CN101782845B

CN101782845B - 一种椭圆曲线密码的高速运算装置和方法

Info

Publication number: CN101782845B
Application number: CN200910005431.6A
Authority: CN
Inventors: 张学鹏; 袁航; 郭中和
Original assignee: BEIJING HUADA INFOSEC TECHNOLOGY Ltd
Current assignee: BEIJING HUADA INFOSEC TECHNOLOGY Ltd
Priority date: 2009-01-20
Filing date: 2009-01-20
Publication date: 2014-11-26
Anticipated expiration: 2029-01-20
Also published as: CN101782845A

Abstract

本发明涉及一种椭圆曲线密码的高速运算装置和方法。本发明主要针对椭圆曲线为模长160～256比特，素域F_p上的通用曲线。本发明的高速运算装置是基于流水脉动双模乘器的特殊硬件结构，该硬件结构由运算、控制和存储三个部分组成，运算部分包含两个并行流水脉动的模乘器和两组加法器。本发明基于这种特殊的硬件结构，重新排列修改的雅可比坐标投影点的点加和点倍流水运算序列，并且使得相继出现的点加和/或点倍运算首尾相接，双模乘器空闲的时间相互补充。从而提高了流水脉动双模乘器的硬件效率，使得点加运算只占用7个模乘运算周期，点倍运算占4个模乘运算周期，最大幅度地减少点加和/或点倍以及点乘运算的时钟周期数。

Description

一种椭圆曲线密码的高速运算装置和方法

技术领域

本发明一般地涉及椭圆曲线密码技术，更具体地，涉及一种椭圆曲线密码的高速运算方法及集成电路。

背景技术

1.椭圆曲线密码技术

1985年，Koblitz和Victor Miller分别独立提出基于椭圆曲线的公钥密码体系(Elliptic Curves Cryptosystem，简称ECC)，其安全性是建立在椭圆曲线离散对数问题(Elliptic Curve Discrete LogarithmProblem，简称ECDLP)之上。

1976年，W.Diffie和M.Hellman针对对称密码的密钥分发和管理等问题，提出公钥密码。第一个获得广泛应用的公钥密码是由R.Rivest、A.Shamir和L.Adleman提出的RSA，其安全性是建立在大整数因子分解的数学难题之上。RSA所涉及的大整数因子分解问题的算法时间复杂度为亚指数级；椭圆曲线上离散对数问题的算法时间复杂度为全指数级。从密码学分析角度来看，椭圆曲线密码用相对RSA更短的密钥就可以达到更高的安全强度。此外，椭圆曲线密码还具有处理速度快、存储空间小等优点。

椭圆曲线密码具有广泛的应用前景，已经吸引了许多密码学工作者投入研究，并已逐渐被国际各大标准组织采纳作为公钥密码标准，例如IEEE P1363、ANSI X9.62、ISO/IEC 15946-2等。

2.椭圆曲线定义

当p是大于3的素数时，有限域F_p上的椭圆曲线E定义如下：

E：y²＝x³+ax+b，

其中a，b∈F_p，且使得(4a²+27b²)mod p≠0。椭圆曲线上的点集记为E(F_p)＝{(x，y)|x，y∈F_p且满足曲线方程y²＝x³+ax+b}∪{O}，其中O是椭圆曲线的无穷远点，又称为零点。

在仿射坐标下，椭圆曲线E(F_p)上的仿射点P(x，y)按照下面定义的加法法则，构成了一个阿贝尔群：

a)O+O＝O

b)任意一点P(x，y)∈E(F_p)\{O}，P+O＝O+P＝P

c)任意一点P(x，y)∈E(F_p)\{O}，P的逆元-P(x，-y)，则P+(-P)＝O

d)点P₁(x₁，y₁)∈E(F_p)\{O}，P₂(x₂，y₂)∈E(F_p)，P₃＝P₁+P∈E(F_p)

则

x₃＝λ²-x₁-x₂ y₃＝λ(x₁-x₃)-y₁

其中

a)当P₁≠P₂时，则λ＝(y₂-y₁)/(x₂-x₁)

b)当P₁＝P₂时，且P₁≠-P₂，则λ＝(3x₁ ²+a)/2y₁

椭圆曲线密码的系统参数组用于描述定义在有限域F_p上的一条椭圆曲线E，该曲线的基点G∈E(F_p)，阶为n。参数组由5个参数组成(p，a，b，G，n)，其中：

a)p：模素数，一般位长为160～256比特

b)a，b：椭圆曲线的方程参数

c)G：椭圆曲线的基点

d)n：基点G的阶

3.椭圆曲线密码算法及实现

椭圆曲线密码一般分为4个运算层次：

a)有限域运算，主要包括大数模加、模减、模乘和模逆运算等

b)点加和点倍运算

c)点乘运算

d)椭圆曲线密码机制协议层，主要包括加/解密、签名/验证协议，如椭圆曲线数字签名算法(Elliptic Curve Digital SignatureAlgorithm，简称ECDSA)等。

针对椭圆曲线密码的4个运算层次，已经存在许多成熟的算法。一个具体的椭圆曲线密码系统的实现，主要考虑的因素包括系统安全性、椭圆曲线密码算法的选择及优化、椭圆曲线密码的应用平台(软件、硬件或固件)、计算环境的约束(处理器的频率、存储空间、代码空间、电路规模和功耗等)、通信环境的约束(波特率、响应时间)等。

椭圆曲线密码涉及的主要算法包括大整数模乘算法，点加和点倍算法、点乘算法等，下面具体介绍这几种算法。

1)大整数模乘算法

大整数模乘算法主要涉及到大整数乘法，这对软件和硬件的实现带来很大困难。1985年，蒙哥马利提出了一种非常有效的模乘算法。该算法的优点是用加法和移位运算代替传统模乘算法中高成本的除法和减法，适合硬件电路实现，简称蒙哥马利(Mongtgomery)模乘算法。设M为模数，M＞1，M的二进制位长为n位，即2^n-1≤M＜2ⁿ，令R＝2ⁿ，M与R互素。R^-1和M′满足0＜R^-1＜M，0＜M′＜R，RR^-1-M M′＝1。

Montgomery模乘算法描述：

输入：大整数X，Y，M和常数M′

输出：MontMu l(X，Y)，即XYR^-1mod M

1)T：＝X·Y

2)q＝T·M′mod R

3)S：＝(T+q·R)/R

4)if S≥M then S＝S-M

5)return S

2)点加和点倍算法

在仿射坐标下，仿射坐标点的点加运算和点倍运算均涉及模逆运算和模乘运算。一般来说，模逆运算相对于模乘运算花费的代价过大。为了减少模逆运算次数，通过坐标变换，采用投影坐标实现点加和点倍运算是个不错的选择。而投影坐标有很多种，这些投影坐标的主要区别在于点加和点倍运算所需的模运算次数。在文献“混合坐标下高效的椭圆曲线点乘”中(“Efficient elliptic curve exponentiation using mixedcoordinates[J].Advances in Cryptology -ASIACRYPT’98，1998，1514：51-65.”)提出一种“修改的雅可比投影坐标”。该投影坐标点的主要优点是相对于其它投影坐标而言，其点倍运算所需的模乘运算次数最少。

在修改的雅可比投影坐标下，椭圆曲线上的P点表示为(X，Y，Z，aZ⁴)其中a为椭圆曲线方程中的参数。修改的雅可比投影点P(X，Y，Z，aZ⁴)，Z≠0按照下面的坐标变换公式就可转换为仿射点P(x，y)。

x＝X/Z²，y＝Y/Z³

同理，设Z＝1，则仿射坐标点P(x，y)就可以转化为对应的修改雅可比投影点(X，Y，1，a)。

椭圆曲线上的两点P＝(X₁，Y₁，Z₁，aZ₁ ⁴)，Q＝(X₂，Y₂，Z₂，aZ₂ ⁴)∈E(F_p)，P+Q＝(X₃，Y₃，Z₃，aZ₃ ⁴)。

在P≠±Q时，(P+Q)称为点加运算，当Q为固定点时，Z₂＝1，则点加运算(P+Q)的计算公式如下：

X₃＝-H³-2X₁H²+r²

Y₃＝-Y₁H³+r(X₁H²-X₃)

Z₃＝Z₁H

aZ₃ ⁴＝(aZ₁ ⁴)H⁴

其中，

U₂＝X₂Z₁ ²

S₂＝Y₂Z₁ ³

H＝U₂-X₁

r＝S₂-Y₁

从上述公式可以看出点加运算至少需要13次模乘运算和6次模加/减运算。

在P＝Q时，(P+Q)可表示为(P+P＝2P)，称为点倍运算，点倍运算(P+P)的计算公式如下：

X₃＝T

Y₃＝M(4S-T)-8U

Z₃＝2Y₁Z₁

aZ₃ ⁴＝16U(aZ₁ ⁴)

其中，

S＝X₁Y₁ ²

U＝Y₁ ⁴

M＝3X₁ ²+aZ₁ ⁴

T＝M²-8S

从上述公式可以看出点倍运算至少需要8次模乘运算和4次模加/减运算。

3)点乘算法

椭圆曲线密码中最重要的运算是点乘运算。在给定椭圆曲线中，一个大整数k乘以椭圆曲线点P的运算kP，称为点乘。点乘运算造成了椭圆曲线加/解密和签名/验证的巨大运算量。

椭圆曲线点乘运算kP可以分解为椭圆曲线点加运算(P+Q)和椭圆曲线点倍运算(P+P＝2P)，其中k为大整数，其二进制表示为k＝(k_n-1k_n-2......k₁k₀)，n为k的二进制长度，P、Q为椭圆曲线上的整数点。

点乘算法的描述如下：

输入：k＝(k_n-1k_n-2......k₁k₀)，P

输出：kP

1)Q：＝O(O为无穷远点)

2)for i from n-1downto 0do

2a Q：＝2Q

2b if k_i＝1 then Q：＝Q+P

3)return Q

从上述椭圆曲线点乘运算的分解可以看出，存在两种基本的运算：点倍运算(2Q)和点加运算(Q+P)。

目前，已经存在许多改进的点乘算法，其中大多数算法对k的编码方式进行优化。椭圆曲线群是一种特殊的阿贝尔群，曲线上加法和减法运算一样有效。对k重新编码，用有符号二进制编码来减少二进制编码中的非零元个数，能有效地减少点乘运算中的点加运算次数。目前比较流行的有符号编码是非相邻有符号二进制表示编码(non-adjacent form，简称NAF编码)。这种编码具有最小的海明码重(非零元个数)。

术语“算法”通常定义为解决某一问题的有限步运算序列。基于通用处理器使用某种高级语言和汇编语言来实现某一算法的方法，称为算法的软件实现。将某一算法直接用硬接线、固定的硬件结构实现的方法，称为算法的硬件实现。椭圆曲线密码涉及相对复杂的数学密码算法。椭圆曲线密码算法既可以基于通用处理器编程来实现，也可以通过专门定制电路结构的运算装置来硬件实现。不同应用的需求对椭圆曲线密码算法的软硬件实现提出了不同的要求。

根据不同的应用，同一种算法可以用不同的硬件电路结构来实现。如何将椭圆曲线密码算法映射到可用硬件电路来实现的运算装置上的过程是相当复杂的。算法硬件实现的主要目的是对一个具体的特定算法的执行进行优化。椭圆曲线密码算法硬件实现的运算装置的目的是对算法的执行进行优化，最终支持一个高速椭圆曲线密码系统。目前，主要采用的技术包括：时间重叠(流水线技术)、空间展开(多数据部件重复，脉动技术)、点运算序列重组等。为了实现一个高速椭圆曲线密码运算装置，在硬件结构方面上，大多采用基于单/多流水模乘器或单脉动阵列模乘器的结构；在算法执行方面，主要对算法运算序列和硬件资源调度做了相关优化。但迄今为止，大多数关于椭圆曲线密码算法的运算装置的性能仍不满足实际的要求，即平均每秒点乘运算性能都在1000次/秒以下(这里以素域上的模长192比特的通用椭圆曲线为参考基准，工作在10MHz频率下)。

发明内容

为了支持高速椭圆曲线密码系统，提高椭圆曲线密码算法的执行速度，本发明提出了一种椭圆曲线密码的高速运算方法，以及一种椭圆曲线密码的高速运算装置，即一种高速椭圆密码算法的硬件实现。

本发明针对点加算法和点倍算法，重新排列了修改的雅可比坐标点的点加和点倍运算序列，提出了一种实现点加运算和点倍运算的新方法，该方法可以基于流水脉动的双模乘器的特殊硬件结构来实现。

流水脉动双模乘器的特点如下：运算数据流水输入，运算结果数据流水输出，输入、输出数据时间上重叠，模乘器一边输入新的运算数据，一边输出上次的运算结果，并且在运算结果输出的同时完成模加和模减运算。相对于模乘运算而言，模加/减运算不占用额外的运算周期。本发明中相继出现的两个点运算首尾相接，两个模乘器的空闲时间相互补充，使流水脉动双模乘器的硬件效率最大化，加快了点运算的执行速度。

利用本发明的方法可以实现一个具体的椭圆曲线密码的高速运算装置。

根据本发明的第一方面，提供了一种椭圆曲线密码的高速运算方法，其适合于利用包括流水脉动双模乘器的硬件按下面的运算步骤来进行点加运算和点倍运算。

P＝(X₁，Y₁，Z₁，aZ₁ ⁴)，Q＝(X₂，Y₂，Z₂，aZ₂ ⁴)是椭圆曲线E(F_p)上的两点在雅可比投影坐标下的表示，当Q为固定点时，Z₂＝1，则点加运算P+Q＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：

a)模乘器n计算T₀＝Z₁ ²＝MontMul(Z₁，Z₁)；

b)模乘器n计算T₁＝Z₁ ³＝MonMul(Z₁ ²，Z₁)，模乘器s计算U₂＝MontMul(X₂，Z₁ ²)，并且加法器之一计算H＝ModSub(U₂，X₁)；

c)模乘器s计算S₂＝MontMul(Y₂，Z₁ ³)，加法器之一计算r＝ModSub(S₂，Y₁)；

d)模乘器n计算T₂＝H²＝MontMul(H，H)，模乘器s计算Z₃＝MontMul(Z₁，H)

e)模乘器n计算T₃＝H³＝MontMul(H²，H)，模乘器s计算T₄＝r²＝MontMul(r，r)，加法器之一计算T₅＝ModSub(r²，H³)

f)模乘器n计算T₇＝X₁H²＝MontMul(X₁，H²)，模乘器s计算T₆＝H⁴＝MontMul(H³，H)，加法器之一计算X₃＝ModSub(r²-H³，2X₁H²)，另一个加法器计算T₈＝ModSub(X₁H²，X³)

g)模乘器n计算T₉＝Y₁H³＝MontMul(Y₁，H³)，模乘器s计算T₁₀＝r(X₁H²-X₃)＝MontMul(r，X₁H²-X₃)，同时加法器之一计算Y₃＝ModSub(r(X₁H²-X₃)，Y₁H³)

h)模乘器s计算aZ₃ ⁴＝MontMul(aZ₁ ⁴，H⁴)。

并且点倍运算2P＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：。

i)模乘器n计算T₀＝X₁ ²＝MontMul(X₁，X₁)，加法器之一计算M＝ModAdd(3X₁ ²，aZ₁ ⁴)；

j)模乘器n计算T₂＝Y₁Z₁＝MontMul(Y₁，Z₁)，模乘器s计算T₁＝Y₁ ²＝MontMul(Y₁，Y₁)，加法器之一计算Z₃＝ModAdd(Y₁Z₁，Y₁Z₁)；

k)模乘器n计算S＝MontMul(X₁，Y₁ ²)，模乘器s计算T₃＝M²＝MontMul(M，M)，加法器之一计算X₃＝ModSub(M²，8S)，另一个加法器计算T₄＝MontSub(4S，X₃)；

1)模乘器s计算T₅＝MontMul(M，4S-X₃)，模乘器n计算U＝Y₁ ⁴＝MontMul(Y₁ ²，Y₁ ²)，加法器之一计算Y₃＝ModSub(M(4S-X₃)，8U)；m)模乘器s计算aZ₃ ⁴＝MontMul(16U，aZ₁ ⁴)。

在本发明中，MontMul(X，Y)表示操作数X、Y做Mongtgomery模乘运算，即XYR^-1mod p，p是模数，ModAdd(X，Y)表示操作数X、Y做模加运算，即(X+Y)modp，ModSub(X，Y)表示操作数X、Y做模减运算，即(X-Y)modp，在本发明中，当点加运算之后出现点倍运算时，点加运算的步骤h)和点倍运算的步骤i)同时进行；在点倍运算之后出现点倍运算时，前一点倍运算的步骤m)与后一点倍运算的步骤i)同时进行；在点倍运算之后出现点加运算时，点倍运算的步骤m)和点加运算的步骤a)同时进行，由此点加和点倍运算首尾相接，双模乘器空闲的部分相互补充。

根据本发明的第二方面，提供了一种椭圆曲线密码的高速点乘运算装置。点乘算法可以分解为点加和点倍运算。在采用NAF编码点乘算法时，点加和点倍出现的相邻点运算序列主要包括：点加->点倍、点倍->点倍、点倍->点加，即点加的后续运算为点倍；点倍的后续运算为点加或点倍。因此可以利用根据本发明的第一方面的高速运算方法来实现高速点乘运算。

根据本发明的第三方面，提供了一种椭圆曲线密码的高速运算装置，其特征在于，所述装置包括：模乘器n和模乘器s，所述模乘器均是流水脉动的模乘器，用于计算MontMul(X，Y)，其中MontMul(X，Y)表示操作数X、Y做Mongtgomery模乘运算，即XYR-1mod p，p是模数；两个加法器，所述加法器用于计算ModAdd(X，Y)或ModSub(X，Y)，其中ModAdd(X，Y)表示操作数X、Y做模加运算，即(X+Y)modp，ModSub(X，Y)表示操作数X、Y做模减运算，即(X-Y)modp；数据寄存器，其用于存储数据，以及控制单元，其用于控制所述模乘器和加法器按本发明的第一方面所述的方法中的运算步骤来执行点加运算和点倍运算。

根据本发明的第四方面，提供了一种椭圆曲线密码的高速点乘运算装置。该点乘运算装置利用了本发明的第三方面所述的高速运算装置。

本发明的优点在于找到了一种空间观(硬件部件规模)和时间观(算法执行速度)的平衡。本发明采用的流水脉动的双模乘器结构相对于单模乘器而言，点加运算和点倍运算执行速度大约提高2倍，即点加和点倍运算所需的模乘周期数减少一半。模乘器是椭圆曲线密码的核心运算部件，从算法的硬件实现角度来看，提高模乘器的硬件效率具有重大意义。通过重新排列点加和点倍的运算序列，本发明在最大程度上提高了流水脉动双模乘器的硬件效率。在电路规模和硬件效率上，相对于3个以上的多模乘器而言，本发明采用的双模乘器结构空间规模小，具有一定的优势。本发明的椭圆曲线密码的高速运算装置，在工作频率100MHz下，平均每秒点乘运算性能可达到6000次/秒以上。

附图说明

通过对结合附图所示出的实施例进行详细说明，本发明的上述以及其他特征将更加明显，本发明附图中，相同的标号表示相同或相似的部件。在附图中：

图1示意性示出了根据本发明的一个实施例的高速运算装置的内部框图，所述高速运算装置包括流水脉动双模乘器；

图2示意性示出了图1中的流水脉动模乘器的时序图；

图3示意性示出了根据本发明的一个实施例的点加流水运算序列图；

图4示意性示出了根据本发明的一个实施例的点倍流水运算的序列图；

图5示意性示出了根据本发明的一个实施例的点加->点倍的流水运算序列图；

图6示意性示出了根据本发明的一个实施例的点倍->点倍的流水运算序列图；

图7示意性示出了根据本发明的一个实施例的点倍->点加的流水运算序列图。

具体实施方式

本发明基于流水脉动的双模乘器的特殊硬件结构。点乘算法采用NAF编码的点乘算法。点乘算法可以分解为点加运算和点倍运算。并且在采用NAF编码的点乘算法时，点加运算和点倍运算出现的相邻点运算序列主要包括：点加->点倍、点倍->点倍、点倍->点加，即点加的后续运算为点倍；点倍的后续运算为点加或点倍。在本发明中，重新排列了修改的雅可比坐标点的点加和点倍运算序列。

图1示意性示出了根据本发明的一个实施例的高速运算装置，其采用基于流水脉动的双模乘器的硬件结构，可以执行一个或多个点加和/或点倍运算。该硬件结构主要由运算、控制和存储三个部分组成。运算部分包含两个并行的流水脉动的模乘器n 101、s 102和两组加法器103；控制部分为由若干复用器组成的控制单元，控制模乘器和加法器的运行，以及数据的存储；存储部分为数据寄存器104，用于存储在运算过程中用到的初始量、中间变量以及运算结果等等。优选地，所述高速运算装置可以实现为集成电路的形式。

下面结合图2介绍本发明使用的流水脉动的模乘器的功能。图2示出本发明采用的模乘器的流水时序图，其中T_i代表运算周期，i＝1，2，......。一个运算周期等于若干个时钟周期。模乘器一边输入新的运算数据，一边输出上次的运算结果。a表示模乘器的一个操作数输入端，b表示模乘器的另一个操作数的输入端，p表示模乘器的运算结果输出端。例如，在T₁周期，a端流入大整数X₀；T₂周期，b端流入大整数Y₀；T₃周期，p端流出MontMul(X₀，Y₀)。MontMul(X₀，Y₀)表示操作数X₀和Y₀做Mongtgomery模乘运算的结果，即XYR^-1mod p，p是模数。在T4周期，p端流出X₁和Y₁的Montgomery模乘结果MontMul(X₁，Y₁)，其中X₁是a端在T₂周期流入的操作数，Y₁是b端在T₃周期流入的操作数。以此类推，在T_i+2周期，p端流出X_i和Y_i+1的模乘结果MontMul(X_i，Y_i+1)，其中X_i是a端在T_i周期流入的操作数，Y_i+1是b端在T_i+1周期流入的操作数。

回到图1，模乘器n具有两个输入端an和bn以及一个输出端pn。在T_i+2周期，pn端流出an_i和bn_i+1的模乘结果，其中an_i是an端在Ti周期流入的操作数，bn_i+1是bn端在T_i+1周期流入的操作数。类似地，模乘器s具有两个输入端as和bs以及一个输出端ps。在T_i+2周期，ps端流出as_i和bs_i+1的模乘结果，其中as_i是as端在T_i周期流入的操作数，bs_i+1是bs端在T_i+1周期流入的操作数。因此，在同一运算周期，双模乘器n和s可以执行两个模乘运算。

在图1中，本发明的硬件结构中的两组加法器示出为S和T。每组加法器可以在控制信号的作用下执行模加运算或模减运算。ModAdd(X，Y)表示操作数X、Y做模加运算，即(X+Y)modp，ModSub(X，Y)表示操作数X、Y做模减运算，即(X-Y)modp，其中p是模数。相对于模乘运算而言，模加/减运算不占用额外的运算周期。可以在一个运算周期中，在进行模乘运算后，将模乘结果和/或其他操作数进行模加/减运算。

控制单元可以根据要执行的点运算来控制模乘器和加法器按步骤执行相应的运算序列来完成点运算。下面将结合图3到图6详细介绍控制单元的功能。点运算包括点加运算、点倍运算以及点乘运算。如前所述，点乘运算可以分解为一系列点加运算和点倍运算。因此，在本说明书的上下文中，除非特别指出，否则点运算只表示点加和/或点倍运算。下面结合图3和图4来详细说明根据本发明的点加和点倍运算序列。

图3示意性示出了本发明设计的修改的雅可比坐标点的点加流水运算序列。修正的雅可比坐标点的点加运算表示为P+Q＝(X₃，Y₃，Z₃，aZ₃ ⁴)，其中已知P＝(X₁，Y₁，Z₁，aZ₁ ⁴)，Q＝(X₂，Y₂，Z₂，aZ₂ ⁴)∈E(F_p)，Z₂＝1。ai为修正的雅可比坐标点的点加运算序列编号，i从0开始编号。其中T₀～T₁₀以及U₂、S₂、H和r表示点加运算中的临时变量。另外，这里模运算所涉及的操作数都是Montgomery表示。图中的第一列表示序列编号，第二列和第三列分别表示模乘器n的输入端an、bn流入的操作数，第四列表示模乘器n的输出端pn流出的运算结果，第五列和第六列分别表示模乘器s的输入端as、bs流入的操作数，第七列表示模乘器s的输出端ps流出的运算结果，第8列表示加法器S和/或T流出的运算结果。本发明的点加流水运算序列如下：

在步骤301，编号a0的运算周期，模乘器n的an端流入操作数Z₁。

在步骤302，编号a1的运算周期，模乘器n的an、bn两端同时流入操作数Z₁。模乘器s的as端流入操作数X₂。

在步骤303，编号a2的运算周期，模乘器n的pn端流出运算结果T₀＝MontMul(Z₁，Z₁)，bn端流入操作数T₀。模乘器s的as端流入操作数Y₂，bs端流入操作数T₀。

在步骤304，编号a3的运算周期，加法器S计算H＝ModSub(U₂，X₁)，模乘器n的an端流入操作数H，pn端流出运算结果T₁＝MontMul(Z₁，T₀)。模乘器s的as端流入操作数Z₁，bs端流入操作数T₁，ps端流出运算结果U₂＝MontMul(X₂，T₀)。

在步骤305，编号a4的运算周期，模乘器n的an，bn两端流入操作数H。模乘器s的as端流入操作数r，bs端流入操作数H，ps端流出运算结果S₂＝MontMul(Y₂，T₁)。同时加法器T计算r＝ModSub(S₂，Y₁)。

在步骤306，编号a 5的运算周期，模乘器n的pn端流出运算结果T₂＝MontMul(H，H)，同时an、bn端流入操作数T₂。模乘器s的as端流入操作数H，bs端流入操作数r，ps端流出运算结果Z₃＝MontMul(Z₁，H)。

在步骤307，编号a 6的运算周期，模乘器n的pn端流出运算结果T₃＝MontMul(T₂，H)，an端流入操作数T₃，bn端流入操作数X₁。模乘器s的as端流入操作数r，bs端流入操作数T₃，ps端流出运算结果T₄＝MontMul(r，r).同时加法器T计算T₅＝MontSub(T₄，T₃)。

在步骤308，编号a7的运算周期，模乘器n的bn端流入操作数Y₁，p端流出操作数T₇＝MontMul(T₂，X₁)。模乘器s的as端流入操作数T₆，bs端流入操作数T₈，ps端流出T₆＝MontMul(T₃，H)。同时加法器S计算X₃＝ModSub(T₅，2T₇)，加法器T计算T₈＝ModSub(3T₇，T₅)。

在步骤309，编号a8的运算周期，模乘器n的pn端流出运算结果T₉＝MontMul(Y₁，T₃)。模乘器s的bs端流入操作数aZ₁ ⁴，ps端流出运算结果T₁₀。同时计算Y₃＝ModSub(T₁₀，T₉)。

在步骤310，编号a9的运算周期，模乘器s的ps端流出运算aZ₃ ⁴＝MontMul(aZ₁ ⁴，T₆)。

图4示意性示出了本发明设计的修改的雅可比坐标点的点倍流水运算序列。修正的雅可比坐标点的点倍运算表示为2P＝(X₃，Y₃，Z₃，aZ₃ ⁴)，其中已知P＝(X₁，Y₁，Z₁，aZ₁ ⁴)∈E(F_p)。dj为修正的雅可比坐标点的点倍运算序列编号，j从0开始编号。其中T₀～T₅以及S、U和M表示点倍运算中的临时变量。另外，这里模运算所涉及的操作数都是Montgomery表示。与图3类似，图4中的第一列表示序列编号，第二列和第三列分别表示模乘器n的输入端an、bn流入的操作数，第四列表示模乘器n的输出端pn流出的运算结果，第五列和第六列分别表示模乘器s的输入端as、bs流入的操作数，第七列表示模乘器s的输出端ps流出的运算结果，第8列表示加法器S和/或T流出的运算结果。本发明的点倍流水运算序列如下：

在步骤401，编号为d0的运算周期，模乘器n的an端流入操作数X₁。

在步骤402，编号为d1的运算周期，模乘器n的an端流入操作数Y₁，bn端流入操作数X₁。模乘器s的as端流入操作数Y₁。

在步骤403，编号为d2的运算周期，模乘器n的an端流入操作数X₁，bn端流入操作数Z₁，pn端流出运算结果T₀＝MontMul(X₁，X₁)。模乘器s的as端流入操作数M，bs端流入操作数Y₁。同时加法器S计算M＝ModAdd(3X₁ ²，aZ₁ ⁴)。

在步骤404，编号为d3的运算周期，模乘器n的an端流入操作数T₁，bn端流入操作数T₁，pn端流出运算结果T₂＝MontMul(Y₁，Z₁)。模乘器s的as、bs端输入操作数M，ps端流出运算结果T₁＝MontMul(Y₁，Y₁)。同时加法器S计算Z₃＝ModAdd(Y₁Z₁，Y₁Z₁)。

在步骤405，编号为d4的运算周期，模乘器n的bn端流入操作数T₁，pn端流出运算结果S＝MontMul(X₁，T₁)。模乘器s的as端流入操作数aZ₁ ⁴，bs端流入操作数T₄，ps端流出运算结果T₃＝MontMul(M，M)。同时加法器S计算X₃＝ModSub(T₃，8S)，加法器T计算T₄＝MontSub(4S，X₃)。

在步骤406，编号为d5的运算周期，模乘器n的pn端流出运算结果U＝MontMul(T₁，T₁)。模乘器s的bs端流入16U，ps端流出运算结果T₅＝MontMul(M，T₄)。同时加法器T计算Y₃＝MontSub(T₅，8U)。

在步骤407，编号为d6的运算周期，模乘器s的ps端流出运算结果aZ₃ ⁴＝MontMul(16U，aZ₁ ⁴)。

在上述图3和图4示出的运算序列中，在同一运算周期中，加法器可以将模乘运算流程的运算结果作为操作数进行模加/减运算，并且流出相应的运算结果，这是可以实现的，因为如前文所述，相对于模乘运算而言，模加/减运算不占用额外的运算周期。

并且，应该明白，在上述运行序列中，模乘器n和s是相同的，其可以互换，加法器S和T也可以相互替代，而不影响点运算的实现。

从上述点加和点倍运算序列中，可以看出点加运算序列中编号为a2的运算发明周期中，模乘器s空闲，编号为a4和a9的运算周期中，模乘器n空闲。在点倍的运算序列中，编号为d2的运算周期中，模乘器s空闲；编号为d6的运算周期中，模乘器n空闲。根据本发明采用的NAF编码点乘算法，点加和点倍出现的相邻点运算序列主要包括：点加->点倍、点倍->点倍、点倍->点加，即点加的后续运算为点倍；点倍的后续运算为点加或点倍。本发明把相邻的点加和/或点倍运算首尾相接，双模乘器空闲的部分刚好可以相互补充。从而，点加运算只需7个模乘运算周期完成，点倍运算只需4个模乘运算周期完成。下面将结合图5、图6和图7详细说明根据本发明的点加->点倍、点倍->点倍、以及点倍->点加运算序列。

图5根据本发明的一个实施例示意性示出了点乘算法中出现的点加->点倍运算序列。在该运算序列中，采用了本发明的“首尾”相接的方案，即将当前点加运算中的编号为a7～a9的流水运算序列与后续点倍运算中的d0～d2的流水运算序列相接。从而可以节省3个运算周期。

图6根据本发明的一个实施例示意性示出了点乘算法中出现的点倍->点倍运算序列。在该运算序列中，采用了本发明的“首尾”相接的方案，即将当前点倍运算中的编号为d4～d6的流水运算序列与后续点倍运算中的d0～d2的流水运算序列相接。从而可以节省3个运算周期。

图7根据本发明的一个实施例示意性示出了点乘算法中出现的点倍->点加运算序列。在该运算序列中，采用本发明的“首尾”相接的方案，即将当前点倍运算中的编号为d4～d6的流水运算序列与后续点加运算中的a7～d9的流水运算序列相接。从而可以节省3个运算周期。

显然，当存在多个相邻的点运算序列时，图5-图7中的运算序列可以结合在一起使用。例如，对于点加->点倍->点倍运算序列，可以将图5和图6的流水运算序列首尾相接来实现。即将当前点加运算中的编号为a7～a9的流水运算序列与后续的第一个点倍运算中的d0～d2的流水运算序列相接，将第一个点倍运算中的编号为d4～d6的流水运算序列与第二个点倍运算中的d0～d2的流水运算序列相接第二个点倍。又如，对于点加->点倍->点倍->点加运算序列，可以将图5、图6和图7的流水运算序列首尾相接来实现。即在点加->点倍->点倍运算序列的基础上，将第二点倍运算中的编号为d4～d6的流水运算序列与后续点加运算中的a7～d9的流水运算序列相接。以此类推，根据本发明的“首尾”相接方案，可以通过将一个或多个图5、图6和/或图7中的运算序列首尾相接来实现一连串的点加/点倍运算，其中除了第一个点运算外，其余的点加运算只需7个模乘运算周期完成，点倍运算只需4个模乘运算周期完成。

在上述运算过程中，点P和/或Q的修改的雅可比坐标表示(X₁，Y₁，Z₁，aZ₁ ⁴)、(X₂，Y₂，Z₂，aZ₂ ⁴)∈E(F_p)，运算结果(X₃，Y₃，Z₃，aZ₃ ⁴)，以及临时变量都可以根据需要存储在数据寄存器中。

容易理解，因为点乘算法可以分解为点加运算和点倍运算，所以可以利用上述的点加和/或点倍运算的首尾相接方案来实现高速的点乘算法。根据本发明的点乘高速运算装置可以利用图1的硬件结构，通过增加一个控制单元来实现。所述增加的控制单元根据点乘运算所分解的点加和点倍运算序列来控制图1的硬件结构执行相应的点加和/或点倍运算。作为替代，也可以不增加控制单元，而是修改图1中的控制单元，使得增加相应的控制功能。

尽管已经描述并说明了本发明的具体实施例，但是本发明并不限于此描述和说明的具体形式或者布置。本发明的范围意在由所附权利要求及其等同来定义。

Claims

1.一种椭圆曲线密码的高速运算方法，其适合于利用包括流水脉动双模乘器的硬件结构来实现，所述方法按下面的运算步骤来进行点加运算和点倍运算，其中：

P＝(X₁，Y₁，Z₁，aZ₁ ⁴)，Q＝(X₂，Y₂，Z₂，aZ₂ ⁴)是椭圆曲线E(F_p)上的两点在雅可比投影坐标下的表示，当Q为固定点时，Z₂＝1，

则点加运算P+Q＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：

a)在第一运算周期，模乘器n计算T₀＝Z₁ ²＝MontMul(Z₁，Z₁)；

b)在第二运算周期，模乘器n计算T₁＝Z₁ ³＝MontMul(Z₁ ²，Z₁)，模乘器s计算U₂＝MontMul(X₂，Z₁ ²)，并且加法器之一计算H＝ModSub(U₂，X₁)；

c)在第三运算周期，模乘器s计算S₂＝MontMul(Y₂，Z₁ ³)，加法器之一计算r＝ModSub(S₂，Y₁)；

d)在第四运算周期，模乘器n计算T₂＝H²＝MontMul(H，H)，模乘器s计算Z₃＝MontMul(Z₁，H)；

e)在第五运算周期，模乘器n计算T₃＝H³＝MontMul(H²，H)，模乘器s计算T₄＝r²＝MontMul(r，r)，加法器之一计算T₅＝ModSub(r²，H³) ；

f)在第六运算周期，模乘器n计算T₇＝X₁H²＝MontMul(X₁，H²)，模乘器s计算T₆＝H⁴＝MontMul(H³，H)，加法器之一计算X₃＝ModSub(r²-H³，2X₁H²)，另一个加法器计算T₈＝ModSub(X₁H²，X₃) ；

g)在第七运算周期，模乘器n计算T₉＝Y₁H³＝MontMul(Y₁，H³)，模乘器s计算T₁₀＝r(X₁H²-X₃)＝MontMul(r，X₁H²-X₃)，同时加法器之一计算Y₃＝ModSub(r(X₁H²-X₃)，Y₁H³) ；

h)在第八运算周期，模乘器s计算aZ₃ ⁴＝MontMul(aZ₁ ⁴，H⁴)；

并且点倍运算2P＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：

i)在另一第一运算周期，模乘器n计算T₀＝X₁ ²＝MontMul(X₁，X₁)，加法器之一计算M＝ModAdd(3X₁ ²，aZ₁ ⁴)；

j)在另一第二运算周期，模乘器n计算T₂＝Y₁Z₁＝MontMul(Y₁，Z₁)，模乘器s计算T₁＝Y₁ ²＝MontMul(Y₁，Y₁)，加法器之一计算Z₃＝ModAdd(Y₁Z₁，Y₁Z₁)；

k)在另一第三运算周期，模乘器n计算S＝MontMul(X₁，Y₁ ²)，模乘器s计算T₃＝M²＝MontMul(M，M)，加法器之一计算X₃＝ModSub(M²，8S)，另一个加法器计算T₄＝MontSub(4S，X₃)；

1)在另一第四运算周期，模乘器s计算T₅＝MontMul(M，4S-X₃)，模乘器n计算U＝Y₁ ⁴＝MontMul(Y₁ ²，Y₁ ²)，加法器之一计算Y₃＝ModSub(M(4S-X₃)，8U)；

m)在另一第五运算周期，模乘器s计算aZ₃ ⁴＝MontMul(16U，aZ₁ ⁴)，

其中，MontMul(X，Y)表示操作数X、Y做Mongtgomery模乘运算，即XYR^-1mod p，p是模数，ModAdd(X，Y)表示操作数X、Y做模加运算，即(X+Y)mod p，ModSub(X，Y)表示操作数X、Y做模减运算，即(X-Y)mod p，并且其中，当点加运算之后出现点倍运算时，当前点加运算的步骤h)和后续点倍运算的步骤i)同时进行；在点倍运算之后出现点倍运算时，当前点倍运算的步骤m)与后续点倍运算的步骤i)同时进行；在点倍运算之后出现点加运算时，当前点倍运算的步骤m)和后续点加运算的步骤a)同时进行，由此相邻的点运算首尾相接，双模乘器空闲的部分相互补充。

2.根据权利要求1所述的高速运算方法，其中在所述方法用于点乘运算时，点乘算法采用NAF编码点乘算法。

3.一种椭圆曲线密码的高速运算装置，其特征在于，所述装置包括：

模乘器n和模乘器s，所述模乘器均是流水脉动的模乘器，用于计算MontMul(X，Y)，其中MontMul(X，Y)表示操作数X、Y做Mongtgomery模乘运算，即XYR^-1mod p，p是模数，

两个加法器，所述加法器用于计算ModAdd(X，Y)或ModSub(X，Y)，其中ModAdd(X，Y)表示操作数X、Y做模加运算，即(X+Y)mod p，ModSub(X，Y)表示操作数X、Y做模减运算，即(X-Y)mod p，

数据寄存器，用于存储数据，以及

控制单元，用于控制所述模乘器和加法器按下面的运算步骤执行点加运算和点倍运算，其中，椭圆曲线E(F_p)上的两点在雅可比投影坐标下表示为P＝(X₁，Y₁，Z₁，aZ₁ ⁴)，Q＝(X₂，Y₂，Z₂，aZ₂ ⁴)，当Q为固定点时，Z₂＝1，

则点加运算P+Q＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：

d)在第四运算周期，模乘器n计算T₂＝H²＝MontMul(H，H)，模乘器s计算Z₃＝MontMul(Z₁，H) ；

并且点倍运算2P＝(X₃，Y₃，Z₃，aZ₃ ⁴)的运算步骤包括：

j)在另一第二运算周期，模乘器n计算T₂＝Y₁Z₁＝MontMul(Y₁，Z₁)，模乘器s计算T₁＝Y₁ ²＝MontMul(Y₁，Y₁)，加法器之一计算 Z₃＝ModAdd(Y₁Z₁，Y₁Z₁)；

其中，当点加运算之后出现点倍运算时，点加运算的步骤h)和点倍运算的步骤i)同时进行；在点倍运算之后出现点倍运算时，前一点倍运算的步骤m)与后一点倍运算的步骤i)同时进行；在点倍运算之后出现点加运算时，点倍运算的步骤m)和点加运算的步骤_a)同时进行，由此相邻的点运算首尾相接，双模乘器空闲的部分相互补充。

4.根据权利要求3所述的高速运算装置，其中在所述装置用于点乘运算时，点乘算法采用NAF编码点乘算法。