JP3515306B2

JP3515306B2 - 逆元演算装置

Info

Publication number: JP3515306B2
Application number: JP01573997A
Authority: JP
Inventors: 和夫太田; 和麻呂青木
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 1997-01-29
Filing date: 1997-01-29
Publication date: 2004-04-05
Anticipated expiration: 2017-01-29
Also published as: JPH10214262A

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、逆元演算方法及び
装置に係り、特に、誤り訂正符号や暗号化における有限
体、例えば、

【０００２】

【数１６】（ＧＦ（２^m ）と書くこともある）での四則演算のう
ち、逆元演算を高速に実行するための逆元演算方法及び
装置に関する。

【０００３】

【従来の技術】Ｆ_2mでの逆元演算の高速な実現方法とし
て、Massey, Omura による正規基底を用いた乗算(J.Mas
sey, J.Omura: Computational Method and Apparatus f
or Finite Field Arithmetic, US Patent Number 4,58
7,627) を利用する算法がある。その原理は、有理体上
でフェルマーの小定理

【０００４】

【数１７】が成り立つことにより、逆元が

【０００５】

【数１８】で計算できることを利用している。これを用いた方法と
しては、例えば、文献「伊藤、辻井：正規基底を用いた
有限体における高速逆元算出アルゴリズム、電子情報通
信学会論文誌、A,Vol. J70-A, No.11, pp.1637-1645(19
87) 」、文献「P.C. van Ooschot, S,A. vanstone: A G
eometric Approach to Root Finding in GF(q ^m ), IEE
E Trans. on Information Theory, Vol.35, No.2, pp.4
44-453(1989)」等がある。

【０００６】どちらの方法においても、正規基底を用い
ると

【０００７】

【数１９】での乗算がハードウェアで効率よく実現できることを利
用しており、

【０００８】

【数２０】での逆元演算を

【０００９】

【数２１】での乗算とシフト（ローテイトを含む）演算を組み合わ
せて実現する。現在知られている算法では、

【００１０】

【数２２】での乗算がlog₂ｍ＋｛（ｍ−１）を２進表現したときの
１の個数｝回、ビットシフト演算が（ｍ−１）回となる
こと、また、

【００１１】

【数２３】が、

【００１２】

【数２４】の２次拡大の時、部分体を用いると、

【００１３】

【数２５】での逆元演算は、

【００１４】

【数２６】での乗算が２回

【００１５】

【数２７】でのシフト演算が１回

【００１６】

【数２８】での逆元演算が１回となることが知られている。

【００１７】その乗算算法をソフトウェアでそのまま実
現しようとすると、ビット単位の取り扱いが繁雑である
ため、効率が低下する問題がある。ビット単位の取り扱
いの詳細は、例えば、伊東らの論文のpp.1638-1639に詳
述されている。

【００１８】そこで、

【００１９】

【数２９】での乗算を、部分体を用いて計算する方法が知られてい
る。例えば、文献「A.Pincin:"A New Algorithm for Mu
ltiplication in Finite Fields"IEEE Transactions on
computers, Vol.38, No.7, pp.1045-1049, July 1989
」に紹介されている。

【００２０】ソフトウェアでの有限体の四則演算を実現
する場合には、ハードウェア実現時に比べて、メモリサ
イズの制約が緩いので、事前計算とし、その計算結果を
テーブルとして持っておき、必要な情報を読み出すこと
で、高速化が可能となる。この特徴を利用した高速算法
として、例えば、E.De. Win, A. Bosselaers, S.Vanden
berghe, P.D. Gersen, J.Vandewalle: A Fast Software
Implementation forArithmetic Operations in GF(2 ⁿ
), Advances in Cryptology-ASIACRYPT'96 (Lecture N
otes in Computer Science 1163), pp.65-76, Springer
-Verlag. 1996がある。

【００２１】ところで、多くの秘密鍵暗号は、Ｆ関数を
複数回数繰り返すことで、安全性を高めている。Ｆ関数
に冪乗演算を利用すると安全性が保証できることが知ら
れている（文献「K.Nyberg: "Differentially uniform
mappings for cryptography," Advaces in Cryptology
- EUROCRYPT'93(Lecture Notes in Computer Science 7
65), pp.55-64, Springer-Verlag, 1994 」と文献「K.N
yberg, L.R. Knudsen:"Provable Security Against a D
ifferential Attack," Journal of Cryptology, Vol.
8, pp.27-37, Springer-International, 1995 」) これ
らの文献では、立法演算と逆元演算等を用いてＦ関数を
構成することが推奨されている。

【００２２】

【発明が解決しようとする課題】しかしながら、上記従
来の入力データを素体Ｆ₂ 上の正規基底を用いて表現
し、伊東ら、van Ooschot らの算法を用いて

【００２３】

【数３０】での逆元演算をそのままソフトウェアで実現すると、ビ
ット単位の取扱いが繁雑なため、効率が低下するという
問題がある。

【００２４】本発明は、上記の点に鑑みなされたもの
で、ソフトウェアでは、ハードウェアでの実現時に比べ
てメモリを多く利用可能なことを利用して、事前計算の
結果をテーブルに記憶することで、

【００２５】

【数３１】での逆元演算について、効率のよい逆元演算を可能とす
る逆元演算方法及び装置を提供することを目的とする。

【００２６】

【課題を解決するための手段】本発明は、コンピュータ
上の計算手段を用いて、有限体

【００２７】

【数３２】での逆元演算を計算する方法において、

【００２８】

【数３３】要素ｍを、

【００２９】

【数３４】と表したとき、有限体

【００３０】

【数３５】での逆元が、（ａ（ｘ＋ｙ）² ＋ｘｙ）^-1ｙα＋（ａ
（ｘ＋ｙ）² ＋ｘｙ）^-1ｘ（α＋１）となることを利用
して、正規基底を拡張ユークリッドの互除法と組み合わ
せて、有限体

【００３１】

【数３６】での逆元演算を、

【００３２】

【数３７】での乗算、加算と逆元演算に帰着させることを特徴とす
る逆元演算方法。

【００３３】また、本発明は、部分体の乗法群

【００３４】

【数３８】での２項演算（乗算）を、１項演算（対数変換）で計算
可能なＺ／（２^n'−１）Ｚでの２項演算（和）に変換
し、その結果を１項演算（冪乗演算）で部分体

【００３５】

【数３９】に引き戻す。

【００３６】また、本発明は、対数変換テーブルを参照
して入力要素ｘの対数、ｅ＝log _g ｘを求め、ｆ＝−ｅmod （２ⁿ −１）で補数ｆを計算し、ｇ^f を冪乗変換テーブルから読み出
して、ｘ^-1を計算する。また、本発明は、高速に読み出
し可能なメモリが十分に使用可能な場合、部分体

【００３７】

【数４０】での２項演算（乗算）の計算結果を乗算テーブルとして
保持する。

【００３８】また、本発明は、乗算演算において、１つ
の被定数（ｘ₁ ＝ａ）が固定の場合には、部分体

【００３９】

【数４１】での乗算計算結果（ｘ＝ａ×ｘ₂ 、あるいは、ｘ＝ａ×
ｘ₂ ×ｘ₃ ）を乗算テーブルとして保持する。

【００４０】また、本発明は、乗算演算において一方の
被乗数（ｘ₁ ＝ａ）が固定の場合に、部分体

【００４１】

【数４２】での乗算を、部分体

【００４２】

【数４３】を用いた算法に帰着させる。

【００４３】図１は、本発明の原理構成図である。

【００４４】本発明は、有限体

【００４５】

【数４４】での逆数演算を計算する逆元演算装置であって、

【００４６】

【数４５】となることを利用して、処理を行う複数のｎビット乗算
手段、ｎビット排他的論理和手段、ビット列複製手段、
ビット列結合手段及びビット列分割手段とを有し、ビッ
ト列分割手段は、２ｎビットの入力ｍをｎビットの２つ
のｘとｙに分け、該ｘを第１のビット列複製手段の、該
ｙを第２のビット列複製手段の入力とし、第１のビット
列複製手段は、入力ｘを複製し、複製されたｔ₁ を第１
のｎビット乗算手段の、複製されたｔ₂ を第３のビット
列複製手段の入力とし、第３のビット列複製手段は、ｔ
₂ を複製し、複製されたｔ₃ を第１のｎビット排他的論
理和手段の、複製されたｔ₄ を第２のｎビット乗算手段
の入力とし、第２のビット列複製手段は、入力ｙを複製
し、複製されたｔ₅ を第１のｎビット排他的論理和手段
の、ｔ₆を第４のビット列複製手段の入力とし、第１の
ｎビット排他的論理和手段は、入力ｔ₃ とｔ₅ の排他的
論理和値ｔ₇ を計算し、第５のビット列複製手段の入力
とし、第５のビット列複製手段は、入力ｔ₇ を複製し、
複製されたｔ₈ とｔ₉ を第３のｎビット乗算手段の入力
とし、第３のｎビット乗算手段は、入力ｔ₈ と入力ｔ₉
の積ｔ₁₀を計算し、第４のｎビット乗算手段の入力と
し、第４のｎビット乗算手段は、入力αと入力ｔ₁₀の積
ｔ₁₁を計算し、第２のｎビット排他的論理和手段の入力
とし、第４のビット列複製手段は、入力ｔ₆ を複製し、
複製されたｔ₁₂を第１のｎビット乗算手段の、複製され
たｔ₁₃を第５のｎビット乗算手段の入力とし、第１のｎ
ビット乗算手段は、入力ｔ₁ と入力ｔ₁₂の積ｔ₁₄を計算
し、第２のｎビット排他的論理和手段の入力とし、第２
のｎビット排他的論理和手段は、入力ｔ₁₁とｔ₁₄の排他
的論理和値ｔ₁₅を計算し、ｎビット逆元計算手段の入力
とし、ｎビット逆元計算手段は、入力ｔ₁₅の逆元ｔ₁₆を
計算し、第６のビット列複製手段の入力とし、第６のビ
ット列複製手段は、入力ｔ₁₆を複製し、複製されたｔ₁₇
を第２のビット乗算手段の、入力ｔ₁₅を第５のｎビット
乗算手段の入力とし、第２のｎビット乗算手段は、入力
ｔ₂ と入力ｔ₁₇の積ｔ₁₉を計算し、ビット列結合手段の
入力とし、第５のｎビット乗算手段は、入力ｔ₁₃と入力
ｔ₁₈の積ｔ₂₀を計算し、ビット列結合手段の入力とし、
ビット列結合手段は、入力ｔ₁₉と入力ｔ₂₀を結合して入
力ｍの逆元とする。

【００４７】また、本発明は、第１、第２、第３、第
４、第５のｎビット乗算手段は、問い合わせ手段、加算
手段、対数変換テーブル及び冪乗変換テーブルを含み、

【００４８】

【数４６】の２つの要素ｘ₁ とｘ₂ から対数変換テーブルを参照し
て２つの対数ｅ₁ ＝log _g ｘ₁ , ｅ₂ ＝log _g ｘ₂ を求め、加算手段を用いて、ｅ＝ｅ₁ ＋ｅ₂ mod （２ⁿ −１）でｅを計算し、問い合わせ手段は、ｇ^e を冪乗変換テー
ブルから読み出して、ｘ＝ｘ₁ ×ｘ₂ を計算する。

【００４９】また、本発明の問い合わせ手段は、２つの
入力ｘ₁ ，ｘ₂ を、対数変換テーブルの入力とし、問い
合わせ手段は、対数変換テーブルから、入力ｘ₁ ，ｘ₂
に基づいて２つの対数ｅ₁ ＝log _g ｘ₁ ，ｅ₂ ＝log _g ｘ₂ を求め、対数ｅ₁ ，ｅ₂ を加算手段の入力とし、加算手
段は、ｅ＝ｅ₁ ＋ｅ₂ mod （２ⁿ −１）を計算し、問い合わせ手段の入力とし、問い合わせ手段
は、ｅの冪乗変換テーブルの入力とし、冪乗変換テーブ
ルは、ｘ＝ｇ^e を問い合わせ手段の入力とし、問い合わ
せ手段は、ｘを出力する。

【００５０】また、本発明は、問い合わせ手段により対
数変換テーブルを用いて求められた対数ｅ＝ log_g ｘよ
り、ｆ＝−ｅ mod（２ⁿ −１）を計算する補数手段を更に有し、問い合わせ手段は、補
数手段により入力されたｆを冪乗変換テーブルの入力と
し、冪乗変換テーブルからｘ’＝ｇ^f を取得して、ｘ’
を出力する。

【００５１】また、本発明は、入力ｘ₁ ，ｘ₂ について
の乗算を行い、ｘを出力する乗算テーブルを更に有し、
問い合わせ手段は、２つの入力ｘ₁ ，ｘ₂ を乗算テーブ
ルの入力とし、ｘ＝ｘ₁ ×ｘ₂ を取得して、出力する。

【００５２】また、本発明は、ｎビット乗算手段におい
て、一方の被乗数（ｘ₁ ＝ａ）が固定の場合、問い合わ
せ手段は、入力ｘを乗算テーブルの入力とし、乗算テー
ブルを用いて、乗算結果ｘ’＝ａ×ｘを乗算テーブルか
ら読み出し、ｘ’を出力する。

【００５３】また、本発明の第１のｎビット乗算手段及
び、第２のｎビット乗算手段は、第１のｎビット乗算手
段及び、第２のｎビット乗算手段の被乗数（ｔ₁ ，
ｔ₄）が同じ値（ｘ）の場合、該第１のｎビット乗算手
段及び該第２のｎビット乗算手段で対数変換テーブルか
ら読み出した値を保持する。

【００５４】上記のように、本発明の逆元演算方法及び
装置によれば、正規基底を拡張ユークリッドの互除法と
組み合わせて、

【００５５】

【数４７】での逆元演算を、

【００５６】

【数４８】での乗算、加算を逆元演算に帰着させる。こ
れにより、部分体

【００５７】

【数４９】での乗算、加算の回数を従来の算法より少なくする。

【００５８】また、本発明では、部分体の乗法群

【００５９】

【数５０】での２項演算（乗算）を、１項演算（対数変換）で計算
が容易なＺ／（２^n'−１）Ｚでの２項演算（和）に変換
し、その結果を１項演算（冪乗変換）で部分体

【００６０】

【数５１】に引き戻す。ここで、

【００６１】

【数５２】での乗算演算テーブルを２項演算として作成すると、メ
モリとして、（２^n'）²×ｎ’ビットが必要となるが、
１項演算である対数変換と冪乗変換の事前計算の結果を
記憶じた対数変換テーブルと冪乗変換テーブルのサイズ
は、それぞれ約２^n'×ｎ’ビットにできる。

【００６２】また、本発明では、高速に読み出し可能な
メモリが十分に使用できる場合、部分体

【００６３】

【数５３】での２項演算（乗算）の計算結果を乗算テーブルとして
保持する。これにより、テーブル参照、及びＺ／（２^n'
−１）Ｚでの演算処理を削減する。

【００６４】また、本発明では、乗算演算で１つの被乗
数（ｘ₁ ＝ａ）が固定の場合には、部分体

【００６５】

【数５４】での乗算の計算結果（ｘ＝ａ×ｘ₂ ，あるいは、ｘ＝ａ
×ｘ₂ ×ｘ₃ ）を乗算テーブルとして保持する。

【００６６】また、本発明は、

【００６７】

【数５５】での乗算を、部分体

【００６８】

【数５６】を用いた算法に帰着させる。

【００６９】

【数５７】での乗算結果を記憶するテーブルは、約（２ⁿ ）² ×ｎ
ビットとなるが、部分体

【００７０】

【数５８】での乗算結果を記憶するテーブルは、約（２^n/2 ）² ×
（ｎ／２）＝（２ⁿ ）×（ｎ／２）ビットとなる。乗算
を部分体の乗算に帰着させることを繰り返すことで、読
み出しを高速に実行可能なメモリ（キャッシュメモリ）
サイズまでテーブルを小さくできるようなパラメータ
ｎ’を持つ部分体が利用可能となる。

【００７１】

【発明の実施の形態】図２は、本発明の２ｎビット逆元
演算装置の構成を示す。

【００７２】同図において、

【００７３】

【数５９】は、

【００７４】

【数６０】上の２次元ベクトル空間であるので、

【００７５】

【数６１】を用いて（ここで、「＼」は差集合を表す）、

【００７６】

【数６２】は、

【００７７】

【数６３】と表すことができる。

【００７８】

【数６４】を、

【００７９】

【数６５】でのｍの逆元演算は、拡張ユークリッドの互除法を利用
して計算すると、（ａ＋（ｘ＋ｙ）² ＋ｘｙ）^-1ｙα＋
（ａ（ｘ＋ｙ）² ＋ｘｙ）^-1ｘ（α＋１）となることが
分かる。これにより、

【００８０】

【数６６】での加算演算が２回（ｔ₇ ＝ｘ＋ｙ＝ｔ₃ ＋ｔ₅ ，ｔ₁₅
＝ａ（ｘ＋ｙ）² ＋ｘｙ＝ｔ₁₁＋ｔ₁₄

【００８１】

【数６７】での乗算演算が５回（ｔ₁₀＝（ｘ＋ｙ）² ＝
ｔ₈ ×ｔ₉ ，ｔ₁₁＝ａ（ｘ＋ｙ）²＝ａｔ₁₀，ｔ₁₄＝ｘ
ｙ＝ｔ₁ ｔ₁₂，ｔ₁₉＝ｔ₁₇ｔ₄ ，ｔ₂₀＝ｔ₁₃ｔ₁₈）

【００８２】

【数６８】での逆元演算が１回（ｔ ₁₆ ＝ｔ ₁₅ ^-1 ）必要となる。

【００８３】図３は、本発明の逆演算装置のｎビット乗
算装置の構成を示す。

【００８４】

【数６９】での乗算で、メモリに対数変換テーブルと冪乗変換テー
ブルを記憶できる場合には、対数変換テーブル２０２と
冪乗変換テーブル２０５を用意しておき、

【００８５】

【数７０】の２つの要素ｘ₁ とｘ₂ を、対数変換テーブル２０２を
参照して２つの対数、ｅ₁ ＝log _g ｘ₁ とｅ₁ ＝ log _g
ｘ₂ を求め、ｅ＝ｅ₁ ＋ｅ₂ mod （２^n'−１）でｅを計
算し、ｇ^e を冪乗変換テーブル２０５から読み出すこと
で、ｘ＝ｘ₁ ×ｘ₂ を計算する。ここで、要素ｇは、

【００８６】

【数７１】の原始元、

【００８７】

【数７２】とする。

【００８８】図４は、本発明のｎビット逆元演算装置の
構成を示す。

【００８９】

【図７３】での逆元演算では、対数変換テーブル３０２を参照し
て、

【００９０】

【数７４】の要素ｘの対数，ｅ＝ log_g ｘを求め、ｆ＝−ｅ mod
（２^n'−１）でｆを計算し、ｇ^f を冪乗変換テーブル３
０５から読み出すことで、ｘ^-1を計算する。

【００９１】なお、図３中の冪乗変換テーブル２０５、
対数変換テーブル２０２をそのまま使用できる。

【００９２】図５は、本発明のｎビット冪乗装置の構成
（その１）を示す。

【００９３】

【数７５】での乗算で、メモリ４００に乗算テーブル４０２を記憶
できる場合には、乗算テーブル４０２を用意しておき、

【００９４】

【数７６】の２つの要素ｘ₁ 、ｘ₂ をキーとして、乗算結果ｘ＝ｘ
₁ ×ｘ₂ を乗算テーブル４０２から読み出す。

【００９５】図６は、本発明のｎビット乗算装置の構成
（その２）を示す。同図は、ｎビット乗算装置５００の
構成であり、ｎビット乗算装置５００では、一方の被乗
数（ｘ₁ ＝ａ）が固定なので、乗算テーブル（ｘ＝ａ×
ｘ₂ ）５０２を用意しておき、第２の被乗数ｘ₂ をキー
として、乗算結果ｘ＝ａ×ｘ₂ をそのテーブル５０２か
ら読み出す。ａｘ₁ ｘ₂ のように、被乗数の種類が増え
ても、この考え方は有効である。

【００９６】なお、図２に示す構成において、ｔ₁ とｔ
₄ は、同じ値（ｘ）であるので、ｎビット乗算装置１０
３、１０７で対数変換テーブルを２回参照する必要はな
い。ｎビット乗算装置１０３で読み出した値を、そのま
まｎビット乗算装置１０７でも使用することで、対数変
換テーブルの参照処理を削減できる。同様のことが、ｔ
₆ とｔ₉ ，ｔ₁₂とｔ₁₃，ｔ₁₇とｔ₁₈でも発生する。

【００９７】

【実施例】以下、図面と共に本発明の実施例を説明す
る。

【００９８】まず、図２の２ｎビット逆元演算装置の構
成に従って説明する。

【００９９】有限体

【０１００】

【数７７】の逆元を

【０１０１】

【数７８】上の演算を用いて、計算する算法を示す。

【０１０２】

【数７９】は、

【０１０３】

【数８０】上の２次元のベクトル空間であるので、

【０１０４】

【数８１】を用いて（ここで「＼」は差集合を表す）、要素

【０１０５】

【数８２】と表すことができる。

【０１０６】本発明では、要素

【０１０７】

【数８３】と表したとき、

【０１０８】

【数８４】での逆元演算は、拡張ユークリッドの互除法を利用して
計算すると、（ａ（ｘ＋ｙ）² ＋ｘｙ）^-1ｙα＋（ａ
（ｘ＋ｙ）² ＋ｘｙ）^-1ｘ（α＋１）となることが証明
できるので、その事実を利用して、その計算を行う装置
である。ここで、記号×，＋，Ｄはそれぞれ、ｎビット
乗算装置、ｎビット排他的論理和装置、ビット列複製装
置を表す。

【０１０９】段階１：２ｎビットの入力ｍをビット列
分割装置１０１を用いて、ｎビットの２つのｘとｙに分
け、ｘをビット列複製装置１０２の、ｙをビット列複製
装置１０５の入力とする。

【０１１０】段階２：ビット列複製装置１０２を用い
て、入力ｘを複製し、ｔ₁ をｎビット乗算装置の１０３
の、ｔ₂ をビット列複製装置１０４の入力とする。

【０１１１】段階３：ビット列複製装置１０４を用い
て、入力ｔ₂ を複製し、ｔ₃ をｎビット排他的論理和装
置１０６の、ｔ₄ をｎビット乗算装置１０７の入力とす
る。段階４：ビット列複製装置１０５を用いて、入力ｙを
複製し、ｔ₅ をｎビット排他的論理和装置１０６の、ｔ
₆ をビット列複製装置１０８の入力とする。

【０１１２】段階５：ｎビット排他的論理和装置１０
６を用いて、入力ｔ₃ とｔ₅ の排他的論理和値ｔ₇ を計
算し、ビット列複製装置１０９の入力とする。

【０１１３】段階６：ビット列複製装置１０９を用い
て、入力ｔ₇ を複製し、ｔ₈ とｔ₉をｎビット乗算装置
１１０の入力とする。

【０１１４】段階７：ｎビット乗算装置１１０を用い
て、入力ｔ₆ とｔ₉ の積ｔ₁₀を計算し、ｎビット乗算装
置１１１の入力とする。

【０１１５】段階８：ｎビット乗算装置１１１を用い
て、入力ａとｔ₁₀の積ｔ₁₁を計算し、ｎビット排他的論
理和装置１１２の入力とする。

【０１１６】段階９：ビット列複製装置１０８を用い
て、入力ｔ₆ を複製し、ｔ₁₂をｎビット乗算装置１０３
の、ｔ₁₃をｎビット乗算装置１１３の入力とする。

【０１１７】段階１０：ｎビット乗算装置１０３を用
いて、入力ｔ₁ とｔ₁₂の積ｔ₁₄を計算し、ｎビット排他
的論理和装置１１２の入力とする。

【０１１８】段階１１：ｎビット排他的論理和装置１
１２を用いて、入力ｔ₁₁とｔ₁₄の排他的論理和値ｔ₁₅を
計算し、ｎビット逆元演算装置１１４の入力とする。

【０１１９】段階１２：ｎビット逆元計算装置１１４
を用いて、入力ｔ₁₅の逆元ｔ₁₆を計算し、ビット列複製
装置１１５の入力とする。

【０１２０】段階１３：ビット列複製装置１１５を用
いて、入力ｔ₁₆を複製し、ｔ₁₇をｎビット乗算装置１０
７の、ｔ₁₈をｎビット乗算装置１１３の入力とする。

【０１２１】段階１４：ｎビット乗算装置１０７を用
いて、入力ｔ₄ とｔ₁₇の積ｔ ₁₉を計算し、ビット列結合
装置１１６の入力とする。

【０１２２】段階１５：ｎビット乗算装置１１３を用
いて、入力ｔ₁₃とｔ₁₈の積ｔ₂₀を計算し、ビット列結合
装置１１６の入力とする。

【０１２３】段階１６：ビット列結合装置１１６を用
いて、入力ｔ₁₉とｔ₂₀を結合して、入力ｍの逆元とする
（出力結果は２ｎビットとなる）。

【０１２４】また、上記の段階１から段階１６の計算順
序は、この例に限定されるものではない。

【０１２５】なお、ｎビット逆元計算装置１１４は、キ
ャッシュメモリが小さくて、図４に示す算法を実装でき
ないときには、図２に示す構成法をｔ₁₅をｍと見做すこ
とで再帰的に実現できる。

【０１２６】図３は、ｎビット乗算装置の構成例であ
る。対数変換テーブル２０２と冪乗変換テーブル２０５
を用意しておき、

【０１２７】

【数８５】の２つの要素ｘ₁ とｘ₂ から、対数変換テー
ブル２０２を参照して２つの対数、ｅ₁ ＝ log_g ｘ₁ と
ｅ₂ ＝ log_g ｘ₂ を求め、ｅ＝ｅ₁ ＋ｅ₂ mod （２ⁿ −
１）でｅを計算し、ｇ^e を冪乗変換テーブル２０５から
読み出すことで、ｘ＝ｘ₁ ×ｘ₂を計算する。

【０１２８】段階１：問い合わせ装置２０１は、２つ
の入力、ｘ₁ ，ｘ₂ を、対数変換テーブル２０２の入力
とする。

【０１２９】段階２：対数変換テーブル２０２を用い
て、２つの対数、ｅ₁ ＝ log_g ｘ₁とｅ₂ ＝ log_g ｘ₂
を求め、問い合わせ装置２０１の入力とする。

【０１３０】段階３：問い合わせ装置２０１は、ｅ₁
とｘ₂ を、加算装置２０３の入力とする。

【０１３１】段階４：加算装置２０３を用いて、ｅ＝
ｅ₁ ＋ｅ₂ mod（２ⁿ −１）を計算し、問い合わせ装置
２０４の入力とする。

【０１３２】段階５：問い合わせ装置２０４は、ｅを
冪乗変換テーブル２０５の入力とする。

【０１３３】段階６：冪乗変換テーブル２０５を用い
て、ｘ＝ｇ^e を冪乗変換テーブルから読み出し、問い合
わせ装置２０４の入力とする。

【０１３４】段階７：問い合わせ装置２０４を用い
て、ｘを出力する。

【０１３５】また、上記の段階１から段階７の計算順序
は、この例に限定されるものではない。

【０１３６】図４は、本発明のｎビット逆元計算装置の
構成例である。対数変換テーブル３０２を参照して、

【０１３７】

【数８６】の要素ｘの対数、ｅ＝ log_g ｘを求め、ｆ＝−ｅ mod
（２ⁿ −１）でｆを計算し、ｇ^f を冪乗変換テーブル３
０５から読み出すことで、ｘ^-1を計算する。

【０１３８】段階１：問い合わせ装置３０１は、入力
ｘを、対数変換テーブル３０２の入力とする。

【０１３９】段階２：対数変換テーブル３０２を用い
て、対数、ｅ＝ log_g ｘを求め、問い合わせ装置３０１
の入力とする。

【０１４０】段階３：問い合わせ装置３０１は、ｅ
を、補数装置３０３の入力とする。

【０１４１】段階４：補数装置３０３を用いて、ｆ＝
−ｅ mod（２ⁿ −１）を計算し、問い合わせ装置３０４
の入力とする。

【０１４２】段階５：問い合わせ装置３０４は、ｆを
冪乗変換テーブル３０５の入力とする。

【０１４３】段階６：冪乗変換テーブル３０５を用い
て、ｘ’＝ｇ^f を冪乗変換テーブルから読み出し、問い
合わせ装置３０４の入力とする。

【０１４４】段階７：問い合わせ装置３０４を用い
て、ｘ’を出力する。

【０１４５】また、上記の段階１から段階７の計算順序
は、この例に限定されるものではない。

【０１４６】図５は、本発明の図２中のｎビット乗算装
置の構成例である。乗算テーブル４０２を用意してお
き、

【０１４７】

【数８７】の２つの要素ｘ₁ とｘ₂ をキーとして、乗算結果ｘ＝ｘ
₁ ×ｘ₂ をそのテーブルから読み出す。

【０１４８】段階１：問い合わせ装置４０１は、２つ
の入力ｘ ₁ ，ｘ₂ を、乗算テーブル４０２の入力とす
る。

【０１４９】段階２：乗算テーブル４０２を用いて、
乗算結果ｘ＝ｘ₁ ×ｘ₂ をそのテーブルから読み出し、
問い合わせ装置４０１の入力とする。

【０１５０】段階３：問い合わせ装置４０１を用い
て、ｘを出力する。

【０１５１】また、上記の段階１から段階３の計算順序
は、この例に限定されるものではない。

【０１５２】図６は、本発明の図２中のｎビット乗算装
置の構成例である。ただし、図２中のｎビット乗算装置
１１１のように、一方の被乗数（ｘ₁ ＝ａ）が固定の場
合の実現例である。

【０１５３】段階１：問い合わせ装置５０１は、入力
ｘを、乗算テーブル５０２の入力とする。

【０１５４】段階２：乗算テーブル５０２を用いて、
乗算結果ｘ’＝ａ×ｘをそのテーブルから読み出し、問
い合わせ装置５０１の入力とする。

【０１５５】段階３：問い合わせ装置５０１を用い
て、ｘ’を出力する。

【０１５６】また、上記の段階１から段階３の計算順序
は、この例に限定されるものではない。

【０１５７】なお、本発明で用いた数学の事実

【０１５８】

【数８８】ことは、

【０１５９】

【数８９】と表すと、

【０１６０】

【数９０】の積ｍ₀ は、ｍ₀ ＝ｍ₁ ｍ₂ ＝（ｘ₁ ｘ₂ ＋ａ（ｘ₁ ＋
ｙ₁ ）（ｘ₂ ＋ｙ₂ ））α＋（ｙ₁ ｙ₂ ＋ａ（ｘ₁ ＋ｙ
₁ ）（ｘ₂ ＋ｙ₂ ））（α＋１）と表せるので、

【０１６１】

【数９１】が示せることにより明らかである（ただし、ｍ≠０と仮
定）。

【０１６２】なお、本発明は、上記の実施例に限定され
ることなく、特許請求の範囲内で種々変更・応用が可能
である。

【０１６３】

【発明の効果】本発明を、従来の算法の組み合わせの場
合と比較する。伊東らの算法（伊東・辻井の文献のｐ．
１６４３−１６４４の算法）を用いて、

【０１６４】

【数９２】での逆元演算を、

【０１６５】

【数９３】での乗算と

【０１６６】

【数９４】での逆元演算、シフト演算に帰着させる。

【０１６７】

【数９５】ここで、

【０１６８】

【数９６】での乗算をＰｉｎｃｉｎの改良算法で部分体

【０１６９】

【数９７】の四則演算で実現すると、部分体

【０１７０】

【数９８】の乗算４回、加算４回を必要とするので、

【０１７１】

【数９９】となる。一方、本発明では、

【０１７２】

【数１００】・暗号処理適用時の演算量６４ビットブロック暗号の暗号化処理のＦ関数として、
立法演算と逆元演算が推奨されている。６４ビット暗号
を例にとって、立法演算を、Ｐｉｎｃｉｎの改良算法で
実現する場合と、逆元演算を本発明で実現する場合を比
較する。

【０１７３】

【数１０１】ワークステーションで実現することを考える。最近の多
くのＣＰＵではキャッシュメモリの大きさが２５６ＫＢ
以上なので、部分体

【０１７４】

【数１０２】の対数変換テーブルと冪乗変換テーブルは、高速にアク
セス可能なテーブルとして保持できる。

【０１７５】テーブル参照回数、演算でのｅと逆元演算
でのｆの計算内容を見ると、１項演算である逆元演算の
方が乗算より高速に実現できることがわかる。従って、
本発明では、逆元演算の処理量は立法演算に比べて、

【０１７６】

【数１０３】での乗算が１回分以上

【０１７７】

【数１０４】での加算が１回分削減できることがわかる。

【図面の簡単な説明】

【図１】本発明の原理構成図である。

【図２】本発明の逆元演算装置の構成図である。

【図３】本発明の逆元演算装置のｎビット乗算装置の構
成図である。

【図４】本発明のｎビット逆元計算装置の構成図であ
る。

【図５】本発明のｎビット乗算装置の構成図である。

【図６】本発明のｎビット乗算装置の構成図である。

【符号の説明】

１０１ｎビット列分割装置、ｎビット列分割手段１０２，１０４，１０５，１０８，１０９，１１５ビ
ット列複製装置、ビット列複製手段１０３，１０７，１１０，１１１，１１３ｎビット乗
算装置、ビット乗算手段１１４ｎビット列結合装置、ビット列結合手段１１６ビット列結合装置、ビット列結合手段２００ｎビット乗算装置２０１，２０４問い合わせ装置２０２対数変換テーブル２０３加算装置２０５冪乗変換テーブル３００ｎビット逆元計算装置３０１，３０４問い合わせ装置３０２対数変換テーブル３０３補数装置３０５冪乗変換テーブル４００ｎビット乗算装置４０１問い合わせ装置４０２乗算テーブル５００ｎビット乗算装置５０１問い合わせ装置５０２乗算テーブル

───────────────────────────────────────────────────── フロントページの続き (56)参考文献ＧＦ（２ｍ）における逆元の高速算法について，電子情報通信学会技術研究報告，1997年７月18日，Ｖｏｌ．87，Ｎｏ．120，ｐ．１−４Ａ．Ｐｉｎｃｈｉｎ，ＡＮｅｗＡｌｇｏｒｉｔｈｍｆｏｒＭｕｌｔｉｐｌｉｃａｔｉｏｎｉｎＦｉｎｉｔｅＦｉｅｌｄｓ，ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｏｎｃｏｐｍｐｕｔｅｒｓ，Ｖｏｌ．38 Ｎｏ．７，ｐ. 1045−1049 (58)調査した分野(Int.Cl.⁷，ＤＢ名) G09C 1/00 650 G06F 17/10 ＪＩＣＳＴファイル（ＪＯＩＳ)

Claims

(57)【特許請求の範囲】

【請求項１】有限体【数１３】での逆数演算を計算する逆元演算装置であって、【数１４】となることを利用して、処理を行う複数のｎビット乗算
手段、ｎビット排他的論理和手段、ビット列複製手段、
ビット列結合手段及びビット列分割手段とを有し、前記ビット列分割手段は、２ｎビットの入力ｍをｎビットの２つのｘとｙに分け、
該ｘを第１のビット列複製手段の、該ｙを第２のビット
列複製手段の入力とし、前記第１のビット列複製手段は、前記入力ｘを複製し、
複製されたｔ₁ を第１のｎビット乗算手段の、複製され
たｔ₂ を第３のビット列複製手段の入力とし、前記第
３のビット列複製手段は、前記ｔ₂ を複製し、複製されたｔ₃ を第１のｎビット排
他的論理和手段の、複製されたｔ₄ を第２のｎビット乗
算手段の入力とし、前記第２のビット列複製手段は、前記入力ｙを複製し、複製されたｔ₅ を前記第１のｎビ
ット排他的論理和手段の、ｔ₆ を第４のビット列複製手
段の入力とし、前記第１のｎビット排他的論理和手段は、前記入力ｔ₃ と前記ｔ₅ の排他的論理和値ｔ₇ を計算
し、第５のビット列複製手段の入力とし、前記第５のビット列複製手段は、前記入力ｔ₇ を複製し、複製されたｔ₈ とｔ₉ を第３の
ｎビット乗算手段の入力とし、前記第３のｎビット乗算手段は、前記入力ｔ₈ と前記入力ｔ₉ の積ｔ₁₀を計算し、第４の
ｎビット乗算手段の入力とし、前記第４のｎビット乗算手段は、入力αと前記入力ｔ₁₀の積ｔ₁₁を計算し、第２のｎビッ
ト排他的論理和手段の入力とし、前記第４のビット列複製手段は、前記入力ｔ₆ を複製し、複製されたｔ₁₂を前記第１のｎ
ビット乗算手段の、複製されたｔ₁₃を第５のｎビット乗
算手段の入力とし、前記第１のｎビット乗算手段は、前記入力ｔ₁ と前記入力ｔ₁₂の積ｔ₁₄を計算し、前記第
２のｎビット排他的論理和手段の入力とし、前記第２のｎビット排他的論理和手段は、前記入力ｔ₁₁とｔ₁₄の排他的論理和値ｔ₁₅を計算し、ｎ
ビット逆元計算手段の入力とし、前記ｎビット逆元計算手段は、前記入力ｔ₁₅の逆元ｔ₁₆を計算し、第６のビット列複製
手段の入力とし、前記第６のビット列複製手段は、前記入力ｔ₁₆を複製し、複製されたｔ₁₇を前記第２のビ
ット乗算手段の、前記入力ｔ₁₅を第５のｎビット乗算手
段の入力とし、前記第２のｎビット乗算手段は、前記入力ｔ₂ と前記入力ｔ₁₇の積ｔ₁₉を計算し、前記ビ
ット列結合手段の入力とし、前記第５のｎビット乗算手段は、前記入力ｔ₁₃と前記入力ｔ₁₈の積ｔ₂₀を計算し、前記ビ
ット列結合手段の入力とし、前記ビット列結合手段は、前記入力ｔ₁₉と前記入力ｔ₂₀を結合して前記入力ｍの逆
元とすることを特徴とする逆元演算装置。
【請求項２】前記第１、第２、第３、第４、第５のｎ
ビット乗算手段は、問い合わせ手段、加算手段、対数変
換テーブル及び冪乗変換テーブルを含み、【数１５】の２つの要素ｘ₁ とｘ₂ から前記対数変換テーブルを参
照して２つの対数ｅ₁ ＝log _g ｘ₁ ，ｅ₂ ＝log _g ｘ₂ を求め、前記加算手段を用いて、ｅ＝ｅ₁ ＋ｅ₂ mod （２ⁿ −１）でｅを計算し、前記問い合わせ手段は、ｇ^e を前記冪乗変換テーブルから読み出して、ｘ＝ｘ₁ ×ｘ₂ を計算する請求項１記載の逆元演算装置。
【請求項３】前記問い合わせ手段は、２つの入力ｘ₁ ，ｘ₂ を、前記対数変換テーブルの入力
とし、前記問い合わせ手段は、前記対数変換テーブルから、前記入力ｘ₁ ，ｘ₂ に基づ
いて２つの対数ｅ₁ ＝log _g ｘ₁ ，ｅ₂ ＝log _g ｘ₂ を求め、前記対数ｅ₁ ，ｅ₂ を前記加算手段の入力と
し、前記加算手段は、ｅ＝ｅ₁ ＋ｅ₂ mod （２ⁿ −１）を計算し、前記問い合わせ手段の入力とし、前記問い合わせ手段は、前記ｅの前記冪乗変換テーブルの入力とし、前記冪乗変換テーブルは、ｘ＝ｇ^e を前記問い合わせ手段の入力とし、前記問い合わせ手段は、ｘを出力する請求項２記載の逆元演算装置。
【請求項４】前記問い合わせ手段により前記対数変換
テーブルを用いて求められた対数ｅ＝ log_g ｘより、ｆ＝−ｅ mod（２ⁿ −１）を計算する補数手段を更に有し、前記問い合わせ手段は、前記補数手段により入力されたｆを前記冪乗変換テーブ
ルの入力とし、前記冪乗変換テーブルからｘ’＝ｇ^f を取得して、ｘ’
を出力する請求項２記載の逆元演算装置。
【請求項５】前記入力ｘ₁ ，ｘ₂ についての乗算を行
い、ｘを出力する乗算テーブルを更に有し、前記問い合わせ手段は、前記２つの入力ｘ₁ ，ｘ₂ を前記乗算テーブルの入力と
し、ｘ＝ｘ₁ ×ｘ₂ を取得して、出力する請求項３記載の逆元演算装置。
【請求項６】前記ｎビット乗算手段において、一方の被乗数（ｘ₁ ＝ａ）が固定の場合、前記問い合わせ手段は、入力ｘを乗算テーブルの入力と
し、前記乗算テーブルを用いて、乗算結果ｘ’＝ａ×ｘを前
記乗算テーブルから読み出し、ｘ’を出力する請求項２
記載の逆元演算装置。
【請求項７】前記第１のｎビット乗算手段及び、前記
第２のｎビット乗算手段は、前記第１のｎビット乗算手段及び、前記第２のｎビット
乗算手段の被乗数（ｔ₁ ，ｔ₄ ）が同じ値（ｘ）の場
合、該第１のｎビット乗算手段及び該第２のｎビット乗
算手段で前記対数変換テーブルから読み出した値を保持
する請求項１記載の逆元演算装置。