JPH07199807A - 暗号化用剰余乗算回路、暗号装置、および暗号通信システム - Google Patents

Abstract

(57)【要約】 【目的】 小規模な回路により高速に暗号化のための剰
余乗算を行い得る暗号化用剰余乗算回路を提供する。 【構成】 整数Ａｃ，Ｂｃ，ＮによるＡｃ・Ｂｃ ｍｏ
ｄ Ｎなる演算を行うに当たり、数種類のプロセッシン
グ・ユニットＰＥをパイプライン状に複数接続し、各プ
ロセッシング・ユニットＰＥにＡｃをｍａビット毎に分
けたＡna-j（j＝１，２，…，ｎａ）（ｍａ，ｎａは任
意の整数）を上位桁から設定し、Ｂｃをｍｂビット毎に
分けたＢnb-j（j＝１，２，…，ｎｂ）（ｍｂ，ｎｂは
任意の整数）を上位桁から１段目のプロセッシング・ユ
ニットＰＥに入力し、各プロセッシング・ユニットＰＥ
においてＲj＝Ｒj-1・Ｘ＋Ａna-j・Ｂｃ ｍｏｄ Ｎ、
またはＲj＝Ｒj＋Ａna-j・Ｂｃ ｍｏｄ Ｎ（j＝１，
２，…，ｎａ）を計算して次段のプロセッシング・ユニ
ットＰＥに入力し、当該演算を繰返すことによって最終
段のプロセッシング・ユニットＰＥからＡｃ・Ｂｃ ｍ
ｏｄ Ｎの剰余乗算結果を得る。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、剰余乗算回路等に関
し、特にコンピュータネットワーク等を介して秘密通信
を行うに当たり、通信内容を秘密にするための暗号化を
行うのに好適な暗号化用剰余乗算回路、暗号装置、およ
び暗号通信システムに関する。

【０００２】

【従来の技術】近年、コンピュータネットワークを用い
た各種の情報通信システムの急速な発展に伴って、デー
タ内容の機密保持のための暗号化技術の重要性が高まっ
てきている。特に、コンピュータネットワークの高速化
・大容量化が進む中で、高速伝送可能な暗号化技術が不
可欠になっている。

【０００３】暗号化方式としては種々の方式が開発され
ているが、剰余乗算処理は、種々の暗号化方式に用いら
れている。例えば、同一の鍵を送信者と受信者が秘密に
共有する秘密鍵暗号方式の中には、乱数を用いた暗号が
あるが、乱数にも自乗剰余乱数と呼ばれる剰余乗算に基
づく乱数がある。

【０００４】また、公開鍵暗号方式は、暗号化鍵と復号
鍵とが異なり、暗号化鍵は公開し、復号鍵は受信者が秘
密に保持するもので、公開された暗号化鍵から復号鍵を
推定するのが困難なようになっているものである。この
公開鍵暗号方式には、ＲＳＡ暗号やエルガマル暗号など
の剰余乗算に基づく暗号が知られている。

【０００５】これらの暗号は、秘密通信機能の他に、認
証と呼ばれるもう１つの用途があることが注目されてい
る。認証とは、通信文の送信者が正しいか否かを検査す
る機能であり、デジタル署名とも呼ばれている。公開鍵
暗号を用いたデジタル署名では、送信者のみが知ってい
る秘密鍵で署名でき、偽名できないので安全であり、認
証通信として金融機関などで多く用いられている。

【０００６】また、秘密鍵暗号方式、公開鍵暗号方式
は、鍵配送方式または鍵共有方式と呼ばれる技術と共に
用いられることが多い。鍵配送方式としては、Ｄｉｆｆ
ｉｅとＨｅｌｌｍａｎによるＤＨ型鍵配送方式が知られ
ているが、この方式も剰余乗算を用いて演算を行う。さ
らに、鍵共有方式として、ＩＤ−ｂａｓｅｄ鍵共有方式
が注目されているが、種々の鍵共有方式において剰余乗
算が用いられている。

【０００７】他に、暗号技術には零知識証明と呼ばれる
ものがあり、暗号の世界では、今、最も関心を集めてい
る。これは、例えばＡが間違いなくＡであることを証明
するために、ＡがＡ固有の情報（知識）を持っているこ
とを、そのＡ固有の知識を相手に一切提示することなく
（＝零知識）、すなわち、他者がＡに“なりすます”こ
とができないような形で、相手に納得させる（＝証明）
方式である。これにも、剰余乗算に基づく種々の方法が
ある。

【０００８】従って、高速な剰余乗算が行えれば、種々
の暗号システムに対する高速化が実現できる。これらの
詳細については、池野信一，小山謙二著「現代暗号理
論」（電子情報通信学会：１９８６）、辻井重男，笠原
政雄著「暗号と情報セキュリティ」（昭晃堂：１９９
０）等に詳しく説明されている。

【０００９】

【発明が解決しようとする課題】しかし、ＲＳＡ暗号、
エルガマル暗号、鍵配送・共有、デジタル署名、零知識
証明等により剰余乗算に基づいて暗号化を行う場合、剰
余乗算による演算処理が複雑になるため、大規模な演算
システムを必要とし、処理時間も長時間を要していた。

【００１０】本発明は、このような事情の下になされた
もので、その目的は、小規模な回路により高速に暗号化
のための剰余乗算を行い得る暗号化用剰余乗算回路を提
供することにある。

【００１１】

【課題を解決するための手段】上記目的を達成するた
め、本発明は、整数Ａｃ，Ｂｃ，ＮによるＡｃ・Ｂｃｍ
ｏｄ Ｎなる演算を行う剰余乗算回路において、数種類
の演算素子をパイプライン状に複数接続し、各演算素子
にＡｃをｍａビット毎に分けたＡ_na-j（j＝１，２，
…，ｎａ）（ｍａ，ｎａは任意の整数）を上位桁から設
定し、Ｂｃをｍｂビット毎に分けたＢ_nb-j（j＝１，
２，…，ｎｂ）（ｍｂ，ｎｂは任意の整数）を上位桁か
ら１段目の演算素子に入力し、各演算素子においてＲ_j
＝Ｒ_j-1・Ｘ＋Ａ_na-j・Ｂｃ ｍｏｄ Ｎ、またはＲ_j＝
Ｒ_j＋Ａ_na-j・Ｂｃ ｍｏｄ Ｎ（j＝１，２，…，ｎ
ａ）を計算して次段の演算素子に入力し、当該演算を繰
返すことによって最終段の演算素子からＡｃ・Ｂｃ ｍ
ｏｄ Ｎの剰余乗算結果を得るよう構成されている。

【００１２】そして、前記数種類の演算素子のうちの１
つは、第１の演算素子として、ｍａビット・ｍｂビット
の乗算を行う乗算部と、前段の演算素子からの最初の出
力を受けて剰余Ｅ_j-1、または−Ｑ・Ｎを出力する剰余
出力部と、前記乗算部、剰余出力部、前段の演算素子の
各出力を加算する加算部と、該加算部からの出力を格納
する格納部とを有しており、前記数種類の演算素子のう
ちの１つは、第２の演算素子として、前段の演算素子
（第１の演算素子等）からの出力をキャリーとともに加
算する加算部と、最上位桁から剰余Ｅj-1、または−Ｑ
・Ｎを出力する剰余出力部と、最上位桁にキャリーが生
じないように前記剰余出力部を制御する制御部とを有し
ている。

【００１３】

【作用】整数Ａｃ，Ｂｃ，ＮによるＡｃ・Ｂｃ ｍｏｄ
Ｎなる演算を行うに当たって、パイプライン状に接続
された各演算素子には、Ａｃをｍａビット毎に分けたＡ
_na-j（j＝１，２，…，ｎａ）（ｍａ，ｎａは任意の整
数）が上位桁から設定される。また、１段目の演算素子
には、Ｂｃをｍｂビット毎に分けたＢ_nb-j（j＝１，
２，…，ｎｂ）（ｍｂ，ｎｂは任意の整数）が上位桁か
ら入力される。そして、各演算素子では、Ｒ_j＝Ｒ_j-1・
Ｘ＋Ａ_na-j・Ｂｃ ｍｏｄ Ｎ、またはＲ_j＝Ｒ_j＋Ａ
_na-j・Ｂｃ ｍｏｄ Ｎ（j＝１，２，…，ｎａ）が計
算されて次段の演算素子に入力される。このような演算
を繰返すことにより、最終段の演算素子からＡｃ・Ｂｃ
ｍｏｄ Ｎの剰余乗算結果が得られる。

【００１４】この場合、前記数種類の演算素子のうちの
１つ（第１の演算素子）を構成する乗算部は、ｍａビッ
ト・ｍｂビットの乗算を行い、剰余出力部は、前段の演
算素子からの最初の出力を受けて剰余Ｅ_j-1、または−
Ｑ・Ｎを出力し、加算部は、前記乗算部、剰余出力部、
前段の演算素子の各出力を加算し、格納部は、加算部か
らの出力を格納する。

【００１５】また、前記数種類の演算素子のうちの１つ
（第２の演算素子）を構成する加算部は、前段の演算素
子（第１の演算素子等）からの出力をキャリーとともに
加算し、剰余出力部は、最上位桁から剰余Ｅ_j-1、また
は−Ｑ・Ｎを出力し、制御部は、最上位桁にキャリーが
生じないように前記剰余出力部を制御する。

【００１６】

【実施例】以下、本発明の実施例を図面に基づいて詳細
に説明する。

【００１７】図１は、本発明の実施例による暗号化用剰
余乗算回路を含む暗号装置、および暗号通信システムを
適用した通信系を示しており、ローカルエリアネットワ
ークのような局所的、または電話回線網等の大域的な通
信網Ｌに多数の通信端末Ｔ１〜Ｔｎが相互通信可能に接
続されている。

【００１８】図１において、各通信端末Ｔ１〜Ｔｎに
は、暗号化用剰余乗算回路を含むＲＳＡ暗号などの暗号
装置が内蔵されているが、この暗号装置は、各通信端末
Ｔ１〜Ｔｎと通信網Ｌの間に挿入してもよい。また、Ｉ
Ｃカードのような携帯用の媒体に暗号装置の機能を搭載
し、必要なときに通信端末Ｔ１〜Ｔｎに接続（装着）し
てもよい。さらに、磁気ディスク等の記録媒体を通信網
Ｌに代わる通信路とみなし、暗号化用剰余乗算回路を含
む暗号装置を、その記録媒体へのデータの入出力装置に
内蔵したり、その入出力装置に接続された端末に含ませ
たり、またはＩＣカード等の携帯用の媒体に搭載し、必
要なときに端末に接続（装着）してもよい。これによっ
て、記録装置においても、通信網の場合と同様に、個別
に暗号システムを利用することができるようになる。

【００１９】暗号装置内の暗号化用剰余乗算回路は、各
自の秘密鍵または公開鍵に基づいてＲＳＡ暗号化、ラビ
ン暗号化、エルガマル暗号化を行って暗号通信する場合
や、その暗号通信において認証、鍵配送・共有、デジタ
ル署名、零知識証明等を行う場合の暗号化の過程におい
て利用される。

【００２０】次に、図１の通信系において、利用者Ａか
ら利用者Ｂへ通信文ＭをＲＳＡ暗号を用いて暗号通信す
る場合の手順を示す。ただし、利用者Ａ〜Ｚの公開鍵ｅ
_i（ｉ＝A 〜Z）は公開されており、利用者Ａ〜Ｚは各自
の秘密鍵ｄ_i（ｉ＝A〜Z）を秘密に保持しているものと
する。また、公開鍵と秘密鍵の間には、

【数１】ｅ_i・ｄ_i＝１（ｍｏｄ Ｌ） の関係が成り立つものとする。ただし、Ｎ＝ｐ・ｑであ
る大きな素数ｐ，ｑとしたとき、Ｌは（ｐ−１）と（ｑ
−１）の最小公倍数である。

【００２１】（手順１Ａ）…利用者Ａは、次に示す数式
２に基づいて、利用者Ｂの公開鍵ｅ_Bにより通信文Ｍを
暗号化し、その暗号化された暗号文Ｃを利用者Ｂに送
る。

【数２】 （手順２Ａ）…利用者Ｂは、次に示す数式３に基づい
て、自分の秘密鍵d_Bにより通信文Ｃを復号し、もとの通
信文Ｍを得る。

【数３】

【００２２】これにより、手順１Ａと手順２Ａの間の通
信路では、通信文Ｍは暗号文Ｃに暗号化されて秘密通信
を行うことができる。すなわち、利用者Ａは、利用者Ｂ
以外の利用者の秘密鍵では復号できないようにするた
め、利用者Ｂの公開鍵ｅ_Bにより通信文Ｍを暗号化した
通信文Ｃを利用者Ｂに送り、利用者Ｂは、この暗号化し
た通信文Ｃを自分だけが知っている自己の秘密鍵dBによ
り復号するので、暗号通信が成立する。

【００２３】従って、手順１Ａ，２Ａの演算を実行する
装置がＲＳＡ暗号による暗号装置となり、効率的な暗号
装置を構成できれば、効率的な暗号通信システムを構築
できる。ＲＳＡ暗号による暗号装置において要求される
上記手順１Ａ、手順２Ａの数式２、数式３の演算を行う
回路は、同様の回路構成で実現できる。

【００２４】手順１Ａにおける数式２について考える
と、この数式２の演算を実行するアルゴリズムは、次の
ように表すことができる。ただし、ｅはｋビットからな
る整数であり、ｅ＝［ｅ_k,ｅ_k-1,…ｅ_2,ｅ₁］で表され
るとする。

【００２５】 ＩＮＰＵＴ Ｍ，ｅ，Ｎ （入力） Ｃ＝１ （初期設定） ＦＯＲ ｉ＝ｋ ＴＯ １ ＩＦ ｅ_i＝１ ＴＨＥＮ Ｃ＝Ｃ・Ｍ ｍｏｄ Ｎ （演算１） ＩＦ i＞１ ＴＨＥＮ Ｃ＝Ｃ・Ｃ ｍｏｄ Ｎ （演算２） ＮＥＸＴ 従って、手順１Ａ，２Ａは、Ｃ＝Ｃ・Ｂ ｍｏｄ Ｎ
（ＢはＭまたはＣ）の剰余乗算の繰返しにより実現され
る。

【００２６】次に、利用者Ａと利用者ＢがＤＨ型公開鍵
配送方式を用いて鍵配送・共有する場合の手順を示す。 （手順０Ｂ）…素数ｐと原始根αを定め、公開鍵として
前もって全員に知らせておく。 （手順１Ｂ）…利用者Ａは０＜Ｘ_A＜ｐなる整数Ｘ_Aを任
意に選んで秘密に保持し、次の数式４で得られるＹ_Aを
利用者Ｂに送信する。

【数４】 利用者Ｂも０＜Ｘ_B＜ｐなる整数Ｘ_Bを任意に選んで秘密
に保持し、次の数式５で得られるＹ_Bを利用者Ａに送信
する。

【数５】 （手順２Ｂ）…上記のようにして利用者Ａ，Ｂ間で
Ｙ_A、Ｙ_Bを交換した後、利用者Ａは、共有鍵Ｋを次の数
式６により得る。

【数６】 利用者Ｂも、Ｙ_A、Ｙ_Bを交換した後、共有鍵Ｋを次の数
式７により得る。

【数７】

【００２７】以上の手順により、利用者Ａ，Ｂは鍵Ｋ＝
α" X_A・ Ｘ_B ｍｏｄ ｐ（なおＸ"X_A・X_BはXのX_A・X_B乗
を意味する。以下、一般に文章中におけるべき乗は、
Ｘ"m＝Ｘのｍ乗という表現形式で表わすこととする）を
共有することができる。なお、Ｙ_AとＹ_Bが第３者に知ら
れたとしても、それらからＸ_A、Ｘ_B、Ｋを推定すること
はできない。さらに、素数ｐと原始根αが判っていて
も、Ｘ_A、Ｘ_B、Ｋを推定するには離散的対数を解く莫大
な計算量が必要となり、事実上Ｘ_A、Ｘ_B、Ｋを推定する
ことは不可能である。これにより、生成された暗号化鍵
（共有鍵Ｋ）により暗号化処理を行うことができるよう
になる。

【００２８】従って、手順１Ｂ，２Ｂの演算を実行する
装置がＤＨ型公開鍵配送方式による鍵配送・共有装置と
なる。また、暗号方式が剰余乗算に基づく方式である場
合には、同一の回路によって鍵配送・共有装置と暗号装
置とを構成できる。従って、効率的な剰余乗算回路を構
成できれば、効率的な鍵配送・共有及び暗号システムを
構築できるようになる。

【００２９】ＤＨ型公開鍵配送方式による鍵配送・共有
装置は、手順１Ｂ，２Ｂに対して、Ａ，Ｂともに同様の
回路で構成できる。手順１Ｂに対応するＹ＝α"_x ｍ
ｏｄｐについて考えると、手順１Ｂを実行するアルゴリ
ズムは、次のように表すことができる。ただし、Ｘはｋ
ビットからなる整数であり、Ｘ＝［Ｘ_k,Ｘ_k-1,…，Ｘ_2,
Ｘ１ ］で表されるとする。

【００３０】 ＩＮＰＵＴ α，Ｘ，ｐ （入力） Ｃ＝１ （初期設定） ＦＯＲ ｉ＝ｋ ＴＯ １ ＩＦ Ｘ_i＝１ ＴＨＥＮ Ｃ＝Ｃ・α ｍｏｄ Ｎ （演算１） ＩＦ i＞１ ＴＨＥＮ Ｃ＝Ｃ・Ｃ ｍｏｄ Ｎ （演算２） ＮＥＸＴ 従って、手順１Ｂ，２Ｂは、Ｃ＝Ｃ・Ｂ ｍｏｄ Ｎ
（ＢはαまたはＣ）の剰余乗算の繰返しにより実現され
る。

【００３１】次に、利用者Ａから利用者Ｂへ通信文Ｍを
ＲＳＡ暗号を用いて署名付き暗号通信を行う場合の手順
を示す。ただし、利用者Ａ〜Ｚの公開鍵ｅ_i（ｉ＝A 〜
Z）は公開されており、利用者Ａ〜Ｚは各自の秘密鍵ｄ_i
（ｉ＝A〜Z）を秘密に保持しているものとする。また、
公開鍵と秘密鍵の間には、上記数式１の関係が成り立つ
ものとする。

【００３２】送信側： （手順１Ｃ）…利用者Ａは、次に示す数式８に基づい
て、自己（Ａ）の秘密鍵d_Aにより通信文Ｍに署名し、署
名文Ｓを作成する。

【数８】 （手順２Ｃ）…利用者Ａは、次に示す数式９に基づい
て、公開鍵e_Bにより署名文Ｓを暗号化し、暗号文Ｃを利
用者Ｂに送信する。

【数９】

【００３３】受信側： （手順３Ｃ）…利用者Ｂは、次に示す数式１０に基づい
て、自己（Ｂ）の秘密鍵d_Bにより暗号文Ｃを復号し、元
の署名文Ｓを得る。

【数１０】 （手順４Ｃ）…利用者Ｂは、次に示す数式１１に基づい
て、利用者Ａの公開鍵e_Aを用いて署名文Ｓを復元し、元
の通信文Ｍを得る。

【数１１】

【００３４】もし、通信文Ｍが意味のある文であれば、
利用者Ｂは、この通信文Ｍを確かに利用者Ａから受信し
たことを確認する。この場合、送信者Ａの公開鍵は不特
定多数に公開されているので、利用者Ｂに限らず全ての
利用者が利用者Ａの署名文Ｓを手順４Ｃに従って認証で
き、送信者Ａは、通信文Ｍを利用者Ｂに送信したことを
否定することはできなくなる。さらに、署名文Ｓは、暗
号文Ｃに暗号化されて秘密通信を行うことができる。す
なわち、送信者Ａは、自己の秘密鍵d_Aにより通信文Ｍに
署名し、送信相手Ｂの公開鍵e_Bにより暗号化して送信相
手Ｂに送信するので、署名付き暗号通信が成立する。

【００３５】従って、手順１Ｃ〜４Ｃの演算を実行する
装置がＲＳＡ暗号による署名付き暗号装置となり、効率
的な剰余乗算回路を構成できれば、効率的な署名付き暗
号通信システムを構築できるようになる。

【００３６】ＲＳＡ暗号による署名付き暗号装置は、手
順１Ｃ〜４Ｃに対して同様の回路で構成できる。手順１
Ｃに対応するＳ＝Ｍ"d ｍｏｄ Ｎについて考えると、
手順１Ｃを実行するアルゴリズムは、次のように表すこ
とができる。ただし、ｄはｋビットからなる整数であ
り、ｄ＝［ｄ_k,ｄ_k-1,…，ｄ_2,ｄ１ ］で表されるとす
る。

【００３７】 ＩＮＰＵＴ Ｍ，ｄ，Ｎ （入力） Ｓ＝１ （初期設定） ＦＯＲ ｉ＝ｋ ＴＯ １ ＩＦ ｄ_i＝１ ＴＨＥＮ Ｓ＝Ｓ・Ｍ ｍｏｄ Ｎ （演算１） ＩＦ i＞１ ＴＨＥＮ Ｓ＝Ｓ・Ｓ ｍｏｄ Ｎ （演算２） ＮＥＸＴ 従って、手順１Ｃ〜４Ｃは、Ｓ＝Ｓ・Ｂ ｍｏｄ Ｎ
（ＢはＭまたはＳ）の剰余乗算の繰返しにより実現され
る。

【００３８】次に、利用者Ａから利用者Ｂへ通信文Ｍを
ＲＳＡ暗号を用いて認証通信を行う場合の手順を示す。
ただし、利用者Ａ〜Ｚの公開鍵ｅ_i（ｉ＝A 〜Z）は公開
されており、利用者Ａ〜Ｚは各自の秘密鍵ｄ_i（ｉ＝A〜
Z）を秘密に保持しているものとする。また、公開鍵と
秘密鍵の間には、上記数式１の関係が成り立つものとす
る。

【００３９】（手順１Ｄ）…利用者Ａは、上記した数式
８に基づいて、自己（Ａ）の秘密鍵d_Aにより通信文Ｍに
署名し、署名文Ｓを利用者Ｂに送信する。 （手順２Ｄ）…利用者Ｂは、次に示す数式１２に基づい
て、利用者Ａの公開鍵e_Aにより署名文Ｓを復元し、元の
通信文Ｍを得る。

【数１２】

【００４０】もし、通信文Ｍが意味のある文であれば、
利用者Ｂは、この通信文Ｍを確かに利用者Ａから受信し
たことを確認する。この場合、送信者Ａの公開鍵は不特
定多数に公開されているので、利用者Ｂに限らず全ての
利用者が利用者Ａの署名文Ｓを手順２Ｄに従って認証で
き、送信者Ａは、通信文Ｍを利用者Ｂに送信したことを
否定することはできなくなる。すなわち、送信者Ａは、
自己の秘密鍵d_Aにより通信文Ｍに署名して利用者Ｂに送
信したことになり、認証通信が成立する。

【００４１】従って、手順１Ｄ，２Ｄの演算を実行する
装置がＲＳＡ暗号による認証装置となり、効率的な剰余
乗算回路を構成できれば、効率的な認証通信システムを
構築できるようになる。

【００４２】ＲＳＡ暗号による署名付き暗号装置は、手
順１Ｄの署名生成と手順２Ｄの署名検査に対して同様の
回路で構成できる。手順１Ｄの署名生成に対応するＳ＝
Ｍ”d ｍｏｄ Ｎについて考えると、この署名生成を
実行するアルゴリズムは、前述したＲＳＡ暗号による署
名付き暗号装置の場合と全く同様に表される。従って、
署名生成と署名検査は、Ｓ＝Ｓ・Ｂ ｍｏｄ Ｎ（Ｂは
ＭまたはＳ）の剰余乗算の繰返しにより実現される。

【００４３】次に、利用者Ａが利用者Ｂに零知識証明を
する場合の手順を示す。 （手順０Ｅ）…まず、利用者Ａは、素数ｐ、ｐ −１以下
の整数ａ、ｐ −２以下の秘密の乱数ｘを任意に選択し
て、次式で示されるｂを計算する。そして、利用者Ａ
は、ｘを秘密に保ちつつ、（ａ，ｂ，ｐ）を認証者Ｂに
送信しておく。

【数１３】

【００４４】（手順１Ｅ）…利用者Ａは、乱数ｒを選択
し、次式に示すＲを計算して認証者Ｂに送信する。

【数１４】 （手順２Ｅ）…利用者Ｂは、２進数ｅ＝０、または１を
ランダムに選択し利用者Ａに送信する。 （手順３Ｅ）…利用者Ａは、２進数ｅを受信すると、ｅ
＝０ならば乱数ｒを認証者Ｂに送信する。ｅ＝１なら
ば、次式に示すｔを計算して認証者Ｂに送信する。

【数１５】ｔ＝（ｘ＋ｒ） ｍｏｄ （ｐ−１） （手順４Ｅ）…認証者Ｂは、ｅ＝０のときは、次式に示
すＲrを計算してＲr＝Ｒｍｏｄ ｐを検査し、ｅ＝１の
ときは、次式に示すＲtを計算してＲt＝ｂ ｍｏｄ ｐ
を検査する。

【数１６】 （手順５Ｅ）…検査式が成立しないときは、利用者Ａで
ないことが確認されたので終了する。検査式が成立する
ときは、手順１Ｅ〜４Ｅを繰返す毎に利用者Ａである確
率が高くなる。

【００４５】この例は、離散対数問題に対する零知識証
明である。２進数ｅ＝０の場合は、利用者Ａが乱数ｘを
保持しているか否か不明であり、いわゆる“なりすま
し”が可能である。しかし、２進数ｅ＝１の場合は、本
当に乱数ｘを保持していないと検査式が矛盾する。従っ
て、認証者Ｂが２進数ｅの値を完全にランダムに選択す
るとすれば、１／２の確率で２進数ｅ＝１が選択される
ので、十分大きなｎ回の繰返し対してほぼ“１”の確率
でａ"t＝ｂ・Ｒ ｍｏｄ ｐが検査されることになる。

【００４６】手順０Ｅ，１Ｅ，３Ｅ，４Ｅの剰余乗算回
路は、同一の回路で構成できる。例えば手順０Ｅの数式
１３のｂ＝ａ"x ｍｏｄ ｐについて考えると、手順０
Ｅを実行するアルゴリズムは、次のように表すことがで
きる。ただし、ｘはｋビットからなる整数であり、ｋ＝
［ｘ_k,ｘ_k-1,…，ｘ_2,ｘ₁］で表されるとする。

【００４７】 ＩＮＰＵＴ ａ，ｘ，ｐ （入力） Ｃ＝１ （初期設定） ＦＯＲ ｉ＝ｋ ＴＯ １ ＩＦ ｘ_i＝１ ＴＨＥＮ Ｃ＝Ｃ・ａ ｍｏｄ ｐ （演算１） ＩＦ i＞１ ＴＨＥＮ Ｃ＝Ｃ・Ｃ ｍｏｄ ｐ （演算２） ＮＥＸＴ 従って、手順０Ｅは、Ｃ＝Ｃ・Ｂ ｍｏｄ ｐ（Ｂはａ
またはＣ）の剰余乗算の繰返しにより実現される。

【００４８】以下に、効率的な剰余乗算回路の構成法を
説明する。 ［剰余乗算回路例１］Ｒ＝Ａ・Ｂ ｍｏｄ Ｎ（Ａ，
Ｂ，Ｎはｋ＝ｍ・ｎビットの整数）の剰余乗算を考えた
場合、Ａを１ビット毎、Ｂをｍビット毎に分割すると、
Ａ、Ｂは次のように表せる。

【数１７】

【数１８】 ここで、Ｘ＝２"mとし、Ａ、Ｂについて上位桁から分割
したビット系列を夫々Ａ_k-j（ｊ＝１，…ｋ）、Ｂ
_n-i（ｉ＝１，…ｎ）とする。この場合、剰余乗算は、
次の演算をｊ＝１からｋに対して繰返すことによって求
められることが知られている。

【数１９】 Ｒ_j＝Ｒ_j-1・２ ＋ Ａ_k-j・Ｂ − Ｑ・Ｎ ただし、Ｑ＝［Ｒ_j-1／Ｎ］ ，Ｒ₀＝０

【００４９】この演算を次のようなアルゴリズムで実行
する。 Ｄ_0,n-i−１＝０ ， Ｃ_0,n-i−１＝０ ＦＯＲ ｊ＝１ ＴＯ ｋ ＦＯＲ ｉ＝１ ＴＯ ｎ ＮＥＸＴ ＮＥＸＴ ただし、

【数２０】

【数２１】 であり、 ｄ_wm-1（Ｚ）：Ｚの２"_m-1桁以下の値 ｕ_pm-1（ｚ）：ｚの２"_m以上の値を２"_mで割った値であ
る。

【００５０】図２は、上記アルゴリズムにおいてＰＥと
示された処理を行う回路を示し、図３は、図２の回路を
１つの演算素子として、縦続に複数接続したシストリッ
クアレイである（村岡洋一著「並列処理」昭晃堂，１９
８６，ｐｐ１３１〜１３３参照）。シストリックアレイ
は、プロセッシング・エレメント（ＰＥ）と呼ばれる小
さな数種類の演算素子によるパイプライン処理によって
演算が実行される。従って、図２に示す回路は図３のシ
ストリックアレイのプロセッシング・エレメントＰＥと
なる。

【００５１】上記アルゴリズムにおける「ｉ」はクロッ
クを意味し、「ｊ」は図３におけるプロセッシング・エ
レメントＰＥの＃の数値（エレメントＮｏ．）に対応
し、左から右にｊ＝１（＃１）からｊ＝ｋ（＃ｋ）とな
るプロセッシング・エレメントＰＥの位置を示す。図３
の各プロセッシング・エレメントＰＥは、Ａ_k-j（ｊ＝
１，…ｋ）の値が内部レジスタに設定されている。プロ
セッシング・エレメントＰＥ間は、ＢinとＢout、Ｓin
とＳout、ＤinとＤout、ＣinとＣout、ＴinとＴoutが各
々接続される。このとき、Ｃout以外の出力は、各レジ
スタＲによって、１クロック遅延されて出力される。ま
た、＃１（ｊ＝１：１段目）のプロセッシング・エレメ
ントＰＥのＢinは、Ｂ_n-i（ｉ＝１，…ｎ）が上位桁か
ら順に入力され、それに合わせてＴinから後述するタイ
ミング信号Ｔ_n-i（ｉ＝１，…ｎ）が入力される。ま
た、＃１の１段目のプロセッシング・エレメントＰＥの
Ｄin、Ｓin、Ｃin入力には、夫々「０」が設定される。

【００５２】次に、プロセッシング・エレメントＰＥの
構成要素、および動作を乗算部、加算部、剰余部、遅延
部に分解して説明する。 （ａ）乗算部 乗算部は、図２のＡ_k-jを設定するレジスタＲ１と乗算
器Ｍ１によって構成される。乗算器Ｍ１は、Ａ_k-jが１
ビットであるので、Ａ_k-j＝１のときＢinから入力され
るＢ_n-iを出力するｍ個のアンドゲートにより簡単に構
成できる。また、Ａ_k-jを設定するレジスタＲ１は、１
ビットのレジスタでよい。

【００５３】（ｂ）加算部 加算部は、図２の加算器Ａ１とその出力を受けるレジス
タＲ２によって構成される。加算器Ａ１は、乗算器Ｍ１
の出力Ａ_k-j・Ｂ_n-iと後述する剰余出力Ｅ_j-1,n-iとＤi
n，Ｃinからの信号を入力する４入力加算器によって構
成される。Ｄinからは、接続された前段のプロセッシン
グ・エレメントＰＥ（＃ｊ−１のＰＥ）のレジスタの
（ｍ−１）ビット以下の値がＤ_j-1，ｎ−ｉ（ｉ＝１，
…ｎ）として入力される。入力されたＤ_j-1,n-iは、１
ビット上位へシフトされ、最下位桁に「０」が挿入され
ることにより２・Ｄ_j-1,n-iとして加算器Ａ１に入力さ
れる。また、Ｃinからの入力は、２つ前の２段前のプロ
セッシング・エレメントＰＥ（＃ｊ−２のＰＥ）のレジ
スタのｍビット以上の値であり、Ｃ_j-2,n-iと表され
る。このＣ_j-2,n-iは、２・Ｄ_j-1,n-iと同じ桁であり、
キャリービットとして加算器Ａ１に入力される。また、
Ａ_k-j・Ｂ_n-iとＥ_j-1,n-iは、ｍビットの値であるの
で、加算器Ａ１からの出力は、（ｍ＋２）ビット（２ビ
ットはキャリービット）になる。従って、加算器出力を
受けるレジスタＲ２は、（ｍ＋２）ビットのレジスタで
よい。

【００５４】（ｃ）剰余部 剰余部は、Ｓinから入力されるＳ_j-1,n-1の値を保持す
るレジスタＲ３と、剰余Ｅ_j-iを出力する剰余出力回路
Ｃ１からなる。剰余Ｅ_j-1は、数式７，８によってＳ
_j-1,n-1から導かれ、タイミング信号Ｔ_n-iに応じてｍビ
ット毎にＥ_j-1,n-iとして出力される（Ｔ_n-iは_n-1を表
す）。Ｅ_j-1,n-iはＢ_n-iと同じ桁であるので、Ｔ_n-iと
Ｂ_n-iは同期して入力される。Ｓ_j-1,n-1は３ビットの値
であり、Ｔ_n-iは_n-1を表すので、ｌｏｇ ｎビットの値
である。従って、３＋ｌｏｇ ｎビット入力、ｍビット
出力を持つＲＯＭによって、Ｅj,_n-iの出力回路（剰余
出力回路Ｃ１）を実現することができる。また、Ｓ_j-1,
_n-1を入力・保持する３ビットのレジスタとセレクタも
必要とする。

【００５５】（ｄ）遅延部 Ｂin、Ｔinから入力されるＢ_n-iとＴ_n-iの値をパイプラ
イン的に伝送するためのレジスタＲ４，Ｒ５によって構
成される。レジスタＲ４，Ｒ５は、Ｂ_n-i,Ｔ_n-iに対し
て各々ｍビット、ｌｏｇ ｎビットを必要とする。

【００５６】以上の説明から、図２に示した１つのプロ
セッシング・エレメントＰＥにより、Ａk-jに対する数
式１９の演算を実行できることが判る。このようなプロ
セッシング・エレメントＰＥをＡ_k-j（ｊ＝１，…ｋ）
に対してＫ個パイプライン状に接続し、クロックに同期
させて動作させることによって、剰余乗算Ｒ＝Ａ・Ｂｍ
ｏｄ Ｎを高速に実行することが可能となる。

【００５７】図４は、ｋ＝ｎ＝ｍ＝４とした場合の図３
の回路の動作を示すタイムチャートを示している。この
場合、図２，３において、Ａ_k-jを設定するレジスタ以
外の各レジスタの初期状態は、全て「０」としている。
以下、図４のタイムチャートを参照しながら図３の回路
の動作を説明する。

【００５８】１段目のプロセッシング・エレメントＰＥ
（ｊ＝１）において、ＢがＢinからｍビット毎にＢ3，
…Ｂ0の順で入力されると、その値を受ける乗算器から
Ａ3・Ｂ_n-i（ｉ＝１，…４）が順次出力される。これを
加算器に入力しレジスタでラッチした値をＲxとする。
Ｒxの下位４ビットをＤxで表すと、１段目のプロセッシ
ング・エレメントＰＥからは、Ｄ15，Ｄ11，Ｄ7，Ｄ3が
出力される。ここで、Ｄxにおける添字Ｘは得られたビ
ット系列の最下位桁−１の値を表すが、この値は、次の
ようにして決定される。

【００５９】すなわち、Ａは１ビット毎に分解されるの
で、Ａ_k-jはＡの（ｋ−ｊ）＋１桁目のビットを表す。
また、Ｂは、ｍ＝４より４ビット毎に分解されるので、
Ｂn-iはＢの４・（（ｎ−ｉ）＋１）桁目から４（４−
ｉ）＋１桁目までのビットｂ4((n-i)+1)-1)〜ｂ4(n-i)
を表す。従って、Ａ_k-j・Ｂｎ−ｉは、多項式の乗算で
考えると、４・（（ｎ−ｉ）＋１）＋（ｋ−ｊ）桁目か
ら４（ｎ−ｉ）＋（ｋ−ｊ）＋１桁目のビットを表す。
Ｒx＝Ａ_k-j・Ｂ_n-i＋Ｅx＋Ｄx＋Ｓxであり、Ｒxの最下
位桁は、Ａ_k-j・Ｂ_n-iの最下位桁と同じであるので、Ｘ
＝４（ｎ−ｉ）＋（ｋ−ｊ）となる。

【００６０】２段目のプロセッシング・エレメントＰＥ
（ｊ＝２）において、１クロック遅れてＢがＢinからｍ
ビット毎に入力されると、乗算器Ｍ１からＡ2・Ｂn-i
（ｉ＝１，…４）が出力される。このとき、Ｄinから最
初の入力Ｄ15が入力されているので、再上位桁ｄ18は、
数式２０，２１に従って剰余Ｅ14〜Ｅ2に変換され、タ
イミング信号Ｔ_n-i（Ｔ_n-iはＢ_n-iに同期したｎ−ｉを
表す３，…０の値）に従って出力される。ここで、Ｅx
も４ビット毎の出力である。ｊ≠１の場合、ＥxとＤx，
Ｓxは「０」とは限らないので、Ｄ14〜Ｄ2とＳ18〜Ｓ6
の出力がレジスタから出力される。ここで、Ｓ18〜Ｓ6
は、加算によって生じた桁上がりキャリーであり、Ｒx
の上位２ビットの値である。

【００６１】次の３段目のプロセッシング・エレメント
ＰＥ（ｊ＝３）においても、ｊ＝２の２段目のプロセッ
シング・エレメントＰＥと同様の演算が行われるが、剰
余は、Ｄ14の再上位桁Ｄ17以上の値（Ｓ18を含む）から
数式２０，２１によって生成される。

【００６２】最終段のプロセッシング・エレメントＰＥ
（ｊ＝４）においても、ｊ＝３の３段目のプロセッシン
グ・エレメントＰＥと同様の演算が行われるが、ここで
は、Ｊ＝２の２段目のプロセッシング・エレメントＰＥ
からのキャリーが更に加算される。ここで、最終段のプ
ロセッシング・エレメントＰＥでの加算は、最初Ｅ12で
示されるように、１６桁から１３桁目である。２段目の
プロセッシング・エレメントＰＥからの最初のキャリー
は、Ｓ14の２ビットであるので、１６桁目と１５桁目で
ある。従って、同じ加算器Ａ１によって加算できる。こ
の最終段のプロセッシング・エレメントＰＥからの出力
が、剰余乗算の結果となっていることが判る。また、図
２の１つのプロセッシング・エレメントＰＥにより、Ａ
_k-jに対する数式１９の演算を実行できることも判る。

【００６３】［剰余乗算回路例２］シストリックアレイ
は、全てのプロセッシング・エレメントＰＥで同一の処
理が行われ、プロセッシング・エレメントＰＥ間の入出
力関係も同一である。従って、シストリックアレイは、
同一回路の時分割処理が行い易いアーキテクチャとなっ
ている。最も簡単な構成は、図５に示したように、１つ
のプロセッシング・エレメントＰＥとメモリ１によって
実現できる。

【００６４】この剰余乗算回路は、次のように動作す
る。すなわち、 （ａ） 最初、プロセッシング・エレメントＰＥにＡ
_k-1を設定し、Ｔ_n-i（ｉ＝１，…ｎ）を順次プロセッシ
ング・エレメントＰＥに入力する。剰余乗算回路例１に
おいて示したように、１つのプロセッシング・エレメン
トＰＥは、Ａ_k-jに対する数式６の演算を実行するの
で、その出力であるＲ＝Ａ_k-1・Ｂがメモリ１に入力さ
れる。また、Ｂ_n-i,Ｔ_n-i（ｉ＝１，…ｎ）の入力が終
り次第、プロセッシング・エレメントＰＥの設定をＡk-
2に変更する。

【００６５】（ｂ） メモリｍ内の前演算結果であるＲ
をプロセッシング・エレメントＰＥにフィードバック入
力し、Ｂ_n-i,Ｔ_n-iも繰返し入力する。それによって、
プロセッシング・エレメントＰＥからＲ＝Ｒ・Ｘ＋Ａ
_k-2・Ｂ−Ｑ・Ｎが出力されるので、その出力を再びメ
モリに蓄える。

【００６６】（Ｃ） 以下、順次、プロセッシング・エ
レメントＰＥの設定を、Ａ_k-j（ｊ＝３，…ｋ）に変更
して、同様の処理を繰返す。このようにして、図５の簡
単な回路により、剰余乗算が実行される。これは、ｋ個
のプロセッシング・エレメントＰＥが各々１回ずつ行っ
た演算を、１個のプロセッシング・エレメントＰＥによ
りｋ回実行することにより可能となったものである。

【００６７】なお、図５のプロセッシング・エレメント
ＰＥを１個ではなく、Ｐ個パイプライン状に接続し、各
プロセッシング・エレメントＰＥにＡ_k-j〜Ａ_k-j+p-1を
連続して設定することによって、Ｐ個のプロセッシング
・エレメントＰＥによるＫ／Ｐ回の演算の繰返しで剰余
乗算を実行することができる。これは、Ｐ個のプロセッ
シング・エレメントＰＥの回路規模を、処理速度（Ｋ／
Ｐ回の演算）でトレードオフしたものと考えることがで
きる。このように、シストリックアレイで構成した回路
は、簡単に回路規模と処理速度のトレードオフができ、
回路の小型化を図ることができる。

【００６８】［ＲＳＡ暗号装置、ＤＨ型公開鍵配送装
置、および零知識証明装置用の剰余乗算回路例１］キャ
リーを持たない入力に対する剰余乗算を実行する場合に
は、前述の剰余乗算回路例１，２のような剰余乗算回路
でよい。ただし、この回路から得られる剰余乗算結果
は、ｍビット毎に１ビット以上のキャリービットを含
む。この場合、キャリービットの補正は、別の回路によ
り行った方が回路構成も簡単で処理時間も短くて済む。
しかし、ＲＳＡ暗号、ＤＨ型公開鍵配送方式、零知識証
明のように前の剰余乗算の結果を用いて剰余乗算を繰返
す場合に補正を別回路で行うと、キャリー補正は剰余乗
算結果が最後のプロセッシング・エレメントＰＥから出
力され終わった時点から開始されるので、その間、シス
トリックアレイの他のプロセッシング・エレメントＰＥ
は待ち状態になり、効率が低下する。そこで、キャリー
を考慮したシストリックアレイを考える必要がある。

【００６９】ここで、数式１７，１８のビット系列に対
してｍビットに１ビットの割合でキャリービットを持つ
ビット系列を各々Ａc、Ｂcとする。Ａc、Ｂcのキャリー
ビットの系列を各々ａ、ｂとすると、Ａc、Ｂcは各々次
のように表すことができる。

【数２２】

【数２３】

【００７０】ここで、Ａc、Ｂcに対するＲc＝Ａc・Ｂc
ｍｏｄ Ｎの剰余乗算は、ＢをＢcに替えた数式６の
演算をｍ回行う度に１度、Ａcのキャリービットａ_k-jに
対して、

【数２４】Ｒ_j＝Ｒ_j＋ａ_k-j・Ｂc−Ｑ・Ｎ の演算を行うことによって実行される。ただし、ａ_k-j
は、前段での演算の係数Ａk-jと同じ桁であるので、右
辺のＲjは、数式１９と異なり２倍されず、ｊの値もイ
ンクリメントされない。

【００７１】そこで、Ａc、Ｂcに対するＲc＝Ａc・Ｂc
ｍｏｄ Ｎの剰余乗算は、次のようなアルゴリズムで
表せる。 Ｄ_0,n-i−１＝０；Ｃ_0,n-i−１＝０ ＦＯＲ ｓ＝１ ＴＯ ｋ／ｍ ＦＯＲ ｃ＝１ ＴＯ ｍ ＦＯＲ ｉ＝１ ＴＯ ｎ Ｐ ｊ＝（ｓ−１）・ｍ＋ｃ ＮＥＸＴ ＮＥＸＴ Ｐ ＦＯＲ ｉ＝１ ＴＯ ｎ ＮＥＸＴ ＮＥＸＴ ＦＯＲ ｉ＝１ ＴＯ ｎ ＮＥＸＴ

【００７２】ただし、 Ｓ_k+1,n-i・Ｘn＝Ｑ_k+1・Ｎ＋Ｅ_k+1 Ｅ_j-1＝Ｅ_j-1,n-1・Ｘ_n-1＋…＋Ｅ_j-1,1・Ｘ＋Ｅ_j-1,0 Ｓ_k+1,n-1：ｕ_pm（Ｒ_k,+1,n-i）＋ｕ_pm（Ｒ_k+1,n-1） または、ｕ_pm（Ｒ_k,n-1）＋ｕ_pm（Ｒ_k+1,n-i）＋１

【００７３】上記アルゴリズムに示したＰＥＡ、ＰＥ
Ｂ、ＰＥＣの処理は、図６、図７、図８のようなプロセ
ッシング・エレメントＰＥによって夫々実現できる。

【００７４】（ＰＥＡ）図６に示したＰＥＡの処理を行
うプロセッシング・エレメントＰＥは、上記アルゴケズ
ムにおいてＰＥＡとして示された部分のＢをＢcに替え
た数式１９に対する処理を行う。ただし、図２のプロセ
ッシング・エレメントＰＥとの違いは、Ｂcのキャリー
処理を行うためにＢcに関する入力をＢ_n-iからＢ_n-i＋
Ｂ_n-iにしたことである。従って、図６に示すように、
Ｂ_n-iとｂ_n-iを同時にＢinとｂinから入力し、Ａ_k-jと
の論理積をとる。よって、プロセッシング・エレメント
ＰＥの乗算部のアンド回路は、ｍ＋１個になる。ただ
し、Ａ_k-j・ｂ_n-iのアンド出力は、Ａ_k-j・Ｂ_n-iのアン
ド出力の最下位ビットと同じ桁である。

【００７５】（ＰＥＢ）図７に示したＰＥＢの処理を行
うプロセッシング・エレメントＰＥは、上記アルゴケズ
ムにおいてＰＥＢとして示された数式２４に対する処理
を行う。従っ２３て、ＰＥＡをｍ回行う毎に１回ＰＥＢ
の処理を行う。ＰＥＢには、Ａcのキャリービットａ_k-j
が設定される。数式２４の右辺のＲjは２倍されないの
で、前段のプロセッシング・エレメントＰＥのレジスタ
出力Ｒ_j-1,n-iのｍビット以下をＤ_j-1,n-iとしてＤ´in
から入力し、ｍ＋１ビット以上をＳ_j-1,n-iとしてＳ´i
nから入力する。これによって、図７のプロセッシング
・エレメントＰＥによって数式１１の演算が実行され
る。

【００７６】（ＰＥＣ）図８に示したプロセッシング・
エレメントＰＥによりなされるＰＥＣの処理は、剰余乗
算の最終出力のキャリービットをｍビット毎に１ビット
とするために行われる。従って、上記アルゴリズムにお
いては、最後に１度だけＰＥＣの処理が実行される。

【００７７】すなわち、図８に示したプロセッシング・
エレメントＰＥは、まず、前段のプロセッシング・エレ
メントＰＥからの出力であるＤout、Ｓout、Ｃoutを加
算加算器Ａ２により加算して１つの値Ｒ_k,n-iのする。
次に、Ｒ_k,n-iのｍビット以上の値Ｃ_k,n-iをレジスタＲ
６で遅延させて、加算器Ａ３にてｍビット以下の値Ｄ
_k,n-iと加算することによって、その加算結果のキャリ
ーＣ_k;1,n-iを１ビットにする。ただし、最上位桁のキ
ャリーＣ_k,n-1は、別のレジスタＲ７に保持しておく。
次に、最終結果の最上位桁のキャリービットを「０」に
するために、加算器Ａ４により、レジスタＲ７に保持し
た最上位桁のキャリーＣ_k,n-1とレジスタＲ８にて遅延
された最上位桁のキャリーＣ_k+1,n-1とを加算すること
により、最上位桁の剰余Ｅ_k+1,n-1を計算し、最終結果
の最上位桁であるＤ_k+1,j-1＋Ｃ_k+1,n-2＋Ｅ_k+1,n-1を
予め計算する。

【００７８】ここで、この最上位桁にキャリーが生成さ
れる場合、最終結果であるＲ_k+2,n-iの演算には、１＋
Ｃ_k,n-1＋Ｃ_k+1,n-iに対する剰余を出力し、最上位桁の
キャリービットが無いように判定・制御する。この判定
は、回路は、図８における判定回路Ｊにより行われる。
なお、この判定回路Ｊは３ビットのＲＯＭと加算器によ
って実現される。

【００７９】従って、ＲＳＡ暗号装置、ＤＨ型公開鍵配
送装置、および零知識証明装置は、図９のような構成を
もつシストリック剰余乗算回路によって実現される。図
９において、ＰＥＡのｍ個毎にＰＥＢが１個用いられ、
剰余乗算の最後にＰＥＢの代わりにＰＥＣが１個用いら
れる。これによって、図９のシストリックアレイと同様
の構成を持つ回路に図９からの出力を入力しても同様の
剰余乗算を実行することができる。

【００８０】また、シストリックアレイの小型化に対し
ても、図６のプロセッシング・エレメントＰＥを中心に
ＰＥＡ〜ＰＥＣの機能をセレクタによって切替えるプロ
セッシング・エレメントＰＥを１つ含む回路によって同
様の小型剰余乗算回路を構成できる。ＰＥＡ〜ＰＥＣの
機能は類似しているので、大部分の回路を共有でき、プ
ロセッシング・エレメントＰＥの共通化のための回路規
模の増大は小さい。

【００８１】ＰＥＡ〜ＰＥＣの機能の共通化には種々の
パターンが考えられるが、例として図１０に示すような
プロセッシング・エレメントＰＥが考えられる。図１０
のプロセッシング・エレメントＰＥは、ＰＥＡ〜ＰＥＣ
の全ての機能を含んだプロセッシング・エレメントであ
る。

【００８２】図１０のプロセッシング・エレメントＰＥ
と図６〜図８のプロセッシング・エレメントＰＥとの相
違点は、以下の通りである。すなわち、 乗算部： 図１０における乗算部は、ＰＥＡ、ＰＥＢの
機能については、ｍ＋１個のアンド回路によって構成さ
れる乗算回路とＡ_k-jまたはａ_k-jを設定する１ビットレ
ジスタによって構成される。ＰＥＣの機能については、
乗算部を有しない。

【００８３】加算部： 図１０における加算部は、ＰＥ
Ａ、ＰＥＢの機能については、４入力加算器によって構
成される。この場合、４入力加算器は、３個の２入力加
算器で置き換えて考える。また、ｍ＋２ビットのレジス
タが設けられる。ＰＥＣの機能については、２入力全加
算器３個と、ｍ＋１ビットレジスタ２個と、２ビットレ
ジスタ２個と、１ビットレジスタ１個と、判定回路によ
って構成される。判定回路は、３ビット入力ｍビット出
力のＲＯＭと加算器１個によって構成できる。

【００８４】剰余部： 図１０における剰余部は、ＰＥ
Ａ、ＰＥＣの機能については、（３＋ｌｏｇ ｎ ）ビ
ット入力ｍビット出力のＲＯＭと、３ビットのセレク
タ、レジスタにより構成される。ＰＥＢの機能について
は、Ｒの桁上がりがないので、（２＋ｌｏｇ ｎ ）ビ
ット入力ｍビット出力のＲＯＭと、２ビットのセレク
タ、レジスタにより構成される。

【００８５】遅延部： 図１０における遅延部は、ＰＥ
Ａ、ＰＥＢの機能については、Ｂn-iに対するｍ＋１ビ
ットのレジスタと、Ｔ_n-iに対するｌｏｇ ｎ ビット
のレジスタにより構成される。ＰＥＣの機能について
は、Ｔ_n-iに対するｌｏｇ ｎビットのレジスタのみで
よい。

【００８６】ｍ＝８の場合、ＰＥＡ〜ＰＥＣの機能に対
応する回路規模は、図１１のようになる。すなわち、図
９のシストリックアレイを構成するためには、ＰＥＡの
機能に対応する回路が５１２個、ＰＥＢの機能に対応す
る回路が６３個、ＰＥＣの機能に対応する回路が１個必
要となるが、簡単のために図９において最も多く用いら
れるＰＥＡの機能に対応する回路が５７６個あるとする
と、図９のシストリックアレイの回路規模は、４６８Ｋ
ゲートとなる。

【００８７】また、１クロックに必要な最大の処理時間
は、セレクタから剰余部のＲＯＭと加算器を通過する遅
延時間であるので、高速なＲＯＭを用いれば約５０ｎｓ
ｅｃ程度で処理できると考えられる。ＲＳＡ暗号、また
は零知識証明の鍵ｅまたはｄを５１２ビットとした場
合、図９のシストリックアレイ１組によってＲＳＡ暗
号、零知識証明の暗号化と復号を２００Ｋｂｐｓ程度の
処理速度で実現できる。この処理速度は、２００Ｋｂｐ
ｓの転送速度でデータが入力されても、シストリックア
レイによるパイプライン処理によってバッファにオーバ
ーフローすることなく、リアルタイムで処理できる速度
を意味する。また、ＤＨ型公開鍵配送での手順１Ａ，２
Ａにおける指数Ｘ_A，Ｘ_Bを各々５１２ビットとした場
合、図９のシストリックアレイ１組によってＤＨ型公開
鍵配送を１００Ｋｂｐｓの処理速度で実現できる。この
処理速度は、１００Ｋｂｐｓの転送速度でデータが入力
されても、シストリックアレイによるパイプライン処理
によってバッファにオーバーフローすることなく、リア
ルタイムで処理できる速度を意味する。いずれの場合に
おいても、効率＝処理速度／回路規模と定義すると、ｍ
＝８の場合の剰余乗算シストリックアレイの効率は、
０．４２ｂｐｓ／ゲートとなる。

【００８８】図１２は、ｍの値を大きくしていった場合
のＰＥＡの機能に対応する回路規模と処理効率を示した
ものであり、横列はｍの大きさを示し、縦列は上から順
に、乗算部、加算部、剰余部、遅延部、ＰＥＡの機能に
対応する回路規模、図９の回路に必要なプロセッシング
・エレメントＰＥの数、図９の回路の回路規模、ＲＳＡ
暗号の鍵ｅ，ｄ、またはＤＨ型公開鍵方式の各指数
Ｘ_A，Ｘ_Bを５１２ビットとした場合の処理速度、効率を
示している。

【００８９】ｍが大きくなるにつれて加算器に対する遅
延時間が積み重なっていくので、図１２に示したよう
に、ｍが倍になっても処理速度は正確には倍にはなら
ず、倍より多少は小さくなると考えられる。しかし、ｍ
が大きくなることによる処理速度の高速化と比較する
と、遅延時間の累積は無視できるほど小さい。従って、
ｍが大きくなるにつれて、効率は向上していくことが判
る。すなわち、ｍを大きくすれば効率のよい剰余乗算回
路を実現できるようになる。

【００９０】また、この方式は、プロセッシング・エレ
メントＰＥを共通化すれば、ｐ個のプロセッシング・エ
レメントＰＥによってｐ／ｋ（ｐ≦ｋ）の回路の小型化
が可能となる。さらに、図９のシストリックアレイの出
力を同様のシストリックアレイに入力することができる
ので、プロセッシング・エレメントＰＥの数を増やして
いけば、処理速度はそれに比例して速くなる。従って、
この方式は、処理速度の高速化と回路規模の小型化を同
様の割合で図った剰余乗算回路を実現することができ
る。例えば、ｍ＝８の場合を考えると、ｑ・８１２ゲー
ト（ｑは１３１０７２≧ｑ≧１の整数）の回路規模でｑ
・３４７ｂｐｓの処理速度のＲＳＡ暗号装置の剰余乗算
回路が実現できる。また、ｍ＝１２８で考えると、ｑ・
４８６７ゲートの回路規模でｑ・６．２Ｋｂｐｓの処理
速度のＲＳＡ暗号装置、ＤＨ型公開鍵配送装置、または
零知識証明装置の剰余乗算回路が実現できる。

【００９１】［ＲＳＡ暗号装置、ＤＨ型公開鍵配送装
置、および零知識証明装置用の剰余乗算回路例２］ＰＥ
Ａ〜ＰＥＡ処理機能は、図１１，１２に示したように、
比較的小さな回路規模で実現できる。さらに、本発明に
よる剰余乗算回路は、シストリックアレイの小型化から
も判るように、任意のｐ個のプロセッシング・エレメン
トＰＥにより構成できる。従って、この方式は、任意の
回路規模で剰余乗算回路を構成でき、かつ、回路構成が
規則性を持つので回路化、およびゲート化を非常に単に
行えるという特徴を持っている。そこで、図１３に示し
たように、プロセッシング・エレメントＰＥを１個から
数個を単位としてチップ化し（以後、ＳＲＣ：シストリ
ックＲＳＡチップと呼ぶ）、ＲＡＭ２と組合わせ、それ
らを外部からプログラミング制御することによって、Ｒ
ＳＡ暗号装置、ＤＨ型公開鍵配送装置、および零知識証
明装置を簡単に実現することができる（図１３において
ＳＲＣが１個の場合相当する）。この場合、外部からの
プログラミング制御は、ＲＯＭ３により柔軟に対応する
ことができる。

【００９２】また、さらなる高速処理が必要な場合は、
図１３に示したように、複数個のＳＲＣを縦続に接続す
ればよい。これによって、使用するプロセッシング・エ
レメントＰＥの数、すなわちＳＲＣのチップ数に比例し
た高速化が簡単に行える。これもＳＲＣの処理回数を制
御回によって変えるだけで簡単に実現することができ
る。以上のように、本発明による剰余乗算回路は、非常
に回路化し易く、かつ高速化も簡単に実現できる実用的
に方式であることが判る。

【００９３】［ラビン暗号装置の例］ラビン暗号の暗号
化と復号は、平文をＭ、暗号文Ｃとしたとき、それぞ
れ、次のような数式２５，２６に基づいて実行されるこ
とが知られている。ただし、数式２５，２６における
ｐ，ｑはｎ＝ｐ・ｑとなる大きな素数であり、ｂは０≦
ｂ≦ｎとなる整数である。すなわち、暗号化は、

【数２５】Ｃ＝Ｍ（Ｍ＋ｂ） ｍｏｄ ｎ に基づいて行い、復号は、次に示す連立方程式を解い
て、Ｍを求めることにより行う。

【数２６】Ｍ²＋Ｍｂ−Ｃ＝０ （ｍｏｄ ｐ ） Ｍ²＋Ｍｂ−Ｃ＝０ （ｍｏｄ ｑ ）

【００９４】ラビン暗号の剰余乗算は繰返されず、１度
だけでよいので、図２，３によるシストリックアレイに
より実現できる。この場合、キャリービット処理は、フ
ルアダーなどによって構成される別回路によって簡単に
行える。また、小型化に対しては、図５，図１３の回路
により実現できることも明らかである。

【００９５】［エルガマル暗号装置の例１］秘密通信に
対するエルガマル暗号は、平文をＭ、暗号文Ｃ₁，Ｃ₂と
したとき、それぞれ、次のような数式２７，２８に基づ
いて実行されることが知られている。ただし、数式２
７，２８におけるｐは大きな素数、αはｍｏｄ ｐ の
下での原始根、ｘは０＜ｘ＜ｐなる任意の整数、ｙはｙ
＝α"x ｍｏｄ ｐ 、ｋは乱数であり、暗号化は、

【数２７】 に基づいて行い、復号は、次に示す数式２８を解いて、
Ｍを求めることにより行う。

【数２８】

【００９６】公開鍵ｐ，αを１つの通信系に対して共通
化すると、Ｃ1＝α"_k ｍｏｄ ｐの演算は、AL_i＝αに
対する２のｉ乗乗として予め計算しておけるので、

【数２９】 Ｃ＝Ｃ・AL_i ｍｏｄ ｐ （Ｃの初期値は１） なる剰余乗算の繰返しに帰着できる。

【００９７】この場合、Ｃはキャリービットを持つが、
AL_iはキャリービットを持たないので、図６のプロセッ
シング・エレメントＰＥのみを用いたシストリックアレ
イによる剰余乗算回路を構成することができる。他の演
算は、ＲＳＡ暗号と同様の演算によって実現できるの
で、エルガマル暗号装置もＲＳＡ暗号装置と同様の回路
構成で構成できることは明らかである。 ［エルガマル暗号装置の例２］認証通信に対するエルガ
マル暗号は、平文をＭ、署名文をＳとすると、次のよう
な手順で実行できることが知られている。ただし、ｐを
大きな素数、αをｍｏｄ ｐの下での原始根、ｘを０＜
ｘ＜ｐなる任意の整数、ｙ＝α"_x ｍｏｄ ｐ、ｋを乱
数、ｒ＝α"_k ｍｏｄ ｐとする。ここでは、ｘが秘密
鍵であり、ｙ、ｐ、αが公開鍵である。

【００９８】署名生成：平文Ｍと、ｒと、次のＳを送信
する。

【数３０】Ｓ＝（Ｍ−ｘ・ｒ）／ｋ ｍｏｄ ｐ−１ 署名検査：

【数３１】 が成立すれば、認証したことになる。

【００９９】公開鍵ｐ，ｑを１つの通信系に対して共通
化すると、α"Mの演算はAL_i＝αに対する２のｉ乗乗と
して予め計算しておけるので、Ｃ＝Ｃ・AL_i ｍｏｄ
ｐ（Ｃの初期値は１）の剰余乗算の繰返しに帰着でき
る。この場合、Ｃはキャリービットを持つが、AL_iはキ
ャリービットを持たないので、図６のプロセッシング・
エレメントＰＥを用いてシストリックアレイによる剰余
乗算回路を構成することができる。他の演算は、べき剰
余演算または剰余乗算によって実現される。従って、認
証用のエルガマル暗号装置も図１１のような回路構成に
より実現できることは明らかである。

【０１００】［ＩＤ−ｂａｓｅｄ鍵共有方式の例］ＩＤ
情報による認証を付けた次のようなＩＤ−ｂａｓｅｄ鍵
共有方式も知られている。すなわち、このＩＤ−ｂａｓ
ｅｄ鍵共有方式では、 （手順１Ｆ）…センターは、一方向性関数としてＲＳＡ
暗号を公開する。すなわち、２つの素数ｐ，ｑ、および
復号鍵ｄを秘密に持ち、ｎ（＝ｐ・ｑ）と、暗号化鍵ｅ
と、ＧＦ（ｐ）と同時にＧＦ（ｑ）の原始元となるαと
を公開する。

【０１０１】（手順２Ｆ）…各利用者ｊは、ネットワー
ク加入時にセンターに自己のＩＤｊを登録し、センター
から次式で示されるｓｊを受け取る。

【数３２】 （手順３Ｆ）…利用者Ａと利用者Ｂとで鍵を共有する場
合、利用者Ａは乱数ｋ_Aを任意に選択し、次式で示され
るｃ_Aを利用者Ｂに送信する。

【数３３】 （手順４Ｆ）…利用者Ｂは乱数ｋ_Bを任意に選択し、次
式で示されるｃ_Bを利用者Ａに送信する。

【数３４】 （手順５Ｆ）…利用者Ａは、次のｙを計算し、ｙを共有
鍵とする。

【数３５】 （手順６Ｆ）…利用者Ｂは、次のｙを計算し、ｙを共有
鍵とする。

【数３６】

【０１０２】このＩＤ−ｂａｓｅｄ鍵共有方式において
も、手順２Ｆ〜６Ｆの計算は、全て剰余乗算によって実
現される。従って、図３，５，９，１１に示した回路に
よって、このＩＤ−ｂａｓｅｄ鍵共有方式が構成できる
ことは明らかである。

【０１０３】［零知識証明装置の例］前述した零知識証
明方式の他に、次のような零知識証明方式がＦｉａｔ、
Ｓｈａｍｉｒによって提案されている。このアルゴリズ
ムは、整数ｎの素因数分解が未知のとき、ｎを法として
平方根を求める問題の困難さに基づいており、次のよう
な手順により零知識を証明する。すなわち、

【０１０４】（手順１Ｇ）…センターは、２つの大きな
素数ｐ、ｑを選択し、これらのｎ＝ｐ・ｑを公開する。
また、任意の数値系列を値域［０，ｎ）、すなわち０以
上、ｎ未満の値域に写像する疑似ランダム関数ｆを公開
する。 （手順２Ｇ）…小さなｊの値に対してｖｊ＝ｆ（ＩＤ，
ｊ）を計算する。ＩＤは各ユーザーがセンターに登録す
る公開のＩＤ情報である。 （手順３Ｇ）…ｖｊがｍｏｄ ｎで平方剰余になるｋ個
のｊを選択し、ｖｊ^-1 の最小の平方根ｓｊを計算する。 （手順４Ｇ）…ＩＤと、ｋ個のｓｊの値と、それらのイ
ンデックスｊの値を記憶したスマートカード（ＩＣカー
ド）を発行する。ここで、ｊの値は、一般に飛び飛びの
値になるが、簡単のため、以下ではｊ＝１，２，…，ｋ
とする。

【０１０５】このような環境の下で、手順５Ｇ〜手順１
０Ｇを実行することにより、例えばを利用者Ａを被認証
者、利用者Ｂを認証者とした場合の被認証者Ａであるこ
との証明（認証）を行う。すなわち、

【０１０６】（手順５Ｇ）…被認証者Ａは、認証者Ｂに
自己のＩＤを送信する。 （手順６Ｇ）…認証者Ｂは、ｖｊ＝ｆ（ＩＤ，ｊ）を生
成する。ただし，ｊ＝１，２，…，ｋである。

【０１０７】以下、手順７Ｇ〜１０Ｇをｉ＝１からｔま
でｔ回繰返し、ｔ回の検査に成功すれば、認証者Ｂの通
信相手は被認証者Ａであると考える。 （手順７Ｇ）…被認証者Ａは、乱数ｒ_i ［０，ｎ）を
生成し、次のｘ_iを認証者Ｂに送信する。

【数３７】ｘｉ＝ｒｉ² ｍｏｄ ｎ （手順８Ｇ）…認証者Ｂは、被認証者Ａに２進乱数ベク
トル（ｅｉ １，ｅｉ２…ｅｉｋ）を送信する。 （手順９Ｇ）…被認証者Ａは、次のｙｉを計算して認証
者Ｂに送信する。

【数３８】ｙｉ＝ｒｉΠｓｊ ｍｏｄ ｎ ｅｉｊ＝１ （手順１０Ｇ）…認証者Ｂは、次式が成立するかどうか
を検査する。もし、成立しなければ、認証者Ｂの通信相
手は被認証者Ａではないことが検知できる。

【数３９】ｘｉ＝ｙｉ２Πｖｊ ｍｏｄ ｎ ｅｉｊ＝１

【０１０８】以上の手順において、乱数生成以外の手順
７Ｇ，９Ｇ，１０Ｇの演算は、全て剰余乗算の繰返しに
よって構成されている。従って、このＦｉａｔ、Ｓｈａ
ｍｉｒによる零知識証明方式も、上記の剰余乗算回路に
よって実現できることは明らかである。

【０１０９】以上説明したように、シストリックアレイ
を用いた効率的な剰余乗算回路を実現することができ
る。この剰余乗算回路を用いることにより、ＲＳＡ暗号
装置、ラビン暗号装置、エルガマル暗号装置、ＤＨ型公
開鍵配送装置、零知識証明装置等による効率的な暗号シ
ステムを構築することが可能になる。すなわち、高速な
暗号システムを構築する場合、本方式による剰余乗算回
路をＶＬＳＩ等によって構成すればよい。この場合、本
方式による剰余乗算回路は、プロセッシング・エレメン
トＰＥによる簡単な規則構造を持ち、かつプロセッシン
グ・エレメントＰＥの制御とプロセッシング・エレメン
トＰＥの遅延時間は局所的であるので、ＶＬＳＩ化に適
している。

【０１１０】また、高速性よりも小型化が優先される場
合には、剰余乗算回路を少数のプロセッシング・エレメ
ントＰＥにより構成すればよい。この場合にも、プロセ
ッシング・エレメントＰＥによる簡単な規則構造と、プ
ロセッシング・エレメントＰＥの制御とプロセッシング
・エレメントＰＥの遅延時間の局所性といった特徴は失
われず、簡単に回路化することができる。また、プロセ
ッシング・エレメントＰＥ内で行われる演算は、簡単な
整数演算であるので、本方式による演算手順は、ＣＰＵ
やＤＳＰ等のソフト的な手法によっても簡単に行うこと
ができる。

【０１１１】また、小型化を優先した暗号システムを構
成した後に、高速化を図るような場合は、図１に示した
ように、その小型な回路を縦続に接続するだけで、接続
数に比例した高速化が可能となる。また、暗号システム
を構成した後に、認証や暗号の強度を増すために鍵のビ
ット数を増やす場合も、同一の回路、またはプロセッシ
ング・エレメントＰＥの数を増やした同様の回路によっ
て対応することができる。これは、本方式による剰余乗
算回路が、回路規模と処理回数をトレードオフできるの
で、鍵のビット数の違いを処理回数の違いに帰着させら
れるためである。このことは、システムの伝送速度や鍵
のビット数の変化など、システムの仕様が変化しても、
暗号装置を物理的に作り直す必要がないことを意味す
る。

【０１１２】また、従来、ＲＳＡ暗号の復号処理に対し
て、中国人の剰余定理（Ｃｈｉｎｅｓｅ ｒｅｍａｉｎ
ｄｅｒ ｔｈｅｏｒｅｍ）による高速化手法が知られて
おり、この場合、暗号化と復号、署名生成と署名検査で
鍵のビット数が異なるため、同一の剰余乗算回路によっ
て暗号化と復号、署名生成と署名検査を実行し難いとい
った問題が生じていたが、本方式による剰余乗算回路
は、鍵のビット数の違いに対応できるので、同一の剰余
乗算回路により暗号化と復号、署名生成と署名検査を実
行することができる。また、中国人の剰余定理による高
速化手法は、基本的に並列に実行できるので、複数のチ
ップによって演算を実行する場合、本方式による剰余乗
算回路は最適である。

【０１１３】以上のような効果は、従来の剰余乗算によ
る暗号装置では実現できないものであり、本方式による
剰余乗算回路を使用することによって初めて実現される
ものである。また、上記の暗号方式のみならず、剰余乗
算を用いる他の暗号方式を採用した暗号システムに対し
ても、本方式の剰余乗算回路を適用できることは言うま
でもない。

【０１１４】

【発明の効果】以上説明したように、本発明の暗号化用
剰余乗算回路によれば、小規模の複数の演算素子を縦続
に接続してパイプライン処理を行うことにより、小規模
な回路により高速に暗号化のための剰余乗算を行うこと
ができ、剰余乗算を利用した各種の暗号化システムの高
速化、小型化を図ることが可能となる。

【図面の簡単な説明】

【図１】本発明の実施例に係る暗号化用剰余乗算回路を
含む暗号システムを適用した通信系を示す図である。

【図２】プロセッシング・エレメントの構成を示すブロ
ック図である。

【図３】複数のプロセッシング・エレメントを縦続して
なるシストリックアレイを示す図である。

【図４】図３のシストリックアレイの動作を示すタイム
チャートである。

【図５】プロセッシング・エレメントとメモリとを組合
わせた剰余乗算回路を示す図である。

【図６】ＲＳＡ暗号のためのＰＥＡ処理を行うプロセッ
シング・エレメントを示す図である。

【図７】ＲＳＡ暗号のためのＰＥＢ処理を行うプロセッ
シング・エレメントを示す図である。

【図８】ＲＳＡ暗号のためのＰＥＣ処理を行うプロセッ
シング・エレメントを示す図である。

【図９】ＲＳＡ暗号装置等を構成するＰＥＡ〜ＰＥＣ処
理用のプロセッシング・エレメントのシストリックアレ
イを示す図である。

【図１０】ＰＥＡ〜ＰＥＣ処理用の各プロセッシング・
エレメントを共通化したプロセッシング・エレメントを
示す図である。

【図１１】ＰＥＡ〜ＰＥＣ処理に対応する回路規模を示
す図である。

【図１２】各プロセッシング・エレメントが処理すべき
ビット数ｍ別に見たＰＥＡ処理に対応する回路規模、お
よび処理効率を示す図である。

【図１３】ＳＲＣに対応する剰余乗算回路を示す図であ
る。

【符号の説明】

ＰＥ…プロセッシング・エレメント Ｔ…通信端末 Ａ，Ａ１〜Ａ４…加算器 Ｍ，Ｍ１…乗算器 Ｒ，…レジスタ Ｃ，Ｃ１…剰余出力回路 Ｊ，Ｊ１…判定回路 Ｓ…セレクタ ＳＲＣ…シストリックＲＳＡチップ １…ＲＡＭ ２…ＲＯＭ

Claims (15)

【特許請求の範囲】
1. 【請求項１】 整数Ａｃ，Ｂｃ，ＮによるＡｃ・Ｂｃ
   ｍｏｄ Ｎなる演算を行う剰余乗算回路において、 数種類の演算素子をパイプライン状に複数接続し、各演
   算素子にＡｃをｍａビット毎に分けたＡ_na-j（j＝１，
   ２，…，ｎａ）（ｍａ，ｎａは任意の整数）を上位桁か
   ら設定し、Ｂｃをｍｂビット毎に分けたＢ_nb-j（j＝
   １，２，…，ｎｂ）（ｍｂ，ｎｂは任意の整数）を上位
   桁から１段目の演算素子に入力し、各演算素子において
   Ｒ_j＝Ｒ_j-1・Ｘ＋Ａ_na-1・Ｂｃ ｍｏｄ Ｎ、またはＲ
   _j＝Ｒ_j＋Ａ_na-j・Ｂｃ ｍｏｄ Ｎ（j＝１，２，…，
   ｎａ）を計算して次段の演算素子に入力し、当該演算を
   繰返すことによって最終段の演算素子からＡｃ・Ｂｃ
   ｍｏｄ Ｎの剰余乗算結果を得るよう構成したことを特
   徴とする暗号化用剰余乗算回路。
2. 【請求項２】 前記暗号化用剰余乗算回路は、ｍａビッ
   ト・ｍｂビットの乗算を行う乗算部と、前段の演算素子
   からの最初の出力を受けて剰余Ｅ_j-1、または−Ｑ・Ｎ
   を出力する剰余出力部と、前記乗算部、剰余出力部、前
   段の演算素子の各出力を加算する加算部と、該加算部か
   らの出力を格納する格納部とを有する第１の演算素子を
   含むことを特徴とする請求項１記載の暗号化用剰余乗算
   回路。
3. 【請求項３】 前記暗号化用剰余乗算回路は、前段の演
   算素子からの出力をキャリーとともに加算する加算部
   と、最上位桁から剰余Ｅ_j-1、または−Ｑ・Ｎを出力す
   る剰余出力部と、最上位桁にキャリーが生じないように
   前記剰余出力部を制御する制御部とを有する第２の演算
   素子を含むことを特徴とする請求項１記載の暗号化用剰
   余乗算回路。
4. 【請求項４】 前記暗号化用剰余乗算回路は、請求項
   ２、請求項３記載の第１の演算素子、第２の演算素子の
   機能を組合わせてなる第３の演算素子を含むことを特徴
   とする請求項１記載の暗号化用剰余乗算回路。
5. 【請求項５】 請求項１、請求項２、請求項３、または
   請求項４記載の暗号化用剰余乗算回路の数種類を１つの
   演算単位とする第１の演算手段と、該第１の演算手段に
   よる演算を制御する第１の制御手段と、該第１の制御手
   段の制御の下に該第１の演算手段から出力された演算結
   果を記憶する第１の記憶手段とを設けたことを特徴とす
   る暗号装置。
6. 【請求項６】 請求項５記載の第１の演算手段を数個パ
   イプライン状に接続してなる第２の演算手段と、該第２
   の演算手段による演算を制御する第２の制御手段と、該
   第２の制御手段の制御の下に該第２の演算手段から出力
   された演算結果を記憶する第２の記憶手段とを設けたこ
   とを特徴とする暗号装置。
7. 【請求項７】 請求項５、または請求項６記載の暗号装
   置を通信端末に内蔵したことを特徴とする暗号通信シス
   テム。
8. 【請求項８】 請求項５、または請求項６記載の暗号装
   置を通信端末に接続したことを特徴とする暗号通信シス
   テム。
9. 【請求項９】 請求項５、または請求項６記載の暗号装
   置を記録媒体への入出力を行う入出力装置に内蔵したこ
   とを特徴とする暗号通信システム。
10. 【請求項１０】 請求項５、または請求項６記載の暗号
    装置を記録媒体への入出力を行う入出力装置に接続した
    ことを特徴とする暗号通信システム。
11. 【請求項１１】 請求項５、または請求項６記載の暗号
    装置をＩＣカードに内蔵したことを特徴とする暗号通信
    システム。
12. 【請求項１２】 請求項７、請求項８、請求項９、請求
    項１０、または請求項１１記載の暗号通信システムは、
    署名付き暗号通信を行うことを特徴とする暗号通信シス
    テム。
13. 【請求項１３】 請求項７、請求項８、請求項９、請求
    項１０、または請求項１１記載の暗号通信システムは、
    認証通信を行うことを特徴とする暗号通信システム。
14. 【請求項１４】 請求項７、請求項８、請求項９、また
    は請求項１０記載の暗号通信システムは、鍵配送・共有
    暗号通信を行うことを特徴とする暗号通信システム。
15. 【請求項１５】 請求項７、請求項８、請求項９、また
    は請求項１０記載の暗号通信システムは、零知識証明を
    行うことを特徴とする暗号通信システム。