。從該峰值運|及 出秘密資訊。 出現，可特定 第24圖係相對於第23圖，顯示使用基本一 本元件β之對策的情況。出現於第23圖之情—件Α基 失。由於該峰值之消滅，因此無法特定出.的峰值會消 贫資訊。 316120 40 1276337 【圖式簡單說明】 第1圖係顯示為方便說明實施形態1之基本元件A之 處理之簡單化的元件20之圖。 第2圖係顯示實施形態丨之電路30之構成概略的方塊 圖。 第3圖係顯示實施形態1之電路3〇之動作的流程圖。 第4圖係顯示實施形態1之電路31的構成之圖。 第5圖係顯示在實施形態1之電路3 〇及電路31之各 層上所用之控制訊號的時序圖。 第6圖係顯示實施形態1之基本元件a 1 〇 〇之圖。 第7圖係顯示實施形態1之基本元件a 1 〇 〇的真值表之 圖。 第8A圖係顯示2輸入AND閘之圖。 第8B圖係顯示2輸入AND閘的真值表之圖。 第8C圖係顯示2輸入AND閘的訊號遷移率之圖。 第9A圖係顯示2輸入AND閘之圖。 第9B圖係顯示2輸入AND閘的真值表之圖。 第9C圖係說明2輸入AND閘之瞬態遷移與訊號遷移 的關係之圖。 ν' 第10A圖係顯示實施形態丨之基本元件A1〇〇的輪出入 之圖。 第10B圖係顯示實施形態1之基本元件A1〇〇的真值 之圖。 〃表 第10C圖係顯示實施形態1之基本元件A1〇〇之輪 V δ十匕 3]612〇 41 1276337 號之’又化與輸出訊號z的關係之圖。 第11圖係顯示邏輯上與基本元件A1〇〇等效的電路之 圖。 第则係顯示由DES演算法所定義之以表的輪出入 第12B圖係顯示S1表的内容之圖。 第12C圖係顯示輸入值與輸出值的一例之圖。 第13圖係顯示將S1表之第i列作等效變 子之圖。 圖 f 15圖係顯示實施形態22LUT2〇〇之圖。 第16圖係顯示組合實施形態2之2輸入 成的電路之圖。 第Π圖係顯示實施形態3之基本元件謂〇之圖。 弟18圖係顯示實施形態3之基本元件續之圖。 第19圖係顯示實施形態3之基本元件侧之圖。 弟20圖係顯示實施形態3之基本元件_0之圖。 第21圖係顯示實施形態3之基本元件議之圖。 第22圖係顯示實施形態3之基本元件顧之圖。 ^第23圖係顯示對策前進行從消耗電力中特定出秘密 貧汛之攻擊時之消耗電力之時間變化的圖表。 一第24圖係顯示對策後進行從消耗電力中特定出秘密 貢訊之攻擊時之消耗電力之時間變化的圖表。 316120 42 1276337 【主要元件符號說明】 1 輸入資料X 2 選擇器 0 亂數產生器 4、! 5 互斥或u 6 非線性變換Si 7 線性變換u 8 控制電路 9 ί 時序產生電路TG 10 時序控制電路TC 11 AND閘 12 "互斥或，1 13、 14暫存器 20 元件 2卜 22 、 27 XOR 23 、 24 、 40 AND 閘 25 輸出點 26 控制訊號en 30 > 31電路 100 、 300 、 400 、 500 、 600 、800 基本元件a 101〜112 、 40卜412 、 501〜512 、 ι 701-718 > 801-816 113 、 413 、 719 、 817 601-612 > 電晶體 施加部 114、414、720、818 接地 115 、415、721、819 上部 116、416、722、820 下部 200 、291 、 292 LUT 201〜230分支 250 輸入部 260 SRAM 270 資料串 280 傳送電晶體 417 、727部分電路 700 基本元件B 723〜726 並聯電路

43 316120

Claims (1)

1276337 十、申請專利範圍： 1. 一種電子元件，其特徵為： 輸入預定之資料與第1亂數之π互斥或"的結果當 作輸入訊號，根據輸入之輸入訊號執行預定之邏輯運 算，並輸出所執行之邏輯運算的結果與第2亂數之”互 斥或π作為輸出訊號。 一種冤千兀件，其特徵為： η位元之第1 IL數及1位元之第2 2. 輸入XOR資料 ,· ▲-〜文人久1儿 < 乐； 亂數作為輸入訊號，其中之XOR資料係表示使η位元之 第1亂數與η(η^ 1)位元之資料進行”互斥或"而得之， 料，利用XOR資料與第1亂數之"互斥或,,算出η位元之 資料’使用算出之η位元資料的各位元執行預定之邏幸』 運算，並輸出所執行之邏輯運算的結果與第2亂數之! 互斥或π作為輸出訊號。 3.如申請專利範圍第2項之電子元件，其中 上述第1亂數係η位元之各位元為相同的值者； 的值ί述第2亂數係與上述第1亂數之各位元的值相筹 ^請專利範圍第2項之電子元件，其中上述電子元科 幸則入訊號之狀態遷移結束的情 訊號輸出。 心丁處理而將輸出 5·=請專利範圍第2項之電子元件，其中上 Π入下達將輸出訊號輸出的指令之指令訊號，並且I ^訊號輸人的情況，將輪出訊料以輸出。在 316120 44 1276337 6.如申請專利範圍第2項之電子元件，其中上述預定 輯運算係邏輯”及（綱）"、"反及（NAND)' "或⑽"、” 反或（NOR)’’、"互斥或（x〇R)"中之任一個。 Ί電子元件’係由複數個電晶體所構成，且輸 =二2^數及η位元⑽1)之資料並輸出預定之訊 唬作為輸出訊號者，其特徵為： 況，在第1亂數、第2亂數及η位元之資料輸入的情 一"執行帛1IL數與η位元之資料的„互斥或„並使用表 L:之ϋ結果的各位元進行預定之邏輯運/ ”，4預將^之Λ輯運算的結果與第2 a數之”互斥或 利用=口： 的結果等效之购 利用硬數個電晶體之開關予以輸出。 .如申請專利範圍第7項之電子元件，盆中 元為相同值：n位元的亂數； 的值之1位飞 > 糸與上述弟1亂數之各位元的值相等 |旦又丨位兀的亂數。 7 如申凊專利範圍第7項之φ — 係同時進行上述㈣、中上述電子元件 10.如申請專利範圍第7項之：；之：： :輪入下達將輸出訊號輸 Π.1電=的情況’將輪出訊號予以輸出。 0之資：並二輸入第1亂數、第嶋及η位元(n ]出預定之訊號作為輸出訊號者，其特徵 316120 45 1276337 為包含： 亂數及η位元之資料的輸入 第 輸入第1亂數 部； 儲存由〇與1構成之邏輯資料的儲存部；及 複數個電晶體’其H由開關而從上述儲存部所 輯資料取得在上述輸入部輪入有第i亂數、第2 亂數及η位元之資料的情況，執 資料的"互斥或”並使用表亍"η 編位元之 位元進行預定之邏輯運算再勃凡仃、，'。果的各 ? ^ ,, ^介再執仃預疋之邏輯運算的結 果與弟2亂數之”互斥或”所得的結料效之 之當作輸出訊號而輪出。 將 12. 如申請專利範圍第u項之電子元件，其中 上述：1亂數係各位元為相同值之n位元的喬⑷ 上述第2亂數係與上述第丨亂數 亂数之各位兀的值相笨 的值之1位元的亂數。 、 13. 如申請專利範圍第u項之電子元件， 電晶體係同時進行開關。 '、Μ數個 14·如申請專利範圍第11項之電子元件，其中 上迷輪入部還輸入下達將輸出訊號輸出 指令訊號； 7之 且上述電子S件在指令訊號輸人的情 號予以輸出。 j出5fl 15.—種貢料處理方法，其特徵為： 輸入預定之資料與第丨亂數之”互斥或"的結果作 316120 46 1276337 J 1 為輪入訊號’根據輪入之A … 八之輪入訊號執行預定之邏輯運 异，並輸出所執行之邏鈕 _ 、季耳運异的結果與苐2亂數之”互 斥或"作為輸出訊號。 ^ —種資料處理方法，其特徵為： 輪入XOR資料、η位；+ μ ,. 勤叙 十η.兀之弟1亂數及1位元之第2 虬數作為輸入訊號，其中之x〇R次 室卜▲ 入⑽貝枓係表示使η位元之 弟1亂數與η位元之資料進行” 用XOR資料與第工亂數之”互 奸之貝枓，利 佔田管山 吓及 '-出η位元之資料， 使用^出之η位兀貧料的各位元執 笞、，^、 机订預疋之邏輯運 ^ ’亚輸出所執行之邏輯運算的 斥, , 果與弟2亂數之，'互 斤或作為輪出訊號。 工 316120 47