JP2000512786A - モジュラ乗算を行なうためのコプロセッサ - Google Patents

Abstract

(57)【要約】 モジュラ乗算を行なうためのコプロセッサ（図２）は、ＢおよびＮの２進データストリーム（ｂｓｔｒ，ｎｓｔｒ）を受けるための手段、データ値Ａを受けるための手段、加算手段（Ａｄｄ１，Ａｄｄ２）、減算手段（Ｓｕｂ１，Ｓｕｂ２，Ｓｕｂ３）および乗算手段（Ｍｕｌ１，Ｍｕｌ２）を具備し、これらは順次ＢおよびＮの２進データストリームおよびデータ値Ａを処理してモジュロ縮小された乗算値（Ａ＊Ｂ）ｍｏｄ Ｎを生成し、前記コプロセッサはさらにＢおよびＮの２進データストリームの各々を前記２進データストリームのそれぞれの交互のビットを備えた成分データストリームへと分割するための分割手段（図５Ａ）を具備し、かつ前記加算手段（図３）、減算手段および乗算手段は前記成分データストリームを並列に処理するよう配列されている。

Description

【発明の詳細な説明】 モジュラ乗算を行なうためのコプロセッサ 発明の分野 この発明は一般的にはモジュラ乗算（ｍｏｄｕｌａｒ ｍｕｌｔｉｐｌｉｃａ ｔｉｏｎ）を行なうためのコプロセッサ（ｃｏ−ｐｒｏｃｅｓｓｏｒ）に関し、 かつ特定的には、排他的ではないが、モンゴメリ・リダクション・アルゴリズム （Ｍｏｎｔｇｏｍｅｒｙ Ｒｅｄｕｃｔｉｏｎ Ａｌｇｏｒｉｔｈｍ）を実施す るためのコプロセッサに関する。 発明の背景 モジュラ乗算はＲＳＡ暗号のような暗号方法を実施する上で広く使用されてい る。 モンゴメリ・アルゴリズムはモジュラ乗算を行なうための最も効率的な技術の １つである。これを用いることは計算時間を最小にするために高い性能が要求さ れる場合に特に効率的である。 モンゴメリの証明（Ｍｏｎｔｇｏｍｅｒｙ ｐｒｏｏｆ）は付属書類１に与え られており、かつモンゴメリ・リダク ション・アルゴリズムは以下に概略を説明する。 〈モンゴメリ・アルゴリズム〉 Ａ・Ｂに関してＰ演算子を規定するために、以下に概略を示すプロセスに従う 。 （１）Ｘ＝Ａ・Ｂ＋Ｓ｛Ｓは始めはゼロ｝ （２）Ｙ＝（Ｘ・Ｊ）ｍｏｄ２ⁿ（この場合、Ｊは予め計算された定数である ） （３）Ｚ＝Ｘ＋Ｙ・Ｎ （４）Ｓ＝Ｚ／２ⁿ （５）Ｐ＝Ｓ（ｍｏｄＮ）（もしＳ≧Ｎであれば、ＮがＳから減算される） したがって、Ｐ＝Ｐ（Ａ・Ｂ）_N（モンゴメリフィールドの数における結果） スマートカードが取引の間の高いレベルの保安性を保証する手段として使用さ れる財務または金融の用途においては、パブリックキーまたは公開鍵（Ｐｕｂｌ ｉｃ Ｋｅｙ）暗号法が益々普及してきている。パブリックキー暗号法は伝統的 な対称（ｓｙｍｍｅｔｒｉｃ）あるいはプライベイトキーまたは秘密鍵（ｐｒｉ ｖａｔｅ ｋｅｙ）方法よりも高いレベルの保護を提供するが、最近まで実施す るのが高価であった。技術の進歩は今やそのような方法の実施をコスト効率のよ いものにしている。ＲＳＡパブリックキー 能力はスマートカードのマイクロコントローラ内に設計されており、該マイクロ コントローラはまた各々５１２ビットの長さのオペランドに対してモジュラ乗算 を行なうよう特に設計されたオンチップのコプロセッサを含む。前記コプロセッ サはＲＯＭ内にまたはＥＥＰＲＯＭ内に記憶されたプログラムによってソフトウ ェアの制御の下に前記マイクロコントローラのＣＰＵによって直接ドライブされ る。除算プロセスなしにモジュラ縮小またはモジュラ・リダクションのためのモ ンゴメリ・アルゴリズムを実施するそのようなコプロセッサはヨーロッパ特許公 報ＥＰ−０６０１９０７−Ａから知られている。 後に詳細に説明するように、そのような知られたコプロセッサは数多くの不都 合を有する。 図面の簡単な説明 モンゴメリ・リダクション・アルゴリズムを実施するためにモジュラ乗算を行 なうための１つのコプロセッサにっき、実例のみにより、添付の図面を参照して 説明する。添付の図面においては、 図１は、モンゴメリ・リダクション・アルゴリズムを実施するためにモジュラ 乗算を行なうための知られた、従来技術のコプロセッサのブロック回路図を示す 。 図２は、モンゴメリ・リダクション・アルゴリズムを実 施するためにモジュラ乗算を行なうための新規な、改善されたコプロセッサのブ ロック回路図を示す。 図３は、図２のコプロセッサにおいて使用されるビット対加算器段のブロック 回路図を示す。 図４は、図２のコプロセッサにおいて使用される乗算器および関連する回路の ブロック回路図を示す。 図５Ａは、並列−直列インタフェースを使用するランダムアクセスメモリから 構成要素の直列ビットストリームを発生するために図２のコプロセッサにおいて 使用される構成のブロック回路図を示す。 図５Ｂは、図２のコプロセッサにおいて使用されるデュアルポートのレジスタ 構成のブロック回路図を示す。 図６は、自動インデクスポインタ（ａｕｔｏ−ｉｎｄｅｘｉｎｇ ｐｏｉｎｔ ｅｒ）を使用する直接累乗法のための図２のコプロセッサにおいて使用される構 成のブロック回路図を示す。 図７は、中国の剰余定理（Ｃｈｉｎｅｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒ ｅｍ）を実施する上で、図２のコプロセッサの使用を説明するブロック回路図を 示す。 好ましい実施形態の詳細な説明 〈知られたコプロセッサの動作〉 図１は、フルモード５１２ビットおよびハーフモード２５６ビットのオペラン ドの双方に対するモンゴメリ・アル ゴリズムを行なうためのコプロセッサの知られた、従来技術のハードウェア構成 の図を示す。 この図は基本的に３つの５１２ビットのクロックド・シフトレジスタおよび２ つの並列−直列乗算器を具備する実行ユニットを示す。 前記Ｂの値およびモジュラス（ｍｏｄｕｌｕｓ）ＮはそれぞれＢおよびＮレジ スタへと予めロードされる。レジスタＳは５１２クロックサイクルの各々のロー テーション（ｒｏｔａｔｉｏｎ）の後に中間結果を記憶するために使用される。 始めに、このレジスタはクリアされることになる。予め計算されたモンゴメリ定 数、Ｊ₀は３２ビットのシフトレジスタを介してコプロセッサへとロードされか つラッチ２においてラッチされる。 Ａの値は一度に４バイト（３２ビット）でマルチプレクサＭ２＿１；２を介し てシフトされかつラッチ１にラッチされる。Ｂレジスタにおける値は一度に１ビ ットずつ第１の並列−直列乗算器ＭＬ１へと直列的にクロッキングされる。この 乗算器の出力は、ノードｎ_Aにおいて、値Ａ_i＊Ｂである。この値Ａ_i＊Ｂは次に 加算器Ａｄ１においてレジスタＳに記憶された中間値に加算されて値Ｘ＝Ａ_i＊ Ｂ＋Ｓを生成する。 最初の３２クロックサイクルに対しては、Ｘの値の最初の３２ビットの部分は マルチプレクサＭ３＿１；４を介して第２の並列−直列乗算器ＭＬ２へと供給さ れ、そこで値 Ｊ₀によって乗算される。ノードｎ_DにおけるＭＬ２からの出力は値Ｙ₀＝Ａ＊Ｂ ＊Ｊ₀である。Ｙ₀は３２ビットのシフトレジスタを介してフィードバックされか つマルチプレクサＭを介してラッチ２にラッチされる。 最初の３２クロックサイクルの後に、マルチプレクサＭ３＿１；４は切り替わ りかつモジュラスＮを乗算器ＭＬ２へと供給し、そこでＮはＹ₀によって乗算さ れて値Ｙ₀Ｎを生成する。この値は次に、次の５４４クロックサイクルにわたり 、加算器Ａｄ２においてＸと加算されて値Ｚ＝Ｘ＋Ｙ₀＊Ｎを生成する。この計 算の最後の３２ビットはゼロでありかつ５１２の最上位ビットのみがＳレジスタ へとセーブし戻される。これは１つの全ローテーションを完了させる。 ３２ビットの乗算を使用して、１６のローテーションが全５１２ビット×５１ ２ビットの乗算を行なうために必要とされ、これによって次式が求められる。 Ｐ＝Ａ・Ｂ・Ｉ（ｍｏｄＮ）＝Ｐ（Ａ・Ｂ）_N （モンゴメリ・フィールドの数の結果） 必要とされる結果Ｐを回復するためにＰはＨ（予め計算されたモンゴメリ定数 ）によって乗算されて次式で示される実数のフィールドの結果を与える。 Ｒ＝Ａ・Ｂ（ｍｏｄＮ）＝Ｐ（Ｐ−Ｈ）_N 〈ＲＳＡパブリックキー暗号法〉 ＲＳＡパブリックキーまたは公開鍵暗号システムを実施するためには形式Ｍ^d （ｍｏｄＮ）の値を計算することを必要とし、この場合指数ｄはｎビットまでの 長さとすることができる（ｎはＮにおける２進デジットの数）。これは順次取り 入れられる前記指数値ｄの各ビットの値に応じて反復された２乗操作または演算 および乗算操作または演算を行なうことによって達成される。５１２ビットの指 数に対しては、ほぼ７６８のモジュラ操作または演算が必要とされる。これは２ ０ＭＨｚのクロックレートで５１２ビットのＲＳＡ署名（ｓｉｇｎａｔｕｒｅ） に対して以下のような性能計算につながる。 ｔ_rsa＝ （５４４＊１６＊５０＊７６８）＊１０^-6ｍＳ ｔ_rsa＝３３４．２３ｍＳ 〈知られたコプロセッサ・アーキテクチャの不都合〉 図１に示された知られたコプロセッサ・アーキテクチャはマイクロコントロー ラと共に単一のシリコンチップ上に集積される。該コプロセッサは直接ＲＯＭま たはＥＥＰＲＯＭに記憶されたプログラムによってソフトウェアの制御 の下でマイクロコントローラのＣＰＵによってドライブされる。そのような知ら れたコプロセッサの構成は数多くの欠点を有する。 ＊コプロセッサの性能はソフトウェアドライバとの相互作用により大幅に制限 される。 ＊ＣＰＵは計算の間にＡ_i値を提供するＣＰＵに対するコプロセッサの依存性 によって制限される。 ＊固定長さのクロックド・シフトレジスタはコプロセッサを柔軟性のないもの にする。固定された５１２または２５６ビットのキー長さより小さいビット長さ を効率的に処理することは可能ではない。さらに、ローテーションごとに５４４ または２８８クロックサイクルを必要とする。 ＊コプロセッサは５１２ビットの固定されたレジスタ長さを有するから、５１ ２ビットより大きなキー長さを取り扱うことは手に負えないかまたは非実用的に なる。これは５１２ビットより大きなキー長さに対して高いＣＰＵオーバヘッド につながる（以下の表１のタイミングを参照）。 ＊コプロセッサは固定長さの、クロックド・シフトレジスタを使用するから、 データがコプロセッサに対しタイムリーな様式でＲＡＭからロードされかつアン ロードされなければならない。これはＣＰＵのオーバヘッドを伴ないかつＣＰＵ がコプロセッサに充分高速で供給できないいくつかの場合にデータの窮乏（ｄａ ｔａ ｓｔａｒｖａｔｉｏ ｎ）につながり得る。これは特にコプロセッサがハーフモードで動作しておりか つ中国の剰余定理（Ｃｈｉｎｅｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ：Ｃ ＲＴ）を使用して計算を行なう場合に当てはまる。 ＊３つの５１２ビットのシフトレジスタをクロッキングすることは高い電力消 費につながり、かつクロック周波数を上昇させることにより計算機的な性能の増 大が試みられる場合に特にクロッキング機構に関して困難な設計上の問題につな がる。 ＊モジュラ累乗（ｍｏｄｕｌａｒ ｅｘｐｏｎｅｎｔｉａｔｉｏｎ）が必要と される場合のＲＳＡパブリックキー署名／真正証明機構において、現在のアーキ テクチャは累乗プロセスを制御するためにＣＰＵの直接的な介入を必要とする。 ＊前記コプロセッサは、２進デジットがクロック周期ごとに一度に１ビットず つ１ビット加算器、減算器および３２ビット×１ビット並列−直列乗算器を通し て直列的にシフトされる点で単一の直列ループ設計である。 ＊ＲＳＡ署名（ＲＳＡ ｓｉｇｎａｔｕｒｅ）を発生するために、もしＮの素 因数（ｐｒｉｍｅ ｆａｃｔｏｒｓ）（ｐおよびｑ）が知られておれば、計算時 間を実質的にスピードアップするために中国の剰余定理（ＣＲＴ）を使用するこ とが可能である。付属書類２は中国の剰余定理を説明しかつそのＲＳＡへの適用 を詳細に示している。現在の アーキテクチャは単にモジュラ乗算でありかつＣＲＴの容易な実施を可能にしな い。結果として、実質的なＣＰＵのオーバヘッドがＣＲＴを使用する利点を否定 する傾向にある。 中国の剰余定理を使用した異なる長さの署名を処理する知られたコプロセッサ の構成に対する典型的な性能時間（ＣＰＵ時間、コプロセッサ時間および合計時 間）は次の通りである。 〈新しい、改善されたコプロセッサ〉 次に図２を参照すると、示された新しいコプロセッサは、上に述べた、知られ たコプロセッサの不都合を克服するために改善された性能および柔軟性を提供す る。改善を与え る新しいコプロセッサの特徴は以下に詳細に説明する（説明は典型的には都合上 ５１２ビットの計算に言及する）。 〈ビット対計算〉 新しいコプロセッサはビット対（ｂｉｔ−ｐａｉｒ）乗算、加算および減算を 使用する。図１のコプロセッサにおけるような単一の直列ループクロッキング機 構を使用する代わりに、新しい改善されたコプロセッサにおいては直列ビットス トリームがクロック周期ごとに一度に２ビット調べられる。 以下に詳細に説明するように、各々の直列ビットストリームは２つの（奇数お よび偶数の）成分のビットストリームへと分割され（発出する（ｏｒｉｇｉｎａ ｔｉｎｇ）直列ビットストリームからのビットがそれぞれ交互に２つの成分の直 列ビットストリームへと供給され）かつ前記２つの成分のビットストリームは並 列に処理され、１ビットが前記成分のビットストリームの各々によって同時に提 供されて計算のためのビット対を形成する。これは加算器、減算器および並列− 直列乗算器が一度に２ビットを評価しまたは値を求めかつ結果を計算することを 意味する。アーキテクチャのこの変化は直ちに同じクロック周波数に対して性能 を倍化する。直接の利点は計算機的なスループットが対応する電力消費の倍化な しにほぼ２倍にされることである。 次に図３をも参照すると（新しいコプロセッサのビット対乗算器、加算器およ び減算器の基礎を形成するビット対加算器３００を示している）、新しいコプロ セッサのビット対乗算、加算および減算は次のように行なわれる。 始めに、加算器の各要素がゼロにセットされる。 奇数（ｏｄｄ）データストリームからのビットＡ_OおよびＢ_Oがキャリーセイブ ・ハーフアダー（ｃａｒｒｙ−ｓａｖｅ ｈａｌｆ−ａｄｄｅｒ）３１０におい て加算されてそれぞれ奇数合計および奇数キャリー出力Ｓ_OおよびＣ_Oを生成する 。 偶数（ｅｖｅｎ）データストリームからのビットＡ_EおよびＢ_Eがキャリーセイ ブ・フルアダー（ｃａｒｒｙ−ｓａｖｅ ｆｕｌｌ−ａｄｄｅｒ）３２０に入力 されてそれぞれ偶数合計および偶数キャリー出力Ｓ_EおよびＣ_E生成する。 前記信号Ｓ_OおよびＣ_Oは論理３３０において信号Ｃ_Eと論理的に結合されて信 号Ｃ_E・Ｓ_O＋＊Ｃ_Oを生成し、この信号はフルアダーに入力される。なお、ここ で記号＊は論理的反転を示す。 前記信号Ｓ_OおよびＣ_Eは論理３４０においてＸＯＲ操作されて前記ビット対加 算の奇数ビット結果を生成し、かつ前記信号Ｓ_Eは前記ビット対加算の偶数ビッ ト結果を形成する。 前記ビット対減算器は上で述べたビット対加算器３００ と同じ回路を使用するが、例外として減算器として使用するために初期値Ｃ_Eお よびＳ_Oは論理“１”にセットされかつ減算されるべきデータストリームはハー フアダー３１０およびフルアダー３２０にそれぞれ入力される前に反転される。 この減算はしたがって２の補数加算によって達成される。 前記ビット対乗算器（これらは２×３２ビット乗算器である）は前に説明した ようにビット対加算器３００を使用して形成される。 直列データストリームの奇数および偶数ビットが乗算器に提供されると、次の ようにして加算によって乗算処理が進行する。 ＊もし２つの入力直列データビットが“００”であれば、ゼロの値が加算され る。 ＊もし２つの入力直列データビットが“０１”であれば、３２ビットの値が加 算される。 ＊もし２つの入力直列データビットが“１０”であれば、３２ビットの値が１ ビットだけ左にシフトされ、次に加算される。 ＊もし２つの入力直列データビットが“１１”であれば、前記３２ビットの値 の３倍の予め計算された値が加算される。 〈改善されたＹ₀計算＞ 上に述べたように、新しいコプロセッサは性能を強化するためにビット対乗算 機構を使用する。図１に示される知られたアーキテクチャにおいては、これは乗 算器ＭＵＬ２に供給するＪ₀およびＹ₀の経路の双方に付加的な論理および３ｘ機 能を加えることにより、Ｙ₀制御の大幅な複雑化を伴なう。この複雑化は図２に 示すようにして避けられる。 図１を参照すると、知られたアーキテクチャにおいては、ローテーションの始 めに、最初の３２クロックサイクルの間に、Ｊ₀がＸ＝Ａ＊Ｂ＋Ｓにより乗算さ れる。結果Ｙはこれらの始めの３２クロックサイクルの間にフィードバックされ かつラッチ２にラッチされ、その後Ｙ₀がＭＵＬ２に供給されかつ引き続く５１ ２のクロックサイクルにわたり積Ｙ₀＊Ｎを発生するために使用される。 次に図２および図４を参照すると、新しいコプロセッサでは、Ｊ₀は始めにラ ッチＭＬ２へとロードされる。レジスタＳＲはセットされているＳＲ＿ビット１ ６（ＳＲ＿ｂｉｔ１６）を除きクリアされる。もし論理“１”であればＳＲ＿ビ ットｋの出力はデータがＭＳＢからラッチＭＬ２を通りｋ番目のビット対へとク ロッキングできるようにする。いずれの与えられたローテーションにおける最初 のクロックサイクルの後は、ＭＬ２のビット３１および３０はもはや必要とされ ずかつＹ₀の最初の２ビットはフィードバックしかつＭＬ２＿ビット３１および ＭＬ２＿ビット３ ０へとラッチすることができる。最初のクロックサイクルの間に、ＳＲ＿ビット １６における論理“１”はＳＲ＿ビット１５へとクロッキングされ、その時点で ＭＬ２＿ビット３１およびＭＬ２＿ビット３０はイネーブルされる。第２のクロ ックサイクルに際して、ＳＲ＿ビット１５における論理“１”はＳＲ＿ビット１ ４へとシフトされる。ＳＲ＿ビット１５は論理“１”によって再ロードまたはリ ロードされかつ今やＭＬ２＿ビット３１、ＭＬ２＿ビット３０、ＭＬ２＿２９お よびＭＬ２＿ビット２８はイネーブルされる。ＭＵＬ２からの次の２つの出力ビ ットはＭＬ２＿ビット３１およびＭＬ２＿ビット３０へとクロッキングされる。 前にＭＬ２＿ビット３１およびＭＬ２＿ビット３０にあったビットはそれぞれＭ Ｌ２＿ビット２９およびＭＬ２＿ビット２８へとシフトされる。このプロセスが １６クロックサイクルの後に、Ｙ₀の３２ビットがフィードバックされかつＭＬ ２へとロードされるまで反復する。引き続く２５６クロックサイクルに際し、Ｙ₀ はモジュラスＮ（ｍｏｄｕｌｕｓ Ｎ）によって乗算される。 次のローテーションに対しては、Ｊ₀はＭＬ２へと再ロードされ、ＳＲ＿ビッ ト１５〜ＳＲ＿ビット０はクリアされかつＳＲ＿ビット１６はセットされかつ処 理は反復される。 この構成はそうでない場合はビット対乗算機構の直接的な構成に対して必要と される１つの３４ビットシフトレジ スタ、１つの３２ビットシフトレジスタ、１つの３４ビットマルチプレクサおよ び１つの３２ビットマルチプレクサの必要性を除去し、かつ代わりに１つの１７ ビットのシフトレジスタを使用する。 〈レジスタの置き換え〉 上で述べたように、知られたアーキテクチャは３つの５１２ビットのクロック ド直列シフトレジスタ（Ｂ，ＳおよびＮレジスタ）を使用する。データ（すなわ ち、値Ｂおよびモジュラス値Ｎ）はメモリからバスインタフェースを介してＣＰ ＵによってそれぞれＢおよびＮレジスタへとロードされる。ＣＰＵはＡの値を、 一度に４バイト、コプロセッサに供給する。ＣＰＵはその後いったん計算が完了 すれば結果をＢまたはＳレジスタからメモリへとロードし戻す。この機構は電力 を消費しかつＣＰＵのオーバヘッドを加える。 次に図５Ａを参照すると、新しいコプロセッサにおいては、前の固定された長 さの、クロックド・シフトレジスタは今や、ＲＡＭとモジュラ乗算器との間に配 置された、簡単な８ビットの並列−直列インタフェース５１０、ならびに自動Ｒ ＡＭポインタメカニズムを利用することにより置き換えられている（図６を参照 ）。この場合、各々の交互のビットが４ビットのクロックド・シフトレジスタへ とロードされる。２つのそのような４ビットのクロックド直列 シフトレジスタ５２０および５３０があり奇数および偶数成分の直列ビットスト リームを形成する。これらの２つの成分の直列ビットストリームは次にモジュラ 乗算器へと供給される。 図５Ｂは、データをＲＡＭに書き戻すための構成を示す。ＲＡＭは両側（ｄｏ ｕｂｌｅ ｓｉｄｅｄ）またはデュアルポート（ｄｕａｌ ｐｏｒｔ）配列で構 成され、この場合右および左側のアレイは中央のローデコーダを共有する。この 配列により、与えられたデコードされた行またはローに対して、同時にデータが 右側のアレイに書き戻されている間にデータを左側のアレイから読み出すことが できる。この機構の利点はＲＡＭのデータがロードおよびストア命令に基づきＣ ＰＵによって決してレジスタにロードされず、データは単にコプロセッサによっ て必要とされる場合に自動的に直列インタフェースへとダウンロードされること である。各々の５１２ビットのクロックド・シフトレジスタが８ビットのクロッ クド・シフトレジスタのインタフェース（図５Ａ）によって置き換えられるとい う事実は電力消費を大幅に低減する。 図６に示すメカニズムを使用して、自動ＲＡＭポインタおよびダウンロードメ カニズム６００はＣＰＵの介入の必要性を除去する。ＲＡＭ６１０におけるデー タはＲＡＭポインタ６２０によって参照されかつ直列インタフェース６３０へと 転送されかつクロック出力される。ＲＡＭポイン タ６２０は自動的に次のデータ転送のための容易さを増大する。この機構はさら にそれが多様なキー長さを取り扱う上でより大きな柔軟性を可能にする点で有利 である。コプロセッサ６４０はローテーションごとに３２ビット×５１２ビット の乗算を行なう。ローテーションの数は前記キー長さによって決定される。改善 された機構はキー長さが３２ビットの増分で変えられるようにする。いったんキ ー長さが選択されると、計算のために必要とされるローテーションの数が３２ビ ットの倍数として自動的に決定される（例えば、３８４／３２＝１２ローテーシ ョン）。 図２は、改善されたコプロセッサのための概略的な構成を示す。全てのデータ パスは２ビット幅であり（乗算器ＭｕｌｌおよびＭｕｌ２への３２ビット入力の ような、より広いビット幅が明らかに必要とされる場合を除き）ビット対演算ま たは操作を可能にする。前記中間のＳ値およびＢ値はデュアルポートＲＡＭにこ れらの記憶領域が計算の種々の段階でオーバライトされる際に記憶される。 〈直接の累乗〉 知られたコプロセッサにおいては、ＲＳＡパブリックキーシステムのために必 要とされる累乗（ｅｘｐｏｎｅｎｔｉａｔｉｏｎ）演算を行なうために、ＣＰＵ は各々の指数ビット（ｅｘｐｏｎｅｎｔ ｂｉｔ）を順次調べることによりソフ トウェアの制御のもとに累乗プロセスを調節また は規制しなければならない。現在のビット（ｃｕｒｒｅｎｔ ｂｉｔ）はモジュ ラ平方（ｍｏｄｕｌａｒ ｓｑｕａｒｅ）あるいはモジュラ乗算（ｍｏｄｕｌａ ｒ ｍｕｌｔｉｐｌｙ）を行なうかを決定するために使用される。前記指数値は メモリに記憶されかつ必要に応じて一度に１バイトＣＰＵによって読み出される 。前記現在のビット値は命令シーケンスによって決定される。コプロセッサがＣ ＰＵが前記Ａの値をモジュラ演算の間に提供することを要求する場合、指数ビッ トの決定はモジュラ演算の間でのみ生じ得る。その場合にのみＣＰＵはコプロセ ッサの動作モードを制御できる。 図６は、前に述べたのと同様の自動ＲＡＭポインティングメカニズムを使用す ることによって、コプロセッサ６４０が今や累乗プロセスの間に自動的に制御さ れることを示している。各々のモジュラ演算の終りに（平方または乗算）、信号 ＥＯＰがコプロセッサによって発生される。これは制御論理６５０がカウンタレ ジスタ６２０におけるポインタを次の指数ビットへとシフトするようにさせる。 このようにして、次のモジュラ演算はＣＰＵの介入なしに選択されかつ直ちに開 始できる。もし指数ビットが論理“１”であれば、２つのモジュラ演算（平方と それに続く乗算）が行なわれる。 中国の剰余定理を使用する異なる長さの署名（ｓｉｇｎａｔｕｒｅ）を処理す る新しいコプロセッサのための典型 的な性能時間（ＣＰＵ時間、コプロセッサ時間および合計時間）は次の通りであ る。 新しいコプロセッサ構成によって提供される改善は表２の時間を前の表１に与 えられた知られたプロセッサに対するものと比較することから容易に明らかであ る。 〈付加的な算術演算〉 新しいコプロセッサの構成において必要とされるＣＰＵオーバヘッドをさらに 低減するため、２つの付加的な演算操作がコプロセッサに加えられ、すなわち加 算および減算機能である。 〈加算〉 新しいコプロセッサにおいては、Ｂ−ＲＡＭおよびＳ−ＲＡＭに記憶された値 は一緒に加算できる。図２を参照すると、マルチプレクサＭｘ２，Ｍｘ６は論理 “０”の出力を与えるようセットされる。これはＳｕｂ１からの出力が入力、ｂ ｓｔｒ、に等しいことを意味する。同様に、減算器Ｓｕｂ２に対しては、出力は 入力、ｓｓｔｒ、に等しくなる。Ｂ−ＲＡＭ（ｂｓｔｒ）およびＳ−ＲＡＭ（ｓ ｓｔｒ）からのデータは直列的に減算器Ｓｕｂ１およびＳｕｂ２を通って供給さ れる。Ｓｕｂ１（ｂｓｔｒ）からの出力はマルチプレクサＭｘ３を介して加算器 Ａｄｄ１に供給され、そこでＳｕｂ２（ｓｓｔｒ）からの出力と加算される。結 果はマルチプレクサＭｘ７およびＭｘ８を介してＢ−ＲＡＭに戻される。 〈減算〉 Ｓ−ＲＡＭまたはＮ−ＲＡＭに記憶された値は任意選択的にＢ−ＲＡＭに記憶 された値から減算できる。図２を参照すると、いずれの場合にも、Ｓ−ＲＡＭま たはＮ−ＲＡＭからのデータは直列的にマルチプレクサＭｘ２を介して減算器Ｓ ｕｂ１へと供給され、そこでＢ−ＲＡＭに記憶された値から減算される。結果は マルチプレクサＭｘ７およびＭｘ８を介してＳ−ＲＡＭまたはＢ−ＲＡＭへフィ ードバックされる。 これらの付加的な機能を含めることは、以下に概略を説明するように、中国の 剰余定理を使用したモジュラ累乗の効率的な実施を可能にする。 〈ＣＲＴエンジン〉 もしモジュラスＮの素因数（ｐｒｉｍｅ ｆａｃｔｏｒｓ）が知られていれば 、ＣＲＴは与えられたＲＳＡシグネチャまたは署名プロセスのための計算時間を 低減するのに使用できる。中国の剰余定理およびＲＳＡ署名を発生する上でのそ の応用は付属書類２に与えられている。知られたコプロセッサアーキテクチャに よれば、ＣＲＴ技術を使用する上で依然として大きなＣＰＵオーバヘッドがある 。これはコプロセッサが始めに使用されてｒ_p＝Ｍ_p ^r（ｍｏｄｐ）および（ｒ_q＝ Ｍ_q ^s（ｍｏｄｑ）を評価しまたは求めるためである。最終的な結果は次にＣＰＵ によってソフトウェアの制御のもとで求められる。すぐ上に示された処理時間（ 表２）は性能の低下に対してＣＰＵが大きな一因であることを示している。 前に述べたように、新しいコプロセッサの累乗機能のために加算および減算の 演算機能を含めることはコプロセッサが、このＣＰＵオーバヘッドが劇的に低減 できるようにＣＲＴエンジンとして作用できるようにする。図７はどのようにし てこれが実施されるかを示す。 もしＮの素因数が知られていれば、モンゴメリ方法およ びＣＲＴを使用してＲ＝Ｍ^d（ｍｏｄＮ）を計算するために、以下の予め計算さ れた値、ｕ，Ｊ_p，Ｊ_q，Ｈ_p，Ｈ_q，Ｒ＝ｄ ｍｏｄ（ｐ−１）およびｓ＝ｄ ｍ ｏｄ（ｑ−１）が利用される。スマートカード装置におけるこれらの値は典型的 にはＥＥＰＲＯＭに記憶される。その後の計算のシーケンスは次の通りである。 Ｍ_p＝Ｍ（ｍｏｄｐ） （１） Ｍ_q＝Ｍ（ｍｏｄｑ） （２） ｒ_p＝Ｍ_p ^r（ｍｏｄｐ） （３） ｒ_q＝Ｍ_q ^s（ｍｏｄｑ） （４） ａ＝ｒ_q（ｍｏｄｐ） （５） ｂ＝ｒ_p−ａ （６） ｃ＝ｂ＊ｕ（ｍｏｄｐ） （７） ｑ＝ｃ＊ｑ （８） Ｒ＝ｇ＋ｒ_q （９） 上で述べた新しいコプロセッサのアーキテクチャは今やＣＲＴ方法を使用して 要求される結果を効率的に計算することができるようにする必要な機能の全てを 有している。新しいコプロセッサがこの計算を達成できるようにするために事象 を適切に順序づけまたは順番に並べる（ｓｅｑｕｅｎｃｉｎｇ）ことについて以 下に説明する。シーケンスの制御はＣＰＵを使用してソフトウェア制御のもとで 行な うことができる。この場合、ＣＰＵのオーバヘッドは最小になり、そうでない場 合は計算のシーケンスの制御は専用のハードウェアの状態マシンを使用して行な うことができる。 計算の上記シーケンスにおいて、操作（１），（２），（３），（４），（５ ）および（７）は全てモンゴメリ・アルゴリズムを使用しかつコプロセッサをモ ジュラ乗算器として使用するモジュラ操作である。新しいコプロセッサのメモリ のポインティングメカニズムは今やこれらの中間結果がＣＲＴ計算の引き続く段 階のための準備においてメモリ内の予め指定されたロケーションに戻すことがで きるようにする。 段階（８）は通常の乗算機能を使用し、一方段階（６）および（９）は今や新 しいコプロセッサ内で利用可能な演算操作、すなわち、加算および減算を使用す る。 〈ＣＲＴエンジンの動作〉 次に図７を参照する。以下の説明のために、Ａ−ＲＡＭ領域、Ｂ−ＲＡＭ領域 、Ｎ−ＲＡＭおよびＳ−ＲＡＭ領域はそれぞれ領域Ａ_LおよびＡ_H，Ｂ_LおよびＢ_H ，Ｎ_LおよびＮ_H，Ｓ_LおよびＳ_Hへと分割される。 メッセージＭが始めにＢ−ＲＡＭに記憶されかつ素因数ｐおよびｑがそれぞれ メモリのＮ−ＲＡＭ領域のＮ_LおよびＮ_Hに記憶される。メッセージＭは次に１ ｍｏｄｕｌ ｏ ｐによって乗算されて結果Ｍ_pを与える。この値は始めにＳ−ＲＡＭ領域、 Ｓ_Lに戻されかつ次にＡ−ＲＡＭ領域Ａ_Lに転送される。同様にして、値Ｍ_qが計 算されかつＳ−ＲＡＭ領域Ｓ_Hに戻され、その後それはＡ−ＲＡＭ領域Ａ_Hに転送 される。 Ｍ_pおよびＭ_qが次に次の累乗プロセスの準備においてそれぞれＢ−ＲＡＭ領域 Ｂ_LおよびＢ_Hへとロードされる。 次に新しく導入された累乗機能を使用してＭ_p ^r（ｍｏｄｐ）およびＭ_q ^s（ｍｏ ｄｑ）の２つのモジュラ累乗が行なわれ、かつ結果ｒ_pおよびｒ_qがＢ_LおよびＢ_H に記憶され、それぞれ値Ｍ_pおよびＭ_qをオーバライトする。 次に、値ａ＝ｒ_q（ｍｏｄｐ）が計算される。これはｒ_qを１ ｍｏｄｕｌｏ ｐ倍で乗算することにより行なわれる。結果は便宜的にＳ_Hに記憶される。 次に、値ｂ＝（ｒ_p−ａ）が計算される。これは新しく導入された減算機能に たよることによって実行されかつ結果はＢ_Lに戻され、ｒ_pをオーバライトする。 次に、ｃ＝ｂ＊ｕ（ｍｏｄｐ）が計算される。これはモジュラ乗算であり結果 はＢ_Lに戻され、最終のローテーションに際して値ｂをオーバライトする。次に 、積ｇ＝ｃ＊ｑが通常の乗算機能にたよることによって形成される。結果はＳ− ＲＡＭ領域、Ｓ、に記憶される。 最後に、結果Ｒ＝ｇ＋ｒ_qが新しく導入された加算機能を適用することにより 計算される。この値はＳ−ＲＡＭま たはＢ−ＲＡＭに戻される。 上で述べた新しいコプロセッサに対する種々の変更は当業者に明らかであり、 かつ以下の請求の範囲に記載された発明の範囲から離れることなく行なうことが できることが理解されるであろう。 付属書類１ 〈モンゴメリ・モジュラ・リダクション技術〉 モンゴメリ関数Ｐ（Ａ・Ｂ）_NはＰフィールドまたは領域への積Ａ・Ｂの乗算 モジュロＮを行なう。Ｐフィールドから通常のモジュラフィールドへの読出しま たは回復はＰ（Ａ・Ｂ）_Nの結果および予め計算された定数Ｈに関してＰを定め ることによって行なわれる。 したがって、もしＰ＝＝Ｐ（Ａ・Ｂ）_Nであれば、Ｐ（Ｐ・Ｈ）_N＝＝Ａ・Ｂ（ ｍｏｄＮ）である。 〈証明〉 我々はＲ＝Ａ・Ｂ（ｍｏｄＮ）を計算することを求める。 始めに次のようなＱを見つける。 Ｐ２ⁿ＝Ａ・Ｐ＋Ｑ・Ｎ（この場合Ｎは奇数） （１） ここで、 Ｉ・２ⁿ＝＝１（ｍｏｄＮ）（かつ、ｎはＮのビット長さである） （２） 式（１）をＩにより乗算して次式を得る。 Ｐ・Ｉ・２ⁿ＝Ａ・Ｂ・Ｉ＋Ｑ・Ｉ・Ｎ （３） 式（３）の左側を考慮すると、式（２）から、 Ｐ・Ｉ・２ⁿ＝＝Ｐ（ｍｏｄＮ） （４） 式（３）の右側を考慮すると、式（４）から、 Ｐ＝＝｛Ａ・Ｂ・Ｉ＋Ｑ・Ｉ・Ｎ｝（ｍｏｄＮ）、かつ したがって、 Ｐ＝＝Ａ・Ｂ・Ｉ（ｍｏｄＮ）＝Ｐ（Ａ・Ｂ）_N （５） Ｐ（Ｐ・Ｈ）_Nを考慮すると、式（５）から、 Ｐ（Ｐ・Ｈ）_N＝＝Ａ・Ｂ・Ｉ²−Ｈ（ｍｏｄＮ） （６） 明らかに、もしＨがＩ^-2と定義されれば、 Ｒ＝＝Ｐ（Ｐ・Ｈ）_N＝＝Ａ・Ｂ（ｍｏｄＮ） （７） 式（７）が所望の結果を与えている。 上の式（２）から、Ｈ＝２²ⁿ（ｍｏｄＮ）でありかつＮおよびｎのみに依存す る予め計算された定数である。 次にＱが見つけられる必要がある。式（１）から、 ｛Ａ・Ｂ・Ｉ＋Ｑ・Ｉ・Ｎ｝（ｍｏｄ２ⁿ）＝０ （８） これは、 Ａ・Ｂ・Ｉ（mｏｄ２ⁿ）＝−Ｑ・Ｉ・Ｎ（ｍｏｄ２ⁿ）であり、かつしたがっ て、 Ｑ＝＝−Ｎ^-1Ａ・Ｂ（ｍｏｄ２ⁿ） （９） 奇数のＮに対しては、Ｊ＝Ｎ^-1であり、したがってＮ・Ｊ＝Ｉ．２ⁿ＋１であ る。 したがって、Ｑ＝＝−Ａ・Ｂ・Ｊ（ｍｏｄ２ⁿ）である。 この場合、ＪもまたＮおよびｎのみに依存する予め計算された定数であること に注意を要する。 付属書類２ 〈中国の剰余定理〉 中国の剰余定理（Ｃｈｉｎｅｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ）は 次のように説明できる。ｇｃｄ（ｍ₁，ｍ₂，ｍ₃，…，ｍ_k）＝１となるような与 えられた１組の整数ｍ₀，ｍ₁，ｍ₂，…，ｍ_kに対して、ｒ_i＜ｍ_i（０＜ｉ＜ｋ） であるような任意の組の整数ｒ₀，ｒ₁，ｒ₂，…，ｒ_kに対して、Ｘ（ｍｏｄｍ_i ）＝ｒ_i（０＜ｉ＜ｋ）およびＸ＜ｍ₀ｍ₁ｍ₂…ｍ_kのような独自の整数Ｘが存在 する。 〈ＲＳＡに適用された中国の剰余定理〉 ＲＳＡシステムにおいては、モジュラスＮは２つの大きな素因数、ｐおよびｑ 、の積である。ｐおよびｑが素数または素（ｐｒｉｍｅ）であるから、ｇｃｄ（ ｐ，ｑ）＝１である｛ｇｃｄ＝最大公約数｝。 したがって、ｒ_p＜ｐおよびｒ_q＜ｑのようないくつかの整数ｒ_pおよびｒ_qに対 して、Ｒ（ｍｏｄｐ）＝ｒ_pおよびＲ（ｍｏｄｑ）＝ｒ_qのような独自の整数Ｒ（ Ｒ＜Ｎ）が存在する。 一般に、 （Ｍ ｍｏｄＮ）ｍｏｄｐ＝Ｘ ｍｏｄｐ＝ｒ_p （Ｍ ｍｏｄＮ）ｍｏｄｑ＝Ｘ ｍｏｄｑ＝ｒ_q Ｒ＝Ｍ^d（ｍｏｄＮ）であるものとすると、中国の剰余定理を次のように使用 できる。 ｒ_p＝Ｒ ｍｏｄｐ＝（Ｍ^d（ｍｏｄＮ））ｍｏｄｐ ｒ_q＝Ｒ ｍｏｄｑ＝（Ｍ^d（ｍｏｄＮ））ｍｏｄｑ また、ｄ＝ｋ＊（ｐ−１）＋ｒであるものとすると、オイラー・フェルマー定 理（Ｅｕｌｅｒ−Ｆｅｒｍａｔ Ｔｈｅｏｒｅｍ）により、 ｒ_p＝（Ｍ^P-1）^kＭ^r（ｍｏｄｐ） ＝１^kＭ^r（ｍｏｄｐ） ＝（Ｍ ｍｏｄｐ）^rｍｏｄｐ 同様に、もしｄ＝ｊ＊（ｑ−１）＋ｓであれば、 ｒ_q＝（Ｍ^q-1）^jＭ^s（ｍｏｄｑ） ＝１^jＭ^s（ｍｏｄｑ） ＝（Ｍ ｍｏｄｑ）^sｍｏｄｑ また、ｒ＝ｄ（ｍｏｄ（ｐ−１））およびｓ＝ｄ（ｍｏｄ（ｑ−１））である 。 したがって、Ｒ＝Ｍ^d（ｍｏｄＮ）とし、Ｒを計算するためには、 １）以下を計算する。 ａ）ｒ_p＝ （Ｍ ｍｏｄｐ）^{d mod(p-1)}ｍｏｄｐ ｂ）ｒ_q＝ （Ｍ ｍｏｄｐ）^{d mod(q-1)}ｍｏｄｑ ２）０＜ｕ＜ｐとなるｕを見つけ、かつ、 ｕ＊ｑ＝１（ｍｏｄｐ） ３）次の内の１つを使用する。 ａ）Ｒ＝（（（ｒ_p−（ｒ_qｍｏｄｐ））＊ｕ） ｍｏｄｐ）＊ｑ＋ｒ_q （ここでａ＞ｒ_qｍｏｄｐ） ｂ）Ｒ＝（（（ｒ_p＋ｐ−（ｒ_qｍｏｄｐ））＊ｕ） ｍｏｄｐ）＊ｑ＋ｒ_q （ここでａ＜ｒ_qｍｏｄｐ） したがって、Ｍ，Ｎおよびｄがｎの２進デジット値である場合に、Ｒ＝Ｍ^d（ ｍｏｄＮ）を計算する問題はｎ／２の２進デジット値を含む２つの値ｒ_pおよび ｒ_qを計算することの内の１つに縮小される（ｒｅｄｕｃｅｄ）。これは計算時 間の大幅な節約を表わす。

Claims (1)

1. 【特許請求の範囲】 １．モジュラ乗算を行なうためのコプロセッサであって、 ＢおよびＮの２進データストリームを受けるための手段、 データ値Ａを受けるための手段、 前記ＢおよびＮの２進データストリームおよび前記データ値Ａを順次処理して モジュロ縮小された乗算値（Ａ＊Ｂ）ｍｏｄ Ｎを生成するよう結合された加算 手段、減算手段および乗算手段、 を具備し、前記コプロセッサはさらに前記ＢおよびＮの２進データストリーム の各々のをそれぞれ２進データストリームの交互のビットを備えた成分データス トリームへと分割するための分割手段を具備し、そして 前記加算手段、減算手段および乗算手段は前記成分データストリームを並列に 処理するよう配列されている、モジュラ乗算を行なうためのコプロセッサ。 ２．前記２進データストリームを受けるための手段は、 ＢおよびＮの値を保持するためのランダムアクセスメモリ、そして 前記ランダムアクセスメモリから並列データを受けかつそこから２進データス トリームＢおよびＮを生成するための並列−直列インタフェース手段、 を具備する、請求項１に記載のコプロセッサ。 ３．前記２進データストリームを受けるための手段はさ らに前記ＢおよびＮの値の順次の部分を保持する複数のランダムアクセスメモリ のロケーションを順次参照するための自動インデクス・ランダムアクセスメモリ ポインタを具備する、請求項２に記載のコプロセッサ。 ４．前記コプロセッサはＢおよびＮの値を保持するランダムアクセスメモリの ロケーションの数に依存する数の処理の反復を行なうよう構成されている、請求 項３に記載のコプロセッサ。 ５．さらに、 指数値を保持するためのランダムアクセスメモリ、 前記ランダムアクセスメモリから前記指数値を並列に受けかつそこから２進デ ータストリームＥを生成するための並列−直列インタフェース手段、 前記２進データストリームＥを受けかつその各ビットの値に依存して２乗また は乗算操作を開始するための制御手段、 を具備する累乗手段を含む、請求項２に記載のコプロセッサ。