JP2000181347A - 素体上楕円曲線上の点の演算方法およびその装置 - Google Patents

Abstract

(57)【要約】 【課題】 素体上楕円曲線上の点を３次元に投影したヤ
コビアン座標を用いることで逆数演算を行うことなく加
算処理を可能とし、かつ付加的な座標を追加せずに高速
な処理を可能とする素体上楕円曲線上の点の演算方法を
提案する。 【解決手段】 素体上楕円曲線上の点演算方法は、２倍
算が連続する場合の初回の２倍算処理では、Ｙ’＝２Ｙ
₀，Ｗ₀＝ａＺ₀ ⁴を演算し（ステップＳ２０２）、
（Ｘ₁，２Ｙ₁（＝Ｙ₁’），Ｚ₁），Ｆ₁＝Ｔ₀，Ｆ₂＝Ｗ₀
を出力し、２回目以降は、現在の座標（Ｘ_i，２Ｙ_i（＝
Ｙ_i’），Ｚ_i）を用いて（Ｘ_i+1，２Ｙ_i+1（＝
Ｙ_i+1’），Ｚ_i+1）を演算し（ステップＳ２０４）、最
終回はＹ_i＝Ｙ_i／２を演算して（ステップＳ２０６）、
演算結果である（Ｘ_i，Ｙ_i，Ｚ_i）＝２^m（Ｘ₀，Ｙ₀，Ｚ
₀）を出力する（ステップＳ２０７）ことを特徴とす
る。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、素体上楕円曲線上
の点の演算方法、特に、楕円曲線上の点に乗数を乗算す
る際に、２進数系表現に変換された乗数に基づいて２倍
算処理および加算処理を組み合わせて演算を行う演算方
法およびこの演算方法を実現する素体上楕円曲線上の点
の演算装置に関する。

【０００２】

【従来の技術】近年のコンピュータネットワークの発達
により、データベースの検索や電子メール、電子ニュー
スなどの電子化された情報をネットワークを経由して送
受信する機会が急速の増加してきている。さらに、これ
らを利用して、オンラインショッピングなどのサービス
も提供されつつある。しかし、それに伴って、ネットワ
ーク上の電子化されたデータを盗聴したり、改竄した
り、または他人になりすましてサービスを受けるなどの
違法行為についての問題が浮上してきている。特に、無
線を利用したネットワークにおいては、傍受が容易なた
めこれらを防止する対策が望まれている。

【０００３】これらの問題に対して暗号技術（encrypti
on technology）を応用した暗号化電子メールや利用者
認証システムが提案され、種々のネットワークにも導入
されつつあり、コンピュータネットワークにおいて暗号
化は必須の技術となりつつある。この意味でコンピュー
タネットワークにおいては暗号化は必須の技術であると
いえる。

【０００４】暗号化方式は、大別すると秘密鍵暗号系と
公開鍵暗号系の２つの分類することができる。

【０００５】秘密鍵暗号系は、送信者と受信者が同じ鍵
を持つことにより暗号通信を行う方式である。すなわ
ち、秘密鍵暗号系では、あるメッセージを秘密の暗号鍵
に基づいて暗号化し相手に送り、受け手はこの暗号鍵を
用いて暗号分を複合化しもとのメッセージに戻して情報
を入手する。

【０００６】公開鍵暗号系は、送信者は公開されている
受信者の公開鍵でメッセージを暗号化して送信し、受信
者は自分の秘密鍵でその暗号化メッセージを復号するこ
とで通信を行う方式である。すなわち、公開鍵暗号系で
は、公開鍵は暗号化のための鍵、秘密鍵は公開鍵により
暗号化された暗号を復号するための鍵であり、公開鍵で
暗号化した暗号が秘密鍵でのみ復号することができる。

【０００７】秘密鍵暗号系では、個人が秘密に保管しな
ければならない鍵の数が通信相手の数だけ必要であり、
必要な総鍵数はｎ人のネットワークの場合、ｎ（ｎ−
１）／２個である。また、はじめて通信をする相手に対
しては、何らかの方法で秘密鍵の配送を行う必要がある
という点で欠点がある。この問題を避けるために、大規
模なネットワークでは、鍵管理センタを設置し、センタ
との間の秘密鍵のみを保管し、暗号通信を行う場合はセ
ンタから送信相手との秘密鍵を得る方法が用いられる。
この場合秘密鍵の総数はｎとなる。

【０００８】一方公開鍵暗号系では、個人が秘密に保管
する鍵は自分の秘密鍵のみであり、必要な総秘密鍵数も
ｎ人のネットワークの場合、ｎ個である。また、はじめ
て通信する相手に対しては、公開鍵の配送を行えばよ
く、鍵管理センタを設置して、ユーザの公開鍵をｎ個公
開簿に登録し、センタから送信相手の公開鍵を得る方法
が用いられる。この場合、センタは公開鍵の改竄を防ぐ
だけで、秘密に保管する必要がない。ただし、公開鍵方
式は秘密鍵方式に比べて鍵のビット数が大きいため保管
に要するファイルサイズが大きくなるという問題を内包
している。

【０００９】また、認証の場合、秘密鍵暗号系では、例
えば、送信するメッセージを秘密鍵で圧縮変換し、送信
文に付加して送り、受信側では同様に圧縮変換して比較
する方式がとられている。しかし、送受信が同じ鍵であ
るため受信者は認証データを偽造することができる。

【００１０】これに対して、公開鍵暗号系では、秘密鍵
で暗号化することができるのは本人だけであるという特
徴を利用する。送信者はメッセージを圧縮変換して秘密
鍵で暗号化し、送信文に付加して送り、受信者は送信者
の公開鍵で付加されたデータを復号化し、同様に圧縮変
換したものと比較する方式がとられている。この場合は
受信者が不正できない。

【００１１】このように、認証系では公開鍵暗号系の技
術は必要不可欠であるといえる。しかし、公開鍵暗号系
には、暗号化／復号化に大量の処理が必要であるという
大きな欠点があるため、一般には処理の速い秘密鍵暗号
系をメッセージの暗号化に、公開鍵暗号系は認証用にと
いうように組み合わせて用いられる場合が多い。

【００１２】公開鍵暗号系の中で、現在IEEE P1363, AN
SI X 9.62などで標準化が進んでいるものに、楕円曲線
暗号（Elliptic Curve Cryptography）がある。これ
は、楕円曲線の離散対数問題に基づくもので、N. Kobli
tz（"A course in number theory and cryptography",
Spring-Verlag, 1997）と、V. Miller（"Use of ellipt
ic curves in cryptography", Advances in Cryptology
-Proceedings of Crypto'85, Lecture Notes in Comput
er Science, 218(1986), Spring-Verlag, pp 417-426）
により提案された。 〔楕円曲線暗号に用いる楕円曲線〕楕円曲線暗号に用い
る主な楕円曲線は、素体上の楕円曲線（標準形：ｙ²＝
ｘ³＋ａｘ＋ｂ（ｍｏｄｐ），ｐ：素数，ａ，ｂ：ＧＦ
（ｐ）の元）と、２の拡大体上の楕円曲線（標準形：ｙ
²＋ｘｙ＝ｘ³＋ａｘ²＋ｂ（ｍｏｄ ｆ），ｆ：ｎ次既
約多項式，ａ，ｂ：ＧＦ（２ⁿ）の元）である。この楕
円曲線上の点Ｐ（ｘ，ｙ）および単位元となる無限遠点
Οの集合は、加算に関して群をなす。楕円曲線は、この
点の演算による離散対数問題に基づく暗号である。 〔楕円曲線の点の演算と離散対数問題〕楕円曲線上の点
の演算は以下のものが定義されている。 加算：Ｒ＝Ｐ＋Ｑ＝Ｑ＋Ｐ ２倍算：Ｒ＝２Ｐ＝Ｐ＋Ｐ 減算：Ｒ＝Ｐ−Ｑ 零点：Ο（無限遠点）＝Ｐ−Ｐ スカラー倍算：ｋＰ＝Ｐ＋Ｐ＋・・・＋Ｐ（ｋ個のＰの
和） ここで、ｋＰとＰからｋを計算することは困難である。
このことは、楕円曲線の離散対数問題と呼ばれており、
この離散対数問題に関連する計算の困難性に基づいて公
開鍵系の暗号とすることができる。

【００１３】たとえば、公開鍵暗号系と知られる（有限
体上の）ディフィ−ヘルマン（Diffie-Hellman）鍵交換
と同様の鍵交換方式を実現することができる。楕円曲線
上のベースポイントをＧとし、Ａの秘密鍵をｓ_aとしＰ
ａ＝ｓ_aＧを演算して公開鍵とする。また、Ｂの秘密鍵
をｓ_bとし、Ｐｂ＝ｓ_bＧを演算してこれを公開鍵とす
る。ＡはＢの公開鍵Ｐｂと自分の秘密鍵ｓ_aから、Ｋ_AB
＝ｓ_aＰｂ＝ｓ_aｓ_bＧを演算することによって共通鍵を
得ることができる。また、同様にして、ＢはＡの公開鍵
Ｐａと自分の秘密鍵ｓ_bから、Ｋ_BA＝ｓ_bＰａ＝ｓ_bｓ_aＧ
を演算することによって共通鍵を得ることができる。こ
の方式は、ＥＣＤＨ（Elliptic Curve Diffie-Hellma
n）方式と呼ばれ、秘密鍵ｓ_a，ｓ_bをスカラー量として
楕円曲線上の点Ｇ、Ｐａ、Ｐｂに乗算する必要があり、
暗号化／復号化の際に大量の演算処理を必要とする。こ
の他にＥＣＤＳＡ方式やＥＣＥＳ方式なども提案されて
いるが、演算処理が大きくなる点については同様であ
る。 〔楕円曲線上の点のスカラー倍算〕楕円曲線上の点のス
カラー倍算は上記のように定義されるが、ｋの値が大き
くなると計算量が膨大となるため、通常は、加算と２倍
算を組み合わせたバイナリメソッド（Binary Method）
や加算と２倍算、減算を組み合わせたサインドバイナリ
メソッド（Signed Binary Method）、事前計算表を用い
て用いてバイナリメソッドを複数ビット単位で行うウィ
ンドウメソッド（Window Method）などを用いて計算を
行うことが提案されている。 〔素体上楕円曲線上における点の加算〕楕円曲線上の点
のスカラー倍算を行うためにバイナリーメソッドやウィ
ンドウメソッドを用いる場合、２進数系の表現に変換さ
れた乗数に基づいて、２倍算処理または加算処理と２倍
算処理を行って、楕円曲線上の点を次々に演算していく
ことにより結果を得ることができる。

【００１４】素体上の楕円曲線ｙ²＝ｘ³＋ａｘ＋ｂ（ｍ
ｏｄ ｐ）での点の演算を定義する。点Ｐ＝（ｘ₀，
ｙ₀）、点Ｑ＝（ｘ₁，ｙ₁）、点Ｒ＝（ｘ₂，ｙ₂）、単
位元Ο（無限遠点）とすると、点の加算は次のように定
義される。但し、−Ｐ＝（ｘ₀，−ｙ₀）と定義される。

【００１５】１．点Ｐと単位元Οとの加算 Ｒ＝Ｐ＋Ο＝Ο＋Ｐ＝Ｐ ２．単位元Οの２倍算 Ｒ＝Ο＋Ο＝２Ο＝Ο ３．点Ｐと点−Ｐとの加算 Ｒ＝Ｐ−Ｐ＝Ο ４．点Ｐと点Ｑ（≠Ｐ）との加算 Ｒ＝Ｐ＋Ｑ＝（ｘ₂，ｙ₂） ｘ₂＝((ｙ₁−ｙ₀)／(ｘ₁−ｘ₀))²−ｘ₀−ｘ₁(ｍｏｄ
ｐ) ｙ₂＝((ｙ₁−ｙ₀)／(ｘ₁−ｘ₀))(ｘ₀−ｘ₁)−ｙ₀(ｍｏ
ｄ ｐ) ５．点Ｐの２倍算 Ｒ＝Ｐ＋Ｐ＝２Ｐ＝（ｘ₂，ｙ₂） ｘ₂＝((３ｘ₀ ²−ａ)／２ｙ₀)²−２ｘ₀ (ｍｏｄ ｐ) ｙ₂＝((３ｘ₀ ²−ａ)／２ｙ₀)(ｘ₀−ｘ₂)−ｙ₀（ｍｏｄ
ｐ） 〔点の三次元表現と演算〕上述の楕円曲線上の点の加算
は、もっとも基本的な方式であり、加算ごとに素体上の
逆数演算が必要となる。通常、素体上の逆数演算は大量
の処理が必要となるため、楕円曲線上の点を三次元表現
することで、逆数演算を行わずに加算処理を行う方式
が、D. V. ChudnovskyとG. V. Chudnovskyにより、"Seq
uences of Numbers Generated by Addition in Formal
Groups and New Primality and Factorization Tests",
Advances in Applied Mathematics, Vol. 7, 1986に提
案されている。このうち、ヤコビアン（Jacobian）座標
を用いれば、楕円曲線上の点は、（ｘ，ｙ）＝（Ｘ／Ｚ
²，Ｙ／Ｚ³）となる（Ｘ，Ｙ，Ｚ）に投影される。この
場合の点の加算および２倍算は、IEEE P1363に掲載され
ており、次のように示される。

【００１６】４’．点Ｐと点Ｑ（≠Ｐ）との加算 Ｒ＝Ｐ＋Ｑ＝（Ｘ₂，Ｙ₂，Ｚ₂） Ｕ₀＝Ｘ₀Ｚ₁ ² Ｕ₁＝Ｘ₁Ｚ₀ ² Ｓ₀＝Ｙ₀Ｚ₁ ³ Ｓ₁＝Ｙ₁Ｚ₀ ³ Ｗ＝Ｕ₀−Ｕ₁ Ｔ＝Ｕ₀＋Ｕ₁ Ｒ＝Ｓ₀−Ｓ₁ Ｍ＝Ｓ₀＋Ｓ₁ Ｖ＝ＴＷ²−２Ｘ₂ Ｘ₂＝Ｒ²−ＴＷ² Ｙ₂＝（ＶＲ−ＭＷ³）／２ Ｚ₂＝Ｚ₀Ｚ₁Ｗ ５’．点Ｐの２倍算 Ｒ＝Ｐ＋Ｐ＝２Ｐ＝（Ｘ₂，Ｙ₂，Ｚ₂） Ｍ＝３Ｘ₀ ²＋ａＺ₀ ⁴ Ｓ＝４Ｘ₀Ｙ₀ ² Ｔ＝８Ｙ₀ ⁴ Ｘ₂＝Ｍ²−２Ｓ Ｙ₂＝Ｍ（Ｓ−Ｘ₂）−Ｔ Ｚ₂＝２Ｙ₀Ｚ₀

【００１７】

【発明が解決しようとする課題】出願人は、特願平１０
−３１１３７９号に、ヤコビアン座標を用いた楕円曲線
上の点の演算を行う際に、演算途中の計算結果を利用し
て点の２倍算を連続実行するようにした素体上楕円曲線
上の点の演算方法を提案した。この演算方法のアルゴリ
ズムを下に示す。

【００１８】 ６．入力：（Ｘ₀，Ｙ₀，Ｚ₀）、べき値ｋ、楕円曲線パラメータａ 出力：（Ｘ_m，Ｙ_m，Ｚ_m）＝２^m（Ｘ₀，Ｙ₀，Ｚ₀） Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝４Ｘ₀Ｙ₀ ² Ｔ₀＝８Ｙ₀ ⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁＝Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝２Ｙ₀Ｚ₀ for （ｉ＝１；ｉ＜ｍ；ｉ＋＋） ｛ Ｗ_i＝２Ｔ_i-1Ｗ_i-1 Ｍ_i＝３Ｘ_i ²＋Ｗ_i Ｓ_i＝４Ｘ_iＹ_i ² Ｔ_i＝８Ｙ_i ⁴ Ｘ_i+1＝Ｍ_i ²−２Ｓ_i Ｙ_i+1＝Ｍ_i（Ｓ_i−Ｘ_i+1）−Ｔ_i Ｚ_i+1＝２Ｙ_iＺ_i ｝ この方法を用いることにより、２倍算が連続する場合の
乗算回数を削減することができる。IEEE P1363に記載さ
れているヤコビアン座標を用いた点の加算および２倍算
に必要な計算量および特願平１０−３１１３７９号にお
けるべき値ｍの場合のべき乗倍算に必要な計算量を表１
に示す。

【００１９】

【表１】

【００２０】ここで、加算系とは、加算、減算、２倍
算、１／２算、３倍算、４倍算、８倍算の総称である。
加算、減算、２倍算、１／２算の計算量を１とし、加算
と２倍算とを１回ずつ実行することで可能な３倍算およ
び２倍算を２回実行することで可能な４倍算の計算量を
２とし、２倍算を３回実行することで可能な８倍算の計
算量を３とする。

【００２１】点の２倍算が連続して行われる場合には、
IEEE P1363の方法では、１０×べき値ｍ回の乗算を必要
とするのに対して、特開平１０−３１１３７９号のもの
では８ｍ＋２回となり、べき値ｍが多くなればそれだけ
乗算回数が削減されることとなる。しかしながら、加算
系の演算回数については、べき値ｍが多くなるにつれて
むしろ増加してしまう。

【００２２】計算機において、加算系の演算処理は乗算
処理に比して非常に負担の小さい処理とされていたが、
ハードウェア乗算器を備えたプロセッサなどでは、乗算
処理と比較して加算系の処理が無視できるほど小さいも
のではない場合が多い。特に、ＤＳＰなどの高速なハー
ドウェア乗算器を持つプロセッサにおいて楕円曲線上の
点の加算、２倍算を高速に処理するためには、乗算回数
の最適化のみならず、加算系の回数の最適化が重要な課
題となる。

【００２３】本発明の目的は、素体上楕円曲線上の点を
３次元に投影したヤコビアン座標を用いることで逆数演
算を行うことなく加算処理を可能とし、かつ付加的な座
標を追加せずに高速な処理を可能とする素体上楕円曲線
上の点の演算方法およびその装置を提案することにあ
る。

【００２４】

【課題を解決するための手段】本発明は、ｙ²＝ｘ³＋ａ
ｘ＋ｂ（ｍｏｄ ｐ）で表される素体上楕円曲線上の点
（ｘ，ｙ）に乗数を乗算する際に、２進数系表現に変換
された前記乗数に基づいて２倍算処理および加算処理を
組み合わせて演算を行う方法であって、前記素体上楕円
曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／
Ｚ³）となるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換
し、２倍算処理を連続して行う場合には、その連続した
２倍算処理の時点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ
_t+1，Ｚ_t+1）を現在のヤコビアン座標（Ｘ_t，Ｙ_t，
Ｚ_t）を用いて、 Ｙ_t’＝２Ｙ_t Ｍ_t＝３Ｘ_t ²＋ａＺ_t ⁴ Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴／２ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1＝Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行うことを特徴とする素体上楕円曲線
上の点の演算方法である（ただし、計算式の記載順は、
計算順を特定するものではない）。

【００２５】ヤコビアン座標を用いた演算において、４
Ｙ²の演算を、４×Ｙ²として演算すると、乗算１回およ
び加算系２回の計算量を必要とする。これに対して、４
Ｙ²の演算を（２Ｙ）²として演算を行った場合、乗算１
回および加算系１回の計算量となり、前者の場合と比し
て加算系を１回削減することができる。上述した本発明
の演算方法では、Ｙ座標の２倍の値であるＹ’の値を先
に計算し、このＹ’の値を用いることによって、ヤコビ
アン座標の点の２倍算における加算系の回数を削減して
いる。

【００２６】また、本発明では、ｙ²＝ｘ³＋ａｘ＋ｂ
（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，
ｙ）に乗数を乗算する際に、２進数系表現に変換された
前記乗数に基づいて２倍算処理および加算処理を組み合
わせて演算を行う方法であって、前記素体上楕円曲線上
の点（ｘ，ｙ）を（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）と
なるヤコビアン座標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍
算処理を連続して行う場合には、初回は、 Ｙ₀’＝２Ｙ₀ Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝Ｘ₀（Ｙ₀’）² Ｔ₀＝（Ｙ₀’）⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝Ｙ₀’Ｚ₀ を演算し、２回目以降はその連続した２倍算処理の時点
（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を
現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、 Ｗ_t＝Ｔ_t-1Ｗ_t-1 Ｍ_t＝３Ｘ_t ²＋Ｗ_t Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／
２を演算することを特徴とする素体上楕円曲線上の点の
演算方法を提案する。

【００２７】従来の方法においては、Ｔ_t＝８Ｙ_t ⁴，Ｗ_t
＝ａＺ_t ⁴からＷ_t＝２Ｔ_t-1Ｗ_t-1を演算していたのに対
し、この方法を用いることによって、Ｔ_t＝（Ｙ_t’）⁴
＝１６Ｙ_t ⁴の演算結果を利用して、Ｗ_t＝Ｔ_t-1Ｗ_t-1＝
１６Ｙ_t ⁴Ｗ_tとして演算することができる。したがっ
て、Ｔ_tの２倍算が不要となり計算量を削減することが
可能となる。

【００２８】また、２倍算処理が連続する場合の従来の
演算方法では、（Ｘ₀，Ｙ₀，Ｚ₀）の２^t倍点（Ｘ_t，
Ｙ_t，Ｚ_t）から２^t+1倍点（Ｘ_t+1，Ｙ_t+1，Ｚ_t+1）を計
算していたが、上述の方法では、点（Ｘ_t，２Ｙ_t，
Ｚ_t）から点（Ｘ_t+1，２Ｙ_t+1，Ｚ_{t +1}）を計算すること
によって点の２のべき乗倍算ループ毎に必要なＹ座標の
２倍値の計算を削減することができ、初回のＹ₀→２Ｙ₁
の２倍算および最終回のＹ座標の１／２算が増加するも
のの、全体として計算量を削減することが可能となる。

【００２９】ここで、連続した２倍算処理の時点（ｔ＋
１）での演算処理において、前回の時点（ｔ）での演算
結果（Ｘ_t，Ｙ_t’，Ｚ_t）を求める際に用いたＷ_t-1＝ａ
Ｚ_{t- 1} ⁴とＴ_t-1＝Ｙ_t-1 ⁴とを用いて２倍算処理を行うと
ともに、この２倍算処理において求めたＷ_t＝ａＺ_t ⁴と
Ｔ_t＝（Ｙ_t’）⁴とを記憶するように構成できる。

【００３０】また、連続した２倍算処理の時点（ｔ＋
１）において、演算結果（Ｘ_t+1，Ｙ_{t +1}’，Ｚ_t+1）以
外の情報を出力しないように構成できる。

【００３１】本発明に係る素体上楕円曲線上の点の演算
装置は、記憶手段と、演算手段と、レジスタ群と、出力
手段とを備えている。記憶手段は、ｙ²＝ｘ³＋ａｘ＋ｂ
（ｍｏｄ ｐ）で表される素体上楕円曲線上の点（ｘ，
ｙ）に対応して（ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）とな
るヤコビアン座標表現とした点（Ｘ，Ｙ，Ｚ）および乗
数が格納される領域を有する。演算手段は、記憶手段に
格納された乗数を２進数系表現に変換し、この乗数に基
づいて前記ヤコビアン座標に２倍算処理または加算処理
と２倍算処理とを選択的に行って次のヤコビアン座標を
演算する。レジスタ群は、演算手段による演算処理にお
いて途中の情報を一時的に格納する。出力手段は、演算
手段により演算された次のヤコビアン座標を記憶手段に
出力する。しかして、演算手段により演算されて記憶手
段に記憶されたヤコビアン座標を用いて、前記乗数に基
づく演算を連続的に行うとともに、演算手段による演算
が連続する２倍算処理である場合には、初回は、 Ｙ₀’＝２Ｙ₀ Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝Ｘ₀（Ｙ₀’）² Ｔ₀＝（Ｙ₀’）⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝Ｙ₀’Ｚ₀ を演算し、２回目以降はその連続した２倍算処理の時点
（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を
現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、 Ｗ_t＝Ｔ_t-1Ｗ_t-1 Ｍ_t＝３Ｘ_t ²＋Ｗ_t Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／
２を演算することを特徴とする。

【００３２】この装置によれば、前述したような演算方
法を実現することができ、たとえば、２倍算処理を連続
して行う場合には、レジスタ群に残っているＷおよびＴ
の値を用いて演算を行うことによって演算回数を軽減す
ることが可能となり、演算を高速化することができる。

【００３３】

【発明の実施の形態】本発明に素体上楕円曲線上の点の
演算装置の１実施形態を図１を用いて説明する。

【００３４】この演算装置１は、通常のＣＰＵおよびメ
モリを搭載したコンピュータにより実現されるものであ
って、主に記憶手段２と演算部３とで構成される。

【００３５】記憶手段２は、楕円曲線上の点に対応する
ヤコビアン座標（Ｘ，Ｙ，Ｚ）や乗数ｋが格納される。

【００３６】演算部３は、ヤコビアン座標に変換された
楕円曲線上の点に乗数ｋを乗算する際に、バイナリーメ
ソッドやウィンドウメソッドなどを用いて２倍算処理ま
たは加算処理と２倍算処理を選択的に行って楕円曲線上
の点を次のヤコビアン座標として演算する演算手段４を
備えている。また、演算部３は、演算手段４における演
算に必要な入力変数を一時的に格納しておくレジスタ群
５を備えている。また、演算部３は、演算手段４の演算
結果を一時的に格納する演算結果出力用レジスタ６を備
えている。

【００３７】演算手段４では、記憶手段２に格納された
現時点でのヤコビアン座標（Ｘ_t，Ｙ_t，Ｚ_t）を２倍算
処理するか加算処理と２倍算処理とを行うかを、乗数ｋ
の値に基づいて選択し、演算処理を行う。

【００３８】加算処理を行う場合には、４’として示し
た前述のアルゴリズムと同様であり、ここでは省略す
る。 〔第１実施形態〕２倍算処理が連続する、いわゆる２の
べき乗倍算を行う際に、その連続した２倍算処理の時点
（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1，Ｚ_t+1）を現
在のヤコビアン座標（Ｘ_t，Ｙ_t，Ｚ_t）を用いて、 Ｙ_t’＝２Ｙ_t Ｍ_t＝３Ｘ_t ²＋ａＺ_t ⁴ Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴／２ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1＝Ｍ_t（Ｓ_t−Ｘ_t）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t とする第１のアルゴリズムの場合について考える。この
ときの処理を表すフローチャートを図２に示す。

【００３９】入力されるヤコビアン座標を（Ｘ₀，Ｙ₀，
Ｚ₀）、出力するヤコビアン座標を（Ｘ₁，Ｙ₁，Ｚ₁）と
し、計算過程におけるテンポラリ値を格納しておく場所
をレジスタ群Ｆ₁〜Ｆ₅とする。

【００４０】ステップＳ１００では、記憶手段２に格納
されている（Ｘ₀，Ｙ₀，Ｚ₀）および楕円パラメータａ
をレジスタ群５に読み出す。ステップＳ１０１では、２
×Ｙ ₀、Ｘ₀×Ｘ₀、Ｚ₀×Ｚ₀を演算し、演算結果をそれ
ぞれレジスタＦ₁、Ｆ₄、Ｆ₃に格納する。このとき、Ｆ₁
＝Ｙ₀’となっている。

【００４１】ステップＳ１０２では、レジスタＦ₃の値
を読み出してＦ₃×Ｆ₃を演算し、この演算結果をレジス
タＦ₃に再度格納する。さらに、レジスタＦ₄の値を読み
出して２×Ｆ₄を演算しこの演算結果をＦ₅に格納する。
ここでは、Ｆ₃＝Ｚ₀ ⁴、Ｆ₄＝２Ｘ₀ ²となっている。

【００４２】ステップＳ１０３では、レジスタＦ₃の値
を読み出してａ×Ｆ₃を演算しこの演算結果をレジスタ
Ｆ₂に格納する。さらに、レジスタＦ₄、Ｆ₅の値を読み
出してＦ₄＋Ｆ₅を演算しこの演算結果をレジスタＦ₄に
格納する。このとき、Ｆ₂＝ａＺ ₀ ⁴、Ｆ₄＝３Ｘ₀ ²となっ
ている。

【００４３】ステップＳ１０４では、レジスタＦ₄、Ｆ₂
の値を読み出してＦ₄＋Ｆ₂を演算しこの演算結果をレジ
スタＦ₄に格納する。このとき、Ｆ₄＝３Ｘ₀ ²＋ａＺ₀ ⁴＝
Ｍとなっている。

【００４４】ステップＳ１０５では、Ｚ₀の値とレジス
タＦ₁の値を読み出してＺ₀×Ｆ₁を演算しこの演算結果
をＺ₁として演算結果出力用レジスタ６に出力する。ま
た、レジスタＦ₁の値を読み出してＦ₁×Ｆ₁を演算しこ
の演算結果をレジスタＦ₃に格納する。このとき、Ｚ₁＝
Ｙ₀’Ｚ₀、Ｆ₃＝（Ｙ₀’）²となっている。

【００４５】ステップＳ１０６では、Ｘ₀の値とレジス
タＦ₃の値を読み出してＸ₀×Ｆ₃を演算しこの演算結果
をレジスタＦ₅に格納する。また、レジスタＦ₄の値を読
み出してＦ₄×Ｆ₄を演算しこの演算結果をレジスタＦ₁
に格納する。このとき、Ｆ₅＝Ｘ ₀×（Ｙ₀’）²＝Ｓ、Ｆ
₁＝Ｍ²となっている。

【００４６】ステップＳ１０７では、レジスタＦ₅の値
を読み出して２×Ｆ₅を演算しこの演算結果をＸ₁として
演算結果出力用レジスタ６に出力する。このとき、Ｘ₁
＝２Ｓになっている。

【００４７】ステップＳ１０８では、レジスタＦ₁の値
とＸ₁の値を読み出してＦ₁−Ｘ₁を演算しこの演算結果
をＸ₁として演算結果出力用レジスタ６に出力する。こ
のとき、Ｘ₁＝Ｍ²−２Ｓとなっている。

【００４８】ステップＳ１０９では、レジスタＦ₃の値
を読み出してＦ₃×Ｆ₃の演算を行いこの演算結果をレジ
スタＦ₁に格納する。また、レジスタＦ₅の値およびＸ₁
の値を読み出してＦ₅−Ｘ₁の演算を行いこの演算結果を
レジスタＦ₅に格納する。このとき、Ｆ₁＝（Ｙ₀’）⁴、
Ｆ₅＝Ｓ−Ｘ₁となっている。

【００４９】ステップＳ１１０では、レジスタＦ₁の値
を読み出してＦ₁／２の演算を行いこの演算結果をレジ
スタＦ₁に格納する。また、レジスタＦ₅、Ｆ₄の値を読
み出してＦ₅×Ｆ₄を演算しこの演算結果をＹ₁として演
算結果出力用レジスタ６に出力する。このとき、Ｆ₁＝
（Ｙ₀’）⁴／２＝８Ｙ₀ ⁴、Ｙ₁＝Ｍ（Ｓ−Ｘ₁）となって
いる。

【００５０】ステップＳ１１１では、Ｙ₁の値およびレ
ジスタＦ₁の値を読み出してＹ₁−Ｆ₁を演算しこの演算
結果をＹ₁として演算結果出力用レジスタ６に出力す
る。このとき、Ｙ₁＝Ｍ（Ｓ−Ｘ₁）−Ｔとなっている。

【００５１】最終的に演算された（Ｘ₁，Ｙ₁，Ｚ₁）は
記憶手段２に出力される。

【００５２】べき乗倍算がさらに続く場合には、この
（Ｘ₁，Ｙ₁，Ｚ₁）の値を入力（Ｘ₀，Ｙ₀，Ｚ₀）として
同じ動作を繰り返し行うことで続けて演算することが可
能である。 〔第２実施形態〕２倍算処理が連続する、いわゆる２の
べき乗倍算を行う際に、初回には、 Ｙ₀’＝２Ｙ₀ Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝Ｘ₀（Ｙ₀’）² Ｔ₀＝（Ｙ₀’）⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝Ｙ₀’Ｚ₀ を演算し、２回目以降にはその連続した２倍算処理の時
点（ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）
を現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、 Ｗ_t＝Ｔ_t-1Ｗ_t-1 Ｍ_t＝３Ｘ_t ²＋Ｗ_t Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／
２を演算する第２のアルゴリズムの場合について考え
る。このときの処理を表すフローチャートを図３に示
す。

【００５３】入力されるヤコビアン座標を（Ｘ₀，Ｙ₀，
Ｚ₀）、連続する２倍算の途中におけるヤコビアン座標
を（Ｘ_i，Ｙ_i，Ｚ_i）とし、計算過程におけるテンポラ
リ値を格納しておく場所をレジスタ群Ｆ₁〜Ｆ₅とする。

【００５４】ステップＳ２００では、記憶手段２に格納
されている（Ｘ₀，Ｙ₀，Ｚ₀）、べき数ｍおよび楕円パ
ラメータａをレジスタ群５に読み出す。ステップＳ２０
１では、連続した２倍算の演算回数をカウントするため
の計数ｉを初期化する。

【００５５】ステップＳ２０２では、点の２倍算ルーチ
ンを実行し、得られた（Ｘ_i，Ｙ_i，Ｚ_i）の値および
Ｆ₁、Ｆ₂の値をレジスタ群５内に出力する。

【００５６】ステップＳ２０３では、現在の連続２倍算
の演算回数ｉが今回行うべき数ｍに到達したか否かを判
別する。現在の連続２倍算の演算回数ｉが今回行うべき
数ｍに到達していない場合には、ステップＳ２０４に移
行する。ステップＳ２０４では、点の２倍算ループルー
チンを実行する。ここでは、レジスタ群５中の（Ｘ_i，
Ｙ_i，Ｚ_i）の値およびＦ₁、Ｆ₂の値を入力Ｘ₀，Ｙ₀，Ｚ
₀，Ｔ₀，Ｗ₀とし、演算の結果得られる値を再度（Ｘ_i，
Ｙ_i，Ｚ_i）、Ｆ₁、Ｆ₂の値としてレジスタ群５に出力す
る。

【００５７】ステップＳ２０５では、現在の連続２倍算
の演算回数ｉをインクリメントする。この後、ステップ
Ｓ２０３に移行する。

【００５８】ステップＳ２０３において、現在の連続２
倍算の演算回数ｉが今回行うべき数ｍに到達したと判断
した場合には、ステップＳ２０６に移行する。ステップ
Ｓ２０６では、レジスタ群５よりＹ_iの値を読み出して
Ｙ_i／２を演算しこの演算結果をＹ_iとしてレジスタ群５
に出力する。ステップＳ２０７では、（Ｘ_i，Ｙ_i，
Ｚ_i）の値を２^m（Ｘ₀，Ｙ₀，Ｚ₀）として演算結果出力
用レジスタ６に出力する。

【００５９】ステップＳ２０２における点の２倍算ルー
チンを図４に示す。

【００６０】ステップＳ３００では、記憶手段２に格納
されている（Ｘ₀，Ｙ₀，Ｚ₀）および楕円パラメータａ
をレジスタ群５に読み出す。

【００６１】ステップＳ３０１では、２×Ｙ₀、Ｘ₀×Ｘ
₀、Ｚ₀×Ｚ₀を演算し、演算結果をそれぞれレジスタ
Ｆ₁、Ｆ₄、Ｆ₃に格納する。このとき、Ｆ₁＝Ｙ₀’、Ｆ₄
＝Ｘ₀ ²、Ｆ₃＝Ｚ₀ ²となっている。

【００６２】ステップＳ３０２では、レジスタＦ₃の値
を読み出してＦ₃×Ｆ₃を演算し、この演算結果をレジス
タＦ₃に再度格納する。さらに、レジスタＦ₄の値を読み
出して２×Ｆ₄を演算しこの演算結果をＦ₅に格納する。
ここでは、Ｆ₃＝Ｚ₀ ⁴、Ｆ₅＝２Ｘ₀ ²となっている。

【００６３】ステップＳ３０３では、レジスタＦ₃の値
を読み出してａ×Ｆ₃を演算しこの演算結果をレジスタ
Ｆ₂に格納する。さらに、レジスタＦ₄、Ｆ₅の値を読み
出してＦ₄＋Ｆ₅を演算しこの演算結果をレジスタＦ₄に
格納する。このとき、Ｆ₂＝ａＺ ₀ ⁴＝Ｗ₀、Ｆ₄＝３Ｘ₀ ²
となっている。

【００６４】ステップＳ３０４では、レジスタＦ₄、Ｆ₂
の値を読み出してＦ₄＋Ｆ₂を演算しこの演算結果をレジ
スタＦ₄に格納する。このとき、Ｆ₄＝３Ｘ₀ ²＋ａＺ₀ ⁴＝
Ｍ₀となっている。

【００６５】ステップＳ３０５では、Ｚ₀の値とレジス
タＦ₁の値を読み出してＺ₀×Ｆ₁を演算しこの演算結果
をＺ_iとして演算結果出力用レジスタ６に出力する。ま
た、レジスタＦ₁の値を読み出してＦ₁×Ｆ₁を演算しこ
の演算結果をレジスタＦ₃に格納する。このとき、Ｚ_i＝
Ｙ₀’Ｚ₀、Ｆ₃＝（Ｙ₀’）²となっている。

【００６６】ステップＳ３０６では、Ｘ₀の値とレジス
タＦ₃の値を読み出してＸ₀×Ｆ₃を演算しこの演算結果
をレジスタＦ₅に格納する。また、レジスタＦ₄の値を読
み出してＦ₄×Ｆ₄を演算しこの演算結果をレジスタＦ₁
に格納する。このとき、Ｆ₅＝Ｘ ₀×（Ｙ₀’）²＝Ｓ₀、
Ｆ₁＝Ｍ₀ ²となっている。

【００６７】ステップＳ３０７では、レジスタＦ₅の値
を読み出して２×Ｆ₅を演算しこの演算結果をＸ_iとして
演算結果出力用レジスタ６に出力する。このとき、Ｘ_i
＝２Ｓ ₀になっている。

【００６８】ステップＳ３０８では、レジスタＦ₁の値
とＸ_iの値を読み出してＦ₁−Ｘ_iを演算しこの演算結果
をＸ_iとして演算結果出力用レジスタ６に出力する。こ
のとき、Ｘ_i＝Ｍ₀ ²−２Ｓ₀となっている。

【００６９】ステップＳ３０９では、レジスタＦ₃の値
を読み出してＦ₃×Ｆ₃の演算を行いこの演算結果をレジ
スタＦ₁に格納する。また、レジスタＦ₅の値およびＸ_i
の値を読み出してＦ₅−Ｘ_iの演算を行いこの演算結果を
レジスタＦ₅に格納する。このとき、Ｆ₁＝（Ｙ₀’）⁴＝
Ｔ₀、Ｆ₅＝Ｓ−Ｘ_iとなっている。

【００７０】ステップＳ３１０では、レジスタＦ₅、Ｆ₄
の値を読み出してＦ₅×Ｆ₄の演算を行いこの演算結果を
Ｙ_iとして演算結果出力用レジスタ６に出力する。この
とき、Ｙ_i＝Ｍ₀（Ｓ₀−Ｘ_i）となっている。

【００７１】ステップＳ３１１では、Ｙ_iの値を読み出
して２×Ｙ_iを演算しこの演算結果をＹ_iとして演算結果
出力用レジスタ６に出力する。このとき、Ｙ_i＝２Ｍ
₀（Ｓ₀−Ｘ_i）となっている。

【００７２】ステップＳ３１２では、Ｙ_iの値およびレ
ジスタＦ₁の値を読み出してＹ_i−Ｆ₁を演算しこの演算
結果をＹ_iとして演算結果出力用レジスタ６に出力す
る。このとき、Ｙ_i＝２Ｍ₀（Ｓ₀−Ｘ_i）−Ｔ₀となって
いる。

【００７３】ステップＳ３１３では、最終的に演算され
たＸ_i，Ｙ_i，Ｚ_i，Ｆ₁，Ｆ₂を記憶手段２に出力する。
このあと、メインルーチンに復帰する。

【００７４】この点の２倍算ルーチンでは、連続する２
倍算の初回において、Ｙ₀’＝２Ｙ₀およびＷ₀＝ａＺ₀ ⁴
を演算し、これらに基づいて演算した結果、出力される
（Ｘ_i，Ｙ_i，Ｚ_i）の値は、実際のヤコビヤン座標
（Ｘ₁，Ｙ₁，Ｚ₁）に対して（Ｘ₁，２Ｙ₁，Ｚ₁）となっ
ている。

【００７５】ステップＳ２０４の点の２倍算ループルー
チンについて、図５により説明する。この２倍算ループ
ルーチンでは、実際のヤコビヤン座標を（Ｘ_t，Ｙ_t，Ｚ
_t）とすると、（Ｘ_t，２Ｙ_t，Ｚ_t）を入力として（Ｘ
_t+1，２Ｙ_t+1，Ｚ_t+1）を演算してこれを出力としてい
る。

【００７６】ステップＳ４００では、記憶手段２に格納
されている（Ｘ_i，Ｙ_i，Ｚ_i）およびレジスタＦ₁（＝Ｔ
_i-1）、Ｆ₂（＝Ｗ_i-1）の値を入力として読み出す。

【００７７】ステップＳ４０１では、Ｆ₁×Ｆ₂を演算し
その演算結果をレジスタＦ₂に格納する。また、Ｘ_i×Ｘ
_iを演算しその演算結果をレジスタＦ₃に格納する。この
とき、Ｆ₂＝Ｗ_i、Ｆ₃＝Ｘ_i ²となっている。

【００７８】ステップＳ４０２では、レジスタＦ₃の値
を読み出して２×Ｆ₃を演算しこの演算結果をＦ₅に格納
する。ここでは、Ｆ₄＝２Ｘ_i ²となっている。

【００７９】ステップＳ４０３では、レジスタＦ₅、Ｆ₃
の値を読み出してＦ₅＋Ｆ₃を演算しこの演算結果をレジ
スタＦ₅に格納する。このとき、Ｆ₅＝３Ｘ_i ²となってい
る。

【００８０】ステップＳ４０４では、レジスタＦ₂、Ｆ₅
の値を読み出してＦ₂＋Ｆ₅を演算しこの演算結果をレジ
スタＦ₅に格納する。このとき、Ｆ₅＝３Ｘ_i ²＋Ｗ_i＝Ｍ_i
となっている。

【００８１】ステップＳ４０５では、Ｙ_i，Ｚ_iの値を読
み出してＹ_i×Ｚ_iを演算しこの演算結果をＺ_iとして演
算結果出力用レジスタ６に出力する。また、Ｙ_i×Ｙ_iを
演算しこの演算結果をレジスタＦ₄に格納する。ここで
は、入力されるＸ_i，Ｙ_i，Ｚ_iに対してＺ_i+1を演算して
Ｚ_iとして出力しており、演算としてはＺ_i+1＝Ｙ_i’Ｚ _i
を実行したこととなる。また、レジスタＦ₄に格納され
る値は、Ｆ₄＝（Ｙ_i’） ²となっている。

【００８２】ステップＳ４０６では、Ｘ_iの値とレジス
タＦ₄の値を読み出してＸ_i×Ｆ₄を演算しこの演算結果
をレジスタＦ₃に格納する。また、レジスタＦ₅の値を読
み出してＦ₅×Ｆ₅を演算しこの演算結果をレジスタＦ₁
に格納する。このとき、Ｆ₃＝Ｘ _i×（Ｙ_i’）²＝Ｓ_i、
Ｆ₁＝Ｍ_i ²となっている。

【００８３】ステップＳ４０７では、レジスタＦ₃の値
を読み出して２×Ｆ₃を演算しこの演算結果をＸ_iとして
演算結果出力用レジスタ６に出力する。ここでは、入力
されるＸ_i，Ｙ_i，Ｚ_iに対してＸ_i+1を演算してＸ_iとし
て出力しており、演算としてはＸ_i+1＝２Ｓ_iを実行した
こととなる。

【００８４】ステップＳ４０８では、レジスタＦ₁の値
とＸ_iの値を読み出してＦ₁−Ｘ_iを演算しこの演算結果
をＸ_iとして演算結果出力用レジスタ６に出力する。こ
のとき、Ｘ_i+1＝Ｍ_i ²−２Ｓ_iを演算したこととなる。

【００８５】ステップＳ４０９では、レジスタＦ₄の値
を読み出してＦ₄×Ｆ₄の演算を行いこの演算結果をレジ
スタＦ₁に格納する。また、レジスタＦ₃の値およびＸ_i
の値を読み出してＦ₃−Ｘ_iの演算を行いこの演算結果を
レジスタＦ₃に格納する。このとき、Ｆ₁＝（Ｙ_i’）⁴＝
Ｔ_i、Ｆ₃＝Ｓ_i−Ｘ_iとなっている。

【００８６】ステップＳ４１０では、レジスタＦ₅、Ｆ₃
の値を読み出してＦ₅×Ｆ₃の演算を行いこの演算結果を
Ｙ_iとして演算結果出力用レジスタ６に出力する。ここ
では、入力されるＸ_i，Ｙ_i，Ｚ_iに対してＹ_i+1を演算し
てＹ_iとして出力しており、演算としてはＹ_i+1＝Ｍ
_i（Ｓ_i−Ｘ_i+1）を実行したこととなる。

【００８７】ステップＳ４１１では、Ｙ_iの値を読み出
して２×Ｙ_iを演算しこの演算結果をＹ_iとして演算結果
出力用レジスタ６に出力する。このとき、Ｙ_i+1＝２Ｍ_i
（Ｓ_i−Ｘ_i+1）を演算したこととなる。

【００８８】ステップＳ４１２では、Ｙ_iの値およびレ
ジスタＦ₁の値を読み出してＹ_i−Ｆ₁を演算しこの演算
結果をＹ_iとして演算結果出力用レジスタ６に出力す
る。このとき、Ｙ_i+1＝２Ｍ_i（Ｓ_i−Ｘ_i+1）−Ｔ_iを演
算したこととなる。

【００８９】ステップＳ４１３では、最終的に演算され
たＸ_i，Ｙ_i，Ｚ_i，Ｆ₁，Ｆ₂を記憶手段２に出力する。
このあと、メインルーチンに復帰する。

【００９０】素体上楕円曲線上の点の演算に関して、そ
の計算量を従来例による場合と本発明による場合とで比
較したものを表２に示す。

【００９１】

【表２】

【００９２】点の２倍算の場合には、本発明の第１実施
形態を採用することができる。この場合には、IEEE P13
63に記載されている従来例の場合と乗算回数は同じであ
るが、加算系の演算回数を１３回から９回に削減でき
る。

【００９３】また、点の２^m倍算の場合には、本発明の
第２実施形態を採用することができる。このとき、特願
平１０−３１１３７９号に記載の従来例の場合と同様に
乗算回数は８ｍ＋２となる。しかしながら、加算系の演
算回数が従来例の場合、１４ｍ−１回であるのに対し、
本発明の方法では８ｍ＋２回となり、大幅に計算量を削
減することができる。

【００９４】本発明の第２実施形態の方法を、ＤＳＰ
（テキサスインスツルメンツ社製ＴＭＳ３２０Ｃ６ｘ）
に実装したところ、特願平１０−３１１３７９号に記載
の従来の方法に比して、楕円曲線上の任意点のスカラー
倍算が６％高速化することがでい、この結果楕円曲線暗
号を用いたＤＳＡ署名確認処理が従来法よりも５％高速
化された。

【００９５】

【発明の効果】本発明によれば、素体上楕円曲線上の点
の演算において、加算系の演算処理を削減することがで
き、特に、２倍算処理が連続する場合に計算量を削減
し、楕円曲線上の点のスカラー倍算を行った場合、演算
の高速化を図ることが可能となる。

【図面の簡単な説明】

【図１】本発明の１実施形態の制御ブロック図。

【図２】第１実施形態の制御フローチャート。

【図３】第２実施形態の制御フローチャート。

【図４】２倍算ルーチンの制御フローチャート。

【図５】２倍算ループルーチンの制御フローチャート。

【符号の説明】

１ 演算装置 ２ 記憶手段 ３ 演算部 ４ 演算手段 ５ レジスタ群 ６ 演算結果出力用レジスタ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 鳥居 直哉 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 天満 尚二 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 栗原 靖 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5J104 AA25 JA25 NA16 9A001 BB02 EE03 GG21 KK26

Claims (5)

【特許請求の範囲】
1. 【請求項１】ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表さ
   れる素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する
   際に、２進数系表現に変換された前記乗数に基づいて２
   倍算処理および加算処理を組み合わせて演算を行う方法
   であって、 前記素体上楕円曲線上の点（ｘ，ｙ）を（ｘ，ｙ）＝
   （Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現（Ｘ，
   Ｙ，Ｚ）に変換し、２倍算処理を連続して行う場合に
   は、その連続した２倍算処理の時点（ｔ＋１）での演算
   結果（Ｘ_t+1，Ｙ_t+1，Ｚ_t+1）を現在のヤコビアン座標
   （Ｘ_t，Ｙ_t，Ｚ_t）を用いて、 Ｙ_t’＝２Ｙ_t Ｍ_t＝３Ｘ_t ²＋ａＺ_t ⁴ Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴／２ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1＝Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行うことを特徴とする素体上楕円曲線
   上の点の演算方法。
2. 【請求項２】ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表さ
   れる素体上楕円曲線上の点（ｘ，ｙ）に乗数を乗算する
   際に、２進数系表現に変換された前記乗数に基づいて２
   倍算処理および加算処理を組み合わせて演算を行う方法
   であって、前記素体上楕円曲線上の点（ｘ，ｙ）を
   （ｘ，ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座
   標表現（Ｘ，Ｙ，Ｚ）に変換し、２倍算処理を連続して
   行う場合には、初回は、 Ｙ₀’＝２Ｙ₀ Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝Ｘ₀（Ｙ₀’）² Ｔ₀＝（Ｙ₀’）⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝Ｙ₀’Ｚ₀ を演算し、２回目以降はその連続した２倍算処理の時点
   （ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を
   現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、 Ｗ_t＝Ｔ_t-1Ｗ_t-1 Ｍ_t＝３Ｘ_t ²＋Ｗ_t Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／
   ２を演算することを特徴とする素体上楕円曲線上の点の
   演算方法。
3. 【請求項３】連続した２倍算処理の時点（ｔ＋１）での
   演算処理において、前回の時点（ｔ）での演算結果（Ｘ
   _t，Ｙ_t’，Ｚ_t）を求める際に用いたＷ_t-1＝ａＺ_t-1 ⁴と
   Ｔ_{t- 1}＝（Ｙ_t-1’）⁴とを用いて２倍算処理を行うとと
   もに、この２倍算処理において求めたＷ_t＝ａＺ_t ⁴とＴ_t
   ＝（Ｙ_t’）⁴とを記憶しておくことを特徴とする、請求
   項２に記載の素体上楕円曲線上の点の演算方法。
4. 【請求項４】連続した２倍算処理の時点（ｔ＋１）にお
   いて、演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）以外の情報
   を出力しないことを特徴とする、請求項２または３に記
   載の素体上楕円曲線上の点の演算方法。
5. 【請求項５】ｙ²＝ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ）で表さ
   れる素体上楕円曲線上の点（ｘ，ｙ）に対応して（ｘ，
   ｙ）＝（Ｘ／Ｚ²，Ｙ／Ｚ³）となるヤコビアン座標表現
   とした点（Ｘ，Ｙ，Ｚ）および乗数が格納される領域を
   有する記憶手段と、 前記記憶手段に格納された乗数を２進数系表現に変換
   し、この乗数に基づいて前記ヤコビアン座標に２倍算処
   理または加算処理と２倍算処理とを選択的に行って次の
   ヤコビアン座標を演算する演算手段と、 前記演算手段による演算処理において途中の情報を一時
   的に格納するレジスタ群と、 前記演算手段により演算された次のヤコビアン座標を前
   記記憶手段に出力する出力手段と、 を備え、前記演算手段により演算されて前記記憶手段に
   記憶されたヤコビアン座標を用いて、前記乗数に基づく
   演算を連続的に行うとともに、前記演算手段による演算
   が連続する２倍算処理である場合には、初回は、 Ｙ₀’＝２Ｙ₀ Ｗ₀＝ａＺ₀ ⁴ Ｍ₀＝３Ｘ₀ ²＋Ｗ₀ Ｓ₀＝Ｘ₀（Ｙ₀’）² Ｔ₀＝（Ｙ₀’）⁴ Ｘ₁＝Ｍ₀ ²−２Ｓ₀ Ｙ₁’＝２Ｍ₀（Ｓ₀−Ｘ₁）−Ｔ₀ Ｚ₁＝Ｙ₀’Ｚ₀ を演算し、２回目以降はその連続した２倍算処理の時点
   （ｔ＋１）での演算結果（Ｘ_t+1，Ｙ_t+1’，Ｚ_t+1）を
   現在の座標（Ｘ_t，Ｙ_t’，Ｚ_t）を用いて、 Ｗ_t＝Ｔ_t-1Ｗ_t-1 Ｍ_t＝３Ｘ_t ²＋Ｗ_t Ｓ_t＝Ｘ_t（Ｙ_t’）² Ｔ_t＝（Ｙ_t’）⁴ Ｘ_t+1＝Ｍ_t ²−２Ｓ_t Ｙ_t+1’＝２Ｍ_t（Ｓ_t−Ｘ_t+1）−Ｔ_t Ｚ_t+1＝Ｙ_t’Ｚ_t として演算処理を行い、最終回には、Ｙ_t+1＝Ｙ_t+1’／
   ２を演算することを特徴とする素体上楕円曲線上の点の
   演算装置。