JP4619657B2 - モンゴメリ乗算器のパイプライン型コア - Google Patents

Description

本発明は、素数を法とする剰余系で第１の多倍長整数(long integer)エンティティに第２の多倍長整数を乗算する乗算器装置に係わり、この装置は、パイプライン型コアを含み、全体的な乗算をモンゴメリ形式で実行するために構成されている。

素数を法とする剰余系での多倍長整数の乗算は、基本的な、繰り返し演算であり、いわゆる公開鍵システムおよび様々なその他のアプリケーションで使用される。このようなアプリケーションの効率的な使用のため、乗算の実効時間は最小限となるべきである。その結果、本発明は、特に、請求項１のプリアンブルに記載されるような装置に関する。このため、乗算演算と還元演算の組み合わせを使用する様々な方法および装置が提案されている。特に、屡々、結果の最上位部分が実際に還元に影響を与えるために使用されている。しかし、このような最上位部分の展開は、このような乗算の系列が連続した態様で実行されなければならないので、特に、利用可能なハードウェアが最大実現可能なデューティサイクルで使用されなければならないとき、実質的に全体的な演算を遅らせることに本発明者は気付いた。

したがって、特に、本発明の目的は、プリアンブルに記載されたような乗算器装置であって、従来技術と対比して、実際の結果の最下位部分が還元に影響を与えるため使用され、ハードウェアがこのような乗算の実質的である長い系列を処理可能にするため実際に使用される時間の割合をさらに引き上げる乗算器装置を提供することである。

このため、本発明の態様の一つによれば、本発明は、請求項１の特徴部によって特徴付けられる。実際に、本発明による組み合わせは、より容易にパイプラインを一杯の状態に保ち、その結果として、オーバーレイ演算における平均計算時間を短縮する。乗算器装置は、ｐを素数としてＧＦ（ｐ）における演算、並びに、ＧＦ（２^ｎ）における演算に適用可能である。

さらに、本発明の有利な態様は、本発明の主な要素への有利な拡張、または、本発明の適用分野を明確にする従属請求項に記載されている。

本発明の上記およびさらなる態様並びに効果は、好ましい実施形態の説明と、特に添付図面とを参照して以下で詳細に説明される。

（１． パイプライン型乗算器）
パイプライン型乗算器は、全てのクロックサイクルで、乗算される２個の新しい数を受け入れるように設計されている。両者の積は、多数の段階で計算され、全ての段階を通ったときに作動可能となる。例えば、３２＊３２ビット乗算の場合、段階の段数は１７（乗算用の１６段と最終加算用の１段）である。全てのクロックサイクルで、次の積が計算されるが、その結果は１７クロックサイクル後になってようやく準備ができている。したがって、最大で１７個の積が同一クロックサイクルに処理されている。

効率的なパイプライン型乗算器を目指して、多倍長整数計算は、パイプラインが一杯の状態を保つように設計されている。新しい計算がまだ進行中である結果に依存する状況を回避しなければならない。このような状況では、待機状態を挿入しなければならないであろう。これが、ＲＳＡのような計算とは異なって楕円曲線計算のためのモンゴメリ乗算器を設計する理由である。

乗算の次に、乗算器は、２回の加算Ｐ ＝ Ｘ・Ｙ ＋ Ａ ＋ Ｂを実行する。一方の加算は、２個の多倍長整数の乗算のために必要であり、この場合、乗算は、多数の基本的な３２＊３２ビット乗算に分けられる。

パイプライン型乗算器は、例えば、８＊８ビット、または、１６＊１６ビットのような様々なビット数のため設計することができる。

（２． モンゴメリ乗算）
モンゴメリ乗算は、積Ｐ ＝ ｘ・ｙ・Ｒ^−１ ｍｏｄ ｐを計算する。ここで、ｘおよびｙは乗算される入力であり、ｐは乗算の法である。さらに、Ｒ＝２^ｎであり、ここで、ｎはシステムのビット数であり、例えば、ＲＳＡのようなシステムでは１０２４であり、楕円曲線では１６０である。一例として、１７段のステージをもつ３２＊３２ビット乗算器が選択される。

（３． 基底Ｂを用いるモンゴメリ乗算）
この方法は、Ｎ_ｗが大きい値である場合、ならびに、ＲＳＡの場合に適している。

Ｂ＝２^３２であり、プロセッサのワードサイズは３２ビットであると仮定する。

Ｒ＝Ｂ^Ｎｗであり、Ｎ_ｗは多倍長整数の３２ビットワードの個数である。

ａ［ｉ］は数ａのｉ番目の３２ビットワードである。

Ｔ［０］は、一時変数Ｔの最下位３２ビット部分である。

事前に格納された定数：
ｍ'＝−（ｐ^−１） ｍｏｄ Ｂ （３２ビット幅）
素数ｐ
入力：ａ ｍｏｄ ｐ， ｂ ｍｏｄ ｐ
出力：モンゴメリ積：ＭｏｎＰｒｏ（ａ，ｂ）＝ａ・ｂ・Ｒ^−１ ｍｏｄ ｐ
演算は次の通りである。

Ｔ ＝ ０
ｆｏｒ ｉ＝０ ｔｏ Ｎ_ｗ−１
｛ Ｔ ＝ Ｔ ＋ ａ［ｉ］・ｂ； ／／ Ｎ_ｗ回乗算
Ｕｉ ＝ Ｔ［０］・ｍ' ｍｏｄ Ｂ； ／／ １回乗算
Ｔ ＝ （Ｔ ＋ Ｕｉ・ｐ）／Ｂ ／／ Ｎ_ｗ回乗算
｝
Ｉｆ Ｔ ＞ ｐ ｔｈｅｎ Ｔ ＝ Ｔ−ｐ
（４． ５１２ビットオペランドのための計算）
本例では、ａおよびｂは３２ビットワードである。最初に、Ｔ＝Ｔ＋ａ［ｉ］・ｂがｉ＝０から計算される。

最初の計算はタイムスロット０で始まり、最後の計算はタイムスロット１５で始まる。タイムスロット１６に待機サイクルが加わる。

最初の結果Ｔ［０］は時点１７に作動可能である。次に、そのタイムスロットから、タイムスロット３４の出力である積Ｕｉ＝Ｔ［０］・ｍ'を計算する。

次の一連の計算は（Ｔ＋Ｕｉ・ｐ）／Ｂであり、これは、タイムスロット３４で始まり、タイムスロット４９で終わる。その最初の結果はタイムスロット５１で出力されるが、その結果は常に零であるため棄てられる。２番目の結果はタイムスロット５２で出力される。

タイムスロット５２以降、ループが改めて始まる。そのループは、前のラウンドの結果が作動可能となると直ちに前のラウンドの結果を使用する。

１６回のラウンドがあるので、タイムスロットの総数は１６＊５２＝８３２個である。

完全な結果はタイムスロット８４８で準備ができている。

（５． １０２４個のオペランドのための計算）
最初に、Ｔ＝Ｔ＋ａ［ｉ］・ｂがｉ＝０から計算される。

最初の１７個の積を計算し始める。

最初の結果Ｔ［０］は時点１７に準備ができる。そのタイムスロットで、タイムスロット３４の出力である積Ｕｉ＝Ｔ［０］・ｍ'を計算する。タイムスロット１８から３２まで、残りの積Ｔ＝Ｔ＋ａ［ｉ］・ｂを計算する。

次の一連の計算は（Ｔ＋Ｕｉ・ｐ）／Ｂであり、これは、タイムスロット３４で始まり、タイムスロット６５で終わる。その最初の結果は、タイムスロット６６で新しいラウンドが開始したときに準備できる。

３２回のラウンドがあるので、タイムスロットの総数は３２＊６６＝２１１２個である。

完全な結果はタイムスロット２１２８で準備ができている。

（６． ２０４８ビットオペランドのための計算）
最初に、Ｔ＝Ｔ＋ａ'［ｉ］・ｂ'がｉ＝０から計算される。

最初の１７個の積を計算し始める。

最初の結果Ｔ［０］は時点１７に準備ができる。そのタイムスロットで、タイムスロット３４の出力である積Ｕｉ＝Ｔ［０］・ｍ'を計算する。タイムスロット１８からＮ_ｗまで、残りの積を計算する。

次の一連の計算は（Ｔ＋Ｕｉ・ｐ）／Ｂであり、これは、タイムスロットＮ_ｗで始まり、タイムスロット２Ｎ_ｗ−１で終わる。

その最初の結果は、タイムスロット２Ｎ_ｗで新しいラウンドが開始したときに準備できる。

Ｎ_ｗ回のラウンドがあるので、タイムスロットの総数はＮ_ｗ・（２Ｎ_ｗ＋１）個である。

完全な結果はタイムスロットＮ_ｗ・（２Ｎ_ｗ＋１）＋１７（＝８２７３（２０４８ビットに対する））で準備ができている。

（７． 基底Ｒを用いるモンゴメリ乗算）
このアルゴリズムは、Ｎ_ｗの値が小さい場合、ならびに、楕円曲線の場合に適している。

Ｂ＝２^３２である（プロセッサのワードサイズは３２ビットであると仮定する）。

Ｒ＝Ｂ^Ｎｗである（Ｎ_ｗは多倍長整数の３２ビットワードの個数である）。

事前に格納された定数：
ｍ'＝−（ｐ^−１） ｍｏｄ Ｒ （ｍ'はＮ_ｗ３２ビット幅である）
素数ｐ
入力：ａ ｍｏｄ ｐ， ｂ ｍｏｄ ｐ
出力：ＭｏｎＰｒｏ（ａ，ｂ）＝ａ・ｂ・Ｒ^−１ ｍｏｄ ｐ
Ｔ ＝ ａ・ｂ
Ｕ ＝ Ｔ・ｍ' ｍｏｄ Ｒ
Ｔ' ＝ Ｔ ＋ Ｕ・ｐ
Ｔ ＝ Ｔ／Ｒ
ｉｆ Ｔ＞ｐ ｔｈｅｎ Ｔ ＝ Ｔ−ｐ
ＧＦ（２^ｎ）上のシステムに対し、全ての加算は２を法とする。ここで、ｍ'は多項式Ｂ＝α^３２の逆数である。

（８． 計算方法）
最初に、完全な積Ｔ＝ａ・ｂが計算される。これは、Ｎ_ｗ ^２回の乗算を要する。最初のＴの結果が既に存在するので、その直後に開始することができる。積Ｔ・ｍ'の中で、Ｒよりも小さい積だけを計算すればよい。

積Ｔ［０］はタイムスロット１７で準備ができる。Ｔ［０］＊（ｍ［０］...ｍ［Ｎ_ｗ−１］）の計算は、タイムスロットＮ_ｗ ^２で始まり、Ｎ_ｗ回の乗算を要する。

積Ｔ［１］はタイムスロット１７＋Ｎ_ｗで準備ができる。Ｔ［１］＊（ｍ［０］...ｍ［Ｎ_ｗ−２］）の計算は、タイムスロットＮ_ｗ ^２＋Ｎ_ｗで始まり、Ｎ_ｗ−１回の乗算を要する。

積Ｔ［２］はタイムスロット１７＋２Ｎ_ｗで準備ができる。Ｔ［２］＊（ｍ［０］...ｍ［Ｎ_ｗ−３］）の計算は、タイムスロットＮ_ｗ ^２＋２Ｎ_ｗ−１で始まり、Ｎ_ｗ−２回の乗算を要し、以下、同様に続く。

積Ｔ［ｊ］はタイムスロット１７＋ｊ・Ｎ_ｗで準備ができる。Ｔ［ｊ］＊（ｍ［０］...ｍ［Ｎ_ｗ−ｊ−１］）の計算は、タイムスロットＮ_ｗ ^２＋（２Ｎ_ｗ−ｊ＋１）・ｊ／２で始まり、Ｎ_ｗ−ｊ回の乗算を要し、以下、同様に続く。

積Ｔ［Ｎ_ｗ−１］はタイムスロット１７＋（Ｎ_ｗ−１）・Ｎ_ｗで準備ができる。Ｔ［Ｎ_ｗ−１］＊ｍ［０］の計算は、タイムスロットＮ_ｗ ^２＋（Ｎ_ｗ＋２）・（Ｎ_ｗ−１）／２で始まり、１回の乗算を要する。

Ｎ_ｗ≧５に対し、積Ｔ［ｊ］は、新しい積Ｔ［ｊ］＊ｍ［０］が始まる前に、常に準備ができていることが証明できる。したがって、待機サイクルは不要である。

Ｕ［０］はタイムスロットタイムスロットＮ_ｗ ^２＋１７で準備ができる。この瞬間から、積Ｕ・ｐが計算される。

最後の乗算がタイムスロットＮ_ｗ ^２＋（Ｎ_ｗ＋２）・（Ｎ_ｗ−１）／２＋１で始まる。Ｎ_ｗ＝５の場合、これはタイムスロット４０であり、Ｕ［０］はタイムスロット４２で始まる。このため、待機サイクルが２回必要である。より大きいＮ_ｗの値の場合は、待機サイクルは不要である。

Ｕ・ｐの計算はＮ_ｗ ^２個のタイムスロットを必要とする。

タイムスロットの総数は、Ｎ_ｗ＞５の場合に、２・Ｎ_ｗ ^２＋（Ｎ_ｗ＋２）・（Ｎ_ｗ−１）／２＋１個である。

タイムスロットの総数は、Ｎ_ｗ＝５の場合に、６７個である。

完全な結果は、２・Ｎ_ｗ ^２＋（Ｎ_ｗ＋２）・（Ｎ_ｗ−１）／２＋１８で準備ができる。

（９． 修正ブースアルゴリズム）
修正ブースアルゴリズムは、部分積を実行するため被乗数の２ビットを利用するように設計される。これは部分積の回数を半分にする。

最初に、乗数Ｙが記録され、ここで、ｙ'_ｉは、−２、−１、０、＋１および＋２の値をとる（符号付き１０進数表記）。

ｙ'_ｉ＝−２・ｙ_ｉ＋１＋ｙ_ｉ＋ｙ_ｉ−１（ｉが偶数値である場合だけに定義される）
Ｙ＝ｙ'_３０・２^３０＋ｙ'_２８・２^２８＋．．．＋ｙ'_０・２^０
ｙ_ｉ'＝−２ｙ_ｉ＋１＋ｙ_ｉ＋ｙ_ｉ−１；
ｙ_ｎ＝０

正しい結果を得るため、積ｙ_０・Ｘからの減算が必要である。

（１０． 並列に実行される減算）
Ｘ＝ｘ_３１・２^３１＋ｘ_３０・２^３０＋．．．ｘ_１・２^１＋ｘ_０・２^０
Ｙ＝ｙ_３１・２^３１＋ｙ_３０・２^３０＋．．．ｙ_１・２^１＋ｙ_０・２^０
Ｗ＝ｗ_３１・２^３１＋ｗ_３０・２^３０＋．．．ｗ_１・２^１＋ｗ_０・２^０
Ｚ＝Ｘ・Ｙ＋Ｗ
この点に関して、図１はパイプライン型乗算器の一実施形態のブロック図である。図中、アスタリスク付きの円は乗算を実行し、プラス記号付きの円は、桁上げ保存(carry-save)演算を含む加算のような加算を実行する。種々のブロックは、その中に示された量を一時的に保持する。よりわかり易くするため、種々の相互接続は、それに沿って転送されるビットのビット順位（bit rankings)を表す。右側では、１列のブロックが必要な補正項を導入するため使用される。

左辺は、Ｚ＝Ｘ・Ｙ＋Ｗ＋ｙ_０・Ｘを計算する。この最後の項は、アルゴリズムの所産である。右辺は、他の計算と並列に最後の項を減算する。これが発明である。

以下の実施形態は乗算がどのようにセットアップされるかを説明するが、実施形態は細部で変化しても構わない。

１番目のタイムスロットで、Ｚ_０＝Ｘ・Ｙ（１：０）＋Ｗ_０が計算され、レジスタＺ_０に格納される。Ｘは２番目のＸレジスタへ転送され、Ｙ（３１：２）は２番目のＹレジスタへ転送される。

２番目のタイムスロットで、Ｚ_１＝Ｘ・Ｙ（３：２）＋Ｚ_０が計算され、レジスタＺ_１に格納される。さらに、Ｘは３番目のＸレジスタへ転送され、Ｙ（３１：２）は３番目のＹレジスタへ転送される。

さらに、−ｙ_０＊Ｘ（１：０）が計算され、Ｚ（１：０）に加えられ、以下同様に続く。

１６番目のタイムスロットで、Ｚ_１５＝Ｘ・Ｙ（３１：３０）＋Ｚ _１４ が計算され、レジスタＺ_１５に格納される。

さらに、−ｙ_０＊Ｘ（３１：３０）が計算され、Ｚ（３１：３０）に加えられる。

ここで、Ｚ_１５は６４ビットを含む。

最後のタイムスロット（１７番）において、上位３２ビットはＺ_１６およびＺ_１５へ転送され、２個の補正ビットが前のＺ_１６の値に加算され、これが出力される。

多倍長整数乗算を実行するとき、Ｙ_ｉは、Ｘ_０、Ｘ_１、．．．、Ｘ_Ｎｗ−１と組み合わせてＮ_ｗ回入力される。多倍長整数計算のはじめに、Ｚ_１６は０にセットされる。Ｘ_０・Ｙ_ｉ＋Ｗが出力Ｚに達したときに限り、Ｚ_１６＝０が加算される。

（１１． ＧＦ（２^ｎ）のモンゴメリ乗算）
楕円曲線計算は、ガロア体ＧＦ（２^ｎ）上で定義することも可能である。ガロア体における全ての加算（ここでは「＋」によって示されている）は、２を法とする剰余系である（排他的論理和）。ガロア体における多項式の次数は、最大で次数ｎ−１である。したがって、ｎ＝３２であるとき、多項式ＸおよびＹは以下の通り定義される（全ての係数は０または１である。）。

Ｘ＝ｘ_３１・α^３１＋ｘ_３０・α^３０＋．．．ｘ_１・α^１＋ｘ_０・α^０
Ｙ＝ｙ_３１・α^３１＋ｙ_３０・α^３０＋．．．ｙ_１・α^１＋ｙ_０・α^０
さらに既約多項式が存在し、この多項式は次のように定義される。

ｐ＝ｐ_ｎ・α^ｎ＋ｐ_ｎ−１・α^ｎ−１＋．．．ｐ_１・α^１＋ｐ_０・α^０
積Ｐ ＝ Ｘ・Ｙ ｍｏｄ ｐ は次式によって計算される。

（ｘ_ｎ−１・α^ｎ−１＋ｘ_ｎ−２・α^ｎ−２＋．．．ｘ_１・α^１＋ｘ_０・α^０）・（ｙ_ｎ−１・α^ｎ−１＋ｙ_ｎ−２・α^ｎ−２＋．．．ｙ_１・α^１＋ｙ_０・α^０） ｍｏｄ ｐ
積Ｘ・Ｙは、次に、多項式ｐによって除算され、その余りが結果である。余りの次数は常にｐの次数よりも低い。

Ｘ、Ｙとｐの双方は多倍長整数で表現することができる。

可約積の計算は、内部の加算が２を法とする剰余系で行われるように修正された標準の積計算によって行うことができる。次に、除算は、加算が２を法とする剰余系であり、余りを保持する点を除いて標準的に行われる。

しかし、より高速なモンゴメリ乗算を実行してもよい。

（１２． モンゴメリ乗算）
モンゴメリ乗算は、積が適当な因子Ｒ、例えば、α^３２またはα^１６０によって割り切れるように、素数（既約多項式）の倍数を（部分）積に加算する。多項式を２進表現した場合には、代わりに２^３２または２^１６０が想定される。以下、ｍ'は、ｍ' ＝ ｐ^−１ ｍｏｄ Ｒとして定義され、ここで、ｐ^−１はｐ・ｐ^−１ ｍｏｄ Ｒ ＝ １のように定義される。

次に、同じアルゴリズムが以下の点を適合させて適用される。

乗算内部の加算は２を法とする剰余系である。

最後の減算は省略される。

この構成をさらに詳細に説明する。上記に加えて、種々のさらなる詳細、実施形態、および、解説が補足として以下に示される。

（１３． 多倍長整数の乗算器および加算器）
定義：
Ｘ＝ｘ_Ｎｗ−１・Ｂ^Ｎｗ−１＋．．．＋ｘ_２・Ｂ^２＋ｘ_１・Ｂ^１＋ｘ_０・Ｂ^０
Ｙ＝ｙ_Ｎｗ−１・Ｂ^Ｎｗ−１＋．．．＋ｙ_２・Ｂ^２＋ｙ_１・Ｂ^１＋ｙ_０・Ｂ^０
Ｐ_ｉ＝ｐ_ｉＮｗ・Ｂ^Ｎｗ−１＋．．．＋ｐ_ｉ２・Ｂ^２＋ｐ_ｉ１・Ｂ^１＋ｐ_ｉ０・Ｂ^０
Ｐ＝ｐ_ｋ・Ｂ^ｋ＋．．．＋ｐ_２・Ｂ^２＋ｐ_１・Ｂ^１＋ｐ_ｉ０・Ｂ^０（ここで、ｋ＝２^Ｎｗー１）
Ｂ＝２^３２
ｍ＝Ｎ_ｗ−１
多倍長整数乗算は、２個の３２ビットワードの多数の乗算を含む。この実施形態は、パイプライン型３２ビット乗算器（図１および４を参照）を使用し、この乗算器は、あらゆるタイムスロットで、３個の新しい３２ビットオペランド（Ｘ＊Ｙ＋Ｚ）を受け取る。このような乗算器は非常に高速である。しかし、乗算器の出力は、１７タイムスロット後にようやく準備ができている。したがって、最大で１７の乗算が同時に計算される。しかし、進行中の乗算の結果を用いて乗算をしたいとき、結果の準備ができるまで待たなければならない。これは、待機サイクルを持ち込む可能性があり、性能を低下させるであろう。

Ｚ ＝ Ｘ・Ｙ ＋ Ｗ
Ｚ ＝ Ｘ・｛Ｙ_０・Ｂ^０ ＋ Ｙ_１・Ｂ^１ ＋ ．． Ｙ_ｍ・Ｂ^ｍ｝ ＋ Ｗ
Ｚ、ＸおよびＷは、Ｎ_ｗ−１個の３２ビットワードのサイズをもつ。Ｙ_ｉは３２ビットの幅である。

Ｗ ＝ Ｗ_０・Ｂ^０ ＋ Ｗ_１・Ｂ^１ ＋ ．． Ｗ_ｍ・Ｂ^ｍ｝
中間結果は、
Ｗ_ｉ ＝ Ｗ_ｉ１・Ｂ^０ ＋ Ｗ_ｉ２・Ｂ^１ ＋ ．． Ｗ_{ｉ，ｍ＋１}・Ｂ^ｍ
である。

Ｐ_０ ＝ Ｘ・Ｙ_０ ＋ Ｗが計算される。その結果は、Ｐ_０ ＝ Ｗ_０・Ｂ ＋ Ｚ_０に分けられる。

Ｐ_１ ＝ Ｘ・Ｙ_１ ＋ Ｗ_０が計算される。その結果は、Ｐ_１ ＝ Ｗ_１・Ｂ ＋ Ｚ_１に分けられる。

Ｐ_２ ＝ Ｘ・Ｙ_２ ＋ Ｗ_１が計算される。その結果は、Ｐ_２ ＝ Ｗ_２・Ｂ ＋ Ｚ_２に分けられる。

．．．
Ｐ_ｍ ＝ Ｘ・Ｙ_ｍ ＋ Ｗ_ｍ−１が計算される。

Ｚ_ｊ ＝ Ｐ_ｍ，ｊ 但し、ｊ≧ｍ
したがって、Ｐ_ｉ ＝ Ｘ・Ｙ_ｉ ＋ Ｗ_ｉを計算する関数が必要である。

この点に関して、図２は、（Ｘ＊Ｙ＋Ｗ）を計算する構成のブロック図である。

Ｐ_ｉ ＝ Ｘ・Ｙ_ｉ ＋ Ｗ
この計算は前述の計算の一部である。ＸおよびＷのサイズは、ｍ＝（Ｎ_ｗ−１）個の３２ビットワードである。Ｙ_ｉは３２ビットの幅である。

Ｓ_１ ＝ ｘ_０・ｙ_ｉ ＋ ｗ_０が計算される。Ｓ_１は、Ｚ_１・Ｂ ＋ Ｐ_０に分けられる。

Ｓ_２ ＝ ｘ_１・ｙ_１ ＋ ｗ_１ ＋ Ｚ_１が計算される。Ｓ_２は、Ｚ_２・Ｂ ＋ Ｐ_１に分けられ、以下同様に続く。

Ｓ_ｍ ＝ ｘ_ｍ・ｙ_１ ＋ ｗ_ｍ ＋ Ｚ_ｍ−１が計算される。Ｓ_ｍは、Ｐ_ｍ＋１・Ｂ ＋ Ｐ_ｍに分けられる。

関連した実施形態が図３に示され、図３は、（Ｘ＊Ｙ＋Ｗ）に従って多倍長整数乗算を実行する構成のブロック図である。

Ｓ ＝ ｘ・ｙ ＋ ｗ ＋ ｚの計算は、既に部分的に説明した図１のパイプライン型乗算器によって行われる。

ＧＦ（２^ｎ）上の計算のため、加算は２を法とする剰余系である。したがって、桁上げはない。

（１４． パイプライン型乗算器）
Ｘ＝ｘ_３１・２^３１＋ｘ_３０・２^３０＋．．．ｘ_１・２^１＋ｘ_０・２^０
Ｙ＝ｙ_３１・２^３１＋ｙ_３０・２^３０＋．．．ｙ_１・２^１＋ｙ_０・２^０
Ｗ＝ｗ_３１・２^３１＋ｗ_３０・２^３０＋．．．ｗ_１・２^１＋ｗ_０・２^０
Ｚ＝Ｘ・Ｙ＋Ｗ
左辺は、Ｚ ＝ Ｘ・Ｙ ＋ Ｗ ＋ ｙ_０・Ｘを計算する。この最後の項は、使用されたアルゴリズムの所産である。右辺は最後の項を減算する。

次に、乗算をセットアップする方法についてのアイデアを示すが、実施形態は詳細において変化しても構わない。

１番目のタイムスロットで、Ｚ_０ ＝ Ｘ・Ｙ（１：０） ＋ Ｗ_０が計算され、レジスタＺ_０に格納される。Ｘは２番目のＸレジスタへ転送され、Ｙ（３１：２）は２番目のＹレジスタへ転送される。

２番目のタイムスロットで、Ｚ_１ ＝ Ｘ・Ｙ（３：２） ＋ Ｚ_０が計算され、レジスタＺ_１に格納される。Ｘは３番目のＸレジスタへ転送され、Ｙ（３１：２）は３番目のＹレジスタへ転送される。

さらに、−ｙ_０＊Ｘ（１：０）が計算され、Ｚ（１：０）に加えられる。

・・・以下同様に続く。

１６番目のタイムスロットで、Ｚ_１５ ＝ Ｘ・Ｙ（３１：３０） ＋ Ｚ_１５が計算され、レジスタＺ_１５に格納される。

さらに、−ｙ_０＊Ｘ（３１：３０）が計算され、Ｚ（３１：３０）に加えられる。ここで、Ｚ_１５は６４ビットを含む。

最後のタイムスロット（１７番）において、上位３２ビットはＺ_１６およびＺ_１５へ転送され、２個の訂正ビットが前のＺ_１６の値に加算され、これが出力される。

第１３パラグラフで説明したように多倍長整数乗算を実行するとき、Ｙ_ｉは、Ｘ_０、Ｘ_１、．．．、Ｘ_Ｎｗ−１と組み合わせてＮ_ｗ回入力される。Ｘ_０・Ｙ_ｉ ＋ Ｗが出力Ｚに達したとき、Ｚ_１６の内容が加算されるのではなく、何も加算されない。Ｚ_１６は第１３パラグラフのＺ_ｉの関数であり、その部分がある乗算から次の乗算へ転送される。

（１５． 修正ブースアルゴリズム）
最初に、乗数Ｙが記録され、ここで、ｙ'_ｉは、−２、−１、０、＋１および＋２の値をとる（符号付き１０進数表記）。

ｙ'_ｉ＝−２・ｙ_ｉ＋１＋ｙ_ｉ＋ｙ_ｉ−１（ｉが偶数値である場合だけに定義される）
Ｙ＝ｙ'_３０・２^３０＋ｙ'_２８・２^２８＋．．．＋ｙ'_０・２^０
例えば、ｙ＝２９_ｄｅｃ＝０１１１０１_ｂｉｎであるならば、ｙ'＝（２ １ １）_ｓｄ＝２・２^４−１・２^２＋１＝２９_ｄｅｃであり、ここで、１は−１を表す。

使用される式は、修正ブースアルゴリズムに関する前のパラグラフ（第９パラグラフ）で説明した式である。

正しい結果を得るため、積ｙ_０・Ｘからの減算が必要である。

２による乗算は、被乗数を左へ１ビットシフトする。

部分積は、基数２の表記でコード化され、ここで、全ての積は、−１、０または＋１の値をとり得る。

次に、積が１６段のステージで計算される。あらゆるステージで、部分積ｙ'_ｉ・Ｘ・２^ｉが計算され、前の結果に加算され、例えば、ｘ＝５３_ｄｅｃ＝１１０１０１_ｂｉｎ、かつ、ｙ＝２９（ｙ'＝（２ １ １）_ｓｄ）である。

３２ビットオペランドの場合、１５回の加算を実行しなければならない。これは、標準の全加算器では桁上げを波及させる必要があるので、非常に長時間を要する。これを回避するため、桁上げ伝播の無い加算器を使用する。この点に関して、図５は桁上げ伝播の無い加算器の構成を示す図である。

（１６． 冗長２進表記）
加算器の被加数および加数は冗長２進表記で表され、この表記は符号付き桁表記でもある。それは、固定基数２と、数字セット｛１， ０， １｝とをもち、ここで、ここで、１は−１を表す。ｎ桁の冗長２進整数Ｙの値は、ｙ_ｎ−１・２^ｎ−１＋ｙ_ｎ−２・２^ｎ−２＋．．．＋ｙ_１・２^１＋ｙ_０・２^０であり、ここで、ｙ_ｉの値は、−１、０または１である。

整数は様々な冗長２進表記で表現することができ、例えば、［０１０１］_ＳＤ２＝［０１１１］_ＳＤ２＝［１１０１］_ＳＤ２＝［１１１１］_ＳＤ２＝［１０１１］_ＳＤ２＝５_ｄｅｃである。「０」だけは唯一の表現形式：［００．．．０］を持つ。

通常の２進表記から冗長２進表記への変換は簡単であり、どちらでも同じである。

冗長２進表記から通常の２進表記への変換は、以下の減算：Ｘ_ｂｉｎ ＝ Ｘ^＋ − Ｘ⁻によって行われ、ここで、Ｘ^＋は、すべての「１」を「０」で置換することによってＸ_ｓｄ２から得られ、Ｘ⁻は、すべての「１」を「０」で置換し、すべての「１」を「１」で置換することによってＸ_ｓｄ２から得られる。例えば、Ｘ＝［１０１１］_ＳＤ２＝５_ｄｅｃであるならば、Ｘ^＋＝［１０００］_ｂｉｎ＝８_ｄｅｃであり、Ｘ⁻＝［００１１］_ｂｉｎ＝３_ｄｅｃである。

変数の否定は、すべての「１」を「１」で置換し、「１」を「１」で置換することによって行われる。例えば、Ｘ＝［１０１１］_ＳＤ２＝５_ｄｅｃであるならば、−Ｘ＝［１０１１］_ＳＤ２＝−５_ｄｅｃである。

変数は次のように符号化する（表１を参照せよ）。

組み合わせ１１は決して使用されない。

したがって、Ｘが入力され、Ｘ＝１であるとき、条件ｘ^＋＝１は満足する。同様に、Ｘ＝１であるとき、ｘ⁻＝１が満足する。

（１７． 桁上げ伝播の無い加算器）
この表現は、起こり得る桁上げが次の桁で吸収され、次の桁上げに影響を与えないように選択される。したがって、このような加算器の速度は、３２ビット全加算器の速度よりもかなり速い。

３２＊３２ビット乗算器に関しては、１６回の加算がある（前の乗算の上側の最上位ワードが含まれる）。次に、最後だけで、冗長２進表記が通常の２進表記に変換される。この変換は伝播無しではない。

加算は、（理論的には）２ステップで行われる。最初に、中間の和ｓ_ｉと中間の桁上げｃ_ｉが計算される。次のステップで、両方は最終的な和（ｓｕｍ_ｉ）に変換される。この中間の桁上げは、最大で現在および前の桁の値に依存するが、それよりも前の桁の値には依存しない。

ｃ_ｉおよびｓ_ｉは、次式：２ｃ_ｉ ＋ ｓ_ｉ ＝ ｘ_ｉ ＋ ｙ_ｉを満足する。さらに、ｃ_ｉ−１およびｓ_ｉは、両方が決して１と１にならないように選択される。

この点に関して、図６は、中間のキャリーおよび和の量の生成を説明する図表である。

和Ｓ_ｉ ＝ ｃ_ｉ ＋ ｓ_ｉ−１は、新しいキャリーを与えない。

タイプ１、３、４および６： ｃ_ｉ−１ ＋ ｓ_ｉ ＝ ｃ_ｉ−１
タイプ２ａ、５ａ： ｃ_ｉ−１ ≠ １、即ち、０または１であるので、ｃ_ｉ−１ ＋ ｓ_ｉは、１または０である。

タイプ２ｂ、５ｂ： ｃ_ｉ−１ ≠ １、即ち、０または１であるので、ｃ_ｉ−１ ＋ ｓ_ｉは、１または０である。

これは以下の例によって説明される。

Ｘ ［１ ０ １ ０ １ ０ ０ １］_ｓｄ２ ＝ ８７_ｄｅｃ
Ｙ ［１ １ １ ０ ０ １ １ １］_ｓｄ２ ＝ １０１_ｄｅｃ
−−−−−−−−−−−＋
Ｓ ０ １ ０ ０ １ １ １ ０
Ｃ １ １ ０ ０ ０ １ ０ １
ー−−−−−−−−−−−＋
Ｓｕｍ １ １ １ ０ ０ ０ １ ０ ０ ＝ １８８_ｄｅｃ
（１８． 通常の２進表記への変換）
最後のステージにおいて、結果は通常の２進表記へ変換される。Ｘ ＝ Ｘ^＋ − Ｘ⁻ であり、ここで、Ｘ^＋は全てのｘ_ｉ ^＋により形成され、Ｘ⁻は全てのｘ_ｉ ⁻により形成される。

ｘ_ｉ ^＋およびｘ_ｉ ⁻は決して同時に１ではないので、全減算器は不要である。したがって、異なる方法を試す。

ここでは、右から左までの全ての１を除去する。

右からの借りが無いとき：
次の桁が「１」であるとき、その桁が維持され、左への借りは無い。

次の桁が「０」であるとき、その桁が維持され、左への借りは無い。

次の桁が「１」であるとき、その「１」は「１」によって置換され、左への借りがある。

右からの借りがあるとき：
次の桁が「１」であるとき、その「１」は「０」によって置換され、左への借りは無い。

次の桁が「０」であるとき、その「０」は「１」によって置換され、左への借りがある。

次の桁が「１」であるとき、その「１」は「０」によって置換され、左への借りがある。

しかし、最も左の桁が「１」であり、最も右の桁が「１」であり、その間の全ての桁が「０」であるならば（１０．．．０１）、これは非常に大きい遅延を生じさせるであろう。

遅延を減少させるため、３２ビットを４ビットずつの８個のグループに分ける。

最も左の非零の桁が「１」であるとき、次の左のグループへの借りが生成される。

このグループに少なくとも１個の「１」が存在するとき、右のグループからの借りは次のグループへ伝播しない。

（１９． ＧＦ（２Ｎ）用の乗算器ロジック）
Ｘ＝ｘ_３１・α^３１＋ｘ_３０・α^３０＋．．．ｘ_１・α^１＋ｘ_０・α^０
Ｙ＝ｙ_３１・α^３１＋ｙ_３０・α^３０＋．．．ｙ_１・α^１＋ｙ_０・α^０
Ｗ＝ｗ_３１・α^３１＋ｗ_３０・α^３０＋．．．ｗ_１・α^１＋ｗ_０・α^０
上記ベクトルを表現するため、上記式の「α」を「２」と読んでも構わない。

なお、上記数式において、＋を丸で囲んだ記号は排他的論理和を表している。
ブース符号化に関してＧＦ（２^ｎ）に等価なものはない。

１番目のタイムスロットで（図４を参照）、Ｘ・Ｙ（１：０）とＷとの排他的論理和が計算され、レジスタＺ_０に格納される。Ｘは２番目のＸレジスタへ転送され、Ｙ（３１：２）は２番目のＹレジスタ（Ｙ）へ転送される。

２番目のタイムスロットで、Ｘ・Ｙ（３：２）とＺ_０との排他的論理和が計算され、レジスタＺ_０に格納される。Ｘは２番目のＸレジスタへ転送され、Ｙ（３１：４）は３番目のＹレジスタ（Ｙ）へ転送される。

１６番目のタイムスロットで、Ｚ_１５＝Ｘ・Ｙ（３１：３０）とＺ_１５との排他的論理和が計算され、レジスタＺ_１５に格納される。

ここで、Ｚ_１５は６４ビットを収容する。

最後のタイムスロット（１７番）において、上位３２ビットはＺ_１６へ転送され、Ｚ_１５は前のＺ_１６の値に加算され、これが出力される。

第１３パラグラフで説明したように多倍長整数乗算を実行するとき、Ｙ_ｉは、Ｘ_０、Ｘ_１、．．．、Ｘ_Ｎｗ−１と組み合わせてＮ_ｗ回入力される。Ｘ_０．Ｙ_ｉ Ｗが出力Ｚに達したとき、Ｚ_１６の内容が加算されるのではなく、何も加算されない。Ｚ_１６は第１３パラグラフのＺ_ｉの関数であり、その部分がある乗算から次の乗算へ転送される。

特に、図４は、ＧＦ（２^ｎ）で動作するパイプライン型乗算器の実施形態の構成の説明図である。

（加算）
加算は２個の変数の排他的論理和(exor)である。桁上げはない。

（符号化）
ロジックをＧＦ（ｐ）のそれと合成するため、以下の冗長符号化を使用すべきである。したがって、Ｘ ＝ ｘ^＋ ＾ ｘ⁻であり、ここで、＾は、論理的なＯＲ演算を表す。

（２０． ＧＦ（ｐ）とＧＦ（２^ｎ）の両方のためのロジック）
両方の乗算器ステージは、次の構造ｚ_ｊ ＝ ａ_ｉ・ｘ_ｊ−１ ｂ_ｉ・ｘ_ｊを使用する。

ＧＦ（ｐ）
ＧＦｐ ＝ １
ｙ'_ｉ ＝ −２・ｙ_ｉ＋１ ＋ ｙ_ｉ ＋ ｙ_ｉ−１ （但し、ｉは奇数の場合だけ、以下の表３を参照）

ＧＦ（２^ｎ）

合成後

（２１． 桁上げ伝播の無い加算）

表４は、表１に従って符号化した図６と同じである。

Ｓ_ｉ ＝ ｃ_ｉ−１ ＋ ｓ_ｉ

（２２． ＧＦ（２^ｎ））
Ｓ_ｉ は、ｘ_ｉ とｙ_ｉ との排他的論理和の演算によって計算される。
ＧＦ（ｐ）システムにおける桁上げを抑えた場合、ＧＦ（ｐ）の規則に従って生成されたＳ_ｉ、即ち、表２に従って符号化されたＳ_ｉが正しい答えを与えることは明らかである。

合成ロジック

（２３． 冗長２進から２進への変換）
入力は、ｘ_ｉ ＝ ｛１， ０， １｝となるベクトルＸである。出力は、ｙ_ｉ ＝ ｛０， １｝となるベクトルＹである。このベクトルＸは、４ビットずつの８個のグループに分割され、ｉ ＝ ４ｍ＋ｎ （ｎ＝０．．３， ｍ＝０．．７）である。

グループ間：
グループ借りｇ_ｍは、このグループの最も左の非零の桁が「１」であるときに生成される。

グループ借りｇ_ｍ−１が伝播するのは、グループが全く「１」を含まないときである（ｇ_ｍ ＝ ｇ_ｍ−１）。

グループ内：
借りｂ_ｉは、桁が「１」であるときに生成される。

借りｂ_ｉ−１は、桁が「１」ではないとき、即ち、ｂ_ｉ ＝ ｂ_ｉ−１であるときに伝播する。

（２４． ＧＦ（２^ｎ））
この変換は、借りが無いので簡単である。全ての借りを抑えた場合、ＧＦ（ｐ）の回路は正しい答えを与える。

合成ロジック

パイプライン型乗算器
図１に示されたようなパイプライン型乗算器はＧＦ（２^ｎ）のためにも使用可能であるが、−Ｙ［０］を右辺で「０」にセットしなければならない。その他の全ての適合については上記の通りである。

パイプライン型乗算器のブロック図である。 多倍長整数乗算Ｘ＊Ｙ＋Ｗのブロック図である。 多倍長乗算Ｘ_ｉ・Ｙ＋Ｗのブロック図である。 ガロア体ＧＦ（２^ｎ）用のパイプライン型乗算器である。 桁上げ伝播の無い加算器の処理説明図である。 中間の桁上げおよび和の量を示す図表である。

Claims (4)

1. 素数（ｐ）を法とする剰余系で第１の多倍長整数エンティティ（Ｘ）に第２の多倍長整数エンティティ（Ｙ）を乗算する乗算器装置であって、
   前記乗算器装置は、パイプライン型乗算器コアを含み、修正ブースアルゴリズムと、（ｉ）前記第２の多倍長整数エンティティ（Ｙ）の最下位部分（ｙ_０）と（ｉｉ）前記第１の多倍長整数エンティティ（Ｘ）との積を前記アルゴリズムの結果から減算する減算ステップとを用いて、全体的な乗算をモンゴメリ形式で実行することが可能であることを特徴とする乗算器装置。
2. 前記アルゴリズムの結果は、前記積Ｘ＊Ｙと積ｙ_０＊Ｘの合計値であることを特徴とする請求項１記載の乗算器装置。
3. 前記乗算器装置は、並列的にｙ_０＊Ｘの積を減算することが可能である請求項１又は２記載の乗算器装置。
4. 桁上げ伝播の無い加算器をさらに備えることを特徴とする請求項１乃至３のいずれか一に記載の乗算器装置。

Images