JP2001526416A - 楕円曲線暗号化演算の最適化用変換方法 - Google Patents

Abstract

(57)【要約】 本発明は、楕円曲線暗号化、復号化及び署名機能を含む楕円曲線暗号化システムの最適化されたハードウェア及びソフトウェア的実装を可能にする一つの変換方法、を提供する。この変換方法は、任意の体Ｆ上で定義された任意の楕円曲線群Ｇに対して適用可能である。特に本発明は計算Ｑ＝ｅＰから構成される楕円曲線点乗算演算の高速化を特徴とするものであり、ここにＰは楕円曲線群Ｇのメンバでありｅは整数である。この変換方法によると、一旦メンバＰ＝（ｘ，ｙ）を点Ｐ’＝（ｘ’，ｙ’）に変換してからＱ’＝（ｕ，ｖ）＝ｅＰ’の計算を実行することによりこの高速化は実現される。変換後のこの点Ｐ’は必ずしも楕円曲線上の点ではないが、点Ｐ’上でこの計算ｅＰ’を実行して次に計算結果のＱ’を楕円曲線群Ｇ内に逆変換してＱを求めることにより、Ｑの計算がＱの直接計算の採用よりもより効率的になる。本発明は又、体Ｆの効率的な使用を可能にする変換方法を介することにより、有限体算術演算における任意の計算式を含む暗号化演算の計算を最適化する方法を含む。本発明は又、任意の有限体における任意の有限体計算を最適化する方法を含む。本発明又、以前には限定された特殊例にのみ適用可能であった他の既知技法の使用を可能にする暗号化計算に対する一組の変換を教示する。

Description

【発明の詳細な説明】

【０００１】 （技術分野） 本発明は、楕円曲線暗号化システムのソフトウェア的及びハードウェア的実装
（又は実施）に関する。特に本発明は一般に計算演算を必要とする楕円曲線暗号
化システムに関し、この計算演算は有限体（finite field）内での有限個数の任
意の体演算（field operations）を含むものである。

【０００２】 （背景技術） 情報を基盤とする現代社会において、大域的（グローバル）なコンピュータネ
ットワークに対するセキュリティの必要性は益々焦眉の課題となりつつある。暗
号化システムは、プライバシー、信用、アクセス制御に対する守秘用システムの
構築に使用される基本的な道具である。こうしたプライバシー、信用、アクセス
制御の守秘は、特に電子商取引、企業セキュリティ、知的所有権のディジタル形
態的な販売、及び国家セキュリティ、等の広範囲の領域に及んでいる。

【０００３】 「公開鍵」暗号化システムは、以前にデータを相互に交換したことがない複数
のエンティティ（即ち、人間か又はコンピュータシステム）間における機密保護
された情報の交換が要求されるシステムにおいて、必要とされる本質的な機能を
提供するものである。インターネットを含めた現代的な情報システムの大部分は
、このタイプのシステムに属する。一例として、ある消費者がオンライン上の特
定の業者と過去に一回も接触したことがなくても、このシステムによればその彼
又は彼女はその業者から商品をこうした安全な仕方で購入し得るはずである。暗
号化、復号化、ディジタル署名、及び署名検証、等の機能の提供を通じて、公開
鍵暗号化システムはこうした安全な購入を可能にする。公開鍵暗号化システムに
おいては、他者からの機密保護されたメッセージの受信に関心を払うエンティテ
ィは、彼又は彼女の「公開鍵」を公開する。これらの他者は、その公開鍵を用い
て彼等がエンティティに送付するメッセージを暗号化する。これらの暗号化され
たメッセージは「秘密鍵」を用いてのみ復号化可能であり、この秘密鍵を知って
いる存在は唯一エンティティのみである。又、エンティティはこの秘密鍵を用い
て一連のデータにディジタル的に「署名する」ことができる。翻って他者は公開
鍵を用いてこの署名を検証し、このデータが実際にその署名エンティティにより
署名されたことを確認できる。

【０００４】 公開鍵暗号化システムのセキュリティは、秘密鍵をその対応する既知の公開鍵
から導出する困難度に依存する。秘密鍵の数学的な導出が複雑で困難であればあ
るほど、対応する秘密鍵を「推測する」ことにより公開鍵を「破る」、という作
業に関してコンピュータは益々時間を要するわけである。今日最も普通に使用さ
れている公開鍵暗号化システムは、ＲＳＡ公開鍵暗号化システムである。このＲ
ＳＡシステムの公開鍵と秘密鍵の間の関係は、長大な合成整数の因数分解という
数学によって支配される。ＲＳＡシステムの公開鍵と秘密鍵は、二進のビットパ
ターンとして表現された長大な整数である。ある公開鍵が長ければ長いほどそれ
は難度が高く、対応する秘密鍵を導出することによりその公開鍵を破る、という
作業に関してコンピュータは益々時間を要するわけである。例えば、因数分解ア
ルゴリズムと分散型電算処理における現代の進歩により、４００ビットの長さの
ＲＳＡ公開鍵を破る作業が可能になった。しかしながら、現在入手可能な電算処
理リソースをもってしては、１０２４ビット又は２０４８ビットの長さのＲＳＡ
公開鍵を破る作業は実質的には不可能と考えられている。許容レべルのセキュリ
ティを維持する為に、現代的な公開鍵暗号化システムはより長いＲＳＡ公開鍵を
採用してきた。より長い公開鍵の使用に基づく公開鍵暗号化の実行の為には、よ
り多くの電算処理リソースが要求される。従って、より短い公開鍵の使用でこう
した長い公開鍵が提供するのと同一レべルのセキュリティを提供し得る、ＲＳＡ
公開鍵暗号化システムに対して代替的な公開鍵暗号化システムの利用が経済的観
点からは理想である。

【０００５】 最近１０年間に、楕円曲線暗号化（「ＥＣＣ」）システムがこうした代替的な
効率的暗号化システムの候補として登場してきた。ＥＣＣは、ＲＳＡ鍵の６分の
１の長さの鍵でＲＳＡと同一レべルのセキュリティを提供する。しかしながら現
在に至るまで、ＥＣＣの実際のソフトウェア実装は余りに非効率な性格のもので
あり商業的に成立不能である。商業的に成立可能である為には、そのハードウェ
ア及びソフトウェア実装の低コスト化においては勿論その速度においても、ＲＳ
Ａと匹敵する機能をＥＣＣは可能にする必要がある。こうした効率的ＥＣＣが実
現されれば、構想中である多くの現代的な暗号化システムの実装が可能になる。 こうした現代的暗号化システムの実装は、この効率的ＥＣＣの実現なくしては
経済的に不可能であろうと思われる。こうした理由で学界と産業界の双方におい
て、効率的ＥＣＣの実装に向けて多大の研究が集中されてきた。効率的ＥＣＣの
実装に向けた最も普通のアプローチを以下に簡単に説明する。

【０００６】 公開鍵暗号化の実行の為に、ＥＣＣシステムは数学上で「楕円曲線」と呼ばれ
る「群」の固有の特性を利用する。楕円曲線は、数学上の「体（フィールド）」
概念と関連し且つこの体「上で構成される」群である。有限体ならば如何なるも
のでも一つの楕円曲線の構成の為に選択され得るが、この有限体を精確に選択し
ないとこの構成される楕円曲線の性質とこの楕円曲線内で定義される「演算」を
表現するコンピュータ実装の効率に重大な影響がもたらされる。ＥＣＣの実装に
使用され得る全ての演算の内で最も計算的に複雑で且つ困難なものの一つに、「
楕円曲線点乗算演算」として知られる演算がある。この楕円曲線点乗算演算はｅ
Ｐの計算を要求するものであり、ここにＰは楕円曲線上における「点」でありｅ
は正の整数である。この演算は、暗号化、復号化、乱数生成、鍵交換、ディジタ
ル署名、及び署名検証を含む多くの楕円曲線暗号化機能に関して中心的な役割を
担うものである。

【０００７】 どのカテゴリの体がＥＣＣの実装用に使用された際に最良の選択を与えるのか
という問題に関して、最近１０年間に暗号化システムの関係者間で討論が為され
た。ＧＦ（ｐ）及びＧＦ（２^k）と呼ばれる体の二つの基本的なカテゴリが、楕 円曲線暗号化用の体の国際規格として米国電気電子学会（ＩＥＥＥ）により選択
された。学界と産業界による今日の研究の大部分は、ＧＦ（ｐ）か又はＧＦ（２ ^k ）のいずれか一方上でのＥＣＣの実装という方向に集中されている。しかしな がら、暗号化の為のＧＦ（ｐ）か又はＧＦかという選択の正確な利点と不利点は
、現段階では明確には理解されていない。更に、ＧＦ（ｐ）とＧＦ（２^k）の双 方ともその内部に無数の特定の個別メンバ体を含む。各個別メンバ体は、ＥＣＣ
実装の計算特性に影響する固有の性質を有する。更に、ＧＦ（ｐ）か又はＧＦ（
２^k）内に一個の特定の個別メンバ体を与えると、多数の楕円「曲線」がこのメ ンバ体上で構成され得る。これらの曲線の選択も又、ＥＣＣ実装の計算結果特性
に影響する。

【０００８】 効率的ＥＣＣの実装を目的とした従来の試みは、ＧＦ（２^k）か又はＧＦ（ｐ ）内における「特殊な」数学的又は計算的性質を有する特定の個別メンバ体の発
見か、又はそうした個別メンバ体上で定義される特定の楕円曲線の発見、のいず
れか一方に通常基づいていた。これらの特殊な数学的又は計算的性質はＥＣＣの
実装計算の最適化に利用された。このアプローチは全ての体に対する効率的ＥＣ
Ｃの実装を試みるものではない。むしろこのアプローチはある一個の特定の体を
注意深く選択して、効率的ＥＣＣの実装計算を実行する為の特殊な数学的又は計
算的技法を用意するものである。

【０００９】 このアプローチの例はアグニュー等による提案で、「正規ベース」と呼ばれる
方法を利用しＧＦ（２^k）内の複数個の特定体において高速ＥＣＣを実装する。 学界と産業界による研究の大部分はＧＦ（２^k）内の体に対する「多項式ベース 」と呼ばれるこれと代替的な方法の利用に集中されているが、ＧＦ（２^k）内の ６個の特定体における正規ベースの利用によりＥＣＣの特定の実装の商業化が可
能になった。このアプローチの一つの不利点は、鍵の長さがこれらの６個の特定
体により許容される６個の値に限定されてしまうことである。

【００１０】 （数学的背景技術） この節では、本明細書で使用される数学用語のリストを提供する。本発明の方
法論を理解するのに有用な幾つかの重要な基本概念も又、この節で簡単に説明す
る。この節における説明は数学的な正確性とか厳密性を意図したものではない。

【００１１】 集合 「集合」とは、数学的及び物理的対象を含めた何らかの対象の集りを指す。し
ばしば集合は、これらの対象を書き並べ更にコンマで分離したリストを渦巻き括
弧で囲むことにより、印刷上表現される。例えば、Ｆが７より小なる全ての非負
整数の集合を表すとする。するとこの集合は、Ｆ＝｛０，１，２，３，４，５，
６｝と書ける。ある集合に属するある対象は、その集合の「メンバ」即ち「元（
エレメント）」である。他の例を挙げると、Ｆが全ての４次多項式の集合を表し
、ｐ（ｘ）が特定の多項式ｘ⁴＋ｘ²−ｘ＋１を表すとする。ｐ（ｘ）は４次多項
式であるからこの場合ｐ（ｘ）はＦの元である。数学的速記法ではｐ（ｘ）∈Ｆ
と表され、ここに記号「∈」は「属する」又は「のメンバである」と通常読まれ
る。ある特定集合Ｓの各々全ての元が他の集合Ｆのある元である場合、集合Ｓは
集合Ｆの「部分集合」である。これは速記記号でＳ⊂Ｆと表される。例えば、｛
５，１，３｝⊂｛０，１，２，３，４，５，６｝、である。記号「⊂」は、「の
部分集合である」と読まれる。あらゆる集合はそれ自身の部分集合である。即ち
、任意集合Ｓに対して、Ｓ⊂Ｓである。

【００１２】 写像（マッピング） 「写像」とは、ある集合の各メンバを他の集合の特定メンバに対応させる対応
関係を指す概念である。例えば、全人間の集合の各メンバをその各人間の年齢を
表す整数に「写像させる」対応関係として、写像Ｔを定義できる。例えば、仮に
トムが３２歳であるならば、Ｔ（トム）＝３２と記すことにより写像Ｔが人間ト
ムと整数３２の間に成立させる対応関係を表現する。３２は、写像Ｔの「下での
」トムの「像」と呼ばれる。

【００１３】 他の例を挙げると、ｐを素数とし、ｎが任意の非負整数を表し、ｒがｎをｐで
割った際の整数剰余を表すとする。この関係は数学的速記法では、ｒ＝ｎ mod ｐと表される。例えば、ｐ＝７でｎ＝１５の場合ならば、ｒ＝１５mod７＝１ となり、１５＝２・７＋１であるから１とは１５を７で割った際の整数剰余であ
る。全ての非負整数の集合Ｎ＝｛０，１，２，３，．．．｝と集合Ｒ＝｛０，１
，２，３，４，５，６，７，８｝との間に、以下のように写像Ｔを構成し得る。
即ち、ｐ＝７とし且つｎが任意の非負整数を表す（即ちｎ∈Ｎ）として、Ｔ（ｎ
）＝ｒ＝ｎ mod ｐと仮定することにより写像Ｔを構成する。従ってこの場合 、例えばＴ（３７）＝ｒ＝３７mod７＝２となる。ｎがどのような値を取るかに 無関係にＴ（ｎ）は７以下の整数となることに注意せよ。換言すれば、任意のｎ
∈Ｎに対してＴ（ｎ）∈Ｒとなる。Ｔは集合Ｎを集合Ｒ「内に」写像する、と規
約上表現される。これは速記法ではＴ：Ｎ→Ｒと表され、「Ｔは集合Ｎから集合
Ｒ内への写像である」と読まれる。Ｎは写像Ｔの「領域」と呼ばれ、一方Ｒは写
像Ｔの「範囲」と呼ばれる。

【００１４】 写像Ｔの下での集合Ｎの「像」はＲの一意の部分集合であり、この部分集合は
その各々全ての元がＮの少なくとも一個の元の像であるものである。換言すれば
、集合ＦがＴの下での集合Ｎの像を表すならば、任意元ｙ∈Ｆを考えた場合にＴ
（ｘ）＝ｙを満足する少なくとも一個の元ｘ∈Ｎが存在する。任意正整数を７で
割った際の剰余は０乃至６の内の一つの整数であるから、上記例におけるＴの下
でのＮの像は集合Ｆ＝｛０，１，２，３，４，５，６｝である。Ｆ⊂Ｒ（Ｒ＝｛
０，１，２，３，４，５，６，７，８｝であることを想起せよ）であるからＮの
元はＦの外部にあるＲの如何なる元にも写像されず、ＴはＮからＦへの写像でも
ある。換言すれば、Ｔ：Ｎ→Ｆである。Ｆの各々全てのメンバがＴの下でＮのあ
る元の像であるから、ＴはＮをＦ「上に」写像する、と表現される。「変換」と
言う用語が時として写像を指す為に使用される。

【００１５】 集合演算 「順序付けペア」とは何らかの対象の組を成した対を指す数学的概念で、その
対のどの対象が「第一の」元でありどの対象が「第二の」元であるかを常に把握
しておく必要がある概念である。例えば、夫と妻の全てのペアの集合は順序付け
ペアの集合である。この順序付けペアのメンバは記号（ｘ，ｙ）で表され、ここ
にｘは全ての夫の集合の元でありｙは全ての妻の集合の元である。ＸとＹを任意
の集合とする。集合ＸとＹの「クロス乗積（cross product）」とは、全ての順 序付けペアの集合で且つその第一元がＸの元でその第二元がＹの元である集合、
である。数学的記法ではＸとＹのクロス乗積はＸ×Ｙと表され、全ての順序付け
ペア（ｘ，ｙ）（ｘ∈Ｘ、ｙ∈Ｙ）の集合として定義される。一例として、Ｘ＝
｛０，１｝、Ｙ＝｛０，１，２｝の場合には、Ｘ×Ｙ＝｛（０，０），（０，１
），（０，２），（１，０），（１，１），（１，２）｝、となる。

【００１６】 任意集合Ｓに対して、Ｓ×ＳからＳへの写像はＳ内で定義される「二元集合演
算（binary set operation）」と呼び得る（二元という用語は、この写像の領域
の各元が順序付けペアであるという事実を強調している）。例えば、集合Ｆ＝｛
０，１，２，３，４，５，６｝とする。次に、以下のように写像Ｔ：Ｆ×Ｆ→Ｆ
を構成する。即ち、任意の順序付けペア（ｘ，ｙ）∈Ｆ×Ｆ（ｘ∈Ｆ、ｙ∈Ｆ）
に対して写像Ｔの下での順序付けペア（ｘ，ｙ）の像を式（ｘ＋ｙ）mod７の計 算結果の整数に等しいと仮定する、ことにより写像Ｔを構成する。換言すれば、
Ｔ（（ｘ，ｙ））＝（ｘ＋ｙ）mod７と仮定する。写像Ｔの範囲は実際に集合Ｆ であることを確認するのは比較的簡単で、例えば、Ｔ（（４，６））＝（４＋６
）mod７＝１０mod７＝３であることから確認される。式（ｘ＋ｙ）mod７の計算 結果の整数は７による割り算の整数剰余に他ならないので、ｘ＋ｙの値に無関係
に０乃至６の内の一つの整数であり即ちＦの一つのメンバである。従って、写像
Ｔは集合Ｆ内で定義される二元集合演算である。

【００１７】 ある二元演算Ｔを利用する際には、Ｔ（（ｘ，ｙ））は利便性の為にしばしば
ｘ・ｙと表記される。記号「・」は「二元演算子（binary operator）」と呼ば れ二元演算Ｔを表す為に用いられる。例えばＴの上記定義を仮定した場合、Ｔ（
（４，６））＝３と書く代わりに４・６＝（４＋６）mod７＝３と書くことにな る。他の記号も又二元演算子記号として使用し得る。通常使用されるそうした他
の二つの記号として、＋と

【外２０】 がある。二元演算は順序付けペアを集合Ｓの他のメンバに写像するが、この順序
付けペアを構成する集合Ｓの二個のメンバは二元演算における「オペランド」で
ある。翻って、二元演算はオペランドに「作用する」と言われる。例えば、式４
・６＝３においてオペランドは４と６である。

【００１８】 群 「群」とは、その内部で以下の三条件が満足されるように二元演算「・」が定
義された集合Ｇ、を指す。 （i） 任意のｘ，ｙ，ｚ∈Ｇに対して、ｘ・（ｙ・ｚ）＝（ｘ・ｙ）・ｚが 成立する。これは群の結合性として知られている。 （ii） 全てのｘ∈Ｇに対して、ｘ・Ｉ＝Ｉ・ｘ＝ｘとなる一意元Ｉ∈Ｇが存
在する。元ＩはＧにおける「単位」元と呼ばれる。 （iii） 任意のｘ∈Ｇに対して、ｘ・ｘ^-1＝Ｉとなる元ｘ^-1∈Ｇが存在する 。元ｘ^-1は二元演算・の下でのｘの「逆」元と呼ばれる。 二元演算・は「群演算」とも呼ばれる。集合Ｇを群ならしめるのはＧ内で定義さ
れたこの群演算の存在である。実際、集合Ｇは群演算・の下で群と呼ばれる。「
アーベル」（Abelian）群Ｇとは、任意のｘ，ｙ∈Ｇに対してｘ・ｙ＝ｙ・ｘが 成立する群Ｇを指す。

【００１９】 アーベル群の一例として、全ての元ｘ，ｙ∈Ｆに対して式ｘ・ｙ＝（ｘ・ｙ）
mod７により二元演算・がその内部で与えられた（即ち定義された）集合Ｆ＝｛ １，２，３，４，５，６｝、を考える（第二の「・」は整数乗算に関する通常の
演算を表す）。集合Ｆはこの「乗算演算」の下で群となることが結局分る。これ
を例証する為に、元ｘ，ｙ∈Ｆの全ての可能な組み合わせに対する式ｘ・ｙ＝（
ｘ・ｙ）mod７の値を含む表１を以下に作成する。この表を用いてｘ・ｙの値を 捜し出す為には、名札がｘの値である行と名札がｙの値である列の交差点にある
部屋の中の値を見れば良い。

【表１】

【００２０】 一例として、ｘ＝５且つｙ＝６の場合ならば表はｘ・ｙ＝２を与える。この正
当性を検証する為には、ｘ・ｙ＝５・６＝（５・６）mod７＝３０mod７＝２、を
計算してみれば良い。

【００２１】 上記の二元演算・の定義と集合Ｆに関して、集合Ｆが群であることを検証する
作業は上記の条件（i）、（ii）、（iii）が満足されていることを検証する作業
と同等である。即ち、 （i） 条件（i）はｘ・（ｙ・ｚ）＝（ｘ・ｙ）・ｚの成立を要求する。例え
ばｘ＝３、ｙ＝５及びｚ＝２の場合を用いて、３・（５・２）＝３・（５・２）
mod７＝３・（１０mod７）＝３・３＝（３・３）mod７＝９mod７＝２、及び（３
・５）・２＝（（３・５）mod７）・２＝（１５mod７）・２＝１・２＝（１・２
）mod７＝２mod７＝２、が計算される。従って、３・（５・２）＝（３・５）・
２である。 （ii） 表１は上記群演算・の下でのＦの単位元は１であることを例証してい
ている。その理由は、表が示すように全てのｘ∈Ｆに対して、ｘ・１＝１・ｘ＝
１ となるからである。 （iii） 表１を使用して、Ｆの各元ｘの逆元ｘ^-1（ただしｘ・ｘ^-1＝１）の 値が以下のように導出できる。即ち、１^-1＝１、２^-1＝４、３^-1＝５、４^-1＝３
、５^-1＝３、及び６^-1＝１である。 （iv） 表１を調べると又、全てのｘ，ｙ∈Ｆに対してｘ・ｙ＝ｙ・ｘが成立
することが確認される。従って、集合Ｆは上記の乗算演算の下でのアーベル群で
ある。

【００２２】 記号＋がＦ内の上記群演算を表す為に時として使用される。そのような場合に
は、群演算＋の下での元ｘ∈Ｆの逆元はｘ^-1よりむしろ−ｘにより表記される。
アーベル群の他の例として、全ての元ｘ，ｙ∈Ｆに対して式ｘ＋ｙ＝（ｘ＋ｙ）
mod７により群演算＋がその内部で与えられた（即ち定義された）集合Ｆ＝｛０ ，１，２，３，４，５，６｝、を考える（第二の「＋」は整数加算に関する通常
の演算を表す）。集合Ｆはこの「加算演算」の下で群となることが結局分る。こ
れを例証する為に、元ｘ，ｙ∈Ｆの全ての可能な組み合わせに対する式ｘ＋ｙ＝
（ｘ＋ｙ）mod７の値を含む表２を以下に作成する。

【表２】

【００２３】 一例として、ｘ＝５且つｙ＝６の場合ならば表はｘ＋ｙ＝４を与える。この正
当性を検証する為には、５＋６＝（５＋６）mod７＝１１mod７＝４、を計算して
みれば良い。

【００２４】 上記の群演算＋の定義と集合Ｆに関して、集合Ｆが群であることを検証する作
業は上記の条件（i）、（ii）、（iii）が満足されていることを検証する作業と
同等である。即ち、 （i） 条件（i）が成立する例として、例えば、（３＋５）＋２＝（（３＋５
）mod７）＋２＝（８mod７）＋２＝１＋２＝（１＋２）mod７＝３mod７＝３、及
び３＋（５＋２）＝３＋（（５＋２）mod７）＝３＋（７mod７）＝３＋０＝（３
＋０）mod７＝３mod７＝３、が計算される。従って、（３＋５）＋２＝３＋（５
＋２）である。 （ii） 表２は群演算＋の下でのＦの単位元は０であることを例証していてい
る。その理由は、表が示すように全てのｘ∈Ｆに対して、ｘ＋０＝０＋ｘ＝０と
なるからである。 （iii） 表２を使用して、Ｆの各元ｘの逆元−ｘ（ただしｘ＋（−ｘ）＝０ ）の値が以下のように導出できる。即ち、−０＝０、−１＝６、−２＝５、−３
＝４、−４＝３、−５＝２、及び−６＝１である。 （iv） 表２を調べると又、全てのｘ，ｙ∈Ｆに対してｘ＋ｙ＝ｙ＋ｘが成立
することが確認される。従って、集合Ｆは上記の加算演算の下でのアーベル群で
ある。

【００２５】 体 「体」とは、その内部で以下の条件が満足されるように二つの二元集合演算＋
と・が定義された集合Ｆ、を指す。 （i） Ｆは上記の演算＋の下でのアーベル群である。演算＋は体の「加算演 算」と呼ばれる。加算演算の下での体の単位元は０と表記される。任意の元ｘ∈
Ｆに対して体の加算演算の下でのｘの逆元は−ｘと表記され、−ｘはｘの「加算
逆元」と呼ばれる。 （ii） 仮に集合Ｆから０を捨象した場合、残余の集合は上記の演算・の下で
のアーベル群となるであろう。演算・は体の「乗算演算」と呼ばれる。乗算演算
の下での体の単位元は、１と表記され０とは別個のＦの元である。任意の元ｘ∈
Ｆに対して体の乗算演算の下でのｘの逆元はｘ^-1と表記され、ｘ^-1はｘの「乗算
逆元」と呼ばれる。 （iii） 任意の元ｘ∈Ｆに対して、ｘ・０＝０・ｘ＝０となる。 （iv） 任意のｘ，ｙ，ｚ∈Ｆに対して、ｘ・（ｙ＋ｚ）＝（ｘ・ｙ）＋（ｘ
・ｚ）が成立する。これは体の「分配性」として知られている。

【００２６】 体の一例は、全ての元ｘ，ｙ∈Ｆに対して式ｘ＋ｙ＝（ｘ＋ｙ）mod７により 加算演算＋が定義され且つ式ｘ・ｙ＝（ｘ・ｙ）mod７により乗算演算・が定義 された集合Ｆ＝｛０，１，２，３，４，５，６｝、である。集合Ｆはこれらの加
算及び乗算演算の下で体を成すことが結局分る。この事実を証明する為には、上
記の４条件が満足されていることを示すことが必要である。条件（i）、（ii） は満足されていることが前節において示された。条件（iii）は以下の表３から 明白である。

【表３】

【００２７】 条件（iv）が成立する例として、例えば、３・（５＋６）＝（３・５）＋（３
・６）の成立を示す。実際、３・（５＋６）＝（３・（（５＋６）mod７））mod
７＝（３・（１１mod７））mod７＝（３・４）mod７＝１２mod７＝５であり、一
方又、（３・５）＋（３・６）＝（（（３・５）mod７）＋（（３・６）mod７）
）mod７＝（（１５mod７）＋（１８mod７））mod７＝（１＋４）mod７＝５mod７
＝５であるから、３・（５＋６）＝（３・５）＋（３・６）である。

【００２８】 ある体Ｆが有限個数の元を有する場合、この体Ｆは「有限体」である。上記の
体ＦはＧＦ（ｐ）として知られる有限体類の特殊例であり、ここにｐは任意の素
数である。特定の素数ｐに対してＧＦ（ｐ）はｐより小なる非負整数の集合｛０
，１，...，ｐ−１｝として定義され、ｐを法とする整数加算により与えられる 加算演算＋とｐを法とする整数乗算により与えられる乗算演算・により随伴され
る。上記例で用いた体Ｆは体ＧＦ（７）である。

【００２９】 体算術演算 体という数学的概念は、馴染み深い「有理」数概念の抽象化に他ならない。分
子、分母が共に０以外の整数である分数として表現され得る全ての数を考えると
、有理数とはこれらの数を同伴した全ての整数の集合である。実際の所、全ての
有理数の集合は分数の加算及び乗算という通常の演算の下で体を成すことが示さ
れる。従って、算術演算に関する共通した数学的技法が体というより抽象的な領
域にも持ち込まれてきた。特定の体Ｆに対してその定数と変数が「この体に由来
する」（即ちＦのメンバである）「有効な」計算式と方程式（arithmetic expre
ssions and equations）を書き下してそれらを値評価（evaluation）することが
、体の数学的な理論を用いて可能になった。

【００３０】 例えば、方程式ｙ＝（２・ｘ）＋１を考える。この方程式を満足する有理数の
全ての順序付けペア（ｘ，ｙ）の集合は、（０，１），（２，５），（４，９）
，及び（３．４５，７．９）のような元を含む。しかしながらこの方程式中の定
数２及び１は体ＧＦ（７）のメンバでもあるので、「計算式」（２・ｘ）＋１「
自体」は体ＧＦ（７）においても有効な計算式である。従って、この計算式中の
ｘに代入される値がＧＦ（７）のメンバである限り、この計算式はＧＦ（７）の
有効なメンバに対しては「値評価される」ことが保証されている。かような理由
で、上記方程式自体は体ＧＦ（７）においても又有効な方程式である。実際、こ
の方程式に対する全ての「解」の集合（即ちＧＦ（７）においてこの方程式を満
足する全ての順序付けペアの集合）は、｛（０，１），（１，３），（２，５）
，（３，０），（４，２），（５，４），（６，６）｝、に等しい。

【００３１】 より複雑な計算式を用いる作業を容易化する為に、二、三の数学的速記法が体
算術演算では利用される。任意の体Ｆ、任意の元ｘ∈Ｆ、及び任意の正整数ｋに
対して、式ｘ^kは、Ｆにおける上記乗算演算を用いてｘがそれ自身によりｋ回乗 算された結果として得られるＦの一意元を表す。換言すればｘ^k＝ｘ・ｘ・...・
ｘであり、この式中にｋ−１個の・演算子が存在する。規約上Ｘ⁰は１に等しい と定義する。

【００３２】 任意整数ｋとＦ内の任意元ｘに対して、式ｋｘは、Ｆにおける上記加算演算を
用いてｘがそれ自身にｋ回加算された結果として得られるＦの一意元を表す。換
言すればｋｘ＝ｘ＋ｘ＋...＋ｘであり、この式中にｋ−１個の＋演算子が存在 する。

【００３３】 Ｆ内の定数ｃとＦ上で定義された変数ｘに対して、式ｃ・ｘは通常ｃｘと書か
れる。更に、Ｆの二個の元ｘ、ｙに対して、式ｘ＋（−ｙ）は通常式ｘ−ｙと書
かれる。

【００３４】 体Ｆ及びＦ内の任意元ｘに対して、ｘの加算逆元−ｘ又はｘの乗算逆元ｘ^-1を
計算する作業は計算的に複雑で且つ困難な作業になり得る。ｘの逆元を計算する
この作業を一つの集合演算と見なすことが可能である。一つの集合Ｓ内で定義さ
れるこの「一元集合演算（unary set operation）」ＴはＳからＳ上への写像で ある。一元（unary）という用語は、上記の二元集合演算（binary set operatio
ns）と異なりＴの領域はＳの単一の個別メンバから構成される、という事実を強
調するものである。さてＳの任意元ｘに対して、ある演算Ｔをｘをｘ^-1に写像す
る演算と仮定する。換言すれば、Ｔ（ｘ）＝ｘ^-1と仮定する。この場合に、Ｔは
上記一元集合演算である。

【００３５】 特定の体Ｆと整数ｋに対して、Ｆ上で定義されるｋ次の多項式ｐ（ｘ）はｐ（
ｘ）＝ａ_kｘ^k＋ａ_k-1ｘ^k-1＋．．．＋ａ_kｘ＋ａ₀の形の式である。この定義にお
いてｘはＦにおける変数であり、この多項式が値評価される以前にＦの特定の元
がｘに代入されねばならない。ｘに代入されるＦの特定のメンバは、ｘが「拘束
される」値である。上記のａ_i（０≦ｉ≦ｋ）はｐ（ｘ）の「多項係数」として 知られたＦ内の定数であり、ｘに代入される上記の値が選択される以前に選択さ
れる。ｘが取る上記値とは無関係に、これらの多項係数の値は一定である。

【００３６】 ＧＦ（２）が与えられた場合、ＧＦ（２）上で定義される全てのｋ次多項式の
集合はＧＦ（２^k）と呼称される。１より大なる任意のｋに対して、特定の加算 及び乗算演算が集合ＧＦ（２^k）がこれらの加算及び乗算演算の下で体を成すよ うにＧＦ（２^k）内で定義され得る。集合ＧＦ（２^k）は、多項係数の値が０又は
１である全てのｋ次多項式の集合である。例えば、ｐ（ｘ）＝ｘ⁵＋ｘ²＋１はＧ
Ｆ（２⁵）のメンバであり、その多項係数はａ₅＝１、ａ₄＝０、ａ₃＝０、ａ₂＝ １、ａ₁＝０及びａ₀＝１により与えられる。

【００３７】 体算術演算の最適化 情報のセキュリティと暗号化の問題の他に、有限体の理論に基礎を置くか又は
これを利用する他の多数の問題が産業界と科学界において存在する。このような
問題を処理する為のコンピュータアプリケーションは、体算術演算を含む計算を
しばしば実行する必要がある。この作業は、有限体Ｆ内で定義される有限個数の
定数、変数、係数及び演算を含む数学的計算式ｆに対する値評価、という形をし
ばしば取る。定数と変数は体Ｆのメンバでなければならないが係数は任意の整数
値を取り得る、ことに注意せよ。例えば計算式ｘ−５ｙにおける５のような係数
は体Ｆの元ではなく、この場合５ｙ＝２ｙ＋２ｙ＋ｙ（ここに２ｙ＝ｙ＋ｙ）の
ような反復加算を表す速記記号に過ぎない。計算能率に関心があるので、ある一
個の式中の一個以上の部分に上記の（ｘ₂−ｘ₁）^-1のような同一量が現れた場合
には、そのような各量は一回だけ計算することとする。又、例えば式の定数のみ
を含む全ての計算は既に実行されていて計算結果の定数は式に代入済みである、
といった充分に縮小された形式を一般性を損なうことなく式ｆにおいては採用す
ることとする。

【００３８】 そのような計算式ｆの例として、Ｆ∈ＧＦ（ｐ）、ｘ₁、ｘ₂、ｙ₁、ｙ₂ をＦ 内で定義された変数、且つａをＦの元である定数、として、

【数１０】 を定義する。 式ｆ中の唯一の変数と定数はｘ₁、ｘ₂、ｙ₁、ｙ₂及びａなので、式ｆは体の有限
個数の元を含む。更に、式ｆは以下の演算を含む。即ち、−ｘ₁、−ｘ₂、−ｙ₁ 、及び−ａを計算する４個の一元加算逆演算、（ｘ₂−ｘ₁）^-1を計算する１個の
一元乗算逆演算、３個の二元乗算演算、５ｘ₂を計算する３個の二元加算演算、 括弧内の式を計算する４個の二元加算演算、及び（ ...）−ｘ₁−５ｘ₂を計算す
る３個の二元加算演算、である。故に、式ｆは有限個数の体演算も含む。従って
、式ｆが値評価された場合、即ち式ｆにおいて特定された計算が実行された場合
、計算結果は体Ｆ内の単一元となろう。

【００３９】 ある有限体Ｆ内で定義される任意の計算式ｆは、通常「部分計算式」から構成
される。それ自体がＦ内における有効な計算式であるｆの任意部分は、ｆの部分
計算式である。例えば、式ｓ＝（ｘ₂−ｘ₁）^-1は、ｘ₂とｘ₁の双方がＦのメンバ
であればＦ内における有効な計算式である。従って、式ｓ＝（ｘ₂−ｘ₁）^-1は 式ｆ＝（（ｙ₂−ｙ₁）・（ｘ₂−ｘ₁）^-1）・（（ｙ₂−ｙ₁）・（ｘ₂−ｘ₁）^-1）
−ｘ₁−ｘ₂の部分計算式である。ｆの他の幾つかの部分計算式は、ｓ＝ｘ₁、ｓ ＝−ｙ₁、及びｓ＝（ｙ₂−ｙ₁）・（ｘ₂−ｘ₁）^-1である。しかしながら、ｓ＝ ｘ₂−ｘ₁）^-1）−ｘ₁はＦ内における有効な計算式ではないのでｆの部分計算式 ではない、ことに注意せよ。全ての計算式ｆはそれ自身の部分計算式である。

【００４０】 ある有限体Ｆ内で定義された計算式ｆを値評価する作業は、計算的に複雑で且
つ困難な作業になり得る。コンピュータソフトウェア且つ／又ハードウェアにお
いてこのような種類の計算式の効率的な計算を可能にする技術は、重要な産業的
且つ科学的価値を有するであろう。このような計算用の計算アプリケーションが
有する正確な性質を考えた場合、この「効率的な」計算という概念の厳密な意味
に関して異なる基準が存在する。即ち、あるアプリケーションでは、より高速の
演算速度が実現されるような計算の最適化が好適である。他のアプリケーション
では、ハードウェア実装のシリコン領域の使用を最小限に抑えるような最適化が
重要であろう。更に他のアプリケーションでは、計算の並列処理を可能にする最
適化が好都合であるかもしれない。特に、体ＧＦ（ｐ）とＧＦ（２^k）において フェルマー法を使用する上記の逆演算は計算的に非常に複雑で且つ困難な作業で
ある。これを避ける為に、「射影座標」において問題を定式化する方法がメネゼ
ス等により開発された。この方法は逆演算を実行する必要性を取り除いた形に計
算を再定式化することを可能にするが、その代償として通常は他の演算の数が増
大してしまう。

【００４１】 モントゴメリーアルゴリズム（Montgomery Algorithm） １９８５年に、Ｐ．Ｌ．モントゴメリーはｆ＝ａ・ｂ・ｒ^-1（ここに、ａ、ｂ
、ｒは体Ｆ∈ＧＦ（ｐ）の元で、・はＦにおける乗算演算）という形の計算式ｆ
の計算作業最適化に使用されるアルゴリズムを発表した。１９８５年以来、産業
界と学界による研究の幾分かは、このｆ＝ａ・ｂ・ｒ^-1よりも一般的な形の計算
式に対するモントゴメリーアルゴリズムの拡張に集中されてきた。このような努
力の解説を容易にする為に、この特許明細書では「モントゴメリー正準形式（Mo
ntgomery Canonical Form）」という用語を定義する。体Ｆの特定の元ｒに対し て、Ｆ内のある計算式ｆはｒに関するモントゴメリー正準形式であると以下のよ
うに循環的に定義される。 （i） 計算式（expression）ｆが体の乗算演算を含まず（即ちｓ＝ｓ₁・ｓ₂と いう形の部分計算式（subexpression）ｓが存在せず）且つｒを含まなければ、 計算式ｆはｒに関するモントゴメリー正準形式である。ここに、ｓ₁とｓ₂はｆの
部分計算式である。例えば、ｆ＝（ｘ₁＋ｘ₁−ａ）及びｆ＝ｘ₁は双方ともｒに 関するモントゴメリー正準形式である。 （ii） 計算式ｆがｆ＝ｆ₁・ｆ₂・ｒ^-1の形に書ければ、計算式ｆはｒに関する
モントゴメリー正準形式である。ここに、ｆ₁とｆ₂は双方ともそれ自体がｒに関
するモントゴメリー正準形式であるｆの部分計算式である。ある計算式がｒに関
するモントゴメリー正準形式であるか否かを判断する為にはその計算式を孤立さ
せて考えるべきである、ことに注意せよ。例えば、ｆ＝（ｘ₁＋ｘ₁＋ｘ₁）・ｘ₁ ・ｒ^-1はｒに関するモントゴメリー正準形式である。しかしながら、計算式ｆ＝
ｘ₁・（ｘ₂・ｘ₂）・ｒ^-1はｒに関するモントゴメリー正準形式ではない。その 理由は、（ｘ₂・ｘ₂）・ｒ^-1はｒに関するモントゴメリー正準形式であるが、ｒ ^-1 という単一の因子は同時に部分計算式（ｘ₂・ｘ₂）・ｒ^-1の一部そして又全計
算式ｘ₁・（ｘ₂・ｘ₂）・ｒ^-1の一部であるとは考えられず、従って（ｘ₂・ｘ₂ ）はｒに関するモントゴメリー正準形式ではないからである。 （iii） 計算式ｆがｆ＝（ｓ）^-1・ｒ²の形に書ければ、計算式ｆはｒに関する
モントゴメリー正準形式である。ここに、ｓはそれ自体がｒに関するモントゴメ
リー正準形式であるｆの部分計算式である。例えば、ｆ＝（ｘ₂−ｘ₁）^-1・ｒ² はｒに関するモントゴメリー正準形式である。そして最後に、 （iv） ｓ＝ｓ₁・ｓ₂という形に書けるｆの部分計算式ｓが存在する場合常に、
ｓ₃＝ｓ₁・ｓ₂・ｒ^-1のような形のｆの一意の部分計算式ｓ₃が更に存在すれば、
計算式ｆはｒに関するモントゴメリー正準形式である。ここに、ｓ₁とｓ₂は双方
ともｒに関するモントゴメリー正準形式であるｆの部分計算式である。例えば、
計算式ｆ＝

【数１１】 はｒに関するモントゴメリー正準形式である。 体Ｆ∈ＧＦ（ｐ）及び元ｒ∈Ｆに対して、ｒに関するモントゴメリー正準形式で
あるＦ内の計算式ｆの計算最適化にモントゴメリーアルゴリズムは効率的に使用
され得る。さて任意の計算式ｆが与えられた場合、既にモントゴメリー正準形式
である他の計算式ｆ’（「ｆプライム」と読む）にこの計算式ｆを「変換する」
ことによりその計算効率が向上するであろう。過去１５年間にＧＦ（ｐ）の有限
体内に有限個数の体演算を含む無数の計算式が、産業界と学界における特定のア
プリケーション業務の範囲内で使用されてきた。そのような計算式を既にモント
ゴメリー正準形式でありそれ故に計算速度が速い他の計算式に研究者と技術者が
変換してきた場合も多々ある。しかしながら、ＧＦ（ｐ）内の有限個数の体演算
を含む如何なるものであれ任意の計算式を既にＧＦ（ｐ）内の元ｒに関するモン
トゴメリー正準形式である他の計算式に変換する一般的な方法は本発明に至って
初めて知られたのである。

【００４２】 ＧＦ（ｐ）内の体を含む産業的及び学界的なアプリケーション業務で通常遭遇
する特定の計算式は、ｆ＝ｘ^kという形の式である。ここに、ｋはある正整数で ありｘはＦ∈ＧＦ（ｐ）内の元である。ｆ＝ｘ^kの計算はｘの指数関数化として 知られている。次の節において説明される特殊な「置換技法」がｆ＝ｘ^kという 形の計算式に適用されて、この計算式をＦ内のある特定の元ｒに関するモントゴ
メリー正準形式である他の計算式ｆ’に変換する、ことは良く知られている。モ
ントゴメリーアルゴリズムはこの変換した結果のモントゴメリー正準形式である
計算式ｆ’に通常適用されて、ｘの指数関数化用の効率的な方法を提供する。

【００４３】 モントゴメリーアルゴリズムは過去１０年間に渡りＧＦ（ｐ）における指数関
数化の高速化の為に使用されてきたが、一般的な有限体計算の高速化にまで改良
、拡張する方法は本発明に至って初めて獲得された。

【００４４】 １９９８年に、Ｃ．Ｋ．コクとＴ．アカーはｆ＝ａ・ｂ・ｒ^-1（ここに、ａ、
ｂ、ｒは体Ｆ∈ＧＦ（２^k）の元で、・はＦにおける乗算演算）という形の計算 式ｆの計算作業最適化に使用できるアルゴリズムを発表した。このアルゴリズム
はＧＦ（２^k）におけるモントゴメリーアルゴリズムと呼ばれる。ＧＦ（２^k）に
おけるモントゴメリーアルゴリズムは、ＧＦ（ｐ）における指数関数化の高速化
用に使用される上記方法と類似した仕方でＧＦ（２^k）における指数関数化の高 速化用に過去においては使用されてきた。しかしながら、一般的な有限体計算の
高速化に使用するに至るまでこのＧＦ（２^k）におけるモントゴメリーアルゴリ ズムを改良、拡張する方法は本発明に至って初めて獲得されたのである。

【００４５】 置換技法 この節では、体Ｆ内で定義される元と演算を含む計算式の操作にしばしば利用
される特殊な置換技法を説明する。本技法は、ｆ内の特定パターンの演算且つ／
又オペランドの全てを他の特定パターンで置換する。例として、ｘ、ｙ をＦの 任意メンバ且つａ、ｂ、ｃ及びｒをＦの特定元として、計算式ｆ＝（ａ・ｂ）＋
（ｃ・ｂ）におけるパターンｘ・ｙの全てをパターンｘ・ｙ・ｒで置換すると置
換した結果の計算式ｆ’はｆ’＝（ａ・ｂ・ｒ）＋（ｃ・ｂ・ｒ）で与えられる
。本技法の解説を容易にする為に、ｓを置換されるべきパターンを示す計算式と
する。計算式ｓは「ソース」計算式と呼ばれる。又、ｔを置換するべきパターン
を示す計算式とする。計算式ｔは「ターゲット」計算式と呼ばれる。この節の後
半では、３つの単純なタイプのソース計算式に本技法が如何に適用されるかを説
明する。場合１ ソース計算式ｓが演算子を含まない この場合にはソース計算式ｓはｓ＝ｘで与えられ、ここにｘは計算式ｆ内の任
意の単一変数を表す。本置換技法は、ソース計算式ｓにより表される全ての変数
をターゲット計算式ｔによって与えられるパターンで単に置換する。場合２ ソース計算式ｓが単一の一元演算子を含む この場合にはソース計算式ｓはｓ＝−ｘ又はｓ＝ｘ^-1のいずれか一方で与えら
れ、ここにｘは計算式ｆの任意の部分計算式を表す。ソース計算式ｓと「整合す
る」計算式ｆの全ての部分計算式の集合である集合Ｓの構成が置換技法によりこ
の場合には要請される。換言すれば、この集合Ｓはｓ＝−ｘ又はｓ＝ｘ^-1という
形の計算式ｆの全ての部分計算式ｓの集合によって与えられ、ここにｘはそれ自
身がｆの部分計算式である。集合Ｓ内におけるｆの任意の二個の部分計算式を考
えた場合に一方は他方の部分計算式であり得る、ことに注意せよ。集合Ｓのメン
バｓに適用される以前に（ｓがその部分計算式である）集合Ｓの他のメンバに置
換技法が最初に適用される場合を除いて、集合Ｓの各メンバをターゲット計算式
ｔによって与えられる対応するパターンで置換することにより置換技法は機能す
る。場合３ ソース計算式ｓが単一の二元演算子を含む この場合にはソース計算式ｓはｓ＝ｘ＋ｙ又はｓ＝ｘ・ｙのいずれか一方で与
えられ、ここにｘとｙは計算式ｆの任意の部分計算式を表す。ソース計算式ｓと
「整合する」計算式ｆの全ての部分計算式の集合である集合Ｓの構成が置換技法
によりこの場合には要請される。換言すれば、この集合Ｓはｓ＝ｘ＋ｙ又はｓ＝
ｘ・ｙという形の計算式ｆの全ての部分計算式ｓの集合によって与えられ、ここ
にｘとｙはそれら自身がｆの部分計算式である。集合Ｓ内におけるｆの任意の二
個の部分計算式を考えた場合に一方は他方の部分計算式であり得る、ことに注意
せよ。集合Ｓのメンバｓに適用される以前に（ｓがその部分計算式である）集合
Ｓの他のメンバに置換技法が最初に適用される場合を除いて、集合Ｓの各メンバ
をターゲット計算式ｔによって与えられる対応するパターンで置換することによ
り置換技法は機能する。

【００４６】 ｆ＝ｘ^kという形の簡単な計算式をモントゴメリー正準形式である他の計算式 ｆ’に変換する為に、上記の置換技法と類似した置換技法が２段階プロセスで産
業界と学界で過去において使用されてきた。その一例を説明する為に、計算式ｆ
がｆ＝ｘ⁴＝ｘ・ｘ・ｘ・ｘ＝（（ｘ・ｘ）・ｘ）・ｘにより与えられるｋ＝４ の場合を具体的に取り上げる。 （i） ソース計算式ｓがｓ＝ｘ・ｙにより与えられ、且つターゲット計算式ｔ がｔ＝ｘ・ｙ・ｒ^-1（ｒは体Ｆ内の定数）により与えられるとする。この場合の
置換技法を計算式ｆ＝（（ｘ・ｘ）・ｘ）・ｘに適用することにより、変換結果
の計算式ｆ’＝（（ｘ・ｘ・ｒ^-1）・ｘ・ｒ^-1）・ｘ・ｒ^-1が得られる。括弧で
囲まれたｆ’の全ての部分計算式はｒに関するモントゴメリー正準形式であるか
ら計算式ｆ’はモントゴメリー正準形式である、ことに注意せよ。この条件の為
に、以下の段階によりモントゴメリーアルゴリズムがｆ’に適用できてｆ’を効
率的に計算することが可能になる。 （ii） ソース計算式ｓがｓ＝ｘ（ｘはｆ内の変数又は定数）により与えられ、
且つターゲット計算式ｔがｔ＝ｘ・ｒにより与えられるとする。この場合の置換
技法を適用することにより計算式ｆ₁＝（（ｘ・ｘ・ｒ^-1）・ｘ・ｒ^-1）・ｘ・ ｒ^-1内の全てのｘをｘ・ｒで置換した変換結果の計算式ｆ’＝（（（ｘ・ｒ）・
（ｘ・ｒ）・ｒ^-1）・（ｘ・ｒ）・ｒ^-1）・（ｘ・ｒ）・ｒ^-1が得られる。 計算式ｆはｆ＝ｆ’・ｒ^-1と同等であることが示せるので、この置換技法はｆ＝
ｘ^kの効率的な計算を可能にする。ｋ＝４の場合にこれを見る為に、

【数１２】 に注意せよ。 従って、ｆ’・ｒ^-1＝ｒ・ｘ⁴・ｒ^-1＝ｘ⁴・ｒ・ｒ^-1＝ｘ⁴・１＝ｘ⁴＝ｆ、であ
る。ｆ’はｒに関するモントゴメリー正準形式であるから、それ自身がモントゴ
メリー正準形式であるｆ’・ｒ^-1を計算する方がｆを直接計算するよりも一般に
より効率的である。

【００４７】 楕円曲線群 楕円曲線Ｇは、ある特定の体Ｆの固有の特性に依存する特定のルールに従って
Ｆ上で構成される群である。楕円曲線群Ｇは一般にＦ×Ｆの部分集合であり、Ｇ
における乗算演算・は上記体乗算演算・を介して且つ順序付けペアを成すＧの元
を構成するＦの元に基づいて定義される。最も深く研究された二つの楕円曲線は
、ＧＦ（ｐ）か又はＧＦ（２^k）に属する体上で構成された楕円曲線である。

【００４８】 ＧＦ（ｐ）上の楕円曲線 ＧＦ（ｐ）上の楕円曲線は、選択されたパラメータａ、ｂ（双方ともＧＦ（ｐ
）のメンバ）により方程式ｙ²＝ｘ³＋ａｘ＋ｂの解である全ての順序付けペア（
ｘ，ｙ）の集合として定義される。ここに、ｘ、ｙは特別な極点Ｏを伴うＧＦ（
ｐ）のメンバで、極点Ｏは通常は無限遠点とする。ｐを３以上の素数とし、ＧＦ
（ｐ）内のａ、ｂはＧＦ（ｐ）内で４ａ³−２７ｂ²≠０を満足するように選択さ
れる。この楕円曲線上の点とＯが以下の点加算演算ルールに関してアーベル群を
成すことは充分に立証されている。

【数１３】 ここで、演算＋、−、・、及び逆演算（^-1）は体ＧＦ（ｐ）において遂行され
る。上記点加算演算ルールは、楕円曲線上の二点を「加算」して第三点を得る方
法を定義している。以後、これらの方程式を方程式Ａと呼称する。

【００４９】例 例として体ＧＦ（２３）上の楕円曲線方程式ｙ²＝ｘ³＋ｘ＋１を説明する。上
記特殊点Ｏを含めて対応する楕円曲線上には２８個の点が存在することになる。
これらの点は

【数１４】 である。 例えば、点（１，７）は体ＧＦ（２３）（即ち、２３を法とする）における楕
円曲線方程式ｙ²＝ｘ³＋ｘ＋１を満足する。なぜならば、７²＝１³＋１＋１mod ２３、４９＝３mod２３、従って３＝３mod２３、であるからである。従って、点
（１，７）はこの楕円曲線上に存在する。 ２３を法とする算術演算、即ちＧＦ（２３）の体算術演算、を用いて点（３，
１０）と点（９，７）の点加算を計算して、

【数１５】 を得る。 従って、点（３，１０）と点（９，７）の点加算は（１７，２０）に等しい。 この例は、上記ルールを使用した楕円曲線上の二点の点加算演算は楕円曲線上
に存在する第三点を与えることを例証している。

【００５０】 ＧＦ（２^k）上の楕円曲線 ＧＦ（２^k）上の非超特異（non-supersingular）楕円曲線は、ＧＦ（２^k）内 のパラメータａ、ｂ（ｂ≠０）により方程式ｙ²＋ｘｙ＝ｘ³＋ａｘ²＋ｂの極点 Ｏを伴う解（ｘ，ｙ）の集合として定義される。これらの点の集合は以下の点加
算演算ルールに関して群を成す。

【数１６】

【００５１】 点乗算演算 楕円曲線暗号化演算は、それが暗号化、復号化、署名、鍵交換等の演算のいず
れであれ、ｅとＰを与えた場合のｅＰの計算を常に含む。ここに、Ｐは楕円曲線
上における点でありｅは正の整数である。この計算の逆、即ちＰとｅＰを与えた
場合のｅの計算、は非常に困難な計算であることが知られている。この計算は楕
円曲線離散対数問題と呼ばれ、これに対しては有効なアルゴリズムは現在知られ
ていない。

【００５２】 楕円曲線群Ｇにおける加算演算はその基礎を成す体Ｆに由来する一連の体演算
を用いて定義されるので、Ｇにおける二点Ｐ，Ｑに対して、Ｐ＋Ｑ又はＰ＋Ｐを
計算するには体Ｆにおける一連の体演算を計算することが必要である。特にＦ∈
ＧＦ（２^k）の場合には、Ｐ＋Ｑを計算するには一個の体逆演算、三個の体乗算 演算、及び九個の体加算演算の計算が必要であることが上記の方程式４から分る
。一方、上記の方程式５に示されているように、Ｐ＋Ｐを計算するには一個の体
逆演算、三個の体乗算演算、及び五個の体加算演算の計算が必要である。

【００５３】 正の整数ｅが約５００ビットの長さであれば、ｅＰの計算に必要な楕円曲線演
算（点加算演算及び点倍加算演算）の数は約７５０個であることが示し得る。各
楕円曲線演算は幾つか（約１５から２０個）の有限体演算を含む。ｋ（Ｆ∈ＧＦ
（２^k）から由来）の値も大きければ（＞１００）、これらの計算には特にソフ トウェアにおいて多大の時間を要してしまう。従って、楕円曲線点乗算演算の高
速なハードウェア及びソフトウェア的実装が暗号化の為には切に望まれる。

【００５４】 体ＧＦ（２３）における以下の例は、ｅＰの計算の最適化に向けて取り得る様
々なアプローチを例証するものである。今ｅ＝１８で且つＰ＝（３，１０）とす
る。するとｅＰ＝１８（３，１０）の計算は方程式Ａで定義された点加算演算（
即ち群演算）を用いて（３，１０）をそれ自身に連続的に１８回加算して、Ｐ＋
Ｐ＋...＋Ｐ（Ｐの１８倍加算）となる。この計算１８Ｐを遂行するには１７個 の楕円曲線点加算演算の実行が必要である。 ところで「指数関数化法」として知られる高速アルゴリズムが存在し、その一
例は次に示す「二元法」である。これは１８Ｐを

【数１７】 のように計算することを可能ならしめる。 このように僅かに５個の点加算演算（即ち群演算）しか利用されていない。そ
の演算途中結果と最終結果は、楕円曲線上の以下に示す点である。

【数１８】 従って、１８（３，１０）は（６，１９）に等しい。するとこの場合、上記の
楕円曲線離散対数問題は次のように定式化される。即ち、（３，１０）と（６，
１９）が既知で且つ（６，１９）が（３，１０）の整数倍であるという条件が既
知の場合に、この整数とは何か？この例でのこの整数は１８に等しい。

【００５５】 ｅの二進表現をｅ_k-1ｅ_k-2...ｅ₂ｅ₁ｅ₀のように与えた場合、ｅＰの計算は上
記の二元法又は他のＭ−ａｒｙ法を利用して実行し得る。例えば、Ｑ＝ｅＰの計
算は二元法によれば以下のように進行する。 Ｑ：＝Ｏ ｉ＝ｋ−１から０までに対して Ｑ：＝Ｑ＋Ｑ ｅ_i＝１ならばＱ：＝Ｑ＋Ｐ リターンＱ． 従って、Ｑの計算は一連の楕円曲線点倍加算演算（Ｑ：＝Ｑ＋Ｑ）と楕円曲線
点加算演算（Ｑ：＝Ｑ＋Ｐ）により実行される。

【００５６】 （発明の開示） 体Ｆ上で定義された楕円曲線の守秘的且つ効率的な使用を可能にする変換方法
を介して、本発明は楕円曲線暗号化演算の計算を最適化する。本発明は楕円曲線
点乗算積Ｑ＝ｅＰを生成する方法と装置を含む。本発明は、任意整数ｅと、体Ｆ
上で定義された楕円曲線群Ｇ上の点Ｐ、を利用する。ここで楕円曲線群Ｇは体Ｆ
と体Ｆのクロス乗積の部分集合である。本発明においては、ある集合Ｇ’、楕円
曲線群Ｇから集合Ｇ’内への写像Ｔ、集合Ｇ’から楕円曲線群Ｇ上への写像Ｔ^-1 、及び集合Ｇ’上で定義される

【外２１】 が構成される。ここでこれらの写像と演算が満足すべき条件式は、（ａ） 点Ｐ
に対してＴ^-1（Ｔ（Ｐ））＝Ｐ、及び（ｂ）

【数１９】 （ここでＰ’＝Ｔ（Ｐ））、である。楕円曲線点乗算積Ｑは以下のように生成さ
れる。即ち、写像Ｔを用いて点Ｐを点Ｐ’に変換し、点Ｐ’上で

【外２２】 を実行して点Ｑ’＝ｅＰ’を求め、最後に写像Ｔ^-1を用いて点Ｑ’を楕円曲線点
乗算積Ｑに逆変換する。楕円曲線点乗算積Ｑは楕円曲線暗号化演算において使用
される。

【００５７】 本発明は又、体Ｆの効率的な使用を可能にする変換方法を介することにより、
有限体算術演算における任意の計算式を含む暗号化演算の計算を最適化する方法
を含む。本発明は又、有限体における任意計算式を他の既知アルゴリズムが適用
可能な正準形式に変換する方法を含むことにより、計算速度と計算効率の増大を
実現する。本発明は又、本発明以前には限定された特殊例にのみ適用可能であっ
た他の既知技法の使用を可能にする暗号化計算に対する一組の変換を教示する。

【００５８】 （発明の詳細な記載） 「楕円曲線点乗算演算」として知られる演算に焦点を絞ることを介して、本発
明は任意体上の任意楕円曲線に基づくＥＣＣの実装計算を最適化する方法を提供
する。この楕円曲線点乗算演算は、ＥＣＣの実装に使用される全ての演算の内で
最も計算的に複雑で且つ困難な演算の一つである。楕円曲線点乗算演算はｅＰの
計算を要求するものであり、ここにＰは楕円曲線上の点でありｅは正の整数であ
る。この演算は、暗号化、復号化、乱数生成、鍵交換、ディジタル署名、及び署
名検証を含む多くの楕円曲線暗号化機能に関して中心的な役割を担うものである
。本発明は、楕円曲線点乗算演算の実装を最適化する為の方法論を提供すること
により効率的ＥＣＣを実装するものである。本発明は、ＧＦ（ｐ）及びＧＦ（２ ^k ）内の全ての個別メンバ体を含む任意体上の任意楕円曲線上でのＥＣＣの実装 用に使用され得る。

【００５９】 本発明は更に、任意の有限体における有限個数の任意の有限体演算を含む演算
の計算を最適化する為の方法論、を提供する。これらの計算は、楕円曲線暗号化
システムを含む多数のシステムに関するコンピュータ実装において根本的に重要
な役割を果たすものである。 本発明は、楕円曲線暗号化システムの最適化されたハードウェア及びソフトウ
ェア的実装を可能にする「変換方法」、を提供する。

【００６０】 本発明は楕円曲線群の元に適用される可逆な変換を利用するものであるが故に
、楕円曲線暗号化の実行の為に使用される数学的アルゴリズムの本質的な機密保
持性を如何なる意味でも損なうものではない。ＥＣＣの全実装アルゴリズムのセ
キュリティは、楕円曲線方程式、数表示、算術アルゴリズム及び他の実装条件、
の選択に依存する。これらの選択が信頼し得る規格に従って為されている限り、
実装態様のセキュリティは本発明の使用により影響されない。

【００６１】 本発明は全ての任意の潜在的なＥＣＣ適用態様において使用し得る。こうした
適用態様は、動画、歌曲等に関するディジタル商品の権利保護的形態での販売用
ソフトウェアからセルラー式電話、スマートカード等の消費者向け電子機器に埋
設されたハードウェアチップ、にまで至るものである。本発明のコスト節約性に
よりその実際の商業的適用は大幅に増大して、過去には成立不可能であったビジ
ネス機会が経済的に成立可能となる。

【００６２】 節Ａ 本発明は、体Ｆ上で定義された楕円曲線群Ｇ⊂Ｆ×Ｆに基づくｅＰの計算を最
適化する改良された方法を提供する。ここに、ｅは整数でありＰはＧの元である
。 本発明は、 （１） ソフトウェア且つ／又ハードウェアにおける、ある集合Ｇ’の構成及び
集合Ｇ’のメンバの表示方法の構成の段階と、 （２） ソフトウェア且つ／又ハードウェアにおける、楕円曲線群Ｇから集合Ｇ
’内への第一写像Ｔ用のアルゴリズムの構成と実装の段階と、 （３） ソフトウェア且つ／又ハードウェアにおける、Ｔの逆写像として機能す
る集合Ｇ’から楕円曲線群Ｇ上への第二写像Ｔ^-1用のアルゴリズムの構成と実装
の段階と、 （４） ソフトウェア且つ／又ハードウェアにおける、集合Ｇ’上で定義される

【外２３】 用のアルゴリズムの構成と実装の段階、を含む。これらの各段階での発明に対し
て、以下の三条件が満足される。 （i） 任意のＰ∈Ｇに対してＴ^-1（Ｔ（Ｐ））＝Ｐが成立し、 （ii） Ｇ上の任意の二点Ｐ、Ｓに対して

【数２０】 が成立し（ここでＰ’＝Ｔ（Ｐ）、Ｓ’＝Ｔ（Ｓ））、更に （iii） Ｐ₁、Ｐ₂、...Ｐ_N∈Ｇに対して（ここでＮは整数）

【数２１】 の計算がＰ₁＋Ｐ₂＋．．．＋Ｐ_Nの計算より一般により最適化されるようにＧ’ 、Ｔ、Ｔ^-1、

【外２４】 及び上記の対応するアルゴリズムは構成、選択される。 換言すれば、本発明はＱ＝ｅＰを以下のように計算する。即ち、最初に第一写
像Ｔ用のアルゴリズムを用いて点Ｐを変換された点Ｐ’に変換し、次にその変換
領域における

【外２５】 の計算的により最適化された「変換」版を用いて点倍加算和Ｑ’＝ｅＰ’を計算
し、最後に第二写像Ｔ^-1用のアルゴリズムを用いて点Ｑ’をＱに逆変換する。条
件（i）、（ii）が満足されていることによりこの計算方法は楕円曲線群Ｇに属 する任意の点Ｐに適用可能であることが保証されている、ことに注意せよ。

【００６３】 ある状況下では、上記のようにＧ’、Ｔ、Ｔ^-1及び

【外２６】 を精確に選択する際に楕円曲線点乗算演算の計算を最適化する方向での選択方法
も可能である。又、実行されるべき点加算演算の数によっては、Ｇの元の変換に
要する追加コストが変換領域Ｇ’におけるより最適化された計算によるコスト上
の改良を上回るかもしれないし上回らないかもしれない。

【００６４】 節Ｂ 本発明は更に、任意の楕円曲線群Ｇに適用可能なＧ’、Ｔ、及びＴ^-1を構成す
る特殊な方法を提供する。 ＧはＦ×Ｆの部分集合であるからＧ上の点は順序付けペア（ｘ，ｙ）として書
かれ、ここにｘ、ｙは体Ｆの元である。本発明においては、Ｆの特定のメンバｒ
が最初に選択されると規定する。選択される特定メンバｒは結果的にＦの任意元
であっても良い。ｔを、Ｇ上の任意点Ｐ＝（ｘ，ｙ）をＧ’上のある点Ｐ’＝（
ｘ’，ｙ’）に写像するＧからＦ×Ｆ内への写像である、とする。本発明におい
ては、ｔ（Ｐ）＝ｔ（（ｘ，ｙ））＝（ｘ・ｒ，ｙ・ｒ）＝Ｐ’と規定する。ｘ
、ｙ、ｒは全てＦのメンバであるから、ｘ・ｒとｙ・ｒもＦのメンバである。本
発明においては、Ｇ’は写像ｔの下でのＧの像であると規定する。換言すれば、
Ｇ’はＧ上のある一点が写像ｔにより写像されているＦ×Ｆの全ての元の集合で
ある、と規定する。本発明においては更に、ＴはＧ上の任意点Ｐに対してＴ（Ｐ
）＝ｔ（Ｐ）＝Ｐ’を満足するＧからＧ’上への変換であると規定する。点Ｐ’
＝（ｘ’，ｙ’）は必然的にＦ×Ｆのメンバであるが必ずしも楕円曲線群Ｇ内の
点ではない。Ｐ’はｘ’＝ｘ・ｒ、ｙ’＝ｙ・ｒを計算することにより得られる
。

【００６５】 Ｑ’をＧ’の任意元とする。Ｇ’⊂Ｆ×Ｆであるから、ｕ’、ｖ’をＦのメン
バとしてＱ’＝（ｕ’，ｖ’）と書ける。Ｇ’は写像ｔの下でのＧの像であるか
ら、（ｕ，ｖ）∈Ｇで且つｕ’＝ｕ・ｒ、ｙ’＝ｙ・ｒを満足するＦの二個の元
ｕ，ｖが存在するはずである。ｕ，ｖ、ｒは全て体Ｆのメンバであるから、ｒ^-1 をＦの点乗算演算の下でのｒの逆元としてｕ＝ｕ’・ｒ^-1、ｖ＝ｖ’・ｒ^-1とな
る。従って、Ｔ^-1がＧ’の任意元Ｑ’＝（ｕ’，ｖ’）を（ｕ’・ｒ^-1，ｖ’・
ｒ^-1）に写像するとして、逆変換Ｔ^-1：Ｇ’→Ｇを構成できる。

【００６６】 形式的な用語で表現すると、本発明のこのより詳細な実施例は、 （１） 写像ｔ：Ｇ→Ｆ×Ｆの下でのＧの像であるＦ×Ｆの部分集合としてＧ
’を構成する段階を含み、ここにｔはＦの任意元ｒを最初に選択し次にｔ（（ｘ
，ｙ））＝（ｘ・ｒ，ｙ・ｒ）とすることにより構成され、・はＦにおける点乗
算演算であり、更に （２） Ｔ（Ｐ）＝ｔ（Ｐ）とすることにより第一写像Ｔ：Ｇ→Ｇ’を構成す
る段階を含み、ここにＰはＧ上の任意点であり、更に （３） Ｔ^-1（（ｕ’，ｖ’））＝（ｕ’・ｒ^-1，ｖ’・ｒ^-1）とすることによ
り第二写像Ｔ^-1：Ｇ’→Ｇを構成する段階を含み、ここに（ｕ’，ｖ’）はＧ’
の任意元である。 Ｇ’、Ｔ、及びＴ^-1に対する上記の構成、選択に際して、Ｇ’上での

【外２７】 の精確な定義とｒの慎重な選択を介してｅＰの計算を最適化する。例えば、ｒの
ある値はより高速のソフトウェア実装をもたらし、一方他の値はよりアルゴリズ
ム的な並列処理をもたらす。

【００６７】 節Ｃ 本発明の他のより詳細な実施例は、節Ａ，Ｂの上記方法をＧＦ（ｐ）に属する
特定体上で定義される楕円曲線群に適用する実施例である。この実施例において
は、新規の変換された

【外２８】 が節Ａの条件（i）、（ii）、（iii）が満足されるように構成される。

【００６８】 本発明は、体ＦがＧＦ（ｐ）内のある個別メンバ体である場合にｅＰの計算を
最適化する方法を含む。本実施例においては、楕円曲線群ＧはＦ∈ＧＦ（ｐ）上
の楕円曲線群で、Ｇ’、Ｔ、及びＴ^-1はＦの任意元ｒの選択を介する上記の節Ｂ
で説明された方法に従い構成される。本発明は、Ｇ’における「変換された」

【外２９】 を以下のように構成する。Ｇ’の二個の任意元（ｘ₁’，ｙ₁’）、（ｘ₂’，ｙ₂ ’）に対して

【数２２】 を（ｘ₃’，ｙ₃’）により与えられる量と定義し、ここで満足されるべき関係式
は

【数２３】 である。 Ｇ’の元の「加算」演算に関する

【外３０】 の上記の定義を用いて、本発明はＧ’における任意「点」（ｘ₁’，ｙ₁’）をそ
れ自身に加算する演算に関する以下の体方程式の組を導出する。

【数２４】 である。

【００６９】 さて、Ｇ’、Ｔ、Ｔ^-1及び上記の

【外３１】 が節Ａで提出された条件（i）、（ii）、（iii）を満足していることを証明する
。 （i） Ｐを楕円曲線群Ｇにおける任意点とする。すると、Ｐ＝（ｘ，ｙ）と なる体Ｆの元ｘ、ｙが存在する。すると、Ｔ^-1（Ｔ（Ｐ））＝Ｔ^-1（Ｔ（（ｘ，
ｙ）））＝Ｔ^-1（（ｘ・ｒ，ｙ・ｒ））＝（ｘ・ｒ・ｒ^-1，ｙ・ｒ・ｒ^-1）＝（
ｘ，ｙ）＝Ｐ。従って、節Ａの条件（i）は満足されている。 （ii） Ｇ上の任意の二点Ｐ、Ｓに対する

【数２５】 の成立（ここでＰ’＝Ｔ（Ｐ）、Ｓ’＝Ｔ（Ｓ））を証明する必要がある。Ｐ＝
（ｘ₁，ｙ₁）、Ｐ’＝（ｘ₁’，ｙ₁’）、Ｓ＝（ｘ₂，ｙ₂）、Ｓ’＝（ｘ₂’， ｙ₂’）、Ｑ＝Ｐ＋Ｓ＝（ｘ₃，ｙ₃）、Ｑ’＝Ｐ’＋Ｓ’＝（ｘ₃’，ｙ₃’）、 とする。すると、方程式Ａにより与えられている楕円曲線群における点加算演算
ルールを適用して、Ｑの座標はｘ₃＝Ｌ・Ｌ−ｘ₁−ｘ₂，ｙ₃＝Ｌ・（ｘ₁−ｘ₃）
−ｙ₁（ここでＬ＝（ｙ₂−ｙ₁）・ｚ、ｚ＝（ｘ₂−ｘ₁）^-1）、により与えられ る。一方、上記の方程式Ａ’はＱ’の座標を与える。従ってＱ’の座標は

【数２６】 、により与えられる。従って（ｘ₃’，ｙ₃’）＝（ｘ₃・ｒ，ｙ₃・ｒ）となり、
これは要求通り

【数２７】 を示している。従って、節Ａの条件（ii）は満足されている。 （iii） 本発明が提供した方法は、Ｐ₁、Ｐ₂、...Ｐ_N∈Ｇに対して（ここで Ｎは整数）

【数２８】 の計算がＰ₁＋Ｐ₂＋．．．＋Ｐ_Nの計算より一般により最適化されるようにＧ’ 、Ｔ、Ｔ^-1、

【外３２】 及び対応するアルゴリズムが選択される方法であった。この最適化に関する条件
を検証する為に、まず

【数２９】 の計算においては方程式Ａ’内の計算式が反復して適用されることに注意せよ。
しかしながら、これらの計算式はｒに関するモントゴメリー正準形式である。従
って、ＧＦ（ｐ）におけるモントゴメリーアルゴリズムは

【数３０】 の計算に容易に適用され得て、最適化されたソフトウェア的且つ／又ハードウェ
ア的実装を構築する。従って、節Ａの条件（ii）は満足されている。

【００７０】 節Ｄ 本発明の他のより詳細な実施例は、節Ａ，Ｂの上記方法をＧＦ（２^k）に属す る特定体上で定義される楕円曲線群に適用する実施例である。この実施例におい
ては、新規の変換された

【外３３】 が節Ａの条件（i）、（ii）、（iii）が満足されるように構成される。

【００７１】 本発明は、体ＦがＧＦ（２^k）内のある個別メンバ体である場合にｅＰの計算 を最適化する方法を更に含む。本実施例においては、楕円曲線群ＧはＦ∈ＧＦ（
２^k）上の楕円曲線群で、Ｇ’、Ｔ、及びＴ^-1はＦの任意元ｒの選択を介する上 記の節Ｂで説明された方法に従い構成される。本発明は、Ｇ’における「変換さ
れた」

【外３４】 を以下のように構成する。Ｇ’の二個の任意元（ｘ₁’，ｙ₁’）、（ｘ₂’，ｙ₂ ’）に対して

【数３１】 を（ｘ₃’，ｙ₃’）により与えられる量と定義し、ここで満足されるべき関係式
は

【数３２】 である。 Ｇ’における点の点加算演算に関する

【外３５】 の上記の定義を用いて、本発明は「一点を倍加算する」演算、即ちＧ’における
一点（ｘ₁’，ｙ₁’）をそれ自身に点加算する演算、に関する以下の体方程式の
組を導出する。

【数３３】 である。

【００７２】 さて、Ｇ’、Ｔ、Ｔ^-1及び上記の

【外３６】 が節Ａで提出された条件（i）、（ii）、（iii）を満足していることを証明する
。 （i） Ｐを楕円曲線群Ｇにおける任意点とする。すると、Ｐ＝（ｘ，ｙ）と なる体Ｆの元ｘ、ｙが存在する。すると、Ｔ^-1（Ｔ（Ｐ））＝Ｔ^-1（Ｔ（（ｘ，
ｙ）））＝Ｔ^-1（（ｘ・ｒ，ｙ・ｒ））＝（ｘ・ｒ・ｒ^-1，ｙ・ｒ・ｒ^-1）＝（
ｘ，ｙ）＝Ｐ。従って、節Ａの条件（i）は満足されている。 （ii） Ｇ上の任意の二点Ｐ、Ｓに対する

【数３４】 の成立（ここでＰ’＝Ｔ（Ｐ）、Ｓ’＝Ｔ（Ｓ））を証明する必要がある。Ｐ＝
（ｘ₁，ｙ₁）、Ｐ’＝（ｘ₁’，ｙ₁’）、Ｓ＝（ｘ₂，ｙ₂）、Ｓ’＝（ｘ₂’， ｙ₂’）、Ｑ＝Ｐ＋Ｓ＝（ｘ₃，ｙ₃）、Ｑ’＝Ｐ’＋Ｓ’＝（ｘ₃’，ｙ₃’）、 とする。すると、方程式Ａにより与えられている楕円曲線群における点加算演算
ルールを適用して、Ｑの座標はｘ₃＝Ｌ・Ｌ＋Ｌ＋ｘ₁＋ｘ₂＋ａ，ｙ₃＝Ｌ・（ｘ ₁ ＋ｘ₃）＋ｘ₃＋ｙ₁（ここでＬ＝（ｙ₁＋ｙ₂）・ｚ、ｚ＝（ｘ₁＋ｘ₂）^-1）、に
より与えられる。一方、上記の方程式Ａ’はＱ’の座標を与える。従ってＱ’の
座標は

【数３５】 、により与えられる。従って（ｘ₃’，ｙ₃’）＝（ｘ₃・ｒ，ｙ₃・ｒ）となり、
これは要求通り

【数３６】 を示している。従って、節Ａの条件（ii）は満足されている。 （iii） 本発明が提供した方法は、Ｐ₁、Ｐ₂、...Ｐ_N∈Ｇに対して（ここで Ｎは整数）

【数３７】 の計算がＰ₁＋Ｐ₂＋...＋Ｐ_Nの計算より一般により最適化されるようにＧ’、Ｔ
、Ｔ^-1、

【外３７】 及び対応するアルゴリズムが選択される方法であった。この最適化に関する条件
を検証する為に、まず

【数３８】 の計算においては方程式Ｂ’内の計算式が反復して適用されることに注意せよ。
しかしながら、これらの計算式はｒに関するモントゴメリー正準形式である。従
って、ＧＦ（２^k）におけるモントゴメリーアルゴリズムは

【数３９】 の計算に容易に適用され得て、最適化されたソフトウェア的且つ／又ハードウェ
ア的実装を構築する。従って、節Ａの条件（ii）は満足されている。

【００７３】 節Ｅ 本発明は更に、ｒの特定の選択を介する節Ｃ、Ｄの方法を利用する場合に、よ
り高い効率を実現する方法を提供する。 本発明においては、楕円曲線群Ｇが定義された体Ｆにおける任意元ｒが活用さ
れる。しかしながら、一般に元ｒの選択の精確性が計算結果の演算特性に影響す
る。本発明の教える所によれば、ｒの特定の選択により特定コンピュータ環境内
のソフトウェア的且つ／又ハードウェア的実装の特定態様を最適化し得る。例え
ば、ｒを３２の倍数に選択すれば、３２ビットコンピュータ上では諸々の有益な
効果が得られる。ｒの特定の選択に対してａ・ｂ・ｒ^-1の計算は一つ以上の方法
で実行し得て、その中の幾つかは計算的により効率的である。ｒの以下の選択が
好適である。 １． 体ＧＦ（ｐ）：ｒはｐより大なる２の最小冪として選択される。 ２． 体ＧＦ（ｐ）：ｒはｋ個の素数の積として選択され、この積は結果のアル
ゴリズムに高レベルの並列処理をもたらす。 ３． 体ＧＦ（２^k）：ｒはｘ^k mod ｎ（ｘ）として選択され、ここにｎ（ｘ ）は体ＧＦ（２^k）を生成する既約多項式である。 異なる体に対するｒの他の選択も可能である。変換アルゴリズムはこの選択と
は独立に機能する。

【００７４】 節Ｆ 本発明は更に、有限体上の有限個数の任意体演算の計算を最適化する方法を提
供する。ｆを、有限個数の変数及び有限個数の体演算＋、・、−、及び^-1を含む
有限体Ｆ内で定義された有効な計算式、とする。本発明は計算式ｆの計算を最適
化する方法を提供するものであり、この方法は以下の段階的処理の実行を順次に
含む。 （１） ｒを有限体Ｆ内の任意の単一元として選択する。元ｒはある定数であり
、且つ本明細書で既に説明済みの一連の置換技法の適用を介して計算式ｆを新規
の計算式ｆ’に変換する為に使用される。計算式ｆが記号ｒで表される定数又は
変数を既に含む場合は、この段階的処理のこの段階で記号ｒの値を有限体のある
一意の値に変更し、この段階に引き続く諸段階においてあたかもｒの値が適当に
変更されているかのごとくこれらの諸段階を解釈する。この段階での処理に影響
を与えることなく計算式ｆは選択された元ｒの値と同一の有限体の値を有する定
数又は変数を偶然に含む可能性がある、ことに注意せよ。この段階に引き続くこ
れらの諸段階は、ｄ’、ｊ”のような「プライム付けされた」記号を最初から含
まない計算式ｆ、に依存する。計算式ｆが「プライム付け」記号で表される定数
又は変数を最初から含む場合には、各定数又は変数のプライム付け記号を一意の
プライム付けされていない記号に変更、置換する。この処理段階に引き続く置換
段階は、プライム付け記号を含むソース計算式を使用する。プライム付け記号を
含むソース計算式は、非プライム付記号との整合を本発明においては規約上許容
されない。ｘのような非プライム付け記号含むソース計算式は、定数又は変数の
プライム付け又は非プライム付け記号のいずれか一方との整合を本発明において
は規約上許容される。 （２） 全てのソース計算式ｘをターゲット計算式ｘ’によって置換することに
より、計算式ｆを計算式ｆ₁に変換する。この置換において、ｘは計算式ｆ内の 変数又は定数を表す。この置換により、計算式ｆ内の全ての変数及び定数がプラ
イム付け記号に置換される。この置換の実行は計算式ｆ内に存在する係数には影
響を与えない、ことに注意せよ。 （３） 全てのソース計算式ｘ・ｙをターゲット計算式

【外３８】 によって置換することにより、計算式ｆ₁を計算式ｆ₂に変換する。この置換にお
いて、ｘ、ｙはプライム付け記号のみを含むはずのｆ₁の部分計算式を表し、記 号

【外３９】 は体Ｆにおける前述の体乗算演算を表す為の代替記号として使用される。この段
階の目的は、計算式ｆ内に存在する元々の演算子・の全てを

【外４０】 とラベル付けすることにより、これらの元々の演算子・とこの方法の以下の段階
中で変換された計算式内に導入されるであろう演算子・とを区別する、ことであ
る。 （４） 全てのソース計算式ｘ^-1をターゲット計算式ｘ^-1・ｒ²によって置換す ることにより、計算式ｆ₂を計算式ｆ₃に変換する。この置換において、ｘはｆ₂ の部分計算式を表す。 （５） 全てのソース計算式

【外４１】 をターゲット計算式ｘ・ｙ・ｒ^-1によって置換することにより、計算式ｆ₃を計 算式ｆ₄に変換する。この置換において、ｘ、ｙはｆ₃の部分計算式を表す。 （６） 全てのソース計算式ｘ’をターゲット計算式ｘ・ｒによって置換するこ
とにより、計算式ｆ₄を計算式ｆ’に変換する。この置換においてｘ’は、特に 非プライム付けの定数ｒを全て除外した計算式ｆ₃内のプライム付け変数又はプ ライム付け定数、を表す。この段階の目的は、全てのプライム付け記号をそのｒ
倍した非プライム付け形式に置換することである。 上記の段階的処理の完了時には、計算式ｆは新規の計算式ｆ’に変換されてい
る。本発明においては、条件ｆ＝ｆ’・ｒ^-1が保証されるように上記の段階的処
理の諸段階が慎重に特定される。これを検証する為に、ｆ＝ｘ＋ｙ、ｆ＝ｘ−ｙ
、ｆ＝ｘ・ｙ、及びｆ＝ｘ^-1（ここでｘ、ｙはＦの元）である四つの特定の場合
に関してその変換結果を例証する。一般的にはこうした変換結果は、体の交換性
、結合性、及び分配性に由来するものである。場合１ 変換された加算演算 ｆ＝ｘ＋ｙとする。本発明の置換技法を計算式ｆに適用すると、変換結果の計
算式ｆ’はｆ’＝ｘ・ｒ＋ｙ・ｒとなる。ｆ＝ｆ’・ｒ^-1を検証する為には、

【数４０】 に留意すれば良い。場合２ 変換された減算演算 ｆ＝ｒ−ｙとする。本発明の置換技法を計算式ｆに適用すると、変換結果の計
算式ｆ’はｆ’＝ｘ・ｒ−ｙ・ｒとなる。ｆ＝ｆ’・ｒ^-1を検証する為には、

【数４１】 に留意すれば良い。場合３ 変換された乗算演算 ｆ＝ｘ・ｙとする。本発明の置換技法を計算式ｆに適用すると、変換結果の計
算式ｆ’はｆ’＝（ｘ・ｒ）・（ｙ・ｒ）・ｒ^-1となる。ｆ＝ｆ’・ｒ^-1を検証
する為には、

【数４２】 に留意すれば良い。場合４ 変換された逆演算 ｆ＝ｘ^-1とする。本発明の置換技法を計算式ｆに適用すると、変換結果の計算
式ｆ’はｆ’＝（ｘ・ｒ）^-1・ｒ²となる。ｆ＝ｆ’・ｒ^-1を検証する為には、

【数４３】 に留意すれば良い。

【００７５】 従って本発明は、有限体Ｆ内の有限個数の体演算を含む計算式ｆをｆ’・ｒ^-1 の形に変換する方法を提供する。更に、本発明により構成された計算式ｆ’・ｒ ^-1 はモントゴメリー正準形式であることが保証されている。これを検証する為に
は、以下の条件（i）、（ii）、に留意すれば良い。即ち、（i）元々の計算式ｆ
がｘ・ｙの形の部分計算式を含む場合はそのような部分計算式はモントゴメリー
正準形式である（ｘ・ｒ）・（ｙ・ｒ）・ｒ^-1の形に変換される、ことが本発明
の方法による置換段階により保証されている。（ii）変換された部分計算式内に
本発明の方法による置換段階により新規の乗算演算が導入される場合は常に、そ
のような乗算演算は常にｒの冪である単一の追加的オペランドを付随して、自身
が導入された部分計算式のモントゴメリー正準形式性を維持する。

【００７６】 Ｆの精確な性質、計算式ｆ内の乗算演算の個数、及びｆ’の計算に含まれる演
算の精確な個数と性質によっては、計算式ｆ’・ｒ^-1を計算した方が計算式ｆを
直接計算するよりも効率的であり得る。このことは、体ＦがＧＦ（ｐ）又はＧＦ
（２^k）のいずれか一方のメンバである場合は特にその可能性が高い。その理由 は、そのような場合はモントゴメリーアルゴリズムはモントゴメリー正準形式で
ある計算式ｆ’・ｒ^-1の計算に特に容易に適用され得て、計算式ｆが値評価され
た場合の値の最適化された計算を保証するからである。

【００７７】 節Ｇ 本発明は又、「射影座標」と共に使用され得る。この射影座標は逆演算を実行
する必要性を取り除く為に利用される。 例えば、前述してきたアフィン座標においては二個の座標値（ｘ₁，ｙ₁）を必
要とするのみであるが、射影座標においては楕円曲線群Ｇ上の一点は三個の座標
値（ｘ₁，ｙ₁，ｚ₁）を有する。 例えば、ＧＦ（２^k）上で定義された楕円曲線上の射影座標：

【数４４】 で表現された別個の二点Ｐ、Ｑに関して、以下の体加算演算ルール：

【数４５】 を用いた楕円曲線上での二点の加算演算の結果の射影座標は、

【数４６】 となる。 この計算には１３個の体乗算演算が必要であるが、体逆演算は全く必要としな
い。 同様に、２Ｐに関する倍加算演算ルールは、

【数４７】 のように与えられる。 この計算には７個の体乗算演算が必要であるが、体逆演算は全く必要としない
。 従って、射影座標の利用により逆演算の必要性は取り除かれる。しかしながら
その代償として、点Ｐを表現する為の三個のＧＦ（２^k）座標値の格納と余分な 数個の乗算演算の実行が必要になる。 本発明は又、射影座標と連携して使用され得る。この場合、体加算演算ルール
は以下のように変更される。

【数４８】 同様に、２Ｐに関する倍加算演算ルールは以下のように変更される。

【数４９】

【００７８】 実装 本発明は、任意の従来型の又は汎用ＰＣコンピュータシステム上で実装され得
る。本発明は又、インターネットを含めた任意のネットワークシステムと連携し
て使用され得る。本発明を実装する為のコンピュータシステムの好適実施例は、
ウィンドウズＮＴ４．０を走行するインテルペンティアムIIＰＣ２３３ＭＨｚで
ある。 本発明は、Ｃ及びジャバを含めた任意のプログラム言語において実装され得る
。本発明を実装するのに適切な擬似コードの例を以下に挙げる。 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ 設定：ａ，ｂ： 楕円曲線（ＥＣ）のパラメータ Ｆ： ＥＣが基礎とする体 ＧＦ（ｐ）又はＧＦ（２^k）の一方 ＊： 体乗算（field multiplication） ＋： 体加算（field addition） −： 体減算（field subtraction） ^-1： 体逆算（field inversion） Ｐ＝（Ｐ（ｘ），Ｐ（ｙ））： ＥＣ上の点 Ｐ（ｘ）及びＰ（ｙ）はアフィン座標 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ アルゴリズム識別子： 点指数化（Exp Point） 入力： ｅ： ｋビットの整数 Ｐ： ＥＣ上の点、Ｐ＝（Ｐ（ｘ），Ｐ（ｙ）） 出力： Ｑ： ＥＣ上の点、Ｑ＝（Ｑ（ｘ），Ｑ（ｙ）） Ｑ： ＝ｅＰ＝（Ｐ＋Ｐ＋．．．＋Ｐ） （Ｐのｅ倍） 機能 点指数化 開始 ／＊ ｒを用いてＰをＰ’に変換 ＊／ Ｐ’（ｘ）＝Ｐ（ｘ）＊ｒ Ｐ’（ｙ）＝Ｐ（ｙ）＊ｒ ／＊ 無限遠点Ｏ’から開始 ＊／ Ｑ’＝Ｏ’ ／＊ 二元法ループ ＊／ ｉ＝ｋ−１から０までに対して Ｑ’：＝（Ｑ’）の点倍加算（Double Point (Q')） ｅ_-ｉ＝１ならばＱ’：＝（Ｑ’，Ｐ’）の点加算 を実行 ／＊ ｒを用いてＱ’を Ｑに変換 ＊／ Ｑ（ｘ）＝Ｑ’（ｘ）＊ｒ^-1 Ｑ（ｙ）＝Ｑ’（ｙ）＊ｒ^-1 リターンＱ 終了 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ アルゴリズム識別子： 点加算（Add Point） 入力： Ｐ’： ＥＣ上の変換点 Ｑ’： ＥＣ上の変換点 出力： Ｔ’： ＥＣ上の変換点 ＥＣ点加算ルールを用いてＴ’：＝ Ｐ’＋Ｑ’ 機能 点加算 開始 ／＊ 基礎体（underlying field）がＧＦ（ｐ）ならば ＊／ ラムダ’＝（（Ｑ’（ｙ）−Ｐ’（ｙ））、（Ｑ’（ｘ）−Ｐ’（ｘ）の逆
算）の乗算 Ｔ’（ｘ）＝（ラムダ’，ラムダ’）の乗算−Ｐ’（ｘ）−Ｑ’（ｘ） Ｔ’（ｙ）＝（ラムダ’，（Ｐ’（ｘ）−Ｔ’（ｘ）））の乗算−Ｐ’（ｙ
） リターンＴ ／＊ 基礎体がＧＦ（２^k）ならば ＊／ ラムダ’＝（（Ｐ’（ｙ）＋Ｑ’（ｙ））、（Ｐ’（ｘ）＋Ｑ’（ｘ））の
逆算）の乗算 Ｔ’（ｘ）＝（ラムダ’，ラムダ’）の乗算＋ラムダ’＋Ｐ’（ｘ）＋Ｑ’
（ｘ）＋ａ’ Ｔ’（ｙ）＝（ラムダ’，（Ｐ’（ｘ）＋Ｔ’（ｘ）））の乗算＋Ｔ’（ｘ
）＋Ｐ’（ｙ） リターンＴ 終了 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ アルゴリズム識別子： 点倍加算（Double Point） 入力： Ｐ’： ＥＣ上の変換点 出力： Ｔ’： ＥＣ上の変換点 ＥＣ点倍加算ルールを用いてＴ’：＝ Ｐ’＋Ｐ 機能 点倍加算 開始 ／＊ 基礎体がＧＦ（ｐ）ならば ＊／ ラムダ’＝（３Ｐ’（ｘ），Ｐ’（ｘ））の乗算＋ａ’）、（２Ｐ’（ｙ）
）の逆算）の乗算 Ｔ’（ｘ）＝（ラムダ’，ラムダ’）の乗算−２Ｐ’（ｘ） Ｔ’（ｙ）＝（ラムダ’，（Ｐ’（ｘ）−Ｔ’（ｘ）））の乗算−Ｐ’（ｙ
） リターンＴ ／＊ その他、基礎体がＧＦ（２^k）ならば ＊／ Ｔ’（ｘ）＝（Ｐ’（ｘ），Ｐ’（ｘ））の乗算＋ （ｂ’，（Ｐ’（ｘ），Ｐ’（ｘ））の逆算の乗算）の乗算 Ｔ’（ｙ）＝（Ｐ’（ｘ），Ｐ’（ｘ））の乗算＋ （Ｐ’（ｘ）＋（Ｐ’（ｙ），Ｐ’（ｘ）の逆算）の乗算，Ｔ’（ｘ））の乗算
＋Ｔ’（ｘ） リターンＴ 終了 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ アルゴリズム識別子： 逆算（Invense） 入力： ｕ： 体の元 出力： ｔ： 体の元 機能 逆算 開始 ｔ＝ｕ^-1＊ｒ² リターンｔ 終了 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐ アルゴリズム識別子： 乗算（Multiply） 入力： ｕ、ｖ： 体の元 出力： ｔ： 体の元 機能 乗算 開始 ｔ＝ｕ＊ｖ＊ｒ^-1 リターンｔ 終了 ‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐‐

【００７９】 多くの参考文献が本発明の数学的背景を説明している。これらの参考文献には
以下のものが含まれる。Ｐ．Ｌ．モントゴメリー、トライアル分割無しのモジュ
ラー乗算演算、「計算数学」、４４（１７０）：５１９−５２１、四月、１９８
５、；Ｄ．Ｅ．クナス、「コンピュータプログラミング技術：半数値的アルゴリ
ズム」、第２巻、第２版、読み取り、ＭＡ：アディソンウェスリー、１９８１；
Ｃ．Ｋ．コク及びＴ．アカー、ＧＦ（２^k）におけるモントゴメリー乗算演算、 「暗号化技術の選択領域に関する第３回年季研究会会報」９５−１０６項、クイ
ーンズ大学、キングストン、オンタリオ、カナダ、８月１５−１６、１９９６；
Ｃ．Ｋ．コク及びＴ．アカー、ＧＦ（２^k）における高速ソフトウェア指数関数 化、「コンピュータ算術演算に関する第１３回シンポジウム会報」２２５−２３
１項、アシロマル、カリフォルニア、７月６−９、１９９７、ロスアラミトス、
ＣＡ：ＩＥＥＥコンピュータ協会出版；Ｊ．Ｃ．バジャド、Ｌ．Ｓ．ディジール
及びコルネラップ、ＲＮＳモントゴメリー乗算演算アルゴリズム、「コンピュー
タ算術演算に関する第１３回シンポジウム会報」２３４−２３９項、アシロマル
、カリフォルニア、７月６−９、１９９７、ロスアラミトス、ＣＡ：ＩＥＥＥコ
ンピュータ協会出版；Ｄ．Ｒ．スティンソン、「暗号化技術の理論と実践」、Ｃ
ＲＣ出版、１９９５；Ｖ．ミラー、暗号化技術における楕円曲線の利用、「暗号
化技術の進歩―暗号８５会報」４１７−４２６項、ニューヨーク、ＮＹ：スプリ
ンガーヴェルラグ、１９８５；Ｎ．コブリッツ、楕円曲線暗号化システム、「計
算数学」、４８：２０３−２０９、１９８７；Ｎ．コブリッツ、「数論と暗号化
技術に関する教程」、ニューヨーク、ＮＹ：スプリンガーヴェルラグ、１９８７
；Ａ．Ｊ．メネゼス、「楕円曲線公開鍵暗号化システム」、ボストン、ＭＡ：ク
ルワー学術出版社、１９９３；Ｒ．Ｌ．リィベスト、Ａ．シャミール及びＬ．ア
デルマン、ディジタル署名と公開鍵暗号化システムの実装方法、「ＡＣＭ通信」
、２１（２）：１２０−１２６、１９７８；Ｔ．ベス、Ｍ．フリィシュ及びＧ．
Ｊ．サイモン、公開鍵暗号化技術：技術の現状と将来の方向性、スプリンガーヴ
ェルラグ、ＮＹ，１９９１；ＩＥＥＥ特別審議会Ｐ１３６３，審議ドラフト：Ｉ
ＥＥＥ１３６３：ＲＳＡ、ディフィー−ヘルマン及び関連する公開鍵暗号化に関
する規格（１９９５年は準備中）；ＲＳＡ研究所、今日の暗号化技術に関して頻
繁に為される質問に対する回答、３．０版、１９９６；Ｇ．Ｂ．アグニュー、Ｒ
．Ｃ．ムリン、Ｉ．Ｍ．オニズチャク及びＳ．Ａ．ヴァンストーン、高速公開鍵
暗号化システムの一実装、暗号化技術会誌、３（２）：６３−７９，１９９１．
これらの全ての公開文献は、その各個別公開文献が特定的且つ個別的に本明細書
で説明されたかのごとくの形態で、引用により本明細書中に併合される。

【００８０】 （産業上の利用可能性） 本発明の原理を好適実施例に関して説明、例示したが、これらの原理から乖離
することなく本発明がその構成と詳細において変更され得ることは明白であろう
。従って、上記の詳細な好適実施例は単に例示目的の為のものに過ぎず本発明の
請求範囲を限定する性質のものではない、ことが理解されるべきである。むしろ
、以下の請求範囲の範囲と精神の範疇内に存在しこれらと同等な諸々の実施例を
本発明として請求するものである。

───────────────────────────────────────────────────── フロントページの続き (81)指定国 ＥＰ(ＡＴ，ＢＥ，ＣＨ，ＣＹ， ＤＥ，ＤＫ，ＥＳ，ＦＩ，ＦＲ，ＧＢ，ＧＲ，ＩＥ，Ｉ Ｔ，ＬＵ，ＭＣ，ＮＬ，ＰＴ，ＳＥ)，ＯＡ(ＢＦ，ＢＪ ，ＣＦ，ＣＧ，ＣＩ，ＣＭ，ＧＡ，ＧＮ，ＧＷ，ＭＬ， ＭＲ，ＮＥ，ＳＮ，ＴＤ，ＴＧ)，ＡＰ(ＧＨ，ＧＭ，Ｋ Ｅ，ＬＳ，ＭＷ，ＳＤ，ＳＺ，ＵＧ，ＺＷ)，ＥＡ(ＡＭ ，ＡＺ，ＢＹ，ＫＧ，ＫＺ，ＭＤ，ＲＵ，ＴＪ，ＴＭ) ，ＡＬ，ＡＭ，ＡＴ，ＡＵ，ＡＺ，ＢＡ，ＢＢ，ＢＧ， ＢＲ，ＢＹ，ＣＡ，ＣＨ，ＣＮ，ＣＵ，ＣＺ，ＤＥ，Ｄ Ｋ，ＥＥ，ＥＳ，ＦＩ，ＧＢ，ＧＥ，ＧＨ，ＧＭ，ＨＵ ，ＩＤ，ＩＬ，ＩＳ，ＪＰ，ＫＥ，ＫＧ，ＫＰ，ＫＲ， ＫＺ，ＬＣ，ＬＫ，ＬＲ，ＬＳ，ＬＴ，ＬＵ，ＬＶ，Ｍ Ｄ，ＭＧ，ＭＫ，ＭＮ，ＭＷ，ＭＸ，ＮＯ，ＮＺ，ＰＬ ，ＰＴ，ＲＯ，ＲＵ，ＳＤ，ＳＥ，ＳＧ，ＳＩ，ＳＫ， ＳＬ，ＴＪ，ＴＭ，ＴＲ，ＴＴ，ＵＡ，ＵＧ，ＵＳ，Ｕ Ｚ，ＶＮ，ＹＵ，ＺＷ (72)発明者 コク、セティン、カヤ アメリカ合衆国 オレゴン、コアバリス、 ノースウェスト セブンティーンス スト リート 1250 (72)発明者 ビーハン、ジョン、ジェイ、ジュニア アメリカ合衆国 カリフォルニア、パサデ ナ、チェスター アベニュー 170、アパ ートメント 12 (72)発明者 サデジイ、ベーザド アメリカ合衆国 カリフォルニア、パサデ ナ、サウス チェスター アベニュー 170、アパートメント 12 Ｆターム(参考） 5J104 AA09 AA18 AA25 JA25 NA16 PA07

Claims (23)

【特許請求の範囲】
1. 【請求項１】 任意整数ｅと、体Ｆ上で定義されたＧ⊂Ｆ×Ｆである楕円曲
   線群Ｇ上の点Ｐ、を使用し、楕円曲線点乗算積Ｑ＝ｅＰを生成する方法であって
   、 ある集合Ｇ’を構成する段階と、 （ａ） 点Ｐ∈Ｇに対してＴ^-1（Ｔ（Ｐ））＝Ｐ、（ｂ） 【数１】 ここにＰ’＝Ｔ（Ｐ）、が満足されるように、Ｇから前記集合Ｇ’内への写像Ｔ
   、Ｇ’からＧ上への写像Ｔ^-1、及びＧ’上で定義される 【外１】 を構成する段階と、 前記写像Ｔを用いて前記点Ｐを前記点Ｐ’に変換し、前記点Ｐ’上で 【外２】 を実行して点Ｑ’＝ｅＰ’を求め、更に前記写像Ｔ^-1を用いて前記点Ｑ’を前記
   楕円曲線点乗算積Ｑに変換する、ことにより前記積Ｑを生成する段階と、 前記積Ｑを暗号化演算において使用する段階、から成ることを特徴とする方法
   。
2. 【請求項２】 Ｎを整数とするＰ₁、Ｐ₂、．．．Ｐ_N∈Ｇに対して 【数２】 の計算がＰ₁＋Ｐ₂＋．．．＋Ｐ_Nの計算より効率的であるように、前記集合Ｇ、 前記集合Ｇ’、前記写像Ｔ、 【外３】 及び前記写像Ｔ^-1が構成される、ことを特徴とする請求項１記載の方法。
3. 【請求項３】 前記体Ｆの任意の元ｒを選択し次にＴ：（ｘ，ｙ）→（ｘ・
   ｒ，ｙ・ｒ）、ここにＰ＝（ｘ，ｙ）∈Ｇ、・はＦにおける前記乗算演算子、と
   定義することにより前記写像Ｔが構成され、 Ｔ：（ｕ，ｖ）（ｕ・ｒ^-1，ｖ・ｒ^-1）、ここにＰ’＝（ｕ，ｖ）∈Ｇ’、と
   定義することにより前記写像Ｔが構成される、ことを特徴とする請求項１記載の
   方法。
4. 【請求項４】 前記体ＦはＧＦ（ｐ）のメンバである、ことを特徴とする請
   求項３記載の方法。
5. 【請求項５】 前記元ｒはｐより大なる２の最小冪として選択される、こと
   を特徴とする請求項４記載の方法。
6. 【請求項６】 前記元ｒは素数の積として選択される、ことを特徴とする請
   求項４記載の方法。
7. 【請求項７】 前記集合Ｇ’における二点の加算演算が 【数３】 により与えられるように 【外４】 は構成される、ことを特徴とする請求項４記載の方法。
8. 【請求項８】 前記集合Ｇ’における一点の倍加算演算が 【数４】 により与えられるように 【外５】 は構成される、ことを特徴とする請求項４記載の方法。
9. 【請求項９】 前記点Ｐ’上で 【外６】 を実行して点Ｑ’＝ｅＰ’を求める為にＧＦ（ｐ）におけるモントゴメリーアル
   ゴリズムが利用される、ことを特徴とする請求項４記載の方法。
10. 【請求項１０】 前記体ＦはＧＦ（２^k）のメンバである、ことを特徴とす る請求項３記載の方法。
11. 【請求項１１】 前記集合Ｇ’における二点の加算演算が 【数５】 により与えられるように 【外７】 は構成される、ことを特徴とする請求項１０記載の方法。
12. 【請求項１２】 一点の倍加算演算が 【数６】 により与えられるように 【外８】 は構成される、ことを特徴とする請求項１０記載の方法。
13. 【請求項１３】 前記元ｒはx^k mod ｎ（ｘ）として選択され、ここにｎ （ｘ）は前記体ＧＦ（２^k）を生成する既約多項式である、ことを特徴とする請 求項１０記載の方法。
14. 【請求項１４】 前記点Ｐ’上で 【外９】 を実行して点Ｑ’＝ｅＰ’を求める為にＧＦ（２^k）におけるモントゴメリーア ルゴリズムが利用される、ことを特徴とする請求項１０記載の方法。
15. 【請求項１５】 前記点Ｐ’上で 【外１０】 を実行する段階では二元法を利用する、ことを特徴とする請求項１記載の方法。
16. 【請求項１６】 前記点Ｐ’上で 【外１１】 を実行する段階ではＭ−ａｒｙ法を利用する、ことを特徴とする請求項１記載の
    方法。
17. 【請求項１７】 前記集合Ｇ及びＧ’の前記元は射影座標を用いて実装され
    る、ことを特徴とする請求項１記載の方法。
18. 【請求項１８】 ｘ₁，...，ｘ_i，...，ｘ_nを任意の有限体Ｆの全ての元と して前記有限体Ｆ上の有限個数の任意の体演算を含む計算式ｆ＝ｆ（ｘ₁，...，
    ｘ_i，...，ｘ_n）の計算を最適化する方法であって、 ある定数元ｒを前記有限体Ｆから選択する段階と、 ｘを前記計算式ｆ内の変数又は定数としてｆ内の全てのｘをｘ’により置換
    して計算式ｆ₁を生成し ｘ、ｙを前記計算式ｆ₁の部分計算式としてｆ₁内の全てのｘ・ｙを 【外１２】 により置換して計算式ｆ₂を生成し ｘを前記計算式ｆ₂の部分計算式としてｆ₂内の全てのｘ^-1をｘ^-1・ｒ²によ り置換して計算式ｆ₃を生成し ｘ、ｙを前記計算式ｆ₃の部分計算式としてｆ₃内の全ての 【外１３】 をｘ・ｙ・ｒ^-1により置換して計算式ｆ₄を生成し ｘを前記計算式ｆ₄内のプライム付け変数又はプライム付け定数としてｆ₄内
    の全てのｘ’をｘ・ｒにより置換して計算式ｆ’を生成することにより 前記計算式ｆ＝ｆ（ｘ₁，...，ｘ_i，...，ｘ_n）を前記計算式ｆ’＝ｆ’（ｘ₁ ’，...，ｘ_i，...，ｘ_n’）に変換する段階と、 ｆ＝ｆ’・ｍ^-1を求める段階と、 ｆ’・ｍ^-1を使用して暗号化演算においてｆを計算する段階、から成ることを
    特徴とする方法。
19. 【請求項１９】 前記集合ＦがＧＦ（ｐ）のメンバである場合には前記各ｘ
    ’・ｙ’・ｍ^-1はモントゴメリーアルゴリズムを用いて計算される、ことを特徴
    とする請求項１８記載の方法。
20. 【請求項２０】 前記集合ＦがＧＦ（２^k）のメンバである場合には前記各 ｘ’・ｙ’・ｍ^-1はＧＦ（２^k）におけるモントゴメリーアルゴリズムを用いて 計算される、ことを特徴とする請求項１８記載の方法。
21. 【請求項２１】 体Ｆ上で定義されたＧ⊂Ｆ×Ｆである楕円曲線群Ｇ上の点
    Ｐを使用し、楕円曲線点加算和Ｑ＝Ｐ＋Ｐを生成する方法であって、 ある集合Ｇ’を構成する段階と、 （ａ） 点Ｐ∈Ｇに対してＴ^-1（Ｔ（Ｐ））＝Ｐ、（ｂ） 【数７】 ここにＰ’＝Ｔ（Ｐ）、が満足されるように、Ｇから前記集合Ｇ’内への写像Ｔ
    、Ｇ’からＧ上への写像Ｔ^-1、及びＧ’上で定義される 【外１４】 を構成する段階と、 前記写像Ｔを用いて前記点Ｐを前記点Ｐ’に変換し、前記点Ｐ’と前記点Ｐ’
    上で 【外１５】 を実行して点Ｑ’を求め、更に前記写像Ｔ^-1を用いて前記点Ｑ’を前記楕円曲線
    点加算和Ｑに変換する、ことにより前記和Ｑを生成する段階と、 前記和Ｑを暗号化演算において使用する段階、から成ることを特徴とする方法
    。
22. 【請求項２２】 体Ｆ上で定義されたＧ⊂Ｆ×Ｆである楕円曲線群Ｇ上の点
    Ｐ及びＳを使用し、楕円曲線点加算和Ｑ＝Ｐ＋Ｓを生成する方法であって、 ある集合Ｇ’を構成する段階と、 （ａ） 点Ｐ∈Ｇに対してＴ^-1（Ｔ（Ｐ））＝Ｐ、（ｂ） 【数８】 ここにＰ’＝Ｔ（Ｐ）及びＳ’＝Ｔ（Ｓ）、が満足されるように、Ｇから前記集
    合Ｇ’内への写像Ｔ、Ｇ’からＧ上への写像Ｔ^-1、及びＧ’上で定義される 【外１６】 を構成する段階と、 前記写像Ｔを用いて前記点Ｐを前記点Ｐ’に変換し、前記写像Ｔを用いて前記
    点Ｓを前記点Ｓ’に変換し、前記点Ｐ’と前記点Ｓ’上で 【外１７】 を実行して点Ｑ’を求め、更に前記写像Ｔ^-1を用いて前記点Ｑ’を前記楕円曲線
    点加算和Ｑに逆変換する、ことにより前記和Ｑを生成する段階と、 前記和Ｑを暗号化演算において使用する段階、から成ることを特徴とする方法
    。
23. 【請求項２３】 任意整数ｅと、体Ｆ上で定義されたＧ⊂Ｆ×Ｆである楕円
    曲線群Ｇ上の点Ｐ、を使用し、楕円曲線点乗算積Ｑ＝ｅＰを生成する装置であっ
    て、 ある集合Ｇ’を構成する手段と、 （ａ） 点Ｐ∈Ｇに対してＴ^-1（Ｔ（Ｐ））＝Ｐ、（ｂ） 【数９】 ここにＰ’＝Ｔ（Ｐ）、が満足されるように、Ｇから前記集合Ｇ’内への写像Ｔ
    、Ｇ’からＧ上への写像Ｔ^-1、及びＧ’上で定義される 【外１８】 を構成する手段と、 前記写像Ｔを用いて前記点Ｐを前記点Ｐ’に変換し、前記点Ｐ’上で 【外１９】 を実行して点Ｑ’＝ｅＰ’を求め、更に前記写像Ｔ^-1を用いて前記点Ｑ’を前記
    楕円曲線点乗算積Ｑに変換する、ことにより前記積Ｑを生成する手段と、 前記積Ｑを暗号化演算において使用する手段、を備えることを特徴とする装置
    。