JP3959076B2 - 有限体の二乗演算方法及び二乗演算装置 - Google Patents

Description

本発明は、有限体の二乗演算方法及び二乗演算装置に関する。

有限体ＧＦ（２ⁿ）は、２ⁿ個の要素を含む数値系である。有限体の各要素がｎビットで表現できるという事実によって、有限体の実際的な応用が可能である。例えばエラー訂正コードや楕円曲線暗号系をハードウェアで実現するような実際的な応用では、ＧＦ（２ⁿ）の計算を頻繁に使用する。リードソロモンコードを符号化／復号化する装置はＧＦ（２ⁿ）の計算を行わなければならず、楕円曲線暗号系の暗号／解読装置はｎを大きい値とするＧＦ（２ⁿ）の計算を行わなければならない。
有限体ＧＦ（２）は、次の式１のような加算、積算規則を有し、その要素が２進数０、１だけの数値系である。

すなわち、加算はビット排他的論理和（以下、"ＸＯＲ"）演算であり、積算はビット論理積（以下、"ＡＮＤ"）演算である。
有限体ＧＦ（２ⁿ）（ｎ＞１）は２ⁿ個の要素を含む数値系であるが、この数値系における加算及び積算はＧＦ（２）の係数を有するｎ次多項式のモジュロ演算に対応する。この多項式を有限体決定多項式とし、この多項式の一根をαとするとき、有限体の一要素は、次の式２のような標準表現を有する。

ＧＦ（２ⁿ）の２要素の積は、αに関する多項式積算後、決定多項式によるモジュロ演算で決定される。ＧＦ（２ⁿ）の２要素の和は、αに関する多項式加算で定義される。
有限体ＧＦ（２ⁿ）の決定多項式を次の式３のように表現し、αを決定多項式の根とする。

ここで、ｎは任意の自然数であり、ｔとｋ_iとは０＜ｔ、ｋ_i＜ｎである。
有限体の要素Ａに対してＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）であれば、要素Ａの二乗Ａ²は、次の式４のように要素Ａ及び要素Ａのαに関する多項式積算後、ｆ（α）によるモジュロ演算で決定される。

式４で示されるような二乗演算を行うための従来技術には、次のようなものがある。なお、以下では、面積複雑度とはハードウェアのサイズすなわちゲート数のことをいい、時間複雑度とはハードウェアのゲート遅延のことをいう。ＳＥＣ（Standards for Efficient Cryptography）及びＡＮＳＩ（American National Standards Institute、米国規格協会） Ｘ９.６２のような暗号化技術の標準では、楕円曲線暗号系に必要な係数を定義し、いくつかの有限体係数を推奨している。有限体係数を決定するために、この２つの標準が最も幅広く使用されている。このため、この２つの標準が、各暗号化技術の汎用性を判断するときの基準として使用される。なお、以下では、ｎは有限体の次元をいう。

非特許文献１は、決定多項式が三項式Ｘⁿ＋Ｘ^k＋１である場合、ｎ及びｋの値に対する二乗演算の結果を整理したものを開示している。この技術は数式が最適化されているため、面積複雑度及び時間複雑度の側面で効率的な結果を示す。しかし、決定多項式が五項式である場合については言及されていない。

非特許文献２は、有限体ＧＦ（２ⁿ）でｎ＋１が素数であり、２∈Ｚ_n+1が原始要素であるとき、異常基底を使用し、決定多項式がＡＯＰ（All One Polynomial）であれば、再配置によって二乗演算ができることを示している。しかし、当該ｎ及び決定多項式が前記標準に含まれていない。

特許文献１は、ｎが偶数であり、有限体ＧＦ（２ⁿ）がＧＦ（２）＜ＧＦ（２^n/2）＜ＧＦ（２ⁿ）の条件を満たす場合、ＧＦ（２ⁿ）の演算はＧＦ（２^n/2）の演算を利用して実現できることを示し、このような方法を利用した二乗演算装置を提案している。しかし、有限体の表現方式が標準の表現方式と異なるので、互換性に問題がある。更に、前記標準におけるｎはほとんど奇数であるので、この技術が適用される場合は少ない。

特許文献２では、循環基底を使用して二乗演算を実現する。循環基底は、ｍ＝（２ⁿ−１）／Δ≧ｎ，Δ≧ｎを満足する２ⁿ−１の最小の約数Δに対して、１,αΔ,α²Δ,α³Δ,…,α^(m-1)Δとなる。この場合、再配置によって二乗演算が行われる。しかし、この技術を適用するためには、基底変換が要求されるが、条件を満足するΔの値が相当大きい値であるので、その基底変換が非常に複雑になる。

非特許文献３は、二乗演算の入力要素を予め決められた原理で分離し、その分離した要素を積算装置に入力する方法を開示している。この二乗演算装置のうち積算装置を除外した部分は、３.５ｎ個のゲートで構成される。これは、約ｎ／２個のゲートで構成される非特許文献１の発明と比較して非効率的である。
非特許文献４は、正規基底を使用するので、再配置によって二乗演算が行われる。しかし、要求される基底変換は非常に複雑である。

したがって、従来技術に現れたような複雑な基底変換がなく、面積複雑度及び時間複雑度を減らすことができる二乗演算方法及び二乗演算装置が必要である。
K.Aoki, "Scheme for arithmetic operations in finite field and group operations over elliptic curves realizing improved computational speed", 2001（米国特許第６,２６６,６８８号明細書、第６,２０２,０７６号明細書） Lambert, "Method and apparatus for implementing arithmetical operations in finite fields", 2001（欧州特許第１,０７６,２８４ Ａ１号明細書） H.Wu, "Bit-parallel finite field multiplier and squarer using polynomial basis", IEEE Transaction on Computers, Vol.51, No.7, 2002, pp.750〜758 C.H.Kim, "A new hardware architecture for operations in GF(2n), IEEE Transaction on Computers, Vol.51, No.1, 2002, pp.90〜92 G.Orlando, "Squaring architecture for GF(2n) and its application in cryptographic systems", Electronics Letters, Vol.36, No.13, 2000, pp.1116〜1117 C.C.Wang, "VLSI architectures for computing multiplications and inverses in GF(2M)", IEEE Transactions on Computers, Vol.C-34, No.8, 1985, pp.709〜717

そこで、本発明が解決しようとする技術的課題は、有限体の決定多項式の二乗演算に必要な係数を定義し、その定義された係数に対して必要な排他的論理演算を行い、その排他的論理演算の結果を再配置して二乗演算を行う有限体の二乗演算方法及び装置を提供することである。

前記課題を解決するための本発明は、有限体ＧＦ（２ⁿ、ｎは奇数）の決定多項式が

と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置であって、係数計算部と、排他的論理和演算部と、再配置部とを備える装置における有限体の二乗演算方法において、
（ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して

を満足するようにｍ_iを決定し、ｊが２からｍｉまで変わるときにｎ、ｋ_i及びｊから

によってｌ_ijを決定し、ｎ、ｌ_ij及びｋ_iからｎビットのＶ₀を、

によって決定し、及びｎビットのＶ _ij を、
ｋ _i が奇数である場合またはｋ _i が偶数であり、ｊが奇数である場合には、

によって決定し、
ｋ _i 、ｊがいずれも偶数である場合には、

によってそれぞれ決定し、ｍ_iに対する

によってＶを求めるステップと、
（ｂ）ｋ_i及びｎによって係数ｓ_iを

（ｏｄｄは奇数、ｅｖｅｎは偶数）
によって決定し、Ｖをｓ_iだけそれぞれ循環置換するステップと、
（ｃ）前記（ｂ）ステップで循環置換された結果及び要素Ａを排他的論理和演算するステップと、
（ｄ）前記（ｃ）ステップの演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i を、

によってｃ _j 'をｃ _i に再配置して、二乗演算の最終結果として出力するステップと、
を含み、前記（ａ）ステップを前記係数計算部で行い、前記（ｂ）ステップおよび（ｃ）ステップを前記排他的論理和演算部で行い、かつ前記（ｄ）ステップを前記再配置部で行うことを特徴とする。

次に、本発明は、有限体ＧＦ（２ⁿ，ｎは奇数）の決定多項式が

と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置において、
（ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して

を満足するようにｍ_iを決定し、ｊが２からｍｉまで変わるときにｎ、ｋ_i及びｊから

によってｌ_ijを決定し、ｎ、ｌ_ij及びｋ_iからｎビットのＶ₀を、

によって決定し、及びｎビットのＶ _ij を、
ｋ _i が奇数である場合またはｋ _i が偶数であり、ｊが奇数である場合には、

によって決定し、
ｋ _i 、ｊがいずれも偶数である場合には、

によってそれぞれ決定し、ｍ_iに対する

によってＶを求めるステップと、
（ｂ）ｋ_i及びｎによって係数ｓ_iを

（ｏｄｄは奇数、ｅｖｅｎは偶数）
によって決定し、Ｖをｓ_iだけそれぞれ循環置換するステップと、
を含んで二乗演算に必要な係数を計算する係数計算部と、
複数の排他的論理和演算手段を備え、前記係数計算部の計算結果によって要素Ａを入力して排他的論理和演算を行う排他的論理和演算部と、
前記排他的論理和演算部の演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i は、

によってｃ _j 'をｃ _i に再配置して、二乗演算の最終結果として出力する再配置部と、
を含むことを特徴とする。

また、本発明は、有限体ＧＦ（２ⁿ，ｎは偶数）の決定多項式が

と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置であって、係数計算部と、排他的論理和演算部と、再配置部とを備える装置における有限体の二乗演算方法において、
（ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して

を満足するようにｍ_iを決定し、ｊが２からｍ_iまで変わるときにｎ、ｋ_i及びｊから、

によってｌ_ijを決定し、ｎ、ｌ_ij及びｋｉから、ｎビットのＶ₀を、

によって、
ｎビットのＶ _ij を、
ｋ _i が偶数である場合またはｋ _i 、ｊがいずれも奇数である場合には、

によって、
ｋ _i が奇数であり、ｊが偶数である場合には、

によってそれぞれ決定し、ｍ_iに対する

によってＶを求めるステップと、
（ｂ）ｋ_i及びｎによってｓ _i を、ｋ _i 及びｎに対して

（ｏｄｄは奇数、ｅｖｅｎは偶数）
によって決定し、置換が

と表現されるとき、要素Ａに対して

によってＶをｓ_iだけそれぞれ置換するステップと、
（ｃ）

によって

を求め、前記（ｂ）ステップの置換結果及び
前記

の要素を排他的論理和演算するステップと、
（ｄ）前記（ｃ）ステップの演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i は、

によって再配置して、二乗演算の最終結果として出力するステップと、
を含み、前記（ａ）ステップを前記係数計算部で行い、前記（ｂ）ステップおよび（ｃ）ステップを前記排他的論理和演算部で行い、かつ前記（ｄ）ステップを前記再配置部で行うことを特徴とする。

さらに、本発明は、有限体ＧＦ（２ⁿ，ｎは偶数）の決定多項式が

と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置において、
（ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して

を満足するようにｍ_iを決定し、ｊが２からｍ_iまで変わるときにｎ、ｋ_i及びｊから、

によってｌ_ijを決定し、ｎ、ｌ_ij及びｋｉから、ｎビットのＶ₀を、

によって、
ｎビットのＶ _ij を、
ｋ _i が偶数である場合またはｋ _i 、ｊがいずれも奇数である場合には、

によって、
ｋ _i が奇数であり、ｊが偶数である場合には、

によってそれぞれ決定し、ｍ_iに対する

によってＶを求めるステップと、
（ｂ）ｓ _i を、ｋ _i 及びｎに対して

（ｏｄｄは奇数、ｅｖｅｎは偶数）
によって決定し、置換が

と表現されるとき、要素Ａに対して

によってＶをｓ_iだけそれぞれ置換するステップと、
を含んで二乗演算に必要な係数を計算する係数計算部と、
複数の排他的論理和演算手段を備え、要素Ａを入力として

によって

を求め、前記係数計算部で計算された置換結果及び前記

を再び排他的論理和演算する排他的論理和演算部と、
前記排他的論理和演算部の演算結果Ｃ'をＣ'＝ｃ₀'ｃ₁'…ｃ_n-1'とし、要素Ａの二乗演算の結果をＡ²＝ｃ₀ｃ₁…ｃ_n-1とするとき、ｃ_iは

によってｃ_j'をｃ_iに再配置して、二乗演算の最終結果として出力する再配置部と、
を含むことを特徴とする。

本発明によれば、暗号化技術の標準におけるほとんどの場合に適用できるので、汎用性を満足しつつ、面積複雑度及び時間複雑度の側面でも効率的である。

以下、本発明を実施するための最良の形態について図面を参照して詳細に説明する。

図１は、有限体ＧＦ（２ⁿ）でｎが奇数であるときの、本発明による有限体の二乗演算装置のブロック図である。有限体の二乗演算装置は、係数計算部１０、ＸＯＲ演算部１２及び再配置部１４を備える。
係数計算部１０は、決定多項式の二乗演算に必要な係数を計算する。ＸＯＲ演算部１２は、係数計算部１０から出力される係数及び要素Ａに対してＸＯＲ演算を行う。再配置部１４は、ＸＯＲ演算部１２から出力される演算結果を再配置して、二乗演算の最終値として出力する。

前記構成による動作をさらに詳細に説明すれば、次の通りである。
有限体ＧＦ（２ⁿ）（ｎは奇数）の決定多項式を次の式５のように定義する。

ある有限体の要素ＡをＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）とすれば、要素Ａの二乗は次の式６のように表現できる。

二乗演算の結果であるＣもＧＦ（２ⁿ）に属する。
式５で、決定多項式ｆ（ｘ）は、ｘⁿ＋１と

の和で構成され、ｎ、ｔ、ｋ_iによって積算装置の面積複雑度及び時間複雑度が決定される。

Ｃに含まれる各要素を求めるために必要な係数ｍ_i、ｌ_ij、ｌ、Ｖ₀、Ｖ_ij及びＶを次のように定義する。
各ｉ＝１,２,…,ｔに対してｋ_i＝１であれば、係数ｍ_i＝０とする。
整数ｒ≧２に対して、ｋ_iが次の式７を満足すれば、係数ｍ_i＝ｒと定義する。

０でないｍ_i（ｉ＝１,２,…,ｔ）に対して係数ｌ_ij（ｊ＝２,３,…,ｍ_i）を次の式８のように定義する。

ｋ_iが偶数であれば、ｌは次の式９のように定義し、ｋ_iが偶数でなければ、ｌ＝０である。

（ｅｖｅｎは偶数）

Ｖ₀は、次の式１０のように定義される。

それぞれ０でないｍ_iに対してＶ_ij（ｊ＝２,３,…,ｍ_i）を定義する。当該ｉに対するｋ_iが奇数である場合またはｋ_iが偶数であり、ｊが奇数である場合には、Ｖ_ijは次の式１１のように定義される。

ｋ_i及びｊがいずれも偶数である場合、Ｖ_ijは次の式１２の通りである。

係数計算部１０は、係数から最終的にＶ_i及びＶに対する次の式１３のような計算結果を出力する。

次いで、ｋ_i（ｉ＝１,２,…,ｔ）に対してｓ_iを次の式１４のように定義する。

（以下、数式で、ｏｄｄは奇数、ｅｖｅｎは偶数）

式１４から得たｓ₁ないしｓ_tのそれぞれに対してＶを循環置換し、それらの結果をＸＯＲ演算し、再び要素ＡとＸＯＲ演算する。その結果をＣ'とすれば、Ｃ'は次の式１５のように表現できる。

式１５から得られる演算結果Ｃ'は、要素ＡのＸＯＲ演算式として表現される。ＸＯＲ演算部１２は、式１５によるＸＯＲ演算を行う。
式１５から得られるＣ'をＣ'＝ｃ₀'ｃ₁'…ｃ_n-1'とすれば、Ｃ'からＡ²＝ｃ₀ｃ₁…ｃ_n-1のｃ_iは、次の式１６の通りである。

再配置部１４は、式１５から得られた結果を式１６によって再配置して、二乗演算の最終結果として出力する。
以上のように構成された二乗演算装置の面積複雑度及び時間複雑度を計算すれば、次の通りである。本発明の実施の形態に係る二乗演算装置には、ＸＯＲ演算を行う部分がある。そこで必要なＸＯＲ演算数は、次の式１７の通りである。

式１７の"step３"は再配置によるものであるので、ＸＯＲ演算は不要である。特に、ｔ＝１である場合、すなわち決定多項式が三項式である場合、ｋ₁が次の式１８を満足すれば、必要なＸＯＲ演算数は、次の式１９のように表現される。

本発明の二乗演算装置による時間複雑度を正確に記述するのは難しい。ただし、例えば、時間複雑度が最悪値になる場合を記述することはできる。本発明では、二乗演算装置がＸＯＲゲートを使用しているため、時間複雑度はＸＯＲゲートによる遅延で表現することができる。一般的な場合、ＸＯＲゲートによる遅延は最大で次の式２０のように決定される。

特に、ｔ＝１であり、ｋ₁が式１８を満足する場合、ＸＯＲゲートによる遅延は、次の式２１の通りである。

ｎ＝１１である場合の、各係数及び複雑度の演算結果について説明する。決定多項式がＸ¹¹＋Ｘ²＋１であるとき、ｔ＝１であり、ｋ₁＝２である。ｎ、ｔ、ｋ_iから二乗演算に必要な係数が次のように決定される。式７ないし式１１によって、ｍ₁＝２、ｌ₁₂＝１、ｌ＝１、Ｖ₀＝ａ₆ａ₇ａ₈ａ₉ａ₁₀００００００、Ｖ₁₂＝０００００ａ₁₀０００００が決定され、決定された結果から式１３によって、Ｖ₁＝０００００ａ₁₀０００００、Ｖ＝ａ₆ａ₇ａ₈ａ₉ａ₁₀ａ₁₀０００００に決定される。
式１４によってｓ₁＝７であり、式１５によってＣ'は、次の式２２のように決定される。

Ｃ'に対して式１４による再配置を実行すれば、次の式２３のようなＡ²＝ｃ₀ｃ₁ｃ₂…ｃ₉ｃ₁₀の結果を得る。

図２は、式２３の結果を複数のＸＯＲ演算手段２１及び再配置手段２２で実現した二乗演算装置を示す図である。
図２に示すように、二乗演算装置は、面積複雑度の側面では６個のＸＯＲ演算手段からなり、時間複雑度の側面では１つのＸＯＲゲート遅延を有することが分かる。

本発明の他の実施例で、決定多項式がＸ¹¹＋Ｘ⁴＋Ｘ²＋Ｘ＋１である場合を説明する。この決定多項式によれば、ｔ＝３、ｋ₁＝１、ｋ₂＝２、ｋ₃＝４である。
ｔ、ｋ₁、ｋ₂、ｋ₃から得られる係数は、次の式２４の通りである。

式２４の係数からＶ₂＝０００００ａ₁₀０００００であり、Ｖ₃＝０００００ａ₉ａ₁₀００００であり、Ｖは次の式２５のように決定される。

式１４によって、ｓ₁＝１、ｓ₂＝７、ｓ₃＝８が決定され、それにより、Ｃ'は次の式２６のように決定される。

式１６によって再配置を行えば、Ｃは次の式２７のように求められる。

図３は、式２７の結果を複数のＸＯＲ演算手段３１及び再配置手段３２で実現した二乗演算装置を示す図である。図４は、図３に示された二乗演算装置でＸＯＲ演算手段の数をさらに減らした結果を示す図である。例えば、式２７でｃ₂に当る

の場合、

となるので、結果的に

の演算だけが必要である。したがって、ＸＯＲ演算手段の数を減らせる。他の例として

の場合、

の計算で共通となる

を再活用すれば、ｃ₅の計算に使われるＸＯＲ演算手段を一つ減らせる。図４は、図３に示された二乗演算装置に対して以上のような方法により数を減らしたＸＯＲ演算手段４１を示している。

図５は、有限体ＧＦ（２ⁿ）でｎが偶数であるとき、本発明による有限体の二乗演算装置のブロック図を示す。有限体の二乗演算装置は、係数計算部５０、ＸＯＲ演算部５２及び再配置部５４を備える。
係数計算部５０は、決定多項式の二乗演算に必要な係数を計算する。ＸＯＲ演算部５２は、係数計算部５０から出力される係数に対して排他的論理和の演算を行う。再配置部５４は、ＸＯＲ演算部５２から出力される演算結果を再配置して、二乗演算の最終結果として出力する。

前記構成による動作をさらに詳細に説明すれば、次の通りである。
有限体ＧＦ（２ⁿ）（ｎは偶数）の決定多項式をｎが奇数であるときと同様に式５のように定義すれば、それに属する要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）のように表現されるとき、Ａ²は式６のように表すことができる。式６で二乗演算の結果であるＣもＧＦ（２ⁿ）に属する。
Ｃに含まれる各要素を求めるために、必要な係数ｍ_i、ｌ_ij、ｌ、Ｖ₀、Ｖ_ij及びＶを次のように定義する。
各ｉ＝１,２,…,ｔに対してｋ_i＝１であれば、係数ｍ_i＝１とする。
整数ｒ≧２に対して、ｋ_iが次の式２８を満足すれば、ｍ_i＝ｒと定義する。

それぞれが１でないｍ_i（ｉ＝１,２,…,ｔ）に対してｌ_ij（ｊ−＝２,３,…,ｍ_i）は、次の式２９のように定義する。

Ｖ₀は次の式３０のように定義される。

それぞれの１でないｍ_i（ｉ＝１,２,…,ｔ）に対してＶ_ij（ｊ＝２,３,…,ｍ_i）は、ｉに対するｋ_iが偶数である場合またはｋ_i、ｊがいずれも奇数である場合には、次の式３１のように定義される。

ｋ_iが奇数であり、ｊが偶数である場合には、Ｖ_ijは次の式３２のように定義される。

係数計算部５０は、係数から最終的にＶ_i及びＶに対してｍ_iが１ではないとき、次の式３３のような計算結果を出力する。

ｋ_i（ｉ＝１,２,…,ｔ）に対してｓ_iを次の式３４のように定義する。

次いで、要素Ａに対する

を次の式３５のように定義する。

演算記号

は、次の式３６のように定義される。

式３４から得たｓ₁ないしｓ_tに対して式３６のように定義されたようにＶを置換し、その結果を全てＸＯＲ演算し、再び式３５の

とＸＯＲ演算する。その結果をＣ'とすれば、Ｃ'は次の式３７のように表現できる。

式３７から得られる演算結果Ｃ'は、要素ＡのＸＯＲ演算式として表現される。ＸＯＲ演算部８２は、式３７によるＸＯＲ演算を行う。
式３７から得られるＣ'をＣ'＝ｃ₀'ｃ₁'…ｃ_n-1'とすれば、Ｃ'からＡ²＝ｃ₀ｃ₁…ｃ_n-1のｃ_iは次の式３８の通りである。

再配置部５４は、式３７で得られた結果を式３８によって再配置して、二乗演算の最終結果として出力する。

本発明による実施例で、決定多項式がＸ¹⁰＋Ｘ⁴＋Ｘ³＋Ｘ＋１である場合について説明する。この決定多項式によれば、ｔ＝３であり、ｋ₁＝１、ｋ₂＝３、ｋ₃＝４である。
ｔ、ｋ₁、ｋ₂、ｋ₃から得られる係数は、次の式３９の通りである。

式３３によって、Ｖ₂、Ｖ₃及びＶは次の式４０のように求められる。

式３４によって、ｓ₁＝５、ｓ₂＝６、ｓ₃＝２に決定され、これによりＣ'は式３５ないし式３７によって次の式４１のように決定される。

式４１によって得られたＣ'を式４２によって再配置すれば、次の式４２のような二乗演算の結果を得る。

図６は、式４２による演算結果を複数のＸＯＲ演算手段６１及び再配置手段６２によって実現した二乗演算装置を示す図である。二乗演算装置は、面積複雑度の側面で２５個のＸＯＲゲートからなり、時間複雑度の側面で４個のＸＯＲゲート遅延を有する。

図７ないし図９は、従来技術と本発明との差異点を表で要約したものである。図７で本発明の場合、面積複雑度及び時間複雑度に対して決定多項式が三項式、すなわちＸⁿ＋Ｘ^k＋１（１≦ｋ≦ｎ／２）である場合を考慮した。図８は、ＳＥＣの標準で定義された３個の有限体で従来技術と本発明とによる面積複雑度及び時間複雑度を比較して表で表したものである。二乗演算装置の入力は標準表現によると仮定する。図９は、従来技術と本発明との標準適用可否と基底変換如何、そしてその問題点を比較して示したものである。二乗演算装置の入力は標準表現によると仮定する。

表によれば、時間複雑度及び面積複雑度の側面で、本発明は従来技術より優秀な場合もあり、類似した場合もあり、非効率的な場合もある。しかし、従来技術の場合より効率的な非特許文献２の発明が適用される次元は標準になく、決定多項式が標準と異なるので、互換性に問題がある。また、特許文献２の発明と非特許文献４とは複雑な基底変換を要求する。一般的に、基底変換は約ｎ²個のゲートで構成され、約ｌｏｇ₂ｎのゲート遅延が要求される。効率的な基底変換方法がなければ、従来技術は本発明に比べて非効率的である。非特許文献１は適用される決定多項式が一部三項式に過ぎないので制限的である。
また、ｎが偶数である場合にも、本発明は標準に与えられた全ての場合に適用可能であるので、汎用性を満足する。

本発明である有限体の二乗演算方法及び二乗演算装置は、基底変換が不要であり、決定多項式が三項式または五項式である場合に適用可能であるので、従来技術より標準適用に有利である。

本発明の一実施例による有限体の二乗演算装置のブロック図である。 式２３の結果を複数のＸＯＲ演算手段及び再配置手段で実現した二乗演算装置を示す図である。 式２７の結果を複数のＸＯＲ演算手段及び再配置手段で実現した二乗演算装置を示す図である。 図３に示された二乗演算装置でＸＯＲ演算手段の数をさらに減らした結果を示す図である。 本発明の他の実施例による有限体の二乗演算装置のブロック図である。 式４２の結果を複数のＸＯＲ演算手段及び再配置手段で実現した二乗演算装置を示す図である。 従来技術及び本発明による二乗演算装置の面積及び時間複雑度を比較した表である。 ＳＥＣで定義された３個の有限体で従来技術及び本発明による二乗演算装置の面積及び時間複雑度を比較した表である。 従来技術及び本発明による二乗演算装置の標準適用可否、基底変換如何及びその問題点を比較した表である。

符号の説明

１０ 係数計算部
１２ ＸＯＲ演算部
１４ 再配置部

Claims (4)

1. 有限体ＧＦ（２ⁿ、ｎは奇数）の決定多項式が
   

   

   と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置であって、係数計算部と、排他的論理和演算部と、再配置部とを備える装置における有限体の二乗演算方法において、
   （ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して
   

   

   を満足するようにｍ_iを決定し、ｊが２からｍｉまで変わるときにｎ、ｋ_i及びｊから
   

   

   によってｌ_ijを決定し、ｎ、ｌ_ij及びｋ_iからｎビットのＶ₀を、
   

   

   によって決定し、及びｎビットのＶ _ij を、
   ｋ _i が奇数である場合またはｋ _i が偶数であり、ｊが奇数である場合には、
   

   

   によって決定し、
   ｋ _i 、ｊがいずれも偶数である場合には、
   

   

   によってそれぞれ決定し、ｍ_iに対する
   

   

   によってＶを求めるステップと、
   （ｂ）ｋ_i及びｎによって係数ｓ_iを
   

   

   （ｏｄｄは奇数、ｅｖｅｎは偶数）
   によって決定し、Ｖをｓ_iだけそれぞれ循環置換するステップと、
   （ｃ）前記（ｂ）ステップで循環置換された結果及び要素Ａを排他的論理和演算するステップと、
   （ｄ）前記（ｃ）ステップの演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i を、
   

   

   によってｃ _j 'をｃ _i に再配置して、二乗演算の最終結果として出力するステップと、
   を含み、前記（ａ）ステップを前記係数計算部で行い、前記（ｂ）ステップおよび（ｃ）ステップを前記排他的論理和演算部で行い、かつ前記（ｄ）ステップを前記再配置部で行うことを特徴とする有限体の二乗演算方法。
2. 有限体ＧＦ（２ⁿ，ｎは奇数）の決定多項式が
   

   

   と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置において、
   （ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して
   

   

   を満足するようにｍ_iを決定し、ｊが２からｍｉまで変わるときにｎ、ｋ_i及びｊから
   

   

   によってｌ_ijを決定し、ｎ、ｌ_ij及びｋ_iからｎビットのＶ₀を、
   

   

   によって決定し、及びｎビットのＶ _ij を、
   ｋ _i が奇数である場合またはｋ _i が偶数であり、ｊが奇数である場合には、
   

   

   によって決定し、
   ｋ _i 、ｊがいずれも偶数である場合には、
   

   

   によってそれぞれ決定し、ｍ_iに対する
   

   

   によってＶを求めるステップと、
   （ｂ）ｋ_i及びｎによって係数ｓ_iを
   

   

   （ｏｄｄは奇数、ｅｖｅｎは偶数）
   によって決定し、Ｖをｓ_iだけそれぞれ循環置換するステップと、
   を含んで二乗演算に必要な係数を計算する係数計算部と、
   複数の排他的論理和演算手段を備え、前記係数計算部の計算結果によって要素Ａを入力して排他的論理和演算を行う排他的論理和演算部と、
   前記排他的論理和演算部の演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i は、
   

   

   によってｃ _j 'をｃ _i に再配置して、二乗演算の最終結果として出力する再配置部と、
   を含むことを特徴とする有限体の二乗演算装置。
3. 有限体ＧＦ（２ⁿ，ｎは偶数）の決定多項式が
   

   

   と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置であって、係数計算部と、排他的論理和演算部と、再配置部とを備える装置における有限体の二乗演算方法において、
   （ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して
   

   

   を満足するようにｍ_iを決定し、ｊが２からｍ_iまで変わるときにｎ、ｋ_i及びｊから、
   

   

   によってｌ_ijを決定し、ｎ、ｌ_ij及びｋｉから、ｎビットのＶ₀を、
   

   

   によって、
   ｎビットのＶ _ij を、
   ｋ _i が偶数である場合またはｋ _i 、ｊがいずれも奇数である場合には、
   

   

   によって、
   ｋ _i が奇数であり、ｊが偶数である場合には、
   

   

   によってそれぞれ決定し、ｍ_iに対する
   

   

   によってＶを求めるステップと、
   （ｂ）ｋ_i及びｎによってｓ _i を、ｋ _i 及びｎに対して
   

   

   （ｏｄｄは奇数、ｅｖｅｎは偶数）
   によって決定し、置換が
   

   

   と表現されるとき、要素Ａに対して
   

   

   によってＶをｓ_iだけそれぞれ置換するステップと、
   （ｃ）
   

   

   によって
   

   

   を求め、前記（ｂ）ステップの置換結果及び
   前記
   

   

   の要素を排他的論理和演算するステップと、
   （ｄ）前記（ｃ）ステップの演算結果Ｃ'をＣ'＝ｃ ₀ 'ｃ ₁ '…ｃ _n-1 'とし、要素Ａの二乗演算の結果をＡ ² ＝ｃ ₀ ｃ ₁ …ｃ _n-1 とするとき、ｃ _i は、
   

   

   によって再配置して、二乗演算の最終結果として出力するステップと、
   を含み、前記（ａ）ステップを前記係数計算部で行い、前記（ｂ）ステップおよび（ｃ）ステップを前記排他的論理和演算部で行い、かつ前記（ｄ）ステップを前記再配置部で行うことを特徴とする有限体の二乗演算方法。
4. 有限体ＧＦ（２ⁿ，ｎは偶数）の決定多項式が
   

   

   と表現され、前記有限体の要素ＡがＡ＝（α₀,α₁,α₂,・・・,α_n-1）∈ＧＦ（２ⁿ）と表現されるとき、要素Ａの二乗演算を行う装置において、
   （ａ）所定の係数ｍ_i、ｌ_ij、Ｖ₀、Ｖ_ij及びＶを決定する場合、ｉが１からｔまで変わる自然数であるときにｋ _i に対して
   

   

   を満足するようにｍ_iを決定し、ｊが２からｍ_iまで変わるときにｎ、ｋ_i及びｊから、
   

   

   によってｌ_ijを決定し、ｎ、ｌ_ij及びｋｉから、ｎビットのＶ₀を、
   

   

   によって、
   ｎビットのＶ _ij を、
   ｋ _i が偶数である場合またはｋ _i 、ｊがいずれも奇数である場合には、
   

   

   によって、
   ｋ _i が奇数であり、ｊが偶数である場合には、
   

   

   によってそれぞれ決定し、ｍ_iに対する
   

   

   によってＶを求めるステップと、
   （ｂ）ｓ _i を、ｋ _i 及びｎに対して
   

   

   （ｏｄｄは奇数、ｅｖｅｎは偶数）
   によって決定し、置換が
   

   

   と表現されるとき、要素Ａに対して
   

   

   によってＶをｓ_iだけそれぞれ置換するステップと、
   を含んで二乗演算に必要な係数を計算する係数計算部と、
   複数の排他的論理和演算手段を備え、要素Ａを入力として
   

   

   によって
   

   

   を求め、前記係数計算部で計算された置換結果及び前記
   

   

   を再び排他的論理和演算する排他的論理和演算部と、
   前記排他的論理和演算部の演算結果Ｃ'をＣ'＝ｃ₀'ｃ₁'…ｃ_n-1'とし、要素Ａの二乗演算の結果をＡ²＝ｃ₀ｃ₁…ｃ_n-1とするとき、ｃ_iは
   

   

   によってｃ_j'をｃ_iに再配置して、二乗演算の最終結果として出力する再配置部と、
   を含むことを特徴とする有限体の二乗演算装置。

Images