JP2002236445A - べき乗剰余演算方法、逆数演算方法およびそれらの装置 - Google Patents

Abstract

(57)【要約】 【課題】 ２の拡大体上の逆数演算に限定したアルゴリ
ズムによって、逆数演算をバイナリメソッドやウインド
ウメソッドなどの一般的なべき乗剰余演算を利用する方
法より高速化し、特殊な条件を設けずに２の拡大体上の
逆数演算に常に適用可能な演算を実現する。 【解決手段】 ２進数に変換した場合にｍ個のビット全
てが１であるべき数（２ ^m−１）によるべき乗剰余演算
方法であって、２進数に変換した（ｍ）を（ｍ_b-1，ｍ
_b-2，・・・ｍ₁，ｍ₀）₂とするとき、最初に変数ｓに被
演算数ａを代入する工程と、ｉ＝ｂ−２：０の間で、ｍ
_i＝０の場合にｓ^{(2^loop)}×ｓ mod ｆを実行し、ｍ_i＝
１の場合にｓ^{(2^loop)}×ｓ mod ｆを実行した後、ｓ²×
ａ mod ｆを実行する工程とを備えるべき乗剰余演算方
法。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、公開鍵暗号系にお
ける楕円曲線暗号処理における基本演算である楕円曲線
上の点の演算に係り、特に楕円曲線上の点のスカラー倍
算処理を高速に行う楕円曲線上の点の演算方法に関す
る。

【０００２】

【従来の技術】近年のコンピュータネットワークの発達
により、データベースの検索や電子メール、電子ニュー
スなどの電子化された情報をネットワークを経由して送
受信する機会が急速に増加してきている。さらに、これ
らを利用して、オンラインショッピングなどのサービス
も提供されつつある。しかし、それに伴って、ネットワ
ーク上の電子化されたデータを盗聴したり、改竄した
り、または他人になりすましてサービスを受けるなどの
違法行為についての問題が浮上してきている。特に、無
線を利用したネットワークにおいては、傍受が容易なた
めこれらを防止する対策が望まれている。

【０００３】これらの問題に対して暗号技術（encrypti
on technology）を応用した暗号化電子メールや利用者
認証システムが提案され、種々のネットワークにも導入
されつつあり、コンピュータネットワークにおいて暗号
化は必須の技術となりつつある。

【０００４】このような暗号技術の中の１つにディジタ
ル署名すなわち認証に適した公開鍵暗号（public key c
ryptosystem）があるが、暗号化／復号化に大量の処理
が必要なため高速化が望まれており、様々な高速化アル
ゴリズムも発表されている。

【０００５】暗号化方式は、大別すると秘密鍵暗号系と
公開鍵暗号系の２つに分類することができる。秘密鍵暗
号系は、送信者と受信者が同じ鍵を持つことにより暗号
通信を行う方式である。すなわち、秘密鍵暗号系では、
あるメッセージを秘密の暗号鍵に基づいて暗号化し相手
に送り、受け手はこの暗号鍵を用いて暗号分を復号化し
もとのメッセージに戻して情報を入手する。

【０００６】公開鍵暗号系は、送信者は公開されている
受信者の公開鍵でメッセージを暗号化して送信し、受信
者は自分の秘密鍵でその暗号化メッセージを復号化する
ことで通信を行う方式である。すなわち、公開鍵暗号系
では、公開鍵は暗号化のための鍵、秘密鍵は公開鍵によ
り暗号化された暗号を復号化するための鍵であり、公開
鍵で暗号化した暗号が秘密鍵でのみ復号化することがで
きる。

【０００７】秘密鍵暗号系では、個人が秘密に保管しな
ければならない鍵の数が通信相手の数だけ必要であり、
必要な総鍵数はｎ人のネットワークの場合、ｎ（ｎ−
１）／２個である。また、はじめて通信をする相手に対
しては、何らかの方法で秘密鍵の配送を行う必要がある
という点で欠点がある。この問題を避けるために、大規
模なネットワークでは、鍵管理センタを設置し、センタ
との間の秘密鍵のみを保管し、暗号通信を行う場合はセ
ンタから送信相手との秘密鍵を得る方法が用いられる。
この場合秘密鍵の総数はｎとなる。

【０００８】一方公開鍵暗号系では、個人が秘密に保管
する鍵は自分の秘密鍵のみであり、必要な総秘密鍵数も
ｎ人のネットワークの場合、ｎ個である。また、はじめ
て通信する相手に対しては、公開鍵の配送を行えばよ
く、鍵管理センタを設置して、ユーザの公開鍵をｎ個公
開簿に登録し、センタから送信相手の公開鍵を得る方法
が用いられる。この場合、センタは公開鍵の改竄を防ぐ
だけで、秘密に保管する必要がない。ただし、公開鍵方
式は秘密鍵方式に比べて鍵のビット数が大きいため保管
に要するファイルサイズが大きくなるという問題を内包
している。

【０００９】また、認証の場合、秘密鍵暗号系では、例
えば、送信するメッセージを秘密鍵で圧縮変換し、送信
文に付加して送り、受信側では同様に圧縮変換して比較
する方式がとられている。しかし、送受信が同じ鍵であ
るため受信者は認証データを偽造することができる。

【００１０】これに対して、公開鍵暗号系では、秘密鍵
で暗号化することができるのは本人だけであるという特
徴を利用する。送信者はメッセージを圧縮変換して秘密
鍵で暗号化し、送信文に付加して送り、受信者は送信者
の公開鍵で付加されたデータを復号化し、同様に圧縮変
換したものと比較する方式がとられている。この場合は
受信者が不正できない。

【００１１】このように、認証系では公開鍵暗号系の技
術は必要不可欠であるといえる。しかし、公開鍵暗号系
には、暗号化／復号化に大量の処理が必要であるという
大きな欠点があるため、一般には処理の速い秘密鍵暗号
系をメッセージの暗号化に、公開鍵暗号系は認証用にと
いうように組み合わせて用いられる場合が多い。

【００１２】公開鍵暗号系の中で、現在IEEE P1363, AN
SI X 9.62などで標準化が進んでいるものに、楕円曲線
暗号（Elliptic Curve Cryptography）がある。これ
は、楕円曲線の離散対数問題に基づくもので、N. Kobli
tz（"A course in number theory and cryptography",
Spring-Verlag, 1997）と、V. Miller（"Use of ellipt
ic curves in cryptography", Advances in Cryptology
-Proceedings of Crypto'85, Lecture Notes in Comput
er Science, 218(1986), Spring-Verlag, pp 417-426）
により提案された。 〔楕円曲線暗号に用いる楕円曲線〕楕円曲線暗号に用い
る主な楕円曲線は、素体上の楕円曲線（標準形：ｙ²＝
ｘ³＋ａｘ＋ｂ（ｍｏｄ ｐ），ｐ：素数，ａ，ｂ：ＧＦ
（ｐ）の元）と、２の拡大体上の楕円曲線（標準形：ｙ
²＋ｘｙ＝ｘ³＋ａｘ²＋ｂ（ｍｏｄ ｆ），ｆ：ｎ次既
約多項式，ａ，ｂ：ＧＦ（２ⁿ）の元）である。この楕
円曲線上の点Ｐ（ｘ，ｙ）および単位元となる無限遠点
Οの集合は、加算に関して群をなす。楕円曲線暗号は、
この点の演算による離散対数問題に基づく暗号である。
楕円曲線上の点の演算は以下のものが定義されてい
る。 〔楕円曲線上の点の加算〕 素体上の楕円曲線の場合：楕円曲線上の点Ｐ＝（ｘ₁，
ｙ₁）とすると、−Ｐ＝（ｘ₁，−ｙ₁）と定義される。
また、楕円曲線上の点Ｐ＝（ｘ₁，ｙ₁）、Ｑ＝（ｘ₂，
ｙ₂）、Ｒ＝（ｘ₃，ｙ₃）とし、Ｒ＝Ｐ＋ＱかつＰ≠−
Ｐである場合、Ｒ＝（ｘ₃，ｙ₃）は次のように定義され
る。

【００１３】ｘ₃＝λ²−ｘ₁−ｘ₂ ｙ₃＝λ（ｘ₁−ｘ₃）−ｙ₁ ２の拡大体上の楕円曲線の場合：楕円曲線上の点Ｐ＝
（ｘ₁，ｙ₁）とすると、−Ｐ＝（ｘ₁，ｙ₁＋ｘ₁）と定
義される。また、楕円曲線上の点Ｐ＝（ｘ₁，ｙ₁）、Ｑ
＝（ｘ₂，ｙ₂）、Ｒ＝（ｘ ₃，ｙ₃）とし、Ｒ＝Ｐ＋Ｑか
つＰ≠−Ｐである場合、Ｒ＝（ｘ₃，ｙ₃）は次のように
定義される。

【００１４】Ｐ≠Ｑのとき： ｘ₃＝λ²＋λ＋ｘ₁＋ｘ₂＋ａ ｙ₃＝λ（ｘ₁＋ｘ₃）＋ｘ₃＋ｙ₁ λ＝（ｙ₂＋ｙ₁）／（ｘ₂＋ｘ₁） Ｐ＝Ｑのとき： ｘ₃＝ｘ₁ ²＋ｂ／ｘ₁ ² ｙ₃＝ｘ₁ ²（ｘ₁＋ｙ₁／ｘ₁）ｘ₃＋ｘ₃ これらの演算は、素体（mod p）もしくは２の拡大体（m
od f）上の演算であるので、割り算は各体の上での逆数
との乗算を行うことで計算できる。 〔逆数演算〕逆数の演算は、拡張ユークリッドの互除法
とその応用およびフェルマーの小定理を利用した方法に
大別できる。たとえば、フェルマーの小定理を利用した
ものは次のように表すことができる。

【００１５】素体上の楕円曲線の場合： ａ^-1≡ａ^P-2 mod p ２の拡大体の場合： ａ^-1≡ａ^{2^m-2} mod f ただし、2^m−2＝２^m−２とする。

【００１６】このことから、フェルマーの小定理を用い
た逆数演算は、べき乗剰余で求めることが可能である。 〔べき乗剰余演算〕べき乗剰余ａ^k mod ｃは、ａをｋ回
乗算して剰余演算を行えば計算することができるが、ｋ
の値が大きくなることにより計算量が膨大になることか
ら、通常は、乗算剰余と自乗剰余を組み合わせたバイナ
リメソッド（Binary Method）や事前計算表を用いてバ
イナリメソッドを複数ビット単位（window)で行うウイ
ンドウメソッド（Window Method）などを用いて計算を
行う。

【００１７】バイナリメソッドは、E. D. Knuthが、"Th
e art of computer programing vol. 2, Seminumerical
Algorithm, 2nd ed." (Addison-Wesley, Reading, Mas
s. 1981)で述べている方式で、乗数ｋを２進数表現（Bi
nary表現）し、最上位ビットから最下位ビットまで順に
検査していって、そのビットの値が０なら自乗剰余演算
を行い、ビットの値が１であれば自乗剰余演算を行って
から乗算剰余演算を行うという方式である。これを以下
のalgorithm 1に示す。 〈algorithm 1, Binary Method〉 ｒ＝ａ^k mod ｃを求める。

【００１８】ｋをｍビットとしてその２進数表現をｋ＝
（ｋ_m-1、ｋ_m-2、・・・ｋ₁、ｋ₀） ₂とする。 ウインドウメソッドにはいろいろなバリエーションがあ
るが、ここではもっとも基本的なものについて示す。バ
イナリメソッドと同様に、倍数ｋを２進数表現し、最上
位から最下位ビットまでウィンドウ（Window）を当ては
めていく。

【００１９】たとえば、ｋ＝27622793＝11010010101111
10110001001₂に４bit Windowを当てはめる場合、1101 00 1010 1111 1011 000 1001 のように５つのWindowを当てはめることができる。この
とき、ａ⁰(0000₂)からａ ¹⁵(1111₂)までの値を事前に計
算で求めた４bitテーブルを用意しておく必要がある。
このように、４bitテーブルを当てはめたWindow内の値
の乗算剰余演算と、自乗剰余演算とを組み合わせること
によって、ウインドウメソッドによるべき乗剰余演算を
行うことができる。そのアルゴリズムを以下のalgorith
m 2に示す。 〈algorithm 2，Window Method〉 ｒ＝ａ^k mod ｃを求める。

【００２０】ｋをｍビットとしてその２進数表現をｋ＝
（ｋ_m-1、ｋ_m-2、・・・ｋ₁、ｋ₀） ₂とする。Windowサ
イズをwビットとする。

【００２１】 ＃テーブル作成 table［０］＝１ for ｉ＝１ to ２^w−１ table［ｉ］＝table［ｉ−１］＊ａ mod ｃ endfor ＃Window Method ｒ＝１ for ｉ=ｍ−１ to ０ if （ｋ_i==０） ｒ＝ｒ² mod ｃ； else ｒ＝ｒ² mod ｃ； ｒ＝ｒ² mod ｃ； ｒ＝ｒ² mod ｃ； ｒ＝ｒ² mod ｃ；； ｒ＝ｒ＊table［（ｋ_i，ｋ_i-1，ｋ_i-2，ｋ_i-3）₂］ endif endfor return R

【００２２】

【発明が解決しようとする課題】上述のようなバイナリ
メソッドやウインドウメソッドは一般的なべき乗剰余演
算において高速演算を可能とする方法であって、計算対
象を特定した場合には、その計算対象の性質を利用した
計算方法を用いることにより、より高速な処理が可能と
なると考えられる。

【００２３】２の拡大体上の逆数演算（ａ^-1 mod ｆ）
は、（ａ^{(2^m-2)} mod ｆ）で置き換えることが可能であ
り、さらに指数（２＾ｍ−２）を２進数表現した場合、
最下位ビットを除く全てのビットが１であるという特徴
を有している。このような性質を利用して、特定のもの
を計算対象とするべき乗剰余演算および２の拡大体上の
逆数演算の高速化に関して考察する。

【００２４】指数の特徴を利用した高速べき乗剰余演算
として、Lambert, Robert, J.；International Publica
tion Number（PCT国際公開番号）WO99/63426号"Acceler
atedCryptographic Operations"で開示されているもの
が存在する。ここでは、素体上の平方剰余演算を高速に
行う方法が開示されており、指数を２進数表現した場合
に１が２のべき乗数個連続する場合にのみ高速計算が可
能なべき乗剰余演算方法が示されている。これを以下に
algorithm 3として示す。 〈algorithm 3〉 目的：ａ^{(2^k-1)} mod ｐを計算する。

【００２５】 Set Ｂ＝１，Ａ＝ａ，ｉ＝１ While ｋ！＝０ do if ｋ mod ２==１ then Ｂ＝ＢＡ(mod p) ・・・・・（１） ｋ＝ｋ／２ Ａ＝Ａ^{(2^i)}Ａ(mod p) ｉ＝２ｉ Return B このようなアルゴリズムを使用する場合、（１）の処理
においてＢを計算しているため、指数をビット表現した
場合の連続する１の数（algorithm 3中のｋの値）が２
のべき数個連続する場合、即ちｋ＝２^bと表現できる場
合にのみ適用可能となっている。また、このアルゴリズ
ムは、素体上の平方剰余演算を行うという制限だけでは
なく、法ｐの値がたとえばｐ＝２¹⁶⁰−２³¹−１などの
特殊な場合であることが適用の条件となっており、適用
範囲が極めて狭いものとなっている。

【００２６】本発明では、２の拡大体上の逆数演算に限
定したアルゴリズムによって、逆数演算をバイナリメ
ソッドやウインドウメソッドなどの一般的なべき乗剰余
演算を利用する方法より高速化すること、特殊な条件
を設けずに２の拡大体上の逆数演算に常に適用可能な演
算を実現することを目的とする。

【００２７】

【課題を解決するための手段】本発明では、２進数に変
換した場合にｎ個のビット全てが１であるべき数（２ ⁿ
−１）によるべき乗剰余演算方法であって、２進数に変
換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・ｎ₁，ｎ₀）₂と
するとき、最初に変数ｓに被演算数ａを代入する工程
と、ｉ＝ｂ−２：０の間で、ｎ_i＝０の場合に変数ｓに
よる演算ｓ^{(2^loop)}×ｓ mod ｆを実行し、ｎ_i＝１の場
合に変数ｓによる演算ｓ^{(2^loop)}×ｓ modｆを実行した
後、変数ｓによる演算ｓ²×ａ mod ｆを実行する工程と
を備えるべき乗剰余演算方法を提案する。

【００２８】また、本発明では、２進数に変換した場合
にｎ個のビット全てが１であるべき数（２ⁿ−１）によ
る２の拡大体上のべき乗剰余演算ａ^{(2^n)-1} mod ｆを行
う方法であって、２進数に変換した（ｎ）を（ｎ_b-1，
ｎ_b-2，・・・ｎ₁，ｎ₀）₂とするとき、レジスタｓに被
演算数ａ、ループ数を計数するためのループ変数loopに
１、変数ｉにｂ−２をそれぞれ格納する第１ステップ
と、変数ｉが０以上であるか否かを判別し、変数ｉが０
未満である場合には第１０ステップに移行し、そうでな
い場合には第３ステップに移行する分岐を行う第２ステ
ップと、レジスタｔにレジスタｓの値を代入する第３ス
テップと、レジスタｔの値により自乗剰余演算（ｔ×ｔ
mod ｆ）を行い、この演算結果をレジスタｔに代入す
る処理をループ変数loopの回数だけ繰り返す第４ステッ
プと、レジスタｓの値とレジスタｔの値により乗算剰余
演算（ｓ×ｔ mod ｆ）を行って演算結果をレジスタｓ
に代入するとともに、ループ変数loopの値を２倍してこ
れをループ変数loopに代入する第５ステップと、現在の
変数ｉに基づくｎ_iの値が０であるか否かを判別し、ｎ_i
の値が０である場合には第２ステップに移行し、そうで
ない場合には第７ステップに移行する分岐を行う第６ス
テップと、レジスタｔにレジスタｓの値を代入する第７
ステップと、レジスタｔの値により自乗剰余演算（ｔ×
ｔ mod ｆ）を行い、この演算結果をレジスタｔに代入
する第８ステップと、レジスタｔの値と被演算数ａの値
により乗算剰余演算（ｔ×ａ mod ｆ）を行い、この演
算結果をレジスタｓに代入するとともに、ループ変数lo
opに１を加算してこれをループ変数loopに代入した後第
２ステップに移行する第９ステップと、レジスタｓの値
を出力用レジスタｒに代入する第１０ステップとを備え
る、２の拡大体上のべき乗剰余演算方法を提案する。

【００２９】さらに、本発明では、２進数に変換した場
合にｍ個のビットのうちｍ−１個が連続して１であり最
後のビットが０であるべき数（２^m−２）によるべき乗
剰余演算ａ^{(2^m)-2} mod ｆを行って２の拡大体ＧＦ（２
^m）上の逆数演算ａ^-1 mod ｆを行う方法であって、２進
数に変換した（ｍ−１）を（ｍ_b-1，ｍ_b-2，・・・
ｍ ₁，ｍ₀）₂とするとき、レジスタｓに被演算数ａ、ル
ープ数を計数するためのループ変数loopに１、変数ｉに
ｂ−２をそれぞれ格納する第１ステップと、変数ｉが０
以上であるか否かを判別し、変数ｉが０未満である場合
には第１０ステップに移行し、そうでない場合には第３
ステップに移行する分岐を行う第２ステップと、レジス
タｔにレジスタｓの値を代入する第３ステップと、レジ
スタｔの値により自乗剰余演算（ｔ×ｔ mod ｆ）を行
い、この演算結果をレジスタｔに代入する処理をループ
変数loopの回数だけ繰り返す第４ステップと、レジスタ
ｓの値とレジスタｔの値により乗算剰余演算（ｓ×ｔ m
od ｆ）を行って演算結果をレジスタｓに代入するとと
もに、ループ変数loopの値を２倍してこれをループ変数
loopに代入する第５ステップと、現在の変数ｉに基づく
m_iの値が０であるか否かを判別し、ｍ_iの値が０である
場合には第２ステップに移行し、そうでない場合には第
７ステップに移行する分岐を行う第６ステップと、レジ
スタｔにレジスタｓの値を代入する第７ステップと、レ
ジスタｔの値により自乗剰余演算（ｔ×ｔmod ｆ）を行
い、この演算結果を前記レジスタｔに代入する第８ステ
ップと、レジスタｔの値と被演算数ａの値により乗算剰
余演算（ｔ×ａ mod ｆ）を行い、この演算結果をレジ
スタｓに代入するとともに、ループ変数loopに１を加算
してこれをループ変数loopに代入した後第２ステップに
移行する第９ステップと、レジスタｓの値により自乗剰
余演算（ｓ×ｓ mod ｆ）を行い、この演算結果を出力
用レジスタｒに代入する第１０ステップとを備える、２
の拡大体上の逆数演算方法を提案する。

【００３０】また、本発明では、２進数に変換した場合
にｎ個のビット全てが１であるべき数（２ⁿ−１）によ
るべき乗剰余演算方法をコンピュータに実行させるプロ
グラムであって、２進数に変換した（ｎ）を（ｎ_b-1，
ｎ_b-2，・・・ｎ₁，ｎ₀）₂とするとき、最初に変数ｓに
被演算数ａを代入する工程と、ｉ＝ｂ−２：０の間で、
ｎ_i＝０の場合に変数ｓによる演算ｓ^{(2^loop)}×ｓ mod
ｆを実行し、ｎ_i＝１の場合に変数ｓによる演算ｓ
^{(2^loop)}×ｓ mod ｆを実行した後、変数ｓによる演算
ｓ²×ａ mod ｆを実行する工程とをコンピュータに実行
させるプログラムを提案する。

【００３１】さらに、本発明では、２進数に変換した場
合にｎ個のビット全てが１であるべき数（２ⁿ−１）に
よるべき乗剰余演算ａ^{(2^n)-1} mod ｆを行うべき乗剰余
演算装置であって、被演算数ａが格納されるａレジスタ
と、変数ｓが格納されるｓレジスタと、変数ｔが格納さ
れるｔレジスタと、演算結果が格納されるｒレジスタ
と、ｔレジスタ内の変数ｔによる自乗剰余演算を行う自
乗剰余演算手段と、ｔレジスタ内の変数ｔと、前記ａレ
ジスタ内の被演算数ａまたは前記ｓレジスタ内の変数ｓ
とによる乗算剰余演算を行う乗算剰余演算手段と、２進
数に変換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・ｎ₁，
ｎ₀）₂、ｉ＝ｂ−２：０とするとき、ｎ_i＝０の場合に
レジスタｓ内の変数ｓをレジスタｔ内の変数ｔに代入
し、前記自乗剰余演算手段による変数ｔの自乗剰余演算
をループ回数loopだけ実行させその演算結果をレジスタ
ｔに格納し、レジスタｔ内の変数ｔとレジスタｓ内の変
数ｓの乗算剰余演算を前記乗算剰余演算手段により演算
させてレジスタｓ内の変数ｓに代入する第１演算制御手
段と、ｎ_i＝１の場合にレジスタｓ内の変数ｓをレジス
タｔ内の変数ｔに代入し、自乗剰余演算手段による変数
ｔの自乗剰余演算をループ回数loopだけ実行させその演
算結果をレジスタｔに格納し、レジスタｔ内の変数ｔと
レジスタｓ内の変数ｓの乗算剰余演算を乗算剰余演算手
段により演算させてレジスタｓ内の変数ｓに代入し、さ
らにレジスタｓ内の変数ｓをレジスタｔ内の変数ｔに代
入し、自乗剰余演算手段による変数ｔの自乗剰余演算を
実行してレジスタｔ内の変数ｔに代入し、乗算剰余演算
手段によるレジスタａ内の被演算数ａとレジスタｔ内の
変数ｔとの乗算剰余演算を実行してこの演算結果をレジ
スタｓ内の変数ｓに代入する第２演算制御手段と、ｉ＜
０のとき、レジスタｓ内の変数ｓをレジスタｒに代入す
る第３演算制御手段と、自乗剰余演算手段による変数ｔ
の自乗剰余演算をループ回数loopだけ実行した後にルー
プ変数loopの値を２倍し、乗算剰余演算手段によるレジ
スタａ内の被演算数ａとレジスタｔ内の変数ｔとの乗算
剰余演算を実行した後にループ変数loopに１を加算する
ループ変数制御手段とを備えるべき乗剰余演算装置を提
供する。

【００３２】

【発明の実施の形態】〔２の拡大体上の逆数演算〕本発
明の第１実施形態を図を用いて説明する。

【００３３】フェルマーの小定理を利用した２の拡大体
ＧＦ（２^m）上における逆数ａ^-1の剰余演算は、ａ
^{(2^m)-2} mod ｆで計算することができる。この指数２^m
−２をバイナリ表現すると、最下位ビットを除くすべて
のビットが１となる。本発明では、このことを利用して
高速にべき乗演算を行うものであり、以下にそのアルゴ
リズムを示す。 〈algorithm 4〉（ｍ−１）＝（ｍ_b-1，ｍ_b-2，…，
ｍ₁，ｍ₀）₂とし、ｒ＝ａ^{(2^m)-2} mod ｆを計算する。
ｉ，ｊ，ｓ，ｔ，loopは一時定数である。

【００３４】 このアルゴリズムを実行するためのべき剰余演算装置の
構成例を図１に示す。

【００３５】このべき乗剰余演算装置１は、被演算数ａ
が格納されるａレジスタ１１と、変数ｓが格納されるｓ
レジスタ１２と、変数ｔが格納されるｔレジスタ１３
と、演算結果が格納されるｒレジスタ１４と、ｔレジス
タ１３内の変数ｔによる自乗剰余演算を行う自乗剰余演
算部１５と、ｔレジスタ１３内の変数ｔとａレジスタ１
１内の被演算数ａまたはｓレジスタ１２内の変数ｓとに
よる乗算剰余演算を行う乗算剰余演算部１６とを備えて
いる。

【００３６】このようなべき剰余演算装置において、２
の拡大体ＧＦ（２^m）上における逆数ａ^-1の剰余演算ａ
^-1 mod ｆ＝ａ^{(2^m)-2} mod ｆを行う場合のフローチャ
ートを図２に示す。

【００３７】ステップＳ１では、各パラメータに初期値
をセットする初期化処理を実行する。ここでは、被演算
数ａをａレジスタ１１にセットするとともに、ｓレジス
タ１２にａレジスタ１１にセットされた被演算数ａの値
を代入する。自乗剰余演算を連続して行う際に用いるル
ープ変数loopを１にセットする。さらに、べき数（２ ^m
−２）を２進数に変換した場合に連続する１の数がｍ個
であり、（ｍ−１）を２進数に変換した場合のビット数
をｂとした場合、（ｍ−１）＝（ｍ_b-1，ｍ_b-2，・・・
ｍ₁，ｍ₀）₂となる。ここで、演算制御に用いる変数ｉ
の値をｂ−２にセットする。

【００３８】ステップＳ２では、変数ｉの値が０以上で
あるか否かを判別する。変数ｉの値が０以上であればス
テップＳ３に移行し、変数ｉの値が０未満であればステ
ップＳ１０に移行する。

【００３９】ステップＳ３では、ｓレジスタ１２に格納
されている変数ｓの値をｔレジスタ１３に代入する。ス
テップＳ４では、自乗剰余演算部１５によりｔレジスタ
１３内の変数ｔの自乗剰余演算ｔ×ｔ mod ｆを実行し
てｔレジスタ１３に格納する。この処理をループ変数lo
opの値と同じ回数だけ繰り返してステップＳ５に移行す
る。

【００４０】ステップＳ５では、乗算剰余演算部１６に
より、ｓレジスタ１２内の変数ｓの値と、ｔレジスタ１
３内の変数ｔの値との乗算剰余演算を行い、その演算結
果をｓレジスタ１２に格納する。また、ループ変数loop
を２倍してループ変数loopの値を更新する。

【００４１】このステップＳ３〜ステップＳ５の処理に
より、変数ｓによるべき乗剰余演算ｓ^{2^loop}×ｓ mod
ｆを実行することとなる。ステップＳ６では、変数ｉの
現在の値に基づいてｍ_iの値が１であるか否かを判別す
る。ｍ_iの値が１である場合にはステップＳ７に移行
し、そうでない場合（ｍ_iの値が０である場合）にはス
テップＳ１１に移行する。

【００４２】ステップＳ７では、ｓレジスタ１２に格納
されている変数ｓの値をｔレジスタ１３に代入する。ス
テップＳ８では、自乗剰余演算部１５によりｔレジスタ
１３内の変数ｔの自乗剰余演算ｔ×ｔ mod ｆを実行し
てｔレジスタ１３に格納する。

【００４３】ステップＳ９では、乗算剰余演算部１６に
より、ｔレジスタ１３内の変数ｔの値と、ａレジスタ１
１内の被演算数ａの値との乗算剰余演算を行い、その演
算結果をｓレジスタ１２に格納する。また、ループ変数
loopに１を加算してループ変数loopの値を更新する。こ
の後、ステップＳ１１に移行する。

【００４４】ここでは、ｍ_iの値が１の場合に、ステッ
プＳ２〜ステップＳ５の処理を実行した後に、ステップ
Ｓ７〜ステップＳ９の処理を実行して、変数ｓによるべ
き乗剰余演算ｓ²×ａ mod ｆを実行することとなる。

【００４５】ステップＳ１１では、変数ｉの値をデクリ
メントし、ステップＳ２に移行する。ステップＳ２にお
いて、変数ｉの値が０未満であると判断した場合には、
ステップＳ１０に移行する。ステップＳ１０では、ｓレ
ジスタ１２に格納されている変数ｓの値をｔレジスタｔ
に代入し、自乗剰余演算部１５によりｔレジスタ１３内
の変数ｔの自乗剰余演算ｔ×ｔ mod ｆを実行してｒレ
ジスタ１４に格納する。

【００４６】ステップＳ１０では、ｓレジスタ１４内の
変数ｓの値は、２進数に変換した場合にｍ個の１が連続
するようなべき数による被演算数ａのべき乗剰余演算結
果となっている。このｓレジスタ１４内の変数ｓを値を
ｔレジスタに代入して自乗剰余演算を行うことで、ｍ個
の１が連続し最下位のビットが０であるようなべき数の
べき乗剰余演算結果を得ることができる。

【００４７】図１において、ｓレジスタ１３と自乗剰余
演算部１５とを接続することにより、ステップＳ１０に
おいて、ｓレジスタ１２からｔレジスタ１３への数値代
入を省略し、ｓレジスタ１３の値を直接自乗剰余演算す
るように構成することも可能である。 〔べき乗剰余演算〕また、アルゴリズム４と同じ考え方
で、２進数に変換した場合にｎ個のビット全てが１であ
るようなべき数（２ⁿ−１）によるべき乗剰余演算を行
うことが可能である。この場合のべき乗剰余演算方法
を、次のalgorithm 5に示す。このalgorithm 5では、剰
余演算を"mod f"のように２の拡大体上の剰余として記
載しているが、素体上においても同じアルゴリズムでべ
き乗剰余演算（mod p）を行うことが可能である。 〈algorithm 5〉（ｎ）＝（ｎ_b-1，ｎ_b-2，…，ｎ₁，ｎ
₀）₂とし、ｒ＝ａ^{(2^n)-1} mod ｆを計算する。ｉ，ｊ，
ｓ，ｔ，loopは一時定数である。

【００４８】 〔逆数演算における他の演算方法との比較〕上述したよ
うな本発明の方法を用いてｍ＝１６３の場合の計算手順
と途中経過の値を表１に示す。

【００４９】ｍ＝１６３の場合、（ｍ−１）を２進数に
変換すると、(10100010)₂となり、計算を行う逆数は、
ａ^-1＝ａ^{7FFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFFE}
と表すことができる。なお、表１中、ｌはループ変数lo
opの値を示すものとする。

【００５０】

【表１】 また、ｍ＝１６３の場合の計算手順と途中経過の値を、
バイナリメソッドを用いた場合の例を表２に、ウインド
ウメソッドを用いた場合の例を表３に示す。

【００５１】

【表２】

【００５２】

【表３】 この結果から、本発明のべき乗剰余演算方法を用いた場
合には、自乗剰余演算の回数はバイナリメソッドやウイ
ンドウメソッドの場合とほぼ同程度の回数必要である
が、乗算剰余演算の回数を大幅に削減することが可能と
なる。したがって、自乗剰余演算の計算量と乗算剰余演
算の計算量とが同等であると仮定した場合、本発明によ
る演算方法を用いた逆数演算の計算量は、バイナリメソ
ッドを用いた場合の５３％であり、ウインドウメソッド
を用いた場合の７８％となる。ただし、ウインドウメソ
ッドの場合、テーブルを作成するための事前演算に乗算
剰余演算を３０回必要とし、これを全体の演算回数に合
計している。

【００５３】一般的に、２の拡大体の拡大次数ｍが大き
くなるに従って、自乗剰余演算回数と乗算剰余演算回数
を合計した計算量も増加するが、本発明、バイナリメソ
ッドおよびウインドウメソッドの各方式による演算回数
と、拡大次数ｍとの対応を図３に示す。ただし、ここで
はウインドウメソッドのウインドウ幅は５としている。

【００５４】図３に示すように、バイナリメソッドで
は、本発明の演算方法による場合とウインドウメソッド
による場合に比して傾きが大きくなり、拡大次数ｍが５
００になると演算回数がほぼ１０００回に達してしま
う。ウインドウメソッドの場合であっても、拡大次数ｍ
が５００であれば演算回数が６００を超えることとな
る。これに対して、本発明の演算方法による逆数演算の
場合には、拡大次数ｍが５００になっても演算回数の下
限値、上限値ともに５００程度となり、他の方式による
演算回数より大幅に演算回数を削減することが可能とな
る。

【００５５】したがって、本発明の演算方法を２の拡大
体の逆数演算に用いることにより、他の一般的な演算方
法よりさらに高速な演算を可能とする。また、本発明の
演算方法では、ウインドウメソッドのようにテーブルの
事前計算を必要としないため、テーブルを格納しておく
レジスタを必要とせず、テーブル参照の処理を省略する
ことができる。

【００５６】さらに、前述したWO99/63426号に開示され
ているLambertの演算方法では、素体上の乗算剰余演算
（平方剰余演算）に限定されており、特殊な条件下での
適用だけ許されるもので、本発明の演算方法との直接的
な比較は不可能である。あえて、Lambertの演算方法に
よる演算回数を近い条件で換算して図３に表示するとす
れば、拡大次数ｍの値が２^bとなる点だけがプロットさ
れることとなる。この点における演算回数は本発明の演
算方法の場合とほぼ同様の結果になると考えられるが、
Lambertの演算方法が適用の範囲の狭いということが明
白である。したがって、本発明による演算方法は、広い
範囲で適用することが可能であり、かつ高速演算を実現
することが可能であるという点で従来の方法にはないべ
き乗剰余演算方法および逆数演算方法を提供することと
なる。〔正規基底の適用〕２の拡大体にはPolynomial B
ase(PB：多項式基底)とNormal Base(NB：正規基底)と呼
ばれる基底がある。正規基底の場合、多項式基底の場合
に比較して乗算剰余演算の計算量は大きいが、自乗剰余
演算をｍビットデータの１ビットローテーションシフト
演算で計算可能であるという性質をもっている。このロ
ーテーションシフト演算は計算量が極めて小さくなるた
め、自乗剰余演算による計算量をほぼ０と仮定すること
ができる。したがって、本発明の演算方法では、バイナ
リメソッドやウインドウメソッドを用いた場合に比して
乗算剰余演算の回数を削減することができる上、２の拡
大体に正規基底を用いることにより自乗剰余演算におけ
る計算量をほぼ０と見なすことができることから、バイ
ナリメソッドを用いた場合の６％、ウインドウメソッド
を用いた場合の１５％の計算量で逆数演算が可能とな
る。

【００５７】このような正規基底を用いた場合のアルゴ
リズムを以下に示す。 〈algorithm 6〉（ｍ−１）＝（ｍ_b-1，ｍ_b-2，…，
ｍ₁，ｍ₀）₂とし、ｒ＝ａ^{(2^m)-2} mod ｆを計算する。
ｉ，ｊ，ｓ，ｔ，loopは一時変数である。

【００５８】 ｓ＝ａ loop＝１ for （ｉ＝ｂ−２；ｉ＞＝０；ｉ--）｛ ｔ＝ｓ ｔ＝ｔ<<<loop（loopビット左ローテーションシフト） ｓ＝ｓ×ｔ mod ｆ loop＝loop＊２ if（ｍ_i==１）｛ ｔ＝ｓ ｔ＝ｔ<<<１（１ビット左ローテーションシフト） ｓ＝ｔ×ａ mod ｆ loop＝loop＋１ ｝ ｝ ｒ＝ｓ<<<１（ｓの１ビット左ローテーションシフト） return(r) このアルゴリズムを実行するために、図５に示すような
べき乗剰余演算装置を構成する。

【００５９】このべき乗剰余演算装置２１は、被演算数
ａが格納されるａレジスタ１１と、変数ｓが格納される
ｓレジスタ１２と、変数ｔが格納されるｔレジスタ１３
と、演算結果が格納されるｒレジスタ１４と、ｔレジス
タ１３内の変数ｔまたはｓレジスタ１２内の変数ｓを左
ローテーションシフトするシフト演算部１７と、ｔレジ
スタ１３内の変数ｔとａレジスタ１１内の被演算数ａま
たはｓレジスタ１２内の変数ｓとによる乗算剰余演算を
行う乗算剰余演算部１６とを備えている。

【００６０】このようなべき乗剰余演算装置２１を用い
て、algorithm 6を処理するフローチャートを図４に示
す。ステップＳ２１では、各パラメータに初期値をセッ
トする初期化処理を実行する。ここでは、被演算数ａを
ａレジスタ１１にセットするとともに、ｓレジスタ１２
にａレジスタ１１にセットされた被演算数ａの値を代入
する。ローテーションシフトを連続して行う際に用いる
ループ変数loopを１にセットする。さらに、べき数（２
^m−２）を２進数に変換した場合に連続する１の数がｍ
個であり、（ｍ−１）を２進数に変換した場合のビット
数をｂとした場合、（ｍ−１）＝（ｍ _b-1，ｍ_b-2，・・
・ｍ₁，ｍ₀）₂となる。ここで、演算制御に用いる変数
ｉの値をｂ−２にセットする。

【００６１】ステップＳ２２では、変数ｉの値が０以上
であるか否かを判別する。変数ｉの値が０以上であれば
ステップＳ２３に移行し、変数ｉの値が０未満であれば
ステップＳ２８に移行する。

【００６２】ステップＳ２３では、ｓレジスタ１２に格
納されている変数ｓの値をｔレジスタ１３に代入する。
ステップＳ２４では、シフト演算部１７によりｔレジス
タ１３内の変数ｔをループ変数loopの値だけ左ローテー
ションシフトし、ｔレジスタ１３に格納する。

【００６３】ステップＳ２５では、乗算剰余演算部１６
により、ｓレジスタ１２内の変数ｓの値と、ｔレジスタ
１３内の変数ｔの値との乗算剰余演算を行い、その演算
結果をｓレジスタ１２に格納する。また、ループ変数lo
opを２倍してループ変数loopの値を更新する。

【００６４】ステップＳ２６では、変数ｉの現在の値に
基づいてｍ_iの値が１であるか否かを判別する。ｍ_iの値
が１である場合にはステップＳ２７に移行し、そうでな
い場合（ｍ_iの値が０である場合）にはステップＳ２９
に移行する。

【００６５】ステップＳ２７では、ｓレジスタ１２に格
納されている変数ｓの値をｔレジスタ１３に代入し、シ
フト演算部１７によりｔレジスタ１３内の変数ｔを１ビ
ットだけ左ローテーションシフトし、その値をｔレジス
タ１３に代入する。さらに、乗算剰余演算部１６によ
り、ｔレジスタ１３内の変数ｔの値と、ａレジスタ１１
内の被演算数ａの値との乗算剰余演算を行い、その演算
結果をｓレジスタ１２に格納する。また、ループ変数lo
opに１を加算してループ変数loopの値を更新する。この
後、ステップＳ２９に移行する。

【００６６】ステップＳ２９では、変数ｉの値をデクリ
メントし、ステップＳ２２に移行する。ステップＳ２２
において、変数ｉの値が０未満であると判断した場合に
は、ステップＳ２８に移行する。ステップＳ２８では、
シフト演算部１７によりｓレジスタ１２に格納されてい
る変数ｓの値を１ビットだけ左ローテーションシフト
し、その値をｒレジスタ１４に格納する。〔他の技術へ
の応用〕以上の実施形態では、２の拡大体上の楕円曲線
における点の演算に関して説明を行っており、楕円曲線
暗号への応用を示唆するものである。これとは別に、そ
の他の信号処理や符号処理など、２の拡大体上の演算を
使用するような分野への応用が可能である。また、逆数
演算に適用した場合の実施形態を開示しているが、２進
数に変換した場合に１が連続するようなべき数によるべ
き乗剰余演算に適用することが可能であり、素体上のべ
き乗剰余演算、２の拡大体上の他のべき乗剰余演算に利
用することが可能である。

【００６７】

【発明の効果】本発明によれば、バイナリメソッドやウ
インドウメソッドを用いた場合のべき乗剰余演算、逆数
演算に比して計算量が大幅に削減することができ、高速
演算を可能にする。また、ウインドウメソッドのよう
に、事前にテーブルの作成を行うことがないため、テー
ブルを格納するためのレジスタを不要とし、テーブル参
照の処理を省略することが可能である。

【図面の簡単な説明】

【図１】本発明の１実施形態の制御ブロック図。

【図２】その制御フローチャート。

【図３】２の拡大体の拡大次数ｍと計算量との関係を示
す特性図。

【図４】正規基底を用いた場合のフローチャート。

【図５】正規基底を用いる場合の制御ブロック図。

───────────────────────────────────────────────────── フロントページの続き (72)発明者 岡田 壮一 神奈川県川崎市中原区上小田中４丁目１番 １号 富士通株式会社内 Ｆターム(参考） 5J104 AA22 AA25 JA23 JA25 NA16 NA18

Claims (5)

【特許請求の範囲】
1. 【請求項１】２進数に変換した場合にｎ個のビット全て
   が１であるべき数（２ⁿ−１）によるべき乗剰余演算方
   法であって、 ２進数に変換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・
   ｎ₁，ｎ₀）₂とするとき、 最初に変数ｓに被演算数ａを代入する工程と、 ｉ＝ｂ−２：０の間で、ｎ_i＝０の場合に変数ｓによる
   演算ｓ^{(2^loop)}×ｓ mod ｆを実行し、ｎ_i＝１の場合に
   変数ｓによる演算ｓ^{(2^loop)}×ｓ mod ｆを実行した
   後、変数ｓによる演算ｓ²×ａ mod ｆを実行する工程
   と、を備えるべき乗剰余演算方法。
2. 【請求項２】２進数に変換した場合にｎ個のビット全て
   が１であるべき数（２ⁿ−１）による２の拡大体上のべ
   き乗剰余演算ａ^{(2^n)-1} mod ｆを行う方法であって、 ２進数に変換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・
   ｎ₁，ｎ₀）₂とするとき、 レジスタｓに被演算数ａ、ループ数を計数するためのル
   ープ変数loopに１、変数ｉにｂ−２をそれぞれ格納する
   第１ステップと、 変数ｉが０以上であるか否かを判別し、変数ｉが０未満
   である場合には第１０ステップに移行し、そうでない場
   合には第３ステップに移行する分岐を行う第２ステップ
   と、 レジスタｔに前記レジスタｓの値を代入する第３ステッ
   プと、 前記レジスタｔの値により自乗剰余演算（ｔ×ｔ mod
   ｆ）を行い、この演算結果を前記レジスタｔに代入する
   処理をループ変数loopの回数だけ繰り返す第４ステップ
   と、 前記レジスタｓの値とレジスタｔの値により乗算剰余演
   算（ｓ×ｔ mod ｆ）を行って演算結果を前記レジスタ
   ｓに代入するとともに、ループ変数loopの値を２倍して
   これをループ変数loopに代入する第５ステップと、 現在の変数ｉに基づくｎ_iの値が０であるか否かを判別
   し、ｎ_iの値が０である場合には第２ステップに移行
   し、そうでない場合には第７ステップに移行する分岐を
   行う第６ステップと、 前記レジスタｔに前記レジスタｓの値を代入する第７ス
   テップと、 前記レジスタｔの値により自乗剰余演算（ｔ×ｔ mod
   ｆ）を行い、この演算結果を前記レジスタｔに代入する
   第８ステップと、 前記レジスタｔの値と被演算数ａの値により乗算剰余演
   算（ｔ×ａ mod ｆ）を行い、この演算結果を前記レジ
   スタｓに代入するとともに、前記ループ変数loopに１を
   加算してこれをループ変数loopに代入した後前記第２ス
   テップに移行する第９ステップと、 前記レジスタｓの値を出力用レジスタｒに代入する第１
   ０ステップと、を備える、２の拡大体上のべき乗剰余演
   算方法。
3. 【請求項３】２進数に変換した場合にｍ個のビットのう
   ちｍ−１個が連続して１であり最後のビットが０である
   べき数（２^m−２）によるべき乗剰余演算ａ^{(2^m)-2} mod
   ｆを行って２の拡大体ＧＦ（２^m）上の逆数演算ａ^-1 m
   od ｆを行う方法であって、 ２進数に変換した（ｍ−１）を（ｍ_b-1，ｍ_b-2，・・・
   ｍ₁，ｍ₀）₂とするとき、 レジスタｓに被演算数ａ、ループ数を計数するためのル
   ープ変数loopに１、変数ｉにｂ−２をそれぞれ格納する
   第１ステップと、 変数ｉが０以上であるか否かを判別し、変数ｉが０未満
   である場合には第１０ステップに移行し、そうでない場
   合には第３ステップに移行する分岐を行う第２ステップ
   と、 レジスタｔに前記レジスタｓの値を代入する第３ステッ
   プと、 前記レジスタｔの値により自乗剰余演算（ｔ×ｔ mod
   ｆ）を行い、この演算結果を前記レジスタｔに代入する
   処理をループ変数loopの回数だけ繰り返す第４ステップ
   と、 前記レジスタｓの値とレジスタｔの値により乗算剰余演
   算（ｓ×ｔ mod ｆ）を行って演算結果を前記レジスタ
   ｓに代入するとともに、ループ変数loopの値を２倍して
   これをループ変数loopに代入する第５ステップと、 現在の変数ｉに基づくm_iの値が０であるか否かを判別
   し、ｍ_iの値が０である場合には第２ステップに移行
   し、そうでない場合には第７ステップに移行する分岐を
   行う第６ステップと、 前記レジスタｔに前記レジスタｓの値を代入する第７ス
   テップと、 前記レジスタｔの値により自乗剰余演算（ｔ×ｔ mod
   ｆ）を行い、この演算結果を前記レジスタｔに代入する
   第８ステップと、 前記レジスタｔの値と被演算数ａの値により乗算剰余演
   算（ｔ×ａ mod ｆ）を行い、この演算結果を前記レジ
   スタｓに代入するとともに、前記ループ変数loopに１を
   加算してこれをループ変数loopに代入した後前記第２ス
   テップに移行する第９ステップと、 前記レジスタｓの値により自乗剰余演算（ｓ×ｓ mod
   ｆ）を行い、この演算結果を出力用レジスタｒに代入す
   る第１０ステップと、を備える、２の拡大体上の逆数演
   算方法。
4. 【請求項４】２進数に変換した場合にｎ個のビット全て
   が１であるべき数（２ⁿ−１）によるべき乗剰余演算方
   法をコンピュータに実行させるプログラムであって、 ２進数に変換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・
   ｎ₁，ｎ₀）₂とするとき、 最初に変数ｓに被演算数ａを代入する工程と、 ｉ＝ｂ−２：０の間で、ｎ_i＝０の場合に変数ｓによる
   演算ｓ^{(2^loop)}×ｓ mod ｆを実行し、ｎ_i＝１の場合に
   変数ｓによる演算ｓ^{(2^loop)}×ｓ mod ｆを実行した
   後、変数ｓによる演算ｓ²×ａ mod ｆを実行する工程
   と、をコンピュータに実行させるプログラム。
5. 【請求項５】２進数に変換した場合にｎ個のビット全て
   が１であるべき数（２ⁿ−１）によるべき乗剰余演算ａ
   ^{(2^n)-1} mod ｆを行うべき乗剰余演算装置であって、 被演算数ａが格納されるａレジスタと、 変数ｓが格納されるｓレジスタと、 変数ｔが格納されるｔレジスタと、 演算結果が格納されるｒレジスタと、 前記ｔレジスタ内の変数ｔによる自乗剰余演算を行う自
   乗剰余演算手段と、 前記ｔレジスタ内の変数ｔと、前記ａレジスタ内の被演
   算数ａまたは前記ｓレジスタ内の変数ｓとによる乗算剰
   余演算を行う乗算剰余演算手段と、 ２進数に変換した（ｎ）を（ｎ_b-1，ｎ_b-2，・・・
   ｎ₁，ｎ₀）₂、ｉ＝ｂ−２：０とするとき、ｎ_i＝０の場
   合にレジスタｓ内の変数ｓをレジスタｔ内の変数ｔに代
   入し、前記自乗剰余演算手段による変数ｔの自乗剰余演
   算をループ回数loopだけ実行させその演算結果をレジス
   タｔに格納し、レジスタｔ内の変数ｔとレジスタｓ内の
   変数ｓの乗算剰余演算を前記乗算剰余演算手段により演
   算させてレジスタｓ内の変数ｓに代入する第１演算制御
   手段と、 ｎ_i＝１の場合にレジスタｓ内の変数ｓをレジスタｔ内
   の変数ｔに代入し、前記自乗剰余演算手段による変数ｔ
   の自乗剰余演算をループ回数loopだけ実行させその演算
   結果をレジスタｔに格納し、レジスタｔ内の変数ｔとレ
   ジスタｓ内の変数ｓの乗算剰余演算を前記乗算剰余演算
   手段により演算させてレジスタｓ内の変数ｓに代入し、
   さらにレジスタｓ内の変数ｓをレジスタｔ内の変数ｔに
   代入し、前記自乗剰余演算手段による変数ｔの自乗剰余
   演算を実行してレジスタｔ内の変数ｔに代入し、前記乗
   算剰余演算手段による前記レジスタａ内の被演算数ａと
   レジスタｔ内の変数ｔとの乗算剰余演算を実行してこの
   演算結果をレジスタｓ内の変数ｓに代入する第２演算制
   御手段と、 ｉ＜０のとき、レジスタｓ内の変数ｓをレジスタｒに代
   入する第３演算制御手段と、 前記自乗剰余演算手段による変数ｔの自乗剰余演算をル
   ープ回数loopだけ実行した後にループ変数loopの値を２
   倍し、前記乗算剰余演算手段による前記レジスタａ内の
   被演算数ａとレジスタｔ内の変数ｔとの乗算剰余演算を
   実行した後にループ変数loopに１を加算するループ変数
   制御手段と、を備えるべき乗剰余演算装置。