JP4580274B2 - ペアリング演算装置、ペアリング演算方法、およびペアリング演算プログラム - Google Patents

Description

本発明は、楕円曲線上の演算、特にセキュリティ技術を実現するための演算を利用した装置、方法、およびプログラムに関する。

楕円曲線のペアリングを用いたＩＤ−ｂａｓｅ暗号や短署名長デジタル署名を実現する方法が提案されている（特許文献１）。
Tateペアリングによる暗号や署名の概要を図１に示す。有限体ＧＦ（ｐ）上で定義される楕円をＥ／ＧＦ（ｐ）とする。楕円Ｅ／ＧＦ（ｐ）上のＧＦ（ｐ）有理点をＰ（ｘ、ｙ）、楕円Ｅ／ＧＦ（ｐ）上のＧＦ（ｐ^ｋ）有理点をＱ（ｘ_Ｑ、ｙ_Ｑ）とする。Tateペアリングでは、ＰとＱを入力とし、Millerアルゴリズムによって有限体ＧＦ（ｐ^ｋ）上の元ｆを出力し、さらにべき乗演算によってｆを（ｐ^ｋ−１）／ｍ乗することで有限体ＧＦ（ｐ^ｋ）上の元ｅへ写像し、出力する。ここで、ｐは素数または素数のべき乗、ｍは素数かつＰ、Ｑ、ｅの位数、ｋはｍ｜（ｐ^ｋ−１）を満足する最小の整数、ｍは（ｐ−１）の約数ではない、かつｐとｍの最大公約数は１である。

図２はTateペアリングを用いたペアリング演算装置１０００の機能構成例を示している。図１に示した処理を行うため、Millerアルゴリズムを用いて入力ＰとＱを有限体ＧＦ（ｐ^ｋ）上の元ｆに変換して出力するMiller演算装置３０と、べき乗演算によって入力ｆを有限体ＧＦ（ｐ^ｋ）上の元ｅに写像して出力するべき乗演算装置２０から構成されている。
Tateペアリングで９０％の計算量を占めるMiller演算装置３０の内部構成例を図３に、処理フロー例を図４に示す。Miller演算装置３０は、制御部１００、代入部２００、楕円上点生成部４００、楕円加算部５００、入出力部６００、ＧＦ（ｐ^ｋ）乗算部７００、ＧＦ（ｐ^ｋ）逆元部８５０、および記録部１９０から構成される。制御部１００は、以下に示す処理フローに沿った処理を実行するために他の構成部を制御する。また、記録部１９０はハードディスク等の不揮発性のメモリでもよいし、一連の計算を行う間だけ一時的に記録する揮発性のメモリでもよい。また、組み合わせてもよい。

入出力部６００にｍ、Ｐ、Ｑが入力されると、ｍ、Ｐ、Ｑを記録部１９０に記録する（Ｓ７００）。次に代入部２００で、ＴにＰを、Ｆに１を代入し、記録部１９０に記録する（Ｓ７１０）。楕円上点生成部４００で、Ｓ≠ＰかつＳ≠Ｑの条件を満足する有限体ＧＦ（ｐ^ｋ）上で定義される楕円上の点Ｓ（∈Ｅ／ＧＦ（ｐ^ｋ））を生成し、記録部１９０に記録する（Ｓ７２０）。Ｓは条件を満足する点であれば、あらかじめ定めてもいいし、ランダムに生成してもよい。楕円加算部５００で、記録部１９０からＱとＳを読み取り、Ｑ’（＝Ｑ＋Ｓ）を計算し、記録部１９０に記録する（Ｓ７３０）。代入部２００で、ｌｏｇ（ｍ）−１の小数点以下を切り上げた整数をｎに代入し、記録部１９０に記録する（Ｓ７４０）。制御部１００は、記録部１９０からｎを読み取り、ｎ＜０か否かを確認し、Ｙｅｓの場合にはステップＳ９１０に進み、Ｎｏの場合にはステップＳ７６０に進む（Ｓ７５０）。Ｙｅｓの場合、入出力部６００は、記録部１９０からＦを読み取り、出力し（Ｓ９１０）、Millerアルゴリズムによる演算が終了する。Ｎｏの場合、楕円加算部５００は、記録部１９０からＴを読み取り、２Ｔを計算し、記録部１９０に記録する（Ｓ７６０）。ＧＦ（ｐ^ｋ）乗算部７００は、Ｑ’、Ｓ、Ｔ、２Ｔを記録部１９０から読み取り、ｌ_１（ｘ，ｙ）＝０をＴと２Ｔとを結ぶ直線、ｌ_２（ｘ，ｙ）＝０を２ＴとＯとを結ぶ直線として、ｌ_１（Ｑ’）、ｌ_２（Ｑ’）、ｌ_１（Ｓ）、ｌ_２（Ｓ）を計算し、記録部１９０に記録する（Ｓ７７０）。ただし、ｌ_１（Ｑ’）とは、Ｑ’のｘ座標とｙ座標とを、ｌ_１（ｘ，ｙ）に代入した値である。なお、Ｓを有限体ＧＦ（ｐ）の元から選定すると（この場合、残りのｋ−１個の有限体ＧＦ（ｐ）の元は０である。）、ｌ_１（Ｓ）、ｌ_２（Ｓ）の計算は省略でき、以降のステップでｌ_１（Ｓ）、ｌ_２（Ｓ）を省略できる。次に、代入部２００は、記録部１９０から２Ｔを読み取り、Ｔに２Ｔの値を代入し、Ｔを記録部１９０に記録する（Ｓ７８０）。ＧＦ（ｐ^ｋ）逆元部８５０で、記録部１９０からｌ_２（Ｑ’）、ｌ_１（Ｓ）を読み取り、ｌ_２（Ｑ’）^−１、ｌ_１（Ｓ）^−１を計算し、記録部１９０に記録する（Ｓ７９０）。ＧＦ（ｐ^ｋ）乗算部７００は、記録部１９０からＦ、ｌ_１（Ｑ’）、ｌ_２（Ｓ）、ｌ_２（Ｑ’）^−１、ｌ_１（Ｓ）^−１を読み取り、

を計算し、Ｆの値として記録部１９０に記録する（Ｓ８１０）。制御部１００は、記録部１９０からｍとｎを読み取り、ｍのｎ番目のビットが１かを確認し、Ｙｅｓの場合にはステップＳ８３０へ進み、Ｎｏの場合にはステップＳ９００へ進む（Ｓ８２０）。Ｙｅｓの場合、楕円加算部５００で、記録部１９０からＴ、Ｐを読み取り、Ｔ＋Ｐを計算し、記録部１９０に記録する（Ｓ８３０）。ＧＦ（ｐ^ｋ）乗算部７００は、Ｑ’、Ｓ、Ｔ、Ｐ，Ｔ＋Ｐを記録部１９０から読み取り、ｌ_１（ｘ，ｙ）＝０をＴとＰとを結ぶ直線、ｌ_２（ｘ，ｙ）＝０をＴ＋ＰとＯとを結ぶ直線とし、ｌ_１（Ｑ’）、ｌ_２（Ｑ’）、ｌ_１（Ｓ）、ｌ_２（Ｓ）を計算して、記録部１９０に記録する（Ｓ８４０）。代入部２００は、記録部１９０からＴ＋Ｐを読み取り、ＴにＴ＋Ｐを代入し、Ｔを記録部１９０に記録する（Ｓ８５０）。ＧＦ（ｐ^ｋ）逆元部８５０は、記録部１９０からｌ_２（Ｑ’）、ｌ_１（Ｓ）を読み取り、ｌ_２（Ｑ’）^−１、ｌ_１（Ｓ）^−１を計算し、記録部１９０に記録する（Ｓ８６０）。ＧＦ（ｐ^ｋ）乗算部７００は、記録部１９０からＦ、ｌ_１（Ｑ’）、ｌ_２（Ｓ）、ｌ_２（Ｑ’）^−１、ｌ_１（Ｓ）^−１を読み取り、

を計算し、Ｆの値として記録部１９０に記録する（Ｓ８８０）。ステップＳ８２０でＮｏと判断した場合とステップＳ８８０が終了した場合、代入部２００は、記録部１９０からｎを読み取り、ｎ−１をｎに代入し、ｎを記録部１９０に記録する（Ｓ９００）。次にステップＳ７５０に戻り、ステップＳ７５０の判断がＹｅｓとなるまで処理が繰り返される。
特開2004-177673号公報

ペアリングの演算に必要な演算量は、通常の楕円演算にくらべると非常に大きいため、その演算速度が遅いことが問題となっている。Tateペアリングの場合、Millerのアルゴリズムというdevisor有理式の評価を行う演算に費やされる。本発明が解決しようとする課題は、Millerのアルゴリズムの演算速度の高速化である。

本発明では、有限体の性質を用いて高速化を行う。図５に本発明による演算の高速化の原理を示す。Tateペアリングでは、有限体ＧＦ（ｐ^ｋ）上の元ｆをべき乗演算により有限体ＧＦ（ｐ^ｋ）上の元ｅに写像するが、次の条件を満足する有限体ＧＦ（ｐ^ｋ）上の元ｆ’も、べき乗演算により有限体ＧＦ（ｐ^ｋ）上の元ｅに写像する。
ｆ’＝ｒｆ ただし、ｒは有限体ＧＦ（ｐ^ｋ／２）上の元 （１）
そこで、本発明ではｋが偶数の場合に、この有限体の性質を利用し、Millerアルゴリズムよりも計算量が少ないアルゴリズム（以下、「擬似Millerアルゴリズム」という。）で、元ｆ’を求め、元ｆ’をべき乗演算することで元ｅを求める。

擬似Millerアルゴリズムでは、Millerアルゴリズムで逆元を求める処理を、少ない計算量で求められる逆元のｒ倍の元（以下、「擬似逆元」という。）を求める処理に置き換える。具体的には、ｋが偶数であり、Ｌが有限体ＧＦ（ｐ^ｋ）上の元の場合、

を満足する有限体ＧＦ（ｐ^ｋ／２）上の元ｎが存在する。したがって、

であり、式（１）の関係を満足する。そこで、

を擬似逆元として使用する。
また、前記のMillerのアルゴリズムの多項式の乗算では、多項式を展開して計算する。具体的には、ステップＳ８１０とＳ８８０の多項式の乗算には、

が含まれるが、前記の擬似逆元を用いると、

に置き換えることができる。また、Ｑ’＝（Ｘ_Ｑ’，Ｙ_Ｑ’）とすると、
ｌ_１（Ｑ’）＝ｃＸ_Ｑ’＋ｄＹ_Ｑ’＋ｅ、ｌ_２（Ｑ’）＝ｇＸ_Ｑ’＋ｈ （７）
と表すことができる。ここで、ｃ、ｄ、ｅ、ｇ、ｈはＧＦ（ｐ）上の元である。さらに、フェルマーの小定理から、

と変形することができる。ここでＸ＾_Ｑ’はＸ_Ｑ’の共役元である。
したがって、式（６）は、
（ｃＸ_Ｑ’＋ｄＹ_Ｑ’＋ｅ）・（ｇＸ＾_Ｑ’＋ｈ） （９）
と表現できる。
そこで、あらかじめＡ＝Ｘ_Ｑ’Ｘ＾_Ｑ’、Ｂ＝Ｙ_Ｑ’Ｘ＾_Ｑ’を求めておき、
ｃｇＡ＋ｄｇＢ＋ｅｇＸ＾_Ｑ’＋ｃｈＸ_Ｑ’＋ｄｈＹ_Ｑ’＋ｅｈ （１０）
により計算する。

本発明によれば、楕円曲線上のTateペアリング演算において、ｋが偶数である場合に、有限体の性質を用いて、Ｅ／ＧＦ（ｐ^ｋ）からＧＦ（ｐ^ｋ）への写像を高速に行うことができる。また、本発明では、特殊な楕円曲線の性質を用いず高速化できる。さらに、任意の標数の楕円曲線に適用することが可能であり、応用範囲が広い。

以下では、説明の重複を避けるため同じ機能を有する構成部や同じ処理を行う処理ステップには同一の番号を付与し、説明を省略する。
［第１実施形態］
図６に本発明のペアリング演算装置の機能構成例を示す。図２との違いはMiller演算装置３０の代わりに、擬似Miller演算装置１０が備えられていることである。擬似Miller演算装置１０は、前記の擬似逆元を用い、多項式を展開した乗算を行うことで、擬似Millerアルゴリズムを実現する装置である。擬似Miller演算装置１０の内部構成例を図７に、擬似Miller演算装置１０の処理フローを図８に示す。図７と図３との違いは、図７の記録部１５０に記録するデータの種類が、図３の記録部１９０に記録するデータの種類と異なるものがあること、擬似逆元を計算するためにＧＦ（ｐ^ｋ）逆元部８５０が擬似ＧＦ（ｐ^ｋ）逆元部８００に置き換えられたことである。まず、図４の説明中での「記録部１９０への記録」または「記録部１９０からの読み取り」は、図８では「記録部１５０への記録」または「記録部１５０からの読み取り」と読み替える。その他の図８の処理フローと図４の処理フローとの違いは、以下のとおりである。

ステップＳ７３０とステップＳ７４０との間に、ステップＳ１１０を追加している。ステップＳ１１０では、Ｑ’のｘ座標とｙ座標であるＸ_Ｑ’とＹ_Ｑ’（∈ＧＦ（ｐ^ｋ））、およびＰのｘ座標とｙ座標であるｘ_Ｐとｙ_Ｐ（∈ＧＦ（ｐ））とを記録部１５０から読み取り、Ｘ＾_Ｑ’、Ａ＝Ｘ_Ｑ’Ｘ＾_Ｑ’、Ｂ＝Ｙ_Ｑ’Ｘ＾_Ｑ’、Ｃ＝（Ｘ_Ｑ’−ｘ_Ｐ）Ｘ＾_Ｑ’、Ｄ＝（Ｙ_Ｑ’ −ｙ_Ｐ）Ｘ＾_Ｑ’を計算し、Ｘ＾_Ｑ’、Ａ、Ｂ、Ｃ、Ｄを記録部１５０に記録する。
ステップＳ７７０はステップＳ１２０に置き換える。ステップＳ１２０では、ＧＦ（ｐ^ｋ）乗算部７００が、Ｑ’、Ｓ、Ｔ、２Ｔを記録部１５０から読み取り、ｌ_１（ｘ，ｙ）＝０をＴと２Ｔとを結ぶ直線、ｌ_２（ｘ，ｙ）＝０を２ＴとＯとを結ぶ直線として、ｌ_１（Ｓ）、ｌ_２（Ｓ）を計算し、記録部１５０に記録する。また、多項式ｌ_１（ｘ，ｙ）＝ｃｘ＋ｄｙ＋ｅとｌ_２（ｘ，ｙ）＝ｇｘ＋ｈの係数であるｃ、ｄ、ｅ、ｇ、ｈとを求め、記録部１５０に記録する。

ステップＳ７９０とステップＳ８１０は、ステップＳ１３０〜Ｓ１５０に置き換える。ステップＳ１３０では、擬似ＧＦ（ｐ^ｋ）逆元部８００が、記録部１５０からｌ_１（Ｓ）を読み取り、ｌ_１（Ｓ）の擬似逆元を計算し、記録部１５０に記録する。ステップＳ１４０では、ＧＦ（ｐ^ｋ）乗算部７００が、記録部１５０からＡ、Ｂ、ｃ、ｄ、ｅ、ｇ、ｈ、Ｑ’のｘ座標Ｘ_Ｑ’とｙ座標Ｙ_Ｑ’、Ｘ_Ｑ’の共役元Ｘ＾_Ｑ’を読み取り、（ｃＸ_Ｑ’＋ｄＹ_Ｑ’＋ｅ）・（ｇＸ＾_Ｑ’＋ｈ）をｃｇＡ＋ｄｇＢ＋ｅｇＸ＾_Ｑ’＋ｃｈＸ_Ｑ’＋ｄｈＹ_Ｑ’＋ｅｈのように計算し、

として記録部１５０に記録する。ステップＳ１５０では、ＧＦ（ｐ^ｋ）乗算部７００が、記録部１５０からＦ、ｌ_２（Ｓ）、ｌ_１（Ｓ）の擬似逆元、および

を読み取り、

を計算し、Ｆの値として記録部１５０に記録する。
ステップＳ８４０は、ステップＳ１６０に置き換えられる。ステップＳ１６０では、ＧＦ（ｐ^ｋ）乗算部７００が、Ｑ’、Ｓ、Ｔ、Ｐ，Ｔ＋Ｐを記録部１５０から読み取り、ｌ_１（ｘ，ｙ）＝０をＴとＰとを結ぶ直線、ｌ_２（ｘ，ｙ）＝０をＴ＋ＰとＯとを結ぶ直線とし、ｌ_１（Ｓ）、ｌ_２（Ｓ）を計算して、記録部１５０に記録する。また、多項式ｌ_１（ｘ，ｙ）＝ｃｘ＋ｄｙとｌ_２（ｘ，ｙ）＝ｇｘ＋ｈの係数であるｃ、ｄ、ｇ、ｈとを求め、記録部１５０に記録する。なお、ステップＳ１６０とＳ１２０とを比べてみると、ステップＳ１６０には多項式ｌ_１（ｘ，ｙ）の係数ｅがない。これは、ステップＳ１６０では、ｅ＝０となるので、省略できるからである。

ステップＳ８６０とステップＳ８８０は、ステップＳ１７０〜Ｓ１９０に置き換える。ステップＳ１７０では、擬似ＧＦ（ｐ^ｋ）逆元部８００が、記録部１５０からｌ_１（Ｓ）を読み取り、ｌ_１（Ｓ）の擬似逆元を計算し、記録部１５０に記録する。ステップＳ１８０では、ＧＦ（ｐ^ｋ）乗算部７００が、記録部１５０からＣ、Ｄ、ｃ、ｄ、ｇ、ｈ、Ｑ’のｘ座標Ｘ_Ｑ’とｙ座標Ｙ_Ｑ’、Ｘ_Ｑ’の共役元Ｘ＾_Ｑ’、 Ｐのｘ座標とｙ座標であるｘ_Ｐとｙ_Ｐを読み取り、（ｃＸ’＋ｄＹ’）・（ｇＸ＾_Ｑ’＋ｈ）をｃｇＣ＋ｄｇＤ＋ｃｈＸ’＋ｄｈＹ’のように計算し、

として記録部１５０に記録する。ただし、Ｘ’＝Ｘ_Ｑ’ −ｘ_Ｐ、Ｙ’＝Ｙ_Ｑ’ −ｙ_Ｐである。ステップＳ１９０では、ＧＦ（ｐ^ｋ）乗算部７００が、Ｆ、ｌ_２（Ｓ）、ｌ_１（Ｓ）の擬似逆元、および

を記録部１５０から読み取り、

を計算し、Ｆの値として記録部１５０に記録する。
なお、本発明でもＳを有限体ＧＦ（ｐ）の元から選定すると（この場合、残りのｋ−１個の有限体ＧＦ（ｐ）の元は０である。）、ｌ_１（Ｓ）、ｌ_２（Ｓ）の計算や演算を省略できる。
このように変更した処理フローによって、Millerアルゴリズムよりも計算量を少なくし、有限体ＧＦ（ｐ^ｋ）上の元ｆ’を求めることができる。
本発明によれば、擬似逆元を用いることで、演算量の多いＧＦ（ｐ^ｋ）の元どうしの乗算を多項式展開できる。また、多項式展開できるため、演算量の多いＧＦ（ｐ^ｋ）の元どうしの乗算を、多項式展開した上で、繰り返し計算に共通の項をあらかじめ計算しておくことができる。ＧＦ（ｐ）の元どうしの乗算の演算量をＯ（ｋ）と表現すると、通常ＧＦ（ｐ^ｋ）の元どうしの乗算の演算量はＯ（ｋ^２）となり、Karatsuba法などを用いた場合でもＯ（ｋ^１．５）の演算量となる。一方、ＧＦ（ｐ^ｋ）の元とＧＦ（ｐ）の元との乗算の演算量は、Ｏ（ｋ）となるため、演算量を削減することができる。特に、ｋが大きくなると本発明の効果も大きくなる。

なお、本発明は、コンピュータ本体とコンピュータプログラムとして実行することが可能であるし、デジタルシグナルプロセッサや専用LSIに実装して実現することも可能である。

Tateペアリング演算の概要を示す図。 Tateペアリングを用いたペアリング演算装置の機能構成例を示す図。 Miller演算装置の内部構成例を示す図。 Millerアルゴリズムの処理フローを示す図。 擬似Millerのアルゴリズムを用いた演算の高速化の原理を示す図。 擬似Millerアルゴリズムを用いたペアリング演算装置の機能構成例を示す図。 擬似Miller演算装置の機能構成例を示す図。 擬似Millerアルゴリズムの処理フローを示す図。

Claims (5)

1. ｐは素数または素数のべき乗、ｋは偶数であって、有限体ＧＦ（ｐ）上の楕円曲線上の点Ｐと有限体ＧＦ（ｐ^ｋ）上の楕円曲線上の点Ｑを入力とし、入力された点から有限体ＧＦ（ｐ^ｋ）上の元ｆ’を求める擬似Miller演算部と、求めた有限体上の元を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）に写像し、出力するべき乗演算部とを備えるペアリング演算装置において、
   ＸとＹをＧＦ（ｐ^ｋ）上の元、Ｘ＾をＸの共役元、ｃ、ｄ、ｅ、ｇ、ｈをＧＦ（ｐ）上の元とする場合に、
   ＰとＱから有限体ＧＦ（ｐ^ｋ）上の元ｆを求めるMillerアルゴリズムを、Millerアルゴリズム内で用いる有限体ＧＦ（ｐ^ｋ）上の元Ｌの逆元の代わりに
   

   

   を用いること、
   （ｃＸ＋ｄＹ＋ｅ）・（ｇＸ＾＋ｈ）の計算を、あらかじめＡ＝ＸＸ＾、Ｂ＝ＹＸ＾を求めて記録手段に記録しておき、ｃｇＡ＋ｄｇＢ＋ｅｇＸ＾＋ｃｈＸ＋ｄｈＹ＋ｅｈにより求めること
   を特徴とする前記擬似Miller演算部と、
   前記擬似Miller演算部で求めた元ｆ’を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）にべき乗演算により写像することを特徴とする前記べき乗演算部と、
   を備えるペアリング演算装置。
2. ｐは素数または素数のべき乗、ｋは偶数であって、有限体ＧＦ（ｐ）上の楕円曲線上の点Ｐと有限体ＧＦ（ｐ^ｋ）上の楕円曲線上の点Ｑを入力とし、入力された点から有限体ＧＦ（ｐ^ｋ）上の元ｆ’を求める擬似Miller演算部と、求めた有限体上の元を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）に写像し、出力するべき乗演算部とを備えるペアリング演算装置において、
   ＸとＹをＧＦ（ｐ^ｋ）上の元、Ｘ＾をＸの共役元、ｘ、ｙ、ｃ、ｄ、ｇ、ｈをＧＦ（ｐ）上の元とする場合に、
   ＰとＱから有限体ＧＦ（ｐ^ｋ）上の元ｆを求めるMillerアルゴリズムを、Millerアルゴリズム内で用いる有限体ＧＦ（ｐ^ｋ）上の元Ｌの逆元の代わりに
   

   

   を用いること、
   （ｃ（Ｘ−ｘ）＋ｄ（Ｙ−ｙ））・（ｇＸ＾＋ｈ）の計算を、あらかじめＣ＝（Ｘ−ｘ）Ｘ＾、Ｄ＝（Ｙ−ｙ）Ｘ＾を求めて記録手段に記録しておき、ｃｇＣ＋ｄｇＤ＋ｃｈ（Ｘ−ｘ）＋ｄｈ（Ｙ−ｙ）により求めること
   を特徴とする前記擬似Miller演算部と、
   前記擬似Miller演算部で求めた元ｆ’を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）にべき乗演算により写像することを特徴とする前記べき乗演算部と、
   を備えるペアリング演算装置。
3. ｐは素数または素数のべき乗、ｋは偶数であって、擬似Miller演算部で、有限体ＧＦ（ｐ）上の楕円曲線上の点Ｐと有限体ＧＦ（ｐ^ｋ）上の楕円曲線上の点Ｑを入力とし、入力された点から有限体ＧＦ（ｐ^ｋ）上の元ｆ’を求め、べき乗演算部で、求めた有限体上の元を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）に写像し、出力するペアリング演算方法において、
   ＸとＹをＧＦ（ｐ^ｋ）上の元、Ｘ＾をＸの共役元、ｃ、ｄ、ｅ、ｇ、ｈをＧＦ（ｐ）上の元とする場合に、
   前記擬似Miller演算部で、ＰとＱから有限体ＧＦ（ｐ^ｋ）上の元ｆを求めるMillerアルゴリズムを、Millerアルゴリズム内で用いる有限体ＧＦ（ｐ^ｋ）上の元Ｌの逆元の代わりに
   

   

   を用いる過程と、
   前記擬似Miller演算部で、（ｃＸ＋ｄＹ＋ｅ）・（ｇＸ＾＋ｈ）の計算を、あらかじめＡ＝ＸＸ＾、Ｂ＝ＹＸ＾を求めて記録手段に記録しておき、ｃｇＡ＋ｄｇＢ＋ｅｇＸ＾＋ｃｈＸ＋ｄｈＹ＋ｅｈにより求める過程と、
   前記べき乗演算部で、前記擬似Miller演算部で求めた元ｆ’を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）にべき乗演算により写像する過程と、
   を有することを特徴とするペアリング演算方法。
4. ｐは素数または素数のべき乗、ｋは偶数であって、擬似Miller演算部で、有限体ＧＦ（ｐ）上の楕円曲線上の点Ｐと有限体ＧＦ（ｐ^ｋ）上の楕円曲線上の点Ｑを入力とし、入力された点から有限体ＧＦ（ｐ^ｋ）上の元ｆ’を求め、べき乗演算部で、求めた有限体上の元を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）に写像し、出力するペアリング演算方法において、
   ＸとＹをＧＦ（ｐ^ｋ）上の元、Ｘ＾をＸの共役元、ｘ、ｙ、ｃ、ｄ、ｇ、ｈをＧＦ（ｐ）上の元とする場合に、
   前記擬似Miller演算部で、ＰとＱから有限体ＧＦ（ｐ^ｋ）上の元ｆを求めるMillerアルゴリズムを、Millerアルゴリズム内で用いる有限体ＧＦ（ｐ^ｋ）上の元Ｌの逆元の代わりに
   

   

   を用いる過程と、
   前記擬似Miller演算部で、（ｃ（Ｘ−ｘ）＋ｄ（Ｙ−ｙ））・（ｇＸ＾＋ｈ）の計算を、あらかじめＣ＝（Ｘ−ｘ）Ｘ＾、Ｄ＝（Ｙ−ｙ）Ｘ＾を求めて記録手段に記録しておき、ｃｇＣ＋ｄｇＤ＋ｃｈ（Ｘ−ｘ）＋ｄｈ（Ｙ−ｙ）により求める過程と、
   前記べき乗演算部で、前記擬似Miller演算部で求めた元ｆ’を有限体ＧＦ（ｐ^ｋ）上の元ｅ（Ｐ，Ｑ）にべき乗演算により写像する過程と、
   を有することを特徴とするペアリング演算方法。
5. 請求項３または４記載のペアリング演算方法の各過程をコンピュータにより実現するペアリング演算プログラム。
   

Images