知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024056470
(43)【公開日】2024-04-23
(54)【発明の名称】集積回路および演算方法
(51)【国際特許分類】
G06F 7/523 20060101AFI20240416BHJP
【ＦＩ】
G06F7/523
【審査請求】未請求
【請求項の数】4
【出願形態】ＯＬ
(21)【出願番号】P 2022163368
(22)【出願日】2022-10-11
【公序良俗違反の表示】
（特許庁注：以下のものは登録商標）
１．ＶＥＲＩＬＯＧ
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和３年度、国立研究開発法人情報通信研究機構「革新的情報通信技術研究開発委託研究／研究開発課題名：継続的進化を可能とするＢ５Ｇ ＩｏＴ ＳｏＣ及びＩｏＴソリューション構築プラットホームの研究開発」、産業技術力強化法第１７条の適用を受ける特許出願
(71)【出願人】
【識別番号】319006047
【氏名又は名称】シャープセミコンダクターイノベーション株式会社
(74)【代理人】
【識別番号】110000338
【氏名又は名称】弁理士法人 ＨＡＲＡＫＥＮＺＯ ＷＯＲＬＤ ＰＡＴＥＮＴ ＆ ＴＲＡＤＥＭＡＲＫ
(72)【発明者】
【氏名】島本 行博
(57)【要約】 （修正有）
【課題】ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を簡易な組み合わせ回路で実現する集積回路及び演算方法を提供する。
【解決手段】集積回路１は、ＭＵＬ６４関数の第１引数であるＶのｘビット目の値及び第２引数であるＰのｙビット目の値の論理積の全ての排他的論理和の演算結果Ｎ（ｎ）を算出する算出回路１１と、Ｍ（ｎ）を示すデータおよびＮ（ｎ）を用いてＭＵＬ６４関数値［６３：０］を出力する出力回路１２と、を備える。Ｍ（ｎ）は、ＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値を適用して算出された値である。
【選択図】図１
【解決手段】集積回路１は、ＭＵＬ６４関数の第１引数であるＶのｘビット目の値及び第２引数であるＰのｙビット目の値の論理積の全ての排他的論理和の演算結果Ｎ（ｎ）を算出する算出回路１１と、Ｍ（ｎ）を示すデータおよびＮ（ｎ）を用いてＭＵＬ６４関数値［６３：０］を出力する出力回路１２と、を備える。Ｍ（ｎ）は、ＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値を適用して算出された値である。
【選択図】図１
【特許請求の範囲】
【請求項1】
ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、
ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路と、
１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路と、を備え、
前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である、
ことを特徴とする集積回路。
ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路と、
１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路と、を備え、
前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である、
ことを特徴とする集積回路。
【請求項2】
前記出力回路は、
前記Ｍ（ｎ）の各ビットおよび前記Ｎ（ｎ）の論理積により算出される１２８個のＭ（ｎ）×Ｎ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値として出力する、
ことを特徴とする請求項１に記載の集積回路。
前記Ｍ（ｎ）の各ビットおよび前記Ｎ（ｎ）の論理積により算出される１２８個のＭ（ｎ）×Ｎ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値として出力する、
ことを特徴とする請求項１に記載の集積回路。
【請求項3】
前記出力回路は、
前記Ｍ（ｎ）を示すデータであるＧｍであって、前記Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値のｍビット目として出力する、
ことを特徴とする請求項１に記載の集積回路。
前記Ｍ（ｎ）を示すデータであるＧｍであって、前記Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値のｍビット目として出力する、
ことを特徴とする請求項１に記載の集積回路。
【請求項4】
ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法であって、
ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出ステップと、
１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力ステップと、を含み、
前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である、
ことを特徴とする演算方法。
ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出ステップと、
１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力ステップと、を含み、
前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である、
ことを特徴とする演算方法。
【発明の詳細な説明】
【技術分野】
【0001】
本開示はＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路および演算方法に関する。
【背景技術】
【0002】
通信におけるデータの暗号化方式として、ＳＮＯＷ－３Ｇが知られている。ＳＮＯＷ－３Ｇでは、完全性検証のためのＭＵＬ６４関数が標準化されている。ＭＵＬ６４関数では、ＭＵＬ６４ｘＰＯＷ関数が再帰的に定義されている。再帰的に定義されている関数を回路によって実現した場合、入れ子構造の組み合わせ回路によって実現可能である。しかしながら、入れ子構造の回路を実行する回数が分からない場合、または入れ子構造の回路を実行する回数が多い場合、入れ子構造を作ることができないので、一般的に順序回路で実現される。
【0003】
一方、順序回路では、演算結果が出力されるまで時間が掛かるという問題がある。また、順序回路では、単純電力解析（SPA: Simple Power Analysis）および差分電力解析（DPA: Differential Power Analysis）といった電源電流解析によって値が読み取られやすいという問題もある。そのため、ＭＵＬ６４関数を組み合わせ回路で実現する技術が求められている。
【0004】
特許文献１には、ＭＵＬ６４関数を組み合わせ回路で実現する方法が開示されている。
【先行技術文献】
【特許文献】
【0005】
【特許文献1】中国特許出願公開第１１３９７１０１５号明細書
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、ＭＵＬ６４ｘＰＯＷ関数の第２引数の最大値は６３であるため、特許文献１に記載の組み合わせ回路では６４段のネスティング構造となり、複雑な構成になってしまう。
【0007】
本開示の一態様は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を簡易な組み合わせ回路で実現することを目的とする。
【課題を解決するための手段】
【0008】
上記の課題を解決するために、本開示の一態様に係る集積回路は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路と、１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路と、を備え、前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である。
【0009】
また、上記の課題を解決するために本開示の一態様に係る演算方法は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出ステップと、１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力ステップと、を含み、前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である。
【発明の効果】
【0010】
本開示の一態様によれば、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を組み合わせ回路で実現できる。
【図面の簡単な説明】
【0011】
【図1】本開示の実施形態１に係る集積回路の構成を示すブロック図である。
【図2】本開示の実施形態１に係るＭ（ｎ）の値の一部を示す表である。
【図3】本開示の実施形態１に係るＭ（ｎ，ｉ）の値を示す表である。
【図4】本開示の実施形態１においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を示す図である。
【図5】本開示の実施形態１に係る集積回路が実行する方法の一例を示すフローチャートである。
【図6】本開示の実施形態２に係る集積回路の構成を示すブロック図である。
【図7】本開示の実施形態２におけるＧｍの値を示す表である。
【図8】本開示の実施形態２に係る集積回路が実行する方法の一例を示すフローチャートである。
【図9】本開示の実施形態２に係る集積回路に含まれる回路の一例を示す図である。
【図10】本開示の実施形態２においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を示す図である。
【発明を実施するための形態】
【0012】
【0013】
（ＭＵＬ６４関数値の算出方法）
まず、３ＧＰＰ（Third Generation Partnership Project：登録商標）において定義されているＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数の値であるＭＵＬ６４関数値の算出方法について、以下に説明する。３ＧＰＰにおいて、ＭＵＬ６４関数値は以下のように定義されている。
まず、３ＧＰＰ（Third Generation Partnership Project：登録商標）において定義されているＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数の値であるＭＵＬ６４関数値の算出方法について、以下に説明する。３ＧＰＰにおいて、ＭＵＬ６４関数値は以下のように定義されている。
【0014】
【数1】
【0015】
ここで、Ｖは暗号化の対象となる文字列の６４ビットのデータである。Ｐは暗号化のキーを示す６４ビットのデータである。ｃは６４ビットの固定値であり、３ＧＰＰではｃ＝０ｘ１ｂに固定されているが、本実施形態ではｃは任意の値でもよい。
【0016】
また、ＭＵＬｘＰＯＷ（Ｖ，ｉ，ｃ）は、以下のように定義されている。
【0017】
【数2】
【0018】
また、ＭＵＬｘ（Ｖ，ｃ）は、以下のように定義されている。
【0019】
【数3】
【0020】
本実施形態では、以下のように式を変形、定義することにより、ＭＵＬ６４関数を３ＧＰＰに定義されている関数とは異なる形で算出する。
【0021】
まず、ＭＵＬ６４ｘＰＯＷでは、以下の式（１）が成立する。
MUL64xPOW(X xor Y,i,c) = MUL64xPOW(X,i,c) xor MUL64xPOW(Y,i,c) ・・・（１）
式（１）が成立することは、帰納法によって証明できる。
MUL64xPOW(X xor Y,i,c) = MUL64xPOW(X,i,c) xor MUL64xPOW(Y,i,c) ・・・（１）
式（１）が成立することは、帰納法によって証明できる。
【0022】
上記式（１）を利用して、Ｍ（ｎ）を以下の式（２）のように定義する。
M(n)=MUL64xPOW(2^n,0,0x1b) ・・・（２）
式（２）に示すように、Ｍ（ｎ）はＶ、Ｐには依存しない値であるため、予め算出することができる。Ｍ（ｎ）の値の一部を図２に示す。図２は、本実施形態におけるＭ（ｎ）の値の一部を示す表である。そして、式（２）を用いて算出したＭ（ｎ）を使って、ＭＵＬ６４ｘＰＯＷを以下のように表すことができる。
M(n)=MUL64xPOW(2^n,0,0x1b) ・・・（２）
式（２）に示すように、Ｍ（ｎ）はＶ、Ｐには依存しない値であるため、予め算出することができる。Ｍ（ｎ）の値の一部を図２に示す。図２は、本実施形態におけるＭ（ｎ）の値の一部を示す表である。そして、式（２）を用いて算出したＭ（ｎ）を使って、ＭＵＬ６４ｘＰＯＷを以下のように表すことができる。
【0023】
【数4】
【0024】
ここで、本明細書においては、
【0025】
【数5】
【0026】
は、｛｝内をｎ＝０～６３まで計算して算出したそれぞれの値の排他的論理和を取る関数であると定義する。また、Ｖ［ｎ］は、Ｖのｎビット目の値（０または１）を示す。また、１ビットの変数と１ビットの変数との論理積を取る記号を「＆」、異なるビット数の値の積を取る記号を「×」と記載する。
【0027】
式（３）では、引数であるＶのｎビット目が０であるｎ（ｎ＝０～６３）については、式（３）の右辺は計算されない。一方、引数であるＶのｎビット目が１であるｎについて、式（３）の右辺は、Ｍ（ｎ）の排他的論理和を取る関数である。
【0028】
式（３）が成立することは、
V = {V[63], V[62], V[61], ... V[1], V[0]}
を、
V = (V[63]×2^63) xor (V[62]×2^62) xor (V[61]×2^61) xor ... xor （V[1]×2^1） xor (V[0]×2^0)
と表現を変更し、式（３）の左辺に代入し、展開することにより証明できる。
V = {V[63], V[62], V[61], ... V[1], V[0]}
を、
V = (V[63]×2^63) xor (V[62]×2^62) xor (V[61]×2^61) xor ... xor （V[1]×2^1） xor (V[0]×2^0)
と表現を変更し、式（３）の左辺に代入し、展開することにより証明できる。
【0029】
さらに、ＭＵＬ６４ｘＰＯＷでは、任意のｉ（ｉ＝０～６３）において、以下の式（４）が成立する。
【0030】
【数6】
【0031】
【0032】
まず、以下の式（５）を定義する。
M(n,i) = MUL64xPOW(2^n,i,0x1b) ・・・（５）
そして、ｎ＝０～６３、ｉ＝０～６３の場合のそれぞれにおいて、Ｍ（ｎ，ｉ）を算出する。算出した結果が、図３に示す表である。
M(n,i) = MUL64xPOW(2^n,i,0x1b) ・・・（５）
そして、ｎ＝０～６３、ｉ＝０～６３の場合のそれぞれにおいて、Ｍ（ｎ，ｉ）を算出する。算出した結果が、図３に示す表である。
【0033】
【0034】
したがって、
M(n)=MUL64xPOW(2^n,0,0x1b)=MUL64xPOW(2^(n-x),(0+n),0x1b)=MUL64xPOW(1,n,0x1b)
と定義しても問題ないことがわかる。すなわち、Ｍ（ｎ）は、ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値（０ｘ１ｂ）を適用して算出された値である。ここでいう所定値とは、（０ｘ１ｂ）のみを示す値とは限らず、実施形態に応じて適宜変更しても良い値である。
M(n)=MUL64xPOW(2^n,0,0x1b)=MUL64xPOW(2^(n-x),(0+n),0x1b)=MUL64xPOW(1,n,0x1b)
と定義しても問題ないことがわかる。すなわち、Ｍ（ｎ）は、ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値（０ｘ１ｂ）を適用して算出された値である。ここでいう所定値とは、（０ｘ１ｂ）のみを示す値とは限らず、実施形態に応じて適宜変更しても良い値である。
【0035】
次に、ＭＵＬ６４関数は、第１引数Ｐ［６３：０］に関して、値が１であるビット数の回数だけＭＵＬ６４ｘＰＯＷ（Ｖ，ｉ，ｃ）の排他的論理和を取る関数である。すなわち、以下の式（６）である。
【0036】
【数7】
【0037】
式（６）のＭＵＬ６４ｘＰＯＷに式（４）の右辺を代入すると、以下の式（７）になる。
【0038】
【数8】
【0039】
式（７）の右辺を展開すると、以下の式（８）になる。
【0040】
【数9】
【0041】
式（８）をＭ（ｎ）で整理すると、以下の式（９）になる。
【0042】
【数10】
【0043】
式（９）に基づいて記載された、ＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を、図４に示す。図４は、本実施形態においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を示す図である。
【0044】
ここで、関数Ｎ（ｎ）を以下の式（１０）のように定義する。
【0045】
【数11】
【0046】
すなわち、ｘ＋ｙ＝ｎを満たす全ての（ｘ，ｙ）においてＰのｘビット目の値とＶのｙビット目の値との論理積（Ｐ［ｘ］＆Ｖ［ｙ］）の値の排他的論理和を取った値をＮ（ｎ）と定義する。
【0047】
式（１０）を式（９）に代入すると、以下の式（１１）となる。
【0048】
【数12】
【0049】
式（１１）より、ＭＵＬ６４関数の関数値は、Ｎ（ｎ）と定数であるＭ（ｎ）との論理積および排他的論理和の演算を行うことにより、算出されることがわかる。
【0050】
（集積回路１）
本実施形態に係る集積回路１は、３ＧＰＰ（Third Generation Partnership Project）において定義されているＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路である。
本実施形態に係る集積回路１は、３ＧＰＰ（Third Generation Partnership Project）において定義されているＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路である。
【0051】
【0052】
算出回路１１には、暗号化の対象となる文字列である、ＭＵＬ６４関数の第１引数である６４ビットのＶ［６３：０］と、暗号化のキーを示す、ＭＵＬ６４関数の第２引数である６４ビットのＰ［６３：０］が入力される。
【0053】
算出回路１１は、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、Ｖのｘビット目の値であるＶ［ｘ］、およびＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する。算出回路１１は、算出した演算結果Ｎ（ｎ）を、出力回路１２に出力する。
【0054】
出力回路１２は、予め算出されたＭ（ｎ）を示すデータおよび算出回路１１によって算出されたＮ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する。
【0055】
（集積回路１が実行する方法）
集積回路１が実行する方法（換言すると、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法）の一例について、図５を参照して説明する。図５は、本実施形態に係る集積回路１が実行する方法の一例を示すフローチャートである。
集積回路１が実行する方法（換言すると、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法）の一例について、図５を参照して説明する。図５は、本実施形態に係る集積回路１が実行する方法の一例を示すフローチャートである。
【0056】
（ステップＳ１２）
ステップＳ１２において、算出回路１１は、ＭＵＬ６４関数の第１引数である６４ビットのＶ［６３：０］と、暗号化のキーを示す、ＭＵＬ６４関数の第２引数である６４ビットのＰ［６３：０］を取得する。
ステップＳ１２において、算出回路１１は、ＭＵＬ６４関数の第１引数である６４ビットのＶ［６３：０］と、暗号化のキーを示す、ＭＵＬ６４関数の第２引数である６４ビットのＰ［６３：０］を取得する。
【0057】
（ステップＳ１３：算出ステップ）
ステップＳ１３において、算出回路１１は、既に説明した式（１０）を用いてＮ（ｎ）を算出する。
ステップＳ１３において、算出回路１１は、既に説明した式（１０）を用いてＮ（ｎ）を算出する。
【0058】
【数13】
【0059】
すなわち、ステップＳ１３において算出回路１１は、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、ステップＳ１２において取得したＶ［６３：０］のｘビット目の値であるＶ［ｘ］、およびＰ［６３：０］のｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する。
【0060】
（ステップＳ１４：出力ステップ）
ステップＳ１４において、出力回路１２は、既に説明した式（１１）を用いてＭＵＬ６４関数値［６３：０］を算出し、出力する。
ステップＳ１４において、出力回路１２は、既に説明した式（１１）を用いてＭＵＬ６４関数値［６３：０］を算出し、出力する。
【0061】
【数14】
【0062】
ここで、Ｍ（ｎ）は、既に説明した式（２）によって算出された値である。
M(n)=MUL64xPOW(2^n,0,0x1b) ・・・（２）
すなわち、ステップＳ１４において出力回路１２は、１２８個のＭ（ｎ）を示すデータ、およびステップＳ１３において算出された１２８個のＮ（ｎ）を用いて、論理積および排他的論理和の両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する。
M(n)=MUL64xPOW(2^n,0,0x1b) ・・・（２）
すなわち、ステップＳ１４において出力回路１２は、１２８個のＭ（ｎ）を示すデータ、およびステップＳ１３において算出された１２８個のＮ（ｎ）を用いて、論理積および排他的論理和の両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する。
【0063】
より具体的には、出力回路１２は、Ｍ（ｎ）の各ビットおよびＮ（ｎ）の論理積により算出される１２８個のＭ（ｎ）×Ｎ（ｎ）に対する排他的論理和を、ＭＵＬ６４関数値として出力する。
【0064】
（ステップＳ１５）
ステップＳ１５において、算出回路１１は、入力されたデータが最終データか否かを判定する。
ステップＳ１５において、算出回路１１は、入力されたデータが最終データか否かを判定する。
【0065】
ステップＳ１５において、入力されたデータが最終データであると判定された場合（ステップＳ１５：ＹＥＳ）、集積回路１は図５に示す処理を終了する。
【0066】
一方、ステップＳ１５において、入力されたデータが最終データではないと判定された場合（ステップＳ１５：ＮＯ）、集積回路１はステップＳ１２の処理に戻って実行する。
【0067】
（実施形態１の効果）
このように、本実施形態に係る集積回路１は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路１１と、１２８個のＭ（ｎ）を示すデータおよび１２８個のＮ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路１２と、を備える。また、Ｍ（ｎ）は、ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値を適用して算出された値である。
このように、本実施形態に係る集積回路１は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路１１と、１２８個のＭ（ｎ）を示すデータおよび１２８個のＮ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路１２と、を備える。また、Ｍ（ｎ）は、ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数にｎを適用し、第３引数に所定値を適用して算出された値である。
【0068】
このように、本実施形態に係る集積回路１は、予め算出されたＭ（ｎ）と、ＭＵＬ６４関数の第１引数であるＶおよび第２引数であるＰとを演算することにより、ＭＵＬ６４関数値を出力する。したがって、本実施形態に係る集積回路１は、引数の範囲が広いＭＵＬ６４関数を、簡易な組み合わせ回路で実現することができる。また、本実施形態に係る集積回路１は、ＭＵＬ６４関数を簡易な組み合わせ回路で実現することができるので、処理時間のばらつきが低減され、電源電流解析によって暗号化対象の文字列や暗号化のキーが解析されるリスクを低減することができる。
【0069】
また、例えば特許文献１に記載されている回路では、シフト回路があったり、処理において条件分岐があったりするので、構成が複雑である。また、特許文献１に開示されている演算方法では、６４ビットデータとの排他的論理和を取ると上位５９ビットは値が変わらないという性質を利用している。そのため、ｆ０～ｆ６０までの記述はある一方、ｆ６１～ｆ６３の記述がない。そのため、特許文献１に開示されている演算方法では、ｆ０と０ｘ１ｂとの排他的論理和を取ったビットが、再度、最上位にくるため、上記の性質に依存した排他的論理和演算が発生する。したがって、特許文献１に開示されている演算方法では、場合分けが複雑になってしまう。
【0070】
一方、本実施形態に係る集積回路１は、特許文献１に記載されている回路に比べて、簡易な処理でＭＵＬ６４関数値を算出することができる。
【0071】
〔実施形態２〕
本開示の他の実施形態について、図６～図１０を参照して以下に説明する。なお、説明の便宜上、上記実施形態にて説明した部材と同じ機能を有する部材については、同じ符号を付記し、その説明を繰り返さない。
本開示の他の実施形態について、図６～図１０を参照して以下に説明する。なお、説明の便宜上、上記実施形態にて説明した部材と同じ機能を有する部材については、同じ符号を付記し、その説明を繰り返さない。
【0072】
（Ｇｍ）
上述した図２はＭ（ｎ）の値の一部を示す表であるが、図２を参照すると、Ｍ（ｎ）の値は、値が１のビットは非常に少ないことが分かる。ここで、ＭＵＬ６４関数値は、式（１２）に示したように、Ｍ（ｎ）の値において１が立っているビットの数だけＮ（ｎ）の排他的論理和を取った値である。そこで、Ｍ（ｎ）（ｎ＝０～１２７）において、ｍビット目であるＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合を、Ｇｍと定義する。Ｇｍの値を、図７に示す。図７は、本実施形態におけるＧｍの値を示す表である。
上述した図２はＭ（ｎ）の値の一部を示す表であるが、図２を参照すると、Ｍ（ｎ）の値は、値が１のビットは非常に少ないことが分かる。ここで、ＭＵＬ６４関数値は、式（１２）に示したように、Ｍ（ｎ）の値において１が立っているビットの数だけＮ（ｎ）の排他的論理和を取った値である。そこで、Ｍ（ｎ）（ｎ＝０～１２７）において、ｍビット目であるＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合を、Ｇｍと定義する。Ｇｍの値を、図７に示す。図７は、本実施形態におけるＧｍの値を示す表である。
【0073】
Ｇｍを用いると、ｍビット目のＭＵＬ６４関数値は、以下の式（１２）のように表すことができる。
【0074】
【数15】
【0075】
（集積回路１ａ）
本実施形態に係る集積回路１ａは、上述した実施形態における集積回路１におけるＭ（ｎ）を示すデータとして、Ｇｍを用いる回路である。
本実施形態に係る集積回路１ａは、上述した実施形態における集積回路１におけるＭ（ｎ）を示すデータとして、Ｇｍを用いる回路である。
【0076】
【0077】
算出回路１１には、暗号化の対象となる文字列である、ＭＵＬ６４関数の第１引数である６４ビットのＶ［６３：０］と、暗号化のキーを示す、ＭＵＬ６４関数の第２引数である６４ビットのＰ［６３：０］が入力される。
【0078】
算出回路１１は、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、Ｖのｘビット目の値であるＶ［ｘ］、およびＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する。算出回路１１は、算出した演算結果Ｎ（ｎ）を、出力回路１２に出力する。
【0079】
出力回路１２ａは、予め算出されたＭ（ｎ）を示すデータであるＧｍであって、Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、ＭＵＬ６４関数値のｍビット目として出力する。
【0080】
【0081】
（ステップＳ１２およびステップＳ１３：算出ステップ）
ステップＳ１２およびステップＳ１３の処理は、上述した実施形態における処理と同じであるため、説明を省略する。
ステップＳ１２およびステップＳ１３の処理は、上述した実施形態における処理と同じであるため、説明を省略する。
【0082】
（ステップＳ２４：出力ステップ）
ステップＳ２４において、出力回路１２は、上述した式（１２）を用いてＭＵＬ６４関数値のｍビット目を算出し、出力する。
ステップＳ２４において、出力回路１２は、上述した式（１２）を用いてＭＵＬ６４関数値のｍビット目を算出し、出力する。
【0083】
すなわち、ステップＳ２４において出力回路１２は、Ｍ（ｎ）を示すデータであるＧｍであって、Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、ＭＵＬ６４関数値のｍビット目として出力する。
【0084】
（ステップＳ１５）
ステップＳ１５の処理は、上述した実施形態における処理と同じであるため、説明を省略する。
ステップＳ１５の処理は、上述した実施形態における処理と同じであるため、説明を省略する。
【0085】
【0086】
図９は、ＭＵＬ６４関数値の最下位ビット（ｍ＝０）の値を出力する回路である。すなわち、図９は、式（１２）のｍに０を適用したＭＵＬ６４［Ｖ，Ｐ，０ｘ１６］［０］を出力する回路である。図９に示すように、ＭＵＬ６４［Ｖ，Ｐ，０ｘ１６］［０］を出力する回路は、部分回路Ｃ１、部分回路Ｃ２、部分回路Ｃ３、および部分回路Ｃ４を含む。
【0087】
ｍ＝０の場合、Ｍ（ｎ）［０］＝１を満たすｎの集合であるＧｍは、図７に示すように、Ｇｍ＝｛０，６４，１２４，１２５，１２７｝である。したがって、ＭＵＬ６４［Ｖ，Ｐ，０ｘ１６］［０］は、以下の式（１３）で表される。
MUL64[V,P,0x1b][0]=N[0] xor N[64] xor N[124] xor N[125] xor N[127]…（１３）
図９において、部分回路Ｃ１は、式（１３）におけるＮ［０］に対応する。また、部分回路Ｃ２は、式（１３）におけるＮ［６４］に対応する。また、部分回路Ｃ３は、式（１３）におけるＮ［１２４］に対応する。また、部分回路Ｃ４は、式（１３）におけるＮ［１２５］に対応する。Ｎ［１２７］に関しては、ｎ＝１２７を満たすｘ、ｙ（ｘ、ｙはそれぞれ０～６３）は存在しないため、Ｎ［１２７］に対応する回路は図９に存在しない。
MUL64[V,P,0x1b][0]=N[0] xor N[64] xor N[124] xor N[125] xor N[127]…（１３）
図９において、部分回路Ｃ１は、式（１３）におけるＮ［０］に対応する。また、部分回路Ｃ２は、式（１３）におけるＮ［６４］に対応する。また、部分回路Ｃ３は、式（１３）におけるＮ［１２４］に対応する。また、部分回路Ｃ４は、式（１３）におけるＮ［１２５］に対応する。Ｎ［１２７］に関しては、ｎ＝１２７を満たすｘ、ｙ（ｘ、ｙはそれぞれ０～６３）は存在しないため、Ｎ［１２７］に対応する回路は図９に存在しない。
【0088】
また、図９の回路は、図８に示したフローチャートのステップＳ１３およびステップＳ２４において、ｍ＝０の場合に対応する回路である。ステップＳ１３において実行される処理に対応するのが、図９に示す部分回路Ｃ１～部分回路Ｃ４である。ステップＳ２４において実行される処理に対応するのが、図９のＸＯＲゲートである。
【0089】
このように、ＭＵＬ６４関数値の最下位ビットの値は、６９個のＡＮＤゲートの出力を、１個のＸＯＲゲートに入力することによって算出される。すなわち、ＭＵＬ６４関数値の最下位ビットを出力する回路は、ＭＵＬ６４関数を組み合わせ回路で実現することができる。同様に、ＭＵＬ６４関数値のｍ＝１～６３を出力する回路も、組み合わせ回路で実現することができる。
【0090】
（記述例）
図１０は、本実施形態においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を示す図である。図１０に示すように、本実施形態においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述は、上述した実施形態１におけるＶｅｒｉｌｏｇの記述（図４）に比べると、Ｇｍに対応する記述になっているため、記述量が少なくなっている。
図１０は、本実施形態においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述の一部を示す図である。図１０に示すように、本実施形態においてＭＵＬ６４関数値を算出するためのＶｅｒｉｌｏｇの記述は、上述した実施形態１におけるＶｅｒｉｌｏｇの記述（図４）に比べると、Ｇｍに対応する記述になっているため、記述量が少なくなっている。
【0091】
（実施形態２の効果）
このように、本実施形態に係る集積回路１ａでは、Ｍ（ｎ）を示すデータであるＧｍであって、Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、ＭＵＬ６４関数値のｍビット目として出力する。したがって、本実施形態に係る集積回路１ａは、上述した集積回路１に比べて、簡易な構成でＭＵＬ６４関数を組み合わせ回路で実現することができる。
このように、本実施形態に係る集積回路１ａでは、Ｍ（ｎ）を示すデータであるＧｍであって、Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、ＭＵＬ６４関数値のｍビット目として出力する。したがって、本実施形態に係る集積回路１ａは、上述した集積回路１に比べて、簡易な構成でＭＵＬ６４関数を組み合わせ回路で実現することができる。
【0092】
〔ソフトウェアによる実現例〕
集積回路１、１ａの機能は、当該集積回路１、１ａと同様の機能を有する装置としてコンピュータを機能させるためのプログラムであって、当該装置の各ブロック（特に算出回路１１および出力回路１２と同様の機能を有するブロック）としてコンピュータを機能させるためのプログラムにより実現することができる。
集積回路１、１ａの機能は、当該集積回路１、１ａと同様の機能を有する装置としてコンピュータを機能させるためのプログラムであって、当該装置の各ブロック（特に算出回路１１および出力回路１２と同様の機能を有するブロック）としてコンピュータを機能させるためのプログラムにより実現することができる。
【0093】
また、集積回路１、１ａの機能は、コンピュータにＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法の各処理を実行させるプログラムにより実現することができる。
【0094】
この場合、上記装置は、上記プログラムを実行するためのハードウェアとして、少なくとも１つの制御装置（例えばプロセッサ）と少なくとも１つの記憶装置（例えばメモリ）を有するコンピュータを備えている。この制御装置と記憶装置により上記プログラムを実行することにより、上記各実施形態で説明した各機能が実現される。
【0095】
上記プログラムは、一時的ではなく、コンピュータ読み取り可能な、１または複数の記録媒体に記録されていてもよい。この記録媒体は、上記装置が備えていてもよいし、備えていなくてもよい。後者の場合、上記プログラムは、有線または無線の任意の伝送媒体を介して上記装置に供給されてもよい。
【0096】
また、上記各ブロックの機能の一部または全部は、論理回路により実現することも可能である。例えば、上記各制御ブロックとして機能する論理回路が形成された集積回路も本発明の範疇に含まれる。この他にも、例えば量子コンピュータにより上記各制御ブロックの機能を実現することも可能である。
【0097】
〔まとめ〕
本開示の態様１に係る集積回路（１、１ａ）は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路（１１）と、１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路（１２、１２ａ）と、を備え、前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である。
本開示の態様１に係る集積回路（１、１ａ）は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する集積回路であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出回路（１１）と、１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力回路（１２、１２ａ）と、を備え、前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である。
【0098】
上記の構成によれば、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を簡易な組み合わせ回路で実現することができる。
【0099】
本開示の態様２に係る集積回路（１、１ａ）において、上記態様１における前記出力回路（１２、１２ａ）は前記Ｍ（ｎ）の各ビットおよび前記Ｎ（ｎ）の論理積により算出される１２８個のＭ（ｎ）×Ｎ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値として出力してもよい。
【0100】
上記の構成によれば、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を簡易な組み合わせ回路で実現することができる。
【0101】
本開示の態様３に係る集積回路（１ａ）において、上記態様１における前記出力回路（１２ａ）は、前記Ｍ（ｎ）を示すデータであるＧｍであって、前記Ｍ（ｎ）のｍビット目（ｍは０～６３の整数）についてＭ（ｎ）［ｍ］＝１を満たす複数のｎの集合であるＧｍに含まれる複数のｎに対応するＮ（ｎ）に対する排他的論理和を、前記ＭＵＬ６４関数値のｍビット目として出力してもよい。
【0102】
上記の構成によれば、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を簡易な組み合わせ回路で実現することができる。
【0103】
本開示の態様４に係る演算方法は、ＳＮＯＷ-３Ｇ暗号回路のＭＵＬ６４関数を実現する演算方法であって、ｎ＝ｘ＋ｙ（ｎは０～１２７の整数）を満たす整数ｘおよびｙの組み合わせについて、前記ＭＵＬ６４関数の第１引数である６４ビットのＶのｘビット目の値であるＶ［ｘ］、および第２引数である６４ビットのＰのｙビット目の値であるＰ［ｙ］の論理積の全ての排他的論理和である１２８個の１ビットの演算結果Ｎ（ｎ）を算出する算出ステップと、１２８個のＭ（ｎ）を示すデータおよび１２８個の前記Ｎ（ｎ）を用いて、論理積および排他的論理和の一方または両方による演算を行うことによりＭＵＬ６４関数値［６３：０］を出力する出力ステップと、を含み、前記Ｍ（ｎ）は、前記ＭＵＬ６４関数に含まれるＭＵＬ６４ｘＰＯＷ関数の第１引数に１を適用し、第２引数に前記ｎを適用し、第３引数に所定値を適用して算出された値である。
【0104】
上記の構成によれば、上述した集積回路と同様の効果を奏する。
【0105】
本開示は上述した各実施形態に限定されるものではなく、請求項に示した範囲で種々の変更が可能であり、異なる実施形態にそれぞれ開示された技術的手段を適宜組み合わせて得られる実施形態についても本開示の技術的範囲に含まれる。さらに、各実施形態にそれぞれ開示された技術的手段を組み合わせることにより、新しい技術的特徴を形成することができる。
【符号の説明】
【0106】
１、１ａ 集積回路
１１ 算出回路
１２、１２ａ 出力回路
１１ 算出回路
１２、１２ａ 出力回路
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】