JP2001051832A - 乗算剰余演算方法および乗算剰余回路 - Google Patents

Abstract

(57)【要約】 【課題】 既約多項式の次数を固定することなく汎用性
があり、大きな次数の変数についても高速な演算を可能
とする乗算剰余演算方法および乗算剰余回路を提供す
る。 【解決手段】 多項式基底で表される２の拡大体GF(2^m)
上の２つの元a(x),b(x)と既約多項式f(x)の乗算剰余演
算を行う際に、a(x)×b(x)の上位ビットとパラメータf'
(x)との積の上位ビットをf(x)に乗算して、a(x)×b(x)
のｍ次以上の部分がキャンセルされるようなf(x)の倍数
をa(x)×b(x)に加算する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、多項式基底で表さ
れる２の拡大体GF(2^m)上の２つの元a(x)，b(x)と既約多
項式ｆに対して、a(x)×b(x) mod f(x)の乗算剰余演算
を行う乗算剰余方法および乗算剰余演算回路に関する。

【０００２】

【従来の技術】近年のコンピュータネットワークの発達
により、データベースの検索や電子メール、電子ニュー
スなどの電子化された情報をネットワークを経由して送
受信する機会が急速の増加してきている。さらに、これ
らを利用して、オンラインショッピングなどのサービス
も提供されつつある。しかし、それに伴って、ネットワ
ーク上の電子化されたデータを盗聴したり、改竄した
り、または他人になりすましてサービスを受けるなどの
違法行為についての問題が浮上してきている。特に、無
線を利用したネットワークにおいては、傍受が容易なた
めこれらを防止する対策が望まれている。

【０００３】これらの問題に対して暗号技術（encrypti
on technology）を応用した暗号化電子メールや利用者
認証システムが提案され、種々のネットワークにも導入
されつつあり、コンピュータネットワークにおいて暗号
化は必須の技術となりつつある。この意味でコンピュー
タネットワークにおいては暗号化は必須の技術であると
いえる。

【０００４】暗号化方式は、大別すると秘密鍵暗号系と
公開鍵暗号系の２つの分類することができる。秘密鍵暗
号系は、送信者と受信者が同じ鍵を持つことにより暗号
通信を行う方式である。すなわち、秘密鍵暗号系では、
あるメッセージを秘密の暗号鍵に基づいて暗号化し相手
に送り、受け手はこの暗号鍵を用いて暗号分を複合化し
もとのメッセージに戻して情報を入手する。

【０００５】公開鍵暗号系は、送信者は公開されている
受信者の公開鍵でメッセージを暗号化して送信し、受信
者は自分の秘密鍵でその暗号化メッセージを復号するこ
とで通信を行う方式である。すなわち、公開鍵暗号系で
は、公開鍵は暗号化のための鍵、秘密鍵は公開鍵により
暗号化された暗号を復号するための鍵であり、公開鍵で
暗号化した暗号が秘密鍵でのみ復号することができる。

【０００６】秘密鍵暗号系では、個人が秘密に保管しな
ければならない鍵の数が通信相手の数だけ必要であり、
必要な総鍵数はｎ人のネットワークの場合、n(n-1)／２
個である。また、はじめて通信をする相手に対しては、
何らかの方法で秘密鍵の配送を行う必要があるという点
で欠点がある。この問題を避けるために、大規模なネッ
トワークでは、鍵管理センタを設置し、センタとの間の
秘密鍵のみを保管し、暗号通信を行う場合はセンタから
送信相手との秘密鍵を得る方法が用いられる。この場合
秘密鍵の総数はｎとなる。

【０００７】一方公開鍵暗号系では、個人が秘密に保管
する鍵は自分の秘密鍵のみであり、必要な総秘密鍵数も
ｎ人のネットワークの場合、ｎ個である。また、はじめ
て通信する相手に対しては、公開鍵の配送を行えばよ
く、鍵管理センタを設置して、ユーザの公開鍵をｎ個公
開簿に登録し、センタから送信相手の公開鍵を得る方法
が用いられる。この場合、センタは公開鍵の改竄を防ぐ
だけで、秘密に保管する必要がない。ただし、公開鍵方
式は秘密鍵方式に比べて鍵のビット数が大きいため保管
に要するファイルサイズが大きくなるという問題を内包
している。

【０００８】また、認証の場合、秘密鍵暗号系では、例
えば、送信するメッセージを秘密鍵で圧縮変換し、送信
文に付加して送り、受信側では同様に圧縮変換して比較
する方式がとられている。しかし、送受信が同じ鍵であ
るため受信者は認証データを偽造することができる。こ
れに対して、公開鍵暗号系では、秘密鍵で暗号化するこ
とができるのは本人だけであるという特徴を利用する。
送信者はメッセージを圧縮変換して秘密鍵で暗号化し、
送信文に付加して送り、受信者は送信者の公開鍵で付加
されたデータを復号化し、同様に圧縮変換したものと比
較する方式がとられている。この場合は受信者が不正で
きない。

【０００９】このように、認証系では公開鍵暗号系の技
術は必要不可欠であるといえる。しかし、公開鍵暗号系
には、暗号化／復号化に大量の処理が必要であるという
大きな欠点があるため、一般には処理の速い秘密鍵暗号
系をメッセージの暗号化に、公開鍵暗号系は認証用にと
いうように組み合わせて用いられる場合が多い。公開鍵
暗号系の中で、現在IEEE P1363, ANSI X 9.62などで標
準化が進んでいるものに、楕円曲線暗号（Elliptic Cur
ve Cryptography）がある。これは、楕円曲線の離散対
数問題に基づくもので、N. Koblitz（"A course in num
ber theory and cryptography", Spring-Verlag, 199
7）と、V. Miller（"Use of elliptic curves in crypt
ography", Advances in Cryptology-Proceedings of Cr
ypto'85, Lecture Notes in Computer Science, 218(19
86), Spring-Verlag, pp 417-426）により提案された。 〔楕円曲線暗号に用いる楕円曲線〕楕円曲線暗号に用い
る主な楕円曲線は、素体上の楕円曲線（標準形：ｙ²＝
ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ），ｐ：素数，ａ，ｂ：ＧＦ
（ｐ）の元）と、２の拡大体上の楕円曲線（標準形：ｙ
²＋ｘｙ＝ｘ³＋ａｘ²＋ｂ（ｍｏｄ ｆ），ｆ：ｎ次既
約多項式，ａ，ｂ：ＧＦ（２ⁿ）の元）である。この楕
円曲線上の点Ｐ（ｘ，ｙ）および単位元となる無限遠点
Οの集合は、加算に関して群をなす。楕円曲線は、この
点の演算による離散対数問題に基づく暗号である。 〔楕円曲線の点の演算と離散対数問題〕楕円曲線上の点
の演算は以下のものが定義されている。 加算：Ｒ＝Ｐ＋Ｑ＝Ｑ＋Ｐ ２倍算：Ｒ＝２Ｐ＝Ｐ＋Ｐ 減算：Ｒ＝Ｐ−Ｑ 零点：Ο（無限遠点）＝Ｐ−Ｐ スカラー倍算：ｋＰ＝Ｐ＋Ｐ＋・・・＋Ｐ（ｋ個のＰの
和） ここで、ｋＰとＰからｋを計算することは困難である。
このことは、楕円曲線の離散対数問題と呼ばれており、
この離散対数問題に関連する計算の困難性に基づいて公
開鍵系の暗号とすることができる。

【００１０】たとえば、公開鍵暗号系と知られる（有限
体上の）ディフィ−ヘルマン（Diffie-Hellman）鍵交換
と同様の鍵交換方式を実現することができる。楕円曲線
上のベースポイントをＧとし、Ａの秘密鍵をｓ_aとしＰ
ａ＝ｓ_aＧを演算して公開鍵とする。また、Ｂの秘密鍵
をｓ_bとし、Ｐｂ＝ｓ_bＧを演算してこれを公開鍵とす
る。ＡはＢの公開鍵Ｐｂと自分の秘密鍵ｓ_aから、Ｋ_AB
＝ｓ_aＰｂ＝ｓ_aｓ_bＧを演算することによって共通鍵を
得ることができる。また、同様にして、ＢはＡの公開鍵
Ｐａと自分の秘密鍵ｓ_bから、Ｋ_BA＝ｓ_bＰａ＝ｓ_bｓ_aＧ
を演算することによって共通鍵を得ることができる。こ
の方式は、ＥＣＤＨ（Elliptic Curve Diffie-Hellma
n）方式と呼ばれ、秘密鍵ｓ_a，ｓ_bをスカラー量として
楕円曲線上の点Ｇ、Ｐａ、Ｐｂに乗算する必要があり、
暗号化／復号化の際に大量の演算処理を必要とする。こ
の他にＥＣＤＳＡ方式やＥＣＥＳ方式なども提案されて
いるが、演算処理が大きくなる点については同様であ
る。

【００１１】素体上の楕円曲線では、その各要素（ｘ，
ｙ，ａ，ｂなど）は整数である。加算、減算、乗算はそ
れぞれａ＋ｂ（mod ｐ）、ａ−ｂ（mod ｐ）、ａ×ｂ
（modｐ）と定義することができ、要素同士の整数の加
算、減算、乗算を行って法ｐによる剰余をとることで演
算することができる。これに対し、２の拡大体上の楕円
曲線では、各要素は係数がＧＦ（２）上（０または１）
の多項式である。加減算は、同じ次数の係数同士の加減
算となるが、各係数はＧＦ（２）上であるため、加減算
ともに同次数の係数同士の排他的論理和（以下、ＸＯＲ
と称す）で演算することができ、これをたとえばａ＋ｂ
と表現する。乗算は、多項式の乗算を行って既約多項式
ｆで剰余をとったものと定義することができ、これをａ
×ｂ（mod ｆ）と表現する。 〔２の拡大体の種類〕２の拡大体には、大きく分けて、
多項式基底（Polynomial Base)と正規基底（Normal Bas
e)に分類できる。ｍ次の２の拡大体ＧＦ（２^m）上の要
素は、多項式基底では、ａ₀＋ａ₁ｘ＋ａ₂ｘ²＋ａ₃ｘ³＋
・・・＋ａ_m-1ｘ^m-1と表現され、正規基底では、ａ₀ｘ
^{2^0}＋ａ₁ｘ^{2^2}＋ａ₃ｘ^{2^3}＋・・・＋ａ_m-1ｘ^{2^(m-1)}と
表現される。 〔多項式基底での表現形式〕２の拡大体GF(2^m)上の多項
式基底による表現形式では、各要素は数値ではなくすべ
て多項式として表現され、例えば要素a(x)はm-1次以下
の多項式として次のように表される。

【００１２】

【数１】 次に、２の拡大体GF(2^m)上の多項式を、ビット長がｗで
あるｎ個のブロック（ｎ＝ｍ／ｗ）に分割した場合、要
素a(x)に含まれる各ブロックの要素をＡ_i（ｘ）とする
と次のように表すことができる。

【００１３】

【数２】

【００１４】

【数３】 ここで、ａ_i∈GF(2)である。多項式基底で表される２の
拡大体GF(2^m)上の要素a(x)、b(x)の加算および乗算（乗
算剰余）は、以下のように表現できる。

【００１５】 c(x)＝a(x)＋b(x) c(x)＝a(x)×b(x) mod f(x) ここで加算は係数同士の２の拡大体GF(2^m)上での加算で
あり、同じ次数の係数をＸＯＲで演算することができ
る。また、２の拡大体GF(2^m)上での多項式a(x)をb(x)で
除算した商（quotient）を以下のように定義することと
する。

【００１６】c(x)＝quot（a(x),b(x)）＝（a(x)-(a(x)
mod (b(x))）／b(x) 〔従来技術１〕例えば、〈"Information Theory And Re
liable Communication", R.G.Gallager〉にあるような
線形フィードバックレジスタ（LSFR）を利用した基本的
な方式により、多項式基底で表される２の拡大体GF(2^m)
上の要素の乗算剰余演算を行う場合、汎用的ではあるも
のの、ｍビット×１ビットの乗算をｍ回行う必要があ
り、高速化が困難であるという問題を包含している。 〔従来技術２〕Mastrovitoにより提案された〈"VLSI de
signs for multiplication over finite fields GF
(2^m)" In T.Mora, editor, Applied Algebraic Algorit
hms, and Error-Correcting Codes, 6th International
Conference, AAECC-6, Lecture Notes in Computer Sc
ience, No.357, 1988〉にあるような乗算剰余演算方法
を用いることもできる。この場合には、既約多項式の次
数が固定されているため、処理が高速に行うことが可能
であるが、既約多項式の次数が異なる場合に適用できな
いため、汎用的ではない。 〔従来技術３〕Koc等により提案された〈"Montgomery M
ultiplication in GF(2^m)", Design,Codes and Cryptog
raphy, 14(1), 57-69 (April 1998)〉にあるような乗算
剰余演算方法を適用することもできる。この場合、Mont
gomery乗算剰余の方式を２の拡大体GF(2^m)上に拡張した
ものである。

【００１７】

【発明が解決しようとする課題】前述の従来技術３、す
なわち、２の拡大体GF(2^m)上のMontgomery乗算剰余方式
について説明する。２の拡大体GF(2^m)上の要素a(x)、b
(x)に対して、Montgomery乗算剰余を行う際のアルゴリ
ズムをMONT#MUL（a(x),b(x)）とし、これをAlgorithm1
として示す。

【００１８】 Algorithm１：MONT#MUL（a(x),b(x)） Pre-Computation：ｆ^-1(x)＝（f(x)）^-1 mod ｘ^m INPUT：a(x), b(x) OUTPUT：c(x)＝a(x)b(x)x^-m mod f(x) １．t(x)=a(x)b(x) ２．u(x)=t(x)ｆ^-1(x) mod ｘ^m ３．c(x)=(t(x)+u(x)f(x))/ｘ^m ここでは、事前計算として、ｆ^-1(x)＝（f(x)）^-1 mod
ｘ^mを予め求めておくものとする。このAlgorithm１で
は、a(x)b(x) mod f(x)を求める代わりに、a(x)b(x)x^-m
mod f(x)を計算している。したがって、このアルゴリ
ズムを用いる場合には、最初に入力値を変換し、最終的
に得られる出力値を逆変換する必要がある。入力値の変
換方法は、次の通りである。

【００１９】 a'(x)=a(x)x^m mod f(x) , b'(x)=b(x)x^m mod f(x) このように入力値を変換しておくことで、Algorithm１
の計算は、 となり、この出力値を次の入力値として利用することが
可能となる。この変換は、x^2m mod f(x)の値を事前に計
算しておけば、Algorithm１を利用して、MONT#MUL（a
(x), x^2m mod f(x))を実行することにより得ることが可
能である。

【００２０】出力値を逆変換する場合には、同様にAlgo
rithm１を利用して次のように計算することができる。 このようにしたMontgomery乗算剰余方式の場合、各要素
の次数に関わらず演算を行うことが可能であり汎用性が
高いものの、常に入力値の変換と最終的な出力値の逆変
換を必要とするものであり、さらに高速化を図る余地が
ある。

【００２１】また、２の拡大体GF(2^m)上の乗算剰余演算
を行うための乗算器あるいは乗算回路として、前述の従
来技術２の項に挙げた文献に紹介されたものの他に次の
ような論文にも紹介されている。 〈C.K.Koc and B.Sunnar. "Mastrovito multiplier f
or all trinomials", IEEE Transactions on Computer
s, to appear, 1999〉 〈C.K.Koc and B.Sunnar. "Low-complexity bit-para
llel canonical and normal basis multipliers for a
class of finite fields" IEEE Transactions onComput
ers, 47(3):353-356, March 1998〉 このような文献で紹介されている演算回路では、a(x)×
b(x) mod f(x)の乗算剰余演算を行う際に、既約多項式f
(x)を次数３の３項式（trinomial）や全項に１が立って
いるAOP（all-one-polynomial）などに固定し、各ビッ
ト毎の論理演算および結線によって回路を設計してい
る。したがって、a(x)×b(x) mod f(x)の乗算剰余演算
を１サイクルで行うことが可能となるが、回路規模が大
きくなり、暗号装置に用いる場合には、ゲート数が１０
０Ｋを超えることとなる。また、最大遅延パスが大きく
なるため、動作クロックを高速にすることがでず、処理
の高速化を図ることが困難である。

【００２２】本発明の目的は、所定の次数の既約多項式
を用いる場合などの頻繁に使用する条件下で高速に動作
させることが可能であるとともに、既約多項式の次数に
関わらず汎用性を有し、かつ高速な演算処理が可能な乗
算剰余演算方法を提供することにある。また、本発明の
他の目的は、既約多項式の次数を固定することなく汎用
性があり、大きな次数の変数についても回路に変更や追
加をすることなく高速な演算を可能とする乗算剰余演算
回路を提供することにある。

【００２３】

【課題を解決するための手段】本発明は、多項式基底で
表される２の拡大体GF(2^m)上の２つの元a(x),b(x)と既
約多項式f(x)に対して、a(x)×b(x) mod f(x)の乗算剰
余演算を行う方法であって、既約多項式f(x)からパラメ
ータf'(x)を算出する（A-1）工程と、a(x)とb(x)とを乗
算してその積を変数t(x)に代入する（A-2）工程と、変
数t(x)のｍ次以上の部分とパラメータf'(x)とを乗算し
その積を変数u(x)に代入する（A-3）工程と、変数u(x)
のｍ次以上の部分と既約多項式f(x)とを乗算しその積を
変数t(x)と加算して変数c(x)に代入する（A-4）工程と
を備える。

【００２４】また、多項式基底で表される２の拡大体GF
(2^m)上の２つの元a(x),b(x)と既約多項式f(x)に対し
て、a(x)×b(x) mod f(x)の乗算剰余演算を行う方法で
あって、既約多項式f(x)からパラメータf'(x)を算出す
る（A-1）工程と、a(x)とb(x)とを乗算してその積を変
数t(x)に代入する（A-2）工程と、変数t(x)のｍ次以上
の部分とパラメータf'(x)とを乗算しその積を変数u(x)
に代入する（A-3）工程と、変数u(x)のｍ次以上の部分
と既約多項式f(x)とを乗算し、その積のｍ次未満の部分
と変数t(x)のｍ次未満の部分とを加算して変数c(x)に代
入する（A-4'）工程とを備える構成とすることができ
る。

【００２５】ここで、パラメータf'(x)は、２の拡大体G
F(2^m)上でｘ^2mをf(x)で割った商とすることができ、こ
のパラメータf'(x)を予め算出しておき、（A-1）工程を
省略することも可能である。また、本発明では、多項式
基底で表される２の拡大体GF(2^m)上の２つの元a(x),b
(x)と既約多項式f(x)のうち、a(x)に含まれるａ₀〜ａ_m
をｗビット毎に分割してｎ個のブロックＡ₀〜Ａ_n-1と
し、a(x)×b(x) mod f(x)の乗算剰余演算を行う方法で
あって、既約多項式f(x)からｗ次のパラメータf"(x)を
算出する（B-1）工程と、前回の計算結果である変数c
(x)とｘ^wとを乗算してその積を変数t(x)に代入する（B-
2）工程と、Ａ_iとb(x)とを乗算しその積と変数t(x)とを
加算し変数t(x)に代入する（B-3）工程と、変数t(x)の
ｍ次以上の部分を求めて変数t_h(x)に代入する（B-4）工
程と、変数t_h(x)とパラメータf"(x)とを乗算しその積の
ｗ次以上の部分を求めて変数u(x)に代入する（B-5）工
程と、変数u(x)と既約多項式f(x)とを乗算しその積と変
数t(x)とを加算して変数c(x)に代入する（B-6）工程と
を備え、（B-2）工程〜（B-6）工程をｉ＝０〜ｎ−１に
ついてｎ回繰り返すことを特徴とする乗算剰余演算方法
を提供する。

【００２６】また、多項式基底で表される２の拡大体GF
(2^m)上の２つの元a(x),b(x)と既約多項式f(x)のうち、a
(x)に含まれるａ₀〜ａ_mをｗビット毎に分割してｎ個の
ブロックＡ₀〜Ａ_n-1とし、a(x)×b(x) mod f(x)の乗算
剰余演算を行う方法であって、既約多項式f(x)からｗ次
のパラメータf"(x)を算出する（B-1）工程と、前回の計
算結果である変数c(x)とｘ^wとを乗算してその積を変数t
(x)に代入する（B-2）工程と、Ａ_iとb(x)とを乗算しそ
の積と変数t(x)とを加算し変数t(x)に代入する（B-3）
工程と、変数t(x)のｍ次以上の部分を求めて変数t_h(x)
に代入する（B-4）工程と、変数t_h(x)とパラメータf"
(x)とを乗算しその積のｗ次以上の部分を求めて変数u
(x)に代入する（B-5）工程と、変数u(x)と既約多項式f
(x)とを乗算しその積のｍ次未満の部分と変数t(x)のｍ
次未満の部分とを加算して変数c(x)に代入する（B-6'）
工程とを備え、（B-2）工程〜（B-6'）工程をｉ＝０〜
ｎ−１についてｎ回繰り返すことを特徴とする乗算剰余
演算方法を提供する。

【００２７】ここで、パラメータf"(x)は、２の拡大体G
F(2^m)上でｘ^m+wをf(x)で割った商とすることができ、こ
のパラメータf"(x)を予め算出しておき、（B-1）工程を
省略するように構成できる。また、各工程の前段階とし
て、a(x)およびb(x)と（ｘ^-s mod f(x)）とを乗算しそ
の積とｘ^sとを乗算してそれぞれ変数a(x)およびb(x)に
代入する変換工程と、最終的な演算結果であるc(x)に対
して（c(x) mod f(x)）を求めてこれを変数c(x)に代入
する逆変換工程とをさらに含む構成とすることができ
る。

【００２８】さらに、各工程の前段階として、a(x)およ
びb(x)と（ｘ^-s mod f(x)）とを乗算しその積とｘ^sとを
乗算してそれぞれ変数a(x)およびb(x)に代入する変換工
程と、最終的な演算結果であるc(x)に対して（c(x) mod
ｘ^s）を求めこれを変数c(x)に代入する逆変換工程とを
さらに含む構成とすることができる。本発明に係る乗算
剰余回路は、多項式基底で表される２の拡大体GF(2^m)上
の２つの元a(x),b(x)と既約多項式f(x)に対して、乗数b
(x)のビット単位の演算処理を行ってa(x)×b(x) mod f
(x)の乗算剰余演算を行う乗算剰余回路であって、前回
の演算結果r(x)と既約多項式f(x)との排他的論理和を演
算する第１のXORゲートと、第１のXORゲートの演算結果
とa(x)×b(x)の演算結果との排他的論理和を演算する第
２のXORゲートとを備える所定のビット長を有する線形
フィードバックレジスタにより構成する。

【００２９】ここで、線形フィードバックレジスタは、
ｎ₁ビット長のものがｎ₂段に設けられ、乗数b(x)のブロ
ック単位での演算処理を行うように構成できる。また、
線形フィードバックレジスタのビット長ｎ₁よりも大き
いビット長の被乗数a(x)に対して乗算剰余を行うため
に、前回の演算結果の上位ｎ₂ビットの値を保持するレ
ジスタを設けることもできる。

【００３０】さらに、ｎ₂段分のa(x)×b(x)の部分積を
演算する第１演算部と、ｎ₂段分のf(x)に関する演算を
行う第２演算部とを備える構成とすることができる。

【００３１】

【発明の実施の形態】〔第１の実施形態〕従来技術３の
Algorithm１では、a(x)b(x)にf(x)の倍数であるu(x)f
(x)を加算してx^mで必ず割り切れる形にするとともに、c
(x)∈GF(2^m)となるようにしている。言い替えれば、u
(x)f(x)をa(x)b(x)に加算することによって、a(x)b(x)
のｍ次未満の項をキャンセルしていることとなる。この
ことから、x^mで割るという簡単な処理を行うことで乗算
剰余演算を可能としているが、出力値にx^-mという値が
入ることとなり、事前計算による変換と最終的な結果に
対する逆変換の処理が必要となる。

【００３２】本発明は、前述のAlgorithm１と同様にa
(x)b(x)にf(x)の倍数を加算するものの、ｍ次未満の項
ではなくｍ次以上の上位の項をキャンセルできれば、x^m
で割るという処理が不要になると考えて成された発明で
ある。このように、上位の項をキャンセルするようにし
たアルゴリズムをNEW#MULとしてAlgorithm２に示す。 Algorithm２：NEW#MUL（a(x), b(x)） Pre-Computation：f'(x)＝quot（x^2m, f(x)） INPUT：a(x), b(x) OUTPUT：c(x)=a(x)b(x) mod f(x) １．t(x)＝a(x)b(x) ２．u(x)＝quot（quot（t(x), x^m)・f'(x), x^m) ３．c(x)＝t(x)＋u(x)・f(x) このAlgorithm２によって得られる出力値c(x)がa(x),b
(x)の乗算剰余となっていることを次の証明１によって
示す。

【００３３】証明１：出力値c(x)の次数の最大値がm-1
となっていれば、乗算剰余となっているものと見なされ
る。このことは、c(x)がa(x)b(x)にu(x)f(x)を加算した
ものであり、この演算結果の次数がm-1次以下になって
いれば、c(x)＝a(x)b(x) modf(x)と同値であることから
明らかである。まず、t(x)＝a(x)b(x)の演算を行ったあ
とのt(x)に対して、quot（t(x), x^m）を演算すれば、こ
れはt(x)のm次以上の部分ｔ_h(x)となっている。したが
って、ｔ_h(x)はm-1次以下となっていることが明らかで
あり、これに伴ってu(x)もm-1次以下となっていること
が明らかである。

【００３４】次に、多項式ｔ_l(x)，α(x)，β(x)を以下
のように定義する。 ｔ_l(x)＝t(x) mod x^m →t(x)＝ｔ_h(x)x^m＋ｔ_l(x)， deg（ｔ_l(x)）≦m-1 α(x)＝x^2m mod f(x) →f(x)f'(x)＝x^2m＋α(x)， deg（α(x)）≦m-1 β(x)＝ｔ_h(x)f'(x) mod x^m →ｔ_h(x)f'(x)＝u(x)x^m＋β(x)，deg（β(x)） ≦m-1 これから、出力値c(x)は、以下のように展開することが
できる。

【００３５】 c(x)＝t(x)＋u(x)・f(x) ＝t(x)＋f(x)・（ｔ_h(x)f'(x)＋β(x))／x^m ＝t(x)＋（ｔ_h(x)（x^2m＋α(x)）＋f(x)β(x)）／x^m ＝ｔ_h(x)x^m＋ｔ_l(x)＋ｔ_h(x)x^m＋（ｔ_h(x)α(x)＋f(x)β(x)）／x^m ＝ｔ_l(x)＋（ｔ_h(x)α(x)＋f(x)β(x)）／x^m ここで、ｔ_l(x)＋（ｔ_h(x)α(x)＋f(x)β(x)）／x^mは、
t(x)＋u(x)・f(x)を単純に展開したものであり、（ｔ
_h(x)α(x)＋f(x)β(x)）／x^mの演算は必ず割り切れる。

【００３６】c(x)の次数をこの展開式から求めると次の
ようになる。 deg(c(x)）＝deg（ｔ_l(x)＋（ｔ_h(x)α(x)＋f(x)β(x)）／x^m） ≦Max（deg（ｔ_l(x)），deg（ｔ_h(x)α(x)＋f(x)β(x)）／x^m）） ≦Max（m-1，Max（m+(m-1)，m+(m-1))-m） ≦m-1 このことから、c(x)の次数がm-1以下となっており、c
(x)＝a(x)b(x) mod f(x)であることが明らかである。

【００３７】このAlgorithm２の構成を図１に示す。a
(x)およびb(x)は乗算部１１において乗算される。乗算
部１１では、ｍビット×ｍビットの乗算が行われる。a
(x)×b(x)の積のうちｍ次以上の項は乗算部１２に送ら
れる。乗算部１２では、予め計算で求められているf'
(x)と、a(x)×b(x)の積のうちｍ次以上の項との乗算が
行われる（quot（t(x), x^m)・f'(x)）。乗算部１３で
は、f(x)と、乗算部１２の乗算結果のうちｍ次以上の項
（u(x)＝quot（quot（t(x), x^m)・f'(x), x^m)）との乗
算が行われる。加算部１４では、乗算部１３の乗算結果
（u(x)・f(x)）と乗算部１１の乗算結果（t(x)＝a(x)b
(x)）との加算が行われる。

【００３８】ここで、加算部１４の加算の結果、ｍ次以
上の項についてキャンセルされることとなり、加算部１
４からの出力c(x)は、a(x)，b(x)の乗算剰余となってい
る。Algorithm２において、t(x)＋u(x)・f(x)の演算結
果は、必ずｍ次以上の項がキャンセルされることとな
る。したがって、t(x)のｍ次未満の項と、u(x)・f(x)の
ｍ次未満の項とを加算するように構成しても同じ結果を
得ることができる。したがって、Algorithm２の３の代
わりに、 ３’．c(x)＝（t(x) mod x^m）＋（u(x)・f(x) mod x^m) とすることができる。

【００３９】この場合のアルゴリズムの構成を図２に示
す。a(x)およびb(x)は乗算部２１で乗算される。乗算部
２２では、乗算部２１の乗算結果のうちｍ次以上の項
と、予め計算で求められているf'(x)との乗算を行う。
乗算部２３では、乗算部２２の乗算結果のｍ次以上の項
と、f'(x)との乗算を行う。加算部２４では、乗算部２
３の乗算結果のｍ次未満の項（u(x)・f(x) modx^m)と、
乗算部２１の乗算結果のｍ次未満の項（t(x) mod x^m）
との加算が行われる。

【００４０】上述したように、t(x)＋u(x)・f(x)の演算
結果は、必ずｍ次以上の項がキャンセルされるので、加
算部２４において、t(x)のｍ次未満の項と、u(x)・f(x)
のｍ次未満の項とを加算するように構成した場合も同じ
結果を得ることができる。 〔第２の実施形態〕２の拡大体ＧＦ（２^m）の上のa(x),
b(x)のうち、いずれか一方を次数ｗのブロックに分割し
て演算する場合を考える。ここでは、a(x)をｎ個のブロ
ック（ｎ＝ｍ／ｗ）に分割して乗算剰余を行うものとす
る。このときのアルゴリズムをBLOCK#MUL（a(x),b(x))
としてAlgorithm３に示す。

【００４１】 Algorithm３：BLOCK#MUL（a(x), b(x)） Pre-Computation：f"(x)＝quot（x^m+w, f(x)） INPUT：a(x), b(x), c(x) OUTPUT：c(x)=a(x)b(x) mod f(x) １．for i=n-1 to 0 ２． t(x)=c(x)x^w ３． t(x)=t(x)＋A_i(x)b(x) ４． t_h(x)=quot(t(x), x^m) ５． u(x)=quot(t_h(x)・f"(x), x^w) ６． c(x)=t(x)+u(x)・f(x) このAlgorithm３によって得られる出力値c(x)がa(x),b
(x)の乗算剰余となっていることを次の証明２によって
示す。

【００４２】証明２：３行目の部分乗算結果t(x)が４〜
６行目で剰余処理されていることからこのアルゴリズム
が乗算剰余処理を行っていることを示すことができる。
剰余処理については、証明１と同様に出力値c(x)の次数
の最大値がm-1であることを示すことで証明する。部分
乗算剰余においても、証明１と同様で、部分乗算剰余結
果t(x)にf(x)の倍数式を加算することで出力値c(x)の次
数がm-1以下になれば、c(x)＝t(x) mod f(x)と同じこと
となる。

【００４３】まず、t_h(x)はt(x)をx^mで割った商である
ためその次数はm-1次以下であり、またu(x)はt_h(x)・f"
(x)をx^mで割った商であるためその次数はw-1以下である
ことは明らかである。次に、多項式t_l(x)，α(x)，β
(x)を以下のように定義する。 t_l(x)＝t(x) mod x^m →t(x)＝t_h(x)x^m＋ｔ_l(x)， deg（t_l(x)）≦m-1 α(x)＝x^m+w mod f(x) →f(x)f"(x)＝x^m+w＋α(x)， deg（α(x)）≦m -1 β(x)＝t_h(x)f"(x) mod x^w →t_h(x)f"(x)＝u(x)x^m＋β(x)，deg（β(x)）≦ ｗ-1 この場合の出力値c(x)は以下のように展開できる。

【００４４】 c(x)＝t(x)＋u(x)・f(x) ＝t(x)＋f(x)・（t_h(x)f"(x)＋β(x))／x^w ＝t(x)＋（t_h(x)（x^m+w＋α(x)）＋f(x)β(x)）／x^w ＝t_h(x)x^m＋t_l(x)＋t_h(x)x^m＋（t_h(x)α(x)＋f(x)β(x)）／x^w ＝t_l(x)＋（t_h(x)α(x)＋f(x)β(x)）／x^w ここで、t_l(x)＋（t_h(x)α(x)＋f(x)β(x)）／x^mは、t
(x)＋u(x)・f(x)を単純に展開したものであり、（t_h(x)
α(x)＋f(x)β(x)）／x^mの演算は必ず割り切れる。

【００４５】c(x)の次数をこの展開式から求めると次の
ようになる。 deg(c(x)）＝deg（t_l(x)＋（t_h(x)α(x)＋f(x)β(x)）／x^w） ≦Max（deg（t_l(x)），deg（t_h(x)α(x)＋f(x)β(x)）／x^w）） ≦Max（m-1，Max（w+(m-1)，m+(w-1))-w） ≦m-1 したがって、出力値c(x)の次数がm-1以下となっている
ことから、c(x)＝t(x)mod f(x)であり、乗算剰余演算と
なっていることがわかる。

【００４６】このAlgorithm３の構成を図３に示す。乗
算部３１では、前回の演算結果c(x)とx^mとの乗算を行
う。乗算部３２では、a(x)のｉ番目のブロックA_i(x)とb
(x)との乗算を行う。加算部３３では、乗算部３１の乗
算結果と乗算部３２の乗算結果との加算を行う。乗算部
３４では、加算部３３の加算結果の上位ｗビットと、予
め計算してあるパラメータf"(x)との乗算を行う。乗算
部３５では、乗算部３４の乗算結果の上位ｗビット（u
(x)=quot(t_h(x)・f"(x), x^w)）と、f(x)との乗算を行
う。加算部３６では、加算部３３の加算結果と乗算部３
５の乗算結果との加算を行う。ｉの値がn-1から０に至
るまでこの演算を繰り返し行う。このとき、加算部３６
の演算結果c(x)は、次の演算における入力値として用い
られる。

【００４７】Algorithm２の場合と同様にして、Algorit
hm３の場合も６行目のt(x)とu(x)・f(x)との加算の際
に、必ずｍ次以上の項がキャンセルされることがわかっ
ている。したがって、t(x)のｍ次未満の項と、u(x)・f
(x)のｍ次未満の項との加算を行うようにしても同じ結
果を得ることができる。したがって、Algorithm３の６
を次のように置き換えることが可能である。

【００４８】 ６’．c(x)＝(t(x) mod x^m)+(u(x)・f(x) mod x^m) この場合のアルゴリズムの構成を図４に示す。乗算部４
１では、前回の演算結果c(x)とx^wとの乗算を行う。乗算
部４２では、a(x)のｉ番目のブロックA_i(x)とb(x)との
乗算を行う。加算部４３では、乗算部４１の乗算結果と
乗算部４２の乗算結果との加算を行う。乗算部４４で
は、加算部４３の加算結果の上位ｗビットと、予め計算
してあるパラメータf"(x)との乗算を行う。乗算部４５
では、乗算部４４の乗算結果の上位ｗビット（u(x)=quo
t(t_h(x)・f"(x), x^w)）と、f(x)との乗算を行う。加算
部４６では、加算部４３の加算結果と乗算部４５の乗算
結果との加算を行う。ｉの値がn-1から０に至るまでこ
の演算を繰り返し行う。このとき、加算部４６の演算結
果c(x)は、次の演算における入力値として用いられる。

【００４９】また、前回の演算結果c(x)とx^wとの乗算
は、c(x)の各次数の項c_iをc_i+wにシフトすることで行う
ことができる。したがって、図３および図４に示すアル
ゴリズムの構成において、乗算部３１、４１をそれぞれ
c(x)のシフト演算部に置き換えることができる。たとえ
ば、図４の構成における乗算部４１をシフト演算部４７
に置き換えた構成を図５に示す。 〔任意次数への拡張〕前述のようにしたAlgorithm３で
は、要素a(x)の次数が分割される各ブロックの次数ｗで
割り切れることを前提としている。任意の次数のものに
対応させるためには、要素a(x)の次数ｍがブロックの次
数ｗで割り切れない場合に、最上位ブロックにおいてｗ
に足りない分の次数ｓだけシフトさせるような変換、逆
変換を行って処理することができる。

【００５０】この場合の変換は、頭詰め処理とｘ^-sとの
乗算剰余処理とからなる。図６に示すように、GF(2^m)上
の要素を下位から次数ｗのブロックを構成していくと、
次数ｓ分が満たされていないようなブロックが最上位に
できる。この最上位ブロックの項のないｓ次分を埋める
ために、要素にx^sを乗算することにより、要素の各次数
に対応する項をシフトさせることができる。この処理を
頭詰め処理と呼ぶ。

【００５１】このような頭詰め処理と乗算剰余処理とか
らなる変換処理により、入力値a(x),b(x)を次のように
変換する。 a'(x)＝（a(x)x^-s mod f(x)）ｘ^s，b'(x)＝（b(x)ｘ^-s
mod f(x)）ｘ^s このような変換を行った要素の加算および乗算剰余につ
いては、次のように定義することができる。

【００５２】 加算： a'(x)＋b'(x)＝（a(x)x^-s mod f(x)）ｘ^s＋（b(x)ｘ^-s mod f(x)）ｘ^s ＝（a(x)ｘ^-s＋b(x)ｘ^-s）ｘ^s mod f(x))ｘ^s ＝（(a(x)＋b(x))ｘ^-s mod f(x))ｘ^s 乗算剰余： a'(x)・b'(x) mod (f(x)ｘ^s) ＝（a(x)ｘ^-s mod f(x))ｘ^s・(b(x)ｘ^-s mod f(x))ｘ^s mod (f(x)ｘ^s ) ＝（a(x)・b(x)ｘ^-sｘ^-s）mod f(x))ｘ^sｘ^s mod (f(x)ｘ^s) ＝（a(x)・b(x)ｘ^-sｘ^-s）ｘ^s mod f(x))ｘ^s mod (f(x)ｘ^s) ＝（a(x)・b(x) ｘ^-s mod f(x))ｘ^s mod (f(x)ｘ^s) ＝（a(x)・b(x) ｘ^-smod f(x))ｘ^s 入力値となる要素a(x),b(x)に対して上述のような変換
を行い、a'(x),b'(x)を用いてAlgorithm３による乗算剰
余演算が可能となる。

【００５３】最終的に得られた出力値c'(x)は、最初に
変換処理を行ったa'(x),b'(x)に基づくものであり、最
後に逆変換を行う必要がある。この逆変換処理は、c(x)
＝c'(x) mod f(x)である。この方法によれば、要素の次
数ｍがブロックの次数ｗで割り切れない場合であっても
Algorithm３を用いて乗算剰余演算を行うことができ、
任意の次数の要素について演算することを可能とする。

【００５４】（ｘ^-2s mod f(x))ｘ^sの値を事前に計算し
ておくことにより、変換処理および逆変換処理をAlgori
thm３によって演算することが可能となる。この場合、
変換処理および逆変換処理は、次のようになる。 変換：a'(x)＝BLOCK#MUL（a(x)ｘ^s，（ｘ^-2s mod f(x))
ｘ^s) 逆変換：a(x)＝BLOCK#MUL（a'(x)，ｘ^s）／ｘ^s Algorithm３を利用して任意の次数の要素についての乗
算剰余演算を行う場合には、図７に示すフローチャート
に基づいて実行する。

【００５５】ステップＳ１では、次数ｍが処理ブロック
の次数ｗで割り切れるか否かを判別する。ここで、要素
の次数ｍが処理ブロックの次数ｗで割り切れる場合に
は、ステップＳ２に移行する。ステップＳ２では、変換
処理を行わずに各要素についてAlgorithm３を用いた乗
算剰余演算処理を実行する。ステップＳ１において、要
素の次数ｍは処理ブロックの次数ｗで割り切れないと判
断した場合には、ステップＳ３に移行する。ステップＳ
３では、各要素に対して前述したような変換処理を行
う。この場合、頭詰めと乗算剰余演算処理による変換処
理とすることもでき、Algorithm３を用いた変換処理と
することも可能である。ステップＳ４では、変換処理さ
れた要素によりAlgorithm３を用いた乗算剰余演算処理
を実行する。ステップＳ５では、ステップＳ４での演算
結果を逆変換処理する。この逆変換処理では、演算結果
に対してf(x)による剰余演算を行うように構成すること
もでき、また、Algorithm３を用いた演算とすることも
可能である。 〔具体例〕各要素の次数ｍ＝１６０とした場合に、Algo
rithm２を用いた構成を図８に示す。この構成は図２と
同様の構成であり、各演算部における処理ビット数を示
している。

【００５６】また、各要素の次数ｍ＝１６０、ブロック
の次数ｗ＝３２、ブロック数ｎ＝５とした場合に、Algo
rithm３を用いた構成を図９に示す。この構成は図４と
同様の構成であり、各演算部における処理ビット数を示
している。ソフトウェアにより構成した場合の具体例を
示す。ここでは、Montgomery乗算剰余方式についてKoc
等が評価しているのと同様の表現を用いる。１ブロック
をｗビットとした場合に、２の拡大体GF(2^m)上のブロッ
ク乗算剰余MULGF2（H,L,A,B）を以下に示すAlgorithm４
で構成することにより、２ｗ回のShiftとｗ回のXORの３
ｗ回の演算としている。

【００５７】 Algorithm４：MULGF2（H,L,A,B） Ｈ＝０；Ｌ＝０； for j=w-1 to 0 L=SHL(L,1); H=RCL(H,1); if BIT(B,j)＝１ then L=L XOR A ここで、SHL(a,b)はａをｂビット左シフトする演算子で
あり、RCL(a,b)は前の演算子のキャリを考慮して、ａを
ｂビット左ローテーションシフトする演算子である。ま
た、XORの回数は最悪値で評価を行っている。

【００５８】これを用いてAlgorithm３を実装し、演算
回数を計数したものを表１に示す。

【００５９】

【表１】 この表１から、この実施例による計算量は、((6w+4)n²+
(6w-1)n)回となる。Koc等の評価によるMontgomery乗算
剰余演算方式の計算量は、((6w+4)n²+6wn)であることか
ら、本発明による乗算剰余演算方法による場合、Montgo
mery乗算剰余演算方法による場合に比して、XOR処理が
ｎ回少ないこととなる。

【００６０】また、Montgomery乗算剰余演算方式では、
常に変換処理および逆変換処理が必要であるが、本発明
による乗算剰余演算方法によれば、要素の次数ｍが処理
ブロックの次数ｗで割り切れる場合には、変換処理およ
び逆変換処理が必要ではなく、その分高速化を図ること
ができる。また、要素の次数ｍが処理ブロックの次数ｗ
で割り切れない場合であっても、変換処理および逆変換
処理がMontgomery乗算剰余演算方式の場合のそれと同程
度であり、処理速度が劣ることはない。したがって、本
発明の乗算剰余演算方法を用いることにより、任意の次
数の演算を可能とするとともに、全体としての演算速度
を高速にすることが可能となる。

【００６１】このような乗算剰余演算方法は、２の拡大
体GF(2^m)上楕円曲線上の点の演算だけでなく、誤り訂正
符号の処理などに使用することも可能である。 〔LFSRでの実装への拡張〕Algorithm３において、ｗ＝
１とすると、４行目のt_h(x)は０か１の値となる。ま
た、この場合、 f"(x)はｘ＋１またはｘであることか
ら、５行目はu(x)＝t_h(x)となる。このことから、Algor
ithm３をｗ＝１の場合に簡略化したものを次のAlgorith
m５に示す。

【００６２】 Algorithm５：1#BIT#BLOCK#MUL（a(x), b(x)） INPUT：a(x), b(x), c(x) OUTPUT：c(x)=a(x)b(x) mod f(x) １．for i=m-1 to 0 ２． t(x)=c(x)x ３． t(x)=t(x)＋a_i・b(x) ４． t_h=quot(t(x), x^m) ５． c(x)=t(x)+ t_h・f(x) このAlgorithm５は次のように解釈することができる。

【００６３】・２行目：前回の結果を１ビットシフトす
る。 ・３行目： a_iの値が"1"なら２行目の結果にb(x)を加算
し、"0"ならb(x)を加算しない。 ・４行目：３行目の値の最上位ビット（第ｍビット）の
値t_hを取り出す。 ・５行目：t_hの値が"1"なら３行目の値にf(x)を加算
し、"0"ならf(x)を加算しない。

【００６４】・以上をｍ−１から０まで繰り返す。 この動作は、LFSRを使用した乗算剰余回路の動作と同じ
ことであり、LFSRを使用した回路を用いてAlgorithm５
を実現することが可能であると言える。また、ｗを任意
の値にした場合、Algorithm４を実現するLFSRをｗ段に
多段化することで、LFSRを使用した回路でのAlgorithm
３の実現も可能となる。 〔乗算剰余回路−１段構成〕図１０にｎ₁ビット長の線
形フィードバックシフトレジスタ（以下、LFSRと称す）
を１段構成とした乗算剰余回路を示す。図中、□は要素
の各ビットの値を保持するためのフリップフロップ、×
は論理積をとるためのANDゲート、＋は排他的論理和を
とるためのXORゲートである。また、細線は１ビットの
信号ライン、太線はｎ₁ビット幅のデータバスを表し、
各ラインに付された数字は下位ビットからの桁数を表
す。なお、図示したものは、ｎ₁＝８ビットの構成であ
るが、これに限定されるものではない。

【００６５】このLFSR１００は、被乗数a(x)の各項を格
納するＡレジスタ１０１と、乗数b(x)の１つのビットを
格納するＢレジスタ１０２と、既約多項式の各項を格納
するＦレジスタ１０３と、演算結果を格納するＲレジス
タ１０４とを備えている。また、Ａレジスタ１０１の内
容とＢレジスタ１０２の内容とを乗算するための第１AN
Dゲート１０５、Ｒレジスタ１０４の最上位ビットとＦ
レジスタ１０３の内容を乗算するための第２ANDゲート
１０６、第２ANDゲート１０６からの出力のうち最下位
ビットを除くビットとＲレジスタ１０４の最上位ビット
を除くビットとの排他的論理和を演算する第１XORゲー
ト１０７、第１XORゲート１０７の出力と第１ANDゲート
１０５の出力との排他的論理和を演算する第２XORゲー
ト１０８を備えている。

【００６６】このLFSR１００で、a(x)×b(x) mod f(x)
の乗算剰余演算を行うためには、図１１に示すようなア
ルゴリズムで実行する。ステップＳ２１では、Ｒレジス
タ１０４に０をセットし初期化を行う。ステップＳ２２
では、変数ｉをｍ−１にセットする。ここでは、ｍは演
算を行う要素の次数である。

【００６７】ステップＳ２３では、Ａ×b_i＋Ｆ×ｒ_m-1
＋Ｒ<<１の演算を行う。ここで、Ｒ<<１は、Ｒレジスタ
の内容を左に１ビットシフトすることである。ステップ
Ｓ２４では変数ｉの値をデクリメントする。ステップＳ
２５では、変数ｉの値が０以上であるか否かを判別し、
０以上であればステップＳ２３に移行する。この場合に
は、まず、b(x)の最上位ビットとa(x)の積を第１ANDゲ
ート１０５で演算し、これをＲレジスタ１０４にセット
する。次に、Ｒレジスタ１０４の最上位ビットとＦレジ
スタ１０３との積を第２ANDゲート１０６で演算し（Ｆ
×ｒ_{m -1}）、これとＲレジスタ１０４の１ビット左シフ
ト（Ｒ<<１）との排他的的論理和を第１XORゲート１０
７で演算し、さらにＢレジスタ１０２にセットされたb
(x)の次のビットとＡレジスタ１０１との積を第１ANDゲ
ート１０５で演算して（Ａ×ｂ_i）、さらに第２XORゲー
ト１０８で排他的論理和を演算する。これを次数ｍに応
じて繰り返す。 〔乗算剰余回路−多段構成〕図１２に、ｎ₁ビット長のL
FSRをｎ₂段の多段構成とした乗算剰余回路を示す。第１
段目の構成については、図１０の構成とほぼ同一の構成
となっている。また、図示したものは、ｎ₁＝８ビッ
ト、ｎ₂＝２ビットの構成となっているが、これに限定
されるものではない。

【００６８】このLFSR２００の１段目は、被乗数a(x)の
各項を格納するＡレジスタ２０１と、乗数b(x)の１つの
ビットを格納するＢ１レジスタ２０２と、既約多項式の
各項を格納するＦレジスタ２０３と、演算結果を格納す
るＲレジスタ２０４とを備えている。また、Ａレジスタ
２０１の内容とＢ１レジスタ２０２の内容とを乗算する
ための第１ANDゲート２０５、Ｒレジスタ２０４の最上
位ビットとＦレジスタ２０３の内容を乗算するための第
２ANDゲート２０６、第２ANDゲート２０６からの出力の
うち最下位ビットを除くビットとＲレジスタ２０４の最
上位ビットを除くビットとの排他的論理和を演算する第
１XORゲート２０７、第１XORゲート２０７の出力と第１
ANDゲート２０５の出力との排他的論理和を演算する第
２XORゲート２０８を備えている。

【００６９】また、２段目は、乗数b(x)の次のビットを
格納するＢ０レジスタ２０９、Ａレジスタ２０１の内容
とＢ０レジスタ２０９の内容とを乗算するための第３AN
Dゲート２１０、第２XORゲート２０８の最上位ビットと
Ｆレジスタ２０３の内容を乗算するための第４ANDゲー
ト２１１、第４ANDゲート２１１からの出力のうち最下
位ビットを除くビットと第２XORゲート２０８の最上位
ビットを除くビットとの排他的論理和を演算する第３XO
Rゲート２１２、第３XORゲート２１２の出力と第３AND
ゲート２１０の出力との排他的論理和を演算する第４XO
Rゲート２１３を備えている。第４XORゲート２１３から
の出力は、Ｒレジスタ２０４に格納されるように結線さ
れている。

【００７０】このように構成することによって、乗数b
(x)のｎ₂ビットずつの演算が可能となる。 〔乗算剰余回路の第１実施例〕LFSRのビット長ｎ₁より
も大きいビット長の被乗数a(x)に対して乗算剰余演算を
行う乗算剰余回路を図１３に示す。ここでは、図１２に
示したLFSR２００と同様に、ｎ₁＝８ビット、ｎ₂＝２ビ
ットの構成のものを示すが、これに限定されるものでは
ない。

【００７１】このLFSR３００には、被乗数a(x)の各項を
格納するＡレジスタ３０１と、乗数b(x)の１つのビット
を格納するＢ１レジスタ３０２と、既約多項式の各項を
格納するＦレジスタ３０３と、演算結果を格納するＲレ
ジスタ３０４とを備えている。また、演算結果のうち下
位ｎ₂ビットを格納するＣレジスタ３０６、Ｃレジスタ
３０６の最上位ビットとＲレジスタ３０４の最上位ビッ
トとの排他的論理和の演算結果を格納するＲ９レジスタ
３０７およびＥ１レジスタ３０８を備えている。

【００７２】LFSR３００の１段目には、Ａレジスタ３０
１の内容とＢ１レジスタ３０２の内容とを乗算するため
の第１ANDゲート３０５、Ｒレジスタ３０４の上位ｎ₂ビ
ットとＣレジスタ３０６の内容との排他的論理和を演算
するための上位ブロックXORゲート３０９、上位ブロッ
クXORゲート３０９の最上位ビット出力をＲ９レジスタ
３０７とＥ１レジスタ３０８に入力するデマルチプレク
サ３１０、上位ブロックXORゲート３０９の最上位ビッ
ト出力もしくはＥ１レジスタ３０８の内容を選択的に出
力する第１セレクタ３１１、第１セレクタ３１１からの
出力とＦレジスタ３０３の内容とを乗算する第２ANDゲ
ート３１２、第２ANDゲート３１２からの出力のうち最
下位ビットを除くビットとＲレジスタ３０４の上位ｎ₂
ビットを除くビット、上位ブロックXORゲート３０９の
最上位ビットを除く出力との排他的論理和を演算する第
１XORゲート３１３、第１XORゲート３１３の出力と第１
ANDゲート３０５の出力との排他的論理和を演算する第
２XORゲート３１４を備えている。

【００７３】さらにLFSR３００には、乗数b(x)の次のビ
ットを格納するＢ０レジスタ３１５、第２XORゲート３
１４の最上位ビットを格納するＲ８レジスタ３１６およ
びＥ０レジスタ３１７を備えている。また、Ａレジスタ
３０１の内容とＢ０レジスタ３１５の内容とを乗算する
ための第３ANDゲート３１８、第２XORゲート３１４の最
上位ビットをＲ８レジスタ３１６とＥ０レジスタ３１７
に入力するためのデマルチプレクサ３１９、第２XORゲ
ート３１４の最上位ビットとＥ０レジスタ３１７のいず
れかを選択的に出力する第２セレクタ３２０、第２セレ
クタ３２０の出力とＦレジスタ３０３の内容を乗算する
ための第４ANDゲート３２１、第４ANDゲート３２１から
の出力のうち最下位ビットを除くビットと第２XORゲー
ト３１４の最上位ビットを除くビットとの排他的論理和
を演算する第３XORゲート３２２、第３XORゲート３２２
の出力と第３ANDゲート３１８の出力との排他的論理和
を演算する第４XORゲート３２３を備えている。第４XOR
ゲート３２３からの出力は、上位（ｎ₁−ｎ₂）ビットに
ついてはＲレジスタ３０４に格納され、下位ｎ₂ビット
についてはＣレジスタ３０６に格納されるように結線さ
れている。

【００７４】このようにした乗算剰余回路では、被乗数
a(x)をｎ₁ビット、乗数b(x)をｎ₂のブロックに分割して
演算を行う。このとき、既約多項式f(x)はｎ₁ビットの
ブロックに分割される。被乗数a(x)のブロック数をｉ、
各ブロックをＡ_i-1，Ａ_i-2・・・Ａ₀とし、乗数b(x)の
ブロック数をｊ、各ブロックをＢ_j-1，Ｂ_j-2・・・Ｂ₀
とするとき、既約多項式f(x)もＦ_i-1，Ｆ_i-2・・・Ｆ₀
のｉ個のブロックに分割される。

【００７５】まず、b(x)の最上位のブロックＢ_j-1に着
目し、Ｂ_j-1とa(x)の各ブロックとの演算をa(x)の最上
位ブロックＡ_i-1から順に行う。a(x)の最下位ブロック
Ａ₀まで演算が終了したら、b(x)の次のブロックＢ_j-2と
a(x)の各ブロックとの演算を行う。これを繰り返してb
(x)の最下位ブロックＢ₀まで演算が終了した時点でこの
演算を終了する。ここで、a(x)の最上位ブロック、中間
ブロック群、最下位ブロックについて処理が異なる。こ
れを次に説明する。

【００７６】〈a(x)の最上位ブロックを処理する場合〉
a(x)の最上位ブロックの処理を行う場合には、図１３の
回路におけるデマルチプレクサ３１０，３１９およびセ
レクタ３１１，３２０を切換制御して、図１４に示すよ
うな回路とする。このとき、Ａレジスタ３０１、Ｂレジ
スタ３０２，３１５、Ｆレジスタ３０３には、各要素の
最上位ブロックがセットされている。

【００７７】演算が開始されると、各要素の最上位ブロ
ックによる演算が行われ、１サイクル後に、Ｅレジスタ
３０８，３１７、Ｒレジスタ３０４の上位（ｎ₁−ｎ₂）
ビット、Ｃレジスタ３０６に演算結果の値が格納され
る。Ｒレジスタ３０４の値は、別のレジスタあるいはメ
モリに一時退避させておき、Ｃレジスタ３０６の内容は
次のブロックＡ_i-2を処理するためにフィードバックす
る。

【００７８】〈a(x)の中間ブロック群を処理する場合〉
a(x)の中間ブロック群の処理を行う場合には、図１３の
回路におけるデマルチプレクサ３１０，３１９およびセ
レクタ３１１，３２０を切換制御して、図１５に示すよ
うな回路とする。Ａレジスタ３０１にa(x)の中間ブロッ
クＡ_i-2がセットされるとき、同時にＦレジスタ３０３
にも中間ブロックＦ_i-2がセットされる。この状態で演
算を開始すると、１サイクル後に、Ｒ９レジスタ３０
７、Ｒ８レジスタ３１６、Ｒレジスタ３０４の上位（ｎ
₁−ｎ₂）ビット、Ｃレジスタ３０６に演算結果の値が格
納される。Ｒ９レジスタ３０７とＲ８レジスタ３１６と
Ｒレジスタ３０４の値は、別のレジスタあるいはメモリ
に一時退避させておき、Ｃレジスタ３０６の内容は次の
a(x)のブロックを処理するためにフィードバックする。

【００７９】このようにして、a(x)の中間ブロック群Ａ
_i-2〜Ａ₁について処理を行う。各ブロックの演算におけ
るＲ９レジスタ３０７とＲ８レジスタ３１６とＲレジス
タ３０４の値は一時退避させておき、Ｃレジスタ３０６
の内容は次のブロックの処理に用いるためにフィードバ
ックする。 〈a(x)の最下位ブロックを処理する場合〉a(x)の最下位
ブロックの処理を行う場合には、図１３の回路における
デマルチプレクサ３１０，３１９およびセレクタ３１
１，３２０を切換制御して、図１６に示すような回路と
する。Ａレジスタ３０１にa(x)の最下位ブロックＡ₀を
セットし、同時にＦレジスタ３０３にも最下位ブロック
Ｆ₀をセットする。この状態で演算を開始すると、１サ
イクル後に、Ｒ９レジスタ３０７、Ｒ８レジスタ３１
６、Ｒレジスタ３０４に演算結果の値が格納される。Ｒ
９レジスタ３０７，Ｒ８レジスタ３１６のｎ₂ビットと
Ｒレジスタ３０４のｎ₁ビットの内容は、別のレジスタ
あるいはメモリに一時退避させる。

【００８０】上述のようにして、乗数b(x)のブロックＢ
_j-1に対して、a(x)の各ブロックＡ_{i -1}〜Ａ₀の処理を順
に行っていくと、Ｒレジスタの内容を一時退避しておい
た値は、被乗数a(x)と同じビット長（既約多項式f(x)の
次数ｍ）の値となる。このｍビット長の値をｎ₁ビット
単位のブロックに分割し、乗数b(x)の次のブロックＢ_j
-2の処理を行う際に、処理を行うa(x)のブロックに対応
するブロックをＲレジスタ３０４にセットして演算を行
う。この後、b(x)の各ブロックＢ_j-3以降の演算につい
て同様の処理を行う。

【００８１】前述したAlgorithm３は、その処理ブロッ
クの次数wをｎ₁として、この乗算剰余回路で演算させる
ことが可能となり、高速でかつ汎用性のある乗算剰余回
路を実現することができる。 〔乗算剰余回路の第２実施例〕a(x)×b(x)の部分積を演
算する第１演算部と、f(x)による演算を行う第２演算部
とを備え、それぞれの演算結果を排他的論理和ゲートで
演算する構成とした例を図１７，図１８に示す。

【００８２】図１７に示すように、第１演算部４００
は、被乗数a(x)の各項を格納するＡレジスタ４０１と、
乗数b(x)の各項を格納するＢレジスタ４０２と、既約多
項式の各項を格納するＦレジスタ４０４と、演算結果を
格納するＲレジスタ４０５とを備えている。また、演算
結果のうち下位ｎ₂ビットを格納するＣレジスタ４０
６、Ｃレジスタ４０６の最上位ビットとＲレジスタ４０
５の最上位ビットとの排他的論理和の演算結果を格納す
るＲ１１レジスタ４０７およびＥ３レジスタ４０８を備
えている。

【００８３】第１演算部４００の１段目には、Ａレジス
タ４０１の内容とＢレジスタ４０２最上位ビットの内容
とを乗算するためのANDゲート４１５、Ｒレジスタ４０
５の上位ｎ₂ビットとＣレジスタ４０６の内容との排他
的論理和を演算するためのXORゲート４１６、XORゲート
４１６の最上位ビット出力をＲ１１レジスタ４０７とＥ
３レジスタ４０８に入力するデマルチプレクサ４１７、
XORゲート４１６の最上位ビット出力もしくはＥ３レジ
スタ４０８の内容を選択的に出力するセレクタ４１８、
セレクタ４１８からの出力とＦレジスタ４０４の上位ｎ
₂−１ビットの内容とを乗算するANDゲート４１９、XOR
ゲート４１６の最上位ビットを除くビット、Ｒレジスタ
４０５の下位（ｎ₁−ｎ₂）ビットとANDゲート４１５の
出力との排他的論理和を演算するXORゲート４２０、AND
ゲート４１９の出力とXORゲート４２０の上位ｎ₂−１ビ
ットの排他的論理和を演算するXORゲート４２１を備え
ている。

【００８４】第１演算部４００の２段目には、Ａレジス
タ４０１の内容とＢレジスタ４０２次のビットの内容と
を乗算するためのANDゲート４２２、XORゲート４２１の
最上位ビット出力をＲ１０レジスタ４０９とＥ２レジス
タ４１０に入力するデマルチプレクサ４２３、XORゲー
ト４２１の最上位ビット出力もしくはＥ２レジスタ４１
０の内容を選択的に出力するセレクタ４２４、セレクタ
４２４からの出力とＦレジスタ４０４の上位ｎ₂−２ビ
ットの内容とを乗算するANDゲート４２５、XORゲート４
２１の最上位ビットを除くビット、XORゲート４２０の
下位（ｎ₁−ｎ₂＋１）ビットとANDゲート４２２の出力
との排他的論理和を演算するXORゲート４２６、ANDゲー
ト４２５の出力とXORゲート４２６の上位ｎ₂−２ビット
の排他的論理和を演算するXORゲート４２７を備えてい
る。

【００８５】第１演算部４００の３段目には、Ａレジス
タ４０１の内容とＢレジスタ４０２次のビットの内容と
を乗算するためのANDゲート４３０、XORゲート４２７の
最上位ビット出力をＲ９レジスタ４１１とＥ１レジスタ
４１２に入力するデマルチプレクサ４２８、XORゲート
４２７の最上位ビット出力もしくはＥ１レジスタ４１２
の内容を選択的に出力するセレクタ４２９、セレクタ４
２９からの出力とＦレジスタ４０４の上位ｎ₂−３ビッ
トの内容とを乗算するANDゲート４３２、XORゲート４２
７の最上位ビットを除くビット、XORゲート４２６の下
位（ｎ₁−ｎ₂＋２）ビットとANDゲート４３０の出力と
の排他的論理和を演算するXORゲート４３１、ANDゲート
４３２の出力とXORゲート４３１の上位ｎ₂−３ビットの
排他的論理和を演算するXORゲート４３３を備えてい
る。

【００８６】第１演算部４００の４段目には、Ａレジス
タ４０１の内容とＢレジスタ４０２次のビットの内容と
を乗算するためのANDゲート４３６、XORゲート４３３の
最上位ビット出力をＲ８レジスタ４１３とＥ０レジスタ
４１４に入力するデマルチプレクサ４３５、XORゲート
４３３の最上位ビット出力もしくはＥ０レジスタ４１４
の内容を選択的に出力するセレクタ４３４、XORゲート
４３１の最上位ビットを除くビットとANDゲート４３６
の出力との排他的論理和を演算するXORゲート４３７を
備えている。

【００８７】第２演算部５００には、Ｆレジスタ４０４
の内容とセレクタ４１８からの出力@e₃とを乗算するAND
ゲート５０２、Ｆレジスタ４０４の内容とセレクタ４２
４からの出力@e₂とを乗算するANDゲート５０３、Ｆレジ
スタ４０４の内容とセレクタ４２９からの出力@e₁とを
乗算するANDゲート５０４、Ｆレジスタ４０４の内容と
セレクタ４３４からの出力@e₀とを乗算するANDゲート５
０５を備えている。また、ANDゲート５０２、５０３の
排他的論理和を演算するXORゲート５０６、ANDゲート５
０４の出力とXORゲート５０６の出力との排他的論理和
を演算するXORゲート５０７、ANDゲート５０５の出力と
XORゲート５０７の出力との排他的論理和を演算するXOR
ゲート５０８を備えている。

【００８８】また、XORゲート５０８の出力@g₇〜@g₀とX
ORゲート４３７の出力@d₇〜@d₀との排他的論理和を演算
するXORゲート５０１を備えている。このXORゲート５０
１の出力のうち上位（ｎ₁−ｎ₂）ビットはＲレジスタ４
０５に格納され、下位ｎ₂ビットはＣレジスタに格納さ
れる。このように構成した場合、回路規模は前述の実施
例と同等であるが、遅延パスが短くなり、クロック周波
数を高くすることができ、高速処理が可能となる。

【００８９】同様にしてAlgorithm３の構成をこの乗算
剰余回路により実装させることが可能であり、高速処理
が可能となる。

【００９０】

【発明の効果】本発明によれば、２の拡大体GF(2^m)上の
多項式基底で表された要素a(x),b(x)と既約多項式f(x)
に対して、a(x)×b(x) mod f(x)を演算する場合に、任
意の次数の演算が可能となるので汎用性があり、かつ高
速演算を可能とする。

【図面の簡単な説明】

【図１】本発明の第１実施形態のアルゴリズムの構成を
示す説明図。

【図２】その変形例の説明図。

【図３】第２実施形態のアルゴリズムの構成を示す説明
図。

【図４】その変形例の説明図。

【図５】その変形例の説明図。

【図６】ブロック処理の説明図。

【図７】本発明の１実施形態のフローチャート。

【図８】具体例のアルゴリズムの構成を示す説明図。

【図９】他の具体例のアルゴリズムの構成を示す説明
図。

【図１０】本発明の乗算剰余回路の構成を示す回路図。

【図１１】それに用いられるアルゴリズムの一例を示す
フローチャート。

【図１２】本発明の乗算剰余回路の他の構成を示す回路
図。

【図１３】本発明の第１実施例の回路図。

【図１４】その最上位ブロック処理時の回路図。

【図１５】その中間ブロック群処理時の回路図。

【図１６】その最下位ブロック処理時の回路図。

【図１７】本発明の第２実施例の回路図。

【図１８】本発明の第２実施例の回路図。

【符号の説明】

１１，１２，１３ 乗算部 １４ 加算部 ２１，２２，２３ 乗算部 ２４ 加算部 ３１，３２，３４，３５ 乗算部 ３３，３６ 加算部 ４１，４２，４４，４５ 乗算部 ４３，４６ 加算部 ４７ シフト演算部 １００ LFSR １０１ Ａレジスタ １０２ Ｂレジスタ １０３ Ｆレジスタ １０４ Ｒレジスタ １０５ 第１ANDゲート １０６ 第２ANDゲート １０７ 第１XORゲート １０８ 第２XORゲート ２００ LFSR ２０１ Ａレジスタ ２０２ Ｂ１レジスタ ２０３ Ｆレジスタ ２０４ Ｒレジスタ ２０５ 第１ANDゲート ２０６ 第２ANDゲート ２０７ 第１XORゲート ２０８ 第２XORゲート ２０９ Ｂ０レジスタ ２１０ 第２ANDゲート

───────────────────────────────────────────────────── フロントページの続き (72)発明者 鳥居 直哉 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 (72)発明者 長谷部 高行 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5J104 AA22 NA18 9A001 BB02 CZ03 DD10 EE02 FF01 GG01 JJ12 KK56 LL03

Claims (15)

【特許請求の範囲】
1. 【請求項１】多項式基底で表される２の拡大体GF(2^m)上
   の２つの元a(x),b(x)と既約多項式f(x)に対して、a(x)
   ×b(x) mod f(x)の乗算剰余演算を行う方法であって、 前記既約多項式f(x)からパラメータf'(x)を算出する（A
   -1）工程と、 前記a(x)とb(x)とを乗算してその積を変数t(x)に代入す
   る（A-2）工程と、 前記変数t(x)のｍ次以上の部分と前記パラメータf'(x)
   とを乗算しその積を変数u(x)に代入する（A-3）工程
   と、 前記変数u(x)のｍ次以上の部分と前記既約多項式f(x)と
   を乗算しその積を前記変数t(x)と加算して変数c(x)に代
   入する（A-4）工程と、を備える乗算剰余演算方法。
2. 【請求項２】多項式基底で表される２の拡大体GF(2^m)上
   の２つの元a(x),b(x)と既約多項式f(x)に対して、a(x)
   ×b(x) mod f(x)の乗算剰余演算を行う方法であって、 前記既約多項式f(x)からパラメータf'(x)を算出する（A
   -1）工程と、 前記a(x)とb(x)とを乗算してその積を変数t(x)に代入す
   る（A-2）工程と、 前記変数t(x)のｍ次以上の部分と前記パラメータf'(x)
   とを乗算しその積を変数u(x)に代入する（A-3）工程
   と、 前記変数u(x)のｍ次以上の部分と前記既約多項式f(x)と
   を乗算し、その積のｍ次未満の部分と前記変数t(x)のｍ
   次未満の部分とを加算して変数c(x)に代入する（A-4'）
   工程と、を備える乗算剰余演算方法。
3. 【請求項３】前記パラメータf'(x)は、２の拡大体GF
   (2^m)上でｘ^2mをf(x)で割った商である、請求項１または
   ２に記載の乗算剰余演算方法。
4. 【請求項４】前記パラメータf'(x)を予め算出してお
   き、前記（A-1）工程を省略することを特徴とする、請
   求項１〜３のいずれかに記載の乗算剰余演算方法。
5. 【請求項５】多項式基底で表される２の拡大体GF(2^m)上
   の２つの元a(x),b(x)と既約多項式f(x)のうち、前記a
   (x)に含まれるａ₀〜ａ_mをｗビット毎に分割してｎ個の
   ブロックＡ₀〜Ａ_n-1とし、a(x)×b(x) mod f(x)の乗算
   剰余演算を行う方法であって、 前記既約多項式f(x)からｗ次のパラメータf"(x)を算出
   する（B-1）工程と、 前回の計算結果である変数c(x)とｘ^wとを乗算してその
   積を変数t(x)に代入する（B-2）工程と、 前記Ａ_iとb(x)とを乗算しその積と前記変数t(x)とを加
   算し変数t(x)に代入する（B-3）工程と、 前記変数t(x)のｍ次以上の部分を求めて変数t_h(x)に代
   入する（B-4）工程と、 前記変数t_h(x)と前記パラメータf"(x)とを乗算しその積
   のｗ次以上の部分を求めて変数u(x)に代入する（B-5）
   工程と、 前記変数u(x)と前記既約多項式f(x)とを乗算しその積と
   前記変数t(x)とを加算して変数c(x)に代入する（B-6）
   工程と、を備え、前記（B-2）工程〜（B-6）工程をｉ＝
   ０〜ｎ−１についてｎ回繰り返すことを特徴とする乗算
   剰余演算方法。
6. 【請求項６】多項式基底で表される２の拡大体GF(2^m)上
   の２つの元a(x),b(x)と既約多項式f(x)のうち、前記a
   (x)に含まれるａ₀〜ａ_mをｗビット毎に分割してｎ個の
   ブロックＡ₀〜Ａ_n-1とし、a(x)×b(x) mod f(x)の乗算
   剰余演算を行う方法であって、 前記既約多項式f(x)からｗ次のパラメータf"(x)を算出
   する（B-1）工程と、 前回の計算結果である変数c(x)とｘ^wとを乗算してその
   積を変数t(x)に代入する（B-2）工程と、 前記Ａ_iとb(x)とを乗算しその積と前記変数t(x)とを加
   算し変数t(x)に代入する（B-3）工程と、 前記変数t(x)のｍ次以上の部分を求めて変数t_h(x)に代
   入する（B-4）工程と、 前記変数t_h(x)と前記パラメータf"(x)とを乗算しその積
   のｗ次以上の部分を求めて変数u(x)に代入する（B-5）
   工程と、 前記変数u(x)と前記既約多項式f(x)とを乗算しその積の
   ｍ次未満の部分と前記変数t(x)のｍ次未満の部分とを加
   算して変数c(x)に代入する（B-6'）工程と、を備え、前
   記（B-2）工程〜（B-6'）工程をｉ＝０〜ｎ−１につい
   てｎ回繰り返すことを特徴とする乗算剰余演算方法。
7. 【請求項７】前記パラメータf"(x)は、２の拡大体GF
   (2^m)上でｘ^m+wをf(x)で割った商である、請求項５また
   は６に記載の乗算剰余演算方法。
8. 【請求項８】前記パラメータf"(x)を予め算出してお
   き、前記（B-1）工程を省略することを特徴とする、請
   求項５〜７のいずれかに記載の乗算剰余演算方法。
9. 【請求項９】前記各工程の前段階として、前記a(x)およ
   びb(x)と（ｘ^-s mod f(x)）とを乗算しその積とｘ^sとを
   乗算してそれぞれ変数a(x)およびb(x)に代入する変換工
   程と、 最終的な演算結果であるc(x)に対して（c(x) mod f
   (x)）を求めてこれを変数c(x)に代入する逆変換工程と
   をさらに含む、請求項１〜８のいずれかに記載の乗算剰
   余演算方法。
10. 【請求項１０】前記各工程の前段階として、前記a(x)お
    よびb(x)と（ｘ^-s mod f(x)）とを乗算しその積とｘ^sと
    を乗算してそれぞれ変数a(x)およびb(x)に代入する変換
    工程と、 最終的な演算結果であるc(x)に対して（c(x) mod ｘ^s）
    ／ｘ^sを求めこれを変数c(x)に代入する逆変換工程とを
    さらに含む、請求項１〜８のいずれかに記載の乗算剰余
    演算方法。
11. 【請求項１１】多項式基底で表される２の拡大体GF(2^m)
    上の２つの元a(x),b(x)と既約多項式f(x)に対して、乗
    数b(x)のビット単位の演算処理を行ってa(x)×b(x) mod
    f(x)の乗算剰余演算を行う乗算剰余回路であって、 前回の演算結果r(x)と既約多項式f(x)との排他的論理和
    を演算する第１のXORゲートと、前記第１のXORゲートの
    演算結果と前記a(x)×b(x)の演算結果との排他的論理和
    を演算する第２のXORゲートとを備える所定のビット長
    を有する線形フィードバックレジスタにより構成される
    乗算剰余回路。
12. 【請求項１２】前記線形フィードバックレジスタは、ｎ
    ₁ビット長のものがｎ₂段に設けられ、前記乗数b(x)のブ
    ロック単位での演算処理を行うことを特徴とする、請求
    項１１に記載の乗算剰余回路。
13. 【請求項１３】請求項１または請求項２に記載の乗算剰
    余演算方法に適用されることを特徴とする、請求項１２
    に記載の乗算剰余回路。
14. 【請求項１４】前記線形フィードバックレジスタのビッ
    ト長ｎ₁よりも大きいビット長の被乗数a(x)に対して乗
    算剰余を行うために、前回の演算結果の上位ｎ₂ビット
    の値を保持するレジスタを設けた、請求項１２または１
    ３に記載の乗算剰余回路。
15. 【請求項１５】ｎ₂段分のa(x)×b(x)の部分積を演算す
    る第１演算部と、ｎ₂段分のf(x)に関する演算を行う第
    ２演算部とを備える、請求項１２〜１４のいずれかに記
    載の乗算剰余回路。