JP2003029630A - べき乗剰余演算装置 - Google Patents

Abstract

(57)【要約】 【課題】Ｍ^ｅ ｍｏｄ Ｎを高速に並列計算するべき乗剰
余演算装置を提供する。 【解決手段】整数Ｍ，Ｎ及びべき指数ｅを入力し、この
べき指数ｅを複数のべき指数要素に分解する分解手段
と、分解された複数のべき指数要素のそれぞれについて
のべき乗剰余計算を並列に実行する複数のべき乗剰余計
算手段と、複数のべき乗剰余計算手段による計算結果を
剰余乗算してＭ^ｅ ｍｏｄ Ｎを得る剰余乗算手段とを具
備する。分解手段は、複数のべき乗剰余計算手段の各々
の計算時間が互いに等しくなるようにべき指数ｅを分解
する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は情報セキュリティ技
術等に好適なべき乗剰余計算装置に関し、特に、べき乗
剰余の並列計算における効率化に関する。

【０００２】

【従来の技術】公開鍵暗号の方式として広く用いられて
いるＲＳＡ（Rivest-Shamir-AdlemanScheme）暗号で
は、情報の暗号化／復号化の際にべき乗剰余演算を行
う。このＲＳＡ暗号では、大きな整数を素因数分解する
ことの難しさを安全性の根拠としている。このようなＲ
ＳＡ暗号に加え、公開鍵暗号を用いるデジタル署名（Ｄ
ＳＡ署名：Digital Signature Algorithm）や公開鍵配
送法（ＤＨ法：Diffie-Hellman法）のような情報セキュ
リティ技術についても、有限体上のべき乗剰余を利用す
る。最近では、楕円曲線上の有理点のべき和を利用した
公開鍵暗号系が、効率の良さから注目されている。

【０００３】これらの情報セキュリティ技術に多用され
るべき乗剰余演算は、比較的時間のかかる演算とされて
おり、これを高速化する試みが様々な観点から数多くな
されている。べき乗剰余演算の高速化は、おおまかに、
多倍長の剰余乗算を高速化するものと、べき乗するとき
の順番を工夫するものとに分けることができる。前者の
代表的なものとしてモンゴメリ（Montgomery）法が公知
である。また、後者の代表的なものとしてバイナリ法
や、バイナリ法を改良した窓法が公知である。

【０００４】最近ではべき乗剰余演算を並列化して行う
方法も提案されている。

【０００５】

【発明が解決しようとする課題】従来、様々な観点から
べき乗剰余演算を高速化する方法が提案されているが、
本発明では、新たな観点から高速化に取り組むことを技
術的課題とする。すなわち、本発明は、既存のべき乗剰
余演算チップを容易に利用でき、べき乗剰余演算（Ｍ
^ｅ ｍｏｄ Ｎ）を高速に並列計算するべき乗剰余演算装
置を提供することを目的とする。

【０００６】

【課題を解決するための手段】上記課題を解決し目的を
達成するために本発明は次のように構成されている。

【０００７】本発明の請求項１に係るべき乗剰余演算装
置は、整数Ｍ，Ｎ及びべき指数ｅを入力してＭ＾ｅ ｍ
ｏｄ Ｎを計算するべき乗剰余演算装置において、前記
べき指数ｅを複数のべき指数要素に分解する分解手段
と、前記分解手段により分解された複数のべき指数要素
のそれぞれについてのべき乗剰余計算を並列に実行する
複数のべき乗剰余計算手段と、前記複数のべき乗剰余計
算手段による計算結果を剰余乗算する少なくとも１つの
剰余乗算手段とを具備し、前記分解手段は、前記複数の
べき乗剰余計算手段の各々の計算時間が互いに等しくな
るよう、前記複数のべき指数要素を分解するようにした
ことを特徴とする。

【０００８】本発明の請求項６に係るべき乗剰余演算方
法は、整数Ｍ，Ｎ及びべき指数ｅを入力してＭ＾ｅ ｍ
ｏｄ Ｎを計算するべき乗剰余演算方法において、前記
べき指数ｅを複数のべき指数要素に分解する分解ステッ
プと、前記分解ステップにおいて分解された複数のべき
指数要素のそれぞれについてのべき乗剰余計算を、複数
のべき乗剰余計算手段により並列に実行する計算ステッ
プと、前記計算ステップにおける計算結果を剰余乗算す
る剰余乗算ステップとを具備し、前記分解ステップは、
前記複数のべき乗剰余計算手段の各々の計算時間が互い
に等しくなるよう、前記複数のべき指数要素を分解する
ことを特徴とする。

【０００９】本発明の請求項７に係るプログラムは、コ
ンピュータに、整数Ｍ，Ｎ及びべき指数ｅを入力し、Ｍ
＾ｅ ｍｏｄ Ｎを計算させるにあたり、前記べき指数ｅ
を複数のべき指数要素に分解する分解機能と、前記分解
機能において分解された複数のべき指数要素のそれぞれ
についてのべき乗剰余計算を並列に実行する計算機能
と、前記計算機能における計算結果を剰余乗算する剰余
乗算機能と、を実行させるべき乗剰余演算プログラムで
あって、前記分解機能は、前記複数のべき指数要素のそ
れぞれについてのべき乗剰余計算の各々の計算時間が互
いに等しくなるよう、前記複数のべき指数要素を分解す
るよう実行させることを特徴とする。

【００１０】

【発明の実施の形態】以下、図面を参照しながら本発明
の実施形態を説明する。 「第１実施形態」図１は、本発明の第１実施形態に係る
べき乗剰余演算装置の概略構成を示すブロック図であ
る。同図に示すように、本実施形態に係るべき乗剰余演
算装置は、多倍長の整数Ｍ，ｅ，Ｎを入力する入力部１
２と、この入力部１２に接続され、Ｍ^ｅ ｍｏｄ Ｎを計
算するべき乗剰余演算装置の主部１１と、この主部１１
により計算されたＭ^ｅ ｍｏｄ Ｎを出力する出力部１３
とにより構成されている。整数ｅはべき（冪）指数であ
り、以下、本明細書では「Ｍ^ｅ」を「Ｍ＾ｅ」と表記す
る。べき乗剰余演算装置の主部１１は、べき指数ｅを複
数のべき指数（要素）に分解する分解部１４と、この分
解部１４に接続され、べき乗剰余計算を並列に実行する
複数のべき乗剰余計算部Ｕ１〜Ｕｎと、これら複数のべ
き乗剰余計算部Ｕ１〜Ｕｎに接続された１台の剰余乗算
器１７とを備えている。べき乗剰余計算部Ｕ１〜Ｕｎの
台数は、少なくとも２以上の任意の台数としてよい。べ
き乗剰余計算部Ｕ１〜Ｕｎの各々には、べき指数ｅの分
解に加え、入力部１２に入力された整数ＭおよびＮが分
解部１４から与えられる。また、べき乗剰余計算部Ｕ１
〜Ｕｎの各々は既存のべき乗剰余計算チップを用いて構
成してよい。

【００１１】図２は、第１実施形態の概略動作を示すフ
ローチャートである。本実施形態に係るべき乗剰余演算
装置が起動されると、先ずステップにおいて、入力部１
２は多倍長整数Ｍ，ｅ，Ｎを入力し、主部１１内の分解
部１４に送出する。

【００１２】次にステップにおいて、分解部１４は入力
部１２に入力されたべき指数ｅを複数のべき指数に分解
する。即ち、べき指数ｅをｅ＝ｅ１，ｅ２，ｅ
３，．．．，ｅｎに分解する。但し、ｅ１，ｅ２，ｅ
３，．．．，ｅｎの各々は整数であり、ｎは自然数であ
る。そして分解部１４は上記ステップS2で求めたべき指
数ｅの分解を、それぞれべき乗剰余計算部Ｕ１〜Ｕｎに
送出する。べき指数ｅの分解の仕方については後述す
る。

【００１３】次にステップS3において、べき乗剰余計算
部Ｕ１〜Ｕｎは、分解部１４から与えられたべき指数の
分解についてのべき乗剰余計算、すなわちＭ＾ｅ１ ｍ
ｏｄＮ，Ｍ＾ｅ２ ｍｏｄ Ｎ，．．．，Ｍ＾ｅｎ ｍｏ
ｄ Ｎを並列に計算する。べき乗剰余計算部Ｕ１〜Ｕｎ
は、各々で得られた計算結果を剰余乗算器１７に送出す
る。

【００１４】次にステップS4において、剰余乗算器１７
はべき乗剰余計算部Ｕ１〜Ｕｎから送られてきた計算結
果をもとに剰余乗算を行なって、以下のようにＭ＾ｅ
ｍｏｄ Ｎを得る。

【００１５】 （Ｍ＾ｅ１ ｍｏｄ Ｎ）×（Ｍ＾ｅ２ ｍｏｄ Ｎ）×…×（Ｍ＾ｅｎ ｍｏｄ Ｎ）ｍｏｄ Ｎ ＝Ｍ＾（ｅ１＋ｅ２＋…＋ｅｎ） ｍｏｄ Ｎ ＝Ｍ＾ｅ ｍｏｄ Ｎ つまり、Ｍ＾ｅｉ ｍｏｄ Ｎをｎ個のべき乗剰余計算部
Ｕ１〜Ｕｎにより並列計算した後に剰余乗算する場合
と、かかる並列計算を行なわない場合とで計算結果とし
ては同じものが得られる。

【００１６】そしてステップS5において、得られたＭ＾
ｅ ｍｏｄ Ｎを外部出力する。ここで、べき乗剰余計算
部Ｕ１〜Ｕｎにおけるべき乗剰余計算、即ち、Ｍ＾ｅ１
ｍｏｄ Ｎ，Ｍ＾ｅ２ ｍｏｄ Ｎ，．．．，Ｍ＾ｅｎ
ｍｏｄ Ｎのそれぞれの計算時間をＴ（ｅ１），Ｔ（ｅ
２），．．．，Ｔ（ｅｎ）と表すとき、本実施形態はＴ
（ｅ１）＝Ｔ（ｅ２）＝．．．＝Ｔ（ｅｎ）、およびＴ
（ｅｉ）＜Ｔ（ｅ）を必要条件とする。つまり、べき乗
剰余計算部Ｕ１〜Ｕｎにおけるべき乗剰余計算に要する
計算時間が互いに等しくなるようにし、また、並列計算
を行なわないで１回でべき乗剰余計算を行なった場合の
計算時間よりも、べき乗剰余計算部Ｕ１〜Ｕｎの単体で
の計算時間が短くなるようにする。この条件を満たすよ
うに、分解部１４はステップS2においてべき指数ｅを分
解する。

【００１７】したがって、本実施形態ではべき乗剰余計
算部Ｕ１〜Ｕｎの各々に計算の空き時間が生じることが
なく並列計算を効率化でき、べき乗剰余演算を高速化で
きる。

【００１８】以下、べき指数ｅの分解の仕方について詳
細に説明する。図３は、べき指数ｅの分解を説明するた
めの図である。ここではべき乗計算にバイナリ法を適用
することとし、べき指数ｅを２分割する場合について説
明する。つまり、べき乗剰余計算部Ｕ１およびＵ２が並
列計算に使用される。同図の２１は、ビット長がｍビッ
トの（多倍長）整数であるべき指数ｅを示している。

【００１９】まず、同図の２２に示すように、べき指数
ｅから奇数番目のビットの内容を抽出し、偶数番目のビ
ットには０を埋めて、べき指数ｅの第１の分解（要素）
としての整数ｅ１を得る。

【００２０】次に、同図の２３に示すように、べき指数
ｅから偶数番目のビットの内容を抽出し、奇数番目のビ
ットには０を埋めて、べき指数ｅの第２の分解（要素）
としての整数ｅ２を得る。このとき、ｅ＝ｅ１＋ｅ２で
ある。バイナリ法における計算所要時間は、べき乗演算
に含まれる剰余乗算の回数として算出でき、２乗剰余演
算の回数ｎと、べき指数のハミング重みの和となる。

【００２１】即ち、 Ｔ（ｅ）＝|ｅ|＋ｗ（ｅ） 但し|ｅ|はｅのビット数、ｗ（ｅ）はｅの各ビットで値
が１であるものの数、即ちハミング重みである。

【００２２】図３の例では、ｅ，ｅ１，ｅ２乗するとき
の剰余乗算の回数は以下のようになる。

【００２３】Ｔ（ｅ）＝ｎ＋０．５ｎ＝１．５ｎ Ｔ（ｅ１）＝ｎ＋０．２５ｎ＝１．２５ｎ Ｔ（ｅ２）＝ｎ＋０．２５ｎ＝１．２５ｎ 但し、べき指数ｅの各ビットの約半分が１であるとし、
これによりハミング重みを０．５ｎとしている。

【００２４】また、べき指数ｅの分解ｅ１とｅ２は、べ
き指数ｅのビットの奇数番目と偶数番目をそれぞれ抽出
したものであるから、１となるビットの数はさらに半分
となりハミング重みは０．２５ｎとなる。

【００２５】まず、上記のとおりＴ（ｅ１）＝Ｔ（ｅ
２）＝１．２５ｎである。また、ｅ１とｅ２の剰余乗算
の回数は合わせて２．５ｎ回であり、Ｔ（ｅ）の１．５
ｎよりも大きい。しかしながら、本実施形態ではｅ１の
計算とｅ２の計算を複数のべき乗剰余計算部Ｕ１および
Ｕ２により並列に行う。したがって、Ｍ＾ｅ ｍｏｄ Ｎ
を計算するために１．２５ｎ＋１回の計算で済むことか
ら高速化を実現できる。

【００２６】複数のべき乗剰余計算部Ｕ１〜Ｕｎの並列
計算によるべき乗剰余演算の効率は、いかにべき指数ｅ
を分解するかによって決まる。

【００２７】ここで、２台以上の複数のべき乗剰余計算
部Ｕ１〜Ｕｎを使用して並列計算を行なう場合に、べき
指数ｅを効率良く分解することについて説明する。

【００２８】一般にバイナリ法や窓法を使ったべき乗剰
余計算では次のような場合に計算時間が短くなる。 （１）べき指数のビット数が小さい （２）べき指数のハミング重みが小さい 以上を考慮しつつ、ここでは各ｅｉのハミング重みが小
さくなり、ｅｉのｉが大きくなるほどビット数が少なく
なるようにする。またｅ１の方がｅ２よりもビット数が
大きいので、その分ハミング重みが小さくなるようにｋ
１＜ｋ２とし、かつＴ（ｅ１）＝Ｔ（ｅ２）となるよう
な分解を得る。なお、ｅｉのｉが大きくなっても同様の
関係を保持するようにｋ１＜ｋ２＜…＜ｋｎとする。

【００２９】図４は以上の分解方法を説明するための図
である。同図の３１は、べき指数ｅの第１の分解要素で
あるｅ１を示している。このｅ１は、べき指数ｅの上位
ｋ１ビットを抽出した後に０を連接（ｋ１ビット以外の
全てのビットに０を埋めたもの；マスク）して構成した
整数である。このｅ１のビット長はｅと同じにする。

【００３０】次に、３２は、べき指数ｅの第２の分解要
素であるｅ２を示している。このｅ２は、べき指数ｅの
ｋ１ビットに後続するｋ２ビットを抽出し、０を連接し
て構成した整数である。このｅ２のビット長はｅ１のビ
ット長よりもｋ１ビット分だけ少ない。

【００３１】そして、３３はべき指数ｅの最後の分解要
素であるｅｎを示している。このｅｎは、べき指数ｅの
最下位ｋｎビットのみにより構成した整数である。

【００３２】上述したように、べき乗剰余演算に要する
計算時間（速度）は、べき指数のビット長とハミング重
みで決まる。そこで、この図４の例では、ビット長が大
きい上位の分解要素ｅｉ（ｉがより小さい）ほど、ハミ
ング重みが小さくなるようにｋｉのビット長を小さくす
ることで、各べき乗剰余計算の計算時間Ｔ（ｅｉ）を等
しくする。

【００３３】このような分解の仕方に則り、べき指数ｅ
を２分割する場合を図５を参照して説明する。なお、こ
こでも上述と同様にべき乗剰余演算にはバイナリ法が適
用されているものとする。

【００３４】図５に示す４１はべき指数ｅであり、１６
ビットのビット長を有する。このべき指数ｅを２分割
（ｎ＝２）する。

【００３５】まず、同図の４２は、べき指数ｅの第１の
分解要素であるｅ１を示している。このｅ１は、べき指
数ｅの上位４ビット（ｋ１＝４）を抽出した後に１２ビ
ット分の０を連接して構成した整数である。このｅ１の
ビット長はべき指数ｅと同じく１６ビットである。

【００３６】次に、４３はべき指数ｅの第２の分解要素
であるｅ２を示している。このｅ２は、べき指数ｅの下
位１２ビット（ｋ２＝１２；ｋ１＜ｋ２）を抽出して構
成した整数である。

【００３７】べき指数ｅ、第１の分解要素ｅ１、および
第２の分解要素ｅ２の各々についてのべき乗剰余計算に
要する剰余乗算の回数は以下のようになる。 Ｔ（ｅ）＝１６＋０．５×１６＝２４ Ｔ（ｅ１）＝１６＋０．５×４＝１８ Ｔ（ｅ２）＝１２＋０．５×１２＝１８ ここで、Ｔ（ｅ１）＝Ｔ（ｅ２）＝１８であり、最後の
剰余乗算を考慮して１９としても、１９＜２４＝Ｔ
（ｅ）となり、２４／１９＝１．２６となることから２
６％の高速化が実現されることがわかる。

【００３８】次に、図６を参照して３分割の場合を説明
する。ここでも上述と同様にべき乗剰余演算にはバイナ
リ法が適用されているものとする。

【００３９】図６に示す５１はべき指数ｅであり、５２
ビットのビット長を有する。このべき指数ｅを３分割
（ｎ＝３）する。

【００４０】まず、同図の５２は、べき指数ｅの第１の
分解要素であるｅ１を示している。このｅ１は、べき指
数ｅの上位４ビット（ｋ１＝４）を抽出した後に４８ビ
ット分の０を連接して構成した整数である。このｅ１の
ビット長はべき指数ｅと同じく５２ビットである。

【００４１】次に、５３は、べき指数ｅの第２の分解要
素であるｅ２を示している。このｅ２は、上位ｋ１ビッ
トに後続するべき指数ｅの中位１２ビット（ｋ２＝１
２；ｋ１＜ｋ２）を抽出し、３６ビット分の０を連接し
て構成した整数である。このｅ２のビット長は４８ビッ
トであり、これはべき指数ｅの５２ビットから上位４ビ
ット（ｋ１＝４）を除いたものに等しい。

【００４２】そして、５４は、べき指数ｅの第３の分解
要素であるｅ３を示している。このｅ３は、下位３６ビ
ット（ｋ３＝３６；ｋ２＜ｋ３）を抽出して構成した整
数である。 べき指数ｅ、第１の分解要素ｅ１、第２の
分解要素ｅ２、および第３の分解要素ｅ２の各々につい
てのべき乗剰余計算に要する剰余乗算の回数は以下のよ
うになる。 Ｔ（ｅ）＝５２＋０．５×５２＝７８ Ｔ（ｅ１）＝５２＋０．５×４＝５４ Ｔ（ｅ２）＝４８＋０．５×１２＝５４ Ｔ（ｅ３）＝３６＋０．５×３６＝５４ ここで、Ｔ（ｅ１）＝Ｔ（ｅ２）＝Ｔ（ｅ３）＝５４で
あり、最後の剰余乗算２回を考慮して５６としても、５
６＜７８＝Ｔ（ｅ）となり、７８／５６＝１．３９とな
ることから３９％の高速化が実現されることがわかる。

【００４３】ここで、以上説明したべき指数ｅの分解方
法の一般形を説明する。ここではまず２分割（図５）お
よび３分割（図６）の分解について述べた後、一般形を
述べる。

【００４４】バイナリ法を使って２分割した場合の各々
のべき乗剰余計算の実行時間は以下の２式で表される。 Ｔ（ｅ１）＝１．５×ｋ１＋ｋ２ Ｔ（ｅ２）＝１．５×ｋ２ ここで、Ｔ（ｅ１）＝Ｔ（ｅ２）であるからｋ２につい
て解くとｋ２＝３×ｋ１となり、ｋ２にはｋ１の３倍の
ビット数を割り当てればよいことが分かる。

【００４５】同様に、３分割の場合（図６）では、 Ｔ（ｅ１）＝１．５×ｋ１＋ｋ２＋ｋ３ Ｔ（ｅ２）＝１．５×ｋ２＋ｋ３ Ｔ（ｅ３）＝１．５×ｋ３ となり、Ｔ（ｅ１）＝Ｔ（ｅ２）＝Ｔ（ｅ３）からｋ２
およびｋ３について解くと、 ｋ２＝３×ｋ１ ｋ３＝９×ｋ１ となる、つまり、ｋ１，ｋ２，ｋ３の比を１：３：９と
すればよいことが分かる。

【００４６】バイナリ法以外の場合を考慮するために、
ハミング重みの係数０．５をα（０＜α＜１）という変
数で表すことにする。

【００４７】一般に、ｎ分割の場合 ｋ２＝ｒ×ｋ１ ｋ３＝ｒ＾２×ｋ１ ・・・ ｋｎ＝ｒ＾（ｎ−１）×ｋ１ のように表現できる。但し、ｒ＝１十１／αである。

【００４８】このとき、最後の剰余乗算を無視して考え
ることにすると、計算に要する実行時間は分割しないで
場合の

【数１】

【００４９】なお、上式はｎ→∞のとき１／（１＋α）
に収束する。

【００５０】以上説明したように第１実施形態によれ
ば、並列計算によるべき乗剰余計算（Ｍ^ｅ ｍｏｄ Ｎの
計算）を高速化できる。また、べき乗剰余計算部Ｕ１〜
Ｕｎに既存のべき乗剰余計算チップをそのまま利用可能
であることから実用的である。

【００５１】上述した第１実施形態は、図７に示すよう
に変形してもよい。すなわち、剰余乗算器１７に代えて
楕円加算器７２を設け、スカラー倍計算装置を構成す
る。かかる変形例は楕円曲線暗号に適用可能である。上
述したべき乗剰余演算では、Ｍ ^ｅ ｍｏｄ Ｎを計算する
が、スカラー倍計算では、ｅＭ＝（ｅ１＋ｅ２＋．．．
＋ｅｎ）Ｍを計算する。

【００５２】「第２実施形態」次に、本発明の第２実施
形態を説明する。

【００５３】図８は、本発明の第２実施形態に係るべき
乗剰余演算装置の概略構成を示すブロック図である。こ
の装置は、複数のべき乗剰余計算の要求を処理できるよ
うに拡張した装置であって、計算要求受付部６１、要求
待ちキュー６２、分配器６３、スケジューラ６４、べき
乗剰余計算部Ｖ１〜Ｖｎ、出力待ちキュー６６、および
出力部６７により構成されている。

【００５４】計算要求受付部６１への要求が多いとき
は、ｎ個のべき乗剰余計算部Ｖ１〜Ｖｎを各々単独のべ
き乗剰余計算のために使用する。一方、要求が少なくべ
き乗剰余計算に余裕があるときは、余っているべき乗剰
余計算を複数使って第１実施形態で述べた高速化を行う
ことにより、処理の効率化、高速化を図るものである。

【００５５】複数のべき乗剰余計算の要求を計算要求受
付部６１が受け付けると、該要求は要求待ちキュー６２
に蓄えられる。スケジューラ６４は、複数のべき乗剰余
計算部Ｖ１〜Ｖｎのどれを使って作業を行うかを決定す
る。分配器６３はスケジューラ６４によりなされた決定
に従って要求待ちキュー６２から要求を取り出し、該当
するべき乗剰余計算部Ｖ１〜Ｖｎに分配する。

【００５６】べき乗剰余計算部Ｖ１〜Ｖｎからの計算結
果は出力待ちキュー６６に出力される。このとき、べき
乗剰余計算部Ｖ１〜Ｖｎは計算処理の終了をスケジュー
ラ６４に通知する（通知信号６８）。出力待ちキュー６
６に蓄えられた計算結果は出力部６７を介して出力され
る。

【００５７】スケジューラ６４は通知信号６８等に基づ
いてどのべき乗剰余計算部がビジーであるかを常時把握
しており、要求に対して計算能力に余裕があるときは１
つの要求に対して複数のべき乗剰余計算を割り当てる。
このとき、上述した第１実施形態と同様の処理を行なっ
てべき乗剰余演算を高速に計算する。

【００５８】例えばべき乗剰余計算部が１０個（Ｖ１〜
Ｖ１０）である場合、計算要求が１０個であるときは、
１つの計算について１つのべき乗剰余計算を行う。要求
がより少なく例えば２個しかないときは、残っている８
個のべき乗剰余計算部をアイドルにしない。つまり、各
々１個の要求につき５個のべき乗剰余計算を割り当て
る。

【００５９】なお、以上説明した各機能の一部又は全部
をソフトウェアとして実現してもよい。また本発明は上
述した実施形態に限定されず種々変形して実施可能であ
る。

【００６０】

【発明の効果】以上説明したように、本発明によれば、
Ｍ^ｅｍｏｄＮを高速に並列計算するべき乗剰余演算装置
を提供できる。

【図面の簡単な説明】

【図１】本発明の第１実施形態に係るべき乗剰余演算装
置の概略構成を示すブロック図

【図２】図１に示した第１実施形態のべき乗剰余演算装
置の概略動作を示すフローチャート

【図３】図１に示した第１実施形態のべき乗剰余演算装
置におけるべき指数ｅの分解を説明するための図

【図４】べき指数ｅの効率的な分解を説明するための図

【図５】べき指数ｅの２分割例を説明するための図

【図６】べき指数ｅの３分割例を説明するための図

【図７】第１実施形態の変形例に係るスカラー倍計算装
置の概略構成を示すブロック図

【図８】本発明の第２実施形態に係るべき乗剰余演算装
置の概略構成を示すブロック図

【符号の説明】

１１…べき乗剰余演算装置の主部 １２…Ｍ，ｅ，Ｎの入力部 １３…Ｍ^ｅｍｏｄＮの出力部 １４…分解部 Ｕ１〜Ｕｎ…べき乗剰余計算部 １７…剰余乗算器

Claims (7)

【特許請求の範囲】
1. 【請求項１】 整数Ｍ，Ｎ及びべき指数ｅを入力してＭ
   ＾ｅ ｍｏｄ Ｎを計算するべき乗剰余演算装置におい
   て、 前記べき指数ｅを複数のべき指数要素に分解する分解手
   段と、 前記分解手段により分解された複数のべき指数要素のそ
   れぞれについてのべき乗剰余計算を並列に実行する複数
   のべき乗剰余計算手段と、 前記複数のべき乗剰余計算手段による計算結果を剰余乗
   算する少なくとも１つの剰余乗算手段とを具備し、 前記分解手段は、前記複数のべき乗剰余計算手段の各々
   の計算時間が互いに等しくなるよう、前記複数のべき指
   数要素を分解するようにしたことを特徴とするべき乗剰
   余演算装置。
2. 【請求項２】 前記分解手段は、前記べき指数ｅの奇数
   ビットを抽出して第１の前記べき指数要素を生成し、前
   記べき指数ｅの偶数ビットを抽出して第２の前記べき指
   数要素を生成することを特徴とする請求項１に記載のべ
   き乗剰余演算装置。
3. 【請求項３】 前記分解手段は、ｋ１＜ｋ２を満たすよ
   うに、前記べき指数ｅの上位ｋ１ビットを抽出すると共
   に該ｋ１ビットの下位をマスクして第１の前記べき指数
   要素を生成し、前記ｋ１ビットに続くｋ２ビットを前記
   べき指数ｅから抽出すると共に該ｋ２ビットの下位をマ
   スクして第２の前記べき指数要素を生成することを特徴
   とする請求項１に記載のべき乗剰余演算装置。
4. 【請求項４】 前記分割手段は、前記べき指数要素のハ
   ミング重みに基づいて、前記複数のべき乗剰余計算手段
   の各々の計算時間が互いに等しくなるように前記べき指
   数ｅを分解することを特徴とする請求項１乃至４のいず
   れか一項に記載のべき乗剰余演算装置。
5. 【請求項５】 べき乗剰余演算要求を受け付ける受付手
   段と、 前記複数のべき乗剰余計算手段の空き状況に応じて、前
   記受付手段が受け付けたべき乗剰余演算要求を前記複数
   のべき乗剰余計算手段の少なくとも一部を使用した並列
   演算に割り当てるスケジューラと、 をさらに具備することを特徴とする請求項１乃至４のい
   ずれか一項に記載のべき乗剰余演算装置。
6. 【請求項６】 整数Ｍ，Ｎ及びべき指数ｅを入力してＭ
   ＾ｅ ｍｏｄ Ｎを計算するべき乗剰余演算方法におい
   て、 前記べき指数ｅを複数のべき指数要素に分解する分解ス
   テップと、 前記分解ステップにおいて分解された複数のべき指数要
   素のそれぞれについてのべき乗剰余計算を、複数のべき
   乗剰余計算手段により並列に実行する計算ステップと、 前記計算ステップにおける計算結果を剰余乗算する剰余
   乗算ステップとを具備し、 前記分解ステップは、前記複数のべき乗剰余計算手段の
   各々の計算時間が互いに等しくなるよう、前記複数のべ
   き指数要素を分解することを特徴とするべき乗剰余演算
   方法。
7. 【請求項７】 コンピュータに、整数Ｍ，Ｎ及びべき指
   数ｅを入力し、Ｍ＾ｅ ｍｏｄ Ｎを計算させるにあた
   り、 前記べき指数ｅを複数のべき指数要素に分解する分解機
   能と、 前記分解機能において分解された複数のべき指数要素の
   それぞれについてのべき乗剰余計算を並列に実行する計
   算機能と、 前記計算機能における計算結果を剰余乗算する剰余乗算
   機能と、を実行させるべき乗剰余演算プログラムであっ
   て、 前記分解機能は、前記複数のべき指数要素のそれぞれに
   ついてのべき乗剰余計算の各々の計算時間が互いに等し
   くなるよう、前記複数のべき指数要素を分解するよう実
   行させることを特徴とするべき乗剰余演算プログラム。