JP2003177669A - 冪乗剰余演算装置及び冪乗剰余演算方法 - Google Patents

Abstract

(57)【要約】 【課題】 ＲＳＡ暗号化処理に必要な冪乗剰余演算速度
の向上を図る。 【解決手段】 公開鍵Ｅを上位データＥｕと下位データ
Ｅｄに分割し、レジスタ（１１，１２）に格納する。こ
こで、上位データＥｕの下位データＥｄに対応する桁は
全て０とする。冪乗剰余演算回路（２０）はレジスタ
（１１，１２，１３，１４）から上位データＥｕ、下位
データＥｄ、剰余基数Ｆ、平分Ｍを読み取り、（Ｍ^Ｅ
ｕ）ｍｏｄＦ、及び（Ｍ^Ｅｄ）ｍｏｄＦの剰余演算を
並列的に行い、各々の演算結果から、Ｃ＝（（（Ｍ^Ｅ
ｕ）ｍｏｄＦ）×（（Ｍ^Ｅｄ）ｍｏｄＦ））ｍｏｄＦ
として暗号文Ｃを算出する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明はＲＳＡ暗号方式、Ｅ
ＰＯＣ暗号方式、ラビン暗号方式、エルガマル暗号方
式、ディフィー・ヘルマン鍵配送方式等の冪乗剰余演算
を必要とする公開鍵暗号化／復号化処理の高速演算技術
に関する。

【０００２】

【従来の技術】近年の電子商取引においては、インター
ネット等のオープンネットワークを経由して情報の送受
信が行われるため、通信文書等のセキュリティを確保す
るべく、ＲＳＡ公開鍵暗号を利用した電子署名が利用さ
れている。電子署名を利用することにより、インターネ
ット上の情報を保護するだけでなく、情報発信者の身元
保証も可能となる。ＲＳＡ公開鍵暗号化方式は大きな数
の素因数分解が困難であることを利用した暗号化方式で
あり、解読が極めて困難であるため、暗号化方式として
は大変有効である。

【０００３】ＲＳＡ公開鍵暗号を利用した暗号化／復号
化処理の手順を簡単に説明すると、以下のようになる。
公開鍵を（Ｅ，Ｆ）、平文をＭ、秘密鍵を（Ｄ，Ｆ）、
暗号文をＣとすれば、Ｃ＝（Ｍ＾Ｅ）ｍｏｄＦ、Ｍ＝
（Ｃ＾Ｄ）ｍｏｄＦとなる。ここで、ｘ＾ｙはｘのｙ乗
を意味するものとする。 ［Ｃ＝（Ｍ＾Ｅ）ｍｏｄＦの計算アルゴリズム］ 変数 ｉ，ｊ，ｋ，Ｐ，Ｑ ２＾ｋ進ＳＤ数系数列の桁数 ｎ Ｅの２＾ｋ進ＳＤ数展開でのｊ桁目の値 Ｅｊ（０≦Ｅｊ≦（２＾ｋ）−１ ） Ｓｔｅｐ１．１ Ｃ＝１ Ｓｔｅｐ１．２ ｊ＝ｎ−１ Ｓｔｅｐ１．３ ｉ＝ｋ Ｓｔｅｐ１．４ Ｑ＝Ｃ Ｓｔｅｐ１．５ Ｐ＝（Ｑ×Ｃ）ｍｏｄＦ Ｓｔｅｐ１．６ Ｃ＝Ｐ Ｓｔｅｐ１．７ ｉ＝ｉ−１ Ｓｔｅｐ１．８ ｉｆ（ｉ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ１．４ Ｓｔｅｐ１．９ ｉｆ（Ｅｊ＝０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ１．１３ Ｓｔｅｐ１．１０ Ｑ＝（Ｍ＾Ｅｊ）ｍｏｄＦ Ｓｔｅｐ１．１１ Ｐ＝（Ｑ×Ｃ）ｍｏｄＦ Ｓｔｅｐ１．１２ Ｃ＝Ｐ Ｓｔｅｐ１．１３ ｉｆ（ｊ＞０） ｔｈｅｎ ｊ＝ｊ−１ ｇｏｔｏ Ｓｔｅｐ１．３ Ｓｔｅｐ１．１４ ｉｆ（Ｃ＜０） ｔｈｅｎ Ｃ＝Ｃ＋Ｆ ここで、Ｓｔｅｐ１．１０の剰余演算処理は、Ｍの０〜
（２＾ｋ）−１の累乗演算と剰余演算を施したメモリテ
ーブル（（Ｍ＾０）ｍｏｄＦ〜（Ｍ＾（（２＾ｋ）−
１）ｍｏｄＦの値を記憶したテーブル）から、Ｅｊをア
ドレスとして読み出す処理である。また、Ｓｔｅｐ１．
５、Ｓｔｅｐ１．１１におけるＰ＝（Ｑ×Ｃ）ｍｏｄＦ
の計算アルゴリズムは以下のようになる。 ［Ｐ＝（Ｑ×Ｃ）ｍｏｄＦの計算アルゴリズム］ 変数 ｊ，ｋ，Ｐ，Ｇ，Ｒ ２＾ｋ進ＳＤ数系数列の桁数 ｎ Ｃの２＾ｋ進ＳＤ数展開でのｊ桁目の値 Ｃｊ 但し、−（２＾ｋ）＋１≦Ｃｊ≦（２＾ｋ）−１とする。

【０００４】 Ｓｔｅｐ２．１ Ｐ＝０， ｊ＝ｎ Ｓｔｅｐ２．２ ｊ＝ｊ−１ Ｓｔｅｐ２．３ ｉｆ（Ｃｊ≧０） ｔｈｅｎ Ｇ＝（Ｑ×Ｃｊ）ｍｏｄＦ ｅｌｓｅ Ｇ＝Ｆ−（Ｑ×（−Ｃｊ））ｍｏｄＦ Ｓｔｅｐ２．４ Ｒ＝Ｐ×２＾ｋ＋Ｇ Ｓｔｅｐ２．５ Ｐ＝ＲｍｏｄＦ Ｓｔｅｐ２．６ ｉｆ（ｊ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ２．２ ここで、Ｓｔｅｐ２．３の剰余演算処理は、Ｑの値が決
定する毎にＱと０〜（２＾ｋ）−１との乗算と、剰余演
算を施したメモリテーブル（（Ｑ×０）ｍｏｄＦ〜（Ｑ
×（（２＾ｋ）−１））ｍｏｄＦ）から、Ｃｊをアドレ
スとして読み出す処理である。また、Ｓｔｅｐ２．５の
Ｐ＝ＲｍｏｄＦの演算処理は後述する並列方式又は予測
メモリテーブル方式により実行するものである。

【０００５】公開鍵暗号方式では暗号化／復号化処理に
おいて、多ビットからなる値の冪乗剰余演算が必要とな
る。これらの計算処理は加算と減算によって実現される
が、加算及び減算の処理速度を向上し、さらに加算／減
算回数を減らすことが暗号化／復号化処理を高速化する
ための課題となっている。しかしながら、実用的な演算
速度を実現する暗号プロセッサは未だ開発されておら
ず、国内の暗号プロセッサにおいても、１０数キロビッ
ト毎秒程度の処理速度が限界である。このため、通信文
書を圧縮したものや、共通鍵方式での鍵をソフトウエア
によりＲＳＡ暗号方式により暗号化しているのが現状で
ある。

【０００６】このような事情を背景として、情報通信分
野ではＲＳＡ公開鍵暗号化方式における乗算剰余演算の
高速化の研究が続けられており、「冗長２進剰余テーブ
ルに基づく高速暗号プロセッサの構成方法」（電子情報
通信学会論文誌２００１／５Ｖｏｌ．Ｊ８４−Ｄ−１
Ｎｏ．５）や、「多進ＳＤ（Signed Digit）数系にける
ＲＳＡ暗号の高速化処理の提案」（パーソナルコンピュ
ータユーザ利用技術協会論文誌Ｖｏｌ．１０ Ｎｏ．１
（２０００））等のように、ＲＳＡ公開鍵暗号化方式に
おける演算処理の高速化を実現する論文が発表されてい
る。特に、後者の論文発表者からは、同論文に掲載され
ている剰余演算の並列方式の他に、他の論文誌におい
て、予測テーブル方式が提案されている。

【０００７】

【発明が解決しようとする課題】しかし、同論文に掲載
されている剰余演算の並列方式では、ＳＤ数１桁同士の
（ｋ＋１）ビット加算器を１個とすると、ｎ桁２＾ｋ進
ＳＤ数同士の加算では、ｎ×（（２＾ｋ）−１）個の加
算器を常備し、選択回路を付加する必要がある。これで
は、ゲート数が膨大となり、現実的ではない。また、予
測テーブル方式では、ＲｍｏｄＦの剰余演算を計算する
準備として、Ｆの値の０〜（２＾ｋ）倍までのメモリテ
ーブルを用意し、Ｒの値から何倍のＦの値を減算すれば
よいかを決定する方式であるため、上記の剰余演算をす
るには、上記メモリテーブルの他、Ｒの値によるアドレ
ス変換用のメモリテーブルをも必要とする。さらに、同
方式では、剰余基数Ｆを変更する都度にこれらのメモリ
テーブルを作成し直す必要がある。また、同方式では、
剰余演算の結果を検証する必要があり、通信文書が短い
程、パフォーマンスが低下するという問題があった。

【０００８】このような問題点に鑑み、本発明者は、上
記論文誌に述べられている、「鍵の長さによって加算処
理の処理回数が最小となる最適な多進ＳＤ数系が存在す
る」ということを確認した上で、剰余演算に使用する多
進ＳＤ数系に工夫を加えることにより、公開鍵暗号化方
式に必要となる乗算剰余演算処理を高速に行うことので
きる新たな演算方式を見出した。そこで、本発明は、回
路規模を大きくすることなく、高速演算可能な冪乗剰余
演算技術を提案することを課題とする。

【０００９】

【課題を解決するための手段】上記の課題を解決するべ
く、本発明の冪乗剰余演算装置は、多数桁の整数Ｅ，
Ｍ，Ｆに対してＣ＝（Ｍ＾Ｅ）ｍｏｄＦなる冪乗剰余演
算を行う冪乗剰余演算装置において、Ｅ，Ｍ，Ｆを各桁
が正の２＾ｋ進ＳＤ数に変換して演算を行っている従来
の方式に加えて、更にＥを分割して並列に行う方法であ
る。

【００１０】前記整数Ｅのｎ桁の２＾ｋ進ＳＤ数に対し
て、Ｅ＝Ｅ₁＋Ｅ₂＋…＋Ｅ_p（ｐはｎより十分小さい
値）なる関係を満たし、Ｍのそれぞれの値による累乗演
算とＦでの剰余演算を合わせた処理時間が同程度の２＾
ｋ進ＳＤ数の集合Ｅ₁，Ｅ₂，…，Ｅ_pを記憶する記憶手
段と、前記記憶手段に記憶されているＥ₁，Ｅ₂，…，Ｅ
_pの値を読取り、（Ｍ^Ｅ₁）ｍｏｄＦ、（Ｍ^Ｅ₂）ｍｏ
ｄＦ、…、（Ｍ^Ｅ_p）ｍｏｄＦの冪乗剰余演算を並列的
に行い、各々の演算結果から、Ｃ＝（（（Ｍ^Ｅ₁）ｍｏ
ｄＦ）×（（Ｍ^Ｅ₂）ｍｏｄＦ）×…×（（Ｍ^Ｅ_p）ｍ
ｏｄＦ））ｍｏｄＦとしてＣを算出する乗算剰余演算手
段とを備える。かかる構成により、集積回路のゲート数
の多寡に依るが、整数Ｅを複数に分割してそれぞれを平
行して冪乗剰余演算を行うことで演算速度を向上するこ
とができる。

【００１１】本発明の加減算装置は、少なくとも一方が
−（２＾（ｋ−１）＋１）以上、２＾（ｋ−１）以下の
範囲にあるｎ桁の圧縮２＾ｋ進ＳＤ数とｎ桁の（圧縮）
２＾ｋ進ＳＤ数に展開された整数を各桁毎に並列して加
減算を行うｎ個の圧縮ＳＤ数加減算器から構成される加
減算装置であって、前記圧縮ＳＤ数加減算器は、当該桁
での２＾ｋ進ＳＤ数同士の加減算結果が２＾（ｋ−１）
以上であれば、桁上げを示すキャリー信号を上位桁へ出
力し、前記加減算結果が−２＾（ｋ−１）未満であれ
ば、桁借りをするキャリー信号を上位桁へ出力すること
により、桁上げ桁借りした元の計算結果はサインビット
を反転させるだけで２の補数となる。この結果と下位桁
の圧縮ＳＤ数加減算器からの桁上げ若しくは桁借りを示
すキャリー信号とを再計算した結果、当該桁での最終演
算結果が取り得る値の範囲を−（２＾（ｋ−１）＋１）
以上、２＾（ｋ−１）以下とする。２＾ｋ進ＳＤ数の加
減算結果を−（２＾（ｋ−１）＋１）以上、２＾（ｋ−
１）以下とすることにより、従来の２＾ｋ進ＳＤ数の加
算器、減算器がキャリーの伝播を２桁以上に及ぼさない
為だけであり、取り得る整数範囲が−（２＾ｋ）＋１以
上、（２＾ｋ）−１以下であったものをおよそ半分とし
データ量の削減を図り、装置全体の演算速度の向上を図
ることができる。また、加減算器内部のデコード回路が
簡単になることにより、回路規模を小さくすることがで
き、ｎ桁２＾ｋ進ＳＤ数の正負判定回路を組み込み自動
的に正の値を保持することが出来る。整数Ｍを各桁が正
の２＾ｋ進ＳＤ数に展開された状態から圧縮２＾ｋ進Ｓ
Ｄ数と変換しておく必要があるが、この圧縮ＳＤ数加算
器を用い、２＾ｋ進ＳＤ数に展開されたＭに０(各桁が
０のｎ桁の２＾ｋ進ＳＤ数)を一度加えることにより変
換する。

【００１２】本発明の剰余演算装置は、圧縮２＾ｋ進Ｓ
Ｄ数Ｒ，各桁が正の２＾ｋ進ＳＤ数Ｆに対してＰ＝Ｒｍ
ｏｄＦなる剰余演算をツリー（樹状）方式で行う剰余演
算装置であって、本発明の圧縮２＾ｋ進ＳＤ数加減算器
を用いる。レジスタＡ、レジスタＢ、レジスタＣ、レジ
スタｊ、及びレジスタＰを備え、下記の第１ステップか
ら第７ステップを順次実行することによりレジスタＰの
値を解とする。

【００１３】第１ステップ：レジスタＡにＲの値を代入
し、レジスタＢにＦ×（２＾ｋ）を代入し、レジスタｊ
にｋの値を代入する。

【００１４】第２ステップ：レジスタＣにレジスタＡの
値からレジスタＢの値を減じた値を代入する。

【００１５】第３ステップ：レジスタＣの値が０である
場合にはエラー処理をして第７ステップに移行する。

【００１６】第４ステップ：レジスタＣの値が正であっ
て、レジスタｊの値がｋに等しい場合には、レジスタＣ
の値をレジスタＡに代入して第７ステップに移行する。

【００１７】第５ステップ：レジスタＣの値が正である
場合には、レジスタＡにレジスタＣの値を代入する。

【００１８】第６ステップ：レジスタｊの値が０より大
きい場合には、レジスタＢの値を１／２にし、レジスタ
ｊの値を１デクリメントして、第２ステップに移行す
る。

【００１９】第７ステップ：レジスタＡの値をレジスタ
Ｐに代入し、終了処理をする。

【００２０】ここで、レジスタを加減算器に対応させれ
ば、レジスタＡが減算される値、レジスタＢが減算する
値で、レジスタＣが加減算結果の値であり正負判定回路
により自動的にレジスタＡの値となる。

【００２１】本発明の乗算剰余演算装置は、各桁の値が
−（２＾（ｋ−１）＋１）以上、２＾（ｋ−１）以下に
制限されたｎ桁の圧縮２＾ｋ進ＳＤ数Ｑ、Ｃ、及び各桁
が正の２＾ｋ進ＳＤ数Ｆに対してＰ＝（Ｑ×Ｃ）ｍｏｄ
Ｆなる乗算剰余演算を行う乗算剰余演算装置であって、
レジスタＰ、レジスタＧ、レジスタＲ、レジスタｊ、及
びレジスタＣを備え、ＣｊをＣのｊ桁目の値とし、下記
の第１ステップから第６ステップを順次実行することに
よりレジスタＰの値を解とする。

【００２２】第１ステップ：レジスタＰに０を代入し、
レジスタｊにｎを代入する。

【００２３】第２ステップ：レジスタｊにｊ−１を代入
する。

【００２４】第３ステップ：Ｃｊの値が０以上であると
きには、Ｃｊの値とＱとの積にＦを法とする剰余演算結
果をレジスタＧに代入し、Ｃｊの値が負であるときに
は、Ｃｊの値の絶対値とＱとの積にＦを法とする剰余演
算結果に（−１）を乗じた値をレジスタＧに代入する。

【００２５】第４ステップ：レジスタＰの値に（２＾
ｋ）を乗じ、この値にレジスタＧの値を加算した値をレ
ジスタＲに代入する。

【００２６】第５ステップ：レジスタＲの値が負である
ときには、レジスタＲの値とＦとを加算した値をレジス
タＰに代入し、レジスタＲの値が０以上であるときに
は、レジスタＲの値にＦを法とする剰余演算結果をレジ
スタＰに代入する。 第６ステップ：レジスタｊの値が正であるときには、第
２ステップに移行する。

【００２７】ここで、第３ステップの乗算剰余演算処理
は、Ｑの値が決定する毎にＱと０〜（２＾（ｋ−１) ＋
１）の乗算と、剰余演算を施したメモリテーブル（（Ｑ
×０）ｍｏｄＦ〜（Ｑ×（２＾（ｋ−１）＋１））ｍｏ
ｄＦ）から、Ｃｊの絶対値をアドレスとして読み出す処
理である。第４ステップでＰの値に（２＾ｋ）を乗じる
のは桁上げを行っているものである。第５ステップでの
剰余演算は前述したツリー方式剰余演算を行う。

【００２８】

【発明の実施の形態】以下、各図を参照して本実施の形
態について説明する。

【００２９】図１は暗号化鍵Ｅ（復号化鍵Ｄ）を２分割
した暗号処理プロセッサのブロック構成図である。同図
において、符号１０はデータバスを介して外部モジュー
ルとの間でデータの送受信を行うホストインタフェース
回路である。符号１１は取得した鍵Ｅ（Ｄ）を各桁が正
の２＾ｋ進ＳＤ数系に変換し（２＾ｋ進数列に分割する
だけでも可能）、上位データＥｕ（Ｄｕ）を記憶するレ
ジスタ、符号１２はその鍵の下位データＥｄ（Ｄｄ）を
記憶するレジスタである。

【００３０】但し、ＥｕのＥｄに対応する桁は０とし、
Ｅ＝Ｅｕ＋Ｅｄの関係が成立するものとする。例えば、
Ｅ＝「１０１１１１００１１」であるとき、Ｅｄ＝「１
１００１１」とすれば、Ｅｕの下位６桁は全て０である
ため、Ｅｕ＝「１０１１００００００」となる。符号１
３は取得した鍵（剰余基数）Ｆを各桁が正の２＾ｋ進Ｓ
Ｄ数系で記憶するレジスタ、符号１４は取得した平分Ｍ
（解読では暗号文Ｃ）を２＾ｋ進ＳＤ数系で記憶するレ
ジスタである。

【００３１】暗号化鍵Ｅ（復号化鍵Ｄ）はそれぞれの暗
号化処理時間が同程度（１０２４ビットの鍵では２＾ｋ
進ＳＤ数のｋが５で、上位有効桁が４０４ビット下位桁
は６２０ビット程度となる。）の上位データＥｕ（Ｄ
ｕ）と、下位データＥｄ（Ｄｄ）に分割され、レジスタ
１１，１２に格納された後、Ｍ×Ｍテーブル・リード・
コントロール回路１９へ出力され、平分Ｍ及び剰余基数
Ｆは冪乗剰余演算回路２０へ出力されて、メイン・コン
トロール回路１５の制御下において、Ｍ×Ｍテーブル１
８の作成を待ち、Ｃ１＝（Ｍ^Ｅｕ）ｍｏｄＦ、Ｃ２＝
（Ｍ^Ｅｄ）ｍｏｄＦの冪乗剰余演算処理が行われる。
冪乗剰余演算回路２０ではさらに、Ｃ＝（Ｃ１×Ｃ２）
ｍｏｄＦの乗算剰余演算を行い、暗号文Ｃ（解読文Ｍ）
を求める。暗号文Ｃ（解読文Ｍ）はＳＤ数系デコード回
路３２にて２進数のビット列に変換され、ＦＩＦＯバッ
ファ３３を介しホストインタフェース回路１０を通して
出力される。

【００３２】ここで、冪乗剰余演算回路２０におけるＣ
１及びＣ２を求めるアルゴリズムを記述すると、以下の
ようになる。 ［Ｃ１＝（Ｍ^Ｅｕ）ｍｏｄＦの計算アルゴリズム］ 変数 ａｉ，ｂｉ，ａｊ，ｂｊ，ｋ 変数 Ｐ１，Ｐ２，Ｑ１，Ｑ２ Ｅｕを２＾ｋ進ＳＤ数系数列に変換したときの桁数 ｎ （Ｅｕの桁数は、Ｅを２＾ｋ進ＳＤ数系数列に変換したときの桁数と同じ。） Ｅｄを２＾ｋ進ＳＤ数系数列に変換したときの桁数 ｍ Ｅｕの２＾ｋ進数展開でのａｊ桁目の値 Ｅｕ［ａｊ］ Ｅｄの２＾ｋ進数展開でのｂｊ桁目の値 Ｅｄ［ｂｊ］ 但し、０≦Ｅｕ［ａｊ］≦２＾ｋ−１、０≦Ｅｄ［ｂ
ｊ］≦２＾ｋ−１とする。

【００３３】 Ｓｔｅｐ３．１ Ｃ１＝１ Ｓｔｅｐ３．２ ａｊ＝ｎ−１ Ｓｔｅｐ３．３ ｉｆ（Ｅｕ［ａｊ］＞０） ｔｈｅｎ Ｃ１＝（Ｍ^Ｅｕ［ａｊ］）ｍｏｄＦ，ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．５ Ｓｔｅｐ３．４ ｉｆ（ａｊ＞０） ｔｈｅｎ ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．３ Ｓｔｅｐ３．５ ａｉ＝ｋ Ｓｔｅｐ３．６ Ｑ１＝Ｃ１ Ｓｔｅｐ３．７ Ｐ１＝（Ｑ１×Ｃ１）ｍｏｄＦ Ｓｔｅｐ３．８ Ｃ１＝Ｐ１ Ｓｔｅｐ３．９ ａｉ＝ａｉ−１ Ｓｔｅｐ３．１０ ｉｆ（ａｊ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ３．６ Ｓｔｅｐ３．１１ ｉｆ（Ｅｕ［ａｊ］＝０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ３．１５ Ｓｔｅｐ３．１２ Ｑ１＝（Ｍ^Ｅｕ［ａｊ］）ｍｏｄＦ Ｓｔｅｐ３．１３ Ｐ１＝（Ｑ１×Ｃ１）ｍｏｄＦ Ｓｔｅｐ３．１４ Ｃ１＝Ｐ１ Ｓｔｅｐ３．１５ ｉｆ（ａｊ＞０） ｔｈｅｎ ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．５ ［Ｃ２＝（Ｍ^Ｅｄ）ｍｏｄＦの計算アルゴリズム］ Ｓｔｅｐ４．１ Ｃ２＝１ Ｓｔｅｐ４．２ ｂｊ＝ｍ−１ Ｓｔｅｐ４．３ ｉｆ（Ｅｄ［ｂｊ］＞０） ｔｈｅｎ Ｃ２＝（Ｍ^Ｅｄ［ｂｊ］）ｍｏｄＦ，ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．５ Ｓｔｅｐ４．４ ｉｆ（ｂｊ＞０） ｔｈｅｎ ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．３ Ｓｔｅｐ４．５ ｂｉ＝ｋ Ｓｔｅｐ４．６ Ｑ２＝Ｃ２ Ｓｔｅｐ４．７ Ｐ２＝（Ｑ２×Ｃ２）ｍｏｄＦ Ｓｔｅｐ４．８ Ｃ２＝Ｐ２ Ｓｔｅｐ４．９ ｂｉ＝ｂｉ−１ Ｓｔｅｐ４．１０ ｉｆ（ｂｊ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ４．６ Ｓｔｅｐ４．１１ ｉｆ（Ｅｄ［ｂｊ］＝０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ４．１５ Ｓｔｅｐ４．１２ Ｑ２＝（Ｍ^Ｅｄ［ｂｊ］）ｍｏｄＦ Ｓｔｅｐ４．１３ Ｐ２＝（Ｑ２×Ｃ２）ｍｏｄＦ Ｓｔｅｐ４．１４ Ｃ２＝Ｐ２ Ｓｔｅｐ４．１５ ｉｆ（ｂｊ＞０） ｔｈｅｎ ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．５ ここで、Ｓｔｅｐ３．１１によりＥｕ（Ｄｕ）の下位Ｅ
ｄ（Ｄｄ）ｍ桁に相当する部分は０であるので、Ｓｔｅ
ｐ３．１２〜Ｓｔｅｐ３．１４をスキップすることがで
き、下位Ｅｄ（Ｄｄ）の演算時間と同等となるので短い
鍵で処理をしたのと同様となる。上述したＣ＝（Ｃ１×
Ｃ２）ｍｏｄＦ、Ｓｔｅｐ３．７のＰ１＝（Ｑ１×Ｃ
１）ｍｏｄＦ、Ｓｔｅｐ４．７のＰ２＝（Ｑ２×Ｃ２）
ｍｏｄＦの乗算剰余演算を求める式をＰ＝（Ｑ×Ｃ）ｍ
ｏｄＦとして計算するアルゴリズムを以下に記述する。 ［Ｐ＝（Ｑ×Ｃ）ｍｏｄＦの計算アルゴリズム］ 変数 ｊ，ｋ，Ｐ，Ｇ，Ｒ Ｃを２＾ｋ進ＳＤ数系数列に変換したときの桁数 ｎ Ｃの２＾ｋ進ＳＤ数系数列のｊ桁目の値 Ｃｊ 但し、Ｃｊの採り得る整数範囲を−（２＾（ｋ−１）＋
１）≦Ｃｊ≦２＾（ｋ−１）とする。

【００３４】 Ｓｔｅｐ５．１ Ｐ＝０，ｊ＝ｎ Ｓｔｅｐ５．２ ｊ＝ｊ−１ Ｓｔｅｐ５．３ ｉｆ（Ｃｊ≧０） ｔｈｅｎ Ｇ＝（Ｑ×Ｃｊ）ｍｏｄＦ ｅｌｓｅ Ｇ＝−（Ｑ×（−Ｃｊ））ｍｏｄＦ Ｓｔｅｐ５．４ Ｒ＝Ｐ×（２＾ｋ）＋Ｇ Ｓｔｅｐ５．５ ｉｆ（Ｒ＜０） ｔｈｅｎ Ｐ＝Ｒ＋Ｆ ｅｌｓｅ Ｐ＝ＲｍｏｄＦ Ｓｔｅｐ５．６ ｉｆ（ｊ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ５．２ ここで、Ｓｔｅｐ５．４でＲの値を求めるにあたり、Ｃ
ｊが負である場合には、その絶対値をアドレスとするメ
モリテーブルの値を、Ｒ＝Ｐ×（２＾ｋ）＋Ｇとして、
桁上げ処理したＰにより直接減算している。この結果、
従来のアルゴリズムにおけるＦからの減算処理を削減で
き、剰余演算を省略することが可能な場合が生じるた
め、処理スピードの向上を図ることができる。Ｓｔｅｐ
５．５のＰ＝ＲｍｏｄＦの計算アルゴリズムを以下に記
述する。 ［Ｐ＝ＲｍｏｄＦの計算アルゴリズム］ 変数 ｊ，ｋ，Ｐ，Ｒ，Ａ，Ｂ，Ｃ 変数 ＥＲＲ，ＥＮＤ 右シフト演算子 ＞＞ Ｓｔｅｐ６．１ Ａ＝Ｒ，Ｂ＝Ｆ×（２＾ｋ），ｊ＝ｋ ＥＲＲ＝０，ＥＮＤ＝０ Ｓｔｅｐ６．２ Ｃ＝Ａ−Ｂ Ｓｔｅｐ６．３ ｉｆ（Ｃ＝０） ｔｈｅｎ ＥＲＲ＝１ ｇｏｔｏ Ｓｔｅｐ６．６ Ｓｔｅｐ６．４ ｉｆ（（Ｃ＞０）ＡＮＤ（ｊ＝ｋ）） ｔｈｅｎ Ａ＝Ｃ ｇｏｔｏ Ｓｔｅｐ６．７ Ｓｔｅｐ６．５ ｉｆ（Ｃ＞０） ｔｈｅｎ Ａ＝Ｃ Ｓｔｅｐ６．６ ｉｆ（ｊ＞０） ｔｈｅｎ Ｂ＞＞１，ｊ＝ｊ−１ ｇｏｔｏ Ｓｔｅｐ６．２ Ｓｔｅｐ６．７ Ｐ＝Ａ，ＥＮＤ＝１ 尚、Ｓｔｅｐ６．１〜Ｓｔｅｐ６．７に記述する演算処
理が可能であるのは、Ｒの値が０以上、Ｆ×（２＾ｋ＋
１）未満である場合に限られるが、Ｓｔｅｐ５．４にお
いて、Ｒの値が０以上、Ｆ×（２＾ｋ＋１）未満である
ことが保証されている。このため、上記のアルゴリズム
において、Ａの値がＦ×（２＾ｋ）以上のときは以降の
減算処理をすることなく、剰余演算を終了することがで
きる。剰余基数Ｆは各桁が正の２＾ｋ進ＳＤ数であるた
め、剰余演算の１回毎の減算で引く値Ｂはシフト演算を
用いることで簡単に生成することができる。また、後述
するように、加減算器には正負判定機能が付加されてお
り、被減算数Ａは減算される毎に減算結果が正であれ
ば、Ｓｔｅｐ６．５において、ＡにＣを自動的に代入す
るように選択回路（マルチプレクサ）が設けられてい
る。

【００３５】図１において、Ｍ×Ｍテーブル１８には、
平文Ｍ（解読では暗号文Ｃ）のデータをもとにして累乗
演算コントロール回路１７とＣ１×Ｃ２コントロール回
路２７を除いた冪乗剰余演算回路２０全体で演算した
（Ｍ＾０）ｍｏｄＦ〜（Ｍ＾（（２＾ｋ）−１））ｍｏ
ｄＦの値が記憶されており、指定された０〜（２＾ｋ）
−１までのアドレスに対応する累乗剰余演算結果が出力
されるように構成されている。Ｍ×Ｍテーブル・リード
・コントロール回路１９はレジスタ１１，１２から供給
される暗号鍵上位データＥｕ、及び暗号鍵下位データＥ
ｄを取得し、Ｅｕ［ａｊ］及びＥｄ［ｂｊ］をアドレス
として、（Ｍ^Ｅｕ［ａｊ］）ｍｏｄＦ、及びＭ^Ｅｄ
［ｂｊ］）ｍｏｄＦの値をＭ×Ｍテーブル１８から読み
出し、冪乗剰余演算回路２０に出力する（Ｓｔｅｐ３．
３、Ｓｔｅｐ３．１２、Ｓｔｅｐ４．３、Ｓｔｅｐ４．
１２）。累乗演算コントロール回路１７はＭ×Ｍテーブ
ル１８、Ｍ×Ｍテーブル・リード・コントロール回路１
９、冪乗剰余演算回路２０を制御し、Ｍ×Ｍテーブル１
８の作成終了を示すステータス信号を取得すると、メイ
ン・コントロール回路１５にその旨を通知する。この時
点で次の平文Ｍ（解読では暗号文Ｃ）のデータを受け付
けることが出来る。

【００３６】冪乗剰余演算回路２０は大きく２つのブロ
ックに分割することができる。１つは、Ｃ１＝（Ｍ^Ｅ
ｕ）ｍｏｄＦの演算を行うブロックで、乗算コントロー
ル回路２１、Ｍ×Ｎテーブル２２、剰余演算コントロー
ル回路２３、及び圧縮ＳＤ数系加減算器２４から成る
（以下、Ｃ１ブロックと称する）。もう１つはＣ２＝
（Ｍ^Ｅｄ）ｍｏｄＦの演算を行うブロックで、乗算コ
ントロール回路２８、Ｍ×Ｎテーブル２９、剰余演算コ
ントロール回路３０、及び圧縮ＳＤ数系加減算器３１か
ら成る（以下、Ｃ２ブロックと称する）。乗算コントロ
ール回路２１，２８は、Ｑの値が決定される毎に、（Ｑ
×０）ｍｏｄＦ〜（Ｑ×（２＾（ｋ−１）＋１））ｍｏ
ｄＦの演算を圧縮ＳＤ数系加減算器２４，３１を使用し
て行って、その演算結果をＭ×Ｎテーブル２２，２９に
書込む。ここでは、圧縮２＾ｋ進ＳＤ数系列の冗長性を
利用して、Ｃｊの採り得る整数範囲を−（２＾（ｋ−
１）＋１）≦Ｃｊ≦（２＾（ｋ−１））としているた
め、Ｍ×Ｎテーブル２２，２９のデータ容量、及びテー
ブル作成時間を従来と比較して、（２＾（ｋ−１）＋
１）／（（２＾ｋ）−１）倍にし（ｋの値が大きい場合
には、およそ１／２となる）、並列で演算を行うため記
憶回路は同等となるが作成時間の大幅な短縮を実現する
ことができる。また、圧縮２＾ｋ進ＳＤ数の範囲を上記
の範囲に制限しても、ＳＤ数系デコード回路３２におい
て、完全な整数に戻せることが確認できている。Ｍ×Ｎ
テーブル・リード・コントロール回路２６は、Ｓｔｅｐ
５．３のＧ＝（Ｑ×Ｃｊ）ｍｏｄＦまたは、Ｇ＝−（Ｑ
×（−Ｃｊ））ｍｏｄＦにおいて、Ｍ×Ｎテーブル２
２，２９に書込まれた乗算剰余演算結果を、Ｃｊをアド
レスとして読み出す。Ｃ１×Ｃ２コントロール回路２７
はＣ１ブロック及びＣ２ブロックの演算の監視を行うと
ともに、早く演算が終了したブロックからのデータによ
り（Ｅの上位有効桁４０４ビット下位桁６２０ビット分
割ではＣ１ブロックが僅かに早く終了する。）あらかじ
めＭ×Ｎテーブル（Ｍ×Ｎテーブル２２）を作成し、作
成終了と他ブロックからの算出した値（Ｃ２）から、Ｃ
＝（Ｃ１×Ｃ２）ｍｏｄＦの乗算剰余演算を行い、暗号
文Ｃを求める。また、アービタ回路２５は冪乗剰余演算
回路２０内の演算処理の流れを監視し、Ｍ×Ｍテーブル
１８作成時はＭ×Ｎテーブル２２，２９及び、Ｍ×Ｎテ
ーブル・リード・コントロール回路２６をコントロール
し（両方のＭ×Ｎテーブルが必要）、Ｍ×Ｍテーブルか
らの読み出しではＭ×Ｍテーブル・リード・コントロー
ル回路１９にＣ１，Ｃ２ブロックの情報を送る。乗算剰
余演算コントロール回路１６は冪乗剰余演算回路２０を
制御し、演算終了を示すステータス信号を取得すると、
メイン・コントロール回路１５にその旨を通知する。剰
余演算コントロール回路２３及び圧縮ＳＤ数系加減算器
２４、剰余演算コントロール回路３０及び圧縮ＳＤ数系
加減算器３１はそれぞれＣ１、Ｃ２の乗算剰余演算にお
いて、Ｓｔｅｐ５．５のＰ＝ＲｍｏｄＦの演算処理を行
う。

【００３７】図２はＣ１ブロックのＳＤ数系加減算器２
４に乗算コントロール回路２１、及び剰余演算コントロ
ール回路２４からのコマンドによる制御回路を加えた圧
縮ＳＤ数系加減算器の回路構成図例である。Ｃ２ブロッ
クにおいても同様の回路を構成する。同図に示す入力
Ｒ，Ｆは、有効桁数に桁上げ処理や加算による桁あふれ
を考慮したｎ桁圧縮２＾ｋ進ＳＤ数系の値である。剰余
演算コントロール回路２３（剰余演算コントロール回路
３０）による剰余演算コマンドでの演算は加減算コマン
ドとの協調により、加減算回路全体の主制御を行う制御
回路４１からのＳＥＬ−Ａ信号により、圧縮２＾ｋ進Ｓ
Ｄ数ｎ桁のＲをｎ個のセレクタ４３₀，４３₁，…，４３
_n-1選択し、ｎ個のレジスタ４４₀，４４₁，…，４４_n-1
で加減算器の一方の入力（アルゴリズムではＡ）に取り
込み、ＦをＳＥＬ−Ｂ信号によりｎ個のセレクタ４
７₀，４７₁，…，４７_n-1で選択し、シフトレジスタ４
２で２＾ｋ倍して加減算器の他方の入力（アルゴリズム
ではＢ）へ取り込む。セレクタ４３は１回の減算毎にｎ
桁の減算結果が正であればその結果を選択し、レジスタ
４４で保持する。また、シフトレジスタ４２は１回の減
算毎に右シフト（１／２倍）する。

【００３８】各々の桁についてｎ個の加減算器４５₀，
４５₁，…，４５_n-1を用いて、Ｓｔｅｐ６．１〜Ｓｔｅ
ｐ６．７の計算アルゴリズムに従って減算を施すことに
より、Ｐ＝ＲｍｏｄＦの演算処理を行って、圧縮２＾ｋ
進ＳＤ数系ｎ桁のＰ（２＾ｋ，０），Ｐ（２＾ｋ，
１），…，Ｐ（２＾ｋ，ｎ−１）を出力する演算回路を
構成することができる。同図に示すように、入力データ
Ｒ，Ｆの各々の桁について減算を行うｎ個の加減算器４
５₀，４５₁，…，４５_n-1の各々から出力される加減算
結果（アルゴリズムではＣ）はセレクタ４３₀，４３₁，
…，４３_n-1にフィードバックされ、加減算結果の正負
の極性を示すサイン信号Ｓ（２＾ｋ，０），Ｓ（２＾
ｋ，１），…，Ｓ（２＾ｋ，ｎ−１）、及び加減算結果
が０であるか否かを示すノンゼロ信号ＮＯＮ＿ＺＥＲＯ
（２＾ｋ，０），ＮＯＮ＿ＺＥＲＯ（２＾ｋ，１），
…，ＮＯＮ＿ＺＥＲＯ（２＾ｋ，ｎ−１）、最上位桁の
加減算器からのキャリーを示すＣＡ（２＾ｋ，ｎ−
１）、を取得して、正負を判定する正負判定回路４６を
備えている。

【００３９】乗算剰余演算では前提となるＭ×Ｎテーブ
ル２２，２９のデータを作成するため加減算コマンドに
より加算と減算を繰り返すことにより行う。ＲをＭと
し、Ｎを０から２＾（ｋ−１）＋１とするとＮが０と１
の場合はそれぞれ０とＲをテーブルへ書き込むだけであ
るのでＲ×２より説明する。制御回路４１からのＳＥＬ
−Ａ，ＳＥＬ−Ｂ信号により加減算器に与える値を両方
ともＲとし、制御回路４１からのＰＬＵＳ＿ＭＩＮＵＳ
信号を加算とし加算結果のＲ＋Ｒをセレクタ４３で選択
後、レジスタ４４にて保持する。一方セレクタ４７はＦ
を選択しシフトレジスタ４２でＦを保持する。次に加減
算器を減算モードとし演算することにより（２Ｒ）ｍｏ
ｄＦを計算したことになる（Ｒ≦Ｆ）。この結果をＭ×
Ｎテーブル２２，２９に書き込むと同時に再びセレクタ
４３で選択しレジスタ４４で保持し、セレクタ４７では
Ｒを選択しシフトレジスタ４２でこれを保持する。

【００４０】加減算器を加算モードとし（２Ｒ）ｍｏｄ
Ｆ＋Ｒを行う。この結果はレジスタ４４に保持され、次
にシフトレジスタ４２にはＦを保持し減算することによ
り（３Ｒ）ｍｏｄＦを実行したことになる。この結果
は、Ｍ×Ｎテーブル２２，２９に書き込むと同時に再び
セレクタ４３で選択されレジスタ４４に戻される。のよ
うに加算と減算を交互に繰り返すことによりテーブルを
完成させることができる。

【００４１】冪乗剰余演算もこの二つの方法、剰余演算
と乗算剰余演算を組み合わせることにより実行すること
ができる。また、このようにＰ＝ＲｍｏｄＦの剰余演算
処理をする場合においては、加減算器４５₀，４５₁，
…，４５_n-1は１組でよく、しかもメモリを一切必要と
しないので、回路規模の縮小を実現できる。また、減算
回数は（ｋ＋１）回になるが、結果のチェックは必要な
く、剰余演算が終了したことが判明すればよい。剰余演
算の終了はＳｔｅｐ６．７において、ＥＮＤ＝１となっ
た時点で判明できる。また、剰余演算のための予備的な
処理のオーバーヘッドがなく、パフォーマンスの向上が
期待できる。

【００４２】図３は圧縮２＾ｋ進ＳＤ数加減算器４５の
回路構成図である。ここでは、加減算の対象となる整数
Ａ，Ｂを少なくとも一方が圧縮２＾ｋ進ＳＤ数系である
２＾６進ＳＤ数に変換して演算を行う場合を説明する。
加減算器４５は２＾６進ＳＤ数に変換されたＡ，Ｂ、及
び下位桁からのキャリー信号ＣＡ＿Ｉを入力として、制
御回路４１（図２）からのＰＬＵＳ＿ＭＩＮＵＳ信号に
対応して加減算を行い、キャリー信号ＣＡ＿Ｏ、サイン
符号Ｃ（Ｓ）、演算結果Ｃ（５）〜Ｃ（０）、及びＮＯ
Ｎ＿ＺＥＲＯ信号を出力する。加減算器４５はＡ、Ｂの
加減算結果が−（２＾（ｋ−１）＋１）以上、２＾（ｋ
−１）以下となるように工夫してある。同図において、
Ａ（Ｓ）はＡの正負を表す符号であり、「０」は
「正」、「１」は「負」を表すものとする。Ｂ（Ｓ）、
Ｃ（Ｓ）、Ｑ（Ｓ）についても同様である。また、Ａ
（５）〜Ａ（０）、Ｂ（５）〜Ｂ（０）、Ｃ（５）〜Ｃ
（０）はそれぞれＡ，Ｂ，Ｃの６桁の２＾６進ＳＤ数、
Ｑ（６）〜Ｑ（０）は７桁の桁上がりを考慮した２＾６
進ＳＤ数同士の加減算結果である。また、以降の説明に
おいて、下位桁から桁上げ（キャリー）があるときは、
ＣＡ＿Ｉ＝０１、下位桁から桁借り（ボロー）があると
きは、ＣＡ＿Ｉ＝１１、下位桁から桁上げ／桁借りの何
れも生じないときはＣＡ＿Ｉ＝００とする。上位桁への
出力であるＣＡ＿Ｏについても同様とする。

【００４３】加減算器５１は２＾６進ＳＤ数Ａ，Ｂの加
減算を行い、Ｑ（Ｓ）、Ｑ（６）〜Ｑ（０）を出力す
る。この加減算器の結果のみにより上位桁への桁上げ／
桁借りのキャリーとサイン符号をデコーダ５２で生成
し、サインゼネレータ５３、及び加減算器５４は、下位
桁からの桁上げ／桁借りを考慮した上で当該桁の加減算
結果と正負のサインビットとを生成する。上位桁への桁
上げ／桁借りが生じていても加減算器５１の結果からの
２＾ｋを差し引く処理や、２＾ｋを加える処理を当該桁
のサインビットの生成方法のみで不要としている。

【００４４】デコーダ５２はキャリー信号ＣＡ＿Ｏと下
位からのキャリーを考慮しないサイン符号を出力するた
めの回路であり、Ｑ（Ｓ），Ｑ（６），Ｑ（５）が０，
１，ｘである場合には、ＣＡ＿Ｏ＝０１，Ｓ＝０を出力
する。ここで、ｘは０又は１の何れかとする。同様に、
Ｑ（Ｓ），Ｑ（６），Ｑ（５）が０，０，１である場合
には、ＣＡ＿Ｏ＝０１，Ｓ＝１を出力し、Ｑ（Ｓ），Ｑ
（６），Ｑ（５）が０，０，０である場合には、ＣＡ＿
Ｏ＝００，Ｓ＝０を出力し、Ｑ（Ｓ），Ｑ（６），Ｑ
（５）が１，１，１である場合には、ＣＡ＿Ｏ＝００，
Ｓ＝１を出力し、Ｑ（Ｓ），Ｑ（６），Ｑ（５）が１，
１，０である場合には、ＣＡ＿Ｏ＝１１，Ｓ＝０を出力
し、Ｑ（Ｓ），Ｑ（６），Ｑ（５）が１，０，ｘである
場合には、ＣＡ＿Ｏ＝１１，Ｓ＝１を出力する。

【００４５】サインゼネレータ５３はＡ，Ｂの加減算結
果と下位からのキャリーによって当該桁の正負を判別す
るための回路であり、ＣＡ＿Ｉ＝０１、Ｑ（５）〜Ｑ
（０）＝３Ｆ_Hである場合には、Ｃ（Ｓ）＝０、ＣＡ＿
Ｉ＝１１、Ｑ（５）〜Ｑ（０）＝０である場合には、Ｃ
（Ｓ）＝１とし、その他では、Ｃ（Ｓ）＝Ｓとする。加
減算器５４は下位からの桁上げ／桁借りを考慮してＣ
（５）〜Ｃ（０）を出力するための回路であり、ＣＡ＿
Ｉ＝００である場合には、Ｃ＝Ｑとし、ＣＡ＿Ｉ＝０１
である場合には、Ｃ＝Ｑ＋１とし、ＣＡ＿Ｉ＝１１であ
る場合には、Ｃ＝Ｑ−１とする。ＯＲ回路５５はＣ
（５）〜Ｃ（０）の論理和をとり、Ｃが０であるか否か
を示すＮＯＮ＿ＺＥＲＯ信号を出力する。Ｃ＝０である
場合には、ＮＯＮ＿ＺＥＲＯ＝０となり、Ｃ≠０である
場合には、ＮＯＮ＿ＺＥＲＯ＝１となる。

【００４６】従来では桁数の多い整数の加減算における
キャリー及びボローの伝播に起因する処理時間の増大を
抑止するため、キャリーやボローが２桁以上に伝播しな
いＳＤ数系を利用しており、従来の方式では、２＾ｋ進
ＳＤ数の演算において、演算結果が２より大きければキ
ャリーを上位に上げて演算結果から２＾ｋを引き、演算
結果が２より小さければボローを上げて演算結果に２＾
ｋを加えており、加減算器から出力されるＳＤ数の範囲
は−（２＾ｋ）＋１以上、（２＾ｋ）−１以下である。
これに対し、本実施形態では、圧縮２＾ｋ進ＳＤ数加減
算器から出力される２＾ｋ進ＳＤ数の範囲は−（２＾
（ｋ−１）＋１）以上、２＾（ｋ−１）以下とし、従来
のキャリーやボローが２桁以上に伝播しないことと同時
にＳＤ数の採り得る範囲をおよそ１／２とすることで、
演算結果を格納するメモリテーブルの容量を大幅に削減
している。

【００４７】また、従来では加減算におけるキャリー及
びボローの発生を調べるには、サイン符号を含め、加減
算結果の全ての桁（２＾ｋ桁〜２＾０桁）をチェックす
る必要があったが、上記のデコーダ５２によれば、サイ
ン符号と２＾ｋ桁、２＾（ｋ−１）桁、つまり、Ｑ
（Ｓ），Ｑ（６），Ｑ（５）のみをチェックすれば足り
るため、演算の遅延時間を短くすることができ、処理速
度の向上を実現することができる。

【００４８】本実施形態の暗号処理プロセッサによれ
ば、鍵のビット数が１０２４ビットの場合、４０Ｋビッ
ト毎秒（４０ＭＨｚクロック）以上で演算処理が可能で
あることが確認できた。ホストコンピュータ側の処理能
力の範囲内で、暗号処理プロセッサを複数並べて並列処
理すると、暗号化処理スピードはプロセッサの数だけさ
らに倍化できる。

【００４９】尚、上記の説明では暗号鍵Ｅを２分割して
並列処理する場合を説明したが、これに限らず、例え
ば、ｎ桁２＾ｋ進ＳＤ数暗号鍵ＥをＥ₁、Ｅ₂、…Ｅ
_j…、Ｅ_pのようにｐ分割し（ｐはｎより十分小さい
値）、Ｃ＝（（（Ｍ^Ｅ₁）ｍｏｄＦ）×（（Ｍ^Ｅ₂）ｍ
ｏｄＦ）×…×（（Ｍ^Ｅ_j）ｍｏｄＦ）×…×（（Ｍ^
Ｅ_p）ｍｏｄＦ））ｍｏｄＦより暗号文Ｃを求めること
もできる。この場合、Ｅ_jの桁のうちＥ_j-1に対応する桁
は全て０となる（２≦j<<ｎ）。また、上記の説明は平
分の暗号化を例に説明したが、これと双対をなす暗号文
の復号化についても同様に適用することができる。

【００５０】

【発明の効果】本発明によれば、整数Ｅを複数に分割し
てそれぞれを平行して冪乗剰余演算を行うことができる
ため、演算速度を向上することができる。また、２＾ｋ
進ＳＤ数の加減算結果を−（２＾（ｋ−１）＋１）以
上、２＾（ｋ−１）以下とすることにより、２＾ｋ進Ｓ
Ｄ数の採り得る整数範囲を従来のおよそ半分とし、デー
タ量の削減を図り回路規模を小さくすることができ、演
算速度の向上を図ることができる。

【図面の簡単な説明】

【図１】暗号処理プロセッサのブロック構成図である。

【図２】剰余演算回路の回路構成図である。

【図３】加減算回路の回路構成図である。

【符号の説明】

１０…ホスト・インターフェース回路、１１…暗号鍵上
位レジスタ、１２…暗号鍵下位レジスタ、１３…剰余基
数レジスタ、１４…平文レジスタ、１５…メイン・コン
トロール回路、１６…乗算剰余演算演算コントロール回
路、１７…累乗演算コントロール回路、１８…Ｍ×Ｍテ
ーブル、１９…Ｍ×Ｍテーブル・リードコントロール回
路、２０…冪乗剰余演算回路、２１…乗算コントロール
回路、２２…Ｍ×Ｎテーブル、２３…剰余演算コントロ
ール回路、２４…ＳＤ数系加減算器、２５…アービタ回
路、２６…Ｍ×Ｎテーブル・リード・コントロール回
路、２７…Ｃ１×Ｃ２コントロール回路、２８…乗算コ
ントロール回路、２９…Ｍ×Ｎテーブル、３０…剰余演
算コントロール回路、３１…ＳＤ数系加減算器、３２…
ＳＤ数系デコード回路、３３…ＦＩＦＯバッファ

─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成１３年１２月１１日（２００１．１２．
１１）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】００３１

【補正方法】変更

【補正内容】

【００３１】暗号化鍵Ｅ（復号化鍵Ｄ）はそれぞれの暗
号化処理時間が同程度の上位データＥｕ（Ｄｕ）と、下
位データＥｄ（Ｄｄ）に分割され、レジスタ１１，１２
に格納された後、Ｍ×Ｍテーブル・リード・コントロー
ル回路１９へ出力され、平分Ｍ及び剰余基数Ｆは冪乗剰
余演算回路２０へ出力されて、メイン・コントロール回
路１５の制御下において、Ｍ×Ｍテーブル１８の作成を
待ち、Ｃ１＝（Ｍ^Ｅｕ）ｍｏｄＦ、Ｃ２＝（Ｍ^Ｅｄ）
ｍｏｄＦの冪乗剰余演算処理が行われる。冪乗剰余演算
回路２０ではさらに、Ｃ＝（Ｃ１×Ｃ２）ｍｏｄＦの乗
算剰余演算を行い、暗号文Ｃ（解読文Ｍ）を求める。暗
号文Ｃ（解読文Ｍ）はＳＤ数系デコード回路３２にて２
進数のビット列に変換され、ＦＩＦＯバッファ３３を介
しホストインタフェース回路１０を通して出力される。

【手続補正２】

【補正対象書類名】明細書

【補正対象項目名】００３６

【補正方法】変更

【補正内容】

【００３６】冪乗剰余演算回路２０は大きく２つのブロ
ックに分割することができる。１つは、Ｃ１＝（Ｍ^Ｅ
ｕ）ｍｏｄＦの演算を行うブロックで、乗算コントロー
ル回路２１、Ｍ×Ｎテーブル２２、剰余演算コントロー
ル回路２３、圧縮ＳＤ数系加減算器２４から成る（以
下、Ｃ１ブロックと称する）。もう１つはＣ２＝（Ｍ^
Ｅｄ）ｍｏｄＦの演算を行うブロックで、乗算コントロ
ール回路２８、Ｍ×Ｎテーブル２９、剰余演算コントロ
ール回路３０、圧縮ＳＤ数系加減算器３１から成る（以
下、Ｃ２ブロックと称する）。乗算コントロール回路２
１，２８は、Ｑの値が決定される毎に、（Ｑ×０）ｍｏ
ｄＦ〜（Ｑ×（２＾（ｋ−１）＋１））ｍｏｄＦの演算
を圧縮ＳＤ数系加減算器２４，３１を使用して行って、
その演算結果をＭ×Ｎテーブル２２，２９に書込む。こ
こでは、圧縮２＾ｋ進ＳＤ数系列の冗長性を利用して、
Ｃｊの採り得る整数範囲を−（２＾（ｋ−１）＋１）≦
Ｃｊ≦（２＾（ｋ−１））としているため、Ｍ×Ｎテー
ブル２２，２９のデータ容量、及びテーブル作成時間を
従来と比較して、（２＾（ｋ−１）＋１）／（（２＾
ｋ）−１）倍にし（ｋの値が大きい場合には、およそ１
／２となる）、並列で演算を行うため記憶回路は同等と
なるが作成時間の大幅な短縮を実現することができる。
また、圧縮２＾ｋ進ＳＤ数の範囲を上記の範囲に制限し
ても、ＳＤ数系デコード回路３２において、完全な整数
に戻せることが確認できている。Ｍ×Ｎテーブル・リー
ド・コントロール回路２６は、Ｓｔｅｐ５．３のＧ＝
（Ｑ×Ｃｊ）ｍｏｄＦまたは、Ｇ＝−（Ｑ×（−Ｃ
ｊ））ｍｏｄＦにおいて、Ｍ×Ｎテーブル２２，２９に
書込まれた乗算剰余演算結果を、Ｃｊをアドレスとして
読み出す。Ｃ１×Ｃ２コントロール回路２７はＣ１ブロ
ック及びＣ２ブロックの演算の監視を行うとともに、早
く演算が終了したブロックからのデータによりあらかじ
めＭ×Ｎテーブル（Ｍ×Ｎテーブル２２）を作成し、作
成終了と他ブロックからの算出した値（Ｃ２）から、Ｃ
＝（Ｃ１×Ｃ２）ｍｏｄＦの乗算剰余演算を行い、暗号
文Ｃを求める。また、アービタ回路２５は冪乗剰余演算
回路２０内の演算処理の流れを監視し、Ｍ×Ｍテーブル
１８作成時はＭ×Ｎテーブル２２，２９及び、Ｍ×Ｎテ
ーブル・リード・コントロール回路２６をコントロール
し（両方のＭ×Ｎテーブルが必要）、Ｍ×Ｍテーブルか
らの読み出しではＭ×Ｍテーブル・リード・コントロー
ル回路１９にＣ１，Ｃ２ブロックの情報を送る。冪乗剰
余演算コントロール回路１６は冪乗剰余演算回路２０を
制御し、演算終了を示すステータス信号を取得すると、
メイン・コントロール回路１５にその旨を通知する。剰
余演算コントロール回路２３及び圧縮ＳＤ数系加減算器
２４、剰余演算コントロール回路３０及び圧縮ＳＤ数系
加減算器３１はそれぞれＣ１、Ｃ２の乗算剰余演算にお
いて、Ｓｔｅｐ５．５のＰ＝ＲｍｏｄＦの演算処理を行
う。 ─────────────────────────────────────────────────────

【手続補正書】

【提出日】平成１４年１２月２７日（２００２．１２．
２７）

【手続補正１】

【補正対象書類名】明細書

【補正対象項目名】００３３

【補正方法】変更

【補正内容】

【００３３】 Ｓｔｅｐ３．１ Ｃ１＝１ Ｓｔｅｐ３．２ ａｊ＝ｎ−１ Ｓｔｅｐ３．３ ｉｆ（Ｅｕ［ａｊ］＞０） ｔｈｅｎ Ｃ１＝（Ｍ^Ｅｕ［ａｊ］）ｍｏｄＦ，ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．５ Ｓｔｅｐ３．４ ｉｆ（ａｊ＞０） ｔｈｅｎ ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．３ Ｓｔｅｐ３．５ ａｉ＝ｋ Ｓｔｅｐ３．６ Ｑ１＝Ｃ１ Ｓｔｅｐ３．７ Ｐ１＝（Ｑ１×Ｃ１）ｍｏｄＦ Ｓｔｅｐ３．８ Ｃ１＝Ｐ１ Ｓｔｅｐ３．９ ａｉ＝ａｉ−１ Ｓｔｅｐ３．１０ ｉｆ（ａｉ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ３．６ Ｓｔｅｐ３．１１ ｉｆ（Ｅｕ［ａｊ］＝０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ３．１５ Ｓｔｅｐ３．１２ Ｑ１＝（Ｍ^Ｅｕ［ａｊ］）ｍｏｄＦ Ｓｔｅｐ３．１３ Ｐ１＝（Ｑ１×Ｃ１）ｍｏｄＦ Ｓｔｅｐ３．１４ Ｃ１＝Ｐ１ Ｓｔｅｐ３．１５ ｉｆ（ａｊ＞０） ｔｈｅｎ ａｊ＝ａｊ−１ ｇｏｔｏ Ｓｔｅｐ３．５ ［Ｃ２＝（Ｍ^Ｅｄ）ｍｏｄＦの計算アルゴリズム］ Ｓｔｅｐ４．１ Ｃ２＝１ Ｓｔｅｐ４．２ ｂｊ＝ｍ−１ Ｓｔｅｐ４．３ ｉｆ（Ｅｄ［ｂｊ］＞０） ｔｈｅｎ Ｃ２＝（Ｍ^Ｅｄ［ｂｊ］）ｍｏｄＦ，ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．５ Ｓｔｅｐ４．４ ｉｆ（ｂｊ＞０） ｔｈｅｎ ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．３ Ｓｔｅｐ４．５ ｂｉ＝ｋ Ｓｔｅｐ４．６ Ｑ２＝Ｃ２ Ｓｔｅｐ４．７ Ｐ２＝（Ｑ２×Ｃ２）ｍｏｄＦ Ｓｔｅｐ４．８ Ｃ２＝Ｐ２ Ｓｔｅｐ４．９ ｂｉ＝ｂｉ−１ Ｓｔｅｐ４．１０ ｉｆ（ｂｉ＞０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ４．６ Ｓｔｅｐ４．１１ ｉｆ（Ｅｄ［ｂｊ］＝０） ｔｈｅｎ ｇｏｔｏ Ｓｔｅｐ４．１５ Ｓｔｅｐ４．１２ Ｑ２＝（Ｍ^Ｅｄ［ｂｊ］）ｍｏｄＦ Ｓｔｅｐ４．１３ Ｐ２＝（Ｑ２×Ｃ２）ｍｏｄＦ Ｓｔｅｐ４．１４ Ｃ２＝Ｐ２ Ｓｔｅｐ４．１５ ｉｆ（ｂｊ＞０） ｔｈｅｎ ｂｊ＝ｂｊ−１ ｇｏｔｏ Ｓｔｅｐ４．５ ここで、Ｓｔｅｐ３．１１によりＥｕ（Ｄｕ）の下位Ｅ
ｄ（Ｄｄ）ｍ桁に相当する部分は０であるので、Ｓｔｅ
ｐ３．１２〜Ｓｔｅｐ３．１４をスキップすることがで
き、下位Ｅｄ（Ｄｄ）の演算時間と同等となるので短い
鍵で処理をしたのと同様となる。上述したＣ＝（Ｃ１×
Ｃ２）ｍｏｄＦ、Ｓｔｅｐ３．７のＰ１＝（Ｑ１×Ｃ
１）ｍｏｄＦ、Ｓｔｅｐ４．７のＰ２＝（Ｑ２×Ｃ２）
ｍｏｄＦの乗算剰余演算を求める式をＰ＝（Ｑ×Ｃ）ｍ
ｏｄＦとして計算するアルゴリズムを以下に記述する。 ［Ｐ＝（Ｑ×Ｃ）ｍｏｄＦの計算アルゴリズム］ 変数 ｊ，ｋ，Ｐ，Ｇ，Ｒ Ｃを２＾ｋ進ＳＤ数系数列に変換したときの桁数 ｎ Ｃの２＾ｋ進ＳＤ数系数列のｊ桁目の値 Ｃｊ 但し、Ｃｊの採り得る整数範囲を−（２＾（ｋ−１）＋
１）≦Ｃｊ≦２＾（ｋ−１）とする。

Claims (5)

【特許請求の範囲】
1. 【請求項１】 多数桁の整数Ｅ，Ｍ，Ｆに対してＣ＝
   （Ｍ＾Ｅ）ｍｏｄＦなる冪乗剰余演算を行う冪乗剰余演
   算装置において、 Ｅ，Ｍ，Ｆを各桁が正の２＾ｋ進ＳＤ数に変換する変換
   手段と、 ｎ桁の２＾ｋ進ＳＤ数に変換された整数Ｅに対して、Ｅ
   ＝Ｅ₁＋Ｅ₂＋…＋Ｅ_pなる関係を満たし、Ｍのそれぞれ
   の値による累乗演算とＦでの剰余演算を合わせた処理時
   間が同程度の２＾ｋ進ＳＤ数の集合Ｅ₁，Ｅ₂，…，Ｅ_p
   を記憶する記憶手段と、 前記記憶手段に記憶されているＥ₁，Ｅ₂，…，Ｅ_pの値
   を読取り、（Ｍ^Ｅ₁）ｍｏｄＦ、（Ｍ^Ｅ₂）ｍｏｄＦ、
   …、（Ｍ^Ｅ_p）ｍｏｄＦの冪乗剰余演算を並列的に行
   い、各々の演算結果から、Ｃ＝（（（Ｍ^Ｅ₁）ｍｏｄ
   Ｆ）×（（Ｍ^Ｅ₂）ｍｏｄＦ）×…×（（Ｍ^Ｅ_p）ｍｏ
   ｄＦ））ｍｏｄＦとしてＣを算出する乗算剰余演算手段
   とを備える、冪乗剰余演算装置。
2. 【請求項２】 各桁の範囲が−（２＾（ｋ−１）＋１）
   以上、２＾（ｋ−１）以下の範囲に制限されたｎ桁の圧
   縮２＾ｋ進ＳＤ数同士、若しくはｎ桁の圧縮２＾ｋ進Ｓ
   Ｄ数とｎ桁の２＾ｋ進ＳＤ数同士の加減算を各桁毎に並
   列して演算処理を行うためのｎ個の圧縮ＳＤ数加減算器
   から構成される加減算装置であって、前記圧縮ＳＤ数加
   減算器は、当該桁での加減算結果が２＾（ｋ−１）以上
   であれば、桁上げを示すキャリー信号を上位桁へ出力
   し、前記加減算結果が−２＾（ｋ−１）未満であれば、
   桁借りをするキャリー信号を上位桁へ出力することによ
   り、桁上げ／桁借りした元の計算結果はサインビットを
   反転させるだけで２の補数とし、この結果と下位桁の圧
   縮ＳＤ数加減算器からの桁上げ若しくは桁借りを示すキ
   ャリー信号とを再計算した結果、当該桁での最終演算結
   果が取り得る値の範囲を−（２＾（ｋ−１）＋１）以
   上、２＾（ｋ−１）以下とする、加減算装置。
3. 【請求項３】 各桁の範囲が−（２＾（ｋ−１）＋１）
   以上、２＾（ｋ−１）以下の範囲に制限されたｎ桁の圧
   縮２＾ｋ進ＳＤ数同士、若しくはｎ桁の圧縮２＾ｋ進Ｓ
   Ｄ数とｎ桁の２＾ｋ進ＳＤ数同士の加減算を各桁毎に並
   列して演算処理を行うための加減算方法であって、 当該桁での加減算結果が２＾（ｋ−１）以上であれば、
   桁上げを示すキャリー信号を上位桁へ出力し、前記加減
   算結果が−２＾（ｋ−１）未満であれば、桁借りをする
   キャリー信号を上位桁へ出力することにより、桁上げ／
   桁借りした元の計算結果はサインビットを反転させるだ
   けで２の補数とし、この結果と下位桁の圧縮ＳＤ数加減
   算器からの桁上げ若しくは桁借りを示すキャリー信号と
   を再計算した結果、当該桁での最終演算結果が取り得る
   値の範囲を−（２＾（ｋ−１）＋１）以上、２＾（ｋ−
   １）以下とする、加減算方法。
4. 【請求項４】 圧縮２＾ｋ進ＳＤ数Ｒ，各桁が正の２＾
   ｋ進ＳＤ数Ｆに対してＰ＝ＲｍｏｄＦなる剰余演算をツ
   リー方式で行う剰余演算装置であって、 レジスタＡ、レジスタＢ、レジスタＣ、レジスタｊ、及
   びレジスタＰを備え、請求項３に記載の加減算方法を用
   いて、下記の第１ステップから第７ステップを順次実行
   することによりレジスタＰの値を解とする。 第１ステップ：レジスタＡにＲの値を代入し、レジスタ
   ＢにＦ×（２＾ｋ）を代入し、レジスタｊにｋの値を代
   入する。 第２ステップ：レジスタＣにレジスタＡの値からレジス
   タＢの値を減じた値を代入する。 第３ステップ：レジスタＣの値が０である場合にはエラ
   ー処理をして第７ステップに移行する。 第４ステップ：レジスタＣの値が正であって、レジスタ
   ｊの値がｋに等しい場合には、レジスタＣの値をレジス
   タＡに代入して第７ステップに移行する。 第５ステップ：レジスタＣの値が正である場合には、レ
   ジスタＡにレジスタＣの値を代入する。 第６ステップ：レジスタｊの値が０より大きい場合に
   は、レジスタＢの値を１／２にし、レジスタｊの値を１
   デクリメントして、第２ステップに移行する。 第７ステップ：レジスタＡの値をレジスタＰに代入し、
   終了処理をする。
5. 【請求項５】 各桁の値が−（２＾（ｋ−１）＋１）以
   上、２＾（ｋ−１）以下に制限されたｎ桁の圧縮２＾ｋ
   進ＳＤ数Ｑ、Ｃ、及び各桁が正の２＾ｋ進ＳＤ数Ｆに対
   して、Ｐ＝（Ｑ×Ｃ）ｍｏｄＦなる乗算剰余演算を行う
   乗算剰余演算装置であって、レジスタＰ、レジスタＧ、
   レジスタＲ、レジスタｊ、及びレジスタＣを備え、Ｃｊ
   をＣのｊ桁目の値とし、下記の第１ステップから第６ス
   テップを順次実行することによりレジスタＰの値を解と
   する。 第１ステップ：レジスタＰに０を代入し、レジスタｊに
   ｎを代入する。 第２ステップ：レジスタｊにｊ−１を代入する。 第３ステップ：Ｃｊの値が０以上であるときには、Ｃｊ
   の値とＱとの積にＦを法とする剰余演算結果をレジスタ
   Ｇに代入し、Ｃｊの値が負であるときには、Ｃｊの値の
   絶対値とＱとの積にＦを法とする剰余演算結果に（−
   １）を乗じた値をレジスタＧに代入する。 第４ステップ：レジスタＰの値に（２＾ｋ）を乗じ、こ
   の値にレジスタＧの値を加算した値をレジスタＲに代入
   する。 第５ステップ：レジスタＲの値が負であるときには、レ
   ジスタＲの値とＦとを加算した値をレジスタＰに代入
   し、レジスタＲの値が０以上であるときには、レジスタ
   Ｒの値にＦを法とする剰余演算結果をレジスタＰに代入
   する。 第６ステップ：レジスタｊの値が正であるときには、第
   ２ステップに移行する。