JP2001209316A - 楕円曲線演算装置及び記憶媒体 - Google Patents

Abstract

(57)【要約】 【課題】 楕円曲線の点Ｇに対する倍数演算ｋＧの更な
る高速化を実現させる。 【解決手段】 倍数判定部３が、倍数ｋのビット数ｎ_k
が所定の範囲にあるか否かを判定し、φ進展開部４が、
倍数判定部３による判定結果が所定範囲にある旨を示す
とき、倍数ｋをｎビット単位の形式に表現すると共に、
倍数ｋの２^ｎに±ｃ＋ｔφ＋φ^２を代入し、代入結果を
展開してφ以外の項及びφの一次の項の係数を夫々ｎビ
ット単位で表現し、これら代入と展開との処理を複数回
繰返してφ進展開を実行し、倍数演算部５が、φ進展開
部４によりφ進展開された倍数ｋに点Ｇのデータを乗じ
て倍数演算ｋＧを実行し、得られた結果ｋＧを出力す
る。このように、代入の繰返しによりφ進展開を実行す
ることにより、従来のｐを法とした剰余算を用いた処理
に比べて短時間で完了する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、例えば暗号化・復
号装置や素因数分解演算装置等の演算処理に適用され、
楕円曲線上の点Ｇの倍数演算ｋＧを実行可能な楕円曲線
演算装置及び記憶媒体に係り、特に、倍数演算ｋＧの更
なる高速化を実現し得る楕円曲線演算装置及び記憶媒体
に関する。

【０００２】

【従来の技術】例えば情報セキュリティ技術を支える暗
号技術の分野では、近年の高性能の計算機による攻撃に
対抗するため、ビット当りのセキュリティ強度が高い楕
円曲線暗号が注目されている。

【０００３】係る楕円曲線暗号は、ベースとしている問
題（楕円曲線上の離散対数問題）が従来方式のベースで
ある離散対数問題や素因数分解問題よりも解読困難と予
想される利点を持っている。

【０００４】具体的には、楕円曲線暗号は、有限体Ｆ_p
（又はＦ_pn）上で定義された三次曲線Ｅ（：ｙ^２＝ｘ^３
＋ａｘ＋ｂ）上の点の間で四則演算の組合せにより定義
される群演算（点の加算）を利用し、その点の加算の繰
返しによって暗号化と復号の各処理が実行されるもので
ある。

【０００５】ここで、有限体Ｆ_pは、ｐ個の元を有して
おり、整数Ｚを素数ｐで割った余りの系Ｚ／ｐＺ（ｐを
法とする既約剰余類）で示される。また、有限体Ｆ_pn
は、ｐ ^ｎ個の元を有しており、以下、拡大体Ｆ_pnとい
う。

【０００６】さて、以上のような楕円曲線暗号では、前
述した四則演算における演算時間のうち、点Ｇの倍数演
算ｋＧの演算時間が高い割合を占めている。このため、
楕円曲線暗号では、以下の［１］〜［３］に述べる様々
な方式により、倍数演算ｋＧの高速化が図られている。

【０００７】［１］φ進展開法による方式 楕円曲線Ｅ：ｙ^２＝ｘ^３＋ａｘ＋ｂが有限体Ｆ_p上で定
義されている（係数ａ，ｂ∈Ｆ_p）とする。

【０００８】ここで、楕円曲線Ｅ上の点Ｇ＝（ｘ，ｙ）
に対し、φ（Ｇ）＝（ｘ^ｐ，ｙ^ｐ）を与える写像φをフ
ロベニウス写像(Frobenius map)という（但し、ｘ，ｙ
∈Ｆ_pn）。

【０００９】このフロベニウス写像φは、有限体Ｆ_pの
元が正規基底で表現される場合、要素の置換え（巡回シ
フト等）で実行可能であり、φの演算時間をほぼ０にで
きる利点を有している。また、フロベニウス写像φは、
線形であり、次の（１）式に示す固有多項式を満たすこ
とが知られている。

【００１０】φ^２−ｔφ＋ｐ＝０ …（１） 但し、ｔ：トレース また、この固有多項式に関し、倍数演算に用いる倍数ｋ
を次の（２）式のようにφ進展開可能なφ進展開法が知
られている（J. A. Solinas "An Improved Algorithm f
or Arithmetic on a Family of Elliptic Curves" CRYP
TO '97, pp.357-371 (1997)）。

【００１１】ｋ＝Σα_iφ^ｉ …（２） 但し、−ｐ／２＜α_i＜ｐ／２。また、係数α_iはｐを法
とした剰余算で得る。

【００１２】係るφ進展開法は、フロベニウス写像φ演
算と、加算演算とからなり、写像φ演算の演算時間がほ
ぼ０であることから、実質的な演算時間がｉ回の加算演
算に要する時間となっている。従って、このφ進展開法
によれば、楕円曲線上の点Ｇの倍数演算ｋＧが、次の
（３）式に示す形式で高速に実現可能となる。

【００１３】ｋＧ＝Σα_iφ^ｉＧ …（３） ［２］モンゴメリ型楕円曲線への変換による方式 この方式は、楕円曲線暗号が実際にはｘ座標のみが必要
であるということと、ｘ座標のみの演算が可能なモンゴ
メリ型楕円曲線の性質とを組合せたものである。

【００１４】具体的には、次の（４）式で定義される楕
円曲線をモンゴメリ型楕円曲線(elliptic curve of Mon
tgomery type)といい、一般の楕円曲線の約４割がこの
モンゴメリ型楕円曲線に変換可能となっている。

【００１５】Ｂｙ^２＝ｘ^３＋Ａｘ^２＋ｘ …（４） 係るモンゴメリ型楕円曲線は、曲線上の点Ｐ，Ｑにつ
き、点Ｐのｘ座標のみから点Ｐを２倍した点２Ｐのｘ座
標を算出可能な性質と、点Ｐ，Ｑのｘ座標のみから点
（Ｐ＋Ｑ）のｘ座標を算出可能な性質とをもっている。

【００１６】このため、モンゴメリ型楕円曲線では、倍
数演算ｋＧのｘ座標を算出する際に、ｙ座標を算出しな
い分、通常の楕円曲線よりも高速に倍数演算ｋＧを実行
可能となっている（Montgomery, P. L., "Speeding the
Pollar and Elliptic Curve Methods for Factorizat
ions", Math. of Comp. 48 (1997), pp.243-264）。

【００１７】なお、ｋＧの計算は、常にｎＧと（ｎ＋
１）Ｇの２点を記憶しながら実行される（Angrew,G.B.,
Mullin,R.C., Vanstone,S.A., "An Implementation of
Elliptic Curve Cryptosystems Over F₂ ¹⁵⁵", IEEE J.
of selected areas in communications, 11(1993),pp8
04-813.）。

【００１８】以上をまとめると、一般の楕円曲線の約４
割は、モンゴメリ型楕円曲線に変換することにより、通
常の計算に比べて３３％の高速演算が可能となる（伊豆
哲也，“ｙ座標を用いない楕円曲線暗号について”，電
子情報通信学会 技術研究報告，IT98-83,ISEC98-86,SS
T98-129(1999-03), pp.93-98）。

【００１９】［３］ＮＡＦ(Non-Adjacent Form)を用い
たＷｉｎｄｏｗ法による方式 楕円曲線Ｅ：ｙ^２＝ｘ^３＋ａｘ＋ｂが拡大体Ｆ_pn上で定
義されている（係数ａ，ｂ∈Ｆ_pn）とする。

【００２０】ここで、倍数演算の倍数演算に用いる倍数
ｋを次の（５）式のように２進展開可能なＮＡＦ展開方
式を用いたＷｉｎｄｏｗ法が知られている（F. Morain
andJ. Olivos, "Speeding up the computations on an
elliptic curve using additions-subtraction chain
s", Inform. Theory. Appl. 24 (1990), pp.531-54
3）。

【００２１】

【数１】

【００２２】係るＮＡＦ展開方式は、演算時間がほぼ０
となるβ_i＝０の確率が２／３であることにより、演算
時間を短縮可能としている。従って、このＮＡＦ展開方
式によれば、次の（６）式に示すように、楕円曲線上の
点Ｇの倍数演算ｋＧが高速に実現可能となる。

【００２３】

【数２】

【００２４】なお、２^ｉＧは予め計算された値がメモリ
から読出されて使用される。

【００２５】

【発明が解決しようとする課題】しかしながら、以上の
ような［１］〜［３］の楕円曲線演算方式においても、
より優れた技術を求める観点から、更なる高速化が望ま
れている。

【００２６】本発明は上記実情を考慮してなされたもの
で、楕円曲線上の点Ｇに対する倍数演算ｋＧの更なる高
速化を実現し得る楕円曲線演算装置及び記憶媒体を提供
することを目的とする。

【００２７】

【課題を解決するための手段】請求項１に対応する発明
は、ｐ個の要素からなる有限体Ｆ_p上で定義された楕円
曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋＧを実行可
能な楕円曲線演算装置であって、前記倍数ｋ，前記点Ｇ
及び素数ｐ（＝２ⁿ±ｃ；ｎはビット数、ｌｏｇ₂（ｃ）
≦ｎ／２）が入力されたとき、倍数ｋのビット数ｎ_kが
所定の範囲（ｎ＜ｎ_k＜２ｎ）にあるか否かを判定する
倍数判定手段と、前記倍数判定手段による判定結果が前
記所定範囲にある旨を示すとき、前記倍数ｋをｎビット
単位の形式（２^ｎＣ＋Ｄの形式；Ｃ，Ｄはｎビットの
数）に表現すると共に、前記倍数ｋの２^ｎに±ｃ＋ｔφ
＋φ^２（φはフロベニウス写像、ｔはトレース）を代入
し、前記代入結果を展開してφ以外の項及びφの一次の
項の係数を夫々ｎビット単位で表現し、前記代入と展開
との処理を複数回繰返してφ進展開を実行するφ進展開
手段と、前記φ進展開手段によりφ進展開された倍数ｋ
に前記点Ｇ（ｘ，ｙ）のデータを乗じて倍数演算ｋＧを
実行し、得られた結果ｋＧを出力する倍数演算手段とを
備えた楕円曲線演算装置である。

【００２８】また、請求項２に対応する発明は、ｐⁿ個
の要素からなる拡大体Ｆ_pn上で定義された第１型の楕円
曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋＧを実行可
能な楕円曲線演算装置であって、前記倍数ｋ，前記点Ｇ
及び素数ｐ（＝２ⁿ±ｃ；ｎはビット数、ｌｏｇ₂（ｃ）
≦ｎ／２）が入力されたとき、倍数ｋのビット数ｎ_kが
所定の範囲（ｎ＜ｎ_k＜２ｎ）にあるか否かを判定する
倍数判定手段と、前記倍数判定手段による判定結果が前
記所定範囲にある旨を示すとき、前記倍数ｋをｎビット
単位の形式（２^ｎＣ＋Ｄの形式；Ｃ，Ｄはｎビットの
数）に表現すると共に、前記倍数ｋの２^ｎに±ｃ＋ｔφ
＋φ^２（φはフロベニウス写像、ｔはトレース）を代入
し、前記代入結果を展開してφ以外の項及びφの一次の
項の係数を夫々ｎビット単位で表現し、前記代入と展開
との処理を複数回繰返してφ進展開を実行するφ進展開
手段と、前記第１型の楕円曲線を第２型の楕円曲線（Ｂ
ｙ^２＝ｘ^３＋Ａｘ^２＋ｘ；Ａ，Ｂは任意の数）に変換可
能か否かを判定する判定手段と、前記判定手段による判
定結果が変換可能を示すとき、前記点Ｇ（ｘ，ｙ）のデ
ータを前記第２型の楕円曲線上の点Ｇmに変換する変換
手段と、前記変換手段により点Ｇmが得られたとき、前
記φ進展開手段によりφ進展開された倍数ｋを２＊ｋ₀
とその残りｋ₁との各成分で表現し（ｋ＝２＊ｋ₁＋
ｋ₀）、各成分ｋ₀，ｋ₁毎に前記点Ｇmを倍数演算して点
Ｐ（＝ｋ₀Ｇm＋ｋ₁Ｇm），Ｑ（＝ｋ₁Ｇm）を求め、各点
Ｐ，Ｑのｘ座標から点ｋＧm（＝Ｐ＋Ｑ）を算出する第
２型の倍数演算手段と、前記第２型の倍数演算手段によ
り得られた点ｋＧmのデータを前記第１型の楕円曲線上
の点ｋＧのデータに逆変換し、得られた結果ｋＧを出力
する逆変換手段とを備えた楕円曲線演算装置である。

【００２９】さらに、請求項３に対応する発明は、ｐ個
の要素からなる有限体Ｆ_p上で定義された楕円曲線上に
おける点Ｇ（ｘ，ｙ）の倍数演算ｋＧを実行可能な楕円
曲線演算装置であって、前記倍数ｋ，前記点Ｇ及び素数
ｐ（＝２ⁿ±ｃ；ｎはビット数、ｌｏｇ₂（ｃ）≦ｎ／
２）が入力されたとき、j=1〜n-1の点Ｇの２^j倍（＝２ ¹
Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ）を事前計算する第１
の事前計算手段と、前記倍数ｋ，前記点Ｇ及び前記素数
ｐが入力されたとき、前記点Ｇをｎビット単位の形式
（２^ｎＣ＋Ｄの形式；Ｃ，Ｄはｎビットの数）に表現
し、前記点Ｇの２^ｎに±ｃ＋ｔφ＋φ^２（φはフロベニ
ウス写像、ｔはトレース）を代入することにより、前記
点Ｇの２ⁿ倍（＝２ⁿＧ）を事前計算する第２の事前計算
手段と、前記倍数ｋを２¹Ｇ〜２nＧの項を含んでＮＡＦ
展開するＮＡＦ展開手段と、前記ＮＡＦ展開手段により
ＮＡＦ展開された倍数ｋに、前記第１及び第２の事前計
算手段による事前計算結果（２Ｇ，２²Ｇ，２³Ｇ，…，
２^n-1Ｇ，２ⁿＧ）を乗じて倍数演算ｋＧを実行し、得ら
れた結果ｋＧを出力する倍数演算手段とを備えた楕円曲
線演算装置である。

【００３０】また、請求項４に対応する発明は、請求項
３に対応する楕円曲線演算装置において、前記倍数ｋ，
前記点Ｇ及び素数ｐが入力されたとき、前記点Ｇをｎビ
ット単位の形式に表現し、前記点Ｇの２^ｎrに−Ｃ_ｘ＋
ｔφ＋φ^２（Ｃ_ｘは（２^ｎ±ｃ）^ｒを展開して得られた
多項式データのうち、２^nrの項を除いた各項のデータ）
を代入することにより、前記点Ｇの２^nr倍（＝２^nrＧ）
を事前計算する第３の事前計算手段を備え、前記楕円曲
線が前記有限体Ｆ_pを含む拡大体Ｆpⁿ上で定義されたと
き、前記ＮＡＦ展開手段としては、２^nrＧの項をも含ん
で前記ＮＡＦ展開を実行し、前記倍数演算手段として
は、前記倍数演算ｋＧを前記第３の事前計算手段により
得られた２^nrＧをも用いて実行する楕円曲線演算装置で
ある。

【００３１】さらに、請求項５〜請求項８のいずれかに
対応する発明は、夫々請求項１〜請求項４に対応する楕
円曲線演算装置に用いられるコンピュータ読取り可能な
記憶媒体であって、前記楕円曲線演算装置のコンピュー
タを、前記各手段として機能させるためのプログラムが
記憶されたコンピュータ読取り可能な記憶媒体である。

【００３２】（作用）従って、請求項１，５に対応する
発明は以上のような手段を講じたことにより、倍数判定
手段が、倍数ｋのビット数ｎ_kが所定の範囲にあるか否
かを判定し、φ進展開手段が、倍数判定手段による判定
結果が所定範囲にある旨を示すとき、倍数ｋをｎビット
単位の形式に表現すると共に、倍数ｋの２^ｎに±ｃ＋ｔ
φ＋φ ^２を代入し、代入結果を展開してφ以外の項及び
φの一次の項の係数を夫々ｎビット単位で表現し、これ
ら代入と展開との処理を複数回繰返してφ進展開を実行
し、倍数演算手段が、φ進展開手段によりφ進展開され
た倍数ｋに点Ｇのデータを乗じて倍数演算ｋＧを実行
し、得られた結果ｋＧを出力する。

【００３３】このように、代入の繰返しによりφ進展開
を実行することにより、従来のｐを法とした剰余算を用
いた処理に比べて短時間で完了するため、楕円曲線上の
点Ｇに対する倍数演算ｋＧの更なる高速化を実現させる
ことができる。

【００３４】また、請求項２，６に対応する発明は、請
求項１，５と同様にφ進展開手段により倍数ｋがφ進展
開される一方、判定手段が、第１型の楕円曲線を第２型
の楕円曲線に変換可能か否かを判定し、変換手段が判定
手段による判定結果が変換可能を示すとき、点Ｇのデー
タを第２型の楕円曲線上の点Ｇmに変換し、第２型の倍
数演算が、変換手段により点Ｇmが得られたとき、φ進
展開手段によりφ進展開された倍数ｋを２＊ｋ₀とその
残りｋ₁との各成分で表現し、各成分ｋ₀，ｋ₁毎に点Ｇm
を倍数演算して点Ｐ，Ｑを求め、各点Ｐ，Ｑのｘ座標か
ら点ｋＧmを算出し、逆変換手段が、第２型の倍数演算
手段により得られた点ｋＧmのデータを第１型の楕円曲
線上の点ｋＧのデータに逆変換し、得られた結果ｋＧを
出力する。

【００３５】このように、ｘ座標のみで高速に倍数演算
が可能な第２型の楕円曲線系に対し、請求項１，５と同
様の高速なφ進展開を適用するので、第１型の楕円曲線
を第２型の楕円曲線に変換できる場合、楕円曲線上の点
Ｇに対する倍数演算ｋＧをより一層高速に実現させるこ
とができる。

【００３６】さらに、請求項３，６に対応する発明は、
有限体Ｆ_p上の楕円曲線演算を対象とし、第１の事前計
算手段が、倍数ｋ，点Ｇ及び素数ｐが入力されたとき、
j=1〜n-1の点Ｇの２^j倍を事前計算し、第２の事前計算
手段が、倍数ｋ，点Ｇ及び素数ｐが入力されたとき、点
Ｇをｎビット単位の形式に表現し、点Ｇの２^ｎに±ｃ＋
ｔφ＋φ^２を代入することにより、点Ｇの２ⁿ倍を事前
計算し、ＮＡＦ展開手段が、倍数ｋを２¹Ｇ〜２nＧの項
を含んでＮＡＦ展開し、倍数演算手段が、ＮＡＦ展開手
段によりＮＡＦ展開された倍数ｋに、第１及び第２の事
前計算手段による事前計算結果を乗じて倍数演算ｋＧを
実行し、得られた結果ｋＧを出力する。

【００３７】このように、ＮＡＦ展開の事前計算に対
し、請求項１，５と同様の高速なφ進展開を適用するの
で、楕円曲線上の点Ｇに対する倍数演算ｋＧの更なる高
速化を実現させることができる。

【００３８】また、請求項４，８に対応する発明は、倍
数ｋ，点Ｇ及び素数ｐが入力されたとき、点Ｇをｎビッ
ト単位の形式に表現し、点Ｇの２^ｎrに−Ｃ_ｘ＋ｔφ＋
φ^２（Ｃ_ｘは（２^ｎ±ｃ）^ｒを展開して得られた多項式
データのうち、２^nrの項を除いた各項のデータ）を代入
することにより、点Ｇの２^nr倍（＝２^nrＧ）を事前計算
する第３の事前計算手段を付加し、楕円曲線が前記有限
体Ｆ_pを含む拡大体Ｆp ⁿ上で定義されたとき、ＮＡＦ展
開手段が２^nrＧの項をも含んでＮＡＦ展開を実行し、倍
数演算手段が倍数演算ｋＧを前記第３の事前計算手段に
より得られた２ ^nrＧをも用いて実行する。

【００３９】従って、ＮＡＦ展開の事前計算中、点Ｇの
２^nr倍を高速に算出できるので、拡大体Ｆ_pn上で定義さ
れた楕円曲線Ｅにおいても、請求項３，７に対応する作
用と同様の作用を奏することができる。

【００４０】

【発明の実施の形態】以下、本発明の各実施形態につい
て図面を参照して説明する。なお、以下の各実施形態
は、全てフロベニウス写像φによるφ進展開の高速化に
関するものであり、有限体Ｆ_p及び拡大体Ｆ_pnの各要素
は正規基底で表現されることが演算の前提となってい
る。

【００４１】また、前述した拡大体Ｆ_pnは、次の（i）
〜（iii）の条件を満たし、一般に最適拡大体ＯＥＦ（o
ptimal Extension Field）と呼ばれるものが対象となっ
ている。

【００４２】（i）素数ｐの演算単位は、ＣＰＵのワー
ド長（バス幅）のｎビット以下である。なお、ワード長
は、例えば３２ビット等が使用可能となっている。

【００４３】（ii）ｐ＝２^ｎ±ｃ；但し、ｌｏｇ
_２（ｃ）≦ｎ／２。すなわち、素数ｐの全体サイズは、
ｎビットの値に対し、ｎ／２ビット以下の小さいサイズ
の値ｃが付加された値を示すサイズであり、具体的には
３ｎ／２ビット以下である。

【００４４】（iii）拡大体Ｆ_pnは、有限体Ｆ_p上で、既
約二項多項式ｘ^m−ｗの解が付加されて得られる（既約
二項多項式ｘ^m−ｗの解は、Ｆ_pnの生成元である）。

【００４５】すなわち、以下の全ての実施形態はこれら
（i）〜（iii）の条件を満たすことが前提となってい
る。また、この前提は有限体Ｆ_pの場合も同様である。

【００４６】（第１の実施形態）図１は本発明の第１の
実施形態に係る楕円曲線演算装置の構成を示す機能ブロ
ック図であり、各機能ブロックは、ハードウェア回路、
あるいは記憶媒体に記憶されたプログラムをインストー
ルしてなるソフトウェア構成のいずれでも実現可能とな
っている。なお、以下の各実施形態も同様に、ハードウ
ェア又はソフトウェアのいずれでも実現可能である。

【００４７】この楕円曲線演算装置は、従来の［１］φ
進展開法を改良してφ進展開の高速化を図るものであ
り、具体的には、メモリ１、入力部２、倍数判定部３、
φ進展開部４及び倍数演算部５を備えている。

【００４８】ここで、メモリ１は、楕円曲線演算のため
のデータが各要素２〜５から読出／書込可能に格納され
たものであり、データとしては、例えば楕円曲線Ｅ（：
ｙ２＝ｘ３＋ａｘ＋ｂ）の係数ａ，ｂ、トレースｔなど
の設定データと、点Ｇ（ｘ，ｙ），素数ｐ（＝２^ｎ±
ｃ）及び倍数ｋなどの入力データ等がある。

【００４９】入力部２は、点Ｇ（ｘ，ｙ），素数ｐ及び
倍数ｋがデータ入力されたとき、倍数ｋを倍数判定部３
に送出すると共に、点Ｇ（ｘ，ｙ），素数ｐ及び倍数ｋ
をメモリ１に格納する機能をもっている。

【００５０】倍数判定部３は、入力部２から倍数ｋを受
けたとき、倍数ｋのビット数ｎ_kが所定の範囲（ｎ＜ｎ_k
＜２ｎ）にあるとき、従来のφ進判定部（図示せず）に
代えて、φ進展開部４を起動する機能をもっている。

【００５１】φ進展開部４は、倍数判定部３に起動され
ると、メモリ１内の倍数ｋを２^ｎＣ＋Ｄの形式（ｎビッ
ト単位の形式；Ｃ，Ｄはｎビットの数）に表現すると共
に、メモリ１内のｃ，ｔを用いて２^ｎに（±ｃ＋ｔφ＋
φ^２）を代入する機能と、代入結果を展開してφ以外の
項及びφの一次の項の係数を夫々ｎビット単位で表現す
る機能と、φ進展開が完了するまでこれら代入と展開と
の処理を繰返す機能と、倍数ｋのφ進展開が完了する
と、倍数演算部４を起動する機能とをもっている。

【００５２】なお、代入機能における２^ｎ＝±ｃ＋ｔφ
−φ^２の関係は、従来のフロベニウス写像φの固有多項
式の変形式ｐ＝ｔφ−φ^２の左辺に対し、本実施形態の
前提条件（ii）のｐ＝２^ｎ±ｃを代入し、±ｃを右辺に
移行して得たものである。

【００５３】倍数演算部５は、φ進展開部４に起動され
ると、φ進展開部４によりφ進展開された倍数ｋにメモ
リ１内の点Ｇ（ｘ，ｙ）のデータを乗じて倍数演算ｋＧ
を実行し、演算結果ｋＧを出力する機能とをもってい
る。

【００５４】次に、以上のように構成された楕円曲線演
算装置の動作を図２のフローチャートを用いて説明す
る。いま、例えば暗号アルゴリズム（図示せず）の一部
で、楕円曲線上における点Ｇのｋ倍演算を実行する必要
が生じたとする。入力部２は、点Ｇ（ｘ，ｙ），素数ｐ
及び倍数ｋがデータ入力されたとき、倍数ｋを倍数判定
部３に送出すると共に（ＳＴ１）、点Ｇ（ｘ，ｙ），素
数ｐ及び倍数ｋをメモリ１に格納する。

【００５５】倍数判定部３は、倍数ｋを受けたとき、倍
数ｋのビット数ｎ_kがｎビットより大きく２ｎビットよ
り小さい範囲（ｎ＜ｎ_k＜２ｎ）にあるか否かを判定
し、その範囲に無いときには従来のφ進展開部を起動す
るが（ＳＴ３）、ここではその範囲にあるので、本発明
のφ進展開部４を起動する。

【００５６】φ進展開部４は、メモリ１内の倍数ｋを２
^ｎＣ＋Ｄの形式に表現すると共に（ＳＴ４）、メモリ１
内のｃ，ｔを用いて２^ｎに（±ｃ＋ｔφ＋φ^２）を代入
し（ＳＴ５）、代入結果を展開して整理し（ＳＴ６）、
φ以外の項及びφの一次の項の係数を夫々ｎビット単位
で表現する（ＳＴ７）。

【００５７】すなわち、ステップＳＴ４〜ＳＴ６は、 ｋ＝２^ｎＣ＋Ｄ ＝（±ｃ＋ｔφ−φ^２）Ｃ＋Ｄ ＝（±ｃＣ＋Ｄ）＋（ｔＣ）φ−Ｃφ^２ として実行され、 ステップＳＴ７は、 （±ｃＣ＋Ｄ）＝２^ｎＣ₁＋Ｄ₁ （ｔＤ） ＝２^ｎＣ₂＋Ｄ₂ として実行される。

【００５８】続いて、φ進展開部４は、例えばステップ
ＳＴ５〜ＳＴ７の実行回数に基づいて、φ進展開が完了
したか否かを判定し（ＳＴ８）、所定の実行回数（＝φ
進展開の完了）までステップＳＴ５〜ＳＴ７の代入〜２
^ｎ表現の処理を繰返す。

【００５９】詳しくは、±ｃがｎ／２ビットの数であ
り、トレースｔも（ｎ／２＋２）ビットの数であるか
ら、ステップＳＴ５〜ＳＴ７を３回程度、繰返すと、ｋ
＝Σα_iφ^ｉ（０≦α_i＜２^ｎ）の形になり、φ進展開が
完了する。

【００６０】このφ進展開は、上述したように代入の繰
返しにより実行されるので、従来のｐを法とした剰余算
を用いた処理に比べ、短時間で完了する。また、φ進展
開が完了したとき、フロベニウス写像φにおけるΣφ^ｉ
＝０の性質により、ｋ＝Σα_iφ^ｉの右辺からΣ２^n-1φ
^ｉを減算してもよい。この減算により、係数α_iを演算
回数の少ない範囲（−２^n-1≦α_i＜２^n-1）に設定でき
る。

【００６１】さて、φ進展開部４は、φ進展開が完了す
ると、倍数演算部５を起動する。倍数演算部５は、φ進
展開された倍数ｋにメモリ１内の点Ｇ（ｘ，ｙ）のデー
タを乗じて倍数演算ｋＧを実行し（ＳＴ９）、演算結果
ｋＧを出力する。

【００６２】上述したように本実施形態によれば、φ進
展開部４が代入の繰返しによりφ進展開を実行すること
により、従来のｐを法とした剰余算を用いた処理に比べ
て短時間で完了するため、楕円曲線上の点Ｇに対する倍
数演算ｋＧの更なる高速化を実現させることができる。

【００６３】（第２の実施形態）図３は本発明の第２の
実施形態に係る楕円曲線演算装置の構成を示す機能ブロ
ック図であり、前述した図面と同一部分には同一符号を
付してその詳しい説明を省略し、ここでは異なる部分に
ついて主に述べる。なお、以下の各実施形態も同様にし
て重複した説明を省略する。

【００６４】すなわち、本実施形態は、従来の［２］モ
ンゴメリ型楕円曲線による方式と第１実施形態のφ進展
開法とを組合せて、より一層の高速化を図るものであ
り、具体的には、前述したφ進展開部４の後段に、判定
部６、変換部７、倍数演算部８及び逆変換部９を備えて
いる。

【００６５】ここで、判定部６は、周知の判定条件と、
メモリ１内の楕円曲線Ｅ（：ｙ２＝ｘ３＋ａｘ＋ｂ、以
下、標準型ともいう）を示す設定データ（定数ａ，ｂ
等）とに基づいて、メモリ１内の楕円曲線Ｅをモンゴメ
リ型楕円曲線Ｅ（：Ｂｙ^２＝ｘ ^３＋Ａｘ^２＋ｘ）に変換
可能な否かを判定し、変換不可能なときには第１実施形
態の倍数演算部５による処理を実行させ、変換可能なと
きには変換部６を起動する機能をもっている。

【００６６】なお、周知の判定条件としては、最適拡大
体ＯＥＦ上の標準型の楕円曲線Ｅが４｜＃Ｅ(Ｆ_pn)を満
足する旨の必要条件と、Ｅ(Ｆ_pn)上の４倍点や２倍点に
基づく十分条件とがあり、詳細は前述した文献等に記載
されている。また、判定のタイミングは、第１実施形態
の倍数演算部５による倍数演算ｋＧよりも前であれば何
時でもよいが、ここでは、第１実施形態のφ進展開部４
によるφ進展開の後としている。

【００６７】変換部６は、判定部５により起動される
と、周知の変換公式により、メモリ１内の点Ｇをモンゴ
メリ型楕円曲線上の点Ｇ_mに座標変換する機能と、モン
ゴメリ型の倍数演算部８を起動する機能とをもってい
る。

【００６８】倍数演算部８は、変換部６に起動される
と、φ進展開部４によりφ進展開された倍数ｋを２＊ｋ
₀とその残りｋ₁との各成分で表現し（ｋ＝２＊ｋ₁＋
ｋ₀）、各成分ｋ₀，ｋ₁毎に点Ｇmを倍数演算して仮想的
な点Ｐ（＝ｋ₀Ｇm＋ｋ₁Ｇm），Ｑ（＝ｋ₁Ｇm）を求め、
各点Ｐ，Ｑのｘ座標から点ｋＧm（＝Ｐ＋Ｑ）を算出
し、算出結果ｋＧmを逆変換部９に送出する機能をもっ
ている。なお、前述したが、モンゴメリ型楕円曲線は、
ｙ座標を用いず、ｘ座標のみから倍数演算が可能な性質
をもつ。

【００６９】逆変換部９は、周知の変換公式により、倍
数演算部８から受けた点ｋＧmを標準型の楕円曲線上の
点ｋＧに座標変換して出力する機能をもっている。

【００７０】次に、以上のように構成された楕円曲線演
算装置の動作を図４のフローチャートを用いて説明す
る。前述同様に、φ進展開部４による倍数ｋのφ進展開
が完了し（ＳＴ１１）、φ進展開結果がメモリ１に保持
されたとする。

【００７１】次に、判定部６は、周知の判定条件によ
り、メモリ１内の楕円曲線Ｅをモンゴメリ型楕円曲線Ｅ
に変換可能な否かを判定し（ＳＴ１２）、変換不可能な
ときには第１実施形態の倍数演算部５に処理ＳＴ９を実
行させるが（ＳＴ１３）、ここでは変換可能であるた
め、変換部７を起動する。変換部７は、メモリ１内の点
Ｇをモンゴメリ型楕円曲線上の点Ｇ_mに座標変換し（Ｓ
Ｔ１４）、倍数演算部８を起動する。

【００７２】倍数演算部８は、φ進展開された倍数ｋを
メモリ１から得ると、この倍数ｋ＝Σα_iφ^ｉに対し、
係数α_iを２進展開し、得られたα_i＝Σｈ_ij２^ｊを代入
して次の（７）式のように整理する。

【００７３】 ｋ＝Σ（Σｈ_ij２^ｊ）φ^ｉ ＝Σ２^ｊ（Σｈ_ijφ^ｉ） …（７） 次に、倍数演算部８は、この倍数ｋを次のように２＊ｋ
₁とその残りｋ₀との各成分で表現する（ＳＴ１５）。な
お、以下の例は簡単な場合（０≦ｊ≦１）である。

【００７４】ｋ＝Σｈ_i0φ^ｉ＋２Σｈ_i1φ^ｉに対し、ｋ
₀＝Σｈ_i0φ^ｉとし、ｋ₁＝Σｈ_i1φ^ｉとおくと、 ｋ＝２＊ｋ₁＋ｋ₀ このとき、倍数演算ｋＧmは次の（８）式で表現可能で
ある。

【００７５】 ｋＧm＝２・ｋ₁Ｇm＋ｋ₀Ｇm ＝（ｋ₀Ｇm＋ｋ₁Ｇm）＋（ｋ₁Ｇm） …（８） 従って、倍数演算部８は、（ｋ₀Ｇm＋ｋ₁Ｇm）を点Ｐと
おき、（ｋ₁Ｇm）を点Ｑとおいて、これら各点Ｐ，Ｑを
夫々算出した後（ＳＴ１６）、モンゴメリ型楕円曲線の
性質よりｙ座標を用いず、各点Ｐ，Ｑのｘ座標のみから
点ｋＧm（：Ｐ＋Ｑ）を算出する（ＳＴ１７）。

【００７６】これは、従来のようにｋ₁Ｇと、２・ｋ₁Ｇ
と、ｋ₀Ｇとを用いてｋＧ＝２・ｋ₁Ｇ＋ｋ₀Ｇを計算す
る場合に比べ、少ない計算量で実現できる。

【００７７】例えば従来の場合、ｋＧ＝２・ｋ₁Ｇ＋ｋ₀
Ｇの計算量は、１回の乗算と、１回の加算（ｘ，ｙ両座
標を用いる）との合計となる。

【００７８】一方、本実施形態では、ｋＧm＝２・ｋ₁Ｇ
m＋ｋ₀Ｇmの計算量は、１回の加算（ｋ₀Ｇm＋ｋ₁Ｇm）
と、１回の加算（Ｐ＋Ｑ；ｘ座標のみ）との合計とな
る。

【００７９】従って、本実施形態の方が、乗算を用い
ず、且つ加算がｘ座標のみで済む分だけ、少ない計算量
で点ｋＧmを算出できる。なお、ｋ₀＝０のとき、倍数演
算部は、点Ｐを省略し、点Ｑから点２Ｑ（＝ｋＧm）を
求めるが、この場合もモンゴメリ型楕円曲線の性質によ
り、少ない計算量で点ｋＧmを算出できる。

【００８０】いずれにしても、以下、逆変換部９は、得
られた点ｋＧmを標準型の楕円曲線上の点ｋＧに座標変
換し（ＳＴ１８）、得られた結果ｋＧを出力する。

【００８１】上述したように本実施形態によれば、ｘ座
標のみで高速に倍数演算が可能なモンゴメリ型楕円曲線
系に対し、第１の実施形態と同様の高速なφ進展開を適
用するので、標準型楕円曲線をモンゴメリ型楕円曲線に
変換できる場合、楕円曲線上の点Ｇに対する倍数演算ｋ
Ｇをより一層高速に実現させることができる。

【００８２】なお、倍数演算部８は、各点Ｐ，Ｑを夫々
ｘ，ｙ座標から算出し、点ｋＧmをｘ座標のみから算出
する場合について説明したが、これに限らず、各点Ｐ，
Ｑ及び点ｋＧmの全てをｘ座標のみから算出する構成に
変形してもよい。すなわち、Σα_iφ^ｉＧ（但し、α₀＝
１、α_i＝０又は１の場合（なお、ｉ＝１，…，ｍ−
１））を全て事前計算する構成（α₀＝０のときはφ倍
で容易）としてもよい。この事前計算値を用いた場合、
Ｆ_ｐ ^m上の有理点Ｇに対し、ｋＧ＝Σα_iφ^ｉＧ（但し、
｜α_i｜≦ｐ／２）をｘ座標のみで計算可能となり、倍
数演算を高速化することができる。ここで、事前計算値
は、２^m-2個が必要となるが、ｍ＜１０程度のｍであれ
ば十分実用的となっている。

【００８３】また、この変形した倍数演算部８の処理の
具体例として、Ｇ＋５φ（Ｇ）＋３φ^２（Ｇ）の計算方
法を次の［１］〜［４］に述べる。なお、以下の計算で
はＧの記号を省略する。すなわち、φ（Ｇ）をφと表記
する。また前述したが、計算は全てｘ座標のみで行う。
計算原理は、次の(i)〜(ii)の通りである。

【００８４】(i)Ｐ，Ｑ，Ｐ−Ｑの値がわかれば、Ｐ＋
Ｑが計算できる。 (ii)Ｐ，Ｑ，Ｐ＋Ｑの値がわかれば、Ｐ−Ｑが計算でき
る。 (iii)１＋φ、１＋φ^２、１＋φ＋φ２は事前に普通の
ｘ，ｙ両方の座標を用いる形で計算しておく。

【００８５】［１］１＋φから１−φを計算する。具体
的には事前計算値１＋φを用いて１−φを計算する。

【００８６】［２］１＋φからφ＋φ^２を計算する。具
体的には事前計算値１＋φにφを施し、φ（１＋φ）＝
φ＋φ^２として計算する。

【００８７】［３］φと、［２］で求めたφ＋φ^２とか
ら２φ＋φ^２を計算する。ここで、（φ＋φ^２）−φ＝
φ^２はＧにφを２回施すとわかる。よって、（φ＋
φ^２）＋φ＝２φ＋φ^２も計算できる。

【００８８】［４］１＋φ＋φ２と、［３］で求めた２
φ＋φ^２と、［１］で求めた１−φから１＋５φ＋３φ
^２を計算する。ここで、１＋φ＋φ^２が事前計算値であ
り、（１＋φ＋φ^２）−（２φ＋φ^２）＝１−φが既知
のため、（１＋φ＋φ^２）＋（２φ＋φ^２）を計算でき
る。

【００８９】｛（１＋φ＋φ^２）＋（２φ＋φ^２）｝−
（２φ＋φ^２）＝１＋φ＋φ^２が既知のため、｛（１＋
φ＋φ^２）＋（２φ＋φ^２）｝＋（２φ＋φ^２）＝１＋
５φ＋３φ^２を計算できる。

【００９０】（第３の実施形態）図５は本発明の第３の
実施形態に係る楕円曲線演算装置の構成を示す機能ブロ
ック図である。この楕円曲線演算装置は、有限体Ｆ_p上
の楕円曲線演算を対象とし、従来の［３］ＮＡＦを用い
たＷｉｎｄｏｗ法による方式と第１実施形態のφ進展開
法とを組合せて、より一層の高速化を図るものである。

【００９１】具体的には、前述した倍数判定部３、φ進
展開部４及び倍数演算部５に代えて、第１実施形態のφ
進展開機能及び周知のＮＡＦ展開機能を有するＮＡＦ展
開部１１、及びＮＡＦ展開に応じた倍数演算部１２を備
えている。

【００９２】なお、これに伴い、入力部２は、前述した
機能中、倍数ｋの送出先がＮＡＦ展開部１１となる上、
点Ｇ（ｘ，ｙ）の入力データをＮＡＦ展開部１１に送出
する機能が付加される。

【００９３】ＮＡＦ展開部１１は、入力部２から倍数ｋ
及び点Ｇ（ｘ，ｙ）を受けたとき、j=1〜n-1の点Ｇの２
^j倍（＝２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ）を事前計算
する機能と、点Ｇの２ⁿ倍（＝２ⁿＧ）を本発明のφ進展
開（＝（２^ｎ）に（±ｃ＋ｔφ＋φ^２）を代入）により
事前計算する機能と、点Ｇの２²ⁿ倍毎（＝２²ⁿＧ毎）に
２²ⁿＧ＝２ⁿ（２ⁿＧ）と変形して（）内を同様のφ進展
開により事前計算する機能と、事前計算の結果（２Ｇ，
２²Ｇ，２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）をメモリ１に格納
した後、周知のＮＡＦ展開の（５）式により、倍数ｋを
ＮＡＦ展開する機能と、倍数ｋのＮＡＦ展開が完了する
と、倍数演算部１２を起動する機能とをもっている。な
お、ＮＡＦ展開のタイミングは、点Ｇに関する事前計算
より前としてもよい。

【００９４】また、倍数演算部１２は、ＮＡＦ展開部１
１に起動されると、ＮＡＦ展開部１１によりＮＡＦ展開
された倍数ｋに、ＮＡＦ展開部１１による事前計算結果
（２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）を乗じて
倍数演算ｋＧを実行し、演算結果ｋＧを出力する機能と
をもっている。

【００９５】次に、以上のように構成された楕円曲線演
算装置の動作を図６のフローチャートを用いて説明す
る。前述同様に、入力部２に点Ｇ（ｘ，ｙ），素数ｐ及
び倍数ｋがデータ入力されたとする（ＳＴ２１）。

【００９６】入力部２は、倍数ｋ及び点Ｇ（ｘ，ｙ）の
データをＮＡＦ展開部１１に送出すると共に、点Ｇ
（ｘ，ｙ），素数ｐ及び倍数ｋをメモリ１に格納する。

【００９７】ＮＡＦ展開部１１は、倍数ｋ及び点Ｇ
（ｘ，ｙ）を受けたとき、j=1〜n-1の点Ｇの２^j倍（＝
２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ）を計算すると共に
（ＳＴ２２）、点Ｇの２ⁿ倍（＝２ⁿＧ）を本発明のφ進
展開（＝（２^ｎ）に（±ｃ＋ｔφ＋φ^２）を代入）によ
り計算する（ＳＴ２３）。

【００９８】なお、このとき、点Ｇの２²ⁿ倍毎（＝２²ⁿ
Ｇ毎）に２²ⁿＧ＝２ⁿ（２ⁿＧ）と変形して（）内を同様
のφ進展開により計算する（ＳＴ２４）。

【００９９】すなわち、従来のＮＡＦ展開による倍数演
算ｋＧを示す（６）式のうち、２^{ｊ ｎ}Ｇの計算を
（２^ｎ）に（±ｃ＋ｔφ−φ^２）を逐次代入して実行す
る。

【０１００】このようにして、Ｇの２¹〜２ⁿ倍の計算が
完了すると（ＳＴ２５）、ＮＡＦ展開部１１は、計算結
果（２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）をメモ
リ１に格納した後、倍数ｋを（５）式でＮＡＦ展開し
（ＳＴ２６）、ＮＡＦ展開の完了後、倍数演算部１２を
起動する。

【０１０１】倍数演算部１２は、ＮＡＦ展開された倍数
ｋに、メモリ１から得た事前計算結果（２Ｇ，２²Ｇ，
２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）を乗じて倍数演算ｋＧを
実行し（ＳＴ２７）、演算結果ｋＧを出力する。

【０１０２】上述したように本実施形態によれば、ＮＡ
Ｆ展開の事前計算に対し、第１の実施形態と同様の高速
なφ進展開を適用するので、楕円曲線上の点Ｇに対する
倍数演算ｋＧの更なる高速化を実現させることができ
る。

【０１０３】（第４の実施形態）図７は本発明の第４の
実施形態に係る楕円曲線演算装置の構成を示す機能ブロ
ック図である。この楕円曲線演算装置は、第３の実施形
態を相対拡大に拡張した変形例であり、前述した有限体
Ｆ_pを含む拡大体Ｆ_pn上の楕円曲線演算を対象としてい
る。

【０１０４】具体的には、ＮＡＦ展開部１１ｒが、前述
したＮＡＦ展開部１１の機能に加え、点Ｇの２^nr倍を事
前計算する機能を備えている。

【０１０５】例えば、楕円曲線Ｅが、拡大体Ｆ_pn上で定
義されている場合、更に拡張された拡大体Ｆ_pnrでの演
算を考える。このとき、点Ｇ＝（ｘ，ｙ）に対し、φ
（Ｇ）＝（ｘ^{ｐ^nｒ}，ｙ^ｐ），（^はべき乗）となるフ
ロベニウス写像φでは次の（９）式が成立つ。

【０１０６】（２^ｎ±ｃ）^ｒ＝ｔφ−φ^２ …（９） すなわち、ＮＡＦ展開部１１ｒは、この（９）式に基づ
いて、点Ｇの２^nr倍を本発明のφ進展開（＝（２^ｎr）
に（−Ｃ_x＋ｔφ＋φ^２）を代入）により事前計算して
メモリに格納する機能が付加されている。なお、−Ｃ_x
は、（２^ｎ±ｃ） ^ｒを展開して得られた多項式データの
うち、２^nrの項を除いた各項が右辺に移項されてなる値
である。また、展開には、例えば二項定理が使用され
る。

【０１０７】例えば、（２ｎ＋ｃ）^ｒ＝ｔφ−φ^２の左
辺を二項展開する場合、両辺に２^ｎのべきを掛けると、
次のようにＧhの漸化式となる。

【０１０８】Ｇ_h＋ｒｃＧ_h-1＋_rＣ₂ｃ^２Ｇ_h-2＋ｃ^ｎＧ
_h-r＝ｔφ（Ｇ_h-r）−φ２（Ｇ_h-r） （但し、ｈ≧
ｒ） ここで、Ｇi（ｉ＝１，…，ｒ−１）は（定義通り）計
算される。

【０１０９】また、Ｇi（ｉ≧ｒ）は、上の漸化式で計
算される。この漸化式は、ｒ，ｃが小さいときに高速化
に有効である。

【０１１０】以上のような構成により、図８に示すよう
に、ＮＡＦ展開の事前計算中（ＳＴ２４ｒ）、点Ｇの２
^nr倍を高速に算出できるので、拡大体Ｆ_pn上で定義され
た楕円曲線Ｅにおいても、第３の実施形態と同様の効果
を得ることができる。また、本実施形態は、特に拡大次
数ｒが小さいときに高速化に有効である。

【０１１１】尚、本発明における記憶媒体としては、磁
気ディスク、フロッピーディスク、ハードディスク、光
ディスク（ＣＤ−ＲＯＭ、ＣＤ−Ｒ、ＤＶＤ等）、光磁
気ディスク（ＭＯ等）、半導体メモリ等、プログラムを
記憶でき、かつコンピュータが読み取り可能な記憶媒体
であれば、その記憶形式は何れの形態であっても良い。

【０１１２】また、記憶媒体からコンピュータにインス
トールされたプログラムの指示に基づきコンピュータ上
で稼働しているＯＳ（オペレーティングシステム）や、
データベース管理ソフト、ネットワークソフト等のＭＷ
（ミドルウェア）等が本実施形態を実現するための各処
理の一部を実行しても良い。

【０１１３】さらに、本発明における記憶媒体は、コン
ピュータと独立した媒体に限らず、ＬＡＮやインターネ
ット等により伝送されたプログラムをダウンロードして
記憶または一時記憶した記憶媒体も含まれる。

【０１１４】また、記憶媒体は１つに限らず、複数の媒
体から本実施形態における処理が実行される場合も本発
明における記憶媒体に含まれ、媒体構成は何れの構成で
あっても良い。

【０１１５】尚、本発明におけるコンピュータは、記憶
媒体に記憶されたプログラムに基づき、本実施形態にお
ける各処理を実行するものであって、パソコン等の１つ
からなる装置、複数の装置がネットワーク接続されたシ
ステム等の何れの構成であっても良い。

【０１１６】また、本発明におけるコンピュータとは、
パソコンに限らず、情報処理機器に含まれる演算処理装
置、マイコン等も含み、プログラムによって本発明の機
能を実現することが可能な機器、装置を総称している。

【０１１７】また、上記各実施形態では、楕円曲線演算
プログラムの各機能を説明するために便宜的に入力部
２，倍数判定部３，φ進展開部４，倍数演算部５，８，
１２，判定部６，変換部７，逆変換部９及びＮＡＦ展開
部１１，１１ｒなる機能ブロックを用いて説明したが、
これに限らず、全体として同様に動作するものであれ
ば、本発明の範囲に包含される。

【０１１８】例えば倍数判定部３は、φ進展開部４に含
めても良く、また、倍数ｋの範囲が始めから制限されて
いれば省略してもよい。また、φ進展開部４と倍数演算
部５とを合わせてもよい（倍数ｋを（２）式でφ進展開
せずに、始めから倍数演算ｋＧを（３）式でφ進展開し
てもよい）。

【０１１９】また、判定部６と変換部７とを一つの機能
ブロックで表現してもよい。あるいは、判定部６による
判定は、倍数判定部３の判定の直前又は直後（φ進展開
部４のφ進展開の前）に実行してもよい。同様にＮＡＦ
展開部１１，１１ｒと倍数演算部１２を合わせても良い
（倍数ｋを（５）式でＮＡＦ展開せずに、始めから倍数
演算ｋＧを（６）式でＮＡＦ展開してもよい）。また、
ＮＡＦ展開部１１，１１ｒにおけるＧの事前計算（ＳＴ
２２〜ＳＴ２４ｒ）は、適宜順序を入換えてもよい。

【０１２０】いずれにしても上述したように、全体とし
て同様に動作するものであれば（＝フロベニウス写像φ
の演算途中に生じる（２ⁿ）に（±ｃ＋ｔφ−φ^２）を
代入する構成、あるいは（２^ｎr）に（−Ｃ_x＋ｔφ＋φ
^２）を代入する構成を含めば）、他の設計的事項をどの
ように変形しても、本発明の範囲に包含される。

【０１２１】その他、本発明はその要旨を逸脱しない範
囲で種々変形して実施できる。

【０１２２】

【発明の効果】以上説明したように本発明によれば、楕
円曲線上の点Ｇに対する倍数演算ｋＧの更なる高速化を
実現できる楕円曲線演算装置及び記憶媒体を提供でき
る。

【図面の簡単な説明】

【図１】本発明の第１の実施形態に係る楕円曲線演算装
置の構成を示す機能ブロック図

【図２】同実施形態における動作を説明するためのフロ
ーチャート

【図３】本発明の第２の実施形態に係る楕円曲線演算装
置の構成を示す機能ブロック図

【図４】同実施形態における動作を説明するためのフロ
ーチャート

【図５】本発明の第３の実施形態に係る楕円曲線演算装
置の構成を示す機能ブロック図

【図６】同実施形態における動作を説明するためのフロ
ーチャート

【図７】本発明の第１の実施形態に係る楕円曲線演算装
置の構成を示す機能ブロック図

【図８】同実施形態における動作を説明するためのフロ
ーチャート

【符号の説明】

１…メモリ ２…入力部 ３…倍数判定部 ４…φ進展開部 ５，８，１２…倍数演算部 ６…判定部 ７…変換部 ９…逆変換部 １１，１１ｒ…ＮＡＦ展開部 ｋ…倍数 Ｇ…点 ｐ…素数

Claims (8)

【特許請求の範囲】
1. 【請求項１】 ｐ個の要素からなる有限体Ｆ_p上で定義
   された楕円曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋ
   Ｇを実行可能な楕円曲線演算装置であって、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、
   倍数ｋのビット数ｎ_kが所定の範囲（ｎ＜ｎ_k＜２ｎ）に
   あるか否かを判定する倍数判定手段と、 前記倍数判定手段による判定結果が前記所定範囲にある
   旨を示すとき、前記倍数ｋをｎビット単位の形式（２^ｎ
   Ｃ＋Ｄの形式；Ｃ，Ｄはｎビットの数）に表現すると共
   に、前記倍数ｋの２^ｎに±ｃ＋ｔφ＋φ^２（φはフロベ
   ニウス写像、ｔはトレース）を代入し、前記代入結果を
   展開してφ以外の項及びφの一次の項の係数を夫々ｎビ
   ット単位で表現し、前記代入と展開との処理を複数回繰
   返してφ進展開を実行するφ進展開手段と、 前記φ進展開手段によりφ進展開された倍数ｋに前記点
   Ｇ（ｘ，ｙ）のデータを乗じて倍数演算ｋＧを実行し、
   得られた結果ｋＧを出力する倍数演算手段とを備えたこ
   とを特徴とする楕円曲線演算装置。
2. 【請求項２】 ｐⁿ個の要素からなる拡大体Ｆ_pn上で定
   義された第１型の楕円曲線上における点Ｇ（ｘ，ｙ）の
   倍数演算ｋＧを実行可能な楕円曲線演算装置であって、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、
   倍数ｋのビット数ｎ_kが所定の範囲（ｎ＜ｎ_k＜２ｎ）に
   あるか否かを判定する倍数判定手段と、 前記倍数判定手段による判定結果が前記所定範囲にある
   旨を示すとき、前記倍数ｋをｎビット単位の形式（２^ｎ
   Ｃ＋Ｄの形式；Ｃ，Ｄはｎビットの数）に表現すると共
   に、前記倍数ｋの２^ｎに±ｃ＋ｔφ＋φ^２（φはフロベ
   ニウス写像、ｔはトレース）を代入し、前記代入結果を
   展開してφ以外の項及びφの一次の項の係数を夫々ｎビ
   ット単位で表現し、前記代入と展開との処理を複数回繰
   返してφ進展開を実行するφ進展開手段と、 前記第１型の楕円曲線を第２型の楕円曲線（Ｂｙ^２＝ｘ
   ^３＋Ａｘ^２＋ｘ；Ａ，Ｂは任意の数）に変換可能か否か
   を判定する判定手段と、 前記判定手段による判定結果が変換可能を示すとき、前
   記点Ｇ（ｘ，ｙ）のデータを前記第２型の楕円曲線上の
   点Ｇmに変換する変換手段と、 前記変換手段により点Ｇmが得られたとき、前記φ進展
   開手段によりφ進展開された倍数ｋを２＊ｋ₀とその残
   りｋ₁との各成分で表現し（ｋ＝２＊ｋ₁＋ｋ₀）、各成
   分ｋ₀，ｋ₁毎に前記点Ｇmを倍数演算して点Ｐ（＝ｋ₀Ｇ
   m＋ｋ₁Ｇm），Ｑ（＝ｋ₁Ｇm）を求め、各点Ｐ，Ｑのｘ
   座標から点ｋＧm（＝Ｐ＋Ｑ）を算出する第２型の倍数
   演算手段と、 前記第２型の倍数演算手段により得られた点ｋＧmのデ
   ータを前記第１型の楕円曲線上の点ｋＧのデータに逆変
   換し、得られた結果ｋＧを出力する逆変換手段とを備え
   たことを特徴とする楕円曲線演算装置。
3. 【請求項３】 ｐ個の要素からなる有限体Ｆ_p上で定義
   された楕円曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋ
   Ｇを実行可能な楕円曲線演算装置であって、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、j
   =1〜n-1の点Ｇの２^j倍（＝２¹Ｇ，２²Ｇ，２³Ｇ，…，
   ２^n-1Ｇ）を事前計算する第１の事前計算手段と、 前記倍数ｋ，前記点Ｇ及び前記素数ｐが入力されたと
   き、前記点Ｇをｎビット単位の形式（２^ｎＣ＋Ｄの形
   式；Ｃ，Ｄはｎビットの数）に表現し、前記点Ｇの２^ｎ
   に±ｃ＋ｔφ＋φ^２（φはフロベニウス写像、ｔはトレ
   ース）を代入することにより、前記点Ｇの２ⁿ倍（＝２ⁿ
   Ｇ）を事前計算する第２の事前計算手段と、 前記倍数ｋを２¹Ｇ〜２nＧの項を含んでＮＡＦ展開する
   ＮＡＦ展開手段と、 前記ＮＡＦ展開手段によりＮＡＦ展開された倍数ｋに、
   前記第１及び第２の事前計算手段による事前計算結果
   （２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）を乗じて
   倍数演算ｋＧを実行し、得られた結果ｋＧを出力する倍
   数演算手段とを備えたことを特徴とする楕円曲線演算装
   置。
4. 【請求項４】 請求項３に記載の楕円曲線演算装置にお
   いて、 前記倍数ｋ，前記点Ｇ及び素数ｐが入力されたとき、前
   記点Ｇをｎビット単位の形式に表現し、前記点Ｇの２
   ^ｎrに−Ｃ_ｘ＋ｔφ＋φ^２（Ｃ_ｘは（２^ｎ±ｃ） ^ｒを展
   開して得られた多項式データのうち、２^nrの項を除いた
   各項のデータ）を代入することにより、前記点Ｇの２^nr
   倍（＝２^nrＧ）を事前計算する第３の事前計算手段を備
   え、 前記楕円曲線が前記有限体Ｆ_pを含む拡大体Ｆpⁿ上で定
   義されたとき、 前記ＮＡＦ展開手段は、２^nrＧの項をも含んで前記ＮＡ
   Ｆ展開を実行し、 前記倍数演算手段は、前記倍数演算ｋＧを前記第３の事
   前計算手段により得られた２^nrＧをも用いて実行するこ
   とを特徴とする楕円曲線演算装置。
5. 【請求項５】 ｐ個の要素からなる有限体Ｆ_p上で定義
   された楕円曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋ
   Ｇを実行可能な楕円曲線演算装置に用いられるコンピュ
   ータ読取り可能な記憶媒体であって、 前記楕円曲線演算装置のコンピュータを、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、
   倍数ｋのビット数ｎ_kが所定の範囲（ｎ＜ｎ_k＜２ｎ）に
   あるか否かを判定する倍数判定手段、 前記倍数判定手段による判定結果が前記所定範囲にある
   旨を示すとき、前記倍数ｋをｎビット単位の形式（２^ｎ
   Ｃ＋Ｄの形式；Ｃ，Ｄはｎビットの数）に表現すると共
   に、前記倍数ｋの２^ｎに±ｃ＋ｔφ＋φ^２（φはフロベ
   ニウス写像、ｔはトレース）を代入し、前記代入結果を
   展開してφ以外の項及びφの一次の項の係数を夫々ｎビ
   ット単位で表現し、前記代入と展開との処理を複数回繰
   返してφ進展開を実行するφ進展開手段、 前記φ進展開手段によりφ進展開された倍数ｋに前記点
   Ｇ（ｘ，ｙ）のデータを乗じて倍数演算ｋＧを実行し、
   得られた結果ｋＧを出力する倍数演算手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
6. 【請求項６】 ｐⁿ個の要素からなる拡大体Ｆ_pn上で定
   義された第１型の楕円曲線上における点Ｇ（ｘ，ｙ）の
   倍数演算ｋＧを実行可能な楕円曲線演算装置に用いられ
   るコンピュータ読取り可能な記憶媒体であって、 前記楕円曲線演算装置のコンピュータを、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、
   倍数ｋのビット数ｎ_kが所定の範囲（ｎ＜ｎ_k＜２ｎ）に
   あるか否かを判定する倍数判定手段、 前記倍数判定手段による判定結果が前記所定範囲にある
   旨を示すとき、前記倍数ｋをｎビット単位の形式（２^ｎ
   Ｃ＋Ｄの形式；Ｃ，Ｄはｎビットの数）に表現すると共
   に、前記倍数ｋの２^ｎに±ｃ＋ｔφ＋φ^２（φはフロベ
   ニウス写像、ｔはトレース）を代入し、前記代入結果を
   展開してφ以外の項及びφの一次の項の係数を夫々ｎビ
   ット単位で表現し、前記代入と展開との処理を複数回繰
   返してφ進展開を実行するφ進展開手段、 前記第１型の楕円曲線を第２型の楕円曲線（Ｂｙ^２＝ｘ
   ^３＋Ａｘ^２＋ｘ；Ａ，Ｂは任意の数）に変換可能か否か
   を判定する判定手段、 前記判定手段による判定結果が変換可能を示すとき、前
   記点Ｇ（ｘ，ｙ）のデータを前記第２型の楕円曲線上の
   点Ｇmに変換する変換手段、 前記変換手段により点Ｇmが得られたとき、前記φ進展
   開手段によりφ進展開された倍数ｋを２＊ｋ₀とその残
   りｋ₁との各成分で表現し（ｋ＝２＊ｋ₁＋ｋ₀）、各成
   分ｋ₀，ｋ₁毎に前記点Ｇmを倍数演算して点Ｐ（＝ｋ₀Ｇ
   m＋ｋ₁Ｇm），Ｑ（＝ｋ₁Ｇm）を求め、各点Ｐ，Ｑのｘ
   座標から点ｋＧm（＝Ｐ＋Ｑ）を算出する第２型の倍数
   演算手段、 前記第２型の倍数演算手段により得られた点ｋＧmのデ
   ータを前記第１型の楕円曲線上の点ｋＧのデータに逆変
   換し、得られた結果ｋＧを出力する逆変換手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
7. 【請求項７】 ｐ個の要素からなる有限体Ｆ_p上で定義
   された楕円曲線上における点Ｇ（ｘ，ｙ）の倍数演算ｋ
   Ｇを実行可能な楕円曲線演算装置に用いられるコンピュ
   ータ読取り可能な記憶媒体であって、 前記楕円曲線演算装置のコンピュータを、 前記倍数ｋ，前記点Ｇ及び素数ｐ（＝２ⁿ±ｃ；ｎはビ
   ット数、ｌｏｇ₂（ｃ）≦ｎ／２）が入力されたとき、j
   =1〜n-1の点Ｇの２^j倍（＝２¹Ｇ，２²Ｇ，２³Ｇ，…，
   ２^n-1Ｇ）を事前計算する第１の事前計算手段、 前記倍数ｋ，前記点Ｇ及び前記素数ｐが入力されたと
   き、前記点Ｇをｎビット単位の形式（２^ｎＣ＋Ｄの形
   式；Ｃ，Ｄはｎビットの数）に表現し、前記点Ｇの２^ｎ
   に±ｃ＋ｔφ＋φ^２（φはフロベニウス写像、ｔはトレ
   ース）を代入することにより、前記点Ｇの２ⁿ倍（＝２ⁿ
   Ｇ）を事前計算する第２の事前計算手段、 前記倍数ｋを２¹Ｇ〜２nＧの項を含んでＮＡＦ展開する
   ＮＡＦ展開手段、 前記ＮＡＦ展開手段によりＮＡＦ展開された倍数ｋに、
   前記第１及び第２の事前計算手段による事前計算結果
   （２Ｇ，２²Ｇ，２³Ｇ，…，２^n-1Ｇ，２ⁿＧ）を乗じて
   倍数演算ｋＧを実行し、得られた結果ｋＧを出力する倍
   数演算手段、 として機能させるためのプログラムが記憶されたコンピ
   ュータ読取り可能な記憶媒体。
8. 【請求項８】 請求項７に記載のコンピュータ読取り可
   能な記憶媒体において、 前記楕円曲線演算装置のコンピュータを、 前記倍数ｋ，前記点Ｇ及び素数ｐが入力されたとき、前
   記点Ｇをｎビット単位の形式に表現し、前記点Ｇの２
   ^ｎrに−Ｃ_ｘ＋ｔφ＋φ^２（Ｃ_ｘは（２^ｎ±ｃ） ^ｒを展
   開して得られた多項式データのうち、２^nrの項を除いた
   各項のデータ）を代入することにより、前記点Ｇの２^nr
   倍（＝２^nrＧ）を事前計算する第３の事前計算手段、と
   して機能させるためのプログラムが記憶され、且つ、 前記楕円曲線が前記有限体Ｆ_pを含む拡大体Ｆpⁿ上で定
   義されたとき、 前記ＮＡＦ展開手段には、２^nrＧの項をも含んで前記Ｎ
   ＡＦ展開を実行させ、 前記倍数演算手段には、前記倍数演算ｋＧを前記第３の
   事前計算手段により得られた２^nrＧをも用いて実行させ
   る、 ためのプログラムが記憶されたコンピュータ読取り可能
   な記憶媒体。