JP2001194993A - 剰余演算装置及び方法 - Google Patents

Abstract

(57)【要約】 【課題】モンゴメリ乗算等に高速化に寄与する新たな基
底変換（拡張）の実現 【解決手段】剰余演算機能を有し複数並列に配置される
積和回路と、この積和回路における剰余演算に用いられ
る補正項を計算する補正項計算ユニットとを備えた剰余
演算装置において、前記補正項計算ユニットは、前記補
正項を１ビットずつ逐次計算し、前記積和回路は、前記
補正項計算ユニットにより計算された前記補正項を逐次
反映させ所定の漸化式に従って基底変換もしくは基底拡
張を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、剰余演算系に基づ
き大きな整数の演算を並列処理により高速に計算する剰
余演算処理装置及び方法に関する。

【０００２】

【従来の技術】大きな整数を効率良く演算するための手
法として剰余演算系（Modular ArithmeticまたはResidu
e Number System）が知られている。剰余演算系では、
互いに素な比較的小さな整数の組{a₁, a₂,…, a_n}を用
意し、表現対象となる大きな整数をこれらの整数で割っ
た余りで表現する。以後、この整数の組を剰余演算系の
基底(base)と称する。また、要素数ｎを基底サイズと称
する。

【０００３】例えば基底{a₁, a₂,…, a_n}が与えられて
いる場合、整数ｘは、これを基底a_i(i=1,2,...,n)で除
して得られるｎ個の余り{x₁, x₂,…, x_n}により表現さ
れる。このとき、数xが基底要素の積Ａ(=a₁a₂…a_n)未満
の正整数であれば、数xは基底要素の積Ａを法として一
意に表現できる。言いかえれば、数xとその剰余演算系
表現{x₁, x₂,…, x_n}は一対一に対応する。

【０００４】このような剰余演算系表現において２つの
整数x，yの積を計算するには、まず、各要素毎の積を求
め、さらに、対応する基底a_iで除した余りを求める。こ
れは、一般的には、各要素毎に対応する基底a_iを法とす
る積を計算することで基底要素の積Ａを法とする積が求
められることと言い換えられる。加算および減算につい
ても同様であり、基底a_iに対応する要素x_i，y_iについ
て、a_iを法とする加算あるいは減算をすればよい。

【０００５】このような剰余演算系を用いた演算では、
乗算・加算・減算は、各要素毎独立に対応する基底を法
とする演算を行えば良いのであるが、例えば基底として
計算機のワード長以内の値を採用することで、非常に大
きな整数の演算を単精度の演算の繰り返しによって実現
できる。

【０００６】また、それらの単精度演算は基底毎で独立
して実行できるので、演算器を複数用意することで並列
処理が可能になる。例えば、基底サイズがｎの場合、剰
余機能付き乗算器をｎ個用意し、これらを並列に動作さ
せることによって、１回の単精度剰余付き乗算と同じ時
間内で基底要素の積Ａを法とする乗算を終えることがで
きる。

【０００７】現在の計算機内では、２進数表現が用いら
れているのが通常である。２進数表現に基づく大きな整
数の演算では、LSB(Least Significant Bit)からMSB(Mo
st Significant Bit)に向けて桁上がり（キャリー）が
伝播し、大きな整数の全桁数（あるいはビット長）に比
例した処理時間がかかる。したがって、剰余演算系を用
いて並列処理した場合に比べて処理速度の点で不利であ
る。

【０００８】一方、剰余演算系はワード間の桁上りが生
じないので２進数表現で代表される基数法(Radix repre
sentation)に比べ、大きい整数の乗算・加算・減算を効
率良く行うための方式として古くから知られてきた。

【０００９】しかしながら、除算や２数の大小比較につ
いては基数法に比べ効率良く行う手段は知られていなか
った。このため公開鍵暗号のような大きな整数の演算を
高速に行う応用に剰余演算系が適していると考えられな
がら、８０年代までは剰余演算系を具体的にどう適用し
たら良いか知られていなかった。

【００１０】そして、PoschらはIEEE Transaction on P
arallel and Distributed Systems,Vol.6, No.5, May 1
995, pp.449-454に掲載された”Modulo Reduction in R
esidue Number Systems”およびComputer & Security誌
Vol.17, pp.637-650, 1998の”RNS-Modulo Reduction
Upon a Restricted Base Value Set and its Applicabi
lity to RSA Cryptography”において、剰余演算系を利
用し、公開鍵暗号系のRSA暗号法(RSA cryptography)の
演算を高速に行う方式を提案した。

【００１１】また、Kornerupらは13th IEEE Symposium
on Computer Arithmetic (Proceedings of ARITH13), I
EEE Computer Society, pp234-239の”An RNS Montgome
ry Modular Multiplication Algorithm”において、ま
たPaillierはSpringer-Verlag, Lecture Notes in Comp
uter Science No.1560 Public Key Cryptography (PK
C’99), pp.223-234の“Low-Cost Double-Size Modular
Exponentiation or Howto Stretch Your Cryptoproces
sor”において、類似の高速演算方式を提案した。

【００１２】RSA暗号法に剰余演算系を用いる主な理由
は、同暗号法が十進数２００桁程度以上の非常に大きな
整数の剰余乗算演算の繰り返しにより構成され、これま
で述べたような剰余演算系の乗算と加減算が高速に行え
る特性を利用して高速処理を実現することが可能である
ためである。

【００１３】上記Poschら、Kornerupら、およびPaillie
rのそれぞれの方式において共通するのは、剰余演算系
において不利な除算を行うことを避けるために、Montgo
meryの演算方式を剰余演算系に組合せている点である。
また、処理の途中において、ある基底で剰余系表現され
た整数を別な基底で表現した値を求めるための基底変換
(base conversion)あるいは基底拡張(base extension)
が行われている点も３方式に共通している。さらに、い
ずれの方式とも基底変換または基底拡張を効率良く行う
ことができるか否かが処理全体の効率にかかわってい
る。

【００１４】ここで、基底変換と基底拡張という２種類
の用語を用いているが、基底変換とは、ある基底で表現
された値をその基底と互いに素な別の基底で表現しなお
すことをいう。また、基底拡張とは、サイズｎの基底で
表現された値を、元の基底にそれと互いに素な１つの整
数を加えた、サイズｎ＋１の基底で表した場合のｎ＋１
番目の要素を求めることを指す。基底拡張の方式があれ
ば、それをｎ回実行することにより基底変換を構成でき
ることは明らかである。剰余演算系を用いたRSA暗号法
の実現においては、基底変換（または基底拡張）を効率
良く行うための方式および装置が必要となる。

【００１５】しかしながら、上記３つの方式、並びにこ
れまで提案されている方式は、以下で説明するように、
何らかの点で効率が悪い基底変換方式であるといえる。

【００１６】まず、Poschらの提案した方式において、R
SA暗号の演算において示された基底変換の方式は、変換
前の値がある値よりも小さい場合には変換後の値に誤差
を生じる可能性がある。そこでPoschらは基底変換処理
の入力に適当なオフセットを加えることで該入力を基底
変換処理において誤差が生じないような値に変換し、そ
の変換結果を基底変換し、得られた基底変換結果からオ
フセットによる影響を取り除くという手順を提案してい
る。しかし、このようなオフセットのための前処理およ
び後処理は全体の演算量を増加させるので効率が悪い。

【００１７】またPoschらの方式は与えられた基底で計
算可能なRSA暗号の鍵のサイズが著しく限定される上、
基底変換に必要な補正項を計算するために乗算器を必要
とするので、回路化した際の面積および処理遅延の点で
も不利である。

【００１８】図５は、Poschらの方式によるRSA暗号演算
に用いられる剰余演算回路の概略構成を示す図である。

【００１９】剰余演算機能付き積和回路５０１、RAM５
２１、ROM５３１は１つのユニットを構成し、同様の構
成のユニットがｎ個並列に並ぶ構成になっている。ここ
では基底のサイズをｎとしており、各ユニットは特定の
基底に対応した演算を行う。例えば、各ユニットは基底
Aのｎ個の各基底要素および基底Bのｎ個の各基底要素に
それぞれ対応しており、例えば積和回路５０１では基底
a₁，b₁に対応した演算が行われる。また、これらｎ個の
ユニットはそれぞれｒビットの演算を行うよう構成され
ており、さらにｒビットのバスによって相互に接続され
ている。

【００２０】図６に積和回路５０１〜５０ｎの内部構成
を示す。ここでは、便宜上、積和回路５０１で示すユニ
ットに関するものとして説明する。入力としては記号
a，ｂで表すｒビットのデータと、図中で右側から入力
されているｒビットのROM５３１からのデータ入力があ
る。図中で、aはRAM５２１からの入力、ｂはROM５３１
からの入力を表す。a，bはまず乗算器６０１で掛け合わ
され、結果は次段の加算器６０２に供給される。加算器
６０２では、乗算結果とレジスタ６０４からのフィード
バック値が入力され足し合わされる。加算器６０２の結
果は剰余演算部６０３に供給され、レジスタ６０５にセ
ットされた値により割った余りに変換される。ここでは
レジスタ６０５の値を記号ｍ_ｉと書いているが、これは
基底a_１またはb_１を表すものとする。入力a，bには基底
サイズと同じｎ組みのデータが供給されるが、ｎ個のデ
ータをすべて計算した後には計算結果がレジスタ６０４
に出来上がっており、これはｒビットのバスによってRA
M５２１に供給される。

【００２１】図５の説明に戻って、剰余演算回路には、
基底変換において計算結果を補正するための補正項計算
ユニット５１０及びこの補正項計算ユニット５１０に外
付けされ、該補正項計算ユニット５１０に少なくともｎ
ワードのパラメータを供給するROM５３０が含まれる。

【００２２】Poschらの提案した補正項計算ユニット５
１０は、図７のような積和回路によって実現される。図
７に示す回路では、まず入力されたｒビットのデータと
ＲＯＭ５３０から入力されたデータが乗算器７０１で掛
け合わされたのち、加算器７０２によって累積加算され
る構成となっている。加算結果はレジスタ７０３に記憶
され、補正項を完全に計算し終わってから値がフィード
バックされる。

【００２３】ここで注意すべき点は、補正項計算ユニッ
ト５１０の回路規模は、図６に示した剰余演算機能付き
積和回路の回路規模と同程度以上の大きなものであると
いう点である。また、ここで計算される補正項は（ｒ＋
log₂ｎ）ビット程度の大きさであり、図において、積和
回路５０１〜５０ｎに向けて補正項を伝えるための伝送
バス幅はｒビットではなく、（r+log₂ｎ）ビット必要で
あり、これは回路面積を増大させる要因になる。もっと
も、この内ｒビットはＲＡＭから補正項演算ユニットへ
のバスと共用することが可能であるが、その場合でもlo
g₂ｎビット分はフィードバックのために余計な面積を必
要とすることになる。

【００２４】また、積和回路５０１から５０ｎは、補正
項計算ユニット５１０から受け取った補正項をそれまで
の計算結果に反映させるために少なくとも剰余乗算を１
回行う必要がある。仮に、補正項を他の処理を行ってい
る間に、逐次積和回路にフィードバックすることができ
れば処理時間の節約になると思われるが、Poschらの構
成では補正項を完全に計算し終わってからでなければ値
をフィードバックすることはできない。これら具体的な
問題点を解決する手段はこれまで考案されていなかっ
た。

【００２５】他の従来技術であるKornerupらの方式で
は、前記補正項を計算するために、ShenoyとKumaresan
がIEEE Transaction on Computers, Vol.38, No.2, Feb
ruary 1989, pp.292-297の”Fast Base Extension Usin
g a Redundant Modulus in RNS”で提案した方式を用い
ている。この場合、補正項のサイズはｎ程度でありPosc
hらの方式に比べ格段に小さいが、この方式の場合にも
やはり補正項の計算に乗算を必要とし回路規模、処理遅
延の点でより効率の良い補正項演算手順が求められてい
た。

【００２６】また、他の従来技術であるPaillierの提案
した方式では、任意の基底を選べる訳ではなく、基底に
対して基数表現への変換や基数表現から剰余演算系表現
への変換が非常に効率良く行えるという条件が課されて
いるために適用範囲が限られている。論文中で具体的に
示されている適用可能な例は、基底サイズｎが２の基底
二組を用いる場合のみが示されており、それ以外の実用
的な例は知られていない。ｎが２程度と小さい場合、基
底の各要素は逆に大きく、ｎを大きく取れて基底の各要
素を小さく設定できる場合にくらべ処理速度を上げるこ
とが困難である。

【００２７】以上述べたように、RSA暗号の高速処理を
ねらって剰余演算系を利用することを提案した３種類の
方式が知られており、これまでに提案されているRSA暗
号の演算方式に比べて処理効率を上げる効果はあるもの
の、いずれの方式においても処理ステップの中で最も重
要な部分である基底変換処理の効率が悪かったり、基底
サイズが限られた方式しかなかった。

【００２８】

【発明が解決しようとする課題】以上の点に鑑み本発明
は、従来提案されている基底変換方式に比べ、以下のよ
うな点のすべてもしくは一部において優れている新しい
基底変換方式を提供することを目的とする。

【００２９】(a)補正項の値が比較的小さくかつ逐次処
理できる。

【００３０】(b)変換後の値が変換前に表現されていた
値と一致し、誤差が生じない。

【００３１】(c)仮に誤差が生じる場合でも、前後の処
理や入力サイズの制限により誤差を容易に制御できる。

【００３２】(d)RSA暗号への適用においては鍵のサイズ
への制限が少ない。

【００３３】(e)補正項を計算するのに乗算が不要で処
理効率が良い。

【００３４】(f)基底の取り方に制約が少なく汎用性が
高い。

【００３５】そして、このような基底変換方式を、Mont
gomeryのアルゴリズムと組み合わせることにより、RSA
暗号の処理等に用いられる高速な剰余演算装置及び方法
を実現することを目的とする。

【００３６】

【課題を解決するための手段】上記課題を解決し目的を
達成するために本発明は次のように構成されている。

【００３７】（１）本発明の剰余演算装置は剰余演算機
能を有する複数の積和回路と、この積和回路における剰
余演算に用いられる補正項を計算する補正項計算ユニッ
トとを備えた剰余演算装置において、前記補正項計算ユ
ニットは、前記補正項を１ビットずつ逐次計算し、前記
積和回路は、前記補正項計算ユニットにより計算された
前記補正項を逐次反映させて基底変換もしくは基底拡張
を行うことを特徴とする剰余演算装置である。

【００３８】（２）本発明の剰余演算装置は上記（１）
に記載の装置であって、かつ前記積和回路は、モンゴメ
リ(Montgomery)乗算を行うことを特徴とする剰余演算装
置である。

【００３９】（３）本発明の剰余演算装置は複数並列に
配置された積和回路と、この積和回路における剰余演算
に用いられる補正項を計算する補正項計算ユニットとを
備えた剰余演算処理装置において、前記補正項計算ユニ
ットは、前記補正項を１ビットずつ逐次計算し、前記積
和回路は、前記補正項計算ユニットにより計算された前
記補正項を逐次反映させて剰余演算系表現を基数表現に
変換する演算を行うことを特徴とする剰余演算装置であ
る。

【００４０】（４）本発明の剰余演算装置方法は上記
（１）乃至（３）のいずれかに記載の装置であって、か
つ前記補正項計算ユニットは、除算回路を有し、前記積
和回路で扱われる剰余演算系の基底を２の冪、もしくは
２の冪に近接するものとすることを特徴とする剰余演算
装置である。

【００４１】（５）本発明の剰余演算装置は上記（１）
乃至（４）のいずれかに記載の装置であって、かつ前記
補正項計算ユニットへの入力ビットを選択するビット選
択部を更に備えたことを特徴とする剰余演算装置であ
る。

【００４２】（６）本発明の剰余演算装置は上記（１）
乃至（５）のいずれかに記載の装置であって、かつ外部
とのデータの入出力を行うＩ／Ｏ部を更に備えたことを
特徴とする剰余演算装置である。

【００４３】（７）本発明の剰余演算装置は剰余演算系
における所定の演算アルゴリズムにおいてある基底を他
の基底に基底変換又は基底拡張する剰余演算装置におい
て、前記基底変換又は基底拡張の未知パラメータｋを、
該未知パラメータｋの前回計算結果の累積加算により生
じた桁上がりに近似して出力するｋ出力手段と、前記ｋ
出力手段から出力された未知パラメータｋに応じて前記
基底変換又は基底拡張における特定項の計算可否を切り
替える切替手段と、前記特定項の計算を含む乗算、加算
及び剰余算の組み合わせにより基底要素毎に前記基底変
換又は基底拡張の計算を行う複数の演算ユニットと、を
具備することを特徴とする剰余演算装置である。

【００４４】（８）本発明の剰余演算装置は上記（７）
に記載の装置であって、かつ前記ｋ出力手段は、中国剰
余定理に基づく前記未知パラメータｋの計算式の分母を
２の冪により近似することを特徴とする剰余演算装置で
ある。

【００４５】（９）本発明の剰余演算装置は上記（７）
に記載の装置であって、かつビット選択手段をさらに具
備し、前記ｋ出力手段は中国剰余定理に基づく前記未知
パラメータｋの計算式の分子を、前記ビット選択手段に
よる有効ビット長以外の切り捨てに基づいて近似するこ
とを特徴とする剰余演算装置である。

【００４６】（１０）本発明の剰余演算装置方法は上記
（７）に記載の装置であって、かつ前記ｋ出力手段は、
中国剰余定理に基づく前記未知パラメータｋの計算式の
分母を２の冪により近似するとともに、該計算式の分子
を、有効ビット長以外の切り捨てに基づいて近似するこ
とを特徴とする剰余演算装置である。

【００４７】（１１）本発明の剰余演算装置は上記
（７）に記載の装置であって、かつ前記所定の演算アル
ゴリズムは、入力された整数ｘ，ｙ，Ｎに対して、ｘｙ
Ｂ^−１ modＮまたはｘｙＢ^−１ mod Ｎ＋Ｎを出力する
モンゴメリ乗算アルゴリズムから構成されることを特徴
とする剰余演算装置である。

【００４８】（１２）本発明の剰余演算装置は上記（１
１）に記載の装置であって、かつ前記モンゴメリ乗算を
用いた所定のアルゴリズムに従ってべき乗剰余算を行う
手段を具備することを特徴とする剰余演算装置である。

【００４９】（１３）本発明の剰余演算装置は上記
（７）に記載の装置であって、かつ中国剰余定理に基づ
く未知パラメータを含む所定の計算式に従って、剰余演
算系表現を基数表現に変換して出力する変換手段を具備
することを特徴とする剰余演算装置である。

【００５０】（１４）本発明の剰余演算装置は剰余演算
系における所定の演算アルゴリズムにおいてある基底を
他の基底に基底変換又は基底拡張する剰余演算装置にお
いて、特定項の計算を含む乗算、加算及び剰余算の組み
合わせにより基底要素毎に前記基底変換又は基底拡張の
計算を行うための複数の演算ユニットと、前記複数の演
算ユニットのそれぞれに設けられ、前記基底変換又は基
底拡張の未知パラメータｋを、該未知パラメータｋの前
回計算結果の累積加算により生じた桁上がりに近似して
出力するｋ出力手段と、前記ｋ出力手段に対応する前記
演算ユニットの前記特定項の計算可否を、該ｋ出力手段
から出力された未知パラメータｋに応じて切り替える切
替手段と、当該演算ユニットのオペランドを隣接する演
算ユニットに送信し、及び隣接する他の演算ユニットか
らのオペランドを受信する演算ユニット間の接続手段
と、を具備する剰余演算装置である。

【００５１】（１５）本発明の剰余演算装置方法は上記
（１４）に記載の装置であって、かつ前記ｋ出力手段
は、中国剰余定理に基づく前記未知パラメータｋの計算
式の分母を２の冪により近似することを特徴とする剰余
演算装置である。

【００５２】（１６）本発明の剰余演算装置方法は上記
（１４）に記載の装置であって、かつ前記ｋ出力手段
は、中国剰余定理に基づく前記未知パラメータｋの計算
式の分子を、有効ビット長以外の切り捨てに基づいて近
似することを特徴とする剰余演算装置である。

【００５３】（１７）本発明の剰余演算装置は上記（１
４）に記載の装置方法であって、かつ前記ｋ出力手段
は、中国剰余定理に基づく前記未知パラメータｋの計算
式の分母を２の冪により近似するとともに、該計算式の
分子を、有効ビット長以外の切り捨てに基づいて近似す
ることを特徴とする剰余演算装置である。

【００５４】（１８）本発明の剰余演算装置方法は上記
（１４）に記載の装置であって、かつ前記所定の演算ア
ルゴリズムは、入力された整数ｘ，ｙ，Ｎに対して、ｘ
ｙＢ^{− １} mod ＮまたはｘｙＢ^−１ mod Ｎ＋Ｎを出力す
るモンゴメリ乗算アルゴリズムから構成されることを特
徴とする剰余演算装置である。

【００５５】（１９）本発明の剰余演算装置は上記（１
８）に記載の装置であって、かつ前記モンゴメリ乗算を
用いた所定のアルゴリズムに従ってべき乗剰余算を行う
手段を具備することを特徴とする剰余演算装置である。

【００５６】（２０）本発明の剰余演算装置は上記（１
４）に記載の装置であって、かつ中国剰余定理に基づく
未知パラメータを含む所定の計算式に従って、剰余演算
系表現を基数表現に変換して出力する変換手段を具備す
ることを特徴とする剰余演算装置である。

【００５７】（２１）本発明の剰余演算方法は剰余演算
系における所定の演算アルゴリズムにおいてある基底を
他の基底に基底変換又は基底拡張する剰余演算方法にお
いて、前記基底変換又は基底拡張の未知パラメータｋ
を、前回計算結果の累積加算により生じた桁上がりに近
似し、前記出力された未知パラメータｋに応じて前記基
底変換又は基底拡張における特定項の計算可否を切り替
え、前記特定項の計算を含む乗算、加算及び剰余算の組
み合わせにより基底要素毎に前記基底変換又は基底拡張
の計算を行うことを特徴とする剰余演算方法である。

【００５８】（２２）本発明の剰余演算方法は上記（２
１）に記載の方法であって、かつ中国剰余定理に基づく
前記未知パラメータｋの計算式の分母を２の冪により近
似することを特徴とする剰余演算方法である。

【００５９】（２３）本発明の剰余演算方法は上記（２
１）に記載の方法であって、かつ中国剰余定理に基づく
前記未知パラメータｋの計算式の分子を、有効ビット長
以外の切り捨てに基づいて近似することを特徴とする剰
余演算方法である。

【００６０】（２４）本発明の剰余演算装置方法は上記
（２１）に記載の方法であって、かつ中国剰余定理に基
づく前記未知パラメータｋの計算式の分母を２の冪によ
り近似するとともに、該計算式の分子を、有効ビット長
以外の切り捨てに基づいて近似することを特徴とする剰
余演算方法である。

【００６１】（２５）本発明の剰余演算方法は上記（２
１）に記載の方法であって、かつ前記所定の演算アルゴ
リズムは、入力された整数ｘ，ｙ，Ｎに対して、ｘｙＢ
^−１ mod ＮまたはｘｙＢ^−１ mod Ｎ＋Ｎを出力するモ
ンゴメリ乗算アルゴリズムから構成されることを特徴と
する剰余演算方法である。

【００６２】

【発明の実施の形態】以下、本発明の実施形態につい
て、図面を参照しつつ詳細に説明する。

【００６３】（第１実施形態）まず、本発明の最も適し
た例であるRSA暗号法の演算について述べる。

【００６４】RSA暗号の暗号化および復号は次の式で表
されるべき剰余演算によって実現される。

【００６５】Ｃ＝ｍ^e mod Ｎ （１） ここで、m，Nは十進数で数百桁の大きさで処理量が非常
に大きいため、これを効率良く計算するために様々な方
式が考案されてきた。RSA暗号の演算を実装する良く知
られた方法としてMontgomeryによって提案された剰余付
き乗算（以後これをモンゴメリ(Montgomery)乗算と呼
ぶ）を繰り返し用いる方法がある。従来の技術でも紹介
したように、本発明の具体的適用対象の一つとしてモン
ゴメリ乗算を剰余演算系で行う場合を取り上げる。ここ
では、まず剰余演算系ではない通常のモンゴメリ乗算の
処理手続きについて説明する。

【００６６】モンゴメリ乗算は、入力された整数ｘ，
ｙ，Ｎに対して、ｘｙＢ^−１ mod ＮまたはｘｙＢ^−１
mod Ｎ＋Ｎを出力するアルゴリズムであり、次の５ステ
ップからなる。

【００６７】 （１）ｓ ← ｘ・ｙ （２）ｔ ← ｛ｓ・（−Ｎ）^−１｝mod Ｂ （３）ｕ ← ｔ・Ｎ （４）ｖ ← ｓ＋ｕ （５）ｗ ← ｖ／Ｂ ここで、ｓ，ｔ，ｕ，ｖ，ｗは中間変数を表し、ＢはＮ
より大きく、Ｎと互いに素な任意の整数である。

【００６８】これを剰余演算系で実現するアイディアは
Poschらが初めて提案しており、次のような７ステップ
で書ける。

【００６９】 （１）ｓ_A ← ｘ_A・ｙ_A， ｓ_B ← ｘ_B・ｙ_B （２）ｔ_B ← ｛ｓ_B・（−Ｎ_B）^−１｝mod Ｂ （３）ｔ_B から基底変換によりｔ_Aを求める。 （４）ｕ_A ← ｔ_A・Ｎ_A （５）ｖ_A ← ｓ_A＋ｕ_A （６）ｗ_A ← ｖ_A Ｂ_A ^−１ （７）ｗ_Aから基底変換によりｗ_Bを求める。 ここで、添え字AあるいはBをつけた記号はそれぞれ剰余
演算系の基底A＝｛a₁,a₂,…, a_n｝あるいは基底B=｛b₁,
b₂,…, b_n｝によって表現された数を表す。例えば、ｘ
_Aは基底要素の積Ａ= a₁a₂…a_n を法とする剰余環の要素
ｘを基底Aの各要素で割った余りｎ個の組｛x₁, x₂,…,
x_n｝を表す。上記の処理により正しく計算ができるため
には少なくともＮ＜Ａ，Ｎ＜Ｂが必要条件である。この
条件からｘやｙは基底Aのみ、あるいは基底Bのみで一意
に表現できるので、ｘ_A，ｘ_Bのペアでｘを表すこと自体
は冗長である。しかし、ｘとｙの積ｓがとる値の範囲は
０≦ｓ＜Ｎ²であり、A*Bを基底としてはじめて正しく表
現される。このことからｘとｙもA*Bを基底として表現
することによりｓが剰余演算系の積として正しく計算で
きることがわかる。なお、基底Aと基底Bのサイズｎとｍ
は一般には異なるが、特殊な場合としてｎ=ｍとした場
合には基底Aを処理する演算ユニットと基底Bを処理する
演算ユニットを共用できるという利点がある。

【００７０】剰余演算系におけるモンゴメリ乗算の処理
においてステップ（３）と（７）を除けば、通常のモン
ゴメリ演算における５つのステップとの対応関係は明ら
かであろう。ステップ（１）〜（２）、（４）〜（６）
は剰余演算系の乗算または加算によって容易に実現でき
る。例えば、ステップ（１）のｓ_Aの計算では基底Aの剰
余演算系で表されたｘの各要素とｙの各要素を対応する
基底要素を法として乗ずることによって計算できる。こ
れに対してステップ（３）、（７）の基底変換について
これまで幾つかの研究がなされてきた。基底変換をいか
に効率良く行うかが上記処理アルゴリズムを効率良く実
装するためのポイントとなる。

【００７１】与えられたｘをまさしく基底要素の積Ａ
（= a₁a₂…a_n）以下の正の値として表現する手法をまず
考察する。いまｘを０≦ｘ＜Ａなる整数とし、その剰余
演算系表現を｛x₁, x₂,…, x_n｝とする。この時よく知
られた中国剰余定理から次式が成り立つ。

【００７２】

【数１】

【００７３】ここで、A_i はＡ/ a_i，A_i ^-1は法a_i におけ
るA_i の乗法逆元である。このとき、

【数２】

【００７４】なるｋが唯一存在する。ここで、未知なパ
ラメータはkのみであり、kを既知のパラメータで表現す
ることを考える。kは第一項で計算された値を０以上Ａ
未満の整数にするためのパラメータであり、以後、kを
補正項と呼ぶことにする。

【００７５】式（３）の両辺をＡで割ると、

【数３】 従って、

【数４】 ここで、０≦x/Ａ＜１を考慮すると、

【数５】 が言える。小数部を切り捨てる操作を記号［ ］で表す
と、式（６）から次の関係式が導ける。

【００７６】

【数６】

【００７７】これはPoschらの表現に似ているが彼等の
方式による補正項ｋ’は次のように書ける。

【００７８】

【数７】

【００７９】このPoschらの式（８）と比べると、本発
明に係る式（７）は、ｘ_i の項が（）内に組み込まれ、
a_i を法としてA_i ^-1と掛け合わされている点が異なる。
以後この積を次のように記号ξ_iで表す。

【００８０】 ξ_i＝x_i *A_i ^-1mod a_i （９） 式（７）に基づく補正項kの取りうる値は０以上ｎ未満
の値となるのに対し、Poschらの式（８）に基づく補正
項k’は最大でΣ_i=1 ⁿ a_i 程度の大きさとなる。このPo
schらの補正項k’は、

【数８】 を満たし、多くの場合ｎを大きく超える値となる。な
お、Min，Maxはそれぞれ最小値、最大値をとる関数とす
る。

【００８１】式（７）に従って計算される補正項kは、P
oschらの方式に比べて値が小さいものが得られる。この
ように、本発明による補正項kの計算法は式（７）の関
係式を出発点として構成される。

【００８２】ここで、本発明によるモンゴメリ乗算を実
現する剰余演算回路の構成を図面を参照しながら説明す
る。図１は、モンゴメリ乗算を実現する剰余演算装置の
主要部分を図示したものである。剰余演算機能付き積和
回路１０１、RAM１２１、ROM１３１は１つのユニットを
構成し、同様の構成のユニットがｎ個並列に並ぶ構成に
なっている。各ユニットは基底Aのｎ個の各基底要素お
よび基底Bのｎ個の各基底要素にそれぞれ対応してお
り、例えば積和回路１０１では基底a₁，b₁に対応した演
算が行われる。これらｎ個のユニットはそれぞれｒビッ
トの演算を行うよう構成されており、さらにｒビットの
バスによって相互に接続されている。これらｎ個のユニ
ット以外の構成要素としてビット選択部１１１と補正計
算ユニット１１０とが図示されている。補正項計算ユニ
ット１１０は、上記した式（７）またはその変形式に従
って補正項kに相当する値を計算するために必要なユニ
ットである。ビット選択部１１１はｒビットのバスから
必要な数の上位ビット（ｑ）を切り出すユニットである
が、実装によってはｒビットをそのまま補正項計算ユニ
ット１１０に供給する場合もある。

【００８３】図２は、図１に示された積和回路１０１〜
１０ｎのうちの一つの積和回路の構成を示している。こ
こでは、便宜上、積和回路１０１で示すユニットに関す
るものとして説明する。入力としては、記号ａ，ｂで表
すｒビットのデータと、図中で右側から入力されている
ｒビットのROM１３１からのデータと、１ビットの補正
項演算ユニットからの出力とがある。図中でａはRAM１
２１からの入力、ｂはROM１３１からの入力を表す。
ａ，ｂはまず乗算器２０１で掛け合わされ、結果は次段
の加算器２０２に供給される。加算器２０２は乗算結果
の他にレジスタ２０４からのフィードバック値と、レジ
スタ２０５からのデータとが入力され、足し合わされ
る。ただし、レジスタ２０５からのデータは、スイッチ
２０７が閉じているときはそのまま加算器２０２に供給
されるが、スイッチ２０７が開いている時は０に置き換
えられる。スイッチ２０７の開閉は補正項計算ユニット
１１０からの１ビットのデータで制御される。データが
１の場合は閉、データが０の場合は開に制御される。加
算器２０２の結果は剰余演算部２０３に供給され、レジ
スタ２０６にセットされた値により割った余りに変換さ
れる。ここでは、レジスタ２０６の値を記号ｍ_ｉと書い
ているが、これは基底a₁またはb₁を表すものとする。入
力ａ，ｂには基底サイズと同じｎ組みのデータが供給さ
れるが、ｎ個のデータをすべて計算した後には計算結果
はレジスタ２０４に出来上がっており、これはｒビット
のバスによってRAM１２１に供給される。

【００８４】図３は、補正項計算ユニット１１０の一構
成例を示している。この補正項計算ユニット１１０は、
入力されたｑビットのデータを加算器３０１によって累
積加算する構成を有する。加算結果のｑ＋１ビットはレ
ジスタ３０２に記憶され、レジスタ３０２の最上位ビッ
トが補正項の逐次計算結果として出力される。最上位ビ
ット以外のｑビットは次の処理ステップで再び加算器３
０１に供給される。入力として基底サイズと等しいｎ個
の値が供給されるので、補正項演算ユニット１１０は、
ｎ回にわたって計算結果を出力することになる。

【００８５】図４は、ビット選択部１１１の構成を示す
図である。ここでは入力されたｒビットの内、上位ｑビ
ット（ｑ≦ｒ）が出力される。なお、ｑ＝ｒとする構成
の場合は、ビット選択部を設けなくてもよい。

【００８６】図８は、補正項計算ユニット１１０の他の
構成例を示す。この構成例は、入力値をまず除算回路８
０１によって除算する点を特徴とする。このような除算
回路８０１は一見、図７の構成に比べて不利に見えるか
もしれないが、除数が２の冪または２の冪に非常に近け
れば、効率良く除算を行う手段が知られており、除算回
路８０１での処理は必ずしも大きくない。

【００８７】ここで、本発明に係る剰余演算装置の第１
の実施形態の特徴点として、式（７）に従って補正項を
計算するための手順について説明する。なお、本実施形
態は図１においてｑ＝ｒとした回路構成を前提とする。
また、本実施形態では、図８に示した補正項計算ユニッ
トの構成を用いることとする。この図８の構成では補正
項を求める際に除算が行われるが、基底要素の積Ａ未満
の任意のｘに対して正しい補正項kを計算できるという
長所がある。また、一般には除算の精度と手間が問題に
なるが、２^r、２^r−１、２^r＋１のような特殊な値を基
底とする場合には、この手法により容易に補正項を計算
できる。

【００８８】ここで、基底Aで表現されたｘを基底Bの表
現に変換するまでの流れを説明する。

【００８９】

【数９】

【００９０】上式（１１）に基づく演算を実際にハード
ウェア化するためには、次式のような漸化式で表現され
る手続きが利用される。

【００９１】 σ_i = (σ_i-1 − k_i-1 ) +ξ_i / a_i （１２） k_i = [σ_i ] （１３） c_i = {c_i-1 +ξ_i* (A_i mod b_j)+ k_i*（b_j − Amod b_j ）} mod b_j（１４） 上式（１２）〜（１４）に基づく手続きを、変換先とな
るすべての基底要素ｂ _ｊ（j=１,...,m）について、i＝
１からｎまで順に繰り返す。各変数の初期値σ_０＝k_０
＝c_０=０とすると、c_nが基底変換された結果となる。こ
のように漸化式で表現すると、補正項kは１ビットずつ
計算され、上式（１４）に示されるように、その都度、
基底変換の途中結果に反映されることがわかる。

【００９２】式（１２）に基づいて補正項kを逐次計算
するためのハードウェア構成が、既に示した図８の補正
項計算ユニット１１０である。上式（１１）におけるξ
_iは、図８に示される入力xに対応し、上式（１１）にお
けるa_iは入力yに対応する。

【００９３】加算器８０２は、除算回路８０１から出力
された除算結果(x/y)と、レジスタ８０３に保持されて
いる前回の値とを加算し、その結果をレジスタ８０３に
出力する。同図に示されるように、レジスタ８０３にお
いてキャリーが生じた際、そのキャリービット（１ビッ
ト）が補正項k（reduction factor）として補正項計算
ユニット１１０から出力される。この補正項kは、１ま
たは０の値をとる。

【００９４】補正項計算ユニット１１０から出力された
kに基づき、式（１４）に従って基底変換後の値を並列
に計算するためのハードウェア構成が、既に示した図２
の積和回路１０１〜１０ｎである。積和回路の一つ、例
えば積和回路１０１は、次のような基本演算をサポート
するよう構成される。c_i+1 = ( c_i + ab + k_id ) mod m
_i （１５）上式（１５）において、右辺
に含まれるk_iは１または０であるため、右辺第三項の計
算はスイッチ２０７のみにより実現される。これは、図
１に示した補正項演算ユニット１１０から積和回路１０
１〜１０ｎへのフィードバックは１ビットの結線のみで
足りることを意味している。このような本実施形態の回
路構成は、図５に示したPoschらの回路に比べて極めて
簡素な構成になっている。フィードバックが１ビットで
済むという構成上の利点は、後述する他の実施形態でも
同様である。

【００９５】なお、以上の手続きでは補正項を計算する
際、最初にx_iをA_i ^-1と掛けてξ_iを求める必要がある
が、剰余演算系のモンゴメリ乗算にこの基底変換を用い
る場合には、ステップ（２）で定数（‐N_B ^-1）の各要素
にあらかじめA_i ^-1を掛けておくことで、ξ_iを求める手
間が新たに加わることが無くなる。また、ステップ
（７）の変換に必要な前処理は、ステップ（６）の定数
B_A ^-1に組み込んでおくことができる。この点は、後述す
る他の実施形態についても同様である。

【００９６】また、以上の手続きは基底変換のみならず
基底拡張にも適用可能であることは明らかである。すな
わち、ｍ個すべての基底{b_j}について変換を行うのでは
なく、特定の基底についてのみ変換を行えば、基底拡張
を行ったこととになる。

【００９７】以上説明した第１実施形態の剰余演算装置
に適用された、本発明に係る新たな基底変換（拡張）に
よれば、次のような作用効果を得ることができる。 (a)補正項の値を比較的小さくし、かつこれを１ビット
単位で逐次処理できる。 (b)基底変換後の値が変換前に表現されていた値と同じ
であるから、Poschらの方式のような誤差が生じない。 (c)仮に誤差が生じるとしても、前後の処理や入力サイ
ズの制限により誤差を容易に制御できる。 (d)RSA暗号への適用においては鍵のサイズへの制限が少
ない。 (e)補正項の計算に乗算が不要であり処理効率が良い。 (f)基底の取り方に制約が少なく汎用性が高い。 したがって、本実施形態のような基底変換（拡張）によ
れば、簡素な構成でモンゴメリ乗算を高速化でき、ひい
てはRSA暗号法の処理の高速化を実現できる。

【００９８】また、本実施形態の剰余演算装置は、剰余
演算系表現を基数表現に変換する手続にも適用可能であ
る。この手続きの詳細は第２実施形態において説明す
る。（第２実施形態）第２の実施形態は、式（１１）に
よる補正項kの計算式において、右辺の各項の分母を、
分母以上で最も分母に近い２の冪に選ぶことで近似を行
うものである。

【００９９】すなわち、 2^ri-1 ＜ a_i ≦ 2^ri （１６） を満たすｒ_iによって、a_i を2^riで近似する。なお、一
般にr_iは基底の要素毎で異なるが、実装上はすべての基
底要素を同一のビット長にすると、図１の積和演算回路
１０１〜１０ｎが共通化できるといった利点が得られ
る。適当なμ_iに対してa_iは次式のように表される。

【０１００】 a_i ＝ 2^ri‐μ_i （１７） この時、式（１１）で計算される補正項kの近似値lとし
て

【数１０】 を用いる。lもk同様に漸化式で逐次計算すると。

【０１０１】 σ_i = (σ_i-1 − l_i-1 ) +ξ_i / 2^ri （１９） l_i = [σ_i] （２０） ここで、lおよびσの初期値はともに０とする。補正項
の計算はこの式（１９）および（２０）にしたがって行
うことができる。本実施形態についても第１の実施形態
と同様に、図１においてｑ=ｒとした回路構成を前提と
している。また、本実施形態以降では図３に示す補正項
計算ユニットの構成を用いることとする。

【０１０２】式（１９）および（２０）に従った補正項
計算は、第１実施形態と同様に基底変換および基底拡張
に利用できる。しかしながら本実施形態では、これを剰
余演算系表現を基数表現に変換する手続きに応用する。
次式（２１）は、剰余演算系表現を基数表現に変換する
手続きを示している。

【０１０３】 c _i = c_i-1 +ξ_i* A_i ‐ l_i *Ａ （２１） ここで注意すべきは、式（２１）は式（１４）と似てい
るが、式（１４）では変数c_iは最大の基底を表現できる
精度さえあれば良かったのに対して、式（２１）の変数
c_iは基底要素の積Ａ程度の大きさを有する多倍長変数を
格納できることを前提としている点である。実際にハー
ドウェアを設計する場合には式（２１）の計算をそのま
ま実現するのではなく、単精度の演算の繰り返しに分割
するなどの工夫が必要であるが、剰余演算系表現から基
数法表現に変換する原理を説明するにはこれで十分であ
ろう。また単精度演算への分解は容易である。

【０１０４】式（１８）に従ってkを近似した場合、式
（２１）の変換結果に誤差が生じることがある。ここで
その誤差について若干の説明を加える。まず近似誤差の
尺度として次式で表されるεを導入する。 ε= Max(μ_i／2^ri ) （２２） このεを用いると、入力xが、 nεＡ ≦ x ＜ Ａ （２３） のとき、式（１７）は正しい補正項kと同じ値を与え
る。また、 0 ≦ x ＜ nεA （２４） のとき、式（１７）は正しい値ｋまたはk-1を与える。
式（２３）によると、nε＜１を満たし、かつ、必要な
だけ小さいεを選ぶことが求められる。一方、μ_i を十
分小さく選ぶと、図２の剰余演算部２０３で行われるmo
d a_i演算が容易になるということも知られている。

【０１０５】以上説明した第２実施形態によれば、第１
実施形態と同様に簡素な構成で高速に補正項lを計算す
る剰余演算装置により、剰余演算系表現を基数表現に変
換する手続を実現できる。なお、第２の実施形態では、
式（１２）の分母を２の冪で近似したが、式（１２）に
おいて分母のみならず分子についても近似を行ってもよ
い。具体的には、次の第３実施形態で説明するように、
分子の有効ビット長を許容誤差範囲内で短くしてもよ
い。

【０１０６】（第３実施形態）第３実施形態では、式
（１２）の分子をの有効ビット長を許容誤差範囲内で短
くすることで近似を行うものである。この近似は、図１
においてｑ＜ｒとし、ｒビットの上位ｑビットを補正項
計算ユニットで累積加算することに対応する。

【０１０７】この場合の補正項をｍとおき、例えば次式
（２５）によってｍを求める。

【０１０８】

【数１１】

【０１０９】ここで、trunc（ ）は与えられた変数の上
位ｑビットはそのままとし、該上位ビットよりも下位の
ビットを０とする関数である。原理的には、各項毎に取
り出すビット数ｑを変えても良いが、すべての項にｑを
共通にした方が通常ハードウェア構成は簡単となる。

【０１１０】ｍを逐次計算するための漸化式は以下の通
りである。 σ_i = (σ_i-1 − ｍ_i-1 ) + trunc（ξ_i ）/ 2^ri （２６） ｍ_i = [σ_i] （２７） ただし、σとｍの初期値は０とする。本実施形態の場
合、分母のみならず分子についても近似誤差が生じる。
これら分母及び分子の近似誤差による影響について説明
する。今、分子の近似誤差の尺度として次のようなδ_i
を定義する。 δ_i = {ξ_i ‐ trunc(ξ_i )} / a_i （２８） さらに、 δ＝Max(δ_i ) （２９） を定義する。

【０１１１】このδが導入されると、第２の実施形態の
場合に似た以下のような条件が与えられる。ここで、入
力xが、 n(ε＋δ)Ａ ≦ x ＜ Ａ （３０） のとき、式（２５）は正しい補正項kと同じ値を与え
る。また、 0 ≦ x ＜ n（ε＋δ）Ａ （３１） のとき、式（２５）は正しい値kまたはk-1を与える。第
３実施形態によれば、式（１２）の分母のみならず、分
子についてもその有効ビット長を許容誤差範囲内で短く
することで近似を行っているので、補正項の計算をより
簡素化、高速化できる。なお、第２および３の実施形態
によって与えられる補正項l, mは、入力xがある値以上
の値の場合は正しい補正項を与え、xがある値よりも小
さい場合は正しい補正項を与えないという性質を持って
いる。しかし、場合によっては、xがある値以上の場合
のみ補正項が誤差を含むことがあり、xがある値以下で
あれば、任意に小さい値まで正しい補正項が与えられ
る、という性質の方が好ましい場合がある。例えば、上
記したモンゴメリ乗算のステップ（７）の基底Aから基
底Bへの変換では、モジュラスNをある値以下しておくだ
けで常に正しく基底変換がなされるようにしたい場合で
ある。

【０１１２】（第４実施形態）次に、第４の実施形態と
して、xがある値以下であれば、任意に小さい値まで正
しい補正項が与えられるような補正項の計算方法を説明
する。

【０１１３】補正項の計算の基本原理は式（１１）に基
づくが、分母は２の冪で近似し、分子は上位ｑビットの
み使うという近似を用いるものとする。この方式では、
パラメータαとβを導入するが、αは次式のように入力
xの大きさを制限するためのパラメータである。 ０≦ x ＜ (１−α)Ａ （３２） 本実施形態における補正項m’は次式に従って計算す
る。

【０１１４】

【数１２】

【０１１５】本実施形態は、図１においてｑ＜ｒとして
ｒビットの上位ｑビットを補正項演算ユニット１１０
（図３）に入力し、内部レジスタ３０２の初期値をβと
して累積加算するものである。式（３３）に対応する漸
化式は次の通りである。 σ₀ =β （３４） m’₀＝０ （３５） σ_i = (σ_i-1 − m’_i-1 ) + trunc(ξ_i ) / 2^ri （３６） m’_i = [σ_i] （３７） このとき、n (ε＋δ)≦β≦α＜１であれば０≦x≦
（１−α）Ａなるxは正しく変換される。

【０１１６】例えば、α=β=１／２とすると、Ａ／２以
下の任意のｘに対して常に正しい補正項を計算すること
が可能である。β=１／２を図１の剰余演算装置で実現
するには、図３に示したレジスタ３０２の上位から２番
目のビットに１をセットすれば良い。このようにβを２
の冪の逆数に選ぶと、レジスタの初期値の設定は、対応
する一つのビットを１にセットするだけで良く簡単にな
る。なお、一般には誤差ｎ（ε＋δ）以上でα以下のβ
ならば、任意の値をオフセットとして設定できる。

【０１１７】第４実施形態によれば、上記のようにパラ
メータαとβが導入され、xがある値以下に制限され
る。そして、該制限されたxの任意の小さい値において
正しい補正項が常に与えられるような補正項の計算を実
現できる。

【０１１８】（第５実施形態）第５実施形態は、パラメ
ータサイズに関する。RSA暗号の場合、１０２４ビット
程度のモジュラスサイズを選ぶ必要があり、基底A，Bと
もに１０２４ビットを若干上回る程度の大きさが必要で
ある。基底A，Bが各々３２ビット程度、すなわちｒ=３
２とすると、基底サイズはｎ＝３３程度となる。これは
ｎ*ｒを１０２４程度とするためである。第４の実施形
態においてα＝β=１／２とした場合、誤差の発生を抑
えるためにはｎ（ε＋δ）≦１／２であることが必要で
ある。したがって、ε＋δ≦１／２ｎ=１／６６であ
り、ε＜１／２^８、ε＜１／２^８はこれを満たす十分条
件である。このようなパラメータサイズは、図３に示し
た加算器３０１の精度に概ね対応しており、補正項の演
算には８ビット程度の加算器を用いれば良いことがわか
る。

【０１１９】（第６実施形態）第６実施形態は、これま
でに説明した本発明に係る基底変換（拡張）によるモン
ゴメリ乗算に基づいてべき乗剰余演算を行う装置に関す
る。図９は、本実施形態に係るべき乗剰余演算装置の全
体構成を表す図である。入力データおよび出力データは
図示されたＩ／Ｏ部１０００を介してやり取りされる。
入力データは、まずＩ／Ｏ部１０００を介して所定のＲ
ＡＭ１２０１に格納される。外部からのデータが剰余演
算系表現で入力された場合には、それぞれ対応するＲＡ
Ｍ１２０１〜１２０ｎに格納される。図中にはＲＡＭが
ｎ個示されているが、各ＲＡＭにはそれぞれ基底a_ｉとb
_ｉに対応する要素が書きこまれる。入力されたデータ
は、積和回路１１０１〜１１０ｎ及び補正項計算ユニッ
ト１１００により、これまでに述べたモンゴメリ乗算を
繰り返すことによってべき乗剰余演算結果として与えら
れる。この演算結果は対応するＲＡＭ１２００〜１２０
ｎに格納され、Ｉ／Ｏ部１０００を介して外部に出力さ
れる。

【０１２０】モンゴメリ乗算を繰り返すことによってべ
き乗剰余演算を行うための手順について、図１０のフロ
ーチャートに従って説明する。同図に示されるフローチ
ャートは、入力された剰余演算系表現の値ｘをｅ乗し、
Ｎで割った余りを求める処理を表している。ただし、Ｎ
は既知と仮定し、Ｎの剰余演算系表現を求めるなどの処
理については事前に計算してあるものとして図１０には
示されていない。なお、Ｎを外部入力とし、Ｎの剰余演
算系表現を求めるなどの処理をその都度行うように構成
しても良い。

【０１２１】図１０に示すＭＭは剰余系演算によるモン
ゴメリ乗算を意味する関数である。入力されたｘの剰余
演算系表現は、まず定数ｄの剰余演算系表現された値(d
_A, d _B)とモンゴメリ乗算によって掛け合わされてｘ'に
変換される。ただし、ｄ＝Ｂ ^２ mod Ｎである。次に、
変換された値ｘ'（の剰余演算系表現）は、中間結果ｃ
にコピーされる。次のステップはループ処理であり、ル
ープ変数ｉはｋ−１から１まで変化する。ここで、外部
入力されたべき指数ｅは２進数表現されており、そのビ
ット数はｋビットであって各ビットはｅ_ｉと表現されて
いる。e_ｋは最上位ビットであり、ここでは１とする。
また、ｋは２以上の値とする。ループ内では、まず中間
変数ｃの２乗に相当する値がモンゴメリ乗算を用いて計
算される。続いて、ループ変数ｉに対応するｅのビット
e_ｉが１であるか否かを判定し、１でなければループの
開始に戻り、１であるならば次のステップに進む。次の
ステップでは、ｃとｘの積をモンゴメリ乗算によって求
める。続いて、ループ変数ｉが１であるか否かを判定
し、１でなければループの開始点に戻り、１であるなら
ばループ処理を抜ける。最終的なステップでは、ここま
での計算結果ｃと、１を剰余演算系表現した値との積を
モンゴメリ乗算によって求め、結果ｙ（の剰余演算系表
現）を得る。

【０１２２】以上によりｙ＝ｘ^ｅ mod Ｎが計算され
る。

【０１２３】（第７実施形態）第７実施形態は、剰余演
算装置をリング構成としたものに関する。図１に示した
ｎ個の積和回路は、ｒビットのバスを介して接続されて
いる。このバス接続によって、あるＲＡＭから出力され
たデータを、ｎ個の全ての積和ユニットに伝送し、並列
処理することが可能となる。バスによって積和回路を結
ぶ構成は、並列処理の実現に有効な構成法の一つである
といえる。一方、ネットワークアーキテクチャの分野で
良く知られているように、複数ユニットを接続する方法
としては、このようなバス接続のほかに、リング接続が
考えられる。バス型のアーキテクチャはｎ個のユニット
に同一のデータを放送（broadcast）するためのバスに
よって特徴づけられるのに対して、リング接続では隣り
合ったユニット間を結ぶ通信路がｎ個のユニットを接続
し、全体としてリング状のアーキテクチャとなる。

【０１２４】本発明による剰余演算装置もリング接続に
よって実現することが可能である。直列的なリング接続
の場合、各ユニットは隣ユニットにデータを送るだけで
良いので、複数のユニットにデータを送信しなければな
らないバス型の構成に比べ、各ユニットのデータ駆動能
力が小さくて済む。また全ユニットの動作を全く同じに
制御することができる。これに対してバス型の場合に
は、あるユニットがデータを放送する際には、残りの
（ｎ−１）個のユニットはそのデータを受信することに
なり、全ユニットが同一の動作をする訳ではない。全ユ
ニットの動作が同じであるためにリング型の方が制御が
容易である。

【０１２５】図１１はリング構成の剰余演算装置の構成
を示すブロック図である。図１１の構成では、バス接続
がリング接続に変更されていると共に、図１に示したビ
ット選択部１１１と補正項計算ユニット１１０が、ｎ個
の積和回路のそれぞれに対して設けられるという変更が
加えられている。図１に示した構成は、１つの補正項演
算ユニットが設けられていただけであり、補正項計算ユ
ニットで計算された補正項をｎ個の積和回路に放送する
ためには、１ビットのバスを設けるだけで済んだ。一
方、本実施形態のようにｎ個の補正項計算ユニットを積
和回路のそれぞれに設ける構成とした場合は回路規模が
若干増加する。しかし、本発明に係る補正項計算ユニッ
トは図３に示したように極めて簡素な構成であり、この
ような補正項計算ユニットをｎ個設ける構成としても、
全体の回路規模に占める補正項計算ユニットの割合は極
めて小さい。

【０１２６】図１１のリング接続構成では、補正項計算
ユニットが積和回路毎に設けられているので補正項を各
積和回路に伝送するためのバスが不要になり、その代わ
りに接続ユニットが設けられる。この接続ユニットの詳
細構成を図１２に示す。同図に示される接続ユニット
は、２入力のセレクタ９６０とセレクタ９６０からの出
力をラッチするｒビットのレジスタ９６１とにより構成
されている。ある積和回路において、このレジスタ９６
１は今回の演算サイクルで使用されるオペランドの一つ
を記憶する。次の演算サイクルにおいて、そのオペラン
ドは隣接（図では例えば左隣）する接続ユニットに転送
され、また、他の隣接（この場合、図では右隣）のユニ
ットから次のオペランドが受信される。ｎ個の接続ユニ
ットの各々のレジスタ９６１に格納されたｎ個のオペラ
ンドは、バケツリレー的に次々と隣接するユニットに転
送され、ちょうどｎサイクルの時間で全ユニットにｎ個
のオペランドが回覧されることになる。

【０１２７】［ユニット数のスケーラビリティ］ここま
では、積和回路の個数ｎ（あるいはユニット数ｎ）は基
底サイズｎに等しいものとして説明してきた。しかし、
演算ユニット数と基底サイズとが必ずしも一致している
必要はないというのが一般的である。そこでユニット数
を記号ｎからｍに改めて表すと、ｍ≦ｎの制約の下、ｍ
がより大きいほど高速処理が可能になる。一方、ＬＳＩ
等によるハードウェア実装を考える場合、ｍがより大き
いほど、回路規模及び消費電力は大きくなる。このよう
に、ユニット数ｍと演算速度との間にトレードオフが生
じる。ここで、ユニット数ｍの典型的な定め方として、
ｎの約数を採用する方法が考えられる。たとえば、ｎ＝
３３ならば、ｍ＝１，３，１１，あるいは３３がユニッ
ト数の候補になる。ｎの約数以外のｍを採用することも
当然可能であるが、ｎの約数とすると回路の制御が規則
的になり、かつ、演算ユニットの稼働率も高くなるとい
う利点がある。いずれにしても、ｍをｎに限定しないこ
とでＬＳＩ設計等の自由度が格段に広がることが容易に
推測されよう。

【０１２８】

【発明の効果】以上説明したように本発明によれば、新
たな基底変換（拡張）が提供され、次のような作用効果
を得ることができる。 (a)補正項の値を比較的小さくし、かつこれを１ビット
単位で逐次処理できる。 (b)基底変換後の値が変換前に表現されていた値と同じ
であるから、Poschらの方式のような誤差が生じない。 (c)仮に誤差が生じるとしても、前後の処理や入力サイ
ズの制限により誤差を容易に制御できる。 (d)RSA暗号への適用においては鍵のサイズへの制限が少
ない。 (e)補正項の計算に乗算が不要であり処理効率が良い。 (f)基底の取り方に制約が少なく汎用性が高い。 したがって、簡素な構成でモンゴメリ乗算を高速化で
き、ひいてはRSA暗号法の処理の高速化を実現できる。

【図面の簡単な説明】

【図１】本発明の実施形態に係る剰余演算装置の構成を
示す図

【図２】図１に示された積和回路の構成を示す図

【図３】図１に示された補正項計算ユニットの構成を示
す図

【図４】図１に示されたビット選択部の構成を示す図

【図５】従来技術に係る剰余演算装置の構成を示す図

【図６】従来技術に係り図５に示された積和回路の構成
を示す図

【図７】従来技術に係り図５に示された補正項計算ユニ
ットの構成を示す図

【図８】本発明の実施形態に係る補正項計算ユニットの
他の構成を示す図

【図９】本発明の実施形態に係るべき乗剰余演算装置の
構成を示す図

【図１０】本発明の実施形態に係るべき乗剰余演算の処
理フローチャート

【図１１】本発明の実施形態に係る剰余演算装置の他の
構成を示す図

【図１２】図１１に示した剰余演算装置の接続ユニット
の構成を示す図

【符号の説明】

１０１〜１０ｎ…積和回路 １１０…補正項計算ユニット １１１…ビット選択部 １２１〜１２ｎ…ＲＡＭ（ランダムアクセスメモリ） １３１〜１３ｎ…ＲＯＭ（リードオンリーメモリ） ２０１…乗算器 ２０２…加算器 ２０３…剰余演算器 ２０４〜２０６…レジスタ ２０７…スイッチ ３０１…加算器 ３０２…レジスタ ５０１〜５０ｎ…積和回路 ５１０…補正項演算ユニット ５２１〜５２ｎ…ランダムアクセスメモリ ５３０〜５３ｎ…リードオンリーメモリ ６０１…乗算器 ６０２…加算器 ６０３…剰余演算器 ６０４、６０５…レジスタ ７０１…乗算器 ７０２…加算器 ７０３…レジスタ ８０１…除算回路 ８０２…加算回路 ８０３…レジスタ

Claims (25)

【特許請求の範囲】
1. 【請求項１】 剰余演算機能を有する複数の積和回路
   と、この積和回路における剰余演算に用いられる補正項
   を計算する補正項計算ユニットとを備えた剰余演算装置
   において、 前記補正項計算ユニットは、前記補正項を１ビットずつ
   逐次計算し、 前記積和回路は、前記補正項計算ユニットにより計算さ
   れた前記補正項を逐次反映させて基底変換もしくは基底
   拡張を行うことを特徴とする剰余演算装置。
2. 【請求項２】 前記積和回路は、モンゴメリ(Montgomer
   y)乗算を行うことを特徴とする請求項１記載の剰余演算
   装置。
3. 【請求項３】 複数並列に配置された積和回路と、この
   積和回路における剰余演算に用いられる補正項を計算す
   る補正項計算ユニットとを備えた剰余演算処理装置にお
   いて、 前記補正項計算ユニットは、前記補正項を１ビットずつ
   逐次計算し、 前記積和回路は、前記補正項計算ユニットにより計算さ
   れた前記補正項を逐次反映させて剰余演算系表現を基数
   表現に変換する演算を行うことを特徴とする剰余演算装
   置。
4. 【請求項４】 前記補正項計算ユニットは、除算回路を
   有し、 前記積和回路で扱われる剰余演算系の基底を２の冪、も
   しくは２の冪に近接するものとすることを特徴とする請
   求項１乃至３のいずれか一項に記載の剰余演算装置。
5. 【請求項５】 前記補正項計算ユニットへの入力ビット
   を選択するビット選択部を更に備えたことを特徴とする
   請求項１乃至４のいずれか一項に記載の剰余演算装置。
6. 【請求項６】 外部とのデータの入出力を行うＩ／Ｏ部
   を更に備えたことを特徴とする請求項１乃至５のいずれ
   か一項に記載の剰余演算装置。
7. 【請求項７】 剰余演算系における所定の演算アルゴリ
   ズムにおいてある基底を他の基底に基底変換又は基底拡
   張する剰余演算装置において、 前記基底変換又は基底拡張の未知パラメータｋを、該未
   知パラメータｋの前回計算結果の累積加算により生じた
   桁上がりに近似して出力するｋ出力手段と、 前記ｋ出力手段から出力された未知パラメータｋに応じ
   て前記基底変換又は基底拡張における特定項の計算可否
   を切り替える切替手段と、 前記特定項の計算を含む乗算、加算及び剰余算の組み合
   わせにより基底要素毎に前記基底変換又は基底拡張の計
   算を行う複数の演算ユニットと、を具備することを特徴
   とする剰余演算装置。
8. 【請求項８】 前記ｋ出力手段は、中国剰余定理に基づ
   く前記未知パラメータｋの計算式の分母を２の冪により
   近似することを特徴とする請求項７に記載の剰余演算装
   置。
9. 【請求項９】 ビット選択手段をさらに具備し、前記ｋ
   出力手段は中国剰余定理に基づく前記未知パラメータｋ
   の計算式の分子を、前記ビット選択手段による有効ビッ
   ト長以外の切り捨てに基づいて近似することを特徴とす
   る請求項７に記載の剰余演算装置。
10. 【請求項１０】 前記ｋ出力手段は、中国剰余定理に基
    づく前記未知パラメータｋの計算式の分母を２の冪によ
    り近似するとともに、該計算式の分子を、有効ビット長
    以外の切り捨てに基づいて近似することを特徴とする請
    求項７に記載の剰余演算装置。
11. 【請求項１１】 前記所定の演算アルゴリズムは、入力
    された整数ｘ，ｙ，Ｎに対して、ｘｙＢ^−１ mod Ｎま
    たはｘｙＢ^−１ mod Ｎ＋Ｎを出力するモンゴメリ乗算
    アルゴリズムから構成されることを特徴とする請求項７
    に記載の剰余演算装置。
12. 【請求項１２】 前記モンゴメリ乗算を用いた所定のア
    ルゴリズムに従ってべき乗剰余算を行う手段を具備する
    ことを特徴とする請求項１１に記載の剰余演算装置。
13. 【請求項１３】 中国剰余定理に基づく未知パラメータ
    を含む所定の計算式に従って、剰余演算系表現を基数表
    現に変換して出力する変換手段を具備することを特徴と
    する請求項７に記載の剰余演算装置。
14. 【請求項１４】 剰余演算系における所定の演算アルゴ
    リズムにおいてある基底を他の基底に基底変換又は基底
    拡張する剰余演算装置において、 特定項の計算を含む乗算、加算及び剰余算の組み合わせ
    により基底要素毎に前記基底変換又は基底拡張の計算を
    行うための複数の演算ユニットと、 前記複数の演算ユニットのそれぞれに設けられ、前記基
    底変換又は基底拡張の未知パラメータｋを、該未知パラ
    メータｋの前回計算結果の累積加算により生じた桁上が
    りに近似して出力するｋ出力手段と、 前記ｋ出力手段に対応する前記演算ユニットの前記特定
    項の計算可否を、該ｋ出力手段から出力された未知パラ
    メータｋに応じて切り替える切替手段と、 当該演算ユニットのオペランドを隣接する演算ユニット
    に送信し、及び隣接する他の演算ユニットからのオペラ
    ンドを受信する演算ユニット間の接続手段と、を具備す
    ることを特徴とする剰余演算装置。
15. 【請求項１５】 前記ｋ出力手段は、中国剰余定理に基
    づく前記未知パラメータｋの計算式の分母を２の冪によ
    り近似することを特徴とする請求項１４に記載の剰余演
    算装置。
16. 【請求項１６】 前記ｋ出力手段は、中国剰余定理に基
    づく前記未知パラメータｋの計算式の分子を、有効ビッ
    ト長以外の切り捨てに基づいて近似することを特徴とす
    る請求項１４に記載の剰余演算装置。
17. 【請求項１７】 前記ｋ出力手段は、中国剰余定理に基
    づく前記未知パラメータｋの計算式の分母を２の冪によ
    り近似するとともに、該計算式の分子を、有効ビット長
    以外の切り捨てに基づいて近似することを特徴とする請
    求項１４に記載の剰余演算装置。
18. 【請求項１８】 前記所定の演算アルゴリズムは、入力
    された整数ｘ，ｙ，Ｎに対して、ｘｙＢ^−１ mod Ｎま
    たはｘｙＢ^−１ mod Ｎ＋Ｎを出力するモンゴメリ乗算
    アルゴリズムから構成されることを特徴とする請求項１
    ４に記載の剰余演算装置。
19. 【請求項１９】 前記モンゴメリ乗算を用いた所定のア
    ルゴリズムに従ってべき乗剰余算を行う手段を具備する
    ことを特徴とする請求項１８に記載の剰余演算装置。
20. 【請求項２０】 中国剰余定理に基づく未知パラメータ
    を含む所定の計算式に従って、剰余演算系表現を基数表
    現に変換して出力する変換手段を具備することを特徴と
    する請求項１４に記載の剰余演算装置。
21. 【請求項２１】 剰余演算系における所定の演算アルゴ
    リズムにおいてある基底を他の基底に基底変換又は基底
    拡張する剰余演算方法において、 前記基底変換又は基底拡張の未知パラメータｋを、前回
    計算結果の累積加算により生じた桁上がりに近似し、 前記出力された未知パラメータｋに応じて前記基底変換
    又は基底拡張における特定項の計算可否を切り替え、 前記特定項の計算を含む乗算、加算及び剰余算の組み合
    わせにより基底要素毎に前記基底変換又は基底拡張の計
    算を行うことを特徴とする剰余演算方法。
22. 【請求項２２】 中国剰余定理に基づく前記未知パラメ
    ータｋの計算式の分母を２の冪により近似することを特
    徴とする請求項２１に記載の方法。
23. 【請求項２３】 中国剰余定理に基づく前記未知パラメ
    ータｋの計算式の分子を、有効ビット長以外の切り捨て
    に基づいて近似することを特徴とする請求項２１に記載
    の方法。
24. 【請求項２４】 中国剰余定理に基づく前記未知パラメ
    ータｋの計算式の分母を２の冪により近似するととも
    に、該計算式の分子を、有効ビット長以外の切り捨てに
    基づいて近似することを特徴とする請求項２１に記載の
    剰余演算方法。
25. 【請求項２５】 前記所定の演算アルゴリズムは、入力
    された整数ｘ，ｙ，Ｎに対して、ｘｙＢ^−１ mod Ｎま
    たはｘｙＢ^−１ mod Ｎ＋Ｎを出力するモンゴメリ乗算
    アルゴリズムから構成されることを特徴とする請求項２
    １に記載の方法。