JP2022117083A - 演算システム、演算方法およびプログラム - Google Patents

Abstract

【課題】 有理整数を使用する慣行の方法に比較して、１／２ビット長より小さい整数型メモリのみで、演算を実行することが可能となるシステム、方法、プログラムを提供すること。【解決手段】 演算システムは、有限個の要素からなる有限体間の演算を実行するシステムであり、有限体の位数に基づき、該有限体を、冪乗根を含む拡大次数が３以上の拡大体に変換する変換手段と、変換された拡大体の要素間の演算を実行する実行手段とを含む。【選択図】 図１７

Description

本発明は、有限個の要素からなる有限体間の演算を実行するシステム、方法およびプログラムに関する。

一般に、加減乗除が行える集合は、体（たい）と呼ばれ、その体が有限個の要素からなるものは、有限体と呼ばれる。例えば、全ての整数を素数５で除算すると、その余りは｛０、１、２、３、４｝のいずれかを取り、５つのグループに分けることができる。このグループ間でも、加減乗除が成立し、特に除法における余りは上記の５つのうちのいずれかとなる。このときのグループ数は、位数と呼ばれる。このことから、この例におけるグループの集合は、位数が５（素数）の有限体と呼ばれる。

公開鍵暗号として用いられるＲＳＡ暗号や楕円曲線暗号（ＥＣＣ）では、位数が素数である有限体を使用する。暗号は、位数が大きいほど安全になる。一方で、位数が大きくなると、扱う数のビット長が大きくなり、大きなメモリが必要となる。

近年、様々のものをインターネットに接続し、当該ものの制御等を行う技術（ＩｏＴ）が普及し、自動車や作業用ロボット等のセンサや制御系への情報の送受信を安全に実施するために暗号技術の適用が望まれている。しかしながら、これらのセンサ等に搭載された小さなメモリで暗号化や復号を行うことは困難である。

そこで、ＲＳＡ暗号やＥＣＣを少ないメモリで実行できる技術として、位数ｐの有限体を、ガウス整数を使用して各グループを代表するのに使う数（代表元）により表現し、この代表元を使用して加減乗除や開平（平方根を求めること）を実行する方法が提案されている（例えば、非特許文献１参照）。

長沼一輝、他３名、"ガウス整数による有限体上の楕円曲線暗号のＥｘｃｅｌ上への実装"、電子情報通信学会技術研究報告、一般社団法人 電子情報通信学会、２０１９年８月２２日、Ｖｏｌ．１１９、Ｎｏ．１８５、ｐ．１７－２２

上記の従来の方法は、有理整数を使用する慣行の方法に比較して、１／２ビット長の整数型メモリのみで、加減乗除および開平の５つの演算を実行することができる。しかしながら、１／２ビット長と、１／２ビット長より小さいビット長との間には、数学的な問題があり、１／２ビット長より小さい整数型メモリのみで演算を実行することはできないという問題があった。

本発明は、上記課題に鑑み、有限個の要素からなる有限体間の演算を実行するシステムであって、
有限体の位数に基づき、該有限体を、冪乗根を含む拡大次数が３以上の拡大体に変換する変換手段と、
変換された拡大体の要素間の演算を実行する実行手段と
を含む、演算システムが提供される。

本発明によれば、有理整数を使用する慣行の方法に比較して、１／２ビット長より小さい整数型メモリのみで、演算を実行することが可能となる。

公開鍵暗号を使用したメッセージの送受信の流れを例示した図。 ＲＳＡ暗号を使用する場合における秘密鍵および公開鍵の作成処理、暗号化処理、復号処理の流れを示したフローチャート。 楕円曲線暗号を使用する場合における秘密鍵および公開鍵の作成処理、暗号化処理、復号処理の流れを示したフローチャート。 余剰類の導出の流れを示したフローチャート。 商の条件について説明する図。 代表元同士の除算処理の一例を示したフローチャート。 各条件で実行する演算のアルゴリズムの一例を示した図。 ｓｈｉｆｔ演算のアルゴリズムの一例を示した図。 代表元同士の乗算処理の一例を示したフローチャート。 平方根の演算処理の一例を示したフローチャート。 Ｎ（π）－１を展開した形を表現した図。 Ｎ（π）－１を展開し、各ブロックで表した図。 ０個目のブロックと３個目のブロックについて２で除算する処理の一例を示したフローチャート。 １個目のブロックと２個目のブロックについて２で除算する処理の一例を示したフローチャート。 Ｎ（π）－１の素因数２の数を求める処理の一例を示したフローチャート。 演算システムの構成例を示した図。 演算システムの機能構成の一例を示した図。 演算システムにより実行される処理の一例を示したフローチャート。

本発明の演算システム、方法およびプログラムにより実行される演算の一例として、以下に公開鍵暗号を挙げて説明するが、これに限られるものでない。まず、公開鍵暗号および公開鍵暗号を使用したメッセージの送受信について説明する。

公開鍵暗号は、暗号化と復号化に別個の鍵を使用し、暗号化の鍵を公開できるようにした暗号方式である。鍵は、暗号アルゴリズムの手順を制御するためのデータである。

図１に、公開鍵暗号を使用したメッセージの送受信の流れを示す。メッセージの受信者は、暗号化と復号化に使用する２つの鍵として、ステップ１００において、秘密鍵と公開鍵とを生成する。そして、送信者は、生成した公開鍵を公開する。

ステップ１０１において、送信者は、公開された送信者の公開鍵を取得する。ステップ１０２において、送信者は、受信者へ送りたいメッセージを用意し、取得した受信者の公開鍵で用意したメッセージを暗号化する。ステップ１０３において、送信者は、暗号化したメッセージを受信者へ送信する。

ステップ１０４において、受信者は、暗号化されたメッセージを送信者から受信する。ステップ１０５において、受信者は、秘密に管理している受信者の秘密鍵を使用し、暗号化されたメッセージを復号する。

公開鍵暗号としては、ＲＳＡ暗号や楕円曲線暗号（ＥＣＣ）等がある。ここでは、公開鍵暗号として、ＲＳＡ暗号とＥＣＣを取り上げて説明する。

図２は、ＲＳＡ暗号を使用する場合における秘密鍵および公開鍵の作成処理、暗号化処理、復号処理の流れを示したフローチャートである。図２（ａ）に示す鍵の作成処理は、ステップ２００から開始し、ステップ２０１では、２つの素数ｐ、ｑを用意する。ステップ２０２では、用意された２つの素数ｐ、ｑを使用し、（ｐ－１）（ｑ－１）を計算し、（ｐ－１）（ｑ－１）と互いに素である（ｐ－１）（ｑ－１）より小さい数をｅとする。

ステップ２０３では、次の式１に示す条件を満たす最小の正の整数をｄとする。式１は、（ｐ－１）（ｑ－１）を法としてｄｅと１が合同であり、ｄｅ－１が（ｐ－１）（ｑ－１）で割り切れること、もしくはｄｅを（ｐ－１）（ｑ－１）で除算した余りが１であることを意味する。

ステップ２０４では、ｎ＝（ｐ×ｑ）、ｅを公開鍵とし、ｄを秘密鍵とし、ステップ２０５で終了する。

図２（ｂ）に示す暗号化処理は、ステップ２１０から開始し、ステップ２１１では、整数ｍを入力し、入力した整数ｍを平文とする。平文は、暗号化されていないデータであり、ハッシュ値である。ハッシュ値は、テキストデータ、写真データ、音楽データ等をハッシュ関数により変換された値である。

ステップ２１２では、ｍ^ｅ（ｍｏｄ．ｎ）を計算し、これを暗号文とし、ステップ２１３で終了する。ステップ２１２では、整数ｍをｅ乗し、ｅ乗した整数ｍをｎで除算した時の余りが暗号文となる。

図２（ｃ）に示す復号処理は、ステップ２２０から開始し、ステップ２２１では、送信者から受信した整数ｃを暗号文とする。ステップ２２２では、ｃ^ｄ（ｍｏｄ．ｎ）を計算し、暗号文を復号する。そして、ステップ２２３へ進み、復号を終了する。ステップ２２２では、受信者が秘密に管理する秘密鍵ｄを用い、整数ｃをｄ乗し、ｄ乗した整数ｃをｎで除算した時の余りが復号文となる。

図３は、楕円曲線暗号を使用する場合における秘密鍵および公開鍵の作成処理、暗号化処理、復号処理の流れを示したフローチャートである。図３（ａ）に示す鍵の作成処理は、ステップ３００から開始し、ステップ３０１では、楕円曲線作成のためのいくつかの整数を用意する。ステップ３０２では、楕円曲線上の有理点Ｐを用意する。有理点Ｐは、座標の値が有理数（整数と分数の総称）である空間の点である。

ステップ３０３では、整数ｎを用意する。ステップ３０４では、ｎＰを計算し、Ｐとともに公開鍵とする。また、ｎを秘密鍵とする。ｎＰは、有理点Ｐをｎ回楕円加算する楕円乗算により算出される。楕円曲線暗号で用いられる楕円曲線は、次の式２に示す式を満たす点と、無限遠点Ｏ＝（∞，∞）によって与えられる曲線である。

上記式２中、ａ、ｂは、ある体Ｋに属する数である。その楕円曲線のＫ－有理点の集合Ｅ（Ｋ）は、次の式３に示すように定義される。

無限遠点ではない任意の点Ｐ＝（ｘ_１，ｙ_１）、Ｑ＝（ｘ_２，ｙ_２）は、Ｅ（Ｋ）に属し、その加算Ｒ＝Ｐ＋Ｑ＝（ｘ_３，ｙ_３）は、次の式４に示すように定義される。ちなみに、加算において無限遠点Ｏは、単位元となるため、Ｐ＋Ｏ＝Ｏ＋Ｐ＝Ｐとなる。

上記のｎＰは、Ｐ＋Ｐを上記式４により計算して２Ｐを得、２Ｐ＋Ｐを上記式４により計算して３Ｐを得、Ｐがｎ回加算されるまでこれを繰り返すことにより算出される。このようにして公開鍵と秘密鍵が作成されたところで、ステップ３０５へ進み、作成処理を終了する。

図３（ｂ）に示す暗号化処理は、ステップ３１０から開始し、ステップ３１１では、楕円曲線上の有理点Ｍを平文とする。ステップ３１２では、整数ｋを用意する。

ステップ３１３では、ｋＢを楕円乗算により計算し、これを暗号文Ｃ_１とし、ｋＰを楕円乗算により計算し、ＭとｋＰの楕円加算を行い、その結果を暗号文Ｃ_２とし、ステップ３１４で暗号化処理を終了する。

図３（ｃ）に示す復号処理は、ステップ３２０から開始し、ステップ３２１では、送信者から受信した暗号文Ｃ_１、Ｃ_２を受信する。そして、Ｃ_２からｎＣ_１の楕円減算を行い、暗号文を復号する。楕円減算は、楕円加算の逆演算である。暗号文を復号したところで、ステップ３２２へ進み、復号処理を終了する。

ＲＳＡ暗号では、ｄを求める際、暗号文を作成する際、暗号文を復号する際等に、剰余類の導出が必要になる。また、楕円曲線暗号では、上記式２の左辺に（ｍｏｄ．ｐ）が付くため、有理点Ｐ、Ｍの算出や、楕円加算、楕円乗算、楕円減算を行う際に剰余類の導出が必要になる。なお、この楕円曲線暗号におけるｐは、任意の素数を意味する。

図４は、剰余類の導出の流れを示したフローチャートである。ステップ４００から開始し、ステップ４０１では、被除数をａとし、除数をｂとし、商をｑ、剰余をｒとした場合、ａをｂで除算し、商ｑを計算する。ステップ４０２では、ｂとｑを乗算し、ａからｂ×ｑを減算し、剰余ｒを計算する。剰余ｒの計算が終了したところで、ステップ４０３で、剰余類の導出を終了する。

例えば、除数として素数５を選択する。すると、全ての整数を素数５で除算すると、何らかの商が得られ、剰余（余り）が０、１、２、３、４のいずれかとなる。これは、余りが０のグループ、１のグループ、２のグループ、３のグループ、４のグループのように５つのグループに分けられることを意味する。これらの５つのグループ間では、四則演算（加減乗除）が成立する。

具体的には、余りが２の数と余りが４の数を加算すると余りが１の数となり、加算が成立し、余りが１の数から余りが４の数を減算すると余りが２の数となり、減算が成立する。また、余りが３の数に余りが３の数を乗算すると余りが４の数となり、乗算も成立する。また、この例では除法（分数の概念）も成立する。例えば、余りが４の数を余りが３の数で割ると、余りが３の数となる。これは、４／３＝３を意味する。他の例としては、余りが３の数を余りが２の数で除算すると、余りが４の数となる。これは、３／２＝４を意味する。整数を、任意の整数で割ってできる余りグループの間では常に、加減乗除を行うことができるが、除法（分数）が存在するとは限らない。しかしながら、整数を素数で割ってできる余りグループの間では、常に除法も可能となることが知られている。

このような加減乗除が行える集合が体（たい）であり、有限個の要素からなる体が有限体である。整数を素数５で除算する場合、整数は無限に存在するが、その余りのグループの数は５つしか存在しない。このグループの数が位数であり、余りの集合｛０、１、２、３、４｝は、位数が５の有限体となる。

有限体の位数は必ず素数の冪乗であることが知られているので、位数がｐ^ｎの有限体Ｋは、通常下記式５のように表記される。

上記式５は、慣習に従ってｎ＝１とすると、Ｋ＝Ｆｐとなる。なお、式５中ではＦの字体が中抜き文字とされている。これは、以下で説明するＺも同様である。

ＲＳＡ暗号は、暗号文で得られる余りをｄ乗して復号することから、乗法群Ｋ^×を利用する暗号である。楕円曲線暗号は、Ｋ上の楕円曲線の加法定理が作る部分乗法群を利用する暗号である。これらの暗号では、アルゴリズムを細かく分割すると、Ｋ上の加減乗除の演算が必要となる。楕円曲線暗号では、さらに、ｙ^２＝（ｘの３次式）で表される楕円曲線において、両辺の平方根をとることで座標ｙを算出するため、平方根の算出（開平）も必要となる。しかしながら、ＲＳＡ暗号では、加減乗除の４つの演算以外、楕円曲線暗号では、加減乗除と開平の５つの演算以外の演算は必要としない。

ところで、ＲＳＡ暗号や楕円曲線暗号では、Ｋの位数が大きいほど暗号強度が上がることが知られている。したがって、安全に通信を行うためには、出来るだけ大きい位数のＫを使用することが望ましい。しかしながら、位数を大きくすると、扱う数のビット長が大きくなり、使用するメモリも、大きいものを使用しなければならない。

ここで、位数が５の有限体の場合、５個の要素を有することになるが、その５個の要素を表現するために、どのくらいのメモリが必要になるかを考えてみる。余りが１の数を表現するため、７１５８４３１という数を使用してもよいが、このように桁数が多い（ビット長が大きい）数を使用することは好ましくない。

そこで、出来るだけ小さい数として、｛０、１、２、３、４｝の５つを代表として扱うことができる。このような代表として扱う数は、代表元と呼ばれる。しかしながら、これらの５つの数を代表元として扱う場合、最も大きい数である４は、２進数で表現すると「１００」となり、３ビットが必要となる。そこで、絶対値がもう少し小さい数として、｛－２、－１、０、１、２｝を代表元として選ぶことができる。符号を除き、最も大きい数が２であり、２ビットで表現することができる。

このようにして位数が素数ｐの有限体で暗号アルゴリズムを実行しようとした場合、概ねｐ／２程度の絶対値をもつ整数を扱わなければならないと考えられる。実際、このような代表元を使用することが慣行の方法である。

そこで、慣行の方法を改良し、ガウス整数（ｍ＋ｎｉ）という複素数（ｍ、ｎは整数）を使用して、暗号アルゴリズム全体を、慣行の方法の１／２のビット長のメモリで実現できるようにした方法が、上記の非特許文献１に記載の方法である。

この方法では、ガウス整数として１＋２ｉを使用しても、余りがｉ、－ｉ、０、１、－１の５つしかなく、これらを代表元とすると、整数を５で割ったときの代表元｛－２、－１、０、１、２｝よりさらに絶対値が小さい。

実際に、５は、（１＋２ｉ）（１－２ｉ）と素因数分解することができ、１、２のビット長は、√５のビット長と同程度で済むことが分かる。つまり、√５＝５＾（１／２）であるから、素数５に比較してビット長が１／２で済むのである。

ビット長が１／２で済むのは、実部と虚部という２つの基底をもつ整数で考えたからであり、３つ以上の基底をもつ整数で考えれば、ビット長を１／２より小さくすることができると考えられる。

しかしながら、ビット長を１／２にするために使用した数字は、２次拡大体の理論と呼ばれ、整数論の中でも古典に属し、よく知られた理論である。ビット長を１／２より小さくするには、ビット長を１／３、１／４、…にすることであるから、３次以上の拡大体の理論となるが、これは確立した理論ではなく、現在でも研究が盛んな未知の領域である。

本発明では、冪乗根を含む拡大次数が３以上の拡大体を使用することで、ビット長を１／２より小さくできることを見出した。具体的には、２の３乗根（η）を使用し、ａ＋ｂη＋ｃη^２（ａ、ｂ、ｃは整数）と表現される数をη整数とし、ａ’＋ｂ’η＋ｃ’η^２（ａ’、ｂ’、ｃ’は整数）と表現される数をη素数とし、η整数をη素数で割った余りを使って有限体を表現する。ここでは、３乗根を使用する場合について説明するが、４乗根や５乗根等を使用して表現してもよい。

整数を素数ｐで割った余りをＺ/ｐＺと表すと、適当なη整数の、素数に似た性質を満たす素元πが存在し、次の式６のようになることがある。

例えば、素数ｐが８９で、素元πが１＋２η＋３η^２の場合や、素数が２４２３で、素元が３＋４η＋９η^２の場合等である。素数が８９の場合、８９を表現するために７ビットが必要で、２４２３を表現するために１２ビットが必要である。一方、素元が１＋２η＋３η^２の各成分（１、２、３）は、最も大きい３で２ビットが必要で、素元が３＋４η＋９η^２の各成分（３、４、９）は、最も大きい９で４ビットが必要である。すると、η整数をη素数で割った余りで表現するほうが、１／３程度のビット長で表現することができ、小さいメモリで表現できることになる。

素数ｐを８９とし、整数を８９で割った余りは、位数８９の有限体となる。素元を１＋２η＋３η^２とし、η整数を素元１＋２η＋３η^２で割った余りも、８９個しかなく、加減乗除が行え、位数８９の有限体となる。しかしながら、８９個の代表元をどのようにして見つけるかが問題となる。

慣行の方法では、整数をｎとし、素数をｐとすると、浮動小数点でｎ/ｐを計算し、四捨五入で整数にしたものをｑとした場合、ユークリッド除法によりｎ/ｐ＝：ｑ＋ｒ’となり、ｒ’の絶対値は１／２以下となる。すると、ｎ＝：ｐ×ｑ＋ｒ（ｒ＝ｒ’×ｐ）となり、ｒの絶対値はｐ／２以下となる。ｒが取り得る数（整数）の個数は、ｐに等しい。このことから、代表元は｛－（ｐ－１）／２、…、０、…、（ｐ－１）／２｝と導出できる。これは、ビット長がｐ、すなわちｂｉｔ（ｐ）で表現することができることを意味する。ちなみに、記号「＝：」は、等しいと定義することを意味する。

慣行の方法やガウス整数を使用する２次拡大体では、絶対値を使用し、代表元を導出することができた。拡大次数が３次以上の拡大体では、絶対値を定義することができないことから、絶対値に代替するものとしてノルムを使用する。ここで、ノルムは、整数をη整数に整拡大することに付随し、積を保つノルムＮ：Ｚ［η］→Ｚという関数が自然に定義される。ノルムＮは、次の式７のように定義され、式８、式９の性質を持つことが知られている。

上記式７、８中、ａ，ｂは整数で、ｕは単数（ｕｎｉｔ）である。Ｚ［η］／πＺ［η］の位数はＮ（π）であることが知られている。

素数ｐのノルムは、上記式７のｂ、ｃが０で、ａがｐである場合に相当するため、Ｎ（ｐ）＝ｐ^３である。素数ｐがｐ＝αβという形に、η整数αとβの積に分解できるものとする。すると、上記式８から、Ｎ（ｐ）＝Ｎ（αβ）＝Ｎ（α）Ｎ（β）と表される。このことから、Ｎ（α）は、１もしくはｐの値を取り、Ｎ(β)は、ｐ^３もしくはｐ^２の値を取る。Ｎ（α）が１の場合、αは上記式９により単数となり、ｐはＺ［η］でも素元となる。また、Ｎ（α）がｐの場合、αがＺ［η］の素元となる。このことから、π＝ａ＋ｂη＋ｃη^２と置いた場合、ｐ＝π×π（ただし、πの頂部に－が付く）と分解するとき、上記式６に示す関係が生じる。Ｎ（α）＝（ａ、ｂ、ｃの３次式）＝ｐであることから、ａ、ｂ、ｃが、ｐの１／３乗のオーダーの数であることが保証される。すなわち、ａ、ｂ、ｃのビット長はｐのビット長の約１／３である。

例えば、Ｚ［η］に含まれるη整数をｘと置き、ｘ＝ｘ_０＋ｘ_１η＋ｘ_２η^２とする。ｘ_０、ｘ_１、ｘ_２は、整数である。ここでは、ｘ_ｉ（ｉ＝０、１、２）で表し、ｘの第ｉ成分と呼ぶ。

ｘをπで除算し、各成分を四捨五入で整数にしたものをκとした場合、ｘ/π＝：κ＋ρ’となり、余りの各成分ρ_ｉ’の代表元は、全てがｍａｘ（ｂｉｔ（ａ）、ｂｉｔ（ｂ）、ｂｉｔ（ｃ））以下で取れると考えられる。ｍａｘ（ｂｉｔ（ａ）、ｂｉｔ（ｂ）、ｂｉｔ（ｃ））以下とは、約ｂｉｔ（ｐ）／３以下で、慣行の方法の約１／３のビット長で表現でき、約１／３のメモリで演算ができることを意味する。

各成分ρ_ｉ’は、絶対値を取ると、１／２以下となるが、ρ’のノルムＮ（ρ’）の絶対値は、１より大きくなることがある。すると、α＝：π×κ＋ρとなり、Ｎ（ρ）の絶対値がＮ（π）の絶対値より大きくなることがある。

そこで、ｘ／πではなく、ｘ／πに係数を乗算したものを使用して代表元を取る。係数は、所定の整数であり、拡大次数が３の場合、係数を４とすることが望ましい。４ｘ／πを計算し、各成分を四捨五入で整数にしたものを商κ’とし、その余りをρ’とすると、ρ_ｉ’の絶対値は１／２以下となる。

４ｘ／πは、分母と分子にπに共役な数π（ただし、頂部に－が付く）を乗算すると、分母が素数ｐとなる。したがって、４ｘπ（ただし、頂部に－が付く）／ｐにより計算することができる。

商κ’は、例えばｑ_０’＋ｑ_１’η＋ｑ_２’η^２で表され、ｑ_０’、ｑ_１’、ｑ_２’は、商κ’の成分である。そのときの余りをｒ_０’＋ｒ_１’η＋ｒ_２’η^２で表すと、４ｘ／πは、下記式１０で表すことができる。式１０中、ｒ_０’、ｒ_１’、ｒ_２’は、余りの各成分の値である。

上記式１０を整理すると、下記式１１のように表すことができる。

上記式１１において、商の（ｑ_０’／４＋ｑ_１’η／４＋ｑ_２’η^２／４）が整数であるならば、余りのπ（ｒ_０’／４＋ｒ_１’η／４＋ｒ_２’η^２／４）も整数となる。ｒ_ｉ’の絶対値は、１／８以下であることから、Ｎ（ｒ_０’／４＋ｒ_１’η／４＋ｒ_２’η^２／４）が１以上となることはない。したがって、余りのノルムＮ（π（ｒ_０’／４＋ｒ_１’η／４＋ｒ_２’η^２／４））は、上記式８によりＮ（π）Ｎ（ｒ_０’／４＋ｒ_１’η／４＋ｒ_２’η^２／４）となり、Ｎ（ｒ_０’／４＋ｒ_１’η／４＋ｒ_２’η^２／４）が１より小さいことから、余りが除数であるＮ（π）より必ず小さくなる。

上記式１１を参照すると、商の各成分ｑ_ｉ’には、１／４が掛かっている。このため、ｑ_ｉ’が４の倍数になるように、任意の数を加算もしくは減算し、加算または減算した数を余りの対応する成分ｒ_ｉ’において減算もしくは加算することで、商の各成分を整数とする。このようにして、商の各成分を整数とした後の余りを、３次拡大体の要素である代表元として取ることができる。

商の各成分ｑ_ｉ’の数によって４の倍数にするための加算もしくは減算する数が異なるため、場合分けして考える。図５を参照して、商の条件である、ｃａｓｅ１からｃａｓｅ４の４つの場合に分けてどのように演算するかを説明する。

ｃａｓｅ１は、κ’の成分、すなわちｑ_０’、ｑ_１’、ｑ_２’の少なくとも１つに４の倍数が存在する場合である。この場合、４の倍数については加算もしくは減算しないで４の倍数のままとし、４の倍数より１大きい数に対しては１減算し、１小さい数に対しては１加算して４の倍数とする。また、４の倍数より２大きい数に対しては、余りが正負のいずれかによって符号を変え、余りが正の場合、２加算し、余りが負の場合、２減算する。

例えば、ｑ_０’が５であったために１減算し、４とした場合、対応する余りの成分ｒ_０’（ｉが同じ成分）に１加算し、整合性をとる。

ｃａｓｅ２は、ｑ_０’、ｑ_１’、ｑ_２’の全ての成分が４の倍数より１大きい、もしくは１小さい数の場合である。この場合、ｃａｓｅ１と同様の演算を行う。

ｃａｓｅ３は、ｑ_０’、ｑ_１’、ｑ_２’のうちの２つの成分が４の倍数より１大きい、もしくは１小さい数で、かつ１つの成分が４の倍数より２大きい数の場合である。この場合も、ｃａｓｅ１と同様の演算を行う。

ｃａｓｅ４は、ｑ_０’、ｑ_１’、ｑ_２’のうちの１つの成分が４の倍数より１大きい、もしくは１小さい数で、かつ残りの２つの成分が４の倍数より２大きい数の場合である。この場合は、ｑ_０’もしくはｑ_１’が４の倍数より１大きい、もしくは１小さい数であるとき、ｑ_０’もしくはｑ_１’に対して１減算もしくは１加算して４の倍数とする。ｑ_２’が４の倍数より１大きい、もしくは１小さい数であるとき、ｑ_２’に対して１減算もしくは１加算し、ｑ_０’およびｑ_１’に対して２減算もしくは２加算して４の倍数とする。

演算に必要なビット長について検討してみると、加算では１ビット増加する程度であるから、最もビット長が大きくなる演算は乗算である。４ｘ／πの余りを計算する上で、余りρ’にπを乗算する必要があり、このときのビット長が最も大きくなる。例えば、π＝ａ＋ｂη＋ｃη^２とし、ρ’＝ρ_０’＋ρ_１’η＋ρ_２’η^２とすると、その乗算した値は（ａρ_０’＋２ｂρ_２’＋２ｃρ_１’）＋（ａρ_１’＋ｂρ_０’＋２ｃρ_２’）η＋（ｃρ_０’＋ａρ_２’＋ｂρ_１’）η^２となる。

πで除算したときの余りの成分ρ_ｉ’の絶対値は、１／８以下であるが、商を４の倍数にするために任意の値を加算等し、調整を行うため、余りの成分ρ_ｉ’の絶対値が変化する。成分ρ_ｉ’の絶対値は、変化したとしても５／８よりは小さい。

上記の乗算した値は、整数部（ａρ_０’＋２ｂρ_２’＋２ｃρ_１’）、η部（ａρ_１’＋ｂρ_０’＋２ｃρ_２’）、η^２部（ｃρ_０’＋ａρ_２’＋ｂρ_１’）から構成される。ρ_ｉ’は、１／２程度で、ρ_ｉ’と乗算するとビット長を１減らし、加算や２倍はビット長を１増加させる効果を有する。このことから、ａ、ｂ、ｃの中で最も大きいビット長に１加算した程度のビット長で演算が実現できる。

例えば、素数８９で割った余りの代表元は、ｂｉｔ（８９）のビット長が必要である。ｂｉｔ（８９）のビット長は、底を２とする８９の対数の値を、小数点以下を切り上げて７ビットとなる。一方、対応する素元（１＋２η＋３η^２）で割った余りの代表元は、最も大きい成分が３であることから、ｂｉｔ（３）＋１．５程度で実現できる。なお、数値実験を行ったところ、＋１．５が不要で、ｂｉｔ（３）で実現できることが分かった。ｂｉｔ（３）は、２ビットであることから、１／３程度のビット長で実現できることが分かる。

以上のようにして、η整数に所定の係数として４を乗算し、それをη素数で除算して余りを計算する、特別なユークリッド関数を使用することで、３次以上の拡大体の代表元を取ることができる。

（００６５）段落から（００８６）段落で説明した方法は、有限体の要素同士で除法を行う際にも利用される。除法において商をどうやって求めるかは、どのように逆元を求めるか、という問題と考えられる。例えば、整数を５で割った余りの集合｛０、１、２、３、４｝において、４／３＝３という右辺の３をどのようにして求めるかという問題である。４／３＝４×（１／３）であるため、４／３を求めるには、１／３、すなわち３の逆元が分かればよい。

慣行の方法では、ユークリッドの互除法を使用する。ユークリッドの互除法により、互いに素な２つの整数ａ、ｂに対して、ａｘ＋ｂｙ＝１を満たす整数ｘ、ｙの組を求めることができる。上記の例で言えば、３ｘ＋５ｙ＝１を満たす整数ｘ、ｙを求めることができる。この式は、３ｘは１余るグループに属する数であることを意味している。したがって、ｘが属するグループは３が属するグループの逆元であると分かる（今の場合、ｘ＝２である。）。

この点に関しては、有限体をＺ［η］／πＺ［η］で表現する場合でも全く同様である。逆元は、ユークリッドの互除法を用いて求める。ただし、互除法を実行する際に用いるユークリッド関数は、余りグループを求める際に定義したユークリッド関数を用いる。例えば、整数を例にとると、３ｘ＋５ｙ＝１を満たす整数ｘ、ｙを求める場合、互除法のアルゴリズムは５を３で割った余りを求めるところから始まる。同様に、Ｚ［η］／πＺ［η］における互除法も、２つのη整数の割り算の商と余りを求める操作で構成される。Ｚ［η］のような、通常の整数以外の整数では、割り算の商と余りの定義が問題となる。特に余りが常に除数よりも、何らかの意味で小さくなるような割り算を備えていなければ、互除法のアルゴリズムは終了しないで無限に続いてしまう。この余りの大きさを評価する関数がユークリッド関数と呼ばれる。上述した方法は、ノルムをユークリッド関数に用いた除算が可能であること、およびその具体的な方法を示すものである。また、除算の手続き、すなわち互除法が、ビット長の制限を破らないことも示している。

したがって、整数型メモリでは小さいメモリしか使用しない。本発明では、整数型メモリを小さくすることを対象としている。しかしながら、メモリには、整数型メモリと小数型メモリがある。このため、小数型メモリについても簡単に触れておく。

小数型メモリは、指数部と仮数部とから構成される。例えば、２．３５という小数は、２３５×１０^－２であり、仮数部（数字の列）を２３５、指数部（小数点の位置）を－２とし、２つの情報で格納される。

整数型メモリが７ビットであるＣＰＵがある場合、小数型メモリも仮数部と指数部を合わせて７ビット程度と考えられる。例えば、１１２を８９で除算する場合、１．２５８４２…となるが、７ビットで格納しようとすると、１．２（仮数部１２（４ビット）、指数部－１（２ビット））しか格納できない。しかしながら、計算上、四捨五入するとどういう整数になるかが必要になるだけであるため、小数点以下１ケタのみで十分である。

被除数が１１２よりもっと大きい値ではどうかという問題が発生するが、暗号アルゴリズムではこのような大きい値は登場しない。代表元が７ビット以下の８９より小さい数だからである。したがって、整数型メモリとビット数が同等の小数型メモリで十分に演算を行うことが可能である。

この点につき、８９等の素数ではなく、１＋２η＋３η^２等のη素数を素元として扱う本発明でも同様のことが言えるかどうかが問題となる。η整数をη素数で除算する場合、η整数×１／η素数とし、まず、η素数に共役な数を分子分母に掛け、分母を有理化し、小数にする。そして、η整数に、得られた小数をかける。このとき、制限ビット長を破る数が出てくるが、これらの数は小数型で表現され、全て近似値に置換される。例えば、８９という値は、９０に近似され、９×１０^１として、仮数部９、指数部１で格納される。このような近似を行っても、四捨五入の結果が狂うような誤差が生じないからである。

η整数の仮数部と、得られた小数の仮数部の積が、η整数をη素数で除算したときの仮数部となり、η整数の指数部と、得られた小数の指数部の積が、η整数をη素数で除算したときの指数部となる。

暗号アルゴリズムでは、η整数とη素数のオーダーが同程度の場合しか登場しないため、指数部が結局のところ－１となり、仮数部は四捨五入を正確に行うために２ケタ格納されていれば十分である。そうすると、η整数の仮数部や１／η素数の仮数部も、２ケタ格納されていれば十分であり、また、１／η素数を有理化する場合も、仮数部が２ケタ格納されていれば十分である。このように、仮数部にはそれほど精度が必要ないことから、小数型メモリで考えても、小さなメモリで十分に演算を行うことが可能である。

次に、代表元同士の加減乗除および開平について説明する。代表元同士、すなわち３次以上の拡大体の要素（グループ）間の加算および減算については、慣行の方法と同様、単純に加算もしくは減算した結果とすることができ、結果が代表元の最も大きい数より大きい場合、素元の数を減算し、代表元の最も小さい数より小さい場合、素元の数を加算する。

代表元同士の乗除および開平は、慣行の方法を使用することができないため、各演算の方法について以下に詳細に説明する。最初に、代表元同士の除算について説明する。代表元の２つの数を余りとして持つη整数をα、βとし、α÷βの余りを求めるものとする。

図６にα÷βの演算処理の一例を示したフローを示し、図７にそのアルゴリズムを例示する。αは、ａ_１、ａ_２、ａ_３を各成分とするη整数で、βは、ｐ_１、ｐ_２、ｐ_３を各成分とするη整数である。ａ_１、ａ_２、ａ_３、ｐ_１、ｐ_２、ｐ_３は、いずれも整数である。

演算処理は、ステップ５００から開始し、ステップ５０１では、αをβで除算するのではなく、上記の代表元を算出した場合と同様、係数４を乗算し、４αをβで除算し、各成分の小数点部分を切り捨て、それを商κとする。ステップ５０２では、κの条件に従ってκの成分を全て４の倍数にする。

ここで、κの条件は、以下の通りである。
条件１：κのどれか１つの成分が４で割り切れる、もしくはκの全ての成分が奇数である、もしくはκの成分の２つが奇数で残り１つが２で割ると奇数になる場合
条件２：条件１以外の状況でκの成分のどれか１つのみが奇数である場合、
条件３：条件１、条件２以外の場合

各条件で実行する演算は、図７に示すアルゴリズム内に示している。アルゴリズム中、κ（０）、κ（１）、κ（２）は、４α／βの商の小数点以下を切り捨てたときの各成分の数である。また、ｓｈｉｆｔ（ｋ，ｒ）については、図８にそのアルゴリズムを示す。

κの成分を４の倍数にする場合、その成分に任意の数を加算もしくは減算して４の倍数にするが、その加算もしくは減算した数だけ余りにおいて減算もしくは加算する。

再び図６を参照して、ステップ５０３において４の倍数としたκの各成分を４で除算し、余りの各成分も４で除算し、ステップ５０４で終了する。商κが整数であれば、余りも整数となる。演算中のビット長は、代表元を取る場合と同様、素数で割った余りを計算する場合に比較して、η素数で割った余りを計算する本方法では、ビット長を１／３程度に抑えることができる。

図９を参照して、代表元同士の乗算について説明する。代表元の２つの数を余りとして持つη整数をα、βとし、α×β（ｍｏｄ．π）を求める。αとβを乗算する場合、α、βの成分によって乗算した値のビット長が大きく変わる。例えば、６、７は、いずれもビット長が３であるが、乗算して得られた値４２は、ビット長が６となる。このため、乗算において６ビット以上必要となる。

そこで、αとβのいずれか一方のη整数を変形する。πは、１＋２η＋３η^２であり、ηは２の３乗根である。例えば、α＝３＋５η＋７η^２とすると、α＝（１＋２）＋（１＋４）η＋（１＋２＋４）η^２とし、η^３＝２であることから、α＝（１＋η^３）＋（１＋η^６）η＋（１＋η^３＋η^６）η^２となる。

η^０＝１であることから、整理すると、α＝１×η^０＋１×η^１＋１×η^２＋１×η^３＋０×η^４＋１×η^５＋０×η^６＋１×η^７＋１×η^８となる。ηの部分が２である場合、この表現は、２進数展開である。このため、ηを使用したこの表現を、η進数展開と呼ぶ。αをη進数展開すると、「１１１０１０１１（η）」となる。「（η）」は、η進数展開であることを表す。

次に、β＝２＋３η＋４η^２とし、α×βを計算する。α×β＝（２＋３η＋４η^２）（１×η^０＋１×η^１＋１×η^２＋１×η^３＋０×η^４＋１×η^５＋０×η^６＋１×η^７＋１×η^８）のように表すことができる。

ここで、整数の乗算について考えてみる。ａ＝７、ｂ＝６とし、素数ｐ＝１１とする。ｂを２進数展開すると、２^２＋２^１＋０となる。したがって、ａ×ｂ＝７×（２^２＋２^１＋０）＝７×２^２＋７×２^１＋７×０となる。

次数の最も大きいものから順に考え、（７×２^２）は（（７×２）×２）で表されることから、次数を１つ減じたときの係数（７×２）を取り出す。７×２＝１４で、素数１１で除算すると、余りが３となる。ａ×ｂは、余り＝３を用い、３×２＋７×２＋０＝（３＋７）×２＋０で表すことができる。（３＋７）×２＝２０を素数１１で除算すると、余りが９となる。

通常の計算では、７×６＝４２を算出し、４２を１１で除算して余りを計算するため、４２を表現するために６ビット長の大きさが少なくとも必要になる。しかしながら、上記の方法では、最大２０という値しか出てこないため、５ビット長程度で済むことから、ビット長を抑えることができる。

このビット長を抑える方法を使用し、α×βを計算する。次数が最も大きいものは、η^８であるから、次数を１つ減じたときの係数（１×η）を取り出し、βと乗算する。すなわち、η（２＋３η＋４η^２）である。この乗算では、最もビット長が大きいものがη×４η^２＝４×η^３＝４×２＝８となり、４ビット長あれば表現できる。これをπで除算し、余りを計算する。余りの計算については既に説明したので、ここでは詳述しない。

余りを、例えば４＋２η＋３η^２とすると、次の次数につき、次数を１つ減じたときの係数（１×η）を取り出し、余り４＋２η＋３η^２と乗算し、その結果とβを乗算し、πで除算して余りを計算する。これを繰り返すことで、α×βをπで除算したときの余りを計算することができる。

この演算の内容を表したものが図９である。すなわち、ステップ６００から開始し、ステップ６０１では、代表元の１つをσとし、σを余りρとして入力する。ステップ６０２では、αとρが異なるかどうかを判定する。異なる場合、ステップ６０３へ進み、αの成分の１つであるα（０）を２で除算した余りをｒとする。すなわち、η進数展開をし、次数の最も大きいものの係数α（０）が１の場合、ｒ＝１となり、０の場合、ｒ＝０となる。

ステップ６０４では、ｒ＝１か否かを判定する。ｒ＝１の場合、ステップ６０５へ進み、係数α（０）の符号（正もしくは負）に応じてβを加算もしくは減算し、素元πで除算したときの余りをρとして計算する。一方、ｒ＝０の場合、ステップ６０６へ直接進む。

ステップ６０６では、βとηとを乗算してπで除算した余りをβとし、ステップ６０７では、ステップ６０３でα（０）を２で除算したことから、α（０）の成分がその商となり、それをπで除算したときの余りをαとして計算する。その後、ステップ６０２へ戻り、再びαとρが異なるかどうかを判定する。

ステップ６０２でαとρが等しくなった場合、ステップ６０８へ進み、そのときのρを余りとして出力し、ステップ６０９で乗算を終了する。

楕円曲線暗号では、上記式２に示すように、楕円曲線上の点を取った場合の座標ｙを計算する際、平方根を計算する必要がある。η整数をαとし、素元πで除算したときの余りの平方根を√α（ｍｏｄ．π）と表す。α＝ｐ_１＋ｐ_２η＋ｐ_３η^２とすると、ノルムＮ（π）は、上記式７より、Ｎ（π）＝ｐ_１ ^３＋２ｐ_２ ^３＋４ｐ_３ ^３－６ｐ_１ｐ_２ｐ_３と表すことができる。

平方根は、ノルムＮ（π）－１を２で何回割れるか、すなわち割れる最大の数を求めると、その後は加減乗除だけを使用して求めることができる。これは、楕円曲線に関するトネリのアルゴリズムと呼ばれている。このことから、平方根は、Ｎ（π）－１が２で何回割れるかを考えるだけでよい。そして、割れる最大数を求めるためのアルゴリズムにおいてビット長が予め指定した制限ビット長を超えなければよい。制限ビット長は、慣行の方法の１／３程度のビット長である。

したがって、図１０に示すように、平方根の演算は、ステップ７００から開始し、ステップ７０１で、Ｎ（π）－１を２^ｎの奇数の形に分解する。ステップ７０２で、加減乗除を駆使して平方根を計算し、ステップ７０３で演算を終了する。

平方根を計算するにあたって、αの各成分ｐ_１、ｐ_２、ｐ_３を、図１１に示すようにｐ_１０、ｐ_１１、ｐ_２０、ｐ_２１、ｐ_３０、ｐ_３１とｍを用いて表し、上半分のビットと下半分のビットに分ける。ｐ_１で言えば、上半分のビットがｐ_１０であり、下半分のビットがｐ_１１である。

具体的に説明すると、ｐ_１が１１である場合、ビット（２進数）で表すと、「１０１１」となる。これを「１０」と「１１」の２つに分け、「１０」を上半分のビット、「１１」を下半分のビットとする。

Ｎ（π）の各成分（項）は、上記式７により計算することができ、図１１に示す形となる。すなわち、Ｎ（π）は、２^３ｍの項、２^２ｍの項、２^ｍの項、それ以外の項の４つの項で構成される。これを、図１２に示すようにブロックで表し、それ以外の項を０個目のブロック、２^ｍの項を１個目のブロック、２^２ｍの項を２個目のブロック、２^３ｍの項を３個目のブロックとする。０個目のブロックと３個目のブロックは同じ形で表現され、１個目のブロックと２個目のブロックは同じ形で表現されているため、０個目のブロックと３個目のブロックは同じアルゴリズムを使用し、１個目のブロックと２個目のブロックも同じアルゴリズムを使用し、０個目のブロックもしくは３個目のブロックと１個目のブロックもしくは２個目のブロックは別のアルゴリズムを使用して、２で割ることを行う。

図１３を参照して、０個目のブロックと３個目のブロックについて２で除算する処理について説明する。０個目のブロックと３個目のブロックは、ａ、ｂ、ｃ、ｄの４つの入力変数を有し、一般式としてｆ（ａ，ｂ，ｃ，ｄ）＝ａ^３＋２ｂ^３＋４ｃ^３－６ａｂｃ＋ｄのように表すことができる。

ステップ８００から演算を開始し、ステップ８０１において変数ａ、ｂ、ｃ、ｄを入力し、２で割れた回数ｒを初期値０とする。ステップ８０２では、ｆ（ａ，ｂ，ｃ，ｄ）を２で割った余りｒｅｍを計算する。

ステップ８０３で、ｒｅｍ＝０か否かを判定する。ｒｅｍ＝０の場合、さらに２で割れることを示す。このため、ステップ８０４へ進み、ｆ（ａ，ｂ，ｃ，ｄ）をさらに２で割る。そして、ステップ８０５でその余りｒｅｍを計算し、ｒの値を１加算し、ステップ８０３に戻る。ｆ（ａ，ｂ，ｃ，ｄ）が２で割れる間は、ステップ８０３からステップ８０５の処理が繰り返される。

ステップ８０３で、ｒｅｍ＝０でないと判定された場合、それ以上２で割れないことから、ステップ８０６で、ｒを２で割れた最大の数（ブロック内の素因数２の数）とし、ステップ８０７で演算を終了する。

図１４を参照して、１個目のブロックと２個目のブロックについて２で除算する処理について説明する。１個目のブロックと２個目のブロックは、ａ、ｂ、ｃ、ｄの４つの入力変数を有し、一般式としてｆ（ａ，ｂ，ｃ，ｄ）＝ａ_０×ａ_１＋ｂ_０×ｂ_１＋ｃ_０×ｃ_１＋ｄのように表すことができる。

ステップ９００から演算を開始し、ステップ９０１において変数ａ、ｂ、ｃ、ｄを入力し、２で割れた回数ｒを初期値０とする。ステップ９０２では、ｆ（ａ，ｂ，ｃ，ｄ）を２で割った余りｒｅｍを計算する。

ステップ９０３で、ｒｅｍ＝０か否かを判定する。ｒｅｍ＝０の場合、さらに２で割れることを示す。このため、ステップ９０４へ進み、ｆ（ａ，ｂ，ｃ，ｄ）をさらに２で割る。そして、ステップ９０５でその余りｒｅｍを計算し、ｒの値を１加算し、ステップ９０３に戻る。ｆ（ａ，ｂ，ｃ，ｄ）が２で割れる間は、ステップ９０３からステップ９０５の処理が繰り返される。

ステップ９０３で、ｒｅｍ＝０でないと判定された場合、それ以上２で割れないことから、ステップ９０６で、ｒを２で割れた最大の数（ブロック内の素因数２の数）とし、ステップ９０７で演算を終了する。

図１５にＮ（π）－１の素因数２の数を求めるフローを示す。ステップ１０００から開始し、ステップ１００１においてｉ個目のブロックのｉ＝０とし、素因数２の数ｃを初期値の０とする。

ステップ１００２では、ｉ個目のブロックから素因数２の数を数える。ｉ個目のブロックの素因数２の数は、図１３および図１４に示したフローにより算出することができる。得られた数がｒである場合、ステップ１００３において、ｃ＋ｒをｃとし、ｉ＋１をｉとし、ステップ１００４で、（Ｎ（π）－１）／ｃを計算し、その値が偶数か否かを判定する。偶数である場合、ステップ１００５へ進み、ｉが３以下か否かを判定する。ｉが３以下である場合、数えるべきブロックが存在するため、ステップ１００２へ戻る。

ステップ１００４で、（Ｎ（π）－１）／ｃの値が奇数である場合、ステップ１００５で、ｉが３を超える場合、ステップ１００６へ進み、ｃを素因数２の数とし、ステップ１００７で演算を終了する。

図１６に、このような演算を行うシステムの構成例を示す。演算システムとしては、例えばＰＣ(Personal Computer)等のコンピュータを挙げることができる。ここでは、ＰＣとしてそのハードウェア構成について簡単に説明する。ＰＣは、ハードウェアとして、ＣＰＵ(Central Processing Unit)１０と、ＲＯＭ(Read Only Memory)１１と、ＲＡＭ(Random Access Memory)１２と、ＨＤＤ(Hard Disk Drive)１３と、入出力Ｉ／Ｆ１４と、入力装置１５と、表示装置１６と、通信Ｉ／Ｆ１７と、バス１８とを含む。

ＣＰＵ１０は、ＰＣ全体を制御し、これまでに説明したアルゴリズムに従って演算を実行する。ＲＯＭ１１は、ＰＣを起動するプログラム等を記憶する。ＲＡＭ１２は、ＣＰＵ１０に対して作業領域を提供する。ＨＤＤ１３は、ＣＰＵ１０に対し、上記のアルゴリズムに従って演算を実行させるためのプログラムやその他のプログラム、データ等を記憶する。

入出力Ｉ／Ｆ１４は、情報の入出力を制御するためのインターフェースである。入力装置１５は、マウスやキーボード等の情報を入力し、複数の情報の中から選択するための装置である。表示装置１６は、入力した情報や選択するための情報、演算の結果等を表示するための装置である。通信Ｉ／Ｆ１７は、ＰＣをネットワークに接続するためのインターフェースである。バス１８は、ＣＰＵ１０、ＲＯＭ１１、ＲＡＭ１２、ＨＤＤ１３、入出力Ｉ／Ｆ１４、通信Ｉ／Ｆ１７を接続し、情報のやり取りを可能にする。

図１７は、ＰＣの機能構成の一例を示したブロック図である。ＰＣは、ＣＰＵ１０がプログラムを実行することにより各機能部を生成し、各機能部により上記の演算の実行を実現する。ここでは、各機能部をＣＰＵ１０によるプログラムの実行により実現しているが、これに限られるものではなく、演算の一部または全部を回路等のハードウェアで実現されていてもよい。

ＰＣは、機能部として、有限体の要素の個数に基づき、該有限体を、冪乗根を含む拡大次数が３以上の拡大体に変換する変換部２０と、変換された拡大体を構成する冪乗根を含む要素間の演算を実行する実行部２１とを少なくとも含む。

変換部２０は、上記の代表元を取る処理を実行する。有限体の要素の個数は、素数ｐである。有限体は、整数を素数ｐで割った余りの集合である。変換部２０は、素数ｐを、冪乗根を含む数（例えばη素数）に分解し、整数を、冪乗根を含む数に整拡大し、整拡大した整数（例えばη整数）を、分解された数（例えばη素数）で除算した余りの集合を求め、拡大次数が３以上の拡大体に変換する。

実行部２１は、拡大体の要素間、すなわち代表元同士の加減乗除の演算を行う。実行部２１は、代表元同士の加減乗除のほか、必要に応じて開平（平方根を取る演算）を実行する。実行部２１は、上記で説明したアルゴリズムに従い、演算を実行する。

変換部２０および実行部２１が実行する具体的な処理の内容については、既に説明したので、ここではその説明を省略する。すなわち、変換部２０は、３次以上の拡大体に変換する処理を行い、実行部２１は、３次以上の拡大体の要素を余りにもつη整数間の加減乗除および開平を実行する処理を行う。なお、上記に説明した処理を実現するために他の機能部を備えていてもよい。

図１８は、図１７に示した機能部により実行される処理の一例を示したフローチャートである。暗号化あるいは復号において、ある数を素数で割った剰余間の演算の要求を受け付けた場合にステップ１１００から処理を開始する。ここでは、拡大次数を３として説明する。ステップ１１０１では、変換部２０が素数をη素数に分解し、η整数をη素数で割った余りを計算し、整数を素数で割った余りの集合である有限体を３次拡大体に変換する。３次拡大体の要素は、代表元とされる。

ステップ１１０２では、実行部２１が代表元同士の加減乗除および開平を実行する。これにより、平文が暗号化あるいは復号される。実行部２１による演算が終了したところで、ステップ１１０３で演算を終了する。

以上に説明してきたように、本システムおよび本方法により、素数ｐの値は同じでも、慣行の方法の約１／３のビット長メモリでＲＳＡ暗号や楕円曲線暗号を実装することが可能となる。この方法を実現するためのアルゴリズムの抽象度は高いため、どのような言語、場面であっても利用が可能である。したがって、車や制御系のセンサ等、メモリが小さく、ＣＰＵが原始的なパーツと、中央処理系との情報のやり取り等に有効となる。

慣行の方法の約１／３のビット長で演算が実行できることは、例えば、整数型メモリの制約がｎビットの元で、３ｎビットの情報を送受信する場合、３回に分けて送受信するのではなく、１回で３ｎビットの情報を送受信できることを意味する。このため、情報を分けること、すなわち送受信回数を多くすることで、安全性や効率性が損なわれるような場面に有効である。

例えば、自動車の通信制御系を司る通信プロトコルであるＣＡＮ(Controller Area Network)では、現在４ビット程度の符号文をミリ秒オーダーの通信頻度で制御信号を送受信している。このような通信条件であれば、本システムや本方法を適用することにより、他の機能を損なうことなく、３倍の１２ビット程度まで暗号強度を上げることができる。要するに、ＣＰＵやメモリが貧弱あるいは特殊なパーツへの暗号の送受信に特に効果的である。

また、送金等の情報を小分けにせずに一度に送りたい場合に有効である。送金の情報は、送金額、送金元口座情報、送金者情報等の複数の情報を含むことから、本システムや本方法を用いることで、これらの情報を小分けにせずに１回で送ることが可能になる。

これまで本発明の演算システム、演算方法およびプログラムについて上述した実施形態をもって詳細に説明してきたが、本発明は、上述した実施形態に限定されるものではなく、他の実施形態や、追加、変更、削除など、当業者が想到することができる範囲内で変更することができ、いずれの態様においても本発明の作用・効果を奏する限り、本発明の範囲に含まれるものである。

１０…ＣＰＵ
１１…ＲＯＭ
１２…ＲＡＭ
１３…ＨＤＤ
１４…入出力Ｉ／Ｆ
１５…入力装置
１６…表示装置
１７…通信Ｉ／Ｆ
１８…バス
２０…変換部
２１…実行部

Claims (11)

1. 有限個の要素からなる有限体間の演算を実行するシステムであって、
   前記有限体の位数に基づき、該有限体を、冪乗根を含む拡大次数が３以上の拡大体に変換する変換手段と、
   変換された前記拡大体の要素間の演算を実行する実行手段と
   を含む、演算システム。
2. 前記有限体は、整数を、指定された素数で除算した余りの集合であり、
   前記変換手段は、前記素数を、前記冪乗根を含む素元に分解し、前記整数を、前記冪乗根を含む数に整拡大し、整拡大した数に所定の係数を乗算し、前記所定の係数が乗算された数を前記素元で除算した余りの集合を計算することにより前記拡大体に変換する、請求項１に記載の演算システム。
3. 前記実行手段は、前記拡大体の要素間の四則演算を実行する、請求項２に記載の演算システム。
4. 前記実行手段は、前記拡大体の要素間の除算を実行する場合、前記拡大体の一方の要素を余りとする被除数に所定の係数を乗算し、前記拡大体の他方の要素を余りとする除数で除算し、設定された条件に従い、除算した得られた商を前記所定の係数の倍数にし、さらに前記所定の係数を除算して得られた余りを演算結果として出力する、請求項３に記載の演算システム。
5. 前記実行手段は、前記拡大体の要素間の乗算を実行する場合、前記拡大体の一方の要素を余りとする乗数を、所定の種類の数を並べることにより数を表す位取り記数法により表現し、表現された数の位が高い数から順に前記拡大体の他方の要素を余りとする被乗数と乗算し、前記素元で除算して展開していき、得られた余りを演算結果として出力する、請求項３または４に記載の演算システム。
6. 前記実行手段は、さらに、前記拡大体の要素の開平演算を実行する、請求項３～５のいずれか１項に記載の演算システム。
7. 前記実行手段は、前記拡大体の要素の開平演算を実行する場合、前記拡大体の要素を余りとする被除数を除算する素元のノルムから１を減算し、減算して得られた値を２^ｎ（ｎは０以上の整数）が乗算された形の奇数個のブロックに分解する、請求項６に記載の演算システム。
8. 前記素元は、前記冪乗根の多項式の形で表現され、
   前記実行手段は、前記多項式の各項の係数を成分とし、各成分を２進法により表現し、上位半分と下位半分に分けて演算を行う、請求項７に記載の演算システム。
9. 前記拡大次数は、３であり、前記冪乗根は、２の３乗根である、請求項１～８のいずれか１項に記載の演算システム。
10. 有限個の要素からなる有限体間の演算を演算システムにより実行する方法であって、
    前記有限体の位数に基づき、該有限体を、冪乗根を含む拡大次数が３以上の拡大体に変換するステップと、
    変換された前記拡大体の要素間の演算を実行するステップと
    を含む、演算方法。
11. 請求項１０に記載の方法に含まれる各ステップをコンピュータに実行させるためのプログラム。

Images