JP3615405B2 - 素体上楕円曲線上の点の演算方法およびその装置 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、素体上楕円曲線上の点の演算方法、特に、楕円曲線上の点に乗数を乗算する際に、２進数系表現に変換された乗数に基づいて２倍算処理および加算処理を組み合わせて演算を行う演算方法およびこの演算方法を実現する素体上楕円曲線上の点の演算装置に関する。
【０００２】
【従来の技術】
近年のコンピュータネットワークの発達により、データベースの検索や電子メール、電子ニュースなどの電子化された情報をネットワークを経由して送受信する機会が急速の増加してきている。さらに、これらを利用して、オンラインショッピングなどのサービスも提供されつつある。しかし、それに伴って、ネットワーク上の電子化されたデータを盗聴したり、改竄したり、または他人になりすましてサービスを受けるなどの違法行為についての問題が浮上してきている。特に、無線を利用したネットワークにおいては、傍受が容易なためこれらを防止する対策が望まれている。
【０００３】
これらの問題に対して暗号技術（ｅｎｃｒｙｐｔｉｏｎ ｔｅｃｈｎｏｌｏｇｙ）を応用した暗号化電子メールや利用者認証システムが提案され、種々のネットワークにも導入されつつあり、コンピュータネットワークにおいて暗号化は必須の技術となりつつある。この意味でコンピュータネットワークにおいては暗号化は必須の技術であるといえる。
【０００４】
暗号化方式は、大別すると秘密鍵暗号系と公開鍵暗号系の２つの分類することができる。
【０００５】
秘密鍵暗号系は、送信者と受信者が同じ鍵を持つことにより暗号通信を行う方式である。すなわち、秘密鍵暗号系では、あるメッセージを秘密の暗号鍵に基づいて暗号化し相手に送り、受け手はこの暗号鍵を用いて暗号分を複合化しもとのメッセージに戻して情報を入手する。
【０００６】
公開鍵暗号系は、送信者は公開されている受信者の公開鍵でメッセージを暗号化して送信し、受信者は自分の秘密鍵でその暗号化メッセージを復号することで通信を行う方式である。すなわち、公開鍵暗号系では、公開鍵は暗号化のための鍵、秘密鍵は公開鍵により暗号化された暗号を復号するための鍵であり、公開鍵で暗号化した暗号が秘密鍵でのみ復号することができる。
【０００７】
秘密鍵暗号系では、個人が秘密に保管しなければならない鍵の数が通信相手の数だけ必要であり、必要な総鍵数はｎ人のネットワークの場合、ｎ（ｎ−１）／２個である。また、はじめて通信をする相手に対しては、何らかの方法で秘密鍵の配送を行う必要があるという点で欠点がある。この問題を避けるために、大規模なネットワークでは、鍵管理センタを設置し、センタとの間の秘密鍵のみを保管し、暗号通信を行う場合はセンタから送信相手との秘密鍵を得る方法が用いられる。この場合秘密鍵の総数はｎとなる。
【０００８】
一方公開鍵暗号系では、個人が秘密に保管する鍵は自分の秘密鍵のみであり、必要な総秘密鍵数もｎ人のネットワークの場合、ｎ個である。また、はじめて通信する相手に対しては、公開鍵の配送を行えばよく、鍵管理センタを設置して、ユーザの公開鍵をｎ個公開簿に登録し、センタから送信相手の公開鍵を得る方法が用いられる。この場合、センタは公開鍵の改竄を防ぐだけで、秘密に保管する必要がない。ただし、公開鍵方式は秘密鍵方式に比べて鍵のビット数が大きいため保管に要するファイルサイズが大きくなるという問題を内包している。
【０００９】
また、認証の場合、秘密鍵暗号系では、例えば、送信するメッセージを秘密鍵で圧縮変換し、送信文に付加して送り、受信側では同様に圧縮変換して比較する方式がとられている。しかし、送受信が同じ鍵であるため受信者は認証データを偽造することができる。
【００１０】
これに対して、公開鍵暗号系では、秘密鍵で暗号化することができるのは本人だけであるという特徴を利用する。送信者はメッセージを圧縮変換して秘密鍵で暗号化し、送信文に付加して送り、受信者は送信者の公開鍵で付加されたデータを復号化し、同様に圧縮変換したものと比較する方式がとられている。この場合は受信者が不正できない。
【００１１】
このように、認証系では公開鍵暗号系の技術は必要不可欠であるといえる。しかし、公開鍵暗号系には、暗号化／復号化に大量の処理が必要であるという大きな欠点があるため、一般には処理の速い秘密鍵暗号系をメッセージの暗号化に、公開鍵暗号系は認証用にというように組み合わせて用いられる場合が多い。
【００１２】
公開鍵暗号系の中で、現在ＩＥＥＥ Ｐ１３６３， ＡＮＳＩ Ｘ ９．６２などで標準化が進んでいるものに、楕円曲線暗号（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｃｒｙｐｔｏｇｒａｐｈｙ）がある。これは、楕円曲線の離散対数問題に基づくもので、Ｎ． Ｋｏｂｌｉｔｚ（”Ａ ｃｏｕｒｓｅ ｉｎ ｎｕｍｂｅｒ ｔｈｅｏｒｙ ａｎｄ ｃｒｙｐｔｏｇｒａｐｈｙ”， Ｓｐｒｉｎｇ−Ｖｅｒｌａｇ， １９９７）と、Ｖ． Ｍｉｌｌｅｒ（”Ｕｓｅ ｏｆ ｅｌｌｉｐｔｉｃ ｃｕｒｖｅｓ ｉｎ ｃｒｙｐｔｏｇｒａｐｈｙ”， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ Ｃｒｙｐｔｏ ’８５， Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， ２１８（１９８６）， Ｓｐｒｉｎｇ−Ｖｅｒｌａｇ， ｐｐ ４１７−４２６）により提案された。
〔楕円曲線暗号に用いる楕円曲線〕
楕円曲線暗号に用いる主な楕円曲線は、素体上の楕円曲線（標準形：ｙ^２＝ｘ^３＋ａｘ＋ｂ（ｍｏｄｐ），ｐ：素数，ａ，ｂ：ＧＦ（ｐ）の元）と、２の拡大体上の楕円曲線（標準形：ｙ^２＋ｘｙ＝ｘ^３＋ａｘ^２＋ｂ（ｍｏｄ ｆ），ｆ：ｎ次既約多項式，ａ，ｂ：ＧＦ（２^ｎ）の元）である。この楕円曲線上の点Ｐ（ｘ，ｙ）および単位元となる無限遠点Οの集合は、加算に関して群をなす。楕円曲線は、この点の演算による離散対数問題に基づく暗号である。
〔楕円曲線の点の演算と離散対数問題〕
楕円曲線上の点の演算は以下のものが定義されている。
加算：Ｒ＝Ｐ＋Ｑ＝Ｑ＋Ｐ
２倍算：Ｒ＝２Ｐ＝Ｐ＋Ｐ
減算：Ｒ＝Ｐ−Ｑ
零点：Ο（無限遠点）＝Ｐ−Ｐ
スカラー倍算：ｋＰ＝Ｐ＋Ｐ＋・・・＋Ｐ（ｋ個のＰの和）
ここで、ｋＰとＰからｋを計算することは困難である。このことは、楕円曲線の離散対数問題と呼ばれており、この離散対数問題に関連する計算の困難性に基づいて公開鍵系の暗号とすることができる。
【００１３】
たとえば、公開鍵暗号系と知られる（有限体上の）ディフィ−ヘルマン（Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）鍵交換と同様の鍵交換方式を実現することができる。楕円曲線上のベースポイントをＧとし、Ａの秘密鍵をｓ_ａとしＰａ＝ｓ_ａＧを演算して公開鍵とする。また、Ｂの秘密鍵をｓ_ｂとし、Ｐｂ＝ｓ_ｂＧを演算してこれを公開鍵とする。ＡはＢの公開鍵Ｐｂと自分の秘密鍵ｓ_ａから、Ｋ_ＡＢ＝ｓ_ａＰｂ＝ｓ_ａｓ_ｂＧを演算することによって共通鍵を得ることができる。また、同様にして、ＢはＡの公開鍵Ｐａと自分の秘密鍵ｓ_ｂから、Ｋ_ＢＡ＝ｓ_ｂＰａ＝ｓ_ｂｓ_ａＧを演算することによって共通鍵を得ることができる。この方式は、ＥＣＤＨ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｆｆｉｅ−Ｈｅｌｌｍａｎ）方式と呼ばれ、秘密鍵ｓ_ａ，ｓ_ｂをスカラー量として楕円曲線上の点Ｇ、Ｐａ、Ｐｂに乗算する必要があり、暗号化／復号化の際に大量の演算処理を必要とする。この他にＥＣＤＳＡ方式やＥＣＥＳ方式なども提案されているが、演算処理が大きくなる点については同様である。
〔楕円曲線上の点のスカラー倍算〕
楕円曲線上の点のスカラー倍算は上記のように定義されるが、ｋの値が大きくなると計算量が膨大となるため、通常は、加算と２倍算を組み合わせたバイナリメソッド（Ｂｉｎａｒｙ Ｍｅｔｈｏｄ）や加算と２倍算、減算を組み合わせたサインドバイナリメソッド（Ｓｉｇｎｅｄ Ｂｉｎａｒｙ Ｍｅｔｈｏｄ）、事前計算表を用いて用いてバイナリメソッドを複数ビット単位で行うウィンドウメソッド（Ｗｉｎｄｏｗ Ｍｅｔｈｏｄ）などを用いて計算を行うことが提案されている。
〔素体上楕円曲線上における点の加算〕
楕円曲線上の点のスカラー倍算を行うためにバイナリーメソッドやウィンドウメソッドを用いる場合、２進数系の表現に変換された乗数に基づいて、２倍算処理または加算処理と２倍算処理を行って、楕円曲線上の点を次々に演算していくことにより結果を得ることができる。
【００１４】
素体上の楕円曲線ｙ^２＝ｘ^３＋ａｘ＋ｂ（ｍｏｄ ｐ）での点の演算を定義する。点Ｐ＝（ｘ_０，ｙ_０）、点Ｑ＝（ｘ_１，ｙ_１）、点Ｒ＝（ｘ_２，ｙ_２）、単位元Ο（無限遠点）とすると、点の加算は次のように定義される。但し、−Ｐ＝（ｘ_０，−ｙ_０）と定義される。
【００１５】
１．点Ｐと単位元Οとの加算
Ｒ＝Ｐ＋Ο＝Ο＋Ｐ＝Ｐ
２．単位元Οの２倍算
Ｒ＝Ο＋Ο＝２Ο＝Ο
３．点Ｐと点−Ｐとの加算
Ｒ＝Ｐ−Ｐ＝Ο
４．点Ｐと点Ｑ（≠Ｐ）との加算
Ｒ＝Ｐ＋Ｑ＝（ｘ_２，ｙ_２）
ｘ_２＝（（ｙ_１−ｙ_０）／（ｘ_１−ｘ_０））^２−ｘ_０−ｘ_１（ｍｏｄ ｐ）
ｙ_２＝（（ｙ_１−ｙ_０）／（ｘ_１−ｘ_０））（ｘ_０−ｘ_１）−ｙ_０（ｍｏｄ ｐ）
５．点Ｐの２倍算
Ｒ＝Ｐ＋Ｐ＝２Ｐ＝（ｘ_２，ｙ_２）
ｘ_２＝（（３ｘ_０ ^２−ａ）／２ｙ_０）^２−２ｘ_０ （ｍｏｄ ｐ）
ｙ_２＝（（３ｘ_０ ^２−ａ）／２ｙ_０）（ｘ_０−ｘ_２）−ｙ_０（ｍｏｄ ｐ）
〔点の三次元表現と演算〕
上述の楕円曲線上の点の加算は、もっとも基本的な方式であり、加算ごとに素体上の逆数演算が必要となる。通常、素体上の逆数演算は大量の処理が必要となるため、楕円曲線上の点を三次元表現することで、逆数演算を行わずに加算処理を行う方式が、Ｄ． Ｖ． ＣｈｕｄｎｏｖｓｋｙとＧ． Ｖ． Ｃｈｕｄｎｏｖｓｋｙにより、”Ｓｅｑｕｅｎｃｅｓ ｏｆ Ｎｕｍｂｅｒｓ Ｇｅｎｅｒａｔｅｄ ｂｙ Ａｄｄｉｔｉｏｎ ｉｎ Ｆｏｒｍａｌ Ｇｒｏｕｐｓ ａｎｄ Ｎｅｗ Ｐｒｉｍａｌｉｔｙ ａｎｄ Ｆａｃｔｏｒｉｚａｔｉｏｎ Ｔｅｓｔｓ”， Ａｄｖａｎｃｅｓ ｉｎ Ａｐｐｌｉｅｄ Ｍａｔｈｅｍａｔｉｃｓ， Ｖｏｌ． ７， １９８６に提案されている。このうち、ヤコビアン（Ｊａｃｏｂｉａｎ）座標を用いれば、楕円曲線上の点は、（ｘ，ｙ）＝（Ｘ／Ｚ^２，Ｙ／Ｚ^３）となる（Ｘ，Ｙ，Ｚ）に投影される。この場合の点の加算および２倍算は、ＩＥＥＥ Ｐ１３６３に掲載されており、次のように示される。
【００１６】
４’．点Ｐと点Ｑ（≠Ｐ）との加算
Ｒ＝Ｐ＋Ｑ＝（Ｘ_２，Ｙ_２，Ｚ_２）
Ｕ_０＝Ｘ_０Ｚ_１ ^２
Ｕ_１＝Ｘ_１Ｚ_０ ^２
Ｓ_０＝Ｙ_０Ｚ_１ ^３
Ｓ_１＝Ｙ_１Ｚ_０ ^３
Ｗ＝Ｕ_０−Ｕ_１
Ｔ＝Ｕ_０＋Ｕ_１
Ｒ＝Ｓ_０−Ｓ_１
Ｍ＝Ｓ_０＋Ｓ_１
Ｖ＝ＴＷ^２−２Ｘ_２
Ｘ_２＝Ｒ^２−ＴＷ^２
Ｙ_２＝（ＶＲ−ＭＷ^３）／２
Ｚ_２＝Ｚ_０Ｚ_１Ｗ
５’．点Ｐの２倍算
Ｒ＝Ｐ＋Ｐ＝２Ｐ＝（Ｘ_２，Ｙ_２，Ｚ_２）
Ｍ＝３Ｘ_０ ^２＋ａＺ_０ ^４
Ｓ＝４Ｘ_０Ｙ_０ ^２
Ｔ＝８Ｙ_０ ^４
Ｘ_２＝Ｍ^２−２Ｓ
Ｙ_２＝Ｍ（Ｓ−Ｘ_２）−Ｔ
Ｚ_２＝２Ｙ_０Ｚ_０
【００１７】
【発明が解決しようとする課題】
出願人は、特願平１０−３１１３７９号に、ヤコビアン座標を用いた楕円曲線上の点の演算を行う際に、演算途中の計算結果を利用して点の２倍算を連続実行するようにした素体上楕円曲線上の点の演算方法を提案した。この演算方法のアルゴリズムを下に示す。
【００１８】

この方法を用いることにより、２倍算が連続する場合の乗算回数を削減することができる。ＩＥＥＥ Ｐ１３６３に記載されているヤコビアン座標を用いた点の加算および２倍算に必要な計算量および特願平１０−３１１３７９号におけるべき値ｍの場合のべき乗倍算に必要な計算量を表１に示す。
【００１９】
【表１】

【００２０】
ここで、加算系とは、加算、減算、２倍算、１／２算、３倍算、４倍算、８倍算の総称である。加算、減算、２倍算、１／２算の計算量を１とし、加算と２倍算とを１回ずつ実行することで可能な３倍算および２倍算を２回実行することで可能な４倍算の計算量を２とし、２倍算を３回実行することで可能な８倍算の計算量を３とする。
【００２１】
点の２倍算が連続して行われる場合には、ＩＥＥＥ Ｐ１３６３の方法では、１０×べき値ｍ回の乗算を必要とするのに対して、特開平１０−３１１３７９号のものでは８ｍ＋２回となり、べき値ｍが多くなればそれだけ乗算回数が削減されることとなる。しかしながら、加算系の演算回数については、べき値ｍが多くなるにつれてむしろ増加してしまう。
【００２２】
計算機において、加算系の演算処理は乗算処理に比して非常に負担の小さい処理とされていたが、ハードウェア乗算器を備えたプロセッサなどでは、乗算処理と比較して加算系の処理が無視できるほど小さいものではない場合が多い。特に、ＤＳＰなどの高速なハードウェア乗算器を持つプロセッサにおいて楕円曲線上の点の加算、２倍算を高速に処理するためには、乗算回数の最適化のみならず、加算系の回数の最適化が重要な課題となる。
【００２３】
本発明の目的は、素体上楕円曲線上の点を３次元に投影したヤコビアン座標を用いることで逆数演算を行うことなく加算処理を可能とし、かつ付加的な座標を追加せずに高速な処理を可能とする素体上楕円曲線上の点の演算方法およびその装置を提案することにある。
【００２４】
【課題を解決するための手段】
本発明は、複数のレジスタ群の値を読み出して、乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とによって処理した演算結果を前記レジスタ群に格納する演算部によって、ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する際に、２進数系表現に変換された前記乗数に基づいて２倍算処理および加算処理を組み合わせて演算を行う方法であって、
前記演算部が、前記素体上楕円曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍算処理を連続して行う場合には、その連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1，Ｚ_t+1）を現在のヤコビアン座標（Ｘ_t，Ｙ_t，Ｚ_t）を用いて、
Ｙ_t’＝２Ｙ_t
Ｍ_t＝３Ｘ_t ²＋ａＺ_t ⁴
Ｓ_t＝Ｘ_t（Ｙ_t’）²
Ｔ_t＝（Ｙ_t’）⁴／２
Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
Ｙ_t+1＝Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
Ｚ_t+1＝Ｙ_t’Ｚ_t
の演算処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする素体上楕円曲線上の点の演算方法である（ただし、計算式の記載順は、計算順を特定するものではない）。
【００２５】
ヤコビアン座標を用いた演算において、４Ｙ^２の演算を、４×Ｙ^２として演算すると、乗算１回および加算系２回の計算量を必要とする。これに対して、４Ｙ^２の演算を（２Ｙ）^２として演算を行った場合、乗算１回および加算系１回の計算量となり、前者の場合と比して加算系を１回削減することができる。上述した本発明の演算方法では、Ｙ座標の２倍の値であるＹ’の値を先に計算し、このＹ’の値を用いることによって、ヤコビアン座標の点の２倍算における加算系の回数を削減している。
【００２６】
また、本発明では、複数のレジスタ群の値を読み出して、乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とによって処理した演算結果を前記レジスタ群に格納する演算部によって、ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する際に、２進数系表現に変換された前記乗数に基づいて２倍算処理および加算処理を組み合わせて演算を行う方法であって、
前記演算部が、前記素体上楕円曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍算処理を連続して行う場合には、初回は、
Ｙ₀’＝２Ｙ₀
Ｗ₀＝ａＺ₀ ⁴
Ｍ₀＝３Ｘ₀ ²＋Ｗ₀
Ｓ₀＝Ｘ₀（Ｙ₀’）²
Ｔ₀＝（Ｙ₀’）⁴
Ｘ₁＝Ｍ₀ ²−２Ｓ₀
Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀
Ｚ₁＝Ｙ₀’Ｚ₀
を演算し、２回目以降はその連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、
Ｗ_t＝Ｔ_t-1Ｗ_t-1
Ｍ_t＝３Ｘ_t ²＋Ｗ_t
Ｓ_t＝Ｘ_t（Ｙ_t’）²
Ｔ_t＝（Ｙ_t’）⁴
Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
Ｚ_t+1＝Ｙ_t’Ｚ_t
として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／２を演算する処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする素体上楕円曲線上の点の演算方法を提案する。
【００２７】
従来の方法においては、Ｔ_ｔ＝８Ｙ_ｔ ^４，Ｗ_ｔ＝ａＺ_ｔ ^４からＷ_ｔ＝２Ｔ_ｔ−１Ｗ_ｔ−１を演算していたのに対し、この方法を用いることによって、Ｔ_ｔ＝（Ｙ_ｔ’）^４＝１６Ｙ_ｔ ^４の演算結果を利用して、Ｗ_ｔ＝Ｔ_ｔ−１Ｗ_ｔ−１＝１６Ｙ_ｔ ^４Ｗ_ｔとして演算することができる。したがって、Ｔ_ｔの２倍算が不要となり計算量を削減することが可能となる。
【００２８】
また、２倍算処理が連続する場合の従来の演算方法では、（Ｘ_０，Ｙ_０，Ｚ_０）の２^ｔ倍点（Ｘ_ｔ，Ｙ_ｔ，Ｚ_ｔ）から２^ｔ＋１倍点（Ｘ_ｔ＋１，Ｙ_ｔ＋１，Ｚ_ｔ＋１）を計算していたが、上述の方法では、点（Ｘ_ｔ，２Ｙ_ｔ，Ｚ_ｔ）から点（Ｘ_ｔ＋１，２Ｙ_ｔ＋１，Ｚ_ｔ＋１）を計算することによって点の２のべき乗倍算ループ毎に必要なＹ座標の２倍値の計算を削減することができ、初回のＹ_０→２Ｙ_１の２倍算および最終回のＹ座標の１／２算が増加するものの、全体として計算量を削減することが可能となる。
【００２９】
ここで、連続した２倍算処理の時点（ｔ＋１）での演算処理において、前回の時点（ｔ）での演算結果（Ｘ_ｔ，Ｙ_ｔ’，Ｚ_ｔ）を求める際に用いたＷ_ｔ−１＝ａＺ_ｔ−１ ^４とＴ_ｔ−１＝Ｙ_ｔ−１ ^４とを用いて２倍算処理を行うとともに、この２倍算処理において求めたＷ_ｔ＝ａＺ_ｔ ^４とＴ_ｔ＝（Ｙ_ｔ’）^４とを記憶するように構成できる。
【００３０】
また、連続した２倍算処理の時点（ｔ＋１）において、演算結果（Ｘ_ｔ＋１，Ｙ_ｔ＋１’，Ｚ_ｔ＋１）以外の情報を出力しないように構成できる。
【００３１】
本発明に係る素体上楕円曲線上の点の演算装置は、記憶手段と、演算手段と、レジスタ群と、出力手段とを備えている。記憶手段は、ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に対応して（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現とした点（Ｘ，Ｙ，Ｚ）および乗数が格納される領域を有する。演算手段は、乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とを備えており、記憶手段に格納された乗数を２進数系表現に変換し、この乗数に基づいて前記ヤコビアン座標に２倍算処理または加算処理と２倍算処理とを乗算系演算手段と加算系演算手段とにより選択的に行って次のヤコビアン座標を演算する。レジスタ群は、演算手段の乗算系演算手段および加算系演算手段による演算結果を一時的に格納する。出力手段は、演算手段により演算された次のヤコビアン座標を記憶手段に出力する。しかして、演算手段により演算されて記憶手段に記憶されたヤコビアン座標を用いて、前記乗数に基づく演算を連続的に行うとともに、演算手段による演算が連続する２倍算処理である場合には、初回は、
Ｙ₀’＝２Ｙ₀
Ｗ₀＝ａＺ₀ ⁴
Ｍ₀＝３Ｘ₀ ²＋Ｗ₀
Ｓ₀＝Ｘ₀（Ｙ₀’）²
Ｔ₀＝（Ｙ₀’）⁴
Ｘ₁＝Ｍ₀ ²−２Ｓ₀
Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀
Ｚ₁＝Ｙ₀’Ｚ₀
を演算し、２回目以降はその連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、
Ｗ_t＝Ｔ_t-1Ｗ_t-1
Ｍ_t＝３Ｘ_t ²＋Ｗ_t
Ｓ_t＝Ｘ_t（Ｙ_t’）²
Ｔ_t＝（Ｙ_t’）⁴
Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
Ｚ_t+1＝Ｙ_t’Ｚ_t
として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／２を演算する処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする。
【００３２】
この装置によれば、前述したような演算方法を実現することができ、たとえば、２倍算処理を連続して行う場合には、レジスタ群に残っているＷおよびＴの値を用いて演算を行うことによって演算回数を軽減することが可能となり、演算を高速化することができる。
【００３３】
【発明の実施の形態】
本発明に素体上楕円曲線上の点の演算装置の１実施形態を図１を用いて説明する。
【００３４】
この演算装置１は、通常のＣＰＵおよびメモリを搭載したコンピュータにより実現されるものであって、主に記憶手段２と演算部３とで構成される。
【００３５】
記憶手段２は、楕円曲線上の点に対応するヤコビアン座標（Ｘ，Ｙ，Ｚ）や乗数ｋが格納される。
【００３６】
演算部３は、ヤコビアン座標に変換された楕円曲線上の点に乗数ｋを乗算する際に、バイナリーメソッドやウィンドウメソッドなどを用いて２倍算処理または加算処理と２倍算処理を選択的に行って楕円曲線上の点を次のヤコビアン座標として演算する演算手段４を備えている。また、演算部３は、演算手段４における演算に必要な入力変数を一時的に格納しておくレジスタ群５を備えている。また、演算部３は、演算手段４の演算結果を一時的に格納する演算結果出力用レジスタ６を備えている。
【００３７】
演算手段４では、記憶手段２に格納された現時点でのヤコビアン座標（Ｘ_ｔ，Ｙ_ｔ，Ｚ_ｔ）を２倍算処理するか加算処理と２倍算処理とを行うかを、乗数ｋの値に基づいて選択し、演算処理を行う。
【００３８】
加算処理を行う場合には、４’として示した前述のアルゴリズムと同様であり、ここでは省略する。
〔第１実施形態〕
２倍算処理が連続する、いわゆる２のべき乗倍算を行う際に、その連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_ｔ＋１，Ｙ_ｔ＋１，Ｚ_ｔ＋１）を現在のヤコビアン座標（Ｘ_ｔ，Ｙ_ｔ，Ｚ_ｔ）を用いて、
Ｙ_ｔ’＝２Ｙ_ｔ
Ｍ_ｔ＝３Ｘ_ｔ ^２＋ａＺ_ｔ ^４
Ｓ_ｔ＝Ｘ_ｔ（Ｙ_ｔ’）^２
Ｔ_ｔ＝（Ｙ_ｔ’）^４／２
Ｘ_ｔ＋１＝Ｍ_ｔ ^２−２Ｓ_ｔ
Ｙ_ｔ＋１＝Ｍ_ｔ（Ｓ_ｔ−Ｘ_ｔ）−Ｔ_ｔ
Ｚ_ｔ＋１＝Ｙ_ｔ’Ｚ_ｔ
とする第１のアルゴリズムの場合について考える。このときの処理を表すフローチャートを図２に示す。
【００３９】
入力されるヤコビアン座標を（Ｘ_０，Ｙ_０，Ｚ_０）、出力するヤコビアン座標を（Ｘ_１，Ｙ_１，Ｚ_１）とし、計算過程におけるテンポラリ値を格納しておく場所をレジスタ群Ｆ_１〜Ｆ_５とする。
【００４０】
ステップＳ１００では、記憶手段２に格納されている（Ｘ_０，Ｙ_０，Ｚ_０）および楕円パラメータａをレジスタ群５に読み出す。ステップＳ１０１では、２×Ｙ_０、Ｘ_０×Ｘ_０、Ｚ_０×Ｚ_０を演算し、演算結果をそれぞれレジスタＦ_１、Ｆ_４、Ｆ_３に格納する。このとき、Ｆ_１＝Ｙ_０’となっている。
【００４１】
ステップＳ１０２では、レジスタＦ_３の値を読み出してＦ_３×Ｆ_３を演算し、この演算結果をレジスタＦ_３に再度格納する。さらに、レジスタＦ_４の値を読み出して２×Ｆ_４を演算しこの演算結果をＦ_５に格納する。ここでは、Ｆ_３＝Ｚ_０ ^４、Ｆ_４＝２Ｘ_０ ^２となっている。
【００４２】
ステップＳ１０３では、レジスタＦ_３の値を読み出してａ×Ｆ_３を演算しこの演算結果をレジスタＦ_２に格納する。さらに、レジスタＦ_４、Ｆ_５の値を読み出してＦ_４＋Ｆ_５を演算しこの演算結果をレジスタＦ_４に格納する。このとき、Ｆ_２＝ａＺ_０ ^４、Ｆ_４＝３Ｘ_０ ^２となっている。
【００４３】
ステップＳ１０４では、レジスタＦ_４、Ｆ_２の値を読み出してＦ_４＋Ｆ_２を演算しこの演算結果をレジスタＦ_４に格納する。このとき、Ｆ_４＝３Ｘ_０ ^２＋ａＺ_０ ^４＝Ｍとなっている。
【００４４】
ステップＳ１０５では、Ｚ_０の値とレジスタＦ_１の値を読み出してＺ_０×Ｆ_１を演算しこの演算結果をＺ_１として演算結果出力用レジスタ６に出力する。また、レジスタＦ_１の値を読み出してＦ_１×Ｆ_１を演算しこの演算結果をレジスタＦ_３に格納する。このとき、Ｚ_１＝Ｙ_０’Ｚ_０、Ｆ_３＝（Ｙ_０’）^２となっている。
【００４５】
ステップＳ１０６では、Ｘ_０の値とレジスタＦ_３の値を読み出してＸ_０×Ｆ_３を演算しこの演算結果をレジスタＦ_５に格納する。また、レジスタＦ_４の値を読み出してＦ_４×Ｆ_４を演算しこの演算結果をレジスタＦ_１に格納する。このとき、Ｆ_５＝Ｘ_０×（Ｙ_０’）^２＝Ｓ、Ｆ_１＝Ｍ^２となっている。
【００４６】
ステップＳ１０７では、レジスタＦ_５の値を読み出して２×Ｆ_５を演算しこの演算結果をＸ_１として演算結果出力用レジスタ６に出力する。このとき、Ｘ_１＝２Ｓになっている。
【００４７】
ステップＳ１０８では、レジスタＦ_１の値とＸ_１の値を読み出してＦ_１−Ｘ_１を演算しこの演算結果をＸ_１として演算結果出力用レジスタ６に出力する。このとき、Ｘ_１＝Ｍ^２−２Ｓとなっている。
【００４８】
ステップＳ１０９では、レジスタＦ_３の値を読み出してＦ_３×Ｆ_３の演算を行いこの演算結果をレジスタＦ_１に格納する。また、レジスタＦ_５の値およびＸ_１の値を読み出してＦ_５−Ｘ_１の演算を行いこの演算結果をレジスタＦ_５に格納する。このとき、Ｆ_１＝（Ｙ_０’）^４、Ｆ_５＝Ｓ−Ｘ_１となっている。
【００４９】
ステップＳ１１０では、レジスタＦ_１の値を読み出してＦ_１／２の演算を行いこの演算結果をレジスタＦ_１に格納する。また、レジスタＦ_５、Ｆ_４の値を読み出してＦ_５×Ｆ_４を演算しこの演算結果をＹ_１として演算結果出力用レジスタ６に出力する。このとき、Ｆ_１＝（Ｙ_０’）^４／２＝８Ｙ_０ ^４、Ｙ_１＝Ｍ（Ｓ−Ｘ_１）となっている。
【００５０】
ステップＳ１１１では、Ｙ_１の値およびレジスタＦ_１の値を読み出してＹ_１−Ｆ_１を演算しこの演算結果をＹ_１として演算結果出力用レジスタ６に出力する。このとき、Ｙ_１＝Ｍ（Ｓ−Ｘ_１）−Ｔとなっている。
【００５１】
最終的に演算された（Ｘ_１，Ｙ_１，Ｚ_１）は記憶手段２に出力される。
【００５２】
べき乗倍算がさらに続く場合には、この（Ｘ_１，Ｙ_１，Ｚ_１）の値を入力（Ｘ_０，Ｙ_０，Ｚ_０）として同じ動作を繰り返し行うことで続けて演算することが可能である。
〔第２実施形態〕
２倍算処理が連続する、いわゆる２のべき乗倍算を行う際に、初回には、
Ｙ_０’＝２Ｙ_０
Ｗ_０＝ａＺ_０ ^４
Ｍ_０＝３Ｘ_０ ^２＋Ｗ_０
Ｓ_０＝Ｘ_０（Ｙ_０’）^２
Ｔ_０＝（Ｙ_０’）^４
Ｘ_１＝Ｍ_０ ^２−２Ｓ_０
Ｙ_１’＝２Ｍ_０（Ｓ_０−Ｘ_１）−Ｔ_０
Ｚ_１＝Ｙ_０’Ｚ_０
を演算し、２回目以降にはその連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_ｔ＋１，Ｙ_ｔ＋１’，Ｚ_ｔ＋１）を現在の座標（Ｘ_ｔ，Ｙ_ｔ’，Ｚ_ｔ）を用いて、
Ｗ_ｔ＝Ｔ_ｔ−１Ｗ_ｔ−１
Ｍ_ｔ＝３Ｘ_ｔ ^２＋Ｗ_ｔ
Ｓ_ｔ＝Ｘ_ｔ（Ｙ_ｔ’）^２
Ｔ_ｔ＝（Ｙ_ｔ’）^４
Ｘ_ｔ＋１＝Ｍ_ｔ ^２−２Ｓ_ｔ
Ｙ_ｔ＋１’＝２Ｍ_ｔ（Ｓ_ｔ−Ｘ_ｔ）−Ｔ_ｔ
Ｚ_ｔ＋１＝Ｙ_ｔ’Ｚ_ｔ
として演算処理を行い、最終回には、Ｙ_ｔ＋１＝Ｙ_ｔ＋１’／２を演算する第２のアルゴリズムの場合について考える。このときの処理を表すフローチャートを図３に示す。
【００５３】
入力されるヤコビアン座標を（Ｘ_０，Ｙ_０，Ｚ_０）、連続する２倍算の途中におけるヤコビアン座標を（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）とし、計算過程におけるテンポラリ値を格納しておく場所をレジスタ群Ｆ_１〜Ｆ_５とする。
【００５４】
ステップＳ２００では、記憶手段２に格納されている（Ｘ_０，Ｙ_０，Ｚ_０）、べき数ｍおよび楕円パラメータａをレジスタ群５に読み出す。ステップＳ２０１では、連続した２倍算の演算回数をカウントするための計数ｉを初期化する。
【００５５】
ステップＳ２０２では、点の２倍算ルーチンを実行し、得られた（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）の値およびＦ_１、Ｆ_２の値をレジスタ群５内に出力する。
【００５６】
ステップＳ２０３では、現在の連続２倍算の演算回数ｉが今回行うべき数ｍに到達したか否かを判別する。現在の連続２倍算の演算回数ｉが今回行うべき数ｍに到達していない場合には、ステップＳ２０４に移行する。ステップＳ２０４では、点の２倍算ループルーチンを実行する。ここでは、レジスタ群５中の（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）の値およびＦ_１、Ｆ_２の値を入力Ｘ_０，Ｙ_０，Ｚ_０，Ｔ_０，Ｗ_０とし、演算の結果得られる値を再度（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）、Ｆ_１、Ｆ_２の値としてレジスタ群５に出力する。
【００５７】
ステップＳ２０５では、現在の連続２倍算の演算回数ｉをインクリメントする。この後、ステップＳ２０３に移行する。
【００５８】
ステップＳ２０３において、現在の連続２倍算の演算回数ｉが今回行うべき数ｍに到達したと判断した場合には、ステップＳ２０６に移行する。ステップＳ２０６では、レジスタ群５よりＹ_ｉの値を読み出してＹ_ｉ／２を演算しこの演算結果をＹ_ｉとしてレジスタ群５に出力する。ステップＳ２０７では、（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）の値を２^ｍ（Ｘ_０，Ｙ_０，Ｚ_０）として演算結果出力用レジスタ６に出力する。
【００５９】
ステップＳ２０２における点の２倍算ルーチンを図４に示す。
【００６０】
ステップＳ３００では、記憶手段２に格納されている（Ｘ_０，Ｙ_０，Ｚ_０）および楕円パラメータａをレジスタ群５に読み出す。
【００６１】
ステップＳ３０１では、２×Ｙ_０、Ｘ_０×Ｘ_０、Ｚ_０×Ｚ_０を演算し、演算結果をそれぞれレジスタＦ_１、Ｆ_４、Ｆ_３に格納する。このとき、Ｆ_１＝Ｙ_０’、Ｆ_４＝Ｘ_０ ^２、Ｆ_３＝Ｚ_０ ^２となっている。
【００６２】
ステップＳ３０２では、レジスタＦ_３の値を読み出してＦ_３×Ｆ_３を演算し、この演算結果をレジスタＦ_３に再度格納する。さらに、レジスタＦ_４の値を読み出して２×Ｆ_４を演算しこの演算結果をＦ_５に格納する。ここでは、Ｆ_３＝Ｚ_０ ^４、Ｆ_５＝２Ｘ_０ ^２となっている。
【００６３】
ステップＳ３０３では、レジスタＦ_３の値を読み出してａ×Ｆ_３を演算しこの演算結果をレジスタＦ_２に格納する。さらに、レジスタＦ_４、Ｆ_５の値を読み出してＦ_４＋Ｆ_５を演算しこの演算結果をレジスタＦ_４に格納する。このとき、Ｆ_２＝ａＺ_０ ^４＝Ｗ_０、Ｆ_４＝３Ｘ_０ ^２となっている。
【００６４】
ステップＳ３０４では、レジスタＦ_４、Ｆ_２の値を読み出してＦ_４＋Ｆ_２を演算しこの演算結果をレジスタＦ_４に格納する。このとき、Ｆ_４＝３Ｘ_０ ^２＋ａＺ_０ ^４＝Ｍ_０となっている。
【００６５】
ステップＳ３０５では、Ｚ_０の値とレジスタＦ_１の値を読み出してＺ_０×Ｆ_１を演算しこの演算結果をＺ_ｉとして演算結果出力用レジスタ６に出力する。また、レジスタＦ_１の値を読み出してＦ_１×Ｆ_１を演算しこの演算結果をレジスタＦ_３に格納する。このとき、Ｚ_ｉ＝Ｙ_０’Ｚ_０、Ｆ_３＝（Ｙ_０’）^２となっている。
【００６６】
ステップＳ３０６では、Ｘ_０の値とレジスタＦ_３の値を読み出してＸ_０×Ｆ_３を演算しこの演算結果をレジスタＦ_５に格納する。また、レジスタＦ_４の値を読み出してＦ_４×Ｆ_４を演算しこの演算結果をレジスタＦ_１に格納する。このとき、Ｆ_５＝Ｘ_０×（Ｙ_０’）^２＝Ｓ_０、Ｆ_１＝Ｍ_０ ^２となっている。
【００６７】
ステップＳ３０７では、レジスタＦ_５の値を読み出して２×Ｆ_５を演算しこの演算結果をＸ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｘ_ｉ＝２Ｓ_０になっている。
【００６８】
ステップＳ３０８では、レジスタＦ_１の値とＸ_ｉの値を読み出してＦ_１−Ｘ_ｉを演算しこの演算結果をＸ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｘ_ｉ＝Ｍ_０ ^２−２Ｓ_０となっている。
【００６９】
ステップＳ３０９では、レジスタＦ_３の値を読み出してＦ_３×Ｆ_３の演算を行いこの演算結果をレジスタＦ_１に格納する。また、レジスタＦ_５の値およびＸ_ｉの値を読み出してＦ_５−Ｘ_ｉの演算を行いこの演算結果をレジスタＦ_５に格納する。このとき、Ｆ_１＝（Ｙ_０’）^４＝Ｔ_０、Ｆ_５＝Ｓ−Ｘ_ｉとなっている。
【００７０】
ステップＳ３１０では、レジスタＦ_５、Ｆ_４の値を読み出してＦ_５×Ｆ_４の演算を行いこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｙ_ｉ＝Ｍ_０（Ｓ_０−Ｘ_ｉ）となっている。
【００７１】
ステップＳ３１１では、Ｙ_ｉの値を読み出して２×Ｙ_ｉを演算しこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｙ_ｉ＝２Ｍ_０（Ｓ_０−Ｘ_ｉ）となっている。
【００７２】
ステップＳ３１２では、Ｙ_ｉの値およびレジスタＦ_１の値を読み出してＹ_ｉ−Ｆ_１を演算しこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｙ_ｉ＝２Ｍ_０（Ｓ_０−Ｘ_ｉ）−Ｔ_０となっている。
【００７３】
ステップＳ３１３では、最終的に演算されたＸ_ｉ，Ｙ_ｉ，Ｚ_ｉ，Ｆ_１，Ｆ_２を記憶手段２に出力する。このあと、メインルーチンに復帰する。
【００７４】
この点の２倍算ルーチンでは、連続する２倍算の初回において、Ｙ_０’＝２Ｙ_０およびＷ_０＝ａＺ_０ ^４を演算し、これらに基づいて演算した結果、出力される（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）の値は、実際のヤコビヤン座標（Ｘ_１，Ｙ_１，Ｚ_１）に対して（Ｘ_１，２Ｙ_１，Ｚ_１）となっている。
【００７５】
ステップＳ２０４の点の２倍算ループルーチンについて、図５により説明する。この２倍算ループルーチンでは、実際のヤコビヤン座標を（Ｘ_ｔ，Ｙ_ｔ，Ｚ_ｔ）とすると、（Ｘ_ｔ，２Ｙ_ｔ，Ｚ_ｔ）を入力として（Ｘ_ｔ＋１，２Ｙ_ｔ＋１，Ｚ_ｔ＋１）を演算してこれを出力としている。
【００７６】
ステップＳ４００では、記憶手段２に格納されている（Ｘ_ｉ，Ｙ_ｉ，Ｚ_ｉ）およびレジスタＦ_１（＝Ｔ_ｉ−１）、Ｆ_２（＝Ｗ_ｉ−１）の値を入力として読み出す。
【００７７】
ステップＳ４０１では、Ｆ_１×Ｆ_２を演算しその演算結果をレジスタＦ_２に格納する。また、Ｘ_ｉ×Ｘ_ｉを演算しその演算結果をレジスタＦ_３に格納する。このとき、Ｆ_２＝Ｗ_ｉ、Ｆ_３＝Ｘ_ｉ ^２となっている。
【００７８】
ステップＳ４０２では、レジスタＦ_３の値を読み出して２×Ｆ_３を演算しこの演算結果をＦ_５に格納する。ここでは、Ｆ_４＝２Ｘ_ｉ ^２となっている。
【００７９】
ステップＳ４０３では、レジスタＦ_５、Ｆ_３の値を読み出してＦ_５＋Ｆ_３を演算しこの演算結果をレジスタＦ_５に格納する。このとき、Ｆ_５＝３Ｘ_ｉ ^２となっている。
【００８０】
ステップＳ４０４では、レジスタＦ_２、Ｆ_５の値を読み出してＦ_２＋Ｆ_５を演算しこの演算結果をレジスタＦ_５に格納する。このとき、Ｆ_５＝３Ｘ_ｉ ^２＋Ｗ_ｉ＝Ｍ_ｉとなっている。
【００８１】
ステップＳ４０５では、Ｙ_ｉ，Ｚ_ｉの値を読み出してＹ_ｉ×Ｚ_ｉを演算しこの演算結果をＺ_ｉとして演算結果出力用レジスタ６に出力する。また、Ｙ_ｉ×Ｙ_ｉを演算しこの演算結果をレジスタＦ_４に格納する。ここでは、入力されるＸ_ｉ，Ｙ_ｉ，Ｚ_ｉに対してＺ_ｉ＋１を演算してＺ_ｉとして出力しており、演算としてはＺ_ｉ＋１＝Ｙ_ｉ’Ｚ_ｉを実行したこととなる。また、レジスタＦ_４に格納される値は、Ｆ_４＝（Ｙ_ｉ’）^２となっている。
【００８２】
ステップＳ４０６では、Ｘ_ｉの値とレジスタＦ_４の値を読み出してＸ_ｉ×Ｆ_４を演算しこの演算結果をレジスタＦ_３に格納する。また、レジスタＦ_５の値を読み出してＦ_５×Ｆ_５を演算しこの演算結果をレジスタＦ_１に格納する。このとき、Ｆ_３＝Ｘ_ｉ×（Ｙ_ｉ’）^２＝Ｓ_ｉ、Ｆ_１＝Ｍ_ｉ ^２となっている。
【００８３】
ステップＳ４０７では、レジスタＦ_３の値を読み出して２×Ｆ_３を演算しこの演算結果をＸ_ｉとして演算結果出力用レジスタ６に出力する。ここでは、入力されるＸ_ｉ，Ｙ_ｉ，Ｚ_ｉに対してＸ_ｉ＋１を演算してＸ_ｉとして出力しており、演算としてはＸ_ｉ＋１＝２Ｓ_ｉを実行したこととなる。
【００８４】
ステップＳ４０８では、レジスタＦ_１の値とＸ_ｉの値を読み出してＦ_１−Ｘ_ｉを演算しこの演算結果をＸ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｘ_ｉ＋１＝Ｍ_ｉ ^２−２Ｓ_ｉを演算したこととなる。
【００８５】
ステップＳ４０９では、レジスタＦ_４の値を読み出してＦ_４×Ｆ_４の演算を行いこの演算結果をレジスタＦ_１に格納する。また、レジスタＦ_３の値およびＸ_ｉの値を読み出してＦ_３−Ｘ_ｉの演算を行いこの演算結果をレジスタＦ_３に格納する。このとき、Ｆ_１＝（Ｙ_ｉ’）^４＝Ｔ_ｉ、Ｆ_３＝Ｓ_ｉ−Ｘ_ｉとなっている。
【００８６】
ステップＳ４１０では、レジスタＦ_５、Ｆ_３の値を読み出してＦ_５×Ｆ_３の演算を行いこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。ここでは、入力されるＸ_ｉ，Ｙ_ｉ，Ｚ_ｉに対してＹ_ｉ＋１を演算してＹ_ｉとして出力しており、演算としてはＹ_ｉ＋１＝Ｍ_ｉ（Ｓ_ｉ−Ｘ_ｉ＋１）を実行したこととなる。
【００８７】
ステップＳ４１１では、Ｙ_ｉの値を読み出して２×Ｙ_ｉを演算しこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｙ_ｉ＋１＝２Ｍ_ｉ（Ｓ_ｉ−Ｘ_ｉ＋１）を演算したこととなる。
【００８８】
ステップＳ４１２では、Ｙ_ｉの値およびレジスタＦ_１の値を読み出してＹ_ｉ−Ｆ_１を演算しこの演算結果をＹ_ｉとして演算結果出力用レジスタ６に出力する。このとき、Ｙ_ｉ＋１＝２Ｍ_ｉ（Ｓ_ｉ−Ｘ_ｉ＋１）−Ｔ_ｉを演算したこととなる。
【００８９】
ステップＳ４１３では、最終的に演算されたＸ_ｉ，Ｙ_ｉ，Ｚ_ｉ，Ｆ_１，Ｆ_２を記憶手段２に出力する。このあと、メインルーチンに復帰する。
【００９０】
素体上楕円曲線上の点の演算に関して、その計算量を従来例による場合と本発明による場合とで比較したものを表２に示す。
【００９１】
【表２】

【００９２】
点の２倍算の場合には、本発明の第１実施形態を採用することができる。この場合には、ＩＥＥＥ Ｐ１３６３に記載されている従来例の場合と乗算回数は同じであるが、加算系の演算回数を１３回から９回に削減できる。
【００９３】
また、点の２^ｍ倍算の場合には、本発明の第２実施形態を採用することができる。このとき、特願平１０−３１１３７９号に記載の従来例の場合と同様に乗算回数は８ｍ＋２となる。しかしながら、加算系の演算回数が従来例の場合、１４ｍ−１回であるのに対し、本発明の方法では８ｍ＋２回となり、大幅に計算量を削減することができる。
【００９４】
本発明の第２実施形態の方法を、ＤＳＰ（テキサスインスツルメンツ社製ＴＭＳ３２０Ｃ６ｘ）に実装したところ、特願平１０−３１１３７９号に記載の従来の方法に比して、楕円曲線上の任意点のスカラー倍算が６％高速化することがでい、この結果楕円曲線暗号を用いたＤＳＡ署名確認処理が従来法よりも５％高速化された。
【００９５】
【発明の効果】
本発明によれば、素体上楕円曲線上の点の演算において、加算系の演算処理を削減することができ、特に、２倍算処理が連続する場合に計算量を削減し、楕円曲線上の点のスカラー倍算を行った場合、演算の高速化を図ることが可能となる。
【図面の簡単な説明】
【図１】本発明の１実施形態の制御ブロック図。
【図２】第１実施形態の制御フローチャート。
【図３】第２実施形態の制御フローチャート。
【図４】２倍算ルーチンの制御フローチャート。
【図５】２倍算ループルーチンの制御フローチャート。
【符号の説明】
１ 演算装置
２ 記憶手段
３ 演算部
４ 演算手段
５ レジスタ群
６ 演算結果出力用レジスタ

Claims (5)

1. 複数のレジスタ群の値を読み出して、乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とによって処理した演算結果を前記レジスタ群に格納する演算部によって、ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する際に、２進数系表現に変換された前記乗数に基づいて２倍算処理および加算処理を組み合わせて演算を行う方法であって、
   前記演算部が、前記素体上楕円曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍算処理を連続して行う場合には、その連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1，Ｚ_t+1）を現在のヤコビアン座標（Ｘ_t，Ｙ_t，Ｚ_t）を用いて、
   Ｙ_t’＝２Ｙ_t
   Ｍ_t＝３Ｘ_t ²＋ａＺ_t ⁴
   Ｓ_t＝Ｘ_t（Ｙ_t’）²
   Ｔ_t＝（Ｙ_t’）⁴／２
   Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
   Ｙ_t+1＝Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
   Ｚ_t+1＝Ｙ_t’Ｚ_t
   の演算処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする素体上楕円曲線上の点の演算方法。
2. 複数のレジスタ群の値を読み出して、乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とによって処理した演算結果を前記レジスタ群に格納する演算部によって、ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する際に、２進数系表現に変換された前記乗数に基づいて２倍算処理および加算処理を組み合わせて演算を行う方法であって、
   前記演算部が、前記素体上楕円曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍算処理を連続して行う場合には、初回は、
   Ｙ₀’＝２Ｙ₀
   Ｗ₀＝ａＺ₀ ⁴
   Ｍ₀＝３Ｘ₀ ²＋Ｗ₀
   Ｓ₀＝Ｘ₀（Ｙ₀’）²
   Ｔ₀＝（Ｙ₀’）⁴
   Ｘ₁＝Ｍ₀ ²−２Ｓ₀
   Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀
   Ｚ₁＝Ｙ₀’Ｚ₀
   を演算し、２回目以降はその連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、
   Ｗ_t＝Ｔ_t-1Ｗ_t-1
   Ｍ_t＝３Ｘ_t ²＋Ｗ_t
   Ｓ_t＝Ｘ_t（Ｙ_t’）²
   Ｔ_t＝（Ｙ_t’）⁴
   Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
   Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
   Ｚ_t+1＝Ｙ_t’Ｚ_t
   として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／２を演算する処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする素体上楕円曲線上の点の演算方法。
3. 連続した２倍算処理の時点（ｔ＋１）での演算処理において、前回の時点（ｔ）での演算結果（Ｘ_t，Ｙ_t’，Ｚ_t）を求める際に用いたＷ_t-1＝ａＺ_t-1 ⁴とＴ_t-1＝（Ｙ_t-1’）⁴とを用いて２倍算処理を行うとともに、この２倍算処理において求めたＷ_t＝ａＺ_t ⁴とＴ_t＝（Ｙ_t’）⁴とを記憶しておくことを特徴とする、請求項２に記載の素体上楕円曲線上の点の演算方法。
4. 連続した２倍算処理の時点（ｔ＋１）において、演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）以外の情報を出力しないことを特徴とする、請求項２または３に記載の素体上楕円曲線上の点の演算方法。
5. ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，ｙ）に対応して（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現とした点（Ｘ，Ｙ，Ｚ）および乗数が格納される領域を有する記憶手段と、
   乗算系の演算処理を実行する乗算系演算手段と加算系の演算処理を実行する加算系演算手段とを備え、前記記憶手段に格納された乗数を２進数系表現に変換し、この乗数に基づいて前記ヤコビアン座標に２倍算処理または加算処理と２倍算処理とを前記乗算系演算手段および加算系演算手段により選択的に行って次のヤコビアン座標を演算する演算手段と、
   前記演算手段の乗算系演算手段および加算系演算手段による演算結果を一時的に格納するレジスタ群と、
   前記演算手段により演算された次のヤコビアン座標を前記記憶手段に出力する出力手段と、
   を備え、前記演算手段により演算されて前記記憶手段に記憶されたヤコビアン座標を用いて、前記乗数に基づく演算を連続的に行うとともに、前記演算手段による演算が連続する２倍算処理である場合には、初回は、
   Ｙ₀’＝２Ｙ₀
   Ｗ₀＝ａＺ₀ ⁴
   Ｍ₀＝３Ｘ₀ ²＋Ｗ₀
   Ｓ₀＝Ｘ₀（Ｙ₀’）²
   Ｔ₀＝（Ｙ₀’）⁴
   Ｘ₁＝Ｍ₀ ²−２Ｓ₀
   Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀
   Ｚ₁＝Ｙ₀’Ｚ₀
   を演算し、２回目以降はその連続した２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、
   Ｗ_t＝Ｔ_t-1Ｗ_t-1
   Ｍ_t＝３Ｘ_t ²＋Ｗ_t
   Ｓ_t＝Ｘ_t（Ｙ_t’）²
   Ｔ_t＝（Ｙ_t’）⁴
   Ｘ_t+1＝Ｍ_t ²−２Ｓ_t
   Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t
   Ｚ_t+1＝Ｙ_t’Ｚ_t
   として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／２を演算する処理を、加算、減算、２倍算、３倍算及び１／２算については加算系演算手段により実行し、その他の乗算及び指数演算は乗算系演算手段により実行することを特徴とする素体上楕円曲線上の点の演算装置。

Images