JP2937982B2 - モンゴメリ除算装置及びモンゴメリ逆元計算装置並びにモンゴメリ除算方法及びモンゴメリ逆元計算方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、計算機ネットワー
クでのデータ通信におけるデータの暗号化や通信相手の
確認に利用される公開鍵暗号など奇数の整数を法とする
多倍長の四則演算を繰り返し利用する処理のためのモン
ゴメリ除算装置及びモンゴメリ逆元計算装置並びにモン
ゴメリ除算方法及びモンゴメリ逆元計算方法に関する。

【０００２】

【従来の技術】情報通信ネットワークや計算機システム
では、電子的な情報の交換・蓄積が行われる。そのよう
なシステムが、大規模化し不特定多数のユーザが利用す
る状況では、悪意のユーザによる情報の盗聴や改ざんな
どが問題となり、その対策として公開鍵暗号技術を利用
する場合が多い。

【０００３】公開鍵暗号では、多倍長の奇整数を法とす
る演算で実現される方式が多く、その高速化が性能に影
響を与える。多倍長の奇整数を法とする四則演算の中で
は、特に乗算と除算が処理時間に与える影響が大きい。
このうち、乗算を繰り返し実行する場合に適した計算ア
ルゴリズムとして、モンゴメリ算法が知られている。 モンゴメリ算法は文献（１）Ｐ．Ｌ．Ｍｏｎｔｇｏｍｅ
ｒｙ、“Ｍｏｄｕｌａｒｍｕｌｔｉｐｌｉｃａｔｉｏｎ
ｗｉｔｈｏｕｔ ｔｒｉａｌ ｄｉｖｉｓｉｏｎ”、
Ｍａｔｈ． ｏｆ Ｃｏｍｐ．、Ｖｏｌ．４４、Ｎｏ．
１７０、ｐｐ．５１９−５２１（１９８５）に詳しい。

【０００４】モンゴメリ算法は多倍長の剰余乗算を多倍
長乗算２回程度の処理量で計算する方法である。多倍長
の剰余算は多倍長の乗算よりも性能が劣ることが多く、
その分の高速化が実現できる。このモンゴメリ算法はモ
ンゴメリ演算域の元（これも同じ剰余系である）の乗算
アルゴリズムであり、一般の剰余系での乗算をするに
は、まず乗数と被乗数をモンゴメリ演算域に変換し、次
にモンゴメリ乗算を行ない、最後にモンゴメリ演算域か
ら元の剰余系に結果を逆変換する。モンゴメリ変換とモ
ンゴメリ逆変換はいずれも多倍長乗算１回程度の処理で
あるため、剰余乗算を繰り返し行なう、べき乗演算では
変換と逆変換のオーバーヘッドが少なく、高速化が可能
である。したがって、ＲＳＡ（Ｒｉｖｅｓｔ−Ｓｈａｍ
ｉｒ−Ａｄｌｅｍａｎ）暗号など多くの公開鍵暗号で
は、剰余系でのベキ乗剰余演算ｃ＝ｍ^e ｍｏｄ Ｎを
その基本演算としているため、このモンゴメリ算法を有
効に利用することができる（ただし、単純にいくつかの
乗算を行なうだけの場合には、変換と逆変換のオーバー
ヘッドのため必ずしも効率化にはつながらない）。

【０００５】ところで、近年、新しい暗号方式が種々研
究・提案されており、例えば楕円曲線暗号が公開鍵暗号
の中で注目を集めている。これは、楕円曲線上の離散対
数問題がＲＳＡ暗号のベースとなっている合成数の素因
数分解に比べて計算量的に困難であるという予想に基づ
いている。

【０００６】ここで、楕円曲線暗号の基本演算について
簡単に説明する。

【０００７】有限体Ｆｐ（ただし、ｐ＞３）において、 Ｅ（ａ，ｂ）／Ｆｐ：ｙ² ＝ｘ³ ＋ａｘ＋ｂ ｍｏｄ
ｐ ただし、０≦ａ，ｂ＜ｐなる整数、４ａ³ ＋２７ｂ² ≠
０ ｍｏｄ ｐで定義される曲線を有限体Ｆｐ上の楕円
曲線という。楕円曲線上の点とは、上式を満たす（ｘ，
ｙ）の組（ただし、０≦ｘ，ｙ＜ｐなる整数）に無限遠
点Ｏを加えたものをいう。この無限遠点Ｏは加算に関す
る単位元となる。

【０００８】楕円曲線上の点は以下に示す加算に関して
群をなす。楕円曲線上の点Ｐ＝（ｘ₁ ，ｙ₁ ）、Ｑ＝
（ｘ₂ ，ｙ₂ ）の加算点をＳ（ｘ₃ ，ｙ₃ ）とすると、
次のようになる。ただし、−Ｐ＝（ｘ₁ ，−ｙ₁ ）であ
る。

【０００９】（１）Ｑが単位元Ｏのとき、 Ｓ＝Ｐ＋Ｑ＝Ｑ＋Ｐ＝Ｐ （２）Ｑ＝−Ｐのとき、 Ｓ＝Ｐ＋Ｑ＝Ｑ＋Ｐ＝Ｏ （３）Ｐ≠Ｑのとき（ただし上記（１）（２）以外）、 ｘ₃ ＝（ｙ₂ −ｙ₁ ）² ／（ｘ₂ −ｘ₁ ）² −ｘ₁ −ｘ
₂ ｍｏｄ ｐ ｙ₃ ＝（ｙ₂ −ｙ₁ ）（ｘ₁ −ｘ₃ ）／（ｘ₂ −ｘ₁ ）
−ｙ₁ ｍｏｄ ｐ （４）Ｐ＝Ｑのとき、 ・ｙ₁ ≠０の場合 ｘ₃ ＝（３ｘ₁ ² ＋ａ）² ／（２ｙ₁ ）² −２ｘ₁ ｍ
ｏｄ ｐ ｙ₃ ＝（３ｘ₁ ² ＋ａ）（ｘ₁ −ｘ₃ ）／（２ｙ₁ ）−
ｙ₁ ｍｏｄ ｐ ・ｙ₁ ＝０の場合 Ｓ＝Ｏ また、楕円曲線上の点Ｐ＝（ｘ₁ ，ｙ₁ ）のｅ（整数）
倍演算は上記加算の繰り返しとして次のように定義され
る。 ｅＰ＝Ｐ＋Ｐ＋…＋Ｐ（Ｐをｅ回加算する） ただし、ｅ＜０の場合は、点（−Ｐ）を（−ｅ）倍する
（（−ｅ）は正である）。ｅ＝０のときには０Ｐ＝Ｏと
する。

【００１０】楕円曲線暗号では、この楕円曲線上の点の
スカラー倍演算（ベキ加算）が基本演算となる。例え
ば、楕円ＥｌＧａｍａｌ暗号、楕円ＥｌＧａｍａｌ署
名、楕円ＤＨなどにおける処理の大半を占める演算であ
る。

【００１１】したがって、ＲＳＡ暗号が剰余乗算を基本
演算としているのに対して、楕円曲線暗号では、基本演
算を実現するのに四則演算が必要となる。

【００１２】さて、楕円曲線暗号のように基本演算が多
倍長の四則演算の繰り返し処理であるような場合、四則
演算の中で処理に時間を要するものは、剰余乗算および
剰余除算であり、暗号処理全体を高速化するには、これ
ら剰余乗算および剰余除算を高速化する必要がある。こ
のうち前者の剰余乗算は、文献（１）のモンゴメリ乗算
のアルゴリズムなどを用いれば良い。

【００１３】一方、剰余除算は逆元計算と剰余乗算との
組合せで実現でき、一般に逆元は拡張ユークリッド互除
法と呼ばれる算法で計算できる。しかし、一般にこのア
ルゴリズムはそれほど高速ではない。より高速な逆元の
計算法として、多倍長整数の右シフト（１／２倍）、加
算、減算で構成された計算法が、例えば文献（２）Ｋａ
ｌｉｓｋｉ、Ｂ．Ｓ、Ｊｒ．、“Ｔｈｅ Ｍｏｎｔｇｏ
ｍｅｒｙ ｉｎｖｅｒｓ ａｎｄ ｉｔｓ ａｐｐｌｉ
ｃａｔｉｏｎ”、ＩＥＥＥ Ｔｒ． Ｃｏｍｐ．、Ｖｏ
ｌ．４４、Ｎｏ．８、ｐｐ．１０６４−１０６５、（Ａ
ｕｇ．１９９５）に示されている。

【００１４】しかしながら、前述の文献（１）のモンゴ
メリ乗算と文献（２）の剰余系での除算の高速計算法を
そのまま適用することはできない。なぜなら、モンゴメ
リ演算域と元の剰余系との変換・逆変換を乗算や除算の
たびに実行しなければならず、オーバーヘッドが大きく
なるからである。

【００１５】また、剰余除算をモンゴメリ演算域で効率
良く求めるアルゴリズムはなかった。

【００１６】このように、剰余除算を高速化することは
困難であるという問題点があった。

【００１７】したがって、楕円曲線暗号のように基本演
算が四則演算（剰余系演算）の繰り返し処理であるよう
な暗号の処理を高速化することは困難であるという問題
点があった。

【００１８】

【発明が解決しようとする課題】以上説明したように、
従来、公開鍵暗号の基本演算である剰余系での乗算と除
算を含む演算の繰り返し処理を効率化する算法は実現さ
れておらず、公開鍵暗号の一種である楕円曲線暗号など
における全体としての処理時間の効率化が困難であると
いう問題があった。

【００１９】本発明は、上記事情を考慮してなされたも
ので、モンゴメリ演算域での逆元を高速に求めることの
できるモンゴメリ逆元計算装置及び方法、モンゴメリ演
算域での除算結果を高速に求めることのできるモンゴメ
リ除算装置及び方法を提供することを目的とする。

【００２０】

【課題を解決するための手段】本発明（請求項１）は、
正の整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに
素）、正の整数Ｂについて、Ｎを２進表現したときのビ
ット長をＬとして、ｎ≧Ｌなる整数ｎに対して、Ｙ＝Ｂ
・Ａ^-1・２ⁿ ｍｏｄ Ｎなるモンゴメリ演算域での除
算結果Ｙを求めるモンゴメリ除算装置であって、整数Ａ
と法Ｎを入力として逆元Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎを
求めるモンゴメリ逆元計算手段と、求められた逆元Ｘと
法ＮとＢを入力として除算結果Ｙ＝Ｂ・Ｘ・２^-n ｍｏ
ｄ Ｎを求めるモンゴメリ乗算手段とを備えたことを特
徴とする。

【００２１】本発明（請求項２）は、請求項１に記載の
モンゴメリ除算装置において、前記モンゴメリ逆元計算
手段は、整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・
２^kｍｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め
る逆元計算手段と、求められた中間結果Ｃとパラメータ
ｋと法Ｎを入力として逆元Ｘ＝Ｃ・２^2n-k ｍｏｄＮを
求める逆元補正手段とを有することを特徴とする。

【００２２】本発明（請求項３）は、正の整数Ｎ、正の
整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）、正の整数Ｂ
について、Ｎを２進表現したときのビット長をＬとし
て、ｎ≧Ｌなる整数ｎに対して、Ｙ＝Ｂ・Ａ^-1・２ⁿ
ｍｏｄ Ｎなるモンゴメリ演算域での除算結果Ｙを求め
るモンゴメリ除算装置であって、整数Ａと法Ｎを入力と
して第１の中間結果Ｃ＝Ａ^-1・２^k ｍｏｄ Ｎとパラ
メータｋ（Ｌ≦ｋ≦２Ｌ）を求める逆元計算手段と、求
められた第１の中間結果Ｃと法ＮとＢを入力として第２
の中間結果Ｄ＝Ｂ・Ｃ・２^-n ｍｏｄ Ｎを求めるモン
ゴメリ乗算手段と、このモンゴメリ乗算手段により求め
られた第２の中間結果Ｄと前記逆元計算手段により求め
られたパラメータｋと法Ｎを入力として除算結果Ｙ＝Ｄ
・２^2n-Kｍｏｄ Ｎを求める逆元補正手段とを備えたこ
とを特徴とする。

【００２３】本発明（請求項４）は、正の奇整数Ｎ、正
の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）について、
Ｎを２進表現したときのビット長をＬとして、ｎ≧Ｌな
る整数ｎに対して、Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎなるモ
ンゴメリ演算域での逆元Ｘを求めるモンゴメリ逆元計算
装置であって、整数Ａと法Ｎを入力として中間結果Ｃ＝
Ａ^-1・２^k ｍｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２
Ｌ）を求める逆元計算手段と、求められた中間結果Ｃと
パラメータｋと法Ｎを入力として逆元Ｘ＝Ｃ・２^2n-k
ｍｏｄ Ｎを求める逆元補正手段とを備えたことを特徴
とする。

【００２４】本発明（請求項５）は、請求項４に記載の
モンゴメリ逆元計算装置において、内部に中間変数を記
憶する複数のレジスタと、前記レジスタを右または左に
シフトするビットシフト器と、２つのレジスタの内容の
加算または減算を行う加減算器と、２つのレジスタの内
容の大小比較およびレジスタ内部の所定のビット位置の
値の判定を行う判定器とを用いて前記逆元計算部および
前記逆元補正部を構成することを特徴とする。

【００２５】本発明（請求項６）は、正の奇整数Ｎ、正
の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）について、
Ｎを２進表現したときのビット長をＬとして、ｎ≧Ｌな
る整数ｎに対して、Ｘ＝Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎな
るモンゴメリ演算域での逆元Ｘを求めるモンゴメリ逆元
計算装置であって、初期状態を２進表現にてＵ＝Ｎ、Ｖ
＝Ａ、Ｔ＝０、Ｓ＝１、ｋ＝０とし、Ｕの最下位ビット
が０ならば、Ｕを右シフトし、Ｓを左シフトし、ｋを１
増加する処理と、Ｖの最下位ビットが０ならば、Ｖを右
シフトし、Ｔを左シフトし、ｋを１増加する処理と、Ｕ
の最下位ビットが１かつＶの最下位ビットが１で、Ｕ＞
Ｖならば、ＵからＶを減じ、Ｕを右シフトし、ＴにＳを
加え、Ｓを左シフトし、ｋを１増加する処理と、Ｕの最
下位ビットが１かつＶの最下位ビットが１で、Ｕ≦Ｖな
らば、ＶからＵを減じ、Ｖを右シフトし、ＳにＴを加
え、Ｔを左シフトし、ｋを１増加する処理からなる一連
のループ処理を、Ｖ＞０の間、繰り返し、Ｖ＝０になっ
た場合、Ｔ≧ＮならばＴからＮを減じた後に、ＮからＴ
を減じた値をＴとし、Ｔ＜ＮならばＮからＴを減じた値
をＴとする逆元計算手段と、初期状態をｉ＝０とし、前
記逆元計算手段により求められたＴを左シフトした後、
Ｔ≧ＮならばＴからＮを減じてｉを１増加し、Ｔ＜Ｎな
らばｉを１増加するループ処理を、ｉ＜２ｎ−ｋの間、
繰り返し、ｉ＝２ｎ−ｋになったときのＴを逆元Ｘとす
る逆元補正手段とを備えたことを特徴とする。

【００２６】本発明（請求項７）は、請求項６に記載の
モンゴメリ逆元計算装置において、初期状態としてＮが
設定されるＵレジスタと、初期状態としてＡが設定され
るＶレジスタと、初期状態として０が設定されるＴレジ
スタと、初期状態として１が設定されるＳレジスタと、
初期状態として０が設定されるｋレジスタと、Ｕレジス
タの右シフト、Ｖレジスタの右シフト、Ｔレジスタの左
シフト、およびＳレジスタの左シフトのうち指定された
ものを実行するビットシフト器と、ＵレジスタからＶレ
ジスタの内容を減じる処理、ＶレジスタからＵレジスタ
の内容を減じる処理、ＴレジスタにＳレジスタの内容を
加える処理、ＳレジスタにＴレジスタの内容を加える処
理、ＴレジスタからＮを減じる処理、ＮからＴレジスタ
の内容を減じる処理、およびｋレジスタに１を加える処
理のうち指定されたものを実行する加減算器と、Ｕレジ
スタの最下位ビットが０であるか否か、Ｖレジスタの最
下位ビットが０であるか否か、Ｖレジスタの値が０にな
ったか否か、およびＴレジスタの値がＮ以上であるか否
かを判断する判定器と、前記ビットシフト器、前記加減
算器および前記判定器を制御する制御部を備えたことを
特徴とする。

【００２７】本発明（請求項８）は、正の整数Ｎ、正の
整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）、正の整数Ｂ
について、Ｎを２進表現したときのビット長をＬとし
て、ｎ≧Ｌなる整数ｎに対して、Ｙ＝Ｂ・Ａ^-1・２ⁿ
ｍｏｄ Ｎなるモンゴメリ演算域での除算結果Ｙを求め
るモンゴメリ除算方法であって、整数Ａと法Ｎを入力と
して逆元Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎを求める第１のス
テップと、求められた逆元Ｘと法ＮとＢを入力として除
算結果Ｙ＝Ｂ・Ｘ・２^-n ｍｏｄ Ｎを求める第２のス
テップとを有することを特徴とする。

【００２８】本発明（請求項９）は、請求項８に記載の
モンゴメリ除算方法において、前記第１のステップは、
整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・２^k ｍ
ｏｄＮとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め、求めら
れた中間結果Ｃとパラメータｋと法Ｎを入力として逆元
Ｘ＝Ｃ・２^2n-k ｍｏｄ Ｎを求めるものであることを
特徴とする。

【００２９】本発明（請求項１０）は、正の整数Ｎ、正
の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）、正の整数
Ｂについて、Ｎを２進表現したときのビット長をＬとし
て、ｎ≧Ｌなる整数ｎに対して、Ｙ＝Ｂ・Ａ^-1・２ⁿ
ｍｏｄ Ｎなるモンゴメリ演算域での除算結果Ｙを求め
るモンゴメリ除算方法であって、整数Ａと法Ｎを入力と
して第１の中間結果Ｃ＝Ａ^-1・２^k ｍｏｄ Ｎとパラ
メータｋ（Ｌ≦ｋ≦２Ｌ）を求める第１のステップと、
この第１のステップにより求められた第１の中間結果Ｃ
と法ＮとＢを入力として第２の中間結果Ｄ＝Ｂ・Ｃ・２
^-n ｍｏｄ Ｎを求める第２のステップと、この第２の
ステップにより求められた第２の中間結果Ｄと前記第１
のステップにより求められたパラメータｋと法Ｎを入力
として除算結果Ｙ＝Ｄ・２^2n-K ｍｏｄ Ｎを求める第
３のステップとを有することを特徴とする。

【００３０】本発明（請求項１１）は、正の奇整数Ｎ、
正の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）につい
て、Ｎを２進表現したときのビット長をＬとして、ｎ≧
Ｌなる整数ｎに対して、Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎな
るモンゴメリ演算域での逆元Ｘを求めるモンゴメリ逆元
計算方法であって、整数Ａと法Ｎを入力として中間結果
Ｃ＝Ａ^-1・２^k ｍｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦
２Ｌ）を求め、求められた中間結果Ｃとパラメータｋと
法Ｎを入力として逆元Ｘ＝Ｃ・２^2n-k ｍｏｄＮを求め
ることを特徴とする。

【００３１】本発明（請求項１２）は、正の奇整数Ｎ、
正の整数Ａ（０≦Ａ＜Ｎ、ＡとＮは互いに素）につい
て、Ｎを２進表現したときのビット長をＬとして、ｎ≧
Ｌなる整数ｎに対して、Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎな
るモンゴメリ演算域での逆元Ｘを求めるモンゴメリ逆元
計算方法であって、初期状態を２進表現にてＵ＝Ｎ、Ｖ
＝Ａ、Ｔ＝０、Ｓ＝１、ｋ＝０とし、Ｕの最下位ビット
が０ならば、Ｕを右シフトし、Ｓを左シフトし、ｋを１
増加するとともに、Ｖの最下位ビットが０ならば、Ｖを
右シフトし、Ｔを左シフトし、ｋを１増加する処理と、
Ｕの最下位ビットが１かつＶの最下位ビットが１で、Ｕ
＞Ｖならば、ＵからＶを減じ、Ｕを右シフトし、ＴにＳ
を加え、Ｓを左シフトし、ｋを１増加する処理と、Ｕの
最下位ビットが１かつＶの最下位ビットが１で、Ｕ≦Ｖ
ならば、ＶからＵを減じ、Ｖを右シフトし、ＳにＴを加
え、Ｔを左シフトし、ｋを１増加する処理からなる一連
のループ処理を、Ｖ＞０の間、繰り返し、Ｖ＝０になっ
た場合、Ｔ≧ＮならばＴからＮを減じた後に、ＮからＴ
を減じた値をＴとし、Ｔ＜ＮならばＮからＴを減じた値
をＴとする第１のステップと、初期状態をｉ＝０とし、
前記第１のステップにより求められたＴを左シフトした
後、Ｔ≧ＮならばＴからＮを減じてｉを１増加し、Ｔ＜
Ｎならばｉを１増加するループ処理を、ｉ＜２ｎ−ｋの
間、繰り返し、ｉ＝２ｎ−ｋになったときのＴを逆元Ｘ
とする第２のステップとを有することを特徴とする。

【００３２】本発明によれば、モンゴメリ演算域のまま
でモンゴメリ逆元計算を行なうモンゴメリ逆元計算手段
とモンゴメリ乗算手段を用いるため、モンゴメリ演算域
の元を入力として、モンゴメリ演算域での除算結果を直
接求めることができる。この結果、モンゴメリ演算域と
元の剰余系との変換・逆変換のオーバーヘッドがないた
め、モンゴメリ演算域での除算が高速に実現できる。

【００３３】また、本発明によれば、モンゴメリ演算域
のままモンゴメリ逆元計算を行なうことができ、モンゴ
メリ演算域と元の剰余系との変換・逆変換のオーバーヘ
ッドがないため、モンゴメリ演算域での逆元計算が高速
に実現できる。

【００３４】また、本発明によれば、モンゴメリ演算域
での逆元計算が多倍長レジスタの加減算とビットシフト
で実現できるため、ソフトウェア実装・ハードウェア実
装のどちらでも高速な装置構成が可能となる。さらに、
モンゴメリ演算域での除算も高速な装置構成が実現でき
る。

【００３５】したがって、楕円曲線暗号などのように剰
余系での乗算と除算を含む演算の繰り返し処理を基本演
算とする暗号において、全体としての処理時間を高速化
することができる。

【００３６】なお、装置に係る本発明は方法に係る発明
としても成立し、方法に係る本発明は装置に係る発明と
しても成立する。

【００３７】また、装置または方法に係る本発明は、コ
ンピュータに当該発明に相当する手順を実行させるため
の（あるいはコンピュータを当該発明に相当する手段と
して機能させるための、あるいはコンピュータに当該発
明に相当する機能を実現させるための）プログラムを記
録したコンピュータ読取り可能な記録媒体としても成立
する。

【００３８】

【発明の実施の形態】以下、図面を参照しながら発明の
実施の形態を説明する。

【００３９】なお、以下では、整数ｓ，ｕについてｓ
ｍｏｄ ｕは、ｓをｕで割ったときの剰余を表すものと
する。

【００４０】前述したようにモンゴメリ演算域での乗算
は一般に、剰余系での乗算よりも効率良く実装できるこ
とが知られており、ＲＳＡ暗号など剰余系の乗算を繰り
返す方式を実現する場合、モンゴメリ演算が利用される
ことがある。しかし、ＲＳＡ暗号のように暗号化・復号
化に乗算を用いるだけではなく、除算や逆元計算を用い
る暗号もある。例えば、楕円曲線暗号では、剰余系での
四則演算を組合せて単位演算が構成され、その単位演算
を所定の回数繰り返すことで暗号アルゴリズムが構成さ
れる。ところが、モンゴメリ演算域での除算や逆元計算
としては効率良く実装できるものがなく、楕円曲線暗号
等のように剰余系での四則演算を組合せて単位演算が構
成されるものについてはモンゴメリ演算域を利用した処
理の効率化が困難であった。

【００４１】本実施形態に係る除算装置、逆元計算装置
は、それぞれモンゴメリ演算域での剰余除算、逆元計算
の結果を効率的に求めることができるようにしたもので
ある。

【００４２】最初に、通常の剰余系Ｚｐ（ｐを法とする
剰余系を表す）とモンゴメリ演算域との関係およびモン
ゴメリ演算域での演算について説明する。

【００４３】図１２に、モンゴメリ演算域と剰余系Ｚｐ
の２つの代数系の間における、定義域、元、逆元、およ
び加算、減算、乗算、除算の四則演算の関係を示す。

【００４４】なお、法の値ｐは整数であるが、好ましく
は奇整数を用いる。また、暗号システムに適用する場
合、ｐには素数を用いることが多い。

【００４５】剰余系Ｚｐでの元をａとするとき、それに
対応するモンゴメリ演算域の元Ａには、 Ａ＝ａ・Ｒ ｍｏｄ ｐ により与えられる。

【００４６】一方、モンゴメリ演算域の元Ａから剰余系
Ｚｐの元ａへの逆変換は、 ａ＝Ａ・Ｒ^-1 ｍｏｄ ｐ により与えられる。

【００４７】ここで、Ｒはモンゴメリ演算域を定義する
パラメータであり、その条件は、 （ｉ）Ｒと法ｐとは互いに素であること （ii）Ｒ＞ｐ の２つである。

【００４８】一般にＲは２のべき乗（Ｒ＝２ⁿ ）とし、
さらにハードウェアのワード長の倍数を用いることが多
い。演算幅をできるだけ小さくするためには、法ｐのビ
ット数をＬとした場合に、ｎ≧Ｌを満たし、ワード長の
倍数である最小の値を用いることが好ましい。以下で
は、簡単のために、ｎは法ｐのビット長Ｌと等しいもの
として説明する。

【００４９】図１３（ａ）に、ｐ＝２３、Ｒ＝２⁵ （ｎ
＝５）とした場合の剰余系Ｚｐの元ａとモンゴメリ演算
域の元Ａとの対応関係を一例として示す（ただし、現実
の暗号装置等で使用するｐは非常に大きな整数であ
る）。

【００５０】モンゴメリ演算域での除算装置や逆元計算
装置では、Ｒ＝２ⁿ を用いるものとする。

【００５１】次に、モンゴメリ演算域での逆元計算と四
則演算は、剰余系Ｚｐの元ａに対しＡ＝ａ・Ｒ ｍｏｄ
ｐなるモンゴメリ演算域の元が対応することを考慮し
て、図１２のように定義できる。

【００５２】まず、モンゴメリ演算域の加算および減算
は、剰余系でのそれらと同様、 Ａ＋Ｂ ｍｏｄ ｐ Ａ−Ｂ ｍｏｄ ｐ で定義される。

【００５３】次に、モンゴメリ乗算は、 Ａ・Ｂ・Ｒ^-1 ｍｏｄ ｐ により与えられる。

【００５４】他のモンゴメリ演算域での演算はモンゴメ
リ乗算ＡＢＲ^-1 ｍｏｄ ｐをもとにすると以下のよう
のに定義される。

【００５５】Ａの逆元Ｘは、ＡとＸを乗数・被乗数とし
てモンゴメリ乗算を行なったときに、モンゴメリ演算域
での単位元となるＲを結果として与えるような値とな
る。すなわち、逆元Ｘは、 Ａ・Ｘ＝Ｒ² ｍｏｄ ｐ を満たす値である。

【００５６】したがって、モンゴメリ演算域での法をｐ
とするＡについての逆元計算は、 Ｘ＝Ａ^-1・Ｒ² ｍｏｄ ｐ により与えられる。

【００５７】後述する本実施形態に係る逆元計算装置
は、入力Ａと法ｐに対して、Ｘ＝Ａ^-1・Ｒ² ｍｏｄ
ｐを効率的に求める装置である。

【００５８】同様にして、法をｐ、Ａを除数、Ｂを被除
数すとるモンゴメリ除算は、 Ｙ＝Ｂ・Ａ^-1・Ｒ ｍｏｄ ｐ ＝Ｂ・Ａⁱ ・Ｒ^-1 ｍｏｄ ｐ （ただし、Ａⁱ はモン
ゴメリ演算域でのＡの逆元） により与えられる。

【００５９】後述する本実施形態に係る除算装置は、入
力Ａ，Ｂと法ｐに対して、Ｂ・Ａⁱ・Ｒ ｍｏｄ ｐを
効率的に求める装置である。

【００６０】図１３（ｂ）に、ｐ＝２３、Ｒ＝２⁵ （ｎ
＝５）とした場合の剰余系Ｚｐにおける元ａと逆元ｘの
対応関係を一例として示す。また、図１３（ｃ）に、ｐ
＝２３、Ｒ＝２⁵ （ｎ＝５）とした場合のモンゴメリ演
算域における元Ａと逆元Ｘの対応関係を一例として示
す。

【００６１】さて、このようなモンゴメリ演算を利用す
るには、最初に剰余系Ｚｐからモンゴメリ演算域への変
換を行ない、モンゴメリ演算域で所定の演算処理を繰り
返した後、モンゴメリ演算域から剰余系Ｚｐへの逆変換
を行なう。なお、これら変換・逆変換はそれぞれ多倍長
乗算１回程度の処理であり、全体としてはあまり大きな
オーバヘッドではない。

【００６２】ここで、モンゴメリ演算を利用した具体例
を示す。

【００６３】例えば、ｐ＝２３、Ｒ＝２⁵ （ｎ＝５）と
して、モンゴメリ演算を利用し剰余系Ｚｐの元ａ＝３の
逆元ｘを求める場合を考える。まず、剰余系Ｚｐの元ａ
＝３をモンゴメリ演算域の元Ａに変換すると、Ａ＝４が
求まる。次に、モンゴメリ演算域の元Ａ＝４の逆元Ｘと
して、Ｘ＝３が求まる。そして、モンゴメリ演算域の元
Ｘ＝３を剰余系Ｚｐの元ｘに逆変換すると、ｘ＝８が求
まる。なお、剰余系Ｚｐの元ａ＝３の逆元ｘを直接、剰
余系で求めると、ｘ＝８となり、上記の結果と一致する
ことがわかる。

【００６４】また、例えば、ｐ＝２３、Ｒ＝２⁵ （ｎ＝
５）として、モンゴメリ演算を利用し剰余系Ｚｐの乗算
３×６を行なう場合を考える。まず、剰余系Ｚｐの３と
６をモンゴメリ演算域の４と８に変換し、Ｙ＝４×８×
Ｒ^-1 ｍｏｄ ｐから、Ｙ＝１が求まる。これを剰余系
Ｚｐに逆変換すると、乗算結果としてｙ＝１８が求ま
る。なお、剰余系Ｚｐで直接ｙ＝３×６ ｍｏｄ ｐを
求めると、ｙ＝１８となり、上記の結果と一致すること
がわかる。

【００６５】また、例えば、ｐ＝２３、Ｒ＝２⁵ （ｎ＝
５）として、モンゴメリ演算を利用し剰余系Ｚｐの剰余
除算６／２を行なう場合を考える。まず、剰余系Ｚｐの
６と２をモンゴメリ演算域の８と１８に変換し、被除数
１８の逆元として１６を求め、Ｙ＝８／１８×Ｒ^-1 ｍ
ｏｄ ｐ＝８×１６×Ｒ^-1 ｍｏｄ ｐから、Ｙ＝４が
求まる。これを剰余系Ｚｐに逆変換すると、除算結果と
してｙ＝３が求まる。なお、剰余系Ｚｐで直接ｙ＝６／
２ ｍｏｄ ｐを求めると、ｙ＝３となり、上記の結果
と一致することがわかる。

【００６６】以下では、本実施形態に係るモンゴメリ演
算域での逆元計算装置および除算装置について説明す
る。

【００６７】図１に、本発明の一実施形態に係るモンゴ
メリ演算域での除算装置の基本構成を示す。本除算装置
２００は、モンゴメリ逆元計算部２０１とモンゴメリ乗
算部２０２を備えており、モンゴメリ逆元計算部２０１
とモンゴメリ乗算部２０２をシーケンシャルに利用して
モンゴメリ除算装置２００を構成している。

【００６８】本実施形態では、モンゴメリ除算Ｙ＝Ｂ・
Ａ^-1・Ｒ ｍｏｄ ｐを、 Ｙ＝Ｂ・（Ａ^-1・Ｒ² ）・Ｒ^-1 ｍｏｄ ｐ ＝（Ｂ・（Ａ^-1・Ｒ² ｍｏｄ ｐ）・Ｒ^-1 ｍｏｄ ｐ ＝Ｂ・Ｘ・Ｒ^-1 ｍｏｄ ｐ と変形して、まず、除数Ａと法ｐを入力としてモンゴメ
リ逆元計算部２０１によりモンゴメリ演算域でのＡの逆
元Ｘを求め、次に、このＸと上記の被除数Ｂと法ｐを入
力としてモンゴメリ乗算部２０２によりＹ＝Ｂ・Ｘ・Ｒ
^-1 ｍｏｄ ｐ、すなわちＹ＝Ｂ・Ａ^-1・Ｒ ｍｏｄ
ｐを求める。

【００６９】モンゴメリ乗算部２０２は、剰余系での乗
算部に比べて高速に実現できることが知られており、本
実施形態では例えば文献（１）などに開示された公知の
技術を用いることができる。

【００７０】図１４に、モンゴメリ乗算部２０２におけ
る処理手順の一例を示す。ここでは、２数Ａ、Ｂに対し
て、Ａ・Ｂ・Ｒ^-1 ｍｏｄ Ｎを求めるものとして表記
する。

【００７１】Ｖ＝−Ｎ^-1 ｍｏｄ Ｒ（すなわち、Ｖ・
Ｎ＝−１ ｍｏｄ Ｒを満たすＶ）を求め（ステップＳ
１０１）、Ｔ＝Ａ・Ｂを求め（ステップＳ１０２）、Ｗ
＝（（Ｔ ｍｏｄ Ｒ）・Ｖ） ｍｏｄ Ｒを求め（ス
テップＳ１０３）、Ｔ＋Ｗ・ＮをＴに代入し（ステップ
Ｓ１０４）、Ｔ＝Ｔ／Ｒを実行する（ステップＳ１０
５）。そして、Ｔ＞Ｎならば（ステップＳ１０６）、Ｔ
からＮを減ずる（ステップＳ１０７）。このときに得ら
れるＴが法をＮとするＡとＢのモンゴメリ乗算結果であ
る。なお、Ｒを２のべき乗にとれば、剰余算や除算は２
進数の下位の切り出しや上位の切り出しで実現できる。
また、Ｖの値を法Ｎについて計算しておくことで、処理
の効率化が可能である。

【００７２】図１５に、モンゴメリ乗算部２０２におけ
る処理手順の他の例を示す。この処理手順は図１４の処
理手順を改良し、必要な演算を多倍長乗算２回程度にし
たものである。ここでは、２数Ａ、Ｂに対して、Ａ・Ｂ
・Ｒ^-1 ｍｏｄ Ｎを求めるものとして表記する。ま
た、Ａ、Ｂ、Ｎなどは、基数ｂで表現されているものと
する。例えば、Ａ＝ａ_r-1 ｂ^r-1 ＋ａ_r-2 ｂ^r-2 ＋…＋
ａ₁ ｂ＋ａ₀ などの形式である。ここで、基数ｂは２の
べき乗とし、例えば２⁸ 、２¹⁶である。もちろん、ｂ＝
２でも構わない。

【００７３】ｖ₀ ＝−Ｎ₀ ^-1 ｍｏｄ ｂ（すなわち、
ｖ₀ ・Ｎ₀ ＝−１ ｍｏｄ ｂを満たすｖ₀ ）を求め、
また、Ｔ＝０、ｉ＝０とし（ステップＳ２０１）、Ｔ＋
ａ_iＢｂⁱ をＴに代入し（ステップＳ２０２）、ｍ_i ＝
ｔ_i ｖ₀ ｍｏｄ ｂを求め（ステップＳ２０３）、Ｔ
＋ｍ_i Ｎｂⁱ をＴに代入し（ステップＳ２０４）、ｉを
１増加する。次に、ステップＳ２０６で、ｉ≦（ｒ−
１）ならばステップＳ２０２に戻る。また、ステップＳ
２０６で、ｉ＞（ｒ−１）ならばループを抜けステップ
Ｓ２０７に移り、Ｔ＝Ｔ／Ｒを実行する（ステップＳ２
０７）。そして、Ｔ＞Ｎならば（ステップＳ２０８）、
ＴからＮを減ずる（ステップＳ２０９）。このときに得
られるＴが法をＮとするＡとＢのモンゴメリ乗算結果で
ある。

【００７４】この手順の１つの特徴は、ステップＳ２０
７の実行直前において、Ｔの下位側のＬブロックが全て
０（すなわち、ＴはＲの倍数）になる点にある。したが
って、ワーク領域を削減することが可能となる。また、
剰余算は２進数の下位の切り出しで実現できる。また、
ｖ₀ の値を法Ｎについて計算しておくことで、処理の効
率化が可能である。

【００７５】以上のようにモンゴメリ乗算部２０２は、
効率的な実現が可能である。また、詳しくは後述する
が、本発明によればモンゴメリ逆元計算部２０１を効率
的に実現することができる。従って、本実施形態の除算
装置２００によれば、モンゴメリ演算域での除算を効率
良く実行することができる。

【００７６】図２に、本実施形態に係るモンゴメリ演算
域での逆元計算装置２０１の基本構成の一例を示す。も
ちろん、この逆元計算装置２０１は、図１のモンゴメリ
除算装置２００のモンゴメリ逆元計算部２０１として用
いることができる。

【００７７】本逆元計算装置２０１は、逆元計算部３０
１と逆元補正部３０２を備えており、逆元計算部３０１
と逆元補正部３０２をシーケンシャルに利用してモンゴ
メリ逆元計算装置２０１を構成している。

【００７８】本実施形態では、逆元計算Ｘ＝Ａ^-1・Ｒ²
ｍｏｄ ｐ＝Ａ^-1・２²ⁿ ｍｏｄｐを、 Ｘ＝Ａ^-1・（２^k ・２^2n-k） ｍｏｄ ｐ ＝（Ａ^-1・２^k ）・２^2n-k ｍｏｄ ｐ ＝（Ａ^-1・２^k ｍｏｄ ｐ）・２^2n-k ｍｏｄ ｐ ＝Ｃ・２^2n-k ｍｏｄ ｐ と変形して、まず、整数Ａと法ｐ（ただしＡはｐと互い
に素）を入力として逆元計算部３０１によりＣ＝Ａ^-1・
２^k ｍｏｄ ｐとｋを求める。ここで、ｋはＬ以上２
Ｌ以下の整数で、Ａとｐから一意に決定される値であ
る。次に、このＣとｋと法ｐを入力として逆元補正部３
０２により逆元Ｘ＝Ｃ・２^2n-k ｍｏｄ ｐ、すなわち
Ｘ＝Ａ^-1・Ｒ² ｍｏｄ ｐを求める。

【００７９】図３および図４に、逆元計算部３０１にお
ける処理手順の一例を示す。

【００８０】この手順は、Ｕレジスタ、Ｖレジスタ、Ｔ
レジスタ、Ｓレジスタの４つの多倍長レジスタを利用
し、レジスタの左右へのシフト演算とレジスタ同士の加
算、減算で構成され、ループの繰り返し回数がループカ
ウンタとして用いる変数ｋに格納される。ｋの値は法ｐ
のビットサイズをＬとするとき、Ｌ以上２Ｌ以下であ
り、加減算の処理量はＯ（Ｌ）であるため、全体でも高
々Ｏ（Ｌ² ）の処理量である。以下、図３および図４の
手順を流れを追って説明する。

【００８１】まず、与えられた法ｐをレジスタＵに、ｐ
以下の正の整数ＡをレジスタＶに設定する。また、レジ
スタＴに０、レジスタＳに１、レジスタｋに０をそれぞ
れ設定する（ステップＳ４０１）。以上が、変数初期化
の処理である。

【００８２】以降、ステップＳ４０２からステップＳ４
１０の処理を、レジスタＶが正の値である間（０になる
まで）、繰り返す。

【００８３】まず、レジスタＶが０でなければ、繰り返
し処理を続けるので、ステップＳ４０３にとぶ（ステッ
プＳ４０２）。

【００８４】レジスタＵの最下位ビットが０か否かを判
定する（ステップＳ４０３）。もし０であれば、レジス
タＵを右に１ビットシフトし（ステップＳ４１１）、レ
ジスタＳを左に１ビットシフトして（ステップＳ４１
２）、ステップＳ４１０にとぶ。そして、ステップＳ４
１０にてｋの値を１増加し、ステップＳ４０２に戻る。

【００８５】ステップＳ４０３にてレジスタＵの最下位
ビットが０でなければ、レジスタＶの最下位ビットが０
か否かを判定する（ステップＳ４０４）。もし０であれ
ば、レジスタＶを右に１ビットシフトし（ステップＳ４
１３）、レジスタＴを左に１ビットシフトして（ステッ
プＳ４１４）、ステップＳ４１０にとぶ。そして、ステ
ップＳ４１０にてｋの値を１増加し、ステップＳ４０２
に戻る。

【００８６】ステップＳ４０３にてレジスタＵの最下位
ビットが０でなく、ステップＳ４０４にてレジスタＶの
最下位ビットが０でなければ、レジスタＵとＶの大小比
較を行なう（ステップＳ４０５）。

【００８７】もしＵ＞Ｖならば、レジスタＵからレジス
タＶの内容を引き（ステップＳ４１５）、レジスタＵを
右に１ビットシフトし（ステップＳ４１６）、レジスタ
ＴにレジスタＳの内容を加算し（ステップＳ４１７）、
レジスタＳを左に１ビットシフトする（ステップＳ４１
８）。そして、ステップＳ４１０にてｋの値を１増加
し、ステップＳ４０２に戻る。

【００８８】もしステップＳ４０５の結果、Ｕ＜Ｖもし
くはＵ＝Ｖの場合は、レジスタＶからレジスタＵの内容
を引き（ステップＳ４０６）、レジスタＶを右に１ビッ
トシフトし（ステップＳ４０７）、レジスタＳにレジス
タＴの内容を加算し（ステップ４０８）、レジスタＴを
左に１ビットシフトする（ステップＳ４０９）。そし
て、ステップＳ４１０にてｋの値を１増加し、ステップ
Ｓ４０２に戻る。

【００８９】以上のループを繰り返し、ステップＳ４０
２にてレジスタＶが０になった場合、ステップＳ４１９
に移る。そして、まず、レジスタＵの内容が１かどうか
をチェックする。レジスタＵの内容は入力Ａと法ｐの最
大公約数になるので、もしＵが１でなければＡとｐは互
いに素でないことになるので、Ａの逆元は存在しない。
そのため、ステップＳ４２３でエラー処理をして終了す
る。

【００９０】エラーでない場合、すなわちステップＳ４
１９にてレジスタＵの内容が１である場合、ステップＳ
４２０でＴとｐの大小比較を行ない、もしＴがｐ以上で
あれば、Ｔからｐを引き（ステップＳ４２１）、Ｔがｐ
以下の整数になるようにする。そして、ステップＳ４２
２でｐからＴの内容を引いた結果をＴに格納して処理を
終了する。

【００９１】以上の処理により、Ｔの内容にはＡ^-1・２
^k ｍｏｄ ｐの計算結果が格納される。

【００９２】次に、このＴ＝Ａ^-1・２^k ｍｏｄ ｐと
ｋの値を逆元補正部３０２に入力して、モンゴメリ逆元
値を計算する。

【００９３】図５に、逆元補正部３０２の処理手順の一
例を示す。以下、図５の手順を流れを追って説明する。

【００９４】まず、Ｒ＝２ⁿ であるところのｎを２倍し
た値をＬにし、ループカウンタｉを０に設定する（ステ
ップＳ５０１）。

【００９５】次に、ループの繰り返し回数としてＬ−ｋ
の値を求め、ｍに設定する（ステップＳ５０２）。

【００９６】以降、ステップＳ５０３からステップＳ５
０７の処理を、ループカウンタがｍになるまで繰り返
す。

【００９７】すなわち、ステップＳ５０３でｉとｍを比
較し、ｉがｍ未満の場合には、まず、レジスタＴを１ビ
ット左シフトする（ステップＳ５０４）。次に、Ｔとｐ
の大小比較を行ない（ステップＳ５０５）、もしＴがｐ
以上であればＴからｐを引く（ステップＳ５０６）。そ
して、ステップＳ５０７にてｉの値を１増加し、ステッ
プＳ５０３に戻る。

【００９８】ステップＳ５０３でｉ＝ｍの場合には、上
記の処理ループを抜ける。このループを抜けた時点での
Ｔの値がモンゴメリ逆元値である。最後に、ステップＳ
５０８で逆元の値Ｔを出力して処理を終了する。

【００９９】以上に示した図３、図４、図５の手順はレ
ジスタの加減算とビットシフトのみで実現されるため、
効率的な装置化が可能である。

【０１００】以下では、具体例を用いて、本実施形態の
モンゴメリ逆元計算装置（または除算装置２００のモン
ゴメリ逆元計算部）２０１の動作を説明する。

【０１０１】ここでは、一例として、法の値ｐ＝２３、
Ｒ＝２⁵ （ｎ＝５）としたときに、モンゴメリ演算域で
の元Ａ＝１９の逆元を求める場合について示す。

【０１０２】図６（ａ）、（ｂ）には、逆元計算部３０
１における、Ｕレジスタ、Ｖレジスタ、Ｔレジスタ、Ｓ
レジスタのそれぞれの内容を２進数で表した値（ただ
し、ＴレジスタとＳレジスタにおける上位側ビットの０
の表示は省略してある）と、ループカウンタｋの内容を
１０進数で表した値の変遷を、各処理ループについて示
す。

【０１０３】また、図６（ｃ）には、逆元補正部３０２
における、Ｔレジスタの内容を２進数で表した値（ただ
し、上位側ビットの０の表示は省略してある）の変遷
を、各処理ループについて示す。

【０１０４】まず、逆元計算部３０１において、初期化
処理の結果、Ｕレジスタ＝ｐ＝１０１１１、Ｖレジスタ
＝Ａ＝１００１１、Ｔレジスタ＝０、Ｓレジスタ＝１、
ｋ＝０が設定される。

【０１０５】１回目のループでは、Ｕ＞Ｖからステップ
Ｓ４０５にてＹｅｓとなり、ステップＳ４１５〜Ｓ４１
８とＳ４１０が実行される。この結果、Ｕレジスタ＝０
００１０、Ｖレジスタ＝１００１１、Ｔレジスタ＝１、
Ｓレジスタ＝１０、ｋ＝１となる。

【０１０６】２回目のループでは、ＬＳＢ（Ｕ）＝０か
らステップＳ４０３にてＹｅｓとなり、ステップＳ４１
１とＳ４１２とＳ４１０が実行される。この結果、Ｕレ
ジスタ＝００００１、Ｖレジスタ＝１００１１、Ｔレジ
スタ＝１０、Ｓレジスタ＝１００、ｋ＝２となる。

【０１０７】３回目のループでは、Ｕ＜Ｖからステップ
Ｓ４０５にてＮｏとなり、ステップＳ４０６〜Ｓ４０９
とＳ４１０が実行される。この結果、Ｕレジスタ＝００
００１、Ｖレジスタ＝０１００１、Ｔレジスタ＝１０、
Ｓレジスタ＝１０１、ｋ＝３となる。

【０１０８】以上のようにして処理を繰り返した結果、
７回目のループの実行後、Ｕレジスタ＝００００１、Ｖ
レジスタ＝０００００、Ｔレジスタ＝１０００００、Ｓ
レジスタ＝１０１１１、ｋ＝７となり、Ｖレジスタ＝０
００００となったので、処理ループを抜ける。

【０１０９】次に、Ｕ＝１であるからステップＳ４１９
にてｙｅｓとなり、Ｔ＞ｐであるからステップＳ４２０
にＹｅｓとなり、この結果、ステップＳ４２１にてＴ＝
Ｔ−Ｐ＝１０００００−１０１１１＝１００１となり、
最後にステップＳ４２２にてＴ＝ｐ−Ｔ＝１０１１１−
１００１＝１１１０となる。

【０１１０】従って、逆元計算部３０１の出力は、Ｔ＝
１１１０（＝１０進数表現で１４）、ｋ＝７となる。

【０１１１】次に、逆元補正部３０２において、初期状
態として、Ｔ＝１１１０、ｉ＝０、ｍ＝３に設定される
（ｉとｍの値は１０進数で表す）。

【０１１２】１回目のループでは、Ｔレジスタが左シフ
トされてＴ＝１１１００となり、ステップＳ５０５でＹ
ｅｓとなるためステップＳ５０６にてＴ＝１０１とな
り、そしてｉ＝１となる。

【０１１３】２回目のループでは、Ｔレジスタが左シフ
トされてＴ＝１０１０となり、ステップＳ５０５でＮｏ
となるためステップＳ５０６は実行されず、ｉ＝２とな
る。

【０１１４】３回目のループでは、Ｔレジスタが左シフ
トされてＴ＝１０１００となり、ステップＳ５０５でＮ
ｏとなるためステップＳ５０６は実行されず、ｉ＝３＝
ｍとなり、処理ループを抜ける。

【０１１５】この結果、出力Ｔ＝１０１００＝１０進数
表現で２０となる。

【０１１６】このようにして、法の値ｐ＝２３、Ｒ＝２
⁵ （ｎ＝５）としたときにおける、モンゴメリ演算域で
の元Ａ＝１９の逆元Ｘ＝２０を得ることができる。

【０１１７】なお、モンゴメリ演算域での元１９と２０
にそれぞれ対応する、剰余系Ｚｐでも元を求めると、２
０と１５になる。すなわち、剰余系Ｚｐでの元２０の逆
元として、１５が得られたことになる。

【０１１８】以下では、前述した逆元計算部３０１や逆
元補正部３０２における処理の他の例をそれぞれ示す。

【０１１９】まず、図７および図８に逆元計算部３０１
の処理手順の他の例を示す。この手順は図３および図４
に示した処理手順と原理的には同じであるが、図３およ
び図４の手順においてステップＳ４０３とステップＳ４
０４でそれぞれ多倍長レジスタＵとＶの最下位ビットだ
けを判定の基準に用い、最下位ビットが０の場合に後続
の手順であるステップＳ４１１およびステップＳ４１
２、ステップＳ４１３およびステップＳ４１４で１ビッ
トだけレジスタのシフトを行っていたものを、最下位ビ
ットから０が複数連続する場合には一度に複数ビットの
シフトを可能とするように改良したものである。このよ
うに、一度に複数ビットをまとめて処理する方が有利な
場合は多く、特にソフトウェア実装において高速とな
る。

【０１２０】以下、図７および図８の手順を流れを追っ
て説明する。

【０１２１】まず、入力として与えられた法ｐをレジス
タＵに、ｐ以下の正の整数ＡをレジスタＶに設定する。
また、レジスタＴに０、レジスタＳに１、レジスタｋに
０をそれぞれ設定する（ステップＳ６０１）。

【０１２２】以降、ステップＳ６０２からステップＳ６
１２の処理を、レジスタＶが正の値である間（０になる
まで）、繰り返す。

【０１２３】ステップＳ６０２でレジスタＶが０でなけ
れば、まず、レジスタＵの最下位ビットからの“０”の
連長をカウントしてこの値をｗとする（ステップＳ６０
３）。次にｗが０か否かを判定し（ステップＳ６０
４）、もし０でなければ、レジスタＵをｗビットだけ右
シフトし（ステップＳ６１３）、レジスタＳをｗビット
だけ左シフトし（ステップＳ６１４）、ループカウンタ
Ｋにｗを加え（ステップＳ６１５）、ステップＳ６０２
へとぶ。

【０１２４】ステップＳ６０４でｗが０ならば、レジス
タＶの最下位ビットからの“０”の連長をカウントして
この値をｗとする（ステップ６０５）。次にｗが０かど
うかを判定し（ステップＳ６０６）、もし０でなけれ
ば、レジスタＶをｗビットだけ右シフトし（ステップＳ
６１６）、レジスタＴをｗビットだけ左シフトし（ステ
ップＳ６１７）、ループカウンタＫにｗを加え（ステッ
プＳ６１８）、ステップＳ６０２へとぶ。

【０１２５】ステップＳ６０６でｗが０ならば、レジス
タＵとＶの大小比較をし（ステップＳ６０７）、もしＵ
＞Ｖならば、レジスタＵからレジスタＶの内容を引き
（ステップＳ６１９）、レジスタＵを右に１ビットシフ
トし（ステップＳ６２０）、レジスタＴにレジスタＳの
内容を加算し（ステップＳ６２１）、レジスタＳを左に
１ビットシフトし（ステップＳ６２２）、ループカウン
タＫに１を加え（ステップＳ６２３）、ステップＳ６０
２へとぶ。

【０１２６】もしステップＳ６０７の結果、Ｕ＜Ｖもし
くはＵ＝Ｖの場合は、レジスタＶからレジスタＵの内容
を引き（ステップＳ６０８）、レジスタＶを右に１ビッ
トシフトし（ステップＳ６０９）、レジスタＳにレジス
タＴの内容を加算し（ステップＳ６１０）、レジスタＴ
を左に１ビットシフトし（ステップＳ８１１）、ループ
カウンタＫに１を加え（ステップＳ６２３）、ステップ
Ｓ６０２へもどる。

【０１２７】以上のループを繰り返し、ステップＳ６０
２でレジスタＶが０になった場合、処理ループを抜け、
まず、レジスタＵの内容が１かどうかをチェックする
（ステップＳ６２４）。レジスタＵの内容は入力Ａと法
ｐの最大公約数になるので、もしＵが１でなければステ
ップＳ６２８でエラー処理をして終了する。

【０１２８】エラーでない場合、すなわちステップＳ６
２４にてレジスタＵの内容が１である場合、レジスタＴ
とｐの大小比較をし（ステップＳ６２５）、もしＴがｐ
以上であれば、Ｔからｐを引き（ステップＳ６２６）、
Ｔがｐ以下の整数になるようにする。そして、ステップ
Ｓ６２７でｐからＴの内容を引いた結果をＴに格納して
処理を終了する。

【０１２９】以上の処理により、Ｔの内容としてＡ^-1・
２^k ｍｏｄ ｐが計算される。

【０１３０】次に、逆元補正部３０２の処理の流れの別
の一例を図９、図１０に示す。

【０１３１】この手順も図５に示した処理手順と原理的
には同じであるが、図５の手順においてステップＳ５０
４で多倍長レジスタＴを１ビットだけ左シフトを行うこ
とを繰り返していたものを、一度に複数ビットのシフト
を可能とするように改良したものである。このように、
一度に複数ビットをまとめて処理する方が有利な場合は
多く、特にソフトウェア実装において高速となる。

【０１３２】以下、図９、図１０の手順を流れを追って
説明する。

【０１３３】まず、Ｒ＝２ⁿ であるところのｎを２倍し
た値をＬにし、ループカウンタｉを０に設定する（ステ
ップＳ７０１）。

【０１３４】次に、ループの繰り返し回数としてＬ−ｋ
の値を求め、ｍに設定する（ステップＳ７０２）。

【０１３５】以降、ステップＳ７０３からステップＳ７
１０の処理を、ループカウンタｉがｍになるまで繰り返
す。

【０１３６】ステップＳ７０３でｉとｍを比較し、ｉが
ｍ未満の場合には、まず、レジスタＴを法ｐと同じサイ
ズの２進数と見たときに最上位ビットからの“０”の連
長をカウントしてこの値をｗとする（ステップＳ７０
４）。

【０１３７】次に、ｗが０かどうかを判定し（ステップ
Ｓ７０５）、もし０ならばレジスタＴを１ビットだけ左
シフトする（ステップＳ７１２）。この結果、Ｔの値は
ｐより大きくなるのでステップＳ７１３でレジスタＴか
らｐの値を減ずる。そして、ループカウンタｉに１を加
え（ステップＳ７１４）、ステップＳ７０３へとぶ。ス
テップＳ７０５でｗが０でなければ、次にｉ＋ｗを計算
し、この値とｍの大小比較を行う（ステップＳ７０
６）。もしｉ＋ｗ＞ｍならば、ｗをｍ−ｉとし（ステッ
プＳ７１５）、レジスタＴをｗビットだけ左シフトする
（ステップＳ７１６）。ループカウンタはｍとする（ス
テップＳ７１７）。ここではステップＳ７１６の左シフ
トの結果は必ずｐよりも小さいため、補正は不要であ
り、ステップＳ７０３へとぶ。

【０１３８】ステップＳ７０６でｉ＋ｗ＜ｍもしくはｉ
＋ｗ＝ｍの場合には、レジスタＴをｗビットだけ左シフ
トする（ステップＳ７０７）。この結果、Ｔの値はｐよ
り大きくなる可能性があるので、ステップＳ７０８でＴ
とｐの大小比較を行い、Ｔがｐ以上の場合はＴからｐの
値を減ずる（ステップＳ７０９）。最後にループカウン
タｉにｗを加え（ステップＳ７１０）、ステップＳ７０
３に戻る。

【０１３９】以上のループを繰り返し、ステップＳ７０
３でｉ＝ｍになった場合、処理ループを抜ける。このル
ープを抜けた時点でのＴの値がモンゴメリ逆元値であ
り、この値を出力して（ステップＳ７１１）、処理を終
了する。

【０１４０】以上に示した図７と図８、図９と図１０の
手順もレジスタの加減算とビットシフトのみで実現され
る。

【０１４１】なお、図２のモンゴメリ逆元計算装置や図
１のモンゴメリ除算装置のモンゴメリ逆元計算部におい
て、逆元計算部３０１としては、図３と図４、図７およ
び図８のいずれかを、また、逆元補正部３０２として
は、図５、図９と図１０のいずれかを、それぞれ任意に
組み合わせて利用可能である。

【０１４２】ところで、本モンゴメリ除算装置は、図１
で例示した構成に限定されず、他の構成も可能である。
図１６に、本実施形態に係るモンゴメリ除算装置の基本
構成の他の例を示す。

【０１４３】図２に例示したようにモンゴメリ逆元計算
機装置は、一例として、逆元計算部３０１と逆元補正部
３０２に分割できるが、図１６では、この逆元計算部３
０１をモンゴメリ乗算部２０２の前段に、また、逆元補
正部３０２をモンゴメリ乗算部２０２の後段に配置した
構成となっている。これは、逆元計算部３０１の出力Ｃ
に対しては、逆元補正部３０２の演算も、モンゴメリ乗
算部２０２の演算も共に乗算であることから、その順序
に対する可換性が成立することに基づいている。これを
数式で表現すると以下のようになる。

【０１４４】 Ｙ＝Ｂ・Ａ^-1・Ｒ ｍｏｄ ｐ ＝Ｂ・（Ａ^-1２^K ）２^-K・（Ｒ^-1Ｒ² ） ｍｏｄ ｐ ＝Ｂ・（Ａ^-1２^K ｍｏｄ ｐ）・Ｒ^-1（Ｒ² ・２^-K） ｍｏｄ ｐ ＝（Ｂ・Ｃ・Ｒ^-1 ｍｏｄ ｐ）・２^2n-K ｍｏｄ ｐ ＝Ｄ・２^2n-K ｍｏｄ ｐ このようにモンゴメリ除算装置は必ずしもモンゴメリ逆
元計算部とモンゴメリ乗算部をシーケンシャルに利用し
なくても構成できる。重要なことは、モンゴメリ除算で
あるＹ＝Ｂ（Ａ^-1）Ｒ ｍｏｄ ｐを効率的に計算する
ことであり、そのためにモンゴメリ逆元計算装置の構成
部品（モジュール）である逆元計算部と逆元補正部を分
離して用いることもできる。

【０１４５】以上のように本実施形態によれば、楕円曲
線暗号など多倍長の四則演算の繰り返し処理を高速に処
理する場合に、モンゴメリ演算域での元を入力として、
モンゴメリ逆元計算やモンゴメリ除算を実行することが
できる。したがって、最初に元の剰余系からモンゴメリ
演算域に元を変換した後は、モンゴメリ演算域のままで
繰り返し処理を実行できる。最後にモンゴメリ演算域か
ら元の剰余系に逆変換すれば良いので全体としてのモン
ゴメリ変換・逆変換のオーバーヘッドを小さくできる。
また、本実施形態のモンゴメリ逆元計算およびモンゴメ
リ除算は多倍長レジスタの加減算とビットシフトのみで
実現できるため、ソフトウェア・ハードウェアのどちら
でも効率良く実現できる。

【０１４６】以下では、本実施形態に係るモンゴメリ演
算域での逆元計算装置のハードウェア構成について説明
する。

【０１４７】図１１に、本逆元計算装置の一構成例をブ
ロック図で示す。

【０１４８】本逆元計算装置は、多倍長レジスタＵ（８
０１）、多倍長レジスタＶ（８０２）、多倍長レジスタ
Ｓ（８０３）、多倍長レジスタＴ（８０４）とループカ
ウンタとなる単精度のレジスタＫ（８０５）、演算部と
して加減算器８０６とビットシフタ８０７、加減算器８
０６の出力を格納する多倍長のレジスタ８０８とビット
シフタ８０７の出力を格納する多倍長のレジスタ８０
９、そして全体の動作を制御する制御部（図示せず）を
構成要素として持つ。これらの各構成要素は、データ・
バス８１０に結線されており、相互にデータの転送が可
能である。制御部では、前述したような処理手順に従い
レジスタの特定ビットの０／１判定やレジスタの特定部
分の０の連長の検査なども行う。

【０１４９】図２における逆元計算部３０１は、この構
成要素を図３および図４、もしくは図７および図８に従
う動作を行うように制御することによって実現され、図
２における逆元補正部３０２は、法ｐを空いているレジ
スタ（例えばＵレジスタ）に設定し、図５もしくは図９
および図１０に従う動作を行うように制御することによ
って実現される。

【０１５０】なお、以上の各機能は、ソフトウェアとし
ても実現可能である。

【０１５１】また、本実施形態は、コンピュータに所定
の手順を実行させるための（あるいはコンピュータを所
定の手段として機能させるための、あるいはコンピュー
タに所定の機能を実現させるための）プログラムを記録
したコンピュータ読取り可能な記録媒体として実施する
こともできる。

【０１５２】本発明は、上述した実施の形態に限定され
るものではなく、その技術的範囲において種々変形して
実施することができる。

【０１５３】

【発明の効果】本発明によれば、モンゴメリ演算域での
逆元計算と乗算を行って除算結果を得るので、モンゴメ
リ演算域の元を入力として、モンゴメリ演算域での除算
結果を直接求めることができる。この結果、モンゴメリ
演算域と元の剰余系との変換・逆変換のオーバーヘッド
がないため、モンゴメリ演算域での除算が高速に実現で
きる。

【０１５４】また、本発明によれば、モンゴメリ演算域
のままモンゴメリ逆元計算を行なうことができ、モンゴ
メリ演算域と元の剰余系との変換・逆変換のオーバーヘ
ッドがないため、モンゴメリ演算域での逆元計算が高速
に実現できる。

【０１５５】また、本発明によれば、モンゴメリ演算域
での逆元計算が多倍長レジスタの加減算とビットシフト
で実現できるため、ソフトウェア実装・ハードウェア実
装のどちらでも高速な装置構成が可能となる。さらに、
モンゴメリ演算域での除算も高速な装置構成が実現でき
る。

【０１５６】したがって、楕円曲線暗号などのように剰
余系での乗算と除算を含む演算の繰り返し処理を基本演
算とする暗号において、全体としての処理時間を高速化
することができる。

【図面の簡単な説明】

【図１】本発明に係るモンゴメリ演算域での除算計算装
置の一構成例を示す図

【図２】本発明に係るモンゴメリ演算域での逆元計算装
置の一構成例を示す図

【図３】図２の逆元計算部での処理手順の一例を示すフ
ローチャート

【図４】図２の逆元計算部での処理手順の一例を示すフ
ローチャート

【図５】図２の逆元補正部での処理手順の一例を示すフ
ローチャート

【図６】図２の逆元計算装置の具体的な動作例を説明す
るための図

【図７】図２の逆元計算部での処理手順の他の例を示す
フローチャート

【図８】図２の逆元計算部での処理手順の他の例を示す
フローチャート

【図９】図２の逆元補正部での処理手順の他の例を示す
フローチャート

【図１０】図２の逆元補正部での処理手順の他の例を示
すフローチャート

【図１１】本発明に係るモンゴメリ演算域での逆元計算
装置のハードウェア構成を示すブロック図

【図１２】モンゴメリ演算域と剰余系Ｚｐの演算の対応
を示す図

【図１３】モンゴメリ演算域と剰余系Ｚｐの元および逆
元の具体例を示す図

【図１４】図１のモンゴメリ乗算部での処理の一例を示
すフローチャート

【図１５】図１のモンゴメリ乗算部での処理の他の例を
示すフローチャート

【図１６】本発明に係るモンゴメリ演算域での除算計算
装置の他の構成例を示す図

【符号の説明】

２００…モンゴメリ除算装置 ２０１…モンゴメリ逆元計算装置（モンゴメリ逆元計算
部） ２０２…モンゴメリ乗算部 ３０１…逆元計算部 ３０２…逆元補正部 ８０１，８０２，８０３，８０４，８０５，８０８，８
０９…レジスタ ８０６…加減算器 ８０７…ビットシフタ

Claims (12)

(57)【特許請求の範囲】
1. 【請求項１】正の整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、Ａ
   とＮは互いに素）、正の整数Ｂについて、Ｎを２進表現
   したときのビット長をＬとして、ｎ≧Ｌなる整数ｎに対
   して、Ｙ＝Ｂ・Ａ^-1・２ⁿ ｍｏｄ Ｎなるモンゴメリ
   演算域での除算結果Ｙを求めるモンゴメリ除算装置であ
   って、 整数Ａと法Ｎを入力として逆元Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ
   Ｎを求めるモンゴメリ逆元計算手段と、 求められた逆元Ｘと法ＮとＢを入力として除算結果Ｙ＝
   Ｂ・Ｘ・２^-n ｍｏｄＮを求めるモンゴメリ乗算手段と
   を備えたことを特徴とするモンゴメリ除算装置。
2. 【請求項２】前記モンゴメリ逆元計算手段は、 整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・２^k ｍ
   ｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求める逆元
   計算手段と、 求められた中間結果Ｃとパラメータｋと法Ｎを入力とし
   て逆元Ｘ＝Ｃ・２^2n-kｍｏｄ Ｎを求める逆元補正手段
   とを有することを特徴とする請求項１に記載のモンゴメ
   リ除算装置。
3. 【請求項３】正の整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、Ａ
   とＮは互いに素）、正の整数Ｂについて、Ｎを２進表現
   したときのビット長をＬとして、ｎ≧Ｌなる整数ｎに対
   して、Ｙ＝Ｂ・Ａ^-1・２ⁿ ｍｏｄ Ｎなるモンゴメリ
   演算域での除算結果Ｙを求めるモンゴメリ除算装置であ
   って、 整数Ａと法Ｎを入力として第１の中間結果Ｃ＝Ａ^-1・２
   ^k ｍｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め
   る逆元計算手段と、 求められた第１の中間結果Ｃと法ＮとＢを入力として第
   ２の中間結果Ｄ＝Ｂ・Ｃ・２^-n ｍｏｄ Ｎを求めるモ
   ンゴメリ乗算手段と、 このモンゴメリ乗算手段により求められた第２の中間結
   果Ｄと前記逆元計算手段により求められたパラメータｋ
   と法Ｎを入力として除算結果Ｙ＝Ｄ・２^2n-Kｍｏｄ Ｎ
   を求める逆元補正手段とを備えたことを特徴とするモン
   ゴメリ除算装置。
4. 【請求項４】正の奇整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、
   ＡとＮは互いに素）について、Ｎを２進表現したときの
   ビット長をＬとして、ｎ≧Ｌなる整数ｎに対して、Ｘ＝
   Ａ^-1・２²ⁿ ｍｏｄ Ｎなるモンゴメリ演算域での逆元
   Ｘを求めるモンゴメリ逆元計算装置であって、 整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・２^k ｍ
   ｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求める逆元
   計算手段と、 求められた中間結果Ｃとパラメータｋと法Ｎを入力とし
   て逆元Ｘ＝Ｃ・２^2n-kｍｏｄ Ｎを求める逆元補正手段
   とを備えたことを特徴とするモンゴメリ逆元計算装置。
5. 【請求項５】内部に中間変数を記憶する複数のレジスタ
   と、 前記レジスタを右または左にシフトするビットシフト器
   と、 ２つのレジスタの内容の加算または減算を行う加減算器
   と、 ２つのレジスタの内容の大小比較およびレジスタ内部の
   所定のビット位置の値の判定を行う判定器とを用いて前
   記逆元計算部および前記逆元補正部を構成することを特
   徴とする請求項４に記載のモンゴメリ逆元計算装置。
6. 【請求項６】正の奇整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、
   ＡとＮは互いに素）について、Ｎを２進表現したときの
   ビット長をＬとして、ｎ≧Ｌなる整数ｎに対して、Ｘ＝
   Ａ^-1・２²ⁿ ｍｏｄ Ｎなるモンゴメリ演算域での逆元
   Ｘを求めるモンゴメリ逆元計算装置であって、 初期状態を２進表現にてＵ＝Ｎ、Ｖ＝Ａ、Ｔ＝０、Ｓ＝
   １、ｋ＝０とし、 Ｕの最下位ビットが０ならば、Ｕを右シフトし、Ｓを左
   シフトし、ｋを１増加する処理と、 Ｖの最下位ビットが０ならば、Ｖを右シフトし、Ｔを左
   シフトし、ｋを１増加する処理と、 Ｕの最下位ビットが１かつＶの最下位ビットが１で、Ｕ
   ＞Ｖならば、ＵからＶを減じ、Ｕを右シフトし、ＴにＳ
   を加え、Ｓを左シフトし、ｋを１増加する処理と、 Ｕの最下位ビットが１かつＶの最下位ビットが１で、Ｕ
   ≦Ｖならば、ＶからＵを減じ、Ｖを右シフトし、ＳにＴ
   を加え、Ｔを左シフトし、ｋを１増加する処理からなる
   一連のループ処理を、Ｖ＞０の間、繰り返し、 Ｖ＝０になった場合、Ｔ≧ＮならばＴからＮを減じた後
   に、ＮからＴを減じた値をＴとし、Ｔ＜ＮならばＮから
   Ｔを減じた値をＴとする逆元計算手段と、 初期状態をｉ＝０とし、 前記逆元計算手段により求められたＴを左シフトした
   後、Ｔ≧ＮならばＴからＮを減じてｉを１増加し、Ｔ＜
   Ｎならばｉを１増加するループ処理を、ｉ＜２ｎ−ｋの
   間、繰り返し、 ｉ＝２ｎ−ｋになったときのＴを逆元Ｘとする逆元補正
   手段とを備えたことを特徴とするモンゴメリ逆元計算装
   置。
7. 【請求項７】初期状態としてＮが設定されるＵレジスタ
   と、 初期状態としてＡが設定されるＶレジスタと、 初期状態として０が設定されるＴレジスタと、 初期状態として１が設定されるＳレジスタと、 初期状態として０が設定されるｋレジスタと、 Ｕレジスタの右シフト、Ｖレジスタの右シフト、Ｔレジ
   スタの左シフト、およびＳレジスタの左シフトのうち指
   定されたものを実行するビットシフト器と、 ＵレジスタからＶレジスタの内容を減じる処理、Ｖレジ
   スタからＵレジスタの内容を減じる処理、Ｔレジスタに
   Ｓレジスタの内容を加える処理、ＳレジスタにＴレジス
   タの内容を加える処理、ＴレジスタからＮを減じる処
   理、ＮからＴレジスタの内容を減じる処理、およびｋレ
   ジスタに１を加える処理のうち指定されたものを実行す
   る加減算器と、 Ｕレジスタの最下位ビットが０であるか否か、Ｖレジス
   タの最下位ビットが０であるか否か、Ｖレジスタの値が
   ０になったか否か、およびＴレジスタの値がＮ以上であ
   るか否かを判断する判定器と、 前記ビットシフト器、前記加減算器および前記判定器を
   制御する制御部を備えたことを特徴とする請求項６に記
   載のモンゴメリ逆元計算装置。
8. 【請求項８】正の整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、Ａ
   とＮは互いに素）、正の整数Ｂについて、Ｎを２進表現
   したときのビット長をＬとして、ｎ≧Ｌなる整数ｎに対
   して、Ｙ＝Ｂ・Ａ^-1・２ⁿ ｍｏｄ Ｎなるモンゴメリ
   演算域での除算結果Ｙを求めるモンゴメリ除算方法であ
   って、 整数Ａと法Ｎを入力として逆元Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ
   Ｎを求める第１のステップと、 求められた逆元Ｘと法ＮとＢを入力として除算結果Ｙ＝
   Ｂ・Ｘ・２^-n ｍｏｄＮを求める第２のステップとを有
   することを特徴とするモンゴメリ除算方法。
9. 【請求項９】前記第１のステップは、 整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・２^k ｍ
   ｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め、 求められた中間結果Ｃとパラメータｋと法Ｎを入力とし
   て逆元Ｘ＝Ｃ・２^2n-kｍｏｄ Ｎを求めるものであるこ
   とを特徴とする請求項８に記載のモンゴメリ除算方法。
10. 【請求項１０】正の整数Ｎ、正の整数Ａ（０≦Ａ＜Ｎ、
    ＡとＮは互いに素）、正の整数Ｂについて、Ｎを２進表
    現したときのビット長をＬとして、ｎ≧Ｌなる整数ｎに
    対して、Ｙ＝Ｂ・Ａ^-1・２ⁿ ｍｏｄ Ｎなるモンゴメ
    リ演算域での除算結果Ｙを求めるモンゴメリ除算方法で
    あって、 整数Ａと法Ｎを入力として第１の中間結果Ｃ＝Ａ^-1・２
    ^k ｍｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め
    る第１のステップと、 この第１のステップにより求められた第１の中間結果Ｃ
    と法ＮとＢを入力として第２の中間結果Ｄ＝Ｂ・Ｃ・２
    ^-n ｍｏｄ Ｎを求める第２のステップと、 この第２のステップにより求められた第２の中間結果Ｄ
    と前記第１のステップにより求められたパラメータｋと
    法Ｎを入力として除算結果Ｙ＝Ｄ・２^2n-K ｍｏｄ Ｎ
    を求める第３のステップとを有することを特徴とするモ
    ンゴメリ除算方法。
11. 【請求項１１】正の奇整数Ｎ、正の整数Ａ（０≦Ａ＜
    Ｎ、ＡとＮは互いに素）について、Ｎを２進表現したと
    きのビット長をＬとして、ｎ≧Ｌなる整数ｎに対して、
    Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎなるモンゴメリ演算域での
    逆元Ｘを求めるモンゴメリ逆元計算方法であって、 整数Ａと法Ｎを入力として中間結果Ｃ＝Ａ^-1・２^k ｍ
    ｏｄ Ｎとパラメータｋ（Ｌ≦ｋ≦２Ｌ）を求め、 求められた中間結果Ｃとパラメータｋと法Ｎを入力とし
    て逆元Ｘ＝Ｃ・２^2n-kｍｏｄ Ｎを求めることを特徴と
    するモンゴメリ逆元計算方法。
12. 【請求項１２】正の奇整数Ｎ、正の整数Ａ（０≦Ａ＜
    Ｎ、ＡとＮは互いに素）について、Ｎを２進表現したと
    きのビット長をＬとして、ｎ≧Ｌなる整数ｎに対して、
    Ｘ＝Ａ^-1・２²ⁿ ｍｏｄ Ｎなるモンゴメリ演算域での
    逆元Ｘを求めるモンゴメリ逆元計算方法であって、 初期状態を２進表現にてＵ＝Ｎ、Ｖ＝Ａ、Ｔ＝０、Ｓ＝
    １、ｋ＝０とし、 Ｕの最下位ビットが０ならば、Ｕを右シフトし、Ｓを左
    シフトし、ｋを１増加するとともに、Ｖの最下位ビット
    が０ならば、Ｖを右シフトし、Ｔを左シフトし、ｋを１
    増加する処理と、 Ｕの最下位ビットが１かつＶの最下位ビットが１で、Ｕ
    ＞Ｖならば、ＵからＶを減じ、Ｕを右シフトし、ＴにＳ
    を加え、Ｓを左シフトし、ｋを１増加する処理と、 Ｕの最下位ビットが１かつＶの最下位ビットが１で、Ｕ
    ≦Ｖならば、ＶからＵを減じ、Ｖを右シフトし、ＳにＴ
    を加え、Ｔを左シフトし、ｋを１増加する処理からなる
    一連のループ処理を、Ｖ＞０の間、繰り返し、 Ｖ＝０になった場合、Ｔ≧ＮならばＴからＮを減じた後
    に、ＮからＴを減じた値をＴとし、Ｔ＜ＮならばＮから
    Ｔを減じた値をＴとする第１のステップと、 初期状態をｉ＝０とし、 前記第１のステップにより求められたＴを左シフトした
    後、Ｔ≧ＮならばＴからＮを減じてｉを１増加し、Ｔ＜
    Ｎならばｉを１増加するループ処理を、ｉ＜２ｎ−ｋの
    間、繰り返し、 ｉ＝２ｎ−ｋになったときのＴを逆元Ｘとする第２のス
    テップとを有することを特徴とするモンゴメリ逆元計算
    方法。