JP4554239B2 - モンゴメリー類型のモジュラー乗算装置及び方法 - Google Patents

Description

本発明は、暗号化技術に関し、特に、暗号化/復号化及びデジタル署名などに使用するためのモンゴメリー類型のモジュラー乗算装置及び方法に関する。

電子商取り引きのためのスマートカード(smart card)及び電子貨幣、セルラー電話機のような移動通信機器(mobile device)、小型コンピュータ(small-sized computer)などを使用する通信システムにおいて、情報(電子的文書あるいはデータ)を暗号化/復号化したり、転送情報にデジタル署名を行って安全に転送することは好ましいことと言える。ここで、デジタル署名とは、情報の電子的な交換に際し、従来紙に自筆署名した機能と同一な機能を電子的文書に提供可能にする技術のことを意味する。特に、最近ではインターネットの使用人口が急激に増えつつあることに伴ってインターネットを介した個人情報などの転送も頻繁になり、したがって、安全でないチャンネルを通じたより安全な情報の転送が要求されている実情である。

公開キー方式などを利用した暗号化/復号化及びデジタル署名には、ＲＳＡ(Rivest-Shamir-Adleman)、ElGamal、Schnorrなど様々な提案されたアルゴリズムを使用することができる。前記アルゴリズムの国際標準には、ＲＳＡアルゴリズムに基盤したＩＳＯ(International Standard Organization)/ＩＥＣ(International Electrotechnical Commission)９７９６が採択され、米国ではElGamalの変形としてＤＳＡ(Digital Signature Standard)が採択され、ロシアではロシア連邦国家標準(GOSSTANDART；通常、GOSTという)に基づく方式が採択され、韓国ではＫＣ−ＤＳＡが採択されている。しかし、実際には様々な通信システムでは多くのＰＫＣＳ(Public Key Cryptography Standard)が具現されている実情である。これら様々なアルゴリズムのためにはモジュラー累乗のm^emodN演算が要求されるが、このモジュラー累乗は、モジュラー乗算、A・BmodN演算の反復的な遂行を必要とする。

ＲＳＡなど公開キー暗号に基盤したデジタル署名を生成／検証する上で必須とされるモジュラー累乗及びモジュラー 乗算を行うための多くのアルゴリズムが提案された。例えば、R. L. Rivest et al, “A method for obtaining digital signatures and public-key cryptosystems,” Communications of the ACM, Vol. 21, pp.１２０-126, 1978；P. L. Montgomery,“ Modular Multiplication without Trial Division,” Math. Of Comp., Vol. 44, No. 170, pp.519-521, 1985；S. R. Dusse and B. S. Kaliski Jr.,“ A cryptographic library for the Motorola DSP56000,” Proc. Eurocrypto’90, pp.230-244, 199.；Springer-Verlag, A. Bosselaers, R. Govaerts and J. Vandewalle,“ Comparison of three modular reduction functions,” Advances in Cryptology-CRYPTO’93, pp.175-186, 1993などの論文がある。前記アルゴリズムの中でモンゴメリー(Montgomery)アルゴリズムは、単純モジュラー乗算では難しい手続きを持っているが、多様な暗号アルゴリズムに必要なモジュラー累乗のためのモジュラー乗算には計算効率面から最も効率的であるという事実が、論文D. R. Stinson, Cryptography, CRC Press, 1995により明らかになった。米合衆国特許US Patent No. 6, 185, 596は前記モンゴメリーアルゴリズムにより具現した装置の一例を開示している。

前述したように公開キー暗号化/復号化及び電子署名のための多くのアルゴリズム及びアーキテクチャーが提案された。しかし、大部分の提案されたアルゴリズム及びアーキテクチャーに基づくモジュラー乗算装置は、高速の公開キー暗号化/復号化を目的とするものであるだけに、多数のゲート(Gate)を必要とし、多い電力を消耗するという欠点があって、スマートカードなどの資源が制限された環境に適合ではない。

したがって、本発明の目的は、スマートカード及び移動端末機のような通信システムの環境において高速の暗号化/復号化及び電子署名のためのモジュラー乗算装置及び方法を提供することにある。

本発明の他の目的は、スマートカード及び移動端末機のような通信システムの環境において少ないゲート数で高速の暗号化/復号化及び電子署名のためのモジュラー乗算装置及び方法を提供することにある。

本発明のさらに他の目的は、スマートカード及び移動端末機のような通信システムの環境において低電力で暗号化/復号化及び電子署名のためのモジュラー乗算装置及び方法を提供することにある。

本発明による信号処理システムで用いられるモジュラー乗算を遂行する信号処理装置は、モジュラー乗算で乗数のブース変換結果によって被乗数に対して１の補数演算を選択的に遂行して符号化された被乗数を出力する第１ロジックと、以前クロックの補正用桁上げ値(cin)から決定された現在クロックの桁上げ入力値(Carry-in)と、前記被乗数の符号ビットを基盤に前記モジュラー乗算で符号化されたモジュラス(modulus)を出力する第２ロジックと、前記符号化された被乗数と前記符号化されたモジュラスの入力を受けて、前記以前クロックで求められた全加算演算の桁上げ値（Ｃ）と和値（Ｓ）に対して前記全加算演算を反復遂行して前記モジュラー乗算の結果値を計算する第３ロジックと、を含むことを特徴とする。
また、本発明による信号処理システムで用いられるモジュラー乗算を遂行する信号処理方法は、モジュラー乗算で乗数のブース変換結果によって被乗数に対して１の補数演算を選択的に遂行して符号化された被乗数を出力する過程と、以前クロックの補正用桁上げ値(cin)から決定された現在クロックの桁上げ入力値(Carry-in)を求める過程と、前記桁上げ入力値と前記被乗数の符号ビットを基盤に前記モジュラー乗算で符号化されたモジュラスを出力する過程と、前記符号化された被乗数と前記符号化されたモジュラスの入力を受けて、前記以前クロックで求められた全加算演算の桁上げ値（Ｃ）と和値（Ｓ）に対して前記全加算演算を反復遂行して前記モジュラー乗算の結果値を計算する過程と、を含むことを特徴とする。

本発明の第１実施例によれば、モジュラー乗算装置の変換ロジックは、前記乗数のビットが順次的にシフトされて生成されたビット列の下位２ビットをブース変換(Booth recoding)し、前記ブース変換された結果と被乗数を多重化して(n+4)ビットの符号付き二進数を出力する。第１桁上げ保存加算器(ＣＳＡ)は、(n+4)個の全加算器を備えており、(n+2)ビットの第１信号と、(n+3)ビットの第２信号と、前記変換ロジックからの(n+4)ビットの前記二進数を第３信号として入力し、前記第１信号の上位(n+2)番目のビットは前記全加算器のうち上位３個の全加算器に入力され、前記第２信号の上位(n+3)番目のビットは前記全加算器のうち上位２個の全加算器に入力され、前記(n+3)個の全加算器により(n+4)ビットの桁上げ値と和値を出力する。商ロジックは、前記第１ ＣＳＡからの前記(n+4)ビットの桁上げ値と和値の中から選択された下位２個の全加算器から出力される和値と下位１個の全加算器から出力される桁上げ値を入力し、モジュラー減少の倍数を決定するための３ビットの決定値を出力する。選択器は、前記決定値に基づいてあらかじめ定められたモジュロ数の集合のうち一つのモジュロ数を選択して出力する。第２桁上げ保存加算器(ＣＳＡ)は、(n+4)個の全加算器を具備し、前記選択器から選択された(n+4)ビットのモジュロ数を第１信号として入力し、前記第１ＣＳＡからの前記(n+4)ビットの桁上げ値のうち最上位桁上げ値を除外した残りの(n+3)ビットの桁上げ値を第２信号として入力し、前記(n+4)ビットの和値のうち最下位桁上げ値を除外した残りの(n+3)ビットの和値を第３信号として入力し、前記第１信号の(n+4)ビットは前記全加算器の最下位全加算器から順次入力され、前記第２信号の(n+3)ビットは前記全加算器のうち下位２番目の全加算器から順次入力され、前記第３信号の(n+3)ビットは前記全加算器の下位２番目の全加算器から順次入力され、前記(n+4)個の全加算器により(n+4)ビットの桁上げ値と和値を出力する。全加算器は前記第２ ＣＳＡの最下位全加算器から出力される桁上げ値と下位２番目の全加算器から出力される和値を全加算して桁上げ入力値として前記商ロジックに提供する。桁上げ伝播加算器(ＣＰＡ)は、前記第２ＣＳＡからの桁上げ値と和値を加算して出力する。

好ましくは、前記乗算装置は、前記乗数のビットを順次的にシフトさせて前記シフトされたビット列を生成するシフトレジスタと、前記被乗数を格納するためのレジスタとをさらに含む。

好ましくは、前記変換ロジックは、前記生成されたビット列の下位２ビットをブース変換する変換回路と、前記ブース変換された結果と前記被乗数を多重化する多重化器と、前記生成されたビット列の下位２ビットに基づいて前記多重化器の出力を選択的に１の補数化して前記(n+4)ビットの符号付き二進数を出力する補数化器を含む。

好ましくは、前記商ロジックは、前記桁上げ入力値と前記第１ＣＳＡの最下位全加算器から出力される和値を全加算する全加算器と、前記第１ＣＳＡの最下位全加算器から出力される桁上げ値と２番目の全加算器から出力される和値を排他的論理和する排他的論理和器と、前記全加算器と前記排他的論理和器の出力とあらかじめ設定された入力ビットを組合わせて前記３ビットの決定値として出力する組合回路とを含む。また、前記商ロジックは、前記桁上げ入力値を格納するためのＤフリップフロップをさらに含み、前記商ロジックの前記全加算器及び前記排他的論理和器にはあらかじめ設定された補正用桁上げ値が提供され、前記商ロジックの前記全加算器には前記被乗数の符号ビットが提供され、前記商ロジックの前記全加算器の出力は前記第２ ＣＳＡの最下位全加算器に提供される。

本発明の第２実施例によれば、モジュラー乗算装置の変換ロジックは、前記乗数のビットが順次的にシフトされて生成されたビット列の下位２ビットをブース変換(Booth recoding)し、前記ブース変換された結果と被乗数を多重化して(n+3)ビットの二進数を出力する。第１桁上げ保存加算器(ＣＳＡ)は、(n+3)個の全加算器を備えており、(n+1)ビットの第１信号と、(n+2)ビットの第２信号と、前記変換ロジックからの(n+3)ビットの前記二進数を第３信号として入力し、前記第１信号の上位(n+1)番目のビットは前記全加算器のうち上位３番目の全加算器に入力され、前記第２信号の上位(n+2)番目のビットは前記全加算器のうち上位２番目の全加算器に入力され、前記全加算器のうち最上位全加算器に“０”レベルの前記第１信号が入力され、前記(n+3)個の全加算器により(n+3)ビットの桁上げ値と和値を出力する。商ロジックは、前記第１ＣＳＡからの前記(n+3)ビットの桁上げ値と和値の中から選択された下位２個の全加算器から出力される和値と下位１個の全加算器から出力される桁上げ値を入力し、モジュラー減少の倍数を決定するための２ビットの決定値を出力する。選択器は、前記決定値に基づいてあらかじめ定められたモジュロ数の集合のうち一つのモジュロ数を選択して出力する。

第２桁上げ保存加算器(ＣＳＡ)は、(n+3)個の全加算器を具備し、前記選択器から選択された(n+3)ビットのモジュロ数を第１信号として入力し、前記第１ＣＳＡからの前記(n+3)ビットの桁上げ値のうち最上位桁上げ値を除外した残りの(n+2)ビットの桁上げ値を第２信号として入力し、前記(n+3)ビットの和値のうち最下位桁上げ値を除外した残りの(n+2)ビットの和値を第３信号として入力し、前記第１信号の(n+3)ビットは前記全加算器の最下位全加算器から順次入力され、前記第２信号の(n+2)ビットは前記全加算器のうち下位２番目の全加算器から順次入力され、前記第３信号の(n+2)ビットは前記全加算器の下位２番目の全加算器から順次入力され、前記(n+3)個の全加算器により(n+4)ビットの桁上げ値と和値を出力する。論理積演算器は、前記第２ＣＳＡの最下位全加算器から出力される桁上げ値と下位２番目の全加算器から出力される和値を論理積演算して桁上げ入力値として前記商ロジックに提供する。桁上げ伝播加算器(ＣＰＡ)は、前記第２ＣＳＡからの桁上げ値と和値を加算して出力する。

好ましくは、前記乗算装置は、前記乗数のビットを順次的にシフトさせて前記シフトされたビット列を生成するシフトレジスタと、前記被乗数を格納するためのレジスタとをさらに含む。

好ましくは、前記変換ロジックは、前記生成されたビット列の下位２ビットに基づいて前記被乗数を多重化する多重化器である。

好ましくは、前記商ロジックは、前記桁上げ入力値と前記第１ＣＳＡの最下位全加算器から出力される和値を半加算する半加算器と、前記第１ＣＳＡの最下位全加算器から出力される桁上げ値と２番目の全加算器から出力される和値を排他的論理和する排他的論理和器と、前記全加算器と前記排他的論理和器の出力とあらかじめ設定された入力ビットを組合わせて前記２ビットの決定値として出力する組合回路とを含む。また、前記商ロジックは、前記桁上げ入力値を格納するためのＤフリップフロップをさらに含み、前記商ロジックの前記半加算器の出力は前記第２ ＣＳＡの最下位全加算器に提供される。

したがって、本発明は、暗号化/復号化及びデジタル署名を生成及び検証するのに応用することができる。つまり、本発明は、電子的文書あるいはデータを暗号化/復号化したり、その文書あるいはデータに署名機能を提供し得るデジタル署名を生成/検証する上で利用可能である。

前述した内容は、当該分野で通常の知識を持つ者が、後述される本発明の具体的な説明を通じてより理解できるようにするために本発明の特徴及び技術的な長所を多少広範囲に略述したものである。

本発明の請求範囲の主題を形成する本発明の追加的な特徴及び長所を述べるに先立って、当該技術分野で通常の知識を持つ者は、本発明の同一の目的を達成するために他の構造を変更したり、設計する基礎として発明の開示された概念及び具体的な実施例が容易に使用され得るという事実を認識する必要がある。また、当該技術分野で通常の知識を持つ者は、発明と均等な構造が本発明の最も広い形態の思想及び範囲を外れないという事実も認識されたい。

本発明は、A・B・2^-(n+4)modNを計算する回路を記述したものであり、記述された回路を利用して一般のモジュラー乗算であるA・BmodNを計算できる。このような本発明に基づいて計算されたA・BmodNは、デジタル署名を生成及び検証するための機器に使用されるハードウェア的な装置に使用することができる。また、本発明は、ＩＣカードに基づく電子署名、認証、暗／復号化のハードウェア装置に使用することができる。また、本発明は、モジュラー乗算を行う電子署名機器によって暗号及び復号化する機器を提供することができる。また、本発明は、電子署名機器に基づいて、NIST-DSS、ＲＳＡ、ElGamal、Schnorr電子署名など既存の公開キー暗号システムを具現する上で利用することができる。

以下、本発明の好ましい実施例を添付図面を参照しつつ詳細に説明する。図面中、同一の構成要素にはな可能な限り同一の参照符号及び番号を共通使用するものとする。尚、以下に本発明を説明するにあたり、周知技術については適宜説明を省略するものとする。

Ａ．本発明の概要
以下に説明される本発明はそれぞれｎビットの、A = a_n-1・2^n-1 + ・・・ +a₁・2+a₀、B = b_n-1・2^n-1 + ・・・ +b₁・2+b₀、N = n_n-1・2^n-1 + ・・・ +n₁・2+n₀についてモンゴメリー(Montgomery)アルゴリズムを利用してモジュラー乗算を行うための装置及びそれによる方法を提案している。この時、Ａは乗数、Ｂは被乗数、Ｎはモジュラー数を表し、これらのビット大きさは５１２あるいは１０２４のように大きな数になり得る。

前記モジュラー乗算動作A・BmodNの具現は、後述される２つの実施例による。各実施例はそれぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2(ここで、m=n/2)クロック内にA・B・R-1modN(ここで、 R=4^m+2)を計算するモジュラー乗算装置及び方法を提案する。このように提案されたモジュラー乗算装置による乗算結果を利用してA・BmodNが計算可能であり、また、ＲＳＡ演算遂行に必要なモジュラー累乗m^emodNになり得ることが説明されるはずである。図１ないし図６は、本発明の第１実施例に係るモジュラー乗算装置を構成する要素の構成を示す図であり、図７ないし図１３は本発明の第２実施例に係るモジュラー乗算装置を構成する要素の構成を示す図である。そして、図１４は本発明の実施例に係るモジュラー乗算装置が利用されるＩＣカードのブロック構成を示す図である。

後述する本発明の実施例に係るモジュラー乗算装置は、乗数のビットを順次的にシフトさせて変換されたビット列を生成し、前記変換されたビット列の値によって１の補数で示して部分和を計算することを特徴とする。つまり、従来技術に係るモジュラー乗算装置が乗数のビットを順次的にシフトさせながら生成される下位１ビットだけを処理したことに比べ、本発明では乗数の下位２ビットを処理することによって乗算動作がより高速で行われるようにする。言い換えれば、本発明の実施例に係るモジュラー乗算装置は変形された変換ロジックを備えており、モジュラー乗算装置を構成する残りの他の要素は、前記変形された変換ロジックに対応する形態に構成されてモンゴメリーアルゴリズムに基づくモジュラー乗算動作を行う。

Ｂ．第１実施例
Ｂ−１．発明の構成
図１は、本発明の第１実施例に係るモジュラー乗算装置の構成を示す図である。
図１を参照すれば、前記モジュラー乗算装置は、変換ロジック(Recoding Logic)１１０、第１桁上げ保存加算器(Carrier save Adder；以下“ＣＳＡ”と称する)１２０、商ロジック(Quotient Logic)１３０、選択器１４０、第２ＣＳＡ１５０、全加算器(ＦＡ；Full Adder)１６０から構成される。前記モジュラー乗算装置は、モンゴメリーアルゴリズムに基づいてそれぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2(ここで、m=n/2)クロック内にA・B・R^-1modN(ここで、R=4^m+2)を計算するモジュラー乗算装置に対するハードウェア的な構成である。つまり、このモジュラー乗算装置はA・B・2^-(n+4)modNを計算するための構成を持つ。以下、Ａを乗数、Ｂを被乗数、Ｎをモジュロと称することにする。

前記ＣＳＡ１２０、１５０はそれぞれ(n+4)個の全加算器が並列に構成されるものであり、３ビット入力でそれぞれ桁上げビットと和ビットを出力する。前記変換ロジック１１０は、乗数Ａを基盤にして変形されたブース変換(modified Booth recoding)された値とその値による選択的な１の補数化機能を遂行して、(n+4)ビットの符号付き拡張(signed extension)ビットとして0、±B、±2B値の中で一つを出力する。前記商ロジック１３０は、前記ＣＳＡ１ １２０の最下位(ＬＳＢ:Least Significant Bit)桁上げ値C_1,0、和ＬＳＢ ２ビットS_1,1、S_1,0と全加算器１６０から出力される桁上げ入力値(Carry-in)、Ｂの符号ビット(図４のＢ sign)を入力とし、モジュラー減少(Modular reduction)の倍数を決定するための値である３ビットのq₂q₁q₀を出力する。前記選択器１４０は、前記決定されたq値(即ち、３ビットのq₂q₁q₀)に基づいて０、Ｎ、２Ｎ、−Ｎ（図１参照）の中で一つの値を選択して出力するためのものであり、多重化器(ＭＵＸ：Multiplexer)で具現可能である。前記全加算器１６０は、前記ＣＳＡ２ １５０の出力２ビットであるS_2,1、C_2,0と現在クロットの補正用桁上げ値cinの入力を受けて全加算動作を行い、その全加算結果値を次のクロックに商ロジック１３０で使用される桁上がり(Carry-in)に提供する。

図１には示さなかったが、毎クロックごとに前記ＣＳＡ２ １５０の出力である桁上げ値と和値をそれぞれ格納するための臨時格納レジスタが備えられ、また、前記臨時格納レジスタらに格納された値を加算してモジュラー乗算結果として出力するための桁上げ伝播加算器 (Carry Propagation Adder)が具備される。

図２は、図１に示す変換ロジック１１０のより具体的な構成を示す図である。
図２に示すように、前記変換ロジック１１０は、乗数Ａのビットが順次的にシフトされながら前記乗数Ａの下位２ビット(ａ_ｉ＋１、ａ_ｉ)と参照ビット(ａ_ｉ−１)をブース変換(Booth recoding)し、前記ブース変換された結果値(ｚ_ｉ＋１)によって被乗数Ｂを多重化して、(n+4)ビットの符号付き二進数を出力する。図１で、前記ブース変換された結果値(ｚ_ｉ＋１)は、各出力ビット別に、例えば、ｚ_ｉ＋１[２]、ｚ_ｉ＋１[１]、ｚ_ｉ＋１[０]に区分して図示した。ここで、被乗数Ｂは、ｚ_ｉ＋１[１]、ｚ_ｉ＋１[０]によって多重化され、多重化器１１４の出力は、１の補数化器１１６に入力されるｚ_ｉ＋１[２]によって選択的に符号化される。したがって、前記ｚ_ｉ＋１[２]を符号ビットと称する。前記変換ロジック１１０の前段には前記乗数Ａのビットを順次的にシフトさせて前記シフトされたビット列を生成するシフトレジスタ１０２と、前記被乗数を格納するためのレジスタ１０４が備えられる。前記変換ロジック１１０は、変換回路１１２と、多重化器(ＭＵＸ)１１４と、１の補数化器１１６とから構成される。前記変換回路１１２は、前記生成されたビット列の下位２ビットa_i+1、a_i と参照ビット(ａ_ｉ−１)をブース変換(Booth recoding)して、例えば、三つのビットで構成された結果値(ｚ_ｉ＋１[２]、ｚ_ｉ＋１[１]、ｚ_ｉ＋１[０]；ｚ_ｉ＋１)を出力する。前記多重化器１１４は、前記ブース変換された結果(z_i+1)によって前記被乗数Ｂを多重化し、多重化結果として0、B、2Bを出力する。また、前記１の補数化器１１６は前記生成されたビット列の下位２ビットを入力とする前記多重化器１１４の出力を選択的に１の補数化し、前記(n+4)ビットの符号付き二進数を出力する。前述した前記変換ロジック１１０は乗数Ａを基盤にして変形されたブース変換(modified Booth recoding)を具現した回路であり、(n+4)ビットの符号付き拡張(signed extension)ビットを出力するが、この値は0、±B、±2B値のうち一つである。

図３は、図１に示すＣＳＡ１ １２０のより具体的な構成を示す図である。
図３を参照すれば、前記ＣＳＡ１ １２０は、(n+4)個の全加算器１２１〜１２５を備えており、(n+2)ビットの第１信号(S_2,2 〜S_2,n+3)と、(n+3)ビットの第２信号(C_2,1〜C_2,n+3)と、前記変換ロジック１１０からの(n+4)ビットの前記二進数を第３信号(B₀〜B_n+3)として入力し、前記(n+4)個の全加算器１２１〜１２５により全加算して(n+4)ビットの桁上げ値(C_1,0〜C_1,n+3)と和値(S_1,0〜S_1,n+3)を出力する。この時、前記第１信号の上位(n+2)番目のビットS_2,n+3は、前記全加算器のうち上位３個の全加算器１２３〜１２５に入力され、前記第２信号の上位(n+3)番目のビットC_2,n+3は前記全加算器のうち上位２個の全加算器１２４、１２５に入力される。

図４は、図１に示す商ロジック１３０のより具体的な構成を示す図である。
図４を参照すれば、前記商ロジック１３０は、前記ＣＳＡ１ １２０からの前記(n+4)ビットの桁上げ値と和値の中から選択された下位２個の全加算器から出力される和値(S_1,0、S_1,1)と下位１個の全加算器から出力される桁上げ値(C_1,0)を入力し、モジュラー減少の倍数を決定するための３ビットの決定値q₂q₁q₀を出力する。前記商ロジック１３０は、ディー(D)フリップフロップ１３２と、全加算器１３４と、排他的論理和(XOR)器１３６と、組合回路１３８から構成される。前記Ｄフリップフロップ１３２は、図１の全加算器１６０から提供される桁上げ入力値Carry-inを入力して一時的に格納する。前記全加算器１３４は、 前記Ｄフリップフロップ１３２に格納された桁上げ入力値Carry-inと前記ＣＳＡ１ １２０の最下位全加算器１２１から出力される和値(S_1,0)を全加算する。前記排他的論理和器１３６は、前記ＣＳＡ１ １２０の最下位全加算器１２１から出力される桁上げ値(C_1,0)と前記ＣＳＡ１の下位２番目の全加算器１２２から出力される和値(S_1,1)を排他的論理和する。前記全加算器１３４は補正用桁上げ値(cin)を生成し、また、前記全加算器１３４には図示されなかったが、被乗数Ｂの符号ビット(B sign)が提供される。本発明は、上述したように全加算器１３４から現在クロックに出力された補正用桁上げ値(cin)は図１の全加算器１６０に入力され、全加算器１６０は補正用桁上げ値(cin)を基盤に次のクロックに商ロジック１３０で使用される桁上げ入力値(carry-in)を決定する。前記組合回路１３８は、前記全加算器１３４の出力(S_O)と前記排他的論理和器１３６の出力(S₁)とあらかじめ設定された入力ビット(n1)を組合わせてモジュラー減少(modular reduction)の倍数を決定するための値である３ビットの決定値(q₂q₁q₀)として出力する。

図５は、図１に示すＣＳＡ２ １５０のより具体的な構成を示す図である。
図５を参照すれば、前記ＣＳＡ２ １５０は、(n+4)個の全加算器１５１〜１５６を備えている。前記ＣＳＡ２ １５０は前記選択器１４０から選択された(n+4)ビットのモジュラスN(N₀ - N_n+3)を第１信号として入力し、前記ＣＳＡ１ １２０からの(n+4)ビットの桁上げ値のうち最上位桁上げ値を除外した残りの(n+3)ビットの桁上げ値(C_1,0〜C_1,n+3)を第２信号として入力し、前記(n+4)ビットの和値の中で最下位和値を除外した残りの(n+3)ビットの和値(S_1,1〜S_1,n+3)を第３信号として入力し、前記(n+4)個の全加算器１５１〜１５６により(n+4)ビットの桁上げ値(C_2,0〜C_2,n+3)と和値(S_2,0〜S_2,n+3)を出力する。この時、前記第１信号の(n+4)ビットは前記モジュラスN(N₀ - N_n+3)の(n+4)ビットがそれぞれ入力され、前記第２信号の(n+3)ビットの桁上げ値(C_1,0〜C_1,n+2)は前記全加算器のうち下位２番目の全加算器１５２から順次入力され、前記第３信号の(n+3)ビットの和値(S_1,1〜S_1,n+3)は前記全加算器の下位２番目の全加算器１５２から順次入力される。前記全加算器のうち最下位全加算器１５１には前記商ロジック１３０の全加算器１３４からの出力(S₀)と、組合回路１３８の二番目の出力ビットであるq_1,2と、モジュロ数(N)を表す最下位ビット(N₀)が入力される。

図６は、図１に示す全加算器１６０のより具体的な構成を示す図である。
図６を参照すれば、前記全加算器１６０は、前記ＣＳＡ２ １５０の最下位全加算器１５１から出力される桁上げ値(C_2,0)と下位２番目の全加算器１５２から出力される和値 (S_2,1)を全加算して桁上げ入力値(Carry-in)として出力する。また、前記全加算器１６０は全加算動作のためにあらかじめ設定された補正用桁上げ値(cin)を受け、その全加算結果として桁上げ入力値(Carry-in)を出力する。この桁上げ入力値(Carry-in)は前記商ロジック１３０に提供される。

Ｂ−２．発明の原理
本発明は、それぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2(ここで、m=n/2)クロック内にA・B・R^-1modN (ここで、R=4^m+2)を計算する装置に関するものである。このような本発明の具現に適用される次の三つの原理が説明される。第一に、モジュラー乗算のための乗数(Ａ)及び被乗数(Ｂ)を表現する原理が説明される。第二に、モジュラー乗算のための乗数(Ａ)の２ビットを用いた１の補数基盤部分積計算原理が説明される。第三に、ブース変換と本発明の１の補数基盤部分積の原理を利用したモンゴメリーアルゴリズムに対する原理が説明される。

<Number Representation>
本発明ではモジュラー乗算のために乗数(Ａ)と被乗数(Ｂ)を符号付き二進数で表現(Signed binary representation)する。すなわち、それぞれｎビットのＡ、Ｂは符号付き動作(signed operation)のためにそれぞれ(n+4)ビットに変換されるが、このような変換過程中に値が負数である場合には１の補数形態に変換される。

<Booth's Recoding>
本発明では、本発明が出願される前に当該分野で通常の知識を持つ者に周知されたブース変換(Booth Recoding)方式を変形して変形されたブース変換(Modified Booth Recoding)方式を使用することを特徴とする。このような本発明の特徴は、モジュラー乗算がより速い速度に行われるようにする効果を持つ。乗数Ａは前記変形されたブース変換方式により２ビットずつz_i(ここで、0≦i≦m+1)として変換される。この時、a_n+4 = a_n+3, a_-1 = 0と仮定する。下記表１に、本発明による変形されたブース変換の規則を示す。そして、図２のように、ｚ_ｉ＋１[１]、ｚ_ｉ＋１[０]の二つのビット値によって被乗数０、Ｂ、または２Ｂ値が多重化器１１４を通じて出力される。図２のように、符号付き部分積(−Ｂまたは−２Ｂ)を求めるために、ブース変換(Booth Recoding)された結果値のうち、符号ビットｚ_ｉ＋１[２]を基盤に多重化器の出力に対して１の補数演算を選択的に遂行する。

＜表１＞でブール変換(Booth Recoding)された結果値ｚ_ｉ＋１は、ｚ_ｉ＋１[２]、ｚ_ｉ＋１[１]、ｚ_ｉ＋１[０]の三つのビットを符号が含まれた十進数で示したもので、ｚ_ｉ＋１を二進数で表現すると、[ ]うちの二進数のように表現される。

<Booth's Recodingを利用したRadix-4 Montgomery Algorithm>
下記のアルゴリズムは、本発明がradix-4 モンゴメリーモジュラー乗算のために前記変形されたブース変換方式と１の補数演算を利用していることを示している。元来モンゴメリーアルゴリズムでは、結果値とmodulus Nと比較して結果値がmodulus Nより大きければ一度減算をしなければならないが、下記に示すアルゴリズムではその手続きがないことがわかる。

上記の式(1)〜(7)に示したアルゴリズムで、(3)手続きのA_iｘＢはブース変換された２ビットを意味する。(4)手続きは、(5)手続きの結果値のＬＳＢ(Least Significant Bit)２ビットが‘0’になるようにする関数を意味する。前記(4)手続きでの結果値は入力ビットs₁, s₀, n₁,n₀に依存し、下記数２に示すように決定される。モジュラー減少(modular reduction)に使用される値q_iのＭＳＢ(Most Significant Bit)のq_i2は符号ビットであり、残りの二つのビット(ｑ_ｉｌｑ_ｉ０)_iは集合{0、±1、2}元素のうち一つである。q_iは下記の表２によって計算される。

Ｂ−３.発明の動作
本発明はそれぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2 (ここで、m=n/2)クロック内にA・B・R^-1modN(ここで、R=4^m+2)を計算するためのものであり、図１に示すような装置によりその計算動作が行われる。

まず、図１に示す装置により A・B・R^-1modN(ここで、R=4^m+2)を計算する過程が説明される。下記のａ)段階は初期化段階であり、ｂ)〜ｈ)段階は毎クロックごとに行われる段階であり、ｉ)段階は、前記ｂ)〜ｈ)段階を(m+2)クロックを行った後に行われる段階である。

ａ)モジュラー乗算のために入力されるｎビットのＡ、Ｂ、Ｎがそれぞれのレジスタ(あるいはメモリ)に貯蔵される。本発明の装置によれば、入力Ａ、Ｂは、図２に示すレジスタ１０２、１０４に格納されるものとして示しており、Ｎを格納する別途のレジスタは示していないが、このようなレジスタが使用され得るという事実に留意すべきである。この時、Ａを格納するためのレジスタ１０２は毎クロックごとに右に２ビット単位に移動させるシフトレジスタである。便宜上、Ａを格納するためのレジスタはレジスタＡ、Ｂを格納するためのレジスタはレジスタＢで説明される。仮に、メモリである場合には１ワード単位に値を読み出す。図１のＣＳＡ２ １５０による計算結果を臨時的に格納するための臨時レジスタ(あるいはメモリ)ＣとＳ(図示せず)が０に初期化される。

ｂ)それぞれのレジスタら１０２、１０４に全てのデータらが入力された時、変換ロジック１１０のブース変換回路１１２はレジスタ１０２のＬＳＢ ２ビットを基盤にブース変換機能を行う。前記変換ロジック１１０のＭＵＸ１１４はレジスタ１０４に格納されたＢ値を入力し、レジスタ１０２のＬＳＢ ２ビット(ａ_ｉ＋１、ａ_ｉ)と参照ビット(ａ_ｉ-１)に基づいてブース変換された結果値ｚ_ｉ＋１を求める。ブース変換された結果値のうち、１の補数化器１１６に入力される符号ビットｚ_ｉ＋１[２]に基づいて多重化器１１４の出力に対して１の補数演算を選択的に遂行し、その結果、１の補数化器１１６は、0, ±B, ±2B値のうち一つをＣＳＡ１ １２０の３個の入力のうち一つの入力として提供する。

ｃ)ＣＳＡ１ １２０はn+4ビットの符号付き二進数(binary signed number)３個を入力として受けて加算動作を行う。前記ＣＳＡ１ １２０はn+4個の全加算器１２１〜１２５から構成される。この時、ＣＳＡＩ １２０の全加算器から発生される桁上げは次の段階のＣＳＡ２の全加算器に提供されるが、ＭＳＢの全加算器１２５から発生される桁上げは無視される。

ｄ)商ロジック１３０は、前記ＣＳＡ１ １２０の出力値S_1,1, C_1,0, S_1,0 と、全加算器１６０から提供されるCarry-in信号と、被乗数Ｂの符号ビット(B sign)を入力し、全加算器１３４と排他的論理和器１３６によりそれぞれS₁ 、S₀を計算して出力する。この時、前記全加算器１３４は一種の補正用桁上げ値を出力する。この補正用桁上げ値cinは、前加算器１６０の入力として提供される。

ｅ)前記商ロジック１３０の組合回路１３８は、前記ｄ)段階で計算されたS₁ ,S₀を入力し、前記<表４>に示すような真理値表に基づいて３ビット値であるq値を決定する。たとえ前記<表４>に示した真理値表に基づいてq値を決定する回路に対する具体的な構成を示してはいないが、当該分野で通常の知識を持つ者ならこのような結果値を決定する回路を一般の論理組合回路により容易に具現できるわけである。

ｆ)ＣＳＡ２ １５０は、前記ｃ)段階で求めたＣＳＡ１ １２０の出力である桁上げ値と和値、前記ｅ)段階で求めたq値のＬＳＢ ２ビットに基づいて決定された0、±N、2N値のうち一つの値を選択してn+4ビットの符号付き二陣数(binary signed number)に入力してn+4ビット符号付き演算を行う。前記ＣＳＡ２ １５０は前記ＣＳＡ１ １２０と同様に、n+4個の全加算器１５１〜１５６から構成される。この時、前記ＣＳＡ２ １５０の全加算器１５１〜１５６は最下位の全加算器１５１の桁上げ入力として、前記ｅ)段階で計算されたq値の符号ビットであるＭＳＢ値がｑ_ｉ、２が入力され、和ビット入力としては、全加算器１３４の和出力ビットであるＳ_０値が入力される。

ｇ)全加算器１６０は、ＣＳＡ２ １５０の出力値のうちS_2,1 ,C_2,0 ビットと補正用桁上げ信号であるcinビットを入力し全加算してCarry-inビットを出力する。このような全加算動作は前述したように、２の補数を使用する既存のブース変換方式と違い本発明では１の補数を使用することによる両者の差を補正するためのものである。

ｈ)前記ＣＳＡ２ １５０の出力のうちＭＳＢからの(n+2)個の和値と(n+3)個の桁上げ値がＣＳＡ１ １２０の入力としてフィードバックされる。この時、前記ＣＳＡ２ １５０の最上位加算器１５６から出力される和値のＭＳＢであるS_2,n+3を複写して前に２ビットを追加し、桁上げ値のＭＳＢであるC_2,n+3を複写して１ビット追加してＣＳＡ１ １２０の入力値とする。すなわち、前記ＣＳＡ２ １５０の加算器１５６から出力される和値S_2,n+3はＣＳＡ１ １２０の最上位から３個の加算器１２３〜１２５に提供され、桁上げ値C_2,n+3はＣＳＡ１ １２０の最上位から２個の加算器１２４、１２５に提供される。

ｉ)(m+2)クロック中に前記ｂ)〜ｈ)段階が行われた後には次のような動作が行われる。すなわち、ＣＰＡ(Carry Propagation Adder)(図示せず)は、前記ＣＳＡ２ １５０の出力である桁上げ値と和値に対して加算動作を行う。この時、加算結果値が負数ならmodulus Nを足し、正数ならmodulus Nを足さない。

例えば、Ａ、Ｂ、Ｎがそれぞれ下記の式(10)のように１２ビットである時、前記手続きによるモンゴメリーモジュラーロシア演算結果は表３及び表４に示すとおりになる。

次に、前述したような本発明の装置による演算結果値を利用してモジュラー乗算A・BmodNを計算する手続きを説明する。これに対する具体的なハードウェア構成が省略されていることに留意すべきである。

１）あらかじめP =2²⁽ⁿ⁺⁴⁾modNを計算する。
２）本発明の装置を利用してC=A・B・2^-(n+4)modNを計算する。
３）P・C・2^-(n+4)modN = A・BmodNを計算する。
その後、前述したような本発明の装置による演算結果値を利用してＲＳＡ演算に必要なモジュラー累乗m^emodNを計算する手続きを説明する。

１）指数ｅをレジスタ(あるいはメモリ)に格納する。
２）レジスタにmodulus Nを格納する。
３）臨時レジスタＣとＳを０に初期化する。
４）モンゴメリーモジュラー乗算m’=f_m(m,P,N)=m・P・R^-1modNを行う。但し、累乗演算の基数Ｐは上記モジュラー乗算演算１)段階で定義したあらかじめ計算された値を表し、R=２ｎ＋４である。
５）m’をレジスタＢにローディングする。
６）レジスタＢにローディングした値を利用してモジュラー自乗演算を行う。この時、モンゴメリーモジュラー乗算に必要な乗数ＡはレジスタＢからローディングし、変形されたブース変換回路を利用して値を得る。
７）指数ｅを左にシフトする。
８）指数ｅのＭＳＢ(Most Significant Bit)１を無視し、次のビットから次の９)〜１０)段階を行う。
９）指数ｅの毎ビットが０または１に関らず段階４)〜５)を行いモジュラー自乗演算を行う。この時、自乗演算に必要な乗数はレジスタＡ、被乗数はレジスタＢに格納される。
１０)指数ｅの現在ビットが１の場合には段階９)を行った後、段階４)〜５)を行いモジュラー乗算を行う。この時、被乗数はレジスタＢの内容であり、乗数は累乗演算の基数m'である。
１１)指数ｅの全てのビットに対して段階８)〜１０)を行った後、段階４)を利用してモジュラー乗算をもう一度行う。この時、被乗数はレジスタＢの内容であり、乗数は１である。

前記段階１)〜１１)を行った後、レジスタＣとＳに残っている値に対してＣＰＡ(Carry Propagation Adder)を行った値が負数ならmodulus Nを足し、正数ならmodulus Nを足さない値が最終的な累乗値m^emodNとなる。

Ｂ−４．発明の効果
前述した如く、本発明は、A・B・2^-(n+4)modNを計算する回路を記述したものであり、記述された回路を利用して上述した一般のモジュラー乗算であるA・BmodNを計算できる。このような本発明に基づいて計算されたA・BmodNは、デジタル署名を生成及び検証するための機器に使用されるハードウェア的な装置に使用することができる。また、本発明は、ＩＣカードに基づく電子署名、認証、暗／復号化のハードウェア装置に使用することができる。また、本発明は、モジュラー乗算を行う電子署名機器によって暗号及び復号化する機器を提供することができる。また、本発明は、電子署名機器に基づいて、NIST-DSS、ＲＳＡ、ElGamal、Schnorr電子署名など既存の公開キー暗号システムを具現する上で利用することができる。

Ｃ．第２実施例
Ｃ−１．発明の構成
図７は本発明の第２実施例に係るモジュラー乗算装置の構成を示す図である。
図７を参照すれば、前記モジュラー乗算装置は、変換ロジック(Recoding Logic)２１０、第１桁上げ保存加算器(Carrier save Adder；以下“ＣＳＡ”と称する)２２０、商ロジック(Quotient Logic)２３０、選択器２４０、第２ＣＳＡ２５０、論理積算器(ＡＮＤ)２６０から構成される。前記モジュラー乗算装置は、モンゴメリーアルゴリズムに基づいてそれぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2(ここで、m=n/2)クロック内にA・B・R^-1modN(ここで、R=4^m+2)を計算するモジュラー乗算装置に対するハードウェア的な構成である。つまり、このモジュラー乗算装置はA・B・2^-(n+4)modNを計算するための構成を持つ。

前記ＣＳＡ２２０、２５０はそれぞれ(n+4)個の全加算器が並列に構成されるものであり、３ビット入力でそれぞれ桁上げビットと和ビットを出力する。前記変換ロジック２１０は、乗数Ａを基盤にして変形されたブース変換(modified Booth recoding)動作を行い、(n+3)ビットの0、B、2B、3B値の中で一つを選択出力する。前記商ロジック２３０は、前記ＣＳＡ１ ２２０の最下位(ＬＳＢ:Least Significant Bit)桁上げ値C_1,0、和ＬＳＢ ２ビットS_1,1、S_1,0とCarry-in、Ｂの符号ビットを入力とし、モジュラー減少(Modular reduction)の倍数を決定するための値である２ビットのq₂q₁を出力する。前記選択器２４０は、前記決定されたq値に基づいて0、N、2N、3Nの中で一つの値を選択して出力するためのものであり、多重化器(ＭＵＸ：Multiplexer)で具現可能である。前記論理積演算器２６０は、前記ＣＳＡ２ ２５０の出力２ビットであるS_2,1、C_2,0を入力して論理積演算動作を行い、その演算結果値を桁上がり(Carry-in)信号として前記商ロジック２３０に提供する。

図７には示さなかったが、毎クロックごとに前記ＣＳＡ２ ２５０の出力である桁上げ値と和値をそれぞれ格納するための臨時格納レジスタ(Ｃ)、レジスタ(Ｒ)が備えられ、また、前記臨時格納レジスタら(Ｃ、Ｒ)に格納された値を加算してモジュラー乗算結果として出力するための桁上げ伝播加算器 (Carry Propagation Adder)が具備されるという事実に留意する必要がある。

図８は、図７に示す変換ロジック２１０のより具体的な構成を示す図である。
図８に示すように、前記変換ロジック２１０は、乗数(Ａ)のビットが順次的にシフトされて生成されたビット列の下位２ビットをブース変換(Booth recoding)し、前記ブース変換された結果と被乗数(Ｂ)を多重化して(n+3)ビットの二進数を出力する。すなわち、前記変換ロジック２１０の前段には前記乗数のビットを順次的にシフトさせて前記シフトされたビット列を生成するシフトレジスタ２０２と、前記被乗数を格納するためのレジスタ２０４が備えられる。前記変換ロジック２１０は、多重化器(ＭＵＸ)２１２から構成される。前記多重化器２１２は、前記生成されたビット列の下位２ビット(a_i+1,a_i)と前記被乗数を多重化し、多重化結果として0、B、2B、3Bを出力する。前述した前記変換ロジック２１０は乗数Ａを基盤にして変形されたブース変換(modified Booth recoding)を具現した回路であり、(n+3)ビットの0、B、2B、3B値のうち一つを選択して出力する。

図９は、図７に示すＣＳＡ１ ２２０のより具体的な構成を示す図である。
図９を参照すれば、前記ＣＳＡ１ ２２０は、(n+4)個の全加算器２２１〜２２５を備えており、(n+1)ビットの第１信号(S_2,2 〜S_2,n+2)と、(n+2)ビットの第２信号(C_2,1〜C_2,n+2)と、前記変換ロジック２１０からの(n+3)ビットの前記二進数を第３信号(B₀〜B_n+2)として入力し、前記(n+3)個の全加算器２２１〜２２５により全加算して(n+3)ビットの桁上げ値(C_1,0〜C_1,n+2)と和値(S_1,0〜S_1,n+2)を出力する。前記第１信号及び第２信号は、前記ＣＳＡ２ ２５０から提供される信号であり、第３信号は、前記変換ロジック２１０から提供される信号である。この時、前記第１信号の最上位ビットS_2,n+2は、前記全加算器のうち上位３番目の全加算器２２３に入力され、前記第２信号の最上位ビットC_2,n+2は前記全加算器のうち上位２番目の全加算器２２４に入力される。前記全加算器のうち最上位全加算器２２５には第１信号及び第２信号として“０”が提供され、２番目の全加算器２２４には第１信号として“０”が提供される。すなわち、前記ＣＳＡ１ ２２０を構成する最下位の全加算器２２１から(n+1)番目の全加算器２２３まで(n+1)ビットの第１信号Ｓが順次入力され、(n+2)番目の全加算器２２４及び(n+3)番目の全加算器２２５には“０”の第１信号が入力される。また、前記ＣＳＡ１ ２２０を構成する最下位の全加算器２２１から(n+2)番目の全加算器２２４まで(n+2)ビットの第２信号(C_2,1〜C_2,n+2)が順次入力され、(n+3)番目の全加算器２２５には“０”の第２信号が入力される。また、前記ＣＳＡ１ ２２０を構成する最下位の全加算器２２１から(n+1)番目の全加算器２２３まで(n+3)ビットの第３信号(B₀〜B_n+2)が順次入力される。

図１０は、図７に示す商ロジック２３０のより具体的な構成を示す図である。
図１０を参照すれば、前記商ロジック２３０は、前記ＣＳＡ１ ２２０からの前記(n+3)ビットの桁上げ値と和値の中から選択された下位２個の全加算器から出力される和値(S_1,0、S_1,1)と下位１個の全加算器から出力される桁上げ値(C_1,0)を入力し、モジュラー減少の倍数を決定するための２ビットの決定値q₁q₀を出力する。前記商ロジック２３０は、ディー(D)フリップフロップ２３２と、半加算器(ＨＡ：Half Adder)２３４と、排他的論理和(XOR)器２３６と、組合回路２３８から構成される。前記Ｄフリップフロップ２３２は論理積(ＡＮＤ)演算器２６０から桁上げ入力値Carry-inを入力して一時的に格納する。前記半加算器２３４は、前記Ｄフリップフロップ２３２に格納された桁上げ入力値Carry-inと前記ＣＳＡ１ ２２０の最下位全加算器２２１から出力される和値(S_1,0)を半全加算する。前記排他的論理和器２３６は、前記ＣＳＡ１ ２２０の最下位全加算器２２１から出力される桁上げ値(C_1,0)と２番目の全加算器２２２から出力される和値(S_1,1)を排他的論理和する。前記組合回路２３８は、前記半加算器２３４の出力(S_O)と前記排他的論理和器２３６の出力(S₁)とあらかじめ設定された入力ビット(n1)を組合わせて２ビットの決定値(q₁q₀)として出力する。

図１１は、図７に示すＣＳＡ２ ２５０のより具体的な構成を示す図である。
図１１を参照すれば、前記ＣＳＡ２ ２５０は、(n+3)個の全加算器２５１〜２５６を備えている。前記ＣＳＡ２ ２５０は前記選択器２４０から選択された(n+3)ビットのモジュロ数N(N₀ - N_n+2)を第１信号として入力し、前記ＣＳＡ１ ２２０からの(n+3)ビットの桁上げ値のうち最上位桁上げ値を除外した残りの(n+2)ビットの桁上げ値(C_1,0〜C_1,n+2)を第２信号として入力し、前記(n+3)ビットの和値の中で最下位桁上げ値を除外した残りの(n+2)ビットの和値(S_1,1〜S_1,n+2)を第３信号として入力し、前記(n+3)個の全加算器２５１〜２５６により(n+3)ビットの桁上げ値(C_2,0〜C_2,n+2)と和値(S_2,0〜S_2,n+2)を出力する。この時、前記第１信号の(n+3)ビットは前記全加算器の最下位全加算器２５１から順次入力され、前記第２信号の(n+2)ビットは前記全加算器のうち下位２番目の全加算器２５２から順次入力され、前記第３信号の(n+2)ビットは前記全加算器の下位２番目の全加算器２５２から順次入力される。前記全加算器のうち最下位全加算器２５１には前記商ロジック２３０の半加算器２３４からの出力(S₀)と、論理積(ＡＮＤ)演算器２６０からの桁上げ入力値Carry-inが入力される。

図１２は、図７に示す論理積演算器２６０のより具体的な構成を示す図である。
図１２を参照すれば、前記論理積演算器２６０は、前記ＣＳＡ２ ２５０の最下位全加算器２５１から出力される桁上げ値(C_2,0)と下位２番目の全加算器２５２から出力される和値(S_2,1)を全加算して桁上げ入力値(Carry-in)として出力する。この桁上げ入力値(Carry-in)は前記商ロジック２３０に提供される。

Ｃ−２．発明の原理
本発明は、それぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2(ここで、m=n/2)クロック内にA・B・R^-1modN (ここで、R=4^m+2)を計算する装置に関するものである。このような本発明の具現に適用される次の２つの原理が説明される。第一に、モジュラー乗算のための乗数(Ａ)及び被乗数(Ｂ)を表現する原理が説明される。第二に、本発明の変換原理を利用したモンゴメリーアルゴリズムに対する原理が説明される。

<2bit scanning>
本発明では乗数(Ａ)を各クロックにＬＳＢから２ビットずつスキャニング(scanning)(あるいはシフティング(shifting))して被乗数(Ｂ)とかけ、このような乗算結果をモンゴメリーアルゴリズムに利用する。したがって、毎ループから発生するa_iは{0、1、2、3}の元素の中で一つであり、これを被乗数(Ｂ)とかけてＣＳＡ１ ２２０の入力として利用する。

<Radix-4 Montgomery algorithm>
下記の式(11)〜（17）に示すようなアルゴリズムは、本発明がradix-4モンゴメリーモジュラー乗算を利用することを示す。元来モンゴメリーアルゴリズムでは結果値とmodulus Nと比較し、結果値がmodulus Nより大きいと一度減算をしなければならないが、下記に示すアルゴリズムではその手続きがないことがわかる。

上記の式(11)〜(17)に示したアルゴリズムで、(13)手続きのA_iは、Ａを２ビットずつスキャンした値を意味する。(14)手続きは、(15)手続きの結果値のＬＳＢ(Least Significant Bit)２ビットが‘０’になるようにする関数を意味する。前記(4)手続きでの結果値は入力ビットs₁, s₀, n₁,n₀に依存するが、モンゴメリーモジュラー乗算のためにはＮが奇数なのでこの時n₀は常に１であり、したがって、実際に下記の表５に示すように決定される。モジュラー減少(modular reduction)に使用される値q_iは集合{0、1、2、3}元素のうち一つである。q_iは下記の式(18)によって計算される。

Ｃ−３．発明の動作
本発明はそれぞれｎビットのＡ、Ｂ、Ｎ(ここで、-N≦A,B<N)を入力として受けてm+2 (ここで、m=n/2)クロック内にA・B・R^-1modN(ここで、R=4^m+2)を計算するためのものであり、図７に示すような装置によりその計算動作が行われる。

まず、図７に示す装置により A・B・R^-1modN(ここで、R=4^m+2)を計算する過程が説明される。下記のａ)段階は初期化段階であり、ｂ)〜ｈ)段階は毎クロックごとに行われる段階であり、ｉ)段階は、前記ｂ)〜ｈ)段階を(m+2)クロックを行った後に行われる段階である。

ａ)モジュラー乗算のために入力されるｎビットのＡ、Ｂ、Ｎがそれぞれのレジスタ(あるいは、メモリ)に貯蔵される。また、n+2ビットの２Ｂ、３Ｂがそれぞれのレジスタ(あるいは、メモリ)に貯蔵される。本発明の装置によれば、入力されるビットＡ、Ｂは、図８に示すレジスタ２０２、２０４に格納されるものとして示しているし、２Ｂ及び３Ｂを格納する別途のレジスタは示してはいないが、このようなレジスタが使用可能であるという事実に留意すべきである。この時、Ａを格納するためのレジスタ２０２は毎クロックごとに右に２ビット単位に移動させるシフトレジスタである。便宜上、Ａを格納するためのレジスタはレジスタＡ、Ｂを格納するためのレジスタはレジスタＢで説明される。仮に、メモリである場合には１ワード単位に値を読み出す。図７のＣＳＡ２ ２５０による計算結果を臨時的に格納するための臨時レジスタ(あるいは、メモリ)ＣとＳ(図示せず)が０に初期化される。

ｂ)それぞれのレジスタら２０２、２０４に全てのデータらが入力された時、変換ロジック２１０ではレジスタ２０２のＬＳＢ ２ビットを基盤にブース変換機能を行う。前記変換ロジック２１０のＭＵＸ２１２はＢレジスタ２０４の値を入力し、Ａレジスタ２０２のＬＳＢ ２ビットに基づいて0, B, 2B，3B値のうち一つを選択してＣＳＡ１ ２２０の３個の入力のうち一つの入力として提供する。

ｃ)ＣＳＡ１ ２２０はn+3ビットの二進数(binary unsigned number)３個を入力として受けて加算動作を行う。前記ＣＳＡ１ ２２０はn+3個の全加算器２２１〜２２５から構成される。

ｄ)商ロジック２３０は、前記ＣＳＡ１ ２２０の出力値S_1,1, C_1,0, S_1,0 と、論理積演算器２６０から提供されるCarry-in信号を入力し、半加算器２３４と排他的論理和器２３６によりそれぞれS₁ 、S₀を計算して出力する。

ｅ)前記商ロジック２３０の組合回路２３８は、前記ｄ)段階で計算されたS₁ ,S₀を入力し、前記表５に示すような真理値表に基づいて２ビット値であるq値を決定する。たとえ前記表５に示した真理値表に基づいてq値を決定する回路に対する具体的な構成を示してはいないが、当該分野で通常の知識を持つ者ならこのような結果値を決定する回路を一般の論理組合回路により容易に具現できるわけである。

ｆ)ＣＳＡ２ ２５０は、前記ｃ)段階で求めたＣＳＡ１ ２２０の出力である桁上げ値と和値、前記ｅ)段階で求めたq値のＬＳＢ ２ビットに基づいて決定された0、N、2N、3N値のうち一つの値を選択してn+4ビットの二陣数を入力としてn+3ビット符号なし演算を行う。前記ＣＳＡ２ ２５０は前記ＣＳＡ１ ２２０と同様に、n+3個の全加算器２５１〜２５６から構成される。この時、前記全加算器２５１〜２５６は最下位の全加算器であるＬＳＢの全加算器２５１の桁上げ入力として前段のCarry-in信号が入力されることに留意すべきである。

ｇ)論理積演算器２６０は、ＣＳＡ２ ２５０の出力値のうちS_2,1 ,C_2,0 ビットを入力し論理積演算してCarry-inビットを出力する。

ｈ)前記ＣＳＡ２ ２５０の出力のうちＭＳＢからの(n+1)個の和値と(n+2)個の桁上げ値がＣＳＡ１ ２２０の入力としてフィードバックされる。この時、前記ＣＳＡ２ １５０の和値の上位２ビットと桁上げ値の上位１ビットには“０”入力し、２ビットが右にシフトされることによってＣＳＡ１ ２２０にフィードバックされる。すなわち、前記ＣＳＡ２ ２５０の加算器２５６から出力される和値S_2,n+2はＣＳＡ１ ２２０の上位３番目の加算器２２３に提供され、最上位及び上位２番目の加算器２２４、２２５には“０”の和値が提供される。前記ＣＳＡ２ ２５０の加算器２５６から出力される桁上げ値C_2,n+2はＣＳＡ１ ２２０の上位２番目の加算器２２４に提供され、最上位加算器２２５には“０”の桁上げ値が提供される。

ｉ)(m+2)クロック中に前記ｂ)〜ｈ)段階が行われた後には次のような動作が行われる。すなわち、ＣＰＡ(Carry Propagation Adder)(図示せず)は、前記ＣＳＡ２ ２５０の出力である桁上げ値と和値に対して加算動作を行う。

例えば、Ａ、Ｂ、Ｎがそれぞれ下記の式(19)のように１２ビットである時、前記手続きによるモンゴメリーモジュラーロシア演算結果は表６及び表７に示すとおりになる。
FinalResult:0111.1100.0111(0x7C7)+0010.1000.0000(0x280)+1=1010.0100.1000(0xA448)

次に、前述したような本発明の装置による演算結果値を利用してモジュラー乗算A・BmodNを計算する手続きを説明する。これに対する具体的なハードウェア構成が省略されていることに留意すべきである。

１）あらかじめP =2²⁽ⁿ⁺⁴⁾modNを計算する。
２）本発明の装置を利用してC=A・B・2^-(n+4)modNを計算する。
３）P・C・2^-(n+4)modN = A・BmodNを計算する。

その後、前述したような本発明の装置による演算結果値を利用してＲＳＡ演算に必要なモジュラー累乗m^emodNを計算する手続きを説明する。
１）指数ｅをレジスタ(あるいはメモリ)に格納する。
２）レジスタＣにmodulus Nを格納する。
３）臨時レジスタＣとＳを０に初期化する。
４）モンゴメリーモジュラー乗算m’=f_m(m,P,N)= m・P・R^-1modNを行う。但し、累乗演算の基数Ｐは上の手続きで定義したあらかじめ計算された値を表し、R=２ｎ＋４である。
５）m’をレジスタＢにローディングする。
６）レジスタＢにローディングした値を利用してモジュラー自乗演算を行う。この時、モンゴメリーモジュラー乗算に必要な乗数ＡはレジスタＢからローディングし、radix-4 Recoding回路を利用して値を得る。

７）指数ｅを左にシフトする。
８）指数ｅのＭＳＢ(Most Significant Bit)１を無視し、次のビットから次の９)〜１０)段階を行う。
９）指数ｅの毎ビットが０または１に関らず段階４)〜５)を行いモジュラー自乗演算を行う。この時、自乗演算に必要な乗数はレジスタＡ、被乗数はレジスタＢに格納される。
１０)指数ｅの現在ビットが１の場合には段階９)を行った後、段階４)〜５)を行いモジュラー乗算を行う。この時、被乗数はレジスタＢの内容であり、乗数は累乗演算の基数m'である。
１１)指数ｅの全てのビットに対して段階８)〜１０)を行った後、段階４)を利用してモジュラー乗算をもう一度行う。この時、被乗数はレジスタＢの内容であり、乗数は１である。
前記段階１)〜１１)を行った後、レジスタＣとＳに残っている値に対してＣＰＡ(Carry Propagation Adder)を行った値が最終的な累乗値m^emodNとなる。

Ｃ−４．発明の効果
前述した如く、本発明は、A・B・2^-(n+4)modNを計算する回路を記述したものであり、記述された回路を利用して上述した一般のモジュラー乗算であるA・BmodNを計算できる。このような本発明に基づいて計算されたA・BmodNは、デジタル署名を生成及び検証するための機器に使用されるハードウェア的な装置に使用することができる。また、本発明は、ＩＣカードに基づく電子署名、認証、暗／復号化のハードウェア装置に使用することができる。また、本発明は、モジュラー乗算を行う電子署名機器によって暗号及び復号化する機器を提供することができる。また、本発明は、電子署名機器に基づいて、NIST-DSS、ＲＳＡ、ElGamal、Schnorr電子署名など既存の公開キー暗号システムを具現する上で利用することができる。

Ｄ．発明の適用例
図１３は、本発明で具現した暗号補助装置を利用して暗号化及び電子署名ができるＩＣカードのブロック構成を表す図面である。
図１３において、中央処理処置(ＣＰＵ:Central Processing Unit)３１０は、暗号、認証及び電子署名を可能にする命令語を解読し、モジュラー演算プロセッサー(modular arithmetic coprocessor)３３０に必要な制御信号とデータを提供する。ＲＯＭ(Read Only Memory)３５０の内部には暗号化及び電子署名などに必要なキー(key)のように保護しなければならないデータのための保安モジュラー(security module)が存在する。

一方、本発明の詳細な説明では具体的な実施例に上げて説明したが、本発明の範囲を外れない限度内で様々な変形が可能であることはもちろんである。したがって、本発明の範囲は、説明された実施例によって定められてはいけなく、特許請求の範囲及び請求範囲と均等なものによって定められるべきである。

本発明の第１実施例に係るモジュラー乗算装置の構成を示す図。 図１に示す変換ロジックのより具体的な構成を示す図。 図１に示す桁上げ保存加算器(ＣＳＡ)１のより具体的な構成を示す図。 図１に示す商ロジックのより具体的な構成を示す図。 図１に示すＣＳＡ２のより具体的な構成を示す図。 図１に示す全加算器(ＦＡ)のより具体的な構成を示す図。 本発明の第２実施例に係るモジュラー乗算装置の構成を示す図。 図７に示す変換ロジックのより具体的な構成を示す図。 図７に示すＣＳＡ１のより具体的な構成を示す図。 図７に示す商ロジックのより具体的な構成を示す図。 図７に示すＣＳＡ２のより具体的な構成を示す図。 図７に示すＦＡのより具体的な構成を示す図。 本発明の実施例に係るモジュラー乗算装置の適用例を示す図。

１０２ シフトレジスタ
１０４ レジスタ
１１０ 変換ロジック
１１２ 変換回路
１１４ 多重化器（ＭＵＸ）
１１６ 補数化器
１２０ 第１桁上げ保存加算器（ＣＳＡ）
１３０ 商ロジック
１４０ 選択器
１５０ 第２ＣＳＡ
１６０ 全加算器

Claims (6)

1. 信号処理システムで用いられるモジュラー乗算を遂行する信号処理装置であって、
   モジュラー乗算で乗数のブース変換結果によって被乗数に対して１の補数演算を選択的に遂行して符号付きの被乗数を出力する第１ロジックと、
   桁上げ入力値(Carry-in)と前記被乗数の符号ビット(Ｂsign)と第１の全加算演算により求められる和値（Ｓ）の最下位ビット(Ｓ _1,0 )とを全加算演算することにより以前クロックの補正用桁上げ値(cin)を生成すると共に、前記以前クロックの補正用桁上げ値(cin)から決定された現在クロックの桁上げ入力値(Carry-in)および前記被乗数の符号ビットに基づいてモジュラー乗算を行うことにより符号付きのモジュラス(modulus)を出力する第２ロジックと、
   前記第２ロジックから入力された前記以前クロックの補正用桁上げ値(cin)と前記被乗数の符号ビットを用いて第２の全加算演算を遂行して前記桁上げ入力値(Carry-in)を出力する全加算器を有すると共に、前記符号付きの被乗数と前記符号付きのモジュラスの入力を受けて、前記以前クロックで第１の全加算演算により求めた桁上げ値(Ｃ)と和値(Ｓ)に対して該第１の全加算演算を反復遂行して前記モジュラー乗算の結果値を計算する第３ロジックと、を含み、
   前記第１ロジックは、前記乗数のビットを順次的にシフトしながら前記乗数の下位２ビットと所定の参照ビットを入力にして前記ブース変換を遂行し、
   前記第２ロジックは、
   毎クロックごとに前記第３ロジックで計算された前記桁上げ値（Ｃ）と前記和値（Ｓ）の最下位ビットからそれぞれ所定ビットだけ抽出された第１ビット値と、前記桁上げ入力値(Carry-in)及び前記被乗数の符号ビットを入力にして前記モジュラー乗算でモジュラー減少の倍数を決定する第２のビット値を出力する商ロジックと、
   前記第２のビット値を基盤に前記符号化されたモジュラスを選択して出力する選択器と、を含み、
   前記第３ロジックは、複数の全加算器を備える少なくとも二以上の桁上げ保存加算器(ＣＳＡ)を用いて前記桁上げ値(Ｃ)と和値(Ｓ)に対する前記第２の全加算演算を反復遂行し、前記乗数、被乗数及び前記モジュラスがそれぞれｎビットである場合、ｍ＋２クロック(ｍ＝ｎ/２)後に前記第３ロジックから出力される前記桁上げ値（Ｃ）と前記和値（Ｓ）に対して桁上げ伝播加算演算を遂行することを特徴とするモジュラー乗算を遂行する信号処理装置。
2. 前記第１ロジックは、
   前記乗数の下位２ビットと前記参照ビットを用いて前記ブース変換を遂行するブース変換回路と、
   前記乗数の下位２ビットを基盤に前記被乗数を多重化して出力する多重化器と、
   前記ブース変換結果の符号ビットを基盤に前記多重化器の出力に対して前記１の補数化演算を選択的に遂行して前記符号化された被乗数を出力する１の補数化器と、を含むことを特徴とする請求項１記載の信号処理装置。
3. ブース変換を遂行する変換ロジックとモジュラー減少の倍数を決定する商ロジック及び二つの桁上げ保存加算器を含む信号処理装置において、モジュラー乗算を遂行する信号処理方法であって、
   前記変換ロジックがモジュラー乗算で乗数のブース変換結果によって被乗数に対して１の補数演算を選択的に遂行して符号付きの被乗数を出力する過程と、
   桁上げ入力値(Carry-in)と前記被乗数の符号ビット(Ｂsign)と反復遂行される第１の全加算演算により得られる和値（Ｓ）の最下位ビット(Ｓ _1,0 )とを全加算演算することにより以前クロックの補正用桁上げ値(cin)を生成して商ロジックから出力すると共に、前記商ロジックから出力された前記以前クロックの補正用桁上げ値(cin)の入力を受けた全加算器が現在クロックの桁上げ入力値(Carry-in)を求める過程と、
   前記商ロジックを含むロジックが前記桁上げ入力値と前記被乗数の符号ビットに基づいて前記モジュラー乗算により符号付きのモジュラスを出力する過程と、
   前記二つの桁上げ保存加算器が前記符号付きの被乗数と前記符号付きのモジュラスの入力を受けて、前記以前クロックで求めた第１の全加算演算の桁上げ値（Ｃ）と和値（Ｓ）に対して第１の全加算演算を反復遂行して前記モジュラー乗算の結果値を計算する過程と、を含み、
   前記符号化された被乗数を出力する過程は、
   前記乗数のビットを順次的にシフトしながら前記乗数の下位２ビットと所定の参照ビットを入力にして前記ブース変換を遂行する過程を含むことを特徴とするモジュラー乗算を遂行し、
   前記桁上げ入力値(Carry-in)を求める過程は、
   前記補正用桁上げ値(cin)と前記被乗数の符号ビットを用いて全加算演算を遂行して前記桁上げ入力値(Carry-in)を出力する過程を含み、
   前記符号付きのモジュラスを出力する過程は、
   毎クロックごとに前記桁上げ値と前記和値の最下位ビットからそれぞれ所定のビットだけ第１ビット値を抽出する過程と、
   前記第１ビット値と、前記桁上げ入力値(Carry-in)、及び前記被乗数の符号ビットを入力にして前記モジュラー乗算でモジュラー減少の倍数を決定する第２のビット値を出力する過程と、
   前記第２のビット値を基盤に前記符号化されたモジュラスを選択して出力する過程と、を含み、
   前記乗数、被乗数及び前記モジュラスがそれぞれｎビットである場合、ｍ＋２クロック(ｍ=ｎ/２)後に前記桁上げ値と前記和値に対して桁上げ伝播加算演算を遂行する過程をさらに含み、
   前記全加算演算は、複数の全加算器を備える少なくとも二以上の桁上げ保存加算器(ＣＳＡ)を通じて遂行され、ることを特徴とする信号処理方法。
4. 前記符号付きの被乗数を出力する過程は、
   前記乗数の下位２ビットと前記参照ビットを用いて前記ブース変換を遂行する過程と、
   前記乗数の下位２ビットを基盤に前記被乗数を多重化して出力する過程と、
   前記ブース変換結果の符号ビットを基盤に前記多重化された被乗数の出力に対して前記１の補数化演算を選択的に遂行して前記符号化された被乗数を出力する過程と、を含むことを特徴とする請求項３記載の信号処理方法。
5. 前記第１ロジックは、前記ブース変換結果の符号ビットを基盤に前記被乗数を多重化した出力に対して前記１の補数化演算を選択的に遂行して前記符号化された被乗数を出力することを特徴とする請求項１記載の信号処理装置。
6. 前記符号化された被乗数を出力する過程は、
   前記ブース変換結果の符号ビットを基盤に前記被乗数を多重化した出力に対して前記１の補数化演算を選択的に遂行して前記符号化された被乗数を出力する過程を含むことを特徴とする請求項３記載の信号処理方法。

Images