JP5147085B2

JP5147085B2 - 演算方法及び演算装置

Info

Publication number: JP5147085B2
Application number: JP2009526507A
Authority: JP
Inventors: 保之野上; 英洋加藤; 良孝森川; 健太根角
Original assignee: 国立大学法人岡山大学
Priority date: 2007-08-09
Filing date: 2008-08-09
Publication date: 2013-02-20
Anticipated expiration: 2028-08-09
Also published as: EP2189963A1; CN101809638A; JPWO2009020216A1; WO2009020216A1; US20110216899A1; US8300808B2

Description

本発明は、演算方法及び演算装置に関し、特にべき乗算又はスカラー倍算の演算方法又はその演算装置に関する。

従来、公開鍵暗号などの暗号化方法を用いた場合には、暗号化される平文のデータと、暗号化用の鍵との乗算を行って暗号データを生成している。また、暗号データの復号は、暗号データと復号用の鍵との乗算によって行っている。

この場合、平文のデータと暗号化用の鍵、及び暗号データと復号用の鍵は、それぞれ拡大体の元としており、拡大体の乗算を行っていることとなっている。

例えば、Elgamal暗号では、標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^mを用い、特に、暗号データの第三者による解読に対する安全性を確保するために鍵長を2000ビットとしている。この場合、拡大体の非零元Ａに対して、2000ビットの正整数ｎ＜p^mを用いて、Aⁿのようなべき乗の演算を行う必要がある。

なお、一般的には、拡大体Ｆ_ｐ ^mを構成するために、拡大体Ｆ_ｐ上のｍ次既約多項式f(x)を準備し、その零点をω∈Ｆ_ｐ ^mとして、以下の基底を準備している。
{１，ω，ω²，・・・，ω^m-1}

この基底は、特に多項式基底と呼ばれ、任意の元Ａ∈Ｆ_ｐ ^mは、次式で表されることとなる。
Ａ＝a₀＋a₁ω＋・・・＋a_m-1ω^m-1

すなわち、元Ａのベクトル表現は、v_A＝(a₀，a₁，...，a_m-1)となる。

また、以下に示すωのＦ_ｐに関する共役元の集合が基底を成すときには、正規基底と呼ばれる。

この正規基底は、以下に示すようにフロベニウス写像に適した基底であり、Ｆ_ｐ ^mの任意の元Ａを以下のように考えると、

フロベニウス写像が以下のように与えられる。

すなわち、正規基底を用いればフロベニウス写像には数学的な計算が必要ないことがわかる。以下において、本発明では、ｉ回のフロベニウス写像を以下のように表記することとする。

べき乗の演算は、暗号化及び復号の演算処理に要する時間に大きく影響しており、べき乗の演算の高速化が暗号化及び復号の演算処理の高速化に繋がるため、べき乗の演算を高速に行う様々な方法が提案されている。

その一つとして、バイナリ法が知られている（例えば、非特許文献１参照。）。例えば、楕円曲線関数におけるスカラー倍算の「５５Ｐ」（Ｐは楕円曲線上の点）を演算する場合、「５５」が２進数において「１１０１１１」であることから、
(１１０１１１)₂Ｐ＝２(２(２²(２Ｐ＋Ｐ)＋Ｐ)＋Ｐ)＋Ｐ
として演算を行うことにより演算回数を削減して高速化しているものである。ここで「(
)₂」は２進数表記であることを示している。このバイナリ法では、平均的にFlr(log₂(n))回の自乗算と、Flr(log₂(n))/2回の乗算が必要になっている。

また、Window法と呼ばれる方法が提案されている（例えば、非特許文献２参照。）。Window法では、例えば窓サイズを３とした場合、元Ａに対してあらかじめA²,A³,A⁴,A⁵,A⁶,A⁷の各コンポーネントを準備しておき、A³¹⁸を演算する場合には、「３１８」が2進数表記で「１００１１１１１０」であることを利用して、

とし、(１００)₂＝４，(１１１)₂＝７，(１１０)₂＝６であるので、A⁴,A⁶,A⁷のコンポーネントを用いて演算を行うものである。ここで、各コンポーネントを準備するための計算を除けば、Window法では、Flr(log₂n)-w回の自乗算と、Flr(log₂n/w)の乗算が必要になっている。
H.Cohen and G.Frey et al,「Handbook of elliptic and hyperellipticcurve cryptography」,published by Chapman & Hall/CRC, 2006, p.146． H.Cohen and G.Frey et al,「Handbook of elliptic and hyperelliptic curve cryptography」,published by Chapman & Hall/CRC, 2006, p.149．吉田知輝、加藤英洋、根角健太、野上保之、森川良孝,"ペアリング暗号に効果的な拡大体上べき乗算に関する一考察",Tech. Rep. of IEICE, ISEC vol. 108, no. 162, pp. 101-108, 2008．

しかしながら、昨今、暗号データの解読を防止するために暗号化鍵及び復号鍵の鍵長がさらに長くなっており、バイナリ法やWindow法ではべき乗算又はスカラー倍算に要する時間の更なる短縮化が困難なことから、暗号化及び復号に要する時間が長くなりすぎているという問題があった。

本発明者らは、このような現状に鑑み、べき乗算やスカラー倍算などの演算をより高速で実行可能とすることにより暗号化及び復号の処理時間の短縮化を図るべく研究を行って、本発明を成すに至ったものである。

本発明のべき乗算の演算方法では、標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^mの元Ａのべき乗算Ａ^ｎを、指数部ｎのｐ進数表現である

を用いて、フロベニウス写像により

と表されるべき乗算を、演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算方法において、前記演算部が、前記指数部ｎのｐの所定次数の項と、この項の次数よりも一次だけ高次の項または一次以上高次の複数の項とを１組として、前記指数部ｎを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をｐ進数表示として前記係数による元Ａのべき乗算が行われた場合の各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータを桁ごとに設定してその記憶領域を前記記憶部に確保するステップと、前記テンポラリデータの値を、このテンポラリデータで値が存在しているとされた桁における乗数を用いて特定し、前記記憶部に記憶するステップと、所定の前記テンポラリデータどうしを乗算した結果を、各組の前記係数でのべき乗算の結果として前記記憶部に記憶するステップを有することとした。これにより、べき乗算の演算を高速に行うことができる。

また、本発明のべき乗算の演算方法では、前記演算部が、所定の前記テンポラリデータどうしを乗算して、各組の前記係数でのべき乗算の結果を演算する際に、共通して乗算するテンポラリデータの組み合わせを特定するステップと、前記テンポラリデータの組み合わせを用いて、各組の前記係数でのべき乗算の結果を演算するステップとを有することとした。これにより、演算回数を削減し、べき乗算の高速化を図ることができる。

また、本発明のスカラー倍算の演算方法では、標数ｐ、有限体Ｆ_ｐの次数ｍの拡大体をＦ_ｐ ^ｍ、有理点の総数を＃Ｅ（Ｆ_ｐ ^ｍ）、無限遠点をＯ、有限体Ｆ_ｐ上の楕円曲線が次式で表され、

任意の有理点Ａは次式を満たし、

スカラー部[ｎ]をψ進数展開した

と表されるスカラー倍算を、演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算方法において、前記演算部が、前記指数部ｉの写像ψの所定次数の項と、この項の次数よりも１次だけ高次の項または１次以上の高次の項の複数の項とを１組として、前記写像Ｆを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定するステップと、この係数をψ進数表示として、前記係数による元Ａの加算が行われる場合の各組でのψ進数表示の同一の桁に値が存在しているか否か示す指標を有するテンポラリデータを桁ごとに設定してその値を前記記憶部に記憶するステップと、前記各係数を構成するψ進数の各[ｎ_ｉ]Ａを、このテンポラリデータどうしを加算した結果により特定して前記記憶部に記憶するステップと、を有することとした。これにより、加算回数を減少させ、スカラー倍算の演算速度の高速化を図ることができる。

また、本発明のべき乗算の演算装置では、標数ｐ、拡大次数ｍの拡大体F_p ^mの元Ａのべき乗算Aⁿを、指数部ｎのｐ進数表現である

を用いて、フロベニウス写像により

と表されるべき乗算の演算装置において、前記指数部ｎのｐの所定次数の項と、この項の次数よりも一次だけ高次の項または一次以上高次の複数の項とを１組として、前記指数部ｎを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をｐ進数表示として前記係数による元Ａのべき乗算が行われた場合の各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータを桁ごとに設定して、このテンポラリデータで値が存在しているとされた桁における乗数を用いて特定したテンポラリデータの値を記憶する記憶部と、所定の前記テンポラリデータどうしを乗算した結果を、各組の前記係数でのべき乗算の結果として記憶する記憶部とを備えることとした。このように構成することによりべき乗算の演算を高速に行うことができる。

また、本発明のべき乗算の演算装置では、所定の前記テンポラリデータどうしを乗算して、各組の前記係数でのべき乗算の結果を演算する際に、共通して乗算するテンポラリデータの組み合わせを特定し、このテンポラリデータの組み合わせを用いて、各組の前記係数でのべき乗算の結果を演算して記憶する記憶部を備えることとした。

また、本発明のスカラー倍算の演算装置では、標数ｐ、有限体Ｆ_ｐの次数ｍの拡大体をＦ_ｐ ^ｍ、有理点の総数を＃Ｅ（Ｆ_ｐ ^ｍ）、無限遠点をＯ、有限体Ｆ_ｐ上の楕円曲線が次式で表され、

任意の有理点Ａは次式を満たし、

スカラー部[ｎ]をψ進数展開した

と表されるスカラー倍算を行う演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算装置において、前記指数部ｉの写像ψの所定次数の項と、この項の次数よりも１次だけ高次の項または１次以上の高次の項の複数の項とを１組として、前記写像Ｆを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をψ進数表示として、前記係数による元Ａの加算が行われる場合の各組でのψ進数表示の同一の桁に値が存在しているか否か示す指標を有するテンポラリデータを桁ごとに設定して記憶する前記記憶部と、前記各係数を構成するψ進数の各[ｎ_ｉ]Ａを、このテンポラリデータどうしを加算した結果により特定して記憶する前記記憶部と、を備えたこととした。このように構成することによりスカラー倍算の演算を高速に行うことができる。

本発明では、所定次数の項と、この項の次数よりも一次だけ高次の項または一次以上高次の複数の項とを１組として複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をｐ進数表示として係数による元Ａの演算が行われた場合の各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータを桁ごとに設定して、演算を高速に行うことができる。

テンポラリデータの説明図である。べき乗算の演算プログラムのフローチャートである。べき乗算の演算装置のブロック図である。他のべき乗算の演算プログラム（段階０の処理）のフローチャートである。他のべき乗算の演算プログラム（段階１から段階（Ｈ−１）の処理）のフローチャートである。他のべき乗算の演算プログラム（段階Ｈの処理）のフローチャートである。計算イメージを表すイメージ図である。スカラー倍算の演算プログラムのフローチャートである。

符号の説明

10 半導体基板
20 演算部
30 記憶部
40 入出力部
50 データバス

以下の説明において、Floor記号

やCeiling記号

は、説明の便宜上、

として表記することにする。

＜べき乗算の実施形態１＞

本発明のべき乗算の演算方法及びべき乗算の演算装置では、同じ乗算が必要となる部分を効率よく抽出してテンポラリデータとし、このテンポラリデータの値を別途の乗算によって求めることにより、必要となる乗算回数を大きく削減するものである。

特に、標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^mの元Ａのべき乗算Aⁿを指数部ｎのｐ進数表現である

を用いて、フロベニウス写像により

と表されるべき乗算を行うものである。

説明の便宜上、ｓ＝Flr(log_pn)＝５、Flr(log₂(p-1))＝４とする。また、Ａのn_i乗をA[i]で表すこととする。

この場合、指数部ｎを展開して表記すると以下のようになる。
ｎ＝n₅p⁵＋n₄p⁴＋n₃p³＋n₂p²＋n₁p＋n₀

この指数部ｎに対してｐの偶数次ごとにくくることにより、指数部ｎを以下のように表記することができる。
ｎ＝(n₅p＋n₄)p⁴＋(n₃p＋n₂)p²＋(n₁p＋n₀)
すなわち、ここでは、ｐの４次と４次より一次だけ高次の５次とを１組とし、ｐの２次と２次より一次だけ高次の３次とを１組とし、残りのｐの０次と０次より一次だけ高次の１次とを１組とした３組に分割している。説明の便宜上、ｐの０次と１次とからなる組を第０組、ｐの２次と３次とからなる組を第１組、ｐの４次と５次とからなる組を第２組と呼ぶこととする。

ここで、
r₀＝n₁p＋n₀
r₁＝n₃p＋n₂
r₂＝n₅p＋n₄
とすると、指数部ｎを以下のように表記することができる。
ｎ＝r₂p⁴＋r₁p²＋r₀
説明の便宜上、r₀を第０係数、r₁を第１係数、r₂を第２係数と呼ぶこととする。

したがって、元Ａのべき乗算Aⁿは第０係数r₀、第１係数r₁、第２係数r₂を用いて以下のように表記できる。

一方、説明の便宜上、ｐの各次の係数n₀,n₁,n₂,n₃,n₄,n₅を２進数表現で以下の値とする。
n₀＝(１１１０)₂
n₁＝(１００１)₂
n₂＝(１１１０)₂
n₃＝(１１０１)₂
n₄＝(０１０１)₂
n₅＝(１１１１)₂

この場合、以下のとおりとなる。
A[0]＝A⁸A⁴A²
A[1]＝A⁸A¹
A[2]＝A⁸A⁴A²
A[3]＝A⁸A⁴A¹
A[4]＝A⁴A¹
A[5]＝A⁸A⁴A²A¹

すなわち、以下のように表記できることとなる。

本発明では、これを演算するのではなく、図１に示すように、新たなテンポラリデータを導入するものである。すなわち、それぞれ２進数表示とした第０係数r₀、第１係数r₁、第２係数r₂で元Ａのべき乗算が行われた場合の、各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータC_efgを桁ごとに設定する。

テンポラリデータを示すC_efgにおける下付き文字ｅ，ｆ，ｇのうち、ｅは第２組の指標、ｆは第１組の指標、ｇは第０組の指標である。

そして、図１の場合、Ψ₁(A⁸)とΨ₁(A¹)とA⁴の桁では第０組と第１組と第２組にそれぞれ値が存在するためにC₁₁₁とし、Ψ₁(A⁴)の桁では第０組に値がなく、第１組と第２組にそれぞれ値が存在するためにC₁₁₀とし、Ψ₁(A²)とA¹の桁では第０組と第１組に値がなく、第２組に値が存在するためにC₁₀₀とし、A⁸とA²の桁では第０組と第１組にそれぞれ値が存在して、第２組に値が存在しないためにC₀₁₁としている。

理解しやすいようにまとめると、以下のとおりとなる。
C₁₁₁←Ψ₁(A⁸)，Ψ₁(A¹)，A⁴の桁
C₁₁₀←Ψ₁(A⁴)の桁
C₁₀₀←Ψ₁(A²)，A¹の桁
C₀₁₁←A⁸，A²の桁

そして、各テンポラリデータの値を以下のとおりとする。
C₁₁₁＝Ψ₁(A⁸A¹)A⁴
C₁₁₀＝Ψ₁(A⁴)
C₁₀₀＝Ψ₁(A²)A¹
C₀₁₁＝A⁸A²

また、説明に用いたｐの各次の係数n₀,n₁,n₂,n₃,n₄,n₅の関係上、たまたま値が存在しないテンポラリデータであるその他のテンポラリデータは全て「１」とする。すなわち、以下のとおりである。
C₁₀₁＝C₀₁₀＝C₀₀₁＝１

このようなテンポラリデータを導入すると、元Ａの第０係数r₀によるべき乗、元Ａの第１係数r₁によるべき乗、元Ａの第２係数r₂によるべき乗を、これらのテンポラリデータを用いてそれぞれ演算することができる。

すなわち、元Ａの第０係数r₀によるべき乗は、テンポラリデータC_efgにおける第０組の指標ｇが「０」でないテンポラリデータの積となっており、以下のとおりである。

また、元Ａの第１係数r₁によるべき乗は、テンポラリデータC_efgにおける第１組の指標ｆが「０」でないテンポラリデータの積となっており、以下のとおりである。

また、元Ａの第２係数r₂によるべき乗は、テンポラリデータC_efgにおける第２組の指標ｅが「０」でないテンポラリデータの積となっており、以下のとおりである。

このように、フロベニウス写像における演算回数が異なる他の次数での桁をも対象としてテンポラリデータとしてコンポーネント化し、しかも、テンポラリデータの乗算結果を、各組における係数でのべき乗算の結果として[数４１]によりべき乗算を演算できることによって、鍵長が大きくなった場合の乗算回数の削減効果をWindow法などと比較して大きくすることができる。そのうえ、フロベニウス写像による演算回数の分だけ乗算回数を削減できる。

図１に示すように、ここでは、テンポラリデータの設定を、べき乗算を３行８列の行列と見なすことにより行っているが、３行８列に限定するものではなく、適宜の行数と、適宜の列数の行列として、テンポラリデータを設定してよい。

すなわち、行数ｒ及び列数ｃを考えて、指数部ｎを以下のように考えてもよい。

この場合、以下の計算により元Ａのべき乗算Aⁿを計算できる。

＜べき乗算の実施形態２＞

したがって、図２に示すフローチャートに基づくプログラムにより、パーソナルコンピュータなどの電子計算機で元Ａのべき乗算Aⁿを演算できる。なお、このプログラムは、一般的には、暗号化または復号における拡大体の乗算プログラム中のべき乗算のサブルーチンプログラムとして用いられることとなる。

まず、電子計算機は、指数部ｎが零である場合は（ステップＳ１：YES）、「１」を出力して終了し（ステップＳ２）、指数部ｎが零でない場合には（ステップＳ１：NO）、指数部ｎのｐ進数表現を設定する（ステップＳ３）。なお、ｐ進数表現の設定において必要となる数値はデフォルトで設定しており、必要に応じて変更可能としている。

また、電子計算機は、べき乗算における初期条件の設定を行う（ステップＳ４）。すなわち、B[0]＝Ａとしてべき乗算される元を設定し、Flr(log₂(p-1))＝ｔとしてｐ進数表現におけるｐのべき乗の各係数を２進数表現にした場合の桁数を設定している。

次いで、電子計算機は、１≦ｉ≦ｔでB[i-1]・B[i-1]＝B[i]として自乗算を演算し、０＜ｉ≦2^rでC[i]＝１とし、０＜ｉ≦ｒでR[i]＝１としている。

次いで、電子計算機は、図１に示すように複数組に分けられたべき乗算を想定して、所定の桁におけるテンポラリデータＣの設定を行う（ステップＳ５）。すなわち、Ｍ＝０とした後、０≦ｉ＜ｒでn_ijの１桁目が「１」であるか判定し、「１」である場合に、ＭにＭ＋2ⁱを代入している。次いで、電子計算機は、n_ijのビットシフトを行っている。ここで、「n_ij＆１」の「＆」は、n_ijと「１」の論理積を取っていることを意味し、「n_ij》１」は、n_ijを１ビット分右にずらすビットシフトを意味しており、例えば、(１０１１)₂》１は、(１０１)₂である。

次いで、電子計算機は、設定したテンポラリデータＣの値を、「C[M]←C[M]・B[k]」及び「C[i]←Ψ₁(C[i])」として演算する。

次いで、電子計算機は、テンポラリデータＣの値を用いて、各組に分けられたべき乗算の各組での乗算を、「R[i]←R[i]・C[j]」として行う（ステップＳ６）。

次いで、電子計算機は、R[r-1]＝Ｄとして、r-2≧ｉ≧０で「Ｄ←Ψ_c(D)，Ｄ←Ｄ・R[i]」を演算することによりべき乗算Aⁿの値としてＤを得て（ステップＳ７）、このＤを出力している（ステップＳ８）。

このようにべき乗算Aⁿを演算することにより、乗算回数を削減して演算速度を向上させることができる。

さらに、べき乗算の演算は、演算処理回路として半導体基板上に形成して乗算処理用半導体デバイスとすることもできる。

すなわち、図３に示すように、半導体基板１０上に、演算回路からなる演算部２０を形成し、演算に必要となる各種データを記憶するレジスタで構成した記憶部３０を形成し、入出力部４０を介して入力された初期条件を記憶部３０の所要のレジスタで記憶して演算を開始し、演算結果を入出力部４０を介して出力させることもできる。図３中、５０はデータバスである。

記憶部３０には、テンポラリデータの値を記憶するレジスタや、所定のテンポラリデータどうしを乗算した結果を記憶するレジスタ等を設けており、これら以外にも適宜のデータを記憶するレジスタを設けている。

このように、乗算処理用半導体デバイスとすることにより演算速度の更なる高速化を図ることができる。また、乗算処理用半導体デバイスは、これ自体で１つの半導体デバイスとするのではなく、暗号化及び復号の乗算処理用の半導体デバイスなどの他の半導体デバイスの一部分に組み込んでもよい。

＜べき乗算の実施形態３＞

次に、本発明の実施形態による他のべき乗算の演算方法及びべき乗算の演算装置について説明する。この実施形態は、前記実施形態に比べて、さらに、必要となる乗算回数を削減するものである。具体的には、標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^mの元Ａのべき乗算Aⁿを行うに際し、指数部ｎのｐ進数表現である前記[数３９]を用いて、フロベニウス写像により、前記[数４０]にて表されるべき乗算を行うものである。ここで、指数部ｎは、以下のように展開できるものとする。
ｎ＝n₃p³＋n₂p²＋n₁p＋n₀
このとき、Aⁿ⁰＝Y₀，Aⁿ¹＝Y₁，Aⁿ²＝Y₂，Aⁿ³＝Y₃とする。（注:Aⁿ⁰はAの指数ｎ_０によるべき乗、Aⁿ¹はAの指数ｎ_１によるべき乗、Aⁿ²はAの指数ｎ_２によるべき乗、Aⁿ³はAの指数ｎ_３によるべき乗をそれぞれ意味する。）

いま、Y₀，Y₁,・・・，Y_＃Y-1という＃Y個の元があり、それぞれは集合｛X₀，X₁，・・・，X_＃X-1｝から適当な数だけ与えられた元の全てを演算子・で結合したものとする。ここでは、集合｛X₀，X₁，・・・，X_＃X-1｝からY₀，Y₁,・・・，Y_＃Y-1の全てを高速に求める。

以下、一例として、集合｛X₀，X₁，・・・，X₁₄｝に対して、次式(1a)〜(1d)に示すY₀，Y₁,Y₂，Y₃を求める方法について説明する。通常、Y₀，Y₁，Y₂，Y₃を求めるには、２６回の乗算が必要となる。これに対し、この実施形態では、乗算回数を、後述するように１８回に削減することができる。

式(1c)(1d)では、Y₂,Y₃を求めるにあたって、X₀という同じ元を結合している。同様に、Y₀，Y₁，Y₂，Y₃の全てを求めるにあたって、同じ元を結合する場合が存在する。そこで、テンポラリデータであるコンポーネントC₀₀₀₁，・・・，C₁₁₁₁を次式(2a)〜(2e)のように定義することにより、Y₀，Y₁，Y₂，Y₃は、式(3a)〜(3d)のように求めることができる。ただし、コンポーネントの添字は、下位より順に、Y₀，Y₁，Y₂，Y₃を求めるのに必要ならば１、必要でなければ０となっている。

式(3a)(3b)では、Y₀，Y₁を求めるにあたって、C₀₀₁₁・C₀₁₁₁・C₁₀₁₁・C₁₁₁₁という同じ結合が生じている。このC₀₀₁₁・C₀₁₁₁・C₁₀₁₁・C₁₁₁₁は、Y₀，Y₁を求めるにあたって、共通して乗算するコンポーネントの組み合わせとなる。他にも同様に、Y₂，Y₃を求めるにあたって、C₁₁₀₀・C₁₁₀₁・C₁₁₁₀・C₁₁₁₁という同じ結合が生じている。同様に、このC₁₁₀₀・C₁₁₀₁・C₁₁₁₀・C₁₁₁₁は、Y₂，Y₃を求めるにあたって、共通して乗算するコンポーネントの組み合わせとなる。そこで、コンポーネントの結合を表１に示すように行うことにより、Y₀，Y₁，Y₂，Y₃の全てを求めることができる。ただし、＊は、０，１共にマッチする特殊文字とする。

また、式(3a)〜式(3d)で１となっているコンポーネントC₀₀₁₀,C₀₁₁₀,C₀₁₁₁,C₁₀₀₁は結合する必要がない。したがって、実際のコンポーネントの結合は、表２に示すようになる。

以上のように、Y₀，Y₁，Y₂，Y₃を求めることにより、乗算回数を２６回から１８回に削減することができる。つまり、本発明の実施形態による他のべき乗算の演算方法及びべき乗算の演算装置によれば、必要となる乗算回数をさらに削減することができる。

＜べき乗算の実施形態４＞

次に、一般式を用いて説明する。log₂(＃Y)が整数(＃Y＝2^y，(y：整数))となる場合に、Y₀，Y₁,・・・，Y_＃Y-1は、集合｛X₀，X₁，・・・，X_＃X-1｝及び演算子・から、コンポーネントの結合を表３に示すように各段階に分けて行うことにより、組織的に求めることができる。だたし、Ｈ＝log₂(＃X)とする。

表３の段階１において、2^＃Y−1＞＃Xの場合は、2^＃Y−1個のコンポーネントを作成する必要はなく、＃X個だけを作成すればよい。また、段階０では必要なコンポーネントだけを作成するため、段階１から段階Ｈまでのコンポーネントの結合に要する乗算回数を削減することができる。しかし、＃Xに対して＃Yが大き過ぎる場合、必要なコンポーネントの添字の傾向が分散するため、初期の段階ではほとんど結合が行われず、無駄な処理が増加してしまう。

この問題を解決するため、＃Y＝G・E （log₂(G)，log₂(E)：整数)として、式(4)のようにグループ分けする。このときのコンポーネントの結合を表４に示す。ただし、Ｈ＝log₂(E)とする。

＜べき乗算の実施形態５＞

したがって、後述するフローチャートに基づくプログラムにより、パーソナルコンピュータなどの電子計算機でべき乗算を演算できる。なお、このプログラムは、一般的には、暗号化または復号における拡大体の乗算プログラム中のべき乗算のサブルーチンプログラムとして用いられることとなる。以下、底の等しい＃Y個のべき乗算のアルゴリズムについて説明する。

ここで、等しい底をAとすると、Y₀，Y₁,・・・，Y_G・E-1は、

となり、X₀，X₁，・・・，X_＃X-1は、A，A²，・・・，A^2#X-1（注：A^2#X-1はＡの指数2^#Ｘ-1によるべき乗を意味する。）となる。ただし、＃X＝Flr(log₂(max(n_i)))＋1となる。

まず、べき乗算の演算プログラムについて、段階０の処理を説明する。図４は、他のべき乗算の演算プログラムのフローチャートであり、表４に示した段階０の処理を示している。図４を参照して、まず、電子計算機は、べき乗算における初期条件の設定を行う（ステップＳ１１）。このステップは準備ステップであり、具体的には、Aから、

を準備する。

以下の説明において、配列Ｃ_a,b,cは、コンポーネントを格納するためのバッファとして用いられ、添字であるａは段階番号、ｂはグループ番号、ｃはバッファ番号をそれぞれ示している。また、配列ＩＤは、配列Ｃに値を格納したコンポーネントの添字（ＩＤ）を格納するためのバッファとして用いられる。そのため、Ｃの配列インデックスとＩＤの配列インデックスとは対応している。添字については、配列Ｃと同様である。また、変数Ｓは、配列Ｃに格納されているコンポーネントの総数（配列Ｃのサイズ）をカウントするために用いられる。添字については、配列Ｃと同様である。

次いで、電子計算機は、グループ毎の処理（後述するステップＳ１３〜ステップＳ１６）を行うため（ステップＳ１２）、その処理に伴って、段階０及びグループｇで用いるバッファであるＳの初期化を行う（ステップＳ１３）。

次いで、電子計算機は、ステップＳ１１の準備ステップにより求めたX₀，X₁，・・・，X_#X-1についての処理を順次行うため（ステップＳ１４）、X_xを結合するコンポーネントのＩＤ（ＮＩＤ：ＮｅｗＩＤ）を求める（ステップＳ１５）。

次いで、電子計算機は、ステップＳ１５において求めたＩＤ（ＮＩＤ）に対応するコンポーネントにX_xを結合する（ステップＳ１６）。ただし、ＩＤが０である場合、コンポーネントを生成する必要がないため、処理をスキップする（ステップＳ１６の付番１０）。具体的には、ＮＩＤと同じＩＤをもつコンポーネントが既にバッファに格納されているかどうかを探索し（ステップＳ１６の付番１１〜付番１６のループ）、そのコンポーネントがバッファに格納されている場合（ステップＳ１６の付番１２）、そのＩＤのコンポーネントにX_xを結合する（ステップＳ１６の付番１３）。これに対し、そのコンポーネントがバッファに格納されていない場合、バッファのサイズを拡張し（ステップＳ１６の付番１９）、X_xの値を入力した新しいコンポーネント（C_0,g,0［S_0,g,0］）を作成し（ステップＳ１６の付番１７）、それをバッファに入力する（ステップＳ１６の付番１８）。

次に、べき乗算の演算プログラムについて、段階１から段階（Ｈ−１）までの処理を説明する。図５は、他のべき乗算の演算プログラムのフローチャートであり、表４に示した段階１から段階（Ｈ−１）の処理を示している。以下の説明において、変数Ｂは、段階ｇのグループ毎のバッファの総数を保持するために用いられる。また、変数Ｌは、以下に示すように、段階ｇにおけるコンポーネントのＩＤの長さ（＊を除く）を保持するために用いられる。

また、変数Ｔは、コンポーネントのＩＤを参照するために用いられる。段階１から最終段階Ｈでは、各段階でのコンポーネントの作成に前段階におけるコンポーネントのＩＤを参照する必要がある。例えば、段階０でC_01101110というコンポーネントを作成したとすると、段階１ではC_01101110のＩＤを以下に示すように参照することができるため、C_****1110を作成する必要がある。

さらに、参照位置をＬビットずらして、以下に示すようにＩＤを参照することができるため、C_0110****も作成する必要がある。

変数Ｔは、このようなＩＤの参照を行うために用いられる。

図５を参照して、まず、電子計算機は、Ｂ及びＬの値の初期化を行う（ステップＳ２１）。そして、段階１から段階（Ｈ−１）までの段階毎の処理（後述するステップＳ２３〜ステップＳ２６）を行うため（ステップＳ２２）、その処理に伴ってＢ及びＬの値を更新する（ステップＳ２３）。

次いで、電子計算機は、グループ毎の処理（後述するステップＳ２５，ステップＳ２６）を行うため（ステップＳ２４）、その処理に伴って、ＩＤの下位Ｌビットを参照できるようにＴを初期化し（ステップＳ２５）、段階Ｈの各グループ及び各バッファの処理を行う。

また、電子計算機は、ステップ２５において初期化したＴに対し、各バッファの処理（ステップＳ２６の付番７〜付番２３のループ）を行うにあたって、ＩＤの参照位置をＬビットずつずらすために、Ｔの値を更新する（ステップＳ２６の付番２２）。また、段階ｈ、グループｇ、バッファｂにおけるバッファであるＳの初期化を行う（ステップＳ２６の付番８）。また、C_h,g,bを作成するために必要な前段階の全てのコンポーネントを逐次処理する（ステップＳ２６の付番９〜付番２１）。また、Ｔを用いて前段階のコンポーネントのＩＤを参照する（ステップＳ２６の付番１０）。

また、電子計算機は、ステップＳ２６の付番１０において参照したＩＤ（ＮＩＤ）に対応するコンポーネントに結合または入力する（ステップＳ２６の付番１１〜付番２０）。ただし、ＩＤが０である場合、コンポーネントを生成する必要がないため、処理をスキップする（ステップＳ２６の付番１１）。

また、電子計算機は、ステップＳ２６の付番１０〜付番１５のように、ＩＤ（ＮＩＤ）と同じＩＤのコンポーネントが既にバッファに格納されているかどうかを探索する（ステップＳ２６の付番１２〜付番１７のループ）。そのコンポーネントがバッファに格納されている場合（ステップＳ２６の付番１３）、そのＩＤのコンポーネントに前段階のコンポーネントを結合する（ステップＳ２６の付番１４）。これに対し、そのコンポーネントがバッファに格納されていない場合、バッファのサイズを拡張し（ステップＳ２６の付番２０）、X_xの値を入力した新しいコンポーネント（C_h,g,b［S_h,g,b］）を作成し（ステップＳ２６の付番１８）、それをバッファに入力する（ステップＳ２６の付番１９）。

次に、べき乗算の演算プログラムについて、段階Ｈの処理を説明する。図６は、他のべき乗算の演算プログラムのフローチャートであり、表４に示した段階Ｈの処理を示している。電子計算機は、グループ毎の処理（後述するステップＳ３２〜ステップＳ３５）を行うため（ステップＳ３１）、その処理に伴って、Ｔに１を設定する（ステップＳ３２）。

次いで、電子計算機は、各出力の処理（後述するステップＳ３４，ステップＳ３５）を行うため（ステップＳ３３）、フラグｆｌａｇに１を設定する（ステップＳ３４）。最終段階である段階Ｐでは、前段階(Ｈ−１)におけるコンポーネントのＩＤを１ビット参照すればよいので、ステップＳ３２においてＴに１を設定している。また、各バッファの処理（ステップＳ３３〜ステップＳ３５の付番３〜付番１３のループ）を行うにあたって、ＩＤの参照位置を１ビットずつずらすために、Ｔの値を更新している（ステップＳ３５の付番１２）。

最終段階Ｈより前の段階では、入力または結合が行われないコンポーネントは無視することができる。しかし、最終段階Ｈでは、出力Yに値を入力しなければならない。そこで、このアルゴリズムでは出力Y_g・E+eに段階（Ｈ−１）のコンポーネントを入力または結合されたかどうかを判別するために、フラグとして変数ｆｌａｇを用いている。ステップＳ３４においてフラグｆｌａｇを初期化し、出力Y_g・E+eに入力または結合すべき段階（Ｈ−１）のコンポーネントを探索し（ステップＳ３５の付番５〜付番１０のループ）、そのコンポーネントが存在する場合、コンポーネントの値を出力Y_g・E+eに結合し（ステップＳ３５の付番７）、または、コンポーネントの値を入力してフラグｆｌａｇの値を変更する（ステップＳ３５の付番８）。これに対し、そのコンポーネントが存在しない場合（ｆｌａｇの値が初期値である場合）、出力Y_g・E+eに１を入力する（ステップＳ３５の付番１１）。

このようにべき乗算を演算することにより、乗算回数を削減して演算速度を向上させることができる。

さらに、この実施形態によるべき乗算の演算は、図３に示したように、演算処理回路として半導体基板上に形成して乗算処理用半導体デバイスとすることもできる。

＜スカラー倍算＞

次に、本発明の実施形態に係るスカラー倍算の演算方法及びスカラー倍算の演算装置について説明する。楕円曲線暗号では、同じ要素を複数回足し合わせるというスカラー倍算なるものを多用する。しかし、スカラー倍算は１回当り２５０ビット級の大きな数値分加算を行うため、普通に加算してはあまりにコストがかかってしまう。本発明では、このスカラー倍算を高速化するアルゴリズムを開示する。以下、楕円加算、スカラー倍算、バイナリ法、楕円曲線上の有理点のフロベニウス写像、有理点が満たす性質を説明し、本発明の実施形態について詳細に説明する。

（楕円加算）
まず、高速なスカラー倍算アルゴリズムについて説明する。一般に有限体Ｆ_ｐ（標数ｐの体）上の楕円曲線は式(5)で定義される。

ａ，ｂが属する体Ｆ_ｐを係数体、変数ｘ，ｙが属する体Ｆ_ｐ ^ｍを定義体と呼ぶこととし、Ｅ／Ｆ_ｐは係数体がＦ_ｐである楕円曲線を、Ｅ（Ｆ_ｐ ^ｍ）は定義体がＦ_ｐ ^ｍ（Ｆ_ｐのｍ次拡大体）である楕円曲線をそれぞれ意味することにする。

式（５）を満たす（ｘ，ｙ）の組すべてと無限遠点Ｏを合わせて、楕円曲線Ｅ（ｘ，ｙ）上の有理点といい、有理点Ｐ（ｘ₁，ｙ₁）とＱ（ｘ₂，ｙ₂）において、次のような演算を定義する。この演算によって有理点Ｒ（ｘ_３，ｙ_３）を生成する方法を楕円加算と呼ぶ。

このとき、整数の加法でいう“０”のような、任意の有理点Ｐと楕円加算しても結果がＰとなる有理点を無限遠点Ｏとする。すなわち、Ｐ＋Ｏ＝Ｏ＋Ｐ＝Ｐである。有理点Ｐにおいてｘ軸対称な有理点−Ｐと楕円加算を行うと、無限遠点Ｏになる。この−ＰをＰの逆元という。以下、式(5)の楕円曲線を例にして述べる。

（スカラー倍算）
スカラー倍算とは、同じ有理点を複数回、楕円加算によって足し合わせることを言う。例えば[ｎ]Ａはｎ個のＡを足し合わせることを意味する。また、式(5)の曲線における有理点の総数を＃Ｅ（Ｆ_ｐ ^ｍ）とすると、任意の有理点Ａは、次の性質をもつ。

この性質(巡回性)を巧みに利用したものが楕円曲線暗号である。

（バイナリ法）
バイナリ法は、[ｎ]Ａというスカラー倍算を以下のように効率よく行う手法である。

バイナリ法は、Flr(log₂(n))回の楕円２倍算（自分に自分を１回楕円加算すること）、{Flr(log₂(n))+1}/2回の楕円加算を平均で必要とする。なお、》は右へビットシフト演算子で、例えば(１０１１)_２》１は(１０１)_２である。また、＆は論理積を表し、例えば(１０１１)_２＆１は１、(１１０)_２＆１は０である。

（Window法）
Window法は、以下のように効率よくスカラー倍算を行う手法である。ここでは、窓サイズ３の場合を説明する。まず、以下のコンポーネントを準備する。

これらは、以下の２進数に対応する。

これらを用いて、例えば[３１８]Ａというスカラー倍算を次式のように行う。

コンポーネントを準備するための計算を除けば、Window法はFlr(log₂(n))-w+1回の楕円２倍算と[{Flr(log₂(n))+1}/w]{1-(1/2)^w}回の楕円加算を平均で必要とする。

（楕円曲線上の有理点のフロベニウス写像）
Ｅ（Ｆ_ｐ ^ｍ）の楕円曲線上の有理点Ｐ＝（ｘ，ｙ）のフロベニウス写像は、φ（Ｐ）のように表現し、次のような演算を行う。

つまり、Ｐにおけるｘとｙをそれぞれｐ乗するという演算を行う。なお、ｘとｙは有限体Ｆ_ｐ ^ｍ（Ｆ_ｐ ^ｍのｍ次拡大体で、ｍは１以上の整数）に含まれていて、この場合のｐ^ｋ乗（ただし、ｋは０以上の整数）は、他の整数でべき乗するよりはるかに高速となっている。

（有理点が満たす性質）
楕円曲線Ｅ（Ｆ_ｐ ^ｍ）上の任意の有理点Ｐ＝（ｘ，ｙ）は、必ず次式(12)を満たす。

このとき、ｔ＝ｐ＋１−＃Ｅ（Ｆ_ｐ）であり、φ^２はフロベニウス写像を２回行う、つまり、

という演算を意味している。ここで、式(12)を変形して整理すると次のようになる。

つまり、ｐ個のＰを加算（ｐ倍算）することは、Ｐにフロベニウス写像を施してｔ倍算を行ったものに対して、Ｐに２回フロベニウス写像を施したものの逆元を楕円加算することを意味している。また、楕円曲線Ｅ（Ｆ_ｐ ^ｍ）上の任意の有理点Ｐは、必ず次の式（１５）を満たす。

これは、

となることを意味している。

次に、本発明に係るスカラー倍算[ｎ]Ａ（ただし、ＡはＥ（Ｆ_ｐ ^ｍ）上の任意の有理点）を行う場合について説明する。

＜スカラー倍算の実施形態１＞

（ψ進展開による演算）
高速に演算可能である自己準同型写像ψを考慮し、式（１６）のようにｎ倍算と同型写像となる、ψ進展開した演算を求める。

これを用いて、次式が与えられる。

このとき、ψ^ｉ（Ａ）は演算ψをｉ回実行することを意味していて、この演算は高速であるので、実際に必要な計算は[ｎ_ｉ]Ａの部分となる。

具体的な例として、（有理点が満たす性質）の項で紹介した、フロベニウス写像φを用いたφ進展開がある。これは、ｎをp進展開し、

となるので、

となる。ここで式（１４）の右辺を代入すると、

となり、式(18)の右辺におけるサーメーションの括弧内は

となる。

このとき、式(19)における_ｉＣ_ｋ・ｔ^ｋ・ｎ_ｉ’がｐより大きい場合、この係数を再びｐ進展開する。すなわち、

とすると

となる。さらに、φの指数２（ｉ＋ｊ）−（ｋ＋ｌ）がｍより大きくなったとき、式(15)を用いることで、

とすることができ(ただし、Ｔ=Flr({2(i+j)-(k+l)}/m))、これによりφの指数をｍ未満に保つ。

以下、これらのようなｐ進展開と式(15)を用いたψの指数部の減少を繰り返して、φ^ｋ（ただし、ｋは０以上ｍ未満）の係数全てがｐ未満となったとき、式(17)において、ψがφとなっている式が準備できる。すなわち、

となる。
式(17)において、[ｎ_ｉ]Ａの部分をＡ[ｉ]で表すと、以下のアルゴリズムが与えられる。

この手法はｔ回の楕円２倍算、(ｓ＋１)(ｔ＋１)/２の楕円加算、ｓ回の写像ψによる演算、そしてｓ回の楕円加算を必要とする。写像ψによる演算を用いることで楕円２倍算の回数が減じるが、楕円加算の回数は変わらない。この楕円加算の回数を減らすために、以下に示すような計算法を考える。

（スカラー倍算の実施形態１の具体的な説明）
以下、上記アルゴリズム２を改良する。ｓ＝（ｎをψ進展開した際のψの最大係数）及びｔ＝Flr(log₂{max(n_i)})をそれぞれ５及び４とする。また、ｎ_０、ｎ_１、・・・、ｎ_５の２進数表現を以下のようにし、
ｎ_１＝（１００１）_２，ｎ_０＝（１１１０）_２， (20a)
ｎ_３＝（１１０１）_２，ｎ_２＝（１１１０）_２， (20b)
ｎ_５＝（１１１１）_２，ｎ_４＝（０１０１）_２， (20c)
スカラー倍算の係数ｎを以下のように分割して考える（図７参照）。

そして、Ｇ_１＝{[ｎ_５]Ａ，[ｎ_３]Ａ，[ｎ_１]Ａ}及びＧ_１＝{[ｎ_４]Ａ，[ｎ_２]Ａ，[ｎ_０]Ａ}の２つのグループを考えながら、以下の計算式をみてみる。

[n_１]Ａ＝[８]Ａ＋[１]Ａ， [n_０]Ａ＝[８]Ａ＋[４]Ａ＋[２]Ａ， (22a)
[n_３]Ａ＝[８]Ａ＋[４]Ａ＋[１]Ａ， [n_２]Ａ＝[８]Ａ＋[４]Ａ＋[２]Ａ， (22b)
[n_５]Ａ＝[８]Ａ＋[４]Ａ＋[２]Ａ＋[１]Ａ， [n_４]Ａ＝[４]Ａ＋[１]Ａ (22c)
式(20)及び式(22)にあるように、Ｇ１のうち、[n_５]Ａのみにある計算項は[２]Ａであり、Ｇ２のうち、[n_４]Ａのみにある計算項は[１]Ａであるので、これらの演算をまとめてＣ_１００とすると、Ｃ_１００＝ψ（[２]Ａ）＋[１]Ａとなる。同様にＧ１のうち、[n_１]Ａと[n_３]Ａにある計算項は存在せず、Ｇ２のうち、[n_０]Ａと[n_２]Ａのみにある計算項は[８]Ａと[２]Ａであるので、これらの演算をまとめてＣ_０１１とすると、Ｃ_０１１＝[８]Ａ＋[２]Ａとなる。他の組み合わせについても同様にして、Ｃ_００１，Ｃ_０１０，・・・，Ｃ_１１１を次のように考えれば、

[ｎ]Ａを次式のように計算できる。

式(22)を用いた式(17)の計算は、３回の楕円２倍算及び１６回の楕円加算を必要とするが、式(23)及び式(24)の計算は、３回の楕円２倍算及び１４回の楕円加算しか必要としない。このように本発明の実施例では楕円加算の回数を減らすことができる。

（アルゴリズム）
次に、本発明に係る実施形態を、より数学的に説明する。図７にあるように、行数ｒ及び列数ｃを考える。このとき、スカラー倍算の係数ｎを以下のように考える。

そして本発明の実施形態では、[ｎ]Ａを以下のように計算する。

上記「数８７」は上から順に（26a）、(26b)、(26c)、(26d)、(26e)である。

なお、｜Ｓ_ｊｌ｜≦ｔ及び｜Ｔ_ｉ｜≦２^ｒ−１である。（実施形態１の具体的な説明）の項での例においてψ＝φの場合は、式(15)のｍが６、ｃ＝２となっているため、ｒ＝Ceil(ｍ／ｃ)＝３であり、必要となるテンポラリ変数Ｃ_ｌ及びＲ_ｉの個数は、式(26)からわかるように７個（＝２^ｒ−１）及び３（＝ｒ）となっている。式（26c）における[２^ｉ]Ａ,１≦i＜ｔの準備には、３回（＝ｔ−１）の２倍算を必要とし、Ｃ_ｌ，１≦ｌ＜２ｒの準備には、８回（＝ｃ・ｔ）以下の楕円加算を必要とする。ここで、ｔ＝４＝Flr(log₂(max(ｎ_ｉ))である。これらテンポラリデータを用いて、式（26c）、式(26d)及び式(26e)に示されるように、[ｎ]Ａは２３回（＝ｒ（２^ｒ−１）＋（ｒ−１））以下の楕円加算で求められる。加えて、９回（＝（ｃ−１）（２^ｒ−１）＋（ｒ−１））の写像Ｆによる演算を必要とする。

＜スカラー倍算の実施形態２＞

図８は、本発明の実施形態に係るスカラー倍算の演算プログラムのフローチャートであり、式(25)から式(26e)の演算を行う。電子計算機は、スカラー倍算の係数ｎが０のときは（ステップＳ４１のＹ）、無限遠点Ｏを出力し（ステップＳ４２）、終了する。スカラー倍算の係数ｎが０でないときは（ステップＳ４１のＮ）、式(25)で表される係数ｎのψ進展開の演算を実行する（ステップＳ４３）。

以下、ステップＳ４３に示す式(25)により表されるｎのψ進展開を求める。電子計算機は、Ｂ[0]に有理点Ａを設定し、ψⁱの係数の最大値Flr(log_２(max(ｎ_ｉ))により２進数表現の最大桁数をｔに設定する。有理点Ａの倍数をＢ[ｉ]に設定し、Ｃ[ｉ]とＲ[ｉ]の初期値を無限遠点Ｏに設定する（ステップＳ４４）。

電子計算機は、ステップＳ４５の付番８〜２２においてテンポラリデータＣを求める。電子計算機は、まず、Ｍ＝０に設定し（ステップＳ４５の付番１０）、係数ｎ_ｉｊの論理積ｎ_ｉｊ＆１が１であるか判定し、１である場合に、Ｍに２^ｉを加算する（ステップＳ４５の付番１２）。次いで電子計算機は、係数ｎ_ｉｊのビットをｎ_ｉｊ》１により１ビット分右にずらすビットシフトを行う（ステップＳ４５の付番１３）。電子計算機は、以上の演算をｉ＝０〜ｒまで繰り返す（ステップＳ４５の付番１１〜付番１４）。

次いで、電子計算機は、Ｍが０であるか判定し、０でない場合にテンポラリデータＣ[Ｍ]にＢ[ｋ]を加算する演算を実行する（ステップＳ４５の付番１５）。電子計算機は、以上の演算をｋ＝０〜ｔ繰り返して実行する（ステップＳ４５の付番９〜付番１６）。次いで電子計算機は、ｊが０であるかを判定し（ステップＳ４５の付番１７）、ｊが０でない場合に、ψ（Ｃ[ｋ]）をテンポラリデータＣ[ｋ]に代入する演算を、ｋ＝１〜２^ｒで繰り返す（ステップＳ４５の付番１８〜付番２０）。電子計算機は、以上の演算をｊ＝ｃ−１〜０まで繰り返して実行する（ステップＳ４５の付番８〜付番２２）。

次いで、電子計算機は、論理積２^ｉ＆ｊが０であるか判定し、０でない場合に、Ｒ[ｉ］にＣ[ｊ]を加算する演算を実行する（ステップＳ４６の付番２５）。電子計算機は、この演算をｊ＝１〜２^ｒまで繰り返して実行する（ステップＳ４６の付番２４〜付番２６）。次いで、以上の演算をｉ＝０〜ｒで繰り返す（ステップＳ４６の付番２３〜付番２７）。

次いで、電子計算機はＲ[ｒ−１]をＤとし（ステップＳ４７の付番２８）、電子計算機は、ψ^ｃ（Ｄ）をＤに置き換え、ＤにＲ[ｉ]を加算し（ステップＳ４７の付番３０）、この演算をｉ＝ｒ−２〜０まで繰り返す（ステップＳ４７の付番２９〜付番３１）。次いで、電子計算機は、Ｄを出力して（ステップＳ４８の付番３２）終了する。

このように、スカラー倍算処理用半導体デバイスとすることにより演算速度の更なる高速化を図ることができる。また、スカラー倍算処理用半導体デバイスは、これ自体で１つの半導体デバイスとするのではなく、暗号化及び復号化処理用の半導体デバイスなどの他の半導体デバイスの一部分に組み込んでもよい。

なお、以上の説明から明らかに、＜スカラー倍算の実施形態１＞において説明したスカラー倍算の演算方法は、＜べき乗算の実施形態１＞において説明したべき乗算の演算方法に類似している。すなわち、スカラー倍算においてはテンポラリデータが加算＋の演算子により結合される。べき乗演算においてはテンポラリデータが乗算・の演算子により結合されている。テンポラリデータの演算方法は、演算子が異なるだけで、図２及び図８に示すように、べき乗演算もスカラー倍算も計算方法は同様となる。

また、＜べき乗の実施形態３＞の項において、Y₀，Y₁,・・・，Y_n(Y)-1というn(Y)個の元Ｙと、それぞれが集合｛X₀，X₁，・・・，X_n(X)-1｝から適当な数だけ与えられたn(x)個の元Ｘの全てを演算子・で結合するものとして、各元Ｙを、演算子・により結合されたテンポラリデータにより表した。そして、各元Ｙに含まれるテンポラリデータにおいて、複数の元Ｙにおいて共通するテンポラリデータの組み合わせがある場合に、その共通するテンポラリデータを結合して新たなテンポラリデータを設定し、この新たなテンポラリデータを用いて演算する方法について説明した。

このテンポラリデータの演算は、演算子を乗算・から加算＋に置き換えることにより、そのままスカラー倍算にも適用することができる。すなわち、スカラー倍算におけるＦ^ｉ項の係数[ｎ_ｉ]Ａを元Ｙとし、スカラー倍算における自己準同型写像の展開項であるψ^０([ｎ_ｉ]Ａ)、ψ^１([ｎ_１]Ａ)、・・・、ψ^Ｓ([ｎ_Ｓ]Ａ)を元Ｘとすればよい。従って、スカラー倍算は、＜べき乗の実施形態４＞、＜べき乗の実施形態５＞及び＜べき乗の実施形態６＞の各項において説明した演算方法に、演算子を乗算・から加算＋に置き換えることにより、適用することができる。

また、図２、図４、図５、図６及び図８のフローチャートは、図３の半導体基板１０上に形成した電子計算機により実行されるものである。演算部２０は、記憶部３０に格納されたプログラムを読み出して、当該プログラムに従って演算処理を実行する。演算部２０は、例えば初期設定の際には、入出力部４０から入力したデータ、或いは記憶部３０の所定領域に格納されたデータを読み出して演算を実行し、演算結果を変数に対応する記憶部３０の所定記憶領域に格納する。演算部２０は、プログラムに従って、乗算処理、加算処理、「for」や「if」で表される演算処理等を実行し、記憶部３０の変数に対応する所定の記憶領域に、或いは出力データとしてその演算結果を格納する。演算部２０は、記憶部３０の所定領域に格納された演算結果を読み出して、入出力部４０に送信して処理結果を出力するものである。

本発明の演算方法及び演算装置は、例えばべき乗算やスカラー倍算を高速で演算可能であり、平文データの暗号化及び復号化の用途に適用することができる。

Claims

標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^ｍの元Ａのべき乗算Ａ^ｎを、指数部ｎのｐ進数表現である

を用いて、フロベニウス写像により

と表されるべき乗算を、演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算方法において、
前記演算部が、
前記指数部ｎのｐの所定次数の項と、この項の次数よりも一次だけ高次の項または一次以上高次の複数の項とを１組として、前記指数部ｎを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をｐ進数表示として前記係数による元Ａのべき乗算が行われた場合の各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータを桁ごとに設定してその記憶領域を前記記憶部に確保するステップと、
前記テンポラリデータの値を、このテンポラリデータで値が存在しているとされた桁における乗数を用いて特定し、前記記憶部に記憶するステップと、
所定の前記テンポラリデータどうしを乗算した結果を、各組の前記係数でのべき乗算の結果として前記記憶部に記憶するステップと
を有することを特徴とするべき乗算の演算方法。
請求項１に記載の、べき乗算の演算方法において、前記演算部が、
所定の前記テンポラリデータどうしを乗算して、各組の前記係数でのべき乗算の結果を演算する際に、共通して乗算するテンポラリデータの組み合わせを特定するステップと、
前記テンポラリデータの組み合わせを用いて、各組の前記係数でのべき乗算の結果を演算するステップと
を有することを特徴とするべき乗算の演算方法。
標数ｐ、有限体Ｆ_ｐの次数ｍの拡大体をＦ_ｐ ^ｍ、有理点の総数を＃Ｅ（Ｆ_ｐ ^ｍ）、無限遠点をＯ、有限体Ｆ_ｐ上の楕円曲線が次式で表され、

任意の有理点Ａは次式を満たし、

スカラー部［ｎ］をψ進数展開した

と表されるスカラー倍算を、演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算方法において、
前記演算部が、
前記指数部ｉの写像ψの所定次数の項と、この項の次数よりも１次だけ高次の項または１次以上の高次の項の複数の項とを１組として、前記写像Ｆを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定するステップと、
この係数をψ進数表示として、前記係数による元Ａの加算が行われる場合の各組でのψ進数表示の同一の桁に値が存在しているか否か示す指標を有するテンポラリデータを桁ごとに設定してその値を前記記憶部に記憶するステップと、
前記各係数を構成するψ進数の各［ｎ_ｉ］Ａを、このテンポラリデータどうしを加算した結果により特定して前記記憶部に記憶するステップと、を有することを特徴とするスカラー倍算の演算方法。
標数ｐ、拡大次数ｍの拡大体Ｆ_ｐ ^ｍの元Ａのべき乗算Ａ^ｎを、指数部ｎのｐ進数表現である

を用いて、フロベニウス写像により

と表されるべき乗算の演算装置において、
前記指数部ｎのｐの所定次数の項と、この項の次数よりも一次だけ高次の項または一次以上高次の複数の項とを１組として、前記指数部ｎを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、この係数をｐ進数表示として前記係数による元Ａのべき乗算が行われた場合の各組での同一の桁に値が存在しているか否かを示す指標を有するテンポラリデータを桁ごとに設定して、このテンポラリデータで値が存在しているとされた桁における乗数を用いて特定したテンポラリデータの値を記憶する記憶部と、
所定の前記テンポラリデータどうしを乗算した結果を、各組の前記係数でのべき乗算の結果として記憶する記憶部と
を備えたことを特徴とするべき乗算の演算装置。
請求項４に記載の、べき乗算の演算装置において、
所定の前記テンポラリデータどうしを乗算して、各組の前記係数でのべき乗算の結果を演算する際に、共通して乗算するテンポラリデータの組み合わせを特定し、このテンポラリデータの組み合わせを用いて、各組の前記係数でのべき乗算の結果を演算して記憶する記憶部を備えたことを特徴とするべき乗算の演算装置。
標数ｐ、有限体Ｆ_ｐの次数ｍの拡大体をＦ_ｐ ^ｍ、有理点の総数を＃Ｅ（Ｆ_ｐ ^ｍ）、無限遠点をＯ、有限体Ｆ_ｐ上の楕円曲線が次式で表され、

任意の有理点Ａは次式を満たし、

スカラー部［ｎ］をψ進数展開した

と表されるスカラー倍算を行う演算回路からなる演算部及び各種データを記憶するレジスタで構成した記憶部を備える電子計算機により演算する演算装置において、
前記指数部ｉの写像ψの所定次数の項と、この項の次数よりも１次だけ高次の項または１次以上の高次の項の複数の項とを１組として、前記写像Ｆを複数の組に分けるとともに、各組内における各項を最低次数でくくってこの最低次数の係数を特定し、
この係数をψ進数表示として、前記係数による元Ａの加算が行われる場合の各組でのψ進数表示の同一の桁に値が存在しているか否か示す指標を有するテンポラリデータを桁ごとに設定して記憶する前記記憶部と、
前記各係数を構成するψ進数の各［ｎ_ｉ］Ａを、このテンポラリデータどうしを加算した結果により特定して記憶する前記記憶部と、を備えたことを特徴とするスカラー倍算の演算装置。