JP3145368B2 - 楕円曲線演算装置、演算方法及びその方法を実施するプログラムを記録した記録媒体 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は，楕円曲線上の演
算装置、特に、情報セキュリティ技術（楕円曲線暗号／
署名、素因数分解）を実現するために適する装置及びプ
ログラム記録媒体に関する。

【０００２】

【従来の技術】楕円曲線暗号は、現在主流の暗号方式と
比べて遥かに短い鍵長で同等の安全性強度を実現するこ
とから、電子商取引の時代を担う次世代暗号として注目
を浴びている。しかし、従来の楕円曲線暗号は暗号化・
復号化の処理速度や安全性の面で課題があり、高速化・
安全性の研究が世界中で展開されてきた。

【０００３】楕円曲線上で公開鍵暗号やデジタル署名を
実現する場合，その処理時間のほとんどは楕円曲線上の
ｍ倍演算に費やされる。一般に，暗号や署名には有限体
GF(q)上で定義される楕円曲線を使う。これをE/GF(q)を
表記する。ｑは素数又はそのべき乗である。従来の実装
法ではｑに素数又は2ⁿ（ｎは1以上の整数）を用いるこ
とが多かった。

【０００４】楕円曲線上の点Ｐに対する加算や２倍を定
義することができる。通常の加算と区別するためにこれ
を、「楕円加算」、「楕円２倍演算」と呼ぶ。また、楕円
曲線上の点のうち、加算の単位元をＯと表記する。通
常、ｍ倍演算（ｍは２以上の整数）を構成するために、
「楕円加算」と「楕円２倍演算」を組み合わせて行う方法
が用いられている。

【０００５】この２つ以外に「フロベニウス写像」を用
いてｍ倍演算を行えることがある。この手法を「φ進展
開法」と呼ぶ。例えば、GF(2)上で定義された楕円曲線E
/GF(2)上のGF(2^k)有理点（ｋは２以上の整数）をｍ倍す
る方法についてKoblitzらが提案している。しかし、以
下に説明するように、従来の方法ではqが非常に小さい
場合に限って演算を高速化することが出来たにすぎな
い。

【０００６】次に楕円曲線とフロベニウス写像について
説明する。有限体GF(q)上で定義された楕円曲線をE/GF
(q)と表記する。E/GF(q)上のGF(q^k)有理点のなす群E(GF
(q^k))に対して、以下のようなフロベニウス写像φを用
いた演算を定義できる。 定義1（フロベニウス写像） 楕円曲線上の点P＝(x，y)，ただしx，y∈GF(q)’に対す
る自己準同型写像 φ：(x，y) → (x^q，y^q) をフロベニウス写像と呼ぶ。GF(q)’はGF(q)の代数閉体
を表す。

【０００７】フロベニウス写像φは、楕円曲線上の自己
準同型写像であり、ｍ倍写像P→ｍPを[ｍ]を表すと、式
(1)を満たす。 φ−[t]φ＋[q]＝[0], -2√q＜t＜2√q (1) 式(1)は虚根を持ち、φによって[ｍ]とは異なる演算を
行うことができる。φは与えられた楕円曲線に固有に定
まる値であり、その求め方は知られている。フロベニウ
ス写像の演算は、一般に楕円加算などと比べて高速に行
うことができる。例えば、正規基底を用いてGF(q^k)の元
を表している場合、フロベニウス写像を要素の置き換え
のみによって行うことができ、演算時間を無視できる。

【０００８】正規基底の生成元をαとする。正規基底表
現では、元a∈GF(q^k)を

【０００９】

【数６４】 となるようなa_i∈GF(q)を用いてa=[a₀，a₁，…，a_k-1]
と表す。このとき、a^q=[a _k-1，a₀，a₁，…，a_k-1]であ
り、要素の入れ換えによって写像φを適用することがで
きる。

【００１０】φ進展開法では、まずｍＰをφを用いて、
次式(3)の形に変換する。

【００１１】

【数６５】 ただし、-q<c_i<q，ｒ〜kである。Koblitzにより、E/GF
(2)上のGF(2^k)有理点を、φ進展開法を用いてｍ倍する
方法(N.Koblitz,"CM-Curves with with Good Cryptogra
phic Properties,"CRYPTO’91,pp.279−287(1991))が提
案された。また、Solinasによってその改良版(J.A.Soli
nas, “An improved Algorithm for Arithmetic on a F
amily of EllipticCurves,” CRYPTO’97, pp.357−371
(1997))が提案された。これらの方法では−1＜c _i＜1で
あり、最大r回のフロベニウス写像演算と楕円加算によ
ってm倍演算をおこなうことができる。

【００１２】例えば、楕円曲線E/GF(2)：y²+xy=x³+1上
ではφ=[(−1+√−7)/2]と見なすことができる。φ進展
開法を用いないで９Ｐを求める場合、 ９Ｐ＝(２×２×２＋１)Ｐ (4) を用いる。式(4)の演算を行うには、３回の「楕円２倍
演算」と１回の「楕円加算」（合計４回）が必要であ
る。

【００１３】一方、φを用いれば、 9P=(φ⁵−φ³＋1)P (5) と表すことができる。式(５)の演算を行うには、φ⁵P，
φ³Pを無視してできる演算時間で求めることが出来るの
で、2回の「楕円加算」で演算できる。このため、式(3)
の場合よりも演算時間を少なくできる。

【００１４】

【発明が解決しようとする課題】従来は主に、小さい整
数ｑに対してGF(q^k)上で定義された楕円曲線に対してφ
進展開法による高速演算法が適用されてきたが、理論的
にはもっと一般的な場合にも適用できる。しかしその場
合、式(3)における係数c_iは０＜｜c_i｜＜ｑとなるた
め、GF(q^k)でqが大きい場合はc_i倍演算を行う演算時間
を無視できない。例えば、従来法の例における式(５)で
は、｜c_i｜は０又は１であり、c_i倍演算を行う演算時間
は無視できた。

【００１５】この場合、従来法の方法を単純に用いる
と、必ずしもφを用いない演算法よりも速いとは限らな
い。従来ｑが小さい場合に限ってφ進展開法が適用され
てきたのはこのためである。この発明の目的は、素数ｑ
の大きさに関わらず、φ進展開法によりGF(q^k)上で定義
された楕円曲線上におけるｍ倍演算が可能な演算方法及
びその方法を実施する装置、及びその方法をコンピュー
タで実施するプログラムを記録し記録媒体を提供するこ
とである。

【００１６】

【課題を解決するための手段】この発明によれば、有限
体上に定義された楕円曲線E/GF(q)上における有理点Ｐ
のｍ倍を演算する楕円曲線演算において、入力手段によ
り有理点Ｐと、E/GF(q)上で定義されるフロベニウス写
像φと、整数ｋと、３以上の素数ｑとを入力し、φ進展
開手段により上記Ｅ/GF(q)によって定まるフロベニウス
写像φを用いて

【００１７】

【数６６】 を満す整数ｒ，c_i，ただし０＜ｉ＜ｒ，０＜ｒ＜ｋ，−
ｑ＜c _i＜ｑを求め，上記有理点Pと整数ｒ，c_iが与えら
れた生成手段により、 P₀=P P₁=φP P₂=φ²P ： P_r-1=φ^r-1P なるｒ個の点P₀〜P_r-1を求め、上記r個のP₀〜P_r-1が入
力されたべき乗テーブル加算手段により

【００１８】

【数６７】 を計算し、計算した上記ｍＰを出力手段により出力す
る。

【００１９】

【発明の実施の形態】発明の原理フロベニウス写像が高
速に演算できると考えると、この問題は事前演算による
テーブルを用いたべき演算法（以下「べき乗テーブル
法」と呼ぶ）の場合と似た状況であると考えることがで
きる。

【００２０】べき乗テーブル法は予め事前演算を行った
データを蓄積しておくことにより、ｍ倍演算を高速化す
る方法である。もともと、べき乗を高速に行うための技
術なのでこの名前で呼ぶが、楕円曲線上のｍ倍演算（ｍ
は２以上の整数）を行う場合も同様に使うことが出来
る。しかし、事前演算に多大な計算時間が必要であり、
適用範囲が制限された。

【００２１】これに対し、この発明では、フロベニウス
写像を用いればわずかな時間でべき乗テーブルに相当す
るデータを求めることができることを利用して演算を行
う。即ち、 P₀=P，P₁=φP，…，P_k-1=φ^k-1P (6) （ただしｋは２以上の整数）を事前演算された値と見な
し、P_iを用いて後で示す式(7)と同様の方法でｍ倍演算
を行う。

【００２２】事前演算による方法にはいくつか方法があ
る。ｑとｋの比率によってどの方法が最も効率が良いか
が決まる。この方法によって、従来適用できなかったｑ
が大きい場合にもφ進展開法を適用することができる。
また、ｑが小さい場合も従来法よりも高速に演算するこ
とができる。 べき乗テーブル法 ある決まった楕円曲線上の点Ｐとそのたびに変わるｍと
を用いてｍＰを求める（これをｍ倍演算という）場合、
べき乗テーブル法を用いて演算を高速化することができ
る。

【００２３】べき乗テーブル法に関してはさまざまな方
法が提案されているこれらは以下のような構成になって
いる。 Ａ（事前演算）：予めP_i=a_iPなるPをいくつか計算して
保存しておく。 Ｂ（ｍ倍演算）：m=Σ_i a_ic_iなるc_iを求め事前演算で求
めたP_iを用いて、 ｍＰ=Σ_i c_iP_i (7) によりｍＰを求める。

【００２４】べき乗テーブル法には「ＢＧＷＭ法」、
「櫛形法」、「Ｗｉｎｄｏｗ法」などがあり、式(7)の
構成方法が異なる。以下にいくつかのべき乗テーブル法
の演算方法を簡単に示す。実際にはこれ以外にもべき乗
テーブル法は存在し、また、組み合わせなどのバリエー
ションもある。どのべき乗テーブル法もこの発明に用い
ることができる。

【００２５】ｂ及びｋを２以上の整数とし０<ｍ<ｂ^kを
満たすmに対してｍＰを求める方法を説明する。以下、l
ogは底を２とし、[ｘ]はｘ以下の最大の整数を表す。ｍ
_iはｍのｂ進展開を行った値とし、m_ijはｍ_iを２進展開
を行った値とする。従ってｍ_iは０以上b-1以下の整数で
あり、m_ijは０又は１である。即ち、

【００２６】

【数６８】 BGMW法 A（事前演算）： P₀=P，P₁=bP，…，P_k-1=b^k-1P B（ｍ倍演算）： ステップ1：S_d=ΣP_i，(0＜d＜b，１＜i＜k)，ただしΣ
はm _i＜dを満たすｉについてＰ_iを加算する ステップ２：

【００２７】

【数６９】 を出力する。 櫛形法 Ａ（事前演算）： P₀=P，P₁=bP，…，P_k-1=b^k-1P Ｂ（ｍ倍演算）： ステップ１：

【００２８】

【数７０】 ステップ２：

【００２９】

【数７１】 箱法 Ａ（事前演算）： P₀=P，P₁=bP，…，P_k-1=b^k-1P Ｂ（ｍ倍演算）： ステップ1：

【００３０】

【数７２】 ただし、Σはｍ_i=jのｉについてＰ_i を加算する。 ステップ２

【００３１】

【数７３】 を出力する。 ｗｉｎｄｏｗ法 Ａ（事前演算）： P₁=P，P₂=2P，…，P_b-1=(b−1)P Ｂ（ｍ倍演算）：Ｓ=Σ_i b_iP_iを出力する。

【００３２】べき乗テーブル法としてＢＧＭＷ法、櫛形
法又は箱法のいずれかを適用する場合は、フロベニウス
写像φを行った（式（６））を事前演算された値と考え
てべき乗テーブル法を適用する。Ｗｉｎｄｏｗ法を適用
する場合は、ｍ倍演算部分の中にある、b倍演算部分に
フロベニウス写像を適用する。ｑとｋによって、演算時
間を最小化するべき乗テーブル法が異なる。ここではｑ
^kを一定値2ⁿに近似し、各方式の平均演算時間を導くこ
とによって、与えられたｑ，ｎに対して演算時間を最小
化する演算装置を得ることができる。 第1実施例 図1は、この発明による楕円m倍演算装置の第一実施例で
ある。 楕円曲線上のm倍演算装置（図1） 図1の「楕円曲線上のm倍演算装置」に従って説明する。
図1は楕円曲線E、定義体の大きさｑ、正整数ｋ、E上のG
F(q^k)有理点P、フロベニウス写像φ、正整数ｍの入力に
対してｍＰを出力する装置の構成の一例を表している。
このｍ倍演算装置100はＰ_i生成部１０と、φ進展開部２
０と、べき乗テーブル加算部３０とからなる。

【００３３】Ｐ_i生成部１０は、図３に示すように構成
され、φ進展開部２０は図７に示すように構成され、べ
き乗テーブル加算部３０は図９，１０，１１のいずれか
によって構成される。これらについては後で詳細に説明
する。図１のｍ倍演算装置の動作をプログラムで実現す
る場合は、図２の手順に従って以下のように演算が実行
される。

【００３４】ステップＳ１：Ｅ，ｑ，Ｐ，ｋ，φ，ｍを
入力する。 ステップＳ２：φ進展開部２０は、入力ｋ，φ，ｍに対
して

【００３５】

【数７４】 を満たすc₀，c₁，…，c_r-1，r(0＜i＜r)を求めて出力す
る。 ステップＳ３：Ｐ_i生成部１０は、入力ｑ，Ｐ，ｋ，ｒ
に対して Ｐ_i＝φⁱP を満たすP₀， P₁，…，P_r-1を求め、出力する。

【００３６】ステップＳ４：べき乗テーブル加算部３０
は、入力Ｅ，Ｐ_i，c_iに対して

【００３７】

【数７５】 を計算し、ｍＰを出力する。 ・Ｐ_i生成部（図3） 図３のＰ_i生成部１０について説明する。図３は定義体
の大きさｑ，GF(q^k)有理点Ｐ、整数ｒ入力に対してφ
⁰Ｐ，φ¹Ｐ，…，φ^r-1Ｐを出力する構成の一例を表し
ている。このＰ_i生成部１０はメモリ１１と、制御部１
２、加算部１３と，フロベニウス写像器１４とからな
る。

【００３８】フロベニウス写像器１４は後述の図５又は
図６に示すように構成される。この装置の動作をプログ
ラムで実現する場合は，図４に示す手順に従って以下の
ように演算が実行される。 ステップＳ１：q，Ｐ，rを入力する。 ステップＳ２：制御部１２は入力値ｑ，Ｐ，ｒに対して
メモリ１１にＳの初期値としてＰを渡し、メモリ１１
は、カウンタ値iと、楕円曲線上の点Ｓを保持する。iと
Ｓの初期値はそれぞれＯとＰである。

【００３９】ステップＳ３：制御部１２は、入力値q，
Ｐ，及びi，Sに対してi=rかどうかを検査し、i＝ｒなら
ば演算を終了する。 ステップＳ４：制御部１２はi≠rならばSをフロベニウ
ス写像器１４に入力してφＳを求め、φＳをＰ_iとして
出力し、φＳとi+1をそれぞれ新たなＳ，iとしてメモリ
１１に保存し、ステップＳ３へ戻る。 ・フロベニウス写像器（図５） 図５はGF(q^k)有理点Ｐ=(x,y)、整数ｑの入力に対してφ
Ｐを出力するフロベニウス写像器１４の構成の一例を示
している。

【００４０】この写像器１４は、楕円曲線上の点Ｐ=(x,
y)（ただしx,y∈GF(q^k))と表されている場合に用いるこ
とができる。この写像器１４はべき乗器１４Ａと１４Ｂ
からなる。このＰ_i生成部１０の動作をプログラムで実
現する場合は、図１８の処理手順に従って以下のように
演算が実行される。

【００４１】ステップＳ１：P=(x,y),qを入力する。 ステップＳ２：べき乗器１４Ａは、入力値ｘ，ｑに対し
てｘ^qを計算し、べき乗器１４Ｂは、入力値ｙ，ｑに対
してy^qを計算する。 ステップＳ３：フロベニウス写像器１４は、（x^q,y^q）
をφＰとして出力する。 ・フロベニウス写像器（図６） 図６はGF(q^k)有理点Ｐ、整数ｑの入力に対してφＰを出
力するフロベニウス写像器１４の構成の一例を示してい
る。

【００４２】この写像器１４は、楕円曲線上の点P=(x,
y,z)（ただしx,y,z∈GF（q^k））と表されている場合に
用いることができる。この写像器１４はべき乗器１４
Ａ、１４Ｂ、１４Ｃからなる。この写像器１４の動作を
プログラムで実現する場合は、図１９に示す手順に従っ
て以下のように演算が実行される。

【００４３】ステップＳ１：p=(x,y,z),qを入力する。 ステップＳ２：べき乗器１４Ａは、入力値ｘ，ｑに対し
てx^qを計算し，べき乗器１４Ｂは、入力値y，ｑに対し
てy^qを計算し、べき乗器１４Ｃは、入力値z,qに対してz
^qを計算する。 ステップＳ３：フロベニウス写像器１４は、(x^q,y^q,z^q)
をφＰとして出力する。 ・φ進展開部（図−7) 図７のφ進展開部２０を説明する。図７は定義体の大き
さｑ、拡大次数ｋ、整数ｍ、フロベニウス写像φの入力
に対して

【００４４】

【数７６】 を満たすc₀,c₁,…,c_r-1,rを求め、出力する。このφ進
展開部２０はトレース演算部２１と、制御部２２と、メ
モリ２３と、剰余部２４とからなる。

【００４５】このφ進展開部２０の動作をプログラムで
実現する場合は、図８に示す手順に従って実行する。ト
レースはφ、ｑによって固定の値であるから、予め求め
ておき、外部から与えることにしてもよい。その場合、
トレース演算器２１は不要である。このφ進展開部２０
では、以下のように演算が実行される。

【００４６】ステップＳ１：ｍ，ｑ，φ，ｋを入力す
る。 ステップＳ２：トレース演算部２１は、入力値φ,qか
ら、 φ²−tφ＋q＝0 (18) を満たすｔを求め、制御部２２へ渡す。 ステップＳ３：剰余部２４は入力m,φ,kに対し x＋yφ=m(modφ^k-1) (19) を満たすｘ，ｙを演劇し、メモリ２３に保存する。ま
た、予め演算されたｘ，ｙを装置100の外から入力して
も良い。その場合は、入力値は整数ｍの代わりにx、yと
なる。この演算を行わない場合は剰余部２４は不要であ
る。

【００４７】メモリ２３は、カウンタ値+ｉと、整数ｘ,
ｙ,ｕ,ｖを保持する。ｉの初期値は０である。 ステップＳ４：制御部２２は入力値ｘ,ｙ,ｔ,ｑに対
し、x=0かつy=0が成り立っているかどうかを判定し、x=
0かつy=0ならば終了する。 ステップＳ５：制御部２２は入力値ｘ,ｙ,ｔ,ｑに対
し、 u←x mod q 及び v←(x-u)/q (20) とする。

【００４８】ステップＳ６：u=0又は2x+ty>2u-qか判定
する。 ステップＳ７：YESならば(x,y)←(tv+y,-v)とする。 ステップＳ８：そうでなければ(x,y)←(tv+y+t,-v-1),u
←u-qとする。これらの値をメモリ２３に書き込む。 ステップＳ９：制御部２２はc_iとしてｕを出力し、iに
１を加え、メモリ２３に書き込み、ステップＳ４へ戻
る。 べき乗テーブル加算装置（くし形）（図９） 図９のべき乗テーブル加算部(くし形)３０Ａを説明す
る。図９の加算部３０Ａは楕円曲線Ｅの点P₀,P₁,…,P
_r-1、整数c ₀ ,c₁,…,c_r-1の入力に対して式(16)を計算
し、ｍＰを出力する。このべき乗テーブル加算部３０Ａ
はメモリ３１Ａと、制御部３２Ａと、楕円加算部３３Ａ
とからなる。

【００４９】この加算部３０Ａの動作をプログラムで実
現する場合は、図１２に示す手順に従って実行する。こ
のべき乗テーブル加算部３０Ａでは、以下のように演算
が実行される。 ステップＳ１：E,c_i,P_iを入力する。 ステップＳ２：制御部３２Ａは入力値E,c_i,P_iから、c_i
の最大値ｄ及びe=[logd]を求め、ｊ←ｅ,Ｓ←Ｏとし、
メモリ３１Ａにｊ,Ｓを保存する。ここでは[logd]はｄ
以下の最大の整数を表すものとする。メモリ３１Ａは
ｉ,ｊ,ｒ,Ｓを保存し、制御部３２Ａへ渡す。

【００５０】ステップＳ３：制御部３２Ａは入力値Ｓを
２倍し、メモリ３１Ａへ保存する。 ステップＳ４：ｊ<０ならばＳを出力して終了する。 ステップＳ５：ｊ>０ならば、制御部３２Ａはi=0,…,r-
1に対して各c_i(ステップＳ５−１,Ｓ５−２,Ｓ５−５)
の第ｊビット目が１かどうかを判定する（ステップＳ５
−３）。１ならば、楕円加算部３３Ａを用いてＳにＰ_i
を加算する（ステップＳ５−４）。

【００５１】ステップＳ６：制御部３２Ａはｊから１を
減算し、ステップＳ３へ戻る。 ・べき乗テーブル加算部（ＢＧＭＷ） 図１０のべき乗テーブル加算部（ＢＧＭＷ）３０Ｂを説
明する。図１０のべき乗テーブル加算部３０Ｂは楕円曲
線Ｅ、楕円曲線上の点P₀,P₁,…,P_r-1、整数c₀,c₁,…c
_r-1の入力に対して式(16)を計算し、ｍＰを出力する。
このべき乗テーブル加算部３０Ｂはメモリ３１Ｂと、制
御部３２Ｂと楕円加算部３３Ｂとからなる。

【００５２】この装置の動作をプログラムで実現する場
合は、図１３の手順に従って以下のように演算が実行さ
れる。 ステップＳ１：E,c_i,P_iを入力する。 ステップＳ２：制御部３２Ｂは入力値E,c_i,P_iからc_iの
最大値ｄを求め、Ｓ←Ｏ、Ｒ←Ｏとし、メモリ３１Ｂに
Ｒ，Ｓを保存する。メモリ３１ＢはＳ,Ｒ,ｄ,ｉを保存
し、制御部３２Ｂへ渡す。

【００５３】ステップＳ３：制御部３２Ｂは入力値ｄが
d=0かどうかを判定し、d=0ならばＳを出力して終了。 ステップＳ４：ｄ≠０ならばステップS4-2でi=0とし、
ステップS4-2でi=rとなったか判定し、i=rとなっていな
ければステップS4-3でc_i=dか判定し、NOであればステッ
プS4-5に飛んでｉをインクリメントしてステップＳ4-2
に戻り、YESであればステップS4-4でＲをR←R+P_iのよう
に更新し、ステップS4-5でｉをインクリメントしてステ
ップＳ4-2に戻る。

【００５４】ステップＳ５：ステップＳ4-2でi=rとなっ
ていれば、ステップＳ５に飛んで楕円加算部３３Ｂによ
りＳにＲを加算し(S←S+R)、ｄから１を減算し(d←d-
1)、Ｓ,Ｒ,ｄをメモリ３１Ｂに保存してステップＳ３に
戻る。 ・べき乗テーブル加算装置（箱）（図１１） 図１１のべき乗テーブル加算部３０Ｃ（箱）を説明す
る。図１１のべき乗テーブル加算部３０Ｃは楕円曲線
Ｅ、楕円曲線上の点P₀,P₁,…,P_r-1、整数c₀,c₁,…,c_{r -1}
の入力に対して式(16)を計算し、ｍＰを出力する。この
加算部３０Ｃはメモリ３１Ｃと、制御部３２Ｃと、楕円
加算部３３Ｃとからなる。この加算部３０Ｃの動作をプ
ログラムで実現する場合は、図１４に示す手順にしたが
って実行する。

【００５５】この加算部３０Ｃでは、以下のように演算
が実行される。 ステップＳ１：E,c_i,P_iを入力する。 ステップＳ２：制御部３２Ｃは入力値Ｅ,ｃ_i,Ｐ_iからｃ
_iの最大値ｄ及びe=[logd]（logｄ以下の最大の整数を表
すものとする）を求め、j←0,w←1,S₀,S₁,…,S _d←Ｏ,
R₀,R₁,…,R_e←Ｏ,T←Ｏとしメモリ３１Ｃにj,S₀,…,S_d,
R₀,…R_e,Tを保存する。

【００５６】ステップＳ３：制御部３２Ｃはj=0,…,r-1
に対して（ステップＳ3-1,Ｓ3-3）Sc_jにP_jを加え（ステ
ップＳ3-2）、メモリ３１Ｃに保存する。 ステップＳ４：制御部３２Ｃはe=[logd]（logｄ以下の
最大の整数）を求め、i←0,w←1,R₀,R₁,…R_e←Ｏ,T←Ｏ
としてメモリ３１Ｃに保存する。 ステップＳ５：制御部３２Ｃはi=0,…,ｅに対して（ス
テップＳ5-1,Ｓ6-1）以下のステップＳ6を行う。

【００５７】ステップＳ６：制御部３２Ｃはj=1,…,ｄ
に対して（ステップＳ6-1）ｊを２ｗで割った余りがｗ
以上かどうかを判定し（ステップＳ6-2）、ｗ以上だっ
た場合はＲ_jにＳ_jを加えて（ステップS6-3）、ｗより小
の場合は加えないでステップS6-1に戻る。ステップS6-1
でｊ>ｄになると、ＴにｗＲ_iを加え、ｉに１を加え、ｗ
を２倍する（ステップS6-5）。

【００５８】ステップＳ７：制御部３２ＣはＴをｍＰを
して出力し終了する。 第２実施例 ・楕円曲線上のｍ倍演算装置（図１５） 図１５の楕円曲線上のｍ倍演算装置に従って説明する。
図１５は楕円曲線Ｅ、定義体の大きさｑ、整数ｋ、GF(q
^k)有理点Ｐ、フロベニウス写像φ、整数ｍの入力に対し
てｍＰを出力する装置の構成の一例を表している。この
装置100はP_i生成部１０と、φ進展開部２０とべき乗テ
ーブル加算部３０とからなる。

【００５９】P_i生成部１０は、図１７に示すように構成
され,φ進展開部２０は、図５と同様に構成され、べき
乗テーブル加算部３０Ｄは図１９に示すように構成され
る。この装置100の動作をプログラムで実現する場合
は、図１６の手順に従って以下のように演算が実行され
る。 ステップＳ１：E,q,k,P,φ,mを入力する。

【００６０】ステップＳ２：φ進展開部２０は、入力k,
φ,mに対して式(15)を満たすc₀,c₁,…,c_r-1,rを求め、
出力する。 ステップＳ３：P_i生成部１０は入力E,q,pに対して Ｐ_i＝iＰ によりP₀,P₁,…,P_q-1を求め、出力する。

【００６１】ステップＳ４：べき乗テーブル加算部３０
は、入力E,P_i,c_iに対して

【００６２】

【数７７】 を計算し、ｍＰを出力する。 ・Ｐ_ｉ生成部（図１７） 図１７のP_i生成部１０を説明する。図１７は楕円曲線
Ｅ、定義体の大きさｑ、GF(q^k)有理点Ｐの入力に対して
P,2P,・・・,(q-1)Pを出力する構成の一例を示している。
このP_i生成部１０はメモリ１１と、制御部１２と、加算
部１３と、楕円加算部１４とからなる。

【００６３】このP_i生成部１０の動作をプログラムで実
現する場合は、図１８に示す手順に従って以下のように
演算が実行される。 ステップＳ１：E,q,Pを入力する。 ステップＳ２：メモリ１１は、カウンタ値ｉと、楕円曲
線上の点Ｓを保持する。それぞれ初期値は０とＯであ
り、制御部１２へ渡す。

【００６４】ステップＳ３：制御部１２は、入力値ｑ,
Ｐ及びｉ,Ｓに対してi=qかどうかを検査し、i=qならば
演算を終了する。 ステップＳ４：制御部１０はi≠qならばＰ及びＳを楕円
加算部１４に入力してＰ+Ｓを求め、Ｐ+ＳをP_iとして出
力し,Ｐ+Ｓとｉ+１を新たなＳ，ｉとしてメモリ１１に
保存し、ステップＳ３に戻る。 ・べき乗テーブル加算部（Window）（図１９） 図１９のべき乗乗テーブル加算部（Window）３０Ｄを説
明する。図１９の加算部３０Ｄは楕円曲線Ｅ、楕円曲線
上の点P₀,P₁,…,P_r-1、整数c₀,c₁,…,c_r-1の入力に対し
て

【００６５】

【数７８】 を計算し、ｍＰを出力する。この加算部３０Ｄはメモリ
３１Ｄと、制御部３２Ｄと、楕円加算部３３Ｄとフロベ
ニウス写像器３４Ｄとからなる。フロベニウス写像器３
４Ｄは、例えば図５又は図６に示したと同様に構成され
る。

【００６６】このべき乗テーブル加算部３０Ｄの動作を
プログラムで実現する場合は、図２０に示す手順に従っ
て以下のように演算が実行される。 ステップＳ１：Ｅ，c_i，Ｐ_iを入力する。 ステップＳ２：制御部３２Ｄはｉ←ｒ−１，Ｓ←Ｏと
し、メモリ３１Ｄに保存する。

【００６７】ステップＳ３：制御部３２Ｄはフロベニウ
ス写像器３４Ｄを用いてφＳを求め、メモリ３１Ｄに保
存する。 ステップＳ４：制御部３２Ｄはｉ<０かどうかを判断す
る。 ステップＳ５：ｉ<０ならばＳを出力して終了。 ステップＳ６：ｉ>０ならば楕円加算部３３Ｄを用いて
ＳにPc_iを加え（ステップS6-1）ｉから１を減じ（ステ
ップＳ6-2）、メモリ３１Ｄに保存する。その後ステッ
プＳ３へ戻る。 第３実施例 ・楕円曲線上のｍ+ｎ倍演算装置（図２１） 署名や暗号方式によっては入力値Ｐ,Ｑ,ｍ,ｎに対して
ｍＰ+ｎＱを出力する演算（これをｍ+ｎ倍演算と呼ぶ）
を行う必要がある場合もある。このような場合もこの発
明の装置を用いることができる。図1による装置を「ｍ+
ｎ倍演算」を行うように変更した場合の構成例を図２１
に示す。

【００６８】図２１は楕円曲線Ｅ、定義体の大きさｑ、
整数ｋ、GF(q^k)有理点Ｐ及びＱ、フロベニウス写像φ、
整数ｍ,ｎの入力に対してｍＰ+ｎＱを出力する装置110
の構成の一例を表している。この装置110はP_i生成部１
０Ａと、Ｑ_i生成部１０Ｂと、φ進展開部２１と、φ進
展開部２２と、べき乗テーブル加算部３０と、比較部５
０とからなる。

【００６９】P_i生成部１０Ａ及びＱ_i生成部１０Ｂは、
図３に示したと同様に構成され、φ進展開部２１及び２
２は、図５に示したと同様に構成され、べき乗テーブル
加算部３０は図７，８，９のいずれかによって構成され
る。この装置の動作をプログラムで実現する場合は、図
２２に示す手順に従って以下のように演算が実行され
る。

【００７０】ステップＳ１：E,q,k,φ,m,P,n,Qを入力す
る。 ステップＳ２：φ進展開部２１は、入力ｋ,φ,ｍに対し
て

【００７１】

【数７９】 を満たすc₀,c₁,…,c_rm-1（ここでのみrmはr_mを表してい
る）, r_m(0<i<r_m)を求め、出力する。

【００７２】ステップＳ３：φ進展開部２２は、i入力
k,φ,nに対して

【００７３】

【数８０】 を満たすd₀,d₁,…,d_rn-1（ここでのみrnはr_nを表してい
る）,r_n(0<ｉ<r_n)を求め、出力する。

【００７４】ステップＳ４：比較部５０は、入力r_m,r_n
に対して大きい方をｒとし、出力する。 ステップＳ５：P_i生成部１０Ａは、入力q,P,k,rに対し
て Ｐ_i＝φⁱＰ を計算し、P₀,P₁,…,P_r-1を出力する。

【００７５】ステップＳ６：Ｑ_i生成部１０Ｂは、入力
q,Q,k,rに対して Ｑ_i＝φⁱＱ を計算し、Q₀,Q₁,…,Q_r-1を出力する。ステップＳ７：
べき乗テーブル加算部３０は、入力E,r,P_i,Q_i,c_i,d_iに
対して R_i=P_i for 0<i<r =Q_i-r for r<i<2r e_i=c_i for 0<i<r =d_i-r for r<i<2r とし、

【００７６】

【数８１】 を計算してｍＰ+ｎＱを出力する。図１５による装置を
「ｍ+ｎ倍演算」を行うようにすることもできる。

【００７７】また、図１，１５，２１の装置の一般化に
よって Σ_i m_iP_i (26) を演算する装置も同様に構成できる。図１、図１５にお
いてP_i生成部１０はべき乗テーブル加算部３０（３０
Ｄ）に含めて１つの演算装置としてもよい。また図１５
のP_i生成部１０としてはP_i=iPを予め演算したものを外
部から入力するようにしたものでもよい。 第４実施例 上述の第１，第２及び第３実施例では前述の式(6)を事
前演算された値とみなし、P_iを用いて式(7)と同様の方
法でｍ倍演算を行う。しかし、この方法も、従来のGF(2
^k)の場合に比べて必ずしも効率が高くない場合がある。
そこで、ｒ及びc_iを調整することによりべき乗テーブル
加算部３０における演算量を削減するようにした実施例
を次に示す。

【００７８】演算量削減方法１ 事前演算によるべき乗テーブル加算法はいくつかある
が、入力されるc_iの数が少ないほうが演算速度が早い。
ところで，楕円曲線上の有利点ＰがGF(q^k)有理点である
場合、 (φ^k-1)P＝0 という関係が成り立つ。これを利用して、c_iの項数を減
らすことができる。

【００７９】例えば、k=3, ｍ＝ c₀+c₁φ+c₂φ²+c₃φ³ を用いてＰのｍ倍を求める際に、c₀=3,c₁=5,c₂=1,c₃=4
となった場合を考える。φ³=1である事から、 c'₀=c₀+c₃=7, c'₁=c₁=5, c'₂=c₂=1, とすると m=c'₀+c'₁φ+c'₂φ² が成り立つ。この方法によって、c_iをc'_iに変換し、項
の数をｋに減らすことができる。

【００８０】演算量削減法２ 事前演算によるべき乗テーブル加算法には、いくつか方
法があるが、それぞれ入力されるc_iの値によって、演算
速度が異なる。例えば、図９に示した前述の「櫛形法」
の場合は、c_iのを２進数で表現した場合の各桁の値（０
又は１）の“１”の数（これをハミング重みという）が
多いほど演算時間がかかる。

【００８１】ところで、楕円曲線上の位数がq+2√2より
大きい素数の有理点ＰがGF(q^k)有理点であり、かつGF
(q)有理点で無い場合、(φ^k-1)=0かつ(φ-1)≠0である
から (φ^k-1+φ^k-2+…+φ+1)P=0 という関係が成り立つ。例えば、k=3の場合、 m=c₀+c₁φ+c₂φ² を用いてＰのｍ倍を求める際に、c₀=7,c₁=5,c₂=1となっ
た場合を考える。ここではＰがGF(q^k)有理点であって
(φ²+φ+1)P=0が成り立っているとする。これらc_iは2進
数表現で c₀=7=111₂ c₁=5=101₂ c₂=1=001₂ となり、１の数の総計（ハミング重み）が６である。と
ころで、 φ²+φ¹+1=0 であることから、各c_iに同じ数を足したり減らしても m=c_o+c₁φ+c₂φ² の等式は成り立つ。そこで、c'_i=c_i-1とすれば、 c'₀=6=110₂ c'₁=4=100₂ c'₂=0=000₂ となり、ハミング重みを３とすることが出来る。更に
c”_i=c'_i-4とすることにより、 c”₀=2=010₂ c”₁=0=000₂ c”₂=-4=100₂( は負の記号を表す) となり、ハミング重みを２とすることが出来る。

【００８２】この演算量削減方法によって、第１，第２
及び第３実施例と比べ、櫛形法の場合は楕円加算の平均
回数を約2/3にすることが出来る（約1.5倍高速に演算で
きる）。この第４実施例はべき乗テーブル加算法による
演算を行う前にφについて成り立つ等式を用い、べき乗
テーブル加算法に合わせて、φ進展開の列c_iを調整する
ことによって演算の高速化を行う。 ・楕円曲線上のｍ倍演算装置（図２３） 図２３は第４実施例による楕円曲線上ｍ倍演算装置の一
構成例である。この装置110は楕円曲線Ｅ，定義体の大
きさｑ，整数ｋ，楕円曲線上のGF(q^k)有理点Ｐ、整数ｍ
の入力に対してｍＰを出力する。この装置110はP_i生成
部１０と、φ進展開部２０と、べき乗テーブル加算部３
０と、φ進展開調整部４０とからなる。

【００８３】P_i生成部１０及びφ進展開部２０の構成は
それぞれ第１実施例における図３及び図７に示したもの
と同じであり、べき乗テーブル加算部３０も第１実施例
における図９又は１０のいずれかと同様に構成される。
図１の実施例と異なる点は、φ進展開調整部４０が新た
に設けられ、φ進展開部２０で求められたｒ、ｃ_iに対
し、べき乗テーブル加算部３０での演算量が削減される
よう調整を行ってｒ’，c'_i，を求め、これをべき乗テ
ーブル加算部３０に与えていることである。P_i生成部１
０においてもｒの代わりにｒ’を使ってP_iが計算され
る。それ以外は図１の実施例と同様である。

【００８４】このｍ倍演算装置の動作をプログラムで実
現する場合は、図２４の手順に従って以下のように演算
が実行される。 ステップＳ１：E,q,P,k,φ,mを入力する。 ステップＳ２：φ進展開部２０は、入力k,φ,mに対して

【００８５】

【数８２】 を満たすc₀,c₁,…,c_r-1,rを求めて出力する。 ステップＳ３：φ進展開調整部４０は、φ進展開部２０
からのｒ，ｃ_iに対して

【００８６】

【数８３】 を満たすc'₀,c'₁,…,c'_r'-1,r’を求めて出力する。 ステップＳ４：Ｐ_i生成部１０は、入力q,P,k,r'に対し
て P_i=φⁱＰ からP₀,P₁,…,P_r'-1を求め、出力する。

【００８７】ステップＳ５：べき乗テーブル加算部３０
は、入力E,P_i,c’_i,r’に対して

【００８８】

【数８４】 によりｍＰを求め、出力する。 ・φ進展開調整部（図２５） 図２５のφ進展開調整部４０を説明する。図２５のφ進
展開調整部４０は加算部４１と、α生成部４２と、減算
部４３とからなり、整数c₀,c₁,…,c_r-1,r,kの入力に対
して

【００８９】

【数８５】 を満たす整数c'₀,c'₁,…,c'_r'-1,r’を求め出力する。
この調整部４０の動作をプログラムで実現する場合は、
図２６又は図２７の手順に従って以下のように演算が実
行される。

【００９０】ステップＳ１：c_i,r,kを入力する。 ステップＳ２：加算部４１はc”_i=c_i+c_i+k+c_i+2k+…,0<
i<k-1なるc”_iを求める。 ステップＳ３：α生成部４２は入力されたc"_iとkから、
適当なαを求める。使用すべき乗テーブル加算部３０が
図１０に示したＢＧＭＷ形の場合は、c"_iの平均値に最
も近い整数をαとして出力する。（２７図）。

【００９１】使用するべき乗テーブル加算部３０が図９
に示した櫛形の場合は、c"_iを２進表現したときのｊ桁
の値をc"_i,j（０又は１）とし、

【００９２】

【数８６】 によりs_iを求め、それを使って、

【００９３】

【数８７】 を求めて出力する。ただしｂはｃ_iのうちの最大のもの
である ステップＳ４：減算部４３はc'_i＝c"_i-α,0＜i＜k-1な
るc'_iを求め、c"_iとkを出力する。 第５実施例 ・ 楕円曲線上のm+n倍演算装置（図２８） 図２３の第４実施例を図２１の実施例と同様なm+n倍演
算に適用した実施例を図２８に示す。図２８の演算装置
は楕円曲線Ｅ、定義体の大きさｑ、整数k、楕円曲線GF
(q^k)有理点Ｐ及びＱ,フロベニウス写像φ、整数ｍ、ｎ
の入力に対してmP+nQを出力する。

【００９４】この装置110はP_i生成部１０Ａと、Q_i生成
部１０Ｂと、φ進展開部２１、２２と、べき乗テーブル
加算部３０と、比較部５０と、φ進展開調整部４０Ａ、
４０Ｂとからなる。Ｐ_i生成部１０Ａ及びQ_i生成部１０
Ｂは、図３に示した同様に構成され、φ進展開部２１及
び２２は、図７に示したと同様に構成され、べき乗テー
ブル加算部３０は図９、１０のいずれかによって構成さ
れる。

【００９５】この装置の動作をプログラムで実現する場
合は、図２９に示す手順に従って以下のように演算が実
行される。 ステップＳ１：E, q, k, φ, m, P, n, Qを入力する。 ステップＳ２：φ進展開部２１は入力k,φ, mに対して

【００９６】

【数８８】 を満たすc₀, c₁, …, c_rm-1（ここでのみrmはr_mを表
す）, r_nを求め、出力する。 ステップＳ３：φ進展開部２２は入力ｋ,φ, mに対して

【００９７】

【数８９】 を満たすd₀, d₁, …, d_rn-1（ここでのみnrはn_rを表
す）, r_n,を求め、出力する。 ステップＳ４：φ進展開調整部４０Ａは入力r_n, c_i に
対して

【００９８】

【数９０】 を満たすc'_i, r'_mを求め出力する。 ステップＳ５：φ新展開調整部４０Ｂは入力r_n, d_iに対
して

【００９９】

【数９１】 を満たすd'_i, r'_nを求め出力する。 ステップＳ６：比較部５０は、入力r'_m, r'_nに対して大
きいほうをｒとし、出力する。

【０１００】ステップＳ７：P_i生成部１０Ａは、入力q,
P, k, rに対して P_i=φⁱP (37a) によりP₀, P_i, …, P_r-1を求め、出力する。 ステップＳ８：Q_i生成部１０Ｂは、入力q, Q, k, rに対
して Q_i=φⁱQ (37b) によりQ₀, Q_i, …, Q_r-1を求め、出力する。

【０１０１】ステップＳ９：べき乗テーブル加算部３０
は、入力E, r, P_i, Q_i, c'_i, d'_iに対して R_i＝ P_i for 0＜i＜ r ＝ Q_i-r for ｒ＜ｉ＜ 2r e_i＝c'_i for 0＜ｉ＜ｒ ＝d'_i-1 for ｒ＜ｉ＜2r (38) とし、

【０１０２】

【数９２】 よりmP+nQを求めて出力する。上述の図２３及び２８の
実施例を一般化して m₁P+m₂Q+m₃R＋… を演算する装置も同様に構成できる。

【０１０３】この第4及び第5実施例では、事前演算なし
でべき乗テーブルを構成することができるため、従来の
べき乗テーブル加算法と比べて適用範囲が広い（例え
ば、楕円DSA署名の署名検証などにも利用できる）。ま
た古くから用いられて、定義法がGF(2)の場合にも、こ
の実施例を用いることができ、その場合も従来装置の約
2倍高速にｍ倍演算をすることができる、 第６実施例 従来の代表的なφ進展開法は、例えばφ進展開によって
求められたc_i, （0＜i＜k）を用いて

【０１０４】

【数９３】 （但しc_j,i∈｛0,1｝,ｂは b＞b log₂c_iの整数）を満た
すc_j,iを求めてから、

【０１０５】

【数９４】 を求め、これを用いて

【０１０６】

【数９５】 を演算してmPを得る。その際 S=2(2(…(S_b-1)+S_b-2)+…S₂)+S₁)+S₀ と「楕円２倍算」をb-1回用いる事によりmPを得てい
た。「楕円加算」及び「楕円２倍算」はφ倍演算よりも
多大な計算時間を要する。従来「楕円加算」を減らす工
夫が行われて来たが「楕円２倍算」を減らす工夫は行わ
れておらず、この部分の演算時間は無視できないという
問題点があった。

【０１０７】ところでHornerの方法と呼ばれる良く知ら
れた、多項式の計算方法があり、それは次のようなもの
である。（但しLは有限体GF(q^k)） 入力：Lの元ｘ及びu_j,（0＜j＜ｂ）

【０１０８】

【数９６】 一時記憶領域：Lの元ｆ、整数ｊ ステップ１：ｆ←u_b-1, j←b-2 ステップ２：もしｊ＜0ならステップ６へ ステップ３：ｆ←f×ｘ+ u ステップ４：ｊ←j-1 ステップ5：ステップ２へ ステップ６：ｆをf(x)の値として出力 ｊに関する計算を無視すれば、ｂ−１次多項式f(x)の値
を計算するためにHornerの方法ではb-1回のx倍算及びb-
1回の加算を必要とする。ところでaを(b+1)/2以下の最
大の整数として、もしu_j, (a＜j＜b)の代わりにu_jx^a,
(a＜j＜2a)(但しｂが奇数の時U_2a=0とする）が予め分か
っているとするとHornerの方法は次のように改良出来る
事が良く知られている。 入力：Lの元ｘ及びu_j, (0＜j＜b)及びu_jx^a, (a＜j＜2a)

【０１０９】

【数９７】 一時記憶領域：Lの元ｆ、整数ｊ ステップ１：ｆ←u_a-1+ u_2a-1x^a, j←a-2 ステップ２：もしｊ＜0ならステップ６へ ステップ３：ｆ←f×ｘ+u_j-u_j+ax^a ステップ４：ｊ←j-1 ステップ5：ステップ２へ ステップ６：ｆをf(x)の値として出力 ｊに関する計算と自明な０の加算を無視すれば、この方
法ではb-1回の加算とa-1回のｘ倍算が必要である。加算
の部分は改善されていないが、ｘ倍算の回数は約半分に
改善されている。この例の場合多項式の係数を項の次数
がa以上のものとa-1以下のものと２通りに分けて、事前
演算（係数がa以下のものをx_a倍）されたデータを用意
する事によってx倍算の回数を約半分にする事ができ
た。同様の方法により、項の次数で係数をｓ通りに分け
て、事前演算されたデータを用意する事によってx倍算
の回数を約1/sにすることができる。

【０１１０】従来のφ進展開法で行われて来た式(42)の
計算方法は上記Hornerの方法で、Lを整数として、u_jはu
_jP=S_jなるu_jであるとして、x=2とした場合に他ならな
い。S _j(0＜ｊ＜ｂ）の計算は通常Hornerの方法を実行中
に順次行われるこの様子を簡単な例で図３０A、３０B、
３０Cに示す。これらの図は従来のφ進展開法で利用さ
れて来たべき乗テーブル加算装置内で行われている処理
を模式的に記述したものである。簡単のためにφ進展開
係数は第１９桁〜第０桁からなる２０桁の２進数又は符
号付き2進数で表現されているとする。この従来型のべ
き乗テーブル加算装置はP, φP, φ²P, c₀, c₁, c₂を受
け取って

【数９８】 の値を出力する。図３０Ａ,３０Ｂ,３０Ｃはそのための
処理の流れを表現したものである。図中のSは計算のた
めの楕円曲線上の点の座標を格納する一時記憶領域であ
り計算の最終段階に於いては装置の出力である式(43)の
値を保持する。

【０１１１】図中のc_i,jとは、入力されたｃ_iを第１９
桁〜第0桁からなる20桁の2進数又は符号付２進数で表現
した時の第ｊ桁目の数値である。従ってc_i,jは0又は±
１のいずれかの数値でありc_i,j倍の計算は簡単に実行で
きる。通常この数値が０以外である場合のみ「楕円計
算」が行われる。図３０Ａでは、まずc₀, c₁, c₂の最上
位桁である第19桁に注目しS₁₉を計算している。S₁₉の結
果は必ずしも一時記憶領域を必要とはせず、式(43)を計
算する為の一時記憶領域Sに順次足し込んでゆけばよ
い。

【０１１２】c₀, c₁, c₂の第19桁に注目した処理が終わ
ると、図３０Ｂにしめすc₀, c₁, c₂の第18桁に注目した
処理が始まる。このときSを２倍してS₁₈の各項をSに足
し込む処理が行われる。以下第1７桁から第0桁まで同様
の処理が行われ、図３０Ｃに示す第0桁に注目した処理
が終了した時点でSには式(43)の値が格納される。従来
のべき乗テーブル加算装置ではこの値を出力していた。

【０１１３】もしS_j(0＜j＜ｂ)の代わりに事前演算され
たデータを用意することが出来ればHornerの方法の改良
と同様にして「楕円2倍算」の回数を削減することが出来
る。例えばS_j(0＜ｊ＜ｂ)を２通りに分ける場合、aを(b
+1)/2以下の最大の整数として、 T_j=S_j+2^aS_a+j,(0＜j＜a） (44) として、S_jの代わりにT_jが計算できれば

【０１１４】

【数９９】 の計算をHornerの方法で行えば良い。T_jは、もし楕円曲
線上の点Pの他に2^aPが事前に用意されていれば、従来の
φ進展開法で行われてきたS_j, (0＜j＜ｂ)をPから構成
しながらSを計算する方法を少し改良するだけで構成す
ることが出来る。図３１〜３３に事前演算付きべき乗テ
ーブル加算装置がT_jを構成しながら式(43)を計算する処
理を模式的に示す。簡単の為にφ進展開係数は第19桁〜
第0桁からなる20桁の2進数又は符号付２進数で表現され
ているとする。この事前演算つきべき乗テーブル加算部
はP, φP, φ²P, 2¹⁰P, φ2¹⁰P,φ²2¹⁰P, c₀,…, c₂を
受け取って式(43)の値を出力する。図３２、３３はその
ための処理の流れを表現したものである。図中のSは計
算のための楕円曲線上の点の座標を格納する一時記憶領
域であり計算の最終段階において装置の出力である式(4
3)の値を保持する。

【０１１５】図３２〜３３中のc_i,jとは、入力されたc₁
を第19桁〜第0桁からなる20桁の2進数又は符号付き2進
数で表現した時の第j桁目の数値である。従ってc_i,jは0
又は±１のいずれかの数値でありc_i,j倍の計算は簡単に
実行できる。この数値が０以外である場合のみ「楕円加
算」を行う。図３２，３３中では煩雑さを避けるために
Q₀=P, Q₁=2¹⁰Pとしている。

【０１１６】まず、図３１に示しているのはc₀, c₁, c₂
の第19桁〜第0桁の上位10桁と第9桁〜第0桁の下位10桁
とに分割している様子を表している。以下、図３２、３
３では、分割された上位の桁においてはc₀, c₁, c₂の第
19桁〜第10桁に相当する上位桁を第9桁〜第0桁として扱
うことにする。図３２では、まずc₀, c₁, c₂及び分割さ
れた上位桁の第9桁に注目しT₉を計算している。T₉の結
果は必ずしも一時記憶領域を必要とはせず、式(43)を計
算するための一時記憶領域Sに順次足し込んでゆけばよ
い。

【０１１７】第8桁〜第0桁に注目した処理は図３３で模
式的に示される。第9桁に注目した処理が終わると、第8
桁に注目した処理が始まる。このときSを2倍してT₉の各
項をSに足し込む処理が行われる。以下第7桁〜第0桁ま
で同様の処理が行われ、第0桁に注目した処理が終了し
た時点でSには式(43)の値が格納される。事前演算付き
べき乗テーブル加算装置ではこの値を出力する。

【０１１８】フロベニウス写像は「楕円加算」や「楕円
2倍算」に比べて非常に高速に実行できるのでP, φP,
φ²P, 2¹⁰P, φ2¹⁰P, φ²2¹⁰P,はP,と2¹⁰Pが事前に用意
されていれば非常に高速に計算できる。従って、この例
の場合Pの他に2¹⁰P, を用意するだけで「楕円2倍算」の
回数を半分に出来る。

【０１１９】この発明による第6実施例ではｍのφ進展
開後にmPを構成する過程で、事前に演算されたQ_t=d^taP,
(1＜t＜ｓ）を用いることによって演算の高速化を行
う。図３４は第6実施例による楕円曲線上のm倍演算装置
を示し、R_t,i生成部１０と、φ進展開部２０と、事前演
算付きべき乗テーブル加算部３０とからなる。この演算
装置は楕円曲線E、定義体の大きさｑ、整数ｋ、楕円曲
線上のGF(q^k)有理点Pより事前に計算され得る楕円曲線
上のGF(q^k)有理点列Q_t=2^taP (1＜t＜ｓ）、整数ｍの入
力に対してmPを出力する。

【０１２０】R_t,i生成部１０は、図３６に示すように構
成され、φ進展開部２０は、図３８に示すように構成さ
れ、事前演算付きべき乗テーブル加算部３０は図４０に
示すように構成される。R_t,i演算部１０は、φ進展開部
２０から得られるｒが入力されているが、ｒはｋ以下に
出来ることが予め分かっているので、R_t,i演算部１０の
入力ｒの代わりにｋを入力し、R_t,i演算部１０とφ進展
開部２０を並列に動作させる事も出来る。この装置で
は、図３４の装置の動作をプログラムで実現する場合
は、図３５のフロー図に従って以下のように演算が実行
される。

【０１２１】ステップＳ１：φ進展開部１０は、入力
ｋ、φ、ｍに対して

【０１２２】

【数１００】 を満たすc₀, c₁, …,c_r-1, rを求め、出力する。 ステップＳ２：R_t,i生成部１０は、入力q,k,r,P,2^aP,2
^2aP,…,2^(s-1)aPに対して R_t.i＝φⁱ2^taP (47) によりR_t,i (0<i<r, 0<t<s)を求め、出力する。

【０１２３】ステップＳ３：事前演算付きべき乗テーブ
ル加算部３０は、入力Ｅ，R_t,i, c_i, ｒに対して次式

【０１２４】

【数１０１】 を満たすc_j,t,iを求め、

【０１２５】

【数１０２】 によりmPを求めて出力する。 R_t,i生成部（図３６） 図３６に示すR_t,i生成部１０はメモリ１１と、制御部１
２と、加算部１３と、フロベニウス写像器１４とからな
り、定義体の大きさｑ、楕円曲線上のGF(q^k)有理点Ｐよ
り事前に計算され得る楕円曲線上のGF(q^k)有理点列Q_t=2
^taP(0<t<s),整数ｒの入力に対して R_t,i ＝ φⁱ2^taP ただし、0<i<r, 0<t<s を計算し、出力する。

【０１２６】フロベニウス写像器１４は第１実施例にお
ける図５又は６と同様に構成され、同様の処理を行うの
で説明を省略する。フロベニウス写像器１４を複数個用
いて、点列Q_j上の複数の点から並列にφQ_jを求めること
もできる。図３６のR_t,i生成部１０の動作をプログラム
で実現する場合は、図３７のフロー図に従って以下のよ
うに演算が実行される。

【０１２７】ステップＳ１：制御部１２は、入力値q,
Q_t,rを受け取る。 ステップＳ２：制御部１２はｔ←0 と設定する。 ステップＳ３：制御部１２は、Ｕ←Q_tと設定する。 ステップＳ４：制御部１２はｉ←0 と設定する。 ステップＳ５：制御部１２は、R_t,i←Ｕと設定し、R_t,i
を出力する。

【０１２８】ステップＳ６：制御部１２はｉ←i+1と設
定する。 ステップＳ７：制御部１２はi=r となったか判定し、な
っていればステップＳ９に移る。 ステップＳ８：制御部１２はＵをフロベニウス写像器６
Ｅに入力し、φU を受け取り、Ｕ←φU と設定し、ステ
ップＳ５に移る。

【０１２９】ステップＳ９：制御部１２はｔ←t+1と設
定する。 ステップＳ１０：制御部１２はt=s となったか判定し、
なっていなければステップＳ３に移る。 ・φ進展開部（３８） 図３８はφ進展開部２０を示し、トレース演算部２１
と、制御部２２と、メモリ２３と、剰余部２４と、φ進
展開補正部２５とからなり、定義体の大きさｑ、拡大次
数ｋ、整数ｍ、フロベニウス写像φの入力に対して式(4
6)を満たすc₀, c₁, …, c_r-1,ｒ(0<i<r)を求め、出力す
る。

【０１３０】φ進展開補正部２５は後述の図４２のよう
に構成され、この構成は第４実施例における図２５の構
成と同様である。図３８のφ進展開部２０の動作をプロ
グラムで実現する場合は、図３９のフロー図に従って以
下のように演算が実行される。 ステップＳ１：m, q, φ, k がφ進展開部２０に入力さ
れる。

【０１３１】ステップＳ２：トレース演算部２１は、入
力値φ、ｑから、 φ²−tφ＋q＝0 を満たすトレースｔを求め、制御部２２に渡す。なお、
トレースはφ、ｑによって固定の値なので、予め求めて
おき、外部から与えることにしてもよい。その場合、ト
レース演算器７Ｂは不要である。

【０１３２】ステップＳ３：剰余部２４は入力m, q, φ
に対しx+yφ≡m(modφ^k-1)を満たすx, yを演算し、メモ
リ２３に保存する。また、演算が行われた状態で装置の
外から入力してもよい。その場合は、入力値は整数ｍの
代わりにx, yとなる。この演算を行わない場合は剰余部
２４は不要である。メモリ２２は、カウンタ値ｉと、整
数x, y, u, vを保持する。ｉの初期値は０である。

【０１３３】ステップＳ４：制御部２２は入力値x, y,
t, qに対し、x=0かつy=0が成り立っているかどうかを判
定し、x=0かつy=0ならカウンタ値ｉをr'としてφ進展開
補正部２５に入力して、ステップＳ１０に移る。 ステップＳ５：制御部２２は入力値x, y, t, qに対し、
u←ｘmodｑ,v←(x-u)/qと設定する。

【０１３４】ステップＳ６：u=0又は2x+ty>2u-qか判定
する。 ステップＳ７：YES ならば(x,y)←(tv+y, -v)と設定
し、メモリ２３に書き込む。 ステップＳ８：NOならば(x,y)←(tv+y+t, -v-1), u←u-
qと設定し、これらの値をメモリ２３に書き込む。

【０１３５】ステップＳ９：制御部２２は、c'_iとして
ｕをφ進展開補正部２５に入力し、ｉに１を加算してメ
モリ２３に書き込み、ステップＳ４に戻る。 ステップＳ１０：φ進展開補正部２５は、ステップＳ４
でx=0かつy=0が満足すると、入力値r', k, c'_iから次式

【０１３６】

【数１０３】 を満たし、かつr<kなるr, c_iを計算し、出力する。 ・事前演算付きべき乗テーブル加算部（図４０） 図４０に示すように事前演算付きべき乗テーブル加算部
３０は、メモリ３１と、制御部３２と、楕円加算部３３
と、楕円２倍演算部３５とからなり、楕円曲線Ｅ、楕円
曲線の有理点列R_t,i＝φⁱ2^taP (0<i<r, 0<t<s), 整数c_i
(0<i<r)の入力に対して次式

【０１３７】

【数１０４】 を演算してmPを求め、出力する。このべき乗テーブル加
算部３０の動作をプログラムで実現する場合は、図４１
のフロー図に従って以下のように演算が実行される。

【０１３８】ステップＳ１：E, c_i, R_t,iを入力する。 ステップＳ２：制御部３２はj←a-1, Ｓ←Ｏと設定し、
メモリにj, S を保存し、更に次式

【０１３９】

【数１０５】 を満たすc_t,iを生成する。メモリ３１はi, t, j, S を
制御部３２に渡す。 ステップＳ３：制御部３２はj<0 ならＳを出力して終了
する。 ステップＳ４：j<0 でなければ、制御部３２はＳを楕円
２倍算部３４に渡す。楕円２倍算部３４は入力Ｓに対し
て2Sを制御部３２に渡す。制御部３２は2SをＳとしてメ
モリ３１に保存する。

【０１４０】ステップＳ５：制御部３２はi←0と設定す
る。 ステップＳ６：制御部３２はi=r ならステップＳ１３に
移る。 ステップＳ７：制御部３２はｔ←0 と設定する。 ステップＳ８：制御部３２はt=s ならステップＳ１２に
移る。 ステップＳ９：制御部３２はc_t,iのｊ桁目c_j,t,iがc
_j,t,i=0ならばステップ１１に移る。

【０１４１】ステップＳ１０：制御部３２はＳ及びc
_j,t,iR_t,iを楕円加算部３３に渡す。楕円加算部３３は
入力のＳ及びc_j,t,iR_t,iに対してS+c_j,t,iR_t,iを制御部
３２に渡す。制御部３２はS+c_j,t,iR_t,iをＳとしてメモ
リ３１に保存する。 ステップＳ１１：制御部３２はｔ←t+1と設定してステ
ップＳ８に移る。 ステップＳ１２：制御部３２はｉ←i+1と設定してステ
ップＳ６に移る。

【０１４２】ステップＳ１３：制御部３２はｊ←j+1と
設定してステップＳ３に移る。 ・φ進展開補正部（図４２） 図４２に示すように、図３８におけるφ進展開補正部２
５は、図２５と同様に加算部２５Ａと、α生成部２５Ｂ
と、減算部２５Ｃとからなり、整数c'₀, c'₁,…,
c'_r'-1, r', kの入力に対し、次式

【０１４３】

【数１０６】 を満たす整数c₀, c₁, ..., c_r-1, r を求め、出力す
る。このφ進展開補正部２５の動作をプログラムで実現
する場合は、図４３のフロー図に従って以下のように演
算が実行される。

【０１４４】ステップＳ１：c'_i, r', kが補正部２５に
入力されると、加算部２５Ａはc"_i=c'_i+c'_i+k+c'
_i+2k+..., 0<i<k なるc"_iを求める。 ステップＳ２：α生成部２５Ｂは入力されたc"_iとｋか
ら、c_i=c"-αを求め、c _iを２進表現、あるいは符号付き
２進表現したときの０以外の桁の数をw_iとすると、次式
の値

【０１４５】

【数１０７】 が小さくなる、あるいは統計的に小さくなるような適当
なαを求める。 ステップＳ３：減算部２５Ｃはc_i=c"_i-α (0<i<k)を求
め、出力する。またｒとしてｋを出力する。

【０１４６】このように、第６実施例は、従来のGF(q)
上の楕円曲線に対するフロベニウス写像を用いた演算法
を改良し、より効率よく楕円ｍ倍演算を行える。従っ
て、楕円ＤＳＡ署名の署名検証などを高速に行うことが
できる。 第７実施例 前述の各実施例において、P_i生成部１０ではP_i=φⁱP(0<
i<k)を演算する。この演算はＰをｉ回φで写像する演算
であり、楕円曲線上の点P₀を(x₀, y₀)とすると、ｉ回の
写像による点(x_i, y_i)は(x₀ ^iq, y₀ ^iq)となる。即ち、各
回の写像毎にx^q, y^q の演算を例えば図５で示したフロ
ベニウス写像器１４のべき乗部１４Ａ、１４Ｂで実行す
る方法及び構成を示す。

【０１４７】通常、a(a∈GF(q^k))を有限体GF(q)上の元
の組(a₀,a₁,…,a_k-1)で表現するとき、多くの場合、次
の２つの方式のどちらかが選択される。α∈GF^*(q^k)=GF
(q^k)-｛0｝を生成元として多項式基底｛1，α，α²,…,
α^k-q｝を用いて表現する場合と，正規基底

【０１４８】

【数１０８】 を用いた場合である。多項式基底で表現する場合には、
有限体GF(q)の要素a_i(0≦i＜k)を用いて、 a=｛a₀,a₁,a₂,…a_k-1｝=a₀+a₁α+a₂α²+…+a_k-1α^k-1 になる。正規基底で表現する場合には，有限体GF(q)の
要素a_i(0≦i＜k)を用いて、

【０１４９】

【数１０９】 になる。なお、多項式基底と正規基底の生成元αの必要
十分条件は異なるので，必ずしも同じ値とは限らない。
（詳細は，平松豊一著、応用代数学、裳華房の3.3と3.6
節を参照されたい。） 選択された基底が多項式基底であるか正規基底であるか
によって，演算に異なる特徴が現れる。通常，多項式基
底はそれで表される要素同士の掛け算を正規基底より高
速に実行することができるが、aのべき乗a^qを求める場
合は，逆に正規基底より遅くなる性質がある。

【０１５０】楕円曲線上の有利点どうしの加法を実行す
る場合には、Stinson著櫻井監訳、暗号理論の基礎、共
立出版のp.198によれば、 x₃=λ²-x₁-x₂ y₃=λ(x₁-x₃)-y₁ ただし、λはx₁=x₂かつy₁=y₂ならばλ=(3x₁ ²+c)/(2y₁)
であり、それ以外の場合は、λ=(y₂-y₁)/(x₂-x₁)で求め
られる。また、このｃは楕円曲線の選定パラメータによ
って決まる量である。

【０１５１】以上のような演算が繰り返されるので、加
算に付いては、多項式基底による表現を用いても正規基
底による表現を用いても差異はないが、乗算を高速に実
行できるという利点から考えると多項式基底が好まし
い。しかし、aからa^qの要素を関係づける写像（フロベ
ニウス・マップ）を実行する場合には｛a₀,a₁,a₂,…,a
_k-1｝から｛a_k-1,a₀,a₁,…,a_k-2｝に置換するだけで済
む点では、逆に、正規基底表現が好ましいと考えられ
る。

【０１５２】このように、多項式基底は、それで表され
る要素同士の掛け算を正規基底より高速に実行すること
ができるという利点を持つが、aの写像であるべき乗ｑ
を求める速度が遅いという欠点がある。この第7実施例
では、前述の各実施例のP_i生成部１０のフロベニウス写
像器１４で実行される写像φＰでのべき乗演算(x^q,y^q)
に適用され、そのべき乗演算量を削減可能な構成を示
す。

【０１５３】以下図面を用いてこの第７実施例について
説明する。第７実施例の第１の方法は多項式基底を用い
た演算方法である。この実施例においては、αのGF(q)
上の最小多項式がx^k-β(β∈GF(q))の形式で表されるよ
うに、有限体GF(q)の位数ｑ、次数ｋ及びβを設定し、
かつ、位数ｑと次数ｋとが互いに素であるように定め、
αを生成元として、GF(q)のｋ次拡大体GF(q^k)を構成す
る。この拡大体GF(q^k)の元a=a₀+a₁α+a₂α²+…+a_k-1α
^k-1（ただしa_i∈GF(q)、0≦i＜k)の多項式で表し、ａの
ｑべき乗a^qを求める演算元a^q=a₀+a₁α^q+a₂α^{2 q}+…+a_k-1
α^(k-1)qを実行する代わりに、これと等価な処理とし
て、次の演算を行う。

【０１５４】式α^k-β=0の関係によって、α^q，α^2q,α
^3q,…,α^(k-1)qはそれぞれ次のように表される。 α^q=α^{q mod k}・β^[q/k] α^2q=α^{2q mod k}・β^[2q/k] α^3q=α^{3q mod k}・β^[3q/k] ・・・ α^(k-1)q=α^(k-1)qmodk・β^[(k-1)q/k] (54) ここで[iq/k](0<i<k)はiq/kの小数点以下を切り捨てた
整数を表す。ｑとｋはお互いに素であるから、iq mod k
≠0になる。またｑ≠ｋであるから、0<j≠i<kを満たす
任意の整数ｊに対してjq mod k≠iq mod kが成り立つ。
従って、ｋ-1個の基底(α^qmodk,α^2qmodk,α^3qmodk,…,
α^(k-1)qmodk)の各要素は相互に異なる指数をもち、基
底(α^qmodk, α^2qmodk,α^3qmodk,…,α^(k-1)qmodk)は基
底(α,α²,…,α^(k-1))と要素の順序が入れ変わったの
みで同一の空間を構成する。以下、演算iqmod k(o<i<k)
の演算結果をiq/(k)と記す。新しい基底は、計算された
基底(α^q/(k),α^2q/(k),α^3q/(k),…,α^(k-1)q/(k))を
昇べきの順序に再配列して構成される。以下の記述にお
いて、iq mod k(0<i<k)が増加するように再配列する置
換操作を<>で表す。従って、<α^q/(k),α^2q/(k),α
^3q/(k),…,α^(k-1)q/(k)>=｛α，α²，α³，…，
α^k-1｝である。次に、設定されたβ，ｋ，ｑを用い
て、修正因子β^[iq/k](0<i<k)を計算し、これらの修正
因子を予めメモリに蓄積しておく。

【０１５５】次に、GF(q)上でa₀,a₁,a₂,…,a_k-1に対し
て、それぞれ、a₀,a₁β^[q/k]modq,a₂β^[2q/k]mod q,a₃
β^[3q/k]mod q,…,a_k-1β^[(k-1)q/k]mod qの演算を実行
し、その演算結果を、再配列によって構成された新しい
基底<α⁰=1, α^q/(k), α^{2q/(k )},α^3q/(k),…,α
^(k-1)q/(k)>=｛1,α,α²,…,α^k-1 ｝の順序に対応する
ように（新しい基底を構成するときに行った再配列と同
一の順序に、即ち、iqmod k(0<i<k)が増加するように）
再配列する。このようにして、従来方式のa^q=a₀+a₁α^q+
a₂α^2q…+a_k-1α^(k-1)qの演算と等価な処理を実行する
ことが出来る。以下、a_iβ^[iq/k]modqの演算結果をa_iβ
^[iq/k]/(q)と記す。

【０１５６】この方法による処理コストは、β^[q/k],β
^[2q/k],…,β^[(k-1)q/k]を演算する（実際には、予め計
算してメモリに蓄積する）ことと、a_iβ^[iq/k]mod qを
演算してq mod k,2q mod k,…,(k-1)q mod kの値に従っ
て、並び順を置換する事であり、演算量を著しく低下さ
せることができる。このようにして、多項式基底を用い
る場合にはａのべき乗ａ^qを求める速度が遅いという欠
点を克服することができる。

【０１５７】図４４は、第７実施例の多項式基底を用い
た演算方法を実施するためのべき乗演算部のブロック図
であり、前述の各実施例におけるフロベニウス写像器１
４内のべき乗部１４Ａ，１４Ｂに適用される。本実施例
のべき乗演算部６０は、多項式基底演算部６１、修正因
子演算部６２、係数演算部６３、出力部６４を備えてい
る。

【０１５８】多項式基底演算部６１は、αのGF(q)上の
最小多項式がx^k-β(β∈GF(q))の形式で表されるように
設定された、有限体GF(q)の位数ｑと、該位数ｑと互い
に素であるように定められた次数ｋとを入力し、iqmod
k(1≦i≦k-1)を演算し、1=α ⁰及びα^iq/(k) (1≦i≦k-
1)を昇べきの順に再配列して新たな多項式基底として出
力する。

【０１５９】修正因子演算部６２は、位数ｑ、次数ｋ及
びβを入力し、GF(q)の元a_i(1≦i≦k-1)の修正因子とし
てβ^[iq/k] (1≦i≦k-1)を演算する。係数演算部６３は
GF(q)の元a_i(1≦i≦k-1)と修正因子β^[iq/k] (1≦i≦k-
1)を入力し、a_iβ^[iq/k]mod qを演算し、a₀及びa_iβ
^[iq/k]/(q)(1＜ｉ＜ k-1)ｃｃを、前記再配列して構成
された新たな多項式基底<α⁰=1,α^iq/(k) (1≦i≦k-1)>
に対応する配列に再配列し、各基底の係数として出力す
る。

【０１６０】出力部６４は、係数演算部６３の出力をa^q
のベクトル表示とし、また、昇べきの順序に配列された
多項式基底の各に、対応する係数を乗算して加算した結
果をa^qの多項式表現として出力する。図４５は、図４４
の実施例における係数演算部６３の機能構成を示すブロ
ック図である。この実施例の係数演算部６３は、メモリ
６３Ａと項別処理部６３Ｂと置換処理部６３Ｃとを備え
ている。メモリ６３Ａは予め演算された修正因子β^[i
q/k] (1≦i≦k-1)を蓄積している。項別処理部６３Ｂ
は、入力されたGF(q)の元a _i(1≦i≦k-1)と、メモリ６３
Ａから読み出された修正因子β^[iq/k](1≦i≦k-1)を入
力してa_iβ^[iq/k]mod qを演算する。置換処理部６３Ｃ
は、a_o及びa_iβ^{[iq/k ]}/(q)(1≦i≦k-1)を、昇べきの順
に配列された新たな多項式基底<α⁰=1, α^{iq/( k)} (1≦i
≦k-1)>に対応して新たな配列に再配列し、それぞれの
対応する基底の係数として出力する。

【０１６１】図４６は、図４４の実施例の動作を説明す
るフロー図である。 ステップＳ１：予め、αのGF(q)上の最小多項式がx^k-β
の形式で表されるように、有限体GF(q)の位数ｑ、次数
ｋ及びβを設定する。ここで、ｋとｑとは互いに素であ
る。 ステップＳ２：次に、iq mod k(0<i<k)を演算し、α
^iq/k(0<i<k)を昇べきの順序に配列して新たな多項式基
底を構成する。

【０１６２】ステップＳ３：次に、修正因子β^[iq/k](0
<i<k)を計算する。β,i,qが予め分かっていて、これら
の修正因子が予めメモリに蓄積されている場合には、修
正因子を読み出す。 ステップＳ４：次に、GF(q)上で元素の修正演算a_iβ
^[iq/k]/(q)(0<i<k)が実行され、その演算結果とa₀が新
たな多項式基底に対応する順序に順序変換される。以
下、修正された元a₀, a_iβ^[iq/k]/(q)(0<i<k)を係数と
記す。順序変換されたa ₀, a_iβ^[iq/k]/(q)(0<i<k)の配
列、即ち< a_0,a_iβ^[iq/k]/(q)(0<i<k)>はa^qのベクトル
表現として出力される。また、新たな多項式基底の各成
分と当該成分に対応する係数との積は加算され、a^qの多
項式表現として出力される。

【０１６３】一例として、GF(q)の位数ｑのビット長｜
ｑ｜が３２ビットでk=5の場合を例にとり説明する。図
４５に示される通りメモリ６３Aにβ^[q/5], β^[2q/5],
β^{[3q/ 5]}, β^[4q/5],が蓄積され、項別処理部６３Bの入
力a₀,a₁,a₂,a₃,a₄に対し、それぞれ出力a₀,a₁β^[q/5],a
₂β^[2q/5]a₃β^[3q/5],a₄β^[4q/5]が生成される。一例と
してq mod k=2（即ち、正整数ｑに対してq=5q+2)の場合
にはq mod k, 2q mod k,3q mod k, 4q mod kはそれぞれ
2,4,3,1になる。その結果、新しい基底は ＜1,a^{q mod 5},a^{2q mod 5},a^{3q mod 5},a^{4q mod 5}＞ ={1,a^3q/(5), a^q/(5), a^4q/(5), a^2q/(5),}={1,α,
α², α³, α⁴} になる従って、係数 ｛a₀,a₁β^[q/5]/(q),a₂β^[2q/5]/(q),a₃β^[3q/5]/(q),a
₄β^[4q/5]/(q)｝ の順序は、基底の順序に対応して ｛a₀,a₃β^[3q/5]/(q),a₁β^[q/5]/(q),a₄β^[4q/5]/(q),a
₂β^[2q/5]/(q)｝ に置換される。

【０１６４】その結果、次の5行５列の行列に該当する
置換が行われる。

【０１６５】

【数１１０】 従って、a^qのべクトル表示は ｛a₀,a₃β^[3q/5]/(q),a₁β^[q/5]/(q),a₄β^[4q/5]/(q),a
₂β^[2q/5]/(q)｝ である。また、a^qの多項式基底表現は a^q＝ a₀+{a₃β^[3q/5]/(q)}α+aβ^[q/5]/(q)} α₂+{a₄β
^[4q/5]/(q)}α+{a₂β^[2q/5]/(q)｝α₄ である。

【０１６６】図４４の演算装置のブロック図には、この
装置を制御してそれぞれ第１、第３の実施形態の多項式
基底を用いた演算方法を実行するプロセッサと、これら
の演算方法を実行するために必要な手続きを記述する制
御プログラムが記録されている記録媒体が省略されてい
る。図４４のべき乗演算部によるべき乗演算を実施する
ための制御プログラムには（１）多項式基底演算部６１
に位数ｑ及び次数ｋを入力し、iq mod k(1≦i≦k-1)を
演算し、1=α⁰とα^iq/(k) (1≦i≦k-1)を昇べきの順に
配列して新たな多項式基底として出力する処理を実行さ
せ、（２）修正因子演算部６２に位数ｑ、次数ｋ及びβ
を入力し、iq(1≦i≦k-1)をkで除算して小数点以下を切
り捨てた整数[iq/k]を演算し、さらに、GF(q)の元a₁(1
≦i≦k-1)の修正因子としてβ^[iq/k] (1≦i≦k-1)を演
算する処理を実行させ、（３）係数演算部６３にGF(q)
の元a₁(1≦i≦k-1)と修正因子β^[iq/k] (1≦i≦k-1)を
入力し、a_iβ^[iq/k] mod q を演算し、（その演算結果
をa_iβ^[iq/k]/(q)として）a₀及びa_iβ^[iq/k]/(q) (1≦i
≦k-1)を、前記新たな多項式基底<1=α⁰,α^iq/(k) (1≦
i≦k-1)>に対応する配列に置換昇べきの順に配列し、各
基底の係数として出力する処理を実行させ、（４）出力
部６４に、係数演算部の出力をa^qのベクトル表示とし、
前記昇べきの順序に配列された多項式基底の各々に、対
応する係数を乗算して加算した結果をa^qの多項式表現と
して出力する処理を実行させる、手続きが記述されてい
る。

【０１６７】以上説明したように、第7実施例によっ
て、扱えるデータ長が限定される演算処理に付加処理を
施すことによって、更に汎用な値を扱うことが出来る多
項式基底利用の演算方法及び装置を提供することが出来
る。第８実施例上述の第7実施例と同様にフロベニウス
写像、即ちaのｑべき乗を効率良く演算するもう１つの
方法を以下に説明する。

【０１６８】前述のように元aのｑべき乗a^qは次式 a^q=a₀+a₁α^q+a₂α^2q+…＋a_iα^iq+…＋a_k-1α^(k-1)q (56) で表される。a^iq(1≦i≦k-1)は、前述のようにαのGF
(q)上の最小多項式x^k-β(β∈GF(q))に最小多項式の定
義α^k-β=0を適用して α^iq=αⁱα^i(q-1) =αⁱβ^i[(q-1)/k] (57) で表される。従って、a^qは次式のように表される。

【０１６９】 a^q=a₀+a₁αβ^[(q-1)/k]+a₂α²β^2[(q-1)/k]+…＋a_iαⁱβ^i[(q-1)/k]+… ＋a_k-1α^(k-1)β^{(k-1)[(q-1)/k]} (58) 式(58)において、i(q-1)/k(0<i<k)は整数であるからa_i
β^i[(q-1)/k]∈GF(q) (0<i<k)である。従って、式(58)
は、a^qが、αのGF(q)上の多項式として表現されている
事を示している。

【０１７０】式(58)から次のことが分かる。 （１）a^q を、(α⁰=1,α,α²,…,αⁱ,…,α^k-1）を基底
とするベクトルとして表現すると a^q=(a'₀,a'₁,a'₂,…,a'_i,…,a'_k-1) =(a₀,a₁β^[(q-1)/k], a₂β^2[(q-1)/k],…,a_iβ^i[(q-1)/k],…, a_{(k- 1)} β^{(k-1)[(q-1)/k]}） (59) になる。

【０１７１】（２）a^qを、(α⁰=1,α,α²,…,αⁱ,…,α
^k-1）を基底とする多項式として表現すると

【０１７２】

【数１１１】 になる。以下図面を参考にして第8実施形態を説明す
る。

【０１７３】図４７は第８実施例のフロベニウス写像演
算方法を実施するためのフロベニウス写像演算部の１実
施形態のブロック図である。以下の記述において、有限
体GF(q)のk次拡大体GF(q^k)とし、代数系GF^*(q^k)= GF
(q^k)-｛0｝の元をαとする。図４７の演算部は、αのGF
(q)上の最小多項式が x^k-β(β∈GF(q)) (61) になるようにｑ、β及びｋを予め設定し、かつ、式(61)
が成り立つと言う条件の元でk|(q-1)（ｋがq-1を割り切
る）が成り立つとき、 a=a₀+a₁α+ a₂α²+…＋a_k-1α^k-1(a∈GF^*(q^k),a_i∈GF
(q), 0≦i≦k-1) のｑべき乗a^q=a₀+a₁α^q+ a₂α^2q+…＋a_k-1α^(k-1)q に
等価な処理として a^q=a₀+a'₁α+ a'₂α²+…+a'_jα^j+…+a'_k-1α^k-1(a'_i∈G
F(q),0≦j≦k) を演算するフロベニウス写像演算部である。ここで、a'
_iは前掲の式(59)に記されているように次式で表される a'_i= a_iβ^i[(q-1)/k], (0<i<k) (62) この演算装置は、メモリ４８Ａ、乗算器４８Ｂ、積和演
算器４８Ｃを備えてる。メモリ４８Ａは、設定された
ｑ、β及びｋを用いて予め演算された

【０１７４】

【数１１２】 を蓄積する。乗算器４８Ｂは外部回路から(a₀,a₁,…,
a_i,…,a_k-1)を入力し、及びメモリ４８Ａから（1, β
^[(q-1)/k],β^2[(q-1)/k],…,β^i[(q-1)/k],…,β
^{(k-1)[(q-1)/k ]})を入力し、対応する要素を乗算して(a'
₀,a'₁,…,a'_i,…,a'_k-1)=(a₀・1,a₁β^{[ (q-1)/k]},…,a_i
β^i[(q-1)/k],…,a_k-1β^{(k-1)[(q-1)/k]})を生成する。

【０１７５】積和演算器４８Ｃは乗算器４８Ｂの出力
(a'₀,a'₁,…,a'_i,…,a'_k-1)と外部回路からの(α₀=1,
α,…,αⁱ,…,α^k-1)とを入力して、対応する要素を乗
算した後、乗算結果を加算してその加算結果をa^qとして
出力する。図４８は、図４７のフロベニウス写像演算装
置の動作を説明するフロー図である。図４７には、本実
施形態の技術思想を明らかにする都合上、乗算器４８Ｂ
がメモリ４８Ａから読み出された１と外部回路から入力
したa₀とを乗算してa'₀=a₀を生成する例が記述されてい
るが、実際には、メモリ４８Ａには１を蓄積せずに、a₀
を乗算器４８Ｂ中を素通りさせて演算量を低減させる。
従って、図４８のフロー図にはメモリ４８Ａに１を蓄積
せずに、a₀が乗算器４８Ｂ中を素通りする場合の動作が
記述されている。

【０１７６】ステップS１：まずαのGF(q)上の最小多項
式がx^k-βで表され、かつ、k｜(q-1)が成り立つように
設定されたq,k,βを用いてβ^[(q-1)/k],β^2[(q-1)/k],
…,β^{i [(q-1)/k]},…,β^{(k-1)[(q-1)/k]}を演算してその
演算結果をメモリ４８Ａに蓄積する。 ステップS２：次に、乗算器４８Ｂ、外部回路からa₀, a
₁, a₂,…,a_i,…,a_k-1を入力し、メモリ４８Ａから β^[(q-1)/k],β^2[(q-1)/k],…,β^i[(q-1)/k],…,β^{(k-1)[(q-1)/k]} を入力し (a₀,a₁,β^[(q-1)/k],a_2,β^2[(q-1)/k],…,a_i,β^i[(q-1)/k],…,a_k-1,β^{(k-1)[( q-1)/k]} ) =(a'₀,a'₁, a'₂,…,a'_i,…,a'_k-1) (64) を生成する。

【０１７７】ステップS３：次に、乗算器４８Ｂの出力
（a'₀,a'₁, a'₂,…,a'_i,…,a'_k-1)と多項式基底(1,α,
α²,…α^k-1)は積和演算器４８Ｃによって積和演算さ
れ、その演算結果がa^qの多項式表現として出力される。
上記の動作は、図４７に示されていない情報処理装置の
制御によって実行される。この情報処理装置と図４７の
フロベニウス写像演算装置とは、実際には１つのコンピ
ューターによって実現され、前掲のフロベニウス写像演
算処理は、図示されていない記録媒体に記録されている
制御プログラムに記述されている手順に従って実行され
る。

【０１７８】制御プログラムは、αのGF(q)上の最小多
項式がx^k-β（β∈GF(q)）の形式で表され、かつ、拡大
次数ｋがq-1を割り切るように設定された、有限体GF(q)
の位数ｑ、拡大次数ｋ及びβをデータとして用い、コン
ピュータにフロベニウス写像演算を実行させる。まず、
制御プログラムはコンピュータに、不等式0<i<kを満た
す全ての整数iに対してβ^i[(q-1)/k]を演算させる処理
を実行させ、次に、不等式0<i<kを満たす全ての整数iに
対してa_iβ^i[(q-1)/k]を演算する処理を実行させる。

【０１７９】次に、制御プログラムはコンピュータに

【０１８０】

【数１１３】 を演算させ、その演算結果をa^qの多項式表現として出力
させる。この実施例によるフロベニウス写像演算装置の
処理コストはβ^[(q-1)/k],β^{2[ (q-1)/k]},…,β
^{(k-1)[(q-1)/k]},をメモリに蓄積する事によって演算量
を著しく低下させることが出来る。

【０１８１】

【発明の効果】この発明は事前演算無しでべき乗テーブ
ルを構成することが出来るため、従来の乗べきテーブル
法を用いた装置と比べて適用範囲が広い（例えば、楕円
DSA署名の署名検索などにも利用できる）。また、従来
装置ではqの小さいFG(q)上の楕円曲線に対してのみ有効
であったフロベニウス写像を用いた演算装置を改良し、
任意の定義体上の楕円曲線に対してフロベニウス写像を
用いない場合の演算装置よりも効率良くｍ倍演算が行わ
れるようにした。

【０１８２】図１、２３及び３４の実施例によるnビッ
トのｍ倍演算を行うのに必要な楕円加算及び楕円2倍算
の回数を従来の2進法及び符号付２進法と比較した結果
を次表Ｉに示す。ただし、「べき乗テーブル加算部」に
櫛形法を使った場合、q〜2^wとし、y=n/wとする。また、
zは事前に用意してある楕円曲線上の点の数にiを加えた
値である。通常、楕円曲線暗号ではnとして160〜260程
度の値を用いる。また、wはCPUのワード長を想定してい
る。（w=8,16,32,64またはその近くの値を用いる場合が
多い。

【０１８３】

【表１】 また「べき乗テーブル加算部」にBGMW法を使った場合、
例えば、q=16、k=40の場合、フロベニウス写像を用いな
い場合に比べ、この発明は、約3.9倍高速にm倍演算をす
ることが出来る。定義体がGF(2)の場合は従来の演算法
と同一であるので、従来装置の拡張になっている。

【図面の簡単な説明】

【図１】この発明による楕円曲線上のｍ倍演算装置を示
すブロック図。

【図２】楕円曲線上のｍ倍演算の処理て準を示す流れ
図。

【図３】図1中のＰi生成装置１Ｂの構成を示すブロック
図。

【図４】Ｐi生成装置の処理手順を示す流れ図。

【図５】フロベニウス写像器の構成を示すブロック図。

【図６】フロベニウス写像器の他の構成を示すブロック
図。

【図７】図1中のφ進展開装置１Ｃの構成を示すブロッ
ク図。

【図８】φ進展開装置１Ｃの処理手順を示す流れ図。

【図９】べき乗テーブル加算装置（くし形）の構成を示
すブロック図。

【図１０】べき乗テーブル加算装置（ＢＧＭＷ）の構成
を示すブロック図。

【図１１】べき乗テーブル加算装置（箱）の構成を示す
ブロック図。

【図１２】べき乗テーブル加算装置（くし形）の処理手
順を示す流れ図。

【図１３】べき乗テーブル加算装置（ＢＧＭＷ）の処理
手順を示す流れ図。

【図１４】べき乗テーブル加算装置（箱）の処理手順を
示す流れ図。

【図１５】この発明による楕円ｍ倍演算装置の他の例を
示すブロック図。

【図１６】図１５の装置の楕円曲線上のｍ倍演算の処理
手順を示す流れ図。

【図１７】図１５中のＰ_i生成装置８Ｂの構成を示すブ
ロック図。

【図１８】Ｐ_i生成装置（ＷＩＮＤＯＷ）の処理手順を
示す流れ図。

【図１９】べき乗テーブル加算装置（ＷＩＮＤＯＷ）の
構成を示すブロック図。

【図２０】べき乗テーブル加算（ＷＩＮＤＯＷ）の処理
手順を示す流れ図。

【図２１】この発明による楕円ｍ倍+ｎ倍装置の構成を
示すブロック図。

【図２２】図２１の装置の楕円曲線上のｍ+ｎ倍演算の
処理手順を示す流れ図。

【図２３】この発明によるｍ倍演算装置の演算量を削減
可能にした実施例を示す図。

【図２４】図２３の装置によるｍ倍演算手順を示す流れ
図。

【図２５】図２３中のφ進展階調整部４０の構成を示す
図。

【図２６】図２５のφ進展階調整処理手順を示す図。

【図２７】図２５のφ進展階調整処理手順の他の例を示
す図。

【図２８】楕円曲線のｍ+ｎ倍演算装置の構成を示すブ
ロック図。

【図２９】図２８の演算処理手順を示す図。

【図３０】ＡはHorner法による多項式の計算方法を説明
するための図、ＢはHorner法による多項式の計算方法を
説明するための図、ＣはHorner法による多項式の計算方
法を説明するための図。

【図３１】多項式計算における桁の分割を説明するため
の図。

【図３２】第６実施例において提案する計算方法を説明
するための図

【図３３】第６実施例において提案する計算方法を説明
するための図

【図３４】第６実施例による楕円曲線上のｍ倍演算装置
の構成図。

【図３５】楕円曲線上のｍ倍演算手順を示すフロー図。

【図３６】Ｒ_t,i生成部の構成を示す図。

【図３７】Ｒ_t,i生成手順を示すフロー図。

【図３８】φ進展開部の構成を示す図。

【図３９】φ進展開手順を示すフロー図。

【図４０】事前演算付き羃乗テーブル加算部の構成を示
す図。

【図４１】事前演算付き羃乗テーブル加算手順を示すフ
ロー図。

【図４２】φ進展開補正部の構成を示す図。

【図４３】φ進展開補正手順を示すフロー図。

【図４４】第７実施例の多項式基底を用いた演算方式を
実施するための演算装置のブロック図である。

【図４５】図４４における係数演算部６３の構成例を示
すブロック図。

【図４６】第７実施例の動作を説明するフロー図。

【図４７】フロベニウス写像演算装置のブロック図。

【図４８】図４７のフロベニウス写像演算装置の動作を
説明するフロー図である。

───────────────────────────────────────────────────── フロントページの続き (31)優先権主張番号 特願平11−13187 (32)優先日 平成11年１月21日(1999．1．21) (33)優先権主張国 日本（ＪＰ） (72)発明者 森田 光 東京都千代田区大手町二丁目３番１号 日本電信電話株式会社内 (56)参考文献 Ｃｈｅｏｎ，Ｊ．Ｈ．ｅｔ ａｌ．, “Ｔｗｏ Ｅｆｆｉｃｉｅｎｔ Ａｌｇ ｏｒｉｔｈｍｓ ｆｏｒ Ａｒｉｔｈｍ ｅｔｉｃ ｏｆ Ｅｌｌｉｐｔｉｃ Ｃ ｕｒｖｅｓ Ｕｓｉｎｇ Ｆｒｏｂｅｎ ｉｕｓ Ｍａｐ，”Ｌｅｃｔｕｒｅ Ｎ ｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓ ｃｉｅｎｃｅ，Ｖｏｌ．1431, （1998），ｐｐ．195−202 Ｔｓｕｒｕｏｋａ，Ｙ．ａｎｄ Ｋｏ ｙａｍａ，Ｋ．，“Ｆａｓｔ ｓｃａｌ ａｒ ｍｕｌｔｉｐｌｉｃａｔｉｏｎｓ ｏｖｅｒ ｅｌｌｉｐｔｉｃ ｃｕｒ ｖｅｓ ｕｓｉｎｇ Ｆｒｏｂｅｎｉｕ ｓ ｅｘｐａｎｓｉｏｎｓ，”1999年暗 号と情報セキュリティシンポジウム，Ｓ ＣＩＳ’99 Ｗ４−１．６ Ｃｈｅｏｎ，Ｊ．Ｈ．ｅｔ ａｌ．, “Ｓｃａｌａｒ Ｍｕｌｔｉｐｌｉｃａ ｔｉｏｎ ｏｎ Ｅｌｌｉｐｔｉｃ Ｃ ｕｒｖｅｓ ｂｙ Ｆｒｏｂｅｎｉｕｓ Ｅｘｐａｎｓｉｏｎｓ，”ＥＴＲＩ Ｊｏｕｒｎａｌ，Ｖｏｌ．21，Ｎｏ. １，（1999），ｐｐ．27−38 Ｋｏｂａｙａｓｈｉ，Ｔ．ｅｔ ａ ｌ．，“Ｆａｓｔ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ａｌｇｏｒｉｔｈｍ Ｃｏ ｍｂｉｎｉｎｇ Ｆｒｏｂｅｎｉｕｓ Ｍａｐ ａｎｄ Ｔａｂｌｅ Ｒｅｆｅ ｒｅｎｃｅ ｔｏ Ａｄａｐｔ ｔｏ Ｈｉｇｈｅｒ Ｃｈａｒａｃｔｅｒｉｓ ｔｉｃ，”Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎ ｃｅ，Ｖｏｌ．1592，（1999），ｐｐ. 176−189 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 - 5/00 H04K 1/00 - 3/00 H04L 9/00 G06F 7/00 ＩＮＳＰＥＣ（ＤＩＡＬＯＧ) ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (66)

(57)【特許請求の範囲】
1. 【請求項１】 有限体上に定義された楕円曲線E/GF(q)
   上におけるGF(q^k)有理点Ｐのｍ倍を演算する楕円曲線演
   算装置であり、 有理点Ｐと、E/GF(q)上で定義されるフロベニウス写像
   φと、１以上の整数ｋと、３以上の素数ｑまたはそのべ
   き乗とを入力する入力手段と上記E/GF(q)によって定ま
   るフロベニウス写像φを用いて 【数１】 を満たす整数r,c_i, ただし０＜ｉ＜ｒ，０＜ｒ＜ｋ，−
   ｑ＜ｃ_i ＜ｑを求めるφ進展開手段と、 上記有理点Ｐと整数ｒ，c_iが与えられ、 なるｒ個の点Ｐ₀〜Ｐ_r-1を求めるＰ_i生成手段と、 上記ｒ個の点Ｐ₀〜Ｐ_r-1が入力されて 【数２】 を計算するべき乗テーブル加算手段と、 計算した上記ｍＰを出力する出力手段、 とを含む楕円曲線演算装置。
2. 【請求項２】 請求項１の楕円曲線演算装置において、 上記べき乗テーブル加算手段は、 c_iがｄ以下となるｉについてP_iを全て加算した値S_dを得
   て、更に 【数３】 を演算してｍＰを得る手段を含む楕円曲線演算装置。
3. 【請求項３】 請求項１の楕円曲線演算装置において、 上記べき乗テーブル加算手段は、 【数４】 からc_ijを求める手段と、 【数５】 を演算する手段と、 【数６】 をｍＰとして得る手段とを含む楕円曲線演算装置。
4. 【請求項４】 請求項１の楕円曲線演算装置において、 上記べき乗テーブル加算手段は、 【数７】 【数８】 を求めてｍＰを得る手段である楕円曲線演算装置。
5. 【請求項５】 請求項１の楕円曲線演算装置において、
   加算の単位元をＯとすると、 上記べき乗テーブル加算手段は、 Ｓ_r＝Ｏ Ｓ_i＝c_iＰ＋φＳ_i+1， ０＜ｉ＜ｒ (3a) の演算を行って、Ｓ₀＝ｍＰを求める手段である楕円曲
   線演算装置。
6. 【請求項６】 有限体上に定義された楕円曲線E/GF(q)
   上におけるGF(q^k)有理点Ｐのｍ倍を演算する楕円曲線演
   算装置であり、 有理点Ｐと、E/GF(q)上で定義されるフロベニウス写像
   φと、１以上の整数ｋと、３以上の素数ｑまたはそのべ
   き乗とを入力する入力手段と上記E/GF(q)によって定ま
   るフロベニウス写像φを用いて 【数９】 を満たす整数r,c_i, ただし０＜ｉ＜ｒ，０＜ｒ＜ｋ，−
   ｑ＜ｃ_i ＜ｑを求めるφ進展開手段と、 上記有理点Ｐと上記E,qが与えられ、 Ｐ_i＝iＰ なるq個の点Ｐ₀〜Ｐ_q-1を求めるＰ_i生成手段と、 ｒ個の上記点Ｐ₀〜Ｐ_r-1と上記ｃ₀〜ｃ_r-1が入力されて 【数１０】 を計算するべき乗テーブル加算手段と、 計算した上記ｍＰを出力する出力手段、 とを含む楕円曲線演算装置。
7. 【請求項７】 請求項６の楕円曲線演算装置において、
   加算の単位元をＯとすると、 上記べき乗テーブル加算手段は、上記P_iの全部又は一部
   を用いて Ｓ_r＝Ｏ Ｓ_i＝Ｐ_i＋φＳ_i+1， ０＜ｉ＜ｒ として演算してＳ₀＝ｍＰを求める手段である楕円曲線
   演算装置。
8. 【請求項８】 請求項６の楕円曲線演算装置において、
   外部から Ｐ_i＝iＰ，０＜ｉ＜ｑ となるP_iが少なくとも一部入力され、 上記べき乗テーブル加算手段は上記式(1a)の演算を Ｓ_r＝Ｏ Ｓ_i＝Ｐ_i＋φＳ_i+1， ０＜ｉ＜ｒ として行う手段である楕円曲線演算装置。
9. 【請求項９】 請求項１の楕円曲線演算装置において、
   楕円曲線上のGF(q^k)有理点Ｐに対し、 φ^kＰ＝Ｐ が成り立つこと、又は、楕円曲線上のGF(q^k)有理点Ｐに
   対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立つ場合にこれを利用して、上記φ進展開手段で
   求めたc_iの列とｒに対し次式 【数１１】 を満たすc'_i, r'を求めて、これらを上記c_i, ｒとして
   上記べき乗テーブル加算手段に与えるφ進展開調整手段
   を含み、上記べき乗テーブル加算手段は上記φ進展開調
   整手段から与えられた上記c_iとｒを使用して上記式(2a)
   の右辺を計算する楕円曲線演算装置。
10. 【請求項１０】 請求項９の楕円曲線演算装置におい
    て、ｒ＞ｋの場合に、上記φ進展開調整手段は楕円曲線
    上のGF(q^k)有理点に対し、 φ^kＰ＝Ｐ が成り立つことを利用して、c'_i＝c_i＋c_i+k＋c_i+2k＋
    …, ０＜ｉ＜k-1なる変換を行う事によってｒ個の列c_i
    をｋ個の列c'_iに変換してから、上記べき乗テーブル加
    算手段に入力して上記式(1a)の右辺の演算を行う手段で
    ある楕円曲線演算装置。
11. 【請求項１１】 請求項９又は１０の楕円曲線演算装置
    において、上記べき乗テーブル加算手段は、c_iがｄ以下
    となるｉについてP_iをすべて加算してS_dを得て、 【数１２】 を求めることによって上記式(1a)を計算する手段を含
    み、 上記φ進展開調整手段は楕円曲線上のGF(q^k)有理点Ｐに
    対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っている場合、これを利用して、c_iの絶対値を
    小さくする変換を施す手段を含む楕円曲線演算装置。
12. 【請求項１２】 請求項９又は１０の楕円曲線演算装置
    において、上記べき乗テーブル加算手段は、 【数１３】 ただし０＜ｃ_ij ＜１，[logb]はｂより小さい最大の整
    数、ｂは｜c_i｜の最大値、によってc_ijを定め、 【数１４】 によりＳを上記ｍＰとして求め、 上記φ進展開調整手段は、楕円曲線上のGF(q^k)有理点Ｐ
    に対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っていいる場合に、これを利用して、c_iを２進
    又は符号付き２進表現を行う場合の各桁０以外の値の数
    で表されるハミング重みを最小化するように変換する手
    段を含む楕円曲線演算装置。
13. 【請求項１３】 請求項１、９又は１０の楕円曲線演算
    装置において、楕円曲線上の点ＰとしてP₁, P₂, …, P_n
    を入力し、整数ｍとしてm₁, m₂, …, m_nを入力し、 【数１５】 を上記ｍＰとして得る楕円曲線演算装置。
14. 【請求項１４】 請求項１の楕円曲線演算装置におい
    て、 上記φ進展開手段はE/GF(q)によって定まるフロベニウ
    ス写像φを用いて 【数１６】 を満たすｒ，c_iを求め、但し０＜ｉ＜ｒ，０＜ｒ＜ｋ，
    −ｑ＜c_i＜ｑであり、上記P_i生成手段は、整数ｒ及びＰ
    より事前に計算されるＳ個のE/GF(q)上のGF(q^k)有理点
    Ｑ_t＝d^taP, 0＜ t ＜sの入力に対し、 Ｒ_t,i≡φⁱＱ_t ただし0＜ t＜s, 0＜i＜rなるrs個のE/GF(q)上のGF(q^k)
    有理点R_t,iを求める手段であり、 C=1+max｜c_i｜とするとａ，ｄ，ｓはａ×ｓ>logdＣを満
    たす正の整数であり、上記べき乗テーブル加算手段は 【数１７】 なるc_j,t,i∈Ｂを求め、ただしＢは整数の有限集合で位
    数の小さいものであり、 【数１８】 を演算して、上記ｍＰを得る事前演算付べき乗テーブル
    加算手段である楕円曲線演算装置。
15. 【請求項１５】 請求項１４の楕円曲線演算装置におい
    て、上記事前演算付べき乗テーブル加算手段は、 【数１９】 を演算する手段と、 【数２０】 を演算してｍＰを得る手段、 とを含む楕円曲線演算装置。
16. 【請求項１６】 請求項１５の楕円曲線演算装置におい
    て、上記整数ｄはｄ＝２であり、上記集合Ｂは｛０，
    １｝であって上記式(6a)の演算に於いてc_j,t,i倍の部分
    を０倍及び１倍のみで構成する楕円曲線演算装置。
17. 【請求項１７】 請求項１５の楕円曲線演算装置におい
    て、上記整数ｄはｄ＝２であり、上記集合Ｂは｛−１，
    ０，１｝であって上記式(6a)の演算に於いてc_j,t,i倍の
    部分を−１倍及び０倍及び１倍のみで構成する楕円曲線
    演算装置。
18. 【請求項１８】 請求項１の楕円曲線演算装置におい
    て、GF(q)のｋ次拡大体をGF(q^k)とし、代数系GF^*(q^k)を
    GF(q^k)−｛0｝とし、GF(q)の元a_i(0≦i＜k)と、GF^*(q^k)
    の元αとを用い、αをGF(q)上ｋ次概約多項式f(x)の根
    としてGF(q^k)の元ａをa=a₀＋a₁α＋a₂α²＋…＋a_k-1α
    ^k-1の形式に多項式表現すると、上記P_i生成手段はａの
    累乗a^q=a₀＋a₁α^q＋a₂α^2q＋…＋a_k-1α^(k-1)qを演算す
    る、多項式基底を用いたべき乗演算を行うべき乗演算手
    段を含み、上記べき乗演算手段は、 f(x)がx^k-β(β∈GF(q))の形式で表されるように設定さ
    れた有限体GF(q)の位数ｑと、概位数ｑと互いに素であ
    るように定められた次数ｋとを入力し、iq modｋ(1≦i
    ≦k-1)を演算し、その演算結果をiq/(k)と記述すると
    き、α⁰=1及びα^iq/(k)(1≦i≦k-1)を昇べきの順に再配
    列して新たな多項式基底として出力する多項式基底演算
    部と、 上記位数ｑ、次数ｋ及びβを入力し、iq(1≦i≦k-1)を
    ｋで除算して小数点以下を切り捨てた整数[iq/k]を演算
    し、さらに、GF(q)の元a_i(1≦i≦k-1)の修正因子として
    β^[iq/k](1≦i≦k-1)を演算する修正因子演算部と、 GF(q)の元a_i(1≦i≦k-1)と修正因子β^[iq/k](1≦i≦k-
    1)を入力し、a_iβ^[iq/k]modｑを演算し、その演算結果
    をa_iβ^[iq/k]/(q)と記すとき、a₀とa_iβ^[iq/k]/(q)(1≦
    i≦k-1)とを、上記新たな多項式基底に対応する配列に
    再配列し、各基底要素の係数として出力する係数演算部
    と、 上記係数演算部の出力をa^qのベクトル表示とし、上記昇
    べきの順に再配列された多項式基底の各要素に、対応す
    る係数を乗算して加算した結果をa^qの多項式表現として
    出力する出力部とを含む楕円曲線演算装置。
19. 【請求項１９】 請求項１８の楕円曲線演算装置におい
    て、上記係数演算部は、メモリ手段と項別処理部と置換
    処理部とを有し、上記メモリ手段は予め演算された修正
    因子β^[iq/k](1≦i≦k-1)を蓄積し、上記項別処理部
    は、入力されたGF(q)の元a_i(1≦i≦k-1)と、メモリ手段
    から読み出された修正因子β^[iq/k](1≦i≦k-1)を入力
    してa_iβ^[iq/k]mod qを演算し、置換処理部は、a₀とa_i
    β^[iq/k]/(q)(1≦i≦k-1)とを、上記昇べきの順に配列
    された新たな多項式基底｛1=α⁰,α^iq/(k)(1≦i≦k-
    1)｝に対応して新たな配列に再配列し、それぞれの対応
    する基底の係数として出力する楕円曲線演算装置。
20. 【請求項２０】 請求項１８の楕円曲線演算装置におい
    て、拡大次数ｋがq-1を割り切るように設定された、有
    限体GF(q)の位数ｑ、拡大次数ｋ及びβを用いて、不等
    式0<i<kを満たす総ての整数ｉに対して予め演算された
    β^i[(q-1)/k]を入力し、及び、上記a₁, a₂, …, a_i,
    …, a_k-1を入力し、不等式0<i<kを満たす総ての整数ｉ
    に対してa_iβ^i[(q-1)/k]を演算し、それぞれのa_iβ
    ^i[(q-1)/k](0<i<k)を、a^qのベクトル表現の、基底α^jに
    対応する要素a'_iとして出力する乗算手段を含む楕円曲
    線演算装置。
21. 【請求項２１】 請求項２０の楕円曲線演算装置におい
    て、上記フロベニウス写像演算手段は、予め演算された
    β^i[(q-1)/k](0<i<k)を蓄積し、上記乗算手段にβ
    ^i[(q-1)/k](0<i<k)を出力するメモリ手段を含む楕円曲
    線演算装置。
22. 【請求項２２】 請求項２０の楕円曲線演算装置におい
    て、上記a₀と上記乗算手段によって生成されたa'_i(0<i<
    k)を入力して、積和 【数２１】 を演算して、上記a^qの多項式表現として出力する積和演
    算手段を含む楕円曲線演算装置。
23. 【請求項２３】 有限体上に定義された楕円曲線E/GF
    (q)上におけるGF(q^k)有理点Ｐのｍ倍を演算する装置に
    使用される楕円曲線演算方法であり、φ進展開手段と、
    P _i 生成手段と、加算手段とを用いて以下のステップを行
    うことを特徴とする楕円曲線演算方法。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数ｋと、整数ｍと、３以上の素数ｑまたは
    そのべき乗とを上記φ進展開手段に入力するステップ、 (B) 上記整数ｍと、上記整数ｋと、上記E/GF(q)によっ
    て定まるフロベニウス写像φを入力として 【数２２】 を満たす整数ｒ，c_i，但し０＜ｉ＜ｒ，０＜ｒ＜ｋ，−
    ｑ＜c_i ＜ｑを求めるステップ、 (C) 上記有理点Ｐと整数ｒと上記写像φと上記ｑを上記
    P _i 生成手段に入力して、 なるｒ個の点Ｐ₀〜Ｐ_r-1を生成するステップ、 (D) 上記ｒ個の点Ｐ₀〜Ｐ_r-1と上記整数c_iと、上記Eと
    上記ｒを上記加算手段に入力して 【数２３】 を計算するステップ、 (E) その計算した上記ｍＰを出力するステップ。
24. 【請求項２４】 請求項２３の楕円曲線演算方法におい
    て、上記ステップ(D)は以下のステップを含む： (D-1) 上記c_iとdと上記P_iを入力してc_iがd以下となるｉ
    についてP_iをすべて加算した値S_iを求め、 (D-2) c_iの最大値bと上記S_dを入力して 【数２４】 を求め、そのSを上記ｍＰとして出力することを特徴と
    する楕円曲線演算方法。
25. 【請求項２５】 請求項２３の楕円曲線演算方法におい
    て、上記ステップ(D)は以下のステップを含む： (D-1) c_iを入力してその最大値bについて[log₂b]を求
    め、 c_iと[log₂b]を入力して 【数２５】 を満たすc_ijを求め、 (D-2) c_ijとP_iとｋを入力して 【数２６】 を演算し、 (D-3) S_jと[log₂b]を入力して 【数２７】 を演算してＳ＝ｍＰとして出力することを特徴とする楕
    円曲線演算方法。
26. 【請求項２６】 請求項２３の楕円曲線演算方法におい
    て、上記ステップ(D)は以下のステップを含む： (D-1) ｍとbを入力して、ｍのb進展開した値ｍ_iと、ｍ_i
    を２進展開した値ｍ_ijを求め、ただしbは０＜ｍ＜b^kを
    満たす整数、 ｍ_ijとP_iとkを入力して 【数２８】 を求め、 (D-2) c_iを入力してその最大値bを求め、bとS_jを入力
    して、 【数２９】 を計算し、その結果ＳをｍＰとして演算することを特徴
    とする楕円曲線演算方法。
27. 【請求項２７】 請求項２３の楕円曲線演算方法におい
    て、加算の単位元をＯとすると、上記ステップ(D)はＳr
    ＝Ｏとｉ＝ｒ−１を初期値としてメモリに格納し、 メモリよりＳ_i+1とｉを取出し、そのＳ_i+1とc_i，Ｐ_i，
    φを入力して Ｓ_i＝c_iＰ＋φＳ_i+1，０＜ｉ＜ｒ (3b) を演算し、かつｉ←ｉ−１としてＳ_i+1とｉをメモリに
    格納し、 メモリからＳ_i+1とｉを取り出して上記のことを繰り返
    し、S₀を上記ｍＰとして求めるステップであることを特
    徴とする楕円曲線演算方法。
28. 【請求項２８】 有限体上に定義された楕円曲線E/GF
    (q)上におけるGF(q^k)有理点Ｐのｍ倍を演算する装置に
    使用される楕円曲線演算方法であり、φ進展開手段と、
    Ｐ _ｉ 生成手段と、べき乗テーブル加算手段とを用いて以
    下のステップを行うことを特徴とする楕円曲線演算方
    法。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数ｋと、３以上の素数ｑまたはそのべき乗
    とを上記φ進展開手段に入力するステップ、 (B) 上記ｍとｋと、上記E/GF(q)によって定まるフロベ
    ニウス写像φを用いて 【数３０】 を満たす整数ｒ，c_i，但し０＜ｉ＜ｒ，０＜ｒ＜ｋ，−
    ｑ＜c_i ＜ｑを求めるステップ、 (C) 上記有理点Ｐと上記E、ｑを上記Ｐ _ｉ 生成手段に入
    力して、 Ｐ_i＝iＰ なるｑ個の点Ｐ₀〜Ｐ_q-1を生成するステップ、 (D) ｒ個の上記点Ｐ₀〜Ｐ_r-1と上記c₀〜c_r-1を上記べき
    乗テーブル加算手段に入力して、 【数３１】 を計算するステップ、 (E) 計算した上記ｍＰを出力するステップ。
29. 【請求項２９】 請求項２８の楕円曲線演算方法におい
    て、ｉとＰを入力して Ｐ_i＝ｉＰ，ただし０＜ｉ＜ｑ の演算を行うステップを含み、 上記ステップ(D)は、 Ｓr＝Ｏ、ｉ＝ｒ−１を初期値としてメモリに格納し、 上記P _i の全部又は一部を用い、かつメモリからS _i+1 とｉ
    とを取り出して Ｓ_i＝Ｐ_i＋φＳ_i+1，０＜ｉ＜ｒ （３ｂ） を演算し、かつｉ←ｉ−１として、S _i+1 とｉをメモリに
    格納し、 メモリからS _i+1 とｉとを取り出して上記のことを繰り返
    して 演算するステップであることを特徴とする楕円曲線
    演算方法。
30. 【請求項３０】 請求項２８の楕円曲線演算方法におい
    て、外部から Ｐ_i＝ｉＰ，０＜ｉ＜ｑ となるP_iを少なくとも一部入力し、上記ステップ(D)は
    上記メモリに対する格納読み出しを利用して上記式(3b)
    の演算をＳr＝Ｏ、ｉ＝ｒ−１を初期値として Ｓ_i＝Ｐ_i＋φＳ_i+1，０＜ｉ＜ｒ を演算するステップであることを特徴とする楕円曲線演
    算方法。
31. 【請求項３１】 請求項２３の楕円曲線演算方法におい
    て、φ進展開調整手段を用い、このφ進展開調整手段に
    上記ステップ(B)で求めたc _i の列とｒと、上記φを入力
    して、楕円曲線上のGF(q^k)有理点Ｐに対し、 φ^kＰ＝Ｐ が成り立つこと、又は、楕円曲線上のGF(q^k)有理点Ｐに
    対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立つ場合にこれを利用して、 【数３２】 を満たすc'_i, r'を求めて、これらを上記c_i,ｒとして上
    記べき乗テーブル加算ステップ(D)に与えるφ進展開調
    整ステップを含み、上記ステップ(D)は上記φ進展開調
    整ステップで生成された上記c_iとｒと、上記Ｐ_iと上記E
    を上記加算手段に入力して上記式(2b)の右辺を計算する
    ことを特徴とする楕円曲線演算方法。
32. 【請求項３２】 請求項３１の楕円曲線演算方法におい
    て、ｒ＞ｋの場合に、上記φ進展開調整ステップは、楕
    円曲線上のGF(q^k)有理点に対し、 φ^kＰ＝Ｐ が成り立つことを利用して、上記ｋも上記φ進展開調整
    手段に入力して、c'_i＝c_i＋c_i+k＋c_i+2k＋…, ０＜ｉ＜
    k-1なる変換を行うことによってｒ個の列c_iをｋ個の列
    c'_iに変換するステップであることを特徴とする楕円曲
    線演算方法。
33. 【請求項３３】 請求項３１又は３２の楕円曲線演算方
    法において、上記ステップ(D)は、c_iとP_iを入力して上
    記c_iがｄ以下となるｉについてP_iをすべて加算してS_dを
    得て、 上記各Sdとｒを入力して 【数３３】 を求めることによって上記式(2b)を計算するステップを
    含み、 上記φ進展開調整ステップは、楕円曲線上のGF(q^k)有理
    点Ｐに対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っている場合、これを利用して、c_iの絶対値を
    小さくする変換を施すステップを含むことを特徴とする
    楕円曲線演算方法。
34. 【請求項３４】 請求項３１又は３２の楕円曲線演算方
    法において、上記ステップ(D)は、c_iを入力して、その
    ｜c_i｜の最大値ｂの[logb]を求め、[a]はaより小さい最
    大の整数、 c_iと[logb]を入力して、 【数３４】 を満たすc_ijを求め、 c_ij，P_i，kを入力して、 【数３５】 を演算してＳを上記ｍＰとして求め、 上記φ進展開調整ステップは、楕円曲線上のGF(q^k)有理
    点Ｐに対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っている場合、これを利用して、c_iを入力して
    c_iの２進又は符号付き２進表現を行い、その各桁０以外
    の値の数で表されるハミング重みを最小化するようにc_i
    を変換するステップを含むことを特徴とする楕円曲線演
    算方法。
35. 【請求項３５】 請求項２３，３１又は３２の楕円曲線
    演算方法において、上記ステップ(D)は加算手段に楕円
    曲線上の点ＰとしてP₁, P₂, …, P_nを入力し、整数ｍと
    してm₁, m₂, …, m_nを入力して、 【数３６】 を演算してその結果を上記ｍｐとして得ることを特徴と
    する楕円曲線演算方法。
36. 【請求項３６】 有限体上に定義された楕円曲線E/GF
    (q)上におけるGF(q ^k )有理点Ｐのｍ倍を演算する装置に
    使用される楕円曲線演算方法であり、φ進展開手段と、
    Ｒ _t,i 生成手段と、加算手段とを用いて以下のステップ
    を行うことを特徴とする楕円曲線演算方法。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数kと、整数ｍと、３以上の素数ｑまたは
    そのべき乗とを上記φ進展開手段に入力するステップ、 (B) 上記整数ｍと、上記整数kと上記E/GF(q) によって定
    まるフロベニウス写像φを用いて、 【数３７】 を満たすｒ，c _i 、ただし0＜i＜r，0＜r＜k，-q＜c＜q，
    を求めるステップ、(C)整 数d及びＰより事前に計算されたs個のE/GF(q)上の
    GF(q^k)有理点列Ｑ_t＝d^taP, 0＜t＜s,とφⁱと、ｒを上記
    Ｒ _t,i 生成手段に入力して、 Ｒ_t,i＝φⁱＱ_t ただし0＜i＜r を計算して、rs個のE/GF(q)上のGF(q^k)有理点R_t,iを求
    めるステップ、 (D)上 記c_i,a,s,t,dを上記加算手段に入力して、 【数３８】 を満たすc_j,t,i∈Ｂを求め、ただしＢは整数の有限集合
    で位数の小さいものであり、上記dとc_j,t,iとR_t,i、aと
    rとsを入力して、 【数３９】 を演算して、上記ｍＰを得る事前演算付べき乗テーブル
    加算ステップ。
37. 【請求項３７】 請求項３６の楕円曲線演算方法におい
    て、上記事前演算付べき乗テーブル加算ステップは 上記R_t,i
    とc_j,t,iとrとsを入力して、 【数４０】 を演算するステップと、上記d^jとT_jとaを入力して、 【数４１】 を演算してｍＰを得るステップ、 とを含むことを特徴とする楕円曲線演算方法。
38. 【請求項３８】 請求項３７の楕円曲線演算方法におい
    て、上記整数ｄをｄ＝２とし、上記集合Ｂを｛０，１｝
    として上記式(6b)の演算においてc_j,t,i倍の部分を０倍
    及び１倍のみで構成することを特徴とする楕円曲線演算
    方法。
39. 【請求項３９】 請求項３７の楕円曲線演算方法におい
    て、上記整数ｄをｄ＝２とし、上記集合Ｂを｛−１，
    ０，１｝とし、上記式(6b)の演算においてc_j,t,i倍の部
    分を−１倍及び０倍及び１倍のみで構成することを特徴
    とする楕円曲線演算方法。
40. 【請求項４０】 請求項２３の楕円曲線演算方法におい
    て、GF(q)のｋ次拡大体をGF(q^k)とし、代数系GF^*(q^k)を
    GF(q^k)−｛0｝とし、GF(q)の元a_i(0≦i＜k)と、GF^*(q)
    の元αとを用い、αをGF(q)上ｋ次規約多項式f(x)の根
    としてGF(q^k)の元ａをa=a₀＋a₁α＋a₂α²＋…＋a_k-1α
    ^k-1の形式に多項式表現し、 上記ステップ(C)はａの累乗a^q=a₀＋a₁α^q＋a₂α^2q＋…
    ＋a_k-1α^(k-1)qを演算する、多項式基底を用いたべき乗
    演算を行うべき乗演演算ステップを含み、上記べき乗演
    算ステップは、 上記f(x)がx^k-β(β∈GF(q))の形式で表されるように設
    定された有限体GF(q)の位数ｑと、該位数ｑと互いに素
    であるように定められた次数ｋとを入力して、iq mod k
    (1≦i≦k-1)を演算し、その演算結果をiq/(k)と記述す
    るとき、α⁰＝１及びα^iq/(k)(1≦i≦k-1)を昇べきの順
    に再配列して新たな多項式基底として出力する多項式基
    底演算ステップと、 上記位数ｑ、次数ｋ及びβ、iq/(k)を入力して、iq(1≦
    i≦k-1)をｋで除算して小数点以下を切り捨てた整数[iq
    /k]を演算し、さらに、β、iq/kを入力してGF(q^k)の元a
    _i(1≦i≦k-1)の修正因子としてβ^[iq/k](1≦i≦k-1)を
    演算する修正因子演算ステップと、 GF(q^k)の元a_i(1≦i≦k-1)と修正因子β^[iq/k](1≦i≦k-
    1)とｑを入力して、a_iβ^[iq/k]mod qを演算し、その演
    算結果をa_iβ^[iq/k]/(q)と記すとき、a₀とa_iβ^[iq/k]/
    (q)(1≦i≦k-1)とを、上記新たな多項式基底に対応する
    配列に再配列し、各基底要素の係数として出力する係数
    演算ステップと、 上記係数演算ステップの出力をa^qのベクトル表示とし、
    上記昇べきの順序に配列された多項式基底の各要素に、
    対応する係数を乗算して加算した結果をa^qの多項式表現
    として出力する出力ステップ、 とを含むことを特徴とする楕円曲線演算方法。
41. 【請求項４１】 請求項４０の楕円曲線演算方法におい
    て、上記係数演算ステップは、 予め演算された修正因子β^[iq/k](1≦i≦k-1)をメモリ
    手段に蓄積する蓄積ステップと、 入力されたGF(q)の元a_i(1≦i≦k-1)と、上記メモリ手段
    から読み出された修正因子β^[iq/k](1≦i≦k-1)を入力
    してa_iβ^[iq/k]mod qを演算する項別処理ステップと、 a₀とa_iβ^[iq/k]/(q)(1≦i≦k-1)とを入力して、上記昇
    べきの順に配列された新たな多項式基底｛1=α⁰,α
    ^iq/(k)(1≦i≦k-1)｝に対応して新たな配列に再配列
    し、それぞれの対応する基底の係数として出力する置換
    処理ステップ、 とを含むことを特徴とする楕円曲線演算方法。
42. 【請求項４２】 請求項４０の楕円曲線演算方法におい
    て、拡大次数ｋがｑ−１を割り切るように設定された、
    有限体GF(q)の位数ｑ、拡大次数ｋ及びβを用いて、不
    等式0<i<kを満たす総ての整数ｉに対して予め演算され
    たβ^i[(q-1)/k]を入力する入力ステップと、 上記a₁, a₂, …, a_i, …, a_k-1と上記β^i[(q-1)/k]を入
    力して、不等式0<i<kを満たす総ての整数ｉに対してa_i
    β^i[(q-1)/k]を演算し、それぞれのa_iβ^i[(q-1)/k](0<i
    <k)を、a^qのベクトル表現の、基底α^jに対応する要素a'
    _iとして出力する乗算ステップ、 とを含むことを特徴とする楕円曲線演算方法。
43. 【請求項４３】 請求項４２の楕円曲線演算方法におい
    て、上記フロベニウス写像演算ステップの上記入力ステ
    ップは、予め演算されメモリ手段に蓄積されてあるβ
    ^i[(q-1)/k](0<i<k)を読み出して入力することを特徴と
    する楕円曲線演算方法。
44. 【請求項４４】 請求項４２の楕円曲線演算方法におい
    て、上記a₀と上記乗算ステップによって生成されたa'
    _i(0<i<k)とαⁱを入力して、 【数４２】 を演算して、上記a^qの多項式表現として出力する積和演
    算ステップを含むことを特徴とする楕円曲線演算方法。
45. 【請求項４５】 有限体上に定義された楕円曲線E/GF
    (q)上におけるGF(q^k)有理点Ｐのｍ倍を演算する装置に
    使用される楕円曲線演算方法をコンピュータで実行する
    プログラムが記録された記録媒体であり、上記プログラ
    ムは、φ進展開手段と、Ｐ _ｉ 生成手段と、加算手段とを
    用いて以下のステップを実行させることを特徴とする記
    録媒体。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数ｋと、整数ｍと、３以上の素数ｑまたは
    そのべき乗とを上記φ進展開手段に入力するステップ、 (B) 上記ｍと上記kと上記E/GF(q)によって定まるフロベ
    ニウス写像φを入力して、 【数４３】 を満たす整数ｒ，ｃ_i，ただし０＜ｉ＜ｒ，０＜ｒ＜
    ｋ，−ｑ＜ｃ_i ＜ｑを求めるステップ、 (C) 上記有理点Ｐと整数ｒ，ｃ_i、上記写像φ,上記ｑを
    上記Ｐ _ｉ 生成手段に入力して なるｒ個の点Ｐ₀〜Ｐ_r-1を生成するステップ、 (D) 上記ｒ個のＰ₀〜Ｐ_r-1と上記ｃ_iと、上記Eと上記ｒ
    を上記加算手段に入力して 【数４４】 を計算するステップ、 (E) その計算した上記ｍＰを出力するステップ。
46. 【請求項４６】 請求項４５の記録媒体において、上記
    ステップ(D)は以下のステップを含む： (D-1) 上記c_iとｄと上記P_iを入力してc_iがｄ以下となる
    ｉについてP_iをすべて加算した値S_dを求め、 (D-2) c_iの最大値bとS_dとを入力して 【数４５】 を演算し、上記ｍＰを得ることを特徴とする記録媒体。
47. 【請求項４７】 請求項４５の記録媒体において、上記
    ステップ(D)は以下のステップを含む： (D-1) c_iを入力して、その最大値ｂの[log₂b]を求め、 c_iと[log₂b]を入力して 【数４６】 を満たすc_ijを求め、 (D-2) 上記c_ijとP_i,kを入力して、 【数４７】 S_jを演算し、 (D-3) S_jと[log₂b]を入力して、 【数４８】 を演算してＳ＝ｍＰを得ることを特徴とする記録媒体。
48. 【請求項４８】 請求項４５の記録媒体において、上記
    ステップ(D)は以下のステップを含む： (D-1) ｍとｂを入力して、ｍのｂ進展開した値ｍ_iと、
    ｍ_iを２進展開した値ｍ_ijを求め、ただしｂは０＜ｍ＜b
    ^kを満たす整数、 ｍ_ijとP_iとkを入力して 【数４９】 を計算し、 (D-2) c_iを入力して、その最大値ｂを求め、ｂと上記
    計算結果S_jを入力して、 【数５０】 を計算し、その計算結果ＳをｍＰとして演算することを
    特徴とする記録媒体。
49. 【請求項４９】 請求項４５の記録媒体において、加算
    の単位元をＯとすると、上記ステップ(D)はＳ_r＝Ｏとｉ
    ＝ｒ−１を初期値としてメモリに格納し、 メモリよりＳ_i+1とｉを取出し、そのＳ_i+1とP_i、c_i、φ
    を入力して、 Ｓ_i＝c_iＰ＋φＳ_i+1，０＜ｉ＜ｒ (3c) を演算し、かつｉ←ｉ−１として、そのｉと演算結果S
    _i+1をメモリに入力し、これより再び取り出して、上記
    のことを繰り返し、S₀を上記ｍＰとして求めるステップ
    であることを特徴とする記録媒体。
50. 【請求項５０】有限体上に定義された楕円曲線E/GF(q)
    上におけるGF(q^k)有理点Ｐのｍ倍を演算する装置に使用
    される楕円曲線演算方法をコンピュータで実行するプロ
    グラムが記録された記録媒体であり、上記プログラム
    は、φ進展開手段と、Ｐ _ｉ 生成手段と、べき乗テーブル
    加算手段とを用いて以下のステップを実行させることを
    特徴とする記録媒体。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数ｋと、３以上の素数ｑまたはそのべき乗
    とを上記φ進展開手段に入力するステップ、 (B) 上記ｍとｋと上記E/GF(q)によって定まるフロベニ
    ウス写像φを用いて 【数５１】 を満たす整数ｒ，ｃ_i，ただし０＜ｉ＜ｒ，０＜ｒ＜
    ｋ，−ｑ＜ｃ_i ＜ｑを求めるステップ、 (C) 上記有理点Ｐと上記E,ｑを上記Ｐ _ｉ 生成手段に入力
    して、 Ｐ_i＝ｉＰ なるｑ個の点Ｐ₀〜Ｐ_q-1を生成するステップ、 (D) ｒ個の上記Ｐ₀〜Ｐ_r-1と上記ｃ₀〜ｃ_r-1を上記べき
    乗テーブル加算手段に入力して 【数５２】 を計算するステップ、 (E) 計算した上記ｍＰを出力するステップ。
51. 【請求項５１】 請求項５０の記録媒体において、 上記ステップ(D)は、Ｓ _r ＝Ｏ，ｉ＝ｒ−１を初期値としてメモリに格納し、 上記P_iの全部又は一部を用い、かつメモリからＳ _ｉ+１
    とｉを取り出して Ｓ_i＝Ｐ_i＋φＳ_i+1，０＜ｉ＜ｒ （３ｃ） を演算し、かつｉ←ｉ−１として、Ｓ _ｉ+１ とｉをメモ
    リに格納し、 メモリからＳ _ｉ+１ とｉを取り出して上記のことを繰り
    返して演算 するステップであることを特徴とする記録媒
    体。
52. 【請求項５２】 請求項５０の記録媒体において、外部
    から Ｐ_i＝ｉＰ，０＜ｉ＜ｑ となるP_iを少なくとも一部入力し、上記ステップ(D)は
    メモリに対する格納読み出しを繰り返して上記式(3c)の
    演算をＳ_r＝Ｏ，ｉ＝ｒ−１を初期値として Ｓ_i＝Ｐ_i＋φＳ_i+1，０＜ｉ＜ｒ を演算するステップであることを特徴とする記録媒体。
53. 【請求項５３】 請求項４６の記録媒体において、φ進
    展開調整手段に上記ステップ(B)で求めたc _i の列とｒ
    と、上記φを入力して、楕円曲線上のGF(q^k)有理点Ｐに
    対し、 φ^kＰ＝Ｐ が成り立つこと、又は、楕円曲線上のGF(q^k)有理点Ｐに
    対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立つ場合にこれを利用して、 【数５３】 を満たすc'_i, r'を求めて、これらを上記c_i, rとして上
    記べき乗テーブル加算ステップ(D)に与えるφ進展開調
    整ステップを含み、上記ステップ(D)は上記φ進展開調
    整ステップで生成された上記c_iとｒ、上記P_iと上記Eを
    上記加算手段に入力して上記式(2c)の右辺を計算するこ
    とを特徴とする記録媒体。
54. 【請求項５４】 請求項５３の記録媒体において、ｒ＞
    ｋの場合に、上記φ進展開調整ステップは、楕円曲線上
    のGF(q^k)有理点に対し、 φ^kＰ＝Ｐ が成り立つことを利用して、ｋも上記φ進展開調整手段
    に入力してc'_i=c_i＋c_i+k＋c_i+2k＋…,O＜i＜k-1なる変
    換を行うことによってｒ個の列c_iをｋ個の列c'_iに変換
    するステップであることを特徴とする記録媒体。
55. 【請求項５５】 請求項５３又は５４の記録媒体におい
    て、上記ステップ(D)は、上記c_iとP_iを入力して上記c_i
    がｄ以下となるｉについてP_iをすべて加算してS_dを得
    て、 上記各S_dとｒを入力して 【数５４】 を求めることによって上記式(2c)を計算する手段を含
    み、 上記φ進展開調整ステップは、楕円曲線上のGF(q^k)有理
    点Ｐに対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っている場合、これを利用して、c_iの絶対値を
    小さくする変換を施すステップを含むことを特徴とする
    記録媒体。
56. 【請求項５６】 請求項５３又は５４の記録媒体におい
    て、上記ステップ(D)は、 c_iを入力して、その｜c_i｜の最大値ｂの[logb]を求め、
    [a]はaより小さい最大数、 c_iと[logb]を入力して 【数５５】 c_ijを求め、 c_ij,P_i,ｋを入力して 【数５６】 を計算してＳを上記ｍＰとして求め、 上記φ進展開調整ステップは、楕円曲線上のGF(q^k)有理
    点Ｐに対し、 (φ^k-1＋φ^k-2＋…＋１)Ｐ＝０ が成り立っている場合に、これを利用して、c_iを入力し
    てc_iの２進又は符号付２進表現を行い、その各桁０以外
    の値の数で表されるハミング重みを最小化するようにc_i
    を変換するステップを含むことを特徴とする記録媒体。
57. 【請求項５７】 請求項４６，５３又は５４の記録媒体
    において、上記ステップ(D)は加算手段に楕円曲線上の
    点ＰとしてP₁, P₂, …, P_nを入力し、整数ｍとしてｍ₁,
    ｍ₂, …, ｍ_nを入力して、 【数５７】 を計算し,その結果を上記ｍＰとして得ることを特徴と
    する記録媒体。
58. 【請求項５８】 有限体上に定義された楕円曲線E/GF
    (q)上におけるGF(q ^k )有理点Ｐのｍ倍を演算する装置に
    使用される楕円曲線演算方法をコンピュータで実行する
    プログラムが記録された記録媒体であり、上記プログラ
    ムは、φ進展開手段と、Ｒ _t,i 生成手段と、加算手段と
    を用いて以下のステップを実行させることを特徴とする
    記録媒体。： (A) 有理点Ｐと、E/GF(q)上で定義されるフロベニウス
    写像φと、整数ｋと、整数ｍと、３以上の素数ｑまたは
    そのべき乗とを上記φ進展開手段に入力するステップ 、(B)上記整数ｍ，kと 、E/GF(q)によって定まるフロベニ
    ウス写像φを用いて 【数５８】 を満たすｒ，c _i 、ただし0＜i＜r, 0＜r＜k, -q＜c_i＜q
    を求めるステップ、 (C)整 数d及びＰより事前に計算されたｓ個のE/GF(q)上
    のGF(q^k)有理点列Q_t＝d^taP, 0＜t＜s, とφⁱとｒを上記
    Ｒ _t,i 生成手段に入力して、 Ｒ_t,i＝φⁱＱ_t， ただし0＜i＜r を計算してrs個のE/GF(q)上のGF(q^k)有理点R_t,iを求め
    るステップ、 (D)上 記c_i,a,s,t,dを上記加算手段に入力して 【数５９】 を満たすc_j,t,i∈Ｂを求め、ただしＢは整数の有限集合
    で位数の小さいものであり、 上記dとc_j,t,iとR_t,iとａとｒとｓを入力して、 【数６０】 を演算して、上記ｍＰを得る事前演算付べき乗テーブル
    加算ステップ。
59. 【請求項５９】 請求項５８の記録媒体において、上記事前演算付べき乗テーブル加算ステップは 上記R_t,i
    とc_j,t,iとｒとｓを入力して、 【数６１】 を演算するステップと、上記d^jとT_jとaを入力して 【数６２】 を演算してｍＰを得るステップ、 とを含むことを特徴とする記録媒体。
60. 【請求項６０】 請求項５９の記録媒体において、上記
    整数ｄはｄ＝２であり、上記集合Ｂは｛０，１｝であっ
    て上記式(6c)の演算においてc_j,t,i倍の部分を０倍及び
    １倍のみで構成することを特徴とする記録媒体。
61. 【請求項６１】 請求項５９の記録媒体において、上記
    整数ｄはｄ＝２であり、上記集合Ｂは｛−１，０，１｝
    であって上記式(6c)の演算においてc_j,t,i倍の部分を０
    倍及び１倍のみで構成することを特徴とする記録媒体。
62. 【請求項６２】 請求項４６の記録媒体において、GF
    (ｑ)のｋ次拡大体をGF(q^k)とし、代数系GF^*(q^k)をGF
    (q^k)-｛0｝とし、GF(q)の元a_i(0≦i＜k)と、GF^*(q^k)の
    元αとを用い、αをGF(q)上ｋ次既約多項式f(x)の根と
    してGF(q^k)の元aをa=a₀+a₁α+a₂α²…+ a_k-1α^k-1の形
    式に多項式表現すると、上記ステップ（C)はaの累乗a^q=
    a₀+a₁α^q+a₂α^2q…+ a_k-1α^(k-1)qを演算する、多項式
    基底を用いたべき乗演算を行うべき乗演演算ステップを
    含み、上記べき上演算ステップは、 上記f(x)がx^k-β(β∈GF(q)）の形式で表されるように
    設定された有限体の位数ｑと、該位数ｑと互いに素であ
    るように定められた次数ｋとを入力して、iq mod k(1≦
    i≦k-1)を演算し、その演算結果をiq/(k)と記述すると
    き、a₀=1及びα^iq/(k) (1≦i≦k-1)を昇べきの順に再配
    列して新たな多項式基底として出力する多項式基底演算
    ステップと、 上記位数q、次数ｋ及びβとiq/(k)を入力して、iq(1≦i
    ≦k-1)をｋで除算して小数点以下を切り捨てた整数[iq/
    (k)]を演算し、さらに、βとiq/kを入力してGF(q)の元
    a_i(1≦i≦k-1)の修正因子としてβ^[iq/(k)] 1(≦i≦k-
    1)を演算する修正因子演算ステップとGF(q)の元a_i(1≦i
    ≦k-1)と修正因子β^[iq/(k)] (1≦i≦k-1)とqを入力し
    て、a_iβ^[iq/(k)] mod qを演算し、その演算結果をa_iβ
    ^[iq/(k)] /(q)と記すとき、a₀とa_iβ^[iq/(k)] /(q)(1≦
    i≦k-1)とを、上記新たな多項式基底に対応する配列に
    再配列し、各基底要素の係数として出力する係数演算ス
    テップと、 上記係数演算ステップの出力をa^qのベクトル表示とし、
    上記昇べき順序に配列された多項式基底の各要素に、対
    応する係数を乗算して加算した結果をa^qの多項式表現と
    して出力する出力ステップ、 とを含むことを特徴とする記録媒体。
63. 【請求項６３】 請求項６２の記録媒体において、上記
    係数演算ステップは、 予め演算された修正因子β^[iq/(k)] (1≦i≦k-1)メモリ
    手段に蓄積するステップと、 入力されたGF(q)の元a_i(1≦i≦k-1)と、上記メモリ手段
    から読み出された修正因子β^[iq/(k)] (1≦i≦k-1)とを
    入力して、a_iβ^[iq/(k)] mod qを演算する項別処理ステ
    ップと、 a₀とa_iβ^[iq/(k)] /(q) (1≦i≦k-1)とを入力して、上
    記昇べきの順に配列された新たな多項式基底{1=α⁰,α
    ^iq/(k)(1≦i≦k-1)}に対応して新たな配列に再配列し、
    それぞれ対応する基底の係数として出力する置換処理ス
    テップ、 とを含むことを特徴とする記録媒体。
64. 【請求項６４】 請求項６２の記録媒体において、拡大
    次数ｋがq-1が割り切るように設定された、有限体GF(q)
    の位数ｑ、拡大次数ｋ及びβを用いて、不等式0<i<kを
    満たす総ての整数ｉに対して予め演算されたβ
    ^i[(q-1)/k]を入力するステップと、 上記a₁, a₂,…,a_i,…,a_k-1と上記β^i[(q-1)/k]を入力
    し、不等式0<i<kを満たす総ての整数ｉに対してa_iβ
    ^i[(q-1)/k]を演算し、それぞれのa_iβ^i[(q-1)/k](0<i<
    k)を、a^qのベクトル表現の、基底a^jに対応する要素a'_i
    として出力する乗算ステップ、 とを含むことを特徴とする記録媒体。
65. 【請求項６５】 請求項６４の記録媒体において、上記
    フロベニウス写像演算ステップの上記入力ステップは、
    予め演算されメモリ手段に蓄積されてあるβ^i[(q-1)/k]
    (0<i<k)を読み出して入力することを特徴とする記録媒
    体。
66. 【請求項６６】 請求項６４の記録媒体において、上記
    a₀と上記乗算ステップによって生成されたa'_i (0<i<k)
    とαⁱを入力して、 【数６３】 を演算して、上記a^qの多項式表現として出力する積和演
    算ステップを含むことを特徴とする記録媒体。