(57)【要約】  本発明は、０と所定の制限数Ｋの間で乱数Ｒを生成するために、そのサイズＮが０とＷ−１の間に固定されている乱数Ｓｉを生成する乱数生成装置を使用する暗号化方法に関する。本発明によれば、Ｅ３１：０とＷ−１の間の確率変数Ｓｉを生成する；Ｅ３２：確率変数Ｓｉが基数Ｗ内の制限数Ｋの係数Ｋｉより厳密には小さい場合に、乱数Ｒの階数ｉの係数Ｒｉが乱数Ｓｉに等しく、ｉより小さいすべての階数ｊの場合に、０とＷ−１の間の確率変数Ｓｊが生成され、Ｒｊ＝Ｓｊになる；Ｅ３３：そうでない場合で、前記確率変数が基数Ｗ内の制限数Ｋの階数ｉの係数Ｋｉより大きい場合には、所定の関数により階数ｉの確率変数Ｓｉに基づいて前記係数Ｒｉが決定され、次にステップＥ３１からＥ３３を反復することにより、すぐ下の値である階数ｉ−１の乱数Ｒに対する係数Ｒｉ−１が決定される。【特許請求の範囲】
【請求項１】
０と所定の制限数Ｋの間の乱数Ｒを生成するために、０とＷ−１の間に固定されているサイズＮの乱数Ｓｉを生成する乱数生成装置を使用する暗号化方法であって、
Ｅ３１：０とＷ−１の間の確率変数Ｓｉを生成するステップと、
Ｅ３２：前記確率変数Ｓｉが基数Ｗ内の制限数Ｋの係数Ｋｉより厳密には小さい場合には、前記乱数Ｒの階数ｉの係数Ｒｉは前記確立変数Ｓｉに等しく、ｉより小さい任意の階数Ｊの場合には、０とＷ−１の間の確率変数Ｓｉが生成され、Ｒｊ＝Ｓｊになるステップと、
Ｅ３３：そうでない場合で、前記確率変数が基数Ｗ内の制限数Ｋの階数ｉの係数Ｋｉより大きい場合には、所定の関数により階数ｉの確率変数Ｓｉから前記係数Ｒｉが決定され、次に、ステップＥ３１からＥ３３を反復することにより、すぐ下の値である階数ｉ−１の乱数Ｒに対する係数Ｒｉ−１が決定されるステップと、を含むことを特徴とする方法。
【請求項２】
下記のステップ、すなわち、
Ｅ１：
【数１】
2007510171.tif 000011
（ここで、ｉはループ・インデックスであり、Ｋｉは０とＷ−１の間の階数ｉの前記制限数Ｋの係数であり、ｐは前記制限数Ｋの次数である）の形をしている基数（Ｗｐ−１，Ｗｐ−２．．．，Ｗ０）内で前記制限数Ｋが分解されるステップと、
Ｅ２：ブール変数ｆが「真」に初期化されるステップと、
Ｅ３：ｉ（ここで、ｉはｐ−１と０の間で変化する整数である）で示すループ内において下記の演算、すなわち、
Ｅ３１：０とＷ０−１の間の確率変数Ｓｉが生成される、
Ｅ３２：前記確率変数Ｓｉが階数ｉの係数Ｋｉより厳密には小さい場合には、ブール変数ｆが「偽」に設定される、
Ｅ３３＿１：前記確率変数Ｓｉが階数ｉの係数Ｋｉより厳密には大きくて、ブール変数ｆが「真」である場合には、階数ｉの係数Ｒｉが、所定の関数により階数ｉの確率変数Ｓｉから決定される、
Ｅ３３＿２：そうでない場合には、Ｒｉ＝Ｓｉである、
Ｅ３４：ｉで示す前記ループは減分する
演算を行うステップと、
Ｅ４：式：
【数２】
2007510171.tif 000012
により基数Ｗ内での前記ランダム係数Ｒｉの再結合により前記乱数Ｒが決定されるステップとが実行されることを特徴とする請求項１に記載の方法。
【請求項３】
階数ｉの確立変数Ｓｉから階数ｉの係数Ｒｉを決定するために（ステップＥ３３＿１およびＥ３３＿２）、下記のサブステップ、すなわち、
Ｅ３３＿１１：前記確率変数Ｓｉが前記制限数Ｋの係数Ｋｉより厳密には大きい場合に、新しい確立変数Ｓｉが生成されるサブステップと、
Ｅ３３＿１２：前記確率変数Ｓｉが前記制限数Ｋの係数Ｋｉより小さくなるまでステップＥ３３＿１１が反復され、前記係数Ｒｉが前記確率変数Ｓｉと等しくなるサブステップとを実行する請求項２に記載の方法。
【請求項４】
階数ｉの係数Ｒｉが、前記係数Ｋｉより小さい部分である前記確率変数Ｓｉの一部に等しくなるように選択され（ステップＥ３３＿１およびＥ３３＿２）、前記部分が前記変数Ｓｉのビットの限定数に対応することを特徴とする請求項２に記載の方法。
【請求項５】
階数ｉの確率変数Ｓｉから階数ｉの係数Ｒｉを決定するために（ステップＥ３３）、前記確率変数ＳｉがモジュロＫｉ＋１減算され、前記減算の結果が、求めていた係数であることを特徴とする請求項２に記載の方法。
【請求項６】
階数ｉの確率変数Ｓｉから階数ｉの係数Ｒｉを決定するために（ステップＥ３３）、計算のベースとして基数（βｑ−１，．．．，β０）によりステップＥ１乃至Ｅ４が実行され、βがＷより厳密には小さい整数であり、ｑがケースβ内のｋの次数であることを特徴とする請求項１乃至５の何れかに記載の方法。
【請求項７】
ステップＥ３３が、下記のサブステップ、すなわち、
Ｅ３３＿４１：
【数３】
2007510171.tif 000013
（ｊがループ・インデックスであり、（Ｋｉ）ｊが０とβ−１の間の数であり、ｑが前記係数Ｋｉの次数である）の形をしている基数（βｑ−１，．．．，β０）内で前記制限数Ｋの階数ｉのＫｉが分解されるサブステップと、
Ｅ３３＿４２：第２のブール変数ｇが「真」に初期化されるサブステップと、
Ｅ３３＿４３：ｑ−１と０の間で変化するｊで示すループ内で下記の演算、すなわち、
Ｅ３３＿４３１：０とβ−１の間の確率変数（Ｓｉ）ｊが生成される、
Ｅ３３＿４３２：前記確率変数（Ｓｉ）ｊが前記係数（Ｋｉ）ｊより厳密には小さい場合に、前記第２のブール変数ｇが「偽」に設定される、
Ｅ３３＿４３３１：前記確率変数（Ｓｉ）ｊが前記係数（Ｋｉ）ｊより厳密には大きくて、前記第２のブール変数ｇが「真」である場合には、所定の関数により前記確率変数（Ｓｉ）ｊから係数（Ｒｉ）ｊが決定される、
Ｅ３３＿４３３２：そうでない場合には、（Ｒｉ）ｊ＝（Ｓｉ）ｊである、
Ｅ３３＿４３４：ｊで示すループは減分する
演算を行うサブステップと、
Ｅ３３＿４４：式：
【数４】
2007510171.tif 000014
により、基数β内での前記ランダム係数（Ｒｉ）ｊの再結合により、前記乱数Ｒｉが決定されるサブステップと、に分解される請求項６に記載の方法。
【請求項８】
電子構成要素であって、サイズＮの乱数の生成装置と、特にＮビット程度の数に対して比較、打切りおよび／またはモジュラ・リダクションを行う計算回路と、前記乱数生成装置および計算回路を制御するための手段とを備え、前記制御手段が、請求項１乃至７の何れかに記載の方法を実施することができる電子構成要素。
【請求項９】
請求項８に記載の電子構成要素を備えるチップ・カード。
【発明の詳細な説明】
【技術分野】
【０００１】
本発明は、０とＷ−１の間の乱数を生成する生成装置からＡとＢの間の乱数を入手するための方法に関する。ここで、Ｎは生成装置が生成する数のサイズであり、Ｗ−１は、例えば、Ｗ＝２Ｎの場合に生成される乱数がとる最大値であり、およびＡ、Ｂは数Ｗより小さいかまたは大きい任意の整数である。
【背景技術】
【０００２】
このような状況は、例えば、暗号計算を行うことができ、例えば、Ｎ＝８のようなＮビットの乱数生成装置を備える電子構成要素内で発生する。それ故、この生成装置が生成することができる乱数は、０からＷ−１＝２５５の間の乱数であり、一方、電子構成要素は、例えば、０から１００の間または３００から１００００の間の乱数を有することが望ましい。最終的に、３００〜１００００の間のある数を入手するには、０〜９７００の間の数を決定し、得られた数に３００を加算するだけでよいことに留意されたい。
【０００３】
このような状況は、実際に、例えば、ＤＳＡ署名、Ｅｌ  Ｇａｍａｌ署名または暗号化、種々の攻撃に対する対策の開発等のような大多数の暗号化用途の場合に発生する。
０とＷ−１の間の数から０とＫの間の乱数Ｒを生成するためのいくつかの方法がすでに開発されている。これらの方法は、一般的に、一方では、サイズＮの乱数を生成するハードウェア生成装置、および他方では、特に乗算、加算等の演算を行うための計算手段を制御するために使用されるソフトウェア手段により実施される。
【０００４】
第１の周知の方法は、下記のステップを含む。
ａ）Ｋ≦ＷＰ−１のような最小の整数ｐを決定するステップ、
ｂ）ｐ個の乱数Ｓ０，Ｓ，．．．，Ｓｐ−１を生成し、変数
【０００５】
【数１】
2007510171.tif 000002
を形成するステップ、
ｃ）Ｓ＞Ｋである場合には、ステップｂ）に戻り、そうでない場合には、Ｒ＝Ｓにするステップ。
Ｒは、０とＫの間の求めていた乱数である。
式
【０００６】
【数２】
2007510171.tif 000003
は、基数（Ｗｐ−１，．．．，Ｗ１，Ｗ０）内で分解／再構成した変数Ｓを表す。Ｓ＝Ｓｐ−１Ｓｐ−２．．．Ｓ１Ｓ０で表すことができる。これは通常の表記法である。
【０００７】
第２の周知の方法は、下記のステップを含む。
ａ）Ｋ≦ＷＰ−１のような最小の整数ｐを決定するステップ、
ｂ）ｐ個の乱数Ｓ０，Ｓ，．．．，Ｓｐ−１を生成し、変数
【０００８】
【数３】
2007510171.tif 000004
およびＳ＝Ｔ＋Ｓｐ−１＊Ｗｐ−１を形成するステップ、
ｃ）Ｓ＞Ｋである場合には、Ｒ＝Ｔとし、そうでない場合には、Ｒ＝Ｓとするステップ。
【０００９】
第３の周知の方法は、下記のステップを含む。
ａ）Ｋ≦ＷＰ−１のような最小の整数ｐを決定するステップ、
ｂ）ｐ個の乱数Ｓ０，Ｓ，．．．，Ｓｐ−１を生成し、変数
【００１０】
【数４】
2007510171.tif 000005
を形成するステップ、
ｃ）Ｒ＝Ｓ  ｍｏｄ（Ｋ＋１）とするステップ、すなわち、Ｋ＋１によるＳの全数除算の残りは、Ｋ＋１によるＳのモジュラ・リダクションとも呼ばれる。
【００１１】
これら３つの方法は、下記ステップにより要約することができる。
ａ）Ｋ≦ＷＰ−１のような最小の整数であるｐ個の乱数Ｓ０，Ｓ，．．．，Ｓｐ−１を生成し、変数
【００１２】
【数５】
2007510171.tif 000006
を形成するステップ、
ｂ）変数Ｓから乱数Ｒを決定するステップ。
【００１３】
状況により、ステップｂ中に、ステップｂを反復し（第１の方法）、追加の乱数Ｓｐ−１を考慮に入れてまたは入れないで（第２の方法）、またはモジュラ・リダクションを実行する（第３の方法）ことによりＳからＲを入手する。
これら３つの方法の場合、ＡとＫ＋Ａの間のある数が必要な場合には、０とＫの範囲内の得られた数ＲにＡを加算しさえすればよいことに留意されたい。
【００１４】
第１の方法の主な欠点は、計算時間が非常に長く、それを予測するのが非常に難しいことである。ｐ個の乱数を生成するステップは、何回でも反復することができ、その場合、スタートの時点でこのステップの反復回数を予測することはできない。
【００１５】
第２および第３の方法の主な欠点は、［０，Ｋ］の範囲内で生成される乱数Ｒの中に、偏りを示す乱数が生成されることである。いくつかの値は他の値の数よりも出現する確率が高い。すなわち、生成された乱数Ｒは、完全にランダムというわけではない（分布が不均一である）。この偏りは、これらの方法を実施する際に責任を負う暗号化システムのセキュリティに有意な影響を有する場合がある。暗号化システムのセキュリティは、実際には、必要な範囲［０，Ｋ］または［Ａ，Ｋ＋Ａ］内でこれらのシステムが使用する乱数が均一に分布しているという仮定（または少なくともほぼ均一に分布しているとの仮定）に基づいている。
【００１６】
最後に、これら３つの方法は、すべて速度が遅い。何故なら、これらの方法は、実施のために使用する回路のサイズよりも大きいサイズＮ（ビット数において）の大きな数に対して演算を行うからである。それは、特に数Ｋが任意の数であり、Ｗより大きい場合があり、そのためサイズがＮより大きくなる場合があるからである。変数Ｓもサイズが大きくなる場合がある。しかし、大きな数に対して演算を行うと、計算時間の点で高くつく複雑な方法を実施しなければならない。
【発明の開示】
【発明が解決しようとする課題】
【００１７】
本発明の本来の目的は、非常に高速に乱数Ｒを生成するための方法を提案することである。
【課題を解決するための手段】
【００１８】
それ故、本発明は、０と所定の制限数（ｌｉｍｉｔｅｒ）Ｋの間で乱数Ｒを生成するために、例えば、必ずしもこれに限定されないが、Ｗ＝２Ｎにより、０とＷ−１の間に固定されているサイズＮの乱数Ｓｉを生成する乱数生成装置を使用する暗号化方法を提案する。
【発明を実施するための最良の形態】
【００１９】
本発明の方法の本質的なステップは下記の通りである。
Ｅ３１：０とＷ−１の間の確率変数（ｒａｎｄｏｍ  ｖａｒｉａｂｌｅ）Ｓｉを生成するステップ、
Ｅ３２：確率変数Ｓｉが基数Ｗ内の制限数Ｋの係数Ｋｉより厳密には小さい場合には、乱数Ｒの階数（ｒａｎｋ）ｉの係数Ｒｉは確率変数Ｓｉに等しく、ｉより小さい任意の階数Ｊの場合には、０とＷ−１の間の確率変数Ｓｊが生成され、Ｒｊ＝Ｓｊになるステップ、
Ｅ３３：そうでない場合で、上記確率変数が、基数Ｗ内の制限数Ｋの階数ｉの係数Ｋｉより大きい場合には、所定の関数により階数ｉの確率変数Ｓｉから上記係数Ｒｉが決定され、次にステップＥ３１からＥ３３を反復することにより、すぐ下の値である階数ｉ−１の乱数Ｒに対する係数Ｒｉ−１が決定されるステップ。
【００２０】
それ故、本発明の方法の場合には、最も有意な係数Ｒｐ−１からスタートして、必要な乱数Ｒの係数Ｒｉを１つずつ求めることになる。それ故、使用する乱数の物理的生成装置は、各反復毎に１つの変数を生成するというように、１つずつ確率変数Ｓｉを生成する。
さらに、この方法は高速である。何故なら、ステップＥ３３が少ない回数で実行されるからである。それは、物理的生成装置が生成する変数Ｓｉの１つが、制限数Ｋの関連する係数Ｋｉより小さいことがわかるや否や、この方法はもはやｉより低い階数の変数Ｓｊを処理する必要がなくなるからである。それ故、多くの場合、最も有意の乱数Ｒの少ない係数の計算が行われる。
【００２１】
最後に、周知の方法と比較した場合、本発明の方法は、Ｎビット程度の数を計算すればよいという利点を有する。Ｎは、レジスタおよび実施のために使用するデバイスの他の計算回路のサイズである。例えば、ＷがＳＮに等しい場合には、基数（Ｗｐ−１，．．．Ｗ１，Ｗ０）内でのＫの分解により係数Ｋｉは、Ｗより必ず小さくなり、そのためＮビット程度のサイズになる。同様に、物理的乱数生成装置が生成する確率変数ＳｉもＮビットになる。
【００２２】
本質的なステップに、初期化ステップおよび乱数Ｒの再結合ステップを追加することにより、下記のことが行われる。
Ｅ１：基数（Ｗｐ−１，Ｗｐ−２．．．，Ｗ０）（
【００２３】
【数６】
2007510171.tif 000007
またはＫ＝Ｋｐ−２．．．Ｋ１Ｋ０）（ここで、ｉはループ・インデックスであり、Ｋｉは０とＷ−１の間の階数ｉの制限数Ｋの係数であり、ｐは制限数Ｋの次数である）内で制限数Ｋが分解される。
【００２４】
Ｅ２：ブール変数ｆが「真」に初期化される。
Ｅ３：ｉ（ここで、ｉはｐ−１と０の間で変化する整数である）で示すループ内において下記の演算、すなわち、
Ｅ３１：０とＷ０−１の間の確率変数Ｓｉが生成される、
Ｅ３２：確率変数Ｓｉが階数ｉの係数Ｋｉより厳密には小さい場合に、ブール変数ｆが「偽」に設定される、
Ｅ３３＿１：確率変数Ｓｉが階数ｉの係数Ｋｉより厳密には大きくて、ブール変数ｆが「真」である場合に、階数ｉの係数Ｒｉが、所定の関数により階数ｉの確率変数Ｓｉから決定される、
Ｅ３３＿２：そうでない場合には、Ｒｉ＝Ｓｉである、
Ｅ３４：ｉで示すループは減分する
演算を行う。
Ｅ４：基数Ｗ（
【００２５】
【数７】
2007510171.tif 000008
またはＲｐ−１．．．Ｒ１Ｒ０）内でランダム係数Ｒｉの再結合により乱数Ｒが決定される。
【００２６】
具体的に説明すると、ブール変数ｆが「偽」に設定されるや否や、ブール変数はそのまま変化しない。何故なら、この方法のステップＥ２が初期化された場合を除いて、このブール変数を「真」の値に再設定する指示が行われないからである。変数ｆが「真」である場合に限ってステップＥ３２が実行される。それ故、変数ｆが「偽」の値に設定されるや否や、ステップＥ３３＿１はもはや実行されず、本発明の方法は迅速に終了する。
【００２７】
本発明の第２の目的は、その分布が均一な、または均一な分布にできるだけ近づけることができる乱数を生成するための方法を提案することである。この目的は、確立変数Ｓｉから係数Ｒｉの決定のための適当な関数を選択することにより達成される。
【００２８】
本発明の方法の第１の実施形態によれば、階数ｉの確率変数Ｓｉから階数ｉの係数Ｒｉを決定するために（ステップＥ３３＿１）、下記のサブステップが実行される。
Ｅ３３＿１１：確率変数Ｓｉが制限数Ｋの係数Ｋｉより厳密には大きい場合には、新しい確率変数Ｓｉが生成される。
Ｅ３３＿１２：確率変数Ｓｉが制限数Ｋの係数Ｋｉより小さくなるまで、ステップＥ３３＿１１が反復され、係数Ｒｉが確率変数Ｓｉと等しくなる。
【００２９】
このような実施形態の場合には、入手したすべての係数Ｒｉは、ハードウェア乱数生成装置が直接生成した数であり、それ故、これらの係数は完全なものであり、そこから得られる数Ｒも完全なものである。すなわち、数Ｒの入手した分布は、範囲［０，Ｋ］内で均一である。
【００３０】
第２の実施形態によれば、ステップＥ３３中、階数ｉの係数Ｒｉは、確率変数Ｓｉの一部、すなわち係数Ｋｉより小さい部分に等しくなるように選択される。ある例の場合には、上記部分は、変数Ｓｉのビットの限定数に対応する。
【００３１】
第３の実施形態によれば、ステップＥ３３中、確率変数ＳｉはモジュロＫｉ＋１減算され、減算の結果が求めていた係数Ｒｉである。
これらの後の２つの実施形態は、周知の方法より速度が速い。何故なら、本質的に小さな数を取り扱うからである。しかし、入手した乱数の分布は均一ではない。変数Ｓｉの打切り（ｔｒｕｎｃａｔｅ）またはリダクション・モジュロＫｉ＋１を実行すれば、必ず偏りが導入されるからである。しかし、この偏りは、従来技術の方法よりも小さい。
【００３２】
さらに、以下に説明するように、本発明の第２および第３の実施形態による方法の偏りを低減することができる。
上記の本発明の方法の場合には、乱数Ｒは、完全にランダムな物理的生成装置が生成するサイズＮの変数ＳｉからのＫより少ないものからできている。入手した乱数Ｒは偏りがあるが、その偏りは周知の方法より少ない。
【００３３】
そのため、第２または第３の実施形態の場合には、係数Ｒｉ≦Ｋｉは、特にステップＥ３３＿１中には、サイズＮの変数Ｓｉから形成される。係数Ｒｉ上に導入された偏りを低減するために、この係数を数Ｒを形成した場合と同じステップＥ１〜Ｅ３により形成することを提案する。ある意味では、２つの類似の方法は「インタリーブ」している。これにより、処理が行われる数の大きさをさらに小さくすることができ、それによりＲの係数上および最終的数Ｒ上の偏りをさらに低減することができる。
【００３４】
具体的に説明すると、階数ｉの確率変数Ｓｉから階数ｉの係数Ｒｉを決定するために（ステップＥ３３＿１）、計算のベースとして基数（βｑ−１，．．．，β０）を使用してステップＥ１〜Ｅ４が実行される。βはＷより厳密には小さい整数であり、ｑは基数β内のＫｉの次数である。
それ故、ステップＥ３３は、下記のサブステップに分解される。
Ｅ３３＿４１：基数（βｑ−１，．．．，β０）（
【００３５】
【数８】
2007510171.tif 000009
またはＫｉ＝（Ｋｉ）ｑ−１．．．（Ｋｉ）１（Ｋｉ）０）（ここで、ｊはループ・インデックスであり、（Ｋｉ）ｊは０とβ−１の間の数であり、ｑは係数Ｋｉの次数である）内の制限数Ｋの階数ｉの係数Ｋｉが分解されるサブステップ、
Ｅ３３＿４２：第２のブール変数ｇが「真」に初期化されるサブステップ、
Ｅ３３＿４３：ｑ−１と０の間で変化するｊで示すループ内で下記の演算、すなわち、
Ｅ３３＿４３１：０とβ−１の間の確率変数（Ｓｉ）ｊが生成される、
Ｅ３３＿４３２：確率変数（Ｓｉ）ｊが係数（Ｋｉ）ｊより厳密には小さい場合に、第２のブール変数ｇが「偽」に設定される、
Ｅ３３＿４３３１：確率変数（Ｓｉ）ｊが係数（Ｋｉ）ｊより厳密には大きくて、第２のブール変数ｇが「真」である場合に、所定の関数により乱数（Ｓｉ）ｊから係数（Ｒｉ）ｊが決定される、
Ｅ３３＿４３３２：そうでない場合には、（Ｒｉ）ｊ＝（Ｓｉ）ｊである、
Ｅ３３＿４３４：ｊで示すループは減分する
演算が行われるサブステップ、
Ｅ３３＿４４：基数β（
【００３６】
【数９】
2007510171.tif 000010
またはＲｉ＝（Ｒｉ）ｑ−１．．．（Ｒｉ）１（Ｒｉ）０）内でのランダム係数（Ｒｉ）ｊの再結合により乱数Ｒｉが決定されるサブステップ。
【００３７】
いま説明したように、２つの方法を「インタリーブ」することにより、迅速なグローバルな方法を保持しながら、グローバルな方法で生成した乱数Ｒの偏りが低減する。もちろん、ステップＥ３３＿４３で基数γ＜β内の数を分解し、ステップＥ３３＿４１からステップＥ３３＿４３類似の一連のステップのステップＥ３３＿４３を分解することにより、例えば、３つまたは４つのような３つ以上の方法を「インタリーブ」することもできる。
通常、処理が行われる数よりも少ないより多くの方法が「インタリーブ」される。各ステップの時間が短くなり、グローバルな方法により生成した数の偏りも低減する。
【００３８】
本発明のもう１つの目的は、上記方法を実施することができる電子構成要素である。このような構成要素は、特にサイズＮの乱数を生成するための生成装置、およびＮ個のビット程度の数に対して演算を行う計算回路を含む。
実施する方法の実施形態によれば、計算回路は、２つの数の比較、数の打切り（ｔｒｕｎｃａｔｉｏｎ）、およびモジュラ・リダクションを行うことができる。
好適には、乱数生成装置および計算回路は、この目的のための構成要素のメモリ内に記憶しているソフトウェア手段により制御することが好ましい。
本発明は、また、上記電子構成要素を備えるチップ・カードにも関する。
【国際調査報告】
2007510171.tif 000015
2007510171.tif 000016
2007510171.tif 000017
2007510171.tif 000018