JP3794266B2 - 楕円曲線スカラー倍計算方法及び装置並びに記憶媒体 - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明はコンピュータネットワークにおけるセキュリティ技術に係り、特に楕円曲線暗号における暗号処理実行方法に関する。
【０００２】
【従来の技術】
楕円曲線暗号はN.Koblitz, V.S.Millerにより提案された公開鍵暗号の一種である。公開鍵暗号には、公開鍵と呼ばれる一般に公開してよい情報と、秘密鍵と呼ばれる秘匿しなければならない秘密情報がある。与えられたメッセージの暗号化や署名の検証には公開鍵を用い、与えられたメッセージの復号化や署名の作成には秘密鍵を用いる。楕円曲線暗号における秘密鍵は、スカラー値が担っている。また、楕円曲線暗号の安全性は楕円曲線上の離散対数問題の求解が困難であることに由来している。ここで楕円曲線上の離散対数問題とは、楕円曲線上のある点Pとそのスカラー倍の点dPが与えられた時、スカラー値dを求める問題である。ここにおいて、楕円曲線上の点とは、楕円曲線の定義方程式をみたす数の組をいい、楕円曲線上の点全体には、無限遠点という仮想的な点を単位元とした演算、すなわち楕円曲線上の加法（乃至は加算）が定義される。そして、同じ点同士の楕円曲線上の加法のことを、特に楕円曲線上の２倍算という。楕円曲線上の２点の加法は次のようにして計算される。２点を通る直線を引くとその直線は楕円曲線と他の点において交わる。その交わった点とｘ軸に関して対称な点を加法を行なった結果の点とする。楕円曲線上の点の２倍算は次のようにして計算される。楕円曲線上の点における接線をひくと、その接線は楕円曲線上の他の点において交わる。その交わった点とｘ座標に関して対称な点を２倍算を行なった結果の点とする。ある点に対し、特定の回数だけ加法を行なうことをスカラー倍といい、その結果をスカラー倍点、その回数のことをスカラー値という。
【０００３】
情報通信ネットワークの進展と共に電子情報に対する秘匿や認証の為に暗号技術は不可欠な要素となってきている。そこでは暗号技術の安全性とともに高速化が望まれている。楕円曲線上の離散対数問題が非常に困難である為に、素因数分解の困難性を安全性の根拠にしているＲＳＡ暗号と比べて、楕円曲線暗号は鍵長を比較的短くすることができる。そのため比較的高速な暗号処理が可能である。しかしながら、処理能力の制限されているスマートカードや大量の暗号処理を行なう必要のあるサーバ等においては、必ずしも満足できる程高速であるとは限らない。それゆえに暗号のさらなる高速化が必要となる。
【０００４】
楕円曲線暗号には、ワイエルシュトラス型楕円曲線と呼ばれる楕円曲線が通常用いられている。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514, Springer-Verlag, (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この計算方法は、スカラー倍点の座標を、省略することなく正確に表示している。すなわち、アフィン座標系であれば、ｘ座標及びｙ座標、射影座標乃至はヤコビアン座標であれば、Ｘ座標、Ｙ座標及びＺ座標の値を全て与えている。
【０００５】
一方でモンゴメリ型楕円曲線ＢＹ^２＝Ｘ^３＋ＡＸ^２＋Ｘ（Ａ，Ｂ∈Ｆ_ｐ）を用いるとワイエルシュトラス型楕円曲線よりも高速に演算を実行できることがP.L.Montgomery, Speeding the Pollard and Elliptic Curve Methods of Factorization, Math. Comp. 48 (1987) pp.243-264. に記載されている。これは、スカラー値の特定のビットの値に依存して、楕円曲線上の点の組(mP,(m+1)P)から点の組(2mP,(2m+1)P)乃至は点の組((2m+1)P,(2m+2)P)を繰り返し計算するスカラー倍計算方法において、モンゴメリ型楕円曲線を利用することにより、加算及び２倍算の計算時間が短縮されることに由来する。このスカラー倍計算法は、ワイエルシュトラス型楕円曲線における、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いた場合よりも、高速に計算することができる。しかしながら、この方法は楕円曲線上の点のｙ座標の値は計算しない。多くの暗号処理においては、本質的にy座標を用いないので、この事は問題にはならないが、一部の暗号処理を実行する又は完全な形で標準に準拠しようとすれば、y座標の値も必要となる。
【０００６】
以上は楕円曲線の定義体の標数が５以上の素数の場合であるが、他方、標数２の有限体上定義された楕円曲線に対しては、スカラー倍点の完全な座標を与え且つ高速なスカラー倍計算方法が J.Lopez, R.Dahab, Fast Multiplication on Elliptic Curves over GF(2^m) without Precomputation, Cryptographics Hardware and Embedded Systems: Proceedings of CHES'99, LNCS 1717, Springer-Verlag, (1999) pp.316-327. に記載されている。
【０００７】
【発明が解決しようとする課題】
上記従来技術により、標数が５以上の有限体上定義された楕円曲線を用いて楕円曲線暗号を構成した場合、ワイエルシュトラス型楕円曲線においてウィンドウ法及び混合座標系を用いると、スカラー倍点の座標を完全に計算することができるが、モンゴメリ型楕円曲線のスカラー倍計算方法を用いた場合程高速に計算することはできない。モンゴメリ型楕円曲線におけるスカラー倍計算方法を用いると、ワイエルシュトラス型楕円曲線においてウィンドウ法及び混合座標系を用いた場合より高速に計算することが可能であるが、スカラー倍点の座標を完全に与えること、すなわちｙ座標を与えることができない。したがって、スカラー倍計算方法として、高速化を計ろうとするとスカラー倍点の座標を完全に与えることができず、スカラー倍点の座標を完全に与えようとすると高速に計算ができないという状態にあった。
【０００８】
本発明の目的は、標数が５以上の有限体上定義された楕円曲線において、モンゴメリ型楕円曲線におけるスカラー倍演算と同程度の高速さで、スカラー倍点の座標を完全に与えることができるスカラー倍計算方法を提供することにある。
【０００９】
【課題を解決するための手段】
上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義された楕円曲線において、スカラー値及び楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報から完全な座標を復元するステップとを有することを特徴とする。
【００１０】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義された楕円曲線において、スカラー値及び楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報からアフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００１１】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義された楕円曲線において、スカラー値及び楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報から射影座標において完全な座標を復元するステップとを有することを特徴とする。
【００１２】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報から完全な座標を復元するステップとを有することを特徴とする。
【００１３】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報から完全な座標を復元するステップとを有することを特徴とする。
【００１４】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標を与え、アフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００１５】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標を与え、射影座標において完全な座標を復元するステップとを有することを特徴とする。
【００１６】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、アフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００１７】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、射影座標において完全な座標を復元するステップとを有することを特徴とする。
【００１８】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたモンゴメリ型楕円曲線において、スカラー値及びモンゴメリ型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報としてアフィン座標で与えられた前記スカラー倍点のｘ座標、前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を加算した点のアフィン座標におけるｘ座標並びに前記スカラー倍点と前記モンゴメリ型楕円曲線上の点を減算した点のアフィン座標におけるｘ座標を与え、アフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００１９】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、アフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００２０】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報として射影座標で与えられた前記スカラー倍点のＸ座標及びＺ座標、前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、射影座標において完全な座標を復元するステップとを有することを特徴とする。
【００２１】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記スカラー倍点の部分情報を計算するステップと、前記スカラー倍点の部分情報としてアフィン座標で与えられた前記スカラー倍点のｘ座標、前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を加算した点のアフィン座標におけるｘ座標並びに前記スカラー倍点と前記ワイエルシュトラス型楕円曲線上の点を減算した点のアフィン座標におけるｘ座標を与え、アフィン座標において完全な座標を復元するステップとを有することを特徴とする。
【００２２】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報からワイエルシュトラス型楕円曲線において完全な座標を復元するステップとを有することを特徴とする。
【００２３】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報からモンゴメリ型楕円曲線において完全な座標を復元するステップと、前記モンゴメリ型楕円曲線において完全な座標が復元されたスカラー倍点からワイエルシュトラス型楕円曲線におけるスカラー倍点を計算するステップとを有することを特徴とする。
【００２４】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報としてモンゴメリ型楕円曲線において射影座標で与えられたスカラー倍点のＸ座標及びＺ座標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円曲線においてアフィン座標における完全な座標を復元するステップとを有することを特徴とする。
【００２５】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報としてモンゴメリ型楕円曲線において射影座標で与えられたスカラー倍点のＸ座標及びＺ座標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円曲線において射影座標における完全な座標を復元するステップとを有することを特徴とする。
【００２６】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報としてモンゴメリ型楕円曲線において射影座標で与えられたスカラー倍点のＸ座標及びＺ座標、前記スカラー倍点とモンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円曲線においてアフィン座標における完全な座標を復元するステップとを含むことを特徴とする。
【００２７】
また本発明は、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報としてモンゴメリ型楕円曲線において射影座標で与えられたスカラー倍点のＸ座標及びＺ座標、前記スカラー倍点とモンゴメリ型楕円曲線上の点を加算した点の射影座標におけるＸ座標及びＺ座標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の点を減算した点の射影座標におけるＸ座標及びＺ座標を与え、ワイエルシュトラス型楕円曲線において射影座標における完全な座標を復元するステップとを有することを特徴とする。
【００２８】
また上記目的を達する一手段として、楕円曲線暗号における標数５以上の有限体上定義されたワイエルシュトラス型楕円曲線において、スカラー値及びワイエルシュトラス型楕円曲線上の点からスカラー倍点を計算するスカラー倍計算方法であって、前記ワイエルシュトラス型楕円曲線をモンゴメリ型楕円曲線に変換するステップと、モンゴメリ型楕円曲線におけるスカラー倍点の部分情報を計算するステップと、前記モンゴメリ型楕円曲線におけるスカラー倍点の部分情報としてモンゴメリ型楕円曲線においてアフィン座標で与えられたスカラー倍点のｘ座標、前記スカラー倍点とモンゴメリ型楕円曲線上の点を加算した点のアフィン座標におけるｘ座標並びに前記スカラー倍点とモンゴメリ型楕円曲線上の点を減算した点のアフィン座標におけるｘ座標を与え、ワイエルシュトラス型楕円曲線においてアフィン座標における完全な座標を復元するステップとを有することを特徴とする。
【００２９】
【発明の実施の形態】
以下、本発明の実施例を図面により説明する。
【００３０】
図１は暗号/復号処理装置の構成を示したものである。この暗号/復号処理装置１０１は、入力されたメッセージの暗号化、暗号化されたメッセージの復号化のいずれも行えるようにしたものである。尚、ここで扱う楕円曲線は標数５以上の楕円曲線とする。
【００３１】
入力されたメッセージを暗号化し、暗号化されたメッセージを復号化する場合、一般に次の数１が成立する。
【００３２】
【数１】
Ｐm＋ｋ（ａＱ）−ａ（ｋＱ）＝Ｐm …数１
ここで、Ｐ_ｍはメッセージであり、ｋは乱数、ａは秘密鍵を示す定数、Ｑは定点である。この式のＰm＋ｋ（ａＱ）のａＱは、公開鍵を示しており、入力されたメッセージを公開鍵によって暗号化することを示している。ａ（ｋＱ）のａは秘密鍵を示しており、秘密鍵により復号化することを示している。
【００３３】
従って、図１に示した暗号/復号処理装置１０１をメッセージの暗号化だけに用いる場合には、Ｐm＋ｋ（ａＱ）及びｋＱを計算して出力し、復号化だけに用いる場合には、秘密鍵ａ及びｋＱより−ａ（ｋＱ）を計算し、（Ｐm＋ｋ（ａＱ））−ａ（ｋＱ）を計算して出力するようにすればよい。
【００３４】
図１に示した暗号/復号処理装置１０１は、処理部１１０と、記憶部１２０、レジスタ部１３０とを有している。処理部１２０は、暗号化処理に必要な処理を機能ブロックで示しており、入力されたメッセージの暗号化や暗号化されたメッセージの復号化を行う暗号/復号処理部１０２、暗号/復号処理部１０２で暗号化や復号化を行うのに必要なパラメータを演算するスカラー倍計算部１０３とを有している。記憶部１２０は、定数、秘密情報（例えば、秘密鍵である。）などを記憶している。レジスタ部１３０は、暗号化又は復号化処理において演算の結果や、記憶部１２０に記憶された情報を一次的に記憶する。尚、処理部１１０、レジスタ部１３０は以下に説明する処理を行う専用の演算装置やＣＰＵなどにより実現することができ、記憶部１２０は、ＲＡＭ、ＲＯＭなどによって実現することができる。
【００３５】
次に、図１に示した暗号/復号処理装置１０１の動作について説明する。図３は、暗号/復号処理装置１０１において暗号化、復号化を行う場合の各部の情報の伝達を示したものである。
【００３６】
まず、図３０により入力されたメッセージを暗号化する場合の動作について説明する。
【００３７】
暗号/復号処理部１０２へメッセージが入力されると（３００１）、入力されたメッセージのビット長が予め定めたビット長か否かを判断する。予め定めたビット長より長い場合には、予め定めたビット長となるようにメッセージを区切る（以下、メッセージは所定のビット長に区切られているものとして説明する。）。次に、暗号/復号処理部１０２は、メッセージのビット列によって表される数値をｘ座標（ｘ1）にもつ楕円曲線上のｙ座標の値（ｙ1）を計算する。例えば、モンゴメリ型楕円曲線は、Ｂｙ1^２＝ｘ1^３＋Ａｘ1^２＋ｘ1で表されるので、これよりｙ座標の値を求めることができる。尚、Ｂ、Ａはそれぞれ定数である。暗号化処理部１２０は、公開鍵ａＱ及びＱのｘ座標、ｙ座標の値をスカラー倍計算部１０３へ送る。このとき、暗号化処理部１２０は乱数を生成し、これをスカラー倍計算部１０３へ送る（３００２）。スカラー倍計算部１０３は、Ｑのｘ座標、ｙ座標の値、乱数によるスカラー倍点（ｘd1、ｙd1）と、公開鍵ａＱのｘ座標、ｙ座標の値、乱数によるスカラー倍点（ｘd2、ｙd2）とを計算し（３００３）、計算されたスカラー倍点を暗号化処理部１０２へ送る（３００４）。暗号化処理部１０２は、送られたスカラー倍点を用いて、暗号化処理を行う（３００５）。例えば、モンゴメリ型の楕円曲線については、次式により暗号化されたメッセージｘe1、ｘe2を得る。
【００３８】
【数２】
ｘe1＝Ｂ（（ｙd1−ｙ1）/（ｘd1−ｘ1））^２−Ａ−ｘ1−ｘd1 …数２
【００３９】
【数３】
ｘe2＝ｘd2 …数3
暗号/復号処理装置１０１は暗号/復号処理部１０２で暗号化されたメッセージを出力する。
【００４０】
次に、図３２により暗号化されたメッセージを復号化する場合の動作について説明する。
【００４１】
暗号/復号処理部１０２へ暗号化されたメッセージが入力されると（３２０１）、暗号化されたメッセージのビット列によって表される数値をｘ座標にもつ楕円曲線上のｙ座標の値を計算する。ここで、暗号化されたメッセージがｘe1、ｘe2のビット列であり、モンゴメリ型楕円曲線の場合、ｙ座標の値（ｙe1）はＢｙe1^２＝ｘe1^３＋Ａｘe1^２＋ｘe1から得られる。尚、Ｂ、Ａはそれぞれ定数である。暗号化処理部１２０は、ｘ座標、ｙ座標の値（ｘe1、ｙe1）をスカラー倍計算部１０３へ送る（３２０２）。スカラー倍計算部１０３は記憶部１２０から秘密情報を読み出し（３２０３）、ｘ座標、ｙ座標の値、秘密情報からスカラー倍点（ｘd3、ｙd3）を計算し（３２０４）、計算されたスカラー倍点を暗号/復号処理部１０２へ送る（３２０５）。暗号化処理部１０２は、送られたスカラー倍点を用いて、復号化処理を行う（３２０６）。例えば、暗号化されたメッセージが、ｘe1、ｘe2のビット列であり、モンゴメリ型の楕円曲線の場合は、次式によりｘf1を得る。
【００４２】
【数４】
ｘf1=B((ｙe2+ｙd3)/(ｘe2-ｘd3))^{２ -}Ａ-ｘe2-ｘd3 …数４
このｘf1は、暗号化される前のメッセージｘ１に相当するものである。
【００４３】
以上のようにして、暗号/復号処理部１０２により暗号化、または復号化処理が行われる。
【００４４】
次に、暗号化処理装置１０１のスカラー倍計算部１０３の処理について説明する。ここでは、暗号化処理装置１０１が、復号化処理を行う場合を例に以下、説明する。
【００４５】
図２は、スカラー倍計算部１０３の機能ブロックを示したものである。図２５は、スカラー倍計算部１０３の動作を示したものである。
【００４６】
高速スカラー倍計算部２０２が、秘密情報であるスカラー値及び暗号化されたメッセージと、暗号化されたメッセージがX座標となる楕円曲線上のY座標の値である楕円曲線上の点を受け取る（ステップ２５０１）と、高速スカラー倍計算部２０２は受け取ったスカラー値と楕円曲線上の点からスカラー倍点の座標の一部の値を計算し（ステップ２５０２）、その情報を座標復元部２０３に与える（ステップ２５０３）。座標復元部２０３は与えられたスカラー倍点の情報及び入力された楕円曲線上の点よりスカラー倍点の座標の復元を行なう（ステップ２５０４）。スカラー倍計算装置２０１は完全に座標が与えられたスカラー倍点を計算結果として出力する（ステップ２５０５）。ここで、完全に座標が与えられたスカラー倍点とは、y座標が計算されて出力されることを意味する（以下、同じ。）。
【００４７】
以下、スカラー倍計算部１０３の高速スカラー倍計算部２０２、座標復元部２０３についていくつかの実施例を説明する。
【００４８】
第１の実施例は、スカラー倍計算装置１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Ｐから、モンゴメリ型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力するものである。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値ｄと与えられたモンゴメリ型楕円曲線上の点Ｐからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(ｘ,ｙ)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【００４９】
次に図１１により、座標x,y,X_d,Z_d,X_d+1,Z_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処理について説明する。
【００５０】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【００５１】
ステップ１１０１においてX_d×xが計算され、レジスタＴ₁に格納される。ステップ１１０２においてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが格納されており、したがってX_dx-Z_d が計算される。その結果がレジスタＴ₁に格納される。ステップ１１０３においてZ_d×xが計算され、レジスタＴ₂に格納される。ステップ１１０４においてX_d-Ｔ₂が計算される。ここでレジスタＴ₂にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１１０５においてX_d+1×Ｔ₂が計算される。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、したがってX_d+1(X_d-xZ_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１１０６においてＴ₂の２乗が計算される。ここでレジスタＴ₂には(X_d-xZ_d)が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１０７においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１０８においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂にはX_d+1(X_d-xZ_d)²が格納されており、したがってZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１０９においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってyZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１１０においてＴ₂×Bが計算される。ここでレジスタＴ₂にはyZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１１１においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１１１２においてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_dが計算される。その結果がレジスタＴ₄に格納される。ステップ１１１３においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１１１４においてレジスタＴ₂の逆元が計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が格納されており、したがって1/ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１１５においてＴ₂×Ｔ_４が計算される。ここでレジスタＴ₂には1/ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がレジスタＴ_４にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_dがそれぞれ格納されており、したがって(ByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_d)/(ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²)(＝X_d/Z_d)が計算される。その結果がレジスタｘ_dに格納される。ステップ１１１６においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁にはX_dx-Z_dが格納されており、したがってZ_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₄に格納される。ステップ１１１７においてレジスタＴ₁の２乗が計算される。ここでレジスタＴ₁には(X_dx-Z_d)が格納されており、したがって(X_dx-Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ１１１８においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_dx-Z_d)²がレジスタＴ_２には1/ByZ_d+1X_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_dx-Z_d)²/ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ² が計算される。その結果がレジスタＴ₂に格納される。ステップ１１１９においてＴ₃+Ｔ₄が計算される。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d) がレジスタＴ₄にはZ_d+1 (X_dx-Z_d)がそれぞれ格納されており、したがってX_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₁に格納される。ステップ１１２０においてＴ₃-Ｔ₄が計算される。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d)がレジスタＴ₄にはZ_d+1(X_dx-Z_d)がそれぞれ格納されており、したがってX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１１２１においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁にはX_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)がレジスタＴ₃にはX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)がそれぞれ格納されており、したがって{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}が計算される。その結果がレジスタＴ₁に格納される。ステップ１１２２においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}がレジスタＴ₂には(X_dx-Z_d)²/ByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がそれぞれ格納されており、したがって
【００５２】
【数５】

【００５３】
が計算される。その結果がｙ_dに格納される。ｘ_dにはステップ１１１５において(ByZ_d+1X_d+1(X_d-xZ_d)² Z_dX_d)/(ByZ_d+1X_d+1(X_d-xZ_d) ² X_d ²)が格納され、その後更新が行なわれないので、その値が保持されている。
【００５４】
上記手順により座標復元部２０３へ与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からモンゴメリ型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。尚、点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、次の式を得る。
【００５５】
【数６】

【００５６】
【数７】

【００５７】
両辺を各々減算することにより、
【００５８】
【数８】

【００５９】
を得る。したがって、
【００６０】
【数９】

【００６１】
となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【００６２】
【数１０】

【００６３】
モンゴメリ型楕円曲線の射影座標での加算公式は
【００６４】
【数１１】

【００６５】
【数１２】

【００６６】
である。ここでX_m及びZ_mはモンゴメリ型楕円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ倍点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)Pの射影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座標におけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみたす正整数である。この式はX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m+nも不変となるので、射影座標での公式としてうまく働いている。他方、
【００６７】
【数１３】

【００６８】
【数１４】

【００６９】
とおくと、この式でX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m+n/Z_m+n＝ｘ_m+nが不変のとき、X'_m-n/Z'_m-nも不変となる。また、X'_m-n/Z'_m-n＝X_m-n/Z_m-nをみたすので、ｘ_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。m＝d、n＝1として上記公式を用いてｙ_dの式よりX_d-1及びZ_d-1を消去し、X₁＝x,Z₁＝1とおくことにより、次の式を得る。
【００７０】
【数１５】

【００７１】
ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、
【００７２】
【数１６】

【００７３】
となる。ここで、x_{d ，}y_dは図１１の処理により与えられている。したがって、アフィン座標(x_d,y_d)の値が全て復元されていることになる。
【００７４】
上記手順はステップ１１０１、ステップ１１０３、ステップ１１０５、ステップ１１０７、ステップ１１０８、ステップ１１０９、ステップ１１１０、ステップ１１１１、ステップ１１１２、ステップ１１１３、ステップ１１１５、ステップ１１１６、ステップ１１１８、ステップ１１２１及びステップ１１２２において有限体上の乗算の計算量を必要とする。また、ステップ１１０６及びステップ１１１７において有限体上の２乗算の計算量を必要とする。また、ステップ１１１４において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１５Ｍ＋２Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５６．６Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【００７５】
尚、上記手順をとらなくても、上記計算式により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ１１１０における乗算の計算量を削減することができる。
【００７６】
次に図４により、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z_d+1を出力する高速スカラー倍計算部の処理を説明する。
【００７７】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1を出力する。ステップ４０１として、変数Ｉに初期値１を代入する。ステップ４０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ４０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ４０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ４０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ４１３へ行く。一致しなければステップ４０５へ行く。ステップ４０５として、変数Ｉを１増加させる。ステップ４０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ４０６へ行く。そのビットの値が１であればステップ４１０へ行く。ステップ４０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ４０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４０９として、ステップ４０８で求めた点2mPとステップ４０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ４０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ４１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ４１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ４１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４１１として、ステップ４１０で求めた点(2m+１)Pとステップ４１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ４０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ４１３として、射影座標で表された点の組(mP,(m+１)P)から、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとして、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力する。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【００７８】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ４０７において加算の計算量、ステップ４０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ４１０において加算の計算量、ステップ４１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ４０４、ステップ４０５、ステップ４０６、ステップ４０７、ステップ４０８、ステップ４０９乃至はステップ４０４、ステップ４０５、ステップ４０６、ステップ４１０、ステップ４１１、ステップ４１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ４０２での２倍算の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）（ｋ―１）＋３Ｍ＋２Ｓとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ―４．６）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４６７Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【００７９】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Y_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【００８０】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１５Ｍ＋２Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５２４Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【００８１】
第２の実施例は、スカラー倍計算部１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力するものである。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、x及びyよりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。
【００８２】
次に図９により、座標x、y X_d、Z_d、X_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座標復元部の処理について説明する。
【００８３】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順で射影座標おいて完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【００８４】
ステップ９０１においてX_d×xが計算され、レジスタＴ₁に格納される。ステップ９０２においてＴ₁−Z_dが計算される。ここでレジスタＴ₁にはX_dxが格納されており、したがってX_dx−Z_dが計算される。その結果がレジスタＴ₁に格納される。ステップ９０３においてZ_d×xが計算され、レジスタＴ₂に格納される。ステップ９０４においてX_d−Ｔ₂が計算される。ここでレジスタＴ₂にはZ_dxが格納されており、したがってX_d−xZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ９０５においてZ_d+1×Ｔ₁が計算される。ここでレジスタＴ₁にはX_dx−Z_dが格納されており、したがってZ_d+1(X_dx−Z_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ９０６においてX_d+1×Ｔ₂が計算される。ここでレジスタＴ₂にはX_d−xZ_dが格納されており、したがってX_d+1(X_d−xZ_d)が計算される。その結果がレジスタＴ₄に格納される。ステップ９０７においてＴ₁の２乗が計算される。ここでレジスタＴ₁にはX_dx−Z_dが格納されており、したがって(X_dx−Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ９０８においてＴ₂の２乗が計算される。ここでレジスタＴ₂にはX_d−xZ_dが格納されており、したがって(X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９０９においてＴ₂×Z_dが計算される。ここでレジスタＴ₂には(X_d−xZ_d)²が格納されており、したがってZ_d (X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９１０においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂にはZ_d (X_d−xZ_d)²が格納されており、したがってX_d+1Z_d(X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９１１においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂にX_d+1Z_d(X_d−xZ_d)²が格納されており、したがってZ_d+1X_d+1Z_d(X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９１２においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納されており、したがってyZ_d+1X_d+1Z_d(X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９１３においてＴ₂×Bが計算される。ここでレジスタＴ₂にはyZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d−xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ９１４においてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d−xZ_d)²X_dが計算される。その結果がX_dに格納される。ステップ９１５においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d−xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d−xZ_d)²Z_dが計算される。その結果がレジスタZ_dに格納される。ステップ９１６においてＴ₃＋Ｔ₄が計算される。ここでレジスタＴ₃にはZ_d+1(X_dx−Z_d)がレジスタＴ₄にはX_d+1(X_d−xZ_d)が格納されており、したがってZ_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ９１７においてＴ₃−Ｔ₄が計算される。ここでレジスタＴ₃にはZ_d+1(X_dx−Z_d)がレジスタＴ₄にはX_d+1(X_d−xZ_d)が格納されており、したがってZ_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ９１８においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(X_dx−Z_d)²がレジスタＴ₂にはZ_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)が格納されており、したがって{Z_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}(X_dx−Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ９１９においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁には{Z_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}(X_dx−Z_d)²がレジスタＴ₃にはZ_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)が格納されており、したがって{Z_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}{Z_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)}(X_dx−Z_d)²が計算される。その結果がレジスタY_dに格納される。したがってレジスタY_dには{Z_d+1(X_dx−Z_d)＋X_d+1(X_d−xZ_d)}{Z_d+1(X_dx−Z_d)−X_d+1(X_d−xZ_d)}(X_dx−Z_d)²が格納されている。レジスタX_dにはステップ９１４においてByZ_d+1X_d+1Z_d+1(X_d−xZ_d)²X_dが格納され、その後更新が行われないので、その値が保持されている。レジスタZ_dにはステップ９１５においてBy Z_d+1X_d+1Z_d+1(X_d−xZ_d)²Z_dが格納され、その後更新が行われないので、その値が保持されている。
【００８５】
上記手順により与えられたx、y、X_d、Z_d、X_{d+1 、}Z_d+1からスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、次の数６、数７を得る。両辺を各々減算することにより、数８を得る。したがって、数９となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数１０を得る。
【００８６】
モンゴメリ型楕円曲線の射影座標での加算公式は数１１、数１２である。ここでX_m及びZ_mはモンゴメリ型楕円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ倍点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)Pの射影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座標におけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみたす正整数である。この式はX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m+nも不変となるので、射影座標での公式としてうまく働いている。他方、数１４、数１５とおくと、この式でX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m+n/Z_m+n＝ｘ_m+nが不変のとき、X'_m-n/Z'_m-nも不変となる。また、X'_m-n/Z'_m-n＝X_m-n/Z_m-n＝ｘ_m-nをみたすので、ｘ_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。m＝d、n＝1として上記公式を用いてｙ_dの式よりX_d-1及びZ_d-1を消去し、X₁＝x,Z₁＝1とおくことにより、数１５を得る。ｘ_d＝X_d/Z_dであるが、ｙ_dの分母と通分することにより、数１６となる。
【００８７】
その結果として、
【００８８】
【数１７】

【００８９】
とし、X_d及びZ_dをそれぞれ
【００９０】
【数１８】

【００９１】
【数１９】

【００９２】
により更新すればよい。ここで、X_d，Y_d，Z_dは図９の処理により与えられている。したがって、射影座標(X_d,Y_d,Z_d)の値が全て復元されていることになる。
【００９３】
上記手順はステップ９０１、ステップ９０３、ステップ９０５、ステップ９０６、ステップ９０９、ステップ９１０、ステップ９１１、ステップ９１２、ステップ９１３、ステップ９１４、ステップ９１５、ステップ９１８及びステップ９１９において有限体上の乗算の計算量を必要とする。また、ステップ９０７及びステップ９０８において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１３Ｍ＋２Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１４．６Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【００９４】
尚、上記手順をとらなくても、上記計算式により与えられたX_d、Y_d、Z_dの値が計算できればX_d、Y_d、Z_dの値が復元できる。また、x_d、y_dが上記計算式により与えられる値を取るようにX_d、Y_d、Z_dの値を選択し、その値が計算できればX_d、Y_d、Z_dが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ９１３における乗算の計算量を削減することができる。
【００９５】
次に、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムについて説明する。
【００９６】
第２実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第１実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【００９７】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１３Ｍ＋２Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１０）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１４８２Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【００９８】
第３の実施例は、スカラー倍計算装置１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力するものである。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d−1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P=(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1、ｘ及びｙよりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【００９９】
次に図１２により、座標x、y、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にx_d、y_dを出力する座標復元部の処理について説明する。
【０１００】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０１０１】
ステップ１２０１においてX_d-1×Z_d+1が計算され、レジスタＴ₁に格納される。ステップ１２０２においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納される。ステップ１２０３においてＴ₁−Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ１２０４においてZ_d×xが計算され、レジスタＴ_２に格納される。ステップ１２０５においてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１２０６においてＴ_２の２乗が計算される。ここでレジスタＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ_２に格納される。ステップ１２０７においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレジスタＴ₁に格納される。ステップ１２０８において4×Byが計算される。その結果がレジスタＴ_２に格納される。ステップ１２０９においてＴ_２×Z_d+1が計算される。ここでレジスタＴ_２には4Byが格納されており、したがって4ByZ_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１２１０においてＴ_２×Z_d-1が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納されており、したがって4ByZ_d-1Z_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１２１１においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1が格納されており、したがって4ByZ_d+1Z_d-1Z_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１２１２においてＴ_２×X_dが計算される。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタＴ₃に格納される。ステップ１２１３においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１２１４においてレジスタＴ_２の逆元が計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dZ_dが格納されており、したがって1/4ByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１２１５においてＴ_２×Ｔ₃が計算される。ここでレジスタＴ_２には1/4ByZ_d+1Z_d-1Z_dZ_dがレジスタＴ₃には4ByZ_d+1Z_d-1Z_dX_d がそれぞれ格納されており、したがって(4ByZ_d+1Z_d-1Z_dX_d)/(4ByZ_d+1Z_d-1Z_dZ_d)が計算される。その結果がレジスタx_dに格納される。ステップ１２１６においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)がレジスタＴ_２には1/4ByZ_d+1Z_d-1Z_dZ_dがそれぞれ格納されており、したがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4ByZ_d-1Z_d+1Z_d ²が計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4ByZ_d-1Z_d+1Z_d ²が格納されている。レジスタx_dにはステップ１２１５において(4ByZ_d+1Z_d-1Z_dX_d)/(4ByZ_d+1Z_d-1Z_dZ_d)が格納され、その後更新が行なわれないので、その値が保持されている。
【０１０２】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からモンゴメリ型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを減算した点である。
【０１０３】
モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。両辺を各々減算することにより、数８を得る。したがって、数９となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数１０を得る。
【０１０４】
ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、
【０１０５】
【数２０】

【０１０６】
となる。このx_d，y_dは図１２で示した処理により与えられ、したがってアフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０１０７】
上記手順はステップ１２０１、ステップ１２０２、ステップ１２０４、ステップ１２０７、ステップ１２０８、ステップ１２０９、ステップ１２１０、ステップ１２１１、ステップ１２１２、ステップ１２１３、ステップ１２１５及びステップ１２１６において有限体上の乗算の計算量を必要とする。また、ステップ１２０６において有限体上の２乗算の計算量を必要とする。また、ステップ１２１４において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１２Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５２．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１０８】
尚、上記手順をとらなくても、上記計算式により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ１２０８における乗算の計算量を削減することができる。
【０１０９】
次に図５により、スカラー値d及びモンゴメリ型楕円曲線上の点PからX_d,Z_d,X_d+1,Z_d+1,X_d-1,Z_d-1を出力する高速スカラー倍計算部の処理について説明する。
【０１１０】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)のうちX_d-1及びZ_d-1を出力する。ステップ５０１として、変数Ｉに初期値１を代入する。ステップ５０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ５０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ５０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ５０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ５１４へ行く。一致しなければステップ５０５へ行く。ステップ５０５として、変数Ｉを１増加させる。ステップ５０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ５０６へ行く。そのビットの値が１であればステップ５１０へ行く。ステップ５０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ５０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ５０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ５０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ５０９として、ステップ５０８で求めた点2mPとステップ５０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ５０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ５１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ５１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ５１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ５１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ５１１として、ステップ５１０で求めた点(2m+１)Pとステップ５１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ５０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ５１４として、射影座標で表された点の組(mP, (m+1)P)から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求め、それぞれX_d-1及びZ_d-1とする。その後ステップ５１３へ行く。ステップ５１３として、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとして、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、X_d-1及びZ_d-1と共に出力する。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。またステップ５１４において(m-1)Pを求める際に、数１０、数１１の公式により求めてもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステップ５１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めてもよい。
【０１１１】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ５０７において加算の計算量、ステップ５０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ５１０において加算の計算量、ステップ５１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ５０４、ステップ５０５、ステップ５０６、ステップ５０７、ステップ５０８、ステップ５０９乃至はステップ５０４、ステップ５０５、ステップ５０６、ステップ５１０、ステップ５１１、ステップ５１２の繰り返しの回数は、（スカラー値ｄのビット長）―１回となるので、ステップ５０２での２倍算の計算量とステップ５１４での(m-1)Pの計算に必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋Ｍとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋１）Ｍとなる。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４７３Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０１１２】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d, Z_d ,X_d+1, Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０１１３】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５３．８）Ｍと見積もることができる。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５２６Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０１１４】
第４の実施例は、スカラー倍計算部１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力する。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1、x及びyよりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。
【０１１５】
次に図１３により、座標x、y X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にX_d、Y_d、Z_dを出力する座標復元部の処理について説明する。
【０１１６】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_{d-1 、}スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順で射影座標おいて完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０１１７】
ステップ１３０１においてX_d-1×Z_d+1が計算され、レジスタＴ₁に格納される。ステップ１３０２においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納される。ステップ１３０３においてＴ₁−Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ１３０４においてZ_d×xが計算され、レジスタＴ_２に格納される。ステップ１３０５においてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１３０６においてＴ_２の２乗が計算される。ここでレジスタＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ_２に格納される。ステップ１３０７においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレジスタY_dに格納される。ステップ１３０８において4×Byが計算される。その結果がレジスタＴ_２に格納される。ステップ１３０９においてＴ_２×Z_d+1が計算される。ここでレジスタＴ_２には4Byが格納されており、したがって4ByZ_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１３１０においてＴ_２×Z_d-1が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納されており、したがって4ByZ_d+1Z_d-1が計算される。その結果がレジスタＴ_２に格納される。ステップ１３１１においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1が格納されており、したがって4ByZ_d+1Z_d-1Z_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１３１２においてＴ_２×X_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタX_dに格納される。ステップ１３１３においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がZ_dに格納される。したがってZ_dには4ByZ_d+1Z_d-1Z_dZ_dが格納されている。レジスタY_dにはステップ１３０７において(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が格納され、その後更新が行われないので、その値が保持されている。
【０１１８】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。これより、先に述べた数７を得ることができる。座標復元部２０３はスカラー倍点の射影座標で表された完全な座標として(X_d,Y_d,Z_d)を出力する。
【０１１９】
上記手順により与えられたx、y X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。両辺を各々減算することにより、数８を得る。したがって、数９となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数７を得る。
【０１２０】
ｘ_d＝X_d/Z_dであるが、ｙ_dの分母と通分することにより、数２０となる。その結果として、数１７、
【０１２１】
【数２１】

【０１２２】
とし、X_d及びZ_dをそれぞれ
【０１２３】
【数２２】

【０１２４】
【数２３】

【０１２５】
により更新すればよい。ここで示したX_d，Y_d，Z_d，は図１３で示した処理により与えられている。したがって、射影座標の値(X_d,Y_d,Z_d)が全て復元されていることになる。
【０１２６】
上記手順はステップ１３０１、ステップ１３０２、ステップ１３０４、ステップ１３０７、ステップ１３０８、ステップ１３０９、ステップ１３１０、ステップ１３１１、ステップ１３１２及びステップ１３１３において有限体上の乗算の計算量を必要とする。また、ステップ１３０６において有限体上の２乗算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１０Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１０．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１２７】
尚、上記手順をとらなくても、上記計算式により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_dの値が復元できる。また、x_d,y_dが上記計算式により与えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値が計算できればX_d,Y_d,Z_dが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ１３０８における乗算の計算量を削減することができる。
【０１２８】
次に、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムについて説明する。
【０１２９】
第４実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第３実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０１３０】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１０Ｍ＋Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１１．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１４８４Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０１３１】
第５の実施例は、スカラー倍計算装置１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力する。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x_d-1、x及びyよりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標y_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０１３２】
次に図２６により、座標x、y、x_d、x_d+1、x_d-1が与えられた場合に、x_d、y_dを出力する座標復元部の処理について説明する。
【０１３３】
座標復元部２０３では、モンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。
【０１３４】
ステップ２６０１においてx_d−xが計算され、レジスタＴ₁に格納される。ステップ２６０２においてＴ₁の２乗すなわち(x_d−x)²が計算され、レジスタＴ₁に格納される。ステップ２６０３においてx_d-1−x_d+1が計算され、レジスタＴ₂に格納される。ステップ２６０４においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_d−x)²がレジスタＴ₂にはx_d-1−x_d+1がそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)が計算される。その結果がレジスタＴ₁に格納される。ステップ２６０５において4B×yが計算され、レジスタＴ₂に格納される。ステップ２６０６においてＴ₂の逆元が計算される。ここでレジスタＴ₂には4Byが格納されており、したがって1/4Byが計算される。その結果がレジスタＴ₂に格納される。ステップ２６０７においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_d−x)²(x_d-1−x_d+1)がレジスタＴ₂には1/4Byがそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)/4Byが計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(x_d−x)²(x_d-1−x_d+1)/4Byが格納されている。レジスタx_dは全く更新されないので入力された値が保持されている。
【０１３５】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。尚、点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。
【０１３６】
両辺を各々減算することにより、数８を得る。したがって、数９となる。
【０１３７】
ここで、x_d，y_dは図２６の処理により与えられる。したがって、アフィン座標(x_d,y_d)の値は全て復元されたことになる。
【０１３８】
上記手順はステップ２６０４、ステップ２６０５及びステップ２６０７において有限体上の乗算の計算量を必要とする。また、ステップ２６０２において有限体上の２乗算の計算量を必要とする。さらにステップ２６０６において有限体上の逆元演算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は３Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４３．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１３９】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_dの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ２６０５における乗算の計算量を削減することができる。
【０１４０】
次に図６により、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1、x_d-1を出力する高速スカラー倍計算部の処理について説明する。
【０１４１】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)のうちx_d-1を出力する。ステップ６０１として、変数Ｉに初期値１を代入する。ステップ６０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ６０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ６０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ６０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ６１４へ行く。一致しなければステップ６０５へ行く。ステップ６０５として、変数Ｉを１増加させる。ステップ６０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ６０６へ行く。そのビットの値が１であればステップ６１０へ行く。ステップ６０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ６０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ６０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ６０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ６０９として、ステップ６０８で求めた点2mPとステップ６０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ６０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ６１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ６１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ６１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ６１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ６１１として、ステップ６１０で求めた点(2m+１)Pとステップ６１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ６０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ６１４として、射影座標で表された点の組(mP,(m+1)P)から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求め、それぞれX_d-1及びZ_d-1とする。その後ステップ６１５へ行く。ステップ６１５として、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとし、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。X_d-1，Z_d-1，X_d，Z_d，X_d+1，Z_d+1より、
【０１４２】
【数２４】

【０１４３】
【数２５】

【０１４４】
【数２６】

【０１４５】
としてx_d-1，x_d，x_d+1を求める。その後ステップ６１３へ行く。ステップ６１３として、x_d-1，x_d，x_d+1を出力する。上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。またステップ６１４において(m-1)Pを求める際に、数１３、数１４の公式により求めてもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステップ６１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めてもよい。
【０１４６】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ６０７において加算の計算量、ステップ６０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ６１０において加算の計算量、ステップ６１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ６０４、ステップ６０５、ステップ６０６、ステップ６０７、ステップ６０８、ステップ６０９乃至はステップ６０４、ステップ６０５、ステップ６０６、ステップ６１０、ステップ６１１、ステップ６１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ６０２での２倍算の計算量及びステップ６１４での(m-1)Pの計算に必要な計算量及びアフィン座標への変換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋１１Ｍ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋５１）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５２３Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられ、これ以外にアフィン座標への変換の計算量が必要となる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０１４７】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1、x_d-1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０１４８】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は３Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋５１）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋９４．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５６７Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０１４９】
第６の実施例は、楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力するものである。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d−1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P=(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1、ｘ及びｙよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０１５０】
次に図１４により、座標x、y、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にx_d、y_dを出力する座標復元部の処理について説明する。
【０１５１】
座標復元部２０３では、ワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたワイエルシュトラス型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてワイエルシュトラス型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０１５２】
ステップ１４０１においてX_d-1×Z_d+1が計算され、レジスタＴ₁に格納される。ステップ１４０２においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納される。ステップ１４０３においてＴ₁−Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ１４０４においてZ_d×xが計算され、レジスタＴ_２に格納される。ステップ１４０５においてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１４０６においてＴ_２の２乗が計算される。ここでレジスタＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ_２に格納される。ステップ１４０７においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレジスタＴ₁に格納される。ステップ１４０８において4×yが計算される。その結果がレジスタＴ_２に格納される。ステップ１４０９においてＴ_２×Z_d+1が計算される。ここでレジスタＴ_２には4yが格納されており、したがって4yZ_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１４１０においてＴ_２×Z_d-1が計算される。ここでレジスタＴ_２には4yZ_d+1が格納されており、したがって4yZ_d+1Z_d-1が計算される。その結果がレジスタＴ_２に格納される。ステップ１４１１においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4yZ_d+1Z_d-1が格納されており、したがって4yZ_d+1Z_d-1Z_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１４１２においてＴ_２×X_dが計算される。ここでレジスタＴ_２には4yZ_d+1Z_d-1Z_dが格納されており、したがって4yZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタＴ₃に格納される。ステップ１４１３においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4yZ_d-1Z_d+1Z_dが格納されており、したがって4yZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１４１４においてレジスタＴ_２の逆元が計算される。ここでレジスタＴ_２には4yZ_d+1Z_d-1Z_dZ_dが格納されており、したがって1/4yZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１４１５においてＴ_２×Ｔ₃が計算される。ここでレジスタＴ_２には1/4yZ_d+1Z_d-1Z_dZ_dがレジスタＴ₃には4yZ_d-1Z_d+1Z_dX_d がそれぞれ格納されており、したがって(4yZ_d+1Z_d-1Z_dX_d)/(4yZ_d+1Z_d-1Z_dZ_d)が計算される。その結果がx_dに格納される。ステップ１４１６においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)がレジスタＴ_２には1/4yZ_d+1Z_d-1Z_dZ_dがそれぞれ格納されており、したがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4y Z_d+1Z_d-1Z_d ²が計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4yZ_d-1Z_d+1Z_d ²が格納されている。レジスタx_dにはステップ１４１５において(4yZ_d-1Z_d+1Z_dX_d)/(4yZ_d-1Z_d+1Z_dZ_d)が格納され、その後更新が行なわれないので、その値が保持されている。
【０１５３】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、次の式を得る。
【０１５４】
【数２７】

【０１５５】
【数２８】

【０１５６】
両辺を各々減算することにより、
【０１５７】
【数２９】

【０１５８】
を得る。したがって、
【０１５９】
【数３０】

【０１６０】
となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d=1＝X_d=1/Z_d=1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【０１６１】
【数３１】

【０１６２】
ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でy_dの分母と通分することにより、
【０１６３】
【数３２】

【０１６４】
となる。ここで、ｘ_d，y_dは図１４で示した処理により与えられる。したがって、アフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０１６５】
上記手順はステップ１４０１、ステップ１４０２、ステップ１４０４、ステップ１４０７、ステップ１４０９、ステップ１４１０、ステップ１４１１、ステップ１４１２、ステップ１４１３、ステップ１４１５及びステップ１４１６において有限体上の乗算の計算量を必要とする。ただし、ステップ１４０８の乗算は、被乗数の値が４と小さいので、その計算量は通常の乗算の計算量と比べて小さい為無視してよい。また、ステップ１４０６において有限体上の２乗算の計算量を必要とする。また、ステップ１４１４において有限体上の逆元演算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１１Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５１．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１６６】
尚、上記手順をとらなくても、上記計算式により与えられたｘ_d，y_dの値が計算できればｘ_d，y_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。
【０１６７】
次に図７により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z_d+1,X_d-1,Z_d-1を出力する高速スカラー倍計算部の処理について説明する。
【０１６８】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)のうちX_d-1及びZ_d-1を出力する。ステップ７１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ７０１として、変数Ｉに初期値１を代入する。ステップ７０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ７０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ７０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ７０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ７１４へ行く。一致しなければステップ７０５へ行く。ステップ７０５として、変数Ｉを１増加させる。ステップ７０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ７０６へ行く。そのビットの値が１であればステップ７１０へ行く。ステップ７０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ７０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ７０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ７０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ７０９として、ステップ７０８で求めた点2mPとステップ７０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ７０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ７１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ７１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ７１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ７１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ７１１として、ステップ７１０で求めた点(2m+１)Pとステップ７１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ７０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ７１４として、射影座標で表された点の組（mP,(m+1)P）から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求める。その後ステップ７１５へ行く。ステップ７１５として、モンゴメリ型楕円曲線における点(m-1)Pを、ワイエルシュトラス型楕円曲線上で射影座標により表された点に変換する。その点のX座標及びZ座標をそれぞれあらためてX_m-1及びZ_m-1とおく。また、モンゴメリ型楕円曲線において射影座標で表された点の組(mP,(m+1)P)に対して、点mP及び点(m+1)Pをワイエルシュトラス型楕円曲線上で射影座標で表された点に変換し、それぞれmP＝（X_m,Y_m,Z_m）及び(m+1)P＝（X_m+1,Y_m+1,Z_m+1）とあらためて置き直す。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。ステップ７１３として、ワイエルシュトラス型楕円曲線上で射影座標で表された点(m-1)PのX座標X_m-1及びZ座標Z_m-1をそれぞれX_d-1及びZ_d-1として、ワイエルシュトラス型楕円曲線上で射影座標で表された点mP＝（X_m,Y_m,Z_m）よりX_m及びZ_mをそれぞれX_d及びZ_ｄとして、ワイエルシュトラス型楕円曲線上で射影座標で表された点(m+1)P＝（X_m+1,Y_m+1,Z_m+1）よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力する。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。またステップ７１４において(m-1)Pを求める際に、数１３、数１４の公式により求めてもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステップ７１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めてもよい。
【０１６９】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ７０７において加算の計算量、ステップ７０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ７１０において加算の計算量、ステップ７１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ７０４、ステップ７０５、ステップ７０６、ステップ７０７、ステップ７０８、ステップ７０９乃至はステップ７０４、ステップ７０５、ステップ７０６、ステップ７１０、ステップ７１１、ステップ７１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ７０２での２倍算の計算量とステップ７１６でのモンゴメリ型楕円曲線上の点への変換に必要な計算量及びステップ７１５でのワイエルシュトラス型楕円曲線上の点への変換に必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋４Ｍとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋４）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４７６Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０１７０】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０１７１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１１Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５５．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５２８Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０１７２】
第７の実施例は楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算部１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1、x及びyよりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。
【０１７３】
次に図１５により、座標x、y X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1が与えられた場合にX_d、Y_d、Z_dを出力する座標復元部の処理について説明する。
【０１７４】
座標復元部２０３では、ワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順で射影座標おいて完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたワイエルシュトラス型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてワイエルシュトラス型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０１７５】
ステップ１５０１においてX_d-1×Z_d+1が計算され、Ｔ₁に格納される。ステップ１５０２においてZ_d-1×X_d+1が計算され、Ｔ_２に格納される。ステップ１５０３においてＴ₁−Ｔ_２が計算される。ここでＴ₁にはX_d-1Z_d+1がＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がＴ₁に格納される。ステップ１５０４においてZ_d×xが計算され、Ｔ_２に格納される。ステップ１５０５においてX_d-Ｔ_２が計算さる。ここでＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がＴ_２に格納される。ステップ１５０６においてＴ_２の２乗が計算される。ここでＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がＴ_２に格納される。ステップ１５０７においてＴ₁×Ｔ_２が計算される。ここでＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレジスタY_dに格納される。ステップ１５０８において4×yが計算される。その結果がＴ_２に格納される。ステップ１５０９においてＴ_２×Z_d+1が計算される。ここでＴ_２には4yが格納されており、したがって4yZ_d+1が計算される。その結果がＴ_２に格納される。ステップ１５１０においてＴ_２×Z_d-1が計算される。ここでＴ_２には4yZ_d+1が格納されており、したがって4yZ_d+1Z_d-1が計算される。その結果がＴ_２に格納される。ステップ１５１１においてＴ_２×Z_dが計算される。ここでＴ_２には4yZ_d+1Z_d-1が格納されており、したがって4yZ_d+1Z_d-1Z_dが計算される。その結果がＴ_２に格納される。ステップ１５１２においてＴ_２×X_dが計算される。ここでＴ_２には4yZ_d+1Z_d-1Z_dが格納されており、したがって4yZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタX_dに格納される。ステップ１５１３においてＴ_２×Z_dが計算される。ここでＴ_２には4yZ_d+1Z_d-1Z_dが格納されており、したがって4yZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタZ_dに格納される。したがってレジスタZ_dには4y Z_d+1Z_d-1Z_dZ_dが格納されている。レジスタY_dにはステップ１５０７において(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が格納され、その後更新が行われないので、その値が保持されている。レジスタX_dにはステップ１５１２において4yZ_d+1Z_d-1Z_dX_dが格納され、その後更新が行われないので、その値が保持されている。
【０１７６】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型楕円曲線におけるスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、数２７、数２８を得る。両辺を各々減算することにより、数２９を得る。したがって、数３０となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数３１を得る。ｘ_d＝X_d/Z_dであるが、y_dの分母と通分することにより、数３２となる。
【０１７７】
その結果として
【０１７８】
【数３３】

【０１７９】
とし、X_d及びZ_dをそれぞれ
【０１８０】
【数３４】

【０１８１】
【数３５】

【０１８２】
により更新すればよい。
【０１８３】
ここで、X_d，Y_d，Z_dは図１５で示した処理により与えられる。したがって、射影座標(X_d,Y_d,Z_d)の値は全て復元されたことになる。
【０１８４】
上記手順はステップ１５０１、ステップ１５０５、ステップ１５０４、ステップ１５０７、ステップ１５０９、ステップ１５１０、ステップ１５１１、ステップ１５１２及びステップ１５１３において有限体上の乗算の計算量を必要とする。
【０１８５】
ただし、ステップ１５０８の乗算は、被乗数の値が４と小さいので、その計算量は通常の乗算の計算量と比べて小さい為無視してよい。また、ステップ１５０６において有限体上の２乗算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は９Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は９．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１８６】
尚、上記手順をとらなくても、上記計算式により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_dの値が復元できる。また、x_d,y_dが上記計算式により与えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値が計算できればX_d,Y_d,Z_dが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。
【０１８７】
次に、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムについて説明する。
【０１８８】
第７実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第６実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０１８９】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は９Ｍ＋Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１３．８）Ｍと見積もることができる。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１４８６Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０１９０】
第８の実施例は楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x_d-1、x及びyよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標y_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０１９１】
次に図１６により、座標x、y、x_d、x_d+1、x_d-1が与えられた場合に、x_d、y_dを出力する座標復元部の処理について説明する。
【０１９２】
座標復元部２０３では、ワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。
【０１９３】
ステップ１６０１においてx_d−xが計算され、Ｔ₁に格納される。ステップ１６０２においてＴ₁の２乗すなわち(x_d−x)²が計算され、Ｔ₁に格納される。ステップ１６０３においてx_d-1−x_d+1が計算され、Ｔ₂に格納される。ステップ１６０４においてＴ₁×Ｔ₂が計算される。ここでＴ₁には(x_d−x)²がＴ₂にはx_d-1−x_d+1がそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)が計算される。その結果がＴ₁に格納される。ステップ１６０５において4×yが計算され、Ｔ₂に格納される。ステップ１６０６においてＴ₂の逆元が計算される。ここでＴ₂には4yが格納されており、したがって1/4yが計算される。その結果がＴ₂に格納される。ステップ１６０７においてＴ₁×Ｔ₂が計算される。ここでＴ₁には(x_d−x)²(x_{d -1}−x_d+1)がＴ₂には1/4yがそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)/4yが計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(x_d−x)²(x_d-1−x_d+1)/4yが格納されている。レジスタx_dは全く更新されないので入力された値が保持されている。
【０１９４】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、数２７、数２８を得る。両辺を各々減算することにより、数２９を得る。したがって、数３０となる。ここでx_d,y_dは図１６の処理によって与えられる。したがって、アフィン座標(x_d,y_d)の値を全て復元していることになる。
【０１９５】
上記手順はステップ１６０４、ステップ１６０７において有限体上の乗算の計算量を必要とする。ただし、ステップ１６０５の乗算は、被乗数の値が４と小さいので、その計算量は通常の乗算の計算量と比べて小さい為無視してよい。また、ステップ１６０２において有限体上の２乗算の計算量を必要とする。さらにステップ１６０６において有限体上の逆元演算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は２Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４２．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０１９６】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_dの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。
【０１９７】
次に図７により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d、x_d+1、x_d-1を出力するアルゴリズムについて説明する。
【０１９８】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)のうちx_d-1を出力する。ステップ７１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ７０１として、変数Ｉに初期値１を代入する。ステップ７０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ７０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ７０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ７０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ７１４へ行く。一致しなければステップ７０５へ行く。ステップ７０５として、変数Ｉを１増加させる。ステップ７０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ７０６へ行く。そのビットの値が１であればステップ７１０へ行く。ステップ７０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ７０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ７０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ７０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ７０９として、ステップ７０８で求めた点2mPとステップ７０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ７０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ７１０として、射影座標により表された点の組(mP, (m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ７１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ７１１として、射影座標により表された点の組(mP, (m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ７１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ７１１として、ステップ７１０で求めた点(2m+１)Pとステップ７１１で求めた点(2m+2)Pを点の組((2m+1)P, (2m+2)P)として、点の組(mP, (m+1)P)の代わりに格納する。その後ステップ７０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ７１４として、射影座標で表された点の組(mP,(m+1)P)から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求める。その後ステップ７１５へ行く。ステップ７１５として、モンゴメリ型楕円曲線における点(m-1)Pを、ワイエルシュトラス型楕円曲線上でアフィン座標により表された点に変換する。その点のx座標をそれぞれあらためてx_m-1とおく。また、モンゴメリ型楕円曲線において射影座標で表された点の組(mP,(m+1)P)に対して、点mP及び点(m+1)Pをワイエルシュトラス型楕円曲線上でアフィン座標で表された点に変換し、それぞれmP＝（x_m,y_m）及び(m+1)P＝（x_m+1,y_m+1）とあらためて置き直す。ここで、y_m及びy_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。その後ステップ７１３へ行く。ステップ７１３として、ワイエルシュトラス型楕円曲線上でアフィン座標で表された点(m-1)Pのx座標x_m-1をx_d-1として、ワイエルシュトラス型楕円曲線上で射影座標で表された点mP＝（x_m,y_m）よりx_mをx_dとして、ワイエルシュトラス型楕円曲線上でアフィン座標で表された点(m+1)P＝（x_m+1,y_m+1）よりx_m+1をx_d+1として、出力する。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。またステップ７１４において(m-1)Pを求める際に、数１３、数１４の公式により求めてもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステップ７１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めてもよい。
【０１９９】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ７０７において加算の計算量、ステップ７０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ７１０において加算の計算量、ステップ７１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ７０４、ステップ７０５、ステップ７０６、ステップ７０７、ステップ７０８、ステップ７０９乃至はステップ７０４、ステップ７０５、ステップ７０６、ステップ７１０、ステップ７１１、ステップ７１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ７０２での２倍算の計算量とステップ７１６でのモンゴメリ型楕円曲線上への点への変換に必要な計算量及びステップ７１５でのワイエルシュトラス型楕円曲線上の点への必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋１５Ｍ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量Ｉは、Ｉ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋５５）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５２７Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０２００】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d, x_d+1,x_d=1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０２０１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は２Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋５５）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋９７．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５７０Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０２０２】
第９の実施例は、入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Ｐから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力するものである。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値ｄと与えられたワイエルシュトラス型楕円曲線上の点Ｐからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算する。また、入力されたワイエルシュトラス型楕円曲線上の点Pを、与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線上の点に変換し、その点を新たにP＝(x,y)とおく。高速スカラー倍計算部２０２は、X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙを座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０２０３】
次に図１７により、座標x,y,X_d,Z_d,X_d+1,Z_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処理について説明する。
【０２０４】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d ^Mon,y_d ^Mon)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０２０５】
ステップ１７０１においてX_d×xが計算され、レジスタＴ₁に格納される。ステップ１７０２においてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが格納されており、したがってX_dx-Z_d が計算される。その結果がレジスタＴ₁に格納される。ステップ１７０３においてZ_d×xが計算され、レジスタＴ₂に格納される。ステップ１１０４においてX_d-Ｔ₂が計算される。ここでレジスタＴ₂にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１７０５においてX_d+1×Ｔ₂が計算される。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、したがってX_d+1(X_d-xZ_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１７０６においてＴ₂の２乗が計算される。ここでレジスタＴ₂には(X_d-xZ_d)が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１１０７においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７０８においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂にはX_d+1(X_d-xZ_d)²が格納されており、したがってZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７０９においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってyZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７１０においてＴ₂×Bが計算される。ここでレジスタＴ₂にはyZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７１１においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１７１２においてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_dが計算される。その結果がレジスタＴ₄に格納される。ステップ１７１３においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dが格納されており、したがってByZ_d+1X_d+1(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１７１４においてレジスタＴ₂×sが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が格納されており、したがってsByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７１５においてＴ₂の逆元が計算される。ここで、Ｔ₂にはsByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が格納されており、したがって1/ sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²が計算される。その結果がＴ₂に格納される。ステップ１７１６においてＴ₂×Ｔ_４が計算される。ここでレジスタＴ₂には1/sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がレジスタＴ_４にはByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_dがそれぞれ格納されており、したがって(ByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_d)/(sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²)が計算される。その結果がレジスタＴ_４に格納される。ステップ１７１７においてＴ_４+αが計算される。ここでレジスタＴ_４には(ByZ_d+1X_d+1(X_d-xZ_d)²Z_dX_d)/(sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²) が格納されており、従って、数３６が計算される。
【０２０６】
【数３６】

【０２０７】
その結果が、レジスタx_dに格納される。ステップ１７１８においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁にはX_dx-Z_dが格納されており、したがってZ_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₄に格納される。ステップ１７１９においてレジスタＴ₁の２乗が計算される。ここでレジスタＴ₁には(X_dx-Z_d)が格納されており、したがって(X_dx-Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ１７２０においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_dx-Z_d)²がレジスタＴ_２には1/sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がそれぞれ格納されており、したがって(X_dx-Z_d)²/sByZ_d+1X_d+1(X_d-xZ_d)² Z_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ１７２１においてＴ₃+Ｔ₄が計算される。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d) がレジスタＴ₄にはZ_d+1 (X_dx-Z_d)がそれぞれ格納されており、したがってX_d+1(X_d-xZ_d)+Z_d+1 (X_dx-Z_d)が計算される。その結果がレジスタＴ₁に格納される。ステップ１７２２においてＴ₃-Ｔ₄が計算される。ここでレジスタＴ₃にはX_d+1(X_d-xZ_d)がレジスタＴ₄にはZ_d+1(X_dx-Z_d)がそれぞれ格納されており、したがってX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１７２３においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁にはX_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)がレジスタＴ₃にはX_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)がそれぞれ格納されており、したがって{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}が計算される。その結果がレジスタＴ₁に格納される。ステップ１７２４においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には{X_d+1(X_d-xZ_d)+Z_d+1(X_dx-Z_d)}{X_d+1(X_d-xZ_d)-Z_d+1(X_dx-Z_d)}がレジスタＴ₂には(X_dx-Z_d)²/sByZ_d+1X_d+1(X_d-xZ_d)²Z_d ²がそれぞれ格納されており、したがって
【０２０８】
【数３７】

【０２０９】
が計算される。その結果がレジスタｙ_dに格納される。したがってレジスタｙ_dには数３７の値が格納されている。レジスタｘ_dにはステップ１７１７において数３６の値が格納され、その後更新が行なわれないので、その値が保持されている。その結果として、ワイエルシュトラス型楕円曲線におけるアフィン座標(ｘ_d,ｙ_d)の値が全て復元されている。
【０２１０】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、次の式を得る。
【０２１１】
【数３８】

【０２１２】
【数３９】

【０２１３】
両辺を各々減算することにより、
【０２１４】
【数４０】

【０２１５】
を得る。したがって、
【０２１６】
【数４１】

【０２１７】
となる。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【０２１８】
【数４２】

【０２１９】
モンゴメリ型楕円曲線の射影座標での加算公式は既に示した数１１、数１２である。ここでX_m及びZ_mはモンゴメリ型楕円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ倍点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)Pの射影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座標におけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみたす正整数である。この式はX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m+nも不変となるので、射影座標での公式としてうまく働いている。他方、数１３、数１４とおくと、この式もX_m/Z_m＝ｘ_m、X_n/Z_n＝ｘ_n、X_m-n/Z_m-n＝ｘ_m-nが不変のとき、X_m+n/Z_m+n＝ｘ_m-nも不変となる。また、X'_m-n/Z'_m-n＝X_m-n/Z_m-n＝ｘ_m-nをみたすので、ｘ_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。m＝d、n＝1として上記公式を用いてｙ_d ^Monの式よりX_d-1及びZ_d-1を消去し、X₁＝x,Z₁＝1とおくことにより、次の式を得る。
【０２２０】
【数４３】

【０２２１】
ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_d ^Modの分母と通分することにより、
【０２２２】
【数４４】

【０２２３】
となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s^-1x_d ^Mon+αの関係がある。結果として数４５、数４６を得る。
【０２２４】
【数４５】

【０２２５】
【数４６】

【０２２６】
ここで、x_d,y_dは図１７より与えられる。したがって、ワイエルシュトラス型楕円曲線におけるアフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０２２７】
上記手順はステップ１７０１、ステップ１７０３、ステップ１７０５、ステップ１７０７、ステップ１７０８、ステップ１７０９、ステップ１７１０、ステップ１７１１、ステップ１７１２、ステップ１７１３、ステップ１７１４、ステップ１７１６、ステップ１７１８、ステップ１７２０、ステップ１７２３及びステップ１７２４において有限体上の乗算の計算量を必要とする。また、ステップ１７０６及びステップ１７１９において有限体上の２乗算の計算量を必要とする。また、ステップ１１１５において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１６Ｍ＋２Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５７．６Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０２２８】
尚、上記手順をとらなくても、上記計算式により与えられたx_d，y_dの値が計算できればx_d，y_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、モンゴメリ型楕円曲線のパラメタであるBの値やモンゴメリ型楕円曲線への変換パラメタであるｓを小さくとることにより、ステップ１７１０における乗算の計算量やステップ１７１４における乗算の計算量を削減することができる。
【０２２９】
次に図８により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力する高速スカラー倍計算部の処理について説明する。
【０２３０】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1を出力する。ステップ８１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ８０１として、変数Ｉに初期値１を代入する。ステップ８０２として、点Pの２倍点2Pを計算する。ここで点Pは射影座標において(x,y,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ８０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ８０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ８０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ８１３へ行く。一致しなければステップ８０５へ行く。ステップ８０５として、変数Ｉを１増加させる。ステップ８０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ８０６へ行く。そのビットの値が１であればステップ８１０へ行く。ステップ８０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ８０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ８０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算2(mP)を行ない、点2mPを計算する。その後ステップ８０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ８０９として、ステップ８０８で求めた点2mPとステップ８０７で求めた点(2m+1)Pを点の組(2mP,(2m+1)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ８０４へ戻る。ここで、点2mP、点(2m＋1)、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ８１０として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)を計算する。その後ステップ８１１へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ８１１として、射影座標により表された点の組(mP,(m+1)P)から点(m+1)Pの２倍算2((m+1)P)を行ない、点(2m+2)Pを計算する。その後ステップ８１２へ行く。ここで、２倍算2((m+1)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ８１１として、ステップ８１０で求めた点(2m+1)Pとステップ８１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ８０４へ戻る。ここで、点(2m+1)P、点(2m+2)、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ８１３として、射影座標で表された点の組(mP,(m+1)P)から、射影座標で表された点mP=(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとして、射影座標で表された点(m+1)P=(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力する。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０２３１】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ８０７において加算の計算量、ステップ８０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ８１０において加算の計算量、ステップ８１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ８０４、ステップ８０５、ステップ８０６、ステップ８０７、ステップ８０８、ステップ８０９乃至はステップ８０４、ステップ８０５、ステップ８０６、ステップ８１０、ステップ８１１、ステップ８１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ８０２での２倍算の計算量及びステップ８１６でのモンゴメリ型楕円曲線上の点への変換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）（ｋ―１）＋４Ｍ＋２Ｓとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ―３．６）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４６８Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０２３２】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０２３３】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１６Ｍ＋２Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５４）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５２６Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０２３４】
第１０の実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点,(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点d(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算する。また、入力されたワイエルシュトラス型楕円曲線上の点Pを、与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線上の点に変換し、その点を新たにP=(x,y)とおく。高速スカラー倍計算部２０２は、X_d，Z_d，X_d+1，Z_d+1，x及びyを座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d，Z_d，X_d+1，Z_d+1，x及びyよりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の座標X_d ^W、Y_d ^W及びZ_d ^Wの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算結果として出力する。
【０２３５】
次に図１８により、座標x，y，X_d，Z_d，X_d+1，Z_d+1が与えられた場合にX_d ^W、Y_d ^W、Z_d ^Wを出力する座標復元部の処理について説明する。
【０２３６】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でワイエルシュトラス型楕円曲線上で射影座標おいて完全な座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０２３７】
ステップ１８０１においてX_d×xが計算され、レジスタＴ₁に格納される。ステップ１８０２においてＴ₁-Z_dが計算される。ここでレジスタＴ₁にはX_dxが格納されており、したがってX_dx-Z_dが計算される。その結果がレジスタＴ₁に格納される。ステップ１８０３においてZ_d×xが計算され、レジスタＴ₂に格納される。ステップ１８０４においてX_d-Ｔ₂が計算される。ここでレジスタＴ₂にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１８０５においてZ_d+1×Ｔ₁が計算される。ここでレジスタＴ₁にはX_dx-Z_dが格納されており、したがってZ_d+1(X_dx-Z_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１８０６においてX_d+1×Ｔ₂が計算される。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、したがってX_d+1(X_d-xZ_d)が計算される。その結果がレジスタＴ₄に格納される。ステップ１８０７においてＴ₁の２乗が計算される。ここでレジスタＴ₁にはX_dx-Z_dが格納されており、したがって(X_dx-Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ１８０８においてＴ₂の２乗が計算される。ここでレジスタＴ₂にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８０９においてＴ₂×Z_dが計算される。ここでレジスタＴ₂には(X_d-xZ_d)²が格納されており、したがってZ_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８１０においてＴ₂×X_d+1が計算される。ここでレジスタＴ₂にはZ_d(X_d-xZ_d)²が格納されており、したがってX_d+1Z_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８１１においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂にはX_d+1Z_d(X_d-xZ_d)²が格納されており、したがってZ_d+1X_d+1Z_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８１２においてＴ₂×yが計算される。ここでレジスタＴ₂にはZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されており、したがってyZ_d+1X_d+1Z_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８１３においてＴ₂×Bが計算される。ここでレジスタＴ₂にはyZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ１８１４においてＴ₂×X_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dが計算される。その結果がレジスタＴ₅に格納される。ステップ１８１５においてＴ₂×Z_dが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²が格納されており、したがってByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１８１６においてＴ₂×sが計算される。ここでレジスタＴ₂にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納されており、したがってsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが計算される。その結果がZ_d ^Ｗに格納される。ステップ１８１７においてα×Z_d ^Ｗが計算される。ここでZ_d ^ＷにはsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納されており、したがってαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが計算される。その結果がレジスタＴ₂に格納される。ステップ１８１８においてＴ₂+Ｔ₅が計算される。ここでレジスタＴ₂にはαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dがレジスタＴ₅にはByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dがそれぞれ格納されており、したがってαsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_d+ByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_dが計算される。その結果がX_d ^Ｗに格納される。ステップ１８１９においてＴ₃+Ｔ₄が計算される。ここでレジスタＴ₃にはZ_d+1(X_dx-Z_d)がレジスタＴ₄にはX_d+1(X_d-xZ_d)が格納されており、したがってZ_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ１８２０においてＴ₃-Ｔ₄が計算される。ここでレジスタＴ₃にはZ_d+1(X_dx-Z_d)がレジスタＴ₄にはX_d+1(X_d-xZ_d)が格納されており、したがってZ_d+1(X_dx-Z_d)- X_d+1(X_d-xZ_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１８２１においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(X_dx-Z_d)²がレジスタＴ₂にはZ_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)が格納されており、したがって{Z_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)}(X_dx-Z_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ１８２２においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁には{Z_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)}(X_dx-Z_d)²がレジスタＴ₃にはZ_d+1(X_dx-Z_d)- X_d+1(X_d-xZ_d)が格納されており、したがって{Z_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)}{Z_d+1(X_dx-Z_d)-X_d+1(X_d-xZ_d)}(X_dx-Z_d)²が計算される。その結果がY_d ^Ｗに格納される。したがってY_d ^Ｗには{Z_d+1(X_dx-Z_d)+X_d+1(X_d-xZ_d)}{Z_d+1(X_dx-Z_d)-X_d+1(X_d-xZ_d)}(X_dx-Z_d)²が格納されている。X_d ^Ｗにはステップ１８１８においてByZ_d+1X_d+1Z_d(X_d-xZ_d)²X_d+αsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納され、その後更新が行われないので、その値が保持されている。X_d ^Ｗにはステップ１８１６においてsByZ_d+1X_d+1Z_d(X_d-xZ_d)²Z_dが格納され、その後更新が行われないので、その値が保持されている。その結果として、ワイエルシュトラス型楕円曲線における射影座標(X_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されている。
【０２３８】
上記手順により与えられたx、y、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点の射影座標(X_d ^W,Y_d ^W,Z_d ^W)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。数６、数７の両辺を各々減算することにより、数８を得る。したがって、数９のようになる。ここでx_d=X_d/Z_d、x_d+1=X_d+1/Z_d+1、x_d-1=X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数１０を得る。モンゴメリ型楕円曲線の射影座標での加算公式は数１１、数１２である。ここでX_m及びZ_mはモンゴメリ型楕円曲線上の点Pのｍ倍点mPの射影座標におけるX座標及びZ座標、X_n及びZ_nはモンゴメリ型楕円曲線上の点Pのｎ倍点nPの射影座標におけるX座標及びZ座標、X_m-n及びZ_m-nはモンゴメリ型楕円曲線上の点Pの(m-n)倍点(m-n)Pの射影座標におけるX座標及びZ座標、X_m+n及びZ_m+nはモンゴメリ型楕円曲線上の点Pの(m+n)倍点(m+n)Pの射影座標におけるX座標及びZ座標であり、ｍ，ｎはｍ＞ｎをみたす正整数である。この式はX_m/Z_m=x_m、X_n/Z_n=x_n、X_m-n/Z_m-n=x_m-nが不変のとき、X_m+n/Z_m+n=x_m+nも不変となるので、射影座標での公式としてうまく働いている。他方、数１３、数１４とおくと、この式もX_m/Z_m=x_m、X_n/Z_n=x_n、X_m-n/Z_m-n=x_m-nが不変のとき、X_m+n/Z_m+n=x_m+nも不変となる。また、X'_m-n/Z'_m-n=X_m-n/Z_m-n=x_m-nをみたすので、x_m-nの射影座標としてX'_m-n,Z'_m-nをとってよい。m=d,n=1として上記公式を用いてy_dの式よりX_d-1及びZ_d-1を消去し、X₁=x,Z₁=1とおくことにより、数１５を得る。x_d=X_d/Z_dであるが、y_dの分母と通分することにより、数１６となる。その結果として、
【０２３９】
【数４７】

【０２４０】
とし、
【０２４１】
【数４８】

【０２４２】
【数４９】

【０２４３】
とすると(X'_d,Y'_d,Z'_d)=(X_d,Y_d,Z_d)となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをsαとして、Y_d ^W=Y'_d、X_d ^W=X'_d+αZ_d ^W、及びZ_d ^W=sZ'_dという関係がある。結果として次の式を得る。
【０２４４】
【数５０】

【０２４５】
【数５１】

【０２４６】
【数５２】

【０２４７】
により更新すればよい。ここで、X_d ^W,Y_d ^W,Z_d ^Wは図１８の処理により与えられている。したがって、ワイエルシュトラス型楕円曲線における射影座標(X_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されていることになる。
【０２４８】
上記手順はステップ１８０１、ステップ１８０３、ステップ１８０５、ステップ１８０６、ステップ１８０９、ステップ１８１０、ステップ１８１１、ステップ１８１２、ステップ１８１３、ステップ１８１４、ステップ１８１５、ステップ１８１６、ステップ１８１７、ステップ１８２１及びステップ１８２２において有限体上の乗算の計算量を必要とする。また、ステップ１８０７及びステップ１８０８において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１５Ｍ＋２Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１６．６Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０２４９】
尚、上記手順をとらなくても、上記計算式により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できればX_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュトラス型楕円曲線においてアフィン座標におけるスカラー倍点dPをdP=(x_d ^W,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計算式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの値を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、モンゴメリ型楕円曲線のパラメタであるBの値やモンゴメリ型楕円曲線への変換パラメタsの値を小さくとることにより、ステップ１８１３乃至はステップ１８１６における乗算の計算量を削減することができる。
【０２５０】
次に、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムについて説明する。
【０２５１】
第１０実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第９実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０２５２】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１５Ｍ＋２Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１３）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１４８５Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０２５３】
第１１実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３が、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1を計算する。また、入力されたワイエルシュトラス型楕円曲線上の点Pを、与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線上の点に変換し、その点を新たにP=(x,y)とおく。高速スカラー倍計算部２０２は、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1，x及びyを座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1，x及びyよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP=(x_d,y_d)の座標x_d及びy_dの復元を行なう。スカラー倍計算装置１０３はワイエルシュトラス型楕円曲線上でアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０２５４】
次に図１９により、座標x，y，X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1が与えられた場合にx_d、y_dを出力する座標復元部の処理について説明する。
【０２５５】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でワイエルシュトラス型楕円曲線上でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d ^Mon,y_d ^Mon)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０２５６】
ステップ１９０１においてX_d-1×Z_d+1が計算され、レジスタＴ₁に格納される。ステップ１９０２においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納される。ステップ１９０３においてＴ₁−Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ１９０４においてZ_d×xが計算され、レジスタＴ_２に格納される。ステップ１９０５においてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１９０６においてＴ_２の２乗が計算される。ここでレジスタＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ_２に格納される。ステップ１９０７においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がレジスタＴ₁に格納される。ステップ１９０８において4B×yが計算される。その結果がレジスタＴ_２に格納される。ステップ１９０９においてＴ_２×Z_d+1が計算される。ここでレジスタＴ_２には4Byが格納されており、したがって4ByZ_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１９１０においてＴ_２×Z_d-1が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納されており、したがって4ByZ_d-1Z_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ１９１１においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d-1Z_d+1が格納されており、したがって4ByZ_d-1Z_d+1Z_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１９１２においてＴ_２×X_dが計算される。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dが格納されており、したがって4ByZ_d-1Z_d+1Z_dX_dが計算される。その結果がレジスタＴ₃に格納される。ステップ１９１３においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dが格納されており、したがって4ByZ_d-1Z_d+1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１９１４において、Ｔ_２×sが計算される。ここでレジスタＴ_２には4ByZ_d-1Z_d+1Z_dZ_dが格納されており、したがって4sByZ_d-1Z_d+1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１９１５においてレジスタＴ_２の逆元が計算される。ここでレジスタＴ_２には4sByZ_d-1Z_d+1Z_dZ_dが格納されており、したがって1/4sByZ_d-1Z_d+1Z_dZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ１４１６においてＴ_２×Ｔ₃が計算される。ここでレジスタＴ_２には1/4sByZ_d-1Z_d+1Z_dZ_dがレジスタＴ₃には4ByZ_d-1Z_d+1Z_dX_d がそれぞれ格納されており、したがって(4ByZ_d-1Z_d+1Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)が計算される。その結果がレジスタＴ₃に格納される。ステップ１９１７においてＴ₃＋αが計算される。ここでレジスタＴ₃には(4ByZ_d-1Z_d+1Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)が格納されており、したがって(4ByZ_d-1Z_d+1Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)＋αが計算される。その結果がレジスタx_dに格納される。ステップ１９１８においてレジスタＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁には(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)がレジスタＴ_２には1/4sByZ_d-1Z_d+1Z_dZ_dがそれぞれ格納されており、したがって(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4sByZ_d-1Z_d+1Z_d ²が計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(X_d-1Z_d+1-Z_d-1X_d+1)(X_d-Z_dx)²/4sByZ_d-1Z_d+1Z_d ²が格納されている。レジスタx_dにはステップ１９１７において(4ByZ_d-1Z_d+1Z_dX_d)/(4sByZ_d-1Z_d+1Z_dZ_d)+αが格納され、その後更新が行なわれないので、その値が保持されている。
【０２５７】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数３８、数３９を得る。両辺を各々減算することにより、数４０を得る。したがって、数４１となる。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d=1＝X_d=1/Z_d=1であり、この値を代入することにより射影座標の値へと変換すると、数４２を得る。
【０２５８】
ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数を減らす目的でy_d ^Monの分母と通分することにより、数５３となる。
【０２５９】
【数５３】

【０２６０】
モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s^-1x_d ^Mon+αの関係がある。結果として次の式を得る。
【０２６１】
【数５４】

【０２６２】
【数５５】

【０２６３】
ここで、ｘ_d,ｙ_dは図１９により与えられる。したがって、ワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元されることになる。
【０２６４】
上記手順はステップ１９０１、ステップ１９０２、ステップ１９０４、ステップ１９０７、ステップ１９０８、ステップ１９０９、ステップ１９１０、ステップ１９１１、ステップ１９１２、ステップ１９１３、ステップ１９１４、ステップ１９１６及びステップ１９１８において有限体上の乗算の計算量を必要とする。また、ステップ１９０６において有限体上の２乗算の計算量を必要とする。また、ステップ１９１４において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１３Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５３．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０２６５】
尚、上記手順をとらなくても、上記計算式により与えられたx_d，y_dの値が計算できればx_d，y_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、モンゴメリ型楕円曲線のパラメタであるBの値乃至はモンゴメリ型楕円曲線への変換パラメタであるsの値をを小さくとることにより、ステップ１９０８乃至はステップ１９１４における乗算の計算量を削減することができる。
【０２６６】
次に図１０により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d+1，Z_d-1を出力する高速スカラー倍計算部の処理について説明する。
【０２６７】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)のうちX_d-1及びZ_d-1を出力する。ステップ１０１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ１００１として、変数Ｉに初期値１を代入する。ステップ１００２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ１００３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ１００２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ１００４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ１０１４へ行く。一致しなければステップ１００５へ行く。ステップ１００５として、変数Ｉを１増加させる。ステップ１００６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ１００６へ行く。そのビットの値が１であればステップ１０１０へ行く。ステップ１００７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ１００８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ１００８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ１００９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ１００９として、ステップ１００８で求めた点2mPとステップ１００７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ１００４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ１０１０として、射影座標により表された点の組(mP, (m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ１０１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ１０１１として、射影座標により表された点の組(mP, (m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ１０１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ１０１１として、ステップ１０１０で求めた点(2m+１)Pとステップ１０１１で求めた点(2m+2)Pを点の組((2m+1)P, (2m+2)P)として、点の組(mP, (m+1)P)の代わりに格納する。その後ステップ１００４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ１０１４として、射影座標で表された点の組(mP,(m+１)P)から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標をZ_m-1求め、それぞれX_d-1及びZ_d-1とする。その後ステップ１０１３へ行く。ステップ１０１３として、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとして、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_{m +1}及びZ_m+1をそれぞれX_d+1及びZ_d+1として、X_d-1及びZ_d-1と共に出力する。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０２６８】
また、ステップ１０１４において(m-1)Pを求める際に、数１３、数１４の公式より求めてもよいし、mが奇数であれば、((m-1)/2)Pの値をステップ１０１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍の公式より、(m-1)Pを求めてもよい。
【０２６９】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ１００７において加算の計算量、ステップ１００８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ１０１０において加算の計算量、ステップ１０１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ１００４、ステップ１００５、ステップ１００６、ステップ１００７、ステップ１００８、ステップ１００９乃至はステップ１００４、ステップ１００５、ステップ１００６、ステップ１０１０、ステップ１０１１、ステップ１０１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ１００２での２倍算の計算量とステップ１０１４での(m-1)Pの計算に必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋Ｍとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋３）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４７５Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０２７０】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Y_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０２７１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１３Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５６．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５２９Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０２７２】
第１２実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いる。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d=1及びZ_d-1を計算し、射影座標で表された入力されたワイエルシュトラス型楕円曲線上の点P=(x,y)と共にその情報を座標復元部２０３に与える。座標変換部２０３は与えられた座標の値X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1，x及びyよりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の座標X_d ^W、Y_d ^W及びZ_d ^Wの復元を行なう。スカラー倍計算装置１０３はワイエルシュトラス型楕円曲線上で座標射影座標において完全に座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算結果として出力する。
【０２７３】
次に図１３により、座標x，y，X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1が与えられた場合にX_d ^W、Y_d ^W、Z_d ^Wを出力する座標復元部の処理について説明する。
【０２７４】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、射影座標で表されたモンゴメリ型楕円曲線上の点(d-1)P=(X_d-1,Y_d-1,Z_d-1)の座標のうちX_d-1及びZ_d-1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを射影座標で表した(x,y)を入力し、以下の手順でワイエルシュトラス型楕円曲線上で射影座標おいて完全な座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d-1)Pのアフィン座標を(x_d-1,y_d-1)で、射影座標を(X_d-1,Y_d-1,Z_d-1)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０２７５】
ステップ２００１においてX_d-1×Z_d+1が計算され、レジスタＴ₁に格納される。ステップ２００２においてZ_d-1×X_d+1が計算され、レジスタＴ_２に格納される。ステップ２００３においてＴ₁−Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1がレジスタＴ_２にはZ_d-1X_d+1がそれぞれ格納されており、したがってX_d-1Z_d+1-Z_d-1X_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ２００４においてZ_d×xが計算され、レジスタＴ_２に格納される。ステップ２００５においてX_d-Ｔ_２が計算さる。ここでレジスタＴ_２にはZ_dxが格納されており、したがってX_d-xZ_dが計算される。その結果がレジスタＴ_２に格納される。ステップ２００６においてＴ_２の２乗が計算される。ここでレジスタＴ_２にはX_d-xZ_dが格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ_２に格納される。ステップ２００７においてＴ₁×Ｔ_２が計算される。ここでレジスタＴ₁にはX_d-1Z_d+1-Z_d-1X_d+1がレジスタＴ_２には(X_d-xZ_d)²がそれぞれ格納されており、したがって(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が計算される。その結果がY_d ^Wに格納される。ステップ２００８において4B×yが計算される。その結果がレジスタＴ_２に格納される。ステップ２００９においてＴ_２×Z_d+1が計算される。ここでレジスタＴ_２には4Byが格納されており、したがって4ByZ_d+1が計算される。その結果がレジスタＴ_２に格納される。ステップ２０１０においてＴ_２×Z_d-1が計算される。ここでレジスタＴ_２には4ByZ_d+1が格納されており、したがって4ByZ_{d ＋ 1}Z_d-1が計算される。その結果がレジスタＴ_２に格納される。ステップ２０１１においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4yZ_d+1Z_d-1が格納されており、したがって4ByZ_d+1Z_d-1Z_dが計算される。その結果がレジスタＴ_２に格納される。ステップ２０１２においてＴ_２×X_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dX_dが計算される。その結果がレジスタＴ₁に格納される。ステップ２０１３においてＴ_２×Z_dが計算される。ここでレジスタＴ_２には4ByZ_d+1Z_d-1Z_dが格納されており、したがって4ByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ２０１４においてＴ₂×sが計算される。ここでレジスタＴ₂には4ByZ_d+1Z_d-1Z_dZ_dが格納されており、したがって4sByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタZ_d ^W格納される。ステップ２０１５においてα×Z_d ^Wが計算される。ここでレジスタZ_d ^Wには4sByZ_d+1Z_d-1Z_dZ_dが格納されており、したがって4αsByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ２０１６においてＴ₁+Ｔ₂が計算される。ここでレジスタＴ₁には4ByZ_d+1Z_d-1Z_dX_dがレジスタＴ₂には4αsByZ_d+1Z_d-1Z_dZ_dがそれぞれ格納されており、したがって4ByZ_d+1Z_d-1Z_dX_d+4αsByZ_d+1Z_d-1Z_dZ_dが計算される。その結果がレジスタX_d ^Wに格納される。したがってレジスタX_d ^Wには4ByZ_d+1Z_d-1Z_dX_d+4αsByZ_d+1Z_d-1Z_dZ_dが格納されている。レジスタY_d ^Wにはステップ２００７において(X_d-xZ_d)²(X_d-1Z_d+1-Z_d-1X_d+1)が格納され、その後更新が行なわれないので、その値が保持されている。レジスタZ_d ^Wにはステップ２０１４において4sByZ_d+1Z_d-1Z_dZ_dが格納され、その後更新が行なわれないので、その値が保持されている。
【０２７６】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1、X_d-1、Z_d-1からワイエルシュトラス型楕円曲線におけるスカラー倍点の射影座標(X_d ^W, Y_d ^W, Z_d ^W)における値が全て復元される理由は以下の通りである。尚、点(d+1)Pは点dPに点Pを加算した点であり、点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。両辺を各々減算することにより、数８を得る。したがって、数９となる。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1、ｘ_d-1＝X_d-1/Z_d-1であり、この値を代入することにより射影座標の値へと変換すると、数１０を得る。
【０２７７】
ｘ_d＝X_d/Z_dであるが、ｙ_dの分母と通分することにより、数２０となる。その結果として、
【０２７８】
【数５６】

【０２７９】
とし、
【０２８０】
【数５７】

【０２８１】
【数５８】

【０２８２】
とすると(X'_d, Y'_d, Z'_d)=(X_d, X_d, X_d)となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、Y_d ^W = Y'_d、X_d ^W=X'_d＋αZ_d ^W及びZ_d ^W=sZ'_dの関係がある。結果として次の式を得る。
【０２８３】
【数５９】

【０２８４】
【数６０】

【０２８５】
【数６１】

【０２８６】
となる。ここで、X_d ^W, Y_d ^W, Z_d ^Wは図２０により与えられる。したがって、ワイエルシュトラス型楕円曲線における射影座標(X_d ^W, Y_d ^W, Z_d ^W)の値が全て復元されていることになる。
【０２８７】
上記手順はステップ２００１、ステップ２００２、ステップ２００４、ステップ２００７、ステップ２００８、ステップ２００９、ステップ２０１０、ステップ２０１１、ステップ２０１２、ステップ２０１３、ステップ２０１４及びステップ２０１５において有限体上の乗算の計算量を必要とする。また、ステップ２００６において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１２Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１２．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０２８８】
尚、上記手順をとらなくても、上記計算式により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できればX_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュトラス型楕円曲線においてアフィン座標におけるスカラー倍点dPをdP=(x_d ^W、,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計算式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの値を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBやモンゴメリ型楕円曲線への変換パラメタであるｓの値を小さくとることにより、ステップ２００８乃至はステップ２０１４における乗算の計算量を削減することができる。
【０２８９】
次に、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムについて説明する。
【０２９０】
第１２実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第１１実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1，X_d-1，Z_d-1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０２９１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋１）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１３．８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１４８６Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０２９２】
第１３実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３が、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x_d-1、x及びyよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d ^W,y_d ^W)の座標y_d ^Wの復元を行なう。スカラー倍計算装置１０３はワイエルシュトラス型楕円曲線上でアフィン座標において完全に座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を計算結果として出力する。
【０２９３】
次に図２１により、座標x、y、x_d、x_d+1、x_d-1が与えられた場合に、x_d ^W、y_d ^Wを出力する座標復元部の処理について説明する。
【０２９４】
座標復元部２０３では、モンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を出力する。
【０２９５】
ステップ２１０１においてx_d−xが計算され、レジスタＴ₁に格納される。ステップ２１０２においてＴ₁の２乗すなわち(x_d−x)²が計算され、レジスタＴ₁に格納される。ステップ２１０３においてx_d-1−x_d+1が計算され、レジスタＴ₂に格納される。ステップ２１０４においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_d−x)²がレジスタＴ₂にはx_d-1−x_d+1がそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)が計算される。その結果がレジスタＴ₁に格納される。ステップ２１０５において4B×yが計算され、レジスタＴ₂に格納される。ステップ２１０６においてＴ₂の逆元が計算される。ここでレジスタＴ₂には4Byが格納されており、したがって1/4Byが計算される。その結果がレジスタＴ₂に格納される。ステップ２１０７においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_d−x)²(x_d-1−x_d+1)がレジスタＴ₂には1/4Byがそれぞれ格納されており、したがって(x_d−x)²(x_d-1−x_d+1)/4Byが計算される。その結果がレジスタＴ₁に格納される。ステップ２１０８においてＴ₁×s^-1が計算される。ここでレジスタＴ₁には(x_d−x)²(x_d-1−x_d+1)/4Byが格納されており、したがって(x_d−x)²(x_d-1−x_d+1)/4sByが計算される。その結果がレジスタy_d ^Wに格納される。尚、sはあらかじめ与えられている値であり、したがってあらかじめs^-1を計算できる。ステップ２１０９においてx_d×s^-1が計算される。その結果がレジスタＴ₁に格納される。ステップ２１１０においてＴ₁+αが計算される。ここでレジスタＴ₁にはs^-1x_dが格納されており、したがってs^-1x_d+αが計算される。その結果がレジスタx_d ^Wに格納される。したがってレジスタx_d ^Wにはs^-1x_d+αが格納されている。レジスタy_d ^Wはステップ２１０８において(x_d−x)²(x_d-1−x_d+1)/4sByが格納され、その後更新されないので、その値が保持されている。
【０２９６】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。点(d-1)Pは点dPから点Pを減算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６、数７を得る。両辺を各々減算することにより、数８を得る。したがって、数９となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、y_d ^W=s^-1y_d及びx_d ^W=s^-1x_d+αの関係がある。結果として次の式を得る。
【０２９７】
【数６２】

【０２９８】
【数６３】

【０２９９】
ここで、x_d ^W，y_d ^Wは図２１により与えられる。したがって、アフィン座標(x_d ^W, y_d ^W)の値は全て復元されていることになる。
【０３００】
上記手順はステップ２１０４、ステップ２１０５、ステップ２１０７、ステップ２１０８及びステップ２１０９において有限体上の乗算の計算量を必要とする。また、ステップ２１０２において有限体上の２乗算の計算量を必要とする。さらにステップ２１０６において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は５Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４５．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３０１】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_d ^Wの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBやモンゴメリ型楕円曲線への変換パラメタsの値を小さくとることにより、ステップ２１０５、ステップ２１０８乃至はステップ２１０９における乗算の計算量を削減することができる。
【０３０２】
次に図２４により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d，x_d+1，x_d=1を出力する高速スカラー倍計算部の処理について説明する。
【０３０３】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP=(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(x_d+1,y_d+1)のうちx_d+1、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d-1)P=(x_d-1,y_d-1)のうちx_d-1を出力する。ステップ２４１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ２４０１として、変数Ｉに初期値１を代入する。ステップ２４０２として、点Pの２倍点2Pを計算する。ここで点Pは射影座標において(x,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ２４０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ２４０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ２４０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ２４１４へ行く。一致しなければステップ２４０５へ行く。ステップ２４０５として、変数Ｉを１増加させる。ステップ２４０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ２４０６へ行く。そのビットの値が１であればステップ２４１０へ行く。ステップ２４０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ２４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ２４０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算2(mP)を行ない、点2mPを計算する。その後ステップ２４０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ２４０９として、ステップ２４０８で求めた点2mPとステップ２４０７で求めた点(2m+１)Pを点の組(2mP,(2m+１)P)として、点の組(mP,(m+１)P)の代わりに格納する。その後ステップ２４０４へ戻る。ここで、点2mP、点(2m+1)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ２４１０として、射影座標により表された点の組(mP, (m+１)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ２４１１へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ２４１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ２４１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ２４１１として、ステップ２４１０で求めた点(2m+１)Pとステップ２４１１で求めた点(2m+2)Pを点の組((2m+１)P, (2m+2)P)として、点の組(mP,(m+1)Pの代わりに格納する。その後ステップ２４０４へ戻る。ここで、点(2m+１)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ２４１４として、射影座標で表された点の組(mP,(m+１)P)から、点(m-1)Pの射影座標におけるX座標X_m-1及びZ座標Z_m-1を求め、それぞれX_d-1及びZ_d-1とする。その後ステップ２４１５へ行く。ステップ２４１５として、射影座標で表された点mP=(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとし、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。X_d-1，Z _d+1，X _d，Z _d，X _d+1，Z _d+1より、数２４、数２５、数２６としてx_d-1，x_d，x_d+1を求める。その後ステップ２４１３へ行く。ステップ２４１３として、x_d-1，x_d，x_d+1を出力する。上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。またステップ２４１４において(m-1)Pを求める際に、数１３、数１４の公式により求めてもよいし、ｍが奇数であれば、((m-1)/2)Pの値をステップ２４１２の段階で別に保持しておき、その値からモンゴメリ型楕円曲線の２倍算の公式より、(m-1)Pを求めてもよい。
【０３０４】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ２４０７において加算の計算量、ステップ２４０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ２４１０において加算の計算量、ステップ２４１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ２４０４、ステップ２４０５、ステップ２４０６、ステップ２４０７、ステップ２４０８、ステップ２４０９乃至はステップ２４０４、ステップ２４０５、ステップ２４０６、ステップ２４１０、ステップ２４１１、ステップ２４１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ２４０２での２倍算の計算量、ステップ２４１４での(m-1)Pの計算に必要な計算量及びステップ２４１５でのアフィン座標への変換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋１１Ｍ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋５１）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５２３Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられ、これ以外にアフィン座標への変換の計算量が必要となる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０３０５】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d-1，x_d，x_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３０６】
第１４の実施例は、スカラー倍計算装置１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Ｐから、モンゴメリ型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力するものである。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値ｄと与えられたモンゴメリ型楕円曲線上の点Ｐからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(ｘ,ｙ)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０３０７】
次に図３４により、座標x,y,X_d,Z_d,X_d+1,Z_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処理について説明する。
【０３０８】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０３０９】
ステップ３４０１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ３４０２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３４０３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３４０４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３４０５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３４０６において2A×Z_dが計算され、レジスタＴ₁に格納される。ステップ３４０７においてＴ₂+Ｔ₁が計算される。ここでレジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ格納されており、したがってxZ_d+X_d+2AZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３４０８においてx×X_dが計算され、レジスタＴ₄に格納される。ステップ３４０９においてＴ₄+Z_dが計算される。ここでレジスタＴ₄にはxX_dが格納されており、したがってxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納される。ステップ３４１０においてＴ₂×Ｔ₄が計算される。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ３４１１においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2AZ_dが格納されており、したがって2AZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ３４１２においてＴ₂-Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ３４１３においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に格納される。ステップ３４１４においてＴ₂-Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ３４１５において2B×yが計算され、レジスタＴ₁に格納される。ステップ３４１６においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2Byが格納されており、したがって2ByZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ３４１７においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には2ByZ_dが格納されており、したがって2ByZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ３４１８においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1Z_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３４１９においてレジスタＴ₃の逆元が計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1Z_dが格納されており、したがって1/2ByZ_dZ_d+1Z_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３４２０においてＴ₂×Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²がレジスタＴ₃には1/2ByZ_dZ_d+1Z_dがそれぞれ格納されており、したがって{Z_d+1 ((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²}/2ByZ_dZ_d+1 Z_dが計算される。その結果がレジスタy_dに格納される。ステップ３４２１においてＴ₁×X_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_d Z_d+1X_dが計算される。その結果がレジスタＴ₁に格納される。ステップ３４２２においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1X_dがレジスタＴ₃には1/2ByZ_dZ_d+1Z_dがそれぞれ格納されており、したがって2ByZ_dZ_d+1X_d /2ByZ_dZ_d+1Z_d(＝X_d/Z_d)が計算される。その結果がx_dに格納される。y_dにはステップ３４２０において{Z_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²}/2By Z_dZ_d+1Z_dが格納され、その後更新が行なわれないので、その値が保持されている。
【０３１０】
上記手順により座標復元部２０３へ与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からモンゴメリ型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。尚、点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。数６に代入し、By_d ²及びBy²を消去し、式を整理すると、
【０３１１】
【数６４】

【０３１２】
を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【０３１３】
【数６５】

【０３１４】
ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、
【０３１５】
【数６６】

【０３１６】
となる。ここで、x_{d ，}y_dは図３４の処理により与えられている。したがって、アフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０３１７】
上記手順はステップ３４０１、ステップ３４０５、ステップ３４０６、ステップ３４０８、ステップ３４１０、ステップ３４１１、ステップ３４１３、ステップ３４１５、ステップ３４１６、ステップ３４１７、ステップ３４１８、ステップ３４２０、ステップ３４２１及びステップ３４２２において有限体上の乗算の計算量を必要とする。また、ステップ３４０４において有限体上の２乗算の計算量を必要とする。また、ステップ３４１９において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１４Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５４．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３１８】
尚、上記手順をとらなくても、上記計算式により与えられたｘ_d,ｙ_dの値が計算できればｘ_d,ｙ_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるA乃至はBの値を小さくとることにより、ステップ３４０６乃至はステップ３４１５における乗算の計算量を削減することができる。
【０３１９】
次にスカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z_d+1を出力する高速スカラー倍計算部の処理を説明する。
【０３２０】
第１４実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第１実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３２１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５０）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５２２Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０３２２】
第１５の実施例は、スカラー倍計算部１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力するものである。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、x及びyよりモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。
【０３２３】
次に図３５により、座標x、y X_d、Z_d、X_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座標復元部の処理について説明する。
【０３２４】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順で射影座標おいて完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０３２５】
ステップ３５０１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ３５０２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３５０３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３５０４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３５０５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３５０６において2A×Z_dが計算され、レジスタＴ₁に格納される。ステップ３５０７においてＴ₂+Ｔ₁が計算される。ここでレジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ格納されており、したがってxZ_d+X_d+2AZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３５０８においてx×X_dが計算され、レジスタＴ₄に格納される。ステップ３５０９においてＴ₄+Z_dが計算される。ここでレジスタＴ₄にはxX_dが格納されており、したがってxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納される。ステップ３５１０においてＴ₂×Ｔ₄が計算される。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ３５１１においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2AZ_dが格納されており、したがって2AZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ３５１２においてＴ₂-Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ３５１３においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に格納される。ステップ３５１４においてＴ₂-Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタY_dに格納される。ステップ３５１５において2B×yが計算され、レジスタＴ₁に格納される。ステップ３５１６においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2Byが格納されており、したがって2ByZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ３５１７においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には2ByZ_dが格納されており、したがって2ByZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ３５１８においてＴ₁×X_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1X_dが計算される。その結果がレジスタX_dに格納される。ステップ３５１９においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1Z_dが計算される。その結果がレジスタZ_dに格納される。X_dにはステップ３５１８において2ByZ_dZ_d+1X_dが格納され、その後更新が行なわれないので、その値が保持されている。Y_dにはステップ３５１４においてZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が格納され、その後更新が行なわれないので、その値が保持されている。
【０３２６】
上記手順により与えられたx、y、X_d、Z_d、X_{d+1 、}Z_d+1からスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、次の数６を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。数６に代入し、By_d ²及びBy²を消去し、式を整理すると、数６４を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、数６５を得る。ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、数６６となる。その結果として、
【０３２７】
【数６７】

【０３２８】
とし、X_d及びZ_dをそれぞれ
【０３２９】
【数６８】

【０３３０】
【数６９】

【０３３１】
により更新すればよい。ここで、X_d，Y_d，Z_dは図３５の処理により与えられている。したがって、射影座標(X_d,Y_d,Z_d)の値が全て復元されていることになる。
【０３３２】
上記手順はステップ３５０１、ステップ３５０５、ステップ３５０６、ステップ３５０８、ステップ３５１０、ステップ３５１１、ステップ３５１３、ステップ３５１５、ステップ３５１６、ステップ３５１７、ステップ３５１８及びステップ３５１９において有限体上の乗算の計算量を必要とする。また、ステップ３５０４において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１２Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１２．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３３３】
尚、上記手順をとらなくても、上記計算式により与えられたX_d、Y_d、Z_dの値が計算できればX_d、Y_d、Z_dの値が復元できる。また、x_d、y_dが上記計算式により与えられる値を取るようにX_d、Y_d、Z_dの値を選択し、その値が計算できればX_d、Y_d、Z_dが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるA乃至はBの値を小さくとることにより、ステップ３５０６乃至はステップ３５１５における乗算の計算量を削減することができる。
【０３３４】
次に、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムについて説明する。
【０３３５】
第１５実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第１実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３３６】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１２Ｍ＋Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―４．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋８）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１４８０Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０３３７】
第１６の実施例は、スカラー倍計算装置１０３がスカラー値d及びモンゴメリ型楕円曲線上の点Pから、モンゴメリ型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力する。スカラー値d及びモンゴメリ型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x及びyよりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標y_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０３３８】
次に図３６により、座標x、y、x_d、x_d+1が与えられた場合に、x_d、y_dを出力する座標復元部の処理について説明する。
【０３３９】
座標復元部２０３では、モンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。
【０３４０】
ステップ３６０１においてx_d×xが計算され、レジスタＴ₁に格納される。ステップ３６０２においてＴ₁+1が計算される。ここでレジスタＴ₁にはx_dxが格納されており、したがってx_dx+1が計算される。その結果がレジスタＴ₁に格納される。ステップ３６０３においてx_d+xが計算され、レジスタＴ₂に格納される。ステップ３６０４においてＴ₂+2Aが計算される。ここでレジスタＴ₂にはx_d+xが格納されており、したがってx_d+x+2Aが計算される。その結果がレジスタＴ₂に格納される。ステップ３６０５においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁にはx_dx+1がレジスタＴ₂にはx_d+x+2Aがそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)が計算される。その結果がレジスタＴ₁に格納される。ステップ３６０６においてＴ₁-2Aが計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)が格納されており、したがって(x_dx+1)(x_d+x+2A)-2Aが計算される。その結果がレジスタＴ₁に格納される。ステップ３６０７においてx_d-xが計算され、レジスタＴ₂に格納される。ステップ３６０８においてＴ₂の２乗が計算される。ここでレジスタＴ₂にはx_d-xが格納されており、したがって(x_d−x)²が計算される。その結果がレジスタＴ₂に格納される。ステップ３６０９においてＴ₂×x_d+1が計算される。ここでレジスタＴ₂には(x_d−x)²が格納されており、したがって(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₂に格納される。ステップ３６１０においてＴ₁-Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)-2AがレジスタＴ₂には(x_d−x)²x_d+1がそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ３６１１において2B×yが計算され、レジスタＴ₂に格納される。ステップ３６１２においてＴ₂の逆元が計算される。ここでレジスタＴ₂には2Byが格納されており、したがって1/2Byが計算される。その結果がレジスタＴ₂に格納される。ステップ３６１３においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1がレジスタＴ₂には1/2Byがそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1/2Byが計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1/2Byが格納されている。レジスタx_dは全く更新されないので入力された値が保持されている。
【０３４１】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。尚、点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ²=x_d ³+Ax_d ² +x_d及びBy²=x³+Ax²+xをみたす。数６に代入し、By_d ²及びBy²を消去し、式を整理すると、数６４を得る。ここで、x_d，y_dは図３６の処理により与えられる。したがって、アフィン座標(x_d,y_d)の値は全て復元されたことになる。
【０３４２】
上記手順はステップ３６０１、ステップ３６０５、ステップ３６０９、ステップ３６１１及びステップ３６１３において有限体上の乗算の計算量を必要とする。また、ステップ３６０８において有限体上の２乗算の計算量を必要とする。さらにステップ３６１２において有限体上の逆元演算の計算量を必要とする。有限体上の減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は５Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４５．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３４３】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_dの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるBの値を小さくとることにより、ステップ２６０５における乗算の計算量を削減することができる。
【０３４４】
次に図４３により、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1を出力する高速スカラー倍計算部の処理について説明する。
【０３４５】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1を出力する。ステップ４３０１として、変数Ｉに初期値１を代入する。ステップ４３０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ４３０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ４３０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ４３０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ４３１５へ行く。一致しなければステップ４３０５へ行く。ステップ４３０５として、変数Ｉを１増加させる。ステップ４３０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ４３０６へ行く。そのビットの値が１であればステップ４３１０へ行く。ステップ４３０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４３０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４３０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ４３０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４３０９として、ステップ４３０８で求めた点2mPとステップ４３０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ４３０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ４３１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ４３１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４３１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ４３１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４３１１として、ステップ４３１０で求めた点(2m+１)Pとステップ４３１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ４３０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ６１５として、射影座標で表された点mP＝(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとし、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。X_d，Z_d，X_d+1，Z_d+1より、x_d=X_dZ_d+1/Z_dZ_d+1, x_d+1=Z_dX_d+1/Z_d Z_d+1としてx_d，x_d+1を求める。その後ステップ４３１３へ行く。ステップ４３１３として、x_d，x_d+1を出力する。上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０３４６】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ４３０７において加算の計算量、ステップ４３０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ４３１０において加算の計算量、ステップ４３１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ４３０４、ステップ４３０５、ステップ４３０６、ステップ４３０７、ステップ４３０８、ステップ４３０９乃至はステップ４３０４、ステップ４３０５、ステップ４３０６、ステップ４３１０、ステップ４３１１、ステップ４３１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ４３０２での２倍算の計算量及びアフィン座標への変換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋２Ｍ―２Ｓ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋４０．４）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５１２Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられ、これ以外にアフィン座標への変換の計算量が必要となる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０３４７】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びモンゴメリ型楕円曲線上の点Pから、x_d、x_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３４８】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は５Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋４０．４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋８６．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５５８Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０３４９】
第１７の実施例は、楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力するものである。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P=(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０３５０】
次に図３７により、座標x、y、X_d、Z_d、X_d+1、Z_d+1が与えられた場合にx_d、y_dを出力する座標復元部の処理について説明する。
【０３５１】
座標復元部２０３では、ワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたワイエルシュトラス型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてワイエルシュトラス型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０３５２】
ステップ３７０１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ３７０２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３７０３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３７０４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３７０５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３７０６においてx×X_dが計算され、レジスタＴ₁に格納される。ステップ３７０７においてa×Z_dが計算され、レジスタＴ₄に格納される。ステップ３７０８においてＴ₁+Ｔ₄が計算される。ここでレジスタＴ₁にはxX_dがレジスタＴ₄にはaZ_dがそれぞれ格納されており、したがってxX_d+aZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ３７０９においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁にはxX_d+aZ_dがレジスタＴ₂にはxZ_d+X_dがそれぞれ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)が計算される。その結果がレジスタＴ₁に格納される。ステップ３７１０においてレジスタZ_dの２乗が計算され、レジスタＴ₂に格納される。ステップ３７１１においてＴ₂×2bが計算される。ここでレジスタＴ₂にはZ_d ²が格納されており、したがって2bZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ３７１２においてＴ₁+Ｔ₂が計算される。ここでレジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)がレジスタＴ₂には2bZ_d ²がそれぞれ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ３７１３においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が格納されており、したがってZ_d+1((xX_d+aZ_d) (xZ_d+X_d)+2bZ_d ²)が計算される。その結果がレジスタＴ₁に格納される。ステップ３７１４においてＴ₁-Ｔ₃が計算される。ここでレジスタＴ₁にはZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₁に格納される。ステップ３７１５において2y×Z_dが計算され、レジスタＴ₂に格納される。ステップ３７１６においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には2yZ_dが格納されており、したがって2yZ_dZ_d+1が計算される。その結果がレジスタＴ₂に格納される。ステップ３７１７においてＴ₂×Z_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1が格納されており、したがって2yZ_dZ_d+1Z_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３７１８においてレジスタＴ₃の逆元が計算される。ここでレジスタＴ₃には2yZ_dZ_d+1Z_dが格納されており、したがって1/2yZ_dZ_d+1Z_d が計算される。その結果がレジスタＴ₃に格納される。ステップ３７１９においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁にはZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²) -X_d+1(X_d-xZ_d)²がレジスタＴ₃には1/2yZ_dZ_d+1Z_dがそれぞれ格納されており、したがって(Z_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²)/2yZ_dZ_d+1Z_dが計算される。その結果がレジスタy_dに格納される。ステップ３７２０においてＴ₂×X_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1が格納されており、したがって2yZ_dZ_d+1X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３７２１においてＴ₂×Ｔ₃が計算される。ここでレジスタＴ₂には2yZ_dZ_d+1X_dがレジスタＴ₃には1/2yZ_dZ_d+1Z_dがそれぞれ格納されており、したがって2yZ_dZ_d+1 X_d/2yZ_dZ_d+1Z_dが計算される。その結果がレジスタx_dに格納される。したがってレジスタx_dには2yZ_dZ_d+1X_d/2yZ_dZ_d+1Z_dが格納されている。レジスタy_dにはステップ３７１９において(Z_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²)/2yZ_dZ_d+1 Z_dが格納され、その後更新が行なわれないので、その値が保持されている。
【０３５３】
上記手順により、与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(x_d,y_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、数２７を得る。点P及び点dPはワイエルシュトラス型楕円曲線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+bをみたす。数２７に代入し、y_d ²及びy²を消去し、式を整理すると、
【０３５４】
【数７０】

【０３５５】
を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【０３５６】
【数７１】

【０３５７】
ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、
【０３５８】
【数７２】

【０３５９】
となる。ここで、ｘ_d，y_dは図３７で示した処理により与えられる。したがって、アフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０３６０】
上記手順はステップ３７０１、ステップ３７０５、ステップ３７０６、ステップ３７０７、ステップ３７０９、ステップ３７１０、ステップ３７１１、ステップ３７１３、ステップ３７１５、ステップ３７１６、ステップ３７１７、ステップ３７１９、ステップ３７２０及びステップ３７２１において有限体上の乗算の計算量を必要とする。また、ステップ３７０４において有限体上の２乗算の計算量を必要とする。また、ステップ３７１８において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１４Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５４．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３６１】
尚、上記手順をとらなくても、上記計算式により与えられたｘ_d，y_dの値が計算できればｘ_d，y_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。
【０３６２】
次に図４４により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d,Z_d,X_d+1,Z_d+1を出力する高速スカラー倍計算部の処理について説明する。
【０３６３】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)のうちX_d+1及びZ_d+1を出力する。ステップ４４１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ４４０１として、変数Ｉに初期値１を代入する。ステップ４４０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ４４０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ４４０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ４４０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ４４１５へ行く。一致しなければステップ４４０５へ行く。ステップ４４０５として、変数Ｉを１増加させる。ステップ４４０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ４４０６へ行く。そのビットの値が１であればステップ４４１０へ行く。ステップ４４０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４４０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ４４０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４４０９として、ステップ４４０８で求めた点2mPとステップ４４０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ４４０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ４４１０として、射影座標により表された点の組(mP,(m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ４４１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４４１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ４４１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４４１１として、ステップ４４１０で求めた点(2m+１)Pとステップ４４１１で求めた点(2m+2)Pを点の組((2m+1)P,(2m+2)P)として、点の組(mP,(m+1)P)の代わりに格納する。その後ステップ４４０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ４４１５として、モンゴメリ型楕円曲線における点(m-1)Pを、ワイエルシュトラス型楕円曲線上で射影座標により表された点に変換する。その点のX座標及びZ座標をそれぞれあらためてX_m-1及びZ_m-1とおく。また、モンゴメリ型楕円曲線において射影座標で表された点の組(mP,(m+1)P)に対して、点mP及び点(m+1)Pをワイエルシュトラス型楕円曲線上で射影座標で表された点に変換し、それぞれmP＝（X_m,Y_m,Z_m）及び(m+1)P＝（X_m+1,Y_m+1,Z_m+1）とあらためて置き直す。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。ステップ４４１３として、ワイエルシュトラス型楕円曲線上で射影座標で表された点mP＝（X_m,Y_m,Z_m）よりX_m及びZ_mをそれぞれX_d及びZ_ｄとして、ワイエルシュトラス型楕円曲線上で射影座標で表された点(m+1)P＝（X_m+1,Y_m+1,Z_m+1）よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1として、出力する。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０３６４】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ４４０７において加算の計算量、ステップ４４０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ４４１０において加算の計算量、ステップ４４１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ４４０４、ステップ４４０５、ステップ４４０６、ステップ４４０７、ステップ４４０８、ステップ４４０９乃至はステップ４４０４、ステップ４４０５、ステップ４４０６、ステップ４４１０、ステップ４４１１、ステップ４４１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ４４０２での２倍算の計算量とステップ４４１６でのモンゴメリ型楕円曲線上の点への変換に必要な計算量及びステップ４４１５でのワイエルシュトラス型楕円曲線上の点への変換に必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋２Ｍ―２Ｓとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋０．４）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１４７２Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６００Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０３６５】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d、Z_d、X_d+1、Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３６６】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋０．４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５５．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１５２７Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０３６７】
第１８の実施例は楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算部１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、x及びyよりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標X_d,Y_d及びZ_dの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を計算結果として出力する。
【０３６８】
次に図３８により、座標x、y X_d、Z_d、X_d+1、Z_d+1が与えられた場合にX_d、Y_d、Z_dを出力する座標復元部の処理について説明する。
【０３６９】
座標復元部２０３では、ワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順で射影座標おいて完全な座標が与えられたスカラー倍点(X_d,Y_d,Z_d)を出力する。ここで入力されたワイエルシュトラス型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてワイエルシュトラス型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。ワイエルシュトラス型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０３７０】
ステップ３８０１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ３８０２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ３８０３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ３８０４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３８０５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ３８０６においてx×X_dが計算され、レジスタＴ₁に格納される。ステップ３８０７においてa×Z_dが計算され、レジスタＴ₄に格納される。ステップ３８０８においてＴ₁+Ｔ₄が計算される。ここでレジスタＴ₁にはxX_dがレジスタＴ₄にはaZ_dがそれぞれ格納されており、したがってxX_d+aZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ３８０９においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁にはxX_d+aZ_dがレジスタＴ₂にはxZ_d+X_dがそれぞれ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)が計算される。その結果がレジスタＴ₁に格納される。ステップ３８１０においてレジスタZ_dの２乗が計算され、レジスタＴ₂に格納される。ステップ３８１１においてＴ₂×2bが計算される。ここでレジスタＴ₂にはZ_d ²が格納されており、したがって2bZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ３８１２においてＴ₁+Ｔ₂が計算される。ここでレジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)がレジスタＴ₂には2bZ_d ²がそれぞれ格納されており、したがって(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ３８１３においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には(xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²が格納されており、したがってZ_d+1((xX_d+aZ_d) (xZ_d+X_d)+2bZ_d ²)が計算される。その結果がレジスタＴ₁に格納される。ステップ３８１４においてＴ₁-Ｔ₃が計算される。ここでレジスタＴ₁にはZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xX_d+aZ_d)(xZ_d+X_d)+2bZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタY_dに格納される。ステップ３８１５において2y×Z_dが計算され、レジスタＴ₂に格納される。ステップ３８１６においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には2yZ_dが格納されており、したがって2yZ_dZ_d+1が計算される。その結果がレジスタＴ₂に格納される。ステップ３８１７においてＴ₂×X_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1が格納されており、したがって2yZ_dZ_d+1X_dが計算される。その結果がレジスタX_dに格納される。ステップ３８１９においてＴ₂×Z_dが計算される。ここでレジスタＴ₂には2yZ_dZ_d+1が格納されており、したがって2yZ_dZ_d+1Z_dが計算される。その結果がレジスタZ_dに格納される。したがってレジスタZ_dには2yZ_dZ_d+1Z_dが格納されている。レジスタY_dにはステップ３８１４においてZ_d+1((xX_d+aZ_d)(xZ_d+X_d) +2bZ_d ²)+X_d+1(X_d-xZ_d)²が格納され、その後更新が行なわれないので、その値が保持されている。レジスタX_dにはステップ３８１７において2yZ_dZ_d+1X_dが格納され、その後更新が行なわれないので、その値が保持されている。
【０３７１】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点の射影座標(X_d,Y_d,Z_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、数２７を得る。点P及び点dPはワイエルシュトラス型楕円曲線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+bをみたす。数２７に代入し、y_d ²及びy²を消去し、式を整理すると、数７０を得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、数７１を得る。ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、数７２となる。その結果として
【０３７２】
【数７３】

【０３７３】
とし、X_d及びZ_dをそれぞれ
【０３７４】
【数７４】

【０３７５】
【数７５】

【０３７６】
により更新すればよい。ここで、X_d，Y_d，Z_dは図３８で示した処理により与えられる。したがって、射影座標(X_d,Y_d,Z_d)の値は全て復元されたことになる。
【０３７７】
上記手順はステップ３８０１、ステップ３８０５、ステップ３８０６、ステップ３８０７、ステップ３８０９、ステップ３８１１、ステップ３８１３、ステップ３８１５、ステップ３８１６、ステップ３８１７及びステップ３８１８において有限体上の乗算の計算量を必要とする。また、ステップ３８０４およびステップ３８１０において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１１Ｍ＋２Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１２．６Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３７８】
尚、上記手順をとらなくても、上記計算式により与えられたX_d,Y_d,Z_dの値が計算できればX_d,Y_d,Z_dの値が復元できる。また、x_d,y_dが上記計算式により与えられる値を取るようにX_d,Y_d,Z_dの値を選択し、その値が計算できればX_d,Y_d,Z_dが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。
【０３７９】
次に、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムについて説明する。
【０３８０】
第１８実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第１７実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３８１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１１Ｍ＋２Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋０．４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１３）Ｍと見積もることができる。例えばスカラー値ｄが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量はおおよそ１４８５Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０３８２】
第１９の実施例は楕円曲線としてワイエルシュトラス型楕円曲線を用いたものである。すなわち、スカラー倍計算装置１０３の入出力に用いる楕円曲線はワイエルシュトラス型楕円曲線である。ただし、スカラー倍計算装置１０３の内部の計算で使用する楕円曲線として、与えられたワイエルシュトラス型楕円曲線から変換可能であるようなモンゴメリ型楕円曲線を用いてもよい。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d,y_d)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d-1)P＝(x_d-1,y_d-1)の座標のうちx_d-1を計算し、アフィン座標で表された入力されたワイエルシュトラス型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x_d-1、x及びyよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標y_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０３８３】
次に図３９により、座標x、y、x_d、x_d+1が与えられた場合に、x_d、y_dを出力する座標復元部の処理について説明する。
【０３８４】
座標復元部２０３では、ワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。
【０３８５】
ステップ３９０１においてx_d×xが計算され、レジスタＴ₁に格納される。ステップ３９０２においてＴ₁+aが計算される。ここでレジスタＴ₁にはx_dxが格納されており、したがってx_dx+aが計算される。その結果がレジスタＴ₁に格納される。ステップ３９０３においてx_d+xが計算され、レジスタＴ₂に格納される。ステップ３９０４においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁にはx_dx+aがレジスタＴ₂にはx_d+xがそれぞれ格納されており、したがって(x_dx+a)(x_d+x)が計算される。その結果がレジスタＴ₁に格納される。ステップ３９０５においてＴ₁+2bが計算される。ここでレジスタＴ₁には(x_dx+a)(x_d+x)が格納されており、したがって(x_dx+a)(x_d+x)+2bが計算される。その結果がレジスタＴ₁に格納される。ステップ３９０６においてx_d-xが計算され、レジスタＴ₂に格納される。ステップ３９０７においてＴ₂の２乗が計算される。ここでレジスタＴ₂にはx_d-xが格納されており、したがって(x_d−x)²が計算される。その結果がレジスタＴ₂に格納される。ステップ３９０８においてＴ₂×x_2d+1が計算される。ここでレジスタＴ₂には(x_d−x)²が格納されており、したがってx_d+1(x_d−x)²が計算される。その結果がレジスタＴ₂に格納される。ステップ３９０９においてＴ₁-Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+a)(x_d+x)+2bがレジスタＴ₂にはx_d+1(x_d−x)²がそれぞれ格納されており、したがって(x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²が計算される。その結果がレジスタＴ₁に格納される。ステップ３９１０において2yの逆元が計算され、レジスタＴ₂に格納される。ステップ３９１１においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²がレジスタＴ₂には1/2yがそれぞれ格納されており、したがって((x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²)/2yが計算される。その結果がレジスタy_dに格納される。したがってレジスタy_dには((x_dx+a)(x_d+x)+2b-x_d+1(x_d−x)²)/2yが格納されている。レジスタx_dは全く更新されないので入力された値が保持されている。
【０３８６】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。ワイエルシュトラス型楕円曲線のアフィン座標における加算公式に代入すると、数２７を得る。点P及び点dPはワイエルシュトラス型楕円曲線上の点であるので、y_d ²=x_d ³+ax_d+b及びy²=x³+ax+bをみたす。数２７に代入し、y_d ²及びy²を消去し、式を整理すると、数７０を得る。ここでx_d,y_dは図３９の処理によって与えられる。したがって、アフィン座標(x_d,y_d)の値を全て復元していることになる。
【０３８７】
上記手順はステップ３９０１、ステップ３９０４、ステップ３９０８及びステップ３９１１において有限体上の乗算の計算量を必要とする。また、ステップ３９０７において有限体上の２乗算の計算量を必要とする。さらにステップ３９１０において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は４Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４４．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０３８８】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_dの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。
【０３８９】
次に図４４により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d、x_d+1を出力するアルゴリズムについて説明する。
【０３９０】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)のうちx_d、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)のうちx_d+1を出力する。ステップ４４１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ４４０１として、変数Ｉに初期値１を代入する。ステップ４４０２として、点Pの２倍点２Pを計算する。ここで点Pは射影座標において(ｘ,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ４４０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ４４０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ４４０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ４４１５へ行く。一致しなければステップ４４０５へ行く。ステップ４４０５として、変数Ｉを１増加させる。ステップ４４０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ４４０６へ行く。そのビットの値が１であればステップ４４１０へ行く。ステップ４４０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４４０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４４０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算２(mP)を行ない、点2mPを計算する。その後ステップ４４０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４４０９として、ステップ４４０８で求めた点2mPとステップ４４０７で求めた点(2m+１)Pを点の組(2mP, (2m+１)P)として、点の組(mP, (m+１)P)の代わりに格納する。その後ステップ４４０４へ戻る。ここで、点２mP、点(２m+１)P、点mP及び点(m+１)Pは全て射影座標において表されている。ステップ４４１０として、射影座標により表された点の組(mP, (m+１)P)から点mPと点(m+１)Pの加算mP+(m+１)Pを行ない、点(2m+１)Pを計算する。その後ステップ４４１１へ行く。ここで、加算mP+(m+１)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４４１１として、射影座標により表された点の組(mP, (m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ４４１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４４１１として、ステップ４４１０で求めた点(2m+１)Pとステップ４４１１で求めた点(2m+2)Pを点の組((2m+1)P, (2m+2)P)として、点の組(mP, (m+1)P)の代わりに格納する。その後ステップ４４０４へ戻る。ここで、点(2m+1)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ４４１５として、モンゴメリ型楕円曲線において射影座標で表された点の組(mP,(m+1)P)に対して、点mP及び点(m+1)Pをワイエルシュトラス型楕円曲線上でアフィン座標で表された点に変換し、それぞれmP＝（x_m,y_m）及び(m+1)P＝（x_m+1,y_m+1）とあらためて置き直す。ここで、y_m及びy_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。その後ステップ４４１３へ行く。ステップ４４１３として、ワイエルシュトラス型楕円曲線上で射影座標で表された点mP＝（x_m,y_m）よりx_mをx_dとして、ワイエルシュトラス型楕円曲線上でアフィン座標で表された点(m+1)P＝（x_m+1,y_m+1）よりx_m+1をx_d+1として、出力する。また上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０３９１】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁＝１ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ４４０７において加算の計算量、ステップ４４０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ４４１０において加算の計算量、ステップ４４１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ４４０４、ステップ４４０５、ステップ４４０６、ステップ４４０７、ステップ４４０８、ステップ４４０９乃至はステップ４４０４、ステップ４４０５、ステップ４４０６、ステップ４４１０、ステップ４４１１、ステップ４４１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ４４０２での２倍算の計算量とステップ４４１６でのモンゴメリ型楕円曲線上への点への変換に必要な計算量及びステップ４４１５でのワイエルシュトラス型楕円曲線上の点への必要な計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋４Ｍ―２Ｓ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量Ｉは、Ｉ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋４２．４）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５１４Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０３９２】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d, x_d+1,x_d=1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０３９３】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は４Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋４２．４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋８７．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５５９Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０３９４】
第２０の実施例は、入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Ｐから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点（ｘ_d,ｙ_d）を計算し出力するものである。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値ｄと与えられたワイエルシュトラス型楕円曲線上の点Ｐからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1) の座標のうちX_d+1及びZ_d+1を計算する。また、入力されたワイエルシュトラス型楕円曲線上の点Pを、与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線上の点に変換し、その点を新たにP＝(x,y)とおく。高速スカラー倍計算部２０２は、X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙを座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d、Z_d、X_d+1、Z_d+1、ｘ及びｙよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標ｘ_d及びｙ_dの復元を行なう。スカラー倍計算装置１０３はアフィン座標において完全に座標が与えられたスカラー倍点(x_d,y_d)を計算結果として出力する。
【０３９５】
次に図４０により、座標x,y,X_d,Z_d,X_d+1,Z_d+1が与えられた場合にx_d,y_dを出力する座標復元部の処理について説明する。
【０３９６】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP＝(X_d,Y_d,Z_d)の座標うちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標おいて完全な座標が与えられたスカラー倍点(x_d,y_d)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X_１,Y_１,Z_１)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d ^Mon,y_d ^Mon)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０３９７】
ステップ４００１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ４００２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ４００３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ４００４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ４００５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ４００６において2A×Z_dが計算され、レジスタＴ₁に格納される。ステップ４００７においてＴ₂+Ｔ₁が計算される。ここでレジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ格納されており、したがってxZ_d+X_d+2AZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ４００８においてx×X_dが計算され、レジスタＴ₄に格納される。ステップ４００９においてＴ₄+Z_dが計算される。ここでレジスタＴ₄にはxX_dが格納されており、したがってxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納される。ステップ４０１０においてＴ₂×Ｔ₄が計算される。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ４０１１においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2AZ_dが格納されており、したがって2AZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ４０１２においてＴ₂-Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ４０１３においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に格納される。ステップ４０１４においてＴ₂-Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₂に格納される。ステップ４０１５において2B×yが計算され、レジスタＴ₁に格納される。ステップ４０１６においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2Byが格納されており、したがって2ByZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ４０１７においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には2ByZ_dが格納されており、したがって2ByZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ４０１８においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1Z_dが計算される。その結果がレジスタＴ₃に格納される。ステップ４０１９においてＴ₃×sが計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1Z_dが格納されており、したがって2ByZ_dZ_d+1Z_dsが計算される。その結果がレジスタＴ₃に格納される。ステップ４０２０においてレジスタＴ₃の逆元が計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1Z_dsが格納されており、したがって1/2ByZ_dZ_d+1 Z_dsが計算される。その結果がレジスタＴ₃に格納される。ステップ４０２１においてＴ₂×Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²がレジスタＴ₃には1/2ByZ_dZ_d+1Z_dsがそれぞれ格納されており、したがって{Z_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²} /2ByZ_dZ_d+1Z_dsが計算される。その結果がレジスタy_dに格納される。ステップ４０２２においてＴ₁×X_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1X_dが計算される。その結果がレジスタＴ₁に格納される。ステップ４０２３においてＴ₁×Ｔ₃が計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1X_dがレジスタＴ₃には1/2ByZ_dZ_d+1Z_dsがそれぞれ格納されており、したがって2ByZ_dZ_d+1X_d/2ByZ_dZ_d+1Z_ds(＝X_d/Z_ds)が計算される。その結果がＴ₁に格納される。ステップ４０２４においてＴ₁+αが計算される。ここでレジスタＴ₁にはX_d/Z_dsが格納されており、したがって(X_d/Z_ds)+αが計算される。その結果がx_dに格納される。したがってレジスタx_dには(X_d/Z_ds)+αの値が格納されている。y_dにはステップ４０２１において{Z_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²}/2ByZ_dZ_d+1Z_dsが格納され、その後更新が行なわれないので、その値が保持されている。その結果として、ワイエルシュトラス型楕円曲線におけるアフィン座標(ｘ_d,ｙ_d)の値が全て復元されている。
【０３９８】
上記手順により与えられたｘ、ｙ、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点のアフィン座標(ｘ_d,ｙ_d)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数３８を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ^{Mon 2}=x_d ^{Mon 3}+Ax_d ^{Mon 2}+x_d ^Mon及びBy²=x³+Ax²+xをみたす。 数３８に代入し、By_d ^{Mon 2}及びBy²を消去し、式を整理すると、
【０３９９】
【数７６】

【０４００】
を得る。ここでｘ_d ^Mon＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、次の式を得る。
【０４０１】
【数７７】

【０４０２】
ｘ_d ^Mon＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_d ^Monの分母と通分することにより、
【０４０３】
【数７８】

【０４０４】
となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、y_d=s^-1y_d ^Mon及びx_d=s^-1x_d ^Mon+αの関係がある。結果として数７９、数８０を得る。
【０４０５】
【数７９】

【０４０６】
【数８０】

【０４０７】
ここで、x_d,y_dは図４０より与えられる。したがって、ワイエルシュトラス型楕円曲線におけるアフィン座標(x_d,y_d)の値が全て復元されていることになる。
【０４０８】
上記手順はステップ４００１、ステップ４００５、ステップ４００６、ステップ４００８、ステップ４０１０、ステップ４０１１、ステップ４０１３、ステップ４０１５、ステップ４０１６、ステップ４０１７、ステップ４０１８、ステップ４０１９、ステップ４０２１、ステップ４０２２及びステップ４０２３において有限体上の乗算の計算量を必要とする。また、ステップ４００４において有限体上の２乗算の計算量を必要とする。また、ステップ４０２０において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量及び逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ及び有限体上の逆元演算の計算量をＩとすると、上記手順は１５Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ、Ｉ＝４０Ｍと仮定すると座標復元の計算量は５５．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０４０９】
尚、上記手順をとらなくても、上記計算式により与えられたx_d，y_dの値が計算できればx_d，y_dの値が復元できる。その場合においては一般的に復元に必要となる計算量が増大する。また、モンゴメリ型楕円曲線のパラメタであるA乃至はBの値やモンゴメリ型楕円曲線への変換パラメタであるｓを小さくとることにより、ステップ４００６乃至はステップ４０１５における乗算の計算量やステップ４０１９における乗算の計算量を削減することができる。
【０４１０】
次に図８により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力する高速スカラー倍計算部の処理について説明する。
【０４１１】
第２０実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第９実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０４１２】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１５Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋５２．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５２４Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０４１３】
第２１の実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３がスカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線における射影座標の点として完全な座標が与えられたスカラー倍点,(X_d ^W,Y_d ^W,Z_d ^W)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点d(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1を計算する。また、入力されたワイエルシュトラス型楕円曲線上の点Pを、与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線上の点に変換し、その点を新たにP=(x,y)とおく。高速スカラー倍計算部２０２は、X_d，Z_d，X_d+1，Z_d+1，x及びyを座標復元部２０３に与える。座標復元部２０３は与えられた座標の値X_d，Z_d，X_d+1，Z_d+1，x及びyよりワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d ^W,Y_d ^W,Z_d ^W)の座標X_d ^W、Y_d ^W及びZ_d ^Wの復元を行なう。スカラー倍計算装置１０３は射影座標において完全に座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を計算結果として出力する。
【０４１４】
次に図４１により、座標x，y，X_d，Z_d，X_d+1，Z_d+1が与えられた場合にX_d ^W、Y_d ^W、Z_d ^Wを出力する座標復元部の処理について説明する。
【０４１５】
座標復元部２０３では、モンゴメリ型楕円曲線において射影座標で表されたスカラー倍点dP=(X_d,Y_d,Z_d)の座標のうちX_d及びZ_d、射影座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(X_d+1,Y_d+1,Z_d+1)の座標のうちX_d+1及びZ_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でワイエルシュトラス型楕円曲線上で射影座標おいて完全な座標が与えられたスカラー倍点(X_d ^W,Y_d ^W,Z_d ^W)を出力する。ここで入力されたモンゴメリ型楕円曲線上の点Pのアフィン座標を(x,y)で、射影座標を(X₁,Y₁,Z₁)でそれぞれ表す。入力されたスカラー値をdとしてモンゴメリ型楕円曲線におけるスカラー倍点dPのアフィン座標を(x_d,y_d)で、射影座標を(X_d,Y_d,Z_d)でそれぞれ表す。モンゴメリ型楕円曲線上の点(d+1)Pのアフィン座標を(x_d+1,y_d+1)で、射影座標を(X_d+1,Y_d+1,Z_d+1)でそれぞれ表す。
【０４１６】
ステップ４１０１においてx×Z_dが計算され、レジスタＴ₁に格納される。ステップ４１０２においてX_d+Ｔ₁が計算される。ここでレジスタＴ₁にはxZ_d が格納されており、したがってxZ_d+X_dが計算される。その結果がレジスタＴ₂に格納される。ステップ４１０３においてX_d-Ｔ₁が計算され、ここでレジスタＴ₁にはxZ_dが格納されており、したがってxZ_d-X_dが計算される。その結果がレジスタＴ₃に格納される。ステップ４１０４においてレジスタＴ₃の２乗が計算される。ここでレジスタＴ₃にはxZ_d-X_d が格納されており、したがって(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ４１０５においてＴ₃×X_d+1が計算される。ここでレジスタＴ₃には(X_d-xZ_d)²が格納されており、したがってX_d+1(X_d-xZ_d)²が計算される。その結果がレジスタＴ₃に格納される。ステップ４１０６において2A×Z_dが計算され、レジスタＴ₁に格納される。ステップ４１０７においてＴ₂+Ｔ₁が計算される。ここでレジスタＴ₂にはxZ_d+X_dがレジスタＴ₁には2AZ_dがそれぞれ格納されており、したがってxZ_d+X_d+2AZ_dが計算される。その結果がレジスタＴ₂に格納される。ステップ４１０８においてx×X_dが計算され、レジスタＴ₄に格納される。ステップ４１０９においてＴ₄+Z_dが計算される。ここでレジスタＴ₄にはxX_dが格納されており、したがってxX_d+Z_dが計算される。その結果がレジスタＴ₄に格納される。ステップ４１１０においてＴ₂×Ｔ₄が計算される。ここでレジスタＴ₂にはxZ_d+X_d+2AZ_dがレジスタＴ₄にはxX_d+Z_dがそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)が計算される。その結果がレジスタＴ₂に格納される。ステップ４１１１においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2AZ_dが格納されており、したがって2AZ_d ²が計算される。その結果がレジスタＴ₁に格納される。ステップ４１１２においてＴ₂-Ｔ₁が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)がここでレジスタＴ₁には2AZ_d ²がそれぞれ格納されており、したがって(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が計算される。その結果がレジスタＴ₂に格納される。ステップ４１１３においてＴ₂×Z_d+1が計算される。ここでレジスタＴ₂には(xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²が格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)が計算される。その結果がレジスタＴ₂に格納される。ステップ４１１４においてＴ₂-Ｔ₃が計算される。ここでレジスタＴ₂にはZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)がレジスタＴ₃にはX_d+1(X_d-xZ_d)²がそれぞれ格納されており、したがってZ_d+1((xZ_d+X_d+2AZ_d) (xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が計算される。その結果がレジスタY_d ^Wに格納される。ステップ４１１５において2B×yが計算され、レジスタＴ₁に格納される。ステップ４１１６においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2Byが格納されており、したがって2ByZ_dが計算される。その結果がレジスタＴ₁に格納される。ステップ４１１７においてＴ₁×Z_d+1が計算される。ここでレジスタＴ₁には2ByZ_dが格納されており、したがって2ByZ_dZ_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ４１１８においてＴ₁×Z_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1Z_dが計算される。その結果がレジスタＴ₃に格納される。ステップ４１１９においてＴ₃×sが計算される。ここでレジスタＴ₃には2ByZ_dZ_d+1Z_dが格納されており、したがって2ByZ_dZ_d+1Z_dsが計算される。その結果がレジスタZ_d ^Wに格納される。ステップ４１２０においてＴ₁×X_dが計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1が格納されており、したがって2ByZ_dZ_d+1X_dが計算される。その結果がレジスタＴ₁に格納される。ステップ４１２１においてZ_d ^W×αが計算される。ここでレジスタZ_d ^Wには2ByZ_dZ_d+1Z_dsが格納されており、したがって2ByZ_dZ_d+1Z_dsαが計算される。その結果がＴ₃に格納される。ステップ４１２２においてＴ₁+Ｔ₃が計算される。ここでレジスタＴ₁には2ByZ_dZ_d+1X_dがレジスタＴ₃には2ByZ_dZ_d+1Z_dsαがそれぞれ格納されており、したがって2ByZ_dZ_d+1X_d +2ByZ_dZ_d+1Z_dsαが計算される。その結果がX_d ^W に格納される。したがってレジスタx_dには2ByZ_dZ_d+1X_d+2ByZ_dZ_d+1Z_dsαの値が格納されている。Y_d ^Wにはステップ４１１４においてZ_d+1((xZ_d+X_d+2AZ_d)(xX_d+Z_d)-2AZ_d ²)-X_d+1(X_d-xZ_d)²が格納され、その後更新が行なわれないので、その値が保持されている。Z_d ^Wにはステップ４１１９において2ByZ_dZ_d+1Z_dsが格納され、その後更新が行なわれないので、その値が保持されている。その結果として、ワイエルシュトラス型楕円曲線における射影座標(X_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されている。
【０４１７】
上記手順により与えられたx、y、X_d、Z_d、X_d+1、Z_d+1からワイエルシュトラス型楕円曲線におけるスカラー倍点の射影座標(X_d ^W,Y_d ^W,Z_d ^W)における値が全て復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。 数６に代入し、By_d ²及びBy²を消去し、式を整理すると、数６４をを得る。ここでｘ_d＝X_d/Z_d、ｘ_d+1＝X_d+1/Z_d+1であり、この値を代入することにより射影座標の値へと変換すると、数６５を得る。ｘ_d＝X_d/Z_dであるが、逆元演算の回数を減らす目的でｙ_dの分母と通分することにより、数６６となる。その結果として、
【０４１８】
【数８１】

【０４１９】
とし、
【０４２０】
【数８２】

【０４２１】
【数８３】

【０４２２】
とすると(X'_d,Y'_d,Z'_d)=(X_d,Y_d,Z_d)となる。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをsαとして、Y_d ^W=Y'_d、X_d ^W=X'_d+αZ_d ^W、及びZ_d ^W=sZ'_dという関係がある。結果として次の式を得る。
【０４２３】
【数８４】

【０４２４】
【数８５】

【０４２５】
【数８６】

【０４２６】
により更新すればよい。ここで、X_d ^W,Y_d ^W,Z_d ^Wは図４１の処理により与えられている。したがって、ワイエルシュトラス型楕円曲線における射影座標(X_d ^W,Y_d ^W,Z_d ^W)の値が全て復元されていることになる。
【０４２７】
上記手順はステップ４１０１、ステップ４１０５、ステップ４１０６、ステップ４１０８、ステップ４１１０、ステップ４１１１、ステップ４１１３、ステップ４１１５、ステップ４１１６、ステップ４１１７、ステップ４１１８、ステップ４１１９、ステップ４１２０及びステップ４１２１において有限体上の乗算の計算量を必要とする。また、ステップ４１０４において有限体上の２乗算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳとすると、上記手順は１４Ｍ＋Ｓの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍと仮定すると座標復元の計算量は１４．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０４２８】
尚、上記手順をとらなくても、上記計算式により与えられたX_d ^W、Y_d ^W、Z_d ^Wの値が計算できればX_d ^W、Y_d ^W、Z_d ^Wの値が復元できる。また、ワイエルシュトラス型楕円曲線においてアフィン座標におけるスカラー倍点dPをdP=(x_d ^W,y_d ^W)とすると、x_d ^W、y_d ^Wが上記計算式により与えられる値を取るようにX_d ^W、Y_d ^W、Z_d ^Wの値を選択し、その値が計算できればX_d ^W、Y_d ^W、Z_d ^Wが復元できる。それらの場合においては一般的に復元に必要となる計算量が増大する。また、モンゴメリ型楕円曲線のパラメタであるA乃至はBの値やモンゴメリ型楕円曲線への変換パラメタsの値を小さくとることにより、ステップ４１０６、ステップ４１１５乃至はステップ４１１９における乗算の計算量を削減することができる。
【０４２９】
次に、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムについて説明する。
【０４３０】
第２１実施例の高速スカラー倍計算部２０２の高速スカラー倍計算方法として、第９実施例の高速スカラー倍計算方法を用いる。これにより、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムとして、高速であるアルゴリズムが達成される。尚、高速スカラー倍計算部２０２において上記アルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、X_d，Z_d，X_d+1，Z_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０４３１】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は１４Ｍ＋Ｓであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ―３．６）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋１１．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１４８３Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をヤコビアン座標として出力する場合に必要となる計算量はおおよそ１６００Ｍであり、これと比べて必要となる計算量は削減されている。
【０４３２】
第２２実施例は入出力用の楕円曲線としてワイエルシュトラス型楕円曲線を、内部の計算用には与えられたワイエルシュトラス型楕円曲線から変換可能であるモンゴメリ型楕円曲線を用いたものである。スカラー倍計算装置１０３が、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、ワイエルシュトラス型楕円曲線におけるアフィン座標の点として完全な座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を計算し出力する。スカラー値d及びワイエルシュトラス型楕円曲線上の点Pをスカラー倍計算装置１０３に入力すると高速スカラー倍計算部２０２がそれを受け取る。高速スカラー倍計算部２０２は受け取ったスカラー値dと与えられたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1を計算し、アフィン座標で表された入力されたモンゴメリ型楕円曲線上の点P＝(x,y)と共にその情報を座標復元部２０３に与える。座標復元部２０３は与えられた座標の値x_d、x_d+1、x及びyよりワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d ^W,y_d ^W)の座標y_d ^Wの復元を行なう。スカラー倍計算装置１０３はワイエルシュトラス型楕円曲線上でアフィン座標において完全に座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を計算結果として出力する。
【０４３３】
次に図４２により、座標x、y、x_d、x_d+1が与えられた場合に、x_d ^W、y_d ^Wを出力する座標復元部の処理について説明する。
【０４３４】
座標復元部２０３では、モンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP＝(x_d,y_d)の座標のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P＝(x_d+1,y_d+1)の座標のうちx_d+1、スカラー倍計算装置１０３に入力されたモンゴメリ型楕円曲線上の点Pをアフィン座標で表した(x,y)を入力し、以下の手順でアフィン座標において完全な座標が与えられたスカラー倍点(x_d ^W,y_d ^W)を出力する。
【０４３５】
ステップ４２０１においてx_d×xが計算され、レジスタＴ₁に格納される。ステップ４２０２においてＴ₁+1が計算される。ここでレジスタＴ₁にはx_dxが格納されており、したがってx_dx+1が計算される。その結果がレジスタＴ₁に格納される。ステップ４２０３においてx_d+xが計算され、レジスタＴ₂に格納される。ステップ４２０４においてＴ₂+2Aが計算される。ここでレジスタＴ₂にはx_d+xが格納されており、したがってx_d+x+2Aが計算される。その結果がレジスタＴ₂に格納される。ステップ４２０５においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁にはx_dx+1がレジスタＴ₂にはx_d+x+2Aがそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)が計算される。その結果がレジスタＴ₁に格納される。ステップ４２０６においてＴ₁-2Aが計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)が格納されており、したがって(x_dx+1)(x_d+x+2A)-2Aが計算される。その結果がレジスタＴ₁に格納される。ステップ４２０７においてx_d-xが計算され、レジスタＴ₂に格納される。ステップ４２０８においてＴ₂の２乗が計算される。ここでレジスタＴ₂にはx_d-xが格納されており、したがって(x_d−x)²が計算される。その結果がレジスタＴ₂に格納される。ステップ４２０９においてＴ₂×x_d+1が計算される。ここでレジスタＴ₂には(x_d−x)²が格納されており、したがって(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₂に格納される。ステップ４２１０においてＴ₁-Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)-2AがレジスタＴ₂には(x_d−x)²x_d+1がそれぞれ格納されており、したがって(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1が計算される。その結果がレジスタＴ₁に格納される。ステップ４２１１において2B×yが計算され、レジスタＴ₂に格納される。ステップ４２１２においてＴ₂の逆元が計算される。ここでレジスタＴ₂には2Byが格納されており、したがって1/2Byが計算される。その結果がレジスタＴ₂に格納される。ステップ４２１３においてＴ₁×Ｔ₂が計算される。ここでレジスタＴ₁には(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1がレジスタＴ₂には1/2Byがそれぞれ格納されており、したがって{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Byが計算される。その結果がレジスタT₁に格納される。ステップ４２１４においてＴ₁×(1/s)が計算される。ここでレジスタＴ₁には{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Byが格納されており、したがって{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Bysが計算される。その結果がレジスタy_d ^Wに格納される。ステップ４２１５においてx_d×(1/s)が計算され、レジスタT₁に格納される。ステップ４２１６においてＴ₁+αが計算される。ここでレジスタＴ₁にはx_d/sが格納されており、したがって(x_d/s)+αが計算される。その結果がレジスタx_d ^Wに格納される。したがってレジスタx_d ^Wには(x_d/s)+αが格納されている。レジスタy_d ^Wはステップ４２１４において{(x_dx+1)(x_d+x+2A)-2A-(x_d−x)²x_d+1}/2Bysが格納され、その後更新されないので、その値が保持されている。
【０４３６】
上記手順によりスカラー倍点のy座標y_dが復元される理由は以下の通りである。点(d+1)Pは点dPに点Pを加算した点である。モンゴメリ型楕円曲線のアフィン座標における加算公式に代入すると、数６を得る。点P及び点dPはモンゴメリ型楕円曲線上の点であるので、By_d ²=x_d ³+Ax_d ²+x_d及びBy²=x³+Ax²+xをみたす。 数６に代入し、By_d ²及びBy²を消去し、式を整理すると、数６４を得る。モンゴメリ型楕円曲線上の点とワイエルシュトラス型楕円曲線上の点との対応関係については、K.Okeya, H.Kurumatani, K.Sakurai, Elliptic Curves with the Montgomery-Form and Their Cryptographic Applications, Public Key Cryptography, LNCS 1751 (2000) pp.238-257 に記載されている。それによると、変換パラメタをs,αとして、y_d ^W=s^-1y_d及びx_d ^W=s^-1x_d+αの関係がある。結果として数８７、数６３を得る。
【０４３７】
【数８７】

【０４３８】
ここで、x_d ^W，y_d ^Wは図４２により与えられる。したがって、アフィン座標(x_d ^W, y_d ^W)の値は全て復元されていることになる。
【０４３９】
上記手順はステップ４２０１、ステップ４２０５、ステップ４２０９、ステップ４２１１、ステップ４２１３、ステップ４２１４及びステップ４２１５において有限体上の乗算の計算量を必要とする。また、ステップ４２０８において有限体上の２乗算の計算量を必要とする。さらにステップ４２１２において有限体上の逆元演算の計算量を必要とする。有限体上の加算及び減算の計算量は、有限体上の乗算の計算量、２乗算の計算量、逆元演算の計算量と比べて比較的小さいので無視してもよい。有限体上の乗算の計算量をＭ、有限体上の２乗算の計算量をＳ、有限体上の逆元演算の計算量をＩとすると、上記手順は７Ｍ＋Ｓ＋Ｉの計算量を必要とする。これは高速スカラー倍計算の計算量と比べてはるかに小さい。例えばスカラー値dが１６０ビットであれば、高速スカラー倍計算の計算量はおおよそ１５００Ｍ弱と見積もられる。Ｓ＝０．８Ｍ及びＩ＝４０Ｍと仮定すると座標復元の計算量は４７．８Ｍであり、高速スカラー倍計算の計算量と比べてはるかに小さい。したがって効率的に座標を復元できていることが示された。
【０４４０】
尚、上記手順をとらなくても、上記等式の右辺の値が計算できればy_d ^Wの値が復元できる。その場合は一般的に復元に必要となる計算量が増大する。また、楕円曲線のパラメタであるA乃至はBやモンゴメリ型楕円曲線への変換パラメタsの値を小さくとることにより、ステップ４２０６、ステップ４２１１、ステップ４２１４乃至はステップ４２１５における乗算の計算量を削減することができる。
【０４４１】
次に図４５により、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d，x_d+1を出力する高速スカラー倍計算部の処理について説明する。
【０４４２】
高速スカラー倍計算部２０２では、スカラー倍計算装置１０３に入力されたワイエルシュトラス型楕円曲線上の点Pを入力し、以下の手順によりモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点dP=(x_d,y_d)のうちx_d、アフィン座標で表されたモンゴメリ型楕円曲線上の点(d+1)P=(x_d+1,y_d+1)のうちx_d+1を出力する。ステップ４５１６として、与えられたワイエルシュトラス型楕円曲線上の点Pをモンゴメリ型楕円曲線上で射影座標により表された点に変換する。この点をあらためて点Pとする。ステップ４５０１として、変数Ｉに初期値１を代入する。ステップ４５０２として、点Pの２倍点2Pを計算する。ここで点Pは射影座標において(x,ｙ,1)として表し、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて２倍点2Pを計算する。ステップ４５０３として、スカラー倍計算装置１０３に入力された楕円曲線上の点Pとステップ４５０２で求めた点2Pを、点の組(P,2P)として格納する。ここで点P及び点2Pは射影座標で表されている。ステップ４５０４として、変数Ｉとスカラー値dのビット長とが一致するかどうかを判定し、一致すればステップ４５１５へ行く。一致しなければステップ４５０５へ行く。ステップ４５０５として、変数Ｉを１増加させる。ステップ４５０６として、スカラー値のＩ番目のビットの値が０であるか１であるかを判定する。そのビットの値が０であればステップ４５０６へ行く。そのビットの値が１であればステップ４５１０へ行く。ステップ４５０７として、射影座標により表された点の組(mP,(m+1)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４５０８へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４５０８として、射影座標により表された点の組(mP,(m+1)P)から点mPの２倍算2(mP)を行ない、点2mPを計算する。その後ステップ４５０９へ行く。ここで、２倍算2(mP)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４５０９として、ステップ４５０８で求めた点2mPとステップ４５０７で求めた点(2m+１)Pを点の組(2mP,(2m+１)P)として、点の組(mP,(m+１)P)の代わりに格納する。その後ステップ４５０４へ戻る。ここで、点2mP、点(2m+1)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ４５１０として、射影座標により表された点の組(mP, (m+１)P)から点mPと点(m+1)Pの加算mP+(m+1)Pを行ない、点(2m+1)Pを計算する。その後ステップ４５１１へ行く。ここで、加算mP+(m+1)Pは、モンゴメリ型楕円曲線の射影座標における加算公式を用いて計算される。ステップ４５１１として、射影座標により表された点の組(mP,(m+１)P)から点(m+１)Pの２倍算2((m+１)P)を行ない、点(2m+2)Pを計算する。その後ステップ４５１２へ行く。ここで、２倍算2((m+１)P)は、モンゴメリ型楕円曲線の射影座標における２倍算の公式を用いて計算される。ステップ４５１１として、ステップ４５１０で求めた点(2m+１)Pとステップ４５１１で求めた点(2m+2)Pを点の組((2m+１)P, (2m+2)P)として、点の組(mP,(m+1)Pの代わりに格納する。その後ステップ４５０４へ戻る。ここで、点(2m+１)P、点(2m+2)P、点mP及び点(m+1)Pは全て射影座標において表されている。ステップ４５１５として、射影座標で表された点mP=(X_m,Y_m,Z_m)よりX_m及びZ_mをそれぞれX_d及びZ_dとし、射影座標で表された点(m+1)P＝(X_m+1,Y_m+1,Z_m+1)よりX_m+1及びZ_m+1をそれぞれX_d+1及びZ_d+1とする。ここで、Y_m及びY_m+1は、モンゴメリ型楕円曲線の射影座標における加算公式及び２倍算の公式ではY座標を求める事ができないので、求まっていない。X _d，Z _d，X _d+1，Z _d+1より、x_d=X_dZ_d+1/Z_dZ_d+1, x_d+1=Z_dX_d+1/Z_dZ_d+1としてx_d，x_d+1を求める。その後ステップ４５１３へ行く。ステップ４５１３として、x_d，x_d+1を出力する。上記手順により、ｍとスカラー値dはビット長が等しくさらにそのビットのパターンも同じとなる為、等しくなる。
【０４４３】
モンゴメリ型楕円曲線の射影座標における加算公式の計算量は、Z₁=1ととることにより３Ｍ＋２Ｓとなる。ここでＭは有限体上の乗算の計算量、Ｓは有限体上の２乗算の計算量である。モンゴメリ型楕円曲線の射影座標における２倍算の公式の計算量は、３Ｍ＋２Ｓである。スカラー値のＩ番目のビットの値が０であれば、ステップ４５０７において加算の計算量、ステップ４５０８において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要となる。スカラー値のＩ番目のビットの値が１であれば、ステップ４５１０において加算の計算量、ステップ４５１１において２倍算の計算量が必要となる。すなわち６Ｍ＋４Ｓの計算量が必要である。いずれの場合においても６Ｍ＋４Ｓの計算量が必要である。ステップ４５０４、ステップ４５０５、ステップ４５０６、ステップ４５０７、ステップ４５０８、ステップ４５０９乃至はステップ４５０４、ステップ４５０５、ステップ４５０６、ステップ４５１０、ステップ４５１１、ステップ４５１２の繰り返しの回数は、（スカラー値dのビット長）―１回となるので、ステップ４５０２での２倍算の計算量及びステップ４５１５でのアフィン座標への変換の計算量を考慮に入れると、全体の計算量は（６Ｍ＋４Ｓ）ｋ＋３Ｍ―２Ｓ＋Ｉとなる。ここでｋはスカラー値dのビット長である。一般的には、計算量Ｓは、Ｓ＝０．８Ｍ程度、計算量ＩはＩ＝４０Ｍ程度と見積もられるので、全体の計算量はおおよそ（９．２ｋ＋４１．４）Ｍとなる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、上記手順のアルゴリズムの計算量はおおよそ１５１３Ｍとなる。スカラー値dのビットあたりの計算量としてはおよそ９．２Ｍとなる。A.Miyaji, T.Ono, H.Cohen, Efficient elliptic curve exponentiation using mixed coordinates, Advances in Cryptology Proceedings of ASIACRYPT'98, LNCS 1514 (1998) pp.51-65 には、ワイエルシュトラス型楕円曲線において、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法は高速なスカラー倍計算方法として記載されている。この場合においては、スカラー値のビットあたりの計算量はおおよそ１０Ｍと見積もられ、これ以外にアフィン座標への変換の計算量が必要となる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算方法の計算量はおおよそ１６４０Ｍとなる。したがって、上記手順のアルゴリズムの方が計算量が少なく高速といえる。
【０４４４】
尚、高速スカラー倍計算部２０２において上記手順のアルゴリズムを用いなくても、スカラー値d及びワイエルシュトラス型楕円曲線上の点Pから、x_d，x_d+1を出力するアルゴリズムであり且つ高速であれば、他のアルゴリズムを用いていもよい。
【０４４５】
スカラー倍計算装置１０３における座標復元部２０３の座標復元に必要な計算量は７Ｍ＋Ｓ＋Ｉであり、これは高速スカラー倍計算部２０２の高速スカラー倍計算に必要な計算量の（９．２ｋ＋４１．４）Ｍとに比べてはるかに小さい。したがって、スカラー倍計算装置１０３のスカラー倍計算に必要な計算量は、高速スカラー倍計算部の高速スカラー倍計算に必要な計算量とほぼ同等である。Ｉ＝４０Ｍ、Ｓ＝０．８Ｍと仮定すると、この計算量はおおよそ（９．２ｋ＋８９．２）Ｍと見積もることができる。例えばスカラー値dが１６０ビット（ｋ＝１６０）であれば、このスカラー倍計算に必要な計算量は１５６１Ｍとなる。楕円曲線としてワイエルシュトラス型楕円曲線を使用し、ウィンドウ法を用いてヤコビアン座標を中心とした混合座標系を用いたスカラー倍計算方法を用いて、スカラー倍点をアフィン座標として出力する場合に必要となる計算量はおおよそ１６４０Ｍであり、これと比べて必要となる計算量は削減されている。
【０４４６】
以上、図１に示した暗号／復号処理装置を復号化処理を行う装置として第１から第２２の実施例を説明したが、同様に暗号化処理を行う装置としても利用できる。その場合には、既に説明したように暗号／復号処理装置のスカラー倍計算部１０３は、既に説明した楕円曲線上の点Ｑ、乱数ｋによるスカラー倍点と、公開鍵ａＱと乱数ｋによるスカラー倍点を出力する。このとき、実施例１から２２で説明したスカラー値ｄを乱数ｋ、楕円曲線上の点Ｐを楕円曲線上の点Ｑ、公開鍵ａＱとして同様の処理を行うことにより、それぞれのスカラー倍点を求めることができる。
【０４４７】
尚、図１に示した暗号／復号処理装置は、暗号化、復号化の両方を行えるように示したが、暗号化の処理のみ、あるいは復号化の処理のみを行えるように構成してもよい。
【０４４８】
また、第１から第２２の実施例で説明した処理については、コンピュータ読み取り可能な記憶媒体に格納されたプログラムであってもよい。この場合は、そのプログラムを図１の記憶部へ読み込み、処理部であるＣＰＵなどの演算装置がこのプログラムに従って、処理を行う。
【０４４９】
図２７は、図１の暗号処理システムにおける秘密情報を用いた暗号処理において、スカラー倍点の完全な座標を与え且つ高速なスカラー倍計算方法の実施例を示す図である。図３３は、図２７のスカラー倍計算方法の実施例における処理の流れを示すフローチャートである。
【０４５０】
図３３において、図２７のスカラー倍計算装置２７０１は以下のようにして、スカラー値及びワイエルシュトラス型楕円曲線上の点から、ワイエルシュトラス型楕円曲線上で完全な座標が与えられたスカラー倍点を計算し出力する。スカラー値及びワイエルシュトラス型楕円曲線上の点をスカラー倍計算装置２７０１に入力すると、楕円曲線変換部２７０４がワイエルシュトラス型楕円曲線上の点をモンゴメリ型楕円曲線上の点に変換する。（ステップ３３０１）。高速スカラー倍計算部２７０２はスカラー倍計算装置２７０１に入力されたスカラー値及び楕円曲線変換部２７０４が変換したモンゴメリ型楕円曲線上の点を受け取る（ステップ３３０２）。高速スカラー倍計算部３３０２は受け取ったスカラー値とモンゴメリ型楕円曲線上の点からモンゴメリ型楕円曲線上のスカラー倍点の座標の一部の値を計算し（ステップ３３０３）、その情報を座標復元部２７０３に与える（ステップ３３０４）。座標復元部２７０３は与えられたモンゴメリ型楕円曲線上のスカラー倍点の情報及び楕円曲線変換部２７０４により変換されたモンゴメリ型楕円曲線上の点よりモンゴメリ型楕円曲線上のスカラー倍点の座標の復元を行なう（ステップ３３０５）。楕円曲線逆変換部２７０５は、座標復元部２７０３により復元されたモンゴメリ型楕円曲線上のスカラー倍点をワイエルシュトラス型楕円曲線上のスカラー倍点に変換する（ステップ３３０６）。スカラー倍計算装置２７０１はワイエルシュトラス型楕円曲線上で完全に座標が与えられたスカラー倍点を計算結果として出力する。（ステップ３３０７）。
【０４５１】
スカラー倍計算装置２７０１における高速スカラー倍計算部２７０２及び座標復元部２７０３が実行するモンゴメリ型楕円曲線上のスカラー倍計算は、上述した第１〜第５及び第１４〜第１６実施例で説明したモンゴメリ型楕円曲線上におけるスカラー倍計算方法がそのまま適応される。したがってこのスカラー倍計算は、スカラー倍点の完全な座標を与え且つ高速なスカラー倍計算方法である。
【０４５２】
図２２は、図１の本実施形態の暗号処理システムを署名作成装置として利用する場合の構成を示す。図１の暗号処理部１０２は、図２２の署名作成装置２２０１では署名部２２０２になる。図２８は、図２２の署名作成装置における処理の流れを示すフローチャートである。図２９は、図２２の署名作成装置における処理の流れを示すシーケンス図である。
【０４５３】
図２８において、署名作成装置２２０１は以下のようにして、与えられたメッセージ２２０５から署名が付随しているメッセージ２２０６を出力する。メッセージ２２０５を署名作成装置２２０１に入力すると署名部２２０２がそれを受け取る（ステップ２８０１）。署名部２２０２はスカラー倍計算部２２０３に受け取ったメッセージ２２０５に応じて楕円曲線上の点を与える（ステップ２８０２）。スカラー倍計算部２２０３は秘密情報格納部２２０４より秘密情報であるスカラー値を受け取る（ステップ２８０３）。スカラー倍計算部２２０３は受け取った楕円曲線上の点とスカラー値よりスカラー倍点を計算し（ステップ２８０４）、そのスカラー倍点を署名部２２０２に送る（ステップ２８０５）。署名部２２０２はスカラー倍計算部２２０３より受け取ったスカラー倍点をもとにして署名作成処理を行なう（ステップ２８０６）。その結果を署名が付随したメッセージ２２０６として出力する（ステップ２８０７）。
【０４５４】
上記処理手順を図２９のシーケンス図を用いて説明する。まず、署名部２９０１（図２２の２２０２）の実行する処理について説明する。署名部２９０１は、入力メッセージを受け取る。署名部２９０１は、入力メッセージをもとに楕円曲線上の点を選び、スカラー倍計算部２９０２に楕円曲線上の点を与え、そしてスカラー倍計算部２９０２からスカラー倍点を受け取る。署名部２９０１は、受け取ったスカラー倍点を用いて署名作成処理を行ない、その結果を出力メッセージとして出力する。
【０４５５】
次にスカラー倍計算部２９０２（図２２の２２０３）の実行する処理について説明する。スカラー倍計算部２９０２は、署名部２９０１より楕円曲線上の点を受け取る。スカラー倍計算部２９０２は、秘密情報格納部２９０３よりスカラー値を受け取る。スカラー倍計算部２９０２は、受け取った楕円曲線上の点及びスカラー値から、完全な座標を与え且つ高速なスカラー倍計算方法により、スカラー倍点を計算し、署名部２９０１にスカラー倍点を送る。
【０４５６】
最後に秘密情報格納部２９０３（図２２の２２０４）の実行する処理について説明する。秘密情報格納部２９０３は、スカラー倍計算部２９０２がスカラー倍を計算できるように、スカラー値をスカラー倍計算部２９０２に送る。
【０４５７】
スカラー倍計算部２２０３が実行するスカラー倍計算は、上述した第１〜第２２実施例で説明したものがそのまま適応される。したがってこのスカラー倍計算は、スカラー倍点の完全な座標を与え且つ高速なスカラー倍計算方法である。そのため署名部２２０２において、署名作成処理を行なう際に、スカラー倍点の完全な座標を用いることができ、その上高速に実行できる。
【０４５８】
図２３は、図１の本実施形態の暗号処理システムを復号化装置として利用する場合の構成を示す。図１の暗号処理部１０２は、図２３の復号化装置２３０１では復号部２３０２になる。図３０は、図２３の復号化装置における処理の流れを示すフローチャートである。図３１は、図２３の復号化装置における処理の流れを示すシーケンス図である。
【０４５９】
図３０において、復号装置２３０１は以下のようにして、与えられたメッセージ２３０５から復号化されたメッセージ２３０６を出力する。メッセージ２３０５を復号装置２３０１に入力すると復号部２３０２がそれを受け取る（ステップ３００１）。復号部２３０２はスカラー倍計算部２３０３に受け取ったメッセージ２３０５に応じて楕円曲線上の点を与える（ステップ３００２）。スカラー倍計算部２３０３は秘密情報格納部２３０４より秘密情報であるスカラー値を受け取る（ステップ３００３）。スカラー倍計算部２３０３は受け取った楕円曲線上の点とスカラー値よりスカラー倍点を計算し（ステップ３００４）、そのスカラー倍点を復号部２３０２に送る（ステップ３００５）。復号部２３０２はスカラー倍計算部２３０３より受け取ったスカラー倍点をもとにして復号化処理を行なう（ステップ３００６）。その結果を復号化されたメッセージ２３０６として出力する（ステップ３００７）。
【０４６０】
上記処理手順を図３１のシーケンス図を用いて説明する。まず、復号化部３１０１（図２３の２３０２）の実行する処理について説明する。復号化部３１０１は、入力メッセージを受け取る。復号化部３１０１は、入力メッセージをもとに楕円曲線上の点を選び、スカラー倍計算部３１０２に楕円曲線上の点を与え、そしてスカラー倍計算部３１０２からスカラー倍点を受け取る。復号化部３１０１は、受け取ったスカラー倍点を用いて復号化処理を行ない、その結果を出力メッセージとして出力する。
【０４６１】
次にスカラー倍計算部３１０２（図２３の２３０３）の実行する処理について説明する。スカラー倍計算部３１０２は、復号化部３１０１より楕円曲線上の点を受け取る。スカラー倍計算部３１０２は、秘密情報格納部３１０３よりスカラー値を受け取る。スカラー倍計算部３１０２は、受け取った楕円曲線上の点及びスカラー値から、完全な座標を与え且つ高速なスカラー倍計算方法により、スカラー倍点を計算し、復号化部３１０１にスカラー倍点を送る。
【０４６２】
最後に秘密情報格納部３１０３（図２３の２３０４）の実行する処理について説明する。秘密情報格納部３１０３は、スカラー倍計算部３１０２がスカラー倍を計算できるように、スカラー値をスカラー倍計算部３１０２に送る。
【０４６３】
スカラー倍計算部２３０３が実行するスカラー倍計算は、上述した第１〜第２２実施例で説明したものがそのまま適応される。したがってこのスカラー倍計算は、スカラー倍点の完全な座標を与え且つ高速なスカラー倍計算方法である。そのため復号部２３０２において、復号化処理を行なう際に、スカラー倍点の完全な座標を用いることができ、その上高速に実行できる。
【０４６４】
【発明の効果】
以上述べたように本発明によれば、暗号処理システムにおける秘密情報を用いた暗号処理において用いられるスカラー倍計算が高速化されており、暗号処理の高速化が計れる。また、スカラー倍点の座標を完全に与えることができるので、全ての暗号処理を行なうことができる。
【図面の簡単な説明】
【図１】本発明の暗号処理システムの構成図である。
【図２】本発明の実施例におけるスカラー倍計算方法及び装置における処理の流れを示す図である。
【図３】図１の暗号処理システムでの処理の流れを示すシーケンス図である。
【図４】本発明の第１、第２、第１４及び第１５実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図５】本発明の第３及び第４実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図６】本発明の第５実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図７】本発明の第６、第７及び第８実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図８】本発明の第９、第１０、第２０及び第２１実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図９】本発明の第２実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１０】本発明の第１１及び第１２実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図１１】本発明の第１実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１２】本発明の第３実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１３】本発明の第４実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１４】本発明の第６実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１５】本発明の第７実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１６】本発明の第８実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１７】本発明の第９実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１８】本発明の第１０実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図１９】本発明の第１１実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図２０】本発明の第１２実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図２１】本発明の第１３実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図２２】本発明の実施の形態に係る署名作成装置の構成図である。
【図２３】本発明の実施の形態に係る復号化装置の構成図である。
【図２４】本発明の第１３実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図２５】図２のスカラー倍計算装置におけるスカラー倍計算方法を示すフローチャートである。
【図２６】本発明の第５実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図２７】本発明の実施例におけるスカラー倍計算方法及び装置における処理の流れを示す図である。
【図２８】図２２の署名作成装置における署名作成方法を示すフローチャートである。
【図２９】図２２の署名作成装置における処理の流れを示すシーケンス図である。
【図３０】図２３の復号化装置における復号化方法を示すフローチャートである。
【図３１】図２３の復号化装置における処理の流れを示すシーケンス図である。
【図３２】図１の暗号処理システムにおける暗号処理方法を示すフローチャートである。
【図３３】図２７のスカラー倍計算装置におけるスカラー倍計算方法を示すフローチャートである。
【図３４】本発明の第１４実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図３５】本発明の第１５実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図３６】本発明の第１６実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図３７】本発明の第１７実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図３８】本発明の第１８実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図３９】本発明の第１９実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図４０】本発明の第２０実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図４１】本発明の第２１実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図４２】本発明の第２２実施例のスカラー倍計算方法における座標復元方法を示すフローチャート図である。
【図４３】本発明の第１６実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図４４】本発明の第１７、第１８及び第１９実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【図４５】本発明の第２２実施例のスカラー倍計算方法における高速スカラー倍計算方法を示すフローチャート図である。
【符号の説明】
１０１ 暗号処理システム
１０２ 暗号処理部
１０３ スカラー倍計算部
１０４ 秘密情報格納部
１０５ 入力メッセージ
１０６ 出力メッセージ
２０１ スカラー倍計算装置
２０２ 高速スカラー倍計算部
２０３ 座標復元部
２２０１ 署名作成装置
２２０２ 署名部
２２０３ スカラー倍計算部
２２０４ 秘密情報格納部
２２０５ 入力メッセージ
２２０６ 出力メッセージ
２３０１ 復号化装置
２３０２ 復号部
２３０３ スカラー倍計算部
２３０４ 秘密情報格納部
２３０５ 入力メッセージ
２３０６ 出力メッセージ
２７０１ スカラー倍計算装置
２７０２ 高速スカラー倍計算部
２７０３ 座標復元部
２７０４ 楕円曲線変換部
２７０５ 楕円曲線逆変換部

Claims (22)

1. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の前記点Pからモンゴメリ楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   

   但し、Ｂはモンゴメリ型楕円曲線の定義式
   

   

   におけるパラメタＢ
   を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラ
   ー倍計算方法。
2. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の前記点Pからモンゴメリ楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
3. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の前記点Pからモンゴメリ楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ−１）Pの座標X_{ｄ - １}、Z_ｄ−１を求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−１、Z_ｄ−１と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   

   但し、Ｂはモンゴメリ型楕円曲線の定義式
   

   

   におけるパラメタＢ
   を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラ
   ー倍計算方法。
4. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の前記点Pからモンゴメリ楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ−１）Pの座標X_ｄ−１、Z_ｄ−１を求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−１、Z_ｄ−１と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
5. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の点Pからモンゴメリ楕円曲線においてアフィン座標で表されたスカラー倍点ｄPの座標ｘ_ｄとアフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_{ｄ + １}とアフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_ｄ−１とを求め、
   座標復元部によって、求められたｘ_ｄ、ｘ_{ｄ + １}、ｘ_ｄ−１と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   但し、Ｂはモンゴメリ型楕円曲線の定義式
   

   

   におけるパラメタＢ
   を計算することによってスカラー倍点の座標ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
6. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値と入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ−1）Ｐの座標X_ｄ−１、Z_ｄ−１とを求め、 座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−１、Z_ｄ−１と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   

   を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラ
   ー倍計算方法。
7. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ−1）Ｐの座標X_ｄ−１、Z_ｄ−１とを求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−１、Z_ｄ−１と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
8. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス楕円曲線においてアフィン座標で表されたスカラー倍点ｄPの座標ｘ_ｄと、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_{ｄ + １}と、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ−1）Ｐの座標ｘ_ｄ−１とを求め、 座標復元部によって、求められたｘ_ｄ、ｘ_{ｄ + １}、ｘ_ｄ−１と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
   

   

   を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
9. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
   予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
   前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙに対するモンゴメリ型楕円曲線上の点ｘ、ｙとを求め、
   座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、ｘ、ｙから、
   

   

   

   但し、Ｂはモンゴメリ型楕円曲線の定義式
   

   

   におけるパラメタＢ、
   s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
   

   

   及び
   

   

   の関係における変換パラメタｓ、α
   を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラ
   ー倍計算方法。
10. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙに対するモンゴメリ型楕円曲線上の点ｘ、ｙとを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、ｘ、ｙから、
    

    

    

    

    但し、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＢ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってワイエルシュトラスがた楕円曲線におけるスカラー倍点の座標X_ｄ ^W、Y_ｄ ^W、Z_ｄ ^Wを求めることを特徴とするスカラー倍計算方法。
11. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、 前記高速スカラー倍計算部によって、入力された前記スカラー値と入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ−1）Ｐの座標X_{ｄ - １}、Z_ｄ−１と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙに対するモンゴメリ型楕円曲線上の点ｘ、ｙとを求め、 座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−Z_ｄ−１、ｘ、ｙから、
    

    

    

    但し、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＢ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラ
    ー倍計算方法。
12. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}と、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ−1）Ｐの座標X_{ｄ - １}、Z_ｄ−１とを求め、 座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、X_ｄ−１、Z_ｄ−１と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    

    

    但し、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＢ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってワイエルシュトラス型楕円曲線におけるスカラー倍点の座標X_ｄ ^W、Y_ｄ ^W、Z_ｄ ^Wを求めることを特徴とするスカラー倍計算方法。
13. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点ｄPの座標X_ｄと、アフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}と、アフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ−1）Ｐの座標X_ｄ−１とを求め、
    座標復元部によって、求められたX_ｄ、X_{ｄ + １}、X_ｄ−１と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    

    但し、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＢ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標ｘ_ｄ ^W、ｙ_ｄ ^Wを求めることを特徴とするスカラー倍計算方法。
14. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力されたスカラー値ｄと入力されたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    

    但し、Ａ、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＡ、Ｂ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
15. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    但し、Ａはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＡ
    を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
16. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、モンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたモンゴメリ型楕円曲線上の点Pからモンゴメリ型楕円曲線においてアフィン座標で表されたスカラー倍点ｄPの座標ｘ_ｄと、アフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_{ｄ + １}とを求め、
    座標復元部によって、求められたｘ_ｄ、ｘ_{ｄ + １}と入力されたモンゴメリ型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    但し、Ａ、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＡ、Ｂ
    を計算することによってスカラー倍点の座標ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
17. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、 前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、 座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    

    を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
18. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標X_{ｄ + １}、Z_{ｄ + １}とを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    を計算することによってスカラー倍点の座標Y_ｄを求めることを特徴とするスカラー倍計算方法。
19. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力されたスカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線においてアフィン座標で表されたスカラー倍点ｄPの座標ｘ_ｄと、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_{ｄ + １}、アフィン座標で表されたワイエルシュトラス型楕円曲線上の点（ｄ―1）Ｐの座標ｘ_ｄ−１とを求め、 座標復元部によって、求められたｘ_ｄ、ｘ_{ｄ + １}、ｘ_ｄ−１と入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙから、
    

    

    を計算することによってスカラー倍点の座標ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
20. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標Ｘ_{ｄ + １}、Ｚ_{ｄ + １}と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙに対するモンゴメリ型楕円曲線上の点ｘ、ｙとを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、ｘ、ｙから、
    

    

    

    但し、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＢ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標ｘ_ｄ、ｙ_ｄを求めることを特徴とするスカラー倍計算方法。
21. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからワイエルシュトラス型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標X_ｄ、Z_ｄと、射影座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標Ｘ_{ｄ + １}、Ｚ_{ｄ + １}と、入力されたワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙに対するモンゴメリ型楕円曲線上の点ｘ、ｙとを求め、
    座標復元部によって、求められたX_ｄ、Z_ｄ、X_{ｄ + １}、Z_{ｄ + １}、ｘ、ｙから、
    

    

    

    

    但し、Ａ、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＡ、Ｂ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標Ｘ_ｄ ^ｗ、Ｙ_ｄ ^ｗ、Ｚ_ｄ ^ｗを求めることを特徴とするスカラー倍計算方法。
22. 楕円曲線暗号における標数５以上の有限体上に定義された楕円曲線において、スカラー値ｄ及び楕円曲線上の点Ｐからスカラー倍点を計算するスカラー倍計算方法であって、
    予め記憶装置に記憶されたスカラー値ｄと、ワイエルシュトラス型楕円曲線上の点Ｐの座標ｘ、ｙとを高速スカラー倍計算部へ入力し、
    前記高速スカラー倍計算部によって、入力された前記スカラー値ｄと入力されたワイエルシュトラス型楕円曲線上の点Pからモンゴメリ型楕円曲線において射影座標で表されたスカラー倍点ｄPの座標ｘ_ｄと、アフィン座標で表されたモンゴメリ型楕円曲線上の点（ｄ+1）Ｐの座標ｘ_{ｄ + １}と、入力されたモンゴメリ型楕円曲線上の点Ｐであるｘ、ｙとを求め、座標復元部によって、求められたｘ_ｄ、ｘ_{ｄ + １}、ｘ、ｙから、
    

    

    

    但し、Ａ、Ｂはモンゴメリ型楕円曲線の定義式
    

    

    におけるパラメタＡ、Ｂ、
    s 、αはモンゴメリ型楕円曲線とワイエルシュトラス型楕円曲線の間の
    

    

    及び
    

    

    の関係における変換パラメタｓ、α
    を計算することによってスカラー倍点の座標ｘ_ｄ ^ｗ、ｙ_ｄ ^ｗを求めることを特徴とするスカラー倍計算方法。

Images