JP6067596B2 - ペアリング演算装置、マルチペアリング演算装置、プログラム - Google Patents

Description

本発明は、情報セキュリティ技術のためのペアリング演算装置、マルチペアリング演算装置、プログラムに関する。

図１は、Barreto-Naehrig楕円曲線（ＢＮ曲線，Ｅ：ｙ^２＝ｘ^３＋ｂ，ｂ≠０∈Ｆ（ｐ））上のOptimal Ateペアリングの従来のアルゴリズムを示す図である。そして、このようなペアリング演算の入力の一方の元が固定されている場合に、事前に計算可能な値を事前に計算して記録しておくことで、元が入力されたときの計算速度を高速化する技術として非特許文献１が知られている。

C. Costello, D. Stebila, "Fixed Argument Pairings," LATINCRYPT 2010, LNCS 6212, pp. 92-108, 2010.

ペアリング暗号では、ＩＤベース暗号や関数型暗号など利便性の高い暗号方式が構成できる。これらの暗号方式ではペアリング演算が必要となるため、実用的なシステムの構成のためには、ペアリング演算が高速に計算できることが求められる。ペアリング暗号システムでは、事前に秘密情報（例えば，秘密鍵）が配布されており、ペアリング演算の際に秘密情報を入力の片方として計算することがある。この場合、入力の一方が固定であることを利用して、オフライン事前計算によりペアリング演算の高速化が可能となる。また関数型暗号などの高機能な暗号方式では、複数のペアリング演算の積を計算するマルチペアリング演算で片方の入力が固定である場合もあり、この場合でも、オフライン事前計算によりマルチペアリング演算の高速化が可能となる。しかしながら、暗号システムの高機能化が進んでいる状況から、さらなる高速化が求められている。

本発明は、楕円曲線上のペアリングについて従来技術を改良し、さらに計算速度を高速化することを目的とする。

まず、ｍを２以上の整数、ｊを０以上ｍ−１以下の整数、ｐを素数または素数のべき乗、Ｎをあらかじめ定めた０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_ｊを有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_ｊを有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_ｊ１とＴ_ｊ２をＱ_ｊに対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_ｊ１＝（ｘ_ｊ１，ｙ_ｊ１）、Ｔ_ｊ２＝（ｘ_ｊ２，ｙ_ｊ２）、Ｐ_ｊ＝（ｘ_ｊＰ，ｙ_ｊＰ）、ｅを点Ｐ_ｊと点Ｑ_ｊを入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、Ｌ_ｊを点Ｔ_ｊ１と点Ｔ_ｊ２を通る直線をＰ_ｊで評価した式評価、α_ｊ，β_ｊ，γ_ｊ，Ａ_ｊ，Ｂ_ｊをＦ（ｐ^２）上の元、ｄ_ｊを小整数とし、
Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
のように表現することとする。また、式評価Ｌ_ｊは、
Ｌ_ｊ＝α_ｊｙ_ｊＰ＋β_ｊｘ_ｊｐｗ＋γ_ｊｖｗ
である。

本発明のペアリング演算装置は、群Ｇ_１の元Ｐ_０と群Ｇ_２の元Ｑ_０とのペアリングｅ（Ｐ_０，Ｑ_０）を求める。本発明のペアリング演算装置は、記録部、入力変換部、式評価生成部、式評価演算部を備える。記録部は、Ａ_０と所定の関係を持つ値であるａ_０と、Ｂ_０と所定の関係を持つ値であるｂ_０を記録している。入力変換部は、ｘ_０Ｐとｙ_０Ｐから、ｘ_０Ｐ’＝γ_０／（Ｂ_０・β_０・ｘ_０Ｐ）、ｙ_０Ｐ’＝（α_０・ｙ_０Ｐ）／（Ａ_０・β_０・ｘ_０Ｐ）が成り立つｘ_０Ｐ’とｙ_０Ｐ’を求める。式評価生成部は、記録部からａ_０とｂ_０を読み出し、ａ_０とｂ_０を用いて、
Ｌ_０’＝ｄ_０ｖ^Ｎ（Ａ_０ｙ_０Ｐ’＋ｗ＋Ｂ_０ｘ_０Ｐ’ｖｗ）
のように式評価Ｌ_０’を生成する。式評価演算部は、ｆ，Ｌ_０’を入力とし、ｆ×Ｌ_０’の演算結果を出力する。

本発明のマルチペアリング演算装置は、ｍ個の群Ｇ_１の元Ｐ_０，…，Ｐ_ｍ−１と群Ｇ_２の元Ｑ_０，…，Ｑ_ｍ−１とのマルチペアリングｅ（Ｐ_０，Ｑ_０）×ｅ（Ｐ_１，Ｑ_１）×…×ｅ（Ｐ_ｍ−１，Ｑ_ｍ−１）を求める。本発明のマルチペアリング演算装置は、記録部、式評価生成部、式評価演算部を備える。記録部は、ｊ＝０,…,ｍ−１について、Ａ_ｊと所定の関係を持つ値であるａ_ｊと、Ｂ_ｊと所定の関係を持つ値であるｂ_ｊを記録している。入力変換部は、ｊ＝０,…,ｍ−１について、ｘ_ｊＰとｙ_ｊＰから、ｘ_ｊＰ’＝γ_ｊ／（Ｂ_ｊ・β_ｊ・ｘ_ｊＰ）、ｙ_ｊＰ’＝（α_ｊ・ｙ_ｊＰ）／（Ａ_ｊ・β_ｊ・ｘ_ｊＰ）が成り立つｘ_ｊＰ’とｙ_ｊＰ’を求める。式評価生成部は、ｊ＝０,…,ｍ−１のすべてについて、記録部からａ_ｊとｂ_ｊを読み出し、ａ_ｊとｂ_ｊを用いて、
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
のように式評価Ｌ_ｊ’を生成する。式評価演算部は、ｆ，Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を入力とし、ｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算結果を出力する。

本発明のペアリング演算装置とマルチペアリング装置によれば、点Ｑ_ｊが固定されていることを利用してあらかじめＡ_ｊと所定の関係を持つ値であるａ_ｊと、Ｂ_ｊと所定の関係を持つ値であるｂ_ｊを記録しておく。そして、可変である点Ｐ_ｊが入力されると、
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
のように式評価Ｌ_ｊ’を生成し、式評価の乗算を行う。このような形式の式評価Ｌ_ｊ’であれば、有限体Ｆ（ｐ^１２）上の任意の元との乗算において、Ｌ_ｊよりも有限体Ｆ（ｐ^２）上の乗算回数を少なくできる。つまり、式評価をＬ_ｊからＬ_ｊ’に変更したことで計算コストが増えてしまう計算は、点Ｑ_ｊが固定されていることを利用して事前に計算しておき、点Ｐ_ｊが入力された後の計算コストを削減している。したがって、点Ｐ_ｊが入力されてからの計算速度を高速化できる。

Barreto-Naehrig楕円曲線上のOptimal Ateペアリングの従来のアルゴリズムを示す図。 式５を用いた場合のOptimal Ateペアリングのアルゴリズム（Algorithm 2）を示す図。 図２のステップ７，１２，２１，２４の乗算のアルゴリズムの具体例（Algorithm 3）を示す図。 Ｆ（ｐ^１２）上の任意の元と式４の形式の元との乗算のアルゴリズム（Algorithm 3’）を示す図。 本発明のペアリング演算装置の機能構成例を示す図。 本発明のペアリング演算装置の入力変換と式評価演算の処理フロー例を示す図。 本発明のマルチペアリング演算装置の機能構成例を示す図。 本発明のマルチペアリング演算装置の入力変換と式評価演算の処理フローの例を示す図。 Optimal Ateペアリングにおけるマルチペアリングのアルゴリズムの例（Algorithm 4）を示す図。 図９のステップ７，１２，２１，２４の乗算のアルゴリズムの例（Algorithm 5）を示す図。 図１０のステップ３の計算のアルゴリズム（Algorithm 6）を示す図。 図１０のステップ４の計算のアルゴリズム（Algorithm 7）を示す図。 従来技術である式４の形式の式評価を用いた場合の乗算のアルゴリズムの例（Algorithm 6’）を示す図。 図１３で求めた元同士の乗算のアルゴリズムの例（Algorithm 7’）を示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。まず、ｍを２以上の整数、ｊを０以上ｍ−１以下の整数、ｐを素数または素数のべき乗、Ｎをあらかじめ定めた０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_ｊを有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_ｊを有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_ｊ１とＴ_ｊ２をＱ_ｊに対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_ｊ１＝（ｘ_ｊ１，ｙ_ｊ１）、Ｔ_ｊ２＝（ｘ_ｊ２，ｙ_ｊ２）、Ｐ_ｊ＝（ｘ_ｊＰ，ｙ_ｊＰ）、ｅを点Ｐ_ｊと点Ｑ_ｊを入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、Ｌ_ｊを点Ｔ_ｊ１と点Ｔ_ｊ２を通る直線をＰ_ｊで評価した式評価、ｄ_ｊを小整数とする。なお、点Ｔ_ｊ１と点Ｔ_ｊ２とが同一の点の場合、「点Ｔ_ｊ１と点Ｔ_ｊ２を通る直線」は点Ｔ_ｊ１での接線である。また、「小整数」とは少なくとも１を含む値の小さい整数であり、例えば、任意の元ｆと小整数ｄ_ｊとの乗算（ｄ_ｊ×ｆ）を、任意の元ｆのｄ_ｊ−１回の加算（ｆ＋ｆ＋…＋ｆ）で行った方が、計算コストが小さくなるような整数である。演算装置、演算方法、プログラムによって具体的な小整数は異なるが、ある演算装置が、整数ｄと元ｆとの乗算（ｄ×ｆ）を加算（ｆ＋ｆ＋…＋ｆ）に置き換えて計算している場合、その演算装置においては、整数ｄは小整数である。また、小整数ｄ_ｊは負の整数でもよい。

Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
のように表現することとする。

また、図１に示すアルゴリズムでは、ＴがＴ_０１に相当し、Ｔ，Ｑ，Ｑ’，−Ｑ”がＴ_０２に相当し、ａ_ｏｐｔがｅに相当し、

がＬ_０に相当する。また、アルゴリズムの具体例を示す図では、Ｆ（ｐ^ｋ）は、

のように示されている。

＜従来技術の分析＞
ペアリング演算には、点Ｔ_ｊ１と点Ｔ_ｊ２と点Ｐ_ｊに対して、点加算／２倍算と式評価の計算が含まれる。次に、具体的な座標系の例を示しながら説明する。

次の具体例の説明では、Barreto-Naehrig楕円曲線（ＢＮ曲線，Ｅ：ｙ^２＝ｘ^３＋ｂ，ｂ≠０∈Ｆ（ｐ））を用いる。ＢＮ曲線では、整数ｚに対して素数ｐとＢＮ曲線上のＦ（ｐ）有理点群の位数ｒは、
ｐ＝３６ｚ^４＋３６ｚ^３＋２４ｚ^２＋６ｚ＋１
ｒ＝３６ｚ^４＋３６ｚ^３＋１８ｚ^２＋６ｚ＋１
である。ＢＮ曲線では、ｒで割り切れる（ｐ^ｋ−１）となる最小のｋは１２である。

拡大体Ｆ（ｐ^ｋ）を逐次拡大により
Ｆ（ｐ^２）＝Ｆ（ｐ）［ｕ］／（ｕ^２−β）
Ｆ（ｐ^６）＝Ｆ（ｐ^２）［ｖ］／（ｖ^３−ξ）
Ｆ（ｐ^１２）＝Ｆ（ｐ^６）［ｗ］／（ｗ^２−ｖ）
ただし、ｖ^３＝ξ、ｗ^２＝ｖ、βは平方非剰余、ξは平方非剰余かつ立方非剰余
のように構成する。そして、Ｆ（ｐ^１２）上の元Ｃを
Ｃ＝ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ （式１）
ただし、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５ ∈Ｆ（ｐ^２）
のように表現する。なお、６次のツイスト曲線Ｅ’は、ｙ^２＝ｘ^３＋ｂ／ξ である。このとき、点（ｘ，ｙ）に対してＥ’，Ｅの同型写像（ｘ，ｙ）→（ｘｗ^２，ｙｗ^３）となる
Φ：Ｅ’（Ｆ（ｐ^２））→Ｅ（Ｆ（ｐ^１２））
が存在する。

Affine座標系の例
Ｔ_ｊ１＝（ｘ_ｊ１，ｙ_ｊ１）、Ｔ_ｊ２＝（ｘ_ｊ２，ｙ_ｊ２）、Ｐ_ｊ＝（ｘ_ｊＰ，ｙ_ｊＰ）とする。λ_ｊ＝（ｙ_ｊ２−ｙ_ｊ１）／（ｘ_ｊ２−ｘ_ｊ１）に対して、点加算と式評価（点Ｔ_ｊ１と点Ｔ_ｊ２とが異なる場合）は、
ｘ_ｊ３＝λ_ｊ ^２−ｘ_ｊ１−ｘ_２ｊ
ｙ_ｊ３＝λ_ｊ（ｘ_ｊ１−ｘ_ｊ３）−ｙ_１ｊ
Ｌ_ｊ＝ｙ_ｊＰ−λ_ｊｘ_ｊｐｗ＋（λ_ｊｘ_ｊ１−ｙ_ｊ１）ｖｗ （式２）
となる。また、点２倍算と式評価（点Ｔ_ｊ１と点Ｔ_ｊ２とが同じ場合）は、λ_ｊ＝３ｘ_ｊ１ ^２／２ｙ_ｊ１に対して
ｘ_ｊ３＝λ_ｊ ^２−２ｘ_ｊ１
ｙ_ｊ３＝λ_ｊ（ｘ_ｊ１−ｘ_ｊ３）−ｙ_ｊ１
Ｌ_ｊ＝ｙ_ｊＰ−λ_ｊｘ_ｊｐｗ＋（λ_ｊｘ_ｊ１−ｙ_ｊ１）ｖｗ （式３）
となる。ここで、式１に示したＦ（ｐ^１２）上の元Ｃはｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５の６つの係数が存在するが、式２、式３に示した式評価ではその中の３つの係数がゼロであることが分かる。

Affine座標系の異なる形式の式評価の例
式２、式３を
ｙ_ｊＰ’・Ｌ_ｊ＝１−λ_ｊｘ_ｊｐ’ｗ＋ｙ_ｊＰ’（λ_ｊｘ_ｊ１−ｙ_ｊ１）ｖｗ （式４）
ただし、ｘ_ｊｐ’＝ｘ_ｊｐ／ｙ_ｊＰ， ｙ_ｊＰ’＝１／ｙ_ｊＰ
のように変換して式評価としてもよい。このように変形しても、ｙ_ｊＰ’の部分は最終べきの計算（図１のアルゴリズムのステップ１４）で除去されるため、ペアリング演算の結果には影響しない。式４のように変形すると、３つの係数がゼロであり１つの係数が小整数の「１」であることが分かる。

非特許文献１では、事前に計算可能な値を事前に計算して記録しておく考え方をこの形式に当てはめ、（−λ_ｊ，λ_ｊｘ_ｊ１−ｙ_ｊ１）を事前に計算して記録している。また、
ｘ_ｊｐ’＝ｘ_ｊｐ／ｙ_ｊＰ， ｙ_ｊＰ’＝１／ｙ_ｊＰ
の計算は、点Ｐ_ｊの入力に対して１回行えばよいだけなので、点Ｐ_ｊが入力された後の計算コストを削減できる。

＜本発明で利用する式評価＞
本発明では、式評価を式４とは異なる形式に変形することで、計算コストを削減する。まず、１つの式評価の具体例を示して説明する。その具体例は、
Ｌ_ｊ’＝−１／（λ_ｊ・ｘ_ｊｐ）・Ｌ_ｊ
＝（−１／λ_ｊ）ｙ_ｊＰ’＋ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖｗ （式５）
ただし、ｘ_ｊＰ’＝１／ｘ_ｊＰ、 ｙ_ｊＰ’＝ｙ_ｊＰ／ｘ_ｊＰ
である。この評価式の場合、（−１／λ_ｊ，−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）を事前に計算して記録しておけばよい。（−１／λ_ｊ，−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）の計算には逆元算が必要であり、乗算よりも低速な計算になるが、点Ｐ_ｊが入力された後の計算コストには影響しない。また、点Ｐ_ｊの入力に対して
ｘ_ｊＰ’＝１／ｘ_ｊＰ、 ｙ_ｊＰ’＝ｙ_ｊＰ／ｘ_ｊＰ
の計算を１回行えばよい。なお、−１／（λ_ｊ・ｘ_ｊｐ）の部分は最終べきの計算で除去されるため、ペアリング演算の結果には影響しない。また、−１／λ_ｊと−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊを事前に計算して記録しておくのが最も効率的と考えられる。しかし、乗算や逆元算のような低速な計算を必要とせずに−１／λ_ｊと−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊを求められる別の値を記録しておいてもよい。

図２は、式５を用いた場合のOptimal Ateペアリングのアルゴリズム（Algorithm 2）である。また、図３は、図２のステップ７，１２，２１，２４の乗算のアルゴリズムの具体例（Algorithm 3）である。このようなアルゴリズムで、ペアリング演算ができる。図２のアルゴリズムでは、ステップ２５が最終べきの計算である。なお、図２では式評価を小文字のエルで示している。

次に、式４と式５の違いを説明する。図３に示したアルゴリズムは、
Ａ＝ａ_０＋ａ_１ｖ＋ａ_２ｖ^２＋ａ_３ｗ＋ａ_４ｖｗ＋ａ_５ｖ^２ｗ
のように表現できるＦ（ｐ^１２）上の任意の元Ａと、
Ｂ＝ｂ_０＋ｗ＋ｂ_４ｖｗ
のように表現できる式５の形式の元Ｂとの乗算のアルゴリズムである。これと対比するために、図４にＦ（ｐ^１２）上の任意の元と式４の形式の元との乗算のアルゴリズム（Algorithm 3’）を示す。図４では、式４の形式の元を
Ｂ＝１＋ｂ_３ｗ＋ｂ_４ｖｗ
と表現している。図３と図４に示したアルゴリズムでは、Ｆ（ｐ^２）上の元である係数同士の乗算回数が計算コストを決める要素である。図３では、ステップ１，４，７に３回ずつ係数同士の乗算が存在するので、Ｆ（ｐ^２）上の元同士の乗算は９回である。一方、図４では、ステップ１，６に４回ずつ、ステップ２，７に１回ずつ係数同士の乗算が存在するので、Ｆ（ｐ^２）上の元同士の乗算は１０回である。したがって、式５の形式に変換した方が、計算コストが小さいことが分かる。

Ｆ（ｐ^１２）上の任意の元同士の乗算の場合、単純に係数同士を組み合わせると３６個の組み合わせがあるので、３６回のＦ（ｐ^２）上の元同士の乗算がある。そして、カラツバ法（Karatsuba法）を利用することで１８回の乗算で計算できることが知られている。図３や図４のアルゴリズムでは、値がゼロや小整数の係数が含まれているので、乗算回数がさらに少なくなっている。そして、式４と式５の形式は、どちらも値がゼロの係数が３つあり、１つの係数が「１」であることは同じである。したがって、乗算回数の差は、どの係数を「１」にしているかによって生じている。本発明は、どの係数を「１」にするかによって、計算コストを削減する効果を得ている。

同様の効果が得られる式評価
「小整数ｄ_ｊ」は、任意の元ｆと小整数ｄ_ｊとの乗算（ｄ_ｊ×ｆ）を、任意の元ｆのｄ_ｊ−１回の加算（ｆ＋ｆ＋…＋ｆ）で行った方が、計算コストが小さくなるような整数なので、「１」となっている係数の部分を他の小整数に変更しても、従来に比べれば計算コストを削減できる。したがって、
Ｌ_ｊ’＝ｄ_ｊ（（−１／λ_ｊ）ｙ_ｊＰ’＋ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖｗ），
で表現される式評価Ｌ_ｊ’でも従来に比べれば計算コストを削減できる。

また、この式評価にｖを乗算した式評価、ｖ^２を乗算した式評価でも、式５と同じようにＦ（ｐ^２）上の元同士の乗算を９回にできる。つまり、
Ｌ_ｊ’＝ｄ_ｊ（（−１／λ_ｊ）ｙ_ｊＰ’ｖ＋ｖｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖ^２ｗ）
または
Ｌ_ｊ’＝ｄ_ｊ（（−１／λ_ｊ）ｙ_ｊＰ’ｖ^２＋ｖ^２ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ξｗ）
の場合も、従来に比べれば計算コストを削減できる。上記の内容をまとめると、
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（（−１／λ_ｊ）ｙ_ｊＰ’＋ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖｗ）
のような式評価Ｌ_ｊ’であれば同様の効果が得られる。なお、式評価Ｌ_ｊを式評価Ｌ_ｊ’に変換するために乗算する−ｄ_ｊ／（λ_ｊ・ｘ_ｊｐ）ｖ^Ｎの部分はＦ（ｐ^６）の元なので最終べきの計算で除去されるため、ペアリング演算の結果には影響しない。

さらに、式評価Ｌ_ｊが式２，３以外の場合でも同様の効果が得られる場合がある。具体的には、式評価Ｌ_ｊが
Ｌ_ｊ＝α_ｊｙ_ｊＰ＋β_ｊｘ_ｊｐｗ＋γ_ｊｖｗ （式６）
ただし、α_ｊ，β_ｊ，γ_ｊはＦ（ｐ^２）上の元
の場合には、
Ｌ_ｊ’＝１／（β_ｊ・ｘ_ｊｐ）・Ｌ_ｊ
＝（α_ｊ・ｙ_ｊＰ）／（β_ｊ・ｘ_ｊＰ））＋ｗ＋（γ_ｊ／（β_ｊ・ｘ_ｊＰ））ｖｗ （式７）
のようにｗの係数が１になるように変形すれば、式５の場合と同じようにＦ（ｐ^２）上の元同士の乗算を９回にできる。また、ｖまたはｖ^２をさらに乗算しても同様である。つまり、Ａ_ｊとＢ_ｊをＦ（ｐ^２）上の元とし、式評価を
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
ただし、Ａ_ｊ＝ｓ_ｊＡ（α_ｊ／β_ｊ）、Ｂ_ｊ＝ｓ_ｊＢ（γ_ｊ／β_ｊ）
ｘ_ｊＰ’＝１／（ｓ_ｊＢ・ｘ_ｊＰ）、ｙ_ｊＰ’＝ｙ_ｊＰ／（ｓ_ｊＡ・ｘ_ｊＰ）
ｓ_ｊＡとｓ_ｊＢはあらかじめ定めた定数
のように変換できれば、同様の効果が得られる。ｓ_ｊＡ＝１、ｓ_ｊＢ＝１の場合が最も簡単な計算になると考えるが、ｘ_０Ｐ’とｙ_０Ｐ’の計算は図２のアルゴリズムのステップ２に示すように、ステップ３以下の繰り返し処理の前に１回行っているだけである。このように、点Ｐ_ｊの入力に対して１回行うだけなので、ｓ_ｊＡとｓ_ｊＢの場合は小整数に限らなくても、点Ｐ_ｊの入力後の計算コストは従来よりも小さくできる。なお、Ｆ（ｐ^６）上の元を乗算することで式評価Ｌ_ｊを式評価Ｌ_ｊ’に変換すれば、乗算した元の部分は最終べきの計算で除去されるため、ペアリング演算の結果には影響しない。

図５に本発明のペアリング演算装置の機能構成例を示す。また、図６に本発明のペアリング演算装置の入力変換と式評価演算の処理フロー例を示す。ペアリング演算装置１０は、群Ｇ_１の元Ｐ_０と群Ｇ_２の元Ｑ_０とのペアリングｅ（Ｐ_０，Ｑ_０）を求める。ペアリング演算装置１０は、記録部５０が事前計算の結果を記録していることと、入力変換部１５、式評価処理手段２０を有することを特徴としており、点加算や点２倍算などのその他の処理を行う構成部も有するが、それらは従来技術と同じである。図５，６では従来技術と同じ構成部は省略している。式評価処理手段２０は、式評価生成部３０と式評価演算部４０からなる。

記録部５０は、（−１／λ_０）と所定の関係を持つ値であるａ_０と、（−（λ_０ｘ_０１−ｙ_０１）／λ_０）と所定の関係を持つ値であるｂ_０を記録している。上述のとおり、ａ_０＝−１／λ_０、ｂ_０＝−（λ_０ｘ_０１−ｙ_０１）／λ_０とするのが最も効率的と考える。しかし、例えば、（−１／λ_０）に定数を加算した値をａ_０として記憶しておき、読み出した後にその定数を減算して（−１／λ_０）を求めても、計算コストへの影響は小さい。よって、乗算や逆元算のような低速な計算を必要とせずに−１／λ_０と−（λ_０ｘ_０１−ｙ_０１）／λ_０を求められる別の値をａ_０とｂ_０として記録しておいてもよい。ここでは、「所定の関係を持つ値」は、低速な計算を必要とせずに−１／λ_０と−（λ_０ｘ_０１−ｙ_０１）／λ_０を求めることができる値の意味である。

入力変換部１５は、ｘ_０Ｐ’＝１／ｘ_０Ｐ、ｙ_０Ｐ’＝ｙ_０Ｐ／ｘ_０Ｐを計算する（Ｓ１５）。式評価生成部３０は、記録部５０からａ_０とｂ_０を読み出し、ａ_０とｂ_０を用いて、
Ｌ_０’＝ｄ_０ｖ^Ｎ（（−１／λ_０）ｙ_０Ｐ’＋ｗ＋（−（λ_０ｘ_０１−ｙ_０１）／λ_０）ｘ_０Ｐ’ｖｗ）
のように式評価Ｌ_０’を生成する（Ｓ３０）。上述のとおり、ｄ_０＝１，Ｎ＝０が最も効率的と考えるが、ｄ_０ｖ^Ｎを乗算した式評価Ｌ_０’を生成してもよい。式評価演算部４０は、ｆ，Ｌ_０’を入力とし、ｆ×Ｌ_０’の演算結果を出力する（Ｓ４０）。例えば、図３に示したアルゴリズムで計算すればよい。また、ステップＳ３０、Ｓ４０が式評価の処理（Ｓ２０）である。なお、図２では、ステップ２がＳ１５に、ステップ６，１１，２０，２３がＳ３０に、ステップ７，１２，２１，２４がＳ４０に相当する。

ペアリング演算装置１０によれば、式評価Ｌ_０’を用いているので、有限体Ｆ（ｐ^１２）上の任意の元とＬ_０’との乗算において、有限体Ｆ（ｐ^２）上の乗算回数を少なくできる。つまり、式評価を変更したことで計算コストが増えてしまう計算は、点Ｑ_０が固定されていることを利用して事前に計算しておき、点Ｐ_０が入力された後の計算コストを削減している。したがって、点Ｐ_０が入力されてからの計算速度を高速化できる。

［変形例］
さらに、上述のとおり、式評価が式６のように、
Ｌ_ｊ＝α_ｊｙ_ｊＰ＋β_ｊｘ_ｊｐｗ＋γ_ｊｖｗ
の場合には、式評価を
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
ただし、Ａ_ｊ＝ｓ_ｊＡ（α_ｊ／β_ｊ）、Ｂ_ｊ＝ｓ_ｊＢ（γ_ｊ／β_ｊ）
ｘ_ｊＰ’＝１／（ｓ_ｊＢ・ｘ_ｊＰ）、ｙ_ｊＰ’＝ｙ_ｊＰ／（ｓ_ｊＡ・ｘ_ｊＰ）
ｓ_ｊＡとｓ_ｊＢはあらかじめ定めた定数
のように変形すれば同様の効果が得られる。したがって、図５に示したペアリング演算装置と、図６に示したペアリング演算装置の入力変換と式評価演算の処理フローは、以下のとおりでもよい。ただし、Ａ_０とＢ_０をＦ（ｐ^２）上の元とする。

ペアリング演算装置１０は、群Ｇ_１の元Ｐ_０と群Ｇ_２の元Ｑ_０とのペアリングｅ（Ｐ_０，Ｑ_０）を求める。ペアリング演算装置１０は、記録部５０が事前計算の結果を記録していることと、入力変換部１５、式評価処理手段２０を有することを特徴としている。式評価処理手段２０は、式評価生成部３０と式評価演算部４０からなる。

Ａ_０＝ｓ_０Ａ（α_０／β_０）、Ｂ_０＝ｓ_０Ｂ（γ_０／β_０）とする。そして、記録部５０は、Ａ_０と所定の関係を持つ値であるａ_０と、Ｂ_０と所定の関係を持つ値であるｂ_０を記録している。ａ_０＝Ａ_０、ｂ_０＝Ｂ_０とするのが最も効率的と考える。しかし、例えば、Ａ_０に定数を加算した値をａ_０として記憶しておき、読み出した後にその定数を減算してＡ_０を求めても、計算コストへの影響は小さい。よって、乗算や逆元算のような低速な計算を必要とせずにＡ_０とＢ_０を求められる別の値をａ_０とｂ_０として記録しておいてもよい。ここでは、「所定の関係を持つ値」は、低速な計算を必要とせずにＡ_０とＢ_０を求めることができる値の意味である。

入力変換部１５は、ｘ_０Ｐ’＝１／（ｓ_０Ｂ・ｘ_０Ｐ）、ｙ_０Ｐ’＝ｙ_０Ｐ／（ｓ_０Ａ・ｘ_０Ｐ）を計算する（Ｓ１５）。式評価生成部３０は、記録部５０からａ_０とｂ_０を読み出し、ａ_０とｂ_０を用いて、
Ｌ_０’＝ｄ_０ｖ^Ｎ（Ａ_０ｙ_０Ｐ’＋ｗ＋Ｂ_０ｘ_０Ｐ’ｖｗ）
のように式評価Ｌ_０’を生成する（Ｓ３０）。ｄ_０＝１，Ｎ＝０が最も効率的と考えるが、ｄ_０ｖ^Ｎを乗算した式評価Ｌ_０’を生成してもよい。式評価演算部４０は、ｆ，Ｌ_０’を入力とし、ｆ×Ｌ_０’の演算結果を出力する（Ｓ４０）。

図７に本発明のマルチペアリング演算装置の機能構成例を、図８に本発明のマルチペアリング演算装置の入力変換と式評価演算の処理フローの例を示す。マルチペアリング演算装置６０は、ｍ個の群Ｇ_１の元Ｐ_０，…，Ｐ_ｍ−１と群Ｇ_２の元Ｑ_０，…，Ｑ_ｍ−１とのマルチペアリングｅ（Ｐ_０，Ｑ_０）×ｅ（Ｐ_１，Ｑ_１）×…×ｅ（Ｐ_ｍ−１，Ｑ_ｍ−１）を求める。マルチペアリング演算装置６０は、記録部９０が事前計算の結果を記録していることと、入力変換部６５、式評価処理手段７０を有することを特徴としており、点加算や点２倍算などのその他の処理を行う構成部も有するが、それらは従来技術と同じである。図７，８では従来技術と同じ構成部は省略している。式評価処理手段７０は、式評価生成部８０と式評価演算部１００からなる。

記録部９０は、ｊ＝０,…,ｍ−１について、（−１／λ_ｊ）と所定の関係を持つ値であるａ_ｊと、（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）と所定の関係を持つ値であるｂ_ｊを記録している。上述のとおり、ａ_ｊ＝−１／λ_ｊ、ｂ_ｊ＝−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊとするのが最も効率的と考える。しかし、乗算や逆元算のような低速な計算を必要とせずに−１／λ_ｊと−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊを求められる別の値をａ_ｊとｂ_ｊとして記録しておいてもよい。ここでは、「所定の関係を持つ値」は、低速な計算を必要とせずに−１／λ_ｊと−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊを求めることができる値の意味である。

入力変換部６５は、ｊ＝０,…,ｍ−１について、ｘ_ｊＰ’＝１／ｘ_ｊＰ、ｙ_ｊＰ’＝ｙ_ｊＰ／ｘ_ｊＰを計算する（Ｓ６５）。式評価生成部８０は、ｊ＝０,…,ｍ−１のすべてについて、記録部からａ_ｊとｂ_ｊを読み出し、ａ_ｊとｂ_ｊを用いて、
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（（−１／λ_ｊ）ｙ_ｊＰ’＋ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖｗ）
のように式評価Ｌ_ｊ’を生成する（Ｓ８０）。なお、Ｎはあらかじめ定めた０，１，２のいずれかの整数であり、ｊ＝０,…,ｍ−１のすべてについて同じ値である。上述のとおり、ｄ_０,…,ｄ_ｍ−１＝１，Ｎ＝０が最も効率的と考えるが、ｄ_０ｖ^Ｎ,…,ｄ_ｍ−１ｖ^Ｎを乗算した式評価Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を生成してもよい。

式評価演算部１００は、ｆ，Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を入力とし、ｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算結果を出力する（Ｓ１００）。ステップＳ８０、Ｓ１００が式評価の処理（Ｓ７０）である。ステップＳ１００では、
ｆ←ｆ×Ｌ_ｊ’
の処理を、ｊ＝０，…，ｍ−１について繰り返せば、実施例１のペアリング演算装置１０と同様の効果が得られる。

また、式評価にゼロの係数があることを利用すれば、さらに計算コストを削減することができる。その場合は、式評価演算部１００は、式評価選択部１１０、式評価乗算部１２０、元乗算部１３０、演算制御部１４０、未選択乗算部１５０を備える。式評価選択部１１０は、選択されていない式評価Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中から４個を選択し、ｈ_０，ｈ_１，ｈ_２，ｈ_３とする（Ｓ１１０）。

式評価乗算部１２０は、
Ｌ”←ｈ_０×ｈ_１×ｈ_２×ｈ_３
を計算する（Ｓ１２０）。式評価乗算部１２０は、ｈ_０，ｈ_１，ｈ_２，ｈ_３をゼロまたは小整数の係数を含む元同士の演算がより多くなるように工夫して乗算すればよい。例えば、
Ｈ_０’←ｈ_０×ｈ_１， Ｈ_１’←ｈ_２×ｈ_３
Ｌ”←Ｈ_０’×Ｈ_１’
のようにＬ”を計算すればよい。

元乗算部１３０は、
ｆ←ｆ×Ｌ”
を計算し、ｆを更新する（Ｓ１３０）。演算制御部１４０は、Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中で、式評価選択部１１０で選択されていない式評価の数が４より少なくなるまで、式評価選択部１１０と式評価乗算部１２０と元乗算部１３０の処理（Ｓ１１０，Ｓ１２０，Ｓ１３０）を繰り返す（Ｓ１４０）。未選択乗算部１５０は、Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中で、式評価選択部で選択されていない式評価がある場合は、選択されていない式評価のすべてをｆに乗算し、乗算結果にｆを更新する（Ｓ１５０）。式評価演算部１００は、Ｌ_０，Ｌ_１，…，Ｌ_ｍ−１のすべてを乗算されたｆを演算結果として出力する。

マルチペアリング演算装置６０によれば、マルチペアリング演算の処理に含まれるｆ×Ｌ_０×…×Ｌ_ｍ−１の演算において、まずゼロまたは小整数の係数を含む式評価Ｌ_０，Ｌ_１，…，Ｌ_ｍ−１の中から４個の式評価を選択して乗算する処理を繰り返すので、係数にゼロや小整数を持つ元同士の演算を増やせる。したがって、計算コストを削減でき、計算速度を高速化できる。

＜アルゴリズムの具体例＞
図９に、Optimal Ateペアリングにおけるマルチペアリングのアルゴリズムの例（Algorithm 4）を示す。式評価処理手段７０の処理は、図９のアルゴリズムのステップ５〜１４，１９〜２４に適用される。図１０に図９のステップ７，１２，２１，２４の乗算のアルゴリズムの例（Algorithm 5）を示す。図１１は図１０のステップ３の計算のアルゴリズム（Algorithm 6）、図１２は図１０のステップ４の計算のアルゴリズム（Algorithm 7）である。なお、図１０のステップ９は、上述の図３に示したアルゴリズム（algorithm 3）を用いればよい。

図１０のステップ３では、ｈ_０，ｈ_１，ｈ_２，ｈ_３として

が選択され、
Ｈ_０’←ｈ_０×ｈ_１， Ｈ_１’←ｈ_２×ｈ_３
の計算が行われる。そして、ステップ４で
Ｌ”←Ｈ_０’×Ｈ_１’
のようにＬ”が求められている。つまり、ステップ３の式評価の選択部分がＳ１１０に相当し、ステップ３のＨ_０’とＨ_１’の計算の部分と、ステップ４がＳ１２０に相当する。また、ステップ５がＳ１３０に相当し、ステップ１，２，６がＳ１４０に相当し、ステップ７〜１０がＳ１５０に相当する。

式４の形式の４つの式評価を、図４に示された従来の乗算方法でＦ（ｐ^１２）上の任意の元ｆに乗算するときに、
ｆ←ｆ×Ｌ_ｊ’
の処理を４回繰り返した場合、Ｆ（ｐ^２）上の元同士の乗算は４０回（４×１０）である。一方、式５の形式の４つの式評価を、図３に示された従来の乗算方法でＦ（ｐ^１２）上の任意の元ｆに乗算するときに、
ｆ←ｆ×Ｌ_ｊ’
の処理を４回繰り返した場合、Ｆ（ｐ^２）上の元同士の乗算は３６回（４×９）である。したがって、式評価演算部１００が式評価選択部１１０、式評価乗算部１２０、元乗算部１３０、演算制御部１４０、未選択乗算部１５０を備えなくても、従来に比べれば計算コスト削減の効果がある。

そして、式５の形式の４つの式評価を、図１０〜１２に示したアルゴリズムでＦ（ｐ^１２）上の任意の元ｆに乗算するときには、次のようになる。図１１にはステップ１に３回の係数の乗算があるので、Ｆ（ｐ^２）上の元同士の乗算は３回である。図１２にはステップ１，２に４回ずつ、ステップ３に１回の係数同士の乗算が存在するので、Ｆ（ｐ^２）上の元同士の乗算は９回である。また、Ｆ（ｐ^１２）上の任意の元同士の乗算の場合、Ｆ（ｐ^２）上の元同士の乗算は１８回である（従来技術なので理由は省略する）。したがって、Ｆ（ｐ^２）上の元同士の乗算は３３回（３×２＋９＋１８）である。このように、マルチペアリング演算の処理に含まれるｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算において、式評価Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中からΔ個以下の式評価を選択して乗算する処理を繰り返すことで、係数にゼロや小整数を持つ元同士の演算を増やせる。したがって、式５の形式の式評価を用い、式評価演算部１００が式評価選択部１１０、式評価乗算部１２０、元乗算部１３０、演算制御部１４０、未選択乗算部１５０を備えることで、さらに計算コストを削減できる。

次に、式４の形式の式評価を用いて
Ｈ_０’←ｈ_０×ｈ_１， Ｈ_１’←ｈ_２×ｈ_３
Ｌ”←Ｈ_０’×Ｈ_１’
ｆ←ｆ×Ｌ”
のようにｆを更新することを繰り返す方法と比較する。図１３に、従来技術である式４の形式の式評価を用いた場合の乗算のアルゴリズムの例（Algorithm 6’）を示す。図１４に、図１３で求めた元同士の乗算のアルゴリズムの例（Algorithm 7’）を示す。図１１のステップ６に示された元の式から、値がゼロの係数が１つと小整数「１」の係数が１つあることが分かる。図１３のステップ７に示された元の式から、従来技術である式４の形式の式評価を用いた場合には、式評価同士の乗算の結果には、値がゼロの係数が１つあり、小整数「１」の係数はないことが分かる。そして、式４の形式の式評価を用いたときにはＨ_０’×Ｈ_１’の計算は図１４に示されたアルゴリズムになる。図１３に示されたアルゴリズムでは、ステップ１に３回の係数同士の乗算が存在するので、Ｆ（ｐ^２）上の元同士の乗算は３回である。そして、図１４に示されたアルゴリズムでは、ステップ１に５回、ステップ３，５，７，９に２回ずつ、ステップ１１，１３に１回ずつ係数同士の乗算が存在するので、Ｆ（ｐ^２）上の元同士の乗算は１５回である。したがって、式４の形式の４つの式評価を、図１３，１４に示された乗算方法でＦ（ｐ^１２）上の任意の元ｆに乗算するときには、Ｆ（ｐ^２）上の元同士の乗算は３９回（３×２＋１５＋１８）である。したがって、式評価演算部１００が式評価選択部１１０、式評価乗算部１２０、元乗算部１３０、演算制御部１４０、未選択乗算部１５０を備えなくても、式４の形式の式評価で計算方法を工夫するよりも、式５の形式で式評価を表現する方が計算コスト削減の効果がある。

［変形例］
さらに、上述のとおり、式評価が式６のように、
Ｌ_ｊ＝α_ｊｙ_ｊＰ＋β_ｊｘ_ｊｐｗ＋γ_ｊｖｗ
の場合には、式評価を
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
ただし、Ａ_ｊ＝ｓ_ｊＡ（α_ｊ／β_ｊ）、Ｂ_ｊ＝ｓ_ｊＢ（γ_ｊ／β_ｊ）
ｘ_ｊＰ’＝１／（ｓ_ｊＢ・ｘ_ｊＰ）、ｙ_ｊＰ’＝ｙ_ｊＰ／（ｓ_ｊＡ・ｘ_ｊＰ）
ｓ_ｊＡとｓ_ｊＢはあらかじめ定めた定数
のように変形すれば同様の効果が得られる。したがって、図７に示したマルチペアリング演算装置と、図８に示したマルチペアリング演算装置の入力変換と式評価演算の処理フローは、以下のとおりでもよい。ただし、Ａ_ｊとＢ_ｊをＦ（ｐ^２）上の元とする。

マルチペアリング演算装置６０は、ｍ個の群Ｇ_１の元Ｐ_０，…，Ｐ_ｍ−１と群Ｇ_２の元Ｑ_０，…，Ｑ_ｍ−１とのマルチペアリングｅ（Ｐ_０，Ｑ_０）×ｅ（Ｐ_１，Ｑ_１）×…×ｅ（Ｐ_ｍ−１，Ｑ_ｍ−１）を求める。マルチペアリング演算装置６０は、記録部９０が事前計算の結果を記録していることと、入力変換部６５、式評価処理手段７０を有することを特徴としている。式評価処理手段７０は、式評価生成部８０と式評価演算部１００からなる。

ｊ＝０,…,ｍ−１について、Ａ_ｊ＝ｓ_ｊＡ（α_ｊ／β_ｊ）、Ｂ_ｊ＝ｓ_ｊＢ（γ_ｊ／β_ｊ）とする。そして、記録部９０は、ｊ＝０,…,ｍ−１について、Ａ_ｊと所定の関係を持つ値であるａ_ｊと、Ｂ_ｊと所定の関係を持つ値であるｂ_ｊを記録している。ａ_ｊ＝Ａ_ｊ、ｂ_ｊ＝Ｂ_ｊとするのが最も効率的と考える。しかし、乗算や逆元算のような低速な計算を必要とせずにＡ_ｊとＢ_ｊを求められる別の値をａ_ｊとｂ_ｊとして記録しておいてもよい。ここでは、「所定の関係を持つ値」は、低速な計算を必要とせずにＡ_ｊとＢ_ｊを求めることができる値の意味である。

入力変換部６５は、ｊ＝０,…,ｍ−１について、ｘ_ｊＰ’＝１／（ｓ_ｊＢ・ｘ_ｊＰ）、ｙ_ｊＰ’＝ｙ_ｊＰ／（ｓ_ｊＡ・ｘ_ｊＰ）を計算する（Ｓ６５）。式評価生成部８０は、ｊ＝０,…,ｍ−１のすべてについて、記録部９０からａ_ｊとｂ_ｊを読み出し、ａ_ｊとｂ_ｊを用いて、
Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
のように式評価Ｌ_ｊ’を生成する（Ｓ８０）。ｄ_０,…,ｄ_ｍ−１＝１，Ｎ＝０が最も効率的と考えるが、ｄ_０ｖ^Ｎ,…,ｄ_ｍ−１ｖ^Ｎを乗算した式評価Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を生成してもよい。

式評価演算部１００は、ｆ，Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を入力とし、ｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算結果を出力する（Ｓ１００）。式評価演算部１００については、実施例２と同様に式評価演算部１００が、式評価選択部１１０、式評価乗算部１２０、元乗算部１３０、演算制御部１４０、未選択乗算部１５０を備え、式評価にゼロの係数があることを利用してもよい。このように構成すれば、実施例２と同様の効果が得られる。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１０ ペアリング演算装置 １５、６５ 入力変換部
２０、７０ 式評価処理手段 ３０、８０ 式評価生成部
４０、１００ 式評価演算部 ５０、９０ 記録部
６０ マルチペアリング演算装置 １１０ 式評価選択部
１２０ 式評価乗算部 １３０ 元乗算部
１４０ 演算制御部 １５０ 未選択乗算部

Claims (7)

1. 群Ｇ_１の元Ｐ_０と群Ｇ_２の元Ｑ_０とのペアリングｅ（Ｐ_０，Ｑ_０）を求めるペアリング演算装置であって、
   ｐを素数または素数のべき乗、Ｎをあらかじめ定めた０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_０を有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_０を有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_０１とＴ_０２をＱ_０に対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_０１＝（ｘ_０１，ｙ_０１）、Ｔ_０２＝（ｘ_０２，ｙ_０２）、Ｐ_０＝（ｘ_０Ｐ，ｙ_０Ｐ）、ｅを点Ｐ_０と点Ｑ_０を入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、Ｌ_０を点Ｔ_０１と点Ｔ_０２を通る直線をＰ_０で評価した式評価、α_０，β_０，γ_０，Ａ_０，Ｂ_０をＦ（ｐ^２）上の元、ｓ_０Ａとｓ_０Ｂをあらかじめ定めた定数、ｄ_０を小整数とし、
   Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
   ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
   のように表現することとし、
   式評価Ｌ_０が、
   Ｌ_０＝α_０ｙ_０Ｐ＋β_０ｘ_０ｐｗ＋γ_０ｖｗ
   のときに、
   Ａ_０＝ｓ_０Ａ（α_０／β_０）、Ｂ_０＝ｓ_０Ｂ（γ_０／β_０）とし、
   Ａ_０と所定の関係を持つ値であるａ_０と、Ｂ_０と所定の関係を持つ値であるｂ_０を記録した記録部と、
   ｘ_０Ｐ’＝１／（ｓ_０Ｂ・ｘ_０Ｐ）、ｙ_０Ｐ’＝ｙ_０Ｐ／（ｓ_０Ａ・ｘ_０Ｐ）を計算する入力変換部と、
   前記記録部からａ_０とｂ_０を読み出し、Ａ _０ とａ_０ との所定の関係とＢ _０ とｂ_０ との所定の関係を用いて、
   Ｌ_０’＝ｄ_０ｖ^Ｎ（Ａ_０ｙ_０Ｐ’＋ｗ＋Ｂ_０ｘ_０Ｐ’ｖｗ）
   のように式評価Ｌ_０’を生成する式評価生成部と、
   ｆ，Ｌ_０’を入力とし、ｆ×Ｌ_０’の演算結果を出力する式評価演算部と、
   を備えることを特徴とするペアリング演算装置。
2. 群Ｇ_１の元Ｐ_０と群Ｇ_２の元Ｑ_０とのペアリングｅ（Ｐ_０，Ｑ_０）を求めるペアリング演算装置であって、
   ｐを素数または素数のべき乗、Ｎをあらかじめ定めた０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_０を有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_０を有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_０１とＴ_０２をＱ_０に対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_０１＝（ｘ_０１，ｙ_０１）、Ｔ_０２＝（ｘ_０２，ｙ_０２）、Ｐ_０＝（ｘ_０Ｐ，ｙ_０Ｐ）、ｅを点Ｐ_０と点Ｑ_０を入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、点Ｔ_０１と点Ｔ_０２とが異なる場合はλ_０＝（ｙ_０２−ｙ_０１）／（ｘ_０２−ｘ_０１）、点Ｔ_０１と点Ｔ_０２とが同じ場合はλ_０＝３ｘ_０１ ^２／２ｙ_０１、ｄ_０を小整数とし、
   Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
   ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
   のように表現することとし、
   （−１／λ_０）と所定の関係を持つ値であるａ_０と、（−（λ_０ｘ_０１−ｙ_０１）／λ_０）と所定の関係を持つ値であるｂ_０を記録した記録部と、
   ｘ_０Ｐ’＝１／ｘ_０Ｐ、ｙ_０Ｐ’＝ｙ_０Ｐ／ｘ_０Ｐを計算する入力変換部と、
   前記記録部からａ_０とｂ_０を読み出し、（−１／λ _０ ）とａ_０ との所定の関係と（−（λ _０ ｘ _０１ −ｙ _０１ ）／λ _０ ）とｂ_０ との所定の関係を用いて、
   Ｌ_０’＝ｄ_０ｖ^Ｎ（（−１／λ_０）ｙ_０Ｐ’＋ｗ＋（−（λ_０ｘ_０１−ｙ_０１）／λ_０）ｘ_０Ｐ’ｖｗ）
   のように式評価Ｌ_０’を生成する式評価生成部と、
   ｆ，Ｌ_０’を入力とし、ｆ×Ｌ_０’の演算結果を出力する式評価演算部と、
   を備えることを特徴とするペアリング演算装置。
3. ｍ個の群Ｇ_１の元Ｐ_０，…，Ｐ_ｍ−１と群Ｇ_２の元Ｑ_０，…，Ｑ_ｍ−１とのマルチペアリングｅ（Ｐ_０，Ｑ_０）×ｅ（Ｐ_１，Ｑ_１）×…×ｅ（Ｐ_ｍ−１，Ｑ_ｍ−１）を求めるマルチペアリング演算装置であって、
   ｍを２以上の整数、ｊを０以上ｍ−１以下の整数、ｐを素数または素数のべき乗、Ｎを０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_ｊを有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_ｊを有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_ｊ１とＴ_ｊ２をＱ_ｊに対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_ｊ１＝（ｘ_ｊ１，ｙ_ｊ１）、Ｔ_ｊ２＝（ｘ_ｊ２，ｙ_ｊ２）、Ｐ_ｊ＝（ｘ_ｊＰ，ｙ_ｊＰ）、ｅを点Ｐ_ｊと点Ｑ_ｊを入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、Ｌ_ｊを点Ｔ_ｊ１と点Ｔ_ｊ２を通る直線をＰ_ｊで評価した式評価、α_ｊ，β_ｊ，γ_ｊ，Ａ_ｊ，Ｂ_ｊをＦ（ｐ^２）上の元、ｓ_ｊＡとｓ_ｊＢをあらかじめ定めた定数、ｄ_ｊを小整数とし、
   Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
   ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
   のように表現することとし、
   式評価Ｌ_ｊが、
   Ｌ_ｊ＝α_ｊｙ_ｊＰ＋β_ｊｘ_ｊｐｗ＋γ_ｊｖｗ
   のときに、
   ｊ＝０,…,ｍ−１について、Ａ_ｊ＝ｓ_ｊＡ（α_ｊ／β_ｊ）、Ｂ_ｊ＝ｓ_ｊＢ（γ_ｊ／β_ｊ）とし、
   ｊ＝０,…,ｍ−１について、Ａ_ｊと所定の関係を持つ値であるａ_ｊと、Ｂ_ｊと所定の関係を持つ値であるｂ_ｊを記録した記録部と、
   ｊ＝０,…,ｍ−１について、ｘ_ｊＰ’＝１／（ｓ_ｊＢ・ｘ_ｊＰ）、ｙ_ｊＰ’＝ｙ_ｊＰ／（ｓ_ｊＡ・ｘ_ｊＰ）を計算する入力変換部と、
   ｊ＝０,…,ｍ−１のすべてについて、記録部からａ_ｊとｂ_ｊを読み出し、Ａ _ｊ とａ_ｊ との所定の関係とＢ _ｊ とｂ_ｊ との所定の関係を用いて、
   Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（Ａ_ｊｙ_ｊＰ’＋ｗ＋Ｂ_ｊｘ_ｊＰ’ｖｗ）
   のように式評価Ｌ_ｊ’を生成する式評価生成部と、
   ｆ，Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を入力とし、ｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算結果を出力する式評価演算部と、
   を備えることを特徴とするマルチペアリング演算装置。
4. ｍ個の群Ｇ_１の元Ｐ_０，…，Ｐ_ｍ−１と群Ｇ_２の元Ｑ_０，…，Ｑ_ｍ−１とのマルチペアリングｅ（Ｐ_０，Ｑ_０）×ｅ（Ｐ_１，Ｑ_１）×…×ｅ（Ｐ_ｍ−１，Ｑ_ｍ−１）を求めるマルチペアリング演算装置であって、
   ｍを２以上の整数、ｊを０以上ｍ−１以下の整数、ｐを素数または素数のべき乗、Ｎを０，１，２のいずれかの整数、ｋを正の整数、Ｆ（ｐ）とＦ（ｐ^ｋ）を有限体、Ｐ_ｊを有限体Ｆ（ｐ）上の楕円曲線の点、Ｑ_ｊを有限体Ｆ（ｐ^１２）上の楕円曲線の点であって固定された点、Ｔ_ｊ１とＴ_ｊ２をＱ_ｊに対応する有限体Ｆ（ｐ^１２）上の楕円曲線の点、Ｔ_ｊ１＝（ｘ_ｊ１，ｙ_ｊ１）、Ｔ_ｊ２＝（ｘ_ｊ２，ｙ_ｊ２）、Ｐ_ｊ＝（ｘ_ｊＰ，ｙ_ｊＰ）、ｅを点Ｐ_ｊと点Ｑ_ｊを入力とし有限体Ｆ（ｐ^１２）上の元を出力するペアリング演算を示す記号、ｆを有限体Ｆ（ｐ^１２）上の元、点Ｔ_ｊ１と点Ｔ_ｊ２とが異なる場合はλ_ｊ＝（ｙ_ｊ２−ｙ_ｊ１）／（ｘ_ｊ２−ｘ_ｊ１）、点Ｔ_ｊ１と点Ｔ_ｊ２とが同じ場合はλ_ｊ＝３ｘ_ｊ１ ^２／２ｙ_ｊ１、ｄ_ｊを小整数とし、
   Ｆ（ｐ^１２）上の元を、ｃ_０，ｃ_１，ｃ_２，ｃ_３，ｃ_４，ｃ_５はＦ（ｐ^２）上の元である係数、ｖ^３＝ξ、ｗ^２＝ｖ、ξは平方非剰余かつ立方非剰余として、
   ｃ_０＋ｃ_１ｖ＋ｃ_２ｖ^２＋ｃ_３ｗ＋ｃ_４ｖｗ＋ｃ_５ｖ^２ｗ
   のように表現することとし、
   ｊ＝０,…,ｍ−１について、（−１／λ_ｊ）と所定の関係を持つ値であるａ_ｊと、（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）と所定の関係を持つ値であるｂ_ｊを記録した記録部と、
   ｊ＝０,…,ｍ−１について、ｘ_ｊＰ’＝１／ｘ_ｊＰ、ｙ_ｊＰ’＝ｙ_ｊＰ／ｘ_ｊＰを計算する入力変換部と、
   ｊ＝０,…,ｍ−１のすべてについて、記録部からａ_ｊとｂ_ｊを読み出し、（−１／λ _ｊ ）とａ_ｊ との所定の関係と（−（λ _ｊ ｘ _ｊ１ −ｙ _ｊ１ ）／λ _ｊ ）とｂ_ｊ との所定の関係を用いて、
   Ｌ_ｊ’＝ｄ_ｊｖ^Ｎ（（−１／λ_ｊ）ｙ_ｊＰ’＋ｗ＋（−（λ_ｊｘ_ｊ１−ｙ_ｊ１）／λ_ｊ）ｘ_ｊＰ’ｖｗ）
   のように式評価Ｌ_ｊ’を生成する式評価生成部と、
   ｆ，Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’を入力とし、ｆ×Ｌ_０’×…×Ｌ_ｍ−１’の演算結果を出力する式評価演算部と、
   を備えることを特徴とするマルチペアリング演算装置。
5. 請求項３または４記載のマルチペアリング演算装置であって、
   前記式評価演算部は、
   選択されていない式評価Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中から４個を選択し、ｈ_０，ｈ_１，ｈ_２，ｈ_３とする式評価選択部と、
   Ｌ”←ｈ_０×ｈ_１×ｈ_２×ｈ_３ を計算する式評価乗算部と、
   ｆ←ｆ×Ｌ” を計算し、ｆを更新する元乗算部と、
   Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中で、前記式評価選択部で選択されていない式評価の数が４より少なくなるまで、前記式評価選択部と前記式評価乗算部と前記元乗算部の処理を繰り返す演算制御部と、
   Ｌ_０’，Ｌ_１’，…，Ｌ_ｍ−１’の中で、前記式評価選択部で選択されていない式評価がある場合は、選択されていない式評価のすべてをｆに乗算し、乗算結果にｆを更新する未選択乗算部と、
   を備え、ｆを演算結果として出力する
   ことを特徴とするマルチペアリング演算装置。
6. 請求項５記載のマルチペアリング演算装置であって、
   前記式評価乗算部は、
   Ｌ_０’←ｈ_０×ｈ_１， Ｌ_１’←ｈ_２×ｈ_３
   を計算し、
   Ｌ”←Ｌ_０’×Ｌ_１’
   のようにＬ”を計算する
   ことを特徴とするマルチペアリング演算装置。
7. 請求項１もしくは２記載のペアリング演算装置、請求項３〜６のいずれかに記載されたマルチペアリング演算装置のいずれかの演算装置としてコンピュータを機能させるためのプログラム。

Images