特許 7458427 攻撃耐性のリングオシレータおよび乱数発生器

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-03-21

(45)【発行日】2024-03-29

(54)【発明の名称】攻撃耐性のリングオシレータおよび乱数発生器

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240322BHJP

   G06F 7/58 20060101ALI20240322BHJP

   H03K 3/84 20060101ALI20240322BHJP

【ＦＩ】

G09C1/00 650B

G06F7/58 680

H03K3/84 Z

【請求項の数】 13

(21)【出願番号】P 2022008667

(22)【出願日】2022-01-24

(65)【公開番号】P2022119190

(43)【公開日】2022-08-16

【審査請求日】2022-01-24

(31)【優先権主張番号】17/166012

(32)【優先日】2021-02-03

(33)【優先権主張国・地域又は機関】US

【前置審査】

(73)【特許権者】

【識別番号】508197206

【氏名又は名称】新唐科技股▲ふん▼有限公司

(74)【代理人】

【識別番号】110000291

【氏名又は名称】弁理士法人コスモス国際特許商標事務所

(72)【発明者】

【氏名】アロン，モシェ

【審査官】中里 裕正

(56)【参考文献】

【文献】特開２０１６－０１０００４（ＪＰ，Ａ）

【文献】特開平０９－１４６７６１（ＪＰ，Ａ）

【文献】特開平０２－１２８２１８（ＪＰ，Ａ）

【文献】米国特許出願公開第２００９／０２４８７７１（ＵＳ，Ａ１）

【文献】宮崎武 他，ロジスティック写像による擬似乱数生成器の乱数種への全数探索攻撃について，電子情報通信学会技術研究報告，2005年11月08日，第105巻 第336号，pp.29-33

【文献】VASYLTSOV, I. et al.，Fast Digital TRNG Based on Metastable Ring Oscillator，Lecture Notes in Computer Science，Vol.5154，2008年，pp.164-180

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ７／５８

Ｈ０３Ｋ ３／８４

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

カスケード接続された複数のインバータ、
前記カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成された、少なくとも第１および第２のフィードバックタップ、
前記第１および前記第２のフィードバックタップを前記カスケードの入力に多重化するように構成されたマルチプレクサ、および
ビットシーケンスを生成し、前記ビットシーケンスを用いて前記マルチプレクサを制御するように構成されたシーケンスジェネレータを含み、
前記複数のインバータ、前記第１のフィードバックタップ、前記第２のフィードバックタップ、および前記マルチプレクサは、均一のユニットゲート遅延を有するＮＡＮＤゲートを用いて実装され、
（ｉ）前記カスケードの前記入力から前記第１のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第１のフィードバックタップ、および前記マルチプレクサの第１のグループを含む前記ＮＡＮＤゲートの第１の数、および（ｉｉ）前記カスケードの前記入力から前記第２のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第２のフィードバックタップ、および前記マルチプレクサの第２のグループを含む前記ＮＡＮＤゲートの第２の数は、１より大きい互いに素な関係の数である発振回路。

【請求項2】

前記第１の点は前記カスケードの中間点であり、前記第２の点は前記カスケードの端部である請求項１に記載の発振回路。

【請求項3】

前記シーケンスジェネレータは、前記マルチプレクサが、少なくとも前記第１と前記第２のフィードバックタップ間で交互に切り替わるように制御するように構成される請求項１に記載の発振回路。

【請求項4】

前記シーケンスジェネレータは、線形フィードバックシフトレジスタ（ＬＦＳＲ）を含む請求項１に記載の発振回路。

【請求項5】

前記第１の数と前記第２の数は、両方とも奇数である請求項１に記載の発振回路。

【請求項6】

第１の周波数範囲で第１の信号を生成するように構成された第１の発振器、
第２の周波数範囲で第２の信号を生成するように構成され、前記第１の周波数範囲より低い第２の発振器、および
前記第２の信号を用いることによって、前記第１の信号をサンプリングするように構成されたサンプリング回路を含み、
前記第１および前記第２の発振器の少なくとも１つは、
カスケード接続された複数のインバータ、
前記カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成された、少なくとも第１および第２のフィードバックタップ、
前記第１および前記第２のフィードバックタップを前記カスケードの入力に多重化するように構成されたマルチプレクサ、および
ビットシーケンスを生成し、前記ビットシーケンスを用いて前記マルチプレクサを制御するように構成されたシーケンスジェネレータを含み、
前記複数のインバータ、前記第１のフィードバックタップ、前記第２のフィードバックタップ、および前記マルチプレクサは、均一のユニットゲート遅延を有するＮＡＮＤゲートを用いて実装され、
（ｉ）前記カスケードの前記入力から前記第１のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第１のフィードバックタップ、および前記マルチプレクサの第１のグループを含む前記ＮＡＮＤゲートの第１の数、および（ｉｉ）前記カスケードの前記入力から前記第２のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第２のフィードバックタップ、および前記マルチプレクサの第２のグループを含む前記ＮＡＮＤゲートの第２の数は、１より大きい互いに素な関係の数である乱数発生器（ＲＮＧ）回路。

【請求項7】

前記シーケンスジェネレータは、前記マルチプレクサが、少なくとも前記第１と前記第２のフィードバックタップ間で交互に切り替わるように制御するように構成される請求項６に記載のＲＮＧ回路。

【請求項8】

前記シーケンスジェネレータは、線形フィードバックシフトレジスタ（ＬＦＳＲ）を含む請求項６に記載のＲＮＧ回路。

【請求項9】

（ｉ）カスケード接続された複数のインバータ、および（ｉｉ）前記カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成された、少なくとも第１および第２のフィードバックタップを含む回路を動作させるステップ、
シーケンスジェネレータを用いてビットシーケンスを生成するステップ、および
前記ビットシーケンスを用いて少なくとも前記第１および前記第２のフィードバックタップを前記カスケードの入力に多重化するようにマルチプレクサを制御するステップを含み、
前記複数のインバータ、前記第１のフィードバックタップ、前記第２のフィードバックタップ、および前記マルチプレクサは、均一のユニットゲート遅延を有するＮＡＮＤゲートを用いて実装され、
（ｉ）前記カスケードの前記入力から前記第１のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第１のフィードバックタップ、および前記マルチプレクサの第１のグループを含む前記ＮＡＮＤゲートの第１の数、および（ｉｉ）前記カスケードの前記入力から前記第２のフィードバックタップを介して前記カスケードの前記入力に戻り、前記複数のインバータ、前記第２のフィードバックタップ、および前記マルチプレクサの第２のグループを含む前記ＮＡＮＤゲートの第２の数は、１より大きい互いに素な関係の数である方法。

【請求項10】

前記第１の点は前記カスケードの中間点であり、前記第２の点は前記カスケードの端部である請求項９に記載の方法。

【請求項11】

前記マルチプレクサを制御するステップは、前記マルチプレクサに少なくとも前記第１と前記第２のフィードバックタップ間を交互に切り替えさせるステップを含む請求項９に記載の方法。

【請求項12】

前記ビットシーケンスを生成するステップは、線形フィードバックシフトレジスタ（ＬＦＳＲ）を用いて前記ビットシーケンスを生成するステップを含む請求項９に記載の方法。

【請求項13】

前記第１の数と前記第２の数は、両方とも奇数である請求項９に記載の方法。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、データセキュリティに関するものであり、特に、攻撃耐性のリングオシレータ（ＲＯ）および乱数発生器（ＲＮＧ）に関するものである。

【背景技術】

【0002】

乱数生成のための様々な技術が当技術分野で知られている。例えば、暗号攻撃を受けにくい乱数発生器（特許文献１参照）について説明されている。乱数発生器の動作原理は、自走リングオシレータからの可変周波数で動作される疑似乱数発生器の出力の低周波サンプリングに基づいている。

【先行技術文献】

【特許文献】

【0003】

【文献】米国特許第４，９０５，１７６号

【発明の概要】

【発明が解決しようとする課題】

【0004】

攻撃耐性のリングオシレータ（ＲＯ）および乱数発生器（ＲＮＧ）を提供する。

【課題を解決するための手段】

【0005】

本明細書で説明される本発明の実施形態は、カスケード接続された複数のインバータ、少なくとも第１および第２のフィードバックタップ、および交互切り替え回路を含む発振回路を提供する。少なくとも第１および第２のフィードバックタップは、カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成される。交互切り換え回路は、少なくとも第１と第２のフィードバックタップ間を交互に切り替えることによって少なくとも第１および第２の出力信号から入力信号を導出し、入力信号をカスケードの入力に印加するように構成される。

【0006】

いくつかの実施形態では、第１の点はカスケードの中間点であり、第２の点はカスケードの端部である。開示された実施形態では、交互切り替え回路は、擬似ランダムスイッチングパターンで少なくとも第１と第２のフィードバックタップ間で交互に切り替わるように構成される。

【0007】

いくつかの実施形態では、交互切り替え回路は、（ｉ）少なくとも第１および第２のフィードバックタップをカスケードの入力に多重化するように構成されたマルチプレクサ、および（ｉｉ）ビットシーケンスを生成し、ビットシーケンスによってマルチプレクサを制御するように構成されたシーケンスジェネレータを含む。例示的な実施形態では、シーケンスジェネレータは、線形フィードバックシフトレジスタ（ＬＦＳＲ）を含む。

【0008】

一実施形態では、（ｉ）カスケードの入力から第１のフィードバックタップを介してカスケードの入力に戻るインバータの数、および（ｉｉ）カスケードの入力から第２のフィードバックタップを介してカスケードの入力に戻るインバータの数は、両方とも奇数である。一実施形態では、（ｉ）カスケードの入力から第１のフィードバックタップを介してカスケードの入力に戻るインバータの数、および（ｉｉ）カスケードの入力から第２のフィードバックタップを介してカスケードの入力に戻るインバータの数は、相互に素数である。

【0009】

本発明の一実施形態によれば、第１の発振器、第２の発振器、およびサンプリング回路を含む乱数発生器（ＲＮＧ）回路がさらに提供される。第１の発振器は、第１の周波数範囲で第１の信号を生成するように構成される。第２の発振器は、第１の周波数範囲より低い第２の周波数範囲で第２の信号を生成するように構成される。サンプリング回路は、第２の信号を用いて第１の信号をサンプリングすることによって、疑似ランダムデータを出力するように構成される。第１および第２の発振器の少なくとも１つは、カスケード接続された複数のインバータ、少なくとも第１および第２のフィードバックタップ、および交互切り替え回路を含む。少なくとも第１および第２のフィードバックタップは、カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成される。交互切り替え回路は、少なくとも第１と第２のフィードバックタップ間を交互に切り替えることによって少なくとも第１および第２の出力信号から入力信号を導出し、入力信号をカスケードの入力に印加するように構成される。

【0010】

本発明の一実施形態によれば、（ｉ）カスケード接続された複数のインバータ、および（ｉｉ）カスケード内の少なくともそれぞれの第１および第２の点から取得された少なくともそれぞれの第１および第２の出力信号をフィードバックするように構成された、少なくとも第１および第２のフィードバックタップを含む回路を動作させるステップを含む方法がさらに提供される。入力信号は、少なくとも第１と第２のフィードバックタップ間を交互に切り替えることによって、少なくとも第１および第２の出力信号から導出される。入力信号はカスケードの入力に印加される。

【0011】

添付の図面とともに以下の詳細な説明および実施例を検討することで、本発明をより完全に理解できる。

【図面の簡単な説明】

【0012】

【図1】図１は、本発明の実施形態による、攻撃耐性のリングオシレータ（ＲＯ）を概略的に示すブロック図である。

【図2】図２は、本発明の実施形態による、図１のＲＯの動作方法を概略的に示すフローチャートである。

【図3】図３は、本発明の実施形態による、図１のＲＯによって生成された出力信号を示す図である。

【図4】図４は、本発明の実施形態による、攻撃耐性の乱数発生器（ＲＮＧ）を概略的に示すブロック図である。

【発明を実施するための形態】

【0013】

本明細書で説明される本発明の実施形態は、改良されたリングオシレータ（ＲＯ）および乱数発生器（ＲＮＧ）、ならびに関連する方法を提供する。開示されたＲＯおよびＲＮＧは、フォールトインジェクションやその他のサイドチャネル攻撃など、さまざまなタイプのセキュリティ脅威に対して耐性がある。従って、開示された技術は、例えば、乱数生成を含む様々な暗号化アプリケーションに有用である。

【0014】

いくつかの実施形態では、ＲＯは、カスケード接続された複数のインバータを含む。２つのフィードバックタップは、カスケード内の２つの異なる点（例えば、１つはカスケードの端部から、もう１つは中間点から）から取得された２つの出力信号をフィードバックするために接続される。マルチプレクサ（ＭＵＸ）は、２つのフィードバックタップ間で選択するように構成され、選択されたフィードバックタップをカスケードの入力に接続する。

【0015】

フィードバックタップの１つがＭＵＸによって選択されたとき、ＲＯは特定のループ遅延がある。もう１つのフィードバックタップが選択されたとき、ＲＯ回路は異なるループ遅延を有する。ＭＵＸのトグルは、リングオシレータのループ遅延を発生させ、それによりその発振周波数が２つのフィードバックタップに関連した２つの値間で交互に切り替わる（ａｌｔｅｒｎａｔｅ）。

【0016】

いくつかの実施形態では、ＲＯは、ビットシーケンスを生成するシーケンスジェネレータを含み、ビットシーケンスは、ＭＵＸをトグルする選択信号として用いられる。シーケンスジェネレータは、例えば、疑似ランダムビットシーケンスを生成する線形フィードバックシフトレジスタ（ＬＦＳＲ）を含み得る。ＲＯ出力は、カスケード内の任意の適切な点から取得されることができる。

【0017】

上述のように動作するとき、ＲＯは、迅速かつ予測不可能な方法で２つのループ遅延間、従って２つの発振周波数間で交互に切り替わる。このような交互切り替えにより、ＲＯは攻撃に対する耐性が高くなる。

【0018】

以下に説明する実施形態は、例として、主に２つのフィードバックタップを有する構成に言及している。しかしながら、一般に、ＲＯは、２つ以上のループ遅延とそれぞれの発振周波数を交互に切り替えるように多重化された、多数のフィードバックタップを含む可能性がある。

【0019】

本発明のいくつかの実施形態では、開示された交互切り替え周波数のＲＯの設計は、乱数発生器（ＲＮＧ）のビルディングブロックとして用いられる。例示的な実施形態では、ＲＮＧは、高周波信号を生成するように構成された高周波発振器、および低周波信号を生成するように構成された低周波発振器を含む。２つの発振器は、互いに非同期で動作する。ＲＮＧは、低周波信号を用いて高周波信号をサンプリングするように構成されたサンプリング回路をさらに含む。サンプリング回路の出力、即ち低周波信号でサンプリングされた高周波信号は、ＲＮＧの出力として用いられる。

【0020】

いくつかの実施形態では、ＲＮＧ内の発振器の一方または両方は、交互の発振周波数を有する開示された設計を用いて実装され得る。このようなＲＮＧは、攻撃に対して非常に耐性が高い。例えば、ＲＯベースのＲＮＧに対して攻撃する従来のタイプは、ＲＯ発振周波数に同期したサイドチャネル信号（例えば、電磁信号）を用いる。開示された技術は、そのような攻撃を不可能にする。

【0021】

攻撃耐性のリングオシレータの設計
図１は、本発明の実施形態による、攻撃耐性のリングオシレータ（ＲＯ）２０を概略的に示すブロック図である。ＲＯ２０は、さまざまなシステムおよびアプリケーションに用いられることができる。特に、攻撃耐性の乱数発生器（ＲＮＧ）の設計におけるこのようなＲＯの使用については、以下に詳しく説明する。本発明の一実施形態によるＲＯおよびＲＮＧは、暗号操作を行う安全な集積回路（ＩＣ）など、乱数の使用を含む任意の適切なシステムまたはアプリケーションで用いられることができる。

【0022】

ＲＯ２０は、カスケード接続された複数の論理インバータを含む。本例では、カスケードは２４Ａおよび２４Ｂで示される２つのセクションで形成され、各セクションはインバータのサブセットを含んでいる。カスケードの入力はＰ１で示され、セクション２４Ａの端部の中間点はＰ２で示され、カスケードの端部はＰ３で示される。本例では、Ｐ３もＲＯ出力となる。また、ＲＯ出力はカスケード内の任意の他の適切な点から取得されることができる。

【0023】

ＲＯ２０はさらに、インバータのカスケード内のそれぞれの異なる点に接続された、２６Ａおよび２６Ｂで示される２つのフィードバックタップをさらに含む。本例では、フィードバックタップ２６Ａは、中間点（Ｐ２）からの出力信号をフィードバックし、フィードバックタップ２６Ｂは、カスケードの端部（Ｐ３）からの出力信号をフィードバックする。

【0024】

インバータおよびフィードバックタップのカスケードに加えて、ＲＯ２０は、２つのフィードバックタップを交互に切り替えることにより、フィードバックタップ２６Ａおよび２６Ｂによってフィードバックされる出力信号から入力信号を導出するように構成される「交互切り替え回路」を含む。得られた入力信号は，カスケードの入力、即ち、点Ｐ１に提供される。

【0025】

図１の実施形態では、交互切り替え回路は、マルチプレクサ（ＭＵＸ）２８および線形フィードバックシフトレジスタ（ＬＦＳＲ）３６を含む。フィードバックタップ２６Ａおよび２６Ｂは、ＭＵＸ２８のそれぞれの入力に接続される。ＭＵＸ２８の出力は、カスケードの入力（Ｐ１に）に接続される。ＬＦＳＲ３６の出力は、ＭＵＸ２８を制御するＳＥＬＥＣＴ信号として用いられる。

【0026】

本例では、２つのＮＡＮＤゲート３２Ａおよび３２ＢもＲＯ２０の動作を選択的に有効または無効にするように、フィードバックパスに配置される。ＮＡＮＤゲート３２Ａおよび３２Ｂのそれぞれでは、１つの入力がそれぞれのフィードバックタップに接続され、もう１つの入力がＥＮＡＢＬＥ信号に接続される。ＮＡＮＤゲート３２Ａおよび３２Ｂの出力は、ＭＵＸ２８のそれぞれの入力に接続される。代替の実施形態では、ＮＡＤＡゲート３２Ａおよび３２Ｂは省略されることができ、その場合、フィードバックタップ２６Ａおよび２６Ｂは、ＭＵＸ２８の入力に直接接続される。

【0027】

ＬＦＳＲ３６は、任意の適切な初期値（「シード」）で初期化されることができる。ＬＦＳＲは、インバータのカスケードにより生成されたクロック信号でクロックされる。図１の例に見られるように、ＬＦＳＲ３６はＰ３からの出力信号を入力として受信し、この信号をクロックとして用いる。

【0028】

いくつかの実施形態では、各クロックサイクルにおいて、ＬＦＳＲ３６は、新しいビット値を疑似ランダム的に生成する。このビット値は、ＭＵＸ２８の２つの入力間で選択するように用いられる。例えば、一般性を失うことなく、ＬＦＳＲ３６が「０」値を生成するクロックサイクルでは、ＭＵＸ２８は入力Ａ（従ってフィードバックタップ２６Ａ）をカスケードの入力に接続し、ＬＦＳＲ３６が「１」値を生成するクロックサイクルでは、ＭＵＸ２８は入力Ｂ（従ってフィードバックタップ２６Ｂ）をカスケードの入力に接続する。または、反対の規則（ｃｏｎｖｅｎｔｉｏｎ）が用いられることもできる。

【0029】

フィードバックタップ２６Ａが選択されたクロックサイクルでは、ＲＯ２０は、フィードバックタップ２６Ａを介して合計ループ遅延（例えば、Ｐ１からＰ１に戻る）で決定された発振周波数で発振する。図に見られるように、このループ遅延は、以下のコンポーネントの遅延の合計より得られる。
・セクション２４Ａ
・ＮＡＮＤゲート３２Ａ
・ＭＵＸ２８

【0030】

フィードバックタップ２６Ｂが選択されたクロックサイクルでは、ＲＯ２０は、フィードバックタップ２６Ｂを介して合計ループ遅延（例えば、Ｐ１からＰ１に戻る）で決定された、異なる（より低い）発振周波数で発振する。これらのクロックサイクルでのループ遅延は、以下のコンポーネントの遅延の合計より得られる。
・セクション２４Ａ
・セクション２４Ｂ
・ＮＡＮＤゲート３２Ｂ
・ＭＵＸ２８

【0031】

図１の例示的な実施形態では、インバータのカスケードのセクション２４Ａおよび２４Ｂ、ならびにＭＵＸ２８は、ＮＡＮＤゲートを用いて実装される。この実装は、図の底部にある２つの挿入図に示されている。図に示すように、ＭＵＸ２８は、４つのＮＡＮＤゲート４０を用いて実装され、カスケード内の各インバータ（セクション２４Ａおよび２４Ｂ）は、それぞれのＮＡＮＤゲート４４を用いて実装され、ＮＡＮＤゲート４４の入力は短絡状態になる（ｓｈｏｒｔｅｄ ｔｏｇｅｔｈｅｒ）。

【0032】

本実施形態では、フィードバックタップ２６Ａが選択されたときの合計ループ遅延は、Ｄ１＝（Ｎ１＋３）・Ｄで得られ、フィードバックタップ２６Ｂが選択されたときの合計ループ遅延は、Ｄ２＝（Ｎ１＋Ｎ２＋３）・Ｄで得られ、Ｄは単一のＮＡＮＤゲートの単位遅延を示し、Ｎ１はセクション２４Ａのインバータの数を示し、Ｎ２はセクション２４Ｂのインバータの数を示している。両方のループ遅延の３・Ｄ項は、ＭＵＸ２８の遅延（２・Ｄに等しい）およびＮＡＮＤゲート３２Ａまたは３２Ｂの遅延（１・Ｄに等しい）を計算に入れている。

【0033】

通常、フィードバックタップ２６Ａが選択されたときにトラバースされたインバータの総数（Ｄ１／Ｄ）、およびフィードバックタップ２６Ｂが選択されたときにトラバースされたインバータの総数（Ｄ２／Ｄ）は、両方とも奇数である。いくつかの実施形態では、必ずしもそうではないが、インバータＤ１／ＤおよびＤ２／Ｄの総数が相互に素数となるように、Ｎ１およびＮ２が選択される。一例では、Ｎ１＝２０およびＮ２＝６であり、Ｄ１＝２３およびＤ２＝２９となる。

【0034】

非限定的な例では、Ｄ＝５０ｐＳｅｃ、２３・Ｄ＝１．１５ｎＳ（～８９６ＭＨｚの発振周波数に対応）、および２９・Ｄ＝１．４５ｎＳ（～６８９ＭＨｚの発振周波数に対応）である。しかしながら、代替の実施形態では、任意の他の適切な値が用いられてもよい。

【0035】

図１に示されたＲＯ２０の構成は、単に概念を明確にするために描かれた構成例である。代替の実施形態では、任意の他の適切な構成が用いられ得る。例えば、ＬＦＳＲ３６の代わりに、ＭＵＸ２８は、任意の他の適切なシーケンスジェネレータによって制御され得る。ＭＵＸ２８を制御するビットシーケンスは、必ずしも擬似ランダムである必要はない。

【0036】

さらに、代替の実施形態では、ＲＯ２０は、Ｍ個のフィードバックタップ、Ｍ＞２を含み得る。このような実施形態では、ＭＵＸ２８はＭ個の入力を含む。シーケンスジェネレータ（例えば、ＬＦＳＲ）が用いられて、Ｍ個の入力間で交互に切り替えるマルチビット値を生成し、それによりＲＮＧがＭ個の異なる発振周波数間で交互に切り替えることができるようになる。

【0037】

図２は、本発明の実施形態による、ＲＯ２０の動作方法を概略的に示すフローチャートである。この方法は、動作ステップ５０で、インバータおよびフィードバックタップ２６Ａと２６Ｂのカスケードを動作させることから始まる。交互切り替えステップ５４において、交互切り替え回路（例えば、ＬＦＳＲ３６およびＭＵＸ２８）は、フィードバックタップ２６Ａおよび２６Ｂによって提供された２つの出力信号間で交互に切り替わる。入力駆動ステップ５８において、ＭＵＸ２８の出力はインバータのカスケードの入力に印加される。

【0038】

図３は、本発明の実施形態による、時間の関数として図１のＲＯ２０によって生成された出力信号の例を示す図である。この図は、２つの発振周波数間の交互切り替えを示している。図に示すように、ＲＯ出力信号は２つの異なる発振周波数を有する２つのタイプの時間間隔間で交互に切り替わる。
・時間間隔６０Ａ、６０Ｂ、６０Ｃ、…、間にＭＵＸ２８が入力Ａ（従ってフィードバックタップ２６Ａ）をカスケードの入力に接続し、これにより、ＲＯ２０は、フィードバックタップ２６Ａを介したループ遅延によって決定される発振周波数で発振する。
・時間間隔６４Ａ、６４Ｂ、…、間にＭＵＸ２８が入力Ｂ（従ってフィードバックタップ２６Ｂ）をカスケードの入力に接続し、これにより、ＲＯ２０は、フィードバックタップ２６Ｂを介したループ遅延によって決定される発振周波数で発振する。

【0039】

時間間隔６０Ａ、６４Ａ、６０Ｂ、６４Ｂ、…の長さは、ＬＦＳＲ３６の出力の「０」と「１」のランレングスによって決定されるため、疑似ランダムである。

【0040】

攻撃耐性の乱数発生器設計
上述のように、いくつかの実施形態では、ＲＯ２０の交互周波数の設計は、乱数発生器（ＲＮＧ）ののビルディングブロックとして用いられる。

【0041】

図４は、本発明の実施形態による、攻撃耐性の乱数発生器（ＲＮＧ）７０を概略的に示すブロック図である。ＲＮＧ７０は、高周波信号を生成するように構成された高周波ＲＯ７４、および低周波信号を生成するように構成された低周波ＲＯ７８を含む。高周波ＲＯ７４と低周波ＲＯ７８は、互いに非同期で動作する。いくつかの実施形態では、一方または両方のＲＯは、例えば、熱雑音または任意の他の適切な雑音源に由来するノイズを増幅するアナログ雑音源を用いて、意図的にノイズを発生させる。

【0042】

高周波信号および低周波信号は、低周波信号の周波数が高周波信号の周波数より大幅に低くければ、任意の適切な周波数を有することができる。いくつかの実施形態では、必ずしもそうではないが、高周波信号の周波数はＭＨｚのオーダーであり、低周波信号の周波数はＫＨｚのオーダーである。

【0043】

ＲＮＧ７０は、低周波信号を用いて高周波信号をサンプリングするように構成されたサンプリング回路８２をさらに含む。サンプリング回路８２の出力は、ＲＮＧの出力「ＲＡＮＤＯＭ ＤＡＴＡ ＯＵＴ（ランダムデータ出力）」として提供される。例示的な実施形態では、サンプリング回路８２は、低周波信号の立ち上がりエッジで高周波信号をサンプリングする。または、立ち下がりエッジ、または立ち上がりエッジと立ち下がりエッジの両方でサンプリングが用いられることもできる。

【0044】

高周波および低周波発振器に基づくＲＮＧのさらなる態様は、上記で引用した米国特許第４，９０５，１７６号に記載されており、２０２０年８月１８日に出願された米国特許出願第１６ ／ ９９５，９５１号「Ｄｉｓｔｒｉｂｕｔｅｄ Ｒａｎｄｏｍ－Ｎｕｍｂｅｒ Ｇｅｎｅｒａｔｏｒ（分散乱数発生器）」からの優先権を主張するものであり、引用によって本願に援用される。

【0045】

いくつかの実施形態では、高周波ＲＯ７４、低周波ＲＯ７８、またはその両方が、上述の図１の構成を用いて実施され得る。このように、高周波ＲＯ７４と低周波ＲＯ７８のいずれかまたは両方が交互に切り替わる発振周波数を有し、ＲＮＧ７０を攻撃に対して耐性があるようにする。２つの発振器の周波数は、任意の時間で、周波数の交互切り替えに関係なく、低周波信号の周波数が高周波信号の周波数より低くなるように選択される。

【0046】

図４に示されたＲＮＧ７０の構成は、単に概念を明確にするために描かれた例示的な構成である。代替的な実施形態では、任意の他の適切な構成を用いてもよい。例えば、発振器７４および７８の一方のみがＲＯ２０の構成を用いて実施されたとき、他方の発振器は必ずしもリングオシレータである必要はない。

【0047】

様々な実施形態において、開示されたＲＯおよびＲＮＧ回路は、任意の適切なハードウェアまたはファームウェアを用いて、例えば、１つ以上のディスクリート部品、１つ以上の特定用途向け集積回路（ＡＳＩＣ）、および１つ以上のフィールドプログラマブルゲートアレイ（ＦＰＧＡ）などを用いて実施され得る。

【0048】

上述の実施形態は、例として引用されており、以下の特許請求の範囲は、上述に具体的に開示および記載された内容に限定されないことに留意されたい。むしろ、本発明の範囲は、上述の様々な特徴のコンビネーションおよびサブコンビネーションの両方、ならびに前述の説明を読んで当業者が知るであろう、先行技術に開示されていないその変形および修正を含む。参照することにより本特許出願に組み込まれた文書は、組み込まれた文書の用語の定義が本明細書で明示的または暗黙的になされた定義と矛盾する場合を除いて、本出願の不可欠な部分と見なされ、本明細書の定義のみが考慮されるべきである。

【符号の説明】

【0049】

２０ 攻撃耐性のリングオシレータ（ＲＯ）
２４Ａ、２４Ｂ セクション
２６Ａ、２６Ｂ フィードバックタップ
２８ マルチプレクサ（ＭＵＸ）
３２Ａ、３２Ｂ ＮＡＮＤゲート
３６ 線形フィードバックシフトレジスタ（ＬＦＳＲ）
４０、４４ ＮＡＮＤゲート
Ｐ1、Ｐ２、Ｐ３ 点
５０、５４、５８ ステップ
６０Ａ、６０Ｂ、６０Ｃ、６４Ａ、６４Ｂ 時間間隔
７０ 乱数発生器（ＲＮＧ）
７４ 高周波ＲＯ
７８ 低周波ＲＯ
８２ サンプリング回路

【図1】

【図2】

【図3】

【図4】