JP2002215020A - べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体 - Google Patents
べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体Info
- Publication number
- JP2002215020A JP2002215020A JP2001013565A JP2001013565A JP2002215020A JP 2002215020 A JP2002215020 A JP 2002215020A JP 2001013565 A JP2001013565 A JP 2001013565A JP 2001013565 A JP2001013565 A JP 2001013565A JP 2002215020 A JP2002215020 A JP 2002215020A
- Authority
- JP
- Japan
- Prior art keywords
- mod
- remainder
- expression
- value
- base
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Classifications
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/723—Modular exponentiation
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/729—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic using representation by a residue number system
-
- G—PHYSICS
- G06—COMPUTING; CALCULATING OR COUNTING
- G06F—ELECTRIC DIGITAL DATA PROCESSING
- G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
- G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
- G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
- G06F7/728—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic using Montgomery reduction
Landscapes
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Engineering & Computer Science (AREA)
- Computational Mathematics (AREA)
- Mathematical Analysis (AREA)
- Mathematical Optimization (AREA)
- Pure & Applied Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Computing Systems (AREA)
- Mathematical Physics (AREA)
- General Engineering & Computer Science (AREA)
- Complex Calculations (AREA)
Abstract
(57)【要約】
【課題】 より効率良く実行可能にしたべき乗剰余計算
装置を提供すること。 【解決手段】 暗号文Ｃに対し、第１及び第２の基底に
よる剰余系表現を利用して（両基底に含まれる全整数は
互いに素、第１の基底の全整数の積Ａ，第２の基底の全
整数の積Ｂ＞ｐ，ｑ、Ａ＊Ｂ＞Ｃとする）、平文ｍ＝Ｃ
＾ｄ ｍｏｄ ｐ＊ｑを求める。まず、ｐについてＣ
ｍｏｄ ｐの剰余系表現とｄ ｍｏｄ （ｐ−１）に基
づき（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐを加
算した値の剰余系表現を求め、ｑについても同様にする
（１２３、１２４）。得られた両剰余系表現に基づき法
ｐ＊ｑの元でＣ＾ｄと合同であるｍ’の剰余系表現を求
める（１２３〜１２６）。ｍ’の剰余系表現を２進数表
現に変換する（１２８）。得られたｐ＊ｑ未満のｍ’の
値又はｐ＊ｑ以上のｍ’から所定回数ｐ＊ｑを減じるこ
とによって得たｐ＊ｑ未満の値を平文ｍとして出力する
（１３０）。
装置を提供すること。 【解決手段】 暗号文Ｃに対し、第１及び第２の基底に
よる剰余系表現を利用して（両基底に含まれる全整数は
互いに素、第１の基底の全整数の積Ａ，第２の基底の全
整数の積Ｂ＞ｐ，ｑ、Ａ＊Ｂ＞Ｃとする）、平文ｍ＝Ｃ
＾ｄ ｍｏｄ ｐ＊ｑを求める。まず、ｐについてＣ
ｍｏｄ ｐの剰余系表現とｄ ｍｏｄ （ｐ−１）に基
づき（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐを加
算した値の剰余系表現を求め、ｑについても同様にする
（１２３、１２４）。得られた両剰余系表現に基づき法
ｐ＊ｑの元でＣ＾ｄと合同であるｍ’の剰余系表現を求
める（１２３〜１２６）。ｍ’の剰余系表現を２進数表
現に変換する（１２８）。得られたｐ＊ｑ未満のｍ’の
値又はｐ＊ｑ以上のｍ’から所定回数ｐ＊ｑを減じるこ
とによって得たｐ＊ｑ未満の値を平文ｍとして出力する
（１３０）。
Description
【０００１】
【発明の属する技術分野】本発明は、対象データＣ及び
独立パラメータｐ、ｑ、ｄについてｍ＝Ｃ＾ｄｍｏｄ
ｐ＊ｑを求めるためのべき乗剰余計算装置及びべき乗剰
余計算方法に関する。
独立パラメータｐ、ｑ、ｄについてｍ＝Ｃ＾ｄｍｏｄ
ｐ＊ｑを求めるためのべき乗剰余計算装置及びべき乗剰
余計算方法に関する。
【０００２】
【従来の技術】整数演算（加減乗算）の並列処理が可能
となる剰余系（Ｒｅｓｉｄｕｅ Ｎｕｍｂｅｒ Ｓｙｓ
ｔｅｍ：ＲＮＳ）表現をベースに、公開鍵暗号のアルゴ
リズム（べき乗剰余演算）を実現するための基本要素と
なる剰余乗算を、モンゴメリ乗算と融合させて実現する
アルゴリズムおよびそのハードウェア構成が提案されて
いる。これをＲＮＳモンゴメリ乗算と呼ぶことにする。
となる剰余系（Ｒｅｓｉｄｕｅ Ｎｕｍｂｅｒ Ｓｙｓ
ｔｅｍ：ＲＮＳ）表現をベースに、公開鍵暗号のアルゴ
リズム（べき乗剰余演算）を実現するための基本要素と
なる剰余乗算を、モンゴメリ乗算と融合させて実現する
アルゴリズムおよびそのハードウェア構成が提案されて
いる。これをＲＮＳモンゴメリ乗算と呼ぶことにする。
【０００３】ここで、ＲＮＳ表現（剰余系表現）につい
て説明する。ＲＳＡ暗号などの公開鍵暗号の多くでは多
倍長整数を利用して変換を行うが、多倍長整数の表現に
通常利用されるのは基数を２とした記数法（Ｒａｄｉｘ
ｒｅｐｒｅｓｅｎｔａｔｉｏｎ）、いわゆる２進数表
現である。これとは別の方法に、複数の法ａ1 ，ａ2，
…，ａn を用意し、整数ｘをそれらの法による剰余値ｘ
1 ，ｘ2 ，…，ｘn の組で表現する方法がある。すなわ
ち、以下の式による。 ｘ1 ＝ｘ ｍｏｄ ａ1 ，ｘ2 ＝ｘ ｍｏｄ ａ2 ，
…，ｘn ＝ｘ ｍｏｄａn この表現法はＲＮＳ表現と呼ばれる。
て説明する。ＲＳＡ暗号などの公開鍵暗号の多くでは多
倍長整数を利用して変換を行うが、多倍長整数の表現に
通常利用されるのは基数を２とした記数法（Ｒａｄｉｘ
ｒｅｐｒｅｓｅｎｔａｔｉｏｎ）、いわゆる２進数表
現である。これとは別の方法に、複数の法ａ1 ，ａ2，
…，ａn を用意し、整数ｘをそれらの法による剰余値ｘ
1 ，ｘ2 ，…，ｘn の組で表現する方法がある。すなわ
ち、以下の式による。 ｘ1 ＝ｘ ｍｏｄ ａ1 ，ｘ2 ＝ｘ ｍｏｄ ａ2 ，
…，ｘn ＝ｘ ｍｏｄａn この表現法はＲＮＳ表現と呼ばれる。
【０００４】以下では、ＲＮＳ表現で用いる法の集合
を、基底（ｂａｓｅ）と呼ぶものとする。また、基底の
要素数ｎを基底サイズと呼ぶものとする。基底サイズｎ
の基底ａは、次のように表される。 ａ＝｛ａ1 ，ａ2 ，…，ａn ｝ ＲＮＳ表現では、各基底の要素は、通常、互いに素な正
整数を用い、中国剰余定理により“基底の要素の積”未
満の正整数はＲＮＳ表現により一意に表現できることが
保証される。すなわち、基底ａ＝｛ａ1 ，ａ2 ，…，ａ
n ｝ 基底ａの要素の積Ａ＝ａ1 ＊ａ2 ＊…＊ａn としたときに、基底ａを用いたＲＮＳ表現によりＡ未満
の正整数を表現できる。
を、基底（ｂａｓｅ）と呼ぶものとする。また、基底の
要素数ｎを基底サイズと呼ぶものとする。基底サイズｎ
の基底ａは、次のように表される。 ａ＝｛ａ1 ，ａ2 ，…，ａn ｝ ＲＮＳ表現では、各基底の要素は、通常、互いに素な正
整数を用い、中国剰余定理により“基底の要素の積”未
満の正整数はＲＮＳ表現により一意に表現できることが
保証される。すなわち、基底ａ＝｛ａ1 ，ａ2 ，…，ａ
n ｝ 基底ａの要素の積Ａ＝ａ1 ＊ａ2 ＊…＊ａn としたときに、基底ａを用いたＲＮＳ表現によりＡ未満
の正整数を表現できる。
【０００５】以下では、基底ａを用いてＲＮＳ表現され
た整数ｘを、＜ｘ＞＿ａで表すものとする（基底を省略
して＜ｘ＞で表すこともある）。すなわち、 ＜ｘ＞＿ａ＝（ｘ1 ，ｘ2 ，…，ｘn ） ＝（x mod a1 ， x mod a2 ，…， x mod an ） である。
た整数ｘを、＜ｘ＞＿ａで表すものとする（基底を省略
して＜ｘ＞で表すこともある）。すなわち、 ＜ｘ＞＿ａ＝（ｘ1 ，ｘ2 ，…，ｘn ） ＝（x mod a1 ， x mod a2 ，…， x mod an ） である。
【０００６】なお、以下の演算で、２種類の基底を用い
る場合に、基底ａ＝｛ａ1 ，ａ2 ，…，ａn1 ｝と基底
ｂ＝｛ｂ1 ，ｂ2 ，…，ｂn2 ｝について、ａＵｂは、
｛ａ1，ａ2 ，…，ａn1 ｝と｛ｂ1 ，ｂ2 ，…，
ｂn2 ｝の結合を表し、＜ｘ＞＿ａＵｂは、基底ａＵｂ
によるｘのＲＮＳ表現を表す（すなわち、＜ｘ＞＿ａＵ
ｂは、＜ｘ＞＿ａ＝（x mod a1 ， x mod a2 ，…， x
mod an1 ）と＜ｘ＞＿ｂ＝（xmod b1 ， x mod b2 ，
…， x mod bn2 ）の結合を表す）。また、この場合
に、２種類の基底ｎ１＝ｎ２＝ｎとして説明する。
る場合に、基底ａ＝｛ａ1 ，ａ2 ，…，ａn1 ｝と基底
ｂ＝｛ｂ1 ，ｂ2 ，…，ｂn2 ｝について、ａＵｂは、
｛ａ1，ａ2 ，…，ａn1 ｝と｛ｂ1 ，ｂ2 ，…，
ｂn2 ｝の結合を表し、＜ｘ＞＿ａＵｂは、基底ａＵｂ
によるｘのＲＮＳ表現を表す（すなわち、＜ｘ＞＿ａＵ
ｂは、＜ｘ＞＿ａ＝（x mod a1 ， x mod a2 ，…， x
mod an1 ）と＜ｘ＞＿ｂ＝（xmod b1 ， x mod b2 ，
…， x mod bn2 ）の結合を表す）。また、この場合
に、２種類の基底ｎ１＝ｎ２＝ｎとして説明する。
【０００７】ＲＮＳ表現の利点は、基底の全要素の積Ａ
を法とした加算、減算、乗算が簡単に計算できることで
ある。すなわち、以下のように各要素をそれぞれの法に
よって独立に加算、減算、乗算した結果が、所望の結果
となる。 <x>_a＋<y>_a (mod A)＝(x1 ＋y1 (mod a1 )， x2 ＋y
2 (mod a2 )，…， x n ＋yn (mod an )) <x>_a−<y>_a (mod A)＝(x1 −y1 (mod a1 )， x2 −y
2 (mod a2 )，…， x n −yn (mod an )) <x>_a ＊<y>_a (mod A)＝(x1 ＊y1 (mod a1 )， x2 ＊
y2 (mod a2 )，…，xn ＊yn (mod an )) なお、上記の演算を、それぞれ、ＲＮＳ加算、ＲＮＳ減
算、ＲＮＳ乗算と呼ぶものとする。
を法とした加算、減算、乗算が簡単に計算できることで
ある。すなわち、以下のように各要素をそれぞれの法に
よって独立に加算、減算、乗算した結果が、所望の結果
となる。 <x>_a＋<y>_a (mod A)＝(x1 ＋y1 (mod a1 )， x2 ＋y
2 (mod a2 )，…， x n ＋yn (mod an )) <x>_a−<y>_a (mod A)＝(x1 −y1 (mod a1 )， x2 −y
2 (mod a2 )，…， x n −yn (mod an )) <x>_a ＊<y>_a (mod A)＝(x1 ＊y1 (mod a1 )， x2 ＊
y2 (mod a2 )，…，xn ＊yn (mod an )) なお、上記の演算を、それぞれ、ＲＮＳ加算、ＲＮＳ減
算、ＲＮＳ乗算と呼ぶものとする。
【０００８】従って、ｎ個の演算はすべて並列に処理可
能であるため、ｎ個の演算ユニットを用意すればすべて
を並列に処理して高速な処理が行えるし、用意する演算
ユニットがｎ個に満たなくても１個からｎ個まで増やす
程それに比例して演算速度を向上できる。
能であるため、ｎ個の演算ユニットを用意すればすべて
を並列に処理して高速な処理が行えるし、用意する演算
ユニットがｎ個に満たなくても１個からｎ個まで増やす
程それに比例して演算速度を向上できる。
【０００９】次に、ＲＮＳモンゴメリ乗算およびＲＮＳ
モンゴメリべき乗について説明する。
モンゴメリべき乗について説明する。
【００１０】ＲＮＳモンゴメリ乗算は、法ｐでの剰余付
き乗算（＜ｘ＞＊＜ｙ＞ （ｍｏｄＮ））に関し、モン
ゴメリ乗算と呼ばれる手法をＲＮＳ表現での演算に応用
する手法であり、概ね以下の手順で計算される。
き乗算（＜ｘ＞＊＜ｙ＞ （ｍｏｄＮ））に関し、モン
ゴメリ乗算と呼ばれる手法をＲＮＳ表現での演算に応用
する手法であり、概ね以下の手順で計算される。
【００１１】［ＲＮＳモンゴメリ乗算：ＭＭ（ ＜ｘ＞
＿ａＵｂ， ＜ｙ＞＿ａＵｂ， Ｎ， ａＵｂ ）］ 入力：＜ｘ＞＿ａＵｂ， ＜ｙ＞＿ａＵｂ， Ｎ ただし、ｘ，ｙ ＜ ２Ｎ 基底：ａ，ｂ ただし、ｘ，ｙ，Ｎ ＜ Ａ，Ｂ 出力：＜ｗ＞＿ａＵｂ ただし、ｗ＝ｘ＊ｙ＊Ｂ＾(-1) ｍｏｄ Ｎ ＜処理内容＞ Step-Ｍ-０： ＜（−Ｎ＾(-1)）＞＿ｂを計算する。 Step-Ｍ-１： ＜ｓ＞＿ａ＝＜ｘ＞＿ａ ＊ ＜ｙ＞＿
ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜ｘ＞＿ｂ ＊ ＜ｙ＞＿
ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−N
＾(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜Ｎ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜ｗ＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ＾(-
1)＞＿ａを計算する。 Step-Ｍ-８： ＜ｗ＞＿ａを＜ｗ＞＿ｂへ基底変換す
る。
＿ａＵｂ， ＜ｙ＞＿ａＵｂ， Ｎ， ａＵｂ ）］ 入力：＜ｘ＞＿ａＵｂ， ＜ｙ＞＿ａＵｂ， Ｎ ただし、ｘ，ｙ ＜ ２Ｎ 基底：ａ，ｂ ただし、ｘ，ｙ，Ｎ ＜ Ａ，Ｂ 出力：＜ｗ＞＿ａＵｂ ただし、ｗ＝ｘ＊ｙ＊Ｂ＾(-1) ｍｏｄ Ｎ ＜処理内容＞ Step-Ｍ-０： ＜（−Ｎ＾(-1)）＞＿ｂを計算する。 Step-Ｍ-１： ＜ｓ＞＿ａ＝＜ｘ＞＿ａ ＊ ＜ｙ＞＿
ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜ｘ＞＿ｂ ＊ ＜ｙ＞＿
ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−N
＾(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜Ｎ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜ｗ＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ＾(-
1)＞＿ａを計算する。 Step-Ｍ-８： ＜ｗ＞＿ａを＜ｗ＞＿ｂへ基底変換す
る。
【００１２】なお、上記の手順のうちStep-Ｍ-４やStep
-Ｍ-８の基底変換は、ある基底によるＲＮＳ表現に対応
するある整数（例えば、基底ｂによるＲＮＳ表現＜ｔ＞
＿ｂに対応する整数ｔ）の、他の基底によるＲＮＳ表現
（例えば、基底ａによるＲＮＳ表現＜ｔ＞＿ａ）を求め
る処理である。
-Ｍ-８の基底変換は、ある基底によるＲＮＳ表現に対応
するある整数（例えば、基底ｂによるＲＮＳ表現＜ｔ＞
＿ｂに対応する整数ｔ）の、他の基底によるＲＮＳ表現
（例えば、基底ａによるＲＮＳ表現＜ｔ＞＿ａ）を求め
る処理である。
【００１３】ＲＮＳモンゴメリ乗算器も並列に処理を行
う演算ユニットを増加させることにより、高速処理が可
能となる。
う演算ユニットを増加させることにより、高速処理が可
能となる。
【００１４】また、ＲＮＳモンゴメリ乗算を繰り返し行
うことで（ＲＮＳモンゴメリ乗算器を繰り返し利用する
ことで）べき乗計算を行うことによりＲＳＡ暗号の暗号
処理を構成する方法が提案されている。このべき乗計算
法をＲＮＳモンゴメリべき乗と呼ぶものとする。ＲＮＳ
モンゴメリべき乗は、概ね以下の手順で計算される。
うことで（ＲＮＳモンゴメリ乗算器を繰り返し利用する
ことで）べき乗計算を行うことによりＲＳＡ暗号の暗号
処理を構成する方法が提案されている。このべき乗計算
法をＲＮＳモンゴメリべき乗と呼ぶものとする。ＲＮＳ
モンゴメリべき乗は、概ね以下の手順で計算される。
【００１５】［ＲＮＳモンゴメリべき乗：ＭＥＸＰ（
＜ｘ＞＿ａＵｂ， ｄ， Ｎ， ａＵｂ ）］ 入力：＜ｘ＞＿ａＵｂ， 指数ｄ＝（ｄ＿ｋ， ｄ＿ｋ
−１， …， ｄ＿１）＿２、法Ｎ ただし、ｘ ＜ ２Ｎ 基底：ａ，ｂ ただし、ｘ，Ｎ ＜ Ａ，Ｂ 出力：＜ｙ＞＿ａＵｂ ただし、ｙ＝ｘ＾ｄ＊Ｂ＾(-(d-1)) ｍｏｄ Ｎ ＜処理内容＞ Step-Ｅ-１： ｉ＝ｋとする。＜ｙ＞＿ａＵｂ＝＜Ｂ＞
＿ａＵｂとする。 Step-Ｅ-２： ＜ｙ＞＿ａＵｂ＝ＭＭ（＜ｙ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，Ｎ，ａＵｂ）を計算する。 Step-Ｅ-３： ｄ＿ｉ＝１ならば、＜ｙ＞＿ａＵｂ＝Ｍ
Ｍ（＜ｙ＞＿ａＵｂ，＜ｘ＞＿ａＵｂ，Ｎ，ａＵｂ）を
計算する。ｄ＿ｉ≠１ならば、なにもしない（ｎｏ
ｐ）。 Step-Ｅ-４： ｉ＝ｉ−１とする。 Step-Ｅ-５： ｉ＝０ならば、終了する。ｉ≠０なら
ば、Step-Ｅ-２へ戻る。
＜ｘ＞＿ａＵｂ， ｄ， Ｎ， ａＵｂ ）］ 入力：＜ｘ＞＿ａＵｂ， 指数ｄ＝（ｄ＿ｋ， ｄ＿ｋ
−１， …， ｄ＿１）＿２、法Ｎ ただし、ｘ ＜ ２Ｎ 基底：ａ，ｂ ただし、ｘ，Ｎ ＜ Ａ，Ｂ 出力：＜ｙ＞＿ａＵｂ ただし、ｙ＝ｘ＾ｄ＊Ｂ＾(-(d-1)) ｍｏｄ Ｎ ＜処理内容＞ Step-Ｅ-１： ｉ＝ｋとする。＜ｙ＞＿ａＵｂ＝＜Ｂ＞
＿ａＵｂとする。 Step-Ｅ-２： ＜ｙ＞＿ａＵｂ＝ＭＭ（＜ｙ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，Ｎ，ａＵｂ）を計算する。 Step-Ｅ-３： ｄ＿ｉ＝１ならば、＜ｙ＞＿ａＵｂ＝Ｍ
Ｍ（＜ｙ＞＿ａＵｂ，＜ｘ＞＿ａＵｂ，Ｎ，ａＵｂ）を
計算する。ｄ＿ｉ≠１ならば、なにもしない（ｎｏ
ｐ）。 Step-Ｅ-４： ｉ＝ｉ−１とする。 Step-Ｅ-５： ｉ＝０ならば、終了する。ｉ≠０なら
ば、Step-Ｅ-２へ戻る。
【００１６】なお、上記の手順のうち、Step-Ｅ-２やSt
ep-Ｅ-３でのＭＭ（ ）は、先に説明したＲＮＳモンゴ
メリ乗算を表す。
ep-Ｅ-３でのＭＭ（ ）は、先に説明したＲＮＳモンゴ
メリ乗算を表す。
【００１７】次に、ＣＲＴべき乗剰余計算について説明
する。
する。
【００１８】ＲＳＡ暗号は、公開鍵（Ｎ、ｅ）、秘密鍵
（ｄ、ｐ、ｑ）に対し、Ｃ＝ｍ＾ｅｍｏｄ Ｎで平文ｍ
を暗号文Ｃに暗号変換し、ｍ＝Ｃ＾ｄ ｍｏｄ Ｎで暗
号文Ｃを平文ｍに復号変換する。ここで、公開鍵である
法Ｎの秘密素因数ｐ、ｑを利用して復号変換をより効率
的に実行する計算法である、中国剰余定理（Ｃｈｉｎｅ
ｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ：ＣＲＴ）
を利用したべき乗計算法が知られている。このようなべ
き乗計算法を、ＣＲＴべき乗剰余計算と呼ぶものとす
る。
（ｄ、ｐ、ｑ）に対し、Ｃ＝ｍ＾ｅｍｏｄ Ｎで平文ｍ
を暗号文Ｃに暗号変換し、ｍ＝Ｃ＾ｄ ｍｏｄ Ｎで暗
号文Ｃを平文ｍに復号変換する。ここで、公開鍵である
法Ｎの秘密素因数ｐ、ｑを利用して復号変換をより効率
的に実行する計算法である、中国剰余定理（Ｃｈｉｎｅ
ｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ：ＣＲＴ）
を利用したべき乗計算法が知られている。このようなべ
き乗計算法を、ＣＲＴべき乗剰余計算と呼ぶものとす
る。
【００１９】 ＜ＣＲＴべき乗剰余計算手順＞ （Step-C-１） ｄｐ＝ｄ ｍｏｄ （ｐ−１） ｄｑ＝ｄ ｍｏｄ （ｑ−１） （Step-C-２） Ｃｐ＝Ｃ ｍｏｄ ｐ Ｃｑ＝Ｃ ｍｏｄ ｑ （Step-C-３） ｍｐ＝Ｃｐ＾ｄｐ ｍｏｄ ｐ ｍｑ＝Ｃｑ＾ｄｑ ｍｏｄ ｑ （Step-C-４） ｍ＝ｍｐ＊（ｑ＾(-1) mod ｐ）＊ｑ ＋ ｍｑ＊（ｐ＾(-1) mod ｑ）＊ｐ （mod Ｎ） なお、上記の手順において、ｄｐ、ｄｑ、（ｑ＾(-1)
ｍｏｄ ｐ）、（ｐ＾(-1) ｍｏｄ ｑ）といったパラ
メータは秘密鍵のみに依存するので、事前に計算し、秘
密鍵の一部として記憶しておくことが一般的である。
ｍｏｄ ｐ）、（ｐ＾(-1) ｍｏｄ ｑ）といったパラ
メータは秘密鍵のみに依存するので、事前に計算し、秘
密鍵の一部として記憶しておくことが一般的である。
【００２０】ＣＲＴべき乗剰余計算の計算量は、その支
配的な部分が（Step-C-３）のべき乗剰余計算２回であ
り、べき乗剰余計算は法のサイズの３乗に比例すること
に注意すると、２進表現でのべき乗剰余計算とＣＲＴべ
き乗剰余計算の計算量は約１／４であることが分かる。
なお、（Step-C-３）のべき乗計算を２つの計算回路で
同時に実行すれば計算時間は約１／８にできる。
配的な部分が（Step-C-３）のべき乗剰余計算２回であ
り、べき乗剰余計算は法のサイズの３乗に比例すること
に注意すると、２進表現でのべき乗剰余計算とＣＲＴべ
き乗剰余計算の計算量は約１／４であることが分かる。
なお、（Step-C-３）のべき乗計算を２つの計算回路で
同時に実行すれば計算時間は約１／８にできる。
【００２１】しかしながら、ＲＮＳモンゴメリ乗算によ
るＲＳＡ暗号装置においてＣＲＴべき乗剰余計算の具体
的な手順は示されておらず、ＲＳＡ復号変換（秘密変
換）を同装置でより短時間に計算することはできなかっ
た。
るＲＳＡ暗号装置においてＣＲＴべき乗剰余計算の具体
的な手順は示されておらず、ＲＳＡ復号変換（秘密変
換）を同装置でより短時間に計算することはできなかっ
た。
【００２２】
【発明が解決しようとする課題】従来、ＲＮＳモンゴメ
リ乗算によるＣＲＴべき乗剰余計算の具体的な手順が知
られていなかったため、ＲＳＡ復号変換（秘密変換）の
ような大きな整数のべき乗剰余計算をより高速化するこ
とが困難であった。
リ乗算によるＣＲＴべき乗剰余計算の具体的な手順が知
られていなかったため、ＲＳＡ復号変換（秘密変換）の
ような大きな整数のべき乗剰余計算をより高速化するこ
とが困難であった。
【００２３】本発明は、上記事情を考慮してなされたも
ので、べき乗剰余計算をより効率良く実行可能にしたべ
き乗剰余計算装置及びべき乗剰余計算方法を提供するこ
とを目的とする。
ので、べき乗剰余計算をより効率良く実行可能にしたべ
き乗剰余計算装置及びべき乗剰余計算方法を提供するこ
とを目的とする。
【００２４】
【課題を解決するための手段】本発明は、対象データＣ
及び独立パラメータｐ、ｑ、ｄについて、複数の整数の
組からなる第１の基底及び第２の基底による剰余系表現
を利用して（ただし、両基底に含まれる全整数は互いに
素、且つ、第１の基底の全整数の積Ａ＞ｐ，ｑ、且つ、
第２の基底の全整数の積Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃ
とする）、計算結果ｍ＝Ｃ＾ｄ ｍｏｄ ｐ＊ｑを求め
るためのべき乗剰余計算装置であって、前記データＣの
ｐによる剰余値Ｃｐの剰余系表現及び前記パラメータｄ
の（ｐ−１）による剰余値ｄｐに基づき、（Ｃｐ＾ｄ
ｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加えられた値の剰
余系表現を求めるための第１の処理手段と、前記データ
Ｃのｑによる剰余値Ｃｑの剰余系表現及び前記パラメー
タｄの（ｑ−１）による剰余値ｄｑに基づき、（Ｃｑ＾
ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加えられた値の
剰余系表現を求めるための第２の処理手段と、前記第１
及び第２の処理手段により求められた両剰余系表現に基
づき、法ｐ＊ｑの元でＣ＾ｄと合同である整数ｍ’の剰
余系表現を求めるための第３の処理手段と、前記第３の
処理手段により求められた前記剰余系表現を２進数表現
に変換して得られた前記整数ｍ’の値に基づき、前記計
算結果ｍを求めるための第４の処理手段とを備えたこと
を特徴とする。
及び独立パラメータｐ、ｑ、ｄについて、複数の整数の
組からなる第１の基底及び第２の基底による剰余系表現
を利用して（ただし、両基底に含まれる全整数は互いに
素、且つ、第１の基底の全整数の積Ａ＞ｐ，ｑ、且つ、
第２の基底の全整数の積Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃ
とする）、計算結果ｍ＝Ｃ＾ｄ ｍｏｄ ｐ＊ｑを求め
るためのべき乗剰余計算装置であって、前記データＣの
ｐによる剰余値Ｃｐの剰余系表現及び前記パラメータｄ
の（ｐ−１）による剰余値ｄｐに基づき、（Ｃｐ＾ｄ
ｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加えられた値の剰
余系表現を求めるための第１の処理手段と、前記データ
Ｃのｑによる剰余値Ｃｑの剰余系表現及び前記パラメー
タｄの（ｑ−１）による剰余値ｄｑに基づき、（Ｃｑ＾
ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加えられた値の
剰余系表現を求めるための第２の処理手段と、前記第１
及び第２の処理手段により求められた両剰余系表現に基
づき、法ｐ＊ｑの元でＣ＾ｄと合同である整数ｍ’の剰
余系表現を求めるための第３の処理手段と、前記第３の
処理手段により求められた前記剰余系表現を２進数表現
に変換して得られた前記整数ｍ’の値に基づき、前記計
算結果ｍを求めるための第４の処理手段とを備えたこと
を特徴とする。
【００２５】好ましくは、前記第１の処理手段は、前記
剰余値Ｃｐ＝Ｃ ｍｏｄ ｐの剰余系表現とＢ＾２ ｍ
ｏｄ ｐの剰余系表現とのＲＮＳモンゴメリ乗算を行
い、これにより得られた剰余系表現について指数部を前
記剰余値ｄｐ＝ｄ ｍｏｄ （ｐ−１）とするＲＮＳモ
ンゴメリべき乗を行うことによって、（Ｃｐ＾ｄｐ）＊
Ｂ ｍｏｄ ｐ又はこれにｐが加えられた値の剰余系表
現を求め、前記第２の処理手段は、前記剰余値Ｃｑ＝Ｃ
ｍｏｄ ｑの剰余系表現とＢ＾２ ｍｏｄ ｑの剰余
系表現とのＲＮＳモンゴメリ乗算を行い、これにより得
られた剰余系表現について指数部を前記剰余値ｄｑ＝ｄ
ｍｏｄ （ｑ−１）とするＲＮＳモンゴメリべき乗を
行うことによって、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又
はこれにｑが加えられた値の剰余系表現を求めるように
してもよい。
剰余値Ｃｐ＝Ｃ ｍｏｄ ｐの剰余系表現とＢ＾２ ｍ
ｏｄ ｐの剰余系表現とのＲＮＳモンゴメリ乗算を行
い、これにより得られた剰余系表現について指数部を前
記剰余値ｄｐ＝ｄ ｍｏｄ （ｐ−１）とするＲＮＳモ
ンゴメリべき乗を行うことによって、（Ｃｐ＾ｄｐ）＊
Ｂ ｍｏｄ ｐ又はこれにｐが加えられた値の剰余系表
現を求め、前記第２の処理手段は、前記剰余値Ｃｑ＝Ｃ
ｍｏｄ ｑの剰余系表現とＢ＾２ ｍｏｄ ｑの剰余
系表現とのＲＮＳモンゴメリ乗算を行い、これにより得
られた剰余系表現について指数部を前記剰余値ｄｑ＝ｄ
ｍｏｄ （ｑ−１）とするＲＮＳモンゴメリべき乗を
行うことによって、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又
はこれにｑが加えられた値の剰余系表現を求めるように
してもよい。
【００２６】好ましくは、前記第３の処理手段は、前記
第１の処理手段により得られた前記剰余系表現と前記パ
ラメータｑの法ｐにおける逆元ｑｉｎｖ＝ｑ＾（−１）
ｍｏｄ ｐの剰余系表現とのＲＮＳモンゴメリ乗算を
行い、これによって得られた剰余系表現と前記パラメー
タｑの剰余系表現とのＲＮＳ乗算を行うとともに、前記
第２の処理手段により得られた前記剰余系表現と前記パ
ラメータｐの法ｑにおける逆元ｐｉｎｖ＝ｐ＾（−１）
ｍｏｄ ｑの剰余系表現とのＲＮＳモンゴメリ乗算を
行い、これによって得られた剰余系表現と前記パラメー
タｐの剰余系表現とのＲＮＳ乗算を行い、これらにより
得られた両ＲＮＳ乗算の結果のＲＮＳ加算を行うことに
よって、前記法ｐ＊ｑにおいてＣ＾ｄと合同である整数
ｍ’の剰余系表現を求めるようにしてもよい。
第１の処理手段により得られた前記剰余系表現と前記パ
ラメータｑの法ｐにおける逆元ｑｉｎｖ＝ｑ＾（−１）
ｍｏｄ ｐの剰余系表現とのＲＮＳモンゴメリ乗算を
行い、これによって得られた剰余系表現と前記パラメー
タｑの剰余系表現とのＲＮＳ乗算を行うとともに、前記
第２の処理手段により得られた前記剰余系表現と前記パ
ラメータｐの法ｑにおける逆元ｐｉｎｖ＝ｐ＾（−１）
ｍｏｄ ｑの剰余系表現とのＲＮＳモンゴメリ乗算を
行い、これによって得られた剰余系表現と前記パラメー
タｐの剰余系表現とのＲＮＳ乗算を行い、これらにより
得られた両ＲＮＳ乗算の結果のＲＮＳ加算を行うことに
よって、前記法ｐ＊ｑにおいてＣ＾ｄと合同である整数
ｍ’の剰余系表現を求めるようにしてもよい。
【００２７】好ましくは、前記第１の処理手段及び第２
の処理手段はそれらの処理の少なくとも一部を同時に実
行するようにしてもよい。
の処理手段はそれらの処理の少なくとも一部を同時に実
行するようにしてもよい。
【００２８】好ましくは、前記第１の処理手段及び第２
の処理手段は前記基底の要素ごとに行う演算につき該要
素の数に相当する演算の全部または一部を同時に実行す
るようにしてもよい。
の処理手段は前記基底の要素ごとに行う演算につき該要
素の数に相当する演算の全部または一部を同時に実行す
るようにしてもよい。
【００２９】好ましくは、前記第４の処理手段は、前記
第３の処理手段により求められた前記整数ｍ’の剰余系
表現を２進数表現に変換するための手段と、この手段に
より得られたｐ＊ｑ未満の前記整数ｍ’の値又はｐ＊ｑ
以上の前記整数ｍ’から所定回数ｐ＊ｑを減じることに
よって得たｐ＊ｑ未満の値を、ｍ＝Ｃ＾ｄ ｍｏｄｐ＊
ｑとするための手段とを含むようにしてもよい。
第３の処理手段により求められた前記整数ｍ’の剰余系
表現を２進数表現に変換するための手段と、この手段に
より得られたｐ＊ｑ未満の前記整数ｍ’の値又はｐ＊ｑ
以上の前記整数ｍ’から所定回数ｐ＊ｑを減じることに
よって得たｐ＊ｑ未満の値を、ｍ＝Ｃ＾ｄ ｍｏｄｐ＊
ｑとするための手段とを含むようにしてもよい。
【００３０】また、本発明は、対象データＣ及び独立パ
ラメータｐ、ｑ、ｄについて、複数の整数の組からなる
第１の基底及び第２の基底による剰余系表現を利用して
（ただし、両基底に含まれる全整数は互いに素、且つ、
第１の基底の全整数の積Ａ＞ｐ，ｑ、且つ、第２の基底
の全整数の積Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、
ｍ＝Ｃ＾ｄ ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余
計算方法であって、前記データＣのｐによる剰余値Ｃｐ
の剰余系表現及び前記パラメータｄの（ｐ−１）による
剰余値ｄｐに基づき、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ
又はこれにｐが加えられた値の剰余系表現を求めるとと
もに、前記データＣのｑによる剰余値Ｃｑの剰余系表現
及び前記パラメータｄの（ｑ−１）による剰余値ｄｑに
基づき、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑ
が加えられた値の剰余系表現を求め、求められた両剰余
系表現に基づき、法ｐ＊ｑの元でＣ＾ｄと合同である整
数ｍ’の剰余系表現を求め、求められた前記剰余系表現
を２進数表現に変換して得られた前記整数ｍ’の値に基
づき、前記計算結果ｍを求めることを特徴とする。
ラメータｐ、ｑ、ｄについて、複数の整数の組からなる
第１の基底及び第２の基底による剰余系表現を利用して
（ただし、両基底に含まれる全整数は互いに素、且つ、
第１の基底の全整数の積Ａ＞ｐ，ｑ、且つ、第２の基底
の全整数の積Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、
ｍ＝Ｃ＾ｄ ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余
計算方法であって、前記データＣのｐによる剰余値Ｃｐ
の剰余系表現及び前記パラメータｄの（ｐ−１）による
剰余値ｄｐに基づき、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ
又はこれにｐが加えられた値の剰余系表現を求めるとと
もに、前記データＣのｑによる剰余値Ｃｑの剰余系表現
及び前記パラメータｄの（ｑ−１）による剰余値ｄｑに
基づき、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑ
が加えられた値の剰余系表現を求め、求められた両剰余
系表現に基づき、法ｐ＊ｑの元でＣ＾ｄと合同である整
数ｍ’の剰余系表現を求め、求められた前記剰余系表現
を２進数表現に変換して得られた前記整数ｍ’の値に基
づき、前記計算結果ｍを求めることを特徴とする。
【００３１】なお、装置に係る本発明は方法に係る発明
としても成立し、方法に係る本発明は装置に係る発明と
しても成立する。また、装置または方法に係る本発明
は、コンピュータに当該発明に相当する手順を実行させ
るための（あるいはコンピュータを当該発明に相当する
手段として機能させるための、あるいはコンピュータに
当該発明に相当する機能を実現させるための）プログラ
ムとしても成立し、該プログラムを記録したコンピュー
タ読取り可能な記録媒体としても成立する。
としても成立し、方法に係る本発明は装置に係る発明と
しても成立する。また、装置または方法に係る本発明
は、コンピュータに当該発明に相当する手順を実行させ
るための（あるいはコンピュータを当該発明に相当する
手段として機能させるための、あるいはコンピュータに
当該発明に相当する機能を実現させるための）プログラ
ムとしても成立し、該プログラムを記録したコンピュー
タ読取り可能な記録媒体としても成立する。
【００３２】本発明によれば、中国剰余定理を利用した
演算と剰余系を利用した演算とモンゴメリ演算とを融合
させることによって、べき乗剰余計算をより効率良く実
行することができる。例えば、剰余系表現を利用したべ
き乗剰余演算装置にてＲＳＡ暗号の復号変換に中国剰余
定理を利用した効率の良い実装が可能となり、同復号変
換を約１／８の処理量に削減できる。
演算と剰余系を利用した演算とモンゴメリ演算とを融合
させることによって、べき乗剰余計算をより効率良く実
行することができる。例えば、剰余系表現を利用したべ
き乗剰余演算装置にてＲＳＡ暗号の復号変換に中国剰余
定理を利用した効率の良い実装が可能となり、同復号変
換を約１／８の処理量に削減できる。
【００３３】
【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。
実施の形態を説明する。
【００３４】図１に、本発明の一実施形態に係る計算装
置の機能的な構成図を示す。
置の機能的な構成図を示す。
【００３５】本計算装置１は、ＲＮＳ表現された整数を
演算するＲＮＳ演算器１２、２進数表現での補助的な演
算を行う演算部と、外部との入出力を行うための入出力
部１１と、全体を制御する制御部１３で構成される。Ｒ
ＮＳ演算器１２には、ＲＮＳ逆元計算部（ＩＮＶ）１２
２、ＲＮＳモンゴメリ乗算部（ＭＭ）１２３、ＲＮＳモ
ンゴメリべき乗部（ＭＥＸＰ）１２４、ＲＮＳ乗算部
（ＭＵＬ）１２５、ＲＮＳ加算部（ＡＤＤ）１２６、第
１の表現変換部（２進数表現→ＲＮＳ表現変換部）１２
７、第２の表現変換部（ＲＮＳ表現変換部→２進数表
現）１２８、記憶部１２１が存在する。２進数表現での
補助的な演算部としては、剰余計算部１２９と加減算部
１３０が存在する。以上の各演算部のうち規模面で大半
はＲＮＳ演算器１２である。
演算するＲＮＳ演算器１２、２進数表現での補助的な演
算を行う演算部と、外部との入出力を行うための入出力
部１１と、全体を制御する制御部１３で構成される。Ｒ
ＮＳ演算器１２には、ＲＮＳ逆元計算部（ＩＮＶ）１２
２、ＲＮＳモンゴメリ乗算部（ＭＭ）１２３、ＲＮＳモ
ンゴメリべき乗部（ＭＥＸＰ）１２４、ＲＮＳ乗算部
（ＭＵＬ）１２５、ＲＮＳ加算部（ＡＤＤ）１２６、第
１の表現変換部（２進数表現→ＲＮＳ表現変換部）１２
７、第２の表現変換部（ＲＮＳ表現変換部→２進数表
現）１２８、記憶部１２１が存在する。２進数表現での
補助的な演算部としては、剰余計算部１２９と加減算部
１３０が存在する。以上の各演算部のうち規模面で大半
はＲＮＳ演算器１２である。
【００３６】記憶部１２１は、例えばＲＮＳ表現で利用
する基底や事前に計算し装置内に記憶されるパラメータ
等を記憶する。
する基底や事前に計算し装置内に記憶されるパラメータ
等を記憶する。
【００３７】ＲＮＳモンゴメリ乗算部１２３は、先に説
明したＲＮＳモンゴメリ乗算（ＭＭ）を行う。ＲＮＳモ
ンゴメリべき乗部１２４は、先に説明したＲＮＳモンゴ
メリべき乗（ＭＥＸＰ）を行う。ＲＮＳ乗算部１２５
は、先に説明したＲＮＳ乗算（ＭＵＬ）を行う。ＲＮＳ
加算１２６は、先に説明したＲＮＳ加算（ＡＤＤ）を行
う。第１の表現変換部１２７は、２進数表現からＲＮＳ
表現への変換を行う。第２の表現変換部１２８は、ＲＮ
Ｓ表現から２進数表現への変換を行う。なお、これらに
ついては、例えば、文献「小池，佐野，川村， “Ｃｏ
ｘ−Ｒｏｗｅｒアーキテクチャによる高速な並列モンゴ
メリ乗算法”， ＳＣＩＳ２０００， Ｂ２２， ２０
００」に詳しい。
明したＲＮＳモンゴメリ乗算（ＭＭ）を行う。ＲＮＳモ
ンゴメリべき乗部１２４は、先に説明したＲＮＳモンゴ
メリべき乗（ＭＥＸＰ）を行う。ＲＮＳ乗算部１２５
は、先に説明したＲＮＳ乗算（ＭＵＬ）を行う。ＲＮＳ
加算１２６は、先に説明したＲＮＳ加算（ＡＤＤ）を行
う。第１の表現変換部１２７は、２進数表現からＲＮＳ
表現への変換を行う。第２の表現変換部１２８は、ＲＮ
Ｓ表現から２進数表現への変換を行う。なお、これらに
ついては、例えば、文献「小池，佐野，川村， “Ｃｏ
ｘ−Ｒｏｗｅｒアーキテクチャによる高速な並列モンゴ
メリ乗算法”， ＳＣＩＳ２０００， Ｂ２２， ２０
００」に詳しい。
【００３８】ＲＮＳ逆元計算部（ＩＮＶ）１２２は、＜
ｘ＞＿ａを入力として＜−ｘ＾(-1)＞＿ａを計算する。
すなわち、＜ｘ＞＿ａの各基底ａi および要素ｘi につ
いて、ｘi （ｍｏｄ ａi ）から、−ｘi ＾(-1)
（ｍｏｄ ａi ）を計算する。具体的には、例えば次の
手順で実行する。 ＜基底ａi における逆元計算＞（Step０） 基底ａi に
対するＣａｒｍｉｃｈａｅｌ関数λ（ａi ）を計算し、
記憶部（ＲＯＭ）に保存しておく。Ｃａｒｍｉｃｈａｅ
ｌ関数λの具体的な計算式は例えば“岡本龍明、山本博
資著、「現代暗号」、産業図書、ｐ．１６”に示されて
いる。λ（ａi ）のビットサイズはａi のビットサイズ
以下である。法ａi と互いに素な全てのｘ（＜ａi ）に
対して、ｘ＾λ（ａi ）＝１ （ｍｏｄ ａi ）にな
る。ここでは入力ｘとしてＲＳＡ暗号の秘密鍵ｐ，ｑ
（素数）もしくはその積Ｎ（２素数の積）を想定してい
るため、これらは必ず法ａi と互いに素になる。 （Step１） ｘi ＾(-1)＝ｘi ＾（λ（ａi ）−１）
（ｍｏｄ ａi ）を演算ユニットでの剰余乗算により計
算する。 （Step２） −ｘi ＾(-1)＝ａi −ｘi ＾(-1)により計
算する。 以上の計算のうち、（Step１）はＣａｒｍｉｃｈａｅｌ
関数λ（ａi ）のビットサイズがａi のビットサイズ以
下であるため、演算ユニットのワード数を３２ビットと
すると、６４回以下のワードサイズの剰余乗算に相当す
る。
ｘ＞＿ａを入力として＜−ｘ＾(-1)＞＿ａを計算する。
すなわち、＜ｘ＞＿ａの各基底ａi および要素ｘi につ
いて、ｘi （ｍｏｄ ａi ）から、−ｘi ＾(-1)
（ｍｏｄ ａi ）を計算する。具体的には、例えば次の
手順で実行する。 ＜基底ａi における逆元計算＞（Step０） 基底ａi に
対するＣａｒｍｉｃｈａｅｌ関数λ（ａi ）を計算し、
記憶部（ＲＯＭ）に保存しておく。Ｃａｒｍｉｃｈａｅ
ｌ関数λの具体的な計算式は例えば“岡本龍明、山本博
資著、「現代暗号」、産業図書、ｐ．１６”に示されて
いる。λ（ａi ）のビットサイズはａi のビットサイズ
以下である。法ａi と互いに素な全てのｘ（＜ａi ）に
対して、ｘ＾λ（ａi ）＝１ （ｍｏｄ ａi ）にな
る。ここでは入力ｘとしてＲＳＡ暗号の秘密鍵ｐ，ｑ
（素数）もしくはその積Ｎ（２素数の積）を想定してい
るため、これらは必ず法ａi と互いに素になる。 （Step１） ｘi ＾(-1)＝ｘi ＾（λ（ａi ）−１）
（ｍｏｄ ａi ）を演算ユニットでの剰余乗算により計
算する。 （Step２） −ｘi ＾(-1)＝ａi −ｘi ＾(-1)により計
算する。 以上の計算のうち、（Step１）はＣａｒｍｉｃｈａｅｌ
関数λ（ａi ）のビットサイズがａi のビットサイズ以
下であるため、演算ユニットのワード数を３２ビットと
すると、６４回以下のワードサイズの剰余乗算に相当す
る。
【００３９】剰余計算部１２９は、２進数表現の被除数
ｘと除数ｙを入力して、ｘ （ｍｏｄ ｙ）を計算す
る。この計算手順は通常の除算で実行可能であり、例え
ば“Ｋｎｕｔｈ著、中川圭介訳、「準数値算法／算術演
算」、サイエンス社、ｐ．９０”に示されている。概
ね、ｘ１＊ｘ２と同じ計算量である。加減算部１３０
は、２進数の加減算等を行う。本計算装置１は、次のＲ
ＮＳ演算を組み合わせてＣＲＴべき乗を実行する。 ・ＲＮＳモンゴメリ乗算＜ｚ＞＝ＭＭ（＜ｘ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，ｐ，ａＵｂ） ここで、ｚ＝ｘ＊ｙ＊Ａ＾(-1) ｍｏｄ ｐ ｏｒ
ｚ＝（ｘ＊ｙ＊Ａ＾(-1) ｍｏｄ ｐ）＋ｐに相当す
る。 ・ＲＮＳモンゴメリべき乗＜ｚ＞＝ＭＥＸＰ（＜ｘ＞＿
ａＵｂ，ｅ，ｐ，ａＵｂ） ここで、ｚ＝ｘ＾ｅ＊Ａ＾(-(e-1)) ｍｏｄ ｐ ｏ
ｒ ｚ＝（ｘ＾ｅ＊Ａ＾(-(e-1)) ｍｏｄ ｐ）＋ｐ
に相当する。 ・ＲＮＳ乗算＜ｚ＞＝ＭＵＬ（＜ｘ＞＿ａＵｂ，＜ｙ＞
＿ａＵｂ，ａ） ここで、ｚ＝ｘ＊ｙ ｍｏｄ Ａ（基底ａでのｘとｙの
乗算）に相当する。 ・ＲＮＳ加算＜ｚ＞＝ＡＤＤ（＜ｘ＞＿ａＵｂ，＜ｙ＞
＿ａＵｂ，ａ） ここで、ｚ＝ｘ＋ｙ ｍｏｄ Ａ（基底ａでのｘとｙの
加算）に相当する。
ｘと除数ｙを入力して、ｘ （ｍｏｄ ｙ）を計算す
る。この計算手順は通常の除算で実行可能であり、例え
ば“Ｋｎｕｔｈ著、中川圭介訳、「準数値算法／算術演
算」、サイエンス社、ｐ．９０”に示されている。概
ね、ｘ１＊ｘ２と同じ計算量である。加減算部１３０
は、２進数の加減算等を行う。本計算装置１は、次のＲ
ＮＳ演算を組み合わせてＣＲＴべき乗を実行する。 ・ＲＮＳモンゴメリ乗算＜ｚ＞＝ＭＭ（＜ｘ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，ｐ，ａＵｂ） ここで、ｚ＝ｘ＊ｙ＊Ａ＾(-1) ｍｏｄ ｐ ｏｒ
ｚ＝（ｘ＊ｙ＊Ａ＾(-1) ｍｏｄ ｐ）＋ｐに相当す
る。 ・ＲＮＳモンゴメリべき乗＜ｚ＞＝ＭＥＸＰ（＜ｘ＞＿
ａＵｂ，ｅ，ｐ，ａＵｂ） ここで、ｚ＝ｘ＾ｅ＊Ａ＾(-(e-1)) ｍｏｄ ｐ ｏ
ｒ ｚ＝（ｘ＾ｅ＊Ａ＾(-(e-1)) ｍｏｄ ｐ）＋ｐ
に相当する。 ・ＲＮＳ乗算＜ｚ＞＝ＭＵＬ（＜ｘ＞＿ａＵｂ，＜ｙ＞
＿ａＵｂ，ａ） ここで、ｚ＝ｘ＊ｙ ｍｏｄ Ａ（基底ａでのｘとｙの
乗算）に相当する。 ・ＲＮＳ加算＜ｚ＞＝ＡＤＤ（＜ｘ＞＿ａＵｂ，＜ｙ＞
＿ａＵｂ，ａ） ここで、ｚ＝ｘ＋ｙ ｍｏｄ Ａ（基底ａでのｘとｙの
加算）に相当する。
【００４０】上記ＲＮＳ演算における最後の引数（ａや
ａＵｂなど）は、ＲＮＳ表現で利用される基底を表す。
基底ａの要素の積の値をＡ、基底ｂの要素の積の値をＢ
とすると、基底ａＵｂの要素の積の値はＡＢになる。Ｒ
ＮＳモンゴメリ乗算とＲＮＳモンゴメリべき乗の出力は
ｚ＜Ａ，Ｂとなる。
ａＵｂなど）は、ＲＮＳ表現で利用される基底を表す。
基底ａの要素の積の値をＡ、基底ｂの要素の積の値をＢ
とすると、基底ａＵｂの要素の積の値はＡＢになる。Ｒ
ＮＳモンゴメリ乗算とＲＮＳモンゴメリべき乗の出力は
ｚ＜Ａ，Ｂとなる。
【００４１】上記のようにＲＮＳモンゴメリ乗算および
ＲＮＳモンゴメリべき乗においては、モンゴメリ乗算の
性質から、モジュラスｐの値だけ結果が大きい場合があ
る。すなわち、ＭＭ（＜ｘ＞，＜ｙ＞，ｐ，ａＵｂ）＜
２ｐである。法ｐを固定した場合、ＲＮＳモンゴメリ乗
算とＲＮＳモンゴメリべき乗の出力はいずれも２ｐ未満
であるが、これらの出力はそのままＲＮＳモンゴメリ乗
算およびＲＮＳモンゴメリべき乗に入力可能である。
ＲＮＳモンゴメリべき乗においては、モンゴメリ乗算の
性質から、モジュラスｐの値だけ結果が大きい場合があ
る。すなわち、ＭＭ（＜ｘ＞，＜ｙ＞，ｐ，ａＵｂ）＜
２ｐである。法ｐを固定した場合、ＲＮＳモンゴメリ乗
算とＲＮＳモンゴメリべき乗の出力はいずれも２ｐ未満
であるが、これらの出力はそのままＲＮＳモンゴメリ乗
算およびＲＮＳモンゴメリべき乗に入力可能である。
【００４２】本計算装置１内には、次のパラメータは、
予め記憶しておくものとする。事前登録パラメータ：基
底ａ、基底ｂ、基底ａの要素の積Ａ、基底ｂの要素の積
Ｂ、基底ａおよび基底ｂの全要素の積ＡＢ、Ｂ＾２な
お、基底ａ，ｂとＣＲＴべき乗におけるパラメータサイ
ズの関係として、少なくとも、 ｐ，ｑ＜Ａ 、かつ、
ｐ，ｑ＜Ｂ が必要である。この結果、Ｎ＝ｐ＊ｑに
対し、少なくともＮ＜ＡＢとなる。
予め記憶しておくものとする。事前登録パラメータ：基
底ａ、基底ｂ、基底ａの要素の積Ａ、基底ｂの要素の積
Ｂ、基底ａおよび基底ｂの全要素の積ＡＢ、Ｂ＾２な
お、基底ａ，ｂとＣＲＴべき乗におけるパラメータサイ
ズの関係として、少なくとも、 ｐ，ｑ＜Ａ 、かつ、
ｐ，ｑ＜Ｂ が必要である。この結果、Ｎ＝ｐ＊ｑに
対し、少なくともＮ＜ＡＢとなる。
【００４３】ＣＲＴべき乗を実行するために外部から本
計算装置１へ入力するパラメータは、ここでは、以下の
通りとする。 外部入力パラメータ：暗号文Ｃ、ｄｐ＝ｄ ｍｏｄ
（ｐ−１）、ｄｑ＝ｄｍｏｄ （ｑ−１）、Ｎ（＝ｐ＊
ｑ）、ｐ、ｑ、ｐの法ｑにおける逆元ｐｉｎｖ＝ｐ＾
（−１） ｍｏｄ ｑ、ｑの法ｐにおける逆元ｑｉｎｖ
＝ｑ＾(-1) ｍｏｄ ｐ 図２に、本計算装置１におけるＣＲＴべき乗の処理手順
の一例を示す。また、図３に、本計算装置１の各演算部
に関する内部構成例を示す。
計算装置１へ入力するパラメータは、ここでは、以下の
通りとする。 外部入力パラメータ：暗号文Ｃ、ｄｐ＝ｄ ｍｏｄ
（ｐ−１）、ｄｑ＝ｄｍｏｄ （ｑ−１）、Ｎ（＝ｐ＊
ｑ）、ｐ、ｑ、ｐの法ｑにおける逆元ｐｉｎｖ＝ｐ＾
（−１） ｍｏｄ ｑ、ｑの法ｐにおける逆元ｑｉｎｖ
＝ｑ＾(-1) ｍｏｄ ｐ 図２に、本計算装置１におけるＣＲＴべき乗の処理手順
の一例を示す。また、図３に、本計算装置１の各演算部
に関する内部構成例を示す。
【００４４】（ステップＳ０）：外部入力パラメータ
Ｃ、ｄｐ、ｄｑ、Ｎ、ｐ、ｑ、ｐｉｎｖ、ｑｉｎｖを入
力する。
Ｃ、ｄｐ、ｄｑ、Ｎ、ｐ、ｑ、ｐｉｎｖ、ｑｉｎｖを入
力する。
【００４５】以下の手順のうち、ステップＳ１−ｐ〜Ｓ
９−ｐと、ステップＳ１−ｑ〜Ｓ９−ｑとでは、いずれ
の対応するステップＳｉ−ｐとステップＳｉ−ｑにおい
ても、Ｎの２つの素因数であるｐとｑに関する同様の演
算を実行している。
９−ｐと、ステップＳ１−ｑ〜Ｓ９−ｑとでは、いずれ
の対応するステップＳｉ−ｐとステップＳｉ−ｑにおい
ても、Ｎの２つの素因数であるｐとｑに関する同様の演
算を実行している。
【００４６】（ステップＳ１−ｐ）第１の表現変換部１
２７を利用して、２進数表現ｐを、基底ａＵｂによるＲ
ＮＳ表現＜ｐ＞（＝＜ｐ＞＿ａ Ｕ ＜ｐ＞＿ｂ＝｛ｐ
ｍｏｄ ａ1 ，ｐ ｍｏｄ ａ2 ，…，ｐ ｍｏｄ
ａn ｝ Ｕ ｛ｐ ｍｏｄ ｂ1 ，ｐ ｍｏｄ ｂ 2 ，
…，ｐ ｍｏｄ ｂn ｝）に変換する。
２７を利用して、２進数表現ｐを、基底ａＵｂによるＲ
ＮＳ表現＜ｐ＞（＝＜ｐ＞＿ａ Ｕ ＜ｐ＞＿ｂ＝｛ｐ
ｍｏｄ ａ1 ，ｐ ｍｏｄ ａ2 ，…，ｐ ｍｏｄ
ａn ｝ Ｕ ｛ｐ ｍｏｄ ｂ1 ，ｐ ｍｏｄ ｂ 2 ，
…，ｐ ｍｏｄ ｂn ｝）に変換する。
【００４７】（ステップＳ１−ｑ）第１の表現変換部１
２７を利用して、２進数表現ｑを、基底ａＵｂによるＲ
ＮＳ表現＜ｑ＞（＝＜ｑ＞＿ａ Ｕ ＜ｑ＞＿ｂ＝｛ｑ
ｍｏｄ ａ1 ，ｑ ｍｏｄ ａ2 ，…，ｑ ｍｏｄ
ａn ｝ Ｕ ｛ｑ ｍｏｄ ｂ1 ，ｑ ｍｏｄ ｂ 2 ，
…，ｑ ｍｏｄ ｂn ｝）に変換する。
２７を利用して、２進数表現ｑを、基底ａＵｂによるＲ
ＮＳ表現＜ｑ＞（＝＜ｑ＞＿ａ Ｕ ＜ｑ＞＿ｂ＝｛ｑ
ｍｏｄ ａ1 ，ｑ ｍｏｄ ａ2 ，…，ｑ ｍｏｄ
ａn ｝ Ｕ ｛ｑ ｍｏｄ ｂ1 ，ｑ ｍｏｄ ｂ 2 ，
…，ｑ ｍｏｄ ｂn ｝）に変換する。
【００４８】（ステップＳ２−ｐ）ＲＮＳ逆元計算部１
２２を利用して、（ステップＳ１−ｐで求められた）＜
ｐ＞＿ｂから、＜−ｐ＾(-1)＞＿ｂを計算する。
２２を利用して、（ステップＳ１−ｐで求められた）＜
ｐ＞＿ｂから、＜−ｐ＾(-1)＞＿ｂを計算する。
【００４９】（ステップＳ２−ｑ）ＲＮＳ逆元計算部１
２２を利用して、（ステップＳ１−ｑで求められた）＜
ｑ＞＿ｂから、＜−ｑ＾(-1)＞＿ｂを計算する。
２２を利用して、（ステップＳ１−ｑで求められた）＜
ｑ＞＿ｂから、＜−ｑ＾(-1)＞＿ｂを計算する。
【００５０】（ステップＳ３−ｐ）剰余計算部１２９を
利用して、ｂｐ＝Ｂ＾２ ｍｏｄ ｐを計算し、第１の
表現変換部１２７を利用して、ｂｐを２進数表現から基
底ａＵｂによるＲＮＳ表現＜ｂｐ＞に変換する。
利用して、ｂｐ＝Ｂ＾２ ｍｏｄ ｐを計算し、第１の
表現変換部１２７を利用して、ｂｐを２進数表現から基
底ａＵｂによるＲＮＳ表現＜ｂｐ＞に変換する。
【００５１】（ステップＳ３−ｑ）剰余計算部１２９を
利用して、ｂｑ＝Ｂ＾２ ｍｏｄ ｑを計算し、第１の
表現変換部１２７を利用して、ｂｑを２進数表現から基
底ａＵｂによるＲＮＳ表現＜ｂｑ＞に変換する。
利用して、ｂｑ＝Ｂ＾２ ｍｏｄ ｑを計算し、第１の
表現変換部１２７を利用して、ｂｑを２進数表現から基
底ａＵｂによるＲＮＳ表現＜ｂｑ＞に変換する。
【００５２】（ステップＳ４−ｐ）第１の表現変換部１
２７を利用して、ｐｉｎｖを２進数表現から基底ａＵｂ
によるＲＮＳ表現＜ｐｉｎｖ＞に変換する。
２７を利用して、ｐｉｎｖを２進数表現から基底ａＵｂ
によるＲＮＳ表現＜ｐｉｎｖ＞に変換する。
【００５３】（ステップＳ４−ｑ）第１の表現変換部１
２７を利用して、ｑｉｎｖを２進数表現から基底ａＵｂ
によるＲＮＳ表現＜ｑｉｎｖ＞に変換する。
２７を利用して、ｑｉｎｖを２進数表現から基底ａＵｂ
によるＲＮＳ表現＜ｑｉｎｖ＞に変換する。
【００５４】（ステップＳ５−ｐ）剰余計算部１２９を
利用して、Ｃｐ＝Ｃ ｍｏｄ ｐを計算し、第１の表現
変換部１２７を利用して、Ｃｐを２進数表現から基底ａ
ＵｂによるＲＮＳ表現＜Ｃｐ＞に変換する。
利用して、Ｃｐ＝Ｃ ｍｏｄ ｐを計算し、第１の表現
変換部１２７を利用して、Ｃｐを２進数表現から基底ａ
ＵｂによるＲＮＳ表現＜Ｃｐ＞に変換する。
【００５５】（ステップＳ５−ｑ）剰余計算部１２９を
利用して、Ｃｑ＝Ｃ ｍｏｄ ｑを計算し、第１の表現
変換部１２７を利用して、Ｃｑを２進数表現から基底ａ
ＵｂによるＲＮＳ表現＜Ｃｑ＞に変換する。
利用して、Ｃｑ＝Ｃ ｍｏｄ ｑを計算し、第１の表現
変換部１２７を利用して、Ｃｑを２進数表現から基底ａ
ＵｂによるＲＮＳ表現＜Ｃｑ＞に変換する。
【００５６】（ステップＳ６−ｐ）ＲＮＳモンゴメリ乗
算部１２３を利用して、＜Ｃｐ’＞＝ＭＭ（＜Ｃｐ＞，
＜ｂｐ＞， ｐ， ａＵｂ）を計算する。＜先に説明し
たアルゴリズムを利用する場合の処理内容＞ Step-Ｍ-１： ＜ｓ＞＿ａ＝＜Cp＞＿ａ ＊ ＜bp＞＿
ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜Cp＞＿ｂ ＊ ＜bp＞＿
ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−ｐ
^(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜ｐ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜Cp’＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ^
(-1)＞＿ａを計算する。 Step-Ｍ-８： ＜Cp’＞＿ａを＜Cp’＞＿ｂへ基底変換
する。 これにより、Ｃｐ’＝Ｃ＊Ｂ ｍｏｄ ｐまたはＣｐ’
＝（Ｃ＊Ｂ ｍｏｄｐ）＋ｐのいずれかに対応するＲＮ
Ｓ表現＜Ｃｐ’＞が求められる。
算部１２３を利用して、＜Ｃｐ’＞＝ＭＭ（＜Ｃｐ＞，
＜ｂｐ＞， ｐ， ａＵｂ）を計算する。＜先に説明し
たアルゴリズムを利用する場合の処理内容＞ Step-Ｍ-１： ＜ｓ＞＿ａ＝＜Cp＞＿ａ ＊ ＜bp＞＿
ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜Cp＞＿ｂ ＊ ＜bp＞＿
ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−ｐ
^(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜ｐ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜Cp’＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ^
(-1)＞＿ａを計算する。 Step-Ｍ-８： ＜Cp’＞＿ａを＜Cp’＞＿ｂへ基底変換
する。 これにより、Ｃｐ’＝Ｃ＊Ｂ ｍｏｄ ｐまたはＣｐ’
＝（Ｃ＊Ｂ ｍｏｄｐ）＋ｐのいずれかに対応するＲＮ
Ｓ表現＜Ｃｐ’＞が求められる。
【００５７】（ステップＳ６−ｑ）ＲＮＳモンゴメリ乗
算部１２３を利用して、＜Ｃｑ’＞＝ＭＭ（＜Ｃｑ＞，
＜ｂｑ＞， ｑ， ａＵｂ）を計算する。なお、先に説
明したアルゴリズムを利用する場合の処理内容は、ステ
ップＳ６−ｐの処理内容において、ｐとｑを入れ替えた
ものである。 これにより、Ｃｑ’＝Ｃ＊Ｂ ｍｏｄ ｑまたはＣｑ’
＝（Ｃ＊Ｂ ｍｏｄｑ）＋ｑのいずれかに対応するＲＮ
Ｓ表現＜Ｃｐ’＞が求められる。
算部１２３を利用して、＜Ｃｑ’＞＝ＭＭ（＜Ｃｑ＞，
＜ｂｑ＞， ｑ， ａＵｂ）を計算する。なお、先に説
明したアルゴリズムを利用する場合の処理内容は、ステ
ップＳ６−ｐの処理内容において、ｐとｑを入れ替えた
ものである。 これにより、Ｃｑ’＝Ｃ＊Ｂ ｍｏｄ ｑまたはＣｑ’
＝（Ｃ＊Ｂ ｍｏｄｑ）＋ｑのいずれかに対応するＲＮ
Ｓ表現＜Ｃｐ’＞が求められる。
【００５８】（ステップＳ７−ｐ）ＲＮＳモンゴメリべ
き乗部１２４を利用して、＜ｍｐ’＞＝ＭＥＸＰ（＜Ｃ
ｐ’＞， ｄｐ， ｐ， ａＵｂ）を計算する。 ＜先に説明したアルゴリズムを利用する場合の処理内容
＞ Step-Ｅ-１： ｉ＝ｋとする。＜ｙ＞＿ａＵｂ＝＜Ｂ＞
＿ａＵｂとする。 Step-Ｅ-２： ＜ｙ＞＿ａＵｂ＝ＭＭ（＜ｙ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，Ｎ，ａＵｂ）を計算する。 Step-Ｅ-３： ｄｐ＿ｉ＝１ならば、＜ｙ＞＿ａＵｂ＝
ＭＭ（＜ｙ＞＿ａＵｂ， ＜Ｃｐ’＞＿ａＵｂ，ｐ，ａ
Ｕｂ）を計算する。ｄｐ＿ｉ≠１ならば、なにもしない
（ｎｏｐ）。ここで、ｄｐ＿ｉは、ｄｐの２進表現（ｄ
ｐ＿ｋ， ｄｐ＿ｋ−１，…，ｄｐ＿１）における下位
からｉビット目の値である。 Step-Ｅ-４： ｉ＝ｉ−１とする。 Step-Ｅ-５： ｉ＝０ならば、終了する。ｉ≠０なら
ば、Step-Ｅ-２へ戻る。 これにより、ｍｐ’＝（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ
またはｍｐ’＝（（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ）＋
ｐのいずれかに対応するＲＮＳ表現＜ｍｐ’＞が求めら
れる。
き乗部１２４を利用して、＜ｍｐ’＞＝ＭＥＸＰ（＜Ｃ
ｐ’＞， ｄｐ， ｐ， ａＵｂ）を計算する。 ＜先に説明したアルゴリズムを利用する場合の処理内容
＞ Step-Ｅ-１： ｉ＝ｋとする。＜ｙ＞＿ａＵｂ＝＜Ｂ＞
＿ａＵｂとする。 Step-Ｅ-２： ＜ｙ＞＿ａＵｂ＝ＭＭ（＜ｙ＞＿ａＵ
ｂ，＜ｙ＞＿ａＵｂ，Ｎ，ａＵｂ）を計算する。 Step-Ｅ-３： ｄｐ＿ｉ＝１ならば、＜ｙ＞＿ａＵｂ＝
ＭＭ（＜ｙ＞＿ａＵｂ， ＜Ｃｐ’＞＿ａＵｂ，ｐ，ａ
Ｕｂ）を計算する。ｄｐ＿ｉ≠１ならば、なにもしない
（ｎｏｐ）。ここで、ｄｐ＿ｉは、ｄｐの２進表現（ｄ
ｐ＿ｋ， ｄｐ＿ｋ−１，…，ｄｐ＿１）における下位
からｉビット目の値である。 Step-Ｅ-４： ｉ＝ｉ−１とする。 Step-Ｅ-５： ｉ＝０ならば、終了する。ｉ≠０なら
ば、Step-Ｅ-２へ戻る。 これにより、ｍｐ’＝（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ
またはｍｐ’＝（（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ）＋
ｐのいずれかに対応するＲＮＳ表現＜ｍｐ’＞が求めら
れる。
【００５９】（ステップＳ７−ｑ）ＲＮＳモンゴメリべ
き乗部１２４を利用して、＜ｍｑ’＞＝ＭＥＸＰ（＜Ｃ
ｑ’＞， ｄｑ， ｑ， ａＵｂ）を計算する。なお、
先に説明したアルゴリズムを利用する場合の処理内容
は、ステップＳ７−ｐの処理内容において、ｐとｑを入
れ替えたものである。これにより、ｍｑ’＝（Ｃｑ＾ｄ
ｑ）＊Ｂ ｍｏｄ ｑ またはｍｑ’＝（（Ｃｑ＾ｄ
ｑ）＊Ｂ ｍｏｄ ｑ）＋ｑのいずれかに対応するＲＮ
Ｓ表現＜ｍｑ’＞が求められる。
き乗部１２４を利用して、＜ｍｑ’＞＝ＭＥＸＰ（＜Ｃ
ｑ’＞， ｄｑ， ｑ， ａＵｂ）を計算する。なお、
先に説明したアルゴリズムを利用する場合の処理内容
は、ステップＳ７−ｐの処理内容において、ｐとｑを入
れ替えたものである。これにより、ｍｑ’＝（Ｃｑ＾ｄ
ｑ）＊Ｂ ｍｏｄ ｑ またはｍｑ’＝（（Ｃｑ＾ｄ
ｑ）＊Ｂ ｍｏｄ ｑ）＋ｑのいずれかに対応するＲＮ
Ｓ表現＜ｍｑ’＞が求められる。
【００６０】（ステップＳ８−ｐ） ＲＮＳモンゴメリ乗算部１２３を利用して、＜ｔｐ＞＝
ＭＭ（＜ｍｐ’＞， ＜ｑ＾（−１） ｍｏｄ ｐ＞， ｐ， ａＵｂ）を計
算する。 ＜先に説明したアルゴリズムを利用する場合の処理内容
＞ Step-Ｍ-１： ＜ｓ＞＿ａ＝＜mp’＞＿ａ ＊ ＜qinv
＞＿ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜mp’＞＿ｂ ＊ ＜qinv
＞＿ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−ｐ
^(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜ｐ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜tp＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ^(-
1)＞＿ａを計算する。 Step-Ｍ-８： ＜tp＞＿ａを＜tp＞＿ｂへ基底変換す
る。 これにより、ｔｐ＝（Ｃｐ＾ｄｐ）ｑ＾（−１） ｍｏ
ｄ ｐまたはｔｐ＝（（Ｃｐ＾ｄｐ）ｑ＾（−１） ｍ
ｏｄ ｐ）＋ｐのいずれかに対応するＲＮＳ表現＜ｔｐ
＞が求められる。
ＭＭ（＜ｍｐ’＞， ＜ｑ＾（−１） ｍｏｄ ｐ＞， ｐ， ａＵｂ）を計
算する。 ＜先に説明したアルゴリズムを利用する場合の処理内容
＞ Step-Ｍ-１： ＜ｓ＞＿ａ＝＜mp’＞＿ａ ＊ ＜qinv
＞＿ａを計算する。 Step-Ｍ-２： ＜ｓ＞＿ｂ＝＜mp’＞＿ｂ ＊ ＜qinv
＞＿ｂを計算する。 Step-Ｍ-３： ＜ｔ＞＿ｂ＝＜ｓ＞＿ｂ ＊ ＜（−ｐ
^(-1)）＞＿ｂを計算する。 Step-Ｍ-４： ＜ｔ＞＿ｂを＜ｔ＞＿ａへ基底変換す
る。 Step-Ｍ-５： ＜ｕ＞＿ａ＝＜ｔ＞＿ａ ＊ ＜ｐ＞＿
ａを計算する。 Step-Ｍ-６： ＜ｖ＞＿ａ＝＜ｓ＞＿ａ ＋ ＜ｕ＞＿
ａを計算する。 Step-Ｍ-７： ＜tp＞＿ａ＝＜ｖ＞＿ａ ＊ ＜Ｂ^(-
1)＞＿ａを計算する。 Step-Ｍ-８： ＜tp＞＿ａを＜tp＞＿ｂへ基底変換す
る。 これにより、ｔｐ＝（Ｃｐ＾ｄｐ）ｑ＾（−１） ｍｏ
ｄ ｐまたはｔｐ＝（（Ｃｐ＾ｄｐ）ｑ＾（−１） ｍ
ｏｄ ｐ）＋ｐのいずれかに対応するＲＮＳ表現＜ｔｐ
＞が求められる。
【００６１】（ステップＳ８−ｑ）ＲＮＳモンゴメリ乗
算部１２３を利用して、＜ｔｑ＞＝ＭＭ（＜ｍｑ’＞，
＜ｐ＾（−１） ｍｏｄ ｑ＞， ｐ， ａＵｂ）を計
算する。なお、先に説明したアルゴリズムを利用する場
合の処理内容は、ステップＳ８−ｐの処理内容におい
て、ｐとｑを入れ替えたものである。これにより、ｔｑ
＝（Ｃｑ＾ｄｑ）ｐ＾（−１） ｍｏｄ ｑまたはｔｑ
＝（（Ｃｑ＾ｄｑ）ｐ＾（−１） ｍｏｄ ｑ）＋ｑの
いずれかに対応するＲＮＳ表現＜ｔｑ＞が求められる。
算部１２３を利用して、＜ｔｑ＞＝ＭＭ（＜ｍｑ’＞，
＜ｐ＾（−１） ｍｏｄ ｑ＞， ｐ， ａＵｂ）を計
算する。なお、先に説明したアルゴリズムを利用する場
合の処理内容は、ステップＳ８−ｐの処理内容におい
て、ｐとｑを入れ替えたものである。これにより、ｔｑ
＝（Ｃｑ＾ｄｑ）ｐ＾（−１） ｍｏｄ ｑまたはｔｑ
＝（（Ｃｑ＾ｄｑ）ｐ＾（−１） ｍｏｄ ｑ）＋ｑの
いずれかに対応するＲＮＳ表現＜ｔｑ＞が求められる。
【００６２】（ステップＳ９−ｐ）ＲＮＳ乗算部１２５
を利用して、＜ｕｐ＞＝ＭＵＬ（＜ｔｐ＞， ＜ｑ＞，
ａＵｂ）を計算する。これにより、ｕｐ＝ｔｐ＊ｑ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｕｐ＞が求められ
る。
を利用して、＜ｕｐ＞＝ＭＵＬ（＜ｔｐ＞， ＜ｑ＞，
ａＵｂ）を計算する。これにより、ｕｐ＝ｔｐ＊ｑ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｕｐ＞が求められ
る。
【００６３】（ステップＳ９−ｑ）ＲＮＳ乗算部１２５
を利用して、＜ｕｑ＞＝ＭＵＬ（＜ｔｑ＞， ＜ｐ＞，
ａＵｂ）を計算する。これにより、ｕｑ＝ｔｑ＊ｐ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｕｑ＞が求められ
る。
を利用して、＜ｕｑ＞＝ＭＵＬ（＜ｔｑ＞， ＜ｐ＞，
ａＵｂ）を計算する。これにより、ｕｑ＝ｔｑ＊ｐ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｕｑ＞が求められ
る。
【００６４】（ステップＳ１０）ＲＮＳ加算１２６を利
用して、＜ｍ’＞＝ＡＤＤ（＜ｕｐ＞， ＜ｕｑ＞，ａ
Ｕｂ）を計算する。これにより、ｍ’＝ｕｐ＋ｕｑ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｍ’＞が求められ
る。
用して、＜ｍ’＞＝ＡＤＤ（＜ｕｐ＞， ＜ｕｑ＞，ａ
Ｕｂ）を計算する。これにより、ｍ’＝ｕｐ＋ｕｑ ｍ
ｏｄ ＡＢに対応するＲＮＳ表現＜ｍ’＞が求められ
る。
【００６５】（ステップＳ１１）第２の表現変換部１２
８を利用して、＜ｍ’＞をＲＮＳ表現（基底ａＵｂ）か
ら２進数表現ｍ’に変換する。ここで、ｍ’はＮ以上で
ある場合があるので、加減算部１３０は、ｍ’がＮ以上
であれば、これをＮ未満の値にするための処理を行う。 （ステップＳ１２）ｍ’をｍにコピーする（待避させ
る）。 （ステップＳ１３）ｍ’＝ｍ’−Ｎを計算する。 （ステップＳ１４）ｍ’＜０であるか否か判定する。
ｍ’＜０でなければ、ステップＳ１２へ戻る。ｍ’＜０
であるならば、ループを抜けて、ステップＳ１５へ移
る。 （ステップＳ１５）ｍを出力して、終了する。なお、ス
テップＳ１２〜ステップＳ１５は、例えば図４のステッ
プＳ２１〜ステップＳ２４など、他の手順でもかまわな
い。
８を利用して、＜ｍ’＞をＲＮＳ表現（基底ａＵｂ）か
ら２進数表現ｍ’に変換する。ここで、ｍ’はＮ以上で
ある場合があるので、加減算部１３０は、ｍ’がＮ以上
であれば、これをＮ未満の値にするための処理を行う。 （ステップＳ１２）ｍ’をｍにコピーする（待避させ
る）。 （ステップＳ１３）ｍ’＝ｍ’−Ｎを計算する。 （ステップＳ１４）ｍ’＜０であるか否か判定する。
ｍ’＜０でなければ、ステップＳ１２へ戻る。ｍ’＜０
であるならば、ループを抜けて、ステップＳ１５へ移
る。 （ステップＳ１５）ｍを出力して、終了する。なお、ス
テップＳ１２〜ステップＳ１５は、例えば図４のステッ
プＳ２１〜ステップＳ２４など、他の手順でもかまわな
い。
【００６６】また、Ｎは、外部から入力せずに、加減算
部１３０がｐ＊ｑにより求めるようにしても良い。
部１３０がｐ＊ｑにより求めるようにしても良い。
【００６７】上記手順において、ステップＳ５−ｐ，Ｓ
６−ｐおよびステップＳ５−ｑ，Ｓ６−ｑでは、Ｃｐ’
＝Ｃ＊Ｂ ｍｏｄ ｐ（＋ｐ）およびＣｑ’＝Ｃ＊Ｂ
ｍｏｄ ｑ（＋ｑ）を計算しており、先に説明した通常
のＣＲＴべき乗での（Step-C-２）の処理に対応してい
る。ステップＳ７−ｐおよびステップＳ７−ｑは、通常
のＣＲＴべき乗での（Step-C-３）の処理に対応してい
る。ステップＳ８−ｐ、Ｓ９−ｐ、Ｓ８−ｑ、Ｓ９−
ｑ、Ｓ１０は、先に説明した通常のＣＲＴべき乗での
（Step-C-４）の処理に対応している。ここでは、（Ste
p-C-４）の処理が次のように変形できることを利用して
いる。 ｍ＝ｍｐ＊（ｑ＾(-1) mod ｐ）＊ｑ ＋ ｍｑ＊
（ｐ＾(-1) mod ｑ）＊ｐ （ｍｏｄ Ｎ） ＝｛ｍｐ＊（ｑ＾(-1) mod ｐ） mod ｐ｝＊ｑ ＋
｛ｍｑ＊（ｐ＾(-1) mod ｑ） mod ｑ｝＊ｐ
（mod Ｎ） ステップＳ１１の結果であるｍ’は、ＲＮＳモンゴメリ
乗算でのｐおよびｑの加算誤差と、加算誤差が無いとし
てもＣＲＴべき乗剰余計算ではｍ’＜２Ｎであることか
ら、加算誤差を考慮するとｍ’＜４Ｎとなる。従って、
最大でｍ’から３Ｎを引く必要があり、このために必要
な補正をステップＳ１２からステップＳ１４で行ってい
る。ｍ’は２進数に変換してあるので正負の判定は容易
である。この処理が積に説明した通常のＣＲＴべき乗で
の（Step-C-４）の処理における法Ｎでの剰余値を求め
る手順に相当する。
６−ｐおよびステップＳ５−ｑ，Ｓ６−ｑでは、Ｃｐ’
＝Ｃ＊Ｂ ｍｏｄ ｐ（＋ｐ）およびＣｑ’＝Ｃ＊Ｂ
ｍｏｄ ｑ（＋ｑ）を計算しており、先に説明した通常
のＣＲＴべき乗での（Step-C-２）の処理に対応してい
る。ステップＳ７−ｐおよびステップＳ７−ｑは、通常
のＣＲＴべき乗での（Step-C-３）の処理に対応してい
る。ステップＳ８−ｐ、Ｓ９−ｐ、Ｓ８−ｑ、Ｓ９−
ｑ、Ｓ１０は、先に説明した通常のＣＲＴべき乗での
（Step-C-４）の処理に対応している。ここでは、（Ste
p-C-４）の処理が次のように変形できることを利用して
いる。 ｍ＝ｍｐ＊（ｑ＾(-1) mod ｐ）＊ｑ ＋ ｍｑ＊
（ｐ＾(-1) mod ｑ）＊ｐ （ｍｏｄ Ｎ） ＝｛ｍｐ＊（ｑ＾(-1) mod ｐ） mod ｐ｝＊ｑ ＋
｛ｍｑ＊（ｐ＾(-1) mod ｑ） mod ｑ｝＊ｐ
（mod Ｎ） ステップＳ１１の結果であるｍ’は、ＲＮＳモンゴメリ
乗算でのｐおよびｑの加算誤差と、加算誤差が無いとし
てもＣＲＴべき乗剰余計算ではｍ’＜２Ｎであることか
ら、加算誤差を考慮するとｍ’＜４Ｎとなる。従って、
最大でｍ’から３Ｎを引く必要があり、このために必要
な補正をステップＳ１２からステップＳ１４で行ってい
る。ｍ’は２進数に変換してあるので正負の判定は容易
である。この処理が積に説明した通常のＣＲＴべき乗で
の（Step-C-４）の処理における法Ｎでの剰余値を求め
る手順に相当する。
【００６８】本ＣＲＴべき乗剰余計算での各計算ステッ
プはＲＮＳ演算器で実行可能な演算機能を用いて実行可
能である。特にステップＳ７−ｐとステップＳ７−ｑの
ＲＮＳモンゴメリべき乗が計算処理の大半を占めるが、
これらは法ｐ、ｑよりわずかに大きな基底Ａ、Ｂを用い
た和集合ＡＵＢを基底として利用できることが重要であ
る。ＲＮＳモンゴメリ乗算の計算量は、その内部で実行
する基底変換の計算量で評価できる。この処理では、１
つの基底要素について見た場合にワードサイズでの乗算
を基底サイズｎのオーダだけ必要とし、さらにこれを変
換元の基底における全ての基底要素について実行する。
従って、ＲＮＳモンゴメリ乗算の計算量は、基底サイズ
ｎの２乗のオーダとなる。また、ＲＮＳモンゴメリべき
乗の計算量は、ＲＮＳモンゴメリ乗算を指数のビットサ
イズＬ＿ｅだけ繰り返す処理に相当する。よって、ＲＮ
Ｓモンゴメリべき乗の計算量はＯ（ｎ＾２＊Ｌ＿ｅ）と
なる。具体的に、例えば、１０２４ビットのＲＳＡ暗号
を想定する。この場合、秘密鍵ｄ、Ｎ、暗号文Ｃはいず
れも１０２４ビットになる。従って、これを、従来のよ
うにＲＮＳ表現でのモンゴメリべき乗で実行する場合、
利用する基底ａ’（およびｂ’）は最低でも要素数３３
（＝１０２４／３２（ワードサイズ）＋１）となる。一
方、本実施形態のようにＣＲＴべき乗で利用する秘密鍵
ｄｐ、ｄｑ、ｐ、ｑ、Ｃを法ｐ、ｑで縮小した値Ｃｐ、
Ｃｑはいずれも５１２ビットであるため、利用する基底
ａ（およびｂ）は最低で要素数１７（＝５１２／３２
（ワードサイズ）＋１）となる。最低の基底要素数を利
用するのが処理時間の面で最も効率的であるので、この
前提でＣＲＴによるべき乗剰余計算とＣＲＴによらない
べき乗剰余計算の計算量を比較してみる。ＲＮＳモンゴ
メリ乗算については、その計算量は、ＣＲＴを用いる場
合は、ＣＲＴを用いない場合の１／４となる。べき指数
のサイズについては、ＣＲＴを用いる場合にはＣＲＴを
用いない場合の１／２になるが、ＣＲＴを用いる場合に
はＲＮＳモンゴメリべき乗を２回計算する必要がある。
よって、全体としては、本ＣＲＴべき乗剰余計算によれ
ば、従来のＲＮＳモンゴメリべき乗に比べて、約１／４
の処理量でＲＳＡ復号変換が実現できる。また、ＲＮＳ
モンゴメリべき乗を２つの回路で同時に実行すれば、従
来のＲＮＳモンゴメリべき乗に比べて、約１／８の処理
量でＲＳＡ復号変換が実現できる。
プはＲＮＳ演算器で実行可能な演算機能を用いて実行可
能である。特にステップＳ７−ｐとステップＳ７−ｑの
ＲＮＳモンゴメリべき乗が計算処理の大半を占めるが、
これらは法ｐ、ｑよりわずかに大きな基底Ａ、Ｂを用い
た和集合ＡＵＢを基底として利用できることが重要であ
る。ＲＮＳモンゴメリ乗算の計算量は、その内部で実行
する基底変換の計算量で評価できる。この処理では、１
つの基底要素について見た場合にワードサイズでの乗算
を基底サイズｎのオーダだけ必要とし、さらにこれを変
換元の基底における全ての基底要素について実行する。
従って、ＲＮＳモンゴメリ乗算の計算量は、基底サイズ
ｎの２乗のオーダとなる。また、ＲＮＳモンゴメリべき
乗の計算量は、ＲＮＳモンゴメリ乗算を指数のビットサ
イズＬ＿ｅだけ繰り返す処理に相当する。よって、ＲＮ
Ｓモンゴメリべき乗の計算量はＯ（ｎ＾２＊Ｌ＿ｅ）と
なる。具体的に、例えば、１０２４ビットのＲＳＡ暗号
を想定する。この場合、秘密鍵ｄ、Ｎ、暗号文Ｃはいず
れも１０２４ビットになる。従って、これを、従来のよ
うにＲＮＳ表現でのモンゴメリべき乗で実行する場合、
利用する基底ａ’（およびｂ’）は最低でも要素数３３
（＝１０２４／３２（ワードサイズ）＋１）となる。一
方、本実施形態のようにＣＲＴべき乗で利用する秘密鍵
ｄｐ、ｄｑ、ｐ、ｑ、Ｃを法ｐ、ｑで縮小した値Ｃｐ、
Ｃｑはいずれも５１２ビットであるため、利用する基底
ａ（およびｂ）は最低で要素数１７（＝５１２／３２
（ワードサイズ）＋１）となる。最低の基底要素数を利
用するのが処理時間の面で最も効率的であるので、この
前提でＣＲＴによるべき乗剰余計算とＣＲＴによらない
べき乗剰余計算の計算量を比較してみる。ＲＮＳモンゴ
メリ乗算については、その計算量は、ＣＲＴを用いる場
合は、ＣＲＴを用いない場合の１／４となる。べき指数
のサイズについては、ＣＲＴを用いる場合にはＣＲＴを
用いない場合の１／２になるが、ＣＲＴを用いる場合に
はＲＮＳモンゴメリべき乗を２回計算する必要がある。
よって、全体としては、本ＣＲＴべき乗剰余計算によれ
ば、従来のＲＮＳモンゴメリべき乗に比べて、約１／４
の処理量でＲＳＡ復号変換が実現できる。また、ＲＮＳ
モンゴメリべき乗を２つの回路で同時に実行すれば、従
来のＲＮＳモンゴメリべき乗に比べて、約１／８の処理
量でＲＳＡ復号変換が実現できる。
【００６９】以下では、本実施形態のバリエーションに
ついて説明する。
ついて説明する。
【００７０】図２の手順のうち、ステップＳ１−ｐ〜Ｓ
５−ｐの手順は、ステップＳ２−ｐがステップＳ１−ｐ
の後になる制約がある以外、どのような順番で行っても
かまわない（剰余計算部１２９や表現変換部１２７を並
列処理可能にして、それらの全部または一部を並列処理
してもよい）。
５−ｐの手順は、ステップＳ２−ｐがステップＳ１−ｐ
の後になる制約がある以外、どのような順番で行っても
かまわない（剰余計算部１２９や表現変換部１２７を並
列処理可能にして、それらの全部または一部を並列処理
してもよい）。
【００７１】また、図２の手順のうち、ステップＳ１−
ｐ〜Ｓ９−ｐと、ステップＳ１−ｑ〜Ｓ９−ｑとでは、
いずれも対応するステップＳｉ−ｐとステップＳｉ−ｑ
でＮの２つの素因数であるｐとｑに関する同様の演算を
実行している。ステップＳ１−ｐ〜Ｓ９−ｐ、Ｓ１−ｑ
〜Ｓ９−ｑの演算は、ｐパートとｑパートを逐次的に行
っても良いし、全てのｐパートを実行後に全てのｑパー
トを実行するようにしても良い。後者の方が、中間変数
のメモリへの退避・復旧が減る分、効率が良くなる可能
性がある。また、ｐパートとｑパートをパイプライン的
に処理することも可能である。また、該当する演算部の
全部または一部を並列処理可能にしてｐパートとｑパー
トとを並列的に実行することも可能である。ｐパートと
ｑパートとを別々に記述した場合の計算装置１の各演算
部に関する内部構成例を図５に示す。また、例えば、Ｒ
ＮＳモンゴメリ乗算部１２３、ＲＮＳモンゴメリべき乗
部１２４、ＲＮＳ乗算部１２５、ＲＮＳ加算部１２６の
全部、あるいはそれらのうちＲＮＳモンゴメリ乗算部１
２３およびＲＮＳモンゴメリべき乗部１２４のみ、ある
いはそれらのうちＲＮＳモンゴメリべき乗部１２４のみ
を、並列処理可能にしてｐパートとｑパートとを並列的
に実行することも可能である。もちろん、各演算部は、
ＲＮＳ演算に由来する並列計算を行って高速化を図るこ
とが可能である。この場合に、基底の全ての要素に対す
る演算を同時に実行するように構成することも可能であ
るし、基底の一部（例えば、基底サイズの整数分の一に
相当する個数）の要素に対する演算を同時に実行するよ
うに構成することも可能である。
ｐ〜Ｓ９−ｐと、ステップＳ１−ｑ〜Ｓ９−ｑとでは、
いずれも対応するステップＳｉ−ｐとステップＳｉ−ｑ
でＮの２つの素因数であるｐとｑに関する同様の演算を
実行している。ステップＳ１−ｐ〜Ｓ９−ｐ、Ｓ１−ｑ
〜Ｓ９−ｑの演算は、ｐパートとｑパートを逐次的に行
っても良いし、全てのｐパートを実行後に全てのｑパー
トを実行するようにしても良い。後者の方が、中間変数
のメモリへの退避・復旧が減る分、効率が良くなる可能
性がある。また、ｐパートとｑパートをパイプライン的
に処理することも可能である。また、該当する演算部の
全部または一部を並列処理可能にしてｐパートとｑパー
トとを並列的に実行することも可能である。ｐパートと
ｑパートとを別々に記述した場合の計算装置１の各演算
部に関する内部構成例を図５に示す。また、例えば、Ｒ
ＮＳモンゴメリ乗算部１２３、ＲＮＳモンゴメリべき乗
部１２４、ＲＮＳ乗算部１２５、ＲＮＳ加算部１２６の
全部、あるいはそれらのうちＲＮＳモンゴメリ乗算部１
２３およびＲＮＳモンゴメリべき乗部１２４のみ、ある
いはそれらのうちＲＮＳモンゴメリべき乗部１２４のみ
を、並列処理可能にしてｐパートとｑパートとを並列的
に実行することも可能である。もちろん、各演算部は、
ＲＮＳ演算に由来する並列計算を行って高速化を図るこ
とが可能である。この場合に、基底の全ての要素に対す
る演算を同時に実行するように構成することも可能であ
るし、基底の一部（例えば、基底サイズの整数分の一に
相当する個数）の要素に対する演算を同時に実行するよ
うに構成することも可能である。
【００７２】また、これまで説明した構成例では、ｐｉ
ｎｖ＝ｐ＾（−１） ｍｏｄ ｑ、ｑｉｎｖ＝ｑ＾(-1)
ｍｏｄ ｐを外部から入力する例を示したが、それら
をｐ、ｑから計算するようにしてもよい。この場合に
は、図５に示すように、２進数表現での補助的な演算部
として、剰余計算部１２９と加減算部１３０の他に、さ
らに逆元計算部１３１を設ければよい。逆元計算部１３
１では、２進数表現の整数ｘと法の値ｙを入力して、ｘ
＾(-1)（ｍｏｄ ｙ）を計算する。この計算は拡張ユー
クリッドの互除法と呼ばれるアルゴリズムで実行される
ことが多い。例えば、“Ｋｎｕｔｈ著、中川圭介訳、
「準数値算法／算術演算」、サイエンス社、ｐ．１６
２”に示されている。概ね、ｙのサイズの剰余乗算１０
回分程度の計算量である。
ｎｖ＝ｐ＾（−１） ｍｏｄ ｑ、ｑｉｎｖ＝ｑ＾(-1)
ｍｏｄ ｐを外部から入力する例を示したが、それら
をｐ、ｑから計算するようにしてもよい。この場合に
は、図５に示すように、２進数表現での補助的な演算部
として、剰余計算部１２９と加減算部１３０の他に、さ
らに逆元計算部１３１を設ければよい。逆元計算部１３
１では、２進数表現の整数ｘと法の値ｙを入力して、ｘ
＾(-1)（ｍｏｄ ｙ）を計算する。この計算は拡張ユー
クリッドの互除法と呼ばれるアルゴリズムで実行される
ことが多い。例えば、“Ｋｎｕｔｈ著、中川圭介訳、
「準数値算法／算術演算」、サイエンス社、ｐ．１６
２”に示されている。概ね、ｙのサイズの剰余乗算１０
回分程度の計算量である。
【００７３】また、これまで説明した構成例では、ｄｐ
＝ｄ ｍｏｄ （ｐ−１）、ｄｑ＝ｄ ｍｏｄ （ｑ−
１）を外部から入力する例を示したが、それらをｐ、ｑ
から計算するようにしてもよい。この計算は、剰余計算
部１２９により行うことができる。
＝ｄ ｍｏｄ （ｐ−１）、ｄｑ＝ｄ ｍｏｄ （ｑ−
１）を外部から入力する例を示したが、それらをｐ、ｑ
から計算するようにしてもよい。この計算は、剰余計算
部１２９により行うことができる。
【００７４】ｐｉｎｖ、ｑｉｎｖ、ｄｐ、ｄｑをｐ、ｑ
から計算するようにした場合の計算装置１の各演算部に
関する内部構成例を図６に示す。
から計算するようにした場合の計算装置１の各演算部に
関する内部構成例を図６に示す。
【００７５】また、外部入力パラメータ（暗号文Ｃ、ｄ
ｐ＝ｄ ｍｏｄ （ｐ−１）、ｄｑ＝ｄ ｍｏｄ （ｑ
−１）、Ｎ（＝ｐ＊ｑ）、ｐ、ｑ、ｐｉｎｖ＝ｐ＾（−
１）ｍｏｄ ｑ、ｑｉｎｖ＝ｑ＾(-1) ｍｏｄ ｐ）の
うち暗号文Ｃ以外のものは、ＲＳＡの秘密鍵に相当する
パラメータであり、それらの全部または一部を本計算装
置１内部に記憶しておくことも可能である。この場合に
は、外部からは、暗号文Ｃと本演算装置１内部の鍵パラ
メータ群を選択するのに必要な鍵識別情報を入力するよ
うにすればよい。
ｐ＝ｄ ｍｏｄ （ｐ−１）、ｄｑ＝ｄ ｍｏｄ （ｑ
−１）、Ｎ（＝ｐ＊ｑ）、ｐ、ｑ、ｐｉｎｖ＝ｐ＾（−
１）ｍｏｄ ｑ、ｑｉｎｖ＝ｑ＾(-1) ｍｏｄ ｐ）の
うち暗号文Ｃ以外のものは、ＲＳＡの秘密鍵に相当する
パラメータであり、それらの全部または一部を本計算装
置１内部に記憶しておくことも可能である。この場合に
は、外部からは、暗号文Ｃと本演算装置１内部の鍵パラ
メータ群を選択するのに必要な鍵識別情報を入力するよ
うにすればよい。
【００７６】また、図２のステップＳ１−ｐ〜Ｓ４−ｐ
およびステップＳ１−ｑ〜Ｓ４−ｑで示される計算は、
ＲＳＡの秘密鍵（ｐ，ｑ，ｐｉｎｖ，ｑｉｎｖ）のみに
依存した計算であるが、ＲＳＡによる暗号文Ｃはセッシ
ョン毎に異なるのに対し、ＲＳＡ秘密鍵はそれほど変更
されないことが多い（ＲＳＡ秘密鍵が不変のシステムも
あり得る）。そこで、ステップＳ１−ｐ〜ステップＳ４
−ｑまで実行した結果を保存しておき、以後同じＲＳＡ
秘密鍵が用いられる限り、ステップＳ１−ｐ〜ステップ
Ｓ４−ｑまでスキップし、先に保存しておいた結果を利
用してステップＳ５−ｐ以降の処理を行うとともに、Ｒ
ＳＡ秘密鍵が変更されたときに改めてステップＳ１−ｐ
〜ステップＳ４−ｑまで実行するようにしてもよい。ま
た、ＲＳＡ秘密鍵を鍵識別情報で管理する場合には、鍵
識別情報に対応付けて、上記結果を保存しておくように
してもよい。
およびステップＳ１−ｑ〜Ｓ４−ｑで示される計算は、
ＲＳＡの秘密鍵（ｐ，ｑ，ｐｉｎｖ，ｑｉｎｖ）のみに
依存した計算であるが、ＲＳＡによる暗号文Ｃはセッシ
ョン毎に異なるのに対し、ＲＳＡ秘密鍵はそれほど変更
されないことが多い（ＲＳＡ秘密鍵が不変のシステムも
あり得る）。そこで、ステップＳ１−ｐ〜ステップＳ４
−ｑまで実行した結果を保存しておき、以後同じＲＳＡ
秘密鍵が用いられる限り、ステップＳ１−ｐ〜ステップ
Ｓ４−ｑまでスキップし、先に保存しておいた結果を利
用してステップＳ５−ｐ以降の処理を行うとともに、Ｒ
ＳＡ秘密鍵が変更されたときに改めてステップＳ１−ｐ
〜ステップＳ４−ｑまで実行するようにしてもよい。ま
た、ＲＳＡ秘密鍵を鍵識別情報で管理する場合には、鍵
識別情報に対応付けて、上記結果を保存しておくように
してもよい。
【００７７】また、ＲＳＡ秘密鍵が唯一不変の場合に
は、外部からはＣのみを入力するものとし、ＲＳＡ秘密
鍵のみに依存するデータ（ｐ、ｑ、Ｎ、＜ｐ＞、＜ｑ
＞、＜−ｐ＾(-1)＞＿ｂ、＜−ｑ＾(-1)＞＿ｂ、＜ｂｐ
＞、＜ｂｑ＞、＜ｐｉｎｖ＞、＜ｑｉｎｖ＞、＜ｂｐ
＞、＜ｂｑ＞）は、予め記憶部に記憶しておくようにし
てもよい。また、ＲＳＡ秘密鍵が複数ある場合には、外
部からはＣおよび鍵識別情報のみを入力するものとし、
ＲＳＡ秘密鍵のみに依存するデータ（ｐ、ｑ、Ｎ、＜ｐ
＞、＜ｑ＞、＜−ｐ＾(-1)＞＿ｂ、＜−ｑ＾(-1)＞＿
ｂ、＜ｂｐ＞、＜ｂｑ＞、＜ｐｉｎｖ＞、＜ｑｉｎｖ
＞、＜ｂｐ＞、＜ｂｑ＞）を鍵識別情報に対応付けて予
め記憶部に記憶しておき、外部から入力された鍵識別情
報に対応するものを記憶部から読み出して用いるように
してもよい。
は、外部からはＣのみを入力するものとし、ＲＳＡ秘密
鍵のみに依存するデータ（ｐ、ｑ、Ｎ、＜ｐ＞、＜ｑ
＞、＜−ｐ＾(-1)＞＿ｂ、＜−ｑ＾(-1)＞＿ｂ、＜ｂｐ
＞、＜ｂｑ＞、＜ｐｉｎｖ＞、＜ｑｉｎｖ＞、＜ｂｐ
＞、＜ｂｑ＞）は、予め記憶部に記憶しておくようにし
てもよい。また、ＲＳＡ秘密鍵が複数ある場合には、外
部からはＣおよび鍵識別情報のみを入力するものとし、
ＲＳＡ秘密鍵のみに依存するデータ（ｐ、ｑ、Ｎ、＜ｐ
＞、＜ｑ＞、＜−ｐ＾(-1)＞＿ｂ、＜−ｑ＾(-1)＞＿
ｂ、＜ｂｐ＞、＜ｂｑ＞、＜ｐｉｎｖ＞、＜ｑｉｎｖ
＞、＜ｂｐ＞、＜ｂｑ＞）を鍵識別情報に対応付けて予
め記憶部に記憶しておき、外部から入力された鍵識別情
報に対応するものを記憶部から読み出して用いるように
してもよい。
【００７８】また、２種類の基底を用いる場合に、基底
ａ＝｛ａ1 ，ａ2 ，…，ａn1 ｝と基底ｂ＝｛ｂ1 ，ｂ
2 ，…，ｂn2 ｝について、ｎ１＝ｎ２＝ｎとして説明
したが、ｎ１≠ｎ２とすることも可能である。
ａ＝｛ａ1 ，ａ2 ，…，ａn1 ｝と基底ｂ＝｛ｂ1 ，ｂ
2 ，…，ｂn2 ｝について、ｎ１＝ｎ２＝ｎとして説明
したが、ｎ１≠ｎ２とすることも可能である。
【００７９】なお、以上では、本発明を図８のような復
号変換に適用した場合について説明したが、暗号変換
（Ｃ＝ｍ＾ｅ ｍｏｄ Ｎ）は復号変換（ｍ＝Ｃ＾ｄ
ｍｏｄＮ）と同様の計算式により表現されるので、もち
ろん、本発明は暗号変換にも適用可能である（例えば、
秘密鍵を持つ装置が、暗号変換するケース）。この場合
には、これまでの説明において、暗号文Ｃの代わりに平
文ｍを入力とし、指数ｄの代わりに指数ｅを用いればよ
い。
号変換に適用した場合について説明したが、暗号変換
（Ｃ＝ｍ＾ｅ ｍｏｄ Ｎ）は復号変換（ｍ＝Ｃ＾ｄ
ｍｏｄＮ）と同様の計算式により表現されるので、もち
ろん、本発明は暗号変換にも適用可能である（例えば、
秘密鍵を持つ装置が、暗号変換するケース）。この場合
には、これまでの説明において、暗号文Ｃの代わりに平
文ｍを入力とし、指数ｄの代わりに指数ｅを用いればよ
い。
【００８０】ここで、本計算装置のハードウェア、ソフ
トウェア構成について説明する。本実施の形態では、本
計算装置（復号化装置あるいは暗号化装置）をハードウ
ェアにより実現することを想定して説明したが、ソフト
ウェアとして実現することも可能である。ハードウェア
として構成する場合、例えば、半導体装置として形成
し、演算ボードあるいは演算カードとして、パーソナル
・コンピュータなどの計算機に装備する形態がある。計
算機がＯＳを用いる場合には、この演算デバイス用のド
ライバをＯＳに組み込んで用いる形態もある。また、例
えば、半導体装置として形成し、ＡＶ機器や家電機器等
の装置に備えることも可能である。ソフトウェアで実現
する場合、コンピュータに所定の手段を実行させるため
の（あるいはコンピュータを所定の手段として機能させ
るための、あるいはコンピュータに所定の機能を実現さ
せるための）プログラムとして実施することができ、ま
た該プログラムを記録したコンピュータ読取り可能な記
録媒体として実施することができる。もちろん、マルチ
プロセッサやパイプライン処理などの種々の高速化技術
を利用することも可能である。
トウェア構成について説明する。本実施の形態では、本
計算装置（復号化装置あるいは暗号化装置）をハードウ
ェアにより実現することを想定して説明したが、ソフト
ウェアとして実現することも可能である。ハードウェア
として構成する場合、例えば、半導体装置として形成
し、演算ボードあるいは演算カードとして、パーソナル
・コンピュータなどの計算機に装備する形態がある。計
算機がＯＳを用いる場合には、この演算デバイス用のド
ライバをＯＳに組み込んで用いる形態もある。また、例
えば、半導体装置として形成し、ＡＶ機器や家電機器等
の装置に備えることも可能である。ソフトウェアで実現
する場合、コンピュータに所定の手段を実行させるため
の（あるいはコンピュータを所定の手段として機能させ
るための、あるいはコンピュータに所定の機能を実現さ
せるための）プログラムとして実施することができ、ま
た該プログラムを記録したコンピュータ読取り可能な記
録媒体として実施することができる。もちろん、マルチ
プロセッサやパイプライン処理などの種々の高速化技術
を利用することも可能である。
【００８１】なお、この発明の実施の形態で例示した構
成は一例であって、それ以外の構成を排除する趣旨のも
のではなく、例示した構成の一部を他のもので置き換え
たり、例示した構成の一部を省いたり、例示した構成に
別の機能あるいは要素を付加したり、それらを組み合わ
せたりすることなどによって得られる別の構成も可能で
ある。また、例示した構成と論理的に等価な別の構成、
例示した構成と論理的に等価な部分を含む別の構成、例
示した構成の要部と論理的に等価な別の構成なども可能
である。また、例示した構成と同一もしくは類似の目的
を達成する別の構成、例示した構成と同一もしくは類似
の効果を奏する別の構成なども可能である。また、この
発明の実施の形態で例示した各種構成部分についての各
種バリエーションは、適宜組み合わせて実施することが
可能である。また、この発明の実施の形態は、個別装置
としての発明、関連を持つ２以上の装置についての発
明、システム全体としての発明、個別装置内部の構成部
分についての発明、またはそれらに対応する方法の発明
等、種々の観点、段階、概念またはカテゴリに係る発明
を包含・内在するものである。従って、この発明の実施
の形態に開示した内容からは、例示した構成に限定され
ることなく発明を抽出することができるものである。
成は一例であって、それ以外の構成を排除する趣旨のも
のではなく、例示した構成の一部を他のもので置き換え
たり、例示した構成の一部を省いたり、例示した構成に
別の機能あるいは要素を付加したり、それらを組み合わ
せたりすることなどによって得られる別の構成も可能で
ある。また、例示した構成と論理的に等価な別の構成、
例示した構成と論理的に等価な部分を含む別の構成、例
示した構成の要部と論理的に等価な別の構成なども可能
である。また、例示した構成と同一もしくは類似の目的
を達成する別の構成、例示した構成と同一もしくは類似
の効果を奏する別の構成なども可能である。また、この
発明の実施の形態で例示した各種構成部分についての各
種バリエーションは、適宜組み合わせて実施することが
可能である。また、この発明の実施の形態は、個別装置
としての発明、関連を持つ２以上の装置についての発
明、システム全体としての発明、個別装置内部の構成部
分についての発明、またはそれらに対応する方法の発明
等、種々の観点、段階、概念またはカテゴリに係る発明
を包含・内在するものである。従って、この発明の実施
の形態に開示した内容からは、例示した構成に限定され
ることなく発明を抽出することができるものである。
【００８２】本発明は、上述した実施の形態に限定され
るものではなく、その技術的範囲において種々変形して
実施することができる。
るものではなく、その技術的範囲において種々変形して
実施することができる。
【００８３】
【発明の効果】本発明によれば、中国剰余定理を利用し
た演算と剰余系を利用した演算とモンゴメリ演算とを融
合させることによって、べき乗剰余計算をより効率良く
実行することができる。
た演算と剰余系を利用した演算とモンゴメリ演算とを融
合させることによって、べき乗剰余計算をより効率良く
実行することができる。
【図１】本発明の実施の形態に係る計算装置の構成例を
示す図
示す図
【図２】同実施形態に係る計算装置の処理手順の一例を
示すフローチャート
示すフローチャート
【図３】同実施形態に係る計算装置の各演算部に関する
内部構成例を示す図
内部構成例を示す図
【図４】同実施形態に係る計算装置の処理手順の他の例
を示すフローチャート
を示すフローチャート
【図５】同実施形態に係る計算装置の各演算部に関する
内部構成の他の例を示す図
内部構成の他の例を示す図
【図６】同実施形態に係る計算装置の他の構成例を示す
図
図
【図７】同実施形態に係る計算装置の各演算部に関する
内部構成のさらに他の例を示す図
内部構成のさらに他の例を示す図
【図８】同実施形態に係る計算装置の適用例について説
明するための図
明するための図
１…計算装置 １１…入出力部 １２…ＲＮＳ演算器 １３…制御部 １２１…記憶部 １２２…ＲＮＳ逆元計算部 １２３…ＲＮＳモンゴメリ乗算部 １２４…ＲＮＳモンゴメリべき乗部 １２５…ＲＮＳ乗算部 １２６…ＲＮＳ加算部 １２７…第１の表現変換部 １２８…第２の表現変換部 １２９…剰余計算部 １３０…加減算部 １３１…逆元計算部
Claims (16)
- 【請求項１】対象データＣ及び独立パラメータｐ、ｑ、
ｄについて、複数の整数の組からなる第１の基底及び第
２の基底による剰余系表現を利用して（ただし、両基底
に含まれる全整数は互いに素、且つ、第１の基底の全整
数の積Ａ＞ｐ，ｑ、且つ、第２の基底の全整数の積Ｂ＞
ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、計算結果ｍ＝Ｃ＾
ｄ ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余計算装置
であって、 前記データＣのｐによる剰余値Ｃｐの剰余系表現及び前
記パラメータｄの（ｐ−１）による剰余値ｄｐに基づ
き、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加
えられた値の剰余系表現を求めるための第１の処理手段
と、 前記データＣのｑによる剰余値Ｃｑの剰余系表現及び前
記パラメータｄの（ｑ−１）による剰余値ｄｑに基づ
き、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加
えられた値の剰余系表現を求めるための第２の処理手段
と、 前記第１及び第２の処理手段により求められた両剰余系
表現に基づき、法ｐ＊ｑの元でＣ＾ｄと合同である整数
ｍ’の剰余系表現を求めるための第３の処理手段と、 前記第３の処理手段により求められた前記剰余系表現を
２進数表現に変換して得られた前記整数ｍ’の値に基づ
き、前記計算結果ｍを求めるための第４の処理手段とを
備えたことを特徴とするべき乗剰余計算装置。 - 【請求項２】前記第１の処理手段は、前記剰余値Ｃｐ＝
Ｃ ｍｏｄ ｐの剰余系表現とＢ＾２ ｍｏｄ ｐの剰
余系表現とのＲＮＳモンゴメリ乗算を行い、これにより
得られた剰余系表現について指数部を前記剰余値ｄｐ＝
ｄ ｍｏｄ （ｐ−１）とするＲＮＳモンゴメリべき乗
を行うことによって、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄｐ又
はこれにｐが加えられた値の剰余系表現を求め、 前記第２の処理手段は、前記剰余値Ｃｑ＝Ｃ ｍｏｄ
ｑの剰余系表現とＢ＾２ ｍｏｄ ｑの剰余系表現との
ＲＮＳモンゴメリ乗算を行い、これにより得られた剰余
系表現について指数部を前記剰余値ｄｑ＝ｄ ｍｏｄ
（ｑ−１）とするＲＮＳモンゴメリべき乗を行うことに
よって、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄｑ又はこれにｑが
加えられた値の剰余系表現を求めることを特徴とする請
求項１に記載のべき乗剰余計算装置。 - 【請求項３】前記パラメータｐ、ｑ及びｄをもとに、前
記剰余値ｄｐ＝ｄ ｍｏｄ （ｐ−１）及び前記剰余値
ｄｑ＝ｄ ｍｏｄ （ｑ−１）を求めるための手段を更
に備えたことを特徴とする請求項２に記載のべき乗剰余
計算装置。 - 【請求項４】前記第３の処理手段は、前記第１の処理手
段により得られた前記剰余系表現と前記パラメータｑの
法ｐにおける逆元ｑｉｎｖ＝ｑ＾（−１） ｍｏｄ ｐ
の剰余系表現とのＲＮＳモンゴメリ乗算を行い、これに
よって得られた剰余系表現と前記パラメータｑの剰余系
表現とのＲＮＳ乗算を行うとともに、前記第２の処理手
段により得られた前記剰余系表現と前記パラメータｐの
法ｑにおける逆元ｐｉｎｖ＝ｐ＾（−１） ｍｏｄ ｑ
の剰余系表現とのＲＮＳモンゴメリ乗算を行い、これに
よって得られた剰余系表現と前記パラメータｐの剰余系
表現とのＲＮＳ乗算を行い、これらにより得られた両Ｒ
ＮＳ乗算の結果のＲＮＳ加算を行うことによって、前記
法ｐ＊ｑにおいてＣ＾ｄと合同である整数ｍ’の剰余系
表現を求めることを特徴とする請求項１に記載のべき乗
剰余計算装置。 - 【請求項５】前記パラメータｐ及び前記パラメータｑ並
びに前記逆元ｐｉｎｖ及び前記逆元ｑｉｎｖをそれぞれ
２進数表現から剰余系表現に変換するための手段を更に
備えたことを特徴とする請求項４に記載のべき乗剰余計
算装置。 - 【請求項６】前記パラメータｐ及びｑをもとに、前記逆
元ｐｉｎｖ＝ｐ＾（−１） ｍｏｄｑ及び前記パラメー
タｑの法ｐにおける逆元ｑｉｎｖ＝ｑ＾（−１） ｍｏ
ｄｐを求めるための手段を更に備えたことを特徴とする
請求項５に記載のべき乗剰余計算装置。 - 【請求項７】前記データＣ並びに前記パラメータｐ及び
ｑをもとに、前記剰余値Ｃｐ＝Ｃｍｏｄ ｐ及び前記剰
余値Ｃｑ＝Ｃ ｍｏｄ ｑを求めるための手段を更に備
えたことを特徴とする請求項１に記載のべき乗剰余計算
装置。 - 【請求項８】前記パラメータｐ、ｑ、ｄのみに依存する
剰余系表現のデータを予め記憶しておくための記憶手段
を更に備えたことを特徴とする請求項１、２または４に
記載のべき乗剰余計算装置。 - 【請求項９】前記パラメータを識別する識別情報ｉと、
該識別情報ｉに対応するパラメータｐｉ、ｑｉ、ｄｉの
みに依存する剰余系表現のデータとを対応付けて予め記
憶しておくための記憶手段を更に備えたことを特徴とす
る請求項１、２または４に記載のべき乗剰余計算装置。 - 【請求項１０】前記第１の処理手段及び第２の処理手段
はそれらの処理の少なくとも一部を同時に実行すること
を特徴とする請求項１に記載のべき乗剰余計算装置。 - 【請求項１１】前記第１の処理手段及び第２の処理手段
は前記基底の要素ごとに行う演算につき該要素の数に相
当する演算の全部または一部を同時に実行することを特
徴とする請求項１に記載のべき乗剰余計算装置。 - 【請求項１２】前記第４の処理手段は、 前記第３の処理手段により求められた前記整数ｍ’の剰
余系表現を２進数表現に変換するための手段と、 この手段により得られたｐ＊ｑ未満の前記整数ｍ’の値
又はｐ＊ｑ以上の前記整数ｍ’から所定回数ｐ＊ｑを減
じることによって得たｐ＊ｑ未満の値を、ｍ＝Ｃ＾ｄ
ｍｏｄ ｐ＊ｑとするための手段とを含むことを特徴と
する請求項１に記載のべき乗剰余計算装置。 - 【請求項１３】前記第１の基底の要素数と前記第２の基
底の要素数とを同一にしたことを特徴とする請求項１に
記載のべき乗剰余計算装置。 - 【請求項１４】対象データＣ及び独立パラメータｐ、
ｑ、ｄについて、複数の整数の組からなる第１の基底及
び第２の基底による剰余系表現を利用して（ただし、両
基底に含まれる全整数は互いに素、且つ、第１の基底の
全整数の積Ａ＞ｐ，ｑ、且つ、第２の基底の全整数の積
Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、ｍ＝Ｃ＾ｄ
ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余計算方法であ
って、 前記データＣのｐによる剰余値Ｃｐの剰余系表現及び前
記パラメータｄの（ｐ−１）による剰余値ｄｐに基づ
き、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加
えられた値の剰余系表現を求めるとともに、前記データ
Ｃのｑによる剰余値Ｃｑの剰余系表現及び前記パラメー
タｄの（ｑ−１）による剰余値ｄｑに基づき、（Ｃｑ＾
ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加えられた値の
剰余系表現を求め、 求められた両剰余系表現に基づき、法ｐ＊ｑの元でＣ＾
ｄと合同である整数ｍ’の剰余系表現を求め、 求められた前記剰余系表現を２進数表現に変換して得ら
れた前記整数ｍ’の値に基づき、前記計算結果ｍを求め
ることを特徴とするべき乗剰余計算方法。 - 【請求項１５】対象データＣ及び独立パラメータｐ、
ｑ、ｄについて、複数の整数の組からなる第１の基底及
び第２の基底による剰余系表現を利用して（ただし、両
基底に含まれる全整数は互いに素、且つ、第１の基底の
全整数の積Ａ＞ｐ，ｑ、且つ、第２の基底の全整数の積
Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、ｍ＝Ｃ＾ｄ
ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余計算装置とし
てコンピュータを機能させるためのプログラムを記録し
たコンピュータ読取り可能な記録媒体であって、 前記データＣのｐによる剰余値Ｃｐの剰余系表現及び前
記パラメータｄの（ｐ−１）による剰余値ｄｐに基づ
き、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加
えられた値の剰余系表現を求めるための第１の処理機能
と、 前記データＣのｑによる剰余値Ｃｑの剰余系表現及び前
記パラメータｄの（ｑ−１）による剰余値ｄｑに基づ
き、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加
えられた値の剰余系表現を求めるための第２の処理機能
と、 前記第１及び第２の処理機能により求められた両剰余系
表現に基づき、法ｐ＊ｑの元でＣ＾ｄと合同である整数
ｍ’の剰余系表現を求めるための第３の処理機能と、 前記第３の処理機能により求められた前記剰余系表現を
２進数表現に変換して得られた前記整数ｍ’の値に基づ
き、前記計算結果ｍを求めるための第４の処理機能とを
コンピュータに実現させるためのプログラムを記録した
コンピュータ読取り可能な記録媒体。 - 【請求項１６】対象データＣ及び独立パラメータｐ、
ｑ、ｄについて、複数の整数の組からなる第１の基底及
び第２の基底による剰余系表現を利用して（ただし、両
基底に含まれる全整数は互いに素、且つ、第１の基底の
全整数の積Ａ＞ｐ，ｑ、且つ、第２の基底の全整数の積
Ｂ＞ｐ，ｑ、且つ、Ａ＊Ｂ＞Ｃとする）、ｍ＝Ｃ＾ｄ
ｍｏｄ ｐ＊ｑを求めるためのべき乗剰余計算装置とし
てコンピュータを機能させるためのプログラム、 前記データＣのｐによる剰余値Ｃｐの剰余系表現及び前
記パラメータｄの（ｐ−１）による剰余値ｄｐに基づ
き、（Ｃｐ＾ｄｐ）＊Ｂ ｍｏｄ ｐ又はこれにｐが加
えられた値の剰余系表現を求めるための第１の処理機能
と、 前記データＣのｑによる剰余値Ｃｑの剰余系表現及び前
記パラメータｄの（ｑ−１）による剰余値ｄｑに基づ
き、（Ｃｑ＾ｄｑ）＊Ｂ ｍｏｄ ｑ又はこれにｑが加
えられた値の剰余系表現を求めるための第２の処理機能
と、 前記第１及び第２の処理機能により求められた両剰余系
表現に基づき、法ｐ＊ｑの元でＣ＾ｄと合同である整数
ｍ’の剰余系表現を求めるための第３の処理機能と、 前記第３の処理機能により求められた前記剰余系表現を
２進数表現に変換して得られた前記整数ｍ’の値に基づ
き、前記計算結果ｍを求めるための第４の処理機能とを
コンピュータに実現させるためのプログラム。
Priority Applications (2)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001013565A JP3785044B2 (ja) | 2001-01-22 | 2001-01-22 | べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体 |
| US10/051,276 US20020126838A1 (en) | 2001-01-22 | 2002-01-22 | Modular exponentiation calculation apparatus and modular exponentiation calculation method |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP2001013565A JP3785044B2 (ja) | 2001-01-22 | 2001-01-22 | べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JP2002215020A true JP2002215020A (ja) | 2002-07-31 |
| JP3785044B2 JP3785044B2 (ja) | 2006-06-14 |
Family
ID=18880397
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2001013565A Expired - Fee Related JP3785044B2 (ja) | 2001-01-22 | 2001-01-22 | べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体 |
Country Status (2)
| Country | Link |
|---|---|
| US (1) | US20020126838A1 (ja) |
| JP (1) | JP3785044B2 (ja) |
Families Citing this family (18)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2003241659A (ja) * | 2002-02-22 | 2003-08-29 | Hitachi Ltd | 情報処理方法 |
| DE10220262A1 (de) * | 2002-05-06 | 2003-11-27 | Giesecke & Devrient Gmbh | Berechnung des modularen Inversen eines Wertes |
| US7187770B1 (en) | 2002-07-16 | 2007-03-06 | Cisco Technology, Inc. | Method and apparatus for accelerating preliminary operations for cryptographic processing |
| US7532720B2 (en) * | 2003-10-15 | 2009-05-12 | Microsoft Corporation | Utilizing SIMD instructions within montgomery multiplication |
| US8229109B2 (en) * | 2006-06-27 | 2012-07-24 | Intel Corporation | Modular reduction using folding |
| US7925011B2 (en) * | 2006-12-14 | 2011-04-12 | Intel Corporation | Method for simultaneous modular exponentiations |
| EP2015171A1 (fr) * | 2007-06-29 | 2009-01-14 | Gemplus | Procédé cryptographique comprenant une exponentiation modulaire sécurisée contre les attaques à canaux cachés sans la connaissance de l'exposant public, cryptoprocesseur pour la mise en oeuvre du procédé et carte à puce associée |
| US8005210B2 (en) * | 2007-06-30 | 2011-08-23 | Intel Corporation | Modulus scaling for elliptic-curve cryptography |
| US8042025B2 (en) * | 2007-12-18 | 2011-10-18 | Intel Corporation | Determining a message residue |
| US20090285387A1 (en) * | 2008-05-15 | 2009-11-19 | Chiou-Haun Lee | Symmetric encryption/decryption method of variable length and application thereof |
| JP5407352B2 (ja) * | 2009-01-19 | 2014-02-05 | 富士通株式会社 | 復号処理装置、復号処理プログラム、復号処理方法 |
| JP5573964B2 (ja) * | 2010-12-27 | 2014-08-20 | 富士通株式会社 | 暗号処理装置および方法 |
| EP2779519A1 (en) * | 2013-03-11 | 2014-09-17 | Thomson Licensing | A method and a device for fault-resistant exponentiation in cryptographic systems |
| US9985784B2 (en) | 2014-12-23 | 2018-05-29 | Nxp B.V. | Efficient smooth encodings for modular exponentiation |
| US9904516B2 (en) | 2014-12-23 | 2018-02-27 | Nxp B.V. | Modular exponentiation using look-up tables |
| US9906368B2 (en) | 2014-12-23 | 2018-02-27 | Nxp B.V. | General encoding functions for modular exponentiation encryption schemes |
| US10033801B2 (en) * | 2015-02-12 | 2018-07-24 | Mellanox Technologies, Ltd. | Associative summing for high performance computing |
| US9652200B2 (en) | 2015-02-18 | 2017-05-16 | Nxp B.V. | Modular multiplication using look-up tables |
Family Cites Families (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| DE69229766T2 (de) * | 1991-09-05 | 2000-03-23 | Canon K.K., Tokio/Tokyo | Verfahren und Gerät zum Verschlüsseln und Entschlüsseln von Kommunikationsdaten |
| US6691143B2 (en) * | 2000-05-11 | 2004-02-10 | Cyberguard Corporation | Accelerated montgomery multiplication using plural multipliers |
| US6763365B2 (en) * | 2000-12-19 | 2004-07-13 | International Business Machines Corporation | Hardware implementation for modular multiplication using a plurality of almost entirely identical processor elements |
-
2001
- 2001-01-22 JP JP2001013565A patent/JP3785044B2/ja not_active Expired - Fee Related
-
2002
- 2002-01-22 US US10/051,276 patent/US20020126838A1/en not_active Abandoned
Also Published As
| Publication number | Publication date |
|---|---|
| US20020126838A1 (en) | 2002-09-12 |
| JP3785044B2 (ja) | 2006-06-14 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| JP3785044B2 (ja) | べき乗剰余計算装置、べき乗剰余計算方法及び記録媒体 | |
| Joye et al. | Optimal left-to-right binary signed-digit recoding | |
| US7904498B2 (en) | Modular multiplication processing apparatus | |
| Yanık et al. | Incomplete reduction in modular arithmetic | |
| US8977668B2 (en) | Calculating unit for reducing an input number with respect to a modulus | |
| CN109039640B (zh) | 一种基于rsa密码算法的加解密硬件系统及方法 | |
| US8417760B2 (en) | Device and method for calculating a multiplication addition operation and for calculating a result of a modular multiplication | |
| US6480606B1 (en) | Elliptic curve encryption method and system | |
| Großschädl | A bit-serial unified multiplier architecture for finite fields GF (p) and GF (2 m) | |
| JP3542278B2 (ja) | モンゴメリ・リダクション装置及び記録媒体 | |
| JP4351987B2 (ja) | モンゴメリ変換装置、演算装置、ｉｃカード、暗号装置、復号装置及びプログラム | |
| US20090268900A1 (en) | Signed montgomery arithmetic | |
| US8364740B2 (en) | Device and method for calculating a result of a modular multiplication with a calculating unit smaller than the operands | |
| KR100508092B1 (ko) | 저전력 모듈로 곱셈을 수행하는 연산장치 | |
| KR20040067779A (ko) | 정보 처리방법 | |
| KR101154845B1 (ko) | 스칼라 배산기 및 스칼라 배산프로그램 | |
| US6609141B1 (en) | Method of performing modular inversion | |
| US8364737B2 (en) | Device and method for calculating a result of a sum with a calculating unit with limited word length | |
| JP4182226B2 (ja) | 剰余系の計算方法及び装置並びにプログラム | |
| Stogbauer | Efficient Algorithms for pairing-based cryptosystems | |
| TW202332229A (zh) | 用來進行功耗擾動操作以降低密碼系統功耗分析攻擊的成功率之方法、密碼系統處理電路及電子裝置 | |
| JPWO2005013243A1 (ja) | モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム | |
| JP5179933B2 (ja) | データ処理装置 | |
| JP3779479B2 (ja) | Ｉｃカード | |
| JP3966714B2 (ja) | 暗号処理方法、そのプログラム及びその記録媒体 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A131 Effective date: 20050906 |
|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20051107 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060314 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20060316 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100324 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100324 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (event date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110324 Year of fee payment: 5 |
|
| LAPS | Cancellation because of no payment of annual fees |