JP3604126B2 - 循環窓加算装置、その方法及びそのプログラム記録媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
この発明は、例えば情報セキュリティ技術で用いられる楕円暗号に適用され、Ｚ加群Ｍ上の元Ｐをスカラーｋ（∈Ｚ）倍する循環窓加算装置、その方法及びそのプログラム記録媒体に関する。
【０００２】
【従来の技術】
近年、インターネットなどの発達により様々な情報を公衆回線を用い、やり取りすることが増えた。公衆回線は誰でも利用できることから中継情報の盗聴・改竄（かいざん）などを容易に行なうことができる。盗聴のような悪意ある行動に対抗するためには情報セキュリティ（安全性）技術が有効である。
従来、情報セキュリティ技術の実現に冪乗剰余演算がよく用いられてきたが、近年、鍵と呼ばれる秘密に保持すべき情報を少なくできることや、高速性などから有限体上の楕円曲線のなす群を用いた方式、すなわち楕円暗号が注目されている。
【０００３】
暗号に用いる楕円曲線は定義体と呼ばれる有限体ＧＦ（ｑ）上で定義される楕円曲線Ｅ／ＧＦ（ｑ）の、ＧＦ（ｑ^ｍ ）有理点からなる群Ｅ（ＧＦ（ｑ^ｍ ））を用いることが殆んどである。
楕円暗号の殆んどは、群Ｅ（ＧＦ（ｑ^ｍ ））をＺ加群とみなし、このＺ加群上のスカラー倍演算、つまり楕円曲線上の点Ｐ∈Ｅ（ＧＦ（ｑ^ｍ ））とスカラーｋ∈Ｚに対してｋＰを求めること、を多用することにより実現している。そのため、スカラー倍演算を高速に実現する研究が数多く行なわれてきた。
【０００４】
ソフトウェアでスカラー倍を高速に実現する方法として文献「Ｎｅａｌ Ｋｏｂｌｉｔｚ：“ＣＭ−ＣＵＲＶＥＳ ＷＩＴＨ ＧＯＯＤ ＣＲＹＰＴＯＧＲＡＰＨＩＣ ＰＲＯＰＥＲＴＩＥＳ，”Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＣＲＹＰＴＯ’９１，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ５７６，ｐｐ．２７９−２８７，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９２」（以下「文献Ｃ」と略す）で提案されたφ進展開法が有力である。φ進展開法は、楕円曲線Ｅ／ＧＦ（ｑ）上のＦｒｏｂｅｎｉｕｓ写像と呼ばれる自己準同型写像
φ：Ｅ（ＧＦ（ｑ^ｍ ））→Ｅ（ＧＦ（ｑ^ｍ ））
∀Ｐ，Ｑ∈Ｅ（ＧＦ（ｑ^ｍ ））［φ（Ｐ＋Ｑ）＝φ（Ｐ）＋φ（Ｑ）］
（なお∀ｘ Ｆ（ｘ）はすべてのｘに対してＦ（ｘ）を意味する）
を利用する。楕円２倍算より高速な楕円φ倍算を、２倍算の代わりに使うことによりスカラー倍を高速化する。
【０００５】
文献Ｃの方法では利用できる定義体としてＧＦ（２）が用いられたが、文献「Ｖｏｌｋｅｒ Ｍｕｅｌｌｅｒ：“Ｆａｓｔ Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｏｎ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ ｏｖｅｒ Ｓｍａｌｌ Ｆｉｅｌｄｓ ｏｆ Ｃｈａｒａｃｔｅｒｉｓｔｉｃ Ｔｗｏ，”ｐｐ．２１９−２３４， Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｏｙ，ｎｏ．４，ｖｏｌ．１１， Ｓｐｒｉｎｇｅｒ，１９９８」で、ｑ＝２^ｅ （ｅは小）に拡張され、さらに文献「Ｔｅｔｓｕｔａｒｏｕ Ｋｏｂａｙａｓｈｉ， ｅｔ ａｌ．：“Ｆａｓｔ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ａｌｇｏｒｉｔｈｍ Ｃｏｍｂｉｎｉｎｇ Ｆｒｏｂｅｎｉｕｓ Ｍａｐ ａｎｄ Ｔａｂｌｅ Ｒｅｆｅｒｅｎｃｅ ｔｏ Ａｄａｐｔ ｔｏ Ｈｉｇｈｅｒ Ｃｈａｒａｃｔｅｒｉｓｔｉｃ，”Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ−ＥＵＲＯＣＲＹＰＴ ’９９，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １５９２，ｐｐ．１７６−１８９，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９９」（以下「文献Ｅ」と略す）で、ｑが一般の場合に拡張された。
【０００６】
上記φ進展開法の概要は以下の通りである。
Ｓｔｅｐ１：ｋをφ進展開する。つまり、
ｋ＝Σ_ｉ＝０ ^ｍ’−１Σ_ｊ＝０ ^ｎ’−１ｃ_ｉ，ｊ ２^ｊ φ^ｉ （ｃ_ｉ，ｊ ∈｛−１，０，１｝） （１）
を満たす｛ｃ_ｉ，ｊ ｝を求める。
Ｓｔｅｐ２：式（１）を利用し

を求める。
【０００７】
式（１）は、「ｋ倍演算」という意味でのＥ（ＧＦ（ｑ^ｍ ））上の自己準同型写像としての等号である。また、ｍ′≧２、ｎ′≧１である。この発明ではφ進展開しか扱わないので、φ進展開となっていないｍ′＝１の場合は扱わない。
Ｓｔｅｐ２の具体的な計算については、｛ｃ_ｉ，ｊ ｝の構造により様々な最適化手法がある。文献Ｅの方法は次の通りである。式（２）は有限和であることからΣの順序を換えても結果は変わらない。従って、
ｋＰ＝Σ_ｊ＝０ ^ｎ’−１２^ｊ Σ_ｉ＝０ ^ｍ’−１ｃ_ｉ，ｊ φ^ｉ （Ｐ）
となる。この式から、以下の処理が導かれる。
【０００８】
Ｓｔｅｐ１：Ｒ←Ο，ｊ←ｎ′−１に初期化。
Ｓｔｅｐ２：ｉ＝０，１，…，ｍ′−１に対して、
Ｒ←Ｒ＋φ^ｉ （Ｐ）ｃ_ｉ，ｊ ＝１の場合
Ｒ←Ｒ−φ^ｉ （Ｐ）ｃ_ｉ，ｊ ＝−１の場合
何もしない ｃ_ｉ，ｊ ＝０の場合
とする。
【０００９】
Ｓｔｅｐ３：ｊ＝０ならＲ（＝ｋＰ）を出力して終了。ｊ＞０なら
Ｒ←２Ｒ， ｊ←ｊ−１
とし、Ｓｔｅｐ２に戻る。
ここでΟはＥ（ＧＦ（ｑ^ｍ ））の単位元を表す。
この文献Ｅの方法は、式（１）で、一様にランダムなｋに対しｃ_ｉ，ｊ ≠０となるｃ_ｉ，ｊ を平均的には全体の約１／３にできることがわかっているのでこの場合の平均計算量は以下の通りである。
【００１０】
楕円加減算 ｍ′ｎ′／３回
楕円２倍算 ｎ′−１回
なお、φ^ｉ 倍は高速に計算可能であるから上記計算量に含めていない。
【００１１】
【発明が解決しようとする課題】
文献Ｅの方法のＳｔｅｐ２では、異なるｊに対して、全く同じ加算、例えば、
Ｒ←Ｒ＋（φ^１ （Ｐ）＋φ^２ （Ｐ））
を複数回行なうことがある。冗長な同じ加算を行なわないようにするためには、上記例の場合一旦φ^１ （Ｐ）＋φ^２ （Ｐ）を計算し記録しておき、φ^１ （Ｐ）＋φ^２ （Ｐ）が必要になったときにこの記録された値を読みだしてＲに加算することにより冗長な加算を行なわないようにすることができる。
【００１２】
一般的に冗長な加算を行なわないためにはＳｔｅｐ２より前に、あり得る全ての
【００１３】
【数１】

【００１４】
を計算しておくことが考えられるが、この計算自体に時間がかかってしまい、結果として全体の計算が遅くなってしまう。
この発明の目的は、φ進展開法を用いてＰをｋ倍演算する際に冗長な加算を効率的に減らすことができる循環窓加算装置、その方法及びそのプログラム記録媒体を提供することにある。
【００１５】
【課題を解決するための手段】
【００１６】
【数２】

【００１７】
【発明の実施の形態】
以下ではこの発明の実施例を示す。
第１の実施例［一般］
図１にこの発明による循環窓加算装置であるスカラー倍装置１０の実施例を示す。この装置１０は、φ倍及びｄ倍演算を有するＺ加群Ｍ上の元Ｐとスカラーｋ∈Ｚを入力し、スカラー倍ｋＰを出力する。二つの値例えばＰとＱが入力されてＰ＋Ｑ又はＰ−Ｑを出力する加減算部１１、Ｐが入力されてそのｄ倍値ｄＰを出力するｄ倍演算部１２、ｉとＰが入力されてφ^ｉ（Ｐ）を出力するφ^ｉ倍演算部１３、記憶部１４、ｋが入力されて｛ｃ_ｉ，ｊ ｝を出力するφ進展開部１５が制御部１６に接続され、制御部１６はこの装置１０に入力されたｋ，Ｐを記憶部１４に格納し、記憶部１４から所要のデータを取出して、各部へ入力させて、所望の処理を行わせ、その結果（出力）を記憶部に格納して、各部を制御してｋＰ値を得て出力する。
【００１８】
図１中の各部はＭに合わせて設定されているものとする。このスカラー倍装置１０を機能的に表わすと図２に示すようになる。つまりｄ倍演算部１２、記憶部１４、φ進展開部１５、制御部１６を同様に備えるが、Ｑ_ｂ演算部２１、探索部２２、ｃ_ｉ，ｊ更新部２３、Ｒ更新部２４が設けられる。
この発明では、Ｑ_ｂをＱ_ｂ演算部２１で演算し、このＱ_ｂを利用して、演算を簡単にしている。従って、まずＱ_ｂはどのようなものであるかを以下に示す。
【００１９】
Ｌｏｇ_３０＝−１とし、以下のベクトルを定義する。
Φ_ｂ ＝｛φ^ｈ ｝_ｈ＝０ ^Ｂ＋１＝（φ^０ ，φ^１ ，…，φ^Ｂ＋１ ）
ｖ_ｂ ＝｛ｖ_ｂ，ｈ ｝_ｈ＝０ ^Ｂ＋１＝（ｖ_ｂ，０ ，ｖ_ｂ，１ ，…，ｖ_{ｂ，Ｂ＋１} ）
但し、Ｂ＝［ｌｏｇ_３ ｂ］、つまりＢはｌｏｇ_３ ｂの小数以下を切捨てたものである。
ｈ＝０の場合 ｖ_ｂ，ｈ ＝１
ｈ≠０の場合 ｖ_ｂ，ｈ ＝［ｂ／（３^ｈ−１ ）］ｍｏｄ３
とする。ここで剰余ｍｏｄは０，１，−１を取るものとする。つまり２の代りに−１とおいた。
【００２０】
また、ｖ_ｂとΦ_ｂ の形式的内積ｖ_ｂ・Φ_ｂ を以下の通り定義する。
ｖ_ｂ・Φ_ｂ ＝Σ_ｈ＝０ ^Ｂ＋１ｖ_ｂ，ｈ φ^ｈ
さらに、
Ｑ_ｂ ＝（ｖ_ｂ・Φ_ｂ ）（Ｐ）
ｗ_Ｈ （ｖ_ｂ ）＝Σ_ｈ＝０ ^Ｂ＋１｜ｖ_ｂ，ｈ ｜
とおく。
【００２１】
図１及び図２に示したスカラー倍装置は、以下の通り動作する。また、この動作の流れを図３に示す。
Ｓｔｅｐ１：Ｚ加群Ｍ上の元Ｐとスカラーｋが入力されると記憶部１４に格納する。
Ｓｔｅｐ２：φ進展開部１５はｋを入力し
ｋ＝Σ_ｉ＝０ ^ｍ’−１Σ_ｊ＝０ ^ｎ’−１ｃ_ｉ，ｊ ｄ^ｊ φ^ｉ （ｃ_ｉ，ｊ ∈｛−１，０，１｝）
を満たす｛ｃ_ｉ，ｊ ｝を求めて出力し、｛ｃ_ｉ，ｊ ｝は記憶部１４に格納される。
【００２２】
Ｓｔｅｐ３：いくつかのｂに対して、加減算部１１、φ^ｉ 倍演算部１３を用いてＱ_ｂ 演算部２１でそれぞれのＱ_ｂ を計算し、これらＱ_ｂ とその計算に用いたｖ_ｂ を記憶部１４に記憶する。但し、Ｑ_０ は必ず準備する。このＱ_０ はＱ_ｂ の定義からＰに等しい。
Ｓｔｅｐ４：Ｒ←Ο，ｊ←ｎ′−１に初期化し、記憶部１４に記憶する。
Ｓｔｅｐ５：｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１（＝（ｃ_０，ｊ ，ｃ_１，ｊ，…，ｃ_{ｍ’−１，ｊ}））に±１が含まれている間、以下を繰り返す。
【００２３】
Ｓｔｅｐ５−１：まず｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１に±１が含まれているかを調べ、含まれていればＳｔｅｐ５−２に移り、含まれていなければＳｔｅｐ６に移る。
Ｓｔｅｐ５−２：記憶部１４に記憶されているＱ_ｂ に対しｗ_Ｈ （ｖ_ｂ ）の大きな順に、各ｖ_ｂ についてｖ_ｂ，ｈ ≠０の全てのｈ（０≦ｈ≦Ｂ＋１）に対して、
ｃ_{ｉ＋ｈ，ｊ}＝（−１）^ｅ ｖ_ｂ，ｈ
となるｂ，ｅ，ｉを探す。ｅは０又は１である。
【００２４】
つまり、まずｊ＝ｎ′−１であるから、係数ｃ_ｉ，ｊは図４に示すように、ｍ′×ｎ′個あり、そのｊ＝ｎ′−１のベクトル｛ｃ_{ｉ，ｎ’−１} ｝_ｉ＝０ ^ｍ’−１＝（ｃ_{０， ｎ’ −１}，ｃ_{１，ｎ’−１} ，ｃ_{２，ｎ’−１} ，…，ｃ_{ｍ’−１， ｎ’−１} ）を記憶部１４から取出し、また、ｗ_Ｈ（ｖ_ｂ）の大きい順、つまり１と−１の数が多い順にｖ_ｂを取出し、ｖ_ｂ，０，ｖ_ｂ，１，ｖ_ｂ，２，…，ｖ_{ｂ，Ｂ−１}その１又は−１、つまり０以外のもの（ｅ＝０）又はその符号を反転したもの（ｅ＝１）についてその配列位置を保持した状態で、｛ｃ_{ｉ，ｎ’−１} ｝_ｉ＝０ ^ｍ’−１の配列中に同一のものが存在するかを、ｉ＝０から始まる配列から、順次ｉを＋１した配列と比較して探し、存在すればその時のｉの値と、ｅの値と、ｖ_ｂのｂを出力する。例えばｃ_{ｉ，ｎ’−１} が図５Ａに示す列であり、ｖ_ｂが図５Ｂに示すようにｖ_１２＝（１，０，０，−１）である場合に、このｖ_１２の始めをｃ_{ｉ，ｎ’−１} のｉ＝０に合せて（図５Ｂ）、ｖ_ｂ，ｈ≠０が全て一致しているかを調べ、一致していないので図５Ｃに示すようにｃ_{ｉ，ｎ’−１} のｉ＝１にｖ_ｂの始めを合せて比較し、一致していないので図５Ｄに示すようにｃ_{ｉ，ｎ’−１} のｉ＝２にｖ_ｂの始めを合わせてる。この時ｖ_ｂ中のｖ_ｂ，０＝１とｖ_ｂ，３＝−１とが｛ｃ_{ｉ，ｎ’−１} ｝中のｃ_{２，ｎ’−１} ＝１、ｃ_{５，ｎ’−１} ＝−１とそれぞれ一致する。これによりそのｂとｅ＝０とｉ＝２で一致が見い出されたことになる。
【００２５】
このように一致するか否かをｉの値を順次ずらして行う。一致するものが存在しなければ、Ｓｔｅｐ５−２に戻り、次にｗ_Ｈ（ｖ_ｂ）の大きいｖ_ｂについて同様に、一致するものを探す。このｂ，ｅ，ｉの探索は図２中の探索部２２で行う。なおｖ_ｂの取出しは、ｗ_Ｈ（ｖ_ｂ）の大きい順から行わなくてもよいが、ｗ_Ｈ（ｖ_ｂ）の大きな順から行った方が効率がよいことが多い。
Ｓｔｅｐ５−３：Ｓｔｅｐ５−２でｂ，ｅ，ｉが見つかった場合、
・ｃ_{ｉ＋ｈ，ｊ}←ｃ_{ｉ＋ｈ，ｊ}−（−１）^ｅ ｖ_ｂ，ｈ ０≦ｈ≦［ｌｏｇ_３ ｂ］＋１となる全てのｈ
例えば、図５Ｂに示すようなｖ_ｂ＝（１，０，０，−１）について、図５Ａに示すようなあるｊに対する｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１のｉ＝２、ｅ＝０でｖ_ｂのｖ_ｂ，ｈ≠０の要素が一致した場合に、その｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１から一致した部分のｖ_ｂ，ｈ≠０を引いて０として図５Ｅに示すように｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ−１を更新する。この更新は図２中のｃ_ｉ，ｊ更新部２３で行う。
・Ｒ←Ｒ＋（−１）^ｅ φ^ｉ （Ｑ_ｂ ）
をφ^ｉ 倍演算部１３、加減算部１１を用いて、つまり図２中のＲ更新部２４で計算して記憶部１４中のＲを更新する。図５に示した例ではｉ＝２でｖ_ｂ と一致が得られたのであるからＱ_ｂ にφ^２をほどこしたものを記憶部１４中のＲに加算すればよい。Ｓｔｅｐ５−３が終了すると、Ｓｔｅｐ５−１に戻り同様のことを行う。取出したｊ＝ｎ′−１の係数列｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１に±１がなくなれば、その列に対するΣ_ｉ＝０ ^ｍ’−１ｃ_ｉ，ｊ φ^ｉ （Ｐ）の計算がなされたことになる。
【００２６】
Ｓｔｅｐ６−１：ｊ＝０であるかを調べ、
Ｓｔｅｐ６−２：ｊ＝０ならＲ（＝ｋＰ）を出力して終了。
Ｓｔｅｐ６−３：ｊ＞０ならｄ倍演算部１２を用いてＲをｄ倍してＲ←ｄＲと更新し、またｊも−１して、つまりｊ←ｊ−１と更新してＳｔｅｐ５に戻る。即ちｊ＝ｎ′−２について、Ｓｔｅｐ５の処理を行い、これが終了した時は（Σ_ｉ＝０ ^ｍ’−１ｃ_{ｉ， ｎ’−１} ｄ^ｎ’−１φ^ｉ （Ｐ））＋（Σ_ｉ＝０ ^ｍ’−１ｃ_{ｉ，ｎ’−２}ｄ^ｎ’−２φ^ｉ（Ｐ））が求まり、以下同様のことを繰り返してｋＰ＝Σ_ｊ＝０ ^ｎ’−１ Σ_ｉ＝０ ^ｍ’−１ｃ_ｉ，ｊｄ^ｉφ^ｉ（Ｐ）が求まる。
【００２７】
以上のようにして予め求めたＱ_ｂ を何回も利用すればする程、文献Ｅの方法よりも計算量が少なくて済む。
上記Ｓｔｅｐ５−２について、ｂ，ｅ，ｉはこのＳｔｅｐに書いてある条件の範囲内でどのように探してもよいが、より具体的には例えば以下のように探すこともできる（図６参照）。
記憶部１４に記憶されているＱ_ｂ のｖ_ｂ について、ｗ_Ｈ （ｖ_ｂ ）の大きな順に並べた集合を｛ｂ_１ ，ｂ_２ ，…，ｂ_ｓ ｝とする。
【００２８】
Ｓ−１．ｒ←０に初期化する。
Ｓ−２．ｉ←０に初期化する。
Ｓ−３．ｅ←０に初期化する。
Ｓ−４．ｖｂ_ｒ，ｈ≠０となる全てのｈ（０≦ｈ≦［ｌｏｇ_３ ｂ_ｒ ］＋１）に対し、ｃ_{ｉ＋ｈ，ｊ}
＝（−１）^ｅ ｖ_ｂｒ，ｈとなればその時のｂ＝ｂ_ｒ ，ｉ，ｅを出力して終了。
【００２９】
Ｓ−５．Ｓ−４で一致が得られなければｅ←ｅ＋１とし、ｅ＜２であれば、Ｓ−４に戻る。
Ｓ−６．Ｓ−５でｅ＜２でなければｉ←ｉ＋１とし、ｉ＜ｍ′であれば、Ｓ−３に戻る。
Ｓ−７．Ｓ−６でｉ＜ｍ′でなければｒ←ｒ＋１とし、ｒ≦ｓであれば、Ｓ−２に戻る。
第２の実施例［ ｗｉｎｄｏｗ ｓｉｚｅ 小］
第１の実施例のＳｔｅｐ３のいくつかのｂとして、小さい順に選ぶ。
【００３０】
この実施例は、ｍ′が有限であり、かつ非ゼロのｃ_ｉ，ｊ が少ない場合に、ｂが大きいものはＳｔｅｐ５−２でマッチする確率が低いので、ｂとして小さい順、例えば１，２，３，…に選ぶことが有効である。
さらに、それぞれのｂに対するＱ_ｂ を計算する際に、既に計算したＱ_ｂ’に対し
∃ｂ’＜ｂ［ｗ_Ｈ （ｖ_ｂ’−ｖ_ｂ ）＝１］
であるので、つまりｖ_ｂ’とｖ_ｂ との差のハミング重みが１となるものが必ず存在するので、Ｑ_ｂ’に（−１）^ｅφ^ｉ（Ｐ）を加算することによりＱ_ｂ を計算できる。よってＱ_ｂの計算量を削減できる。
【００３１】
このＱ_ｂの計算手順は例えば図７に示すように、まずｂを小さい順に並べ（Ｓ１）、次にその並べた順に小さい方から１つｂを選択し（Ｓ２）、その選択したｂのｖ_ｂと、既に計算したＱ_ｂ’のｖ_ｂ’とのベクトル差のハミング重みが１となるかを確め（Ｓ３）、前記ハミング重みが１となれば、そのｖ_ｂ’について既に計算したＱ_ｂ’に（−１）^ｅφ^ｉ（Ｐ）を加算してＱ_ｂを求める（Ｓ４）。Ｑ_ｂの計算後、全てのｂを選択したかを調べ、また選択していないｂがあればステップＳ２に戻り、全て選択し、全てのＱ_ｂを求めたならば終了する（Ｓ５）。
【００３２】
なお一般にＱ_ｂを求める際に、既に求まっているＱ_ｂ’に対し（−１）^ｅφ^ｉ（Ｐ）を加算することにより計算量を削減できる。例えば図７中のステップＳ３で∃Ｑ_ｂ’，ｅ，ｉ［Ｑ_ｂ＝Ｑ_ｂ’＋（−１）^ｅφ^ｉ（Ｐ）］（ｂ′＜ｂ）となるＱ_ｂ’があるかを調べ、Ｑ_ｂ’があればＱ_ｂ＝Ｑ_ｂ’＋（−１）^ｅφ^ｉ（Ｐ）によりＱ_ｂ を求める。例えばＱ_１ ＝Ｐ＋φＰであり、Ｑ_７ ＝Ｐ＋φＰ−φ^２ Ｐであるが、Ｑ_７ の計算をＱ_７ ＝Ｑ_１＋（−１）^１φ^２ Ｐの計算により求める。
第３の実施例［ｗ _Ｈ （ｂ） ＋ ｗｉｎｄｏｗ ｓｉｚｅ 小］
第１の実施例のＳｔｅｐ３のいくつかのｂとして、ｗ_Ｈ（ｖ_ｂ）＋ｌｏｇ_２（ｂ）の小さい順に選ぶ。この場合ｌｏｇの値として２に限らず、３、５などでもよく、要はｖ_ｂのハミング重みと、ｖ_ｂの要素数とを重み付けて加算し、その小さい順にｂを選べばよい。つまりｖ_ｂの要素数［ｌｏｇ_３ ｂ］＋１が大でもその要素ｖ_ｂ，ｈ中に０のものを多く含む場合はＱ_ｂを求めておき、これを利用してもｋＰの計算の量の削減に大きく寄与しない。その点でｗ_Ｈ（ｖ_ｂ）が大きくかつｌｏｇ_２（ｂ）が小さい方がよい。この場合はｗ_Ｈ（ｖ_ｂ）＋ｌｏｇ_２（ｂ）の小さい順に並べ図７に示したと同様の手順でＱ_ｂを求めることができる。
第４の実施例［φ ^ｍ ＝１（楕円曲線）］
計算対象のＺ加群ＭとＰ（∈Ｍ）によっては、φ^ｍ（Ｐ）＝Ｐを満たす場合がある。この場合は、ｍ′＝ｍととることができる。一般にはｂ≠ｂ′に対して、
∀ｉ≠０［Ｑ_ｂ≠φ^ｉ（Ｑ_ｂ’）］
である。つまり全てのｉ≠０に対し、Ｑ_ｂ＝φ^ｉ（Ｑ_ｂ’）となるものはない。しかしφ^ｍ（Ｐ）＝Ｐのときは、
∃ｉ≠０［Ｑ_ｂ＝φ^ｉ（Ｑ_ｂ’）］
となることがある。即ちＱ_ｂ＝φ^ｉ（Ｑ_ｂ’）となるｉが存在する。
【００３３】
従って、第１の実施例のＳｔｅｐ３で、Ｑ_ｂを求める際に、
Ｑ_ｂ＝φ^ｉ（Ｑ_ｂ’）
なる、Ｑ_ｂおよびＱ_ｂ’については、そのいずれか一方を計算すれば十分であるので、片方だけ計算する。但し、Ｓｔｅｐ５で用いられるｃ_ｉ，ｊの最初の添字ｉはｍｏｄ ｍ′で考える。
所でＱ_ｂ，Ｑ_ｂ’の一方の計算で済ませるためには、各ｖ_ｂについて次のような計算をする。ｖ_ｂ＝（ｖ_０，ｖ_１，…，ｖ_Ｂ＋１）に対し、φ（ｖ_ｂ）は（ｖ_Ｂ＋１，ｖ_０，ｖ_１，…，ｖ_Ｂ）＝ｖ_ｂ’となる。従ってｖ_ｂ’＝φ^ｉ（ｖ_ｂ）なる関係があるｖ_ｂとｖ_ｂ’を予め調べ、この関係があるものについてはＱ_ｂ又はＱ_ｂ’を計算すればよい。このような関係ｖ_ｂ’＝φ^ｉ（ｖ_ｂ）＝φ^ｉ’（ｖ_ｂ’’）になるように、２つ以上のｖ_ｂ が、φ^ｉ倍の関係にある場合があり、これらの関係のある複数のｖ_ｂ中の１つのｂについてＱ_ｂ を求めればよい。なおＱ_ｂを計算と比較して、前記ｖ_ｂ’＝φ^ｉ（ｖ_ｂ）の関係があるか否かを調べる計算は頗る簡単で、高速に行うことができる。
第５の実施例［ ｎｏｎ−ｓｉｇｎｅｄ （楕円曲線）］
第１の実施例ではｃ_ｉ，ｊの符号に制限を設けなかったが、Ｚ加群によっては、Ｓｔｅｐ２で、それぞれのｊに対し、
∀ｉ［ｃ_ｉ，ｊ ≧０］
つまり１つのｊについてみるとｃ_ｉ，ｊは１又は０，または
∀ｉ［ｃ_ｉ，ｊ ≦０］
つまりそのｉについてはｃ_ｉ，ｊは−１又は０と取れることが全てのｊについて云える。即ち各ｊについてみるとｃ_ｉ，ｊは同一符号に取れる。この場合は、Ｓｔｅｐ３のＱ_ｂ（＝ｖ_ｂ・Φ_ｂ）として
∀ｈ［ｖ_ｂ，ｈ≧０］
つまりｖ_ｂ，ｈが１又は０からのみなるものを選べば十分である。
【００３４】
即ちｖ_ｂ，ｈ＝−１を含むｖ_ｂは用いない。
このようにすることによりｃ_ｉ，ｊが−１，０，１の何れをも取れる場合と比較して計算量を著しく少くすることができる。
第６の実施例［ｍが小］
第４及び第５の実施例が共に適用できるような場合、つまりφ^ｍ（Ｐ）＝Ｐ、かつそれぞれのｊについてみるとｃ_ｉ，ｊは同一符号である場合で、更に
ｗ_Ｈ（｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ−１）＝ｗ_Ｈ（（ｃ_０，ｊ，ｃ_１，ｊ，…，ｃ_{ｍ−１，ｊ}））≦ｍ／２
と｛ｃ_ｉ，ｊ ｝が取れて、つまり各ｊに対し｛ｃ_ｉ，ｊ ｝中の０の数が半分より多く、かつｍが、例えば３２以下、ｄ＝１の場合はｍが２５６以下のように小さい場合は、第１の実施例のＳｔｅｐ３で、以下のようにあり得る全てのＱ_ｂを計算しておくと有利である。例えば、楕円曲線上の多くの点Ｐでは、
（１＋φ＋…＋φ^ｍ−１ ）（Ｐ）＝０
を満たすので、ｗ_Ｈ（｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ−１）＝ｗ_Ｈ（（ｃ_０，ｊ，ｃ_１，ｊ，…，ｃ_{ｍ−１，ｊ}））≦ｍ／２とでき、この発明の有効性が増す。
【００３５】
ｍ＝２，３の場合
Ｑ_０＝Ｐ
ｍ＝４，５の場合
Ｑ_０ ＝Ｐ
Ｑ_１ ＝（１＋φ）（Ｐ）
Ｑ_３ ＝（１＋φ^２ ）（Ｐ）
ｍ＝６，７の場合
Ｑ_０ ＝Ｐ
Ｑ_１ ＝（１＋φ）Ｐ
Ｑ_３ ＝（１＋φ^２ ）（Ｐ）
Ｑ_４ ＝（１＋φ＋φ^２ ）（Ｐ）
Ｑ_９ ＝（１＋φ^３ ）（Ｐ）
Ｑ_１０＝（１＋φ＋φ^３ ）（Ｐ）
Ｑ_２８＝（１＋φ＋φ^４ ）（Ｐ）
Ｑ_３０＝（１＋φ^２ ＋φ^４ ）（Ｐ）
以上の各Ｑの１つ乃至複数をφ倍したものでもよい。
第７の実施例［適応的］
第１の実施例のＳｔｅｐ３で、どのｂに対応するＱ_ｂを計算するかについて、Ｓｔｅｐ２によって定められたｃ_ｉ，ｊを調べＳｔｅｐ５で２回以上利用されるＱ_ｂについて計算する。
第８の実施例［Ｐ固定］
第１の実施例で、予め入力されるＰが既知の場合、Ｓｔｅｐ３を実行せず、予め記憶装置が許す限りのＱ_ｂ について事前に計算しておく。
【００３６】
以上の実施例は部分体ＧＦ（ｑ）上定義される楕円曲線のＧＦ（ｑ^ｍ ）有理点のなす群Ｅ（ＧＦ（ｑ^ｍ ））／ＧＦ（ｑ）について、ｍ′＝ｍ，ｎ′＝［ｌｏｇ_２ ｑ］＋１，ｄ＝２とでき、非常に効果を発揮する。この［ｌｏｇ_２ ｑ］はｌｏｇ_２ ｑの小数を切上げた整数である。
上述したこの発明のスカラー倍装置はコンピュータにより機能させることもできる。その場合は例えば図８に示すように、Ｐ，ｋなどが入力され、ｋＰが出力される入出力部３１、楕円パラメータｍ，ｑ，ｄとｂの集合などが記憶された記憶部３２、φ進展開展プログラムが格納されたメモリ３３、Ｑ_ｂを演算するプログラムが格納されたメモリ３４、φ^ｉ倍演算を行うプログラムが格納されたメモリ３５、ｄ倍演算を行うプログラムが格納されたメモリ３６、加減算を行うプログラムが格納されたメモリ３７、これらプログラムを用いてｋＰ演算を行うプログラムが格納されたメモリ３８、プロセッサ３９がバス４１に接続され、プロセッサ３９により、これらのプログラムを実行してスカラー倍演算を行う。なおこの発明は楕円曲線上の演算に限らず、一般にＺ加群Ｍ上の元Ｐをスカラーｋ（∈Ｚ）倍する方法に適用できる。
【００３７】
【発明の効果】
この発明により、楕円曲線Ｅ（ＧＦ（ｐ^ｍ ））／ＧＦ（ｐ）上の点のスカラー倍の計算は、例えば第６の実施例のｍ＝７，ｐ＝２^２９−３の場合、文献Ｅの方法に比べて下記に示すように、楕円加減算を約半分に削減できる。

例えば、楕円加減算と楕円２倍算の速度が等しい場合には、全体として約１．７倍の高速化が計られたことになる。
【００３８】
なお、この様な楕円曲線は実際に楕円曲線暗号として使われている。
【図面の簡単な説明】
【図１】この発明装置の実施例を示すブロック図。
【図２】この発明装置を機能的に示すブロック図。
【図３】この発明装置の動作手順の例を示す流れ図。
【図４】φ進展開係数の例を示す図。
【図５】係数ｃ_ｉ，ｊの更新を説明するための図。
【図６】ｖ_ｂ中のｖ_ｂ，ｈ≠０の全てがｃ_ｉ，ｊの列の一部と一致している部分を探す手順の例を示す流れ図。
【図７】第２の実施例を説明するための流れ図。
【図８】この発明装置をコンピュータにより構成する場合の例を示す図。

Claims (15)

1. 整数ｄと非負整数ｂの集合が格納された記憶部と、
   ｋが入力されて、
   ｋ＝Σ_ｉ＝０ ^ｎ’−１Σ_ｊ＝０ ^ｍ’−１ｃ_ｉ，ｊ ｄ^ｊ φ^ｉ
   ただしｃ_ｉ，ｊ ∈｛−１，０，１｝、φはＺ加群Ｍ上の自己準同型写像
   を満す｛ｃ_ｉ，ｊ ｝を求めて出力するφ進展開部と、
   上記複数のｂとＰが入力され、複数のＱ_ｂ ＝（ｖ_ｂ ・Φ_ｂ ）（Ｐ）を演算して出力するＱ_ｂ 演算部と、
   ただしΦ_ｂ ＝｛φ^ｈ ｝_ｈ＝０ ^Ｂ＋１＝（φ^０ ，φ^１ ，…，φ^Ｂ＋１ ）
   Ｂ＝［ｌｏｇ_３ ｂ］（［ａ］はａの小数切捨を意味する）
   ｖ_ｂ ＝｛ｖ_ｂ，ｈ ｝_ｈ＝０ ^Ｂ＋１＝（ｖ_ｂ，０ ，ｖ_ｂ，１ ，…，ｖ_{ｂ，Ｂ＋１}）
   ｈ＝０でｖ_ｂ，ｈ ＝１、ｈ≠０で［ｂ／３^{（ｈ−１）} ］ｍｏｄ３
   ｌｏｇ_３ ０＝−１，ｍｏｄ３＝２の場合−１とし、
   ｖ_ｂ ・Φ_ｂ ＝Σ_ｈ＝０ ^Ｂ＋１ｖ_ｂ，ｈ φ^ｈ
   ｗ_Ｈ （ｖ_ｂ ）＝Σ_ｈ＝０ ^Ｂ＋１｜ｖ_ｂ，ｈ｜
   Ｒが入力され、Ｚ加群Ｍ上でＲをｄ倍して出力するｄ倍演算部と、
   ｉとＱ_ｂ が入力され、Ｚ加群Ｍ上で、φ^ｉＱ_ｂ を演算して出力するφ^ｉ 倍演算部と、
   二つの値が入力され、Ｚ加群Ｍ上でこれら入力値を加減算して出力する加減算部と、
   外部よりの入力Ｐ，ｋを記憶部に格納し、記憶部から所要のものを読み出して、各部へ入力し、各部の出力を記憶部に格納し、上記加減算部及び上記φ^ｉ 倍演算部を用いて上記Ｑ_ｂ を演算させ、｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１に±１が含まれている間、ｖ_ｂ，ｈ ≠０となる全てのｈ（０≦ｈ≦Ｂ＋１）に対し、ｃ_ｉ，ｊ ＝（−１）^ｅ ｖ_ｂ，ｈ となるｂ，ｅ，ｉを探し、ｃ_{ｉ＋ｈ，ｊ} −（−１）^ｅ ｖ_ｂ，ｈ によりｃ_{ｉ＋ｈ，ｊ} を更新し、φ^ｉ 倍演算部と加減算部を用いてＲ＋（−１）^ｅ φ^ｉ （Ｑ_ｂ ）を演算させてＲを更新することをｊ＝ｎ′−１，ｎ′−２，…，０について行わせ、そのｊの更新ごとにＲをｄ倍演算部でｄ倍してＲを更新し、ｊ＝０のＲをｋＰの演算結果として出力する制御部と
   を具備する循環窓加算装置。
2. φ^ｍ（Ｐ）＝Ｐの関係があり、
   上記Ｑ_ｂ 演算部は上記複数のｂ中でＱ_ｂ１＝φ^ｉ （Ｑ_ｂ２）となるものを予測計算する手段と、
   その予測計算されたものについてはＱ_ｂ１とＱ_ｂ２の一方のみを演算する手段とを備えることを特徴とする請求項１記載の循環窓加算装置。
3. 上記Ｑ_ｂ 演算部は、既に求まっているＱ_ｂ５とＰが入力されて
   Ｑ_ｂ６＝Ｑ_ｂ５＋（−１）^ｅ φ^ｉ （Ｐ）
   を演算する手段を含む（ｂ６＞ｂ５）ことを特徴とする請求項１又は２記載の循環窓加算装置。
4. 上記φ進展開部は、各ｊについてｃ_ｉ，ｊ が同一符号のものを求める手段であり、
   上記Ｑ_ｂ 演算部はｖ_ｂ，ｈ が１又は０であるｖ_ｂ に対しＱ_ｂ を演算する手段であることを特徴とする請求項１乃至３の何れかに記載の循環窓加算装置。
5. φ^ｍ （Ｐ）＝Ｐの関係があり、
   上記Ｑ_ｂ 演算部は、
   

   

   のφ^ｉ倍したもののいずれかを演算する手段であることを特徴とする請求項１記載の循環窓加算装置。
6. ｄ倍演算及びφ倍演算を有するＺ加群Ｍ上の元Ｐとスカラーｋ∈Ｚを入力してスカラー倍ｋＰを出力する方法において、
   Ｐとｋが入力されると記憶部に記憶する過程と、
   記憶部からｋを取出して、
   ｋ＝Σ_ｉ＝０ ^ｎ’−１Σ_ｊ＝０ ^ｍ’−１ｃ_ｉ，ｊ ｄ^ｊ φ^ｉ
   ただしｃ_ｉ，ｊ ∈｛−１，０，１｝、Ｚ加群Ｍ上の自己準同型写像
   を満す｛ｃ_ｉ，ｊ ｝を求めて記憶部に格納するφ進展開過程と、
   複数の非負整数ｂについてそれぞれＱ_ｂ ＝（ｖ_ｈ ・Φ_ｂ ）（Ｐ）を演算し、かつ各ｖ_ｂ を記憶部に格納するＱ_ｂ 過程と、
   ただしΦ_ｂ ＝｛φ^ｈ ｝_ｈ＝０ ^Ｂ＋１＝（φ^０ ，φ^１ ，…，φ^Ｂ＋１ ）
   Ｂ＝［ｌｏｇ_３ ｂ］（［ａ］はａの小数切捨を意味する）
   ｖ_ｂ ＝｛ｖ_ｂ，ｈ ｝_ｈ＝０ ^Ｂ＋１＝（ｖ_ｂ，０ ，ｖ_ｂ，１ ，…，ｖ_{ｂ，Ｂ＋１}）
   ｈ＝０でｖ_ｂ，ｈ ＝１、ｈ≠０で［ｂ／３^{（ｈ−１）} ］ｍｏｄ３
   ｌｏｇ_３ ０＝−１，ｍｏｄ３＝２の場合−１とし、
   ｖ_ｂ ・Φ_ｂ ＝Σ_ｈ＝０ ^Ｂ＋１ｖ_ｂ，ｈ φ^ｈ
   ｗ_Ｈ （ｖ_ｂ ）＝Σ_ｈ＝０ ^Ｂ＋１｜ｖ_ｂ，ｈ｜
   有限体ＧＦ（ｑ）上で定義される楕円曲線Ｅ／ＧＦ（ｑ）のＧＦ（ｑ^ｍ ）有理点からなる群Ｅ（ＧＦ（ｑ^ｍ ））の単位元ＯにＲを、ｎ′−１にｊをそれぞれ初期化する過程と、
   記憶部から｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１（＝（ｃ_０，ｊ ，ｃ_１，ｊ，…，ｃ_{ｍ’−１，ｊ}））、ｖ_ｂ を取出し、｛ｃ_ｉ，ｊ ｝_ｉ＝０ ^ｍ’−１に±１が含まれている間、
   ｖ_ｂ，ｈ≠０となる全てのｈ（０≦ｈ≦Ｂ＋１）に対し、
   ｃ_{ｉ＋ｈ，ｊ} ＝（−１）^ｅ ｖ_ｂ，ｈ
   となるｂ，ｅ，ｉを探し、
   ｂが見つかると０≦ｈ≦Ｂ＋１となる全てのｈに対しｃ_{ｉ＋ｈ，ｊ} をｃ_{ｉ＋ｈ，ｊ} −（−１）^ｅ ｖ_ｂ，ｈ と更新し、
   記憶部からＲ，Ｑ_ｂ を取出し、
   Ｒ＋（−１）^ｅ φ^ｉ （Ｑ_ｂ ）を演算してＲを更新して記憶部に格納することを繰返す繰返し過程と、
   ｊ＝０であるか否かを調べるチェック過程と、
   ｊ＝０でなければ記憶部からＲを取出してｄＲを演算してＲを更新して記憶部に格納し、かつ記憶部のｊを−１して、更新して上記繰返し処理に戻る過程と、上記チェック処理でｊ＝０と判定されると、上記記憶部からＲを取出してｋＰの演算結果として出力する過程と、
   を有することを特徴とする循環窓加算方法。
7. φ^ｍ （Ｐ）＝Ｐを満し、
   上記Ｑ_ｂ 過程の前に、上記複数のｂ中でＱ_ｂ１＝φ^ｉ （Ｑ_ｂ２）となるものを予測計算する過程を有し、
   上記Ｑ_ｂ 過程は上記予測されたｂ_１ とｂ_２ についてはＱ_ｂ１およびＱ_ｂ２のいずれか一方を求める過程であることを特徴とする請求項６記載の循環窓加算方法。
8. 上記Ｑ_ｂ 過程は既に求まっているＱ_ｂ５を用いてＱ_ｂ６＝Ｑ_ｂ５＋（−１）^ｅ φ^ｉ （Ｐ）を演算してＱ_ｂ６を求める過程を少くとも１つ含むことを特徴とする請求項６又は７記載の循環窓加算方法。
9. 上記Ｑ_ｂ 過程は、既に求まったＱ_ｂ３のｂ_３ を用いてｗ_Ｈ （ｖ_ｂ３−ｖ_ｂ４）を演算する過程と、
   ｗ_Ｈ （ｖ_ｂ３−ｖ_ｂ４）が１であるか否か判定する過程と、
   この判定が１であればＱ_ｂ４＝Ｑ_ｂ３＋（−１）^ｅ φ^ｉ （Ｐ）を演算してＱ_ｂ４を求める過程とを有することを特徴とする請求項８記載の循環窓加算方法。
10. 上記Ｑ_ｂ 過程は、ｖ_ｂ のハミング重みと、ｖ_ｂ の要素数とを重み付け加算する過程と、
    その加算結果が小さい順にｂを選んでＱ_ｂ を求める過程を行わせる過程とを有することを特徴とする請求項６乃至９の何れかに記載の循環窓加算方法。
11. 上記φ進展開過程はそれぞれのｊに対して∀ｉ ［ｃ_ｉ，ｊ ≧０］又は∀ｉ ［ｃ_ｉ，ｊ ≦０］とし、
    上記Ｑ_ｂ 過程は∀ｈ ［ｖ_ｂ，ｈ ≧０］のものについてのみ行うことを特徴とする請求項６乃至１０の何れかに記載の循環窓加算方法。
12. φ^ｍ （Ｐ）＝Ｐを満たし、
    上記φ進展開過程はそれぞれのｊに対して
    ∀ｉ［ｃ_ｉ，ｊ ≧０］又は∀ｉ［ｃ_ｉ，ｊ ≦０］とし、
    それぞれのｊについて、０の数が半分より大であり、
    上記Ｑ_ｂ過程は、
    

    

    又は各場合の何れか１つあるいは複数に対しφ倍したものを求める過程であることを特徴とする請求項６記載の循環窓加算方法。
13. 上記φ進展開過程で得られた｛ｃ_ｉ，ｊ ｝中の各ｊ方向における配列で１，−１からなる部分配列が同一のものが２つ以上あるものを探す過程を有し、
    上記Ｑ_ｂ 過程は上記２つ以上ある部分配列と対応するＱ_ｂを求める過程であることを特徴とする請求項６乃至９の何れかに記載の循環窓加算方法。
14. 上記繰返し過程中の上記ｂ，ｅ，ｉを探す過程は、ｗ_Ｈ （ｖ_ｂ ）の大きい順に並べた集合を｛ｂ_１ ，ｂ_２ ，…，ｂ_ｓ ｝として、
    ｒを０に初期化するｒ初期化過程と、
    ｉを０に初期化するｉ初期化過程と、
    ｅを０に初期化するｅ初期化過程と、
    ｖ_ｂ，ｈ ≠０となる全てのｈ（０≦ｈ≦［ｌｏｇ_３ ｂ_ｒ ］＋１）に対し、ｃ_{ｉ＋ｈ，ｊ} ＝（−１）^ｅ ｖ_ｂｒ，ｈを探し、見つかればｂ＝ｂ_ｒ ，ｉ，ｅを出力して終了する探索過程と、
    この探索過程で見つからない場合は、ｅを＋１して更新し、更新したｅが２より小さければ探索過程に戻るｅ更新過程と、
    ｅ更新過程において更新したｅが２より小さくなければｉを＋１して更新し、その更新したｉがｍ′より小さければｅ初期化過程に戻る過程と、
    更新したｉがｍ′より小さくなければｒを＋１して更新し、その更新したｒがｓ以下であればｉ初期化過程に戻る過程とよりなる
    ことを特徴とする請求項６乃至１３の何れかに記載の循環窓加算方法。
15. 請求項６乃至１４の何れかに記載の方法をコンピュータに実行させるためのプログラムを記録した記録媒体。

Images