JP2002229445A

JP2002229445A - べき乗剰余演算器

Info

Publication number: JP2002229445A
Application number: JP2001021128A
Authority: JP
Inventors: Kazuo Asami; 和生朝見
Original assignee: Renesas Design Corp; Mitsubishi Electric Corp
Current assignee: Renesas Design Corp; Mitsubishi Electric Corp
Priority date: 2001-01-30
Filing date: 2001-01-30
Publication date: 2002-08-14
Also published as: US7024560B2; TW509882B; US20020101984A1; KR100442218B1; DE10141460A1; KR20020063793A; CN1368674A; CN1242321C

Abstract

(57)【要約】【課題】高速処理が可能なべき乗剰余演算器を提供す
る。【解決手段】べき乗剰余演算回路は、外部バスとのイ
ンタフェースであるＩ／Ｆ（インタフェース）回路１０
１と、鍵ｅを保持するｅレジスタ１０２と、モンゴメリ
変換をする乗数Ｙを保持するＹレジスタ１０３と、鍵Ｎ
を保持するＮレジスタ１０４と、モンゴメリ変換の演算
時に行なう２Ｂ＋Ｎの値を保持するＢ２Ｎレジスタ１０
５と、平文Ｘを保持するＸレジスタ１０６と、暗号化お
よび復号化のための演算を行なう演算回路１０７と、演
算結果Ｐを保持するＰレジスタ１０８と、べき乗剰余演
算実行時のステートマシンとしての役割を果たすべき乗
剰余制御回路１０９と、モンゴメリ乗算剰余演算と剰余
演算との実行時のステートマシンとしての役割を果たす
モンゴメリ乗算剰余・剰余制御回路１１０と、加算およ
び減算の演算制御を行なう加算・減算制御回路１１１と
を含む。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報通信ネットワ
ーク、交通、金融、医療、流通等の分野において使用さ
れる情報の暗号化技術および復号化技術で使用されるべ
き乗剰余演算器に関し、特に、モンゴメリ（Montgomer
y）のアルゴリズムを用いてべき乗剰余演算を行なうべ
き乗剰余演算器に関する。

【０００２】

【従来の技術】情報通信技術の発展に伴い、情報ネット
ワーク上のセキュリティの確保（データの盗用や破壊を
防止すること）が重要視されるようになってきている。
そのため、情報の暗号化技術および復号化技術が採用さ
れることが多く、その適用分野は単なる情報通信分野に
留まらず、交通、金融、医療、流通等の身近な分野にま
で広がりつつある。この種の暗号化技術および復号化技
術には、高度なセキュリティを単純な原理によって実現
できることが要求される。

【０００３】まず、この種の技術の理解を容易にするた
め、情報の暗号化・復号化についての概略を説明する。
暗号の世界においては、“非対称暗号アルゴリズム”が
質的に優れている。非対称暗号アルゴリズムとは、暗号
化鍵と復号化鍵とが異なっており、そのいずれか一方か
ら他方が“容易に計算できない”暗号アルゴリズムをい
う。この非対称暗号アルゴリズムの代表的なものに、べ
き乗剰余演算（ある数Ｘを何回も乗算してＮで割った余
りをとる計算）を用いるタイプのＲＳＡ（Rivest-Shami
r-Adleman scheme）暗号がある。

【０００４】ＲＳＡ暗号を生成するには、次式（１）の
べき乗剰余演算の形式が基本として使用される。式
（１）は、Ｘ^YをＮで割ったときの余りを求めることを
意味する。また、式（１）において、Ｘは暗号化（復号
化）の対象となる平文、ＹおよびＮは暗号化（復号化）
のための鍵（キー）である。

【０００５】Ｘ^YmodＮ …（１）このべき乗剰余演算を用いることにより、情報の暗号化
および復号化が容易に実行され、かつＸ、Ｙ、Ｎのオペ
ランドビット長を長くすることで、各鍵の解読を困難に
することができる。

【０００６】しかし、オペランドビット長を長くする
と、べき乗剰余演算に長時間を要することになる。そこ
で、オペランドビット長が長いべき乗剰余演算をいかに
短時間に終了させるかがポイントとなる。

【０００７】次に、ＲＳＡ暗号を例に取り、べき乗剰余
演算を使用した暗号化処理および復号化処理について説
明する。

【０００８】［ＲＳＡ暗号の暗号化および復号化につい
て］（１）ＲＳＡ暗号の暗号化には、次式（２）が用いら
れる。

【０００９】Ｃ＝Ｍ^emodＮ …（２）復号化には、次式（３）が用いられる。

【００１０】Ｍ＝Ｃ^dmodＮ …（３）ここで、Ｍは暗号化の対象となる平文、Ｃは暗号化され
た平文すなわち暗号文である。また、式（２）における
ｅおよびＮは暗号化鍵、式（３）におけるｄおよびＮは
復号化鍵である。また、以下の式（４）および式（５）
の関係が予め与えられている。

【００１１】Ｎ＝ｐ・ｑ …（４）１≡ｅ・ｄmod｛ＬＣＭ（ｐ−１，ｑ−１）｝ …（５）ここで、「≡」は、左辺と右辺とが相似であることを意
味し、「ＬＣＭ」は、最小公倍数を意味する。またｐと
ｑとは互いに素な整数である。なお、ｅおよびＮは公開
鍵であり、ｄ、ｐおよびｑは秘密鍵である。

【００１２】式（４）および式（５）は、ともに暗号ア
ルゴリズムにおけるべき乗剰余演算の数値の条件を定義
している。式（４）は、Ｎは互いに素な大きな素数ｐお
よびｑの積であることを示している。ｐおよびｑはとも
に奇数なので、当然Ｎは奇数でなければならない。式
（５）は、式（４）で示したｐおよびｑからそれぞれ１
を減じた値同士の最小公倍数で、ｅおよびｄの積ｅ・ｄ
を当該最小公倍数で割ったときの余りが１になることを
示している。

【００１３】式（４）および式（５）の条件に基づき、
平文Ｍは式（２）を用いて暗号化され、また暗号化され
た平文Ｍ（暗号文Ｃ）は式（３）を用いて復号化され
る。

【００１４】［べき乗剰余演算の演算方法について］次
に暗号化・復号化で使用される、べき乗剰余演算の演算
方法を説明する。Ａ＝Ｍ^emodＮのべき乗剰余演算は、整
数ｅの２進数展開をｅ＝ｅ^k-1…ｅ¹ｅ⁰として、以下の
フロー１に示す反復平方積法を用いることにより実行さ
れる。

【００１５】（フロー１） begin Ａ＝１ for ｉ＝ｋ−１ to ０ begin Ａ＝Ａ²modＮ …（６） If ｅⁱ＝１ then Ａ＝Ａ・ＭmodＮ …（７） end end Ａに格納された値が求めたいべき乗剰余演算の解にな
る。

【００１６】以上のように演算の基本は、式（６）およ
び式（７）に示すように乗算と除算（mod算）である。
乗算は、初期値を１とするＡの値に対してＡ×Ａまたは
Ａ×Ｍを行なう部分である。除算は、各々の乗算で得ら
れた値に対してmodＮ（Ｎで割ったときの余りを求める
演算）を行なう部分である。この“乗算と除算”（Ａ×
ＡmodＮ、Ａ×ＭmodＮ）を１対の演算として、“ｅ”の
ビット値に従って繰返し演算が行なわれる。すなわち、
“ｅ”の最上位ビットから最下位ビットまでの各ビット
の内容によって“乗算と除算”が行なわれる。

【００１７】べき乗剰余演算は、基本となる剰余演算
（mod算）を繰返し行なうことで解が得られることを示
したが、この繰返し回数自体は、たかだか数百〜数千回
であるので、ソフトウェアによる処理でも十分に対応で
きる。しかし、この剰余演算自体すなわち除算をハード
ウェアによって実行するためには、大規模な演算回路と
複雑な処理手順とが必要とされる。このため改善が望ま
れていた。通常、ｅ，ｄ，Ｍ，Ｎなどは１０２４ビット
程度の大きな整数が用いられているので、高速指数計算
法を使用しても１回のＲＳＡ演算で平均１５００回程度
の多重精度乗算と剰余算とを行なわなければならない。
特に剰余算は、近似法、剰余テーブル方式、モンゴメリ
のアルゴリズム等、多くの高速化手法が提案されてい
る。

【００１８】このような、ＲＳＡ暗号に代表される公開
鍵暗号の多くで利用される、べき乗剰余演算を高速に処
理するためには、１回当りの剰余算の高速化が要求され
る。モンゴメリのアルゴリズムは、剰余算を高速処理す
るアルゴリズムである。特に、乗算剰余演算において
は、除算をビットシフトなどで簡略化できるため、公開
鍵暗号（ＲＳＡ暗号等）で用いられるべき乗剰余演算を
高速処理することができるという特徴がある。

【００１９】一方、中国人の剰余定理により、合成数を
法とする演算は合成数を構成する互いに素な因数を法と
する演算から計算できる。これを１０２４ビット長ＲＳ
Ａ暗号処理に適用すると、実際に必要なハードウェアと
しては、１０２４ビット長の法Ｎによるべき乗剰余演算
回路ではなく、５１２ビット長の整数（ここではｐおよ
びｑに相当する）を法とする演算回路のみでよい。この
ためハードウェアの小型化に繋がる。

【００２０】べき乗剰余演算は、基本となる剰余演算
（mod算）を実行する手順が非常に複雑であるため、演
算回路が大規模化してしまうことを上述した。そこで、
モンゴメリは、剰余演算（mod算）を先のような一般的
な方法で行なわずに、“乗算”と簡単なビット列処理と
で行なうことによって解を得る仕組みを提案している。
以下にモンゴメリが提案している手法について簡単に説
明する。

【００２１】［モンゴメリのアルゴリズム］剰余演算の
高速化を実現する一手法であるモンゴメリのアルゴリズ
ムについて説明する。

【００２２】モンゴメリのアルゴリズムは、剰余の法Ｎ
（Ｎ＞１）と、剰余の法Ｎと互いに素である基数Ｒ（Ｒ
＞Ｎ）とを用いると、被剰余数をＴとした場合、ＴＲ^-1
modＮの計算が基数Ｒによる除算のみで行なえる性質を
利用している。これにより、Ｎによる除算を用いること
なく剰余計算を行なうことができる。ここで、Ｎ，Ｒ，
Ｒ^-1およびＴは整数である。被剰余数Ｔは０≦Ｔ＜Ｒ・
Ｎを満たす数である。Ｒ^-1は剰余の法Ｎの上での基数Ｒ
の逆数である。またここでさらに、Ｒ・Ｒ^-1−Ｎ・Ｎ′
＝１（０≦Ｒ^-1＜Ｎ、０≦Ｎ′＜Ｒ）の関係を満たす整
数Ｎ′を考えることができる。さらに、この基数Ｒに２
のべき乗数を使用した場合、基数Ｒによる除算をシフト
操作に置き換えることができる。このため、Ｔ→ＴＲ^-1
modＮ（被剰余数をＴとした場合のＴＲ^-1modＮ）の計算
の高速処理が可能となる。

【００２３】次にアルゴリズム１として、Ｔ→ＴＲ^-1mo
dＮのアルゴリズムＭＲ（Ｔ）を示す。ただし、アルゴ
リズム１において（Ｔ＋ｍ・Ｎ）／Ｒは必ず割り切れる
ことが証明されている。

【００２４】（アルゴリズム１）Ｔ→ＴＲ^-1modＮのア
ルゴリズムＹ＝ＭＲ（Ｔ）は次のように表わされる。

【００２５】Ｍ＝（ＴmodＲ）・Ｎ′modＲ …（８）Ｙ＝（Ｔ＋ｍ・Ｎ）／Ｒ …（９） if Ｙ≧Ｎ then Ｙ＝Ｙ−ＮＹ＜Ｎ then return Ｙ１回のＭＲでは、剰余ＴmodＮではなくＴＲ^-1modＮが求
められるだけである。よって、剰余ＴmodＮを求めるた
めには、次に示すようにＭＲ（Ｔ）と予め求めておいた
Ｒ²modＮとの積で、再びＭＲ演算を行なえばよい。

【００２６】ＭＲ（ＭＲ（Ｔ）・（Ｒ²modＮ））＝（ＴＲ^-1modＮ）・（Ｒ²modＮ）・Ｒ^-1modＮ＝ＴＲ^-1・Ｒ²・Ｒ^-1modＮ＝ＴmodＮこのようにして剰余ＴmodＮを求めることができる。

【００２７】以上のことにより、モンゴメリ法による乗
算剰余演算を使用して、これをべき乗剰余演算の反復平
方積法（繰返し２乗法）で実現するアルゴリズムを下記
に示す。鍵ｅの上位ビットから検索し、鍵のビットの値
が１の場合には、ＭＲ（Ｘ・Ｙ）のモンゴメリ乗算剰余
演算を行なう。

【００２８】Ｙ＝Ｒｒ（Ｒｒ＝Ｒ²modＮ（Ｒ＝２^k+2））Ｘ＝ＭＸ＝ＭＲ（Ｘ，Ｙ） …（１０）Ｙ＝ＭＲ（１・Ｙ） …（１１） for ｊ＝ｋ to １ if ｅｊ＝＝１ then Ｙ＝ＭＲ（Ｘ・Ｙ） …（１２） if ｊ＞１ then Ｙ＝ＭＲ（Ｘ・Ｙ） …（１３） end for Ｙ＝ＭＲ（１・Ｙ） …（１４）Ｙ＝ＹmodＮ …（１５）ここで、ＭＲ（Ｘ・Ｙ）とＭＲ（Ｙ・Ｘ）とは等しく、
ｅｊはキーｅのｊビット目を表わす。５１２ビット長の
整数の場合ｋ＝５１２となり、５１２ビットのべき乗剰
余演算は５１４ビットのモンゴメリ乗算剰余演算と５１
２ビット剰余演算とにより実現できる。

【００２９】また、ハードウェアとして実装するのに最
適な基数Ｗの逐次計算でモンゴメリ乗算剰余演算結果Ｐ
＝ＭＲ（Ｂ・Ａ）を求めると、以下のようになる。

【００３０】Ｗ＝２^d Ｎ０′＝Ｎ′modＷＰ＝０ for ｊ＝０ to ｋＭ＝（ＰmodＷ）・Ｎ０′ …（１６）Ｐ＝（（Ｐ＋（ＡmodＷ）・Ｂ・Ｗ＋Ｍ・Ｎ）／Ｗ）mod２^k …（１７）Ａ＝Ａ／Ｗ …（１８） End ｄは自然数であり、ハードウェアに依存する数である。
このようにして、モンゴメリ乗算剰余演算結果Ｐを求め
ることができる。ｄ＝１の基数２の逐次計算で５１４ビ
ットモンゴメリ乗算剰余演算結果Ｐ＝ＭＲ（Ｂ・Ａ）を
求めると、以下のようになる。

【００３１】Ｎ０′＝Ｎ′mod２Ｐ＝０ for ｊ＝０ to ５１４Ｍ＝（Ｐmod２）・Ｎ０′ …（１９）Ｐ＝（（Ｐ＋（Ａmod２）・Ｂ・２＋Ｍ・Ｎ）／２）mod２⁵¹⁴ …（２０）Ａ＝Ａ／２ …（２１） end 以上のように、べき乗剰余演算を実現するために、ハー
ドウェアで５１２ビット長のべき乗剰余演算にモンゴメ
リ法を使用し、ソフトウェアで中国人の剰余定理を利用
した処理を使用することが従来採用されている。ハード
ウェアへの実装方式は複数通りあり、実際に様々な方式
が採用されていると思われる。

【００３２】

【発明が解決しようとする課題】しかし、従来の回路で
は、図８に示すような手順で処理が行なわれている。す
なわち、５１２ビット長のべき乗剰余演算にモンゴメリ
法を使用した回路を実装したハードウェアを用い、式
（１０）〜式（１８）を式そのままに実行している。た
とえば、ｅｊ＝＝０のときは式（１２）をスキップして
いる。一方、式（１７）においては毎回すべての計算を
実行している。そのため複雑な処理手順が必要とされ、
より一層の高速化が望まれている。また、回路規模が小
さくて済み、ＬＳＩ（Large Scale Integration）化に
適した回路が必要となっているので、演算処理をできる
だけ簡略化し全体の計算量を削減し、処理速度の向上を
図ることが必要である。

【００３３】本発明は上述の課題を解決するためになさ
れたもので、その目的は、高速処理が可能なべき乗剰余
演算器を提供することである。

【００３４】

【課題を解決するための手段】本発明のある局面に従う
べき乗剰余演算器は、モンゴメリ乗算剰余演算を行なう
際の一方の引数を２倍した値と剰余の法とを加算した値
を保持するレジスタと、レジスタに接続され、レジスタ
に保持された値を参照して、モンゴメリ乗算剰余演算を
実行するためのモンゴメリ乗算剰余演算実行手段と、モ
ンゴメリ乗算剰余演算実行手段に接続され、モンゴメリ
乗算剰余演算実行手段との間でデータのやり取りを行な
い、べき乗剰余演算を実行するためのべき乗剰余演算実
行手段とを含む。

【００３５】モンゴメリ乗算剰余演算に頻繁に用いられ
る値をレジスタに保持することにより、モンゴメリ乗算
剰余演算を高速に実行することができる。

【００３６】好ましくは、べき乗剰余演算実行手段は、
２進数表現されたべき指数の各ビットの値に関わらず、
モンゴメリ乗算剰余演算実行手段においてモンゴメリ乗
算剰余演算を実行し、べき乗剰余演算を実行する。

【００３７】べき指数の各ビットの値に関わらず、常に
モンゴメリ乗算剰余演算が実行される。このため、べき
乗剰余演算器を暗号化装置および復号化装置に用いた場
合であっても、タイミング攻撃に対する耐性を確保する
ことができる。

【００３８】さらに好ましくは、べき乗剰余演算器は、
さらに、べき乗剰余演算実行手段における演算モードを
保持するためのモードレジスタを含み、べき乗剰余演算
実行手段は、モードレジスタに保持された値に基づい
て、２進数表現されたべき指数の各ビットの値に基づい
たモンゴメリ乗算剰余演算を実行するか否かを判断し、
モンゴメリ乗算剰余演算を実行する。

【００３９】モードレジスタに保持された値に基づい
て、２進数表現されたべき指数の各ビットの値に基づい
たモンゴメリ乗算剰余演算を実行するか否かを判断す
る。このため、テスト時には、２進数表現されたべき指
数の各ビットの値に基づいたモンゴメリ乗算剰余演算を
実行するようにし、実際使用する際には、べき指数の各
ビットの値に関わらず、常にモンゴメリ乗算剰余演算を
実行するようにすれば、テスト時間を短縮でき、かつタ
イミング攻撃に対する耐性を確保することができる。

【００４０】さらに好ましくは、べき乗剰余演算実行手
段は、２進数表現されたべき指数の各ビットの値に基づ
いて、モンゴメリ乗算剰余演算を実行するか否かを判断
し、モンゴメリ乗算剰余演算を実行する。

【００４１】２進数表現されたたべき指数の各ビットの
値に基づいて、モンゴメリ乗算剰余演算を実行するか否
かを判断し、モンゴメリ乗算剰余演算を実行する。この
ため、ビットの値として１が出現するまでの間は、モン
ゴメリ乗算剰余演算の結果が予めわかっている場合があ
る。このような場合に、処理をスキップすることによ
り、高速に処理することができる。

【００４２】さらに好ましくは、べき乗剰余演算実行手
段は、２進数のビット列を加算する加算器を含み、加算
器は、２進数のビット列を所定ビットごとに分割し、分
割後のビット列同士で加算を行なう複数のサブ加算器を
含む。

【００４３】加算器をサブ加算器に分割してパイプライ
ン処理を実行することにより、高速に加算を行なうこと
ができる。このため、べき乗剰余演算を高速に実行する
ことが可能になる。

【００４４】さらに好ましくは、べき乗剰余演算器は、
さらに、モンゴメリ乗算剰余演算実行手段およびべき乗
剰余演算実行手段に接続され、演算の一部を取出して実
行するための手段を含む。

【００４５】べき乗剰余演算時に行なう各種演算を取出
して実行することにより、様々な種類の暗号化処理を実
現できるようになる。

【００４６】

【発明の実施の形態】［実施の形態１］［べき乗剰余演算回路の全体構成］図１を参照して、本
発明の実施の形態１に係るべき乗剰余演算回路は、外部
バスとのインタフェースであるＩ／Ｆ（インタフェー
ス）回路１０１と、鍵ｅを保持するｅレジスタ１０２
と、モンゴメリ変換をする乗数Ｙを保持するＹレジスタ
１０３と、鍵Ｎを保持するＮレジスタ１０４と、モンゴ
メリ変換の演算時に行なう２Ｂ＋Ｎの値を保持するＢ２
Ｎレジスタ１０５と、平文Ｘを保持するＸレジスタ１０
６と、暗号化および復号化のための演算を行なう演算回
路１０７と、演算結果Ｐを保持するＰレジスタ１０８
と、べき乗剰余演算実行時のステートマシンとしての役
割を果たすべき乗剰余制御回路１０９とを含む。

【００４７】べき乗算剰余演算回路は、さらに、モンゴ
メリ乗算剰余演算と剰余演算との実行時のステートマシ
ンとしての役割を果たすモンゴメリ乗算剰余・剰余制御
回路１１０と、加算および減算の演算制御を行なう加算
・減算制御回路１１１と、各種モードを保持するモード
レジスタ１１２と、コマンドを保持するコマンドレジス
タ１１３と、ステータスを保持するステータスレジスタ
１１４と、各種レジスタと演算回路１０７間でのデータ
のやり取りを行なうための内部バス１１５とを含む。

【００４８】べき乗剰余演算を行なうにあたり、高速化
を実現するためにモンゴメリ法による乗算剰余演算を使
用しているが、そのモンゴメリ法の演算［Ｐ＝ＭＲ（Ｂ
・Ａ）］行なう最初に［２Ｂ＋Ｎ］なる計算を行ない、
その結果をＢ２Ｎレジスタ１０５に格納する。

【００４９】モンゴメリ法の演算ＭＲ（Ｂ・Ａ）の動作
について説明する。ここで、Ｂ＝Ｘ、Ａ＝Ｙの場合を考
える。まず、［２Ｂ＋Ｎ］の計算を行なう。［２Ｂ＋
Ｎ］の演算は、以下のようにして行なわれる。演算回路
１０７は、Ｎレジスタ１０４に保持された値を０と加算
し、Ｐレジスタ１０８に記憶する。演算回路１０７は、
Ｘレジスタ１０６に保持された値を２倍し、その値とＰ
レジスタ１０８に保持された値とを加算し、Ｐレジスタ
１０８に書込む。モンゴメリ乗算剰余・剰余制御回路１
１０は、Ｐレジスタ１０８に保持された値をＢ２Ｎレジ
スタ１０５に書込む。次に、式（１９）、（２０）およ
び（２１）の演算を５１５回繰返し実行する。

【００５０】モンゴメリ乗算剰余演算中の式（２０）を
計算時、Ａmod２＝＝１およびＭ＝＝１の場合はＢ２Ｎ
レジスタ１０５からデータを読出し、内部バス１１５を
介し読出されたデータとＰレジスタ１０８に記憶された
値とを演算回路１０７にて加算する。また、Ａmod２＝
＝０およびＭ＝＝１の場合はＮレジスタ１０４からデー
タを読出し演算回路１０７にてＰレジスタ１０８に記憶
された値と加算する。Ａmod２＝＝０およびＭ＝＝０の
場合は［０＋Ｐ］の加算を実行する。０は内部バス１１
５を流れるデータを０にするなどして生成される。ｅレ
ジスタ１０２は鍵ｅ、Ｙレジスタ１０３はＹ、Ｎレジス
タ１０４は法Ｎ、Ｘレジスタ１０６はＸを保持するレジ
スタで、Ｐレジスタ１０８はモンゴメリ乗算剰余演算の
式中式（１９）および式（２０）に出てくる値Ｐを保持
するレジスタである。

【００５１】［演算回路１０７に設けられた加算器の構
成］図２を参照して、演算回路１０７内に設けられたパ
イプライン処理を実行する加算器について説明する。

【００５２】この加算器は、モンゴメリ乗算剰余演算を
行なう加算器の構成を複数のサブ加算器に分割し、加算
器のキャリーの段数を少なくした構成としている。加算
器は、サブ加算器内のキャリー回路（SubＣ回路）７２
７〜７４１と、サブ加算器内でキャリーが発生する可能
性を示すキャリー回路（LookＣ回路）７４２〜７５２
と、サブ加算器間でキャリーを伝播させるためのキャリ
ー回路（MainＣ回路）７２０および７２６と、加算結果
を得るためのキャリー回路（SlaveＣ回路）７１６〜７
１９および７２１〜７２５と、実際に加算処理を行なう
アダー回路（adder）７０１〜７１５とを含む。

【００５３】キャリー回路（LookＣ）７４２〜７５２
は、下位のサブ加算器でキャリーが発生したと仮定し
て、ビット同士の加算を行ない、キャリーが発生する可
能性を判断する。

【００５４】一例として、１５ビットのパイプライン処
理を実行する加算器について説明する。

【００５５】１５ビットの場合、下位ビットから４＋５
＋６＝１５の段数が適当とする。まず、４段のサブ加算
器内では普通に加算が行なわれ、キャリーが検出され、
加算結果が得られる。５段のサブ加算器では、４段のサ
ブ加算器からのキャリーを含めてSlaveＣ回路とadder回
路により５段の加算結果を得る。また、別途同時に５段
内だけのキャリーをSubＣ回路で検出する。またLookＣ
回路は下位のビットからキャリーが発生したと仮定して
キャリー信号を検出する。

【００５６】そして４段のサブ加算器からのキャリー信
号で次の６段のサブ加算器へのキャリーをSubＣ回路７
３５とLookＣ回路７４５からの信号どちらにするかをMa
inＣ回路７２０が選択する。同様に６段のサブ加算器で
も加算結果を得る。

【００５７】たとえば、４段のサブ加算器において「１
１１１＋１１１０」の加算が行なわれる場合を想定す
る。各ビットでの演算は以下のようになる。

【００５８】０ビット０＋１＝１キャリーなし１ビット１＋１＝０キャリーあり２ビット１＋１＋１（１ビットからのキャリー）＝１キャリーあり３ビット１＋１＋１（２ビットからのキャリー）＝１キャリーありこのとき、SubＣ回路７３０からは「キャリーあり」の
信号がMainＣ回路７２０に与えられる。よって、このと
きは、MainＣ回路７２０は、下位のサブ加算器からキャ
リーがあるとして加算演算を行なったLookＣ７４２〜７
４６のキャリーを、５段のサブ加算器のキャリーとして
６段のサブ加算器に出力する。逆に、SubＣ回路７３０
から「キャリーなし」の信号がMainＣ回路７２０に与え
られると、MainＣ回路７２０は、SubＣ回路７３５のキ
ャリーを出力する。

【００５９】このようにサブ加算器として分割していな
い場合、１４ビットの加算は０ビットからのキャリーを
持って加算する必要があるので、１４段の回路分の時間
が必要であるが、複数に分割すると、０ビットからのキ
ャリーは、SubＣ７２７〜７３０，MainＣ回路７２０，S
laveＣ回路７２１〜７２５の１０段分の処理時間で済
む。

【００６０】たとえば「０００１０１０１１００１１０
１」と「０１０００００１１１１００１０」とを加算す
る場合について説明する。SubＣ回路７２７は、０ビッ
ト目同士の加算（１＋０）を行なう。加算結果（１）は
アダー回路７０１に供給される。また、キャリー（０）
は、SubＣ回路７２８およびアダー回路７０２に供給さ
れる。アダー回路７０１は、SubＣ回路７２７から受取
った値を０ビット目の加算結果として出力する。

【００６１】SubＣ回路７２８は、１ビット目の値（０
および１）と、０ビット目からのキャリー（０）との加
算（０＋１＋０）を行なう。加算結果（１）はアダー回
路７０２に供給される。また、キャリー（０）は、Sub
Ｃ回路７２９およびアダー回路７０３に供給される。ア
ダー回路７０２は、０ビット目のキャリー（０）と２ビ
ット目の加算結果（１）とを加算して、１ビット目の加
算結果（１）を出力する。同様に、アダー回路７０３〜
７１５では、前のビットのキャリーと着目しているビッ
トの加算結果との加算が行なわれる。

【００６２】LookＣ回路７４２は、４段のサブ加算器で
キャリーが発生したと仮定して４ビット目のキャリーの
計算を行なう。すなわち、４ビット目の値同士の加算と
キャリー（１）との加算（０＋１＋１）が実行される。
演算の結果のキャリーはLookＣ回路７４３に与えられ
る。LookＣ回路７４７においても同様の処理が行なわれ
る。

【００６３】LookＣ回路７４３は、５ビット目の値とLo
okＣ回路７４２からのキャリーとの加算演算（０＋１＋
１）を実行し、演算の結果のキャリー（１）をLookＣ７
４４に供給する。以下、LookＣ回路７４４〜７４６およ
び７４８〜７５２においても同様の処理が行なわれる。
LookＣ回路７４６の出力は、MainＣ回路７２０に供給さ
れる。LookＣ回路７５２の出力は、MainＣ回路７２６に
供給される。

【００６４】SubＣ回路７３１は、５ビット目同士の加
算（０＋１）を行なう。加算結果（１）は、アダー回路
７０５およびSlaveＣ回路７１６に供給される。キャリ
ー（０）は、SubＣ回路７３２に供給される。SubＣ回路
７３６でも同様の処理が行なわれる。

【００６５】SubＣ回路７３２は、６ビット目同士の加
算と５ビット目のキャリー（０）との加算（０＋１＋
０）を行なう。加算結果（１）は、アダー回路７０６お
よびSlaveＣ７１７に供給される。キャリー（０）は、S
ubＣ回路７３３に供給される。同様に、SubＣ回路７３
３〜７３５において、前のビットのキャリーと着目して
いるビットの値との加算が行なわれる。なお、SubＣ回
路７３５における加算結果はアダー回路７０９のみに供
給され、SubＣ回路７３５におけるキャリーは、MainＣ
回路７２０に供給される。SubＣ回路７３６〜７４１に
おいても同様の処理が行なわれる。

【００６６】SlaveＣ回路７１６は、３ビット目のキャ
リー（０）と、４ビット目の加算結果（１）とを加算
し、キャリーをアダー回路７０６およびSlaveＣ回路７
１７に供給する。SlaveＣ回路７１７〜７１９および７
２１〜７２５においても同様の処理が行なわれる。

【００６７】MainＣ回路７２０は、SubＣ回路７３０が
出力する前段のサブ加算器のキャリーが１の場合には、
LookＣの出力をSlaveＣ回路７２１に供給し、キャリー
が０の場合には、SubＣ回路７３５の出力するキャリー
をSlaveＣ回路７２１に供給する。MainＣ回路７２６も
同様の処理を行なう。

【００６８】以上説明したようにして、１５ビットのデ
ータ同士の加算が行なわれる。すなわち、SubＣ回路、L
ookＣ回路およびMainＣ回路で計算が行なわれた後、Sla
veＣ回路およびアダー回路で計算が行われる。このよう
に二段階にわけて加算処理が実行される。

【００６９】例に挙げた１５ビットではあまり大きな段
数の差は発生していないが、もっと大きなビットの加算
器たとえば１３０ビットでは、分割しない場合は１２９
段分の処理時間がかかるのに対し、分割した場合は３０
段分の処理時間ですむ。また、６段のサブ加算器のキャ
リーに来る０ビットからのキャリーを求めるための回路
の段数を５段（SubＣ回路７２７〜７３０，MainＣ回路
７２０の５段）とし、６段のサブ加算器内のキャリーを
求めるための回路の段数を６段（SubＣ回路７３６〜７
４１とLookＣ回路７４７〜７５２との２通りとも６段）
としている。このような構成にすることにより、もっと
大きなビットの加算器でも段数の違いがほとんどない構
成にすることができる。これにより、タイミングなどに
対する回路設計が容易になり、回路規模も小さくできる
という効果がある。

【００７０】なお、１３０ビットのパイプラインでの加
算器では、４段、５段、６段、７段、８段、９段、１０
段、１１段、１２段、１３段、１４段、１５段および１
６段のサブ加算器により加算器を構成するのが適当であ
る。

【００７１】［べき乗剰余演算処理について］図３は、
べき乗剰余演算処理のフローチャートである。図４は、
信号のタイミングを示すタイムチャートである。

【００７２】従来は、モンゴメリ法による乗算剰余演算
を使用してべき乗剰余演算を行なう場合、鍵ｅのビット
を検索しｅｊ＝＝１の場合は、式（１２）の［Ｙ＝ＭＲ
（Ｘ・Ｙ）］を実行し、ｅｊ＝＝０の場合は、式（１
２）［Ｙ＝ＭＲ（Ｘ・Ｙ）］をスキップし実行しなかっ
た。本実施の形態では、ｅｊの値にかかわらず常に式
（１２）の［ＭＲ（Ｘ・Ｙ）］を実行する。式（１２）
の演算結果をＹレジスタ１０３に記憶させるときにｅｊ
の値３０１をチェックし、ｅｊ＝＝１の場合はＹレジス
タ書込信号３０４を出してＹレジスタ１０３に演算結果
を書込み、ｅｊ＝＝０の場合はＹレジスタ書込信号３０
４を出さないでＹレジスタ１０３に演算結果を書込まな
いようする。このように、常に式（１２）を実行するこ
とにより、べき乗剰余演算時間を一定にすることができ
る。ＭＲ（Ｘ・Ｙ）演算信号３０２は、“Ｈ”のとき演
算中であることを示す。Ｙレジスタ書込信号３０３は、
“Ｈ”のときＹレジスタ１０３にデータを書込むことを
示す。

【００７３】以上のように、常に式（１２）の演算を実
行するようにしたため演算時間が鍵の値に関係なく一定
になる。このため、タイミング攻撃に対する耐性を確保
できるという効果がある。なお、タイミング攻撃とは、
暗号文、鍵の長さによって、処理時間が変化することに
着目し、暗号の解読を行うことを意味する。

【００７４】［べき乗剰余演算以外の演算について］べ
き乗剰余演算器には、べき乗剰余制御回路１０９、モン
ゴメリ乗算剰余・剰余制御回路１１０および加算・減算
制御回路１１１が含まれる。このため、これらの制御回
路を単独または組合わせて使用することにより、モンゴ
メリ乗算剰余演算、剰余演算、ストア演算、加算、減
算、条件付加算、条件付減算など、各種演算を独立して
実行することが可能である。

【００７５】このようにべき乗剰余演算を構成する各種
演算を独立して実行可能にしたことによりＲＳＡ暗号以
外の各種暗号の演算を行なうことができるようになる。
また、何らかの原因でべき乗剰余演算器が動作しない場
合に、各種演算を独立して実行することにより、動作し
ない原因を究明することができる。

【００７６】以上説明したように、本実施の形態では、
頻繁に用いられる［２Ｂ＋Ｎ］の結果を保持するＢ２Ｎ
レジスタ１０５を設けることにより、モンゴメリ乗算剰
余演算の高速化と演算回路の簡略化とを図ることができ
る。

【００７７】［実施の形態２］本発明の実施の形態２に
係るべき乗剰余演算器は、実施の形態１に係るべき乗剰
余演算器と同様の構成を有する。このため、その詳細な
説明は、ここでは繰返さない。

【００７８】図５は、実施の形態２における信号のタイ
ミングを示すタイムチャートである。本実施の形態で
は、モードレジスタ１１２に所定の値を設定することに
より、べき乗剰余演算の実行方法を異ならせるものであ
る。

【００７９】スキップモード信号４０１が“Ｈ”の場合
には、ｅｊ＝＝０のときは式（１２）を演算しないで式
（１３）［Ｙ＝ＭＲ（Ｙ・Ｙ）］だけを演算する。スキ
ップモード信号４０１が”Ｌ”の場合には、実施の形態
１と同様の動作をする。

【００８０】以上のように、式（１２）の演算をスキッ
プするモードを設定できるようにしたので、テスト時間
の短縮を図ることができる。

【００８１】［実施の形態３］本発明の実施の形態３に
係るべき乗剰余演算器は、実施の形態１に係るべき乗剰
余演算器と同様の構成を有する。このため、その詳細な
説明は、ここでは繰返さない。

【００８２】図６は実施の形態３における信号のタイミ
ングを示すタイムチャートである。通常の方法でべき乗
剰余演算を行なっていくと、式（１１）の演算結果は、となる。最初のｊ＝ｋからｅｊ＝＝０の間、条件式のと
おり式（１２）ではＹの値は変化しない。このため、式
（１３）の演算だけを考えると、となり、演算結果は同じである。以上のようにｅｊ＝＝
１で式（１２）［Ｙ＝ＭＲ（Ｘ・Ｙ）］を演算しＹの値
が変化するまでは式（１３）［Ｙ＝ＭＲ（Ｙ・Ｙ）］を
演算してもＹの値が変化しない。よってｅｊ＝＝１にな
るまでは式（１２）および式（１３）の演算を実行しな
くても構わないことがわかる。

【００８３】通常は、演算時間を一定にするためにすべ
ての演算を実行しているが、モードレジスタ１１２に値
を設定することにより、サーチモード信号５０１を
“Ｈ”にし、繰返し演算（式（１２）および式（１
３））において、ｅｊ＝＝１になるまでは式（１２）お
よび（１３）の演算を実行しないで、［ｊ−１］の演算
のみ実行する。このようにｅｊ＝＝１か否かをチェック
するモードを設けた。

【００８４】以上のように、式（１２）および（１３）
の演算をスキップするモードを設定できるようにしたの
で、鍵ｅの値によってはテスト時間の短縮が大幅に図れ
るという効果がある。

【００８５】［実施の形態４］本発明の実施の形態４に
係るべき乗剰余演算器は、実施の形態１に係るべき乗剰
余演算器と同様の構成を有する。このため、その詳細な
説明は、ここでは繰返さない。

【００８６】図７は実施の形態４における信号のタイミ
ングを示すタイムチャートである。本実施の形態では、
実施の形態２で説明したスキップモードおよび実施の形
態３で説明したサーチモードの両方のモードをモードレ
ジスタ１１２に設定することができる。

【００８７】たとえば、両方のモードを設定した場合に
は、ｅｊ＝＝１になるまでは式（１２）および式（１
３）を演算しない。一度ｅｊ＝＝１になった後は式（１
２）および式（１３）をともに演算する。その後は、ｅ
ｊの値によって、ｅｊ＝＝０のときは、式（１２）をス
キップし式（１３）のみ実行する。また、ｅｊ＝＝１の
ときは式（１２）および式（１３）の両方の演算を実行
する。

【００８８】以上説明したように、スキップモードおよ
びサーチモードの両方のモードをモードレジスタ１１２
に設定することにより、実施の形態２または実施の形態
３よりもさらにテスト時間の短縮を図ることができる。

【００８９】今回開示された実施の形態はすべての点で
例示であって制限的なものではないと考えられるべきで
ある。本発明の範囲は上記した説明ではなくて特許請求
の範囲によって示され、特許請求の範囲と均等の意味お
よび範囲内でのすべての変更が含まれることが意図され
る。

【００９０】

【発明の効果】本発明によると、モンゴメリ乗算剰余演
算に頻繁に用いられる値をレジスタに保持することによ
り、モンゴメリ乗算剰余演算を高速に実行することがで
きる。

【図面の簡単な説明】

【図１】べき乗剰余演算回路のハードウェア構成を示
すブロック図である。

【図２】演算回路内に設けられたパイプライン処理を
実行する加算器のハードウェア構成を示すブロック図で
ある。

【図３】べき乗剰余演算処理のフローチャートであ
る。

【図４】信号のタイミングを示すタイムチャートであ
る。

【図５】信号のタイミングを示すタイムチャートであ
る。

【図６】信号のタイミングを示すタイムチャートであ
る。

【図７】信号のタイミングを示すタイムチャートであ
る。

【図８】従来のべき乗剰余演算処理のフローチャート
である。

【符号の説明】

１０１Ｉ／Ｆ回路、１０２ｅレジスタ、１０３Ｙ
レジスタ、１０４Ｎレジスタ、１０５Ｂ２Ｎレジス
タ、１０６Ｘレジスタ、１０７演算回路、１０８
Ｐレジスタ、１０９べき乗剰余制御回路、１１０モ
ンゴメリ乗算剰余・剰余制御回路、１１１加算・減算
制御回路、１１２モードレジスタ、１１３コマンド
レジスタ、１１４ステータスレジスタ、１１５内部
バス、７０１〜７１５アダー回路、７１６〜７１９，
７２１〜７２５ SlaveＣ回路、７２０，７２６ Main
Ｃ回路、７２７〜７４１ SubＣ回路、７４２〜７５２
LookＣ回路。

Claims

【特許請求の範囲】

【請求項１】モンゴメリ乗算剰余演算を行なう際の一
方の引数を２倍した値と剰余の法とを加算した値を保持
するレジスタと、前記レジスタに接続され、前記レジスタに保持された値
を参照して、モンゴメリ乗算剰余演算を実行するための
モンゴメリ乗算剰余演算実行手段と、前記モンゴメリ乗算剰余演算実行手段に接続され、前記
モンゴメリ乗算剰余演算実行手段との間でデータのやり
取りを行ない、べき乗剰余演算を実行するためのべき乗
剰余演算実行手段とを含む、べき乗剰余演算器。
【請求項２】前記べき乗剰余演算実行手段は、２進数
表現されたべき指数の各ビットの値に関わらず、モンゴ
メリ乗算剰余演算実行手段においてモンゴメリ乗算剰余
演算を実行し、べき乗剰余演算を実行する、請求項１に
記載のべき乗剰余演算器。
【請求項３】さらに、べき乗剰余演算実行手段におけ
る演算モードを保持するためのモードレジスタを含み、前記べき乗剰余演算実行手段は、前記モードレジスタに
保持された値に基づいて、２進数表現されたべき指数の
各ビットの値に基づいたモンゴメリ乗算剰余演算を実行
するか否かを判断し、モンゴメリ乗算剰余演算を実行す
る、請求項１または２に記載のべき乗剰余演算器。
【請求項４】前記べき乗剰余演算実行手段は、２進数
表現されたべき指数の各ビットの値に基づいて、モンゴ
メリ乗算剰余演算を実行するか否かを判断し、モンゴメ
リ乗算剰余演算を実行する、請求項１〜３のいずれかに
記載のべき乗剰余演算器。
【請求項５】前記べき乗剰余演算実行手段は、２進数
のビット列を加算する加算器を含み、前記加算器は、２進数のビット列を所定ビットごとに分
割し、分割後のビット列同士で加算を行なう複数のサブ
加算器を含む、請求項１〜４のいずれかに記載のべき乗
剰余演算器。
【請求項６】さらに、前記モンゴメリ乗算剰余演算実
行手段および前記べき乗剰余演算実行手段に接続され、
演算の一部を取出して実行するための手段を含む、請求
項１〜５のいずれかに記載のべき乗剰余演算器。