(57)【要約】【課題】暗号パケット処理装置に関し、高速暗号パケット処理の効率化。【解決手段】平文データ列を第１の入力バッファに記録しつつ、データ列から検索データを抽出する平文入力部と、対応する暗号情報を検索し出力する暗号情報管理部と、第１の入力バッファに記録されたデータ列フォーマットを変換する変換部と、暗号化処理を行う暗号化部と、認証値を計算する認証値計算部と、認証値計算結果出力を待ち合わせ暗号文データ列を出力する暗号出力部と、暗号文データ列を第２の入力バッファに記録しつつ、データ列から検索データを抽出する暗号文入力部と、対応する復号情報を検索し出力する復号情報管理部と、第２の入力バッファに記録されたデータ列に対して認証値確認処理を行いつつ復号化処理を行う復号検査部と、復号検査部が認証値の正常を確認した場合フォーマット変換後の平文パケットデータ列を出力する逆変換部とを備える。【選択図】  図１
2004180234.tif 000002
【特許請求の範囲】
【請求項１】
平文パケットと暗号文パケットを相互に変換する暗号パケット処理装置に関わり、
平文パケットおよび暗号文パケットは基本単位量のデータを順に並べたデータ列として構成され、
第１の入力バッファと、
平文パケットを構成するデータ列が先頭から順番に基本単位量づつ入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第１の入力バッファに逐次記録する平文入力部と、
暗号文パケットへの変換形式と暗号化処理の方法および処理対象範囲と認証値計算の方法および処理対象範囲とを少なくとも指定する暗号情報を、検索データの別に対応させて１組以上記憶し、前記平文入力部からの前記検索データに対応する前記暗号情報を出力する暗号情報管理部と、
前記第１の入力バッファからデータ列を順に読み出して、データ列を前記暗号情報が指定する暗号文パケットの形式に変換しつつ逐次出力する変換部と、
前記変換部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲では前記暗号情報が指定する方法で暗号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する暗号化処理を行う暗号化部と、
前記暗号化部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲について、前記暗号情報が指定する方法の認証値を計算し結果を出力する認証値計算部と、
前記暗号化部の出力データ列を記録する第１の出力バッファと、
前記認証値計算部から入力される認証値と前記第１の出力バッファから読み出したデータ列とを前記暗号情報の指定する方法で組み合わせて暗号文パケットを構成するデータ列を生成しつつ、先頭から順番に基本単位量づつ出力する暗号出力部と、
第２の入力バッファと、
暗号文パケットを構成するデータ列が入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第２の入力バッファに逐次記録する暗号文入力部と、
平文パケットへの変換形式と復号化処理の方法および処理対象範囲と認証値確認の方法および処理対象範囲とを少なくとも指定する復号情報を、検索データの別に対応させて１組以上記憶し、前記暗号文入力部からの前記検索データに対応する復号情報を出力する復号情報管理部と、
前記第２の入力バッファからデータ列を順に読み出して、前記復号情報が指定する処理対象範囲では前記復号情報が指定する方法で復号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する復号化処理と、読み出したデータ列の前記復号情報が指定する処理対象範囲について前記復号情報が指定する方法で認証値確認処理とを行う復号検査部と、
前記復号検査部が出力するデータ列を記録する第２の出力バッファと、
前記復号検査部が認証値の正常を確認した場合に、前記第２の出力バッファに記録されたデータ列を前記復号情報が指定する形式に変換し平文パケットを構成するデータ列として先頭から順番に基本単位量づつ出力し、また、異常を確認した場合には、前記第２の出力バッファ内のその認証値に対応するデータ列を破棄する逆変換部とを備えたことを特徴とする暗号パケット処理装置。
【請求項２】
平文パケットと暗号文パケットを相互に変換する暗号パケット処理装置に関わり、
平文パケットおよび暗号文パケットは基本単位量のデータを順に並べたデータ列として構成され、
第１の入力バッファと、
平文パケットを構成するデータ列が先頭から順番に基本単位量づつ入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第１の入力バッファに逐次記録する平文入力部と、
暗号文パケットへの変換形式と暗号化処理の方法および処理対象範囲と認証値計算の方法および処理対象範囲とを少なくとも指定する暗号情報を、検索データの別に対応させて１組以上記憶し、前記平文入力部からの前記検索データに対応する前記暗号情報を出力する暗号情報管理部と、
前記第１の入力バッファからデータ列を順に読み出して、データ列を前記暗号情報が指定する暗号文パケットの形式に変換し、データ列の各データに対し個別の形式情報を付加しつつ逐次出力する変換部と、
前記変換部が出力するデータ列の各データに対して、前記形式情報が暗号化を指定するデータについては前記暗号情報が指定する方法で暗号化して暗号化結果で置き換え、前記形式情報が暗号化を指定しないデータについては無変換として生成するデータ列を、前記形式情報とあわせて逐次出力する暗号化処理を行う暗号化部と、
前記暗号化部が出力するデータ列の各データに対して、前記形式情報が認証処理を指定するデータについて、前記暗号情報が指定する方法の認証値を計算し結果を出力する認証値計算部と、
前記暗号化部の出力データ列と各データに付加された形式情報を合わせて記録する第１の出力バッファと、
前記第１の出力バッファからデータ列と形式情報を先頭から逐次読み出し、前記形式情報が認証値での入れ替えを指定するデータについて、前記認証値計算部から入力される認証値に入れ替えて暗号文パケットを構成するデータ列を生成しつつ、先頭から順番に基本単位量づつ出力する暗号出力部と、
第２の入力バッファと、
暗号文パケットを構成するデータ列が入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第２の入力バッファに逐次記録する暗号文入力部と、
平文パケットへの変換形式と復号化処理の方法および処理対象範囲と認証値確認の方法および処理対象範囲とを少なくとも指定する復号情報を、検索データの別に対応させて１組以上記憶し、前記暗号文入力部からの前記検索データに対応する復号情報を出力する復号情報管理部と、
前記第２の入力バッファからデータ列を順に読み出して、データ列の各データに対し個別の形式情報を付加しつつ逐次出力する形式情報付加部と、
前記形式情報付加部が出力するデータ列の各データに対して、前記形式情報が復号化を指定するデータについては前記復号情報が指定する方法で復号化した結果で置き換え、前記形式情報が暗号化を指定しないデータについては無変換として生成するデータ列を前記形式情報とあわせて逐次出力する復号化処理と、前記形式情報付加部が出力するデータ列の各データに対して前記形式情報が認証値確認処理を指定するデータについては前記復号情報が指定する方法で認証値確認処理とを行う復号検査部と、
前記復号検査部が出力するデータ列と各データに付加された形式情報を合わせて記録する第２の出力バッファと、
前記復号検査部が認証値の正常を確認した場合に、前記第２の出力バッファに記録されたデータ列を、各データに付加された形式情報を使用して平文パケットの形式に変換し平文パケットを構成するデータ列として先頭から順番に基本単位量づつ出力し、また、異常を確認した場合には、前記第２の出力バッファ内のその認証値に対応するデータ列を破棄する逆変換部とを備えたことを特徴とする暗号パケット処理装置。
【請求項３】
前記暗号情報管理部は、暗号情報を出力している期間に入力される次の平文パケットに関わる検索データについて、暗号情報との対応関係を調査、記憶して、暗号情報の現在の出力が完了した後で、記憶された対応関係にある暗号情報の出力を開始するものであって、
前記復号情報管理部は、復号情報を出力している期間に入力される次の暗号文パケットに関わる検索データについて、復号情報との対応関係を調査し記憶して、復号情報の現在の出力が完了した後で、記憶された対応関係にある暗号情報の出力を開始するものであることを特徴とする請求項１または請求項２に記載の暗号パケット処理装置。
【請求項４】
前記暗号情報管理部は暗号情報の出力時に、暗号文パケットへの変換形式を指定する情報を最初に出力し、
前記変換部は、暗号文パケットへの変換形式を指定する情報を受け取り次第、処理を開始することを特徴とする請求項１から請求項３のいずれか１項に記載の暗号パケット処理装置。
【請求項５】
前記変換部は、１つのパケットに関わるデータ列の最後のデータに続いて、処理中に検出した異常の発生の有無を示す情報を含む変換結果データと変換結果データを示す形式情報を出力し、前記暗号化部と前記第１の出力バッファは前記変換結果データおよび形式情報を変更せずにそのまま中継し、前記暗号出力部は、異常有りを示す変換結果データに関わるデータ列を前記第１の出力バッファから破棄することを特徴とする請求項１から請求項４のいずれか１項に記載の暗号パケット処理装置。
【請求項６】
入力される暗号文パケットはパケットの順序番号値を含んでおり、前記暗号文入力部は、順序番号値を抽出して検索データと共に出力し、
前記復号情報管理部は、順序番号バッファと、検索データの別ごとの履歴レジスタをさらに備え、
前記順序番号バッファは、入力される順序番号値をその順序を維持して複数記録し、前記復号検査部が認証値の確認結果を出力した時点で前記順序番号バッファの先頭の順序番号を除去するものであり、
前記履歴レジスタは、順序番号値の並びの最近の履歴を記録し、前記復号検査部が認証値の正常を確認した場合に、前記順序番号バッファの先頭の順序番号値に基づいて、対応する前記履歴レジスタの記録値を更新するものであって、
前記復号情報管理部は、前記順序番号バッファの先頭の順序番号値と対応する履歴レジスタを比較して並び違反を検査して通知する検査処理をさらに行い、
前記逆変換部は、前記復号検査部が認証値を確認した時点で並び違反が通知されている場合に、第２の出力バッファ内のその通知に対応するデータ列を破棄することを特徴とする請求項１から請求項５のいずれか１項に記載の暗号パケット処理装置。
【請求項７】
平文パケットおよび暗号文パケットは、レイヤ２のフレームにカプセルされたＩＰパケットであり、入出力されるデータ列にレイヤ２ヘッダ情報を含むことを特徴とする請求項１から請求項６のいずれか１項に記載の暗号パケット処理装置。
【請求項８】
前記変換部は、暗号文パケットの形式への変換によって生じるデータ列の増分値を計算し、
前回の平文パケットを構成するデータ列の最後から次回の平文パケットを構成するデータ列の先頭までの時間間隔が前記増分値に見合う時間間隔以上になるまで次回の平文パケットを構成するデータ列の入力の開始を遅延させるフロー制御部をさらに備えたことを特徴とする請求項１から請求項７のいずれか１項に記載の暗号パケット処理装置。
【請求項９】
メモリ管理部と、
相互に接続されたバスインタフェースとメモリデバイスとをさらに備え、
前記バスインタフェースは、前記平文出力部と前記暗号文出力部と前記変換部と前記逆変換部とにさらに接続され、
前記変換部は、暗号文パケットの形式への変換によって生じるデータ列の総量を計算して前記メモリ管理部に通知する手段をさらに備え、
前記逆変換部は、平文パケットの形式への変換によって生じるデータ列の総量を計算して前記メモリ管理部に通知する手段をさらに備え、
前記バスインタフェースは、前記メモリ管理部の指示により前記暗号文出力部が出力するデータ列を前記メモリデバイス上の前記メモリ管理部が指定する領域に記録する手段と、前記メモリ管理部の指示により前記平文出力部が出力するデータ列を前記メモリデバイス上の前記メモリ管理部が指定する領域に記録する手段とを少なくとも備え、
前記メモリ管理部は、前記変換部と前記逆変換部おのおのから通知されるデータ列の総量に見合う大きさの領域を前記メモリデバイス上の未使用領域から確保する手段と、確保した領域へのデータ列の記録を前記バスインタフェースに指示する手段を少なくとも備えたことを特徴とする請求項１から請求項８のいずれか１項に記載の暗号パケット処理装置。
【請求項１０】
各々が通信路を終端する第１の通信機能部と第２の通信機能部をさらに備え、
第１の通信機能部は、通信路から受信した平文パケットのデータ列を前記平文入力部へ出力し、さらに前記逆変換部から受け取る出力を平文パケットのデータ列として通信路へ送信し、第２の通信機能部は、通信路から受信した暗号文パケットのデータ列を前記暗号文入力部へ出力し、さらに前記暗号出力部から受け取る出力を暗号文パケットのデータ列として通信路へ送信することを特徴とする請求項１から請求項８に記載の暗号パケット処理装置。
【発明の詳細な説明】
【０００１】
【発明の属する技術分野】
本発明は、平文パケットデータと暗号文パケットデータとを相互変換する装置に関する。
【０００２】
【従来の技術】
インターネットの普及により、企業、個人がネットワークによるさまざまなサービスを公共的ネットワークを介して享受するようになった。しかしながら、従来の専用線および電話回線とは異なり、インターネットにおけるパケット通信では、通信内容の守秘性は、そのままでは保たれていない。インターネットにおけるレイヤ３プロトコルであるインターネットプロトコル（以下ＩＰと略す）にそのような守秘性を提供するために、ＩＥＴＦ（アイ・イー・ティ・エフ）においては、ＩＰＳｅｃ（アイ・ピー・セック）プロトコルの利用が推奨されている。これらはＲＦＣ２４０１（アール・エフ・シー２４０１）等の文書で公示されている。従来からＩＰｓｅｃプロトコルの実装にはハードウェアによる支援が必要であると指摘されている（たとえば非特許文献１参照）。
【０００３】
従来例におけるＩＰＳｅｃプロトコルの実装の概略を、図８に示す。
【０００４】
図８において８０１はＩＰ、ＩＰｓｅｃならびに上位のプログラムを実行するプロセッサ、８０２はパケットデータを蓄積するワークメモリ、８０３はイーサネット（登録商標）通信回線のレイヤ２プロトコルまで終端する通信インタフェース、８０４は暗号・復号・認証値計算にかかわる演算を行う暗号モジュール、８０５は上記各部を接続するバスを各々示す。本従来例において、ＩＰｓｅｃプロトコルは以下の様に処理される。
【０００５】
平文送信時においては、プロセッサ８０１は平文ＩＰパケットをワークメモリ８０２に一旦蓄積する。プロセッサ８０１は平文ＩＰパケットを解析し、適用すべきＩＰｓｅｃプロトコルの属性を決定する。属性にはＩＰｓｅｃプロトコルの種類と使用する暗号・認証アルゴリズムの別、暗号鍵、認証鍵が含まれる。ＩＰｓｅｃプロトコルの種類によって、ＩＰｓｅｃパケットの形式が決定され、プロセッサ８０１はワークメモリ８０２に蓄積したＩＰパケットをＩＰｓｅｃパケットに変換する。一般には、もとの平文ＩＰパケットは保存する必要があるため、この変換においてはパケットデータの複写処理が伴う。
【０００６】
プロセッサ８０１は、ＩＰｓｅｃプロトコルの種類で定まる暗号化領域にあるＩＰｓｅｃパケットのデータと暗号アルゴリズムの指定および暗号鍵を暗号モジュール８０４に与えて暗号処理を要求し、その結果をワークメモリ８０２に蓄積する。また、ＩＰｓｅｃプロトコルの種類で定まる認証値計算領域にあるＩＰｓｅｃパケットのデータと認証アルゴリズムの指定および認証鍵を暗号モジュール８０４に与えて認証値計算処理を要求し、認証値計算結果を、ＩＰｓｅｃパケットの定められた領域に記録する。
【０００７】
最後に、プロセッサ８０１はワークメモリ８０２に蓄積した最終結果を通信インタフェース８０３からイーサネット（登録商標）通信回線に出力する。
【０００８】
暗号文受信時においては、プロセッサ８０１はＩＰＳｅｃパケットをワークメモリ８０２に一旦蓄積する。プロセッサ８０１はＩＰＳｅｃパケットを解析し、適用されているＩＰｓｅｃプロトコルの属性を決定する。属性にはＩＰｓｅｃプロトコルの種類と使用する暗号鍵などが含まれる。プロセッサ８０１は、ＩＰｓｅｃプロトコルの種類で定まる暗号化領域にあるＩＰｓｅｃパケットのデータと暗号アルゴリズムの指定および暗号鍵を暗号モジュール８０４に与えて復号処理を要求し、その結果をワークメモリ８０２に蓄積する。また、ＩＰｓｅｃプロトコルの種類で定まる認証値計算領域にあるＩＰｓｅｃパケットのデータと認証アルゴリズムの指定および認証鍵を暗号モジュール８０４に与えて認証値計算処理を要求し、認証値計算結果と、ＩＰｓｅｃパケットの定められた領域に埋め込まれた認証値と比較してＩＰｓｅｃパケットの認証を行う。
【０００９】
最後に、プロセッサ８０１は認証が正常であるならば、ワークメモリ８０２に蓄積した復号結果をＩＰパケットに変換し、さらにＩＰパケット自体の処理に移る。本例において、平文ＩＰパケットは、プロセッサ８０１の上位のプログラムが生成・受信するものでも、他の通信処理との間で送受信されるもののどちらであってもかまわない。
【００１０】
【非特許文献１】
笠井他、「ＩＰｓｅｃ処理の高速化方式の検討」、情報処理学会研究報告、２００１  年、ＶＯＬ２００１  Ｎｏ１５（ＤＰＳ−１０１／ＣＳＥＣ−１２）、  Ｐ．７３−７８
【００１１】
【発明が解決しようとする課題】
上記の従来例で示したような暗号パケット処理装置では、平文ＩＰパケットの発生からＩＰＳｅｃパケットの送出、および、ＩＰＳｅｃパケットの発生から平文ＩＰパケットの処理開始までの各処理時間の積み重ねが、全体のパケットスループットを決定している。このため、ある通信能力を達成するには、各部は目標の通信能力をはるかに超える能力が必要とされる。たとえば、非特許文献１によると、１００Ｍｂｐｓ分のＩＰｓｅｃ処理を行うのに、暗号モジュールの能力は３ＤＥＳ暗号１９２Ｍｂｐｓ、バス転送能力は２Ｇｂｐｓが必要である。
【００１２】
このように、高速のＩＰＳｅｃプロトコルの処理性能を達成させるには、各部の能力が非常に高くなくてはならない。しかし、一方においては、各部の能力の向上は、ＩＰｓｅｃを利用しない機器と比べた場合に無視できないコストアップの要因になる問題点があった。
【００１３】
本発明は、上記の問題点を解決するためになされたものであり、個々の機能要素の能力を過度に高めることなくスループットの高いＩＰＳｅｃパケット処理の実現を可能とした、パイプライン型の暗号パケット処理装置を提供することを目的とする。
【００１４】
【課題を解決するための手段】
かかる課題を解決する為に、本発明の暗号パケット処理装置は、第１の入力バッファと、平文パケットを構成するデータ列が先頭から順番に基本単位量づつ入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第１の入力バッファに逐次記録する平文入力部と、暗号文パケットへの変換形式と暗号化処理の方法および処理対象範囲と認証値計算の方法および処理対象範囲とを少なくとも指定する暗号情報を検索データの別に対応させて１組以上記憶し、前記平文入力部からの前記検索データに対応する前記暗号情報を出力する暗号情報管理部と、前記第１の入力バッファからデータ列を順に読み出して、データ列を前記暗号情報が指定する暗号文パケットの形式に変換しつつ逐次出力する変換部と、前記変換部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲では前記暗号情報が指定する方法で暗号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する暗号化処理を行う暗号化部と、前記暗号化部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲について、前記暗号情報が指定する方法の認証値を計算し結果を出力する認証値計算部と、前記暗号化部の出力データ列を記録する第１の出力バッファと、前記認証値計算部から入力される認証値と前記第１の出力バッファから読み出したデータ列とを前記暗号情報の指定する方法で組み合わせて暗号文パケットを構成するデータ列を生成しつつ、先頭から順番に基本単位量づつ出力する暗号出力部と、第２の入力バッファと、暗号文パケットを構成するデータ列が入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第２の入力バッファに逐次記録する暗号文入力部と、平文パケットへの変換形式と復号化処理の方法および処理対象範囲と認証値確認の方法および処理対象範囲とを少なくとも指定する復号情報を、検索データの別に対応させて１組以上記憶し、前記暗号文入力部からの前記検索データに対応する復号情報を出力する復号情報管理部と、前記第２の入力バッファからデータ列を順に読み出して、前記復号情報が指定する処理対象範囲では前記復号情報が指定する方法で復号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する復号化処理と、読み出したデータ列の前記復号情報が指定する処理対象範囲について前記復号情報が指定する方法で認証値確認処理とを行う復号検査部と、前記復号検査部が出力するデータ列を記録する第２の出力バッファと、前記復号検査部が認証値の正常を確認した場合に、前記第２の出力バッファに記録されたデータ列を前記復号情報が指定する形式に変換し平文パケットを構成するデータ列として先頭から順番に基本単位量づつ出力し、また、異常を確認した場合には、前記第２の出力バッファ内のその認証値に対応するデータ列を破棄する逆変換部とを備えたものである。
【００１５】
【発明の実施の形態】
請求項１に記載の本発明は、第１の入力バッファと、平文パケットを構成するデータ列が先頭から順番に基本単位量づつ入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第１の入力バッファに逐次記録する平文入力部と、暗号文パケットへの変換形式と暗号化処理の方法および処理対象範囲と認証値計算の方法および処理対象範囲とを少なくとも指定する暗号情報を、検索データの別に対応させて１組以上記憶し、前記平文入力部からの前記検索データに対応する前記暗号情報を出力する暗号情報管理部と、前記第１の入力バッファからデータ列を順に読み出して、データ列を前記暗号情報が指定する暗号文パケットの形式に変換しつつ逐次出力する変換部と、前記変換部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲では前記暗号情報が指定する方法で暗号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する暗号化処理を行う暗号化部と、前記暗号化部が出力するデータ列に対して、前記暗号情報が指定する処理対象範囲について、前記暗号情報が指定する方法の認証値を計算し結果を出力する認証値計算部と、前記暗号化部の出力データ列を記録する第１の出力バッファと、前記認証値計算部から入力される認証値と前記第１の出力バッファから読み出したデータ列とを前記暗号情報の指定する方法で組み合わせて暗号文パケットを構成するデータ列を生成しつつ、先頭から順番に基本単位量づつ出力する暗号出力部と、第２の入力バッファと、暗号文パケットを構成するデータ列が入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第２の入力バッファに逐次記録する暗号文入力部と、平文パケットへの変換形式と復号化処理の方法および処理対象範囲と認証値確認の方法および処理対象範囲とを少なくとも指定する復号情報を、検索データの別に対応させて１組以上記憶し、前記暗号文入力部からの前記検索データに対応する復号情報を出力する復号情報管理部と、前記第２の入力バッファからデータ列を順に読み出して、前記復号情報が指定する処理対象範囲では前記復号情報が指定する方法で復号化した結果で置き換え、処理対象範囲外では無変換として生成するデータ列を逐次出力する復号化処理と、読み出したデータ列の前記復号情報が指定する処理対象範囲について前記復号情報が指定する方法で認証値確認処理とを行う復号検査部と、前記復号検査部が出力するデータ列を記録する第２の出力バッファと、前記復号検査部が認証値の正常を確認した場合に、前記第２の出力バッファに記録されたデータ列を前記復号情報が指定する形式に変換し平文パケットを構成するデータ列として先頭から順番に基本単位量づつ出力し、また、異常を確認した場合には、前記第２の出力バッファ内のその認証値に対応するデータ列を破棄する逆変換部とを備えたものであり、以下の作用をなす。
【００１６】
平文パケットが、これを構成するデータ列、たとえばバイト列の形態で入力されつつある間に、これを解析し、さらに暗号文パケットへの形式の変換、暗号化、認証値計算といった一連の暗号処理をパイプラインとして処理を行い、暗号パケットを構成するデータ列を出力する。また、暗号文パケットがこれを構成するデータ列の形態で入力されつつある間に、これを解析し、さらに復号化、認証値確認、平文パケットへの形式変換といった一連の復号処理をパイプラインとして処理し、平文パケットを構成するデータ列を出力する。
【００１７】
請求項２に記載の本発明は、第１の入力バッファと、平文パケットを構成するデータ列が先頭から順番に基本単位量づつ入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第１の入力バッファに逐次記録する平文入力部と、暗号文パケットへの変換形式と暗号化処理の方法および処理対象範囲と認証値計算の方法および処理対象範囲とを少なくとも指定する暗号情報を、検索データの別に対応させて１組以上記憶し、前記平文入力部からの前記検索データに対応する前記暗号情報を出力する暗号情報管理部と、前記第１の入力バッファからデータ列を順に読み出して、データ列を前記暗号情報が指定する暗号文パケットの形式に変換し、データ列の各データに対し個別の形式情報を付加しつつ逐次出力する変換部と、前記変換部が出力するデータ列の各データに対して、前記形式情報が暗号化を指定するデータについては前記暗号情報が指定する方法で暗号化して暗号化結果で置き換え、前記形式情報が暗号化を指定しないデータについては無変換として生成するデータ列を、前記形式情報とあわせて逐次出力する暗号化処理を行う暗号化部と、前記暗号化部が出力するデータ列の各データに対して、前記形式情報が認証処理を指定するデータについて、前記暗号情報が指定する方法の認証値を計算し結果を出力する認証値計算部と、前記暗号化部の出力データ列と各データに付加された形式情報を合わせて記録する第１の出力バッファと、前記第１の出力バッファからデータ列と形式情報を先頭から逐次読み出し、前記形式情報が認証値での入れ替えを指定するデータについて、前記認証値計算部から入力される認証値に入れ替えて暗号文パケットを構成するデータ列を生成しつつ、先頭から順番に基本単位量づつ出力する暗号出力部と、第２の入力バッファと、暗号文パケットを構成するデータ列が入力され、入力されるデータ列から検索データを抽出して出力しつつ、入力されるデータ列を前記第２の入力バッファに逐次記録する暗号文入力部と、平文パケットへの変換形式と復号化処理の方法および処理対象範囲と認証値確認の方法および処理対象範囲とを少なくとも指定する復号情報を、検索データの別に対応させて１組以上記憶し、前記暗号文入力部からの前記検索データに対応する復号情報を出力する復号情報管理部と、前記第２の入力バッファからデータ列を順に読み出して、データ列の各データに対し個別の形式情報を付加しつつ逐次出力する形式情報付加部と、前記形式情報付加部が出力するデータ列の各データに対して、前記形式情報が復号化を指定するデータについては前記復号情報が指定する方法で復号化した結果で置き換え、前記形式情報が暗号化を指定しないデータについては無変換として生成するデータ列を前記形式情報とあわせて逐次出力する復号化処理と、前記形式情報付加部が出力するデータ列の各データに対して前記形式情報が認証値確認処理を指定するデータについては前記復号情報が指定する方法で認証値確認処理とを行う復号検査部と、前記復号検査部が出力するデータ列と各データに付加された形式情報を合わせて記録する第２の出力バッファと、前記復号検査部が認証値の正常を確認した場合に、前記第２の出力バッファに記録されたデータ列を、各データに付加された形式情報を使用して平文パケットの形式に変換し平文パケットを構成するデータ列として先頭から順番に基本単位量づつ出力し、また、異常を確認した場合には、前記第２の出力バッファ内のその認証値に対応するデータ列を破棄する逆変換部とを備えたことを特徴とし、以下に示す作用をなす。
【００１８】
平文パケットが、これを構成するデータ列、たとえばバイト列の形態で入力されつつある間に、これを解析し、さらに暗号文パケットへの形式の変換、暗号化、認証値計算といった一連の暗号処理をパイプラインとして処理を行い、暗号パケットを構成するデータ列を出力する。また、暗号文パケットがこれを構成するデータ列の形態で入力されつつある間に、これを解析し、さらに復号化、認証値確認、平文パケットへの形式変換といった一連の復号処理をパイプラインとして処理し、平文パケットを構成するデータ列を出力する。暗号文パケットの形式をもつデータ列内の個々のデータにパケット形式上の意味を示す形式情報を付加して、後段の処理においてデータ列を解析して、処理対象のデータを判定する必要をなくす。
【００１９】
請求項３に記載の本発明は、前記暗号情報管理部は、暗号情報を出力している期間に入力される次の平文パケットに関わる検索データについて、暗号情報との対応関係を調査、記憶して、暗号情報の現在の出力が完了した後で、記憶された対応関係にある暗号情報の出力を開始するものであって、前記復号情報管理部は、復号情報を出力している期間に入力される次の暗号文パケットに関わる検索データについて、復号情報との対応関係を調査し記憶して、復号情報の現在の出力が完了した後で、記憶された対応関係にある暗号情報の出力を開始するものであることを特徴とし、以下に示す作用をなす。
【００２０】
平文パケットを構成するデータ列が暗号化され始める前に、次回以降の平文パケットの入力を受け付け。また、暗号文パケットを構成するデータ列が復号化され始める前に、次回以降の暗号文パケットの入力を受け付ける。
【００２１】
請求項４に記載の本発明は、前記暗号情報管理部は暗号情報の出力時に、暗号文パケットへの変換形式を指定する情報を最初に出力し、前記変換部は、暗号文パケットへの変換形式を指定する情報を受け取り次第、処理を開始することを特徴とし、以下に示す作用をなす。変換部は、暗号情報の完全な受け取りに先行して暗号文パケットへの変換を開始する。
【００２２】
請求項５に記載の本発明は、前記変換部は、１つのパケットに関わるデータ列の最後のデータに続いて、処理中に検出した異常の発生の有無を示す情報を含む変換結果データと変換結果データを示す形式情報を出力し、前記暗号化部と前記第１の出力バッファは前記変換結果データおよび形式情報を変更せずにそのまま中継し、前記暗号出力部は、異常有りを示す変換結果データに関わるデータ列を前記第１の出力バッファから破棄することを特徴とし、以下に示す作用をなす。
【００２３】
変換部は、変換処理の最終結果を待たずして、暗号化部へのデータ列出力を開始できる。
【００２４】
請求項６に記載の本発明は、入力される暗号文パケットはパケットの順序番号値を含んでおり、前記暗号文入力部は、順序番号値を抽出して検索データと共に出力し、前記復号情報管理部は、順序番号バッファと、検索データの別ごとの履歴レジスタをさらに備え、前記順序番号バッファは、入力される順序番号値をその順序を維持して複数記録し、前記復号検査部が認証値の確認結果を出力した時点で前記順序番号バッファの先頭の順序番号を除去するものであり、前記履歴レジスタは、順序番号値の並びの最近の履歴を記録し、前記復号検査部が認証値の正常を確認した場合に、前記順序番号バッファの先頭の順序番号値に基づいて、対応する前記履歴レジスタの記録値を更新するものであって、前記復号情報管理部は、前記順序番号バッファの先頭の順序番号値と対応する履歴レジスタを比較して並び違反を検査して通知する検査処理をさらに行い、前記逆変換部は、前記復号検査部が認証値を確認した時点で並び違反が通知されている場合に、第２の出力バッファ内のその通知に対応するデータ列を破棄することを特徴とし、以下に示す作用をなす。
【００２５】
暗号文パケットに含まれた順序番号値の並びを検査する処理をパイプラインを乱さずに行い、認証値が正しく順序番号値の並びに異常がない場合に限り、平文パケットのデータ列が逆変換部から出力される。
【００２６】
請求項７に記載の本発明は、平文パケットおよび暗号文パケットは、レイヤ２のフレームにカプセルされたＩＰパケットであり、入出力されるデータ列にレイヤ２ヘッダ情報を含むことを特徴とし、以下に示す作用をなす。
【００２７】
平文パケットを暗号文パケットに変換する際、および、暗号文パケットから平文パケットに変換する際にレイヤ２ヘッダ情報を中継して出力する。
【００２８】
請求項８に記載の本発明は、前記変換部は、暗号文パケットの形式への変換によって生じるデータ列の増分値を計算し、前回の平文パケットを構成するデータ列の最後から次回の平文パケットを構成するデータ列の先頭までの時間間隔が前記増分値に見合う時間間隔以上になるまで次回の平文パケットを構成するデータ列の入力の開始を遅延させるフロー制御部をさらに備えたことを特徴とし、以下に示す作用をなす。
【００２９】
暗号パケットへの形式に変換することによって増大するデータ量に見合う時間、入力される平文パケットのパケット間ギャップ時間を増大させる。
【００３０】
請求項９に記載の本発明は、相互に接続されたバスインタフェースとメモリデバイスとメモリ管理部をさらに備え、前記バスインタフェースは、前記平文出力部と前記暗号文出力部と前記変換部と前記逆変換部とにさらに接続され、前記変換部は、暗号文パケットの形式への変換によって生じるデータ列の総量を計算して前記メモリ管理部に通知し、前記逆変換部は、平文パケットの形式への変換によって生じるデータ列の総量を計算して前記メモリ管理部に通知し、前記バスインタフェースは、前記メモリ管理部の指示により前記暗号文出力部が出力するデータ列を前記メモリデバイス上の前記メモリ管理部が指定する領域に記録する手段と、前記メモリ管理部の指示により前記平文出力部が出力するデータ列を前記メモリデバイス上の前記メモリ管理部が指定する領域に記録する手段とを少なくとも備え、前記メモリ管理部は、前記変換部と前記逆変換部おのおのから通知されるデータ列の総量に見合う大きさの領域を前記メモリデバイス上の未使用領域から確保する手段と、確保した領域へのデータ列の記録を前記バスインタフェースに指示する手段を少なくとも備えたことを特徴し、以下に示す作用をなす。
【００３１】
生成した暗号文パケットおよび平文パケットを記録するために、適切な大きさのメモリ領域を確保する手段を設ける。
【００３２】
請求項１０に記載の本発明は、各々が通信路を終端する第１の通信機能部と第２の通信機能部をさらに備え、第１の通信機能部は、通信路から受信した平文パケットのデータ列を前記平文入力部へ出力し、さらに前記逆変換部から受け取る出力を平文パケットのデータ列として通信路へ送信し、第２の通信機能部は、通信路から受信した暗号文パケットのデータ列を前記暗号文入力部へ出力し、さらに前記暗号出力部から受け取る出力を暗号文パケットのデータ列として通信路へ送信することを特徴とし、以下に示す作用をなす。
【００３３】
第１の通信機能部は平文パケットを入出力し、第２の通信機能部は暗号文パケットを入出力し、平文パケットと暗号文パケット間の相互変換は、ソフトウェア処理を含む他の機能の介在無しに本実施例の暗号パケット処理装置が全処理を行う。
【００３４】
（実施の形態１）
以下、本発明による暗号パケット処理装置の一実施形態を、図面を参照しながら詳述する。
【００３５】
図１は、本発明の第１の実施の形態の構成図である。
【００３６】
平文入力ポート１０１は、平文入力部１０２の論理的な入力ポートであり、平文ＩＰパケットを構成するデータ列が入力される。
【００３７】
このデータ列は、レイヤ２のフレームにカプセルされたＩＰパケットを基本単位長、たとえば８ｂｉｔ単位のバイトサイズに区切って与えるものである。
【００３８】
平文入力部１０２は、入力されたデータ列から検索データを抽出し、これを暗号情報管理部１０３へ出力する。また、平文入力部１０２は入力されたデータ列を第１の入力バッファ１０４に逐次記録する。
【００３９】
また、平文入力部１０２には、平文ＩＰパケットの入力開始を差し止めるフロー制御機構が備わっている。
【００４０】
第１の入力バッファ１０４は入力されたデータ列を記録する。これは１平文パケットすべてを記録する必要はなく、変換部１０５がデータ列を読み出し始めるまでの遅延と暗号文パケットへの形式変換に関する遅延の時間内に入力される最大データ量を吸収できればよい。第１の入力バッファにはＦｉｒｓｔ−ｉｎ、Ｆｉｒｓｔ−ｏｕｔメモリが好適であるが、それに加えて、データ列のパケット単位の区切り位置を識別する機能も必要になる場合がある。
【００４１】
暗号情報管理部１０３は、検索データの別毎に対応させて暗号情報を記録している。この暗号情報は、図示しない手段によりあらかじめ設定されているものとする。最も一般的には、暗号情報管理部１０３は、別途用意されたプロセッサインタフェースを備えて、これを経由して暗号情報が設定されるものではあるが、本発明においては重要な事項ではない。
【００４２】
暗号情報管理部１０３は、入力された検索データと暗号情報との対応関係を調べてこれを一旦記憶する。この記憶手段にはＦｉｒｓｔ−ｉｎ、Ｆｉｒｓｔ−ｏｕｔメモリが適切である。
【００４３】
暗号情報管理部１０３は、一旦記憶された対応関係で指定される暗号情報を変換部１０５と暗号化部１０６と認証値計算部１１０と暗号出力部１０８へ出力する。
【００４４】
変換部１０５は、暗号情報内の暗号文パケットへの変換形式を指定する情報を受け取り、平文ＩＰパケットのデータ列を指定された形式のデータ列に変換する。変換の際に、データ列に新たなデータが複数追加されるのが一般的である。増加分のデータ量は変換部１０５で計算され、これは平文入力部１０２へフィードバックする。この制御フローは図１に図示（１２１）している。
【００４５】
変換部１０５は変換後のデータ列を暗号化部１０６へ逐次出力する。
【００４６】
暗号化部１０６は、暗号情報管理部１０３が出力した暗号情報を受け取り、指定された暗号化処理の方法と処理対象範囲に即して暗号化処理を行い、認証値計算部１１０と第１の出力バッファ１０７へデータ列を出力する。暗号化部１０６の出力データ列は、第１の出力バッファ１０７で、一時的に記録される。
【００４７】
認証値計算部１１０は、暗号情報管理部１０３が出力した暗号情報を受け取り、指定された認証値計算の方法と処理対象範囲に即して、暗号化部１０６の出力データ列に対して、認証値計算を行う。
【００４８】
第１の出力バッファ１０７には、１平文パケット分の暗号化処理結果のデータ列最大長を記憶する容量に加え、認証値計算の結果出力が発生するまでの遅延期間に受け取り得るデータ列を記録する容量が必要である。
【００４９】
暗号出力部１０８は認証値計算部１１０から認証値計算結果を受け取る。制御フローは図１に図示（１２２）する。
【００５０】
また、暗号出力部１０８は第１の出力バッファ１０７のデータを読み取り、暗号パケットの形式で指定される位置に認証値計算結果を嵌め合わせて、暗号文ＩＰパケットを構築しつつ、論理的な暗号文出力ポート１０９へ出力する。
【００５１】
暗号文入力ポート１１１は、暗号文入力部１１２の論理的な入力ポートであり、暗号文ＩＰパケットを構成するデータ列が入力される。このデータ列は、レイヤ２のフレームにカプセルされたＩＰパケットを単位長、たとえばバイトに区切って与えるものである。
【００５２】
暗号文入力部１１２は、入力されたデータ列から検索データを抽出し、また、暗号文パケットに含まれる順序番号値を抽出して、これらを復号情報管理部１１３へ出力する。また、暗号文入力部１１２は入力されたデータ列を第２の入力バッファ１１４へ出力する。
【００５３】
第２の入力バッファ１１４は、入力されたデータ列を記録するが、これは１暗号文パケットすべてを記録する必要はなく、復号検査部１１５がデータ列を読み出すまでの遅延時間内に入力される最大データ量を吸収できればよい。第２の入力バッファにはＦｉｒｓｔ−ｉｎ、Ｆｉｒｓｔ−ｏｕｔメモリが好適であるが、それに加えて、データ列のパケット単位の区切り位置を識別する機能も必要になる場合がある。
【００５４】
復号情報管理部１１３は、検索データの別毎に復号情報を記録している。この復号情報は、暗号情報管理部１０３と同様図示しない手段によりあらかじめ設定されているものとする。
【００５５】
復号情報管理部１１３は、入力された検索データと復号情報の対応関係を一旦記憶する。この記憶手段にはＦｉｒｓｔ−ｉｎ、Ｆｉｒｓｔ−ｏｕｔメモリが適切である。
【００５６】
復号情報管理部１１３は、記憶されている対応関係で指定される復号情報を復号検査部１１５と逆変換部１１７へ出力する。
【００５７】
また復号情報管理部１１３は、入力された順序番号を順次記録する。この記憶手段にはＦｉｒｓｔ−ｉｎ、Ｆｉｒｓｔ−ｏｕｔメモリが適切である。復号情報管理部１１３は、順序番号の並び違反を逆変換部１１７へ通知する。この制御フローは図１に図示（１２３）する。
【００５８】
復号検査部１１５は、復号情報を受け取り、第２の入力バッファ１１４に記憶されたデータ列の復号情報で指定された処理対象範囲に対して、復号情報で指定された方法で復号化処理を行う。また、第２の入力バッファ１１４に記憶されたデータ列の復号情報で指定された処理対象範囲に対して認証値確認処理を行う。
【００５９】
復号化処理結果のデータ列は、認証値確認の進行とは無関係に第２の出力バッファ１１６へ出力し、ここで、一時的に記録される。
【００６０】
第２の出力バッファ１１６には、１暗号文パケット分の復号化処理結果のデータ列すべてを記憶する容量に加え、認証値確認の結果出力が発生するまでの遅延時間内に入力されうるデータ列を記憶できる容量が必要である。
【００６１】
また、復号検査部１１５は認証値確認処理の結果を逆変換部１１７と復号情報管理部１１３に出力する。この制御フローは図１に図示する（１２３）。
【００６２】
逆変換部１１７は、復号情報内の平文パケットへの変換形式を指定する情報を受け取り、第２の出力バッファ１１６に蓄積されたデータ列を指定された形式に変換し、平文ＩＰパケットを構成するデータ列として論理的な平文出力ポート１１８へ出力する。
【００６３】
図２は、暗号情報と復号情報の構成例である。これは論理的なイメージであり、直接になんらかの実体を示すものではない。本例において、形式選択はＩＰｓｅｃにおけるＡＨ（Ａｕｔｅｎｔｉｃａｔｏｎ  Ｈｅａｄｅｒ）方式とＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）方式の何れかまたは両方を選択するフィールドである。モード選択はＩＰｓｅｃにおけるトンネル方式とトランスポート方式の何れかを選択するフィールドである。ＥＳＰモード選択は、ＥＳＰ方式によって認証値計算／確認を行うか否かと暗号処理を適用するか否かを選択するフィールドである。カプセルＩＰヘッダ情報、ＡＨヘッダ情報、ＥＳＰヘッダ情報は、暗号文パケットへの変換を行う際、暗号文パケットに追加されるデータを格納するフィールドである。
【００６４】
暗号種別と暗号鍵情報は、暗号のアルゴリズムの選択とその際の鍵を格納するフィールドであり、認証種別と認証鍵情報は、認証値計算のアルゴリズムの選択とその際の鍵を格納するフィールドである。
【００６５】
形式選択とモード選択とＥＳＰモード選択とカプセルＩＰヘッダ情報とＡＨヘッダ情報とＥＳＰヘッダ情報のフィールドによって、暗号化パケットへの変換形式、および平文パケットへの変換形式が指定される。
【００６６】
形式選択とモード選択とＥＳＰモード選択のフィールドによって、暗号処理・復号処理の処理対象範囲、および認証値計算・確認の処理対象範囲が特定される。
【００６７】
形式選択とＥＳＰモード選択と暗号種別と暗号鍵情報と認証種別と認証鍵情報のフィールドによって、暗号処理・復号処理の方法並びに認証値計算・確認の方法が指定される。
【００６８】
本例においては、変換形式を指定する情報は処理対象範囲を指定する情報を含有しているが、これは別に与えるものであってもよい。
【００６９】
図３は、本実施例で入出力する平文ならびに暗号文パケットの形式の一例を示したものであり、また、フォーマット変換の有様を示すものでもある。本例においては、ＩＰｓｅｃにおけるＡＨ（Ａｕｔｅｎｔｉｃａｔｏｎ  Ｈｅａｄｅｒ）方式とＥＳＰ（Ｅｎｃａｐｓｕｌａｔｉｏｎ  Ｓｅｃｕｒｉｔｙ  Ｐａｙｌｏａｄ）方式を併用したトンネル方式の場合を記載している。
【００７０】
以上のように構成された、本実施例の暗号パケット処理装置の動作を以下に説明する。
【００７１】
まず平文ＩＰパケットから暗号文ＩＰパケットへの変換については、平文入力ポート１０１から入力されたデータ列から、平文入力部１０２が検索データを抽出し、これを暗号情報管理部１０３へ出力する。暗号情報管理部１０３は対応する暗号情報を出力する。暗号情報は図２に示す様に構成され、変換形式を指定する情報が最初に出力される。
【００７２】
暗号情報を受け取った変換部１０５は、第１の入力バッファ１０４に蓄積されているデータ列を暗号文パケットの形式に変換しつつ、暗号化部１０６へ出力する。さらに、平文１パケット分の変換並びに出力が行われたあと、変換処理の過程で異常を生じたか否かを通知する変換結果データを暗号化部１０６へ出力する。
【００７３】
また、変換処理の際、元の平文ＩＰパケットにフィールドを追加する必要が一般にはあり、その分データ列の量が増加する。図３の例においては、カプセルＩＰヘッダ、ＡＨヘッダ、ＥＳＰヘッダ、ＥＳＰトレーラが追加されている。増加分のデータ量は変換部１０５で計算され、これを平文入力部１０２へフィードバックする（図１の１２１）。平文入力部１０２はフィードバックされたデータ量に見合う期間、次回の平文ＩＰパケットの入力を差し止める。この期間の間に平文ＩＰパケットの入力がない場合には、差し止める必要はない。また、変換部１０５は増加分のデータ量に応じて、レイヤ２ヘッダ内もしくは他のフィールドにデータ長に関わる情報が格納されている場合はこれを更新する。また、形式変換の際、認証値計算結果を組み入れる指定部位には規定値を格納する。
【００７４】
暗号化部１０６は入力されるデータ列の暗号情報で指定される処理対象範囲に対して指定された方法による暗号処理を行い、データ列を出力する。
【００７５】
認証値計算部１１０は、暗号処理結果のデータ列中、暗号情報で指定される処理対象範囲に対して指定された方法による認証値を計算する。
【００７６】
暗号化部１０６、認証値計算部１１０が暗号処理および認証値を計算する対象は、データ列の一部分であり、その処理対象外のデータ列には何も処理を行わずに出力データ列へ中継する。たとえば、レイヤ２ヘッダ情報には何も作用しない。
【００７７】
暗号処理結果のデータ列は第１の出力バッファ１０７に出力され、ここで、認証値計算結果が出力されるまで一時的に記録される。認証値の計算結果はＩＰパケットの最後のデータが入力されて後、認証値計算の遅延時間をもって出力される（図１の１２２）。
【００７８】
認証値計算結果を受け取った暗号出力部１０８は、変換結果データに異常がなければ、第１の出力バッファ１０７のデータを読み取り、暗号化パケットへの変換形式で指定される位置に認証値計算結果を嵌め合わせて、暗号文ＩＰパケットを構築しつつ、論理的な暗号文出力ポート１０９へ出力する。
【００７９】
次に暗号文ＩＰパケットから平文ＩＰパケットへの変換については、暗号分入力ポート１１１から入力されたデータ列から、暗号文入力部１１２が検索データ、および、暗号文パケットに含まれる順序番号値を抽出して、これを復号情報管理部１１３へ出力する。復号情報管理部１１３は対応する復号情報を出力する。
【００８０】
また、入力された順序番号値を順に記録する。復号情報管理部１１３は履歴レジスタ（図示せず）に最近の順序番号の到着状況を検索データの別毎に記録しており、これと先頭に記録されている順序番号値とを比較して、パケットの到着順序が正当であるかを調べ、その結果を逆変換部１１７へ出力する（図１の１２３）。
【００８１】
復号情報を受け取った復号検査部１１５は、第２の入力バッファ１１４に蓄積されているデータ列の指定された処理対象範囲に対して指定された方法の認証値の確認処理を行い、また、第２の入力バッファ１１４に蓄積されているデータ列の指定された処理対象範囲に対して指定された方法の復号処理を行う。復号検査部１１５が復号処理および認証値を計算する対象は、入力されるデータ列の一部であり、その処理対象範囲外のデータ列には何も処理を行わずに出力データ列へ中継する。たとえば、レイヤ２ヘッダ情報には何も作用しない。
【００８２】
復号処理結果のデータ列は第２の出力バッファ１１６に出力され、ここで、認証値確認結果が出力されるまで一時的に記録される。認証値確認結果はパケットの最後のデータが入力されて後、認証値計算の遅延時間をもって出力される（図１の１２３）。
【００８３】
認証値確認結果を受け取った逆変換部１１７は、認証値確認結果が正常であり、かつ、順序番号値が正当であれば、第２の出力バッファ１１６のデータを読み取り、復号情報内の平文パケットへの変換形式の指定の通り変換しつつ、論理的な平文出力ポート１１８へ出力する。このとき、変換する場合に生じるデータ量の減少に応じて、レイヤ２ヘッダ内もしくは他のフィールド内にデータ長に関わる情報がもしあれば更新する。認証値確認結果が異常である場合、順序番号値が異常である場合には、第２の出力バッファ１１６のデータ列を破棄する。
【００８４】
復号情報管理部１１３は、認証値確認処理の結果が出力されたときに、記録された順序番号の先頭値を捨てて次の順序番号の処理に移る。また、認証値が正常である確認がとれたときには、同時に先頭に記録された順序番号について順序番号の到着状況を記録する履歴レジスタへ反映する。
【００８５】
以上の動作により、本実施例の暗号パケット処理装置は、平文パケットから暗号文パケット、および、暗号文パケットから平文パケットへの相互の変換をパイプライン処理として実現することが可能となり、また、平文、暗号文共に、その処理内容および出力結果を意識することなく入力する事ができ、多数のパケットを連続して入力することもできる。
【００８６】
さらに、平文パケットから暗号文パケットを変換する際のデータ増によってパイプライン処理がブレークすることを効果的に防止すると同時に、パイプライン全域に渡るフロー制御機構を不要として、全体の処理を簡略にすることができる。
【００８７】
さらに、実際のデータ長を検査するためにデータ列すべてをカウントする必要がある場合などに対処し、変換処理の結果で異常を生じたか否かを通知する変換結果データをデータ列の最後に加えて、平文パケットから暗号文パケットを変換する際の異常を後段に通知することによって、後段の処理を開始する前に、一旦１パケット分のデータ列すべてを第１の入力バッファに蓄積する事を不要にして、バッファ量を削減でき、処理遅延時間を短縮できる。
【００８８】
さらに、本実施例では、入出力するパケットはレイヤ２フレームでカプセル化されたものであり、このフレーム構造の一部を中継し、また一部を更新することにより、レイヤ２フレームの再構築を別途行う必要がない。
【００８９】
さらに、本実施例では、暗号文パケットへの変換形式を最初に知ることによって、変換部の処理を早めに実行してパイプラインの遅延ならびに第１の入力バッファの容量を低く抑える事ができ、また、平文入力部のフロー制御の起動を早く実行することができる。
【００９０】
さらに、本実施例では、暗号文パケットに含まれる順序番号を、やはりパイプライン動作で処理する事が可能である。
【００９１】
以上に示した本実施例では、上記の各部各々が通信回線上のデータフローの速度を処理する能力を備えれば、本暗号パケット処理装置全体も通信回線上のデータフローをそのまま入出力・処理することが達成可能である事が示される。たとえば、１００Ｍｂｐｓ全２重のイーサネット（登録商標）（１００ｂａｓｅ−Ｔ）を処理するのに、上記の各部何れも、高々１００Ｍｂｐｓのデータ列の処理能力、および、それに応じたパケット処理能力（毎秒あたりのパケット数で数えられる）を備えていればよい。
【００９２】
（実施の形態２）
図４は、本発明の第２の実施の形態の構成図である。
【００９３】
本発明の第２の実施の形態は、本質的には第１の実施の形態と類似であるので、特に本実施例で異なる部分について重点的に説明する。
【００９４】
平文入力ポート４０１、平文入力部４０２、第１の入力バッファ４０４は第１の実施の形態と同じ動作を行い、平文ＩＰパケットを構成するデータ列が入力され、入力されたデータ列から検索データを抽出し、これを暗号情報管理部４０３へ出力する。また、平文入力部４０２は入力されたデータ列を第１の入力バッファ４０４に逐次記録する。
【００９５】
暗号情報管理部４０３は、入力された検索データと暗号情報との対応関係を調べてこれを一旦記憶する。暗号情報管理部４０３は、一旦記憶された対応関係で指定される暗号情報を変換部４０５と暗号化部４０６と認証値計算部４１０へ出力する。
【００９６】
変換部４０５は、暗号情報内の暗号文パケットへの変換形式を指定する情報を受け取り、平文ＩＰパケットのデータ列を指定された形式のデータ列に変換する。変換時の増加分のデータ量は変換部４０５で計算され、これは平文入力部４０２へフィードバックする。この制御フローは図４に図示（４２１）している。
【００９７】
変換部４０５は変換後のデータ列に、データ列中の各データに対し個別に形式情報を付加し、変換後のデータ列と形式情報の組を暗号化部４０６へ逐次出力する。
【００９８】
暗号化部４０６は、暗号情報管理部４０３が出力した暗号情報を受け取り、入力されるデータ列に対して、形式情報が暗号化を指定するデータについては暗号情報が指定する方法で暗号化を行い、そうでないデータは無変換として生成するデータ列を、形式情報と合わせて逐次出力する暗号化処理を行い、
暗号化部４０６の出力データ列は、第１の出力バッファ４０７で、一時的に記録される。
【００９９】
認証値計算部４１０は、暗号情報管理部４０３が出力した暗号情報を受け取り、暗号化部４０６の出力データ列に対して、形式情報が認証値計算を指定するデータについては暗号情報が指定する方法で認証値計算を行う。
【０１００】
第１の出力バッファ４０７には、１平文パケット分の暗号化処理結果のデータ列最大長を記憶する容量に加え、認証値計算の結果出力が発生するまでの遅延期間に受け取り得るデータ列を記録する容量、および、各データに対する形式情報を記録する容量が必要である。
【０１０１】
暗号出力部４０８は認証値計算部４１０から認証値計算結果を受け取る。制御フローは図４に図示（４２２）する。
【０１０２】
また、暗号出力部４０８は第１の出力バッファ４０７のデータ列と形式情報を逐次読み取り、データ列の形式情報が指定する位置に認証値計算結果を嵌め合わせて暗号文ＩＰパケットを構築しつつ、論理的な暗号文出力ポート４０９へ出力する。
【０１０３】
暗号文入力ポート４１１、暗号文入力部４１２、第２の入力バッファ４１４は第１の実施の形態と同じ動作を行う。
【０１０４】
暗号文入力ポート４１１は、暗号文ＩＰパケットを構成するデータ列が入力される。暗号文入力部４１２は、入力されたデータ列から検索データを抽出し、また、暗号文パケットに含まれる順序番号値を抽出して、これらを復号情報管理部４１３へ出力する。また、暗号文入力部４１２は入力されたデータ列を第２の入力バッファ４１４へ出力する。
【０１０５】
第２の入力バッファ４１４は、入力されたデータ列を記録する。
【０１０６】
復号情報管理部４１３は、検索データの別毎に復号情報を記録している。復号情報管理部４１３は、入力された検索データと復号情報の対応関係を一旦記憶する。復号情報管理部４１３は、記憶されている対応関係で指定される復号情報を形式情報付加部４１９と復号検査部４１５へ出力する。
【０１０７】
また復号情報管理部４１３は、入力された順序番号を順次記録し、順序番号の並び違反を逆変換部４１７へ通知する。この制御フローは図４に図示（４２３）する。
【０１０８】
形式情報付加部４１９は、復号情報を受け取り、第２の入力バッファ４１４に記憶されたデータ列を読み出して、復号情報を元に、データ列に形式情報を付加して出力する。
【０１０９】
復号検査部４１５は、入力されるデータ列の形式情報が復号化を指定するデータについて復号情報で指定された方法で復号化した結果で置き換え、そうでないデータは無変換として生成するデータ列と形式情報を合わせて逐次出力する復号化処理を行う。また、入力されるデータ列の形式情報が認証値確認を指定するデータについて、認証値確認処理を行う。
【０１１０】
復号化処理後のデータ列及び形式情報は、認証値確認の進行とは無関係に第２の出力バッファ４１６へ出力し、ここで、一時的に記録される。
【０１１１】
第２の出力バッファ４１６には、１暗号文パケット分の復号化処理結果のデータ列すべてを記憶する容量に加え、認証値確認の結果出力が発生するまでの遅延時間内に入力されうるデータ列を記憶できる容量と、各データ個別の形式情報を記憶する容量が必要である。
【０１１２】
また、復号検査部４１５は認証値確認処理の結果を逆変換部４１７と復号情報管理部４１３に出力する。この制御フローは図４に図示する（４２３）。
【０１１３】
逆変換部４１７は、第２の出力バッファ４１６に蓄積されたデータ列を、各データに付加された形式情報を元に平文パケットの形式に変換して論理的な平文出力ポート４１８へ出力する。
【０１１４】
図５は、本実施例における形式情報の１例を暗号文パケットと共に示す。暗号文パケットを構成する各データに対する形式情報の値が１から８の数値で指定されており、このうち１は暗号・復号・認証の処理対象範囲ではなく、２から８は認証値計算・確認の対象であり、７から８は暗号・復号の処理対象である。また４は、認証値が格納されるフィールドであることを示し、認証値計算の際にはこのフィールドには規定値が格納されており、認証値確認の際には比較すべき認証値が格納されているものとする。
【０１１５】
以上のように構成された、本実施例の暗号パケット処理装置の動作を以下に説明する。
【０１１６】
まず平文ＩＰパケットから暗号文ＩＰパケットへの変換については、平文入力ポート４０１から入力されたデータ列から、平文入力部４０２が検索データを抽出し、これを暗号情報管理部４０３へ出力する。暗号情報管理部４０３は対応する暗号情報を出力する。暗号情報は図２に示す様に構成され、変換形式を指定する情報が最初に出力される。
【０１１７】
暗号情報を受け取った変換部４０５は、第１の入力バッファ４０４に蓄積されているデータ列を暗号文パケットの形式に変換しつつ、暗号化部４０６へ出力する。この際、出力データ列内の個々のデータに形式情報を付加する。さらに、平文１パケット分の変換並びに出力が行われたあと、変換処理の過程で異常を生じたか否かを通知する変換結果データを暗号化部４０６へ出力する。
【０１１８】
暗号化部４０６は入力されるデータ列の形式情報が暗号化を指定するデータには暗号情報で指定された方法による暗号化を行い、そうでないデータには無変換として、データ列を出力する。この際、各データに付加された形式情報も共に出力する。
【０１１９】
認証値計算部４１０は、暗号処理結果のデータ列中、形式情報が認証値計算を指定するデータには暗号情報で指定された方法による認証値を計算する。
【０１２０】
暗号処理結果のデータ列は第１の出力バッファ４０７に出力され、ここで、認証値計算結果が出力されるまで一時的に記録される。認証値の計算結果はＩＰパケットの最後のデータが入力されて後、認証値計算の遅延時間をもって出力される（図４の４２２）。
【０１２１】
認証値計算結果を受け取った暗号出力部４０８は、変換結果データに異常がなければ、第１の出力バッファ４０７のデータと形式情報を読み取り、形式情報が指定する位置に認証値計算結果を嵌め合わせて、暗号文ＩＰパケットを構築しつつ、論理的な暗号文出力ポート４０９へ出力する。
【０１２２】
次に暗号文ＩＰパケットから平文ＩＰパケットへの変換については、暗号文入力ポート４１１から入力されたデータ列から、暗号文入力部４１２が検索データ、および、暗号文パケットに含まれる順序番号値を抽出して、これを復号情報管理部４１３へ出力する。復号情報管理部４１３は対応する復号情報を出力する。
【０１２３】
また、入力された順序番号値を順に記録する。復号情報管理部４１３は履歴レジスタ（図示せず）に最近の順序番号の到着状況を検索データの別毎に記録しており、これと先頭に記録されている順序番号値とを比較して、パケットの到着順序が正当であるかを調べ、その結果を逆変換部４１７へ出力する（図４の４２３）。
【０１２４】
復号情報を受け取った形式情報付加部４１９は、第２の入力バッファ４１４に記憶されたデータ列を読み出して、復号情報を元に、データ列に形式情報を付加して出力する。
【０１２５】
入力されるデータ列の形式情報が暗号化を指定するデータには暗号情報で指定された方法による暗号化を行い、そうでないデータには無変換として、データ列を出力する。この際、各データに付加された形式情報も共に出力する。
【０１２６】
復号検査部４１５は、入力されるデータ列の形式情報が認証値確認を指定するデータに対して、復号情報で指定された方法の認証値の確認処理を行い、また、入力されるデータ列の形式情報が復号処理を指定するデータに対して、指定された方法で復号化を行い、そうでないデータは無変換とするデータ列を生成して形式情報と共に出力する復号処理を行う。
【０１２７】
復号処理結果のデータ列と形式情報は第２の出力バッファ４１６に出力され、ここで、認証値確認結果が出力されるまで一時的に記録される。認証値確認結果はパケットの最後のデータが入力されて後、認証値計算の遅延時間をもって出力される（図４の４２３）。
【０１２８】
認証値確認結果を受け取った逆変換部４１７は、認証値確認結果が正常であり、かつ、順序番号値が正当であれば、第２の出力バッファ４１６のデータと形式情報を読み取り、形式情報を元に平文パケットの形式にデータ列を変換しつつ、論理的な平文出力ポート４１８へ出力する。このとき、変換する場合に生じるデータ量の減少に応じて、レイヤ２ヘッダ内もしくは他のフィールドにデータ長に関わる情報がもしあれば更新する。認証値確認結果が異常である場合、順序番号値が異常である場合には、第２の出力バッファ４１６のデータ列を破棄する。
【０１２９】
復号情報管理部４１３は、認証値確認処理の結果が出力されたときに、記録された順序番号の先頭値を捨てて次の順序番号の処理に移る。また、認証値が正常である確認がとれたときには、同時に先頭に記録された順序番号について順序番号の到着状況を記録する履歴レジスタへ反映する。
【０１３０】
以上の動作により、本実施例の暗号パケット処理装置は、暗号文パケットの形式に関わる情報を変換部４０５、および、形式情報付加部４１９から、データ列内の各データ毎に付加して後段に送ることによって、以降の機能部における処理では、暗号情報もしくは復号情報内の変換形式の情報と暗号処理・復号処理の処理対象範囲、および認証値計算・確認の処理対象範囲の情報を元に、データ列を個別に解釈する必要がなく、各処理部の処理をより簡易にすることができる。この結果として、暗号出力部４０８には暗号情報の、逆変換部４１７には復号情報の入力が不要となる。
【０１３１】
（実施の形態３）
図６は、本発明の第３の実施の形態の構成図である。
【０１３２】
ここで、暗号パケット処理部６０１は第１の実施例で記載した構成をすべて含み、その平文入力ポート６０２と平文出力ポート６０３と暗号文入力ポート６０５と暗号文出力ポート６０６はバスインタフェース６０７へ接続されている。バスインタフェース６０７はバス６０８に接続され、バス６０８はメモリデバイス６１０にも接続されている。バス６０８には他のデバイスや機能部が接続されうる。また、メモリ管理部６０９は、暗号パケット処理部６０１とポート６１１、６１２によって接続され、また、バスインタフェース６０７と接続されている。
【０１３３】
暗号パケット処理部６０１は図１に示す構成を備えており、その中の変換部（図１−１０５）は、暗号文パケットの形式への変換に伴い増加したデータ総量を計算する手段をさらに備え、これをポート６１１を介して外部へ通知する。また、暗号パケット処理部６０１内の逆変換部（図１−１１７）は、平文パケットの形式への変換に伴い減少したデータ総量を計算する手段をさらに備え、これをポート６１２を介して外部に通知する。ポート６１１およびポート６１２からの各々のデータ総量は、メモリ管理部６０９へ通知される。
【０１３４】
以上のように構成された本実施例の暗号パケット処理装置の動作を以下に説明する。
【０１３５】
平文パケットから暗号文パケットへの変換を行う場合においては、平文パケットのデータはメモリデバイス６１０内に格納され、バスインタフェース６０７はバス６０８を介してメモリデバイス６１０内の平文パケットのデータを順に読み取り、平文入力ポート６０２へデータ列として入力する。暗号パケット処理部６０１は、本発明の第１の実施の形態で説明した動作を行い、それに加えて、変換部（図１−１０５）は、暗号文パケットの形式への変換に伴い増加したデータ総量を計算し、ポート６１１から出力する。ポート６１１から出力されたデータ総量は、メモリ管理部６０９へ通知され、メモリ管理部６０９は、それに応じた容量の領域をメモリデバイス６１０の未使用部分から確保する。
【０１３６】
さらにメモリ管理部６０９は、暗号文パケットのこの領域への記録をバスインタフェース６０７に指示する。バスインタフェース６０７は、暗号文出力ポート６０６より出力される暗号文パケットのデータ列を指示された領域に記録する。
【０１３７】
バスインタフェース６０７は、メモリ管理部６０９からの記録の指示を受け取るまで、暗号文出力ポート６０６より出力される暗号文パケットのデータ列を一時的に記録するバッファ手段を備えてもよい。
【０１３８】
暗号文パケットから平文パケットへの変換を行う場合においては、暗号文パケットのデータはメモリデバイス６１０内に格納され、バスインタフェース６０７はバス６０８を介してメモリデバイス６１０内の暗号文パケットのデータを順に読み取り、暗号文入力ポート６０５へデータ列として入力する。暗号パケット処理部６０１は、本発明の第１の実施の形態で説明した動作を行い、それに加えて、逆変換部（図１−１１７）は、平文パケットの形式への変換に伴い減少したデータ総量を計算し、ポート６１２から出力する。ポート６１２から出力されたデータ総量は、メモリ管理部６０９へ通知され、メモリ管理部６０９は、それに応じた容量の領域をメモリデバイス６１０の未使用部分から確保する。
【０１３９】
さらにメモリ管理部６０９は、平文パケットの確保した領域への記録をバスインタフェース６０７に指示する。バスインタフェース６０７は、平文出力ポート６０３より出力される平文パケットのデータ列を指示された領域に記録する。
【０１４０】
バスインタフェース６０７は、メモリ管理部６０９からの記録の指示を受け取るまで、平文出力ポート６０３より出力される平文パケットのデータ列を一時的に記録するバッファ手段を備えてもよい。
【０１４１】
また、バスインタフェース６０７は、平文パケットから暗号文パケットへの変換の要求、および暗号文パケットから平文パケットへの変換の要求を複数受け付ける動作を行うことによって、複数のパケットのデータ列を連続して、メモリデバイス６１０から読み取って、暗号パケット処理部６０１に入力させることが可能である。
【０１４２】
以上の動作により、本実施例の暗号パケット処理装置は、変換後におけるパケットの大きさを予測することなく、また、実際に必要な時に変換後のパケットを記録する領域を確保すればよいので、効率的にメモリデバイスの容量を使用することができる。また、同時に、本実施例は、本発明の第１の実施例での特徴をそのまま引き継ぐことは明らかである。また、本実施例においては、本暗号パケット処理装置は、常にループバックする通信インタフェースと解釈できそのような取り扱いが可能である特徴を有する。
【０１４３】
なお、本実施例においては変換元となるパケットはメモリデバイス６１０上に配置されたが、これは、他のデバイス、たとえば通信デバイス上の受信データであっても、また、バスインタフェース６０７が受動的にデータ列を入力されるものであっても、本実施例の特徴が損なわれるものではない。
【０１４４】
（実施の形態４）
図７は、本発明の第４の実施の形態の構成図である。
【０１４５】
ここで、暗号パケット処理部７０１は第１の実施例で記載した構成をすべて含み、その平文入力ポート７０２と平文出力ポート７０３は第１の通信機能部７０４へ接続され、その暗号文入力ポート７０５と暗号文出力ポート７０６は第２の通信機能部７０７へ接続されている。第１の通信機能部７０４、第２の通信機能部７０７は各々、イーサネット（登録商標）通信回線７０８、７０９に接続され、レイヤ２機能を終端する。
【０１４６】
以上の様に構成された本実施例の暗号パケット処理装置の動作を以下に説明する。
【０１４７】
第１の通信機能部７０４は、イーサネット（登録商標）通信回線７０８から受信した平文パケットのデータ列を平文入力ポート７０２へ出力し、暗号パケット処理部７０１は、本発明の第１の実施の形態で説明した動作を行い、暗号文パケットを構成するデータ列を暗号文出力ポート７０６へ出力する。平文入力ポート７０２には、次回の平文パケットの入力を遅延させるフロー制御が付随しており、これによって、第１の通信機能部７０４は次回の平文パケットの出力を遅延する場合がある。
【０１４８】
第２の通信機能部７０７は、暗号文出力ポート７０６からの暗号文パケットデータをイーサネット（登録商標）通信回線７０９へ出力する。また、第２の通信機能部７０７は、イーサネット（登録商標）通信回線７０９から受信した暗号文パケットのデータ列を暗号文入力ポート７０５へ出力し、暗号パケット処理部７０１は、本発明の第１の実施の形態で説明した動作を行い、平文パケットを構成するデータ列を平文出力ポート７０３へ出力する。第１の通信機能部７０４は、平文出力ポート７０３からの平文パケットデータをイーサネット（登録商標）通信回線７０８へ出力する。
【０１４９】
以上の動作により、本実施例の暗号パケット処理装置は、平文パケットから暗号文パケット、および、暗号文パケットから平文パケットへの相互の変換をプロセッサによるソフトウェア処理を介さずにパイプライン処理として行う、ブリッジ装置、もしくは、ルータ装置として働くことが理解される。
【０１５０】
なお、上記第１並びに第２の実施例では、暗号方式と認証方式については記述しなかったが、これは、ＩＰｓｅｃプロトコルで実装が義務付けられている、ＤＥＳや３ＤＥＳ、ＨＭＡＣ−ＳＨＡ１−９６、ＨＭＡＣ−ＭＤ５−９６であっても、それ以外の方式であってもかまわず、特定はされない。
【０１５１】
また、上記第１並びに第２の実施例では、暗号文パケットへの順序番号の設定方法は記載しなかったが、設定する順序番号は暗号情報管理部において管理され、暗号情報の一部として配布される形態でも、他の方法によってもかまわない。
【０１５２】
【発明の効果】
請求項１の発明によって、本実施例の暗号パケット処理装置は、平文パケットから暗号文パケット、および、暗号文パケットから平文パケットへの相互の変換の処理のすべてをパイプライン処理として実現することが可能であり、各機能要素の格段の性能向上を必要とせずに実現される。
【０１５３】
請求項２の発明によって、本実施例の暗号パケット処理装置は、平文パケットから暗号文パケット、および、暗号文パケットから平文パケットへの相互の変換の処理のすべてをパイプライン処理として実現することが可能であり、各機能要素の格段の性能向上を必要とせず、また、各機能要素が個別にパケットデータを解釈する事も必要とせずに実現される。
【０１５４】
請求項３の発明によって、暗号情報あるいは復号情報を出力する期間においても次の平文パケットあるいは暗号文パケットについての検索データを受け取りかつ対応関係を調査することが可能になり、これにより、次のパケットを連続して入力することができる。
【０１５５】
請求項４の発明によって、変換形式を指定する情報から出力することによって、変換部の処理を早めに実行してパイプラインの遅延ならびに第１の入力バッファの容量を低く抑える事ができ、また、平文入力部のフロー制御の起動を早く実行することができる。
【０１５６】
請求項５の発明によって、１パケット分のデータ列すべてを第１の入力バッファに蓄積する事を不要にして、バッファ量を削減でき、処理遅延時間を短縮できる。
【０１５７】
請求項６の発明によって、暗号文パケットに含まれる順序番号に関わる処理を、同時に処理する事が可能となる。
【０１５８】
請求項７の発明によって、レイヤ２フレームの再構築を別途行う必要をなくす効果が得られる。
【０１５９】
請求項８の発明によって、平文パケットから暗号文パケットを変換する際のデータ増によってパイプライン処理がブレークしたり、第１の入力バッファがオーバーフローすることを効果的に防止すると同時に、パイプライン全域に渡るフロー制御機構を不要として、全体の処理を簡易にすることができる。
【０１６０】
請求項９の発明によって、メモリデバイスに蓄積された平文パケットおよび暗号文パケットの処理を可能とすると同時に、メモリデバイスの容量の効率的使用を実現することを可能とする。
【０１６１】
請求項１０の発明によって、平文パケットから暗号文パケット、および、暗号文パケットから平文パケットへの相互の変換をプロセッサによるソフトウェア処理を介さずにパイプライン処理として行う、ブリッジ装置、もしくは、ルータ装置の提供が可能となる。
【図面の簡単な説明】
【図１】本発明の第１の実施例における暗号パケット処理装置の実施形態の構成図
【図２】暗号情報と復号情報の構成例を示す図
【図３】平文ならびに暗号文パケットの形式の例を示す図
【図４】本発明の第２の実施例における暗号パケット処理装置の実施形態の構成図
【図５】形式情報の例を示す図
【図６】本発明の第３の実施例における暗号パケット処理装置の実施形態の構成図
【図７】本発明の第４の実施例における暗号パケット処理装置の実施形態の構成図
【図８】従来例における暗号パケット処理装置の構成図
【符号の説明】
１０１  平文入力ポート
１０２  平文入力部
１０３  暗号情報管理部
１０４  第１入力バッファ
１０５  変換部
１０６  暗号化部
１０７  第２出力バッファ
１０８  暗号出力部
１０９  暗号文出力ポート
１１０  認証値計算部
１１１  暗号文入力ポート
１１２  暗号文入力部
１１３  復号情報管理部
１１４  第２入力バッファ
１１５  復号検査部
１１６  第２出力バッファ
１１７  逆変換部
１１８  平文出力ポート
１２１  データ増分量の通知の制御フロー
１２２  認証値計算結果のデータフロー
１２３  認証値確認結果通知と順序番号並び違反通知の制御フロー
８０１  プロセッサ
８０２  ワークメモリ
８０３  通信インタフェース
８０４  暗号モジュール
８０５  バス
【図１】
2004180234.tif 000003
【図２】
2004180234.tif 000004
【図３】
2004180234.tif 000005
【図４】
2004180234.tif 000006
【図５】
2004180234.tif 000007
【図６】
2004180234.tif 000008
【図７】
2004180234.tif 000009
【図８】
2004180234.tif 000010