JP2003271058A - 素因数抽出方法、素数及び冪の決定方法、素因数抽出装置、素因数抽出プログラム - Google Patents

Abstract

(57)【要約】 【課題】 計算効率の良い素因数抽出方法及び装置を提
案する。 【解決手段】 小さな素数Ｌ_iと自然数ｅ_iを素数の冪乗
Ｌ_i ^eiの積が２^uを超えるように用意し、Ｌ_iの取り方と
してｒとＬ_i−１が互に素でありｅ_i≧２であれば更にｒ
とＬ_iが互に素なものとし、一つのＬ_iが割り切ればその
Ｌ_iを出力して終了し、全てのＬ_iがＮを割り切らない場
合、λ（Ｌ_i ^ei）がｓ×ｋ_iを割り切るような最小の自然
数ｋ_iを求め、Ｌ_i ^eiを法としたｋ_i個の異なるＮ^kiのｋ_i
乗根Ａ_i、_j全てをＰ^r（ｍｏｄ Ｌ_i ^ei）の候補とし、全
てのｉについてｊを一つ選び、それらｉ、ｊによって与
えられるｍ個のＡ_i、_j（ｍｏｄ Ｌ_i ^ei）から中国人剰
余定理を用いて、Ｌ_iの積Ｍを法としたＰ^rの候補を求
め、ｒ^-1 ｍｏｄ φ（Ｍ）を求める。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は素因数分解を目的と
するための方法及びその装置、プログラムに関するもの
であり、おもに素因数分解の困難性を安全性の根拠とす
るセキュリティ技術に多く応用されている情報セキュリ
ティの分野に関する。

【０００２】

【従来の技術】従来の技術として例えば、千田、内山、
斎藤「Ｎ＝ｐ^r×ｑ型の合成数（ｒは大きい）に対する
新しい素因数分解アルゴリズム」ＳＣＩＳ２０００、電
子情報通信学会情報セキュリティ研究専門委員会主催、
２０００年がある。これは合成数Ｎが素数ｐ、ｑ、自然
数ｒに対してｐ^r×ｑという形に限定した場合の素因数
分解方法を与えており、具体的にはいくつかの素数の冪
乗Ｌ_i ^eiを用意し、ｒ×ｋ_iがλ（Ｌ_i ^ei）で割り切れる
ような最小の自然数ｋ_iを求め（λはカーマイケル関
数）、ＮがＬ_iと互に素であればｐの値に関わらずＮ^ki
＝（ｐ^r×ｑ）^ki＝ｑ ^ki（ｍｏｄ Ｌ_i ^ei）が成り立つこ
とを利用してＬ_i ^eiを法としたｑの候補を求め、中国人
の剰余定理（詳しくは例えば産業図書株式会社発行、岡
本龍明、山本博資共著、現代暗号１５頁参照）を用いて
その候補を持ち上げてそれによって得られた各々のｑの
候補でＮを割ることでＮの素因子ｑを求める方法であ
る。

【０００３】

【発明が解決しようとする課題】千田らの従来の方法で
は、Ｎ＝ｐ^r×ｑ^s型の合成数に適用した場合、素数の冪
乗の形をしたＬ_i ^eiの積が、ｐ^rまたはｑ^sを超えるよう
にＬ_i、ｅ_iを取る必要がある。本発明では、千田らの従
来の方法を拡張し、Ｎ＝ｐ^r×ｑ^s型の合成数に対する素
因数分解方法についてＬ_i ^eiの積が、ｐまたはｑを超え
るようにＬ_i、ｅ_iを取れば十分である方法を与えてい
る。これにより、従来に比べて計算効率を良くすること
ができ、ｒ、ｓが大きくなるにつれてその効果は従来に
対して大きいものとなる。また本発明の目的は、素因数
分解の困難性を安全性の根拠とするセキュリティ技術に
対する安全性を評価する新しい尺度を与えることにあ
る。

【０００４】

【課題を解決するための手段】この発明の請求項１で
は、合成数Ｎを入力して、その素因数を出力することを
目的とする素因数抽出方法であり、Ｎは素数Ｐ、Ｑおよ
び自然数ｒ、ｓに対してＮ＝Ｐ^r×Ｑ^sという形であるこ
とが予め分かっており、その上でｒ、ｓの値とＰあるい
はＱのビットサイズであるｕあるいはｖも予め与えられ
ている特別な条件のもとで有効な方法であり、いくつか
の小さな素数Ｌ_i（ｉ＝１，２，…，ｍ）と自然数ｅ_iよ
り求まる素数の冪乗Ｌ_i ^eiをｒとＬ_i−１が互に素であり
ｅ_i≧２であれば更にｒとＬ_iが互に素なものとし、また
ｉ＝１，２，…，ｍについてＬ_i ^eiの積が２^uを超えるよ
うに用意し、もし少なくとも一つのＬ_iがＮを割り切れ
ばそのＬ_iを出力し、すべてのＬ_iがＮを割り切らない場
合、λ（Ｌ_i ^ei）がｓ×ｋ_iを割り切るような最小の自然
数ｋ_i（ｉ＝１，２，…，ｋ_i）を求め（λはカーマイケ
ル関数）、Ｌ_i ^eiを法としたｋ_i個の異なるＮ^kiのｋ_i乗
根Ａ_i、_j（ｊ＝１，２，…，ｍ）全てをＰ^r（ｍｏｄ
Ｌ_i ^ei）の候補とし、全てのｉ（１≦ｉ≦ｍ）について
ｊ（１≦ｊ≦ｋ_i）を一つ選び、それらｉ、ｊによって
与えられるｍ個のＡ_i、_j（ｍｏｄ Ｌ_i ^ei）から中国人
の剰余定理を用いて、Ｌ_i ^eiの積Ｍを法としたＰ^rの候補
を求め、ｒ^-1 ｍｏｄ φ（Ｍ）を求め（φはオイラー
関数）、Ｐ^r（ｍｏｄ Ｍ）の候補をｒ^-1 ｍｏｄ φ
（Ｍ）乗してＰ（ｍｏｄ Ｍ）の候補とすることで、そ
れらを全て整数に持ち上げたもの各々でＮを割ること
で、割り切れた候補をＮの素因子Ｐとして出力する、素
因数抽出方法を提案する。

【０００５】この発明の請求項２では、請求項１記載の
素因数抽出方法において、素数の冪乗Ｌ_i ^eiの積が２^uを
超えない場合でも、素数の冪乗Ｌ_i ^eiの積Ｍを法として
得たＰ^rの候補を元にＰ（ｍｏｄ Ｍ）の候補を求め、
それから２^uを超える法でのＰの候補を求め、逐次整数
に持ち上げたものでＮを割ることで、割り切れた候補を
Ｎの素因子Ｐとして出力する、素因数抽出方法を提案す
る。この発明の請求項３では、請求項１、２記載の何れ
かの素因数抽出方法において、Ｑの候補を求めることに
よりＮの素因数を抽出する、素因数抽出方法を提案す
る。

【０００６】この発明の請求項４では、請求項１、２記
載の何れかの素因数抽出方法において、ｋの初期値を１
とし、ｋ×ｓがλ（Ｂ_i ^di）を割り切るようなＢ_i、ｄ_i
をそれぞれＬ_i、ｅ_iとし、ｒとＬ_i−１が互に素であり
ｅ_i≧２であれば更にｒとＬ_iが互に素である条件を満た
さなければＬ_i、ｅ_iを取り直し、Ｌ_i ^eiの積が必要とす
る大きさに満たない場合はｋを＋１して同様の操作を行
い、これをＬ_i ^eiの積が必要とする大きさを満たすまで
繰り返していくことで素因数抽出に必要な素数Ｌ _iとそ
の冪ｅ_iを決定する、素数及び冪の決定方法を提案す
る。

【０００７】この発明の請求項５では、請求項１、２記
載の何れかの素因数抽出方法において、素因数抽出に必
要な素数Ｌ_iとその冪ｅ_iの決定に、多くのＬ_iとその冪
ｅ_iを予め貯えておき、その中でλ（Ｌ_i ^ei）がｓ×ｋ_i
を割り切るような最小の自然数ｋ _iを求め、ｋ_iの積が最
小となり、かつｋ_iに対応したＬ_i、ｅ_iが、ｒとＬ_i−１
が互に素でありｅ_i≧２であれば更にｒとＬ_iが互に素で
ある条件を満たすような複数のＬ_i、ｅ_iを素因数抽出に
必要な素数Ｌ_iとその冪ｅ_iとして選ぶ、素数及び冪の決
定方法を提案する。

【０００８】この発明の請求項６では、請求項３記載の
素因数抽出方法において、ｋの初期値を１とし、ｋ×ｒ
がλ（Ｂ_i ^di）を割り切るようなＢ_iｄ_iをそれぞれＬ_i、
ｅ_iとし、ｓとＬ_i−１が互に素でありｅ_i≧２であれば
更にｓとＬ_iが互に素である条件を満たさなければＬ_i、
ｅ_iを取り直し、Ｌ_i ^eiの積が必要とする大きさに満たな
い場合はｋを＋１して同様の操作を行い、これをＬ_i ^ei
の積が必要とする大きさを満たすまで繰り返していくこ
とで素因数抽出に必要な素数Ｌ_iとその冪ｅ_iを決定す
る、素数及び冪の決定方法を提案する。

【０００９】この発明の請求項７では、請求項３記載の
素因数抽出方法において、素因数抽出に必要な素数Ｌ_i
とその冪ｅ_iの決定に、多くのＬ_iとその冪ｅ_iを予め貯
えておき、その中でλ（Ｌ_i ^ei）がｒ×ｋ_iを割り切るよ
うな最小の自然数ｋ _iを求め、ｋ_iの積が最小となり、か
つｋ_iに対応したＬ_i、ｅ_iが、ｓとＬ_i−１が互に素であ
りｅ_i≧２であれば更にｓとＬ_iが互に素である条件を満
たすような複数のＬ_i、ｅ_iを素因数抽出に必要な素数Ｌ
_iとその冪ｅ_iとして選ぶ、素数及び冪の決定方法を提案
する。

【００１０】この発明の請求項８では、素因数抽出方法
に用いられる素因数抽出装置であって、合成数Ｎ＝Ｐ^r
×Ｑ^s、素数ＰあるいはＱのビットサイズ、ｕあるいは
ｖ、自然数ｒ、ｓを入力として、Ｎの素因数を出力する
ために、入力数、内部計算結果を記憶しておく記憶部
と、冪乗演算を処理する冪乗部と、いくつかの都合の良
い小さな素数あるいはその冪乗を決定する素数導出部
と、冪乗根を求める冪乗根導出部と、乗算を処理する乗
算部と、除算を処理する除算部と、２数の大小を判定す
る判定部と、中国人の剰余定理を用いた演算を処理する
中国人剰余定理演算部と、逆元を求める逆元部と、ある
法の上での元をより大きな法の元に持ち上げる変換部
と、装置内部全体の制御を行う制御部と、を具備する素
因数抽出装置を提案する。

【００１１】この発明の請求項９では、コンピュータが
読み取り可能な符号によって記述され、上記請求項１乃
至３記載の素因数抽出方法の何れかを実行する素因数抽
出プログラムを提案する。この発明の請求項１０では、
コンピュータから読み取り可能な符号によって記述さ
れ、上記請求項４乃至７記載の素数及び冪の決定方法の
何れかを実行する素数及び冪の決定プログラムを提案す
る。

【００１２】

【発明の実施の形態】以下に、本発明の実施の形態につ
いて図面を参照して詳細に説明する。第１、第２の実施
形態共に、素因数を抽出する対象となる合成数Ｎは素数
Ｐ、Ｑ及び自然数ｒ、ｓに対してＮ＝Ｐ^r×Ｑ^sという形
で表現でき、またそのことが予め分かっており、その上
でｒ、ｓの値とＰあるいはＱのビットサイズ、ｕあるい
はｖも予め与えられているものとする。ｒ、ｓが与えら
れたときｒとｓの最大公約数ＧＣＤ（ｒ、ｓ）が１より
大きな整数ｔであるとき、Ｎ^1/tを求めることは素因数
分解よりも易しい。現在まで最も有効な素因数分解法は
数体篩法、楕円曲線法とされ、これらはそれぞれ対象と
なる合成数のサイズ、その最小素因子のサイズに対して
準指数時間で動作するアルゴリズムとなる。これに対し
てＮ^1/tを求めるためには合成数Ｎのサイズの高々多項
式時間で十分である。このことから以降Ｎ^1/t＝Ｐ^r/t×
Ｑ^s/tに対して素因数ＰあるいはＱを求める問題に置き
換えるために、ｒとｓは互に素であることを仮定する。
すなわち整数ｔ＝１とする。

【００１３】まず請求項１に基づきいくつかの小さな素
数Ｌ_i（ｉ＝１，２，…，ｍ）と自然数ｅ_iより求まる素
数の冪乗Ｌ_i ^eiの積が２^uを超えるように用意して素因数
Ｐを求める方法を第１の実施形態として説明する。また
ここでは、素数Ｌ_i、冪ｅ_iの決定方法を請求項４に従っ
たものとする。次に、請求項２、３に基づきいくつかの
小さな素数Ｌ_iと自然数ｅ_iに対して素数の冪乗Ｌ_i ^eiの
積が２^v未満の値Ｔであるときに素因数Ｑを求める方法
を第２の実施形態として説明する。またここでは、素数
Ｌ_i、冪ｅ_iの決定方法を請求項７に従ったものとする。

【００１４】ここでは第１の実施形態について説明す
る。図１に第１の実施形態における、合成数Ｎを入力、
Ｎの素因数Ｐを出力Ｓとする素因数抽出装置１１とその
内部構成を示す。素因数抽出装置１１は記憶部１３に、
予めＮ＝Ｐ^r×Ｑ^sに対する自然数ｒ、ｓ及びＰのビット
サイズｕが格納されている。まず初期値ｋを１とし、
ｒ、ｓ、ｕを記憶部１３から取り出して冪乗部１５より
２^uを計算してその結果を記憶部１３に格納した後λ
（Ｌ_i ^ei）｜（ｋ×ｓ）を満たすような素数Ｌ_i、自然数
ｅ_iを素数導出部１７より求める。

【００１５】ここでλはカーマイケル関数、ａ｜ｂでａ
はｂを割り切ることを意味する。尚、Ｌ_iの取り方とし
てｒとＬ_i−１が互に素でありｅ_i≧２であれば更にｒと
Ｌｉが互に素である条件を満たさない場合は取り除く。
Ｌ_i、ｅ_iの求め方、すなわち素数導出部１７の動作とし
て、効率はよくないもののＬ_iを２、３、５、…と小さ
な素数から順に動かしてそれぞれについて（Ｌ_i−１）
｜（ｋ×ｓ）が成り立つか調べ、成り立った場合にその
後の処理としてλ（Ｌ_i ^ei）｜（ｋ×ｓ）となる最大の
自然数ｅ_iをｅ_i＝１、２、…と動かし、ｒとＬ_i−１が
互に素でありｅ_i≧２であれば更にｒとＬ_iが互に素であ
る条件を満たさない場合は取り除くことができる。

【００１６】Ｌ_iを動かしていったときＬ_i−１がｋ×ｓ
を超えた場合はＬ_iより大きな素数について上記関係が
成り立たないことは明らかなため、素数導出部１７はＬ
_iがｋ×ｓを超えた場合はｋを＋１する。そして再度Ｌ_i
を２、３、５、…と小さな素数から順に動かすことを実
行する。ここで上記方法について効率を改善した方法は
いくつか上げることができるが、いくつかの方法は明ら
かであり、また本質ではないため省略する。この操作に
よって得られたＬ_i ^eiは、順次ｋ＝ｋ_iとペアで記憶部１
３に格納される。また初期値を１としたＭに対して、乗
算部２９よりＭ＝Ｍ×Ｌ_i ^eiを計算し、２^uを記憶部１３
から取り出して判定部１９よりＭ＞２^uが成り立つか調
べる。成り立てばＬ_iの生成を終了する。成り立たない
場合は引き続きＬ_iを生成する。また生成した素数Ｌ_iそ
れぞれについて逐次Ｎを割り切るか除算部２７により調
べる。割り切れば素因数抽出装置１１はそのＬ_iを出力
して処理を全て終了する。以降、選んだ全ての素数Ｌ_i
がＮを割り切らないものとして話を進める。

【００１７】以上の操作は合成数Ｎが与えられる前の事
前演算として処理することができる。これらの制御は制
御部３３が実行する。上記操作をフローチャートとして
図２に示す。積が２^uを超えるような素数の冪乗の組
｛Ｌ_i ^ei｝が用意できたら次のフェーズに移る。Ｌ_iの個
数をｍとする。まず初期値ｄを１とし、記憶部１３に格
納された組｛Ｌ_d ^ed、ｋ_d｝を取り出す。そして冪乗部１
５よりＮ^kdを計算し、Ｎ^kd＝Ａ_d、_j ^kd（ｍｏｄ
Ｌ_d ^ed）を満たすＡ_d、_j、すなわちＮ^kd（ｍｏｄ
Ｌ_d ^ed）のｋ_d乗根を冪乗根導出部２１により全て求めて
記憶部１３に格納する。Ａ_d、_jの求め方、すなわち冪乗
根導出部２１の動作として、素数の冪乗を法とした多項
式の根の効率的な求め方はいくつか知られているため、
それらの一つを用いることにする。但しその詳細は本質
でないため省略する。Ａ_d、_jは高々ｋ_d個で与えられ
る。すなわちｊは最大で１からｋ_dまで動く。

【００１８】以上の処理が終了したらｄを＋１してｄ≦
ｍである間にこの処理を繰り返す。上記操作表をフロー
チャートとして図３示す。次に、記憶部１３に格納され
たＡ_d、_jからＰ^rの候補を求める方法について説明す
る。１≦ｊ≦ｋ_dのうち必ずｐ^r＝Ａ_d、_j（ｍｏｄ Ｌ_d
^ed）が成り立つようなｊが存在する。この事実から中国
人の剰余定理を用いて真のＰ^r（ｍｏｄ Ｍ）を計算す
る。ここではＭはＬ_d ^edの積である。

【００１９】まずｄ＝１，２，…，ｍに対してそれぞれ
一つずつ１≦ｊ≦ｋ_dなるｊを選んでＡ_d、_j（ｍｏｄ
Ｌ_d ^ed）を記憶部１３から取り出し、中国人の剰余定理
（詳しくは前著参照）を実行する中国人剰余演算部２３
より、取り出したＡ_d、_j（ｍｏｄ Ｌ_d ^ed）からＸ（ｍ
ｏｄ Ｍ）を求める。Ｘは取り出した全てのＡ_d、_j（ｍ
ｏｄ Ｌ_d ^ed）に対してＸ＝Ａ_d、_j（ｍｏｄ Ｌ_d ^ed）が
成り立つような値である。いま中国人の剰余定理を実行
したことにより、Ｘはｋ_d（ｄ＝１，２，…，ｍ）の積
だけある。ｋ_dの積をＫ、ｃ番目のＸをＸ_cとする。Ｘ_c
（１≦ｃ≦Ｋ）はＰ^r（ｍｏｄ Ｍ）の候補であり、そ
の中に必ず真のものが存在する。

【００２０】次に、逐次求めたＸ_cからＰ^r（ｍｏｄ
Ｍ）の候補をＰ（ｍｏｄ Ｍ）の候補に変換し、それが
真の素因数Ｐかどうか判定し、Ｎの素因数Ｐを求める方
法について述べる。まず逆元部３１よりｚ＝ｒ^-1ｍｏｄ
φ（Ｍ）を求め（φはオイラー関数）、Ｐ ^r（ｍｏｄ
Ｍ）の候補を冪乗部１５よりｚ乗することでＰ（ｍｏｄ
Ｍ）の候補とすることができる。Ｘ_c ^z（１≦ｃ≦Ｋ）
はＰ（ｍｏｄ Ｍ）の候補であり、その中に必ず真のも
のが存在する。尚、ｒ^-1ｍｏｄ φ（Ｍ）が存在するこ
とはＧＣＤ（ｒ、φ（Ｍ））＝１であることが必要十分
であり、φ（Ｍ）はφ（Ｌ_i ^{e i}）の積と等しく、φ（Ｌ_i
^ei）＝Ｌ_i ^ei-1×（Ｌ_i−１）はｒと互に素であることが
保証されているためｚ＝ｒ^-1ｍｏｄ φ（Ｍ）は必ず
（一意に）存在する。

【００２１】Ｘ_c ^z（ｍｏｄ Ｍ）が求まれば、Ｐ＜Ｍか
つＸ_c ^zはＭを法とした元であるため、変換部２５より逐
次整数に持ち上げて（単にＸ_c ^z（ｍｏｄ Ｍ）を０以上
Ｍ未満の整数に置き換えれば良い）、それが除算部２７
よりＮを割り切るか調べる。割り切らなければｃを＋１
して同様の手法によりＸ_cを求めてＮを割り切るか調べ
ればよい。割り切れた場合、素因数抽出装置１１はその
整数に持ち上げたＸ_c ^zを出力して終了する。上記操作を
フローチャートとして図４に示す。

【００２２】次に第２の実施形態について説明する。図
５に第１の実施形態における、合成数Ｎを入力、Ｎの素
因数Ｑを出力とする素因数抽出装置４１とその内部構成
を示す。素因数抽出装置４１は記憶部４３に、予めＮ＝
Ｐ^r×Ｑ^sに対する自然数ｒ、ｓ及びＱのビットサイズｖ
が格納されている。またいくつかの小さな素数Ｌ_i及び
閾値Ｔも予め記憶部４３に格納されている。Ｔは２^vよ
り小さな自然数とする。記憶部４３に格納された全ての
Ｌ_iの中からＬ_i｜Ｎを満たすものが存在する場合、その
Ｌ_iをＮの素因数として出力し終了する。以降Ｌ_i｜Ｎを
満たすようなＬ _iが記憶部４３に格納されてないものと
して話を進める。

【００２３】まず初期値ｋを１とし、ｒ、ｓ、Ｌ_i（ｉ
＝１，２，３，…，ｍ）を取り出し、（Ｌ_i−１）｜
（ｋ×ｒ）を満たすような素数Ｌ_iを選ぶ。上記式を満
たすかどうかの判定は素数導出部４７により行われる。
上記式を満たす全てのＬ_iに対して、逐次素数導出部４
７はλ（Ｌ_i ^ei）｜（ｋ×ｒ）を満たす最大の自然数ｅ_i
を求め、この操作によって得られたＬ_i ^eiはｒとＬ_i−１
が互に素でありｅ_i≧２であれば更にｒとＬ_iが互に素で
ある場合に限り、順次ｋ＝ｋ_iとペアで記憶部４３に格
納される。取り出したＬ_iに対して素数導出部４７の処
理が終了した場合ｋを＋１し、予め記憶部４３に格納さ
れたｒとＬ_i−１が互に素である全てのＬ_iが、
｛Ｌ_i ^ei、ｋ_i｝として再度記憶部４３に格納されるまで
上記処理を繰り返す。制御部６３はこれらの全ての動作
を制御する。

【００２４】上記操作をフローチャートとして図６に示
す。次に記憶部４３に格納された｛Ｌ_i ^ei、ｋ_i｝から、
Ｌ_i ^eiの積がＴを超え、かつｋ_iの積が最小となるような
複数の｛Ｌ_i ^ei、ｋ_i｝の組を選び、それらの組以外は記
憶部４３から削除する。上記方法は記憶部４３、上算部
５９、判定部４９の構成から明らかなため省略するが、
この処理はＮが与えられる前の事前処理として行うこと
ができるため、多くのＬ_iを記憶部４３に予め格納して
おく方が実処理部での演算量を小さくすることができ
る。

【００２５】積がＴを超えるような素数の冪乗の組｛Ｌ
_i ^ei｝が用意できたら次のフェーズに移る。まず、初期
値ｄを１とし、記憶部４３に格納された組｛Ｌ_d ^ed、
ｋ_d｝を取り出す。そして冪乗部４５よりＮ^kdを計算
し、Ｎ^kd＝Ａ_d、_j ^kd（ｍｏｄ Ｌ_d ^ed）を満たすＡ_d、_j
を冪乗根導出部５１により全て求めて記憶部４３に格納
する。Ａ_d、_jの求め方、すなわち冪乗根導出部５１の動
作として、第１の実施形態同様、素数の冪乗を法とした
多項式の根の効率的な求め方はいくつか知られているた
めそれらの一つを用いることにする。Ａ_d、_jは高々ｋ_d
個で与えられる。すなわちｊは最大で１からｋ_dまで動
く。

【００２６】以上の処理が終了したらｄを＋１してｄ≦
ｍである間この処理を繰り返す。上記操作は第１の実施
形態の図３同様となる。次に記憶部４３に格納されたＡ
_d、_jからＱ^sの候補を求める方法について説明する。１
≦ｊ≦ｋ_dのうち必ずＱ^s＝Ａ_d、_j（ｍｏｄ Ｌ_d ^ed）が
成り立つようなｊが存在する。この事実から中国人の剰
余定理を用いて真のＱ^s（ｍｏｄ Ｍ）を計算する。こ
こでＭはＬ_d ^edの積である。

【００２７】まずｄ＝１，２，…，ｍから一つずつ１≦
ｊ≦ｋ_dなるｊを選びＡ_d、_j ^kd（ｍｏｄ Ｌ_d ^ed）を記憶
部４３から取り出し、中国人の剰余定理を実行する中国
人剰余演算部５３より、取り出したＡ_d、_j（ｍｏｄ Ｌ
_d ^ed）からＸ（ｍｏｄ Ｍ）を求める。Ｘは取り出した
全てのＡ_d、_j（ｍｏｄ Ｌ_d ^ed）に対してＸ＝Ａ_d、
_j（ｍｏｄ Ｌ_d ^ed）が成り立つような値である。いま中
国人の剰余定理を実行したことにより、Ｘはｋ_d（ｄ＝
１，２，…，ｍ）の積だけある。ｋ_dの積をＫ、ｃ番目
のＸをＸ_cとする。Ｘ_c（１≦ｃ≦Ｋ）はＱ^s（ｍｏｄ
Ｍ）の候補であり、その中に必ず真のものが存在する。

【００２８】次に逐次求めたＸ_cからＱ^s（ｍｏｄ Ｍ）
の候補を第１の実施形態同様、Ｑ（ｍｏｄ Ｍ）の候補
に変換する。これは第１の実施形態同様、逆元部６１よ
りｚ＝ｓ^-1ｍｏｄφ（Ｍ）を求め、Ｑ^s（ｍｏｄ Ｍ）
の候補を冪乗部４５よりｚ乗することで明らかにＱ（ｍ
ｏｄＭ）の候補とすることができる。Ｘ_c ^z（１≦ｃ≦
Ｋ）はＱ（ｍｏｄ Ｍ）の候補であり、その中に必ず真
のものが存在する。上記処理においてＴは２^vよりも小
さいためＴ＜Ｍの条件でのみ与えられたＭに対しても、
Ｑ（ｍｏｄ Ｍ）の候補から整数Ｑの候補への自然な持
ち上げは一般にはできない。そこでＱ＝Ｑ（ｍｏｄ
Ｍ）＋ｎ×Ｍである事実を用いて（ｎは０以上（２^v−
Ｑ（ｍｏｄ Ｍ））／Ｍ）以下の整数）、ｎを０，１，
２，…と動かしてそれがＱとなっているか調べればよ
い。具体的には、初期値ｄを１とし、変換部５５よりＹ
＝Ｘ_d ^z（ｍｏｄ Ｍ）＋ｎ×Ｍについて、初期値ｎを０
とし、ｎ≦（２^v−Ｑ^z（ｍｏｄ Ｍ））／Ｍ）である限
りＹがＮを割り切るか除算部５７により調べ、割り切れ
ば素因数抽出装置４１はＹを出力して終了し、割り切ら
なければｎを＋１し、ｎ＞（２^v−Ｑ^z（ｍｏｄ Ｍ））
／Ｍ）であればｄ＝１，２，…，ｍから一つずつ１≦ｊ
≦ｋ_dなるｊを選びＡ_d、_j（ｍｏｄ Ｌ_d ^ed）を記憶部４
３から取り直して同様の処理を繰り返す。

【００２９】上記操作をフローチャートとして図７に示
す。以上説明した素因数抽出方法、素数及び冪の決定方
法はコンピュータが読み取り可能な符号によって記述さ
れたプログラムによってコンピュータ上で実行される。
コンピュータプログラムはＣＤ等の記憶媒体又は通信回
線を通じてコンピュータにインストールされ、ＣＰＵ等
により実行される。

【００３０】

【発明の効果】素因数又は素因数の冪乗を抽出する対象
となる合成数Ｎは素数Ｐ、Ｑおよび自然数ｒ、ｓに対し
てＮ＝Ｐ^r×Ｑ^sという形で表現することができ、またそ
のことが予め分かっており、その上でｒ、ｓの値とＰあ
るいはＱのビットサイズであるｕあるいはｖも予め与え
られている場合に有効な、Ｎの素因数を抽出する方法で
あり、単にＮの非自明な因数を知ることを目的とする場
合に用いることができ、また本発明により素因数分解の
困難性を安全性の根拠とするような暗号方式に対して安
全性を評価する新しい尺度を追加することができる。特
にｒ、ｓ、ｕ、ｖまたはそのいくつかが与えられていな
い場合でもそれらを推測し本発明の方法を繰り返し実行
することも可能である。

【図面の簡単な説明】

【図１】この発明の一実施例を説明するためのブロック
図。

【図２】図１に示した実施例の動作を説明するためのフ
ローチャート。

【図３】図２に示したフローチャートの一部を詳細に説
明するためのフローチャート。

【図４】図２に示したフローチャートの一部を詳細に説
明するためのフローチャート。

【図５】この発明の他の実施例を説明するためのブロッ
ク図。

【図６】図５に示した実施例の動作を説明するためのフ
ローチャート。

【図７】図６に示したフローチャートの一部を詳細に説
明するためのフローチャート。

【符号の説明】

１１ 素因数抽出装置 ２３、５３ 中国人
剰余演算部 １３、４３ 記憶部 ２５、５５
変換部 １５、４５ 冪乗部 ２７、５７
除算部 １７、４７ 素数導出部 ２９、５９
乗算部 １９、４９ 判定部 ３１、６１
逆元部 ２１、５１ 冪乗根導出部 ３３、６３
制御部

───────────────────────────────────────────────────── フロントページの続き (72)発明者 斉藤 泰一 東京都千代田区大手町二丁目３番１号 日 本電信電話株式会社内 Ｆターム(参考） 5J104 AA18 AA23 AA24 NA18

Claims (10)

【特許請求の範囲】
1. 【請求項１】 合成数Ｎを入力して、その素因数を出力
   することを目的とする素因数抽出方法であり、 Ｎは素数Ｐ、Ｑおよび自然数ｒ、ｓに対してＮ＝Ｐ^r×
   Ｑ^sという形であることが予め分かっており、その上で
   ｒ、ｓの値とＰあるいはＱのビットサイズであるｕある
   いはｖも予め与えられている特別な条件のもとで有効な
   方法であり、 いくつかの小さな素数Ｌ_i（ｉ＝１，２，…，ｍ）と自
   然数ｅ_iより求まる素数の冪乗Ｌ_i ^eiをｒとＬ_i−１が互
   に素でありｅ_i≧２であれば更にｒとＬ_iが互に素なもの
   とし、またｉ＝１，２，…，ｍについてＬ_i ^eiの積が２^u
   を超えるように用意し、もし少なくとも一つのＬ_iがＮ
   を割り切ればそのＬ_iを出力し、 すべてのＬ_iがＮを割り切らない場合、λ（Ｌ_i ^ei）がｓ
   ×ｋ_iを割り切るような最小の自然数ｋ_i（ｉ＝１，２，
   …，ｋ_i）を求め（λはカーマイケル関数）、Ｌ_i ^eiを法
   としたｋ_i個の異なるＮ^kiのｋ_i乗根Ａ_i、_j（ｊ＝１，
   ２，…，ｍ）全てをＰ^r（ｍｏｄ Ｌ_i ^ei）の候補とし、 全てのｉ（１≦ｉ≦ｍ）についてｊ（１≦ｊ≦ｋ_i）を
   一つ選び、それらｉ、ｊによって与えられるｍ個の
   Ａ_i、_j（ｍｏｄ Ｌ_i ^ei）から中国人の剰余定理を用い
   て、Ｌ_i ^eiの積Ｍを法としたＰ^rの候補を求め、 ｒ^-1 ｍｏｄ φ（Ｍ）を求め（φはオイラー関数）、
   Ｐ^r（ｍｏｄ Ｍ）の候補をｒ^-1 ｍｏｄ φ（Ｍ）乗
   してＰ（ｍｏｄ Ｍ）の候補とすることで、 それらを全て整数に持ち上げたもの各々でＮを割ること
   で、割り切れた候補をＮの素因子Ｐとして出力する、 ことを特徴とする素因数抽出方法。
2. 【請求項２】 請求項１記載の素因数抽出方法におい
   て、 素数の冪乗Ｌ_i ^eiの積が２^uを超えない場合でも、素数の
   冪乗Ｌ_i ^eiの積Ｍを法として得たＰ^rの候補を元にＰ（ｍ
   ｏｄ Ｍ）の候補を求め、それから２^uを超える法での
   Ｐの候補を求め、逐次整数に持ち上げたものでＮを割る
   ことで、割り切れた候補をＮの素因子Ｐとして出力す
   る、 ことを特徴とする素因数抽出方法。
3. 【請求項３】 請求項１、２記載の何れかの素因数抽出
   方法において、 Ｑの候補を求めることによりＮの素因数を抽出する、 ことを特徴とする素因数抽出方法。
4. 【請求項４】 請求項１、２記載の何れかの素因数抽出
   方法において、 ｋの初期値を１とし、ｋ×ｓがλ（Ｂ_i ^di）を割り切る
   ようなＢ_i、ｄ_iをそれぞれＬ_i、ｅ_iとし、ｒとＬ_i−１
   が互に素でありｅ_i≧２であれば更にｒとＬ_iが互に素で
   ある条件を満たさなければＬ_i、ｅ_iを取り直し、Ｌ_i ^ei
   の積が必要とする大きさに満たない場合はｋを＋１して
   同様の操作を行い、これをＬ_i ^eiの積が必要とする大き
   さを満たすまで繰り返していくことで素因数抽出に必要
   な素数Ｌ _iとその冪ｅ_iを決定する、 ことを特徴とする素数及び冪の決定方法。
5. 【請求項５】 請求項１、２記載の何れかの素因数抽出
   方法において、 素因数抽出に必要な素数Ｌ_iとその冪ｅ_iの決定に、多く
   のＬ_iとその冪ｅ_iを予め貯えておき、その中でλ（Ｌ_i
   ^ei）がｓ×ｋ_iを割り切るような最小の自然数ｋ _iを求
   め、ｋ_iの積が最小となり、かつｋ_iに対応したＬ_i、ｅ_i
   が、ｒとＬ_i−１が互に素でありｅ_i≧２であれば更にｒ
   とＬ_iが互に素である条件を満たすような複数のＬ_i、ｅ
   _iを素因数抽出に必要な素数Ｌ_iとその冪ｅ_iとして選
   ぶ、 ことを特徴とする素数及び冪の決定方法。
6. 【請求項６】 請求項３記載の素因数抽出方法におい
   て、 ｋの初期値を１とし、ｋ×ｒがλ（Ｂ_i ^di）を割り切る
   ようなＢ_iｄ_iをそれぞれＬ_i、ｅ_iとし、ｓとＬ_i−１が
   互に素でありｅ_i≧２であれば更にｓとＬ_iが互に素であ
   る条件を満たさなければＬ_i、ｅ_iを取り直し、Ｌ_i ^eiの
   積が必要とする大きさに満たない場合はｋを＋１して同
   様の操作を行い、これをＬ_i ^eiの積が必要とする大きさ
   を満たすまで繰り返していくことで素因数抽出に必要な
   素数Ｌ_iとその冪ｅ_iを決定する、 ことを特徴とする素数及び冪の決定方法。
7. 【請求項７】 請求項３記載の素因数抽出方法におい
   て、 素因数抽出に必要な素数Ｌ_iとその冪ｅ_iの決定に、多く
   のＬ_iとその冪ｅ_iを予め貯えておき、その中でλ（Ｌ_i
   ^ei）がｒ×ｋ_iを割り切るような最小の自然数ｋ _iを求
   め、ｋ_iの積が最小となり、かつｋ_iに対応したＬ_i、ｅ_i
   が、ｓとＬ_i−１が互に素でありｅ_i≧２であれば更にｓ
   とＬ_iが互に素である条件を満たすような複数のＬ_i、ｅ
   _iを素因数抽出に必要な素数Ｌ_iとその冪ｅ_iとして選
   ぶ、 ことを特徴とする素数及び冪の決定方法。
8. 【請求項８】 素因数抽出方法に用いられる素因数抽出
   装置であって、 合成数Ｎ＝Ｐ^r×Ｑ^s、素数ＰあるいはＱのビットサイ
   ズ、ｕあるいはｖ、自然数ｒ、ｓを入力として、Ｎの素
   因数を出力するために、 入力数、内部計算結果を記憶しておく記憶部と、 冪乗演算を処理する冪乗部と、 いくつかの都合の良い小さな素数あるいはその冪乗を決
   定する素数導出部と、 冪乗根を求める冪乗根導出部と、 乗算を処理する乗算部と、 除算を処理する除算部と、 ２数の大小を判定する判定部と、 中国人の剰余定理を用いた演算を処理する中国人剰余定
   理演算部と、 逆元を求める逆元部と、 ある法の上での元をより大きな法の元に持ち上げる変換
   部と、 装置内部全体の制御を行う制御部と、 を具備する素因数抽出装置。
9. 【請求項９】 コンピュータが読み取り可能な符号によ
   って記述され、上記請求項１乃至３記載の素因数抽出方
   法の何れかを実行する素因数抽出プログラム。
10. 【請求項１０】 コンピュータから読み取り可能な符号
    によって記述され、上記請求項４乃至７記載の素数及び
    冪の決定方法の何れかを実行する素数及び冪の決定プロ
    グラム。