JP2002323852A - 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム - Google Patents

楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム

Info

Publication number
JP2002323852A
JP2002323852A JP2001126024A JP2001126024A JP2002323852A JP 2002323852 A JP2002323852 A JP 2002323852A JP 2001126024 A JP2001126024 A JP 2001126024A JP 2001126024 A JP2001126024 A JP 2001126024A JP 2002323852 A JP2002323852 A JP 2002323852A
Authority
JP
Japan
Prior art keywords
points
point
elliptic curve
representation data
binary representation
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP2001126024A
Other languages
English (en)
Other versions
JP3820909B2 (ja
Inventor
Toru Akishita
徹 秋下
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Sony Corp
Original Assignee
Sony Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Sony Corp filed Critical Sony Corp
Priority to JP2001126024A priority Critical patent/JP3820909B2/ja
Priority to US10/128,805 priority patent/US7177422B2/en
Publication of JP2002323852A publication Critical patent/JP2002323852A/ja
Application granted granted Critical
Publication of JP3820909B2 publication Critical patent/JP3820909B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • General Engineering & Computer Science (AREA)
  • Complex Calculations (AREA)

Abstract

(57)【要約】 【課題】 楕円曲線暗号処理演算の高速化を実現する楕
円曲線暗号処理方法および楕円曲線暗号処理装置を提供
する。 【解決手段】 楕円曲線暗号処理演算において、２つの
スカラー倍演算：ｋＰ，ｌＱを別々に実行せずにｋＰ＋
ｌＱの演算処理を同時に行なう。モンゴメリ（Montgome
ry）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｐ、Ｑ
に関するスカラー倍算ｋＰ＋ｌＱの算出において、初期
点となる４点を設定し、スカラー量ｋ，ｌの２進表現デ
ータの上位ビットからのｋ，ｌ各ビット値の組み合わせ
に応じて、算出済みの４点に基づく次の４点の算出関係
式を選択し、選択式に従って次４点算出処理を繰り返し
実行し、最終的にｋＰ＋ｌＱを算出する。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明は、楕円曲線暗号にお
ける高速化を実現する楕円曲線暗号処理方法および楕円
曲線暗号処理装置、並びにプログラムに関する。
【０００２】
【従来の技術】昨今、ネットワーク通信、電子商取引の
発展に伴い、通信におけるセキュリティ確保が重要な問
題となっている。セキュリティ確保の１つの方法が暗号
技術であり、現在、様々な暗号化手法を用いた通信が実
際に行なわれている。
【０００３】暗号化方式には、大別して共通鍵方式、公
開鍵方式がある。共通鍵方式は、対称暗号方式ともよば
れ、発信者、受信者の双方で共通の鍵を保有する。共通
鍵方式の代表的な方法として、ＤＥＳ（Data Encryptio
n Standard）がある。ＤＥＳアルゴリズムの特徴は、暗
号化と復号とをほぼ同じアルゴリズムで実行可能なこと
である。
【０００４】この共通鍵暗号に対して、発信者と受信者
の鍵を異なるものとした構成が公開鍵方式または非対称
暗号方式である。公開鍵暗号方式では、暗号化、復号化
に共通の鍵を用いる共通鍵暗号方式と異なり、秘密に保
つ必要のある秘密鍵は、特定の１人が持てばよいため鍵
の管理において有利である。ただし、公開鍵暗号方式は
共通鍵暗号方式に比較してデータ処理速度が遅く、一般
には、秘密鍵の配送、ディジタル署名等のデータ量の少
ない対象に多く用いられている。公開鍵暗号方式の代表
的なものにはＲＳＡ（Rivest-Shamir-Adleman）暗号が
ある。これは非常に大きな２つの素数（例えば１５０
桁）の積を用いるものであり、大きな２つの素数（例え
ば１５０桁）の積の素因数分解する処理の困難さを利用
している。
【０００５】公開鍵暗号方式では、不特定多数に公開鍵
を使用可能とする構成であり、配布する公開鍵が正当な
ものであるか否かを証明する証明書、いわゆる公開鍵証
明書を使用する方法が多く用いられている。例えば、利
用者Ａが公開鍵、秘密鍵のペアを生成して、生成した公
開鍵を認証局に対して送付して公開鍵証明書を認証局か
ら入手する。利用者Ａは公開鍵証明書を一般に公開す
る。不特定のユーザは公開鍵証明書から所定の手続きを
経て公開鍵を入手して文書等を暗号化して利用者Ａに送
付する。利用者Ａは秘密鍵を用いて暗号化文書等を復号
する等のシステムである。また、利用者Ａは、秘密鍵を
用いて文書等に署名を付け、不特定のユーザが公開鍵証
明書から所定の手続きを経て公開鍵を入手して、その署
名の検証を行なうシステムである。
【０００６】公開鍵証明書は、公開鍵暗号方式における
認証局あるいは発行局（ＣＡ：Certificate Authority
またはＩＡ：Issuer Authority）が発行する証明書であ
り、ユーザが自己のＩＤ、公開鍵等を認証局に提出する
ことにより、認証局側が認証局のＩＤや有効期限等の情
報を付加し、さらに認証局による署名を付加して作成さ
れる証明書である。
【０００７】公開鍵暗号方式としては、上述したＲＳＡ
方式の他にｎが素数の場合の離散対数問題の困難さを利
用した離散対数暗号が知られている。米国標準のディジ
タル署名方式として知られるＤＳＡ（Digital Signatur
e Standard）には、この離散対数暗号が用いられてい
る。また、V.Miller, N.Koblitzによって提案された楕
円曲線暗号（ＥＣＣ：Ellipitic Curve Cryptography）
が、安全性および高速性の点で昨今注目されている。楕
円曲線暗号は、１６０ｂｉｔの鍵でＲＳＡ１０２４ｂｉ
ｔの鍵と同等の強度を持つと言われる。
【０００８】一般に、楕円曲線暗号（Elliptic Curve C
ryptography）は、素体上の楕円曲線ｙ2＝ｘ3＋ａｘ＋
ｂ（４ａ3＋２７ｂ2≠０）や、２の拡大体上の楕円曲線
ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ（ｂ≠０）などを用いる。
これらの曲線上の点に無限遠点（Ｏ）を加えた集合は、
加法に関して有限群をなし、無限遠点（Ｏ）はその単位
元となる。以下、この有限群上の点の加法を＋で表す。
この有限群上の異なる２点Ｐ，Ｑの加算Ｐ＋Ｑを「点の
加算」、点Ｐと点Ｐの加算Ｐ＋Ｐ＝２Ｐを「点の２倍
算」と呼ぶ。また、点Ｐをｋ回加算した点Ｐ＋Ｐ＋…＋
Ｐ＝ｋＰを求める演算を「点のスカラー倍算」と呼ぶ。
【０００９】点のスカラー倍算は、点の加算、および点
の２倍算を用いて構成できることが知られている。素体
上の楕円曲線や２の拡大体上の楕円曲線上のアフィン座
標系（ｘ，ｙ）や射影座標（Ｘ，Ｙ，Ｚ）における点の
加算法、点の２倍算法、および点のスカラー倍算法は、
ＩＥＥＥ P1363/D13 Standard Specifications forPub
lic Key Cryptographyに記されている。
【００１０】また、素因数分解を行なうために導入され
た素体上のモンゴメリ型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋
ｘ（（Ａ2−４）Ｂ≠０）を用いて点のスカラー倍算法
を高速に行なう方法（P.Montgomery “Speeding the Po
llard and Elliptic Curve Method of Factorizatio
n”,Mathematics of Computation,Vol.48,No.177,pp.24
3-264(1987)）が提案されている。以下、この手法を素
体上の楕円曲線におけるモンゴメリ法と呼ぶ。
【００１１】この手法によれば、アフィン座標系におい
て、異なる２点：Ｐ0（ｘ0，ｙ0），Ｐ1（ｘ1，ｙ1）の
加算点を点Ｐ2＝Ｐ1＋Ｐ0とすると、Ｐ3（ｘ3，ｙ3）＝
Ｐ1（ｘ1，ｙ1）−Ｐ0（ｘ0，ｙ0）が既知であれば、 ｘ2＝（ｘ0ｘ1−１）2／（ｘ3（ｘ0−ｘ1）2） により、ｘ2を求めることができる。
【００１２】また、点Ｐ0（ｘ0，ｙ0）の２倍算点を点
Ｐ2（ｘ2，ｙ2）＝２Ｐ0とすると、 ｘ2＝（ｘ0 2−１）2／（４ｘ0（ｘ0 2＋Ａｘ0＋１）） により、ｘ2を求めることができる。このように、ｙ座
標を用いないで、点の加算法、および点の２倍算法を構
成することができる。
【００１３】ここで、一般に素体上の除算は素体上の乗
算に比べると計算コストが高いため、ｘ＝Ｘ／Ｚ，ｙ＝
Ｙ／Ｚとして射影座標系（Ｘ，Ｙ，Ｚ）に変換すると、
モンゴメリ型楕円曲線は、 ＢＹ2Ｚ＝Ｘ3＋ＡＸ2Ｚ＋ＸＺ2 となる。
【００１４】このとき、異なる２点、Ｐ0（Ｘ0，Ｙ0，
Ｚ0）、Ｐ1（Ｘ1，Ｙ1，Ｚ1）の加算点をＰ2（Ｘ2，
Ｙ2，Ｚ2）＝Ｐ1（Ｘ1，Ｙ1，Ｚ1）＋Ｐ0（Ｘ0，Ｙ0，
Ｚ0）とすると、Ｐ3（Ｘ3，Ｙ3，Ｚ3）＝Ｐ1（Ｘ1，
Ｙ1，Ｚ1）−Ｐ0（Ｘ0，Ｙ0，Ｚ0）が既知であれば、
【００１５】 Ｘ2＝Ｚ3（（Ｘ0−Ｚ0）（Ｘ1＋Ｚ1）＋（Ｘ0＋Ｚ0）（Ｘ1−Ｚ1））2 Ｚ2＝Ｘ3（（Ｘ0−Ｚ0）（Ｘ1＋Ｚ1）−（Ｘ0＋Ｚ0）（Ｘ1−Ｚ1））2
【００１６】により、（Ｘ2，Ｚ2）を求めることができ
る。また、点Ｐ0（Ｘ0，Ｙ0，Ｚ0）の２倍算点を点Ｐ2
（Ｘ2，Ｙ2，Ｚ2）＝２Ｐ0とすると、Ｃ＝（Ａ＋２）／
４として、
【００１７】 Ｘ2＝（Ｘ0＋Ｚ0）2（Ｘ0−Ｚ0）2 Ｚ2＝（（Ｘ0＋Ｚ0）2−（Ｘ0−Ｚ0）2）（（Ｘ0−Ｚ0）2＋Ｃ（（（Ｘ0＋Ｚ0 ）2−（Ｘ0−Ｚ0）2）））
【００１８】により、（Ｘ2，Ｚ2）を求めることができ
る。このように、Ｙ座標を用いないで、点の加算法、お
よび点の２倍算法を構成することができる。
【００１９】素体上のモンゴメリ型楕円曲線において、
以上の点の加算法および点の２倍算法を用いて点のスカ
ラー倍算ｋＰを構成するためには、点の加算において２
点の差分となる点が既知である必要があることに注意し
て、以下のようにする。初期の２点を｛Ｔ０，Ｔ１｝＝
｛Ｐ，２Ｐ｝とし、ｋを２進展開する。ｋの最上位ビッ
トの次ビットから最下位ビットまで、そのビットが０の
場合には、｛Ｔ０，Ｔ１｝から｛２Ｔ０，Ｔ０＋Ｔ１｝
を求めて新たな｛Ｔ０，Ｔ１｝とし、そのビットが１の
場合は、｛Ｔ０，Ｔ１｝から｛Ｔ０＋Ｔ１，２Ｔ１｝を
求めて新たな｛Ｔ０，Ｔ１｝とすることを繰り返す。す
ると最後のＴ０がｋＰとなる。このとき、Ｔ１−Ｔ０＝
Ｐが常に成立している。
【００２０】楕円曲線暗号を用いた電子署名方式として
は、ＥＣＤＳＡ（Elliptic Curve Digital Signature A
lgorithm）が代表的である。ＥＣＤＳＡの署名検証処理
においては、異なる２点のスカラー倍点の加算点ｋＰ＋
ｌＱのｘ座標を求める計算が必要となる。
【００２１】素体上の楕円曲線におけるモンゴメリ法を
用いて、ｋＰ＋ｌＱのｘ座標を計算するためには以下の
ようにする。まず、前述した手法に従って、素体上の楕
円曲線におけるモンゴメリ法でｋＰおよびｌＱを求め
る。その後、点ｋＰと点ｌＱを加算するが、２点の差分
の点が既知ではないため、前述の点の加算法を適用する
ことができない。そのため、ｋＰ，ｌＱそれぞれのｙ座
標またはＹ座標を復元してから、別の加算法を用いてｋ
Ｐ＋ｌＱのｘ座標を求める必要がある。
【００２２】また、２の拡大体上の楕円曲線ｙ2＋ｘｙ
＝ｘ3＋ａｘ2＋ｂ（ｂ≠０）において、素体上のモンゴ
メリ型楕円曲線と同様の手法で高速に点のスカラー倍を
行なう手法（J.Lopez and R. Dahab,“Fast Multiplica
tion on Elliptic Curves over GF(2m) without Precom
putation”Cryptographic Hardware and Embedded Syst
ems, LNCS 1717,pp.316-327(1999)）が提案されてい
る。以下、これを２の拡大体上の楕円曲線におけるモン
ゴメリ法とよぶ。この手法においても、ｋＰ＋ｌＱのｘ
座標を計算するためには、ｋＰ，ｌＱそれぞれのｙ座標
またはＹ座標を復元してから、ｋＰ＋ｌＱのｘ座標を求
める必要がある。
【００２３】
【発明が解決しようとする課題】上述のように、素体上
の楕円曲線におけるモンゴメリ法および２の拡大体上の
楕円曲線におけるモンゴメリ法では点のスカラー倍算を
高速に計算できるが、ＥＣＤＳＡの署名生成時に必要な
ｋＰ＋ｌＱの計算ではｋＰ，ｌＱのｙ座標またはＹ座標
を復元する処理が必要となる。
【００２４】本発明は、上述の素体上の楕円曲線におけ
るモンゴメリ法および２の拡大体上の楕円曲線における
モンゴメリ法における問題点に鑑みてなされたものであ
り、２つのスカラー倍算ｋＰ，ｌＱを別々に実行せずに
楕円曲線上の４点を計算しながらｋＰ＋ｌＱの演算処理
を同時に実行することで楕円曲線暗号処理における高速
化を実現した楕円曲線暗号処理方法および楕円曲線暗号
処理装置、並びにプログラムを提供することを目的とす
る。
【００２５】さらに、本発明は、上述の素体上の楕円曲
線におけるモンゴメリ法および２の拡大体上の楕円曲線
において、ｋＰ＋ｌＱの演算処理を行なう際に、楕円曲
線上の３点を計算しながらｋＰ＋ｌＱの演算処理を同時
に実行することで楕円曲線暗号処理における高速化を実
現した楕円曲線暗号処理方法および楕円曲線暗号処理装
置、並びにプログラムを提供することを目的とする。
【００２６】
【課題を解決するための手段】本発明の第１の側面は、
素体上のモンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝
ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号処理方法であ
り、前記モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝
ｘ3＋Ａｘ2＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：
ｋＰと、該モンゴメリ（Montgomery）型楕円曲線Ｂｙ2
＝ｘ3＋Ａｘ2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の
点：ｌＱとの加算点：ｋＰ＋ｌＱの算出において、前記
点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇt+1を
計算する初期点算出ステップと、前記スカラー量ｋ，ｌ
の２進表現データのｋ，ｌの各ビット値の組み合わせを
検出するビット値検出ステップと、前記ビット値検出ス
テップにおいて検出したｋ，ｌの２進表現データの各ビ
ット値の組合わせに応じて、前記初期点４点の集合Ｇ
t+1に基づく次の４点の集合Ｇtの算出関係式を選択し、
選択された関係式に従って次の４点の算出処理を実行
し、さらに、ｋ，ｌの２進表現データの各ビット値の組
合わせに応じて、算出済みの４点の集合Ｇi+1から次の
４点の集合Ｇiの算出関係式を選択し、選択された関係
式に従って次の４点の算出処理を、前記２進表現データ
のｋまたはｌのビット数に応じて繰り返し実行する繰り
返し演算処理ステップと、を有することを特徴とする楕
円曲線暗号処理方法にある。
【００２７】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記初期点算出ステップ
は、ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌ
t+1＝０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理ステップとして実行することを特徴
とする。
【００２８】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記繰り返し演算処理ステ
ップは、算出済みの４点の集合Ｇi+1から、次の４点の
集合Ｇiを算出する処理を繰り返し実行し、最終的に４
点の集合Ｇ0を算出する処理ステップとして実行し、４
点の集合Ｇ0を構成する１点をＷ＝ｋＰ＋ｌＱとして算
出することを特徴とする。
【００２９】さらに、本発明の第２の側面は、素体上の
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘを適用した楕円曲線暗号処理方法であり、前記モ
ンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2
＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰと、該
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの
加算点：ｋＰ＋ｌＱの算出において、前記スカラー量
ｋ，ｌの２進表現データのｋ，ｌの各ビット値の組み合
わせを検出するビット値検出ステップと、前記スカラー
量ｋ，ｌの２進表現データのｋ，ｌの最上位ビット値
（ｋt，ｌt）の組合わせに基づいて、初期点とする３点
の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出する初期点算
出ステップと、前記ビット値検出ステップにおいて検出
したｋ，ｌの２進表現データの各ビット値の組合わせに
応じて、前記初期点３点の集合Ｇ’t+1に基づく次の３
点の集合Ｇ’tの算出関係式を選択し、選択された関係
式に従って次の３点の算出処理を実行し、さらに、ｋ，
ｌの２進表現データの各ビット値の組合わせに応じて、
算出済みの３点の集合Ｇ’i+1から次の３点の集合Ｇ’i
の算出関係式を選択し、選択された関係式に従って次の
３点の算出処理を、前記２進表現データのｋまたはｌの
ビット数に応じて繰り返し実行する繰り返し演算処理ス
テップと、を有することを特徴とする楕円曲線暗号処理
方法にある。
【００３０】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記初期点算出ステップは、ｉ＝ｔ＋１とし
て、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝０から、上記式
により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
として設定する処理ステップとして実行することを特徴
とする。
【００３１】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記繰り返し演算処理ステップは、算出済みの
３点の集合Ｇ’i+1から、次の３点の集合Ｇ’iを算出す
る処理を繰り返し実行し、最終的に３点の集合Ｇ’1を
算出する処理ステップとして実行し、さらに３点の集合
Ｇ’1からＷ＝ｋＰ＋ｌＱを算出することを特徴とす
る。
【００３２】さらに、本発明の第３の側面は、２の拡大
体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用した
楕円曲線暗号処理方法であり、前記楕円曲線ｙ2＋ｘｙ
＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのスカラー量（ｋ）倍の
点：ｋＰと、該楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上
の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの加算点：
ｋＰ＋ｌＱの算出において、前記点Ｐと点Ｑに基づいて
初期点とする４点の集合Ｇt+1を計算する初期点算出ス
テップと、前記スカラー量ｋ，ｌの２進表現データの
ｋ，ｌの各ビット値の組み合わせを検出するビット値検
出ステップと、前記ビット値検出ステップにおいて検出
したｋ，ｌの２進表現データの各ビット値の組合わせに
応じて、前記初期点４点の集合Ｇt+1に基づく次の４点
の集合Ｇtの算出関係式を選択し、選択された関係式に
従って次の４点の算出処理を実行し、さらに、ｋ，ｌの
２進表現データの各ビット値の組合わせに応じて、算出
済みの４点の集合Ｇi+1から次の４点の集合Ｇiの算出関
係式を選択し、選択された関係式に従って次の４点の算
出処理を、前記２進表現データのｋまたはｌのビット数
に応じて繰り返し実行する繰り返し演算処理ステップ
と、を有することを特徴とする楕円曲線暗号処理方法に
ある。
【００３３】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記初期点算出ステップ
は、ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌ
t+1＝０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理ステップとして実行することを特徴
とする。
【００３４】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記繰り返し演算処理ステ
ップは、算出済みの４点の集合Ｇi+1から、次の４点の
集合Ｇiを算出する処理を繰り返し実行し、最終的に４
点の集合Ｇ0を算出する処理ステップとして実行し、４
点の集合Ｇ0を構成する１点をＷ＝ｋＰ＋ｌＱとして算
出することを特徴とする。
【００３５】さらに、本発明の第４の側面は、２の拡大
体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用した
楕円曲線暗号処理方法であり、前記楕円曲線ｙ2＋ｘｙ
＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのスカラー量（ｋ）倍の
点：ｋＰと、該楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上
の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの加算点：
ｋＰ＋ｌＱの算出において、前記スカラー量ｋ，ｌの２
進表現データのｋ，ｌの各ビット値の組み合わせを検出
するビット値検出ステップと、前記スカラー量ｋ，ｌの
２進表現データのｋ，ｌの最上位ビット値（ｋt，ｌt）
の組合わせに基づいて、初期点とする３点の集合Ｇ’
t+1を前記Ｐ，Ｑを用いて算出する初期点算出ステップ
と、前記ビット値検出ステップにおいて検出したｋ，ｌ
の２進表現データの各ビット値の組合わせに応じて、前
記初期点３点の集合Ｇ’t+1に基づく次の３点の集合
Ｇ’tの算出関係式を選択し、選択された関係式に従っ
て次の３点の算出処理を実行し、さらに、ｋ，ｌの２進
表現データの各ビット値の組合わせに応じて、算出済み
の３点の集合Ｇ’i+1から次の３点の集合Ｇ’iの算出関
係式を選択し、選択された関係式に従って次の３点の算
出処理を、前記２進表現データのｋまたはｌのビット数
に応じて繰り返し実行する繰り返し演算処理ステップ
と、を有することを特徴とする楕円曲線暗号処理方法に
ある。
【００３６】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記初期点算出ステップは、ｉ＝ｔ＋１とし
て、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝０から、上記式
により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
として設定する処理ステップとして実行することを特徴
とする。
【００３７】さらに、本発明の楕円曲線暗号処理方法の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記繰り返し演算処理ステップは、算出済みの
３点の集合Ｇ’i+1から、次の３点の集合Ｇ’iを算出す
る処理を繰り返し実行し、最終的に３点の集合Ｇ’1を
算出する処理ステップとして実行し、さらに３点の集合
Ｇ’1からＷ＝ｋＰ＋ｌＱを算出することを特徴とす
る。
【００３８】さらに、本発明の第５の側面は、素体上の
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘを適用した楕円曲線暗号処理を実行する楕円曲線
暗号処理装置であり、前記モンゴメリ（Montgomery）型
楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｐのスカラー
量（ｋ）倍の点：ｋＰと、該モンゴメリ（Montgomery）
型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｑのスカラ
ー量（ｌ）倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出
を実行する演算処理手段を有し、該演算処理手段は、前
記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇt+1
を計算する初期点算出処理を実行し、前記スカラー量
ｋ，ｌの２進表現データのｋ，ｌの各ビット値の組み合
わせを検出するビット値検出処理を実行し、前記ビット
値検出ステップにおいて検出したｋ，ｌの２進表現デー
タの各ビット値の組合わせに応じて、前記初期点４点の
集合Ｇt+1に基づく次の４点の集合Ｇtの算出関係式を選
択し、選択された関係式に従って次の４点の算出処理を
実行し、さらに、ｋ，ｌの２進表現データの各ビット値
の組合わせに応じて、算出済みの４点の集合Ｇi+1から
次の４点の集合Ｇiの算出関係式を選択し、選択された
関係式に従って次の４点の算出処理を、前記２進表現デ
ータのｋまたはｌのビット数に応じて繰り返し実行する
繰り返し演算処理を実行する構成を有することを特徴と
する楕円曲線暗号処理装置にある。
【００３９】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記演算処理手段は、前記
初期点算出処理において、ｉ＝ｔ＋１として、ｍt+1＝
ｋt+1＝０、ｎt+1＝ｌt+1＝０から、上記式により算出
される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理として実行する構成であることを特
徴とする。
【００４０】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記演算処理手段は、前記
繰り返し演算処理において、算出済みの４点の集合Ｇ
i+1から、次の４点の集合Ｇiを算出する処理を繰り返し
実行し、最終的に４点の集合Ｇ0を算出する処理ステッ
プとして実行し、４点の集合Ｇ0を構成する１点をＷ＝
ｋＰ＋ｌＱとして算出する処理を実行する構成であるこ
とことを特徴とする。
【００４１】さらに、本発明の第６の側面は、素体上の
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘを適用した楕円曲線暗号処理を実行する楕円曲線
暗号処理装置であり、前記モンゴメリ（Montgomery）型
楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｐのスカラー
量（ｋ）倍の点：ｋＰと、該モンゴメリ（Montgomery）
型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｑのスカラ
ー量（ｌ）倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出
を実行する演算処理手段を有し、該演算処理手段は、前
記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビッ
ト値の組み合わせを検出するビット値検出処理を実行
し、前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの
最上位ビット値（ｋt，ｌt）の組合わせに基づいて、初
期点とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算
出する初期点算出処理を実行し、前記ビット値検出処理
において検出したｋ，ｌの２進表現データの各ビット値
の組合わせに応じて、前記初期点３点の集合Ｇ’t+1に
基づく次の３点の集合Ｇ’tの算出関係式を選択し、選
択された関係式に従って次の３点の算出処理を実行し、
さらに、ｋ，ｌの２進表現データの各ビット値の組合わ
せに応じて、算出済みの３点の集合Ｇ’i+1から次の３
点の集合Ｇ’iの算出関係式を選択し、選択された関係
式に従って次の３点の算出処理を、前記２進表現データ
のｋまたはｌのビット数に応じて繰り返し実行する繰り
返し演算処理を実行する構成を有することを特徴とする
楕円曲線暗号処理装置にある。
【００４２】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記演算処理手段は、前記初期点算出処理にお
いて、ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝
ｌt+1＝０から、上記式により算出される４点として
の、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
として設定する処理として実行する構成であることを特
徴とする。
【００４３】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記演算処理手段は、前記繰り返し演算処理に
おいて、算出済みの３点の集合Ｇ’i+1から、次の３点
の集合Ｇ’iを算出する処理を繰り返し実行し、最終的
に３点の集合Ｇ’1を算出する処理ステップとして実行
し、さらに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出
することを特徴とする。
【００４４】さらに、本発明の第７の側面は、２の拡大
体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用した
楕円曲線暗号処理を実行する楕円曲線暗号処理装置であ
り、前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：
Ｐのスカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2
＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）
倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出を実行する
演算処理手段を有し、該演算処理手段は、前記点Ｐと点
Ｑに基づいて初期点とする４点の集合Ｇt+1を計算する
初期点算出処理を実行し、前記スカラー量ｋ，ｌの２進
表現データのｋ，ｌの各ビット値の組み合わせを検出す
るビット値検出処理を実行し、前記ビット値検出ステッ
プにおいて検出したｋ，ｌの２進表現データの各ビット
値の組合わせに応じて、前記初期点４点の集合Ｇt+1に
基づく次の４点の集合Ｇtの算出関係式を選択し、選択
された関係式に従って次の４点の算出処理を実行し、さ
らに、ｋ，ｌの２進表現データの各ビット値の組合わせ
に応じて、算出済みの４点の集合Ｇi+1から次の４点の
集合Ｇiの算出関係式を選択し、選択された関係式に従
って次の４点の算出処理を、前記２進表現データのｋま
たはｌのビット数に応じて繰り返し実行する繰り返し演
算処理を実行する構成を有することを特徴とする楕円曲
線暗号処理装置にある。
【００４５】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記演算処理手段は、前記
初期点算出処理において、ｉ＝ｔ＋１として、ｍt+1＝
ｋt+1＝０、ｎt+1＝ｌt+1＝０から、上記式により算出
される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理として実行する構成であることを特
徴とする。
【００４６】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、４点の集合Ｇ
iは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、前記演算処理手段は、前記
繰り返し演算処理において、算出済みの４点の集合Ｇ
i+1から、次の４点の集合Ｇiを算出する処理を繰り返し
実行し、最終的に４点の集合Ｇ0を算出する処理ステッ
プとして実行し、４点の集合Ｇ0を構成する１点をＷ＝
ｋＰ＋ｌＱとして算出する処理を実行する構成であるこ
とことを特徴とする。
【００４７】さらに、本発明の第８の側面は、２の拡大
体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用した
楕円曲線暗号処理を実行する楕円曲線暗号処理装置であ
り、前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：
Ｐのスカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2
＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）
倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出を実行する
演算処理手段を有し、該演算処理手段は、前記スカラー
量ｋ，ｌの２進表現データのｋ，ｌの各ビット値の組み
合わせを検出するビット値検出処理を実行し、前記スカ
ラー量ｋ，ｌの２進表現データのｋ，ｌの最上位ビット
値（ｋt，ｌt）の組合わせに基づいて、初期点とする３
点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出する初期点
算出処理を実行し、前記ビット値検出処理において検出
したｋ，ｌの２進表現データの各ビット値の組合わせに
応じて、前記初期点３点の集合Ｇ’t+1に基づく次の３
点の集合Ｇ’tの算出関係式を選択し、選択された関係
式に従って次の３点の算出処理を実行し、さらに、ｋ，
ｌの２進表現データの各ビット値の組合わせに応じて、
算出済みの３点の集合Ｇ’i+1から次の３点の集合Ｇ’i
の算出関係式を選択し、選択された関係式に従って次の
３点の算出処理を、前記２進表現データのｋまたはｌの
ビット数に応じて繰り返し実行する繰り返し演算処理を
実行する構成を有することを特徴とする楕円曲線暗号処
理装置にある。
【００４８】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記演算処理手段は、前記初期点算出処理にお
いて、ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝
ｌt+1＝０から、上記式により算出される４点として
の、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
として設定する処理として実行する構成であることを特
徴とする。
【００４９】さらに、本発明の楕円曲線暗号処理装置の
一実施態様において、前記ｋ，ｌの２進表現データの各
ビットがｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ0）2である
ときの上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…
ｋi）2，ｎi＝（ｌt…ｌi）2としたとき、３点の集合
Ｇ’iは、前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
（ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
であり、前記演算処理手段は、前記繰り返し演算処理に
おいて、算出済みの３点の集合Ｇ’i+1から、次の３点
の集合Ｇ’iを算出する処理を繰り返し実行し、最終的
に３点の集合Ｇ’1を算出する処理ステップとして実行
し、さらに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出
することを特徴とする。
【００５０】さらに、本発明の第９の側面は、素体上の
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘを適用した楕円曲線暗号処理において、前記モン
ゴメリ（Montgomery）型楕円曲線Ｂｙ 2＝ｘ3＋Ａｘ2＋
ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰと、該モ
ンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2
＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの加
算点：ｋＰ＋ｌＱの算出処理をコンピュータ・システム
上で実行せしめるプログラムであって、前記プログラム
は、前記点Ｐと点Ｑに基づいて初期点とする４点の集合
Ｇt+1を計算する初期点算出ステップと、前記スカラー
量ｋ，ｌの２進表現データのｋ，ｌの各ビット値の組み
合わせを検出するビット値検出ステップと、前記ビット
値検出ステップにおいて検出したｋ，ｌの２進表現デー
タの各ビット値の組合わせに応じて、前記初期点４点の
集合Ｇt+1に基づく次の４点の集合Ｇtの算出関係式を選
択し、選択された関係式に従って次の４点の算出処理を
実行し、さらに、ｋ，ｌの２進表現データの各ビット値
の組合わせに応じて、算出済みの４点の集合Ｇi+1から
次の４点の集合Ｇiの算出関係式を選択し、選択された
関係式に従って次の４点の算出処理を、前記２進表現デ
ータのｋまたはｌのビット数に応じて繰り返し実行する
繰り返し演算処理ステップと、を有することを特徴とす
るプログラムにある。
【００５１】さらに、本発明の第１０の側面は、素体上
のモンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａ
ｘ2＋ｘを適用した楕円曲線暗号処理において、前記モ
ンゴメリ（Montgomery）型楕円曲線Ｂｙ 2＝ｘ3＋Ａｘ2
＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰと、該
モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋Ａｘ
2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの
加算点：ｋＰ＋ｌＱの算出処理をコンピュータ・システ
ム上で実行せしめるプログラムであって、前記プログラ
ムは、前記スカラー量ｋ，ｌの２進表現データのｋ，ｌ
の各ビット値の組み合わせを検出するビット値検出ステ
ップと、前記スカラー量ｋ，ｌの２進表現データのｋ，
ｌの最上位ビット値（ｋt，ｌt）の組合わせに基づい
て、初期点とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用
いて算出する初期点算出ステップと、前記ビット値検出
ステップにおいて検出したｋ，ｌの２進表現データの各
ビット値の組合わせに応じて、前記初期点３点の集合
Ｇ’t+1に基づく次の３点の集合Ｇ’tの算出関係式を選
択し、選択された関係式に従って次の３点の算出処理を
実行し、さらに、ｋ，ｌの２進表現データの各ビット値
の組合わせに応じて、算出済みの３点の集合Ｇ’i+1か
ら次の３点の集合Ｇ’iの算出関係式を選択し、選択さ
れた関係式に従って次の３点の算出処理を、前記２進表
現データのｋまたはｌのビット数に応じて繰り返し実行
する繰り返し演算処理ステップと、を有することを特徴
とするプログラムにある。
【００５２】さらに、本発明の第１１の側面は、２の拡
大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用し
た楕円曲線暗号処理において、前記楕円曲線ｙ2＋ｘｙ
＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのスカラー量（ｋ）倍の
点：ｋＰと、該楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上
の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの加算点：
ｋＰ＋ｌＱの算出処理をコンピュータ・システム上で実
行せしめるプログラムであって、前記プログラムは、前
記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇt+1
を計算する初期点算出ステップと、前記スカラー量ｋ，
ｌの２進表現データのｋ，ｌの各ビット値の組み合わせ
を検出するビット値検出ステップと、前記ビット値検出
ステップにおいて検出したｋ，ｌの２進表現データの各
ビット値の組合わせに応じて、前記初期点４点の集合Ｇ
t+1に基づく次の４点の集合Ｇtの算出関係式を選択し、
選択された関係式に従って次の４点の算出処理を実行
し、さらに、ｋ，ｌの２進表現データの各ビット値の組
合わせに応じて、算出済みの４点の集合Ｇi+1から次の
４点の集合Ｇiの算出関係式を選択し、選択された関係
式に従って次の４点の算出処理を、前記２進表現データ
のｋまたはｌのビット数に応じて繰り返し実行する繰り
返し演算処理ステップと、を有することを特徴とするプ
ログラムにある。
【００５３】さらに、本発明の第１２の側面は、２の拡
大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂを適用し
た楕円曲線暗号処理において、前記楕円曲線ｙ2＋ｘｙ
＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのスカラー量（ｋ）倍の
点：ｋＰと、該楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上
の点：Ｑのスカラー量（ｌ）倍の点：ｌＱとの加算点：
ｋＰ＋ｌＱの算出処理をコンピュータ・システム上で実
行せしめるプログラムであって、前記プログラムは、前
記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビッ
ト値の組み合わせを検出するビット値検出ステップと、
前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
る初期点算出ステップと、前記ビット値検出ステップに
おいて検出したｋ，ｌの２進表現データの各ビット値の
組合わせに応じて、前記初期点３点の集合Ｇ’t+1に基
づく次の３点の集合Ｇ’tの算出関係式を選択し、選択
された関係式に従って次の３点の算出処理を実行し、さ
らに、ｋ，ｌの２進表現データの各ビット値の組合わせ
に応じて、算出済みの３点の集合Ｇ’i+1から次の３点
の集合Ｇ’iの算出関係式を選択し、選択された関係式
に従って次の３点の算出処理を、前記２進表現データの
ｋまたはｌのビット数に応じて繰り返し実行する繰り返
し演算処理ステップと、を有することを特徴とするプロ
グラムにある。
【００５４】なお、本発明のプログラムは、例えば、様
々なプログラム・コードを実行可能な汎用コンピュータ
・システムに対して、コンピュータ可読な形式で提供す
る記憶媒体、通信媒体によって提供されるコンピュータ
・プログラムである。
【００５５】このようなプログラムをコンピュータ可読
な形式で提供することにより、コンピュータ・システム
上でプログラムに応じた処理が実現される。コンピュー
タ・プログラムをコンピュータ・システムにインストー
ルすることによって、コンピュータ・システム上では協
働的作用が発揮され、本発明の他の側面と同様の作用効
果を得ることができるのである。
【００５６】本発明のさらに他の目的、特徴や利点は、
後述する本発明の実施例や添付する図面に基づくより詳
細な説明によって明らかになるであろう。
【００５７】
【発明の実施の形態】本発明の楕円曲線暗号処理方法お
よび楕円曲線暗号処理装置、すなわち、素体上のモンゴ
メリ型楕円曲線、および２の拡大体上の楕円曲線におい
て異なる２点のスカラー倍点の加算点：ｋＰ＋ｌＱを同
時に計算する構成について、以下説明する。なお、以下
の説明においては、素体上のモンゴメリ型楕円曲線、お
よび２の拡大体上の楕円曲線において異なる２点のスカ
ラー倍点の加算点：ｋＰ＋ｌＱを同時に計算する方法を
スカラー倍同時計算方法と呼ぶ。
【００５８】上述の従来技術の欄で説明したモンゴメリ
法によるスカラー倍算は要約すると次のような計算法で
あると言える。すなわち、従来のモンゴメリ法によるス
カラー倍算ｋＰ（ｋ＝（ｋt…ｋ0）2，ｋt＝１）では、
ｍi＝（ｋt…ｋi）2に対して、常にｍiＰと（ｍi＋１）
Ｐの２点を計算しながら演算を進めていく方式である。
【００５９】［第１実施例］本発明に係る第１実施例に
ついて説明する。本実施例構成においては、楕円曲線に
おける異なる２点のスカラー倍点の加算点：ｋＰ＋ｌＱ
に含まれるスカラー量ｋ，ｌの２進表現を（ｋt…ｋ0）
2，（ｌt…ｌ0）2とし、ｍi＝（ｋt…ｋi）2，ｎi＝
（ｌt…ｌi）2、（ただし、ｋt＝１またはｌt＝１）と
したとき、楕円曲線上の４点の集合Ｇiを以下のように
定義する。
【００６０】
【数１】Ｇi＝｛ｍiＰ＋ｎiＱ， ｍiＰ＋（ｎi＋１）Ｑ， （ｍi＋１）Ｐ＋ｎiＱ， （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝
【００６１】このとき、（ｋi，ｌi）＝（０，０）の場
合、ｍi＝２ｍi+1，ｎi＝２ｎi+1となるから、４点の集
合Ｇi+1と、４点の集合Ｇiとの対応関係が下式（２）に
基づいて求められる。
【００６２】
【数２】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋ｎi+1Ｑ） ……式（２）
【００６３】また、（ｋi，ｌi）＝（０，１）の場合、
ｍi＝２ｍi+1，ｎi＝２ｎi+1＋１となるから、４点の集
合Ｇi+1と、４点の集合Ｇiとの対応関係が下式（３）に
基づいて求められる。
【００６４】
【数３】 ｍiＰ＋ｎiＱ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ））＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝２（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） ……式（３）
【００６５】また、（ｋi，ｌi）＝（１，０）の場合、
ｍi＝２ｍi+1＋１，ｎi＝２ｎi+1となるから、４点の集
合Ｇi+1と、４点の集合Ｇiとの対応関係が下式（４）に
基づいて求められる。
【００６６】
【数４】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝２（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ （ｍi+1＋１）Ｐ＋ｎi+1Ｑ） ……式（４）
【００６７】また、（ｋi，ｌi）＝（１，１）の場合、
ｍi＝２ｍi+1＋１，ｎi＝２ｎi+1＋１となるから、４点
の集合Ｇi+1と、４点の集合Ｇiとの対応関係が下式
（５）に基づいて求められる。
【００６８】
【数５】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ））＋（ｍi+1Ｐ＋ｎi+1 Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（（ｍi+1 ＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝２（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ） ……式（５）
【００６９】以上の各式（２）、（３）、（４）、
（５）に基づいて、Ｇi+1からＧiを求めることができ
る。
【００７０】ここで、 Ｔ0［ｉ］＝ｍiＰ＋ｎiＱ Ｔ1［ｉ］＝ｍiＰ＋（ｎi＋１）Ｑ Ｔ2［ｉ］＝（ｍi＋１）Ｐ＋ｎiＱ Ｔ3［ｉ］＝（ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として、 Ｇi＝｛Ｔ0［ｉ］，Ｔ1［ｉ］，Ｔ2［ｉ］，Ｔ
3［ｉ］｝ と表現する。
【００７１】ｍt+1＝０、ｎt+1＝０であるから、Ｇiの
初期値Ｇt+1を、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑとおいて、図１のフローに従っ
た処理を実行しｋＰ＋ｌＱ（＝Ｗ）を求める。
【００７２】以下、図１のフローに従って本発明の楕円
曲線暗号処理方法を適用した処理について説明する。
【００７３】まず、ステップＳ１０１において、Ｐ，
Ｑ，ｋ，ｌ，ｒを入力する。次に、ステップＳ１０２、
Ｓ１０３において、ｋＰが無限遠点（Ｏ）である場合に
ついての判定を行なう。
【００７４】具体的には、ステップＳ１０２において、
点Ｐが無限遠点（Ｏ）であると判定された場合には、ｋ
Ｐは無限遠点（Ｏ）となるから、Ｗ＝ｌＱとなり、ｌＱ
の計算を行なうためにステップＳ１０８へ進む。同様
に、ステップＳ１０３において、ｋが０と判定された場
合には、ｋＰは無限遠点（Ｏ）となるから、Ｗ＝ｌＱと
なり、ｌＱの計算を行なうためにステップＳ１０８へ進
む。ステップＳ１０８では、ＱをＰに、ｌをｋに代入し
てｌＱをｋＰの計算に変換し、ステップＳ１１１へ進
む。
【００７５】次に、ステップＳ１０４、Ｓ１０５におい
て、ｌＱが無限遠点（Ｏ）である場合についての判定を
行なう。
【００７６】具体的には、ステップＳ１０４において、
点Ｑが無限遠点（Ｏ）であると判定された場合には、ｌ
Ｑは無限遠点（Ｏ）となるから、Ｗ＝ｋＰとなり、ｋＰ
の計算を行なうためにステップＳ１１１へ進む。同様
に、ステップＳ１０５において、ｌが０と判定された場
合には、ｌＱは無限遠点（Ｏ）となるから、Ｗ＝ｋＰと
なり、ｋＰの計算を行なうためにステップＳ１１１へ進
む。
【００７７】ステップＳ１０６では、Ｐ＝Ｑかを判定す
る。Ｐ＝Ｑであれば、Ｗ＝ｋＰ＋ｌＱ＝（ｋ＋ｌ）Ｐと
なるから、ステップＳ１０９において、ｋ＝ｋ＋ｌｍｏ
ｄｒとして、（ｋ＋ｌ）ＰをｋＰの計算に変換し、ステ
ップＳ１１１へ進む。ステップＳ１０７では、Ｐ＝−Ｑ
かを判定する。Ｐ＝−Ｑであれば、Ｗ＝ｋＰ＋ｌＱ＝
（ｋ−ｌ）Ｐとなるから、ステップＳ１１０において、
ｋ＝ｋ−ｌｍｏｄｒとして、（ｋ−ｌ）ＰをｋＰの計算
に変換し、ステップＳ１１１へ進む。
【００７８】ステップＳ１１１では、ステップＳ１０２
〜Ｓ１０７において「Ｙｅｓ」と判定されている場合に
おいては、ｋＰ＋ｌＱの計算は、ステップＳ１０８〜Ｓ
１１０において、ｋＰの計算に変換されているから、
Ｐ，ｋを入力としてスカラー倍計算を行ない、出力Ｗを
得て終了する。
【００７９】ステップＳ１１２では、Ｐ，Ｑの加算点Ｐ
＋Ｑを求める。ステップＳ１１３では、ｋを２進展開
し、ステップＳ１１４ではｌを２進展開する。このと
き、ｋt＝１、または、ｌt＝１である。ステップＳ１１
５ではＧiの初期値Ｇt+1を Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑとおいて、ステップＳ１１６で
は、ｉ＝ｔと初期化する。
【００８０】ステップＳ１１７〜Ｓ１２５においては、
２進展開したｋ，ｌの各ビット（ｋ i，ｌi）に応じてＧ
i+1からＧiを計算し、最終的にＧ0を求める。
【００８１】すなわち、ステップＳ１１７で、（ｋi，
ｌi）＝（０，０）と判定された場合には、前述の式
（２）に従って、ステップＳ１２０において、 Ｔ0［ｉ］＝２Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ3［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ0［ｉ＋１］ とし、Ｇi+1からＧiを計算する。
【００８２】また、ステップＳ１１８で、（ｋi，ｌi）
＝（０，１）と判定された場合には、前述の式（３）に
従って、ステップＳ１２１において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ3［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ1［ｉ＋１］ とし、Ｇi+1からＧiを計算する。
【００８３】また、ステップＳ１１９で、（ｋi，ｌi）
＝（１，０）と判定された場合には、前述の式（４）に
従って、ステップＳ１２２において、 Ｔ0［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝２Ｔ2［ｉ＋１］ Ｔ3［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ2［ｉ＋１］ とし、Ｇi+1からＧiを計算する。
【００８４】また、ステップＳ１１７〜Ｓ１１９でＮｏ
と判定された場合、すなわち、（ｋ i，ｌi）＝（１，
１）と判定された場合には、前述の式（５）に従って、
ステップＳ１２３において、 Ｔ0［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ3［ｉ＋１］＋Ｔ2［ｉ＋１］ Ｔ3［ｉ］＝２Ｔ3［ｉ＋１］ とし、Ｇi+1からＧiを計算する。
【００８５】ステップＳ１２４では、ｉにｉ−１を代入
し、ステップＳ１２５では、ｉ≧０を判定し、ｉ≧０で
ある場合には、ステップＳ１１７に戻り、同様の処理を
繰り返し実行する。
【００８６】ステップＳ１２５でｉ≧０がＮｏと判定さ
れた場合は、Ｇ0が算出されたことになり、ステップＳ
１２６に進む。
【００８７】モンゴメリ法を用いた点の加算において
は、差分点が既知であることが必要であるが、 Ｔ1［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｑ Ｔ2［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ Ｔ3［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ＋Ｑ Ｔ3［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｐ Ｔ3［ｉ＋１］−Ｔ2［ｉ＋１］＝Ｑ により、差分点は既知となっている。
【００８８】ここで、ｍ0＝ｋ，ｎ0＝ｌであるから、Ｔ
0［０］＝ｋＰ＋ｌＱとなり、ステップＳ１２６でＷに
Ｔ0［０］を代入して、２点のスカラー倍の加算点ｋＰ
＋ｌＱ＝Ｗ＝Ｔ0［０］として終了する。
【００８９】なお、Ｔ3［ｉ＋１］＋Ｔ0［ｉ＋１］は、
Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］とすることもできる。こ
の場合、Ｔ2［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｐ−Ｑとなる
ため、Ｐ，Ｑの差分Ｐ−Ｑを事前に計算する必要があ
る。
【００９０】上述したように、本発明の構成において
は、スカラー倍算：ｋＰ＋ｌＱを、楕円上の４点の集合
Ｇiを定義して実行することにより、高速に結果を出力
することができる。
【００９１】［第２実施例］次に、第１の実施例をさら
に高速化した処理構成について第２実施例として説明す
る。第１実施例と同様、楕円曲線における異なる２点の
スカラー倍点の加算点：ｋＰ＋ｌＱに含まれるスカラー
量ｋ，ｌの２進表現を（ｋt…ｋ0）2，（ｌt…ｌ0）2と
し、ｍi＝（ｋt…ｋi）2，ｎi＝（ｌt…ｌi）2、（ただ
し、ｋt＝１またはｌt＝１）としたとき、楕円曲線上の
４点の集合Ｇiを第１実施例と同様、以下のように定義
する。 Ｇi＝｛ｍiＰ＋ｎiＱ， ｍiＰ＋（ｎi＋１）Ｑ， （ｍi＋１）Ｐ＋ｎiＱ， （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝
【００９２】このとき、（ｋi，ｌi）＝（０，０）の場
合、ｍi＝２ｍi+1，ｎi＝２ｎi+1となるから、４点の集
合Ｇi+1と、４点の集合Ｇiとの対応関係は、前述の式
（２）、すなわち下式に基づいて求められる。
【００９３】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋ｎi+1Ｑ） ……式（２）
【００９４】この式（２）は、以下のように変形するこ
とができる。
【００９５】
【数６】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） ……式（６）
【００９６】この式（６）において、Ｇi+1の要素（ｍ
i+1＋１）Ｐ＋（ｎi+1＋１）Ｑは、Ｇiを求めるために
は必要のない要素である。
【００９７】また、（ｋi，ｌi）＝（０，１）の場合、
４点の集合Ｇi+1と、４点の集合Ｇiとの対応関係は前述
の式（３）で示されるが、式（３）において、Ｇi+1の
要素（ｍi+1＋１）Ｐ＋ｎi+1Ｑは、Ｇiを求めるために
は必要のない要素である。
【００９８】また、（ｋi，ｌi）＝（１，０）の場合、
４点の集合Ｇi+1と、４点の集合Ｇiとの対応関係は前述
の式（４）で示されるが、式（４）において、Ｇi+1の
要素ｍi+1Ｐ＋（ｎi+1＋１）Ｑは、Ｇiを求めるために
は必要のない要素である。
【００９９】また、（ｋi，ｌi）＝（１，１）の場合、
４点の集合Ｇi+1と、４点の集合Ｇiとの対応関係は前述
の式（５）で示されるが、式（５）は、以下のように変
形することができる。
【０１００】
【数７】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ））＋（ｍi+1Ｐ＋（ｎi+1＋１） Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（（ｍi+1 ＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝２（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ） ……式（７）
【０１０１】上記式（７）から明らかなように、Ｇi+1
の要素ｍi+1Ｐ＋ｎi+1Ｑは、Ｇiを求めるためには必要
のない要素である。
【０１０２】上述のように、第１実施例において説明し
た、（ｋi，ｌi）の各場合における４点の集合Ｇ
i+1と、４点の集合Ｇiとの対応関係式において、Ｇi+1
の要素（ｍi +1＋１−ｋi）Ｐ＋（ｎi+1＋１−ｌi）Ｑを
Ｇiを求めるためには必要のない要素として定義するこ
とができる。
【０１０３】そこで、第１実施例で適用した４点の集合
Ｇiを３点の集合Ｇ’iとして、以下の式（８）のように
定義する。
【０１０４】
【数８】 Ｇ’i＝Ｇi−｛（ｍi＋１−ｋi-1）Ｐ＋（ｎi＋１−ｌi-1）Ｑ｝ ……式（８）
【０１０５】このとき、Ｇ’i+1からＧiを計算すること
ができるから、Ｇ’i+1からＧ’iを計算することができ
る。ここで、Ｇ’i+1からＧ’iを計算する際には、その
計算方法は、（ｋi，ｌi）に依存するが、さらに、Ｇi
からＧ’iを定義する際に（ｋ i-1，ｌi-1）に依存する
ため、Ｇ’i+1からＧ’iを計算する際には、その計算方
法は、（ｋi，ｌi，ｋi-1，ｌi-1）に依存する。
【０１０６】以下、（ｋi，ｌi，ｋi-1，ｌi-1）に応じ
たＧ’i+1からＧ’iを計算する手法について説明する。
【０１０７】まず、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，０，０，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋ｎi+1Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋ｎiＱ｝ となるから、前述の式（６）に基づいて、下式（９）に
従って、Ｇ’i+1からＧ’iを計算する。
【０１０８】
【数９】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） ……式（９）
【０１０９】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，０，０，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋ｎi+1Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（６）に基づいて、下式（１０）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１１０】
【数１０】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） ……式（１０）
【０１１１】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，０，１，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+１＋１）Ｐ＋ｎi+1Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，（ｍi＋１）Ｐ＋ｎiＱ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（６）に基づいて、下式（１１）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１１２】
【数１１】 ｍiＰ＋ｎiＱ＝２（ｍi+1Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） ……式（１１）
【０１１３】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，０，１，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋ｎi+1Ｑ｝ Ｇ’i＝｛ｍiＰ＋（ｎi＋１）Ｑ，（ｍi＋１）Ｐ＋ｎi
Ｑ，（ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（６）に基づいて、下式（１２）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１１４】
【数１２】 ｍiＰ＋（ｎi＋１）Ｑ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） ……式（１２）
【０１１５】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，１，０，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋ｎiＱ｝ となるから、前述の式（３）に基づいて、下式（１３）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１１６】
【数１３】 ｍiＰ＋ｎiＱ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝２（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） ……式（１３）
【０１１７】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，１，０，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（３）に基づいて、下式（１４）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１１８】
【数１４】 ｍiＰ＋ｎiＱ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝２（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） ……式（１４）
【０１１９】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，１，１，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，（ｍi＋１）Ｐ＋ｎiＱ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（３）に基づいて、下式（１５）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１２０】
【数１５】 ｍiＰ＋ｎiＱ＝（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） ……式（１５）
【０１２１】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（０，１，１，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，ｍi+1Ｐ＋（ｎi+1＋
１）Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋（ｎi＋１）Ｑ，（ｍi＋１）Ｐ＋ｎi
Ｑ，（ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（３）に基づいて、下式（１６）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１２２】
【数１６】 ｍiＰ＋（ｎi＋１）Ｑ＝２（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ ｍi+1Ｐ＋（ｎi+1＋１）Ｑ） ……式（１６）
【０１２３】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，０，０，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋ｎ
i+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋ｎiＱ｝ となるから、前述の式（４）に基づいて、下式（１７）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１２４】
【数１７】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝２（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ） ……式（１７）
【０１２５】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，０，０，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋ｎ
i+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（４）に基づいて、下式（１８）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１２６】
【数１８】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ （ｍi+1＋１）Ｐ＋ｎi+1Ｑ） ……式（１８）
【０１２７】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，０，１，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋ｎ
i+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，（ｍi＋１）Ｐ＋ｎiＱ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（４）に基づいて、下式（１９）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１２８】
【数１９】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝２（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ （ｍi+1＋１）Ｐ＋ｎi+1Ｑ） ……式（１９）
【０１２９】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，０，１，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋ｎ
i+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋（ｎi＋１）Ｑ，（ｍi＋１）Ｐ＋ｎi
Ｑ，（ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（４）に基づいて、下式（２０）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１３０】
【数２０】 ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝２（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ （ｍi+1＋１）Ｐ＋ｎi+1Ｑ） ……式（２０）
【０１３１】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，１，０，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋（ｎi+1＋１）Ｑ，（ｍi+1＋１）
Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋ｎiＱ｝ となるから、前述の式（７）に基づいて、下式（２１）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１３２】
【数２１】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（（ｍi+1 ＋１）Ｐ＋ｎi+1Ｑ） ……式（２１）
【０１３３】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，１，０，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋（ｎi+1＋１）Ｑ，（ｍi+1＋１）
Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，ｍiＰ＋（ｎi＋１）Ｑ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（７）に基づいて、下式（２２）
に従って、Ｇ’i+1からＧ’ｉを計算する。
【０１３４】
【数２２】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ ） ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝２（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ） ……式（２２）
【０１３５】次に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，１，１，０）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋（ｎi+1＋１）Ｑ，（ｍi+1＋１）
Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋ｎiＱ，（ｍi＋１）Ｐ＋ｎiＱ，（ｍi
＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（７）に基づいて、下式（２３）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１３６】
【数２３】 ｍiＰ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋ｎi+1Ｑ）＋（ｍi+1Ｐ＋（ｎi+1＋１）Ｑ ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（（ｍi+1 ＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝２（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ） ……式（２３）
【０１３７】最後に、（ｋi，ｌi，ｋi-1，ｌi-1）＝
（１，１，１，１）の場合、 Ｇ’i+1＝｛ｍi+1Ｐ＋（ｎi+1＋１）Ｑ，（ｍi+1＋１）
Ｐ＋ｎi+1Ｑ，（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ｝ Ｇ’i＝｛ｍiＰ＋（ｎi＋１）Ｑ，（ｍi＋１）Ｐ＋ｎi
Ｑ，（ｍi＋１）Ｐ＋（ｎi＋１）Ｑ｝ となるから、前述の式（７）に基づいて、下式（２４）
に従って、Ｇ’i+1からＧ’iを計算する。
【０１３８】
【数２４】 ｍiＰ＋（ｎi＋１）Ｑ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（ｍi+1Ｐ ＋（ｎi+1＋１）Ｑ） （ｍi＋１）Ｐ＋ｎiＱ＝（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ）＋（（ｍi+1 ＋１）Ｐ＋ｎi+1Ｑ） （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ＝２（（ｍi+1＋１）Ｐ＋（ｎi+1＋１）Ｑ） ……式（２４）
【０１３９】以上の各式により、（ｋi，ｌi，ｋi-1，
ｌi-1）の取り得るすべての場合について、Ｇ’i+1から
Ｇ’iが算出できる。
【０１４０】第２実施例を適用してＷ＝ｋＰ＋ｌＱを求
める処理について、図３以下に示すフローチャートを用
いて説明する。なお、当フローの概略は、Ｇ’iをＧ’i
＝｛Ｔ0［ｉ］，Ｔ1［ｉ］，Ｔ2［ｉ］｝と表現し、ｍ
t+1＝０、ｎt+1＝０により、Ｇ’i+1の初期値を定めて
Ｇ’iを計算してＷ＝ｋＰ＋ｌＱを求める処理である。
【０１４１】まず、ステップＳ２０１において、Ｐ，
Ｑ，ｋ，ｌ，ｒを入力する。次に、ステップＳ２０２、
Ｓ２０３において、ｋＰが無限遠点（Ｏ）である場合に
ついての判定を行なう。
【０１４２】具体的には、ステップＳ２０２において、
点Ｐが無限遠点（Ｏ）であると判定された場合には、ｋ
Ｐは無限遠点（Ｏ）となるから、Ｗ＝ｌＱとなり、ｌＱ
の計算を行なうためにステップＳ２０８へ進む。同様
に、ステップＳ２０３において、ｋが０と判定された場
合には、ｋＰは無限遠点（Ｏ）となるから、Ｗ＝ｌＱと
なり、ｌＱの計算を行なうためにステップＳ２０８へ進
む。ステップＳ２０８では、ＱをＰに、ｌをｋに代入し
てｌＱをｋＰの計算に変換し、ステップＳ２１１へ進
む。
【０１４３】次に、ステップＳ２０４、Ｓ２０５におい
て、ｌＱが無限遠点（Ｏ）である場合についての判定を
行なう。
【０１４４】具体的には、ステップＳ２０４において、
点Ｑが無限遠点（Ｏ）であると判定された場合には、ｌ
Ｑは無限遠点（Ｏ）となるから、Ｗ＝ｋＰとなり、ｋＰ
の計算を行なうためにステップＳ２１１へ進む。同様
に、ステップＳ２０５において、ｌが０と判定された場
合には、ｌＱは無限遠点（Ｏ）となるから、Ｗ＝ｋＰと
なり、ｋＰの計算を行なうためにステップＳ２１１へ進
む。
【０１４５】ステップＳ２０６では、Ｐ＝Ｑかを判定す
る。Ｐ＝Ｑであれば、ｋＰ＋ｌＱ＝（ｋ＋ｌ）Ｐとなる
から、ステップＳ２０９において、ｋ＝ｋ＋ｌｍｏｄｒ
として、（ｋ＋ｌ）ＰをｋＰの計算に変換し、ステップ
Ｓ２１１へ進む。ステップＳ２０７では、Ｐ＝−Ｑかを
判定する。Ｐ＝−Ｑであれば、Ｗ＝ｋＰ＋ｌＱ＝（ｋ−
ｌ）Ｐとなるから、ステップＳ２１０において、ｋ＝ｋ
−ｌｍｏｄｒとして、（ｋ−ｌ）ＰをｋＰの計算に変換
し、ステップＳ２１１へ進む。
【０１４６】ステップＳ２１１では、ステップＳ２０２
〜Ｓ２０７において「Ｙｅｓ」と判定されている場合に
おいては、ｋＰ＋ｌＱの計算は、ステップＳ２０８〜Ｓ
２１０において、ｋＰの計算に変換されているから、
Ｐ，ｋを入力としてスカラー倍計算を行ない、出力Ｗを
得て終了する。
【０１４７】ステップＳ２１２では、Ｐ，Ｑの加算点Ｐ
＋Ｑと差分点Ｐ−Ｑを求める。ステップＳ２１３では、
ｋを２進展開し、ステップＳ２１４ではｌを２進展開す
る。このとき、ｋt＝１、または、ｌt＝１である。
【０１４８】ステップＳ２１５〜Ｓ２１９ではＧ’iの
初期値Ｇ’t+1を求める。まず、ステップＳ２１５で、
（ｋt，ｌt）＝（０，１）と判定された場合には、式
（１）、（８）により、Ｇ’t+1＝｛Ｏ（無限遠点），
Ｑ，Ｐ＋Ｑ｝だから、 ステップＳ２１７で、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ＋Ｑ を代入する。
【０１４９】次に、ステップＳ２１６で、（ｋt，ｌt）
＝（１，０）と判定された場合には、式（１）、（８）
により、Ｇ’t+1＝｛Ｏ（無限遠点），Ｐ，Ｐ＋Ｑ｝だ
から、ステップＳ２１７で、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｐ Ｔ2［ｔ＋１］＝Ｐ＋Ｑ を代入する。
【０１５０】最後に、ステップＳ２１６、Ｓ２１７でＮ
ｏと判定された場合、つまり、（ｋ t，ｌt）＝（１，
１）と判定された場合には、式（１）、（８）により、
Ｇ’t+1＝｛Ｑ，Ｐ，Ｐ＋Ｑ｝だから、ステップＳ２１
７で、 Ｔ0［ｔ＋１］＝Ｑ Ｔ1［ｔ＋１］＝Ｐ Ｔ2［ｔ＋１］＝Ｐ＋Ｑ を代入する。
【０１５１】その後、ステップＳ２２０でｉ＝ｔと初期
化する。ステップＳ２２１〜Ｓ２２９では、（ｋi，
ｌi，ｋi-1，ｌi-1）の値に応じて、Ｇ’i+1からＧ’i
を算出し、最終的にＧ’1を求める。
【０１５２】ステップＳ２２１で、（ｋi，ｌi）＝
（０，０）と判定された場合には、ステップＳ２２４の
処理を実行する。ステップＳ２２４の処理の詳細フロー
を図６に示す。
【０１５３】図６のステップＳ３０１で、（ｋi-1，ｌ
i-1）＝（０，０）と判定された場合には、前述の式
（９）に従って、ステップＳ３０４において、 Ｔ0［ｉ］＝２Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１５４】また、ステップＳ３０２で、（ｋi-1，ｌ
i-1）＝（０，１）と判定された場合には、前述の式
（１０）に従って、ステップＳ３０５において、 Ｔ0［ｉ］＝２Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１５５】また、ステップＳ３０３で、（ｋi-1，ｌ
i-1）＝（１，０）と判定された場合には、前述の式
（１１）に従って、ステップＳ３０６において、 Ｔ0［ｉ］＝２Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１５６】また、ステップＳ３０１〜Ｓ３０３でＮｏ
と判定された場合、すなわち、（ｋ i-1，ｌi-1）＝
（１，１）と判定された場合には、前述の式（１２）に
従って、ステップＳ３０７において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１５７】ステップＳ３０４〜Ｓ３０７では、点の加
算の際に必要な差分点は、 Ｔ1［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｑ Ｔ2［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ Ｔ2［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｐ−Ｑ となる。いずれの場合もステップＳ２２８に進む。
【０１５８】ステップＳ２２２で、（ｋi，ｌi）＝
（０，１）と判定された場合には、ステップＳ２２５の
処理を実行する。ステップＳ２２５の処理の詳細フロー
を図７に示す。
【０１５９】図７のステップＳ４０１で、（ｋi-1，ｌ
i-1）＝（０，０）と判定された場合には、前述の式
（１３）に従って、ステップＳ４０４において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６０】また、ステップＳ４０２で、（ｋi-1，ｌ
i-1）＝（０，１）と判定された場合には、前述の式
（１４）に従って、ステップＳ４０５において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６１】また、ステップＳ４０３で、（ｋi-1，ｌ
i-1）＝（１，０）と判定された場合には、前述の式
（１５）に従って、ステップＳ４０６において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６２】また、ステップＳ４０１〜Ｓ４０３でＮｏ
と判定された場合、すなわち、（ｋ i-1，ｌi-1）＝
（１，１）と判定された場合には、前述の式（１６）に
従って、ステップＳ４０７において、 Ｔ0［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６３】ステップＳ４０４〜Ｓ４０７では、点の加
算の際に必要な差分点は、 Ｔ1［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｑ Ｔ2［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ＋Ｑ Ｔ2［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｐ となる。いずれの場合もステップＳ２２８に進む。
【０１６４】ステップＳ２２３で、（ｋi，ｌi）＝
（１，０）と判定された場合には、ステップＳ２２６の
処理を実行する。ステップＳ２２６の処理の詳細フロー
を図８に示す。
【０１６５】図８のステップＳ５０１で、（ｋi-1，ｌ
i-1）＝（０，０）と判定された場合には、前述の式
（１７）に従って、ステップＳ５０４において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝２Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６６】また、ステップＳ５０２で、（ｋi-1，ｌ
i-1）＝（０，１）と判定された場合には、前述の式
（１８）に従って、ステップＳ５０５において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６７】また、ステップＳ５０３で、（ｋi-1，ｌ
i-1）＝（１，０）と判定された場合には、前述の式
（１９）に従って、ステップＳ５０６において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６８】また、ステップＳ５０１〜Ｓ５０３でＮｏ
と判定された場合、すなわち、（ｋ i-1，ｌi-1）＝
（１，１）と判定された場合には、前述の式（２０）に
従って、ステップＳ５０７において、 Ｔ0［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝２Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１６９】ステップＳ５０４〜Ｓ５０７では、点の加
算の際に必要な差分点は、 Ｔ1［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ Ｔ2［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ＋Ｑ Ｔ2［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｑ となる。いずれの場合もステップＳ２２８に進む。
【０１７０】ステップＳ２２１〜Ｓ２２３でＮｏと判定
された場合、すなわち（ｋi，ｌi）＝（１，１）と判定
された場合には、ステップＳ２２７の処理を実行する。
ステップＳ２２７の処理の詳細フローを図９に示す。
【０１７１】図９のステップＳ６０１で、（ｋi-1，ｌ
i-1）＝（０，０）と判定された場合には、前述の式
（２１）に従って、ステップＳ６０４において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１７２】また、ステップＳ６０２で、（ｋi-1，ｌ
i-1）＝（０，１）と判定された場合には、前述の式
（２２）に従って、ステップＳ６０５において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ2［ｉ］＝２Ｔ2［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１７３】また、ステップＳ６０３で、（ｋi-1，ｌ
i-1）＝（１，０）と判定された場合には、前述の式
（２３）に従って、ステップＳ６０６において、 Ｔ0［ｉ］＝Ｔ1［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝２Ｔ2［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１７４】また、ステップＳ６０１〜Ｓ６０３でＮｏ
と判定された場合、すなわち、（ｋ i-1，ｌi-1）＝
（１，１）と判定された場合には、前述の式（２４）に
従って、ステップＳ６０７において、 Ｔ0［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ0［ｉ＋１］ Ｔ1［ｉ］＝Ｔ2［ｉ＋１］＋Ｔ1［ｉ＋１］ Ｔ2［ｉ］＝２Ｔ2［ｉ＋１］ と代入し、Ｇ’i+1からＧ’iを計算する。
【０１７５】ステップＳ６０４〜Ｓ６０７では、点の加
算の際に必要な差分点は、 Ｔ1［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ−Ｑ Ｔ2［ｉ＋１］−Ｔ0［ｉ＋１］＝Ｐ Ｔ2［ｉ＋１］−Ｔ1［ｉ＋１］＝Ｑ となる。いずれの場合もステップＳ２２８に進む。
【０１７６】ステップＳ２２８では、ｉにｉ−１を代入
し、ステップＳ２２９では、ｉ≧１を判定し、ｉ≧１で
ある場合には、ステップＳ２２１に戻り、同様の処理を
繰り返し実行する。
【０１７７】ステップＳ２２９でｉ≧１がＮｏと判定さ
れた場合は、Ｇ’1が算出されたことになり、ステップ
Ｓ２３０に進む。
【０１７８】ステップＳ２３０〜Ｓ２３６では、Ｇ’1
からＷを求める。ＷはＧ’0を構成する３点の１つの点
であり、ｋＰ＋ｌＱに相当する。
【０１７９】ステップＳ２３０で、（ｋ0，ｌ0）＝
（０，０）と判定された場合には、Ｔ0［１］＝ｍ1Ｐ＋
ｎ1Ｑで、 ｋ＝ｍ0＝２ｍ1、 ｌ＝ｎ0＝２ｎ1、 だから、ステップＳ２３３で、Ｗ＝２Ｔ0［１］を代入
して終了する。
【０１８０】ステップＳ２３１で、（ｋ0，ｌ0）＝
（０，１）と判定された場合には、 Ｔ0［１］＝ｍ1Ｐ＋ｎ1Ｑ、 Ｔ1［１］＝ｍ1Ｐ＋（ｎ1＋１）Ｑで、 ｋ＝ｍ0＝２ｍ1、 ｌ＝ｎ0＝２ｎ1＋１、 だから、ステップＳ２３４で、Ｗ＝Ｔ1［１］＋Ｔ
0［１］を代入して終了する。このとき、点の加算の際
に必要な差分点は、Ｔ1［１］−Ｔ0［１］＝Ｑである。
【０１８１】ステップＳ２３２で、（ｋ0，ｌ0）＝
（１，０）と判定された場合には、 Ｔ0［１］＝ｍ1Ｐ＋ｎ1Ｑ、 Ｔ1［１］＝（ｍ1＋１）Ｐ＋ｎ1Ｑで、 ｋ＝ｍ0＝２ｍ1＋１、 ｌ＝ｎ0＝２ｎ1、 だから、ステップＳ２３５で、Ｗ＝Ｔ1［１］＋Ｔ
0［１］を代入して終了する。このとき、点の加算の際
に必要な差分点は、Ｔ1［１］−Ｔ0［１］＝Ｐである。
【０１８２】ステップＳ２３０〜Ｓ２３２でＮｏと判定
された場合、すなわち、（ｋ0，ｌ0）＝（１，１）と判
定された場合には、 Ｔ0［１］＝ｍ1Ｐ＋（ｎ1＋１）Ｑ、 Ｔ1［１］＝（ｍ1＋１）Ｐ＋ｎ1Ｑで、 ｋ＝ｍ0＝２ｍ1＋１、 ｌ＝ｎ0＝２ｎ1＋１、 だから、ステップＳ２３６で、Ｗ＝Ｔ1［１］＋Ｔ
0［１］を代入して終了する。このとき、点の加算の際
に必要な差分点は、Ｔ1［１］−Ｔ0［１］＝Ｐ−Ｑであ
る。
【０１８３】以上、説明したように、上述したように、
本発明の構成においては、スカラー倍算：ｋＰ＋ｌＱ
を、楕円上の３点の集合Ｇ’iを定義して実行すること
により、高速に結果を出力することができる。
【０１８４】なお、上述した第１実施例、第２実施例と
も、素体上のモンゴメリ型楕円曲線、および２の拡大体
上の楕円曲線において、実施可能であり、また、アフィ
ン座標系および射影座標系のどちらにおいても実施可能
である。
【０１８５】［システム構成例］なお、上述の実施例で
述べた一連の処理は、ハードウェア、ソフトウェアの組
合わせにより行うことができる。即ち、汎用のコンピュ
ータや、マイクロコンピュータにプログラムを実行させ
ることにより行う構成とすることが可能である。一連の
処理をソフトウェアによって行う場合には、そのソフト
ウェアを構成するプログラムが、例えば汎用のコンピュ
ータや１チップのマイクロコンピュータ等にインストー
ルされる。図１０は、上述した一連の処理を実行するプ
ログラムがインストールされるコンピュータの一実施の
形態の構成例を示している。
【０１８６】図１０に示すシステム構成例は１つの例で
あり、システムは、ここに示すべての機能を必ずしも備
えることが要求されるものではない。図１０に示すＣＰ
Ｕ(Central processing Unit)１０１は、各種アプリケ
ーションプログラムや、ＯＳ（Operating System）を実
行するプロセッサである。ＲＯＭ（Read-Only-Memory）
１０２は、ＣＰＵ１０１が実行するプログラム、あるい
は演算パラメータとしての固定データを格納する。ＲＡ
Ｍ（Random Access Memory）１０３は、ＣＰＵ１０１の
処理において実行されるプログラム、およびプログラム
処理において適宜変化するパラメータの格納エリア、ワ
ーク領域として使用される。
【０１８７】ＨＤＤ１０４はハードディスクの制御を実
行し、ハードディスクに対する各種データ、プログラム
の格納処理および読み出し処理を実行する。暗号処理手
段１０５は、送信データの暗号処理、復号処理等を実行
する。なお、ここでは、暗号処理手段を個別モジュール
とした例を示したが、このような独立した暗号処理モジ
ュールを設けず、例えば暗号処理プログラムをＲＯＭ１
０２に格納し、ＣＰＵ１０１がＲＯＭ格納プログラムを
読み出して実行するように構成してもよい。メモリ（セ
キュアモジュール）１０６は例えば耐タンパ構造を持つ
メモリとして構成され、暗号処理に必要な鍵データ、ア
クセス許可書の格納領域として使用可能である。なお、
これらのデータは、他のメモリ領域、記憶媒体に格納す
ることも可能である。
【０１８８】バス１２１はＰＣＩ（Peripheral Compone
nt Internet/Interface）バス等により構成され、各モ
ジュール、入出力インタフェース１２２を介した各入手
力装置とのデータ転送を可能にしている。
【０１８９】入力部１１１は、例えばキーボード、ポイ
ンティングデバイス等によって構成され、ＣＰＵ１０１
に各種のコマンド、データを入力するためにユーザによ
り操作される。出力部１１２は、例えばＣＲＴ、液晶デ
ィスプレイ等であり、各種情報をテキストまたはイメー
ジ等により表示する。
【０１９０】通信部１１３はシステムの接続したエンテ
ィテイ、例えば暗号データの通信エンティテイとの通信
処理を実行し、ＣＰＵ１０１の制御の下に、各記憶部か
ら供給されたデータ、あるいはＣＰＵ１０１によって処
理されたデータ、暗号化されたデータ等を送信したり、
他エンティテイからのデータを受信する処理を実行す
る。
【０１９１】ドライブ１１４は、フロッピー（登録商
標）ディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only
Memory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Dig
ital Versatile Disc)、磁気ディスク、半導体メモリな
どのリムーバブル記録媒体１１５の記録再生を実行する
ドライブであり、各リムーバブル記録媒体１１５からの
プログラムまたはデータ再生、リムーバブル記録媒体１
１５に対するプログラムまたはデータ格納を実行する。
【０１９２】各記憶媒体に記録されたプログラムまたは
データを読み出してＣＰＵ１０１において実行または処
理を行なう場合は、読み出したプログラム、データはイ
ンタフェース１２２、バス１２１を介して例えば接続さ
れているＲＡＭ１０３に供給される。
【０１９３】先に各フロー図を参照した説明内に含まれ
る楕円曲線処理演算を実行するためのプログラムは例え
ばＲＯＭ１０２に格納されてＣＰＵ１０１によって処理
されるか、あるいはハードディスクに格納されＨＤＤ１
０４を介してＣＰＵ１０１に供給されて実行される。
【０１９４】図１０に示す暗号処理手段１０５につい
て、機能別に詳細な処理ブロックとして示した図が図１
１である。図１１に示すように、暗号処理手段１０５
は、データの暗号化処理、復号処理、署名生成、検証
等、各種暗号処理に伴う演算を実行する暗号処理演算部
２０１、楕円曲線の生成処理を実行する楕円曲線生成部
２０２、公開鍵暗号方式に適用する公開鍵、秘密鍵の生
成処理を実行する公開鍵秘密鍵生成部２０３、鍵の生
成、その他各種演算に用いる乱数を発生する乱数発生部
２０４、暗号処理演算に適用する各種パラメータ等を記
憶する記憶部２０５を有する。
【０１９５】例えば、外部から入力された平文の暗号
化、暗号文の復号、または署名の生成、署名の検証処理
等を実行する場合は、楕円曲線生成部２０２でまず楕円
曲線を生成し、公開鍵秘密鍵生成部２０３において生成
した鍵を用いて、暗号処理演算部２０１において各種暗
号処理を実行する。
【０１９６】例えば、楕円曲線生成部２０３は、Ｂｙ2
＝ｘ3＋Ａｘ2＋ｘで表されるモンゴメリ（Montgomery）
型楕円曲線ＥM（ＧＦ（ｐ））を生成する処理を実行
し、暗号処理演算部２０１は、楕円曲線生成部２０３に
おいて生成された楕円曲線に基づいて、前述のスカラー
倍演算処理を実行する。すなわち、暗号処理演算部２０
１は、Ｂｙ2＝ｘ3＋Ａｘ2＋ｘで表されるモンゴメリ（M
ontgomery）型楕円曲線ＥM（ＧＦ（ｐ））を射影座標系
（Ｘ，Ｙ，Ｚ）に変換し、前記射影座標系（Ｘ，Ｙ，
Ｚ）において、Ｇi+1からＧiを算出可能な４点の集合Ｇ
iを定義し、前記Ｇiに基づいて、Ｇ’i+1からＧ’iを算
出が可能３点の集合Ｇ’iを定義し、ｍt+ 1＝０，ｎt+1
＝０として、初期値Ｇ’t+1を設定し（ｋi，ｌi，
ｋi-1，ｌi-1）に応じてＧ’iを計算してＧ’1を算出
し、前記Ｇ’1からｋＰ＋ｌＱを求める演算処理等を実
行する。
【０１９７】以上、特定の実施例を参照しながら、本発
明について詳解してきた。しかしながら、本発明の要旨
を逸脱しない範囲で当業者が該実施例の修正や代用を成
し得ることは自明である。すなわち、例示という形態で
本発明を開示してきたのであり、限定的に解釈されるべ
きではない。本発明の要旨を判断するためには、冒頭に
記載した特許請求の範囲の欄を参酌すべきである。
【０１９８】なお、明細書中において説明した一連の処
理はハードウェア、またはソフトウェア、あるいは両者
の複合構成によって実行することが可能である。ソフト
ウェアによる処理を実行する場合は、処理シーケンスを
記録したプログラムを、専用のハードウェアに組み込ま
れたコンピュータ内のメモリにインストールして実行さ
せるか、あるいは、各種処理が実行可能な汎用コンピュ
ータにプログラムをインストールして実行させることが
可能である。
【０１９９】例えば、プログラムは記録媒体としてのハ
ードディスクやＲＯＭ（Read OnlyMemory)に予め記録し
ておくことができる。あるいは、プログラムはフロッピ
ーディスク、ＣＤ−ＲＯＭ(Compact Disc Read Only Me
mory)，ＭＯ(Magneto optical)ディスク，ＤＶＤ(Digit
al Versatile Disc)、磁気ディスク、半導体メモリなど
のリムーバブル記録媒体に、一時的あるいは永続的に格
納（記録）しておくことができる。このようなリムーバ
ブル記録媒体は、いわゆるパッケージソフトウエアとし
て提供することができる。
【０２００】なお、プログラムは、上述したようなリム
ーバブル記録媒体からコンピュータにインストールする
他、ダウンロードサイトから、コンピュータに無線転送
したり、ＬＡＮ(Local Area Network)、インターネット
といったネットワークを介して、コンピュータに有線で
転送し、コンピュータでは、そのようにして転送されて
くるプログラムを受信し、内蔵するハードディスク等の
記録媒体にインストールすることができる。
【０２０１】なお、明細書に記載された各種の処理は、
記載に従って時系列に実行されるのみならず、処理を実
行する装置の処理能力あるいは必要に応じて並列的にあ
るいは個別に実行されてもよい。また、本明細書におい
てシステムとは、複数の装置の論理的集合構成であり、
各構成の装置が同一筐体内にあるものには限らない。
【０２０２】
【発明の効果】以上、説明したように、本発明の楕円曲
線暗号処理装置および楕円曲線暗号処理方法、並びにプ
ログラムによれば、素体上のモンゴメリ（Ｍｏｎｔｇｏ
ｍｅｒｙ）型楕円曲線上、あるいは２の拡大体上の楕円
曲線上におけるスカラー倍演算において、高速化したス
カラー倍算が可能となる。
【０２０３】さらに、本発明の楕円曲線暗号処理装置お
よび楕円曲線暗号処理方法、並びにプログラムによれ
ば、例えば素体上のモンゴメリ（Ｍｏｎｔｇｏｍｅｒ
ｙ）型楕円曲線暗号処理演算、あるいは２の拡大体上の
楕円曲線上において、２つのスカラー倍演算：ｋＰ，ｌ
Ｑを別々に実行せずにｋＰ＋ｌＱの演算処理を同時に行
なうことで高速化が実現される。すなわち、初期点を４
点、あるいは３点設定し、ｋ，ｌの２進データ（ｋi，
ｌi，ｋi-1，ｌi-1）に応じて算出済みの４点の集合Ｇ
i+1から次の４点の集合Ｇi、または算出済みの３点の集
合Ｇ’i+1から次の３点の集合Ｇ’iを順次算出する処理
によって高速化したスカラー倍算処理が可能となる。ま
た、ｙまたはＹ座標の復元の処理が不要であることがさ
らなる高速処理を可能としている。
【０２０４】さらに、本発明の楕円曲線暗号処理装置お
よび楕円曲線暗号処理方法、並びにプログラムにおける
３点の集合Ｇ’iを順次算出する手法によれば、従来の
楕円曲線暗号処理のスカラー倍算：ｋＰ＋ｌＱの演算に
比較し、３／４倍、つまり２５％の高速化が可能とな
る。また、ｙまたはＹ座標の復元を必要としない。
【図面の簡単な説明】
【図１】楕円曲線上の４点を用いたスカー倍算処理フロ
ー（その１）を示す図である。
【図２】楕円曲線上の４点を用いたスカー倍算処理フロ
ー（その２）を示す図である。
【図３】楕円曲線上の３点を用いたスカー倍算処理フロ
ー（その１）を示す図である。
【図４】楕円曲線上の３点を用いたスカー倍算処理フロ
ー（その２）を示す図である。
【図５】楕円曲線上の３点を用いたスカー倍算処理フロ
ー（その３）を示す図である。
【図６】楕円曲線上の３点を用いたスカー倍算処理フロ
ーにおける（ｋi，ｌi）＝（０，０）の場合の処理フロ
ーを示す図である。
【図７】楕円曲線上の３点を用いたスカー倍算処理フロ
ーにおける（ｋi，ｌi）＝（０，１）の場合の処理フロ
ーを示す図である。
【図８】楕円曲線上の３点を用いたスカー倍算処理フロ
ーにおける（ｋi，ｌi）＝（１，０）の場合の処理フロ
ーを示す図である。
【図９】楕円曲線上の３点を用いたスカー倍算処理フロ
ーにおける（ｋi，ｌi）＝（１，１）の場合の処理フロ
ーを示す図である。
【図１０】楕円曲線スカラー倍同時計算処理を実行する
システム構成例を示す図である。
【図１１】楕円曲線スカラー倍同時計算処理を実行する
暗号処理手段構成例を示す図である。
【符号の説明】
１０１ ＣＰＵ １０２ ＲＯＭ １０３ ＲＡＭ １０４ ＨＤＤ １０５ 暗号処理手段 １０６ メモリ １１１ 入力部 １１２ 出力部 １１３ 通信部 １１４ リムーバブル記憶媒体 １２１ バス １２２ 入出力インタフェース ２０１ 暗号処理演算部 ２０２ 楕円曲線生成部 ２０３ 公開鍵秘密鍵生成部 ２０４ 乱数発生部 ２０５ 記憶部

Claims (28)

    【特許請求の範囲】
  1. 【請求項１】素体上のモンゴメリ（Montgomery）型楕円
    曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号処
    理方法であり、 前記モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋
    Ａｘ2＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰ
    と、該モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3
    ＋Ａｘ2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌ
    Ｑとの加算点：ｋＰ＋ｌＱの算出において、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出ステップと、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理ステップと、 を有することを特徴とする楕円曲線暗号処理方法。
  2. 【請求項２】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記初期点算出ステップは、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理ステップとして実行することを特徴
    とする請求項１に記載の楕円曲線暗号処理方法。
  3. 【請求項３】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記繰り返し演算処理ステップは、 算出済みの４点の集合Ｇi+1から、次の４点の集合Ｇiを
    算出する処理を繰り返し実行し、最終的に４点の集合Ｇ
    0を算出する処理ステップとして実行し、４点の集合Ｇ0
    を構成する１点をＷ＝ｋＰ＋ｌＱとして算出することを
    特徴とする請求項１に記載の楕円曲線暗号処理方法。
  4. 【請求項４】素体上のモンゴメリ（Montgomery）型楕円
    曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号処
    理方法であり、 前記モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋
    Ａｘ2＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰ
    と、該モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3
    ＋Ａｘ2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌ
    Ｑとの加算点：ｋＰ＋ｌＱの算出において、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出ステップと、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの
    算出関係式を選択し、選択された関係式に従って次の３
    点の算出処理を実行し、さらに、ｋ，ｌの２進表現デー
    タの各ビット値の組合わせに応じて、算出済みの３点の
    集合Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選
    択し、選択された関係式に従って次の３点の算出処理
    を、前記２進表現データのｋまたはｌのビット数に応じ
    て繰り返し実行する繰り返し演算処理ステップと、 を有することを特徴とする楕円曲線暗号処理方法。
  5. 【請求項５】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記初期点算出ステップは、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
    ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
    として設定する処理ステップとして実行することを特徴
    とする請求項４に記載の楕円曲線暗号処理方法。
  6. 【請求項６】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記繰り返し演算処理ステップは、 算出済みの３点の集合Ｇ’i+1から、次の３点の集合
    Ｇ’iを算出する処理を繰り返し実行し、最終的に３点
    の集合Ｇ’1を算出する処理ステップとして実行し、さ
    らに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出するこ
    とを特徴とする請求項４に記載の楕円曲線暗号処理方
    法。
  7. 【請求項７】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3＋
    ａｘ2＋ｂを適用した楕円曲線暗号処理方法であり、 前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐの
    スカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘ
    ｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出において、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出ステップと、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理ステップと、 を有することを特徴とする楕円曲線暗号処理方法。
  8. 【請求項８】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記初期点算出ステップは、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理ステップとして実行することを特徴
    とする請求項７に記載の楕円曲線暗号処理方法。
  9. 【請求項９】前記ｋ，ｌの２進表現データの各ビットが
    ｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの上
    位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi＝
    （ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記繰り返し演算処理ステップは、 算出済みの４点の集合Ｇi+1から、次の４点の集合Ｇiを
    算出する処理を繰り返し実行し、最終的に４点の集合Ｇ
    0を算出する処理ステップとして実行し、４点の集合Ｇ0
    を構成する１点をＷ＝ｋＰ＋ｌＱとして算出することを
    特徴とする請求項７に記載の楕円曲線暗号処理方法。
  10. 【請求項１０】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3
    ＋ａｘ2＋ｂを適用した楕円曲線暗号処理方法であり、 前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐの
    スカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘ
    ｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出において、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出ステップと、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの
    算出関係式を選択し、選択された関係式に従って次の３
    点の算出処理を実行し、さらに、ｋ，ｌの２進表現デー
    タの各ビット値の組合わせに応じて、算出済みの３点の
    集合Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選
    択し、選択された関係式に従って次の３点の算出処理
    を、前記２進表現データのｋまたはｌのビット数に応じ
    て繰り返し実行する繰り返し演算処理ステップと、 を有することを特徴とする楕円曲線暗号処理方法。
  11. 【請求項１１】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記初期点算出ステップは、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
    ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
    として設定する処理ステップとして実行することを特徴
    とする請求項１０に記載の楕円曲線暗号処理方法。
  12. 【請求項１２】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記繰り返し演算処理ステップは、 算出済みの３点の集合Ｇ’i+1から、次の３点の集合
    Ｇ’iを算出する処理を繰り返し実行し、最終的に３点
    の集合Ｇ’1を算出する処理ステップとして実行し、さ
    らに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出するこ
    とを特徴とする請求項１０に記載の楕円曲線暗号処理方
    法。
  13. 【請求項１３】素体上のモンゴメリ（Montgomery）型楕
    円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号
    処理を実行する楕円曲線暗号処理装置であり、 前記モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋
    Ａｘ2＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰ
    と、該モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3
    ＋Ａｘ2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌ
    Ｑとの加算点：ｋＰ＋ｌＱの算出を実行する演算処理手
    段を有し、該演算処理手段は、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出処理を実行し、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出処理を実行
    し、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理を実行する構成を有すること
    を特徴とする楕円曲線暗号処理装置。
  14. 【請求項１４】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記演算処理手段は、 前記初期点算出処理において、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理として実行する構成であることを特
    徴とする請求項１３に記載の楕円曲線暗号処理装置。
  15. 【請求項１５】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）２であるとき
    の上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎ
    i＝（ｌ t…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記演算処理手段は、 前記繰り返し演算処理において、 算出済みの４点の集合Ｇi+1から、次の４点の集合Ｇiを
    算出する処理を繰り返し実行し、最終的に４点の集合Ｇ
    0を算出する処理ステップとして実行し、４点の集合Ｇ0
    を構成する１点をＷ＝ｋＰ＋ｌＱとして算出する処理を
    実行する構成であることことを特徴とする請求項１３に
    記載の楕円曲線暗号処理装置。
  16. 【請求項１６】素体上のモンゴメリ（Montgomery）型楕
    円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号
    処理を実行する楕円曲線暗号処理装置であり、 前記モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3＋
    Ａｘ2＋ｘ上の点：Ｐのスカラー量（ｋ）倍の点：ｋＰ
    と、該モンゴメリ（Montgomery）型楕円曲線Ｂｙ2＝ｘ3
    ＋Ａｘ2＋ｘ上の点：Ｑのスカラー量（ｌ）倍の点：ｌ
    Ｑとの加算点：ｋＰ＋ｌＱの算出を実行する演算処理手
    段を有し、該演算処理手段は、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出処理を実行
    し、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出処理を実行し、 前記ビット値検出処理において検出したｋ，ｌの２進表
    現データの各ビット値の組合わせに応じて、前記初期点
    ３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの算出
    関係式を選択し、選択された関係式に従って次の３点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの３点の集合
    Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選択
    し、選択された関係式に従って次の３点の算出処理を、
    前記２進表現データのｋまたはｌのビット数に応じて繰
    り返し実行する繰り返し演算処理を実行する構成を有す
    ることを特徴とする楕円曲線暗号処理装置。
  17. 【請求項１７】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記演算処理手段は、 前記初期点算出処理において、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
    ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
    として設定する処理として実行する構成であることを特
    徴とする請求項１６に記載の楕円曲線暗号処理装置。
  18. 【請求項１８】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記演算処理手段は、 前記繰り返し演算処理において、 算出済みの３点の集合Ｇ’i+1から、次の３点の集合
    Ｇ’iを算出する処理を繰り返し実行し、最終的に３点
    の集合Ｇ’1を算出する処理ステップとして実行し、さ
    らに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出するこ
    とを特徴とする請求項１６に記載の楕円曲線暗号処理装
    置。
  19. 【請求項１９】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3
    ＋ａｘ2＋ｂを適用した楕円曲線暗号処理を実行する楕
    円曲線暗号処理装置であり、 前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐの
    スカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘ
    ｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出を実行する演算
    処理手段を有し、該演算処理手段は、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出処理を実行し、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出処理を実行
    し、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理を実行する構成を有すること
    を特徴とする楕円曲線暗号処理装置。
  20. 【請求項２０】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記演算処理手段は、 前記初期点算出処理において、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ として設定する処理として実行する構成であることを特
    徴とする請求項１９に記載の楕円曲線暗号処理装置。
  21. 【請求項２１】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ４点の集合Ｇiは、前記点Ｐ，点Ｑを用いて、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ として示される４点であり、 前記演算処理手段は、 前記繰り返し演算処理において、 算出済みの４点の集合Ｇi+1から、次の４点の集合Ｇiを
    算出する処理を繰り返し実行し、最終的に４点の集合Ｇ
    0を算出する処理ステップとして実行し、４点の集合Ｇ0
    を構成する１点をＷ＝ｋＰ＋ｌＱとして算出する処理を
    実行する構成であることことを特徴とする請求項１９に
    記載の楕円曲線暗号処理装置。
  22. 【請求項２２】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3
    ＋ａｘ2＋ｂを適用した楕円曲線暗号処理を実行する楕
    円曲線暗号処理装置であり、 前記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐの
    スカラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘ
    ｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出を実行する演算
    処理手段を有し、該演算処理手段は、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出処理を実行
    し、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出処理を実行し、 前記ビット値検出処理において検出したｋ，ｌの２進表
    現データの各ビット値の組合わせに応じて、前記初期点
    ３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの算出
    関係式を選択し、選択された関係式に従って次の３点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの３点の集合
    Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選択
    し、選択された関係式に従って次の３点の算出処理を、
    前記２進表現データのｋまたはｌのビット数に応じて繰
    り返し実行する繰り返し演算処理を実行する構成を有す
    ることを特徴とする楕円曲線暗号処理装置。
  23. 【請求項２３】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記演算処理手段は、 前記初期点算出処理において、 ｉ＝ｔ＋１として、ｍt+1＝ｋt+1＝０、ｎt+1＝ｌt+1＝
    ０から、上記式により算出される４点としての、 Ｔ0［ｔ＋１］＝Ｏ（無限遠点） Ｔ1［ｔ＋１］＝Ｑ Ｔ2［ｔ＋１］＝Ｐ Ｔ3［ｔ＋１］＝Ｐ＋Ｑ の４点から、前記２進表現データのｋ，ｌの最上位ビッ
    ト値（ｋt，ｌt）の組合わせに基づいて選択される３点
    として設定する処理として実行する構成であることを特
    徴とする請求項２２に記載の楕円曲線暗号処理装置。
  24. 【請求項２４】前記ｋ，ｌの２進表現データの各ビット
    がｋ：（ｋt…ｋ0）2，ｌ：（ｌt…ｌ 0）2であるときの
    上位ｔ〜ｉの上位ビット値をｍi＝（ｋt…ｋi）2，ｎi
    ＝（ｌt…ｌi）2としたとき、 ３点の集合Ｇ’iは、 前記点Ｐ，点Ｑを用いて示される、下式、 ｍiＰ＋ｎiＱ ｍiＰ＋（ｎi＋１）Ｑ （ｍi＋１）Ｐ＋ｎiＱ （ｍi＋１）Ｐ＋（ｎi＋１）Ｑ の４点から、前記２進表現データのｋ，ｌのビット値
    （ｋi-1，ｌi-1）の組合わせに基づいて選択される３点
    であり、 前記演算処理手段は、 前記繰り返し演算処理において、 算出済みの３点の集合Ｇ’i+1から、次の３点の集合
    Ｇ’iを算出する処理を繰り返し実行し、最終的に３点
    の集合Ｇ’1を算出する処理ステップとして実行し、さ
    らに３点の集合Ｇ’1からＷ＝ｋＰ＋ｌＱを算出するこ
    とを特徴とする請求項２２に記載の楕円曲線暗号処理装
    置。
  25. 【請求項２５】素体上のモンゴメリ（Montgomery）型楕
    円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号
    処理において、前記モンゴメリ（Montgomery）型楕円曲
    線Ｂｙ 2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｐのスカラー量
    （ｋ）倍の点：ｋＰと、該モンゴメリ（Montgomery）型
    楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｑのスカラー
    量（ｌ）倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出処
    理をコンピュータ・システム上で実行せしめるプログラ
    ムであって、前記プログラムは、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出ステップと、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理ステップと、 を有することを特徴とするプログラム。
  26. 【請求項２６】素体上のモンゴメリ（Montgomery）型楕
    円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘを適用した楕円曲線暗号
    処理において、前記モンゴメリ（Montgomery）型楕円曲
    線Ｂｙ 2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｐのスカラー量
    （ｋ）倍の点：ｋＰと、該モンゴメリ（Montgomery）型
    楕円曲線Ｂｙ2＝ｘ3＋Ａｘ2＋ｘ上の点：Ｑのスカラー
    量（ｌ）倍の点：ｌＱとの加算点：ｋＰ＋ｌＱの算出処
    理をコンピュータ・システム上で実行せしめるプログラ
    ムであって、前記プログラムは、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出ステップと、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの
    算出関係式を選択し、選択された関係式に従って次の３
    点の算出処理を実行し、さらに、ｋ，ｌの２進表現デー
    タの各ビット値の組合わせに応じて、算出済みの３点の
    集合Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選
    択し、選択された関係式に従って次の３点の算出処理
    を、前記２進表現データのｋまたはｌのビット数に応じ
    て繰り返し実行する繰り返し演算処理ステップと、を有
    することを特徴とするプログラム。
  27. 【請求項２７】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3
    ＋ａｘ2＋ｂを適用した楕円曲線暗号処理において、前
    記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのス
    カラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘｙ
    ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出処理をコンピュ
    ータ・システム上で実行せしめるプログラムであって、
    前記プログラムは、 前記点Ｐと点Ｑに基づいて初期点とする４点の集合Ｇ
    t+1を計算する初期点算出ステップと、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点４点の集合Ｇt+1に基づく次の４点の集合Ｇtの算出
    関係式を選択し、選択された関係式に従って次の４点の
    算出処理を実行し、さらに、ｋ，ｌの２進表現データの
    各ビット値の組合わせに応じて、算出済みの４点の集合
    Ｇi+1から次の４点の集合Ｇiの算出関係式を選択し、選
    択された関係式に従って次の４点の算出処理を、前記２
    進表現データのｋまたはｌのビット数に応じて繰り返し
    実行する繰り返し演算処理ステップと、 を有することを特徴とするプログラム。
  28. 【請求項２８】２の拡大体上の楕円曲線ｙ2＋ｘｙ＝ｘ3
    ＋ａｘ2＋ｂを適用した楕円曲線暗号処理において、前
    記楕円曲線ｙ2＋ｘｙ＝ｘ3＋ａｘ2＋ｂ上の点：Ｐのス
    カラー量（ｋ）倍の点：ｋＰと、該楕円曲線ｙ2＋ｘｙ
    ＝ｘ3＋ａｘ2＋ｂ上の点：Ｑのスカラー量（ｌ）倍の
    点：ｌＱとの加算点：ｋＰ＋ｌＱの算出処理をコンピュ
    ータ・システム上で実行せしめるプログラムであって、
    前記プログラムは、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの各ビ
    ット値の組み合わせを検出するビット値検出ステップ
    と、 前記スカラー量ｋ，ｌの２進表現データのｋ，ｌの最上
    位ビット値（ｋt，ｌt）の組合わせに基づいて、初期点
    とする３点の集合Ｇ’t+1を前記Ｐ，Ｑを用いて算出す
    る初期点算出ステップと、 前記ビット値検出ステップにおいて検出したｋ，ｌの２
    進表現データの各ビット値の組合わせに応じて、前記初
    期点３点の集合Ｇ’t+1に基づく次の３点の集合Ｇ’tの
    算出関係式を選択し、選択された関係式に従って次の３
    点の算出処理を実行し、さらに、ｋ，ｌの２進表現デー
    タの各ビット値の組合わせに応じて、算出済みの３点の
    集合Ｇ’i+1から次の３点の集合Ｇ’iの算出関係式を選
    択し、選択された関係式に従って次の３点の算出処理
    を、前記２進表現データのｋまたはｌのビット数に応じ
    て繰り返し実行する繰り返し演算処理ステップと、を有
    することを特徴とするプログラム。
JP2001126024A 2001-04-24 2001-04-24 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム Expired - Fee Related JP3820909B2 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2001126024A JP3820909B2 (ja) 2001-04-24 2001-04-24 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
US10/128,805 US7177422B2 (en) 2001-04-24 2002-04-24 Elliptic curve encryption processing method, elliptic curve encryption processing apparatus, and program

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
JP2001126024A JP3820909B2 (ja) 2001-04-24 2001-04-24 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム

Publications (2)

Publication Number Publication Date
JP2002323852A true JP2002323852A (ja) 2002-11-08
JP3820909B2 JP3820909B2 (ja) 2006-09-13

Family

ID=18975132

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2001126024A Expired - Fee Related JP3820909B2 (ja) 2001-04-24 2001-04-24 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム

Country Status (2)

Country Link
US (1) US7177422B2 (ja)
JP (1) JP3820909B2 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009515206A (ja) * 2005-11-03 2009-04-09 サーティコム コーポレイション 同時スカラー乗算方法
US7835517B2 (en) * 2006-01-16 2010-11-16 Sony Corporation Encryption processing apparatus, encryption processing method, and computer program
US8208626B2 (en) 2006-08-04 2012-06-26 Samsung Electronics Co., Ltd. Apparatus for performing a fault detection operation and method thereof

Families Citing this family (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20040001590A1 (en) * 2002-06-27 2004-01-01 Eisentraeger Anne Kirsten Efficient elliptic curve double-and-add calculator
ATE352830T1 (de) * 2002-10-26 2007-02-15 Additional Director Ipr Defenc Verfahren zur elliptische-kurven-verschlüsselung
US7555122B2 (en) * 2002-12-04 2009-06-30 Wired Communications LLC Method for elliptic curve point multiplication
US7483533B2 (en) * 2004-08-05 2009-01-27 King Fahd University Of Petroleum Elliptic polynomial cryptography with multi x-coordinates embedding
US7483534B2 (en) * 2004-08-05 2009-01-27 King Fahd University Of Petroleum Elliptic polynomial cryptography with multi y-coordinates embedding
US7742596B2 (en) * 2004-08-24 2010-06-22 General Dynamics C4 Systems, Inc. Reliable elliptic curve cryptography computation
US7991162B2 (en) * 2007-09-14 2011-08-02 University Of Ottawa Accelerating scalar multiplication on elliptic curve cryptosystems over prime fields
US8755517B2 (en) * 2010-12-08 2014-06-17 Total Technology Solutions Co. Method for generic-point parallel elliptic curve scalar multiplication

Family Cites Families (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US6782100B1 (en) * 1997-01-29 2004-08-24 Certicom Corp. Accelerated finite field operations on an elliptic curve
US6748410B1 (en) * 1997-05-04 2004-06-08 M-Systems Flash Disk Pioneers, Ltd. Apparatus and method for modular multiplication and exponentiation based on montgomery multiplication
ATE372541T1 (de) * 1997-05-04 2007-09-15 Milsys Ltd Verbessertes gerät und verfahren für modulare multiplikation und exponentation basierend auf montgomerymultiplikation
JPH11242434A (ja) * 1998-02-26 1999-09-07 Hitachi Ltd 楕円曲線暗号実行方法及び暗号処理システム
US6240436B1 (en) * 1998-03-30 2001-05-29 Rainbow Technologies, Inc. High speed montgomery value calculation
JP3542278B2 (ja) * 1998-06-25 2004-07-14 株式会社東芝 モンゴメリ・リダクション装置及び記録媒体
US6430588B1 (en) * 1998-09-03 2002-08-06 Nippon Telegraph And Telephone Corporation Apparatus and method for elliptic-curve multiplication and recording medium having recorded thereon a program for implementing the method
EP1098010A4 (en) * 1999-03-04 2003-08-06 Nippon Kokan Kk STEEL SHEET FOR HEAT SHRINK TAPE AND MANUFACTURING METHOD THEREOF
JP3689039B2 (ja) * 1999-09-08 2005-08-31 株式会社日立製作所 楕円曲線生成方法、装置及び楕円暗号システム並びに記録媒体
JP3821631B2 (ja) * 2000-05-30 2006-09-13 株式会社日立製作所 楕円曲線暗号におけるスカラー倍計算方法及び装置、並びに記憶媒体

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2009515206A (ja) * 2005-11-03 2009-04-09 サーティコム コーポレイション 同時スカラー乗算方法
JP2012185517A (ja) * 2005-11-03 2012-09-27 Certicom Corp 同時スカラー乗算方法
US8284930B2 (en) 2005-11-03 2012-10-09 Certicom Corp. Simultaneous scalar multiplication method
US8548163B2 (en) 2005-11-03 2013-10-01 Certicom Corp. Simultaneous scalar multiplication method
US7835517B2 (en) * 2006-01-16 2010-11-16 Sony Corporation Encryption processing apparatus, encryption processing method, and computer program
US8208626B2 (en) 2006-08-04 2012-06-26 Samsung Electronics Co., Ltd. Apparatus for performing a fault detection operation and method thereof

Also Published As

Publication number Publication date
US20030026419A1 (en) 2003-02-06
JP3820909B2 (ja) 2006-09-13
US7177422B2 (en) 2007-02-13

Similar Documents

Publication Publication Date Title
US6751318B2 (en) Method and apparatus for digital signature authentication
US6307935B1 (en) Method and apparatus for fast elliptic encryption with direct embedding
US6876745B1 (en) Method and apparatus for elliptic curve cryptography and recording medium therefore
CN109039640B (zh) 一种基于rsa密码算法的加解密硬件系统及方法
JP4137385B2 (ja) 公開鍵および秘密鍵による暗号化方法
WO1993006672A1 (en) Method and apparatus for public key exchange in a cryptographic system
JP2007187958A (ja) 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
US6480606B1 (en) Elliptic curve encryption method and system
JP3820909B2 (ja) 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
KR20080086476A (ko) 암호 처리 장치, 및 암호 처리 방법, 및 컴퓨터 프로그램
US6959091B1 (en) Cryptography private key storage and recovery method and apparatus
EP3352411B1 (en) Method of generating cryptographic key pairs
US6609141B1 (en) Method of performing modular inversion
KR20080055378A (ko) 타원 곡선 암호 방식에서 공개키를 생성하는 방법 및 상기방법을 수행하는 시스템
US8731187B2 (en) Computing genus-2 curves using general isogenies
JP2003216026A (ja) 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにコンピュータ・プログラム
Gueron et al. Speed records for multi-prime RSA using AVX2 architectures
Sarma et al. Public key cryptosystem based on Pell's equation using the Gnu Mp library
EP2524332B1 (en) Determination of pairings on a curve using aggregated inversions
EP1705560A2 (en) Elliptic curve point octupling for weighted projective coordinates
JP4904981B2 (ja) 公開鍵暗号システム構築方法、暗号演算方法、および情報処理装置、並びにコンピュータ・プログラム
JP2004053814A (ja) 楕円曲線暗号装置及び楕円曲線暗号演算方法
Zitouni et al. Identity-Based Encryption from the Tate pairing on genus two curves
Omondi et al. Modular-Arithmetic Cryptosystems
KR100808953B1 (ko) 모듈러곱셈 방법 및 상기 곱셈방법을 수행할 수 있는스마트카드

Legal Events

Date Code Title Description
A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20051018

A521 Request for written amendment filed

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20051219

TRDD Decision of grant or rejection written
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 20060530

A61 First payment of annual fees (during grant procedure)

Free format text: JAPANESE INTERMEDIATE CODE: A61

Effective date: 20060612

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20090630

Year of fee payment: 3

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100630

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20100630

Year of fee payment: 4

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20110630

Year of fee payment: 5

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20120630

Year of fee payment: 6

FPAY Renewal fee payment (event date is renewal date of database)

Free format text: PAYMENT UNTIL: 20130630

Year of fee payment: 7

LAPS Cancellation because of no payment of annual fees