JPH0372737A - 依頼計算方式 - Google Patents

Abstract

(57)【要約】本公報は電子出願前の出願データであるた
め要約のデータは記録されません。

Description

【発明の詳細な説明】 〔発明の目的〕 （産業上の利用分野） 本発明は、演算の主体となる計算装置内の秘密情報を漏
らさずに複数の装置が分散して計算を行う依頼計算方式
に関する。

（従来の技術） 社会の情報化・ネットワーク化の進展によシ我我の生活
や仕事はよシ効率化され、便利になシつつある。

しかし、その一方で情報の悪用やプライバシーの侵害な
ど新たな問題もクローズアップされている。プライバシ
ーを保護するためには、ネクトワークを介して様々なサ
ービスが提供されるとき、そのサービスを受けようとす
る個人がサービス提供者に対して自分の秘密を漏らすこ
となくサービスを受けるという技術が重要となってくる
と考えられる。

例えば、プライバシーを守ることを第一とするならば、
データベースの検索では個人がどのデータにアクセスし
たのかサービス提供者に分からないほうが良い。

また、コンピュータを協同利用する場合には、ユーザが
例を計算したのかはコンピュータの提供者に分からせる
必要も本来ない。

このような“秘密を漏らさずサービスを受ける方法を論
じた文献としては例えば、「秘密を漏らさずにサービス
を依頼する方法について」（松本、今井：　１９８９年
、暗号と情報セキュリティシンポジウム資料１１−１．
１９８９年２月）がある。

具体的には、公開鍵暗号Ｒ８Ａの変換を秘密情報やメツ
セージ内容を演算装置に漏らさずに実行するもの、行列
Ａ、Ｈの内容を漏らさずにその積を計算する方法、線形
方程式の根を相手に知られないようにしながら相手の力
を借りて求める方法などが提案されている。

これらのうち、その特徴が最も端的に分か９１かつ本発
明と係わルの深いものとして、Ｒ８Ａ暗号の変換を行う
依頼計算方式を説明する。

Ｒ８Ａ暗号は１９７８年にＲｉｖｅｓｔ等ニヨッテ提案
された公開鍵暗号である（文献：　Ｒ，Ｌ、Ｒｉｖｅｓ
ｔ、Ａ。

Ｓｈａｍｉｒ　ａｎｄ　Ｌ、Ａｄｌｍａｎ　：　Ａ　ｍ
ｅｔｈｏｄ　ｏｆ　ｏｂｔａｉｎｉｎｇｄｉｇｉｔａｌ
　ｓｉｇｎａｔｕｒｅｓ　ａｎｄ　ｃｒｙｐｔｏｓｙｓ
ｔｅｍｓ　”　Ｃ０ｍｍ。

ｏｆＡｃＭ、ｐｐ、１２０−１２６　’）。

Ｒ８Ａ暗号では暗号化の鍵として正の整数ｅとｎを用い
、復号化の鍵として同じく正の整数ｄとｎを用いる（但
し、ｎは大きな二つの素数ｐ、ｑの積である）。なか、
これら鍵情報の具体的選び方は前記文献に示されている
。

平文Ｍと暗号文Ｃは共に公開の法ｎ未満の整数である。

ｃ　＝　ｆｍｏｄ　ｎ　　　　（１） また、復号化は次のようにして実行する。

Ｍ＝♂ｍｏｄ　ｎ　　　　（２１ Ｒ８Ａ暗号の変換には、（１）式のように公開鍵ｅ、ｎ
を用いた公開変換（暗号文の生成釦よび署名文のチエツ
ク）と、（２）式のように秘密鍵ｄとｎを用いた秘密変
換（暗号文の復号および署名文の作＃Ｃ）とがある。

前者は、ｅを予め小さい値に選べるので、ＩＣカードの
ように比較的計算力が小さい装置（８ピツトまたは１６
ビツトのＣＰＵ）でも短時間に行うことができ、実装上
の問題は生じない。

一方、後者の変換はｄが大きくて（例えば１０進２００
桁程度の数）、かつｄの値は秘密に保持しなければいけ
ないので、以下に述べるように実装置の問題を生ずる。

ここで、この暗号の重点を整理すると、■各・人ごと異
なる公開鍵ｅ、ｎは、リストのような形で公開されてお
り、だれでもアクセスできる。

■秘密鍵ｄ　、ｐ−ｑｔλ（ｎ）＝　Ｉ　Ｃｍ　（ｐ−
１、ｑ−１）（ここで１ｃｍ（ａ、ｂ）はａとｂの間の
最小公倍数を表す）は、個人の秘密であう、他人に知ら
れないように十分注意する必要がある。

■暗号化機能のほかに署名機能がある。

■Ｒ８Ａ暗号の安全性を保障するためには、秘密鍵ｐ、
ｑの桁数を各々１０進１００桁程度の大きさに選ぶ必要
がある。ｎはこの場合ＩＯ進２００桁程度の数になシ、
Ｒ８Ａの暗号化・復号化変換は膨大な処理量の計算とな
る。

さて、多くの人が加入するネットワークでＲ８Ａ暗号の
利点を最大限に引き出せる運用法としては、各人に個別
に鍵を発行して、ｉｆ搬の記憶媒体にその鍵を記憶させ
、それを各自が持ち歩くのがよい。

このとき、上記要点に述べた点は運用上非常に重要であ
る。

要点■の条件を満足させることのできる個人の秘密鍵の
格納媒体としては、ＩＣカード（ｃＰＵとメモリを内蔵
したプラスチイック・カード）が携帯性のある個人対応
の計算装置および記憶装置として最も好適である。

第５図は、このようなＩＣカードシステムの外観を示す
図である。

同図にかいて、ｌはＩＣカードを示しておシ、２はＩＣ
カードｌが用いられる装置を示している。

この装置２は、端末３、デイスプレィ４、キーボード５
、リーダ・ライタ６、フロッピィディスク７などから構
成される。

ＩＣカード１は、第６図に示すように、統括的制御を行
うＣＰＵ８．ＣＰＵ８の動作に必要なプログラムを記憶
するプログラムメモリ（ＲＯＭ）９、データを記憶する
データメモリ（ＥＥＰＲＯＭ）１０゜入出力のインタフ
ェースであるＩ１０コンタクト１１などから構成される
。

端末３は、第７図に示すように、内部データバス１２を
介し、デイスプレィコントローラ１３、中央処理装置１
４、メインメモリ１５、通信ボート１６．１７、フロッ
ピィディスクドライバ１８、キーボードｌ１０１９など
が接続された構成を有する。

ＩＣカードは、本発明を適用できる重要なシステムなの
で、ここでその代表的な利用手順を説明しておく。

第８図は端末３の処理フローを示したものである。

ｌず、ユーザは端末３に向かうと共に、自分のＩＣカー
ド１を端末３に接続されたＩＣカード１のリーダ・ライ
タ６に挿入する。

そして、キーボード５の適当なキーを叩き使用開始を端
末に知らせる（ステップ８０１）。このとき、同時にリ
ーダ・ライタ６を介してＩＣカード１にクロックおよび
電源が供給され、適当な初期化の後にＩＣカードｌは通
信待ち状態となる（ステップ８０３）。

端末３は、ＩＣカード１のユーザ確認を行うために、ユ
ーザに対してパスワードの入力を指示する（ステップ８
０４）。ユーザが入力したパスワードは、ＩＣカード１
内に記憶されている登録パスワードと比較され、一致す
ればＩＣカード１は使用不能状態となるが、一致しない
場合にはＩＣカード１は使用不能状態となる（ステップ
８０７〜８０９）。

これ以後、ユーザは、コマンドの形で端末３に指示を与
える（ステップ８１１，８１２）。

必要な手続きが終われば処理の終了を端末３に入力して
作業を終える（ステップ８１０〜８１３）。

このようにして利用されるＩＣカードに、Ｒ８Ａ暗号の
秘密鍵を格納した場合、上記要点■の要求から、理想的
にはＩＣカード内でＲ８Ａの復号変換および署名作成を
行うのが良い。

何故ならば、ＩＣカードにはパスワード照合によるアク
セス制御機能があるので、ＩＣカード内で変換を行えば
ｄｊｉＰ、ｑ、λ（ｎ）がＩＣカード外に洩れる心配は
筐ず無くなるからである。

しかしながら、現状では上記要点■に述べたことおよび
ＩＣカードの計算力不足が理由によシ、Ｒ８Ａ暗号の変
換をＩＣカードで行った場合、実用上十分な処理速度を
達成することができない、筐た、Ｒ８Ａ専用の高速演算
ＬＳＩをＩＣカードに実装することも考えられるが、カ
ードコストの増大は避けられない。

一方、ＩＣカードを単にアクセス制御機能のある鍵メモ
リとして利用することは容易である。

第９図に示すように、手間のかかる暗号変換は計算能力
の高いＩＣカード外の装置、例えば端末に行わせること
によって実用的な処理速度を達成可能である。

具体的な計算手順を以下に示す。

〔手順１〕 ■ＩＣカードは、メツセージＭとｄｊｉｒｆを端末に伝
送する。

■端末は、８　＝　Ｍ　ｍｏｄ　Ｈを計算しＩＣカード
に送シ返す。

しかし、この場合には、ｄを端末に渡すことになるので
、端末装置の設計ｐよび維持管理に十分な注意を怠ると
、端末や伝送路経由でｄが他人に洩れる恐れがある。

また、偽の端末によって知らぬ間にｄを盗まれるかもし
れない。

このような処理の尚速比と秘密情報の保護という二つの
問題を解決する方法として、端末には秘密鍵ｄに関する
情報をもらさずに、端末の計算力のみを借すてＩＣカー
ドが効率よ（Ｒ８Ａの暗号変換を行える依頼計算法が前
記文献「秘密を漏らさずにサービスを依頼する方法につ
いて」（松本、今井：　１９８９年暗号と情報・セキュ
リイシンポジウム資料１１−１．１９８９年２月）ほか
幾つかの文献に開示されている。

また、前記文献とは別のＲ８Ａ暗号の依頼計算法が「Ｉ
Ｃカードシステムに釦ける依頼計算について」（用村、
新保、電子情報通信学会春季全国大会、１９８９．３月
）に開示されている。

ここでは、この二つの方式を説明する。

まず、「秘密を漏らさずにサービスを依頼する方法につ
いて」（松本、今井：　１９８９年暗号と情報セキュリ
ティシンポジウム資料１１−１．１９８９年２月）に示
されている二つの方式を説明する。

〔プロトコル１〕（第１０図） 与えられたＲ８Ａ暗号の秘密指数ｄを次式のように分解
する。

ｄ三ｆｔ　＋ｄｔ　＋ｆｔ・ｄａ　＋ ・・−−１−ｆ、、・ｄｒｒｌ（ｍｏｄλ（ｎ）　）　
　　（３）この式の右辺に現れる２種類の整数の組を各
々整数ベクトルＤ＝［ｄｌ、　ｄｊｉ　、・・・、ｄ　
］、Ｆ＝［ｆＩ、　ｆａ　。

・・・、ｆ□〕と表すことにする。

ＦはＩＣカードの秘密である。

■ＩＣカードはＭ　、　ｎ　、　Ｄを端末に転送。

■端末は ｙ　ｉ　＝　Ｍ”　ｍｏｄ　ｎ　　　　　　　　（４１
ヲ’　＝　１　ｔ・・・２ｍについて計算し、ＩＣカー
ドに転送。

■ＩＣカードは次式によってＳを計算。

ｆ　　　　ｆ２ｆ Ｓ＝ｙ、　ｌｘ　’Ｉｈ　　Ｘ−Ｘ　Ｙ　　”ｍｏｄｎ
　　　　（５）こうして求めたＳはＭ　ｍｏｄ　ｎに等
しい。

ここでＦをバイナリベクトル（各要素が０會たは１のベ
クトル）とすると、（５）式のｆｉによるベキ乗は事実
上不要となる。

〔プロトコル２〕（第１１図） 与えられたＲ８Ａ暗号の秘密指数ｄを法ｎの二つの素因
数ｐ、ｑを法として次式のように分解する。

ｄ三ｆ１・ｄｊｉ　−）−ｆ、・ｄｊｉ＋・＋　ｆｍ・
ｄｍ（ｍｏｄ　ｐ　）（６） ｄ三り１ｄｌ十ｇ２・ｄ２　＋　”’　＋　ｇｍ・ｄｍ
（ｍＯｄｑ）（７） この式の右辺に現れる３種類の整数の組を各々整数ベク
トルＤ＝［ｄｌ　、ｃｔ、　””’ｄｍ］、Ｆ−［ｆ、
　、ｆ２゜”・＝　’ｎ１〕、Ｇ＝〔ｇ１９ｇ２．・・
・２ｇｍ〕　　と表すことにする。Ｆ、ＧはＩＣカード
の秘密である。

■ＩＣカードは、Ｍ　、　ｎ　、　ｌ）を端末に転送。

■端末は、 ｉ ｙ・＝　Ｍ　　ｍｏｄ　ｎ　　　　　　　　（８１をｉ
　＝　１　、・・・９ｍについて言１算し、ｌＣカード
に転送する。

■ｉＣカードは、次式によって８を計算する。

ｆｆ　　　　　　　　　ｆ ８ｐ＝１１”　Ｘ　ｙ２”　Ｘ・−Ｘ　ｙ；、　ｍ　ｍ
ｏｄ　ｐ　　　（９１ｇ＋ ５ｑ＝ｙｌＸｙ２×・・・×）ＩｒｒｌｇｍｍｏｄｑＱ
ｏ）■次の連立方程式を満たすＳを求める。

解法については、例えば、高木貞治二“初等整数輪講義
”、共立出版に示されている。すなわち、Ｓｐ三Ｓｍｏ
ｄｐ　　　　　　　　　　　　ＱυＳｑ三８　ｍｏｄ　
ｑ　　　　　　　　　　　　Ｈとなる。

こうして求めたＳは、Ｍｄｍｏｄｎに等しい。

ここでＦ、Ｇをバイナリベクトルとすると（９）。

０１式の’ｉ　＋　ｇｉよるベキ乗は事実上不要となる
。

次に、本発明者等によるｌ’−ＩＣカードシステムにお
ける依頼計算について」（用村、新保、電子情報通信学
会春季全国大会、１９８９．３月）に示された方式を説
明する。な訃、ここでは、計算依頼側をＩＣカード、計
算請負側を端末とする。

〔プロトコル３〕（第１２図） まず、準備として以下の（１３）　、　（１４）を満た
す適当な乱数の組ｒｐ　ｊ　ｒｑ　、　Ｒを求める。

ｒｐ＝　Ｒｍｏｄ　（ｐｌ　）　　　　　　　　　　（
１３ｒｑ＝　Ｒｍｏｄ　（ｑ−１）　　　　　　　　　
ＱＪただし、ｘ　（ｒ）＝　ｔ　（ｒ）　＋　ｗ　（ｒ
）　−２と定義するとき、ｒｐ　ｒ　ｒｑは、 ｘ（ｒ）＋ｘ（ｒ、）　　　　　　　　　　　（Ｌ勾が
小さい数であるように選ばれる。なお、ｔ（ｒ）はｒの
ビット長、ｗ（ｒ）はｒのハミング重みを表わし、ｘ　
（ｒ）４ｄ　ｒを指数とするべき乗剰余計算に要する剰
余乗算の回数の回数を表わしている。

０、α４式の連立方程式は、’ｐ　ｌ　’ｑを適当に定
めてその後にＲを求めるもので、解の存在条件および解
法は、例えば、′高木貞治：″初等整数輪講義”共立出
版、　Ｐｐ、３１−３５　”　　に示されている。この
連立方程式の解はＬ　＝　１　ｃｍ　（ｐ−１、Ｑ−１
）　を法として唯一つ定理る。

また、必要に応じて、 Ｗ、＝ｑ　（Ｑ−１ｍｏｄ　ｐ　）　ｍｏｄ　ｎＷ９＝
ｐ（ｐ−１ｍｏｄｑ）ｍｏｄｎ　　　　　’　　　（ｌ
ｆ９も計算しておく。

後に述べるようにＷ、Ｗは必ず用意しなければ　　　ｑ ならない定数ではない。

ＩＣカード内にはｒｐ　ｔ　ｒｑ　ｌ　ｄｔ　ｐ　＋　
ｑ　ｔλ（ｎ）。

ｎ　ｖ　ｄ’　ｔ　Ｗ、　、Ｗ９カ記憶サレテイル。

ｄを変形してｄｉを求める変換を ｄ’　＝（ｄ−Ｒ）ｍｏｄλ（ｆｌ）　　　　　　　　
　αηと定義する。

第１２図はこれ以降の演算の手順を示すものである。

端末はこの暗号文Ｃｆ：まずＩＣカード宛てに伝送しく
ステップ１２０１）、同時にＩＣカードのメモリに書き
込１れているｄｌとｎを読み出す（ステップ１２０２）
。

端末はこの二つの情報を用いて暗号文Ｃから、Ｍを次式
に従って計算する（ステップ１２０．１１　）。

Ｍ’　＝　Ｃ”ｍｏｄ　ｎ　　　　　　　　　　　Ｈ端
末は計算したＭｌをＩＣカードに送る（ステップ１２０
５）。

一方、ＩＣカードは端末の計算と並行して、四〜（２υ
式に従って定数Ｘを求める（ステップ１２０４）。

を計算し、次式によってＸを求める。

ここで、（１１−（２ａ式について補足説明をして訃〈
。

（１１、（イ）式はＸに関する連立方程式と見ることが
できるが、中国剰余定理（例えば、高木貞治：“初等整
数輪講義”、共立出版参照）より、この２式を満たすＸ
は一意に定理る。

そして、その−解法が０９式の右辺である。

ここでは、先に計算したＷ、Ｗなる二つの補助　　　ｑ 変数を用いてＸを導出している。ただし、（１１，（至
）を満たすＸの導出法はこれに限らない。例えば、Ｊ　
、Ｊ　、Ｑｕｉｓｑｕａｔｅｒ等による文献”ｌ；’ａ
ｓｔ　ｄｅｃｉｐｈｅｒ−ｍｅｎｔ　ａｌｇｏｒｉｔｈ
ｍ　ｆｏｒ　Ｒ８Ａ　ｐｕｂｌｉｃ−ｋｅｙｃｒｙｐｔ
ｏｓｙｓｔｅｒｒ＆”Ｅｌｅｃｔｒｏｎ、Ｌｅｔｔ　、
、　１８，２１．ｐＩ）、９０５−９０７（Ｏｃｔ　、
１９８２　）には、この種の連立方程式の別な解法が示
されている。

したがって、（２Ｄ式によるＸの導出ふ・よび補助変数
Ｗ、　、　Ｗの使用は本質的ではなく弐α１．ＣＡを同
時に満たすＸを求めることのみが本質である。

さて、ＩＣカードが本来求めたかった平文Ｍは暗号文Ｃ
を、 Ｍ＝　Ｃｄｍｏｄ　ｎ　　　　　　　　　　　（２３と
変換して得られるが、とのＭは端末が計算したＭｌとＩ
Ｃカードが計算したＸとから次式によって求められる（
ステップ１２０６）。

Ｍ　＝　ＣＭ’ｓ　Ｘ）ｍｏｄ　ｎ　　　　　　　　　
ＨＩＣカードは得られたＭを復号結果として端末に伝送
する（ステップ１２０７）。

以上の手続きの中で、（至）式でＭが正しく計算できる
ことは、以下のように説明される。

先ず、αＩ−０υより、 Ｘ　＝　ＣＲｍｏｄ　ｎ　　　　　　　　　　Ｃ２４）
である。これは中国剰余定理よシ明らかである。

一方、 Ｍ＝♂’ｍｏｄ　ｎ ＝　Ｃ（ｄ−Ｒ）ｍｏｄλ”’ｍ□ｄ　Ｈ＝　Ｃ（ｄ”
）ｍｏｄ　ｎ ＝♂♂□ｏｄ　ｎ　　　　　　　　　（至）（財）、　
（２５１式より１ （Ｍ’　−Ｘ）ｍｏｄ　ｎ＝（ｃｄＣ”−♂）ｍｏｄｎ
＝　Ｃｄｍｏｄ　ｎ ２Ｍ　　　　　　　　　　　　　（４）これで（２）式
が或シ立つことが示された。

次に、プロトコル２とプロトコル３の処理時間特性を検
討する。

Ｒ８Ａ暗号に用いる場合、プロトコル１は同じ安全性を
保障できるプロトコル２と比べて常に計算時間が掛かる
ので比較の対象としない。

具体的パラメータとして、法ｎが５１２ビツトである場
合を解析すると、各々次のような性徴を持つことが分か
る。

プロトコル２は端末が極めて高速であるときに有効であ
シ、プロトコル３は端末速度が比較的小さいときに有効
である。

ＩＣカードが５１２ビツトの剰余乗算を行う場合の処理
速度を１と正規化したときの、端末の相対速度をＶで現
すものとする。

概ねＶ≦４の場合には、依頼計算を行わずＩＣカード単
体で行うのが最も処理時間が短い。

また、概ね１０００≦Ｖでは、プロトコル２を用いるの
が最も処理時間が短い。

また、４≦Ｖ≦１０００の範囲ではプロトコル３の依頼
計算を用いるのが最も処理時間が短い。

なか、このとき、４≦Ｖ≦２０の範囲ではＶの増加に伴
って処理時間は短くなって行くが、２０≦Ｖの範囲では
処理時間は一定である。

以上の様子を定性的に示したのが第１３図のグラフであ
る。

このグラフは処理時間の傾向を示すが必ずしも正確では
ないことを注意してかく。

概ね４≦Ｖ≦１０００の中間の領域では端末を高速化し
てもトータルの処理時間は改善されず効率が悪い。

したがって、この領域でも適切なパラメータ設定をする
ことによって処理時間の改善が図れるような依頼計算法
が有れば有意義であることが分かる。

（発明が解決しようとする課題） 以上をまとめると、筐ずＲ８Ａ暗号のように秘密の情報
に係る計算を行う場合において、計算を行う装置そのも
のにとっては計算の手間が膨大なときには、演算時間が
過度にかかってしまうという問題を生ずる。

例えばＩＣカードのような計算力が比較的小さい装置で
実行させようとすると多大な計算時間を要する。

會た、計算主体となる装置だけでなくこれを補助する装
置を用意して、これらが分担して秘密情報に係る計算を
分担して行うことによって演算時間を削減することが考
えられるが、このとき秘密情報を補助装置に直接示すと
補助装置や第三者によりこの秘密情報を盗ｌれて悪用さ
れる恐れがある。

例えば１（８Ａ暗号の計算を高速に行える外部装置を用
意してこれにｄを示して計算させようとすると、復号変
換やディジタル署名作成に必要な秘密情報を外部装置に
知られてし筐い不正使用される恐れがある。

これに対して「依頼計算」を用いて秘密情報は外部装置
に漏らすこと無く、外部装置の計算力を借りて効率よく
変換を行う手法が提案されている。

しかしながら、従来提案されている方法は端末の速度が
比較的低い場合や端末速度が極めて大きい場合には効果
が大きいが、その中間の速度を有する端末に対しては余
シ効率的な方法とはいえなかった。

本発明は以上の問題点に鑑み威されたもので、整数を法
とするベキ乗剰余演算において秘密となる指数を計算の
請負側に漏らすことなく、しかも請負側の計算力を借υ
て効率よく実行する依頼計算方式に訃いて、従来提案さ
れている方式では十分端末の計算力を利用できなかった
場合でもパラメータを適切に選択することによって処理
速度を改善できる方式を提供することを目的としている
。

〔発明の構成〕

（課題を解決するための手段） 本発明は、演算主体となる主装置と、この主装置の行う
演算を補助する少なくとも一つの補助装置から構成され
、与えられた正の素数管たは合成数値ｎを法とする代数
系に従って、前記補助装置に秘密の正整数ｄによシ与え
られた整数ｎ未満の正整数Ｍを、べき乗した値Ｓ＝Ｍｄ
ｍｏｄ　ｎを計算するシステムにおいて、 （ａ）前記整数ｎを、ｋ個（ｋ≧１）の互いに素な正整
数ｎｊ（ｊ＝１．・・・、ｋ）に分割する。

（ｂ）前記正整数ｄを、ｋ組の式 ％式％ ）） ｄ≡ｄｊ０＋ｆｊ１．・・・、に１　　λ（ｎｊ）は正
整数ｎのカーマイケル関数） を満たす、 前記主装置のみの秘密情報である（ｍ＋１）×ｋ個の非
負整数のＤ’　＝〔ｄｊＯ”　ｊｌ　＃　ｆｊｍ　’　
””　’ｊｍ〕と、３ 前記補助装置に知らされるｍ　ｘ　ｋ個の正整数の組Ｄ
２ｊ＝〔ｄｊｌ、ｄｊ２．・・・、ｄｊｍ）（Ｊ＝１．
・、ｋ　）に分割する。

（ｃ）前記補助装置は、Ｙｊ４＝Ｍｄｊｉｍｏｄ　ｎｔ
−１＝１、−、・ｍ、　ｊ　＝ｌ　、・・・、ｋについ
て計算して前記主装置に送る。

（ｄ）前記主装置は、該主装置が計算したに個の値であ
るＹ・＝Ｍ　ｊ’ｍｏｄ　ｎ　　と前記ＹｊｉとからＯ ｆ。

・・・×ＹｊｍＪｍｒｒ１０ｄｎｊ （但しｊ＝１．・・・、ｋ） を計算し、これらに個のＳに関する連立方程式を満たす
値として結果Ｓを得る。

ことを特徴とするものである。

本発明は、前記整数ｎが素数である場合に適用できる。

また、本発明は整数ｎが二つの素数の積である場合に適
用できる。

（作用） 本発明では、主装置を補助する補助装置にはり、が秘密
なので補助装置は総当たｂ法以外に正整数ｄを知ること
ができず、秘密情報ｄを補助装置に漏らすことなく計算
を行うことができる。

また、補助装置が十分高速ならば主装置単独で計算を行
うよりも高速に計算を終了することができる。

本発明の特殊な場合として、ｍ×ｋ個の非負整数のｆｊ
ｌ、　ｆｊｍ、・・・、ｆｊｍを各々１筐たはＯに選べ
ば、主装置の計算の手間を削減することができる。

また、少なくとも一組の整数の対（ｉ、ｊ）（ｕ、ｖ）
（但し、１≦ｉ、ｕ≦に、１≦ｊ、７２ｍ）Ｋついて、
ｄｉｊ＝ｄｕｖなる条件を満たすようにｄｉｊＯ値を定
めるという条件を課せば、補助装置はＭｄ１ｊ〜ｄ・を
行えばｄ−〜ｄ・を行う必要はなくなシ全体として処理
量を減らすことができる。

（実施例） 以下、本発明の実施例の詳細を図面に基づいて説明する
。

本発明はＲ８Ａ暗号筐たは一般に整数ｎを法とするべき
乗剰余演算を行う場合に適用できる。

本実施例では、主装置としてＩＣ’カード、補助装置と
して１台のＰＯ８装置を想定して説明する。

システム構成としては、従来例の第５図〜第７図に示し
たものと同様であり、演算部分に着目すると第１図に示
すようになる。ただし、主装置、補助装置がそれぞれ具
体的に何であるかは本発明を制限するものではない。

さて、第１図に示すように、ＩＣカード１には次式を満
たす複数の正整数の組Ｄ１＝　［ｄｏ　、　ｆ、　、　
ｆ、。

・・・”ｍ　］が、公開情報記憶部１ｂにはＤｌ　−〔
ｄｔ　。

ｄ２．・・・、ｄ　　）がそれぞれ記憶されている。

ｄ三ｄ。＋ｆ１・ｄ１＋　ｆｓ・ｄ２十・・・＋ｆ□・
ｄｍ（ｍＯｄλ（ｎ）　）　　　（３１）ＤｌはＩＣカ
ード１の秘密情報でアシ、通常はカード外には読み出せ
ないように設定されている。

ＩＣカード１のユーザはＩＣカード１と端末３を利用し
てディジタル情報Ｍから次の式で表されるべき乗剰余値
を作成したい。

８　＝　Ｍｄｍｏｄ　ｎ　　　　　　　　　　　（３２
）これはＲ８Ａ暗号のディジタル署名である。

本実施例では、このディジタル著名の作成を例にとって
説明する。

以下、計算の手順を第２図に従って説明する。

ユーザはＩＣカード１を端末３のリーダ・ライタ６に差
し込んで所定の手続きに従って機器の使用開始を指示し
、メツセージＭを入力する（ステップ２０１〜２０４）
。

メツセージは例えば買い物の明細である。

ＩＣカード１はＤｚ　＝Ｃｄｔ　、　４　、・・・、ｄ
〕と法の値ｎを端末３に転送する（ステップ２０５，２
２４）。

端末３は計算部３ａ、〜３ａｍにより受信したＤｌｎを
用いてｍ個のｙｉを次式のように計算する。

ｉ ’Ｊ−＝Ｍ　　ｍｏｄ　ｎ　　（ｎ＝１　＋−＋ｍ）　
　　　　（３３）そして、ｙｉｔ−ＩＣカード１に転送
する（ステップ２２５，２０７）。

一方、ＩＣカード１は計算部ＩＣにより秘密情報ｄｏを
用いてｙ。を次式によって求める。

０ ｙ（、＝　Ｍ　ｍｏｄ　ｎ　　　　　　　　　　　（３
４）更にＩＣカード１は端末３から受信したｙ、　１・
・・、ｙ□とｙ。を用いて次式によυ署名Ｓを得る（ス
テップ２０８）。

５＝ｙｏｘｙ、　”　ｘ　ｙ２×・−ｘｙ□”ｍｏｄｎ
（３５） これをＩＣカード１は端末３に転送しくステップ２０９
）、端末３はこれを記録して署名作成を終了する。

本実施例でｆｌ　＋・・・、ｆ　をバイナリ（０捷たは
１）に選ぶと、（３５）式に見掛上現れているべき乗計
算は不要になるのでＩＣカード１の行う演算量を削減す
ることができる。

本実施例における主要な効果は次の３点である。

■端末３に対してｄを直接見せていないので、ＩＣカー
ド１の秘密情報ｄを端末３に知られないで済む。筐た、
ＩＣカード１と端末３間の通信を盗聴する第３者に対し
てもｄを秘密に保つことができる。

■十分高速な端末３を用いることによって、ＩＣカード
１単独でべき乗剰余計算を行うのに比べて処理時間を短
縮することができる。

■ＩＣカード１の秘密情報を適切に選ぶことによって、
従来の同様の方法（従来技術でのプロトコル２とプロト
コル３）に比べて処理時間を短縮することができる。こ
の効果は特にｄｏ≧２かつ’１　ｙ　・・・　　ｆ□　
をバイナリとした場合に顕著である。

なに１本実施例は、Ｄｉ　ｆ　ｆ　ｉｅ　−Ｈｅ　ｌ　
１ｍａｎの鍵共有方式にも利用可能である。この場合に
は、ｎは素数ｐとなりλ（ｎ）＝ｐ−１であることだけ
が異なる。

次に、本発明に基づく他の実施例を説明する。

本実施例にかいても上述した実施例と同様に、ＩＣカー
ド・システムでＲ８Ａ暗号をディジタル署名作成する場
合を例に説明する。なＴｈ、Ｒ８Ａ暗号ではｎは大きい
二つの素数ｐ、ｑの積であシ、ｎ＝ｐ＠ｑと書けること
に先ず注意する。

本実施例では、ＩＣカード１には次式を満たす複数の正
整数の組Ｄ１１　＝〔ｄｌｏ　ｒ　’１１　ｔ　”’　
ｅ　’１ｒｒｌ］、Ｄ１２＝〔ｄ２゜ｔ　’２１　＃・
・・、ｆ□〕およびり、　＝［ｃｌｌ、　ｄｈ１］が記
憶されている。

ｄ：　ｄｊｉｏ＋　ｆ、、・ｄｊｉ　＋　ｆ１□・ｄ２
十”・十ｆ１ｍ・ｄｍ（ｍｏｄ　ｐ−１）　　　（３６
）ｄ三ｄ２゜＋’２１・ｄ１＋ｆ２□・ｄ２−）−−＋
　ｆ２Ｉｎ−ｄｍ（ｍｏｄ　Ｑ−１）　　　（３７）Ｄ
ｌｌ　とＤ１□はＩＣカード１の秘密情報であシ、通常
はカード外には読み出せないように設定されている。

ＩＣカード１のユーザは、ＩＣカード１と端末３を利用
してディジタル情報Ｍから上述した実施例と同様に次式
で表されるべき乗剰余値を作成したい。

８　＝　Ｍｄｍｏｄ　ｎ　　　　　　　　　　（３ｓ）
第３図に本実施例に釦いて署名Ｓを計算する処理ステッ
プを示す。

ステップ３０４のべき乗剰余計算部分以外は最初の実施
例と共通なのでステップ３０４の部分についてのみ説明
する。

先ず、ＩＣカード１は端末３に公開情報Ｄ２を転送する
（ステップ３０５，３３４）。

端末３は受信したり、、ｎを用いてｍ個のＹｉを次ｙｉ
＝ＭｄｉｍＯｄｎ（ｉ＝１．・・・２ｍ）（３９）そし
て、ｙｉをＩＣカード１に転送する（ステップ３３５，
３０７）。

一方、ＩＣカード１はカードの秘密情報ｄ□。。

ｄ２゜を用いてｙ□。、ｙ２゜を次式によって求める（
ステップ３０８）。

ァ＝Ｍｄ・・−ｄ　ｐ　　　　　　　　（４０）０ ｙ２゜＝Ｍｄ２’　ｍｏｄ　ｑ　　　　　　　　（４１
）更にＩＣカード１は端末３から受信したｙｔ　。

・・・ｌ　ｙｒｒｌとｙｌ。、ｙ２゜を用いて次式によ
’）　Ｓｔ　、　Ｓｔを計算する（ステップ３０８）。

ｐ、ｑは互いに素だから中国剰余定理よ９次式（３１） を満たすｎ未満の数８は唯一定１す、それが所望のディ
ジタル署名Ｓである。

Ｓ、　＝　８　ｍｏｄ　ｐ　　　　　　　　　　　　（
４４）Ｓ２＝　Ｓ　ｍｏｄ　ｑ　　　　　　　　　　　
　（４５）この方程式を解く方法は種々あるが、 Ｗ、＝　ｑ　（ｑ　　ｍｏｄ　ｐ　）　　　　　　　　
　（４６）Ｗ９＝　ｐ　（ｐ　’　ｍｏｄ　ｑ　）　　
　　　　　　（４７）を満たすＷ、、Ｗ９　を予め計算
してＩＣカード１内に記憶させておけば、次式によシＳ
を計算できる。

５＝（Ｓ８・Ｗ２＋Ｓ２・Ｗ９）ＩＴｌｏｄｎ（４８）
これをＩＣカードｌは端末３に転送しくステップ３０９
）、端末３はこれを記録して署名作成を終了する（ステ
ップ３３６〜３３８）。

本実施例においても上述した実施例で説明した■〜■と
同様の効果が得られる。峙に■の効果はｄｌ。≧２１　
ｄ２０≧２かつｆｌｌ　１　・・’　ｌ　’１ｍおよび
’２１１　”’ｆ２ｍをバイナリとした場合に顕著であ
る。

次に、Ｓ３図の手順にかいてパラメータｆ、ｉ。

ｆ２ｉ（ｉ＝１１２．・・・、　ｍ　）を全てランダム
に設定したものと仮定すると、計算補助装置が不正演算
を行（３２） うと主装置の公開情報ｎが素因数分解される可能性があ
ることを説明する。Ｒ８Ａ暗号においては公開情報ｎの
素因数ｐ、ｑが知られると全ての秘密情報が計算可能と
なり１暗号システムが破綻する。

補助装置の不正は第３図中のステップ３３５で次の操作
を行うことによる。まず、ｍ項のうちからランダムに一
項を選び、その項に対して次の演算を行う。ここでは仮
に第り項を選んだものとする。

ｙｈ＝　−Ｍ’ｈ　ｍｏｄ　ｎ　　　　　　　　　（４
９）その他の項は正当な演算を行う。

ｄ。

ｙ、　＝　Ｍ　　ｍｏｄ　ｎ　　　（但し、１４ｈ）　
　　　　（５０）このようにするとステップ３０８で主
装置に得られる署名結果Ｓは次式を満たすものとなる。

Ｓ三（−１）”ｈ−Ｍｄｍｏｄ　ｐ＝±Ｍｄｍｏｄ　ｐ
　　　　（５１）ｆ　　　　　　　　ｄ Ｓ三（−１）２ｈ１１ＭｄｍＯｄｑ＝±Ｍ　ｍｏｄ　ｑ
　　　（５２）法ｎ上の値ＳはｆｌｈＴ　ｆ２ｂが奇数
であるか偶数であるかにより以下の４通りに場合分けさ
れる。

■ｆ１ｈ：偶数、’２ｈ　：偶数の場合Ｓ　＝　Ｍ’　
ｍｏｄ　ｎとなう、結果Ｓは正しい演算結果と一致する
。

■ｆ１ｈ：奇数、’ｚｈ”奇数の場合 ８　＝　−Ｍｄｍｏｄ　ｎ　となう、結果Ｓは正しくな
いが後に示すｎの素因数分解には結び付かない。

■’１ｈ　”偶数、　ｆ２ｈ：奇数の場合Ｕ１＝　Ｗ　
−Ｗ　ｍｏｄ　ｎとおくと、５＝Ｕ１・Ｍｄｍｏｄｎ　
　　ｑ となる。このとき後に示すようにｎは素因数分解される
。

■ｆ１．：奇数、　ｆ　：偶数の場合 Ｕ＊　＝　−Ｗ　＋Ｗ　ｍｏｄ　ｎとおくと、５−Ｕ２
・Ｊ　　　ｑ ｍｏｄ　ｎ　となる。このとき後に示すようにｎは素因
数分解される。

以下では、■の状態になったと仮定する。ステップ３３
６で上記の８を受信した補助装置は次のようにするとｎ
の素因数分解が求められる。まず、次式を計算する。こ
こで凡ＳＡ暗号の公開指数ｅは奇数であること、Ｗ　＠
Ｗ　＝　Ｑｍｏｄ　ｎ　、　Ｗ　＝Ｗ　ｍｏｄ　ｎｐｑ
　　　　　　ｐ　　ｐ （ｋ＝１＋＝０なる任意の整数）なる性質が或す立つこ
とに注意する。

Ｓｅｍｏｄ　ｎ　＝　（Ｗｅ−Ｗｅ）　−Ｍ　　　　ｑ ＝（Ｗ−Ｗ）・Ｍ 　　　ｑ ＝　Ｕｌ・Ｍ　ｍｏｄ　ｎ　　　　　　　　　　　（５
３）次に、Ｓｅ十ＭｍＯｄｎ　　を求メル。

Ｓｅ＋　Ｍｍｏｄ　ｎ　＝　（Ｕ１＋　１　）　・Ｍ＝
２ＷＭ ＝　２・Ｍ・（ｑ　ｍｏｄｐ）・ｑＩＴ）Ｏｄｎ（５４
） ここで、仮にＧＣＤ（Ｍ、ｎ）＝ｐとすルト、ＧＣＤ計
算はユークリッドの互除法と呼ばれる計算アルゴリズム
によって簡単に計算できるため、メツセージＭ及び公開
鍵ｎだけからｎの素因数分解が求められる。但し、メツ
セージＭをランダムに選んだ場合、ＧＣＤ（Ｍ、ｒｌ）
＝ｐとなる確率は１／ｑである。Ｒ８Ａ暗号の場合、ｑ
のサイズは１０進１００桁程度の大きさになるのでこの
ような状況になることは極めて希である。

一方、ＧＣＤ（Ｍ、ｎ）４ｐ　とすると、（ｑｍｏｄｎ
）はｐよシ小さいこと、ＧＣＤ（２，Ｉ））”’１であ
るこ（３５） とに注意すると、２・Ｍ・（ｑ　　ｍｏｄ　ｐ　）はｐ
の倍数ではないことが分かる。従って、ＧＣＤ（ｎ、♂
＋Ｍｍｏｄ　ｎ　）　＝　ｑとなるのでユークリッドの
互除法によりｎの素因数ｑが得られ、ｐはｎ／ｑによシ
得られる。

■の状態では同様の操作によｌ）　ＧＣ，Ｄ（ｎ　、　
Ｓ　−１−Ｍ　ｍｏｄ　ｎ　）　＝　ｐが得られる。

以上説明したように、仮にパラメータ設定ｉ　＋　’２
ｉ（ｉ＝１　、２　、・・・、　ｍ　）　　を全てラン
ダムに設定したものとすると確率１／２でｎの素因数分
解が成功する。

上記攻撃法の対策としては、ステップ３０８で主装置に
得られる署名結果Ｓが必ず上記の■か■のどちらかにな
るようにパラメータ設定すればよい。例えば、次の２つ
の設定が有効である。

＋１１パラメータｆ。、ｆ２１（ｉ＝１．２．・・・２
ｍ）の全てを偶数にする。

（２）パラメータの組み（ｆ、□、ｆ２１　）　、　（
ｆ１□ｒ　’２２　）　＋・・・＊　”１ｍ　ｔ　’Ｋ
ｎ　）の全ての組みについて奇数・偶数を合わせる。

補助装置が不正をはたらく項を複数にしても、（３６） （１）にすると、必ず■の正しい結果が得られる。

方、（２）にすると■もしくは■のどちらかの結果にな
る。

＋１１の設定を行うには、Ｒ８Ａ暗号の秘密鍵ｄが奇数
であること、λ（ｐ）、λ（ｑ）は共に偶数になること
に注意すると、ｄｌ。及びｄ２゜を共に奇数に設定しな
ければならない。従来技術として説明したプロトコル２
（第１１図）の計算方式は、ｄｌ。＝＝ｄ２゜＝０　の
場合に相当するのでこのようにパラメータ設定すること
は不可能である。今回、提案の方式（第３図）には可能
。なお、（２）の設定は、従来技術として説明したプロ
トコル２（第１１図）の計算方式及び今回、提案の方式
（第３図）のどちらに対しても可能である。

ｌた、（ｆ）　、　（２１の設定をＲ８Ａ暗号の秘密変
換について一般化すると次のようになる。秘密鍵ｄの分
割は次式のように行われる。

ｄ三ｄ１ｏ＋　ｆｌ、・ｄ１□＋ｆ１□・ｄ□２＋・・
・＋ｆ１ｍ−ｄｉｒ１１ｍＯｄｐ−１ｄ三ｄ２゜十’２
１・ｄ２１＋ｆ２□・ｄ２□＋・・・＋ｆ、・ｄｊｉ關
ｄｑ−ｓｆｉｊ全てを偶数に設定するのが（１）の設定
の一般化であシ、ｄｉｊ＝ｄＬＩｖなる”ｉｊ　ｐ　ｆ
ｕｖ　）　　の組みのそれぞれに対し、奇数・偶数を合
わせ、残すのｄｉｊは全て偶数に設定するのが（２）の
設定の一般化である。

以上の述べてきたように今回提案の方式及び従来技術の
一方式に対し、パラメータの設定に制約を設けることで
、公開鍵ｎを素因数分解する攻撃を防止できる。

最後に、後の実施例における処理時間短縮の効果を第４
図に示す。

グラフの縦軸は処理時間の相対値（ＩＣカード単独で署
名作成した場合の処理時間を１としている）、縦軸は端
末速度の相対′値ｖ（ＩＣカードの演算速度を１とした
場合の端末の速度）である。

概ね２０≦Ｖ≦１０００の範囲では本方式がこれまで提
案されている方式のうち最も処理時間が短いことが分か
る。

〔発明の効果〕

以上述べたように本発明によれば、ＩＣカードなど計算
主体となる主装置の秘密情報を、補助装置に漏らすこと
なく、かつ補助装置の計算力を借すて、主装置単独で処
理を行うよシも短時間に処理することができる。しかも
従来方式よりも処理時間を短縮することが可能である。

また、本発明をＲ８Ａ暗号に適用した場合、本発明によ
るパラメータ設定の制約条件を用いれば補助装置による
公開鍵ｎの素因数分解攻撃を防止することができる。

【図面の簡単な説明】

第１図はこの発明の特徴となる演算部分と装置のブロッ
ク構成を示す図、第２図と第３図は本発明をＩＣカード
と端末とで構成した場合の処理手順を示す図、第４図は
本発明の効果を示す処理時間特性のグラフ、第５図はＩ
Ｃカードを利用できる端末構成の斜視図、第６図はＩＣ
カードの構成の機能ブロック図、第７図は第５図に示し
た端末の機能ブロック図、第８図は第５図に示したＩＣ
’カード利用端末の動作を規定する制御フロー、第９図
はＩＣカードが秘密の指数ｄを端末に直接示して端末が
ディジタル署名を計算する従来方式を示す図、第１０図
〜第１２図は各々従来の依頼計（３９） 糞力式におけるＩＣカード端末間の情報の流れを示す図
、第１３図は従来の依頼計算方式を用いた場合の処理時
間特性を示す図である。 １・・・ＩＣカードを示してお９．３・・・端末、４・
・・デイスプレィ、５・・・キーボード、６・・・リー
ダ・ライタ、７・・・フロッピィディスク、８・・・Ｃ
ＰＵ。 ９・・・プログラムメモリ（ＲＯＭ）、１０・・・デー
タメモリ（ＥＢＰＲＯＭ）、１１・・・Ｉ１０コンタク
ト、１２、・・内部ｆ−タハス、１３・・・デイスプレ
ィコントローラ、１４・・・中央処理装置、１５・・・
メインメモ１ハ１６．１７・・・通信ポート、１８・・
・フロッピィディスクドライバ、１９・・・キーボード
エ１０゜（４０）

Claims (4)

【特許請求の範囲】
1. （１）演算主体となる主装置と、この主装置の行う演算
   を補助する少なくとも一つの補助装置から構成され、与
   えられた正の素数または合成数値ｎを法とする代数系に
   従って、前記補助装置に秘密の正整数ｄにより与えられ
   た整数ｎ未満の正整数Ｍを、べき乗した値Ｓ＝Ｍ＾ｄｍ
   ｏｄｎを計算するシステムにおいて、 （ａ）前記整数ｎを、ｋ個（ｋ≧１）の互いに素な正整
   数ｎ、（ｊ＝１、・・・、ｋ）に分割し、（ｂ）前記正
   整数ｄを、ｋ組の式 ｄ≡ｄ＿ｊ＿０＋ｆ＿ｊ＿１・ｄ＿ｊ＿１＋ｆ＿ｊ＿２
   ・ｄ＿ｊ＿２＋・・・＋ｆ？＿ｊ＿ｍ・ｄ＿ｊ＿ｍ（ｍ
   ｏｄλ（ｎ＿ｊ）） （但し、ｊ＝１、・・・、ｋ、λ（ｎ＿ｊ）は正整数ｎ
   のカーマイケル関数） を満たす、 前記主装置のみの秘密情報である（ｍ＋１）×ｋ個の非
   負整数のＤ＿１＿ｊ＝〔ｄ＿ｊ＿０、ｆ＿ｊ＿１、ｆ＿
   ｊ＿２、・・・、ｆ＿ｊ＿ｍ〕と、前記補助装置に知ら
   されるｍ×ｋ個の正整数の組Ｄ＿２＿ｊ＝〔ｄ＿ｊ＿１
   、ｄ＿ｊ＿２、・・・、ｄ＿ｊ＿ｍ〕（ｊ＝１、・・・
   、ｋ）に分割し、 （ｃ）前記補助装置は、Ｙ＿ｊ＿ｉ＝Ｍ＾ｄ＿ｊ＿ｉｍ
   ｏｄｎをｉ＝１、・・・、ｍ、ｊ＝１・・・、ｋについ
   て計算して前記主装置に送り、 （ｄ）前記主装置は、該主装置が計算したｋ個の値であ
   るＹ＿ｊ＿０＝Ｍ＾ｄ＿ｊ＿０ｍｏｄｎと前記Ｙ＿ｊ＿
   ｉとからＳ＝Ｙ＿ｊ＿０×Ｙ＿ｊ＿ｉ＾ｆｊ１×Ｙ＿ｊ
   ＿２×・・・×Ｙ＿ｊ＿ｍ＾ｆｊｍｍｏｄｎ＿ｊ（但し
   ｊ＝１、・・・、ｋ） を計算し、これらｋ個のＳに関する連立方程式を満たす
   値として結果Ｓを得る ことを特徴とする依頼計算方式。
2. （２）ｍ×ｋ個の非負整数のｆ＿ｊ＿１、ｆ＿ｊ＿２、
   ・・・ｆ＿ｊ＿ｍは、各々１または０であることを特徴
   とする請求項１記載の依頼計算方式。
3. （３）少なくとも一組の整数の対（ｉ、ｊ）、（ｕ、ｖ
   ）（但し、１≦ｉ、ｕ≦ｋ、１≦ｊ、ｖ≦ｍ）について
   、ｄ＿ｉ＿ｊ＝ｄ＿ｕ＿ｖなる条件を満たすように、ｄ
   ＿ｉ＿ｊの値を定めることを特徴とする請求項１記載の
   依頼計算方式。
4. （４）請求項１記載のｍ×ｋ個のパラメータｆ＿ｊ＿ｉ
   ＝１、２、・・・、ｋ；ｉ＝１、２、・・・、ｍ）全て
   を偶数に設定することを特徴とする請求項１記載の依頼
   計算方式。（５）少なくとも一つのｊ（１≦ｊ≦ｍ）に
   対して、ｄ＿ｊ＿１＝ｄ＿ｊ＿２＝・・・＝ｄ＿ｊ＿ｋ
   なる条件を満たすようにｄ＿ｊ＿ｉの値を設定し、ｍ個
   のパラメータｆ＿ｊ＿１、ｆ＿ｊ＿２、・・・、ｆ＿ｊ
   ＿ｋは全て法を２とする値が一致するように値を設定し
   、その他のｆ＿ｈ＿ｉ（ｈ≠ｊ；ｉ＝１、２、・・・、
   ｋ）は全て偶数に設定することを特徴とする請求項１記
   載の依頼計算方式。