JP2003005644A - 情報セキュリティ装置、素数生成装置及び素数生成方法 - Google Patents

Abstract

(57)【要約】 【課題】 計算量が少なく、かつ、確定的に素数生成が
可能な素数生成装置を提供する。 【解決手段】情報セキュリティ装置は、素数ｑを入力と
し、ｑより大きな素数Ｎを生成する。２×ｕ×ｑ＋１≠
０ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ）を満たす
数ｕを生成する部分情報設定部と、乱数Ｒ’を生成する
乱数生成部と、数ｕと、乱数Ｒ’を用いて、Ｒ＝ｕ＋Ｌ
₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’と、Ｎ＝２×Ｒ×ｑ＋１を
生成する判定対象生成部と、数Ｎ及び数Ｒを用いて素数
判定する素数判定部を備える。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、素数生成を用いて
実現する情報セキュリテイ技術に関する。

【０００２】

【従来の技術】近年、コンピュータ技術及び通信技術に
基づくデータ通信が広く普及してきており、このデータ
通信においては、秘密通信方式やデジタル署名方式が用
いられる。ここで、秘密通信方式とは、特定の通信相手
以外に通信内容を漏らすことなく通信を行なう方式であ
る。またデジタル署名方式とは、通信相手に通信内容の
正当性を示したり、発信者の身元を証明する通信方式で
ある。

【０００３】１．公開鍵暗号方式 これらの秘密通信方式又はデジタル署名方式において
は、公開鍵暗号方式とよばれる暗号方式が用いられる。
公開鍵暗号方式は通信相手が多数のとき、通信相手ごと
に異なる暗号鍵を容易に管理するための方式であり、多
数の通信相手と通信を行なうのに不可欠な基盤技術であ
る。公開鍵暗号方式を用いる秘密通信では、暗号化鍵と
復号化鍵とが異なり、復号化鍵は秘密にするが、暗号化
鍵は公開する。秘密にする復号化鍵を秘密鍵と呼び、公
開する暗号化鍵を公開鍵と呼ぶ。

【０００４】公開鍵暗号方式の１種であるＲＳＡ暗号方
式では、整数の素因数分解問題を解くことが、計算量の
上で困難であることを安全性の根拠としている。素因数
分解問題とは、ｐ、ｑを素数とし、整数ｎ＝ｐ×ｑとす
るとき、整数ｎに対して、素数ｐ、ｑを求める問題であ
る。ここで、×は通常の乗算である。なお、素因数分解
問題については、岡本龍明、太田和夫共編、「暗号・ゼ
ロ知識問題・数論」、共立出版、１９９０、１４４〜１
５１ページに詳しく述べられている。

【０００５】（素因数分解問題を応用するＲＳＡ暗号方
式）素因数分解問題を応用するＲＳＡ暗号方式について
説明する。 （１）鍵の生成 次に示すようにして公開鍵及び秘密鍵を計算する。 ・ランダムに大きい素数ｐ、ｑを選択し、その積ｎ＝ｐ
×ｑを計算する。

【０００６】・（ｐ−１）及び（ｑ−１）の最小公倍数
Ｌ＝ＬＣＭ（ｐ−１、ｑ−１）を計算する。 ・Ｌと互いに素でＬより小さい整数ｅをランダムに選
ぶ。 １≦ｅ≦Ｌ−１、ＧＣＤ（ｅ、Ｌ）＝１ ここで、ＧＣＤ（ｅ、Ｌ）は、ｅ及びＬの最大公約数を
示している。

【０００７】・ｄ＝ｅ^-1 ｍｏｄ Ｌを計算する。この
ようにして、得られた整数ｅ及び整数ｎが、公開鍵であ
る。また、整数ｄが、秘密鍵である。 （２）暗号文の生成 公開鍵である整数ｅ及び整数ｎを用いて、平文ｍに暗号
演算を施して暗号文ｃを計算する。

【０００８】ｃ＝ｍ^e ｍｏｄ ｎ （３）復号文の生成 秘密鍵である整数ｄを用いて、暗号文ｃに復号演算を施
して復号文ｍ’を計算する。 ｍ’＝ｃ^d ｍｏｄ ｎ なお、 ｍ’＝ｃ^d ｍｏｄ ｎ ＝（ｍ^e ）^d ｍｏｄ ｎ ＝ｍ＊＊（ｅ×ｄ ｍｏｄ Ｌ） ｍｏｄ ｎ ＝ｍ¹ ｍｏｄ ｎ ＝ｍ ｍｏｄ ｎ であるので、復号文ｍ’は、平文ｍと一致する。

【０００９】なお、この明細書において、演算子＊＊
は、べき乗を示す。例えば、Ａ＊＊ｘは、Ａ^x であり、
ＡをＸ回乗ずることを示す。また、ＲＳＡ暗号について
は、岡本龍明、山本博資、「現代暗号」、産業図書、１
９９７、１１０〜１１３ページに詳しく説明されてい
る。 ２．従来例１−確率的素数生成方法 上記に示した素因数分解を応用したＲＳＡ暗号における
公開鍵の生成のステップにおいて、素数生成が行われ
る。素数生成については、A.J. Menezes, P.C. van Oor
schot, S.A. Vanstone, “Handbook of applied crypto
graphy”，CRC Press, 1997, 145〜154ページに詳しく
説明されている。

【００１０】従来技術としての確率的素数生成方法につ
いて、説明する。この確率的素数生成方法は、素数判定
法であるMiller-Rabin法を応用している。Miller-Rabin
法については、A.J. Menezes, P.C. van Oorschot, S.
A. Vanstone，“Handbook ofapplied cryptography”，
CRC Press, 1997, 138〜140ページに詳しく説明されて
いる。この素数判定法による判定される素数は、「素数
である確率が高い」数であり、１００％素数であるとは
限らないということを注意しておく。

【００１１】あらかじめ自然数ｘと、小さい素数Ｌ₁ 、
Ｌ₂ 、・・・、Ｌ_n とが与えられているものとする。こ
こで、小さい素数の一例は、「２、３、５、７」であ
る。前記確率的素数生成方法では、次に示すステップを
繰り返すことにより、素数を生成する。 （ステップ１）初期値として、自然数ｘを変数Ｎに代入
する。

【００１２】（ステップ２）変数Ｎより大きい数のう
ち、素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n のいずれでも割り切
れない数であって、最も小さい数を得、得られた数を変
数Ｎに代入する。 （ステップ３）Miller-Rabin法により変数Ｎの値が素数
であるか否かを判定する。ここで、変数Ｎに対して素数
判定を１０回繰り返す。判定の結果、素数であると判定
される場合には、変数Ｎの値を素数として出力する。素
数でないと判定される場合には、ステップ２へ戻って、
素数が出力されるまで、処理を繰り返す。

【００１３】上記のように、小さい素数２、３、５、７
で割り切れない数を求める理由は、ステップ３の素数判
定の回数を減らすためである。即ち、素数判定する対象
となる数を２、３、５、７で割り切れない数だけに絞っ
ている。２×ｘ＋１ ｍｏｄ２１０が２、３、５、７で
割り切れない数は４７個あるため、上記のように、２、
３、５、７で割り切れない数のみを対象として素数判定
すると、素数判定する回数は、４７／２１０に削減でき
る。

【００１４】しかしながら、ステップ２により得られた
変数Ｎの値が合成数（素数でない数）であるとき、Mill
er-Rabin法による素数判定が成立する確率は、１／４以
下であることが知られている。このように、得られた変
数Ｎの値が合成数であっても、Miller-Rabin法による素
数判定が成立する可能性がある。そのため、前記確率的
素数生成方法は、確率的にのみ素数を生成でき、確定的
に素数を生成できないという問題がある。

【００１５】（確率的素数生成方法の計算量）次に、前
記確率的素数生成方法を用いて素数を生成する場合の計
算量について説明する。ここでは、冪乗剰余演算の回数
で計算量を見積もるものとする。前記確率的素数生成方
法では、上述したように、素数と思われる数に対して
は、Miller-Rabin法による素数判定を１０回繰り返す。
以下では、合成数に対して行われるMiller-Rabin法によ
る素数判定の回数の平均を求める。

【００１６】第ｉ回目の素数判定試行を行う確率をＰ_i
とすると、第ｉ＋１回目の素数判定試行を行う確率Ｐ
_i+1 は、第ｉ回のＰ_i の確率で素数判定試行を行い、か
つ１／４以下の確率でさらに素数判定試行を行う確率で
ある。従って、 Ｐ_i+1 ≦ Ｐ_i × １／４ である。第１回目の素数判定試行は、必ず行うため、そ
の確率は１であるので、Ｐ₁ ＝１である。よって、 Ｐ_i ≦ （１／４）＊＊（ｉ−１） である。

【００１７】Miller-Rabin法による素数判定１回につ
き、冪乗剰余演算を１回行う。前記確率的素数生成方法
では、Miller-Rabin法による素数判定を最大で１０回行
うため、１つの合成数に対する冪乗剰余演算回数の平均
値は、

【００１８】

【数１】

【００１９】である。一般にＮを任意に選ぶとき、Ｎが
素数となる確率は、１／（ｌｎ Ｎ）程度であるので、
平均的には、ｌｎ Ｎ回の素数判定を行うと素数を発見
できることになる。ここで、ｌｎ Ｎは、Ｎの自然対数
である。しかし、２、３、５、７で割り切れる数は予め
除外しているので、その回数は、φ（２×３×５×７）
／２１０＝４８／２１０に削減できる。ここで、φ（２
×３×５×７）は、２１０未満の自然数の２、３、５、
７と互いに素な数の個数を示している。従って、素数判
定を行う数（合成数と最後の素数と思われる数）の個数
は、 ８／３５×（ｌｎ Ｎ） である。その中で、最後の数が素数であると考えると、
素数判定を行う合成数の個数は、 （８／３５×（ｌｎ Ｎ））−１ となる。

【００２０】以上より、冪乗剰余演算の回数は、平均的
に、

【００２１】

【数２】

【００２２】以下である。例えば、Ｎが５１２ビットの
とき、多くとも１１６．８回であることが保証されてい
る。素数判定を行う数を２、３、５、７で割り切れない
数に絞り込まない場合、即ち、全ての数を素数判定を行
う対象にする場合、冪乗剰余演算の回数は、平均的に、

【００２３】

【数３】

【００２４】以下である。Ｎが５１２ビットのとき、こ
の値は４８１．９になる。以上より、従来例１は、冪乗
剰余演算回数が約１／４に削減できる。しかしながら、
上述したように、確定的に素数を出力できない。 ３．従来例２−確定的素数生成方法 確定的に素数を生成することができるＭａｕｒｅｒ法に
よる確定的素数生成方法について説明する。ここで、Ｍ
ａｕｒｅｒ法については、A.J. Menezes, P.C.van Oors
chot, S.A. Vanstone，“Handbook of applied cryptog
raphy”，CRCPress, 1997, 152〜153ページに詳しく説
明されている。

【００２５】前記確定的素数生成方法では、次に示すス
テップを繰り返すことにより、素数を生成する。あらか
じめサイズＬｅｎｑの素数ｑが与えられている。 （ステップ１）Ｌｅｎｑ−１ビットの乱数Ｒを選択す
る。なお、乱数Ｒの先頭ビットは、必ず１となるように
する。

【００２６】（ステップ２）数Ｎを以下の式により計算
する。 Ｎ＝２×ｑ×Ｒ＋１ （ステップ３）数Ｎが素数であるか否かを、次に示す第
１判定及び第２判定がともに、成立する場合に、素数と
判定する。他の場合に、素数でないと判定する。

【００２７】 （第１判定） ２^N-1 ＝１ ｍｏｄ Ｎ （第２判定） ＧＣＤ（２^2R−１、Ｎ）＝１ 素数であると判定される場合には、数Ｎを素数として出
力する。素数でないと判定される場合には、ステップ１
へ戻って、素数が出力されるまで、処理を繰り返す。

【００２８】この判定方法は、Pocklingtonの素数判定
法とよばれ、A.J. Menezes, P.C. van Oorschot, S.A.
Vanstone,“Handbook of applied cryptography”，CRC
Press, 1997, 144ページに詳しく述べられている。Poc
klington の素数判定法では、Ｎ＝２×ｑ×Ｒ＋１のｑ
が素数であり、第１判定及び第２判定の結果が真であれ
ば、必ず、Ｎが素数になる。そのため、確定的に素数で
あることを判定でき、確定的な素数生成が可能になる。

【００２９】このようにして、Ｍａｕｒｅｒ法による確
定的素数生成方法では、サイズＬｅｎｑの素数ｑを基に
して、サイズ２×Ｌｅｎｑの素数Ｎを生成する。従っ
て、Ｍａｕｒｅｒ法による確定的素数生成方法を用いて
所定長の素数を生成する場合には、前記所定長以下の素
数の生成を繰り返し行う。例えば、５１２ビット長の素
数を生成する場合には、あらかじめ与えられた８ビット
の素数を基にして１６ビットの素数を生成する。次に、
生成した１６ビットの素数を基にして３２ビットの素数
を生成する。次に、生成した３２ビットの素数を基にし
て６４ビットの素数を生成する。以下同様の素数生成を
繰り返して、５１２ビットの素数を生成する。

【００３０】なお、前記第２判定を次の判定に代えても
よい。 ２^2R≠１ ｍｏｄ Ｎ （確定的素数生成方法の計算量）次に、Ｍａｕｒｅｒ法
による確定的素数生成方法を用いて素数を生成する場合
の計算量について説明する。

【００３１】ここでは、５１２ビットの数の冪乗剰余演
算の回数で計算量を見積もる。つまり、２５６ビットの
素数を用いて、５１２ビットの素数を生成する場合につ
いて考える。一般に、正整数Ｒを任意に選ぶとき、正整
数Ｒが素数となる確率は、１／（ｌｎ Ｒ）程度である
ので、この場合、５１２ビットの素数を生成するために
Pocklington 判定を試す回数は、ｌｎ ２⁵¹² と見積も
ることができる。従来例２では奇数のみに対して、素数
判定を行うので、この個数は、（ｌｎ ２⁵¹² ）／２と
なる。

【００３２】次に、前記第１判定を通過する確率は、Mi
ller-Rabin判定を通過する確率と等しく、１／４以下で
ある。従って、１つの合成数に対して行う冪乗剰余演算
の回数は、１＋１／４以下である。当然、素数に対して
行う冪乗剰余演算回数は、２である。以上より、２５６
ビットの素数を用いて、５１２ビットの素数を生成する
ために行う５１２ビットの冪乗剰余演算回数は、 （１＋１／４）（（ｌｎ ２⁵¹² ）／２−１）＋２＝２
２２．６ 以下である。

【００３３】１２８ビットから２５６ビットの素数を生
成する場合も同様に考えると、２５６ビットの冪乗剰余
演算における判定回数は、（ｌｎ ２²⁵⁶ ）／２であ
り、２５６ビットの素数を生成するために行う２５６ビ
ットの冪乗剰余演算回数は、 （１＋１／４）（（ｌｎ ２²⁵⁶ ）／２−１）＋２ 以下である。冪乗剰余演算の計算量は、法Ｎに依存し、
Ｎの３乗のオーダである。従って、２５６ビットの冪乗
剰余演算８回を、５１２ビットの冪乗剰余演算１回相当
と考える。

【００３４】６４ビットから１２８ビットなどの他も同
様に考えると、従来例２全体の計算量を、５１２ビット
の冪乗剰余演算回数で見積もることができる。１６、３
２ビットの素数生成の計算量は、６４、１２８、２５
６、５１２ビットの素数生成の計算量に比べて小さいた
め無視し、従来例２全体の計算量を、５１２ビットの冪
乗剰余演算回数で表すと、 （１＋１／４）×｛ （（ｌｎ ２⁶⁴）／２−１）／５
１２＋（（ｌｎ ２¹²⁸ ）／２−１）／６４＋（（ｌｎ
２²⁵⁶ ）／２−１）／８＋（（ｌｎ ２⁵¹² ）／２−
１） ｝＋２（１／５１２＋１／６４＋１／８＋
１）＝２３７．４ 以下である。

【００３５】従来例２における計算量は、従来例１の１
１６．８回以下に比べれば、計算量が２倍以上多いこと
になる。以上説明したように、従来例２によると、確定
的な素数生成が可能であるが、従来例１より計算量が多
い。

【００３６】

【発明が解決しようとする課題】このように、計算量が
少ない素数生成法では、確定的に素数生成ができないと
いう問題がある。また、確定的に素数生成が可能な素数
法では、計算量が多いという問題がある。本発明は、上
記の問題点を解決し、計算量が少なく、かつ、確定的に
素数生成が可能な素数生成装置、素数生成方法、素数生
成プログラム、素数生成プログラムを記録している記録
媒体及び情報セキュリティ装置を提供することを目的と
する。

【００３７】

【課題を解決するための手段】上記目的を達成するため
に、本発明は、素因数分解をすることが計算量の上で困
難であることを根拠として、２個の素数を生成し生成し
た２個の素数の乗算を用いて、所定の情報を安全かつ確
実に扱い、各素数生成の際に、既知の素数ｑの２倍のビ
ット長を有する素数Ｎを生成する情報セキュリティ装置
であって、素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、
Ｌ_n を取得し、ここで、素数Ｌ₁ 、Ｌ₂、・・・、Ｌ_n
は、それぞれ素数ｑより小さい２以外の素数であり、素
数ｑは、ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、
ｎ） を満たす取得手段と、取得した前記素数Ｌ₁ 、Ｌ
₂ 、・・・、Ｌ_n に係る数を除外した選択により、取得
した前記素数ｑの２倍のビット長を有する数Ｎを生成す
る生成手段と、生成した数Ｎの素数判定を行い、数Ｎが
素数であると判定とされた場合に、数Ｎを素数として出
力する判定手段とを備える。

【００３８】ここで、前記生成手段は、Ｎ＝１ ｍｏｄ
Ｌ_i （ｉ＝１、２、・・・、ｎ）を満たす前記数Ｎを
生成するように構成してもよい。ここで、前記生成手段
は、（Ｌｅｎｑ−ＬｅｎＬ−１）ビット長の乱数Ｒ’を
生成し、ここで、Ｌｅｎｑは、素数ｑのビット長であ
り、ＬｅｎＬは、（Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）のビッ
ト長である乱数生成部と、生成したＲ’及び前記素数Ｌ
₁ 、Ｌ₂ 、・・・、Ｌ_n を用いて、数Ｒ＝Ｌ₁ ×Ｌ₂ ×
・・・×Ｌ_n ×Ｒ’により、数Ｒを生成し、取得した素
数ｑ及び生成した数Ｒを用いて、数Ｎ＝２×Ｒ×ｑ＋１
を生成する判定対象生成部とを含み、前記判定手段は、
前記数Ｎ及び前記数Ｒを用いて、前記数Ｎの素数判定を
行うように構成してもよい。

【００３９】ここで、前記判定手段は、生成した前記数
Ｎについて、第１判定式 ２^N-1 ＝１ ｍｏｄ Ｎ が
成立するか否かを判定し、さらに、生成した前記数Ｎ及
び前記数Ｒについて、第２判定式 ２^2R≠１ ｍｏｄ
Ｎ が判定するか否かを判定し、第１判定式及び第２判
定式の両方が成立する場合に、数Ｎが素数であると判定
するように構成してもよい。

【００４０】ここで、前記生成手段は、取得した前記素
数ｑを用いて、２×ｕ×ｑ＋１≠０ｍｏｄ Ｌ_i （ｉ＝
１、２、・・・、ｎ） を満たす数ｕを生成する部分情
報生成部と、乱数Ｒ’を生成する乱数生成部と、取得し
た前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n と、生成した前記
数ｕと、生成した前記乱数Ｒ’を用いて、 Ｒ＝ｕ＋Ｌ
₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’により、数Ｒを生成し、
取得した前記素数ｑと、生成した数Ｒとを用いて、 Ｎ
＝２×Ｒ×ｑ＋１ により、数Ｎを生成する判定対象生
成部とを含み、前記判定手段は、前記数Ｎ及び前記数Ｒ
を用いて、前記数Ｎの素数判定を行うように構成しても
よい。

【００４１】ここで、前記部分情報生成部は、整数Ｎ₁
（１≦Ｎ₁ ≦Ｌ₁ −１）、整数Ｎ₂（１≦Ｎ₂ ≦Ｌ₂ −
１）、・・・、整数Ｎ_n （１≦Ｎ_n ≦Ｌ_n −１）を生成
し、数ｕ_i ＝（Ｎ_i −１）／（２×（ｑ ｍｏｄ Ｌ
_i ）） ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
算出する整数生成部と、算出した前記数ｕ_i （ｉ＝１、
２、・・・、ｎ）を用いて、数ｕ＝ｕ_i ｍｏｄ Ｌ_i
（ｉ＝１、２、・・・、ｎ）を満たす数ｕを算出する情報
合成部とを含むように構成してもよい。

【００４２】

【発明の実施の形態】１．第１の実施の形態 本発明に係る１の実施の形態としてのコンテンツ配信シ
ステム１について、説明する。 １．１ コンテンツ配信システム１の構成 コンテンツ配信システム１は、図１に示すように、メモ
リカード１０、携帯情報端末装置（以下、ＰＤＡと呼
ぶ。）２０、ヘッドフォン２１、パーソナルコンピュー
タ（以下、ＰＣと呼ぶ。）３０、配信サーバ装置４０及
び携帯電話５０から構成されている。

【００４３】配信サーバ装置４０は、音楽であるデジタ
ル著作物を暗号化して暗号化デジタル著作物を得、得ら
れた暗号化デジタル著作物を、インターネット６０を介
して、ＰＣ３０へ送信し、ＰＣ３０は、暗号化デジタル
著作物を受信する。利用者は、メモリカード１０をＰＣ
３０に装着し、ＰＣ３０は、受信した暗号化デジタル著
作物をメモリカード１０へ書き込む。メモリカード１０
は、暗号化デジタル著作物を復号して、デジタル著作物
を生成し、生成したデジタル著作物を記憶する。次に、
利用者は、暗号化デジタル著作物が書き込まれているメ
モリカード１０をＰＤＡ２０に装着する。ＰＤＡ２０に
は、ヘッドフォン２１が接続されており、ＰＤＡ２０
は、メモリカード１０に書き込まれているデジタル著作
物を変換して電気信号を生成し、生成した電気信号をヘ
ッドフォン２１へ出力する。ヘッドフォン２１は、電気
信号を音声に変換して、音声を出力する。

【００４４】また、配信サーバ装置４０は、音楽である
デジタル著作物を暗号化して暗号化デジタル著作物を
得、得られた暗号化デジタル著作物を、インターネット
６０、携帯電話網６２及び無線基地局６１を介して、携
帯電話５０へ送信し、携帯電話５０は、暗号化デジタル
著作物を受信する。利用者は、メモリカード１０を携帯
電話５０に装着し、携帯電話５０は、受信した暗号化デ
ジタル著作物をメモリカード１０へ書き込む。メモリカ
ード１０は、書き込まれている暗号化デジタル著作物を
復号して、音楽であるデジタル著作物を生成して、生成
したデジタル著作物を記憶する。携帯電話５０は、メモ
リカード１０に記憶されているデジタル著作物を変換し
て電気信号を生成し、生成した電気信号を音声に変換し
て、音声を出力する。

【００４５】このようにして、利用者は、配信サーバ装
置４０から音楽であるデジタル著作物を受信して、楽し
むことができる。 １．２ メモリカード１０ メモリカード１０は、図２に示すように、素数生成部１
０１、生成制御部１０２、素数記憶部１０３、乱数生成
部１０４、秘密鍵記憶部１０５、公開鍵生成部１０６、
公開鍵記憶部１０７、復号部１０８、メモリ部１０９、
制御部１１２、認証部１１３及び送受信部１１４から構
成されている。

【００４６】メモリカード１０は、具体的には、マイク
ロプロセッサ、ＲＯＭ、ＲＡＭなどから構成されるコン
ピュータシステムである。前記ＲＡＭには、コンピュー
タプログラムが記憶されている。前記マイクロプロセッ
サが、前記コンピュータプログラムに従って動作するこ
とにより、メモリカード１０は、その機能を達成する。

【００４７】（１）秘密鍵記憶部１０５ 秘密鍵記憶部１０５は、秘密鍵としての数ｎと数ｄとを
記憶するための領域を備えている。 （２）公開鍵記憶部１０７ 公開鍵記憶部１０７は、公開鍵としての数ｎと数ｅとを
記憶するための領域を備えている。

【００４８】（３）メモリ部１０９ メモリ部１０９は、一般領域１１１とセキュア領域１１
０とから構成されている。一般領域１１１及びセキュア
領域１１０は、それぞれ情報を記憶するための領域であ
る。一般領域１１１は、外部からの情報の自由な書き込
みと、情報の自由な読み出しが許可される領域である。
一方、セキュア領域１１０は、認証部１１３により、メ
モリカード１０が装着される相手の装置の正当性が認証
された場合にのみ、情報の書き込み及び情報の読み出し
が許可される領域である。

【００４９】（４）素数記憶部１０３ 素数記憶部１０３は、素数ｐ_a 及び素数ｐ_b を記憶する
ための領域を備えている。 （５）生成制御部１０２ 生成制御部１０２は、素数生成部１０１へ、素数ｑと、
素数ｑのビットサイズＬｅｎｑと、２以外の小さな素数
であるＬ₁ 、Ｌ₂ 、・・・、Ｌ_n と、（Ｌ₁ ×Ｌ₂×・・・×
Ｌ_n ）のビットサイズＬｅｎＬとを出力し、次に、素数
生成部１０１から１個の素数ｐを受け取り、受け取った
素数ｐを素数ｐ_a として素数記憶部１０３へ書き込む。

【００５０】次に、同様にして、素数生成部１０１へ、
素数ｑと、素数ｑのビットサイズＬｅｎｑと、２以外の
小さな素数であるＬ₁ 、Ｌ₂ 、・・・、Ｌ_n と、（Ｌ₁ ×
Ｌ₂×・・・×Ｌ_n ）のビットサイズＬｅｎＬとを出力し、
次に、素数生成部１０１から１個の素数ｐを受け取り、
受け取った素数ｐを素数ｐ_b として素数記憶部１０３へ
書き込む。

【００５１】なお、素数ｑと、素数ｑのビットサイズＬ
ｅｎｑと、２以外の小さな素数であるＬ₁ 、Ｌ₂ 、・・
・、Ｌ_n と、（Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）のビットサイズ
ＬｅｎＬとについては、後述する。上記に説明している
ように、生成制御部１０２は、素数生成部１０１を２
回、制御することにより、２個の素数を生成している。
後述するように、素数生成部１０１により素数を生成す
るプロセスにおいて、乱数を用いているので、生成され
た２個の素数が偶然一致する可能性は、低いと考えられ
る。しかしながら、生成された２個の素数が偶然一致し
た場合において、生成制御部１０２は、再度２回目の素
数生成をするように、素数生成部１０１を制御し、必ず
異なる２個の素数を採用するようにしてもよい。

【００５２】また、生成制御部１０２は、前記２回の素
数生成の際に、素数ｑと、ビットサイズＬｅｎｑと、素
数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n と、ビットサイズＬｅｎＬと
からなるパラメタ群を用いるとしているが、２回の素数
生成の際に異なるパラメタ群を用いるとしてもよい。つ
まり、１回めの素数生成の際に、素数ｑと、ビットサイ
ズＬｅｎｑと、ｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n と、
ビットサイズＬｅｎＬとからなるパラメタ群を用いる。
次に、２回めの素数生成の際に、素数ｑ’と、素数ｑ’
のビットサイズＬｅｎｑ’と、ｊ個の２以外の小さな素
数であるＬ₁ ’、Ｌ₂ ’、・・・、Ｌ_j’と、（Ｌ₁ ’×Ｌ
₂ ’×・・・×Ｌ_j ’）のビットサイズＬｅｎＬ’とから
なるパラメタ群を用いるとしてもよい。

【００５３】ここで、素数ｑ≠素数ｑ’であり、ｎ≠ｊ
である。また、素数（Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n ）≠素数
（Ｌ₁ ’、Ｌ₂ ’、・・・、Ｌ_j ’）である。これは、素
数（Ｌ ₁ 、Ｌ₂ 、・・・、Ｌ_n ）と、素数（Ｌ₁ ’、
Ｌ₂ ’、・・・、Ｌ_j ’の少なくとも１個が異なっている
ことを示している。 （６）素数生成部１０１ 素数生成部１０１は、図３に示すように、乱数生成部１
３１、判定対象生成部１３２、第１素数判定部１３３、
第２素数判定部１３４及び制御部１３５から構成されて
いる。

【００５４】素数生成部１０１は、 ｑ＝１ ｍｏｄ Ｌ₁ 、 ｑ＝１ ｍｏｄ Ｌ₂ 、・・・ ｑ＝１ ｍｏｄ Ｌ_n を満たす素数ｑと、 素数ｑのビットサイズＬｅｎｑとが与えられたとき、素
数ｑのビットサイズの２倍のビットサイズをもつ素数ｐ
を出力する。

【００５５】ここで、Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n は２以外
の小さな素数である。また、（Ｌ₁ ×Ｌ₂ ×・・・×
Ｌ_n ）のビットサイズＬｅｎＬは予め与えられているも
のであるとする。小さな素数の例として、想定する入力
ｑのビットサイズより小さな素数、例えばＬ₁ ＝３、Ｌ
₂ ＝５などが挙げられる。

【００５６】（乱数生成部１３１）乱数生成部１３１
は、生成制御部１０２からビットサイズＬｅｎｑ及びＬ
ｅｎＬを受け取り、受け取ったビットサイズＬｅｎｑ及
びＬｅｎＬを用いて、（Ｌｅｎｑ−ＬｅｎＬ−１）ビッ
トサイズの乱数Ｒ’を生成し、生成した乱数Ｒ’を判定
対象生成部１３２へ出力する。

【００５７】また、乱数生成部１３１は、第１素数判定
部１３３から後述する第１判定情報を受け取る。また、
第２素数判定部１３４から後述する第２判定情報を受け
取る。乱数生成部１３１は、第１判定情報、又は第２判
定情報を受け取ると、再度、受け取ったビットサイズＬ
ｅｎｑ及びＬｅｎＬを用いて、（Ｌｅｎｑ−ＬｅｎＬ−
１）ビットサイズの乱数Ｒ’を生成し、生成した乱数
Ｒ’を判定対象生成部１３２へ出力する。

【００５８】（判定対象生成部１３２）判定対象生成部
１３２は、生成制御部１０２から素数ｑを受け取り、乱
数生成部１３１から乱数Ｒ’を受け取る。次に、判定対
象生成部１３２は、受け取った素数ｑと乱数Ｒ’とを用
いて、以下の式を満たす数Ｒと数Ｎとを生成する。

【００５９】 Ｒ＝Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’ Ｎ＝２×Ｒ×ｑ＋１ 次に、判定対象生成部１３２は、生成した数Ｒを第２素
数判定部１３４へ出力し、生成した数Ｎを第１素数判定
部１３３及び第２素数判定部１３４へ出力する。

【００６０】（第１素数判定部１３３）第１素数判定部
１３３は、判定対象生成部１３２から数Ｎを受け取り、
受け取った数Ｎを用いて、次に示す判定式１の成立を判
定する。 ２^N-1 ＝１ ｍｏｄ Ｎ （判定式１） 判定式１が成立する場合には、その旨を示す第１判定情
報を第２素数判定部１３４へ出力する。判定式１が成立
しない場合には、その旨を示す第１判定情報を乱数生成
部１３１へ出力する。

【００６１】（第２素数判定部１３４）第２素数判定部
１３４は、判定対象生成部１３２から数Ｎと数Ｒとを受
け取り、また、第１素数判定部１３３から、判定式１が
成立する旨を示す第１判定情報受け取る。判定式１が成
立する旨を示す第１判定情報を受け取ると、次に、第２
素数判定部１３４は、受け取った数Ｎと数Ｒとを用い
て、次に示す判定式２の成立を判定する。

【００６２】 ２^2R≠１ ｍｏｄ Ｎ （判定式２） 判定式２が成立する場合には、素数ｐとして数Ｎを生成
制御部１０２へ出力する。判定式２が成立しない場合に
は、その旨を示す第２判定情報を乱数生成部１３１へ出
力する。 （制御部１３５）制御部１３５は、素数生成部１０１を
構成する各要素を制御する。

【００６３】（素数生成部１０１の動作の検証）第１素
数判定部１３３及び第２素数判定部１３４による判定
は、Pocklington判定である。Pocklington判定について
は、岡本 栄司、「暗号理論入門」、共立出版、1993、2
1ページ及び、A.J. Menezes, P.C. van Oorschot, S.A.
Vanstone,“Handbook of applied cryptography”，CR
C Press, 1997, 144ページに詳しく述べられている。

【００６４】Ｎ＝２×Ｒ×ｑ＋１のｑが素数であり ２^N-1 ＝ １ ｍｏｄ Ｎ ２^2R≠１ ｍｏｄ Ｎ の両方が成り立つ場合、Ｎが素数になるので、素数生成
部１０１は素数を出力する。また、乱数Ｒ’のビットサ
イズがＬｅｎｑ−ＬｅｎＬ−１であるので、数Ｒのビッ
トサイズがＬｅｎｑ−１になり、数Ｎのビットサイズが
２×Ｌｅｎｑになる。

【００６５】（７）公開鍵生成部１０６ 公開鍵生成部１０６は、素数記憶部１０３から素数ｐ_a
及び素数ｐ_b を読み出し、読み出した素数ｐ_a と素数ｐ
_b とを乗じて整数ｎ＝ｐ_a ×ｐ_b を算出し、算出した整
数ｎを秘密鍵記憶部１０５及び公開鍵記憶部１０７へ書
き込み、数（ｐ _a −１）と数（ｐ_b −１）との最小公倍
数Ｌ＝ＬＣＭ（ｐ_a −１、ｐ_b −１）を算出する。

【００６６】また、公開鍵生成部１０６は、乱数生成部
１０４から乱数ｅを受け取り、受け取った乱数ｅを用い
て、数ｄ＝ｅ^-1 ｍｏｄ Ｌ を算出し、算出した数ｄ
を秘密鍵記憶部１０５へ書き込み、乱数ｅを公開鍵記憶
部１０７へ書き込む。 （８）乱数生成部１０４ 乱数生成部１０４は、乱数ｅを生成し、生成した乱数ｅ
を公開鍵生成部１０６へ出力する。

【００６７】（９）送受信部１１４ 送受信部１１４は、公開鍵記憶部１０７から整数ｎ及び
乱数ｅを読み出し、読み出した整数ｎ及び乱数ｅをＰＣ
３０へ出力する。また、送受信部１１４は、配信サーバ
装置４０からインターネット６０及びＰＣ３０を介し
て、暗号文ｃを受信し、受信した暗号文ｃをメモリ部１
０９内の一般領域１１１へ書き込む。

【００６８】（１０）復号部１０８ 復号部１０８は、一般領域１１１から暗号文ｃを読み出
し、秘密鍵記憶部１０５から数ｄ及び整数ｎを読み出
し、読み出した数ｄ及び整数ｎを用いて、次の式によ
り、暗号文ｃを復号して、復号文ｍ’を生成する。ｍ’
＝ｃ^d ｍｏｄ ｎ次に、復号部１０８は、生成した復号
文ｍ’をメモリ部１０９内のセキュア領域１１０へ書き
込む。

【００６９】（１１）認証部１１３ 認証部１１３は、メモリカード１０が装着される相手の
装置との間で、相手の装置の正当性を認証する。正当性
が認証された場合に、メモリ部１０９内のセキュア領域
１１０への情報の書き込み及びセキュア領域１１０から
の情報の読み出しを許可する。

【００７０】（１２）制御部１１２ 制御部１１２は、メモリカード１０を構成する各要素を
制御する。１．３ ＰＣ３０ＰＣ３０は、図４に示すよ
うに、送受信部３０１、認証部３０２、制御部３０３、
送受信部３０４、入力部３０５、表示部３０６から構成
されている。

【００７１】この装置は、具体的には、マイクロプロセ
ッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、液晶
ディスプレィユニット、キーボード、マウスなどから構
成されるコンピュータシステムである。前記ＲＡＭ又は
前記ハードディスクユニットには、コンピュータプログ
ラムが記憶されている。前記マイクロプロセッサが、前
記コンピュータプログラムに従って動作することによ
り、前記装置は、その機能を達成する。

【００７２】ＰＣ３０は、メモリカード１０から整数ｎ
及び乱数ｅを受け取り、受け取った整数ｎ及び乱数ｅ
を、インターネット６０を介して、配信サーバ装置４０
へ送信する。また、ＰＣ３０は、配信サーバ装置４０か
ら、インターネット６０を介して、暗号文ｃを受け取
り、受け取った暗号文ｃを、メモリカード１０の送受信
部１１４へ送信する。

【００７３】１．４ 配信サーバ装置４０ 配信サーバ装置４０は、図５に示すように、送受信部４
０１、公開鍵記憶部４０２、暗号化部４０３、制御部４
０４及び情報記憶部４０５から構成されている。この装
置は、ＰＣ３０と同様に、コンピュータシステムであ
り、マイクロプロセッサが、コンピュータプログラムに
従って動作することにより、前記装置は、その機能を達
成する。

【００７４】（１）情報記憶部４０５ 情報記憶部４０５は、あらかじめ平文ｍを記憶してい
る。平文ｍは、具体的には、デジタルの音楽情報であ
る。 （２）公開鍵記憶部４０２ 公開鍵記憶部４０２は、公開鍵としての整数ｎ及び乱数
ｅを記憶するための領域を備えている。

【００７５】（３）送受信部４０１ 送受信部４０１は、ＰＣ３０からインターネット６０を
介して、整数ｎ及び乱数ｅを受信し、受信した整数ｎ及
び乱数ｅを公開鍵記憶部４０２へ書き込む。また、送受
信部４０１は、暗号化部４０３から、暗号文ｃを受け取
り、受け取った暗号文ｃを、インターネット６０を介し
て、ＰＣ３０へ送信する。

【００７６】（４）暗号化部４０３ 暗号化部４０３は、情報記憶部４０５から平文ｍを読み
出し、公開鍵記憶部４０２から整数ｎ及び乱数ｅを読み
出し、読み出した整数ｎ及び乱数ｅを用いて、次の式に
より、平文ｍを暗号化して、暗号文ｃを生成する。ｃ＝
ｍ^e ｍｏｄ ｎ次に、暗号化部４０３は、生成した暗号
文ｃを送受信部４０１へ出力する。

【００７７】（５）制御部４０４ 制御部４０４は、配信サーバ装置４０を構成する各要素
を制御する。 １．５ ＰＤＡ２０及びヘッドフォン２１ ＰＤＡ２０は、メモリカード１０のメモリ部１０９内の
セキュア領域１１０に書き込まれている復号文ｍ’を読
み出し、読み出した復号文ｍ’をアナログの音声信号に
変換し、音声信号をヘッドフォン２１へ出力する。

【００７８】ヘッドフォン２１は、音声信号を音声に変
換して出力する。 １．６ 携帯電話５０ 携帯電話５０は、無線電波を用いて、他の電話機との間
で通信を行うことができる携帯型の電話機としての構成
を有し、さらに、ＰＣ３０及びＰＤＡ２０と同様の構成
を有する。

【００７９】この携帯電話５０は、具体的には、マイク
ロプロセッサ、ＲＯＭ、ＲＡＭ、液晶ディスプレィユニ
ット、入力部、通信部、マイク、スピーカなどから構成
されるコンピュータシステムである。前記ＲＡＭには、
コンピュータプログラムが記憶されている。前記マイク
ロプロセッサが、前記コンピュータプログラムに従って
動作することにより、携帯電話５０は、その機能を達成
する。

【００８０】携帯電話５０は、ＰＣ３０と同様に、メモ
リカード１０から整数ｎ及び乱数ｅを受け取り、受け取
った整数ｎ及び乱数ｅを、インターネット６０を介し
て、配信サーバ装置４０へ送信する。また、携帯電話５
０は、配信サーバ装置４０から、インターネット６０を
介して、暗号文ｃを受け取り、受け取った暗号文ｃを、
メモリカード１０の送受信部１１４へ送信する。

【００８１】携帯電話５０は、ＰＤＡ２０と同様に、メ
モリカード１０に記憶されているデジタル著作物を変換
して電気信号を生成し、生成した電気信号を音声に変換
して、音声を出力する。 １．７ コンテンツ配信システム１の動作 （１）コンテンツ配信システム１の動作コンテンツ配信
システム１の動作について、図６に示すフローチャート
を用い て説明する。

【００８２】メモリカード１０の素数生成部１０１は、
ランダムに素数ｐ_a 及び素数ｐ_b を生成し、生成した素
数ｐ_a 及び素数ｐ_b を素数記憶部１０３へ書き込む（ス
テップＳ１０１）。次に、公開鍵生成部１０６は、素数
記憶部１０３から素数ｐ_a 及び素数ｐ_b を読み出し、読
み出した素数ｐ_a と素数ｐ_b とを乗じて整数ｎ＝ｐ_a×
ｐ_b を算出し、算出した整数ｎを秘密鍵記憶部１０５及
び公開鍵記憶部１０７へ書き込み、数（ｐ_a −１）と数
（ｐ_b −１）との最小公倍数Ｌ＝ＬＣＭ（ｐ_a−１、ｐ_b
−１）を算出する（ステップＳ１０２）。次に、乱数
生成部１０４は、乱数ｅを生成し、生成した乱数ｅを公
開鍵生成部１０６へ出力する（ステップＳ１０３）。次
に、公開鍵生成部１０６は、乱数ｅを受け取り、受け取
った乱数ｅを用いて、数ｄ＝ｅ^-1 ｍｏｄ Ｌ を算出
し、算出した数ｄを秘密鍵記憶部１０５へ書き込み、乱
数ｅを公開鍵記憶部１０７へ書き込む（ステップＳ１０
４）。次に、送受信部１１４は、公開鍵記憶部１０７か
ら整数ｎ及び乱数ｅを読み出し、読み出した整数ｎ及び
乱数ｅをＰＣ３０へ出力し（ステップＳ１０５）、ＰＣ
３０は、整数ｎ及び乱数ｅを、インターネット６０を介
して、配信サーバ装置４０へ送信する（ステップＳ１０
６）。

【００８３】配信サーバ装置４０の公開鍵記憶部４０２
は、ＰＣ３０からインターネット６０及び送受信部４０
１を介して、整数ｎ及び乱数ｅを、受信して記憶し（ス
テップＳ１０６）、暗号化部４０３は、情報記憶部４０
５から平文ｍを読み出し、公開鍵記憶部４０２から整数
ｎ及び乱数ｅを読み出し、読み出した整数ｎ及び乱数ｅ
を用いて、次の式により、平文ｍを暗号化して、暗号文
ｃを生成する。

【００８４】ｃ＝ｍ^e ｍｏｄ ｎ （ステップＳ１０
７）次に、暗号化部４０３は、送受信部４０１及びイン
ターネット６０を介して、暗号文ｃをＰＣ３０へ送信し
（ステップＳ１０８）、ＰＣ３０は、暗号文ｃを受け取
り、受け取った暗号文ｃを、メモリカード１０の送受信
部１１４へ送信し、送受信部１１４は、受信した暗号文
ｃをメモリ部１０９内の一般領域１１１へ書き込む（ス
テップＳ１０９）。復号部１０８は、一般領域１１１か
ら暗号文ｃを読み出し、秘密鍵記憶部１０５から数ｄ及
び整数ｎを読み出し、読み出した数ｄ及び整数ｎを用い
て、次の式により、暗号文ｃを復号して、復号文ｍ’を
生成する。 ｍ’＝ｃ^d ｍｏｄ ｎ次に、復号部１０８
は、生成した復号文ｍ’をメモリ部１０９内のセキュア
領域１１０へ書き込む（ステップＳ１１０）。

【００８５】ＰＤＡ２０は、メモリカード１０のメモリ
部１０９内のセキュア領域１１０に書き込まれている復
号文ｍ’を読み出し（ステップＳ１１１）、読み出した
復号文ｍ’をアナログの音声信号に変換し、音声信号を
ヘッドフォン２１へ出力する。ヘッドフォン２１は、音
声信号を音声に変換して出力する（ステップＳ１１
２）。

【００８６】なお、メモリカード１０における上記動作
は、制御部１１２が、メモリカード１０を構成する各要
素を制御することにより行われる。 （２）素数生成部１０１の動作 素数生成部１０１の動作について、図７に示すフローチ
ャートを用いて説明する。

【００８７】乱数生成部１３１は、Ｌｅｎｑ−ＬｅｎＬ
−１ビットの乱数Ｒ’を生成し、判定対象生成部１３２
へ出力する（ステップＳ１３２）。次に、判定対象生成
部１３２は、数Ｒと数Ｎとを計算し、数Ｎを第１素数判
定部１３３へ出力し、数Ｎと数Ｒとを第２素数判定部１
３４に出力する（ステップＳ１３３）。次に、第１素数
判定部１３３は、２^N-1 ＝１ ｍｏｄ Ｎ（判定式１）
の成立を判定し、成立しない場合は（ステップＳ１３
４）、ステップＳ１３２へ戻って処理を繰り返す。

【００８８】成立する場合には（ステップＳ１３４）、
第２素数判定部１３４は、２^2R≠１ｍｏｄ Ｎ（判定式
２）の成立を判定し、成立しない場合は（ステップＳ１
３５）、ステップＳ１３２へ戻って処理を繰り返す。成
立する場合は（ステップＳ１３５）、素数として数Ｎを
生成制御部１０２へ出力し、素数生成部１０１は、処理
を終了する。

【００８９】なお、素数生成部１０１における上記動作
は、制御部１３５が、素数生成部１０１を構成する各要
素を制御することにより行われる。 １．８ 計算量の評価 素数生成部１０１による計算量について説明する。以下
において、Ｌ₁ ＝３、Ｌ₂ ＝５、Ｌ₃ ＝７、ｎ＝３、Ｌ
ｅｎｑ＝２５６ビットとし、２×Ｌｅｎｑ＝５１２ビッ
トの冪乗剰余演算における演算回数を見積もる。

【００９０】一般に、数Ｒを任意に選ぶ場合、Ｒが素数
となる確率は、１／（ｌｎ Ｒ）程度であるので、この
場合、５１２ビットの素数を生成するためにPocklingto
n 判定を試す回数は、ｌｎ （２⁵¹² ）と見積もること
ができる。ここで、ｌｎ Ｒは、Ｒの自然対数である。
上記第１の実施の形態では、 Ｎ＝２×Ｒ×ｑ＋１ ＝２×Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’×ｑ＋１ であるので、 Ｎ＝１ ｍｏｄ ２、 Ｎ＝１ ｍｏｄ Ｌ₁ 、 Ｎ＝１ ｍｏｄ Ｌ₂ 、・・・ 、Ｎ＝１ ｍｏｄ Ｌ_n であり、Ｎは、Ｌ₁ 、Ｌ
₂ 、・・・、Ｌ_n のいずれでも割り切れない。

【００９１】ｍｏｄ （２×Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）
の数が、２、Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_nで割り切れない確率
は、 φ（２×Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）／（Ｌ₁ ×Ｌ₂ ×・・・
×Ｌ_n ） ＝（２−１）×（Ｌ₁ −１）×（Ｌ₂ −１）×
・・・×（Ｌ_n −１）／（２×Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ） である。φは、オイラー関数と呼ばれ、辻井 重男、笠
原 正雄、「暗号と情報セキュリティ」、昭晃堂、199
0、11〜12ページに詳しく説明されている。

【００９２】従って、Pocklington 判定を試す数の個数
は、 （２−１）×（Ｌ₁ −１）×（Ｌ₂ −１）×・・・×（Ｌ_n
−１）／（２×Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ） 倍に削減できる。ここで、 Ｌ₁ ＝３、Ｌ₂ ＝５、Ｌ₃ ＝７、ｎ＝３であるので、 （２−１）×（３−１）×（５−１）×（７−１）／（２×３×５×７） ＝４８／２１０ ＝８／３５ となる。これは、従来例１と同じ確率である。

【００９３】次に、第１素数判定部１３３の判定を通過
する確率は、Miller-Rabin判定を通過する確率と等し
く、１／４以下である。従って、１つの合成数に対して
行う冪乗剰余演算の回数は、１＋１／４以下である。当
然、素数に対して行う冪乗剰余演算回数は、２である。
以上より、２５６ビットの素数を用いて、５１２ビット
の素数を生成するために行う５１２ビットの冪乗剰余演
算回数は、 （１＋１／４）（（ｌｎ ２⁵¹² ）×８／３５−１）＋
２＝８９．５ 以下である。

【００９４】第１の実施の形態では、Ｌｅｎｑ＝２５６
ビットの素数から、２×Ｌｅｎｑ＝５１２ビットの素数
を生成するが、第１の実施の形態の素数生成部１０１を
再帰的に使用することで、簡単に素数が分かる１６ビッ
トの素数から、５１２ビットの素数を生成することがで
きる。よって、１２８ビットから２５６ビットの素数を
生成する場合も同様に考えると、２５６ビットの素数を
生成するために行う２５６ビットの冪乗剰余演算回数
は、 （１＋１／４） （（ｌｎ ２²⁵⁶ ）×８／３５−１）
＋２＝４５．１ 以下である。

【００９５】冪乗剰余演算の計算量は、法のＮに依存
し、Ｎの３乗のオーダである。従って、２５６ビットの
冪乗剰余演算８回を、５１２ビットの冪乗剰余演算１回
相当と考えられる。６４ビットから１２８ビットなどの
他も同様に考えると第１の実施の形態の素数生成部１０
１全体の計算量を、５１２ビットの冪乗剰余演算回数で
見積もることができる。１６、３２ビットの素数生成の
計算量は、６４、１２８、２５６、５１２ビットの素数
生成の計算量に比べて小さいため無視し、第１の実施の
形態１の素数生成部１０１全体の計算量を、５１２ビッ
トの冪乗剰余演算回数で表すと、 （１＋１／４）｛（（ｌｎ ２⁶⁴）×８／３５−１）／
５１２＋（（ｌｎ ２¹²⁸ ）×８／３５−１）／６４＋
（（ｌｎ ２²⁵⁶ ）×８／３５−１）／８＋（（ｌｎ
２⁵¹² ）×８／３５−１）｝＋２（１／５１２＋１／６
４＋１／８＋１）＝１０９．０ 以下である。

【００９６】これは、従来例１の１１６．８回以下と比
べて、計算量が小さく、また、確定的に素数生成が可能
になる。また、確定的な素数生成法である従来例２と比
べて、２．２倍高速である。以上に説明したように、第
１の実施の形態によると、従来例と比較すると、確定的
な素数生成の計算時間を短縮できるという優れた効果が
ある。

【００９７】しかしながら、第１の実施の形態による
と、 Ｎ＝１ ｍｏｄ ２、 Ｎ＝１ ｍｏｄ Ｌ₁ 、 Ｎ＝１ ｍｏｄ Ｌ₂ 、・・ Ｎ＝１ ｍｏｄ Ｌ_n を満たす素数Ｎに限定して、素
数生成を行うので、生成できる素数の種類が少ない。

【００９８】暗号への使用を考えると、素数の種類が限
定されることは、暗号の使用法によっては、安全性の面
で懸念される場合がある。次に示す第２の実施の形態
は、この問題を解決することを目的としている。 ２．第２の実施の形態 本発明に係る別の実施の形態としてのコンテンツ配信シ
ステム１ｂ（図示していない）について、説明する。

【００９９】コンテンツ配信システム１ｂは、コンテン
ツ配信システム１と同様に構成を有している。メモリカ
ード１０は、素数生成部１０１に代えて、素数生成部１
０１ｂを備えている。ここでは、コンテンツ配信システ
ム１との相違点を中心として説明す。 ２．１ メモリカード１０の生成制御部１０２ 生成制御部１０２は、素数生成部１０１ｂへ、素数ｑ
と、素数ｑのビットサイズＬｅｎｑと、２以外の小さな
素数であるＬ₁ 、Ｌ₂ 、・・・、Ｌ_n と、（Ｌ₁ ×Ｌ₂ ×・
・・×Ｌ_n ）のビットサイズＬｅｎＬと、ｑ ｍｏｄ Ｌ
₁ 、ｑ ｍｏｄＬ₂ 、・・・、ｑ ｍｏｄ Ｌ_n とを出力
し、次に、素数生成部１０１ｂから１個の素数ｐを受け
取り、受け取った素数ｐを素数ｐ_a として素数記憶部１
０３へ書き込む。

【０１００】次に、同様にして、素数生成部１０１ｂ
へ、素数ｑと、素数ｑのビットサイズＬｅｎｑと、２以
外の小さな素数であるＬ₁ 、Ｌ₂ 、・・・、Ｌ_n と、（Ｌ
₁ ×Ｌ₂×・・・×Ｌ_n ）のビットサイズＬｅｎＬ、ｑ ｍ
ｏｄ Ｌ₁ 、ｑ ｍｏｄ Ｌ₂、・・・、ｑ ｍｏｄ Ｌ_n
とを出力し、次に、素数生成部１０１ｂから１個の素数
ｐを受け取り、受け取った素数ｐを素数ｐ_b として素数
記憶部１０３へ書き込む。

【０１０１】２．２ メモリカード１０の素数生成部１
０１ｂ 素数生成部１０１ｂは、素数ｑ、ｑ ｍｏｄ Ｌ₁ 、ｑ
ｍｏｄ Ｌ₂ 、・・・、ｑ ｍｏｄ Ｌ_n （Ｌ₁ 、Ｌ
₂ 、・・・、Ｌ_n は２以外の小さな素数）及び素数ｑのビ
ットサイズＬｅｎｑが与えられた場合、素数ｑのビット
サイズの２倍のビットサイズをもつ素数ｐを生成して出
力する。

【０１０２】ここで、Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n 及び（Ｌ₁
×Ｌ₂ ×・・・×Ｌ_n ）のビットサイズＬｅｎＬは予め与
えられているものとする。また、小さな素数の例とし
て、入力される素数ｑのビットサイズより小さな素数が
挙げられる。素数生成部１０１ｂは、図８に示すよう
に、部分情報設定部１３６ｂ、乱数生成部１３１ｂ、判
定対象生成部１３２ｂ、第１素数判定部１３３ｂ、第２
素数判定部１３４ｂ及び制御部１３５ｂから構成され
る。

【０１０３】（１）部分情報設定部１３６ｂ 部分情報設定部１３６ｂは、生成制御部１０２から素数
ｑ、ｑ ｍｏｄ Ｌ₁、ｑ ｍｏｄ Ｌ₂ 、・・・、ｑ ｍ
ｏｄ Ｌ_n を受け取り、 ２×ｕ×ｑ＋１≠０ ｍｏｄ Ｌ₁ 、 ２×ｕ×ｑ＋１≠０ ｍｏｄ Ｌ₂ 、・・・ ２×ｕ×ｑ＋１≠０ ｍｏｄ Ｌ_n を満たす数ｕを算出し、算出した数ｕを判定対象生成部
１３２ｂへ出力する。

【０１０４】部分情報設定部１３６ｂの詳細について以
下に説明する。部分情報設定部１３６ｂは、図８に示す
ように、整数生成部１４１ｂ及び情報合成部１４２ｂか
ら構成される。 （整数生成部１４１ｂ）整数生成部１４１ｂは、乱数Ｎ
₁ （１≦Ｎ₁ ≦Ｌ₁ −１）、Ｎ₂ （１≦Ｎ₂ ≦Ｌ₂ −
１）、・・・、Ｎ_n （１≦Ｎ_n ≦Ｌ_n −１）を発生し、 ｕ_i ＝（Ｎ_i −１）／（２×（ｑ ｍｏｄ Ｌ_i ））
ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を計算する。

【０１０５】次に、計算して得たｕ_i（ｉ＝１、２、・・
・、ｎ）を情報合成部１４２ｂへ出力する。 （情報合成部１４２ｂ）情報合成部１４２ｂは、整数生
成部１４１ｂからｕ_i（ｉ＝１、２、・・・、ｎ）を受け取
り、受け取ったｕ_i（ｉ＝１、２、・・・、ｎ）を用いて、
中国人の剰余定理から、 ｕ＝ｕ_i ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を満たすｕ ｍｏｄ（Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）を求め
る。

【０１０６】ここで、中国人の剰余定理については、岡
本 栄司、「暗号理論入門」、共立出版、１９９３、１
０ページに詳しく述べられている。具体的には、情報合
成部１４２ｂは、 u'₂ =((L₁ )^-1 mod L₂ )×((u₂ -u₁ ) mod L₂ )+u₁ u'₃ =((L₁ ×L₂ )^-1 mod L₃ )×((u₃ -u'₂ ) mod L₃ )+
u'₂・・・ u'_n =((L₁ ×L₂ ×・・・×L_n-1 )^-1 mod L_n )×((u_n -
u'_n-1 ) mod L_n )+u'_n-1 を計算し、ｕ＝ｕ’_n とする。

【０１０７】次に、情報合成部１４２ｂは、計算して得
た数ｕを判定対象生成部１３２ｂへ出力する。（２）乱
数生成部１３１ｂ 乱数生成部１３１ｂは、生成制御部１０２からＬｅｎｑ
及びＬｅｎＬを受け取り、受け取ったＬｅｎｑ及びＬｅ
ｎＬを用いて、（Ｌｅｎｑ−ＬｅｎＬ−１）ビット長の
乱数Ｒ’を生成し、生成した乱数Ｒ’を判定対象生成部
１３２ｂへ出力する。

【０１０８】また、乱数生成部１３１ｂは、第１素数判
定部１３３ｂから後述する第３判定情報を受け取る。ま
た、第２素数判定部１３４ｂから後述する第４判定情報
を受け取る。乱数生成部１３１ｂは、第３判定情報、又
は第４判定情報を受け取ると、再度、受け取ったビット
サイズＬｅｎｑ及びＬｅｎＬを用いて、（Ｌｅｎｑ−Ｌ
ｅｎＬ−１）ビットサイズの乱数Ｒ’を生成し、生成し
た乱数Ｒ’を判定対象生成部１３２ｂへ出力する。

【０１０９】（３）判定対象生成部１３２ｂ 判定対象生成部１３２ｂは、生成制御部１０２から素数
ｑ、Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を受け取り、部分情報設定
部１３６ｂから数ｕを受け取り、乱数生成部１３１ｂか
ら乱数Ｒ’を受け取る。次に、受け取った素数ｑ、Ｌ
₁ 、Ｌ₂ 、・・・、Ｌ_n 、数ｕ及び乱数Ｒ’を用いて、以
下の式を満たす数Ｒ及び数Ｎを生成する。

【０１１０】 Ｒ＝ｕ＋Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’ Ｎ＝２×Ｒ×ｑ＋１ 次に、判定対象生成部１３２ｂは、生成した数Ｒ及び数
Ｎを第２素数判定部１３４ｂへ出力し、生成した数Ｎを
第１素数判定部１３３ｂへ出力する。（４）第１素数判
定部１３３ｂ第１素数判定部１３３ｂは、判定対象生成
部１３２ｂから数Ｎを受け取り、受け取った数Ｎを用い
て、次の判定式３が成立するか否かを判定する。

【０１１１】２^N-1 ＝１ ｍｏｄ Ｎ （判定式３） 判定式３が成立する場合には、第１素数判定部１３３ｂ
は、成立する旨を示す第３判定情報を第２素数判定部１
３４ｂへ出力する。判定式３が成立しない場合には、成
立しない旨を示す第３判定情報を乱数生成部１３１ｂへ
出力する。 （５）第２素数判定部１３４ｂ 第２素数判定部１３４ｂは、判定対象生成部１３２ｂか
ら数Ｒ及び数Ｎを受け取る。また、第１素数判定部１３
３ｂから判定式３が成立する旨を示す第３判定情報を受
け取る。

【０１１２】第３判定情報を受け取ると、第２素数判定
部１３４ｂは、受け取った数Ｒ及び数Ｎを用いて、次の
判定式４が成立するか否かを判定する。 ２^2R≠１ ｍｏｄ Ｎ （判定式４） 判定式４が成立する場合には、第２素数判定部１３４ｂ
は、数Ｎを素数ｐとして生成制御部１０２へ出力する。

【０１１３】判定式４が成立しない場合には、第２素数
判定部１３４ｂは、判定式４が成立しない旨を示す第４
判定情報を乱数生成部１３１ｂへ出力する。 （６）制御部１３５ｂ 制御部１３５ｂは、素数生成部１０１ｂを構成する各要
素を制御する。 ２．３ 素数生成部１０１ｂの検証 第１素数判定部１３３ｂ及び第２素数判定部１３４ｂ
は、それぞれ素数生成部１０１の第１素数判定部１３３
及び第２素数判定部１３４と同じであるので、素数生成
部１０１ｂは、素数生成部１０１と同様、素数を出力す
る。

【０１１４】また、乱数Ｒ’のビットサイズがＬｅｎｑ
−ＬｅｎＬ−１であるので、ＲのビットサイズがＬｅｎ
ｑ−１になり、Ｎのビットサイズが２×Ｌｅｎｑにな
る。 ２．４ 素数生成部１０１ｂの動作 素数生成部１０１ｂの動作について図９に示すフローチ
ャートを用いて説明する。

【０１１５】部分情報設定部１３６ｂは、２×ｕ×ｑ＋
１≠０ ｍｏｄ（Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）を満たすｕ
を計算し、計算したｕを判定対象生成部１３２ｂへ出力
する（ステップＳ１５２）。次に、乱数生成部１３１ｂ
は、Ｌｅｎｑ−ＬｅｎＬ−１ビットの乱数Ｒ’を生成
し、生成した乱数Ｒ’を判定対象生成部１３２ｂへ出力
する（ステップＳ１５３）。判定対象生成部１３２ｂ
は、ＲとＮを計算し、Ｎを第１素数判定部１３３ｂへ出
力し、ＮとＲを第２素数判定部１３４ｂへ出力する（ス
テップＳ１５４）。第１素数判定部１３３ｂは、判定式
３の成立を判定し、成立しない場合は（ステップＳ１５
５）、ステップＳ１５３へ戻って処理を繰り返す。

【０１１６】成立する場合は（ステップＳ１５５）、第
２素数判定部１３４ｂは、判定式４の成立を判定し、成
立しない場合は（ステップＳ１５６）、ステップＳ１５
３へ戻って処理を繰り返す。成立する場合は（ステップ
Ｓ１５６）、第２素数判定部１３４ｂは、素数ｐとして
数Ｎを生成制御部１０２へ出力し（ステップＳ１５
７）、素数生成部１０１ｂは、処理を終了する。

【０１１７】２．４ 計算量の評価と効果 計算量については、第１の実施の形態とほぼ同じであ
る。ただし、第１の実施の形態の計算量と比べて、部分
情報設定部１３６ｂの計算量のみが増加する。しかし、
部分情報設定部１３６ｂは、ｍｏｄ Ｌ₁ 、ｍｏｄＬ
₂ 、・・・、ｍｏｄ Ｌ_n の計算、及び中国人の剰余定理
の計算のみであり、２×Ｌｅｎｑビットの数の計算と比
較して、小さくほとんど０とみなしても問題ない。

【０１１８】従って、第２の実施の形態について、計算
量に関し、第１の実施の形態と同等の効果が望める。ま
た、Ｎ＝Ｎ₁ ｍｏｄ Ｌ₁ 、Ｎ₂ ｍｏｄ Ｌ₂ 、・・
・、Ｎ_n ｍｏｄＬ_n であり、Ｎ₁ 、Ｎ₂ 、・・・、Ｎ_n は
乱数であるので、素数生成部１０１ｂは、生成する素数
を限定しない。そのため、素数が限定されることによる
安全性の懸念がなくなる。

【０１１９】従って、素数生成部１０１ｂによると、
（１）生成する素数を限定しない、（２）確定的な素数
を生成する、（３）従来例と比較して高速に素数を生成
するという優れた効果がある。以上に説明したように第
２の実施の形態によると、従来例と比較して、確定的な
素数生成の計算時間を短縮でき、さらに、生成する素数
の種類を限定しないため、素数を限定することによる安
全性の懸念がなくなり、安全性の面でもよい。このこと
から、高速な暗号方式や署名方式を可能にする素数生成
部を提供することができ，その実用的価値は大きい。

【０１２０】３．変形例 第１の実施の形態、又は第２の実施の形態においてそれ
ぞれ説明した素数生成を適用する暗号通信システム（図
示していない）について説明する。暗号通信システム
は、管理センタ装置、ユーザＡ装置及びユーザＢ装置か
ら構成される。管理センタ装置、ユーザＡ装置及びユー
ザＢ装置は、それぞれ、相互にネットワークを介して接
続されている。

【０１２１】管理センタ装置は、内部に、第１の実施の
形態に示す生成制御部１０２及び素数生成部１０１を備
え、生成制御部１０２及び素数生成部１０１により２個
の素数ｐ_a 及び素数ｐ_b を生成する。なお、管理センタ
装置は、内部に、第２の実施の形態に示す生成制御部１
０２及び素数生成部１０１ｂを備えるとしてもよい。以
下に、暗号通信システムの動作について、図１０に示す
フローチャートを用いて説明する。ここでは、素因数分
解することが計算量上困難であることを安全性の根拠と
するＲＳＡ暗号を応用している。ＲＳＡ暗号について
は、岡本 龍明、山本 博資、「現代暗号」、産業図
書、１９９７、１１０〜１１３ページが詳しく説明され
ている。

【０１２２】（１）管理センタ装置による公開鍵の生成 管理センタ装置は、生成制御部１０２及び素数生成部１
０１により、ランダムに素数ｐ_a 及び素数ｐ_b を生成し
（ステップＳ１７１）、素数ｐ_a 及び素数ｐ_bを用い
て、ｎ＝ｐ_a ×ｐ_b 、及びＬ＝ＬＣＭ（ｐ_a −１、ｐ_b
−１）を計算する（ステップＳ１７２）。

【０１２３】次に、管理センタ装置は、ランダムに乱数
ｅ（１≦ｅ≦Ｌ−１，ＧＣＤ（ｅ，Ｌ）＝１）を発生さ
せ、ｄ＝ｅ^-1 ｍｏｄ Ｌを計算する（ステップＳ１７
３）。ここで、ＧＣＤ（ｅ，Ｌ）は、ｅとＬの最大公約
数である。その後、管理センタ装置は、素数ｐ_a 、素数
ｐ_b 及び数ｄを秘密鍵として、ユーザＡ装置に対して秘
密裏に送信し（ステップＳ１７４）、ユーザＢ装置に対
して、数ｎ及び数ｅをユーザＡ装置の公開鍵として公開
して送信する（ステップＳ１７５）。

【０１２４】（２）ユーザＢ装置による暗号文の生成 ユーザＢ装置は、ｃ＝ｍ^e ｍｏｄ ｎを計算する（ステ
ップＳ１７６）。ここで、ｍは、ユーザＢ装置がユーザ
Ａ装置へ送信するメッセージである。次に、ユーザＢ装
置は、得られたｃを暗号文として、ユーザＡ装置に送信
する（ステップＳ１７７）。

【０１２５】（３）ユーザＡ装置による暗号文の復号 ユーザＡ装置は、ｍ’＝ｃ^d ｍｏｄ ｎを計算して、復
号メッセージｍ’を得る（ステップＳ１７８）。ここ
で、 ｃ^d ＝（ｍ^e ）^d ｍｏｄ ｎ ＝ｍ＊＊（ｅ×ｄ ｍｏｄ Ｌ） ｍｏｄ ｎ ＝ｍ¹ ｍｏｄ ｎ ＝ｍ ｍｏｄ ｎ となることから、メッセージｍが復号メッセージｍ’と
同一であることは明らかである。

【０１２６】以上説明したように、公開鍵の生成のステ
ップＳ１７１において、素数生成が行われる。この素数
生成のステップにおいて、第１の実施の形態又は第２の
実施の形態に示す生成制御部及び素数生成部が用いられ
るので、第１の実施の形態又は第２の実施の形態におい
て説明した効果が得られる。

【０１２７】４．まとめ 以上説明したように、素数ｑと２以外の前記素数ｑより
小さな素数Ｌ₁ 、Ｌ₂、・・・、Ｌ_n （ｎ≧２）とを入力と
し、前記素数ｑより大きな素数Ｎを出力する素数生成部
は、素数ｑが、ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・
・、ｎ）を満たし、Ｎ＝１ ｍｏｄ Ｌ_i （ｉ＝１、
２、・・・、ｎ）を満たすＮを素数として生成する。

【０１２８】また、素数生成部は、乱数Ｒ’を生成し、
前記素数ｑと前記乱数Ｒ’から、Ｒ＝Ｌ₁ ×Ｌ₂ ×・・・
×Ｌ_n ×Ｒ’と、Ｎ＝２×Ｒ×ｑ＋１とを生成し、生成
した前記Ｎ及び前記Ｒを用いて、前記Ｎの素数判定を行
う。また、素数ｑと２以外の前記素数ｑより小さな素数
Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n （ｎ≧２）を入力とし、前記素
数ｑより大きな素数Ｎを出力する素数生成部は、２×ｕ
×ｑ＋１≠０ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ）
を満たすｕを出力し、乱数Ｒ’を生成し、生成した前記
ｕ及び前記乱数Ｒ’を用いて、Ｒ＝ｕ＋Ｌ₁×Ｌ₂ ×・・・
×Ｌ_n ×Ｒ’と、Ｎ＝２×Ｒ×ｑ＋１とを出力し、前記
Ｎ及び前記Ｒを用いて、前記Ｎの素数判定を行う。

【０１２９】また、前記素数生成部は、整数Ｎ₁ （１≦
Ｎ₁ ≦Ｌ₁ −１）、Ｎ₂ （１≦Ｎ₂≦Ｌ₂ −１）、・・・、
Ｎ_n （１≦Ｎ_n ≦Ｌ_n −１）を発生し、ｕ_i ＝（Ｎ_i −
１）／（２×（ｑ ｍｏｄ Ｌ_i ）） ｍｏｄ Ｌ_i
（ｉ＝１、２、・・・、ｎ）を計算し、前記ｕ_i （ｉ＝
１、２、・・・、ｎ）を用いて、ｕ＝ｕ_i ｍｏｄ Ｌ
_i（ｉ＝１、２、・・・、ｎ）を満たすｕを計算する。

【０１３０】また、前記素数判定部は、前記Ｎに対し、
２^N-1 ＝１ ｍｏｄ Ｎの成立を判定し、前記Ｎ及びＲ
に対し、２^2R≠１ ｍｏｄ Ｎの成立を判定する。この
ように、本発明によると、確定的な素数生成ができると
ともに、従来例と比較して、計算時間を短縮できる。ま
た、生成する素数の種類を限定しないようにできるの
で、素数を限定することによる安全性の懸念がなくな
り、安全性の面でもよい。

【０１３１】以上により、高速な暗号方式や署名方式を
可能にする情報セキュリティ装置及び素数生成装置を提
供することができ，その実用的価値は大きい。 ５．その他の変形例 以上、実施の形態に基づいて説明したが、本発明はこれ
らの実施の形態に限られないことは勿論である。次のよ
うに構成してもよい。

【０１３２】（１）本発明は、本実施の形態に示す素数
生成部により、整数Ｌｅｎを入力とし、Ｌｅｎビットの
素数を出力するとしてもよい。 （２）上記において説明した素数生成部は、独立した１
個の装置であるとしてもよい。 （３）本発明は、本実施の形態に示す素数生成部を備え
る素数応用装置であるとしてもよい。素数応用装置の具
体的な例は、暗号化装置及び暗号復号装置からなる暗号
通信システム、デジタル署名作成装置及び署名検証装置
からなるデジタル署名システムである。これらのシステ
ムは、情報を安全かつ確実に扱う情報セキュリティシス
テムである。

【０１３３】（４）第１素数判定部１３３、第２素数判
定部１３４、第１素数判定部１３３ｂ、第２素数判定部
１３４ｂは、上記実施の形態と異なる素数判定式を使用
するとしてもよい。例えば、第１素数判定部１３３及び
第１素数判定部１３３ｂは、次の判定式を用いるとして
もよい。

【０１３４】ａ^N-1 ＝１ ｍｏｄ Ｎ としてもよい。但し、ａは１≦ａ≦Ｎ−１を満たす整数
である。また、第２素数判定部１３４及び第２素数判定
部１３４ｂは、つぎの判定式を用いるとしてもよい。 ｂ^2R≠１ ｍｏｄ Ｎ 又は、 ＧＣＤ（ｂ^2R−１、Ｎ）＝１ としてもよい。但し、ｂは１≦ｂ≦Ｎ−１を満たす整数
である。

【０１３５】（５）デジタル著作物は、音楽であるとし
ているが、その他のデジタル情報であるとしてもよい。
例えば、音声、動画像、静止画像、文章、表形式のデー
タ、コンピュータプログラムなどのデジタル情報である
としてもよい。 （６）上記の実施の形態において、ＲＳＡ暗号を適用す
るセキュリティシステムにおける素数生成部について説
明しているが、素数生成部の利用は、ＲＳＡ暗号を適用
するセキュリティシステムに限定されるものではない。
例えば、楕円暗号において、素数生成部を適用すること
が可能である。楕円暗号では、１個の素数を生成して用
いる。

【０１３６】（７）本発明は、上記に示す方法であると
してもよい。また、これらの方法をコンピュータにより
実現するコンピュータプログラムであるとしてもよい
し、前記コンピュータプログラムからなるデジタル信号
であるとしてもよい。また、本発明は、前記コンピュー
タプログラム又は前記デジタル信号をコンピュータ読み
取り可能な記録媒体、例えば、フレキシブルディスク、
ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ
−ＲＯＭ、ＤＶＤ−ＲＡＭ、半導体メモリなど、に記録
したものとしてもよい。また、これらの記録媒体に記録
されている前記コンピュータプログラム又は前記デジタ
ル信号であるとしてもよい。

【０１３７】また、本発明は、前記コンピュータプログ
ラム又は前記デジタル信号を、電気通信回線、無線又は
有線通信回線、インターネットを代表とするネットワー
ク等を経由して伝送するものとしてもよい。また、本発
明は、マイクロプロセッサとメモリとを備えたコンピュ
ータシステムであって、前記メモリは、上記コンピュー
タプログラムを記憶しており、前記マイクロプロセッサ
は、前記コンピュータプログラムに従って動作するとし
てもよい。

【０１３８】また、前記プログラム又は前記デジタル信
号を前記記録媒体に記録して移送することにより、又は
前記プログラム又は前記デジタル信号を前記ネットワー
ク等を経由して移送することにより、独立した他のコン
ピュータシステムにより実施するとしてもよい。 （７）上記実施の形態及び上記変形例をそれぞれ組み合
わせるとしてもよい。

【０１３９】

【発明の効果】上記目的を達成するために、素因数分解
をすることが計算量の上で困難であることを根拠とし
て、２個の素数を生成し生成した２個の素数の乗算を用
いて、所定の情報を安全かつ確実に扱い、各素数生成の
際に、既知の素数ｑの２倍のビット長を有する素数Ｎを
生成する情報セキュリティ装置であって、素数ｑ及びｎ
個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得し、ここで、
素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n は、それぞれ素数ｑより
小さい２以外の素数であり、素数ｑは、 ｑ＝１ｍｏｄ
Ｌ_i （ｉ＝１、２、・・・、ｎ） を満たす取得手段
と、取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る
数を除外した選択により、取得した前記素数ｑの２倍の
ビット長を有する数Ｎを生成する生成手段と、生成した
数Ｎの素数判定を行い、数Ｎが素数であると判定とされ
た場合に、数Ｎを素数として出力する判定手段とを備え
る。

【０１４０】この構成によると、確定的な素数生成がで
きるとともに、従来と比較して、計算時間を短縮でき
る。また、前記生成手段は、Ｎ＝１ ｍｏｄ Ｌ_i （ｉ
＝１、２、・・・、ｎ）を満たす前記数Ｎを生成する。
また、前記生成手段は、（Ｌｅｎｑ−ＬｅｎＬ−１）ビ
ット長の乱数Ｒ’を生成し、ここで、Ｌｅｎｑは、素数
ｑのビット長であり、ＬｅｎＬは、（Ｌ₁ ×Ｌ₂ ×・・
・×Ｌ_n ）のビット長である乱数生成部と、生成した
Ｒ’及び前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を用いて、
数Ｒ＝Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’により、数Ｒを
生成し、取得した素数ｑ及び生成した数Ｒを用いて、数
Ｎ＝２×Ｒ×ｑ＋１を生成する判定対象生成部とを含
み、前記判定手段は、前記数Ｎ及び前記数Ｒを用いて、
前記数Ｎの素数判定を行う。

【０１４１】この構成によると、計算時間を短縮でき
る。また、前記生成手段は、取得した前記素数ｑを用い
て、２×ｕ×ｑ＋１≠０ｍｏｄ Ｌ_i （ｉ＝１、２、・
・・、ｎ） を満たす数ｕを生成する部分情報生成部
と、乱数Ｒ’を生成する乱数生成部と、取得した前記素
数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n と、生成した前記数ｕと、
生成した前記乱数Ｒ’を用いて、Ｒ＝ｕ＋Ｌ ₁ ×Ｌ₂ ×
・・・×Ｌ_n ×Ｒ’により、数Ｒを生成し、取得した前
記素数ｑと、生成した数Ｒとを用いて、Ｎ＝２×Ｒ×ｑ
＋１により、数Ｎを生成する判定対象生成部とを含み、
前記判定手段は、前記数Ｎ及び前記数Ｒを用いて、前記
数Ｎの素数判定を行う。

【０１４２】この構成によると、生成する素数の種類を
限定することなく、計算時間を短縮できる。

【図面の簡単な説明】

【図１】コンテンツ配信システム１の構成を示すブロッ
ク図である。

【図２】メモリカード１０の構成を示すブロック図であ
る。

【図３】素数生成部１０１の構成を示すブロック図であ
る。

【図４】ＰＣ３０の構成を示すブロック図である。

【図５】配信サーバ装置４０の構成を示すブロック図で
ある。

【図６】コンテンツ配信システム１の動作を示すフロー
チャートである。

【図７】素数生成部１０１の動作を示すフローチャート
である。

【図８】素数生成部１０１ｂの構成を示すブロック図で
ある。

【図９】素数生成部１０１ｂの動作を示すフローチャー
トである。

【図１０】暗号通信システムの動作を示すフローチャー
トである。

【符号の説明】

１ コンテンツ配信システム １０ メモリカード ２０ ＰＤＡ ２１ ヘッドフォン ３０ ＰＣ ４０ 配信サーバ装置 ５０ 携帯電話 ６０ インターネット ６１ 無線基地局 ６２ 携帯電話網 １０１ 素数生成部 １０２ 生成制御部 １０３ 素数記憶部 １０４ 乱数生成部 １０５ 秘密鍵記憶部 １０６ 公開鍵生成部 １０７ 公開鍵記憶部 １０８ 復号部 １０９ メモリ部 １１０ セキュア領域 １１１ 一般領域 １１２ 制御部 １１３ 認証部 １１４ 送受信部 １３１ 乱数生成部 １３２ 判定対象生成部 １３３ 第１素数判定部 １３４ 第２素数判定部 １３５ 制御部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 大森 基司 大阪府門真市大字門真1006番地 松下電器 産業株式会社内 Ｆターム(参考） 5J104 AA23 EA04 EA19 EA32 JA28 NA02 NA18 NA35

Claims (12)

【特許請求の範囲】
1. 【請求項１】 素因数分解をすることが計算量の上で困
   難であることを根拠として、２個の素数を生成し生成し
   た２個の素数の乗算を用いて、所定の情報を安全かつ確
   実に扱い、各素数生成の際に、既知の素数ｑの２倍のビ
   ット長を有する素数Ｎを生成する情報セキュリティ装置
   であって、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
   し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
   れ素数ｑより小さい２以外の素数であり、素数ｑは、
   ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
   満たす取得手段と、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
   除外した選択により、取得した前記素数ｑの２倍のビッ
   ト長を有する数Ｎを生成する生成手段と、生成した数Ｎ
   の素数判定を行い、数Ｎが素数であると判定とされた場
   合に、数Ｎを素数として出力する判定手段とを備えるこ
   とを特徴とする情報セキュリティ装置。
2. 【請求項２】 前記生成手段は、 Ｎ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
   満たす前記数Ｎを生成することを特徴とする請求項１に
   記載の情報セキュリティ装置。
3. 【請求項３】 前記生成手段は、 （Ｌｅｎｑ−ＬｅｎＬ−１）ビット長の乱数Ｒ’を生成
   し、ここで、Ｌｅｎｑは、素数ｑのビット長であり、Ｌ
   ｅｎＬは、（Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ）のビット長で
   ある乱数生成部と、 生成したＲ’及び前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を
   用いて、数Ｒ＝Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’によ
   り、数Ｒを生成し、取得した素数ｑ及び生成した数Ｒを
   用いて、数Ｎ＝２×Ｒ×ｑ＋１を生成する判定対象生成
   部とを含み、 前記判定手段は、前記数Ｎ及び前記数Ｒを用いて、前記
   数Ｎの素数判定を行うことを特徴とする請求項２に記載
   の情報セキュリティ装置。
4. 【請求項４】 前記判定手段は、生成した前記数Ｎにつ
   いて、 第１判定式 ２^N-1 ＝１ ｍｏｄ Ｎ が成立するか否かを判定し、 さらに、生成した前記数Ｎ及び前記数Ｒについて、 第２判定式 ２^2R≠１ ｍｏｄ Ｎ が判定するか否かを判定し、 第１判定式及び第２判定式の両方が成立する場合に、数
   Ｎが素数であると判定することを特徴とする請求項３に
   記載の情報セキュリティ装置。
5. 【請求項５】 前記生成手段は、 取得した前記素数ｑを用いて、 ２×ｕ×ｑ＋１≠０ ｍｏｄ Ｌ_i （ｉ＝１、２、・・
   ・、ｎ） を満たす数ｕを生成する部分情報生成部と、 乱数Ｒ’を生成する乱数生成部と、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n と、生成し
   た前記数ｕと、生成した前記乱数Ｒ’を用いて、 Ｒ＝ｕ＋Ｌ₁ ×Ｌ₂ ×・・・×Ｌ_n ×Ｒ’ により、数Ｒを生成し、取得した前記素数ｑと、生成し
   た数Ｒとを用いて、 Ｎ＝２×Ｒ×ｑ＋１ により、数Ｎを生成する判定対象生成部とを含み、 前記判定手段は、前記数Ｎ及び前記数Ｒを用いて、前記
   数Ｎの素数判定を行うことを特徴とする請求項１に記載
   の情報セキュリティ装置。
6. 【請求項６】 前記部分情報生成部は、 整数Ｎ₁ （１≦Ｎ₁ ≦Ｌ₁ −１）、整数Ｎ₂ （１≦Ｎ₂
   ≦Ｌ₂ −１）、・・・、 整数Ｎ_n （１≦Ｎ_n ≦Ｌ_n −１）を生成し、 数ｕ_i ＝（Ｎ_i −１）／（２×（ｑ ｍｏｄ Ｌ_i ））
   ｍｏｄ Ｌ_i（ｉ＝１、２、・・・、ｎ） を算出する整数生成部と、 算出した前記数ｕ_i （ｉ＝１、２、・・・、ｎ）を用い
   て、 数ｕ＝ｕ_i ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を満たす数ｕを算出する情報合成部とを含むことを特徴
   とする請求項５に記載の情報セキュリティ装置。
7. 【請求項７】 前記判定手段は、生成した前記数Ｎにつ
   いて、 第１判定式 ２^N-1 ＝１ ｍｏｄ Ｎ が成立するか否かを判定し、 さらに、生成した前記数Ｎ及び前記数Ｒについて、 第２判定式 ２^2R≠１ ｍｏｄ Ｎ が判定するか否かを判定し、 第１判定式及び第２判定式の両方が成立する場合に、数
   Ｎが素数であると判定することを特徴とする請求項６に
   記載の情報セキュリティ装置。
8. 【請求項８】 素因数分解をすることが計算量の上で困
   難であることを根拠として、２個の素数を生成し生成し
   た２個の素数の乗算を用いて、所定の情報を安全かつ確
   実に扱い、各素数生成の際に、既知の素数ｑの２倍のビ
   ット長を有する素数Ｎを生成するＩＣカードであって、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
   し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
   れ素数ｑより小さい２以外の素数であり、素数ｑは、
   ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
   満たす取得手段と、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
   除外した選択により、取得した前記素数ｑの２倍のビッ
   ト長を有する数Ｎを生成する生成手段と、 生成した数Ｎの素数判定を行い、数Ｎが素数であると判
   定とされた場合に、数Ｎを素数として出力する判定手段
   とを備えることを特徴とするＩＣカード。
9. 【請求項９】 既知の素数ｑの２倍のビット長を有する
   素数Ｎを生成する素数生成装置であって、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
   し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
   れ素数ｑより小さい２以外の素数であり、素数ｑは、
   ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
   満たす取得手段と、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
   除外した選択により、取得した前記素数ｑの２倍のビッ
   ト長を有する数Ｎを生成する生成手段と、 生成した数Ｎの素数判定を行い、数Ｎが素数であると判
   定とされた場合に、数Ｎを素数として出力する判定手段
   とを備えることを特徴とする素数生成装置。
10. 【請求項１０】 既知の素数ｑの２倍のビット長を有す
    る素数Ｎを生成する素数生成装置で用いられる素数生成
    方法であって、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
    し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
    れ素数ｑより小さい２以外の素数であり、素数ｑは、
    ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
    満たす取得ステップと、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
    除外した選択により、取得した前記素数ｑの２倍のビッ
    ト長を有する数Ｎを生成する生成ステップと、 生成した数Ｎの素数判定を行い、数Ｎが素数であると判
    定とされた場合に、数Ｎを素数として出力する判定ステ
    ップとを含むことを特徴とする素数生成方法。
11. 【請求項１１】 既知の素数ｑの２倍のビット長を有す
    る素数Ｎを生成するコンピュータで用いられる素数生成
    プログラムであって、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
    し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
    れ素数ｑより小さい２以外の素数であり、素数ｑは、
    ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
    満たす取得ステップと、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
    除外した選択により、取得した前記素数ｑの２倍のビッ
    ト長を有する数Ｎを生成する生成ステップと、 生成した数Ｎの素数判定を行い、数Ｎが素数であると判
    定とされた場合に、数Ｎを素数として出力する判定ステ
    ップとを含むことを特徴とする素数生成プログラム。
12. 【請求項１２】 既知の素数ｑの２倍のビット長を有す
    る素数Ｎを生成するコンピュータで用いられる素数生成
    プログラムを記録しているコンピュータ読み取り可能な
    記録媒体であって、 前記素数生成プログラムは、 素数ｑ及びｎ個の素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n を取得
    し、ここで、素数Ｌ₁、Ｌ₂ 、・・・、Ｌ_n は、それぞ
    れ素数ｑより小さい２以外の素数であり、素数ｑは、
    ｑ＝１ ｍｏｄ Ｌ_i （ｉ＝１、２、・・・、ｎ） を
    満たす取得ステップと、 取得した前記素数Ｌ₁ 、Ｌ₂ 、・・・、Ｌ_n に係る数を
    除外した選択により、取得した前記素数ｑの２倍のビッ
    ト長を有する数Ｎを生成する生成ステップと、 生成した数Ｎの素数判定を行い、数Ｎが素数であると判
    定とされた場合に、数Ｎを素数として出力する判定ステ
    ップとを含むことを特徴とする記録媒体。