JPH06500900A

JPH06500900A - デジタルセルラ通信用認証システム

Info

Publication number: JPH06500900A
Application number: JP3514449A
Authority: JP
Inventors: デント，ポール，ウィルキンソン
Original assignee: Ericsson Inc
Current assignee: Ericsson Inc
Priority date: 1990-07-23
Filing date: 1991-07-18
Publication date: 1994-01-27
Anticipated expiration: 2012-09-24
Also published as: CA2087722C; MY107200A; CA2087722A1; GB2261579B; GB2261579A; NZ238653A; MX9100139A; HK30295A; CN1059058A; KR960007808B1; CN1030809C; GB9226468D0; US5091942A; JP2656153B2; AU645228B2; WO1992002087A1; AU8442991A

Abstract

(57)【要約】本公報は電子出願前の出願データであるため要約のデータは記録されません。

Description

【発明の詳細な説明】デジタルセルラ通信用認証システム関連出願に対する参照本出願は、［デジタルセルラ通信用暗号化システム」と題された係属中の米国特許出願連番環５５６，３５８号、「セルラ通信システム用連続暗号同期」と題された係属中の米国特許出願第５５６，１０２号、及び［ハンドオフ時における暗号化システムの再同期」と題された係属中の米国特許出願第５５６．１０３号に関連する主題を含んでおり、これらの各々は１９９０年７月２０に出願され、本発明の譲受人に譲渡されたものである。このような出願及びその中の開示を、以下参照のためにここに組み入れることにする。発明の背景発明の分野本発明はデジタルセルラ通信システムに関し、更に特定すれば、このようなシステムにおいてデータ通信の機密性を強化するための方法及び装置に関するものである。従来技術の歴史セルラ無線通信は、恐らく、全世界の遠隔通信工業において最も急成長している分野である。セルラ無線通信システムは、現在稼働中の遠隔通信システムの小さな断片のみを含むものであるが、この断片は着実に増加し、そう遠くない将来において遠隔通信市場全体の大部分を代表するようになるだろうと、広く信じられている。この確信は、ネットワーク内の加入者と接続するために、主に配線技術に頼っている従来の電話通信ネットワークに固有な限界に、基づくものである。標準的家庭用または事務所用電話は、例えば、壁の引き出し口即ち電話ジャックにある最大長の電話線を介して接続されている。同様に、電線が電話の引き出し口を、電話会社の区間内スイッチング事務所に接続している。したがって、電話ユーザの行動範囲は、電話線の長さだけでなく、動作可能な電話引き出し口、即ち区間内スイッチング事務所と接続された引き出し口の使用可能性によって、制限されることになる。実際、セルラ無線システムの発生は、これらの制限を克服し、電話ユーザに彼の効果的に他の人と通信する可能性を犠牲にすることなく、動き回ったり、または彼の家庭または事務所から移動する自由を与えるという希望に依るところが大きいのかもしれない。典型的なセルラ通信システムでは、ユーザ、またはユーザの車両が、比較的小さな無線装置を携帯し、これが基地局と通信し、そしてシステム内の他の移動局及び公衆切り換え式電話ネットワーク（ＰＳＴＮ）内の陸線側とユーザを接続する。既存のセルラ無線通信システムの重大な不利は、アナログ無線伝送が傍受され得る容易性である。特に、移動局と基地局との間の通信のい（らか或いは全ては、認証なしで、単に通信の単一または複数の周波数に適切な電子式受信機を同調させることによって、モニタすることができるのである。したがって、このような受信機へのアクセス及び盗聴に興味を存する者はだれでも、意思があれば、そして全く咎めなく、事実上通信のプライバシーを侵害することができてしまう。電子的盗聴を違法とする努力がなされて来たが、このような行動の秘匿性は、盗聴の全てではなくとも殆どが発見されずに済んでしまい、したがって罰せられることも、引止められる二ともないことを意味する。ある競合者即ち敵か、ある人の表面上は個人的な電話での会話に「同調させる」ことを決心する可能性は、これまてセルラ無線通信システムの急増を妨げ、チェックされないままであり、このようなシステムの実業界及び政府での用途の育成力を脅かし続けるであろう。最近、未来のセルラ無線遠隔通信システムが、アナログ技術よりむしろデジタルを用いて実施されるであろうことが明確になってきた。デジタルへの切り換えは、主として、システムの速度及び容量に関連する考慮によって、命じられたものである。単一のアナログ、または音声の無線周波数（ＲＦ）チャンネルは、４ないし６の、デジタルまたはデータの、ＲＦチャンネルを収容することができる。したがって、音声チャンネルを介して伝送する前に対話をデジタル化することによって、チャンネル容量、そして結果的にシステム全体の容量は、音声チャンネルの帯域を増加させることなく、劇的に増加され得るのである。当然の結果として、システムは、大幅に低いコストで、かなりのより大きな数の移動局を扱うことができる。アナログからデジタルセルラ無線システムへの切り換えは、基地局と移動局との間の通信の機密性が欠如する可能性をいくらか改善するが、電子的盗聴の危険性は、根絶からはかけ離れている。デジタル信号をデコードし、元の対話を発生できるデジタル受信機を構成することができるからである。アナログ伝送の場合より、ハードウェアはより複雑となり、手間はより高価となるだろうが、デジタルセルラ無線システムにおいて非常に個人的なまたは高度な慎重さを要する会話が第三者によって傍受され、もしかすると用いられてシステムのユーザに損害を与え得る可能性が存続する。更に、電話の会話を第三者が盗聴する実際の可能性が、セルラ遠隔通信を特定の政府の通信手段としては、排除してしまうことになる。特定のビジネスユーザも同様に、機密性が欠如する可能性にさえも敏感であるかもしれない。したがって、セルラシステムを従来の電線ネットワークに実行可能な代替物とするためには、通信の機密性が少なくともいくつかの回路上で得られなければならない。種々の解決法が、極秘データの無線伝送によって生じる機密性の問題を軽減するために、提案されてきた。ある公知の解決法は、いくつかの既存の通信システムによって実施され、暗号アルゴリズム（ｃｒｙｐｔｏａｌｇｏｒｉ　ｔｈｍ）を用いて、伝送に先立ってデジタルデータを理解不能な形状にスクランブルするものである。例えば、１９９０年６月付のりックグレハン（Ｒｉｃｋ　Ｇｒｅｈａｎ）ｉニーよる雑誌バイト内の「クローク及びデータ」という題の論文の３１１−３２４ページは、暗号法システムの一般的な議論に関するものである。現在入手可能なシステムの殆どにおいて、スピーチは暗号化装置によってデジタル化されかつ処理されて、それが許可された受信機において暗号解読されるまで、事実上ランダム或いは疑似ランダムとなって現われる通信信号を生成する。暗号化装置によって用いられる特定のアルゴリズムは、独占的なアルゴリズムであることも、パブリックドメインにおいて見出されるアルゴリズムであることもある。このような技術に対するその他の背景が、１９７９年８月付のサイエンティグ４−／クアメリカ（ＳｃｉｅｎｔｉｆｉｃＡｍｅｒｉｃａ）の１４６−１６７ページの、マーティン　Ｅ、ヘルマン（Ｍａｒｔｉｎ　Ｅ。Ｈｅ　Ｉ　１ｍａｎｎ）の「公開キーを用いる暗号法の数学」と題された論文にも、見出すことができる。データの暗号化のための１つの技術は、暗号化されるデータと組み合わされる疑似ランダムビットのキーストリームを生成するための、「タイムーオブーデイ」またはｒフレーム番号」て駆動されるキーストリーム発生器に、頼ったものである。このようなキーストリーム発生器を、タイムオフディカウンタ、即ち時間、分及び秒、または単純な数カウンタに同期することができ、そして一方が他方との同期から外れた場合、送信機カウンタの現在のカウントを送信することによって、暗号化及び暗号解読装置を同期させることができる。　タイムーオブーデイまたはフレーム番号で駆動されるキーストリーム発生器を利用したシステムにおいて、通信の機密性を増加させるために、疑似ランダムキーストリーム内の各ビットの値を、暗号化キー内の全てのキービットの値の関数とすることが好ましい。このようにすると、暗号化された信号をデスクランブルしようとする人は、約５０から１００ビット或いはそれ以上かもしれない暗号化キーのビットの全てを「分解Ｊ即ち「解読」しなくてはならない。このタイプのキーストリームは、通常タイムオフディカウンタのカウントを組み込んだ、選択されたアルゴリズムに応じて、数学的に暗号化キーワードを拡張することによって、生成される。しかしながら、暗号化キーの各ビットがキーストリーム内の各ビットに影響を及ぼし、かつキーストリームが１つずつデータストリームビットに加えらえるのであれば、１秒当たり必要なキーワード拡張計算の数は、膨大であり、システムのリアルタイム計算能力を容易に超過し得るものである。先に引用した、「デジタルセルラ通信用暗号化システムＪと題された係属中の出願は、このようなキーストリームの拡張を、従来のマイクロプロセッサを用いてしかも従来のマイクロプロセッサの速度で、達成した。暗号化キーを用いて、全てのキーピットの複雑な関数である疑似ランダムキーストリームを発生するのは、デジタル通信の機密保持には非常に存用な手段である。他の手段には、各移動局に割り当てられた秘密のキー（永久キー）が、ホームネットワーク、即ち当該移動局の通常のサービス及び料金支払い領域の外側では、決して直接用いられないことを保証するための構成を含むこともできる。代わりに、特定の通話を暗号化するのに用いられたり、ホームネットワークから訪問先ネットワーク、即ち移動局が動き回ったことがある通常の料金支払い領域以外の領域に、送信され得る他のビット（機密ビット）を発生するのに、上記永久キーを用が用いられる。このような構成は、永久的な秘密キーが第三者に無許可で開示されてしまい、そのキーを暗号化プロセスを見破るために用いる危険性を減少するものである。デジタルセルラシステム内の通信の機密を保つための更に別の手段は、登録時における移動局、通話の開始、または通話の受信の認証である。認証は、単に移動局の識別を確認するプロセスとして、見做されるかもしれない。認証と暗号化の双方は、訪問先ネットワークとホームネットワークとの間の通信を必要とし、ここで移動局は、暗号化に用いられる機密キーのような移動特定情報を得るために、永久的な登録を育している。本発明によれば、認証及び暗号化の機能を連係し、単一のネットワーク間やり取りが両方の機能を確立するようにしている。後に詳細に記載するように、本発明は、同一やり取りにおいて、ランダムな挑戦（ＲＡＮＤ）に対するキー依存応答（ＲＥＳＰ）だけでなく、ユーザトラフィックを暗号化するのに用いられる機密キー（Ｓ−キー）も発生することによって、このような統合を達成するものである。現在開発中の米国デジタルセルラ（ＡＤＣ）システムでは、エアーインターフェースのみが、直接指定されている。しかしながら、ＡＤＣシステム内の所望の機密機能、例えば、認証及び暗号化の指定は、間接的にネットワークの機密性のアーキテクチャを決定し得るものである。認証に関しては、認証アルゴリズムがホームネットワークにおいて実行されるべきか、またはその代わりに訪問先ネットワークにおいて実行されるべきかに、アーキテクチャの取捨が係わってくる。ホームネットワークにおいて利用できるアルゴリズムへの可能な入力パラメータが、訪問先ネットワークにおいて利用できるそれらと同一である必要はないので、適切なアルゴリズムの定義のために、２つの取捨の間で選択が必要となる。後に説明するように、本発明は、ホームネットワークにおける認証アルゴリズムの実行に伴う、重要な機密性の恩恵を考慮している。既存のセルラシステムにおける重大な問題は、「不正移動局」症候群とも呼べるものである。これまで、ある移動局のメモリ内容全体をコピーし、その情報を用いてネットワークからサービスを要求及び受信することができる複製物を製造することが可能であった。１つの提案された解決法は、各許可された移動局に、永久キーに対して書き込みのみのアクセスを有する、特定の認証モデュール、またはスマートカードを設けることである。この解決法は、しかしながら、移動局をより複雑かつより高価にしてしまう。本発明は、不正移動局の脅威に対して、より費用有効性が高い防護装置を提供する「ローリングキー」を備えている。加えて、ネットワークにおける「不正基地局」の脅威に応じるために、本発明は、ローリングキーを更新する時に用いられる、両方向性認証手順を備えている。この二方向認証手順は、機密性を高め、そして通話中いつでも、両方向認証をシステムの稼働中のトラフィックチャンネルにて実行できるようにするものである。各認証ステップは、ネットワーク操作者の随意で実行されるが、ある移動局の実在がネットワーク内で最初に検出された後には少なくとも１口実行されて、最初の通話に対してＳ−キーを発生するようにしなければならない。移動局は時として、本発明の一般的システムに応じた認証及び暗号化を支援するのに必要とされるホームネットワークとの通信リンクを欠く、小さな孤立した訪問先ネットワーク内に入り込むことがある。このような訪問先ネットワークは、認証を実行せずに移動局からの通話または登録を受け入れ、そしてトラフィックチャンネル定義内の１ビツトによって、移動局の移動識別番号（ＭＩＮ）がデフォルトＳ−キーとして用いられることを指示する選択を、行なうことができる。本発明のシステムにつき、デジタルセルラシステム全体、及びセルラシステムにおいてトラッフィクデータを暗号化するのに用いられる疑似ランダムキーストリームを発生するためのシステムに関して、以下に記載する。背景及び／または比較の目的で適切または育用な場合、ＥＩＡ／ＴＩＡ　暫定基準、「セルラシステムデュアルモード移動局−基地局の両立性の標準ＪＩＳ−５４，１９９０年５月、電子工業会、ワシントンＤ、Ｃ，，Ｎ。Ｗ、、ペンシルバニア通り２００１．発行２０００６号（以後ｒＩＳ−５４Ｊと呼び、その参照のためにここに載せる）を、参照する。発明の概要一観点において、本発明のシステムは、各移動局には唯一の多数桁秘密永久キーが割り当てられ、そして定期的に変化する多数桁ローリングキーが機密性を高めるために用いられている、デジタルセルラ通信システムにおける通信の機密性を強化するために用いられる複数のパラメータの発生を含んでいる。永久キーとローリングキーの両方は、各移動局と移動のホームネットワークに記憶されている。ある位置で、訪問先ネットワークからのランダム認証問い合せを表わす信号と、特定の移動局を表わす信号とを含む、複数の多数桁入力信号が、特定の移動局の多数桁永久キー及び特定の移動に関連した多数桁ローリングキーと共に、その特定の時刻に用いられる。入力信号の桁が、第１の集合に構成され、入力信号のその集合と永久及びローリングキーの桁から、第１のアルゴリズムにしたがって、第１の出力値が計算される。前記第１の出力値を含む連続的に構成された桁のブロックか、訪問先ネットワークによる認証問い合せに対して返答するために移動局によって用いられる認証応答と移動局に対してそれを認証するために訪問先ネットワークによって用いられる認証信号とを含み、システム内で用いるための、選択されたパラメータに割り当てられる。次に入力信号の桁は第２の集合に構成され、入力信号のその集合と永久及びローリングキー桁から、第２のアルゴリズムにしたがって第２の出力値が計算される。前記第２の出力値を含む連続的に配列された桁のブロックが、システム内で通信データを暗号化するための疑似ランダムビットのキーストリームを計算するために用いられる機密キーと次の特定時刻において特定の移動と関連する新しいローリングキーとを含み、前記システム内で用いるための、選択されたパラメータに割り当てられる。本発明の別の観点では、第１及び第２のアルゴリズムにおいて用いられる、あるランダム数が、参照テーブルから得られ、これも、システム内で通信データを暗号化するための疑似ランダムピットストリームを計算するためのアルゴリズムに用いられる、ランダム数を得るために用いられる。本発明の更に別の観点では、両方向認証及び暗号化キー発生と共に、通信トラフィック暗号化を備えた、デジタルセルラ通信システムを実施するためのシステムが含まれる。図面の簡単な説明次の図面を参照することによって、本発明はよりよく理解され、その多数の目的及び利点は当業者には明白となろう。　第１図は、移動切り換えセンタ、複数の基地局及び複数の移動局を含む、セルラ無線通信システムの図式表現である。　第２図は、本発明のシステムの一実施例にしたがって用いられる移動局の装備の概略ブロック図である。第３図は、本発明のシステムの一実施例にしたがって用いられる基地局の装備の概略ブロック図である。第４図は、従来技術のキーストリーム発生器の概略ブロック図である。第５図は、本発明にしたがって構成された暗号化システムのキーストリーム発生回路の概略ブロック図である。第６図は、第５図に示されたキーストリーム発生器の第２拡張ステージの概略ブロック図である。第７図は、既知の標準による認証アルゴリズムの図式表現である。第８図は、本発明による認証アルゴリズムの図式表現である。第９図は、本発明の認証アルゴリズム及び暗号化技術を用いた移動セルラシステムの図式表現である。第１θ図は、本発明の認証アルゴリズムにおいて用いられた混合過程の概略ブロック図である。及び、第１１図は、第１Ｏ図に示された混合プロセスの構築ブロックまたは混合セルの概略ブロック図である。好適実施例の詳細な説明デジタルセルラシステムまず第１図を参照すると、そこには本発明が全体的に関係するタイプの、従来のセルラ無線通信システムが図示されている。第１１ｆｆｌにおいて、任意の地理的領域が、複数の連続無線適用範囲、即ちセルＣｌ−０１０に分割されたものと、見ることができる。第１図のシステムは１０個のセルのみを含むものとして示されているが、実際にはセル数はそれより遥かに多いことは、明確に理解されよう。セルｃｉ−ｃｉｏの各々に関連し、その中に配置されているのは、複数の基地局Ｂｌ−ＢＩＯの対応する１つとして示された基地局である。基地局Ｂｌ−ＢＩＯの各々は、当該技術においてよく知られているように、送信機、受４ｇ機及び制御器を備えている。第１図では、基地局Ｂｌ−ＢＩＯは、夫々セルＣｌ−Ｃｌ０の中央に配置され、全方向性アンテナを装備されている。しかしながら、セルラ無線システムの別の構成では、基地局Ｂｌ−ＢＩＯは、周辺近くに、またそうでなければ、セルＣｔ−〇ｌＯの中央から離して配置されてもよく、全指向的または単−指向的にセルＣｌ−Ｃｌ０に無線信号を投することかできる。したがって、第１図のセルラ無線システムの表現は、例示のみの目的のためのものであり、セルラ無線システムの可能な実施聾様における制限として意図されたのではない。第１図への参照を続けると、複数の移動局Ｍｌ−ＭＩＯが、セルＣＩ　−Ｃｌ　Ｏの中に見出されよう。再び、１０台の移動局のみが第１図に示されるが、実用では移動局の実際の数はそれよりかなり大きく、基地局の数を常に超過することが、理解されよう。更に、セルｃｉ−ｃ１０のいくつかには、移動局Ｍｌ−ＭＩＯが見出されないが、移動局Ｍｌ−ＭＩＯがセルＣｌ−Ｃｌ０のいずれか特定の１つに存在するかしないかは、１つのセル内のある位置から別の位置、或いは１つのセルから隣接または近くのセルに徘徊する移動局Ｍｌ−ＭＩＯの各々の個々の望みにしたがうものと、理解されよう。　移動局Ｍ１−ＭＩＯの各々は、基地局Ｂｌ−ＢＩＯの１つ以上、及び移動切り換えセンタＭＳＣを介して、電話通話を開始または受信することができる。移動切り換えセンタＭＳＣは、通信リンク、例えばケーブルによって、例示的な基地局Ｂｌ−ＢＩＯの各々及び、図示しない固定公衆切り換え電話ネットワーク（ＰＳＴＮ）　、または統合されたシステムデジタルネットワーク（ＩＳＤＮ）設備を備えた同様の固定ネットワークに接続されている。移動切り換えセンタＭＳＣと基地局Ｂｌ−ＢＩＯとの間、または移動切り換えセンタＭＳＣとＰＳＴＮまたはｌ５ＤＮとの間の関連する接続は、第１図に完全には示されていないが、当業者にはよく知られたものである。同様に、セルラ無線システムには、１つ以上の移動切り換えセンタを備えていること、及び各々の追加した移動切り換えセンタを、異なるグループの基地局及び他の移動切り換えセンタに、ケーブルまたは無線リンクを介して、接続しであることも、公知である。セルＣｌ−Ｃｌ０の各々を、複数の音声即ちスピーチチャンネルと少な（とも１つのアクセスまたは制御チャンネルとに、割り当てる。制御チャンネルは、それらのユニットへ送信された及びから受信された情報によって、移動局の動作を制御または監督するために、用いられる。このような情報は、移動局が１つのセルの無線適用範囲外に、そして別のセルの無線適用範囲内に移動する際の、入来する通話信号、出立する通話信号、ページ信号、ページ応答信号、位置レイストレージョン信号、音声チャンネル割り当て、保守指令、及び「ハンドオ）」指令を含むことができる。制御または音声チャンネルは、アナログまたはデジタルモード、またはそれらの組み合わせのいずれかで、動作することができる。デジタルモードでは、音声または制御信号のようなアナログメツセージは、ＲＦチャンネルを通じた送信の前に、デジタル信号表現に変換される。コンピュータによって或いはデジタル化された音声装置によって発生されたもののような、純粋なデータメツセージは、デジタルチャンネルを通じて直接フォーマット及び送信してもよい。時分割多重（ＴＤＭ）を用いているセルラ無線システムでは、複数のデジタルチャンネルが、共通のＲＦチャンネルを共存することができる。ＲＦチャンネルは、一連の「タイムスロット」に分割され、各々異なるデータ源からの情報のバーストを含み、かつガードタイムによって互いに分離されており、更にタイムスロットは、当該技術ではよく知られているように、「フレーム」にグループ化されている。フレーム当たりのタイムスロットの数は、ＲＦチャンネルによって収容されるよう試みられたデジタルチャンネルの帯域に依存して変化する。フレームは、例えば三（３）つのタイムスロットから成り、各々１つのデジタルチャンネルに割り当てられる。ここで論じられる本発明の一実施例では、１フレームは、３つのタイムスロットを含むように、指定されている。しかしながら、本発明の教示は、フレーム当たりいかなる数のタイムスロットを利用しているセルラ無線システムにでも、同等に応用可能であることが、明確に理解されよう。移動局次に第２図を参照すると、そこには、本発明の−実施例にしたがって使用される移動局の装備の概略ブロック図が示されている。第２図に例示されている装備は、デジタルチャンネルを通じた通信用に、用いられるものである。マイクロフォン１００によって検出され、移動局による通信用に用いられる音声信号は、入力として、スピーチコーダｌｏｔに与えられ、これがアナログ音声信号をデジタルデータビットストリームに変換する。データビットストリームは、次に、デジタル通信の時分割多重アクセス（ＴＤＭＡ）技術にしたがって、データパケット即ちメツセージに分割される。高速関連制御チャンネル（ＦＡＣＣＨ）発生器１０２は、制御または監督メツセージを、セルラ無線システム内の基地局と交換する。従来のＦＡＣＣＨ発生器は、［ブランクアンドバースト（ｂｌａｎｋ　ａｎｄ　ｂｕｒｓｔ）Ｊ状に動作し、これによって、ユーザフレームのデータが無音化され、ＦＡ、　ＣＣＨ発生器１０２によって発生された制御メツセージが高速度で送信される。ＦＡＣＣＨ発生器１０２のブランクアンドバースト動作とは対照的に、低速関連制御チャンネル（ＳＡＣＣＨ）発生器１０３は、連続的に制御メツセージを基地局と交換する。ＳＡＣＣＨ発生器の出力は、固定バイト長、例えば、１２ビツトを割り当てられ、そしてメツセージ列（フレーム）内に各タイムスロットの一部として含まれる。チャンネルコーダ１０４．１０５．１０６は、スピーチコーダｌ　０１１ＦＡＣＣＨ発生器１０２及びＳＡＣＣＨ発生器１０３に、夫々接続されている。チャンネルコーダ１０４．１０５．１０６の各々は、スピーチコード内の重要なデータビットを保護する畳み込みエンコーディングの技術と、７ビツトのエラーチェックを計算するために、スピーチコーダフレーム内の最上位ビット、例えば１２ビツトが用いられる巡回冗長チェック（ＣＲＣ）を用いて入来データを操作することによって、エラー検出及び回復を行なう。再び第２図を参照して、チャンネルコーダ１０４．１０５は、デジタル化した音声メツセージの、ＦＡＣＣＨ監督メツセージとの時分割多重化のために用いられる、マルチプレクサ１０７に接続されている。マルチプレクサ１０７の出力は、２−バーストインターリーバに結合されており、これが、移動局によって送信される各データメツセージ（例えば、２６０ビツトを含むメツセージ）を、２つの連続タイムスロットに配置された２つの同等であるが別個の部分（各部分は１３０ビツトを含む）に分割する。このようにして、レイリー（Ｒａｙｌｅｉｇｈ）フェーディングの劣化効果を大幅に減少させることができる。２−バーストインターリーバ１０８の出力は、入力として、モジュロ−２加算器１０９に与えられ、ここで、送信すべきデータは、以下に記載する本発明のシステムにしたがって発生される、疑似ランダムキーストリームとの論理的モジュロ−２の加算によって、ビット毎に暗号化される。　チャンネルコーダ１０６の出力は、入力として、２２−バーストインターリーバｌｌＯに与えられる。２２−バーストインターリーバ１１０は、５ＡＣＣＨデータを、２２個の連続タイムスロットに分割するが、各々は１２バイトの制御情報から成る１バイトによって占められている。インターリーブされた５ＡＣＣＨデータは、バースト発生器１１１への入力の１つを形成する。バースト発生器１１１への別の入力は、モジュロ−２加算器１０９の出力によって与えられる。バースト発生器１１１は、データの［メツセージバーストｊを生成するか、各々は、以下に更に説明するように、タイムスロット識別子（ＴＩ）、デジタル音声カラーフード（ＤＶＣＣ）　、制御または監督情報、及び送信すべきデータを含んでいる。１フレーム中のタイムスロットの各々にて送信されるのは、タイムスロットの識別及び受信機の同期に用いられるタイムスロット識別子（ＴＩ）と、適切なチャンネルかデコードされていることを保証するデジタル音声カラーコード（ＤＶＣＣ）である。本発明のフレーム例では、１組の３つの異なる２８ビツトのＴＩが、各タイムスロットに対して１つ定義され、一方、同一の８ビツトＤＶＣＣが３つのタイムスロットの各々の中で送信される。ＴＩ及びＤＶＣＣは、第２図に示すように、バースト発生器１１１に接続された同期語／ＤＶＣＣ発生器ｌＩ２によって、移動局内に与えられる。バースト発生器１１１は、モジュロ−２加算器１０９．２２−バーストインターリーバ１１０及び同期Ｍ／ＤＶＣＣ発生器１１２の出力を組み合わせて、各々データ（２６０ビツト）、５ＡＣＣＨ情報（１２ビツト）、ＴＩ（２８ビツト）、コード化されたＤＶＣＣ（１２ビツト）、及びＥＩＡ／ＴＩＡ　ｌ５−５４によって指定されたタイムスロットフォーマットにしたがって統合された合計３２４ビツトに対する１２の区切りビットから成る、一連のメツセージバーストを発生する。メツセージバーストの各々は、先に論じたように、１つのフレームに含まれる３つのタイムスロットの１つの中で送信される。バースト発生器１１１は、イコライザ１１３に接続され、これは１つのタイムスロットの送信を、他の２つのタイムスロットの送信と同期させるのに必要なタイミングを与える。イコライザ１１３は、基地局（マスク）から移動局（スレーブ）に送られるタイミング信号を検出し、それによってバースト発生器１１１を同期させる。イコライザ１１３は、ＴＩ及びＤＶＣＣの値をチェックするために用いることもできる。バースト発生器１１１は、２０ｍｓのフレームカウンタ１１４にも接続されており、これは、２０ｍ５毎、即ち送信されるフレーム毎に、移動局によって印加される暗号化コードを更新するのに用いられる。暗号化コードは、数学アルゴリズムを用い、各移動局に対して唯一であるキー１１６の制御の下に、暗号化ユニット１１５によって発生される。このアルゴリズムは、本発明にしたがって、そして更に以下に論するように、疑似ランダムキーストリームを発生するのに用いることができる。バースト発生器１１０によって生成されたメツセージバーストは、ＲＦ変謂器１１７に、入力として与えられる。ＲＦ変調器１１７は、／４−ＤＱＰＳＫ技術（／４シフトされた、差動的エンコード直角位相シフトキー）にしたがって、搬送波周波数を変調するために用いられる。この技術の使用は、移動局によって送信される情報は、差動的にエンコードされる、即ち、２つのビットシンボルが、位相の４つの可能性のある変化、十または−／４　及び＋または−３／３、として、送信されることを暗示している。選択された送信チャンネルに対する搬送波周波数は、送信周波数合成器１１８によって、ＲＦ変調器１１７に供給される。ＲＦ変調器１１７のバースト変調された搬送波信号出力は、出力増幅器１１９によって増幅され、そしてアンテナ１２０を介して、基地局に送信される。移動局は、受信機１２２に接続されているアンテナ１２１を介して、基地局からのバースト変調された信号を受信する。選択された受信チャンネルに対する受信機搬送波周波数は、受信周波数合成器１２３によって発生され、ＲＦ復調器１２４に供給される。ＲＦ復調器１２４は、受信した搬送波信号を中間周波数信号に復調するのに用いられる。この中間周波数信号を、更にＩＦ復調器１２５によって復調し、／４−ＤＱＰＳＫ変調の前に存在していたような元のデジタル情報を復元する。このデジタル情報は、次にイコライザ１１３を通って、シンボル検出器１２６に達し、イコライザ１１４によって与えられたデジタルデータの２−ビットシンボルフォーマットを、単一ビットのデータストリームに変換する。シンボル検出器１２６は、２つの別個の出力、即ち、デジタル化されたスピーチデータとＦＡＣＣＨデータとから成る第１の出力と、５ＡＣＣＨデータから成る第２の出力とを、生成する。第１の出力は、２−バーストディンターリーバ１２８に接続されているモジュロ−２加算器１２７に供給される。モジュロ−２加算器１２７は、暗号化ユニット１１５に接続されており、データを暗号化するために基地局内の送信機によって用いられ、かつ以下に記載する本発明の教示にしたがって発生されたのと同一の疑似ランダムキーストリームを、ビット毎に、減算することによって、４つの暗号化され送信されたデータを暗号解読するのに用いられる。モジュロ−２加算器１２７及び２−バーストディンターリ−／＜１２８は、２つの連続したフレームのデジタルデータから得られた情報を組み立てそして再構成することによって、スピーチ／ＦＡＣＣＨデータを再構築する。２−ノく−ストデインターリーバ１２８は、２つのチャンネルデコーダ１２９．１３０に結合されており、これらはコード化と逆の過程を用いて畳み込み状にエンコードされたスピーチ／ＦＡＣＣＨデータをデコードし、サイクリックリダンダンシチェック（ＣＲＣ）ビットをチェックして、エラーが発生していないか判断する。チャンネルデコーダ１２９．１３０は、一方でスピーチデータ、そして他方でいずれかのＦＡＣＣＨデータ間の相違を検出し、スピーチデータ及びＦＡＣＣＨデータを、スピーチ検出器１３１及びＦＡＣＣＨ検出器１３２に、夫々差し向ける。スピーチ検出器１３１は、チャンネルデコーダ１２９によって供給されたスピーチデータを、スピーチコーダアルゴリズム、例えばＶＳＥＬＰにしたがって処理し、そして基地局によって送信され移動局によって受信されたスピーチ信号を表わすアナログ信号を発生する。次に、フィルタ処理技術を用いて、スピーカ１３３による同報通信に先立って、前記アナログ信号の品質を高めることもできる。ＦＡＣＣＨ検出器１３２によって検出されたいかなるＦＡＣＣＨメツセージも、マイクロプロセッサ１３４に送られる。シンボル検出器１２６の第２の出力（ＳＡＣＣＨデータ）は、２２−バーストディンターリーバ１３５に供給される。２２−バーストディンターリーバ１３５は、２２の連続フレームにわたって広げられた５ＡＣＣＨデータの再組み立て及び再構成を行なう。２２−バーストディンターリーバ１３５の出力は、入力として、チャンネル検出器１３６に与えられる。ＦＡＣＣＨメツセージは、５ＡＣＣＨ検出器１３７によって検出され、制御情報がマイクロプロセッサ１３４に転送される。マイクロプロセッサ１３４は、移動局の活動、及び移動局と基地局との間の通信を制御するものである。基地局から受信したメツセージにしたがって、マイクロプロセッサ１３４によって決定が行なわれ、そして移動局によって測定が行なわれる。マイクロプロセッサ１３４は、端末キーボード入力及び表示用カニニット１３８も、備えている。キーボード及び表示ユニット１３８は、移動局のユーザが、基地局と情報を交換できるようにするも次に、第３図を参照すると、本発明にしたがって用いられる基地局の装備の概略ブロック図が示されている。第２図に示された移動局の装備を、第３図に示された基地局機器と比較すると、移動局及び基地局によって用いられている装備の多くは、構造及び機能において、実質的に同一であることが、示される。このような同一の装備は、便宜上そして一貫性のために、第２図に関連して用いたものと同一の参照番号を第３図に付番するが、第３図ではダッシュ（′）を付加えることによって、区別することにする。しかしながら、移動局と基地局装備との間には幾らかの細かい相違がある。例えば、基地局は、１本のみではなく、２本の受信アンテナ１２ビを有する。受信アンテナ１２１’の各々に関連するのは、受信機１２２゛、Ｔ？Ｆ復調器１２４’ 、そしてＩＰ復調器１２５′である。更に、基地局は、プログラマブル周波数組み合わせ器（ｃｏｍｂｉｎｅｒ）ｌ　１８Ａ’　を備えており、これは送信周波数合成器１１８゛に接続されている。周波数組み合わせ器１１８Ａ’　と送信周波数合成器１１８°は、適用可能なセルラ周波数再使用計画にしたがって、基地局によって用いられるＲＦチャンネルの選択を遂行する。基地局は、しかしながら、移動局にあるユーザキーボード及び表示ユニット１３８に類似したユーザキーボード及び表示ユニットを備えていない。しかし、これは、２つの受信機１２２′の各々から受信した信号を測定するため、そしてマイクロプロセッサ１３４゛に出力を与えるために接続された信号レベルメータ１００′を備えている。移動局と基地局との間の装備におけるその他の相違も存在するが、それは当該技術ではよく知られたものである。これまでの議論は、本発明のシステムの動作環境に焦点を当てたものであった。以下、本発明の特定実施例の具体的な説明を記載する。先に開示し、以後用いられるように、「キーストリーム」という用語は、例えば、ＲＦチャンネルのような、送信または媒体への記憶に先立ってデジタル的にエンコードされた、無許可のアクセスを受けやすい、メツセージまたはデータ信号を暗号化するのに用いられる疑似ランダムな一連の二進ビットまたはビットブロックを意味する。「キーストリーム発生器」は、複数のビットから成る秘密キーを処理することによって、キーストリームを発生する装置を意味する。暗号化は、単に、キーストリームの暗号化されるデータへのモジュロ−２加算によって、実行することができる。同様に、暗号解読は、暗号化されたデータからのキーストリームの同一コピーのモジュロ−２減算によって実行路して言えば、キーストリーム発生器は、夫々第２及び第３図の要素１１５及び１１５′によって表わされる、比較的小数の秘密ビット、即ち要素１１６及び１１６’で表わされる秘密キーを、送信（または記憶）に先立ってデータメツセージを暗号化するのに用いられる、かなり大きな数のキーストリームビットに拡張する機構を提供するものである。エンコードされたメツセージを暗号解読するには、受信機は、そのメツセージを暗号化するのに用いられたキーストリームビットへのインデックスを「知って」いなければならない。言い換えれば、受信機は、同一キーストリーム発生器を有し送信機と同一キーストリームビットを生成するのみならず、メツセージを適切にデコードする場合、受信機のキーストリーム発生器を送信機のキーストリーム発生器と同期して動作させなければならない。通常、同期は、キーストリームビットの発生に参加したビット、ブロックまたはメツセージカウンタのような、内部メモリ素子毎の内容を、エンコーディングシステムからデコーディングシステムまで定期的に送信することによって、達成される。しかしながら、同期は、二進カウンタのような算術的ビットブロックカウンタを用い、キーストリームビットの新しいブロックが生成される毎にそれらのカウンタをある量だけ増分することにより、簡素化することができる。このようなカウンタは、リアルタイム、即ち、時間、分、秒、のクロックチェーンの一部を形成することができる。後者の形式のカウンタに頼るキーストリーム発生器は、先に引用した、「タイムオブデイ」駆動型キーストリーム発生器どして知られている。キーストリーム発生器のビット毎またはブロック毎の前進（ａｄｖａｎｃｉｎｇ）に用いられる正確な方法、及び送信回路を受信回路と同期させるのに用いられる特定の方法は、上述のように、［セルラ通信システム用連ステムは、以後詳細に述べるように、例えば、セルラ遠隔通信システムにおけるＲＦチャンネルを通じたデジタル通信を防護するのに用いることができる、効果的な暗号化システムの有効な実施に向けられたものである。この暗号化システムは、秘密キーに含まれている複数のキービットに対して、毎秒多数のプール演算を行なうことにより、かなりの数のキーストリームビットを生成する、キーストリーム発生器を備えている。本発明のキーストリーム発生器は、簡素なマイクロプロセッサアーキテクチャを存する集積回路を用いて、実施することができる。次に第４図を参照すると、従来技術のキーストリーム発生器の概略ブロック図をここで見ることができる。選択的なブロックカウンタ２０１は、組み合わせ論理回路２０２への第１の多ビツト入力を与える。複数の１ビツトメモリ素子、即ちフリップフロップｍｌ、ｍ２、ｍ３゜、、ｍｎか、組み合わせ論理回路への第２の多ビツト入力を与える。１ビツトの出力ｄ１、ｄ２、ｄ３．、、ｄｎから成る組み合わせ論理回路２０２の出力の一部は、フリップフロップｍｌ−ｍｎにフィードバックされる。フリップフロップｍｌ−ｍｎに供給される一連のビットクロック入力パルス内の各クロックパルスの後に、出力ｄｌ−ｄｎは夫々フリップフロップｍｌ−ｍｎの次の状態となる。組み合わせ論理回路２０２の相応しい構造によって、ストレート二進カウンタ、最大長シーケンスを実行する線形フィードバックシフトレジスタ、またはその他のいずれかの形式の線形または非線形連続カウンタを形成するように、フリップフロップｍｌ　−ｍｎを構成することができる。いずれの場合でも、受信機端におけるフリップフロップｍｌ−ｍｎの状態の各々、及びブロックカウンタの状態は、送信機端における対応する要素の状態と同一としなければならない。リセットまたは同期機構２０４が、受信機を送信機と同期させるのに用いられる。第４図への参照を続けて、複数の秘密キービットに１、に２、ｋ３．、、ｋｎは、組み合わせ論理回路２０２への第３の多ビツト入力を形成している。秘密キービットの数ｎは、常に１００ビツトプラスまたはマイナス（＋／−）２の因子の領域にある。秘密キーｋｌ−ｋｎの各々か、少なくとも、キーストリーム内のビットの各々に影響を及ぼす可能性を有することか望ましい。そうでないと、盗聴する場合、暗号化されたデータを暗号解読しモニタするためには、秘密キーピッＩ−ｋ　１−　ｋ　ｎの僅かなサブセットのみを解読すればよいことになる。不許可の傍受の危険性は、しかしなから、キーストリーム内の各ビットの値（論理状態）を、特定の秘密キーピットの値たけてなく、全ての他の秘密キーピットの値、並びにブロックカウンタ２０１の状態及び他の内部メモリ状態にも依存させるようにすれば、大幅に減少させることができる。これまで、このような依存性の確立は、法外な数のプール演算を伴うものであった。例えば、秘密キーが、１００個の秘密キーピットから成るものと仮定する。これら秘密キーピットの各々がキーストリーム内の各ビットに影響を与えると、キーストリームビット当たり合計で１００個の組み合わせ演算か必要となろう。したがって、１万個のキーストリームビットを生成するには、合計で１００万個の組み合わせ演算が必要となり、更に各キーストリームビットを１つ以上の内部メモリ状態にも依存させるとすると、その数は更に大きなものとなろう。本発明の目的の１つは、各キーストリームビットの秘密キーピットの各々による依存性を維持しつつ、キーストリームビット毎に必要とされる組み合わせ演算の数を大幅に減少させることである。例えば、５０から１００個の秘密キーピットからの、数十個の疑似ランダムキーストリームビットの生成を、多段拡張過程として、見ることができる。複数の拡張ステージが共に縦属されており、各々が連続的により小さくなる拡張比を有している。最初のステージによる拡張は、キーストリームピット当たり必要な論理（プール）演算数を最小化するために、後続のステージによるものより、少ない頻度で実行される。加えて、最初の拡張ステージは、秘密キーピットに対する依存性が高い複数の出力ビットを与えるように構成されており、後続のステージで実行されなければならない論理演算数を更に減少させている。次に第５図を参照すると、キーストリーム発生器システムの概略ブロック図が示されている。複数の機密キービットｋｌ、に２、ｋ３．、、が、入力として第１ステージの拡張２０５に与えられる。機密キーピットは、以下に更に詳しく記載する認証アルゴリズムによって、永久キービットから得ることができる。機密キーピットｋＬｋ２、ｋ３．、、入力は、機密キーピットｋｌ、に２、ｋ３．、、ｋｎの幾つか、しかし好ましくは全てを含むこともでき、これを以後時々「秘密」キービットと呼ぶことにする。加えて、または随意的に、第１ステージの拡張２０５への入力は、メッセージカウンタの出力、ブロックカウンタ、フレーム開始時の時間またはブロックカウント数を表わすデート−タイムスタンプ、または送り手及び受け手によって同期され得るその他の可変出力を、含むことかできる。時間と共にゆっくりと変化するいかなる内部メモリ出力でも、第１ステージの拡張２０５への入力として、用いることかできる。第１ステージの拡張２０５は、時たま、例えばメツセージ毎に１回、実行されなければならないので、ゆっくりと変化する入力が望ましい。　第１ステージの拡張２０５は、秘密キーピットｋＬｋ２、ｋ３．、、の数より、大幅に大きなサイズの拡張された出力を発生する。この拡張された出力は、メモリ素子２０６内に記憶され、組み合わせ論理回路２０７によってアクセスされる。組み合わせ論理２０７は、以下に更に完全に記載するような、第２ステージの拡張を行なうものである。カウンタ即ちレジスタ２０８の出力は、組み合わせ論理２０７への入力を形成する。レジスタ２０８は、キーストリームビットの各ブロックの発生に先立ち、新しい開始状態に初期化される。初期値発生器２０９は、レジスタ２０８にその開始状態を与える。この開始状態は、キーストリームビットの各特定ブロックに対して異なるか、当該特定ブロックのブロック数の関数であり、そして、秘密キーピットｋｌ−ｋｎのあるサブセットの関数ともすることができる。組み合わせ論理２０７の第１の出力２１０は、レジスタ２０８にフィードバックされる。出力２１０は、演算の各サイクル後に、レジスタ２０８の新しい状態となる。組み合わせ論理２０７の第２の出力２１１は、先の第２及び３図に示したように、データストリームと混合されることになるキーストリームビットを形成する。出力２１１においてサイクル毎に生成されるキーストリームビットの数は、いずれかの２の倍数、即ち、８．１６．３２．５６等とすることができる。このようなビットを、まとめて「キーワード」と呼ぶことにする。レジスタ２０８の再初期化の前に出力２１１において生成されたキーワードのいくつかまたは全ては、キーブロック２１２にグループ化される。キーブロック２１２は、例えば、レジスタ２０Ｂの再初期化に先立って、サイクル毎またはｌサイクルおきに生成される全てのキーワードから成るものである。第５図に描かれそして先に論じたキーストリーム発生器システムの従来の実施は、多数の複雑な組み合わせ論理回路が必要であり、これは複数の論理ゲート、即ちアンド（ＡＮＤ）　、オア（ＯＲ）等を相互接続することによって別個に実現されたとすると、非常に特定された用途にのみ育用な、巨大で高価なチップとなることを、当業者であれば認めるであろう。一方、算術及び論理ユニッＩ−（ＡＬＵ）は、種々の小型、低価格、そして多目的マイクロプロセッサの標準構成物である。本発明は、このようなＡＬＵを用いて、必要な組み合わせ論理機能の全てを実現するための手段を提供するものである。従来のＡＬＵは、プログラムのｖｉ御下で動作し、いずれか２つの８ビツトまたは１６ビツト二進語間で、組み合わせ関数ＡＤＤ、５ＵＢＴＲＡＣＴ、Ｂ　ＩＴＷＩＳＥＥＸＣＬＵＳＩＶＥ　ＯＲ，ＡＮＤ、０Ｒｔ−実行スルことができる。ＡＬＵが、第５図の装置において必要とされるプール関数の全てを連続的に実施するのに用いられる場合、実行され得る１秒毎の完全サイクル数に関して測定されたＡＬＵ動作速度は、大幅に減少されていよう。本システムにおいて用いられる多段拡張は、しかしながら、最も頻繁に実行される組み合わせ論理２０７から第１ステージの拡張２０５における大量のキー依存関数の頻繁でない定期的な計算までに対して、サイクル当たりのプログラム命令数、即ちＡＬＵを利用する回数を最小化することによって、ＡＬＵ速度の過度の減少を防止する。先の文における単語「大きな」によって、例えば、秘密キーピット数ｎより大きな程度の等級が意味される。　一旦レジスタ２０８が開始値で初期化されると、組み合わせ論理２０７は、出力２１１にキーワードのストリームを発生し、そしてレジスタ２０８がフィードバック値を出力２１０において再びロードされる毎に、追加キーワードを発生し続ける。しかしながら、キーワード発生過程の保全性を密かに損い得る困難か生じることがある。例えば、レジスタ２０８の内容が常にそれらの初期値に戻るとすると、これまでに発生されたキーワード列が再び繰り返されることになる。同様に、レジスタ２０８の内容か、現在のキーブロックの発生において既に見出された値（初期値である必要はない）に戻ると、システムは、「短絡サイクル」を行なっていると言われる。以前に示唆した理由、例えば、不許可の暗号解読の容易さのため、単一のキーブロックの発生において、キーワードの連続か繰り返し始まること、または短絡サイクルが起こることは、望ましいことではない。更に、レジスタ２０８の内容が、ある点、例えばＭ番目のキーワードを発生した後に、別のキーブロックの発生後に存在した或いは存在するであろうある値と等しくなると、２つのキーブロックは、その点以降、同一となり、これも望ましくない出来事である。　したがって、組み合わせ論理２０７と関連するレジスタ２０８（ｒ組み合わせ論理／レジスタの組み合わせ」）は、ある回数連続的に動作する時、（ｉ）ブロック当たりのキーワード数より短いサイクルを生成するのではなく、そして（ｉ　ｉ）レジスタ２０８の唯一の開始状態毎に唯一のキーワード列を生成するべきである。後者の要件を満たすためには、２つの異なる開始状態が、同一状態に収束できないようにすればよい。更に、前述の要件の両方は、メモリ２０６の内容には関係無く適用すればよい。以下により詳細に説明するように、本発明はこれらの問題を軽減し、そしてキーワード発生過程の保全性を強化するものである。組み合わせ論理／レジスタの組み合わせの状態遷移図が収束する分岐点を存する時、そのような組み合わせは、とちらの道を取るかについての曖昧さのため、このような分岐点を介して逆に実行することはできない。したがって、組み合わせを処理する過程が曖昧でないこと、または逆転可能であることか示されれば、収束分岐点はその状態遷移図には存在しないことの証明となる。このような過程を以下に記載し、かつ論じることにする。次に第６図を参照すると、第５図に示したキーストリーム発生器の第２拡張ステージの部分的概略ブロック図か、ここに見られる。第５図のレジスタ２０８は、第６図では３つのバイト長レジスタ２０８Ａ、２０８Ｂ、２０８Ｃに分割されている。レジスタ２０８Ａ、２０８Ｂ。２０８Ｃは、例えば、８ビツトレジスタとすることができる。レジスタ２０８Ａ、２０８Ｂ、２０８Ｃの初期化に続いて、新しい状態値が、次の式から計算される。（１）　Ａ’　＝Ａ＃　［Ｋ　（Ｂ）＋Ｋ　（Ｃ）１（２）　Ｂ’　＝Ｂ＃Ｒ（Ａ）八゛は、レジスタ２０８Ａに対する新しい状態値であり、Ｂ′は、レジスタ２０８Ｂに対する新しい状態値であり、Ｃ゛は、レジスタ２０８Ｃに対する新しい状態値であり、Ａは、レジスタ２０８Ａに対する現在の状態値であり、Ｂは、レジスタ２０８Ｂに対する現在の状態値であり、Ｃは、レジスタ２０８Ｃに対する現在の状態値であり、＋は、ワード長モジュロ加算、例えば、バイト幅モジュロ− ２５６の加算を意味し、＃は、＋（上で定義したように）または、ビットワイズ（ｂｉｔｗｉｚｅ）の排他的オア（ＸＯＲ）を意味し、Ｋ　（Ｂ）は、第５図に示したメモリ２０６のアドレスＢに配置された値にであり、Ｋ　（Ｃ）は、第５図に示したメモリ２０６のアドレスＣに配置された値にである。メモリ２０６に記憶された値にの各々は、第５図に示す第１ステージの拡張２０５によって、既に計算され、全ての秘密キービットの複雑な関数となったことに、注意されたい。Ｒ（Ａ）は、認証アルゴリズムに用いられるＳ−ボックスの内容に関して以下に説明するのと同一のティープル（ｔｉｂｌｅ）である、固定参照テーブルＲ内のアドレスＡに配置された値である。また、Ａのビットは、入力として、出力Ｒを生成する組み合わせ論理ブロックに供給される。参照テーブルＲ１またはその代わりに、組み合わせ論理ブロックは、Ａのワード長以上で、Ｂのワード長以下の数の出力ビットを与えるなければならない。Ａ及びＢが両方共８ビットバイトである場合、例えば、Ｒも８ビツトバイトで、参照テーブルＲは２５６個の値を含むことになる。値Ｒは、入力から出力に１：ｌのマツピングを有せねばならない。即ち、入力ビットの各可能性のある状態は、唯一の出力値に割り付けなければならない。これは、Ｒ関数が逆転可能であることを保証し、これが更に、全過程を、以下にあげる関係によって、逆転できることを保証するものである。　（１）Ｃ＝Ｃ−１（２）Ｂ＝Ｂ＃＃Ｒ”　（Ａ）（３）Ａ＝Ａ＃＃　［Ｋ　（Ｂ）　十Ｋ　（Ｃ）］ここで、 −は、ワード長のモジュロ減算を意味し、＃＃は、＃の逆演算、即ち、−（先に定義したような）またはビットワイズＸＯＲを、意味し、及びＲ゛は、ｌ＝１参照テーブル、または組み合わせ論理Ｒの逆である。この逆転可能性は、上述の組み合わせ論理／レジスタの組み合わせの状態遷移図には収束分岐点がないことを示しており、したがって、全ての開始状態が唯一のキーワード列を発生することを保証している。更に、Ｃが１ずつのみ増分され、そして２Ｗ回の繰り返しの後までその初期値には戻らないので（Ｗは用いたワード長）、この過程は、最小サイクル長を保証するものである。例えば、値ＡＳＢ、Ｃ，Ｒ及びＫの全てが８ビツトバイトの場合、最小サイクル長は２５６となる。各繰り返しくサイクル）毎に、１つのキーワード（バイト）が抽出されると、列の中途半端な繰り返しの恐れがなく、合計２５６バイトを抽出することができる。一方、２度の繰り返し毎に１回キーワードか抽出されると、列の中途半端な繰り返しなしに、合計１２８個のキーワードを抽出することができる。前の２つの文における単語「抽出」によって、キーワードの収集と、第５図におけるキーブロック２１２のようなキーブロックへの配置を、意味する。本発明に用いることができるキーワード抽出の特定の方法を、すぐ後に述べる。第６図に関して、レジスタ２０８にフィードバックされる、組み合わせ論理２０７の出力２１０を計算するための過程を述べた。一般的に言うと、中間量Ａ、ＢまたはＣのいずれか！つを、直接抽出し、各繰り返しにおいてキーワードとして用いることもできる。Ｓ＝　（Ａ、Ｂ、Ｃ）が組み合わせ論理／レジスタの組み合わせの現在の状態を表わすとすると、ＳＯへの初期化に続いて、一連の状ａＳＯ１Ｓｌ、Ｓ２、Ｓ３、Ｓ４、Ｓ５、ＳＯ，５７９０，というように遷移することになろう。しかしながら、後続のキーブロックの計算において、レジスタが例えばＳ２に初期化されると、その結果の列Ｓ２、Ｓ３、Ｓ４、Ｓ５、ＳＯ，３７，、、は、２つのキーワード（ＳＯｌＳｌ）だけシフトした最初の列と同一となる。したがって、状態Ｓからの値ＡＳＢ、Ｃが直接キーワードとして用いられると、このような同一性か異なるキーブロック間で表われるかもしれない。これを防止するために、本発明のシステムは、キーブロック内の値の位置にしたがって抽出された値の各々を変更して、同一値が別のブロック内の異なるキーワード位置に抽出された場合、異なるキーワードが得られるようにしている。後者の目的を達成するための例示的方法を、以下に記載する。Ｎを現在計算中のキーブロック内のキーワードの数とし、Ｓ＝　（ＡＳＢ％Ｃ）をキーワードＮが抽出されようとする繰り返しにおけるレジスタ２０８の現在の状態とする。キーワードＷ　（Ｎ）の値は、次のように計算することができる。Ｗ　（Ｎ）＝Ｂ　＋’　Ｋ　［Ａ＋Ｎ］ここで、＋は、ＸＯＲを意味し、十′は、十（直前で定義した）またはワード長−モジュロ加算のいずれかを意味する。キーワード抽出のための他の相応しい例示的方法は、次を含んでもよい。Ｗ　（Ｎ）　＝　Ｂ　＋　Ｋ　［Ｒ（Ａ＋Ｎ）］またはｗ　（Ｎ）　＝　Ｒ［Ａ＋Ｎ］　＋Ｋ　［Ｂ＋Ｎ］等。システムにおいて最良の暗号法の特性を得るには、抽出されたキーワードの値か、キーブロック内におけるそれらの夫々の位置の関数となることを、推薦する。データの暗号化に用いられる、多数の複雑なキー依存疑似ランダム（ＰＲ）ビットを発生し、かつ従来のマイクロプロセッサに実施され得る、暗号化システムを説明したが、暗号化と認証機能を統合し、デジタルセルラシステムの全体の機密性を改善するシステムの説明を、すぐ下に記載する。本発明による認証の過程は、一般的に次の一連のステップを含んでいる。（１）移動局は、移動識別番号（Ｍ　Ｉ　Ｎ）を暗号化されていない形式て送ることによって、それ自身をネットワークに対して識別し、ネットワークが、その移動に関する情報、例えば機密キーを、それらが記憶されている場所またはデータベースから、検索できるようにしている。（２）ネットワークはランダム挑戦信号（ＲＡＮＤ）を移動に送信する。（３）移動局及びネットワークは、ある公開したアルゴリズム（以後ＡＵＴＨＩと呼ぶ）にしたがって、ＲＡＮＤへの応答信号（ＲＥＳＰ）を計算するために、各々、その移動局とネットワークのみに知られており決して空中に送信されていない、秘密の永久認証キーを用いる。移動局で発生されたＲＥＳＰは、ネットワークに送信される。（４）ネットワークは、移動局から受信したＲＥＳＰを、内部で発生されたバージョンと比較し、そして前記比較が成功した場合のみ、登録、通話の開始または通話の受信のためのアクセスを移動局に付与する。ｌ５−５４では、ＭＩＮは、３４ビツトの二進ワードであり、移動局の１０桁のディレクトリ電話番号、即ち、地域コードと電話番号から得られる。ｌ５−５４の、２゜３．１章、ｐｐ７８−７９を見られたい。移動局は、ランダム挑戦メモリに、オーバーヘッドメツセージ列に定期的に添付されるランダム挑戦グローバルアクションメツセージにて受信された最後のＲＡＮＤを表わす、１６ビツト値を記憶する。移動局は、これらのメツセージを用いて、ランダム挑戦メモリを更新する。ＲＡＮＤの現在値は、認証アルゴリズムＡＵＴＨ１への入力として用いられる。ｌＳ−５４，２，３，１２章、ｐｐ８３−８４を見られたい。このように、ｌＳ−５４では、移動局がＭＩＮを送信する前に、ＲＡＮＤが移動局に送信され、１つのＲＡＮＤのみが、いかなる特定の時でも、ネットワークにおいて不正移動局を含む全ての移動局のために用いられ、これによってシステム内の機密性のレベルを低下させている。更に、ＲＡＮＤが前もって移動局に知られているので、ＲＥＳＰが事前に計算され、ＭＩＮと共にネットワークに送信される。しかしながら、ネットワークは、移動局が以前にネットワークに登録されていなければ、ＭＩＮを受信せずにＲＥＳＰを事前に計算しである可能性はない。　ｌＳ −５４システムのＡＵＴＨｌにおいて用いられている認証キーは、各加入者のためにシステム操作者によって管理されている秘密番号である、個人的識別番号（ＰＩＮ）から成る。ｌＳ−５４ＡＵＴＨ＋は、いかなるセルラシステムに対しても移動局を唯一に識別する、工場で設定された電子連番（ＥＳＮ）も用いている。ｌＳ−５４ＡＵＴＨＩによって計算されるＲＥＳＰは、（ｉ）ＰＩＮ、（ｉｉ）ＥＳＮ、及び（ｉ　ｉ　ｉ）ダイアルされた桁（移動か発した通話に対して）またはＭＩＮ（移動が送信した通話）に、依存する。ｌＳ−５４による移動局によって送信されたＲＥＳＰは、ＡＵＴＨ１の出力（ＡＵＴＨＲ）（１８ビツト）と、ＲＡＮＤに依存するランダム確認（ＲＡＮＤＣ）（８ビツト）との、合計２６ビツトから成る。ＡＵＴＨＲとＲＡＮＤＣとの間で、暗号法の区別はせず、そしてこれらの値の各々は、ＲＡＮＤ、Ｐ　ＩＮ、ＥＳＮ。そして恐らく通話された番号の値に依存してもよい。したがって、ＡＵＴＨＲ及びＲＡＮＤＣは、単に２６ビツトのＲＥＳＰを構成し、その性質は用いられるアルゴリズムＡＵＴＨ１によって決定されるものと、見做すこともできる。ｌＳ−５４によれば、移動が起こした通話設定の場合ＲＥＳＰに影響を与える、ダイアルされた桁の使用は、ある望ましくないまたは注目すべき結果をもたらすが、それが以下に纏められている。（１）ダイアルされた桁が前もってネットワークに知られることはあり得ないので、ネットワークは、いかなる特定のＭＩＮのための所与のＲＡＮＤに対しても、予測されるＲＥＳＰを事前に計算することはできない。したがって、ダイアルされた桁が、移動局からネットワークに送信されるまで、認証アルゴリズムＡＵＴＨ１を実行することができないので、通話設定を遅らせる可能性がある。一方、ダイアルされた桁が含まれていないと、ＲＡＮＤか変わらないままでいる限り、同一移動局が同−ＲＥＳＰを生成する。このような場合、ＲＥＳＰを傍受しかつ用いて、不正通話を行ない、ＡＵＴＨｌを存する基本的な理由をことごとく破ってしまう可能性がある。（２）ダイアルされた桁をＡＵＴＨｌへの入力として用いると、ＲＡＮＤ及びＲＥＳＰ対の発生、そしてそれらを前もって訪問先ネットワークに送ることから、ホームネットワークを、排除することになる。（３）このような用法は、一般的にＲＡＮＤ及びＲＥＳＰ対の前もっての事前計算を排除し、それが通話設定において時間を節約するには望ましいこともある。（４）このような用法は、ネットワーク間、機密性に関連する通信、及び／または認証機能の位置付けについてのいくらかの前提を示唆するものである。特に、これが示唆するのは、ホームネットワークが秘密キー（及びＥＳＮ）を訪問先ネットワークに送信し訪問先ネットワークが認証を実行できるようにすること、或いは、その代わりに、ダイアルされた桁が各通話毎に、訪問先ネットワークからホームネットワークに送られて、ホームネットワークが認証を実行できるようにすることの、いずれかである。ホームネットワークは、通常通話された加入者番号を前もって知る必要はないであろう。（５）Ｉｓ−５４によれば、ダイアルされた桁は暗号化されない形式で送信されなければならないので、不正移動局が同一番号に通話を行なうことも、そして「フラッシュ（ｆｌａｓｈ）Ｊ即ち協議手順を経て、彼が選択した別の番号に接続することもできる。（６）少なくとも１つの既存ネットワークにおいて、ある悪用を防止するために呼び出し光加入者身元保護、即ち、ダイアルされた桁の隠蔽を、導入することと、ＡＵＴＨＩの定義がこのように要求される隠蔽の便宜を図ることが必要と思われる。本発明のシステムは、ダイアルされた桁がＲＥＳＰに影響を与えないアルゴリズムＡＵＴＨ１を定義することによって、上に纏めた問題の全てに対処するものである。ＡＵＴＨｌからのダイアルされた桁の実行によって起こされるいかなる弱点も、例えば、ＲＡＮＤが不変のままである際の同−ＲＥＳＰの発生も、トラフィックチャンネル上で得ることができる、第２の選択的な両側（ｂ　ｉ　１　ａ　ｔ　ｅ　ｒ　ａ　１）認証ステップを定義することによって、補償される。トラフィックデータの暗号化過程によって、更なる防御が設けられる。本発明は、ｌＳ− ５４の使用を実質的に変えることなく用いることができることに、注意されたい。ホームネットワークまたは訪問先ネットワークのどちらの場所かに係わらないことは、認証アルゴリズムを実行するにはより好都合であると考慮されるものであり、認証または暗号化か行なわれる場合、ネットワーク間での機密性に関連する加入者情報の交換は避けることができない。訪問先ネットワークがＲＡＮＤＯを定期的に決定しそして同報通信（ｂｒｏａｄｃａｓ　ｔ）するＩＳ−５４認証手順では、認証アルゴリズムがホームネットワーク内で実行されると、訪問先ネットワークは、ＲＥＳＰと一時的機密暗号化キー（Ｓ−キーまたは通話変数）を受信するために、少なくともＭＩＮとＲＡＮＤとをホームネットワークに送信しなくてはならない。一方、認証アルゴリズムを訪問先ネットワークにおいて実行する場合、そのネットワークは少なくともＭＩＮをホームネットワークに送信しなければならず、そしてホームネットワークは、次に、認証キー、ＥＳＮ　（ＥＳＮがＡＵＴＨｌで用いられているなら）、及び永久暗号化キーを、訪問先ネットワークに送信しなければならない。機密性という観点からは、ホームネットワークが、単に訪問先ネットワークによる要求で、加入者の永久キーを放出するのは望ましくない。このようなキーは、短期間の通話変数（ｃａｌｌ　ｖａｒｉａｂｌｅ）ではなく、加入者の長期間の機密を保証するものでなければならない。したがって、訪問側（ｖｉｓｉｔｉｎｇ）移動ネットワークのＭＩＮ、訪問先ネットワークによるＲＡＮＤ同報通信、及び移動局からの訪問先ネットワークによって受信されたＲＥＳＰを、訪問先ネットワークから受信した時に、ホームネットワークが短期間の（一時的）暗号化キー（Ｓ−キーまたは通話変数）を発生し、そしてＲＥＳＰが有効と思われるならそのＳ−キーを訪問先ネットワークに放出するのか、より望ましいことである。ホームネットワークにおける認証アルゴリズムの実行は、各移動ネットワークに対して唯一であり、ここではＡ−キーと呼ぶ長期間（永久）秘密キーを、認証アルゴリズムが用いることができるようにする。Ａ−キーは、ホームネットワーク外には決して放出されず、暗号化には直接使用されないが、代わりに、ここではＳ−キーと呼ぶ短期間の暗号化キーを発生するために用いられる。Ｓ−キーは、訪問先ネットワークによって決められる限られた時間期間にのみ、用いられるものである。訪問先ネットワークが、以前に登録済みの訪問側移動局に対してＳ−キーを既に獲得している場合、第１の認証ステップの実行は選択的であり、通話設定は、暗号化されたトラフィックチャンネルに直接移行してもよい。したがって、訪問側移動局が通話を行なう毎に、ネットワーク間交換が生じる必要はない。一方、訪問先ネットワークが、ＡＵＴＨｌに第１の認証ステップを要求することを決めた場合、移動局及びホームネットワークは、訪問先ネットワークのＲＡＮＤを用いて新たなＳ−キーを発生するが、ＡＵＴＨｌへのその他の入力は無変化である。認証アルゴリズムの暗号分析的特性次に第７図を参照すると、Ｉ　Ｓ−５４による認証アルゴリズムの図式表現をここに見ることができる。移動局によって通話が開始されると、移動局はそのＰＩＮまたは認証キー、そのＥＳＮ、ＲＡＮＤ及びダイアルされた桁を用いて、認証アルゴリズムＡＵＴＨ１にしたがって、ＲＡＮＤへの応答を計算する。移動局は、次に、ＡＵＴＨｌの出力（ＡＵＴＨＲ）を、ランダム確認（ＲＡＮＤＣ）、ダイアルされた桁、移動局の個々の通話履歴パラメータ（ＣＯＵＮＴ）及びＭＩＮと共に、ネットワークに送信する。ダイアルされた桁に、移動が発した通話において認証応答（ＡＵＴＨＲ及びＲＡＮＤＣ）に影響を与えさせた結果は、先に論じてあり、望ましくなきものと思われる。一方、通話された加入者の身元を隠蔽する可能性の便宜を図ることは、望ましいものと考慮される。移動にて終了した通話の場合、ＰＩＮ／キーは十分に移動に特定的（ｍｏｂｉｌｅ−ｓｐｅｃｉｆｉｃ）であるので、Ｍ　Ｔ　Ｎを用いることによって認証応答に影響を及ぼすものは殆と得られない。次に第８図を参照すると、本発明による暗号化アルゴリズムの図式表現が見られる。移動が発した通話の場合にダイアルされた桁も、移動にて終了した通話の場合のＭ　Ｉ　Ｎも、ＡＵＴＨｌへの入力として用いられていない。更に、本発明によるＡＵＴＨｌの出力は、認証応答だけでなく、移動によって起こされた通話の場合のダイアルされた桁を隠蔽するのに用いることができる、被通話加入者隠Ｍ（ｃａｌｌｅｄ　ｓｕｂｓｃｒｉｂｅｒｍａｓｋ）も、含んでいる。ＡＵＴＨｌの特定の実施例を、以下に記載し説明する。移動局は、貸与さねたり、盗まれたり、合法的に獲得されたりすることがあり、そのＥＳＮ、秘密キー、ＰＩＮコード等を含むそのメモリ内容全体がコピーされ、そして多数のクローンを製造するために用いられることもあり得る。クローン化手順は非常に洗練されているかもしれず、そして物理的に記憶されたＥＳＮ情報を電子的に記憶された情報と置換するソフトウェアの改造を含んでおり、多数の記憶された移動局の身元が、１つの不正移動局内で巡回的に回転され、そしていくつかの本当の移動局を模倣するために用いられる可能性もある。通話の付番は、ネットワークにクローンか存在するか識別できるようにする手段として、提案されている。通話の付番において、モジュロ−６４カウントが移動局内で続けられ、各通話の後またはネットワークによって命令された時に、増分される。同様のカウントが、ネットワーク内でも続けられている。移動局はその通話番号をネットワークに、通話の進展（ｓｔｅｐ−ｕｐ）時に送信し、ネットワークは受信した通話番号を、内部で発生したものと比較する。この比較は、しかしながら、幾つかの理由の１つのために、できないことがある。（１）停電のような異常な終了のため最後の通話の後に、移動局がその通話カウントを更新しなかった。（２）移動局はその通話カウントを更新したかもしれないが、ネットワークが、異常な終了のため、移動局がそうしたことの確認を受信しなかった。（３）クローン移動局が１回異常の通話を行ない、ネットワークカウンタを進めた。（４）移動局自体がクローンであり、一方で「本当の」移動局がカウンタを進めた。残念なことに、通話カウンタはいずれの方向にも余りに簡単に修正されてしまうので、前述の状態のどれが発生したのかをネットワークは判断できず、したがってネットワークは移動局へのサービスを否定することを強制され得ない。このような最悪の結末を回避するために、移動の加入者は、例えば、移動局のメモリには記憶されていない、短い秘密番号をキー人力することによって、手動で彼自身または彼女自身をネットワークに対して識別する付加的な機会を与えられている。本発明のシステムは、動的な「ローリングキー」を基にした別の対クローン化防護を提供するが、これはホームネットワーク及び移動局の各々に記憶されており、そして認証応答及び一時的暗号化キーを計算するために、永久秘密キーと共に用いられるものである。このようなローリングキーが認証のみのために以前に用いられたことがあるが、それらは認証及び暗号化パラメータの両方を生成するために用いられたのではなかった。ローリングキーの概念の背景にある原理は、クローンに対する防御手段として、そして移動局メモリの複雑で高価な物理的防御を要求する代わりに、各ネットワーク及び移動局内のある履歴情報を照合することを必要としている、ということである。具体的には、クローン移動局がシステムへのアクセスを得るためには、そのクローンは、本当の移動局のその時の現行キー状態をコピーした時刻に続いて、認証挑戦の全履歴を傍受することが必要となる。本発明によれば、認証はホームネットワーク内で、ここではＢ−キーとよばれるローリングキーの組み合わせを用いて行なわれ、これは履歴情報及び永久秘密加入者キー（Ａ−キー）を含んでおり、そして暗号化アルゴリズムに直接もちいられることは決してなく、１つ異常の動作用機密キー（ｏｐｅｒａｔｉｎｇｓｅｃｕｒｉｔｙ　ｋｅｙ）を発生するためのみに用いられるものである。本システムの認証アルゴリズムは、移動局とホームネットワークとが更新について同意した時はいっでも、ローリングキーの現在値になる、ローリングキーの新しい値も計算する。このような更新は、以下に更に述べる両方向認証手順の実行のために、訪問先ネットワークまたはホームネットワークからの要求によって、開始され得るものである。ローリングキーの更新は、訪問先ネットワークが、ホームネットワーク及び移動局において通話カウンタを更新することを決めたなら、会話中いつでも、実行することができる。その通話カウンタを更新する前に、ホームネットワークは、移動局の両方向認証を要求することができる。そして、移動局からの正確な応答の結果、通話カウンタの更新、ローリングキーの更新、及び以後の通話に用いるために訪問先ネットワークに送られる新しい会話機密キー（Ｓ−キー）の発生が行なわれる。同様に、移動局も、両方向認証手順が、訪問先ネットワークがホームネットワークと本当に接触していることを確認した場合のみ、その通話カウンタを更新することができる。確認の際、移動局は、その通話カウンタ及びローリングキー（Ｂ−キー）も更新し、同じ訪問先ネットワークによって供される以後の通話に用いるための新しい会話機密キー（Ｓ−キー）を発生する。通話カウンタとローリングキーとが同時に更新されるので、移動局及びホームネットワークの通話カウンタのチェックが、移動局及びホームネットワークが同一ローリングキー状態にあるかの指示としても、役立つことになる。両方向認証両方向認証即ち移動局とネットワーク両方の認証が、一方向認証と区別されるのは、前者では両方向に送られる認証情報がキーに依存するのに対して、後者では移動局からネットワークへの方向に送られる情報のみがキーに依存する点においてである。本発明によれば、ＲＡＮＤ信号が認証アルゴリズムＡＵＴＨ２への入力として用いられ、これは長いＲＥＳＰ信号を発生し、その一部がネットワークから移動局に送られてネットワークを有効化すると共に、他の部分が移動局によってネットワークに送られて移動局を有効化する。例えば、アルゴリズムＡＵＴＨ２は、ＲＡＮＤからＲＥＳＰを計算し、次に進んでＲＥＳＰをアルゴリズムＡＵＴＨ２への新しいＲＡＮＤ入力として用いることができ、これが次にＲＥＳＰＢＩＳ信号を計算する。ネットワークは、ＲＡＮＤ及びＲＥＳＰＢＩＳを移動局に送信し、これがＲＡＮＤを用いてＲＥＳＰとＲＥＳＰＢＩＳとを、ＡＵＴＨ２にしたがって計算する。移動局は、内部で発生したＲＥＳＰＢＩｓがネットワークから受信したＲＥＳＰＢＩＳと一致する時のみ、内部で発生したＲＥＳＰをネットワークに送る。これは、不正基地局が移動局からＲＡＮＤ、ＲＥＳＰ対を抽出するのを防止するものであり、移動局とネットワークの身元の確認によって、機密状態の更新が、比較的安全に、好都合な後の点に移行することができる。暗号化キー（通話変数またはＳ−キー）の発生通信の暗号化が、訪問先ネットワークにおいて望まれる時、暗号化キーを、ホームネットワークから訪問先ネットワークに通信しなければならない。先に述べたように、永久秘密加入者Ａ−キーが特に保護されていないリンク上でネットワーク間を巡回することは、非常に望ましくない。代わりに、そして本発明によれば、ホームネットワークは、所与の加入者のＡ−キーを決して放出せず、一時的トーク変数（ｔａｌｋ−ｖａｒｉａｂｌｅ）機密キー（Ｓ−キー）を発生するためのみにＡ−キーを用いており、次に特定の通話または通話群を暗号化するための疑似ランダムキーストリームを発生するために、それが用いられる。本発明の疑似ランダムキーストリーム発生技術についての先の議論において言及した「秘密キー」は、暗号化に直接用いられるＳ−キーを表わしたのであって、Ｓ−キーが得られる永久秘密Ａ−キーのことではない。有効なＭＩＮ、ＲＡＮＤ、及びＲＥＳＰを受信した時に、このＳ−キーを計算し−でホームネットワークから訪問先ネットワークに送る。Ｓ−キーは、認証挑戦一応答信号（ＲＥＳＰ）と同時にそして同じ過程によって計算されるので、成功した認証は、ネットワークと移動局が同一暗号化キー（Ｓ −キー）を有し、そして結果的に認証が完了するとすぐにユーザデータの暗号化が開始できることを保証する。したがって、本発明のシステムにおける認証と暗号化との連係は、移動局及び基地局によって識別されなければならない異なる機密−機構の組み合わせの数を、四（４）から二（２）に減少させることがわかるであろう。入力及び出力ビツトカウントトーク変数（Ｓ−キー）は、上述のＲＥＳＰ及びＲＥＳＰＢ　Ｉｓパラメータを生成したのと同じ認証アルゴリズムの副産物として発生される。このようなアルゴリズムからの他の所望の出力は、（ｉ）通話された加入者番号を隠蔽するのに十分なビット、及び（ｉ　ｉ）ネットワークが両方向認証によって有効化され、及び／または通話カウンタ更新命令が発行された場合に、現状態を置換するローリングキー（Ｂ−キー）の次の状態を、含む。例として、そして本発明の教示に対する制限はしないものとして、次の表はアルゴリズムの出力に対する、ビット及びバイトカウントを例示したものである。出力　ビット数　バイト数ＲＥＳＰ　３２　４ＲＥＳＰＢＩＳ　３２　４通話された番号隠蔽　６４　８Ｓ−キー　６４　８次のＢ−キー　６４　８合計ビット　２５６　合計バイト　３２次の表は、アルゴリズムの入力に対するビット及びバイトカウントを例示したものである。ＲＡＮＤ　３２　４ＥＳＮ　３２　４ダイアルされた桁　００合計ビット　２５６　合計バイト　３２上に示した値は、３２ビツト入力及び３２ビツト出力を有するアルゴリズムを与えるために、故意に丸めたものである。これより短い変数を用いる場合、定数を用いて拡張すればよい。先の入力及び出力バイトカウントを　・存し、移動局に一般的に見出される形式の簡素な８ビツトマイクロプロセツサにおける、バイト幅動作による高速実行に相応しいアルゴリズムを、「認証アルゴリズムの定義」と題された別個の章で、以下に記載する。本認証システムの一般的特性本発明は、ネットワーク操作者の自由に用いることができる、認証の２つのステップを提供する。第１のステップは、先の説明でＡＵＴＨｌと呼ばれていたものである。認証アルゴリズムの定義と題された章で記載されるアルゴリズムは、ＡＵＴＨｌのために用いられる。このようなアルゴリズムでは、ダイアルされた桁は、出力に影響を与えない。制御チャンネル上の１６ビツトＲＡＮＤ同報通信か用いられ、３２ビツトの入力を与えるために２度含まれる。このアルゴリズムの出力パラメータは、移動局によって通話チャンネル上のネットワークに送られるＲＥＳＰとＭＩＮと、ＴＤＭＡ　トラフィックチャンネルに切り換えた時直ちにユーザデータを暗号化するのに用いることができる通話変数（Ｓ−キー）とを含む。移動が発した通話の場合、通話された加入者番号を１７１Ｍするために、付加的な出力パラメータが与えられる。こ　。のパラメータは、ホームネットワークから訪問先ネットワークに送られ、通話された番号の隠蔽を解くことができるようになっている。先の説明では、ＡＵＴＨ２と呼ばれていた第２の認証ステップは、一旦通信がトラフィックチャンネル上に確立されると、ネットワークの自由に遂行することができる両方向認証である。両方向認証ステップの目的は、移動局及びホームネットワークの両方でのローリングキー（Ｂ−キー）の更新を開始し、同時にそれらを互いに有効化することであり、こうしである形式の不正基地局のシステムの機密性への攻撃を防止している。ＡＵＴＨ２のアルゴリズムは、以下の認証アルゴリズムの定義と題された章に記載されたＡＵＴＨＩのアルゴリズムと、ＲＡＮＤ値がホームネットワークによって決定され、ＲＥＳＰＢＩＴと共に訪問先ネットワークに送られ、そしてそこから移動局に送られることを除いて、同一である。移動局がＲＥＳＰＢＩＳを有効化すると、移動局はＲＥＳＰを訪問先ネットワークに送り、これがＲＥ　Ｓ−Ｐをホームネットワークに送る。ホームネットワークがＲＥＳＰを有効化した場合、ホームネットワークは、訪問先ネットワークに、次の通知のために用いることができるＳ−キーを送る。　次に第９図を参照すると、本発明の認証アルゴリズム及び暗号化技術を用いた移動セルラシステムの図式表現がそこに示されている。便宜上、１台の移動局、１台の訪問先ネットワーク及び１台のホームネットワークのみが、第９図に描かれているが、実際には多数の移動局、訪問先ネットワーク及びホームネットワークが通常見出されることが、理解されよう。第９図に見られる以下の略号は、次の用語からきたものである。ＡＩ及びＡ２　夫々ＡＵＴＨ！及びＡＵＴＨ２Ａ３　本発明に依る暗号化技術ＩＶＣＤ　初期音声チャンネル指定ＭＳ　移動局ＶＬＲ訪問先ネットワークＨＬＲホームネットワーク第９図において、訪問側ネットワークは、新しいＲＡＮＤＩ値を、そのサービス領域内の全移動局に、定期的に同報通信する。移動局の各々は、応答ＲＥＳＰＩを計算し、これがＭ　Ｉ　Ｎ及び通話履歴パラメータＣ０ＵＮＴと共に訪問先ネットワークに送られる（いくつかの用途では、ＲＥＳＰ　１．ＭＩＮ及びＣ０ＵＮＴは別個に送られることもあることに注意されたい）。訪問先ネットワークは、移動局のホームネットワークからの特定の移動局に対する暗号化キー（Ｓ−キー）を要求する。ホームネットワークは、ＲＡＮＤ　１、ＥＳＮ、Ａ−キー及びＢ−キーを、認証アルゴリズムＡＩに適用することによって、それが得たパラメータと受信した応答を比較し、当該移動局が本物かを判断し、それにしたがってホームネットワークは一時的暗号化キー（Ｓ−キー）を訪問先ネットワークに放出する。訪問先ネットワークが暗号化キーを受信しない場合、訪問先ネットワークは移動局へのサービスを否定することができる。訪問先ネットワークがアクセスを付与し、ＴＤＭＡチャンネル（または幾つかの用途では制御チャンネル）を移動局に割り当てると、そのチャンネルを定義するパラメータ、即ち、周波数、タイムスロット及びＤＶＣＣが、訪問先ネットワークから移動局に送られ、割り当てられたトラフィック（または制ｗＪ）チャンネルに同調させる。その後、訪問先ネットワークと移動局とは、Ｓ−キーを用いて暗号化モードで通信することができる。先に引用し、参考として組み込まれた［セルラ通信システム用連続暗号同期」と題する、関連する係属中の特許出願に記載されているように、訪問先ネットワークは、そのフレームカウンタを、暗号解除された５ＡＣＣＨを通じて送り、そして固定数の暗号解除されたＦＡＣＣＨメツセージも送る。ＦＡＣＣＨのシグナリング（ｓ　ｉｇｎａ　１１　ｉｎｇ）またはトラフィックの更なる交換が、暗号化モードにおいて生じることがある。両方向認証及びローリングキーの更新一旦移動局と基地局とが、トララフイックチャンネル上で通信を確立すると、訪問先ネットワークは、いつでも、両方向認証の実行、並びにローリングキーと通話カウンタの更新を、移動局にＲＡＮＤ２及びＲＥＳＰ３を送ることによって、要求する。移動局は、ＲＡＮＤ２、ＥＳＮ、Ａ−キー及びＢ−キーを用いて、予測されるＲＥＳＰ３及びＲＥＳＰ２を発生する。内部で発生したＲＥＳＰ３が、受信したＲＥＳＰ３と同一であれば、移動局は、ＲＥＳＰ２を訪問先ネットワークに送る。訪問先ネットワークは、ＲＥＳＰ２をホームネットワークに送り、そしてホームネットワークの内部で発生したＲＥＳＰ２が受信したＲＥＳＰ２と同一であれば、新しく計算した通話変数Ｓ−キーがホームネットワークから訪問先ネットワークに送られる。訪問先ネットワークは、訪問側移動局に関連する将来の通話に用いるために、このＳ−キーを記憶する。現在の通話は、古いＳ−キーを用いて暗号化され続ける。ハンドオーバーまたは通話の終了時に、この新しいＳ−キーが使用され始める。認証アルゴリズムの定義記述の概要本発明の認証アルゴリズムは、通話側チャンネルでの認証（ΔＵＴＨＩ）と、トラフィックチャンネルでの両方向認証（ＡＵＴＨ２）との両方に、用いることができる。アルゴリズムの例示的コーディングが、幾つかの一般的なマイクロプロセッサの実施に対して、与えられる。以下に続く記述では、アルゴリズムの入力及び出力変数に対して、あるバイトカウントが選択されている。しかしながら、このようなバイトカウントは、単に例示であり、本認証アルゴリズムの適用性に対する限定を意図したものでもなければ、そう解釈すべきでもないことは、明白に理解されよう。アルゴリズムの入力及び出力変数本発明のシステムのアルゴリズムは、合計３２バイトの入力信号を用い、３２バイトの出力パラメータを発生する。これは、１６バイトの入力変数を用い、１６バイトの出力変数を発生するアルゴリズムを２回適用することによって、達成される。この入力変数は、ＲＡＮＤ：　４バイトまでに対して設けられる］Ｎ０Ｎ −３ＥＣＲＥＴＥＳＮ：　４バイトまでに対して設けられる］ＶＡＲＩＡＢＬＥＳＫａ：１６バイトの永久キー（Ａ−キー）コＥＣＲＥＴＫｂ：８バイトのローリングキー（Ｂ−キー）　〕ＶＡＲＩＡＢＬＥＳ３２の出力バイトは、以下のパラメータとしてシステム内で用いるために、指定される。０−３　：認証応答（ＲＥＳＰ）４−７　：ＲＥＳＰＢＩＳ（両方向認証に必要とされる）８−１５　：通話された加入者番号の隠蔽（もし使われるなら）１６−２３：キー更新が生じた場合、次のＫｂ２４−３１　：この通話を暗号化するためのトーク変数（Ｓ−キー）３２バイトのアルゴリズムへの入力は、１６バイトのグループに分割され、これらがアルゴリズムの最初の用途において用いられ、第１の１６バイトの出力（バイト０−１５）を生成する。次に、３２バイトの入力は、別の方法で分割されて、アルゴリズムの２番目の用途に用いられ第２の１６バイトの出力（バイト１６ −３１）を生成する。アルゴリズムの全体的構造本アルゴリズム（コード）は、セルラ無線電話にて用いられる形式の簡素なマイクロプロセッサ上での、非常に効率的かつ高速な実行のために構成されたものである。小さな内部コードループを繰り返し用いることが、コードを１００バイト領域内に制限するのに役立っている。外部ループは、混合過程を５項目繰り返し実行することから成る。混合過程は、第１０図に示されている。次に第１０図を参照すると、本発明の認証アルゴリズムに用いられる混合過程の概略ブロック図がそこに示されている。混合過程３００は、１６個のキーバイトの第１の入力と、１６個の入力バイトの第２の入力とを、備えている。最初の繰り返しに対する１６人カバイトは、次の順序の４バイトのＲＡＮＤ、４バイトのＥＳＮ、及び８個のローリングキーバイトＫｂ　（０−７）から成る。ＲＡＮＤ　４バイト（１６ビツトのＲＡＮＤが２回繰り返されている）ＥＳＮ　４バイトＫｂ　（０）混合過程の各繰り返しに対する入力として設けられた１６個のキーバイトは、８個のローリングキーバイトＫｂ（０−７）と１６個の永久キーバイトＫａ　（ｏ −１５）からの巡回式選択である。アルゴリズムの最初の用途では、１６個のキーバイトの使用順序は、以下の通りである。繰り返し番号　用いられるキーバイトＩ　Ｋａ（０）−−−＞Ｋａ（１５）２　Ｋｂ（０）−−−＞Ｋｂ（７）　；Ｋｂ（０）−一−＞Ｋｂ（７）３　Ｋａ（８）−−−＞Ｋａ（１５）　：Ｋｂ（０）−一−＞Ｋｂ（７）４　Ｋｂ（４） −−−＞Ｋｂ（７）　；Ｋａ（０）−−一＞Ｋａ（１１）５　Ｋａ（４）−−− ＞Ｋａ（１１）　；Ｋｂ（０）−−−＞Ｋｂ（３）上述のキー列は、単にキー変数を一時的メモリ領域にＫｂ、Ｋａ、再びＫｂの順にコピーし、そしてそれらを連続的に各繰り返しに対して適切な場所から開始してこのメモリから選択することにより、得ることができる。アルゴリズムの混合過程混合過程３００は、１６個のキーバイトと１６個の入力バイトを対にして、例えばバイト幅加算命令を用いて、組み合わせる。また、混合過程３００は、ランダム１：１置換ボツクスまたは、以後Ｓ−ボックスと呼ぶことにする参照テーブル、を用いて、１バイト値を別の１バイト値に変換する。Ｓ−ボックスは、本システムのキーストローク発生器によって用いられ、パラメータＲの源として第５− ６図に関して先に論じたのと同じ参照テーブルであることが、好ましい。Ｓ−ボックスは、マイクロプロセッサのプログラムメモリに含まれている２５６バイトのリードオンリメモリ（ＲＯＭ）によって、実施することかできる。１：ＩＳ− ボックスは、各８ビツト入力値が唯一の８ビツト出カバイトを生成する、または言い換えれば、各可能性のある８ビツト値がテーブル内に１度しか現われないことを意味する。これは、一様でない値の分布を回避するために望ましいものである。あるマイクロプロセッサでは、Ｓ−ボックスのアドレッシングが最下位アドレスバイトの操作のみを必要とするように、Ｓ−ボックスが２５６バイトページの境界に来るように構成すると、プログラミングタスクが簡素化される。次に第１１図を参照すると、混合過程の構築ブロックまたは混合セルの概略ブロック図がここに示されている。混合過程は、通常第１１図に示した形式の複数の混合セルまたは内部ループから構成することができる。第１０図に示す特定の混合過程は、１６個のこのような混合セルの垂直な積み重ねとして、視覚化することができる。これらのセルの各々は、加算器３１０によって共に加算される、１つのキーバイトと１つの入力バイトとが備えられている。加算器３１０の出力を用いてＳ−ボックス３２０の内容をアドレスし、これが加算器３１０の出力によって定義されたアドレスに記憶されている出力バイトを放出する。混合セルまたは内部ループのソフトウェアの実施を、以下「インテルｊ及び「モトローラ」のアーキテクチャのマイクロプロセッサに対して、記載する。アルゴリズムの第２の用途アルゴリズムの第２の用途は、会話キー（Ｓ−キー）、そして、実行されるのであれば、ローリングキー（Ｂ−キーまたはＫｂ　（０−７）の更新のために用いることができる１６個の出力バイトの第２のグループを発生する。アルゴリズムの第２の用途は、キーバイト及び入力バイトが用いられる順序を除いて、第１の用途と正確に同一である。アルゴリズムの第２の用途では、１６個のキーバイトの使用順序は、次の通りである。繰り返し番号　用いられるキーバイトＩ　Ｋｂ（０）−−−＞Ｋｂ（７）　；Ｋａ（０）−−−＞Ｋａ（７）２　Ｋａ（８）−−−＞Ｋａ（１５）　；Ｋｂ（０）−−−＞Ｋｂ（７）３　Ｋｂ（４） −−−＞ｋｂ（７）　：Ｋａ（０）−−−＞Ｋａ（ｌ　ｌ）４　Ｋａ（４）−− −＞Ｋａ（１１）　；Ｋｂ（０）　−−−＞Ｋｂ（３）５　Ｋａ（０）−−−＞Ｋａ（１５）加えて、１６ビツト人カアレイが、Ｋｂバイトの代わりにＫａバイトを用いて以下のように、初期化される。ＲＡＮＤ　（０）ＲＡＮＤ（１）ＲＡＮＤ　（０）ＲＡＮＤ　（１）ＥＳＮ　（０）ＥＳＮ（１）ＥＳＮ　（２）ＥＳＮ　（３）Ｋａ　（７）Ｋａ　（８）Ｋａ　（９）Ｋａ（１０）Ｋａ　（１１）Ｋａ（１２）Ｋａ（１３）Ｋａ（１４）アルゴリズムの第２の用途の５回の繰り返し全てを実行した後、１６バイト人カアレイ内の２番目８バイトが、一時的暗号化変数（Ｓ−キー）として用いられ、そして、ローリングキーの更新が実行されると、最初の８バイトが次のローリングキー変数となる。ローリングキーの更新の際、最初の８個の出力バイトが、Ｋｂ　（１）、Ｋｂ（２）、Ｋｂ　（３）、Ｋｂ　（４）　、Ｋｂ　（５）、Ｋｂ（６）、Ｋｂ　（７）、Ｋｂ　（０）の順で、古いローリングバイトを上書きする。Ｓ−ボックスの内容以下に記載するＳ−ボックスの内容は、例示するのみであり、本発明の認証及び暗号化システムの更なる説明において与えられるものである。先に述べたように、認証アルゴリズムにおけるＳ−ボックスは、本発明の暗号化技術に用いられるＲ参照テーブルと同一でもよい。Ｓ−ボックスの内容を、以下に１６進表記で表わす。最初のバイト（値＝５０）は、場所０、即ちＲＯＭの開始アドレスにある。第１ラインのデータ（１６の値）は、場所０から１５に記憶され、後続のラインのデータは、夫夫ＲＯＭのそれに続＜１６箇所に記憶される。アドレス　データ（００）　６００２　ＦＩ　Ｃ８ＤＥ　２１０ｉｌ　ＩＣＡＳ　Ｆ８９＾６１１０４＾３Ｃ３４（１０）　ＣＢ　Ｆ９　Ｃｏ　７７２０　Ｂ３　Ｆ５８８　Ｃ２８Ｃａｌｌ　７１　ＥＣ４８４１１８５（２０）　５Ｃ０４８９ａＧ　７Ｂ　Ｃ３ＣＡ　９９＾Ｄ　５Ｅ　９１＾０９Ｃ８１ＥＡ　２Ｃ（３０）　５Ｆ　９４　９７　０８　４０　Ａ＾　７４　１Ｂ　８８　Ｂフ　４Ｃ６５３６１０２８ＥＦ（４０）　Ｃ４４５Ｂｅ　６０　Ａ７　＾Ｅ　５Ｄ　２３　Ｆ４　ＣＥ　Ｃ９７０Ｃ８Ｂ４　５４　Ｆ７（５０）　６Ａ　２Ｚ　ＢＥ　Ａ８８８９Ｆ　２８５７３２　ＥＩ　Ｃ２Ｃ５ＨＥＢ　６Ｆ　３Ｆ（６０）　Ａ３３８４１４７２５０６２９　Ｃａ　００　Ｃ８０７８Ｆ　６６１Ａ　６８６Ｂ（７０）　５９　ＣＤ　＋１０８Ａ　５２０＾ＩＥ　６７１９５３　ＣＦ　３０２Ｄ　３７５１７Ｇ（８０）　４２　Ｂ２　ＢＯＡ２９５０４８５９Ｅ　７３８Ａ　５Ａ　５Ｂ　８０９０　Ａ５９８（９０）　４０　Ｃ３４９ＱＣＣ１３Ｅ　Ｃ８フＦ　９２　０Ｆ　３３　Ａ１　２Ｆ　８Ｅ　３＾　７Ｅ（ＡＯ）　ＥＤ　Ｃ５Ｆ２　Ｆｏ　０３　８Ｂ　７８　９０　ＤＢ　フＢ　Ｃ７ＢＥ　２Ｅ　Ｃ４７＾　Ａ３（Ｂｅ）　４Ｆ　ＡＦ　Ａ７９６３８８１２４６７　ＦＦ　８９８６０８５８　ＣＣ０９３０（Ｃｏ）　３１　Ｆ３　６２　９８　ＦＢ　ＯＦ　Ｏフ　３９　Ａ８　Ｄ２　１６　ＤＯ４３６３Ｄｏ　ＦＥ（Ｄｏ）　８２　０５　Ｉｌｌ　ＢＦ　１２　０１　６ＣＡ４　ＩＦ　Ａｓ　８０　Ｂ４　０８　４Ｅ　ＯＥ　Ｆム（ＥＯ）　１１８４　Ｃａ１４６８０１４２８３８　ＥＥ　ＥＯＦＣＤＣ７０５８７２ＤＩ（ＦＯ）　５５　Ｚ＾　０５　Ｄ３　２７　４４　ムＣロ＾　８３　７１１　０９　ＦＳＩ　７５　Ｃ７Ｇｏ　ＦＯマイクロプロセッサの一般的形式用コーディング例８０８０／８０８５　及びＺ８０　コード固定ＲＯＭ即ちＳ−ボックスは、１６ビツトレジスタＤＥによってアドレスされたページ境界上に配置された２５６バイトのテーブルである。ＣＥＬＩＩＩ：　ＬＤＡＸ　Ｂ　；ＢＣＩＥＧＩＳＴＥＲＩｓ　ＵＳＥＤ　ＴＯＰＯＩＮＴ　Ｔｏ　ＫＥＹ＠ＹＴＥｓＡＤＤＩ；丁ＨＥ　ＩＩＬ　ＲＥＧ［５ＴＥＲＰＯＩＮＴ５　ＴＯＩＩＩＰＵＴ　ＢＹＴＥ５１０Ｖ　Ｅ、Ａ　；　ＴＨＥ　５ｉｌｌ　ＯＦ　Ａ　ＫＥＹ　ＢＹＴＥ　ＡＮＤ　ＡＮ　ＩＮＰＵＴ　ＢＹ置ＬＤＡＸ　Ｄ　；ＡＤＤＩＥ５５Ｅ５　ＴＩＩＥ　Ｓ−１１０１１０Ｖ　１．Ａ　；ＯυＴＦｕＴ　ＩＩＹＴＥ　ＦＲＯＭ　Ｓ−１１０Ｋ　０ＶＥＲＷＲＩＴＥＳ　ＩＮＰＬＩＴＩＮＸ　ＩＩ　；ＮＥＸＴ　ＩＩＩＰＵＴ　ＢＹＴＥ　ＡＤＯＩＥ５５ＩＮＸ　Ｂ　；ＮＥＸＯＥＹＩＩＹ丁ＥＡＤＤＩＥＳＳＥＴ上記ルーチンは、次のように用いられる。（１）Ｄレジスタを、ページ境界にあるＳ−ボックスの開始アドレスのＭＳＢにセットする。（２）先に述へた繰り返し数にしたがって、キーノくイトのアレイ内の適切な開始アドレスにＢＣを初期化する。（３）入力バイトの１６パイトアレイへのポイントにＨＬを初期化する。（４）ルーチンを１６回実行する。直前のステップは、上記混合過程の１回の繰り返しを実施するものである。最初の繰り返しに先立ち、ＲＡＮＤ、ＥＳＮ及びＡ−キー及びＢ−キーバイトの先に示した選択を用いて、１６バイトの入力アレイが初期化される。１６個の出力バイトは、元の入力バイトアレイにあり、次の繰り返しに対する入力のために使用可能となってい、る。先に示したキーバイトの選択を用いて５回の繰り返し全てを実行した後、１６個の出力バイトは、アルゴリズムの所望の出力を表わしている。６８０９用コードＣＥＬＩＩＩＸ：　ＬＩＩＡ　、ｌ＋　；　ＴＨＥ　Ｘ　ＩＥＧＩＳＴＥＲ１５１１ｓＥＯＴＯＰＯＩＮＴ　Ｔ。ＩＥＹ　ＩＩＹＴＥ５ＡＤＯＡ、Ｙ　；ＴＨＥ　Ｙ　ＩＥＧＩＳＴＥＲＰＯＩＮＴ５　ＴＯＩＩＩＦＬＩ丁ＬＤＡ　Ａ、ＩＩ　；ＩＩ＝ＡＤＤＩＥＳ５　ＧＦ　５−ＢＯＸ　５ＴＡＲＴ、Ａ＝ＯＦＦＳＥＴ５ＴＡ　、Ｙ＋　；ＢＹＴＥ　ＦＩＯＩＩＩ　５−ＢＯＸ　０ＶＥＲＩＢＩＴＥ５　ＩＮＰＵＴＹＴＥ＋は、指示されたレジスタの使用後の自動増分を意味する。このルーチンは次のように用いられる。（１）ＵレジスタをＳ−ボックスの先頭にアドレスするようにセットする。（２）先に述べたキーバイトの使用順序にしたがって、適切なキーバイトへのポインタに、Ｘレジスタを初期化する。　（３）１６バイト入カバイトアレイの先頭へのポイントにＹレジスタを初期化する。（４）ルーチンを１６回実行する。直前のステップは、第１Ｏ図に示した混合過程の繰り返しを１回実施するものである。最初の繰り返しに先立って、先の例におけるように、ＲＡＮＤ、ＥＳＮ及びＡ−キーまたはＢ−キーの指定された選択を用いて、１６バイト人力アレイが初期化される。したがって、Ｙレジスタを入力バイトアレイの先頭に再初期化し、そして、残りの４回の繰り返しを実行する前に、各ステージに対する適切なキーバイトへのポイントにＸレジスタを再初期化することのみが、必要となる。５回目の繰り返しの後、■６バイトの入力アレイは、認証、そして、もし実施されたのなら、加入者の身元隠蔽に用いられるアルゴリズムの第１の用途からの１６個の出力バイトを含んでいる。上述のことから、本発明のシステムには、多数の概念が実施されていることが、認められよう。これらの概念の中で、認証キーのある部分（即ち「ローリングキー」部分）を定期的に更新して、複製物がシステムの履歴を追跡しなければならないようにすることが、主たるものである。両方向認証がトラフィックチャンネルにおいて用いられ、セルカウンタの更新に連係されたローリングキーの更新を行なう。本発明の認証アルゴリズムの実行が、後続の通話または通話グループを暗号化するために用いることができる、一時的会話キー即ち「トーク変数」機密キー（Ｓ −キー）も発生すること、及び実際の秘密永久加入者キー（Ａ−キー）は、ホームネットワークによって決して放出されないことも、判るであろう。加えて、本発明のアルゴリズムは、通話された加入者の身元を隠蔽するために用いることができる別の出力を生成する。これまでの記述は、本発明のある特定の実施例のみを示すものである。しかしながら、本発明の精神及び範囲から実質的に逸脱することなく、多くの修正及び変更を行なうことができることを、当業者は認めるであろう。したがって、ここに記述した本発明の形式は、例示に過ぎず、以下の請求の範囲に規定した本発明の範囲に対する限定として意図されたものでないことは、明確に理解されよう。秘密キーピット手続補正書平成５年９月４日

Claims

【特許請求の範囲】

１．デジタルセルラ通信システムにおける通信の機密性を強化するために用いられる複数のパラメータの発生のための方法であって、各移動局には唯一の多数桁秘密永久キーが割り当てられ、定期的に変化する多数桁ローリングキーが機密性を高めるために用いられており、前記永久キーと前記ローリングキーの両方は、各移動局と移動のホームネットワークに記憶されており、ある位置で、訪問先ネットワークからのランダム認証問い合せを表わす信号と、特定の移動局を表わす信号とを含む、複数の多数桁入力信号を、前記特定の移動局の多数桁永久キー及び前記特定の移動に関連した多数桁ローリングキーと共に、その特定の時刻に受信し、前記入力信号の桁を第１の集合（ｇｒｏｕｐｉｎｇ）に構成し、前記入力信号の第１の集合と前記永久及びローリングキーの桁から、第１のアルゴリズムにしたがって、第１の出力値を計算し、前記第１の出力値を含む桁の連続的に構成したブロックを、訪問先ネットワークによる認証の問い合せに対して返答するために、前記移動局によって用いられる認証応答と、それを移動局に対して認証するために、訪問先ネットワークによって用いられる認証信号とを含む、前記システム内で用いるための選択されたパラメータに割り当て、前記入力信号の桁を、第２の集合に構成し、前記入力信号の第２の集合と、前記永久及びローリングキー桁から、第２のアルゴリズムにしたがって、第２の出力値を計算し、及び前記第２の出力値を含む桁の連続的に構成したブロックを、システム内で通信データを暗号化するための疑似ランダムビットのキーストリームを計算するために用いられる機密キーと、次の特定時刻に特定な移動と関連する新しいローリングキーとを含む、前記システム内で用いるための選択したパラメータに割り当る、ことから成る、前記方法。
２．請求項１記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記第１の出力値を含む前記桁の連続的に構成されたブロックが割り当てられる、前記システム内で用いるための出力パラメータは、移動局によって送信された通話された番号を隠蔽するために用いられる信号も含んでいる、前記方法。
３．請求項１記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記第１及び第２のアルゴリズムは、コードループの繰り返し実行を含んでいる、前記方法。
４．請求項１記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発明のための方法において、前記入力信号及び前記キー桁は、バイトに集合化され、そして前記第１及び第２の了ルゴリズムは、入力信号及びキー桁のバイトの夫々の対が繰り返し互いに加算される、混合過程を備えている、前記方法。
５．請求項１記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記方法は、各移動局のホーム交換において実行される、前記方法。
６．請求項４記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記第１のアルゴリズムにしたがった計算は、前記入力信号及び前記ローリングキー桁を含む一連のバイトを集合化し、そして、その夫々のバイトを第１の順序で配置された前記永久キーのバイトと加算によって混合することを含んでいる、前記方法。
７．請求項６記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記第２のアルゴリズムにしたがった計算は、前記入力信号及び前記ローリングキー桁を含む一連のバイトを集合化し、そして、その夫々のバイトを前記第１の順序とは異なる第２の順序で配置された前記永久キーのバイトと加算によって混合することを含んでいる、前記方法。
８．請求項４記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、各加算から得られた前記値は、その入力及びその出力の間で１：１のマッピングを有する固定参照テーブルから、乱数を得るために用いられる、前記方法。
９．請求項４記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータの発生のための方法において、前記固定参照テーブルは、前記システム内で、通信データを暗号化するための疑似ランダムキーストリームを発生するためのアルゴリズムにおいて用いるための、乱数を得るためにも用いられる、前記方法。
１０．デジタルセルラ通信システムにおける通信の機密性を強化するために用いられる複数のパラメータの発生のためのシステムであって、各移動局には唯一の多数桁秘密永久キーが割り当てられ、定期的に変化する多数桁ローリングキーが機密性を高めるために用いられており、前記永久キーと前記ローリングキーの両方は、各移動局と移動のホームネットワークに記憶されており、ある位置で、訪問先ネットワークからのランダム認証問い合せを表わす信号と、特定の移動局を表わす信号とを含む、複数の多数桁入力信号を、前記特定の移動局の多数桁永久キー及び前記特定の移動に関連した多数桁ローリングキーと共に、その特定の時刻に受信するための手段と、前記入力信号の桁を第１の集合に構成する手段と、前記入力信号の第１の集合と前記永久及びローリングキーの桁から、第１のアルゴリズムにしたがって、第１の出力値を計算する手段と、前記第１の出力値を含む桁の連続的に構成したブロックを、訪問先ネットワークによる認証の問い合せに対して返答するために、前記移動局によって用いられる認証応答と、それを移動局に対して認証するために、訪問先ネットワークによって用いられる認証信号とを含む、前記システム内で用いるための選択されたパラメータに割り当てる手段と、前記入力信号の桁を、第２の集合に構成する手段と、前記入力信号の第２の集合と、前記永久及びローリングキー桁から、第２のアルゴリズムにしたがって、第２の出力値を計算する手段と、及び前記第２の出力値を含む桁の連続的に構成したブロックを、システム内で通信チータを暗号化するための疑似ランダムビットのキーストリームを計算するために用いられる機密キーと、次の特定時刻に特定な移動と関連する新しいローリングキーとを含む、前記システム内で用いるための選択したパラメータに割り当る手段と、ことから成る、前記方法。
１１．請求項１０記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記第１の出力値を含む前記桁の連続的に構成されたブロックが割り当てられる、前記システム内で用いるための出力パラメータは、移動局によって送信された通話された番号を隠蔽するために用いられる信号も含んでいる、前記システム。
１２．請求項１０記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記第１及び第２のアルゴリズムは、コードループの操り返し実行を含んでいる、前記システム。
１３．請求項１０記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記入力信号及び前記キー桁は、バイトに集合化され、そして前記第１及び第２のアルゴリズムは、入力信号及びキー桁のバイトの夫々の対が繰り返し互いに加算される、混合過程を備えている、前記システム。
１４．請求項１０記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムであって、前記システムを各移動局のホーム交換に実施するための手段も備えている、前記システム。
１５．請求項１３記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記第１のアルゴリズムにしたがった計算のための手段は、前記入力信号及び前記ローリングキー桁を含む一連のバイトを集合化し、そして、その夫々のバイトを第１の順序で配置された前記永久キーのバイトと加算によって混合する手段を含んでいる、前記システム。
１６．請求項１５記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記第２のアルゴリズムにしたがった計算のための手段は、前記入力信号及び前記ローリングキー桁を含む一連のバイトを集合化し、そして、その夫々のバイトを前記第１の順序とは異なる第２の順序で配置された前記永久キーのバイトと加算によって混合する手段を含んでいる、前記システム。
１７．請求項１３記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、各加算から得られた前記値は、その入力及びその出力の間で１：１のマッピングを有する固定参照テーブルから、乱数を得るために用いられる、前記システム。
１８．請求項１７記載のデジタルセルラ通信システムにおいて通信の機密性を強化するために用いられる複数のパラメータを発生するためのシステムにおいて、前記固定参照テーブルは、前記システム内で、通信データを暗号化するための疑似ランダムキーストリームを発生するためのアルゴリズムにおいて用いるための、乱数を得るためにも用いられる、前記システム。