JP2002358012A

JP2002358012A - 情報セキュリティ装置、べき乗演算装置、べき乗剰余演算装置及び楕円べき倍演算装置

Info

Publication number: JP2002358012A
Application number: JP2002077843A
Authority: JP
Inventors: Takatoshi Ono; 貴敏小野; Natsume Matsuzaki; なつめ松崎; Toshihisa Nakano; 稔久中野
Original assignee: Matsushita Electric Industrial Co Ltd
Current assignee: Panasonic Holdings Corp
Priority date: 2001-03-28
Filing date: 2002-03-20
Publication date: 2002-12-13

Abstract

(57)【要約】【課題】コプロセッサの回路規模もメモリも増大させ
ることなく、スモールウィンドウ法などの高速べき演算
方法を実行できる情報セキュリティ装置を提供する。【解決手段】コプロセッサの外部にべき乗演算を高速
に行うスモールウィンドウ法に必要となる比較的大きな
テーブルを用意し、テーブルの値からの選択とコプロセ
ッサへの転送を、コプロセッサでの多倍長演算と並列し
て行う。演算に用いる多倍長値のための領域をコプロセ
ッサに２バンク用意し、データ転送に一方のバンクを用
いている間、コプロセッサの演算に他方のバンクを用い
る。コプロセッサの演算が終了し次第、バンクを切り替
え、既に転送されている値をコプロセッサでの演算に用
いると同時に、次の演算のためのデータ転送を行う。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、べき乗、べき乗剰
余、楕円べき倍による演算を行う情報セキュリテイ技術
に関する。

【０００２】

【従来の技術】近年、コンピュータ技術と通信技術とに
基づくデータ通信が広く普及してきており、このデータ
通信においては、秘密通信方式又はデジタル署名方式が
用いられるようになってきている。ここで、秘密通信方
式とは、特定の通信相手以外に通信内容を漏らすことな
く通信を行なう方式である。またデジタル署名方式と
は、通信相手に通信内容の正当性を示したり、発信者の
身元を証明する通信方式である。

【０００３】これらの秘密通信方式又はデジタル署名方
式においては、公開鍵暗号方式とよばれる暗号方式が用
いられる。公開鍵暗号方式は通信相手が多数のとき、通
信相手ごとに異なる暗号鍵を容易に管理するための方式
であり、多数の通信相手と通信を行なうのに不可欠な基
盤技術である。公開鍵暗号方式を用いる秘密通信では、
暗号化鍵と復号化鍵とが異なり、復号化鍵は秘密にする
が、暗号化鍵は公開する。

【０００４】（離散対数問題）この公開鍵暗号方式の安
全性の根拠として離散対数問題が用いられる。離散対数
問題には、代表的なものとして、有限体上定義されるも
の及び楕円曲線上定義されるものがある。有限体上の離
散対数問題とは、ＧＦを有限体とし、ｂと、ｂのべき乗
であるｙとをＧＦの要素とすると、ｂ^x＝ｙとなる整数ｘが存在するならば、ｘを求めよ、という問
題である。

【０００５】また、楕円曲線上の離散対数問題とは、Ｅ
を有限体ＧＦ上で定義された楕円曲線とし、楕円曲線Ｅ
に含まれる元Ｇをベースポイントとし、このとき、楕円
曲線Ｅに含まれる与えられた元Ｙに対して、Ｙ＝ｘ＊Ｇとなる整数ｘが存在するならば、ｘを求めよ、という問
題である。なお、この明細書において、記号＊は、楕円
曲線に含まれる元を複数回加算する演算を示している。
例えば、ｘ＊Ｇは、次式に示すように、楕円曲線に含ま
れる元Ｇをｘ回加算することを意味する。

【０００６】ｘ＊Ｇ＝Ｇ＋Ｇ＋Ｇ＋・・・＋Ｇ離散対数問題を公開鍵暗号方式の安全性の根拠とするの
は、多くの元を有する有限体ＧＦ（ｐ）に対して、上記
問題の解決は極めて難しいからである。なお、離散対数
問題については、ニイルコブリッツ著 ”アコウス
インナンバアセオリイアンドクリプトグラヒイ”
(Neal Koblitz , " A Course in Number theory and Cr
yptography", Springer-Verlag,1987)に詳しく述べられ
ている。

【０００７】（べき乗演算及び楕円べき倍演算）このよ
うに、公開鍵暗号方式の安全性の根拠として離散対数問
題が用いられる暗号演算においては、べき乗演算、又は
楕円べき倍演算が行われる。べき乗演算、楕円べき倍演
算の演算方法として、D.E.KunuthがThe Art of Compute
r Programming,Vol.2,Seminumerical algorithmsに記載
しているバイナリ法が知られている。

【０００８】またバイナリ法の改良としてF.MorainとJ.
OlivosがTeoretical Informatics and Applications Vo
l.24,No.6に記載している符号つきバイナリ法、及び前
記D.E.Kunuthの著書に記載されているスモールウィンド
ウ法などが知られている。また符号つきバイナリ法を改
良した方法として、特開平７−４９７６９号公報、特開
２０００−３３０４７０号公報が知られている。

【０００９】（バイナリ法）これらの従来技術のうちバ
イナリ法による、べき乗剰余演算方法を例にとり、その
概要を説明する。バイナリ法によるＡ^kの演算において
は、ｎ−１回分の２乗剰余演算と、ｋ_i＝１となる回数
分の乗算剰余演算とによって、べき乗剰余演算結果を得
る。ここで、Ａ^kの演算において、べき値ｋをｋ_n-1 ｋ
_n-2 ・・・ｋ_i ・・・ｋ₁ ｋ₀ （ｎ＞ｉ≧０、ｋ_i は０
または１）のように、２進数により表現する。

【００１０】バイナリ法によると、最初に、最終的にべ
き乗剰余値が格納される変数Ｘに初期値１を代入し、べ
き値ｋを２進表現したときに、どのビットを調べるかを
示すインデックスである変数ｉにｎ−１を代入する。こ
こで、ｎは、べき値ｋを２進表現した時のビットサイズ
である。次に、変数ｉを１ずつ減じながら、変数ｉが０
になるまで（ｉ＝ｎ−１、ｎ−２、・・・、１、０）、
変数ｉの各値について、以下のステップを繰り返す。

【００１１】・Ｘ＝Ｘ²（Ｘの２乗算剰余を演算し、演
算結果をＸに代入する。）・べき値ｋのビット値ｋ_i が１である場合にのみ、Ｘ＝
Ｘ×Ａ（ＸとＡとに乗算剰余演算を施し、演算結果をＸ
に代入する。）上記の繰返しが終了すると、Ａ^kの値が変数Ｘに格納さ
れる。（スモールウィンドウ法）もう一つの従来方法としてス
モールウィンドウ法について、その概要を説明する。

【００１２】スモールウィンドウ法によるＡ^kの演算に
おいては、最初に、バイナリ法と同様に、変数Ｘに初期
値１を代入し、変数ｉにｎ−１を代入する。次に、ウィ
ンドウの幅をＷとするときに、ｍ＝２^W-1 を計算し、Ａ
を元にしてＡ₀、Ａ₁、・・・、Ａ_m-1を含むテーブル
を作成する。ここで、Ａ₀、Ａ₁、・・・、Ａ_m-1は、
次のようにして計算される。

【００１３】Ａ₀＝ＡＡ₁＝Ａ³ ・・・Ａ_m-1＝Ａ^2m-1 次に、べき値ｋの２進表現ｋ_i をｋ’_iに変換する。こ
こで、ｋ_i ＝０又は１であり、ｋ’_iは、０、１、・・
・、ｍ−１である。

【００１４】例えば、べき値ｋの２進表現・・・ｋ_i ｋ
_i-1・・・ｋ₁ ｋ₀ において、３ビットのｋ_t+2、ｋ
_t+1 、ｋ_t という並びがあるとき（ここで、ｋ_t+2、ｋ
_t+1 、ｋ_t は、それぞれ、０又は１である。）、前記３
ビットをまとめてｋ’_t と表現する。例えば、ｋ_t+2 ＝
０、ｋ_t+1 ＝１、ｋ_t ＝１のとき、ｋ’_t ＝［０１１］
＝３と変換する。この例では３ビットでの変換例を示し
たが、実際はウィンドウ幅に従った変換を行う。

【００１５】次に、変数ｉを１ずつ減じながら、変数ｉ
が０になるまで（ｉ＝ｎ−１、ｎ−２、・・・、１、
０）、変数ｉの各値について、以下のステップを繰り返
す。・Ｘ＝Ｘ²（Ｘの２乗算剰余を演算し、演算結果をＸに
代入する。）・べき値ｋのビット値ｋ’_i が０でない場合にのみ、Ｘ
＝Ｘ×Ａｋ’_i（ＸとＡｋ’_iとに乗算剰余演算を施
し、演算結果をＸに代入する。）上記の繰返しが終了すると、Ａ^kの値が変数Ｘに格納さ
れる。

【００１６】このスモールウィンドウ法を用いると、バ
イナリ法を用いたときに比べ乗算剰余演算を行う回数が
削減され、高速に、べき乗剰余演算が行えることが知ら
れている。従来の方法として挙げた他の方法も、べき値
を調べ、その結果により乗算剰余演算、２乗剰余演算を
行うという形は同じであるため説明を省略する。（べき乗剰余演算装置の構成例）以上に述べた従来方法
による、べき乗剰余演算を実現するべき乗剰余演算装置
の構成例を示す。

【００１７】べき乗剰余演算装置は、汎用のマイクロプ
ロセッサであるＣＰＵ、ＲＡＭ及びその他のユニットか
ら構成されている。ＣＰＵは、制御、乗算剰余、及び２
乗算剰余を行い、ＲＡＭは、コンピュータプログラム、
テーブル値、演算値を格納する。前記コンピュータプロ
グラムは、上記に示すバイナリ法又はスモールウィンド
ウ法を実行するためのプログラムであり、ＣＰＵは、前
記コンピュータプログラムに従って動作することによ
り、前記バイナリ法又はスモールウィンドウ法を実行す
る。

【００１８】この構成は非常にシンプルであり、全ての
演算がＣＰＵで行われる。従って構成はシンプルだが、
専用の制御回路、演算回路を設けていないので、専用の
制御回路、演算回路を含むべき乗剰余演算装置と比較す
ると、処理速度は遅くなる。（べき乗剰余演算装置の別の構成例）従来のべき乗剰余
演算装置とは別の構成例を示す。このべき乗剰余演算装
置は、汎用のＣＰＵではなく、いくつかの特定の専用演
算を高速に実行できるコプロセッサのみによってべき乗
剰余演算を行う。べき乗剰余演算装置は、汎用のマイク
ロプロセッサであるＣＰＵ及び専用演算を行うコプロセ
ッサを含んで構成される。

【００１９】ＣＰＵは、演算開始をコプロセッサに通知
する。コプロセッサは、内部の他のユニットを制御する
制御部、べき乗剰余演算を行う演算部、各種テーブル値
を格納するテーブル値格納部、演算結果を格納する演算
値格納部を含む。制御部は、演算部で演算する値をテー
ブル値格納部から選択し転送する。演算部は、制御部が
選択したテーブル値、及び演算値格納部に格納されてい
る値を２乗算剰余演算、乗算剰余演算し、演算結果を演
算値格納部に格納する。

【００２０】このように、コプロセッサは、内部にテー
ブル値、演算値を格納するユニットを含む。これは、コ
プロセッサに含まれる演算部がデータにアクセスする
際、外部のＲＡＭよりコプロセッサ内メモリの方が高速
なアクセスが可能となるためである。以上説明した構成
によって、制御部と演算部が切り分けられ、高速な演算
が可能となる。しかし演算部がアクセスできる領域とし
てテーブル値格納部を持たなくてはならず、大容量のメ
モリがコプロセッサ内部に必要となってくる。また、こ
の構成では、ＣＰＵは演算を開始する通知のみ行い、演
算処理は全てコプロセッサで行われる。従ってコプロセ
ッサが演算している間、べき乗剰余演算にＣＰＵが関与
することはない。

【００２１】（べき乗剰余演算装置の別の構成例）従来
のべき乗剰余演算装置のさらに別の構成例を示す。この
べき乗剰余演算装置は、汎用のマイクロプロセッサであ
るＣＰＵと専用演算を行うコプロセッサとを備え、コプ
ロセッサは、制御部、２個の演算部、テーブル値を格納
するテーブル値格納部、及び演算値を格納する演算値格
納部を含み、２個の演算部を並列動作させる。

【００２２】制御部は、第１の演算部で演算する値をテ
ーブル値格納部から選択し転送する。第１の演算部は、
制御部が選択したテーブル値、及び演算値格納部に格納
されている値を乗算剰余演算し、演算結果を演算値格納
部に格納する。第２の演算部は、演算値格納部に格納さ
れている値を２乗算剰余演算し、演算結果を演算値格納
部に格納する。

【００２３】このように、第１の演算部及び第２の演算
部が独立に並列動作することによって、前述したべき乗
剰余演算装置よりも高速な演算実行が可能となる。また
この構成でも、前述したべき乗剰余演算装置と同様にＣ
ＰＵは演算を開始する通知のみ行い、演算処理は全てコ
プロで行われる。従ってコプロが演算している間、べき
乗剰余演算にＣＰＵが関与することはない。しかし演算
部を二つ持つことにより、コプロセッサの回路規模が大
きくなる。

【００２４】

【発明が解決しようとする課題】これらの技術を見てみ
ると、ＣＰＵのみによる構成でべき乗剰余を計算する場
合、乗算剰余演算において所要の実行速度が得られず、
その結果、べき乗剰余演算の実行が低速になるという課
題がある。前記課題を解決するために、コプロセッサに
よる乗算剰余演算を実行する構成をとる場合、コプロセ
ッサがアクセスできるメモリが増大するという課題があ
る。コプロセッサ内のメモリの増大という課題を解決す
るためには、大量のテーブルを用いるスモールウィンド
ウ法によるべき乗剰余演算を行わずに、少量のメモリで
実行可能なバイナリ法を行う必要がある。その結果べき
乗剰余演算の実行がそれほど高速にできないという課題
がある。

【００２５】また一方、コプロセッサを二つ並べて並列
動作させることによって、高速なべき乗剰余演算を行う
場合、コプロセッサの回路規模が２倍となるという課題
がある。そこで本発明はかかる問題点に鑑みてなされた
ものであり、コプロセッサの回路規模もメモリも増大さ
せることなく、スモールウィンドウ法などの高速べき演
算方法を実行できる情報セキュリティ装置、べき乗演算
装置、べき乗剰余演算装置、楕円べき倍演算装置、方
法、コンピュータプログラム、コンピュータプログラム
を記録している記録媒体を提供することを目的とする。

【００２６】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、群上の離散対数問題を解くことが計算量
の上で困難であることを根拠として、べき演算ｋ＆Ａを
演算することにより所定の情報を安全かつ確実に扱う情
報セキュリティ装置であって、初期化手段、演算手段、
格納手段、繰返制御手段及び交換手段を含み、前記群
は、所定の集合と前記集合の元を用いる２項演算とから
なり、前記べき演算ｋ＆Ａは、前記群の単位元に対して
前記群の元Ａを用いた２項演算をｋ回繰り返す演算であ
り、前記離散対数問題は、群の元Ｙ＝ｋ＆Ａとなるよう
な元ｋが存在するなら、元ｋを求める問題であり、前記
初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ初期値と
して前記群の単位元を格納し、前記繰返制御手段は、２
進数表現する場合における元ｋのビット数分だけ、前記
演算手段、前記格納手段及び前記交換手段に対して、演
算と格納と交換とからなるステップを繰り返し実行する
よう制御することにより、べき演算ｋ＆Ａを演算し、べ
き演算ｋ＆Ａの演算結果は、前記繰返しの最後に変数Ｘ
に格納され、前記演算手段は、変数Ｘと同一変数Ｘとを
用いた２項演算を行い、その演算結果と変数Ｂ₂ に格納
されている被演算値としての値とを用いた２項演算を行
って、その演算結果を変数Ｘに格納し、前記格納手段
は、前記演算手段による前記演算処理が行われる時間帯
において、並行して、次のステップにおいて前記演算手
段で用いられる被演算値を選択し、選択した被演算値を
変数Ｂ₁へ格納し、前記交換手段は、前記演算手段によ
る演算処理及び前記格納手段による格納が終了すると、
変数Ｂ₂の値と変数Ｂ₁の値とを入れ換えることを特徴
とする。

【００２７】ここで、前記格納手段は、１個又は所定値
より小さい複数個の候補値を記憶している候補値記憶部
と、元ｋを２進数表現する場合におけるビット列の一部
分を用いて、前記候補値から１個の候補値を、次のステ
ップにおいて前記演算手段で用いられる被演算値として
選択する選択部と、前記演算手段による前記演算処理が
行われる時間帯において、並行して、選択した被演算値
を、変数Ｂ₁へ格納するデータ格納部とを含むように構
成してもよい。

【００２８】ここで、前記候補値記憶部が記憶している
各候補値は、所定値より小さい数ｈを用いるべき演算ｈ
＆Ａの演算結果であるように構成してもよい。ここで、
前記繰返制御手段は、元ｋを２進数表現する場合におけ
るビット列の上位側から下位側へ向かって、演算と格納
と交換とからなるステップを繰り返し実行するよう制御
するように構成してもよい。

【００２９】ここで、前記選択部は、元ｋを２進数表現
する場合におけるビット列の一部分が特定のビット列パ
ターンである場合に、被演算値の選択を抑制し、前記デ
ータ格納部は、前記選択部により被演算値の選択が抑制
された場合、選択した被演算値の変数Ｂ₁への格納を抑
制し、前記演算手段は、前記データ格納部により被演算
値の変数Ｂ₁への格納が抑制される場合に、次のステッ
プにおいて、変数Ｘと同一変数Ｘとを用いた２項演算を
行い、その演算結果と単位元とを用いた２項演算を行っ
て、その演算結果を変数Ｘに格納するように構成しても
よい。

【００３０】ここで、前記情報セキュリティ装置は、汎
用プロセッサと、専用プロセッサと、第１メモリと、バ
スと、ＤＭＡ制御部とから構成されるコンピュータシス
テムであり、前記汎用プロセッサ、前記専用プロセッ
サ、前記メモリ及び前記ＤＭＡ制御部は、前記バスを介
して相互に接続されており、前記第１メモリは、コンピ
ュータプログラム、元ｋ、元Ａ、被演算値を記憶するた
めの領域を含み、専用プロセッサは、その内部に、変数
Ｘ、変数Ｂ₁ 、変数Ｂ₂ を記憶するための第２メモリと
前記演算手段と前記交換手段とを備え、前記初期化手段
は、コンピュータプログラムに従って、汎用プロセッサ
が動作することにより、バスを介して、専用プロセッサ
内部の変数Ｘ、及び変数Ｂ₂ を初期化し、前記繰返制御
手段は、コンピュータプログラムに従って、汎用プロセ
ッサが動作することにより、ステップを繰り返すように
制御し、前記格納手段は、前記ＤＭＡ制御部が汎用プロ
セッサの指示により、第１メモリに記憶されている被演
算値をバスを介して、専用プロセッサ内部の変数Ｂ₁ へ
転送するように構成してもよい。

【００３１】ここで、前記繰返制御手段は、元ｋを２進
数表現する場合におけるビット列の上位側の上位ビット
列について、前記上位ビット列のビット数分だけ、前記
演算手段、前記格納手段及び前記交換手段に対して、演
算と格納と交換とからなるステップを繰り返し実行する
よう制御し、べき演算を演算し、前記情報セキュリティ
装置は、さらに、バイナリ法演算部と２項演算部とを含
み、前記バイナリ法演算部は、コンピュータプログラム
に従って、汎用プロセッサが動作することにより、前記
ビット列の下位側の下位ビット列について、バイナリ法
を用いて、前記下位ビット列の下位側から上位側に向か
って、べき演算を演算し、演算結果は、変数Ｚに格納さ
れ、変数Ｚは、前記第１メモリに確保され、前記２項演
算部は、コンピュータプログラムに従って、汎用プロセ
ッサが動作することにより、変数Ｘと変数Ｚとに対して
２項演算を施して、べき演算ｋ＆Ａの演算結果を得るよ
うに構成してもよい。

【００３２】ここで、前記群は、楕円曲線であり、前記
単位元は、楕円曲線上の無限遠点である零元であり、前
記べき演算ｋ＆Ａは、楕円曲線上の乗算ｋ×Ａであり、
前記２項演算は、楕円曲線上の加算であり、前記離散対
数問題は、楕円曲線の元Ｙ＝ｋ×Ａとなるような元ｋが
存在するなら、元ｋを求める問題であり、前記初期化手
段は、変数Ｘ及び変数Ｂ₂ にそれぞれ楕円曲線上の零元
を格納し、前記繰返制御手段は、前記ステップを繰り返
し実行するよう制御することにより、楕円曲線上の乗算
ｋ×Ａを演算し、乗算ｋ×Ａの演算結果は、前記繰返し
の最後に変数Ｘに格納され、前記演算手段は、変数Ｘと
同一変数Ｘとの楕円曲線上の加算を行い、その演算結果
と変数Ｂ₂ に格納されている値との楕円曲線上の加算を
行って、その演算結果を変数Ｘに格納するように構成し
てもよい。

【００３３】ここで、前記群は、剰余体であり、前記単
位元は、整数１であり、前記べき演算ｋ＆Ａは、剰余体
上のべき乗算Ａ^kであり、前記２項演算は、剰余体上の
乗算であり、前記離散対数問題は、剰余体の元Ｙ＝Ａ^k
となるような元ｋが存在するなら、元ｋを求める問題で
あり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞ
れ整数１を格納し、前記繰返制御手段は、前記ステップ
を繰り返し実行するよう制御することにより、剰余体上
のべき乗算Ａ^kを演算し、べき乗算Ａ^kの演算結果は、
前記繰返しの最後に変数Ｘに格納され、前記演算手段
は、変数Ｘと同一変数Ｘとの剰余体上の乗算を行い、そ
の演算結果と変数Ｂ₂ に格納されている値との剰余体上
の乗算を行って、その演算結果を変数Ｘに格納するよう
に構成してもよい。

【００３４】ここで、前記群は、自然数であり、前記単
位元は、整数１であり、前記べき演算ｋ＆Ａは、自然数
上のべき乗算Ａ^kであり、前記２項演算は、自然数上の
乗算であり、前記離散対数問題は、自然数の元Ｙ＝Ａ^k
となるような元ｋが存在するなら、元ｋを求める問題で
あり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞ
れ整数１を格納し、前記繰返制御手段は、前記ステップ
を繰り返し実行するよう制御することにより、自然数上
のべき乗算Ａ^kを演算し、べき乗算Ａ^kの演算結果は、
前記繰返しの最後に変数Ｘに格納され、前記演算手段
は、変数Ｘと同一変数Ｘとの自然数上の乗算を行い、そ
の演算結果と変数Ｂ₂ に格納されている値との自然数上
の乗算を行って、その演算結果を変数Ｘに格納するよう
に構成してもよい。

【００３５】ここで、前記情報セキュリィ装置は、べき
演算ｋ＆Ａを演算することにより所定の情報を暗号化又
は復号するように構成してもよい。ここで、前記情報セ
キュリィ装置は、べき演算ｋ＆Ａを演算することにより
所定の情報にデジタル署名を施し、又は署名を検証する
ように構成してもよい。ここで、前記情報セキュリィ装
置は、べき演算ｋ＆Ａを演算することにより所定の情報
を用いて、他の装置との間で同一の鍵を安全に共有する
ように構成してもよい。

【００３６】

【発明の実施の形態】１．第１の実施の形態本発明の１の実施の形態としてのデジタル署名システム
１について説明する。１．１デジタル署名システム１の構成楕円曲線上の離散対数問題を安全性の根拠として応用し
たＤＳＡ署名を行うデジタル署名システム１は、図１に
示すように、ユーザＡ装置１０、管理センタ装置２０及
びユーザＢ装置３０から構成されている。ユーザＡ装置
１０、管理センタ装置２０及びユーザＢ装置３０は、そ
れぞれインターネット２を介して接続されている。

【００３７】管理センタ装置２０は、あらかじめユーザ
Ａ装置１０の秘密鍵を記憶しており、秘密鍵を用いて公
開鍵を生成し、生成した公開鍵をユーザＢ装置３０に対
して公開する。ユーザＡ装置１０は、ユーザＢ装置３０
へメッセージをインターネット２を介して送信する。こ
のとき、ユーザＡ装置１０は、メッセージと秘密鍵とを
用いて署名文を生成し、生成した署名文をインターネッ
ト２を介してユーザＢ装置３０へ送信する。ユーザＢ装
置３０は、ユーザＡ装置１０からメッセージと署名文と
受信し、受信したメッセージと署名文と公開鍵とを用い
て、メッセージが確かにユーザＡ装置１０から送信され
たものであるか否かを判断する。

【００３８】（１）管理センタ装置２０管理センタ装置２０は、図１に示すように、情報記憶部
２１、公開鍵生成部２２及び送受信部２３から構成され
ている。公開鍵生成部２２は、べき倍演算部２４を含ん
でいる。（情報記憶部２１）この明細書において、ｐを素数、有
限体ＧＦ（ｐ）上の楕円曲線をＥとする。楕円曲線Ｅの
ベースポイントをＧとし、楕円曲線Ｅの位数をｑとす
る。つまり、ｑは、ｑ＊Ｇ＝０を満たす最小の正整数である。

【００３９】なお、ｘ座標、ｙ座標ともに∞である
（∞、∞）を無限遠点といい、０で表す。この０は、楕
円曲線を群とみたときに、加算における「零元」の役割
を果たす。情報記憶部２１は、予めユーザＡから通知さ
れているユーザＡの秘密鍵ｘ_Aと、素数ｐ、楕円曲線Ｅ
のパラメタ、ベースポイントＧ及び位数ｑを記憶してい
る。

【００４０】（公開鍵生成部２２）公開鍵生成部２２
は、情報記憶部２１から秘密鍵ｘ_A、素数ｐ、楕円曲線
Ｅのパラメタ、ベースポイントＧ及び位数ｑを読み出
す。公開鍵生成部２２に含まれるべき倍演算部２４は、
次式に従って、秘密鍵ｘ_Aを用いて、ユーザＡの公開鍵
Ｙ_A を生成する。

【００４１】Ｙ_A＝ｘ_A ＊Ｇここで、この演算は、有限体ＧＦ（ｐ）上の楕円曲線Ｅ
上のべき倍算である。次に、公開鍵生成部２２は、生成
した公開鍵Ｙ_A を送受信部２３へ出力する。（送受信部
２３）送受信部２３は、素数ｐ、楕円曲線Ｅのパラメ
タ、ベースポイントＧ及び位数ｑを情報記憶部２１から
読み出し、読み出した素数ｐ、楕円曲線Ｅのパラメタ、
ベースポイントＧ及び位数ｑを、インターネット２を介
して、ユーザＡ装置１０及びユーザＢ装置３０へ送信す
る。これによって、管理センタ装置２０は、素数ｐ、楕
円曲線Ｅのパラメタ、ベースポイントＧ及び位数ｑを公
開する。

【００４２】また、送受信部２３は、公開鍵生成部２２
から公開鍵Ｙ_A を受け取り、受け取った公開鍵Ｙ_A を、
インターネット２を介して、ユーザＢ装置３０へ送信す
る。（２）ユーザＡ装置１０の構成ユーザＡ装置１０は、図１に示すように、メッセージ記
憶部１１、署名部１２及び送受信部１３から構成されて
いる。署名部１２は、べき倍演算部１４を含む。

【００４３】（メッセージ記憶部１１）メッセージ記憶
部１１は、あらかじめユーザＢ装置３０へ送信するメッ
セージｍ_e を記憶している。（署名部１２）署名部１２は、送受信部１３から素数
ｐ、楕円曲線Ｅのパラメタ、ベースポイントＧ及び位数
ｑを受け取る。

【００４４】次に、署名部１２は、メッセージ記憶部１
１からメッセージｍ_e を読み出す。また、乱数ｒ₀を生
成する。次に、署名部１２は、Ｒ₁ ＝（ｒ_X ，ｒ_Y ）＝ｒ₀＊Ｇを計算する。ここで、この演算は、有限体ＧＦ（ｐ）上
の楕円曲線Ｅ上のべき倍算である。

【００４５】次に、署名部１２は、ｓ×ｒ₀＝ｍ_e ＋ｒ_X ×ｘ_A （ｍｏｄｑ）から、ｓを計算する。次に、署名部１２は、計算したＲ
₁ とｓとを送受信部１３へ出力する。（送受信部１３）送受信部１３は、管理センタ装置２０
から素数ｐ、楕円曲線Ｅのパラメタ、ベースポイントＧ
及び位数ｑを受け取り、受け取った素数ｐ、楕円曲線Ｅ
のパラメタ、ベースポイントＧ及び位数ｑを署名部１２
へ出力する。

【００４６】また、送受信部１３は、署名部１２からＲ
₁ とｓとを受け取る。また、送受信部１３は、メッセー
ジ記憶部１１からメッセージｍ_e を読み出す。次に、送
受信部１３は、署名文としての（Ｒ₁ 、ｓ）と、メッセ
ージｍ_e とを、インターネット２を介して、ユーザＢ装
置３０へ出力する。（３）ユーザＢ装置３０の構成ユーザＢ装置３０は、図１に示すように、メッセージ記
憶部３１、検証部３２及び送受信部３３から構成されて
いる。検証部３２は、べき倍演算部３４を含む。

【００４７】（メッセージ記憶部３１）メッセージ記憶
部３１は、メッセージｍ_e を記憶するための領域を有し
ている。（送受信部３３）送受信部３３は、インターネット２を
介して、管理センタ装置２０から素数ｐ、楕円曲線Ｅの
パラメタ、ベースポイントＧ、位数ｑ及び公開鍵Ｙ_Aを
受け取り、受け取った素数ｐ、楕円曲線Ｅのパラメタ、
ベースポイントＧ、位数ｑ及び公開鍵Ｙ_Aを検証部３２
へ出力する。

【００４８】また、送受信部３３は、インターネット２
を介して、ユーザＡ装置１０から署名文（Ｒ₁ 、ｓ）と
メッセージｍ_e とを受信し、受信したメッセージｍ_e を
メッセージ記憶部３１に書き込み、受信した署名文（Ｒ
₁ 、ｓ）を検証部３０ｄへ出力する。（検証部３２）検証部３２は、送受信部３３から素数
ｐ、楕円曲線Ｅのパラメタ、ベースポイントＧ、位数ｑ
及び公開鍵Ｙ_Aを受け取る。また、送受信部３３から署
名文（Ｒ ₁ 、ｓ）を受け取る。

【００４９】次に、検証部３２は、ｓ＊Ｒ₁ ＝ｍ_e ＊Ｇ＋ｒ_X ＊Ｙ_A が成立するかどうか判定する。ここで、この演算は、有
限体ＧＦ（ｐ）上の楕円曲線Ｅ上のべき倍算を含んでい
る。べき倍演算部３４が、このべき倍算を演算する。

【００５０】成立する場合には、メッセージｍ_e の送信
者は、ユーザＡ装置１０であると確認できる。成立しな
い場合には、メッセージｍ_e の送信者は、ユーザＡ装置
１０であると確認できない。これは、ｓ＊Ｒ₁ ＝｛（（ｍ_e ＋ｒ_X ×ｘ_A ）／ｒ₀ ）×ｒ₀ ｝＊Ｇ＝（ｍ_e ＋ｒ_X ×ｘ_A ）＊Ｇ＝ｍ_e ＊Ｇ＋（ｒ_X ×ｘ_A ）＊Ｇ＝ｍ_e ＊Ｇ＋ｒ_X ＊Ｙ_A となることから、明らかである。

【００５１】１．２デジタル署名システム１の動作デジタル署名システム１の動作について、図２に示すフ
ローチャートを用いて説明する。管理センタ装置２０の
公開鍵生成部２２に含まれるべき倍演算部２４は、秘密
鍵ｘ_Aを用いて、ユーザＡの公開鍵Ｙ_A を生成し（ステ
ップＳ１０１）、送受信部２３が、素数ｐ、楕円曲線Ｅ
のパラメタ、ベースポイントＧ及び位数ｑを、インター
ネット２を介して、ユーザＡ装置１０及びユーザＢ装置
３０へ送信することにより、管理センタ装置２０は、素
数ｐ、楕円曲線Ｅのパラメタ、ベースポイントＧ及び位
数ｑを公開し（ステップＳ１０２）、また、送受信部２
３は、公開鍵Ｙ_A を、インターネット２を介して、ユー
ザＢ装置３０へ送信することにより、公開鍵Ｙ_A を公開
する（ステップＳ１０３）。

【００５２】次に、ユーザＡ装置１０の署名部１２は、
乱数ｒ₀を生成し（ステップＳ１０４）、Ｒ₁ ＝（ｒ
_X ，ｒ_Y ）＝ｒ₀＊Ｇを計算し（ステップＳ１０５）、
ｓ×ｒ ₀＝ｍ_e ＋ｒ_X ×ｘ_A （ｍｏｄｑ）から、ｓ
を計算し（ステップＳ１０６）、次に、送受信部１３
は、署名文（Ｒ₁ 、ｓ）と、メッセージｍ_e とを、イン
ターネット２を介して、ユーザＢ装置３０へ出力する
（ステップＳ１０７）。

【００５３】次に、ユーザＢ装置３０の送受信部３３
は、インターネット２を介して、ユーザＡ装置１０から
署名文（Ｒ₁ 、ｓ）とメッセージｍ_e とを受信し（ステ
ップＳ１０７）、次に、検証部３２は、ｓ＊Ｒ₁ ＝ｍ_e
＊Ｇ＋ｒ_X ＊Ｙ_A が成立するかどうか判定することによ
り、メッセージｍ_e の送信者は、ユーザＡ装置１０であ
るか否かを確認する（ステップＳ１０８）。

【００５４】１．３ユーザＡ装置１０の詳細の構成次に、ユーザＡ装置１０の詳細の構成について、特に、
べき倍演算部１４の詳細の構成について説明する。な
お、ここでは、べき倍演算部１４は、べき倍演算ｋ＊Ａ
を演算し、その結果を変数Ｘに代入するものとして、説
明する。

【００５５】また、管理センタ装置２０のべき倍演算部
２４及びユーザＢ装置３０のべき倍演算部３４の構成に
ついては、べき倍演算部１４と同様であるので、説明を
省略する。ユーザＡ装置１０は、図３に示すように、Ｃ
ＰＵ１０１、ＲＡＭ１０２、表示部１０３、入力部１０
４、送受信部１０５、ＤＭＡ制御部１０６、コプロセッ
サ４０、データバス１１１及びアドレスバス１１２から
構成されており、ＣＰＵ１０１、ＲＡＭ１０２、表示部
１０３、入力部１０４、送受信部１０５、ＤＭＡ制御部
１０６及びコプロセッサ４０は、データバス１１１及び
アドレスバス１１２を介して接続されている。

【００５６】また、コプロセッサ４０は、制御部４０
１、メモリ部４０２、ＲＡＭ４０３、演算部４０４、デ
ータバス４１１及びアドレスバス４１２から構成されて
おり、制御部４０１、メモリ部４０２、ＲＡＭ４０３及
び演算部４０４は、データバス４１１及びアドレスバス
４１２を介して接続されている。また、制御部４０１、
メモリ部４０２及びＲＡＭ４０３は、それぞれ、データ
バス１１１及びアドレスバス１１２に接続されている。

【００５７】べき倍演算部１４は、ＣＰＵ１０１、ＲＡ
Ｍ１０２、ＤＭＡ制御部１０６、コプロセッサ４０、デ
ータバス１１１及びアドレスバス１１２から構成されて
いる。ＣＰＵ１０１及びコプロセッサ４０がコンピュー
タプログラムに従って動作することにより、べき倍演算
部１４は、その機能を達成する。（１）ＲＡＭ１０２ＲＡＭ１０２は、読み書きが可能な半導体メモリから構
成されている。

【００５８】ＲＡＭ１０２は、べき倍演算Ｘ＝ｋ＊Ａに
おけるべき倍値ｋ及び演算値Ａをあらかじめ記憶してい
る。一例として、べき倍値ｋは、１６０ビット長であ
り、演算値Ａは、４８０ビット長である。演算値Ａが４
８０ビット長であるのは、通常、楕円曲線上の演算を効
率化するため、演算値Ａにおいて、３次元拡張された座
標系を用いるためである。

【００５９】また、ＲＡＭ１０２は、ＣＰＵ１０１によ
りその上に領域が確保されて使用される。（２）ＣＰＵ１０１ＣＰＵ１０１は、汎用的なマイクロプロセッサであり、
ＲＡＭ１０２に記憶されているコンピュータプログラム
に従って動作する。

【００６０】以下において、前記コンピュータプログラ
ムに従うＣＰＵ１０１の動作について説明する。ＣＰＵ
１０１は、べき倍演算ｋ＊Ａの最初において、次に示す
初期化処理・〜・を実行する。・ＣＰＵ１０１は、データバス１１１及びアドレスバス
１１２を介して、コプロセッサ４０に対して、初期化指
示を出力する。

【００６１】・ＣＰＵ１０１は、変数ｉに値ｎ−１を代
入する。変数ｉは、べき倍演算ｋ＊Ａにおける繰り返し
を制御するためのインデックスである。変数ｉを記憶す
るための領域は、ＲＡＭ１０２上に確保される。なお、
変数ｉを記憶するための領域は、ＣＰＵ１０１が有する
１個のレジスタ上に確保するとしてもよい。また、値ｎ
は、べき倍値ｋを記憶するための領域の長さを示すビッ
ト数である。

【００６２】また、変数ｋ_n+1、ｋ_n、ｋ_-1、ｋ_-2に０
の値を代入する。・ＣＰＵ１０１は、ＲＡＭ１０２上に変数Ａ₀、Ａ₁、
・・・、Ａ_m-1を記憶するための領域を確保する。ここ
で、変数Ａ₀、Ａ₁、Ａ₂、・・・、Ａ_m-1のサイズ
は、それぞれ、４８０ビット長である。ここで、ウィン
ドウの幅をＷとするときに、ＣＰＵ１０１は、ｍ＝２
^W-1 を計算し、３＊Ａ、５＊Ａ、・・・、（２ｍ−１）
＊Ａを計算する。次に、ＣＰＵ１０１は、Ａ、３＊Ａ、
５＊Ａ、・・・、（２ｍ−１）＊Ａを、それぞれ、ＲＡ
Ｍ１０２上の領域に確保された変数Ａ₀、Ａ₁、Ａ₂、
・・・、Ａ_m-1に代入する。

【００６３】次に、ＣＰＵ１０１は、変数ｉがｎ−１か
ら０になるまで、変数ｉを１ずつ減じながら、以下のス
テップ・〜・を繰り返す。・ＣＰＵ１０１は、ｋ_iをｋ’_i に変換する。なお、こ
の変換については、後述する。ここで、従来技術におい
て説明したように、ｋ_i は、べき値ｋを２進表現したと
きの、ｋの下位からｉビットめの値であり、ｋ’_i は、
ｋ_i を複数個まとめたものである。すなわち、ｋ_i は、
０又は１の値をとり、ｋ’_iは、０、１、・・・、ｍ−
１のうちのいずれかの値をとる。なお、ウィンドウの幅
をＷとするときに、ｍ＝２^W-1 である。

【００６４】・ＣＰＵ１０１は、データバス１１１及び
アドレスバス１１２を介して、ＤＭＡ転送指示をＤＭＡ
制御部１０６へ出力する。・ＣＰＵ１０１は、データバス１１１及びアドレスバス
１１２を介して、演算指示をコプロセッサ４０へ出力す
る。・ＣＰＵ１０１は、データバス１１１及びアドレスバス
１１２を介して、演算完了をコプロセッサ４０から受け
取る。

【００６５】上記の繰り返しが終了すると、ＣＰＵ１０
１は、ＲＡＭ４０３上に記憶されている変数Ｘをべき倍
演算ｋ＊Ａの演算結果として読み出し、読み出した演算
結果をＲＡＭ１０２の所定の領域に書き込む。（３）ＤＭＡ制御部１０６ＤＭＡ制御部１０６は、ＣＰＵ１０１からデータバス１
１１及びアドレスバス１１２を介して、ＤＭＡ転送指示
を受け取る。

【００６６】ＣＰＵ１０１からＤＭＡ転送指示を受け取
ると、ＤＭＡ制御部１０６は、ＲＡＭ１０２に記憶され
ているＡｋ’_iを、データバス１１１及びアドレスバス
１１２を介して転送することにより、コプロセッサ４０
のメモリ部４０２内の変数Ｂ ₁ に設定する。Ｂ₁ ＝Ａｋ’_i ただし、ｋ’_i＝０のときには、Ｂ₁ ＝０と設定する。

【００６７】変数Ｂ₁ への設定が完了すると、ＤＭＡ制
御部１０６は、転送完了を示す情報をコプロセッサ４０
へ出力する。（４）ＲＡＭ４０３ＲＡＭ４０３は、読み書きが可能な半導体メモリから構
成されている。ＲＡＭ４０３は、変数Ｘを記憶するため
の領域を備えている。前記領域のサイズは、４８０ビッ
ト長である。

【００６８】（５）制御部４０１制御部４０１は、ＣＰＵ１０１から初期化指示及び演算
指示を受け取る。また、ＤＭＡ制御部１０６から転送完
了を受け取る。初期化指示を受け取ると、制御部４０１
は、ＲＡＭ４０３に確保されている変数Ｘに０を設定
し、メモリ部４０２に確保されている変数Ｂ₂ に０を設
定する。

【００６９】演算指示を受け取ると、制御部４０１は、
演算部４０４に対して演算指示を出力する。また、演算
部４０４から演算完了を受け取る。演算完了及び転送完
了を受け取ると、制御部４０１は、メモリ部４０２に対
してメモリの切換の指示を出力し、次に、演算完了を示
す情報をＣＰＵ１０１へ出力する。

【００７０】（６）メモリ部４０２メモリ部４０２は、第１メモリ領域４０２ａと第２メモ
リ領域４０２ｂとから構成される。第１メモリ領域４０
２ａは、データバス１１１及びアドレスバス１１２、又
はデータバス４１１及びアドレスバス４１２のいずれか
一方に接続される。また、第２メモリ領域４０２ｂは、
データバス１１１及びアドレスバス１１２、又はデータ
バス４１１及びアドレスバス４１２のいずれか一方に接
続される。

【００７１】第１メモリ領域４０２ａが、データバス１
１１及びアドレスバス１１２に接続されている場合に、
第２メモリ領域４０２ｂは、データバス４１１及びアド
レスバス４１２に接続されている。この状態を第１接続
状態と呼ぶ。また、第１メモリ領域４０２ａが、データ
バス４１１及びアドレスバス４１２に接続されている場
合に、第２メモリ領域４０２ｂは、データバス１１１及
びアドレスバス１１２に接続されている。この状態を第
２接続状態と呼ぶ。

【００７２】メモリ部４０２は、制御部４０１からメモ
リの切換の指示を受け取る。制御部４０１からメモリの
切換の指示を受け取ると、第１接続状態にあるときは、
メモリ部４０２は、第２接続状態に切り換える。また、
第２接続状態にあるときは、メモリ部４０２は、第１接
続状態に切り換える。第１メモリ領域４０２ａ内の所定
のアドレスにより示される変数領域に、前述した変数Ａ
₀、Ａ₁、Ａ₂、・・・、Ａ_m-1のいずれかが格納され
る。また、第２メモリ領域４０２ｂ内の前記所定のアド
レスと同じアドレスにより示される変数領域に、前述し
た変数Ａ₀、Ａ₁、Ａ₂、・・・、Ａ_m-1のいずれかが
格納される。

【００７３】第１接続状態又は第２接続状態において、
データバス１１１及びアドレスバス１１２に接続される
側のメモリ領域内の変数領域に確保される変数を変数Ｂ
₁ と呼び、データバス４１１及びアドレスバス４１２に
接続される側のメモリ領域内の変数領域に確保される変
数を変数Ｂ₂ と呼ぶ。（７）演算部４０４演算部４０４は、制御部４０１から演算指示を受け取
る。

【００７４】演算指示を受け取ると、演算部４０４は、
ＲＡＭ４０３から変数Ｘを読み出し、２＊Ｘを演算し、
その演算結果をＲＡＭ４０３の変数Ｘに上書きする。次
に、演算部４０４は、ＲＡＭ４０３から変数Ｘを読み出
し、Ｘ＋Ｂ₂ を演算し、その演算結果をＲＡＭ４０３の
変数Ｘに上書きする。上記の演算が完了すると、演算部
４０４は、制御部４０１に対して演算完了を出力する。

【００７５】１．４ユーザＡ装置１０の詳細の動作次に、ユーザＡ装置１０の詳細の動作について、特に、
べき倍演算部１４の詳細の動作について、図４及び図５
に示すフローチャートを用いて説明する。なお、図４に
示すフローチャートは、べき倍演算部１４を構成する要
素毎の動作を示すものであり、図５に示すフローチャー
トは、べき倍演算部１４全体の動作を示すものである。

【００７６】ＣＰＵ１０１は、データバス１１１及びア
ドレスバス１１２を介して、コプロセッサ４０に対し
て、初期化指示を出力する（ステップＳ２０１）。初期
化指示を受け取ると、制御部４０１は、ＲＡＭ４０３に
確保されている変数Ｘに０を設定し、メモリ部４０２に
確保されている変数Ｂ₂ に０を設定する（ステップＳ２
０２）。

【００７７】ＣＰＵ１０１は、変数ｉに値ｎ−１を代入
し、変数ｋ_n+1、ｋ_n、ｋ_-1、ｋ_-2に０の値を代入する
（ステップＳ２０３）。次に、ＣＰＵ１０１は、ＲＡＭ
１０２上に変数Ａ₀、Ａ₁、・・・、Ａ_m-1を記憶する
ための領域を確保し、ｍ＝２ ^W-1 を計算し、３＊Ａ、５
＊Ａ、・・・、（２ｍ−１）＊Ａを計算し、Ａ、３＊
Ａ、５＊Ａ、・・・、（２ｍ−１）＊Ａを、それぞれ、
ＲＡＭ１０２上の領域に確保された変数Ａ₀、Ａ₁、Ａ
₂、・・・、Ａ_m-1に代入する（ステップＳ２０４）。

【００７８】次に、ＣＰＵ１０１は、データバス１１１
及びアドレスバス１１２を介して、演算指示をコプロセ
ッサ４０へ出力する（ステップＳ２０８）。次に、ＣＰ
Ｕ１０１は、変数ｉが０以上であるか否かを判断し、変
数ｉが０以上であると判断する場合には（ステップＳ２
０５）、ｋ_iをｋ’_iに変換し（ステップＳ２０６）、
データバス１１１及びアドレスバス１１２を介して、Ｄ
ＭＡ転送指示をＤＭＡ制御部１０６へ出力する（ステッ
プＳ２０７）。

【００７９】ＣＰＵ１０１からＤＭＡ転送指示を受け取
ると（ステップＳ２０７）、ＤＭＡ制御部１０６は、Ｒ
ＡＭ１０２に記憶されているＡｋ’ _i を、データバス
１１１及びアドレスバス１１２を介して転送することに
より、コプロセッサ４０のメモリ部４０２内の変数Ｂ₁
に設定する。ただし、ｋ’_i ＝０のときには、Ｂ₁ ＝０
と設定する（ステップＳ２０９）。変数Ｂ₁ への設定が
完了すると、ＤＭＡ制御部１０６は、転送完了を示す情
報をコプロセッサ４０の制御部４０１へ出力する（ステ
ップＳ２１２）。

【００８０】演算指示を受け取ると（ステップＳ２０
８）、制御部４０１は、演算部４０４に対して演算指示
を出力し（ステップＳ２２１）、演算部４０４は、Ｘ＝
２＊Ｘを演算し（ステップＳ２１０）、Ｘ＝Ｘ＋Ｂ₂ を
演算し（ステップＳ２１１）、上記の演算が完了する
と、制御部４０１に対して演算完了を出力する（ステッ
プＳ２２２）。

【００８１】演算完了及び転送完了を受け取ると（ステ
ップＳ２１２及びステップＳ２２２）、制御部４０１
は、メモリ部４０２に対してメモリの切換の指示を出力
し、次に、メモリ部４０２は、第１接続状態にあるとき
は、第２接続状態に切り換え、また、第２接続状態にあ
るときは、第１接続状態に切り換える（ステップＳ２１
３）。次に、制御部４０１は、演算完了を示す情報をＣ
ＰＵ１０１へ出力する（ステップＳ２１４）。

【００８２】次に、ＣＰＵ１０１は、変数ｉから１の値
を減じ（ステップＳ２１５）、次に、ステップＳ２０５
へ戻って処理を繰り返す。次に、変数ｉが０より小さい
と判断する場合には（ステップＳ２０５）、ＣＰＵ１０
１は、演算完了を受け取ると（ステップＳ２１４）、Ｒ
ＡＭ４０３上に記憶されている変数Ｘをべき倍演算ｋ＊
Ａの演算結果として読み出し、読み出した演算結果をＲ
ＡＭ１０２の所定の領域に書き込み（ステップＳ２１
６）、倍演算ｋ＊Ａの演算を終了する。

【００８３】次に、上記ステップＳ２０６に示すｋ_iを
ｋ’_iに変換する動作の詳細について、図６に示すフロ
ーチャートを用いて説明する。ここで、ｋ＝［ｋ_n-1ｋ
_n-2・・・ｋ₁ｋ₀］をｋ’＝［ｋ’_n-1ｋ’_n-2・・
・ｋ’₁ｋ’₀］に変換するもとのする。また、まとめ
るビット数を３としている。

【００８４】なお、ｋ_n-1、ｋ_n-2、・・・、ｋ₁及び
ｋ₀ は、それぞれ、０又は１であり、ｋ＝２^n-1×ｋ
_n-1＋２^n-2×ｋ_n-2 ＋・・・＋２¹×ｋ₁ ＋ｋ₀であ
る。また、ｋ’_n-1、ｋ’_n-2、・・・、ｋ’₁及び
ｋ’₀ は、それぞれ、０、１、３、７である。ｋ_i+2
＝１である場合（ステップＳ４０１）、ＣＰＵ１０１
は、ｋ’_i＝４×ｋ_i+2＋２×ｋ_i+1＋ｋ_iを算出し
（ステップＳ４０２）、変換処理を終了する。

【００８５】ｋ_i+2＝１でない場合（ステップＳ４０
１）、［ｋ_i+2ｋ_i+1ｋ_iｋ_i-1］＝［０１１０］であ
るなら（ステップＳ４０３）、ＣＰＵ１０１は、ｋ’_i
＝３とし（ステップＳ４０４）、変換処理を終了する。
ｋ_i+2＝１でない場合（ステップＳ４０１）、［ｋ_i+2
ｋ_i+1ｋ_iｋ_i-1］＝［０１１０］でなく（ステップＳ
４０３）、［ｋ_i+2ｋ_i+1ｋ_iｋ_i-1ｋ_i-2 ］＝［００
１００］であるなら（ステップＳ４０５）、ＣＰＵ１０
１は、ｋ’_i＝１とし（ステップＳ４０６）、変換処理
を終了する。

【００８６】ｋ_i+2＝１でない場合（ステップＳ４０
１）、［ｋ_i+2ｋ_i+1ｋ_iｋ_i-1］＝［０１１０］でな
く（ステップＳ４０３）、［ｋ_i+2ｋ_i+1ｋ_iｋ_i-1ｋ
_i-2 ］＝［００１００］でないなら（ステップＳ４０
５）、ＣＰＵ１０１は、ｋ’_i＝０とし（ステップＳ４
０７）、変換処理を終了する。１．５べき倍演算部１４による演算の評価従来のべき倍演算装置によると、図７に示すように、Ｃ
ＰＵは、被演算値をコプロセッサが有するメモリ領域へ
転送し（Ｃ０１）、その後、コプロセッサは、ｋ_iを
ｋ’_iへ変換し（Ｃ１１）、楕円曲線の加算演算を行う
（Ｃ１２）。以降、ｋ’_iへの変換と、楕円曲線の加算
演算とを繰り返す。

【００８７】一方、本発明のべき倍演算部１４による
と、図８に示すように、ＣＰＵ１は、ｋ_iをｋ’_iへ変
換し（Ｃ３１）、ＤＭＡ制御部１０６は、被演算値をコ
プロセッサ４０が有するメモリ領域の変数Ｂ₁ へ転送す
る（Ｃ３２）。その後、ＣＰＵ１は、ｋ_iをｋ’_iへ変
換し（Ｃ３３）、ＤＭＡ制御部１０６は、被演算値をコ
プロセッサ４０が有するメモリ領域の変数Ｂ₁ へ転送す
る（Ｃ３４）と同時に、コプロセッサ４０は、メモリ領
域の変数Ｂ₂ を用いて楕円曲線の加算演算を行う（Ｃ４
１）。

【００８８】以降、ＤＭＡ制御部１０６による被演算値
のメモリ領域の変数Ｂ₁ への転送と、コプロセッサ４０
による、メモリ領域の変数Ｂ₂ を用いた楕円曲線の加算
演算が並行して行われる。このように、被演算値のメモ
リ領域の変数Ｂ₁ への転送と、メモリ領域の変数Ｂ₂ を
用いた楕円曲線の加算演算が並行して行われるので、本
発明のべき倍演算部１４によると、従来技術のべき倍演
算装置と比較して、トータルの演算時間が短縮できる。

【００８９】２．第２の実施の形態本発明の別の実施の形態としての鍵共有システム１ｂに
ついて説明する。２．１鍵共有システム１ｂの構成有限体上の離散対数問題を安全性の根拠として応用した
鍵共有システム３は、図９に示すように、ユーザＡ装置
１０ｂとユーザＢ装置３０ｂとから構成されている。ユ
ーザＡ装置１０ｂ及びユーザＢ装置３０ｂは、それぞれ
インターネット２を介して接続されている。

【００９０】ユーザＡ装置１０ｂ及びユーザＢ装置３０
ｂは、それぞれの秘密鍵を記憶しており、それぞれの秘
密鍵を用いてそれぞれの公開鍵を生成し、生成した公開
鍵をそれぞれ相手の装置へ送信する。次に、ユーザＡ装
置１０ｂ及びユーザＢ装置３０ｂは、それぞれの公開鍵
を用いて、ユーザＡ装置１０ｂ及びユーザＢ装置３０ｂ
の１個の共有鍵を生成する。

【００９１】このようにして生成した共有鍵を用いて、
ユーザＡ装置１０ｂ及びユーザＢ装置３０ｂの間でメッ
セージの秘密通信を行う。（１）ユーザＡ装置１０ｂの構成ユーザＡ装置１０ｂは、図９に示すように、鍵生成部１
１ｂ、送受信部１２ｂ、鍵記憶部１３ｂ、暗号部１４ｂ
及びメッセージ記憶部１５ｂから構成されている。

【００９２】（鍵記憶部１３ｂ）鍵記憶部１３ｂは、予
めユーザＡ装置１０ｂの秘密鍵Ｘ_Aを記憶している。ま
た、ユーザＡ装置１０ｂの公開鍵Ｙ_Aを記憶する領域
と、ユーザＡ装置１０ｂ及びユーザＢ装置３０ｂの共有
鍵Ｆを記憶する領域とを備えている。（鍵生成部１１ｂ）鍵生成部１１ｂは、べき乗剰余演算
部１６ｂを含んでいる。

【００９３】鍵生成部１１ｂは、鍵記憶部１３ｂから秘
密鍵Ｘ_Aを読み出し、読み出した秘密鍵Ｘ_Aを用いて、
次式により公開鍵Ｙ_Aを生成する。公開鍵Ｙ_A＝α＊＊Ｘ_A ｍｏｄｐここで、α、ｐは、それぞれ所定の整数である。また、
演算子＊＊は、べき乗を示す。例えば、Ａ＊＊ｋは、Ａ
^kを示す。

【００９４】なお、上式の演算は、べき乗剰余演算部１
６ｂが行う。次に、鍵生成部１１ｂは、生成した公開鍵
Ｙ_Aを送受信部１２ｂ及びインターネット２を介して、
ユーザＢ装置３０ｂへ送信する。また、鍵生成部１１ｂ
は、ユーザＢ装置３０ｂから、インターネット及び送受
信部１２ｂを介して、公開鍵Ｙ_Bを受信し、受信した公
開鍵Ｙ_Bを用いて、次式により共有鍵Ｆを生成する。

【００９５】共有鍵Ｆ＝Ｙ_B＊＊Ｘ_A ｍｏｄｐ＝α＊＊（Ｘ_AＸ_B）ｍｏｄｐ（式１）なお、上式の演算は、べき乗剰余演算部１６ｂが行う。
次に、生成した共有鍵Ｆを鍵記憶部１３ｂに書き込む。（メッセージ記憶部１５ｂ）メッセージ記憶部１５ｂ
は、ユーザＢ装置３０ｂへ送信するメッセージを記憶し
ている。

【００９６】（暗号部１４ｂ）暗号部１４ｂは、メッセ
ージ記憶部１５ｂからメッセージを読み出し、鍵記憶部
１３ｂから共有鍵Ｆを読み出す。次に、暗号部１４ｂ
は、共有鍵Ｆを鍵として用いて、メッセージに暗号化ア
ルゴリズムを施して暗号化メッセージを生成し、生成し
た暗号化メッセージを送受信部１２ｂ、及びインターネ
ット２を介して、ユーザＢ装置３０ｂへ送信する。

【００９７】（２）ユーザＢ装置３０ｂの構成ユーザＢ装置３０ｂは、図９に示すように、送受信部３
１ｂ、鍵生成部３２ｂ、復号部３３ｂ、鍵記憶部３４ｂ
及びメッセージ記憶部３５ｂから構成されている。（鍵記憶部３４ｂ）鍵記憶部３４ｂは、予めユーザＢ装
置３０ｂの秘密鍵Ｘ_Bを記憶している。また、ユーザＢ
装置３０ｂの公開鍵Ｙ_Bを記憶する領域と、ユーザＡ装
置１０ｂ及びユーザＢ装置３０ｂの共有鍵Ｆを記憶する
領域とを備えている。

【００９８】（鍵生成部３２ｂ）鍵生成部３２ｂは、べ
き乗剰余演算部３６ｂを含んでいる。鍵生成部３２ｂ
は、鍵記憶部３４ｂから秘密鍵Ｘ_Bを読み出し、読み出
した秘密鍵Ｘ_Bを用いて、次式により公開鍵Ｙ_Bを生成
する。公開鍵Ｙ_B＝α＊＊Ｘ_B ｍｏｄｐここで、α、ｐは、それぞれ所定の整数である。また、
演算子＊＊は、べき乗を示す。

【００９９】なお、上式の演算は、べき乗剰余演算部３
６ｂが行う。次に、鍵生成部３２ｂは、生成した公開鍵
Ｙ_Bを送受信部３１ｂ及びインターネット２を介して、
ユーザＡ装置１０ｂへ送信する。また、鍵生成部３２ｂ
は、ユーザＡ装置１０ｂから、インターネット２及び送
受信部３１ｂを介して、公開鍵Ｙ_Aを受信し、受信した
公開鍵Ｙ_Aを用いて、次式により共有鍵Ｆを生成する。

【０１００】共有鍵Ｆ＝Ｙ_A＊＊Ｘ_B ｍｏｄｐ＝α＊＊（Ｘ_AＸ_B）ｍｏｄｐ（式２）なお、上式の演算は、べき乗剰余演算部３６ｂが行う。
ここで、式１と式２とは、一致しているので、鍵生成部
１１ｂと、鍵生成部３２ｂによりそれぞれ生成された共
有鍵Ｆは一致していることは明確である。

【０１０１】次に、生成した共有鍵Ｆを鍵記憶部３４ｂ
に書き込む。（メッセージ記憶部３５ｂ）メッセージ記憶部３５ｂ
は、ユーザＡ装置１０ｂから送信された復号メッセージ
を記憶する領域を備えている。（復号部３３ｂ）復号部３３ｂは、ユーザＡ装置１０ｂ
から、インターネット２及び送受信部３１１ｂを介し
て、暗号化メッセージを受信する。また、復号部３３ｂ
は、鍵記憶部３４ｂから共有鍵Ｆを読み出す。

【０１０２】次に、復号部３３ｂは、共有鍵Ｆを鍵とし
て用いて、暗号化メッセージに復号アルゴリズムを施し
て復号メッセージを生成する。ここで、復号アルゴリズ
ムは、前記暗号化アルゴリズムの逆変換を行うアルゴリ
ズムである。次に、復号部３３ｂは、生成した復号メッ
セージをメッセージ記憶部３５ｂへ書き込む。

【０１０３】２．２鍵共有システム１ｂの動作鍵共有システム１ｂの動作について、図１０に示すフロ
ーチャートを用いて説明する。鍵生成部１１ｂは、鍵記
憶部１３ｂから秘密鍵Ｘ_Aを読み出し、読み出した秘密
鍵Ｘ_Aを用いて、公開鍵Ｙ_Aを生成する。

【０１０４】公開鍵Ｙ_A＝α＊＊Ｘ_A ｍｏｄｐ
（ステップＳ３０１）次に、鍵生成部１１ｂは、生成した公開鍵Ｙ_Aを送受信
部１２ｂ及びインターネット２を介して、ユーザＢ装置
３０ｂへ送信する（ステップＳ３０２）。また、鍵生成
部３２ｂは、鍵記憶部３４ｂから秘密鍵Ｘ_Bを読み出
し、読み出した秘密鍵Ｘ_Bを用いて、次式により公開鍵
Ｙ_Bを生成する。

【０１０５】公開鍵Ｙ_B＝α＊＊Ｘ_B ｍｏｄｐ
（ステップＳ３１１）次に、鍵生成部３２ｂは、生成した公開鍵Ｙ_Bを送受信
部３１ｂ及びインターネット２を介して、ユーザＡ装置
１０ｂへ送信する（ステップＳ３１２）。次に、鍵生成
部１１ｂは、ユーザＢ装置３０ｂから、インターネット
及び送受信部１２ｂを介して、公開鍵Ｙ_Bを受信し、受
信した公開鍵Ｙ_Bを用いて、次式により共有鍵Ｆを生成
する。

【０１０６】共有鍵Ｆ＝Ｙ_B＊＊Ｘ_A ｍｏｄｐ次に、生成した共有鍵Ｆを鍵記憶部１３ｂに書き込む
（ステップＳ３０３）。また、鍵生成部３２ｂは、ユー
ザＡ装置１０ｂから、インターネット２及び送受信部３
１ｂを介して、公開鍵Ｙ_Aを受信し、受信した公開鍵Ｙ
_Aを用いて、次式により共有鍵Ｆを生成する。

【０１０７】共有鍵Ｆ＝Ｙ_A＊＊Ｘ_B ｍｏｄｐ次に、生成した共有鍵Ｆを鍵記憶部３４ｂに書き込む
（ステップＳ３１３）。次に、暗号部１４ｂは、メッセ
ージ記憶部１５ｂからメッセージを読み出し、鍵記憶部
１３ｂから共有鍵Ｆを読み出し、共有鍵Ｆを鍵として用
いて、メッセージに暗号化アルゴリズムを施して暗号化
メッセージを生成し（ステップＳ３０４）、生成した暗
号化メッセージを送受信部１２ｂ、及びインターネット
２を介して、ユーザＢ装置３０ｂへ送信する（ステップ
Ｓ３０５）。

【０１０８】次に、復号部３３ｂは、ユーザＡ装置１０
ｂから、インターネット２及び送受信部３１１ｂを介し
て、暗号化メッセージを受信し、鍵記憶部３４ｂから共
有鍵Ｆを読み出し、共有鍵Ｆを鍵として用いて、暗号化
メッセージに復号アルゴリズムを施して復号メッセージ
を生成し、生成した復号メッセージをメッセージ記憶部
３５ｂへ書き込む（ステップＳ３１４）。

【０１０９】２．３ユーザＡ装置１０ｂの詳細の構成次に、ユーザＡ装置１０ｂの詳細の構成について、特
に、べき乗剰余演算部１６ｂの詳細の構成について説明
する。ここでは、べき乗剰余演算部１６ｂは、べき乗剰
余演算Ａ＊＊ｋｍｏｄｐを演算し、その結果を変数
Ｘに代入するものとして、説明する。

【０１１０】また、べき乗剰余演算部１６ｂは、ユーザ
Ａ装置１０のべき倍演算部１４と同様の構成を有してい
る。ここでは、べき倍演算部１４との相違点を中心とし
て説明する。また、べき乗剰余演算部３６ｂは、べき乗
剰余演算部１６ｂと同一の構成を有すので、説明を省略
する。

【０１１１】（ＣＰＵ１０１）ＣＰＵ１０１は、べき乗
剰余演算Ａ＊＊ｋｍｏｄｐの最初において、以下を
実行する。・ＣＰＵ１０１は、Ａ＊＊３、Ａ＊＊５、・
・・、Ａ＊＊（２ｍ−１）ｍｏｄｐを計算する。次
に、ＣＰＵ１０１は、Ａ、Ａ＊＊３、Ａ＊＊５、・・
・、Ａ＊＊（２ｍ−１）ｍｏｄｐを、それぞれ、変
数Ａ₀、Ａ₁、Ａ₂、・・・、Ａ_m-1に代入する。

【０１１２】（ＤＭＡ制御部１０６）ＤＭＡ制御部１０
６は、ｋ’_i ＝０のときには、Ｂ₁ ＝１と設定する。（制御部４０１）初期化指示を受け取ると、制御部４０
１は、ＲＡＭ４０３に確保されている変数Ｘに１を設定
し、メモリ部４０２に確保されている変数Ｂ₂ に１を設
定する。

【０１１３】（演算部４０４）演算指示を受け取ると、
演算部４０４は、ＲＡＭ４０３から変数Ｘを読み出し、
Ｘ＊＊２ｍｏｄｐを演算し、その演算結果をＲＡＭ
４０３の変数Ｘに上書きする。次に、演算部４０４は、
ＲＡＭ４０３から変数Ｘを読み出し、Ｘ×Ｂ₂ｍｏｄ
ｐを演算し、その演算結果をＲＡＭ４０３の変数Ｘに上
書きする。

【０１１４】２．４ユーザＡ装置１０ｂの詳細の動作次に、ユーザＡ装置１０ｂの詳細の動作について、特
に、べき乗剰余演算部１６ｂの詳細の動作について、図
１１に示すフローチャートを用いて説明する。なお、こ
こでは、図５に示すフローチャートとの相違点を中心と
して説明する。

【０１１５】初期化指示を受け取ると、制御部４０１
は、ＲＡＭ４０３に確保されている変数Ｘに０を設定
し、メモリ部４０２に確保されている変数Ｂ₂ に１を設
定する（ステップＳ２０２ｂ）。ＣＰＵ１０１は、ＲＡ
Ｍ１０２上に変数Ａ₀、Ａ₁、・・・、Ａ_m-1を記憶す
るための領域を確保し、ｍ＝２^W-1 を計算し、Ａ＊＊
３、Ａ＊＊５、・・・、Ａ＊＊（２ｍ−１）ｍｏｄ
ｐを計算し、Ａ、Ａ＊＊３、Ａ＊＊５、・・・、Ａ＊＊
（２ｍ−１）ｍｏｄｐを、それぞれ、ＲＡＭ１０２
上の領域に確保された変数Ａ₀、Ａ₁、Ａ₂、・・・、
Ａ_m-1に代入する（ステップＳ２０４ｂ）。

【０１１６】ＤＭＡ制御部１０６は、ＲＡＭ１０２に記
憶されているＡｋ’_i を、データバス１１１及びアド
レスバス１１２を介して転送することにより、コプロセ
ッサ４０のメモリ部４０２内の変数Ｂ₁ に設定する。た
だし、ｋ’_i ＝０のときには、Ｂ₁ ＝１と設定する（ス
テップＳ２０９ｂ）。演算部４０４は、Ｘ＝Ｘ＊＊２
ｍｏｄｐを演算し（ステップＳ２１０ｂ）、Ｘ＝Ｘ×
Ｂ₂ ｍｏｄｐを演算する（ステップＳ２１１ｂ）。

【０１１７】３．まとめ以上説明したように、上記の実施の形態によると、コプ
ロセッサの外部に、スモールウィンドウ法に必要となる
比較的大きなテーブルを用意し、このテーブル内のデー
タの選択とコプロセッサへの転送を、コプロセッサでの
演算と並列して行う。またＣＰＵとコプロセッサの間の
データ転送をネックにしないために、演算のための領域
をコプロセッサに２バンク用意する。

【０１１８】すなわち本発明のべき乗剰余演算装置は、
予め定められた正の整数ｐ、ｋ、およびｐ未満の正の整
数Ａに対して、Ａ^kｍｏｄｐを求めるべき乗剰余演算
装置であって、正の整数Ａ、ｐを元に計算された一つ、
あるいは複数の被演算値候補を保持する被演算値候補記
憶部と、被演算値を保持する第１の被演算値保持部と第
２の被演算値保持部と、べき乗剰余演算の中間値を保持
する中間値保持部と、中間値を初期値に設定する中間値
初期設定部と、正の整数ｋを上位から走査し、整数ｋの
ある部分的なビットパターンに対応して、被演算値候補
記憶部から対応する値を選択してこれを被演算値とする
被演算値選択部と、前記被演算値選択部の選択した被演
算値を、前記被演算値候補記憶部から読み取り、前記第
１の被演算値保持部、もしくは前記第２の被演算値保持
部のいずれかに転送する被演算値転送部と、前記被演算
値転送部が転送先として使用していない前記第１の被演
算値保持部、もしくは第２の被演算値保持部から被演算
値を読み取り、さらに前記中間値保持部から中間値を読
み取り、整数ｐを用いて所定の中間値演算を実施した結
果を再び中間値保持部に書き込む中間値更新部と、前記
被演算値転送部の使用する被演算値保持部と、前記中間
値更新部が使用する被演算値保持部を交替させる被演算
値交替部と、前記中間値更新部が中間値を演算している
のと並列に、前記演算値選択部、前記被演算値転送部が
次の中間値演算のための被演算値を転送するよう制御す
る並列処理制御部と、正の整数ｋに対する演算を全て終
了した後、前記中間値保持部の保持している値を演算結
果として出力する演算結果出力部とを備えたことを特徴
とする。

【０１１９】この構成により、大量のテーブルは、被演
算値選択部、被演算値転送部がアクセスできれば良く、
コプロセッサにより実現される中間値更新部は、第１の
被演算値保持部、第２の被演算値保持部、中間値保持部
のみの小容量メモリだけアクセスできれば良い。以上の
ように本発明によれば、コプロセッサがアクセスできる
領域を少なくしながら、高速なべき乗演算方式が実現で
きる。またコプロセッサ側に演算値格納部を２バンク設
け、それを切り替えることによってＣＰＵとコプロセッ
サの間のデータ転送を乗算等の演算と並列に実行するこ
とができる。このことによって高速なべき乗演算方式が
実現できる。

【０１２０】また、安全向上のために、演算のビット幅
を増加したときも、コプロセッサ側で必要となるデータ
量は、中間値保持部、被演算値保持部が、そのビット幅
だけ増加するだけで、テーブル部分の増加は、CPU側で
カバーできる。これらの効果によりべき乗剰余演算速度
を高速に実行でき、回路規模の小さなコプロセッサが実
現できる。

【０１２１】４．その他の変形例なお、本発明を上記の実施の形態に基づいて説明してき
たが、本発明は、上記の実施の形態に限定されないのは
もちろんである。以下のような場合も本発明に含まれ
る。（１）ユーザＡ装置１０ｂのべき乗剰余演算部１６ｂに
おいて、べき乗剰余演算を行う代わりに、剰余を伴わな
いべき乗演算を行うとしてもよい。

【０１２２】剰余を伴わないべき乗演算を行う場合につ
いて、以下において説明する。なお、ここでは、図１１
に示すフローチャートとの相違点を中心として、図１２
に示すフローチャートを用いて説明する。ＣＰＵ１０１
は、ＲＡＭ１０２上に変数Ａ₀、Ａ₁、・・・、Ａ_m-1
を記憶するための領域を確保し、ｍ＝２^W-1 を計算し、
Ａ＊＊３、Ａ＊＊５、・・・、Ａ＊＊（２ｍ−１）を計
算し、Ａ、Ａ＊＊３、Ａ＊＊５、・・・、Ａ＊＊（２ｍ
−１）を、それぞれ、ＲＡＭ１０２上の領域に確保され
た変数Ａ₀、Ａ₁、Ａ₂、・・・、Ａ_m-1に代入する
（ステップＳ２０４ｃ）。

【０１２３】演算部４０４は、Ｘ＝Ｘ＊＊２を演算し
（ステップＳ２１０ｃ）、Ｘ＝Ｘ×Ｂ ₂ を演算する（ス
テップＳ２１１ｃ）。（２）上記の実施の形態では、例えば、Ａ^kを計算する
場合に、ｋの上位桁から順に下位桁へ向かって演算を行
うようにしているが、次に示すように、上位桁から順に
下位桁へ向かって上記の実施の形態に示すようにして演
算を行い、並行して、下位桁から上位桁へ向かってＣＰ
Ｕ１０１のみにより演算を行うようにしてもよい。以下
に詳細を示す。

【０１２４】ここで、ｋ＝［ｋ_n-1ｋ_n-2ｋ_n-3・・・
ｋ₀］（ｋ_n-1、ｋ_n-2、ｋ_n-3、・・・、ｋ₀は、そ
れぞれ、０又は１）とする。ｋを上位の（ｎ−ｘ）桁と
下位のｘ桁に分割し、上位の（ｎ−ｘ）桁とｘ個の０と
からなるｋ_H を生成し、（ｎ−ｘ）個の０と、下位のｘ
桁とからなるｋ_L を生成する。ｋ_H とｋ_L とは次に示す
ように表現される。

【０１２５】ｋ_H ＝［ｋ_n-1ｋ_n-2ｋ_n-3・・・ｋ_x００・・・０］ｋ_L ＝［００・・・・・・・・・０ｋ_x-1・・・ｋ₀］Ａ＊＊ｋ_H を上記の実施の形態に示すように算出する。
一方、Ａ＊＊ｋ_L をＣＰＵ１０１の空き時間において、
ＣＰＵ１０１により算出する。最後に、ＣＰＵ１０１に
よりＡ＊＊ｋ＝Ａ＊＊ｋ_H ×Ａ＊＊ｋ_L を算出する。

【０１２６】また、最初から分割をせずに、上位と下位
とから並行して、上記の実施の形態に示す演算と、ＣＰ
Ｕ１０１のみによる演算とを並行して行い、同じビット
位置の処理に到達した時点で最終計算を行うようにして
もよい。詳細について、図１３及び図１４に示すフロー
チャートを用いて説明する。ＣＰＵ１０１は、データバ
ス１１１及びアドレスバス１１２を介して、コプロセッ
サ４０に対して、初期化指示を出力する（ステップＳ２
０１）。

【０１２７】初期化指示を受け取ると、制御部４０１
は、ＲＡＭ４０３に確保されている変数Ｘに１を設定
し、メモリ部４０２に確保されている変数Ｂ₂ に１を設
定する（ステップＳ２０２ｄ）。ＣＰＵ１０１は、変数
ｉに値ｎ−１を代入し、変数ｋ_n+1、ｋ_n、ｋ_-1、ｋ_-2
に０の値を代入し（ステップＳ２０３）、変数Ｙに１の
値を代入し、変数ＣにＡを代入し、変数ｊに０を代入す
る（ステップＳ３０１）。次に、ＣＰＵ１０１は、ＲＡ
Ｍ１０２上に変数Ａ₀、Ａ₁、Ａ₂、Ａ₃、・・・、Ａ
_m-1を記憶するための領域を確保し、ｍ＝２^W-1 を計算
し、Ａ＊＊３、Ａ＊＊５、・・・、Ａ＊＊（２ｍ−１）
を計算し、Ａ、Ａ＊＊３、Ａ＊＊５、・・・、Ａ＊＊
（２ｍ−１）を、それぞれ、ＲＡＭ１０２上の領域に確
保された変数Ａ₀、Ａ₁、Ａ₂、Ａ₃、・・・、Ａ_m-1
に代入する（ステップＳ２０４ｃ）。

【０１２８】次に、ＣＰＵ１０１は、データバス１１１
及びアドレスバス１１２を介して、演算指示をコプロセ
ッサ４０へ出力する（ステップＳ２０８）。次に、ＣＰ
Ｕ１０１は、変数ｉが変数ｊ以上であるか否かを判断
し、変数ｉが変数ｊ以上であると判断する場合には（ス
テップＳ２０５ｄ）、ｋ_iをｋ’_iに変換し（ステップ
Ｓ２０６）、データバス１１１及びアドレスバス１１２
を介して、ＤＭＡ転送指示をＤＭＡ制御部１０６へ出力
する（ステップＳ２０７）。

【０１２９】ＣＰＵ１０１からＤＭＡ転送指示を受け取
ると（ステップＳ２０７）、ＤＭＡ制御部１０６は、Ｒ
ＡＭ１０２に記憶されているＡｋ’ _iを、データバス
１１１及びアドレスバス１１２を介して転送することに
より、コプロセッサ４０のメモリ部４０２内の変数Ｂ₁
に設定する（ステップＳ２０９ｄ）。変数Ｂ₁ への設定
が完了すると、ＤＭＡ制御部１０６は、転送完了を示す
情報をコプロセッサ４０の制御部４０１へ出力する（ス
テップＳ２１２）。

【０１３０】演算指示を受け取ると（ステップＳ２０
８）、制御部４０１は、演算部４０４に対して演算指示
を出力し（ステップＳ２２１）、演算部４０４は、Ｘ＝
Ｘ＊＊２を演算し（ステップＳ２１０ｄ）、Ｘ＝Ｘ×Ｂ
₂ を演算し（ステップＳ２１１ｄ）、上記の演算が完了
すると、制御部４０１に対して演算完了を出力する（ス
テップＳ２２２）。

【０１３１】演算完了及び転送完了を受け取ると（ステ
ップＳ２１２及びステップＳ２２２）、制御部４０１
は、メモリ部４０２に対してメモリの切換の指示を出力
し、次に、メモリ部４０２は、第１接続状態にあるとき
は、第２接続状態に切り換え、また、第２接続状態にあ
るときは、第１接続状態に切り換える（ステップＳ２１
３）。次に、制御部４０１は、演算完了を示す情報をＣ
ＰＵ１０１へ出力する（ステップＳ２１４）。

【０１３２】次に、ＣＰＵ１０１は、変数ｉから１の値
を減じ（ステップＳ２１５）、次に、ステップＳ２０５
ｄへ戻って処理を繰り返す。また、変数ｉが変数ｊ以上
であると判断する場合には（ステップＳ２０５ｄ）、Ｃ
ＰＵ１０１は、変数Ｃ＝Ｃ＊＊２を算出し（ステップＳ
３１１）、ｋ_j＝１であるなら（ステップＳ３１２）、
Ｙ＝Ｙ×Ｃを算出する（ステップＳ３１３）。ＣＰＵ１
０１は、変数ｊに１の値を加算し（ステップＳ３１
４）、ステップＳ２０５ｄに戻る。

【０１３３】次に、変数ｉが変数ｊより小さいと判断す
る場合には（ステップＳ２０５ｄ）、ＣＰＵ１０１は、
ＲＡＭ４０３上に記憶されている変数Ｘを読み出して、
変数Ｚに代入し（ステップＳ３２１）、変数ｉが０以上
であるなら（ステップＳ３２２）、Ｚ＝Ｚ＊＊２を算出
し（ステップＳ３２３）、変数ｉから１の値を減じ（ス
テップＳ３２４）、次に、ステップＳ３２２へ戻って処
理を繰り返す。

【０１３４】次に、変数ｉが０より小さい場合には（ス
テップＳ３２２）、ＣＰＵ１は、演算完了を受け取ると
（ステップＳ２１４）、Ｚ＝Ｚ×Ｙを算出し（ステップ
Ｓ３２５）、次に、Ｚをべき倍演算ｋ＊Ａの演算結果と
してＲＡＭ１０２の所定の領域に書き込み（ステップＳ
３２６）、倍演算ｋ＊Ａの演算を終了する。（３）上記のデジタル署名システム１では、ＣＰＵ１０
１は、３＊Ａ、５＊Ａ、・・・、（２ｍ−１）＊Ａを計
算するとしているが、これらの３＊Ａ、５＊Ａ、・・
・、（２ｍ−１）＊Ａは、予め計算されてＲＡＭ１０２
上に記憶されているとしていもよい。鍵共有システム１
ｂにおいても同様である。

【０１３５】（４）楕円べき倍演算及びべき乗剰余演算
は、次に示すような暗号技術を応用した秘密通信システ
ム、認証システム、又は鍵交換システムに適用すること
ができる。例えば、秘密通信システムは、メッセージを
他人に知られないように、伝達する。

【０１３６】認証システムは、メッセージが自称どおり
の人物により送られてきたこと、及びそのメッセージが
改竄されなかったことを検証し、データ又は施設へのア
クセス権を持つことを証明し、自分が主張どおりの人物
であることを証明し、または何かに同意したのに同意し
ていないと主張する者に対抗して否認を防止する。鍵交
換システムは、秘密鍵暗号システムで使用するための秘
密鍵を、他人に知られないように、交換する。

【０１３７】これらのシステムにおいては、有限体上の
離散対数問題、又は楕円曲線上の離散対数問題を安全性
の根拠としている。（５）上記の実施の形態において、図５のフローチャー
トに示すように、ｋ_iのｋ’_i への変換を行った後で、
コプロセッサによる演算とＤＭＡ転送とを並列して行う
としているが、コプロセッサによる演算とＤＭＡ転送と
を並列して行った後で、ｋ_iのｋ’_i への変換を行うと
してもよい。

【０１３８】また、上記の実施の形態では、１ビットず
つ検査してゆく構成としたが、スモールウィンドウ法で
は０となるビットが複数連続するパターンが出てくる。
従ってそのようなパターン時には複数のビットをとば
し、その数だけ２乗算剰余を行う構成でも良い。また、
上記の実施の形態では、被演算値のＤＭＡ転送を必ず行
う構成としたが、変換されたべき値の値によっては転送
を行わず、その際には乗算剰余も行わない構成としても
良い。

【０１３９】また、上記の実施の形態では、スモールウ
ィンドウ法を用いた例を示したが、バイナリ法、くし型
法などの演算方法を用いても良い。（６）デジタル署名システム１において、次に示すよう
に構成してもよい。ＣＰＵ１０１において、図６に示す
ｋ_iからｋ’_iへの変換プロセスにおいて、変換により
生成されるｋ’_iにより特定されるＡｋ’_iが０である
ことが、ｋを構成する一部分のビット列を用いて判定で
きる場合において、具体的には、図６のフローチャート
に示すステップＳ４０５の判断において、Ｎｏの場合
に、ＣＰＵ１０１は、ＤＭＡ制御部１０６に対して、Ｄ
ＭＡ転送指示を出力せず、繰り返しの次のステップにお
いて、コプロセッサ４０に対して、Ｘ＝２＊Ｘ（ステッ
プＳ２１０）と、Ｘ＝Ｘ＋Ｂ₂（ステップＳ２１０）の
演算を行うように指示する代わりに、Ｘ＝２＊ＸとＸ＝
Ｘ＋０との演算を行うように指示し、コプロセッサ４０
は、前記指示を受け取ると、Ｘ＝２＊Ｘと、Ｘ＝Ｘ＋０
との演算を行うようにしてもよい。

【０１４０】なお、鍵共有システム１ｂにおいても同様
である。（７）これまでの説明では、ＣＰＵ、ＲＡＭ、ＤＭＡ、
コプロセッサを用いた構成について説明してきたが、同
様の機能を持つものであればどのようなものを用いても
良い。例えばＲＡＭの代わりにＨＤを用いたり、コプロ
セッサの代わりにハードウェアアクセラレータを用いて
も良い。

【０１４１】（８）コプロセッサの外部にべき乗演算を
高速に行うスモールウィンドウ法に必要となる比較的大
きなテーブルを用意する。そしてテーブルの値からの選
択とコプロセッサへの転送を、コプロセッサでの多倍長
演算と並列して行う。またＣＰＵとコプロセッサの間の
データ転送をネックとしないために、演算に用いる多倍
長値のための領域をコプロセッサに２バンク用意する。
そしてデータ転送に一方のバンクを用いている間、コプ
ロセッサの演算に他方のバンクを用いる。コプロセッサ
の演算が終了し次第、バンクを切り替え、既に転送され
ている値をコプロセッサでの演算に用いると同時に、次
の演算のためのデータ転送を行う。

【０１４２】（９）上記において説明した自然数体上の
べき乗演算Ａ^k 、有限体上のべき乗剰余演算Ａ^k 及び楕
円曲線上のべき倍演算ｋ＊Ａの上位の概念として、群上
のべき演算ｋ＆Ａを定義することができる。また、有限
体上のべき乗演算は、剰余体上のべき乗剰余演算の一種
である。自然数体上のべき乗演算Ａ^k 及び剰余体上のべ
き乗剰余演算Ａ^k は、それぞれ、単位元「１」×Ａから
なる乗算を、ｋ回繰り返す演算である。また、楕円曲線
上のべき倍演算ｋ＊Ａは、単位元である零元「０」＋Ａ
からなる加算を、ｋ回繰り返す演算である。これらの乗
算及び加算の上位概念は、２項演算である。

【０１４３】（１０）本発明は、上記に示す方法である
としてもよい。また、これらの方法をコンピュータによ
り実現するコンピュータプログラムであるとしてもよい
し、前記コンピュータプログラムからなるデジタル信号
であるとしてもよい。また、本発明は、前記コンピュー
タプログラム又は前記デジタル信号をコンピュータ読み
取り可能な記録媒体、例えば、フレキシブルディスク、
ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ
−ＲＯＭ、ＤＶＤ−ＲＡＭ、半導体メモリなど、に記録
したものとしてもよい。また、これらの記録媒体に記録
されている前記コンピュータプログラム又は前記デジタ
ル信号であるとしてもよい。

【０１４４】また、本発明は、前記コンピュータプログ
ラム又は前記デジタル信号を、電気通信回線、無線又は
有線通信回線、インターネットを代表とするネットワー
ク等を経由して伝送するものとしてもよい。また、本発
明は、マイクロプロセッサとメモリとを備えたコンピュ
ータシステムであって、前記メモリは、上記コンピュー
タプログラムを記憶しており、前記マイクロプロセッサ
は、前記コンピュータプログラムに従って動作するとし
てもよい。

【０１４５】また、前記プログラム又は前記デジタル信
号を前記記録媒体に記録して移送することにより、又は
前記プログラム又は前記デジタル信号を前記ネットワー
ク等を経由して移送することにより、独立した他のコン
ピュータシステムにより実施するとしてもよい。（１１）上記実施の形態及び上記変形例をそれぞれ組み
合わせるとしてもよい。

【０１４６】

【発明の効果】上記目的を達成するために、本発明は、
群上の離散対数問題を解くことが計算量の上で困難であ
ることを根拠として、べき演算ｋ＆Ａを演算することに
より所定の情報を安全かつ確実に扱う情報セキュリティ
装置であって、初期化手段、演算手段、格納手段、繰返
制御手段及び交換手段を含み、前記群は、所定の集合と
前記集合の元を用いる２項演算とからなり、前記べき演
算ｋ＆Ａは、前記群の単位元に対して前記群の元Ａを用
いた２項演算をｋ回繰り返す演算であり、前記離散対数
問題は、群の元Ｙ＝ｋ＆Ａとなるような元ｋが存在する
なら、元ｋを求める問題であり、前記初期化手段は、変
数Ｘ及び変数Ｂ₂ にそれぞれ初期値として前記群の単位
元を格納し、前記繰返制御手段は、２進数表現する場合
における元ｋのビット数分だけ、前記演算手段、前記格
納手段及び前記交換手段に対して、演算と格納と交換と
からなるステップを繰り返し実行するよう制御すること
により、べき演算ｋ＆Ａを演算し、べき演算ｋ＆Ａの演
算結果は、前記繰返しの最後に変数Ｘに格納され、前記
演算手段は、変数Ｘと同一変数Ｘとを用いた２項演算を
行い、その演算結果と変数Ｂ₂ に格納されている被演算
値としての値とを用いた２項演算を行って、その演算結
果を変数Ｘに格納し、前記格納手段は、前記演算手段に
よる前記演算処理が行われる時間帯において、並行し
て、次のステップにおいて前記演算手段で用いられる被
演算値を選択し、選択した被演算値を変数Ｂ₁へ格納
し、前記交換手段は、前記演算手段による演算処理及び
前記格納手段による格納が終了すると、変数Ｂ₂の値と
変数Ｂ₁の値とを入れ換える。

【０１４７】この構成によると、高速なべき演算方法を
実行しながら、演算手段による２項演算と、格納手段に
よる次のステップの演算手段において用いられる被演算
値の格納とを並行して行うことができる。これにより、
より高速のべき演算が実現できる。ここで、前記格納手
段は、１個又は所定値より小さい複数個の候補値を記憶
している候補値記憶部と、元ｋを２進数表現する場合に
おけるビット列の一部分を用いて、前記候補値から１個
の候補値を、次のステップにおいて前記演算手段で用い
られる被演算値として選択する選択部と、前記演算手段
による前記演算処理が行われる時間帯において、並行し
て、選択した被演算値を、変数Ｂ₁へ格納するデータ格
納部とを含む。また、前記繰返制御手段は、元ｋを２進
数表現する場合におけるビット列の上位側から下位側へ
向かって、演算と格納と交換とからなるステップを繰り
返し実行するよう制御する。また、前記選択部は、元ｋ
を２進数表現する場合におけるビット列の一部分が特定
のビット列パターンである場合に、被演算値の選択を抑
制し、前記データ格納部は、前記選択部により被演算値
の選択が抑制された場合、選択した被演算値の変数Ｂ₁
への格納を抑制し、前記演算手段は、前記データ格納部
により被演算値の変数Ｂ₁への格納が抑制される場合
に、次のステップにおいて、変数Ｘと同一変数Ｘとを用
いた２項演算を行い、その演算結果と単位元とを用いた
２項演算を行って、その演算結果を変数Ｘに格納する。

【０１４８】この構成によると、コプロセッサがアクセ
スできる領域を少なくしながら、ＣＰＵとコプロセッサ
の間のデータ転送と、コプロセッサによる２項演算と並
列に実行することができる。これにより、より高速なべ
き演算が実現できる。

【図面の簡単な説明】

【図１】本発明の１の実施の形態としてのデジタル署名
システム１の構成を示すブロック図である。

【図２】デジタル署名システム１によるデジタル署名の
動作を示すフローチャートである。

【図３】ユーザＡ装置１０の構成を示すブロック図であ
る。

【図４】ユーザＡ装置１０のＣＰＵ、ＤＭＡ制御部及び
コプロセッサによる楕円べき倍演算の動作を示すフロー
チャートである。

【図５】ユーザＡ装置１０による楕円べき倍演算の動作
を示すフローチャートである。

【図６】ｋ_iをｋ’_iに変換する動作の詳細を示すフロ
ーチャートである。

【図７】従来技術のＣＰＵとコプロセッサによる演算処
理のタイミングを示すタイムチャートである。

【図８】ユーザＡ装置１０のＣＰＵ、ＤＭＡ制御部及び
コプロセッサによる演算処理のタイミングを示すタイム
チャートである。

【図９】本発明の別の実施の形態としての鍵共有システ
ム１ｂの構成を示すブロック図である。

【図１０】鍵共有システム１ｂによる鍵共有の動作を示
すフローチャートである。

【図１１】鍵共有システム１ｂにおけるべき乗剰余演算
の動作を示すフローチャートである。

【図１２】さらに別の実施の形態の装置によるべき乗演
算の動作を示すフローチャートである。

【図１３】さらに別の実施の形態の装置によるべき乗演
算の動作を示すフローチャートである。図１４へ続く。

【図１４】前記実施の形態の装置によるべき乗演算の動
作を示すフローチャートである。図１３から続く。

【符号の説明】

１デジタル署名システム２インターネット１０ユーザＡ装置１１メッセージ記憶部１２署名部１３送受信部１４べき倍演算部２０管理センタ装置２１情報記憶部２２公開鍵生成部２３送受信部２４べき倍演算部３０ユーザＢ装置３１メッセージ記憶部３２検証部３３送受信部３４べき倍演算部４０コプロセッサ１０１ＣＰＵ１０２ＲＡＭ１０３表示部１０４入力部１０５送受信部１０６ＤＭＡ制御部４０１制御部４０２メモリ部４０２ａメモリ領域４０２ｂメモリ領域４０３ＲＡＭ４０４演算部

───────────────────────────────────────────────────── フロントページの続き (72)発明者中野稔久大阪府門真市大字門真1006番地松下電器産業株式会社内Ｆターム(参考） 5J104 AA18 AA22 JA22 JA25 NA18

Claims

【特許請求の範囲】

【請求項１】群上の離散対数問題を解くことが計算量
の上で困難であることを根拠として、べき演算ｋ＆Ａを
演算することにより所定の情報を安全かつ確実に扱う情
報セキュリティ装置であって、初期化手段、演算手段、格納手段、繰返制御手段及び交
換手段を含み、前記群は、所定の集合と前記集合の元を用いる２項演算
とからなり、前記べき演算ｋ＆Ａは、前記群の単位元に
対して前記群の元Ａを用いた２項演算をｋ回繰り返す演
算であり、前記離散対数問題は、群の元Ｙ＝ｋ＆Ａとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ初期
値として前記群の単位元を格納し、前記繰返制御手段は、２進数表現する場合における元ｋ
のビット数分だけ、前記演算手段、前記格納手段及び前
記交換手段に対して、演算と格納と交換とからなるステ
ップを繰り返し実行するよう制御することにより、べき
演算ｋ＆Ａを演算し、べき演算ｋ＆Ａの演算結果は、前
記繰返しの最後に変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた２項演
算を行い、その演算結果と変数Ｂ₂ に格納されている被
演算値としての値とを用いた２項演算を行って、その演
算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とする情報セキュリ
ティ装置。
【請求項２】前記格納手段は、１個又は所定値より小さい複数個の候補値を記憶してい
る候補値記憶部と、元ｋを２進数表現する場合におけるビット列の一部分を
用いて、前記候補値から１個の候補値を、次のステップ
において前記演算手段で用いられる被演算値として選択
する選択部と、前記演算手段による前記演算処理が行われる時間帯にお
いて、並行して、選択した被演算値を、変数Ｂ₁へ格納
するデータ格納部とを含むことを特徴とする請求項１に
記載の情報セキュリティ装置。
【請求項３】前記候補値記憶部が記憶している各候補
値は、所定値より小さい数ｈを用いるべき演算ｈ＆Ａの
演算結果であることを特徴とする請求項２に記載の情報
セキュリティ装置。
【請求項４】前記繰返制御手段は、元ｋを２進数表現
する場合におけるビット列の上位側から下位側へ向かっ
て、演算と格納と交換とからなるステップを繰り返し実
行するよう制御することを特徴とする請求項３に記載の
情報セキュリティ装置。
【請求項５】前記選択部は、元ｋを２進数表現する場
合におけるビット列の一部分が特定のビット列パターン
である場合に、被演算値の選択を抑制し、前記データ格納部は、前記選択部により被演算値の選択
が抑制された場合、選択した被演算値の変数Ｂ₁への格
納を抑制し、前記演算手段は、前記データ格納部により被演算値の変
数Ｂ₁への格納が抑制される場合に、次のステップにお
いて、変数Ｘと同一変数Ｘとを用いた２項演算を行い、
その演算結果と単位元とを用いた２項演算を行って、そ
の演算結果を変数Ｘに格納することを特徴とする請求項
４に記載の情報セキュリティ装置。
【請求項６】前記情報セキュリティ装置は、汎用プロ
セッサと、専用プロセッサと、第１メモリと、バスと、
ＤＭＡ制御部とから構成されるコンピュータシステムで
あり、前記汎用プロセッサ、前記専用プロセッサ、前記
メモリ及び前記ＤＭＡ制御部は、前記バスを介して相互
に接続されており、前記第１メモリは、コンピュータプログラム、元ｋ、元
Ａ、被演算値を記憶するための領域を含み、専用プロセッサは、その内部に、変数Ｘ、変数Ｂ₁ 、変
数Ｂ₂ を記憶するための第２メモリと前記演算手段と前
記交換手段とを備え、前記初期化手段は、コンピュータプログラムに従って、
汎用プロセッサが動作することにより、バスを介して、
専用プロセッサ内部の変数Ｘ、及び変数Ｂ₂ を初期化
し、前記繰返制御手段は、コンピュータプログラムに従っ
て、汎用プロセッサが動作することにより、ステップを
繰り返すように制御し、前記格納手段は、前記ＤＭＡ制御部が汎用プロセッサの
指示により、第１メモリに記憶されている被演算値をバ
スを介して、専用プロセッサ内部の変数Ｂ₁ へ転送する
ことを特徴とする請求項４に記載の情報セキュリティ装
置。
【請求項７】前記繰返制御手段は、元ｋを２進数表現
する場合におけるビット列の上位側の上位ビット列につ
いて、前記上位ビット列のビット数分だけ、前記演算手
段、前記格納手段及び前記交換手段に対して、演算と格
納と交換とからなるステップを繰り返し実行するよう制
御し、べき演算を演算し、前記情報セキュリティ装置は、さらに、バイナリ法演算
部と２項演算部とを含み、前記バイナリ法演算部は、コンピュータプログラムに従
って、汎用プロセッサが動作することにより、前記ビッ
ト列の下位側の下位ビット列について、バイナリ法を用
いて、前記下位ビット列の下位側から上位側に向かっ
て、べき演算を演算し、演算結果は、変数Ｚに格納さ
れ、変数Ｚは、前記第１メモリに確保され、前記２項演算部は、コンピュータプログラムに従って、
汎用プロセッサが動作することにより、変数Ｘと変数Ｚ
とに対して２項演算を施して、べき演算ｋ＆Ａの演算結
果を得ることを特徴とする請求項６に記載の情報セキュ
リティ装置。
【請求項８】前記群は、楕円曲線であり、前記単位元
は、楕円曲線上の無限遠点である零元であり、前記べき
演算ｋ＆Ａは、楕円曲線上の乗算ｋ×Ａであり、前記２
項演算は、楕円曲線上の加算であり、前記離散対数問題
は、楕円曲線の元Ｙ＝ｋ×Ａとなるような元ｋが存在す
るなら、元ｋを求める問題であり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ楕円
曲線上の零元を格納し、前記繰返制御手段は、前記ステップを繰り返し実行する
よう制御することにより、楕円曲線上の乗算ｋ×Ａを演
算し、乗算ｋ×Ａの演算結果は、前記繰返しの最後に変
数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとの楕円曲線上の
加算を行い、その演算結果と変数Ｂ₂ に格納されている
値との楕円曲線上の加算を行って、その演算結果を変数
Ｘに格納することを特徴とする請求項４に記載の情報セ
キュリティ装置。
【請求項９】前記群は、剰余体であり、前記単位元
は、整数１であり、前記べき演算ｋ＆Ａは、剰余体上の
べき乗算Ａ^kであり、前記２項演算は、剰余体上の乗算
であり、前記離散対数問題は、剰余体の元Ｙ＝Ａ^kとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ整数
１を格納し、前記繰返制御手段は、前記ステップを繰り返し実行する
よう制御することにより、剰余体上のべき乗算Ａ^kを演
算し、べき乗算Ａ^kの演算結果は、前記繰返しの最後に
変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとの剰余体上の乗
算を行い、その演算結果と変数Ｂ₂ に格納されている値
との剰余体上の乗算を行って、その演算結果を変数Ｘに
格納することを特徴とする請求項４に記載の情報セキュ
リティ装置。
【請求項１０】前記群は、自然数であり、前記単位元
は、整数１であり、前記べき演算ｋ＆Ａは、自然数上の
べき乗算Ａ^kであり、前記２項演算は、自然数上の乗算
であり、前記離散対数問題は、自然数の元Ｙ＝Ａ^kとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ整数
１を格納し、前記繰返制御手段は、前記ステップを繰り返し実行する
よう制御することにより、自然数上のべき乗算Ａ^kを演
算し、べき乗算Ａ^kの演算結果は、前記繰返しの最後に
変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとの自然数上の乗
算を行い、その演算結果と変数Ｂ₂ に格納されている値
との自然数上の乗算を行って、その演算結果を変数Ｘに
格納することを特徴とする請求項４に記載の情報セキュ
リティ装置。
【請求項１１】前記情報セキュリィ装置は、べき演算
ｋ＆Ａを演算することにより所定の情報を暗号化又は復
号することを特徴とする請求項４に記載の情報セキュリ
ティ装置。
【請求項１２】前記情報セキュリィ装置は、べき演算
ｋ＆Ａを演算することにより所定の情報にデジタル署名
を施し、又は署名を検証することを特徴とする請求項４
に記載の情報セキュリティ装置。
【請求項１３】前記情報セキュリィ装置は、べき演算
ｋ＆Ａを演算することにより所定の情報を用いて、他の
装置との間で同一の鍵を安全に共有することを特徴とす
る請求項４に記載の情報セキュリティ装置。
【請求項１４】群上の離散対数問題を解くことが計算
量の上で困難であることを根拠として、べき演算ｋ＆Ａ
を演算することにより所定の情報を安全かつ確実に扱う
情報セキュリティ装置で用いられる情報セキュリティ方
法であって、前記情報セキュリティ装置は、初期化手段、演算手段、
格納手段、繰返制御手段及び交換手段を含み、前記群は、所定の集合と前記集合の元を用いる２項演算
とからなり、前記べき演算ｋ＆Ａは、前記群の単位元に
対して前記群の元Ａを用いた２項演算をｋ回繰り返す演
算であり、前記離散対数問題は、群の元Ｙ＝ｋ＆Ａとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記情報セキュリティ方法は、初期化ステップ及び繰返
制御ステップを含み、前記初期化ステップは、前記初期化手段により、変数Ｘ
及び変数Ｂ₂ にそれぞれ初期値として前記群の単位元を
格納し、前記繰返制御ステップは、前記繰返制御手段により、２
進数表現する場合における元ｋのビット数分だけ、前記
演算手段、前記格納手段及び前記交換手段に対して、演
算と格納と交換とからなるステップを繰り返し実行する
よう制御することにより、べき演算ｋ＆Ａを演算し、べ
き演算ｋ＆Ａの演算結果は、前記繰返しの最後に変数Ｘ
に格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた２項演
算を行い、その演算結果と変数Ｂ₂ に格納されている被
演算値としての値とを用いた２項演算を行って、その演
算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とする情報セキュリ
ティ方法。
【請求項１５】群上の離散対数問題を解くことが計算
量の上で困難であることを根拠として、べき演算ｋ＆Ａ
を演算することにより所定の情報を安全かつ確実に扱う
情報セキュリティ装置で用いられる情報セキュリティプ
ログラムであって、前記情報セキュリティ装置は、初期化手段、演算手段、
格納手段、繰返制御手段及び交換手段を含み、前記群は、所定の集合と前記集合の元を用いる２項演算
とからなり、前記べき演算ｋ＆Ａは、前記群の単位元に
対して前記群の元Ａを用いた２項演算をｋ回繰り返す演
算であり、前記離散対数問題は、群の元Ｙ＝ｋ＆Ａとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記情報セキュリティプログラムは、初期化ステップ及
び繰返制御ステップを含み、前記初期化ステップは、前記初期化手段により、変数Ｘ
及び変数Ｂ₂ にそれぞれ初期値として前記群の単位元を
格納し、前記繰返制御ステップは、前記繰返制御手段により、２
進数表現する場合における元ｋのビット数分だけ、前記
演算手段、前記格納手段及び前記交換手段に対して、演
算と格納と交換とからなるステップを繰り返し実行する
よう制御することにより、べき演算ｋ＆Ａを演算し、べ
き演算ｋ＆Ａの演算結果は、前記繰返しの最後に変数Ｘ
に格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた２項演
算を行い、その演算結果と変数Ｂ₂ に格納されている被
演算値としての値とを用いた２項演算を行って、その演
算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とする情報セキュリ
ティプログラム。
【請求項１６】群上の離散対数問題を解くことが計算
量の上で困難であることを根拠として、べき演算ｋ＆Ａ
を演算することにより所定の情報を安全かつ確実に扱う
情報セキュリティ装置で用いられる情報セキュリティプ
ログラムを記録しているコンピュータ読み取り可能な記
録媒体であって、前記情報セキュリティ装置は、初期化手段、演算手段、
格納手段、繰返制御手段及び交換手段を含み、前記群は、所定の集合と前記集合の元を用いる２項演算
とからなり、前記べき演算ｋ＆Ａは、前記群の単位元に
対して前記群の元Ａを用いた２項演算をｋ回繰り返す演
算であり、前記離散対数問題は、群の元Ｙ＝ｋ＆Ａとな
るような元ｋが存在するなら、元ｋを求める問題であ
り、前記情報セキュリティプログラムは、初期化ステップ及
び繰返制御ステップを含み、前記初期化ステップは、前記初期化手段により、変数Ｘ
及び変数Ｂ₂ にそれぞれ初期値として前記群の単位元を
格納し、前記繰返制御ステップは、前記繰返制御手段により、２
進数表現する場合における元ｋのビット数分だけ、前記
演算手段、前記格納手段及び前記交換手段に対して、演
算と格納と交換とからなるステップを繰り返し実行する
よう制御することにより、べき演算ｋ＆Ａを演算し、べ
き演算ｋ＆Ａの演算結果は、前記繰返しの最後に変数Ｘ
に格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた２項演
算を行い、その演算結果と変数Ｂ₂ に格納されている被
演算値としての値とを用いた２項演算を行って、その演
算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とする記録媒体。
【請求項１７】自然数上のべき乗演算Ａ^k を演算する
べき乗演算装置であって、前記べき乗演算装置は、初期化手段、演算手段、格納手
段、繰返制御手段及び交換手段を含み、前記離散対数問題は、自然数の元Ｙ＝Ａ^k となるような
元ｋが存在するなら、元ｋを求める問題であり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ初期
値として整数１を格納し、前記繰返制御手段は、２進数表現する場合における元ｋ
のビット数分だけ、前記演算手段、前記格納手段及び前
記交換手段に対して、演算と格納と交換とからなるステ
ップを繰り返し実行するよう制御することにより、べき
乗演算Ａ^k を演算し、べき乗演算Ａ^k の演算結果は、前
記繰返しの最後に変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた乗算を
行い、その演算結果と変数Ｂ₂ に格納されている被演算
値としての値とを用いて乗算を行って、その演算結果を
変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とするべき乗演算装
置。
【請求項１８】剰余体上のべき乗算Ａ^k を演算するべ
き乗剰余演算装置であって：前記べき乗剰余演算装置
は、初期化手段、演算手段、格納手段、繰返制御手段及
び交換手段を含み、前記剰余体は、所定の集合と前記集合の元を用いる剰余
体上の乗算とからなり、前記べき乗算Ａ^k は、整数１に
対して前記剰余体の元Ａを用いた剰余体上の乗算をｋ回
繰り返す演算であり、前記離散対数問題は、剰余体の元
Ｙ＝Ａ^k となるような元ｋが存在するなら、元ｋを求め
る問題であり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ初期
値として整数１を格納し、前記繰返制御手段は、２進数表現する場合における元ｋ
のビット数分だけ、前記演算手段、前記格納手段及び前
記交換手段に対して、演算と格納と交換とからなるステ
ップを繰り返し実行するよう制御することにより、べき
乗算Ａ^k を演算し、べき乗算Ａ^k の演算結果は、前記繰
返しの最後に変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた剰余体
上の乗算を行い、その演算結果と変数Ｂ₂ に格納されて
いる被演算値としての値とを用いた剰余体上の乗算を行
って、その演算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とするべき乗剰余演
算装置。
【請求項１９】楕円曲線上の乗算ｋ×Ａを演算する楕
円べき倍演算装置であって、前記楕円べき倍演算装置は、初期化手段、演算手段、格
納手段、繰返制御手段及び交換手段を含み、前記楕円曲線は、所定の集合と前記集合の元を用いる楕
円曲線上の加算とからなり、前記楕円曲線上の乗算ｋ×
Ａは、前記楕円曲線の無限遠点である零元に対して前記
楕円曲線の元Ａを用いた楕円曲線上の加算をｋ回繰り返
す演算であり、前記離散対数問題は、楕円曲線の元Ｙ＝
ｋ×Ａとなるような元ｋが存在するなら、元ｋを求める
問題であり、前記初期化手段は、変数Ｘ及び変数Ｂ₂ にそれぞれ初期
値として前記楕円曲線の零元を格納し、前記繰返制御手段は、２進数表現する場合における元ｋ
のビット数分だけ、前記演算手段、前記格納手段及び前
記交換手段に対して、演算と格納と交換とからなるステ
ップを繰り返し実行するよう制御することにより、楕円
曲線上の乗算ｋ×Ａを演算し、楕円曲線上の乗算ｋ×Ａ
の演算結果は、前記繰返しの最後に変数Ｘに格納され、前記演算手段は、変数Ｘと同一変数Ｘとを用いた楕円曲
線上の加算を行い、その演算結果と変数Ｂ₂ に格納され
ている被演算値としての値とを用いた楕円曲線上の加算
を行って、その演算結果を変数Ｘに格納し、前記格納手段は、前記演算手段による前記演算処理が行
われる時間帯において、並行して、次のステップにおい
て前記演算手段で用いられる被演算値を選択し、選択し
た被演算値を変数Ｂ₁へ格納し、前記交換手段は、前記演算手段による演算処理及び前記
格納手段による格納が終了すると、変数Ｂ₂の値と変数
Ｂ₁の値とを入れ換えることを特徴とする楕円べき倍演
算装置。