JP3401196B2 - 事前計算を用いた複数生成元に対する演算装置、そのプログラム記録媒体、及び演算方法 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】この発明は例えば情報セキュ
リティ技術に利用され、事前計算を用いて生成元が複数
存在するものを算出する装置およびそのプログラム記録
媒体に関するものである。

【０００２】

【従来の技術】従来技術として提案されている藤崎らに
よる有限体上の１つの生成元に対する演算方式（藤崎，
太田，“べき乗剰余計算における累乗テーブル法の利用
についての考察，”暗号と情報セキュリティシンポジウ
ムＳＣＩＳ９３−４Ｃ，１９９３）の説明をする。この
方式は固定されたｇ（∈Ｚ／ｑＺ）と固定でないｎに対
してｇⁿ を求める方式である。

【０００３】 ｎ＝Σ_t=0 ^r ａ_t ｂ^t （但し０＜ａ_t ＜ｂ） としてｎをｂ進展開する。今、ｇのｂ⁰ 乗、ｇのｂ¹
乗、…、ｇのｂ^t 乗を事前計算してメモリ手段に蓄積し
ておく。さらにａ_t を以下のように２進展開する。 ａ_t ＝Σ_j=0 ^ktＣ_j （ｔ）２^j （但しＣ_j （ｔ）∈
｛０，１｝ ここで係数Ｃ_j （ｔ）が１となる２^j と、そのときのｔ
を組とした集合をＳとする。すなわち集合Ｓ＝
｛（２^j ，ｔ）｜Ｃ_j (it)＝１，０＜ｔ＜ｒ｝である。

【０００４】ここで一般に集合Ｓの各要素がｘ₁ ，ｘ₂
よりなるｘ、つまりｘ＝（ｘ₁ ，ｘ ₂ ）∈Ｓに対して第
１項を取り出す関数をＰｒ（ｘ）＝ｘ₁ とおき、 ｍａ≡ｍａｘ（Ｐｒ (s)） （但し∀_s ∈Ｓ） と定義する。即ち集合Ｓのすべての要素の各第１項を取
出す関数Ｐｒ (s)を最大値をｍａとする。更にｓｕｍ，
ｄと２つの変数を用意し、ｓｕｍ＝１，ｄ＝ｍａを初期
設定する。（★）集合Ｓ中の全２^j 要素に対し、ｄと一
致するものを探索し、以下のような処理を施す。

【０００５】・一致するもの…その２^j に対応するｔ
（２^j ，ｔ）｜Ｃ_j （ｔ）＝１のｔ）を用いてｇのｂ^t
乗をメモリから読出し、これにｓｕｍを乗算して新たな
ｓｕｍとする。 ・上記以外…何もしない。 ｄ＞１ならばｓｕｍ←ｓｕｍ×ｓｕｍを行い、ｄ←ｄ／
２とし（★）の処理に戻り処理を続行する。ｄ＝１なら
ば処理を終了して、そのときのｓｕｍを演算結果として
出力する。これは事前計算を用いた櫛型演算方式であ
る。

【０００６】この従来方式にて複数生成元に対する演算
を行う場合は個々の生成元に対して計算を行い、最後に
これら計算結果の積をとることで求める。この従来方式
の具体的な数値例を図１０に挙げる。この例はｇ₁ の３
５２乗とｇ₂ の４０６乗との積を求める場合である。図
１０Ａはｇ₁ の３５２の計算過程を図１０Ｂはｇ₂ の４
０６乗の計算過程をそれぞれ描いたものである。ｇ₁ の
３５２乗における３５２を１０進展開し３５２とし、さ
らにこの各桁の値３，５，２を各々２進展開し、例えば
５＝１×２² ＋０×２¹ ＋１×２⁰ とし、係数Ｃ
_i （ｔ）が１となる２ ^j の値、５の場合は２² と２⁰ を
グラフ上に×印にてプロットしてある。ｇ₂ の４０６乗
についても同様の処理が施してある。

【０００７】ここでは図１０Ａのｇ₁ の３５２乗の計算
を例に挙げて説明する。３，５，２の２進展開で１００
の位の第１項は２¹ であり、１０の位の第１項は２² で
あり、１の位の第１項は２¹ であるから、プロットの中
で最も値が大きいのは１０の位にプロットのある２² ＝
４である。従ってｍａ＝４であり、変数ｄは４から処理
がスタートする。なお変数ｓｕｍの初期値としてｓｕｍ
＝１を与える。

【０００８】ｄ＝４＝２² 上にプロットがあるのは１０
の位のみである。その係数Ｃ_j （ｔ）＝Ｃ_j （１）より
１０¹ ＝１０であってｇ₁ ¹⁰ をメモリより取り出しｓｕ
ｍ＝ｓｕｍ×ｇ₁ ¹⁰ ＝ｇ₁ ¹⁰ とする。ここでｄ＞１かｄ
＝１かを判定し、ｄ＞１であるのでｓｕｍ←ｓｕｍ×ｓ
ｕｍ＝ｇ₁ ¹⁰ ×ｇ₁ ¹⁰ ＝ｇ₁ ²⁰ とする。このｓｕｍ（＝
ｇ₁ ²⁰ ）がｄ＝４のときの結果となる。次にｄ←ｄ／２
を行いｄ＝２＝２¹ とする。

【０００９】ｄ＝２¹ 上にプロットがあるのは１００の
位と１の位である。従ってｇ₁ ¹⁰⁰とｇ₁ ¹をメモリより取
り出し、ｓｕｍ＝ｓｕｍ×ｇ₁ ¹⁰¹＝ｇ₁ ¹²¹とする。この
時はｄ＞１であるのでｓｕｍ←ｓｕｍ×ｓｕｍ＝ｇ₁ ¹²¹
×ｇ₁ ¹²¹＝ｇ₁ ²⁴²とする。このｓｕｍ（＝ｇ₁ ²⁴²）がｄ
＝２のときの結果となる。次にｄ←ｄ／２を行いｄ＝１
となる。この時、プロットは１００の位と１０の位とで
あり、ｇ₁ ¹⁰⁰とｇ₁ ¹⁰がメモリより取り出されｓｕｍ×
ｇ₁ ¹¹⁰＝ｇ₁ ³⁵²となり、この時、ｄ＝１であるから、演
算結果としてｓｕｍ＝ｇ₁ ³⁵²を得る。

【００１０】図１０Ｂに示すｇ₂ に関する処理も同様に
行われてｇ₂ ⁴⁰⁶が得られる。この結果ｇ₂ ⁴⁰⁶とｇ₁ の結
果であるｇ₁ ³⁵² との積をとり、最終的なｇ₁ ³⁵² ｇ₂
⁴⁰⁶を得る。このように複数の生成元が存在する場合は
その生成元の数だけ上記方式を繰り返すことになる。

【００１１】また前記藤崎らによる有限体上の１つの生
成元に対する演算方式（藤崎、太田、“べき乗剰余計算
における累乗テーブル法の利用についての考察”、暗号
と情報セキュリティシンポジウムＳＣＩＳ９３−４Ｃ，
１９９３）には次の方式も示されている。即ちこの方式
は固定されたｇ（∈Ｚ／ｑＺ）と固定でないｎに対して
ｇⁿ を求める方式である。

【００１２】 ｎ＝Σ_t=0 ^r ａ_t ２^t （但しａ_t ∈｛０，１｝） としてｎを２進展開する。次にｎをｘビットずつに分割
する。そのｘビット単位のブロックを下位よりＮ ⁽⁰⁾ ，
Ｎ⁽¹⁾ ，Ｎ⁽²⁾ ，…とする。今

【００１３】

【数２】 を事前計算し、メモリ手段に蓄積されているものとす
る。そしてｓｕｍとｄとの２つの変数を用意し、ｓｕｍ
＝１，ｄ＝ｘ−１を初期設定する。（★）各々のｊに対
して次式を演算する。Ａ［ｊ］はＡの第ｊビット目を表
わす。

【００１４】

【数３】 ｄ＞１ならばｓｕｍ←ｓｕｍ×ｓｕｍを行い、ｄ←ｄ−
１として（★）へ戻る。ｄ＝１ならば終了してそのとき
のｓｕｍを演算結果として出力する。この従来方式にて
複数生成元に対する演算を行う場合は個々の生成元に対
して計算を行い、最後にこれらから得られた結果の積を
とることで求める。

【００１５】この従来方式の説明ではｙを１０進展開し
た後、その各桁を２進展開したが、前記１０進展開の代
わりに２のべき乗で展開したならば、前記演算は、次の
ような手順で演算することもできる。この具体的な数値
例を図１１に挙げる。図１１ではｇ₁ ²⁹ ｇ₂ ²⁷ を求める
ことを例とする。まずｇ₁ ²⁹ についてであるが、２９を
２進展開すると図１１Ａに示すように１１１０１₂ であ
る。これをｘ＝３ビットずつに分割する。すると図１１
Ｂに示すように（０１１，１０１）₂ である。なおここ
でｇ₁ ⁸とｇ₁ はテーブルにその値を保持しており、分割
後の上位ブロックが（ｇ₁ ⁸）³ 、下位ブロックが
（ｇ₁ ） ⁵ に対応していることに注意されたい。

【００１６】図１１ではステップ１〜３に分かれてお
り、ｄの値が変化することによりステップを更新するこ
とになっている。初期値はｓｕｍ＝１，ｄ＝２である。 ステップ１：（ｄ＝２）分割された各ブロックの第ｄビ
ット目（ここでは最上位ビット、最下位ビットは０ビッ
ト目とする）に着目すると、上位Ｎ⁽¹⁾ ［２］は０、下
位Ｎ⁽⁰⁾ ［２］は１であるのでｊ＝１でｇ₁ ⁰＝１，ｊ＝
０で（ｇ₁ ² ） ⁰ ＝ｇ₁ となりｓｕｍ←ｓｕｍ×ｇ₁ を
演算してｓｕｍ＝ｇ₁ となる。ｄ＞０であるのでｓｕｍ
←ｓｕｍ×ｓｕｍを演算してｓｕｍ＝ｇ₁ ²となる。ｄ←
ｄ−１としてステップ２へ（図１１Ｃ）。

【００１７】ステップ２：（ｄ＝１）上位Ｎ⁽¹⁾ ［１］
は１、下位Ｎ⁽⁰⁾ ［１］は０であるのでｊ＝１で
（ｇ₁ ²）³ ＝ｇ₁ ⁸，ｊ＝０でｇ₁ ⁰＝１となり、ｓｕｍ←
ｓｕｍ×ｇ ₁ ⁸＝ｇ₁ ²×ｇ₁ ⁸を演算して（ｓｕｍ＝
ｇ₁ ¹⁰ ）となる。ｄ＞０であるのでｓｕｍ←ｓｕｍ×ｓ
ｕｍを演算して（ｓｕｍ＝ｇ₁ ²⁰ ）となる。ｄ←ｄ−１
としてステップ３へ（図１１Ｄ）。

【００１８】ステップ３：（ｄ＝０）上位Ｎ⁽¹⁾ ［０］
は１、下位Ｎ⁽⁰⁾ ［０］も１であるのでｊ＝１でｇ₁ ⁸，
ｊ＝０でｇ₁ となり、ｓｕｍ←ｓｕｍ×ｇ₁ ⁸×ｇ₁ を演
算してｓｕｍ＝ｇ₁ ²⁹ となる。ｄ＝０であるのでこのｓ
ｕｍ（＝ｇｇ₁ ²⁹ ）が出力となる（図１１Ｅ）。ｇ₂ ²⁷
についても図１１Ｆに示すように同様の作業を行い、そ
の結果とｇ₁ ²⁹との積をとり最終的なｇ₁ ²⁹ ｇ₂ ²⁷ を得
る。

【００１９】このように複数の生成元が存在する場合は
その生成元の数だけ上記方式を繰り返すことになる。

【００２０】

【発明が解決しようとする課題】コンピュータの計算能
力の向上や各種解法アルゴリズムの発見により、暗号や
署名の安全性を向上させるためにより難しい問題を根拠
とする必要が生じている。これに対する解決法としてよ
り難しい問題である複数生成元を扱った離散対数問題や
楕円曲線上の群に対する離散対数問題を安全性の根拠と
する暗号方式や署名方式が提案されつつある。

【００２１】従来の藤崎らによる有限体上の１つの生成
元に対する演算方式では、こういった複数生成元をもつ
ものに対してはその生成元の数の分だけ方式自体を繰り
返すこととなり効率的な演算という点で十分な効果が得
られなかった。従来方式による具体的な数値例を図１
０、図１１に挙げたが、従来方式ではｇ₁ ³⁵²とｇ₂ ⁴⁰⁶を
独立にまたｇ₁ ²⁹ とｇ₂ ²⁷ を独立に計算し最後に両者の
積をとるという処理が必要であった。

【００２２】この発明の目的は上記従来方式の問題点に
対して、より難しい問題点である複数生成元に対する離
散対数問題を安全性の根拠とした暗号方式や署名方式の
内部演算をより効率的に行うことを可能とする演算装置
とそのプログラム記録媒体を提供することにある。

【００２３】

【課題を解決するための手段】請求項１の発明によれば
ある群Ｇの要素ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ₁ ，ｙ
₂ ，…，ｙ_m が入力され、今この群Ｇ上に定義された演
算をｏで表わし、ｇ_i ｏｇ_i ｏ…ｏｇ_i のｙ_j −１回の
演算をｙ_j ｇ_i と、ｇ_i の逆元をｇ_i ^-1と表わし、ｇ_i
⁰ ＝（群Ｇの単位元），ｇ_i ¹ ＝ｇ_i として、今 ｙ₁ ｇ₁ ｏｙ₂ ｇ₂ ｏ…ｏｙ_m ｇ_m を求める装置であって、（ｂ₁ ⁰ｇ₁ ，ｂ₁ ¹ ｇ₁ ，…，
ｂ₁ ^r1ｇ₁ ），（ｂ₂ ⁰ｇ₂ ，ｂ₂ ¹ ｇ₂ ，…，ｂ₂ ^r2ｇ
₂ ），…，（ｂ_m ⁰ ｇ_m ，ｂ_m ¹ ｇ_m ，…，ｂ
_m ^rmｇ_m ）を事前計算しメモリ手段に蓄積しておき、ｙ
_i を次のようにｂ_i 進展開し、 ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t （但し１＜ｉ＜ｍ，０＜ａ
_it＜ｂ_i ） このｂ_i 進展開したときの係数ａ_itをさらに以下のよう
に２進展開し、 ａ_it＝Σ_j=0 ^kit Ｃ_j (it)２^j （但しＣ_j (it)∈｛０，
１｝） 係数Ｃ_j (it)が１となる２^j の集合Ｓ＝｛（２ⁱ ，ｉ，
ｔ）｜Ｃ_j (it)＝１，１＜ｉ＜ｍ，０＜ｔ＜ｒ_i ｝をレ
ジスタに格納し、集合Ｓの第１項を取り出す関数をＰr
（ｓ）＝ｘ₁ とする時、全てのＰr(s)中の最大の２^j を
検出してｍａとし、２つの変数ｓｕｍとｄに対し、ｓｕ
ｍ＝（群Ｇの単位元），ｄ＝ｍａを初期設定し、（★）
集合Ｓ中の全２^j 要素に対し、ｄと一致するものを探索
し以下のような作業を施す。

【００２４】・一致するもの…その２^j に対応するｉと
ｔを用いてｓｕｍ←ｓｕｍｏｂ_i ^tｇ_i を演算する。 ・上記以外…何もしない。 ｄ＞１ならばｓｕｍ←ｓｕｍｏｓｕｍを演算し、ｄ←ｄ
／２とし（★）の作業に戻り処理を続行する。ｄ＝１な
らば終了してそのときのｓｕｍを演算結果として出力す
る。

【００２５】請求項２の発明によれば、ある乗法群の要
素ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ₁，ｙ₂ ，…，ｙ_m が
入力され、（ｇ₁ のｙ₁ 乗）×（ｇ₂ のｙ₂ 乗）×…×
（ｇ _m のｙ_m 乗）の演算結果を出力する演算装置におい
て、ｇ₁ のｂ₁ ⁰ 乗，ｇ₁ のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
^r1乗，ｇ₂ のｂ₂ ⁰ 乗，ｇ ₂ のｂ₂ ¹ 乗，…，ｇ₂ のｂ
₂ ^r2乗，…，ｇ_m のｂ_m ⁰ 乗，ｇ_m のｂ_m ¹ 乗，…，ｇ
_m のｂ_m ^rm乗の各値がメモリ手段に記憶され、上記各入
力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ_i 進展開
してｇ_i ＝Σ _t=0 ^riａ_itｂ_i ^t なる関係の各係数ａ
_it（０≦ａ_it＜ｂ_i ，ｔ＝０，１，…，ｒｉ）が展開手
段で求められてレジスタに格納され、上記各係数ａ_itを
それぞれ２進展開してａ_it＝Σ_j=0 ^kit Ｃ_j （it）２^j
（Ｃ _j （it）∈｛０，１｝）なる関係の各Ｃ_j （it）２
^j を２進展開手段で求められ、上記係数Ｃ_j （it）が１
である２^j の集合Ｓ＝（２^j,ｉ，ｔ）がレジスタに格納
され、上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）
とする時、すべてのＰｒ（ｓ）中の最大の２^j がｍａと
して検出手段で検出され、２つの変数ｓｕｍとｄに対し
初期値１とｍａがそれぞれ設定され、上記Ｐｒ（ｓ）中
の上記変数値ｄと一致するものが探索手段で探索され、
その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
り、上記メモリ手段を参照して、乗算手段でｓｕｍ×
（ｇ_i のｂ_i ^t 乗）が演算され、その結果が新たなｓｕ
ｍとされ、自乗手段で上記変数ｓｕｍが自乗されて新た
なｓｕｍとされ、上記変数ｄが１より大であるか１であ
るかが判定手段で判定され、その判定手段が１より大と
判定すると、上記変数ｄを２で割算して新たなｄとし、
そのｄに対し、上記探索手段、上記乗算手段、上記自乗
手段、上記判定手段を繰返し、上記判定手段が１と判定
すると上記変数値ｓｕｍが演算結果として出力される。

【００２６】請求項３の発明によればある楕円曲線群の
要素Ｇ₁ ，Ｇ₂ ，…，Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ
_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算装置において、ｂ₁ ⁰ Ｇ₁ ，
ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ₂ ，ｂ₂ ¹ Ｇ
₂ ，…，ｂ ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ_m ¹ Ｇ_m ，
…，ｂ_m ^rmＧ_m の各乗算値がメモリ手段に記憶され、上
記各入力値ｙ_i （ｉ＝１，２，…，ｍ）がそれぞれ展開
手段により、ｂ_i 進展開されてｙ_i ＝Σ_t=0 ^riａ_itｂ_i
^t なる関係の各係数ａ_it（０≦ａ_it＜ｂ，ｔ＝０，１，
…，ｒｉ）が求められ、これら各係数ａ_itがレジスタに
格納され、上記各係数ａ_itをそれぞれ２進展開してａ_it
＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ _j （it）∈｛０，
１｝）なる関係の各Ｃ_j （it）２^j が２進展開手段で求
められ、上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝
（２^j,ｉ，ｔ）がレジスタに格納され、上記集合Ｓの第
１項を取り出す関数をＰｒ（ｓ）とする時、すべてのＰ
ｒ（ｓ）中の最大の２^j が検出手段でｍａとして検出さ
れ、２つの変数ｓｕｍとｄに対し初期値無限遠点とｍａ
がそれぞれ設定され、上記Ｐｒ（ｓ）中の上記変数値ｄ
と一致するものが探索手段で探索され、その探索したＰ
ｒ（ｓ）が属する集合Ｓのｉとｔにより、上記メモリ手
段を参照してｓｕｍ＋ｂ_i ^t Ｇ_i が加算手段で、上記楕
円曲線上で演算され、その結果が新たなｓｕｍとされ、
その変数ｓｕｍが２倍手段により上記楕円曲線上で２倍
されて新たなｓｕｍとされ、上記変数ｄが１より大であ
るかｄ＝１かが判定手段で判定され、上記判定手段が１
より大と判定すると、上記変数ｄを２で割算して、新た
なｄとし、そのｄに対し、上記探索手段、上記加算手
段、上記２倍手段、上記判定手段が繰返され、上記判定
手段が１と判定すると上記変数値ｓｕｍが演算結果とし
て出力される。

【００２７】請求項４の発明によればある乗法群の要素
ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入
力され、（ｇ₁ のｙ₁ 乗）×（ｇ₂ のｙ₂ 乗）×…×
（ｇ_mのｙ_m 乗）の演算結果を出力する演算装置におい
て、ｇ₁ の（−ｂ₁ ^r1）乗，ｇ₁ の（−ｂ₁ ^r1-1）乗，
…，ｇ₁ のｂ₁ ⁰ 乗，ｇ₁のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
^r1乗，ｇ₂ の（−ｂ₂ ^r2）乗，ｇ₂ の（−ｂ₂ ^r2-1）
乗，…，ｇ₂ のｂ₂ ⁰ 乗，…，ｇ₂ のｂ₂ ^r2乗，…，ｇ
_m の（−ｂ_m ^rm）乗，…，ｇ_m のｂ_m ⁰ 乗，…，ｇ_m の
ｂ_m ^rm乗の各値がメモリ手段に記憶され、上記各入力値
ｙ_i （ｉ＝１，２，…，ｍ）がそれぞれ符号付ｂ_i 進展
開されて、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係数
ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦［（ｂ_i −１）
／２］，ｔ＝０，１，…，ｒｉ，［ａ］はａ以上で最小
の整数である）がｂ進展開手段により求められてレジス
タに格納され、上記各係数ａ_itの絶対値がそれぞれ２進
展開手段により２進展開されて｜ａ_it｜＝Σ_j=0 ^{ki t} Ｃ
_j （it）２^j （Ｃ_j （it）∈｛０，１｝）なる関係の各
Ｃ_j （it）２^j が求められ、上記係数Ｃ_j （it）が１で
ある２^j の集合Ｓ＝（２^j,ｉ，ｔ）がレジスタに格納さ
れ、上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）と
する時、すべてのＰｒ（ｓ）中の最大の２^j がｍａとし
て検出手段により検出され、２つの変数ｓｕｍとｄに対
し初期値１とｍａがそれぞれ設定され、上記Ｐｒ（ｓ）
中の上記変数値ｄと一致するものが探索手段で探索さ
れ、その探索したＰｒ（ｓ）が属する集合Ｓと対応する
係数ａ_itの符号とｉとｔにより、上記メモリ手段を参照
してｓｕｍ×（ｇ_i の（ａ_itの符号）ｂ_i ^t 乗）が乗算
手段で演算され、その結果が新たなｓｕｍとされ、上記
変数ｓｕｍの自乗が自乗手段でなされて新たなｓｕｍと
され、上記変数ｄが１より大であるか１であるかが判定
手段で判定され、上記判定手段が１より大と判定する
と、上記変数ｄを２で割算して新たなｄとし、そのｄに
対し上記探索手段、上記乗算手段、上記自乗手段、上記
判定手段が繰返され、上記判定手段が１と判定すると、
上記変数値ｓｕｍが演算結果として出力される。

【００２８】請求項５の発明によればある楕円曲線群の
要素Ｇ₁ ，Ｇ₂ ，…，Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ
_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算装置において、ｂ₁ ⁰ Ｇ₁ ，
ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ₂ ，ｂ₂ ¹ Ｇ
₂ ，…，ｂ ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ_m ¹ Ｇ_m ，
…，ｂ_m ^rmＧ_m の各乗算値がメモリ手段に記憶され、上
記各入力値ｙ_i （ｉ＝１，２，…，ｍ）が展開手段で、
それぞれ符号付ｂ_i 進展開されてｙ_i ＝Σ_t=0 ^riａ_itｂ
_i ^t なる関係の各係数ａ_it（−［（ｂ_i −１）／２］≦
ａ_it≦［（ｂ_i −１）／２］，ｔ＝０，１，…，ｒｉ，
［ａ］はａ以上で最小の整数である）が求められてレジ
スタに格納され、上記各係数ａ_itの絶対値がそれぞれ展
開手段で２進展開して｜ａ_it｜＝Σ_j=0 ^kit Ｃ_j （it）
２^j （Ｃ_j （it）∈｛０，１｝）なる関係の各Ｃ_j （i
t）２^j が求められ、上記係数Ｃ_j （it）が１である２
^j の集合Ｓ＝（２^j,ｉ，ｔ）がレジスタに格納され、上
記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
時、すべてのＰｒ（ｓ）中の最大の２^j がｍａとして検
出手段により検出され、２つの変数ｓｕｍとｄに対し初
期値無限遠点とｍａがそれぞれ設定され、上記Ｐｒ
（ｓ）中の上記変数値ｄと一致するものが探索手段で探
索され、その探索したＰｒ（ｓ）の属する集合Ｓのｉと
ｔにより、上記メモリ手段を参照して、加算手段でｓｕ
ｍ＋（ａ_itの符号）ｂ_i ^t Ｇ_i が上記楕円曲線上で演算
され、その結果が新たなｓｕｍとされ、上記変数ｓｕｍ
が２倍手段で上記楕円曲線上で２倍にされて新たなｓｕ
ｍとされ、上記変数ｄが１より大であるか１であるかが
判定手段で判定され、上記判定手段が１より大と判定す
ると、上記変数ｄを２で割算して新たなｄとし、そのｄ
に対し、上記探索手段、上記加算手段、上記２倍手段、
上記判定手段が繰返され、上記判定手段が１と判定する
と、上記変数値ｓｕｍが演算結果として出力される。

【００２９】請求項１５の発明によればｇ₁ ，ｇ₂ ，
…，ｇ_m がある群Ｇの要素であり、ｙ ₁ ，ｙ₂ ，…，ｙ
_m が整数であり、この群Ｇ上に定義された演算をｏで表
わし、以下ではｇ₁ ｏｇ₁ ｏ…ｏｇ₁ のｙ₁ −１回の演
算をｙ₁ ｇ₁ と、ｇ₁ の逆元をｇ₁ ^-1と表わし、またｇ
₁ ⁰ ＝（群Ｇの単位元）、ｇ₁ ¹ ＝ｇ₁ とし、 ｙ₁ ｇ₁ ｏｙ₂ ｇ₂ ｏ…ｏｙ_m ｇ_m を求める装置であって、 （ｇ₁ ^-1，（２^x1ｇ₁ ）^-1，（２^2x1 ｇ₁ ）^-1，…，
（２^p1x1ｇ₁ ）^-1，ｇ₁，２^x1ｇ₁ ，２^2x1 ｇ₁ ，…，
２^p1x1ｇ₁ ） （ｇ₂ ^-1，（２^x2ｇ₂ ）^-1，（２^2x2 ｇ₂ ）^-1，…，
（２^p2x2ｇ₂ ）^-1，ｇ₂，２^x2ｇ₂ ，２^2x2 ｇ₂ ，…，
２^p2x2ｇ₂ ） ・ ・ ・ （ｇ_m ^-1，（２^xmｇ_m ）^-1，（２^2xm ｇ_m ）^-1，…，
（２^pmxmｇ_m ）^-1，ｇ_m，２^xmｇ_m ，２^2xm ｇ_m ，…，
２^pmxmｇ_m ） をメモリ手段に蓄積しておき、ｙ_i が次のような関係を
持ち、ａ_i1〜ａ_imの係数で表わされるとして、 ｙ_i ＝Σ_t=0 ^riａ_it２^t （但し１＜ｉ＜ｍ，ａ_it∈
｛−１，０，１｝） 各ｙ_i をｘ_i ビットずつに分割し、そのｘ_i ビット単位
のブロックを下位よりＹ _i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，
…として保持し、Ｙ_i ^(j) のうち最大値を検出してｍａ
とし、２つの変数ｓｕｍとｄに対し、ｓｕｍ＝（群Ｇの
単位元）、ｄ＝ｍａ−１を初期設定し、（★）各ｉ，ｊ
に対してメモリ手段を用いて、

【００３０】

【数４】 を演算し、（最下位ビットを第０ビット目と約束し、Ａ
［ｊ］はＡの第ｊビット目を表わすこととする。）ｄ＞
０ならばｓｕｍ←ｓｕｍｏｓｕｍを行い、ｄ←ｄ−１と
して（★）へ戻る。ｄ＝０ならば終了してそのときのｓ
ｕｍを演算結果として出力する。

【００３１】請求項１８の発明によれば、ある乗法群の
要素ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ ₁ ，ｙ₂ ，…，ｙ_m
に対して、 ｇ₁ ^y1ｇ₂ ^y2・・・ｇ_m ^ym を求める方法であって、ｙ_i が次のような関係を持ち、
ａ_i1〜ａ_imの係数で表わされるとし、 ｙ_i ＝Σ_t=0 ^riａ_it２^t （但し１＜ｉ＜ｍ，ａ_it∈
｛−１，０，１｝） 各ｙ_i をｘ_i ビットずつに分割し、そのｘ_i ビット単位
のブロックを下位よりＹ _i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，
…として保持し、

【００３２】

【数５】 をメモリ手段に蓄積しておき、Ｙ_i ^(j) のうち最大値を
検出してｍａとし、また以下では最下位ビットを第０ビ
ット目と約束し、Ａ［ｊ］はＡの第ｊビット目を表わす
こととし、ｓｕｍとｄの２つの変数に対し、ｓｕｍ＝
１，ｄ＝ｍａ−１を初期設定し、（★）各ｉ，ｊに対し
て

【００３３】

【数６】 を演算し、ｄ＞０ならばｓｕｍ←ｓｕｍ×ｓｕｍを演算
し、ｄ←ｄ−１として（★）へ戻る。ｄ＝０ならば終了
してそのときのｓｕｍを演算結果として出力する。請求
項１９の発明ではある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
…，Ｇ_m と整数ｙ₁，ｙ₂ ，…，ｙ_m に対して、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m を求める方法であって、請求項１８において演算「×」
の代わりに演算「＋」を用いる。また

【００３４】

【数７】 の代わりにＹ_i ^(j) ［ｄ］・２^jxi Ｇ_i を使い初期設定
ｓｕｍ＝１の代わりにｓｕｍ＝０を初期設定に置き換え
て、上記の演算結果を出力する。以上の構成のようにこ
れまで別々に行っていた各生成元（ある群の要素）に対
するその群上に定義された演算を先にまとめて全体に施
すことにより、これまで複数回必要であった演算を１回
で完了可能とする。

【発明の実施の形態】以下図面を用いてこの発明の実施
例について詳しく説明する。第一実施例 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ₁ ，ｙ
₂ ，…，ｙ_m に対して、 ｇ₁ ^y1ｇ₂ ^y2…ｇ_m ^ym を求めて出力する。この処理を実行する第一実施例の原
理とアルゴリズムは以下の通りである。

【００３５】各整数ｙ_i （ｉ＝１，２，…，ｍ）につい
て ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t （但し１＜ｉ＜ｍ，０＜ａ_it
＜ｂ_i ） とｂ_i 進展開する。この時、ｇ_i ^yiは次式で表わせる。

【００３６】

【数８】 ｙ_i をｂ_i 進展開したときの係数ａ_itをさらに以下のよ
うに２進展開する。 ａ_it＝Σ_j=0 ^kit Ｃ_j （it）２^j （但しＣ_j （it）∈
｛０，１｝） 係数Ｃ_j （it）が１となる２^j の集合を集合Ｓとする。
すなわち集合Ｓ＝｛（２ ^j ，ｉ，ｔ）｜Ｃ_j （it）＝
１，１＜ｉ＜ｍ，０＜ｔ＜ｒ_i ｝である。また集合Ｓの
すべての要素から第１項を取り出す関数Ｐｒ（ｓ）の最
大値を求めて、その値を以下のようにｍａとする。

【００３７】 ｍａ≡ｍａｘ（Ｐｒ （ｓ））（但し∀_s ∈Ｓ） 実施の一例として以下のような手順を踏むことによりｇ
₁ ^y1ｇ₂ ^y2…ｇ_m ^ymを求める。まず２つの変数ｓｕｍ，
ｄの各初期値をそれぞれｓｕｍ＝１、ｄ＝ｍａとする。 Ｓ１ ｄと等しいＣ_j （it）２^j を探し、そのｉ，ｔに
ついて、 Ｓ２ ｓｕｍ←ｓｕｍ×（ｇ_i のｂ_i ^t 乗）を計算し、 Ｓ３ ｓｕｍ＝ｓｕｍ×ｓｕｍを計算し、 Ｓ４ ｄ＞１かｄ＝１かを判定し、ｄ＞１なら Ｓ５ ｄ←ｄ÷２を計算し、 Ｓ６ ｄ＝１になるまでＳ１〜Ｓ４を繰り返す。

【００３８】Ｓ７ ｄ＝１の時のｓｕｍの値を演算結果
として出力する。 以上よりｇ_i のｂ_i ^t 乗を事前に計算し結果を保持し、
前記ステップＳ２の乗算に利用することによりｇ₁ ^y1ｇ
₂ ^y2…ｇ_m ^ymを効率的に算出することができる。上記ア
ルゴリズムを実行するこの発明の演算装置の実施例を図
１に示す。ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m と整
数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力手段（レジスタを含む）
１１に入力される。ｇ₁ のｂ₁ ⁰ 乗，ｇ₁ のｂ₁ ¹ 乗，
…，ｇ₁のｂ₁ ^r1乗，ｇ₂ のｂ₂ ⁰ 乗，ｇ₂ のｂ₂ ¹
乗，…，ｇ₂ のｂ₂ ^r2乗，…，ｇ_mのｂ_m ⁰ 乗，ｇ_m の
ｂ_m ¹ 乗，…，ｇ_m のｂ_m ^rm乗の各値を記憶したメモリ
手段１２が設けられている。各入力値ｙ_i （ｉ＝１，
２，…，ｍ）は展開手段１３でそれぞれｂ_i 進展開され
てｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係数ａ_it（０
≦ａ_it＜ｂ_i ，ｔ＝０，１，…，ｒｉ）が求められ、こ
れら各係数ａ_it、つまり（ａ₁₀，ａ₁₁，…，ａ_1r1 ），
（ａ₂₀，ａ₂₁，…，ａ_2r2 ），…，（ａ_m0，ａ_m1，…，
ａ_mrm ）がレジスタ１４に格納される。これら各係数ａ
_itがそれぞれ２進展開され、つまりａ_it＝Σ_j=0 ^kit Ｃ
_j （it）２^j ，（Ｃ_j （it）∈｛０，１｝）なるＣ
_j （it）２^j が２進展開手段１５により求られる。

【００３９】これらからＣ_j （it）＝１である２^j の集
合Ｓ＝｛（２^j ，ｉ，ｔ）｜Ｃ_j （it）＝１，１≦ｉ＜
ｍ，０≦ｔ＜ｒ_i ｝がレジスタ１６に格納される。いま
集合Ｓの第１項２^j を取り出す関数をＰｒ（ｓ）とする
とき、最大値検出手段内で、集合ＳのすべてのＰｒ
（ｓ）中の最大のものを検出して、それをｍａとする。
つまり ｍａ≡ｍａｘ（Ｐｒ（ｓ））（但し∀_S ∈Ｓ） と定義したことになる。

【００４０】一方変数レジスタ１８および１９に、それ
ぞれ変数ｓｕｍおよびｄの初期値として１およびｍａが
設定される。その後、探索手段２１によりＰｒ（ｓ）中
の、レジスタ１９内の変数値ｄと一致するものが探索さ
れる。その探索したＰｒ（ｓ）、つまりその２^j を第１
項とする集合Ｓ（２^j,ｉ，ｔ）中のｉとｔによりメモリ
手段１２から（ｇ_i のｂ_i ^t 乗）の値が読出され、レジ
スタ１８中のｓｕｍの値との乗算が乗算手段２２で行わ
れ、その演算結果ｓｕｍ×（ｇ_i のｂ_i ^t 乗）が新たな
ｓｕｍとしてレジスタ１８に格納される。

【００４１】そのレジスタ１８の変数ｓｕｍ値が自乗手
段２３で自乗され、その結果が新たなｓｕｍとしてレジ
スタ１８に格納される。この自乗算の後、レジスタ１９
内の変数ｄがｄ＞１であるかｄ＝１であるかの判定が判
定手段２４で行われる。この判定手段２４がｄ＞１と判
定すると、変数ｄは割算手段２５で２分の１とされてレ
ジスタ１９に新たなｄとして格納され、そのｄに対し、
探索手段２１、乗算手段２２、自乗手段２３、判定手段
２４の各動作が繰返される。この際に探索手段２１で一
致するＰｒ（ｓ）＝２^j が見つからなかった場合は乗算
手段２２は実行されないが、自乗手段２３は実行され
る。

【００４２】判定手段２４がｄ＝１と判定するとレジス
タ１８内の変数値ｓｕｍを演算結果として出力する。以
上の各手段１３，１５，１７，２１，２２，２３，２４
の動作、入力手段１１、メモリ手段１２、レジスタ１
４，１６，１８，１９に対する読出し、書込み、処理手
順などは制御手段２６により制御される。

【００４３】この発明による処理の数値的具体例を、従
来技術と同様にｇ₁ ³⁵² ・ｇ₂ ⁴⁰⁶の演算について、図
１０と同様な表現で図２を参照して説明する。図２では
ｇ₁ ³⁵² の３５２を１０進展開して３５２になり、ｇ₂
⁴⁰⁶ の４０６を１０進展開して４０６になり、つまりこ
の場合も図１０のときと同様に（ｇ₁ ¹⁰⁰ ，ｇ₁ ¹⁰，ｇ
₁ ¹ ）と（ｇ₂ ¹⁰⁰ ，ｇ₂ ¹⁰，ｇ₂ ¹ ）が事前計算によ
って予め得られ、メモリ手段１２に記憶されてある。

【００４４】図２では各位の値が図１０のＡとＢを重ね
て示してあり、またプロットに関しては図１０と同じく
各位の数｛３，５，２，４，０，６｝をそれぞれ２進展
開した値である。図２中のプロットのうち最大値は２²
＝４であるので、Ｐｒ（ｓ）の最大値はｍａ＝４であり
ｄ＝４から処理がスタートする。ｓｕｍの初期値として
ｓｕｍ＝１を与える。

【００４５】ｄ＝４上にプロットがあるのは集合Ｓ＝
（２^j ，ｉ，ｔ）は（２² ，１，１）と（２² ，２，
２）（２⁰ ，２，０）に対するものであって、ｇ₁ の１
０の位およびｇ₂ の１００と１の位である。従ってｇ₁
¹⁰ ，ｇ₂ ¹⁰⁰，ｇ₂ ¹をメモリ手段１２より取り出し、乗
算手段２２での乗算はｓｕｍ←ｓｕｍ×ｇ₁ ¹⁰ ｇ₂ ¹⁰⁰ｇ
₂ ¹＝ｇ₁ ¹⁰ ｇ₂ ¹⁰¹となる。この時ｄ＞１であるので自乗
手段２３でｓｕｍ←ｓｕｍ×ｓｕｍ＝ｇ₁ ¹⁰ ｇ₂ ¹⁰¹×ｇ
₁ ¹⁰ ｇ₂ ¹⁰¹＝ｇ₁ ²⁰ ｇ₂ ²⁰²が演算される。このｓｕｍ
（＝ｇ₁ ²⁰ ｇ₂ ²⁰²）がｄ＝２² ＝４のときの結果とな
る。次に割算手段２５でｄ←ｄ／２を行いｄ＝２＝２¹
とする。

【００４６】ｄ＝２＝２¹ 上にプロットがあり、つまり
２¹ と一致するＰｒ（ｓ）に対する集合Ｓは（２¹ ，
１，２）と（２¹ ，１，０）と（２¹ ，２，０）であっ
て、ｇ ₁ の１００と１の各位およびｇ₂ の１の位であ
る。従ってｇ₁ ¹⁰⁰，ｇ₁ ¹，ｇ₂ ¹がメモリ手段１２より取
り出され、乗算手段２２でｓｕｍ←ｓｕｍ×ｇ₁ ¹⁰⁰ｇ₁ ¹
ｇ ₂ ¹＝ｇ₁ ²⁰ ｇ₂ ²⁰²×ｇ₁ ¹⁰¹ｇ₂ ¹＝ｇ₁ ¹²¹ｇ₂ ²⁰³とな
る。この時ｄ＞１であるので自乗手段２３でｓｕｍ←ｓ
ｕｍ×ｓｕｍ＝ｇ₁ ¹²¹ｇ₂ ²⁰³×ｇ₁ ¹²¹ｇ₂ ²⁰³＝ｇ₁ ²⁴²ｇ
₂ ⁴⁰⁶とされる。このｓｕｍ（＝ｇ₁ ²⁴²ｇ₂ ⁴⁰⁶）がｄ＝２
のときの結果である。次に割算手段２５でｄ←ｄ／２と
され、ｄ＝１となる。

【００４７】ｄ＝１に関しても同様の処理を行い、ｇ₁
²⁴²ｇ₂ ⁴⁰⁶×ｇ₁ ¹⁰⁰ｇ₁ ¹⁰ が演算され結果としてｇ₁ ³⁵²
ｇ₂ ⁴⁰⁶を得る。このように複数生成元に対してはこれま
で複数回行っていた演算の適用をまとめ、その結果、乗
算回数を減らすことが可能である。第二実施例 ｐを素数とし、ｎを自然数として、要素数ｐⁿ である有
限体Ｆ（ｐⁿ ）上で定義された楕円曲線ＥのＦ（ｐⁿ ）
有利点で構成される群をＥ（Ｆ（ｐⁿ ））、Ｅ（Ｆ（ｐ
ⁿ ））上の２項演算を記号＋、Ｅ（Ｆ（ｐⁿ ））の要素
Ｇの逆元を記号−Ｇ、Ｅ（Ｆ（ｐⁿ ））の要素Ｇをｘ個
演算したＧ＋Ｇ＋…＋Ｇ（ｘ個）をｘＧと表わす。

【００４８】要素数が素数ｑであるＥ（Ｆ（ｐⁿ ））の
部分群をＧ_q として、部分群Ｇ_q の異なる要素Ｇ₁ ，Ｇ
₂ ，…，Ｇ_m ，および整数ｙ₁ ，ｙ₂ ，…，ｙ_m ∈Ｚ／
ｑＺを選び、楕円曲線Ｅ上の下記の加算を行う。 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m この際のこの発明の装置の原理とアルゴリズムは以下の
通りである。

【００４９】各整数ｙ_i （ｉ＝１，２，…，ｍ）を次式
に示すようにｂ進展開する。 ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t （但し、１＜ｉ＜ｍ，０＜ａ
_it＜ｂ_i ） この時、 ｙ_i Ｇ_i ＝Σ_t=0 ^riａ_itｂ_i ^t Ｇ_i と表わすことができる。

【００５０】ｙ_i をｂ_i 進展開したときの係数ａ_itをさ
らに以下のように２進展開する。 ａ_it＝Σ_j=0 ^kit Ｃ_j （it）２^j （但しＣ_j （it）∈
｛０，１｝） 係数Ｃ_j （it）が１となる２^j の集合Ｓ＝｛（２^j ，
ｉ，ｔ）｜Ｃ_j （it）＝１，１＜ｉ＜ｍ，０＜ｔ＜
ｒ_i ｝の第１項２^j を全て取り出し、次式のように、そ
の最大値をｍａとする。

【００５１】 ｍａ≡ｍａｘ（Ｐｒ（ｓ）） （但し∀_s ∈Ｓ） 次に以下のようにすればよい。２つの変数ｓｕｍ，ｄの
初期値をそれぞれｓｕｍ＝Ｏ（無限遠点）、ｄ＝ｍａと
し、 Ｓ１ Ｐｒ（ｓ）＝ｄを探し、そのＰｒ（ｓ）が属する
集合Ｓのｉ，ｔについて、 Ｓ２ ｓｕｍ←ｓｕｍ＋ｂ_i ^t Ｇ_i を計算し、 Ｓ３ ｓｕｍ←ｓｕｍ＋ｓｕｍを計算し、 Ｓ４ ｄ←ｄ÷２として、ｄ＝１になるまでＳ１乃至Ｓ
４を繰返す。

【００５２】ｄ＝１となった時のｓｕｍの値が求める演
算結果である。以上をｂ_i ^t Ｇ_i を事前に計算し、その
結果を保持しておくことにより楕円曲線上の演算ｙ₁ Ｇ
₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m を効率良く算出することが
できる。次にこの第二実施例の装置を図３を参照して説
明する。入力手段１１には楕円曲線上の要素Ｇ₁ ，Ｇ
₂ ，…，Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力さ
れ、メモリ手段１２にはｂ₁ ⁰ Ｇ₁ ，ｂ₁ ¹ Ｇ₁ ，…，
ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ₂ ，ｂ ₂ ¹ Ｇ₂ ，…，ｂ₂ ^r2Ｇ
₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ_m ¹ Ｇ_m ，…，ｂ_m ^rmＧ_m の各
乗算値が記憶されている。第一実施例と同様に各入力値
ｙ_i （ｉ＝１，２，…，ｍ）は展開手段１３でそれぞれ
ｂ_i 進展開され、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の
各係数ａ_it（０≦ａ_it＜ｂ，ｔ＝０，１，…，ｒｉ）が
求められて、レジスタ１４に格納され、これら各係数ａ
_itがそれぞれ２進展開され、つまりａ_it＝Σ_j=0 ^kit Ｃ
_j （it）２^j ，（Ｃ_j （it）∈｛０，１｝）なるＣ
_j （it）２^j が２進展開手段１５により求められる。

【００５３】これらからＣ_j （it）＝１である２^j の集
合Ｓ＝｛（２^j ，ｉ，ｔ）｜Ｃ_j （it）＝１，１≦ｉ＜
ｍ，０≦ｔ＜ｒ_i ｝がレジスタ１６に格納される。いま
集合Ｓの第１項２^j を取り出す関数をＰｒ（ｓ）とする
とき、最大値検出手段内で、集合ＳのすべてのＰｒ
（ｓ）中の最大のものを検出して、それをｍａとする。
つまり ｍａ≡ｍａｘ（Ｐｒ（ｓ））（但し∀_S ∈Ｓ） と定義したことになる。

【００５４】レジスタ１８，１９にはそれぞれ変数ｓｕ
ｍ，ｄの各初期値として無限遠点、ｍａがそれぞれ設定
される。Ｐｒ（ｓ）中の上記変数値ｄと一致するものが
探索手段２１で探索され、その探索したＰｒ（ｓ）、つ
まりその２^j を第１項とする集合Ｓ（２^j,ｉ，ｔ）中の
ｉとｔによりメモリ手段１２からｂ_i ^t Ｇ_i が読出さ
れ、加算手段３１によりｓｕｍ＋ｂ_i ^t Ｇ_i が楕円曲線
Ｅ上で演算され、その結果が新たなｓｕｍとしてレジス
タ１８に格納される。そのレジスタ１８の変数ｓｕｍが
２倍手段３２により楕円曲線Ｅ上で２倍演算ｓｕｍ＋ｓ
ｕｍ＝２ｓｕｍがなされて新たなｓｕｍとしてレジスタ
１８に格納される。

【００５５】レジスタ１９中の変数ｄがｄ＞１であるか
ｄ＝１であるかの判定が判定手段２４で行われ、ｄ＞１
と判定されると、割算手段２５で変数ｄを２分の１し
て、新たなｄとし、レジスタ１９に格納され、そのｄに
対し、探索手段２１、加算手段３１、２倍手段３２、判
定手段２４の各動作が繰返され、判定手段２４がｄ＝１
と判定するとレジスタ１８内の変数値ｓｕｍが演算結果
として出力される。制御手段２６は第一実施例のそれと
同様な動作をするものである。

【００５６】具体的な数値例として３５２Ｇ₁ ＋４０６
Ｇ₂ を演算する過程を、図４に図２と同様な手法で示
す。この場合は、加算手段３１が楕円曲線上での加算と
なり、また掛算手段２２の代りに２倍手段３２となって
いる点がこの図にも現われている。図２の場合と同様に
容易に理解できると思われるから説明は省略する。第三実施例 これは第一実施例と同一の入力に対し、同一の演算結果
を得るが、各入力値ｙ _i を符号付きｂ_i 進展開する点で
異なる。以下にその原理とアルゴリズムを述べる。

【００５７】ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m と
整数ｙ₁ ，ｙ₂ ，…，ｙ_m に対して、 ｇ₁ ^y1ｇ₂ ^y2…ｇ_m ^ym を求める。各ｙ_i を ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t（但し１＜ｉ＜ｍ，−［ｂ_i
−１／２］＜ａ _it＜［ｂ_i −１／２］） と符合付にてｂ_i 進展開すると、

【００５８】

【数９】 と表わすことができる。ｙ_i をｂ_i 進展開したときの係
数ａ_itの絶対値をさらに以下のように２進展開する。 ｜ａ_it｜＝Σ_j=0 ^kit Ｃ_j （it）２^j （但しＣ_j （i
t）∈｛０，１｝） 係数Ｃ_j （it）が１となる２^j の集合Ｓ＝｛（２^j ，
ｉ，ｔ）｜Ｃ_j （it）＝１，１＜ｉ＜ｍ，０＜ｔ＜
ｒ_i ｝における全ての第１項２^j の最大を次式のように
ｍａとする。

【００５９】 ｍａ≡ｍａｘ（Ｐｒ（ｓ）） （但し∀_s ∈Ｓ） 次に以下の演算手順をすればよい。２つの変数ｓｕｍ，
ｄの初期値をそれぞれｓｕｍ＝１、ｄ＝ｍａとし、 Ｓ１ Ｐｒ（ｓ）＝ｄを探し、そのＰｒ（ｓ）が属する
集合Ｓ中のｉ，ｔと、そのａ_itの符号（ｓｉｇｎ）につ
いて、 Ｓ２ ｓｕｍ←ｓｕｍ×（ｇ_i のｓｉｇｎ（ａ_it）ｂ_i
^t 乗）を計算し、 Ｓ３ ｓｕｍ←ｓｕｍ×ｓｕｍを計算し、 Ｓ４ ｄ←ｄ÷２としてｄ＝１になるまでＳ１〜Ｓ４を
繰返す。

【００６０】ｄ＝１になった時のｓｕｍの値が求める演
算結果である。以上を±ｇ_i のｂ_i ^t 乗を事前に計算し
結果を保持しておくことにより有限体上の演算（ｇ₁ の
ｙ₁ 乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）を
効率良く算出することができる。図５に第三実施例を示
し、図１と対応する部分に同一符号を付けてあり、第一
実施例と異なる点について説明する。メモリ手段１２に
はｇ₁ の（−ｂ₁ ^r1）乗，ｇ₁ の（−ｂ₁ ^r1-1）乗，
…，ｇ₁ のｂ₁ ⁰ 乗，ｇ₁のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
^r1乗，ｇ₂ の（−ｂ₂ ^r2）乗，ｇ₂ の（−ｂ₂ ^r2-1）
乗，…，ｇ₂ のｂ₂ ⁰ 乗，…，ｇ₂ のｂ₂ ^r2乗，…，ｇ
_m の（−ｂ_m ^rm）乗，…，ｇ_m のｂ_m ⁰ 乗，…，ｇ_m の
ｂ_m ^rm乗の各値が記憶され、ｂ進展開手段１３では符号
付ｂ_i 進展開、つまり、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる
関係の各係数ａ _it（−［（ｂ_i −１）／２］≦ａ_it≦
［（ｂ_i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］
はａ以上で最小の整数である）が求められてレジスタ１
４に格納される。これら各係数ａ_itの絶対値がそれぞれ
更に２進展開され、つまり｜ａ_it｜＝Σ_j=0 ^kit Ｃ
_j （it）２^j ，（Ｃ_j （it）∈｛０，１｝）なるＣ
_j （it）２^jが２進展開手段１５により求められる。

【００６１】これらからＣ_j （it）＝１である２^j の集
合Ｓ＝｛（２^j ，ｉ，ｔ）｜Ｃ_j （it）＝１，１≦ｉ≦
ｍ，０≦ｔ≦ｒ_i ｝がレジスタ１６に格納される。いま
集合Ｓの第１項２^j を取り出す関数をＰｒ（ｓ）とする
とき、最大値検出手段１７で、集合ＳのすべてのＰｒ
（ｓ）中の最大のものを検出して、それをｍａとする。
つまり ｍａ≡ｍａｘ（Ｐｒ（ｓ））（但し∀_S ∈Ｓ） と定義したことになる。探索手段２１ではＰｒ（ｓ）中
の変数値ｄと一致するものが探索され、乗算手段２２で
は探索したＰｒ（ｓ）が属する集合Ｓ（２^j,ｉ，ｔ）と
対応するａ_itの符号とｉとｔにより、メモリ手段１２が
読出され、その読み出された（ｇ_i の（ａ_itの符号）ｂ
_i ^t 乗）とｓｕｍとの乗算がなされる。その他は第一実
施例と同様である。

【００６２】具体的数値例の演算過程を、ｇ₁ ³⁵² ・ｇ
₂ ⁴⁰⁶ について図２と同様な表現で図６に示す。第四実施例 これは第二実施例と同一の入力に対し、同一の演算結果
を得るが、第三実施例と同様にｙ_i を符号付きｂ_i 進展
開している点で異なる。以下にその原理とアルゴリズム
を述べる。

【００６３】部分群Ｇ_q の異なる要素Ｇ₁ ，Ｇ₂ ，…，
Ｇ_m 、および整数ｙ₁ ，ｙ₂ ，…，ｙ_m ∈Ｚ／ｑＺを選
び、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m を求める。ｙ_i を ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t（但し１＜ｉ＜ｍ，−［ｂ_i
−１／２］＜ａ _it＜［ｂ_i −１／２］） と符合付にてｂ_i 進展開する。この時ｙ_i Ｇ_i は次式で
表わせる。

【００６４】ｙ_i Ｇ_i ＝Σ_t=0 ^riａ_itｂ_i ^t Ｇ_i ｙ_i をｂ_i 進展開したときの係数ａ_itの絶対値をさらに
以下のように２進展開する。 ｜ａ_it｜＝Σ_j=0 ^kit Ｃ_j （it）２^j （但しＣ_j （i
t）∈｛０，１｝） 係数Ｃ_j （it）が１となる２^j の集合Ｓ＝｛（２^j ，
ｉ，ｔ）｜Ｃ_j （it）＝１，１＜ｉ＜ｍ，０＜ｔ＜
ｒ_i ｝の第１項２^j の全ての中で最大値を次式に示すよ
うにｍａと定義する。

【００６５】 ｍａ≡ｍａｘ（Ｐｒ（ｓ）） （但し∀_s ∈Ｓ） 次に以下の演算手順をすればよい。２つの変数ｓｕｍ，
ｄの初期値をそれぞれｓｕｍ＝Ｏ（無限遠点）、ｄ＝ｍ
ａとし、 Ｓ１ Ｐｒ（ｓ）＝ｄを探し、そのＰｒ（ｓ）が属する
集合Ｓとそのａ_itの符号と、ｉ，ｔについて、 Ｓ２ ｓｕｍ←ｓｕｍ＋ｓｉｇｎ（ａ_it）ｂ_i ^t Ｇ_i を
計算し、 Ｓ３ ｓｕｍ←ｓｕｍ＋ｓｕｍを計算し、 Ｓ４ ｄ←ｄ÷２として、ｄ＝１になるまでＳ１〜Ｓ４
を繰返す。

【００６６】ｄ＝１になった時のｓｕｍの値が求める演
算結果である。以上を±ｂ_i ^t Ｇ_i を事前に計算し、そ
の結果を保持しておくことにより楕円曲線上の演算ｙ₁
Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m を効率良く算出すること
ができる。この第四実施例の演算装置を図３、図５と対
応する部分に同一符号を付けて図７に示す。メモリ手段
１２の記憶内容は図３のそれと同一である。つまり楕円
曲線上の要素ではαＧに対して−αＧは容易に算出する
ことができるので、−αＧは事前計算しておく必要はな
い。展開手段１３では図５中のそれと同様に符号付ｂ_i
進展開が行われ、また係数ａ_it中の絶対値｜ａ_it｜が２
進展開され、その集合Ｓ中の第１項の最大値ｍａが検出
され、レジスタ１８，１９の初期値は図３の場合と同様
とされ、探索手段２１はＰｒ（ｓ）中の変数値ｄと一致
するものが探索され、その探索したＰｒ（ｓ）が属する
集合Ｓのｉとｔでメモリ手段１２を読出し、加算手段３
１で、探索手段１９の探索Ｐｒ（ｓ）のｉ，ｔと対応す
るａ_itの符号を加味してｓｕｍ＋（ａ_itの符号）ｂ_i ^t
Ｇ_i を演算する。その他は図３の実施例と同様である。
具体的数値例の３５２Ｇ₁ ＋４０６Ｇ₂ の演算過程を図
８に示す。

【００６７】以上何れの実施例においても、コンピュー
タによりプログラムを読出し解読実行させることによ
り、同様の演算を行う演算装置とすることもできる。ま
た上述においては判定手段でｄがｄ＞１かｄ＝１かを判
定したが、例えば請求項１の発明でｄ≧１である間、ｓ
ｕｍ←ｓｕｍ×ｓｕｍ、各Ｐｒ（ｓ）＝ｄに対し、ｓｕ
ｍ←ｓｕｍ×（ｇ_i のｂ_i ^t 乗）、ｄ←ｄ／２を実行
し、ｄ＜１になった時のｓｕｍを出力としてもよい。こ
のことは他の請求項２〜３のそれぞれについても同様で
ある。

【００６８】第五実施例 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m と整数ｙ₁ ，ｙ
₂ ，…，ｙ_m に対して、 ｇ₁ ^y1ｇ₂ ^y2…ｇ_m ^ym を求めて出力する。ｙ_i が次のように表わされるとす
る。

【００６９】ｙ_i ＝Σ_t=0 ^ri ａ_it2 ^t （但し１＜ｉ
＜ｍ，ａ_it∈｛−１，０，１｝） 次に各ｙ_i をｘ_i ビットずつに分割する。そのブロック
を下位よりＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…とする。

【００７０】

【数１０】 がメモリ手段に蓄積されている。Ｙ_i ^(j) のうち最大値
のビット数をｍａと定義する。また以下では最下位ビッ
トを第０ビット目と約束し、Ａ［ｊ］はＡの第ｊビット
を表すこととする。実施の一例として以下のような手順
を踏むことによりｇ₁ ^y1ｇ₂ ^y2…ｇ_m ^ymを求める。

【００７１】 ステップ１ ｓｕｍ＝１ ステップ２ ｄ＝ｍａ−１ ステップ３ 各ｉ，ｊについて

【００７２】

【数１１】 を演算 ステップ４ ｄ＞０か ステップ５ ｄ＞０でｓｕｍ＝ｓｕｍ×ｓｕｍを演算 ステップ６ ｄ＝ｄ−１、ステップ３に戻る ステップ７ ｄ＝０でｓｕｍ出力 以上のようにｇ_i の２^jx乗やｇ_i の−２^jx乗を記憶手段
に蓄積しておくことによりｇ₁ ^y1ｇ₂ ^y2…ｇ_m ^ymを効率
良く算出することができる。

【００７３】以上のアルゴリズムを実行する演算装置の
実施例を図１２に示す。ある乗法群の要素ｇ₁ ，ｇ₂ ，
…，ｇ_m と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力手段（レジ
スタを含む）１１に入力される。ｇ₁ の±１乗、ｇ₁ の
±２^x1乗、ｇ₁ の±２^2x1 乗、…，ｇ₁ の±２^p1x1乗、
ｇ₂ の±１乗、ｇ₂ の±２^x2乗，ｇ₂ の±２^2x2 乗，
…，ｇ₂ ±２^p2x2乗，…，ｇ_m の±１乗，ｇ_m の±２^xm
乗，ｇ_m の±２^2xm 乗…，，ｇ_m の±２^pmxm乗の各値を
記憶したメモリ手段１２が設けられている。各入力値ｙ
_i （ｉ＝１，２，…，ｍ）は符号付２進展開手段１５′
によりそれぞれ符号付２進展開され、 ｙ_i ＝Σ_t=0 ^ri ａ_it2 ^t （１＜ｉ＜ｍ，ａ_it∈｛−１，０，１｝） なる関係の各係数ａ_itが求められ、ｙ _i の符号付２進数
としてａ_it、つまり（ａ₁₀，ａ₁₁，…，ａ_1r1 ），（ａ
₂₀，ａ₂₁，…，ａ_2r2 ），…，（ａ_m0，ａ_m1，…，ａ
_mrm ）がａ_itレジスタ１４に格納される。

【００７４】一方、ｘ_i ビット分割保持手段４１で各ｙ
_i の符号付２進数をｘ_i ビットずつに分割し、ブロック
Ｙ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，…として保持される。これらブロ
ックＹ_i ^(j) のうちの最大値のビット数ｍａがｍａ検出
手段１７で求められ、ｄレジスタ１９にｄ＝ｍａ−１と
して格納される。探索手段２１で各Ｙ_i ^(j) のｄビット
目と、２^jxi との積が、ｇ_i のべき乗数とするものを記
憶手段１２から検索し、その検索できたｇ_i の±２^jxi
乗の全てと、ｓｕｍレジスタ１８に格納されているｓｕ
ｍとの積が乗算手段２２で行われ、その乗算結果がレジ
スタ１８に格納される。Ｙ _i ^(j) のｄビット目が０の場
合は検索できず、ｇ _i ⁽⁰⁾ ＝１とする。判定手段２４で
ｄ＞０であれば自乗手段２３で、レジスタ１８内のｓｕ
ｍが２乗されて、ｓｕｍレジスタ１８に格納され、減算
手段２５でｄ−１が演算されてｄレジスタ１９に格納さ
れ、その更新されたｄについて検索手段２１、乗算手段
２２、判定手段２４、必要に応じて自乗手段２３がそれ
ぞれ動作される。判定手段２４でｄ＝０と判定される
と、ゲート４２が開かれ、ｓｕｍレジスタ１８内のｓｕ
ｍがゲート４２を通じて外部へ演算結果として出力され
る。以上の各手段に対する制御、その動作、記憶手段１
２に対する読出し、などは制御手段２６により行われ
る。

【００７５】この具体的計画例として図１３に先ほどと
同じくｇ₁ ²⁹ｇ₂ ²⁷を求める過程を挙げている。図１３
Ａに示すようにｇ₁ ²⁹の２９を２進展開し１１１０
１₂ 、さらにこれを符号付２進展開すると１００−１０
１₂ となる（ビット数１増加）。また図１３Ｂに示すよ
うにｇ₂ ²⁷の２７を２進展開し１１０１１₂ となり、同
様に符号付２進展開すると１００−１０−１₂ となる
（ビット数１増加）。先の場合と同様にｘ＝３ビットず
つに分割する。従ってｍａ＝３となる。すると図１３
Ｃ，Ｄに示すように（１００，−１０１）₂ と（１０
０，−１０−１）₂ である。なお（ｇ₁ ⁸ ，ｇ₁ ¹ ，ｇ
₁ ^-8，ｇ₁ ^-1）と（ｇ₂ ⁸ ，ｇ₂ ¹ ，ｇ₂ ^-8，ｇ₂ ^-1）
は記憶手段１２にその値を保持していることに注意され
たい。初期値はｓｕｍ＝１，ｄ＝２である。

【００７６】ステップ１：２分割された各ブロックの第
ｄビット目（ここでは最上位ビット）に着目すると（図
１３ＥＦ）、（１，−１）と（１，−１）であるので乗
算手段２２ではｓｕｍ←ｓｕｍ×ｇ₁ ⁸ ×ｇ₁ ^-1×ｇ₂
⁸ ×ｇ₂ ^-1を演算して（ｓｕｍ＝ｇ₁ ⁷ ｇ₂ ⁷ ）とな
る。ｄ＞０であるので自乗手段２３ではｓｕｍ←ｓｕｍ
×ｓｕｍを演算して（ｓｕｍ＝ｇ₁ ¹⁴ｇ₂ ¹⁴）となる。
減算手段２５でｄ←ｄ−１としてステップ２へ。

【００７７】ステップ２：（ｄ＝１）２９，２７の各対
応するものは（０，０）と（０，０）である。乗算手段
２２ではｓｕｍ×１×１×１×１となり、ｄ＞０である
ので自乗手段２３ではｓｕｍ←ｓｕｍ×ｓｕｍを演算
し、（ｓｕｍ＝ｇ₁ ²⁸ｇ₂ ²⁸）となる。（図１３Ｇ，
Ｈ）。 ｄ←ｄ−１としてステップ３へ。 ステップ３：（ｄ＝０）（０，１）と（０，１）である
ので乗算手段２２でｓｕｍ←ｓｕｍ×ｇ₁ ×ｇ₂ ^-1を演
算し、（ｓｕｍ＝ｇ₁ ²⁹ ｇ₂ ²⁷）となる。ｄ＝０である
のでｓｕｍレジスタ１８のこのｓｕｍ（＝ｇ
₁ ²⁹ ｇ₂ ²⁷）値が出力となる（図１３Ｉ，Ｊ）。

【００７８】このように複数生成元に対してはこれまで
複数回行っていた演算の適用をまとめ、結果乗算回数を
削減することが可能である。第六実施例 ｐを素数とし、ｎを自然数として、要素数ｐⁿ である有
限体Ｆ_pn上定義された楕円曲線ＥのＧＦ（ｐⁿ ）有理点
で構成される群をＥ（ＧＦ（ｐⁿ ）），Ｅ（ＧＦ
（ｐⁿ ））上の２項演算を記号＋，Ｅ（ＧＦ（ｐⁿ ））
の要素Ｇの逆を記号−Ｇ，Ｅ（ＧＦ（ｐⁿ ））の要素Ｇ
をｘ個演算したＧ＋Ｇ＋…＋Ｇ（ｘ個）をｘＧと書くと
する。

【００７９】要素数が素数ｑであるＥ（ＧＦ（ｐⁿ ））
の部分群をＧ_q として、部分群Ｇ_qの異なる要素Ｇ₁ ，
Ｇ₂ ，…，Ｇ_m ，およびｙ₁ ，ｙ₂ ，…，ｙ_m ∈Ｚ／ｑ
Ｚを選ぶ。 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m を求めて出力する。ｙ_i が次のように表わされるとす
る。

【００８０】ｙ_i ＝Σ_t=0 ^ri ａ_it２^t （但し１＜ｉ
＜ｍ，ａ_it∈｛−１，０，１｝） 次に各ｙ_i をｘ_i ビットずつに分割する。そのブロック
を下位よりＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…とする。
今 （Ｇ₁ ，２^x1Ｇ₁ ，２^2x1 Ｇ₁ ，…，２^p1x1Ｇ₁ ） （Ｇ₂ ，２^x2Ｇ₂ ，２^2x2 Ｇ₂ ，…，２^p2x2Ｇ₂ ） ・ ・ ・ （Ｇ_m ，２^xmＧ_m ，２^2xm Ｇ_m ，…，２^pmxmＧ_m ） がメモリ手段に蓄積されている。

【００８１】Ｙ_i ^(j) のうち最大値のビット数をｍａと
定義する。また以下では最下位ビットを第０ビット目と
約束し、Ａ［ｊ］はＡの第ｊビットを表すこととする。
実施の一例として以下のような手順を踏むことによりｙ
₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…ｙ_m Ｇ_m を求める。 ステップ１ ｓｕｍ＝Ｏ（無限遠点） ステップ２ ｄ＝ｍａ−１ ステップ３ 各ｉ，ｊについてｓｕｍ＝ｓｕｍ＋Ｙ_i
^(j) ［ｄ］・２^jxi Ｇ_iを演算 ステップ４ ｄ＞０かｄ＝０の判定 ステップ５ ｄ＞０でｓｕｍ＝ｓｕｍ＋ｓｕｍ ステップ６ ｄ＝ｄ−１、ステップ３に戻る。

【００８２】ステップ７ ｄ＝０でｓｕｍ出力 以上のように２^jxＧ _i をメモリ手段に蓄積しておくこと
によりｙ₁ Ｇ₁ ＋ｙ₂Ｇ₂ ＋…＋ｙ_m Ｇ_m を効率良く算
出することができる。以上のアルゴリズムを実行する演
算装置の実施例を図１４に示す。楕円曲線上の要素
Ｇ₁ ，Ｇ₂ ，…，Ｇ_m と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入
力手段１１に入力され、メモリ手段１２にはＧ₁ ，２^x1
Ｇ₁ ，２^2x1 Ｇ₁ ，…，２^p1x1Ｇ₁ ，Ｇ₂，２^x2Ｇ₂ ，
２^2x2 Ｇ₂ ，…，２^p2x2Ｇ₂ ，…，Ｇ_m ，２^xmＧ_m ，２
^2xm Ｇ_m ，…，２^pmxmＧ_m の各乗算値が記憶されてい
る。第五実施例と同様に各入力値ｙ_i（ｉ＝１，２，
…，ｍ）は符号付２進展開手段１５′でそれぞれ符号付
２進展開され、ｙ_i ＝Σ_t=0 ^ri ａ_it2 ^t （ａ_it∈
｛−１，０，１｝）なる関係の係数ａ_itが求められて、
ｙ _i の符号付２進数としてａ_itレジスタ１４に格納され
る。

【００８３】一方、各入力値ｙ_i の符号付２進数ａ _it は
ｘ_i ビット分割保持手段４１でｘ_iビットずつに分割さ
れ、ブロックＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，…として保持され
る。これらブロックＹ_i ^(j) のうちの最大値のビット数
ｍａがｍａ検出手段１７で求められ、ｄレジスタ１９に
ｄ＝ｍａ−１として格納される。探索手段２１で各Ｙ_i
^(j) のｄビット目と、２^jxi との積をＧ_i の乗数とする
ものをメモリ手段１２から探索し、この探索できた２
^jxi Ｇ _i の全てとｓｕｍレジスタ１８に格納されている
ｓｕｍとの楕円曲線Ｅ上の和が加算手段３１で演算さ
れ、その結果が新たなｓｕｍとしてレジスタ１８に格納
される。Ｙ _i ^(j) のｄビット目が０の場合は検索でき
ず、０×Ｇ _i ＝０とする。ｄ＞０かｄ＝０かが判定手段
２４で判定され、ｄ＞０であれば、レジスタ１８内のｓ
ｕｍが２倍手段３２により楕円曲線Ｅ上で２倍演算さ
れ、その結果がｓｕｍレジスタ１８に格納される。更に
減算手段２５でｄ−１され、これがｄレジスタ１９に格
納され、ｄの値が更新される。

【００８４】この新たなｄについて探索手段２１、加算
手段３１、判定手段２４、２倍手段３２、減算手段２５
がそれぞれ動作し、ｄ＝０となるまでこれらの動作が順
次繰返される。判定手段２４でｄ＝０と判定されると、
ゲート４２が開けられ、ｓｕｍレジスタ１８内のｓｕｍ
が演算結果として出力される。以上の各手段の順次制御
動作、記憶手段１２の読出しなどは制御手段２６により
行われる。

【００８５】具体例として図１５に３０Ｇ₁ ＋７Ｇ₂ を
求める過程を挙げる。図１５Ａに示すように３０Ｇ₁ の
３０を２進展開し１１１１０₂ 、さらにこれを符号付２
進展開すると１０００−１０となる（ビット数１増
加）。また図１５Ｂに示すように７Ｇ₂ の７を２進展開
し１１１₂ となり、同様に符号付２進展開すると１００
−１となる（ビット数１増加）。前者の１０００−１０
を３ビットずつに分割する。すると図１５Ｃに示すよう
に（１００，０−１０）となる。後者の１００−１を２
ビットずつに分割する。すると図１５Ｄに示すように
（１０，０−１）となる。なお（８Ｇ₁ ，Ｇ₁ ）と（４
Ｇ₂ ，Ｇ₂ ）は記憶手段１２にその値を保持しているこ
とに注意されたい（楕円曲線上の点では、ｐＧに対して
−ｐＧは容易に求まるため、−ｐＧはメモリ手段上にな
くとも良い）。初期値はｓｕｍ＝Ｏ（無限遠点），ｍａ
＝ｍａｘ｛２，３｝＝３，ｄ＝２である。

【００８６】ステップ１：２分割された各ブロックの第
ｄビット目に着目すると、３０は（１，０）である、７
は２ビット分割であるためここでは（０，０）と扱う。
従って加算手段３１でｓｕｍ←ｓｕｍ＋８Ｇ₁ を演算し
てｓｕｍ＝８Ｇ₁ となる（図１５Ｅ，Ｆ）。ｄ＞０であ
るので２倍手段３２でｓｕｍ←ｓｕｍ＋ｓｕｍを演算し
てｓｕｍ＝１６Ｇ₁ となる。減算手段２５でｄ←ｄ−１
としてステップ２へ。

【００８７】ステップ２：（ｄ＝１）の３０と７はそれ
ぞれ（０，−１）と（１，０）であるので加算手段３１
でｓｕｍ←ｓｕｍ＋（−Ｇ₁ ）＋４Ｇ₂ を演算してｓｕ
ｍ＝１５Ｇ₁ ＋４Ｇ₂ となる（図１５Ｇ，Ｈ）。ｄ＞０
であるので２倍手段３２でｓｕｍ←ｓｕｍ＋ｓｕｍを演
算してｓｕｍ＝３０Ｇ₁ ＋８Ｇ₂ となる。減算手段２５
でｄ←ｄ−１としてステップ３へ。

【００８８】ステップ３：（ｄ＝０）の３０と７はそれ
ぞれ（０，０）と（０，−１）であるので加算手段３１
でｓｕｍ←ｓｕｍ＋（−Ｇ₂ ）を演算してｓｕｍ＝３０
Ｇ₁＋７Ｇ₂ となる（図１５Ｉ，Ｊ）。ｄ＝０であるの
でｓｕｍレジスタ１８のｓｕｍ（＝３０Ｇ₁ ＋７Ｇ₂ ）
が出力される。次にある値ｙを符号付２進表記した際
に、１が立つ個数を減らす手法を説明する。この例は２
ビットずつ分割する方式であって、まず次式で示すよう
にｙを０と１のみで２進展開する。

【００８９】 ｙ＝Σ_t=0 ^r ａ_t 2 ^t （ａ_t ∈｛０，１｝） このａ_t の隣接した３ビットａ_2w+1，ａ_2w，ａ_2w-1に着
目して図１６に示す作業を行って次式の符号付２進表記
を得る。 ｙ＝Σ_t=0 ^r ａ′_t 2 ^t （ａ′_t ∈｛−１，０，
１｝） ではａ_2w＝０，ａ_2w-1＝０であるから、ａ′_2w+1＝
０、つまりａ′_2w＝０とし、ではａ_2w＝０，ａ_2w-1＝
１であるからそのａ_2w-1＝１をａ′_2wに加算し、ａ′_2w
＝１にし、１余計になるからａ′_2w-1＝−１とする。
ではａ_2w＝１であり、これにａ_2w-1＝１を加算し、その
桁上げでａ′_2w+1＝１となり、またａ′_2w＝０ ａ′
_2w-1＝−１となる。ではａ_2w+1＝１、ａ_2w＝０でａ
_2w+1＝１がａ_{2w +2}に加算されるので、ａ′_2w+1＝−１と
なり、ａ_2wはそのまま０である。ではａ_2w-1＝１がａ
_2w＝０に加算され、ａ′_2w＝１となり、ａ′_2w-1＝−１
とし、ａ _2w+1＝１をａ_2w+2に加算するから、ａ′_2w+1＝
−１とする。その他も同様である。

【００９０】

【発明の効果】以上説明したようにこの発明は複数生成
元をもつ演算に対して事前計算によりその演算処理速度
の向上を図ることが可能となり、さらに楕円曲線上の演
算にも適用しその演算処理速度の向上を図ることが可能
となった。これは有名なディジタル署名であるＤＳＡ署
名や楕円ＤＳＡ署名とも適用することが可能であり、そ
の他複数生成元を用いている多くの暗号やディジタル署
名に適用可能であると予想され、処理の高速化が見込ま
れる。また図９に従来方式と請求項２、請求項３の発明
装置の計算量比較として生成元が３つ存在する場合の乗
算回数および加算回数を比較したグラフを挙げる。なお
図９Ａは符号無の場合、図９Ｂは符号付の場合である。
従来方式およびこの発明装置では群上に定義された演算
の回数は等しくなる。例えば（有限体上での乗算回数）
＝（楕円曲線上での加算回数）となるため図９ではグラ
フの縦軸が「乗算／加算回数」となっている。

【００９１】更に図１７に従来方式（符号無）／従来方
式（符号付）／提案方式（請求項１６、１７）の計算量
比較として生成元が３つ存在する場合の乗算回数および
加算回数を比較したグラフを挙げる。なお図１７は乗数
が１６０ビットとしたものである。従来方式および提案
方式では群上に定義された演算の回数は等しくなる。例
えば（有限体上での乗算回数）＝（楕円曲線上での加算
回数）となるため図１７ではグラフの縦軸が「乗算／加
算回数」となっている。

【図面の簡単な説明】

【図１】この発明による有限体上における演算装置の実
施例の機能構成を示す図。

【図２】図１の実施例の具体的数値例による演算過程を
示す図。

【図３】この発明による楕円曲線上における演算装置の
実施例の機能構成を示す図。

【図４】図３の実施例の具体的数値例による演算過程を
示す図。

【図５】この発明の有限体上における演算装置の他の実
施例の機能構成を示す図。

【図６】図５の実施例の具体的数値例による演算過程を
示す図。

【図７】この発明による楕円曲線上における演算装置の
他の実施例の機能構成を示す図。

【図８】図１に示した実施例の具体的数値例による演算
過程を示す図。

【図９】従来装置とこの発明装置における演算数の比較
例を示す図。

【図１０】従来の演算装置における具体的数値を用いた
演算過程を示す図。

【図１１】従来の別の演算方式における具体的数値を用
いた演算過程を示す図。

【図１２】この発明の第五実施例の機能的構成を示すブ
ロック図。

【図１３】第五実施例の具体的数値を用いた演算過程を
示す図。

【図１４】この発明の第六実施例の機能的構成を示すブ
ロック図。

【図１５】第六実施例の具体的数値を用いた演算過程を
示す図。

【図１６】１が立つ個数を減した符号付２進展開の説明
図。

【図１７】請求項１５の発明装置と従来装置との計算量
の比較を示す図。

───────────────────────────────────────────────────── フロントページの続き (56)参考文献 特開 平５−150722（ＪＰ，Ａ) 特開 平６−118873（ＪＰ，Ａ) ＨＡＮＤＢＯＯＫ ｏｆ ＡＰＰＬＩ ＥＤ ＣＲＹＰＴＯＧＲＡＨＹ，ＣＲＣ Ｐｒｅｓｓ，ｐ．617−618 ＫＮＵＴＨ Ｔｈｅ Ａｒｔ ｏｆ Ｃｏｍｐｕｔｅｒ Ｐｒｏｇｒａｍｍｉ ｎｇ＝４，1986年 ８月25日，ｐ．384, 471 効率的なｎ変数べき乗剰余演算法の提 案とその一応用，電子通信学会技術研究 報告，1991年11月29日，Ｖｏｌ．91 Ｎ ｏ．359，ｐ．25−36 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 650 G06F 7/552 G06F 7/72 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims (21)

(57)【特許請求の範囲】
1. 【請求項１】 ある群Ｇの要素ｇ₁ ，ｇ₂ ，…，ｇ_m と
   整数ｙ₁ ，ｙ₂ ，…，ｙ_m を入力し、上記の群Ｇ上に定
   義された演算をｏで表わし、以下ではｇ_i ｏｇ_i ｏ…ｏ
   ｇ_i のｙ_i −１回の演算をｙ_i ｇ_i とし、ｇ_i の逆元を
   ｇ_i ^-1と表わし、ｇ_i ⁰ ＝（群Ｇの単位元），ｇ_i ¹ ＝
   ｇ_i として、 ｙ₁ ｇ₁ ｏｙ₂ ｇ₂ ｏ…ｏｙ_m ｇ_m を求める演算装置において、 （ｂ₁ ⁰ｇ₁ ，ｂ₁ ¹ ｇ₁ ，…，ｂ₁ ^r1ｇ₁ ），（ｂ₂ ⁰ｇ
   ₂ ，ｂ₂ ¹ ｇ₂ ，…，ｂ₂ ^r2ｇ₂ ），…，（ｂ
   _m ⁰ ｇ_m ，ｂ_m ¹ ｇ_m ，…，ｂ_m ^rmｇ_m ）の各値を記憶
   したメモリ手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開して、 ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t （但し１≦ｉ≦ｍ，０≦ａ
   _it＜ｂ_i ）なる関係のａ_itを求めるｂ進展開手段と、 上記各係数ａ_itをそれぞれ２進展開して ａ_it＝Σ_j=0 ^kit Ｃ_j (it)２^j （但しＣ_j (it)∈｛０，
   １｝）なる関係の各Ｃ_j (it)２^j を求める２進展開手段
   と、 上記係数Ｃ_j (it)が１となる２^j の集合Ｓ＝｛（２^j ，
   ｉ，ｔ）｜Ｃ_j (it)＝１，１＜ｉ＜ｍ，０＜ｔ＜ｒ_i ｝
   を格納するレジスタと、 上記集合Ｓの第１項を取り出す関数をＰr （ｓ）とする
   時、全てのＰr(s)中の最大の２^j を検出してｍａとする
   手段と、 ２つの変数ｓｕｍとｄに対し群Ｇの単位元とｍａをそれ
   ぞれ初期設定する手段と、 上記集合Ｓ中の全２^j 要素に対し、ｄと一致するものを
   探索する探索手段と、 その探索した２^j に対応するｉとｔにより上記メモリ手
   段を参照してｓｕｍｏｂ_i ^t ｇ_i を演算し、その結果を
   新たなｓｕｍとする乗算手段と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗手段
   と、 上記変数ｄが１より大であるか１であるかを判定する判
   定手段と、 その判定手段が１より大と判定すると、 上記変数ｄを２分の１にして新たなｄとし、そのｄに対
   し、上記探索手段、上記乗算手段、上記自乗手段、上記
   判定手段を動作させる手段と、 上記判定手段が１と判定すると、上記変数値ｓｕｍを演
   算結果として出力する手段と、 を具備する事前計算を用いた複数生成元に対する櫛型演
   算装置。
2. 【請求項２】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m
   と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、（ｇ₁ のｙ₁
   乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m乗）の演算
   結果を出力する演算装置において、 ｇ₁ のｂ₁ ⁰ 乗，ｇ₁ のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
   ^r1乗，ｇ₂ のｂ₂ ⁰ 乗，ｇ₂ のｂ₂ ¹ 乗，…，ｇ₂ のｂ
   ₂ ^r2乗，…，ｇ_m のｂ_m ⁰ 乗，ｇ_m のｂ_m ¹ 乗，…，ｇ
   _m のｂ_m ^rm乗の各値を記憶したメモリ手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
   数ａ_it（０≦ａ_it＜ｂ_i ，ｔ＝０，１，…，ｒｉ）を求
   めるｂ進展開手段と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
   ^kit Ｃ_j （it）２^j ，（Ｃ_j （it）∈｛０，１｝）なる
   関係の各Ｃ_j （it）２^j を求める２進展開手段と、 上
   記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２^j ，
   ｉ，ｔ）を格納するレジスタと、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａをそれぞれ
   設定する手段と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
   する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
   り、上記メモリ手段を参照してｓｕｍ×（ｇ_i のｂ_i ^t
   乗）を演算し、その結果を新たなｓｕｍとする乗算手段
   と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗手段
   と、 上記変数ｄが１より大であるか１であるかを判定する判
   定手段と、 上記判定手段が１より大と判定すると、上記変数ｄを２
   分の１にして新たなｄとし、そのｄに対し、上記探索手
   段、上記乗算手段、上記自乗手段、上記判定手段を動作
   させる手段と、 上記判定手段が１と判定すると上記変数値ｓｕｍを演算
   結果として出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
   置。
3. 【請求項３】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，…，
   Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算装置において、 ｂ₁ ⁰ Ｇ₁ ，ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ
   ₂ ，ｂ₂ ¹ Ｇ₂ ，…，ｂ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ
   _m ¹ Ｇ_m ，…，ｂ_m ^rmＧ_m の各乗算値を記憶したメモリ
   手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
   数ａ_it（０≦ａ_it＜ｂ，ｔ＝０，１，…，ｒｉ）を求め
   る展開手段と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
   ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，１｝）なる関
   係の各Ｃ_j （it）２^j を求める２進展開手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を格納するレジスタと、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄに対し初期値無限遠点とｍａをそ
   れぞれ設定する手段と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
   する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
   り、上記メモリ手段を参照してｓｕｍ＋ｂ_i ^t Ｇ_i を演
   算し、その結果を新たなｓｕｍとする加算手段と、 上記変数ｓｕｍと上記変数ｓｕｍを加算して新たなｓｕ
   ｍとする２倍手段と、 上記変数ｄが１より大であるかｄ＝１かを判定する判定
   手段と、 上記判定手段が１より大と判定すると、上記変数ｄを２
   分の１にして、新たなｄとし、そのｄに対し、上記探索
   手段、上記加算手段と、上記２倍手段、上記判定手段を
   動作させる手段と、 上記判定手段が１と判定すると上記変数値ｓｕｍを演算
   結果として出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
   置。
4. 【請求項４】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m
   と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、（ｇ₁ のｙ₁
   乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m乗）の演算
   結果を出力する演算装置において、 ｇ₁ の（−ｂ₁ ^r1）乗，ｇ₁ の（−ｂ₁ ^r1-1）乗，…，
   ｇ₁ のｂ₁ ⁰ 乗，ｇ₁のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
   ^r1乗，ｇ₂ の（−ｂ₂ ^r2）乗，ｇ₂ の（−ｂ₂ ^r2-1）
   乗，…，ｇ₂ のｂ₂ ⁰ 乗，…，ｇ₂ のｂ₂ ^r2乗，…，ｇ
   _m の（−ｂ_m ^rm）乗，…，ｇ_m のｂ_m ⁰ 乗，…，ｇ_m の
   ｂ_m ^rm乗の各値を記憶したメモリ手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
   号付ｂ_i 進展開して、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関
   係の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦
   ［（ｂ_i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］
   はａ以上で最小の整数である）を求める展開手段と、 上記各係数の｜ａ_it｜をそれぞれ２進展開して｜ａ_it｜
   ＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
   １｝）なる関係の各Ｃ_j （it）２^j を求める２進展開手
   段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を格納するレジスタと、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａをそれぞれ
   設定する手段と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
   する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓと対応ａ_itの符
   号とｉとｔにより、上記メモリ手段を参照してｓｕｍ×
   （ｇ_i の（ａ_itの符号）ｂ_i ^t 乗）を演算し、その結果
   を新たなｓｕｍとする乗算手段と、 上記変数ｓｕｍと上記変数ｓｕｍとを掛算して新たなｓ
   ｕｍとする自乗手段と、 上記変数ｄが１より大であるかｄ＝１であるかを判定す
   る判定手段と、 上記判定手段が１より大と判定すると、上記変数ｄを２
   分の１にして新たなｄとし、そのｄに対し上記探索手
   段、上記乗算手段、上記自乗手段、上記判定手段を動作
   させる手段と、 上記判定手段がｄ＝１と判定すると、上記変数値ｓｕｍ
   を演算結果として出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
   置。
5. 【請求項５】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，…，
   Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算装置において、 ｂ₁ ⁰ Ｇ₁ ，ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ
   ₂ ，ｂ₂ ¹ Ｇ₂ ，…，ｂ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ
   _m ¹ Ｇ_m ，…，ｂ_m ^rmＧ_m の各乗算値を記憶したメモリ
   手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
   号付ｂ_i 進展開してｙ₁ ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係
   の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦［（ｂ
   _i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］はａ以
   上で最小の整数である）を求める展開手段と、 上記各係数の｜ａ_it｜をそれぞれ２進展開して｜ａ_it｜
   ＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
   １｝）なる関係の各Ｃ_j （it）２^j を求める２進展開手
   段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を格納するレジスタと、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄに対し初期値無限遠点とｍａをそ
   れぞれ設定する手段と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
   する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
   り、上記メモリ手段を参照し、かつ該集合Ｓと対応する
   ａ_itの符号とよりｓｕｍ＋（ａ_itの符号）ｂ_i ^tＧ_i を
   演算してその結果を新たなｓｕｍとする加算手段と、 上記変数ｓｕｍと上記変数ｓｕｍとを加算して新たなｓ
   ｕｍとする２倍手段と、 上記変数ｄが１より大であるか１であるかを判定する判
   定手段と、 上記判定手段が１より大と判定すると、上記変数ｄを２
   分の１して新たなｄとし、そのｄに対し、上記探索手
   段、上記加算手段、上記２倍手段、上記判定手段を動作
   させる手段と、 上記判定手段が１と判定すると、上記変数値ｓｕｍを演
   算結果として出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
   置。
6. 【請求項６】 ある群Ｇの要素ｇ₁ ，ｇ₂ ，…，ｇ_m と
   整数ｙ₁ ，ｙ₂ ，…，ｙ_m を入力し、上記の群Ｇ上に定
   義された演算をｏで表わし、以下ではｇ_i ｏｇ_i ｏ…ｏ
   ｇ_i のｙ_i −１回の演算をｙ_i ｇ_i とし、ｇ_i の逆元を
   ｇ_i ^-1と表わし、ｇ_i ⁰ ＝（群Ｇの単位元），ｇ_i ¹ ＝
   ｇ_i として、 ｙ₁ ｇ₁ ｏｙ₂ ｇ₂ ｏ…ｏｙ_m ｇ_m を求めて出力する装置であって、 （ｂ ₁ ⁰ ｇ ₁ ，ｂ ₁ ¹ ｇ ₁ ，…，ｂ ₁ ^r1 ｇ ₁ ），（ｂ ₂ ⁰ ｇ
   ₂ ，ｂ ₂ ¹ ｇ ₂ ，…，ｂ ₂ ^r2 ｇ ₂ ），…，（ｂ
   _m ⁰ ｇ _m ，ｂ _m ¹ ｇ _m ，…，ｂ _m ^rm ｇ _m ）の各値を記憶
   したメモリ手段と、 上記ｇ₁ ，ｇ₂ ，…，ｇ_m と上記ｙ₁ ，ｙ₂ ，…，ｙ_m
   を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開して、 ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t （但し１≦ｉ≦ｍ，０≦ａ
   _it＜ｂ_i ）なる関係のａ_itを求めるｂ進展開手段と、 上記各係数ａ_itをそれぞれ２進展開して ａ_it＝Σ_j=0 ^kit Ｃ_j (it)２^j （但しＣ_j (it)∈｛０，
   １｝）なる関係の各Ｃ_j (it)２^j を求める２進展開手段
   と、 上記係数Ｃ_j (it)が１となる２^j の集合Ｓ＝｛（２ⁱ ，
   ｉ，ｔ）｜Ｃ_j (it)＝１，１＜ｉ＜ｍ，０＜ｔ＜ｒ_i ｝
   をレジスタに格納する手段と、 上記集合Ｓの第１項を取り出す関数をＰr （ｓ）とする
   時、全てのＰr(s)中の最大の２^j を検出してｍａとする
   手段と、 ２つの変数ｓｕｍとｄに対し群Ｇの単位元とｍａをそれ
   ぞれ初期設定する手段と、 上記集合Ｓ中の全２^j 要素に対し、ｄと一致するものを
   探索する探索処理と、 その探索した２^j に対応するｉとｔにより上記メモリ手
   段を参照してｓｕｍｏｂ_i ^t ｇ_i を演算し、その結果を
   新たなｓｕｍとする乗算手段と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗手段
   と、 上記変数ｄが１より大であるか１であるかを判定する判
   定手段と、 その判定手段が１より大と判定すると、 上記変数ｄを２分の１にして新たなｄとし、そのｄに対
   し、上記探索手段、上記乗算手段、上記自乗手段、上記
   判定手段を動作させる手段と、 上記判定手段が１と判定すると、上記変数値ｓｕｍを演
   算結果として出力する手段とを備える演算装置として、
   コンピュータを機能させるためのプログラムを記録した
   コンピュータ読み取り可能な記録媒体。
7. 【請求項７】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m
   と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、（ｇ₁ のｙ₁
   乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m乗）の演算
   結果を出力する装置であって、ｇ ₁ のｂ ₁ ⁰ 乗，ｇ ₁ のｂ ₁ ¹ 乗，…，ｇ ₁ のｂ ₁
   ^r1 乗，ｇ ₂ のｂ ₂ ⁰ 乗，ｇ ₂ のｂ ₂ ¹ 乗，…，ｇ ₂ のｂ
   ₂ ^r2 乗，…，ｇ _m のｂ _m ⁰ 乗，ｇ _m のｂ _m ¹ 乗，…，ｇ
   _m のｂ _m ^rm 乗の各値を記憶したメモリ手段と、 上記要素ｇ₁ ，ｇ₂ ，…，ｇ_m と上記整数ｙ₁ ，ｙ₂ ，
   …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
   数ａ_it（０≦ａ_it＜ｂ_i ，ｔ＝０，１，…，ｒｉ）を求
   める手段と、 上記求めた各係数ａ_itを第１レジスタに格納する手段
   と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
   ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，１｝）なる関
   係の各Ｃ_j （it）２^j を求める手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を第２レジスタに格納する手段と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄをその初期値として１とｍａをそ
   れぞれ第３、第４レジスタに設定する手段と、 上記第２レジスタ内のＰｒ（ｓ）中の上記第４レジスタ
   内の変数値ｄと一致するものを探索する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
   り、上記メモリ手段を読出して（ｇ_i のｂ_i ^t 乗）を得
   る手段と、 上記読出された（ｇ_i のｂ_i ^t 乗）と上記第３レジスタ
   内のｓｕｍを乗算し、その結果を上記第３レジスタに格
   納する乗算手段と、 上記第３レジスタ内のｓｕｍを自乗し、その結果を上記
   第３レジスタに格納する自乗手段と、 上記第４レジスタ内のｄが１より大であるか１であるか
   を判定する判定手段と、 上記判定手段が１より大と判定すると、上記第４レジス
   タ内のｄを２分の１にし、その結果を上記第４レジスタ
   に格納する割算手段と、 上記割算処理された上記第４レジスタ内のｄに対し、上
   記探索手段、上記乗算手段、上記２倍手段、上記判定手
   段を動作させる手段と、 上記判定手段が１と判定すると上記第３レジスタ内のｓ
   ｕｍを演算結果として出力する手段とを備える演算装置
   として、コンピュータを機能させるためのプログラムを
   記録したコンピュータ読み取り可能な記録媒体。
8. 【請求項８】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，…，
   Ｇ_m と、整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する装置であって、ｂ ₁ ⁰ Ｇ ₁ ，ｂ ₁ ¹ Ｇ ₁ ，…，ｂ ₁ ^r1 Ｇ ₁ ，ｂ ₂ ⁰ Ｇ
   ₂ ，ｂ ₂ ¹ Ｇ ₂ ，…，ｂ ₂ ^r2 Ｇ ₂ ，…，ｂ _m ⁰ Ｇ _m ，ｂ
   _m ¹ Ｇ _m ，…，ｂ _m ^rm Ｇ _m の各乗算値を記憶した メモリ
   手段と、 上記要素Ｇ₁ ，Ｇ₂ ，…，Ｇ_m 、上記整数ｙ₁ ，ｙ₂ ，
   …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
   _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
   数ａ_it（０≦ａ_it＜ｂ，ｔ＝０，１，…，ｒｉ）を求め
   る手段と、 上記求めた各係数ａ_itを第１レジスタに格納する手段
   と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
   ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，１｝）なる関
   係の各Ｃ_j （it）２^j を求める手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を第２レジスタに格納する手段と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄの各初期値無限遠点とｍａをそれ
   ぞれ第３、第４レジスタに設定する手段と、 上記第２レジスタ内のＰｒ（ｓ）中の上記変数値ｄと一
   致するものを探索する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
   り、上記メモリ手段よりｂ_i ^t Ｇ_i を読出す手段と、 上記第３レジスタ内のｓｕｍと上記読出されたｂ_i ^t Ｇ
   _i を加算し、その結果を上記第３レジスタに格納する加
   算手段と、 上記第３レジスタ内のｓｕｍを２倍し、その結果を上記
   第３レジスタに格納する２倍手段と、 上記第４レジスタ内のｄが１より大であるかｄ＝１かを
   判定する判定手段と、上記判定手段が１より大と判定す
   ると、上記第４レジスタ内のｄを２で割算して、その結
   果を上記第４レジスタ内に格納する手段と、 上記第４レジスタ内の割算されたｄに対し、上記探索手
   段、上記加算手段、上記２倍手段、上記判定手段を動作
   させる手段と、 上記判定手段が１と判定すると上記第３レジスタ内の変
   数値ｓｕｍを演算結果として出力する手段とを備える演
   算装置として、コンピュータを機能させるためのプログ
   ラムを記録したコンピュータ読み取り可能な記録媒体。
9. 【請求項９】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ_m
   と整数ｙ₁ ，ｙ₂ ，…，ｙ_m が入力され、（ｇ₁ のｙ₁
   乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m乗）の演算
   結果を出力する装置であって、ｇ ₁ の（−ｂ ₁ ^r1 ）乗，ｇ ₁ の（−ｂ ₁ ^r1-1 ）乗，…，
   ｇ ₁ のｂ ₁ ⁰ 乗，ｇ ₁ のｂ ₁ ¹ 乗，…，ｇ ₁ のｂ ₁
   ^r1 乗，ｇ ₂ の（−ｂ ₂ ^r2 ）乗，ｇ ₂ の（−ｂ ₂ ^r2-1 ）
   乗，…，ｇ ₂ のｂ ₂ ⁰ 乗，…，ｇ ₂ のｂ ₂ ^r2 乗，…，ｇ
   _m の（−ｂ _m ^rm ）乗，…，ｇ _m のｂ _m ⁰ 乗，…，ｇ _m の
   ｂ _m ^rm 乗の各値を記憶したメモリ手段と、 上記要素ｇ₁ ，ｇ₂ ，…，ｇ_m と上記整数ｙ₁ ，ｙ₂ ，
   …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
   号付ｂ_i 進展開して、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関
   係の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦
   ［（ｂ_i −１）／２］，ｔ＝０，１，…，ｒｉ、［ａ］
   はａ以上で最小の整数である）を求める展開手段と、 上記求めた各係数ａ_itを第１レジスタに格納する手段
   と、 上記各係数ａ_itの絶対値をそれぞれ２進展開して｜ａ_it
   ｜＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
   １｝）なる関係の各Ｃ_j （it）２^j を求める手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
   ^j,ｉ，ｔ）を第２レジスタに格納する手段と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
   時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
   とする手段と、 ２つの変数ｓｕｍとｄの各初期値１とｍａをそれぞれ第
   ３、第４レジスタに設定する手段と、 上記第２レジスタ内のＰｒ（ｓ）中の絶対値が上記変数
   値ｄと一致するものを探索する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓと対応する上記
   係数ａ_itの符号とｉとｔにより上記メモリを読出して
   （ｇ_i の（ａ_itの符号）ｂ_i ^t 乗）を得る手段と、 上記第３レジスタ内のｓｕｍと上記読出した（ｇ_i の
   （ａ_itの符号）ｂ_i ^t 乗）を乗算し、その結果を上記第
   ３レジスタに格納する乗算手段と、 上記第３レジスタ内のｓｕｍを自乗してその結果を上記
   第３レジスタに格納する自乗手段と、 上記第４レジスタ内のｄが１より大であるか１であるか
   を判定する判定手段と、 上記判定手段が１より大と判定すると、上記第４レジス
   タ内のｄを２で割算してその結果を第４レジスタに格納
   する手段と、 その第４レジスタ内の割算されたｄに対し上記探索手
   段、上記乗算手段、上記自乗手段、上記判定手段を動作
   させる手段と、 上記判定手段が１と判定すると、上記第３レジスタ内の
   変数値ｓｕｍを演算結果として出力する手段とを備える
   演算装置として、コンピュータを機能させるためのプロ
   グラムを記録したコンピュータ読み取り可能な記録媒
   体。
10. 【請求項１０】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する装置であって、ｂ ₁ ⁰ Ｇ ₁ ，ｂ ₁ ¹ Ｇ ₁ ，…，ｂ ₁ ^r1 Ｇ ₁ ，ｂ ₂ ⁰ Ｇ
    ₂ ，ｂ ₂ ¹ Ｇ ₂ ，…，ｂ ₂ ^r2 Ｇ ₂ ，…，ｂ _m ⁰ Ｇ _m ，ｂ
    _m ¹ Ｇ _m ，…，ｂ _m ^rm Ｇ _m の各乗算値を記憶したメモリ
    手段と、 上記要素Ｇ₁ ，Ｇ₂ ，…，Ｇ_m と上記整数ｙ₁ ，ｙ₂ ，
    …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付ｂ_i 進展開してｙ₁ ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係
    の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦［（ｂ
    _i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］はａ以
    上で最小の整数である）を求める手段と、 上記求めた各係数ａ_itを第１レジスタに格納する手段
    と、 上記各係数ａ_itの絶対値をそれぞれ２進展開して｜ａ_it
    ｜＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
    １｝）なる関係の各Ｃ_j （it）２^j を求める手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
    ^j,ｉ，ｔ）を第２レジスタに格納する手段と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
    時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
    とする手段と、 ２つの変数ｓｕｍとｄの各初期値無限遠点とｍａをそれ
    ぞれ第３、第４レジスタに設定する手段と、 上記第２レジスタ内のＰｒ（ｓ）中の上記変数値ｄと一
    致するものを探索する探索手段と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
    り、上記メモリ手段を読出して、ｂ_i ^t Ｇ_t を得る手段
    と、 上記第３レジスタ内のｓｕｍと上記読出したｂ_i ^t Ｇ_i
    を上記探索した集合Ｓと対応するａ_itの符号を加味して
    加算し、その結果を上記第３レジスタ内に格納する加算
    手段と、 上記第３レジスタ内のｓｕｍを２倍し、その結果を上記
    第３レジスタに格納する２倍手段と、 上記第４レジスタ内のｄが１より大であるか１であるか
    を判定する判定手段と、 上記判定手段が１より大と判定すると、上記第４レジス
    タ内のｄを２で割算して第４レジスタに格納する手段
    と、 その第４レジスタ内の割算されたｄに対し、上記探索手
    段、上記加算手段、上記２倍手段、上記判定手段を動作
    させる手段と、 上記判定手段が１と判定すると、上記第３レジスタ内の
    変数値ｓｕｍを演算結果として出力する手段とを備える
    演算装置として、コンピュータを機能させるためのプロ
    グラムを記録したコンピュータ読み取り可能な記録媒
    体。
11. 【請求項１１】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ
    _m と整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、（ｇ₁ のｙ₁
    乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）の演
    算結果を出力する演算方法において、 ｇ₁ のｂ₁ ⁰ 乗，ｇ₁ のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
    ^r1乗，ｇ₂ のｂ₂ ⁰ 乗，ｇ₂ のｂ₂ ¹ 乗，…，ｇ₂ のｂ
    ₂ ^r2乗，…，ｇ_m のｂ_m ⁰ 乗，ｇ_m のｂ_m ¹ 乗，…，ｇ
    _m のｂ_m ^rm乗の各値をメモリ手段に記憶しておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
    _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
    数ａ_it（０≦ａ_it＜ｂ_i ，ｔ＝０，１，…，ｒｉ）を求
    めるｂ進展開過程と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
    ^kit Ｃ_j （it）２^j ，（Ｃ_j （it）∈｛０，１｝）なる
    関係の各Ｃ_j （it）２^j を求める２進展開過程と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２^j ，
    ｉ，ｔ）をレジスタに格納する過程と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
    時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
    とする過程と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａをそれぞれ
    設定する過程と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
    する探索過程と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
    り、上記メモリ手段を参照してｓｕｍ×（ｇ_i のｂ_i ^t
    乗）を演算し、その結果を新たなｓｕｍとする乗算過程
    と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗過程
    と、 上記変数ｄが１より大であるか１であるかを判定する判
    定過程と、 上記判定手段が１より大と判定すると、上記変数ｄを２
    分の１にして新たなｄとし、そのｄに対し、上記探索過
    程、上記乗算過程、上記自乗過程、上記判定過程を実行
    させる過程と、 上記判定過程が１と判定すると上記変数値ｓｕｍを演算
    結果として出力する過程と、 を有する事前計算を用いた複数生成元に対する演算方
    法。
12. 【請求項１２】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算方法において、 ｂ₁ ⁰ Ｇ₁ ，ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ
    ₂ ，ｂ₂ ¹ Ｇ₂ ，…，ｂ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ
    _m ¹ Ｇ_m ，…，ｂ_m ^rmＧ_m の各乗算値をメモリに記憶し
    ておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれｂ
    _i 進展開してｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係の各係
    数ａ_it（０≦ａ_it＜ｂ，ｔ＝０，１，…，ｒｉ）を求め
    る展開過程と、 上記各係数ａ_itをそれぞれ２進展開してａ_it＝Σ_j=0
    ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，１｝）なる関
    係の各Ｃ_j （it）２^j を求める２進展開手段と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
    ^j,ｉ，ｔ）をレジスタに格納する過程と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
    時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
    とする過程と、 ２つの変数ｓｕｍとｄに対し初期値無限遠点とｍａをそ
    れぞれ設定する過程と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
    する探索過程と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
    り、上記メモリ手段を参照してｓｕｍ＋ｂ_i ^t Ｇ_i を演
    算し、その結果を新たなｓｕｍとする加算過程と、 上記変数ｓｕｍと上記変数ｓｕｍを加算して新たなｓｕ
    ｍとする２倍過程と、 上記変数ｄが１より大であるかｄ＝１かを判定する判定
    過程と、 上記判定過程が１より大と判定すると、上記変数ｄを２
    分の１にして、新たなｄとし、そのｄに対し、上記探索
    過程、上記加算過程と、上記２倍過程、上記判定過程を
    実行させる過程と、 上記判定過程が１と判定すると上記変数値ｓｕｍを演算
    結果として出力する過程と、 を有する事前計算を用いた複数生成元に対する演算方
    法。
13. 【請求項１３】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ
    _m と整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、（ｇ₁ のｙ₁
    乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）の演
    算結果を出力する演算方法において、 ｇ₁ の（−ｂ₁ ^r1）乗，ｇ₁ の（−ｂ₁ ^r1-1）乗，…，
    ｇ₁ のｂ₁ ⁰ 乗，ｇ₁のｂ₁ ¹ 乗，…，ｇ₁ のｂ₁
    ^r1乗，ｇ₂ の（−ｂ₂ ^r2）乗，ｇ₂ の（−ｂ₂ ^r2-1）
    乗，…，ｇ₂ のｂ₂ ⁰ 乗，…，ｇ₂ のｂ₂ ^r2乗，…，ｇ
    _m の（−ｂ_m ^rm）乗，…，ｇ_m のｂ_m ⁰ 乗，…，ｇ_m の
    ｂ_m ^rm乗の各値をメモリ手段に記憶しておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付ｂ_i 進展開して、ｙ_i ＝Σ_t=0 ^riａ_itｂ_i ^t なる関
    係の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦
    ［（ｂ_i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］
    はａ以上で最小の整数である）を求める展開過程と、 上記各係数の｜ａ_it｜をそれぞれ２進展開して｜ａ_it｜
    ＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
    １｝）なる関係の各Ｃ_j （it）２^j を求める２進展開過
    程と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
    ^j,ｉ，ｔ）をレジスタに格納する過程と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
    時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
    とする過程と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａをそれぞれ
    設定する過程と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
    する探索過程と、 その探索したＰｒ（ｓ）が属する集合Ｓと対応ａ_itの符
    号とｉとｔにより、上記メモリ手段を参照してｓｕｍ×
    （ｇ_i の（ａ_itの符号）ｂ_i ^t 乗）を演算し、その結果
    を新たなｓｕｍとする乗算過程と、 上記変数ｓｕｍと上記変数ｓｕｍとを掛算して新たなｓ
    ｕｍとする自乗過程と、 上記変数ｄが１より大であるかｄ＝１であるかを判定す
    る判定過程と、 上記判定過程が１より大と判定すると、上記変数ｄを２
    分の１にして新たなｄとし、そのｄに対し上記探索過
    程、上記乗算過程、上記自乗過程、上記判定過程を実行
    させる過程と、 上記判定過程がｄ＝１と判定すると、上記変数値ｓｕｍ
    を演算結果として出力する過程と、 を有する事前計算を用いた複数生成元に対する演算方
    法。
14. 【請求項１４】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算方法において、 ｂ₁ ⁰ Ｇ₁ ，ｂ₁ ¹ Ｇ₁ ，…，ｂ₁ ^r1Ｇ₁ ，ｂ₂ ⁰ Ｇ
    ₂ ，ｂ₂ ¹ Ｇ₂ ，…，ｂ₂ ^r2Ｇ₂ ，…，ｂ_m ⁰ Ｇ_m ，ｂ
    _m ¹ Ｇ_m ，…，ｂ_m ^rmＧ_m の各乗算値をメモリ手段に記
    憶しておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付ｂ_i 進展開してｙ₁ ＝Σ_t=0 ^riａ_itｂ_i ^t なる関係
    の各係数ａ_it（−［（ｂ_i −１）／２］≦ａ_it≦［（ｂ
    _i −１）／２］，ｔ＝０，１，…，ｒｉ，［ａ］はａ以
    上で最小の整数である）を求める展開過程と、 上記各係数の｜ａ_it｜をそれぞれ２進展開して｜ａ_it｜
    ＝Σ_j=0 ^kit Ｃ_j （it）２^j （Ｃ_j （it）∈｛０，
    １｝）なる関係の各Ｃ_j （it）２^j を求める２進展開過
    程と、 上記係数Ｃ_j （it）が１である２^j の集合Ｓ＝（２
    ^j,ｉ，ｔ）をレジスタに格納する過程と、 上記集合Ｓの第１項を取り出す関数をＰｒ（ｓ）とする
    時、すべてのＰｒ（ｓ）中の最大の２^j を検出してｍａ
    とする過程と、 ２つの変数ｓｕｍとｄに対し初期値無限遠点とｍａをそ
    れぞれ設定する過程と、 上記Ｐｒ（ｓ）中の上記変数値ｄと一致するものを探索
    する探索過程と、 その探索したＰｒ（ｓ）が属する集合Ｓのｉとｔによ
    り、上記メモリ手段を参照し、かつ該集合Ｓと対応する
    ａ_itの符号によりｓｕｍ＋（ａ_itの符号）ｂ_i ^tＧ_i を
    演算してその結果を新たなｓｕｍとする加算過程と、 上記変数ｓｕｍと上記変数ｓｕｍとを加算して新たなｓ
    ｕｍとする２倍過程と、 上記変数ｄが１より大であるか１であるかを判定する判
    定過程と、 上記判定過程が１より大と判定すると、上記変数ｄを２
    分の１して新たなｄとし、そのｄに対し、上記探索過
    程、上記加算過程、上記２倍過程、上記判定過程を実行
    させる過程と、 上記判定過程が１と判定すると、上記変数値ｓｕｍを演
    算結果として出力する過程と、 を有する事前計算を用いた複数生成元に対する演算方
    法。
15. 【請求項１５】 ある群Ｇの要素ｇ₁ ，ｇ₂ ，…，ｇ_m
    と、整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、群Ｇ上に定
    義された演算をｏで表わし、ｇ₁ ｏｇ₁ ｏ…ｏｇ₁ のｙ
    ₁ −１回演算をｙ₁ ｇ₁ とし、ｇ₁ の逆元をｇ₁ ^-1と
    し、ｇ₁ ⁰ ＝（群Ｇの単位元），ｇ₁ ¹ ＝ｇ₁ として、 ｙ₁ ｇ₁ ｏｙ₂ ｇ₂ ｏ…ｏｙ_m ｇ_m を求める演算装置において、 （ｇ₁ ^-1，（２^x1ｇ₁ ）^-1，（２^2x1 ｇ₁ ）^-1，…，（２^p1x1ｇ₁ ）^-1，ｇ₁ ，２^x1ｇ₁ ，２^2x1 ｇ₁ ，…，２^p1x1ｇ₁ ） （ｇ₂ ^-1，（２^x2ｇ₂ ）^-1，（２^2x2 ｇ₂ ）^-1，…，（２^p2x2ｇ₂ ）^-1，ｇ₂ ，２^x2ｇ₂ ，２^2x2 ｇ₂ ，…，２^p2x2ｇ₂ ） ・ ・ ・ （ｇ_m ^-1，（２^xmｇ_m ）^-1，（２^2xm ｇ_m ）^-1，…，（２^pmxmｇ_m ）^-1，ｇ_m ，２^xmｇ_m ，２^2xm ｇ_m ，…，２^pmxmｇ_m ）の各値が記
    憶されたメモリ手段と、上記各入力値ｙ_i を符号付２進
    展開して ｙ_i ＝Σ_t=0 ^riａ_it２^t （但し１＜ｉ＜ｍ，ａ_it∈
    ｛−１，０，１｝）なる関係の各係数ａ_i1〜ａ_imをｙ_i
    の符号付２進数として求める符号付２進展開手段と、 上記各入力値ｙ_iの符号付２進数ａ_itをｘ_i ビットずつ
    に分割し、そのｘ_i ビット単位のブロックを下位よりＹ
    _i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…として保持する手段
    と、 上記ブロックＹ_i ^(j) のうち最大値のビット数をｍａと
    して検出する検出手段と、 ２つの変数ｓｕｍとｄに対しｓｕｍ＝（群Ｇの単位
    元），ｄ＝ｍａ−１を初期設定する手段と、Ｙ _i ^(j) ［ｄ］が１又は−１の時は 【数１】 （Ａ［ｊ］はＡの第ｊビット目を表わし、最下位ビット
    を第０ビット目とする）なるすべての値を上記メモリ手
    段から探索する探索手段と、 【数２】 その結果を新たなｓｕｍとするｏ演算手段と、 ｓｕｍｏｓｕｍを演算してその結果を新たなｓｕｍとす
    る倍演算手段と、 上記変数ｄがｄ＞０であるかｄ＝０であるかを判定する
    判定手段と、 上記判定手段がｄ＞０と判定すると、上記変数ｄを１減
    算して新たなｄとし、そのｄに対し、上記探索手段、上
    記ｏ演算手段、上記倍演算手段、上記判定手段を動作さ
    せる手段と、 上記判定手段がｄ＝０と判定すると、そのｄについての
    上記の演算手段の演算結果を出力する手段とを具備する
    事前計算を用いた複数生成元に対する演算装置。
16. 【請求項１６】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ
    _m と整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、（ｇ₁ のｙ₁
    乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）の演
    算結果を出力する演算装置において、 ｇ₁ の±１乗，ｇ₁ の±２^x1乗，…，ｇ₁ の±２
    ^p1x1乗，ｇ₂ の±１乗，ｇ₂の±２^x2乗，…，ｇ₂ の±
    ２^p2x2乗，…，ｇ_m の±１乗，ｇ_m の±２^xm乗，…，ｇ
    _m の２^pmxm乗の各値を記憶したメモリ手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（０≦ｉ≦ｍ，ｔ＝０，１，…，ｒｉ，ａ_it∈
    ｛−１，０，１｝）をｙ _i の符号付２進数として求める
    符号付２進展開手段と、 上記各入力値ｙ_i の符号付２進数ａ _it をそれぞれｘ_i ビ
    ットずつに分割して、ｘ_i ビット単位のブロックＹ_i
    ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…を保持するｘ_i ビット分
    割保持手段と、 上記ブロックＹ_i ^(j) 中の最大値のビット数ｍａを検出
    する手段と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａ−１をそれ
    ぞれ設定する手段と、 Ｙ_i ^(j) ［ｄ］・２^jxi （Ａ［ｊ］はＡの第ｊビット
    目を表わし、最下位ビットを第０ビット目とする）をｇ
    _i に対するべき乗値とするすべてのｇ_i の±２^jxi 乗を
    上記メモリ手段から探索し、Ｙ _i ^(j) [ｄ]＝０の場合は
    探索結果を１とする探索手段と、 上記探索できたすべてのｇ_i の±２^jxi 乗と変数ｓｕｍ
    とを乗算して新たなｓｕｍとする乗算手段と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗手段
    と、 上記変数ｄがｄ＞０であるかｄ＝０であるかを判定する
    判定手段と、 上記判定手段がｄ＞０と判定すると、上記変数ｄを１減
    算して新たなｄとし、そのｄに対し、上記探索手段、上
    記乗算手段、上記自乗手段、上記判定手段を動作させる
    手段と、 上記判定手段がｄ＝０と判定すると、そのｄについての
    上記乗算手段の演算結果を出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
    置。
17. 【請求項１７】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算装置において、 Ｇ₁ ，２^x1Ｇ₁ ，２^2x1 Ｇ₁ ，…，２^p1x1Ｇ₁ ，Ｇ₂ ，
    ２^x2Ｇ₂ ，２^2x2 Ｇ₂，…，２^p2x2Ｇ₂ ，…，Ｇ_m ，２
    ^xmＧ_m ，２^2xm Ｇ_m ，…，２^pmxmＧ_m の各乗算値を記憶
    したメモリ手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（１＜ｉ＜ｍ，ａ_it∈｛−１，０，１｝）をｙ
    _iの符号付２進数として求める展開手段と、 上記各入力値ｙ_iの符号付２進数ａ_itをｘ_i ビットずつ
    分割し、そのブロックを下位よりＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，
    Ｙ_i ⁽²⁾ ，…として保持する手段と、 上記ブロックＹ_i ^(j) 中の最大値のビット数を検出して
    ｍａとする手段と、 ２つの変数ｓｕｍとｄに対し無限遠点とｍａ−１をそれ
    ぞれ初期設定する手段と、２ ^jxi Ｇ_i と一致するすべての値を上記メモリ手段から
    探索する探索手段と、 上記探索できた値を用いてｓｕｍ＋Ｙ _i ^(j) ［ｄ］・２
    ^jxi Ｇ_i を演算して、その結果を新たなｓｕｍとする加
    算手段と、ここでＡ［ｊ］はＡの第ｊビット目を表わ
    し、最下位ビットを第０ビット目とする、 ｓｕｍ＋ｓｕｍを演算してその結果を新たなｓｕｍとす
    る２倍手段と、 変数ｄがｄ＞０かｄ＝０かを判定する判定手段と、 上記判定手段がｄ＞０と判定すると、変数ｄを１減算し
    て新たなｄとし、そのｄに対し、上記探索手段、上記加
    算手段、上記２倍手段、上記判定手段を動作させる手段
    と、 上記判定手段がｄ＝０と判定すると、そのｄについての
    上記加算手段の演算結果を出力する手段と、 を具備する事前計算を用いた複数生成元に対する演算装
    置。
18. 【請求項１８】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ
    _m と整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、（ｇ₁ のｙ₁
    乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）の演
    算結果を出力する装置であって、ｇ ₁ の±１乗，ｇ ₁ の±２ ^x1 乗，…，ｇ ₁ の±２
    ^p1x1 乗，ｇ ₂ の±１乗，ｇ ₂ の±２ ^x2 乗，…，ｇ ₂ の±
    ２ ^p2x2 乗，…，ｇ _m の±１乗，ｇ _m の±２ ^xm 乗，…，ｇ
    _m の２ ^pmxm 乗の各値を記憶したメモリ手段と、 上記要素ｇ₁ ，ｇ₂ ，…，ｇ_m と上記整数ｙ₁ ，ｙ₂ ，
    …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（０≦ｉ≦ｍ，ｔ＝０，１，…，ｒｉ，ａ_it∈
    ｛−１，０，１｝）をｙ _i の符号付２進数として求める
    符号付２進展開手段と、 上記各入力値ｙ_i の符号付２進数ａ _it をそれぞれｘ_i ビ
    ットずつに分割して、ｘ_i ビット単位のブロックＹ_i
    ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…を保持するｘ_i ビット分
    割保持手段と、 上記ブロックのＹ_i ^(j) 中の最大値のビット数ｍａを検
    出する手段と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａ−１をそれ
    ぞれ設定する手段と、 Ｙ_i ^(j) ［ｄ］・２^jxi （Ａ［ｊ］はＡの第ｊビット
    目を表わし、最下位ビットを第０ビット目とする）をｇ
    _i に対するべき乗値とするすべてのｇ_i の±２^jxi 乗を
    上記メモリ手段から探索し、Ｙ _i ^(j) [ｄ]＝０の場合は
    探索結果を１とする探索手段と、 上記探索できたすべてのｇ_i の±２^jxi 乗と変数ｓｕｍ
    とを乗算して新たなｓｕｍとする乗算手段と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗手段
    と、 上記変数ｄがｄ＞０であるかｄ＝０であるかを判定する
    判定手段と、 上記判定手段がｄ＞０と判定すると、上記変数ｄを１減
    算して新たなｄとし、そのｄに対し、上記探索手段、上
    記乗算手段、上記自乗手段、上記判定手段を動作させる
    手段と、 上記判定手段がｄ＝０と判定すると、そのｄについての
    上記乗算手段の演算結果を出力する手段とを備える演算
    装置として、コンピュータを機能させるためのプログラ
    ムを記録したコンピュータ読み取り可能な記録媒体。
19. 【請求項１９】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する装置であって、 Ｇ₁ ，２^x1Ｇ₁ ，２^2x1 Ｇ₁ ，…，２^p1x1Ｇ₁ ，Ｇ₂ ，
    ２^x2Ｇ₂ ，２^2x2 Ｇ₂，…，２^p2x2Ｇ₂ ，…，Ｇ_m ，２
    ^xmＧ_m ，２^2xm Ｇ_m ，…，２^pmxmＧ_m の各乗算値を記憶
    したメモリ手段と、 上記要素Ｇ₁ ，Ｇ₂ ，…，Ｇ_m 、上記整数ｙ₁ ，ｙ₂ ，
    …，ｙ_m を入力する手段と、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（１＜ｉ＜ｍ，ａ_it∈｛−１，０，１｝）をｙ
    _iの符号付２進数として求める展開手段と、 上記各入力値ｙ_iの符号付２進数ａ_itをｘ_i ビットずつ
    分割し、そのブロックを下位よりＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，
    Ｙ_i ⁽²⁾ ，…として保持する手段と、 上記ブロックＹ_i ^(j) 中の最大値のビット数を検出して
    ｍａとする手段と、 ２つの変数ｓｕｍとｄに対し無限遠点とｍａ−１をそれ
    ぞれ初期設定する手段と、２ ^jxi Ｇ_i と一致するすべての値を上記メモリ手段から
    探索する探索手段と、 上記探索できた値を用いてｓｕｍ＋Ｙ _i ^(j) ［ｄ］・２
    ^jxi Ｇ_i を演算して、その結果を新たなｓｕｍとする加
    算手段と、ここでＡ［ｊ］はＡの第ｊビット目を表わ
    し、最下位ビットを第０ビット目とする、 ｓｕｍ＋ｓｕｍを演算してその結果を新たなｓｕｍとす
    る２倍手段と、 変数ｄがｄ＞０かｄ＝０かを判定する判定手段と、 上記判定手段がｄ＞０と判定すると、変数ｄを１減算し
    て新たなｄとし、そのｄに対し、上記探索手段、上記加
    算手段、上記２倍手段、上記判定手段を動作させる手段
    と、 上記判定手段がｄ＝０と判定すると、そのｄについての
    上記加算手段の演算結果を出力する手段とを備える演算
    装置として、コンピュータを機能させるためのプログラ
    ムを記録したコンピュータ読み取り可能な記録媒体。
20. 【請求項２０】 ある乗法群の要素ｇ₁ ，ｇ₂ ，…，ｇ
    _m と整数ｙ₁ ，ｙ₂，…，ｙ_m が入力され、（ｇ₁ のｙ₁
    乗）×（ｇ₂ のｙ₂ 乗）×…×（ｇ_m のｙ_m 乗）の演
    算結果を出力する演算方法において、 ｇ₁ の±１乗，ｇ₁ の±２^x1乗，…，ｇ₁ の±２
    ^p1x1乗，ｇ₂ の±１乗，ｇ₂の±２^x2乗，…，ｇ₂ の±
    ２^p2x2乗，…，ｇ_m の±１乗，ｇ_m の±２^xm乗，…，ｇ
    _m の２^pmxm乗の各値をメモリ手段に記憶しておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（０≦ｉ≦ｍ，ｔ＝０，１，…，ｒｉ，ａ_it∈
    ｛−１，０，１｝）をｙ _i の符号付２進数として求める
    符号付２進展開過程と、 上記各入力値ｙ_i の符号付２進数ａ _it をそれぞれｘ_i ビ
    ットずつに分割して、ｘ_i ビット単位のブロックＹ_i
    ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，Ｙ_i ⁽²⁾ ，…を保持するｘ_i ビット分
    割保持過程と、 上記ブロックＹ_i ^(j) 中の最大値のビット数ｍａを検出
    する過程と、 ２つの変数ｓｕｍとｄに対し初期値１とｍａ−１をそれ
    ぞれ設定する過程と、 Ｙ_i ^(j) ［ｄ］・２^jxi （Ａ［ｊ］はＡの第ｊビット
    目を表わし、最下位ビットを第０ビット目とする）をｇ
    _i に対するべき乗値とするすべてのｇ_i の±２^jxi 乗を
    上記メモリ手段から探索し、Ｙ _i ^(j) [ｄ]＝０の場合は
    探索結果を１とする探索過程と、 上記探索できたすべてのｇ_i の±２^jxi 乗と変数ｓｕｍ
    とを乗算して新たなｓｕｍとする乗算過程と、 上記変数ｓｕｍを自乗して新たなｓｕｍとする自乗過程
    と、 上記変数ｄがｄ＞０であるかｄ＝０であるかを判定する
    判定過程と、 上記判定過程がｄ＞０と判定すると、上記変数ｄを１減
    算して新たなｄとし、そのｄに対し、上記探索過程、上
    記乗算過程、上記自乗過程、上記判定過程を実行させる
    過程と、 上記判定過程がｄ＝０と判定すると、そのｄについての
    上記乗算過程の演算結果を出力する過程と、 を有する事前計算を用いた複数生成元に対する演算方
    法。
21. 【請求項２１】 ある楕円曲線群の要素Ｇ₁ ，Ｇ₂ ，
    …，Ｇ_m と、整数ｙ₁，ｙ₂ ，…，ｙ_m が入力され、 ｙ₁ Ｇ₁ ＋ｙ₂ Ｇ₂ ＋…＋ｙ_m Ｇ_m の演算結果を出力する演算方法において、 Ｇ₁ ，２^x1Ｇ₁ ，２^2x1 Ｇ₁ ，…，２^p1x1Ｇ₁ ，Ｇ₂ ，
    ２^x2Ｇ₂ ，２^2x2 Ｇ₂，…，２^p2x2Ｇ₂ ，…，Ｇ_m ，２
    ^xmＧ_m ，２^2xm Ｇ_m ，…，２^pmxmＧ_m の各乗算値をメモ
    リ手段に記憶しておき、 上記各入力値ｙ_i （ｉ＝１，２，…，ｍ）をそれぞれ符
    号付２進展開してｙ_i＝Σ_t=0 ^riａ_it２^t なる関係の各
    係数ａ_it（１＜ｉ＜ｍ，，ａ_it∈｛−１，０，１｝）を
    ｙ_iの符号付２進数として求める展開過程と、 上記各入力値ｙ_i の符号付２進数ａ_itをｘ_i ビットずつ
    分割し、そのブロックを下位よりＹ_i ⁽⁰⁾ ，Ｙ_i ⁽¹⁾ ，
    Ｙ_i ⁽²⁾ ，…として保持する過程と、 上記ブロックＹ_i ^(j) 中の最大値を検出してｍａとする
    過程と、 ２つの変数ｓｕｍとｄに対し無限遠点とｍａ−１をそれ
    ぞれ初期設定する過程と、２ ^jxi Ｇ_i と一致するすべての値を上記メモリ手段から
    探索する探索過程と、 上記探索できた値を用いてｓｕｍ＋Ｙ _i ^(j) ［ｄ］・２
    ^jxi Ｇ_i を演算して、その結果を新たなｓｕｍとする加
    算過程と、ここでＡ［ｊ］はＡの第ｊビット目を表わ
    し、最下位ビットを第０ビット目とする、 ｓｕｍ＋ｓｕｍを演算してその結果を新たなｓｕｍとす
    る２倍手段と、 変数ｄがｄ＞０かｄ＝０かを判定する判定過程と、 上記判定過程がｄ＞０と判定すると、変数ｄを１減算し
    て新たなｄとし、そのｄに対し、上記探索過程、上記加
    算過程、上記２倍過程、上記判定過程を実行させる過程
    と、 上記判定過程がｄ＝０と判定すると、そのｄについての
    上記加算過程の演算結果を出力する過程と、 を具備する事前計算を用いた複数生成元に対する演算方
    法。