JP2002207424A - 楕円曲線スカラー倍計算方法及び装置並びに記憶媒体 - Google Patents

Abstract

(57)【要約】 【課題】高速であり且つスカラー倍点の座標を完全に与
える事のできるスカラー倍計算方法を提供すること。 【解決手段】高速なスカラー倍計算方法において与えら
れたスカラー倍点の部分情報から完全なスカラー倍点の
座標を復元する方法を与える。これにより、標数５以上
の有限体上定義された楕円曲線におけるスカラー倍点の
計算の際に、まず高速なスカラー倍計算方法を用いてス
カラー倍点の部分情報を与え、その結果からスカラー倍
点の完全な座標を復元し、出力することにより、高速で
あり且つ完全な座標を与えることができる。

Description

【発明の詳細な説明】 【０００１】 【発明の属する技術分野】本発明はコンピュータネット
ワークにおけるセキュリティ技術に係り、特に楕円曲線
暗号における暗号処理実行方法に関する。 【０００２】 【従来の技術】楕円曲線暗号はN.Koblitz, V.S.Miller
により提案された公開鍵暗号の一種である。公開鍵暗号
には、公開鍵と呼ばれる一般に公開してよい情報と、秘
密鍵と呼ばれる秘匿しなければならない秘密情報があ
る。与えられたメッセージの暗号化や署名の検証には公
開鍵を用い、与えられたメッセージの復号化や署名の作
成には秘密鍵を用いる。楕円曲線暗号における秘密鍵
は、スカラー値が担っている。また、楕円曲線暗号の安
全性は楕円曲線上の離散対数問題の求解が困難であるこ
とに由来している。ここで楕円曲線上の離散対数問題と
は、楕円曲線上のある点Pとそのスカラー倍の点dPが与
えられた時、スカラー値dを求める問題である。ここに
おいて、楕円曲線上の点とは、楕円曲線の定義方程式を
みたす数の組をいい、楕円曲線上の点全体には、無限遠
点という仮想的な点を単位元とした演算、すなわち楕円
曲線上の加法（乃至は加算）が定義される。そして、同
じ点同士の楕円曲線上の加法のことを、特に楕円曲線上
の２倍算という。楕円曲線上の２点の加法は次のように
して計算される。２点を通る直線を引くとその直線は楕
円曲線と他の点において交わる。その交わった点とｘ軸
に関して対称な点を加法を行なった結果の点とする。楕
円曲線上の点の２倍算は次のようにして計算される。楕
円曲線上の点における接線をひくと、その接線は楕円曲
線上の他の点において交わる。その交わった点とｘ座標
に関して対称な点を２倍算を行なった結果の点とする。
ある点に対し、特定の回数だけ加法を行なうことをスカ
ラー倍といい、その結果をスカラー倍点、その回数のこ
とをスカラー値という。 【０００３】情報通信ネットワークの進展と共に電子情
報に対する秘匿や認証の為に暗号技術は不可欠な要素と
なってきている。そこでは暗号技術の安全性とともに高
速化が望まれている。楕円曲線上の離散対数問題が非常
に困難である為に、素因数分解の困難性を安全性の根拠
にしているＲＳＡ暗号と比べて、楕円曲線暗号は鍵長を
比較的短くすることができる。そのため比較的高速な暗
号処理が可能である。しかしながら、処理能力の制限さ
れているスマートカードや大量の暗号処理を行なう必要
のあるサーバ等においては、必ずしも満足できる程高速
であるとは限らない。それゆえに暗号のさらなる高速化
が必要となる。 【０００４】楕円曲線暗号には、ワイエルシュトラス型
楕円曲線と呼ばれる楕円曲線が通常用いられている。A.
Miyaji, T.Ono, H.Cohen, Efficient elliptic curve e
xponentiation using mixed coordinates, Advances in
Cryptology Proceedings of ASIACRYPT'98, LNCS 151
4, Springer-Verlag, (1998) pp.51-65 には、ワイエル
シュトラス型楕円曲線において、ウィンドウ法を用いて
ヤコビアン座標を中心とした混合座標系を用いたスカラ
ー倍計算方法は高速なスカラー倍計算方法として記載さ
れている。この計算方法は、スカラー倍点の座標を、省
略することなく正確に表示している。すなわち、アフィ
ン座標系であれば、ｘ座標及びｙ座標、射影座標乃至は
ヤコビアン座標であれば、Ｘ座標、Ｙ座標及びＺ座標の
値を全て与えている。 【０００５】一方でモンゴメリ型楕円曲線ＢＹ^２＝Ｘ^３
＋ＡＸ^２＋Ｘ（Ａ，Ｂ∈Ｆ_ｐ）を用いるとワイエルシュ
トラス型楕円曲線よりも高速に演算を実行できることが
P.L.Montgomery, Speeding the Pollard and Elliptic
Curve Methods of Factorization, Math. Comp. 48 (19
87) pp.243-264. に記載されている。これは、スカラー
値の特定のビットの値に依存して、楕円曲線上の点の組
(mP,(m+1)P)から点の組(2mP,(2m+1)P)乃至は点の組((2m
+1)P,(2m+2)P)を繰り返し計算するスカラー倍計算方法
において、モンゴメリ型楕円曲線を利用することによ
り、加算及び２倍算の計算時間が短縮されることに由来
する。このスカラー倍計算法は、ワイエルシュトラス型
楕円曲線における、ウィンドウ法を用いてヤコビアン座
標を中心とした混合座標系を用いた場合よりも、高速に
計算することができる。しかしながら、この方法は楕円
曲線上の点のｙ座標の値は計算しない。多くの暗号処理
においては、本質的にy座標を用いないので、この事は
問題にはならないが、一部の暗号処理を実行する又は完
全な形で標準に準拠しようとすれば、y座標の値も必要
となる。 【０００６】以上は楕円曲線の定義体の標数が５以上の
素数の場合であるが、他方、標数２の有限体上定義され
た楕円曲線に対しては、スカラー倍点の完全な座標を与
え且つ高速なスカラー倍計算方法が J.Lopez, R.Dahab,
Fast Multiplication on Elliptic Curves over GF
(2^m) without Precomputation, Cryptographics Hardwa
re and Embedded Systems: Proceedings of CHES'99, L
NCS 1717, Springer-Verlag, (1999) pp.316-327. に記
載されている。 【０００７】 【発明が解決しようとする課題】上記従来技術により、
標数が５以上の有限体上定義された楕円曲線を用いて楕
円曲線暗号を構成した場合、ワイエルシュトラス型楕円
曲線においてウィンドウ法及び混合座標系を用いると、
スカラー倍点の座標を完全に計算することができるが、
モンゴメリ型楕円曲線のスカラー倍計算方法を用いた場
合程高速に計算することはできない。モンゴメリ型楕円
曲線におけるスカラー倍計算方法を用いると、ワイエル
シュトラス型楕円曲線においてウィンドウ法及び混合座
標系を用いた場合より高速に計算することが可能である
が、スカラー倍点の座標を完全に与えること、すなわち
ｙ座標を与えることができない。したがって、スカラー
倍計算方法として、高速化を計ろうとするとスカラー倍
点の座標を完全に与えることができず、スカラー倍点の
座標を完全に与えようとすると高速に計算ができないと
いう状態にあった。 【０００８】本発明の目的は、標数が５以上の有限体上
定義された楕円曲線において、モンゴメリ型楕円曲線に
おけるスカラー倍演算と同程度の高速さで、スカラー倍
点の座標を完全に与えることができるスカラー倍計算方
法を提供することにある。 【０００９】 【課題を解決するための手段】上記目的を達する一手段
として、楕円曲線暗号における標数５以上の有限体上定
義された楕円曲線において、スカラー値及び楕円曲線上
の点からスカラー倍点を計算するスカラー倍計算方法で
あって、前記スカラー倍点の部分情報を計算するステッ
プと、前記スカラー倍点の部分情報から完全な座標を復
元するステップとを有することを特徴とする。 【００１０】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義された楕円
曲線において、スカラー値及び楕円曲線上の点からスカ
ラー倍点を計算するスカラー倍計算方法であって、前記
スカラー倍点の部分情報を計算するステップと、前記ス
カラー倍点の部分情報からアフィン座標において完全な
座標を復元するステップとを有することを特徴とする。 【００１１】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義された楕円
曲線において、スカラー値及び楕円曲線上の点からスカ
ラー倍点を計算するスカラー倍計算方法であって、前記
スカラー倍点の部分情報を計算するステップと、前記ス
カラー倍点の部分情報から射影座標において完全な座標
を復元するステップとを有することを特徴とする。 【００１２】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報から完
全な座標を復元するステップとを有することを特徴とす
る。 【００１３】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記スカラー倍
点の部分情報を計算するステップと、前記スカラー倍点
の部分情報から完全な座標を復元するステップとを有す
ることを特徴とする。 【００１４】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報として
射影座標で与えられた前記スカラー倍点のＸ座標及びＺ
座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲
線上の点を加算した点の射影座標におけるＸ座標及びＺ
座標を与え、アフィン座標において完全な座標を復元す
るステップとを有することを特徴とする。 【００１５】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報として
射影座標で与えられた前記スカラー倍点のＸ座標及びＺ
座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲
線上の点を加算した点の射影座標におけるＸ座標及びＺ
座標を与え、射影座標において完全な座標を復元するス
テップとを有することを特徴とする。 【００１６】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報として
射影座標で与えられた前記スカラー倍点のＸ座標及びＺ
座標、前記スカラー倍点と前記モンゴメリ型楕円曲線上
の点を加算した点の射影座標におけるＸ座標及びＺ座標
並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上
の点を減算した点の射影座標におけるＸ座標及びＺ座標
を与え、アフィン座標において完全な座標を復元するス
テップとを有することを特徴とする。 【００１７】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報として
射影座標で与えられた前記スカラー倍点のＸ座標及びＺ
座標、前記スカラー倍点と前記モンゴメリ型楕円曲線上
の点を加算した点の射影座標におけるＸ座標及びＺ座標
並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上
の点を減算した点の射影座標におけるＸ座標及びＺ座標
を与え、射影座標において完全な座標を復元するステッ
プとを有することを特徴とする。 【００１８】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたモン
ゴメリ型楕円曲線において、スカラー値及びモンゴメリ
型楕円曲線上の点からスカラー倍点を計算するスカラー
倍計算方法であって、前記スカラー倍点の部分情報を計
算するステップと、前記スカラー倍点の部分情報として
アフィン座標で与えられた前記スカラー倍点のｘ座標、
前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を
加算した点のアフィン座標におけるｘ座標並びに前記ス
カラー倍点と前記モンゴメリ型楕円曲線上の点を減算し
た点のアフィン座標におけるｘ座標を与え、アフィン座
標において完全な座標を復元するステップとを有するこ
とを特徴とする。 【００１９】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記スカラー倍
点の部分情報を計算するステップと、前記スカラー倍点
の部分情報として射影座標で与えられた前記スカラー倍
点のＸ座標及びＺ座標、前記スカラー倍点と前記ワイエ
ルシュトラス型楕円曲線上の点を加算した点の射影座標
におけるＸ座標及びＺ座標並びに前記スカラー倍点と前
記ワイエルシュトラス型楕円曲線上の点を減算した点の
射影座標におけるＸ座標及びＺ座標を与え、アフィン座
標において完全な座標を復元するステップとを有するこ
とを特徴とする。 【００２０】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記スカラー倍
点の部分情報を計算するステップと、前記スカラー倍点
の部分情報として射影座標で与えられた前記スカラー倍
点のＸ座標及びＺ座標、前記スカラー倍点と前記ワイエ
ルシュトラス型楕円曲線上の点を加算した点の射影座標
におけるＸ座標及びＺ座標並びに前記スカラー倍点と前
記ワイエルシュトラス型楕円曲線上の点を減算した点の
射影座標におけるＸ座標及びＺ座標を与え、射影座標に
おいて完全な座標を復元するステップとを有することを
特徴とする。 【００２１】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記スカラー倍
点の部分情報を計算するステップと、前記スカラー倍点
の部分情報としてアフィン座標で与えられた前記スカラ
ー倍点のｘ座標、前記スカラー倍点と前記ワイエルシュ
トラス型楕円曲線上の点を加算した点のアフィン座標に
おけるｘ座標並びに前記スカラー倍点と前記ワイエルシ
ュトラス型楕円曲線上の点を減算した点のアフィン座標
におけるｘ座標を与え、アフィン座標において完全な座
標を復元するステップとを有することを特徴とする。 【００２２】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報からワイエル
シュトラス型楕円曲線において完全な座標を復元するス
テップとを有することを特徴とする。 【００２３】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報からモンゴメ
リ型楕円曲線において完全な座標を復元するステップ
と、前記モンゴメリ型楕円曲線において完全な座標が復
元されたスカラー倍点からワイエルシュトラス型楕円曲
線におけるスカラー倍点を計算するステップとを有する
ことを特徴とする。 【００２４】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報としてモンゴ
メリ型楕円曲線において射影座標で与えられたスカラー
倍点のＸ座標及びＺ座標並びに前記スカラー倍点とモン
ゴメリ型楕円曲線上の点を加算した点の射影座標におけ
るＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円
曲線においてアフィン座標における完全な座標を復元す
るステップとを有することを特徴とする。 【００２５】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報としてモンゴ
メリ型楕円曲線において射影座標で与えられたスカラー
倍点のＸ座標及びＺ座標並びに前記スカラー倍点とモン
ゴメリ型楕円曲線上の点を加算した点の射影座標におけ
るＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円
曲線において射影座標における完全な座標を復元するス
テップとを有することを特徴とする。 【００２６】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報としてモンゴ
メリ型楕円曲線において射影座標で与えられたスカラー
倍点のＸ座標及びＺ座標、前記スカラー倍点とモンゴメ
リ型楕円曲線上の点を加算した点の射影座標におけるＸ
座標及びＺ座標並びに前記スカラー倍点とモンゴメリ型
楕円曲線上の点を減算した点の射影座標におけるＸ座標
及びＺ座標を与え、ワイエルシュトラス型楕円曲線にお
いてアフィン座標における完全な座標を復元するステッ
プとを含むことを特徴とする。 【００２７】また本発明は、楕円曲線暗号における標数
５以上の有限体上定義されたワイエルシュトラス型楕円
曲線において、スカラー値及びワイエルシュトラス型楕
円曲線上の点からスカラー倍点を計算するスカラー倍計
算方法であって、前記ワイエルシュトラス型楕円曲線を
モンゴメリ型楕円曲線に変換するステップと、モンゴメ
リ型楕円曲線におけるスカラー倍点の部分情報を計算す
るステップと、前記モンゴメリ型楕円曲線におけるスカ
ラー倍点の部分情報としてモンゴメリ型楕円曲線におい
て射影座標で与えられたスカラー倍点のＸ座標及びＺ座
標、前記スカラー倍点とモンゴメリ型楕円曲線上の点を
加算した点の射影座標におけるＸ座標及びＺ座標並びに
前記スカラー倍点とモンゴメリ型楕円曲線上の点を減算
した点の射影座標におけるＸ座標及びＺ座標を与え、ワ
イエルシュトラス型楕円曲線において射影座標における
完全な座標を復元するステップとを有することを特徴と
する。 【００２８】また上記目的を達する一手段として、楕円
曲線暗号における標数５以上の有限体上定義されたワイ
エルシュトラス型楕円曲線において、スカラー値及びワ
イエルシュトラス型楕円曲線上の点からスカラー倍点を
計算するスカラー倍計算方法であって、前記ワイエルシ
ュトラス型楕円曲線をモンゴメリ型楕円曲線に変換する
ステップと、モンゴメリ型楕円曲線におけるスカラー倍
点の部分情報を計算するステップと、前記モンゴメリ型
楕円曲線におけるスカラー倍点の部分情報としてモンゴ
メリ型楕円曲線においてアフィン座標で与えられたスカ
ラー倍点のｘ座標、前記スカラー倍点とモンゴメリ型楕
円曲線上の点を加算した点のアフィン座標におけるｘ座
標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の
点を減算した点のアフィン座標におけるｘ座標を与え、
ワイエルシュトラス型楕円曲線においてアフィン座標に
おける完全な座標を復元するステップとを有することを
特徴とする。 【００２９】 【発明の実施の形態】以下、本発明の実施例を図面によ
り説明する。 【００３０】図１は暗号/復号処理装置の構成を示した
ものである。この暗号/復号処理装置１０１は、入力さ
れたメッセージの暗号化、暗号化されたメッセージの復
号化のいずれも行えるようにしたものである。尚、ここ
で扱う楕円曲線は標数５以上の楕円曲線とする。 【００３１】入力されたメッセージを暗号化し、暗号化
されたメッセージを復号化する場合、一般に次の数１が
成立する。 【００３２】 【数１】 Ｐm＋ｋ（ａＱ）−ａ（ｋＱ）＝Ｐm …数１ ここで、Ｐ_ｍはメッセージであり、ｋは乱数、ａは秘密
鍵を示す定数、Ｑは定点である。この式のＰm＋ｋ（ａ
Ｑ）のａＱは、公開鍵を示しており、入力されたメッセ
ージを公開鍵によって暗号化することを示している。ａ
（ｋＱ）のａは秘密鍵を示しており、秘密鍵により復号
化することを示している。 【００３３】従って、図１に示した暗号/復号処理装置
１０１をメッセージの暗号化だけに用いる場合には、Ｐ
m＋ｋ（ａＱ）及びｋＱを計算して出力し、復号化だけ
に用いる場合には、秘密鍵ａ及びｋＱより−ａ（ｋＱ）
を計算し、（Ｐm＋ｋ（ａＱ））−ａ（ｋＱ）を計算し
て出力するようにすればよい。 【００３４】図１に示した暗号/復号処理装置１０１
は、処理部１１０と、記憶部１２０、レジスタ部１３０
とを有している。処理部１２０は、暗号化処理に必要な
処理を機能ブロックで示しており、入力されたメッセー
ジの暗号化や暗号化されたメッセージの復号化を行う暗
号/復号処理部１０２、暗号/復号処理部１０２で暗号化
や復号化を行うのに必要なパラメータを演算するスカラ
ー倍計算部１０３とを有している。記憶部１２０は、定
数、秘密情報（例えば、秘密鍵である。）などを記憶し
ている。レジスタ部１３０は、暗号化又は復号化処理に
おいて演算の結果や、記憶部１２０に記憶された情報を
一次的に記憶する。尚、処理部１１０、レジスタ部１３
０は以下に説明する処理を行う専用の演算装置やＣＰＵ
などにより実現することができ、記憶部１２０は、ＲＡ
Ｍ、ＲＯＭなどによって実現することができる。 【００３５】次に、図１に示した暗号/復号処理装置１
０１の動作について説明する。図３は、暗号/復号処理
装置１０１において暗号化、復号化を行う場合の各部の
情報の伝達を示したものである。 【００３６】まず、図３０により入力されたメッセージ
を暗号化する場合の動作について説明する。 【００３７】暗号/復号処理部１０２へメッセージが入
力されると（３００１）、入力されたメッセージのビッ
ト長が予め定めたビット長か否かを判断する。予め定め
たビット長より長い場合には、予め定めたビット長とな
るようにメッセージを区切る（以下、メッセージは所定
のビット長に区切られているものとして説明する。）。
次に、暗号/復号処理部１０２は、メッセージのビット
列によって表される数値をｘ座標（ｘ1）にもつ楕円曲
線上のｙ座標の値（ｙ1）を計算する。例えば、モンゴ
メリ型楕円曲線は、Ｂｙ1^２＝ｘ1^３＋Ａｘ1^２＋ｘ1で表
されるので、これよりｙ座標の値を求めることができ
る。尚、Ｂ、Ａはそれぞれ定数である。暗号化処理部１
２０は、公開鍵ａＱ及びＱのｘ座標、ｙ座標の値をスカ
ラー倍計算部１０３へ送る。このとき、暗号化処理部１
２０は乱数を生成し、これをスカラー倍計算部１０３へ
送る（３００２）。スカラー倍計算部１０３は、Ｑのｘ
座標、ｙ座標の値、乱数によるスカラー倍点（ｘd1、ｙ
d1）と、公開鍵ａＱのｘ座標、ｙ座標の値、乱数による
スカラー倍点（ｘd2、ｙd2）とを計算し（３００３）、
計算されたスカラー倍点を暗号化処理部１０２へ送る
（３００４）。暗号化処理部１０２は、送られたスカラ
ー倍点を用いて、暗号化処理を行う（３００５）。例え
ば、モンゴメリ型の楕円曲線については、次式により暗
号化されたメッセージｘe1、ｘe2を得る。 【００３８】 【数２】 ｘe1＝Ｂ（（ｙd1−ｙ1）/（ｘd1−ｘ1））^２−Ａ−ｘ1−ｘd1 …数２ 【００３９】 【数３】 ｘe2＝ｘd2 …数3 暗号/復号処理装置１０１は暗号/復号処理部１０２で暗
号化されたメッセージを出力する。 【００４０】次に、図３２により暗号化されたメッセー
ジを復号化する場合の動作について説明する。 【００４１】暗号/復号処理部１０２へ暗号化されたメ
ッセージが入力されると（３２０１）、暗号化されたメ
ッセージのビット列によって表される数値をｘ座標にも
つ楕円曲線上のｙ座標の値を計算する。ここで、暗号化
されたメッセージがｘe1、ｘe2のビット列であり、モン
ゴメリ型楕円曲線の場合、ｙ座標の値（ｙe1）はＢｙe1
^２＝ｘe1^３＋Ａｘe1^２＋ｘe1から得られる。尚、Ｂ、Ａ
はそれぞれ定数である。暗号化処理部１２０は、ｘ座
標、ｙ座標の値（ｘe1、ｙe1）をスカラー倍計算部１０
３へ送る（３２０２）。スカラー倍計算部１０３は記憶
部１２０から秘密情報を読み出し（３２０３）、ｘ座
標、ｙ座標の値、秘密情報からスカラー倍点（ｘd3、ｙ
d3）を計算し（３２０４）、計算されたスカラー倍点を
暗号/復号処理部１０２へ送る（３２０５）。暗号化処
理部１０２は、送られたスカラー倍点を用いて、復号化
処理を行う（３２０６）。例えば、暗号化されたメッセ
ージが、ｘe1、ｘe2のビット列であり、モンゴメリ型の
楕円曲線の場合は、次式によりｘf1を得る。 【００４２】 【数４】 ｘf1=B((ｙe2+ｙd3)/(ｘe2-ｘd3))^２-Ａ-ｘe2-ｘd3 …数４ このｘf1は、暗号化される前のメッセージｘ１に相当す
るものである。 【００４３】以上のようにして、暗号/復号処理部１０
２により暗号化、または復号化処理が行われる。 【００４４】次に、暗号化処理装置１０１のスカラー倍
計算部１０３の処理について説明する。ここでは、暗号
化処理装置１０１が、復号化処理を行う場合を例に以
下、説明する。 【００４５】図２は、スカラー倍計算部１０３の機能ブ
ロックを示したものである。図２５は、スカラー倍計算
部１０３の動作を示したものである。 【００４６】高速スカラー倍計算部２０２が、秘密情報
であるスカラー値及び暗号化されたメッセージと、暗号
化されたメッセージがX座標となる楕円曲線上のY座標の
値である楕円曲線上の点を受け取る（ステップ２５０
１）と、高速スカラー倍計算部２０２は受け取ったスカ
ラー値と楕円曲線上の点からスカラー倍点の座標の一部
の値を計算し（ステップ２５０２）、その情報を座標復
元部２０３に与える（ステップ２５０３）。座標復元部
２０３は与えられたスカラー倍点の情報及び入力された
楕円曲線上の点よりスカラー倍点の座標の復元を行なう
（ステップ２５０４）。スカラー倍計算装置２０１は完
全に座標が与えられたスカラー倍点を計算結果として出
力する（ステップ２５０５）。ここで、完全に座標が与
えられたスカラー倍点とは、y座標が計算されて出力さ
れることを意味する（以下、同じ。）。 【００４７】以下、スカラー倍計算部１０３の高速スカ
ラー倍計算部２０２、座標復元部２０３についていくつ
かの実施例を説明する。 【００４８】第１の実施例は、スカラー倍計算装置１０
３がスカラー値d及びモンゴメリ型楕円曲線上の点Ｐか
ら、モンゴメリ型楕円曲線におけるアフィン座標の点と
して完全な座標が与えられたスカラー倍点（ｘ_d,ｙ_d）
を計算し出力するものである。スカラー値d及びモンゴ
メリ型楕円曲線上の点Pをスカラー倍計算装置１０３に
入力すると高速スカラー倍計算部２０２がそれを受け取
る。高速スカラー倍計算部２０２は受け取ったスカラー
値ｄと与えられたモンゴメリ型楕円曲線上の点Ｐからモ
ンゴメリ型楕円曲線において射影座標で表されたスカラ
ー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標
で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,
Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算し、アフ
ィン座標で表された入力されたモンゴメリ型楕円曲線上
の点P＝(ｘ,ｙ)と共にその情報を座標復元部２０３に与
える。座標復元部２０３は与えられた座標の値X_d、Z_d、
X_d+1、Z_d+1、ｘ及びｙよりモンゴメリ型楕円曲線におい
てアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の
座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１
０３はアフィン座標において完全に座標が与えられたス
カラー倍点(x_d,y_d)を計算結果として出力する。 【００４９】次に図１１により、座標x,y,X_d,Z_d,X_d+1,Z
_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処
理について説明する。 【００５０】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力
されたモンゴメリ型楕円曲線上の点Pをアフィン座標で
表した(x,y)を入力し、以下の手順でアフィン座標おい
て完全な座標が与えられたスカラー倍点(x_d,y_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)で
それぞれ表す。入力されたスカラー値をdとしてモンゴ
メリ型楕円曲線におけるスカラー倍点dPのアフィン座標
を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。
モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x
_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ
表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座
標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそ
れぞれ表す。 【００５１】ステップ１１０１においてX_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ１１０２にお
いてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが
格納されており、したがってX_dx-Z_d が計算される。そ
の結果がレジスタＴ₁に格納される。ステップ１１０３
においてZ_d×xが計算され、レジスタＴ₂に格納される。
ステップ１１０４においてX_d-Ｔ₂が計算される。ここで
レジスタＴ₂にはZ_dxが格納されており、したがってX_d-x
Z_dが計算される。その結果がレジスタＴ₂に格納され
る。ステップ１１０５においてX_d+1×Ｔ₂が計算され
る。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、
したがってX_d+1(X_d-xZ_d)が計算される。その結果がレジ
スタＴ₃に格納される。ステップ１１０６においてＴ₂の
２乗が計算される。ここでレジスタＴ₂には(X_d-xZ_d)が
格納されており、したがって(X_d-xZ_d)²が計算される。
その結果がレジスタＴ₂に格納される。ステップ１１０
７においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂
には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-x
Z_d)²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ１１０８においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂にはX_d+1(X_d-xZ_d)²が格納されて
おり、したがってZ_d+1X_d+1(X_d-xZ_d)²が計算される。そ
の結果がレジスタＴ₂に格納される。ステップ１１０９
においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ
_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってyZ_d+1X
_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に
格納される。ステップ１１１０においてＴ₂×Bが計算さ
れる。ここでレジスタＴ₂にはyZ_d+1X_d+1(X_d-xZ_d)²が格
納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²が計算
される。その結果がレジスタＴ₂に格納される。ステッ
プ１１１１においてＴ₂×Z_dが計算される。ここでレジ
スタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²が格納されており、し
たがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結
果がレジスタＴ₂に格納される。ステップ１１１２にお
いてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ
_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ
_d+1X_d+1(X_d-xZ_d)²Z_dX_dが計算される。その結果がレジス
タＴ₄に格納される。ステップ１１１３においてＴ₂×Z_d
が計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-x
Z_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ
_d)²Z_dが計算される。その結果がレジスタＴ₂に格納され
る。ステップ１１１４においてレジスタＴ₂の逆元が計
算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²
Z_d ²が格納されており、したがって1/ByZ_d+1X_d+1(X_d-x
Z_d)²Z_d ²が計算される。その結果がレジスタＴ₂に格納さ
れる。ステップ１１１５においてＴ₂×Ｔ_４が計算され
る。ここでレジスタＴ₂には1/ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²
がレジスタＴ_４にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_dがそれぞ
れ格納されており、したがって(ByZ_d+1X_d+1(X_d-xZ_d)²Z_d
X_d)/(ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²)(＝X_d/Z_d)が計算され
る。その結果がレジスタｘ_dに格納される。ステップ１
１１６においてＴ₁×Z_d+1が計算される。ここでレジス
タＴ₁にはX_dx-Z_dが格納されており、したがってZ_d+1(X_d
x-Z_d)が計算される。その結果がレジスタＴ₄に格納され
る。ステップ１１１７においてレジスタＴ₁の２乗が計
算される。ここでレジスタＴ₁には(X_dx-Z_d)が格納され
ており、したがって(X_dx-Z_d)²が計算される。その結果
がレジスタＴ₁に格納される。ステップ１１１８におい
てＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_dx
-Z_d)²がレジスタＴ_２には1/ByZ_d+1X_d+1(X_d-xZ_d)²がそれ
ぞれ格納されており、したがって(X_dx-Z_d)²/ByZ_d+1X_d+1
(X_d-xZ_d)²Z_d ² が計算される。その結果がレジスタＴ₂に
格納される。ステップ１１１９においてＴ₃+Ｔ₄が計算
される。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d) がレジス
タＴ₄にはZ_d+1 (X_dx-Z_d)がそれぞれ格納されており、し
たがってX_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)が計算される。そ
の結果がレジスタＴ₁に格納される。ステップ１１２０
においてＴ₃-Ｔ₄が計算される。ここでレジスタＴ₃には
X_d+1(X_d-xZ_d)がレジスタＴ₄にはZ_d+1(X_dx-Z_d)がそれぞ
れ格納されており、したがってX_d+1(X_d-xZ_d)-Z_d+1(X_dx-
Z_d)が計算される。その結果がレジスタＴ₃に格納され
る。ステップ１１２１においてＴ₁×Ｔ₃が計算される。
ここでレジスタＴ₁にはX_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)がレ
ジスタＴ₃にはX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)がそれぞれ格
納されており、したがって{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-
Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}が計算される。その
結果がレジスタＴ₁に格納される。ステップ１１２２に
おいてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には
{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-
Z_d)}がレジスタＴ₂には(X_dx-Z_d)²/ByZ_d+1X_d+1(X_d-xZ_d)²
Z_d ²がそれぞれ格納されており、したがって 【００５２】 【数５】 【００５３】が計算される。その結果がｙ_dに格納され
る。ｘ_dにはステップ１１１５において(ByZ_d+1X_d+1(X_d-
xZ_d)² Z_dX_d)/(ByZ_d+1X_d+1(X_d-xZ_d) ² X_d ²)が格納され、
その後更新が行なわれないので、その値が保持されてい
る。 【００５４】上記手順により座標復元部２０３へ与えら
れたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からモンゴメリ型楕円
曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)に
おける値が全て復元される理由は以下の通りである。
尚、点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)
Pは点dPから点Pを減算した点である。モンゴメリ型楕円
曲線のアフィン座標における加算公式に代入すると、次
の式を得る。 【００５５】 【数６】 【００５６】 【数７】 【００５７】^{両辺を各々減算することにより、} 【００５８】 【数８】 【００５９】^{を得る。したがって、} 【００６０】 【数９】 【００６１】となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入すること
により射影座標の値へと変換すると、次の式を得る。 【００６２】 【数１０】 【００６３】モンゴメリ型楕円曲線の射影座標での加算
公式は 【００６４】 【数１１】 【００６５】 【数１２】 【００６６】である。ここでX_m及びZ_mはモンゴメリ型楕
円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及び
Z座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ倍
点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ_m-n
はモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)Pの射
影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモンゴ
メリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座標に
おけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみたす
正整数である。この式はX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n
/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m+nも不変と
なるので、射影座標での公式としてうまく働いている。
他方、 【００６７】 【数１３】 【００６８】 【数１４】 【００６９】とおくと、この式でX_m/Z_m＝ｘ_m、X_n/Z_n＝
ｘ_n、X_m+n/Z_m+n＝ｘ_m+nが不変のとき、X'_m-n/Z'_m-nも不
変となる。また、X'_m-n/Z'_m-n＝X_m-n/Z_m-nをみたすの
で、ｘ_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。
m＝d、n＝1として上記公式を用いてｙ_dの式よりX_d-1及
びZ_d-1を消去し、X₁＝x,Z₁＝1とおくことにより、次の
式を得る。 【００７０】 【数１５】 【００７１】ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減
らす目的でｙ_dの分母と通分することにより、 【００７２】 【数１６】 【００７３】となる。ここで、x_d，y_dは図１１の処理に
より与えられている。したがって、アフィン座標(x_d,
y_d)の値が全て復元されていることになる。 【００７４】上記手順はステップ１１０１、ステップ１
１０３、ステップ１１０５、ステップ１１０７、ステッ
プ１１０８、ステップ１１０９、ステップ１１１０、ス
テップ１１１１、ステップ１１１２、ステップ１１１
３、ステップ１１１５、ステップ１１１６、ステップ１
１１８、ステップ１１２１及びステップ１１２２におい
て有限体上の乗算の計算量を必要とする。また、ステッ
プ１１０６及びステップ１１１７において有限体上の２
乗算の計算量を必要とする。また、ステップ１１１４に
おいて有限体上の逆元演算の計算量を必要とする。有限
体上の加算及び減算の計算量は、有限体上の乗算の計算
量、２乗算の計算量及び逆元演算の計算量と比べて比較
的小さいので無視してもよい。有限体上の乗算の計算量
をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆
元演算の計算量をＩとすると、上記手順は１５Ｍ＋２Ｓ
＋Ｉの計算量を必要とする。これは高速スカラー倍計算
の計算量と比べてはるかに小さい。例えばスカラー値d
が１６０ビットであれば、高速スカラー倍計算の計算量
はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８
Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５６．
６Ｍであり、高速スカラー倍計算の計算量と比べてはる
かに小さい。したがって効率的に座標を復元できている
ことが示された。 【００７５】尚、上記手順をとらなくても、上記計算式
により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの
値が復元できる。その場合においては一般的に復元に必
要となる計算量が増大する。また、楕円曲線のパラメタ
であるBの値を小さくとることにより、ステップ１１１
０における乗算の計算量を削減することができる。 【００７６】次に図４により、スカラー値d及びモンゴ
メリ型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z_d+1を出力す
る高速スカラー倍計算部の処理を説明する。 【００７７】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたモンゴメリ型楕円曲線
上の点Pを入力し、以下の手順によりモンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ
型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1
及びZ_d+1を出力する。ステップ４０１として、変数Ｉに
初期値１を代入する。ステップ４０２として、点Pの２
倍点２Pを計算する。ここで点Pは射影座標において(ｘ,
ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標に
おける２倍算の公式を用いて２倍点2Pを計算する。ステ
ップ４０３として、スカラー倍計算装置１０３に入力さ
れた楕円曲線上の点Pとステップ４０２で求めた点2P
を、点の組(P,2P)として格納する。ここで点P及び点2P
は射影座標で表されている。ステップ４０４として、変
数Ｉとスカラー値dのビット長とが一致するかどうかを
判定し、一致すればステップ４１３へ行く。一致しなけ
ればステップ４０５へ行く。ステップ４０５として、変
数Ｉを１増加させる。ステップ４０６として、スカラー
値のＩ番目のビットの値が０であるか１であるかを判定
する。そのビットの値が０であればステップ４０６へ行
く。そのビットの値が１であればステップ４１０へ行
く。ステップ４０７として、射影座標により表された点
の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを
行ない、点(2m+1)Pを計算する。その後ステップ４０８
へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円
曲線の射影座標における加算公式を用いて計算される。
ステップ４０８として、射影座標により表された点の組
(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを
計算する。その後ステップ４０９へ行く。ここで、２倍
算2(mP)は、モンゴメリ型楕円曲線の射影座標における
２倍算の公式を用いて計算される。ステップ４０９とし
て、ステップ４０８で求めた点2mPとステップ４０７で
求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点
の組(mP, (m+１)P)の代わりに格納する。その後ステッ
プ４０４へ戻る。ここで、点２mP、点(２m+１)P、点mP
及び点(m+１)Pは全て射影座標において表されている。
ステップ４１０として、射影座標により表された点の組
(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを
行ない、点(2m+１)Pを計算する。その後ステップ４１１
へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円
曲線の射影座標における加算公式を用いて計算される。
ステップ４１１として、射影座標により表された点の組
(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行な
い、点(2m+2)Pを計算する。その後ステップ４１２へ行
く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲
線の射影座標における２倍算の公式を用いて計算され
る。ステップ４１１として、ステップ４１０で求めた点
(2m+１)Pとステップ４１１で求めた点(2m+2)Pを点の組
((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わり
に格納する。その後ステップ４０４へ戻る。ここで、点
(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標
において表されている。ステップ４１３として、射影座
標で表された点の組(mP,(m+１)P)から、射影座標で表さ
れた点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_d
として、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z
_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、
出力する。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲
線の射影座標における加算公式及び２倍算の公式ではY
座標を求める事ができないので、求まっていない。また
上記手順により、ｍとスカラー値dはビット長が等しく
さらにそのビットのパターンも同じとなる為、等しくな
る。 【００７８】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ４０７において加算の計算量、ステップ４
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目の
ビットの値が１であれば、ステップ４１０において加算
の計算量、ステップ４１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ４０４、ステップ４０５、ステップ４０
６、ステップ４０７、ステップ４０８、ステップ４０９
乃至はステップ４０４、ステップ４０５、ステップ４０
６、ステップ４１０、ステップ４１１、ステップ４１２
の繰り返しの回数は、（スカラー値dのビット長）―１
回となるので、ステップ４０２での２倍算の計算量を考
慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）（ｋ―
１）＋３Ｍ＋２Ｓとなる。ここでｋはスカラー値dのビ
ット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ
程度と見積もられるので、全体の計算量はおおよそ
（９．２ｋ―４．６）Ｍとなる。例えばスカラー値dが
１６０ビット（ｋ＝１６０）であれば、上記手順のアル
ゴリズムの計算量はおおよそ１４６７Ｍとなる。スカラ
ー値dのビットあたりの計算量としてはおよそ９．２Ｍ
となる。A.Miyaji, T.Ono, H.Cohen, Efficient ellipt
ic curve exponentiation using mixed coordinates, A
dvancesin Cryptology Proceedings of ASIACRYPT'98,
LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラ
ス型楕円曲線において、ウィンドウ法を用いてヤコビア
ン座標を中心とした混合座標系を用いたスカラー倍計算
方法は高速なスカラー倍計算方法として記載されてい
る。この場合においては、スカラー値のビットあたりの
計算量はおおよそ１０Ｍと見積もられる。例えばスカラ
ー値dが１６０ビット（ｋ＝１６０）であれば、このス
カラー倍計算方法の計算量はおおよそ１６００Ｍとな
る。したがって、上記手順のアルゴリズムの方が計算量
が少なく高速といえる。 【００７９】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、X_d，Y_d，
X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であ
れば、他のアルゴリズムを用いていもよい。 【００８０】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１５Ｍ＋２Ｓ＋
Ｉであり、これは高速スカラー倍計算部２０２の高速ス
カラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍ
とに比べてはるかに小さい。したがって、スカラー倍計
算装置１０３のスカラー倍計算に必要な計算量は、高速
スカラー倍計算部の高速スカラー倍計算に必要な計算量
とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定す
ると、この計算量はおおよそ（９．２ｋ＋５２）Ｍと見
積もることができる。例えばスカラー値dが１６０ビッ
ト（ｋ＝１６０）であれば、このスカラー倍計算に必要
な計算量は１５２４Ｍとなる。楕円曲線としてワイエル
シュトラス型楕円曲線を使用し、ウィンドウ法を用いて
ヤコビアン座標を中心とした混合座標系を用いたスカラ
ー倍計算方法を用いて、スカラー倍点をアフィン座標と
して出力する場合に必要となる計算量はおおよそ１６４
０Ｍであり、これと比べて必要となる計算量は削減され
ている。 【００８１】第２の実施例は、スカラー倍計算部１０３
がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、
モンゴメリ型楕円曲線における射影座標の点として完全
な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出
力するものである。スカラー値d及びモンゴメリ型楕円
曲線上の点Pをスカラー倍計算装置１０３に入力すると
高速スカラー倍計算部２０２がそれを受け取る。高速ス
カラー倍計算部２０２は受け取ったスカラー値dと与え
られたモンゴメリ型楕円曲線上の点Pからモンゴメリ型
楕円曲線において射影座標で表されたスカラー倍点dP＝
(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表された
モンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)
の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表
された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)
と共にその情報を座標復元部２０３に与える。座標復元
部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、x
及びyよりモンゴメリ型楕円曲線において射影座標で表
されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_d
の復元を行なう。スカラー倍計算装置１０３は射影座標
において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z
_d)を計算結果として出力する。 【００８２】次に図９により、座標x、y X_d、Z_d、
X_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座
標復元部の処理について説明する。 【００８３】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入
力されたモンゴメリ型楕円曲線上の点Pをアフィン座標
で表した(x,y)を入力し、以下の手順で射影座標おいて
完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそ
れぞれ表す。入力されたスカラー値をdとしてモンゴメ
リ型楕円曲線におけるスカラー倍点dPのアフィン座標を
(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モ
ンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x
_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ
表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座
標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそ
れぞれ表す。 【００８４】ステップ９０１においてX_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ９０２におい
てＴ₁−Z_dが計算される。ここでレジスタＴ₁にはX_dxが
格納されており、したがってX_dx−Z_dが計算される。そ
の結果がレジスタＴ₁に格納される。ステップ９０３に
おいてZ_d×xが計算され、レジスタＴ₂に格納される。ス
テップ９０４においてX_d−Ｔ₂が計算される。ここでレ
ジスタＴ₂にはZ_dxが格納されており、したがってX_d−xZ
_dが計算される。その結果がレジスタＴ₂に格納される。
ステップ９０５においてZ_d+1×Ｔ₁が計算される。ここ
でレジスタＴ₁にはX_dx−Z_dが格納されており、したがっ
てZ_d+1(X_dx−Z_d)が計算される。その結果がレジスタＴ₃
に格納される。ステップ９０６においてX_d+1×Ｔ₂が計
算される。ここでレジスタＴ₂にはX_d−xZ_dが格納されて
おり、したがってX_d+1(X_d−xZ_d)が計算される。その結
果がレジスタＴ₄に格納される。ステップ９０７におい
てＴ₁の２乗が計算される。ここでレジスタＴ₁にはX_dx
−Z_dが格納されており、したがって(X_dx−Z_d)²が計算さ
れる。その結果がレジスタＴ₁に格納される。ステップ
９０８においてＴ₂の２乗が計算される。ここでレジス
タＴ₂にはX_d−xZ_dが格納されており、したがって(X_d−x
Z_d)²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ９０９においてＴ₂×Z_dが計算される。こ
こでレジスタＴ₂には(X_d−xZ_d)²が格納されており、し
たがってZ_d (X_d−xZ_d)²が計算される。その結果がレジ
スタＴ₂に格納される。ステップ９１０においてＴ₂×X
_d+1が計算される。ここでレジスタＴ₂にはZ_d (X_d−xZ_d)
²が格納されており、したがってX_d+1Z_d(X_d−xZ_d)²が計
算される。その結果がレジスタＴ₂に格納される。ステ
ップ９１１においてＴ₂×Z_d+1が計算される。ここでレ
ジスタＴ₂にX_d+1Z_d(X_d−xZ_d)²が格納されており、した
がってZ_d+1X_d+1Z_d(X_d−xZ_d)²が計算される。その結果が
レジスタＴ₂に格納される。ステップ９１２においてＴ₂
×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1Z_d(X
_d−xZ_d)²が格納されており、したがってyZ_d+1X_d+1Z_d(X_d
−xZ_d)²が計算される。その結果がレジスタＴ₂に格納さ
れる。ステップ９１３においてＴ₂×Bが計算される。こ
こでレジスタＴ₂にはyZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納され
ており、したがってByZ_d+1X_d+1Z_d(X_d−xZ_d)²が計算され
る。その結果がレジスタＴ₂に格納される。ステップ９
１４においてＴ₂×X_dが計算される。ここでレジスタＴ₂
にはByZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納されており、したが
ってByZ_d+1X_d+1Z_d(X_d−xZ_d)²X_dが計算される。その結果
がX_dに格納される。ステップ９１５においてＴ₂×Z_dが
計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d−
xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d−
xZ_d)²Z_dが計算される。その結果がレジスタZ_dに格納さ
れる。ステップ９１６においてＴ₃＋Ｔ₄が計算される。
ここでレジスタＴ₃にはZ_d+1(X_dx−Z_d)がレジスタＴ₄に
はX_d+1(X_d−xZ_d)が格納されており、したがってZ_d+1(X_d
x−Z_d)＋X_d+1(X_d−xZ_d)が計算される。その結果がレジ
スタＴ₂に格納される。ステップ９１７においてＴ₃−Ｔ
₄が計算される。ここでレジスタＴ₃にはZ_d+1(X_dx−Z_d)
がレジスタＴ₄にはX_d+1(X_d−xZ_d)が格納されており、し
たがってZ_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)が計算される。
その結果がレジスタＴ₃に格納される。ステップ９１８
においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁に
は(X_dx−Z_d)²がレジスタＴ₂にはZ_d+1(X_dx−Z_d)＋X_d+1(X
_d−xZ_d)が格納されており、したがって{Z_d+1(X_dx−Z_d)
＋X_d+1(X_d−xZ_d)}(X_dx−Z_d)²が計算される。その結果が
レジスタＴ₁に格納される。ステップ９１９においてＴ₁
×Ｔ₃が計算される。ここでレジスタＴ₁には{Z_d+1(X_dx
−Z_d)＋X_d+1(X_d−xZ_d)}(X_dx−Z_d)²がレジスタＴ₃にはZ
_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)が格納されており、した
がって{Z_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}{Z_d+1(X_dx−Z_d)
−X_d+1(X_d−xZ_d)}(X_dx−Z_d)²が計算される。その結果が
レジスタY_dに格納される。したがってレジスタY_dには{Z
_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}{Z_d+1(X_dx−Z_d)−X_d+1(X
_d−xZ_d)}(X_dx−Z_d)²が格納されている。レジスタX_dには
ステップ９１４においてByZ_d+1X_d+1Z_d+1(X_d−xZ_d)²X_dが
格納され、その後更新が行われないので、その値が保持
されている。レジスタZ_dにはステップ９１５においてBy
Z_d+1X_d+1Z_d+1(X_d−xZ_d)²Z_dが格納され、その後更新が
行われないので、その値が保持されている。 【００８５】上記手順により与えられたx、y、X_d、Z_d、
X_d+1、Z_d+1からスカラー倍点の射影座標(X_d,Y_d,Z_d)にお
ける値が全て復元される理由は以下の通りである。点(d
+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dP
から点Pを減算した点である。モンゴメリ型楕円曲線の
アフィン座標における加算公式に代入すると、次の数
６、数７を得る。^{両辺を各々減算することにより、}数８
^{を得る。したがって、}数９となる。ここでｘ_d＝X_d/Z_d、
ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を
代入することにより射影座標の値へと変換すると、数１
０を得る。 【００８６】モンゴメリ型楕円曲線の射影座標での加算
公式は数１１、数１２である。ここでX_m及びZ_mはモンゴ
メリ型楕円曲線上の点Pのｍ倍点mPの射影座標におけるX
座標及びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の
点Pのｎ倍点nPの射影座標におけるX座標及びZ座標、X
_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍
点(m-n)Pの射影座標におけるX座標及びZ座標、X_m+n及び
Z_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)P
の射影座標におけるX座標及びZ座標であり、ｍ，ｎはｍ
＞ｎをみたす正整数である。この式はX_m/Z_m＝ｘ_m、X_n/Z
_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝
ｘ_m+nも不変となるので、射影座標での公式としてうま
く働いている。他方、数１４、数１５とおくと、この式
でX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m+n/Z_m+n＝ｘ_m+nが不変の
とき、X'_m-n/Z'_m-nも不変となる。また、X'_m-n/Z'_m-n＝
X_m-n/Z_m-n＝ｘ_m-nをみたすので、ｘ_m-nの射影座標とし
てX'_m-n,Z'_m-nをとってよい。m＝d、n＝1として上記公
式を用いてｙ_dの式よりX_d-1及びZ_d-1を消去し、X₁＝x,Z
₁＝1とおくことにより、数１５を得る。ｘ_d＝X_d/Z_dであ
るが、ｙ_dの分母と通分することにより、数１６とな
る。 【００８７】その結果として、 【００８８】 【数１７】 【００８９】とし、X_d及びZ_dをそれぞれ 【００９０】 【数１８】 【００９１】 【数１９】 【００９２】により更新すればよい。ここで、X_d，Y_d，
Z_dは図９の処理により与えられている。したがって、射
影座標(X_d,Y_d,Z_d)の値が全て復元されていることにな
る。 【００９３】上記手順はステップ９０１、ステップ９０
３、ステップ９０５、ステップ９０６、ステップ９０
９、ステップ９１０、ステップ９１１、ステップ９１
２、ステップ９１３、ステップ９１４、ステップ９１
５、ステップ９１８及びステップ９１９において有限体
上の乗算の計算量を必要とする。また、ステップ９０７
及びステップ９０８において有限体上の２乗算の計算量
を必要とする。有限体上の加算及び減算の計算量は、有
限体上の乗算の計算量、２乗算の計算量と比べて比較的
小さいので無視してもよい。有限体上の乗算の計算量を
Ｍ、有限体上の２乗算の計算量をＳとすると、上記手順
は１３Ｍ＋２Ｓの計算量を必要とする。これは高速スカ
ラー倍計算の計算量と比べてはるかに小さい。例えばス
カラー値dが１６０ビットであれば、高速スカラー倍計
算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ
＝０．８Ｍと仮定すると座標復元の計算量は１４．６Ｍ
であり、高速スカラー倍計算の計算量と比べてはるかに
小さい。したがって効率的に座標を復元できていること
が示された。 【００９４】尚、上記手順をとらなくても、上記計算式
により与えられたX_d、Y_d、Z_dの値が計算できればX_d、
Y_d、Z_dの値が復元できる。また、x_d、y_dが上記計算式に
より与えられる値を取るようにX_d、Y_d、Z_dの値を選択
し、その値が計算できればX_d、Y_d、Z_dが復元できる。そ
れらの場合においては一般的に復元に必要となる計算量
が増大する。また、楕円曲線のパラメタであるBの値を
小さくとることにより、ステップ９１３における乗算の
計算量を削減することができる。 【００９５】次に、スカラー値d及びモンゴメリ型楕円
曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアル
ゴリズムについて説明する。 【００９６】第２実施例の高速スカラー倍計算部２０２
の高速スカラー倍計算方法として、第１実施例の高速ス
カラー倍計算方法を用いる。これにより、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，
X_d+1，Z_d+1を出力するアルゴリズムとして、高速である
アルゴリズムが達成される。尚、高速スカラー倍計算部
２０２において上記アルゴリズムを用いなくても、スカ
ラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【００９７】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１３Ｍ＋２Ｓで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに
比べてはるかに小さい。したがって、スカラー倍計算装
置１０３のスカラー倍計算に必要な計算量は、高速スカ
ラー倍計算部の高速スカラー倍計算に必要な計算量とほ
ぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量
はおおよそ（９．２ｋ＋１０）Ｍと見積もることができ
る。例えばスカラー値dが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量は１４８
２Ｍとなる。楕円曲線としてワイエルシュトラス型楕円
曲線を使用し、ウィンドウ法を用いてヤコビアン座標を
中心とした混合座標系を用いたスカラー倍計算方法を用
いて、スカラー倍点をヤコビアン座標として出力する場
合に必要となる計算量はおおよそ１６００Ｍであり、こ
れと比べて必要となる計算量は削減されている。 【００９８】第３の実施例は、スカラー倍計算装置１０
３がスカラー値d及びモンゴメリ型楕円曲線上の点Pか
ら、モンゴメリ型楕円曲線におけるアフィン座標の点と
して完全な座標が与えられたスカラー倍点(x_d,y_d)を計
算し出力するものである。スカラー値d及びモンゴメリ
型楕円曲線上の点Pをスカラー倍計算装置１０３に入力
すると高速スカラー倍計算部２０２がそれを受け取る。
高速スカラー倍計算部２０２は受け取ったスカラー値d
と与えられたモンゴメリ型楕円曲線上の点Pからモンゴ
メリ型楕円曲線において射影座標で表されたスカラー倍
点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表
されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,
Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表さ
れたモンゴメリ型楕円曲線上の点(d−1)P＝(X_d-1,Y_d-1,
Z_d-1)の座標のうちX_d-1及びZ_d-1を計算し、アフィン座
標で表された入力されたモンゴメリ型楕円曲線上の点P=
(x,y)と共にその情報を座標復元部２０３に与える。座
標復元部２０３は与えられた座標の値値X_d、Z_d、X_d+1、
Z_d+1、X_d-1、Z_d-1、ｘ及びｙよりモンゴメリ型楕円曲線
においてアフィン座標で表されたスカラー倍点dP＝(x_d,
y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算
装置１０３はアフィン座標において完全に座標が与えら
れたスカラー倍点(x_d,y_d)を計算結果として出力する。 【００９９】次に図１２により、座標x、y、X_d、Z_d、X
_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にx_d、y_dを出
力する座標復元部の処理について説明する。 【０１００】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型
楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうち
X_d-1及びZ_d-1、スカラー倍計算装置１０３に入力された
モンゴメリ型楕円曲線上の点Pをアフィン座標で表した
(x,y)を入力し、以下の手順でアフィン座標おいて完全
な座標が与えられたスカラー倍点(x_d,y_d)を出力する。
ここで入力されたモンゴメリ型楕円曲線上の点Pのアフ
ィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞ
れ表す。入力されたスカラー値をdとしてモンゴメリ型
楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,
y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴ
メリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y
_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。
モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x
_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ
表す。 【０１０１】ステップ１２０１においてX_d-1×Z_d+1が計
算され、レジスタＴ₁に格納される。ステップ１２０２
においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納さ
れる。ステップ１２０３においてＴ₁−Ｔ_２が計算され
る。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２に
はZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1
Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ１２０４においてZ_d×xが計算さ
れ、レジスタＴ_２に格納される。ステップ１２０５にお
いてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが
格納されており、したがってX_d-xZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ１２０６に
おいてＴ_２の２乗が計算される。ここでレジスタＴ_２に
はX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ１２０７においてＴ₁×Ｔ_２が計算される。ここで
レジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には
(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-x
Z_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレ
ジスタＴ₁に格納される。ステップ１２０８において4×
Byが計算される。その結果がレジスタＴ_２に格納され
る。ステップ１２０９においてＴ_２×Z_d+1が計算され
る。ここでレジスタＴ_２には4Byが格納されており、し
たがって4ByZ_d+1が計算される。その結果がレジスタＴ
_２に格納される。ステップ１２１０においてＴ_２×Z_d-1
が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納
されており、したがって4ByZ_d-1Z_d+1が計算される。そ
の結果がレジスタＴ_２に格納される。ステップ１２１１
においてＴ_２×Z_dが計算される。ここでレジスタＴ_２に
は4ByZ_d+1Z_d-1が格納されており、したがって4ByZ_d+1Z
_d-1Z_dが計算される。その結果がレジスタＴ_２に格納さ
れる。ステップ１２１２においてＴ_２×X_dが計算され
る。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dが格納され
ており、したがって4ByZ_d+1Z_d-1Z_dX_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ１２１３
においてＴ_２×Z_dが計算される。ここでレジスタＴ_２に
は4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1
Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納
される。ステップ１２１４においてレジスタＴ_２の逆元
が計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dZ
_dが格納されており、したがって1/4ByZ_d+1Z_d-1Z_dZ_dが計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ１２１５においてＴ_２×Ｔ₃が計算される。ここで
レジスタＴ_２には1/4ByZ_d+1Z_d-1Z_dZ_dがレジスタＴ₃には
4ByZ_d+1Z_d-1Z_dX_d がそれぞれ格納されており、したがっ
て(4ByZ_d+1Z_d-1Z_dX_d)/(4ByZ_d+1Z_d-1Z_dZ_d)が計算され
る。その結果がレジスタx_dに格納される。ステップ１２
１６においてＴ₁×Ｔ_２が計算される。ここでレジスタ
Ｔ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)がレジスタＴ_２
には1/4ByZ_d+1Z_d-1Z_dZ_dがそれぞれ格納されており、し
たがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4ByZ_d-1Z_d+1Z_d
²が計算される。その結果がレジスタy_dに格納される。
したがってレジスタy_dには(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z
_dx)²/4ByZ_d-1Z_d+1Z_d ²が格納されている。レジスタx_dに
はステップ１２１５において(4ByZ_d+1Z_d-1Z_dX_d)/(4ByZ
_d+1Z_d-1Z_dZ_d)が格納され、その後更新が行なわれないの
で、その値が保持されている。 【０１０２】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からモンゴメリ型楕円曲線
におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)におけ
る値が全て復元される理由は以下の通りである。点(d+
1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPか
ら点Pを減算した点である。 【０１０３】モンゴメリ型楕円曲線のアフィン座標にお
ける加算公式に代入すると、数６、数７を得る。
^{両辺を各々減算することにより、数８を得る。したがっ
て、数９}となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入すること
により射影座標の値へと変換すると、数１０を得る。 【０１０４】ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減
らす目的でｙ_dの分母と通分することにより、 【０１０５】 【数２０】 【０１０６】となる。このx_d，y_dは図１２で示した処理
により与えられ、したがってアフィン座標(x_d,y_d)の値
が全て復元されていることになる。 【０１０７】上記手順はステップ１２０１、ステップ１
２０２、ステップ１２０４、ステップ１２０７、ステッ
プ１２０８、ステップ１２０９、ステップ１２１０、ス
テップ１２１１、ステップ１２１２、ステップ１２１
３、ステップ１２１５及びステップ１２１６において有
限体上の乗算の計算量を必要とする。また、ステップ１
２０６において有限体上の２乗算の計算量を必要とす
る。また、ステップ１２１４において有限体上の逆元演
算の計算量を必要とする。有限体上の加算及び減算の計
算量は、有限体上の乗算の計算量、２乗算の計算量及び
逆元演算の計算量と比べて比較的小さいので無視しても
よい。有限体上の乗算の計算量をＭ、有限体上の２乗算
の計算量をＳ及び有限体上の逆元演算の計算量をＩとす
ると、上記手順は１２Ｍ＋Ｓ＋Ｉの計算量を必要とす
る。これは高速スカラー倍計算の計算量と比べてはるか
に小さい。例えばスカラー値dが１６０ビットであれ
ば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ
弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定す
ると座標復元の計算量は５２．８Ｍであり、高速スカラ
ー倍計算の計算量と比べてはるかに小さい。したがって
効率的に座標を復元できていることが示された。 【０１０８】尚、上記手順をとらなくても、上記計算式
により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの
値が復元できる。その場合においては一般的に復元に必
要となる計算量が増大する。また、楕円曲線のパラメタ
であるBの値を小さくとることにより、ステップ１２０
８における乗算の計算量を削減することができる。 【０１０９】次に図５により、スカラー値d及びモンゴ
メリ型楕円曲線上の点PからX_d,Z_d,X_d+1,Z_d+1,X_d-1,Z_d-1
を出力する高速スカラー倍計算部の処理について説明す
る。 【０１１０】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたモンゴメリ型楕円曲線
上の点Pを入力し、以下の手順によりモンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ
型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1
及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上
の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)のうちX_d-1及びZ_d-1を出
力する。ステップ５０１として、変数Ｉに初期値１を代
入する。ステップ５０２として、点Pの２倍点２Pを計算
する。ここで点Pは射影座標において(ｘ,ｙ,1)として表
し、モンゴメリ型楕円曲線の射影座標における２倍算の
公式を用いて２倍点2Pを計算する。ステップ５０３とし
て、スカラー倍計算装置１０３に入力された楕円曲線上
の点Pとステップ５０２で求めた点2Pを、点の組(P,2P)
として格納する。ここで点P及び点2Pは射影座標で表さ
れている。ステップ５０４として、変数Ｉとスカラー値
dのビット長とが一致するかどうかを判定し、一致すれ
ばステップ５１４へ行く。一致しなければステップ５０
５へ行く。ステップ５０５として、変数Ｉを１増加させ
る。ステップ５０６として、スカラー値のＩ番目のビッ
トの値が０であるか１であるかを判定する。そのビット
の値が０であればステップ５０６へ行く。そのビットの
値が１であればステップ５１０へ行く。ステップ５０７
として、射影座標により表された点の組(mP,(m+1)P)か
ら点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)P
を計算する。その後ステップ５０８へ行く。ここで、加
算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標にお
ける加算公式を用いて計算される。ステップ５０８とし
て、射影座標により表された点の組(mP,(m+1)P)から点m
Pの２倍算２(mP)を行ない、点2mPを計算する。その後ス
テップ５０９へ行く。ここで、２倍算2(mP)は、モンゴ
メリ型楕円曲線の射影座標における２倍算の公式を用い
て計算される。ステップ５０９として、ステップ５０８
で求めた点2mPとステップ５０７で求めた点(2m+１)Pを
点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の
代わりに格納する。その後ステップ５０４へ戻る。ここ
で、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射
影座標において表されている。ステップ５１０として、
射影座標により表された点の組(mP,(m+１)P)から点mPと
点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計
算する。その後ステップ５１１へ行く。ここで、加算mP
+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における
加算公式を用いて計算される。ステップ５１１として、
射影座標により表された点の組(mP,(m+１)P)から点(m+
１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算す
る。その後ステップ５１２へ行く。ここで、２倍算2((m
+１)P)は、モンゴメリ型楕円曲線の射影座標における２
倍算の公式を用いて計算される。ステップ５１１とし
て、ステップ５１０で求めた点(2m+１)Pとステップ５１
１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)とし
て、点の組(mP,(m+1)P)の代わりに格納する。その後ス
テップ５０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、
点mP及び点(m+1)Pは全て射影座標において表されてい
る。ステップ５１４として、射影座標で表された点の組
(mP, (m+1)P)から、点(m-1)Pの射影座標におけるX座標X
_m-1及びZ座標Z_m-1を求め、それぞれX_d-1及びZ_d-1とす
る。その後ステップ５１３へ行く。ステップ５１３とし
て、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_m
をそれぞれX_d及びZ_dとして、射影座標で表された点(m+
1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX
_d+1及びZ_d+1として、X_d-1及びZ_d-1と共に出力する。こ
こで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標
における加算公式及び２倍算の公式ではY座標を求める
事ができないので、求まっていない。また上記手順によ
り、ｍとスカラー値dはビット長が等しくさらにそのビ
ットのパターンも同じとなる為、等しくなる。またステ
ップ５１４において(m-1)Pを求める際に、数１０、数１
１の公式により求めてもよいし、ｍが奇数であれば、
((m-1)/2)Pの値をステップ５１２の段階で別に保持して
おき、その値からモンゴメリ型楕円曲線の２倍算の公式
より、(m-1)Pを求めてもよい。 【０１１１】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ５０７において加算の計算量、ステップ５
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目の
ビットの値が１であれば、ステップ５１０において加算
の計算量、ステップ５１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ５０４、ステップ５０５、ステップ５０
６、ステップ５０７、ステップ５０８、ステップ５０９
乃至はステップ５０４、ステップ５０５、ステップ５０
６、ステップ５１０、ステップ５１１、ステップ５１２
の繰り返しの回数は、（スカラー値ｄのビット長）―１
回となるので、ステップ５０２での２倍算の計算量とス
テップ５１４での(m-1)Pの計算に必要な計算量を考慮に
入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋Ｍとな
る。ここでｋはスカラー値dのビット長である。一般的
には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるの
で、全体の計算量はおおよそ（９．２ｋ＋１）Ｍとな
る。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）
であれば、上記手順のアルゴリズムの計算量はおおよそ
１４７３Ｍとなる。スカラー値dのビットあたりの計算
量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono,
H.Cohen, Efficient elliptic curve exponentiation u
sing mixed coordinates, Advances in Cryptology Pr
oceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-
65 には、ワイエルシュトラス型楕円曲線において、ウ
ィンドウ法を用いてヤコビアン座標を中心とした混合座
標系を用いたスカラー倍計算方法は高速なスカラー倍計
算方法として記載されている。この場合においては、ス
カラー値のビットあたりの計算量はおおよそ１０Ｍと見
積もられる。例えばスカラー値dが１６０ビット（ｋ＝
１６０）であれば、このスカラー倍計算方法の計算量は
おおよそ１６００Ｍとなる。したがって、上記手順のア
ルゴリズムの方が計算量が少なく高速といえる。 【０１１２】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、X_d, Z_d ,X_d+1,
Z_d+1を出力するアルゴリズムであり且つ高速であれ
ば、他のアルゴリズムを用いていもよい。 【０１１３】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、
この計算量はおおよそ（９．２ｋ＋５３．８）Ｍと見積
もることができる。例えばスカラー値ｄが１６０ビット
（ｋ＝１６０）であれば、このスカラー倍計算に必要な
計算量はおおよそ１５２６Ｍとなる。楕円曲線としてワ
イエルシュトラス型楕円曲線を使用し、ウィンドウ法を
用いてヤコビアン座標を中心とした混合座標系を用いた
スカラー倍計算方法を用いて、スカラー倍点をアフィン
座標として出力する場合に必要となる計算量はおおよそ
１６４０Ｍであり、これと比べて必要となる計算量は削
減されている。 【０１１４】第４の実施例は、スカラー倍計算部１０３
がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、
モンゴメリ型楕円曲線における射影座標の点として完全
な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出
力する。スカラー値d及びモンゴメリ型楕円曲線上の点P
をスカラー倍計算装置１０３に入力すると高速スカラー
倍計算部２０２がそれを受け取る。高速スカラー倍計算
部２０２は受け取ったスカラー値dと与えられたモンゴ
メリ型楕円曲線上の点Pからモンゴメリ型楕円曲線にお
いて射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の
座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型
楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうち
X_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲
線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)を計算し、アフィン
座標で表された入力されたモンゴメリ型楕円曲線上の点
P＝(x,y)と共にその情報を座標復元部２０３に与える。
座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、
Z_d+1、X_d-1、Z_d-1、x及びyよりモンゴメリ型楕円曲線に
おいて射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)
の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装
置１０３は射影座標において完全に座標が与えられたス
カラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。 【０１１５】次に図１３により、座標x、y X_d、Z_d、X
_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にX_d、Y_d、Z_d
を出力する座標復元部の処理について説明する。 【０１１６】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ
型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のう
ちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力され
たモンゴメリ型楕円曲線上の点Pをアフィン座標で表し
た(x,y)を入力し、以下の手順で射影座標おいて完全な
座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。
ここで入力されたモンゴメリ型楕円曲線上の点Pのアフ
ィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ
表す。入力されたスカラー値をdとしてモンゴメリ型楕
円曲線におけるスカラー倍点dPのアフィン座標を(x_d,
y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴ
メリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y
_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。
モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x
_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ
表す。 【０１１７】ステップ１３０１においてX_d-1×Z_d+1が計
算され、レジスタＴ₁に格納される。ステップ１３０２
においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納さ
れる。ステップ１３０３においてＴ₁−Ｔ_２が計算され
る。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２に
はZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1
Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ１３０４においてZ_d×xが計算さ
れ、レジスタＴ_２に格納される。ステップ１３０５にお
いてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが
格納されており、したがってX_d-xZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ１３０６に
おいてＴ_２の２乗が計算される。ここでレジスタＴ_２に
はX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ１３０７においてＴ₁×Ｔ_２が計算される。ここで
レジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には
(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-x
Z_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレ
ジスタY_dに格納される。ステップ１３０８において4×B
yが計算される。その結果がレジスタＴ_２に格納され
る。ステップ１３０９においてＴ_２×Z_d+1が計算され
る。ここでレジスタＴ_２には4Byが格納されており、し
たがって4ByZ_d+1が計算される。その結果がレジスタＴ
_２に格納される。ステップ１３１０においてＴ_２×Z_d-1
が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納
されており、したがって4ByZ_d+1Z_d-1が計算される。そ
の結果がレジスタＴ_２に格納される。ステップ１３１１
においてＴ_２×Z_dが計算される。ここでレジスタＴ_２に
は4ByZ_d+1Z_d-1が格納されており、したがって4ByZ_d+1Z
_d-1Z_dが計算される。その結果がレジスタＴ_２に格納さ
れる。ステップ１３１２においてＴ_２×X_dが計算され
る。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納され
ており、したがって4ByZ_d+1Z_d-1Z_dX_dが計算される。そ
の結果がレジスタX_dに格納される。ステップ１３１３に
おいてＴ_２×Z_dが計算される。ここでレジスタＴ_２には
4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z
_d-1Z_dZ_dが計算される。その結果がZ_dに格納される。し
たがってZ_dには4ByZ_d+1Z_d-1Z_dZ_dが格納されている。レ
ジスタY_dにはステップ１３０７において(X_d-xZ_d)²(X_d-1
Z_d+1-Z_d-1X_d+1)が格納され、その後更新が行われないの
で、その値が保持されている。 【０１１８】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からスカラー倍点の射影座
標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の
通りである。点(d+1)Pは点dPに点Pを加算した点であ
る。点(d-1)Pは点dPから点Pを減算した点である。これ
より、先に述べた数７を得ることができる。座標復元部
２０３はスカラー倍点の射影座標で表された完全な座標
として(X_d,Y_d,Z_d)を出力する。 【０１１９】上記手順により与えられたx、y X_d、Z_d、X
_d+1、Z_d+1、X_d-1、Z_d-1からスカラー倍点の射影座標
(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通
りである。点(d+1)Pは点dPに点Pを加算した点である。
点(d-1)Pは点dPから点Pを減算した点である。モンゴメ
リ型楕円曲線のアフィン座標における加算公式に代入す
ると、数６、数７を得る。
^{両辺を各々減算することにより、数８を得る。したがっ
て、数９}となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入すること
により射影座標の値へと変換すると、数７を得る。 【０１２０】ｘ_d＝X_d/Z_dであるが、ｙ_dの分母と通分す
ることにより、数２０となる。その結果として、数１
７、 【０１２１】 【数２１】 【０１２２】とし、X_d及びZ_dをそれぞれ 【０１２３】 【数２２】 【０１２４】 【数２３】 【０１２５】により更新すればよい。ここで示したX_d，
Y_d，Z_d，は図１３で示した処理により与えられている。
したがって、射影座標の値(X_d,Y_d,Z_d)が全て復元されて
いることになる。 【０１２６】上記手順はステップ１３０１、ステップ１
３０２、ステップ１３０４、ステップ１３０７、ステッ
プ１３０８、ステップ１３０９、ステップ１３１０、ス
テップ１３１１、ステップ１３１２及びステップ１３１
３において有限体上の乗算の計算量を必要とする。ま
た、ステップ１３０６において有限体上の２乗算の計算
量を必要とする。有限体上の減算の計算量は、有限体上
の乗算の計算量、２乗算の計算量と比べて比較的小さい
ので無視してもよい。有限体上の乗算の計算量をＭ、有
限体上の２乗算の計算量をＳとすると、上記手順は１０
Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計
算の計算量と比べてはるかに小さい。例えばスカラー値
dが１６０ビットであれば、高速スカラー倍計算の計算
量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８
Ｍと仮定すると座標復元の計算量は１０．８Ｍであり、
高速スカラー倍計算の計算量と比べてはるかに小さい。
したがって効率的に座標を復元できていることが示され
た。 【０１２７】尚、上記手順をとらなくても、上記計算式
により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_d
の値が復元できる。また、x_d,y_dが上記計算式により与
えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値
が計算できればX_d,Y_d,Z_dが復元できる。それらの場合に
おいては一般的に復元に必要となる計算量が増大する。
また、楕円曲線のパラメタであるBの値を小さくとるこ
とにより、ステップ１３０８における乗算の計算量を削
減することができる。 【０１２８】次に、スカラー値d及びモンゴメリ型楕円
曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を
出力するアルゴリズムについて説明する。 【０１２９】第４実施例の高速スカラー倍計算部２０２
の高速スカラー倍計算方法として、第３実施例の高速ス
カラー倍計算方法を用いる。これにより、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，
X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムとし
て、高速であるアルゴリズムが達成される。尚、高速ス
カラー倍計算部２０２において上記手順のアルゴリズム
を用いなくても、スカラー値d及びモンゴメリ型楕円曲
線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出
力するアルゴリズムであり且つ高速であれば、他のアル
ゴリズムを用いていもよい。 【０１３０】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１０Ｍ＋Ｓであ
り、これは高速スカラー倍計算部２０２の高速スカラー
倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べて
はるかに小さい。したがって、スカラー倍計算装置１０
３のスカラー倍計算に必要な計算量は、高速スカラー倍
計算部の高速スカラー倍計算に必要な計算量とほぼ同等
である。Ｓ＝０．８Ｍと仮定すると、この計算量はおお
よそ（９．２ｋ＋１１．８）Ｍと見積もることができ
る。例えばスカラー値dが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量はおおよ
そ１４８４Ｍとなる。楕円曲線としてワイエルシュトラ
ス型楕円曲線を使用し、ウィンドウ法を用いてヤコビア
ン座標を中心とした混合座標系を用いたスカラー倍計算
方法を用いて、スカラー倍点をヤコビアン座標として出
力する場合に必要となる計算量はおおよそ１６００Ｍで
あり、これと比べて必要となる計算量は削減されてい
る。 【０１３１】第５の実施例は、スカラー倍計算装置１０
３がスカラー値d及びモンゴメリ型楕円曲線上の点Pか
ら、モンゴメリ型楕円曲線におけるアフィン座標の点と
して完全な座標が与えられたスカラー倍点(x_d,y_d)を計
算し出力する。スカラー値d及びモンゴメリ型楕円曲線
上の点Pをスカラー倍計算装置１０３に入力すると高速
スカラー倍計算部２０２がそれを受け取る。高速スカラ
ー倍計算部２０２は受け取ったスカラー値dと与えられ
たモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲
線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算
し、アフィン座標で表された入力されたモンゴメリ型楕
円曲線上の点P＝(x,y)と共にその情報を座標復元部２０
３に与える。座標復元部２０３は与えられた座標の値
x_d、x_d+1、x_d-1、x及びyよりモンゴメリ型楕円曲線にお
いてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)
の座標y_dの復元を行なう。スカラー倍計算装置１０３は
アフィン座標において完全に座標が与えられたスカラー
倍点(x_d,y_d)を計算結果として出力する。 【０１３２】次に図２６により、座標x、y、x_d、x_d+1、
x_d-1が与えられた場合に、x_d、y_dを出力する座標復元部
の処理について説明する。 【０１３３】座標復元部２０３では、モンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲
線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1、スカ
ラー倍計算装置１０３に入力されたモンゴメリ型楕円曲
線上の点Pをアフィン座標で表した(x,y)を入力し、以下
の手順でアフィン座標において完全な座標が与えられた
スカラー倍点(x_d,y_d)を出力する。 【０１３４】ステップ２６０１においてx_d−xが計算さ
れ、レジスタＴ₁に格納される。ステップ２６０２にお
いてＴ₁の２乗すなわち(x_d−x)²が計算され、レジスタ
Ｔ₁に格納される。ステップ２６０３においてx_d-1−x
_d+1が計算され、レジスタＴ₂に格納される。ステップ２
６０４においてＴ₁×Ｔ₂が計算される。ここでレジスタ
Ｔ₁には(x_d−x)²がレジスタＴ₂にはx_d-1−x_d+1がそれぞ
れ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)が
計算される。その結果がレジスタＴ₁に格納される。ス
テップ２６０５において4B×yが計算され、レジスタＴ₂
に格納される。ステップ２６０６においてＴ₂の逆元が
計算される。ここでレジスタＴ₂には4Byが格納されてお
り、したがって1/4Byが計算される。その結果がレジス
タＴ₂に格納される。ステップ２６０７においてＴ₁×Ｔ
₂が計算される。ここでレジスタＴ₁には(x_d−x)²(x_d-1
−x_d+1)がレジスタＴ₂には1/4Byがそれぞれ格納されて
おり、したがって(x_d−x)²(x_d-1−x_d+1)/4Byが計算され
る。その結果がレジスタy_dに格納される。したがってレ
ジスタy_dには(x_d−x)²(x_d-1−x_d+1)/4Byが格納されてい
る。レジスタx_dは全く更新されないので入力された値が
保持されている。 【０１３５】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。尚、点(d+1)Pは点
dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを
減算した点である。モンゴメリ型楕円曲線のアフィン座
標における加算公式に代入すると、数６、数７を得る。 【０１３６】両辺を各々減算することにより、数８を得
る。したがって、数９となる。 【０１３７】ここで、x_d，y_dは図２６の処理により与え
られる。したがって、アフィン座標(x_d,y_d)の値は全て
復元されたことになる。 【０１３８】上記手順はステップ２６０４、ステップ２
６０５及びステップ２６０７において有限体上の乗算の
計算量を必要とする。また、ステップ２６０２において
有限体上の２乗算の計算量を必要とする。さらにステッ
プ２６０６において有限体上の逆元演算の計算量を必要
とする。有限体上の減算の計算量は、有限体上の乗算の
計算量、２乗算の計算量、逆元演算の計算量と比べて比
較的小さいので無視してもよい。有限体上の乗算の計算
量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆
元演算の計算量をＩとすると、上記手順は３Ｍ＋Ｓ＋Ｉ
の計算量を必要とする。これは高速スカラー倍計算の計
算量と比べてはるかに小さい。例えばスカラー値dが１
６０ビットであれば、高速スカラー倍計算の計算量はお
およそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及び
Ｉ＝４０Ｍと仮定すると座標復元の計算量は４３．８Ｍ
であり、高速スカラー倍計算の計算量と比べてはるかに
小さい。したがって効率的に座標を復元できていること
が示された。 【０１３９】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_dの値が復元できる。その場合
は一般的に復元に必要となる計算量が増大する。また、
楕円曲線のパラメタであるBの値を小さくとることによ
り、ステップ２６０５における乗算の計算量を削減する
ことができる。 【０１４０】次に図６により、スカラー値d及びモンゴ
メリ型楕円曲線上の点Pから、x_d、x_d+1、x_d-1を出力す
る高速スカラー倍計算部の処理について説明する。 【０１４１】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたモンゴメリ型楕円曲線
上の点Pを入力し、以下の手順によりモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ
型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1、ア
フィン座標で表されたモンゴメリ型楕円曲線上の点(d-
1)P＝(x_d-1,y_d-1)のうちx_d-1を出力する。ステップ６０
１として、変数Ｉに初期値１を代入する。ステップ６０
２として、点Pの２倍点２Pを計算する。ここで点Pは射
影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕
円曲線の射影座標における２倍算の公式を用いて２倍点
2Pを計算する。ステップ６０３として、スカラー倍計算
装置１０３に入力された楕円曲線上の点Pとステップ６
０２で求めた点2Pを、点の組(P,2P)として格納する。こ
こで点P及び点2Pは射影座標で表されている。ステップ
６０４として、変数Ｉとスカラー値dのビット長とが一
致するかどうかを判定し、一致すればステップ６１４へ
行く。一致しなければステップ６０５へ行く。ステップ
６０５として、変数Ｉを１増加させる。ステップ６０６
として、スカラー値のＩ番目のビットの値が０であるか
１であるかを判定する。そのビットの値が０であればス
テップ６０６へ行く。そのビットの値が１であればステ
ップ６１０へ行く。ステップ６０７として、射影座標に
より表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの
加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後
ステップ６０８へ行く。ここで、加算mP+(m+1)Pは、モ
ンゴメリ型楕円曲線の射影座標における加算公式を用い
て計算される。ステップ６０８として、射影座標により
表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を
行ない、点2mPを計算する。その後ステップ６０９へ行
く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の
射影座標における２倍算の公式を用いて計算される。ス
テップ６０９として、ステップ６０８で求めた点2mPと
ステップ６０７で求めた点(2m+１)Pを点の組(2mP, (2m+
１)P)として、点の組(mP, (m+１)P)の代わりに格納す
る。その後ステップ６０４へ戻る。ここで、点２mP、点
(２m+１)P、点mP及び点(m+１)Pは全て射影座標において
表されている。ステップ６１０として、射影座標により
表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加
算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後
ステップ６１１へ行く。ここで、加算mP+(m+１)Pは、モ
ンゴメリ型楕円曲線の射影座標における加算公式を用い
て計算される。ステップ６１１として、射影座標により
表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2
((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステ
ップ６１２へ行く。ここで、２倍算2((m+１)P)は、モン
ゴメリ型楕円曲線の射影座標における２倍算の公式を用
いて計算される。ステップ６１１として、ステップ６１
０で求めた点(2m+１)Pとステップ６１１で求めた点(2m+
2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+
1)P)の代わりに格納する。その後ステップ６０４へ戻
る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)P
は全て射影座標において表されている。ステップ６１４
として、射影座標で表された点の組(mP,(m+1)P)から、
点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を
求め、それぞれX_d-1及びZ_d-1とする。その後ステップ６
１５へ行く。ステップ６１５として、射影座標で表され
た点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dと
し、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よ
りX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここ
で、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標に
おける加算公式及び２倍算の公式ではY座標を求める事
ができないので、求まっていない。X_d-1，Z_d-1，X_d，
Z_d，X_d+1，Z_d+1より、 【０１４２】 【数２４】 【０１４３】 【数２５】 【０１４４】 【数２６】 【０１４５】としてx_d-1，x_d，x_d+1を求める。その後ス
テップ６１３へ行く。ステップ６１３として、x_d-1，
x_d，x_d+1を出力する。上記手順により、ｍとスカラー値
dはビット長が等しくさらにそのビットのパターンも同
じとなる為、等しくなる。またステップ６１４において
(m-1)Pを求める際に、数１３、数１４の公式により求め
てもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステ
ップ６１２の段階で別に保持しておき、その値からモン
ゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めて
もよい。 【０１４６】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝1ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ６０７において加算の計算量、ステップ６
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目の
ビットの値が１であれば、ステップ６１０において加算
の計算量、ステップ６１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ６０４、ステップ６０５、ステップ６０
６、ステップ６０７、ステップ６０８、ステップ６０９
乃至はステップ６０４、ステップ６０５、ステップ６０
６、ステップ６１０、ステップ６１１、ステップ６１２
の繰り返しの回数は、（スカラー値dのビット長）―１
回となるので、ステップ６０２での２倍算の計算量及び
ステップ６１４での(m-1)Pの計算に必要な計算量及びア
フィン座標への変換の計算量を考慮に入れると、全体の
計算量は（６Ｍ＋４Ｓ）ｋ＋１１Ｍ＋Ｉとなる。ここで
ｋはスカラー値dのビット長である。一般的には、計算
量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度
と見積もられるので、全体の計算量はおおよそ（９．２
ｋ＋５１）Ｍとなる。例えばスカラー値dが１６０ビッ
ト（ｋ＝１６０）であれば、上記手順のアルゴリズムの
計算量はおおよそ１５２３Ｍとなる。スカラー値dのビ
ットあたりの計算量としてはおよそ９．２Ｍとなる。A.
Miyaji, T.Ono, H.Cohen, Efficient elliptic curve e
xponentiation using mixedcoordinates, Advances in
Cryptology Proceedings of ASIACRYPT'98, LNCS1514
(1998) pp.51-65 には、ワイエルシュトラス型楕円曲線
において、ウィンドウ法を用いてヤコビアン座標を中心
とした混合座標系を用いたスカラー倍計算方法は高速な
スカラー倍計算方法として記載されている。この場合に
おいては、スカラー値のビットあたりの計算量はおおよ
そ１０Ｍと見積もられ、これ以外にアフィン座標への変
換の計算量が必要となる。例えばスカラー値dが１６０
ビット（ｋ＝１６０）であれば、このスカラー倍計算方
法の計算量はおおよそ１６４０Ｍとなる。したがって、
上記手順のアルゴリズムの方が計算量が少なく高速とい
える。 【０１４７】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1、x
_d-1を出力するアルゴリズムであり且つ高速であれば、
他のアルゴリズムを用いていもよい。 【０１４８】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は３Ｍ＋Ｓ＋Ｉで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋５１）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋９４．８）Ｍと
見積もることができる。例えばスカラー値dが１６０ビ
ット（ｋ＝１６０）であれば、このスカラー倍計算に必
要な計算量はおおよそ１５６７Ｍとなる。楕円曲線とし
てワイエルシュトラス型楕円曲線を使用し、ウィンドウ
法を用いてヤコビアン座標を中心とした混合座標系を用
いたスカラー倍計算方法を用いて、スカラー倍点をアフ
ィン座標として出力する場合に必要となる計算量はおお
よそ１６４０Ｍであり、これと比べて必要となる計算量
は削減されている。 【０１４９】第６の実施例は、楕円曲線としてワイエル
シュトラス型楕円曲線を用いたものである。すなわち、
スカラー倍計算装置１０３の入出力に用いる楕円曲線は
ワイエルシュトラス型楕円曲線である。ただし、スカラ
ー倍計算装置１０３の内部の計算で使用する楕円曲線と
して、与えられたワイエルシュトラス型楕円曲線から変
換可能であるようなモンゴメリ型楕円曲線を用いてもよ
い。スカラー倍計算装置１０３がスカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、ワイエルシュ
トラス型楕円曲線におけるアフィン座標の点として完全
な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力
するものである。スカラー値d及びワイエルシュトラス
型楕円曲線上の点Pをスカラー倍計算装置１０３に入力
すると高速スカラー倍計算部２０２がそれを受け取る。
高速スカラー倍計算部２０２は受け取ったスカラー値d
と与えられたワイエルシュトラス型楕円曲線上の点Pか
らワイエルシュトラス型楕円曲線において射影座標で表
されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及び
Z_d、射影座標で表されたワイエルシュトラス型楕円曲線
上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及び
Z_d+1、射影座標で表されたワイエルシュトラス型楕円曲
線上の点(d−1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1
及びZ_d-1を計算し、アフィン座標で表された入力された
ワイエルシュトラス型楕円曲線上の点P=(x,y)と共にそ
の情報を座標復元部２０３に与える。座標復元部２０３
は与えられた座標の値値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z
_d-1、ｘ及びｙよりワイエルシュトラス型楕円曲線にお
いてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)
の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置
１０３はアフィン座標において完全に座標が与えられた
スカラー倍点(x_d,y_d)を計算結果として出力する。 【０１５０】次に図１４により、座標x、y、X_d、Z_d、X
_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にx_d、y_dを出
力する座標復元部の処理について説明する。 【０１５１】座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線において射影座標で表されたスカラー倍点
dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表され
たワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,
Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表さ
れたワイエルシュトラス型楕円曲線上の点(d-1)P＝(X
_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍
計算装置１０３に入力されたワイエルシュトラス型楕円
曲線上の点Pをアフィン座標で表した(x,y)を入力し、以
下の手順でアフィン座標おいて完全な座標が与えられた
スカラー倍点(x_d,y_d)を出力する。ここで入力されたワ
イエルシュトラス型楕円曲線上の点Pのアフィン座標を
(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入
力されたスカラー値をdとしてワイエルシュトラス型楕
円曲線におけるスカラー倍点dPのアフィン座標を(x_d,
y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエ
ルシュトラス型楕円曲線上の点(d-1)Pのアフィン座標を
(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞ
れ表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pの
アフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,
Z_d+1)でそれぞれ表す。 【０１５２】ステップ１４０１においてX_d-1×Z_d+1が計
算され、レジスタＴ₁に格納される。ステップ１４０２
においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納さ
れる。ステップ１４０３においてＴ₁−Ｔ_２が計算され
る。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２に
はZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1
Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ１４０４においてZ_d×xが計算さ
れ、レジスタＴ_２に格納される。ステップ１４０５にお
いてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが
格納されており、したがってX_d-xZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ１４０６に
おいてＴ_２の２乗が計算される。ここでレジスタＴ_２に
はX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ１４０７においてＴ₁×Ｔ_２が計算される。ここで
レジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には
(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-x
Z_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレ
ジスタＴ₁に格納される。ステップ１４０８において4×
yが計算される。その結果がレジスタＴ_２に格納され
る。ステップ１４０９においてＴ_２×Z_d+1が計算され
る。ここでレジスタＴ_２には4yが格納されており、した
がって4yZ_d+1が計算される。その結果がレジスタＴ_２に
格納される。ステップ１４１０においてＴ_２×Z_d-1が計
算される。ここでレジスタＴ_２には4yZ_d+1が格納されて
おり、したがって4yZ_d+1Z_d-1が計算される。その結果が
レジスタＴ_２に格納される。ステップ１４１１において
Ｔ_２×Z_dが計算される。ここでレジスタＴ_２には4yZ_d+1
Z_d-1が格納されており、したがって4yZ_d+1Z_d-1Z_dが計算
される。その結果がレジスタＴ_２に格納される。ステッ
プ１４１２においてＴ_２×X_dが計算される。ここでレジ
スタＴ_２には4yZ_d+1Z_d-1Z_dが格納されており、したがっ
て4yZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタＴ
₃に格納される。ステップ１４１３においてＴ_２×Z_dが
計算される。ここでレジスタＴ_２には4yZ_d-1Z_d+1Z_dが格
納されており、したがって4yZ_d+1Z_d-1Z_dZ_dが計算され
る。その結果がレジスタＴ_２に格納される。ステップ１
４１４においてレジスタＴ_２の逆元が計算される。ここ
でレジスタＴ_２には4yZ_d+1Z_d-1Z_dZ_dが格納されており、
したがって1/4yZ_d+1Z_d-1Z_dZ_dが計算される。その結果が
レジスタＴ_２に格納される。ステップ１４１５において
Ｔ_２×Ｔ₃が計算される。ここでレジスタＴ_２には1/4yZ
_d+1Z_d-1Z_dZ_dがレジスタＴ₃には4yZ_d-1Z_d+1Z_dX_d がそれ
ぞれ格納されており、したがって(4yZ_d+1Z_d-1Z_dX_d)/(4y
Z _d+1Z_d-1Z_dZ_d)が計算される。その結果がx_dに格納され
る。ステップ１４１６においてＴ₁×Ｔ_２が計算され
る。ここでレジスタＴ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X
_d+1)がレジスタＴ_２には1/4yZ_d+1Z_d-1Z_dZ_dがそれぞれ格
納されており、したがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z
_dx)²/4y Z_d+1Z_d-1Z_d ²が計算される。その結果がレジス
タy_dに格納される。したがってレジスタy_dには(X_d-1Z
_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4yZ_d-1Z_d+1Z_d ²が格納されてい
る。レジスタx_dにはステップ１４１５において(4yZ_d-1Z
_d+1Z_dX_d)/(4yZ_d-1Z_d+1Z_dZ_d)が格納され、その後更新が
行なわれないので、その値が保持されている。 【０１５３】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型
楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,
ｙ_d)における値が全て復元される理由は以下の通りであ
る。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)
Pは点dPから点Pを減算した点である。ワイエルシュトラ
ス型楕円曲線のアフィン座標における加算公式に代入す
ると、次の式を得る。 【０１５４】 【数２７】 【０１５５】 【数２８】 【０１５６】^{両辺を各々減算することにより、} 【０１５７】 【数２９】 _{【０１５８】} ^{を得る。したがって、} 【０１５９】 【数３０】 _{【０１６０】}となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d=1＝X_d=1/Z_d=1であり、この値を代入すること
により射影座標の値へと変換すると、次の式を得る。 _{【０１６１】 【数３１】 【０１６２】}ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減
らす目的でy_dの分母と通分することにより、 _{【０１６３】 【数３２】 【０１６４】}となる。ここで、ｘ_d，y_dは図１４で示し
た処理により与えられる。したがって、アフィン座標(x
_d,y_d)の値が全て復元されていることになる。 _{【０１６５】} 上記手順はステップ１４０１、ステップ１
４０２、ステップ１４０４、ステップ１４０７、ステッ
プ１４０９、ステップ１４１０、ステップ１４１１、ス
テップ１４１２、ステップ１４１３、ステップ１４１５
及びステップ１４１６において有限体上の乗算の計算量
を必要とする。ただし、ステップ１４０８の乗算は、被
乗数の値が４と小さいので、その計算量は通常の乗算の
計算量と比べて小さい 為無視してよい。また、ステップ
１４０６において有限体上の２乗算の計算量を必要とす
る。また、ステップ１４１４において有限体上の逆元演
算の計算量を必要とする。有限体上の減算の計算量は、
有限体上の乗算の計算量、２乗算の計算量及び逆元演算
の計算量と比べて比較的小さいので無視してもよい。有
限体上の乗算の計算量をＭ、有限体上の２乗算の計算量
をＳ及び有限体上の逆元演算の計算量をＩとすると、上
記手順は１１Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは
高速スカラー倍計算の計算量と比べてはるかに小さい。
例えばスカラー値dが１６０ビットであれば、高速スカ
ラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もら
れる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元
の計算量は５１．８Ｍであり、高速スカラー倍計算の計
算量と比べてはるかに小さい。したがって効率的に座標
を復元できていることが示された。 _{【０１６６】} 尚、上記手順をとらなくても、上記計算式
により与えられたｘ_d，y_dの値が計算できればｘ_d，y_dの
値が復元できる。その場合においては一般的に復元に必
要となる計算量が増大する。 _{【０１６７】} 次に図７により、スカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、X_d,Z_d,X_d+1,
Z_d+1,X_d-1,Z_d-1を出力する高速スカラー倍計算部の処理
について説明する。 _{【０１６８】} 高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりワイエル
シュトラス型楕円曲線において射影座標で表されたスカ
ラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表
されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1、射影座標で表され
たワイエルシュトラス型楕円曲線上の点(d-1)P＝(X_d-1,
Y_d-1,Z_d-1)のうちX_d-1及びZ_d-1を出力する。ステップ７
１６として、与えられたワイエルシュトラス型楕円曲線
上の点Pをモンゴメリ型楕円曲線上で射影座標により表
された点に変換する。この点をあらためて点Pとする。
ステップ７０１として、変数Ｉに初期値１を代入する。
ステップ ７０２として、点Pの２倍点２Pを計算する。こ
こで点Pは射影座標において(ｘ,ｙ,1)として表し、モン
ゴメリ型楕円曲線の射影座標における２倍算の公式を用
いて２倍点2Pを計算する。ステップ７０３として、スカ
ラー倍計算装置１０３に入力された楕円曲線上の点Pと
ステップ７０２で求めた点2Pを、点の組(P,2P)として格
納する。ここで点P及び点2Pは射影座標で表されてい
る。ステップ７０４として、変数Ｉとスカラー値dのビ
ット長とが一致するかどうかを判定し、一致すればステ
ップ７１４へ行く。一致しなければステップ７０５へ行
く。ステップ７０５として、変数Ｉを１増加させる。ス
テップ７０６として、スカラー値のＩ番目のビットの値
が０であるか１であるかを判定する。そのビットの値が
０であればステップ７０６へ行く。そのビットの値が１
であればステップ７１０へ行く。ステップ７０７とし
て、射影座標により表された点の組(mP,(m+1)P)から点m
Pと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計
算する。その後ステップ７０８へ行く。ここで、加算mP
+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における
加算公式を用いて計算される。ステップ７０８として、
射影座標により表された点の組(mP,(m+1)P)から点mPの
２倍算２(mP)を行ない、点2mPを計算する。その後ステ
ップ７０９へ行く。ここで、２倍算2(mP)は、モンゴメ
リ型楕円曲線の射影座標における２倍算の公式を用いて
計算される。ステップ７０９として、ステップ７０８で
求めた点2mPとステップ７０７で求めた点(2m+１)Pを点
の組(2mP,(2m+１)P)として、点の組(mP, (m+１)P)の代
わりに格納する。その後ステップ７０４へ戻る。ここ
で、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射
影座標において表されている。ステップ７１０として、
射影座標により表された点の組(mP,(m+１)P)から点mPと
点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計
算する。その後ステップ７１１へ行く。ここで、加算mP
+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における
加算公式を用いて計算される。ステップ７１１として、
射影座標により表された点の組(mP,(m+１)P)から点(m+
１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算す
る。その後ステップ７１２へ行く。ここで、２倍算2((m
+１)P)は、モンゴメリ型楕円曲線の射影座標における２
倍算の公式を用いて計算される。ステップ７１１とし
て、ステップ７１０で求めた点(2m+１)Pとステップ７１
１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)とし
て、点の 組(mP,(m+1)P)の代わりに格納する。その後ス
テップ７０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、
点mP及び点(m+1)Pは全て射影座標において表されてい
る。ステップ７１４として、射影座標で表された点の組
（mP,(m+1)P）から、点(m-1)Pの射影座標におけるX座標
X_m-1及びZ座標Z_m-1を求める。その後ステップ７１５へ
行く。ステップ７１５として、モンゴメリ型楕円曲線に
おける点(m-1)Pを、ワイエルシュトラス型楕円曲線上で
射影座標により表された点に変換する。その点のX座標
及びZ座標をそれぞれあらためてX_m-1及びZ_m-1とおく。
また、モンゴメリ型楕円曲線において射影座標で表され
た点の組(mP,(m+1)P)に対して、点mP及び点(m+1)Pをワ
イエルシュトラス型楕円曲線上で射影座標で表された点
に変換し、それぞれmP＝（X_m,Y_m,Z_m）及び(m+1)P＝（X
_m+1,Y_m+1,Z_m+1）とあらためて置き直す。ここで、Y_m及
びY_m+1は、モンゴメリ型楕円曲線の射影座標における加
算公式及び２倍算の公式ではY座標を求める事ができな
いので、求まっていない。ステップ７１３として、ワイ
エルシュトラス型楕円曲線上で射影座標で表された点(m
-1)PのX座標X_m-1及びZ座標Z_m-1をそれぞれX_d-1及びZ_d-1
として、ワイエルシュトラス型楕円曲線上で射影座標で
表された点mP＝（X_m,Y_m,Z_m）よりX_m及びZ_mをそれぞれX_d
及びZ_ｄとして、ワイエルシュトラス型楕円曲線上で射
影座標で表された点(m+1)P＝（X_m+1,Y_m+1,Z_m+1）よりX
_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力す
る。また上記手順により、ｍとスカラー値dはビット長
が等しくさらにそのビットのパターンも同じとなる為、
等しくなる。またステップ７１４において(m-1)Pを求め
る際に、数１３、数１４の公式により求めてもよいし、
ｍが奇数であれば、((m-1)/2)Pの値をステップ７１２の
段階で別に保持しておき、その値からモンゴメリ型楕円
曲線の２倍算の公式より、(m-1)Pを求めてもよい。 _{【０１６９】} モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ７０７において加算の計算量、ステップ７
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ 番目の
ビットの値が１であれば、ステップ７１０において加算
の計算量、ステップ７１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ７０４、ステップ７０５、ステップ７０
６、ステップ７０７、ステップ７０８、ステップ７０９
乃至はステップ７０４、ステップ７０５、ステップ７０
６、ステップ７１０、ステップ７１１、ステップ７１２
の繰り返しの回数は、（スカラー値dのビット長）―１
回となるので、ステップ７０２での２倍算の計算量とス
テップ７１６でのモンゴメリ型楕円曲線上の点への変換
に必要な計算量及びステップ７１５でのワイエルシュト
ラス型楕円曲線上の点への変換に必要な計算量を考慮に
入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋４Ｍとな
る。ここでｋはスカラー値dのビット長である。一般的
には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるの
で、全体の計算量はおおよそ（９．２ｋ＋４）Ｍとな
る。例えばスカラー値dが１６０ビット（ｋ＝１６０）
であれば、上記手順のアルゴリズムの計算量はおおよそ
１４７６Ｍとなる。スカラー値dのビットあたりの計算
量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono,
H.Cohen, Efficient elliptic curve exponentiation u
sing mixed coordinates, Advances in Cryptology Pr
oceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-
65 には、ワイエルシュトラス型楕円曲線において、ウ
ィンドウ法を用いてヤコビアン座標を中心とした混合座
標系を用いたスカラー倍計算方法は高速なスカラー倍計
算方法として記載されている。この場合においては、ス
カラー値のビットあたりの計算量はおおよそ１０Ｍと見
積もられる。例えばスカラー値dが１６０ビット（ｋ＝
１６０）であれば、このスカラー倍計算方法の計算量は
おおよそ１６００Ｍとなる。したがって、上記手順のア
ルゴリズムの方が計算量が少なく高速といえる。 _{【０１７０】} 尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、X_d、Z
_d、X_d+1、Z_d+1、X_d-1、Z_d-1を出力するアルゴリズムで
あり且つ高速であれば、他のアルゴリズムを用いていも
よい。 _{【０１７１】} スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１１Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ＋４）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、
この計算量はおおよそ（９．２ｋ＋５５．８）Ｍと見積
もることができる。例えばスカラー値dが１６０ビット
（ｋ＝１６０）であれば、このスカラー倍計算に必要な
計算量はおおよそ１５２８Ｍとなる。楕円曲線としてワ
イエルシュトラス型楕円曲線を使用し、ウィンドウ法を
用いてヤコビアン座標を中心とした混合座標系を用いた
スカラー倍計算方法を用いて、スカラー倍点をアフィン
座標として出力する場合に必要となる計算量はおおよそ
１６４０Ｍであり、これと比べて必要となる計算量は削
減されている。 _{【０１７２】} 第７の実施例は楕円曲線としてワイエルシ
ュトラス型楕円曲線を用いたものである。すなわち、ス
カラー倍計算装置１０３の入出力に用いる楕円曲線はワ
イエルシュトラス型楕円曲線である。ただし、スカラー
倍計算装置１０３の内部の計算で使用する楕円曲線とし
て、与えられたワイエルシュトラス型楕円曲線から変換
可能であるようなモンゴメリ型楕円曲線を用いてもよ
い。スカラー倍計算部１０３がスカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、ワイエルシュト
ラス型楕円曲線における射影座標の点として完全な座標
が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力す
る。スカラー値d及びワイエルシュトラス型楕円曲線上
の点Pをスカラー倍計算装置１０３に入力すると高速ス
カラー倍計算部２０２がそれを受け取る。高速スカラー
倍計算部２０２は受け取ったスカラー値dと与えられた
ワイエルシュトラス型楕円曲線上の点Pからワイエルシ
ュトラス型楕円曲線において射影座標で表されたスカラ
ー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標
で表されたワイエルシュトラス型楕円曲線上の点(d+1)P
＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座
標で表されたワイエルシュトラス型楕円曲線上の点(d-
1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1を計
算し、アフィン座標で表された入力されたワイエルシュ
トラス型楕円曲線上の点P＝(x,y)と共にその情報を座標
復元部２０３に与える。座標復元部２０３は与えられた
座標の値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1、x及びyより
ワイエルシュトラス型楕円曲線において射影座標で表さ
れたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの
復元を行なう。スカラー倍計算装置１０３は射影座標に
おいて完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)
を計算結果として出力する。 _{【０１７３】} 次に図１５により、座標x、y X_d、Z_d、X
_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にX_d、Y_d、Z_d
を出力する座標復元部の処理について説明する。 _{【０１７４】} 座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線において射影座標で表されたスカラー倍点
dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表さ
れたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で
表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝
(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー
倍計算装置１０３に入力されたワイエルシュトラス型楕
円曲線上の点Pをアフィン座標で表した(x,y)を入力し、
以下の手順で射影座標おいて完全な座標が与えられたス
カラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたワ
イエルシュトラス型楕円曲線上の点Pのアフィン座標を
(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力
されたスカラー値をdとしてワイエルシュトラス型楕円
曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)
で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシ
ュトラス型楕円曲線上の点(d-1)Pのアフィン座標を(x
_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ
表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pのア
フィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z
_d+1)でそれぞれ表す。 _{【０１７５】} ステップ１５０１においてX_d-1×Z_d+1が計
算され、Ｔ₁に格納される。ステップ１５０２においてZ
_d-1×X_d+1が計算され、Ｔ_２に格納される。ステップ１
５０３においてＴ₁−Ｔ_２が計算される。ここでＴ₁には
X_d-1Z_d+1がＴ_２にはZ_d-1X_d+1がそれぞれ格納されてお
り、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その
結果がＴ₁に格納される。ステップ１５０４においてZ_d
×xが計算され、Ｔ_２に格納される。ステップ１５０５
においてX_d-Ｔ_２が計算さる。ここでＴ_２にはZ_dxが格納
されており、したがってX_d-xZ_dが計算される。その結果
がＴ_２に格納される。ステップ１５０６においてＴ_２の
２乗が計算される。ここでＴ_２にはX_d-xZ_dが格納されて
おり、したがって(X_d-xZ_d)²が計算される。その結果が
Ｔ_２に格納される。ステップ１５０７においてＴ₁×Ｔ
_２が計算される。ここでＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がＴ
_２には(X_d-xZ_d)²がそれぞれ格納されており、したがっ
て(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結
果がレジスタY_dに格納される。ステップ１５０８におい
て4×yが計算される。その結果がＴ_２に格納される。ス
テップ１５０９においてＴ_２×Z_d+1が計算される。ここ
でＴ_２には4yが格納されており、したがって4yZ_d+1が計
算される。その結果がＴ_２に格納される。ステップ１５
１０においてＴ_２×Z_d-1が計算される。ここでＴ_２には
4yZ_d+1が格納されており、したがって4yZ_d+1Z_d-1が計算
される。その結果がＴ_２に格納される。ステップ１５１
１においてＴ_２×Z_dが計算される。ここでＴ_２には4yZ
_d+1Z_d-1が格納されており、したがって4yZ_d+1Z_d-1Z_dが
計算される。その結果がＴ_２に格納される。ステップ１
５１２においてＴ_２×X_dが計算される。ここでＴ_２には
4yZ_d+1Z_{d -1}Z_dが格納されており、したがって4yZ_d+1Z_d-1
Z_dX_dが計算される。その結果がレジスタX_dに格納され
る。ステップ１５１３においてＴ_２×Z_dが計算される。
ここでＴ_２には4yZ_d+1Z_d-1Z_dが格納されており、したが
って4yZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタ
Z_dに格納される。したがってレジスタZ_dには4y Z_d+1Z
_d-1Z_dZ_dが格納されている。レジスタY_dにはステップ１
５０７において(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が格納さ
れ、その後更新が行われないので、その値が保持されて
いる。レジスタX_dにはステップ１５１２において4yZ_d+1
Z_d-1Z_dX_dが格納され、その後更新が行われないので、そ
の値が保持されている。 【０１７６】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型
楕円曲線におけるスカラー倍点の射影座標(X_d,Y_d,Z_d)に
おける値が全て復元される理由は以下の通りである。点
(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点d
Pから点Pを減算した点である。ワイエルシュトラス型楕
円曲線のアフィン座標における加算公式に代入すると、
数２７、数２８を得る。
^{両辺を各々減算することにより、数２９を得る。したが
って、数３０}となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入すること
により射影座標の値へと変換すると、数３１を得る。ｘ
_d＝X_d/Z_dであるが、y_dの分母と通分することにより、数
３２となる。 【０１７７】その結果として 【０１７８】 【数３３】 【０１７９】とし、X_d及びZ_dをそれぞれ 【０１８０】 【数３４】 【０１８１】 【数３５】 【０１８２】により更新すればよい。 【０１８３】ここで、X_d，Y_d，Z_dは図１５で示した処理
により与えられる。したがって、射影座標(X_d,Y_d,Z_d)の
値は全て復元されたことになる。 【０１８４】上記手順はステップ１５０１、ステップ１
５０５、ステップ１５０４、ステップ１５０７、ステッ
プ１５０９、ステップ１５１０、ステップ１５１１、ス
テップ１５１２及びステップ１５１３において有限体上
の乗算の計算量を必要とする。 【０１８５】ただし、ステップ１５０８の乗算は、被乗
数の値が４と小さいので、その計算量は通常の乗算の計
算量と比べて小さい為無視してよい。また、ステップ１
５０６において有限体上の２乗算の計算量を必要とす
る。有限体上の減算の計算量は、有限体上の乗算の計算
量、２乗算の計算量と比べて比較的小さいので無視して
もよい。有限体上の乗算の計算量をＭ、有限体上の２乗
算の計算量をＳとすると、上記手順は９Ｍ＋Ｓの計算量
を必要とする。これは高速スカラー倍計算の計算量と比
べてはるかに小さい。例えばスカラー値dが１６０ビッ
トであれば、高速スカラー倍計算の計算量はおおよそ１
５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると
座標復元の計算量は９．８Ｍであり、高速スカラー倍計
算の計算量と比べてはるかに小さい。したがって効率的
に座標を復元できていることが示された。 【０１８６】尚、上記手順をとらなくても、上記計算式
により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_d
の値が復元できる。また、x_d,y_dが上記計算式により与
えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値
が計算できればX_d,Y_d,Z_dが復元できる。それらの場合に
おいては一般的に復元に必要となる計算量が増大する。 【０１８７】次に、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，
X_d-1，Z_d-1を出力するアルゴリズムについて説明する。 【０１８８】第７実施例の高速スカラー倍計算部２０２
の高速スカラー倍計算方法として、第６実施例の高速ス
カラー倍計算方法を用いる。これにより、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z
_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムと
して、高速であるアルゴリズムが達成される。尚、高速
スカラー倍計算部２０２において上記手順のアルゴリズ
ムを用いなくても、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1,X_d-1，
Z_d-1を出力するアルゴリズムであり且つ高速であれば、
他のアルゴリズムを用いていもよい。 【０１８９】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は９Ｍ＋Ｓであ
り、これは高速スカラー倍計算部２０２の高速スカラー
倍計算に必要な計算量の（９．２ｋ＋４）Ｍとに比べて
はるかに小さい。したがって、スカラー倍計算装置１０
３のスカラー倍計算に必要な計算量は、高速スカラー倍
計算部の高速スカラー倍計算に必要な計算量とほぼ同等
である。Ｓ＝０．８Ｍと仮定すると、この計算量はおお
よそ（９．２ｋ＋１３．８）Ｍと見積もることができ
る。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量はおおよ
そ１４８６Ｍとなる。楕円曲線としてワイエルシュトラ
ス型楕円曲線を使用し、ウィンドウ法を用いてヤコビア
ン座標を中心とした混合座標系を用いたスカラー倍計算
方法を用いて、スカラー倍点をヤコビアン座標として出
力する場合に必要となる計算量はおおよそ１６００Ｍで
あり、これと比べて必要となる計算量は削減されてい
る。 【０１９０】第８の実施例は楕円曲線としてワイエルシ
ュトラス型楕円曲線を用いたものである。すなわち、ス
カラー倍計算装置１０３の入出力に用いる楕円曲線はワ
イエルシュトラス型楕円曲線である。ただし、スカラー
倍計算装置１０３の内部の計算で使用する楕円曲線とし
て、与えられたワイエルシュトラス型楕円曲線から変換
可能であるようなモンゴメリ型楕円曲線を用いてもよ
い。スカラー倍計算装置１０３がスカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、ワイエルシュ
トラス型楕円曲線におけるアフィン座標の点として完全
な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力
する。スカラー値d及びワイエルシュトラス型楕円曲線
上の点Pをスカラー倍計算装置１０３に入力すると高速
スカラー倍計算部２０２がそれを受け取る。高速スカラ
ー倍計算部２０２は受け取ったスカラー値dと与えられ
たワイエルシュトラス型楕円曲線上の点Pからワイエル
シュトラス型楕円曲線においてアフィン座標で表された
スカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座
標で表されたワイエルシュトラス型楕円曲線上の点(d+
1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表
されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x
_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で
表された入力されたワイエルシュトラス型楕円曲線上の
点P＝(x,y)と共にその情報を座標復元部２０３に与え
る。座標復元部２０３は与えられた座標の値x_d、x_d+1、
x_d-1、x及びyよりワイエルシュトラス型楕円曲線におい
てアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の
座標y_dの復元を行なう。スカラー倍計算装置１０３はア
フィン座標において完全に座標が与えられたスカラー倍
点(x_d,y_d)を計算結果として出力する。 【０１９１】次に図１６により、座標x、y、x_d、x_d+1、
x_d-1が与えられた場合に、x_d、y_dを出力する座標復元部
の処理について説明する。 【０１９２】座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線においてアフィン座標で表されたスカラー
倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表さ
れたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x
_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表された
ワイエルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y
_d-1)の座標のうちx_d-1、スカラー倍計算装置１０３に入
力されたワイエルシュトラス型楕円曲線上の点Pをアフ
ィン座標で表した(x,y)を入力し、以下の手順でアフィ
ン座標において完全な座標が与えられたスカラー倍点(x
_d,y_d)を出力する。 【０１９３】ステップ１６０１においてx_d−xが計算さ
れ、Ｔ₁に格納される。ステップ１６０２においてＴ₁の
２乗すなわち(x_d−x)²が計算され、Ｔ₁に格納される。
ステップ１６０３においてx_d-1−x_d+1が計算され、Ｔ₂
に格納される。ステップ１６０４においてＴ₁×Ｔ₂が計
算される。ここでＴ₁には(x_d−x)²がＴ₂にはx_d-1−x_d+1
がそれぞれ格納されており、したがって(x_d−x)²(x_d-1
−x_d+1)が計算される。その結果がＴ₁に格納される。ス
テップ１６０５において4×yが計算され、Ｔ₂に格納さ
れる。ステップ１６０６においてＴ₂の逆元が計算され
る。ここでＴ₂には4yが格納されており、したがって1/4
yが計算される。その結果がＴ₂に格納される。ステップ
１６０７においてＴ₁×Ｔ₂が計算される。ここでＴ₁に
は(x_d−x)²(x_{d -1}−x_d+1)がＴ₂には1/4yがそれぞれ格納
されており、したがって(x_d−x)²(x_d-1−x_d+1)/4yが計
算される。その結果がレジスタy_dに格納される。したが
ってレジスタy_dには(x_d−x)²(x_d-1−x_d+1)/4yが格納さ
れている。レジスタx_dは全く更新されないので入力され
た値が保持されている。 【０１９４】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。点(d+1)Pは点dPに
点Pを加算した点である。点(d-1)Pは点dPから点Pを減算
した点である。ワイエルシュトラス型楕円曲線のアフィ
ン座標における加算公式に代入すると、数２７、数２８
を得る。
^{両辺を各々減算することにより、数２９を得る。したが
って、数３０}となる。ここでx_d,y_dは図１６の処理によ
って与えられる。したがって、アフィン座標(x_d,y_d)の
値を全て復元していることになる。 【０１９５】上記手順はステップ１６０４、ステップ１
６０７において有限体上の乗算の計算量を必要とする。
ただし、ステップ１６０５の乗算は、被乗数の値が４と
小さいので、その計算量は通常の乗算の計算量と比べて
小さい為無視してよい。また、ステップ１６０２におい
て有限体上の２乗算の計算量を必要とする。さらにステ
ップ１６０６において有限体上の逆元演算の計算量を必
要とする。有限体上の減算の計算量は、有限体上の乗算
の計算量、２乗算の計算量、逆元演算の計算量と比べて
比較的小さいので無視してもよい。有限体上の乗算の計
算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の
逆元演算の計算量をＩとすると、上記手順は２Ｍ＋Ｓ＋
Ｉの計算量を必要とする。これは高速スカラー倍計算の
計算量と比べてはるかに小さい。例えばスカラー値dが
１６０ビットであれば、高速スカラー倍計算の計算量は
おおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及
びＩ＝４０Ｍと仮定すると座標復元の計算量は４２．８
Ｍであり、高速スカラー倍計算の計算量と比べてはるか
に小さい。したがって効率的に座標を復元できているこ
とが示された。 【０１９６】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_dの値が復元できる。その場合
は一般的に復元に必要となる計算量が増大する。 【０１９７】次に図７により、スカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、x_d、x_d+1、x_d-1
を出力するアルゴリズムについて説明する。 【０１９８】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりワイエル
シュトラス型楕円曲線においてアフィン座標で表された
スカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表
されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x
_d+1,y_d+1)のうちx_d+1、アフィン座標で表されたワイエ
ルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の
うちx_d-1を出力する。ステップ７１６として、与えられ
たワイエルシュトラス型楕円曲線上の点Pをモンゴメリ
型楕円曲線上で射影座標により表された点に変換する。
この点をあらためて点Pとする。ステップ７０１とし
て、変数Ｉに初期値１を代入する。ステップ７０２とし
て、点Pの２倍点２Pを計算する。ここで点Pは射影座標
において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線
の射影座標における２倍算の公式を用いて２倍点2Pを計
算する。ステップ７０３として、スカラー倍計算装置１
０３に入力された楕円曲線上の点Pとステップ７０２で
求めた点2Pを、点の組(P,2P)として格納する。ここで点
P及び点2Pは射影座標で表されている。ステップ７０４
として、変数Ｉとスカラー値dのビット長とが一致する
かどうかを判定し、一致すればステップ７１４へ行く。
一致しなければステップ７０５へ行く。ステップ７０５
として、変数Ｉを１増加させる。ステップ７０６とし
て、スカラー値のＩ番目のビットの値が０であるか１で
あるかを判定する。そのビットの値が０であればステッ
プ７０６へ行く。そのビットの値が１であればステップ
７１０へ行く。ステップ７０７として、射影座標により
表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算m
P+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステ
ップ７０８へ行く。ここで、加算mP+(m+1)Pは、モンゴ
メリ型楕円曲線の射影座標における加算公式を用いて計
算される。ステップ７０８として、射影座標により表さ
れた点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行な
い、点2mPを計算する。その後ステップ７０９へ行く。
ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影
座標における２倍算の公式を用いて計算される。ステッ
プ７０９として、ステップ７０８で求めた点2mPとステ
ップ７０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)
P)として、点の組(mP, (m+１)P)の代わりに格納する。
その後ステップ７０４へ戻る。ここで、点２mP、点(２m
+１)P、点mP及び点(m+１)Pは全て射影座標において表さ
れている。ステップ７１０として、射影座標により表さ
れた点の組(mP, (m+１)P)から点mPと点(m+１)Pの加算mP
+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステ
ップ７１１へ行く。ここで、加算mP+(m+１)Pは、モンゴ
メリ型楕円曲線の射影座標における加算公式を用いて計
算される。ステップ７１１として、射影座標により表さ
れた点の組(mP, (m+１)P)から点(m+１)Pの２倍算2((m+
１)P)を行ない、点(2m+2)Pを計算する。その後ステップ
７１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメ
リ型楕円曲線の射影座標における２倍算の公式を用いて
計算される。ステップ７１１として、ステップ７１０で
求めた点(2m+１)Pとステップ７１１で求めた点(2m+2)P
を点の組((2m+1)P, (2m+2)P)として、点の組(mP, (m+1)
P)の代わりに格納する。その後ステップ７０４へ戻る。
ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全
て射影座標において表されている。ステップ７１４とし
て、射影座標で表された点の組(mP,(m+1)P)から、点(m-
1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求め
る。その後ステップ７１５へ行く。ステップ７１５とし
て、モンゴメリ型楕円曲線における点(m-1)Pを、ワイエ
ルシュトラス型楕円曲線上でアフィン座標により表され
た点に変換する。その点のx座標をそれぞれあらためてx
_m-1とおく。また、モンゴメリ型楕円曲線において射影
座標で表された点の組(mP,(m+1)P)に対して、点mP及び
点(m+1)Pをワイエルシュトラス型楕円曲線上でアフィン
座標で表された点に変換し、それぞれmP＝（x_m,y_m）及
び(m+1)P＝（x_m+1,y_m+1）とあらためて置き直す。ここ
で、y_m及びy_m+1は、モンゴメリ型楕円曲線の射影座標に
おける加算公式及び２倍算の公式ではY座標を求める事
ができないので、求まっていない。その後ステップ７１
３へ行く。ステップ７１３として、ワイエルシュトラス
型楕円曲線上でアフィン座標で表された点(m-1)Pのx座
標x_m-1をx_d-1として、ワイエルシュトラス型楕円曲線上
で射影座標で表された点mP＝（x_m,y_m）よりx_mをx_dとし
て、ワイエルシュトラス型楕円曲線上でアフィン座標で
表された点(m+1)P＝（x_m+1,y_m+1）よりx_m+1をx_d+1とし
て、出力する。また上記手順により、ｍとスカラー値d
はビット長が等しくさらにそのビットのパターンも同じ
となる為、等しくなる。またステップ７１４において(m
-1)Pを求める際に、数１３、数１４の公式により求めて
もよいし、ｍが奇数であれば、((m-1)/2)Pの値をステッ
プ７１２の段階で別に保持しておき、その値からモンゴ
メリ型楕円曲線の２倍算の公式より、(m-1)Pを求めても
よい。 【０１９９】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ７０７において加算の計算量、ステップ７
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目の
ビットの値が１であれば、ステップ７１０において加算
の計算量、ステップ７１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ７０４、ステップ７０５、ステップ７０
６、ステップ７０７、ステップ７０８、ステップ７０９
乃至はステップ７０４、ステップ７０５、ステップ７０
６、ステップ７１０、ステップ７１１、ステップ７１２
の繰り返しの回数は、（スカラー値dのビット長）―１
回となるので、ステップ７０２での２倍算の計算量とス
テップ７１６でのモンゴメリ型楕円曲線上への点への変
換に必要な計算量及びステップ７１５でのワイエルシュ
トラス型楕円曲線上の点への必要な計算量を考慮に入れ
ると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋１５Ｍ＋Ｉと
なる。ここでｋはスカラー値dのビット長である。一般
的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量Ｉは、
Ｉ＝４０Ｍ程度と見積もられるので、全体の計算量はお
およそ（９．２ｋ＋５５）Ｍとなる。例えばスカラー値
dが１６０ビット（ｋ＝１６０）であれば、上記手順の
アルゴリズムの計算量はおおよそ１５２７Ｍとなる。ス
カラー値dのビットあたりの計算量としてはおよそ９．
２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient el
liptic curve exponentiation using mixed coordinate
s, Advances in Cryptology Proceedings of ASIACRYP
T'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュ
トラス型楕円曲線において、ウィンドウ法を用いてヤコ
ビアン座標を中心とした混合座標系を用いたスカラー倍
計算方法は高速なスカラー倍計算方法として記載されて
いる。この場合においては、スカラー値のビットあたり
の計算量はおおよそ１０Ｍと見積もられる。例えばスカ
ラー値dが１６０ビット（ｋ＝１６０）であれば、この
スカラー倍計算方法の計算量はおおよそ１６４０Ｍとな
る。したがって、上記手順のアルゴリズムの方が計算量
が少なく高速といえる。 【０２００】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、x_d, x
_d+1,x_d=1を出力するアルゴリズムであり且つ高速であれ
ば、他のアルゴリズムを用いていもよい。 【０２０１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は２Ｍ＋Ｓ＋Ｉで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋５５）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、
この計算量はおおよそ（９．２ｋ＋９７．８）Ｍと見積
もることができる。例えばスカラー値dが１６０ビット
（ｋ＝１６０）であれば、このスカラー倍計算に必要な
計算量は１５７０Ｍとなる。楕円曲線としてワイエルシ
ュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤ
コビアン座標を中心とした混合座標系を用いたスカラー
倍計算方法を用いて、スカラー倍点をアフィン座標とし
て出力する場合に必要となる計算量はおおよそ１６４０
Ｍであり、これと比べて必要となる計算量は削減されて
いる。 【０２０２】第９の実施例は、入出力用の楕円曲線とし
てワイエルシュトラス型楕円曲線を、内部の計算用には
与えられたワイエルシュトラス型楕円曲線から変換可能
であるモンゴメリ型楕円曲線を用いたものである。スカ
ラー倍計算装置１０３がスカラー値d及びワイエルシュ
トラス型楕円曲線上の点Ｐから、ワイエルシュトラス型
楕円曲線におけるアフィン座標の点として完全な座標が
与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力する
ものである。スカラー値d及びワイエルシュトラス型楕
円曲線上の点Pをスカラー倍計算装置１０３に入力する
と高速スカラー倍計算部２０２がそれを受け取る。高速
スカラー倍計算部２０２は受け取ったスカラー値ｄと与
えられたワイエルシュトラス型楕円曲線上の点Ｐからモ
ンゴメリ型楕円曲線において射影座標で表されたスカラ
ー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標
で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,
Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算する。ま
た、入力されたワイエルシュトラス型楕円曲線上の点P
を、与えられたワイエルシュトラス型楕円曲線から変換
可能であるモンゴメリ型楕円曲線上の点に変換し、その
点を新たにP＝(x,y)とおく。高速スカラー倍計算部２０
２は、X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙを座標復元部２０
３に与える。座標復元部２０３は与えられた座標の値
X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりワイエルシュトラス
型楕円曲線においてアフィン座標で表されたスカラー倍
点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカ
ラー倍計算装置１０３はアフィン座標において完全に座
標が与えられたスカラー倍点(x_d,y_d)を計算結果として
出力する。 【０２０３】次に図１７により、座標x,y,X_d,Z_d,X_d+1,Z
_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処
理について説明する。 【０２０４】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力
されたモンゴメリ型楕円曲線上の点Pをアフィン座標で
表した(x,y)を入力し、以下の手順でアフィン座標おい
て完全な座標が与えられたスカラー倍点(x_d,y_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)で
それぞれ表す。入力されたスカラー値をdとしてモンゴ
メリ型楕円曲線におけるスカラー倍点ｄＰのアフィン座
標を（ｘ_ｄ ^Ｍｏｎ，ｙ_ｄ ^Ｍｏｎ）で、射影座標を(X_d,
Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d
-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を
(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲
線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影
座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０２０５】ステップ１７０１においてX_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ１７０２にお
いてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが
格納されており、したがってX_dx-Z_d が計算される。そ
の結果がレジスタＴ₁に格納される。ステップ１７０３
においてZ_d×xが計算され、レジスタＴ₂に格納される。
ステップ１１０４においてX_d-Ｔ₂が計算される。ここで
レジスタＴ₂にはZ_dxが格納されており、したがってX_d-x
Z_dが計算される。その結果がレジスタＴ₂に格納され
る。ステップ１７０５においてX_d+1×Ｔ₂が計算され
る。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、
したがってX_d+1(X_d-xZ_d)が計算される。その結果がレジ
スタＴ₃に格納される。ステップ１７０６においてＴ₂の
２乗が計算される。ここでレジスタＴ₂には(X_d-xZ_d)が
格納されており、したがって(X_d-xZ_d)²が計算される。
その結果がレジスタＴ₂に格納される。ステップ１１０
７においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂
には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-x
Z_d)²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ１７０８においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂にはX_d+1(X_d-xZ_d)²が格納されて
おり、したがってZ_d+1X_d+1(X_d-xZ_d)²が計算される。そ
の結果がレジスタＴ₂に格納される。ステップ１７０９
においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ
_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってyZ_d+1X
_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に
格納される。ステップ１７１０においてＴ₂×Bが計算さ
れる。ここでレジスタＴ₂にはyZ_d+1X_d+1(X_d-xZ_d)²が格
納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²が計算
される。その結果がレジスタＴ₂に格納される。ステッ
プ１７１１においてＴ₂×Z_dが計算される。ここでレジ
スタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²が格納されており、し
たがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結
果がレジスタＴ₂に格納される。ステップ１７１２にお
いてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ
_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ
_d+1X_d+1(X_d-xZ_d)²Z_dX_dが計算される。その結果がレジス
タＴ₄に格納される。ステップ１７１３においてＴ₂×Z_d
が計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-x
Z_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ
_d)²Z_dが計算される。その結果がレジスタＴ₂に格納され
る。ステップ１７１４においてレジスタＴ₂×sが計算さ
れる。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²
が格納されており、したがってsByZ_d+1X_d+1(X_d-xZ_d)²Z_d
²が計算される。その結果がレジスタＴ₂に格納される。
ステップ１７１５においてＴ₂の逆元が計算される。こ
こで、Ｔ₂にはsByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が格納されてお
り、したがって1/ sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が計算され
る。その結果がＴ₂に格納される。ステップ１７１６に
おいてＴ₂×Ｔ_４が計算される。ここでレジスタＴ₂には
1/sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がレジスタＴ_４にはByZ_d+1X
_d+1(X_d-xZ_d)²Z_dX_dがそれぞれ格納されており、したがっ
て(ByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_d)/(sByZ_d+1X_d+1(X_d-xZ_d)²Z
_d ²)が計算される。その結果がレジスタＴ_４に格納され
る。ステップ１７１７においてＴ_４+αが計算される。
ここでレジスタＴ_４には(ByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_d)/(s
ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²) が格納されており、従って、
数３６が計算される。 【０２０６】 【数３６】 【０２０７】その結果が、レジスタx_dに格納される。ス
テップ１７１８においてＴ₁×Z_d+1が計算される。ここ
でレジスタＴ₁にはX_dx-Z_dが格納されており、したがっ
てZ_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₄
に格納される。ステップ１７１９においてレジスタＴ₁
の２乗が計算される。ここでレジスタＴ₁には(X_dx-Z_d)
が格納されており、したがって(X_dx-Z_d)²が計算され
る。その結果がレジスタＴ₁に格納される。ステップ１
７２０においてＴ₁×Ｔ_２が計算される。ここでレジス
タＴ₁には(X_dx-Z_d)²がレジスタＴ_２には1/sByZ_d+1X
_d+1(X_d-xZ_d)²Z_d ²がそれぞれ格納されており、したがっ
て(X_dx-Z_d)²/sByZ_d+1X_d+1(X_d-xZ_d)² Z_d ²が計算される。
その結果がレジスタＴ₂に格納される。ステップ１７２
１においてＴ₃+Ｔ₄が計算される。ここでレジスタＴ₃に
はX_d+1(X_d-xZ_d) がレジスタＴ₄にはZ_d+1 (X_dx-Z_d)がそ
れぞれ格納されており、したがってX_d+1(X_d-xZ_d)+Z_d+1
(X_dx-Z_d)が計算される。その結果がレジスタＴ₁に格納
される。ステップ１７２２においてＴ₃-Ｔ₄が計算され
る。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d)がレジスタＴ₄
にはZ_d+1(X_dx-Z_d)がそれぞれ格納されており、したがっ
てX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)が計算される。その結果
がレジスタＴ₃に格納される。ステップ１７２３におい
てＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁にはX
_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)がレジスタＴ₃にはX_d+1(X_d-x
Z_d)-Z_d+1(X_dx-Z_d)がそれぞれ格納されており、したがっ
て{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_d
x-Z_d)}が計算される。その結果がレジスタＴ₁に格納さ
れる。ステップ１７２４においてＴ₁×Ｔ₂が計算され
る。ここでレジスタＴ₁には{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-
Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}がレジスタＴ₂には(X
_dx-Z_d)²/sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がそれぞれ格納され
ており、したがって 【０２０８】 【数３７】 【０２０９】が計算される。その結果がレジスタｙ_dに
格納される。したがってレジスタｙ_dには数３７の値が
格納されている。レジスタｘ_dにはステップ１７１７に
おいて数３６の値が格納され、その後更新が行なわれな
いので、その値が保持されている。その結果として、ワ
イエルシュトラス型楕円曲線におけるアフィン座標
(ｘ_d,ｙ_d)の値が全て復元されている。 【０２１０】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線にお
けるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値
が全て復元される理由は以下の通りである。点(d+1)Pは
点dPに点Pを加算した点である。点(d-1)Pは点dPから点P
を減算した点である。モンゴメリ型楕円曲線のアフィン
座標における加算公式に代入すると、次の式を得る。 【０２１１】 【数３８】 【０２１２】 【数３９】 【０２１３】^{両辺を各々減算することにより、} 【０２１４】 【数４０】 【０２１５】^{を得る。したがって、} 【０２１６】 【数４１】 【０２１７】となる。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X
_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入する
ことにより射影座標の値へと変換すると、次の式を得
る。 【０２１８】 【数４２】 【０２１９】モンゴメリ型楕円曲線の射影座標での加算
公式は既に示した数１１、数１２である。ここでX_m及び
Z_mはモンゴメリ型楕円曲線上の点Pのｍ倍点mPの射影座
標におけるX座標及びZ座標、X_n及びZ_nはモンゴメリ型楕
円曲線上の点Pのｎ倍点nPの射影座標におけるX座標及び
Z座標、X_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの
(m-n)倍点(m-n)Pの射影座標におけるX座標及びZ座標、X
_m+n及びZ_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍
点(m+n)Pの射影座標におけるX座標及びZ座標であり、
ｍ，ｎはｍ＞ｎをみたす正整数である。この式はX_m/Z_m
＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X
_m+n/Z_m+n＝ｘ_m+nも不変となるので、射影座標での公式
としてうまく働いている。他方、数１３、数１４とおく
と、この式もX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ
_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m-nも不変となる。ま
た、X'_m-n/Z'_m-n＝X_m-n/Z_m-n＝ｘ_m-nをみたすので、ｘ
_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。m＝d、
n＝1として上記公式を用いてｙ_d ^Monの式よりX_d-1及びZ
_d-1を消去し、X₁＝x,Z₁＝1とおくことにより、次の式を
得る。 【０２２０】 【数４３】 【０２２１】ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数
を減らす目的でｙ_d ^Modの分母と通分することにより、 【０２２２】 【数４４】 【０２２３】となる。モンゴメリ型楕円曲線上の点とワ
イエルシュトラス型楕円曲線上の点との対応関係につい
ては、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic C
urveswith the Montgomery-Form and Their Cryptograp
hic Applications, Public Key Cryptography, LNCS 17
51 (2000) pp.238-257 に記載されている。それによる
と、変換パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s
^-1x_d ^Mon+αの関係がある。結果として数４５、数４６を
得る。 【０２２４】 【数４５】 【０２２５】 【数４６】 【０２２６】ここで、x_d,y_dは図１７より与えられる。
したがって、ワイエルシュトラス型楕円曲線におけるア
フィン座標(x_d,y_d)の値が全て復元されていることにな
る。 【０２２７】上記手順はステップ１７０１、ステップ１
７０３、ステップ１７０５、ステップ１７０７、ステッ
プ１７０８、ステップ１７０９、ステップ１７１０、ス
テップ１７１１、ステップ１７１２、ステップ１７１
３、ステップ１７１４、ステップ１７１６、ステップ１
７１８、ステップ１７２０、ステップ１７２３及びステ
ップ１７２４において有限体上の乗算の計算量を必要と
する。また、ステップ１７０６及びステップ１７１９に
おいて有限体上の２乗算の計算量を必要とする。また、
ステップ１１１５において有限体上の逆元演算の計算量
を必要とする。有限体上の加算及び減算の計算量は、有
限体上の乗算の計算量、２乗算の計算量及び逆元演算の
計算量と比べて比較的小さいので無視してもよい。有限
体上の乗算の計算量をＭ、有限体上の２乗算の計算量を
Ｓ及び有限体上の逆元演算の計算量をＩとすると、上記
手順は１６Ｍ＋２Ｓ＋Ｉの計算量を必要とする。これは
高速スカラー倍計算の計算量と比べてはるかに小さい。
例えばスカラー値dが１６０ビットであれば、高速スカ
ラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もら
れる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元
の計算量は５７．６Ｍであり、高速スカラー倍計算の計
算量と比べてはるかに小さい。したがって効率的に座標
を復元できていることが示された。 【０２２８】尚、上記手順をとらなくても、上記計算式
により与えられたx_d，y_dの値が計算できればx_d，y_dの値
が復元できる。その場合においては一般的に復元に必要
となる計算量が増大する。また、モンゴメリ型楕円曲線
のパラメタであるBの値やモンゴメリ型楕円曲線への変
換パラメタであるｓを小さくとることにより、ステップ
１７１０における乗算の計算量やステップ１７１４にお
ける乗算の計算量を削減することができる。 【０２２９】次に図８により、スカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z
_d+1を出力する高速スカラー倍計算部の処理について説
明する。 【０２３０】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりモンゴメ
リ型楕円曲線において射影座標で表されたスカラー倍点
dP=(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモ
ンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の
うちX_d+1及びZ_d+1を出力する。ステップ８１６として、
与えられたワイエルシュトラス型楕円曲線上の点Pをモ
ンゴメリ型楕円曲線上で射影座標により表された点に変
換する。この点をあらためて点Pとする。ステップ８０
１として、変数Ｉに初期値１を代入する。ステップ８０
２として、点Pの２倍点2Pを計算する。ここで点Pは射影
座標において(x,y,1)として表し、モンゴメリ型楕円曲
線の射影座標における２倍算の公式を用いて２倍点2Pを
計算する。ステップ８０３として、スカラー倍計算装置
１０３に入力された楕円曲線上の点Pとステップ８０２
で求めた点2Pを、点の組(P,2P)として格納する。ここで
点P及び点2Pは射影座標で表されている。ステップ８０
４として、変数Ｉとスカラー値dのビット長とが一致す
るかどうかを判定し、一致すればステップ８１３へ行
く。一致しなければステップ８０５へ行く。ステップ８
０５として、変数Ｉを１増加させる。ステップ８０６と
して、スカラー値のＩ番目のビットの値が０であるか１
であるかを判定する。そのビットの値が０であればステ
ップ８０６へ行く。そのビットの値が１であればステッ
プ８１０へ行く。ステップ８０７として、射影座標によ
り表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加
算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ス
テップ８０８へ行く。ここで、加算mP+(m+1)Pは、モン
ゴメリ型楕円曲線の射影座標における加算公式を用いて
計算される。ステップ８０８として、射影座標により表
された点の組(mP,(m+1)P)から点mPの２倍算2(mP)を行な
い、点2mPを計算する。その後ステップ８０９へ行く。
ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影
座標における２倍算の公式を用いて計算される。ステッ
プ８０９として、ステップ８０８で求めた点2mPとステ
ップ８０７で求めた点(2m+1)Pを点の組(2mP,(2m+1)P)と
して、点の組(mP,(m+1)P)の代わりに格納する。その後
ステップ８０４へ戻る。ここで、点2mP、点(2m＋1)、点
mP及び点(m+1)Pは全て射影座標において表されている。
ステップ８１０として、射影座標により表された点の組
(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行な
い、点(2m+1)を計算する。その後ステップ８１１へ行
く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線
の射影座標における加算公式を用いて計算される。ステ
ップ８１１として、射影座標により表された点の組(mP,
(m+1)P)から点(m+1)Pの２倍算2((m+1)P)を行ない、点(2
m+2)Pを計算する。その後ステップ８１２へ行く。ここ
で、２倍算2((m+1)P)は、モンゴメリ型楕円曲線の射影
座標における２倍算の公式を用いて計算される。ステッ
プ８１１として、ステップ８１０で求めた点(2m+1)Pと
ステップ８１１で求めた点(2m+2)Pを点の組((2m+1)P,(2
m+2)P)として、点の組(mP,(m+1)P)の代わりに格納す
る。その後ステップ８０４へ戻る。ここで、点(2m+1)
P、点(2m+2)、点mP及び点(m+１)Pは全て射影座標におい
て表されている。ステップ８１３として、射影座標で表
された点の組(mP,(m+1)P)から、射影座標で表された点m
P=(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとして、
射影座標で表された点(m+1)P=(X_m+1,Y_m+1,Z_m+1)よりX
_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力す
る。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射
影座標における加算公式及び２倍算の公式ではY座標を
求める事ができないので、求まっていない。また上記手
順により、ｍとスカラー値dはビット長が等しくさらに
そのビットのパターンも同じとなる為、等しくなる。 【０２３１】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ８０７において加算の計算量、ステップ８
０８において２倍算の計算量が必要となる。すなわち６
Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目の
ビットの値が１であれば、ステップ８１０において加算
の計算量、ステップ８１１において２倍算の計算量が必
要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。
いずれの場合においても６Ｍ＋４Ｓの計算量が必要であ
る。ステップ８０４、ステップ８０５、ステップ８０
６、ステップ８０７、ステップ８０８、ステップ８０９
乃至はステップ８０４、ステップ８０５、ステップ８０
６、ステップ８１０、ステップ８１１、ステップ８１２
の繰り返しの回数は、（スカラー値dのビット長）―１
回となるので、ステップ８０２での２倍算の計算量及び
ステップ８１６でのモンゴメリ型楕円曲線上の点への変
換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋
４Ｓ）（ｋ―１）＋４Ｍ＋２Ｓとなる。ここでｋはスカ
ラー値dのビット長である。一般的には、計算量Ｓは、
Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量は
おおよそ（９．２ｋ―３．６）Ｍとなる。例えばスカラ
ー値dが１６０ビット（ｋ＝１６０）であれば、上記手
順のアルゴリズムの計算量はおおよそ１４６８Ｍとな
る。スカラー値dのビットあたりの計算量としてはおよ
そ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Effici
ent elliptic curve exponentiation using mixed coor
dinates, Advances in Cryptology Proceedings of AS
IACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエ
ルシュトラス型楕円曲線において、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法は高速なスカラー倍計算方法として記載
されている。この場合においては、スカラー値のビット
あたりの計算量はおおよそ１０Ｍと見積もられる。例え
ばスカラー値dが１６０ビット（ｋ＝１６０）であれ
ば、このスカラー倍計算方法の計算量はおおよそ１６０
０Ｍとなる。したがって、上記手順のアルゴリズムの方
が計算量が少なく高速といえる。 【０２３２】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z
_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０２３３】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１６Ｍ＋２Ｓ＋
Ｉであり、これは高速スカラー倍計算部２０２の高速ス
カラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍ
とに比べてはるかに小さい。したがって、スカラー倍計
算装置１０３のスカラー倍計算に必要な計算量は、高速
スカラー倍計算部の高速スカラー倍計算に必要な計算量
とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定す
ると、この計算量はおおよそ（９．２ｋ＋５４）Ｍと見
積もることができる。例えばスカラー値dが１６０ビッ
ト（ｋ＝１６０）であれば、このスカラー倍計算に必要
な計算量は１５２６Ｍとなる。楕円曲線としてワイエル
シュトラス型楕円曲線を使用し、ウィンドウ法を用いて
ヤコビアン座標を中心とした混合座標系を用いたスカラ
ー倍計算方法を用いて、スカラー倍点をアフィン座標と
して出力する場合に必要となる計算量はおおよそ１６４
０Ｍであり、これと比べて必要となる計算量は削減され
ている。 【０２３４】第１０の実施例は入出力用の楕円曲線とし
てワイエルシュトラス型楕円曲線を、内部の計算用には
与えられたワイエルシュトラス型楕円曲線から変換可能
であるモンゴメリ型楕円曲線を用いたものである。スカ
ラー倍計算装置１０３がスカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、ワイエルシュトラス型
楕円曲線における射影座標の点として完全な座標が与え
られたスカラー倍点,(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
をスカラー倍計算装置１０３に入力すると高速スカラー
倍計算部２０２がそれを受け取る。高速スカラー倍計算
部２０２は受け取ったスカラー値dと与えられたワイエ
ルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP=(X_d,Y
_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点d(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1を計算する。また、入力されたワ
イエルシュトラス型楕円曲線上の点Pを、与えられたワ
イエルシュトラス型楕円曲線から変換可能であるモンゴ
メリ型楕円曲線上の点に変換し、その点を新たにP=(x,
y)とおく。高速スカラー倍計算部２０２は、X_d，Z_d，X
_d+1，Z_d+1，x及びyを座標復元部２０３に与える。座標
復元部２０３は与えられた座標の値X_d，Z_d，X_d+1，
Z_d+1，x及びyよりワイエルシュトラス型楕円曲線におい
て射影座標で表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の
座標X_d ^W、Y_d ^W及びZ_d ^Wの復元を行なう。スカラー倍計算
装置１０３は射影座標において完全に座標が与えられた
スカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算結果として出力す
る。 【０２３５】次に図１８により、座標x，y，X_d，Z_d，X
_d+1，Z_d+1が与えられた場合にX_d ^W、Y_d ^W、Z_d ^Wを出力する
座標復元部の処理について説明する。 【０２３６】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP=(X_d,Y
_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入
力されたモンゴメリ型楕円曲線上の点Pをアフィン座標
で表した(x,y)を入力し、以下の手順でワイエルシュト
ラス型楕円曲線上で射影座標おいて完全な座標が与えら
れたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入
力されたモンゴメリ型楕円曲線上の点Pのアフィン座標
を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入
力されたスカラー値をdとしてモンゴメリ型楕円曲線に
おけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射
影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円
曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射
影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ
型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)
で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０２３７】ステップ１８０１においてX_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ１８０２にお
いてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが
格納されており、したがってX_dx-Z_dが計算される。その
結果がレジスタＴ₁に格納される。ステップ１８０３に
おいてZ_d×xが計算され、レジスタＴ₂に格納される。ス
テップ１８０４においてX_d-Ｔ₂が計算される。ここでレ
ジスタＴ₂にはZ_dxが格納されており、したがってX_d-xZ_d
が計算される。その結果がレジスタＴ₂に格納される。
ステップ１８０５においてZ_d+1×Ｔ₁が計算される。こ
こでレジスタＴ₁にはX_dx-Z_dが格納されており、したが
ってZ_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ
₃に格納される。ステップ１８０６においてX_d+1×Ｔ₂が
計算される。ここでレジスタＴ₂にはX_d-xZ_dが格納され
ており、したがってX_d+1(X_d-xZ_d)が計算される。その結
果がレジスタＴ₄に格納される。ステップ１８０７にお
いてＴ₁の２乗が計算される。ここでレジスタＴ₁にはX_d
x-Z_dが格納されており、したがって(X_dx-Z_d)²が計算さ
れる。その結果がレジスタＴ₁に格納される。ステップ
１８０８においてＴ₂の２乗が計算される。ここでレジ
スタＴ₂にはX_d-xZ_dが格納されており、したがって(X_d-x
Z_d)²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ１８０９においてＴ₂×Z_dが計算される。
ここでレジスタＴ₂には(X_d-xZ_d)²が格納されており、し
たがってZ_d(X_d-xZ_d)²が計算される。その結果がレジス
タＴ₂に格納される。ステップ１８１０においてＴ₂×X
_d+1が計算される。ここでレジスタＴ₂にはZ_d(X_d-xZ_d)²
が格納されており、したがってX_d+1Z_d(X_d-xZ_d)²が計算
される。その結果がレジスタＴ₂に格納される。ステッ
プ１８１１においてＴ₂×Z_d+1が計算される。ここでレ
ジスタＴ₂にはX_d+1Z_d(X_d-xZ_d)²が格納されており、した
がってZ_d+1X_d+1Z_d(X_d-xZ_d)²が計算される。その結果が
レジスタＴ₂に格納される。ステップ１８１２において
Ｔ₂×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1Z
_d(X_d-xZ_d)²が格納されており、したがってyZ_d+1X_d+1Z
_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格
納される。ステップ１８１３においてＴ₂×Bが計算され
る。ここでレジスタＴ₂にはyZ_d+1X_d+1Z_d(X_d-xZ_d)²が格
納されており、したがってByZ_d+1X_d+1Z_d(X_d-xZ_d)²が計
算される。その結果がレジスタＴ₂に格納される。ステ
ップ１８１４においてＴ₂×X_dが計算される。ここでレ
ジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されてお
り、したがってByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dが計算され
る。その結果がレジスタＴ₅に格納される。ステップ１
８１５においてＴ₂×Z_dが計算される。ここでレジスタ
Ｔ₂にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されており、した
がってByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが計算される。その結
果がレジスタＴ₂に格納される。ステップ１８１６にお
いてＴ₂×sが計算される。ここでレジスタＴ₂にはByZ
_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納されており、したがってsB
yZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが計算される。その結果がZ_d ^Ｗ
に格納される。ステップ１８１７においてα×Z_d ^Ｗが計
算される。ここでZ_d ^ＷにはsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが
格納されており、したがってαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²
Z_dが計算される。その結果がレジスタＴ₂に格納され
る。ステップ１８１８においてＴ₂+Ｔ₅が計算される。
ここでレジスタＴ₂にはαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが
レジスタＴ₅にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dがそれぞれ格
納されており、したがってαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_d
+ByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dが計算される。その結果がX_d
^Ｗに格納される。ステップ１８１９においてＴ₃+Ｔ₄が
計算される。ここでレジスタＴ₃にはZ_d+1(X_dx-Z_d)がレ
ジスタＴ₄にはX_d+1(X_d-xZ_d)が格納されており、したが
ってZ_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)が計算される。その結
果がレジスタＴ₂に格納される。ステップ１８２０にお
いてＴ₃-Ｔ₄が計算される。ここでレジスタＴ₃にはZ_d+1
(X_dx-Z_d)がレジスタＴ₄にはX_d+1(X_d-xZ_d)が格納されて
おり、したがってZ_d+1(X_dx-Z_d)- X_d+1(X_d-xZ_d)が計算さ
れる。その結果がレジスタＴ₃に格納される。ステップ
１８２１においてＴ₁×Ｔ₂が計算される。ここでレジス
タＴ₁には(X_dx-Z_d)²がレジスタＴ₂にはZ_d+1(X_dx-Z_d)+X
_d+1(X_d-xZ_d)が格納されており、したがって{Z_d+1(X_dx-Z
_d)+X_d+1(X_d-xZ_d)}(X_dx-Z_d)²が計算される。その結果が
レジスタＴ₁に格納される。ステップ１８２２において
Ｔ₁×Ｔ₃が計算される。ここでレジスタＴ₁には{Z_d+1(X
_dx-Z_d)+X_d+1(X_d-xZ_d)}(X_dx-Z_d)²がレジスタＴ₃にはZ_d+1
(X_dx-Z_d)- X_d+1(X_d-xZ_d)が格納されており、したがって
{Z_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)}{Z_d+1(X_dx-Z_d)-X_d+1(X_d-x
Z_d)}(X_dx-Z_d)²が計算される。その結果がY_d ^Ｗに格納さ
れる。したがってY_d ^Ｗには{Z_d+1(X_dx-Z_d)+X_d+1(X_d-x
Z_d)}{Z_d+1(X_dx-Z_d)-X_d+1(X_d-xZ_d)}(X_dx-Z_d)²が格納され
ている。X_d ^Ｗにはステップ１８１８においてByZ_d+1X_d+1
Z_d(X_d-xZ_d)²X_d+αsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納さ
れ、その後更新が行われないので、その値が保持されて
いる。X_d ^Ｗにはステップ１８１６においてsByZ_d+1X_d+1Z
_d(X_d-xZ_d)²Z_dが格納され、その後更新が行われないの
で、その値が保持されている。その結果として、ワイエ
ルシュトラス型楕円曲線における射影座標(X_d ^W,Y_d ^W,
Z_d ^W)の値が全て復元されている。 【０２３８】上記手順により与えられたx、y、X_d、Z_d、
X_d+1、Z_d+1からワイエルシュトラス型楕円曲線における
スカラー倍点の射影座標(X_d ^W,Y_d ^W,Z_d ^W)における値が全
て復元される理由は以下の通りである。点(d+1)Pは点dP
に点Pを加算した点である。点(d-1)Pは点dPから点Pを減
算した点である。モンゴメリ型楕円曲線のアフィン座標
における加算公式に代入すると、数６、数７を得る。
^{数６、数７の両辺を各々減算することにより、数８を得
る。したがって、数９のようになる。}ここでx_d=X_d/Z_d、
x_d+1=X_d+1/Z_d+1、x_d-1=X_d-1/Z_d-1であり、この値を代入
することにより射影座標の値へと変換すると、数１０を
得る。モンゴメリ型楕円曲線の射影座標での加算公式は
数１１、数１２である。ここでX_m及びZ_mはモンゴメリ型
楕円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及
びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ
倍点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ
_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)P
の射影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモ
ンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座
標におけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみ
たす正整数である。この式はX_m/Z_m=x_m、X_n/Z_n=x_n、X_m-n
/Z_m-n=x_m-nが不変のとき、X_m+n/Z_m+n=x_m+nも不変となる
ので、射影座標での公式としてうまく働いている。他
方、数１３、数１４とおくと、この式もX_m/Z_m=x_m、X_n/Z
_n=x_n、X_m-n/Z_m-n=x_m-nが不変のとき、X_m+n/Z_m+n=x_m+nも
不変となる。また、X'_m-n/Z'_m-n=X_m-n/Z_m-n=x_m-nをみた
すので、x_m-nの射影座標としてX'_m-n,Z'_m-nをとってよ
い。m=d,n=1として上記公式を用いてy_dの式よりX_d-1及
びZ_d-1を消去し、X₁=x,Z₁=1とおくことにより、数１５
を得る。x_d=X_d/Z_dであるが、y_dの分母と通分することに
より、数１６となる。その結果として、 【０２３９】 【数４７】 【０２４０】とし、 【０２４１】 【数４８】 【０２４２】 【数４９】 【０２４３】とすると(X'_d,Y'_d,Z'_d)=(X_d,Y_d,Z_d)とな
る。モンゴメリ型楕円曲線上の点とワイエルシュトラス
型楕円曲線上の点との対応関係については、K.Okeya,
H.Kurumatani, K.Sakurai, Elliptic Curves with the
Montgomery-Form and Their Cryptographic Applicatio
ns, Public Key Cryptography, LNCS 1751 (2000) pp.2
38-257 に記載されている。それによると、変換パラメ
タをsαとして、Y_d ^W=Y'_d、X_d ^W=X'_d+αZ_d ^W、及びZ_d ^W=sZ'
_dという関係がある。結果として次の式を得る。 【０２４４】 【数５０】 【０２４５】 【数５１】 【０２４６】 【数５２】 【０２４７】により更新すればよい。ここで、X_d ^W,Y_d ^W,
Z_d ^Wは図１８の処理により与えられている。したがっ
て、ワイエルシュトラス型楕円曲線における射影座標(X
_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されていることになる。 【０２４８】上記手順はステップ１８０１、ステップ１
８０３、ステップ１８０５、ステップ１８０６、ステッ
プ１８０９、ステップ１８１０、ステップ１８１１、ス
テップ１８１２、ステップ１８１３、ステップ１８１
４、ステップ１８１５、ステップ１８１６、ステップ１
８１７、ステップ１８２１及びステップ１８２２におい
て有限体上の乗算の計算量を必要とする。また、ステッ
プ１８０７及びステップ１８０８において有限体上の２
乗算の計算量を必要とする。有限体上の加算及び減算の
計算量は、有限体上の乗算の計算量、２乗算の計算量と
比べて比較的小さいので無視してもよい。有限体上の乗
算の計算量をＭ、有限体上の２乗算の計算量をＳとする
と、上記手順は１５Ｍ＋２Ｓの計算量を必要とする。こ
れは高速スカラー倍計算の計算量と比べてはるかに小さ
い。例えばスカラー値dが１６０ビットであれば、高速
スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積
もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量
は１６．６Ｍであり、高速スカラー倍計算の計算量と比
べてはるかに小さい。したがって効率的に座標を復元で
きていることが示された。 【０２４９】尚、上記手順をとらなくても、上記計算式
により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できれば
X_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュ
トラス型楕円曲線においてアフィン座標におけるスカラ
ー倍点dPをdP=(x_d ^W,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計算
式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの値
を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復元
できる。それらの場合においては一般的に復元に必要と
なる計算量が増大する。また、モンゴメリ型楕円曲線の
パラメタであるBの値やモンゴメリ型楕円曲線への変換
パラメタsの値を小さくとることにより、ステップ１８
１３乃至はステップ１８１６における乗算の計算量を削
減することができる。 【０２５０】次に、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力
するアルゴリズムについて説明する。 【０２５１】第１０実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第９実施例の高速
スカラー倍計算方法を用いる。これにより、スカラー値
d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速で
あるアルゴリズムが達成される。尚、高速スカラー倍計
算部２０２において上記アルゴリズムを用いなくても、
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
から、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであ
り且つ高速であれば、他のアルゴリズムを用いていもよ
い。 【０２５２】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１５Ｍ＋２Ｓで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに
比べてはるかに小さい。したがって、スカラー倍計算装
置１０３のスカラー倍計算に必要な計算量は、高速スカ
ラー倍計算部の高速スカラー倍計算に必要な計算量とほ
ぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量
はおおよそ（９．２ｋ＋１３）Ｍと見積もることができ
る。例えばスカラー値dが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量は１４８
５Ｍとなる。楕円曲線としてワイエルシュトラス型楕円
曲線を使用し、ウィンドウ法を用いてヤコビアン座標を
中心とした混合座標系を用いたスカラー倍計算方法を用
いて、スカラー倍点をヤコビアン座標として出力する場
合に必要となる計算量はおおよそ１６００Ｍであり、こ
れと比べて必要となる計算量は削減されている。 【０２５３】第１１実施例は入出力用の楕円曲線として
ワイエルシュトラス型楕円曲線を、内部の計算用には与
えられたワイエルシュトラス型楕円曲線から変換可能で
あるモンゴメリ型楕円曲線を用いたものである。スカラ
ー倍計算装置１０３が、スカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、ワイエルシュトラス型
楕円曲線におけるアフィン座標の点として完全な座標が
与えられたスカラー倍点(x_d,y_d)を計算し出力する。ス
カラー値d及びワイエルシュトラス型楕円曲線上の点Pを
スカラー倍計算装置１０３に入力すると高速スカラー倍
計算部２０２がそれを受け取る。高速スカラー倍計算部
２０２は受け取ったスカラー値dと与えられたワイエル
シュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲
線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,
Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型
楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のうちX
_d-1及びZ_d-1を計算する。また、入力されたワイエルシ
ュトラス型楕円曲線上の点Pを、与えられたワイエルシ
ュトラス型楕円曲線から変換可能であるモンゴメリ型楕
円曲線上の点に変換し、その点を新たにP=(x,y)とお
く。高速スカラー倍計算部２０２は、X_d，Z_d，X_d+1，Z
_d+1，X_d-1，Z_d-1，x及びyを座標復元部２０３に与え
る。座標復元部２０３は与えられた座標の値X_d，Z_d，X
_d+1，Z_d+1，X_d-1，Z_d-1，x及びyよりワイエルシュトラ
ス型楕円曲線においてアフィン座標で表されたスカラー
倍点dP=(x_d,y_d)の座標x_d及びy_dの復元を行なう。スカラ
ー倍計算装置１０３はワイエルシュトラス型楕円曲線上
でアフィン座標において完全に座標が与えられたスカラ
ー倍点(x_d,y_d)を計算結果として出力する。 【０２５４】次に図１９により、座標x，y，X_d，Z_d，X
_d+1，Z_d+1，X_d-1，Z_d-1が与えられた場合にx_d、y_dを出
力する座標復元部の処理について説明する。 【０２５５】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型
楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうち
X_d-1及びZ_d-1、スカラー倍計算装置１０３に入力された
モンゴメリ型楕円曲線上の点Pをアフィン座標で表した
(x,y)を入力し、以下の手順でワイエルシュトラス型楕
円曲線上でアフィン座標おいて完全な座標が与えられた
スカラー倍点(x_d,y_d)を出力する。ここで入力されたモ
ンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、
射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力された
スカラー値をdとしてモンゴメリ型楕円曲線におけるス
カラー倍点dPのアフィン座標を(x_d ^Mon,y_d ^Mon)で、射影
座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲
線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影
座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型
楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)
で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０２５６】ステップ１９０１においてX_d-1×Z_d+1が計
算され、レジスタＴ₁に格納される。ステップ１９０２
においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納さ
れる。ステップ１９０３においてＴ₁−Ｔ_２が計算され
る。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２に
はZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1
Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ１９０４においてZ_d×xが計算さ
れ、レジスタＴ_２に格納される。ステップ１９０５にお
いてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが
格納されており、したがってX_d-xZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ１９０６に
おいてＴ_２の２乗が計算される。ここでレジスタＴ_２に
はX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ１９０７においてＴ₁×Ｔ_２が計算される。ここで
レジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には
(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-x
Z_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレ
ジスタＴ₁に格納される。ステップ１９０８において4B
×yが計算される。その結果がレジスタＴ_２に格納され
る。ステップ１９０９においてＴ_２×Z_d+1が計算され
る。ここでレジスタＴ_２には4Byが格納されており、し
たがって4ByZ_d+1が計算される。その結果がレジスタＴ
_２に格納される。ステップ１９１０においてＴ_２×Z_d-1
が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納
されており、したがって4ByZ_d-1Z_d+1が計算される。そ
の結果がレジスタＴ_２に格納される。ステップ１９１１
においてＴ_２×Z_dが計算される。ここでレジスタＴ_２に
は4ByZ_d-1Z_d+1が格納されており、したがって4ByZ_d-1Z
_d+1Z_dが計算される。その結果がレジスタＴ_２に格納さ
れる。ステップ１９１２においてＴ_２×X_dが計算され
る。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dが格納され
ており、したがって4ByZ_d-1Z_d+1Z_dX_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ１９１３
においてＴ_２×Z_dが計算される。ここでレジスタＴ_２に
は4ByZ_d-1Z_d+1Z_dが格納されており、したがって4ByZ_d-1
Z_d+1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納
される。ステップ１９１４において、Ｔ_２×sが計算さ
れる。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dZ_dが格納
されており、したがって4sByZ_d-1Z_d+1Z_dZ_dが計算され
る。その結果がレジスタＴ_２に格納される。ステップ１
９１５においてレジスタＴ_２の逆元が計算される。ここ
でレジスタＴ_２には4sByZ_d-1Z_d+1Z_dZ_dが格納されてお
り、したがって1/4sByZ_d-1Z_d+1Z_dZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ１４１６に
おいてＴ_２×Ｔ₃が計算される。ここでレジスタＴ_２に
は1/4sByZ_d-1Z_d+1Z_dZ_dがレジスタＴ₃には4ByZ_d-1Z_d+1Z_d
X_dがそれぞれ格納されており、したがって(4ByZ_d-1Z_d+1
Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)が計算される。その結果がレ
ジスタＴ₃に格納される。ステップ１９１７においてＴ₃
＋αが計算される。ここでレジスタＴ₃には(4ByZ_d-1Z
_d+1Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)が格納されており、した
がって（４ＢｙＺ_ｄ−１Ｚ_ｄ＋１Ｚ_ｄＸ_ｄ）／（４ｓＢ
ｙＺ_ｄ−１Ｚ_ｄ＋１Ｚ_ｄＺ_ｄ）＋αが計算される。その
結果がレジスタｘ_ｄに格納される。ステップ１９１８に
おいてレジスタＴ₁×Ｔ_２が計算される。ここでレジス
タＴ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)がレジスタＴ
_２には1/4sByZ_d-1Z_d+1Z_dZ_dがそれぞれ格納されており、
したがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4sByZ_d-1Z
_d+1Z_d ²が計算される。その結果がレジスタy_dに格納され
る。したがってレジスタy_dには(X_d-1Z_d+1-Z_d-1X_d+1)(X_d
-Z_dx)²/4sByZ_d-1Z_d+1Z_d ²が格納されている。レジスタx_d
にはステップ１９１７において(4ByZ_d-1Z_d+1Z_dX_d)/(4sB
yZ_d-1Z_d+1Z_dZ_d)+αが格納され、その後更新が行なわれ
ないので、その値が保持されている。 【０２５７】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型
楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,
ｙ_d)における値が全て復元される理由は以下の通りであ
る。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)
Pは点dPから点Pを減算した点である。モンゴメリ型楕円
曲線のアフィン座標における加算公式に代入すると、数
３８、数３９を得る。
^{両辺を各々減算することにより、数４０を得る。したが
って、数４１}となる。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X
_d+1/Z_d+1、ｘ_d=1＝X_d=1/Z_d=1であり、この値を代入する
ことにより射影座標の値へと変換すると、数４２を得
る。 【０２５８】ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数
を減らす目的でy_d ^Monの分母と通分することにより、数
５３となる。 【０２５９】 【数５３】 【０２６０】モンゴメリ型楕円曲線上の点とワイエルシ
ュトラス型楕円曲線上の点との対応関係については、K.
Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves wi
th theMontgomery-Form and Their Cryptographic Appl
ications, Public Key Cryptography, LNCS 1751 (200
0) pp.238-257 に記載されている。それによると、変換
パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s^-1x_d ^Mon+
αの関係がある。結果として次の式を得る。 【０２６１】 【数５４】 【０２６２】 【数５５】 【０２６３】ここで、ｘ_d,ｙ_dは図１９により与えられ
る。したがって、ワイエルシュトラス型楕円曲線におけ
るスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が
全て復元されることになる。 【０２６４】上記手順はステップ１９０１、ステップ１
９０２、ステップ１９０４、ステップ１９０７、ステッ
プ１９０８、ステップ１９０９、ステップ１９１０、ス
テップ１９１１、ステップ１９１２、ステップ１９１
３、ステップ１９１４、ステップ１９１６及びステップ
１９１８において有限体上の乗算の計算量を必要とす
る。また、ステップ１９０６において有限体上の２乗算
の計算量を必要とする。また、ステップ１９１４におい
て有限体上の逆元演算の計算量を必要とする。有限体上
の加算及び減算の計算量は、有限体上の乗算の計算量、
２乗算の計算量及び逆元演算の計算量と比べて比較的小
さいので無視してもよい。有限体上の乗算の計算量を
Ｍ、有限体上の２乗算の計算量をＳ及び有限体上の逆元
演算の計算量をＩとすると、上記手順は１３Ｍ＋Ｓ＋Ｉ
の計算量を必要とする。これは高速スカラー倍計算の計
算量と比べてはるかに小さい。例えばスカラー値dが１
６０ビットであれば、高速スカラー倍計算の計算量はお
およそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ
＝４０Ｍと仮定すると座標復元の計算量は５３．８Ｍで
あり、高速スカラー倍計算の計算量と比べてはるかに小
さい。したがって効率的に座標を復元できていることが
示された。 【０２６５】尚、上記手順をとらなくても、上記計算式
により与えられたx_d，y_dの値が計算できればx_d，y_dの値
が復元できる。その場合においては一般的に復元に必要
となる計算量が増大する。また、モンゴメリ型楕円曲線
のパラメタであるBの値乃至はモンゴメリ型楕円曲線へ
の変換パラメタであるsの値をを小さくとることによ
り、ステップ１９０８乃至はステップ１９１４における
乗算の計算量を削減することができる。 【０２６６】次に図１０により、スカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、X_d，Z_d，
X_d+1，Z_d+1，X_d+1，Z_d-1を出力する高速スカラー倍計算
部の処理について説明する。 【０２６７】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりモンゴメ
リ型楕円曲線において射影座標で表されたスカラー倍点
dP=(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモ
ンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の
うちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕
円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)のうちX_d-1及びZ
_d-1を出力する。ステップ１０１６として、与えられた
ワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型
楕円曲線上で射影座標により表された点に変換する。こ
の点をあらためて点Pとする。ステップ１００１とし
て、変数Ｉに初期値１を代入する。ステップ１００２と
して、点Pの２倍点２Pを計算する。ここで点Pは射影座
標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲
線の射影座標における２倍算の公式を用いて２倍点2Pを
計算する。ステップ１００３として、スカラー倍計算装
置１０３に入力された楕円曲線上の点Pとステップ１０
０２で求めた点2Pを、点の組(P,2P)として格納する。こ
こで点P及び点2Pは射影座標で表されている。ステップ
１００４として、変数Ｉとスカラー値dのビット長とが
一致するかどうかを判定し、一致すればステップ１０１
４へ行く。一致しなければステップ１００５へ行く。ス
テップ１００５として、変数Ｉを１増加させる。ステッ
プ１００６として、スカラー値のＩ番目のビットの値が
０であるか１であるかを判定する。そのビットの値が０
であればステップ１００６へ行く。そのビットの値が１
であればステップ１０１０へ行く。ステップ１００７と
して、射影座標により表された点の組(mP,(m+1)P)から
点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを
計算する。その後ステップ１００８へ行く。ここで、加
算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標にお
ける加算公式を用いて計算される。ステップ１００８と
して、射影座標により表された点の組(mP,(m+1)P)から
点mPの２倍算２(mP)を行ない、点2mPを計算する。その
後ステップ１００９へ行く。ここで、２倍算2(mP)は、
モンゴメリ型楕円曲線の射影座標における２倍算の公式
を用いて計算される。ステップ１００９として、ステッ
プ１００８で求めた点2mPとステップ１００７で求めた
点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(m
P, (m+１)P)の代わりに格納する。その後ステップ１０
０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び
点(m+１)Pは全て射影座標において表されている。ステ
ップ１０１０として、射影座標により表された点の組(m
P, (m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行
ない、点(2m+１)Pを計算する。その後ステップ１０１１
へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円
曲線の射影座標における加算公式を用いて計算される。
ステップ１０１１として、射影座標により表された点の
組(mP, (m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行
ない、点(2m+2)Pを計算する。その後ステップ１０１２
へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕
円曲線の射影座標における２倍算の公式を用いて計算さ
れる。ステップ１０１１として、ステップ１０１０で求
めた点(2m+１)Pとステップ１０１１で求めた点(2m+2)P
を点の組((2m+1)P, (2m+2)P)として、点の組(mP, (m+1)
P)の代わりに格納する。その後ステップ１００４へ戻
る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)P
は全て射影座標において表されている。ステップ１０１
４として、射影座標で表された点の組(mP,(m+１)P)か
ら、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標を
Z_m-1求め、それぞれX_d-1及びZ_d-1とする。その後ステッ
プ１０１３へ行く。ステップ１０１３として、射影座標
で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d
及びZ_dとして、射影座標で表された点(m+1)P＝(X_m+1,Y
_m+1,Z_m+1)よりX_{m +1}及びZ_m+1をそれぞれX_d+1及びZ_d+1と
して、X_d-1及びZ_d-1と共に出力する。ここで、Y_m及びY
_m+1は、モンゴメリ型楕円曲線の射影座標における加算
公式及び２倍算の公式ではY座標を求める事ができない
ので、求まっていない。また上記手順により、ｍとスカ
ラー値dはビット長が等しくさらにそのビットのパター
ンも同じとなる為、等しくなる。 【０２６８】また、ステップ１０１４において(m-1)Pを
求める際に、数１３、数１４の公式より求めてもよい
し、mが奇数であれば、((m-1)/2)Pの値をステップ１０
１２の段階で別に保持しておき、その値からモンゴメリ
型楕円曲線の２倍の公式より、(m-1)Pを求めてもよい。 【０２６９】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ１００７において加算の計算量、ステップ
１００８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ１０１０におい
て加算の計算量、ステップ１０１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ１００４、ステップ１００５、ス
テップ１００６、ステップ１００７、ステップ１００
８、ステップ１００９乃至はステップ１００４、ステッ
プ１００５、ステップ１００６、ステップ１０１０、ス
テップ１０１１、ステップ１０１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ１００２での２倍算の計算量とステップ１０１４
での(m-1)Pの計算に必要な計算量を考慮に入れると、全
体の計算量は（６Ｍ＋４Ｓ）ｋ＋Ｍとなる。ここでｋは
スカラー値dのビット長である。一般的には、計算量Ｓ
は、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算
量はおおよそ（９．２ｋ＋３）Ｍとなる。例えばスカラ
ー値dが１６０ビット（ｋ＝１６０）であれば、上記手
順のアルゴリズムの計算量はおおよそ１４７５Ｍとな
る。スカラー値dのビットあたりの計算量としてはおよ
そ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Effici
ent elliptic curve exponentiation using mixed coor
dinates, Advances in Cryptology Proceedings of AS
IACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエ
ルシュトラス型楕円曲線において、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法は高速なスカラー倍計算方法として記載
されている。この場合においては、スカラー値のビット
あたりの計算量はおおよそ１０Ｍと見積もられる。例え
ばスカラー値dが１６０ビット（ｋ＝１６０）であれ
ば、このスカラー倍計算方法の計算量はおおよそ１６０
０Ｍとなる。したがって、上記手順のアルゴリズムの方
が計算量が少なく高速といえる。 【０２７０】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Y
_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０２７１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１３Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、
この計算量はおおよそ（９．２ｋ＋５６．８）Ｍと見積
もることができる。例えばスカラー値dが１６０ビット
（ｋ＝１６０）であれば、このスカラー倍計算に必要な
計算量はおおよそ１５２９Ｍとなる。楕円曲線としてワ
イエルシュトラス型楕円曲線を使用し、ウィンドウ法を
用いてヤコビアン座標を中心とした混合座標系を用いた
スカラー倍計算方法を用いて、スカラー倍点をアフィン
座標として出力する場合に必要となる計算量はおおよそ
１６４０Ｍであり、これと比べて必要となる計算量は削
減されている。 【０２７２】第１２実施例は入出力用の楕円曲線として
ワイエルシュトラス型楕円曲線を、内部の計算用には与
えられたワイエルシュトラス型楕円曲線から変換可能で
あるモンゴメリ型楕円曲線を用いる。スカラー倍計算装
置１０３がスカラー値d及びワイエルシュトラス型楕円
曲線上の点Pから、ワイエルシュトラス型楕円曲線にお
ける射影座標の点として完全な座標が与えられたスカラ
ー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。スカラー値d及
びワイエルシュトラス型楕円曲線上の点Pをスカラー倍
計算装置１０３に入力すると高速スカラー倍計算部２０
２がそれを受け取る。高速スカラー倍計算部２０２は受
け取ったスカラー値dと与えられたワイエルシュトラス
型楕円曲線上の点Pからモンゴメリ型楕円曲線において
射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標
のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円
曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1
及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上
の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d=1及びZ
_d-1を計算し、射影座標で表された入力されたワイエル
シュトラス型楕円曲線上の点P=(x,y)と共にその情報を
座標復元部２０３に与える。座標変換部２０３は与えら
れた座標の値X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1，x及びy
よりワイエルシュトラス型楕円曲線において射影座標で
表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の座標X_d ^W、Y_d ^W
及びZ_d ^Wの復元を行なう。スカラー倍計算装置１０３は
ワイエルシュトラス型楕円曲線上で座標射影座標におい
て完全に座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)
を計算結果として出力する。 【０２７３】次に図１３により、座標x，y，X_d，Z_d，X
_d+1，Z_d+1，X_d-1，Z_d-1が与えられた場合にX_d ^W、Y_d ^W、Z
_d ^Wを出力する座標復元部の処理について説明する。 【０２７４】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP=(X_d,Y
_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ
型楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のう
ちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力され
たワイエルシュトラス型楕円曲線上の点Pを射影座標で
表した(x,y)を入力し、以下の手順でワイエルシュトラ
ス型楕円曲線上で射影座標おいて完全な座標が与えられ
たスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入力
されたモンゴメリ型楕円曲線上の点Pのアフィン座標を
(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力
されたスカラー値をdとしてモンゴメリ型楕円曲線にお
けるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影
座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲
線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影
座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型
楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)
で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０２７５】ステップ２００１においてX_d-1×Z_d+1が計
算され、レジスタＴ₁に格納される。ステップ２００２
においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納さ
れる。ステップ２００３においてＴ₁−Ｔ_２が計算され
る。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２に
はZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1
Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ２００４においてZ_d×xが計算さ
れ、レジスタＴ_２に格納される。ステップ２００５にお
いてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが
格納されており、したがってX_d-xZ_dが計算される。その
結果がレジスタＴ_２に格納される。ステップ２００６に
おいてＴ_２の２乗が計算される。ここでレジスタＴ_２に
はX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ２００７においてＴ₁×Ｔ_２が計算される。ここで
レジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には
(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-x
Z_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がY_d ^W
に格納される。ステップ２００８において4B×yが計算
される。その結果がレジスタＴ_２に格納される。ステッ
プ２００９においてＴ_２×Z_d+1が計算される。ここでレ
ジスタＴ_２には4Byが格納されており、したがって4ByZ
_d+1が計算される。その結果がレジスタＴ_２に格納され
る。ステップ２０１０においてＴ_２×Z_d-1が計算され
る。ここでレジスタＴ_２には4ByZ_d+1が格納されてお
り、したがって4ByZ_d＋1Z_d-1が計算される。その結果が
レジスタＴ_２に格納される。ステップ２０１１において
Ｔ_２×Z_dが計算される。ここでレジスタＴ_２には4yZ_d+1
Z_d-1が格納されており、したがって4ByZ_d+1Z_d-1Z_dが計
算される。その結果がレジスタＴ_２に格納される。ステ
ップ２０１２においてＴ_２×X_dが計算される。ここでレ
ジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、した
がって4ByZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジ
スタＴ₁に格納される。ステップ２０１３においてＴ_２
×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z
_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dZ_dが
計算される。その結果がレジスタＴ₂に格納される。ス
テップ２０１４においてＴ₂×sが計算される。ここでレ
ジスタＴ₂には4ByZ_d+1Z_d-1Z_dZ_dが格納されており、した
がって4sByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジ
スタZ_d ^W格納される。ステップ２０１５においてα×Z_d ^W
が計算される。ここでレジスタZ_d ^Wには4sByZ_d+1Z_d-1Z_dZ
_dが格納されており、したがって4αsByZ_d+1Z_d-1Z_dZ_dが
計算される。その結果がレジスタＴ₂に格納される。ス
テップ２０１６においてＴ₁+Ｔ₂が計算される。ここで
レジスタＴ₁には4ByZ_d+1Z_d-1Z_dX_dがレジスタＴ₂には4α
sByZ_d+1Z_d-1Z_dZ_dがそれぞれ格納されており、したがっ
て4ByZ_d+1Z_d-1Z_dX_d+4αsByZ_d+1Z_d-1Z_dZ_dが計算される。
その結果がレジスタX_d ^Wに格納される。したがってレジ
スタX_d ^Wには4ByZ_d+1Z_d-1Z_dX_d+4αsByZ_d+1Z_d-1Z_dZ_dが格
納されている。レジスタY_d ^Wにはステップ２００７にお
いて(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が格納され、その後
更新が行なわれないので、その値が保持されている。レ
ジスタZ_d ^Wにはステップ２０１４において4sByZ_d+1Z_d-1Z
_dZ_dが格納され、その後更新が行なわれないので、その
値が保持されている。 【０２７６】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型
楕円曲線におけるスカラー倍点の射影座標(X_d ^W, Y_d ^W, Z
_d ^W)における値が全て復元される理由は以下の通りであ
る。尚、点(d+1)Pは点dPに点Pを加算した点であり、点
(d-1)Pは点dPから点Pを減算した点である。モンゴメリ
型楕円曲線のアフィン座標における加算公式に代入する
と、数６、数７を得る。
^{両辺を各々減算することにより、数８を得る。したがっ
て、}数９となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入すること
により射影座標の値へと変換すると、数１０を得る。 【０２７７】ｘ_d＝X_d/Z_dであるが、ｙ_dの分母と通分す
ることにより、数２０となる。その結果として、 【０２７８】 【数５６】 【０２７９】とし、 【０２８０】 【数５７】 【０２８１】 【数５８】 【０２８２】とすると(X'_d, Y'_d, Z'_d)=(X_d, X_d, X_d)と
なる。モンゴメリ型楕円曲線上の点とワイエルシュトラ
ス型楕円曲線上の点との対応関係については、K.Okeya,
H.Kurumatani, K.Sakurai, Elliptic Curves with the
Montgomery-Form and Their Cryptographic Applicati
ons, Public Key Cryptography, LNCS 1751 (2000) pp.
238-257 に記載されている。それによると、変換パラメ
タをs,αとして、Y_d ^W =Y'_d、X_d ^W=X'_d＋αZ_d ^W及びZ_d ^W=s
Z'_dの関係がある。結果として次の式を得る。 【０２８３】 【数５９】 【０２８４】 【数６０】 【０２８５】 【数６１】 【０２８６】となる。ここで、X_d ^W, Y_d ^W, Z_d ^Wは図２０
により与えられる。したがって、ワイエルシュトラス型
楕円曲線における射影座標(X_d ^W, Y_d ^W, Z_d ^W)の値が全て
復元されていることになる。 【０２８７】上記手順はステップ２００１、ステップ２
００２、ステップ２００４、ステップ２００７、ステッ
プ２００８、ステップ２００９、ステップ２０１０、ス
テップ２０１１、ステップ２０１２、ステップ２０１
３、ステップ２０１４及びステップ２０１５において有
限体上の乗算の計算量を必要とする。また、ステップ２
００６において有限体上の２乗算の計算量を必要とす
る。有限体上の加算及び減算の計算量は、有限体上の乗
算の計算量、２乗算の計算量と比べて比較的小さいので
無視してもよい。有限体上の乗算の計算量をＭ、有限体
上の２乗算の計算量をＳとすると、上記手順は１２Ｍ＋
Ｓの計算量を必要とする。これは高速スカラー倍計算の
計算量と比べてはるかに小さい。例えばスカラー値dが
１６０ビットであれば、高速スカラー倍計算の計算量は
おおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと
仮定すると座標復元の計算量は１２．８Ｍであり、高速
スカラー倍計算の計算量と比べてはるかに小さい。した
がって効率的に座標を復元できていることが示された。 【０２８８】尚、上記手順をとらなくても、上記計算式
により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できれば
X_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュ
トラス型楕円曲線においてアフィン座標におけるスカラ
ー倍点dPをdP=(x_d ^W、,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計
算式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの
値を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復
元できる。それらの場合においては一般的に復元に必要
となる計算量が増大する。また、楕円曲線のパラメタで
あるBやモンゴメリ型楕円曲線への変換パラメタである
ｓの値を小さくとることにより、ステップ２００８乃至
はステップ２０１４における乗算の計算量を削減するこ
とができる。 【０２８９】次に、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，
X_d-1，Z_d-1を出力するアルゴリズムについて説明する。 【０２９０】第１２実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第１１実施例の高
速スカラー倍計算方法を用いる。これにより、スカラー
値d及びワイエルシュトラス型楕円曲線上の点Pから、
X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズ
ムとして、高速であるアルゴリズムが達成される。尚、
高速スカラー倍計算部２０２において上記手順のアルゴ
リズムを用いなくても、スカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X
_d-1，Z_d-1を出力するアルゴリズムであり且つ高速であ
れば、他のアルゴリズムを用いていもよい。 【０２９１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓであ
り、これは高速スカラー倍計算部２０２の高速スカラー
倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べて
はるかに小さい。したがって、スカラー倍計算装置１０
３のスカラー倍計算に必要な計算量は、高速スカラー倍
計算部の高速スカラー倍計算に必要な計算量とほぼ同等
である。Ｓ＝０．８Ｍと仮定すると、この計算量はおお
よそ（９．２ｋ＋１３．８）Ｍと見積もることができ
る。例えばスカラー値dが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量はおおよ
そ１４８６Ｍとなる。楕円曲線としてワイエルシュトラ
ス型楕円曲線を使用し、ウィンドウ法を用いてヤコビア
ン座標を中心とした混合座標系を用いたスカラー倍計算
方法を用いて、スカラー倍点をヤコビアン座標として出
力する場合に必要となる計算量はおおよそ１６００Ｍで
あり、これと比べて必要となる計算量は削減されてい
る。 【０２９２】第１３実施例は入出力用の楕円曲線として
ワイエルシュトラス型楕円曲線を、内部の計算用には与
えられたワイエルシュトラス型楕円曲線から変換可能で
あるモンゴメリ型楕円曲線を用いたものである。スカラ
ー倍計算装置１０３が、スカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、ワイエルシュトラス型
楕円曲線におけるアフィン座標の点として完全な座標が
与えられたスカラー倍点(x_d ^W,y_d ^W)を計算し出力する。
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
をスカラー倍計算装置１０３に入力すると高速スカラー
倍計算部２０２がそれを受け取る。高速スカラー倍計算
部２０２は受け取ったスカラー値dと与えられたワイエ
ルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲
線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算
し、アフィン座標で表された入力されたモンゴメリ型楕
円曲線上の点P＝(x,y)と共にその情報を座標復元部２０
３に与える。座標復元部２０３は与えられた座標の値
x_d、x_d+1、x_d-1、x及びyよりワイエルシュトラス型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d ^W,y_d ^W)の座標y_d ^Wの復元を行なう。スカラー倍計算装
置１０３はワイエルシュトラス型楕円曲線上でアフィン
座標において完全に座標が与えられたスカラー倍点
(x_d ^W,y_d ^W)を計算結果として出力する。 【０２９３】次に図２１により、座標x、y、x_d、x_d+1、
x_d-1が与えられた場合に、x_d ^W、y_d ^Wを出力する座標復元
部の処理について説明する。 【０２９４】座標復元部２０３では、モンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲
線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1、スカ
ラー倍計算装置１０３に入力されたモンゴメリ型楕円曲
線上の点Pをアフィン座標で表した(x,y)を入力し、以下
の手順でアフィン座標において完全な座標が与えられた
スカラー倍点(x_d ^W,y_d ^W)を出力する。 【０２９５】ステップ２１０１においてx_d−xが計算さ
れ、レジスタＴ₁に格納される。ステップ２１０２にお
いてＴ₁の２乗すなわち(x_d−x)²が計算され、レジスタ
Ｔ₁に格納される。ステップ２１０３においてx_d-1−x
_d+1が計算され、レジスタＴ₂に格納される。ステップ２
１０４においてＴ₁×Ｔ₂が計算される。ここでレジスタ
Ｔ₁には(x_d−x)²がレジスタＴ₂にはx_d-1−x_d+1がそれぞ
れ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)が
計算される。その結果がレジスタＴ₁に格納される。ス
テップ２１０５において4B×yが計算され、レジスタＴ₂
に格納される。ステップ２１０６においてＴ₂の逆元が
計算される。ここでレジスタＴ₂には4Byが格納されてお
り、したがって1/4Byが計算される。その結果がレジス
タＴ₂に格納される。ステップ２１０７においてＴ₁×Ｔ
₂が計算される。ここでレジスタＴ₁には(x_d−x)²(x_d-1
−x_d+1)がレジスタＴ₂には1/4Byがそれぞれ格納されて
おり、したがって(x_d−x)²(x_d-1−x_d+1)/4Byが計算され
る。その結果がレジスタＴ₁に格納される。ステップ２
１０８においてＴ₁×s^-1が計算される。ここでレジスタ
Ｔ₁には(x_d−x)²(x_d-1−x_d+1)/4Byが格納されており、
したがって(x_d−x)²(x_d-1−x_d+1)/4sByが計算される。
その結果がレジスタy_d ^Wに格納される。尚、sはあらかじ
め与えられている値であり、したがってあらかじめs^-1
を計算できる。ステップ２１０９においてx_d×s^-1が計
算される。その結果がレジスタＴ₁に格納される。ステ
ップ２１１０においてＴ₁+αが計算される。ここでレジ
スタＴ₁にはs^-1x_dが格納されており、したがってs^-1x_d+
αが計算される。その結果がレジスタx_d ^Wに格納され
る。したがってレジスタx_d ^Wにはs^-1x_d+αが格納されて
いる。レジスタy_d ^Wはステップ２１０８において(x_d−x)
²(x_d-1−x_d+1)/4sByが格納され、その後更新されないの
で、その値が保持されている。 【０２９６】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。点(d+1)Pは点dPに
点Pを加算した点である。点(d-1)Pは点dPから点Pを減算
した点である。モンゴメリ型楕円曲線のアフィン座標に
おける加算公式に代入すると、数６、数７を得る。
^{両辺を各々減算することにより、数８を得る。したがっ
て、数９}となる。モンゴメリ型楕円曲線上の点とワイエ
ルシュトラス型楕円曲線上の点との対応関係について
は、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Cur
ves with the Montgomery-Form and Their Cryptograph
ic Applications, Public Key Cryptography, LNCS 175
1 (2000) pp.238-257 に記載されている。それによる
と、変換パラメタをs,αとして、y_d ^W=s^-1y_d及びx_d ^W=s^-1
x_d+αの関係がある。結果として次の式を得る。 【０２９７】 【数６２】 【０２９８】 【数６３】 【０２９９】ここで、x_d ^W，y_d ^Wは図２１により与えられ
る。したがって、アフィン座標(x_d ^W, y_d ^W)の値は全て復
元されていることになる。 【０３００】上記手順はステップ２１０４、ステップ２
１０５、ステップ２１０７、ステップ２１０８及びステ
ップ２１０９において有限体上の乗算の計算量を必要と
する。また、ステップ２１０２において有限体上の２乗
算の計算量を必要とする。さらにステップ２１０６にお
いて有限体上の逆元演算の計算量を必要とする。有限体
上の加算及び減算の計算量は、有限体上の乗算の計算
量、２乗算の計算量、逆元演算の計算量と比べて比較的
小さいので無視してもよい。有限体上の乗算の計算量を
Ｍ、有限体上の２乗算の計算量をＳ、有限体上の逆元演
算の計算量をＩとすると、上記手順は５Ｍ＋Ｓ＋Ｉの計
算量を必要とする。これは高速スカラー倍計算の計算量
と比べてはるかに小さい。例えばスカラー値dが１６０
ビットであれば、高速スカラー倍計算の計算量はおおよ
そ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝
４０Ｍと仮定すると座標復元の計算量は４５．８Ｍであ
り、高速スカラー倍計算の計算量と比べてはるかに小さ
い。したがって効率的に座標を復元できていることが示
された。 【０３０１】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_d ^Wの値が復元できる。その場
合は一般的に復元に必要となる計算量が増大する。ま
た、楕円曲線のパラメタであるBやモンゴメリ型楕円曲
線への変換パラメタsの値を小さくとることにより、ス
テップ２１０５、ステップ２１０８乃至はステップ２１
０９における乗算の計算量を削減することができる。 【０３０２】次に図２４により、スカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、x_d，x_d+1，x
_d=1を出力する高速スカラー倍計算部の処理について説
明する。 【０３０３】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりモンゴメ
リ型楕円曲線においてアフィン座標で表されたスカラー
倍点dP=(x_d,y_d)のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P=(x_d+1,y_d+1)のうち
x_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上
の点(d-1)P=(x_d-1,y_d-1)のうちx_d-1を出力する。ステッ
プ２４１６として、与えられたワイエルシュトラス型楕
円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標に
より表された点に変換する。この点をあらためて点Pと
する。ステップ２４０１として、変数Ｉに初期値１を代
入する。ステップ２４０２として、点Pの２倍点2Pを計
算する。ここで点Pは射影座標において(x,ｙ,1)として
表し、モンゴメリ型楕円曲線の射影座標における２倍算
の公式を用いて２倍点2Pを計算する。ステップ２４０３
として、スカラー倍計算装置１０３に入力された楕円曲
線上の点Pとステップ２４０２で求めた点2Pを、点の組
(P,2P)として格納する。ここで点P及び点2Pは射影座標
で表されている。ステップ２４０４として、変数Ｉとス
カラー値dのビット長とが一致するかどうかを判定し、
一致すればステップ２４１４へ行く。一致しなければス
テップ２４０５へ行く。ステップ２４０５として、変数
Ｉを１増加させる。ステップ２４０６として、スカラー
値のＩ番目のビットの値が０であるか１であるかを判定
する。そのビットの値が０であればステップ２４０６へ
行く。そのビットの値が１であればステップ２４１０へ
行く。ステップ２４０７として、射影座標により表され
た点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+
1)Pを行ない、点(2m+1)Pを計算する。その後ステップ２
４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ
型楕円曲線の射影座標における加算公式を用いて計算さ
れる。ステップ２４０８として、射影座標により表され
た点の組(mP,(m+1)P)から点mPの２倍算2(mP)を行ない、
点2mPを計算する。その後ステップ２４０９へ行く。こ
こで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座
標における２倍算の公式を用いて計算される。ステップ
２４０９として、ステップ２４０８で求めた点2mPとス
テップ２４０７で求めた点(2m+１)Pを点の組(2mP,(2m+
１)P)として、点の組(mP,(m+１)P)の代わりに格納す
る。その後ステップ２４０４へ戻る。ここで、点2mP、
点(2m+1)P、点mP及び点(m+1)Pは全て射影座標において
表されている。ステップ２４１０として、射影座標によ
り表された点の組(mP, (m+１)P)から点mPと点(m+1)Pの
加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後
ステップ２４１１へ行く。ここで、加算mP+(m+1)Pは、
モンゴメリ型楕円曲線の射影座標における加算公式を用
いて計算される。ステップ２４１１として、射影座標に
より表された点の組(mP,(m+１)P)から点(m+１)Pの２倍
算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後
ステップ２４１２へ行く。ここで、２倍算2((m+１)P)
は、モンゴメリ型楕円曲線の射影座標における２倍算の
公式を用いて計算される。ステップ２４１１として、ス
テップ２４１０で求めた点(2m+１)Pとステップ２４１１
で求めた点(2m+2)Pを点の組((2m+１)P, (2m+2)P)とし
て、点の組(mP,(m+1)Pの代わりに格納する。その後ステ
ップ２４０４へ戻る。ここで、点(2m+１)P、点(2m+2)
P、点mP及び点(m+1)Pは全て射影座標において表されて
いる。ステップ２４１４として、射影座標で表された点
の組(mP,(m+１)P)から、点（ｍ−１）Ｐの射影座標にお
けるＸ座標X_m-1及びZ座標Z_m-1を求め、それぞれX_d-1及
びZ_d-1とする。その後ステップ２４１５へ行く。ステッ
プ２４１５として、射影座標で表された点mP=(X_m,Y_m,
Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとし、射影座標で
表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1
をそれぞれX_d+1及びZ_d+1とする。ここで、Y_m及びY
_m+1は、モンゴメリ型楕円曲線の射影座標における加算
公式及び２倍算の公式ではY座標を求める事ができない
ので、求まっていない。X_d-1，Z_d+1，X _d，Z _d，
X _d+1，Z _d+1より、数２４、数２５、数２６として
x_d-1，x_d，x_d+1を求める。その後ステップ２４１３へ行
く。ステップ２４１３として、x_d-1，x_d，x_d+1を出力す
る。上記手順により、ｍとスカラー値dはビット長が等
しくさらにそのビットのパターンも同じとなる為、等し
くなる。またステップ２４１４において(m-1)Pを求める
際に、数１３、数１４の公式により求めてもよいし、ｍ
が奇数であれば、((m-1)/2)Pの値をステップ２４１２の
段階で別に保持しておき、その値からモンゴメリ型楕円
曲線の２倍算の公式より、(m-1)Pを求めてもよい。 【０３０４】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ２４０７において加算の計算量、ステップ
２４０８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ２４１０におい
て加算の計算量、ステップ２４１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ２４０４、ステップ２４０５、ス
テップ２４０６、ステップ２４０７、ステップ２４０
８、ステップ２４０９乃至はステップ２４０４、ステッ
プ２４０５、ステップ２４０６、ステップ２４１０、ス
テップ２４１１、ステップ２４１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ２４０２での２倍算の計算量、ステップ２４１４
での(m-1)Pの計算に必要な計算量及びステップ２４１５
でのアフィン座標への変換の計算量を考慮に入れると、
全体の計算量は（６Ｍ＋４Ｓ）ｋ＋１１Ｍ＋Ｉとなる。
ここでｋはスカラー値dのビット長である。一般的に
は、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４
０Ｍ程度と見積もられるので、全体の計算量はおおよそ
（９．２ｋ＋５１）Ｍとなる。例えばスカラー値dが１
６０ビット（ｋ＝１６０）であれば、上記手順のアルゴ
リズムの計算量はおおよそ１５２３Ｍとなる。スカラー
値dのビットあたりの計算量としてはおよそ９．２Ｍと
なる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic
curve exponentiation using mixed coordinates, Adv
ances in Cryptology Proceedings of ASIACRYPT'98,
LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス
型楕円曲線において、ウィンドウ法を用いてヤコビアン
座標を中心とした混合座標系を用いたスカラー倍計算方
法は高速なスカラー倍計算方法として記載されている。
この場合においては、スカラー値のビットあたりの計算
量はおおよそ１０Ｍと見積もられ、これ以外にアフィン
座標への変換の計算量が必要となる。例えばスカラー値
dが１６０ビット（ｋ＝１６０）であれば、このスカラ
ー倍計算方法の計算量はおおよそ１６４０Ｍとなる。し
たがって、上記手順のアルゴリズムの方が計算量が少な
く高速といえる。 【０３０５】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、
x_d-1，x_d，x_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０３０６】第１４の実施例は、スカラー倍計算装置１
０３がスカラー値d及びモンゴメリ型楕円曲線上の点Ｐ
から、モンゴメリ型楕円曲線におけるアフィン座標の点
として完全な座標が与えられたスカラー倍点（ｘ_d,
ｙ_d）を計算し出力するものである。スカラー値d及びモ
ンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０
３に入力すると高速スカラー倍計算部２０２がそれを受
け取る。高速スカラー倍計算部２０２は受け取ったスカ
ラー値ｄと与えられたモンゴメリ型楕円曲線上の点Ｐか
らモンゴメリ型楕円曲線において射影座標で表されたス
カラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影
座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算し、
アフィン座標で表された入力されたモンゴメリ型楕円曲
線上の点P＝(ｘ,ｙ)と共にその情報を座標復元部２０３
に与える。座標復元部２０３は与えられた座標の値X_d、
Z_d、X_d+1、Z_d+1、ｘ及びｙよりモンゴメリ型楕円曲線に
おいてアフィン座標で表されたスカラー倍点dP＝(x_d,
y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算
装置１０３はアフィン座標において完全に座標が与えら
れたスカラー倍点(x_d,y_d)を計算結果として出力する。 【０３０７】次に図３４により、座標x,y,X_d,Z_d,X_d+1,Z
_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処
理について説明する。 【０３０８】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力
されたモンゴメリ型楕円曲線上の点Pをアフィン座標で
表した(x,y)を入力し、以下の手順でアフィン座標おい
て完全な座標が与えられたスカラー倍点(x_d,y_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)で
それぞれ表す。入力されたスカラー値をdとしてモンゴ
メリ型楕円曲線におけるスカラー倍点dPのアフィン座標
を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。
モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x
_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ
表す。 【０３０９】ステップ３４０１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ３４０２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ３４０３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ３４０４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ３４０５においてＴ₃×X_d+1が計算され
る。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されてお
り、したがってX_d+1(X_d-xZ_d)²が計算される。その結果
がレジスタＴ₃に格納される。ステップ３４０６におい
て2A×Z_dが計算され、レジスタＴ₁に格納される。ステ
ップ３４０７においてＴ₂+Ｔ₁が計算される。ここでレ
ジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ
格納されており、したがってxZ_d+X_d+2AZ_dが計算され
る。その結果がレジスタＴ₂に格納される。ステップ３
４０８においてx×X_dが計算され、レジスタＴ₄に格納さ
れる。ステップ３４０９においてＴ₄+Z_dが計算される。
ここでレジスタＴ₄にはxX_dが格納されており、したがっ
てxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納
される。ステップ３４１０においてＴ₂×Ｔ₄が計算され
る。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄
にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d
+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタ
Ｔ₂に格納される。ステップ３４１１においてＴ₁×Z_dが
計算される。ここでレジスタＴ₁には2AZ_dが格納されて
おり、したがって2AZ_d ²が計算される。その結果がレジ
スタＴ₁に格納される。ステップ３４１２においてＴ₂-
Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2A
Z_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ
格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2A
Z_d ²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ３４１３においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ
_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(x
X_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に
格納される。ステップ３４１４においてＴ₂-Ｔ₃が計算
される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX
_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞ
れ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX
_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果が
レジスタＴ₂に格納される。ステップ３４１５において2
B×yが計算され、レジスタＴ₁に格納される。ステップ
３４１６においてＴ₁×Z_dが計算される。ここでレジス
タＴ₁には2Byが格納されており、したがって2ByZ_dが計
算される。その結果がレジスタＴ ₁に格納される。ステ
ップ３４１７においてＴ₁×Z_d+1が計算される。ここで
レジスタＴ₁には2ByZ_dが格納されており、したがって2B
yZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納さ
れる。ステップ３４１８においてＴ₁×Z_dが計算され
る。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されてお
り、したがって2ByZ_dZ_d+1Z_dが計算される。その結果が
レジスタＴ₃に格納される。ステップ３４１９において
レジスタＴ₃の逆元が計算される。ここでレジスタＴ₃に
は2ByZ_dZ_d+1Z_dが格納されており、したがって1/2ByZ_dZ
_d+1Z_dが計算される。その結果がレジスタＴ₃に格納され
る。ステップ３４２０においてＴ₂×Ｔ₃が計算される。
ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2A
Z_d ²)-X_d+1(X_d-xZ_d)²がレジスタＴ₃には1/2ByZ_dZ_d+1Z_dが
それぞれ格納されており、したがって{Z_d+1 ((xZ_d+X_d+2
AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²}/2ByZ_dZ_d+1 Z_dが
計算される。その結果がレジスタy_dに格納される。ステ
ップ３４２１においてＴ₁×X_dが計算される。ここでレ
ジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって
2ByZ_d Z_d+1X_dが計算される。その結果がレジスタＴ₁に
格納される。ステップ３４２２においてＴ₁×Ｔ₃が計算
される。ここでレジスタＴ₁には2ByZ_dZ_d+1X_dがレジスタ
Ｔ₃には1/2ByZ_dZ_d+1Z_dがそれぞれ格納されており、した
がって2ByZ_dZ_d+1X_d /2ByZ_dZ_d+1Z_d(＝X_d/Z_d)が計算され
る。その結果がx_dに格納される。y_dにはステップ３４２
０において{Z_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X
_d+1(X_d-xZ_d)²}/2By Z_dZ_d+1Z_dが格納され、その後更新が
行なわれないので、その値が保持されている。 【０３１０】上記手順により座標復元部２０３へ与えら
れたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からモンゴメリ型楕円
曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)に
おける値が全て復元される理由は以下の通りである。
尚、点(d+1)Pは点dPに点Pを加算した点である。モンゴ
メリ型楕円曲線のアフィン座標における加算公式に代入
すると、数６を得る。点P及び点dPはモンゴメリ型楕円
曲線上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+A
x²+xをみたす。数６に代入し、By_d ²及びBy²を消去し、
式を整理すると、 【０３１１】 【数６４】 【０３１２】を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1であり、この値を代入することにより射影座標の値
へと変換すると、次の式を得る。 【０３１３】 【数６５】 【０３１４】ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減
らす目的でｙ_dの分母と通分することにより、 【０３１５】 【数６６】 【０３１６】となる。ここで、x_d，y_dは図３４の処理に
より与えられている。したがって、アフィン座標(x_d,
y_d)の値が全て復元されていることになる。 【０３１７】上記手順はステップ３４０１、ステップ３
４０５、ステップ３４０６、ステップ３４０８、ステッ
プ３４１０、ステップ３４１１、ステップ３４１３、ス
テップ３４１５、ステップ３４１６、ステップ３４１
７、ステップ３４１８、ステップ３４２０、ステップ３
４２１及びステップ３４２２において有限体上の乗算の
計算量を必要とする。また、ステップ３４０４において
有限体上の２乗算の計算量を必要とする。また、ステッ
プ３４１９において有限体上の逆元演算の計算量を必要
とする。有限体上の加算及び減算の計算量は、有限体上
の乗算の計算量、２乗算の計算量及び逆元演算の計算量
と比べて比較的小さいので無視してもよい。有限体上の
乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び
有限体上の逆元演算の計算量をＩとすると、上記手順は
１４Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカ
ラー倍計算の計算量と比べてはるかに小さい。例えばス
カラー値dが１６０ビットであれば、高速スカラー倍計
算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ
＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量
は５４．８Ｍであり、高速スカラー倍計算の計算量と比
べてはるかに小さい。したがって効率的に座標を復元で
きていることが示された。 【０３１８】尚、上記手順をとらなくても、上記計算式
により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの
値が復元できる。その場合においては一般的に復元に必
要となる計算量が増大する。また、楕円曲線のパラメタ
であるA乃至はBの値を小さくとることにより、ステップ
３４０６乃至はステップ３４１５における乗算の計算量
を削減することができる。 【０３１９】次にスカラー値d及びモンゴメリ型楕円曲
線上の点Pから、X_d,Z_d,X_d+1,Z_d+1を出力する高速スカラ
ー倍計算部の処理を説明する。 【０３２０】第１４実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第１実施例の高速
スカラー倍計算方法を用いる。これにより、スカラー値
d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，
X_d+1，Z_d+1を出力するアルゴリズムとして、高速である
アルゴリズムが達成される。尚、高速スカラー倍計算部
２０２において上記アルゴリズムを用いなくても、スカ
ラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０３２１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋５０）Ｍと見積
もることができる。例えばスカラー値dが１６０ビット
（ｋ＝１６０）であれば、このスカラー倍計算に必要な
計算量は１５２２Ｍとなる。楕円曲線としてワイエルシ
ュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤ
コビアン座標を中心とした混合座標系を用いたスカラー
倍計算方法を用いて、スカラー倍点をアフィン座標とし
て出力する場合に必要となる計算量はおおよそ１６４０
Ｍであり、これと比べて必要となる計算量は削減されて
いる。 【０３２２】第１５の実施例は、スカラー倍計算部１０
３がスカラー値d及びモンゴメリ型楕円曲線上の点Pか
ら、モンゴメリ型楕円曲線における射影座標の点として
完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算
し出力するものである。スカラー値d及びモンゴメリ型
楕円曲線上の点Pをスカラー倍計算装置１０３に入力す
ると高速スカラー倍計算部２０２がそれを受け取る。高
速スカラー倍計算部２０２は受け取ったスカラー値dと
与えられたモンゴメリ型楕円曲線上の点Pからモンゴメ
リ型楕円曲線において射影座標で表されたスカラー倍点
dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表さ
れたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z
_d+1)の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標
で表された入力されたモンゴメリ型楕円曲線上の点P＝
(x,y)と共にその情報を座標復元部２０３に与える。座
標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z
_d+1、x及びyよりモンゴメリ型楕円曲線において射影座
標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d
及びZ_dの復元を行なう。スカラー倍計算装置１０３は射
影座標において完全に座標が与えられたスカラー倍点(X
_d,Y_d,Z_d)を計算結果として出力する。 【０３２３】次に図３５により、座標x、y X_d、Z_d、X
_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座
標復元部の処理について説明する。 【０３２４】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入
力されたモンゴメリ型楕円曲線上の点Pをアフィン座標
で表した(x,y)を入力し、以下の手順で射影座標おいて
完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそ
れぞれ表す。入力されたスカラー値をdとしてモンゴメ
リ型楕円曲線におけるスカラー倍点dPのアフィン座標を
(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モ
ンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x
_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ
表す。 【０３２５】ステップ３５０１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ３５０２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ３５０３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ３５０４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ３５０５においてＴ₃×X_d+1が計算され
る。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されてお
り、したがってX_d+1(X_d-xZ_d)²が計算される。その結果
がレジスタＴ₃に格納される。ステップ３５０６におい
て2A×Z_dが計算され、レジスタＴ₁に格納される。ステ
ップ３５０７においてＴ₂+Ｔ₁が計算される。ここでレ
ジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ
格納されており、したがってxZ_d+X_d+2AZ_dが計算され
る。その結果がレジスタＴ₂に格納される。ステップ３
５０８においてx×X_dが計算され、レジスタＴ₄に格納さ
れる。ステップ３５０９においてＴ₄+Z_dが計算される。
ここでレジスタＴ₄にはxX_dが格納されており、したがっ
てxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納
される。ステップ３５１０においてＴ₂×Ｔ₄が計算され
る。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄
にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d
+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタ
Ｔ₂に格納される。ステップ３５１１においてＴ₁×Z_dが
計算される。ここでレジスタＴ₁には2AZ_dが格納されて
おり、したがって2AZ_d ²が計算される。その結果がレジ
スタＴ₁に格納される。ステップ３５１２においてＴ₂-
Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2A
Z_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ
格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2A
Z_d ²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ３５１３においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ
_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(x
X_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に
格納される。ステップ３５１４においてＴ₂-Ｔ₃が計算
される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX
_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞ
れ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d
+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果が
レジスタY_dに格納される。ステップ３５１５において2B
×yが計算され、レジスタＴ₁に格納される。ステップ３
５１６においてＴ₁×Z_dが計算される。ここでレジスタ
Ｔ₁には2Byが格納されており、したがって2ByZ_dが計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３５１７においてＴ₁×Z_d+1が計算される。ここでレ
ジスタＴ₁には2ByZ_dが格納されており、したがって2ByZ
_dZ_d+1が計算される。その結果がレジスタＴ₁に格納され
る。ステップ３５１８においてＴ₁×X_dが計算される。
ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、し
たがって2ByZ_dZ_d+1X_dが計算される。その結果がレジス
タX_dに格納される。ステップ３５１９においてＴ₁×Z_d
が計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納
されており、したがって2ByZ_dZ_d+1Z_dが計算される。そ
の結果がレジスタZ_dに格納される。X_dにはステップ３５
１８において2ByZ_dZ_d+1X_dが格納され、その後更新が行
なわれないので、その値が保持されている。Y_dにはステ
ップ３５１４においてZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ
_d ²)-X_d+1(X_d-xZ_d)²が格納され、その後更新が行なわれ
ないので、その値が保持されている。 【０３２６】上記手順により与えられたx、y、X_d、Z_d、
X_d+1、Z_d+1からスカラー倍点の射影座標(X_d,Y_d,Z_d)にお
ける値が全て復元される理由は以下の通りである。点(d
+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕
円曲線のアフィン座標における加算公式に代入すると、
次の数６を得る。点P及び点dPはモンゴメリ型楕円曲線
上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+x
をみたす。数６に代入し、By_d ²及びBy²を消去し、式を
整理すると、数６４を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1
＝X_d+1/Z_d+1であり、この値を代入することにより射影
座標の値へと変換すると、数６５を得る。ｘ_d＝X_d/Z_dで
あるが、逆元演算の回数を減らす目的でｙ_dの分母と通
分することにより、数６６となる。その結果として、 【０３２７】 【数６７】 【０３２８】とし、X_d及びZ_dをそれぞれ 【０３２９】 【数６８】 【０３３０】 【数６９】 【０３３１】により更新すればよい。ここで、X_d，Y_d，
Z_dは図３５の処理により与えられている。したがって、
射影座標(X_d,Y_d,Z_d)の値が全て復元されていることにな
る。 【０３３２】上記手順はステップ３５０１、ステップ３
５０５、ステップ３５０６、ステップ３５０８、ステッ
プ３５１０、ステップ３５１１、ステップ３５１３、ス
テップ３５１５、ステップ３５１６、ステップ３５１
７、ステップ３５１８及びステップ３５１９において有
限体上の乗算の計算量を必要とする。また、ステップ３
５０４において有限体上の２乗算の計算量を必要とす
る。有限体上の加算及び減算の計算量は、有限体上の乗
算の計算量、２乗算の計算量と比べて比較的小さいので
無視してもよい。有限体上の乗算の計算量をＭ、有限体
上の２乗算の計算量をＳとすると、上記手順は１２Ｍ＋
Ｓの計算量を必要とする。これは高速スカラー倍計算の
計算量と比べてはるかに小さい。例えばスカラー値dが
１６０ビットであれば、高速スカラー倍計算の計算量は
おおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと
仮定すると座標復元の計算量は１２．８Ｍであり、高速
スカラー倍計算の計算量と比べてはるかに小さい。した
がって効率的に座標を復元できていることが示された。 【０３３３】尚、上記手順をとらなくても、上記計算式
により与えられたX_d、Y_d、Z_dの値が計算できればX_d、
Y_d、Z_dの値が復元できる。また、x_d、y_dが上記計算式に
より与えられる値を取るようにX_d、Y_d、Z_dの値を選択
し、その値が計算できればX_d、Y_d、Z_dが復元できる。そ
れらの場合においては一般的に復元に必要となる計算量
が増大する。また、楕円曲線のパラメタであるA乃至はB
の値を小さくとることにより、ステップ３５０６乃至は
ステップ３５１５における乗算の計算量を削減すること
ができる。 【０３３４】次に、スカラー値d及びモンゴメリ型楕円
曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアル
ゴリズムについて説明する。 【０３３５】第１５実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第１実施例の高速
スカラー倍計算方法を用いる。これにより、スカラー値
d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，
X_d+1，Z_d+1を出力するアルゴリズムとして、高速である
アルゴリズムが達成される。尚、高速スカラー倍計算部
２０２において上記アルゴリズムを用いなくても、スカ
ラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０３３６】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓであ
り、これは高速スカラー倍計算部２０２の高速スカラー
倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｓ＝０．８Ｍと仮定すると、この計算量は
おおよそ（９．２ｋ＋８）Ｍと見積もることができる。
例えばスカラー値dが１６０ビット（ｋ＝１６０）であ
れば、このスカラー倍計算に必要な計算量は１４８０Ｍ
となる。楕円曲線としてワイエルシュトラス型楕円曲線
を使用し、ウィンドウ法を用いてヤコビアン座標を中心
とした混合座標系を用いたスカラー倍計算方法を用い
て、スカラー倍点をヤコビアン座標として出力する場合
に必要となる計算量はおおよそ１６００Ｍであり、これ
と比べて必要となる計算量は削減されている。 【０３３７】第１６の実施例は、スカラー倍計算装置１
０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pか
ら、モンゴメリ型楕円曲線におけるアフィン座標の点と
して完全な座標が与えられたスカラー倍点(x_d,y_d)を計
算し出力する。スカラー値d及びモンゴメリ型楕円曲線
上の点Pをスカラー倍計算装置１０３に入力すると高速
スカラー倍計算部２０２がそれを受け取る。高速スカラ
ー倍計算部２０２は受け取ったスカラー値dと与えられ
たモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1を計算し、アフィン座標で表された入力された
モンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を
座標復元部２０３に与える。座標復元部２０３は与えら
れた座標の値x_d、x_d+1、x及びyよりモンゴメリ型楕円曲
線においてアフィン座標で表されたスカラー倍点dP＝(x
_d,y_d)の座標y_dの復元を行なう。スカラー倍計算装置１
０３はアフィン座標において完全に座標が与えられたス
カラー倍点(x_d,y_d)を計算結果として出力する。 【０３３８】次に図３６により、座標x、y、x_d、x_d+1が
与えられた場合に、x_d、y_dを出力する座標復元部の処理
について説明する。 【０３３９】座標復元部２０３では、モンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、スカラー倍計算装置１０３に入力されたモン
ゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)
を入力し、以下の手順でアフィン座標において完全な座
標が与えられたスカラー倍点(x_d,y_d)を出力する。 【０３４０】ステップ３６０１においてx_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ３６０２にお
いてＴ₁+1が計算される。ここでレジスタＴ₁にはx_dxが
格納されており、したがってx_dx+1が計算される。その
結果がレジスタＴ₁に格納される。ステップ３６０３に
おいてx_d+xが計算され、レジスタＴ₂に格納される。ス
テップ３６０４においてＴ₂+2Aが計算される。ここでレ
ジスタＴ₂にはx_d+xが格納されており、したがってx_d+x+
2Aが計算される。その結果がレジスタＴ₂に格納され
る。ステップ３６０５においてＴ₁×Ｔ₂が計算される。
ここでレジスタＴ₁にはx_dx+1がレジスタＴ₂にはx_d+x+2A
がそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2
A)が計算される。その結果がレジスタＴ₁に格納され
る。ステップ３６０６においてＴ₁-2Aが計算される。こ
こでレジスタＴ₁には(x_dx+1)(x_d+x+2A)が格納されてお
り、したがって(x_dx+1)(x_d+x+2A)-2Aが計算される。そ
の結果がレジスタＴ₁に格納される。ステップ３６０７
においてx_d-xが計算され、レジスタＴ₂に格納される。
ステップ３６０８においてＴ₂の２乗が計算される。こ
こでレジスタＴ₂にはx_d-xが格納されており、したがっ
て(x_d−x)²が計算される。その結果がレジスタＴ₂に格
納される。ステップ３６０９においてＴ₂×x_d+1が計算
される。ここでレジスタＴ₂には(x_d−x)²が格納されて
おり、したがって(x_d−x)²x_d+1が計算される。その結果
がレジスタＴ₂に格納される。ステップ３６１０におい
てＴ₁-Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+
1)(x_d+x+2A)-2AがレジスタＴ₂には(x_d−x)²x_d+1がそれ
ぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)-2A-
(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ３６１１において2B×yが計算さ
れ、レジスタＴ₂に格納される。ステップ３６１２にお
いてＴ₂の逆元が計算される。ここでレジスタＴ₂には2B
yが格納されており、したがって1/2Byが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ３６１３
においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁に
は(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1がレジスタＴ₂に
は1/2Byがそれぞれ格納されており、したがって(x_dx+1)
(x_d+x+2A)-2A-(x_d−x)²x_d+1/2Byが計算される。その結
果がレジスタy_dに格納される。したがってレジスタy_dに
は(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1/2Byが格納されて
いる。レジスタx_dは全く更新されないので入力された値
が保持されている。 【０３４１】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。尚、点(d+1)Pは点
dPに点Pを加算した点である。モンゴメリ型楕円曲線の
アフィン座標における加算公式に代入すると、数６を得
る。点P及び点dPはモンゴメリ型楕円曲線上の点である
ので、By_d ²=x_d ³+Ax_d ² +x_d及びBy²=x³+Ax²+xをみたす。
数６に代入し、By_d ²及びBy²を消去し、式を整理する
と、数６４を得る。ここで、x_d，y_dは図３６の処理によ
り与えられる。したがって、アフィン座標(x_d,y_d)の値
は全て復元されたことになる。 【０３４２】上記手順はステップ３６０１、ステップ３
６０５、ステップ３６０９、ステップ３６１１及びステ
ップ３６１３において有限体上の乗算の計算量を必要と
する。また、ステップ３６０８において有限体上の２乗
算の計算量を必要とする。さらにステップ３６１２にお
いて有限体上の逆元演算の計算量を必要とする。有限体
上の減算の計算量は、有限体上の乗算の計算量、２乗算
の計算量、逆元演算の計算量と比べて比較的小さいので
無視してもよい。有限体上の乗算の計算量をＭ、有限体
上の２乗算の計算量をＳ、有限体上の逆元演算の計算量
をＩとすると、上記手順は５Ｍ＋Ｓ＋Ｉの計算量を必要
とする。これは高速スカラー倍計算の計算量と比べては
るかに小さい。例えばスカラー値dが１６０ビットであ
れば、高速スカラー倍計算の計算量はおおよそ１５００
Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮
定すると座標復元の計算量は４５．８Ｍであり、高速ス
カラー倍計算の計算量と比べてはるかに小さい。したが
って効率的に座標を復元できていることが示された。 【０３４３】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_dの値が復元できる。その場合
は一般的に復元に必要となる計算量が増大する。また、
楕円曲線のパラメタであるBの値を小さくとることによ
り、ステップ２６０５における乗算の計算量を削減する
ことができる。 【０３４４】次に図４３により、スカラー値d及びモン
ゴメリ型楕円曲線上の点Pから、x_d、x_d+1を出力する高
速スカラー倍計算部の処理について説明する。 【０３４５】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたモンゴメリ型楕円曲線
上の点Pを入力し、以下の手順によりモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ
型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1を出
力する。ステップ４３０１として、変数Ｉに初期値１を
代入する。ステップ４３０２として、点Pの２倍点２Pを
計算する。ここで点Pは射影座標において(ｘ,ｙ,1)とし
て表し、モンゴメリ型楕円曲線の射影座標における２倍
算の公式を用いて２倍点2Pを計算する。ステップ４３０
３として、スカラー倍計算装置１０３に入力された楕円
曲線上の点Pとステップ４３０２で求めた点2Pを、点の
組(P,2P)として格納する。ここで点P及び点2Pは射影座
標で表されている。ステップ４３０４として、変数Ｉと
スカラー値dのビット長とが一致するかどうかを判定
し、一致すればステップ４３１５へ行く。一致しなけれ
ばステップ４３０５へ行く。ステップ４３０５として、
変数Ｉを１増加させる。ステップ４３０６として、スカ
ラー値のＩ番目のビットの値が０であるか１であるかを
判定する。そのビットの値が０であればステップ４３０
６へ行く。そのビットの値が１であればステップ４３１
０へ行く。ステップ４３０７として、射影座標により表
された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+
(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステッ
プ４３０８へ行く。ここで、加算mP+(m+1)Pは、モンゴ
メリ型楕円曲線の射影座標における加算公式を用いて計
算される。ステップ４３０８として、射影座標により表
された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行
ない、点2mPを計算する。その後ステップ４３０９へ行
く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の
射影座標における２倍算の公式を用いて計算される。ス
テップ４３０９として、ステップ４３０８で求めた点2m
Pとステップ４３０７で求めた点(2m+１)Pを点の組(2mP,
(2m+１)P)として、点の組(mP, (m+１)P)の代わりに格
納する。その後ステップ４３０４へ戻る。ここで、点２
mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標に
おいて表されている。ステップ４３１０として、射影座
標により表された点の組(mP,(m+１)P)から点mPと点(m+
１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算す
る。その後ステップ４３１１へ行く。ここで、加算mP+
(m+１)Pは、モンゴメリ型楕円曲線の射影座標における
加算公式を用いて計算される。ステップ４３１１とし
て、射影座標により表された点の組(mP,(m+１)P)から点
(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算
する。その後ステップ４３１２へ行く。ここで、２倍算
2((m+１)P)は、モンゴメリ型楕円曲線の射影座標におけ
る２倍算の公式を用いて計算される。ステップ４３１１
として、ステップ４３１０で求めた点(2m+１)Pとステッ
プ４３１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)
P)として、点の組(mP,(m+1)P)の代わりに格納する。そ
の後ステップ４３０４へ戻る。ここで、点(2m+1)P、点
(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表
されている。ステップ６１５として、射影座標で表され
た点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dと
し、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よ
りX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここ
で、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標に
おける加算公式及び２倍算の公式ではY座標を求める事
ができないので、求まっていない。X_d，Z_d，X_d+1，Z_d+1
より、x_d=X_dZ_d+1/Z_dZ_d+1, x_d+1=Z_dX_d+1/Z_d Z_d+1としてx
_d，x_d+1を求める。その後ステップ４３１３へ行く。ス
テップ４３１３として、x_d，x_d+1を出力する。上記手順
により、ｍとスカラー値dはビット長が等しくさらにそ
のビットのパターンも同じとなる為、等しくなる。 【０３４６】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝1ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ４３０７において加算の計算量、ステップ
４３０８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ４３１０におい
て加算の計算量、ステップ４３１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ４３０４、ステップ４３０５、ス
テップ４３０６、ステップ４３０７、ステップ４３０
８、ステップ４３０９乃至はステップ４３０４、ステッ
プ４３０５、ステップ４３０６、ステップ４３１０、ス
テップ４３１１、ステップ４３１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ４３０２での２倍算の計算量及びアフィン座標へ
の変換の計算量を考慮に入れると、全体の計算量は（６
Ｍ＋４Ｓ）ｋ＋２Ｍ―２Ｓ＋Ｉとなる。ここでｋはスカ
ラー値dのビット長である。一般的には、計算量Ｓは、
Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度と見積も
られるので、全体の計算量はおおよそ（９．２ｋ＋４
０．４）Ｍとなる。例えばスカラー値dが１６０ビット
（ｋ＝１６０）であれば、上記手順のアルゴリズムの計
算量はおおよそ１５１２Ｍとなる。スカラー値dのビッ
トあたりの計算量としてはおよそ９．２Ｍとなる。A.Mi
yaji, T.Ono, H.Cohen, Efficient elliptic curve exp
onentiation using mixed coordinates, Advances in C
ryptology Proceedings of ASIACRYPT'98, LNCS 1514
(1998) pp.51-65 には、ワイエルシュトラス型楕円曲線
において、ウィンドウ法を用いてヤコビアン座標を中心
とした混合座標系を用いたスカラー倍計算方法は高速な
スカラー倍計算方法として記載されている。この場合に
おいては、スカラー値のビットあたりの計算量はおおよ
そ１０Ｍと見積もられ、これ以外にアフィン座標への変
換の計算量が必要となる。例えばスカラー値dが１６０
ビット（ｋ＝１６０）であれば、このスカラー倍計算方
法の計算量はおおよそ１６４０Ｍとなる。したがって、
上記手順のアルゴリズムの方が計算量が少なく高速とい
える。 【０３４７】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1を出
力するアルゴリズムであり且つ高速であれば、他のアル
ゴリズムを用いていもよい。 【０３４８】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は５Ｍ＋Ｓ＋Ｉで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋４０．４）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定す
ると、この計算量はおおよそ（９．２ｋ＋８６．２）Ｍ
と見積もることができる。例えばスカラー値dが１６０
ビット（ｋ＝１６０）であれば、このスカラー倍計算に
必要な計算量はおおよそ１５５８Ｍとなる。楕円曲線と
してワイエルシュトラス型楕円曲線を使用し、ウィンド
ウ法を用いてヤコビアン座標を中心とした混合座標系を
用いたスカラー倍計算方法を用いて、スカラー倍点をア
フィン座標として出力する場合に必要となる計算量はお
およそ１６４０Ｍであり、これと比べて必要となる計算
量は削減されている。 【０３４９】第１７の実施例は、楕円曲線としてワイエ
ルシュトラス型楕円曲線を用いたものである。すなわ
ち、スカラー倍計算装置１０３の入出力に用いる楕円曲
線はワイエルシュトラス型楕円曲線である。ただし、ス
カラー倍計算装置１０３の内部の計算で使用する楕円曲
線として、与えられたワイエルシュトラス型楕円曲線か
ら変換可能であるようなモンゴメリ型楕円曲線を用いて
もよい。スカラー倍計算装置１０３がスカラー値d及び
ワイエルシュトラス型楕円曲線上の点Pから、ワイエル
シュトラス型楕円曲線におけるアフィン座標の点として
完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し
出力するものである。スカラー値d及びワイエルシュト
ラス型楕円曲線上の点Pをスカラー倍計算装置１０３に
入力すると高速スカラー倍計算部２０２がそれを受け取
る。高速スカラー倍計算部２０２は受け取ったスカラー
値dと与えられたワイエルシュトラス型楕円曲線上の点P
からワイエルシュトラス型楕円曲線において射影座標で
表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及
びZ_d、射影座標で表されたワイエルシュトラス型楕円曲
線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及
びZ_d+1を計算し、アフィン座標で表された入力されたワ
イエルシュトラス型楕円曲線上の点P=(x,y)と共にその
情報を座標復元部２０３に与える。座標復元部２０３は
与えられた座標の値値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよ
りワイエルシュトラス型楕円曲線においてアフィン座標
で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_d
の復元を行なう。スカラー倍計算装置１０３はアフィン
座標において完全に座標が与えられたスカラー倍点(x_d,
y_d)を計算結果として出力する。 【０３５０】次に図３７により、座標x、y、X_d、Z_d、X
_d+1、Z_d+1が与えられた場合にx_d、y_dを出力する座標復
元部の処理について説明する。 【０３５１】座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線において射影座標で表されたスカラー倍点
dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表され
たワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,
Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算
装置１０３に入力されたワイエルシュトラス型楕円曲線
上の点Pをアフィン座標で表した(x,y)を入力し、以下の
手順でアフィン座標おいて完全な座標が与えられたスカ
ラー倍点(x_d,y_d)を出力する。ここで入力されたワイエ
ルシュトラス型楕円曲線上の点Pのアフィン座標を(x,y)
で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力さ
れたスカラー値をdとしてワイエルシュトラス型楕円曲
線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)
で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシ
ュトラス型楕円曲線上の点(d+1)Pのアフィン座標を(x
_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ
表す。 【０３５２】ステップ３７０１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ３７０２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ３７０３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ３７０４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ３７０５においてＴ₃×X_d+1が計算され
る。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されてお
り、したがってX_d+1(X_d-xZ_d)²が計算される。その結果
がレジスタＴ₃に格納される。ステップ３７０６におい
てx×X_dが計算され、レジスタＴ₁に格納される。ステッ
プ３７０７においてa×Z_dが計算され、レジスタＴ₄に格
納される。ステップ３７０８においてＴ₁+Ｔ₄が計算さ
れる。ここでレジスタＴ₁にはxX_dがレジスタＴ₄にはaZ_d
がそれぞれ格納されており、したがってxX_d+aZ_dが計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３７０９においてＴ₁×Ｔ₂が計算される。ここでレジ
スタＴ₁にはxX_d+aZ_dがレジスタＴ₂にはxZ_d+X_dがそれぞ
れ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)が計
算される。その結果がレジスタＴ₁に格納される。ステ
ップ３７１０においてレジスタZ_dの２乗が計算され、レ
ジスタＴ₂に格納される。ステップ３７１１においてＴ₂
×2bが計算される。ここでレジスタＴ₂にはZ_d ²が格納さ
れており、したがって2bZ_d ²が計算される。その結果が
レジスタＴ₂に格納される。ステップ３７１２において
Ｔ₁+Ｔ₂が計算される。ここでレジスタＴ₁には(xX_d+a
Z_d)(xZ_d+X_d)がレジスタＴ₂には2bZ_d ²がそれぞれ格納さ
れており、したがって(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３７１３においてＴ₁×Z_d+1が計算される。ここでレ
ジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が格納されてお
り、したがってZ_d+1((xX_d+aZ_d) (xZ_d+X_d)+2bZ_d ²)が計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３７１４においてＴ₁-Ｔ₃が計算される。ここでレジ
スタＴ₁にはZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)がレジスタ
Ｔ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、した
がってZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²
が計算される。その結果がレジスタＴ₁に格納される。
ステップ３７１５において2y×Z_dが計算され、レジスタ
Ｔ₂に格納される。ステップ３７１６においてＴ₂×Z_d+1
が計算される。ここでレジスタＴ₂には2yZ_dが格納され
ており、したがって2yZ_dZ_d+1が計算される。その結果が
レジスタＴ₂に格納される。ステップ３７１７において
Ｔ₂×Z_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1
が格納されており、したがって2yZ_dZ_d+1Z_dが計算され
る。その結果がレジスタＴ₃に格納される。ステップ３
７１８においてレジスタＴ₃の逆元が計算される。ここ
でレジスタＴ₃には2yZ_dZ_d+1Z_dが格納されており、した
がって1/2yZ_dZ_d+1Z_d が計算される。その結果がレジス
タＴ₃に格納される。ステップ３７１９においてＴ₁×Ｔ
₃が計算される。ここでレジスタＴ₁にはZ_d+1((xX_d+aZ_d)
(xZ_d+X_d)+2bZ_d ²) -X_d+1(X_d-xZ_d)²がレジスタＴ₃には1/2
yZ_dZ_d+1Z_dがそれぞれ格納されており、したがって(Z_d+1
((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²)/2yZ_dZ_d+1Z
_dが計算される。その結果がレジスタy_dに格納される。
ステップ３７２０においてＴ₂×X_dが計算される。ここ
でレジスタＴ₂には2yZ_dZ_d+1が格納されており、したが
って2yZ_dZ_d+1X_dが計算される。その結果がレジスタＴ₂
に格納される。ステップ３７２１においてＴ₂×Ｔ₃が計
算される。ここでレジスタＴ₂には2yZ_dZ_d+1X_dがレジス
タＴ₃には1/2yZ_dZ_d+1Z_dがそれぞれ格納されており、し
たがって2yZ_dZ_d+1 X_d/2yZ_dZ_d+1Z_dが計算される。その結
果がレジスタx_dに格納される。したがってレジスタx_dに
は2yZ_dZ_d+1X_d/2yZ_dZ_d+1Z_dが格納されている。レジスタy
_dにはステップ３７１９において(Z_d+1((xX_d+aZ_d)(xZ_d+X
_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²)/2yZ_dZ_d+1 Z_dが格納され、そ
の後更新が行なわれないので、その値が保持されてい
る。 【０３５３】上記手順により、与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線にお
けるスカラー倍点のアフィン座標(x_d,y_d)における値が
全て復元される理由は以下の通りである。点(d+1)Pは点
dPに点Pを加算した点である。ワイエルシュトラス型楕
円曲線のアフィン座標における加算公式に代入すると、
数２７を得る。点P及び点dPはワイエルシュトラス型楕
円曲線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+
bをみたす。数２７に代入し、y_d ²及びy²を消去し、式を
整理すると、 【０３５４】 【数７０】 【０３５５】を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1であり、この値を代入することにより射影座標の値
へと変換すると、次の式を得る。 【０３５６】 【数７１】 【０３５７】ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減
らす目的でｙ_dの分母と通分することにより、 【０３５８】 【数７２】 【０３５９】となる。ここで、ｘ_d，y_dは図３７で示し
た処理により与えられる。したがって、アフィン座標(x
_d,y_d)の値が全て復元されていることになる。 【０３６０】上記手順はステップ３７０１、ステップ３
７０５、ステップ３７０６、ステップ３７０７、ステッ
プ３７０９、ステップ３７１０、ステップ３７１１、ス
テップ３７１３、ステップ３７１５、ステップ３７１
６、ステップ３７１７、ステップ３７１９、ステップ３
７２０及びステップ３７２１において有限体上の乗算の
計算量を必要とする。また、ステップ３７０４において
有限体上の２乗算の計算量を必要とする。また、ステッ
プ３７１８において有限体上の逆元演算の計算量を必要
とする。有限体上の加算及び減算の計算量は、有限体上
の乗算の計算量、２乗算の計算量及び逆元演算の計算量
と比べて比較的小さいので無視してもよい。有限体上の
乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び
有限体上の逆元演算の計算量をＩとすると、上記手順は
１４Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカ
ラー倍計算の計算量と比べてはるかに小さい。例えばス
カラー値dが１６０ビットであれば、高速スカラー倍計
算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ
＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量
は５４．８Ｍであり、高速スカラー倍計算の計算量と比
べてはるかに小さい。したがって効率的に座標を復元で
きていることが示された。 【０３６１】尚、上記手順をとらなくても、上記計算式
により与えられたｘ_d，y_dの値が計算できればｘ_d，y_dの
値が復元できる。その場合においては一般的に復元に必
要となる計算量が増大する。 【０３６２】次に図４４により、スカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z
_d+1を出力する高速スカラー倍計算部の処理について説
明する。 【０３６３】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりワイエル
シュトラス型楕円曲線において射影座標で表されたスカ
ラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表
されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1を出力する。ステッ
プ４４１６として、与えられたワイエルシュトラス型楕
円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標に
より表された点に変換する。この点をあらためて点Pと
する。ステップ４４０１として、変数Ｉに初期値１を代
入する。ステップ４４０２として、点Pの２倍点２Pを計
算する。ここで点Pは射影座標において(ｘ,ｙ,1)として
表し、モンゴメリ型楕円曲線の射影座標における２倍算
の公式を用いて２倍点2Pを計算する。ステップ４４０３
として、スカラー倍計算装置１０３に入力された楕円曲
線上の点Pとステップ４４０２で求めた点2Pを、点の組
(P,2P)として格納する。ここで点P及び点2Pは射影座標
で表されている。ステップ４４０４として、変数Ｉとス
カラー値dのビット長とが一致するかどうかを判定し、
一致すればステップ４４１５へ行く。一致しなければス
テップ４４０５へ行く。ステップ４４０５として、変数
Ｉを１増加させる。ステップ４４０６として、スカラー
値のＩ番目のビットの値が０であるか１であるかを判定
する。そのビットの値が０であればステップ４４０６へ
行く。そのビットの値が１であればステップ４４１０へ
行く。ステップ４４０７として、射影座標により表され
た点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+
1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４
４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ
型楕円曲線の射影座標における加算公式を用いて計算さ
れる。ステップ４４０８として、射影座標により表され
た点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行な
い、点2mPを計算する。その後ステップ４４０９へ行
く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の
射影座標における２倍算の公式を用いて計算される。ス
テップ４４０９として、ステップ４４０８で求めた点2m
Pとステップ４４０７で求めた点(2m+１)Pを点の組(2mP,
(2m+１)P)として、点の組(mP, (m+１)P)の代わりに格
納する。その後ステップ４４０４へ戻る。ここで、点２
mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標に
おいて表されている。ステップ４４１０として、射影座
標により表された点の組(mP,(m+１)P)から点mPと点(m+
１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算す
る。その後ステップ４４１１へ行く。ここで、加算mP+
(m+１)Pは、モンゴメリ型楕円曲線の射影座標における
加算公式を用いて計算される。ステップ４４１１とし
て、射影座標により表された点の組(mP,(m+１)P)から点
(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算
する。その後ステップ４４１２へ行く。ここで、２倍算
2((m+１)P)は、モンゴメリ型楕円曲線の射影座標におけ
る２倍算の公式を用いて計算される。ステップ４４１１
として、ステップ４４１０で求めた点(2m+１)Pとステッ
プ４４１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)
P)として、点の組(mP,(m+1)P)の代わりに格納する。そ
の後ステップ４４０４へ戻る。ここで、点(2m+1)P、点
(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表
されている。ステップ４４１５として、モンゴメリ型楕
円曲線における点(m-1)Pを、ワイエルシュトラス型楕円
曲線上で射影座標により表された点に変換する。その点
のX座標及びZ座標をそれぞれあらためてX_m-1及びZ_m-1と
おく。また、モンゴメリ型楕円曲線において射影座標で
表された点の組(mP,(m+1)P)に対して、点mP及び点(m+1)
Pをワイエルシュトラス型楕円曲線上で射影座標で表さ
れた点に変換し、それぞれmP＝（X_m,Y_m,Z_m）及び(m+1)P
＝（X_m+1,Y_m+1,Z_m+1）とあらためて置き直す。ここで、
Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標におけ
る加算公式及び２倍算の公式ではY座標を求める事がで
きないので、求まっていない。ステップ４４１３とし
て、ワイエルシュトラス型楕円曲線上で射影座標で表さ
れた点mP＝（X_m,Y_m,Z_m）よりX_m及びZ_mをそれぞれX_d及び
Z_ｄとして、ワイエルシュトラス型楕円曲線上で射影座
標で表された点(m+1)P＝（X_m+1,Y_m+1,Z_m+1）よりX_m+1及
びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力する。また
上記手順により、ｍとスカラー値dはビット長が等しく
さらにそのビットのパターンも同じとなる為、等しくな
る。 【０３６４】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ４４０７において加算の計算量、ステップ
４４０８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ４４１０におい
て加算の計算量、ステップ４４１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ４４０４、ステップ４４０５、ス
テップ４４０６、ステップ４４０７、ステップ４４０
８、ステップ４４０９乃至はステップ４４０４、ステッ
プ４４０５、ステップ４４０６、ステップ４４１０、ス
テップ４４１１、ステップ４４１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ４４０２での２倍算の計算量とステップ４４１６
でのモンゴメリ型楕円曲線上の点への変換に必要な計算
量及びステップ４４１５でのワイエルシュトラス型楕円
曲線上の点への変換に必要な計算量を考慮に入れると、
全体の計算量は（６Ｍ＋４Ｓ）ｋ＋２Ｍ―２Ｓとなる。
ここでｋはスカラー値dのビット長である。一般的に
は、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるの
で、全体の計算量はおおよそ（９．２ｋ＋０．４）Ｍと
なる。例えばスカラー値dが１６０ビット（ｋ＝１６
０）であれば、上記手順のアルゴリズムの計算量はおお
よそ１４７２Ｍとなる。スカラー値dのビットあたりの
計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.On
o, H.Cohen, Efficient elliptic curve exponentiatio
n using mixed coordinates, Advances in Cryptology
Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.
51-65 には、ワイエルシュトラス型楕円曲線において、
ウィンドウ法を用いてヤコビアン座標を中心とした混合
座標系を用いたスカラー倍計算方法は高速なスカラー倍
計算方法として記載されている。この場合においては、
スカラー値のビットあたりの計算量はおおよそ１０Ｍと
見積もられる。例えばスカラー値dが１６０ビット（ｋ
＝１６０）であれば、このスカラー倍計算方法の計算量
はおおよそ１６００Ｍとなる。したがって、上記手順の
アルゴリズムの方が計算量が少なく高速といえる。 【０３６５】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、X_d、Z
_d、X_d+1、Z_d+1を出力するアルゴリズムであり且つ高速
であれば、他のアルゴリズムを用いていもよい。 【０３６６】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ＋０．４）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋５５．２）Ｍと
見積もることができる。例えばスカラー値dが１６０ビ
ット（ｋ＝１６０）であれば、このスカラー倍計算に必
要な計算量はおおよそ１５２７Ｍとなる。楕円曲線とし
てワイエルシュトラス型楕円曲線を使用し、ウィンドウ
法を用いてヤコビアン座標を中心とした混合座標系を用
いたスカラー倍計算方法を用いて、スカラー倍点をアフ
ィン座標として出力する場合に必要となる計算量はおお
よそ１６４０Ｍであり、これと比べて必要となる計算量
は削減されている。 【０３６７】第１８の実施例は楕円曲線としてワイエル
シュトラス型楕円曲線を用いたものである。すなわち、
スカラー倍計算装置１０３の入出力に用いる楕円曲線は
ワイエルシュトラス型楕円曲線である。ただし、スカラ
ー倍計算装置１０３の内部の計算で使用する楕円曲線と
して、与えられたワイエルシュトラス型楕円曲線から変
換可能であるようなモンゴメリ型楕円曲線を用いてもよ
い。スカラー倍計算部１０３がスカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、ワイエルシュト
ラス型楕円曲線における射影座標の点として完全な座標
が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力す
る。スカラー値d及びワイエルシュトラス型楕円曲線上
の点Pをスカラー倍計算装置１０３に入力すると高速ス
カラー倍計算部２０２がそれを受け取る。高速スカラー
倍計算部２０２は受け取ったスカラー値dと与えられた
ワイエルシュトラス型楕円曲線上の点Pからワイエルシ
ュトラス型楕円曲線において射影座標で表されたスカラ
ー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標
で表されたワイエルシュトラス型楕円曲線上の点(d+1)P
＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算
し、アフィン座標で表された入力されたワイエルシュト
ラス型楕円曲線上の点P＝(x,y)と共にその情報を座標復
元部２０３に与える。座標復元部２０３は与えられた座
標の値X_d、Z_d、X_d+1、Z_d+1、x及びyよりワイエルシュト
ラス型楕円曲線において射影座標で表されたスカラー倍
点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。
スカラー倍計算装置１０３は射影座標において完全に座
標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果とし
て出力する。 【０３６８】次に図３８により、座標x、y X_d、Z_d、X
_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座
標復元部の処理について説明する。 【０３６９】座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線において射影座標で表されたスカラー倍点
dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表さ
れたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍
計算装置１０３に入力されたワイエルシュトラス型楕円
曲線上の点Pをアフィン座標で表した(x,y)を入力し、以
下の手順で射影座標おいて完全な座標が与えられたスカ
ラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたワイ
エルシュトラス型楕円曲線上の点Pのアフィン座標を(x,
y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力され
たスカラー値をdとしてワイエルシュトラス型楕円曲線
におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、
射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシュト
ラス型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y
_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０３７０】ステップ３８０１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ３８０２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ３８０３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ３８０４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ３８０５においてＴ₃×X_d+1が計算され
る。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されてお
り、したがってX_d+1(X_d-xZ_d)²が計算される。その結果
がレジスタＴ₃に格納される。ステップ３８０６におい
てx×X_dが計算され、レジスタＴ₁に格納される。ステッ
プ３８０７においてa×Z_dが計算され、レジスタＴ₄に格
納される。ステップ３８０８においてＴ₁+Ｔ₄が計算さ
れる。ここでレジスタＴ₁にはxX_dがレジスタＴ₄にはaZ_d
がそれぞれ格納されており、したがってxX_d+aZ_dが計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３８０９においてＴ₁×Ｔ₂が計算される。ここでレジ
スタＴ₁にはxX_d+aZ_dがレジスタＴ₂にはxZ_d+X_dがそれぞ
れ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)が計
算される。その結果がレジスタＴ₁に格納される。ステ
ップ３８１０においてレジスタZ_dの２乗が計算され、レ
ジスタＴ₂に格納される。ステップ３８１１においてＴ₂
×2bが計算される。ここでレジスタＴ₂にはZ_d ²が格納さ
れており、したがって2bZ_d ²が計算される。その結果が
レジスタＴ₂に格納される。ステップ３８１２において
Ｔ₁+Ｔ₂が計算される。ここでレジスタＴ₁には(xX_d+a
Z_d)(xZ_d+X_d)がレジスタＴ₂には2bZ_d ²がそれぞれ格納さ
れており、したがって(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３８１３においてＴ₁×Z_d+1が計算される。ここでレ
ジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が格納されてお
り、したがってZ_d+1((xX_d+aZ_d) (xZ_d+X_d)+2bZ_d ²)が計算
される。その結果がレジスタＴ₁に格納される。ステッ
プ３８１４においてＴ₁-Ｔ₃が計算される。ここでレジ
スタＴ₁にはZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)がレジスタ
Ｔ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、した
がってZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²
が計算される。その結果がレジスタY_dに格納される。ス
テップ３８１５において2y×Z_dが計算され、レジスタＴ
₂に格納される。ステップ３８１６においてＴ₂×Z_d+1が
計算される。ここでレジスタＴ₂には2yZ_dが格納されて
おり、したがって2yZ_dZ_d+1が計算される。その結果がレ
ジスタＴ₂に格納される。ステップ３８１７においてＴ₂
×X_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1が
格納されており、したがって2yZ_dZ_d+1X_dが計算される。
その結果がレジスタX_dに格納される。ステップ３８１９
においてＴ₂×Z_dが計算される。ここでレジスタＴ₂には
2yZ_dZ_d+1が格納されており、したがって2yZ_dZ_d+1Z_dが計
算される。その結果がレジスタZ_dに格納される。したが
ってレジスタZ_dには2yZ_dZ_d+1Z_dが格納されている。レジ
スタY_dにはステップ３８１４においてZ_d+1((xX_d+aZ_d)(x
Z_d+X_d) +2bZ_d ²)+X_d+1(X_d-xZ_d)²が格納され、その後更
新が行なわれないので、その値が保持されている。レジ
スタX_dにはステップ３８１７において2yZ_dZ_d+1X_dが格納
され、その後更新が行なわれないので、その値が保持さ
れている。 【０３７１】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線にお
けるスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全
て復元される理由は以下の通りである。点(d+1)Pは点dP
に点Pを加算した点である。ワイエルシュトラス型楕円
曲線のアフィン座標における加算公式に代入すると、数
２７を得る。点P及び点dPはワイエルシュトラス型楕円
曲線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+b
をみたす。数２７に代入し、y_d ²及びy²を消去し、式を
整理すると、数７０を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1
＝X_d+1/Z_d+1であり、この値を代入することにより射影
座標の値へと変換すると、数７１を得る。ｘ_d＝X_d/Z_dで
あるが、逆元演算の回数を減らす目的でｙ_dの分母と通
分することにより、数７２となる。その結果として 【０３７２】 【数７３】 【０３７３】とし、X_d及びZ_dをそれぞれ 【０３７４】 【数７４】 【０３７５】 【数７５】 【０３７６】により更新すればよい。ここで、X_d，Y_d，
Z_dは図３８で示した処理により与えられる。したがっ
て、射影座標(X_d,Y_d,Z_d)の値は全て復元されたことにな
る。 【０３７７】上記手順はステップ３８０１、ステップ３
８０５、ステップ３８０６、ステップ３８０７、ステッ
プ３８０９、ステップ３８１１、ステップ３８１３、ス
テップ３８１５、ステップ３８１６、ステップ３８１７
及びステップ３８１８において有限体上の乗算の計算量
を必要とする。また、ステップ３８０４およびステップ
３８１０において有限体上の２乗算の計算量を必要とす
る。有限体上の加算及び減算の計算量は、有限体上の乗
算の計算量、２乗算の計算量と比べて比較的小さいので
無視してもよい。有限体上の乗算の計算量をＭ、有限体
上の２乗算の計算量をＳとすると、上記手順は１１Ｍ＋
２Ｓの計算量を必要とする。これは高速スカラー倍計算
の計算量と比べてはるかに小さい。例えばスカラー値d
が１６０ビットであれば、高速スカラー倍計算の計算量
はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ
と仮定すると座標復元の計算量は１２．６Ｍであり、高
速スカラー倍計算の計算量と比べてはるかに小さい。し
たがって効率的に座標を復元できていることが示され
た。 【０３７８】尚、上記手順をとらなくても、上記計算式
により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_d
の値が復元できる。また、x_d,y_dが上記計算式により与
えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値
が計算できればX_d,Y_d,Z_dが復元できる。それらの場合に
おいては一般的に復元に必要となる計算量が増大する。 【０３７９】次に、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力
するアルゴリズムについて説明する。 【０３８０】第１８実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第１７実施例の高
速スカラー倍計算方法を用いる。これにより、スカラー
値d及びワイエルシュトラス型楕円曲線上の点Pから、
X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高
速であるアルゴリズムが達成される。尚、高速スカラー
倍計算部２０２において上記手順のアルゴリズムを用い
なくても、スカラー値d及びワイエルシュトラス型楕円
曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアル
ゴリズムであり且つ高速であれば、他のアルゴリズムを
用いていもよい。 【０３８１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１１Ｍ＋２Ｓで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋０．４）Ｍとに
比べてはるかに小さい。したがって、スカラー倍計算装
置１０３のスカラー倍計算に必要な計算量は、高速スカ
ラー倍計算部の高速スカラー倍計算に必要な計算量とほ
ぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量
はおおよそ（９．２ｋ＋１３）Ｍと見積もることができ
る。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）
であれば、このスカラー倍計算に必要な計算量はおおよ
そ１４８５Ｍとなる。楕円曲線としてワイエルシュトラ
ス型楕円曲線を使用し、ウィンドウ法を用いてヤコビア
ン座標を中心とした混合座標系を用いたスカラー倍計算
方法を用いて、スカラー倍点をヤコビアン座標として出
力する場合に必要となる計算量はおおよそ１６００Ｍで
あり、これと比べて必要となる計算量は削減されてい
る。 【０３８２】第１９の実施例は楕円曲線としてワイエル
シュトラス型楕円曲線を用いたものである。すなわち、
スカラー倍計算装置１０３の入出力に用いる楕円曲線は
ワイエルシュトラス型楕円曲線である。ただし、スカラ
ー倍計算装置１０３の内部の計算で使用する楕円曲線と
して、与えられたワイエルシュトラス型楕円曲線から変
換可能であるようなモンゴメリ型楕円曲線を用いてもよ
い。スカラー倍計算装置１０３がスカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、ワイエルシュ
トラス型楕円曲線におけるアフィン座標の点として完全
な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力
する。スカラー値d及びワイエルシュトラス型楕円曲線
上の点Pをスカラー倍計算装置１０３に入力すると高速
スカラー倍計算部２０２がそれを受け取る。高速スカラ
ー倍計算部２０２は受け取ったスカラー値dと与えられ
たワイエルシュトラス型楕円曲線上の点Pからワイエル
シュトラス型楕円曲線においてアフィン座標で表された
スカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座
標で表されたワイエルシュトラス型楕円曲線上の点(d+
1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表
されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x
_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で
表された入力されたワイエルシュトラス型楕円曲線上の
点P＝(x,y)と共にその情報を座標復元部２０３に与え
る。座標復元部２０３は与えられた座標の値x_d、x_d+1、x
_d-1、x及びyよりワイエルシュトラス型楕円曲線におい
てアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の
座標y_dの復元を行なう。スカラー倍計算装置１０３はア
フィン座標において完全に座標が与えられたスカラー倍
点(x_d,y_d)を計算結果として出力する。 【０３８３】次に図３９により、座標x、y、x_d、x_d+1が
与えられた場合に、x_d、y_dを出力する座標復元部の処理
について説明する。 【０３８４】座標復元部２０３では、ワイエルシュトラ
ス型楕円曲線においてアフィン座標で表されたスカラー
倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表さ
れたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x
_d+1,y_d+1)の座標のうちx_d+1、スカラー倍計算装置１０
３に入力されたワイエルシュトラス型楕円曲線上の点P
をアフィン座標で表した(x,y)を入力し、以下の手順で
アフィン座標において完全な座標が与えられたスカラー
倍点(x_d,y_d)を出力する。 【０３８５】ステップ３９０１においてx_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ３９０２にお
いてＴ₁+aが計算される。ここでレジスタＴ₁にはx_dxが
格納されており、したがってx_dx+aが計算される。その
結果がレジスタＴ₁に格納される。ステップ３９０３に
おいてx_d+xが計算され、レジスタＴ₂に格納される。ス
テップ３９０４においてＴ₁×Ｔ₂が計算される。ここで
レジスタＴ₁にはx_dx+aがレジスタＴ₂にはx_d+xがそれぞ
れ格納されており、したがって(x_dx+a)(x_d+x)が計算さ
れる。その結果がレジスタＴ₁に格納される。ステップ
３９０５においてＴ₁+2bが計算される。ここでレジスタ
Ｔ₁には(x_dx+a)(x_d+x)が格納されており、したがって(x
_dx+a)(x_d+x)+2bが計算される。その結果がレジスタＴ₁
に格納される。ステップ３９０６においてx_d-xが計算さ
れ、レジスタＴ₂に格納される。ステップ３９０７にお
いてＴ₂の２乗が計算される。ここでレジスタＴ₂にはx_d
-xが格納されており、したがって(x_d−x)²が計算され
る。その結果がレジスタＴ₂に格納される。ステップ３
９０８においてＴ₂×x_2d+1が計算される。ここでレジス
タＴ₂には(x_d−x)²が格納されており、したがってx
_d+1(x_d−x)²が計算される。その結果がレジスタＴ₂に格
納される。ステップ３９０９においてＴ₁-Ｔ₂が計算さ
れる。ここでレジスタＴ₁には(x_dx+a)(x_d+x)+2bがレジ
スタＴ₂にはx_d+1(x_d−x)²がそれぞれ格納されており、
したがって(x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²が計算され
る。その結果がレジスタＴ₁に格納される。ステップ３
９１０において2yの逆元が計算され、レジスタＴ₂に格
納される。ステップ３９１１においてＴ₁×Ｔ₂が計算さ
れる。ここでレジスタＴ₁には(x_dx+a)(x_d+x)+2b-x_d+1(x
_d−x)²がレジスタＴ₂には1/2yがそれぞれ格納されてお
り、したがって((x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²)/2yが
計算される。その結果がレジスタy_dに格納される。した
がってレジスタy_dには((x_dx+a)(x_d+x)+2b-x_d+1(x_d−
x)²)/2yが格納されている。レジスタx_dは全く更新され
ないので入力された値が保持されている。 【０３８６】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。点(d+1)Pは点dPに
点Pを加算した点である。ワイエルシュトラス型楕円曲
線のアフィン座標における加算公式に代入すると、数２
７を得る。点P及び点dPはワイエルシュトラス型楕円曲
線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+bを
みたす。数２７に代入し、y_d ²及びy²を消去し、式を整
理すると、数７０を得る。ここでx_d,y_dは図３９の処理
によって与えられる。したがって、アフィン座標(x_d,
y_d)の値を全て復元していることになる。 【０３８７】上記手順はステップ３９０１、ステップ３
９０４、ステップ３９０８及びステップ３９１１におい
て有限体上の乗算の計算量を必要とする。また、ステッ
プ３９０７において有限体上の２乗算の計算量を必要と
する。さらにステップ３９１０において有限体上の逆元
演算の計算量を必要とする。有限体上の加算及び減算の
計算量は、有限体上の乗算の計算量、２乗算の計算量、
逆元演算の計算量と比べて比較的小さいので無視しても
よい。有限体上の乗算の計算量をＭ、有限体上の２乗算
の計算量をＳ、有限体上の逆元演算の計算量をＩとする
と、上記手順は４Ｍ＋Ｓ＋Ｉの計算量を必要とする。こ
れは高速スカラー倍計算の計算量と比べてはるかに小さ
い。例えばスカラー値dが１６０ビットであれば、高速
スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積
もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座
標復元の計算量は４４．８Ｍであり、高速スカラー倍計
算の計算量と比べてはるかに小さい。したがって効率的
に座標を復元できていることが示された。 【０３８８】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_dの値が復元できる。その場合
は一般的に復元に必要となる計算量が増大する。 【０３８９】次に図４４により、スカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、x_d、x_d+1を出
力するアルゴリズムについて説明する。 【０３９０】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりワイエル
シュトラス型楕円曲線においてアフィン座標で表された
スカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表
されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x
_d+1,y_d+1)のうちx_d+1を出力する。ステップ４４１６と
して、与えられたワイエルシュトラス型楕円曲線上の点
Pをモンゴメリ型楕円曲線上で射影座標により表された
点に変換する。この点をあらためて点Pとする。ステッ
プ４４０１として、変数Ｉに初期値１を代入する。ステ
ップ４４０２として、点Pの２倍点２Pを計算する。ここ
で点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴ
メリ型楕円曲線の射影座標における２倍算の公式を用い
て２倍点2Pを計算する。ステップ４４０３として、スカ
ラー倍計算装置１０３に入力された楕円曲線上の点Pと
ステップ４４０２で求めた点2Pを、点の組(P,2P)として
格納する。ここで点P及び点2Pは射影座標で表されてい
る。ステップ４４０４として、変数Ｉとスカラー値dの
ビット長とが一致するかどうかを判定し、一致すればス
テップ４４１５へ行く。一致しなければステップ４４０
５へ行く。ステップ４４０５として、変数Ｉを１増加さ
せる。ステップ４４０６として、スカラー値のＩ番目の
ビットの値が０であるか１であるかを判定する。そのビ
ットの値が０であればステップ４４０６へ行く。そのビ
ットの値が１であればステップ４４１０へ行く。ステッ
プ４４０７として、射影座標により表された点の組(mP,
(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、
点(2m+1)Pを計算する。その後ステップ４４０８へ行
く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線
の射影座標における加算公式を用いて計算される。ステ
ップ４４０８として、射影座標により表された点の組(m
P,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計
算する。その後ステップ４４０９へ行く。ここで、２倍
算2(mP)は、モンゴメリ型楕円曲線の射影座標における
２倍算の公式を用いて計算される。ステップ４４０９と
して、ステップ４４０８で求めた点2mPとステップ４４
０７で求めた点(2m+１)Pを点の組(2mP,(2m+１)P)とし
て、点の組(mP, (m+１)P)の代わりに格納する。その後
ステップ４４０４へ戻る。ここで、点２mP、点(２m+１)
P、点mP及び点(m+１)Pは全て射影座標において表されて
いる。ステップ４４１０として、射影座標により表され
た点の組(mP, (m+１)P)から点mPと点(m+１)Pの加算mP+
(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステ
ップ４４１１へ行く。ここで、加算mP+(m+１)Pは、モン
ゴメリ型楕円曲線の射影座標における加算公式を用いて
計算される。ステップ４４１１として、射影座標により
表された点の組(mP, (m+１)P)から点(m+１)Pの２倍算2
((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステ
ップ４４１２へ行く。ここで、２倍算2((m+１)P)は、モ
ンゴメリ型楕円曲線の射影座標における２倍算の公式を
用いて計算される。ステップ４４１１として、ステップ
４４１０で求めた点(2m+１)Pとステップ４４１１で求め
た点(2m+2)Pを点の組((2m+1)P, (2m+2)P)として、点の
組(mP, (m+1)P)の代わりに格納する。その後ステップ４
４０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及
び点(m+1)Pは全て射影座標において表されている。ステ
ップ４４１５として、モンゴメリ型楕円曲線において射
影座標で表された点の組(mP,(m+1)P)に対して、点mP及
び点(m+1)Pをワイエルシュトラス型楕円曲線上でアフィ
ン座標で表された点に変換し、それぞれmP＝（x_m,y_m）
及び(m+1)P＝（x_m+1,y_m+1）とあらためて置き直す。こ
こで、y_m及びy_m+1は、モンゴメリ型楕円曲線の射影座標
における加算公式及び２倍算の公式ではY座標を求める
事ができないので、求まっていない。その後ステップ４
４１３へ行く。ステップ４４１３として、ワイエルシュ
トラス型楕円曲線上で射影座標で表された点mP＝（x_m,y
_m）よりx_mをx_dとして、ワイエルシュトラス型楕円曲線
上でアフィン座標で表された点(m+1)P＝（x_m+1,y_m+1）
よりx_m+1をx_d+1として、出力する。また上記手順によ
り、ｍとスカラー値dはビット長が等しくさらにそのビ
ットのパターンも同じとなる為、等しくなる。 【０３９１】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２
Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有
限体上の２乗算の計算量である。モンゴメリ型楕円曲線
の射影座標における２倍算の公式の計算量は、３Ｍ＋２
Ｓである。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ４４０７において加算の計算量、ステップ
４４０８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ４４１０におい
て加算の計算量、ステップ４４１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ４４０４、ステップ４４０５、ス
テップ４４０６、ステップ４４０７、ステップ４４０
８、ステップ４４０９乃至はステップ４４０４、ステッ
プ４４０５、ステップ４４０６、ステップ４４１０、ス
テップ４４１１、ステップ４４１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ４４０２での２倍算の計算量とステップ４４１６
でのモンゴメリ型楕円曲線上への点への変換に必要な計
算量及びステップ４４１５でのワイエルシュトラス型楕
円曲線上の点への必要な計算量を考慮に入れると、全体
の計算量は（６Ｍ＋４Ｓ）ｋ＋４Ｍ―２Ｓ＋Ｉとなる。
ここでｋはスカラー値dのビット長である。一般的に
は、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量Ｉは、Ｉ＝
４０Ｍ程度と見積もられるので、全体の計算量はおおよ
そ（９．２ｋ＋４２．４）Ｍとなる。例えばスカラー値
dが１６０ビット（ｋ＝１６０）であれば、上記手順の
アルゴリズムの計算量はおおよそ１５１４Ｍとなる。ス
カラー値dのビットあたりの計算量としてはおよそ９．
２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient el
liptic curve exponentiation using mixed coordinate
s, Advances in Cryptology Proceedings of ASIACRYP
T'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュ
トラス型楕円曲線において、ウィンドウ法を用いてヤコ
ビアン座標を中心とした混合座標系を用いたスカラー倍
計算方法は高速なスカラー倍計算方法として記載されて
いる。この場合においては、スカラー値のビットあたり
の計算量はおおよそ１０Ｍと見積もられる。例えばスカ
ラー値dが１６０ビット（ｋ＝１６０）であれば、この
スカラー倍計算方法の計算量はおおよそ１６４０Ｍとな
る。したがって、上記手順のアルゴリズムの方が計算量
が少なく高速といえる。 【０３９２】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、x_d, x
_d+1,x_d=1を出力するアルゴリズムであり且つ高速であれ
ば、他のアルゴリズムを用いていもよい。 【０３９３】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は４Ｍ＋Ｓ＋Ｉで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋４２．４）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋８７．２）Ｍと
見積もることができる。例えばスカラー値dが１６０ビ
ット（ｋ＝１６０）であれば、このスカラー倍計算に必
要な計算量は１５５９Ｍとなる。楕円曲線としてワイエ
ルシュトラス型楕円曲線を使用し、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法を用いて、スカラー倍点をアフィン座標
として出力する場合に必要となる計算量はおおよそ１６
４０Ｍであり、これと比べて必要となる計算量は削減さ
れている。 【０３９４】第２０の実施例は、入出力用の楕円曲線と
してワイエルシュトラス型楕円曲線を、内部の計算用に
は与えられたワイエルシュトラス型楕円曲線から変換可
能であるモンゴメリ型楕円曲線を用いたものである。ス
カラー倍計算装置１０３がスカラー値d及びワイエルシ
ュトラス型楕円曲線上の点Ｐから、ワイエルシュトラス
型楕円曲線におけるアフィン座標の点として完全な座標
が与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力す
るものである。スカラー値d及びワイエルシュトラス型
楕円曲線上の点Pをスカラー倍計算装置１０３に入力す
ると高速スカラー倍計算部２０２がそれを受け取る。高
速スカラー倍計算部２０２は受け取ったスカラー値ｄと
与えられたワイエルシュトラス型楕円曲線上の点Ｐから
モンゴメリ型楕円曲線において射影座標で表されたスカ
ラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座
標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X
_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算す
る。また、入力されたワイエルシュトラス型楕円曲線上
の点Pを、与えられたワイエルシュトラス型楕円曲線か
ら変換可能であるモンゴメリ型楕円曲線上の点に変換
し、その点を新たにP＝(x,y)とおく。高速スカラー倍計
算部２０２は、X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙを座標復
元部２０３に与える。座標復元部２０３は与えられた座
標の値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりワイエルシュ
トラス型楕円曲線においてアフィン座標で表されたスカ
ラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行な
う。スカラー倍計算装置１０３はアフィン座標において
完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結
果として出力する。 【０３９５】次に図４０により、座標x,y,X_d,Z_d,X_d+1,Z
_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処
理について説明する。 【０３９６】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP＝(X_d,
Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴ
メリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標
のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力
されたモンゴメリ型楕円曲線上の点Pをアフィン座標で
表した(x,y)を入力し、以下の手順でアフィン座標おい
て完全な座標が与えられたスカラー倍点(x_d,y_d)を出力
する。ここで入力されたモンゴメリ型楕円曲線上の点P
のアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)で
それぞれ表す。入力されたスカラー値をdとしてモンゴ
メリ型楕円曲線におけるスカラー倍点dPのアフィン座標
を(x_d ^Mon,y_d ^Mon)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ
表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座
標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそ
れぞれ表す。 【０３９７】ステップ４００１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ４００２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ４００３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ４００４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ４００５においてＴ₃×X_d+1が計算され
る。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されてお
り、したがってX_d+1(X_d-xZ_d)²が計算される。その結果
がレジスタＴ₃に格納される。ステップ４００６におい
て2A×Z_dが計算され、レジスタＴ₁に格納される。ステ
ップ４００７においてＴ₂+Ｔ₁が計算される。ここでレ
ジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ
格納されており、したがってxZ_d+X_d+2AZ_dが計算され
る。その結果がレジスタＴ₂に格納される。ステップ４
００８においてx×X_dが計算され、レジスタＴ₄に格納さ
れる。ステップ４００９においてＴ₄+Z_dが計算される。
ここでレジスタＴ₄にはxX_dが格納されており、したがっ
てxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納
される。ステップ４０１０においてＴ₂×Ｔ₄が計算され
る。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄
にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d
+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタ
Ｔ₂に格納される。ステップ４０１１においてＴ₁×Z_dが
計算される。ここでレジスタＴ₁には2AZ_dが格納されて
おり、したがって2AZ_d ²が計算される。その結果がレジ
スタＴ₁に格納される。ステップ４０１２においてＴ₂-
Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2A
Z_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ
格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2A
Z_d ²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ４０１３においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ
_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(x
X_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に
格納される。ステップ４０１４においてＴ₂-Ｔ₃が計算
される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX
_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞ
れ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX
_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果が
レジスタＴ₂に格納される。ステップ４０１５において2
B×yが計算され、レジスタＴ₁に格納される。ステップ
４０１６においてＴ₁×Z_dが計算される。ここでレジス
タＴ₁には2Byが格納されており、したがって2ByZ_dが計
算される。その結果がレジスタＴ₁に格納される。ステ
ップ４０１７においてＴ₁×Z_d+1が計算される。ここで
レジスタＴ₁には2ByZ_dが格納されており、したがって2B
yZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納さ
れる。ステップ４０１８においてＴ₁×Z_dが計算され
る。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されてお
り、したがって2ByZ_dZ_d+1Z_dが計算される。その結果が
レジスタＴ₃に格納される。ステップ４０１９において
Ｔ₃×sが計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1
Z_dが格納されており、したがって2ByZ_dZ_d+1Z_dsが計算さ
れる。その結果がレジスタＴ₃に格納される。ステップ
４０２０においてレジスタＴ₃の逆元が計算される。こ
こでレジスタＴ₃には2ByZ_dZ_d+1Z_dsが格納されており、
したがって1/2ByZ_dZ_d+1 Z_dsが計算される。その結果が
レジスタＴ₃に格納される。ステップ４０２１において
Ｔ₂×Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((x
Z_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²がレジス
タＴ₃には1/2ByZ_dZ_d+1Z_dsがそれぞれ格納されており、
したがって{Z_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X
_d+1(X_d-xZ_d)²} /2ByZ_dZ_d+1Z_dsが計算される。その結果
がレジスタy_dに格納される。ステップ４０２２において
Ｔ₁×X_dが計算される。ここでレジスタＴ₁には2ByZ_dZ
_d+1が格納されており、したがって2ByZ_dZ_d+1X_dが計算さ
れる。その結果がレジスタＴ₁に格納される。ステップ
４０２３においてＴ₁×Ｔ₃が計算される。ここでレジス
タＴ₁には2ByZ_dZ_d+1X_dがレジスタＴ₃には1/2ByZ_dZ_d+1Z_d
sがそれぞれ格納されており、したがって2ByZ_dZ_d+1X_d/2
ByZ_dZ_d+1Z_ds(＝X_d/Z_ds)が計算される。その結果がＴ₁に
格納される。ステップ４０２４においてＴ₁+αが計算さ
れる。ここでレジスタＴ₁にはX_d/Z_dsが格納されてお
り、したがって(X_d/Z_ds)+αが計算される。その結果がx
_dに格納される。したがってレジスタx_dには(X_d/Z_ds)+α
の値が格納されている。y_dにはステップ４０２１におい
て{Z_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)
²}/2ByZ_dZ_d+1Z_dsが格納され、その後更新が行なわれな
いので、その値が保持されている。その結果として、ワ
イエルシュトラス型楕円曲線におけるアフィン座標
(ｘ_d,ｙ_d)の値が全て復元されている。 【０３９８】上記手順により与えられたｘ、ｙ、X_d、
Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線にお
けるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値
が全て復元される理由は以下の通りである。点(d+1)Pは
点dPに点Pを加算した点である。モンゴメリ型楕円曲線
のアフィン座標における加算公式に代入すると、数３８
を得る。点P及び点dPはモンゴメリ型楕円曲線上の点で
あるので、By_d ^{Mon 2}=x_d ^{Mon 3}+Ax_d ^{Mon 2}+x_d ^Mon及びBy²=x
³+Ax²+xをみたす。 数３８に代入し、By_d ^{Mon 2}及びBy²
を消去し、式を整理すると、 【０３９９】 【数７６】 【０４００】を得る。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X
_d+1/Z_d+1であり、この値を代入することにより射影座標
の値へと変換すると、次の式を得る。 【０４０１】 【数７７】 【０４０２】ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数
を減らす目的でｙ_d ^Monの分母と通分することにより、 【０４０３】 【数７８】 【０４０４】となる。モンゴメリ型楕円曲線上の点とワ
イエルシュトラス型楕円曲線上の点との対応関係につい
ては、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic C
urveswith the Montgomery-Form and Their Cryptograp
hic Applications, Public Key Cryptography, LNCS 17
51 (2000) pp.238-257 に記載されている。それによる
と、変換パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s
^-1x_d ^Mon+αの関係がある。結果として数７９、数８０を
得る。 【０４０５】 【数７９】 【０４０６】 【数８０】 【０４０７】ここで、x_d,y_dは図４０より与えられる。
したがって、ワイエルシュトラス型楕円曲線におけるア
フィン座標(x_d,y_d)の値が全て復元されていることにな
る。 【０４０８】上記手順はステップ４００１、ステップ４
００５、ステップ４００６、ステップ４００８、ステッ
プ４０１０、ステップ４０１１、ステップ４０１３、ス
テップ４０１５、ステップ４０１６、ステップ４０１
７、ステップ４０１８、ステップ４０１９、ステップ４
０２１、ステップ４０２２及びステップ４０２３におい
て有限体上の乗算の計算量を必要とする。また、ステッ
プ４００４において有限体上の２乗算の計算量を必要と
する。また、ステップ４０２０において有限体上の逆元
演算の計算量を必要とする。有限体上の加算及び減算の
計算量は、有限体上の乗算の計算量、２乗算の計算量及
び逆元演算の計算量と比べて比較的小さいので無視して
もよい。有限体上の乗算の計算量をＭ、有限体上の２乗
算の計算量をＳ及び有限体上の逆元演算の計算量をＩと
すると、上記手順は１５Ｍ＋Ｓ＋Ｉの計算量を必要とす
る。これは高速スカラー倍計算の計算量と比べてはるか
に小さい。例えばスカラー値dが１６０ビットであれ
ば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ
弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定す
ると座標復元の計算量は５５．８Ｍであり、高速スカラ
ー倍計算の計算量と比べてはるかに小さい。したがって
効率的に座標を復元できていることが示された。 【０４０９】尚、上記手順をとらなくても、上記計算式
により与えられたx_d，y_dの値が計算できればx_d，y_dの値
が復元できる。その場合においては一般的に復元に必要
となる計算量が増大する。また、モンゴメリ型楕円曲線
のパラメタであるA乃至はBの値やモンゴメリ型楕円曲線
への変換パラメタであるｓを小さくとることにより、ス
テップ４００６乃至はステップ４０１５における乗算の
計算量やステップ４０１９における乗算の計算量を削減
することができる。 【０４１０】次に図８により、スカラー値d及びワイエ
ルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z
_d+1を出力する高速スカラー倍計算部の処理について説
明する。 【０４１１】第２０実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第９実施例の高速
スカラー倍計算方法を用いる。これにより、スカラー値
d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速で
あるアルゴリズムが達成される。尚、高速スカラー倍計
算部２０２において上記アルゴリズムを用いなくても、
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
から、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであ
り且つ高速であれば、他のアルゴリズムを用いていもよ
い。 【０４１２】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１５Ｍ＋Ｓ＋Ｉ
であり、これは高速スカラー倍計算部２０２の高速スカ
ラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋５２．２）Ｍと
見積もることができる。例えばスカラー値dが１６０ビ
ット（ｋ＝１６０）であれば、このスカラー倍計算に必
要な計算量は１５２４Ｍとなる。楕円曲線としてワイエ
ルシュトラス型楕円曲線を使用し、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法を用いて、スカラー倍点をアフィン座標
として出力する場合に必要となる計算量はおおよそ１６
４０Ｍであり、これと比べて必要となる計算量は削減さ
れている。 【０４１３】第２１の実施例は入出力用の楕円曲線とし
てワイエルシュトラス型楕円曲線を、内部の計算用には
与えられたワイエルシュトラス型楕円曲線から変換可能
であるモンゴメリ型楕円曲線を用いたものである。スカ
ラー倍計算装置１０３がスカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、ワイエルシュトラス型
楕円曲線における射影座標の点として完全な座標が与え
られたスカラー倍点,(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
をスカラー倍計算装置１０３に入力すると高速スカラー
倍計算部２０２がそれを受け取る。高速スカラー倍計算
部２０２は受け取ったスカラー値dと与えられたワイエ
ルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP=(X_d,Y
_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点d(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1を計算する。また、入力されたワ
イエルシュトラス型楕円曲線上の点Pを、与えられたワ
イエルシュトラス型楕円曲線から変換可能であるモンゴ
メリ型楕円曲線上の点に変換し、その点を新たにP=(x,
y)とおく。高速スカラー倍計算部２０２は、X_d，Z_d，X
_d+1，Z_d+1，x及びyを座標復元部２０３に与える。座標
復元部２０３は与えられた座標の値X_d，Z_d，X_d+1，
Z_d+1，x及びyよりワイエルシュトラス型楕円曲線におい
て射影座標で表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の
座標X_d ^W、Y_d ^W及びZ_d ^Wの復元を行なう。スカラー倍計算
装置１０３は射影座標において完全に座標が与えられた
スカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算結果として出力す
る。 【０４１４】次に図４１により、座標x，y，X_d，Z_d，X
_d+1，Z_d+1が与えられた場合にX_d ^W、Y_d ^W、Z_d ^Wを出力する
座標復元部の処理について説明する。 【０４１５】座標復元部２０３では、モンゴメリ型楕円
曲線において射影座標で表されたスカラー倍点dP=(X_d,Y
_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座
標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入
力されたモンゴメリ型楕円曲線上の点Pをアフィン座標
で表した(x,y)を入力し、以下の手順でワイエルシュト
ラス型楕円曲線上で射影座標おいて完全な座標が与えら
れたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入
力されたモンゴメリ型楕円曲線上の点Pのアフィン座標
を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入
力されたスカラー値をdとしてモンゴメリ型楕円曲線に
おけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射
影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円
曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射
影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。 【０４１６】ステップ４１０１においてx×Z_dが計算さ
れ、レジスタＴ₁に格納される。ステップ４１０２にお
いてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d+X_dが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ４１０３
においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_d
が格納されており、したがってxZ_d-X_dが計算される。そ
の結果がレジスタＴ₃に格納される。ステップ４１０４
においてレジスタＴ₃の２乗が計算される。ここでレジ
スタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-
xZ_d)²が計算される。その結果がレジスタＴ₃に格納され
る。ステップ４１０５においてＴ₃×Ｘ_ｄ＋１が計算さ
れる。ここでレジスタＴ_３には(X_d-xZ_d)²が格納されて
おり、したがってX_d+1(X_d-xZ_d)²が計算される。その結
果がレジスタＴ₃に格納される。ステップ４１０６にお
いて2A×Z_dが計算され、レジスタＴ₁に格納される。ス
テップ４１０７においてＴ₂+Ｔ₁が計算される。ここで
レジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞ
れ格納されており、したがってxZ_d+X_d+2AZ_dが計算され
る。その結果がレジスタＴ₂に格納される。ステップ４
１０８においてx×X_dが計算され、レジスタＴ₄に格納さ
れる。ステップ４１０９においてＴ₄+Z_dが計算される。
ここでレジスタＴ₄にはxX_dが格納されており、したがっ
てxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納
される。ステップ４１１０においてＴ₂×Ｔ₄が計算され
る。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄
にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d
+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタ
Ｔ₂に格納される。ステップ４１１１においてＴ₁×Z_dが
計算される。ここでレジスタＴ₁には2AZ_dが格納されて
おり、したがって2AZ_d ²が計算される。その結果がレジ
スタＴ₁に格納される。ステップ４１１２においてＴ₂-
Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2A
Z_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ
格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2A
Z_d ²が計算される。その結果がレジスタＴ₂に格納され
る。ステップ４１１３においてＴ₂×Z_d+1が計算され
る。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ
_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(x
X_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に
格納される。ステップ４１１４においてＴ₂-Ｔ₃が計算
される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX
_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞ
れ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX
_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果が
レジスタY_d ^Wに格納される。ステップ４１１５において2
B×yが計算され、レジスタＴ₁に格納される。ステップ
４１１６においてＴ₁×Z_dが計算される。ここでレジス
タＴ₁には2Byが格納されており、したがって2ByZ_dが計
算される。その結果がレジスタＴ₁に格納される。ステ
ップ４１１７においてＴ₁×Z_d+1が計算される。ここで
レジスタＴ₁には2ByZ_dが格納されており、したがって2B
yZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納さ
れる。ステップ４１１８においてＴ₁×Z_dが計算され
る。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されてお
り、したがって2ByZ_dZ_d+1Z_dが計算される。その結果が
レジスタＴ₃に格納される。ステップ４１１９において
Ｔ₃×sが計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1
Z_dが格納されており、したがって2ByZ_dZ_d+1Z_dsが計算さ
れる。その結果がレジスタZ_d ^Wに格納される。ステップ
４１２０においてＴ₁×X_dが計算される。ここでレジス
タＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ
_dZ_d+1X_dが計算される。その結果がレジスタＴ₁に格納さ
れる。ステップ４１２１においてZ_d ^W×αが計算され
る。ここでレジスタZ_d ^Wには2ByZ_dZ_d+1Z_dsが格納されて
おり、したがって2ByZ_dZ_d+1Z_dsαが計算される。その結
果がＴ₃に格納される。ステップ４１２２においてＴ₁+
Ｔ₃が計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1X_d
がレジスタＴ₃には2ByZ_dZ_d+1Z_dsαがそれぞれ格納され
ており、したがって2ByZ_dZ_d+1X_d +2ByZ_dZ_d+1Z_dsαが計
算される。その結果がX_d ^W に格納される。したがってレ
ジスタx_dには2ByZ_dZ_d+1X_d+2ByZ_dZ_d+1Z_dsαの値が格納さ
れている。Y_d ^Wにはステップ４１１４においてZ_d+1((xZ_d
+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が格納され、
その後更新が行なわれないので、その値が保持されてい
る。Z_d ^Wにはステップ４１１９において2ByZ_dZ_d+1Z_dsが
格納され、その後更新が行なわれないので、その値が保
持されている。その結果として、ワイエルシュトラス型
楕円曲線における射影座標(X_d ^W,Y_d ^W,Z_d ^W)の値が全て復
元されている。 【０４１７】上記手順により与えられたx、y、X_d、Z_d、
X_d+1、Z_d+1からワイエルシュトラス型楕円曲線における
スカラー倍点の射影座標(X_d ^W,Y_d ^W,Z_d ^W)における値が全
て復元される理由は以下の通りである。点(d+1)Pは点dP
に点Pを加算した点である。モンゴメリ型楕円曲線のア
フィン座標における加算公式に代入すると、数６を得
る。点P及び点dPはモンゴメリ型楕円曲線上の点である
ので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。
数６に代入し、By_d ²及びBy²を消去し、式を整理する
と、数６４をを得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/
Z_d+1であり、この値を代入することにより射影座標の値
へと変換すると、数６５を得る。ｘ_d＝X_d/Z_dであるが、
逆元演算の回数を減らす目的でｙ_dの分母と通分するこ
とにより、数６６となる。その結果として、 【０４１８】 【数８１】 【０４１９】とし、 【０４２０】 【数８２】 【０４２１】 【数８３】 【０４２２】とすると(X'_d,Y'_d,Z'_d)=(X_d,Y_d,Z_d)とな
る。モンゴメリ型楕円曲線上の点とワイエルシュトラス
型楕円曲線上の点との対応関係については、K.Okeya,
H.Kurumatani, K.Sakurai, Elliptic Curves with the
Montgomery-Form and Their Cryptographic Applicatio
ns, Public Key Cryptography, LNCS 1751 (2000) pp.2
38-257 に記載されている。それによると、変換パラメ
タをsαとして、Y_d ^W=Y'_d、X_d ^W=X'_d+αZ_d ^W、及びZ_d ^W=sZ'
_dという関係がある。結果として次の式を得る。 【０４２３】 【数８４】 【０４２４】 【数８５】 【０４２５】 【数８６】 【０４２６】により更新すればよい。ここで、X_d ^W,Y_d ^W,
Z_d ^Wは図４１の処理により与えられている。したがっ
て、ワイエルシュトラス型楕円曲線における射影座標(X
_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されていることになる。 【０４２７】上記手順はステップ４１０１、ステップ４
１０５、ステップ４１０６、ステップ４１０８、ステッ
プ４１１０、ステップ４１１１、ステップ４１１３、ス
テップ４１１５、ステップ４１１６、ステップ４１１
７、ステップ４１１８、ステップ４１１９、ステップ４
１２０及びステップ４１２１において有限体上の乗算の
計算量を必要とする。また、ステップ４１０４において
有限体上の２乗算の計算量を必要とする。有限体上の加
算及び減算の計算量は、有限体上の乗算の計算量、２乗
算の計算量と比べて比較的小さいので無視してもよい。
有限体上の乗算の計算量をＭ、有限体上の２乗算の計算
量をＳとすると、上記手順は１４Ｍ＋Ｓの計算量を必要
とする。これは高速スカラー倍計算の計算量と比べては
るかに小さい。例えばスカラー値dが１６０ビットであ
れば、高速スカラー倍計算の計算量はおおよそ１５００
Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復
元の計算量は１４．８Ｍであり、高速スカラー倍計算の
計算量と比べてはるかに小さい。したがって効率的に座
標を復元できていることが示された。 【０４２８】尚、上記手順をとらなくても、上記計算式
により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できれば
X_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュ
トラス型楕円曲線においてアフィン座標におけるスカラ
ー倍点dPをdP=(x_d ^W,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計算
式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの値
を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復元
できる。それらの場合においては一般的に復元に必要と
なる計算量が増大する。また、モンゴメリ型楕円曲線の
パラメタであるA乃至はBの値やモンゴメリ型楕円曲線へ
の変換パラメタsの値を小さくとることにより、ステッ
プ４１０６、ステップ４１１５乃至はステップ４１１９
における乗算の計算量を削減することができる。 【０４２９】次に、スカラー値d及びワイエルシュトラ
ス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力
するアルゴリズムについて説明する。 【０４３０】第２１実施例の高速スカラー倍計算部２０
２の高速スカラー倍計算方法として、第９実施例の高速
スカラー倍計算方法を用いる。これにより、スカラー値
d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，
Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速で
あるアルゴリズムが達成される。尚、高速スカラー倍計
算部２０２において上記アルゴリズムを用いなくても、
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
から、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであ
り且つ高速であれば、他のアルゴリズムを用いていもよ
い。 【０４３１】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓであ
り、これは高速スカラー倍計算部２０２の高速スカラー
倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに比
べてはるかに小さい。したがって、スカラー倍計算装置
１０３のスカラー倍計算に必要な計算量は、高速スカラ
ー倍計算部の高速スカラー倍計算に必要な計算量とほぼ
同等である。Ｓ＝０．８Ｍと仮定すると、この計算量は
おおよそ（９．２ｋ＋１１．２）Ｍと見積もることがで
きる。例えばスカラー値dが１６０ビット（ｋ＝１６
０）であれば、このスカラー倍計算に必要な計算量は１
４８３Ｍとなる。楕円曲線としてワイエルシュトラス型
楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座
標を中心とした混合座標系を用いたスカラー倍計算方法
を用いて、スカラー倍点をヤコビアン座標として出力す
る場合に必要となる計算量はおおよそ１６００Ｍであ
り、これと比べて必要となる計算量は削減されている。 【０４３２】第２２実施例は入出力用の楕円曲線として
ワイエルシュトラス型楕円曲線を、内部の計算用には与
えられたワイエルシュトラス型楕円曲線から変換可能で
あるモンゴメリ型楕円曲線を用いたものである。スカラ
ー倍計算装置１０３が、スカラー値d及びワイエルシュ
トラス型楕円曲線上の点Pから、ワイエルシュトラス型
楕円曲線におけるアフィン座標の点として完全な座標が
与えられたスカラー倍点(x_d ^W,y_d ^W)を計算し出力する。
スカラー値d及びワイエルシュトラス型楕円曲線上の点P
をスカラー倍計算装置１０３に入力すると高速スカラー
倍計算部２０２がそれを受け取る。高速スカラー倍計算
部２０２は受け取ったスカラー値dと与えられたワイエ
ルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1を計算し、アフィン座標で表された入力された
モンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を
座標復元部２０３に与える。座標復元部２０３は与えら
れた座標の値x_d、x_d+1、x及びyよりワイエルシュトラス
型楕円曲線においてアフィン座標で表されたスカラー倍
点dP＝(x_d ^W,y_d ^W)の座標y_d ^Wの復元を行なう。スカラー倍
計算装置１０３はワイエルシュトラス型楕円曲線上でア
フィン座標において完全に座標が与えられたスカラー倍
点(x_d ^W,y_d ^W)を計算結果として出力する。 【０４３３】次に図４２により、座標x、y、x_d、x_d+1が
与えられた場合に、x_d ^W、y_d ^Wを出力する座標復元部の処
理について説明する。 【０４３４】座標復元部２０３では、モンゴメリ型楕円
曲線においてアフィン座標で表されたスカラー倍点dP＝
(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標の
うちx_d+1、スカラー倍計算装置１０３に入力されたモン
ゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)
を入力し、以下の手順でアフィン座標において完全な座
標が与えられたスカラー倍点(x_d ^W,y_d ^W)を出力する。 【０４３５】ステップ４２０１においてx_d×xが計算さ
れ、レジスタＴ₁に格納される。ステップ４２０２にお
いてＴ₁+1が計算される。ここでレジスタＴ₁にはx_dxが
格納されており、したがってx_dx+1が計算される。その
結果がレジスタＴ₁に格納される。ステップ４２０３に
おいてx_d+xが計算され、レジスタＴ₂に格納される。ス
テップ４２０４においてＴ₂+2Aが計算される。ここでレ
ジスタＴ₂にはx_d+xが格納されており、したがってx_d+x+
2Aが計算される。その結果がレジスタＴ₂に格納され
る。ステップ４２０５においてＴ₁×Ｔ₂が計算される。
ここでレジスタＴ₁にはx_dx+1がレジスタＴ₂にはx_d+x+2A
がそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2
A)が計算される。その結果がレジスタＴ₁に格納され
る。ステップ４２０６においてＴ₁-2Aが計算される。こ
こでレジスタＴ₁には(x_dx+1)(x_d+x+2A)が格納されてお
り、したがって(x_dx+1)(x_d+x+2A)-2Aが計算される。そ
の結果がレジスタＴ₁に格納される。ステップ４２０７
においてx_d-xが計算され、レジスタＴ₂に格納される。
ステップ４２０８においてＴ₂の２乗が計算される。こ
こでレジスタＴ₂にはx_d-xが格納されており、したがっ
て(x_d−x)²が計算される。その結果がレジスタＴ₂に格
納される。ステップ４２０９においてＴ₂×x_d+1が計算
される。ここでレジスタＴ₂には(x_d−x)²が格納されて
おり、したがって(x_d−x)²x_d+1が計算される。その結果
がレジスタＴ₂に格納される。ステップ４２１０におい
てＴ₁-Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+
1)(x_d+x+2A)-2AがレジスタＴ₂には(x_d−x)²x_d+1がそれ
ぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)-2A-
(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₁に
格納される。ステップ４２１１において2B×yが計算さ
れ、レジスタＴ₂に格納される。ステップ４２１２にお
いてＴ₂の逆元が計算される。ここでレジスタＴ₂には2B
yが格納されており、したがって1/2Byが計算される。そ
の結果がレジスタＴ₂に格納される。ステップ４２１３
においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁に
は(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1がレジスタＴ₂に
は1/2Byがそれぞれ格納されており、したがって{(x_dx+
1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Byが計算される。その
結果がレジスタT₁に格納される。ステップ４２１４にお
いてＴ₁×(1/s)が計算される。ここでレジスタＴ₁には
{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Byが格納されて
おり、したがって{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}
/2Bysが計算される。その結果がレジスタy_d ^Wに格納され
る。ステップ４２１５においてx_d×(1/s)が計算され、
レジスタT₁に格納される。ステップ４２１６においてＴ
₁+αが計算される。ここでレジスタＴ₁にはx_d/sが格納
されており、したがって(x_d/s)+αが計算される。その
結果がレジスタx_d ^Wに格納される。したがってレジスタx
_d ^Wには(x_d/s)+αが格納されている。レジスタy_d ^Wはステ
ップ４２１４において{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x
_d+1}/2Bysが格納され、その後更新されないので、その
値が保持されている。 【０４３６】上記手順によりスカラー倍点のy座標y_dが
復元される理由は以下の通りである。点(d+1)Pは点dPに
点Pを加算した点である。モンゴメリ型楕円曲線のアフ
ィン座標における加算公式に代入すると、数６を得る。
点P及び点dPはモンゴメリ型楕円曲線上の点であるの
で、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。 数
６に代入し、By_d ²及びBy²を消去し、式を整理すると、
数６４を得る。モンゴメリ型楕円曲線上の点とワイエル
シュトラス型楕円曲線上の点との対応関係については、
K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves
with the Montgomery-Form and Their Cryptographic A
pplications, Public Key Cryptography,LNCS 1751 (20
00) pp.238-257 に記載されている。それによると、変
換パラメタをs,αとして、y_d ^W=s^-1y_d及びx_d ^W=s^-1x_d+α
の関係がある。結果として数８７、数６３を得る。 【０４３７】 【数８７】 【０４３８】ここで、x_d ^W，y_d ^Wは図４２により与えられ
る。したがって、アフィン座標(x_d ^W, y_d ^W)の値は全て復
元されていることになる。 【０４３９】上記手順はステップ４２０１、ステップ４
２０５、ステップ４２０９、ステップ４２１１、ステッ
プ４２１３、ステップ４２１４及びステップ４２１５に
おいて有限体上の乗算の計算量を必要とする。また、ス
テップ４２０８において有限体上の２乗算の計算量を必
要とする。さらにステップ４２１２において有限体上の
逆元演算の計算量を必要とする。有限体上の加算及び減
算の計算量は、有限体上の乗算の計算量、２乗算の計算
量、逆元演算の計算量と比べて比較的小さいので無視し
てもよい。有限体上の乗算の計算量をＭ、有限体上の２
乗算の計算量をＳ、有限体上の逆元演算の計算量をＩと
すると、上記手順は７Ｍ＋Ｓ＋Ｉの計算量を必要とす
る。これは高速スカラー倍計算の計算量と比べてはるか
に小さい。例えばスカラー値dが１６０ビットであれ
ば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ
弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定
すると座標復元の計算量は４７．８Ｍであり、高速スカ
ラー倍計算の計算量と比べてはるかに小さい。したがっ
て効率的に座標を復元できていることが示された。 【０４４０】尚、上記手順をとらなくても、上記等式の
右辺の値が計算できればy_d ^Wの値が復元できる。その場
合は一般的に復元に必要となる計算量が増大する。ま
た、楕円曲線のパラメタであるA乃至はBやモンゴメリ型
楕円曲線への変換パラメタsの値を小さくとることによ
り、ステップ４２０６、ステップ４２１１、ステップ４
２１４乃至はステップ４２１５における乗算の計算量を
削減することができる。 【０４４１】次に図４５により、スカラー値d及びワイ
エルシュトラス型楕円曲線上の点Pから、x_d，x_d+1を出
力する高速スカラー倍計算部の処理について説明する。 【０４４２】高速スカラー倍計算部２０２では、スカラ
ー倍計算装置１０３に入力されたワイエルシュトラス型
楕円曲線上の点Pを入力し、以下の手順によりモンゴメ
リ型楕円曲線においてアフィン座標で表されたスカラー
倍点dP=(x_d,y_d)のうちx_d、アフィン座標で表されたモン
ゴメリ型楕円曲線上の点(d+1)P=(x_d+1,y_d+1)のうちx_d+1
を出力する。ステップ４５１６として、与えられたワイ
エルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円
曲線上で射影座標により表された点に変換する。この点
をあらためて点Pとする。ステップ４５０１として、変
数Ｉに初期値１を代入する。ステップ４５０２として、
点Pの２倍点2Pを計算する。ここで点Pは射影座標におい
て(x,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座
標における２倍算の公式を用いて２倍点2Pを計算する。
ステップ４５０３として、スカラー倍計算装置１０３に
入力された楕円曲線上の点Pとステップ４５０２で求め
た点2Pを、点の組(P,2P)として格納する。ここで点P及
び点2Pは射影座標で表されている。ステップ４５０４と
して、変数Ｉとスカラー値dのビット長とが一致するか
どうかを判定し、一致すればステップ４５１５へ行く。
一致しなければステップ４５０５へ行く。ステップ４５
０５として、変数Ｉを１増加させる。ステップ４５０６
として、スカラー値のＩ番目のビットの値が０であるか
１であるかを判定する。そのビットの値が０であればス
テップ４５０６へ行く。そのビットの値が１であればス
テップ４５１０へ行く。ステップ４５０７として、射影
座標により表された点の組(mP,(m+1)P)から点mPと点(m+
1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。
その後ステップ４５０８へ行く。ここで、加算mP+(m+1)
Pは、モンゴメリ型楕円曲線の射影座標における加算公
式を用いて計算される。ステップ４５０８として、射影
座標により表された点の組(mP,(m+1)P)から点mPの２倍
算2(mP)を行ない、点2mPを計算する。その後ステップ４
５０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型
楕円曲線の射影座標における２倍算の公式を用いて計算
される。ステップ４５０９として、ステップ４５０８で
求めた点2mPとステップ４５０７で求めた点(2m+１)Pを
点の組(2mP,(2m+１)P)として、点の組(mP,(m+１)P)の代
わりに格納する。その後ステップ４５０４へ戻る。ここ
で、点2mP、点(2m+1)P、点mP及び点(m+1)Pは全て射影座
標において表されている。ステップ４５１０として、射
影座標により表された点の組(mP, (m+１)P)から点mPと
点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算す
る。その後ステップ４５１１へ行く。ここで、加算mP+
(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加
算公式を用いて計算される。ステップ４５１１として、
射影座標により表された点の組(mP,(m+１)P)から点(m+
１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算す
る。その後ステップ４５１２へ行く。ここで、２倍算2
((m+１)P)は、モンゴメリ型楕円曲線の射影座標におけ
る２倍算の公式を用いて計算される。ステップ４５１１
として、ステップ４５１０で求めた点(2m+１)Pとステッ
プ４５１１で求めた点(2m+2)Pを点の組((2m+１)P, (2m+
2)P)として、点の組(mP,(m+1)Pの代わりに格納する。そ
の後ステップ４５０４へ戻る。ここで、点(2m+１)P、点
(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表
されている。ステップ４５１５として、射影座標で表さ
れた点mP=(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_d
とし、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)
よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここ
で、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標に
おける加算公式及び２倍算の公式ではY座標を求める事
ができないので、求まっていない。X _d，Z _d，X _d+1，Z
_d+1より、x_d=X_dZ_d+1/Z_dZ_d+1, x_d+1=Z_dX_d+1/Z_dZ_d+1とし
てx_d，x_d+1を求める。その後ステップ４５１３へ行く。
ステップ４５１３として、x_d，x_d+1を出力する。上記手
順により、ｍとスカラー値dはビット長が等しくさらに
そのビットのパターンも同じとなる為、等しくなる。 【０４４３】モンゴメリ型楕円曲線の射影座標における
加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓ
となる。ここでＭは有限体上の乗算の計算量、Ｓは有限
体上の２乗算の計算量である。モンゴメリ型楕円曲線の
射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓ
である。スカラー値のＩ番目のビットの値が０であれ
ば、ステップ４５０７において加算の計算量、ステップ
４５０８において２倍算の計算量が必要となる。すなわ
ち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番
目のビットの値が１であれば、ステップ４５１０におい
て加算の計算量、ステップ４５１１において２倍算の計
算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要
である。いずれの場合においても６Ｍ＋４Ｓの計算量が
必要である。ステップ４５０４、ステップ４５０５、ス
テップ４５０６、ステップ４５０７、ステップ４５０
８、ステップ４５０９乃至はステップ４５０４、ステッ
プ４５０５、ステップ４５０６、ステップ４５１０、ス
テップ４５１１、ステップ４５１２の繰り返しの回数
は、（スカラー値dのビット長）―１回となるので、ス
テップ４５０２での２倍算の計算量及びステップ４５１
５でのアフィン座標への変換の計算量を考慮に入れる
と、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋３Ｍ―２Ｓ＋Ｉ
となる。ここでｋはスカラー値dのビット長である。一
般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量Ｉは
Ｉ＝４０Ｍ程度と見積もられるので、全体の計算量はお
およそ（９．２ｋ＋４１．４）Ｍとなる。例えばスカラ
ー値dが１６０ビット（ｋ＝１６０）であれば、上記手
順のアルゴリズムの計算量はおおよそ１５１３Ｍとな
る。スカラー値dのビットあたりの計算量としてはおよ
そ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Effici
ent elliptic curve exponentiation using mixed coor
dinates, Advances in Cryptology Proceedings of AS
IACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエ
ルシュトラス型楕円曲線において、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法は高速なスカラー倍計算方法として記載
されている。この場合においては、スカラー値のビット
あたりの計算量はおおよそ１０Ｍと見積もられ、これ以
外にアフィン座標への変換の計算量が必要となる。例え
ばスカラー値dが１６０ビット（ｋ＝１６０）であれ
ば、このスカラー倍計算方法の計算量はおおよそ１６４
０Ｍとなる。したがって、上記手順のアルゴリズムの方
が計算量が少なく高速といえる。 【０４４４】尚、高速スカラー倍計算部２０２において
上記手順のアルゴリズムを用いなくても、スカラー値d
及びワイエルシュトラス型楕円曲線上の点Pから、x_d，x
_d+1を出力するアルゴリズムであり且つ高速であれば、
他のアルゴリズムを用いていもよい。 【０４４５】スカラー倍計算装置１０３における座標復
元部２０３の座標復元に必要な計算量は７Ｍ＋Ｓ＋Ｉで
あり、これは高速スカラー倍計算部２０２の高速スカラ
ー倍計算に必要な計算量の（９．２ｋ＋４１．４）Ｍと
に比べてはるかに小さい。したがって、スカラー倍計算
装置１０３のスカラー倍計算に必要な計算量は、高速ス
カラー倍計算部の高速スカラー倍計算に必要な計算量と
ほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定する
と、この計算量はおおよそ（９．２ｋ＋８９．２）Ｍと
見積もることができる。例えばスカラー値dが１６０ビ
ット（ｋ＝１６０）であれば、このスカラー倍計算に必
要な計算量は１５６１Ｍとなる。楕円曲線としてワイエ
ルシュトラス型楕円曲線を使用し、ウィンドウ法を用い
てヤコビアン座標を中心とした混合座標系を用いたスカ
ラー倍計算方法を用いて、スカラー倍点をアフィン座標
として出力する場合に必要となる計算量はおおよそ１６
４０Ｍであり、これと比べて必要となる計算量は削減さ
れている。 【０４４６】以上、図１に示した暗号／復号処理装置を
復号化処理を行う装置として第１から第２２の実施例を
説明したが、同様に暗号化処理を行う装置としても利用
できる。その場合には、既に説明したように暗号／復号
処理装置のスカラー倍計算部１０３は、既に説明した楕
円曲線上の点Ｑ、乱数ｋによるスカラー倍点と、公開鍵
ａＱと乱数ｋによるスカラー倍点を出力する。このと
き、実施例１から２２で説明したスカラー値ｄを乱数
ｋ、楕円曲線上の点Ｐを楕円曲線上の点Ｑ、公開鍵ａＱ
として同様の処理を行うことにより、それぞれのスカラ
ー倍点を求めることができる。 【０４４７】尚、図１に示した暗号／復号処理装置は、
暗号化、復号化の両方を行えるように示したが、暗号化
の処理のみ、あるいは復号化の処理のみを行えるように
構成してもよい。 【０４４８】また、第１から第２２の実施例で説明した
処理については、コンピュータ読み取り可能な記憶媒体
に格納されたプログラムであってもよい。この場合は、
そのプログラムを図１の記憶部へ読み込み、処理部であ
るＣＰＵなどの演算装置がこのプログラムに従って、処
理を行う。 【０４４９】図２７は、図１の暗号処理システムにおけ
る秘密情報を用いた暗号処理において、スカラー倍点の
完全な座標を与え且つ高速なスカラー倍計算方法の実施
例を示す図である。図３３は、図２７のスカラー倍計算
方法の実施例における処理の流れを示すフローチャート
である。 【０４５０】図３３において、図２７のスカラー倍計算
装置２７０１は以下のようにして、スカラー値及びワイ
エルシュトラス型楕円曲線上の点から、ワイエルシュト
ラス型楕円曲線上で完全な座標が与えられたスカラー倍
点を計算し出力する。スカラー値及びワイエルシュトラ
ス型楕円曲線上の点をスカラー倍計算装置２７０１に入
力すると、楕円曲線変換部２７０４がワイエルシュトラ
ス型楕円曲線上の点をモンゴメリ型楕円曲線上の点に変
換する。（ステップ３３０１）。高速スカラー倍計算部
２７０２はスカラー倍計算装置２７０１に入力されたス
カラー値及び楕円曲線変換部２７０４が変換したモンゴ
メリ型楕円曲線上の点を受け取る（ステップ３３０
２）。高速スカラー倍計算部３３０２は受け取ったスカ
ラー値とモンゴメリ型楕円曲線上の点からモンゴメリ型
楕円曲線上のスカラー倍点の座標の一部の値を計算し
（ステップ３３０３）、その情報を座標復元部２７０３
に与える（ステップ３３０４）。座標復元部２７０３は
与えられたモンゴメリ型楕円曲線上のスカラー倍点の情
報及び楕円曲線変換部２７０４により変換されたモンゴ
メリ型楕円曲線上の点よりモンゴメリ型楕円曲線上のス
カラー倍点の座標の復元を行なう（ステップ３３０
５）。楕円曲線逆変換部２７０５は、座標復元部２７０
３により復元されたモンゴメリ型楕円曲線上のスカラー
倍点をワイエルシュトラス型楕円曲線上のスカラー倍点
に変換する（ステップ３３０６）。スカラー倍計算装置
２７０１はワイエルシュトラス型楕円曲線上で完全に座
標が与えられたスカラー倍点を計算結果として出力す
る。（ステップ３３０７）。 【０４５１】スカラー倍計算装置２７０１における高速
スカラー倍計算部２７０２及び座標復元部２７０３が実
行するモンゴメリ型楕円曲線上のスカラー倍計算は、上
述した第１〜第５及び第１４〜第１６実施例で説明した
モンゴメリ型楕円曲線上におけるスカラー倍計算方法が
そのまま適応される。したがってこのスカラー倍計算
は、スカラー倍点の完全な座標を与え且つ高速なスカラ
ー倍計算方法である。 【０４５２】図２２は、図１の本実施形態の暗号処理シ
ステムを署名作成装置として利用する場合の構成を示
す。図１の暗号処理部１０２は、図２２の署名作成装置
２２０１では署名部２２０２になる。図２８は、図２２
の署名作成装置における処理の流れを示すフローチャー
トである。図２９は、図２２の署名作成装置における処
理の流れを示すシーケンス図である。 【０４５３】図２８において、署名作成装置２２０１は
以下のようにして、与えられたメッセージ２２０５から
署名が付随しているメッセージ２２０６を出力する。メ
ッセージ２２０５を署名作成装置２２０１に入力すると
署名部２２０２がそれを受け取る（ステップ２８０
１）。署名部２２０２はスカラー倍計算部２２０３に受
け取ったメッセージ２２０５に応じて楕円曲線上の点を
与える（ステップ２８０２）。スカラー倍計算部２２０
３は秘密情報格納部２２０４より秘密情報であるスカラ
ー値を受け取る（ステップ２８０３）。スカラー倍計算
部２２０３は受け取った楕円曲線上の点とスカラー値よ
りスカラー倍点を計算し（ステップ２８０４）、そのス
カラー倍点を署名部２２０２に送る（ステップ２８０
５）。署名部２２０２はスカラー倍計算部２２０３より
受け取ったスカラー倍点をもとにして署名作成処理を行
なう（ステップ２８０６）。その結果を署名が付随した
メッセージ２２０６として出力する（ステップ２８０
７）。 【０４５４】上記処理手順を図２９のシーケンス図を用
いて説明する。まず、署名部２９０１（図２２の２２０
２）の実行する処理について説明する。署名部２９０１
は、入力メッセージを受け取る。署名部２９０１は、入
力メッセージをもとに楕円曲線上の点を選び、スカラー
倍計算部２９０２に楕円曲線上の点を与え、そしてスカ
ラー倍計算部２９０２からスカラー倍点を受け取る。署
名部２９０１は、受け取ったスカラー倍点を用いて署名
作成処理を行ない、その結果を出力メッセージとして出
力する。 【０４５５】次にスカラー倍計算部２９０２（図２２の
２２０３）の実行する処理について説明する。スカラー
倍計算部２９０２は、署名部２９０１より楕円曲線上の
点を受け取る。スカラー倍計算部２９０２は、秘密情報
格納部２９０３よりスカラー値を受け取る。スカラー倍
計算部２９０２は、受け取った楕円曲線上の点及びスカ
ラー値から、完全な座標を与え且つ高速なスカラー倍計
算方法により、スカラー倍点を計算し、署名部２９０１
にスカラー倍点を送る。 【０４５６】最後に秘密情報格納部２９０３（図２２の
２２０４）の実行する処理について説明する。秘密情報
格納部２９０３は、スカラー倍計算部２９０２がスカラ
ー倍を計算できるように、スカラー値をスカラー倍計算
部２９０２に送る。 【０４５７】スカラー倍計算部２２０３が実行するスカ
ラー倍計算は、上述した第１〜第２２実施例で説明した
ものがそのまま適応される。したがってこのスカラー倍
計算は、スカラー倍点の完全な座標を与え且つ高速なス
カラー倍計算方法である。そのため署名部２２０２にお
いて、署名作成処理を行なう際に、スカラー倍点の完全
な座標を用いることができ、その上高速に実行できる。 【０４５８】図２３は、図１の本実施形態の暗号処理シ
ステムを復号化装置として利用する場合の構成を示す。
図１の暗号処理部１０２は、図２３の復号化装置２３０
１では復号部２３０２になる。図３０は、図２３の復号
化装置における処理の流れを示すフローチャートであ
る。図３１は、図２３の復号化装置における処理の流れ
を示すシーケンス図である。 【０４５９】図３０において、復号装置２３０１は以下
のようにして、与えられたメッセージ２３０５から復号
化されたメッセージ２３０６を出力する。メッセージ２
３０５を復号装置２３０１に入力すると復号部２３０２
がそれを受け取る（ステップ３００１）。復号部２３０
２はスカラー倍計算部２３０３に受け取ったメッセージ
２３０５に応じて楕円曲線上の点を与える（ステップ３
００２）。スカラー倍計算部２３０３は秘密情報格納部
２３０４より秘密情報であるスカラー値を受け取る（ス
テップ３００３）。スカラー倍計算部２３０３は受け取
った楕円曲線上の点とスカラー値よりスカラー倍点を計
算し（ステップ３００４）、そのスカラー倍点を復号部
２３０２に送る（ステップ３００５）。復号部２３０２
はスカラー倍計算部２３０３より受け取ったスカラー倍
点をもとにして復号化処理を行なう（ステップ３００
６）。その結果を復号化されたメッセージ２３０６とし
て出力する（ステップ３００７）。 【０４６０】上記処理手順を図３１のシーケンス図を用
いて説明する。まず、復号化部３１０１（図２３の２３
０２）の実行する処理について説明する。復号化部３１
０１は、入力メッセージを受け取る。復号化部３１０１
は、入力メッセージをもとに楕円曲線上の点を選び、ス
カラー倍計算部３１０２に楕円曲線上の点を与え、そし
てスカラー倍計算部３１０２からスカラー倍点を受け取
る。復号化部３１０１は、受け取ったスカラー倍点を用
いて復号化処理を行ない、その結果を出力メッセージと
して出力する。 【０４６１】次にスカラー倍計算部３１０２（図２３の
２３０３）の実行する処理について説明する。スカラー
倍計算部３１０２は、復号化部３１０１より楕円曲線上
の点を受け取る。スカラー倍計算部３１０２は、秘密情
報格納部３１０３よりスカラー値を受け取る。スカラー
倍計算部３１０２は、受け取った楕円曲線上の点及びス
カラー値から、完全な座標を与え且つ高速なスカラー倍
計算方法により、スカラー倍点を計算し、復号化部３１
０１にスカラー倍点を送る。 【０４６２】最後に秘密情報格納部３１０３（図２３の
２３０４）の実行する処理について説明する。秘密情報
格納部３１０３は、スカラー倍計算部３１０２がスカラ
ー倍を計算できるように、スカラー値をスカラー倍計算
部３１０２に送る。 【０４６３】スカラー倍計算部２３０３が実行するスカ
ラー倍計算は、上述した第１〜第２２実施例で説明した
ものがそのまま適応される。したがってこのスカラー倍
計算は、スカラー倍点の完全な座標を与え且つ高速なス
カラー倍計算方法である。そのため復号部２３０２にお
いて、復号化処理を行なう際に、スカラー倍点の完全な
座標を用いることができ、その上高速に実行できる。 【０４６４】 【発明の効果】以上述べたように本発明によれば、暗号
処理システムにおける秘密情報を用いた暗号処理におい
て用いられるスカラー倍計算が高速化されており、暗号
処理の高速化が計れる。また、スカラー倍点の座標を完
全に与えることができるので、全ての暗号処理を行なう
ことができる。

【図面の簡単な説明】

【図１】本発明の暗号処理システムの構成図である。

【図２】本発明の実施例におけるスカラー倍計算方法及
び装置における処理の流れを示す図である。

【図３】図１の暗号処理システムでの処理の流れを示す
シーケンス図である。

【図４】本発明の第１、第２、第１４及び第１５実施例
のスカラー倍計算方法における高速スカラー倍計算方法
を示すフローチャート図である。

【図５】本発明の第３及び第４実施例のスカラー倍計算
方法における高速スカラー倍計算方法を示すフローチャ
ート図である。

【図６】本発明の第５実施例のスカラー倍計算方法にお
ける高速スカラー倍計算方法を示すフローチャート図で
ある。

【図７】本発明の第６、第７及び第８実施例のスカラー
倍計算方法における高速スカラー倍計算方法を示すフロ
ーチャート図である。

【図８】本発明の第９、第１０、第２０及び第２１実施
例のスカラー倍計算方法における高速スカラー倍計算方
法を示すフローチャート図である。

【図９】本発明の第２実施例のスカラー倍計算方法にお
ける座標復元方法を示すフローチャート図である。

【図１０】本発明の第１１及び第１２実施例のスカラー
倍計算方法における高速スカラー倍計算方法を示すフロ
ーチャート図である。

【図１１】本発明の第１実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１２】本発明の第３実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１３】本発明の第４実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１４】本発明の第６実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１５】本発明の第７実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１６】本発明の第８実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１７】本発明の第９実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図１８】本発明の第１０実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図１９】本発明の第１１実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図２０】本発明の第１２実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図２１】本発明の第１３実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図２２】本発明の実施の形態に係る署名作成装置の構
成図である。

【図２３】本発明の実施の形態に係る復号化装置の構成
図である。

【図２４】本発明の第１３実施例のスカラー倍計算方法
における高速スカラー倍計算方法を示すフローチャート
図である。

【図２５】図２のスカラー倍計算装置におけるスカラー
倍計算方法を示すフローチャートである。

【図２６】本発明の第５実施例のスカラー倍計算方法に
おける座標復元方法を示すフローチャート図である。

【図２７】本発明の実施例におけるスカラー倍計算方法
及び装置における処理の流れを示す図である。

【図２８】図２２の署名作成装置における署名作成方法
を示すフローチャートである。

【図２９】図２２の署名作成装置における処理の流れを
示すシーケンス図である。

【図３０】図２３の復号化装置における復号化方法を示
すフローチャートである。

【図３１】図２３の復号化装置における処理の流れを示
すシーケンス図である。

【図３２】図１の暗号処理システムにおける暗号処理方
法を示すフローチャートである。

【図３３】図２７のスカラー倍計算装置におけるスカラ
ー倍計算方法を示すフローチャートである。

【図３４】本発明の第１４実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図３５】本発明の第１５実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図３６】本発明の第１６実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図３７】本発明の第１７実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図３８】本発明の第１８実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図３９】本発明の第１９実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図４０】本発明の第２０実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図４１】本発明の第２１実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図４２】本発明の第２２実施例のスカラー倍計算方法
における座標復元方法を示すフローチャート図である。

【図４３】本発明の第１６実施例のスカラー倍計算方法
における高速スカラー倍計算方法を示すフローチャート
図である。

【図４４】本発明の第１７、第１８及び第１９実施例の
スカラー倍計算方法における高速スカラー倍計算方法を
示すフローチャート図である。

【図４５】本発明の第２２実施例のスカラー倍計算方法
における高速スカラー倍計算方法を示すフローチャート
図である。

【符号の説明】

１０１ 暗号処理システム １０２ 暗号処理部 １０３ スカラー倍計算部 １０４ 秘密情報格納部 １０５ 入力メッセージ １０６ 出力メッセージ ２０１ スカラー倍計算装置 ２０２ 高速スカラー倍計算部 ２０３ 座標復元部 ２２０１ 署名作成装置 ２２０２ 署名部 ２２０３ スカラー倍計算部 ２２０４ 秘密情報格納部 ２２０５ 入力メッセージ ２２０６ 出力メッセージ ２３０１ 復号化装置 ２３０２ 復号部 ２３０３ スカラー倍計算部 ２３０４ 秘密情報格納部 ２３０５ 入力メッセージ ２３０６ 出力メッセージ ２７０１ スカラー倍計算装置 ２７０２ 高速スカラー倍計算部 ２７０３ 座標復元部 ２７０４ 楕円曲線変換部 ２７０５ 楕円曲線逆変換部

Claims (30)

【特許請求の範囲】
1. 【請求項１】楕円曲線暗号における標数５以上の有限体
   上定義された楕円曲線において、スカラー値及び楕円曲
   線上の点からスカラー倍点を計算するスカラー倍計算方
   法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報から完全な座標を復元するス
   テップとを有するスカラー倍計算方法。
2. 【請求項２】楕円曲線暗号における標数５以上の有限体
   上定義された楕円曲線において、スカラー値及び楕円曲
   線上の点からスカラー倍点を計算するスカラー倍計算方
   法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報からアフィン座標において完
   全な座標を復元するステップとを有するスカラー倍計算
   方法。
3. 【請求項３】楕円曲線暗号における標数５以上の有限体
   上定義された楕円曲線において、スカラー値及び楕円曲
   線上の点からスカラー倍点を計算するスカラー倍計算方
   法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報から射影座標において完全な
   座標を復元するステップとを有するスカラー倍計算方
   法。
4. 【請求項４】楕円曲線暗号における標数５以上の有限体
   上定義されたモンゴメリ型楕円曲線において、スカラー
   値及びモンゴメリ型楕円曲線上の点からスカラー倍点を
   計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報から完全な座標を復元するス
   テップとを有するスカラー倍計算方法。
5. 【請求項５】楕円曲線暗号における標数５以上の有限体
   上定義されたワイエルシュトラス型楕円曲線において、
   スカラー値及びワイエルシュトラス型楕円曲線上の点か
   らスカラー倍点を計算するスカラー倍計算方法であっ
   て、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報から完全な座標を復元するス
   テップとを有するスカラー倍計算方法。
6. 【請求項６】楕円曲線暗号における標数５以上の有限体
   上定義されたモンゴメリ型楕円曲線において、スカラー
   値及びモンゴメリ型楕円曲線上の点からスカラー倍点を
   計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報として射影座標で与えられた
   前記スカラー倍点のＸ座標及びＺ座標並びに前記スカラ
   ー倍点と前記モンゴメリ型楕円曲線上の点を加算した点
   の射影座標におけるＸ座標及びＺ座標を与え、アフィン
   座標において完全な座標を復元するステップとを有する
   スカラー倍計算方法。
7. 【請求項７】楕円曲線暗号における標数５以上の有限体
   上定義されたモンゴメリ型楕円曲線において、スカラー
   値及びモンゴメリ型楕円曲線上の点からスカラー倍点を
   計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報として射影座標で与えられた
   前記スカラー倍点のＸ座標及びＺ座標並びに前記スカラ
   ー倍点と前記モンゴメリ型楕円曲線上の点を加算した点
   の射影座標におけるＸ座標及びＺ座標を与え、射影座標
   において完全な座標を復元するステップとを有するスカ
   ラー倍計算方法。
8. 【請求項８】楕円曲線暗号における標数５以上の有限体
   上定義されたモンゴメリ型楕円曲線において、スカラー
   値及びモンゴメリ型楕円曲線上の点からスカラー倍点を
   計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報として射影座標で与えられた
   前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍
   点と前記モンゴメリ型楕円曲線上の点を加算した点の射
   影座標におけるＸ座標及びＺ座標並びに前記スカラー倍
   点と前記モンゴメリ型楕円曲線上の点を減算した点の射
   影座標におけるＸ座標及びＺ座標を与え、アフィン座標
   において完全な座標を復元するステップとを有するスカ
   ラー倍計算方法。
9. 【請求項９】楕円曲線暗号における標数５以上の有限体
   上定義されたモンゴメリ型楕円曲線において、スカラー
   値及びモンゴメリ型楕円曲線上の点からスカラー倍点を
   計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
   記スカラー倍点の部分情報として射影座標で与えられた
   前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍
   点と前記モンゴメリ型楕円曲線上の点を加算した点の射
   影座標におけるＸ座標及びＺ座標並びに前記スカラー倍
   点と前記モンゴメリ型楕円曲線上の点を減算した点の射
   影座標におけるＸ座標及びＺ座標を与え、射影座標にお
   いて完全な座標を復元するステップとを有するスカラー
   倍計算方法。
10. 【請求項１０】楕円曲線暗号における標数５以上の有限
    体上定義されたモンゴメリ型楕円曲線において、スカラ
    ー値及びモンゴメリ型楕円曲線上の点からスカラー倍点
    を計算するスカラー倍計算方法であって、 前記スカラー倍点の部分情報を計算するステップと、前
    記スカラー倍点の部分情報としてアフィン座標で与えら
    れた前記スカラー倍点のｘ座標、前記スカラー倍点と前
    記モンゴメリ型楕円曲線上の点を加算した点のアフィン
    座標におけるｘ座標並びに前記スカラー倍点と前記モン
    ゴメリ型楕円曲線上の点を減算した点のアフィン座標に
    おけるｘ座標を与え、アフィン座標において完全な座標
    を復元するステップとを有するスカラー倍計算方法。
11. 【請求項１１】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記スカラー倍点の部分情報を計算するステップと、前
    記スカラー倍点の部分情報として射影座標で与えられた
    前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍
    点と前記ワイエルシュトラス型楕円曲線上の点を加算し
    た点の射影座標におけるＸ座標及びＺ座標並びに前記ス
    カラー倍点と前記ワイエルシュトラス型楕円曲線上の点
    を減算した点の射影座標におけるＸ座標及びＺ座標を与
    え、アフィン座標において完全な座標を復元するステッ
    プとを有するスカラー倍計算方法。
12. 【請求項１２】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記スカラー倍点の部分情報を計算するステップと、前
    記スカラー倍点の部分情報として射影座標で与えられた
    前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍
    点と前記ワイエルシュトラス型楕円曲線上の点を加算し
    た点の射影座標におけるＸ座標及びＺ座標並びに前記ス
    カラー倍点と前記ワイエルシュトラス型楕円曲線上の点
    を減算した点の射影座標におけるＸ座標及びＺ座標を与
    え、射影座標において完全な座標を復元するステップと
    を有するスカラー倍計算方法。
13. 【請求項１３】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記スカラー倍点の部分情報を計算するステップと、前
    記スカラー倍点の部分情報としてアフィン座標で与えら
    れた前記スカラー倍点のｘ座標、前記スカラー倍点と前
    記ワイエルシュトラス型楕円曲線上の点を加算した点の
    アフィン座標におけるｘ座標並びに前記スカラー倍点と
    前記ワイエルシュトラス型楕円曲線上の点を減算した点
    のアフィン座標におけるｘ座標を与え、アフィン座標に
    おいて完全な座標を復元するステップとを有するスカラ
    ー倍計算方法。
14. 【請求項１４】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報からワイエルシュトラス型楕円曲線において完全な座
    標を復元するステップとを有するスカラー倍計算方法。
15. 【請求項１５】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報からモンゴメリ型楕円曲線において完全な座標を復元
    するステップと、前記モンゴメリ型楕円曲線において完
    全な座標が復元されたスカラー倍点からワイエルシュト
    ラス型楕円曲線におけるスカラー倍点を計算するステッ
    プとを有するスカラー倍計算方法。
16. 【請求項１６】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報としてモンゴメリ型楕円曲線において射影座標で与え
    られたスカラー倍点のＸ座標及びＺ座標並びに前記スカ
    ラー倍点とモンゴメリ型楕円曲線上の点を加算した点の
    射影座標におけるＸ座標及びＺ座標を与え、ワイエルシ
    ュトラス型楕円曲線においてアフィン座標における完全
    な座標を復元するステップとを有するスカラー倍計算方
    法。
17. 【請求項１７】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報としてモンゴメリ型楕円曲線において射影座標で与え
    られたスカラー倍点のＸ座標及びＺ座標並びに前記スカ
    ラー倍点とモンゴメリ型楕円曲線上の点を加算した点の
    射影座標におけるＸ座標及びＺ座標を与え、ワイエルシ
    ュトラス型楕円曲線において射影座標における完全な座
    標を復元するステップとを有するスカラー倍計算方法。
18. 【請求項１８】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報としてモンゴメリ型楕円曲線において射影座標で与え
    られたスカラー倍点のＸ座標及びＺ座標、前記スカラー
    倍点とモンゴメリ型楕円曲線上の点を加算した点の射影
    座標におけるＸ座標及びＺ座標並びに前記スカラー倍点
    とモンゴメリ型楕円曲線上の点を減算した点の射影座標
    におけるＸ座標及びＺ座標を与え、ワイエルシュトラス
    型楕円曲線においてアフィン座標における完全な座標を
    復元するステップとを有するスカラー倍計算方法。
19. 【請求項１９】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報としてモンゴメリ型楕円曲線において射影座標で与え
    られたスカラー倍点のＸ座標及びＺ座標、前記スカラー
    倍点とモンゴメリ型楕円曲線上の点を加算した点の射影
    座標におけるＸ座標及びＺ座標並びに前記スカラー倍点
    とモンゴメリ型楕円曲線上の点を減算した点の射影座標
    におけるＸ座標及びＺ座標を与え、ワイエルシュトラス
    型楕円曲線において射影座標における完全な座標を復元
    するステップとを有するスカラー倍計算方法。
20. 【請求項２０】楕円曲線暗号における標数５以上の有限
    体上定義されたワイエルシュトラス型楕円曲線におい
    て、スカラー値及びワイエルシュトラス型楕円曲線上の
    点からスカラー倍点を計算するスカラー倍計算方法であ
    って、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換するステップと、モンゴメリ型楕円曲線にお
    けるスカラー倍点の部分情報を計算するステップと、前
    記モンゴメリ型楕円曲線におけるスカラー倍点の部分情
    報としてモンゴメリ型楕円曲線においてアフィン座標で
    与えられたスカラー倍点のｘ座標、前記スカラー倍点と
    モンゴメリ型楕円曲線上の点を加算した点のアフィン座
    標におけるｘ座標並びに前記スカラー倍点とモンゴメリ
    型楕円曲線上の点を減算した点のアフィン座標における
    ｘ座標を与え、ワイエルシュトラス型楕円曲線において
    アフィン座標における完全な座標を復元するステップと
    を有するスカラー倍計算方法。
21. 【請求項２１】第１のデータから第２のデータを生成す
    るデータ生成方法であって、請求項１から２０の何れか
    一つに記載のスカラー倍計算方法を用いてスカラー倍を
    計算するステップを有することを特徴とするデータ生成
    方法。
22. 【請求項２２】データから署名データを生成する署名生
    成方法であって、請求項１から２０の何れか一つに記載
    のスカラー倍計算方法を用いてスカラー倍を計算するス
    テップを有することを特徴とする署名生成方法。
23. 【請求項２３】暗号化されたデータから復号化されたデ
    ータを生成する復号化方法であって、請求項１から２０
    の何れか一つに記載のスカラー倍計算方法を用いてスカ
    ラー倍を計算するステップを有することを特徴とする復
    号化方法。
24. 【請求項２４】楕円曲線暗号における標数５以上の有限
    体上定義された楕円曲線において、スカラー値及び楕円
    曲線上の点からスカラー倍点を計算するスカラー倍計算
    装置であって、 前記スカラー倍点の部分情報を計算する高速スカラー倍
    計算部と、前記スカラー倍点の部分情報から完全な座標
    を復元する座標復元部とを有し、 前記スカラー倍計算装置は、高速スカラー倍計算部によ
    り前記スカラー倍点の部分情報を計算した後、座標復元
    部により前記スカラー倍点の部分情報から完全な座標を
    復元し、スカラー倍点を計算することを特徴とする。
25. 【請求項２５】楕円曲線暗号における標数５以上の有限
    体上定義された楕円曲線において、スカラー値及びワイ
    エルシュトラス型楕円曲線上の点からスカラー倍点を計
    算するスカラー倍計算装置であって、 前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円
    曲線に変換する楕円曲線変換部と、前記スカラー倍点の
    部分情報を計算する高速スカラー倍計算部と、前記スカ
    ラー倍点の部分情報から完全な座標を復元する座標復元
    部と、モンゴメリ型楕円曲線をワイエルシュトラス型楕
    円曲線に変換する楕円曲線逆変換部とを有し、 前記スカラー倍計算装置は、楕円曲線変換部により前記
    ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線
    に変換し、高速スカラー倍計算部によりモンゴメリ型楕
    円曲線におけるスカラー倍点の部分情報を計算し、座標
    復元部により前記モンゴメリ型楕円曲線におけるスカラ
    ー倍点の部分情報からモンゴメリ型楕円曲線において完
    全な座標を復元し、楕円曲線逆変換部によりモンゴメリ
    型楕円曲線において完全な座標が復元されたスカラー倍
    点からワイエルシュトラス型楕円曲線におけるスカラー
    倍点を計算し、スカラー倍点を計算することを特徴とす
    る。
26. 【請求項２６】請求項１から２０の何れか一つに記載の
    スカラー倍計算方法に係るプログラムを格納したことを
    特徴とする記憶媒体。
27. 【請求項２７】楕円曲線暗号における標数５以上の有限
    体上定義された楕円曲線において、不完全な座標で与え
    られた楕円曲線上の点から完全な座標を復元する座標復
    元方法であって、 前記不完全な座標を持つ点及び前記不完全な座標を持つ
    点と完全な座標を持つ点との加算及び減算によって得ら
    れる点により、前記不完全な座標を持つ点の座標を計算
    するステップを有する座標復元方法。
28. 【請求項２８】楕円曲線暗号における標数５以上の有限
    体上定義された楕円曲線において、不完全な座標で与え
    られた楕円曲線上の点から完全な座標を復元する座標復
    元方法であって、 前記不完全な座標を持つ点及び前記不完全な座標を持つ
    点と完全な座標を持つ点との加算によって得られる点か
    ら、前記不完全な座標を持つ点と完全な座標を持つ点と
    の減算によって得られる点を計算するステップと、前記
    不完全な座標を持つ点の座標を計算するステップを有す
    る座標復元方法。
29. 【請求項２９】楕円曲線暗号における標数５以上の有限
    体上定義されたモンゴメリ型楕円曲線において、不完全
    な座標で与えられたモンゴメリ型楕円曲線上の点からワ
    イエルシュトラス型楕円曲線において完全な座標を復元
    する座標復元方法であって、 前記モンゴメリ型楕円曲線において不完全な座標を持つ
    点及び前記モンゴメリ型楕円曲線において不完全な座標
    を持つ点と完全な座標を持つ点との加算及び減算によっ
    て得られる点から、前記モンゴメリ型楕円曲線において
    不完全な座標を持つ点の座標を計算するステップと、前
    記完全な座標が計算されたモンゴメリ型楕円曲線の点を
    ワイエルシュトラス型楕円曲線の点に変換するステップ
    とを有する座標復元方法。
30. 【請求項３０】楕円曲線暗号における標数５以上の有限
    体上定義されたモンゴメリ型楕円曲線において、不完全
    な座標で与えられたモンゴメリ型楕円曲線上の点からワ
    イエルシュトラス型楕円曲線において完全な座標を復元
    する座標復元方法であって、 前記モンゴメリ型楕円曲線において不完全な座標を持つ
    点及び前記モンゴメリ型楕円曲線において不完全な座標
    を持つ点と完全な座標を持つ点との加算によって得られ
    る点から、前記モンゴメリ型楕円曲線において不完全な
    座標を持つ点と完全な座標を持つ点との減算によって得
    られる点を計算するステップと、前記モンゴメリ型楕円
    曲線において不完全な座標を持つ点の座標を計算するス
    テップと、前記完全な座標が計算されたモンゴメリ型楕
    円曲線の点をワイエルシュトラス型楕円曲線の点に変換
    するステップとを有する座標復元方法。