JP6293681B2 - マルチスカラー倍算演算装置、マルチスカラー倍算演算方法、プログラム - Google Patents

Description

本発明は、楕円曲線暗号やペアリング暗号における鍵生成、暗号化、復号装置に関し、特に情報セキュリティ技術を実現するためのマルチスカラー倍算演算装置、マルチスカラー倍算演算方法、プログラムに関する。

事前計算および表現変換を伴わない最も基本的なマルチスカラー倍算の計算は、既に一般的な技術として広まっており、例えば、非特許文献１に掲載されている。非特許文献２において、表現変換を用いず事前計算とマルチスカラー倍算計算により効率的にマルチスカラー倍算を計算する方式が提案されている。またHedabouらの非特許文献３では、本発明とは異なったやり方で、事前計算と表現変換のペアを用いて効率化した手法が示されている。非特許文献３は、固定点スカラー倍算の高速化という文脈で記述されているが、これらはマルチスカラー倍算の計算と捉えることができる。

D. Hankerson, A. Menezes, and S. Vanstone, "Guide to Elliptic Curve Cryptography," Springer Professional Computing, Springer-Verlag, pp. 109-113, 2004. C.H. Lim, and P.J. Lee, "More Flexible Exponentiation with Precomputation," CRYPT0 '94, LNCS 839, pp. 95-107, 1994. M. Hedabou, P. Pinel, and L. Bebeteau, "Countermeasures for Preventing Comb Method Against SCA Attacks," ISPEC 2005, LNCS 3439, pp. 85-96, 2005.

楕円曲線暗号では、RSA暗号等と比較して短い鍵長で高い安全性を実現することが可能である。またペアリング暗号では、双線型性と呼ばれる性質を用いることで、任意の文字列を公開鍵として設定可能なIDベース暗号（参考非特許文献１）や、属性/条件式を秘密鍵/暗号文に設定し、柔軟な復号制御が可能な関数型暗号（参考非特許文献２）など、利便性の高い暗号方式が構築可能である。これらはどちらも安全性や利便性の観点で重要な暗号技術である。
（参考非特許文献１：D. Boneh, and M. Franklin, ”Identity-based Encryption from the Weil Pairing,” SIAM Journal on Computing, vol. 32, no. 3, pp. 586-615, 2003.）
（参考非特許文献２：T. Okamoto, and K. Takashima, ”Fully Secure Functional Encryption with General Relations from the Decisional Linear Assumption,” CRYPTO2010, LNCS 6223, pp.191-208, 2010.）
これらを実際のシステムとして実現する際には、楕円曲線上のマルチスカラー倍算が必要となることが多い。例えば、関数型暗号では、鍵生成や暗号化においてマルチスカラー倍算が支配的な計算コストとなる。従って、楕円曲線上のマルチスカラー倍算の効率化は重要な課題である。マルチスカラー倍算の処理における計算コストは、そのほとんどが楕円加算P+Q、楕円2倍算2Pであるため、楕円加算/楕円2倍算を使用する回数を減らすことが効率化する上で必要となる。

そこで本発明では、マルチスカラー倍算計算の際の楕円加算/楕円2倍算の使用回数を削減することができるマルチスカラー倍算演算装置を提供することを目的とする。

本発明のマルチスカラー倍算演算装置は、事前計算部と、表現変換部と、マルチスカラー倍算計算部を含む。

素数p、正整数e、q=p^e、有限体

、楕円曲線E上のF_q-有理点群をE(F_q)とする。

事前計算部は、整数m≧2とし、m個の点P₀,...,P_m-1および0以上の整数k₀,...,k_m-1に対して、マルチスカラー倍算をΣ_i=0 ^m-1k_iP_iを計算しE(F_q)上の点を出力する関数としたとき、m-1個のビット{0,1}の組(e₁,...,e_m-1)の全ての組合せに対して、点P₀+Σ_i=1 ^m-1e_iP_iを計算し、計算した2^m-1個の点を、事前計算テーブルに保存する。

表現変換部は、正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、全てのk'_iに対してj桁目が0、または、k'₀のj桁目が{±1}かつk'₀以外のk'_iのj桁目が0またはk'₀のj桁目と同値、という条件を満たすk'₀,...,k'_m-1に表現変換する。

マルチスカラー倍算計算部は、事前計算テーブルと表現変換されたk'₀,...,k'_m-1を用いてマルチスカラー倍算Σ_i=0 ^m-1k_iP_iと同値の点を計算する。

本発明のマルチスカラー倍算演算装置によれば、マルチスカラー倍算計算の際の楕円加算/楕円2倍算の使用回数を削減することができる。

実施例１のマルチスカラー倍算演算装置の構成を示すブロック図。 実施例１のマルチスカラー倍算演算装置の動作を示すフローチャート。 Binary法を用いたマルチスカラー倍算の計算アルゴリズムを例示する図。 実施例１の表現変換部で実行されるアルゴリズムを例示する図。 実施例１のマルチスカラー倍算計算部で実行されるアルゴリズムを例示する図。 実施例１の表現変換部で実行されるアルゴリズム内において使用されるアルゴリズムを説明する図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

＜準備＞
実施例１の説明に先立ち、本明細書で用いる記号や、従来手法の説明などを行う。素数p、拡大次数e（正整数）に対してq=p^eとし、有限体

とする。また楕円曲線Eに対して楕円曲線上のF_q-有理点の集合（有理点群）を
E(F_q)={(x,y)∈E|x,y∈F_q}∪Ｏ
と定義する。このときE(F_q)は加法群をなす。E(F_q)では、入力P,Q∈E(F_q)に対して、楕円加算R=P+Q(ただし、P≠±Q)と楕円2倍算R=2Pの計算ができる。またＯは、任意の点P∈E(F_q)に対してP+Ｏ＝Pとなる点であり、無限遠点と呼ばれる。以下、楕円加算およびその演算量（計算コスト）をECADD、楕円2倍算およびその演算量（計算コスト）をECDBLと表す。

＜マルチスカラー倍算＞
楕円曲線上のスカラー倍算とは、楕円曲線上の点P∈E(F_q)と0以上の整数kに対して、

を求める計算である。スカラー倍算の拡張として、m個の楕円曲線上の点P_i（i=0,...,m-1）,0以上の整数k_iを入力としたとき、Σ_i=0 ^m-1k_iP_i=k₀P₀+…+k_m-1P_m-1を計算するのがマルチスカラー倍算である。

なお、スカラー値k_iは、nビットの2進数
k_i=(k_i ^(n-1),…,k_i ⁽⁰⁾)=Σ_j=0 ^n-1k_i ^(j)2^j
(ただしk_i ^(j)∈{0,1}、j=0,...,n-1)
で表現されるものとする。

最も基本的なマルチスカラー倍算の計算としてBinary法を用いた方式がある。図３に計算アルゴリズム（Algorithm1）を示す。本アルゴリズム（Algorithm1）は、

すなわち、前述のm個の楕円曲線上の点P_i（i=0,...,m-1）、およびnビットの2進数であるスカラー値k_iを入力とする。本アルゴリズム（Algorithm1）は、

すなわち、マルチスカラー倍算の計算結果Ｒを出力するアルゴリズムである。まず、無限遠点Ｏを用いて

すなわち、Rを無限遠点で初期化する。なお、アルゴリズム内で記号「←」は代入を意味するものとする。次に、

すなわち、j=n-1からj=0まで、jの値をデクリメントしてアルゴリズムの３行目から９行目までを繰り返し演算する。次に、

すなわち、Rに2Rを代入する。次に、

すなわち、i=0からi=m-1まで、iの値をインクリメントしてアルゴリズムの５行目から８行目までを繰り返し演算する。

すなわち、k_i ^(j)=1となるとき、楕円曲線上の点P_iを用いて、

すなわち、RにR+P_iを代入する。アルゴリズムの７〜９行目は、繰り返し演算の終了を示す。そしてアルゴリズムの１０行目

すなわち、マルチスカラー倍算の計算結果Ｒが出力される。スカラー値の各ビットで{0,1}の取る確率が一様である場合、Algorithm1の計算コストは、mn/2ECADD+nECDBL回となる。

［Lim-Lee方式（非特許文献２）］
以下、非特許文献２記載のLim-Lee方式の詳細を説明する。

＜事前計算＞
m個のビットの組(e₀,...,e_m-1)(e_i∈{0,1})の全ての組合せに対して、点Σ_i=0 ^m-1e_iP_iを計算する。

＜表現変換＞
この方式では、各k_iに対して、表現変換は行わない。

［HPB05方式（非特許文献３）］
次に、非特許文献３記載のHPB05方式の詳細を説明する。

＜事前計算＞
m-1個のビットの組(e₁,...,e_m-1)(e_i∈{0,1})の全ての組合せに対して、点P₀+Σ_i=1 ^m-1e_iP_iを計算する。

＜表現変換＞
正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀は全ての桁が{±1}で表現され、他のk'_i（すなわちi≠0）は、k'_iのj桁目であるk'_i ^(j)が{0,k'₀ ^(j)}となるようなk'₀,...,k'_m-1を出力する。k_iの上位桁が0の隣り合う2桁、例えばj桁目、j-1桁目であるk_i ^(j),k_i ^(j-1)は、(k_i ^(j),k_i ^(j-1))=(0,1)→(1,-1)と表現することができることを利用して、上述の表現変換を行うことができる。結果として、k'₀,...,k'_m-1の任意のj桁目に対して、i=1,...,m-1で、

となり、全てのj桁目に対して(k'₀ ^(j),k'_i ^(j))は(1,0),(1,1),(-1,0),(-1,-1)のいずれかの値を取る。

以下、図１、図２を参照して実施例１のマルチスカラー倍算演算装置について説明する。図１は、本実施例のマルチスカラー倍算演算装置１の構成を示すブロック図である。図２は、本実施例のマルチスカラー倍算演算装置１の動作を示すフローチャートである。図１に示すように、本実施例のマルチスカラー倍算演算装置１は、事前計算部１１と、事前計算結果保存部１２と、表現変換部１３と、マルチスカラー倍算計算部１４を含む構成である。

＜事前計算部１１、ステップＳ１１＞
事前計算部１１は、基準となる点P₀と、i=1,...,m-1（m≧2を充たす整数とする）のP_iに対して、事前計算を行い、計算された2^m-1個の点を事前計算結果保存部１２の事前計算テーブルへ保存する。このとき、{0,1}をとるm-1個の値の組(e₁,...,e_m-1)とする。全ての(e₁,...,e_m-1)の組合せは2^m-1個となる。P₀,...,P_m-1に対して、tのマッピング方法の一例として、次のような事前計算テーブルTbl[t]を構成する。ここで、0≦t<2^m-1とする。
Tbl[Σ_j=1 ^m-1e_j2^j-1]=P₀+Σ_j=1 ^m-1e_jP_j
ステップＳ１１は、HPB05方式における事前計算と同様である。

＜表現変換部１３、ステップＳ１３＞
以下、本実施例で用いられるスカラー値の変換方法について説明する。正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、本実施例では、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、以下(1),(2)のどちらかの条件を満たす。

(1)全てのi=0,...,m-1に対して、k'_i ^(j)=0である。

(2)k'₀のj桁目が{±1}かつk'₀以外のk'_i（すなわちi≠0）のj桁目が0またはk'₀のj桁目と同値である。

入力である正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1に対して、上記の条件を満たす表現へ変換する際には、0桁目から変換していき、(k'₀,...,k'_m-1)のあるj桁目で、

という表現に変換すれば、整数s≧0に対してj桁目からj+s+1桁目までの間にs個のゼロ桁を作りつつ、j+s+1桁目以降の変換において発明手法の表現を満たさない桁が現れない変換を継続する事ができる。あるj桁目において上述の変換ができた場合、次はj+s+1桁目をj桁目とみて、繰り返し上述の変換を行う。

表現変換部１３の動作（ステップＳ１３）について、図４に示すアルゴリズムの例（Algorithm2）、図６に示すアルゴリズムの例（Algorithm4,5,6）を参照して詳細に説明する。図４に示すように、表現変換部１３への入力は、

すなわち、前述した正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力とする。表現変換部１３は、

すなわち、表現変換されたスカラー値であるk'₀,...,k'_m-1を出力する。まず、表現変換部１３は、

すなわち、iの初期値を0とする。次に表現変換部１３は、

すなわち、i<nを継続条件としてこのアルゴリズムの３行目から２８行目を実行する。次に表現変換部１３は、k₀のi+1桁目を用いて、

とする。次に表現変換部１３は、図６に示すcountアルゴリズム（Algorithm5）を用いて

とする。図６に示すように、count(k,i,b)は、まずs←0とし、i<nを継続条件として、kのi桁目がbでない場合、すなわちk⁽ⁱ⁾≠bとなる場合にはsを出力する処理を実行し、i,sをインクリメントしてk⁽ⁱ⁾≠bとなる場合にはsを出力する処理を繰り返すアルゴリズムである。次に表現変換部１３は、図６に示すcheckアルゴリズム（Algorithm6）を用いて

すなわち、check(k_j,i,s,b)の結果がj=1,...,m-1の全てにおいて真であるならば、このアルゴリズムの６行目から１５行目を実行し、そうでなければこのアルゴリズムの１７行目から２７行目を実行する。図６に示すようにcheck(k,i,s,b)は、s=0ならば偽(false)を出力し、j=1からsまで、k^(i+j)≠k⁽ⁱ⁾bならば偽(false)を出力する処理を繰り返し実行し、それ以外の場合に真（true）を出力するアルゴリズムである。Algorithm2の５行目のcheckの結果が真である場合に、表現変換部１３は、

すなわち、k₀のi桁目に(-1)^b、k₀のi+s+1桁目に1、k₀のi+t桁目(ただし、t=1,...,s)に0を、代入する。次に表現変換部１３は、

すなわち、j=1からj=m-1まで、jの値をインクリメントしながらアルゴリズムの９行目から１４行目までを繰り返し演算する。次に表現変換部１３は、

すなわち、k_jのi桁目に(-1)^b・k_j ⁽ⁱ⁾、k_jのi+t桁目(ただし、t=1,...,s)に0を、代入する。次に、表現変換部１３は、

すなわち、k_jのi行目が-1である場合に、k_jにcarry_addアルゴリズム（Algorithm4）の実行結果を代入する。図６に示すようにcarry_add(k,i)は、kのi行目が0でないこと、すなわちk⁽ⁱ⁾≠0を継続条件として、kのi行目に0を代入（k⁽ⁱ⁾←0）して、iをインクリメントする処理を繰り返し実行し、それ以外のkのi行目に対して１を代入（k⁽ⁱ⁾←1）し、kを出力するアルゴリズムである。Algorithm2の１３行目は、１１行目から始まる分岐処理の終了を示す。同１４行目は、８行目から始まる繰り返し処理の終了を示す。１５行目は、checkが真である場合に実行される処理の最後に、i←i+s+1とすることを示す。

Algorithm2の１６行目以降は、check(k_j,i,s,b)の結果がj=1,...,m-1のいずれかにおいて真でない場合の処理である。具体的には表現変換部１３は、check(k_j,i,s,b)の結果がj=1,...,m-1において真でない場合、

すなわち、k₀ ⁽ⁱ⁺¹⁾=0である場合にアルゴリズムの１８行目から２５行目までを実行する。表現変換部１３は、

すなわち、k₀のi桁目に-1を代入し、k₀のi+1桁目に1を代入する。次に表現変換部１３は、

すなわち、j=1からj=m-1まで、jの値をインクリメントしながらアルゴリズムの２０行目から２４行目までを繰り返し演算する。次に表現変換部１３は、

すなわち、k_jのi桁目が0でない場合に、k_jのi桁目に-1を代入し、k_jにcarry_add(k_j,i+1)の実行結果を代入する。２３行目は、２０行目から始まる分岐処理の終了を、２４行目は、１９行目から始まる繰り返し処理の終了を、２５行目は、１７行目から始まる繰り返し処理の終了を示す。２６行目は、checkが真でない場合に実行される処理の最後に、表現変換部１３がiをインクリメントすることを示す。最後に、表現変換部１３は

すなわち、表現変換結果である(k'₀,...,k'_m-1)を出力する（上記アルゴリズムでは、k₀,...,k_m-1に上書きする形で表現変換結果k'₀,...,k'_m-1を得る）。
＜マルチスカラー倍算計算部１４、ステップＳ１４＞
マルチスカラー倍算計算部１４は、上記表現変換されたk'₀,...,k'_m-1と、事前計算テーブルTbl[t]を用いて、マルチスカラー倍算Σ_i=0 ^m-1k_iP_iと同値の点を、例えば図５に示すAlgorithm3によって計算する。マルチスカラー倍算計算部１４は、

すなわち、事前計算テーブルTbl[t]と、表現変換結果である(k'₀,...,k'_m-1)を入力とする。マルチスカラー倍算計算部１４は、

すなわち、マルチスカラー倍算の計算結果Ｒを出力する。マルチスカラー倍算計算部１４は、無限遠点Ｏを用いて

とする。次にマルチスカラー倍算計算部１４は、

すなわち、i=n+1からi=0まで、iの値をデクリメントしてアルゴリズムの３行目から１０行目までを繰り返し演算する。次にマルチスカラー倍算計算部１４は、

とする。次にマルチスカラー倍算計算部１４は、

すなわち、cにk'₀のi桁目を代入し、tにΣ_d=1 ^m-1k'_d ⁽ⁱ⁾2^d-1を代入する。次にマルチスカラー倍算計算部１４は、

すなわち、c=1である場合に、RにR+Tbl[t]を代入する。次にマルチスカラー倍算計算部１４は、

すなわち、c=-1である場合に、RにR-Tbl[-t]を代入する。９行目は、５行目から始まる繰り返し処理の終了を示す。１０行目は、２行目から始まる分岐処理の終了を示す。マルチスカラー倍算計算部１４は、

すなわち、マルチスカラー倍算の計算結果Ｒを出力する。

＜変形例１＞
上述の実施例１においては、マルチスカラー倍算演算装置１に事前計算部１１を含む構成としたが、これに限らず、マルチスカラー倍算演算装置から事前計算部１１を省略することができる。この場合外部装置などに事前計算部１１にあたる構成が存在するものとする。この場合外部装置が予め事前計算を実行しておき、事前計算の結果は、事前計算結果保存部１２が事前計算テーブルとして予め保存しておくものとする。この場合、予め計算された2^m-1個の点は固定点である。なお、実施例１においては、都度事前計算部が計算を実行するため、計算される点は可変点である。

＜実施例１のマルチスカラー倍算演算装置の効果＞
本実施例のマルチスカラー倍算演算装置によれば、全てのk_iに対するj桁目が0であるゼロ桁が、Lim-Lee方式と同程度の確率で出現するような変換手法を実現し、Lim-Lee方式と同程度の計算コストで、かつ事前計算テーブルのサイズを半分にすることを実現した。また変形例１で述べたように、入力される点P_iがシステムとして固定である場合は、事前計算部１２における計算コストがゼロであるため効果が得られる。

Lim-Lee方式における固定点スカラー倍算では、事前計算テーブルのサイズが2^m-1となり、計算コストはn(1-1/2^m)ECADD+nECDBLとなる。またHPB05方式では、基準としたk'₀では全ての桁が必ず非ゼロであることから楕円加算を削減することが出来ないため、計算コストは(n+1)ECADD+(n+1)ECDBLとなる。また事前計算テーブルのサイズは2^m-1となる。本実施例では、新たにk_iの表現を変換する手法および事前計算テーブルの作成方法を提案した。これにより、事前計算テーブルは2^m-1となり、計算コストはn(1-1/2^m)ECADD+(n+1)ECDBLとすることが出来た。計算コストの面では、Lim-Lee方式と同程度であり、HPB05方式からn/2^m回の楕円加算を削減できた。また事前計算テーブルのサイズの面では、Lim-Lee方式から約半分、HPB05方式と同様となる。つまり本実施例では、Lim-Lee方式とHPB05方式の両方の良い部分を満たす事前計算方式と表現変換方式を実現することが出来た。

＜実施例１の要点＞
楕円曲線上のマルチスカラー倍算では、楕円加算を削減するために、全てのi=0,...,m-1でk_i ^(j)=0となる確率が大きい場合に楕円加算を省略することができる。本実施例のマルチスカラー倍算演算装置によれば、事前計算テーブルをHPB05と同じにしながら、新たな表現方法を用いてゼロ濃度を増加させることが出来たため、結果として、マルチスカラー倍算を小さなテーブルサイズでより高速に計算することができるようになった。

＜補記＞
本発明の装置は、例えば単一のハードウェアエンティティとして、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit、キャッシュメモリやレジスタなどを備えていてもよい）、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けることとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくこととしてもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置（あるいはＲＯＭなど）に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。その結果、ＣＰＵが所定の機能（上記、…部、…手段などと表した各構成要件）を実現する。

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

既述のように、上記実施形態において説明したハードウェアエンティティ（本発明の装置）における処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (5)

1. 素数p、正整数e、q=p^e、有限体
   

   

   
   、楕円曲線E上のF_q-有理点群をE(F_q)としたとき、
   整数m≧2とし、m個の点P₀,...,P_m-1および0以上の整数k₀,...,k_m-1に対して、マルチスカラー倍算をΣ_i=0 ^m-1k_iP_iを計算しE(F_q)上の点を出力する関数としたとき、m-1個のビット{0,1}の組(e₁,...,e_m-1)の全ての組合せに対して、点P₀+Σ_i=1 ^m-1e_iP_iを計算し、前記
   計算した2^m-1個の点を、事前計算テーブルに保存する事前計算部と、
   正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、全てのk'_iに対してj桁目が0、または、k'₀のj桁目が{±1}かつk'₀以外
   のk'_iのj桁目が0またはk'₀のj桁目と同値、という条件を満たすk'₀,...,k'_m-1に表現変換する表現変換部と、
   前記事前計算テーブルと前記表現変換されたk'₀,...,k'_m-1を用いてマルチスカラー倍
   算Σ_i=0 ^m-1k_iP_iと同値の点を計算するマルチスカラー倍算計算部を含む
   マルチスカラー倍算演算装置。
2. 素数p、正整数e、q=p^e、有限体
   

   

   
   、楕円曲線E上のF_q-有理点群をE(F_q)としたとき、
   整数m≧2とし、m個の点P₀,...,P_m-1および0以上の整数k₀,...,k_m-1に対して、マルチスカラー倍算をΣ_i=0 ^m-1k_iP_iを計算しE(F_q)上の点を出力する関数としたとき、m-1個のビット{0,1}の組(e₁,...,e_m-1)の全ての組合せに対して予め計算された2^m-1個の点P₀+Σ_i=1 ^m-1e_iP_iを、事前計算テーブルとして保存する事前計算結果保存部と、
   正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、全てのk'_iに対してj桁目が0、または、k'₀のj桁目が{±1}かつk'₀以外
   のk'_iのj桁目が0またはk'₀のj桁目と同値、という条件を満たすk'₀,...,k'_m-1に表現変換する表現変換部と、
   前記事前計算テーブルと前記表現変換されたk'₀,...,k'_m-1を用いてマルチスカラー倍
   算Σ_i=0 ^m-1k_iP_iと同値の点を計算するマルチスカラー倍算計算部を含む
   マルチスカラー倍算演算装置。
3. マルチスカラー倍算演算装置が実行するマルチスカラー倍算演算方法であって、
   素数p、正整数e、q=p^e、有限体
   

   

   
   、楕円曲線E上のF_q-有理点群をE(F_q)としたとき、
   整数m≧2とし、m個の点P₀,...,P_m-1および0以上の整数k₀,...,k_m-1に対して、マルチスカラー倍算をΣ_i=0 ^m-1k_iP_iを計算しE(F_q)上の点を出力する関数としたとき、m-1個のビット{0,1}の組(e₁,...,e_m-1)の全ての組合せに対して、点P₀+Σ_i=1 ^m-1e_iP_iを計算し、前記計算した2^m-1個の点を、事前計算テーブルに保存する事前計算ステップと、
   正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、全てのk'_iに対してj桁目が0、または、k'₀のj桁目が{±1}かつk'₀以外
   のk'_iのj桁目が0またはk'₀のj桁目と同値、という条件を満たすk'₀,...,k'_m-1に表現変換する表現変換ステップと、
   前記事前計算テーブルと前記表現変換されたk'₀,...,k'_m-1を用いてマルチスカラー倍
   算Σ_i=0 ^m-1k_iP_iと同値の点を計算するマルチスカラー倍算計算ステップを含む
   マルチスカラー倍算演算方法。
4. マルチスカラー倍算演算装置が実行するマルチスカラー倍算演算方法であって、
   素数p、正整数e、q=p^e、有限体
   

   

   
   、楕円曲線E上のF_q-有理点群をE(F_q)としたとき、
   整数m≧2とし、m個の点P₀,...,P_m-1および0以上の整数k₀,...,k_m-1に対して、マルチスカラー倍算をΣ_i=0 ^m-1k_iP_iを計算しE(F_q)上の点を出力する関数としたとき、m-1個のビット{0,1}の組(e₁,...,e_m-1)の全ての組合せに対して予め計算された2^m-1個の点P₀+Σ_i=1 ^m-1e_iP_iを、事前計算テーブルとして保存する事前計算結果保存ステップと、
   正整数かつ奇数k₀、0以上の整数k₁,...,k_m-1を入力として、k'₀,...,k'_m-1の各桁が{0,±1}で表現され、全てのk'_iに対してj桁目が0、または、k'₀のj桁目が{±1}かつk'₀以外
   のk'_iのj桁目が0またはk'₀のj桁目と同値、という条件を満たすk'₀,...,k'_m-1に表現変換する表現変換ステップと、
   前記事前計算テーブルと前記表現変換されたk'₀,...,k'_m-1を用いてマルチスカラー倍
   算Σ_i=0 ^m-1k_iP_iと同値の点を計算するマルチスカラー倍算計算ステップを含む
   マルチスカラー倍算演算方法。
5. コンピュータを、請求項１または２に記載のマルチスカラー倍算演算装置として機能させるためのプログラム。
   

Images