JP2003216034A

JP2003216034A - べき乗剰余演算器

Info

Publication number: JP2003216034A
Application number: JP2002014229A
Authority: JP
Inventors: Hiroteru Kajiwara; 裕輝梶原; Kazuo Taki; 和男瀧
Original assignee: AIL KK
Current assignee: AIL KK
Priority date: 2002-01-23
Filing date: 2002-01-23
Publication date: 2003-07-30

Abstract

(57)【要約】【課題】暗号処理に用いる、べき乗剰余演算器を高速
化する【解決手段】指数部Ｂの複数ｋビット２進数表記した
ビット列のからｊ番目の値ｉ＝ｂ_ｊに対応したＡ^ｉＲｍ
ｏｄＣの値を適切に選択することで演算回数を削減し、
個々のＸＹＲ^−１ｍｏｄＣの演算を（Ｍ＋ｘｉＹ＋ｕ
Ｃ）／２^ｍによる少ない繰り返し回数で実行し、（Ｍ＋
ｘ_ｉＹ＋ｕＣ）／２^ｍの主要な演算に桁上げ保存加算器
を用いることで短時間に演算させ、べき乗剰余演算を高
速に実行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、情報通信分野にお
ける暗号処理技術に属し、べき乗剰余演算を行う演算手
段および演算装置に関する。

【０００２】

【従来の技術】情報の秘匿や認証を行う技術の一つとし
て公開鍵暗号技術がある。公開鍵暗号方式による情報の
秘匿や認証では主としてべき乗剰余演算が用いられてい
る。べき乗剰余演算は正の整数Ａ，Ｂ，Ｃに対してＡ^Ｂ
ｍｏｄＣの形で与えられる。これは、ＡをＢ乗してＣで
除算した余りの値を得るという演算である。公開鍵暗号
では、Ａ，Ｂ，Ｃいずれも５１２ビット〜２０４８ビッ
トといった非常に大きな数によるべき乗剰余演算が必要
となるため、べき乗剰余演算の高速化が課題とされてき
た。

【０００３】べき乗剰余演算は、一般的に乗算剰余の繰
り返しで求められる。なかでも効率のよい方法として、
図４に示すような演算方法が知られている。図４に記載
したアルゴリズムにおいて、ｂ_ｎ，…，ｂ_１，ｂ_０はＢ
の２進表現を下位からｋビットずつに分割したそれぞれ
の分割部分の２進表記である。図４のアルゴリズムに記
載した手順１．２の繰り返しでＡ^ｉｍｏｄＣの値を導出
し、手順２．１で２乗剰余をｋ回繰り返す操作と手順
２．２でｉ＝ｂ_ｊに対応するＡ^ｉｍｏｄＣを選択して乗
算剰余を行う操作とをｎ回繰り返すことでべき乗剰余演
算を行う。前記ｋの値は変更可能であり、この方法を用
いれば、ｋ＝１のときと比較してｋ＝２で約３３％、ｋ
＝４で約４０％の乗算剰余回数が削減される。詳細は文
献１（ A.J.Menezes, P.C.Oorschot, S.A.Vanstone, "H
andbook of APPLIED CRYPTGRAPHY,"CRC Press, pp.599-
627 (1997) ）に記載されている。

【０００４】また、それ以外の高速化手法として、図５
に示すような方法がある。図５のアルゴリズムにおい
て、ｂ_ｎ−１，…，ｂ_１，ｂ_０はＢを２進表記した各ビ
ットの値である。また、ＸＹＲ^−１ｍｏｄＣの値は図６
に記載したアルゴリズムによって求めることができる。
図６のアルゴリズムに記載した手順２．１で剰余項Ｃの
適切な整数倍を表すｕを求める操作と、手順２．２で求
めたｕＣを入力Ｘと入力Ｙの部分積ｘ_ｉＹに加算するこ
とで下位ｍビットの値が０になるようにし、そのままｍ
ビット右シフトする操作とをあわせてｎ回繰り返す。図
６のアルゴリズムを用いることで、図４中にｍｏｄＣと
して現れるものを用いることなくべき乗剰余演算を行う
ことが可能となる。また、前記ｍの値は変更可能であ
り、ＸＹＲ^−１ｍｏｄＣの導出に必要な時間はｍ＝１の
ときと比較してｍ＝２で約５０％、ｍ＝４で約７５％削
減される。詳細は文献２（ P.L.Montgomery, "Modular
Multiplication Without TrialDivision", Mathematics
of Computation, Vol. 44, No. 170, pp. 519-521(198
5) ）および前記文献１に記載されている。

【０００５】

【発明が解決しようとする課題】第一の問題点として、
図４に記載したアルゴリズムは、ｋの値に応じて乗算剰
余回数の削減が可能であるが、図４のアルゴリズムで用
いられる乗算剰余演算は前記のように剰余項Ｃによる除
算を行うものであり、乗算剰余の導出を高速化すること
が困難であるという問題点がある。一方、図５および図
６に記載したアルゴリズムは、ＸＹＲ^−１ｍｏｄＣを求
める際の繰り返し数はｍの値に応じて削減が可能である
が、ＸＹＲ^−１ｍｏｄＣを求める回数が多いという問題
点がある。このように、前記のアルゴリズムはどちらも
一長一短であり、どちらかがとりわけ優れているわけで
はない。

【０００６】さらに、第二の問題点として、図６のアル
ゴリズムにおいて手順２．２の演算Ｍ＋ｘ_ｉＹ＋ｕＣは
２項の部分積と演算の途中結果Ｍとを加算する操作であ
るが、この操作を回路の形で実現しようとすると、入力
される最大の数のビット幅全体に渡る長い桁上げ伝播を
伴うため演算時間が長くなる。従って、個々の繰り返し
のたびに長い演算時間を要するという欠点がある。

【０００７】本発明ではこれらの問題を解決するにあた
って、第一の問題点を解決するために、前記のどちらの
アルゴリズムも双方の欠点を補う利点を持っていること
に着目した。両者の利点を兼ね備えた方法を発案できれ
ばべき乗剰余演算の高速化に大きく貢献できる。しか
し、図４のアルゴリズムは主要部を構成する演算に乗算
剰余演算を用い、図５のアルゴリズムは主要部を構成す
る演算に図６のＸＹＲ⁻ ^１ｍｏｄＣという図４とは異な
る演算を用いているため、前記２つのアルゴリズムを組
み合わせて利点を引き出すためには組み合わせ方法を工
夫する必要がある。また、第二の問題点を解決するため
には、演算器の構成を工夫して長い桁上げ伝播が発生し
ないようにする必要がある。

【０００８】

【課題を解決するための手段】本発明は、べき乗剰余演
算の高速化に関連し、演算回数を削減する手段と、個々
の演算を行う際の繰り返し回数を削減する手段と、個々
の繰り返しに要する時間を短縮する手段から構成され
る。以下、Ａ，Ｂ，Ｃ，Ｒは正の整数で、Ｃは奇数、Ｒ
はＲ＞Ｃを満たす２のべき乗の数であるとする。

【０００９】まず、請求項１によって解決される前記第
一の問題点として、図５に記載したべき乗剰余アルゴリ
ズムにおけるＭｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏｄＣ
の演算回数が多いという問題点がある。これを解決する
手段としては、図４に記載したアルゴリズムのように，
乗数の候補をあらかじめ複数個持っておき、指数部のビ
ットパターンに応じて適切な乗数の候補を選択すればよ
い。ここで、図５に記載したアルゴリズムからＭｏｎｔ
（Ｘ，Ｙ）の演算結果に乗算されているＲの次数がべき
乗剰余の主要部において常に１であることに着目した。
ＸおよびＹに関するＲの次数がともに１である場合に
は、Ｍｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏｄＣの演算結
果に関するＲの次数はＲ^２Ｒ^−１＝Ｒとなりやはり１で
ある。このように、Ｒの次数が１である数同士でＭｏｎ
ｔ（Ｘ，Ｙ）の演算を行えば、通常の乗算剰余と同様に
演算前後でＲの次数を補正することなく演算を繰り返し
続けることができる。以上のことから、複数個でかつＲ
の次数が１である乗数候補、具体的には２^ｋ個の整数ｉ
＝０，１，２，…，２^ｋ−１に対応する２^ｋ個のＡ^ｉＲ
ｍｏｄＣの値をあらかじめ演算して保持しておけば，図
４のアルゴリズムを用いた場合と同様の効果が得られ，
Ｍｏｎｔ（Ｘ，Ｙ）の演算回数をｋに応じて削減するこ
とが可能となる。

【００１０】次に、請求項２で追加された解決手段は、
前記Ａ^ｉＲｍｏｄＣの生成方法に関するものである。本
発明では、Ｍｏｎｔ（Ｔ，ＡＲｍｏｄＣ）の演算を行っ
た演算結果でＴの内容を更新する操作を繰り返すことで
２^ｋ−２個の値を生成する方法をとった。Ｔに初期値と
してＡＲｍｏｄＣを与えれば、２^ｋ−２個の整数ｉ＝
２，３，…，２^ｋ−１に対する２^ｋ−２個のＡ^ｉＲｍｏ
ｄＣを、２^ｋ−２回のＭｏｎｔ（Ｘ，Ｙ）演算で得るこ
とができる。

【００１１】次に、請求項３で追加された解決手段は、
前記請求項１に対応する解決手段に代えて、ＲｍｏｄＣ
の導出をせずに演算を行うというものである。これによ
り、第一の記憶手段２に必要な領域を請求項１に対応す
る手段と比べて１／２^ｋだけ削減することができる。

【００１２】次に、請求項４で追加された解決手段は、
前記Ｍｏｎｔ（Ｘ，Ｙ）の演算を行う際の繰り返し回数
を削減する手段に関するものである。これに関しては従
来技術の項でも触れたとおり、図６に記述したアルゴリ
ズムにしたがって、ｍを複数ビットとすることにより繰
り返し回数を短縮することができる。

【００１３】次に、請求項５によって解決される第二の
問題点として、前記Ｍｏｎｔ（Ｘ，Ｙ）の演算はその主
要部を構成する操作にビット幅全体に渡る長い桁上げ伝
播を伴うため、演算にかかる時間が長くなるという問題
点がある。これを解決する手段としては、部分積を加算
する際に用いる桁上げ保存加算器から出力される桁上げ
ビットを吸収せず、和出力とは別のレジスタに保持する
ことでＸＹＲ^−１ｍｏｄＣの主要部を構成する演算が終
了するまで桁上げ吸収を行わないという方法をとればよ
い。

【００１４】次に、請求項６および請求項７に対応する
手段について述べる。請求項６および請求項７に対応す
る手段は、請求項５に対応する手段の中から乗算剰余計
算を行う第一の演算器１の部分だけを抜き出して、制御
に関する限定を加えたうえ独立の請求項としたものであ
る。請求項５に対応する手段では、乗算剰余計算すなわ
ちＸＹＲ^−１ｍｏｄＣにおける繰り返し計算を行う場合
に桁上げ保存加算器を用い、桁上げ伝搬を行わないこと
で、繰り返し計算のサイクル時間の短縮を図ろうとする
ものであった。しかしながら、乗算剰余の最後の部分に
は、図６の手順２．２の最終回の実行を行った直後と、
引き続く図６手順３の条件付減算部分に桁上げ吸収加算
器２４を使う必要があり、この計算時間が問題となる可
能性があった。実際にビット数の大きい乗算剰余計算
では桁上げ吸収加算器の計算時間の遅さが際立つため、
請求項６および請求項７に対応する手段では、桁上げ吸
収加算器の動作サイクルにおいては、１クロックサイク
ルより長時間の、または複数クロックサイクルに渡って
の計算動作を許容する制御手段を設けた。このことによ
り、桁上げ保存加算時のクロックサイクル時間を可能な
下限まで短縮することができ、乗算剰余計算における繰
り返し計算時間をさらに短縮できる。

【００１５】請求項８に対応する解決手段により、請求
項６もしくは７に対応する解決手段を用いて高速化を行
った演算器を前記のべき乗剰余演算器に組み込むこと
で、演算器の動作速度を向上させるだけでなく、べき乗
剰余演算も高速に行うことができる。

【００１６】

【発明の実施の形態】本発明の実施の形態について、以
下必要に応じて図を用いながら説明する。説明に先立
ち、課題を解決するための手段の項で述べた改良を施し
たアルゴリズムを図７、図８、および図９に示す。

【００１７】まず、請求項１および請求項２に関する実
施の形態について、図１および図７を元に説明する。図
１に本発明を実施することで実現される、べき乗剰余演
算器全体の構成を示す。正の整数Ｘ，Ｙおよび前記Ｃを
入力としてＭｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏｄＣの
演算を行う第一の演算器１を配置し、ＴとＷを入力とし
て２つの数の組（Ｔ，Ｔ）または（Ｔ，Ｗ）のうちいず
れかの組を選択して出力する第二の選択手段４と、Ｂが
ｎ個のｋビット２進数の並び（ｂ_ｎ−１…ｂ_１ｂ_０）で
表現されるときにｂ_ｊの値に応じてＡ^ｂｊｍｏｄＣを選
択して出力する第一の選択手段３と、べき乗剰余演算の
途中結果Ｔを格納する第二の記憶手段５と、２^ｋ個の整
数ｉ＝０，１，…，２^ｋ−１に対する２^ｋ個のＡ^ｉＲｍ
ｏｄＣを与える第一の記憶手段２を配置する。さらに、
前記の演算器や手段の入出力およびＢ，Ｃを図１に示す
ように接続する。ただし、前記（Ｔ，Ｗ）は（Ｗ，Ｔ）
としても差し支えない。請求項１に記載の操作は図７に
記載したアルゴリズムのうち手順２．１、すなわちＭｏ
ｎｔ（Ｔ，Ｔ）の演算結果によって第二の記憶手段５の
記憶内容Ｔを更新する操作をｋ回繰り返し、続いて手順
２．２によりＭｏｎｔ（Ｔ、Ｗ）の演算結果によって第
二の記憶手段５に記憶する内容Ｔを更新する、という一
連の操作に該当する。請求項２に記載の操作は図７に記
載したアルゴリズムのうち手順１．４、すなわちループ
変数ｉ＝２，３，…、２^ｋ−１に対応したＭｏｎｔ（Ａ
^ｉ−１ＲｍｏｄＣ，ＡＲｍｏｄＣ）の演算結果をＡ^ｉＲ
ｍｏｄＣとして前記第一の記憶手段２の空き領域に格納
する操作の繰り返しに該当する。

【００１８】次に、請求項３に関する実施の形態につい
て、図９および図１０を用いて説明する。図１０は、図
１に記載した第一の記憶手段２に代わる、前記のＲｍｏ
ｄＣを含まない第一の記憶手段６である。図１０の回路
でべき乗剰余演算を行う上で、図７のアルゴリズムをそ
のまま適用するとｂ_ｊ＝０となったとき第一の選択回路
３がいずれの値も選択できないという問題が発生する。
図９はこの問題点に対処するため、ｂ_ｊ＝０の場合の処
理とｂ_ｊ≠０の場合の処理とを分けて規定したものであ
る。図９に記載した実施形態ではｂ_ｊ＝０の際には
（Ｔ，Ｗ）を選択する操作自体を行わず次の繰り返しに
移るというアルゴリズムになっているが、その他にも
（Ｔ，Ｗ）の代わりに（Ｔ，Ｔ）を選択して前記第一の
演算器１による演算は行い、最後の前記第２の記憶装置
５の値の更新だけを行わないといった方法も実施可能で
ある。

【００１９】次に、請求項４および請求項５に関する実
施の形態について、図２、図３および図８を例に説明す
る。図２に請求項４に記載された第一の演算器１の実施
の形態を示す。前記Ｘがｍビット２進数ｘ_ｔ−１，…、
ｘ_１，ｘ_０の並びすなわちＸ＝（ｘ_ｔ−１…ｘ_１ｘ_０）
と表現されるときに、Ｘを入力としてループ変数ｉ＝
０，１，…，ｔ−１に対応したｘ_ｉを選択し出力する第
三の選択手段１４と、演算の途中結果Ｍを格納する第三
の記憶手段１３と、前記ｘ_ｉ，Ｙ，Ｍおよびｃ’＝−Ｃ
^−１ｍｏｄ２^ｍを満たすｃ’を入力としｍビットのｕ＝
（Ｍ＋ｘ_ｉＹ）ｃ’ｍｏｄ２^ｍを出力する第三の演算器
１２と、前記Ｍ，ｕ，Ｃ，ｘ_ｉ，Ｙを入力としｆ_Ｍ＝
（Ｍ＋ｘ_ｉＹ＋ｕ_ｉＣ）／２^ｍの値を出力する第二の演
算器１１とを配置し前記の演算器や手段の入出力および
ｘ_ｉ，Ｙ，ｕ，Ｃ，ｃ’，Ｍを図２に示すように接続す
る。また、請求項５に対応して、前記Ｍは和ビットＭ_ｓ
および桁上げビットＭ_ｃの組（Ｍ_ｃ，Ｍ_ｓ）で表現さ
れ、前記第三の記憶手段１３が前記Ｍ_ｓを格納する第一
のレジスタ２５および前記Ｍ_ｃを格納する第二のレジス
タ２６で構成されている。請求項４に記載の操作は前記
ｕ＝（Ｍ＋ｘ_ｉＹ）ｃ’ｍｏｄＣによってｕの導出を行
う操作ならびに導出されたｕおよび前記Ｍ，ｘ_ｉ，Ｙ，
Ｃの値を用いてｆ _Ｍ＝（Ｍ＋ｘ_ｉＹ＋ｕＣ）を出力され
た結果によって前記第三の記憶手段１３の記憶内容Ｍを
更新する操作であり、図６のアルゴリズムの手順２．１
および手順２．２に該当する。

【００２０】図３に請求項５に記載された第二の演算器
１１の実施の形態を示す。前記ｘ_ｉ，Ｙを入力して部分
積Ｐ_１を出力する第一の部分積生成器２１、前記ｕ，Ｃ
を入力して部分積Ｐ_２を出力する第二の部分積生成器２
２、前記（Ｍ_ｓ，Ｍ_ｃ），Ｐ _１，Ｐ_２を入力して（ｆ
_ＭＳ，ｆ_ＭＣ）＝（（Ｍｓ，Ｍｃ）＋ｘ_ｉＹ＋ｕ_ｉＣ）
／２^ｍを出力する桁上げ保存加算器２３、前記（Ｍ_ｓ，
Ｍ_ｃ）を入力してＭ_ｓ＋Ｍ_ｃを出力する桁上げ吸収加算
器２４を配置する。同じく図３に記述されている第一の
レジスタ２５および第二のレジスタ２６は前記のとおり
である。前記のレジスタや演算器の入出力およびｘ_ｉ，
Ｙ，ｕ，Ｃを図３に示すように接続する。請求項５に記
載の操作は請求項４に記載の操作のうち、Ｍに代えて和
ビットＭ _ｓおよび桁上げビットＭ_ｃを用いて前記の（ｆ
_ＭＳ，ｆ_ＭＣ）を導出し、ｆ_ＭＳは第一のレジスタ２５
に対し、ｆ_ＭＣを第二のレジスタ２６に対し、それぞれ
格納もしくは更新する操作を繰り返し行うもので、図８
に記載したアルゴリズムのうち手順２．２に該当する。

【００２１】図３に記載の制御回路１０１は請求項６お
よび７に記載の高速化手段の実施形態であって、制御回
路１０１は桁上げ吸収加算器２４の動作時にその出力を
取り込むレジスタの書き込み信号を制御する。これによ
り、レジスタは桁上げ吸収加算器からの出力を個々の繰
り返し計算に必要な時間よりも長く待つことが可能にな
る。請求項７では、とりわけ前記繰り返し計算の周期の
整数倍遅らせることにより、桁上げ吸収加算器からの出
力を遅れて書き込んだレジスタの動作と、その他の回路
の動作を同期させることを可能とする。

【００２２】次に請求項６に対応する実施の形態につい
て説明する。請求項６に対応する実施の形態は、請求項
５に対応する実施の形態から、第一の演算器１の部分だ
けを抜き出して制御手段１０１を加えたうえ、制御タイ
ミングに関する限定を加えたものである。実施の形態は
図２および図３に対応するブロック図から読みとれる
が、請求項５の説明と重複するので省略する。図１３の
実施例にはより詳細な記述があるため、図１５および図
１６のタイミングチャートとともに用いて説明する。制
御手段１０１は、Ｔｃレジスタ２６、Ｔｓレジスタ２
５、第二の記憶手段であるＴレジスタ５に書き込み信号
を供給する。図１５および図１６のタイミングチャート
では、各々のレジスタに接続する書き込み制御信号線、
Ｔ_ＣＣＴＬ、Ｔ _ＳＣＴＬ，Ｔ_ＣＴＬに送られる信号波形
を示しており、ゲーテッドクロックとして生成されたク
ロック信号を想定したものである。すなわち、書き込み
を行う場合にのみクロックが送出されている。図８の乗
算剰余アルゴリズムにおける手順２．１は、図１３の第
三の演算器１２で計算され、また図８の手順２．２は図
１３の部分積生成器２１，２２および部分積加算器２３
で計算され、計算結果は和ビットと桁上げビットに分か
れて各々Ｔｓレジスタ２５およびＴｃレジスタ２６に書
き込まれる。この書き込み時点で、制御手段１０１から
Ｔ_ＣＣＴＬおよびＴ_ＳＣＴＬの制御線を経由して書き込
みクロックが供給される。書き込みが終わると直ちに次
の計算サイクルが始まり、ＴｃおよびＴｓレジスタの出
力は第三の計算手段１２および部分積加算器２３に送ら
れ新しいサイクルの計算に供される。図１５および図１
６のＴ_ＣＣＴＬおよびＴ_ＳＣＴＬの波形の上向き矢印が
各レジスタへの書き込みタイミングを表している。タイ
ミングチャート上部のｔ−２，ｔ−１の記述はクロック
サイクルの番号であり、図８の手順２のｉに当たるもの
である。すなわちｔ−２は繰り返し最終回の一つ手前、
ｔ−１は繰り返しの最終クロックを表している。最終サ
イクルの直後はcarry propagation サイクルであり、図
８の手順３に相当する。このときは桁上げ吸収加算器が
動作し、結果を再びＴｃレジスタ書き込むが、桁上げ吸
収計算が遅いことを許容できるようにするため、制御手
段１０１はＴ_ＣＣＴＬおよびＴ_ＳＣＴＬの書き込みパル
スを送出するタイミングを通常のクロックタイミングよ
り遅らせている。図１５は請求項６に対応した実施の形
態の一つであって、クロック周期を可変とすることで書
き込みタイミングを遅らせている例である。リングオシ
レータのタップ切り替えなどにより容易に実現可能であ
る。一方図１６は、クロック周期の整数倍だけ書き込み
パルスを遅らせた例であり、ここではクロック２周期分
の後に書き込みを行っている。こちらの制御はより簡単
であり、通常のシーケンスコントローラで可能である。
図１５および図１６上部のconditional subtraction
は、図８の手順４に相当し、その結果を書き込み制御信
号Ｔ_ＣＴＬにより第二の記憶手段であるＴレジスタ５に
書き込んでいる。ここでも桁上げ吸収加算器２４を使う
ために書き込みパルスの送出を遅らせている。以上のよ
うな手段により、乗算剰余計算の繰り返しループ部分
は、可能な最小のクロックサイクル時間で動作させ、最
後の２回の桁上げ吸収加算動作のときだけ、書き込みパ
ルスの送出を遅らせることで、繰り返しループ部分の時
間を短縮し乗算剰余計算の高速化を実現している。

【００２３】

【実施例】請求項８に対応する実施の形態として、以下
では本発明の実施例に関して説明する。実施例では、公
開鍵暗号の中でも代表的なＲＳＡ暗号を短時間で処理す
るために必要な高速べき乗剰余演算回路を設計する。認
証を高速に行う用途にとどまらず、情報の秘匿にも用い
ることができる性能を引き出すには、１０２４ビットの
べき乗剰余演算を最低でも１００ｋｂｐｓ、つまり１０
２４ビットあたり１０ｍｓを切る演算速度が必要になる
と考え、ここでは目標値を５ｍｓとした。今回設計する
回路は演算に必要なサイクル数を極力少なくした設計に
する。５０ＭＨｚ動作で５ｍｓを切るためには、多くと
も２５万サイクル以下に抑えなければならない。その上
で、サイクルタイムをできる限り削減し、動作周波数を
引き上げることでさらなる高速化を目指す。

【００２４】本実施例では、べき乗剰余計算を行うアル
ゴリズムとして、サイクル数削減効果の大きい手法を組
み合わせたものを使用する。具体的には、乗算剰余に対
応する高速なアルゴリズムとして図８に記載したアルゴ
リズムを使用し、べき乗剰余の高速化手法として図７に
記載したアルゴリズムを使用する。これらの有効性と使
用するにあたって考慮すべき点を以下で説明する。

【００２５】図８のアルゴリズムは、ｍビット分の部分
積ｘ_ｉＹに法Ｃをｕ倍したものを加えることで下位ｍビ
ットの値を０にし、ｍビット右シフトする操作を繰り返
すことで乗算剰余をｍビットずつまとめて行い、部分積
加算の回数を削減する。このアルゴリズムは、次のよう
な特徴を持つ。第一にｍに比例したサイクル数の削減が
可能である。第二に、計算開始時と終了後に通常の乗算
剰余結果との補正が必要になる、第三に、法が奇数でな
ければならないという制約がある。これらの特徴のうち
第二は一般の乗算剰余計算に対するデメリットとなる。
しかし、これに関してはＭｏｎｔ（Ｘ，Ｙ）演算の繰り
返しには補正が必要ないため、Ｍｏｎｔ（Ｘ，Ｙ）演算
を多数回繰り返すべき乗剰余計算に対する補正の占める
割合は相対的にかなり低くなる。また第三に関しても、
ＲＳＡ暗号では法は公開鍵に相当し、２つの素数の積で
与えられるため素数に２を選ばなければ特に考慮する必
要はない。図８のアルゴリズムを使用すれば、ｍに比例
したサイクル数の削減が可能となる。本回路では先に述
べたサイクル数の制約を満たしつつ回路構成が比較的容
易にできると考えられるｍ＝８として設計を行う。

【００２６】一方、図７のアルゴリズムは、演算に必要
なべき乗の値をあらかじめ用意する必要がある、パラメ
ータｋの値は大きすぎるとかえって効率が悪くなる、と
いう点に考慮が必要となる。これは乗数の候補が前述の
通り２^ｋもしくは２^ｋ−１個必要で、ｋの値が大きくな
ると爆発的に増加し、乗数の候補を計算するために必要
なサイクル数の合計が乗算剰余で削減できたサイクル数
をはるかに上回ってしまうことに由来する。事前の見積
もりにより、ｋ＝４ないし６の場合が最も削減効果が大
きく、乗算剰余（２乗含む）の回数を３５％ないし４０
％削減可能であることが確かめられた。また、ｋ＝４の
ときとｋ＝６のときで効果にそれほど差がなかったこと
から、本実施例では回路規模の増加を最小限にとどめら
れるｋ＝４を採用する。

【００２７】前記のアルゴリズムにより、演算に必要な
サイクル数は大幅に削減される。しかし、特に図８のア
ルゴリズムは図からも分かるとおり法の整数倍を求める
際に乗算と加算を多数行う必要があり、それらを１サイ
クルで行うためにサイクル毎の遅延が増加する。これを
極力削減するため、以下に挙げた手法を用いて、サイク
ルタイムをできる限り削減する。

【００２８】法の整数倍の導出に必要な演算は一般的に
は図６の手順２．１である。このうち、Ｙおよびｃ’は
図６のアルゴリズムを通じて変化することがないため、
両者の積をモンゴメリ乗算の前に別の回路３１で求めて
ｙ’としてレジスタ３５に保持しておけば、演算は図８
の手順２．１のように改良できる。これにより、図１４
からも明らかなように３つの乗算器（４１，４２，４
３）が並列に配置できるため、経由する乗算器を１つ削
減することができる。

【００２９】図８のアルゴリズムに従って動作する第一
の演算器１は図１３に記載したような構成となってい
る。すなわち、Ｍｏｎｔ（Ｘ，Ｙ）の演算１回につきに
桁上げ吸収加算器２４は２回しか用いず、桁上げ保存加
算器２３から出力された組（ｆ _ＭＳ，ｆ_ＭＣ）を次のサ
イクルでともに部分積に加算するという方針である。こ
れにより、部分積加算回路１１と桁上げ吸収加算器２４
はそれぞれ独立した経路を持つことになり、最長遅延経
路はいずれか一方だけを経由する。

【００３０】本実施例の回路が提供する命令は、バッフ
ァ書き込み・読み出し、レジスタ転送、桁上げ吸収加算
器２４を用いた剰余演算ＡｍｏｄＣ、桁上げ吸収加算器
２４を用いた定数Ｒ^２ｍｏｄＣ生成、べき乗剰余演算Ａ
^ＢｍｏｄＣ、である。一方、回路の外部インタフェース
としては、外部クロック、リセット信号、８ビット命令
コード入力、命令ｓｔｒｏｂｅ信号、３２ビットデータ
入出力と、ｂｕｓｙ信号、からなっており、命令コード
をセットした後ｓｔｒｏｂｅにパルスを送ることで演算
が開始される。演算開始後は回路にクロックを与えるだ
けで動作し、必要サイクル数だけクロックが入力される
と結果がバッファに書き込まれて演算が終了する。デー
タの入出力に関しては次のようになっている。バッファ
兼レジスタ５は１０２４ビット幅であり、バッファ書き
込み命令および読み出し命令にともない３２ビット単位
で読み書きを行う。なお、内部バスは１０２４ビットで
あり、レジスタ間の転送は１クロックで完了する。

【００３１】図１１はべき乗剰余演算器の実施例であ
る。演算器に付随する回路として、Ｂ，Ｃ，Ｘ，ｃ’お
よび定数ｙ’を保持するレジスタ（３３，３２，１４，
３４，３５）および、図１２に示す第一の選択回路３の
値を第二の選択回路４をまとめた選択回路３１がある。
Ｂを格納するレジスタ３３はｋ＝４ビットのシフトレジ
スタで実現され、Ｘを格納するレジスタ１４はｍ＝８ビ
ットのシフトレジスタでそれぞれｂ_ｊ、ｘ_ｉを選択する
機能が実現されている。図中の演算器はモンゴメリ乗算
の計算に用いられる。図７に示すアルゴリズムはＡ^ｉＲ
ｍｏｄＣを格納したレジスタファイル２からどの乗数を
選択するかを決定する選択回路３１によって実装されて
いる。さらに、前記図１３に示すとおり、部分積加算回
路を桁上げ吸収加算器と並列に配置し、両者を分離し
た。ＲＴＬ設計・検証に続いて、本実施例の回路を論理
合成し、遅延および回路規模を確認した。論理合成に使
用したライブラリは０．１８μｍプロセスの汎用セルラ
イブラリで、電源電圧は１．８Ｖ、簡単な配線容量モデ
ルを与えファンアウト制約は４．０とした。その結果１
０２４ビット鍵長のべき乗剰余演算を１７万サイクル弱
で演算可能であることが分かった。従来の高速な回路比
較としても必要サイクル数を８４％削減することができ
た。また、本実施例の回路最高動作周波数は７７．５Ｍ
Ｈｚであり、この場合演算に要する時間は２．２ｍｓで
あり、当初の５ｍｓ以下という目標値は十分達成された
といえる。回路面積１１．９ｍｍ^２と、このサイズのプ
ロセスを用いたものの中では比較的大規模であるが、Ｌ
ＳＩとしてシリコンチップ上に十分実装可能な大きさで
ある。

【００３２】

【発明の効果】本発明によって得られる効果は下記のよ
うなものである。演算回数および個々の演算に必要な繰
り返し回数および個々の繰り返しに要する時間をいずれ
も削減することによりべき乗剰余演算Ａ^ＢｍｏｄＣを高
速に行うことができる。また、ｋの値およびｍの値は変
更可能であり、適切な値を用いることで回路規模の増加
を抑えた高速べき乗剰余演算器を実現可能である。また
本発明によれば、低いクロック周波数で短時間のべき乗
剰余計算または乗算剰余計算が可能なため、従来並の計
算時間を実現するので良ければ、従来技術に比べてより
低い電源電圧で動作する半導体チップを構成可能であ
り、消費電力削減の効果もある。

【図面の簡単な説明】

【図１】べき乗剰余演算器のブロック図で、本発明の実
施の形態を表す。

【図２】演算器のブロック図で、本発明の実施の形態の
一部を表す。

【図３】演算器のブロック図で、本発明の実施の形態の
一部を表す。

【図４】アルゴリズムを記述した擬似コードで、従来技
術を表す。

【図５】アルゴリズムを記述した擬似コードで、従来技
術を表す。

【図６】アルゴリズムを記述した擬似コードで、従来技
術を表す。

【図７】アルゴリズムを記述した擬似コードで、本発明
の実施の形態を表す。

【図８】アルゴリズムを記述した擬似コードで、本発明
の実施の形態を表す。

【図９】アルゴリズムを記述した擬似コードで、本発明
の実施の形態を表す。

【図１０】演算器のブロック図で、本発明の実施の形態
の一部を表す。

【図１１】べき乗剰余演算器のブロック図で、本発明の
実施例を表す。

【図１２】演算器のブロック図で、本発明の実施例の一
部を表す。

【図１３】演算器のブロック図で、本発明の実施例の一
部を表す。

【図１４】演算器のブロック図で、本発明の実施例の一
部を表す。

【図１５】タイミングチャートで、本発明の実施の形態
の一部を表す。

【図１６】タイミングチャートで、本発明の実施の形態
の一部を表す。

【符号の説明】

１第一の演算器２、６第一の記憶手段３第一の選択手段４第二の選択手段５第二の記憶手段１１第二の演算器１２第三の演算器１３第三の記憶手段１４第三の選択手段２１第一の部分積生成器２２第二の部分積生成器２３桁上げ保存加算器２４桁上げ吸収加算器２５第一のレジスタ２６第二のレジスタ３１選択回路３２、３３、３４、３５レジスタ３６、４１、４２、４３乗算器３７演算器４４加算器１０１制御手段１０２、１０３、１０４制御信号線１１１、１１２、１１３、１１４クロック期間の名称

Claims

【特許請求の範囲】

【請求項１】数Ａ，Ｂ，Ｃ，Ｒが複数ビットで表現さ
れた正の整数であって、かつＣが奇数で、かつＲがＲ＞
Ｃを満たす２のべき乗の数であるとき、複数ビットで表
現された２個の正整数Ｘ，Ｙおよび前記Ｃを入力として
Ｍｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏｄＣの演算を行う
第一の演算器（１）と，ｉを０から２^ｋ−１まで１ずつ
変えたときのＡ^ｉＲｍｏｄＣの値の各々を記憶する第一
の記憶手段（２）と，Ｂの値にしたがって前記第一の記
憶手段（２）の記憶内容を選択するものであって、Ｂを
ｎ×ｋビットの２進表現として、ｎ個のｋビットの並び
をＢ＝（ｂ_ｎ− _１…ｂ_１ｂ_０）と表現するときに、ルー
プ変数ｊ＝ｎ−１，…，１，０に対するｂ_ｊに基づき前
記第一の記憶手段（２）の記憶内容よりＡ^ｂｊＲｍｏｄ
Ｃの値を選択し選択結果Ｗとして出力する第一の選択手
段（３）と、前記第一の演算器（１）の出力を演算の途
中結果Ｔとして記憶する第二の記憶手段（５）と、前記
第一の演算器（１）の入力の組（Ｘ，Ｙ）に対して、前
記第二の記憶手段（５）の記憶内容Ｔおよび前記第一の
選択手段（３）の選択結果Ｗの組（Ｔ，Ｗ）または
（Ｗ，Ｔ）を供給するか、あるいはＴを複製した（Ｔ，
Ｔ）を供給するかのいずれかを選択する第二の選択手段
（４）を具備し、前記第一の演算器（１）に（Ｔ，Ｔ）
を供給することで前記第一の演算器（１）の出力に得ら
れるＭｏｎｔ（Ｔ，Ｔ）＝Ｔ^２Ｒ^−１ｍｏｄＣの値をも
って前記第二の記憶手段（５）の内容を更新して新たな
るＴとし、然る操作をｋ回繰り返した後に前記第一の演
算器（１）に（Ｔ，Ｗ）または（Ｗ，Ｔ）を供給し、前
記第一の演算器（１）の出力に得られるＭｏｎｔ（Ｔ，
Ｗ）＝Ｔ^２＾ｋＡ^ｂｊＲ^−１ｍｏｄＣによって前記第二
の記憶手段（５）の内容を更新する操作を合わせて１組
の操作とし、前記ループ変数ｊ＝ｎ−１，…，０に対応
して前記１組の操作をｎ回繰り返すことによりべき乗剰
余演算の主要部を構成しＭｏｎｔ（Ｘ，Ｙ）の演算回数
を削減することを特徴とした、べき乗剰余演算器。
【請求項２】第二の記憶手段（５）の値がＴ＝ＡＲｍ
ｏｄＣであるとき、繰り返し処理の始めとして第一の演
算器（１）における入力の組（Ｘ，Ｙ）の一方に前記第
二の記憶手段（５）の値Ｔを供給しかつ前記入力の組
（Ｘ，Ｙ）の他方に固定的にＡＲｍｏｄＣを与え、然る
後に前記第一の演算器（１）の出力に得られるＭｏｎｔ
（Ｔ，ＡＲｍｏｄＣ）＝Ａ^ｉ＋１Ｒ^２Ｒ^−１ｍｏｄＣす
なわちＡ ^ｉ＋１ＲｍｏｄＣをもって前記第二の記憶手段
（５）の値Ｔを更新するとともに同じ値を前記第一の記
憶手段（２）の空き領域にも格納することで１回の繰り
返しを構成し、然る繰り返し操作をｉ＝１，２，…，２
^ｋ−２に対応して２^ｋ−２回繰り返すことにより、前記
第一の記憶手段（２）に２^ｋ−２個のＡ^ｉＲｍｏｄＣの
値、ただしｉ＝２，３，…，２^ｋ−１を格納する「請求
項１」記載のべき乗剰余演算器。
【請求項３】第一の記憶手段（２）に代えて、ｉを１
から２^ｋ−１まで１ずつ変えたときのＡ^ｉＲｍｏｄＣの
値の各々を記憶する第一の記憶手段（６）を備え、ルー
プ変数ｊ、ただしｊ＝ｎ−１，…，０に対して、Ｂを構
成するビットの並びｂ_ｊがｂ_ｊ≠０ならば「請求項１」
に記載の１組の操作をそのとおり行い、ｂ_ｊ＝０ならば
前記１組の操作における第二の記憶手段（５）の更新操
作の最後の１回を行わないことを特徴とする「請求項
１」または「請求項２」記載のべき乗剰余演算器。
【請求項４】Ｍｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏｄ
Ｃの演算を行う第一の演算器（１）の内部構造ならび
に動作として、ｃ’およびｕは各々ｍビットで表現され
た整数であってかつｃ’が数式ｃ’＝−Ｃ^−１ｍｏｄ２
^ｍで与えられ、かつＭｏｎｔ（Ｘ，Ｙ）を求める演算の
途中結果Ｍを記憶する第三の記憶手段（１３）と、Ｘが
ｔ個のｍビット２進数ｘ_ｔ−１，…，ｘ_１，ｘ_０の並び
すなわちＸ＝（ｘ_ｔ _−１…ｘ_１ｘ_０）で表現されるとき
に、ループ変数ｉ＝０，１，…，ｔ−１に対応してｘ_ｉ
をＸの中から選択する第三の選択手段（１４）と、前記
Ｙ，Ｍ，ｃ’およびｘ_ｉを入力としてｕ＝（Ｍ＋ｘ
_ｉＹ）ｃ’ｍｏｄ２^ｍを出力する第三の演算器（１２）
と、前記Ｍ，ｘ_ｉ，Ｙ，Ｃ，ｕを入力としてｆ_Ｍ＝（Ｍ
＋ｘ_ｉＹ＋ｕＣ）／２^ｍの演算を行い演算結果ｆ_Ｍを出
力する第二の演算器（１１）とを有し、前記第二の演算
器（１１）が演算結果ｆ_Ｍを出力しｆ_Ｍもって前記第三
の記憶手段（１３）の記憶内容を更新することで繰り返
し操作の１回を完了するとともに前記ｉの値を１だけ増
加させ、然る操作をｔ回繰り返し、最後にＭ≧Ｃならば
Ｍ−ＣをＭ＜ＣならばＭを演算結果ＸＹＲ^−１ｍｏｄＣ
の値として出力することによりＭｏｎｔ（Ｘ，Ｙ）演算
の主要部を構成しｆ_Ｍの演算回数を削減することを特徴
とした「請求項１」または「請求項２」または「請求項
３」に記載のべき乗剰余演算器。
【請求項５】ｆ_Ｍ＝（Ｍ＋ｘ_ｉＹ＋ｕＣ）／２^ｍの演
算を行う第二の演算器（１１）が、ｘ_ｉおよびＹを入力
としてｘ_ｉＹの部分積Ｐ_１を出力する第一の部分積生成
器（２１）と、ｕおよびＣを入力としてｕＣの部分積Ｐ
_２を出力する第二の部分積生成器（２２）と、第三の記
憶手段（１３）の出力であるＭ＝（Ｍ _ｓ，Ｍ_ｃ）ならび
にＰ_１ならびにＰ_２を入力としてｆ_Ｍ＝（Ｍ＋ｘ_ｉＹ＋
ｕＣ）／２^ｍ＝（ｆ_ＭＳ，ｆ_ＭＣ）を出力する桁上げ保
存加算器（２３）と、前記第三の記憶手段（１３）の出
力であるＭ＝（Ｍ_ｓ，Ｍ_ｃ）を入力としてＭ_ｓ＋Ｍ_ｃを
計算して出力する桁上げ吸収加算器（２４）よりなり、
前記ｆ_ＭＳが前記桁上げ保存加算器（２３）にて導出さ
れる和ビットを表し、前記ｆ_ＭＣが前記桁上げ保存加算
器（２３）にて導出される桁上げビットを表し、前記ｆ
_Ｍ＝（ｆ_ＭＳ，ｆ_ＭＣ）によって前記桁上げ保存加算器
（２３）の出力が和ビットｆ_ＭＳと桁上げビットｆ_ＭＣ
の組からなりかつ前記桁上げ保存加算器（２３）が桁上
げを上位桁に伝搬しない何らかの構造を持つことを表す
ものであり、さらに前記第三の記憶手段（１３）が、前
記ｆ_ＭＳを入力として演算の途中結果Ｍにおける和ビッ
トＭ_ｓを出力する第一のレジスタ（２５）と、前記ｆ
_ＭＳを入力として演算の途中結果Ｍにおける桁上げビッ
トＭ_ｃを出力する第二のレジスタ（２６）とからなり、
かつＭ＝（Ｍ_ｓ，Ｍ_ｃ）により前記第三の記憶手段（１
３）の出力ＭがＭ_ｓとＭ_ｃの組からなるものであること
を表すものであって、前記第二の演算器（１１）が、Ｍ
ｏｎｔ（Ｘ，Ｙ）を計算するときにおいて、繰り返し計
算の主要部分をなすｆ_Ｍ＝（ｆ_ＭＳ，ｆ_ＭＣ）＝（Ｍ＋
ｘ_ｉＹ＋ｕＣ）／２^ｍの演算を行う際に桁上げを上位桁
に伝搬しないことにより、繰り返し計算１回分の演算時
間を短縮し、これをもってＭｏｎｔ（Ｘ，Ｙ）の演算を
高速化することを特徴とした「請求項４」に記載のべき
乗剰余演算器。
【請求項６】数Ｘ，Ｙ，Ｃ，およびＲが複数ビットで
表現された正の整数であって、かつＣが奇数でＸ＜Ｃか
つＹ＜Ｃであり、かつＲがＣ＜Ｒを満たす２のべき乗の
数であるときに、Ｍｏｎｔ（Ｘ，Ｙ）＝ＸＹＲ^−１ｍｏ
ｄＣの演算を行う演算器であって、かつｃ’およびｕは
各々ｍビットで表現された整数であってｃ’が数式ｃ’
＝−Ｃ^−１ｍｏｄ２^ｍで与えられ、かつＭｏｎｔ（Ｘ，
Ｙ）を求める演算の途中結果Ｍを記憶する第三の記憶手
段（１３）と、Ｘがｔ個のｍビット２進数ｘ_ｔ−１，
…，ｘ_１，ｘ_０の並びすなわちＸ＝（ｘ_ｔ _−１…ｘ_１ｘ
_０）で表現されるときに、ループ変数ｉ＝０，１，…，
ｔ−１に対応してｘ_ｉをＸの中から選択する第三の選択
手段（１４）と、前記Ｍ，ｘ_ｉ，Ｙ，およびｃ’を入力
としてｕ＝（Ｍ＋ｘ_ｉＹ）ｃ’ｍｏｄ２^ｍを出力する第
三の演算器（１２）と、前記Ｍ，ｘ_ｉ，Ｙ，ｕ，Ｃを入
力としてｆ_Ｍ＝（Ｍ＋ｘ_ｉＹ＋ｕＣ）／２^ｍの演算を行
い演算結果ｆ_Ｍを出力する第二の演算器（１１）とを有
し、かつｍはハードウェアの定める定数であるときに、
前記Ｘ，Ｙ，Ｃ，Ｒ，およびｃ’が与えられかつ前記Ｍ
およびｉの初期値をゼロとして繰り返し計算を開始し、
前記第二の演算器（１１）が演算結果ｆ_Ｍを出力しｆ_Ｍ
をもって前記第三の記憶手段（１３）の記憶内容Ｍを更
新することで繰り返し操作の１回を完了するとともに前
記ｉの値を１だけ増加させ、然る操作をｔ回繰り返し、
最後にＭ≧ＣならばＭ−ＣをＭ＜ＣならばＭを演算結果
ＸＹＲ^−１ｍｏｄＣの値として出力することによりＭｏ
ｎｔ（Ｘ，Ｙ）演算を行う演算器において、ｆ_Ｍ＝（Ｍ
＋ｘ_ｉＹ＋ｕＣ）／２^ｍの演算を行う第二の演算器（１
１）が、ｘ_ｉおよびＹを入力としてｘ_ｉＹの部分積Ｐ_１
を出力する第一の部分積生成器（２１）と、ｕおよびＣ
を入力としてｕＣの部分積Ｐ_２を出力する第二の部分積
生成器（２２）と、第三の記憶手段（１３）の出力であ
るＭ＝（Ｍ_ｓ，Ｍ_ｃ）ならびにＰ_１ならびにＰ_２を入力
としてｆ_Ｍ＝（Ｍ＋ｘ_ｉＹ＋ｕＣ）／２^ｍ＝（ｆ_ＭＳ，
ｆ_ＭＣ）を出力する桁上げ保存加算器（２３）と、前記
第三の記憶手段（１３）の出力であるＭ＝（Ｍ_ｓ，
Ｍ_ｃ）を入力としてＭ_ｓ＋Ｍ_ｃを計算して出力する桁上
げ吸収加算器（２４）よりなり、前記ｆ_ＭＳが前記桁上
げ保存加算器（２３）にて導出される和ビットを表し、
前記ｆ_ＭＣが前記桁上げ保存加算器（２３）にて導出さ
れる桁上げビットを表し、前記ｆ_Ｍ＝（ｆ_ＭＳ，
ｆ_ＭＣ）により前記桁上げ保存加算器（２３）の出力が
和ビットｆ_ＭＳと桁上げビットｆ_ＭＣの組からなること
を表し、かつ前記桁上げ保存加算器（２３）が桁上げを
上位桁に伝搬しない部分構造を持つものであって、さら
に前記第三の記憶手段（１３）が、前記ｆ_ＭＳを入力と
して演算の途中結果Ｍにおける和ビットＭ_ｓを出力する
第一のレジスタ（２５）と、前記ｆ_ＭＳを入力として演
算の途中結果Ｍにおける桁上げビットＭ_ｃを出力する第
二のレジスタ（２６）とからなり、かつＭ＝（Ｍ_ｓ，Ｍ
_ｃ）により前記第三の記憶手段（１３）の出力ＭがＭ_ｓ
とＭ_ｃの組からなるものであることを表すものであっ
て、前記第二の演算器（１１）が、Ｍｏｎｔ（Ｘ，Ｙ）
を計算するときにおいて、前記ｔ回繰り返しの計算で行
われるｆ_Ｍ＝（ｆ_ＭＳ，ｆ_ＭＣ）＝（Ｍ＋ｘ_ｉＹ＋ｕ
Ｃ）／２^ｍの演算の際に桁上げを上位桁に伝搬しないこ
とにより、繰り返し計算１回あたりの演算時間を短縮
し、かつ前記ｔ回繰り返しの終了直後に前記桁上げ吸収
加算器（２４）により前記Ｍ_ｓ＋Ｍ_ｃの桁上げ吸収加算
を余分に実行しその後のＭ−Ｃの計算にも前記桁上げ吸
収加算器（２４）を使用し、かつ前記桁上げ吸収加算器
（２４）の計算時にはその出力をレジスタに書き込むた
めの書き込み制御信号を与えるタイミングを前記繰り返
し計算１回の周期よりも遅らせて与える制御手段（１０
１）を備えることを特徴とし、これをもってＭｏｎｔ
（Ｘ，Ｙ）の演算における前記繰り返し計算部分の高速
化を図った乗算剰余演算器。
【請求項７】桁上げ吸収加算器（２４）の計算時にそ
の出力をレジスタに書き込むための書き込み制御信号を
与えるタイミングを前記繰り返し計算１回の周期よりも
遅らせて与える制御手段（１０１）において、前記繰り
返し計算１回の周期の整数倍だけ遅らせることを特徴と
した「請求項６」記載の乗算剰余演算器。
【請求項８】「請求項６」または「請求項７」に記載の
乗算剰余演算器を第二の演算器（１１）として用いた
「請求項１」または「請求項２」または「請求項３」記
載のべき乗剰余演算器。