JP6040052B2

JP6040052B2 - ペアリング演算装置、ペアリング演算方法、およびプログラム

Info

Publication number: JP6040052B2
Application number: JP2013035966A
Authority: JP
Inventors: 祐人川原; 鉄太郎小林; 栄司岡本; 直樹金山; 和孝齋藤
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2013-02-26
Filing date: 2013-02-26
Publication date: 2016-12-07
Anticipated expiration: 2033-02-26
Also published as: JP2014164176A

Description

この発明は、情報セキュリティ技術に関し、特に、ペアリング暗号を実現するペアリング演算技術に関する。

従来からペアリングと呼ばれる双線形写像を用いた公開鍵暗号技術が提案されている。このような暗号方式はペアリング暗号と呼ばれる。

暗号分野で用いられる双線形写像は、ある種の楕円曲線上の二点に定義されるペアリング演算を行うための関数である。G₁,G₂,G_Tを群、F_rは素数rを位数とする有限体として、G₁×G₂→G_Tの双線形写像eは以下の性質を満たす。
＜双線型性＞任意のg∈G₁,h∈G₂および任意のa,b∈F_rに対して、e(ag,bh)=e(g,h)^abが成立する。
＜非退化性＞任意のg∈G₁に対しe(g,y)=1_Tであればy=1₂、同様に任意のh∈G₂に対しe(x,h)=1_Tであればx=1₁である。ここで、1₁,1₂,1_TはそれぞれG₁,G₂,G_Tの単位元である。
＜計算可能性＞任意のg∈G₁,h∈G₂に対して、e(g,h)を多項式時間で計算可能である。

特にG₁=G₂の時のペアリングを対称ペアリングと呼ぶ。

双線形写像の具体例としては、例えば、Weilペアリング、Tateペアリング、η_Tペアリング、Ateペアリングなどが提案されている。

超特異楕円曲線（supersingular楕円曲線）で定義体の標数が2または3の場合に、η_TペアリングあるいはAteペアリングを用いて対称ペアリングを高速に計算できることが知られている。η_Tペアリングについての詳細は非特許文献１に記載されている。Ateペアリングについての詳細は非特許文献２に記載されている。

P.S.L.M. Barreto, S. Galbraith, C. OhEigeartaigh, and M. Scott, "Efficient pairing computation on supersingular abelian varieties", Designs, Codes and Cryptography, Vol. 42, No. 3, pp. 239-271, Springer, 2007. F. Hess, N.P. Smart, and F. Vercauteren, "The Eta pairing revisited", IEEE Transaction on Information Theory, Vol. 52, No. 10, pp. 4595-4602, October 2006.

標数が2や3の有限体を用いたペアリング暗号については、有限体上の離散対数問題の困難性がやや弱いことが以前から指摘されている。そのため、大きい標数pの有限体上の楕円曲線を用いた対称ペアリングの必要性が高まっている。

この発明の目的は、大きい標数の拡大体上での対称ペアリングを高速に演算することができるペアリング演算技術を提供することである。

上記の課題を解決するために、この発明のペアリング演算装置はMiller演算部とべき乗演算部とを有する。

この発明では、^はべき乗を表し、x_・は点・のx座標であり、y_・は点・のy座標であり、F_・は・を位数とする有限体であり、pは6を法として5と合同な素数であり、nは1以上の整数であり、q=p²ⁿであり、bは有限体F_qの元であり、E_bは有限体F_q上の一次項の係数が0であり定数項がbである楕円曲線であり、P:=(x_P,y_P),Q:=(x_Q,y_Q)は楕円曲線E_b上の点であり、点P,Qのx,y座標x_P,y_P,x_Q,y_Qはいずれも有限体F_qの元であり、r’は点P,Qの位数であり、uは有限体F_q^3の元であり、u⁶=b^-(p-1)であり、ιは点(x,y)を点(u²x^p,u³y^p)へ移す写像である。

Miller演算部は、点Qを写像ιにより点Q’へ移し、x_P ²+x_Px_Q’+x_Q’ ²を計算しながら、値fを求める。べき乗演算部は、値fの(q³-1)/r’乗を計算して値e(P,Q)を出力する。

この発明のペアリング演算技術によれば、大きい標数の拡大体上での対称ペアリングを高速に演算することができる

ペアリング演算装置の機能構成を例示する図。 Millerのアルゴリズムの処理フローを例示する図。最終べき乗の処理フローを例示する図。

実施形態の説明に先立って、この明細書で用いる表記方法およびこの発明の基本的な考え方を説明する。

［表記方法］
上付き添字はべき乗を表す。例えば、a^bはaのb乗である。

^はべき乗を表す。例えば、a^bはaのb乗である。

|・|は絶対値記号である。

x_・は点・のx座標である。y_・は点・のy座標である。例えば、点Pのx座標はx_Pであり、点Pのy座標はy_Pである。

F_・は素数・を位数とする有限体である。例えば、F_qはqを位数とする有限体である。

［発明の概略］
＜基本的なアイデア＞
定義体の標数が大きい素数pの場合、超特異楕円曲線（supersingular楕円曲線）には、定義体が素体の場合と拡大体の場合の二通りがある。定義体が素体の場合はη_TペアリングあるいはAteペアリングを適用できても効果が全くなく、既存方法のTateペアリングとほぼ同等の計算時間である。定義体が拡大体の場合については、今のところ報告が知られていない。

そこで、この発明のペアリング演算技術では大きい標数pの拡大体上の超特異楕円曲線に対する対称ペアリングを高速に計算する技術を導入する。大きい標数pの拡大体F_q上の超特異楕円曲線E_b/F_qを式(1)に示す。

一般的に楕円曲線はa,bを有限体F_q上の任意の元としてY²=X³+aX+bの形で表されるが、この発明の楕円曲線E_b/F_qは一次項の係数aが0であることが特徴である。以降の説明ではこのような形の楕円曲線をY²=X³+b型の楕円曲線と呼ぶ。

式(1)の楕円曲線E_b/F_q自体は、以前よりペアリングを計算しやすい楕円曲線の一つとして知られてはいたが、現在までペアリング暗号の実装に用いられていなかった。その理由としては、この楕円曲線E_b/F_qは埋込み次数と呼ばれる量が奇数3であるため、標数が2や3の有限体上での超特異楕円曲線では適用できたη_Tペアリングが適用できないという問題が挙げられる。また、埋込み次数が偶数である楕円曲線上のペアリング演算で用いられる分母消去という技術を用いることができないという問題もあった。しかし、後述する通り、このような楕円曲線でAteペアリングや分母消去を実現できることを発見した。

＜楕円曲線の特徴と設定パラメータの形＞
楕円曲線E_b/F_qは埋込み次数kの値が3である。この楕円曲線のF_q有理点がなす群の群位数r、有限体の位数q、そしてトレースと呼ばれる量tの間には、式(2)に示す関係がある。

ここで、zは整数であり、特に素数または素数のべきの形である。

式(2)は、nを自然数として、式(3)で表わされることが知られている。

つまりzを素数とすればz²ⁿを位数とする有限体F_z^2n上の楕円曲線E_b/F_z^2nを考えることが可能である。以後の説明では、zを標数pとする。つまりq=p²ⁿである。

式(3)についての詳細は「P. Duan, S.Cui, and C.W. Chan, “Effective polynomial families for generating more pairing-friendly elliptic curve”, Cryptology ePrint Archive, Report 2005/236, 2005.（参考文献１）」を参照されたい。

＜適用するペアリング＞
η_Tペアリングを適用するには有限体の埋込み次数kが偶数でなければならない。上述のように有限体F_q上の楕円曲線E_b/F_qは埋込み次数kが3であるためη_Tペアリングは適用できない。一方、Ateペアリングは埋込み次数に対する制限がないため、有限体F_q上の楕円曲線E_b/F_qに対して適用できる。また、AteペアリングはTateペアリングと比較して計算量が少なくなるためペアリング演算を高速にする効果がある。具体的には、Ateペアリングの計算量はTateペアリングの計算量の約半分と見積もられる。その理由は、ペアリングを計算する標準的なアルゴリズム「Millerのアルゴリズム」を用いたときに繰り返される特定の反復操作の回数が、rをペアリングの入出力の群の位数としてlog₂(r)であるのに対し、Ateペアリングを適用したときの回数は、tをトレースと呼ばれる量としてlog₂|t-1|となるからである。Millerのアルゴリズムについての詳細は「V.S. Miller, “Short programs for functions on curves”, [online], 1986, インターネット<URL:http://crypto.stanford.edu/miller/miller.pdf>（参考文献２）」または「V.S. Miller, “The Weil pairing and its efficient calculation”, Journal of Cryptology, Vol. 17, No. 4, pp. 235-261, 2004.（参考文献３）」を参照されたい。

また、対称ペアリングを超特異楕円曲線上で計算する際にディストーション写像（distortion map）が必要となるが、楕円曲線E_bについては以下の事実が知られている。
（補題１：ディストーション写像の存在）uをu⁶=b^-(p-1)であり、q³を位数とする有限体F_q^3内の解とする。このとき、式(4)は楕円曲線E_b上のディストーション写像ιを与える。

なお、uは入力には依存しない量であり、楕円曲線E_b/F_qにより定まる。したがって、事前にuを計算し記憶しておくことが可能である。

補題１の詳細は「E. Verheul, “Evidence that XTR is more secure than supersingular elliptic curve cryptosystems”, Journal of Cryptology, Vol. 17, No. 4, pp. 277-296, 2004.（参考文献４）」を参照されたい。

＜適用可能な補助テクニック＞
ペアリング高速計算に有用なテクニックである「分母消去」も実現可能である。通常ペアリングの実装で用いられる楕円曲線の多くは偶数の埋込み次数を持つが、この楕円曲線R_b/F_qは埋込み次数kが3であり、通常の分母消去をそのままでは用いることができない。しかし、Y²=X³+b型の楕円曲線の特性を利用した以下の方法を用いることが可能である。計算により直ちに示される以下の補題を用いる。
（補題２）Y²=X³+b型楕円曲線に対して以下の式(5)が成り立つ。ここで、x_Pは点Pのx座標、y_Pは点Pのy座標、x_Qは点Qのx座標、y_Qは点Qのy座標を表す。

補題２の詳細は「X. Lin, C.-A. Zhao, F. Zhang and Y. Wang, “Computing the Ate Pairing on Elliptic Curves with Embedding Degree k = 9”,IEICE Transaction on Fundamentals of Electronics, Communications and Computer Sciences, Vol. E91-A, No. 9, pp. 2387-2393, 2008.（参考文献５）」を参照されたい。

式(5)の右辺の分母(y_P+y_Q)(y_P-y_Q)は、後述するペアリング計算の後半ステップ「最終べき乗」を施すと1になるため、ペアリング計算の前半ステップ「Millerのアルゴリズム」を実行する際には無視することが許される。したがって、補題２を実際に適用する際には、分子のx_P ²+x_Px_Q+x_Q ²だけを計算すればよい。

［実施形態］
以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜構成＞
図１を参照して、実施形態のペアリング演算装置１の構成例を説明する。ペアリング演算装置１は、制御部１０１、メモリ１０２、入力部１１、Miller演算部１２、べき乗演算部１３、出力部１４を有する。ペアリング演算装置１は、例えば、ＣＰＵ（Central Processing Unit）、ＲＡＭ（Random Access Memory）等を有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。ペアリング演算装置１は制御部１０１の制御のもとで各処理を実行する。ペアリング演算装置１に入力されたデータや各処理で得られたデータはメモリ１０２に格納され、メモリ１０２に格納されたデータは必要に応じて読み出されて他の処理に利用される。

＜条件＞
この実施形態では以下の条件を満たさなければならない。
・有限体の標数pは6を法として5と合同な素数でなければならない。
・楕円曲線の式はE/b:Y²=X³+b型で、bは有限体F_p^2nの元でなければならない。
・ペアリング演算装置１への入力は、楕円曲線E_b上の2点P,Qである。点P,Qは、以下の条件を満たさなければならない。(1)点P,Qのx,y座標がp²ⁿを位数とする有限体F_p^2nの元である。(2)点P,Qの位数がr’である。
・ペアリング演算装置１からの出力は、ペアリング値e(P,Q)である。具体的には、p⁶ⁿを位数とする有限体F_p^6nの非ゼロの元であり、その乗法に関する位数がr’である。

＜Millerのアルゴリズム＞
図２を参照して、この実施形態のMillerのアルゴリズムの動作例を説明する。
（ステップS1-1）入力部１１からMiller演算部１２へ整数T=t-1、楕円曲線E_b上の有理点P，Q∈E_b(F_q)が入力される。ここでtはトレースである。
（ステップS1-2）点Qに上述の補題１を利用して点Pと交わりを持たない点Q’=ι(Q)∈E_b(F_q^3)を式(6)のように計算する。ここで、x_Qは点Qのx座標、y_Qは点Qのy座標を表す。

（ステップS1-3）点Vに点Pを代入する。値fに1を代入する。
（ステップS1-4）Tを二進展開し式(7)を満たす値s₀,…,s_L-1を得る。ここで、LはTのビット長である。

（ステップS1-5）値iにL-2を代入する。
（ステップS1-6）l_V,Vに点Q’を代入した値を計算し値gとする。ここで、l_V,Vは点Vの接線である。
（ステップS1-7）点Vの２倍点を計算し点Vとする。
（ステップS1-8）ν_V(Q’)=x_P-x_Qの逆元を上記式(5)に従って計算し値hとする。ここで、ν_Vは点Vを通る垂線である。補題２に示す通り式(5)の右辺の分母は後述の最終べき乗処理で1になるため、h=x_P ²+x_Px_Q+x_Q ²だけを計算すればよい。
（ステップS1-9）f²・g・hを計算し値fとする。
（ステップS1-10）s_i=1が成り立つか検証する。もしs_i=1ならば（ステップS1-11）〜（ステップS1-14）を実行する。もしs_i≠1ならば（ステップS1-15）へ進む。
（ステップS1-11）l_V,Pに点Q’を代入した値を計算し値gとする。ここで、l_V,Pは点V，Pを通る直線である。
（ステップS1-12）点Vに点Pを加え点Vとする。
（ステップS1-13）ν_V(Q’)=x_P-x_Qの逆元を上記式(5)に従って計算し値hとする。ここで、ν_Vは点Vを通る垂線である。（ステップS1-8）と同様に、ここでもh=x_P ²+x_Px_Q+x_Q ²だけを計算すればよい。
（ステップS1-14）f・g・hを計算し値fとする。
（ステップS1-15）i=i-1を実行する。
（ステップS1-16）i<0が成り立つか検証する。i<0ならば（ステップS1-17）へ進む。i≧0ならば（ステップS1-6）へ戻る。
（ステップS1-17）Miller演算部１２はべき乗演算部１３へ値fを出力する。

以下にMillerのアルゴリズムの実装の一例を示す。下記のアルゴリズムは上記の説明と完全に対応するものではなく、実装上の簡略化などが行われている。記載上の相違があれば適宜読み替えられたい。

この実施形態ではAteペアリングを計算する場合を例示しているが、Tateペアリングを計算することも可能である。以下にTateペアリングを計算する場合の変更点を説明する。なお、Ateペアリングの場合と同様のステップについては説明を省略する。
（ステップS1-1）入力部１１からMiller演算部１２へ楕円曲線E_b上の有理点P，Q∈E_b(F_q)が入力される。すなわち整数Tは入力されない。
（ステップS1-4）点P，Qの位数r’を二進展開し式(8)を満たす値s₀,…,s_K-1を得る。ここで、Kはr’のビット長である。

（ステップS1-5）値iにK-2を代入する。

＜最終べき乗＞
最終べき乗とは、Millerのアルゴリズムの出力fを(q^k-1)/r’回乗じる処理である。上述の通り楕円曲線E_b/F_qの埋込次数kは3であるため、この実施形態では(q³-1)/r’乗を計算すればよい。rは楕円曲線E_bのF_q有理点の群位数、r’は楕円曲線E_b上の有理点P，Qの位数を表し、r=p²-p+1=cr’の関係が成り立つ。ここで、cは1以上の整数である。

楕円曲線E_bの特徴を利用することで最終べき乗の指数部分を式(9)のように変形できる。

ここで、p乗フロベニウス写像ψ_pを考えるとf∈F_q^3の最終べき乗は、式(10)のように計算できる。

フロベニウス写像ψ_p^nはp乗フロベニウス写像ψ_pをn回（nは整数）適用する演算であり、ψ_p(x)=x^pである。

図３を参照して、べき乗演算部１３の実行する最終べき乗処理の動作例を説明する。
（ステップS2-1）Miller演算部１２の出力する値fがべき乗演算部１３へ入力される。値fはq³を位数とする有限体F_q^3の元である。
（ステップS2-2）値fのp²乗フロベニウス写像ψ_p^2(f)を計算し値m₁とする。
（ステップS2-3）値fの逆元m^-1を計算し値m₂とする。
（ステップS2-4）値m₁と値m₂を乗じ値uとする。
（ステップS2-5）値uのp²乗フロベニウス写像ψ_p^2(u)を計算し値u₁とする。
（ステップS2-6）値uのp乗フロベニウス写像ψ_p(u)を計算し値u₂とする。
（ステップS2-7）u₁とu₂とuを乗じ値νとする。
（ステップS2-8）べき乗演算部１３はν^cを点P,Qのペアリング値e(P,Q)として、出力部１４を介して出力する。

上記のアルゴリズムはq=p²の場合、つまりn=1の場合であるが、q=p²ⁿであるときも有効である。具体的には式(11)のように計算できる。

このように、q=p²ⁿであるときは、(p²ⁿ-1)とpのべき乗の加減算で表される項と1以上の整数cとの乗算に変形して考えればよい。

［プログラム、記録媒体］
この発明は上述の実施形態に限定されるものではなく、この発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。上記実施例において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

また、上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１ペアリング演算装置
１１入力部
１２ Miller演算部
１３べき乗演算部
１４出力部
１０１制御部
１０２メモリ

Claims

^はべき乗を表し、x_・は点・のx座標であり、y_・は点・のy座標であり、F_・は・を位数とする有限体であり、pは6を法として5と合同な素数であり、nは1以上の整数であり、q=p²ⁿであり、bは有限体F_qの元であり、E_bは有限体F_q上の一次項の係数が0であり定数項がbである楕円曲線であり、P:=(x_P,y_P),Q:=(x_Q,y_Q)は楕円曲線E_b上の点であり、点P,Qのx,y座標x_P,y_P,x_Q,y_Qはいずれも有限体F_qの元であり、r’は点P,Qの位数であり、uは有限体F_q^3の元であり、u⁶=b^-(p-1)であり、ιは点(x,y)を点(u²x^p,u³y^p)へ移す写像であり、
前記点Qを前記写像ιにより点Q’へ移し、x_P ²+x_Px_Q’+x_Q’ ²を計算しながら、値fを求めるMiller演算部と、
前記値fの(q³-1)/r’乗を計算して値e(P,Q)を出力するべき乗演算部と、
を有するペアリング演算装置。
請求項１に記載のペアリング演算装置であって、
rは前記楕円曲線E_bの有理点のなす群の群位数であり、cは1以上の整数であり、r=cr’であり、
前記べき乗演算部は、(q³-1)/r’を(p²ⁿ-1)とpのべき乗の加減算で表される項とcとの乗算に変形し、前記値e(P,Q)を計算する
ことを特徴とするペアリング演算装置。
請求項１または２に記載のペアリング演算装置であって、
ψ_・は・乗フロベニウス写像であり、rは前記楕円曲線E_bの有理点のなす群の群位数であり、cは1以上の整数であり、r=cr’であり、
前記べき乗演算部は、次式により前記値e(P,Q)を計算する

ことを特徴とするペアリング演算装置。
請求項１から３のいずれかに記載のペアリング演算装置であって、
tはトレースであり、T=t-1であり、LはTのビット長であり、
前記Miller演算部は、前記点Qを前記写像ιにより点Q’へ移し、点Vに前記点Pを代入し、前記値fに1を代入し、前記Tを二進展開して値s₀,…,s_L-1を求め、i=L-2とし、点Vの接線に点Q’を代入した値をgとし、x_P ²+x_Px_Q’+x_Q’ ²をhとし、f²・g・hを計算して前記値fを更新し、s_i=1ならば、前記点Vと前記点Pを通る直線に前記Q’を代入した値で前記gを更新し、前記点Vに前記点Pを加えて前記点Vを更新し、x_P ²+x_Px_Q’+x_Q’ ²を計算して前記hを更新し、f・g・hを計算して前記値fを更新し、i-1を計算して前記iを更新し、i<0であれば前記値fを出力する
ことを特徴とするペアリング演算装置。
請求項１から３のいずれかに記載のペアリング演算装置であって、
Kは前記位数r’のビット長であり、
前記Miller演算部は、前記点Qを前記写像ιにより点Q’へ移し、点Vに前記点Pを代入し、前記値fに1を代入し、前記位数r’を二進展開して値s₀,…,s_K-1を求め、i=K-2とし、点Vの接線に点Q’を代入した値をgとし、x_P ²+x_Px_Q’+x_Q’ ²をhとし、f²・g・hを計算して前記値fを更新し、s_i=1ならば、前記点Vと前記点Pを通る直線に前記Q’を代入した値で前記gを更新し、前記点Vに前記点Pを加えて前記点Vを更新し、x_P ²+x_Px_Q’+x_Q’ ²を計算して前記hを更新し、f・g・hを計算して前記値fを更新し、i-1を計算して前記iを更新し、i<0であれば前記値fを出力する
ことを特徴とするペアリング演算装置。
^はべき乗を表し、x_・は点・のx座標であり、y_・は点・のy座標であり、F_・は・を位数とする有限体であり、pは6を法として5と合同な素数であり、nは1以上の整数であり、q=p²ⁿであり、bは有限体F_qの元であり、E_bは有限体F_q上の一次項の係数が0であり定数項がbである楕円曲線であり、P:=(x_P,y_P),Q:=(x_Q,y_Q)は楕円曲線E_b上の点であり、点P,Qのx,y座標x_P,y_P,x_Q,y_Qはいずれも有限体F_qの元であり、r’は点P,Qの位数であり、uは有限体F_q^3の元であり、u⁶=b^-(p-1)であり、ιは点(x,y)を点(u²x^p,u³y^p)へ移す写像であり、
Miller演算部が、前記点Qを前記写像ιにより点Q’へ移し、x_P ²+x_Px_Q’+x_Q’ ²を計算しながら、値fを求めるMiller演算ステップと、
べき乗演算部が、前記値fの(q³-1)/r’乗を計算して値e(P,Q)を出力するべき乗演算ステップと、
を含むペアリング演算方法。
請求項１から５のいずれかに記載のペアリング演算装置としてコンピュータを機能させるためのプログラム。