JP4189828B1

JP4189828B1 - ペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラム

Info

Publication number: JP4189828B1
Application number: JP2007282487A
Authority: JP
Inventors: 正剛赤根; 保之野上; 良孝森川
Original assignee: 国立大学法人岡山大学
Priority date: 2007-10-30
Filing date: 2007-10-30
Publication date: 2008-12-03
Anticipated expiration: 2027-10-30
Also published as: KR20100094487A; US20100260333A1; CN101842824B; US8238550B2; JP2009109772A; CN101842824A; WO2009057656A1; EP2216767A1

Abstract

【課題】ペアリング演算を高速に実行可能としたペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラムを提供する。
【解決手段】Ａｔｅペアリングｅ(Ｑ,Ｐ)を
【数４９】

とし、ｋが偶数、３の倍数、４の倍数、６の倍数のいずれかである場合に、ミラー関数f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^k−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余あるいは３乗非剰余なｖを用いたツイスト曲線により特定される真部分体上の演算として行う。
【選択図】図３

Description

本発明は、ペアリング演算を高速に実行可能としたペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラムに関する。

昨今、高速な電気通信回線が低価格で利用可能となったことにより、インターネットなどのネットワーク上において、音楽や映像の配信、インターネットバンキング、行政機関への電子申請などのような各種のサービスが提供可能となっている。

また、企業による業務形態も変化しており、ノートパソコンや携帯電話などのいわゆるモバイル端末装置を用いて外出先などから会社のサーバ装置にアクセスして、各種の情報の入力あるいは取得が可能となっている。

特に、日本では、携帯電話をネットワークへの接続装置として利用するサービスが充実しており、いかなる所からでも所要のネットワークにアクセスして各種の情報を入手したり、サービスを利用したりすることができるいわゆるユビキタス社会の到来がいよいよ現実味を帯びてきた。

このように各種の情報を取得したり、サービスを利用したりするためにネットワークにアクセスする際には、所要の認証手段を備えた認証サーバによって認証処理が行われ、ネットワークにアクセスした利用者が、あらかじめ登録されている特定の利用者であることが認証されて、情報の取得あるいはサービスの利用が可能となっている。

特に、最近では、ディジタル署名技術を用いることにより、取り扱っている情報が第三者によって改ざんされていないこと、あるいは第三者に漏洩していないことを保証可能として、秘匿性の高い情報もネットワーク上で安全に取り扱い可能となっていることにより、さらに積極的にネットワークが利用されることとなっている。

ただし、このディジタル署名では、利用者個人が特定されるため、認証サーバにおける認証処理に基づいて認証サーバに利用者の履歴が情報として蓄積されることとなっており、この履歴情報は一種の個人情報であって、個人情報保護の問題があった。

そこで、ディジタル署名を拡張したディジタルグループ署名を用いることが提案されている。ディジタルグループ署名を用いた場合には、利用者は、認証サーバに対して匿名でグループに属していることのみを証明する署名データを送信し、認証サーバでは、受信した署名データから利用者を特定することなく利用者が所定のグループに属していることを認証している。したがって、認証サーバに各利用者の使用の履歴情報が蓄積されることを防止できる一方で、グループに属さない利用者による不正利用を阻止可能としている。

ここで、ディジタルグループ署名における匿名認証には、ペアリング演算が用いられている。ペアリング演算では、２入力１出力の関数を用いた演算を行っており、たとえば、Ｐを素体Ｆ_q上の有理点、Ｑをｋ次拡大体Ｆ_q ^k上の有理点として、ペアリングでＰとＱとを入力して拡大体Ｆ^* _q ^kの元ｚが出力されるとき、ａ倍のＰと、ｂ倍のＱを入力するとｚのab乗が算出されることを利用しているものであり、このような性質のことを双線形性と呼ぶ。なお、ここで、「ｋ」を埋込み次数と呼び、「Ｆ^* _q ^k」は、正しくは、以下の表示であるが、表示の制限上、「Ｆ^* _q ^k」と表示している。

一般的に、有理点Ｐ，Ｑはそれぞれ楕円曲線上の点が用いられ、このような楕円曲線のペアリングの演算は、ミラーのアルゴリズムを用いて演算するステップと、最終べきのべき乗演算を行うステップとで構成されている。

たとえば、10,000人のメンバーで構成されるグループのディジタルグループ署名であって、各メンバーのアクセス権の発行と失効とを柔軟に対応可能とするために、ディジタルグループ署名の検証時に失効者分のペアリング演算を行う方式が知られている。この場合、失効者が100人であれば100回のペアリング演算が必要であり、現時点での一般的な電子計算機による１回のペアリングの演算に約0.1秒を要していることから、100回のペアリング演算には10秒を要することとなって、大規模なディジタルグループ署名での利用は実用的とは言えなかった。

そこで、ペアリングの演算速度を向上させるために様々な開発が行われており、たとえば有限体上の楕円曲線上で定義されるＴａｔｅペアリング演算における高速化の技術が提案されている（例えば、特許文献１参照。）。
特開２００５−３１６２６７号公報

しかしながら、現在提案されているペアリング演算の高速化技術では、未だに大規模なディジタルグループ署名での利用に適う速度とはなっておらず、ディジタルグループ署名のメンバー数を制限しなければならないという問題があった。

本発明者らは、このような現状に鑑み、ペアリング演算を高速化すべく研究開発を行って、本発明を成すに至ったものである。

本発明のペアリング演算装置では、曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3による真部分体上で行うこととした。

特に、前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することにも特徴を有するものである。

また、本発明のペアリング演算装置では、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上で行うこととした。

特に、前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することにも特徴を有するものである。

また、曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ
∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘによる真部分体上で行うこととした。

特に、前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することにも特徴を有するものである。

また、本発明のペアリング演算装置では、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^6h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上で行うこととした。

特に、前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した
値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを
通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，
ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l
_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第４演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、その演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することにも特徴を有するものである。

また、本発明のペアリング演算方法では、曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算方法において
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3を用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、ＰとＱ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップとを有することとした。

また、本発明のペアリング演算方法では、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｓ＝ｔ−１又は前記tと、ＰとＱ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算の演算を行う第１０ステップと
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップとを有することとした。

また、本発明のペアリング演算方法では、曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の(ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標(ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、ｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップとを有することとした。

また、本発明のペアリング演算方法では、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算方法において
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^6h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力するステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップとを有することとした。

また、本発明のペアリング演算プログラムでは、曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3を用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させることとした。

また、本発明のペアリング演算プログラムでは、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させることとした。

また、本発明のペアリング演算プログラムでは、曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させることとした。

また、本発明のペアリング演算プログラムでは、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記ＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第1演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させることとした。

本発明では、ペアリング演算に際して、f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、ツイスト曲線を用いて低次の真部分体上で行うことにより演算負荷を低減して、ペアリング演算の高速化を図ることができる。

本発明のペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラムでは、ミラーのアルゴリズムを用いて演算するステップと、最終べきのべき乗演算を行うステップとで構成されるペアリング演算において、ミラーのアルゴリズムを用いた演算を高速化することにより、高速演算を可能としているものである。

ミラーのアルゴリズムは、図１に示すアルゴリズムとして知られているものである。曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が２ｈ次(ｈ：自然数)で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、ミラーのアルゴリズムでは、フロベニウス自己準同型写像φ_qのトレースｔを用いたｓ＝ｔ−１と、Ｐ∈Ｅ(Ｆ_q)であるＰと、Ｑ∈Ｅ(Ｆ_q ^2h)であるＱとが入力されることにより、f_s,Q(Ｐ)を出力している。

なお、埋込み次数は偶数次に限定されるものではなく、埋込み次数を３の倍数次とする場合には、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が３ｈ次(ｈ：自然数)で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群を用いることが望ましい。

また、特に、埋込み次数が４の倍数次の場合には、曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が４ｈ次(ｈ：自然数)で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群を用いることが望ましい。

さらに、特に、埋込み次数が６の倍数次の場合には、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が６ｈ次(ｈ：自然数)で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群を用いることが望ましい。

図１に示すミラーのアルゴリズムの第１ステップでは、ｆ←１、Ｔ←Ｑの代入演算を行い、第２ステップの繰り返し条件に基づいて以下の演算を繰り返し行っている。第２ステップでは、具体的には、２進数表示したｓによって得られるビット数をｉの初期値とし、演算の繰り返しのたびにｉを１ずつ減算しながら繰り返し回数を管理している。第５ステップのｓ[i]は、２進数表示したｓの最小ビットから数えてｉ番目のビットの値を示すものであって、ｓ[i]は「０」と「１」のいずれか一方である。

図１に示すミラーのアルゴリズムの第３ステップでは、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P)を代入した値l_T,T(ｘ_P，ｙ_P)の演算を行っており、第４ステップでは、Ｔ←２Ｔとして楕円二倍算を行っている。

図１に示すミラーのアルゴリズムの第５ステップでは、ｓを２進数表示とした場合の所定のビットの値ｓ[i]が１であるか否かを判定し、１である場合に、第６ステップで有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P)を代入した値l_T,Q(ｘ_P，ｙ_P)の演算を行い、第７ステップで、Ｔ←Ｔ＋Ｑとして楕円加算を行っている。

そして、第２ステップの繰り返し条件に基づいて演算を繰り返し行って、図１に示すミラーのアルゴリズムの第１０ステップでは、演算結果を出力している。ペアリング演算では、最後に、ミラーのアルゴリズムによって演算されて出力された演算結果のf_s,Q(Ｐ)に対して(ｑ^2h−１)/r乗のべき乗算を行っている。

なお、埋込み次数が３の倍数次の場合には、最終べきのべき乗算は(ｑ^3h−１)/r乗のべき乗算であり、埋込み次数が４の倍数次の場合には、最終べきのべき乗算は(ｑ^4h−１)/r乗のべき乗算であり、埋込み次数が６の倍数次の場合には、最終べきのべき乗算は(ｑ^6h−１)/r乗のべき乗算である。

以下において、第３ステップでのl_T,T(ｘ_P，ｙ_P)の演算、及び第５ステップでのl_T,Q(ｘ_P，ｙ_P)の演算方法を説明する。ここで、埋込み次数を偶数次、すなわち２ｈ(ｈ：自然数)次として、楕円曲線をｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q(ｑ：３より大きい素数のべき乗)とする。

Ｔ＝(ｘ_T，ｙ_T),Ｑ＝(ｘ_Q，ｙ_Q)とすると、l_T,Q(ｘ，ｙ)の傾きλ_T,Qは次式で与えられる。

この傾きλ_T,Qを用いてl_T,Q(ｘ_P，ｙ_P)の値を以下のように計算する。

通常では、この［数２６］及び［数２７］によってＥ(Ｆ_q ^2h)上で演算を行っているのであるが、埋込み次数を偶数次、すなわち２ｈ(ｈ：自然数)次として、楕円曲線をｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q(ｑ：３より大きい素数のべき乗)とした場合には、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3，ｖ∈Ｆ_q ^hが存在して、Ｅ'(Ｆ_q ^h)からＥ(Ｆ_q ^2h)への準同型写像(ｘ，ｙ)→(ｘｖ、ｙｖ^3/2)が存在する。ここで、新たなパラメータｖは、(ｑ^2h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余な元である。

したがって、Ｅ(Ｆ_q ^2h)[r]上の楕円加算を１／２の拡大次数のＥ'(Ｆ_q ^h)[r]上の楕円加算に置き換えて演算することが可能であり、演算負荷を低減して高速な演算を可能とすることができる。

特に、有理点Ｔ、Ｑ∈Ｅ(Ｆ_q ^2h)に対して、Ｔ＝(ｘ_T，ｙ_T)＝(ｘ_T'ｖ、ｙ_T'ｖ^3/2)、Ｑ＝(ｘ_Q，ｙ_Q)＝(ｘ_Q'ｖ、ｙ_Q'ｖ^3/2)の関係が成り立つ有理点Ｔ'、Ｑ'がＥ'(Ｆ_q ^h)に存在するので、まず、l_T,T(ｘ，ｙ)の傾きλ_T,T、及びl_T,Q(ｘ，ｙ)の傾きλ_T,Qを以下のように変形する。

［数２９］と［数３０］から、Ｔ＝Ｑ、Ｔ≠Ｑにかかわらず傾きλ_T,Qは、以下のようになる。

したがって、［数３１］の式から、［数２８］の式は以下のようになる。

この［数３２］の式の最後のｖ^3/2の部分は、ペアリング演算における(ｑ^2h−１)/r乗の最終べきの演算によって１となるので、ミラーのアルゴリズムにおけるl_T,Q(ｘ_P，ｙ_P)を演算する際には、l_T,Q(ｘ_P，ｙ_P)の演算を行うのではなく、l_T',Q'(ｘ_Pｖ^-1，ｙ_Pｖ^-3/2)を真部分体上において演算すればよく、演算負荷を大きく低減することができる。

すなわち、曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が２ｈ次(ｈ：自然数)で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算する場合に、f_s,Q(Ｐ)の導出に必要となる有理関数l_T,T(ｘ_P，ｙ_P)及びl_T,Q(ｘ_P，ｙ_P)の演算を、このf_s,Q(Ｐ)の(ｑ^2h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3による真部分体上でl_T',T'(ｘ_Pｖ^-1，ｙ_Pｖ^-3/2)及びl_T',Q'(ｘ_Pｖ^-1，ｙ_Pｖ^-3/2)の演算として行うことにより、演算負荷を低減して高速な演算を可能とすることができる。

埋込み次数を３の倍数次、すなわち３ｈ(ｈ：自然数)次として、曲線の式をｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)とした場合には、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1，ｖ∈Ｆ_q ^hが存在して、Ｅ'(Ｆ_q ^h)からＥ(Ｆ_q ^3h)への準同型写像(ｘ，ｙ)→(ｘｖ^1/3、ｙｖ^1/2)が存在する。ここで、新たなパラメータｖは、(ｑ^3h−１)／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余な元である。

したがって、Ｅ(Ｆ_q ^3h)[r]上の楕円加算を１／３の拡大次数のＥ'(Ｆ_q ^h)[r]上の楕円加算に置き換えて演算することが可能であり、演算負荷を低減して高速な演算を可能とすることができる。

特に、有理点Ｔ、Ｑ∈Ｅ(Ｆ_q ^3h)に対して、Ｔ＝(ｘ_T，ｙ_T)＝(ｘ_T'ｖ^1/3、ｙ_T'ｖ^1/2)、Ｑ＝(ｘ_Q，ｙ_Q)＝(ｘ_Q'ｖ^1/3、ｙ_Q'ｖ^1/2)の関係が成り立つ有理点Ｔ'、Ｑ'がＥ'(Ｆ_q ^h)に存在するので、まず、l_T,T(ｘ，ｙ)の傾きλ_T,T、及びl_T,Q(ｘ，ｙ)の傾きλ_T,Qを以下のように変形する。

［数３４］と［数３５］から、Ｔ＝Ｑ、Ｔ≠Ｑにかかわらず傾きλ_T,Qは、以下のようになる。

したがって、［数３６］の式から、［数２８］の式は以下のようになる。

この［数３７］の式の最後のｖ^1/2の部分は、ペアリング演算における(ｑ^3h−１)/r乗の最終べきの演算によって１となるので、ミラーのアルゴリズムにおけるl_T,Q(ｘ_P，ｙ_P)を演算する際には、l_T,Q(ｘ_P，ｙ_P)の演算を行うのではなく、l_T',Q'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)を真部分体上において演算すればよく、演算負荷を大きく低減することができる。

すなわち、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が３ｈ次(ｈ：自然数)で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算する場合に、f_s,Q(Ｐ)の導出に必要となる有理関数l_T,T(ｘ_P，ｙ_P)及びl_T,Q(ｘ_P，ｙ_P)の演算を、このf_s,Q(Ｐ)の(ｑ^3h−１)／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上でl_T',T'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)及びl_T',Q'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)の演算として行うことによって、演算負荷を低減して高速な演算を可能とすることができる。

埋込み次数を４の倍数次、すなわち４ｈ(ｈ：自然数)次として、曲線の式をｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で、４がｑ^h−１を割り切るとした場合には、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘ，ｖ∈Ｆ_q ^hが存在して、Ｅ'(Ｆ_q ^h)からＥ(Ｆ_q ^4h)への準同型写像(ｘ，ｙ)→(ｘｖ^1/2、ｙｖ^3/4)が存在する。ここで、新たなパラメータｖは、(ｑ^4h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余な元である。

したがって、Ｅ(Ｆ_q ^4h)[r]上の楕円加算を１／４の拡大次数のＥ'(Ｆ_q ^h)[r]上の楕円加算に置き換えて演算することが可能であり、演算負荷を低減して高速な演算を可能とすることができる。

特に、有理点Ｔ、Ｑ∈Ｅ(Ｆ_q ^4h)に対して、Ｔ＝(ｘ_T，ｙ_T)＝(ｘ_T'ｖ^1/2、ｙ_T'ｖ^3/4)、Ｑ＝(ｘ_Q，ｙ_Q)＝(ｘ_Q'ｖ^1/2、ｙ_Q'ｖ^3/4)の関係が成り立つ有理点Ｔ'、Ｑ'がＥ'(Ｆ_q ^h)に存在するので、まず、l_T,T(ｘ，ｙ)の傾きλ_T,T、及びl_T,Q(ｘ，ｙ)の傾きλ_T,Qを以下のように変形する。

［数３９］と［数４０］から、Ｔ＝Ｑ、Ｔ≠Ｑにかかわらず傾きλ_T,Qは、以下のようになる。

したがって、［数４１］の式から、［数２８］の式は以下のようになる。

この［数４２］の式の最後のｖ^3/4の部分は、ペアリング演算における(ｑ^4h−１)/r乗の最終べきの演算によって１となるので、ミラーのアルゴリズムにおけるl_T,Q(ｘ_P，ｙ_P)を演算する際には、l_T,Q(ｘ_P，ｙ_P)の演算を行うのではなく、l_T',Q'(ｘ_Pｖ^-1/2，ｙ_Pｖ^-3/4)を真部分体上において演算すればよく、演算負荷を大きく低減することができる。

すなわち、曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が４ｈ次(ｈ：自然数)で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算する場合に、f_s,Q(Ｐ)の導出に必要となる有理関数l_T,T(ｘ_P，ｙ_P)及びl_T,Q(ｘ_P，ｙ_P)の演算を、このf_s,Q(Ｐ)の(ｑ^4h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘによる真部分体上でl_T',T'(ｘ_Pｖ^-1/2，ｙ_Pｖ^-3/4)及びl_T',Q'(ｘ_Pｖ^-1/2，ｙ_Pｖ^-3/4)の演算として行うことによって、演算負荷を低減して高速な演算を可能とすることができる。

埋込み次数を６の倍数次、すなわち６ｈ(ｈ：自然数)次として、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)とした場合には、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1，ｖ∈Ｆ_q ^hが存在して、Ｅ'(Ｆ_q ^h)からＥ(Ｆ_q ^6h)への準同型写像(ｘ，ｙ)→(ｘｖ^1/3、ｙｖ^1/2)が存在する。ここで、新たなパラメータｖは、(ｑ^6h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余な元である。

したがって、Ｅ(Ｆ_q ^6h)[r]上の楕円加算を１／６の拡大次数のＥ'(Ｆ_q ^h)[r]上の楕円加算に置き換えて演算することが可能であり、演算負荷を低減して高速な演算を可能とすることができる。

特に、有理点Ｔ、Ｑ∈Ｅ(Ｆ_q ^6h)に対して、Ｔ＝(ｘ_T，ｙ_T)＝(ｘ_T'ｖ^1/3、ｙ_T'ｖ^1/2)、Ｑ＝(ｘ_Q，ｙ_Q)＝(ｘ_Q'ｖ^1/3、ｙ_Q'ｖ^1/2)の関係が成り立つ有理点Ｔ'、Ｑ'がＥ'(Ｆ_p ^h)に存在するので、まず、l_T,T(ｘ，ｙ)の傾きλ_T,T、及びl_T,Q(ｘ，ｙ)の傾きλ_T,Qを以下のように変形する。

［数４４］と［数４５］から、Ｔ＝Ｑ、Ｔ≠Ｑにかかわらず傾きλ_T,Qは、以下のようになる。

したがって、［数４６］の式から、［数２８］の式は以下のようになる。

この［数４７］の式の最後のｖ^1/2の部分は、ペアリング演算における(ｑ^6h−１)/r乗の最終べきの演算によって１となるので、ミラーのアルゴリズムにおけるl_T,Q(ｘ_P，ｙ_P)を演算する際には、l_T,Q(ｘ_P，ｙ_P)の演算を行うのではなく、l_T',Q'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)を真部分体上において演算すればよく、演算負荷を大きく低減することができる。

すなわち、曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q(ｑ：３より大きい素数のべき乗)で与えられ、埋込み次数が６ｈ次(ｈ：自然数)で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算する場合に、f_s,Q(Ｐ)の導出に必要となる有理関数l_T,T(ｘ_P，ｙ_P)及びl_T,Q(ｘ_P，ｙ_P)の演算を、このf_s,Q(Ｐ)の(ｑ^6h−１)／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上でl_T',T'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)及びl_T',Q'(ｘ_Pｖ^-1/3，ｙ_Pｖ^-1/2)の演算として行うことによって、演算負荷を低減して高速な演算を可能とすることができる。

以下において、埋込み次数が、偶数次、３の倍数次、４の倍数次、及び６の倍数次の最小公倍数である１２次の場合におけるペアリング演算のプログラムについて説明する。図２は、図１に対応させた埋込み次数が１２次の場合のミラーのアルゴリズムである。ここで、これまで３より大きい素数のべき乗としていたｑを、素数ｐとする。

認証サーバなどのように電子計算機で構成されるペアリング演算装置では、図３に示すフローチャートに基づくプログラムによりペアリング演算を行って、大規模なディジタルグループ署名を実現している。

ここで、ペアリング演算を行う電子計算機は、図２に示したミラーのアルゴリズムに基づくプログラムを内蔵したペアリング演算プログラムを実行可能とした電子計算機であって、図４に示すように、電子計算機10は、演算処理を実行するＣＰＵ11と、ペアリング演算プログラムなどの各種プログラム、及びペアリング演算プログラムで使用するデータなどを記憶したハードディスクなどの記憶装置12と、ペアリング演算プログラムを展開して実行可能とするとともに、ペアリング演算プログラムの実行にともなって生成されたデータを一時的に記憶するＲＡＭなどで構成されたメモリ装置13を備えている。図４中、14はバスである。

本発明のペアリング演算プログラムを利用するディジタルグループ署名技術においては、電子計算機10は、インターネットなどの電気通信回線20に接続して、この電気通信回線20に接続されたクライアント装置30から送信されたディジタルグループ署名の署名データを受信可能としている。図４中、15は電子計算機10の入出力制御部である。電子計算機10では、クライアント装置30から送信されたディジタルグループ署名の署名データはメモリ装置13に一次的に記憶している。

電子計算機10では、クライアント装置30からディジタルグループ署名の署名データが送信されると、送信された署名データをメモリ装置13に一旦記憶し、ペアリング演算プログラムを起動させる(ステップＳ１)。

起動したペアリング演算プログラムによって、電子計算機10は、入力手段として機能して、フロベニウス自己準同型写像φ_pのトレースｔに基づくｓ＝ｔ−１、Ｐ∈Ｅ(Ｆ_p)であるＰ、Ｑ'∈Ｅ'(Ｆ_p ²)であるＱ'の入力を受け付ける(ステップＳ２)。メモリ装置13に一旦記憶した署名データはＰとＱ'のいずれか一方であり、一般的にはＰである。Ｑ’及びフロベニウス自己準同型写像φ_pのトレースｔまたはｓ＝ｔ−１は、記憶装置12またはメモリ装置13の所定アドレスに記憶しており、所定アドレスから読み出して入力している。

次いで、電子計算機10は、代入手段として機能して、有理点Ｐの座標(ｘ_P，ｙ_P)に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行う(ステップＳ３)。ここで、ｖ^-1/3の値、及びｖ^-1/2の値は既知であって、記憶装置12またはメモリ装置13の所定アドレスに記憶しており、所定アドレスから読み出して入力してｘ_Pｖ^-1/3の演算、及びｙ_Pｖ^-1/2の演算を行っている。

なお、この代入演算は、埋込み次数が１２次で、６の倍数次となっているのでｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算であるが、埋込み次数が偶数次の場合にはｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算、埋込み次数が３の倍数次の場合にはｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算、埋込み次数が４の倍数次の場合にはｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算となる。

次いで、電子計算機10は、代入手段として機能して、ｆ←１、Ｔ'←Ｑ'の代入演算を行う(ステップＳ４)。これは、いわゆる初期値設定である。

次いで、電子計算機10は、２進数表示したｓのビット数をいの初期値として、以下の演算の繰り返しのたびにｉを１ずつ減算しながらｆの値を演算している(ステップＳ５)。ここで、上記したのと同様に、ｓ[i]は、２進数表示したｓの最小ビットから数えてｉ番目のビットの値を示すものとする。

ステップＳ５では、具体的には、電子計算機10は、第１演算手段として機能して、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P)を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行い、次いで、電子計算機10は、第２演算手段として機能して、Ｔ'←２Ｔ'の代入演算を行っている。

さらに、２進数表示したｓのｉ番目のビットの値ｓ[i]が１である場合には、電子計算機10は、第３演算手段として機能して、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P)を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行い、次いで、電子計算機10は、第４演算手段として機能して、Ｔ'←Ｔ'＋Ｑ'の代入演算を行っている。

ステップＳ５での演算後、電子計算機10は、演算結果のｆをメモリ装置13に一次的に記憶して、ミラー関数の演算を終了している(ステップＳ６)。

次いで、電子計算機10は、演算結果のｆの値を用いて(ｐ¹²−１)/r乗のべき乗算を行って、演算結果をペアリング演算の結果としてメモリ装置13に一次的に記憶している(ステップＳ７)。

電子計算機10では、上記のペアリング演算を失効者の数に応じた回数だけ繰り返し行って、ペアリング演算プログラムを終了している。

電子計算機10が認証サーバである場合には、その後、電子計算機10は、ペアリング演算の結果を用いて認証を行っている。

このように、ペアリング演算を行う電子計算機で構成されたペアリング演算装置では、埋込み次数が１２次の場合、Ｅ(Ｆ_p ¹²)[r]上の楕円加算ではなく、Ｅ'(Ｆ_p ²)[r]上の楕円加算として演算を行うことにより、ミラーのアルゴリズムに基づく演算に要する時間を３０％程度削減可能であり、より高速にペアリング演算を可能とすることができる。

したがって、より多くのメンバーを対象としたディジタルグループ署名に利用でき、ディジタルグループ署名をより広範囲で利用することができる。

本実施形態では、ディジタルグループ署名に用いるペアリング演算について説明したが、本発明に係るペアリング演算の装置、方法、プログラムは、ディジタルグループ署名に用いる場合に限定するものではなく、必要に応じて適宜のペアリング演算に適用することができる。

従来のミラーのアルゴリズムの説明図である。本発明に係るミラーのアルゴリズムの説明図である。本発明に係るペアリング演算プログラムのフローチャートである。本発明の実施形態に係るペアリング演算装置の概略説明図である。

符号の説明

10 電子計算機
11 ＣＰＵ
12 記憶装置
13 メモリ装置
14 バス
15 入出力制御部
20 電気通信回線
30 クライアント装置

Claims

曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3による真部分体上で行うべく、
前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することを特徴とするペアリング演算装置。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上で行うべく、
前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することを特徴とするペアリング演算装置。
曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘによる真部分体上で行うべく、
前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することを特徴とするペアリング演算装置。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を演算するＣＰＵを備えたペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段を備え、
f_s,Q(Ｐ)の導出に必要となる有理関数の演算を、このf_s,Q(Ｐ)の（ｑ^6h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余なｖ∈Ｆ_q ^hを用いて、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1による真部分体上で行うべく、
前記ＣＰＵは、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段と、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段と、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段と、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段と、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段と、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段と、
前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算を演算する第５演算手段と、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段と
して機能することを特徴とするペアリング演算装置。
曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算方法において
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3を用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、ＰとＱ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップと
を有することを特徴とするペアリング演算方法。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｓ＝ｔ−１又は前記tと、ＰとＱ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算の演算を行う第１０ステップと
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップと
を有することを特徴とするペアリング演算方法。
曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算装置において、
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の(ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標(ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、ｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標(ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップと
を有することを特徴とするペアリング演算方法。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機で演算するペアリング演算方法において
前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを前記記憶手段に記憶するステップを有し、
f_s,Q(Ｐ)の（ｑ^6h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを入力手段として機能させて、前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力するステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して入力する第１ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行う第２ステップと、
前記電子計算機のＣＰＵを代入手段として機能させて、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う第３ステップと、
前記電子計算機のＣＰＵを第１演算手段として機能させて、有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第４ステップと、
前記電子計算機のＣＰＵを第２演算手段として機能させて、Ｔ'←２Ｔ'の代入演算を行う第５ステップと、
前記電子計算機のＣＰＵを第３演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第６ステップと、
前記電子計算機のＣＰＵを第４演算手段として機能させて、前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第７ステップと、
前記電子計算機のＣＰＵにより、前記第４ステップから前記第５ステップまでの演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算する第８ステップと、
前記第４ステップから前記第７ステップまでの演算結果のｆを前記記憶手段に記憶する第９ステップと、
前記電子計算機のＣＰＵを第５演算手段として機能させて、前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算の演算を行う第１０ステップと、
前記電子計算機のＣＰＵにより、第１０ステップによる演算結果をペアリング演算の結果として前記記憶手段に記憶する第１１ステップと
を有することを特徴とするペアリング演算方法。
曲線の式がｙ²＝ｘ³＋ａｘ＋ｂ，ａ∈Ｆ_q，ｂ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が２ｈ次（ｈ：自然数）で、Ｆ_q ^2hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^2h/(Ｆ^* _q ^2h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記
憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1 の値と、ｖ ^-3/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^2h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-2ｘ＋ｂｖ^-3を用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1 の値と、前記ｖ ^-3/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1、ｍ←ｙ_Pｖ^-3/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^2h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させるためのペアリング演算プログラム。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が３ｈ次（ｈ：自然数）で、Ｆ_q ^3hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^3h/(Ｆ^* _q ^3h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^3h−１）／ｒ乗のべき乗算の演算によって１となる平方剰余かつ３乗非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1を用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^3h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させるためのペアリング演算プログラム。
曲線の式がｙ²＝ｘ³＋ａｘ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が４ｈ次（ｈ：自然数）で、４がｑ^h−１を割り切るものとし、Ｆ_q ^4hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^4h/(Ｆ^* _q ^4h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/2 の値と、ｖ ^-3/4 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記電子計算機のＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/2 の値と、前記ｖ ^-3/4 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/2、ｍ←ｙ_Pｖ^-3/4の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-3/4をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第１演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-3/4をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^4h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させるためのペアリング演算プログラム。
曲線の式がｙ²＝ｘ³＋ａ，ａ∈Ｆ_q（ｑ：３より大きい素数のべき乗）で与えられ、埋込み次数が６ｈ次（ｈ：自然数）で、Ｆ_q ^6hを定義体とするペアリング可能な楕円曲線上の有理点のなす加法群をＥ、素数位数ｒの有理点の集合をＥ[r]とし、φ_qをフロベニウス自己準同型写像として、
Ｇ₁＝Ｅ[r]∩Ker(φ_q−[1])
Ｇ₂＝Ｅ[r]∩Ker(φ_q−[ｑ])
により、
ｅ：Ｇ₂×Ｇ₁→Ｆ^* _q ^6h/(Ｆ^* _q ^6h)^r
である非退化な双線形写像として定義されるＡｔｅペアリングｅによって、Ｐ∈Ｇ₁、Ｑ∈Ｇ₂とし、フロベニウス自己準同型写像φ_qのトレースｔを用いてｓ＝ｔ−１とし、ミラー関数f_s,Q(・)を用いて、

としてＡｔｅペアリングｅ(Ｑ,Ｐ)を、ＣＰＵ及び記憶手段を備えた電子計算機に演算させるペアリング演算プログラムにおいて、
前記電子計算機の記憶手段を、前記ｓ＝ｔ−１又は前記tと、Ｐ∈Ｅ(Ｆ _q )であるＰと、Ｑ'∈Ｅ'(Ｆ _q ^h )であるＱ'と、ｖ ^-1/3 の値と、ｖ ^-1/2 の値とを記憶する記憶手段として機能させ、
f_s,Q(Ｐ)の（ｑ^4h−１）／ｒ乗のべき乗算の演算によって１となる平方非剰余なｖ∈Ｆ_q ^h、Ｅ(Ｆ_q ^h)のツイスト曲線Ｅ'(Ｆ_q ^h)：ｙ²＝ｘ³＋aｖ^-1ｘを用いて、
前記ＣＰＵを、
前記ｓ＝ｔ−１又は前記tと、Ｐと、Ｑ'とを前記記憶手段から読み出して入力する入力手段、
前記ｖ ^-1/3 の値と、前記ｖ ^-1/2 の値とを前記記憶手段から読み出して、有理点Ｐの座標（ｘ_P，ｙ_P）に対して、ｎ←ｘ_Pｖ^-1/3、ｍ←ｙ_Pｖ^-1/2の代入演算を行うとともに、初期値設定としてｆ←１、Ｔ'←Ｑ'の代入演算を行う代入手段、
有理点Ｔを通る接線l_T,T(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,T(ｘ_P，ｙ_P)を演算する代わりに、l_T,T(ｘ_P，ｙ_P)ｖ^-1/2をl_T',T'(ｎ，ｍ)で演算して、ｆ←f²・l_T',T'(ｎ，ｍ)の代入演算を行う第1演算手段、
Ｔ'←２Ｔ'の代入演算を行う第２演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、有理点ＴとＱを通る直線l_T,Q(ｘ，ｙ)＝０の左辺に有理点Ｐの座標（ｘ_P，ｙ_P）を代入した値l_T,Q(ｘ_P，ｙ_P)を演算する代わりに、l_T,Q(ｘ_P，ｙ_P)ｖ^-1/2をl_T',Q'(ｎ，ｍ)で演算して、ｆ←f・l_T',Q'(ｎ，ｍ)の代入演算を行う第３演算手段、
前記ｓを２進数表示とした場合の所定のビットの値が１である場合に、Ｔ'←Ｔ'＋Ｑ'の代入演算を行う第４演算手段、
前記第１演算手段から前記第２演算手段までの演算手段による演算を行なう毎に前記ｓを２進数表示とした場合の所定のビットの値を１ずつ減算するとともに、前記第１演算手段から前記第４演算手段までの演算手段による演算結果のｆを前記記憶手段に記憶する手段、
前記記憶手段に記憶したｆを用いて(ｑ^6h−１)/r乗のべき乗算の演算を行う第５演算手段、
前記第５演算手段による演算結果をペアリング演算の結果として前記記憶手段に記憶する手段
として機能させるためのペアリング演算プログラム。