JP2000010479A

JP2000010479A - モンゴメリ・リダクション装置及び記録媒体

Info

Publication number: JP2000010479A
Application number: JP10178787A
Authority: JP
Inventors: Atsushi Shinpo; 淳新保; Shinichi Kawamura; 信一川村
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1998-06-25
Filing date: 1998-06-25
Publication date: 2000-01-14
Anticipated expiration: 2018-06-25
Also published as: US6546104B1; JP3542278B2

Abstract

(57)【要約】【課題】本発明は、モンゴメリ・リダクションを少な
い計算量で実現でき、大幅に効率化することができる。【解決手段】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置１であって、Ｃ＝αＲ＋βを満たす整数ペア（α，
β）を算出する（α，β）抽出部２と、Ｒ^-1＝ε（ｍｏ
ｄｐ）を満たすεとβとを乗じた結果を求める乗算部
３と、αと乗算部の結果出力とを加算する加算部４と、
加算部の出力とｐを法として合同なｐ以下の剰余値を求
める計算部５とを備えたモンゴメリ・リダクション装
置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、計算機ネットワ
ークでのデータ通信におけるデータの暗号化や通信相手
の確認に利用される公開鍵暗号等、奇数の整数を法とす
る多倍長の乗算を含む演算処理を繰り返す時の利用に適
したモンゴメリ・リダクション装置及び記録媒体に関す
るものである。

【０００２】

【従来の技術】情報通信ネットワークや計算機システム
では、電子的な情報の交換・累積が行われる。そのよう
なシステムが大規模化し、不特定多数のユーザが利用す
る状況では、悪意のユーザによる情報の盗聴や改ざんな
どが問題となる。その対策として公開鍵暗号技術を利用
する場合が多い。

【０００３】ここで公開鍵暗号は、多倍長の奇整数を法
（モジュラス）とする演算（剰余演算系）で実現される
方式が多く、その高速化が性能に影響を与える。剰余演
算系では、特に乗算と除算が処理時間に与える影響が大
きい。例えば、ＲＳＡ暗号では奇合成数を法とする剰余
演算系でのべき乗計算により暗号化と復号の各処理が実
行される。また、素体Ｆｐ上の楕円曲線暗号では、奇素
数を法とする加減乗除演算を適切に組み合わせて楕円曲
線上の点の加算を構成し、その点の加算演算の繰り返し
を用いて暗号化と復号の各処理が実行される。

【０００４】剰余演算系での乗算（Ａ＊Ｂｍｏｄｐ
の計算）を実現する場合には、多倍長の乗算（Ｃ＝Ａ
＊Ｂの計算）とその結果に対する多倍長の剰余計算
（Ｃｍｏｄｐの計算）を構成する場合が多い。この
時、多倍長の剰余計算は多倍長の乗算よりも性能が劣る
ことが多く、剰余計算の効率化について幾つかの検討が
行われている。

【０００５】剰余演算系での乗算の繰り返し実行に適し
た計算アルゴリズムとして、モンゴメリ算法が知られて
いる。同算法は文献（１）Ｐ．Ｌ．Ｍｏｎｔｇｏｍｅｒ
ｙ，“Ｍｏｄｕｌａｒｍｕｌｔｉｐｌｉｃａｔｉｏｎ
ｗｉｔｈｏｕｔｔｒｉａｌｄｉｖｉｓｉｏｎ”，
Ｍａｔｈ．ｏｆＣｏｍｐ，Ｖｏｌ．４４，Ｎｏ．１７
０，ｐｐ，５１９−５２１（１９８５）に詳しい。

【０００６】モンゴメリ算法では、奇整数を法とする剰
余演算系での乗算を、次のように実行する。最初に乗数
Ａと被乗数Ｂとの多倍長の乗算を実行し、Ｃを得る。こ
こでＡとＢは共に法である整数ｐ以下のサイズとする。
次に、Ｃに対してモンゴメリ・リダクションと呼ばれる
演算を行い、法以下のサイズにする。すなわち、法ｐの
２倍程度のサイズであるＣを法ｐのサイズに縮小させる
のである。このモンゴメリ・リダクションが通常での剰
余計算に相当し、その処理は概ね多倍長同士の乗算１回
と同じ処理量である。すなわち、剰余計算処理が効率化
される。計算機上の演算処理の中では、除算演算は他の
加算，減算又は乗算演算よりも処理に時間がかかるから
である。

【０００７】さて、モンゴメリ算法は剰余演算系での乗
算の繰り返し実行に適したアルゴリズムと説明したが、
これは次の理由による。モンゴメリ算法はモンゴメリ演
算域の元（これも同じ法での剰余系である）の乗算アル
ゴリズムであり、一般の剰余系での乗算を実現するには
以下の処理が必要である。すなわち、まず乗数と被乗数
をモンゴメリ演算域に変換し、次にモンゴメリ乗算（乗
算とモンゴメリ・リダクション）を行い、最後にモンゴ
メリ演算域からもとの剰余系に結果を逆変換する必要が
ある。モンゴメリ演算域ともとの剰余系での元の対応関
係はモンゴメリ乗算の前後で保存される。したがって、
例えばべき乗など剰余演算系での乗算の繰り返しを行う
場合であれば、演算の最初にべき乗の底をモンゴメリ演
算域に変換すれば、モンゴメリ乗算の結果をその都度、
もとの剰余系での値に逆変換する必要は無く、繰り返し
モンゴメリ乗算の入力に適用できる。べき乗の最後にモ
ンゴメリ演算域の値をもとの剰余系での値に逆変換すれ
ば良い。モンゴメリ演算域への変換と逆変換はそれぞ
れ、剰余計算１回、乗算１回に相当する演算量であり、
全体の最初と最後に１回だけ行う場合にはオーバヘッド
にはならない。

【０００８】モンゴメリ演算域の元と一般の剰余系の元
との間には、次の対応関係がある。まず、法ｐと互いに
素で、法ｐより大きな２のべき乗値をＲとして定める。
一般には、Ｒは計算機のワードサイズの倍数とし、法ｐ
のサイズを越える最も小さな値として定めることが多
い。例えば、３２ビットＣＰＵのソフトウェアを想定
し、法ｐが１０２４ビットの場合にはＲ＝２¹⁰²⁴（＝
（２³²）³²）、法ｐが１６０ビットならばＲ＝２¹⁶⁰
（＝（２³²）⁵ ）とする。

【０００９】このようなＲのもと、一般の剰余系での元
をａ．ｂとすると、それらに対応するモンゴメリ演算域
での元はＡ＝ａＲ（ｍｏｄｐ）、Ｂ＝ｂＲ（ｍｏｄ
ｐ）である。モンゴメリ・リダクションでは、Ｃ＝ＡＢ
に対してＤ＝ＣＲ^-1（ｍｏｄｐ）＝（ａｂ）Ｒ（ｍｏｄ
ｐ）なる値が計算される。このモンゴメリ演算域での
元Ｄは、一般の剰余系での値（ａｂ）に対応してい
る。モンゴメリ・リダクションは、このＤ＝ＣＲ^-1（ｍ
ｏｄｐ）に相当する演算であるため、例えば、モンゴ
メリ演算域の元Ｄを一般の剰余系の元ｄに逆変換する場
合にも利用できる。すなわち、ｄ＝ＤＲ^-1（ｍｏｄ
ｐ）＝ａｂ（ｍｏｄｐ）である。

【００１０】

【発明が解決しようとする課題】このモンゴメリ・リダ
クションは、モンゴメリ演算の中心となる演算処理であ
り、この演算の処理速度が暗号演算等の高速化に与える
影響は大きい。同演算は、モンゴメリ演算法以外の演算
方法に比べれば多倍長乗算１回程度と効率が良いが、近
年の暗号化技術の普及等に鑑みてより高速化を図りたい
という要請がある。

【００１１】すなわち現状では、モンゴメリ・リダクシ
ョンを多倍長乗算１回程度の処理量より大きく削減する
手法は実現されておらず、実際にはモンゴメリ演算系を
利用しても演算効率の改善度が必ずしも十分ではないと
いう問題点がある。

【００１２】本発明は、このような実情を考慮してなさ
れたもので、モンゴメリ・リダクションを少ない計算量
で実現でき、大幅に効率化することができるモンゴメリ
・リダクション装置及び記録媒体を提供することを目的
とする。

【００１３】

【課題を解決するための手段】上記課題を解決するため
に、請求項１に対応する発明は、正の整数Ｃ，ｐを入力
とし、ｐを２進表現したときのビット長をＬとして、ｎ
≧Ｌなる整数ｎを用いてＲ＝２ⁿ として定義されたＲを
用いて、Ｄ＝Ｃ・Ｒ^-1 ｍｏｄｐを計算するモンゴメ
リ・リダクション装置であって、Ｃ＝αＲ＋βを満たす
整数ペア（α，β）を算出する（α，β）抽出部と、Ｒ
^-1＝ε（ｍｏｄｐ）を満たすεとβとを乗じた結果を
求める乗算部と、αと乗算部の結果出力とを加算する加
算部と、加算部の出力とｐを法として合同なｐ以下の剰
余値を求める計算部とを備えたモンゴメリ・リダクショ
ン装置である。

【００１４】本発明によれば、例えばεを計算装置の１
ワード以下の値とすると、乗算部における計算は１ワー
ド整数×多倍長整数の乗算となる。また、加算部の実行
結果は、１ワード程度サイズの大きい結果となるため、
最後の計算部では１ワード分だけ縮小する剰余計算処理
を行なえば良い。他の部分での演算量はわずかであるた
め全体として処理量が軽減できる。

【００１５】次に、請求項２に対応する発明は、正の整
数Ｃ，ｐを入力とし、ｐを２進表現したときのビット長
をＬとして、ｎ≧Ｌなる整数ｎを用いてＲ＝２ⁿ として
定義されたＲを用いて、Ｄ＝Ｃ・Ｒ^-1 ｍｏｄｐを計
算するモンゴメリ・リダクション装置であって、ｗをワ
ード長とし、Ｒを２^w で割った値をＲ’とするときに、
Ｃ＝αＲ’＋βを満たす整数ペア（α，β）を算出する
（α，β）抽出部と、Ｒ’^-1＝ε（ｍｏｄｐ）を満た
す整数εとβとを乗じた結果を求める乗算部と、αと乗
算部の結果出力とを加算する加算部と、加算部の出力Ｔ
とｗとを入力として、Ｔ・２^-w（ｍｏｄｐ）を求める
計算部と備えたモンゴメリ・リダクション装置である。

【００１６】本発明によれば、例えばεが計算装置の１
ワード以下の値とすると、乗算部での計算は１ワード整
数×多倍長整数の乗算程度となる。また、加算部の実行
結果は１ワード程度サイズの大きい値となる。最後の計
算部は、最下位１ワード分を縮小するモンゴメリ・リダ
クション演算、すなわち１ワード整数×多倍長整数の乗
算相当の処理量で実現できる。他の部分での演算量はわ
ずかであるため全体として処理量が削減できる。

【００１７】次に、請求項３に対応する発明は、請求項
１に対応する発明をコンピュータに実現させるためのプ
ログラムを格納した記録媒体である。本発明の記録媒体
に格納されたプログラムをコンピュータにおいて読み出
せば、請求項１に係るモンゴメリ・リダクション装置が
実現される。

【００１８】次に、請求項４に対応する発明は、請求項
２に対応する発明をコンピュータに実現させるためのプ
ログラムを格納した記録媒体である。本発明の記録媒体
に格納されたプログラムをコンピュータにおいて読み出
せば、請求項２に係るモンゴメリ・リダクション装置が
実現される。

【００１９】次に、請求項５に対応する発明は、正の整
数Ｃ，ｐを入力とし、ｐを２進表現したときのビット長
をＬとして、ｎ≧Ｌなる整数ｎを用いてＲ＝２ⁿ として
定義されたＲを用いて、Ｄ＝Ｃ・Ｒ^-1 ｍｏｄｐを計
算するモンゴメリ・リダクション装置であって、Ｃに基
づき、その下位複数ワードからなる整数βと残りの上位
ワードからなる整数αとを算出する（α，β）抽出部
と、βとパラメータεとを乗じた値をさらにαと加算し
た加算結果が、Ｄと合同な値Ｄ’となる条件を満たすε
を用い、加算結果を求める加算部とを備えたモンゴメリ
・リダクション装置である。

【００２０】本発明によれば、乗算部における計算は１
ワード整数×多倍長整数程度の乗算となる。また、加算
部の実行結果はＤと合同な値Ｄ’となるが、このＤ’は
βがＣの下位複数ワードであるので、１ワードづつリダ
クションしていく通常のモンゴメリ・リダクションに比
べれば少ない演算量でそのワード数までリダクションさ
れたものである。したがって、剰余計算の回数を少なく
することができ、モンゴメリ・リダクションを少ない計
算量で実現できる。

【００２１】

【発明の実施の形態】本発明におけるモンゴメリ・リダ
クション装置及び方法は、剰余計算の効率化アルゴリズ
ムであるモンゴメリ・リダクションをさらに効率的に実
現するものである。具体的には、法ｐをモンゴメリ・リ
ダクションでの演算式に適した値として設定すること
で、その効率的な演算を実現可能とする。

【００２２】モンゴメリ・リダクションは奇整数を法と
する剰余演算系における剰余計算を実行するアルゴリズ
ムである。法ｐに関しては奇数であること以上の制約は
ないが、実施形態では説明を簡単にするため法ｐは奇素
数であることを想定する。

【００２３】モンゴメリ・リダクションの利用にあたっ
ては、法ｐのビットサイズから決定される定数Ｒを定め
る必要がある。定数Ｒの条件としては、Ｒ＞ｐであるこ
とと、Ｒとｐとが互いに素であることである。但し、モ
ンゴメリ・リダクションの中で、Ｒで剰余をとった結果
やＲで割った商を求める手続きがあり、それら処理の効
率化のために、Ｒのサイズは実装される計算装置のワー
ド長の倍数に設定することが一般的である。すなわち、
計算装置のワード長をｗとするとき、Ｒ＝（２^w ）^L
（但しＬは、Ｒ＞ｐを満足する最小の整数）と設定され
ることが多い。以下では、設明を簡単にするため、ｐの
ビットサイズｎはｗの倍数とし、Ｒ＝２ⁿと設定される
ものとして説明する。なお、これらの説明上の都合によ
る想定で、発明自体が限定されるものではない。

【００２４】モンゴメリ・リダクションでは、法ｐより
小さい正の整数Ａ，Ｂの積Ｃに対して、Ｄ＝ＣＲ^-1 ｍ
ｏｄｐを計算する。ここで、Ｒ^-1はＲ・Ｒ^-1＝１ｍ
ｏｄｐを満たすＲの乗法的逆元を表す。

【００２５】以下、本発明の各実施形態について説明す
る。（発明の第１の実施の形態）図１は本発明の第１の実施
の形態におけるモンゴメリ・リダクション計算法の原理
を説明する図である。

【００２６】この発明では、Ｒ^-1＝ε（ｍｏｄｐ）を
満たすεの存在するような法ｐを用いることを前提とす
る。ここでεは計算装置の１ワードで表現できる整数で
ある。なお、図１において、ブロックの１つは１ワード
を示している。

【００２７】Ａ、Ｂはともに法ｐ以下の整数であるた
め、それらの積Ｃは法ｐの２倍のサイズ以下となる。Ｒ
は法ｐのサイズｎに対して、２ⁿ なる値として設定され
ていることに注意すると、Ｃ＝αＲ＋βと分解すると
き、法ｐのサイズの位置（図１では下位側から４ワード
のところ）でＣを上位側と下位側に分けたうちの上位側
の数値がα、下位側の数値がβとなる。

【００２８】このとき、Ｄ＝Ｃ×Ｒ^-1（ｍｏｄｐ）＝（αＲ＋β）×Ｒ^-1（ｍｏｄｐ）＝α＋βＲ^-1（ｍｏｄｐ）＝α＋εβ（ｍｏｄｐ）が成立する。ここで最後の式変形に法ｐの特殊性（Ｒ^-1
＝ε（ｍｏｄｐ）つまり、この場合Ｒ^-1＝εが成り立
つ）を利用している。

【００２９】図１に示すように、まずＣを上位側のαと
下位側のβに分割し、βに法ｐから決まるεを掛ける。
この結果をαと加算する。以上で、モンゴメリ・リダク
ションとして求まる値Ｄと法ｐのもとで合同な値Ｄ’が
計算できる。

【００３０】Ｄ’は図１に示したように法ｐよりも１ワ
ードだけサイズが大きな値として計算される。Ｄ’の値
から法ｐのもとで合同でｐよりも小さい値Ｄを求めるに
は、Ｄ’を法ｐで割りその剰余を求める手法、あるい
は、予めｐよりも１ワードだけ大きい値に関する剰余値
のテーブルを計算しておき、そのテーブルを参照してＤ
の値を求める手法、などを利用する。

【００３１】剰余値のテーブルを利用する方法の具体例
としては、例えば次の方法がある。剰余テーブルＴ_J と
して、Ｔ_J ＝２^j ×Ｒ（ｍｏｄｐ）（ｊ＝０，１，
２，…，ｗ−１）を予め計算しておく。Ｄ’を上位１ワ
ードＥとそれ以外の下位側データＦとに分ける。Ｅの各
ビットを参照し、その最下位ビット（ＬＳＢ）から第ｉ
ビット（ｉ＝０，１，２，…，ｗ−１）が１であれば、
ＦにＴ_i を加算する。こうして法ｐのもとでＤ’と合同
でＤ’よりもサイズの小さい値が求まる。

【００３２】この結果に対して再びＲを越えた部分とＲ
未満の部分にデータを分けて同様の処理を繰り返すこと
ができる。こうした処理により法ｐよりもビットサイズ
が２〜３ビット程度大きい値にまで縮小された段階で、
結果が負にならない範囲でｐを繰り返し減じることで法
ｐより小さい剰余値が計算できる。

【００３３】以上に述べた演算原理を適用できる法ｐ
は、Ｒ^-1＝ε（ｍｏｄｐ）を式変形することによりε
Ｒ−１＝０（ｍｏｄｐ）と記述できることから、ε・
２ⁿ −１がｎビットの素数で割り切れる場合には、その
ときの素因数ｐとεを利用すれば良い。

【００３４】次に、上記演算方法を実現する具体的な装
置を説明する。図２は本実施形態におけるモンゴメリ・
リダクション装置の構成例を示すブロック図である。

【００３５】このモンゴメリ・リダクション装置１は、
ＣＰＵ，メモリその他の周辺要素を具備する計算機がそ
のプログラムに制御されることで実現されるものであ
り、（α，β）抽出部２、Ｔ１乗算部３、Ｔ２加算部４
及びＤ剰余計算部５から構成されている。

【００３６】また、本実施形態のモンゴメリ・リダクシ
ョン装置１は、モンゴメリ演算系における各演算のう
ち、モンゴメリ・リダクションのみを実行するものであ
る。この装置１の利用例については後述する。

【００３７】（α，β）抽出部２は、本装置１における
モンゴメリ・リダクションの計算対象である多倍長整数
Ｃと、法の値ｐと、モンゴメリ演算の補助パラメータで
ある定数Ｒと、Ｒ^-1＝ε（ｍｏｄｐ）なる値εとが入
力されると、α＝Ｃ／Ｒ、β＝Ｃ（ｍｏｄＲ）なる両
データを抽出する。実際の処理としては、Ｃをワード単
位に並べ、Ｒよりも上位側のデータと下位側のデータと
して抽出する。

【００３８】Ｔ１乗算部３は、εと（α，β）抽出部２
で抽出されたβとを乗算し、その結果Ｔ１を得る。この
部分３は１ワード数と多倍長整数の乗算を行なう計算部
である。

【００３９】Ｔ２加算部４は、Ｔ１乗算部３の結果Ｔ１
と（α，β）抽出部２で抽出されたαとを加算処理して
結果Ｔ２を得る。Ｄ剰余計算部５は、Ｔ２加算部４で得
られたＴ２と法ｐとからＤ＝Ｔ２（ｍｏｄｐ）が求め
られる。剰余計算部５は整数の除算回路などで実現でき
る。この場合、多倍長整数を除数として、被除数は除数
より１ワードだけサイズの大きな除算を行なう回路があ
ればよい。

【００４０】次に、以上のように構成された本発明の実
施の形態に係るモンゴメリ・リダクション装置の動作に
ついて説明する。図３は、本実施形態のモンゴメリ・リ
ダクション装置における計算手順を示す流れ図である。

【００４１】まず、ステップＳ１でモンゴメリ・リダク
ションの対象であるデータＣ、法の値ｐ、演算補助パラ
メータであるＲとεとが（α，β）抽出部２に入力され
る。次にステップＳ２でα＝Ｃ／Ｒとβ＝Ｃ（ｍｏｄ
Ｒ）が（α，β）抽出部２により算出される。この処理
はＣを下位側からｎビットまでの部分とそれより上位の
部分とに分け、前者をβ、後者をαとすることでよい。

【００４２】次にステップＳ３でＴ１乗算部３によりＴ
１＝ε×βが計算され、続いてステップＳ４でＴ２加算
部４によりＴ２＝α＋Ｔ１が計算される。最後にステッ
プＳ５でＤ剰余計算部５によりＤ＝Ｔ２（ｍｏｄｐ）
なるＤが計算され、ステップＳ６でこの値が出力されて
終了する。

【００４３】以上の処理のうちステップＳ３は１ワード
の整数と多倍長整数の乗算である。また、Ｓ５を除算で
実行する場合には、多倍長整数同士の除算を行うことに
なるが、被除数の最上位１ワードだけを縮小すれば良い
ので処理量は少ない。全体として、通常のモンゴメリ・
リダクションで行なわれる多倍長整数同士の乗算１回よ
りも処理量が少なくなる。

【００４４】上述したように、本発明の実施の形態に係
るモンゴメリ・リダクション装置は、法ｐをモンゴメリ
・リダクションでの演算式に適した値として設定するよ
うにしたので、モンゴメリ・リダクション演算をより少
ない計算量で実現することができる。

【００４５】なお、本装置１では、本計算手法に適した
法ｐを予め選択しておく必要があるが、例えば代表的な
暗号アルゴリズムではそのような設定が可能であり、暗
号処理に必要な演算量を大きく削減することが可能とな
る。例えば公開鍵暗号など固定的に用いられる奇整数を
法とした剰余演算系において利用されるモンゴメリ・リ
ダクション演算において演算量が削減される。（発明の第２の実施の形態）第１の実施形態で説明した
演算手法によれば１ワード数×多倍長整数の乗算１回で
所望のモンゴメリ・リダクション結果Ｄよりも１ワード
だけサイズの大きな結果Ｄ’が求められる。しかし、こ
の場合でもＤ’からＤを求めるのに除算や剰余テーブル
などの演算が必要で、その処理の効率が良くないという
問題が残る。本実施形態では、この問題を解決できるモ
ンゴメリ・リダクションの計算法を説明する。

【００４６】図４は本発明の第２の実施の形態における
モンゴメリ・リダクション計算法の原理を説明する図で
ある。本発明では、計算機の１ワードのビット長をｗと
したとき、Ｒ^-1２^w ＝ε（ｍｏｄｐ）を満たすような
１ワード以内の整数εの存在する法ｐを用いることを前
提とする。

【００４７】図１の場合と同様に、モンゴメリ・リダク
ションの対象であるＣは法ｐの２倍のサイズ以下とな
る。この計算方法では、Ｃを上位側データαと下位側デ
ータβに分割するときに、Ｒ２^-wの位置（法ｐのサイズ
よりも１ワード分だけサイズの小さい位置）でαとβに
分割する。すなわち、Ｃ＝α（Ｒ・２^-w）＋βとなる。
図４の例では下から３ワード目で分割する。

【００４８】このとき、Ｄ＝Ｃ×Ｒ^-1（ｍｏｄｐ）＝（α（Ｒ・２^-w）＋β）・（Ｒ^-1・２^w ）・２^-w（ｍｏｄｐ）＝（α＋β・（Ｒ^-1・２^w ））・２ ^w （ｍｏｄｐ）＝（α＋βε）・２^-w（ｍｏｄｐ）が成立する。ここで最後の式変形にｐの特殊性（Ｒ^-1２
^w ＝ε（ｍｏｄｐ）＝ε）を利用している。

【００４９】ここで、Ｄ’＝α＋βεとおくとＤ’は法
ｐのワード数よりも１ワードだけ大きい数となるが、Ｄ
＝Ｄ’・２^-w（ｍｏｄｐ）は、文献（１）Ｐ．Ｌ．Ｍ
ｏｎｔｇｏｍｅｒｙ，“Ｍｏｄｕｌａｒｍｕｌｔｉｐ
ｌｉｃａｔｉｏｎｗｉｔｈｏｕｔｔｒｉａｌｄｉ
ｖｉｓｉｏｎ”，Ｍａｔｈ．ｏｆＣｏｍｐ．，Ｖｏ
ｌ．４４，Ｎｏ．１７０，ｐｐ．５１９−５２１（１９
８５）などに示されているモンゴメリ・リダクション計
算法をＤ’の最下位ワードのみに適用することで計算で
き、その結果は法ｐ以下のサイズになる。Ｄ’からＤを
求める計算量は１ワード数×多倍長整数の乗算１回程度
である。

【００５０】以上に述べた演算原理を適用できる法ｐ
は、Ｒ^-1・２^w ＝ε（ｍｏｄｐ）を式変形することに
よりε（Ｒ・２^-w）−１＝０（ｍｏｄｐ）となること
から、ｐ＝ε×２^n-w −１となる形式を満たすものとな
る。

【００５１】次に、上記演算方法を実現する具体的な装
置を説明する。図５は本実施形態におけるモンゴメリ・
リダクション装置の構成例を示すブロック図である。

【００５２】このモンゴメリ・リダクション装置１１
は、第１の実施形態と同様に計算機により実現されるも
のであり、図５はハードウエアとソフトウエアの結合か
らなる機能実現ブロックを示している。すなわちモンゴ
メリ・リダクション装置１１は、（α，β）抽出部１
２、Ｔ１乗算部１３、Ｔ２加算部１４及びＤ計算部１５
から構成されている。

【００５３】（α，β）抽出部１２は、本装置１１にモ
ンゴメリ・リダクションの計算対象である多倍長整数Ｃ
と、法の値ｐと、モンゴメリ演算の補助パラメータであ
る定数Ｒと、Ｒ^-1・２^w ＝ε（ｍｏｄｐ）なる値ε及
びｗとが入力されると、α＝Ｃ／（Ｒ２^-w）、β＝Ｃ
（ｍｏｄ（Ｒ２^-w））なる両データを抽出する。

【００５４】Ｔ１乗算部１３は、１ワード数と多倍長整
数の乗算を行なう計算部であり、εと（α，β）抽出部
１２で抽出されたβとを乗算し、その結果Ｔ１を得る。
Ｔ２加算部１４は、Ｔ１乗算部１３での計算結果Ｔ１
と、（α，β）抽出部１２で抽出されたαとを加算処理
して結果Ｔ２を得る。

【００５５】Ｄ計算部１５は、Ｔ２加算部１５で得たＴ
２と、法ｐとからＤ＝Ｔ２・２^-w（ｍｏｄｐ）を求め
る。このＤ計算部１５は１ワードと多倍長整数の乗算器
と多倍長の加算器で構成される。

【００５６】次に、以上のように構成された本発明の実
施の形態に係るモンゴメリ・リダクション装置の動作に
ついて説明する。図６は、本実施形態のモンゴメリ・リ
ダクション装置における計算手順を示す流れ図である。

【００５７】まず、ステップＳ１１でモンゴメリ・リダ
クションの対象であるデータＣ、法の値ｐ、演算補助パ
ラメータであるＲ及びε、計算機のワード長ｗが（α，
β）抽出部１２に入力される。次にステップＳ１２で
（α，β）抽出部１２によりα＝Ｃ／（Ｒ２^-w）とβ＝
Ｃ（ｍｏｄ（Ｒ２^-w））が求められる。この処理はＣを
下位側から法ｐのサイズより１ワードだけ小さいビット
位置までの部分とそれより上位の部分とに分け、前者を
β、後者をαとすることでよい。

【００５８】次にステップＳ１３でＴ１乗算部１３によ
りＴ１＝ε×βが計算され、さらにステップＳ１４でＴ
２加算部１４によりＴ２＝α＋Ｔ１が計算される。最後
にステップＳ１５でＤ計算部１５によりＤ＝Ｔ２・２^-w
（ｍｏｄｐ）なるＤが計算され、ステップＳ１６でこ
の値が演算結果として出力されて終了する。

【００５９】以上の処理のうちステップＳ１３は１ワー
ドの整数と多倍長整数の乗算である。また、ステップＳ
１５は１ワード分のモンゴメリ・リダクション演算を実
行することで計算でき、この部分の処理量も１ワードの
整数と多倍長整数の乗算である。従って、全体として１
ワードの整数と多倍長整数の乗算２回で計算可能でとな
る。

【００６０】次に、ステップＳ１５の具体的な計算手順
である１ワード分のモンゴメリ・リダクション演算の手
順を説明する。図７はＤ計算部における計算処理を示す
流れ図である。

【００６１】まず、ステップＳ２１で計算対象であるデ
ータＴ２、法の値ｐ、演算補助パラメータである計算機
のワード長ｗを入力する。次にステップＳ２２でδ’＝
δ・ｖ（ｍｏｄ２^w ）を計算する。ここで、δはＴ２
の最下位の１ワードであり、ｖは法ｐの最下位の１ワー
ドをｐ０とした場合に、ｖ・ｐ０＝−１（ｍｏｄ２
^w ）を満たす値ｖである。

【００６２】この演算法で用いる法ｐはｐ＝ε×２^n-w
−１なる形式となるため、必ずｐ０＝−１（ｍｏｄ２
^w ）となり、ｖ＝１である。従って、ステップＳ２１の
処理はＴ２の最下位ワードを取り出し、その値をδ’に
格納することでよい。

【００６３】次にステップＳ２３でＴ３＝Ｔ２＋δ’ｐ
を計算する。このとき、Ｔ３の最下位１ワードは０とな
ることに注意する。次に、ステップＳ２４でＴ４＝Ｔ３
／（２^w ）を求める。この処理は、Ｔ３の最下位１ワー
ドを除いたデータをＴ４とすることと等価である。

【００６４】こうして得られた結果はｐよりも１ビット
程度大きいことがある。そこでステップＳ２５でＴ４と
ｐの大小比較を行ないＴ４がｐ以上ならばステップＳ２
６でＴ４からｐを引く。これを繰り返すことでＴ４は法
ｐ以下になるのでステップＳ２７でＴ４を出力して終了
する。

【００６５】上述したように、本発明の実施の形態に係
るモンゴメリ・リダクション装置は、法ｐをモンゴメリ
・リダクションでの演算式に適した値として設定するよ
うにしたので、第１の実施形態と比べてもモンゴメリ・
リダクション演算をより一層少ない計算量で実現するこ
とができる。

【００６６】すなわち、従来は多倍長整数×多倍長整数
の乗算１回程度の計算量で行なわれていたモンゴメリ・
リダクション計算を、単精度整数×多倍長整数の乗算２
回程度の計算量で実現する。暗号処理で用いる典型的な
サイズでは、多倍長整数は単精度整数の５〜６４倍の長
さを持つため、約２．５〜３２倍もの処理量削減につな
がる。

【００６７】なお、各実施形態における本発明のモンゴ
メリ・リダクション方法および装置の応用分野として
は、暗号装置などの情報セキュリティが挙げられる。例
えば、鍵配送方式の典型的なアルゴリズムであるＤｉｆ
ｆｉｅ−Ｈｅｌｌｍａｎ法や公開鍵暗号におけるＥｌＧ
ａｍａｌ暗号、楕円曲線暗号、ディジタル署名方式にお
けるＤＳＡ．ＥＣＤＳＡなどでは法ｐは固定的である。
そこで、法ｐとして本発明の処理方法が可能となるパラ
メータを選択すれば、鍵配送や暗号などの処理効率を大
きく改善できる。

【００６８】図８は本発明に係るモンゴメリ・リダクシ
ョン手法の利用対象の一例を示す図である。同図におい
て、本発明のモンゴメリ・リダクション装置はモンゴメ
リ演算による楕円曲線暗号計算部分２１で用いられる。

【００６９】

【実施例】以下、実施形態で説明したモンゴメリ・リダ
クション装置１／１１を楕円曲線暗号装置に適用する場
合を実施例として説明する。図９は本実施例に係る楕円
曲線暗号装置の構成例を示すブロック図である。

【００７０】この楕円曲線暗号装置３１はパーソナルコ
ンピュータやワークステーション等の計算機からなり、
モンゴメリ変換部３２と、暗号化パラメータ格納部３３
と、暗号計算部３４と、モンゴメリ逆変換部３５とから
構成されている。なお、暗号計算部３４は、図８では楕
円曲線暗号計算部分２１に対応する。

【００７１】モンゴメリ変換部３２は、装置３１に入力
された暗号化対象データをＦ_p 領域からモンゴメリ演算
域へ変換するものである。暗号化パラメータ格納部３３
は、暗号化に必要な各種パラメータを暗号計算部３４に
提供する。

【００７２】モンゴメリ逆変換部３５は、暗号計算部３
４により得られた暗号化データをモンゴメリ領域からＦ
_p 領域へ逆変換するものである。暗号計算部３４は、モ
ンゴメリ変換部３２で変換されたデータを暗号化パラメ
ータを用いて暗号化する。この暗号計算部３４は、モン
ゴメリ演算装置４１と暗号制御装置４２とを備えてい
る。

【００７３】モンゴメリ演算装置４１は、モンゴメリ加
減乗除演算を行うものであり、モンゴメリ加算装置５１
と、モンゴメリ減算装置５２と、モンゴメリ乗算装置５
３と、モンゴメリ除算装置５４とから構成されている。

【００７４】まず、モンゴメリ乗算装置５３は、さらに
乗算器５５とモンゴメリ・リダクション装置１／１１と
から構成される。また、モンゴメリ除算装置５４は、モ
ンゴメリ逆元装置５６とモンゴメリ・リダクション装置
１／１１とから構成される。ここで各部５３，５４に設
けられるモンゴメリ・リダクション装置１／１１は、第
１もしくは第２の実施形態で説明した装置である。

【００７５】暗号制御装置４２は、モンゴメリ演算装置
４１に設けられた各演算装置５１，５２，５３，５４を
用い、また暗号化パラメータ格納部３３のパラメータに
基づき、入力データを暗号化するための処理を制御す
る。

【００７６】このように構成された楕円曲線暗号装置３
１では、モンゴメリ・リダクション装置１又は１１にお
いて効率的なモンゴメリ・リダクションが行われるの
で、入力データを高速に暗号化処理し暗号化データとし
て出力することができる。

【００７７】なお、本発明は、上記各実施形態又は実施
例に限定されるものでなく、その要旨を逸脱しない範囲
で種々に変形することが可能である。また、実施形態又
は実施例に記載した手法は、計算機（コンピュータ）に
実行させることができるプログラム（ソフトウエア手
段）として、例えば磁気ディスク（フロッピーディス
ク、ハードディスク等）、光ディスク（ＣＤ−ＲＯＭ、
ＤＶＤ等）、半導体メモリ等の記憶媒体に格納し、また
通信媒体により伝送して頒布することもできる。なお、
媒体側に格納されるプログラムには、計算機に実行させ
るソフトウエア手段（実行プログラムのみならずテーブ
ルやデータ構造も含む）を計算機内に構成させる設定プ
ログラムをも含むものである。本装置を実現する計算機
は、記憶媒体に記録されたプログラムを読み込み、また
場合により設定プログラムによりソフトウエア手段を構
築し、このソフトウエア手段によって動作が制御される
ことにより上述した処理を実行する。

【００７８】

【発明の効果】以上詳記したように本発明によれば、法
ｐをモンゴメリ・リダクションでの演算式に適した値と
して設定するようにしたので、モンゴメリ・リダクショ
ンを少ない計算量で実現でき、大幅に効率化することが
できるモンゴメリ・リダクション装置及び記録媒体を提
供することができる。

【図面の簡単な説明】

【図１】本発明の第１の実施の形態におけるモンゴメリ
・リダクション計算法の原理を説明する図。

【図２】同実施形態におけるモンゴメリ・リダクション
装置の構成例を示すブロック図。

【図３】同実施形態のモンゴメリ・リダクション装置に
おける計算手順を示す流れ図。

【図４】本発明の第２の実施の形態におけるモンゴメリ
・リダクション計算法の原理を説明する図。

【図５】同実施形態におけるモンゴメリ・リダクション
装置の構成例を示すブロック図。

【図６】同実施形態のモンゴメリ・リダクション装置に
おける計算手順を示す流れ図。

【図７】Ｄ計算部における計算処理を示す流れ図。

【図８】本発明に係るモンゴメリ・リダクション手法の
利用対象の一例を示す図。

【図９】本発明の実施例に係る楕円曲線暗号装置の構成
例を示すブロック図。

【符号の説明】

１…モンゴメリ・リダクション装置２…（α，β）抽出部３…Ｔ１乗算部４…Ｔ２加算部５…Ｄ剰余計算部１１…モンゴメリ・リダクション装置１２…（α，β）抽出部１３…Ｔ１乗算部１４…Ｔ２加算部１５…Ｄ計算部２１…楕円曲線暗号計算部分３１…楕円曲線暗号装置３２…モンゴメリ変換部３３…暗号化パラメータ格納部３４…暗号計算部３５…モンゴメリ逆変換部４１…モンゴメリ演算装置４２…暗号制御装置５１…モンゴメリ加算装置５２…モンゴメリ減算装置５３…モンゴメリ乗算装置５４…モンゴメリ除算装置５５…乗算器５６…モンゴメリ逆元装置

Claims

【特許請求の範囲】

【請求項１】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置であって、Ｃ＝αＲ＋βを満たす整数ペア（α，β）を算出する
（α，β）抽出部と、Ｒ^-1＝ε（ｍｏｄｐ）を満たすεと前記βとを乗じた
結果を求める乗算部と、前記αと前記乗算部の結果出力とを加算する加算部と、前記加算部の出力と前記ｐを法として合同なｐ以下の剰
余値を求める計算部とを備えたことを特徴とするモンゴ
メリ・リダクション装置。
【請求項２】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置であって、ｗをワード長とし、Ｒを２^w で割った値をＲ’とすると
きに、Ｃ＝αＲ’＋βを満たす整数ペア（α，β）を算
出する（α，β）抽出部と、Ｒ’^-1＝ε（ｍｏｄｐ）を満たす整数εと前記βとを
乗じた結果を求める乗算部と、前記αと前記乗算部の結果出力とを加算する加算部と、前記加算部の出力Ｔと前記ｗとを入力として、Ｔ・２^-w
（ｍｏｄｐ）を求める計算部と備えたことを特徴とす
るモンゴメリ・リダクション装置。
【請求項３】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置を制御するプログラムであって、Ｃ＝αＲ＋βを満たす整数ペア（α，β）を算出する
（α，β）抽出手段と、Ｒ^-1＝ε（ｍｏｄｐ）を満たすεと前記βとを乗じた
結果を求める乗算手段と、前記αと前記乗算手段の結果出力とを加算する加算手段
と、前記加算手段の出力と前記ｐを法として合同なｐ以下の
剰余値を求める計算手段としてコンピュータを機能させ
るためのプログラムを記録したコンピュータ読み取り可
能な記録媒体。
【請求項４】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置を制御するプログラムであって、ｗをワード長とし、Ｒを２^w で割った値をＲ’とすると
きに、Ｃ＝αＲ’＋βを満たす整数ペア（α，β）を算
出する（α，β）抽出手段と、Ｒ’^-1＝ε（ｍｏｄｐ）を満たす整数εと前記βとを
乗じた結果を求める乗算手段と、前記αと前記乗算手段の結果出力とを加算する加算手段
と、前記加算手段の出力Ｔと前記ｗとを入力として、Ｔ・２
^-w（ｍｏｄｐ）を求める計算手段としてコンピュータ
を機能させるためのプログラムを記録したコンピュータ
読み取り可能な記録媒体。
【請求項５】正の整数Ｃ，ｐを入力とし、ｐを２進表
現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎを
用いてＲ＝２ⁿ として定義されたＲを用いて、Ｄ＝Ｃ・
Ｒ^-1 ｍｏｄｐを計算するモンゴメリ・リダクション
装置であって、前記Ｃに基づき、その下位複数ワードからなる整数βと
残りの上位ワードからなる整数αとを算出する（α，
β）抽出部と、前記βとパラメータεとを乗じた値をさらに前記αと加
算した加算結果が、前記Ｄと合同な値Ｄ’となる条件を
満たす前記εを用い、前記加算結果を求める加算部とを
備えたことを特徴とするモンゴメリ・リダクション装
置。