JP2001034167A

JP2001034167A - 演算装置及び暗号処理装置

Info

Publication number: JP2001034167A
Application number: JP11209831A
Authority: JP
Inventors: Kazue Shiba; 万恵斯波; Shinichi Kawamura; 信一川村
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 1999-07-23
Filing date: 1999-07-23
Publication date: 2001-02-09

Abstract

(57)【要約】【課題】本発明は、２の拡大体の拡大次数ｍを増加し
ても、装置本体を作り直さずに演算の実行を図る。【解決手段】２の拡大体の多項式基底表現での剰余乗
算を実行可能な多倍長の積和演算回路（１２，１４，１
５）を有し、さらに、剰余乗算を乗算処理と剰余算処理
とに分割して積和演算回路の制御により実行するための
制御手段（５）を備えた演算装置及び暗号処理装置。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は演算装置及び暗号
処理装置、特に例えばＩＣカードや情報家電製品に実装
される暗号処理用コプロセッサ等に用いるのに適した演
算装置及び暗号処理装置に関するものである。

【０００２】

【従来の技術】公開鍵暗号のＬＳＩ実装においては、従
来からＲＳＡ方式等の整数型の演算を行う暗号方式が主
に採用されている。この方式では、桁数の大きい整数に
ついての演算を行う必要があるため、ＩＣカード等に応
用する場合には専用コプロセッサが必要とされる。この
ような専用コプロセッサを実装して暗号処理の多倍長整
数演算を実現させる方式については既に多数の実績があ
る。

【０００３】一方、近年整数型ではなく、２の拡大体
（ＧＦ（２＾ｍ）：ＧａｌｏｉｓＦｉｅｌｄ（ガロア
フィールド））といわれる代数系の上で構成される暗号
系，特に２の拡大体の楕円暗号方式が注目されている。

【０００４】この２の拡大体演算を用いる暗号方式にお
いても、ＲＳＡ方式等の整数型の演算の方式の同様に、
扱うビット数を１６０ビット以上と大きくとる必要があ
る。このため、ＩＣカードのようなＣＰＵの演算力が低
い装置上でこれを実現しようとすると比較的処理時間が
かかる。したがって、専用のハードウェア（コプロセッ
サ）を用いて高速化したいという要求がある。

【０００５】このようにＲＳＡ方式であっても、楕円暗
号方式であっても、ＩＣカード等において高速な暗号処
理を実現させるためには専用の演算用コプロセッサを用
意する必要がある。

【０００６】図２３は暗号処理用のコプロセッサを含む
ＩＣカード用ＬＳＩのブロック図である。

【０００７】同図に示す構成要素を含む専用ＬＳＩが例
えばＩＣカードに組み込まれる。このＬＳＩにおいて
は、ＣＰＵ、ＲＡＭ、ＲＯＭ、ＥＥＰＲＯＭが１チップ
に収容され、コプロセッサはＲＡＭ、演算部、制御部か
ら構成される。コプロセッサはＣＰＵの制御下にあって
多倍長のべき乗剰余演算や四則演算といった公開鍵暗号
の基本演算に関しＣＰＵを補助する。つまり、暗号の基
本演算を行う部分は図１０におけるコプロセッサであ
り、この部分がどのように構成されているかが問題とな
る。

【０００８】図２４は図２３に示すＬＳＩにおけるコプ
ロセッサ部分の構成例を示すブロック図である。

【０００９】ＲＳＡ方式では整数型の演算が行われるた
め、このコプロセッサは図２４に示すように整数型の乗
算器として構成されている。

【００１０】一方、楕円暗号方式のＬＳＩを作成する場
合、その全体的な構成は図２３に示すＬＳＩと同様ある
いはこれと類似する構成のものとなるが、コプロセッサ
部分における演算は整数型の演算でなく、２の拡大体演
算を行うコプロセッサを用意する必要がある。

【００１１】図２５は多項式基底の２の拡大体演算を行
うコプロセッサのハードウェア構成例を示すブロック図
である。

【００１２】同図は、「楕円暗号のハードウェア実装，
ＳＣＩＳ’９８−１０．１．Ｃ」にて発表された特殊な
既約多項式を用いる円分体といわれる２の拡大体の一種
の演算装置を示している。この演算装置は、２の拡大体
上の加算、二乗、乗算及び逆元演算を実行できる構成を
備えており、これによって楕円曲線上の点の演算に必要
な２の拡大体の演算を実行する。このような演算装置を
ＩＣ化すれば、図２３のＬＳＩに適用し得る２の拡大体
演算用のコプロセッサになる。

【００１３】ここで、加算回路および二乗算回路はｍ個
のＥＸ−ＯＲで構成され、乗算回路８１は図２６に示す
回路構成で実現する。

【００１４】図２６は円分体といわれる２の拡大体の乗
算回路を示す図である。

【００１５】この乗算回路８１は、ｍビットの入力レジ
スタＡ，Ｂを持ち多項式ａ（ｘ）の係数を入力レジスタ
Ａに固定値として入力し、入力レジスタＢからは多項式
ｂ（ｘ）の係数を最上位ビットから１クロック毎にシフ
トしながら演算していく。同図におけるブロックＤはフ
ィードバックレジスタを構成するフリップフロップであ
る。ｍ回シフトした時点での各ブロックＤの値が出力レ
ジスタＣに読み出され、ａ（ｘ）＊ｂ（ｘ）の演算結果
となる。

【００１６】図２４と図２６夫々の回路を見比べてもわ
かるように、乗算と一口に言っても整数型乗算と多項式
基底の２の拡大体乗算とでは、その乗算を実行するため
のアーキテクチャーが全く異なる。したがって、従来は
暗号方式毎にハードウェアを構成しようとする試みがな
されてきた。

【００１７】一方、楕円曲線暗号の基本演算における２
の拡大体の剰余乗算には、拡大体ＧＦ（ｑ^m ）上の多項
式ｆ（ｘ）による割り算回路としての線形フィードバッ
クシフトレジスタ（ＬＦＳＲ）を用いた演算装置が広く
用いられている。なお、法多項式ｆ（ｘ）は、次式の通
りである。

【００１８】ｆ（ｘ）＝ｆ_m ｘ^m ＋ｆ_m-1 ｘ^m-1 ＋…＋
ｆ₁ ｘ＋ｆ₀ 、ｆ_m ＝１図２７は係る線形フィードバックシフトレジスタＬＦＳ
Ｒの構成を示すブロック図である。このＬＦＳＲ９０
は、入力側からEX-OR の加算器９１_１〜９１_ｍと１クロ
ックの遅延素子（以下、レジスタという）９２_１〜９２
_ｍとが交互に縦続接続されており、ｍ個目のレジスタ９
２_ｍから得られる出力が抽出されて夫々係数器９３_１〜
９３_ｍを介して個別にｍ個の加算器９１_１〜９１_ｍにフ
ィードバックされる構成となっている。

【００１９】このＬＦＳＲ９０は、単位時間（クロッ
ク）毎に動作する。なお、シフトレジスタにおいて、動
作用のクロックパルスを１クロック進めることをシフト
するといい、シフトレジスタに組込まれるレジスタ９２
_１〜９２_ｍの数ｍをシフトレジスタの段数という。

【００２０】ここで、ｑ＝２のとき、各レジスタ９２_１
〜９２_ｍは、１ビットのフリップフロップが適用可能で
ある。各係数器９３_１〜９３_ｍは、“１”又は“０”を
乗じるものであり、１を乗じる場合には結線されるが、
０を乗じる場合には結線されない。また、各加算器９１
_１〜９１_ｍは、２入力のＥＸ−ＯＲが使用されている。

【００２１】このようなＬＦＳＲ９０では、入力側（左
側）から被除多項式の係数が高次の項から順に入力され
ると、出力側（右側）から商多項式の係数が高次の項か
ら順に出力される。ここで、被除多項式の０次の項を入
力し終えたときの各レジスタ（フリップフロップ）９２
_１〜９２_ｍの内容が剰余多項式の係数となる。

【００２２】しかしながら、以上のＬＦＳＲ９０を用い
た演算装置では、拡大次数ｍのビット数と同数のレジス
タ９２_１〜９２_ｍを必要とし、レジスタ９２_１〜９２_ｍ
の構成が拡大次数ｍにより制約を受けている。このた
め、拡大次数ｍが増加すると、演算装置ごと作り直す必
要が生じてしまう。

【００２３】

【発明が解決しようとする課題】上記したように、楕円
暗号方式は現在注目されてはいるものの、現状ではＲＳ
Ａ暗号方式が未だ主流であるため、楕円暗号方式を用い
るＩＣカードにおいてもＲＳＡ暗号にも対応させたいと
いう要請が強い。

【００２４】ここで、従来の整数型の暗号と２の拡大体
の暗号を同一ＩＣカードに実装しようとした場合、上記
した従来技術の延長ではそれぞれに対応するコプロセッ
サを搭載する必要が生じる。しかしながら、２つのコプ
ロセッサを搭載したのでは、面積制約の大きいＩＣカー
ドにおいてそのチップ面積を圧迫するという問題が生じ
る。

【００２５】一方、２の拡大体の剰余乗算においては、
拡大次数ｍの増加により、演算装置ごと作り直す必要が
生じるというハードウェア的な制限がある。

【００２６】本発明はこのような実情を考慮してなされ
たもので、２の拡大体の拡大次数ｍを増加しても、装置
本体を作り直さずに演算を実行し得る演算装置及び暗号
処理装置を提供することを目的とする。

【００２７】また、本発明の他の目的は、最小のアーキ
テクチャを追加するだけで整数型の演算に加えて２の拡
大体上の演算をも実行できる演算装置及び暗号処理装置
を提供することにある。

【００２８】

【課題を解決するための手段】上記課題を解決するため
に、請求項１に対応する発明は、２の拡大体の多項式基
底表現での剰余乗算を実行可能な多倍長の積和演算回路
を有する演算装置であって、剰余乗算を乗算処理と剰余
算処理とに分割して積和演算回路の制御により実行する
ための制御手段を備えた演算装置である。

【００２９】本発明はこのような手段を設けたので、剰
余算処理の際に線形フィードバックシフトレジスタでは
なく、多倍長の積和演算回路が演算を行うので、１以上
の任意の拡大次数を使用でき、２の拡大体の拡大次数を
増加しても、装置本体を作り直さずに演算を実行するこ
とができる。

【００３０】次に、請求項２に対応する発明は、請求項
１に対応する演算装置において、積和演算回路として
は、２の拡大体多項式基底における多項式データを乗算
するとき、キャリー伝播をしない単精度の乗算回路と、
乗算回路による乗算結果を用いて加算を行う倍精度の加
算回路とを有し、制御手段としては、乗算処理のとき、
乗算回路と加算回路を制御する演算装置である。

【００３１】本発明はこのような手段を設けたので、請
求項１と同様の作用を容易且つ確実に奏することができ
る。

【００３２】次に、請求項３に対応する発明は、請求項
２に対応する演算装置において、制御手段に制御され、
剰余算処理のとき、２つの多項式データの乗算結果を初
回の被除多項式データとし、所定の法多項式データを除
多項式データとし、初回又は２回目以降の被除多項式デ
ータと除多項式データとに基づいて商計算を行い、上位
からバス幅と同じビット数の１ブロックの商多項式デー
タを立てる商立て回路を有し、制御手段としては、剰余
算処理のとき、商立て回路の制御により１ブロックの商
多項式データが立ったとき、乗算回路及び加算回路の制
御により、１ブロックの商多項式データと除多項式デー
タとの乗算結果を今回の被除多項式データから減らして
次回の被除多項式データを算出し、商立て回路の制御か
ら被除多項式データの算出までの処理を繰り返して剰余
データを得る演算装置である。

【００３３】この演算装置では、１ブロックの商多項式
データと除多項式データとの乗算結果が毎回（ｍ＋１）
ブロックになる。また、この乗算結果を今回の被除多項
式から減算（＝加算）して、（２ｍ−１＊ｎ）ブロック
の次回の被除多項式データを算出し（ｎは乗算回数）、
すなわち前回の被除多項式データを１ブロックずつ減ら
していく。

【００３４】本発明はこのような手段を設けたので、請
求項１又は請求項２と同様の作用に加え、ハードウェア
の特性を生かして剰余算と商計算の効率化を図ることが
できる。

【００３５】次に、請求項４に対応する発明は、請求項
３に対応する演算装置において、商立て回路としては、
商計算のとき、除多項式データの上位２ブロックの逆数
データと今回の被除多項式データの上位２ブロックとを
乗算し、この乗算結果の上位２ブロック目を１ブロック
の商多項式データとする演算装置である。

【００３６】本発明はこのような手段を設けたので、請
求項３と同様の作用に加え、得られた商多項式のうち、
有効数字の部分を抽出できるので、演算精度の最適化を
図ることができる。

【００３７】次に、請求項５に対応する発明は、請求項
４に対応する演算装置において、商立て回路としては、
初回に商多項式データを立てるとき、除多項式データの
上位２ブロックから逆数データを算出してメモリに記憶
させ、２回目以降に商多項式データを立てるとき、メモ
リ内の逆数データを読出して用いる演算装置である。

【００３８】本発明はこのような手段を設けたので、同
じ法多項式下での重複する剰余算の実行時に、逆数デー
タをメモリから読出して商を立てるので、２回目の商計
算以降は逆数データの算出時間を省略でき、もって、２
の拡大体演算の処理時間を短縮することができる。ま
た、逆数データを事前に計算できるので、２の拡大体の
剰余乗算を、乗算と加算とを行う積和演算回路のみを用
いて実現することができる。

【００３９】次に、請求項６に対応する発明は、請求項
４又は請求項５に対応する演算装置において、商立て回
路としては、逆数データを算出するとき、除多項式デー
タの上位２ブロックのうち、上位から連続した０の数を
計数すると、上位から１ブロック＋１ビットの多項式デ
ータを最上位ビットを１とするように抽出し、この抽出
した多項式データの逆数を求め、得られた逆数の最上位
ビット側に、最下位ビットが１で他のビットが０の１ブ
ロックの補正データを連結して全体で２ブロックのデー
タを求め、このデータを前記計数した０の数だけ上位側
にビットシフトさせた結果を逆数データとする演算装置
である。

【００４０】本発明はこのような手段を設けたので、一
般的な多倍長の整数型の除算で用いられる単精度除算を
用いたKnuth のアルゴリズム（文献：Knuth, D. E. The
Artof Computer Programming, Vol.2, Reading, Mas
s.: Addison Wesley, 2^nd edition, (1981)）による除
数の正規化や近似商の補正処理、商や剰余といった演算
結果の逆正規化の処理を行わない観点から、予め補正し
た値を逆数データとしたので、ビットシフトの回数を減
らすことができ、演算装置を最適化することができる。

【００４１】次に、請求項７に対応する発明は、請求項
１乃至請求項６のいずれか１項に対応する演算装置を備
え、演算装置による２の拡大体の剰余乗算に基づく暗号
化又は復号処理を実行する暗号処理装置である。

【００４２】本発明はこのような手段を設けたので、楕
円曲線暗号等の２の拡大体の剰余乗算に基づく暗号化又
は復号処理を実行することができる。

【００４３】次に、請求項８に対応する発明は、請求項
１乃至請求項６のいずれか１項に対応する演算装置であ
って、整数型の単位乗算を実行する場合にはキャリーを
伝搬させて単位乗算回路を動作させ、２の拡大体の単位
乗算を実行する場合にはキャリーを伝搬させずに単位乗
算回路を動作させるようにした演算装置である。

【００４４】本発明はこのような手段を設けたので、請
求項１乃至請求項６のいずれかの作用に加え、最小のア
ーキテクチャを追加するだけで整数型の演算に加えて２
の拡大体上の演算をも実行することができる。

【００４５】次に、請求項９に対応する発明は、請求項
１乃至請求項６のいずれか１項に対応する演算装置にお
いて、整数型の単位乗算回路と、整数型の単位乗算回路
と論理的に隣接して配置された２の拡大体の単位乗算回
路と、整数型の単位乗算回路を使用するか、２の拡大体
の単位乗算回路を使用するかを選択する選択手段とを備
えた演算装置である。

【００４６】本発明はこのような手段を設けたので、請
求項１乃至請求項６のいずれかの作用に加え、２の拡大
体の単位乗算回路を追加するだけで整数型の乗算と２の
拡大体の乗算の双方を実行することができる。

【００４７】次に、請求項１０に対応する発明は、請求
項１乃至請求項６のいずれか１項に対応する演算装置に
おいて、整数型の単位乗算回路と、整数型の単位乗算を
実行するか、２の拡大体の単位乗算を実行するかの選択
信号を整数型の単位乗算回路に出力する選択制御手段を
備えるとともに、整数型の単位乗算回路は、多倍長の積
和演算を実行する際に、整数型の単位乗算を実行すべき
旨の選択信号を受けたときにはキャリーを伝播し、２の
拡大体の単位乗算を実行すべき旨の選択信号を受けたと
きにはキャリー伝搬をしないキャリー伝搬制御手段を備
え、単位乗算回路におけるキャリー伝搬を制御すること
により、整数型乗算と２の拡大体の乗算を切替可能に構
成された演算装置である。

【００４８】本発明はこのような手段を設けたので、請
求項１乃至請求項６のいずれかの作用に加え、キャリー
伝搬制御手段を追加するだけで整数型の乗算と２の拡大
体の乗算の双方を実行することができる。

【００４９】次に、請求項１１に対応する発明は、請求
項１０の演算装置において、キャリー伝搬制御手段は、
選択信号とキャリーアウト信号を入力とするスイッチに
よって、１ビット毎の全加算器におけるキャリーの伝搬
制御を行う演算装置である。

【００５０】本発明はこのような手段を設けたので、選
択信号とキャリーアウト信号を入力とするスイッチによ
り請求項１０に係る発明を実現させることができる。

【００５１】次に、請求項１２に対応する発明は、請求
項１０の演算装置において、キャリー伝搬制御手段は、
１ビット毎の全加算器における２入力ａ，ｂの排他的論
理和の結果ｃを加算結果として出力するか、結果ｃと入
力キャリーとの排他的論理和の結果ｄを加算結果として
出力するかを切り替える選択手段からなる演算装置であ
る。

【００５２】本発明はこのような手段を設けたので、選
択手段により請求項１０に係る発明を実現させることが
できる。

【００５３】次に、請求項１３に対応する発明は、請求
項８〜１２の演算装置において、整数型の乗算を実行す
る場合にはキャリーを伝搬させて加算を実行し、２の拡
大体の乗算を実行する場合にはキャリーを伝搬させずに
加算を実行する加算回路を備えた演算装置である。

【００５４】本発明はこのような手段を設けたので、請
求項８〜１２のいずれかの作用に加え、積和演算におけ
る加算部分についても整数型の乗算と２の拡大体の乗算
との双方を確実に実行することができる。

【００５５】次に、請求項１４に対応する発明は、請求
項８〜１３の何れかの演算装置を備え、演算装置による
整数型の演算に基づく暗号化又は復号処理と、演算装置
による２の拡大体の演算に基づく暗号化又は復号処理と
の双方を切替可能に構成された暗号処理装置である。

【００５６】本発明はこのような手段を設けたので、請
求項８〜１３のいずれかの作用に加え、ＲＳＡ暗号等の
整数型の演算に基づく暗号と、楕円曲線暗号等の２の拡
大体の演算に基づく暗号の双方の処理を行うことができ
る。

【００５７】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を用いて説明する。（第１の実施形態）図１は本発明の第１の実施形態に係
る演算装置の構成例を示すブロック図である。コプロセ
ッサ１として構成される本実施形態の演算装置は、整数
型乗算及び２の拡大体乗算の双方の演算が可能な多倍長
積和乗算装置であり、この乗算処理を仕方を制御するこ
とにより、加算、二乗あるいは逆元等の他の演算を実行
するものである。また、本演算装置がＬＳＩ等に組み込
まれることによってＲＳＡ暗号及び楕円暗号の双方が実
現可能な暗号処理装置が構成される。ここで組込対象と
なるＬＳＩは例えば図２３に示すような装置である。

【００５８】このコプロセッサ１において演算部４は制
御部５によってコントロールされ、演算途中のデータを
格納するメモリ２から接続される３２ビットのデータバ
ス３からデータを入出力するようになっている。

【００５９】データバス３からの入力データはバッファ
Ｚ，Ｙ，Ｘに格納され、データバス３への出力データは
バッファＲに格納されるようになっている。

【００６０】入力データＸ及びＹは乗算対象となるデー
タであり、このうちデータＹは一度に多数桁の乗算とな
るのを回避するために所定桁毎に分割されたデータとし
て入力される。一方、データＺは乗算を複数回に分けて
実行するために生じる途中結果であり、これをＸＹの乗
算結果に足し、さらにその和の結果にキャリーＣと言わ
れる桁上がり部分を足して１サイクルの乗算が終了す
る。その結果からキャリーを除いたデータＲがバッファ
Ｒを介してデータバス３に出力され、次のサイクルの演
算にデータＺとして使用される。このサイクルを複数回
繰り返すことにより多倍長整数乗算あるいは２の拡大体
乗算（厳密には後述のｃ’）の乗算が実現される。

【００６１】また、コプロセッサ１は、上記演算を実現
するために、バッファＸ，Ｙ，Ｚ，Ｒの他、整数型乗算
回路１１，２の拡大体上乗算回路１２，セレクタ１３，
加算回路１４，加算回路１５，キャリー保持部１６及び
制御部５を備えている。

【００６２】整数型乗算回路１１は、バッファＸ内のデ
ータＸとバッファＹ内のデータＹとを整数型乗算し、そ
の結果をセレクタ１３に出力する。

【００６３】２の拡大体上乗算回路１２は、バッファＸ
内のデータＸとバッファＹ内のデータＹとにより２の拡
大体上乗算の一部（ｃ’）を実行し、その結果をセレク
タ１３に出力する。

【００６４】セレクタ１３は、制御部５からの信号Ｓ１
に従って、整数型乗算回路１１又は２の拡大体上乗算回
路１２からの出力の何れかを加算回路１４に出力する。

【００６５】加算回路１４は全加算器からなり、バッフ
ァＺ内のデータＺとセレクタ出力を加算して加算回路１
５に出力する。この加算回路１４においては、整数型の
加算と２の拡大体の加算との切替が制御信号Ｓ１に従っ
て行われるようになっている。なお、この加算切替につ
いては後述する。

【００６６】加算回路１５は、加算回路１４の出力にキ
ャリー保持部１６に保持されたキャリーＣを加算し上位
３２ビットを次のキャリーＣとしてキャリー保持部１６
に出力し、下位８ビットをこのサイクルの演算結果であ
るデータＲとしてバッファＲに出力する。なお、加算回
路１５においても、制御信号Ｓ１により、整数型の加算
と２の拡大体の加算との切替が行われるようになってい
る。

【００６７】キャリー保持部１６は、加算回路１５から
出力されたキャリーＣを保持し、次の演算サイクルにお
いて保持したキャリーＣを加算回路１５に与える。

【００６８】制御部５は、整数演算制御部２１と２の拡
大体演算制御部２２からなり、これらの何れかのコマン
ド群に従って演算部を制御する。このコマンド切り替え
は、外部のＣＰＵ（例えば図２３に示すＣＰＵ）からの
指示によって行われる。

【００６９】整数演算制御部２１は、演算部４を多倍長
整数演算型の乗算器として動作するように制御するもの
である。このために、制御信号Ｓ１によりセレクタ１３
が整数型単精度乗算器１１の出力を加算回路１４に出力
するように制御するとともに、加算回路１４及び１５を
整数型加算回路として動作するよう制御する。さらに、
整数型乗算器として演算部４の動作を制御することで他
の四則演算などの演算処理の実行する。

【００７０】また、２の拡大体演算制御部２２は、演算
部４を２の拡大体乗算器として動作するように制御する
ものである。このために、制御信号Ｓ１によりセレクタ
１３が２の拡大体型単精度乗算器１１の出力を加算回路
１４に出力するように制御するとともに、加算回路１４
及び１５を２の拡大体型加算回路として動作するように
制御する。さらに、２の拡大体型乗算器として演算部４
の動作を制御することで加算、二乗算を実現する。

【００７１】なお、制御部５からは、上記した各処理を
実現するため、制御信号Ｓ２を出力して各部を制御す
る。

【００７２】次に、以上のように構成された本実施形態
における演算装置の動作について説明する。

【００７３】この演算装置（コプロセッサ１）は、整数
型の乗算装置に乗算回路１２，セレクタ１３等を組み込
むことにより、２の拡大体の乗算装置としての処理を実
現可能とするものである。ここで、２の拡大体では、以
下に示すようにｍ−１次の多項式をｍビットのベクトル
表現で表すことができる。

【００７４】ａ（ｘ）＝ａ_m-1 ｘ^m-1 ＋ａ_m-2 ｘ^m-2 ＋…＋ａ₁ ｘ＋ａ₀ _…（１）＝［ａ_m-1 ，…，ａ₁ ，ａ₀ ］ｂ（ｘ）＝ｂ_m-1 ｘ^m-1 ＋ｂ_m-2 ｘ^m-2 ＋…＋ｂ₁ ｘ＋ｂ₀ …（２）＝［ｂ_m-1 ，…，ｂ₁ ，ｂ₀ ］ここで、２の拡大体の乗算はＧＦ（２^ｍ）上のｍ次の規
約多項式ｆ（ｘ）をモジュラスとする剰余乗算である。
また、２の拡大体の二つの元ａ（ｘ）とｂ（ｘ）の積ｃ
（ｘ）は、次のように定義されている。

【００７５】ｃ（ｘ）＝ａ（ｘ）・ｂ（ｘ）ｍｏｄｆ（ｘ） …（３）＝Σａ_ｋ・ｘ^ｋ・ｂ（ｘ）ｍｏｄｆ（ｘ）＝ｃ_m-1 ｘ^m-1 ＋ｃ_m-2 ｘ^m-2 ＋ … ＋ｃ₁ ｘ＋ｃ₀ ＝［ｃ_m-1 ，…，ｃ₁ ，ｃ₀ ］また、法多項式ｆ(x) は、次式で表せる。ｆ(x) ＝ｆ_m ｘ^m ＋ｆ_m-1 ｘ^m-1 ＋ … ＋ｆ₁ ｘ＋ｆ₀ …（４）＝［ｆ_m ，ｆ_m-1 ，…，ｆ₁ ，ｆ₀ ］２の拡大体の多項式の乗算は、図２６に示すように乗数
のサイクルシフトによるシフトレジスタを構成し、ｍサ
イクルシフト後の剰余多項式を乗算結果とするのが一般
的であるが、本実施形態では整数型の暗号処理ＬＳＩで
広く使われている多倍長の積和演算回路に若干の変更を
加えて処理する。

【００７６】なお、制御部５からの制御信号Ｓ１によ
り、コプロセッサ１が整数型の演算装置として動作する
ときには、同演算装置は多倍長積和演算回路として機能
している。この多倍長積和演算回路において、制御信号
Ｓ１による切替により、２の拡大体上乗算回路１２にお
いて２の拡大体の乗算の一部分である（５）式が計算さ
れる。

【００７７】ｃ’（ｘ）＝ａ（ｘ）・ｂ（ｘ） …（５）なお、２の拡大体上乗算回路１２ではｃ’を計算する段
階においては（６）式における「ｃ（ｘ）’ｍｏｄｆ
（ｘ）」の部分は計算されない。すなわちｃ’自体は、
制御信号Ｓ１により乗算回路１２及び加算回路１４，１
５を切り替えるのみで、整数型乗算における２つの数の
積と全く同様に演算される。

【００７８】なお、ｃ’（ｘ）＝ａ（ｘ）・ｂ（ｘ）に
おいてｍビットの乗数、被乗数は３２ビットに分割され
てメモリから読み出され、演算結果は３２ビット毎にメ
モリに書き込まれる。この時、最終的な演算結果は２ｍ
ビットとなる。

【００７９】整数型乗算回路１１による整数演算と２の
拡大体上乗算回路１２による２の拡大体多項式演算の違
いは、桁上がりの有無である。整数演算では足し算の論
理式は０＋０＋Ｃａｒｒｙ（＝０）＝０、Ｃａｒｒｙ＝０１＋０＋Ｃａｒｒｙ（＝０）＝１、Ｃａｒｒｙ＝０１＋１＋Ｃａｒｒｙ（＝０）＝０、Ｃａｒｒｙ＝１という様に下位ビットのキャリーを考慮した演算をしな
ければならないのに対し、２の拡大体の代数系において
は、各ビットが多項式における次数の係数を示している
ため異なる次数への桁上がりを考慮しなくてもよい。

【００８０】このことに着目して本実施形態では整数型
演算器（乗算器や加算器）において、キャリー伝播を許
す通常のモードと、キャリー伝播を実行しないモードを
切り替えて使えるようにしているのである。ここでキャ
リー伝播を許さない（実行しない）モードは２の拡大体
演算を行うのに用いられる。なお、キャリー伝播のモー
ドを切り替えのために追加すべき回路は全体の回路規模
に比べわずかである。

【００８１】図２はｃ’（ｘ）＝ａ（ｘ）・ｂ（ｘ）を
実現するための４＊４ビットの単位乗算の回路構成例を
示す図である。

【００８２】同図の単位演算装置を８＊３２ビット構成
にしたものが図１における２の拡大体上乗算回路１２で
ある。なお、図２（ｂ）の回路は同図（ａ）の回路の入
力部分２９を示すものである。

【００８３】一方、図３は整数型乗算を実現するための
４＊４ビットの単位乗算の回路構成例を示す図である。

【００８４】同図の単位演算装置を８＊３２ビット構成
にしたものが図１における整数型乗算回路１１である。
なお、図３（ａ）に用いられる全加算器ＦＡの構成は図
３（ｃ）に示され、さらに図３（ｃ）に示す全加算器Ｆ
Ａのキャリー３１の構成が同図（ｄ）に示されている。
また、図３（ｂ）の回路は同図（ａ）の回路の入力部分
３０を示すものである。

【００８５】本実施形態の演算装置では、２の拡大体上
乗算回路１２と整数型乗算回路１１とが論理的に隣接し
て配置されており、制御部５の２の拡大体演算コマンド
から生成される制御信号Ｓ１により整数型、２の拡大体
型のいずれかの乗算回路１１，１２が選択されて処理が
行われる。

【００８６】セレクタ１３の出力は次段の加算回路１４
に入力される。ここでＺ＋（Ｙ＊Ｘ）加算回路１４は４
０ビットのデータ（Ｙ＊Ｘ）と８ビットのデータＺの全
加算器だが、ここでも前述の制御信号により各ビットの
加算結果のキャリーを次段へ伝播しないスイッチを付加
することにより２の拡大体の加算が実現される。

【００８７】図４は本実施形態におけるコプロセッサに
用いられるキャリー制御機能付きの４ビットのリップル
キャリー型全加算器の構成例を示すブロック図である。

【００８８】このような構成の全加算器を、４０ビット
データと８ビットデータとの加算が可能となるように拡
張したものが図１の加算回路１４である。

【００８９】また、図４の回路において、各全加算器３
２の間にはスイッチ３３が設けられ、キャリーの伝搬を
制御できるようになっている。

【００９０】図５は本実施形態の加算回路に用いられる
全加算器及びキャリー制御スイッチの構成例を示す図で
ある。

【００９１】この全加算器３２及びスイッチ３３は、１
ビット分のキャリー制御機能付き全加算器４２を構成し
ている。ここで、全加算器３２は、図３（ｃ）に示す全
加算器ＦＡと同様に構成され、全加算器３２内のキャリ
ー３１は図３（ｄ）に示すキャリーと同様に構成されて
いる。

【００９２】また、全加算器３２間のキャリー伝搬ライ
ンに設けられたスイッチ３３は制御部５からの制御信号
Ｓ１によって制御され、整数型演算を行うときには接続
され、２の拡大体演算を行うときには遮断される。

【００９３】以上のように構成された加算回路１４から
の出力（Ｚ＋（Ｙ＊Ｘ））は加算回路１５に引き渡され
る。

【００９４】すなわち、演算ブロック最終段のＣ＋Ｚ＋
（Ｙ＊Ｘ）加算回路１５によって、乗算結果の４０ビッ
トの下位８ビットがデータＲとして出力され、上位３２
ビットが次のサイクルのＺ＋（Ｙ＊Ｘ）に足し込まれ
る。

【００９５】ここで、加算回路１５は加算回路１４と同
様に、前述の制御信号Ｓ１により制御される図４に示す
キャリー制御機能付き全加算器であるので、整数型では
ＬＳＢに桁あわせをした全加算器として整数型加算が実
行され、２の拡大体演算では２の拡大体加算が実行され
る。

【００９６】加算回路１５の出力データＲはデータバス
３を介して一旦外部のメモリ２に出力され、再びデータ
Ｚとなってコプロセッサ１内に戻り整数型乗算若しくは
２の拡大体上の乗算が継続され、必要なサイクル数だけ
繰り返されて乗算結果が得られる。

【００９７】ここで２の拡大体の乗算コマンドでは、
（５）式の結果が得られるが、２の拡大体乗算は（６）
式に示す定義通り、既約多項式ｆ（ｘ）をモジュラスと
する剰余演算によって完結する。剰余演算は割り算の筆
算同様、被除数の上位桁から商を立て現在の商と除数を
かけたものから現在の被除数を引く（２の拡大体では減
算は加算と同じ）処理を必要なサイクル数だけ繰り返せ
ばよく、２の拡大体の乗算コマンドと加算コマンドを実
行することによって実現できる（詳細は第３の実施形態
で述べる）。２の拡大体の二乗算は乗算と同じ処理で実
現でき、逆元計算は、乗算と二乗算を相互に繰り返すこ
とにより実現できる。

【００９８】一例として、２の拡大体の加算コマンドに
従って演算部４が２の拡大体の加算装置として機能する
場合を説明する。

【００９９】２の拡大体上の加算は、通常の多項式の加
算と同じで、同じ次数の係数同士の足し算を行う。

【０１００】ｃ（ｘ）＝ａ（ｘ）＋ｂ（ｘ） …（７）＝［ａ_m-1 ＋ｂ_m-1 ，ａ_m-2 ＋ｂ_m-2 ，…，ａ₀ ＋ｂ₀ ］このとき、各次数の係数の和は０＋０＝１＋１＝０、０
＋１＝１＋０＝１となり、整数型加算のようにキャリー
は発生しない。従って、２の拡大体での加算は、一般に
はｍ個のＥＸ−ＯＲで実装できることになる。

【０１０１】整数型の乗算装置において加算はｃ＝ｂ＋
ａ＊１として扱えるので、本実施形態における２の拡大
体の加算もこのアルゴリズムをそのまま利用し、ｃ
（ｘ）＝ｂ（ｘ）＋ａ（ｘ）＊１として実行する。この
演算は加算回路１４，１５に図４の全加算器が用いられ
ていることから、制御信号Ｓ１の切替で実現できる。

【０１０２】また、制御信号Ｓ１による切替でコプロセ
ッサ１は図２４に示すコプロセッサと同様な機能を持つ
回路となり、整数型演算も実現される。

【０１０３】上述したように、本発明の実施の形態に係
る演算装置は、整数型乗算装置に、整数型乗算の単位乗
算装置と回路構成の似ている２の拡大体乗算の単位演算
装置とを設け、整数型の乗算コマンドに２の拡大体演算
コマンドとを追加し、２の拡大体演算コマンドから生成
される制御信号により制御されるセレクタと、全加算器
の各ビットのキャリーの伝播を制御するスイッチの追加
するようにしたので、従来型のシフトレジスタによるシ
ーケンシャルな２の拡大体の乗算装置を用いることなく
整数および２の拡大体演算の両方を実行することができ
る。

【０１０４】したがって、従来からある整数型の演算器
への追加拡張機能として、ごく少ない命令と回路の追加
することにより、多倍長の積和演算回路で２の拡大体の
加算、乗算を実行することが可能な公開鍵暗号処理用ア
クセラレータを提供することができる。なお、本実施形
態を実現するのに、必要な回路追加の量は全体の回路規
模に比べてわずかである。

【０１０５】本実施形態の暗号処理装置によれば、暗号
処理用コプロセッサとして、整数型のＲＳＡ方式に加え
２の拡大体の楕円暗号方式も処理できる豊富な機能をも
つＬＳＩを特に実装面積を増大させることなく提供でき
る。したがって、ＩＣカードのような実装可能面積の少
ない装置において、ＲＳＡ、楕円暗号の双方を処理でき
る暗復号装置を実現させることができる。

【０１０６】（変形例１）本変形例では、図４に示す加
算回路１４，１５を構成するキャリー制御機能付き全加
算器について説明する。

【０１０７】図６はキャリー制御機能付き全加算器の変
形例を示す図である。

【０１０８】このキャリー制御機能付き全加算器４３
は、スイッチ３３と全加算器３２から構成される点で図
５の回路と共通する。しかし、図５の回路ではキャリー
３１の出力側にスイッチ３３が設けられているのに対
し、図６の回路ではキャリー３１の入力側にスイッチ３
３が設けられている。

【０１０９】（変形例２）本変形例では、更に他のキャ
リー制御機能付き全加算器について説明する。

【０１１０】図７はキャリー制御機能付き全加算器の他
の変形例を示す図である。

【０１１１】このキャリー制御機能付き全加算器４４
は、加算結果の出力選択を制御することによりキャリー
制御を行う。すなわちスイッチ３３’はセレクタで構成
され、このセレクタは制御信号Ｓ１に基づき、ＥＸＯＲ
３５又はＥＸＯＲ３６の出力を選択する。これを複数個
連結したリップルキャリー型加算器は、制御信号Ｓ１に
よりキャリー伝播の有無を制御できる。

【０１１２】図７の制御信号Ｓ１を２の拡大体演算コマ
ンドによる制御信号とするとＳ１が“１”のときａとｂ
のＥＸＯＲ３５の出力が演算結果となり、２の拡大体の
加算装置として機能し、Ｓ１が“０”のとき全加算器の
出力が演算結果となって整数型の加算装置として機能す
る。

【０１１３】（第２の実施形態）図８は本発明の第２の
実施形態に係る演算装置の構成例を示すブロック図であ
り、図１と同一部分には同一符号を付して説明を省略
し、ここでは異なる部分についてのみ述べる。なお、以
下の各実施形態も同様にして重複した説明を省略する。

【０１１４】この演算装置であるコプロセッサ１’は、
図１における整数型乗算回路１１，２の拡大体上乗算回
路１２及びセレクタ１３に代えて乗算回路４１を備える
他、第１の実施形態と同様に構成されている。

【０１１５】この乗算回路４１は、制御部５からの制御
信号Ｓ１によって整数型乗算と２の拡大体上乗算
（（６）式のｃ’のみ）を切り替えるようになってい
る。

【０１１６】図９は本実施形態の乗算回路を実現するた
めの４＊４ビットの単位乗算の回路構成例を示す図であ
る。なお、現実の乗算回路４１は、同図の単位演算装置
を８＊３２ビット構成にしたものである。また、図９
（ｂ）の回路は同図（ａ）の回路の入力部分２９を示す
ものである。

【０１１７】この乗算回路４１は、図９（ａ）に示すよ
うに、全加算器として図５に示すキャリー制御機能付き
全加算器４２を用いているので、制御信号Ｓ１に従って
キャリー伝搬の有無を制御できる。したがって、２の拡
大体演算コマンドによる整数型乗算と２の拡大体上乗算
との切替が実現される。

【０１１８】こうして本実施形態の演算装置では第１の
実施形態と同様な動作が実現される。

【０１１９】上述したように、本発明の実施の形態に係
る演算装置及び暗号処理装置は、整数型乗算回路１１，
２の拡大体上乗算回路１２及びセレクタ１３に代えて乗
算回路４１を用いるようにし、一つの回路４１で回路１
１，１２及び１３の機能を実現するようにしたので、第
１の実施形態と同様な効果が得られる他、より少ない回
路追加で整数型乗算と２の拡大体上乗算との切り替えを
実現にすることができる。

【０１２０】なお、本実施形態ではキャリー制御機能付
き全加算器４２として図５に示すものを用いるようにし
たが、キャリー制御機能付き全加算器４２に代えて、図
６又は図７に示すキャリー制御機能付き全加算器４３又
は４４を用いるようにしてもよい。

【０１２１】（第３の実施形態）図１０は本発明の第３
の実施形態に係る演算装置及び暗号処理装置に適用され
るコプロセッサの構成例を示すブロック図である。

【０１２２】本実施形態は、第１の実施形態に関し、剰
余算の部分を具体的に示す具体例であり、図示するよう
に、制御部５において、前述した機能に剰余算機能が付
加された２の拡大体演算制御部２２ａと、この剰余算機
能に制御され、且つ逆数計算部５１を有する商立て回路
５０とを備えている。

【０１２３】ここで、２の拡大体演算制御部２２ａは、
（５）式の乗算結果ｃ’（ｘ）を得るために演算部４を
制御する前述した機能に加え、この乗算結果ｃ’（ｘ）
に対して法多項式ｆ(x) による剰余算を実行させるよう
に、演算部４及び商立て回路５０を制御する機能をもっ
ている。具体的には、制御機能は、後述する演算アルゴ
リズムに基づいて、メモリ２やバッファＸ，Ｙ，Ｚ，Ｒ
との間でデータを入出力する機能と、この入出力に連動
し、乗算コマンド、加算コマンド及び逆数計算コマンド
などの各種コマンドを生成して対応する演算回路に与え
る機能とを有している。

【０１２４】商立て回路５０は、数式的には剰余算のう
ちで、被除多項式ｃ’（ｘ）を法多項式ｆ（ｘ）で除し
た商を算出するためのものであり、ここでは、法多項式
ｆ（ｘ）の逆数β（ｘ）と被除多項式ｃ’（ｘ）とを乗
算して前述した商を求める機能をもっている。

【０１２５】具体的には、商立て回路５０は、２の拡大
体演算制御部２２ａにより制御され、図１１に示すよう
に、剰余算の１回目のみメモリ２内の法多項式ｆ（ｘ）
の上位２ブロック（ＦL-1(x)，ＦL-2(x)）を逆数計算部
５１に与えてその上位２ブロックの逆数β（ｘ）を算出
させる機能と、得られたβ（ｘ）がメモリ２に書込まれ
ると、メモリ２からこの逆数を読出す機能と、読出した
逆数β（ｘ）と現在の被除多項式の上位２ブロック
（Ｃ’L-1(x)，Ｃ’L-2(x)）とを乗算して商γ(x)を得
る機能と、得た商γ(x) の上位２ブロック目を商ｑi(x)
として立て、この商ｑi(x)をメモリ２に書込む機能と、
これら逆数β（ｘ）の読出から商ｑi(x)の書込までの動
作を剰余ｃ（ｘ）を得るまで繰り返す機能とをもってい
る。

【０１２６】逆数計算部５１は、図１２に示すように、
メモリ２内の法多項式ｆ（ｘ）の上位２ブロック（ＦL-
1(x)，ＦL-2(x)）を商立て回路５０から受けると、図１
３に示すように、この２ブロック（ＦL-1(x)，ＦL-2
(x)）に基づいてその逆数β（ｘ）を算出する機能と、
得られた逆数β（ｘ）をメモリ２に書込む機能とをもっ
ている。また、逆数計算部５１は、その一部に図２７に
示したＬＦＳＲが割り算回路として使用されている。

【０１２７】ここで、逆数β（ｘ）は、ビット数が固定
長であり、後段の除算処理本体にて除数の正規化並びに
演算結果の逆正規化の処理を不要とする観点から、単な
る逆数ではなく、図１３に示したように予め補正されて
いる。また、逆数β（ｘ）自体は、逆数計算部５１を含
む商立て回路５０に代えて、演算部４に算出させてもよ
い。

【０１２８】なお、逆数計算部５１は、例えば整数型の
積和演算回路のバス幅が８ビットのように小さいとき、
全ての８ビット値の逆数値をテーブルにしてＲＯＭなど
に記憶させる方式に置き換えが可能である。しかしなが
ら、逆数計算部５１は、バス幅が１６ビット以上のと
き、コストを低減させる観点から、全ての１６ビット値
の逆数値をＲＯＭに記憶させる方式よりも好ましい。

【０１２９】次に、以上のように構成された演算装置
（コプロセッサ）の動作を説明する。

【０１３０】本発明に係る２の拡大体多項式基底の剰余
乗算は、乗算と剰余算とを別に行う。すなわち、図１４
に示すように、乗算対象の多項式ａ(x) ，ｂ(x) 及び法
多項式ｆ(x) を入力し（ＳＴ１）、ａ(x) ・ｂ(x) の乗
算を行って２倍のビット長の乗算結果Ｃ’（ｘ）を得た
後（ＳＴ２）、Ｃ’（ｘ）ｍｏｄｆ(x) の剰余算を行
い（ＳＴ３）、剰余ｃ（ｘ）を得る（ＳＴ４）。

【０１３１】ここで、ステップＳＴ２の乗算は、第１及
び第２の実施形態で述べた通りである。よって、ここで
はステップＳＴ３〜ＳＴ４の剰余算の動作について説明
する。なお、始めに筆算について延べ、次いで、筆算に
対応した実際の処理を説明する。

【０１３２】（６）式の剰余算は、図１５に筆算を示す
ように、除数ｆ(x) と、被除数C(x)とが所定ビット数ｋ
の単位ブロック毎に分割されて行われる。なお、単位ブ
ロックのビット数は、例えばコプロセッサ１のバス幅に
対応したビット数が適用可能である。

【０１３３】次に、被除数ｃ(x) の上位ブロックｃL-i
(x)がｆ(x) で除算され、上位桁から１ブロックの商qi
(x) が立てられ、ｃ(x) −f(x)・ｑi(x)として、上位桁
から１ブロックの被除数c(x)が減らされる。

【０１３４】詳しくは、１ブロックの商qi(x) と除多項
式f(x)との乗算結果が毎回（ｍ＋１）ブロックになる。
また、この乗算結果を今回の被除多項式ｃ(x) から減算
（＝加算）して、（２ｍ−１＊ｎ）ブロックの次回の被
除多項式を算出し（ｎは乗算回数）、すなわち前回の被
除数c(x)を１ブロックずつ減らしていく。

【０１３５】剰余算は、このような商立てから減算まで
の処理をｎ回（＝被除数のビット数／単位ブロックのビ
ット数）繰り返し、剰余ｃ（ｘ）を得て完了する。

【０１３６】続いて、剰余算を行う実際の処理動作を説
明する。上述した剰余算において、商ｑi(x)を立てる動
作は、図１１に示すように商立て回路５０が行い、ｃ
(x) −f(x)・ｑi(x)として被除数ｃ(x) を減らす動作
は、図１６に示すように演算部４が行う。これら商立て
回路５０及び演算部４の動作について、以下、順次述べ
る。

【０１３７】商立て回路５０は、最初の１回目の商計算
を行うとき、図１１及び図１２に示すように、除数ｆ
（ｘ）の逆数β（ｘ）を算出するため、メモリ２から除
数ｆ(x) の上位２ブロック（Ｆ_L-1(x)，Ｆ_L-2(x)）を読
出すと、逆数計算部５１に入力する。

【０１３８】逆数計算部５１は、図１３及び（８）式に
示すように、この２ブロック（Ｆ_L- ₁(x)，Ｆ_L-2(x)）の
うち、上位１ブロックＦ_L-1(x)の最上位ビットＭＳＢか
ら連続した０の数をｄとして記憶する。

【０１３９】ｄ＝count_zero( Ｆ_L-1(x)) …（８）但し、count_zero()：（）の値でＭＳＢから連続した０
の数を数える関数また、この無効な桁数ｄに基づいて、
後述する左シフトの桁数ｈを（９）式のように算出して
記憶する。

【０１４０】ｈ＝（ｄ＋１）ｍｏｄｋ …（９）次に、逆数計算部５１は、図１３及び（１０）式に示す
ように、除数ｆ（ｘ）の上位２ブロック（Ｆ_L-1(x)，Ｆ
_L-2(x)）の逆数α（ｘ）をＬＦＳＲ９０にて算出する。

【０１４１】 α（ｘ）＝ｘ^2k／（Ｆ_L-1(x)・Ｘ^k ＋Ｆ_L-2(x)） …（１０）例えば、１ブロックが１６ビット（ｋ＝１６）の場合を
説明する。また、被除数は、最上位ビットＭＳＢが
“１”で他のビットが“０”のｘ² ^＊16（＝ｘ^2k）であ
るとする。

【０１４２】逆数計算部５１は、上位２ブロック（Ｆ
_L-1(x)，Ｆ_L-2(x)）を除数として図２７中の係数器９３
に設定した後、被除数ｘ^2kを高次からシフトレジスタに
入力して１クロック毎のシフトを２＊１６回繰り返し、
３２ビットの逆数α(x) を得る。なお、１ブロックは、
８ビットや３２ビットでもよく、その他の任意のビット
数でも同じ方式で逆数α（ｘ）を算出可能となってい
る。

【０１４３】続いて、逆数計算部５１は、この逆数α
（ｘ）をそのＭＳＢ側に（ｋ−１）ビットの“０”と１
ビットの“１”を連結して２ｋビットの値α’（ｘ）に
する。その後、この２ｋビットの値α’（ｘ）を、（１
１）式に示すように、（９）式で得た左シフトの桁数ｈ
だけ左にビットシフトし、補正された逆数β（ｘ）を算
出する。

【０１４４】 β（ｘ）＝α’（ｘ）・ｘ^ｈ …（１１）ここで、補正された逆数β(x) とは、以上の（８）式〜
（１１）式を満たす値である。また、逆数β（ｘ）は、
与えられた法多項式ｆ(x) に対して１回だけ算出してメ
モリ２に保持し、以後はメモリ２から読み出される。ま
た、被除数が変わっても、法多項式ｆ(x) が同一であれ
ば逆数β（ｘ）も同一であるため、逆数β（ｘ）を算出
せずにメモリ２から読出せばよい。

【０１４５】商計算のうち、逆数β(x) が事前設定され
ていると、剰余算は、以下の（１２）式〜（１５）式で
実行できる。

【０１４６】すなわち、商立て回路５０は、（１２）式
及び図１１に示すように、現在の被除数Ｃi （０≦ｉ≦
ｎ）の上位２ブロック（ＣL-1(x)，ＣL-2(x)）と逆数β
(x)を掛ける。 γ(x) ＝β(x) ・（ＣL-1(x)・ｘ^k ＋ＣL-2(x)） …（１２）また、商立て回路５０は、（１３）式に示すように、こ
の結果γ(x) のうち、１ブロック分の商ｑi(x)に該当す
る桁を上位２ブロック目として切出し処理し、メモリ２
に書込む。ｑi(x)＝γ(x) ／ｘ^2k …（１３）これにより、１ブロック分の商ｑi(x)が得られる。次
に、現在の被除数ｃi(x)から除数と商の積ｆ(x) ・ｑi
(x)を減算する処理は、図１６に示すように、演算部４
が実行する。

【０１４７】すなわち、演算部４では、２の拡大体上乗
算回路１２が、法多項式ｆ(x) と、現在の１ブロック分
の商ｑi(x)とを乗算して（１４）式に示すように乗算結
果Ｐ(x) を得る。

【０１４８】Ｐ(x) ＝ｆ(x) ・ｑi(x) …（１４）また（１５）式に示すように、加算回路１４，１５が、
この乗算結果Ｐ(x) を現在の被除数Ｃi から減算し（=
加算し）、次回の被除数Ｃi+1 を得る。Ｃi+1 ＝Ｃi ＋Ｐ(x) …（１５）以下、（１２）式〜（１５）式をｎ回、繰り返して行
い、最終的に、図１４〜図１６に示す如き、剰余ｃ(x)
を得る。この剰余ｃ(x) （＝［ｃ_m-1 ，…，ｃ₁，ｃ
₀ ］）が、（３）式に示した最終的な剰余乗算結果ｃ
(x) に相当する。

【０１４９】以上により、第１又は第２の実施形態に述
べた（５）式の乗算結果ｃ(x) から（６）式の剰余算結
果ｃ(x) を算出でき、もって、乗算及び剰余算からなる
剰余乗算を完結することができる。

【０１５０】（評価）続いて、以上のように剰余乗算を
行う第１及び第３の実施形態におけるコプロセッサ１の
処理速度と回路規模を評価したので、順次説明する。（処理速度の評価）コプロセッサ１における各コマンド
の所要クロック数は、ビット数ｍ＝１６０の場合とｍ＝
１０２４の場合に関し、図１７に示す通りである。な
お、楕円曲線暗号への応用では、ビット数ｍ＝１６０が
典型的なサイズである。図示したｍ＝１０２４の場合は
整数型ＲＳＡ方式暗号の現在安全であるとされる最大の
鍵長が１０２４ビットであることから、将来想定される
楕円曲線暗号への鍵長の増加に伴う速度の見積もりとし
て示した。

【０１５１】次に、処理速度の相対比較のため、１６０
ビットの２の拡大体ＧＦ（２¹⁶⁰ ）の加算、乗算、二乗
算における処理クロック数を評価した。結果は図１８に
示す通りである。なお、乗算と二乗算と乗算のクロック
数は、ＧＦ（２¹⁶⁰ ）演算の速度比較のため、図１７と
は異なり、法多項式による剰余算を含むクロック数とな
っている。

【０１５２】また、相対比較値としてのＳＲ比は、コプ
ロセッサ１のクロック数を通常のシフトレジスタ回路の
クロック数で除した値であり、この値が小さいほど処理
速度が高速であることを示す。このＳＲ比によれば、本
発明のコプロセッサ１は、加算を除き、通常のシフトレ
ジスタ回路と同等の処理速度で２の拡大体演算を実行で
きることが分かる。

【０１５３】（回路規模の評価）コプロセッサ１の回路
規模は、図１９に示すように、全体で約３０ｋゲートの
規模となる。このコプロセッサ１の回路は、整数型コプ
ロセッサに対し、２の拡大体演算を処理するための回路
を追加したものである。

【０１５４】具体的には図２０に示すように、演算部４
では、積和演算回路において、キャリー有り・無しの切
替回路を追加している。制御部５では、加算、乗算及び
二乗算に関し、追加がほぼ不要であるが、除算に関し、
商立て回路５０を追加している。ＲＡＭ（メモリ２）及
びＩ／Ｆは、整数型コプロセッサと共用するため追加が
不要である。

【０１５５】これにより、追加回路の規模は、全体で約
５ｋゲートとなる。５ｋゲートという追加回路量は、最
近のＬＳＩ技術では大きい量ではなく、現行コプロセッ
サに代えて、本発明のコプロセッサ１を用いることが十
分可能な範囲にある。

【０１５６】また比較のため、本発明のコプロセッサ１
を用いずに２の拡大体の演算機能（加算・乗算・二乗
算）を実現する場合における２の拡大体演算専用のコプ
ロセッサの回路規模を見積もった。結果は、図２１に示
す通りである。

【０１５７】図示するように、２の拡大体演算専用のコ
プロセッサの回路規模は、ｍ＝１６０の場合に１０ｋゲ
ートであり、ｍ＝１０２４の場合には１６ｋゲートであ
る。これにより、２の拡大体の演算機能を実現する場
合、本発明に係るコプロセッサ１を用いた方が、２の拡
大体演算専用のコプロセッサを設ける場合に比べ、約１
／２〜１／３という少ない追加回路で実現できることが
分かる。

【０１５８】上述したように本実施形態によれば、第１
の実施形態の効果に加え、剰余算処理の際に線形フィー
ドバックシフトレジスタＬＦＳＲ９０ではなく、多倍長
の積和演算回路が演算を行うので、１以上の任意の拡大
次数ｍを使用でき、２の拡大体の拡大次数ｍを増加して
も、装置本体を作り直さずに演算を実行することができ
る。さらに、拡大次数ｍの制限によるハードウェア的な
制約を無くすことで暗号鍵のビットの増加にも対応する
ことができる。

【０１５９】また、２の拡大体の剰余乗算を乗算処理と
剰余算（除算）処理とに分割し、任意の法多項式ｆ(x)
を使用できるようにしたので、汎用性を向上させること
ができる。

【０１６０】また、商立て回路５０が、剰余算処理のと
き、被除多項式ｃ(x) と除多項式ｆ(x) とに基づいて商
計算を行い、上位からバス幅と同じビット数の１ブロッ
クの商多項式ｑi(x)を立てると、演算部４が、この商多
項式ｑi(x)と除多項式ｆ(x)との乗算結果ｑi(x)・ｆ(x)
を今回の被除多項式ｃi(x)から減らして次回の被除多
項式ｃi-1(x)を算出する。

【０１６１】コプロセッサ１は、このような商立て回路
５０による商計算と、演算部４の積和演算による被除多
項式データの算出までの処理を繰り返して剰余ｃ（ｘ）
を得るので、ハードウェアの特性を生かして剰余算と商
計算の効率化を図ることができる。

【０１６２】さらに、商立て回路５０としては、商計算
のとき、除多項式データの上位２ブロックの逆数データ
と今回の被除多項式データの上位２ブロックとを乗算
し、この乗算結果の上位２ブロック目を１ブロックの商
多項式データとすることにより、得られた商多項式のう
ち、有効数字の部分を抽出できるので、演算精度の最適
化を図ることができる。

【０１６３】また、商計算において、除多項式ｆ(x) の
上位２ブロックからの逆数β(x) の算出をコマンドとし
て独立させ、２の拡大体演算に先行して逆数β(x) を算
出し、得られたβ(x) をメモリ２に格納し、剰余算の実
行時には逆数β(x) をメモリ２から読出す。

【０１６４】すなわち、同じ法多項式下での重複する剰
余算の実行時に、逆数データをメモリから読出して商を
立てるので、２回目の商計算以降は逆数データの算出時
間を省略でき、もって、２の拡大体乗算（剰余乗算）、
二乗算の処理時間を短縮することができる。また、逆数
β(x) を事前に算出できるので、２の拡大体の剰余乗算
を、乗算と加算とを行う積和演算回路のみを用いて実現
することができる。

【０１６５】次に、商立て回路５０としては、逆数デー
タを算出するとき、除多項式データの上位２ブロックの
うち、上位から連続した０の数を計数すると、上位から
１ブロック＋１ビットの多項式データを最上位ビットを
１とするように抽出し、この抽出した多項式データの逆
数を求め、得られた逆数の最上位ビット側に、最下位ビ
ットが１で他のビットが０の１ブロックの補正データを
連結して全体で２ブロックのデータを求め、このデータ
を前記計数した０の数だけ上位側にビットシフトさせた
結果を逆数データとする。

【０１６６】このため、一般的な多倍長の整数型の除算
で用いられる単精度除算を用いたKnuth のアルゴリズム
による除数の正規化や近似商の補正処理、商や剰余とい
った演算結果の逆正規化の処理を行わないように、予め
補正した値を逆数データとしたので、ビットシフトの回
数を減らすことができ、演算装置を最適化することがで
きる。

【０１６７】例えば、整数型の乗算では、ｍビット＊ｍ
ビット＝２ｍビットとなり、２ｍビットの上位に数ビッ
トの連続した０が並んでいる場合でも有効なビット数は
２ｍである。この乗算結果を用いて除算（剰余算）を行
う場合、０での割り算はできないため、予め除数、被除
数を左シフトしてＭＳＢに１が立つように正規化する必
要がある。所定のループを終えて演算が終了した時点
で、事前に左シフトしたビット数だけ演算結果（商、剰
余）を右シフトする逆正規化の処理も必要である。一
方、本実施形態では、このような除算ループの前後処理
を不要にする観点から、商計算時の除数（逆数データβ
(x) ）を補正したので、演算装置を最適化することがで
きる。

【０１６８】また、本実施形態は、ビット単位ではな
く、ブロック単位で演算を実行し、且つ補正された逆数
β(x) を用いて演算を実行するので、ビットシフトの回
数を低減でき、処理速度の高速化を図ることができる。

【０１６９】さらに、少ないコマンドと、多倍長積和演
算回路を用いた演算方式により、通常のシフトレジスタ
型の２の拡大体乗算回路と同等の処理速度を有し、且
つ、整数型演算や２の拡大体演算に基づく各種暗号方式
を実行可能なＬＳＩを登載した演算装置及び暗復号装置
を少量の追加回路により実現することができる。なお、
２の拡大体演算を用いた暗号方式としては、素体版楕円
番号、多項式基底楕円暗号等の楕円曲線暗号が適用可能
となっている。

【０１７０】また、本実施形態は、第１の実施形態にお
ける除算過程の具体例として説明したが、第２の実施形
態における除算過程の具体例としても、同様の作用効果
を得ることができる。

【０１７１】（第４の実施形態）図２２は本発明の第４
の実施形態に係る演算装置及び暗号処理装置に適用され
るコプロセッサの構成例を示す模式図である。

【０１７２】本実施形態は、第１〜第３の実施形態の変
形形態であり、２の拡大体演算専用の演算装置としたも
のであって、具体的には、整数型乗算器１１、セレクタ
１３、整数演算制御部２１を省略した構成となってい
る。但し、演算アルゴリズムは、前述した通りであり、
２の拡大体の乗算処理を乗算と剰余算とに分割し、乗算
の後に剰余算を実行する。

【０１７３】以上のような構成としても、整数型演算自
体の作用効果と、整数型演算並びに２の拡大体演算の切
替に関する作用効果とを除き、第１〜第３の実施形態の
効果を得ることができる。換言すると、２の拡大体演算
に関し、第１〜第３の実施形態の効果を得ることができ
る。

【０１７４】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１７５】

【発明の効果】以上詳記したように本発明によれば、最
小のアーキテクチャを追加するだけで整数型の演算に加
えて２の拡大体上の演算をも実行できる演算装置及び暗
号処理装置を提供することができる。

【０１７６】また、２の拡大体の拡大次数ｍを増加して
も、装置本体を作り直さずに演算を実行できる演算装置
及び暗号処理装置を提供できる。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る演算装置の構成
例を示すブロック図。

【図２】ｃ’（ｘ）＝ａ（ｘ）＊ｂ（ｘ）を実現するた
めの４＊４ビットの単位乗算の回路構成例を示す図。

【図３】整数型乗算を実現するための４＊４ビットの単
位乗算の回路構成例を示す図。

【図４】同実施形態におけるコプロセッサに用いられる
キャリー制御機能付きの４ビットのリップルキャリー型
全加算器の構成例を示すブロック図。

【図５】同実施形態の加算回路に用いられる全加算器及
びキャリー制御スイッチの構成例を示す図。

【図６】キャリー制御機能付き全加算器の変形例を示す
図。

【図７】キャリー制御機能付き全加算器の他の変形例を
示す図。

【図８】本発明の第２の実施形態に係る演算装置の構成
例を示すブロック図。

【図９】同実施形態の乗算回路を実現するための４＊４
ビットの単位乗算の回路構成例を示す図。

【図１０】本発明の第３の実施形態に係る演算装置及び
暗号処理装置に適用されるコプロセッサの構成例を示す
ブロック図

【図１１】同実施形態における商立て回路の構成を示す
模式図

【図１２】同実施形態における逆数計算部の機能を説明
するための模式図

【図１３】同実施形態における逆数計算部の構成を示す
模式図

【図１４】同実施形態における２の拡大体多項式基底の
剰余乗算方式を説明するためのフローチャート

【図１５】同実施形態における剰余算処理を説明するた
めの筆算の模式図

【図１６】同実施形態における演算部の処理を示す模式
図

【図１７】同実施形態における各コマンドの所要クロッ
ク数を示す図

【図１８】同実施形態におけるＧＦ( ２¹⁶⁰)演算の所要
クロック数を示す図

【図１９】同実施形態におけるコプロセッサの回路規模
を示す図

【図２０】同実施形態における追加回路量を示す図

【図２１】同実施形態における比較用のＧＦ( ２^ｍ) 演
算専用のコプロセッサの回路規模を示す図

【図２２】本発明の第４の実施形態に係る演算装置及び
暗号処理装置に適用されるコプロセッサの構成例を示す
模式図

【図２３】暗号処理用演算用コプロセッサを含むＩＣカ
ード用ＬＳＩのブロック図。

【図２４】図１０に示すＬＳＩにおけるコプロセッサ部
分の構成例を示すブロック図。

【図２５】多項式基底の２の拡大体演算を行うコプロセ
ッサのハードウェア構成例を示すブロック図。

【図２６】円分体といわれる２の拡大体の乗算回路を示
す図。

【図２７】一般的な線形フィードバックシフトレジスタ
ＬＦＳＲの構成を示すブロック図

【符号の説明】

１，１’…コプロセッサ２…メモリ３…データバス１１…整数型乗算回路１２…２の拡大体上乗算回路１３…セレクタ１４…加算回路１５…加算回路１６…キャリー保持部２１…整数演算制御部２２…２の拡大体演算制御部３２…全加算器３３…スイッチ４１…乗算回路４２，４３，４４…キャリー制御機能付き全加算器５０…商立て回路５１…逆数計算部Ｓ１，ｓ２…制御信号

───────────────────────────────────────────────────── フロントページの続きＦターム(参考） 5B017 AA06 BA07 BB03 CA14 5B022 AA05 BA11 CA03 CA04 DA09 FA10 5B035 AA00 BB09 CA11 5J104 AA22 JA23 NA18

Claims

【特許請求の範囲】

【請求項１】２の拡大体の多項式基底表現での剰余乗
算を実行可能な多倍長の積和演算回路を有する演算装置
であって、前記剰余乗算を乗算処理と剰余算処理とに分割して前記
積和演算回路の制御により実行するための制御手段を備
えたことを特徴とする演算装置。
【請求項２】請求項１に記載の演算装置において、前記積和演算回路は、前記２の拡大体多項式基底における多項式データを乗算
するとき、キャリー伝播をしない単精度の乗算回路と、前記乗算回路による乗算結果を用いて加算を行う倍精度
の加算回路とを有し、前記制御手段は、前記乗算処理のとき、前記乗算回路と
前記加算回路を制御することを特徴とする演算装置。
【請求項３】請求項２に記載の演算装置において、前記制御手段に制御され、前記剰余算処理のとき、２つ
の多項式データの乗算結果を初回の被除多項式データと
し、所定の法多項式データを除多項式データとし、前記
初回又は２回目以降の被除多項式データと前記除多項式
データとに基づいて商計算を行い、上位からバス幅と同
じビット数の１ブロックの商多項式データを立てる商立
て回路を有し、前記制御手段は、前記剰余算処理のとき、前記商立て回
路の制御により１ブロックの商多項式データが立ったと
き、前記乗算回路及び前記加算回路の制御により、前記
１ブロックの商多項式データと前記除多項式データとの
乗算結果を今回の被除多項式データから減らして次回の
被除多項式データを算出し、前記商立て回路の制御から
前記被除多項式データの算出までの処理を繰り返して剰
余データを得ることを特徴とする演算装置。
【請求項４】請求項３に記載の演算装置において、前記商立て回路は、前記商計算のとき、前記除多項式デ
ータの上位２ブロックの逆数データと今回の被除多項式
データの上位２ブロックとを乗算し、この乗算結果の上
位２ブロック目を前記１ブロックの商多項式データとす
ることを特徴とする演算装置。
【請求項５】請求項４に記載の演算装置において、前記商立て回路は、初回に商多項式データを立てると
き、前記除多項式データの上位２ブロックから逆数デー
タを算出してメモリに記憶させ、２回目以降に商多項式
データを立てるとき、前記メモリ内の逆数データを読出
して用いることを特徴とする演算装置。
【請求項６】請求項４又は請求項５に記載の演算装置
において、前記商立て回路は、前記逆数データを算出するとき、前
記除多項式データの上位２ブロックのうち、上位から連
続した０の数を計数すると、上位から１ブロック＋１ビ
ットの多項式データを最上位ビットを１とするように抽
出し、この抽出した多項式データの逆数を求め、得られ
た逆数の最上位ビット側に、最下位ビットが１で他のビ
ットが０の１ブロックの補正データを連結して全体で２
ブロックのデータを求め、このデータを前記計数した０
の数だけ上位側にビットシフトさせた結果を前記逆数デ
ータとすることを特徴とする演算装置。
【請求項７】請求項１乃至請求項６のいずれか１項に
記載の演算装置を備え、前記演算装置による２の拡大体の剰余乗算に基づく暗号
化又は復号処理を実行することを特徴とする暗号処理装
置。
【請求項８】請求項１乃至請求項６のいずれか１項に
記載の演算装置において、整数型の単位乗算を実行する場合にはキャリーを伝搬さ
せて単位乗算回路を動作させ、２の拡大体の単位乗算を
実行する場合にはキャリーを伝搬させずに単位乗算回路
を動作させるようにしたことを特徴とする演算装置。
【請求項９】請求項１乃至請求項６のいずれか１項に
記載の演算装置において、整数型の単位乗算回路と、前記整数型の単位乗算回路と論理的に隣接して配置され
た２の拡大体の単位乗算回路と、前記整数型の単位乗算回路を使用するか、前記２の拡大
体の単位乗算回路を使用するかを選択する選択手段とを
備えたことを特徴とする演算装置。
【請求項１０】請求項１乃至請求項６のいずれか１項
に記載の演算装置において、整数型の単位乗算回路と、整数型の単位乗算を実行するか、２の拡大体の単位乗算
を実行するかの選択信号を前記整数型の単位乗算回路に
出力する選択制御手段とを備えると共に、前記整数型の単位乗算回路は、多倍長の積和演算を実行
する際に、整数型の単位乗算を実行すべき旨の選択信号
を受けたときにはキャリーを伝播し、２の拡大体の単位
乗算を実行すべき旨の選択信号を受けたときにはキャリ
ー伝搬をしないキャリー伝搬制御手段を備え、前記単位
乗算回路におけるキャリー伝搬を制御することにより、
整数型乗算と２の拡大体の乗算を切替可能に構成された
ことを特徴とする演算装置。
【請求項１１】請求項１０に記載の演算装置におい
て、前記キャリー伝搬制御手段は、前記選択信号とキャリー
アウト信号を入力とするスイッチによって、１ビット毎
の全加算器におけるキャリーの伝搬制御を行うことを特
徴とする演算装置。
【請求項１２】請求項１０に記載の演算装置におい
て、前記キャリー伝搬制御手段は、１ビット毎の全加算器に
おける２入力ａ，ｂの排他的論理和の結果ｃを加算結果
として出力するか、前記結果ｃと入力キャリーとの排他
的論理和の結果ｄを加算結果として出力するかを切り替
える選択手段からなることを特徴とする演算装置。
【請求項１３】請求項８乃至請求項１２のいずれか１
項に記載の演算装置において、前記整数型の乗算を実行する場合にはキャリーを伝搬さ
せて加算を実行し、２の拡大体の乗算を実行する場合に
はキャリーを伝搬させずに加算を実行する加算回路を備
えたことを特徴とする演算装置。
【請求項１４】請求項８乃至請求項１３のいずれか１
項に記載の演算装置を備え、前記演算装置による整数型の演算に基づく暗号化又は復
号処理と、前記演算装置による２の拡大体の演算に基づ
く暗号化又は復号処理との双方を切替可能に構成された
ことを特徴とする暗号処理装置。