JPH08263315A - モンゴメリ法によるモジュラリダクションの実施方法 - Google Patents

モンゴメリ法によるモジュラリダクションの実施方法

Info

Publication number
JPH08263315A
JPH08263315A JP7314752A JP31475295A JPH08263315A JP H08263315 A JPH08263315 A JP H08263315A JP 7314752 A JP7314752 A JP 7314752A JP 31475295 A JP31475295 A JP 31475295A JP H08263315 A JPH08263315 A JP H08263315A
Authority
JP
Japan
Prior art keywords
register
bit
mod
input
bits
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP7314752A
Other languages
English (en)
Other versions
JP2722411B2 (ja
Inventor
Guy Monier
モニエール ギィ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
STMicroelectronics SA
Original Assignee
SGS Thomson Microelectronics SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SGS Thomson Microelectronics SA filed Critical SGS Thomson Microelectronics SA
Publication of JPH08263315A publication Critical patent/JPH08263315A/ja
Application granted granted Critical
Publication of JP2722411B2 publication Critical patent/JP2722411B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/728—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic using Montgomery reduction

Landscapes

  • Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computational Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • General Engineering & Computer Science (AREA)
  • Error Detection And Correction (AREA)
  • Complex Calculations (AREA)
  • Detection And Correction Of Errors (AREA)
  • Compression, Expansion, Code Conversion, And Decoders (AREA)

Abstract

(57)【要約】 【課題】 モンゴメリ法によるモジュラリダクションの
実施方法 【解決手段】 本方法では、２進データ要素Ｃが、ｋビ
ットのワードｍ’個にグループ分けされるｃ個のビット
にエンコードされており、ｍ’とｋは整数で、ｍ’は
ｍ’＊ｋ≧ｃ＞（ｍ’−１）＊ｋであって、０でない２
進データ要素Ｎがｎ個のビットにエンコードされてい
る。本発明の方法によれば、Ｃ mod Ｎを算出するため
に、Ｎに関連する２進データ要素Ｊ0 を算出するための
ステップが実行され、２f(C,N)の形を有する少なくとも
１つの２進データ要素Ｈ（ここで、ｆ（Ｃ，Ｎ）はＣの
サイズとＮのパリティを表す整数とする）を算出するた
めのステップが実行され、さらに、第１に、１つの直列
入力と１つの並列入力と１つの直列出力とを備えた乗算
回路の並列入力にＣを入力し、第２に、同じ乗算回路の
直列入力にＨを入力するためのステップが実行される。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明はモンゴメリ法に従っ
てモジュラリダクションを行うための方法に関するもの
である。この方法は、ＧＦ（２n ）で表される有限領域
（ガロア体）において除法を行わずにモジュラ計算を行
うことを可能にするものである。
【０００２】
【従来の技術】従来、ＧＦ（２n ）でのモジュラ操作
は、メッセージの認証、ユーザの確認およびキーの交換
といった用途における暗号法に使用される。そのような
用途の例は、例えばフランス国特許出願（公開番号2 67
9 054 号）に記載されている。そのような用途のために
開発された集積回路が市販されている。例としてSGS-TH
OMSON MICROELECTRONICS S.A. 製のＳＴ16ＣＦ54という
製品を挙げることができる。この製品は中央演算処理ユ
ニットと演算コプロセッサとを備え、モジュラ計算の実
行を目的としている。使用するコプロセッサは、モンゴ
メリ法を用いることによってｋ個のビットよりなるＭ個
のワード（ｋ＝32でＭ＝８または16）にエンコードされ
た２進データについてモジュラ操作を行うことを可能に
するものである。これは欧州特許出願（公開番号第0 60
1 907 A2号）の対象となっており、図１（この図は上記
欧州特許出願の図２に相当する）に具体的に示されてい
る。
【０００３】Ｐfield 操作と呼ばれる基本的な操作は、
自然数ｎ個のビットにエンコードされた３つの２進デー
タ要素Ａ（被乗数）、Ｂ（乗数）およびＮ（モジュロ）
を基に、ｎビットにエンコードされたＰ（Ａ, Ｂ）N で
表される２進データ要素を、Ｐ（Ａ，Ｂ）N ＝Ａ＊Ｂ＊
Ｉ mod Ｎ（ここでＩはＩ＝２-n mod Ｎとなるようなｎ
ビットにエンコードされた２進データ要素）となるよう
に算出するというものである。当然、ｎ＝ｍ＊ｋとなろ
う。この回路はさらに、拡張によって、モジュラリダク
ション、つまりＣ mod Ｎを計算すること（Ｃはｋ個の
ビットよりなるｍ個のワードにエンコードされた２進デ
ータ要素とする）を可能にするものである。
【０００４】実行される方法は以下のとおり： −Ｈ＝２n mod Ｎの算出、 −Ｐ（Ｃ，Ｈ）N の算出。 図１に示す回路によって実行されるモジュラリダクショ
ン方法は、以下のようなステップ１〜５を含む： １．パラメータＨ（Ｈ＝２m*k mod Ｎ）とｋビットにエ
ンコードされたパラメータＪ0 （Ｊ0 ＝−Ｎ0 -1 mod
２k で、Ｎ0 はモジュロＮの最下位ワードである）を計
算し、ｋビットのレジスタ17にＪ0 を記憶する。 ２．乗数ＢとモジュロＮを、それぞれｎビットのレジス
タ10および12にロードし（ｎ＝ｍ＊ｋ）、ｎビットのレ
ジスタ11をゼロに初期化する（このレジスタの内容はＳ
で表され、Ｓはｎビットにエンコードされた可変の２進
データ要素とする）。 ３．ｉと表示されるループを設定する（ｉは１〜ｍで変
化し、ｉ番目の反復は各々以下ａ）〜ｇ）のステップを
含む）：
【０００５】ａ）データ要素Ｍのｉ番目のワードＣi-1
をレジスタ16から記憶フリップフロップ回路21に転送す
る、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｈ＊Ｃi-1 の値を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
入力に向かって右にシフトさせ、同時にレジスタ10の出
力をその入力に帰還させる、 II−ＨのビットにＣi-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮよりも小さい場合に
はこの更新された値を（ｉ−１）番目の反復後にレジス
タ11に記憶される値として決定し、もし更新された値が
Ｎよりも大きいならば、第１のシリアル減算回路28にお
いてこの更新された値からＮをシリアルに減算し、それ
より得られる値を更新された値Ｓ（ｉ−１）とし、さら
に Ｖ−レジスタ11の内容を右にシフトさせて、第１の直列
加算回路30で更新された値Ｓ（ｉ−１）に乗算Ｈ＊Ｃ
i-1 の値を１ビットずつ加える加算を行う
【０００６】ｃ）第２の直並列乗算回路20でＸ（ｉ）の
最下位ワード、Ｘ0 （ｉ）にＪ0 を乗じ、Ｘ0 （ｉ）＊
Ｊ0 mod ２k ＝Ｙ0 （ｉ）の値をレジスタ18に入力し、
同時に、遅延回路32および34でＮおよびＸ（ｉ）をｋサ
イクル分だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
0 （ｉ）＊Ｎの値を計算する： Ｉ−第２の乗算回路20で、Ｙ0 （ｉ）に、ｋサイクル分
遅延されたＮを乗じ、さらに II−第２の直列加算回路31で、Ｘ（ｉ）をＹ0 （ｉ）＊
Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２k をＮとを１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｉ）を決定する
（この比較は、第２の直列減算回路29でＺ（ｉ）／２k
とＮとを１ビットずつ減算することによって行われ、Ｎ
はさらにｋサイクル分だけ遅延されている）、
【０００７】ｇ）上記操作中の任意の時点で被乗数Ｃの
ｉ番目のワードがレジスタ16にロードされる。 ４．ｍ回目の反復で、Ｚ（ｍ）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ）／２k をレジスタ10
に入力する。 ５．最後の反復でレジスタ10に記憶された結果を、Ｚ
（ｍ）／２k ≧Ｎならば必要に応じて第３の直列減算回
路27によりＮから減算された状態で出力する。
【０００８】総じて、図１の回路の動作を同期させるク
ロック信号の周期をサイクルと呼ぶならば、モジュラ乗
算を処理するのに必要な時間は主に以下のように分ける
ことができる： −Ｈを計算するためのｎ＊（ｎ＋１）サイクル、 −ステップ２のためのｎサイクル、 −ステップ３および４を合わせたステップのためのｍ＊
（ｎ＋２＊ｋ＋ｘ）サイクル（ｘは整数）、 −ステップ５のためのｎサイクル。 実際、ｘは回路の初期化の関数であって、つまり、回路
の一貫した動作を確実とするための（例えはマルチプレ
クサの）制御信号の設定の関数である。実際、ｘ＝７で
あると考えることができる。
【０００９】第１のステップに関して、パラメータＪ0
は中央処理ユニット（ソフトウェア法）によって計算さ
れる。Ｈ＊Ｉ2 ＝１ mod Ｎである。このことにより、
上記に述べたモジュラ乗算のステップ５において正確な
結果、つまりＣ mod Ｎに等しい結果を与えることが可
能となる。さらにＨの計算は、図２を参照しながら以下
に説明する方法においてはコプロセッサによって行われ
る。図２は上記の欧州特許出願の図９に相当する。Ｈを
計算するには、以下のような操作が行われる（上記欧州
特許第20頁47行〜25頁52行を参照）： １．レジスタ12にＮをロードしてレジスタ10をＢ（０）
＝０に初期化し、 ２．同時に： −Ｂ（０）とＮを右にシフトさせて直列減算器27で１ビ
ットずつ減算して、結果Ｒ（０）＝Ｂ（０）−Ｎ mod
２m*k を１ユニット左にシフトさせ（このシフトは減算
器で０である第１のビットを取り出すことによって行
う）、 −Ｂ（１）＝２＊Ｒ（０）をレジスタ10にロードし、 −２＊Ｒ（０）とＮを１ビットずつ減算して２＊Ｒ
（０）≧Ｎまたは２＊Ｒ（０）＜Ｎのいずれであるかを
決定し（この減算は第２の減算器40で行われ、同時に回
路44では減算の結果がテストされる）、 −Ｂ（１）≧Ｎならば、Ｂ（２）＝Ｂ（１）−Ｎをレジ
スタ10にロードし、そうでない場合にはＢ（２）＝Ｂ
（１）をロードする。Ｂ（２）＝Ｈ＝２n mod Ｎであ
る。
【００１０】
【発明が解決しようとする課題】本発明者は実行された
モジュラリダクション法の改良を試みた。実際、現在使
用されているコプロセッサは時に以下のような動作の限
界を有する： − ｎビット以外のサイズを有するデータ要素を処理す
ることができない。つまり、事実上データ要素の有効サ
イズは考慮されない。さらに −このコプロセッサは偶数パリティのモジュロ値ではモ
ジュラ操作を行わない。Ｊ0 の計算はＮ0 が奇数バリテ
ィの値である場合のみ行われる。 本発明は中央処理ユニットとコプロセッサとで構成さ
れ、上記の制限の克服を可能にするアセンブリーの使用
を提案するものである。
【００１１】
【課題を解決するための手段】本発明はモンゴメリ法に
従ってモジュラリダクションを実行するための方法を提
案するものであって、該方法によれば： −２進データ要素Ｃが、ｋビットのワードｍ’個にグル
ープ分けされるｃ個のビットにエンコードされており、
ｍ’とｋは整数でｍ’はｍ’＊ｋ≧ｃ＞（ｍ’−１）＊
ｋであって、 −０でない２進データ要素Ｎがｎ個のビットにエンコー
ドされており、さらに、Ｃ mod Ｎを算出するために、
Ｎに関連する少なくとも１つの２進データ要素Ｊ0 を算
出するためのステップが実行され、２f(C,N)の形を有す
る少なくとも１つの２進データ要素Ｈ（ここで、ｆ
（Ｃ，Ｎ）はＣのサイズとＮのパリティを表す整数とす
る）を算出するためのステップが実行され、さらに、第
１に、１つの直列入力と１つの並列入力と１つの直列出
力とを備えた乗算回路の並列入力にＣを出力し、第２
に、同じ乗算回路の直列入力にＨを入力するためのステ
ップが実行される。
【００１２】
【発明の実施の形態】本発明はさらに、Ｎの最下位ビッ
トが０である場合にＣ mod Ｎを算出するために、下記
のステップを実行することを提案するものである： Ｅ０− ２進データ要素Ｊ0 （Ｎ’）を算出する（ここ
でＮ’はｎビットにエンコードされた２進データ要素で
あって、Ｎ’の最下位ビットは１であり、Ｎ＝Ｎ’＊２
a （ａは１以上の整数）である） Ｅ１− ２進データ要素Ｈ＝２m'*k-a mod Ｎ’を算出
する、 Ｅ３− ｍ’＊ｋビットにエンコードされたＣを乗算回
路の直列入力に入力し、ｎビットにエンコードされたＨ
を同じ乗算回路の直列入力に入力して、データ要素Ｐ
（Ｃ，Ｈ）N'＝Ｃ＊２-a mod Ｎ’を得る、 Ｅ４− ２a ＊Ｐ（Ｃ，Ｈ）N'＝Ｃ mod Ｎを算出す
る。
【００１３】この方法はＣを任意のサイズのデータ要素
として、偶数パリティモジュロでのモジュラリダクショ
ンの実行を可能にするものである。本発明はさらにＣ m
od Ｎを算出するための以下のステップを事項すること
を提案する： Ｅ０− ２進データ要素Ｊ0 （Ｎ）を算出する、 Ｅ１− ２進データ要素Ｈ＝２m'*k-a mod Ｎを算出す
る、 Ｅ３− ｍ’＊ｋビットにエンコードされたＣを乗算回
路の並列入力に入力し、ｎビットにエンコードされたＨ
を同じ乗算回路の直列入力に入力して、Ｐ（Ｃ，Ｈ）N
を得る。 この方法は、Ｃを任意のサイズとして、奇数パリティモ
ジュロについてモジュラリダクションの実行を可能にす
るものである。以下、添付図を参照して本発明の実施例
を説明することにより、本発明がより明確に理解され、
その他の特徴および利点が明らかとなろう。以下の実施
例は例示のためのものであって、本発明の範囲を限定す
るものではない。
【００１４】
【実施例】図１はモジュラ処理論理回路１を示してい
る。実際は、この回路１は、シーケンス回路（図示せ
ず）による回路１の動作の制御を可能にする中央処理ユ
ニット（図示せず）と組み合わされている。この回路は
以下のものを備えている： −直列入力および直列出力を備えた３つのシフトレジス
タ10、11および12 これらのレジスタはそれぞれ同一ｎ個のセルを有し、ｎ
＝ｍ＊ｋである。これらのレジスタは、例えばｎ／２個
のセルを有するレジスタに分割可能なものであってよ
く、レジスタ10および12についてはｋビットのレジスタ
に分割可能なものであってもよい。 −マルチプレクサ13、14および15 これらのマルチプレクサはそれぞれレジスタ10、11およ
び12の前に置かれている。マルチプレクサは、レジスタ
がさらに細分化されているならば、細分化された個々の
レジスタの前にも配置される。
【００１５】−それぞれｋ個のセルを有する３つのレジ
スタ16、17および18 レジスタ16、17および18は並列出力で直列入力のレジス
タである。 −２つの乗算回路19および20 これらの乗算回路はそれぞれ１つの直列入力、１つの並
列入力および１つの直列出力を有する。乗算回路19の並
列入力は、ｋ個のセルを有する記憶フリップフロップ回
路21を介してレジスタ16の出力に接続されている。乗算
回路20の並列入力は、ｋ個のセルを有する記憶フリップ
フロップ回路22を介してレジスタ17または18の出力のう
ちの一方に接続されている。このフリップフロップ回路
22はそれ自体、２つの並列入力と１つの並列出力とを備
えたマルチプレクサを介してレジスタ17と18の出力のう
ちの一方に接続されている。 −マルチプレクサ24、25、25’、26、36および38 −デマルチプレクサ39 −直列減算回路27、28および29 −直列加算回路30および31 −２進データ要素の伝搬をｋサイクル分だけ遅延させる
ための遅延回路32、33および34、 −比較結果を記憶するための記憶回路35。
【００１６】さらに詳細については、上記の欧州特許出
願（ＥＰ−0 601 907 A2）、特に該特許の図３とそれに
関する記載（第15頁第54行から第16頁第13行まで、およ
び第17頁第50行から第18頁第55行まで）を参照された
い。図１の回路によって本発明の実施が可能となる。図
２は以下のものを備えた回路を示す： −２つのシフトレジスタ10および12、減算回路27、マル
チプレクサ36 −２つの入力を有する２つのマルチプレクサ41および42 これらのマルチプレクサの出力はそれぞれレジスタ10お
よび12の入力に接続されている −直列減算回路40 −２つの入力を有するＮＡＮＤゲート43 −比較結果を記憶するための記憶回路44。
【００１７】減算回路27および40は、２つの直列入力と
１つの直列出力とを有する。減算回路27は、第１の入力
をレジスタ10の出力に接続されている。この減算回路27
の出力は減算回路40の第１の入力に接続されている。減
算回路40は、その第２の入力をレジスタ12の出力に接続
されて、その出力をゲート43のインバータ入力に接続さ
れている。ゲート43のもう１つの入力（インバータでな
い入力）は、減算回路27の出力に接続されており、その
入力は回路44の入力に接続されている。この回路44は、
リセット信号ＲＥＳを受けるためのもう１つの入力を有
する。マルチプレクサ36は２つの入力と１つの出力を有
し、その出力は減算回路27の入力に接続されている。そ
の入力はそれぞれ、レジスタ12の出力とグランド（論理
０に相当する電位）に接続されている。マルチプレクサ
36は、回路44から送られてくる選択信号ＳＣの状態に応
じて、選択的にその出力をその第１の入力または第２の
入力に接続する（例えばＳＣ＝０ならば第１の入力、Ｓ
Ｃ＝１ならば第２の入力に接続する）。
【００１８】マルチプレクサ41はその入力を、減算回路
27の出力とグランドとにそれぞれ接続されている。マル
チプレクサ42はその入力を、レジスタ12の出力と、２進
データ要素（実際にはモジュロＮ）を直列で受けるため
の入力端子とにそれぞれ接続されている。図２の回路は
２進データ要素であるエラー訂正パラメータＨを算出す
るために使用される。Ｃ mod Ｎと表されるモジュラリ
ダクション操作を実行する、つまり別の２つの２進デー
タ要素を操作することによって１つの２進データ要素を
算出することが望まれている。
【００１９】幾つかの方法が考えられる。最初に以下の
ように仮定する： −２進エンコードされたデータ要素としてＣとＮがあ
る、 −Ｎ＝Ｎ’＊２a ここで、 −Ｎは偶数パリティの値である（最下位のビットが０） −Ｎ’は２進エンコードされたデータ要素で奇数パリテ
ィーの数字である（最下位のビットが１）、および −ａは１またはそれ以上の数字である −Ｎはｌ個の有効なビットにエンコードされており、ｌ
は０以外の整数でｕ＊ｋ≧ｌ＞（ｕ−１）＊ｋ、さらに
ｕは０以外の整数でｕ≦ｍである。従ってＮ’はｌ−ａ
個の有効なビットにエンコードされている −Ｃはｃ個の有効なビットおよびｍ’個のワードにエン
コードされている ここで、 −ｃは任意の整数、 −ｍ’は、ｍ’＊ｋ≧ｃ＞（ｍ’−１）＊ｋを満足する
整数、 −ｍ”は、ｍ”＊ｍ≧ｍ’＞（ｍ”−１）＊ｍを満足す
る整数、 −ｖは、ｖ＊ｕ≧ｍ’＞（ｖ−１）＊ｕを満足する０以
外の整数、 −ｗは、ｗ＊ｌ≧ｃ＞（ｗ−１）＊ｌを満足する整数。
【００２０】データ要素の「有効なサイズ」または「有
効な数のビット」という言葉は、データ要素を表すため
に必要かつ十分な最も小さいビット数、つまり最上位の
ビットが１に等しくなるような最小のビット数を意味す
るものとする。従来、ａ、ｌ、ｕ、ｖ、ｃ、ｍ’、ｍ”
およびｗはコプロセッサと接続された中央処理ユニット
によって決定されるもので、コプロセッサは中央処理ユ
ニットに処理すべき２進データ要素を与える。
【００２１】Ｉ−Ｃをｎビットのデータ要素に分割する 第１の方法は、Ｃがｎの倍数である自然数個のビットに
エンコードされており、Ｎ’がｎビットにエンコードさ
れていると仮定するというものである。Ｉ．１ 方法 ｍ’＞ｍ（つまりｍ”＞１）なら、以下のように書き表
すことができる： Ｃ＝Σi Ｃi ＊２i*n （ここで、ｉは０からｍ”−１の間で変化するインデッ
クスで、Ｃi はｎビットにエンコードされた２進データ
要素である） Ｃm"-1の最も上位にある（ｍ”＊ｎ−ｃ）ビットが０で
あることに注意されたい。上記Ｃの定義から、以下のこ
とが導かれる： Ｃ mod Ｎ＝（Σi Ｃi ＊２i*n ）mod Ｎ ＝（Σi （Ｃi ＊２i*n mod Ｎ））mod Ｎ ＝［（Σi （Ｃi ＊２i*n-a mod Ｎ’））mod Ｎ’］＊２a
【００２２】以下のステップＥ０〜Ｅ３を実行すればよ
い： Ｅ０− ２進モードでｋビットにエンコードされたデー
タ要素Ｊ0 （Ｎ’）を算出する、 Ｅ１− １からｍ”−１まで変化するｉについて、以下
の操作を行う： −Ｈi ＝２(i+1) n-a mod Ｎ’＝２f(C,N)mod Ｎ’を算
出する、 ここで、ｆ（Ｃ，Ｎ）＝（ｉ＋１）＊ｎ−ａ −ｎビットにエンコードされたＨi を乗算回路19の直列
入力に入力し、ｎビットにエンコードされたＣi を同じ
乗算回路の並列入力に入力して、下記：Ｐ（Ｃi ，
Ｈi,）N'＝Ｃi ＊２i*n-a mod Ｎ’を得る、 −結果を１ビットだけ左へシフトさせてＣi ＊２i*n mo
d Ｎを得て、この結果を記憶する、 Ｅ２− ｉ＝０について、Ｃ0 ＜ＮならばＣ0 を記憶
し、Ｃ0 ≧ＮならばＣ0−Ｎを記憶する、 Ｅ３− 記憶されたＣi の値とＣ0 またはＣ0 −Ｎの値
のモジュラ加算を実行してＣ mod Ｎを得る。
【００２３】一般に、ステップＥ０、Ｅ２およびＥ３は
中央処理ユニットによって実行される（ソフトウェア
法）。ステップＥ１は、Ｈi およびＣi ＊２i*n-a mod
Ｎ’を計算するために図１および２に示す回路を用いる
ことになろう。Ｐ（Ｃi ，Ｈi ）N の左シフトは実質上
２a ＊Ｐ（Ｃi ，Ｈi ）N'を算出することに等しく、こ
の操作はレジスタにおいて実際に行われるか、中央処理
ユニットによって仮想的に行われてもよい。この方法
は、特にステップＥ２およびＥ３を行うために開発され
たワイヤード回路を使用することができる。しかしなが
ら、それによって中央処理ユニットとコプロセッサの面
積が増加することになろう。当然、ｃ≦ｎならば、ステ
ップＥ２のみが行われる。
【００２４】Ｉ．２ ｉが１からｍ”−１まで変化する
時のＣi ＊２i*n-a mod Ｎ’の算出 Ｃi ＊２i*n-a mod Ｎ’の値を算出するには、下記ステ
ップＲ１〜Ｒ４が実行される：１からｍ”−１まで変化
するｉについて： Ｒ１− パラメータＨi をレジスタ10にロードして、モ
ジュロＮ’の値をレジスタ12にロードし、さらに、ｎビ
ットのレジスタ11をゼロに初期化する（ここでレジスタ
11の内容はＳと表され、Ｓはｎビットにエンコードされ
た可変の２進データである）、 −Ｒ２− ｓと表示されるループを設定する（ｓは１か
らｍまで変化し、それぞれｓ回目の反復が下記ａ）〜
ｂ）の操作を含む）： ａ）データ要素Ｃi のｓ番目のワードＣi,s-1 をレジス
タ16から記憶フリップフロップ回路21に転送し、
【００２５】ｂ）Ｓ（０）＝０（０であるｎ個のビッ
ト）、Ｓ（ｓ−１）を下記に定義のようないわゆるＳの
更新された値として、下記Ｉ〜ＶによってＸ（ｓ）＝Ｓ
（ｓ−１）＋Ｈi ＊Ｃi,s-1 の値を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
入力に向かって右にシフトさせ、同時にレジスタ10の出
力をその入力に帰還させる、 II−Ｈi のビットにＣi,s-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮ’よりも小さい場合
にはこの更新された値をｓ−１番目の反復後にレジスタ
11に記憶される値として決定し、もし更新された値が
Ｎ’よりも大きいならば、減算回路28においてこの更新
された値からＮ’をシリアルに減算し、それより得られ
る値が更新された値Ｓ（ｓ−１）となり、さらに Ｖ−レジスタ11の内容を右にシフトさせて、加算回路30
で更新された値Ｓ（ｓ−１）に乗算Ｈi ＊Ｃi,s-1 の値
を１ビットずつ加える加算を行う
【００２６】ｃ）乗算回路20でＸ（ｓ）の最下位ワー
ド、Ｘ0 （ｓ）にＪ0 を乗じ、Ｘ0 （ｓ）＊Ｊ0 mod ２
k ＝Ｙ0 （ｓ）の値をレジスタ18に入力し、同時に遅延
回路32および34でＮ’およびＸ（ｓ）をｋサイクル分だ
け遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ
0 （ｓ）＊Ｎ’の値を計算する： Ｉ−第２の乗算回路20で、Ｙ0 （ｓ）に、ｋサイクル分
遅延されたＮ’を乗じ、さらに II−加算回路31で、Ｘ（ｓ）をＹ0 （ｓ）＊Ｎ’の値に
１ビットずつ加える、 ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｓ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｓ）／２k をＮ’と１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｓ）を決定する
（この比較は、減算回路29でＺ（ｓ）／２k とＮ’とを
１ビットずつ減算することによって行われ、Ｎ’は遅延
回路33でさらにｋサイクル分だけ遅延されている）、
【００２７】ｇ）上記操作中の任意の時点でＣi のｓ番
目のワードがレジスタ16にロードされる。 Ｒ３− ｍ回目反復で、Ｚ（ｍ）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ）／２k をレジスタ10
に入力する。 Ｒ４− 最後の反復でレジスタ10に記憶された結果を、
必要な場合には減算回路27を用いてＮ’から減算された
状態で出力する。
【００２８】Ｉ．３ ｉが１からｍ”−１まで変化する
場合のＨi の算出 Ｈi ＝２(i+1)*n-a mod Ｎ’を算出するには、（ｉ＋
１）＊ｎ−ｌ＋１の連続減算を行なうことによって既存
の方法を再び用いる（つまり減算のみに基づいて行な
う）ことが可能である。操作は以下Ｈ１〜Ｈ６のように
行なわれる： Ｈ１− Ｎ’をレジスタ12にロードして、レジスタ10を
Ｂ（０）＝０（０であるｎ個のビット）に初期化する、 Ｈ２− 右にシフトさせることによってレジスタ12から
Ｎ’を出力し、同時にｌ−ａビットをその入力に帰還さ
せて、レジスタ12内で最上位ビットが１となるようにす
る、
【００２９】Ｈ３− 下記の操作によって、ｎビットに
エンコードされたデータ要素Ｂ（１）＝２＊（Ｂ（０）
−Ｎ”）を算出し記憶する（ここでＮ”＝Ｎ’＊２
n-l+a で、Ｎ”はレジスタ12に記憶された２進データ要
素に相当する）： − レジスタ10および12の内容を右にシフトさせること
によって、Ｎ”とＢ（０）を出力する（レジスタ10の入
力は減算回路27の出力に接続されており、レジスタ12の
入力はその出力に接続されている）、 − 減算回路27で、Ｎ”とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ”と表される結果を１ユニットだけ左に
シフトさせる（このシフトは減算器内で０である第１の
ビットを取り出すことによって行なわれる）、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ”を１ビットずつ減算
してＢ（１）≧ＮであるかＢ（１）＜Ｎ”であるかを決
定し、Ｂ（１）≧Ｎ”ならば回路44によってＳＣ＝０を
発生させ、Ｂ（１）＜Ｎ”ならばＳＣ＝１を発生させ
る、
【００３０】Ｈ４− インデックスｓで示されるループ
を設定する（ｓは１から（ｉ＋１）＊ｎ−ｌまで変化
し、それぞれの反復は下記の操作を含む）： − Ｂ（ｓ）＜Ｎ”ならば、Ｂ（ｓ＋１）とＮ”とを１
ユニットだけシフトさせて１ビットずつ比較した後、Ｂ
（ｓ＋１）＝２＊（Ｂ（ｓ）−０）＝２＊Ｂ（ｓ）をレ
ジスタ10にロードする、 − そうでない場合には、Ｎ”およびＢ（ｓ）を１ビッ
トずつ減算し、同時に結果を１ユニットだけ左にシフト
させてＢ（ｓ＋１）＝２＊（Ｂ（ｓ）−Ｎ”）をレジス
タ10にロードし、さらにＢ（ｓ＋１）とＮ”を１ビット
ずつ比較する、 Ｈ５− Ｂ（（ｉ＋１）＊ｎ−ｌ＋１）≧Ｎ”ならば、
Ｂ（（ｉ＋１）＊ｎ−ｌ＋１）とＮ”を１ビットずつ減
算して、その結果を１ユニットだけ右にシフトさせなが
らレジスタ10にロードする。レジスタ10には２
n+(i+1)*n-l mod Ｎ”が存在する。 Ｈ６− レジスタ10および12でｎ−ｌ＋ａビットだけ右
シフトを行なう。従ってこれらのレジスタはそれぞれ２
n+i*n-a mod Ｎ’とＮ’を含む。
【００３１】Ｉ．４ Ｈの変形計算 ｍ”の値が大きい程減算の数が増えることがわかる。こ
れは、それぞれの減算においてレジスタ10と12に記憶さ
れているｎ個のビットをシフトするためにｎ個のサイク
ルが必要となることから計算時間の点で問題がある。１
つの変形例が考えられる。この変形例はｉ＝１に関連す
るエラー訂正パラメータＨ1 についてのみ減算を行な
い、次いでＰfield 操作を行なうことによってより高い
インデックス値に関するエラー訂正パラメータＨi を得
るというものである。
【００３２】以下のような手順が用いられる： −Ｈ1 ＝２2*n-a mod Ｎ’を算出する （２＊Ｎ−ｌ＋
１回の減算）、 −ｉ＞１について： −中央処理ユニットでｐ（ｉ）＝Ent[log2(i*n/(n-a))]
＋１を計算する（ソフトウェア法）（ここで、Ent は"
整数部分" 演算子を意味する）、 −図１の回路を用いて、ｐ（ｉ）回のＰfield 操作を行
なう（上記欧州特許第19頁第50行から第20頁第45行を参
照されたい）： Ｈi,t ＝Ｐ（Ｈi,t-1 , Ｈi,t-1 ）N'＝２
n+2exp(t)*(n-a) mod Ｎ’ （ここで、ｔは１からｐ（ｉ）までのインデックスであ
ってＨi,0 ＝Ｈ1 である）
【００３３】以下： Ｈi,p(i)＝２n+2exp(p(i))*(n-a) mod Ｎ’が得られる
（exp は指数関数を意味する）、 −中央処理ユニットでｒ＝２p(i)＊（ｎ−ａ）−ｉ＊ｎ
＋ａを計算する（ソフトウェア法）。ｒ＞ｎならば、Ｈ
i,p(i)を記憶し、その後Ｐfield 操作の適当な組み合わ
せによって２n-r mod Ｎ’を計算する。２n-r mod Ｎ’
の計算は以下ように行なわれる：
【００３４】−整数の対（ｘ（ｉ）, ｙ（ｉ））に関連
する２進データ要素Ｄi ＝２-x(i)*n+y(i)*a mod Ｎ’
を適切に選択する、 −Ｐ（Ｄi ，Ｄj ）N'＝２
-(x(i)+x(j)+1)*n+(y(i)+y(j))*a mod Ｎ’という操作
を行なって２n-r mod Ｎ’＝２-x*n+y*a mod Ｎ’を得
る、ｎ−ｒ≧０ならば、ｎビットにエンコードされたデ
ータ要素Ｈi,p(i)を乗算回路19の直列入力に入力し（あ
るいは、ｎ−ｒ＜０ならば２n-r mod Ｎ’を入力し）同
時にｎビットにエンコードされた２n-r を同じ乗算回路
の並列入力に入力し（あるいは、ｎ−ｒ＜０ならばＨ
i.p(i)を入力し）て、Ｈi を得る。Ｈi ＝２(i+1)*n-a
mod Ｎ’である。
【００３５】II− Ｍを１ビットのデータ要素に分割す
る もう１つの方法では、Ｃは１の倍数である自然数個のビ
ットにエンコードされているものと仮定する。II，１ 方法 ｗ＞１ならば、Ｃ＝Σi Ｃi ＝２i*l （ｉは０からｗ−
１まで変化する）と書くことができる。これより以下の
ことが導かれる： Ｃ mod Ｎ＝（Σi Ｃi ＊２i*l ）mod Ｎ ＝（Σi （Ｃi ＊２i*l mod Ｎ））mod Ｎ ＝[ （Σi （Ｃi ＊２i*l-a mod Ｎ’））mod Ｎ’] ＊２a 以下のステップＥ０〜Ｅ３に従って処理すればよい： Ｅ０− ２進モードでｋビットにエンコードされたデー
タ要素であるＪ0 （Ｎ’）を算出する、 Ｅ１− １からｗ−１まで変化するｉについて、以下の
操作を行なう： −Ｈi ＝２n+i*l-a mod Ｎ’＝２f(C,N)mod Ｎ’を算出
する、（ここで、ｆ（Ｃ，Ｎ）＝ｎ＋ｉ＊ｌ−ａであ
る） −ｎビットにエンコードされたＣi を乗算回路19の並列
入力に入力し、ｎビットにエンコードされたＨi を同じ
乗算回路の直列入力に入力して、Ｃi ＊２i*l-a mod
Ｎ’を得る、 −結果を１ビット左へシフトさせてＣi ＊２i*l mod Ｎ
を得て、この結果を記憶する、 Ｅ２− ｉ＝０について、Ｃ0 ＜ＮならばＣ0 を記憶さ
せ、Ｃ0 ≧ＮならばＣ0 −Ｎを記憶する、 Ｅ３− 記憶されたＣi の値とＣ0 またはＣ0 −Ｎの値
とのモジュラ加算を実行してＣ mod Ｎを得る。Ｈi お
よびＣi ＊２i*l-a mod Ｎ’の計算を実行するための方
法は上記の方法に類似である。
【００３６】II．２ Ｃi ＊２i*l-a mod Ｎ’の値の算
出（ｉは１からｗ−１まで変化する） Ｃi ＊２i*l-a mod Ｎ’の値を算出するには、以下のス
テップＲ１〜Ｒ４が実行されよう： １からｗ−１まで変化するｉについて Ｒ１− パラメータＨi ＝２n+i*l-a mod Ｎ’をレジス
タ10にロードして、モジュロＮ’の値をレジスタ12にロ
ードし、さらに、ｎビットのレジスタ11をゼロに初期化
する（ここでレジスタ11の内容はＳと表され、Ｓはｎビ
ットにエンコードされた可変の２進データであるとす
る） Ｒ２− ｓと表示されるループを設定する（ここで、ｓ
は１からｍまで変化し、それぞれｓ回目の反復が下記
ａ）〜ｇ）の操作を含む） ａ）データ要素Ｃi のｓ番目のワードＣi,s-1 をレジス
タ16から記憶フリップフロップ回路21に転送する、 ｂ）Ｓ（０）＝０（０であるｎ個のビット）、Ｓ（ｓ−
１）を下記に定義のようないわゆるＳの更新された値と
して、下記Ｉ〜ＶによってＸ（ｓ）＝Ｓ（ｓ−１）＋Ｈ
i ＊Ｃi,s-1 の値を算出する：
【００３７】Ｉ−レジスタ10の内容を第１の直列−並列
乗算回路19の入力に向かって右にシフトさせ、同時にレ
ジスタ10の出力をその入力に帰還させる、 II−Ｈi のビットにＣi,s-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮ’よりも小さいなら
ば、この更新された値を（ｓ−１）番目の反復後にレジ
スタ11に記憶される値として決定し、もし更新された値
がＮ’よりも大きいならば、減算回路28においてこの更
新された値からＮ’をシリアルに減算し、それより得ら
れる値が更新された値Ｓ（ｓ−１）となり、さらに Ｖ−レジスタ11の内容を右にシフトさせて、加算回路30
で更新された値Ｓ（ｓ−１）に乗算Ｈi ＊Ｃi,s-1 の値
を１ビットずつ加える加算を行う、
【００３８】ｃ）乗算回路20でＸ（ｓ）の最下位ワー
ド、Ｘ0 （ｓ）にＪ0 を乗じ、Ｘ0 （ｓ）＊Ｊ0 mod ２
k ＝Ｙ0 （ｓ）の値をレジスタ18に入力し、同時に遅延
回路32および34でＮ’およびＸ（ｓ）をｋサイクル分だ
け遅延させる、 ｄ）下記下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ0
（ｓ）＊Ｎ’の値を計算する： Ｉ−第２の乗算回路20で、Ｙ0 （ｓ）に、ｋサイクル分
遅延されたＮ’を乗じ、さらに II−加算回路31で、Ｘ（ｓ）をＹ0 （ｓ）＊Ｎ’の値に
１ビットずつ加える、 ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｓ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｓ）／２k をＮ’と１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｓ）を決定する
（この比較は、減算回路29でＺ（ｓ）／２k とＮ’とを
１ビットずつ減算することによって行われ、（Ｎ’は遅
延回路33でさらにｋサイクル分だけ遅延されている）、
【００３９】ｇ）上記操作中の任意の時点でＣi のｓ番
目のワードがレジスタ16にロードされる。 Ｒ３− ｍ回目の反復で、Ｚ（ｍ）の最下位ワードを無
視し、残りのワード、つまりＺ（ｍ）／２k をレジスタ
10に入力する。 Ｒ４− 最後の反復でレジスタ10に記憶された結果を、
必要な場合には減算回路27を用いてＮ’から減算された
状態で出力する。
【００４０】II ．３ １からｗ−１まで変化するｉに
ついてのＨi の算出 Ｈi ＝２n+i+l-a mod Ｎ’を算出するには、ｉ＊ｌ＋ｎ
−ｌ＋１個の連続する減算を行なうことにより既存の方
法を再び用いる（つまり減算のみに基づいて行なう）こ
とが可能である。操作は以下Ｈ１〜Ｈ６のように行なわ
れる： Ｈ１− Ｎ’をレジスタ12にロードして、レジスタ10を
Ｂ（０）＝０（０であるｎ個のビット）に初期化する、 Ｈ２− 右にシフトさせることによってレジスタ12から
Ｎ’を出力し、同時にｌ−ａビットをその入力に帰還さ
せて、レジスタ12内で最上位ビットが１となるようにす
る、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ”）を算
出し記憶する（ここでＮ”＝Ｎ’＊２n-l+a で、Ｎ”は
レジスタ12に記憶された２進データ要素に相当する）： − レジスタ10および12の内容を右にシフトすることに
よって、Ｎ”とＢ（０）を出力する（レジスタ10の入力
は減算回路27の出力に接続されており、レジスタ12の入
力はその出力に接続されている）、 − 減算回路27で、Ｎ”とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ”と表される結果を１ユニットだけ左に
シフトする（このシフトは減算器内で０である第１のビ
ットを取り出すことによって行なわれる）、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ”を１ビットずつ減算
してＢ（１）≧ＮであるかＢ（１）＜Ｎ”であるかを決
定し、Ｂ（１）≧Ｎ”ならば回路44によってＳＣ＝０を
算出して、Ｂ（１）＜Ｎ”ならばＳｃ＝１を算出する、
【００４１】Ｈ４− インデックスｓで示されるループ
を設定する（ｓは１からｎ＋ｉ＊ｌ−ｌまで変化し、そ
れぞれの反復は下記の操作を含む）： − Ｂ（ｓ）＜Ｎ”ならば、Ｂ（ｓ＋１）とＮ”とを１
ユニットだけ左にシフトして１ビットずつ比較した後、
Ｂ（ｓ＋１）＝２＊（Ｂ（ｓ）−０）＝２＊Ｂ（ｓ）を
レジスタ10にロードする、 − そうでない場合には、Ｎ”およびＢ（ｓ）を１ビッ
トずつ減算し、同時に結果を１ユニットだけ左にシフト
してＢ（ｓ＋１）＝２＊（Ｂ（ｓ）−Ｎ”）をレジスタ
10にロードし、さらにＢ（ｓ＋１）とＮ”を１ビットず
つ比較する、 Ｈ５− Ｂ（ｎ＋ｉ＊ｌ−ｌ＋１）≧Ｎ”ならば、Ｂ
（ｎ＋ｉ＊ｌ−ｌ＋１）とＮ”を１ビットずつ減算し
て、その結果を１ユニットだけ右にシフトさせながらレ
ジスタ10にロードする。レジスタ10には２2*n+i*l-l mo
d Ｎ”が存在する。 Ｈ６− レジスタ10および12でｎ−ｌ＋ａビットだけ右
シフトを行なう。従ってこれらのレジスタはそれぞれ２
n+i*l-a mod Ｎ’とＮ’を含む。
【００４２】II．４ Ｈの変形算出法 １つの変形例が考えられる。この変形例は上記のものに
類似である： −Ｈ1 ＝２n+l-a mod Ｎ’を算出する （ｎ＋１回の減
算）、 −ｉ＞１について： −ｐ（ｉ）＝Ent[log2(i*l/(l-a))]＋１を計算する、 −図１の回路を用いて、ｐ（ｉ）回のＰfield 操作 を
行なう： Ｈi,t ＝Ｐ（Ｈi,t-1 , Ｈi,t-1 ）N'＝２
n+2exp(t)*(l-a) mod Ｎ’ ここで、ｔは１からｐ（ｉ）まで変化するインデックス
であってＨi,0 ＝Ｈ1 である。
【００４３】以下：Ｈi,p(i)＝２n+2exp(p(i))*(l-a) m
odＮ’が得られる（exp は指数関数を意味する）、 −中央処理ユニットでｒ＝２p(i)＊（ｌ−ａ）−ｉ＊ｌ
＋ａを計算する（ソフトウェア法）。ｒ＞ｍならば、Ｈ
i,p(i)を記憶し、その後Ｐfield 操作の適当な組み合わ
せによって２n-r mod Ｎ’を計算する。２n-r mod Ｎ’
の計算は以下ように行なわれる：
【００４４】−整数の対（ｘ（ｉ）, ｙ（ｉ））に関連
する２進データ要素Ｄi ＝２-x(i)*n+y(i)*a mod Ｎ’
を適切に選択する、 −Ｐ（Ｄi ，Ｄj ）N'＝２
-(x(i)+x(j)+1)*n+(y(i)+y(j))*a modＮ’という一連の
操作を行なって２n-r mod Ｎ’＝２-x*n+y*a mod Ｎ’
を得る、ｎ−ｒ≧０ならば、ｎビットにエンコードされ
たデータ要素Ｈi,p(i)を乗算回路19の直列入力に入力し
（あるいは、ｎ−ｒ＜０ならば２n-r mod Ｎ’を入力
し）同時にｎビットにエンコードされた２n-r を同じ乗
算回路の並列入力に入力し（あるいは、ｎ−ｒ＜０なら
ばＨi.p(i)を入力し）て、Ｈi を得る。Ｈi ＝２
n+i*l-a mod Ｎ’である。
【００４５】III −Ｃのワードの乗算回路にの連続的入
力 −Ｎがｕ＊ｋビットにエンコードされており（最も上位
のｕ＊ｋ−ｌ個のビットが０）、 −Ｃがｍ’＊ｋビットにエンコードされている（最も上
位のｍ’＊ｋ−ｃ個のビットが０）と仮定する。 つまり、それぞれがｋビットよりなるｕ個のワードは確
実にＮを決定することができる。同様に、それぞれがｋ
ビットよりなるｍ’個のワードも確実にＣを決定するこ
とができる。本発明者は２種類の変更を提案する： −レジスタ16をｍ’回使用する、つまり連続的にＣの全
ワードを与える際にＰfield 操作を１回だけ実行する、 −この操作に関連するエラー訂正パラメータＨを計算す
る。
【００４６】III.１ 方法 下記のステップＥ０〜Ｅ４に従って処理すればよい。 Ｅ０− 中央処理ユニットによってＪ0 （Ｎ’）を算出
する、 Ｅ１− コプロセッサを用いて、２進データ要素Ｈ＝２
m'*k-a mod Ｎ’＝２f(C,N) mod Ｎ’（ここでｆ（Ｃ，
Ｎ）＝ｍ’＊ｋ−ａ）を算出する、 Ｅ３− ｍ’＊ｋビットにエンコードされたＣを乗算回
路19の直列入力に入力し、ｎビットにエンコードされた
Ｈを同じ乗算回路の並列入力に入力して、Ｐ（Ｃ，Ｈ）
N'＝Ｃ＊２-a mod Ｎ’を得る、 Ｅ４− 結果を１ビットだけ左にシフトさせて２a ＊Ｐ
（Ｃ，Ｈ）N'＝Ｃ modＮを得る（このステップは中央処
理ユニットで行なうことができる）。実際、Ｈの有効な
サイズはＮ’の有効なサイズ、つまりＮのサイズと同じ
かそれ以下であって、従ってｎと同じかそれよりも小さ
い。
【００４７】III．２ Ｃ＊２-a mod Ｎ’の値の算出 以下Ｒ１〜Ｒ５の操作に従う： Ｒ１− パラメータＨをレジスタ10にロードして、モジ
ュロＮ’をレジスタ12にロードし、さらに、ｎビットの
レジスタ11をゼロに初期化する（ここでレジスタ11の内
容はＳと表され、Ｓはｎビットにエンコードされた可変
の２進データである）、 −Ｒ２− ｓと表示されるループを設定する（ｓは１か
らｍまで変化し、それぞれｓ回目の反復が下記ａ）〜
ｂ）の操作を含む）：、 ａ）Ｃのｓ番目のワードＣs-1 をレジスタ16から記憶フ
リップフロップ回路21に転送する、 ｂ）Ｓ（０）＝０（０であるｎ個のビット）、Ｓ（ｓ−
１）を下記に定義のようないわゆるＳの更新された値と
して、下記Ｉ〜ＶによってＸ（ｓ）＝Ｓ（ｓ−１）＋Ｈ
＊Ｃs-1 の値を算出する：
【００４８】Ｉ−レジスタ10の内容を直列−並列乗算回
路19の入力に向かって右にシフトさせ、同時にレジスタ
10の出力をその入力に帰還させる、 II−Ｈi のビットにＣs-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮ’より小さいなら
ば、この更新された値を（ｓ−１）番目の反復後にレジ
スタ11に記憶される値として決定し、もし更新された値
がＮ’よりも大きいならば、減算回路28においてこの更
新された値からＮ’をシリアルに減算し、それより得ら
れる値を更新された値Ｓ（ｓ−１）とし、さらに Ｖ−レジスタ11の内容を右にシフトさせて、加算回路30
で更新された値Ｓ（ｓ−１）に乗算Ｈ＊Ｃs-1 の値を１
ビットずつ加える加算を行う、
【００４９】ｃ）乗算回路20でＸ（ｓ）の最下位ワー
ド、Ｘ0 （ｓ）にＪ0 を乗じ、Ｘ0 （ｓ）＊Ｊ0 mod ２
k ＝Ｙ0 （ｓ）の値をレジスタ18に入力し、同時に遅延
回路32および34でＮ’およびＸ（ｓ）をｋサイクル分だ
け遅延させる、 ｄ）下記下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ0
（ｓ）＊Ｎ’の値を計算する： Ｉ−第２の乗算回路20で、Ｙ0 （ｓ）に、ｋサイクル分
遅延されたＮ’を乗じ、さらに II−加算回路31で、Ｘ（ｓ）をＹ0 （ｓ）＊Ｎ’の値に
１ビットずつ加える、 ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｓ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｓ）／２k をＮ’と１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｓ）を決定する
（この比較は、減算回路29でＺ（ｓ）／２k とＮ’とを
１ビットずつ減じることによって行われ、Ｎ’は遅延回
路33でさらにｋサイクル分だけ遅延されている）、
【００５０】ｇ）上記操作中の任意の時点でＣのｓ番目
のワードがレジスタ16にロードされる。 Ｒ３− ｍ回目の反復で、Ｚ（ｍ’）の最下位ワードを
無視し、残りのワード、つまりＺ（ｍ’）／２k をレジ
スタ10に入力する、 Ｒ４− 最後の反復でレジスタ10に記憶された結果を、
必要な場合には減算回路27を用いてＮ’から減算された
状態で出力する。 Ｒ５− 結果を１ビットだけ左にシフトする。 上記の方法によって、Ｃ mod Ｎを算出するのに必要な
ステップの数を減らすことが可能になり、従って計算の
時間が大幅に短縮される。
【００５１】III ．３ Ｈ＝２m'*k-a mod Ｎ’の算
出 Ｎ’の有効サイズはそれぞれｋ個のビットよりなるｕ個
のワードであると仮定する。Ｎ’の有効ビットの数は
ｌ’＝ｌ−ａである。操作は以下のように行なわれる： Ｈ１− モジュロＮ’をレジスタ12にロードして、レジ
スタ10を初期化し（レジスタ10の内容はＢ（０）（０で
あるｎ個のビット）と表される）、さらにレジスタ44を
初期化する（つまり、ＳＣ＝０となるように信号ＲＥＳ
を発生させる）、 Ｈ２− 右にシフトさせることによってレジスタ12から
Ｎ’を出力し、同時にｌ−ａビットをその入力に帰還さ
せて（ｌ−ａはモジュロＮ’の有効ビット数である）、
レジスタ12内で最上位ビットが１となるようにする、
【００５２】Ｈ３− 下記の操作によって、ｎビットに
エンコードされたデータ要素Ｂ（１）＝２＊（Ｂ（０）
−Ｎ”）を算出し記憶する。ここでＮ”＝Ｎ’＊２
n-l+a で、Ｎ”はレジスタ12に記憶された２進データ要
素に相当する： − レジスタ10および12の内容を右にシフトすることに
よって、Ｎ”とＢ（０）を出力する。レジスタ10の入力
は減算回路27の出力に接続されており、レジスタ12の入
力はその出力に接続されている、 − 減算回路27で、Ｎ”とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ”と表される結果を１ユニットだけ左に
シフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ”を１ビットずつ減算
してＢ（１）≧Ｎ”であるかＢ（１）＜Ｎ”であるかを
決定し、Ｂ（１）≧Ｎ”ならば回路44によってＳＣ＝０
を算出して、Ｂ（１）＜Ｎ”ならばＳｃ＝１を算出す
る、
【００５３】Ｈ４−インデックスｉで示されるループを
設定することによって（ｉは１からｔ−ｎまでの整数で
ある）、データ要素Ｈint ＝２t mod Ｎ”を算出する。
ここでｔ＝ｎ−ｌ＋ａ＋ｕ＊ｋ＋（ｍ’−ｕ）＊ｋ／２
r （ｒはｋ／２r が整数となるような整数）であり、そ
れぞれのｉ回目の反復は下記の操作を含む： − Ｂ（ｉ）＜Ｎ”ならば、Ｂ（ｉ）を１ユニットだけ
シフトさせてＢ（ｉ＋１）とＮ”を１ビットずつ比較し
た後、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）−０）＝２＊Ｂ
（ｉ）をレジスタ10にロードする、 − そうでない場合には、Ｎ”およびＢ（ｉ）を１ビッ
トずつ減算し、同時に結果を１ユニットだけ左にシフト
させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ”）をレジス
タ10にロードし、さらにＢ（ｉ＋１）とＮ”を１ビット
ずつ比較する、
【００５４】Ｈ５− Ｂ（ｔ−ｎ＋１）≧Ｎ”ならば、
減算回路27でＢ（ｔ−ｌ＋１）とＮ”を１ビットずつ減
算する。その結果２＊（Ｂ（ｔ−ｎ＋１）−Ｎ”）が得
られ、Ｂ（ｔ−ｎ＋１）−Ｎ”をレジスタ10にロードす
る。このロードには１ユニットだけ右にシフトさせるこ
とが必要となる、 Ｈ６− レジスタ10および12でｎ−ｌ＋ａビットだけ右
シフトを行なう。従ってレジスタ12にはＮ’が存在す
る。 Ｈ７− ｒ回のＰfield 操作を実行することによってパ
ラメータＨを算出する： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１），Ｈint （ｊ−
１））N' ここでｊは１からｒまでのインデックスであって、Ｈ
int （０）＝Ｂ（ｔ−ｎ＋１）＊２l-n-a または（Ｂ
（ｔ−ｎ＋１）−Ｎ”）＊２l-n-a である。Ｈ
int （０）はステップＨ６のシフトの後はレジスタ10内
にある。従ってＨint （ｒ）＝２m'*k mod Ｎ’とな
る。
【００５５】Ｈ８− １回のＰfield 操作を行なうこと
によってパラメータＨを算出する： Ｐ（Ｈint （ｒ），２u*k-a ）Ｎ’ ここでＨint （ｒ）は乗算回路19の直列入力に入力さ
れ、２u*k-a は同じ乗算回路の並列入力に入力される。
従ってＨ＝２m'*k-a mod Ｎ’となる。当然、上記の方
法と同じ意図によってｒ＋１回のＰfield 操作が行なわ
れたものと仮定した。これは、１回の操作ごとに乗算回
路19の並列入力にそれぞれｋビットずつのｕ個のワード
が入力されることを意味する。
【００５６】IV− 奇数パリティのモジュロに対するモ
ジュラリダクション 上記のIII に記載の方法を適用する。以下のような操作
を行なえばよい： −中央処理ユニットを用いてＪ0 （Ｎ）を計算する −コプロセッサを用いてＨ＝２m'*k mod Ｎ＝２f(C,N)
mod Ｎ（ここで、ｆ（Ｃ，Ｎ）＝ｍ’＊ｋ）を計算す
る、 −乗算回路19の直列入力に、ｍ’＊ｋビットにエンコー
ドされたＣを入力し、この同じ乗算回路19の配列入力
に、ｎビットにエンコードされたＨを入力して、Ｐ
（Ｃ，Ｈ）N ＝Ｃ mod Ｎを得る。実際に、Ｈの有効な
サイズはＮの有効なサイズよりと同じかそれよりも小さ
く、つまり、Ｎのサイズと同じかそれよりも小さく、従
ってｎと同じかそれよりも小さい。
【００５７】IV. １− Ｃ mod Ｎの算出 以下の操作に従って行なう： Ｒ１− パラメータＨをレジスタ10にロードして、モジ
ュロＮをレジスタ12にロードし、さらに、ｎビットのレ
ジスタ11をゼロに初期化する（ここでレジスタ11の内容
はＳと表され、Ｓはｎビットにエンコードされた可変の
２進データであるとする） −Ｒ２− ｉと表示されるループを設定する（ここでｓ
は１からｍ’まで変化し、それぞれｉ回目の反復が下記
ａ）〜ｇ）の操作を含む）： ａ）Ｃのｓ番目のワードＣs-1 をレジスタ16から記憶フ
リップフロップ回路21に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｓ−１）を下記に定義のような
いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
Ｘ（ｓ）＝Ｓ（ｓ−１）＋Ｈ＊Ｃs-1 の値を算出する：
【００５８】Ｉ−レジスタ10の内容を直列−並列乗算回
路19の入力に向かって右にシフトさせ、同時にレジスタ
10の出力をその入力に帰還させる、 II−ＨのビットにＣs-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時にこの
レジスタの出力を入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮよりも小さいなら
ば、この更新された値をｓ−１番目の反復後にレジスタ
11に記憶される値として決定し、もし更新された値がＮ
よりも大きいならば、減算回路28においてこの更新され
た値からＮをシリアルに減算し、それより得られる値を
更新された値Ｓ（ｓ−１）とし、さらに Ｖ−レジスタ11の内容を右にシフトさせて、加算回路30
で更新された値Ｓ（ｓ−１）に乗算Ｈ＊Ｃs-1 の値を１
ビットずつ加える加算を行う、
【００５９】ｃ）乗算回路20でＸ（ｓ）の最下位ワー
ド、Ｘ0 （ｓ）にＪ0 を乗じ、Ｘ0 （ｓ）＊Ｊ0 mod ２
k ＝Ｙ0 （ｓ）の値をレジスタ18に入力し、同時に遅延
回路32および34でＮおよびＸ（ｓ）をｋサイクル分だけ
遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ
0 （ｓ）＊Ｎの値を計算する： Ｉ−乗算回路20で、Ｙ0 （ｓ）に、ｋサイクル分遅延さ
れたＮを乗じる、さらに II−加算回路31で、Ｘ（ｓ）をＹ0 （ｓ）＊Ｎの値に１
ビットずつ加える、 ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｓ）／２ k をレジスタ11に記憶する、 ｆ）Ｚ（ｓ）／２k をＮと１ビットずつ比較して、上記
の方法で次の反復の更新された値Ｓ（ｓ）を決定する。
この比較は、減算回路29でＺ（ｓ）／２k とＮとの１ビ
ットずつの減算を行なうことによって行われる（ここ
で、Ｎは遅延回路33でさらにｋサイクル分だけ遅延され
ている）、
【００６０】ｇ）上記操作中の任意の時点でＣのｓ番目
のワードがレジスタ16にロードされる。 Ｒ３− ｍ’回目の反復で、Ｚ（ｍ’）の最下位ワード
を無視し、残りのワード、つまりＺ（ｍ’）／２k をレ
ジスタ10に入力する、 Ｒ４− 最後の反復でレジスタ10に記憶された結果を、
必要な場合には減算回路27を用いてＮから減算された状
態で出力する。
【００６１】IV．２ Ｈ＝２m'*k mod Ｎの算出 Ｎの有効サイズはそれぞれｋ個のビットよりなるｕ個の
ワードであると仮定する。Ｎの有効ビットの数はｌであ
る。操作は以下のように行なわれる： Ｈ１− モジュロＮをレジスタ12にロードして、レジス
タ10を初期化し（レジスタ10の内容はＢ（０）、つまり
（０であるｎ個のビット）と表される）、さらにレジス
タ44を初期化する（つまり、ＳＣ＝０となるように信号
ＲＥＳを発生させる）、 Ｈ２− 右にシフトさせることによってレジスタ12から
Ｎ’を出力し、同時にｌビットをその入力に帰還させて
（ｌはモジュロＮの有効ビット数とする）、レジスタ12
内で最上位ビットが１となるようにする、
【００６２】Ｈ３− 下記の操作によって、ｎビットに
エンコードされたデータ要素Ｂ（１）＝２＊（Ｂ（０）
−Ｎ’）を算出し記憶する。ここでＮ’＝Ｎ＊２
n-l で、Ｎ’はレジスタ12に記憶された２進データ要素
に相当する： − レジスタ10および12の内容を右にシフトさせること
によって、Ｎ’とＢ（０）を出力させる。ここで、レジ
スタ10の入力は減算回路27の出力に接続されており、レ
ジスタ12の入力はその出力に接続されている、 − 減算回路27で、Ｎ’とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ’と表される結果を１ユニットだけ左に
シフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ’を１ビットずつ減算
してＢ（１）≧Ｎ’であるかＢ（１）＜Ｎ’であるかを
決定し、Ｂ（１）≧Ｎ’ならば回路44によってＳＣ＝０
を算出して、Ｂ（１）＜Ｎ’ならばＳｃ＝１を算出す
る、
【００６３】Ｈ４−インデックスｉで示されるループを
設定することによって（ｉは１からｔ−ｎまでの整数で
ある）、データ要素Ｈint ＝２t mod Ｎ’を算出する。
ここでｔ＝ｎ−ｌ＋ｕ＊ｋ＋（ｍ’−ｕ）＊ｋ／２
r （ｒはｋ／２r が整数となるような整数）であり、そ
れぞれのｉ回目の反復は下記の操作を含む： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
左にシフトさせてからＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−
０）＝２＊Ｂ（ｉ）をレジスタ10にロードし、さらにＢ
（ｉ＋１）とＮ’を１ビットずつ比較する、 − そうでない場合には、Ｎ’およびＢ（ｉ）を１ビッ
トずつ減算し、同時に結果を１ユニットだけ左にシフト
させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）をレジス
タ10にロードし、さらにＢ（ｉ＋１）とＮ’を１ビット
ずつ比較する、
【００６４】Ｈ５− Ｂ（ｔ−ｎ＋１）≧Ｎ’ならば、
減算回路27でＢ（ｔ−ｎ＋１）とＮ’を１ビットずつ減
算する。その結果２＊（Ｂ（ｔ−ｎ＋１）−Ｎ’）が得
られ、Ｂ（ｔ−ｎ＋１）−Ｎ’をレジスタ10にロードす
る。このロードには１ユニットだけ右にシフトさせるこ
とが必要となる、 Ｈ６− レジスタ10および12でｎ−ｌビットだけ右への
シフトを行なう。従ってレジスタ12にはＮが存在する。 Ｈ７− ｒ回のＰfield 操作を実行することによってパ
ラメータＨを算出する： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１），Ｈint （ｊ−
１））N ここでｊは１からｒまでのインデックスであって、Ｈ
int （０）＝Ｂ（ｔ−ｎ＋１）＊２l-n または（Ｂ（ｔ
−ｎ＋１）−Ｎ”）＊２l-n である。 Ｈint （０）＝２t'mod Ｎ（ここで、ｔ’＝ｕ＊ｋ＋
（ｍ’−ｕ）＊ｋ／２r） ステップＨ６のシフトの後、Ｈint （０）はレジスタ10
内にある。従ってＨint （ｒ）＝Ｈ＝２m'*k mod Ｎと
なる。
【００６５】当然、上記の方法と同じ意図によってｒ回
のＰfield 操作が行なわれるものと仮定した。これは、
１回の操作ごとに乗算回路19の並列入力にそれぞれｋビ
ットずつのｕ個のワードが入力されることを意味する。
従来特許の回路と比較すると、当然、図１に示した回路
の動作に必要な制御信号を発生させるためのシーケンサ
回路を変更しなければならない。従って、特に最後に述
べた方法については、レジスタ16の使用回数が可変であ
ることから第１にこのレジスタの使用を管理するための
プログラム可能なカウンタを使用する必要がある。この
プログラム可能なカウンタは、第２に、モジュロＮ（Ｎ
が偶数パリティの値である場合にはＮ’）の有効ビット
数の関数としてＨを算出する際にレジスタ内でのシフト
を管理するために使用する必要がある。
【００６６】従来技術における回路では、レジスタ10、
11および12が使用される。これらのレジスタは、32ビッ
ト×８ワードまたは16ワードのレジスタとして構成され
ている。モジュラ操作に関連する計算時間をさらに短縮
しようとするならば、32ビット×１〜16ワードのレジス
タとして構成されたレジスタを使用することが可能であ
る。言い換えれば、実際にはｍ＝ｕを選択することが可
能である。そのために、計算回路のレジスタ10、11およ
び12の位置に追加のマルチプレクサを付け加えればよ
い。このことによって、確かに空間的な有効性は犠牲に
するものの、レジスタ10、11および12内でのシフトに必
要な時間を短縮することが可能となる。偶数パリティま
たは奇数パリティのモジュロでモジュラリダクションが
実行可能であるという有利点は、ＲＳＡ型の暗号化を行
なう際に特に有利に利用される。
【００６７】ＲＳＡ法 ＲＳＡ暗号化法は、Ｃ＝ＭD mod Ｎ型の計算の実行を必
要とする。ここでＭは暗号化または解読すべきメッセー
ジで、ＮはＮ＝Ｐ＊Ｑ（ここでＰおよびＱは素数であ
る）であるようなモジュロであって、ＤはＤ＊Ｅ＝１ m
od （（Ｐ−１）＊（Ｑ−１））である（Ｅは明らかな
数）。この計算を実行するための１つのアルゴリズムは
以下のようなものである： Ａ＝（Ｍ mod Ｐ）D mod(p-1) mod Ｐ Ｂ＝（Ｍ mod Ｑ）D mod(Q-1) mod Ｑ Ｕ＝Ｑ-1 mod Ｐ IfＡ＜Ｂ mod Ｐ then Ｃ＝（（（Ａ＋Ｐ−（Ｂ mod Ｐ））＊Ｕ）mod Ｐ）＊
Ｑ＋Ｂ Else Ｃ＝（（（Ａ−（Ｂ mod Ｐ））＊Ｕ）mod Ｐ）＊Ｑ＋
Ｂ
【００６８】このアルゴリズムは特に： −２つのモジュラリダクション、 −２つのモジュラ累乗操作、 −１つのモジュラ乗算 を実行する。本発明は： −Ｄ mod （Ｐ−１）およびＤ mod （Ｑ−１）（ここ
で、Ｐ−１とＱ−１は偶数パリティの数字である）、 −Ｍ mod ＰおよびＭ mod Ｑ（ここで、ＰとＱは奇数パ
リティの数字である） を計算するために利用される。
【００６９】素数の検索 上記のＲＳＡ法は２つの素数ＰとＱを決定することを要
求する。これらの数があまりに簡単に経験に基づいて決
定されてしまうのを防ぐために、非常に大きい数、例え
ば256 ビットにエンコードされた数を選択するのが望ま
しい。非常に大きな素数を選択するための周知の方法
は、ランダムにある数を選択して、この数と、多数（例
えば最初の100 個）の素数の積との間の最大公約数を決
定するというものである。この方法は、除法演算を必要
とし、従って回路１はその実施には適さない。
【００７０】本発明はもう１つの方法を提案するもので
ある。ランダムに選択された数と最初の100 個（例え
ば）の素数の積の最大公約数を計算することはなくな
る。この方法で行なわれる操作は、最初の100 個の素数
のそれぞれを用いてランダムな数のモジュラリダクショ
ンを連続的に実行することである。この方法は、モジュ
ラリダクションを実行するのに必要は時間が短縮されな
い限りは実際には考えられない。本発明は、III に述べ
た新しいエラー訂正計算方法およびモジュラリダクショ
ン方法によって実現される時間の短縮によって、上記の
方法の実施を検討する上で利用可能なものである。ここ
では、ｋビット×１ワード（例えばｋ＝32）のレジスタ
を形成するのが有利である。さらに、従来特許では、25
6 または512 ビットのレジスタのみが使用される。実際
にこれば、合理的な時間内で操作を行なうためには同一
のビットにエンコードされた素数を選択する必要がある
ことを意味するものである。従って、許可されていない
個人がこれらの数を検出しようと試みることに対してセ
キュリティ上の問題が生じる。
【００７１】従って本出願人は、例えば変調可能なレジ
スタや、必要に応じて32、256 、（256 ＋ｎ）、384 、
（384 ＋ｎ）、512 、または（512 ＋ｎ）個のセル（こ
こで、ｎは整数とする）を備えたレジスタを選択するこ
とによって、使用するレジスタを変更することを提案す
るものである。傾向としては512 、768 および1024ビッ
トにエンコードされたモジュロの値を選択するようにな
っている。上記に定義のような変調可能なレジスタを選
択することによって：モジュラ操作という一般的な意味
においては、処理すべきデータの有効サイズにより高い
柔軟性をもって適応することにより、レジスタ内でのシ
フトの数が最小限に抑えられ、
【００７２】ＲＳＡ暗号化の実行というより特定された
意味においては、ＰとＱについて異なるサイズを選択す
ることが可能となる。例えば512 ビットにエンコードさ
れたモジュロＮ＝Ｐ＊Ｑとすることが望まれる場合に
は、例えばＰを254 ビットに選択してＱを258 ビットに
選択することが可能である。Ｐに関する計算には256 セ
ルのレジスタが使用され、Ｑに関する計算には256 ＋ｎ
＝288 セルのレジスタが使用されよう。従来特許の回路
では、Ｑに関する計算に512 セルのレジスタを使用しな
ければならなず、これは計算に要する時間という点で致
命的であろう。
【００７３】本発明は、それが図１および２に示す既存
の回路を変更することなく（方法に関して）実行可能で
あるという点で特に有利である。変更されるのはこれら
の回路が機能するのに必要な各種の制御信号を発生させ
るシーケンス操作のみである。特に、本発明ではモジュ
ロＮとオペランドの有効サイズを考慮する。本発明の方
法は、上記に示したように回路１を変更することによっ
て使用されよう。図２では、図２の回路のリソースが使
用されるものと仮定されていた。このことによって、コ
プロセッサ全体のサイズが最大限抑えられる。当然、Ｈ
の計算専用に構成された回路を使用することが可能であ
る。以上、好ましい実施例を参照しながら本発明を説明
したが、本発明の範囲を逸脱することなく変更が応用が
可能であることは理解されよう。
【図面の簡単な説明】
【図１】 モンゴメリ法によるモジュラ操作の実行を可
能にする回路を示す概略図。
【図２】 本発明によるエラー訂正パラメータの計算に
おいて使用される回路を示す図。
【符号の説明】
１ 回路 10、11、12 シフトレジスタ 13、14、15、23、24、25、25’、26、36、38、41、42
マルチプレクサ 16、17、18 レジスタ 19、20 乗算回路 21、22 記憶フリップフロップ回路 27、28、29、40 直列減算回路 30、31 直列加算回路 32、33、34 遅延回路 35 記憶回路 39 デマルチプレクサ 43 ＮＡＮＤゲート 44 記憶回路
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/10 8842−5Ｊ Ｈ０４Ｌ 9/00 ６２１Ｚ

Claims (11)

    【特許請求の範囲】
  1. 【請求項１】 モンゴメリ法に従ってモジュラリダクシ
    ョンを実行するための方法であって、以下： −２進データ要素Ｃを、ｋビットのワードｍ’個にグル
    ープ分けされるｃ個のビットにエンコードし、但し、
    ｍ’とｋは整数であり、ｍ’は、ｍ’＊ｋ≧ｃ＞（ｍ’
    −１）＊ｋの関係を満足する、 −０でない２進データ要素Ｎをｎ個のビットにエンコー
    ドし、さらに、Ｃ mod Ｎを算出するために、Ｎに関連
    する少なくとも１つの２進データ要素Ｊ0 を算出するた
    めのステップを実行し、２f(C,N)の形を有する少なくと
    も１つの２進データ要素Ｈ（ここで、ｆ（Ｃ，Ｎ）はＣ
    のサイズとＮのパリティを表す整数とする）を算出する
    ためのステップを実行し、さらに、第１に、１つの直列
    入力と１つの並列入力と１つの直列出力とを備えた乗算
    回路の並列入力にＣを入力し、第２に、同じ乗算回路の
    直列入力にＨを入力するためのステップを実行すること
    を特徴とする方法。
  2. 【請求項２】 Ｎの最下位ビットが０である場合にＣ m
    od Ｎを算出するために、 Ｅ０− ２進データ要素Ｊ0 （Ｎ’）を算出する（ここ
    でＮ’はｎビットにエンコードされた２進データ要素で
    あって、Ｎ’の最下位ビットは１であり、Ｎ＝Ｎ’＊２
    a （ａは１以上の整数）である） Ｅ１− ２進データ要素Ｈ＝２m'*k-a mod Ｎ’を算出
    する、 Ｅ３− ｍ’＊ｋビットにエンコードされたＣを乗算回
    路の直列入力に入力し、ｎビットにエンコードされたＨ
    を同じ乗算回路の直列入力に入力して、データ要素Ｐ
    （Ｃ，Ｈ）N'＝Ｃ＊２-a mod Ｎ’を得る、 Ｅ４− ２a ＊Ｐ（Ｃ，Ｈ）N'＝Ｃ mod Ｎを算出する
    ステップを実行することを特徴とする請求項１に記載の
    方法。
  3. 【請求項３】 Ｐ（Ｃ，Ｈ）N'＝Ｃ＊２-a mod Ｎ’を
    算出するために、 Ｒ１− パラメータＨを第１のレジスタにロードして、
    モジュロＮ’を第２のレジスタにロードし、さらに第３
    のレジスタをゼロに初期化する（上記第３のレジスタの
    内容はＳと表され、Ｓはｎビットにエンコードされた可
    変の２進データであるとする） −Ｒ２− ｉと表示されるループを設定する（ここでｓ
    は１からｍ’まで変化し、それぞれｉ回目の反復が下記
    ａ）〜ｇ）の操作を含む）： ａ）Ｃのｓ番目のワードＣs-1 を第４のレジスタから乗
    算回路の並列入力に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｓ−１）を下記に定義のような
    いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
    Ｘ（ｓ）＝Ｓ（ｓ−１）＋Ｈ＊Ｃs-1 の値を算出する： Ｉ−第１のレジスタの内容を直列−並列乗算回路の入力
    に向かって右にシフトさせ、同時に上記レジスタの出力
    をその入力に帰還させる、 II−ＨのビットにＣs-1 を乗ずる、 III−第２のレジスタの内容を右にシフトさせ、同時に
    上記レジスタの出力をその入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮ’よりも小さいなら
    ば、この更新された値をｓ−１番目の反復後に第３のレ
    ジスタに記憶される値として決定し、もし更新された値
    がＮ’よりも大きいならば、減算回路においてこの更新
    された値からＮ’をシリアルに減算し、それより得られ
    る値を更新された値Ｓ（ｓ−１）とし、さらに Ｖ−第３のレジスタの内容を右にシフトさせて、更新さ
    れた値Ｓ（ｓ−１）に乗算Ｈ＊Ｃs-1 の値を１ビットず
    つ加える加算を行う、 ｃ）Ｘ（ｓ）の最下位ワード、Ｘ0 （ｓ）にＪ0 を乗
    じ、Ｘ0 （ｓ）＊Ｊ0 mod ２k ＝Ｙ0 （ｓ）の値を第４
    のレジスタに入力し、Ｎ’およびＸ（ｓ）をｋサイクル
    分だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ
    0 （ｓ）＊Ｎ’の値を計算する： Ｉ−Ｙ0 （ｓ）に、ｋサイクル分遅延されたＮ’を乗じ
    る、さらに II−Ｘ（ｓ）をＹ0 （ｓ）＊Ｎ’の値に１ビットずつ加
    える、ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りの
    ワード、つまりＺ（ｓ）／２k を第３のレジスタに記憶
    する、 ｆ）Ｚ（ｓ）／２k をＮ’と１ビットずつ比較して、上
    記の方法で次の反復の更新された値Ｓ（ｓ）を決定する
    （この比較は、Ｚ（ｓ）／２k とＮ’との１ビットずつ
    の減算を行なうことによって行われ、ここで、Ｎ’はさ
    らにｋサイクル分だけ遅延されている）、 ｇ）上記操作中の任意の時点でＣのｓ番目のワードが第
    ４のレジスタにロードされる、 Ｒ３− ｍ’回目の反復で、Ｚ（ｍ’）の最下位ワード
    を無視し、残りのワード、つまりＺ（ｍ’）／２k を第
    １のレジスタに入力する、 Ｒ４− 最後の反復で第１のレジスタに記憶された結果
    を、必要な場合にはＮ’から減算された状態で出力す
    る、 Ｒ５− 結果を１ビットだけ左にシフトする、ステップ
    を実行することを特徴とする請求項２に記載の方法。
  4. 【請求項４】 Ｈを算出するために、 Ｈ１− モジュロＮ’を第１のレジスタにロードして、
    第２のレジスタを初期化する（第２のレジスタの内容は
    Ｂ（０）と表される）、 Ｈ２− 右にシフトさせることによって第１のレジスタ
    からＮ’を出力し、同時にｌ−ａビットをその入力に帰
    還させる（ｌはモジュロＮの有効ビット数である）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
    れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ”）を算
    出し記憶する（ここでＮ”＝Ｎ’＊２n-l+a ）： − 第１および第２のレジスタの内容を右にシフトする
    ことによって、Ｎ”とＢ（０）を出力する（第１のレジ
    スタの入力はその出力に接続されている）、 − Ｎ”とＢ（０）のビットを１ビットずつ減算する操
    作を行い、同時にＲ（０）＝Ｂ（０）−Ｎ”と表される
    結果を１ユニットだけ左にシフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
    算結果を第２のレジスタにロードする、 − Ｂ（１）とＮ”を１ビットずつ減算してＢ（１）≧
    Ｎ”であるかＢ（１）＜Ｎ”であるかを決定する、 Ｈ４−インデックスｉで示されるループを設定すること
    によって（ｉは１からｔ−ｎまでの整数である）、デー
    タ要素Ｈint ＝２t mod Ｎ”を算出する、 ここでｔ＝ｎ−ｌ＋ａ＋ｕ＊ｋ＋（ｍ’−ｕ）＊ｋ／２
    r （ｒはｋ／２r が整数となるような整数であり、ｕは
    ｕ＊ｋ≧ｌ＞（ｕ−１）＊ｋとなるような０以外の整数
    である）であり、それぞれのｉ回目の反復は下記の操作
    を含む： − Ｂ（ｉ）＜Ｎ”ならば、Ｂ（ｉ）を１ユニットだけ
    シフトさせてＢ（ｉ＋１）とＮ”を１ビットずつ比較し
    た後、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）−０）＝２＊Ｂ
    （ｉ）を第２のレジスタにロードする、 − そうでない場合には、Ｎ”およびＢ（ｉ）を１ビッ
    トずつ減算し、同時に結果を１ユニットだけ左にシフト
    させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ”）を第２の
    レジスタにロードし、さらにＢ（ｉ＋１）とＮ”を１ビ
    ットずつ比較する、 Ｈ５− Ｂ（ｔ−ｎ＋１）≧Ｎ”ならば、Ｂ（ｔ−ｎ＋
    １）とＮ”を１ビットずつ減算し、Ｂ（ｔ−ｎ＋１）−
    Ｎ”を第２のレジスタにロードする、 Ｈ６− 第１および第２のレジスタでｎ−ｌ＋ａビット
    だけ右シフトを行なう、 Ｈ７− ｒ回のＰfield 操作 Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１），Ｈint （ｊ−
    １））N' （ここでｊは１からｒまでのインデックスであって、Ｈ
    int （０）＝Ｂ（ｔ−ｎ＋１）＊２l-n-a または（Ｂ
    （ｔ−ｎ＋１）−Ｎ”）＊２l-n-a である）、を実行す
    る、 Ｈ８− １回のＰfield 操作 Ｐ（Ｈint （ｒ），２u*k-a ）Ｎ’を行なうことによっ
    てパラメータＨを算出する、ステップを実行することを
    特徴とする請求項２〜３のいずれか一項に記載の方法。
  5. 【請求項５】 Ｃ mod Ｎを算出するために、 Ｅ０− ２進データ要素Ｊ0 （Ｎ）を算出する、 Ｅ１− ２進データ要素Ｈ＝２m'*k mod Ｎを算出す
    る、 Ｅ３− ｍ’＊ｋビットにエンコードされたＣを乗算回
    路の直列入力に入力し、ｎビットにエンコードされたＨ
    を同じ乗算回路の並列入力に入力して、Ｐ（Ｃ，Ｈ）N
    ＝Ｃ mod Ｎを得る、ステップを実行することを特徴と
    する請求項１に記載の方法。
  6. 【請求項６】 Ｐ（Ｃ，Ｎ）N ＝Ｃ mod Ｎを算出する
    ために、 Ｒ１− パラメータＨを第１のレジスタにロードして、
    モジュロＮ’を第２のレジスタにロードし、さらに第３
    のレジスタをゼロに初期化する（上記第３のレジスタの
    内容はＳと表され、Ｓはｎビットにエンコードされた可
    変の２進データであるとする） Ｒ２− ｉと表示されるループを設定する（ここでｓは
    １からｍ’まで変化し、それぞれｉ回目の反復が下記
    ａ）〜ｇ）の操作を含む）： ａ）Ｃのｓ番目のワードＣs-1 を第４のレジスタから乗
    算回路の並列入力に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｓ−１）を下記に定義のような
    いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
    Ｘ（ｓ）＝Ｓ（ｓ−１）＋Ｈ＊Ｃs-1 の値を算出する： Ｉ−第１のレジスタの内容を乗算回路の直列入力に向か
    って右にシフトさせ、同時に上記レジスタの出力をその
    入力に帰還させる、 II−ＨのビットにＣs-1 を乗ずる、 III−第２のレジスタの内容を右にシフトさせ、同時に
    上記レジスタの出力をその入力に帰還させる、 IV−更新された値Ｓ（ｓ−１）がＮよりも小さいなら
    ば、この更新された値をｓ−１番目の反復後に第３のレ
    ジスタに記憶される値として決定し、もし更新された値
    がＮよりも大きいならば、この更新された値からＮをシ
    リアルに減算し、それより得られる値を更新された値Ｓ
    （ｓ−１）とし、さらに Ｖ−第３のレジスタの内容を右にシフトさせて、更新さ
    れた値Ｓ（ｓ−１）に乗算Ｈ＊Ｃs-1 の値を１ビットず
    つ加える加算を行う、 ｃ）Ｘ（ｓ）の最下位ワード、Ｘ0 （ｓ）にＪ0 を乗
    じ、Ｘ0 （ｓ）＊Ｊ0 mod ２k ＝Ｙ0 （ｓ）の値を第４
    のレジスタに入力し、ＮおよびＸ（ｓ）をｋサイクル分
    だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｓ）＝Ｘ（ｓ）＋Ｙ
    0 （ｓ）＊Ｎの値を計算する： Ｉ−Ｙ0 （ｓ）に、ｋサイクル分遅延されたＮを乗じ
    る、さらに II−Ｘ（ｓ）をＹ0 （ｓ）＊Ｎの値に１ビットずつ加え
    る、 ｅ）Ｚ（ｓ）の最下位ワードを考慮せず、残りのワー
    ド、つまりＺ（ｓ）／２k を第３のレジスタに記憶す
    る、 ｆ）Ｚ（ｓ）／２k をＮと１ビットずつ比較して、上記
    の方法で次の反復の更新された値Ｓ（ｓ）を決定する
    （この比較は、Ｚ（ｓ）／２k とＮとの１ビットずつの
    減算を行なうことによって行われ、ここで、Ｎはさらに
    ｋサイクル分だけ遅延されている）、 ｇ）上記操作中の任意の時点でＣのｓ番目のワードが第
    ４のレジスタにロードされる、 Ｒ３− ｍ’回目の反復で、Ｚ（ｍ’）の最下位ワード
    を無視し、残りのワード、つまりＺ（ｍ’）／２k を第
    １のレジスタに入力する、 Ｒ４− 最後の反復で第１のレジスタに記憶された結果
    を、必要な場合にはＮから減算された状態で出力する、
    ステップを実行することを特徴とする請求項５に記載の
    方法。
  7. 【請求項７】 Ｈを算出するために、 Ｈ１− モジュロＮを第１のレジスタにロードして、第
    ２のレジスタを初期化する（第２のレジスタの内容はＢ
    （０）と表される）、 Ｈ２− 右にシフトさせることによって第１のレジスタ
    からＮを出力し、同時にｌビットをその入力に帰還させ
    る（ｌはＮの有効ビット数である）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
    れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算
    出し記憶する（ここでＮ’＝Ｎ＊２n-l ）： − 第１および第２のレジスタの内容を右にシフトする
    ことによって、Ｎ’とＢ（０）を出力する（第１のレジ
    スタの入力はその出力に接続されている）、 − Ｎ’とＢ（０）のビットを１ビットずつ減算する操
    作を行い、同時にＲ（０）＝Ｂ（０）−Ｎ’と表される
    結果を１ユニットだけ左にシフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
    算結果を第２のレジスタにロードする、 − Ｂ（１）とＮ’を１ビットずつ減算してＢ（１）≧
    Ｎ’であるかＢ（１）＜Ｎ’であるかを決定する、 Ｈ４−インデックスｉで示されるループを設定すること
    によって（ｉは１からｔ−ｎまでの整数である）、デー
    タ要素Ｈint ＝２t mod Ｎ’を算出する、 ここでｔ＝ｎ−ｌ＋ｕ＊ｋ＋（ｍ’−ｕ）＊ｋ／２
    r （ｒはｋ／２r が整数となるような整数であり、ｕは
    ｕ＊ｋ≧ｌ＞（ｕ−１）＊ｋとなるような０以外の整数
    である）であり、それぞれのｉ回目の反復は下記の操作
    を含む： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
    左にシフトさせてＢ（ｉ＋１）とＮ’を１ビットずつ比
    較した後、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）−０）＝２＊
    Ｂ（ｉ）を第２のレジスタにロードする、 − そうでない場合には、Ｎ’およびＢ（ｉ）を１ビッ
    トずつ減算し、同時に結果を１ユニットだけ左にシフト
    させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２の
    レジスタにロードし、さらにＢ（ｉ＋１）とＮ’を１ビ
    ットずつ比較する、 Ｈ５− Ｂ（ｔ−ｎ＋１）≧Ｎ’ならば、Ｂ（ｔ−ｎ＋
    １）とＮ’を１ビットずつ減算し、Ｂ（ｔ−ｎ＋１）−
    Ｎ’を第２のレジスタにロードする、 Ｈ６− 第１および第２のレジスタでｎ−ｌビットだけ
    右シフトを行なう、 Ｈ７− ｒ回のＰfield 操作 Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１），Ｈint （ｊ−
    １））N' （ここでｊは１からｒまでのインデックスであって、Ｈ
    int （０）＝Ｂ（ｔ−ｎ＋１）＊２l-n または（Ｂ（ｔ
    −ｎ＋１）−Ｎ’）＊２l-n である）、を実行すること
    によってパラメータＨを算出する、ステップを実行する
    ことを特徴とする請求項５〜６のいずれか一項に記載の
    方法。
  8. 【請求項８】 Ｎの最下位ビットが０である時、Ｃ mod
    Ｎを算出するために、 Ｅ０− ２進データ要素Ｊ0 （Ｎ’）を算出する（ここ
    でＮ’はＮ’の最下位ビットが１となるようにｎビット
    にエンコードされた２進データ要素であってＮ＝Ｎ’＊
    ２a （ａは１以上の整数）である） Ｅ１− １からｍ”−１まで変化するｉについて、ｉと
    示されるループを設定する（ここでｍ”はｍ”＋ｍ≧
    ｍ’＞（ｍ”−１）＊ｍを満足する整数であって、ｍは
    ｎ＝ｍ＊ｋを満足し、ｉ番目の反復がそれぞれ以下の操
    作を含む）： −ｎビットにエンコードされた２進データ要素Ｈi ＝２
    (i+1)*n-a mod Ｎ’を算出する、 −乗算回路の直列入力にＨi を入力し、Ｃ＝σi Ｃi ＊
    ２i*n であるようなＣi を同じ乗算回路の並列入力に入
    力して、Ｐ（Ｃi ，Ｈi ）N'＝Ｃi ＊２i*n-amod Ｎ’
    を得る、 −結果をシフトさせてＣi ＊２i*n mod Ｎを得て、この
    結果を記憶する、 Ｅ２− ｉ＝０について、Ｃ0 ＜ＮならばＣ0 を記憶
    し、Ｃ0 ≧ＮならばＣ0−Ｎを記憶する、 Ｅ３− 記憶されたＣi の値とＣ0 またはＣ0 −Ｎの値
    とのモジュラ加算を行なって所望の結果を算出する、ス
    テップを実行することを特徴とする請求項１に記載の方
    法。
  9. 【請求項９】 Ｈi ＝２(i+l)*n-a mod Ｎ’を算出する
    ために、 −Ｈ1 ＝２2*n-a mod Ｎ’を算出する、 −ｉ＞１について： −Ｈi,p(i)＝２n+2exp(p(i))*(n-a) mod Ｎ’を算出す
    る、ここでｐ（ｉ）＝Ent[log2(i*n/(n-a))]＋１、Ent
    は" 整数部分" 演算子を意味する、 −ｒ＞ｎならば、２n-r mod Ｎ’を算出する、 −ｎ−ｒ≧０ならば、乗算回路の直列入力に、ｎビット
    にエンコードされたＨi,p(i)を出力し（あるいはｎ−ｒ
    ＜０ならば２n-r mod Ｎ’を出力し）、並行して、同じ
    乗算回路の並列入力に、ｎビットにエンコードされた２
    n-r を入力する（あるいはｎ−ｒ＜０ならばＨi,p(i)を
    入力する）。ステップを実行することを特徴とする請求
    項８に記載の方法。
  10. 【請求項１０】 Ｎの最下位ビットが０である時、Ｃ m
    od Ｎを算出するために、 Ｅ０− ２進データ要素Ｊ0 （Ｎ’）を算出する（ここ
    でＮ’はＮ’の最下位ビットが１となるようにｎビット
    にエンコードされた２進データ要素であってＮ＝Ｎ’＊
    ２a （ａは１以上の整数）である） Ｅ１− １からｗ−１まで変化するｉについて、ｉと示
    されるループを設定する、ここでｗはｗ＊ｌ≧ｃ＞（ｗ
    −ｌ）＊ｌを満足する整数であって、ｌはＮの有効ビッ
    ト数であり、ｉ番目の反復がそれぞれ以下の操作を含
    む： −ｎビットにエンコードされた２進データ要素Ｈi ＝２
    n+i*l-a mod Ｎ’を算出する、 −乗算回路の直列入力にＨi を入力し、Ｃ＝Σi Ｃi ＊
    ２i*l であるようなデータ要素Ｃi を同じ乗算回路の並
    列入力に入力して、Ｐ（Ｃi ，Ｈi ）N'＝Ｃi＊２
    i*l-a mod Ｎ’を得る、 −結果をシフトさせてＣi ＊２i*l mod Ｎを得て、この
    結果を記憶する、 Ｅ２− ｉ＝０について、Ｃ0 ＜ＮならばＣ0 を記憶
    し、Ｃ0 ≧ＮならばＣ0−Ｎを記憶する、 Ｅ３− 記憶されたＣi の値とＣ0 またはＣ0 −Ｎの値
    とのモジュラ加算を行なって所望の結果を算出する、ス
    テップを実行することを特徴とする請求項１に記載の方
    法。
  11. 【請求項１１】 Ｈi ＝２n+i*l-a mod Ｎ’を算出する
    ために、 −Ｈ1 ＝２n+l-a mod Ｎ’を算出する、 −ｉ＞１について： −Ｈi,p(i)＝２n+2exp(p(i))*(l-a) mod Ｎ’を算出す
    る（ここでｐ（ｉ）＝Ent[log2(i*l/(l-a))]＋１、Ent
    は" 整数部分" 演算子を意味する）、 −ｒ＞ｎならば、２n-r mod Ｎ’を算出する、 −ｎ−ｒ≧０ならば、乗算回路の直列入力に、ｎビット
    にエンコードされたＨi,p(i)を出力し（あるいはｎ−ｒ
    ＜０ならば２n-r mod Ｎ’を出力し）、並行して、同じ
    乗算回路の並列入力に、ｎビットにエンコードされた２
    n-r を入力する（あるいはｎ−ｒ＜０ならばＨi,p(i)を
    入力する）。ステップを実行することを特徴とする請求
    項10に記載の方法。
JP7314752A 1994-11-08 1995-11-08 モンゴメリ法によるモジュラリダクションの実施方法 Expired - Fee Related JP2722411B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9413595A FR2726668B1 (fr) 1994-11-08 1994-11-08 Procede de mise en oeuvre de reduction modulaire selon la methode de montgomery
FR9413595 1994-11-08

Publications (2)

Publication Number Publication Date
JPH08263315A true JPH08263315A (ja) 1996-10-11
JP2722411B2 JP2722411B2 (ja) 1998-03-04

Family

ID=9468765

Family Applications (1)

Application Number Title Priority Date Filing Date
JP7314752A Expired - Fee Related JP2722411B2 (ja) 1994-11-08 1995-11-08 モンゴメリ法によるモジュラリダクションの実施方法

Country Status (5)

Country Link
US (1) US5764554A (ja)
EP (1) EP0712072B1 (ja)
JP (1) JP2722411B2 (ja)
DE (1) DE69506675T2 (ja)
FR (1) FR2726668B1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2740330A1 (fr) * 1995-10-27 1997-04-30 Oreal Composition comprenant un systeme polymerique et utilisation dudit systeme
FR2740336A1 (fr) * 1995-10-27 1997-04-30 Oreal Composition comprenant un melange polymerique et utilisation dudit melange dans une composition notamment cosmetique
US8055696B2 (en) 2007-10-11 2011-11-08 Samsung Electronics Co., Ltd. Modular multiplication method, modular multiplier and cryptosystem having the same

Families Citing this family (42)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2741973B1 (fr) * 1995-12-04 1998-01-02 Sgs Thomson Microelectronics Procede de production d'un parametre jo associe a la mise en oeuvre d'operation modulaire selon la methode de montgomery
FR2743645B1 (fr) * 1996-01-15 1998-02-27 Sgs Thomson Microelectronics Dispositif ameliorant la vitesse de traitement d'un coprocesseur d'arithmetique modulaire
FR2743907B1 (fr) * 1996-01-18 1998-02-27 Sgs Thomson Microelectronics Procede de production d'un parametre de correction d'erreur associe a la mise en oeuvre d'operation modulaire selon la methode de montgomery
KR100218683B1 (ko) * 1996-12-04 1999-09-01 정선종 정보 보호용 모듈러 승산 장치
GB2321979B (en) * 1997-01-30 2002-11-13 Motorola Ltd Modular multiplication circuit
DE69826963T2 (de) * 1997-11-04 2005-11-17 Nippon Telegraph And Telephone Corp. Gerät für die modulare Inversion zur Sicherung von Information
FR2771525B1 (fr) * 1997-11-24 2002-10-11 Sgs Thomson Microelectronics Procede de production d'un parametre de correction d'erreur associe a la mise en oeuvre d'operation modulaire selon la methode de montgomery
FR2773231B1 (fr) * 1997-12-31 2000-02-25 Sgs Thomson Microelectronics Procede de production ameliore d'un parametre jo associe a la mise en oeuvre d'operations modulaires selon la methode de montgomery
US6466668B1 (en) * 1998-01-28 2002-10-15 Hitachi, Ltd. IC card equipped with elliptical curve encryption processing facility
FR2774783B1 (fr) * 1998-02-09 2000-04-14 Sgs Thomson Microelectronics Procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
JP3542278B2 (ja) * 1998-06-25 2004-07-14 株式会社東芝 モンゴメリ・リダクション装置及び記録媒体
US6182104B1 (en) * 1998-07-22 2001-01-30 Motorola, Inc. Circuit and method of modulo multiplication
JP2000132376A (ja) * 1998-10-27 2000-05-12 Fujitsu Ltd 剰余演算方法，乗算剰余演算方法，剰余演算装置，乗算剰余演算装置及び記録媒体
FR2791155B1 (fr) * 1999-03-17 2001-05-11 St Microelectronics Sa Dispositif et procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
FR2791156B1 (fr) * 1999-03-17 2001-05-11 St Microelectronics Sa Dispositif et procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
US6914983B2 (en) 2000-12-19 2005-07-05 International Business Machines Corporation Method for checking modular multiplication
US6978016B2 (en) * 2000-12-19 2005-12-20 International Business Machines Corporation Circuits for calculating modular multiplicative inverse
US6763365B2 (en) * 2000-12-19 2004-07-13 International Business Machines Corporation Hardware implementation for modular multiplication using a plurality of almost entirely identical processor elements
US6963977B2 (en) * 2000-12-19 2005-11-08 International Business Machines Corporation Circuits and methods for modular exponentiation
US6963645B2 (en) 2000-12-19 2005-11-08 International Business Machines Corporation Method for implementing the chinese remainder theorem
US6804696B2 (en) 2000-12-19 2004-10-12 International Business Machines Corporation Pipelining operations in a system for performing modular multiplication
JP3950638B2 (ja) * 2001-03-05 2007-08-01 株式会社日立製作所 耐タンパーモジュラ演算処理方法
US7233970B2 (en) * 2001-05-02 2007-06-19 Cipher Corporation Limited Computational method, system, and apparatus
US7218734B2 (en) * 2001-05-02 2007-05-15 Nciper Corporation Limited Ring arithmetic method, system, and apparatus
US6910095B2 (en) * 2001-10-01 2005-06-21 Britestream Networks, Inc. Memory request handling method for small discontiguous accesses to high-density memory devices
US7913261B2 (en) * 2001-05-02 2011-03-22 nCipher Corporation, Ltd. Application-specific information-processing method, system, and apparatus
US6738874B2 (en) 2001-05-02 2004-05-18 Layer N Networks, Inc. Controller architecture and strategy for small discontiguous accesses to high-density memory devices
US7233663B2 (en) * 2001-10-29 2007-06-19 Safenet, Inc. Key generation performance improvement
US8024392B2 (en) * 2002-02-16 2011-09-20 Ncipher Corporation Limited Computational method, system, and apparatus
US7043515B2 (en) * 2002-12-10 2006-05-09 Isic Corporation Methods and apparatus for modular reduction circuits
US20040120516A1 (en) * 2002-12-23 2004-06-24 International Business Machines Corporation Modular reduction method which recognizes special conditions
JP2004226674A (ja) * 2003-01-23 2004-08-12 Renesas Technology Corp 情報処理方法
JP4616169B2 (ja) 2003-07-31 2011-01-19 富士通株式会社 モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム
FR2862454A1 (fr) * 2003-11-18 2005-05-20 Atmel Corp Methode de reduction modulaire aleatoire et equipement associe
FR2885711B1 (fr) * 2005-05-12 2007-07-06 Atmel Corp Procede et materiel modulaire et aleatoire pour la reduction polynomiale
US7873830B2 (en) * 2006-01-13 2011-01-18 International Business Machines Corporation Methods for coordinating access to memory from at least two cryptography secure processing units
CN100435091C (zh) * 2006-03-01 2008-11-19 成都卫士通信息产业股份有限公司 大数模幂系统的硬件高基实现方法
US7870395B2 (en) * 2006-10-20 2011-01-11 International Business Machines Corporation Load balancing for a system of cryptographic processors
US8532288B2 (en) 2006-12-01 2013-09-10 International Business Machines Corporation Selectively isolating processor elements into subsets of processor elements
US7890559B2 (en) * 2006-12-22 2011-02-15 International Business Machines Corporation Forward shifting of processor element processing for load balancing
CA2741698C (en) * 2008-10-30 2016-06-07 Certicom Corp. Method and apparatus for modulus reduction
CN106681690B (zh) * 2015-11-07 2019-02-26 上海复旦微电子集团股份有限公司 基于蒙哥马利模乘的数据处理方法、模乘运算方法及装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5144574A (en) * 1989-01-30 1992-09-01 Nippon Telegraph And Telephone Corporation Modular multiplication method and the system for processing data
FR2679054A1 (fr) 1991-07-10 1993-01-15 Fortress U T 2000 Ltd Procede et appareil d'exponentiation sur gf(2n).
US5513133A (en) * 1992-11-30 1996-04-30 Fortress U&T Ltd. Compact microelectronic device for performing modular multiplication and exponentiation over large numbers
KR950015177B1 (ko) * 1993-12-06 1995-12-23 한국전기통신공사 사전 계산 테이블을 이용한 모듈로 리덕션 방법

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2740330A1 (fr) * 1995-10-27 1997-04-30 Oreal Composition comprenant un systeme polymerique et utilisation dudit systeme
FR2740336A1 (fr) * 1995-10-27 1997-04-30 Oreal Composition comprenant un melange polymerique et utilisation dudit melange dans une composition notamment cosmetique
EP0775483A1 (fr) * 1995-10-27 1997-05-28 L'oreal Composition comprenant un système polymèrique et utilisation dudit système
US8055696B2 (en) 2007-10-11 2011-11-08 Samsung Electronics Co., Ltd. Modular multiplication method, modular multiplier and cryptosystem having the same

Also Published As

Publication number Publication date
DE69506675T2 (de) 1999-07-22
EP0712072A1 (fr) 1996-05-15
DE69506675D1 (de) 1999-01-28
FR2726668B1 (fr) 1997-01-10
EP0712072B1 (fr) 1998-12-16
JP2722411B2 (ja) 1998-03-04
FR2726668A1 (fr) 1996-05-10
US5764554A (en) 1998-06-09

Similar Documents

Publication Publication Date Title
JPH08263315A (ja) モンゴメリ法によるモジュラリダクションの実施方法
JP2722413B2 (ja) モンゴメリ法によるモジュラ乗算の実施方法
US10817262B2 (en) Reduced and pipelined hardware architecture for Montgomery Modular Multiplication
EP0801345B1 (en) Circuit for modulo multiplication and exponentiation arithmetic
JP4870932B2 (ja) 多重精度を支援する拡張型モンゴメリモジュラ掛け算器
Walter Systolic modular multiplication
US6397241B1 (en) Multiplier cell and method of computing
CN1503937B (zh) 扩展精度累加器
US6795553B1 (en) Method and apparatus for modular inversion for information security and recording medium with a program for implementing the method
EP1014274A1 (en) Neuroprocessor, device for calculating saturation functions, calculation device and adder
WO1998048345A1 (en) Arithmetic processor
US5261001A (en) Microcircuit for the implementation of RSA algorithm and ordinary and modular arithmetic, in particular exponentiation, with large operands
US6917956B2 (en) Apparatus and method for efficient modular exponentiation
JP2722412B2 (ja) モンゴメリ法によるモジュラ操作の実行に伴うエラー訂正パラメータの算出方法
Gutub et al. Efficient scalable VLSI architecture for Montgomery inversion in GF (p)
US6341299B1 (en) Modular arithmetic coprocessor enabling the performance of non-modular operations at high speed
JP2004258141A (ja) モンゴメリ乗算剰余の多倍長演算のための演算装置
GB2352309A (en) A system for performing modular multiplication
US6424987B1 (en) Method for the implementation of a specific modular multiplication operation relating to the montgomery method
US6163790A (en) Modular arithmetic coprocessor comprising an integer division circuit
US5777916A (en) Method for the production of an error correction parameter associated with the implementation of modular operations according to the montgomery method
WO2000038047A1 (en) Circuit and method of cryptographic multiplication
US5912904A (en) Method for the production of an error correction parameter associated with the implementation of modular operations according to the Montgomery method
US7590235B2 (en) Reduction calculations in elliptic curve cryptography
KR100481586B1 (ko) 모듈러 곱셈 장치

Legal Events

Date Code Title Description
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 19971028

LAPS Cancellation because of no payment of annual fees