WO2005078573A1

WO2005078573A1 - 乱数発生方法と半導体集積回路装置

Info

Publication number: WO2005078573A1
Application number: PCT/JP2004/001486
Authority: WO
Inventors: Masaya Muranaka
Original assignee: Hitachi Ulsi Systems Co., Ltd.
Priority date: 2004-02-12
Filing date: 2004-02-12
Publication date: 2005-08-25
Also published as: EP1715409B1; US7702704B2; JP4353435B2; KR20060125855A; CN1922570A; JPWO2005078573A1; CN100585552C; EP1715409A4; DE602004027663D1; EP1715409A1; KR100875786B1; US20070143384A1

Abstract

互いに同じ製造過程をもって同一の形態として形成された第1及び弟2論理回路と、上記第1論理回路及び第2論理回路のしきい値電圧の差電圧に重畳される雑音を増幅して2値信号を形成する増幅回路とからなる単位回路の複数個と、上記複数個の単位回路から出力される複数個からなる2値信号のうちのいずれか1つの信号変化に応答して出力信号を形成する信号変化検出回路とを備え、上記信号変化検出回路から出力される2値信号の複数個を組み合わせて乱数を生成する。

Description

明細書乱数発生方法と半導体集積回路装置技術分野

この発明は、乱数発生方法と半導体集積回路装置に関し、主として半導体製造技術に好適な乱数発生方法及びその半導体集積回路装置に利用して有効な技術に関するものである。 ■ 背景技術

近年のネットワーク化及び I T化急速に拡大する社会において、暗号技術や認証技術等のセキュリティ技術の重要性が高まっている。それらの技術の重要な要素の一つとして乱数がしばしば用いられている ,，現在、数種類の基本原理に基づいた乱数発生回路が実用化されている。高度情報セキュリティ向け超小型真性乱数生成回路の例として、「東芝レビユー」 Vol. 58 · 8 (2003) (第 1の先行技術）がある。また、特開 2 0 0 3 - 1 7 3 2 5 4号公報（第 2の先行技術）には、 R Sフリツプフ口ップの電源をオンオフすることにより得られる不確定出力を利用する乱数生成回路が記載されている。発明の開示

舌し数発生回路の性能を比較する要素は、乱数の品位（不規則性）、回路面積、消費電力及び応答時間（新しい乱数を生成するために要する時間）などであるが、従来の乱数発生回路はいずれも一長一短を持っている。舌 L数には、コンピュータのアルゴリズムなどで乱数を発生させる擬似乱数と、自然界の物理現象などを使つて乱数を発生させる真性乱数の二つがある。一般的に、後者の方の品位が高いとされている。真性乱数は、偶然性、非再現性、予測不可能性の特長を持っているが複雑な回路や素子を必要とし、簡便な装置への適用に適していない。例えば、上記第 1の先行技術において提案されている技術は、真性乱数発生回路であるが、プロセス（エッチング工程）の変更及びその制御が必要となるものである。また、上記第 2の先行技術は電源投入時の過渡的状況下での現象を利用するため、舌 L数の不規則性を低下させる要因が設計段階では予測不能であり、乱数の品質を保証することが困難であると考えられるしたがって、この発明の一つの目的は、製造プロセスの変更を行うことなく、小面積で高い品位の舌 L数を生成することができる乱数発生方法及び乱数発生回路を備えた半導体集積回路装置を提供することにある。この発明の他の目的は、低消費電力化を実現した乱数発生方法及びかかる乱数発生回路を備えた半導体集積回路装置を提供することにある。この発明の前記ならびにそのほかの目的と新規な特徴は、本明細書の記述および添付図面から明らかになるであろう。

本願において開示される発明のうち代表的なものの概要を簡単に説明すれば、下記の通りである。すなわち、互いに同じ製造過程をもって同一の形態として形成された第 1及び第 2論理回路と、上記第 1論理回路及び第 2論理回路のしきし、値電圧の差電圧に重畳される雑音を増幅して 2値信号を形成する増幅回路とからなる単位回路の複数個と、上記複数個の単位回路から出力される複数個からなる 2値信号のうちのいずれか 1つの信号変化に応答して出力信号を形成する信号変化検出回路とを備え、上記信号変化検出回路から出力される 2値信号の複数個を組み合わせて乱数を生成する。図面の簡単な説明

第 1図は、この発明に係る半導体集積回路装置に搭載される真性乱数発生回路の基本概念を示す回路図であり、

第 2図は、第 1図の真性乱数発生回路を説明する動作原理図であり、第 3図は、この発明に係る真性乱数発生回路の一実施例を示す基本的回路図であり、

第 4図は、第 3図の真性乱数発生回路の一実施例を示す具体的回路図であり、

第 5図は、第 3図の真性乱数発生回路の動作の一例を説明するための波形図であり、

第 6図は、第 4図の真性乱数発生回路の信号変化検出回路の一実施例を示す具体的回路図であり、

第 7図は、この発明に係る真性乱数発生回路の他の一実施例を示す回路図であり、

第 8図は、第 7図の真性乱数発生回路の動作の一例を説明するための概念的な波形図であり、

第 9図は、この発明に係る真性乱数発生回路とその要素回路の一実施例を示す回路図であり、

第 1 0図は、この発明に係る真性乱数発生回路とその要素回路の他の一実施例を示す回路図であり、

第 1 1図は、第 9図の真性乱数発生回路の動作の一例を説明するための概略波形図であり、

第 1 2図は、この発明に係る真性乱数発生回路の他の一実施例を示す概念図であり、

第 1 3図は、第 1 図の初期値発生回路の一実施例を示す回路図であり、第 1 4図は、第 1 2図の初期値発生回路の他の一実施例を示す回路図であり、

第 1 5図は、第 1 3図と第 1 4図の初期値発生回路の動作を説明するための波形図であり、

第 1 6図は、この発明に係る真性乱数発生回路の他の一実施例を示す回路図であり、

第 1 7図は、この発明に係る真性乱数発生回路の一実施例を示す回路図であり、

第 1 8図は、第 1 7図の真性乱数発生回路に設けられたテスト回路の動作の一例を説明するためのタイミング図であり、

第 1 9図は、この発明に係る真性乱数発生回路の一実施例を示す回路図であり、

第 1 0図は、第 1 9図の真性乱数発生回路の動作波形図であり、第 2 1図は、この発明に係る真性乱数発生回路の一実施例を示す回路図であり、

第 2 2図は、この発明に係る真性乱数発生回路の出力部の他の一実施例を示す回路図であり、

第 2 3図は、第 2 1図に示した真性乱数発生回路の動作波形図であり第 2 4図は、この発明に係る真性乱数発生回路の一実施例を示すチップ構成図であり、

第 2 5図は、この発明に係る半導体集積回路装置の一実施例を示すブロック図であり、

第 2 6図は、この発明に係る半導体集積回路装置の他の一実施例を示すブロック図であり、

第 2 7図は、この発明に係る真性乱数発生回路の他の一実施例を示す構成図であり、

第 2 8図は、第 2 7図に示した真性乱数発生回路の動作の一例を示す夕イミング図であり、

第 2 9図は、この発明が適用される I Cカードの一実施例を示す外観図であり、

第 3 0図は、この発明に係る I Cカードに搭載される I Cカード用チップのー実施例を示す概略プロック図であり、

第 3 1図は、この発明が適用される非接触 I Cカードの一実施例を示すブロック図であり、

第 3 2図は、この発明に係る真性乱数発生回路で生成された真性乱数の次元散布図であり、

第 3 3図は、第 4図の真性乱数発生回路の変形例を示す具体的回路図であり、

第 3 4図は、第 1図に示した真性乱数発生回路の基本概念の変形例を示す回路図であり、

第 3 5図は、第 1図に示した真性乱数発生回路の基本概念のさらに別の変形例を示す回路図である。発明を実施するための最良の形態

この発明を.より詳細に説述するために、添付の図面に従ってこれを説明する。

第 1図には、この発明に係る半導体集積回路装置に搭載される真性乱数発生回路の基本概念の回路図が示されている。第 1図に示された C M 0 Sインバー夕回路 I N V 1〜 I N V 4は、半導体集積回路装置の設計及び製造の上では、現実的に制御可能な範囲内において、互いに同じ特性を持つように構成される。複数のィンバータを互いに同じ特性にするため技術について、以下に概略的に説明する。

CMO Sインバータ回路において、その特性は、概略的には、それを構成する Pチャンネル型 MOSFETと Nチャンネル型 M〇 SF ETとの相対的なコンダクタンスによつて決まると理解されているであろう。その観点ではチヤンネル幅 Wとチャンネル長 Lとの比 W/ Lは同じであるがサイズが異なる MOSFETによっても同じ特性の C M〇 Sインバ一夕を構成できると理解され得る。しかしながら、半導体集積回路装置の製造バラツキによる電気特性への影響は、異なったサイズの素子に対しては異なったものとなる。

この実施例では、かかる複数の CMOSインバー夕 I NV 1〜I NV 4のそれぞれは、好適には、それぞれを構成する素子の相互、すなわち Pチヤンネル型 MO S F E Tの相互、及び Nチヤンネル型 M〇 S FET の相互が互いに同じ構造、同じサイズを持って構成される。言うまでもなくそれら素子は、同じ素子は同じプロセスの下で一括製造されると言う半導体集積回路装置の特徴に従って製造される。これによつて複数の CMOSインバータ I NV 1〜 I NV 4は、半導体集積回路装置の製造上の加工寸法のバラツキ、各種層の厚さバラツキ、不純物濃度バラツキ等々の製造バラツキによる影響を均等に受けるようにされる。

第 1図のように入出力が短絡させられた CMO Sィンバ一夕回路 I N VIの出力電圧は、論理しきい値電圧に到達する。全ての CMOSインバー夕回路が、完全に同じ電気的特性を持っていれば、 4つのインバ一夕回路 I NV 〜 I NV 4の論理しきい値電圧は等しくなる。し力、し、これは理想的な状態であり実際の半導体素子においては、僅かな特性の違いが存在するため、各インバー夕回路 I NV 1〜I NV4の論理しきい値電圧に差が生じる。

CMO Sインバー夕回路の論理しきい値のバラツキの要因としては、 MOSトランジスタ特性のバラツキが支配的であると捉えてよい。そして、 MOSトランジスタ特性のバラツキの原因としては、 MOSトランジス夕のゲート幅や、ゲート絶縁膜膜厚、導電決定不純物濃度とその分布などを挙げることができる。これらのバラツキはマク口的な部分とミクロ的とに分けることができる。マクロ的な部分としては、同一ロット内の複数のゥヱハ間のゲート幅バラツキなどである。

本願発明においては、主としてミクロ的な部分のバラツキを考慮するものであり、比較的に近接した位置に配置された素子問におけるバラッキについて検討した。このようなミクロ的なバラツキは、比較的に近接した素子間にランダムに発生するものとして観測される。

すなわち、第 1図のインバー夕回路 I NV 1、 INV2の論理しきい値のバラツキもランダムであると考えられる。この論理しきい値の/ ラツキは、後述するように真性乱数を発生させる上で好ましいことではない反面、別の観点では半導体素子の持つ特徴的な特性のバラツキが固有の識別情報として利用できる。つまり、 CMOSインバー夕回路を用いた場合には、論理しきい値に生じるバラツキが Nチャンネル型 MOSトランジス夕の持つバラツキに Pチャンネル型 M〇 Sトランジスタの持つバラツキが加えられたものと見做すことができ、ノラッキ範囲が広くなり識別番号ないし識別情報の発生を効果的に行うようにすることができる。し力、し、このことは半導体素子の各ノードで発生する雑音に応答した真性乱数を発生させる上では好ましくないものと 'なる。

第 1図に示した概念図では、 4つのィンバ一夕回路 I NV 1〜 I NV 4を基本回路（又は単位回路） UC0として、 CMOSインバー夕回路 I NV 1の入力と出力とを短絡して、ィンバ一夕回路 I NV 1の論理しきい値電圧 VLT 1を形成する。この論理しきい値電圧 VLT1はインバ一タ回路 I NV 2の入力に供給される。かかるィンバ一夕回路 I NV 2においては、そのしきい値電圧 VLT 2を参照電圧として上記論理しきい値電圧 VLT 1との電圧比較と増幅動作を行う。そして、かかるィンバ一夕回路 I N V 2の出力信号は、縦列接続されたィンバ一夕回路 I NV3と I NV 4からなる増幅回路により更に増幅されて 2値信号に変換される。

理想的な条件においては、基本回路の第 1のィンバ一タ回路 I N V 1 の短絡された入出力ノードの電圧（論理しきい値電圧 VLT 1 ) と第 2 のインバータ回路 I NV2の論理しきい値電圧 VLT2とは等しくなるように設計、製造されるが、実際には前記のようなプロセスバラツキが存在するため一致するとは限らない。

半導体内を電子が移動する際、不規則な動きをするため僅かであるが電気信号ノイズを発生させる。その現象は、第 1のインバ一タ回路 I N V 1にも第 2のィンバ一夕回路 I NV にも発生するが、上記のように VLT 1 =VLT2のような理想的な条件においては、第 1のィンバ一夕回路 I NV 1の電気信号ノイズが第 2のインバー夕回路 I NV2により増幅され、第 2のィンバ一夕回路の出力信号は電気信号ノイズを反映して振幅する。電気信号ノイズは完全に無秩序な動きをするため、第 2 のインバ一タ回路 I N V 2から得られる出力信号は真性乱数といえる。つまり、第 2図（a) に示すように、単位回路 UC 0の第 1のインバ一夕回路 I NV 1と第 2のインバ一タ回路 I NV 2の論理しき値電圧 V LT 1 , VLT2とが一致している場合、電気信号ノイズ Vnzが反転増幅されて出力信号 Vout として取り出すことができる。なお、同図では第 2のインバー夕回路 I NV 2の電気信号ノイズは省略し第 1のィンバ —夕回路 I NV 1の電気信号ノイズ Vnzに含めている。このようにして、第 1のィンバ一夕回路 I N V 1の電気信号ノイズ Vnzは第 1のィンバ —タ回路 I NV 2により反転増幅される。さらに第 2のインバータ回路 I NV2の出力信号 Vout は、第 3および第 4のインバー夕回路 I NV 3, I NV 4によりさらに増幅され、第 4のインバー夕回路 INV 4の出力では最終的に電源電圧レベルの振幅の論理レベルの情報が取り出せる。

し力、し、電気信号ノイズ Vnzは極めて小さく、また実際には各ィンバ —夕回路 INV1、 INV 2を構成する MO Sトランジスタの特性は前記のような要因によってバラツキがあるため、基本回路 U C 0の第 1および第 2のインバー夕回路 I NV 1， I NV 2の論理しきい値電圧 VL T 1 , VLT 2は必ずしも等しいとはいえない。

つまり、第 2図（b) に示すように、単位回路 U COの第 1のインバ一夕回路 I NV 1と第 2のインバー夕回路 I NV 2の論理しき値電圧 V LT 1， VLT との間に Δνのようなプロセスバラツキによる差電圧 A Vが存在し、上記電気信号電圧ノイズ Vnzの振幅より、上記第 2のィンバータ回路 I N V 2の論理しきい値電圧 V L T 2が常に大きい場合には、第 2のインバ一タ回路 INV 2の出力信号 Vout は常にハイレベルとなってしまう。したがって、上記単位回路 U C 0を単独で見た場合には、第 2のィンバ一夕回路 I N V 2の出力信号 Voutが上記の電気信号ノイズ Vnzを反映すると常に保証されるものではない。

そこで、一般的には上記 2つの論理しきい値電圧 VLT 1， VLT 2 の上記のようなプロセスバラツキを補正する方向にトリミングゃ補償回路を付加することが考えられるが、回路が複雑になったり、消費電流が増大するなどの問題を有するものとなる。

本願発明者においては、トランジスタの特性のノラツキはランダムな正規分布であることに着目し、第 1図の示したように、数多くの基本回路を観察すれば、第 1インバータ回路 INV1と第 2のインバータ回路 I NV 2の特性が極めて等しい組み合わせがある確率で存在し、そのような基本回路は第 2図（a) に示したように電気ノイズ Vnzに敏感に反応するものとなることを見出した。

つまり、第 2図（c) のしきい値電圧分布図に示したように、インバ —夕回路 I NV 1 , I NV2の論理しきぃ値電圧VLT 1 , VLT2は、正規分布となることが知られている。 2つのインバータ回路 I NV 1 と I NV 2を組み合わせると、その差 VLT 1—VLT2はもとの論理しきい値電圧 V LT 1 , VLT2の分散の 1倍の正規分布となる。電気信号ノイズ電圧 Vnzの振幅より、第 1のィンバ一夕回路と第 2のィンバ一夕回路の論理しきい値電圧の差 VLT 1— VLT 2が小さい基本回路が存在する確率は、ィンバ一夕回路の論理しきい値電圧 VLTの分散と、電気信号ノイズ電圧の振幅 Vnzで決まる。基本回路群中に含まれるノィズを電気信号のノィズを反映する基本回路の平均数は、基本回路群を構成する基本回路の数に、前記の確率を乗じた数である。

第 1図において、 UC 0〜UCnのような複数の基本回路の出力 D 0 〜D nを排他論理和回路に代表されるような信号変化検出回路 E XOR に入力すると、その出力 Rは接続された基本回路 UC 0〜UCnの出力信号 D 0〜Dnの変ィ匕のいずれにも反応して反転する。

上記複数の基本回路 UC 0〜UC nの中に、第 1インバータ回路と第 2のィンバ一夕の特性が極めて等しい組み合わせの基本回路が少なくとも 1つ以上存在するように決められた複数からなる基本回路群の各出力を、信号変化検出回路 EX ORに入力する。すると、排他論理和回路のような信号変化検出回路 EXORの出力 Rは、基本回路 UC 0〜UC 1 の出力 D 0〜Dnのうちのいずれか 1つが変化すると反転する。すなわち、信号変化検出回路 EXORの入力が基本回路の出力である場合、出力はかかる基本回路の電気ノイズを反映した真性乱数となる。基本回路群に、第 1ィンバ一夕回路と第 2のィンバ一夕回路の特性が極めて等しい組み合わせの基本回路が複数存在しても、各基本回路どうしの電気信号ノイズに相関はないため、信号変化検出回路 EX ORの出力 Rは同様に乱数であり、より品位の高い真性乱数を得ることができる。第 1図に示した論理式 R = D 0 *D 1 *〜*Dnにおいて、 *の記号は排他的論理和記号を表す。

図 3には、この発明に係る乱数発生回路の一実施例の基本的回路図が示されている。この実施例では、前記図 1のィンバ一夕回路 I NV 1〜 I NV4が、 2入力のナンド（NAND) ゲート回路 G 1〜G4に置き換えられる。上記ゲート回路 G1は、一方の入力と出力とが結合される。このゲート回路 G1の共通化された入出力がゲート回路 G 2の一方の入力と接続される。ゲート回路 G 2の出力はゲート回路 G 3の一方の入力に接続される。ゲート回路 G 3の出力はゲート回路 G 4の一方の入力に接続される。そして、これらのゲート回路 G 1〜G 4の他方の入力には、動作制御信号 ACTが共通に供給される。

第1図のィンバー夕回路1^^¥1〜11\^4は、上記ナンドゲート回路 G 1〜G 4のような論理ゲート回路の一種と見做すことができる。すなわち、入力信号を反転させる論理動作を行うものであるからである。第 1図のようにィンバ一夕回路 I N V 1〜 I N V 4を用いた場合には、ィンバ一夕回路 I NV 1と I NV 2のように初段側においては論理しぎい値電圧 VLT付近で動作するものであり、電源電圧 VDDと回路の接地電位との間に直流電流を流すものとなる。本願発明では、前記のように素子のプロセスバラツキによる論理しきい値電圧の正規分布を利用するものであり、そのために比較的多数からなる単位回路を動作させる必要があるので、上記ィンバ一夕回路 I NV 1と I NV 2での直流電流は低消費電力化を実現する上では無視できない。

これに対して、この実施例のようにゲート回路 G 1〜G4を用いた場合には、各ゲート回路 G 1〜G4は、重力作制御信号 ACTをロウレベル (論理 0) のような非活性化レベルとしたとき、上記動作制御信号 AC Tとは異なる他方の入力信号に無関係に出力信号をハイレベル（論理 1 ) にし、各ゲート回路 G l， G 2においても直流電流が発生しない。すなわち、この実施例回路では、乱数を必要とするタイミングで上記動作制御信号 ACTをハイレベル（論理 1 ) のような活性化レベルとする。これにより、各ゲート回路 G 1〜G4は、上記動作制御信号 ACTとは異なる他方の入力信号に応答して反転信号を形成するというィンバ一夕回路としての動作を行う。これにより、上記動作制御信号 ACTをハイレベルにすることにより、第 1図の基本回路図と同様の動作を行うものとなる。

第 4図には、第 3図の真性乱数発生回路の一実施例の具体的回路図が示されている。ゲート回路 G 1は、出力ノード N 1と回路の接地電位 V S Sとの間に直列形態にされた Nチャネル MO SFETQ 1と Q3、上記出力ノード N 1と電源電圧 V D Dとの間に並列形態にされた Pチヤネル MOSFETQ2と Q4から構成される。上記 MOSFETQ 1と Q 3のゲートが共通に接続されて第 1の入力とされる。上記 M OSFET Q2と Q 4のゲートが共通に接続されて第 2の入力とされる。他のゲート回路 G 2〜G 4も上記と同様な回路により構成される。

上記ゲ一ト回路 G 1〜G 4は、半導体集積回路装置の設計及び製造の上では、現実的に制御可能な範囲内において、互いに同じ特性を持つように構成される。複数のゲート回路を互いに同じ特 I生とする技術について、以下に概略的に説明する。ゲート回路 G 1〜G4において、その特性である論理しきい値は、概略的には、それを構成する Pチャネル M〇 SFETと Nチャネル MO SFETとに決まると理解されているであろう。その観点ではチャネル幅 Wとチャネル長 Lとの比 W/Lは同じであるがサイズが異なる MOSFETによっても同じ特性の C M〇 Sゲート回路を構成できると理解され得る。しかしながら、半導体集積回路装置の製造バラツキによる電気特性への影響は、異なったサイズの素子に対しては異なったものとなる。

この実施例では、かかる複数のゲート回路 G 1〜G 4のそれぞれは、好適には、それぞれを構成する素子の相互、すなわち Pチャネル型 M〇 SF E Tの相互、及び Nチャネル型 MO S F E Tの相互が互いに同じ構造、同じサイズを持って構成される。言うまでもなくそれら素子は、同じ素子は同じプロセスの元で一括製造されると言う半導体集積回路装置の特徴に従って製造される。これによつて複数のゲード回路 G 1〜G4 は、半導体集積回路装置の製造上の加工寸法のバラツキ、各種層の厚さバラツキ、不純物濃度/ ラツキ等々の製造ノラツキによる影響を均等に受けるようにされ、かつ、論理しきい値電圧も正規分布を持つようにされる。

第 3図に示した実施例では、 2つのゲート回路 G 1と G 2の論理しきい値の大きさの判定出力がゲート回路 G 2から出力される。かかる信号伝達及び増幅経路に前記のような電気信号ノィズが重畳することにより、かかる電気信号ノイズに反映した出力信号を得る。つまり、ゲート回路 G 1の短絡された入出力ノードの電圧（論理しきい値に相当する）をゲート回路 G 2の入力バイアスとして供給し、上記電気信号ノイズに反映した出力信号を後段のゲート回路 G 3、 G 4により増幅して CMO S レベルの 2値信号を得るものである。したがって、厳密にはゲート回路 G3と G4は、単に増幅動作を行うものであるからゲート回路 G 1と G 2のように Pチャネル型 MOSFETの相互、及び Nチャネル型 MOS FETの相互が互いに同じ構造、同じサイズを持って構成される必要は無いが、この実施例では主に回路設計の観点から同じ構造、同じサイズを持って構成される。

第 5図には、上記第 3図の真性乱数発生回路の動作の一例を説明するための波形図が示されている。同図では、信号伝達経路での電気信号ノィズは省略されている。動作制御信号 A C Tをロウレベルからハイレべルに変化させると、上記各ゲート回路 G 1〜G 4が実質的に動作状態となり、ゲート回路 G 1の出力ノード N 1がその論理しきい値に対応した電圧にされる。なお、これに必要な時間を収束時間と呼ぶことにする。ゲート回路 G 2は、その論理しきい値によってノード N 1の電圧を判定し、その出力ノード N 2の電位を決める。この例では、ゲート回路 G 1 の論理しきい値が、ゲート回路 G 2の'論理しきい値によりも僅かに大きいので、ゲート回路 G 2での増幅動作によってノード N 2の電位が上記ノード N 1に対して小さい電圧にされる。このノード N 2の電圧は、ゲート回路 G 3により増幅されてノード N 3のようにハイレベルに大きくされる。そして、ゲート回路 G 4により更に増幅されてノード N 4のように回路の接地電位 V S Sに到達する。

上言己ノード N 1と N 2の電位差が僅かであり、そこに発生する電気信号ノィズがノード N 2の電位以下になると、出力信号は反転するものとなる。つまり、前記第 2図（a ) と同様にノード N 1と N 2の電位差を反転させるような電気信号ノィズが発生した場合、逆にいうなら電気信号ノイズによりノード N 1と N 2の電位差関係が逆転してしまうような僅かの電圧差しかないゲート回路 G 1と G 2の組み合わせを持つ基本回路では、出力はかかる基本回路の電気ノイズを反映した真性乱数を発生させることができる。当然のことであるが、上記の真性乱数を発生させることができるのは、収束時間を経過して後であることは言うまでもない。収束時間中であれば、各ナンドゲートのノ一ドの過渡的な状態の影響を受け、本来の微小な電気ノィズを反映した真性乱数を得ることは難しい。

この実施例では、回路が停止状態すなわち動作制御信号 A C Tが口ゥレベルであるとき、第 3図の Nチャネル MOSFETQ3、 Q7、 Q 1 1、 Ql 5がオフ状態となり、前記の CMOSインバー夕回路を用いた場合のような貫通電流が抑制される。また、ゲート回路としてナンド（ NAND) 回路を用いた利点は、 CMOS論理 LS Iの標準素子であるため、適用する製品を限定しないことである。つまり、完全論理記述型回路で構成されるため、回路設計が容易になるものである。

第 4図の実施例では、動作制御信号 ACTが直列の Nチャネル MO S FETのQ3、 Q7、 Q1 1、 Q15のゲートに接続されているが、 N チャネル MOSFETQし Q5、 Q9、 Q 13に接続されて、ノード Nl、 N2、 N 3は Nチャネル M〇 S F ETの Q 3、 Q7、 Q 1 1、 Q 15のゲートに接続されてもよい。

トランジスタレベル回路記述において重要なのは、個々の NAN D素子中の M〇 S F E Tの信号接続位置である。上記の停止状態では各ゲート回路 G 1〜G4の出力すなわちノード N 1、 N2、 N 3の電位が自動的に電源電圧となるため、それら信号の接続先の Pチャネル MO SFE Tの NBT Iによる特性の変動を防止できる効果がある。

MOSトランジスタは、そのしきい値電圧が電界強度と温度とに依存するような電界ストレスによって不所望に変動することが有る。特に N BT I (Negative Bias Temperature Instabi 1 ity)と称される現象は、 Pチャネル型 MO S F E Tで顕著に現われる現象である。この防御策として、目的外の時間において PM〇 Sのゲートに印加される電圧を高い電圧にする方法がよく用いられる。この実施例では、上記動作制御信号 ACTのハイレベルにより論理しきい値判定動作を行わせ、かかる論理しきい値判定動作以外の時には、動作制御信号 A C Tをロウレベルにして Pチヤネル型 M O S F E Tのゲートには、電源電圧を供給するようにゲート電圧を固定電圧にするものである。これにより、 Ρチャネル型 Μ 0 S F E Tは、ゲート、ドレイン及びソースと基板（チャネル）の全てが電源電圧に等しい同電位となり、上記 M O S F E Tの経時変化による論理しきい値の変動が極力抑えられる。このことは、前記のように各単位回路の出力信号を組み合わせによって識別情報を得る上で特に有効なものとなる。

これに対して、舌 L数発生回路においては、上記のような素子特性の変動、あるいは電源電圧の変動等には基本的には影響されないという特徴を有している。この実施例の乱数発生回路では、前記説明したように比較的多数の単位回路の中で少なくとも 1個、ゲ一ト回路 G 1と G 2の論理しきレヽ値電圧が前記電気信号ノイズからみて等しいものと見做されるものが存在すればよい。上記素子特性の変動、あるいは電源電圧の変動等には上記多数からなる単位回路群の全てにおいて発生し、それによりある単位回路ではゲート回路 G 1と G 2の論理しきい値電圧が前記電気信号ノイズからみて等しいものと見做されていたものが外れても、別の単位回路では逆にゲート回路 G 1と G 2の論理しきい値電圧が前記電気信号ノイズからみて等しいものと見做されることになるからである。第 3 3図には、第 4図の真性乱数発生回路の変形例が示されている。第 3 3図（a ) のナンドゲート回路 G 1と G 2 (前記第 1図のインバ一夕回路 I N V 1と I N V 2に相当）の電気的特性バラツキを抑えるため、 NAN Dを構成するトランジスタのチャネル長 Lおよびチャネル幅 W をいずれも標準サイズ（通常プロセスの最小寸法）よりも大きくする。かかるトランジスタの Lおよび Wを大きくすることで、トランジスタのゲート電極の加工誤差に起因する特性のバラツキを抑えることができる。また、 M O S トランジスタのゲート電極直下の不純物濃度の統計的変動に起因するバラツキ（これを、「ゆらぎ現象」という。）を抑えることができる。近年の先端プロセスでは、同一チップ上の MO Sトランジス夕の電気的特性バラッキは、加工誤差よりのゆらぎ現象の影響が支配的であることが知られている。

ナンドゲート回路 G 1と G 2を構成する各トランジスタ大きさは共通である必要はないが、回路動作時の状態に関わる、言い換えるならば上記活性状態での論理しきい値の決定に影響を及ぼす Pチャネル M 0 S F ETQ2 (Q6) と Nチャネル MOSFETQ l , Q3 (Q5, Q7)- を優先して大きくする。各ナンドゲート回路 G 1と G 2の対応する MO S F E Tは同じ形状である必要がある。

また、増幅回路として動作するゲート回路 G 3及び G 4は、上記のように設定することは必要ないが、回路設計上あるいは素子レイァゥト上はゲート回路 G 1と G2と同様のものを用いるのが簡単となるし、後述するような乱数発生回路の存在を隠す上で有利なものとなる。

第 3 3図（b) には、第 3 3図（a) と同様の効果が得られる別の実現方法の回路が示されている。すなわち、 3入力 NANDゲートを用いて、活性状態での論理しきい値の決定に影響を及ぼす Pチャネル M 0 S FETとNチャネルMOSFETを各2個ずっとし、上記ゆらぎ現象の影響を抑えるものである。これは、特殊なサイズの MOSトランジスタを特別に設計することなしに標準的なサイズのゲ一ト部品で実現できるという利点がある。

なお、前記第 3図、第 4図及び第 3 3図はいずれもナンド（NAND ) ゲートを用いて基本回路を構成したが、ナンドの代わりにノア（N〇 R) ゲートであっても構わない。ただし、その場合にはかかる基本回路は、動作制御信号 ACTがロウレベル（論理 0) で活性化するものとなる。前記のように、 NBT Iと称される電界ストレスに起因する劣化現象は特に Pチャネル MO SFETで顕著である。しかし他の素子、例えばポリシリコン F E Tや有機トランジス夕等において、かかる劣化現象が Pチャネル型ではなく Nチャネル型で顕著である場合は、ノア（NO E) ゲートを用いることが望ましい。

+ なお、第 3図に示される実施例において、各単位回路 UC 0〜UCn 内のナンドゲート G 2， G 3 , G 4については、それぞれに接続された共通制御信号 ACTを電源 VDDに接続して常にハイレベル（論理 1 ) としてもよく、それによつて本実施例の持つ基本的機能は変らない。第 6図には、第 3図の真性乱数発生回路の信号変化検出回路 E XOR の一実施例の具体的回路図が示されている。この実施例では、排他的論理和回路 E X 0〜 E X nが縦列接続されて上記信号変化検出回路 E X〇 Rが構成される。単位回路 UC 0の出力信号 D 0を受ける排他的論理和回路 EX 0の他方の入力には、特に制限されないが、ロウレベル（論理 0) のような固定値が与えられる。次段の単位回路 UC 1の出力信号 D 0を受ける排他的論理和回路 EX 1の他方の入力には、上記排他的論理和回路 EX0の出力信号が供給される。以下、 n+ 1番目の単位回路 U C nの出力信号 D nを受ける排他的論理和回路 E X nの他方の入力には、図示しないが 1つ前の排他的論理和回路 EXn— 1の出力信号が供給される。

これにより、排他的論理和回路 EXnの出力信号 Rは、上記 n+ 1個の単位回路 UC 0〜 1( 11の出カ信号00〜011の中のぃずれか 1つでも変化すると、それに対応してそれに対応した排他的論理和回路 E Xの出力信号が変化し、上記直列形態にされた排他的論理和回路によって出力信号 Rが変化するものとなる。つまり、上記出力信号 Rは、単位回路 (基本回路）の電気ノイズを反映した真性乱数となる。

上記信号変化検出回路 E X 0 Rとしては、論理ゲート回路で構成する場合には上記のような複数個の排他的論理和回路を用いるものが便利であるが、それに限定されず、出力信号 D 0〜Dnの論理レベルの変化を検出するものであれば何であってもよい。例えば、出力信号 D0〜Dn と、その遅延信号により 1シッョトパルスを形成するもの等種々の実施形態を採ることができる。

第 7図には、この発明に係る真性乱数発生回路の他の一実施例の回路図が示されている。この実施例では、単位回路 UC 0〜UCnがデコーダ DECを用いて時間的に分散して動作させられる。そして、 1つの排. 他論理和回路 EXと、 1つのフリップフロップ回路 F Fとを用いて、複数の単位回路 U C 0〜U C nの出力の排他論理を累算することにより真性乱数 RRを得るものである。なお、排他論理和を複雑な論理に変更することで、発生ノヽ。ターンをより解読され難レ、真性乱数を得ることができる。

上記デコーダ DECは、特に制限されないが、カウンタとデコーダにより構成される。つまり、クロック CLKをカウン夕で計数して、その計数出力をデコードして単位回路 U C 0〜U C nを順次動作状態にする動作制御信号 DEC 0〜DECnを生成するものである。あるいは、シフトレジスタを用い、選択信号に対応した初期値をクロック CLKにより順次にシフトして単位回路 U C 0〜U C nを順次に動作状態にする動作制御信号 D E C 0〜 D E C nを形成するようにされる。

このように単位回路 U C 0〜！ J C nを順次に動作状態にするために、単位回路 UC 0を例にして説明すると、ゲート回路 G 1と G 2に対して動作制御信号としてのデコード出力 D E C 0が供給される。増幅回路としてのゲート回路 G 3と G 4は、上記ゲート回路 G 1と G 2が動作制御信号 DEC 0により動作状態とされたときには、それに対応した出力信号の増幅動作を行い、上記ゲ一ト回路 G 1と G 2が動作制御信号 D E C 0により非動作状態とされたときには、前段の単位回路の出力信号をスルして伝達する動作を行う。 '

ゲート回路 G 3の一方の入力には、それに対応したゲート回路 G 2の出力信号が伝えられ、他方の入力には前段の単位回路の出力信号が伝えられる。ゲート回路 G 4は、一方の入力にはそれに対応したゲート回路 G 3の出力信号が供給され、他方の入力には電源電圧に対応されたハイレベルが固定的に供給される。これにより、ゲート回路 G 4は実質的にはィンバ一夕回路として動作する。初段の単位回路 UC 0のゲート回路 G 3の他方の入力には、電源電圧に対応されたハイレベルが固定的に供糸台される。

第 8図には、第 7図の真性乱数発生回路の動作の一例を説明するための概念的な波形図が示されている。デコーダ DECにより、初段の単位回路 UC 0に対応した動作制御信号 D E C 0がハイレベルの選択レベルにされると、ゲート回路 G 1と G 2による出力信号が形成されてゲート回路 G3， G 4により増幅されて出力信号 D Oが形成される。単位回路 U C 1〜U C nにおいては、上記動作制御信号 D E C 1〜D E C nが口ゥレベルの非選択レベルであるので、ゲート回路 G 2に相当するゲート回路の出力信号は全てハイレベルにされる。それ故、ゲート回路 G 3に相当するゲート回路はィンバ一夕回路としての動作を行い、前段回路からの出力信号を増幅するのみとなる。この結果、上記初段の単位回路 U C Oの出力信号 D Oは、上記単位回路 UC l〜UCnのゲート回路を通して排他的論理和回路 EXに伝えられる。つまり、 D l〜Dnは、 D O に従ったレベルにされる。

デコーダ DECにより、第 2番目の単位回路 UC 1に対応した動作制御信号 DEC 1がハイレベルの選択レベルにされると、上記同様にゲート回路 G 1と G 2に対応した 2つのゲート回路による出力信号が形成されてゲート回路 G 3， G 4に対応したゲート回路により増幅されて出力信号 D 1が形成される。つまり、上記初段の単位回路では、選択信号 D E C Oのロウレベルによりゲート回路 G 2の出力信号がハイレベルとなり、出力信号 D 0をハイレベルに固定する。したがって、上記のようにの単位回路 UC 1においては、上記のようにゲート回路 G 3， G4に対応したゲート回路による増幅動作が行われる。以下、その出力信号 D 1 は、前記同様に後段側の単位回路における増幅回路としてのゲート回路を通して排他的論理和回路 EXに伝えられる。つまり、 D 2〜Dnは、 D 1に従ったレベルにされる。第 3番目以降の単位回路 UC 2〜UCn の選択動作も前記同様である。

第 7図の実施例回路の実際の波形は、第 8図とは異なる。つまり、単位回路 UC 0において非選択状態のときには、出力信号 D 0がハイレべルにされる。つまり、上記 DEC 1が非選択レベルになると同時に出力信号 D 0は非選択状態に対応したハイレベルの出力信号を形成するものとなる。このことは、単位回路 UC 1〜UCnが非選択レベルにされたときに、各出力信号 D 1〜Dnも一斉 (こハイレベルにされる。このような非選択状態に対応して出力信号 D 0〜Dnのレベルを忠実に表現すると、上記単位回路 UC 0〜！ JCnが順序動作し、その出力が順次（シリアル）に出力されることが解り難くなるので、単位回路 UC 0〜UCn における非選択状態での出力レベルの変ィ匕を無視して第 8図のように表すものである。

第 7図の実施例回路において、（n + 1 ) 個の単位回路（基本回路）を含む単位回路群が例示されており、（n + 1 ) 個の基本回路の中に、第 1ゲート回路 G 1 (第 1インバー夕回路 I NV 1 ) と第 2ゲート回路 G 2 (第 2のィンバ一夕回路 I N V 2 ) の特性が極めて等しい組み合わせの単位回路が少なくとも 1つ以上存在する。前述のように、単位回路群中に含まれる第 1ゲート回路 G 1と第 2ゲート回路 G 2の特性が極めて等しい組み合わせの単位回路の数が多いほど、得られる乱数の品位は高くなる。単位回路群に含まれる第 1ゲート回路 G 1と第 2ゲート回路 G の特性が極めて等しい組み合わせの単位回路の数を十分な数にするためには、第 1ゲート回路 G 1と第 2ゲート回路 G 2の特性が極めて等しい組み合わせの単位回路が存在する確率を上げ、単位回路群に含まれる単位回路数を、かかる確率に見合う適正な数にすることが必要である。第 1ゲート回路 G 1と第 2ゲート回路 G 2の特性が極めて等しい組み合わせの単位回路が存在する確率は、当該回路の製造プロセスと設計手法等に依存する要素が高い（出来高次第）ため、単位回路群に含まれる単位回路数の最適化が重要である。

また、乱数の品位を向上させる別の手段として、排他論理和回路 EX とフリップフロップ回路 FFを用いた累算の回数を増やすことも有効である。具体的には、第 8図例示された動作波形において、（n+ 1 ) 個の単位回路の累算を、例えば（n+ 1 ) Xmと m倍に延長する。つまり、単位回路 UC 0〜！ JCnの前出力 D 0〜Dnを m回にわたって読み出して 1ビッ卜の乱数 R (RR) を決定するものである。

第 9図には、この発明に係る真性乱数発生回路とその要素回路の一実施例の回路図が示されている。第 9図（a) に示される真性乱数発生回路では、第 9図（b) に示されるような単位回路（要素回路）が MXN 個のようにマトリックス配置される。

1つの行が前記第 7図の回路のように接続され、その出力部に行選択信号により選択されるナンドゲート回路 GOとクロックドインバ一夕回路 CN0が設けられる。 M個からなる各行を構成する単位回路は、対応するもの同士が列デコーダにより形成された列選択信号 C 0~CM_ 1 により共通に選択される。上記 N個の行方向に配置された単位回路は、行デコーダにより形成された行選択信号 R 0〜RN— 1により 1つが選択される。かかる行選択信号 R0〜RN— 1は、上記ナンドゲート回路 GOとクロックドインバ一タ回路 C NOからなる ί亍選択回路の選択信号としても用いられる。選択回路を構成するクロックドインバ一タ回路 C Ν 0は、それが非動作状態のときに出力ハイインピーダンス状態になるので、上記 Ν個のクロックドィンバ一夕回路の出力信号が共通に接続され、選択された 1つの行に対応したクロックドィンバ一夕回路の出力信号がナンドゲート回路 G 1 1に伝達される。

動作制御信号 A C Tによりゲートが制御されるナンドゲート回路 G 1 0とインバ一タ回路 I NV 1 0を通してクロック CLKが M進カウン夕に供給される。これにより、 M進カウン夕では動作制御信号 ACTが活性状態のときにクロック CLKに対応して 0〜M— 1の計数動作を行い、列デコーダにより C 0〜CM— 1の選択信号が形成されて単位回路の出力信号が第 7図の実施例と同様にシリアルに出力される。

上記 M進力ゥン夕のキヤリ一信号が N進力ゥン夕に供給されるので、 N進力ゥン夕は M進力ゥン夕の 1回りに対応して計数動作を行う。これにより、上記行方向に配置された M個の単位回路の読み出しが行われると、行選択の切替が行われて 0行目から RN— 1行目まで、それぞれ N 個の単位回路の読み出しが実施される。

本実施例において、 M X Nサイクルで全ての単位回路の読み出し力行われるから、 MXNサイクルにより出力 RRから 1ビッ卜の真性乱数を生成することができる。これを K回繰り返すことにより Kビッ卜の真性乱数を得ることができる。この構成では、 MXN個の単位回路の中に少なくとも 1つだけ前記のような電気信号ノイズに応答する単位回路が存在するように MXNの数を選ぶものである。なお、上記 K回の繰り返しの間に J個（0く Jく Kの整数）の乱数を取り出してもよい。ただしその場合は、各乱数ビッ卜の取り出しサイクルは MX Nサイクル以上離れていなければならない。また、上記 M個からなる単位回路の中に、前記真性乱数を発生させるものが少なくとも 1つ存在するように Mの数を選ぶものとすると、 Mサイクル毎（各行每）に 1ビッ卜の真性乱数 RRを取得することができるので、 MXNサイクルにより Nビットの真' I生舌し数を発生させる真性乱数発生回路を構成することができる。

第 9図（b) には、前記第 9図（a) における回路要素の一実施例の具体的回路図が示されている。単位回路は、前記第 7図に示したゲート回路 G 1〜G 4に、行/列選択機能を設けるためのゲート回路 G 5と G 6が追加される。ナンドゲート回路 G 5の 2つの入力には、列選択信号 C iと、行選択信号 R iが供給される。ゲート回路 G 3には、前記第 7 図の単位回路と同様にその行における 1段前の単位回路の出力信号 D i が供給される。これにより、行及び列が選択状態にされた 1つの単位回路のみが前記のような動作状態にされる。

第 9図（c) には、前記第 9図（b) における回路要素の他の一実施例の具体的回路図が示されている。単位回路は、第 9図（b) および前 , 記第 7図に示したゲ一ト回路 G 1〜G 4を 3入力ナンドゲートにして、行/列選択機能を合わせ持たせている。ナンドゲ一卜回路 G 5および G 6の 3つの入力のうち 2つの入力には、列選択信号 C iと、行選択信号 R iが供給される。ゲート回路 G7には、第 9図（b) および前記第 7 図の単位回路と同様にその行における 1段前の単位回路の出力信号 D i が供給される。これにより、行及び列が選択状態にされた 1つの単位回路のみが前記のような動作状態にされる。

第 9図（a) におけるクロックドインバ一タ回路 CNは、第 9図（d ) に示すように、電源電圧 V D Dと回路の接地電位 V S Sとの間に直列接続された Pチャネル MOSFETQ 1、 Q2と Nチャネル MOSFE TQ4、 Q3から構成される。 Pチャネル MOSFETQ 1と Nチヤネル M 0 S F E T Q 3のゲートが共通に接続されて入力端子 Aとされる。

Pチャネル MOSFETQ2と Nチャネル MO S F ETQ 4のドレインが共通に接続されて出力端子 Bとされる。そして、端子 Cから供給される制御信号は、 Nチャネル MOSFETQ4のゲートに供給され、上記制御信号がィンバ一夕回路 I N V 1 2によつて反転されて Pチャネル M OSFETQ2のゲートに供給される。

端子 Cから供給される行選択信号のような選択信号がハイレベルのときに Nチャネル MOSFETQ 4と Pチャネル MO S F E TQ 2がオン状態となり、入力端子 Aからの入力信号を受ける Nチャネル MOSFE TQ 3と Pチャネル MOSFETQ 1のオン/オフに対応した出力信号が出力端子 Bから出力される。端子 Cから供給される行選択信号のような選択信号がハイレベルのときに Nチャネル MO S FETQ4と Pチヤネル M 0 S F E T Q 2が同時にォン状態となり、入力端子 Aからの入力信号により Nチャネル MOSFETQ 3又は Pチャネル MOSFETQ 1が相補的にォン状態となり、ロウレベル又はハイレベルが出力端子 B から出力される。

また、第 9図（a) におけるクロックドインバータ回路 CNは、第 9 図（e) に示されるようなトランスファゲート回路であってもよい。クロックドインバー夕回路 CNは、第 9図（e) に示すように、入力端子 Aと出力端子 Bとの間に直列接続された Pチャネル MOSFETQ 5と、 Nチャネル MOSFETQ 6から構成される。端子 Cから供給される制御信号は、 Nチャネル MOSFETQ6のゲートに供給され、上記制御信号がィンバ一夕回路 I NV 1 4によって反転されて Pチャネル MO SFETQ5のゲートに供給される。端子 Cから供給される行選択信号のような選択信号がハイレベルのときに Pチャネル MOSFETQ 5と Nチャネル M〇 S F E T Q 6がォン状態となり、入力端子 Aからの入力信号が出力端子 Bから出力される。端子 Cから供給される行選択信号のような選択信号がハイレベルのときに Nチャネル M〇 S F ETQ4と P チャネル MOSFETQ2が同時にォン状態となり、入力端子 Aからの入力信号により Nチャネル MOSFETQ3又は Pチャネル MOSFE TQ 1が相補的にオン状態となり、ロウレベル又はハイレベルが出力端子 Bから出力される。また、端子 Cから供給される行選択信号のような選択信号が口ゥレベルのときに Nチャネル MOSFETQ4と Pチヤネル M 0 S F E T Q 2が同時にオフ状態となり、出力 ΐ耑子 Bはハイインピ —ダンスとなる。

第 1 0図には、この発明に係る真性乱数発生回路とその要素回路の他の一実施例の回路図が示されている。第 1 0図（a) に示される真性乱数発生回路では、第 1 0図（b) に示される単位回路が M (列） XN ( 行）個のようにマトリックス配置される。 1つの行が前記第 7図の回路のように接続され、その出力部にナンドゲート回路 GOと排他的論理和回路 EX 0が設けられる。ナンドゲート回路 G 0の他方の入力は電源 V DDが接続され常にハイレベル（論理 1) 状態である。 M個からなる各行を構成する単位回路は、対応するもの同士が列デコーダにより形成された列選択信号 C 0〜CM— 1により共通に選択される。

動作制御信号 A CTによりゲートが制御されるナンドゲート回路 G 1 0とインバー夕回路 I NV 1 0を通してクロック CLKが M進カウンタに供給される。これにより、 M進カウンタでは動作制御信号 ACTが活性状態のときにクロック CLKに対応して 0〜M— 1の計数動作を行い、列デコーダにより C 0〜CM— 1の選択信号が形成されて、 N行で構成される C iを共通とする各行の単位回路の出力信号が第 7図の実施例と同様にシリアルに出力される。ナンドゲート回路 G 0の出力は、排他的論理和回路 E X 0に接続され、 E X 0の他方の入力はに接続される。さらに排他的論理和回路 E X 0 の出力は、となりの行の排他的論理和回路へ接続され、全ての行の排他的論理和回路の出力は順次となりの行へ縦列接続される。排他的論理和回路 E X 0の他方の入力には、特に制限されないが、ハイレベル（論理 1 ) のような固定値が与えられる。これにより、縦列接続された排他的論理和回路の出力信号 R Aは、上記選択された C iを共通とする N行の単位回路から生成される N個の出力信号の中のいずれか 1つでも変化すると、それに対応して各行のた排他的論理和回路の各出力信号が変化し、上記縦列形態にされた排他的論理和回路によって出力信号 R Aが変化するものとなる。つまり、上記出力信号 R Aは、 1サイクルの動作で N 個の単位回路（基本回路）の電気ノイズを反映した値となる。

本実施例において、 Mサイクルで全ての単位回路の読み出しが行われるから、 Mサイクルにより出力 R Rから 1 ビッ卜の真性乱数を生成することができる。これを K回繰り返すことにより Kビットの真性乱数を得ることができる。この構成では、 M X N個の単位回路の中に少なくとも 1つだけ前記のような電気信号ノィズに応答する単位回路が存在するように M x Nの数を選ぶものである。なお、上記 K回の繰り返しの間に J 個（0 < J < Kの整数）の乱数を取り出してもよい。ただしその場合は、各乱数ビッ卜の取り出しサイクルは Mサイクル以上離れていなければならない。

第 1 0図（b ) には、前記第 1 0図（a ) の真性乱数発生回路における回路要素の一実施例の具体的回路図が示されている。ナンドゲート回路 G 1と G 2の 2つの入力の一方には、列選択信号 C iが供給される。ゲート回路 G 3には、前記第 7図の単位回路と同様にその行における 1 段前の単位回路の出力信号 D iが供給される。これにより、列が選択状態にされた 1つの単位回路のみが前記のような動作状態にされる。第 1 1図には、第 9図の真性乱数発生回路の動作の一例を説明するための概略波形図が示されている。動作制御信号 A C Tがハイレベルの活性化レベルにされた状態で、クロック C L Kを入力すると、それに対応して列選択信号 C 0〜C M— 1が列デコーダから出力される。このとき、 N進カウンタは計数値がゼロであるから 0行目の行選択信号 R 0を選択レベルにするので、第 0行目の単位回路の出力信号が列選択信号 C 0 〜C M— 1に対応してシリアルに出力される。 0行目の単位回路の読み出しが行われると、そのキャリー信号により N進カウンタが + 1の計数動作を行い、上記第 0行目 R 0を非選択にして代わって第 1行目 R 1を選択状態にする。このようにして、 N _ 1行目までの単位回路の読み出しが順次に行われる。真性乱数 R Rは、上記単位回路のシリアル出力 R と、 1つ前の出力との排他的論理和により決定される。なお、第 1 0図の真性乱数発生回路の動作波形図は、第 9図と類似しているので省略する。第 9図と異なる点は、選択信号 R 0〜R N— 1がないことである。それによつて N進カウン夕を進行させるための動作が不要となり、 M x N個の単位回路（基本回路）を全て選択するために必要なサイクルが M 回となる。

第 1 2図には、この発明に係る真性乱数発生回路の他の一実施例の概念図が示されている。この実施例では、算術方式の乱数発生回路と、本発明にかかる物理現象を利用した真性乱数発生回路を組み合わせた方法によって、舌 L数を発生させるものである。前述のように算術方式の乱数発生回路は、回路が比較的小規模であるが、得られる乱数の品位は高くない。特に、無数の乱数を取得した場合、周期性が表れるという本質的な欠点がある。そこで、算術方式のアルゴリズム中に、この発明に係る真性乱数発生回路での電気信号ノィズに応答した不規則な要素を初期値として挿入することで、周期性を低減することが可能である。.

第 1 3図には、第 1 2図の初期値発生回路の一実施例の回路図が示されている。この実施例は、基本的には前記第 6図の実施例と同様である。異なる点は、排他的論理和 EX0〜EXnに代えてフリップフロップ回路 FF 0〜FFnが設けられ、かかるフリップフロップ回路 F F 0〜 FF nから D 0〜Dnのような初期値を得るものである。

上記信号 D 0〜Dnは、そのうちの大半が前記のようなプロセスバラツキによって固定値となるが、そのうちのいずれか 1ないし数ビッ卜が電気信号ノィズに応答した乱数となるので、上記算術方式乱数発生回路の初期値としての機能を十分に発揮させることができる。

第 1 4図には、第 1 2図の初期値発生回路の他の一実施例の回路図が示されている。この実施例は、基本的には前記第 6図の実施例と同様である。異なる点は、活性化信号 ACTによって 1ビッ卜の舌 L数をフリップフロップ回路 FFから出力させるものである。つまり、この実施例では 1ビットの乱数を前記算術方式乱数発生回路の初期値としての用いるものである。

第 1 5図には、第 1 3図と第 1 4図の初期値発生回路の動作を説明するための波形図が示されている。動作制御信号 ACTをハイレベルにすると、第 1 3図の回路では各単位回路 UC 0〜UCnから出力信号 R 0 〜Rnが出力される。この出力信号 R 0〜Rnは、前記のように固定値となるものや電気信号ノイズに対応して変化するものが存在する。動作制御信号 ACTをハイレベルからロウレベルにすると、そのときの上記出力信号 R 0〜R nに対応した乱数 D 0〜D nがフリップフ口ップ回路 FF 0〜FFnに取り込まれて、固定値を含む D 0〜D nからなる複数ビットからなる舌し数が出力される。

第 1 4図の回路では、上記各単位回路11(： 0〜 ](：1の出カ信号^ 0 〜 R nが排他的論理和回路 E X 0〜 E X nに供給され、そのときどきの信号 R 0〜R nに対応した 1ビットの乱数が排他的論理和回路 E X 0〜 E X nを通して出力されている。したがって、動作制御信号 A C Tをハィレベルからロウレベルにすると、そのときのに生成されている乱数がフリップフロップ回路 F Fに取り込まれて、 1ビットからなる舌 L数 D M が出力される。

第 1 6図には、この発明に係る真性乱数発生回路の他の一実施例の回路図が示されている。この実施例は、前記第 9図に示した真性乱数発生回路に識別情報 Fを出力させる出力端子が設けられる。つまり、 M X N 個の単位回路から出力される M X N個の出力信号が識別情報 Fとして出力される。上記識別情報 Fは、適当な記憶回路に保持されて管理システムに登録される。この識別情報 Fの照合方法としては、登録時と照合時の環境や条件の違いの他に前記のように電気信号ノイズに応答する真性舌し数に対応した識別番号の変動を許容する必要がある。上記真性乱数発生回路を搭載した半導体集積回路装置に電源投入等を行った際、あるいは前記動作活性化信号 A C Tを活性ィ匕した直後の識別信号 Fを適当な記憶回路に記憶させて、これを被識別番号とする。管理システムから登録識別番号を順次取り出す。登録識別番号と被識別番号を比較する。登録識別番号と被識別番号の比較結果の違いが小さいものを一致候補にする。この動作を管理システムに登録されている登録識別番号について繰り返すことで、最終的に全ての登録識別番号の中で最も違いが小さいものが同一最有力候補となる。

登録識別番号と被識別番号を比較において、対応するビッ卜の" 0 " 、 " 1 " 出力パターンは、個々の登録識別番号に特有であり、同一の半導体集積回路装置から出力された識別番号であるかは、パターンを構成するビット数の一致の割合で判定できる。登録時と照合時の環境や前記乱数ビッ卜での違いによる識別番号の変動を許容するため、被識別番号と登録済みの識別番号とのずれの合計がもっとも小さいものを一致の候補とすることによりチップ識別が可能となる。

第 1 7図には、この発明に係る真性乱数発生回路の一実施例の回路図が示されれている。この実施例は、基本構成は前記第 9図の実施例と同様である。本願においては、 M O S F E Tの特性のバラツキはランダムな分布であることに着目し、数多くの単位回路を観察すれば、第 1インバータ回路 I NV 1と第 2のインバー夕回路 I NV 2又は第 1ゲート回路 G 1と第 2ゲート回路 G の特性が極めて等しい組み合わせがある確率で存在することを利用するものである。このために、半導体集積回路装置に真性乱数発生回路を製造した場合に、実際に電気信号ノイズを反映させる単位回路が存在するか否かの検査を行うことが不可欠となる。この実施例では、真性乱数発生回路に自身を試験するテスト回路が付加される。このテスト回路での検査方法は、単位回路群中に含まれる第 1ゲート回路 G 1 (第 1インバー夕回路 I N V 1 ) と第 2ゲート回路 G 2 (第 2ィンバ一夕回路 I NV 2 ) の特性が極めて等しい組み合わせの単位回路の数を判定し、物理現象に基づく電気信号ノィズを確実に捉えることを保証するものである。

前記第 1 6図において識別情報 Fを取り出したように、各単位回路からの出力信号を得られる回路ノード、つまりはインバー夕回路 I NV 1 1の出力端子（排他的論理和回路 E Xの一方の入力）の信号 Rを反転検出器に供給し、この検出信号 Hを計数器により計数する。この計数出力 Cを比較器で比較し、判定結果 Mを得るものである。また、上記テスト動作のために（4 + M) 進カウンタにより列選択信号を形成するようにされる。（4 + M) 進カウン夕は、同じ単位回路を 4回連続して選択すると、次の単位回路の選択動作に移るという動作を繰り返して行う。第 1 8図には、上記テス小回路の動作の一例を説明するための夕イミング図が示されている。テスト信号 T Sをハイレベルにして（4 + M ) 進カウンタ動作を指示する。また、反転検出器と計数器を初期状態又は初期値とする。動作制御信号 A C Tをハイレベルにして乱数発生回路を動作状態にする。クロック C L Kの供給して最初の単位回路からの順次の読み出し動作を行う。このとき、（4 + M) 進カウンタは、クロック C L K 1〜4に対して同じ単位回路を 4回連続して選択する。これにより、前記第 2図（b ) のように固定値を出力するものは、 4回とも同じ信号 Rが出力される。

このように固定値を出力させるものは反転検出器は反転検出を行わないので、計数器の計数値は増加しない。これに対して、第 2図（a ) のように電気信号ノイズ Vnzに応答した出力信号 Rを形成するものが存在すると、 4回のアクセス中での反転回数は最大で 3回であるが、 1回以上の反転した場合には検出結果は真とする。同図では、 2サイクル目と 4サイクル目で出力信号 Rが変化し、このように反転検出器では出力 H のレベルがその都度変化する。

このように 1回でも出力 Hが変化すると、結果が真であるとき計数器の値 C 0をロウレベルからハイレベルに変化させて計数値を 1増やす。単位回路群中の次の単位回路の選択に移り、最後の単位回路まで上記同様な検出動作を繰り返して行う。計数器の数が規定値より大きい時、検査結果 Mの値を真（ハイレベル）とする。真性乱数を得る場合には基本的には上記規定値は 1であればよいが、安全性を考慮して 2又は 3以上の複数にすることが望ましい。

例えば、第 1 8図に示したように計数器を 2ビット出力のバイナリ力ゥン夕としたとき、クロック C L Kの K一 1サイクル目で計数出力 C 0 と C 1が共にハイレベルになることを比較器が検出して上記検査結果 M をハイレベルにょうに決めれば、第 2図（a ) のように電気信号ノイズ Vnzに応答した出力信号 Rを形成するものが 4個以上存在することが確かめられたことになる。

1つの単位回路を検査に対して C L Kパルスの 4個で 4回アクセスしたが、最低 2回以上であっても構わない。 2回アクセスする時は、（2 + M ) 進カウン夕を用いるものである。検査以外のときには、上記テスト信号 T Sのロウレベルの応じて前記のように M進力ゥン夕として動作するようにされる。あるいは、そのまま（4 + M) 進カウン夕や（2 + M ) 進カウンタとして動作させてもよい。この場合には、読み出しサイクルが 4倍又は 2倍に増加する。

セキュリティ製品における政府機関の規定として、 N I S T (米国標準技術研究所）が策定した F I P S 1 4 0— 2がある。この中には、政府の購入品が備える暗号モジュールが満たすべきセキュリティ要件 (FI

PS PUB 140-2, SECURITY REQUIREMENTS FOR CRYPTOGRAPHIC MODULES) が規定されており、舌 L数については統計的手法による、品位の検定合格基準が示されている。当該方法を用いた方法では、それを実現するための専用の回路の規模が比較的大きいことや、半導体試験装置で検査する場合に比較的時間がかかるという短所がある。

これに対して、この発明に係る乱数発生回路に設けられたテスト回路では、半導体ゥヱハ上に回路が完成した時点で、上記テスト機能を備えたテスタに接続することなく、自身で判定を行うことができる。また、半導体集積回路装置として出荷時にも自身で判定することが可能である

。更に、必要ならシステムに搭載された時点で、必要に応じてあるいは定期的に上記真性乱数発生回路が正常に動作可能な状態であるか否かの確認を行うことができる。これによつて、信頼性の高い真性乱数発生が可能となるものである。いずれも、本方式が統計に裏付けられたものであることにより可能である。 "

すなわち、真性乱数発生回路の診断（試験）は、その乱数の品位の評価に等しく、ある種の統計的処理が必要である。そのため、試験装置、試験時間、長期信頼度保証などの大きな課題がある。特に、真性乱数発生器が L S Iや最終システムに搭載された以降、回路自体が正常に動作しているか重要な問題である。何故なら、品位の高い真性乱数が得られなければ、セキュリティが危ぶまれることになるからである。し力、し、真性乱数発生回路を試験あるいはモニタすることは稼動中のシステムとしては大きな負荷である。このような技術的課題に対して、本願発明の真性乱数発生回路では、上記のように簡単な構成でこれらの問題を解決することができる。

第 1 9図には、この発明に係る真性乱数発生回路の一実施例の回路図が示されている。この実施例は、基本構成は前記第 9図の実施例と同様である。この実施例では、クロックとして発振器で形成した発振パルス〇 S Cを用いるようにするものである。

第 2 0図には、第 1 9図の真性乱数発生回路の動作波形図が示されている。活性化信号 ACTにより、発振器が特定の周期 Tosc のパルスを発生する。パルス OS Cを受けて、単位回路群中の単位回が順次選択され、 RR信号に乱数が生成される。スタート信号 STをハイレベルに遷移させると、 RR信号の乱数が出力 RYから取り出される。スタート信号 S Tの周期 T cと発振器の周期 T 0 s cの関係は、全ての単位回路からの出力信号の読み出しを必要とするから、 [Tc] ≥ [To s c] x [n] である。ここで、上記の [n] は、単位回路群中の単位回路数 ( MXN) である。発振器出力パルス OS Cは、かかる真性乱数発生回路が搭載された L S Iのシステムクロック等であってもよい。

第 2 1図には、この発明に係る真性乱数発生回路の一実施例の回路図が示されている。この実施例は、基本構成は前記第 1 9図の実施例と同様である。この実施例では、スタート信号 S Tが省略されて、動作制御信号 A C Tより動作状態となり、シフトレジスタが出力の直前に設けられて並列ビッ卜からなる乱数 RA iを生成するようにされる。

第 2 2図には、この発明に係る乱数発生回路の出力部の他の一実施例の回路図が示されている。この実施例は、前記第 2 1図の実施例のシフトレジス夕をメモリに変更している。同図で用いたメモリは、いわゆるシリアル入力/パラレル出力型のメモリである。制御信号 A C Tがハイレベルの時、真性乱数発生回路からクロックの M X Nサイクル每に R R から 1 ビットずつ真性乱数発生し、また同時に当該メモリはシリアル入力モードであって、入力 S Iから真性乱数を取り込み蓄積する。制御信号がロウレベルの時、真性乱数発生回路は停止し、同時に当該メモリはパラレル出力モードであって、入力 A Dのァドレス情報に対応したメモリ空間に蓄積された真性乱数を出力 D Tから出力する。なお、当該メモリの各入出力の意味は、 S Eはこのメモリのモードを切り替えるための制御入力であって、ハイレベルの時シリアル入力モード、ロウレベルの時パラレル出力モードであり、 S Iはシリアルデータ入力であり、 C K はシリアル入力を取り込む時の同期信号入力であり、 A Dはパラレル出力モードの時メモリ空間を選択するァドレス入力であり、 D Tはパラレルデータ出力である。

第 2 2図に示されたメモリは、 F I F O (First In First Out) 型メモリや、シリアル入力とパラレル出力を同時に行える非同期型メモリであっても構わない。

第 2 3図には、前記第 2 1図に示した真性乱数発生回路の動作波形図が示されている。動作制御信号 A C Tにより回路が動作状態となり、 N 進カウンタのキャリー信号 C Aによってシフトレジスタが 1ビットのシフト動作を行い生成された真性乱数 R Rの取り込みを行う。この実施例では、 0ないし 7からなる 8回の前単位回路群の読み出しによって、 8 ビットからなる舌し数 D 0〜D 7をパラレルに出力させることができる。第 2 4図には、この発明に係る真性乱数発生回路の一実施例のチップ構成図が示されている。この実施例では、真性乱数発生回路を 1つの I Cで構成するものである。外部端子として電源端子 V C C、 V S S、クロック入力端子 C L K、動作制御信号 R S T及び真性乱数出力端子 R R から構成される。前記のように発振器を搭載したものでは、クロック端子 C L Kが省略される。また、テスト回路を備えたものでは、判定出力端子、テストモ一ド入力端子等が付加される。判定出力端子は、舌 L数出力端子 R Rと許容することもできる。かかる I Cチップを 1つのパッケージに封止しても、他の I Cと同じ実装基板に搭載して封止（マルチチップ I C ) しても、また、そのままシステムに実装しても構わない。第 2 5図には、この発明に係る半導体集積回路装置の一実施例のプロック図が示されている。この実施例の各回路プロックは、実際の半導体基板上における幾何学的な回路配置に合わせて描かれている。この実施例の半導体集積回路装置は、特に制限されないが、複数の回路機能プロックが組み合わされて特定の信号処理機能を持つようにされる。このような回路プロックを有する半導体集積回路装置に真性乱数発生回路が搭載される。真性乱数発生回路に必要とされるクロックは、かかる半導体集積回路装置に設けられたクロック発生回路で形成されたクロック又は外部端子からクロック供給を受けるものではそのクロックが用いられる。また、第 1 9図や第 2 1図の乱数発生回路のように発振器を持つものでは、上記のようなクロックの供給は不要である。

第 2 6図には、この発明に係る半導体集積回路装置の他の一実施例のブロック図が示されている。この実施例の各回路ブロックも、実際の半導体基板上における幾何学的な回路配置に合わせて描かれている。この実施例は、 MPU (マイクロプロセッシングユニット）を中心とした 1 チップのマイクロコンピュータに向けられている。このマイクロコンピュ一タでは、バス BUS (アドレスバス、データバス及びコントロールバス）上に上記 MPUの他に、 RAM (ランダム 'アクセス 'メモリ）、 ROM (リード 'オンリー 'メモリ）、 DMAC (ダイレクト ·メモリ ·アクセス . コントローラ）、 T I M (タイマー）及び ADC (アナログ'デジタル 'コンバータ）、 DAC (デジタル .アナログ'コンパバータ）と、この前記の真性乱数発生回路が接続される。

本発明に係る真性乱数発生回路は、全て標準 CMOS論理回路のみで実現される。このことは、複雑なアナログ回路設計や LS I実装に掛かる負荷を軽減し、製品の価格を低減し、信頼性性の向上に寄与することになる。また、セキュリティ問題において最大の課題である、クラツキングに対して強固なモジュールを提供できる。何故なら、標準論理回路のみで構成することで、 L S Iの中でアタックの標的から逃れる、迷彩 (ステルス）効果が得られるからである。つまり、アナログ回路を用い場合のように回路パ夕一ンに特徴がなく、しかも上記のようにバス B U Sを介して乱数の取り出しを行うようにした場合には、上記迷彩（ステルス）効果をいつそう高くすることができる。

第 27図には、この発明に係る真性乱数発生回路の他の一実施例の構成図が示されている。第 27図（a) には、回路ブロック構成が示され、第 27図（b) には、レイアウト構成が示されている。この実施例では、例えば前記第 7図に示したような真性乱数発生回路が n個設けられる。つまり、 0ないし n_ 1からなる n個の真性乱数発生回路が設けられ、それぞれの出力信号 R0、 R 1〜Rn— 1はマルチプレクサ MUX を通して 1つつの信号が選ばれて真性乱数 RMとして出力される。第 2 7図（b ) のレイァゥト構成に示すように、マルチプレクサを挟んで上下に真性乱数発生回路を設けることにより、効率よく回路配置を行うことができる。同図において、真性乱数発生回路の中の 1つの回路ブロックは、例えば前記 1つの単位回路を表している。この構成においては、 2つの真性乱数発生回路に挟まれたマルチプレクサは 2つのうちの 1つを選択するというような比較的簡単な構成で良いから、マルチプレクザが配置される部分には前記デコーダ等の選択信号発生回路が配置される。

例えば、この実施例の真性乱数発生回路において乱数 Rを得るのに n 個の単位回路で構成される場合、 1ビットの乱数 Rを得るためには前記のように全ての単位回路からの出力信号を得る必要からに nサイクルを費やすことになる。そこで、上記 1つの乱数を得るに必要な nサイクルに対応してこの実施例のように n個の乱数発生回路を設けた場合には、クロック C L Kに同期した高い周波数で舌 L数を発生させることができる。ただし、動作制御信号により動作を開始したときから nサイクルからなるダミーサイクルを'必要とする。

第 2 8図には、第 2 7図に示した真性乱数発生回路の動作の一例を示すタイミング図が示されている。第 2 7図の真性乱数発生回路では、最初の乱数発生回路の読み出しのために nサイクル（nクロック）後から各真性乱数発生回路から乱数 R 0〜R n _ 1が出力されるから、マルチプレクサ M P Xによりクロック C L Kに同期して 1個ずつ選ぶようすることにより、クロック C L Kに同期した真性乱数 R M ( R 0、 R l、 R 2〜R n— l、 R O ' R 1 ' R 2 ' …のようにクロック C L Kに同期した高ビットレートな真性乱数を得ることができる。

第 2 9図には、この発明が適用される I Cカードの一実施例の外観図が示されている。 I Cカードは、プラスチックケースからなるカード 1 01と、かかるカード 101の内部に搭載された図示しない 1チップのマイクロコンピュータ等からなる I Cカード用チップを持つものである。上記 I Cカードは、さらに上記 I Cカード用チップの外部端子に接続されている複数の接点（電極） 102を持つ。

複数の接点 102は、後で第 30図によって説明するような電源端子

V c c . amj-Y s s . リセット入力端子 RE Sバ一、クロック端子 CLK、データ端子 IZO— 1/1 RQバー、 I/O— 2/1 RQバーとされる。 I Cカードは、かかる接点 102を通して図示しないリ—ダーライタのような外部結合装置から電源供給を受け、また外部結合装置との間でのデー夕の通信を行う。

第 30図には、この発明に係る I Cカードに搭載される I Cカード用チップ（マイクロコンピュータ）の一実施例の概略プロック図が示されている。同図の各回路ブロックは、公知の M OS集積回路の製造技術により、特に制限されないが、単結晶シリコンのような 1個の半導体基板上において形成される。

この発明に係る I Cカード用チップの構成は、基本的にマイクロコンピュー夕と同じような構成である。その構成は、クロック生成回路、中央処理装置（以下、単に CPUという）、 ROM (Read Only Memory)や RAM (Random Access Memory)、不揮発性メモリ（ E E P R 0 M ) などの記憶装置、暗号化及び復号化処理の演算を行なうコプロセッサ（暗号化 '復号化装置）、入出力ポート（I/Oポート）などからなる。

クロック生成回路は、図示しないリーダライ夕（外部結合装置）から第 29図の接点 102を介して供給される外部クロック CLKを受け、力、かる外部クロック信号に同期したシステムクロック信号を形成し、それをチップ内部に供給する回路である。

CPUは、論理演算や算術演算などを行う装置であり、システムコントロールロジック、乱数発生器及びセキュリイロジック及びタイマなどを制御する。 RAM、 ROM, EEPROMのような記憶装置は、プログラムやデータを格納する装置である。コプロセッサは、 DESB音号法などに適合された回路から構成される。 I/O (入出力）ポートは、リ —ダライタと通信を行う装置である。データバスとアドレスバスは、各装置を相互に接続するバスである。

上記記憶装置のうち、 ROMは、記憶内容が不揮発的に固定されているメモリであり、主にプログラムを格納するメモリである。揮発性メモリ（以下、 RAMという）は自由に記憶情報の書き換えができるメモリであるが、電源の供給が中断されると、記憶している内容が消えてなくなる。 I Cカードがリーダライ夕から抜かれると電源の供給が中断されるため、上記 RAMの内容は、保持されなくなる。

上記不揮発性メモリ（以下、 EEPROM (Electrical Erasable Pro grammable Read Only Memory) という）は、内容の書き換えが可能な不揮発性メモリであり、その中に一旦書き込まれた情報は、電源の供給が停止されてもその内部に保持される。この EE PROMは、書き換える必要があり、力、つ I Cカードがリーダライタから抜かれても保持すべきデー夕を格納するために使われる。例えば、 I C力一ドがプリペイド力ードとして使用されるような場合、のプリペイドの度数などは、使用するたびに書き換えられる。この場合の度数などは、リーダライタか抜かれても I Cカード内で記憶保持する必要があるため、 EE PROMで保持される。

CPUは、いわゆるマイクロプロセッサと同様な構成にされる。すなわち、その詳細を図示しないけれども、その内部に命令レジスタ、命令レジス夕に書込まれた命令をデコードし、各種のマイクロ命令ないしは制御信号を形成するマイクロ命令 R〇M、演算回路、汎用レジスタ（R G6等）、内部バス BUSに結合するバスドライバ、バスレシーバなどの入出力回路を持つ。 CPUは、 ROMなどに格納されている命令を読み出し、その命令に対応する動作を行う。 CPUは、 I/Oポートを介して入力される外部デー夕の取り込み、 R〇 Mからの命令や命令実行のために必要となる固定データのようなデータの読み出し、 RAMや EE PROMに対するデ一夕の書き込みと読み出し動作制御等を行う。上記 CPUは、クロック生成回路から発生されるシステムクロック信号を受けそのシステムクロック信号によって決められる動作タイミング、周期をもって動作される。 CPUは、その内部の主要部が Pチャンネル型 MOSFETと Nチャンネル型 MOSFETとからなる CMOS回路から構成される。特に制限されないが、 CPUは、 CMOSス夕ティックフリップフ口ップのようなス夕テイツク動作可能な C MO Sス夕テック回路と、信号出力ノードへの電荷のプリチヤ一ジと信号出力ノードへの信号出力とをシステムクロック信号に同期して行うような C M 0 S ダイナミック回路とを含む。

コプロセッサは、内部で扱う平文デー夕に符号ビットを付加し、ポジ /ネガの両方の状態を持つようにする。日音号化における繰り返し演算時に、データを符号ごとランダムに変更する。符号の影響を受けない演算 (排他的論理和など）はそのまま符号を無視して演算する。符号の影響を受ける演算（変換表を用いた演算など）では、ポジ用の演算回路とネガ用の演算回路を用意し、データの符号によつて演算回路の出力を選択する機構を用いる。

DE S (Data Encryption Standard) は、広範に用いられている秘密鍵ブロック暗号である。 DESのアルゴリズムは、大きく平文のデータフローと鍵のデータフローに分割できる。平文データフローでは、 I P とよばれる転置（信号の入れ換え）を行った後、上位と下位それぞれ 3 2ビッ卜ずつにデータを分割し、転置 ·換字処理を 1 6回繰り返す。最後に上位と下位それぞれ 3 2ビットデータを統合し、 I P—¹とよばれる転置を行い、暗号文を得る。

D E Sでは、暗号化と復号化が同じ処理で実現できる。ただし暗号化と復号化では、鍵のスケジュ一リングが異なる。鍵のスケジユーリング部分について、詳細は省略するが、鍵データを元に、各段に対して 4 8 ビット鍵スケジュ一リングデータの出力を行う。

D E Sァルゴリズムでは、同じ平文に対しては常に同じ内部動作を行う。その結果、内部信号が入力信号に依存して変化するので、 D P A (D iffrential Power Analysis)法での統計処理を行いやすい。つまり、 D P A法では、消費電流波形を統計処理して暗号鍵を推定し、例えば D E Sのある部分に仮定した暗号鍵を当てはめて、平文を変化させながら消費電流波形を測定して統計する。暗号鍵を様々に変化させながらこの作業を繰り返し、正しい鍵のときには電流波形が大きなピークを示す。上記のような D P Aによる D E S解読に対する対策の例として、特開 2 0 0 0 - 0 6 6 5 8 5号公報がある。この公報に記載の技術では、マスク aのパターンと、そのビット反転のマスクパターンのペアを設け、暗号化を行う每にこのペアの一方をスィツチによりランダムに選択して、装置内部の平文に依存したビットをマスクし、暗号文を出力する前に暗号文からマスク aの影響を除去するようにするものである。

D P Aによる解読防止のためには、上記マスクが特定のパターンに偏らないようにする必要のあることは説明されているが、どのようにすれば複数ビッ卜のパターンが偏らないようにするために、乱数発生器で生成された舌 L数が利用される。

第 3 1図には、この発明が適用される非接触 I Cカードの一実施例のブロック図が示されている。同図には、非接触 I Cカードに対して、外部装置として設けられるリード ·ライト装置のコイル（アンテナ）も併記されている。非接触 I Cカードに搭載される L S Iは、図示されるブロックの他に、例えばメモリやマイクロコンピュータ等の機能ブロックを備えるが、それらを論理回路及ぴ不揮発メモリとして表している。上記し S Iの各プロックを構成する回路素子は、特に制限されないが、公知の M O S F E T (金属酸化物半導体型電界効果トランジスタ。この明細書では、 M 0 S F E Tをして絶縁ゲート型電界効果トランジスタの総称とする）集積回路の製造技術により、単結晶シリコンのような 1個の半導体基板面上に形成される。また、この L S Iは、所定の保護膜によつてラミネート処理された後、非接触 I Cカードの基体となるカード面上に搭載され、さらに被膜処理が施される。

本実施例の非接触 I Cカードは、特に制限されないが、いわゆる密着型の非接触 I Cカードとされ、例えば銅箔等を用いてカード面上にコィル状に形成される受電コイル（カード側アンテナ）と、所定の配線層を介して上記受電コイルに結合される L S Iとを備える。この L S Iは、 4個のダイォードがプリッジ結合されてなる整理回路と、整流回路の整流電圧を平滑する平滑コンデンサと、安定化電源回路とによって、上記論理回路及び不揮発メモリ等を含む内部回路の動作電圧 V D Dが形成される。上記整流回路に対しては、実質並列形態にクロック発生回路、デ一夕受信回路及びデ一夕送信回路が設けられる。

上記ダォードブリッジ回路からなる整流回路は、リード 'ライト装置の送電コイル（アンテナ）との電磁結合によって非接触 I Cカードの受電コイルに電力源として伝達される交流信号つまりキャリアを整流し、上記平滑コンデンザで平滑した電圧を安定化電源により直流電源電圧 V D Dを生成し、 L S Iの各機能ブロックに動作電源として供給する。パヮーオンリセット回路は、電源電圧 V D Dの立ち上がりを検知し、つまりは、リード 'ライト装置との結合を検知して、データの受信や送信を正常に行うようにするために、論理回路のレジス夕ゃラッチ回路等をリセットさせる。

データ受信回路は、リード 'ライト装置から例えばキャリアを周波数変調することにより伝送されるデータを受信復調し、内部入力データとして L S Iの内部回路に伝達する。内部回路で形成された出力データは、データ送信回路によりキャリアを周波数変調してリード ·ライト装置に伝送する。

上記のような内部回路（論理回路）やデータ受信回路及びデ一夕送信回路では、上記動作電圧 V D Dの他に、動作シーケンス制御や信号の受信や送信のためにクロック信号を必要とする。この実施例では、クロック発生回路により上記交流信号をパルス信号とし、クロック信号を生成する。論理回路部には、乱数発生器が設けらており、外部とのデータ送信やデータ受信にかかる乱数が用いられる。

上記非接触 I Cカードでは、直流電源電圧 V D Dの電流供給肯力が小さいから、乱数発生器における消費電力も小さいことが必要とされる。前記のよう乱数発生器は、単位回路を順次に動作させるものであるために消費電流を小さくできる。それ故、この実施例の乱数発生器は、上記のような非接触 I Cに搭載させるものとして好適なものとなる。

第 3 2図には、この発明に係る乱数発生回路で生成された乱数の乱数 .2次元散布図が示されている。同図においては、 2 0 0 X 2 0 0ビットの乱数の 0と 1をドッ卜の白と黒に対応して表示したものである。特に制限されないが、この実施例では、単位回路（基本回路）を 1 1 8個設けて、通常の C M〇 Sプロセスで回路を構成したものである。

同図は、図面の作成の関係で乱数 2次元散布図を 4 0 0 d p iでスキャナ一で読み取り表示したものであるので、実際の乱数 2次元散布図とは若干異なるが、おおよその乱数 2次元散布を表しており、特有のパ夕 —ンは存在しないことが判る。つまり、高い品位の乱数であることを表している。また、前記の F I P S 1 4 0 - 2での乱数検定結果は、次の通りである。 1回の検定に使用される舌 L数の長さを 2 0， 0 0 0ビットとし、これを 6 0 0回 ί亍った結果、全てにおいてかかる検定をパスすることができた。

今日暗号やセキュリティが日常的に話題となるようになつたのは、ィンタ一ネットの普及が理由であろう。インターネットは遠く離れた機器をつなぐネットワーク技術である。インターネット上を往来するデータは、本質的に第三者の所有するコンピュータゃセットワーク装置を通過するため盗聴や改竄の虞が常にある。インターネットをセキュリティやブラィパシーが保証された安全なィンフラとするために、暗号や認証が脚光を浴びている。現在、インタ一ネット上で様々なセキュリティ技術が利用されているが、その代表的なものに S S L (Secure Socket Laye r) や I P s e c ( Internet Protocol security) 技林 ϊなどがある。これらの技術の詳細は記さないけれども、いずれも品位の高し、乱数が必要である。特に、 I P s e cは次世代のィンタ一ネット技術である I P V 6 ( Internet Protocol Version6) では必須条件として採用される。 I P v 6は普及すると、個人の持つパーソナルコンピュータや携帯電話をはじめ、自動車や家電製品などにも I P番号が割り当てらことも可能となる。そうなると、品位の高い乱数、つまり真性乱数をそれらの機器の中で容易に生成することが必要となる。

前述のように、本発明に係る真性乱数発生回路は、全て標準 C M O S 論理回路のみで実現される。このことは、複雑なアナログ回路設計や L S I実装に掛かる負荷を軽減し、製品の価格を低減し、信頼性性の向上に寄与することになる。第 34図には、この発明に係る半導体集積回路装置に搭載される真性乱数発生回路の第 1図に示された基本概念の応用概念の回路図が示されている。第 1図では、真性乱数は複数からなる各基本回路内の I NV 1 と I NV 2に生じる電気信号ノイズを素にしているが、第 34図では、第 1のィンバ一夕 I NV 1を共通とし第 2のィンバータを各基本回路に分散させる。つまり、 1種類しか存在しない第 1のインバー夕の論理しきい値 VLT 1と各基本回路内の第 2のインバ一夕の論理しきい値 VL T の差が極めて小さい組み合わせが存在する場合、第 1のィンバ一夕および第 2のィンバ一夕の電気信号ノイズの影響を反映して真性乱数を得ることができる。なお、第 3のインバー夕以後の動作は上記第 1図で述べた内容と同じであるので省略する。

第 35図には、この発明に係る半導体集積回路装置に搭載される真性乱数発生回路の第 34図に示された応用基本概念のさらに別の応用概念の回路図が示されている。この実施例では、前記図 34のインバー夕回路 I NV 1〜I NV 14が、 2入力のナンド（NAND) ゲート回路 G 1〜G 14に置き換えられる。上記ゲート回路 G 1は、一方の入力と出力とが結合される。このゲート回路 G 1の共通化された入出力が基本回路内のゲート回路 GO 2.の一方の入力と接続される。ゲート回路 GO 2 の出力はゲート回路 GO 3の一方の入力に接続される。ゲート回路 GO 3の出力はゲート回路 G 04の一方の入力に接続される。そして、これらのゲート回路 GO 2〜G04の他方の入力には、電源 VDDに接続され常にハイレベル（論理 1) とさる。

第 34図のィンバータ回路INV1〜INV14は、上記ナンドゲート回路 G 1〜G 14のような論理ゲート回路の一種と見做すことができる。すなわち、入力信号を反転させる論理動作を行うものであるからである。第 34図のようにインバー夕回路 INV1〜INV14を用いた場合には、インバー夕回路 I NV 1と I NVO 2のように初段側においては論理しきい値電圧 V L T付近で動作するものであり、電源電圧 V D Dと回路の接地電位との間に直流電流を流すものとなる。本願発明では、前記のように素子のプロセスバラツキによる論理しきい値電圧の正規分布を利用するものであり、そのために比較的多数からなる単位回路を動作させる必要があるので、上記インバ一夕回路 I NV 1と I NV0 2 での直流電流は低消費電力化を実現する上では無視できない。

これに対して、この実施例のようにゲート回路 G 1〜G 1 4を用いた場合には、各ゲート回路 G 1〜G 1 4は、動作制御信号 ACTを口ウレベル（論理 0) のような非活性化レベルとしたとき、ゲート回路 G 1の出力は無条件にハイレベル（論理 1 ) となり、例えばゲート回路 G 1の出力を入力とするゲート回路 GO 2の出力は無条件にロウレベル（論理 0) となり、ゲート回路 GO 2の出力を入力とするゲート回路 GO 3の出力は無条件にハイレベル（論理 1 ) となり、ゲート回路 GO 3の出力を入力とするゲート回路 GO 4の出力は無条件にハイレベル（論理 1 ) となり、各ゲート回路 G l， GO 2、 GO 3、 GO 4およびそれと等価なな他の基本回路ないのゲート回路においても直流電流が発生しない。すなわち、この実施例回路では、乱数を必要とするタイミングで上記動作制御信号 ACTをハイレベル（論理 1 ) のような活性化レベルとする。これにより、各ゲート回路 G 1〜G 1 4は、上記動作制御信号 ACT とは異なる他方の入力信号に応答して反転信号を形成するというインバ一夕回路としての動作を行う。これにより、上記動作制御信号 ACTをハイレベルにすることにより、第 34図の基本回路図と同様の動作を行うものとなる。

以上本発明者よりなされた発明を実施例に基づき具体的に説明したが、本願発明は前記実施例に限定されるものではなく、その要旨を逸脱しない範囲で種々変更可能であることはいうまでもない。例えば、抵抗素子を、ィンバータゃゲート回路を構成する信号入力 M O S F E Tに対する負荷素子とするような場合には、特性バラツキに応ずる情報は、抵抗素子の特 I生ラツキと信号入力 M O S F E Tの特性ノラツキとの両方を反映したものとなる。抵抗バラツキに対応する特定情報は、必ずしも半導体集積回路装置内のみで形成する必要は無く、外部端子を介して接続する構成とすることもできる。ただし、低消費電力化を図る上では、前記のような C M O Sゲート回路を用いることが望ましい。また、第 1ィンバ一夕回路 I NV 1と第 2インバー夕回路 I NV 2は、その消費電流を低減させるために前記第 1 0図（b ) に示したようなクロックドインバ一タ回路 C Nに置き換え、動作制御信号により活性化を行うようにするものであってもよい。産業上の利用可能性

この発明は、ネットワーク機器に組込むもの、無線通信機器に組み込むもの、暗号化'複合化装置に組み込むもの、認証システムに組み込むもの、あるいは玩具系ロボットやゲ一ムのキャラクタの「個性因子」や「気まぐれ因子」に組み込まれる乱数の乱数発生方法と半導体集積回路装置に広く利用することができる。

Claims

請求の範囲

1 . 互いに同じ製造過程をもつて同一の形態として形成された第 1及び第 2論理回路と、上記第 1論理回路及び第 2論理回路のしきい値電圧の差電圧に重畳される雑音を増幅して 2値信号を形成する増幅回路とからなる単位回路の複数個と、

上記複数個の単位回路から出力される複数個からなる 2値信号のうちのいずれか 1つの信号変化に応答して出力信号を形成する信号変化検出回路とを用い、

上記信号変ィ匕検出回路から出力される 2値信号の複数個を組み合わせて乱数を生成してなることを特徴とする乱数発生方法。

1 . 請求の範囲第 1項において、

上記第 1及び第 2論理回路と上記増幅回路とは、第 1と第 2の入力を有する論理ゲ一ト回路からなり、

上記第 1論理回路に対応した論理ゲート回路の第 1の入力と出力とが接続され、

上記第 2論理回路に対応した論理ゲート回路の第 1の入力は、上記第 ■ 1論理回路に対応した論理ゲート回路の共通接続された入力と出力に接続され、

上記増幅回路は、複数個の論理ゲート回路の第 1の入力と出力とが縦列形態に接続され、

上記第 1論理回路、第 1論理回路及び増幅回路を構成する論理ゲートの第 2の入力には上記動作制御信号を供給して上記複数の単位回路を動作状態にして、上記信号変化検出回路を通して乱数を生成してなることを特徴とする乱数発生方法。

3 . 請求の範囲第 2項において、

上記複数の単位回路を順序回路により形成された動作制御信号に対応して順次に選択状態し、全ての単位回路の出力信号をシリアルに出力させて上記信号変化検出回路により 1ビット分の乱数を生成してなることを特徴とする乱数発生方法。

4 . 請求の範囲第 3項において、

上記信号変化検出回路は、上記順序回路よりシリアルに出力される出力信号と 1つ前に出力された出力信号とを受けて上記乱数を形成する排他的論理回路を用いるものであることを特徴とする乱数発生方法。

5 . 請求の範囲第 3項において、

上記 1ビットの乱数に対応した全ての単位回路の出力信号は、チップ識別信号としても利用されるものであることを特徴とする乱数発生方法。

6 . 請求の範囲第 1項において、

上記信号変化検出回路により形成された乱数は、算術方式の乱数発生回路の初期値として用いられ、

上記算術方式の乱数発生回路より乱数が生成されるものであることを特徴とする乱数発生方法。

7 . 互いに同じ製造過程をもって同一の形態として形成された第 1及び第 1論理回路と、上記第 1論理回路及び第 2論理回路のしきい値電圧の差電圧に重畳される雑音を増幅して値信号を形成する増幅回路とからなる単位回路の複数個から出力される複数ビットからなる信号を初期値として算術方式の乱数発生回路に伝え、

上記算術方式の乱数発生回路より乱数を生成してなることを特徴とする乱数発生方法。

8 . 互いに同じ製造過程をもって同一の形態として形成された第 1及び第 2論理回路と、上記第 1論理回路及び第 2論理回路のしきい値電圧の差電圧に重畳される雑音を増幅して 1値信号を形成する増幅回路とからなる単位回路の複数個と、

上記複数個の単位回路から出力される複数個からなる 2値信号のうちのいずれか 1つの信号変化に応答して出力信号を形成する信号変化検出回路とを備え、

上記信号変化検出回路から出力される 2値信号から乱数を生成してなることを特徴とする半導体集積回路装置。

9 . 請求の範囲第 8項において、

上記第 2論理回路に対応した論理ゲート回路の第 1の入力は、上記第 1論理回路に対応した論理ゲート回路の共通接続された入力と出力に接続され、

上記第 1及び第 2論理回路に対応した論理ゲ一ト回路の第 2の入力には、動作制御信号が供給されてなり、

上記増幅回路は、複数個の論理ゲ一ト回路の第 1の入力と出力とが縦列形態に接続され、第の入力には上記動作制御信号が供給されてなることを特徴とする半導体集積回路装置。

1 0 . 請求の範囲第 9項において、

上記複数の単位回路は、順序回路により形成された動作制御信号に対応して順次に選択状態にされ、

上記複数の単位回路の出力部には、上記信号変化検出回路が設けられてなることを特徴とする半導体集積回路装置。

1 1 . 請求の範囲第 1 0項において、

上記信号変化検出回路は、上記順序回路より出力される出力信号と 1 つ前に出力された出力信号とを受けて上記乱数を形成する排他的論理回路を含むものであることを特徴とする半導体集積回路装置。

1 2 . 請求の範囲第 1 1項において、

上記論理ゲ一ト回路は、 C M O S構成の論理ゲ一ト回路であり、上記動作制御信号により単位回路が非動作状態にされるときに、次段のゲ一ト回路の Pチャネル M O S F E Tをオフ状態にさせるものであることを特徴とする半導体集積回路装置。

1 3 . 請求の範囲第 1 1項において、

上記複数の単位回路は、行列配置されてなり、

行列配置される各単位回路の入力部には、第 1入力と第 2入力を有する論理ゲート回路が設けられて、第 1入力と第 2入力に行及び列選択信号が供給され、その出力により上記第 1論理回路及び第 2論理回路を構成する論理ゲート回路を選択状態にさせる動作制御信号が形成され、上記各単位回路の増幅回路を構成する論理ゲー卜回路の第 1の入力には、行方向に配置される前段からの単位回路の出力信号が伝えられるものであり、力、かる増幅回路は上記動作制御信号力非選択状態のときに前段からの単位回路の出力信号を増幅して伝えるものであることを特徴とする半導体集積回路装置。

1 4 . 請求の範囲第 1 3項において、

上記単位回路を構成する M O S F E Tのゲ一ト長及びゲート幅は、上記信号変化検出回路又は順序回路を含む他の論理回路を構成する M〇 S F E Tのゲート長及びゲート幅よりも大きく形成されてなることを特徴とする半導体集積回路装置。

1 5 . 請求の範囲第 1 1項において、

上記順序回路は、同じ単位回路を複数回連続して選択するテストモードを備え、かかるテストモードにおいて、同じ単位回路から複数回出力される出力信号のうち異なる出力を形成する単位回路の数を計数する回路を設け

、上記異なる出力信号を形成する単位回路の数が 1以上であるときには乱数発生回路は良品として判定してなることを特徴とする半導体集積回路装置。