JPH07253949A - モジュラ・乗算およびモジュラ・べき乗を遂行する超小形電子系装置ならびにその遂行方法 - Google Patents

Abstract

(57)【要約】 【目的】 本発明は、大きな数に対するモジュール・乗
算およびべき乗を遂行するための超小形電子系装置なら
びにその遂行方法に関し、モントゴメリの手法に基づき
モジュラ・べき乗等の遂行に要求される時間を減らすこ
とを目的とする。 【構成】 本発明は、適切なクロック手段および制御手
段を有する標準のマイクロプロセッサに対するコンパク
トな同期式の電子系超小形周辺機器からなり、各々が細
分化される共に、切替制御可能であり、かつ、前記クロ
ック手段により制御される複数種のシフトレジスタと、
多重化され、かつ、直列／並列形の２つのみのマルチプ
レクサと、ボロー検出器と、補助的な減算器および加算
器と、ディレイ・レジスタおよび切替素子とを備えてお
り、モジュラ・乗算、モジュラ・２乗およびモジュラ・
べき乗を同時処理かつ同期方式により遂行するために、
前述のすべての構成部品を集積化して形成する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、複数種の素数および複
合形素数モジュールからなるガロアの領域において、大
きな数に対しモジュラ処理を遂行するための手法に関す
る。さらに詳しくいえば、本発明は、大きな数に対する
モジュール・乗法およびモジュール・べき乗を遂行する
ための超小形電子系装置ならびにその遂行方法について
言及するものである。このようなモジュール・乗算およ
びモジュール・べき乗は、公開キー暗号の認証や暗号化
プロトコル（Protocol）に不可欠な演算を遂行する場合
に適している。この種の演算は、小規模のマイクロプロ
セッサによっては通常の処理時間内に実行することが不
可能である。

【０００２】

【従来の技術、および、発明が解決しようとする課題】
本発明は、インタリービング方式によるモントゴメリ
（Montgomery）の多倍精度の乗算方法」として知られて
いる手続きを、ハードウェアによって遂行することに関
係する。このモントゴメリの乗算方法は、暗号化のソフ
トウェア指向システムに度々使用される。ここでは、モ
ジュラ・べき乗を促進するために、唯一のオリジナルな
方法が提供される。さらに、このモジュラ・べき乗を遂
行するためのアーキテクチュアを簡単化し、かつ、通常
使用されるような数の領域内でモジュラ・べき乗を遂行
する装置の適用範囲を拡大するために、欠くことのでき
ないプルーフが使用される。

【０００３】上記の手続きに関する基本的な処理は、モ
ントゴメリの方法論に基づきモジュラ・乗算を遂行する
ための手法に関連するような３つの公知の方法のいずれ
か一つにより実行される。これらの公知の方法の１つめ
は、Ｐ．Ｌ．モントゴメリ著の「試行除算を行わない方
式のモジュラ・乗算（Modular Multiplication without
trial division ）」｛計算の数学（Mathematics of C
omputation）、第４４巻、５１９〜５２１頁、１９８５
年発行｝に記載されている。なお、これ以降は、上記の
１つめの方法は、単にモントゴメリの方法とよぶことと
する。公知の方法の２つめは、Ｓ．Ｒ．デュッセ（Duss
e ）およびＢ．Ｓ．カリスキー ジュニア（Kaliski J
r. ）著の「モトローラ社製のＤＳＰ５６０００に向け
られた暗号のライブラリ（A Cryptographic Library fo
r the Motorola DSP 56000）」｛９０年代の欧州暗号化
の議事録（Proc. Eurocrypt ‘90 ）、１９９０年にベ
ルリンのシュプリンガ出版社（Springer-Verlag ）によ
り発行｝に記載されている。なお、これ以降は、上記の
２つめの方法は、単にデュッセの方法とよぶこととす
る。

【０００４】上記の手続きをハードウェアにより遂行す
る場合、機密保護機構や、オンザフライ（On the Fly）
式の加算、減算、および、けた移動が付加される。さら
に、総合的な出力が不適切であるような処理が除去され
る。さらにまた、シリコンを利用した設計に基づき、比
較的容易に遂行できるような手段が開発されて集積化さ
れる。この集積化により実現された装置は、実際には、
８ビット、１６ビットまたは３２ビットの中央処理装置
（ＣＰＵ）の従装置として、内部のデータ／アドレスバ
スに付加される。

【０００５】本発明に関係する乗算／２乗機器は、簡単
な同期形のけた送り式の設計がなされているために、こ
れまでに達成された速度の何倍ものクロック速度で動作
することが可能である。このクロック速度は、ボード上
に実装されかつ不揮発性の記憶装置（メモリ）を支援す
るＣＰＵにより実現される。乗算／２乗機器を用いた手
法は、ＣＰＵのメモリのアーキテクチュアにおける設計
変更を必要としない。この種のアーキテクチュアは、例
えばフィリップ回路のように、並列形の乗算器とデュア
ルポートのメモリを用いることによって大きな数に対す
る高速のモジュラ・乗算を遂行する場合に規定されるも
のである。このモジュラ・乗算を遂行するための複数の
手法の３つめは、フィリップ社製の電子部品「８３Ｃ８
５２（条件付きのアクセス・アプリケーション用の機密
保持機能付きの８ビット・マイクロコントローラ）」
｛１９９０年８月にアインホーヘン（Einhoven）にて発
表｝により実行される方法である。なお、これ以降は、
上記の３つめの方法は、単にフィリップの方法とよぶこ
ととする。

【０００６】上記のような基本的なアーキテクチュア
は、任意のマイクロコントローラの設計に際し集積化が
可能であり、かつ、メモリへのマッピングが可能である
ような機器に適用される。さらに、この種の機器はま
た、コマンドおよびオペランドを常時ロードし、かつ、
最終的な応答結果を取り出して転送することが必要なマ
イクロコントローラと並列に動作することも可能でなけ
ればならない。

【０００７】このような要求に対する新奇な解は、２つ
の直列／並列式の乗算器のみを用いると共に、完全な直
列形のパイプライン方式のアプローチを採用することで
ある。このようなパイプライン方式のアプローチを採用
することにより、シリコンの面積を節減することが可能
になる。現在一般に用いられている周知の技術によれ
ば、メモリ付きのマイクロコントローラを有すると共に
上記の解を完全に満足するような装置を、４×４．５×
０．２の大きさの電子系回路上に集積化することが可能
である。このようにして得られる電子系回路は、ＩＳＯ
７８１６の規格を満足するものである。ここで、ＩＳＯ
とは、国際標準化機構（International Organization f
or Standardization）の略号であり、認証カード、すな
わち、集積回路カード（ＩＣカード）において特定され
る。上記ＩＳＯの中のＩＳＯ７８１６は、下記の３つの
部分から構成される。

【０００８】第１部…ＩＳＯ７８１６−１（物理特
性）、１９８７年制定 第２部…ＩＳＯ７８１６−２（接点の位置の寸法）、
１９８８年制定 第３部…ＩＳＯ／ＩＥＣ７８１６−３（電子信号およ
び通信プロトコル）、１９８９年制定 なお、これ以降は、これらの３つの部分を併せてＩＳＯ
７８１６とよぶこととする。

【０００９】本発明は、モントゴメリにより開示された
数学的な革新事項に基づいて上記の新奇な解のアーキテ
クチュアを実現することに向けられている。本発明で
は、後述するように、モジュラ・べき乗の遂行に要求さ
れる時間を、公知の処理方法およびモントゴメリの方法
を用いた場合に必要な処理時間の半分の時間とほとんど
変わらない値にまで減らすために、幾つかの変形や、改
良や、機能的な方法が提供される。

【００１０】ここで、本発明のモジュラ・乗算およびモ
ジュラ・べき乗を遂行する装置および方法を述べる前
に、一般的な計算の数学について大まかに説明すること
とする。数学上の定義、一般的な法則および処理方法 素数および複合形基本モジュールからなる数の領域にお
いて、我々は、ＡおよびＢを、それぞれ被乗数および乗
数として定義する。さらに、通常は、ＡまたはＢよりも
大きい数としてＮを定義する。ただし、場合によって
は、Ｎは、Ａよりも小さい数になり得る。さらに、Ａ、
ＢおよびＮの各々を、ｍ×ｋ（積の記号は、×の代わり
に、・または＊で表すこともある）＝ｎビット長のオペ
ランドとして定義する。各ｋビットのグループは、キャ
ラクタとよばれる。それゆえに、Ａ、ＢおよびＮの各々
は、ｍキャラクタ長のオペランドから構成される。ここ
では、モジュラ・乗算およびモジュラ・べき乗の最初の
遂行過程の理解と、１ステップ毎にモジュラ・乗算およ
びモジュラ・べき乗を遂行する手続の説明を容易にする
ために、我々は、Ａ、ＢおよびＮの各々を、５１２ビッ
ト長（ｎ＝５１２）のオペランドとして定義する。さら
に、ｋを３２ビット長に設定する。この３２ビットは、
現在、乗算器のコストに見合ったｋの長さとみなせる。
さらに、ｍ＝１６としてｍの値を設定する。このｍの値
１６は、一つのオペランドにおけるキャラクタの数であ
り、かつ、５１２ビットのオペランドに対する２乗ルー
プまたは乗算ループの繰り返しの回数である。この場
合、明らかに、いずれのオペランドも整数である。

【００１１】さらに、我々は、モジュールの数の合同を
表すために、記号“≡”を使用する。例えば、１６≡２
ｍｏｄ７と記載されている場合、１６が２モジュロ７と
合同であり、かつ、１６を７で割ったときの剰余が２で
あることを意味する。また、ＹｍｏｄＮ≡ＸｍｏｄＮと
記載されている場合、ＸおよびＹの両方が、Ｎよりも大
きい可能性がある。さらに、ＸおよびＹが正であるとき
は、それぞれの剰余は同一の値になるであろう。さら
に、Ｙが負の整数である場合に、Ｙの合同はＹ＋ｕＮで
表されることに注意すべきである。この場合、Ｙの合同
がＮよりも小さい値であるならば、ｕは、Ｙの合同を正
の値にするための最小の数として設定されるであろう。

【００１２】さらに、我々は、より限定された意味にお
ける合同を表すために、記号“￥”を使用する。ここで
述べる処理過程においては、各種の値は、度々、望まし
い値か、または、望ましい値とモジュールとの和にな
る。例えば、Ｘ￥２ｍｏｄ７と記載されている場合、Ｘ
は、２または９のいずれかに等しい。このときに、Ｘ
は、２ｍｏｄ７に対し限定された合同を有するものとし
て定義される。

【００１３】さらに、Ｘ＝ＡｍｏｄＮと記載されて場
合、我々は、ＡをＮで割った場合の剰余としてＸを定義
する。例えば、３＝４５ｍｏｄ６のように表される。数
の理論においては、モジュラ・逆数が基本的な概念にな
る。例えば、Ｘのモジュラ逆数は、Ｘ^-1と表される。こ
の場合、モジュラ逆数Ｘ^-1は、ＸＸ^-1ｍｏｄＮ＝１の関
係式により定義される。もし、Ｘの値が３に等しく（Ｘ
＝３）、かつ、Ｎの値が１３に等しければ（Ｎ＝１
３）、Ｘ^-1の値は９になる（Ｘ^-1＝９）。すなわち、積
３・９を１３により割った値は１になる。

【００１４】この場合、参照すべきビット、キャラクタ
および全オペランドの値の最上位または最下位を表示す
るために、頭字語ＭＳおよびＬＳがそれぞれ使用される
ことがある。本明細書中で、Ｎは、値Ｎ、および、この
値Ｎを含むシフトレジスタの名前の両方を意味してい
る。ＡおよびＮは、べき乗処理の全過程を通して一定の
値である。さらに、Ａは、べき乗処理がなされるべき数
の値である。べき乗処理の最初の繰り返し動作において
は、ＢはＡに等しい。Ａはまた、累算された値が存在す
るレジスタの名前でもある。この場合、累算された値
は、最終的に、べき乗処理の望ましい結果に等しくな
る。Ｓは、一時的な値を示すと共に、値Ｓに対し限定さ
れた合同（￥）の関係を有する値が記憶されるようなレ
ジスタを示す。Ｓ（ｉ−１）は、ｉ回目の繰り返し動作
の始まりにおけるＳの値を意味する。Ｓ₀ は、Ｓ（ｉ）
の値の最下位（ＬＳ）のキャラクタを示す。

【００１５】ここで、我々は、ρ領域（この“ρ”はベ
クトルで表示すべきものであるが、電子出願の形式で
は、ρをベクトルにて表示することができないので、や
むを得ず通常のギリシャ文字で表示することとする）に
おける乗算ρ（Ａ・Ｂ）Ｎの処理過程を簡単に説明す
る。なお、乗算ρ（Ａ・Ｂ）Ｎの詳しい定義は、後ほど
行うこととする。

【００１６】このρ（Ａ・Ｂ）Ｎ以外の記号は、算術計
算の中で通常使用されるものである。モントゴメリ方式のモジュラ・乗算 モジュラ・乗算Ａ・ＢｍｏｄＮを遂行するための古典的
なアプローチにおいては、積Ａ・Ｂの剰余は、除算処理
を利用することにより計算される。しかしながら、この
ような除算動作を実行することは、乗算動作を実行する
ことよりも難しい。

【００１７】モントゴメリのモジュラ・縮小法を用いる
ことにより、上記の除算処理は、実質的に、前もって計
算された定数を使用した乗算処理に置き換えられる。モ
ントゴメリの関数ρ（Ａ・Ｂ）Ｎは、ρ領域内で積Ａ・
Ｂの乗算モジュロＮを遂行する。ρ領域から通常のモジ
ュールの領域への検索処理は、ρ（Ａ・Ｂ）Ｎの結果と
前もって計算された定数Ｈをもとにρを規定することに
より遂行される。ここで、Ｐがρ（Ａ・Ｂ）Ｎと合同で
ある場合（Ｐ≡ρ（Ａ・Ｂ）Ｎ）、ρ（Ａ・Ｂ）ＮはＡ
・ＢｍｏｄＮに等しくなる（ρ（Ａ・Ｂ）Ｎ＝Ａ・Ｂｍ
ｏｄＮ）。それゆえに、ρ領域での２つの乗算処理によ
って通常のモジュラ・乗算がなされることになる。

【００１８】効果的なモジュラ・縮小法を使用する意図
は、ｎビット長および２ｎビット長のオペランドに対す
る一連の乗算および除算動作を回避することにある。こ
のような乗算動作および除算動作の回避は、元の値がｎ
ビット長であってかつ最高値がｎビット長の最終結果を
生成するようなオペランドに対し一連の乗算、加算およ
び減算を実行することにより実現される。上記のような
モントゴメリの指針を証明するために、我々は、所定の
Ａ、Ｂ、および奇数のＮ（この奇数のモジュールは、常
に、単純な大きな素数かまたは複合形の大きな素数のい
ずれかである）に対し、次のようなＱが最終的に存在す
ることに注意すべきである。すなわち、Ａ・Ｂ＋Ｑ・Ｎ
が、最下位のｎビットの値が０になるような数になると
いう条件を満足するＱが存在することである。さらに詳
しくは、このような条件を下記の式(1) に示す。

【００１９】

【数１】

【００２０】この式(1) は、最下位のｎビットの値が０
になるような２ｎビット長の表現が可能であることを意
味する。ここで、Ｉ・２ⁿ がＩｍｏｄＮと合同である
（Ｉ・２ⁿ ≡ＩｍｏｄＮ）と仮定する。この場合、Ｉは
すべての奇数のＮに対して存在する。前述の式(１)の両
辺にＩを掛けることにより、式(1) の左辺では、下記の
式(2) に示すような合同の関係が導き出される。

【００２１】

【数２】

【００２２】また一方で、式(１)の左辺では、下記の式
(3) に示すような合同の関係が導き出される。

【００２３】

【数３】

【００２４】この結果、前述の式(2) および式(3) より
下記の式(４)が導き出される。

【００２５】

【数４】

【００２６】残念なことではあるが、この式(4) より、
ρ領域の乗算が実行される度に寄生因子（寄生関数）Ｉ
が導入されることがわかる。ここで、ρ演算子を下記の
式(5) のように定義する。

【００２７】

【数５】

【００２８】さらに、式(5) のＰを、“ρ領域における
ＡとＢとの乗算”とよぶこととする。ρ領域からの検索
処理は、下記の式(6) に示すように、Ｐ・Ｈに対しρを
演算することにより遂行される。

【００２９】

【数６】

【００３０】この式(6) のような合同の関係におけるＰ
を式(4) のＰで置き換えることにより、Ｈの値が導き出
される。この経過を下記の式(7) に示す。

【００３１】

【数７】

【００３２】ここで、Ｈが、Ｉ² の逆数と合同である場
合、式(7) は有効となり、下記の式(8) が成立する。

【００３３】

【数８】

【００３４】Ａ・Ｂに対しρ演算子を規定するために、
前もって計算された定数Ｊを用いて下記のステップ１）
からステップ５）までの処理を遂行することとする。こ
の場合、最終的に、ステップ５）において、下記の式
(9) が成立する。

【００３５】

【数９】

【００３６】これらの処理に続き、下記の式(10)が導き
出される。

【００３７】

【数１０】

【００３８】さらに、下記の式(11)が導き出される。

【００３９】

【数１１】

【００４０】ここで、Ｚが２ⁿ （Ｚの最下位のｎビット
が０でなければならない）により割り切れるためには、
下記の式(12)に示す合同が存在することが必要である。

【００４１】

【数１２】

【００４２】さらに、この式(12)のような合同が存在す
るためには、Ｎ・Ｊｍｏｄ２ⁿ が−１と合同であること
が必要である。すなわち、下記の式(13)が成立しなけれ
ばならない。

【００４３】

【数１３】

【００４４】この式(13)により、定数Ｊが求まる。ここ
で、ＪはＮのみの関数なので、前もって計算された定数
となる。さらに、明らかなことではあるが、我々は、Ｎ
よりも小さい正の値のＪを選定しなければならない。こ
れまでの説明より当業者にとっては明らかなように、上
記の処理過程において、所定のＡ、Ｂ、Ｎ、および、前
もって計算された定数に対し、３つの乗算処理と、１つ
の加算処理と、最高の減算処理とを遂行することによっ
てρ（Ａ・Ｂ）Ｎが得られる。さらに、このようにして
得られた結果と、同じような処理過程と、前もって計算
された定数Ｈ（モジュールＮの関数）とを用いることに
より、Ａ・ＢｍｏｄＮが求められる。この場合、ＡはＢ
に等しくなるので、モジュラ・算術計算により２乗また
は乗算を行うための装置に対し、このような演算子を使
用することが可能になる。

【００４５】インタリービング方式によるモントゴメリ
のモジュラ・乗算 前述のセクションにおいては、すべてｎビット長の複数
のオペランド、および、２ｎ＋１ビットの記憶領域が要
求される複数の計算結果に対して乗算を必要とするよう
なモジュラ・乗算の方法を述べてきた。ここで、さら
に、モントゴメリのインタリービング方式による縮小法
（既に記載済みのデュッセの論文に記述されている）を
利用することにより、より短いオペランド、レジスタ、
およびハードウェア乗算器を用いた乗算動作を実行する
ことができる。この結果として、論理ゲートの数が比較
的少ない電子装置による処理が可能になる。

【００４６】さらに、ｋビットの乗算器を用いることに
より、ｋビット長のキャラクタを定義することが容易に
行える。この場合、ｎビット中にｍ個のキャラクタが存
在する（ｍ・ｋ＝ｎ）。Ｊの最下位の文字としてＪ_O を
定義することにより、下記の式(14)が導き出される。

【００４７】

【数１４】

【００４８】ここで、前述のモントゴメリのインタリー
ビング方式による縮小法を用い下記のステップ１）〜ス
テップ５）を遂行することによって、次のような初期条
件の下でｍ回の繰り返し動作の後にρ（Ａ・Ｂ）Ｎが規
定される。本発明の回路は、これらの複数のステップを
並列方式により実行する。 初期条件：Ｓ（０）＝０（最初（１回目）の繰り返し動
作の始まりにおけるＳに対し限定された合同の関係を有
する値）

【００４９】

【数１５】

【００５０】ここで、ステップ５）の除算処理は、Ｚ中
の最下位のｋビットが常に０である場合の右方向へのｋ
ビットのけた移動（シフト動作）に相当する。または、
除算処理回路に見られるように、Ｚ中の最下位のｋビッ
トが単純に無視される。上記のように、最後の繰り返し
動作の後に、式(15)が得られる。あるいは、必要に応じ
て、Ｎを引いた後に式(15)が得られる。Ｆ＝Ａ・Ｂｍｏ
ｄＮを導き出すために、我々は、ρ領域におけるρ（Ｃ
・Ｈ）Ｎの計算を実行しなければならない。

【００５１】ここで、我々は、すべてのＳ（ｉ）に対
し、Ｓ（ｉ）の値が２Ｎよりも小さいことを証明する
（モントゴメリの証明には含まれていない）。ここでの
処理過程に使用されるオペランドに対し、下記の式(16)
のような３つの不等式が成立することに注意すべきであ
る。

【００５２】

【数１６】

【００５３】（これらの不等式中の最初の２つは、Ｓ
（ｉ−１）およびＢがＮに等しいかまたは大きい場合
に、繰り返し動作の始まりにおいて、これらのＳ（ｉ−
１）およびＢからＮを引いたときに成立する。さらに、
２^k が、最上位（ＭＳ）のビットが１であるようなｋ＋
１ビット長の数であり、かつ、Ａ_i-1 がｋビット長のオ
ペランドである場合に、３つめの不等式が成立する。） 定義により、上記の式(17)が成立する。

【００５４】

【数１７】

【００５５】前述の一揃いの式において置換を行うこと
により、下記の式(18)が成立する。

【００５６】

【数１８】

【００５７】ここで、式(18)における各要素の最高値を
取り入れることにより、下記の式(19)のようなＺに関す
る不等式が成立する。

【００５８】

【数１９】

【００５９】この不等式より、下記の式(20)が確実に成
立する。

【００６０】

【数２０】

【００６１】ここで、式(20)の不等式の両辺を２^K で割
ることにより、式(21)が得られる。

【００６２】

【数２１】

【００６３】この式(21)の不等式より、いかなる場合に
も、Ｓ（ｉ）またはＢを調整するためには、Ｎを１回だ
け減算すればよいことが証明された。例１ インタリービング方式によるモジュラ・乗算 １６進法のモードの手動形計算機を使用することによ
り、インタリービング方式によるモジュラ・乗算を利用
した計算の有効性が容易に証明される。まず初めに、１
６進法のフォーマットを用いて次のように数を設定す
る。

【００６４】Ｎ＝ａ５９（モジュロ）、Ａ＝９９ｂ（乗
数）、Ｂ＝５ｃ３（被乗数）、ｎ＝１２（Ｎのビット
長）、ｋ＝４（乗数のビットの大きさであり、キャラク
タの大きさでもある）、および、ｍ＝３（ｎ＝ｋ・ｍ） さらに、Ｊ₀ ＝７（７・９≡−１ｍｏｄ１６）、およ
び、Ｈ≡２^2x12ｍｏｄａ５９≡４４ｂが設定される。

【００６５】ここで要求される結果は、Ｆ≡Ａ・Ｂｍｏ
ｄＮ≡９９ｂ・５ｃ３ｍｏｄａ５９≡３７５８１１ｍｏ
ｄａ５９＝２２０₁₆である。インタリービング方式によ
るモジュラ・乗算を利用した計算の処理過程を下記に示
す。 初期条件：Ｓ（０）＝０

【００６６】

【数２２】

【００６７】

【数２３】

【００６８】最終的に得られた値は、９９ｂ・５ｃ３ｍ
ｏｄａ５９であり、前述の要求される結果に一致する。
上記の乗算動作の有効性は、各ステップにおいて最下位
の０のｋビットを無視する場合には、基本的に、上位の
ｎビットに対し２^k を掛けることになることを我々が認
識したときに、直観的に理解することができる。さら
に、各ステップにおいて、乗数のｉ番目の部分は、２^ik
により乗算される数である。このような乗算処理によ
り、上記の部分は、Ｓ（ｉ）と同じランクになる。

【００６９】モントゴメリの機器における１つの乗算処
理過程内のモジュラ・縮小法 例えば、ＮＩＳＴのディジタル記号の標準化や、中国式
の剰余定理を用いたモジュラ・べき乗のような多くの暗
号化過程では、第２のモジュロよりも大きい（大抵の場
合、２倍よりも大きい）数を減らすことが要求される。
これらのモジュラ・縮小法は、インタリービング方式に
よる１つのモジュラ・乗算処理過程において効果的に実
行され得る。このモジュラ・乗算処理過程は、本発明に
係る機器や、モントゴメリのアルゴリズムへの機能的な
拡張を利用している。

【００７０】前述の幾つかの例では、モジュロの長さで
あるようなオペランドのｎビットが、Ｎの正確な長さで
もあることが暗に示されている。このような関係は、通
常のべき乗および乗算に対しては、ひじょうに効果的で
ある。しかしながら、数の大きさの縮小が必要な場合に
は、第２の定数Ｉ^-1＝２ⁿ ｍｏｄＮを使用することが有
効である。この第２の定数は、所定の数により乗算され
るモントゴメリの数値を縮小することが要求される場
合、１つの乗算処理の規模を最小のレベルにまで縮小す
るものである。上記の定数Ｉ^-1は、定数Ｈを計算する場
合（Ｈパラメータの計算に関するセクションを参照のこ
と）と同様のメカニズムによって計算される。さらに詳
しくいえば、このＩ^-1の計算は、除数レジスタの最上位
のビットにおいて１のビット値が存在するように、除数
のオペランドの最上位の部分にモジュールＮを配置する
ことにより実行される。ここで、けた移動／試行減算の
回数は、明らかにｎ÷Ｉ−Ｌでなければならない。ただ
し、Ｌは、Ｎが関係するビットの数である。この場合、
Ｉ^-1は、Ｌビット長のオペランドになることに注意すべ
きである。

【００７１】上記の前提条件を証明するために、まず初
めに、我々は、Ａ・ＢｍｏｄＮ（ρ（Ａ・Ｂ）Ｎ）に対
するモントゴメリの乗算処理によってＡ・Ｂ・Ｉｍｏｄ
Ｎと合同の関係を有するものが生成されることを繰り返
し述べる。ＢがＩ^-1に等しい（Ｂ＝Ｉ^-1）と仮定した場
合、下記の式(24)が成立する。

【００７２】

【数２４】

【００７３】例２ インタリービング方式によるモントゴメリの縮小法 ｔがモジュロｑに縮小され得ること（ｔ ｍｏｄｑ）を
証明するために、乗数レジスタの長さが、ｑの長さより
も大きくなるように設定する。ここで、最初に記憶され
るｔは、２４ビットの長さを有する。

【００７４】さらに、ワードの長さ（機器の乗数の大き
さ）が８ビットであるとし、かつ、次のような変数を仮
定する。 ｎ＝２４、ｋ＝８、ｔ＝０ａｆ５９ｂ、ｑ＝２ｂ１３、
および、Ｒ＝Ｉ^-1＝２²⁴ｍｏｄｑ＝１４１ｄ 単純な除算の計算処理を用いて比較を行うことにより、
ｔｍｏｄｑが５ｃ８に等しいこと（ｔｍｏｄｑ＝５ｃ
８）がわかる。このような処理過程を下記に示す。

【００７５】この場合、一回のモントゴメリの乗算処理
において縮小および検索が遂行されることに注意すべき
である。

【００７６】

【数２５】

【００７７】最終的に、前述のように、ｔｍｏｄｑが５
ｃ８に等しいことが確認される。べき乗 ここでは、Ｄ．ヌース（Nuth）著による「コンピュータ
・プログラミングの技術（The Art of Computer Progra
mming ）」｛半数学的アルゴリズム（Seminumerical Al
gorithms）、第２巻、アディソン−ウェスリ（Addison-
Wesley）社、読書協会（Reading Mass）、１９８１年発
行｝による処理手順の方法をもとに、モジュラ・べき乗
を遂行するための２乗および乗算の処理手順を説明す
る。なお、これ以降は、上記の方法をヌースの方法とよ
ぶこととする。

【００７８】まず初めに、我々は、前のセクションにお
いて定数を予め計算していると仮定する。我々はまた、
本発明の装置が、ρ領域内で２乗および乗算の両方を遂
行することができると仮定する。このときに、我々は下
記の式(26)のような計算を行うこととする。

【００７９】

【数２６】

【００８０】この式(26)の計算処理過程を下記に示す。
ここで、Ｅ（ｉ）は、指数Ｅに対し２進法のビット表示
を行ったときのｉ番目のビットを示す。このｉ番目のビ
ットは、インデックスが１の最上位のビットで始まり、
インデックスがｑの最下位のビットで終わる。

【００８１】

【数２７】

【００８２】各ステップから次のステップに移行する際
に、ＢがＮに等しいかまたは大きい場合には、常に、Ｂ
からＮが引かれる。最後の繰り返し動作の後に、Ｂの値
は、Ａ^E ｍｏｄＮに対し限定された合同の関係を有する
ようになる（Ｂ￥Ａ^E ｍｏｄＮ）。本発明の回路を用い
てモジュラ・べき乗を遂行する場合に、より効果的に利
用され得るような特許権を有する複数のプロトコルが存
在する。ここで、我々は、本発明で述べる方法におい
て、通常のべき乗処理の速度が２倍になるような２つの
暗号化プロトコルを挙げることとする。

【００８３】１つめの暗号化プロトコルは、Ｒ．Ｌ．リ
ベスト（Rivest）他著の「ディジタル記号および公開キ
−暗号化システム（A Method for Obtaining Digital S
ignatures and Public Key Cryptosystems）」｛ＡＣＭ
委員会（Comm. of the ACM）、第２１巻、１２０〜１２
６頁、１９７８年発行｝に記載されている。なお、これ
以降は、上記の１つめのプロトコルを、ＲＳＡの方法と
よぶこととする。２つめの暗号化プロトコルは、Ｗ．デ
ィッフィ（Diffie）およびＭ．Ｅ．ヘルマン（Hellman
）著の「暗号手法に関する新しい指針（New Direction
s in Cryptography）」｛情報理論のＩＥＥＥ議事録（I
EEE Trans. on Inform. Theory ）、ＶＯＬ．ＩＴ−２
２、６４４〜６５４頁、１９７６年発行｝に記載されて
いる。なお、これ以降は、上記の２つめのプロトコル
を、ディッフィ−ヘルマンの方法とよぶこととする。こ
れらの２つの方法においては、一定の指数を用いて大部
分の難しいべき乗が遂行される。

【００８４】次のセクションで述べる方法（ρ領域から
の検索のために効果的な方法）は、一定の指数を使用す
ることによって計算処理に必要な計算時間を減らすこと
に言及する。この方法が用いられた場合、前述のステッ
プｂ）′のべき乗処理過程（すべてのρ（Ａ・Ｂ）Ｎの
乗算処理）が取り除かれる。さらに、べき乗処理に関す
るｑ回目の繰り返し動作の後に得られるＢの最終値が、
モントゴメリのρ領域において、前もって計算された定
数Ｔにより乗算される。

【００８５】上記の暗号化プロトコルに従事する人々に
とっては、中国式の剰余定理（前述のヌースの文献中に
記述されている）を用いた回路によってＲＳＡの記号を
運用することにより、計算時間が７０％より小さい値に
まで節減され得ることは、明らかなことである。ρ領域からの検索のために効果的な方法 ここでは、前述のセクションのべき乗処理および乗算処
理のプロトコルが改善され得る。さらに、繰り返し動作
がなされる間に、新たに前もって計算された定数Ｔを取
り入れることにより、ρ領域内での乗算の回数を減らす
ことが可能になる。この場合、Ｔは、モジュロＮおよび
指数Ｅの関数である。このような方法を、下記の処理過
程に示す。

【００８６】

【数２８】

【００８７】この場合、モジュラ・べき乗は、下記の手
順にて遂行される。

【００８８】

【数２９】

【００８９】ここで、各ステップから次のステップに移
行する際に、ＢがＮに等しいかまたは大きい場合には、
常に、ＢからＮが引かれることを再び仮定する。さら
に、ρ領域内でのすべての乗算は、同じ因子Ｉによるモ
ジュラ・乗算（例えば、ρ（Ｘ・Ｙ）＝Ｘ・Ｙ・Ｉｍｏ
ｄＮ）に相当する点に再び注意すべきである。

【００９０】例３ この例３は、Ａ^E ｍｏｄＮの計算におけるＴの有用性を
証明し、かつ、Ｔの定義を明らかにするためのものであ
る。この例３の処理過程を下記に示す。

【００９１】

【数３０】

【００９２】さらに、下記の処理過程を遂行する。

【００９３】

【数３１】

【００９４】Ａ^E を計算するために、次のようなステッ
プが続けて実行される場合には、ペラメータＴの導入が
回避され得る。ここで、我々は、前もって計算されたモ
ントゴメリの定数が存在すると仮定し、かつ、本発明の
装置が、Ｐ領域内で２乗および乗算の両方の処理を遂行
すると仮定することにより、下記の計算を実行する。

【００９５】Ｃ＝Ａ^E ｍｏｄＮ この場合、Ｅ（ｊ）は、指数Ｅに対し２進法のビット表
示を行ったときのｊ番目のビットを示す。このｊ番目の
ビットは、インデックスが１の最上位のビットで始ま
り、インデックスがｑの最下位のビットで終わる。奇数
の指数に対しては、次のような処理過程によりべき乗を
遂行することができる。

【００９６】

【数３２】

【００９７】各ステップから次のステップに移行する際
に、ＢがＮに等しいかまたは大きい場合には、常に、Ｂ
からＮが引かれる。最後の繰り返し動作の後に、Ｂの値
は、Ａ^E ｍｏｄＮに対し限定された合同の関係（Ｂ￥Ａ
^E ｍｏｄＮ）を有するようになる。そして、最終値とし
てＣが得られる。

【００９８】また一方で、偶数の指数に対しては、前述
の最後のステップが下記の式(33)によって置き換えられ
る。

【００９９】

【数３３】

【０１００】さらに、ここでの処理過程をより明確にす
るために、下記のような具体例を掲載する。

【０１０１】

【数３４】

【０１０２】Ｈパラメータの計算 Ｈパラメータは、モントゴメリの領域内での計算に際し
不可欠なものであり、かつ、一定の値である。ある種の
プロトコルを用いた場合、Ｈは、比較的大きなコンピュ
ータで予め計算されるような定数になる。あるいは、他
のプロトコルを用いた場合、Ｈは、より有効な定数を計
算する際に使用される第１段階のパラメータであるよう
な有用性のある定数にもなり得る。この点に関しては、
前述のセクションを参照されたい。

【０１０３】通常の通信においては、Ｈが前もって計算
されることを仮定している。しかしながら、幾つかのプ
ロトコル、例えば、ＲＳＡにおけるランダムな通信の際
の記号の暗号化に対しては、本発明の装置、例えば、Ｓ
ＭＡＲＴカードを使用してＨを計算することも必要であ
る。Ｈパラメータは、下記の式(35)により計算される。

【０１０４】

【数３５】

【０１０５】この式(35)は、Ｈパラメータが通常の除算
動作の剰余であることを意味する。この場合、最上位の
１ビットと、これに続く最下位のビット値０の２ｎビッ
ト（２ｎ＋１ビット長のオペランド）とから構成される
ビット列が、モジュールの基数Ｎにより除算されること
になる。ビット値１の１ビット、および、ビット値０の
ビット列からなる被除数に対し除数Ｎによる２進法の除
算を遂行することは、Ｎによる順次の試行減算を実行す
ることに相当する。すなわち、上記の除算処理は、最上
位のｎ＋１ビットがＮよりも大きい場合に、残りの試行
過程の被除数からＮを引くことに相当するものである
（下記の例を参照のこと）。

【０１０６】この場合、元の被除数は２ｎ＋１ビット長
であるが、除算処理により生成される残りの試行過程の
被除数は、明らかに、ｎ＋１ビット長を超えることはな
い。さらに、最下位のけたが０になることも明らかであ
る。例えば、次のような例を挙げる。すなわち、Ｎ＝１
１₁₀＝１０１１_n （したがって、Ｎのビット長は、４に
なる、したがって、ｎ＝４）のときに、Ｈを求める例を
挙げる。

【０１０７】除算の基数を２として、長い除算を手動に
より実行する。

【０１０８】

【数３６】

【０１０９】最終的に、Ｈ＝３₁₀であることが確認され
た。上記の除算処理では、ｎ＋１回の試行減算が存在す
る。さらに、試行減算により得られる被除数もまた、ｎ
＋１ビット長になることに注意すべきである。このよう
な減算処理の手順は、後述の本発明のハードウェアの説
明箇所で詳しく述べることとする。

【０１１０】

【課題を解決するための手段、および、作用】本発明
は、大きな数に対しモジュラ・乗算およびモジュラ・べ
き乗を遂行するための超小形電子系装置に係り、適切な
クロック手段および制御手段を有する標準のマイクロプ
ロセッサに対するコンパクトな同期式の電子系超小形周
辺機器からなる。

【０１１１】さらに、本発明この超小形電子系装置は、
各々が細分化される共に、切替制御可能であり、かつ、
前記クロック手段により制御される複数種のシフトレジ
スタと、多重化され、かつ、直列／並列形の２つのみの
マルチプレクサと、ボロー検出器と、補助的な減算器お
よび加算器と、ディレイ・レジスタおよび切替素子とを
備えている。

【０１１２】このような超小形電子系装置は、モジュラ
・乗算、モジュラ・２乗およびモジュラ・べき乗を同時
処理かつ同期方式により遂行するために、前述のすべて
の構成部品を集積化して形成する。好ましくは、本発明
の超小形電子系装置は、ハードウェアの乗算、２乗およ
びべき乗に対し設計されたモントゴメリの方法をもとに
展開されるような新奇かつ複合形で同期式のハードウェ
ア装置により実現される。

【０１１３】さらに、好ましくは、本発明の超小形電子
系装置は、モントゴメリの方法を展開することにより、
並列動作方式に直列動作方式を取り入れた多数の同時処
理と直列処理との複合形、すなわち、乗算、減算、加
算、記憶形ディレイおよび２^kによる除算を遂行する装
置として機能する。さらに、好ましくは、本発明の超小
形電子系装置は、モントゴメリの方法を展開することに
より、モジュラ・乗算、モジュラ・２乗およびモジュラ
・べき乗のための多数の直列処理を遂行し、かつ、膨大
な内部バスの使用を回避し得る。

【０１１４】さらに、好ましくは、本発明の超小形電子
系装置は、モントゴメリの方法を展開することにより、
モジュラ・乗算、モジュラ・２乗およびモジュラ・べき
乗のための多数の直列処理を遂行し、一般の１μｍ技術
を用いたＳＭＡＲＴカード用のＩＳＯ７８１６の標準規
格により規定されるマイクロチップ上に形成される程度
に充分コンパクトである。

【０１１５】さらに、好ましくは、本発明の超小形電子
系装置は、モントゴメリの方法を展開することにより、
モジュラ・乗算、モジュラ・２乗およびモジュラ・べき
乗のための多数の直列処理を遂行し、基本のアーキテク
チュアを変えることなく、特に、デュアルポート・アク
セスのためのメモリを再設計することなく、かつ、ファ
ームウェアの要求が少ない状態で、１つの内部バスを備
えた任意のマイクロプロセッサにより制御することが可
能である。

【０１１６】さらに、好ましくは、本発明の超小形電子
系装置は、マイクロプロセッサを使用してカスケード形
のρ領域内での２乗および乗算の処理手順を規定する。
さらに、前記超小形電子系装置は、ｎビット長のシフト
レジスタを含み、かつ、モジュラ・乗算、モジュラ・２
乗およびモジュラ・べき乗を遂行する多重化部を備えて
いる。この多重化部内に指数Ｅを記憶することが不要で
あるために、この多重化部による制御を簡単にし、また
一方で、ほんのわずかな付加的なマイクロコントローラ
のＲＯＭコードしか必要としない。

【０１１７】さらに、好ましくは、本発明の超小形電子
系装置は、Ｂのレジスタが回転動作を行っている間に、
オンザフライ方式により２乗の被乗数を用いてＡ_i のレ
ジスタをロードする結果として、前記Ａ_i のレジスタを
前記Ｂのレジスタにより再ロードする際に、マイクロコ
ントローラによりＢおよび／またはＢ−Ｎの前回の計算
処理の最終値が取り出されるおそれが回避される。

【０１１８】このために、このマイクロコントローラの
ＲＡＭが節減され、かつ、２乗の繰り返し動作の各々に
おいて少なくともｎクロック分の実効的なクロック・サ
イクルを除去することが可能になる。本発明の構成によ
れば、Ｚ／２^k がＮよりも大きいか、またはＮに等しい
かを決定し、たった１回の直列形の減算のみ行うような
比較的小さいＮオペランドを達成することにより、モン
トゴメリの方法による簡単な装置から、２つの記憶用レ
ジスタおよび独立の直列形の減算処理が除去されると共
に、Ｚ／２^k −Ｎに関する単一の直列形の検出を行うこ
とが可能になる。

【０１１９】さらに、本発明の構成によれば、３つの同
時乗算処理を遂行する際に２つの直列／並列形の乗算器
のみが使用されるように、半並列形式で回路の同期をと
っている。このために、シリコンを用いた装置において
全シリコン領域に対し直列／並列形の乗算器の占める面
積の割合が４０％に抑えられる。

【０１２０】さらに、本発明の構成によれば、ｋビット
のシフトレジスタからなる１つのディジタルのディレイ
素子を使用してＸの直列形の加算と乗算器の直列結果と
の同期をとので、直列／並列形の乗算器の積または繰り
返し処理が二重に記憶されることが防止される。さら
に、本発明の好ましい実施態様においては、シフトレジ
スタが、ｎビット長またはｎ／２ビット長で構成され、
ｎ／２の長さのモジュールに対するべき乗が、ｎビット
長のべき乗に対し必要であろうと思われる実効的なクロ
ック・サイクル期間の１／８より幾分少ない時間で遂行
される。

【０１２１】さらに、本発明の好ましい実施態様におい
ては、オンザフライ方式によりＡのレジスタをロード
し、かつ、オンザフライ方式によりＳのレジスタの内容
の大きさを予測し、さらに、オンザフライ方式により一
部のオペランドの同期をとることにより、ｎビットの数
の乗算処理ρ（Ａ・Ｂ）Ｎが、実効的なｍ（ｎ＋２ｋ）
クロック・サイクルで完全に遂行される。

【０１２２】さらに、本発明の好ましい実施態様におい
ては、小規模のボロー検出回路が付加され、かつ、制御
メカニズムに簡単な付加物が付加されているようなモン
トゴメリの乗算処理に対し使用されるものと同じ機器の
同じレジスタを用い、第２のモ−ドにおいてＨパラメー
タの計算を行うことができる。本発明のモジュラ・乗算
を遂行するための方法においては、被乗数Ａ、乗数Ｂお
よびモジュロＮの各々が、ｋビット長のｍキャラクタか
ら構成され、乗数ＢはモジュロＮよりも大きくない値に
設定される。

【０１２３】前記の方法は、下記のステップにより実行
される。第１のステップで、Ｈパラメータと、他のパラ
メータの少なくとも最下位のキャラクタＪ₀ とを前もっ
て計算し、かつ、このキャラクタＪ₀ をｋビットのレジ
スタにロードし、第２のステップで、前記乗数Ｂおよび
モジュロＮを、それぞれ対応するｎビット長のレジスタ
にロードし、ここで、ｎ＝ｍ・ｋのように表され、第３
のステップで、ｎビット長のレジスタＳのビット値をす
べて０にし、第４のステップで、ｉ番目の繰り返し動作
をｍ回遂行し、ここで、ｉは０からｍ−１までの数であ
り、さらに、ｉ番目の繰り返し動作の各々は、以下の動
作を含み、（ａ）前記被乗数Ａのｉ番目のキャラクタＡ
_i を、Ａ_i のレジスタ手段から、レジスタおよびラッチ
手段から選定された記憶手段へ転送し、（ｂ）Ｘ＝Ｓ
（ｉ−１）＋Ａ（ｉ−１）＊Ｂにより表されるＸの値を
生成し、ここで、Ｓ（ｉ−１）はＳの更新された値であ
り、Ｓの更新は、次のように定義され、 乗算手段に対し、Ｂのレジスタを周期的に右方向へシ
フトし、 直列形式でＢをＡ_i により乗算し、 前記モジュロＮを周期的に右方向へシフトし、 Ｓ（ｉ−１）がＮよりも大きくない場合、（ｉ−１）
番目の繰り返し動作の後にＳのレジスタに記憶される値
をＳ（ｉ−１）の更新された値として決定し、Ｓ（ｉ−
１）がＮよりも大きい場合、直列形式でＳ（ｉ−１）か
らＮを引くことにより得られる値をＳ（ｉ−１）の更新
された値として決定し、さらに、この結果として得られ
るＳ（ｉ−１）の更新された値を設定し、 Ｓのレジスタを周期的に右方向へシフトし、さらに、
各ビット毎に、乗算Ａ（ｉ−１）＊ＢをＳ（ｉ−１）の
更新された値に加算し、 （ｃ）Ｘ（Ｘ₀ ）の最下位のキャラクタをＪ₀ により乗
算し、ＮおよびＸがｋクロック・サイクルだけ遅延され
ている間に、Ｘ₀ ＊Ｊ₀ ｍｏｄ２^k の値をＹ₀のレジス
タ手段に入れ、（ｄ）Ｚ＝Ｘ＋Ｙ₀ ＊ＮのＺの値を計算
し、この計算は、次のように行われ、 Ｎのレジスタに対し遅延かつ右方向へのシフトがなさ
れた状態でＹ₀ をＮにより乗算し、同時に、この乗算結
果に対し、前述の周期的な右方向へのシフトがなされ、 ＸをＹ₀ ＊Ｎの値に加算し、 （ｅ）Ｚの最下位のキャラクタを無視し、残りのキャラ
クタをＳのレジスタに入れ、このときに、最後の繰り返
し動作以外は、Ｚ／２^k を入れることになり、（ｆ）前
述と同様の方法によりＳ（ｉ−１）の更新された値を決
定するために、各ビット毎にＺ／２^k とＮとを比較し、
（ｇ）前記被乗数Ａのｉ番目のキャラクタＡ_i を、前記
の動作期間において、Ａのレジスタ手段にロードし、第
５のステップで、最後（ｍ回目）の繰り返し動作におい
ては、Ｚ／２^k の最下位のキャラクタを無視し、残りの
キャラクタを、Ｃ￥ρ（Ａ＊Ｂ）ＮとしてＢのレジスタ
に入れ、第６のステップで、前記第３および第４のステ
ップを繰り返し、ここで、ＣがＮよりも大きい場合に
は、ＣまたはＣ−ＮがＢにとって代わり、さらに、Ｈが
Ａにとって代わることによってＰ＝ρ（Ｃ＊Ｈ）Ｎを計
算し、第７のステップで、最後の繰り返し動作により得
られるＰの値を、Ａ＊ＢｍｏｄＮと仮定する。

【０１２４】さらに、本発明の方法によれば、被乗数Ａ
と乗数Ｂとが同じ数である場合に、モジュラ・２乗およ
びモジュラ・乗算が遂行される。さらに、本発明の方法
によれば、Ｄ＝Ａ^E ｍｏｄＮにより表されるモジュラ・
乗算およびモジュラ・べき乗が遂行される。さらに、本
発明の方法は、 １．モジュラスをレジスタＮに格納する工程、 ２．レジスタＳを０にセットする工程、 ３．べき乗化されるべきベースＡをレジスタＢに格納す
る工程、 ４．べき指数Ｅをコンピュ−タ−のレジスタに格納する
工程、 ５．該べき指数Ｅを左にシフトさせる工程、 ６．第１番目の１ビットに先行するそれらの０ビットを
無視すると共に、該べき指数Ｅと第７及び８の操作を実
行する為のビットに続く全てに対して、第１番目の１ビ
ットを無視する工程、 ７．該ビットのそれぞれに付いて、０か１かに関係な
く、上記で定義された乗算方法により該レジスタＢの内
容を二乗すると同時に、該ベースの連続する特性値が該
レジスタＢからレジスタＡに格納される工程、 ８．若し、べき指数Ｅに関する現在のビットが、１であ
るか、或いは１に過ぎない場合に、工程７の操作終了後
該レジスタＢの内容を該ベースＡで乗算する工程、及び ９．べき指数Ｅの全てのビットに付いて、工程６〜８の
操作が実行された後に、Ｄ￥＝Ａ^E ｍｏｄＮとしての最
後の操作に付いての結果を該レジスタＢに格納する工程
とから構成されている。

【０１２５】さらに、本発明の方法は、 １．モジュラスをレジスタＮに格納する工程、 ２．レジスタＳを０にセットする工程、 ３．べき乗化されるべきベースＡをレジスタＢに格納す
る工程、 ４．べき指数Ｅをコンピュ−タ−のレジスタに格納する
と共に、以下に定義する事前演算パラメータＴをコンピ
ュ−タ−ＣＰＵに格納する工程、 記載の方法。

【０１２６】５．該べき指数Ｅを左にシフトさせる工
程、 ６．第１番目の１ビットに先行するそれらの０ビットを
無視すると共に、該べき指数Ｅと第７及び８の操作を実
行する為のビットに続く全てに対して、第１番目の１ビ
ットを無視する工程、 ７．該ビットのそれぞれに付いて、０か１かに関係な
く、請求項１で定義された乗算方法に関して工程４及び
５を実行すると同時に、被乗数と乗数とがベースＡであ
り、且つ該ベースの連続する特性値が該レジスタＢから
レジスタＡに格納される工程、 ８．若し、べき指数Ｅに関する現在のビットが、１であ
るか、或いは１に過ぎない場合に、工程７の操作終了
後、請求項１で定義された乗算方法に関して工程４及び
５を実行し、その際、該被乗数がレジスタＢの内容であ
り、且つ該乗数がベースＡである工程、及び ９．べき指数Ｅの全てのビットに付いて、工程７〜８の
操作が実行された後に、レジスタＢの内容を前記パラメ
ータで付加的に乗算し、ＴＤ＝Ａ^E ｍｏｄＮとしての最
後の操作に付いての結果を該レジスタＢに格納する工程
とから構成されている事を特徴とする請求項１９による
繰り返し操作を実行することにより、モジュラ・べき乗
Ｄ￥＝Ａ^E ｍｏｄＮを実行する。

【０１２７】さらに、本発明の方法は、コンピュ−タ−
ＣＰＵと乗算回路を含む制御手段から構成されている請
求項１９記載の方法により、モジュラ・乗算を実行する
装置であって、該乗算回路は、乗数としてのｎ−ビット
シフトレジスタＢ、モジュラスとしてのｎ−ビットシフ
トレジスタＮ、本発明に於いて定義されている値Ｓとし
てのｎ−ビットシフトレジスタＮ、被乗数としてのｋ−
ビットシフトレジスターＡｉ、本発明に於いて定義され
ている値Ｊ０及びＹ０としてのｋ−ビットレジスタ手
段、該レジスタＢの内容と該レジスタＡｉの内容とを掛
け合わせる乗算手段、付加的なｎ−ビット乗算器手段及
び加算、減算、多重化及び遅延手段とを含んでいる。

【０１２８】さらに、本発明の方法は、該ｎ−ビットレ
ジスタとその他の構成部分との間の接続、及びラッチ回
路以外の構成部分間の接続は１ビット接続である。さら
に、本発明の方法は、 １．べき指数Ｅをコンピュ−タ−の記憶手段に格納する
工程、 ２．モジュラスを前記レジスタＮに格納する工程、 ３．前記レジスタＳを０に設定する工程、 ４．前記した特許出願番号１０４７５３に記載された方
法に従って、Ａ＊＝ρ（ＡＨ）_N の乗算操作を実行する
工程、（此処で、Ａは、べき乗化されるべきオペランド
でありＨは、前記で定義した事前演算パラメータであ
る。） ５．該Ａ＊を該ベースレジスタＢに格納する工程、 ６．該ベースレジスタＢの内容に対して二乗演算操作を
実行する工程、 ７．該べき指数Ｅを左にシフトさせる工程、 ８．第１番目の１ビットに先行するそれらの０ビットを
無視すると共に、該べき指数Ｅと第９及び１０の操作を
実行する為のビットに続く全てに対して、第１番目の１
ビットを無視する工程、 ９．該ビットＥのそれぞれに付いて、０か１かに関係な
く、上記で定義された二乗方法による工程４及び５の操
作を実行する工程であって、該被乗数と該乗数とが共に
該レジスタＢから派生されるものであり、且つ該モント
ゴメリー乗算器に於ける連続する特性値が該レジスタＢ
からレジスタＡｉに格納される工程、 １０．若し、べき指数Ｅに関する現在のビットが、１で
あるか、或いは１に過ぎない場合に、工程９の操作終了
後、前記で定義された二乗方法に関して工程４及び５を
実行し、その際、該被乗数がレジスタＢの内容であり、
且つ該乗数がベースＡ＊である工程、及び １１．べき指数Ｅの全てのビットに付いて、工程８〜１
０の操作が実行された後に、レジスタＢの内容を前記オ
リジナルベースＡで付加的に乗算し、Ｄ￥＝Ａ^Eｍｏｄ
Ｎとしての最後の操作に付いての結果を該レジスタＢに
格納する工程とから構成されている。

【０１２９】さらに、本発明の方法は、平均有効長がｎ
／２ビットである２つの数値に付いて従来の乗算を実行
する方法で有って、該乗算方法は、該請求項１９に於い
て定義されている乗算方法により該数値に対してモジュ
ラ・乗算処理を実行するもので有って、該モジュラ、
Ｎ、は全てが“１’ｓ”（fffffff......fff) で構成さ
れたｎ−ビット数で、Ｊ０から１に対応するものであ
り、被乗数をレジスタＢに格納し且つ請求項１に於いて
定義されている乗算方法に従ってＡを取り扱うものであ
り、Ｎは、全て１によりプリローディングレジスタＮの
手段によるか、或いは一連の“ハード”１を出力する為
のＮを出力するマルチプレクサーをセットすることによ
り、該Ｎは全て１と成りうるものである。

【０１３０】

【実施例】本発明のモジュラ・乗算およびモジュラ・べ
き乗を遂行する超小形電子系装置ならびにその遂行方法
は、添付図面（図１〜図９）を参照しながら、本発明の
好ましい実施例を具体的に説明することにより、より良
く理解されるであろう。これらの添付図面は、本発明の
装置を全体的に理解するために必要な複数種の論理的概
念を示すものである。すべての場合において、クロック
信号に従い回路が動作する。そして、リセット信号があ
る場合には、このリセット信号は、回路を零の状態にす
ることを目的としている。

【０１３１】以下、図１〜図９の添付図面を参照しなが
ら、本発明の実施例を詳細に説明する。図１は、本発明
の一実施例の装置構成を示すブロック図である。ここで
は、本発明の装置が集積化されたモノリシック回路のブ
ロック図が例示されている。図１において、多重化部
（ＭＵＬＴ部と記載されることもある）は、本発明の基
礎となるハードウェア装置を備える。状態マシンは、多
重化部の回路を駆動するための制御部を構成する。ＲＯ
Ｍ（読み出し専用回路）部は、すべて不揮発性メモリ
（ＲＯＭおよびＥＰＲＯＭ）から構成される。このＲＯ
Ｍ部には、ＳＭＡＲＴカードを制御するためのプログラ
ム、高信頼性の３つのグループからなる公開キー、およ
び、多重化部や状態マシンを駆動するためのプログラム
が格納されている。ＲＡＭ（ランダムアクセス回路）部
は、一時的に存在するオペランドを記憶するための揮発
性メモリから構成される。この種のオペランドとして、
べき乗処理がなされる予定のメッセージ、暗号化される
べき公開キー、多重化部に転送されるべきデータ等が挙
げられる。ＣＰＵ（中央処理装置）は、実際は、８ビッ
トまたはそれより大きなビットの内部バスを有するよう
な任意のマイクロコントローラである。

【０１３２】図２は、本発明の一実施例のモジュラ・乗
算回路を示すブロック図である。この場合、モジュラ・
乗算回路は、モジュラ・２乗およびモジュラ・べき乗を
実行するために用いられる。図２において、参照番号１
０、１１および１２は、Ｂ、ＳおよびＮのレジスタをそ
れぞれ構成するようなｎビット長（ｎ＝ｋ・ｍ）の３つ
のレジスタを示すものである。これらのレジスタの各々
には、乗数の値Ｓとモジュロの値がロードされる。上記
レジスタは、好ましくは、２つのｎ／２レジスタに分割
されている。さらに、上記レジスタは、好ましくは、Ｎ
およびＢのレジスタに対し、ｋビットの最下位ビット部
分を含む。マルチプレクサ１３、１４および１５は、そ
れぞれ、上記レジスタの前部に配置される。この場合、
もし、これらのマルチプレクサが細分化されて個々の部
品として形成されているならば、各マルチプレクサが、
各々のレジスタ前部に配置される。さらに、図２のブロ
ック図に示すように、３つのレジスタは、直列形式でロ
ードされるように意図されている。しかしながら、並列
形式によるロードも可能である。

【０１３３】１６、１７および１８は、いずれもｋビッ
ト長であり、かつ、Ａ_i 、Ｊ₀ 、およびＹ₀ の値をそれ
ぞれ受け入れる３つのレジスタを示すものである。レジ
スタ１６、１７は、それぞれ、直列ロード／並列出力形
のシフトレジスタと、直列および並列ロード／並列出力
形シフトレジスタである。レジスタ１８は、好ましく
は、直列入力／並列出力形シフトレジスタである。これ
らのレジスタの内容は、それぞれ、構成要素２１、２２
を介して乗算手段１９、２０により処理されるように意
図されている。これらの構成要素２１、２２は、好まし
くは、ｋビットのラッチである。これらの構成要素２
１、２２がラッチである場合、これらの構成要素２１、
２２は、ｋビットのバスを通してレジスタ１６、１７お
よび１８からロードされる。また一方で、上記の構成要
素２１、２２がレジスタである場合、これらの構成要素
２１、２２は、１ビットの接続部を通して直列形式でロ
ードされ得る。

【０１３４】参照番号２４、２５、２５′、２６、３
６、３７および３８は、マルチプレクサを示している。
乗算手段（乗算器）１９、２０は、直列入力Ａ、並列入
力Ｂ、および直列出力を有する乗算手段か、または、そ
の他の直列／並列入力、および直列出力を有する乗算手
段である。マルチプレクサ３８は、通常の数の領域内で
乗算処理を実行するために、モジュロＮのビット値を強
制的にすべて１（オール１）にするものである。

【０１３５】参照番号２７、２８、２９、３０および３
１は、１ビットの全加算／減算手段または半加算／減算
手段を示している。この内、３１は、全加算／減算手段
を示している。参照番号３２、３３および３４は、ディ
ジタル信号を遅延させることが可能なｋビットかつｋク
ロック・サイクルのディレイ手段を示している。これら
のディレイ手段は、アナログ素子またはディジタル素子
のいずれによっても構成され得るが、アナログ素子によ
り構成するのが好ましい。３５は、ボロー検出器を示し
ている。このボロー検出器は、２ビットのラッチ／記憶
手段である。図２からわかるように、本発明の装置は、
例えば５１２ビットのような大きい数を取り扱うように
意図されているにもかかわらず、わずかな数のｋビット
のバスをオプションで持っている以外には、バスを備え
ていない。このために、本発明の装置では、ハードウェ
アの節減が図れる。Ｂ、ＳおよびＮのレジスタが、ｎ／
２ビットの部分を有する場合、本発明の装置は、２５６
ビットの数に対し乗算動作およびべき乗動作を遂行する
ために使用することが可能である。このために、本発明
では、装置を使用する際の柔軟性を備えるという利点が
生ずる。

【０１３６】図３は、本発明の一実施例の特殊なモジュ
ラ・乗算回路を示すブロック図である。ここでは、本発
明の一実施例のモジュラ・乗算回路を論理セルにより構
成している。図３において、オペランドは、直列の接続
部ＤＩを介し、Ａ_i のラッチと、Ｊ₀ のレジスタと、Ｂ
のレジスタと、Ｎのレジスタとに供給される。そして、
オペランドによる処理結果は、直列の接続部ＤＯを介
し、ＢのレジスタまたはＮのレジスタから取り出され
る。

【０１３７】信号Ｘは、ＢとＡ_i とＳとの積Ｂ・Ａ_i ・
Ｓのビットの流れを合計した結果（和）に相当する（Ｓ
とＢの積は、Ｎよりも小さいと仮定する）。信号Ｙ
₀ は、Ｊ₀ とＸの積Ｊ₀ ・Ｘにおける最下位のｋビット
の流れに相当する。信号Ｚは、Ｙ₀ とＮの積Ｙ₀ ・Ｎ
と、Ｘとの和に相当する。ここでは、Ｚ中の最下位のｋ
ビットはすべて０なので、この最下位のｋビットは無視
される。この結果、最上位のｎビットのみが、Ｓまたは
Ｂに対し直列に供給される。

【０１３８】ボロー検出器は、Ｚ／２^k の値がＮより大
きいか否かを検出するための論理回路である。減算器
（通常、Ｓｕｂと略記される、図３では、単に減算と記
す）１および減算器２は、ＢおよびＳの値がＮよりも大
きい場合は、常に、ＢおよびＳのビットの流れからＮの
ビットの流れを減算するように動作する。

【０１３９】加算器（通常、Ａｄと略記される、図３で
は、単に加算と記す）１および加算器２は、Ｘの流れと
Ｚの流れを生成するために、ビットの流れを加算するよ
うに動作する。ディレイ素子（図３では、単にディレイ
と記す）１およびディレイ素子２は、シフトレジスタか
ら構成される。これらのディレイ素子は、数学的処理の
同期をとるための記憶手段を提供するために必要なもの
である。

【０１４０】図３では、クロックの制御は図示していな
い。ここでは、クロックは、状態マシンから供給される
と仮定している。このクロックの供給は、前述の直列入
力／直列出力形の論理回路の１つからデータを送り出し
たりこれらの論理回路の１つにデータを提供したりしな
ければならないときは、いつでも行われる。他の制御、
すなわち、マルチプレクサのアドレス制御や、ラッチ転
送信号の制御等もまた、詳しく開示していない。なぜな
らば、これらの制御は、本明細書に含まれる説明事項よ
り、当業者にとっては明らかであるからである。

【０１４１】さらに、図２および図３の装置が、どのよ
うにして本発明の乗算の方法に関係する複数の動作を遂
行するかは、当業者にとっては明らかであろう。しかし
ながら、これらの複数の動作のタイミング関係は、念の
ために、次の図４に示す。図４は、本発明の一実施例に
よる繰り返し動作（イテレーション）と乗算動作との間
の時間的な関係を示す図である。この図においては、本
発明の一実施例による実効的かつ連続的なクロック・サ
イクルにおいて遂行されるようなすべての各種動作が、
図式的に示されている。この場合、ｎ＝５１２、およ
び、ｍ＝１６に設定される。このような設定条件は、暗
号化技術においては、比較的一般的な条件である。前述
の図３に例示された実施例に従って本発明を実施する場
合、ｎ＝２５６の条件下で本発明を実行するために、図
４と同じ装置が使用される。

【０１４２】図４においては、一連の各種動作が、実効
的なクロック・サイクルの関数として図示されている。
この実効的なクロック・サイクル（実効クロック）に関
しては、横軸に目盛りがふられている。各種動作の始ま
り、および、すべての繰り返し動作前のタイミングで
は、Ｂ、ＳおよびＮの値が、それぞれ対応するレジスタ
にロードされる。上記の繰り返し動作は、本発明の乗算
の方法の一部をなす。Ａの最初のキャラクタもまた、対
応するレジスタにロードされる。ｋクロック・サイクル
の期間において繰り返し動作が始まるや否や、Ｂおよび
Ｓのレジスタの内容のシフト動作が行われる。ｎ＋ｋの
実効的なクロック・サイクルの期間においてＸの値が発
生する。最初のｋクロック・サイクルは、Ｘ₀ の値を取
り入れることにより占有される。最初の実効的なｋクロ
ック・サイクルの期間において、Ｙ₀ の値が取り入れら
れる。次の実効的なｎ＋ｋクロック・サイクルの期間に
おいて、乗算器２０に既に取り入れられているＸの値が
シフトするか、または、このＸの値がディレイ素子３４
により遅延された後に加算器３１に取り入れられる。Ｎ
の値は、３つの異なる時間位相にて使用される。初めの
位相は、ＳおよびＢを更新するために使用される。第２
番目の位相は、実効的なｋクロック・サイクルの遅延期
間の後に、Ｙ₀ による乗算を遂行するために使用され
る。第２番目の位相は、２回目の実効的なｋクロック・
サイクルの遅延期間の後に、ＳまたはＢの次の値がどの
ようにして更新されるかを検知するために使用される。
同様の実効的なｎ＋ｋクロック・サイクルの期間におい
て、Ｚが計算され、かつ、Ｚ／２^kが計算される。最初
の実効的なｋクロック・サイクルの始まりのタイミング
で、Ａ_i のロードが始まる。さらに、繰り返し動作が連
続している間は、Ａ_i のロードも続けて行われる。Ｚ／
２^k の最終値は、最初の実効的な２ｋクロック・サイク
ルの期間後のｎクロック・サイクルの期間において、Ｓ
（またはＢ）のレジスタに取り入れられる。

【０１４３】図５は、直列／並列乗算器のセルの構成を
示す回路図である（この回路図の作成に際しては、専門
の技術に精通している技術陣の助けを借りているが、彼
らは、本発明に関係する直列／並列乗算器のセル構成の
研究に関しては関与していない）。これらの複数のセル
の各々は、後述の図６に示すような乗算器（通常、ＭＰ
Ｌと略記される）を備える。

【０１４４】図６は、８ビットの直列／並列乗算器の構
成を示す回路図である。この直列／並列乗算器は、符号
のない直列／並列乗算器の乗算動作に対しブース（Boot
h ）の乗算アルゴリズムを実行する。図３の乗算器（通
常、ＭＬと略記される、図３では、単に乗算と記す）１
および乗算器２に示すような直列／並列乗算器は、ｋビ
ット長である。この場合、ＭＳセル、すなわち、最上位
ビットのセルが退化していることに注意すべきである。
並列の８ビットの被乗数が、ＸＩの接続部に入力され
る。さらに、ｎビット長の直列の乗数がＹの接続部に入
力される（乗数の最上位の１ビットの後に、最初に現れ
る最下位のｋビットの列はすべて０である）。さらに、
乗算器による乗算結果である積は、出力側の接続部ＭＯ
において、最下位のｋビットが最初に現れ、最上位のビ
ットが最後に現れる。この場合、積の全体は、ｎ＋ｋビ
ット長になる。

【０１４５】図７は、直列加算器の構成を示す回路図で
ある。ここでは、Ａの接続部とＢの接続部に現れる２つ
のビットの流れを加算するための直列加算器が例示され
ている。この直列加算器においては、出力側の接続部Ｓ
において、ビットの流れの和が出力される。図７におい
ては、最下位のビットが最初に入力される。さらに、ｍ
ビット長のオペランドに対する出力の流れは、ｍ＋１ビ
ット長になる。ｍ回の実効的なクロック・サイクルの最
後の部分では、ＣＩの出力は、数のビット列中のｍ＋１
番目のビットに相当する。

【０１４６】図８は、直列減算器の構成を示す回路図で
ある。ここでは、Ａの接続部とＢの接続部に現れる２つ
のビットの流れの差を出力するための直列減算器が例示
されている。この直列減算器においては、出力側の接続
部Ｄにおいて、ビットの流れの差が出力される。図７に
おいては、最下位のビットが最初に入力される。さら
に、ｍビット長のオペランドに対する出力の流れは、ｍ
ビット長になる。ｍ回の実効的なクロック・サイクルの
最後の部分では、ＢＩの出力は、数のビット列中のｍ＋
１番目のビットに相当する。同様に、このＢＩの出力
は、ボローを表示するためのボロー表示手段として機能
する。

【０１４７】図９は、Ｈパラメータを計算するためのア
ーキテクチュアを示すブロック図である。ここでは、ｎ
ビット長のモジュールＮに対しＨパラメータを計算する
ためのハードウェア構成が例示されている。このような
動作モードの期間では、ｎビット長のモジュールに対
し、Ｎのレジスタがｎ＋１回だけ回転動作を遂行する。
この回転動作は、Ｓのレジスタの回転動作に同期した状
態で行われる。この場合、Ｓのレジスタは、減算器１を
介し、最下位のビットの遅延と一緒に回転動作を遂行す
る｛最下位のビット値０は、最初のクロック・サイクル
においてマルチプレクサ（Ｍ２ １；１）に挿入され
る｝。ボロー検出器は、回転動作が完了するような最後
のタイミングで、次回の丸めにおいてＳの流れからＮが
引かれるか否かを認識する。さらに、ボロー検出器は、
次回の丸めに応じて前回の減算マルチプレクサを切り替
える。

【０１４８】前述のように、図１は、本発明の方法を遂
行するための装置をブロック図の形で表したものであ
る。図１の装置における制御部は、下記の構成要素を備
える。 (1) 完備した形のＣＰＵ（中央処理装置） (2) カウンタ (3) 状態マシン さらに、ＣＰＵは、不揮発性メモリおよび揮発性メモリ
を有する。これらの不揮発性メモリおよび揮発性メモリ
の幾つかは、乗算処理過程に使用され得る。さらにま
た、上記ＣＰＵは、回路内のモジュールの計算機能ブロ
ックを制御する。

【０１４９】さらに詳しくいえば、上記ＣＰＵは、下記
の機能を有する。 (1) ホストと交信すること (2) チップにデータをロードし、かつ、チップからデー
タを取り出すこと (3) 回路に対し一連の数学的動作を遂行するように指示
すること (4) 他の暗号化システムおよび非暗号化システムに応答
してデータ処理動作を遂行すること カウンタは、実際の状態マシンに対するアドレスを生成
する。

【０１５０】状態マシンは、アドレスを復号化し、多重
化部（ＭＵＬＴ部）に対する複数種の制御信号を生成す
る。これらの制御信号は、多重化部に対し、ρ（Ａ・
Ｂ）Ｎ変換の計算を実行するために必要とされる適切な
動作手順を遂行するように指示する（ここで、ＡはＢに
等しい）。図３は、本発明の物理的な形態（多重化部）
を実施するためのハードウェアの装置をブロック図の形
で表したものである。さらに、図３は、本発明に係る特
許により保護されるべきアーキテクチュアの幾つかの概
念に焦点を絞る際の補助手段となるように意図されてい
る。図３のブロックは、同時に、モントゴメリのモジュ
ラ・乗算にて既述したような式(1) 〜(5) により規定さ
れた手順を遂行する。さらに、図３のブロックは、同期
クロックを変えることなく、かつ、限定された合同の関
係を有するＳおよびＢの変換を行うことなく上記の手順
を遂行する。このセクションにおいて、我々は、定数
（Ｎの関数）Ｊ₀ およびＨが前もって計算されることを
仮定している。 図３の回路は、ρ（Ａ・Ｂ）Ｎを遂行
する。この回路の機能を利用することにより、この回路
は、次の計算を行うために使用され得る。

【０１５１】(1) Ｂ・ＡｍｏｄＮ (2) Ｂ² ｍｏｄＮ ただし、いかなる場合でも、ＢはＮよりも小さくなけれ
ばならない。ここで、Ｃ＝Ｂ・ＡｍｏｄＮを遂行する手
順を詳細に説明する。 (1) まず、プロセッサが、オペランドＢをＢのレジスタ
に前もってロードする。同様に、プロセッサは、オペラ
ンドＮをＮのレジスタに前もってロードする。

【０１５２】(2) 多重化部内の回路が次回のＳの値を計
算し始める度に、回路は、次回のＡ_i を前もってロード
することを（フラグを立てることにより）ＣＰＵに知ら
せる。Ｓ（ｍ）回の繰り返し動作の後に、Ｂに対し限定
された合同の関係を有する数がＢのレジスタに残る。 (3) 多重化部が、Ｆ＝ρ（Ｂ・Ｈ）Ｎを計算する。ここ
で、プロセッサがＨ_iのキャラクタの処理手順を前もっ
てロードする場合を除けば、Ｈは、上記のステップ(1)
および(2) に記載された手順において、前もって計算さ
れた定数である（プロセッサがＡ_i のキャラクタを前も
ってロードする場合も同じことがいえる）。

【０１５３】また一方で、Ｃ＝Ｂ² ｍｏｄＮを遂行する
手順を詳細に説明する。 (1) まず、Ｂのレジスタが、Ｂに対し限定された合同の
関係を有することがわかっている数を保持していると仮
定する。さらに、Ｎのレジスタが、モジュールＮを保持
していると仮定する（２乗処理においては、一般にいえ
ることである）。ここで、多重化部は、Ｂ₀ とＢ₀ の最
下位のキャラクタでもってＡ_i のレジスタを予めロード
しておくことにより、２乗処理を進めることができる。

【０１５４】(2) Ｂ＝ρ（Ｂ・Ｂ）Ｎの計算処理は、上
記の乗算動作における第２のステップ（ステップ(2) ）
と同様の処理過程で進行する。ただし、Ｂのレジスタが
回転動作を行っている場合に、Ｂ_i のキャラクタの連続
するローディング動作が、Ｂのレジスタから直列式かつ
オンザフライ方式になされるときは、この限りではな
い。

【０１５５】(3) 必要な場合には、上記の乗算動作にお
ける第３のステップ（ステップ(3)）と同様のρ（Ｂ・
Ｈ）の計算を行う。当業者にとっては明らかなことなの
で、発明者は、直列／並列形乗算器および一般の構成部
品が本発明そのものの一部を構成することは、敢えて主
張しない。今後の説明は、一般に普及している標準の論
理セルを使用していることを明確にするためになされる
ものである。ただし、論理セルの幾つかは、それほど度
々一般に使用されていないかもしれない。ここで図示し
たゲート構成は、本発明の証明のために例示しているに
すぎない。熟練された技術者は、これらの論理セルを最
適化するであろう。

【０１５６】オペランドＡ、ＢおよびＮは、いずれもｎ
ビット長であり、ｋビット長のキャラクタからなるｍ個
のグループにより構成される。それゆえに、ｎ＝ｋ・ｍ
が成り立つ。ｋ＝３２のハードウェア装置においては、
ｍは、８ビットまたは１６ビットの２進数のビット長に
なる。乗算器１および乗算器２ これらの乗算器（ＭＬ）は、符号のない乗算動作に対し
ブースの乗算アルゴリズムを実行する。この場合、並列
のオペランドは、ｋセル（ビット）長になっており、直
列のロードされるオペランドは、任意の要望されるビッ
ト長になっている。

【０１５７】各々の直列／並列乗算器は、ｋ−１のＭＰ
Ｌセルからなる（図５参照）。ＭＳビットに相当する最
上位のセルは、ＡＮＤゲートのみから構成される。各々
のＭＰＬセルは、Ｙの直列の入力ビットと、ＸＩの並列
の入力ビットとの乗算動作を行う。さらに、この乗算動
作により、前段のＭＰＬユニットの直列出力と、それ自
身の前回のサイクルのキャリー出力ビットが生成され
る。上記のＭＰＬセルは、これらの出力結果を合計す
る。

【０１５８】図５からわかるように、各々のＭＰＬセル
は、２ビットの乗算加算器である。ＭＰＬセルのブロッ
クは、ＸＩの入力ビットと、Ｙの直列の入力ビットとの
乗算動作を行う。さらに、このブロックは、ＤＩ（デー
タ入力）からの乗算結果と、前回のサイクルからのＣＩ
（キャリー入力）との加算処理を行う。最終の結果とし
て、ＤＯ（データ出力）と、次のサイクルに対するＣＯ
（キャリー出力）が得られる。このキャリー出力ＣＯ
は、Ｄフリップフロップに記憶される。データ出力ＤＯ
は、下記の式(37)により表される。

【０１５９】

【数３７】

【０１６０】このようにして記憶されたキャリー出力Ｃ
Ｏは、次のサイクルに対するキャリー入力ＣＩになる。
このキャリー出力ＣＯは、ブーリアン（Boolean ）の和
により、下記の(38)により表される。加算器１および加算器２ ここで使用される各々の加算器（Ａｄ）は、Ｄフリップ
フロップからなる単純な１ビットの全加算器である。こ
の加算器は、次のクロック・サイクルで出力されるキャ
リービットを記憶するために使用される（図７参照）。

【０１６１】図７に示すように、２つの入力Ａ、Ｂは、
前回のクロック・サイクルからのキャリー入力ＣＩと一
緒に加算される。この結果、モジュロ２の和が生成され
る。この和は、出力信号Ｓを取り出すために、Ｄフリッ
プフロップに記憶される。加算器がリセットされたとき
は、キャリービットは０になる。減算器１、減算器２および減算器３ 図８に示すように、減算器（Ｓｕｂ）の各ブロックは、
前段のボローを記憶するためのＤフリップフロップから
なる全減算器である。このブロックは、前述の加算器の
ブロックとほぼ同じ構成になっている。ただし、減算器
においては、Ａの流れからＢの流れを直列に引く点が加
算器と異なる。

【０１６２】ディレイ素子１、ディレイ素子２およびデ
ィレイ素子３ これらのディレイ素子（Ｄｅｌａｙ）は、ｋ１ビットの
連結された状態の記憶素子から構成される。これらのデ
ィレイ素子は、数学的処理において各種のオペランドの
同期をとるために使用される。これらの同期動作は、回
路を説明すれば明らかになるであろう。

【０１６３】Ａ_i 、Ｊ₀ 、およびＹ₀ これらのブロックは、ｋビット長の直列入力／並列出力
形シフトレジスタである。この場合、ｋビットの入力ビ
ットは、直列に入力される。ｋビットの実効的なクロッ
ク・サイク期間の後に、これらのｋビットは、並列形式
で出力側に現れる。

【０１６４】図２においては、細い線が直列の１ビット
の導体線を示し、太い線が並列のｋビットの導体線を示
している。Ｍ４ １；ｘ、Ｍ３ １；ｘ、およびＭ２ １；ｘ これらのブロックは、１ビット出力のマルチプレクサで
ある。Ｍ４ １；ｘは、４つの入力から１つの出力を取
り出すものである。Ｍ３ １；ｘは、３つの入力から１
つの出力を取り出すものである。Ｍ２ １；ｘは、２つ
の入力から１つの出力を取り出すものである。ｘは、特
定の構成部品に対する明瞭なインデックスを示してい
る。Ｂ（０：ｋ−１）、Ｂ（ｋ：ｎ１−１）、Ｂ（ｎ１：ｎ
２）、Ｓ（０：ｎ１−１）、Ｓ（ｎ１：ｎ２）、Ｎ
（０：ｋ−１）、Ｂ（ｋ：ｎ１−１）、およびＢ（ｎ
１：ｎ２） これらのブロックは、シフトレジスタである。比較的ビ
ット長の長いレジスタのビット列の大きさおよび位置
が、括弧（ ）内の数字によって示されている。例え
ば、Ｘ（ｓ：ｔ）は、ｔ−ｓ＋１ビット長のシフトレジ
スタである。ここで、ｓは、レジスタＸ（ｓ：ｔ）の最
初のビットのインデックスであり、ｔは、レジスタＸ
（ｓ：ｔ）の最後のビットのインデックスである。例え
ば、Ｂ（０：５１１）は、次のような３つの比較的短い
カスケード接続形のレジスタから構成される。すなわ
ち、Ｂ（０：３１）、Ｂ（３２：２５５）、およびＢ
（２５６：５１１）から構成される。

【０１６５】ｎ１は、一般に、ｎ／２（例えば、２５
６）に等しい。ｎ１は、ｋの倍数でなければならない。
ｎ２は、ｎ−１に等しい。ｋは機器のキャラクタの長
さ、すなわち、直列／並列乗算器の大きさである。した
がって、最初の処理過程においては、次の値が予測され
る。

【０１６６】ｎ１＝２５６、ｎ２＝５１１、ｎ＝５１
２、およびｋ＝３２ラッチ１およびラッチ２ これらの２つのラッチは、ｋビットのレジスタである。
これらのラッチは、乗算器内の並列データを保持するた
めに使用される。このようなラッチの動作により、乗算
処理において単一のクロックを用いた並列変換が可能に
なる。

【０１６７】多重化部（ＭＵＬＴ部）の動作…ρ領域内
での乗算およびべき乗 説明を簡単にするために、我々は、レジスタ内のデータ
が実際に移動するクロック・サイクルのみを指定するこ
ととする。すなわち、我々は、このようにデータが移動
するサイクルを実効的なクロック・サイクルと定義す
る。ρ（Ａ・Ｂ）Ｎの乗算 第１段階：初期ローディング この段階では、ＤＩを介して下記のレジスタがロードさ
れる。

【０１６８】(1) Ｊ₀ のレジスタにＪ₀ をロード（ＣＰ
Ｕにより前もって計算される） (2) ＢのレジスタにＢをロード (3) ＮのレジスタにＮをロード (4) Ａ₂ のレジスタにＡ、Ａ₀ の最初のキャラクタをロ
ード 同時に、ステップ(2) において、レジスタＳに対しビッ
ト値０がロードされる。

【０１６９】これらの５つのレジスタに所定の値をロー
ドした後に、符号のな２つの直列／並列乗算器ＭＬ１お
よびＭＬ２と、直列加算器Ａｄ１およびＡｄ２と、直列
減算器Ｓｕｂ１、Ｓｕｂ２およびＳｕｂ３とがリセット
される。第２段階：Ｂ・Ａ₀ の繰り返し動作の実行 レジスタＡ_i にロードされたデータＡ₀ は、ラッチ１に
転送される。レジスタＢは、周期的に右方向へのシフト
動作を行う。繰り返し動作の始まりにおいては、ボロー
検出器２の制御信号はビット値０になっている。それゆ
えに、Ｂの内容は、Ｓｕｂ１を通過しても変化しないま
までいる。さらに、Ｂの内容は、ＭＬ１においてＡ₀ に
より乗算される。レジスタＢの出力は、変化しない状態
で、その入力される。

【０１７０】このような乗算の結果は、Ａｄ１におい
て、レジスタＳの内容に直列に加算される。最初の繰り
返し動作のときは、レジスタＳの内容はすべて０であ
る。この動作により、前述のようにＸが生成される。上
記の処理過程が進行している間に、ＣＰＵは、Ａの次の
キャラクタであるＡ₁ をラッチ１に予めロードしてお
く。

【０１７１】さらに、Ｊ₀ のレジスタからラッチ１にＪ
₀ がロードされる。ＸがＭＬ２に直列に入力され、Ｊ₀
により乗算される。実効的なｋクロック・サイクルが経
過した後に、レジスタＹ₀ の内容は、積Ｘ₀ ・Ｊ₀ の最
下位のｋビットになる。さらに、最初の実効的なｋクロ
ック・サイクルが経過した後に、ＭＬ２はリセットされ
る。ここで、直列入力形のマルチプレクサ Ｍ３ １；
４は、Ｘの流れをＮの流れに切り替える。レジスタＹ₀
内のデータは、Ｊ₀ に取って代わり、ラッチ２に並列に
ロードされる。さらに、ラッチ２の出力は、Ｙ₀ ・Ｎの
流れに切り替えられる。次のｎ＋ｋクロック・サイクル
期間においては、ＭＬ２からの直列の出力結果は、Ｙ₀
・Ｎになる。実効的なｋクロック・サイクル期間だけ遅
延されたＸは、今度は、Ａｄ２において加算処理がなさ
れ、ＭＬ２の積を生成する。この結果、Ｚ＝Ｘ＋Ｙ₀ ・
Ｎが得られる。ここで、Ｚは、最下位のｋビットがすべ
て０であるような数である。

【０１７２】Ａｄ２の最初のｋビットはすべて０なの
で、この最初のｋビットは無視される。そして、次のｎ
ビットが、Ｓのレジスタに直列に戻される。繰り返し動
作の最終的な値は、Ｎに等しいかまたは大きい（この場
合には、この値をＮから引くことが必要である）。すな
わち、Ｓ（１）￥Ｓ（１）ｍｏｄＮが成立する。ＳがＮ
よりも大きいか否かを検出するために、Ｓｕｂ３におい
ては、ｎビット長の（Ｚ／２ⁿ ）の流れからＮが減算さ
れる。しかしながら、この場合、ｎ回目のボロービット
のみが、ボロー保持用フリップフロップに記憶される。

【０１７３】もし、このボロービットのビット値が０で
あるか、または、Ａｄ２の最終キャリービットＣＯのビ
ット値が１であれば、Ｓのレジスタの最新の値はＮより
も大きい。最初の繰り返し動作の始まりにおいては、Ｓ
（１）ｍｏｄＮに対し限定された合同の関係を有する数
がＳのレジスタ内に存在する。Ｊ₀ 、ＢおよびＮのレジ
スタは、最初にロードされたオリジナルな値を保持す
る。そして、データを前もって保持するためのＡ_i のレ
ジスタはＡ₁ を保持する。

【０１７４】第３段階：その後のＢ・Ａ_i の繰り返し動
作の実行 Ａの次のキャラクタであるＡ₁ が、ラッチ１およびＭＬ
１の並列入力に転送される。次のＢ・Ａ_i の繰り返し動
作およびそれに続く繰り返し動作の期間中、各々の繰り
返し動作の最後において、Ｓ（ｉ）ｍｏｄＮに対し限定
された合同の関係を有する数Ｓが存在する。もし、Ｓ
（ｉ）がＮよりも大きければ、Ｓｕｂ２においてＳ
（ｉ）からＮが引かれる。

【０１７５】各々の繰り返し動作が始まるときに、ＣＰ
Ｕは、Ａの次のキャラクタであるＡ₁ を、データを前も
って保持するためのＡ_i のレジスタにロードしておく。ρ（Ｂ・Ｂ）Ｎの２乗動作 通常のべき乗処理の最初の動作は、２乗動作である。こ
の２乗動作は、Ｂのレジスタにロードされた乗数Ａと、
Ａ_i のレジスタにロードされた被乗数との通常の乗算と
同じような手順で行われる。ただし、この場合、ビット
数は、前述したようにｋビット分だけ増加する。さらに
その後の２乗動作は、Ｂのレジスタ内に存在するような
限定された合同の関係を有するオペランド（乗数および
被乗数）により遂行される。

【０１７６】上記のρ（Ｂ・Ｂ）Ｎのような２乗動作が
遂行されている間、Ｊ₀ 、Ｓ、ＢおよびＮの各レジスタ
は、その出力側で、前回の乗算および２乗処理により得
られた値を変えることなくそのままロードされる。しか
しながら、この場合は、繰り返し動作において、Ａ_i の
レジスタは、Ｂのレジスタ内に存在するｋビットのキャ
ラクタから派生する新しいキャラクタをロードしなけれ
ばならない。

【０１７７】上記の連続的な２乗動作において、Ａ_i の
レジスタは、Ｂのレジスタからオンザフライ式に予めロ
ードされる。ＣＰＵが、一度、２乗処理を遂行するよう
に指示を与えると、それ以降の２乗動作は問題なく遂行
される。ＢのレジスタにロードされるＢ（ｉ）′は、Ｓ
ｕｂ１を通って流れるＢの一部分である（Ｂ_i の中で、
既にＮよりも小さい部分）第１段階：Ｂ・Ｂ₀ の繰り返し動作 先ず、前回の計算処理から導き出されるような、Ｓに対
し限定された合同の関係を有する最新の数が、Ｂのレジ
スタ内に存在するものとする。

【０１７８】レジスタＢ、Ｎの最下位のｋビットは、周
期的に右方向へのシフト動作を行う。さらに、実効的な
ｋクロック・サイクルの後に、レジスタＢ、Ｎは、オリ
ジナルの状態に復帰する。レジスタＢ内の値は、適当な
Ｂの値か、または、次のρ領域での乗算を遂行するため
に使用されるＢ−Ｎの値である。したがって、最初の丸
めにおいて、レジスタＡ_i は、Ｂ₀ またはＢ−Ｎの最下
位のｋビットでもって予めロードしなければならない。
ここで、Ｂ₀ は、レジスタＢ内に存在する値である。

【０１７９】この最初のｋビットの回転動作の目的はレ
ジスタＡｉへのプリロードの最初のｋビットがＳｕｂ１
を通って流れることを可能にするためである。直列にロ
ードされた直後に、ＡｉはLatch １にアンロードされ、
ＡｉプリロードレジスタはＢの第２の文字であるＢ₁ を
ロードするために自由にされる。このおよび引き続く操
作の間、Borrow２信号がセットあるいはリセットされた
時にSub １からの出力は正であり、常にＮより小であ
る。

【０１８０】全ての値がレジスタにロードされると、説
明されるようにＢがローテイトした時にＢ₁ がＡｉレジ
スタ中にロードされる点（乗算においてＣＰＵはＡｉレ
ジスタにロードすることを思い出すこと。）を除くと、
以前に説明したようにこの最初の乗算はＢ・Ａ₀ に対し
て実行される。第２のｋビット文字Ｂ₁ はＢストリーム
から発生するために、この最初のＢ・Ｂ₀ 処理の間にＢ
₁ セグメントは、次の開平演算、すなわちＢ・Ｂ₁ 繰り
返しのために直列的にＡｉプリロードレジスタ中にオン
ザフライ処理で切り換えられる。 第２段階：Ｂ・Ｂ₁ 繰り返し動作 Ａ_i のレジスタ中にロードされた値Ｂ₁ は出力ラッチLa
tch １に転送される。次のｎ＋２ｋ（すなわちｎ＋６
４）クロックサイクル中にＢ・Ｂ₁ に対する乗算処理が
上述のように実行される。

【０１８１】前回と同様Borrow１およびBorrow２信号
は、ＢおよびＳレジスタから発生する流れからＮが減算
されうるか否かを決定する。もしＳレジスタ中の値がＮ
より大であるかあるいは等しければBorrow１はセットさ
れ、減算器Sub １においてＮはＳから減算される。もし
必要であればｍ繰り返し乗算ループ完了の間にＮはＳか
ら減算される。このような状況は先行する乗算あるいは
開平演算の終わりにBorrow２で検知される。

【０１８２】フリップフロップBorrow１およびBorrow２
はSub ３からの条件付きのボロウ出力の最終値を記憶し
ている。Borrow１は各Ｓの繰り返しの後にセットあるい
はリセットされる。Borrow２はＢがＳ（ｍ）にロードさ
れる最後のＳ（ｍ）繰り返しの後にセットあるいはリセ
ットされる。この条件付きのボロウ出力はＳ（ｉ）がＮ
より大であるか否かを示す信号である。

【０１８３】Ｂ・Ｂ₁ 処理の間、文字Ｂ₂ が減算器Sub
１中に存在する場合に文字Ｂ₂ はオンザフライ処理でＡ
ｉプリロードレジスタ中にロードされる。 第３段階：次のＢ・Ｂ₁ 乗算繰り返し 文字Ｂ₁ が減算器Sub １中に存在する時には文字Ｂ₁ の
値がＡｉレジスタにロードされる間に残りのｍ−２回の
繰り返しが次のループの準備のために実行される。

【０１８４】限定された一致の最終結果はＳおよびＢレ
ジスタ中に存在する。このデータはＤＯを通して直列に
出力されるために、もし必要であればSub １で修正され
るであろう。 乗算ブロックの操作−Ｈパラメータの演算 Ｈを演算するために、マシンは図９に示されるようにレ
ジスタＳおよびＮを使用するために再構成される。上記
で既に使用した数値例を用いて演算子の操作を説明す
る。この構成はＨの演算をｎ＋１回で実行する。各回の
実行においてＳおよびＮは共にローテイトされ、各ロー
テイトはｎクロックである。各実行回においてＮは回転
し変化せずに帰還する。ｉ回目の実行において、Ｓおよ
び次の減算（Next Subtract ）信号はＳ（ｉ）の限定さ
れた￥一致の同等値を含んでいる。 初期条件−第１回実行 第１回目の実行の最初で、ＮはＮレジスタ中にロードさ
れ、第１回目の試行減算が成功したことを表すボロー検
出フラグはリセットされ、Sub １の出力フリップフロッ
プはゼロにリセットされる。第１回目の実行中、試行除
算のｎ番目のＭＳビットは“１”である。このビットは
次の減算用フリップフロップ（Ｓ中にスペースはな
い。）を推論して記憶される。次の減算は、第１回目の
実行においてＳ−Ｎ減算を命令する。上述のｎ＝４ビッ
トの数値例を使用して例証する。

【０１８５】

【０１８６】

【０１８７】

【０１８８】

【図面の簡単な説明】

【図１】本発明の一実施例の装置構成を示すブロック図
である。

【図２】本発明の一実施例のモジューラ・乗算回路を示
すブロック図である。

【図３】本発明の一実施例の特殊なモジューラ・乗算回
路を示すブロック図である。

【図４】本発明の一実施例による繰り返し動作と乗算動
作との間の時間的な関係を示す図である。

【図５】直列／並列乗算器のセルの構成を示す回路図で
ある。

【図６】８ビットの直列／並列乗算器の構成を示す回路
図である。

【図７】直列加算器の構成を示す回路図である。

【図８】直列減算器の構成を示す回路図である。

【図９】Ｈパラメータを計算するためのアーキテクチュ
アを示すブロック図である。

【符号の説明】

１０〜１２…レジスタ １３〜１５…マルチプレクサ １６〜１８…レジスタ ２７〜３１…加算／減算手段 ３２〜３４…ディレイ手段 ３５…ボロー検出器

───────────────────────────────────────────────────── フロントページの続き (72)発明者 イタイ ドローア イスラエル国，ビア−シェバ，ミブツァ ナチション 76／32 (72)発明者 イザーク ハダッド イスラエル国，ビア−シェバ 84434，デ レチ ハシャロム 105／３ (72)発明者 ベンジャミン アラジ イスラエル国，オマー 84965，シガロン ストリート 38

Claims (28)

【特許請求の範囲】
1. 【請求項１】 大きな数に対しモジュラ・乗算およびモ
   ジュラ・べき乗を遂行するための超小形電子系装置であ
   って、 該超小形電子系装置は、適切なクロック手段および制御
   手段を有する標準のマイクロプロセッサに対するコンパ
   クトな同期式の電子系超小形周辺機器からなり、 さらに、該超小形電子系装置は、 各々が細分化される共に、切替制御可能であり、かつ、
   前記クロック手段により制御される複数種のシフトレジ
   スタ（Ｂ、ＳおよびＮ）と、 多重化され、かつ、直列／並列形の２つのみのマルチプ
   レクサと、 ボロー検出器と、 補助的な減算器および加算器と、 ディレイ・レジスタおよび切替素子とを備えており、 前記超小形電子系装置は、モジュラ・乗算、モジュラ・
   ２乗およびモジュラ・べき乗を同時処理かつ同期方式に
   より遂行するために、前記のすべての構成部品を集積化
   して形成することを特徴とする超小形電子系装置。
2. 【請求項２】 前記超小形電子系装置が、ハードウェア
   の乗算、２乗およびべき乗に対し設計されたモントゴメ
   リの方法をもとに展開されるような新奇かつ複合形で同
   期式のハードウェア装置により実現される請求項１記載
   の装置。
3. 【請求項３】 前記超小形電子系装置が、モントゴメリ
   の方法を展開することにより、並列動作方式に直列動作
   方式を取り入れた多数の同時処理と直列処理との複合
   形、すなわち、乗算、減算、加算、記憶形ディレイおよ
   び２^k による除算を遂行する装置として機能する請求項
   １記載の装置。
4. 【請求項４】 前記超小形電子系装置が、モントゴメリ
   の方法を展開することにより、モジュラ・乗算、モジュ
   ラ・２乗およびモジュラ・べき乗のための多数の直列処
   理を遂行し、かつ、膨大な内部バスの使用を回避する請
   求項１記載の装置。
5. 【請求項５】 前記超小形電子系装置が、モントゴメリ
   の方法を展開することにより、モジュラ・乗算、モジュ
   ラ・２乗およびモジュラ・べき乗のための多数の直列処
   理を遂行し、 前記超小形電子系装置は、一般の１μｍ技術を用いたＳ
   ＭＡＲＴカード用のＩＳＯ７８１６の標準規格により規
   定されるマイクロチップ上に形成される程度に充分コン
   パクトである請求項１記載の装置。
6. 【請求項６】 前記超小形電子系装置が、モントゴメリ
   の方法を展開することにより、モジュラ・乗算、モジュ
   ラ・２乗およびモジュラ・べき乗のための多数の直列処
   理を遂行し、 前記超小形電子系装置は、基本のアーキテクチュアを変
   えることなく、特に、デュアルポート・アクセスのため
   のメモリを再設計することなく、かつ、ファームウェア
   の要求が少ない状態で、１つの内部バスを備えた任意の
   マイクロプロセッサにより制御することが可能である請
   求項１記載の装置。
7. 【請求項７】 前記超小形電子系装置が、マイクロプロ
   セッサを使用してカスケード形のρ領域内での２乗およ
   び乗算の処理手順を規定し、 さらに、前記超小形電子系装置は、ｎビット長のシフト
   レジスタを含み、かつ、モジュラ・乗算、モジュラ・２
   乗およびモジュラ・べき乗を遂行する多重化部を備え、 該多重化部内に指数Ｅを記憶することが不要であるため
   に、該多重化部による制御を簡単にし、また一方で、ほ
   んのわずかな付加的なマイクロコントローラのＲＯＭコ
   ードのみを必要とする請求項１記載の装置。
8. 【請求項８】 Ｂのレジスタが回転動作を行っている間
   に、オンザフライ方式により２乗の被乗数を用いてＡ_i
   のレジスタをロードする結果として、前記Ａ_i のレジス
   タを前記Ｂのレジスタにより再ロードする際に、マイク
   ロコントローラによりＢおよび／またはＢ−Ｎの前回の
   計算処理の最終値が取り出されるおそれが回避され、 このために、該マイクロコントローラのＲＡＭが節減さ
   れ、かつ、２乗の繰り返し動作の各々において少なくと
   もｎクロック分の実効的なクロック・サイクルを除去す
   ることが可能になる請求項１記載の装置。
9. 【請求項９】 Ｚ／２^k がＮよりも大きいか、またはＮ
   に等しいかを決定し、たった１回の直列形の減算のみ行
   うような比較的小さいＮオペランドを達成することによ
   り、モントゴメリの方法による簡単な装置から、２つの
   記憶用レジスタおよび独立の直列形の減算処理が除去さ
   れると共に、Ｚ／２^k −Ｎに関する単一の直列形の検出
   を行うことが可能になる請求項１記載の装置。
10. 【請求項１０】 ３つの同時乗算処理を遂行する際に２
    つの直列／並列形の乗算器のみが使用されるように、半
    並列形式で回路の同期をとり、 このために、シリコンを用いた装置において全シリコン
    領域に対し直列／並列形の乗算器の占める面積の割合が
    ４０％に抑えられ、 ３つの直列／並列形の乗算器の代わりに２つの乗算器の
    みを使用することにより、シリコン領域内の直列／並列
    形の乗算器のセルを二重化し、 該二重化構造の乗算器のセルを動作させることにより、
    ５１２ビットの乗算処理に必要な時間を従来の４５％に
    節減することが可能になる請求項１記載の装置。
11. 【請求項１１】 ｋビットのシフトレジスタからなる１
    つのディジタルのディレイ素子を使用してＸの直列形の
    加算と乗算器（ＭＬ１）の直列結果との同期をとり、直
    列／並列形の乗算器の積または繰り返し処理が二重に記
    憶されることを防止する請求項１記載の装置。
12. 【請求項１２】 各々がｋビットのシフトレジスタから
    なる２つのディジタルのディレイ素子を使用して３つの
    直列形の乗算を遂行し、該乗算は、Ｎを１つの因子とし
    たときにＢ・Ａ_i 、Ｘ・Ｊ₀ および Ｙ_O ・Ｎのように
    表される請求項１記載の装置。
13. 【請求項１３】 処理の流れの中で２つの独立した乗算
    動作、すなわち、Ｘ・Ｊ₀ および Ｙ_O ・Ｎを遂行する
    ことができるように、１つのディジタルのディレイ素子
    を使用して直列／並列形の乗算器（ＭＬ２）の乗算動作
    の同期をとる請求項１記載の装置。
14. 【請求項１４】 前記シフトレジスタ（Ｂ、Ｓおよび
    Ｎ）が、ｎビット長またはｎ／２ビット長で構成され、
    ｎ／２の長さのモジュールに対するべき乗が、ｎビット
    長のべき乗に対し必要であろうと思われる実効的なクロ
    ック・サイクル期間の１／８より幾分少ない時間で遂行
    される請求項１記載の装置。
15. 【請求項１５】 オリジナルの検索因子Ｔで処理がなさ
    れる場合、全ＲＳＡ記号のべき乗処理におけるρ領域内
    での乗算動作の回数が、半分近くに減少する請求項１記
    載の装置。
16. 【請求項１６】 必要に応じて前もって計算することを
    仮定した場合、オンザフライ方式によりＡのレジスタを
    ロードし、かつ、オンザフライ方式によりＳのレジスタ
    の内容の大きさを予測し、さらに、オンザフライ方式に
    より一部のオペランドの同期をとることにより、ｎビッ
    トの数の乗算処理ρ（Ａ・Ｂ）Ｎが、実効的なｍ（ｎ＋
    ２ｋ）クロック・サイクルで完全に遂行される請求項１
    記載の装置。
17. 【請求項１７】 小規模のボロー検出回路が付加され、
    かつ、制御メカニズムに簡単な付加物が付加されている
    ようなモントゴメリの乗算処理に対し使用されるものと
    同じ機器の同じレジスタを用い、第２のモ−ドにおいて
    Ｈパラメータの計算を行う請求項１記載の装置。
18. 【請求項１８】 ρ領域内での乗算またはべき乗が公知
    のクロック・サイクルの処理で遂行されるように、すべ
    ての副処理過程および処理過程が、予め定められたクロ
    ック・サイクル数でそれぞれ実行され、 このために、内部の条件設定用ブランチを使用すること
    なく、カスケード形かつ自励式のカウント・メカニズム
    からなる簡単化された制御が可能になる請求項１記載の
    装置。
19. 【請求項１９】 モジュラ・乗算を遂行するための方法
    であって、被乗数Ａ、乗数ＢおよびモジュロＮの各々
    が、ｋビット長のｍキャラクタから構成され、乗数Ｂは
    モジュロＮよりも大きくない値であり、前記方法は、下
    記のステップを有しており、 第１のステップで、Ｈパラメータと、他のパラメータの
    少なくとも最下位のキャラクタＪ₀ とを前もって計算
    し、かつ、該キャラクタＪ₀ をｋビットのレジスタにロ
    ードし、 第２のステップで、前記乗数ＢおよびモジュロＮを、そ
    れぞれ対応するｎビット長のレジスタにロードし、ここ
    で、ｎ＝ｍ・ｋのように表され、 第３のステップで、ｎビット長のレジスタＳのビット値
    をすべて０にし、第４のステップで、ｉ番目の繰り返し
    動作をｍ回遂行し、ここで、ｉは０からｍ−１までの数
    であり、さらに、ｉ番目の繰り返し動作の各々は、以下
    の動作を含み、 （ａ）前記被乗数Ａのｉ番目のキャラクタＡ_i を、Ａ_i
    のレジスタ手段から、レジスタおよびラッチ手段から選
    定された記憶手段へ転送し、 （ｂ）Ｘ＝Ｓ（ｉ−１）＋Ａ（ｉ−１）＊Ｂにより表さ
    れるＸの値を生成し、ここで、Ｓ（ｉ−１）はＳの更新
    された値であり、Ｓの更新は、次のように定義され、 乗算手段に対し、Ｂのレジスタを周期的に右方向へシ
    フトし、 直列形式でＢをＡ_i により乗算し、 前記モジュロＮを周期的に右方向へシフトし、 Ｓ（ｉ−１）がＮよりも大きくない場合、（ｉ−１）
    番目の繰り返し動作の後にＳのレジスタに記憶される値
    をＳ（ｉ−１）の更新された値として決定し、Ｓ（ｉ−
    １）がＮよりも大きい場合、直列形式でＳ（ｉ−１）か
    らＮを引くことにより得られる値をＳ（ｉ−１）の更新
    された値として決定し、さらに、この結果として得られ
    るＳ（ｉ−１）の更新された値を設定し、 Ｓのレジスタを周期的に右方向へシフトし、さらに、
    各ビット毎に、乗算Ａ（ｉ−１）＊ＢをＳ（ｉ−１）の
    更新された値に加算し、 （ｃ）Ｘ（Ｘ₀ ）の最下位のキャラクタをＪ₀ により乗
    算し、ＮおよびＸがｋクロック・サイクルだけ遅延され
    ている間に、Ｘ₀ ＊Ｊ₀ ｍｏｄ２^k の値をＹ₀のレジス
    タ手段に入れ、 （ｄ）Ｚ＝Ｘ＋Ｙ₀ ＊ＮのＺの値を計算し、この計算
    は、次のように行われ、 Ｎのレジスタに対し遅延かつ右方向へのシフトがなさ
    れた状態でＹ₀ をＮにより乗算し、同時に、この乗算結
    果に対し、前述の周期的な右方向へのシフトがなされ、 ＸをＹ₀ ＊Ｎの値に加算し、 （ｅ）Ｚの最下位のキャラクタを無視し、残りのキャラ
    クタをＳのレジスタに入れ、このときに、最後の繰り返
    し動作以外は、Ｚ／２^k を入れることになり、 （ｆ）前述と同様の方法によりＳ（ｉ−１）の更新され
    た値を決定するために、各ビット毎にＺ／２^k とＮとを
    比較し、 （ｇ）前記被乗数Ａのｉ番目のキャラクタＡ_i を、前記
    の動作期間において、Ａのレジスタ手段にロードし、 第５のステップで、最後（ｍ回目）の繰り返し動作にお
    いては、Ｚ／２^k の最下位のキャラクタを無視し、残り
    のキャラクタを、Ｃ￥ρ（Ａ＊Ｂ）ＮとしてＢのレジス
    タに入れ、 第６のステップで、前記第３および第４のステップを繰
    り返し、ここで、ＣがＮよりも大きい場合には、Ｃまた
    はＣ−ＮがＢにとって代わり、さらに、ＨがＡにとって
    代わることによってＰ＝ρ（Ｃ＊Ｈ）Ｎを計算し、 第７のステップで、最後の繰り返し動作により得られる
    Ｐの値を、Ａ＊ＢｍｏｄＮと仮定することを特徴とする
    方法。
20. 【請求項２０】 ｎが、２５６と５１２との間の数から
    選定されるか、または、ｋの倍数の増分から選定される
    請求項１９記載の方法。
21. 【請求項２１】 前記被乗数Ａと前記乗数Ｂとが同じ数
    である場合に、モジュラ・２乗およびモジュラ・乗算を
    遂行する請求項１９記載の方法。
22. 【請求項２２】 Ｄ＝Ａ^E ｍｏｄＮにより表されるモジ
    ュラ・乗算およびモジュラ・べき乗を遂行するための方
    法であって、該方法は、複数の乗算処理および２乗処理
    を含む請求項１９記載の方法。
23. 【請求項２３】 １．モジュラスをレジスタＮに格納す
    る工程、 ２．レジスタＳを０にセットする工程、 ３．べき乗化されるべきベースＡをレジスタＢに格納す
    る工程、 ４．べき指数Ｅをコンピュ−タ−のレジスタに格納する
    工程、 ５．該べき指数Ｅを左にシフトさせる工程、 ６．第１番目の１ビットに先行するそれらの０ビットを
    無視すると共に、該べき指数Ｅと第７及び８の操作を実
    行する為のビットに続く全てに対して、第１番目の１ビ
    ットを無視する工程、 ７．該ビットのそれぞれに付いて、０か１かに関係な
    く、上記で定義された乗算方法により該レジスタＢの内
    容を二乗すると同時に、該ベースの連続する特性値が該
    レジスタＢからレジスタＡに格納される工程、 ８．若し、べき指数Ｅに関する現在のビットが、１であ
    るか、或いは１に過ぎない場合に、工程７の操作終了後
    該レジスタＢの内容を該ベースＡで乗算する工程、及び ９．べき指数Ｅの全てのビットに付いて、工程６〜８の
    操作が実行された後に、Ｄ￥＝Ａ^E ｍｏｄＮとしての最
    後の操作に付いての結果を該レジスタＢに格納する工程
    とから構成されている請求項２２に記載の方法。
24. 【請求項２４】 １．モジュラスをレジスタＮに格納す
    る工程、 ２．レジスタＳを０にセットする工程、 ３．べき乗化されるべきベースＡをレジスタＢに格納す
    る工程、 ４．べき指数Ｅをコンピュ−タ−のレジスタに格納する
    と共に、以下に定義する事前演算パラメータＴをコンピ
    ュ−タ−ＣＰＵに格納する工程、記載の方法。 ５．該べき指数Ｅを左にシフトさせる工程、 ６．第１番目の１ビットに先行するそれらの０ビットを
    無視すると共に、該べき指数Ｅと第７及び８の操作を実
    行する為のビットに続く全てに対して、第１番目の１ビ
    ットを無視する工程、 ７．該ビットのそれぞれに付いて、０か１かに関係な
    く、請求項１で定義された乗算方法に関して工程４及び
    ５を実行すると同時に、被乗数と乗数とがベースＡであ
    り、且つ該ベースの連続する特性値が該レジスタＢから
    レジスタＡに格納される工程、 ８．若し、べき指数Ｅに関する現在のビットが、１であ
    るか、或いは１に過ぎない場合に、工程７の操作終了
    後、請求項１で定義された乗算方法に関して工程４及び
    ５を実行し、その際、該被乗数がレジスタＢの内容であ
    り、且つ該乗数がベースＡである工程、及び ９．べき指数Ｅの全てのビットに付いて、工程７〜８の
    操作が実行された後に、レジスタＢの内容を前記パラメ
    ータで付加的に乗算し、ＴＤ＝Ａ^E ｍｏｄＮとしての最
    後の操作に付いての結果を該レジスタＢに格納する工程
    とから構成されている事を特徴とする請求項１９による
    繰り返し操作を実行することにより、モジュラ・べき乗
    Ｄ￥＝Ａ^E ｍｏｄＮを実行する方法。
25. 【請求項２５】 コンピュ−タ−ＣＰＵと乗算回路を含
    む制御手段から構成されている請求項１９記載の方法に
    より、モジュラ・乗算を実行する装置であって、該乗算
    回路は、乗数としてのｎ−ビットシフトレジスタＢ、モ
    ジュラスとしてのｎ−ビットシフトレジスタＮ、本発明
    に於いて定義されている値Ｓとしてのｎ−ビットシフト
    レジスタＮ、被乗数としてのｋ−ビットシフトレジスタ
    ーＡｉ、本発明に於いて定義されている値Ｊ０及びＹ０
    としてのｋ−ビットレジスタ手段、該レジスタＢの内容
    と該レジスタＡｉの内容とを掛け合わせる乗算手段、付
    加的なｎ−ビット乗算器手段及び加算、減算、多重化及
    び遅延手段とを含んでいる事を特徴とする装置。
26. 【請求項２６】 該ｎ−ビットレジスタとその他の構成
    部分との間の接続、及びラッチ回路以外の構成部分間の
    接続は１ビット接続である事を特徴とする請求項２５記
    載の装置。
27. 【請求項２７】 １．べき指数Ｅをコンピュ−タ−の記
    憶手段に格納する工程、 ２．モジュラスを前記レジスタＮに格納する工程、 ３．前記レジスタＳを０に設定する工程、 ４．前記した特許出願番号１０４７５３に記載された方
    法に従って、 Ａ＊＝ρ（ＡＨ）_N の乗算操作を実行する工程、 （此処で、Ａは、べき乗化されるべきオペランドであり
    Ｈは、前記で定義した事前演算パラメータである。） ５．該Ａ＊を該ベースレジスタＢに格納する工程、 ６．該ベースレジスタＢの内容に対して二乗演算操作を
    実行する工程、 ７．該べき指数Ｅを左にシフトさせる工程、 ８．第１番目の１ビットに先行するそれらの０ビットを
    無視すると共に、該べき指数Ｅと第９及び１０の操作を
    実行する為のビットに続く全てに対して、第１番目の１
    ビットを無視する工程、 ９．該ビットＥのそれぞれに付いて、０か１かに関係な
    く、上記で定義された二乗方法による工程４及び５の操
    作を実行する工程であって、該被乗数と該乗数とが共に
    該レジスタＢから派生されるものであり、且つ該モント
    ゴメリー乗算器に於ける連続する特性値が該レジスタＢ
    からレジスタＡｉに格納される工程、 １０．若し、べき指数Ｅに関する現在のビットが、１で
    あるか、或いは１に過ぎない場合に、工程９の操作終了
    後、前記で定義された二乗方法に関して工程４及び５を
    実行し、その際、該被乗数がレジスタＢの内容であり、
    且つ該乗数がベースＡ＊である工程、及び １１．べき指数Ｅの全てのビットに付いて、工程８〜１
    ０の操作が実行された後に、レジスタＢの内容を前記オ
    リジナルベースＡで付加的に乗算し、Ｄ￥＝Ａ^Eｍｏｄ
    Ｎとしての最後の操作に付いての結果を該レジスタＢに
    格納する工程とから構成されている事を特徴とするモジ
    ュラ・べき乗Ｄ＝Ａ^E ｍｏｄＮを実行する方法。
28. 【請求項２８】 平均有効長がｎ／２ビットである２つ
    の数値に付いて従来の乗算を実行する方法で有って、該
    乗算方法は、該請求項１９に於いて定義されている乗算
    方法により該数値に対してモジュラ・乗算処理を実行す
    るもので有って、該モジュラ、Ｎ、は全てが“１’ｓ”
    （fffffff......fff) で構成されたｎ−ビット数で、Ｊ
    ０から１に対応するものであり、被乗数をレジスタＢに
    格納し且つ請求項１に於いて定義されている乗算方法に
    従ってＡを取り扱うものであり、Ｎは、全て１によりプ
    リローディングレジスタＮの手段によるか、或いは一連
    の“ハード”１を出力する為のＮを出力するマルチプレ
    クサーをセットすることにより、該Ｎは全て１と成りう
    るものである事を特徴とする方法。