JP3292107B2 - ２重ベクトル加算装置、２重ベクトル２倍装置及び２重ベクトル整数倍装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術の分野】本発明は、情報セキュリテ
ィ技術としての暗号技術に関し、特に、通信網の利用者
が公開鍵を用いて秘密鍵を共有する方法である公開鍵配
送法、通信網の利用者が公開鍵を用いて相互に秘密通信
を行なう方法であるエルガマル型暗号および通信網の利
用者が通信文の内容や作成者を認証する方法である電子
署名の一方式であるエルガマル型認証等の公開鍵暗号シ
ステム及びこれに用いられる２重ベクトル整数倍装置等
に関する。

【０００２】

【従来の技術】公開された通信網において秘密情報をや
りとりする公開鍵暗号方式に属する種々の技術では、有
限体ＧＦ（ｐ）上での離散対数問題が難しいことに、そ
の安全性の根拠をおいているものが多い。

【０００３】例えば、ディフィ（Ｄｉｆｆｉｅ）とヘル
マン（Ｈｅｌｌｍａｎ）が１９７６年にダブリュ・ディ
フィ、エム・ヘルマン、ニュウ・ディレクションズ・イ
ン・クリプトグラフィ、アイイーイー・トランス・イン
フ・セオリ，ＩＴ−２２，６，６４４−６５４頁（Ｗ．
Ｄｉｆｆｉｅ，Ｍ．Ｈｅｌｌｍａｎ，Ｎｅｗ ｄｉｒｅ
ｃｔｉｏｎｓ ｉｎ ｃｒｙｐｔｏｇｒａｐｈｙ，ＩＥ
ＥＥ Ｔｒａｎｓ．Ｉｎｆ．Ｔｈｅｏｒｙ，ＩＴ−２
２，６，ｐｐ．６４４−６５４）において提案したＤＨ
型公開鍵配送法や、エルガマル（Ｅｌ−Ｇａｍａｌ）
が、ティー・イー・エルガマル、ア・パブリック・キィ
ー・クリプトシステム・アンド・ア・シグナチャー・ス
キーム・ベイスド・オン・ディスクリート・ロガリズ
ム、プロック・クリプト８４、１９８４（Ｔ．Ｅ．Ｅｌ
Ｇａｍａｌ，Ａ Ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏ
ｓｙｓｔｅｍ ａｎｄ ａ ｓｉｇｎａｔｕｒｅ ｓｃ
ｈｅｍｅ ｂａｓｅｄ ｏｎ ｄｉｓ−ｃｒｅｔｅ ｌ
ｏｇａｒｉｔｈｍ，Ｐｒｏｃ．Ｃｒｙｐｔｏ ８４，１
９８４）において提案したエルガマル暗号およびエルガ
マル署名は、有限体ＧＦ（ｐ）上での離散対数問題が難
しいことに安全性の根拠をおいている。

【０００４】有限体ＧＦ（ｐ）上での離散対数問題を説
明する。ｐを素数とし、０以上でｐより小さい整数
｛０，１，…，ｐ−１｝をｐを法として演算する体系Ｇ
Ｆ（ｐ）を考える。いま、Ｙ＝α^X ｍｏｄ ｐ（１≦
Ｘ≦ｐ−１）とする。ここで、αはＧＦ（ｐ）のある固
定された原始根である。すなわち、αの巾乗でＧＦ
（ｐ）の零でない元すべて１，２，…，ｐ−１を表すこ
とができる。このとき、Ｘを、ＧＦ（ｐ）上の、αを底
とするＹの対数と呼ぶ。ＸからＹを計算するのは容易で
あり、２ｌｏｇ₂Ｘ 回の乗算で済む。逆に、ＹからＸ
を計算するのは、現在知られている最良のアルゴリズム
を用いても、非常に難しい。その計算量はｐと同程度の
大きさの合成数を素因数分解する計算量とほぼ同じであ
る。ＹからＸを計算する問題を離散対数問題と呼ぶ。

【０００５】ＤＨ型公開鍵配送法では、上記離散対数問
題を解くことが困難であることを利用して、つぎのよう
にして、利用者Ａと利用者Ｂの間で、公開された通信網
を利用しながらも第３者に知られることなく秘密情報で
ある共有鍵Ｋを共有することができる。まず、素数ｐと
原始根αの値は公開情報として前もって全員に知らせて
おく。まずＡは［０，ｐ−１］間の整数Ｘ_A をランダム
に選び、秘密に保持しておく。Ｂも［０，ｐ−１］間の
整数Ｘ_B をランダムに選び、秘密に保持しておく。そし
て、ＡはＹ_A ＝α^XAｍｏｄ ｐ（１≦Ｙ_A ≦ｐ−１）を
計算し、Ｙ_A をＢに送る。ＢはＹ_B ＝α^XBｍｏｄ ｐ
（１≦Ｙ_B ≦ｐ−１）を計算し、Ｙ_B をＡに送る。この
ようにＹ_A とＹ_B を交換してから、Ａは共有鍵Ｋを次の
ように計算する。

【０００６】 Ｋ＝Ｙ_B ^XA ｍｏｄ ｐ＝（α^XBｍｏｄ ｐ）^XA ｍｏｄ ｐ ＝α^XAXB ｍｏｄ ｐ（１≦Ｋ≦ｐ−１） Ｂも同様にして共有鍵Ｋを次のように計算する。

【０００７】 Ｋ＝Ｙ_A ^XB ｍｏｄ ｐ＝（α^XAｍｏｄ ｐ）^XB ｍｏｄ ｐ ＝α^XAXB ｍｏｄ ｐ（１≦Ｋ≦ｐ−１） 以上の方法でＡとＢは鍵Ｋ＝α^XAXBｍｏｄ ｐを秘密に
共有できた。

【０００８】以後、利用者Ａと利用者Ｂは共有鍵Ｋによ
って秘密通信を行なうことができる。上記の手順におい
て、公開された通信網を流れる情報はＹ_A とＹ_B のみで
あり、これらから秘密情報であるＸ_A やＸ_B を求めるに
は離散対数問題を解く必要があるので、離散対数問題が
困難であるという前提においては、共有鍵Ｋが第３者に
知られることはない。

【０００９】また、エルガマル暗号では、離散対数問題
を解くことが困難であることを利用して、つぎのように
して、公開された通信網において秘密通信を行なうこと
ができる。素数ｐと原始根αの値は公開情報として前も
って全員に知らせておく。各利用者Ｕは整数Ｘ_U を任意
に選び秘密に保持しておく。さらに、各利用者ＵはＹ_U
＝α^XUｍｏｄ ｐ（１≦Ｙ_U ≦ｐ−１）を計算し、公開
鍵として各利用者に通知する。利用者Ａが利用者Ｂに平
文Ｍを秘密通信する場合を考える。まず、利用者Ａは自
分だけが知っている乱数ｋと利用者Ｂの公開鍵Ｙ_B を用
いて次の２組の暗号文Ｃ₁ ，Ｃ₂ を作成する。

【００１０】Ｃ₁ ＝α^k ｍｏｄ ｐ Ｃ₂ ＝Ｍ・Ｙ_B ^k ｍｏｄ ｐ つぎに、利用者Ａは利用者Ｂに暗号文Ｃ₁ ，Ｃ₂ を送
る。暗号文を受信した利用者Ｂは、自分だけが知ってい
る整数ＸＢ を用いて次式を計算して平文Ｍを得る。

【００１１】Ｍ＝Ｃ₁ ^-XB・Ｃ₂ ｍｏｄ ｐ このように、エルガマル暗号においては、公開された通
信網を流れる情報はＣ₁ とＣ₂ のみであり、これらから
秘密情報であるｋやＭを求めるには離散対数問題を解く
必要があるので、離散対数問題が困難であるという前提
において、秘密通信が実現される。

【００１２】また、エルガマル署名では、離散対数問題
を解くことが困難であることを利用して、つぎのように
して、電子署名を実現することができる。素数ｐと原始
根αの値は公開情報として前もって全員に知らせてお
く。証明者Ｕは署名鍵として整数Ｘ_U を任意に選び秘密
に保持しておく。さらに、証明者ＵはＹ_U ＝α^XUｍｏｄ
ｐ（１≦Ｙ_U ≦ｐ−１）を計算し、検証鍵として公開す
る。証明者Ｕの平文Ｍに対する署名を検証者Ｖが検証す
る場合を考える。まず、証明者Ｕは自分だけが知ってい
る乱数ｋと自身の署名鍵Ｘ_U を用いて次の２組の署名文
Ｒ，Ｓを作成する。

【００１３】Ｒ＝α^k ｍｏｄ ｐ Ｓ＝（Ｍ−Ｘ_U ・Ｒ）ｋ^-1 ｍｏｄ ｐ つぎに、証明者Ｕは検証者Ｖに平文Ｍと共に署名文Ｒ，
Ｓを送る。署名文を受信した検証者Ｖは、証明者Ｕの検
証鍵Ｙ_U を用いて次式が成立するか否かを検証する。

【００１４】α^M ＝Ｙ_U ^R・Ｒ^S ｍｏｄ ｐ このように、エルガマル署名においては、公開された通
信網を流れる情報はＭ、ＲおよびＳのみであり、これら
から秘密情報であるＸ_U を求めるには離散対数問題を解
く必要があるので、離散対数問題が困難であるという前
提において、証明者Ｕ以外の人物が証明者Ｕになりすま
すことは困難であり、電子署名が実現される。

【００１５】

【本発明が解決しようとする課題】上にみたように、公
開された通信網において秘密情報をやりとりする公開鍵
暗号方式に属する種々の技術には、有限体ＧＦ（ｐ）上
での離散対数問題が難しいことにその安全性の根拠をお
いているものが多い。ところが、近年の大型計算機の発
達や各種数学アルゴリズムの発展は、上記有限体ＧＦ
（ｐ）上での離散対数問題を比較的少い計算量で解く方
法を種々開発しつつある。その対策として、１０２４ビ
ット、すなわち１０進法で約３００桁以上の大きな素数
ｐを用いることが推奨されているが、約３００桁の大き
な素数ｐに対して有限体ＧＦ（ｐ）上での演算を行うた
めには、有限体演算用の大規模な演算回路が必要とな
り、公開鍵暗号方式に属する種々の技術の実用化を妨げ
る要因となっている。

【００１６】本発明は、暗号システムを提供するための
演算装置として、有限体の代わりに、有限体の２つの元
の組を複数個並べて得られる２重ベクトルを演算する装
置等を提供し、さらに、より小規模で装置化の容易な公
開鍵暗号方式に属する種々の技術を提供することを目的
とする。

【００１７】

【課題を解決するための手段】すでに見たように、公開
鍵暗号方式に属する種々の技術は、有限体、より正確に
は有限体の乗法群の離散対数問題に基づいている。本発
明の原理は、公開鍵暗号方式に属する種々の技術を実現
するために、有限体の乗法群の代りに、有限体上の代数
曲線（以後、単に曲線と呼ぶ）のヤコビアン群を用いる
ことである。

【００１８】曲線のヤコビアン群について説明する。任
意の曲線は、種数と呼ばれる、正の整数に値をもつ属性
をもつ。いま、対象とする曲線Ｃの種数をｇとおくと、
曲線Ｃ上の勝手なｇ個の点の集合の間に以下のようにし
て加算を定義することができる。曲線Ｃ上のｇ個の点か
らなる２つの集合Ｘ₁ ＝｛Ｐ₁₁，Ｐ₁₂，…，Ｐ_1g｝とＸ
₂ ＝｛Ｐ₂₁，Ｐ₂₂，…，Ｐ_2g｝をとる。Ｘ₁ ，Ｘ₂ に対
して、Ｘ₁ とＸ₂ に属する全ての点を通る曲線のうち次
数が最小の曲線を曲線Ｂとする。曲線Ｂは曲線Ｃと、Ｘ
₁ ，Ｘ₂ に属する点以外にもうｇ個の点で交わる。その
ｇ個の点をＱ₁，…，Ｑ_g とおく。さらに、ｇ個の点Ｑ
₁ ，…，Ｑ_g の全てを通る曲線のうち次数が最小の曲線
を曲線Ａとすると、曲線Ａは、曲線Ｃとｇ個の点Ｑ₁ ，
…，Ｑ_g以外に、もうｇ個の点Ｒ₁ ，…，Ｒ_g で交わ
る。Ｘ₁ とＸ₂ の加算結果はＹ＝｛Ｒ₁ ，…，Ｒ_g ｝な
る。このようにして加算の定義された、曲線Ｃ上の勝手
なｇ個の点の集合の集合は、有限体ＧＦ（ｐ）上の曲線
Ｃのヤコビアン群と呼ばれ、その要素数、すなわち曲線
Ｃ上の勝手なｇ個の点の集合の個数は、約ｐ^g 個であ
る。より数学的に詳細で厳密な説明については、例え
ば、１９８６年、ジェイ・エイチ・シルバーマン著、デ
ィ・アリスメティック・オブ・エリプティック・カー
ブ、シュプリンガー・フェアラーク（Ｊ．Ｈ．Ｓｉｌｖ
ｅｒｍａｎ， ＴｈｅＡｒｉｔｈｍｅｔｉｃ ｏｆ Ｅ
ｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ，Ｓｐｒｉｎｇｅｒ−Ｖ
ｅｒｌａｇ，１９８６）にある。

【００１９】暗号学的に十分な強度をもつ、公開鍵暗号
方式に属する種々の技術を実現するには、有限体の乗法
群を用いるにせよ、上記曲線のヤコビアン群を用いるに
せよ、十分な要素数を持つ群を使用しなければならな
い。一般に、有限体ＧＦ（ｐ）の乗法群の要素数はｐ−
１個であるのに対し、有限体ＧＦ（ｐ）上の種数ｇの曲
線のヤコビアン群の要素数は約ｐ^g 個である。したがっ
て、有限体の乗法群の代りに、有限体上の種数ｇの曲線
のヤコビアン群を用いると、暗号学的な強度を同程度の
水準におくとき、すなわち用いる群の要素数を同程度に
設定するとき、用いる有限体ＧＦ（ｐ）のｐの桁数を、
有限体の乗法群を用いる場合にくらべて、約１／ｇ程度
に小さくすることが可能である。すなわち、本発明によ
る、公開鍵暗号方式に属する種々の技術は、暗号学的な
強度を損なうことなく、より小さな有限体を用いること
ができるので、より安価で小規模な装置によって暗号学
的に十分な強度を達成することができる。

【００２０】

【発明の実施の形態】本発明は、有限体の乗法群の代わ
りに、有限体ＧＦ（ｐ）上の、種数ｇの曲線のヤコビア
ン群をもちいる。上に見たように、有限体ＧＦ（ｐ）上
の種数ｇの曲線のヤコビアン群の要素は、曲線上のｇ個
の点からなる点集合｛Ｑ₁ ，…，Ｑ_g｝であり、各点の
座標値を並べた列 ((ｘ(Ｑ₁),ｙ(Ｑ₁)),(ｘ(Ｑ₂),ｙ(Ｑ₂)),…,(ｘ(Ｑ_g),
ｙ(Ｑ_g))) として表現される（ただし、ここでｘ（Ｑ_i ）は点Ｑ_i
のｘ座標を表し、ｙ（Ｑ_i ）は点Ｑ_i のｙ座標を表
す。）。したがって、有限体の２つの元の組を複数個並
べて得られるベクトルを２重ベクトルと呼ぶとき、ヤコ
ビアン群の要素は２重ベクトルによって表され、本発明
による公開鍵暗号方式に属する種々の技術は、有限体上
の２重ベクトルの演算装置によって構成される。

【００２１】［２重ベクトル加算装置］本発明の２重ベ
クトル加算装置の実施の形態について説明する。

【００２２】本発明の２重ベクトル加算装置は、予め定
められた有限体の２つの元の組を複数個並べて得られる
２重ベクトル２重ベクトルＸ₁ ，Ｘ₂ をそれぞれ、パラ
メータＡが定める曲線上の点の集まりＱ₁ ，Ｑ₂ の座標
値列と見なしたときの、当該点の集まりＱ₁ ，Ｑ₂ の、
パラメータＡが定める曲線のヤコビアン群における加算
結果である点の集まりＱ₃ の座標値列である２重ベクト
ルＸ₃ を演算し、出力するものであり、コンピュータ上
に実現することができる。

【００２３】図１に、本発明の２重ベクトル加算装置の
実施の形態を示す。図２に、２重ベクトル加算装置の処
理の流れを示す。図３に、２重ベクトル加算装置におけ
る点集合変換装置の実施の形態を示す。図４に、点集合
変換装置の処理の流れを示す。

【００２４】図１の２重ベクトル加算装置は、和集合計
算装置１１、点集合変換装置１２、メモリ１３、入力装
置１４、出力装置１５、中央処理装置１６から構成され
る。

【００２５】入力手段１４は、２重ベクトルＸ₁ および
Ｘ₂ と一つの曲線を定めるパラメータＡを入力する。

【００２６】メモリ１３は、入力されたＸ₁ を記憶する
Ｘ₁ 記憶ファイルと、入力されたＸ₂ を記憶するＸ₂ 記
憶ファイルと、入力されたＡを記憶するＡ記憶ファイル
と、演算されたＴ₁ を記憶するＴ₁ 記憶ファイルと、演
算されたＴ₂ を記憶するＴ₂記憶ファイルと有する。

【００２７】和集合計算装置１１は、Ｘ₁ 記憶ファイル
からＸ₁ を、Ｘ₂ 記憶ファイルからＸ₂ を、Ａ記憶ファ
イルからＡを取得し、２重ベクトルＸ₁ 、Ｘ₂ をそれぞ
れ、パラメータＡが定める曲線上の点の集まりの座標値
列と見なすとき、上記２つの点の集まりの和集合の座標
値列である２重ベクトルＴ₁ を演算する。

【００２８】点集合変換装置１２は、Ｔ₁ 記憶ファイル
からＴ₁ を、Ａ記憶ファイルからＡを取得し、２重ベク
トルＴ₁ を、パラメータＡが定める曲線上の点の集まり
の座標値列と見なすとき、上記点の集まりの、パラメー
タＡが定める曲線のヤコビアン群における逆元を表す点
の集まりの座標値列である２重ベクトルＴ₂ を演算す
る。さらに点集合変換装置１２は、Ｔ₂ 記憶ファイルか
らＴ₂ を、Ａ記憶ファイルからＡを取得し、２重ベクト
ルＴ₂ を、パラメータＡが定める曲線上の点の集まりの
座標値列と見なすとき、上記点の集まりの、パラメータ
Ａが定める曲線のヤコビアン群における逆元を表す点の
集まりの座標値列である２重ベクトルＸ₃を演算する。

【００２９】出力手段１５は、演算されたＸ₃ を出力す
る。

【００３０】中央処理装置１６は、和集合計算装置１
１、点集合変換装置１２、メモリ１３、入力手段１４、
出力手段１５を制御する。

【００３１】図３に示す点集合変換装置は、共通曲線演
算装置２１と、交点集合演算装置２２と、差集合演算装
置２３と、メモリ２４と、入力装置２５と、出力装置２
６と、中央処理装置２７とから構成される。入力装置２
５は、２重ベクトルＴ₁ と一つの曲線を定めるパラメー
タＡを入力する。

【００３２】メモリ２４は、入力されたＴ₁ を記憶する
Ｔ₁ 記憶ファイルと、入力されたＡを記憶するＡ記憶フ
ァイルと、演算されたＢを記憶するＢ記憶ファイルと、
演算されたＳ₁ を記憶するＳ₁ 記憶ファイルとを有す
る。

【００３３】共通曲線演算装置２１は、Ｔ₁ 記憶ファイ
ルからＴ₁ を、Ａ記憶手段からＡを取得し、２重ベクト
ルＴ₁ を、パラメータＡが定める曲線上の点の集まりの
座標値列と見なすとき、上記点の集まりに含まれる全て
の点を通る曲線のパラメータＢを演算する。

【００３４】交点集合演算装置２２は、Ｂ記憶ファイル
からＢを、Ａ記憶ファイルからＡを取得し、パラメータ
Ａの定める曲線とパラメータＢの定める曲線との全ての
交点の座標値列である２重ベクトルＳ₁ を演算する。

【００３５】差集合演算装置２３は、Ｔ₁ 記憶ファイル
からＴ₁ を、Ｓ₁ 記憶ファイルからＳ₁ を取得し、２重
ベクトルＴ₁ およびＳ₁ をそれぞれ、パラメータＡが定
める曲線上の点の集まりの座標値列と見なすとき、２重
ベクトルＳ₁ の表す点の集まりから２重ベクトルＴ₁ の
表す点の集まりに属する点を全て取り除いた点の集まり
の座標値列である２重ベクトルＴ₂ を演算する。

【００３６】出力装置２６は、演算されたＴ₂ を出力す
る。

【００３７】中央処理装置２７は、共通曲線演算装置２
１と、交点集合演算装置２２と、差集合演算装置２３
と、メモリ２４と、入力装置２５と、出力装置２６とを
制御する。

【００３８】なお、ここで、中央処理装置２７、入力装
置２５、出力装置２６、メモリ２４は、図１の中央処理
装置１６、入力装置１４、出力装置１５、メモリ１３を
用いることができる。また、入力装置から入力されたＴ
₁ 、Ａを用いずに図１のメモリに記憶されているＴ₁ 、
Ａを用いることもできる。

【００３９】次に図１および図３の２重ベクトル加算装
置の動作を、有限体ＧＦ（１７）上の曲線ｙ³ ＝ｘ⁴ ＋
１を用いた場合を例として説明する。

【００４０】図１の２重ベクトル加算装置において、位
数１７の有限体ＧＦ（１７）上の２つの２重ベクトルＸ
₁ ＝（（０，１），（１，８），（２，０）），Ｘ₂ ＝
（（３，１０），（４，８），（５，１０））とＧＦ
（１７）上の曲線ｙ₃ ＝ Ｆ（ｘ）＝ｘ⁴ ＋１を定める
パラメータＡ＝（３，４，−１，０，０，０，０，０，
０，０，０，１，−１）とが入力装置から入力されたと
する。ここで、パラメータＡのデータフォーマットは図
５の通りとする。

【００４１】まず、中央処理装置は、入力された２重ベ
クトルＸ₁ ，Ｘ₂ およびパラメータＡをメモリ１３に一
時的に記憶する。つぎに、中央処理装置１６は、Ｘ₁ 記
憶ファイル、Ｘ₂ 記憶ファイルから、それぞれ２重ベク
トルＸ₁ ，Ｘ₂ を取得し、和集合計算装置１１に入力す
る。和集合計算装置１１は２重ベクトルＸ₁ 、Ｘ₂ をそ
れぞれ点の集まりの座標値列とみなし、それらの和集合
を計算する。すなわち、２重ベクトルＸ₁ を点（０，
１），点（１，８），および点（２，０）の３点からな
る集合と見做し、２重ベクトルＸ₂ を点（３，１０），
点（４，８），および点（５，１０）の３点からなる集
合と見做した上で、その和集合を計算すると、｛（０，
１），（１，８），（２，０），（３，１０），（４，
８），（５，１０）｝が得られるので、対応する２重ベ
クトルＴ₁ ＝（（０，１），（１，８），（２，０），
（３，１０），（４，８），（５，１０））を出力す
る。

【００４２】次に、中央処理装置１６は、和集合計算装
置１１の出力である前記２重ベクトルＴ₁ をメモリ１３
に一時的に記憶する。

【００４３】次に、中央処理装置は、Ｔ₁ 記憶ファイル
から２重ベクトルＴ₁ を、Ａ記憶ファイルからパラメー
タＡを取得し、それらを点集合変換装置１２に入力す
る。点集合変換装置１２は、以下に示す演算処理によっ
て、前記２重ベクトルＴ₁ をパラメータＡが定める曲線
上の点の集まりの座標値列と見なしたとき、対応する点
集合の、パラメータＡが定める曲線のヤコビアン群にお
ける逆元に相当する点集合の座標値列である２重ベクト
ルＴ₂ を出力する。

【００４４】点集合変換装置１２の行なう演算処理を図
３を参照しながら説明する。

【００４５】まず、図３において、２重ベクトルＴ₁ と
パラメータＡが入力装置より入力される。つぎに、中央
処理装置２７は、入力された２重ベクトルＴ₁ とパラメ
ータＡをメモリ２４に一時的に記憶する。和集合計算装
置１１による演算の結果がメモリ１３に記憶されている
場合、これを読み出しても良い。

【００４６】つぎに、中央処理装置２７は、Ｔ₁ 記憶フ
ァイルからＴ₁ を、Ａ記憶ファイルからＡを取得し、共
通曲線演算装置２１に入力する。共通曲線演算装置２１
は、以下に示す演算処理によって、２重ベクトルＴ₁ の
表す点集合に含まれる全ての点を重複度を含めて通る曲
線を定めるパラメータＢを、図５に示すデータフォーマ
ットで出力する。

【００４７】共通曲線演算装置２１の行なう演算処理の
流れを図６を参照しながら説明する。図６のステップ６
１において、共通曲線演算装置２１は、まず、入力され
たパラメータＡ＝（３，４，−１，０，０，０，０，
０，０，０，０，１，−１）からｙの次数３とｘの次数
４を読み出し、ｉを０以上の任意の整数、ｊを０以上２
以下の任意の整数とするとき、不定元ｘとｙからなる単
項式ｘⁱ ｙ^j に対して、その重みを３ｉ＋４ｊと設定す
る。

【００４８】次に、共通曲線演算装置２１は、図６のス
テップ６２において、入力された前記２重ベクトルＴ₁
の表す点集合｛（０，１），（１，８），（２，０），
（３，１０），（４，８），（５，１０）｝の要素数を
計算し、要素数６を得て、前記単項式ｘⁱ ｙ^j （ｉ≧
０，０≦ｊ≦２）からその重みが小さい方から６＋１＝
７個まで選択し、｛１，ｘ，ｙ，ｘ² ，ｘｙ，ｙ² ，ｘ
³ ｝を得て、選択した単項式｛１，ｘ，ｙ，ｘ² ，ｘ
ｙ，ｙ² ，ｘ³ ｝の未定係数｛ａ，ｂ，ｃ，ｄ，ｅ，
ｆ，ｇ｝による線形結合ａ＋ｂｘ＋ｃｙ＋ｄｘ² ＋ｅｘ
ｙ＋ｆｙ² ＋ｇｘ³ を構成する。

【００４９】次に、共通曲線演算装置２１は、図６のス
テップ６３において、該線形結合ａ＋ｂｘ＋ｃｙ＋ｄｘ
² ＋ｅｘｙ＋ｆｙ² ＋ｇｘ³ に、前記２重ベクトルＴ₁
の表す点集合｛（０，１），（１，８），（２，０），
（３，１０），（４，８），（５，１０）｝に含まれる
各点の座標を代入して、連立一次方程式ａ＋ｃ＋ｆ＝０ ａ＋ｂ＋８ｃ＋ｄ＋８ｅ＋１３ｆ＋ｇ＝０ ａ＋２ｂ＋４ｄ＋８ｇ＝０ ａ＋３ｂ＋１０ｃ＋ ９ｄ＋１３ｅ＋１５ｆ＋１０ｇ＝０ ａ＋４ｂ＋ ８ｃ＋１６ｄ＋１５ｅ＋１３ｆ＋１３ｇ＝０ ａ＋５ｂ＋１０ｃ＋ ８ｄ＋１６ｅ＋１５ｆ＋ ６ｇ＝０ を得る。

【００５０】次に、共通曲線演算装置２１は、図６のス
テップ６４において、上記連立一次方程式を解くことに
より、前記未定係数をａ＝８，ｂ＝４，ｃ＝１４，ｄ＝
４，ｅ＝１６，ｆ＝１２，ｇ＝１３と決定する。

【００５１】最後に、共通曲線演算装置２１は、図６の
ステップ６５において、上記決定された係数（８，４，
１４，４，１６，１２，１３）にｙ，ｘの次数の情報
（２，３）を前置きしてパラメータＢ＝（２，３，８，
４，１４，４，１６，１２，１３）を構成し、出力す
る。共通曲線演算装置２１の行なう演算処理の流れの説
明を終える。

【００５２】つぎに、図３において、中央処理装置２７
は、共通曲線演算装置２１の出力であるパラメータＢを
メモリ２４に一時的に記憶する。つぎに、中央処理装置
２７は、Ｂ記憶ファイルからパラメータＢを、Ａ記憶フ
ァイルからパラメータＡを取得し、それらを交点集合演
算装置２２に入力する。

【００５３】交点集合演算装置２２は、以下に示す演算
処理によって、パラメータＡが表す曲線とパラメータＢ
が表す曲線との全ての交点からなる点集合の座標値列で
ある２重ベクトルＴ₂ を出力する。

【００５４】交点集合演算装置２２の行なう演算処理の
流れを図７を参照しながら説明する。図７のステップ７
１において、交点集合演算装置２２は、入力されたパラ
メータＡ＝（３，４，−１，０，０，０，０，０，０，
０，０，１，−１）から曲線の定義方程式ｆ（ｘ，ｙ）
＝ｙ³ −ｘ⁴ −１＝０を構成し、入力されたパラメータ
Ｂ＝（２，３，８，４，１４，４，１６，１２，１３）
から曲線の定義方程式ｇ（ｘ，ｙ）＝８＋４ｘ＋１４ｙ
＋４ｘ² ＋１６ｘｙ＋１２ｙ² ＋１３ｘ³ ＝０を構成
し、ｆ（ｘ，ｙ）とｇ（ｘ，ｙ）のｙに関する終結式を
行列式

【００５５】

【数１】

【００５６】を展開することによって計算し、多項式ｓ
（ｘ）＝１６ｘ＋２ｘ² ＋１３ｘ³ ＋１３ｘ⁴ ＋１０ｘ
⁵ ＋２ｘ⁶ ＋８ｘ⁸ ＋４ｘ⁹ を得る（終結式の詳細につ
いては、例えば、ファン・デル・ヴェルデン，代数幾何
学入門，シュプリンガー・フェアラーク東京、にあ
る。）。

【００５７】次に、交点集合演算装置２２は、図７のス
テップ７２において、ｓ（ｘ）＝０の解ｘ₁ ＝０，ｘ₂
＝１３，ｘ₃ ＝５，ｘ₄ ＝４，ｘ₅ ＝３，ｘ₆ ＝２，ｘ
₇ ＝１，ｘ₈ ＝α₁ ，ｘ₉ ＝α₂ を全て求める。ただ
し、α₁ ，α ₂ は２次の既約式１６＋１３ｘ＋ｘ² の
解である。

【００５８】次に、交点集合演算装置２２は、図７のス
テップ７３において、得られた各解ｘ_i に対し、ｆ（ｘ
_i ，ｙ）とｇ（ｘ_i ，ｙ）の最大公約式ｔ_i （ｙ）を計
算し、方程式ｔ_i （ｙ）＝０の解ｙ＝ｙ_i,1 ，… ，ｙ
_i,miを全て求める。

【００５９】すなわち、ｉ＝１のとき、ｘ₁ ＝０なの
で、ｆ（０，ｙ）とｇ（０，ｙ）の最大公約式を計算
し、１６＋ｙを得て、１６＋ｙ＝０の解としてｙ１，１
＝１を得る。ｉ＝２のとき、ｘ₂ ＝１３なので、ｆ（１
３，ｙ）とｇ（１３，ｙ）の最大公約式を計算し、９＋
ｙを得て、９＋ｙ＝０の解としてｙ_2,1 ＝８を得る。ｉ
＝３のとき、ｘ₃ ＝５ なので、ｆ（５，ｙ）とｇ
（５，ｙ）の最大公約式を計算し、７＋ｙを得て、７＋
ｙ＝０の解としてｙ_3,1 ＝１０を得る。ｉ＝４のとき、
ｘ₄ ＝４なので、ｆ（４，ｙ）とｇ（４，ｙ）の最大公
約式を計算し、９＋ｙを得て、９＋ｙ＝０の解としてｙ
４，１＝８を得る。ｉ＝５のとき、ｘ₅ ＝３なので、ｆ
（３，ｙ）とｇ（３，ｙ）の最大公約式を計算し、７＋
ｙを得て、７＋ｙ＝０の解としてｙ_5,1 ＝１０を得る。
ｉ＝６のとき、ｘ₆ ＝２なので、ｆ（２，ｙ）とｇ
（２，ｙ）の最大公約式を計算し、ｙを得て、ｙ＝０の
解としてｙ_6,1＝０を得る。ｉ＝７のとき、ｘ₇ ＝１な
ので、ｆ（１，ｙ）とｇ（１，ｙ）の最大公約式を計算
し、９＋ｙを得て、９＋ｙ＝０の解としてｙ_7,1 ＝８を
得る。ｉ＝８のとき、ｘ₈ ＝α₁ なので、ｆ（α₁ ，
ｙ）とｇ（α₁ ，ｙ）の最大公約式を計算し、８＋８α
₁ ＋ｙを得て、８＋８α₁ ＋ｙ＝０の解としてｙ_8,1 ＝
９＋９α₁ を得る。ｉ＝９のとき、ｘ₉ ＝α₂ なので、
ｆ（α₂ ，ｙ）とｇ（α₂ ，ｙ）の最大公約式を計算
し、８＋８α₂ ＋ｙを得て、８＋８α₂ ＋ｙ＝０の解と
してｙ_9,1 ＝９＋９α₂ を得る。

【００６０】最後に、交点集合演算装置２２は、図７の
ステップ７４において、点集合｛（ｘ_i ，ｙ_i ， _j ）
｜１≦ｉ≦ｎ，１≦ｊ≦ｍ_i ｝の座標値列である２重ベ
クトルＳ₁ ＝（（０，１），（１３，８），（５，１
０），（４，８），（３，１０），（２，０），（１，
８），（α₁ ，９＋９α₁ ），（α₂ ，９＋９α₂ ））
を出力する。交点集合演算装置２２の行なう演算処理の
説明を終える。

【００６１】つぎに、図３において、中央処理装置２７
は、交点集合演算装置２２の出力である２重ベクトルＳ
₁ をメモリ２４に一時的に記憶する。つぎに、中央処理
装置２７は、Ｔ₁ 記憶ファイルから２重ベクトルＴ
₁ を、Ｓ₁ 記憶ファイルから２重ベクトルＳ₁ を取得
し、それらを差集合演算装置２３に入力する。

【００６２】差集合演算装置２３は、２重ベクトルＳ₁
の表す点集合｛（０，１），（１３，８），（５，１
０），（４，８），（３，１０），（２，０），（１，
８），（α₁ ，９＋９α₁ ），（α₂ ，９＋９α₂ ）｝
と２重ベクトルＴ₁ の表す点集合｛（０，１），（１，
８），（２，０），（３，１０），（４，８），（５，
１０）｝との差集合｛（１３，８），（α₁ ，９＋９α
₁ ），（α₂ ，９＋９α₂ ）｝を計算し、その座標値列
である２重ベクトルＴ₂ ＝（（１３，８），（α₁ ，９
＋９α₁ ），（α₂ ，９＋９α₂ ））を出力する。

【００６３】最後に、中央処理装置２７は、２重ベクト
ルＴ₂ を出力装置へ出力する。点集合変換装置１２の行
なう演算処理の説明を終える。

【００６４】次に、図１において、中央処理装置は、点
集合変換装置１２の出力である前記２重ベクトルＴ₂ を
メモリ２４に一時的に記憶する。次に、中央処理装置
は、Ｔ₂ 記憶ファイルから２重ベクトルＴ₂ を、Ａ記憶
ファイルからパラメータＡを取得し、それらを再び点集
合変換装置１２に入力する。点集合変換装置１２は、先
に見たのと全く同様の演算処理によって、前記２重ベク
トルＴ₂ をパラメータＡが定める曲線上の点の集まりの
座標値列と見なしたとき、対応する点集合の、パラメー
タＡが定める曲線のヤコビアン群における逆元に相当す
る点集合の座標値列である２重ベクトルＸ₃ ＝（（１，
８），（β_{1 ,}１４＋８β₁ ），（β₂ ，１４＋８
β₂ ））を出力する。ただし、β₁ ，β ₂ は２次の既
約式 １４＋１０ｘ＋ｘ² の解である。

【００６５】最後に、中央処理装置は、２重ベクトルＸ
₃ を出力装置へ出力する。以上で、本発明の２重ベクト
ル加算装置の実施の形態の説明を終える。

【００６６】［２重ベクトル２倍装置］本発明の２重ベ
クトル２倍装置の実施の形態について説明する。

【００６７】本発明の２重ベクトル２倍装置は、予め定
められた有限体上の２重ベクトルＸを、パラメータＡが
定める曲線上の点の集まりＱの座標値列と見なしたとき
の、当該点の集まりＱの、パラメータＡが定める曲線の
ヤコビアン群における２倍である点の集まりＲの座標値
列である２重ベクトルＹを演算し、出力するものであり
コンピュータ上に実現することができる。

【００６８】図８に、本発明の２重ベクトル２倍装置の
実施の形態を示す。図９に、本発明の２重ベクトル２倍
装置の処理の流れを示す。

【００６９】本発明の２重ベクトル２倍装置は、２重ベ
クトル加算装置３１と、メモリ３２と、入力装置３３
と、出力装置３４と、中央処理装置３５とから構成され
る。

【００７０】２重ベクトル加算装置３１は、上述の２重
ベクトル加算装置である。メモリ３２は、２重ベクトル
Ｘを記憶するＸ記憶ファイルと、２重ベクトルＸ’を記
憶するＸ’記憶ファイルを有する。

【００７１】なお、入力装置３３、出力装置３４、中央
処理装置３５、メモリ３２は、２重ベクトル加算装置の
中央処理装置１６、入力装置１４、出力装置１５、メモ
リ１３を用いることができる。

【００７２】図８を参照しながら、本発明の２重ベクト
ル２倍装置の動作を例を通して説明する。図８の２重ベ
クトル２倍装置において、位数１７の有限体ＧＦ（１
７）上の２重ベクトルＸ＝（（０，１），（１，８），
（２，０））とＧＦ（１７）上の曲線ｙ³ ＝Ｆ（ｘ）＝
ｘ⁴ ＋１を定めるパラメータＡ＝（３，４，−１，０，
０，０，０，０，０，０，０，１，−１）とが入力装置
から入力されたとする。パラメータＡのデータフォーマ
ットは図５の通りとする。

【００７３】まず、中央処理装置３５は、上記２重ベク
トルＸとその複製である２重ベクトルＸ’＝Ｘと上記パ
ラメータＡとをメモリ３２に一時的に記憶する。

【００７４】つぎに、中央処理装置３５は、Ｘ記憶ファ
イルから２重ベクトルＸを、Ｘ’記憶ファイルから２重
ベクトルＸ’を、Ａ記憶ファイルからパラメータＡを取
得し、それらを２重ベクトル加算装置３１に入力し、２
重ベクトルＸ₂ ＝（（７，１１），（１１，γ ₁ ），
（１１，γ ₂ ））を得る。ここで、γ₁ とγ₂ は既約
な２次式ｘ² ＋１１ｘ＋２の解である。最後に、中央処
理装置は、上記２重ベクトルＸ₂ を出力装置へ出力す
る。

【００７５】［２重ベクトル整数倍装置］本発明の２重
ベクトル整数倍装置の発明の実施の形態について説明す
る。

【００７６】本発明の２重ベクトル整数倍装置は、予め
定められた有限体の２つの元の組を複数個並べて得られ
る２重ベクトルＸを、パラメータＡが定める曲線上の点
の集まりＱの座標値列と見なしたときの、当該点の集ま
りＱの、パラメータＡが定める曲線のヤコビアン群にお
けるｎ倍である点の集まりＲの座標値列である２重ベク
トルＺを演算し、出力するものでありコンピュータ上に
実現することができる。

【００７７】図１０に、本発明の２重ベクトル整数倍装
置の実施の形態を示す。図１１に、本発明の２重ベクト
ル整数倍装置の処理の流れを示す。

【００７８】本発明の２重ベクトル整数倍装置は、２重
ベクトル加算装置４１と、２重ベクトル２倍装置４２
と、メモリ４３と、入力装置４４と、出力装置４５と、
中央処理装置４６とから構成される。

【００７９】２重ベクトル加算装置４１は、上述の２重
ベクトル加算装置である。２重ベクトル２倍装置４２は
上述の２重ベクトル２倍装置である。メモリ４３は、整
数ｎを記憶するｎ記憶ファイルと、２重ベクトルＸを記
憶するＸ記憶ファイルと、２重ベクトルＹを記憶するＹ
記憶ファイルと、２重ベクトルＺを記憶するＺ記憶ファ
イルと、整数ｒを記憶するｒ記憶ファイルとを有する。

【００８０】なお、入力装置４４、出力装置４５、中央
処理装置４６、メモリ４３は、２重ベクトル加算装置の
中央処理装置１６、入力装置１４、出力装置１５、メモ
リ１３を用いることができる。

【００８１】次に、本発明の２重ベクトル整数倍装置の
動作について図１０、１１を用いて説明する。

【００８２】まず、入力装置において整数ｎと２重ベク
トルＸと一つの曲線を定めるパラメータＡを入力する。
入力された整数ｎをメモリ４３のｎ記憶ファイルに記憶
し、入力された２重ベクトルＸをメモリ４３のＸ記憶フ
ァイルに記憶し、入力されたパラメータＡをメモリ４３
のＡ記憶ファイルに記憶に記憶する（ステップ１１０
１）。

【００８３】次に、メモリ４３のＺ記憶ファイルの初期
値として空の２重ベクトルＺを記憶し、入力された２重
ベクトルＸのコピーである２重ベクトルＹをメモリ４３
のＹ記憶ファイルに記憶する（ステップ１１０２）。

【００８４】次に中央処理装置４６は、ｎ記憶ファイル
から整数ｎを取得し、ｎを２で割った余りｒを求め、こ
れを新たなｒとしｒ記憶ファイルを更新する。同様にｎ
記憶ファイルから整数ｎを取得し、ｎを２で割った商を
求め、これを新たなｎとしｎ記憶ファイルを更新する
（ステップ１１０３）。

【００８５】次に、中央処理装置は、ｒ記憶ファイルか
らｒを取得し、ｒが１か否かを判断する（ステップ１１
０４）。

【００８６】ステップ１１０４の結果、ｒが１ならば、
中央処理装置は、Ｙ記憶ファイルから２重ベクトルＹ
を、Ｚ記憶ファイルからから２重ベクトルＺを、Ａ記憶
ファイルからパラメータＡを取得し、２重ベクトル加算
装置４１に２重ベクトルＹ、Ｚ及びパラメータＡを入力
し、ＹとＺの和を求め、これを新たな２重ベクトルＺと
してＺ記憶ファイルを更新する（ステップ１１０５）。

【００８７】ステップ１１０４の結果、ｒが１でないな
らば、中央処理装置４６は、ｎ記憶ファイルからｎを取
得し、ｎが０より大きいか判断する（ステップ１１０
６）。

【００８８】ステップ１１０６の結果、ｎが０より大き
いならば、中央処理装置４６は、Ｙ記憶ファイルから２
重ベクトルＹを、Ａ記憶ファイルからパラメータＡを取
得し、２重ベクトル２倍装置４２に２重ベクトルＹとパ
ラメータＡを入力し、２重ベクトルＹの２倍を求め、こ
れを新たな２重ベクトルＹとしＹ記憶ファイルを更新
し、ステップ１１０３にもどる（ステップ１１０８）。

【００８９】ステップ１１０６の結果、ｎが０に等しい
ならば、中央処理装置４６は、Ｚ記憶ファイルから２重
ベクトルＺを取得し出力し処理を終了する（ステップ１
１０７）。

【００９０】図１０、１１を参照しながら、本発明の２
重ベクトル整数倍装置の実施例を説明する。

【００９１】図１０の２重ベクトル整数倍装置におい
て、位数１７の有限体ＧＦ（１７）上の２重ベクトルＸ
＝｛（０，１），（１，８），（２，０）｝とＧＦ（１
７）上の曲線ｙ³ ＝Ｆ（ｘ）＝ｘ⁴ ＋１を定めるパラメ
ータＡ＝（３，４，−１，０，０，０，０，０，０，
０，０，１，−１）と整数ｎ＝５とが入力装置より入力
されたとする。パラメータＡのデータフォーマットは図
５の通りとする。

【００９２】まず、中央処理装置４６は、２重ベクトル
Ｘと、Ｘのコピーである２重ベクトルＹと、空の２重ベ
クトルＺと、パラメータＡと整数ｎをメモリ４３に一時
的に記憶する（ステップ１１０１、１１０２）。

【００９３】つぎに、中央処理装置４６は、ｎ記憶ファ
イルよりｎを取得し、ｎ＝５を２で割った余りｒ＝１を
求め、ｒ記憶ファイルに一時的に記憶する。さらに中央
処理装置４６は、ｎ記憶ファイルより整数ｎを取得し、
ｎ＝５を２で割った商２を求め、新たにｎ記憶ファイル
に一時的に記憶する（ステップ１１０３）。

【００９４】つぎに、中央処理装置４６は、ｒ記憶ファ
イルより整数ｒを取得し、ｒが１であるので（ステップ
１１０４）、Ｙ記憶ファイルから２重ベクトルＹを、Ｚ
記憶ファイルから２重ベクトルＺを、Ａ記憶ファイルか
らパラメータＡを取得し、２重ベクトル加算装置４１に
２重ベクトルＹ、ＺとパラメータＡを入力し、出力され
た２重ベクトル｛（０，１），（１，８），（２，
０）｝を新たにＺ記憶ファイルに一時的に記憶する（ス
テップ１１０５）。

【００９５】つぎに、中央処理装置４６は、ｎ記憶ファ
イルから整数ｎを取得し、ｎの値２が０より大きいので
（ステップ１１０６）、Ｙ記憶ファイルから２重ベクト
ルＹを、Ａ記憶ファイルからパラメータＡを取得し、２
重ベクトル２倍装置４２に２重ベクトルＹとパラメータ
Ａを入力し、出力された２重ベクトル（（７，１１），
（１１，α ₁ ），（１１，α ₂ ））を新たにＹ記憶フ
ァイルに一時的に記憶する（ステップ１１０８）。ここ
で、α₁ とα₂ は既約な２次式ｘ² ＋１１ｘ＋２の解で
ある。

【００９６】つぎに、中央処理装置４６は、ｎ記憶ファ
イルより整数ｎを取得し、ｎ＝２を２で割った余りｒ＝
０を求め、ｒ記憶ファイルに一時的に記憶する。さらに
中央処理装置４６は、ｎ記憶ファイルより整数ｎを取得
し、ｎ＝２を２で割った商１を求め、新たにｎ記憶ファ
イルに一時的に記憶する（ステップ１１０３）。

【００９７】つぎに、中央処理装置４６は、ｒ記憶ファ
イルより整数ｒを取得し、ｒが１でないことを確認する
（ステップ１１０６）。

【００９８】つぎに、中央処理装置４６は、ｎ記憶ファ
イルから整数ｎを取得し、ｎの値１が０より大きいので
（ステップ１１０６）、Ｙ記憶ファイルから２重ベクト
ルＹを、Ａ記憶ファイルからパラメータＡを取得し、２
重ベクトル２倍装置４２に２重ベクトルＹとパラメータ
Ａを入力し、出力された２重ベクトル（（β₁ ，１６＋
３β₁ ＋７β₁ ²），（β₂ ，１６＋３β₂ ＋７β₂ ²），
（β₃ ，１６＋３β₃＋７β₃ ²））を新たにＹ記憶ファ
イルに一時的に記憶する（ステップ１１０８）。ここ
で、β₁ ，β ₂ ，β ₃ は既約な３次式ｘ³ ＋１４ｘ²
＋６ｘ＋８の解である。

【００９９】つぎに、中央処理装置４６は、ｎ記憶ファ
イルより整数ｎを取得し、ｎの値が１でなので、ｎ＝１
を２で割った余りｒ＝１を求め、新たにｒ記憶ファイル
に一時的に記憶する。さらに、中央処理装置４６は、ｎ
記憶ファイルより整数ｎを取得し、ｎ＝１を２で割った
商０を求め、新たにｎ記憶ファイルに一時的に記憶する
（ステップ１１０３）。

【０１００】つぎに、中央処理装置４６は、ｒ記憶ファ
イルより整数ｒを取得し、ｒが１であるので（ステップ
１１０４）、Ｙ記憶ファイルから２重ベクトルＹを、Ｚ
記憶ファイルから２重ベクトルＺを、Ａ記憶ファイルか
らパラメータＡを取得し、２重ベクトル加算装置４１に
２重ベクトルＹ、ＺとパラメータＡを入力し、出力され
た２重ベクトル（（γ₁ ，１３＋２γ₁ ＋５γ₁ ²），
（γ₂ ，１３＋２γ₂ ＋５γ₂ ²），（γ₃ ，１３＋２γ
₃ ＋５γ₃ ²））を新たにＺ記憶ファイルに一時的に記憶
する（ステップ１１０５）。ここで、γ₁ ，γ ₂ ，γ
₃ は既約な３次式ｘ³ ＋８ｘ² ＋７ｘ＋９の解であ
る。

【０１０１】つぎに、中央処理装置４６は、ｎ記憶ファ
イルより整数ｎを取得し、ｎの値が０なので（ステップ
１１０６）、Ｚ記憶ファイルから２重ベクトルＺを取得
し、出力装置に出力する（ステップ１１０８）。

【０１０２】［公開鍵配送システム］本発明の公開鍵配
送システムの実施の形態について説明する。図１２に、
本発明の２重ベクトル整数倍装置を用いた公開鍵配送シ
ステムの実施の形態を示す。図１３に図１２の公開鍵配
送システムのセンターの実施形態を示す。図１４に図１
２の公開鍵配送システムの利用者端末の実施形態を示
す。さらに図１５に本発明の２重ベクトル整数倍装置を
用いた公開鍵配送システムの手順の内容を示す。図１２
〜１５を参照しながら、本発明の公開鍵配送システムの
動作を説明する。

【０１０３】本発明の公開鍵配送システムは、図１２に
示すようにセンターと複数の利用者端末から構成され図
１５に示す手順が実行される。

【０１０４】本発明の公開鍵配送システムでは、まず、
センターにより、一つの曲線を定めるパラメータＡおよ
び２重ベクトルＱを前もって全員に知らせておく（ステ
ップ１５１）。

【０１０５】そして、利用者端末Ｕは、整数ｎ_U をラン
ダムに選び秘密に保持する。同様に利用者端末Ｖも、整
数ｎ_V をランダムに選び秘密に保持する。さらに利用者
端末Ｕは、自身の秘密情報である整数ｎ_U と公開情報で
ある２重ベクトルＱおよびパラメータＡを２重ベクトル
整数倍装置に入力し、出力された２重ベクトルＱ_U ＝ｎ
_U ・Ｑを利用者端末Ｖに送る。利用者端末Ｖも、同様に
自身の秘密情報である整数ｎ_V と公開情報である２重ベ
クトルＱおよびパラメータＡを２重ベクトル整数倍装置
に入力し、出力された２重ベクトルＱ_V ＝ｎ_V ・Ｑを利
用者端末Ｕに送る（ステップ１５２）。

【０１０６】その後、利用者端末Ｕは、利用者端末Ｖよ
り送られた２重ベクトルＱ_V と自身の秘密情報である整
数ｎ_U と公開情報であるパラメータＡを２重ベクトル整
数倍装置に入力し、出力された２重ベクトルＫ＝ｎ_U ・
Ｑ_V ＝ｎ_U ・ｎ_V ・Ｑを共有鍵Ｋとする。利用者端末Ｖ
も、同様に利用者利用者Ｕより送られた２重ベクトルＱ
_U と自身の秘密情報である整数ｎ_V と公開情報であるパ
ラメータＡを２重ベクトル整数倍装置に入力し、出力さ
れた２重ベクトルＫ＝ｎ_V ・Ｑ_U ＝ｎ_V ・ｎ_U・Ｑを共
有鍵Ｋとする（ステップ１５３）。

【０１０７】最後に利用者端末Ｕと利用者端末Ｖは共有
鍵Ｋを用いて秘密通信を行う（ステップ１５４）。

【０１０８】次に、本発明の公開鍵配送システムのセン
ター及び利用者端末の実施の形態について説明する。

【０１０９】センターは、図１３に示すように２重ベク
トル・パラメータ要求受信手段と２重ベクトル・パラメ
ータ公開手段から構成される。２重ベクトル・パラメー
タ要求受信手段により利用者端末から２重ベクトルＱ、
パラメータＡの要求が受け付けられると２重ベクトル・
パラメータ公開手段により２重ベクトルＱとパラメータ
Ａを要求のあった利用者端末に公開する。

【０１１０】利用者端末Ｕの実施の形態を図１４に示
す。利用者端末Ｕは、２重ベクトル・パラメータ要求送
信手段と、２重ベクトル・パラメータ受信手段と、整数
発生手段と、２重ベクトル整数倍装置と、Ｑ_U 出力手段
と、Ｑ_V 受信手段と、秘密鍵記憶手段と、秘密通信手段
とから構成される。

【０１１１】２重ベクトル・パラメータ要求送信手段
は、センターに公開された２重ベクトルＱとパラメータ
Ａを要求する。

【０１１２】２重ベクトル・パラメータ受信手段は、２
重ベクトル・パラメータ要求送信手段の要求によりセン
ターから公開された２重ベクトルＱとパラメータＡを受
信し、保持し、２重ベクトル整数倍装置に出力する。

【０１１３】整数発生手段は、整数ｎ_U をランダムに選
び秘密に保持し、２重ベクトル整数倍装置にｎ_U を出力
する。

【０１１４】２重ベクトル整数倍装置は、２重ベクトル
・パラメータ受信手段からセンターにより公開された２
重ベクトルＱとパラメータＡを入力し、整数発生手段か
ら整数ｎ_U を入力し、Ｑをｎ_U 倍することにより、２重
ベクトルＱ_U を計算し出力する。

【０１１５】Ｑ_U 出力手段は、２重ベクトル整数倍装置
で計算された２重ベクトルＱ_U を利用者端末Ｖに送信す
る。Ｑ_V 受信手段７６は、利用者端末Ｖから送信された
２重ベクトルＱ_V を受信し、２重ベクトル整数倍装置に
出力する。

【０１１６】２重ベクトル整数倍装置では、利用者端末
Ｖから送信された２重ベクトルＱＶと整数発生手段に記
憶されている秘密情報である整数ｎ_U と２重ベクトル・
パラメータ受信手段に保持されているパラメータＡを入
力し、Ｑ_V をｎ_U 倍することにより２重ベクトルＫを作
成し、これを秘密鍵記憶手段に出力する。

【０１１７】秘密鍵記憶手段では、２重ベクトル整数倍
装置により計算された２重ベクトルＫを秘密鍵として記
憶する。

【０１１８】秘密通信手段では、秘密鍵記憶手段に記憶
された２重ベクトルＫを秘密鍵として利用者端末Ｖと秘
密通信を行う。

【０１１９】次に本発明の公開鍵配送システムの実施例
について説明する。

【０１２０】まず、センターにおいて、ＧＦ（１７）上
の曲線を定めるパラメータＡ＝（３，４，−１，０，
０，０，０，０，０，０，０，１，−１）およびＧＦ
（１７）上の２重ベクトルＱ＝（（０，１），（１，
８），（２，０））を公開する（ステップ１５１）。パ
ラメータＡが定める曲線は、種数として３をもつので、
本実施例は、従来のＤＨ型鍵配送法では１７³ ＝４９１
３の大きさの素数を用いる場合と同程度の安全性をも
つ。

【０１２１】つぎに、利用者端末において２重ベクトル
を計算し、配送する（ステップ１５２）。すなわち、利
用者端末Ｕ，Ｖは、センターに対して２重ベクトル・パ
ラメータ要求送信手段７１により２重ベクトル・パラメ
ータ要求を行い、２重ベクトル・パラメータ受信手段に
より公開された２重ベクトルＱとパラメータＡを得る。
利用者端末Ｕは、整数発生手段７３により整数ｎ_U ＝３
をランダムに選び秘密に保持し、同様に利用者端末Ｖ
も、整数ｎ_V ＝５をランダムに選び秘密に保持し、利用
者端末Ｕは、自身の秘密情報ｎ_U と公開情報である２重
ベクトルＱおよびパラメータＡを２重ベクトル整数倍装
置７４に入力し、出力された２重ベクトルＱ_U ＝
（（０，１），（α₁ ，１２＋３α₁ ），（α₂ ，１２
＋３α₂ ））をＱ_U 出力手段７５により利用者端末Ｖに
送る。ここで、α₁ ，α ₂ は既約な２次式ｘ² ＋６ｘ
＋６の解である。同様に、利用者端末Ｖも、自身の秘密
情報ｎ_V と公開情報である２重ベクトルＱおよびパラメ
ータＡを２重ベクトル整数倍装置に入力し、出力された
２重ベクトルＱ_V ＝（（γ₁ ，１３＋２γ₁ ＋５
γ₁ ²），（γ₂ ，１３＋２γ₂ ＋５γ₂ ²），（γ₃ ，１
３＋２γ₃ ＋５γ₃ ²））を利用者端末Ｕに送る。ここ
で、γ₁ ，γ ₂ ，γ ₃ は既約な３次式ｘ³ ＋８ｘ² ＋
７ｘ＋９の解である。

【０１２２】つぎに、共有鍵を生成する（ステップ１５
３）。すなわち、利用者端末Ｕは、利用者端末Ｖより送
られた２重ベクトルＱ_V をＱ_V 受信手段により受信し、
この２重ベクトルＱ_V と、整数発生手段に保持されてい
る自身の秘密情報である整数ｎ_U と、２重ベクトル・パ
ラメータ受信手段に保持されている公開情報であるパラ
メータＡを２重ベクトル整数倍装置７４に入力し、出力
された２重ベクトルＫ＝（（１１，１１），（１０，１
１），（２，０））を共有鍵Ｋとし、秘密鍵記憶手段に
記憶する。同様に、利用者端末Ｖも、利用者端末Ｕより
送られた２重ベクトルＱ_U と自身の秘密情報である整数
ｎ_V と公開情報であるパラメータＡを２重ベクトル整数
倍装置に入力し、出力された２重ベクトルＫ＝（（１
１，１１），（１０，１１），（２，０））を共有鍵Ｋ
とする。

【０１２３】最後に、利用者端末Ｕと利用者端末Ｖは共
有鍵Ｋを用いて秘密通信手段７８によって秘密通信を行
なう。

【０１２４】公開情報であるＱとＡは、例えば、図１２
にあるように、信頼できる第３者センターが管理すると
いう形態がある。

【０１２５】［エルガマル型暗号システム］本発明のエ
ルガマル型暗号システムの実施の形態について説明す
る。図１６に、本発明の２重ベクトル整数倍装置を用い
たエルガマル型暗号システムの実施の形態を示す。図１
７に図１６のエルガマル型暗号システムのセンターの実
施の形態を示す。図１８に図１６のエルガマル型暗号シ
ステムの利用者端末の実施の形態を示す。さらに図１９
に、本発明の２重ベクトル整数倍装置を用いたエルガマ
ル型暗号システムの手順の内容を示す。図１６〜１９を
参照しながら、本発明のエルガマル型暗号システムの動
作を説明する。

【０１２６】本発明のエルガマル型暗号システムは、図
１６に示すようにセンターと複数の利用者端末（送信者
端末，受信者端末）から構成され図１９に示す手順が実
行される。

【０１２７】本発明のエルガマル型暗号システムでは、
まず、センターにより、一つの曲線を定めるパラメータ
Ａおよび２重ベクトルＱを前もって全利用者端末に知ら
せておく（ステップ１９１）。

【０１２８】そして、各利用者端末Ｕは、整数ｎ_U を任
意に選び秘密に保持する（ステップ１９２）。また各利
用者端末Ｕは、自身の秘密情報である整数ｎ_U と公開情
報である２重ベクトルＱおよびパラメータＡを２重ベク
トル整数倍装置に入力し、２重ベクトルＱ_U ＝ｎ_U ・Ｑ
を計算し（ステップ１９３）、これを公開鍵として各利
用者に通知する（ステップ１９４）。

【０１２９】送信を行なう利用者端末Ｕは、任意に選択
した整数ｎ_U と送信先の利用者端末Ｖの公開鍵Ｑ_V をも
とに、２重ベクトル整数倍装置を用いて取り決めにした
がって送信文を暗号化する（ステップ１９５）。

【０１３０】暗号文を受信した利用者端末Ｖは、秘密に
保持している整数ｎ_V をもとに、２重ベクトル整数倍装
置を用いて取り決めにしたがって受信文を復号する（ス
テップ１３６）。

【０１３１】次に、本発明のエルガマル暗号システムの
センター及び利用者端末の実施の形態について説明す
る。

【０１３２】センターは、図１７に示すように２重ベク
トル・パラメータ・公開鍵要求受信手段、２重ベクトル
・パラメータ・公開鍵公開手段、公開鍵受信手段とから
構成される。公開鍵受信手段は、各利用者端末から公開
された公開鍵を受信する。２重ベクトル・パラメータ・
公開鍵要求受信手段により利用者端末から２重ベクトル
Ｑ、パラメータＡ、公開鍵Ｑ_U の要求が受け付けられる
と２重ベクトル・パラメータ・公開鍵公開手段により保
持している２重ベクトルＱ、パラメータＡ、公開鍵Ｑ_U
を要求のあった利用者端末に公開する。

【０１３３】利用者端末の実施の形態を図１８に示す。
利用者端末は、２重ベクトル・パラメータ・公開鍵要求
送信手段と、２重ベクトル・パラメータ・公開鍵受信手
段と、整数発生手段と、２重ベクトル整数倍装置と、公
開鍵送信手段と、乱数発生装置と、暗号文Ｃ₁ 送信手段
と、暗号文Ｃ₂ 送信手段と、復号手段、暗号文Ｃ₁ 受信
手段、暗号文Ｃ₂ 受信手段とから構成される。

【０１３４】２重ベクトル・パラメータ・公開鍵要求送
信手段は、センターに公開された２重ベクトルＱ、パラ
メータＡ、他の利用者端末の公開鍵Ｑ_V を要求する。

【０１３５】２重ベクトル・パラメータ・公開鍵受信手
段は、２重ベクトル・パラメータ・公開鍵要求送信手段
の要求によりセンターから公開された２重ベクトルＱ、
パラメータＡ、公開鍵Ｑ_V を受信し、保持し、２重ベク
トル整数倍装置に出力する。

【０１３６】整数発生手段は、整数ｎ_U をランダムに選
び秘密に保持し、２重ベクトル整数倍装置にｎ_U を出力
する。

【０１３７】２重ベクトル整数倍装置は、２重ベクトル
・パラメータ・公開鍵受信手段からセンターにより公開
された２重ベクトルＱとパラメータＡを入力し、整数発
生手段から整数ｎ_U を入力し、２重ベクトルＱをｎ_U 倍
した２重ベクトルＱ_U を計算し公開鍵送信手段に出力す
る。

【０１３８】公開鍵送信手段は、Ｑ_U を公開鍵として公
開するためにセンターへ送付する。

【０１３９】乱数発生装置は、乱数Ｒ_U を発生し秘密に
保持し、２重ベクトル整数倍装置に乱数Ｒ_U を出力す
る。

【０１４０】２重ベクトル整数倍装置では、２重ベクト
ル・パラメータ・公開鍵受信手段に保持されている２重
ベクトルＱとパラメータＡと乱数発生手段に記憶されて
いる秘密情報である整数Ｒ_U とを入力し、２重ベクトル
ＱをＲ_U 倍した２重ベクトルＣ₁ を作成し、これを暗号
文とし、暗号文Ｃ₁ 記憶手段に記憶する。さらに２重ベ
クトル整数倍装置では、２重ベクトル・パラメータ・公
開鍵受信手段に保持されている他の利用者端末の公開鍵
Ｑ_V とパラメータＡと乱数発生手段に保持されているＲ
_U とを入力し、２重ベクトルＱ_V をＲ_U 倍した２重ベク
トルＴ₁ を計算し暗号文Ｃ₂ 送信手段に出力する。

【０１４１】暗号文Ｃ₂ 送信手段は、２重ベクトルＴ₁
に含まれる各組の第１成分の総和ｔ₁ を計算し、これに
通信文Ｍを加えて暗号文Ｃ₂ を作成する。

【０１４２】その後、暗号文Ｃ₁ 送信手段と暗号文Ｃ₂
送信手段により暗号文の組（Ｃ₁ ，Ｃ₂ ）を他の利用者
端末に送信する。

【０１４３】受信側の利用者端末側では、暗号文Ｃ₁ 受
信手段、暗号文Ｃ₂ 受信手段により送信者の利用者端末
からの暗号文の組（Ｃ₁ ，Ｃ₂ ）を受信し保持する。

【０１４４】２重ベクトル整数倍装置は、暗号文Ｃ₁ 受
信手段に保持されている送信側の利用者端末から送信さ
れた暗号文Ｃ₁ と、整数発生手段に保持されている自己
の秘密情報である整数ｎ_v と２重ベクトル・パラメータ
・公開鍵受信手段に保持されているパラメータＡを入力
し、２重ベクトルＣ₁ をｎ_v 倍した２重ベクトルＴ₂を
計算し復号手段に出力する。

【０１４５】復号手段では、暗号文Ｃ₂ 受信手段に保持
されている送信側の利用者端末から送信された暗号文Ｃ
₂ と、２重ベクトル整数倍装置で計算された２重ベクト
ルＴ₂ を入力し、２重ベクトルＴ₂ に含まれる各組の第
１成分の総和ｔ₂ を計算し、暗号文Ｃ₂ からｔ₂ を引く
ことにより通信文Ｍを復号する。

【０１４６】次に本発明のエルガマル型暗号システムの
実施例について説明する。

【０１４７】まず、センターにおいて、ＧＦ（１７）上
の曲線を定めるパラメータＡ＝（３，４，−１，０，
０，０，０，０，０，０，０，１，−１）およびＧＦ
（１７）上の２重ベクトルＱ＝（（０，１），（１，
８），（２，０））を公開する（ステップ１９１）。パ
ラメータＡが定める曲線は、種数として３をもつので、
本実施例は、従来のエルガマル暗号では１７³ ＝４９１
３程度の大きさの素数を用いる場合と同程度の安全性を
もつ。

【０１４８】つぎに、各利用者端末において秘密鍵とす
る整数を選択する（ステップ１９２）。すなわち、例え
ば、利用者端末Ｕは整数発生手段により整数ｎ_U ＝３を
ランダムに選び秘密に保持し、利用者端末Ｖも、整数ｎ
_V ＝５をランダムに選び秘密に保持する。

【０１４９】つぎに、各利用者端末において公開鍵を計
算する（ステップ１９３）。すなわち、例えば利用者端
末Ｕでは、センターに対して２重ベクトル・パラメータ
・公開鍵要求送信手段により２重ベクトルＱとパラメー
タＡを要求し、２重ベクトル・パラメータ・公開鍵受信
手段により、公開された２重ベクトルＱとパラメータＡ
を得る。そして、自身の秘密情報である整数ｎ_U と公開
情報である２重ベクトルＱおよびパラメータＡを２重ベ
クトル整数倍装置に入力し、出力された２重ベクトルＱ
_U ＝（（０，１），（α₁ ，１２＋３α₁ ），（α₂ ，
１２＋３α₂ ））を公開鍵とする。ここで、α₁ ，α
₂ は既約な２次式ｘ² ＋６ｘ＋６の根である。同様
に、利用者端末Ｖも、自身の秘密情報である整数ｎ_V と
公開情報である２重ベクトルＱおよびパラメータＡを請
求項３の２重ベクトル整数倍装置に入力し、出力された
２重ベクトルＱ_V ＝（（γ₁ ，１３＋２γ₁ ＋５
γ₁ ²），（γ₂ ，１３＋２γ₂ ＋５γ₂ ²），（γ₃ ，１
３＋２γ₃ ＋５γ₃ ²））を公開鍵とする。ここで、
γ₁ ，γ ₂ ，γ ₃ は既約な３次式ｘ³ ＋８ｘ² ＋７ｘ
＋９の根である。

【０１５０】つぎに、各利用者端末において各自の公開
鍵を公開する（ステップ１９４）。例えば、利用者端末
Ｕと利用者端末Ｖは、それぞれ公開鍵Ｑ_U と公開鍵Ｑ_V
を公開鍵送信手段からセンターに送信することにより公
開する。

【０１５１】つぎに、送信者は通信文を暗号化し、受信
者に送る（ステップ１９５）。例えば、利用者端末Ｕが
利用者端末Ｖに通信文Ｍ＝１１を暗号化して送るには、
以下のように行なう。

【０１５２】まず、利用者端末Ｕは、乱数発生手段によ
り乱数Ｒ_U ＝８を生成し保持する。次に、利用者端末Ｕ
は、乱数発生手段に保持されている自分だけが知ってい
る乱数Ｒ_U と２重ベクトル・パラメータ・公開鍵受信手
段に保持されている２重ベクトルＱおよびパラメータＡ
を２重ベクトル整数倍装置に入力し、出力された２重ベ
クトルＣ₁ ＝（（３，１０），（ε₁ ，９＋３ε₁ ），
（ε₂ ，９＋３ε₂ ））を暗号文Ｃ₁ とし暗号文Ｃ₁ 送
信手段に記憶する。ここで、ε₁ ，ε ₂ は既約な２次
式ｘ² ＋７ｘ＋２の根である。

【０１５３】さらに、利用者端末Ｕは、２重ベクトル・
パラメータ・公開鍵要求送信手段により利用者端末Ｖの
公開鍵をセンターに要求し、２重ベクトル・パラメータ
・公開鍵受信手段により公開鍵Ｑ_V を得る。そして、乱
数発生手段に保持されている自身の秘密情報であるＲ_U
と２重ベクトル・パラメータ・公開鍵受信手段に保持さ
れている公開情報である利用者端末Ｖの公開鍵Ｑ_V およ
びパラメータＡを２重ベクトル整数倍装置に入力し、２
重ベクトルＴ₁ を計算する。

【０１５４】暗号文Ｃ₂ 送信手段では、２重ベクトル整
数倍装置により計算された２重ベクトルＴ₁ ＝
（（δ₁ ，４＋３δ₁ ＋１４δ₁ ²），（δ₂ ，４＋３δ
₂ ＋１４δ₂ ²），（δ₃ ，４＋３δ₃ ＋１４δ₃ ²））
（ここで、δ₁ ，δ ₂ ，δ ₃ は、既約な３次式ｘ³ ＋
７ｘ² ＋７の根である。）に含まれる各組の第１成分の
総和ｔ₁＝δ₁ ＋δ₂ ＋δ₃ ＝１０を計算し、これに通
信文Ｍを加えて暗号文Ｃ２ ＝Ｍ＋ｔ₁ ＝１１＋１０＝
４（ｍｏｄ １７）を得る。

【０１５５】そして暗号文の組（Ｃ₁ ，Ｃ₂ ）を利用者
端末Ｖに送信する。

【０１５６】最後に、受信者は通信文を復号する（ステ
ップ１９６）。すなわち、利用者端末Ｖは、暗号文Ｃ₁
受信手段，暗号文Ｃ₂ 受信手段により、利用者端末Ｕか
ら送信された暗号文Ｃ₁ ，Ｃ₂ を受信し保持する。そし
て、暗号文Ｃ₁ 受信手段に保持された暗号文Ｃ₁ と整数
発生手段に保持されている自身の秘密情報である秘密鍵
ｎ_V と２重ベクトル・パラメータ・公開鍵受信手段に保
持されている公開情報であるパラメータＡとを２重ベク
トル整数倍装置に入力し、２重ベクトルＴ₂ を計算す
る。

【０１５７】復号手段では、２重ベクトル整数倍装置に
より計算された２重ベクトルＴ₂ ＝（（δ₁ ，４＋３δ
₁ ＋１４δ₁ ²），（δ₂ ，４＋３δ₂ ＋１４δ₂ ²），
（δ₃，４＋３δ₃ ＋１４δ₃ ²））（ここで、δ₁ ，δ
₂ ，δ ₃ は、既約な３次式ｘ³ ＋７ｘ² ＋７の根であ
る。）に含まれる各組の第１成分の総和ｔ₂ ＝δ₁ ＋δ
₂ ＋δ₃ ＝１０を計算し、受信した暗号文Ｃ₂ からｔ₂
を引くことで、通信文Ｍ＝Ｃ₂ −ｔ₂ ＝４−１０＝１１
（ｍｏｄ １７）を復号する。

【０１５８】公開情報であるＱ，Ａ，Ｑ_U ，Ｑ_V は、例
えば、図１６にあるように、信頼できる第３者センター
が管理するという形態がある。

【０１５９】[エルガマル型署名システム]本発明のエル
ガマル型署名システムについて説明する。図２０に、本
発明の２重ベクトル整数倍装置を用いたエルガマル型署
名システムの実施の形態を示す。図２１に図２０のエル
ガマル型署名システムのセンターの実施の形態を示す。
図２２に図２０のエルガマル型署名システムの証明者端
末の実施の形態を示す。図２３に図２０のエルガマル型
署名システムの検証者端末の実施の形態を示す。図２４
に、本発明の２重ベクトル整数倍装置を用いたエルガマ
ル型署名の手順の内容を示す。図２０〜２４を参照しな
がら、本発明のエルガマル型署名システムの動作を説明
する。

【０１６０】本発明のエルガマル型署名システムは、図
２０に示すようにセンターと証明者端末と検証者端末か
ら構成され図２４に示す手順が実行される。

【０１６１】本発明のエルガマル型署名システムでは、
まず、センターにより、一つの曲線を定めるパラメータ
Ａおよび２重ベクトルＱを前もって全利用者に知らせて
おく（ステップ２４１）。

【０１６２】そして証明者端末Ｕは、署名鍵として整数
ｎ_U を任意に選び秘密に保持する（ステップ２４２）。
さらに証明者端末Ｕは、自身の秘密情報である署名鍵ｎ
_U と公開情報である２重ベクトルＱおよびパラメータＡ
を２重ベクトル整数倍装置に入力し、出力された２重ベ
クトルＱ_U ＝ｎ_U ・Ｑを検証鍵として公開する（ステッ
プ２４３）。

【０１６３】その後、証明者端末Ｕは、通信文ｍに対し
て、任意に選択した整数と署名鍵ｎ_U をもとに、２重ベ
クトル整数倍装置を用いて取り決めにしたがって署名文
を生成し、通信文ｍとともに検証者端末Ｖに送る（ステ
ップ２４４，２４５）。

【０１６４】検証者端末Ｖは、署名文および証明者端末
Ｕの検証鍵Ｑ_U をもとに、２重ベクトル整数倍装置を用
いて取り決めにしたがって通信文ｍを検証する（ステッ
プ２４６）。

【０１６５】次に、本発明のエルガマル型署名システム
のセンター及び署名者端末、検証者端末の実施の形態に
ついて説明する。

【０１６６】センターは、図２１に示すように２重ベク
トル・パラメータ・検証鍵要求受信手段、２重ベクトル
・パラメータ・検証鍵公開手段、検証鍵受信手段とから
構成される。検証鍵受信手段は、検証者端末から公開さ
れた公開鍵を受信する。２重ベクトル・パラメータ・検
証鍵要求受信手段により証明者端末若しくは検証者端末
から２重ベクトルＱ、パラメータＡ、検証鍵Ｑ_U の要求
が受け付けられると２重ベクトル・パラメータ・検証鍵
公開手段により保持している２重ベクトルＱ、パラメー
タＡ、検証鍵Ｑ_U を要求のあった端末に公開する。

【０１６７】証明者端末の実施の形態を図２２に示す。
証明者端末は、２重ベクトル・パラメータ要求送信手段
と、２重ベクトル・パラメータ受信手段と、整数発生手
段と、２重ベクトル整数倍装置と、検証鍵送信手段と、
乱数発生装置と、署名文Ｒ送信手段と、署名文Ｓ送信手
段と、通信文Ｍ送信手段とから構成される。

【０１６８】２重ベクトル・パラメータ要求送信手段
は、センターに公開された２重ベクトルＱ、パラメータ
Ａを要求する。

【０１６９】２重ベクトル・パラメータ受信手段は、２
重ベクトル・パラメータ要求送信手段の要求によりセン
ターから公開された２重ベクトルＱ、パラメータＡを受
信し、保持し、２重ベクトル整数倍装置に出力する。

【０１７０】整数発生手段は、整数ｎ_U をランダムに選
びこれを署名鍵として秘密に保持し、２重ベクトル整数
倍装置に署名鍵ｎ_U を出力する。

【０１７１】２重ベクトル整数倍装置は、２重ベクトル
・パラメータ受信手段からセンターにより公開された２
重ベクトルＱとパラメータＡを入力し、整数発生手段か
ら署名鍵ｎ_U を入力し、２重ベクトルＱをｎ_U 倍した２
重ベクトルＱ_U を計算し検証鍵送信手段に出力する。

【０１７２】検証鍵送信手段は、Ｑ_U を検証鍵として公
開するためにセンターへ送付する。

【０１７３】乱数発生装置は、乱数ｋを発生し秘密に保
持し、２重ベクトル整数倍装置に乱数ｋを出力する。

【０１７４】２重ベクトル整数倍装置では、２重ベクト
ル・パラメータ受信手段に保持されている２重ベクトル
ＱとパラメータＡと乱数発生手段に記憶されている秘密
情報である整数ｋとを入力し、２重ベクトルＱをｋ倍し
た２重ベクトルＲを作成し、これを署名文とし、署名文
Ｒ送信手段、署名文Ｓ送信手段に出力しそれぞれに記憶
する。署名鍵Ｓ送信手段では、２重ベクトル整数倍装置
からｋ・Ｑ＝Ｒを、乱数発生装置から乱数ｋを、整数発
生手段からｎ_U を入力し、通信文Ｍ送信手段から通信文
Ｍを入力し、Ｓ＝（Ｍ−ｎ_U ・ｘ（Ｒ））ｋ^-1 ｍｏｄ
Ｏ（Ｑ）を計算し、計算結果であるＳを２つ目の署名
文とする。ここで、ｘ（Ｒ）は２重ベクトルＲに含まれ
る各組の第１成分の総和であり、Ｏ（Ｑ）は２重ベクト
ルＱの位数である。

【０１７５】通信文Ｍ送信手段は、通信文Ｍを保持し、
署名文Ｓ送信手段に出力する。

【０１７６】最後に、署名文Ｒ送信手段、署名文Ｓ送信
手段、通信文Ｍ送信手段からそれぞれ、署名文Ｒ、Ｓ及
び通信文Ｍを検証者端末に送信される。

【０１７７】検証者端末の実施の形態を図２３に示す。
検証者端末は、２重ベクトル・パラメータ・検証鍵要求
送信手段と、２重ベクトル・パラメータ・検証鍵受信手
段と、２重ベクトル整数倍装置と、２重ベクトル加算装
置と、署名文Ｒ受信手段と、署名文Ｓ受信手段と、通信
文Ｍ受信手段と、Ｔ₁ 記憶手段と、Ｔ₂ 記憶手段と、Ｔ
₃ 記憶手段と、Ｔ₄ 記憶手段と、検証手段とから構成さ
れる。

【０１７８】２重ベクトル・パラメータ・検証鍵要求送
信手段は、センターに公開された２重ベクトルＱ、パラ
メータＡ、検証鍵を要求する。

【０１７９】２重ベクトル・パラメータ・検証鍵受信手
段は、２重ベクトル・パラメータ・検証鍵要求送信手段
の要求によりセンターから公開された２重ベクトルＱ、
パラメータＡ、検証鍵Ｑ_U を受信し、保持し、２重ベク
トル整数倍装置に出力する。

【０１８０】２重ベクトル整数倍装置は、２重ベクトル
・パラメータ・検証鍵受信手段からセンターにより公開
された２重ベクトルＱとパラメータＡを入力し、通信文
Ｍ受信手段から通信文Ｍを入力し、Ｍ・Ｑを計算し、計
算結果である２重ベクトルＴ₁ をＴ₁ 記憶手段に出力し
記憶する。

【０１８１】また、２重ベクトル整数倍装置は、署名文
Ｒ受信手段から、受信した２重ベクトルＲに含まれる各
組の第１成分の総和ｘ（Ｒ）を入力し、２重ベクトル・
パラメータ・検証鍵受信手段からセンターにより公開さ
れた検証鍵Ｑ_U とパラメータＡを入力し、ｘ（Ｒ）・Ｑ
_U を計算し、計算結果である２重ベクトルＴ₂ をＴ₂記
憶手段に出力し記憶する。

【０１８２】また、２重ベクトル整数倍装置は、署名文
Ｒ受信手段から、受信した２重ベクトルＲを、署名文Ｓ
受信手段から受信した署名文Ｓを、２重ベクトル・パラ
メータ・検証鍵受信手段からセンターにより公開された
パラメータＡを入力し、Ｓ・Ｒを計算し、計算結果であ
る２重ベクトルＴ₃ をＴ₃ 記憶手段に出力し記憶する。

【０１８３】２重ベクトル加算装置は、Ｔ₂ 記憶装置及
びＴ₃ 記憶装置から２重ベクトルＴ₂ ，Ｔ₃ を入力し、
２重ベクトル・パラメータ・検証鍵受信手段からパラメ
ータＡを入力し、Ｔ₂ ＋Ｔ₃ を計算し、計算結果である
２重ベクトルＴ₄ をＴ₄ 記憶手段に出力し記憶する。

【０１８４】検証手段は、Ｔ₁ 記憶手段に記憶されてい
る２重ベクトルＴ₁ とＴ₄ 記憶手段に記憶されている２
重ベクトルＴ₄ が一致しているかどうかを確認し、平文
Ｍは証明者Ｕが作成したか否かを認証する。

【０１８５】次に本発明のエルガマル型署名システムの
実施例について説明する。

【０１８６】まず、センターにおいてＧＦ（１７）上の
曲線を定めるパラメータＡ＝（３，４，−１，０，０，
０，０，０，０，０，０，１，−１）およびＧＦ（１
７）上の２重ベクトルＱ＝（（０，１），（１，８），
（２，０））を公開する（ステップ２４１）。パラメー
タＡが定める曲線は、種数として３をもつので、本実施
例は、従来のエルガマル署名では１７³ ＝４９１３程度
の大きさの素数を用いる場合と同程度の安全性をもつ。

【０１８７】つぎに、証明者は署名鍵とする整数を選択
する（ステップ２４２）。例えば、証明者端末Ｕは署名
鍵として整数発生手段により整数ｎ_U ＝３をランダムに
選びこれを署名鍵として秘密に保持する。

【０１８８】つぎに、証明者は検証鍵を計算し、公開す
る（ステップ２４３）。例えば、証明者端末Ｕは、セン
ターに対して２重ベクトル・パラメータ要求送信手段に
より２重ベクトル、パラメータの要求を行い、２重ベク
トル・パラメータ受信手段により公開された２重ベクト
ルＱとパラメータＡを得る。証明者端末Ｕは、整数発生
手段から自身の秘密情報であるｎ_U を、２重ベクトル・
パラメータ受信手段から公開情報である２重ベクトルＱ
およびパラメータＡを２重ベクトル整数倍装置に入力
し、出力された２重ベクトルＱ_U ＝（（０，１），（α
₁ ，１２＋３α₁），（α₂ ，１２＋３α₂ ））を検証
鍵とし、検証鍵送信手段に記憶する。ここで、α₁ ，α
₂ は既約な２次式ｘ² ＋６ｘ＋６の根である。検証鍵
送信手段から検証鍵Ｑ_U をセンターへ送信し、公開す
る。

【０１８９】つぎに、証明者端末Ｕは通信文Ｍに対して
２組の署名文Ｒ，Ｓからなる署名を生成する（ステップ
２４４）。例えば、証明者端末Ｕが通信文Ｍ＝１１の署
名文Ｒ，Ｓを生成するには、以下のように行なう。

【０１９０】まず、証明者端末Ｕは、乱数発生手段によ
り乱数ｋ＝７を生成する。次に、証明者端末Ｕは、乱数
発生手段から自身の秘密情報であるｋを、２重ベクトル
・パラメータ受信手段から公開情報である２重ベクトル
ＱおよびパラメータＡを２重ベクトル整数倍装置に入力
し、ｋ・Ｑを計算し、計算結果である２重ベクトルＲ＝
（（３，７），（ε₁ ，９＋３ε₁ ），（ε₂ ，９＋３
ε₂ ））を署名文Ｒとし、署名文Ｒ送信手段と署名文Ｓ
送信手段に出力する。ここで、ε₁ ，ε ₂ は既約な２
次式ｘ² ＋７ｘ＋２の根である。

【０１９１】さらに、証明者端末Ｕは、署名文Ｓ送信手
段において、２重ベクトル整数倍装置からｋＱ＝Ｒを、
乱数発生装置から乱数ｋを、整数発生手段からｎ_U を入
力し、通信文Ｍ送信手段から通信文Ｍを入力し、Ｓ＝
（Ｍ−ｎ_U ・ｘ（Ｒ））ｋ^-1ｍｏｄ Ｏ（Ｑ）を計算
し、計算結果であるＳを２つ目の署名文とする。ここ
で、ｘ（Ｒ）は２重ベクトルＲに含まれる各組の第１成
分の総和であり、Ｏ（Ｑ）は２重ベクトルＱの位数であ
る。本実施例の場合、ｘ（Ｒ）＝１＋ε₁ ＋ε₂ ＝１＋
（−９）＝９（ｍｏｄ １７）であり、Ｏ（Ｑ）＝３０
６なので、Ｓ＝（１１−３×９）７^-1 ｍｏｄ ３０６
＝−１６×１７５ ｍｏｄ ３０６＝２６０（ｍｏｄ
３０６）となる。

【０１９２】つぎに、証明者端末Ｕは、署名文Ｒ送信手
段、署名文Ｓ送信手段、通信文Ｍ送信手段から署名文
Ｒ，Ｓと通信文Ｍとを検証者端末Ｖに送信する（ステッ
プ２４５）。

【０１９３】最後に、検証者端末Ｖは等式Ｍ・Ｑ＝ｘ
（Ｒ）・Ｑ_U ＋Ｓ・Ｒが成立するかどうか検証する（ス
テップ２４６）。

【０１９４】すなわち、検証者端末Ｖは、２重ベクト
ル。パラメータ・検証鍵要求送信手段により２重ベクト
ルＱとパラメータＡをセンターに要求し、２重ベクトル
・パラメータ・検証鍵受信手段により２重ベクトルＱと
パラメータＡを得る。通信文Ｍ受信手段により受信した
通信文Ｍと、２重ベクトル・パラメータ・検証鍵受信手
段から公開情報である２重ベクトルＱおよびパラメータ
Ａを２重ベクトル整数倍装置に入力し、Ｍ・Ｑを計算
し、計算結果である２重ベクトルＴ₁ ＝（（η₁ ，１３
＋１５η₁ ＋１３η₁ ²），（η₂ ，１３＋１５η₂ ＋１
３η₂ ²），（η₃ ，１３＋１５η₃ ＋１３η₃ ²））を得
て、Ｔ₁ 記憶手段に記憶する。ここで、η₁ ，η ₂ ，η
₃ は既約な３次式ｘ³ ＋８ｘ＋１の根である。

【０１９５】さらに、検証者端末Ｖは、２重ベクトル。
パラメータ・検証鍵要求送信手段により証明者端末Ｕの
検証鍵をセンターに要求し、２重ベクトル・パラメータ
・検証鍵受信手段により検証鍵Ｑ_U を得る。そして署名
文Ｒ受信手段から受信した２重ベクトルＲに含まれる各
組の第１成分の総和ｘ（Ｒ）＝９と、２重ベクトル・パ
ラメータ・検証鍵受信手段から公開情報である証明者Ｕ
の検証鍵Ｑ_U およびパラメータＡを２重ベクトル整数倍
装置に入力し、ｘ（Ｒ）・Ｑ_U を計算し、計算結果であ
る２重ベクトルＴ₂ ＝（（２，０），（θ₁ ，４＋１６
θ₁ ），（θ₂，４＋１６θ₂ ），（θ₃ ，４＋１６θ
₃ ））を得て（ここで、θ₁ ，θ ₂ ，θ ₃ は既約な２
次式ｘ² ＋７ｘ＋２の解）Ｔ₂ 記憶手段に記憶する。

【０１９６】さらに、署名文Ｓ受信手段および署名文Ｒ
受信手段からそれぞれ受信した署名文Ｓおよび署名文Ｒ
と、２重ベクトル・パラメータ・検証鍵受信手段から公
開情報であるパラメータＡを２重ベクトル整数倍装置に
入力し、Ｓ・Ｒを計算し、計算結果である２重ベクトル
Ｔ₃ ＝（（ι₁ ，１２＋６ι₁ ＋１５ι₁ ²），（ι₂，
１２＋６ι₂ ＋１５ι₂ ²），（ι₃ ，１２＋６ι₃ ＋１
５ι₃ ²））を得て（ここで、ι₁ ，ι ₂ ，ι ₃ は既約
な３次式ｘ³ ＋１０ｘ² ＋１５ｘ＋１２の解）Ｔ₃ 記憶
手段に記憶する。

【０１９７】さらに、Ｔ₂ 記憶手段およびＴ₃ 記憶手段
からそれぞれ２重ベクトルＴ₂ および２重ベクトルＴ₃
と、２重ベクトル・パラメータ・検証鍵受信手段から公
開情報であるパラメータＡを２重ベクトル加算装置に入
力し、Ｔ₁ ＋Ｔ₂ を計算し、計算結果である２重ベクト
ルＴ₄ ＝（（η₁ ，１３＋１５η₁ ＋１３η₁ ²），（η
₂ ，１３＋１５η₂ ＋１３η₂ ²），（η₃ ，１３＋１５
η₃ ＋１３η₃ ²））を得て、Ｔ₄ 記憶手段に記憶する。

【０１９８】検証者端末Ｖは、Ｔ₁ 記憶手段およびＴ₄
記憶手段からそれぞれ２重ベクトルＴ₁ と２重ベクトル
Ｔ₄ を検証手段に入力し、２重ベクトルＴ₁ と２重ベク
トルＴ₄ が一致していることを確認し、通信文Ｍは証明
者端末Ｕが作成したと認証する。

【０１９９】公開情報であるＱ，Ａ，Ｑ_U は、例えば、
図２０にあるように、信頼できる第３者センターが管理
するという形態がある。

【０２００】以上、２重ベクトル加算装置、２重ベクト
ル整数倍装置、２重ベクトル整数倍装置を用いた公開鍵
暗号システム、エルガマル型暗号システム、エルガマル
型署名システムの実施の形態について説明してきたが、
最後に、本発明の２重ベクトル加算装置、２重ベクトル
整数倍装置、２重ベクトル整数倍装置を用いた公開鍵暗
号システム、エルガマル型暗号システム、エルガマル型
署名システムを実現するプログラムを記録した記録媒体
の実施の形態について説明する。

【０２０１】本発明の２重ベクトル加算装置、２重ベク
トル整数倍装置、２重ベクトル整数倍装置を用いた公開
鍵暗号システム、エルガマル型暗号システム、エルガマ
ル型署名システムを実現するためのプログラムを記録し
た記録媒体は、上述の装置もしくはシステムの機能をコ
ンピュータが読みとり実行可能なプログラム言語によっ
てプログラムし、当該プログラムをＣＤ−ＲＯＭやＦＤ
等の記録媒体に記録することによって実現することがで
きる。

【０２０２】また上記記録媒体はサーバ装置などに備え
られるハードディスクなどの記憶手段でも良く、更に該
記憶手段にこのコンピュータプログラムを記録しておき
ネットワークを介してこのコンピュータプログラムを読
み込むことによって、本発明の記録媒体を実現すること
も可能である。

【０２０３】

【発明の効果】以上説明した通り、本発明により２重ベ
クトルの演算が可能となり、さらに、従来の、公開され
た通信網において秘密情報をやりとりする公開鍵暗号方
式に属する種々の技術では、約３００桁もの大きな素数
ｐを用いる必要があったが、本発明の２重ベクトル演算
装置を用いた公開鍵配送法等によると、より小さな素数
を用いることができ（例えば種数が３の曲線を用いる場
合は約１００桁）、より小規模な装置で暗号学的に十分
な強度をもつ公開鍵暗号方式に属する種々の技術を実現
できる効果がある。

【図面の簡単な説明】

【図１】本発明の２重ベクトル加算装置の実施の形態を
示す図である。

【図２】本発明の２重ベクトル加算装置の実施の形態を
示す図である。

【図３】本発明の２重ベクトル加算装置の点集合変換装
置の実施の形態を示す図である。

【図４】本発明の２重ベクトル加算装置の点集合変換装
置の実施の形態を示す図である。

【図５】曲線を表すパラメータのデータフォーマットを
示す図である。

【図６】共通曲線演算装置の行なう演算処理を示す流れ
図である。

【図７】交点集合演算装置の行なう演算処理を示す流れ
図である。

【図８】本発明の２重ベクトル２倍装置の実施の形態を
示す図である。

【図９】本発明の２重ベクトル２倍装置の実施の形態を
示す図である。

【図１０】本発明の２重ベクトル整数倍装置の実施の形
態を示す図である。

【図１１】本発明の２重ベクトル整数倍装置の処理の流
れを示す図である。

【図１２】本発明の公開鍵配送システムの実施の形態を
示す図である。

【図１３】本発明の公開鍵配送システムのセンターの実
施の形態を示す図である。

【図１４】本発明の公開鍵配送システムの利用者端末の
実施の形態を示す図である。

【図１５】本発明の公開鍵配送システムの処理の流れを
示す図である。

【図１６】本発明のエルガマル型暗号システムの実施の
形態を示す図である。

【図１７】本発明のエルガマル型暗号システムのセンタ
ーの実施の形態を示す図である。

【図１８】本発明のエルガマル型暗号システムの利用者
端末の実施の形態を示す図である。

【図１９】本発明のエルガマル型暗号システムの処理の
流れを示す図である。

【図２０】本発明のエルガマル型署名システムの実施の
形態を示す図である。

【図２１】本発明のエルガマル型署名システムのセンタ
ーの実施の形態を示す図である。

【図２２】本発明のエルガマル型署名システムの証明者
端末の実施の形態を示す図である。

【図２３】本発明のエルガマル型署名システムの検証者
端末の実施の形態を示す図である。

【図２４】本発明のエルガマル型署名システムの処理の
流れを示す図である。

【符号の説明】

１１ 和集合計算装置 １２ 点集合変換装置 １３ メモリ １４ 入力装置 １５ 出力装置 １６ 中央処理装置 ２１ 共通曲線演算装置 ２２ 交点集合演算装置 ２３ 差集合演算装置 ２４ メモリ ２５ 入力装置 ２６ 出力装置 ３１ ２重ベクトル加算装置 ３２ メモリ ３３ 入力装置 ３４ 出力装置 ３５ 中央処理装置 ４１ ２重ベクトル加算装置 ４２ ２重ベクトル２倍装置 ４３ メモリ ４４ 入力装置 ４５ 出力装置 ４６ 中央処理装置

フロントページの続き (56)参考文献 Ｈｙｐｅｒｅｌｌｉｐｉｔｃ Ｃｒｙ ｐｔｏｓｙｓｔｅｍｓ，Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ，Ｖｏ ｌ．１，Ｎｏ．３，ｐ．139−150 Ｃｏｍｐｕｔｉｎｇ ｉｎ ｔｈｅ Ｊａｃｏｂｉａｎ ｏｆ ａ Ｐｌａｎ ｅ Ａｌｇｅｂｒａｉｃ Ｃｕｒｖｅ, Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃ ｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏ ｌ．877，ｐ．221−233 Ｅｆｆｉｃｉｅｎｔ Ａｌｇｏｒｉｔ ｈｍｓ ｆｏｒ ｔｈｅ Ｒｉｅｍａｎ ｎ−Ｒｏｃｈ Ｐｒｏｂｌｅｍ ａｎｄ ｆｏｒ Ａｄｄｉｔｉｏｎ ｉｎ ｔ ｈｅ Ｊａｃｏｂｉａｎ ｏｆ ａ Ｃ ｕｒｖｅ，Ｊｏｕｒｎａｌ ｏｆ Ｓｙ ｍｂｏｌｉｃ Ｃｏｍｐｕｔａｔｉｏ ｎ，Ｖｏｌ．18，Ｎｏ．６，ｐ．519− 539 Ｃｏｍｐｕｔａｔｉｏｎａｌ Ａｓｐ ｅｃｔｓ ｏｆ Ｃｕｒｖｅｓ ｏｆ Ｇｅｎｕｓ ａｔ Ｌｅａｓｔ ２，Ｌ ｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏ ｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，Ｖｏ ｌ．1122，ｐ．283−306 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 H04L 9/30 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (8)

(57)【特許請求の範囲】
1. 【請求項１】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルを加算する２重ベクト
   ル加算装置において、 前記２重ベクトルＸ₁ およびＸ₂ とａ１３ｘ＾４＋ａ１
   ２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾
   ３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４
   ｘ＋ａ３＝０という定義式をもつ曲線を定めるパラメー
   タＡを入力する手段と、 入力された２重ベクトルＸ₁ を記憶するＸ₁ 記憶手段
   と、 入力された２重ベクトルＸ₂ を記憶するＸ₂ 記憶手段
   と、 入力されたパラメータＡを記憶するＡ記憶手段と、 前記Ｘ₁ 記憶手段から前記２重ベクトルＸ₁ を、前記Ｘ
   ₂ 記憶手段から前記２重ベクトルＸ₂ を、前記Ａ記憶手
   段からパラメータＡを取得し、前記２重ベクトルＸ₁ ，
   Ｘ₂ をそれぞれ、パラメータＡが定めるａ１３ｘ＾４＋
   ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９
   ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋
   ａ４ｘ＋ａ３＝０という定義式をもつ曲線上の点の集ま
   りの座標値列と見なすとき、前記２つの点の集まりの和
   集合の座標値列である２重ベクトルＴ₁ を演算する和集
   合演算装置と、 前記和集合演算装置により演算された２重ベクトルＴ₁
   を記憶するＴ₁ 記憶手段と、 前記Ｔ₁ 記憶手段から前記２重ベクトルＴ₁ を、前記Ａ
   記憶手段から前記パラメータＡを取得し、前記２重ベク
   トルＴ₁ を、前記パラメータＡが定めるａ１３ｘ＾４＋
   ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９
   ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋
   ａ４ｘ＋ａ３＝０という定義式をもつ曲線上の点の集ま
   りの座標値列と見なすとき、当該点の集まりの、前記パ
   ラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１
   １ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２
   ＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０と
   いう定義式をもつ曲線のヤコビアン群における逆元を表
   す点の集まりの座標値列である２重ベクトルＴ_２を演算
   する第１の点集合変換装置と、 前記第１の点集合変換装置により演算された２重ベクト
   ルＴ₂ を記憶するＴ₂記憶手段と、 前記Ｔ_２記憶手段から前記２重ベクトルＴ₂ を、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   Ｔ₂ を、パラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ
   ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋
   ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋
   ａ３＝０という定義式をもつ曲線上の点の集まりの座標
   値列と見なすとき、当該点の集まりの、前記パラメータ
   Ａが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾
   ２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘ
   ｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義
   式をもつ曲線のヤコビアン群における逆元を表す点の集
   まりの座標値列である２重ベクトルＸ₃ を演算する第２
   の点集合変換装置と、 前記第２の点集合変換装置により演算された前記２重ベ
   クトルＸ₃ を出力する手段とを備えたことを特徴とする
   ２重ベクトル加算装置。
2. 【請求項２】パラメータＢを記憶するＢ記憶手段と、２
   重ベクトルＳ₁ を記憶するＳ_１記憶手段とを備え、 前記第１の点集合変換手段が、 前記Ｔ₁ 記憶手段から前記２重ベクトルＴ₁ を、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   Ｔ₁ を、パラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ
   ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋
   ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋
   ａ３＝０という定義式をもつ曲線上の点の集まりの座標
   値列と見なすとき、当該点の集まりに含まれる全ての点
   を通る曲線のパラメータＢを演算し前記Ｂ記憶手段に記
   憶する共通曲線演算装置と、 前記Ｂ記憶手段から前記パラメータＢを、前記Ａ記憶手
   段から前記パラメータＡを取得し、前記パラメータＡの
   定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋
   ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋
   ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義式を
   もつ曲線と前記パラメータＢの定める曲線との全ての交
   点の座標値列である２重ベクトルＳ₁ を演算し前記Ｓ₁
   記憶手段に記憶する交点集合演算装置と、 前記Ｔ₁ 記憶手段から前記２重ベクトルＴ₁ を、前記Ｓ
   ₁ 記憶手段から前記２重ベクトルＳ₁ を取得し、前記２
   重ベクトルＴ₁ およびＳ₁ をそれぞれ、前記パラメータ
   Ａが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾
   ２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘ
   ｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義
   式をもつ曲線上の点の集まりの座標値列と見なすとき、
   ２重ベクトルＳ₁ の表す点の集まりから２重ベクトルＴ
   ₁ の表す点の集まりに属する点を全て取り除いた点の集
   まりの座標値列である２重ベクトルＴ₂ を演算する差集
   合演算装置と、 前記差集合演算装置により演算された前記２重ベクトル
   Ｔ₂ を出力する手段とを備えたことを特徴とする請求項
   １に記載の２重ベクトル加算装置。
3. 【請求項３】パラメータＣを記憶するＣ記憶手段と、２
   重ベクトルＳ₂ を記憶するＳ₂ 記憶手段とを備え、 前記第２の点集合変換手段が、 前記Ｔ₂ 記憶手段から前記２重ベクトルＴ₂ を、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   Ｔ₂ を、パラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ
   ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋
   ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋
   ａ３＝０という定義式をもつ曲線上の点の集まりの座標
   値列と見なすとき、当該点の集まりに含まれる全ての点
   を通る曲線のパラメータＣを演算し前記Ｃ記憶手段に記
   憶する共通曲線演算装置と、 前記Ｃ記憶手段から前記パラメータＣを、前記Ａ記憶手
   段から前記パラメータＡを取得し、前記パラメータＡの
   定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋
   ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋
   ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義式を
   もつ曲線と前記パラメータＣの定める曲線との全ての交
   点の座標値列である２重ベクトルＳ₂ を演算し前記Ｓ₂
   記憶手段に記憶する交点集合演算装置と、 前記Ｔ₂ 記憶手段から前記２重ベクトルＴ₂ を、前記Ｓ
   ₂ 記憶手段から前記２重ベクトルＳ₂ を取得し、前記２
   重ベクトルＴ₂ およびＳ₂ をそれぞれ、前記パラメータ
   Ａが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾
   ２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘ
   ｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義
   式をもつ曲線上の点の集まりの座標値列と見なすとき、
   ２重ベクトルＳ₂ の表す点の集まりから２重ベクトルＴ
   ₂ の表す点の集まりに属する点を全て取り除いた点の集
   まりの座標値列である２重ベクトルＸ₃ を演算する差集
   合演算装置と、 前記差集合演算装置により演算された前記２重ベクトル
   Ｘ₃ を出力する手段とを備えたことを特徴とする請求項
   １又は２に記載の２重ベクトル加算装置。
4. 【請求項４】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルを加算する２重ベクト
   ル加算装置を実現するためのプログラムを記録したコン
   ピュータが読みとり可能な記録媒体において、 前記２重ベクトルＸ₁ およびＸ₂ とａ１３ｘ＾４＋ａ１
   ２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾
   ３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４
   ｘ＋ａ３＝０という定義式をもつ曲線を定めるパラメー
   タＡを入力する手段と、 入力された２重ベクトルＸ₁ を記憶するＸ₁ 記憶手段
   と、 入力された２重ベクトルＸ₂ を記憶するＸ₂ 記憶手段
   と、 入力されたパラメータＡを記憶するＡ記憶手段と、 前記Ｘ₁ 記憶手段から前記２重ベクトルＸ₁ を、前記Ｘ
   ₂ 記憶手段から前記２重ベクトルＸ₂ を、前記Ａ記憶手
   段からパラメータＡを取得し、前記２重ベクトルＸ₁ ，
   Ｘ₂ をそれぞれ、パラメータＡが定めるａ１３ｘ＾４＋
   ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９
   ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋
   ａ４ｘ＋ａ３＝０という定義式をもつ曲線上の点の集ま
   りの座標値列と見なすとき、前記２つの点の集まりの和
   集合の座標値列である２重ベクトルＴ1 を演算する和集
   合演算装置と、 前記和集合演算装置により演算された２重ベクトルＴ₁
   を記憶するＴ₁ 記憶手段と、 前記Ｔ₁ 記憶手段から前記２重ベクトルＴ₁ を、前記Ａ
   記憶手段から前記パラメータＡを取得し、前記２重ベク
   トルＴ₁ を、前記パラメータＡが定めるａ１３ｘ＾４＋
   ａ１２ｙ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９
   ｘ＾３＋ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋
   ａ４ｘ＋ａ３＝０という定義式をもつ曲線上の点の集ま
   りの座標値列と見なすとき、当該点の集まりの、前記パ
   ラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１
   １ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２
   ＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０と
   いう定義式をもつ曲線のヤコビアン群における逆元を表
   す点の集まりの座標値列である２重ベクトルＴ₂ を演算
   する第１の点集合変換装置と、 前記第１の点集合変換装置により演算された２重ベクト
   ルＴ₂を記憶するＴ₂記憶手段と、 前記Ｔ₂ 記憶手段から前記２重ベクトルＴ₂を、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   Ｔ₂を、パラメータＡが定めるａ１３ｘ＾４＋ａ１２ｙ
   ＾３＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋
   ａ８ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋
   ａ３＝０という定義式をもつ曲線上の点の集まりの座標
   値列と見なすとき、当該点の集まりの、前記パラメータ
   Ａが定めるａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１ｘｙ＾
   ２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋ａ７ｘ
   ｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０という定義
   式をもつ曲線のヤコビアン群における逆元を表す点の集
   まりの座標値列である２重ベクトルＸ₃ を演算する第２
   の点集合変換装置と、 前記第２の点集合変換装置により演算された前記２重ベ
   クトルＸ₃ を出力する手段とを備えたことを特徴とする
   ２重ベクトル加算装置を実現するためのプログラムを記
   録したコンピュータが読みとり可能な記録媒体。
5. 【請求項５】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルの２倍を計算する２重
   ベクトル２倍装置において、 ２重ベクトルＸとａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１
   ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋
   ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０とい
   う定義式をもつ曲線を定めるパラメータＡを入力する手
   段と、 入力された２重ベクトルＸを記憶するＸ記憶手段と、 前記２重ベクトルＸのコピーである２重ベクトルＸ’を
   記憶するＸ’記憶手段と、 入力された前記パラメータＡを記憶するＡ記憶手段と、 前記Ｘ記憶手段から２重ベクトルＸを、前記Ｘ’記憶手
   段から前記２重ベクトルＸ’を、前記Ａ記憶手段から前
   記パラメータＡを取得し、前記２重ベクトルＸとＸ’の
   和２Ｘを演算する請求項１，２または３に記載の２重ベ
   クトル加算装置と、 演算された２重ベクトル２Ｘを出力する手段とを備えた
   ことを特徴とする２重ベクトル２倍装置。
6. 【請求項６】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルの２倍を計算する２重
   ベクトル２倍装置を実現するためのプログラムを記録し
   たコンピュータが読みとり可能な記録媒体において、 ２重ベクトルＸとａ１３ｘ＾４＋ａ１２ｙ＾３＋ａ１１
   ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８ｙ＾２＋
   ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３＝０とい
   う定義式をもつ曲線を定めるパラメータＡを入力する手
   段と、 入力された２重ベクトルＸを記憶するＸ記憶手段と、 前記２重ベクトルＸのコピーである２重ベクトルＸ’を
   記憶するＸ’記憶手段と、 入力された前記パラメータＡを記憶するＡ記憶手段と、 前記Ｘ記憶手段から２重ベクトルＸを、前記Ｘ’記憶手
   段から前記２重ベクトルＸ’を、前記Ａ記憶手段から前
   記パラメータＡを取得し、前記２重ベクトルＸとＸ’の
   和２Ｘを演算する請求項４記載のプログラムを用いた２
   重ベクトル加算装置と、 演算された２重ベクトル２Ｘを出力する手段とを備えた
   ことを特徴とする２重ベクトル２倍装置を実現するため
   のプログラムを記録したコンピュータが読みとり可能な
   記録媒体。
7. 【請求項７】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルの整数倍を計算する２
   重ベクトル整数倍装置において、 整数ｎと２重ベクトルＸとａ１３ｘ＾４＋ａ１２ｙ＾３
   ＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８
   ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３
   ＝０という定義式をもつ曲線を定めるパラメータＡを入
   力する手段と、 前記整数ｎを記憶するｎ記憶手段と、 前記２重ベクトルＸを記憶するＸ記憶手段と、 前記２重ベクトルＸのコピーである２重ベクトルＹを記
   憶するＹ記憶手段と、 ２重ベクトルＺを記憶するＺ記憶手段と、 前記パラメータＡを記憶するＡ記憶手段と、 整数ｒを記憶するｒ記憶手段と、 前記２重ベクトルを加算する請求項１，２または３に記
   載の２重ベクトル加算装置と、 前記２重ベクトルを２倍する請求項５に記載の２重ベク
   トル２倍装置と、 前記ｎ記憶手段から前記整数ｎを取得し、ｎを２で割っ
   た余りｒを求め、前記ｒ記憶手段に記憶する手段と、 前記ｎ記憶手段から前記整数ｎを取得し、ｎを２で割っ
   た商を求め、新たなｎとし前記ｎ記憶手段に記憶する手
   段と、 前記ｒ記憶手段から整数ｒを取得し、ｒが１ならば、前
   記Ｙ記憶手段から２重ベクトルＹを、前記Ｚ記憶手段か
   ら２重ベクトルＺを、前記Ａ記憶手段からパラメータＡ
   を取得し、前記２重ベクトル加算装置に前記２重ベクト
   ルＹ、Ｚ及び前記パラメータＡを入力し、前記２重ベク
   トルＹと前記２重ベクトルＺの和を求め新たにＺ記憶手
   段に記憶する手段と、 前記ｎ記憶手段から整数ｎを取得し、ｎが０より大きい
   ならば、前記Ｙ記憶手段から２重ベクトルＹを、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   ２倍装置に前記２重ベクトルＹとパラメータＡを入力
   し、２重ベクトルＹの２倍を求め、新たにＹ記憶手段に
   記憶し、ｎが０に等しいならば、前記Ｚ記憶手段から２
   重ベクトルＺを取得し出力する手段とを備えたことを特
   徴とする２重ベクトル整数倍装置。
8. 【請求項８】予め定められた有限体の２つの元の組を複
   数個並べて得られる２重ベクトルの整数倍を計算する２
   重ベクトル整数倍装置を実現するためのプログラムを記
   録したコンピュータが読みとり可能な記録媒体におい
   て、 整数ｎと２重ベクトルＸとａ１３ｘ＾４＋ａ１２ｙ＾３
   ＋ａ１１ｘｙ＾２＋ａ１０ｘ＾２ｙ＋ａ９ｘ＾３＋ａ８
   ｙ＾２＋ａ７ｘｙ＋ａ６ｘ＾２＋ａ５ｙ＋ａ４ｘ＋ａ３
   ＝０という定義式をもつ曲線を定めるパラメータＡを入
   力する手段と、 前記整数ｎを記憶するｎ記憶手段と、 前記２重ベクトルＸを記憶するＸ記憶手段と、 前記２重ベクトルＸのコピーである２重ベクトルＹを記
   憶するＹ記憶手段と、 ２重ベクトルＺを記憶するＺ記憶手段と、 前記パラメータＡを記憶するＡ記憶手段と、 整数ｒを記憶するｒ記憶手段と、 前記２重ベクトルを加算する請求項４記載のプログラム
   を用いた２重ベクトル加算装置と、 前記２重ベクトルを２倍する請求項６に記載のプログラ
   ムを用いた２重ベクトル２倍装置と、 前記ｎ記憶手段から前記整数ｎを取得し、ｎを２で割っ
   た余りｒを求め、前記ｒ記憶手段に記憶する手段と、 前記ｎ記憶手段から前記整数ｎを取得し、ｎを２で割っ
   た商を求め、新たなｎとし前記ｎ記憶手段に記憶する手
   段と、 前記ｒ記憶手段から整数ｒを取得し、ｒが１ならば、前
   記Ｙ記憶手段から２重ベクトルＹを、前記Ｚ記憶手段か
   ら２重ベクトルＺを、前記Ａ記憶手段からパラメータＡ
   を取得し、前記２重ベクトル加算装置に前記２重ベクト
   ルＹ、Ｚ及び前記パラメータＡを入力し、前記２重ベク
   トルＹと前記２重ベクトルＺの和を求め新たにＺ記憶手
   段に記憶する手段と、 前記ｎ記憶手段から整数ｎを取得し、ｎが０より大きい
   ならば、前記Ｙ記憶手段から２重ベクトルＹを、前記Ａ
   記憶手段からパラメータＡを取得し、前記２重ベクトル
   ２倍装置に前記２重ベクトルＹとパラメータＡを入力
   し、２重ベクトルＹの２倍を求め、新たにＹ記憶手段に
   記憶し、ｎが０に等しいならば、前記Ｚ記憶手段から２
   重ベクトルＺを取得し出力する手段とを備えたことを特
   徴とする２重ベクトル整数倍装置を実現するためのプロ
   グラムを記録したコンピュータが読みとり可能な記録媒
   体。