シャープ・イニシャル状態と八つのワーク変数

SHA-256 アルゴリズムの中核であるラウンド関数は、8 つの 32 ビットワーク変数（A から H と呼ばれる内部状態）を操作して行われます。これらの変数は初期ハッシュ値として設定され、各ラウンド処理で更新されていきます。入力データからのメッセージ単語（Message Word）およびラウンドごとの定数を用いて、これらの状態が複雑に混合されます。

各ラウンドにおける処理は厳密に定義された数学的操作に基づきます。以下のセクションでは、変数の初期化から計算プロセス、そして状態の更新メカニズムまでを技術的な観点から分解して解説します。

二つの補助変数の導出過程

各ラウンドの実行において、まず2 つの臨時変数（ここでは T1 および T2 と表記）が計算されます。これらは現在のワーク変数群と外部パラメータを組み合わせて生成され、次のステップでの状態変更の根拠となります。

T1 の算出ロジック

T1 は、ステートの右側部分（E, F, G, H）およびその変換結果に基づき算出されます。数式は以下の通りです：

T1 = H + Σ1(E) + Ch(E, F, G) + K[r] + W[r]

• H の直接代入: 右端の変数がそのまま加算項となります。これは最新の情報を持続させる役割があります。
• Σ1 展開関数: E 変数の位回転（Rotational Shift）と排他的論理和（XOR）を組み合わせた非線形変換です。
  Σ1(x) = ROTR(x, 25) ⊕ ROTR(x, 14) ⊕ ROTR(x, 6)（注：SHA-256標準仕様に基づく）
• 選択関数 Ch: E を条件として、F または G からビットを選択する関数。
  Ch(x,y,z) = (x ∧ y) ⊕ (~x ∧ z)
• K[r] と W[r]: 各ラウンドに対応する固定定数と、メッセージスケジューリングによって生成された入力度。

T2 の算出ロジック

T2 は左側の状態（A, B, C）に基づき計算されます：

T2 = Σ0(A) + Maj(A, B, C)

• Σ0 展開関数: A 変数に対して別の回転量と XOR 組合せを行う変換。
  Σ0(x) = ROTR(x, 30) ⊕ ROTR(x, 19) ⊕ ROTR(x, 10)
• 多数決関数 Maj: 3 つの入力に対する多数派を選別する関数。
  Maj(x,y,z) = (x ∧ y) ⊕ (x ∧ z) ⊕ (y ∧ z)

状態レジスタの更新ルール

T1 と T2 の計算完了後、ワーク変数群の状態遷移が発生します。これはシフトレジスタのような動作ですが、特定の変数に対してのみ追加計算が行われるという特徴があります。

temp_H = G
temp_G = F
temp_F = E
temp_E = D + T1
temp_D = C
temp_C = B
temp_B = A
temp_A = T1 + T2

この更新パターンは以下の特性を持っています：

1. 伝達パス: B, C, D, F, G, H は単純な値の引き渡しを行います。
2. 注入点: A と E は新規計算値（T1+T2 および D+T1）を受け取ります。
3. 非対称性: この設計により、入力変化が特定の経路を通りやすく、他の経路には影響しにくいという拡散（Diffusion）特性が生まれます。

数値による動作検証例

具体的な 32 ビット整数の操作イメージを確認するため、架空の初期状態とラウンドパラメータを使用して一ラウンド分の計算フローを示します。実際の値はモジュロ 2^32 算術を使用します。

想定セットアップ

• A = 0x5a827999, H = 0xe3779290（例示のため簡略化）
• 消息単語 W[0] = 0x5a827999
• 定数 K[0] = 0x5a827999

計算フロー

1. T1 生成: H の値に加え、E に関する Σ1 展開、Ch 関数、K[0]、W[0] をすべて加算します。溢れ出しはカットされます。
2. T2 生成: A に関する Σ0 展開と Maj 関数を加算します。
3. 状態入れ替え:
   • E は新しい値 D + T1 に書き換えられます。
   • A は新しい値 T1 + T2 に書き換えられます。
   • 残りの変数（B~H）は単一のステップシフトされます。

このプロセスを繰り返すことで、元の入力データのビット単位での微小な変化が、数百ビットの範囲にわたって広がり（雪崩効果）、最終的なハッシュ出力に完全なランダム性をもたらします。

セキュリティ設計の根底にある原則

SHA-256 が長期間にわたり安全とされる理由は、ラウンド関数の設計思想にあります。

非線形性の重畳

単純な XOR やシフトだけでは线形攻撃が可能になります。これを防ぐため、Ch および Maj といった真に非線形な論理関数が採用されています。特に Ch は条件分岐（If-Then）に近い振る舞いをすることで、差分攻撃への耐性を高めています。

十分な拡散機能

64 ラウンド実行することで、ある入力変数の 1 ビットの変化が、全ての出力変数に影響を与えることになります。これは「完全拡散」のプロセスであり、統計的分析手法（統計的差分など）を無効化します。

定数による固定点回避

各ラウンドで異なる定数 K[i] を使用することは、ハッシュ値が自身に戻る（Fixed Point Attack）ような特殊ケースを防ぎます。これは量子暗号や未来的な計算能力に対しても堅牢性が保たれる要因の一つです。

ハードウェア実装への視点

FPGA や ASIC などの専用回路での実装においても、SHA-256 の設計は非常に優れています。必要な基本ゲートは加法器、巡回シフタ、論理積・排他的論理和ゲートのみです。

パイプライン化が可能であり、1 サイクルあたり複数ラウンドを処理する構成も容易に組めます。また、計算経路（Critical Path）を短く保つ設計になっているため、クロック周波数の向上が可能です。

コードレベルでの挙動再現

以下に、1 つのラウンド処理を実装した Python 風のサンプルコードを示します。変数名および構造を変更し、可読性と汎用性を高めています。

# 32 ビット制限を持つ循環右シフト関数
def bit_rotate_right(val, shift_amount):
    mask = 0xFFFFFFFF
    shifted_left = (val << (32 - shift_amount)) & mask
    return ((val >> shift_amount) | shifted_left) & mask

# メッセージビット選択関数（Ch）
def selector_func(in_e, in_f, in_g):
    return (in_e & in_f) ^ ((~in_e & 0xFFFFFFFF) & in_g)

# 多数決関数（Maj）
def majority_func(in_a, in_b, in_c):
    return (in_a & in_b) ^ (in_a & in_c) ^ (in_b & in_c)

# 1 ラウンドの実行処理
def execute_round_state(current_regs, msg_word, step_constant):
    # ワーク変数のアンパック
    reg_a, reg_b, reg_c, reg_d, reg_e, reg_f, reg_g, reg_h = current_regs
    
    # 非線形関数と回転計算
    sigma1_e = bit_rotate_right(reg_e, 25) ^ bit_rotate_right(reg_e, 14) ^ bit_rotate_right(reg_e, 6)
    ch_val = selector_func(reg_e, reg_f, reg_g)
    
    sigma0_a = bit_rotate_right(reg_a, 30) ^ bit_rotate_right(reg_a, 19) ^ bit_rotate_right(reg_a, 10)
    maj_val = majority_func(reg_a, reg_b, reg_c)
    
    # 補助変数 T1, T2 の合成（32 ビット制限加算）
    temp_1 = (reg_h + sigma1_e + ch_val + step_constant + msg_word) & 0xFFFFFFFF
    temp_2 = (sigma0_a + maj_val) & 0xFFFFFFFF
    
    # レジスタ更新（インプレイースメント）
    next_reg_h = reg_g
    next_reg_g = reg_f
    next_reg_f = reg_e
    next_reg_e = (reg_d + temp_1) & 0xFFFFFFFF
    next_reg_d = reg_c
    next_reg_c = reg_b
    next_reg_b = reg_a
    next_reg_a = (temp_1 + temp_2) & 0xFFFFFFFF
    
    return (next_reg_a, next_reg_b, next_reg_c, next_reg_d, 
            next_reg_e, next_reg_f, next_reg_g, next_reg_h)

# 動作確認用のダミー実行
dummy_state = [0x6a09e667, 0xbb67ae85, 0x3c6ef372, 0xa54ff53a, 
               0x510e527f, 0x9b05688c, 0x1f83d9ab, 0x5be0cd19]
dummy_result = execute_round_state(dummy_state, 0, 0x428a2f98)
print("更新後の初期レジットリスト:", hex(dummy_result[0]))

比較検討：SHA-1 との違い

先行規格である SHA-1 では、5 つの変数状態とよりシンプルな論理関数が採用されていました。SHA-256 への進化においては、以下の点が明確に強化されています：

1. 状態幅の拡大: 8 変数化により、メモリ消費量は増えますが、同時並列的な情報の保護性が向上しました。
2. 回転量の最適化: 32 ビットに対する回転角度が調整され、ビット混雑率が向上しています。
3. 拡張の独立性: メッセージスケジュールと定数の組み合わせがより独立しており、共通差分攻撃への抵抗力が高まりました。