JP2000132096A - スカラー倍算方法およびその装置 - Google Patents

Abstract

(57)【要約】 【課題】 テーブル数を削減して有効利用することによ
り、テーブル格納領域を削減し、事前計算の回数を削減
してトータルでの演算の高速化を図ることを可能とした
スカラー倍算方法を提案する。 【解決手段】 所定の桁数でなる数値ブロックのうちＮ
ＡＦに現れるものであって最上位ビットが１となるもの
のみを被乗数Ｐに乗算してテーブルを作成し（ステップ
Ｓ２）、乗数ｋをＮＡＦに変換し（ステップＳ３）、こ
のＮＡＦに変換された乗数ｋにウィンドウメソッドを適
用して計算を行い（ステップＳ４）、最終ウィンドウに
ついては後処理を行う（ステップＳ５）。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、整数を乗数とする
スカラー倍算の方法およびその装置に関し、特に、公開
鍵暗号系である楕円曲線暗号処理における基本演算であ
る楕円曲線上の点のスカラー倍算処理を行うために用い
られるスカラー倍算方法およびその装置に関する。

【０００２】

【従来の技術】近年のコンピュータネットワークの発達
により、データベースの検索や電子メール、電子ニュー
スなどの電子化された情報をネットワークを経由して送
受信する機会が急速の増加してきている。さらに、これ
らを利用して、オンラインショッピングなどのサービス
も提供されつつある。しかし、それに伴って、ネットワ
ーク上の電子化されたデータを盗聴したり、改竄した
り、または他人になりすましてサービスを受けるなどの
違法行為についての問題が浮上してきている。特に、無
線を利用したネットワークにおいては、傍受が容易なた
めこれらを防止する対策が望まれている。

【０００３】これらの問題に対して暗号技術を応用した
暗号化電子メールや利用者認証システムが提案され、種
々のネットワークにも導入されつつあり、コンピュータ
ネットワークにおいて暗号化は必須の技術となりつつあ
る。

【０００４】暗号化方式は、大別すると秘密鍵暗号系と
公開鍵暗号系の２つの分類することができる。

【０００５】秘密鍵暗号系は、送信者と受信者が同じ鍵
を持つことにより暗号通信を行う方式である。すなわ
ち、秘密鍵暗号系では、あるメッセージを秘密の暗号鍵
に基づいて暗号化し相手に送り、受け手はこの暗号鍵を
用いて暗号分を複合化しもとのメッセージに戻して情報
を入手する。

【０００６】公開鍵暗号系は、送信者は公開されている
受信者の公開鍵でメッセージを暗号化して送信し、受信
者は自分の秘密鍵でその暗号化メッセージを復号するこ
とで通信を行う方式である。すなわち、公開鍵暗号系で
は、公開鍵は暗号化のための鍵、秘密鍵は公開鍵により
暗号化された暗号を復号するための鍵であり、公開鍵で
暗号化した暗号が秘密鍵でのみ復号することができる。

【０００７】秘密鍵暗号系では、個人が秘密に保管しな
ければならない鍵の数が通信相手の数だけ必要であり、
必要な総鍵数はｎ人のネットワークの場合、ｎ（ｎ−
１）／２個である。また、はじめて通信をする相手に対
しては、何らかの方法で秘密鍵の配送を行う必要がある
という点で欠点がある。この問題を避けるために、大規
模なネットワークでは、鍵管理センタを設置し、センタ
との間の秘密鍵のみを保管し、暗号通信を行う場合はセ
ンタから送信相手との秘密鍵を得る方法が用いられる。
この場合秘密鍵の総数はｎとなる。一方公開鍵暗号系で
は、個人が秘密に保管する鍵は自分の秘密鍵のみであ
り、必要な総秘密鍵数もｎ人のネットワークの場合、ｎ
個である。また、はじめて通信する相手に対しては、公
開鍵の配送を行えばよく、鍵管理センタを設置して、ユ
ーザの公開鍵をｎ個公開簿に登録し、センタから送信相
手の公開鍵を得る方法が用いられる。この場合、センタ
は公開鍵の改竄を防ぐだけで、秘密に保管する必要がな
い。ただし、公開鍵方式は秘密鍵方式に比べて鍵のビッ
ト数が大きいため保管に要するファイルサイズが大きく
なるという問題を内包している。

【０００８】また、認証の場合、秘密鍵暗号系では、例
えば、送信するメッセージを秘密鍵で圧縮変換し、送信
文に付加して送り、受信側では同様に圧縮変換して比較
する方式がとられている。しかし、送受信が同じ鍵であ
るため受信者は認証データを偽造することができる。

【０００９】これに対して、公開鍵暗号系では、秘密鍵
で暗号化することができるのは本人だけであるという特
徴を利用する。送信者はメッセージを圧縮変換して秘密
鍵で暗号化し、送信文に付加して送り、受信者は送信者
の公開鍵で付加されたデータを復号化し、同様に圧縮変
換したものと比較する方式がとられている。この場合は
受信者が不正できない。

【００１０】このように、認証系では公開鍵暗号系の技
術は必要不可欠であるといえる。しかし、公開鍵暗号系
には、暗号化／復号化に大量の処理が必要であるという
大きな欠点があるため、一般には処理の速い秘密鍵暗号
系をメッセージの暗号化に、公開鍵暗号系は認証用にと
いうように組み合わせて用いられる場合が多い。

【００１１】公開鍵暗号系の中で、現在標準化が進んで
いるものに、楕円曲線暗号（Elliptic Curve Cryptogra
phy）がある。これは、楕円曲線の離散対数問題に基づ
くもので、N. Koblitz（"A course in number theory a
nd cryptography", Spring-Verlag, 1997）と、V. Mill
er（"Use of elliptic curves in cryptography", Adva
nces in Cryptology-Proceedings of Crypto '85, Lect
ure Notes in Computer Science, 218(1986), Spring-V
erlag, pp 417-426）により提案された。 〔楕円曲線暗号に用いる楕円曲線〕楕円曲線暗号に用い
る主な楕円曲線は、素体上の楕円曲線（標準形：ｙ²＝
ｘ³＋ａｘ＋ｂ（ｍｏｄｐ），ｐ：素数）と、２拡大体
上の楕円曲線（標準形：ｙ²＋ｘｙ＝ｘ³＋ａｘ²＋ｂ
（ｍｏｄ ｆ），ｆ：既約多項式）である。この楕円曲
線上の点Ｐ（ｘ，ｙ）および単位元となる無限遠点Οの
集合は、加算に関して群をなす。楕円曲線は、この点の
演算による離散対数問題に基づく暗号である。 〔楕円曲線の点の演算と離散対数問題〕楕円曲線上の点
の演算は以下のものが定義されている。 加算：Ｒ＝Ｐ＋Ｑ＝Ｑ＋Ｐ ２倍算：Ｒ＝２Ｐ＝Ｐ＋Ｐ 減算：Ｒ＝Ｐ−Ｑ 零点：Ο（無限遠点）＝Ｐ−Ｐ スカラー倍算：ｋＰ＝Ｐ＋Ｐ＋・・・＋Ｐ（ｋ個のＰの
和） ここで、ｋＰとＰからｋを計算することは困難である。
このことは、楕円曲線の離散対数問題と呼ばれており、
この離散対数問題に関連する計算の困難性に基づいて公
開鍵系の暗号とすることができる。

【００１２】たとえば、公開鍵暗号系として知られる
（有限体上の）ディッフィ−ヘルマン（Diffie-Hellma
n）鍵交換と同様の鍵交換方式を実現することができ
る。楕円曲線上のベースポイントをＧとし、Ａの秘密鍵
をｓ_aとしＰａ＝ｓ_aＧを演算して公開鍵とする。また、
Ｂの秘密鍵をｓ_bとし、Ｐｂ＝ｓ_bＧを演算してこれを公
開鍵とする。ＡはＢの公開鍵Ｐｂと自分の秘密鍵ｓ_aか
ら、Ｋ_AB＝ｓ_aＰｂ＝ｓ_aｓ_bＧを演算することによって
共通鍵を得ることができる。また、同様にして、ＢはＡ
の公開鍵Ｐａと自分の秘密鍵ｓ_bから、Ｋ_BA＝ｓ_bＰａ＝
ｓ_bｓ_aＧを演算することによって共通鍵を得ることがで
きる。この方式は、ＥＣＤＨ（Elliptic Curve Diffie-
Hellman）方式と呼ばれ、秘密鍵ｓ_a，ｓ_bをスカラー量
として楕円曲線上の点Ｇ、Ｐａ、Ｐｂに乗算する必要が
あり、暗号化／復号化の際に大量の演算処理を必要とす
る。この他にＥＣＤＳＡ方式やＥＣＥＳ方式なども提案
されているが、演算処理が大きくなる点については同様
である。 〔楕円曲線上の点のスカラー倍算〕楕円曲線上の点のス
カラー倍算は上記のように定義されるが、ｋの値が大き
くなると計算量が膨大となるため、通常は、加算と２倍
算を組み合わせたバイナリメソッド（Binary Method）
や加算と２倍算、減算を組み合わせたサインドバイナリ
メソッド（Signed Binary Method）、事前計算表を用い
て用いてバイナリメソッドを複数ビット単位で行うウィ
ンドウメソッド（Window Method）などを用いて計算を
行うことが提案されている。

【００１３】バイナリメソッドは、E. D. Knuthが、"Th
e art of computer programing vol. 2, Seminumerical
Algorithm, 2nd ed." (Addison-Wesley, Reading, Mas
s. 1981)で述べている方式で、乗数ｋを２進数表現（Bi
nary表現）し、最上位ビットから最下位ビットまで順に
検査していって、そのビットの値が０なら２倍算を行
い、ビットの値が１であれば２倍算を行った後加算する
という方式である。

【００１４】サインドバイナリメソッドは、F. Morain
and J. Olivosが、"Speeding up the computations on
an elliptic curve using addition-subtraction chain
s."(Inform. Theory Appl. 24, 1990)で提案している方
式であり、乗数ｋを符号付き２進数表現（Signed Baina
ry表現）し、最上位ビットから最下位ビットまで順に検
査していき、そのビットの値が０なら２倍算を行い、ビ
ットの値が１なら２倍算を行った後加算し、ビットの値
が−１であれば２倍算を行った後減算を行うという方式
である。符号付き２進数表現は、−１，０，１によって
表現するものであって、１つの値について複数の表現方
法があり、どの表現を採用するかによって演算の速度が
異なってくる。

【００１５】ウィンドウメソッドには、いろいろなバリ
エーションがあり、もっとも基本的なものでは、乗数ｋ
を２進数表現に変換し、最上位ビットから最下位ビット
までを所定の桁数でなる数値ブロックに分割し、予め演
算したテーブルを当てはめていく。たとえば、ｋ＝2762
2793＝1101001010111110110001001₂である場合、この乗
数ｋに上位から４ビットのウィンドウを当てはめるな
ら、 1101 0010 1011 1110 1100 0100 1 となる。この場合には、被乗数Ｐに４ビットの数値ブロ
ックの値を乗算した値、0P（0000₂P）から15P（1111
₂P）を事前に計算しておき、テーブルとして保存してお
く必要がある。

【００１６】数値ブロックの最上位ビットが１となるよ
うに４ビットのウィンドウを当てはめた場合には、上記
乗数ｋは、 1101 00 1010 1111 1011 000 1001 と５つのウィンドウを当てはめることとなる。この場合
には、最上位ビットが１となる数値ブロックについての
み事前計算を行ってテーブルとして保存しておけばよい
と考えられる。ただし、最終の数値ブロックは、所定の
桁数（この場合４ビット）とならない可能性があるた
め、最上位ビットが１とならない数値ブロックについて
も事前計算を行ってテーブル化しておく必要があり、や
はり、0P（0000₂P）から15P（1111₂P）のすべてを事前
計算する必要がある。

【００１７】このように、ウィンドウメソッドでは、当
てはめたウィンドウの値の加算と、２倍算を組み合わせ
ることで、スカラー倍算を計算することができる。

【００１８】前述したようなサインドバイナリメソッド
とウィンドウメソッドとを複合したものとして、宮地、
小野、H. Cohenが、"Efficient elliptic curve expone
tiation, ICICS '97, 1997" で提案したものがある（以
下、ＭＯＣ方式と称す）。

【００１９】このＭＯＣ方式では、乗数を２進数表現と
し、これに所定の桁数でなるウィンドウを最下位のビッ
トから順に割り当てていき、割り当てたウィンドウのす
ぐ上位のビットが１の場合、ウィンドウの値をマイナス
２の補数とし、すぐ上位に１を加算する。例えば、上記
乗数ｋ＝27622793＝1101001010111110110001001₂に４ビ
ットのウィンドウを当てはめる場合、 11010010101111 1011 000 1001 となり、２つ目のウィンドウ"1011"の上位のビットは１
である。したがって、このウィンドウの値を補数とし
て、"0101"（下線付きをマイナスとする）とし、その上
位ビットに１を加算する。

【００２０】11010010110000 0101 000 1001 この後、さらにウィンドウを当てはめて行くことによっ
て、次のようになる。

【００２１】1101 00 1011 0000 0101 000 1001 このことにより、ＭＯＣ方式の場合、ウィンドウの数
は、上述したような通常のウィンドウメソッドの場合よ
りも少なくすることができる。また、１つのウィンドウ
の上位に位置するビットは必ず０となるようにしている
ため、ウィンドウの１回割り当てあたりの平均処理ビッ
ト数は、ウィンドウ幅＋２となる。

【００２２】バイナリメソッド、サインドバイナリメソ
ッド、ウィンドウメソッド、宮地方式について、１６０
ビット程度の楕円曲線の点の演算に用いた（ウィンドウ
メソッドについては４ビットウィンドウを用いた）場合
の計算回数は以下のようになる。

【００２３】

【表１】

【００２４】

【発明が解決しようとする課題】上述したように、ウィ
ンドウメソッド系の処理では、合計の加算回数が少なく
なり、バイナリメソッド系の処理に比して高速な処理が
可能になると考えられる。しかしながら、事前計算を必
要としないバイナリメソッド系の平均加算回数に比して
ウィンドウメソッド系の加算回数は１／２程度に軽減さ
れているに止まっている。

【００２５】従来のウィンドウ方式において、スカラー
倍算を高速化するためにはテーブルを大きくとる必要が
あり、このテーブルを格納しておく領域を確保する必要
がある。しかしながら、上述したように、大きなテーブ
ルを用意しても有効に利用しているとは言い難く、この
テーブルを格納する領域を無駄にしている。また、テー
ブルを大きくすることで事前計算の処理に時間を要し、
スカラー倍算自体は高速であるが、トータルでの高速化
が考慮されていないといった問題を有している。このこ
とは、ウィンドウメソッドを利用したＭＯＣ方式であっ
ても同様のことが言える。

【００２６】本発明の目的は、テーブル数を削減して有
効利用することにより、テーブル格納領域を削減し、事
前計算の回数を削減してトータルでの演算の高速化を図
ることを可能としたスカラー倍算方法およびその装置を
提案することにある。

【００２７】

【課題を解決するための手段】本発明に係るスカラー倍
算方法は、整数を乗数とするスカラー倍算において、乗
数を非隣接型（nonadjacent form）符号付き２進数（以
下、ＮＡＦと称す）に変換し、ＮＡＦに変換された乗数
を上位ビットより順に最上位ビットが０でない所定の桁
数でなる数値ブロックに分解して固定幅ウィンドウによ
るウィンドウ法を用いて演算することを特徴としてい
る。

【００２８】ＮＡＦは、０でないビット（１または−
１）が連続しないような符号付き２進数表現であり、０
でないビットの数が最小となる。したがって、加算回数
を軽減することができる。また、ＮＡＦは０でないビッ
トが隣接しないため、最上位ビットが０でない数値ブロ
ックで分割した際に、出現する数値ブロックの種類が限
られる。したがって、テーブルを必要最小限に削減する
ことができ、事前計算の回数を軽減することができる。

【００２９】ここで、所定の桁数でなる数値ブロックの
うち、ＮＡＦに現れるものであって最上位ビットが１と
なる数値ブロックの値を、被乗数に乗算したものを予め
演算してテーブルとして保存しておく構成にできる。例
えば、ウィンドウ幅が４ビットの場合、最上位ビットが
１となる値は、1010₂（＝６）、1001 ₂（＝７）、1000 ₂
（＝８）、1001₂（＝９）、1010₂（＝１０）の５つだけ
であり、被乗数Ｐにこれを乗算した６Ｐ、７Ｐ、８Ｐ、
９Ｐ、１０Ｐを事前計算してこれをテーブルとすればよ
いこととなる。

【００３０】また、テーブルを作成するために計算した
途中の値を、テーブルに追加して保存しておくように構
成できる。

【００３１】さらに、非隣接型符号付き２進数に変換し
た乗数の値を最上位ビットが０でない所定の桁数でなる
数値ブロックに分解した際に、最終の数値ブロックが所
定の桁数に満たない場合に、この最終の数値ブロックの
みテーブルの値を組み合わせて演算するように構成でき
る。

【００３２】最終の数値ブロックが所定の桁数に満たな
かった場合には、所定の桁数であって最上位ビットが１
となる数値ブロックのみで計算することができないた
め、テーブルを作成するために計算した途中の値とテー
ブルの値とを利用してこれを算出するようにする。たと
えば、ウィンドウ幅が４ビットの場合に、最終の数値ブ
ロックに１〜３ビットの値が残る可能性がある。したが
って、最終の数値ブロックが採り得る値は、−１０Ｐ〜
＋１０Ｐの範囲ですべての値をとり得る。前述の事前計
算で、６Ｐ、７Ｐ、８Ｐ、９Ｐ、１０Ｐを計算する際
に、途中で計算を行う２Ｐ、４Ｐをテーブルに追加して
保存しておけば、±１ＰはＰの値をそのまま用い、±２
または±４Ｐの場合２Ｐまたは４Ｐをそのまま使うこと
ができ、±３Ｐの場合２Ｐ＋Ｐの演算を行い、±５Ｐの
場合４Ｐ＋Ｐの演算を行うことで算出することが可能と
なる。

【００３３】このようなスカラー倍算は、楕円曲線上の
点の演算に用いることができ、楕円曲線暗号を演算する
際に利用することができる。また、整数演算に用いるこ
とも可能である。

【００３４】さらに、本発明に係るスカラー倍算装置で
は、所定の桁数でなる数値ブロックのうち、非隣接型符
号付き２進数に現れるものであって最上位ビットが１と
なる数値ブロックの値を、被乗数に乗算した値を予め演
算する事前計算手段と、事前計算手段によって演算され
た値をテーブルとして保存するテーブル記憶手段と、乗
数を非隣接型符号付き２進数に変換するＮＡＦ変換手段
と、ＮＡＦ変換手段によって非隣接型符号付き２進数に
変換された乗数を、上位ビットより順に、最上位ビット
が０でない所定の桁数でなる数値ブロックに分解し、テ
ーブル記憶手段に保存されたテーブルを適用するウィン
ドウ演算手段と、非隣接型符号付き２進数に変換した乗
数の値を最上位ビットが０でない所定の桁数でなる数値
ブロックに分解した際に、最終の数値ブロックが所定の
桁数に満たない場合に、この最終の数値ブロックのみテ
ーブルの値を組み合わせて演算する後処理手段とを備え
ている。

【００３５】

【発明の実施の形態】本発明に係るスカラー倍算装置の
１実施形態を図１を用いて説明する。

【００３６】このスカラー倍算装置１は、通常のＣＰＵ
およびメモリを搭載したコンピュータにより実現される
ものであって、主に記憶手段２と演算手段３とで構成さ
れる。

【００３７】記憶手段２は、乗数ｋや被乗数Ｐおよび演
算結果などを記憶しておく通常記憶部２１と、事前計算
により作成されたテーブルを格納しておくテーブル記憶
部２２とを備えている。

【００３８】演算手段３は、所定の桁数でなる数値ブロ
ックのうち、ＮＡＦに現れるものであって最上位ビット
が１となるものについて、その値を被乗数Ｐに乗算した
値を予め演算する事前計算手段３１を備えている。例え
ば、ウィンドウ幅が４ビットの場合、最上位ビットが１
となる値は、1010₂（＝６）、1001 ₂（＝７）、1000
₂（＝８）、1001₂（＝９）、1010₂（＝１０）の５つだ
けであり、被乗数にこれを乗算した６Ｐ、７Ｐ、８Ｐ、
９Ｐ、１０Ｐを事前計算する。事前計算手段３１では、
この６Ｐ、７Ｐ、８Ｐ、９Ｐ、１０Ｐとこの計算の途中
で得られる２Ｐ、４Ｐについてテーブルとして記憶手段
２のテーブル記憶部２２に保存する。

【００３９】また、演算手段３は、乗数ｋをＮＡＦに変
換するＮＡＦ変換手段３２を備えている。このＮＡＦ変
換手段３２は、G. Reitwiesnerが"Binaryarithmetic, A
dvances in Computers, 1 (1960), pp. 231-308"で提案
した変換方法などを実現するものであり、記憶手段２に
格納されている乗数ｋを０でないビットが隣接しないよ
うなサインドバイナリ表現に変換する。

【００４０】さらに、演算手段３は、ＮＡＦに変換され
た乗数ｋを上位ビットから順に所定の桁数でなる数値ブ
ロックに分解し、テーブル記憶部２２に格納されている
テーブルを各数値ブロックに適用するウィンドウ演算手
段３３を備えている。

【００４１】また、演算手段３は、ＮＡＦに変換された
乗数ｋを上位ビットから順に所定の桁数でなる数値ブロ
ックに分解した際に、最終の数値ブロックが所定の桁数
に満たない場合に、テーブルに格納されている値を用い
てこの最終の数値ブロックの値を演算する後処理手段３
４を備えている。

【００４２】次に、本発明に係るスカラー倍算方法につ
いて詳細に説明する。

【００４３】図２において、ステップＳ１では、被乗数
Ｐおよび乗数ｋが入力される。この値はシステムが自動
的に選択する数値であってもよく、ユーザが入力する任
意の値であってもよい。

【００４４】ステップＳ２では、被乗数Ｐに対する事前
計算を行ってテーブルを作成するテーブル作成処理を実
行する。

【００４５】ステップＳ３では、乗数ｋをＮＡＦに変換
するＮＡＦ変換処理を実行する。

【００４６】ステップＳ４では、ＮＡＦに変換された乗
数ｋをウィンドウメソッドを用いて上位のビットから順
に所定の桁数でなる数値ブロックに分割し、テーブルの
値を適用するとともに、２倍算および加算を行うウィン
ドウ演算処理を実行する。

【００４７】ステップＳ５では、最終の数値ブロックが
所定の桁数に満たない場合に、テーブルに格納された値
を使ってこの最終ブロックの値を演算する後処理を実行
する。

【００４８】ステップＳ６では、演算結果を出力し、例
えば記憶手段２に格納する。〔事前計算〕ステップＳ２
におけるテーブル作成処理を図３にフローチャートとし
て示す。ここでは、ウィンドウ幅を４ビットとしたウィ
ンドウメソッドを用いることとする。

【００４９】ステップＳ１１では、被乗数Ｐに２をかけ
た値２Ｐ＝Ｐ＋Ｐを計算し、これを記憶手段２に格納す
る。ステップＳ１２では、被乗数Ｐに４をかけた値４Ｐ
＝２Ｐ＋２Ｐを計算し、これを記憶手段２に格納する。

【００５０】ステップＳ１３では、被乗数Ｐに８をかけ
た値８Ｐ＝４Ｐ＋４Ｐを計算し、これをテーブル記憶部
２２のtable[2]として保存する。ステップＳ１４では、
被乗数Ｐに７をかけた値７Ｐ＝８Ｐ−Ｐ＝table[2]−Ｐ
を計算し、これをテーブル記憶部２２のtable[1]として
保存する。ステップＳ１５では、被乗数Ｐに９をかけた
値９Ｐ＝８Ｐ＋Ｐ＝table[2]＋Ｐを計算し、これをテー
ブル記憶部２２のtable[3]として保存する。

【００５１】ステップＳ１６では、被乗数Ｐに６をかけ
た値６Ｐ＝７Ｐ−Ｐ＝table[1]−Ｐを計算し、これをテ
ーブル記憶部２２のtable[0]として保存する。ステップ
Ｓ１７では、被乗数Ｐに１０をかけた値１０Ｐ＝９Ｐ＋
Ｐ＝table[3]＋Ｐを計算し、これをテーブル記憶部２２
のtable[4]として保存する。

【００５２】このことにより、テーブル記憶部２２に
は、図４に示すようなテーブルが作成されることとな
る。すなわち、ａ＝０〜４について、table[ａ]の値が
それぞれ、６Ｐ，７Ｐ，８Ｐ，９Ｐ，１０Ｐとして格納
される。また、このテーブルとは別に、計算途中で得ら
れる値２Ｐ，４Ｐもこの記憶手段２内に保存されること
となる。〔ＮＡＦへの変換〕乗数ｋをＮＡＦに変換する
方法は、前述したように、G. Reitwiesnerの提案する方
法などを用いて実現することができる。

【００５３】例えば、乗数ｋ＝27622793＝110100101011
11101100001001₂をＮＡＦに変換した場合には、 10101010101000001010001001 となる（値が−１となるビットを"1"で示すこととす
る）。〔ウィンドウ演算処理〕ステップＳ４におけるウ
ィンドウ演算処理について、図５に示すフローチャート
に基づいて説明する。

【００５４】ステップＳ２１では、乗数ｋの値をＮＡＦ
に変換したときの桁数がｎであれば（ｎ−１）の値を変
数ｉとして取り込む。ここでは、乗数ｋをＮＡＦに変換
したときの値が（ｋ₁₅₉，ｋ₁₅₈，ｋ₁₅₇・・・ｋ₁，
ｋ₀）でなりその桁数が１６０ビットである場合を想定
し、ｉ＝１５９とする。ステップＳ２２では、ＮＡＦ変
換した乗数ｋを上位ビットから４桁のウィンドウ幅で取
り込み、ウィンドウ値Ｗ＝（ｋ_i，ｋ_i-1，ｋ_i-2，
ｋ_i-3）とする。この時のウィンドウ値Ｗは、Ｗ＝（ｋ
_{15 9}，ｋ₁₅₈，ｋ₁₅₇，ｋ₁₅₆）となる。ステップＳ２３で
は、この時のウィンドウ値Ｗから６を引いた値のテーブ
ルを参照して、これを演算結果Ｒの初期値とする。たと
えば、Ｗ＝1000₂＝８であれば、table[2]を参照して、
Ｒ＝８Ｐとする。

【００５５】ステップＳ２４では、変数ｉから４をデク
リメントする。ステップＳ２５では、乗数ｋについて現
在のウィンドウの下にさらにビットが存在するか否かを
判別する。変数ｉの値が０よりも大きい場合に、次のビ
ットが存在するとして、ステップＳ２６に移行する。ス
テップＳ２６では、乗数ｋについて現在のウィンドウの
下に位置する次のビットｋ_iが０であるか否かを判別す
る。次のビットｋ_iが０であると判断した場合、ステッ
プＳ２７に移行する。ステップＳ２７では、Ｒの値を２
倍算し、Ｒ＝２Ｒとする。ステップＳ２８では変数ｉか
ら１をデクリメントして、ステップＳ２５に移行する。

【００５６】ステップＳ２６において、次のビットｋ_i
が０でないと判断した場合には、ステップＳ２９に移行
する。ステップＳ２９では、乗数ｋについて現在のウィ
ンドウの下に位置するビット数が４ビット以下になった
か否かを判別する。ここで、変数ｉの値が３以下であれ
ば、乗数ｋについて現在のウィンドウの下に位置するビ
ット数が４ビット以下になったと判断してメインルーチ
ンに復帰する。また、変数ｉの数が４以上であれば、ス
テップＳ３０に移行する。

【００５７】ステップＳ３０では、Ｒの値を２倍算し、
Ｒ＝２Ｒとする。ステップＳ３１、Ｓ３２、Ｓ３３で
は、同様にＲの値を２倍算し、Ｒ＝２Ｒとする。したが
って、ステップＳ３０〜Ｓ３３では、Ｒ＝２⁴Ｒを計算
することとなる。

【００５８】ステップＳ３４では、次のウィンドウにつ
いて、ウィンドウ値Ｗを取り込む。ステップＳ３５で
は、取り込んだウィンドウ値Ｗの値が０より大きいか否
かを判別する。ウィンドウ値Ｗが０よりも大きい場合に
は、ステップＳ３６に移行する。ステップＳ３６では、
（Ｗ−６）の値に対応するテーブルを参照し、Ｒの値に
加算して、Ｒ＝Ｒ＋table[Ｗ−６]を計算する。したが
って、このときのウィンドウ値Ｗ＝1001₂＝９であれ
ば、Ｒ＝Ｒ＋table[3]＝Ｒ＋９Ｐを計算することとな
る。また、ステップＳ３５において、ウィンドウ値Ｗが
０よりも小さいと判別した場合には、ステップＳ３７に
移行する。ステップＳ３７では、（−Ｗ−６）の値に対
応するテーブルを参照し、Ｒの値からこれを減算して、
Ｒ＝Ｒ−table[−Ｗ−６]を計算する。例えば、ウィン
ドウ値Ｗ＝1001 ₂＝−９であれば、Ｒ＝Ｒ−table[3]＝
Ｒ−９Ｐを計算することとなる。ステップＳ３８では、
変数ｉの値から４だけデクリメントし、ステップＳ２５
に移行する。

【００５９】ステップＳ２５において乗数ｋについて現
在のウィンドウの下に次のビットが存在しないと判別し
た場合およびステップＳ２９において乗数ｋについて現
在のウィンドウの下にあるビット数が４ビット以下にな
った場合には、メインルーチンに復帰する。 〔最終ウィンドウ処理〕ウィンドウ演算処理において、
最終のウィンドウについて所定の桁数以下となった場合
には、ステップＳ５の後処理が必要となる。これは、図
５において、変数ｉの値がステップＳ２５では０よりも
大きくかつステップＳ２９において３以下であると判断
された場合である。このときの最終ウィンドウ処理を図
６に示すフローチャートに基づいて説明する。

【００６０】ステップＳ４１では、最終ウィンドウのウ
ィンドウ値Ｗに初期値として０を代入する。ステップＳ
４２では、次のビットが存在するか否かを判別する。こ
こでは、変数ｉの値が０よりも大きい場合に、次のビッ
トが存在すると判断してステップＳ４３に移行する。ス
テップＳ４３では、Ｗ＝２Ｗ＋ｋ_iを計算する。ステッ
プＳ４４では、Ｒの値を２倍算して、Ｒ＝２Ｒを計算す
る。ステップＳ４５では、変数ｉの値から１だけデクリ
メントし、ステップＳ４２に移行する。

【００６１】ステップＳ４２において、変数ｉの値が０
以下になった場合、次のビットが存在しないと判断し
て、ステップＳ４６に移行する。

【００６２】ステップＳ４６では、ウィンドウ値Ｗの値
を判別して、対応するステップに分岐する。ウィンドウ
値Ｗ＝０の場合、何もせずにメインルーチンに復帰す
る。ウィンドウ値Ｗ＝６〜１０の場合には、ステップＳ
４７に移行する。ステップＳ４７では、Ｒ＝Ｒ＋table
[W−６]を計算する。ウィンドウ値Ｗの値が６〜１０の
場合には、最終ウィンドウは４ビットであり、これに対
応するテーブルが存在する。したがって、ウィンドウ値
Ｗに対応するテーブルを参照して最終ウィンドウの計算
を行う。

【００６３】ウィンドウ値Ｗ＝−６〜−１０の場合に
は、ステップＳ４８に移行する。ステップＳ４８では、
ステップＳ４７と同様にしてウィンドウ値Ｗに対応する
テーブルを参照して、Ｒ＝Ｒ−table[−Ｗ−６]を計算
する。

【００６４】ウィンドウ値Ｗ＝１の場合、ステップＳ４
９に移行する。ステップＳ４９では、Ｒ＝Ｒ＋Ｐを計算
する。ウィンドウ値Ｗ＝−１の場合、ステップＳ５０に
移行する。ステップＳ５０では、Ｒ＝Ｒ−Ｐを計算す
る。ウィンドウ値Ｗ＝２の場合、ステップＳ５１に移行
する。ステップＳ５１では、記憶手段２に保存しておい
た（２Ｐ）の値を読み込んでこれをＲに加算し、Ｒ＝Ｒ
＋２Ｐを計算する。ウィンドウ値Ｗ＝−２の場合、ステ
ップＳ５２に移行する。ステップＳ５２では、記憶手段
２に保存しておいた（２Ｐ）の値を読み込んで、Ｒから
これを減算し、Ｒ＝Ｒ−２Ｐを計算する。

【００６５】ウィンドウ値Ｗ＝４の場合、ステップＳ５
３に移行する。ステップＳ５３では、記憶手段２に保存
しておいた（４Ｐ）の値を読み込んでこれをＲに加算
し、Ｒ＝Ｒ＋４Ｐを計算する。ウィンドウ値Ｗ＝−４の
場合、ステップＳ５４に移行する。ステップＳ５４で
は、記憶手段２に保存しておいた（４Ｐ）の値を読み込
んでＲからこれを減算し、Ｒ＝Ｒ−４Ｐを計算する。

【００６６】ウィンドウ値Ｗ＝３の場合、ステップＳ５
５に移行する。ステップＳ５５では、記憶手段２に保存
しておいた（２Ｐ）の値を読み込んでこれをＲに加算
し、Ｒ＝Ｒ＋２Ｐを計算する。さらに、ステップＳ５６
において、Ｒ＝Ｒ＋Ｐを計算する。ウィンドウ値Ｗ＝−
３の場合、ステップＳ５７に移行する。ステップＳ５７
では、記憶手段２に保存しておいた（２Ｐ）の値を読み
込んで、Ｒからこれを減算し、Ｒ＝Ｒ−２Ｐを計算す
る。さらに、ステップＳ５８において、Ｒ＝Ｒ−Ｐを計
算する。

【００６７】ウィンドウ値Ｗ＝５の場合、ステップＳ５
９に移行する。ステップＳ５９では、記憶手段２に保存
しておいた（４Ｐ）の値を読み込んでこれをＲに加算
し、Ｒ＝Ｒ＋４Ｐを計算する。さらに、ステップＳ６０
において、Ｒ＝Ｒ＋Ｐを計算する。ウィンドウ値Ｗ＝−
５の場合、ステップＳ６１に移行する。ステップＳ６１
では、記憶手段２に保存しておいた（４Ｐ）の値を読み
込んで、Ｒからこれを減算し、Ｒ＝Ｒ−４Ｐを計算す
る。さらに、ステップＳ６２において、Ｒ＝Ｒ−Ｐを計
算する。

【００６８】この後、メインルーチンに復帰する。メイ
ンルーチンでは、このようにして計算されたＲの値を演
算結果として出力し、例えば、記憶手段２の所定領域に
格納する。 〔ウィンドウメソッドにおける処理ビット数〕本発明に
よれば、乗数ｋをＮＡＦ表現に変換し、最上位ビットが
１となるようにウィンドウを当てはめているため、１ウ
ィンドウあたりの処理ビット数は、ウィンドウ幅をｗと
すると、平均ｗ＋１．５ビットとなる。ウィンドウ幅ｗ
＝４とした場合、１ウィンドウあたりの処理ビット数は
５．４ビットとなる。

【００６９】また、２倍算を行う回数は、最終の数値ブ
ロックについて省略することができるため、乗数ｋのビ
ット数ｍ−４となり、ｍ＝１６０の場合２倍算の回数は
１５６となる。乗数ｋに当てはめるウィンドウの平均個
数は、この２倍算の回数を１ウィンドウあたりの処理ビ
ット数で割った値となり、この回数が平均加算回数とな
る。前述の乗数ｋのビット数ｍ＝１６０で、ウィンドウ
幅ｗ＝４とした場合には、ウィンドウの平均個数は１５
６／５．４＝２８．９となり、これが平均加算回数とな
る。 〔テーブル個数〕本発明において、ウィンドウ幅をｗと
した場合、事前計算により作成すべきテーブル数は、以
下のように表すことができる。

【００７０】 ｗが偶数の場合：２／３（２^w-1−２）＋１ ｗが奇数の場合：２／３（２^w-1−１）＋１ また、このテーブルを作成するために使用する値の個数
は、（ｗ−２）個であり、合計すると次のようになる。

【００７１】 ｗが偶数の場合：２／３（２^w-1−２）＋ｗ−１ ｗが奇数の場合：２／３（２^w-1−１）＋ｗ−１ これに対し、従来のウィンドウメソッドおよびＭＯＣ方
式の場合には、テーブル数は（２^w−２）となる。した
がって、テーブルの削減率は次のようになる。 ｗが偶数の場合：（２^w＋３ｗ−７）／（３・２^w−６） ｗが奇数の場合：（２^w＋３ｗ−５）／（３・２^w−６） これから、ウィンドウ幅ｗを３ビット、４ビット、５ビ
ットとした場合のテーブルの削減率は、それぞれ２／
３、１／２、７／１５となる。 〔最終ウィンドウ処理回数〕ウィンドウ幅ｗとした場合
の最終ウィンドウの取り得る値は次のようになる。

【００７２】ｗが偶数の場合：最小−１／３（２^w+1−
２）、最大１／３（２^w+1−２） ｗが奇数の場合：最小−１／３（２^w+1−１）、最大１
／３（２^w+1−１） このうち後処理としての加算演算が不要なものは、保存
している値が利用できる場合と、±Ｐ、０の場合であ
る。前述したように、記憶手段２に格納している値の合
計数は次のようになる。

【００７３】 ｗが偶数の場合：２／３（２^w-1−２）＋ｗ−１ ｗが奇数の場合：２／３（２^w-1−１）＋ｗ−１ これから、ウィンドウ幅ｗの場合の平均後処理回数は、
次のようになる。

【００７４】 ｗが偶数の場合：（２^w+1−６ｗ＋４）／（２^w+2−１） ｗが奇数の場合：（２^w+1−６ｗ＋２）／（２^w+2＋１） 通常よく用いられるウィンドウ幅ｗが３ビット、４ビッ
ト、５ビットの場合には、平均後処理回数はそれぞれ
０，４／２１，１２／４３となる。例えば、ウィンドウ
幅ｗが４ビットの場合、最終ウィンドウの取り得る値は
−１０Ｐ〜＋１０Ｐの２１通りであり、後処理が必要と
なる場合は±３Ｐ、±５Ｐの４通りである。したがっ
て、この場合の平均後処理回数は４／２１＝０．２回と
なる。乗数ｋを２進数に変換した際の桁数ｍが１６０ビ
ットの場合と２３９ビットの場合について、１加算また
は１ウィンドウあたりの平均処理ビット、平均２倍算回
数、平均加算回数、事前計算回数、事後計算回数を、従
来の方式と比較したものをそれぞれ表２および表３とし
て示す。

【００７５】

【表２】

【００７６】

【表３】 この結果から、本発明によるスカラー倍算方法によれ
ば、事前計算によって作成するテーブル数を１／２に削
減することができ、テーブルを格納するための領域を小
さくすることができる。また、事前計算の回数を少なく
することにより、合計計算回数を削減することができ、
トータルでの処理速度を高速化することが可能となる。 〔他の実施形態〕楕円曲線上の点のスカラー倍算だけで
なく、被乗数Ｐを整数とすることで通常の整数演算にお
いても高速な乗算方式を得ることができる。

【００７７】

【発明の効果】本発明によれば、楕円曲線上の点のスカ
ラー倍算について、事前計算により作成するテーブルの
数を通常のウィンドウメソッド系の演算を用いる場合に
比して約１／２に削減することができ、演算に必要な平
均加算回数を全体で数％削減することができ、処理速度
を高速化することが可能となる。

【図面の簡単な説明】

【図１】本発明の１実施形態の制御ブロック図。

【図２】その制御フローチャート。

【図３】テーブル作成処理のフローチャート。

【図４】テーブルの説明図。

【図５】ウィンドウ演算処理のフローチャート。

【図６】最終ウィンドウ処理のフローチャート。

【符号の説明】

１ スカラー倍算装置 ２ 記憶手段 ３ 演算手段 ２１ 通常記憶部 ２２ テーブル記憶部 ３１ 事前計算手段 ３２ ＮＡＦ変換手段 ３３ ウィンドウ演算手段 ３４ 後処理手段

───────────────────────────────────────────────────── フロントページの続き (72)発明者 鳥居 直哉 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 9A001 CZ07 EE02 EE03 EE04 FF01 JZ14 LL03

Claims (7)

【特許請求の範囲】
1. 【請求項１】整数を乗数とするスカラー倍算において、 前記乗数を非隣接型符号付き２進数に変換し、前記非隣
   接型符号付き２進数に変換された乗数を上位ビットより
   順に最上位ビットが０でない所定の桁数でなる数値ブロ
   ックに分解して固定幅ウィンドウによるウィンドウ法を
   用いて演算することを特徴とするスカラー倍算方法。
2. 【請求項２】所定の桁数でなる数値ブロックのうち、非
   隣接型符号付き２進数に現れるものであって最上位ビッ
   トが１となる数値ブロックの値を、被乗数に乗算したも
   のを予め演算してテーブルとして保存しておくことを特
   徴とする、請求項１に記載のスカラー倍算方法。
3. 【請求項３】前記テーブルを作成するために計算した途
   中の値を、前記テーブルに追加して保存しておくことを
   特徴とする、請求項２に記載のスカラー倍算方法。
4. 【請求項４】非隣接型符号付き２進数に変換した乗数の
   値を最上位ビットが０でない所定の桁数でなる数値ブロ
   ックに分解した際に、最終の数値ブロックが前記所定の
   桁数に満たない場合に、この最終の数値ブロックのみ前
   記テーブルの値を組み合わせて演算することを特徴とす
   る、請求項３に記載のスカラー倍算方法。
5. 【請求項５】楕円曲線上の点の演算に用いることを特徴
   とする、請求項１〜４のいずれかに記載のスカラー倍算
   方法。
6. 【請求項６】整数演算に用いることを特徴とする、請求
   項１〜４のいずれかに記載のスカラー倍算方法。
7. 【請求項７】所定の桁数でなる数値ブロックのうち、非
   隣接型符号付き２進数に現れるものであって最上位ビッ
   トが１となる数値ブロックの値を、被乗数に乗算した値
   を予め演算する事前計算手段と、 前記事前計算手段によって演算された値をテーブルとし
   て保存するテーブル記憶手段と、 乗数を非隣接型符号付き２進数に変換するＮＡＦ変換手
   段と、 前記ＮＡＦ変換手段によって非隣接型符号付き２進数に
   変換された乗数を、上位ビットより順に、最上位ビット
   が０でない前記所定の桁数でなる数値ブロックに分解
   し、前記テーブル記憶手段に保存されたテーブルを適用
   するウィンドウ演算手段と、 非隣接型符号付き２進数に変換した乗数の値を最上位ビ
   ットが０でない所定の桁数でなる数値ブロックに分解し
   た際に、最終の数値ブロックが前記所定の桁数に満たな
   い場合に、この最終の数値ブロックのみ前記テーブルの
   値を組み合わせて演算する後処理手段と、を備えるスカ
   ラー倍算装置。