JP2002182899A

JP2002182899A - 除算の計算方法及び装置

Info

Publication number: JP2002182899A
Application number: JP2000383622A
Authority: JP
Inventors: Masahiko Motai; 正彦馬渡
Original assignee: Toshiba Corp
Current assignee: Toshiba Corp
Priority date: 2000-12-18
Filing date: 2000-12-18
Publication date: 2002-06-28

Abstract

(57)【要約】【課題】除数のテーブル索引を削減し除算の高速化を図
る。【解決手段】変数を数ｐで除算する場合、前記数ｐとし
て最下位桁から少なくとも1単位ビット長（ビット長
ｉ）の各ビットの値が１である数ｐを用い、且つ前記変
数の一部を前記商の少なくとも一部に利用した演算を行
なうものである。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は、暗号に利用され
る楕円演算などでの逆元計算や剰余演算に利用される除
法の計算に係わり、より詳しくは、多倍長（多重精度）
演算のための除算方法と装置に関する。

【０００２】

【従来の技術】本発明が適用可能とされる計算／演算や
暗号システムとしては、文献（１）として特開昭７−２
０７７８号公報に記載された技術が類似している。ここ
では、例えば公開鍵暗号系におけるRSＡ暗号処理におけ
る剰余演算等に好適な剰余計算装置が示されている。こ
こでは、特に剰余計算の一手法であるモンゴメリのアル
ゴリズムを用いて高速に剰余乗算を行なう装置や、その
演算過程で使用する倍数テーブルの作成装置が示されて
いる。その他、関係する文献（２）として特開平１０−
２６９０６０号公報がある。

【０００３】説明のために、ここではモンゴメリ系での
剰余乗算の関数名をmont＿mult（）とし、また通常乗算
の関数名をnorm＿mlt（）とおくことにする。

【０００４】以下、モンゴメリ系での剰余乗算のアルゴ
リズムの例を簡単に示す。

【０００５】（１６０bit）＊（１６０bit）＝（３２０
bit）の通常乗算をnorm＿mlt（）関数で計算した後、そ
の結果の３２０bitを素数ｐを法とするモンゴメリ系で
の剰余乗算のアルゴリズム例を簡単に示す。これは上記
の文献（１）、（２）に記載されている演算、ＡBR−１
mod N，あるいはXBR−１（mod ｐ）に対応する。

【０００６】計算の説明のために数式をＣ言語（べき乗
は、Fortrun記述）に類似させて表記することにする。

【０００７】そうすると、文献（１）に記載されている
演算はC=（A＊B＊R＊＊（−１））mod ｐとなる。＊は
掛けるを意味し、＊＊（−１）は、Ｒの−１乗を意味す
る。また変数A，Bのビット数を１６０bitとしてA（１５
９：０）、B（１５９：０）、その乗算結果をC（３１
９：０）と表記する。ここでＡ（m：n）、Ｂ（m：n）、
C（m：n）の表記は、変数Ａ，Ｂ，Cの重み第mビットか
ら第nビットの連続するデータを意味する。重みが異な
る加算などの表記、例えばＣ（３１９：３２）＋ｐ（１
５９：０）は、Ｃの重み３２とｐの重み０のｌｓｂ側を
揃えて換算するとする。またこの時ｐの上位側ｐ（３１
９：１９２）には０が付加されているとする。

【０００８】モンゴメリ系での剰余乗算の計算ステップ
は、 mont_mult（）{ STEP1 ：通常乗算C（319：0）＝A（159：0）＊B（15
9：0）を行なう。 norm_mlt（C,A,B）； STEP2 ：ループカウンタを初期化する。ｋ＝０； STEP3 ：Ｃのlsb側から順に８ビットずつＴ１に代入す
る。T1（7：0）＝C（7＋8＊k：8＊ｋ）； STEP4 ：Ｔ１の値に対応する商Ｔ２をテーブル索引で
求める。T2（7：0）＝A_table_p［T1（7：0）］； STEP5 ：部分的な除算を計算して、Ｃの下位８ビット
を０にする。C（319：８＊ｋ）＝Ｃ（319：8＊k）＋((p
（159：0）＊T2（7：0）)＜＜８＊ｋ)； STEP6 ：ループカウンタを１加算する。k＋＋ STEP7 ：もしループカウンタが２０未満ならば、STEP3
へ移行、それ以外ならばSTEP8へ進む；if（k<20）goto
STEP3； STEP8 ：C（159：0）は０となる。結果はC（319：16
0）にあるがその１６ビットの値はｐより大きい場合が
あり補正を行なう。

【０００９】C（159：0）=C(319:160)：while( (C159:
0)>p(159:0))(C(159:0)=C(159:0)-p(159:0) ) STEP9：結果は、C（159：0）｝となる。ここでSTEP１は通常乗算で文献に記載されてい
るA＊BあるいはX＊Bに相当する。但しA,B,Xともにモン
ゴメリ領域に変換された変数である。STEP３は、乗算結
果Cの下位桁側から８ビットずつ抽出代入することを示
す。k=0のときはC（7：0）を抽出、即ち lsbから８ビッ
トを抽出する。STEP４は、文献（１）に記載されている
倍数テーブルへのアクセスである。これはｃ＋ｐ＊A_ta
ble p（ｃ）＝０と成すテーブルである。STEP5は、文献
（１）でのR-1 mod Nに対応する部分計算であり、結
果、C（7+8＊k：8＊k）＝0となる。STEP６は、１６０ビ
ット分の繰り返しを示し、STEP８は、文献（１）での補
正装置に相当する。

【００１０】また通常領域からモンゴメリ領域への変換
にも使われる剰余計算について記載する。

【００１１】文献（２）に記載されているように剰余系
Zｐでの元ａに対応するモンゴメリ領域の元Aは、A＝ａ
＊R mod ｐで与えられる。通常R=２＊＊ｎ、n＞pのビ
ット数、と選択されており、上記の例題の場合にはR＝
２＊＊160（即ち、R＊＊（‐1）＝２＊＊（‐160）であ
る。

【００１２】この通常領域の変数ａのモンゴメリ域への
変換の関数名をTo＿mont（）として、その計算ステップ
を次に示す。

【００１３】To＿mont（）｛ STEP０：変数ａの上位に０を追加して１６８ビットと拡
張する。t（167：0）＝0として、ａ（167：160）＝t（1
67：0）＋a（159：0）；尚、ｐの上位にも８ビット０を
説明上拡張する。t（167：0）＝0として、ａ（167：16
0）＝t（167：0）＋a（159：0）； STEP１：ループカウンタを初期化する。i＝１； TEP２：もしａがｐより大きいなら、引き算する。while
(a>p) a（167：０）＝a（167：０）−ｐ（167：
０）； STEP３：ループカウンタが２０以上ならばSTEP10へ移行
する。if(I>20)gotoSTEP10; STEP4：aを８ビット左シフトする。a（167：0）＝a（15
9：０）＜＜８； STEP5：aの上位８ビットを抽出してT1に代入する。T1
（7：0）＝a（167：160）； STEP６：T1が零でないならばSTEP7からSTEP8に移行す
る。

【００１４】if（T17（7：0））｛ STEP7：仮の商T2を求める。 T2（7：0）＝Q_Table
_p（T1（7:0））； STEP８：仮の剰余を求める。a（167：160）は１または
０となる。 a（167：0）＝a（167：0）‐p（159：0）
＊T2（7：0）； STEP９：ループカウンタを１加算し、STEP2へ戻る。i＋
＋；gotoSTEP2 ； STEP10：モンゴメリ領域への変換値Aは、a(159;0)にあ
り、それを関数の出力とする。

【００１５】｝ここで，STEP4にて８ビット左シフトを計２０回、即ち
ａ＊２＊＊（160）を計算している。STEP7のなかにあ
る、T2（7：0）＝Ｑ_table_p（T1(7:0)）は、８ビット
＊２５６テーブル索引である。即ちa（167：160）‐p
（159：152）＊Ｑ_table_p＝a（167：160）＝0となる。
コメントに記載しているようにa（167：0）＝a（167：
0）−p（159：0）＊T2（7：0）；の結果ａ（167：160）
は１または０となる。これは、下位桁からの計算を含む
ためである。

【００１６】まとめると、通常域aからモンゴメリ領域A
への変換はＡ＝ａ＊R mod pであり左シフトしつつQ_t
able_pテーブルを使う。

【００１７】モンゴメリ領域での剰余乗算は、C＝A＊B
＊R＊＊（‐1） mod ｐであり、また、モンゴメリ域A
からの通常域ａへの変換は、a＝a＊1＊R^（‐1） mod
pであり、右シフト（上記例では加算数側を左シフトし
ている）しつつA_table_pテーブルを使う。

【００１８】ことになる。

【００１９】文献（２）では、素数ｐ=23, n=5, R=2⁵=3
2とした場合の通常領域での元aに対してのモンゴメリ域
の対応する元Aの値が表として示されている。ここでは
素数pを１８１として上記計算を試して見ることにす
る。すなわち通常領域での剰余乗算例として、ａ＊b＝
ｃ mod p → 33＊157＝5181 mod 181＝113をあげ
る。ここで、a=33 , b=157, p=181である。

【００２０】まず、aをモンゴメリ領域のAへ変換する。
上記Q_table_p（T1（3:0））を表1に示す。a=33=0x21
（0x21は16進数を示す。以下同様）であるので、 To_mont（）は、 STEP0：変数ａの上位に０を追加して１２ビットと拡張
する。a（11:0）=0x021；尚、ｐの上位にも４ビット０
を説明上拡張する。p(11:0)=0x0b5 ； SETP1：ループカウンタを初期化する。 i=0； STEP2：もしａがｐより大きいなら、引き算する。a<p
だから次のステップへ移行。

【００２１】STEP3：ループカウンタが２以上ならばSTE
P10へ移行。0だから次のステップ STEP4：ａを４ビット左へシフトする。結果のａ（3:0）
=0である。a（11:0）=0xa60； STEP5：aの上記４ビットを抽出してT1に代入する。T1
（3:0）=a（11:8）=0xa； STEP6：T1が零でないならSTEP7からSTEP8へ移行する。
０でないので次のステップ STEP7：仮の商T2を求める。 T2（3：0）＝Q_Table
_p（T1（3:0））=0xd； STEP８：仮の剰余を求める。a（11：8）は１または０と
なる。 a（11：0）＝0xa60‐0x0b50＊0xd=0x12f=303； STEP9：ループカウンタを１加算し、STEP2へ戻る。i+
+；gotoSTEP2； STEP2：もしａがｐより大きいなら、引き算する。a<p
だから次のステップへ移行。

【００２２】STEP3：ループカウンタが２以上ならばSTE
P10へ移行。１だから次のステップへ STEP4：ａを４ビット左へシフトする。結果のａ（7:0）
＝０である。a(11:0)=0xa60; STEP5：ａの上位８ビットを抽出してＴ1に代入する。Ｔ
1（3:0）＝a(11:8)=0xa; STEP6：Ｔ1が零でないならSTEP7からSTEP8を実行する。
０ではないので次のステップ STEP7：仮の商T2を求める。T2（3:0）=Q_table_p(T1
（3:0）)＝０ｘｄ； STEP8：仮の剰余を求める。a(167:160)は１または０と
なる。a(11:0)=0xa60?0x0b5＊0xd=0x12f=303; STEP9：ループカウンタを１加算し、STEP2へ戻る。i++;
gotoSTEP2; STEP2：もしａがｐより大きいなら、引き算する。a>p
だからa(11:0)=0x12f? 0x0b5=0x07a=122; STEP3：ループカウンタが２以上ならばSTEP10へ移行。
２だからステップSTEP10へ STEP10：モンゴメリ域への変換値Aは、a（7:0）＝0x7a=
122であり、それを関数の出力とする。上記例題では、
結果A=122が得られた。

【００２３】同様にして、b＝157をモンゴメリ域のBへ
変換すると、B=10が得られる。

【００２４】次にモンゴメリ系での剰余乗算の上記数値
での例を示す。p=181の場合のA_table_p表も表１に示
す。

【００２５】その計算ステップmount_mult（）は、 STEP1：通常乗算C815:0)=A(7:0)＊B(7:0)を行なう。C=1
22＊10=122=0x04c4; STEP2：ループカウンタを初期化する。k=0 ； STEP3：Cのｌｓｂ側から順に４ビットずつT1に代入す
る。T1（3:0）=C（3+4＊k:4＊k）;=0x4 ； STEP4：T1の値に対応する仮商T2をテーブル索引で求め
る。T2（3:0）=A_table_p( T1（3:0）)=12=0xc； STEP5：部分的な剰余を計算して、Cの下位４ビットを零
にする。

【００２６】C（15:4＊k）=C（11:4＊k）+(p（11:0）＊
T2（3:0）<<4＊k )； =0x04c4+0xb5＊0xc=0x0d40 STEP6：ループカウンタを１加算する。k++； STEP7：もしループカウンタが２未満ならばSTEP3に移
行。もしそれ以外ならばSTEP8に移行。１だからSTEP3に
移行する。

【００２７】STEP3：Cのlsb側から順に４ビットずつT1
に代入する。T1(3:0)=C(3+4＊k:4＊k)=0x4 STEP4：T1の値に対応する仮商T2をテーブル索引する。T
2(3:0)=A_table_p(T1(3:0))=12=0xc； STEP5：部分的な剰余を計算して、Cの下位４ビットを零
にする。C(15:4＊k)=C(11:4＊k)+((p(11:0)＊T2(3:0))<
<4＊k)=0x0d40+(0xb5＊0xc)<<4=0x950 STEP6：ループカウンタを１加算する。k++ STEP7：もしループカウンタが２未満ならば、STEP3に移
行。それ以外ならばSTEP8に進む。２だからSTEP８に移
行。

【００２８】STEP8：C（7:0）は０となる。結果はC（1
5:8）にあるが、その８ビットの値はｐより大きい場合
があり、補正を行なう。

【００２９】C(7:0)=C(15:8)=0x35=149；ｐより小だか
らSTEP9へ STEP9：結果は、C(7:0)=0x95=149 結果として、C=A＊B＊R＊＊（‐1） mod p→ C=122＊10
＊R＊＊（‐1）mod p→C=149が得られる。

【００３０】次にこの結果C=149を通常域に変換してみ
る。これはc=C＊1＊R^（-1）として、上記モンゴメリ系
での剰余乗算を用いる。結果はc=133となるが、これはa
＊b mod p→33＊157 mod 181 → 113と同じ結果が得ら
れる。

【００３１】上記の例題では、単純に通常域での剰余乗
算を、モンゴメリ域に変換後剰余乗算をして逆変換した
だけであり、それだけの計算ならば通常域での剰余乗算
を行なった方が計算は速いが、文献（２）で示されるよ
うに、楕円暗号などで多倍長データの逆元計算などで
は、モンゴメリ域での計算と前後の変換領域とを合せて
も、通常域のみで計算をおこない上記の結果を得るのに
比べて計算が速くなる。

【００３２】

【発明が解決しようとする課題】しかしながら、上述し
た従来の方法であると、計算ステップ（特に剰余計算ス
テップ）においてテーブル索引が必要であり、そのため
の索引ループ回数が多く、結果、その処理ステップにお
ける時間が多く必要である。

【００３３】そこでこの発明は、剰余演算における除法
の計算や、楕円演算における逆元計算において有効とな
るように、一層の高速化を得るために特に除算の工程に
着目している。本発明は、除数のテーブル索引を削減で
きる除算方法及び装置を提供することを目的とする。

【００３４】

【課題を解決するための手段】この発明は上記の目的を
達成するために、数ｐのデータを保持する手段と、数ｘ
のデータを保持する手段と、前記数ｐと前記数ｘのデー
タを取り込み、前記数ｐで数ｘを割り算する割り算手段
とを有し、前記割り算の処理ステップでは、前記数ｐの
データとして、その最下位桁から少なくとも1単位ビッ
ト長（ビット長ｉ）の各ビットの値がすべて１である定
数ｐを与えるようにしたことを特徴とする。

【００３５】またこの発明は、数ｐのデータを保持する
手段と、数ｘのデータを保持する手段と、前記数ｐと前
記数ｘのデータを取り込み、前記数ｐで除数ｘを割り算
する割り算手段とを有し、前記割り算手段の処理ステッ
プでは、前記数ｐのデータとして、その最上位桁から少
なくとも1単位ビット長（ビット長ｉ）の各ビットの値
がすべて１である定数ｐを与えるようにしたことを特徴
とするものである。

【００３６】

【発明の実施の形態】以下この発明の実施の形態を説明
する。

【００３７】本発明は計算の高速化を図るものである。
方法は、先に説明した計算ステップでのテーブル索引を
省略して、かつループ回数を削減することである。さき
の例題のようにp=181とした場合のテーブルは図１の表
１であるが、素数ｐ=191で作成してみると図２の表２の
ようにA_table_p[i]の結果はi と等しくなる。これを一
般的に上記したプログラムステップに拡大するとmont_m
ult（）ではSTEP3；Cのlsb側から順に８ビットずつT1に
代入する。

【００３８】T1（7:0）=C（7+8＊k:8＊k）； STEP4；T1の値に対応する商T2をテーブル索引で求め
る。

【００３９】T2（7:0）=A_table_p[T1（7:0）] STEP5；部分的な剰余を計算して、Cの下位８ビットを零
にする。

【００４０】C（319:8＊k）=C（319:8＊k）+p（159:0）
＊T2（7:0）<<8＊k ；この部分は次のように計算できることを示している。

【００４１】STEP3；Cのlsb側から順に８ビットずつT1
に代入する。

【００４２】T1（7:0）=C（7+8＊k:8＊k）； STEP4；このステップは省かれる。

【００４３】STEP5；部分的な剰余を計算して、Cの下位
jビットを零にする。

【００４４】C（319:j＊k）=C（319:j＊k）+p（159:0）
＊T2（7:0）<<j＊k ；ここでjは素数ｐのlsbから連続する１の数である。素数
ｐのlsbから連続する１の数分の桁の式を記載するとSTE
P5は、 STEP5；C（（（j-1）+j＊k）:j＊k）=C（（（j-1）+j＊
k）:j＊k）+p（j-1:0）＊C（（（j-1）+j＊k）:j＊k）=
0 となる。これは、lsbから連続する１の数p（j-1:0）が
実質-1に当たるため、同じ数の引き算と成り代わったと
解釈できる。もしjが３２であれば、先のプログラムで
の「STEP７：もしループカウンタが２０未満ならば、STEP
3に移行。それ以外ならばSTEP8に移行。if(k<20)gotoST
EP3；」は、 STEP７：もしループカウンタが５未満ならば、STEP3に
移行。それ以外ならばSTEP8に移行。if(k<3)gotoSTEP
3；と記述を改めることができる。このことはループ回数を
削減できて、計算を早くすることを意味する。

【００４５】同様にして、素数p=241で作成してみると
図２の表２のようにQ_table_p[i]の結果はiと等しい。
これも上記したプログラムステップを一般的に展開でき
る。jを素数ｐのmsbから連続する１の数とし、３２とす
るとTo_mont（）プログラムの部分は、 To_mont（）｛、 STEP0：変数ａの上位に０を追加して１９２ビットと拡
張する。t（191:0）=０として、t（191:0）= t（191:
0）+a（159:0）；尚、ｐの上位にも３２ビット０を説明
上拡張する。ｔ（191:0）=０として、ｐ（191:0）= ｔ
（191:0）+ｐ（159:0）； SETP1：ループカウンタを初期化する。ｉ=0； STEP2：もしａがｐより大きいなら、引き算する。while
(a>p) a(191:0)=a(191:0)+p(159:0)； STEP3：ループカウンタが５以上ならばSTEP10へ移行。i
f(I>=5)gotoSTEP10； STEP4：ａを３２ビット左へシフトする。結果のａ（31:
0） =0である。a（191:0）=a(159:0)<<32； STEP5：aの上位８ビットを抽出してT1に代入する。T1
（31:0）=a（191:160）； STEP6：T1が零でないならSTEP7からSTEP8へ移行する。i
f(T1(31:0)!=0{ STEP7：仮の商T2を求める処理は省略できる。

【００４６】STEP８：仮の剰余を求める。a（191：16
0）は１または０となる。 a（191：0）＝a(191:0)-p(1
91:0)＊T1(31:0)； } のように計算できる。この通常域からモンゴメリ域への
変換プログラムでも上記例題のSTEP3でのループ回数を2
0回から5回に削減できる。

【００４７】このループの削減効果について説明する。
例えば楕円暗号で使用される楕円点Yのスカラー倍A=b＊
Yを計算することに当てはめてみる。

【００４８】スカラー入力b（159:0）を（bm,bm-1,…..
b1,b0）, m=159）のビット列としてi番目ビットは、b
（i:i）と表す。楕円入力点Y=（YX（159:0）,YY（159:
0）出力の楕円点A=（AX（159:0）,Ay（159:0）を求め
るプログラム例mont_bY関数は、 mont_bY｛ STEP1：Ａ点を初期化する。またループカウンタiを初期
化する。具体的にはAX(159:0)=0; AY(159:0)=0; i=159;
となる。

【００４９】STEP2：ｉが負ならば終了する。if（i<
0）goto STEP6 ; STEP3：楕円点Aの２倍を計算する。A=2＊A＝A+A； STEP4：もしb(i:i)が１ならば楕円点Aと楕円点Yを加算
する。A=A+Y STEP5：iを1減算してSTEP3に戻る。 i=i-1 ; goto STEP
3 ; STEP6：計算終了。結果はＡにある。

【００５０】となっており、楕円点Aの２倍計算１６０
回と楕円点Aと楕円点Yの加算を（スカラーｂに依存する
が平均的に約半分の）８０回の計算をする。この楕円点
の2倍算には、詳細説明を省くが、４回のモンゴメリ域
剰余乗算と1回の逆元計算が、また、楕円点Aと楕円点Y
の加算には、３回のモンゴメリ域剰余乗算と１回の逆元
計算が含まれている。

【００５１】モンゴメリ域での素数ｐを法とする乗法に
関しての逆元を求めるルーチンとしては、文献（２）に
もその逆元を高速に求める手法が示されており、この手
法は、平均ループ回数１０回程度のTo_mont（）関数に
似た左シフト剰余算として示されている。

【００５２】この例では、結果として８ビット２５６の
テーブルを索引するループの回数は、１６０×（４×２
０＋１０）＋８０（３×２０＋１０）＝１６０×９０＋
８０×７０＝２００００回となる。

【００５３】これに対して、本発明の如く、例えば素数
ｐのｍｓｂ（最上位桁）から連続する１の数が３２ビッ
ト、ｌｓｂ（最下位桁）から連続する１の数が３２ビッ
トとすることにより、ループ回数２０から５回となり、
ループ回数は、おおよそ１６０＊（４＊５＋２．５）＋８０＊（３＊５＋２．
５）＝１６０＊２２．５＋８０＊１７．５＝５０００回となり、計算速度の大きな改善ができる。

【００５４】ループ回数を20回から５回に削減するに
は、８ビット（２５６バイト）のテーブルを３２ビット
（１６ギガバイト）のテーブルに変更すれば可能である
が、１６ギガバイトものＲＯＭやＲＡＭの資源を用意し
なければならず実用的ではない。実用的には８ビットか
ら１０ビットのテーブルである。

【００５５】そこで本発明のように剰余計算をするとき
の数を、少なくともｌｓｂから単位ビット長分の値が１
となる素数を選択することで、モンゴメリ域での剰余乗
算など、右シフトしつつ剰余計算するような類の計算を
高速化することができる。また、少なくともｍｓｂから
単位ビット長分の値が１となる素数を選択することで、
通常域からモンゴメリ域への変換などで使用される左シ
フト剰余算のような類の計算を高速化することができ
る。暗号処理ではこれらの計算を数多く利用するため
に、上記の例で述べたように改善効果が極めて顕著とな
る。

【００５６】ここで単位ビット長としては、ＡＬＵ（演
算器）のために用意されたハードウエアの語長を示し、
１６ビット、３２ビット、４８ビット、６４ビットなど
がある。テーブル索引を行なう場合は、利用テーブルと
しては８乃至１０ビットのテーブルに限定されるが、本
発明ではその制約を取り払うことができ、例えば６４ビ
ットのＡＬＵを用いたハードウエア上では上記計算例で
の５０００回を半分の２５００回のループ回数に削減す
ることが可能である。

【００５７】上記の説明では素数ｐを法とする剰余計算
の場合を例に挙げたが、この計算は一般的に割り算の計
算に適用できることは勿論である。

【００５８】図３は、この発明の基本的な考えをまとめ
たものである。

【００５９】図３はモンゴメリ系の通常乗算を行う場合
の演算を模式的にまとめたものである。即ち、変数Ｘ＋
素数ｐ＊商の演算を行なおうとする場合、素数ｐがオー
ル１（この場合は、計算単位となる単位ビット長分）と
なる固定値（素数）を設定すれば、商は、変数ｘの下位
桁（単位ビット長（ｘ lsbｉ））と同じになることを
見出し、この規則を適用した演算を行なうものである。

【００６０】これが、最下位桁から少なくとも1単位ビ
ット長（ビット長i）の各ビットの値が１である数ｐ
（素数）を用いて、変数xを除算する場合、y=x+p＊x l
sb_i、（但し、ｘは変数（被除数）、ｐは素数（除
数）、x lsb_iは、変数xの lsbからiビットを抽出した
値、＋は加算）の計算を行いy lsb_i＝0となす計算を有
するpを法とする剰余演算に対応する。これにより、従
来の如く商のために種々の値を格納した索引テーブルを
用意する必要はない。変数ｘを格納したレジスタから、
変数ｘの下位のｉビット（ｉ１部分）が別のレジスタに
取り込まれ、これに対して第3のレジスタに保持されて
いる素数ｐが乗算される。そして、この結果が加算器に
より変数ｘに加算される。このとき下位のｉ１部分は、
０となる。次に、変数ｘの次の上位のｉビット（ｉ２部
分）に対して素数ｐが乗算され、この結果が変数ｘに加
算される。このとき下位のｉ２部分は、０となる。この
ように次々と変数ｘに対する剰余乗算処理が実行され、
C=A＊B＊R＊＊（‐1）mod pが得られる。

【００６１】図４は、通常域からモンゴメリ域への変換
処理を模式的に示している。

【００６２】これは最上位桁から少なくとも1単位ビッ
ト長（ビット長i）の各ビットの値が１である数Ｐに
て、変数xを除算する算法において、y＝x−ｐ＊x msb＿
iの計算を行いy msb＿i＝０又は１となす計算を有する
ｐを法とする剰余演算に対応する（但し、x msb＿iは、
変数xのmsbからiビットを抽出した値、−は減算、＊は
乗算）。

【００６３】即ち、この発明は、変数ａ−素数ｐ＊商の
演算を行なおうとする場合、素数ｐの上位側がオール１
（この場合は、計算単位となる単位ビット長ｉ）となる
固定値（素数）を設定すれば、商は、変数ａの上位桁
（単位ビット長ｉ）の負と同じになることを見出し、こ
の規則を適用した演算を行なうものである。

【００６４】変数ａがレジスタに２００に導入される。
素数ｐはレジスタ２０１に用意されている。変数ａの上
位ｉビット（ｉ１）と、素数ｐが乗算器２０２で乗算さ
れ、その結果ｐ＊ａ msb＿ｉ（０又は１となる）がレ
ジスタ２０３に得られる。次に減算器２０４で、変数ｘ
からｐ＊ａ msb＿ｉが減算される。その結果がレジス
タ２０５（又は２００）に格納される。次に、変数ｘの
次に上位ｉビット（ｉ２）と、素数ｐが乗算器２０２で
乗算され、その結果ｐ＊ａ msb＿ｉ（０又は１とな
る）がレジスタ２０３に得られる。次に変数ｘからｐ＊
ａ msb＿ｉが減算される。このような演算処理が次々
とｉビット単位でくりかえされる。この場合、レジスタ
２０５の内容は、ｐとａの大小比較結果に応じて引き算
されて補正される。つまり、ａ＞ｐならば、引き算を行
い、上記と同様な演算を行なう。ａ＜ｐならばその結果
が関数出力として導出される。

【００６５】図５には、本発明のシステムと従来のシス
テムの差違を明確にするために、動作フローを対比して
示している。図５の左側のステップは、従来のモンゴメ
リ系での剰余乗算の各処理ステップSTEP1からSTEP８を
示し、右側は本発明によるモンゴメリ系での剰余乗算の
各処理ステップSTEP1からSTEP８を示している。このSTE
P１〜８の内容は、先に関数mont_mult( )を求める例で
説明したので、ここでは省略する。この対比から分かる
ように、本発明の演算方法であると、ステップSTEP4に
おけるテーブル索引処理を省略できることになる。この
索引処理を削減できるために、先に計算したようにルー
プ回数を格段と少なくすることができ、計算速度を高速
化することができる。

【００６６】図６も本発明のシステムと従来のシステム
の差違を明確にするために、動作フローを対比して示し
ている。図５の左側のステップは、従来の通常域からモ
ンゴメリ域への変換処理におけるステップSTEP0からSTE
P10を示し、右側は本発明によるモンゴメリ系での剰余
乗算の各処理ステップSTEP0からSTEP10を示している。S
TEP0〜10の内容は、先に関数T0_mont( )を求める例で説
明したので、ここでは省略する。この対比から分かるよ
うに、この場合も、ステップSTEP7におけるテーブル索
引処理を省略できることになる。この索引処理を削減で
きるために、先に計算したようにループ回数を格段と少
なくすることができ、計算速度を高速化することができ
る。

【００６７】

【発明の効果】以上説明したようにこの発明によれば、
除数をテーブル索引するためのループ回数を格段と少な
くできる。

【図面の簡単な説明】

【図１】この発明の前提となる剰余演算方法における素
数と変数の所定ビット数の値との関係を示す図。

【図２】この発明の剰余演算方法において用いられる素
数と変数の所定ビット数の値との関係を示す図。

【図３】この発明を適用したモンゴメリ系での剰余乗算
を概念的に示す図。

【図４】この発明を適用し、通常域からモンゴメリ域に
変換する処理の基本動作をまとめて示す図。

【図５】この発明に係る計算方法と従来の方法を演算ス
テップで比較して示す図。

【図６】この発明に係る計算方法と従来の方法を演算ス
テップで比較して示す図。

【符号の説明】

２００…変数レジスタ、２１０…商レジスタ、２２０…
乗算器、２３０…素数レジスタ、２４０…加算又は減算
器。

Claims

【特許請求の範囲】

【請求項１】演算装置において行なわれる除算の計算方
法であって、数ｐのデータを保持するステップと、数ｘのデータを保
持するステップと、前記数ｐと前記数ｘのデータを取り
込み、前記数ｐで数ｘの除算を行なうステップとを有
し、前記除算を行なうステップでは、前記数ｐのデータとし
て、その最下位桁から少なくとも1単位ビット長（ビッ
ト長ｉ）の各ビットの値がすべて１である定数ｐを与え
るようにしたことを特徴とする除算の算方法。
【請求項２】演算装置において行なわれる除算の計算方
法であって、数ｐのデータを保持するステップと、数ｘのデータを保
持するステップと、前記数ｐと前記数ｘのデータを取り
込み、前記数ｐで被除数ｘの除算を行なうステップとを
有し、前記割り算手段の処理ステップでは、前記数ｐのデータ
として、その最上位桁から少なくとも1単位ビット長
（ビット長ｉ）の各ビットの値がすべて１である定数ｐ
を与えるようにしたことを特徴とする除算の計算方法。
【請求項３】最下位桁から少なくとも1単位ビット長
（ビット長ｉ）の各ビットの値が１である定数ｐのデー
タにより、変数xのデータを除算する算法であって、前記変数ｘのデータの最下位桁からｉビット長の数のデ
ータと、前記定数ｐのデータとの乗算結果を得るステッ
プと、この乗算結果と前記変数ｘのデータとの加算を行なうス
テップと、その加算結果の最下位桁からｉビット長の値を零となす
計算ステップとを含む、前記定数ｐを法とする除算の計
算方法。
【請求項４】最上位桁から少なくとも1単位ビット長
（ビット長ｉ）の各ビットの値が１である定数ｐのデー
タにより、変数xのデータを除算する算法であって、前記変数ｘのデータの最上位桁からｉビット長の数のデ
ータと、前記定数ｐのデータとの乗算結果を得るステッ
プと、この乗算結果と前記変数ｘのデータとの加算を行なうス
テップと、その加算結果の最上位桁からｉビット長の値を１又は零
となす計算ステップとを含む、前記定数ｐを法とする除
算の計算方法。
【請求項５】前記数ｐとしては、２のｎ−１乗の素数
であることを特徴とする請求項1乃至４のいずれかに記
載の除算の計算方法。
【請求項６】最下位桁から少なくとも1単位ビット長
（ビット長ｉ）の各ビットの値が１である定数ｐのデー
タにより、変数xのデータを除算する場合、定数ｐのデータを保持する手段と、変数ｘのデータを保
持する手段と、前記定数ｐと前記変数ｘのデータを取り
込み、前記定数ｐで変数ｘを割り算する除算手段とを有
し、前記除算手段は、前記変数ｘのデータの最下位桁からｉ
ビット長の数のデータと、前記定数ｐのデータとの乗算
結果を得る手段と、この乗算結果と前記変数ｘのデータとの加算を行なう手
段と、その加算結果の最下位桁からｉビット長の値を零となす
計算手段とを具備したことを特徴とする前記定数ｐを法
とする除算の計算装置。
【請求項７】最上位桁から少なくとも1単位ビット長
（ビット長ｉ）の各ビットの値が１である定数ｐのデー
タにより、変数xのデータを除算する場合、定数ｐのデータを保持する手段と、変数ｘのデータを保
持する手段と、前記定数ｐと前記変数ｘのデータを取り
込み、前記定数ｐで変数ｘを除算手段とを有し、前記除算手段は、前記変数ｘのデータの最上位桁からｉ
ビット長の数のデータと、前記定数ｐのデータとの乗算
結果を得る手段と、この乗算結果と前記変数ｘのデータとの加算を行なう手
段と、その加算結果の最上位桁からｉビット長の値を零となす
計算手段とを具備したことを特徴とする前記定数ｐを法
とする除算の計算装置。