JPH08263316A - モンゴメリ法によるモジュラ乗算の実施方法 - Google Patents

モンゴメリ法によるモジュラ乗算の実施方法

Info

Publication number
JPH08263316A
JPH08263316A JP7314754A JP31475495A JPH08263316A JP H08263316 A JPH08263316 A JP H08263316A JP 7314754 A JP7314754 A JP 7314754A JP 31475495 A JP31475495 A JP 31475495A JP H08263316 A JPH08263316 A JP H08263316A
Authority
JP
Japan
Prior art keywords
register
bit
words
input
mod
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
JP7314754A
Other languages
English (en)
Other versions
JP2722413B2 (ja
Inventor
Guy Monier
モニエール ギィ
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
SGS THOMSON MICROELECTRONICS
STMicroelectronics SA
Original Assignee
SGS THOMSON MICROELECTRONICS
SGS Thomson Microelectronics SA
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by SGS THOMSON MICROELECTRONICS, SGS Thomson Microelectronics SA filed Critical SGS THOMSON MICROELECTRONICS
Publication of JPH08263316A publication Critical patent/JPH08263316A/ja
Application granted granted Critical
Publication of JP2722413B2 publication Critical patent/JP2722413B2/ja
Anticipated expiration legal-status Critical
Expired - Fee Related legal-status Critical Current

Links

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/728—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic using Montgomery reduction

Landscapes

  • Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computational Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • General Engineering & Computer Science (AREA)
  • Error Detection And Correction (AREA)
  • Complex Calculations (AREA)
  • Detection And Correction Of Errors (AREA)

Abstract

(57)【要約】 【課題】 モンゴメリ法によるモジュラ乗算の実施方法 【解決手段】 本方法では、被乗数Ａと乗数Ｂがそれぞ
れｋビットよりなるａ個とｂ個のワードにエンコードさ
れており、ＡおよびＢの最上位ワードがゼロでなく、モ
ジュロＮがｋビットずつのｍ個のワードにエンコードさ
れており、このモジュロの最上位の（ｍ−ｍ’）個のワ
ードがｋ個のゼロビットを有し、０＜ｍ’≦ｍである。
本発明の方法は、少なくともｍ’個のｋビットワードに
エンコードされたデータ要素を受けるための直列入力
と、エンコードされたｋビットワードを受けるための並
列入力と、直列出力とを有する乗算回路で行なわれる乗
算ステップを含み、上記乗算の実行中に、所定のｐ個の
ワードが連続的に上記乗算回路の並列入力に入力され、
ｐがｍと無関係であり且つａと同じかそれよりも大きい
数である。

Description

【発明の詳細な説明】
【０００１】
【発明の属する技術分野】本発明はモンゴメリ法に従っ
てモジュラリダクションを行うための方法に関するもの
である。この方法は、ＧＦ（２n ）で表される有限領域
（ガロア体）において除法を行わずにモジュラ計算を行
うことを可能にするものである。
【０００２】
【従来の技術】従来、ＧＦ（２n ）でのモジュラ操作
は、メッセージの認証、ユーザの確認およびキーの交換
といった用途における暗号法に使用される。そのような
用途の例は、例えばフランス国特許出願（公開番号2 67
9 054 号）に記載されている。そのような用途のために
開発された集積回路が市販されている。例としてSGS-TH
OMSON MICROELECTRONICS S.A. 製のＳＴ16ＣＦ54という
製品を挙げることができる。この製品は中央演算処理ユ
ニットと演算コプロセッサとを備え、モジュラ計算の実
行を目的としている。使用するコプロセッサは、モンゴ
メリ法を用いることによってモジュラ乗算の処理を可能
にするものである。これは欧州特許出願（公開番号第0
601 907 A2号）の対象となっており、図１（この図は上
記欧州特許出願の図２に相当する）に具体的に示されて
いる。
【０００３】Ｐfield 操作と呼ばれる基本的な操作は、
自然数ｎ個のビットにエンコードされた３つの２進デー
タ要素Ａ（被乗数）、Ｂ（乗数、これはＮよりも小さ
い）およびＮ（モジュロ）を基に、ｎビットにエンコー
ドされたＰ（Ａ, Ｂ）N で表される２進データ要素を、
Ｐ（Ａ，Ｂ）N ＝Ａ＊Ｂ＊Ｉmod Ｎ（Ｉ＝２-n mod
Ｎ）となるように算出するというものである。そのため
に、データ要素はｋビットずつのｍ個のワードにエンコ
ードされており（ここで、ｍ＊ｋ＝ｎ）、ＡとＢのワー
ドが、直列入力と並列入力と直列出力とを有する乗算回
路に入力されるものと仮定する。
【０００４】上記の欧州特許出願に記載のコプロセッサ
では、ｋ＝32でｍ＝８または16となっている。この観点
から、図１に示した回路は以下のステップを含む方法を
実行するために使用される： １．パラメータＨ（Ｈ＝２2*n mod Ｎ）とｋビットにエ
ンコードされたパラメータＪ0 （Ｊ0 ＝−Ｎ0 -1 mod
２k で、Ｎ0 はモジュロＮの最下位ワードである）を計
算し、ｋビットのレジスタ17にＪ0 を記憶する。 ２．乗数ＢとモジュロＮを、それぞれｎビットのレジス
タ10および12にロードし（ｎ＝ｍ＊ｋ）、ｎビットのレ
ジスタ11をゼロに初期化する（このレジスタの内容はＳ
で表され、Ｓはｎビットにエンコードされた可変の２進
データ要素とする）。 ３．ｉと表示されるループを設定する（ｉは１〜ｍで変
化し、ｉ番目の反復は各々以下ａ）〜ｂ）のステップを
含む：
【０００５】ａ）被乗数Ａのｉ番目のワードＡi-1 をレ
ジスタ16から記憶フリップフロップ回路21に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｂ＊Ａi-1 の値を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
入力に向かって右にシフトさせ、同時にレジスタ10の出
力をその入力に帰還させる、 II−ＢのビットにＡi-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
はこの更新された値を（ｉ−１）番目の反復後にレジス
タ11に記憶される値として決定し、もし更新された値が
Ｎよりも大きいならば、第１のシリアル減算回路28にお
いてこの更新された値からＮをシリアルに減算し、それ
より得られる値を更新された値Ｓ（ｉ−１）とし、更に Ｖ−レジスタ11の内容を右にシフトさせて、第１の直列
加算回路30で更新された値Ｓ（ｉ−１）に乗算Ｂ＊Ａ
i-1 の値を１ビットずつ加える加算を行う
【０００６】ｃ）第２の直並列乗算回路20でＸ（ｉ）の
最下位ワード、Ｘ0 （ｉ）にＪ0 を乗じ、Ｘ0 （ｉ）＊
Ｊ0 mod ２k ＝Ｙ0 （ｉ）の値をレジスタ18に入力し、
同時に、遅延回路32および34でＮおよびＸ（ｉ）をｋサ
イクル分だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
0 （ｉ）＊Ｎの値を計算する： Ｉ−第２の乗算回路20で、Ｙ0 （ｉ）に、ｋサイクル分
遅延されたＮを乗じ、更に II−第２の直列加算回路31で、Ｘ（ｉ）をＹ0 （ｉ）＊
Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２k をＮとを１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｉ）を決定する
（この比較は、第２の直列減算回路29でＺ（ｉ）／２k
とＮとを１ビットずつ減算することによって行われ、Ｎ
は更にｋサイクル分だけ遅延されている）、
【０００７】ｇ）上記操作中の任意の時点で被乗数Ａの
ｉ番目のワードがレジスタ16にロードされる。 ４．ｍ回目の反復で、Ｚ（ｍ）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ）／２k をレジスタ10
に入力する。 ５．Ｂの代わりにＺ（ｍ）／２k を用い、Ａの代わりに
Ｈを用いてステップ３と４を繰り返し、Ｚ（ｍ）／２k
または（Ｚ（ｍ）／２k ）−Ｎが第３の直列減算回路27
を介して乗算回路19に入力される（Ｚ（ｍ）／２k ≧Ｎ
ならば）。 ６．最後の反復でレジスタ10に記憶された結果を、必要
に応じてＮから減算された状態で出力する。
【０００８】総じて、図１の回路の動作を同期させるク
ロック信号の周期をサイクルと呼ぶならば、モジュラ乗
算を処理するのに必要な時間は主に以下のように分ける
ことができる： −Ｈを計算するためのｎ＊（ｎ＋１）サイクル、 −ステップ２のためのｎサイクル、 −１つにはステップ３および４を合わせたステップ、も
う１つにはステップ５のためのｍ＊（ｎ＋２＊ｋ＋ｘ）
サイクル（ｘは整数）、 −ステップ６のためのｎサイクル。 実際、ｘは回路の初期化の関数であって、つまり、回路
の一貫した動作を確実とするための（例えはマルチプレ
クサの）制御信号の設定の関数である。実際、ｘ＝７で
あると考えることができる。
【０００９】第１のステップに関して、パラメータＪ0
の計算は中央処理ユニットによって行なわれる（ソフト
ウェア法）。Ｈはレジスタ16のサイズとこのレジスタが
ループで使用される回数の関数であることが示される。
Ｈ＝２2*n mod Ｎであり、このパラメータはエラー訂正
パラメータである。つまり、ステップ４はＡ＊Ｂ＊Ｉ
（Ｉ＝２-n mod Ｎ）という形の結果を算出する。Ｈ＊
Ｉ2 ＝１ mod Ｎである。このことにより、上記のモジ
ュラ乗算法のステップ７において、正確な結果、つまり
モジュラ乗算Ａ＊Ｂ modＮの結果に等しい結果が得られ
るようになる。更にＨの計算は、図２を参照しながら以
下に説明する方法においてはコプロセッサによって行わ
れる。図２は上記の欧州特許出願の図９に相当する。
【００１０】Ｈを計算するには、以下のような操作が行
われる（上記欧州特許第20頁47行〜25頁52行を参照）： １．レジスタ12にＮをロードしてレジスタ10をＢ（０）
＝０に初期化し、 ２．同時に： −Ｂ（０）とＮを右にシフトさせて直列減算器27で１ビ
ットずつ減算し、その結果Ｒ（０）＝Ｂ（０）−Ｎ mod
２n を１ユニット左にシフトさせ（このシフトは減算
器で０である第１のビットを取り出すことによって行
う）、 −Ｂ（１）＝２＊Ｒ（０）をレジスタ10にロードし、 −２＊Ｒ（０）とＮを１ビットずつ減算して２＊Ｒ
（０）≧Ｎまたは２＊Ｒ（０）＜Ｎのいずれであるかを
決定し（この減算は第２の減算器40で行われ、同時に回
路44では減算の結果がテストされる）、 ３．インデックスｉのループを設定する（ここでｉは１
〜ｎであり、１回の反復はそれぞれ以下の操作を含
む）： −Ｂ（ｉ）＜Ｎならば、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）
−０）をレジスタ10にロードし、 −そうでない場合にはＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−
Ｎ）をレジスタ10にロードする。Ｂ（ｎ＋１）＝Ｈ＝２
2*n mod Ｎである。
【００１１】
【発明が解決しようとする課題】本発明者は図１に示す
コプロセッサによるモジュラ乗算において、１つにはモ
ジュラ乗算が行なわれるのにかかる時間を短縮するた
め、もう１つには回路の計算能力を拡張するために、そ
の実施方法の改良を試みた。
【００１２】
【課題を解決するための手段】従って本発明は、モンゴ
メリ法に従ってモジュラ乗算を実行するための方法を提
案するものであり、該方法では、被乗数Ａと乗数Ｂがそ
れぞれｋビットよりなるａ個とｂ個のワードにエンコー
ドされており、ＡおよびＢの最上位ワードがゼロでな
く、モジュロＮがｋビットずつのｍ個のワードにエンコ
ードされており、このモジュロの最も上位にある（ｍ−
ｍ’）個のｋビットワードがゼロであり、（０＜ｍ’≦
ｍ）、少なくともｍ’個のｋビットワードにエンコード
されたデータ要素を受けるための直列入力と、エンコー
ドされたｋビットワードを受けるための並列入力と、直
列出力とを有する乗算回路で行なわれる乗算ステップを
含み、上記乗算の実行中に、所定の個数ｐ個のワードが
連続的に上記乗算回路の並列入力に入力される（ｐはｍ
と無関係にａと同じかそれよりも大きい数である）こと
を特徴とする。
【００１３】既存の回路はデータ要素（被乗数、乗数お
よびモジュロ）のコード化に決まった方法を用いる。つ
まりこれらデータ要素の値と無関係のものを使用する。
実際、問題となるデータ要素はｍ＊ｋビットという決ま
ったサイズにエンコードされたデータ要素である。その
ため、オペランドの最上位のｋビットワードがゼロであ
る場合、特に被乗数に関して、不必要な操作が実行され
ることになる。本発明は、操作の数を減らす、より特定
するならばレジスタ16の使用回数を減らすことを可能に
するものである。本発明は更に、被乗数のサイズ（ビッ
ト数）に係わらずモジュラ乗算の実行を可能にするもの
である。
【００１４】
【発明の実施の形態】有利な点として、本発明は下記の
ような方法を提案する： −Ｈ＝２(a+b)*k mod Ｎを算出し、 −Ｈのｍ個のワードとＡのａ個のワードをそれぞれ乗算
回路の直列入力および並列入力に入力することにより、
ｍワードにエンコードされた中間データ要素を算出し、
更に −中間データ要素のｍ個のワードとＢのｂ個のワードを
それぞれ乗算回路の直列入力および並列入力に入力する
ことにより、Ａ＊Ｂ mod Ｎを算出する。従って、任意
のサイズのオペランド（つまり被乗数および乗数）につ
いて操作を実行することが可能である。特に、これらの
オペランドはいずれもｍより大きい数またはモジュロよ
り大きい数のワードにエンコードされることができる。
【００１５】本発明は更に、ＢをＮに等しいまたはＮよ
りも小さい値として、以下のことを提案するものであ
る： −Ｈ＝２(a+m')*k mod Ｎを算出し、 −ｋビットのワードｍ個にエンコードされたＢに対応す
るｍ個のワードとＡのａ個のワードをそれぞれ乗算回路
の直列入力と並列入力に入力して、ｋビットのワードｍ
個にエンコードされた中間データ要素を算出し、更に、 −中間データ要素のｍ個のワードとＨのワードのうち最
も下位のｍ’個のワードをそれぞれ乗算回路の直列入力
と並列入力に入力して、Ａ＊Ｂ mod Ｎを算出する。
【００１６】本発明は更に下記のような方法を提案する
ものである：つまり、（ａ＋ｂ）とｍ’を比較して、 −ａ＋ｂ＜ｍ’であれば、ｍ個のワードにエンコードさ
れたＢ＊２a*k に対応するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路の直列入力と並列入力に入力し
てＡ＊Ｂ mod Ｎを算出し、 −ａ＋Ｂ＝ｍ’であればＢ＊２a*k とＮを比較して、 −Ｂ＊２a*k ＜Ｎならば、ｍ個のワードにエンコードさ
れたＢ＊２a*k に対応するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路の直列入力と並列入力に入力し
てＡ＊Ｂ mod Ｎを算出し、 −そうでない場合、ｍ個のワードにエンコードされたＢ
＊２a*k mod Ｎに対応するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路の直列入力と並列入力に入力し
てＡ＊Ｂ mod Ｎを算出する。 場合によってはエラー訂正パラメータＨを全く計算する
ことなくモジュラ乗算を実行することが可能である。以
下、添付図を参照して本発明の実施例を説明することに
より、本発明がより明確に理解され、その他の特徴およ
び利点が明らかとなろう。以下の実施例は例示のための
ものであり、本発明の範囲を限定するものではない。
【００１７】
【実施例】図１はモジュラ操作の処理を行なうための回
路１を示す。この回路は以下のものを備えている： −直列入力および直列出力を備えた３つのシフトレジス
タ10、11および12 これらのレジスタはそれぞれ同一ｎ個のセルを有し、ｎ
＝ｍ＊ｋである。これらのレジスタは、例えばｎ／２個
のセルを有するレジスタに分割可能なものであってよ
く、レジスタ10および12についてはｋビットのレジスタ
に分割可能なものであってもよい。 −マルチプレクサ13、14および15 これらのマルチプレクサはそれぞれレジスタ10、11およ
び12の前に置かれている。マルチプレクサは、レジスタ
が更に細分化されているならば、細分化された個々のレ
ジスタの前にも配置される。
【００１８】−それぞれｋ個のセルを有する３つのレジ
スタ16、17および18 レジスタ16、17および18は並列出力で直列入力のレジス
タである。 −２つの乗算回路19および20 これらの乗算回路はそれぞれ１つの直列入力、１つの並
列入力および１つの直列出力を有する。乗算回路19の並
列入力は、ｋ個のセルを有する記憶フリップフロップ回
路21を介してレジスタ16の出力に接続されている。乗算
回路20の並列入力は、ｋ個のセルを有する記憶フリップ
フロップ回路22を介してレジスタ17または18の出力のう
ちの一方に接続されている。このフリップフロップ回路
22はそれ自体、２つの並列入力と１つの並列出力とを備
えたマルチプレクサを介してレジスタ17と18の出力のう
ちの一方に接続されている。 −マルチプレクサ24、25、25’、26、36および38 −デマルチプレクサ39 −直列減算回路27、28および29 −直列加算回路30および31 −２進データ要素の伝播をｋサイクル分だけ遅延させる
ための遅延回路32、33および34、 −比較結果を記憶するための記憶回路35。
【００１９】更に詳細については、上記の欧州特許出願
（ＥＰ−0 601 907 A2）、特に該特許の図３とそれに関
する記載（第15頁第54行から第16頁第13行まで、および
第17頁第50行から第18頁第55行まで）を参照されたい。
図１の回路によって本発明の実施が可能となる。。以下
の説明においては下記のように仮定する： −被乗数Ａ（２進データ要素）および乗数Ｂ（２進デー
タ要素）はそれぞれｋビットよりなるワードａ個とｂ個
にエンコードされており、ＡおよびＢの最上位ワードは
ゼロでなく、 −モジュロＮ（２進データ要素）はｋビットのワードｍ
個にエンコードされており、モジュロのワードのうち最
も上位の（ｍ−ｍ’）個のｋビットワードはゼロである
（０＜ｍ’≦ｍ）。
【００２０】データ要素の「有効なサイズ」という言葉
は、データ要素を表すために必要かつ十分な最も小さい
ｋビットワードの数、つまり最上位ワードが少なくとも
１つの１であるビットを有するような最少のワード数を
意味するものと理解される。つまり、Ａ、ＢおよびＮの
有効サイズはそれぞれａ、ｂおよびｍ’となる。「有効
なビットの数」という言葉はデータ要素を表すために必
要かつ十分な最少のビット数、つまり最上位ビットが１
であるような最少のビット数を意味するものと理解され
る。
【００２１】図２は以下のものを備えた回路を示す： −２つのシフトレジスタ10および12、減算回路27、マル
チプレクサ36 −２つの入力を有する２つのマルチプレクサ41および42 これらのマルチプレクサの出力はそれぞれレジスタ10お
よび12の入力に接続されている −直列減算回路40 −２つの入力を有するＮＡＮＤゲート43 −比較結果を記憶するための記憶回路44。
【００２２】減算回路27および40は、２つの直列入力と
１つの直列出力とを有する。減算回路27は、第１の入力
をレジスタ10の出力に接続されている。この減算回路27
の出力は減算回路40の第１の入力に接続されている。減
算回路40は、その第２の入力をレジスタ12の出力に接続
されて、その出力をゲート43のインバータ入力に接続さ
れている。ゲート43のもう１つの入力（インバータでな
い入力）は、減算回路27の出力に接続されており、その
入力は回路44の入力に接続されている。この回路44は、
リセット信号ＲＥＳを受けるためのもう１つの入力を有
する。マルチプレクサ36は２つの入力と１つの出力を有
し、その出力は減算回路27の入力に接続されている。そ
の入力はそれぞれ、レジスタ12の出力とグランド（論理
０に相当する電位）に接続されている。マルチプレクサ
36は、回路44から送られてくる選択信号ＳＣの状態に応
じて、選択的にその出力をその第１の入力または第２の
入力に接続する（例えばＳＣ＝０ならば第１の入力、Ｓ
Ｃ＝１ならば第２の入力に接続する）。
【００２３】マルチプレクサ41はその入力を、減算回路
27の出力とグランドとにそれぞれ接続されている。マル
チプレクサ42はその入力を、レジスタ12の出力と、２進
データ要素（実際にはモジュロＮ）を直列で受けるため
の入力端子とにそれぞれ接続されている。図２の回路は
２進データ要素であるエラー訂正パラメータＨを算出す
るために使用される。Ａ＊Ｂ mod Ｎで表される２進デ
ータ要素を算出することが望まれている。
【００２４】幾つかの方法が考えられる。 −ａ＋ｂ＞ｍ’ならば：この方法は以下のステップＰ１
〜Ｐ６を含む： Ｐ１．有効サイズがｍ’またはそれより小さいエラー訂
正パラメータＨ＝２(a+b)*k mod Ｎおよびｋビットにエ
ンコードされたパラメータＪ0 を算出し（ここで、Ｊ0
＝−Ｎ0 -1 mod ２k であり、Ｎ0 はモジュロＮの最下
位ビットである）、更にＪ0 をｋビットのレジスタ17に
記憶する。 Ｐ２．パラメータＨをレジスタ10にロードしてモジュロ
Ｎをレジスタ12にロードし、ｎ＝ｍ＊ｋビットのレジス
タ11をゼロに初期化する（レジスタ11の内容はＳと表さ
れ、Ｓはｎビットにエンコードされた可変の２進データ
要素である）。 Ｐ３．ｉと示されるループを設定する（ｉは１からａま
で変化し、それぞれｉ番目の反復が下記ａ）〜ｇ）の操
作を含む）： ａ）被乗数Ａのｉ番目のワードＡi-1 をレジスタ16から
記憶フリップフロップ回路21に転送し、
【００２５】ｂ）Ｓ（０）＝０（０であるｎ個のビッ
ト）、Ｓ（ｉ−１）を下記に定義のようないわゆるＳの
更新された値として、下記Ｉ〜ＶによってＸ（ｉ）＝Ｓ
（ｉ−１）＋Ｈ＊Ａi-1 の値を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
入力に向かって右にシフトさせ、同時にレジスタ10の出
力をその入力に帰還させる、 II−ＨのビットにＡi-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させる、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
はこの更新された値をｉ−１番目の反復後にレジスタ11
に記憶される値として決定し、もし更新された値がＮよ
りも大きいならば、減算回路28においてこの更新された
値からＮをシリアルに減算し、それより得られる値が更
新された値Ｓ（ｉ−１）となり、更に Ｖ−レジスタ11の内容を右にシフトさせて、加算回路30
で更新された値Ｓ（ｉ−１）に乗算Ｈ＊Ａi-1 の値を１
ビットずつ加える加算を行う
【００２６】ｃ）乗算回路20でＸ（ｉ）の最下位ワー
ド、Ｘ0 （ｉ）にＪ0 を乗じ、Ｘ0 （ｉ）＊Ｊ0 mod ２
k ＝Ｙ0 （ｉ）の値をレジスタ18に入力し、同時に遅延
回路32および34でＮおよびＸ（ｉ）をｋサイクル分だけ
遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
0 （ｉ）＊Ｎの値を計算する： Ｉ−乗算回路20で、Ｙ0 （ｉ）に、ｋサイクル分遅延さ
れたＮを乗じ、更に II−加算回路31で、Ｘ（ｉ）をＹ0 （ｉ）＊Ｎの値に１
ビットずつ加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２k をＮと１ビットずつ比較して、上記
の方法で次の反復の更新された値Ｓ（ｉ）を決定する
（この比較は、減算回路29でＺ（ｉ）／２k とＮとを１
ビットずつ減算することによって行われ、Ｎは遅延回路
33で更にｋサイクル分だけ遅延されている）、
【００２７】ｇ）上記操作中の任意の時点で被乗数Ａの
ｉ番目のワードがレジスタ16にロードされる。 Ｐ４− ａ番目の反復で、Ｚ（ａ）の最下位ワードを無
視し、残りのワード、つまりＺ（ａ）／２k ＝Ａ＊２
b*k mod Ｎをレジスタ10に入力する。 Ｐ５− ステップＰ３およびＰ４を繰り返す。その際： −Ａの代わりにＢを使用し、Ｚ（ｍ）／２k または（Ｚ
（ｍ）／２k ）−Ｎは第３の直列減算回路27を介して乗
算回路19に入力され、 −ｉは１からｂまで変化する。 Ｐ６−最後の反復でレジスタ10に記憶された結果を、必
要な場合には減算回路27を用いてＮから減算された状態
で出力する。
【００２８】上記の方法では、レジスタ16はｐ回使用さ
れる（ｐ＝ａ＋ｂ）。ａ＋ｂ＞２＊ｍでｂ＞ｍ’とする
ことも可能であることに注意されたい。これは従来の計
算方式では不可能であった。所望の結果を得るのに必要
な計算回数は、従来技術の２＊ｍ＊（ｎ＋２＊ｋ＋ｘ）
サイクルに対して（ａ＋ｂ）＊（ｎ＋２＊ｋ＋ｘ）サイ
クルである。「サイクル」という言葉は図１の回路の動
作を同期化するクロック信号の周期を意味するものと理
解される。実際、ｘは回路の初期化の関数であって、つ
まり、回路の一貫した動作を確実とするための（例えは
マルチプレクサの）制御信号の設定の関数である。
【００２９】エラー訂正パラメータＨの算出に関して
は、その方法は図２を参照して説明する下記ステップＨ
１〜Ｈ７を含む： Ｈ１− モジュロＮをレジスタ12にロードして、レジス
タ10を初期化し（第２のレジスタの内容はＢ（０）（０
であるｎ＝ｍ＊ｋ個のビット）と表される）、更にレジ
スタ44を初期化する（つまりＳＣ＝０となるように信号
ＲＥＳを発生させる）、 Ｈ２− ｌビットを右にシフトさせることによってレジ
スタ12からＮを出力し、同時にその出力をその入力に帰
還させ（ｌはモジュロＮの有効ビットである）、レジス
タ12内の最上位ビットが１となるようにする、
【００３０】Ｈ３− 下記の操作によって、ｎビットに
エンコードされたデータ要素Ｂ（１）＝２＊（Ｂ（０）
−Ｎ’）を算出し記憶する（ここでＮ’＝Ｎ＊２
n-l で、Ｎ’はレジスタ12に記憶された２進データ要素
に相当する）： − レジスタ10および12の内容を右にシフトさせること
によって、Ｎ’とＢ（０）を出力する（レジスタ10の入
力は減算回路27の出力に接続されており、レジスタ12の
入力はその出力に接続されている）、 − 減算回路27で、Ｎ’とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ’と表される結果を１ユニットだけ左に
シフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ’を１ビットずつ減算
してＢ（１）≧Ｎ’であるかＢ（１）＜Ｎ’であるかを
決定し、Ｂ（１）≧Ｎ’ならば回路44によってＳＣ＝０
を発生させて、Ｂ（１）＜Ｎ’ならばＳＣ＝１を発生さ
せる、
【００３１】Ｈ４− インデックスｉで示されるループ
を設定することによって（ｉは１からｖまでの整数であ
り、それぞれｉ番目の反復は下記の操作を含む）、デー
タ要素Ｈint ＝２V mod Ｎ’を算出する（ｖ＝ｎ−ｌ＋
ｍ’＊ｋ＋（ａ＋ｂ−ｍ’）＊ｋ／２r で、ｒはｋ／２
r が整数となるような整数である）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
左にシフトさせた後にＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−
０）＝２＊Ｂ（ｉ）をレジスタ10にロードし、更にＢ
（ｉ＋１）とＮ’を１ビットずつ比較する、 − そうでない場合、Ｎ’およびＢ（ｉ）を１ビットず
つ減算し、同時に結果を１ユニットだけ左にシフトさせ
てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）をレジスタ10
にロードし、更にＢ（ｉ＋１）とＮ’を１ビットずつ比
較する、
【００３２】Ｈ５− Ｂ（ｖ＋１）≧Ｎ’ならば、減算
回路27でＢ（ｖ＋１）とＮ’を１ビットずつ減算して、
その結果２＊（Ｂ（ｖ＋１）−Ｎ’）が得られ、Ｂ（ｖ
＋１）−Ｎ’をレジスタ10にロードする（１ユニットの
左シフトが必要となる）、 Ｈ６− レジスタ10および12でｎ−ｌビットの右シフト
を行なう、 Ｈ７− ｒ回、以下のＰfield 操作を実行してパラメー
タＨを算出する： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
１））N （ここでｊは１からｒのインデックスであり、Ｈ
int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
１）−Ｎ’）＊２l-n である）。 Ｈint （０）＝２v'mod Ｎ （ここでｖ’＝ｍ’＊ｋ＋（ａ＋ｂ−ｍ’）＊ｋ／２r
である） 従ってＨ＝２(a+b)*k mod Ｎを得る。
【００３３】Ｐfield 操作を実行するには、下記ステッ
プ１〜６を含む方法を行なう：ｊ＝１とする、 １．ｋビットにエンコードされたパラメータＪ0 を算出
する（Ｊ0 ＝−Ｎ0 -1mod ２k で、Ｎ0 はモジュロＮの
最下位ワードである）を算出し、ｋビットのレジスタ17
にＪ0 を記憶する。 ２．ｎ＝ｍ＊ｋビットのレジスタ11をゼロに初期化する
（このレジスタの内容はＳで表され、Ｓはｎビットにエ
ンコードされた可変の２進データ要素とする）。 ３．ｉと表示されるループを設定する（ｉは１〜ｍ’で
変化し、ｉ番目の反復は各々以下ａ）〜ｃ）のステップ
を含む）：
【００３４】ａ）被乗数Ｈint （ｊ−１）の第ｉ番目の
ワードＨi-1 をレジスタ16から記憶フリップフロップ回
路21に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）をいわゆるＳの更新さ
れた値として、Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｈ＊Ｈi-1 を
算出する、 ｃ）乗算回路20でＸ（ｉ）の最下位ワード、Ｘ0 （ｉ）
にＪ0 を乗じて、Ｘ0（ｉ）＊Ｊ0 mod ２k ＝Ｙ
0 （ｉ）の値をレジスタ18に入力し、同時に遅延回路32
と34でＮとＸ（ｉ）をｋサイクルずつ遅延する、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
0 （ｉ）＊Ｎの値を計算する： Ｉ−乗算回路20で、Ｙ0 （ｉ）に、ｋサイクル分遅延さ
れたＮを乗じ、更にII−加算回路31で、Ｘ（ｉ）をＹ0
（ｉ）＊Ｎの値に１ビットずつ加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２k をＮと１ビットずつ比較して、上記
の方法で次の反復の更新された値Ｓ（ｉ）を決定する
（この比較は、第２の直列減算回路29でＺ（ｉ）／２k
とＮとを１ビットずつ減算することによって行われ、Ｎ
は遅延回路33で更にｋサイクル分だけ遅延されてい
る）、
【００３５】ｇ）上記操作中の任意の時点で被乗数Ｈ
int （ｊ−１）のｉ番目のワードがレジスタ16にロード
される。 ４− ｍ回目反復で、Ｚ（ｍ’）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ’）／２k をレジスタ
10に入力する。 ５− Ｈint （ｊ−１）の代わりにＨint （ｊ）を使用
してステップＰ３およびＰ４を（ｒ−１）回繰り返す。 ６−最後の反復でレジスタ10に記憶された結果を、必要
な場合には減算回路27を用いてＮから減算された状態で
出力する。 パラメータＪ0 の算出については、モジュラ操作の前に
行なうこともできる。実際、これは中央処理ユニットに
よって行なわれるものでコプロセッサとは独立である。
【００３６】本発明は、第１に周知の方法よりも少ない
回数の減算を実行し、第２にＰfield 操作を実行するこ
とによって、エラー訂正パラメータＨを計算することを
提案するものであることに注意されたい。このことによ
って、必要であれば、乗算方法のステップＰ１を実行す
るのに必要な時間を短縮することが可能となる。従来特
許の方法では、Ｈを計算するのに必要な時間はｎ＊（ｎ
＋１）サイクルであった。上記の方法によれば、必要な
時間は：ｎ＊（ｍ’＊ｋ−ｌ＋（ａ＋ｂ−ｍ’）＊ｋ／
２r ＋１）＋ｒ＊ｍ’＊（ｎ＋２＊ｋ＋ｘ）である。 −ａ＋ｂ＞ｍ’でｂ＜Ｎならば：ＢがＮよりも小さけれ
ば、上記の方法は下記の操作によって変更することがで
きる： −Ｈ＝２（ａ＋ｍ’）＊ｋ mod Ｎを算出し、 −ｋビットのワードｍ個にエンコードされたＢに対応す
るｍ個のワードとＡのａ個のワードをそれぞれ乗算回路
の直列入力と並列入力に入力して、ｎビットにエンコー
ドされた中間データ要素Ｃ＝Ｐ（Ａ，Ｂ）N ＝Ａ＊Ｂ＊
Ｉa mod Ｎ（ここでＩa ＝２-a*k mod ＮはＡに関連す
るエラーとする）を算出し、更に −中間データ要素のｍ個のワードとＨのワードのうち最
下位のｍ’個のワードをそれぞれ乗算回路の直列入力と
並列入力に入力して、Ｐ（Ｈ，Ｃ）N ＝Ｈ＊Ｃ＊Ｉh mo
d Ｎ（Ｉh ＝２-m'*k mod Ｎ）を算出する。
【００３７】従ってモジュラ乗算を実行するための方法
は下記のステップを含む： Ｐ１．エラー訂正パラメータＨとｋビットにエンコード
されたパラメータＪ0を算出し、Ｊ0 をレジスタ17に記
憶する。 Ｐ２．乗数ＢとモジュロＮをそれぞれレジスタ10と12に
ロードし、レジスタ11をゼロに初期化する（レジスタ11
の内容はＳと表される）、 Ｐ３．ｉと示されるループを設定する（ｉは１からａま
で変化し、それぞれｉ番目の反復が下記ａ）〜ｇ）の操
作を含む）： ａ）被乗数Ａのｉ番目のワードＡi-1 をレジスタ16から
記憶フリップフロップ回路21に転送し、
【００３８】ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に
定義のようないわゆるＳの更新された値として、下記Ｉ
〜ＶによってＸ（ｉ）＝Ｓ（ｉ−１）＋Ｂ＊Ａi-1 の値
を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
直列入力に向かって右にシフトさせ、同時にレジスタ10
の出力をその入力に帰還させる、 II−ＢのビットにＡi-1 を乗ずる、 III−レジスタ12の内容を右にシフトさせ、同時にこの
レジスタの出力をその入力に帰還させる、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
はこの更新された値をｉ−１番目の反復後にレジスタ11
に記憶される値として決定し、もし更新された値がＮよ
りも大きいならば、減算回路28においてこの更新された
値からＮをシリアルに減算し、それより得られる値が更
新された値Ｓ（ｉ−１）となり、更に Ｖ−レジスタ11の内容を右にシフトさせて、更新された
値Ｓ（ｉ−１）に乗算Ｂ＊Ａi-1 の値を１ビットずつ加
える加算を行う、
【００３９】ｃ）Ｘ（ｉ）の最下位ワード、Ｘ0 （ｉ）
にＪ0 を乗じ、Ｘ0 （ｉ）＊Ｊ0 mod ２k ＝Ｙ0 （ｉ）
の値をレジスタ18に入力し、同時にＮおよびＸ（ｉ）を
ｋサイクル分だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
0 （ｉ）＊Ｎの値を計算する： Ｉ−Ｙ0 （ｉ）に、ｋサイクル分遅延されたＮを乗じ、
更に II−Ｘ（ｉ）をＹ0 （ｉ）＊Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２k をＮと１ビットずつ比較して、上記
の方法で次の反復の更新された値Ｓ（ｉ）を決定する
【００４０】ｇ）上記操作中の任意の時点で被乗数Ａの
ｉ番目のワードがレジスタ16にロードされる。 Ｐ４− ａ回目の反復で、Ｚ（ａ）の最下位ワードを無
視し、残りのワードをレジスタ10に入力する。 Ｐ５− ステップＰ３およびＰ４を繰り返す。その際： −Ａの代わりにＨを使用し、Ｚ（ａ）／２k または（Ｚ
（ａ）／２k ）−Ｎを乗算回路19に入力し、 −ｉは１からｍ’まで変化する。 Ｐ６−最後の反復でレジスタ10に記憶された結果を、必
要な場合にはＮから減算された状態で出力する。Ａはｍ
よりも大きい数のワードにエンコードされることができ
る。
【００４１】Ｈを計算するには、以下の方法を用いる
（図２参照）： Ｈ１− モジュロＮをレジスタ12にロードして、レジス
タ10をゼロに初期化し（レジスタ10の内容はＢ（０）と
表される）、 Ｈ２− レジスタ12をｌビットだけ右にシフトさせて、
同時にその出力をその入力に帰還させる（ｌはモジュロ
の有効ビット数である）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算
出し記憶する（ここでＮ’＝Ｎ＊２n-l ）： − ２つのレジスタにおいて右シフトを行なってレジス
タの内容を１ビットずつ減算し、このＲ（０）と表され
る１ビットずつの減算の結果を１ユニットだけ左にシフ
トさせ、 −シフト後、Ｂ（１）と表される減算の結果をレジスタ
10にロードする Ｈ４− インデックスｉで示されるループを設定するこ
とによって（ｉは１からｖまでの整数であり、それぞれ
ｉ番目の反復は下記の操作を含む）、データ要素Ｈint
＝２V mod Ｎ’を算出する（ｖ＝ｎ−ｌ＋ｍ’＊ｋ＋ａ
＊ｋ／２r で、ｒはｋ／２r が整数となるような整数で
ある）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
左にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）をレ
ジスタ10にロードし、更にＢ（ｉ＋１）とＮ’を１ビッ
トずつ比較する、 − そうでない場合、Ｎ’およびＢ（ｉ）を１ビットず
つ減算し、同時に結果を１ユニットだけ左にシフトさせ
てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２のレジ
スタにロードし、更にＢ（ｉ＋１）とＮ’を１ビットず
つ比較する、
【００４２】Ｈ５− Ｂ（ｖ＋１）≧Ｎ’ならば、Ｂ
（ｖ＋１）とＮ’を１ビットずつ減算して、Ｂ（ｖ＋
１）−Ｎ’をレジスタ10にロードする、 Ｈ６− レジスタ10および12でｎ−ｌビットだけ右シフ
トを行なう。 Ｈ７− ｒ回、以下のＰfield 操作を実行してパラメー
タＨを算出する： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
１））N （ここでｊは１からｒのインデックスであり、Ｈ
int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
１）−Ｎ’）＊２l-n である） 別のＨの計算については、例えばｒ＝log2（ｋ）−１を
取ることができる。上記のＨ算出法と比べて、この場合
に適合した方法とするためにパラメータｖが変更されて
いることが理解されよう。
【００４３】−ａ＋ｂ≦ｍ’ならば：２通りの場合を選
び出すことができる： −ａ＋ｂ＜ｍ’ならば、ｍ個のワードにエンコードされ
たＢ＊２a*k に対応するｍ個のワードとＡのａ個のワー
ドをそれぞれ乗算回路19の直列入力と並列入力に入力し
てＡ＊Ｂ mod Ｎを算出する。 −ａ＋ｂ＝ｍ’ならば、Ｂ＊２a*k とＮを比較して、 −Ｂ＊２a*k ＜Ｎならば、ｍ個のワードにエンコードさ
れたＢ＊２a*k に対応するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路19の直列入力と並列入力に入力
してＡ＊Ｂ mod Ｎを算出し、 −そうでない場合、ｍ個のワードにエンコードされたＢ
＊２a*k mod Ｎに対応するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路19の直列入力と並列入力に入力
してＡ＊Ｂ mod Ｎを算出する。
【００４４】これらの条件では、エラー訂正パラメータ
Ｈを算出する必要はなく、結果を得るためにただ１つの
計算操作が使用される。エラー訂正はオペランドＢをＢ
＊２a*k mod Ｎで置き換えることでオペランドＢに転嫁
され、これは単にＢを左にシフトさせることに相当する
（Ｂ＊２a*k ≧Ｎならば場合によっては減算を含む）。
従ってＰ（Ａ，Ｂ＊２a*k ）N ＝Ａ＊Ｂ mod Ｎが算出
される。ここで、ｍと無関係な回数に渡って乗算回路の
並列入力を使用することがどれほど有効であるかが理解
されよう。従来の技術で使用される回路と比べて、当
然、図１に示した回路の動作に必要な制御信号を発生さ
せるシーケンサー回路を変更することが必要となる。従
って、レジスタ16の使用回数が可変であることから第１
にこのレジスタの使用を管理するためのプログラム可能
なカウンタを使用する必要がある。このプログラム可能
なカウンタは、第２に、モジュロの有効ビット数の関数
としてＨを算出する際にレジスタ内でのシフトを管理す
るために使用する必要がある。
【００４５】最も迅速な方法を選択することを可能にす
るａ、ｂおよびｍの比較を行なうために、一般には計算
コプロセッサと組み合わされた中央処理ユニットが使用
される。これらの操作は、場合によって、特にこの目的
のために開発された減算および加算回路で構成される回
路によって行なうことも可能である。従来技術における
回路では、レジスタ10、11および12が使用される。これ
らのレジスタは、32ビット×８ワードまたは16ワードの
レジスタとして構成されることができる。モジュラ操作
に関連する計算時間を更に短縮しようとするならば、32
ビット×１〜16ワードのレジスタとして構成されたレジ
スタを使用することが可能である。実際には、これは変
数ｍを例えばｍ＝ｍ’となるように選択することに相当
する。そのために、計算回路のレジスタ10、11および12
の位置に追加のマルチプレクサを付け加えればよい。こ
のことによって、確かに空間的な有効性は犠牲にするも
のの、取り扱う２進データ要素の有効サイズに適応させ
ることによってレジスタ10、11および12内でのシフトに
必要な時間を短縮することが可能となる。上記に考慮さ
れたようなレジスタ16の管理は、下記の計算の実行に応
用することができる。
【００４６】ＲＳＡ法 ＲＳＡ暗号化法は、Ｃ＝ＭD mod Ｎ型の計算の実行を必
要とする。ここでＭは暗号化または解読すべきメッセー
ジで、ＮはＮ＝Ｐ＊Ｑ（ＰおよびＱは素数）であるよう
なモジュロであり、ＤはＤ＊Ｅ＝１ mod （（Ｐ−１）
＊（Ｑ−１））である（Ｅは明らかな数）。この計算を
実行するための１つのアルゴリズムは以下のようなもの
である： Ａ＝（Ｍ mod Ｐ）D mod(p-1) mod Ｐ Ｂ＝（Ｍ mod Ｑ）D mod(Q-1) mod Ｑ Ｕ＝Ｑ-1 mod Ｐ IfＡ＜Ｂ mod Ｐ then Ｃ＝（（（Ａ＋Ｐ−（Ｂ mod Ｐ））＊Ｕ）mod Ｐ）＊
Ｑ＋Ｂ Else Ｃ＝（（（Ａ−（Ｂ mod Ｐ））＊Ｕ）mod Ｐ）＊Ｑ＋
Ｂ
【００４７】このアルゴリズムは特に： −２つのモジュラリダクション、 −２つのモジュラ累乗操作、 −１つのモジュラ乗算 を実行する。これらの計算をできるだけ迅速に実行する
ために本発明の方法を利用することができることは特に
有効である。本出願人は更に、例えば変調可能なレジス
タや、必要に応じて32、256 、（256 ＋ｎ）、384 、
（384 ＋ｎ）、512 、または（512 ＋ｎ）個のセル（こ
こで、ｎは整数とする）を備えたレジスタを選択するこ
とによって、使用するレジスタを変更することを提案す
るものである。例えばｎ＝32とする。傾向としては512
、768 および1024ビットにエンコードされたモジュロ
の値を選択するようになっている。上記に定義のような
変調可能なレジスタを選択することによって：モジュラ
操作という一般的な意味においては、処理すべきデータ
の有効サイズにより高い柔軟性をもって適応することに
より、レジスタ内でのシフトの数が最小限に抑えられ、
【００４８】ＲＳＡ暗号化の実行というより特定された
意味においては、ＰとＱについて異なるサイズを選択す
ることが可能となる。例えば512 ビットにエンコードさ
れたモジュロＮ＝Ｐ＊Ｑとすることが望まれる場合に
は、例えばＰを254 ビットに選択してＱを258 ビットに
選択することが可能である。Ｐに関する計算には256 セ
ルのレジスタが使用され、Ｑに関する計算には256 ＋ｎ
＝288 セルのレジスタが使用されよう。従来特許の回路
では、Ｑに関する計算に512 セルのレジスタを使用しな
ければならなず、これは計算に要する時間という点で致
命的であろう。
【００４９】本発明方法の偶数パリティモジュロへの適
用 使用したようなコプロセッサは、奇数パリティのモジュ
ロＮの値（最下位ビットが１）を選択することを必要と
する。これはＪ0 の計算のための必要条件である。本出
願人は、上記の方法を、偶数パリティモジュロでのモジ
ュラ乗算操作の実行に応用することを提案するものであ
る。明記されてはいないが、当然、Ｎのビットが全て０
でない場合のみ、モジュラ演算が有効であることは明ら
かである。Ｎが偶数パリティの値でゼロでないならば、
Ｎ＝Ｎ’＊２g （Ｎ’は奇数パリティの値で１＞ｇ＞
１）であるような２進データ要素Ｎ’を見出すことは常
に可能である。
【００５０】Ｎ’の有効サイズはＮの有効サイズよりも
小さいことから、Ｎ’はそれぞれｋビットのワードｍ’
個にエンコードされていると考えることができる。Ｎ’
の真の有効サイズｍ”（ワードで）を考えることも可能
である。モジュラ操作の継続時間を最大限最適化しよう
とするならば、最後に述べた選択肢が当然最も有用であ
る。操作は、モジュロがＮ’であると仮定し、Ａ＊Ｂ＊
２-g mod Ｎ’を算出して、この結果に２g を乗じる
（中央処理ユニット内でのソフトウェア法か、あるいは
レジスタ内でシフトさせることによって）ことによって
実行される。
【００５１】−ａ＋ｂ＞ｍ”ならば以下のような方法に
なる： −Ｈ＝２(a+b)*k-g mod Ｎ’を算出する、 −ｍ個のワードにエンコードされたＨに対応するｍ個の
ワードとＡのａ個のワードをそれぞれ乗算回路の直列入
力と並列入力に入力することによって、ｎビットにエン
コードされた中間データ要素Ｐ（Ａ，Ｈ）N'＝Ａ＊２
b*k-g mod Ｎ’が算出され、更に −中間データ要素のｍ個のワードとＢのｂ個のワードを
乗算回路の直列入力と並列入力に入力することによっ
て、Ａ＊Ｂ＊２-g mod Ｎ’を算出し、 −シフトすることによってＡ＊Ｂ mod Ｎを算出する。 最後のシフトは、レジスタを使用するか中央処理ユニッ
トを使用するかによって物理的または非物理的に行な
う。当然それに従ってＨの算出を変更しなければならな
い。
【００５２】以下の方法が有利に使用される： Ｈ１− モジュロＮ’（またはＮ）をレジスタ12にロー
ドして、レジスタ10を初期化し（第２のレジスタの内容
はＢ（０）（０であるｎ＝ｍ＊ｋ個のビット）と表され
る）、更にレジスタ44を初期化する（つまりＳＣ＝０と
なるように信号ＲＥＳを発生させる）、 Ｈ２− ｌ−ｂビット（またはｌビット）の右シフトを
行うことによってレジスタ12からＮ’を出力し、同時に
その出力をその入力に帰還させ（ｌはモジュロＮの有効
ビットである）、レジスタ12内の最上位ビットが１とな
るようにする、
【００５３】Ｈ３− 下記の操作によって、ｎビットに
エンコードされたデータ要素Ｂ（１）＝２＊（Ｂ（０）
−Ｎ”）を算出し記憶する（ここでＮ”＝Ｎ’＊２
n-l+gで、Ｎ”はレジスタ12に記憶された２進データ要
素に相当する）： − レジスタ10および12の内容を右にシフトさせること
によって、Ｎ”とＢ（０）を出力する（レジスタ10の入
力は減算回路27の出力に接続されており、レジスタ12の
入力はその出力に接続されている）、 − 減算回路27で、Ｎ”とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ”と表される結果を１ユニットだけ左に
シフトさせる、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）で表される減
算結果をレジスタ10にロードする、 − 減算回器40で、Ｂ（１）とＮ”を１ビットずつ減算
してＢ（１）≧Ｎ”であるかＢ（１）＜Ｎ”であるかを
決定し、Ｂ（１）≧Ｎ”ならば回路44によってＳＣ＝０
を発生させて、Ｂ（１）＜Ｎ”ならばＳＣ＝１を発生さ
せる、
【００５４】Ｈ４− インデックスｉで示されるループ
を設定することによって（ｉは１からｖまでの整数であ
り、それぞれｉ番目の反復は下記の操作を含む）、デー
タ要素Ｈint ＝２V mod Ｎ”を算出する（ｖ＝ｎ−ｌ＋
ｍ’＊ｋ＋（ａ＋ｂ−ｍ’）＊ｋ／２r で、ｒはｋ／２
r が整数となるような整数である）： − Ｂ（ｉ）＜Ｎ”ならば、Ｂ（ｉ）を１ユニットだけ
左にシフトさせた後にＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−
０）＝２＊Ｂ（ｉ）をレジスタ10にロードし、更にＢ
（ｉ＋１）とＮ”を１ビットずつ比較する、 − そうでない場合、Ｎ”およびＢ（ｉ）を１ビットず
つ減算し、同時に結果を１ユニットだけ左にシフトさせ
てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ”）をレジスタ10
にロードし、更にＢ（ｉ＋１）とＮ”を１ビットずつ比
較する、
【００５５】Ｈ５− Ｂ（ｖ＋１）≧Ｎ”ならば、減算
回路27でＢ（ｖ＋１）とＮ”を１ビットずつ減算して、
それによって２＊（Ｂ（ｖ＋１）−Ｎ”）が得られ、Ｂ
（ｖ＋１）−Ｎ”をレジスタ10にロードする（１ユニッ
トだけ右にシフトすることが必要となる）、 Ｈ６− レジスタ10および12でｎ−ｌビットの右シフト
を行なう。 Ｈ７− ｒ回、以下のＰfield 操作を実行する： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
１））N （ここでｊは１からｒのインデックスであり、Ｈ
int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
１）−Ｎ”）＊２l-n である） Ｈint （０）＝２v'mod Ｎ （ここでｖ’＝ｍ’＊ｋ＋（ａ＋ｂ−ｍ’）＊ｋ／２k
である） 従って２(a+b)*k mod Ｎ’を得る。 Ｈ８−以下の操作によってパラメータＨを算出する： −２u*k-g mod Ｎ’を算出し（ｕはｕ＊ｋ≧ｇ＞（ｕ−
１）＊ｋであるような整数）、 −Ｐfield 操作を行なってＨ＝Ｐ（２u*k-g mod Ｎ’，
２(a+b)*k mod Ｎ’）N'を得る
【００５６】−ａ＋ｂ＞ｍ”でＢ≦Ｎ’ならば：下記の
ような方法となる： −Ｈ＝２(a+m")*k-g mod Ｎ’を算出し、 −ｍ個のワードにエンコードされたＢに対応するｍ個の
ワードとＡのａ個のワードをそれぞれ乗算回路の直列入
力と並列入力に入力することによって、ｎビットにエン
コードされた中間データ要素Ｐ（Ａ，Ｂ）N'＝Ａ＊Ｂ＊
２-a mod Ｎ’が算出され、更に −中間データ要素のｍ個のワードとＮ’のワードのうち
最下位のｍ”個のワードを乗算回路の直列入力と並列入
力に入力することによって、Ａ＊Ｂ＊２-g modＮ’を算
出する。 −シフトすることによってＡ＊Ｂ mod Ｎを算出する。 Ｈ＝２(a+m')*k-g mod Ｎ’を計算することが可能であ
ろう。これは有効サイズＮ’でなく有効サイズＮを考慮
することに相当し、ｇがｍ”＜ｍ’であるならば賢明で
ない。
【００５７】Ｈの算出については、第１にａ＋ｂ＞ｍ”
でＮが偶数パリティの値である場合について、第２にａ
＋ｂ＞ｍ’でＢ≦ＮでありＮが偶数パリティの値である
場合に関して上記に説明したステップを参照されたい。
当業者には特別の問題なく応用が可能であろう。 −ａ＋ｂ≦ｍ’ならば：下記のような方法を行なう： −ａ＋ｂ＜ｍ”ならば、ｍ個のワードにエンコードされ
たＢ＊２a*k-g に相当するｍ個のワードとＡのａ個のワ
ードをそれぞれ乗算回路19の直列入力と並列入力に入力
することによって、Ａ＊Ｂ＊２-g mod Ｎ’を算出す
る。 −ａ＋ｂ＝ｍ”であれば、Ｂ＊２a*k-g とＮ’を比較し
て、 −Ｂ＊２a*k-g ＜Ｎ’ならば、ｍ個のワードにエンコー
ドされたＢ＊２a*k-gに対応するｍ個のワードとＡのａ
個のワードをそれぞれ乗算回路19の直列入力と並列入力
に入力してＡ＊Ｂ＊２-g mod Ｎ’を算出し、 −そうでない場合、ｍ個のワードにエンコードされたＢ
＊２a*k-g mod Ｎ’に対応するｍ個のワードとＡのａ個
のワードをそれぞれ乗算回路19の直列入力と並列入力に
入力してＡ＊Ｂ＊２-g mod Ｎ’を算出する。 −シフトすることによってＡ＊Ｂ mod Ｎを算出する。
【００５８】本発明は、それが図１および２に示す既存
の回路を変更することなく（方法に関して）実行可能で
あるという点で特に有利である。変更されるのはこれら
の回路が機能するのに必要な各種の制御信号を発生させ
るシーケンス操作のみである。特に、本発明ではモジュ
ロＮとオペランドの有効サイズを考慮する。本発明の方
法は、上述したように回路１の変更によって実施される
のが有利である。図２では、図２の回路のリソースが使
用されるものと仮定した。このことによって、コプロセ
ッサ全体のサイズが最大限抑えられる。当然、Ｈの計算
専用に構成された回路を使用することが可能である。本
発明によって行なわれる改良が、モジュラ平方の算出、
従ってモジュラ累乗の実行にも適用可能であることは理
解されよう。以上、好ましい実施例を参照しながら本発
明を説明したが、本発明の範囲を逸脱することなく各種
の変更が可能であることは理解されよう。
【図面の簡単な説明】
【図１】 モンゴメリ法によるモジュラ乗算の実行を可
能にする回路を示す概略図。
【図２】 本発明によるエラー訂正パラメータの計算に
おいて使用される回路を示す図。
【符号の説明】
１ 回路 10、11、12 シフトレジスタ 13、14、15、23、24、25、25’、26、36、38、41、42
マルチプレクサ 16、17、18 レジスタ 19、20 乗算回路 21、22 記憶フリップフロップ回路 27、28、29、40 直列減算回路 30、31 直列加算回路 32、33、34 遅延回路 35 記憶回路 39 デマルチプレクサ 43 ＮＡＮＤゲート 44 記憶回路
───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.6 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/10 8842−5Ｊ Ｈ０４Ｌ 9/00 ６２１Ｚ

Claims (15)

    【特許請求の範囲】
  1. 【請求項１】 モンゴメリ法に従ってモジュラ乗算を実
    行するための方法において、被乗数Ａと乗数Ｂがそれぞ
    れｋビットよりなるａ個とｂ個のワードにエンコードさ
    れており、ＡおよびＢの最上位ワードがゼロでなく、モ
    ジュロＮがｋビットずつのｍ個のワードにエンコードさ
    れており、このモジュロの最も上位にある（ｍ−ｍ’）
    個のワードがｋ個のゼロビットを有し（０＜ｍ’≦
    ｍ）、 少なくともｍ’個のｋビットワードにエンコードされた
    データ要素を受けるための直列入力と、エンコードされ
    たｋビットワードを受けるための並列入力と、直列出力
    とを有する乗算回路で行なわれる乗算ステップを含み、 上記乗算の実行中に、所定の個数ｐ個のワードが連続的
    に上記乗算回路の並列入力に入力される（ｐが、ｍと無
    関係であり、ａと同じかそれよりも大きい数である）こ
    とを特徴とする方法。
  2. 【請求項２】 ｍ個のｋビットワードにエンコードされ
    たエラー訂正パラメータＨ＝２(p*k) mod Ｎを算出する
    ステップを含むことを特徴とする請求項１に記載の方
    法。
  3. 【請求項３】 −Ｈ＝２(a+b)*k mod Ｎを算出し、 −Ｈのｍ個のワードとＡのａ個のワードをそれぞれ乗算
    回路の直列入力および並列入力に入力することにより、
    ｋビットよりなるワードｍ個にエンコードされた中間デ
    ータ要素Ｐ（Ａ，Ｈ）N を算出し、更に −中間データ要素のｍ個のワードとＢのｂ個のワードを
    それぞれ乗算回路の直列入力および並列入力に入力する
    ことにより、Ａ＊Ｂ mod Ｎを算出することを特徴とす
    る請求項２に記載の方法。
  4. 【請求項４】 Ｐ１．エラー訂正パラメータＨとパラメ
    ータＪ0 を算出し、Ｊ0 をｋビットのレジスタに記憶す
    る、 Ｐ２．パラメータＨとモジュロＮを、それぞれｎビット
    （ｎ＝ｍ＊ｋ）を有する第１と第２のレジスタにそれぞ
    れロードし、第３のｎビットレジスタをゼロに初期化す
    る（上記第３のレジスタの内容はＳと表される）、 Ｐ３．ｉと示されるループを設定する（ｉは１からａま
    で変化し、それぞれｉ番目の反復が下記ａ）〜ｇ）の操
    作を含む）： ａ）被乗数Ａのｉ番目のワードＡi-1 を第４のレジスタ
    から記憶フリップフロップ回路に転送し、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
    いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
    Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｈ＊Ａi-1 の値を算出する： Ｉ−第１のレジスタの内容を第１の直列−並列乗算回路
    の入力に向かって右にシフトさせ、同時に第１のレジス
    タの出力をその入力に帰還させる、 II−ＨのビットにＡi-1 を乗ずる、 III−第２のレジスタの内容を右にシフトさせ、同時に
    このレジスタの出力を入力に帰還させる、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
    はこの更新された値をｉ−１番目の反復後に第３のレジ
    スタに記憶される値として決定し、もし更新された値が
    Ｎよりも大きいならば、この更新された値からＮをシリ
    アルに減算し、それより得られる値が更新された値Ｓ
    （ｉ−１）となり、更に Ｖ−第３のレジスタの内容を右にシフトさせて、更新さ
    れた値Ｓ（ｉ−１）に乗算Ｈ＊Ａi-1 の値を１ビットず
    つ加える加算を行う ｃ）Ｘ（ｉ）の最下位ワード、Ｘ0 （ｉ）にＪ0 を乗
    じ、Ｘ0 （ｉ）＊Ｊ0 mod ２k ＝Ｙ0 （ｉ）の値をレジ
    スタに入力し、同時にＮおよびＸ（ｉ）をｋサイクル分
    だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
    0 （ｉ）＊Ｎの値を計算する： Ｉ−Ｙ0 （ｉ）に、ｋサイクル分遅延されたＮを乗じ、
    更に II−Ｘ（ｉ）をＹ0 （ｉ）＊Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
    ド、つまりＺ（ｉ）／２k を第３のレジスタに記憶す
    る、 ｆ）Ｚ（ｉ）／２k をＮと１ビットずつ比較して、上記
    の方法で次の反復の更新された値Ｓ（ｉ）を決定する、 ｇ）上記操作中の任意の時点で被乗数Ａのｉ番目のワー
    ドが第４のレジスタにロードされる、 Ｐ４− ａ番目の反復で、Ｚ（ａ）の最下位ワードを無
    視し、残りのワードを第１のレジスタ10に入力する、 Ｐ５− 下記の条件でステップＰ３およびＰ４を繰り返
    す： −Ａの代わりにＢを使用し、Ｚ（ａ）／２k または（Ｚ
    （ａ）／２k ）−Ｎは第１の乗算回路に入力され、 −ｉは１からｂまで変化する Ｐ６−最後の反復で第いぢのレジスタに記憶された結果
    を、必要な場合にはＮから減算された状態で出力するス
    テップを含むことを特徴とする請求項３に記載の方法。
  5. 【請求項５】 第１のステップにおけるパラメータＨの
    算出が、下記Ｈ１〜Ｈ７のステップ： Ｈ１− モジュロＮを第１のｎビットのレジスタ（ｎ＝
    ｍ＊ｋ）にロードして、第２のｎビットのレジスタをゼ
    ロに初期化し（第２のレジスタの内容はＢ（０）と表さ
    れる）、 Ｈ２− 第１のレジスタの出力をその入力に帰還させな
    がら、第１のレジスタをｌビットだけ右シフトさせる
    （ｌはモジュロの有効ビット数である）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
    れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算
    出し記憶する（Ｎ’＝Ｎ＊２n-l ）： − 第１および第２のレジスタの内容を右にシフトさせ
    て１ビットずつ減算し、Ｒ（０）と表される上記１ビッ
    ト単位の減算の結果を１ユニットだけ左にシフトさせ
    る、 − シフト後に、Ｂ（１）と表される減算結果を第２の
    レジスタにロードする、 Ｈ４− インデックスｉで示されるループを設定するこ
    とによって（ｉは１からｖの整数で、ｉ回目の反復はそ
    れぞれ以下の操作を含む）データ要素Ｈint ＝２V mod
    Ｎ’を算出する（ここで、ｖ＝ｎ−ｌ＋ｍ’＊ｋ＋（ａ
    ＋ｂ−ｍ’）＊ｋ／２r で、ｒはｋ／２r が整数となる
    ような整数である）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
    左にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第
    ２のレジスタにロードし、更にＢ（ｉ＋１）とＮ’を１
    ビットずつ比較する、 − そうでない場合、Ｎ’およびＢ（ｉ）を１ビットず
    つ減算し、同時に結果を１ユニットだけ左にシフトさせ
    てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２のレジ
    スタにロードし、更にＢ（ｉ＋１）とＮ’を１ビットず
    つ比較する、 Ｈ５− Ｂ（ｖ＋１）≧Ｎ’ならば、Ｂ（ｖ＋１）と
    Ｎ’を１ビットずつ減算してＢ（ｖ＋１）−Ｎ’を第２
    のレジスタにロードする、 Ｈ６− 第１および第２のレジスタでｎ−ｌビットの右
    シフトを行なう、 Ｈ７− ｒ回のＰfield 操作 Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
    １））N （ここでｊは１からｒのインデックスであり、Ｈ
    int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
    １）−Ｎ’）＊２l-n である）を実行してパラメータＨ
    を算出することを特徴とする請求項４に記載の方法。
  6. 【請求項６】 ＢがＮに等しいまたはＮよりも小さい値
    であり、 −Ｈ＝２(a+m')*k mod Ｎを算出し、 −ｋビットのワードｍ個にエンコードされたＢに対応す
    るｍ個のワードとＡのａ個のワードをそれぞれ乗算回路
    の直列入力と並列入力に入力して、ｋビットのワードｍ
    個にエンコードされた中間データ要素Ｐ（Ａ，Ｂ）N を
    算出し、更に、 −中間データ要素のｍ個のワードとＨのワードのうち最
    も下位のｍ’個のワードをそれぞれ乗算回路の直列入力
    と並列入力に入力して、Ａ＊Ｂ mod Ｎを算出すること
    を特徴とする請求項２に記載の方法。
  7. 【請求項７】 下記のステップＰ１〜Ｐ６： Ｐ１− エラー訂正パラメータＨとｋビットにエンコー
    ドされたパラメータＪ0 を算出し、Ｊ0 をｋビットのレ
    ジスタに記憶する、 Ｐ２− 被乗数ＢとモジュロＮをそれぞれ第１および第
    ２のｎビットのレジスタにロードし（ｎ＝ｍ＊ｋ）、第
    ３のｎビットのレジスタをゼロに初期化する（この第３
    のレジスタの内容はＳと表される）、 Ｐ３− ｉと示されるループを設定する（ｉは１からａ
    まで変化し、それぞれｉ番目の反復が下記ａ）〜ｇ）の
    操作を含む）： ａ）被乗数Ａのｉ番目のワードＡi-1 を第４のレジスタ
    から記憶フリップフロップ回路に転送し、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
    いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
    Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｂ＊Ａi-1 の値を算出する： Ｉ−第１のレジスタの内容を第１の直列−並列乗算回路
    の入力に向かって右にシフトさせ、同時に第１のレジス
    タの出力をその入力に帰還させ、 II−ＢのビットにＡi-1 を乗じ、 III−第２のレジスタの内容を右にシフトさせ、同時に
    このレジスタの出力をその入力に帰還させ、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
    はこの更新された値をｉ−１番目の反復後に第３のレジ
    スタに記憶される値として決定し、もし更新された値が
    Ｎよりも大きいならば、この更新された値からＮをシリ
    アルに減算し、それより得られる値が更新された値Ｓ
    （ｉ−１）となり、更に Ｖ−第３のレジスタの内容を右にシフトさせて、更新さ
    れた値Ｓ（ｉ−１）に乗算Ｂ＊Ａi-1 の値を１ビットず
    つ加える加算を行う、 ｃ）Ｘ（ｉ）の最下位ワード、Ｘ0 （ｉ）にＪ0 を乗
    じ、Ｘ0 （ｉ）＊Ｊ0 mod ２k ＝Ｙ0 （ｉ）の値をレジ
    スタに入力し、同時にＮおよびＸ（ｉ）をｋサイクル分
    だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
    0 （ｉ）＊Ｎの値を計算する： Ｉ−Ｙ0 （ｉ）に、ｋサイクル分遅延されたＮを乗じ、
    更に II−Ｘ（ｉ）をＹ0 （ｉ）＊Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
    ド、つまりＺ（ｉ）／２k を第３のレジスタに記憶す
    る、 ｆ）Ｚ（ｉ）／２k をＮと１ビットずつ比較して、上記
    の方法で次の反復の更新された値Ｓ（ｉ）を決定する、 ｇ）上記操作中の任意の時点で被乗数Ａのｉ番目のワー
    ドが第４のレジスタにロードされる、 Ｐ４− ａ回目の反復で、Ｚ（ａ）の最下位ワードを無
    視し、残りのワードを第１のレジスタに入力する、 Ｐ５− 以下の条件でステップＰ３およびＰ４を繰り返
    す： −Ａの代わりにＨを使用し、Ｚ（ａ）／２k または（Ｚ
    （ａ）／２k ）−Ｎを第１の乗算回路に入力し、 −ｉは１からｂまで変化する Ｐ６−最後の反復で第１のレジスタに記憶された結果
    を、必要な場合にはＮから減算された状態で出力するこ
    とを特徴とする請求項６に記載の方法。
  8. 【請求項８】 第１のステップにおけるパラメータＨの
    算出が、下記Ｈ１〜Ｈ７のステップ： Ｈ１− モジュロＮを第１のｎビットのレジスタ（ｎ＝
    ｍ＊ｋ）にロードして、第２のｎビットのレジスタをゼ
    ロに初期化し（第２のレジスタの内容はＢ（０）と表さ
    れる）、 Ｈ２− 第１のレジスタの出力をその入力に帰還させな
    がら、第１のレジスタをｌビットだけ右シフトさせる
    （ｌはモジュロの有効ビット数である）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
    れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算
    出し記憶する（Ｎ’＝Ｎ＊２n-l ）： − 第１および第２のレジスタの内容を右にシフトさせ
    て１ビットずつ減算し、Ｒ（０）と表される上記１ビッ
    ト単位の減算の結果を１ユニットだけ左にシフトさせ
    る、 − シフト後に、Ｂ（１）＝２＊Ｒ（０）と表される減
    算結果を第２のレジスタにロードする、 − ｂ（１）とＮ’を比較する、 Ｈ４− インデックスｉで示されるループを設定するこ
    とによって（ｉは１からｖの整数で、ｉ回目の反復はそ
    れぞれ以下の操作を含む）データ要素Ｈint ＝２V mod
    Ｎ’を算出する（ここで、ｖ＝ｎ−ｌ＋ｍ’＊ｋ＋ａ＊
    ｋ／２r で、ｒはｋ／２r が整数となるような整数であ
    る）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
    左にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第
    ２のレジスタにロードし、更にＢ（ｉ＋１）とＮ’を１
    ビットずつ比較する、 − そうでない場合、Ｎ’およびＢ（ｉ）を１ビットず
    つ減算し、同時に結果を１ユニットだけ左にシフトさせ
    てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２のレジ
    スタにロードし、更にＢ（ｉ＋１）とＮ’を１ビットず
    つ比較する、 Ｈ５− Ｂ（ｖ＋１）≧Ｎ’ならば、Ｂ（ｖ＋１）と
    Ｎ’を１ビットずつ減算してＢ（ｖ＋１）−Ｎ’を第２
    のレジスタにロードする、 Ｈ６− 第１および第２のレジスタでｎ−ｌビットの右
    シフトを行なう、 Ｈ７− ｒ回のＰfield 操作 Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
    １））N （ここでｊは１からｒのインデックスであり、Ｈ
    int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
    １）−Ｎ’）＊２l-n である）を実行してパラメータＨ
    を算出することを特徴とする請求項７に記載の方法。
  9. 【請求項９】 （ａ＋ｂ）とｍ’を比較して、 −ａ＋ｂ＜ｍ’であれば、ｍ個のワードにエンコードさ
    れたＢ＊２a*k に対応するｍ個のワードとＡのａ個のワ
    ードをそれぞれ乗算回路の直列入力と並列入力に入力し
    てＡ＊Ｂ mod Ｎを算出し、 −ａ＋Ｂ＝ｍ’であればＢ＊２a*k とＮを比較して、 −Ｂ＊２a*k ＜Ｎならば、ｍ個のワードにエンコードさ
    れたＢ＊２a*k に対応するｍ個のワードとＡのａ個のワ
    ードをそれぞれ乗算回路の直列入力と並列入力に入力し
    てＡ＊Ｂ mod Ｎを算出し、 −そうでない場合、ｍ個のワードにエンコードされたＢ
    ＊２a*k mod Ｎに対応するｍ個のワードとＡのａ個のワ
    ードをそれぞれ乗算回路の直列入力と並列入力に入力し
    てＡ＊Ｂ mod Ｎを算出することを特徴とする請求項１
    に記載の方法。
  10. 【請求項１０】 ｍ個のｋビットワードにエンコードさ
    れたエラー訂正パラメータＨ＝２(p*k) mod Ｎ’（Ｎ’
    はＮ＝Ｎ’＊２g となるような２進データ要素であり、
    Ｎ’の最下位ビットは１である）を算出するステップを
    含むことを特徴とする請求項１に記載の方法。
  11. 【請求項１１】 −Ｈ＝２(a+b)*k-g mod Ｎ’を算出
    し、 −エンコードされたＨのｍ個のワードとＡのａ個のワー
    ドをそれぞれ乗算回路の直列入力および並列入力に入力
    することにより、ｎビットにエンコードされた中間デー
    タ要素Ｐ（Ａ，Ｈ）N'を算出し、更に −中間データ要素のｍ個のワードとＢのｂ個のワードを
    それぞれ乗算回路の直列入力および並列入力に入力する
    ことにより、Ｐ（Ｂ，Ｐ（Ａ，Ｈ）N'）N'を算出し、 −Ｐ（Ｂ，Ｐ（Ａ，Ｈ）N'）N'をシフトさせることによ
    ってＡ＊Ｂ mod Ｎを算出することを特徴とする請求項1
    0に記載の方法。
  12. 【請求項１２】 パラメータＨの算出が、以下のステッ
    プ： Ｈ１− モジュロＮ’を第１のｎビットのレジスタにロ
    ードして、第２のｎビットのレジスタをゼロに初期化し
    （第２のレジスタの内容はＢ（０）と表される）、 Ｈ２− 第１のレジスタの出力をその入力に帰還させた
    状態で、その内容をｌ−ｇビットだけ右にシフトさせ
    （ｌはモジュロＮの有効ビットである）、 Ｈ３− 下記の操作によって、ｎビットにエンコードさ
    れたデータ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ”）を算
    出し記憶する（ここでＮ”＝Ｎ’＊２n-l+gである）： − 第１および第２のレジスタの内容を右にシフトさ
    せ、 − 上記２つのレジスタの内容を、それらが出てゆくに
    つれて１ビットずつ減算し、同時にＲ（０）と表される
    減算結果を１ユニットだけ左にシフトさせ、 − シフト後、Ｂ（１）で表される減算結果を第２のレ
    ジスタにロードし、 − Ｂ（１）とＮ”を比較する Ｈ４− インデックスｉで示されるループを設定するこ
    とによって（ｉは１からｖまでの整数であり、それぞれ
    ｉ番目の反復は下記の操作を含む）、データ要素Ｈint
    ＝２V mod Ｎ”を算出する（ｖ＝ｎ−ｌ＋ｍ’＊ｋ＋
    （ａ＋ｂ−ｍ’）＊ｋ／２r で、ｒはｋ／２r が整数と
    なるような整数である）： − Ｂ（ｉ）＜Ｎ”ならば、Ｂ（ｉ）を１ユニットだけ
    左にシフトさせた後にＢ（ｉ＋１）＝２＊Ｂ（ｉ）を第
    ２のレジスタにロードし、更にＢ（ｉ＋１）とＮ”を１
    ビットずつ比較する、 − そうでない場合、Ｎ”およびＢ（ｉ）を１ビットず
    つ減算し、同時に結果を１ユニットだけ左にシフトさせ
    てＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ”）を第２のレジ
    スタにロードし、更にＢ（ｉ＋１）とＮ”を１ビットず
    つ比較する、 Ｈ５− Ｂ（ｖ＋１）≧Ｎ”ならば、Ｂ（ｖ＋１）と
    Ｎ”を１ビットずつ減算して、Ｂ（ｖ＋１）−Ｎ”を第
    ２のレジスタにロードする、 Ｈ６− 第１および第２のレジスタでｎ−ｌビットの右
    シフトを行なう、 Ｈ７− ｒ回のＰfield 操作： Ｈint （ｊ）＝Ｐ（Ｈint （ｊ−１）, Ｈint （ｊ−
    １））N' （ここでｊは１からｒのインデックスであり、Ｈ
    int （０）＝Ｂ（ｖ＋１）＊２l-n または（Ｂ（ｖ＋
    １）−Ｎ”）＊２l-n である）を実行する Ｈ８− ｇビットのＨint （ｒ）を左にシフトさせるこ
    とを特徴とする請求項11に記載の方法。
  13. 【請求項１３】 ＢがＮ’に等しいかまたはそれより低
    い値であり、 −Ｈ＝２(a+m")*k-g mod Ｎ’（ｍ”はＮ’の有効サイ
    ズ（ワード数）とする）を算出し、 −ｍ個のワードにエンコードされたＢに対応するｍ個の
    ワードとＡのａ個のワードをそれぞれ乗算回路の直列入
    力と並列入力に入力することによって、ｎビットにエン
    コードされた中間データ要素Ｐ（Ａ，Ｂ）N'が算出さ
    れ、更に −中間データ要素のｍ個のワードとＮ’のｍ”個のワー
    ドを乗算回路の直列入力と並列入力に入力することによ
    って、Ｐ（Ｈ，Ｐ（Ａ，Ｂ）N'）N'を算出するし、更に −Ｐ（Ｈ，Ｐ（Ａ，Ｂ）N'）N'をシフトすることによっ
    てＡ＊Ｂ mod Ｎを算出することを特徴とする請求項11
    に記載の方法。
  14. 【請求項１４】 （ａ＋ｂ）とｍ”を比較して（ｍ”は
    ワード数で表されるＮ’の有効サイズ）、 −ａ＋ｂ＜ｍ”ならば、ｍ個のワードにエンコードされ
    たＢ＊２a*k-g に相当するｍ個のワードとＡのａ個のワ
    ードをそれぞれ乗算回路の直列入力と並列入力に入力す
    ることによって、Ａ＊Ｂ＊２-g mod Ｎ’を算出し、 −ａ＋ｂ＝ｍ”であれば、 Ｂ＊２a*k-g とＮ’を比較して、 −Ｂ＊２a*k-g ＜Ｎ’ならば、ｍ個のワードにエンコー
    ドされたＢ＊２a*k-gに対応するｍ個のワードとＡのａ
    個のワードをそれぞれ乗算回路の直列入力と並列入力に
    入力してＡ＊Ｂ＊２-g mod Ｎ’を算出し、 −そうでない場合、ｍ個のワードにエンコードされたＢ
    ＊２a*k-g mod Ｎ’に対応するｍ個のワードとＡのａ個
    のワードをそれぞれ乗算回路の直列入力と並列入力に入
    力してＡ＊Ｂ＊２-g mod Ｎ’を算出し、 −比較後に算出されたデータ要素をシフトさせることに
    よってＡ＊Ｂ mod Ｎを算出することを特徴とする請求
    項10に記載の方法。
  15. 【請求項１５】 ｍが変数であることを特徴とする請求
    項１〜14のいずれか一項に記載の方法。
JP7314754A 1994-11-08 1995-11-08 モンゴメリ法によるモジュラ乗算の実施方法 Expired - Fee Related JP2722413B2 (ja)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
FR9413594 1994-11-08
FR9413594A FR2726667B1 (fr) 1994-11-08 1994-11-08 Procede de mise en oeuvre de multiplication modulaire selon la methode montgomery

Publications (2)

Publication Number Publication Date
JPH08263316A true JPH08263316A (ja) 1996-10-11
JP2722413B2 JP2722413B2 (ja) 1998-03-04

Family

ID=9468764

Family Applications (1)

Application Number Title Priority Date Filing Date
JP7314754A Expired - Fee Related JP2722413B2 (ja) 1994-11-08 1995-11-08 モンゴメリ法によるモジュラ乗算の実施方法

Country Status (5)

Country Link
US (1) US5745398A (ja)
EP (1) EP0712071B1 (ja)
JP (1) JP2722413B2 (ja)
DE (1) DE69506674T2 (ja)
FR (1) FR2726667B1 (ja)

Cited By (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100442218B1 (ko) * 2001-01-30 2004-07-30 미쓰비시 덴키 시스템 엘에스아이 디자인 가부시키가이샤 몽고메리의 알고리즘을 이용한 멱승 잉여 연산기
JP2005250481A (ja) * 2004-03-02 2005-09-15 Samsung Electronics Co Ltd 多重精度を支援する拡張型モンゴメリモジュラ掛け算器
JPWO2005013243A1 (ja) * 2003-07-31 2006-09-28 富士通株式会社 モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム
EP1708081A1 (en) 2005-03-30 2006-10-04 Fujitsu Limited Method and device for calulcating conversion parameter of Montgomery

Families Citing this family (25)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
FR2741973B1 (fr) * 1995-12-04 1998-01-02 Sgs Thomson Microelectronics Procede de production d'un parametre jo associe a la mise en oeuvre d'operation modulaire selon la methode de montgomery
FR2743645B1 (fr) * 1996-01-15 1998-02-27 Sgs Thomson Microelectronics Dispositif ameliorant la vitesse de traitement d'un coprocesseur d'arithmetique modulaire
JP3525209B2 (ja) * 1996-04-05 2004-05-10 株式会社 沖マイクロデザイン べき乗剰余演算回路及びべき乗剰余演算システム及びべき乗剰余演算のための演算方法
FR2774783B1 (fr) * 1998-02-09 2000-04-14 Sgs Thomson Microelectronics Procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
US6091821A (en) * 1998-02-12 2000-07-18 Vlsi Technology, Inc. Pipelined hardware implementation of a hashing algorithm
FR2791155B1 (fr) * 1999-03-17 2001-05-11 St Microelectronics Sa Dispositif et procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
FR2791156B1 (fr) * 1999-03-17 2001-05-11 St Microelectronics Sa Dispositif et procede de mise en oeuvre d'une operation modulaire elementaire selon la methode de montgomery
US6298135B1 (en) 1999-04-29 2001-10-02 Motorola, Inc. Method of preventing power analysis attacks on microelectronic assemblies
GB2352309B (en) 1999-07-21 2004-02-11 Advanced Risc Mach Ltd A system and method for performing modular multiplication
US7240204B1 (en) * 2000-03-31 2007-07-03 State Of Oregon Acting By And Through The State Board Of Higher Education On Behalf Of Oregon State University Scalable and unified multiplication methods and apparatus
US7046800B1 (en) * 2000-03-31 2006-05-16 State Of Oregon Acting By And Through The State Board Of Higher Education On Behalf Of Oregon State University Scalable methods and apparatus for Montgomery multiplication
KR100428755B1 (ko) * 2001-08-31 2004-04-30 주식회사 현대시스콤 비트 슬라이스 모듈러 곱셈기
US6957243B2 (en) * 2001-10-09 2005-10-18 International Business Machines Corporation Block-serial finite field multipliers
US7346159B2 (en) * 2002-05-01 2008-03-18 Sun Microsystems, Inc. Generic modular multiplier using partial reduction
KR100459732B1 (ko) 2002-12-30 2004-12-03 삼성전자주식회사 4-2 컴프레서를 이용한 몽고메리 모듈러 승산기 및 그승산 방법
US7532720B2 (en) * 2003-10-15 2009-05-12 Microsoft Corporation Utilizing SIMD instructions within montgomery multiplication
ATE472769T1 (de) * 2003-11-16 2010-07-15 Sandisk Il Ltd Verbesserte natürliche montgomery- exponentenmaskierung
DE10355642A1 (de) * 2003-11-28 2005-06-23 Giesecke & Devrient Gmbh Erweiterte Montgomery-Multiplikation und Montgomery-Multiplikation mit vergrößerter Operandenlänge
FR2867289A1 (fr) * 2004-03-02 2005-09-09 France Telecom Procede et dispositif pour accomplir une operation cryptographique
WO2007046402A1 (ja) * 2005-10-19 2007-04-26 Matsushita Electric Industrial Co., Ltd. 情報セキュリティ装置、情報セキュリティ方法、コンピュータプログラム、コンピュータ読み取り可能な記録媒体及び集積回路
FR2917198B1 (fr) 2007-06-07 2010-01-29 Thales Sa Operateur de reduction modulaire ameliore.
CN106681691B (zh) * 2015-11-07 2019-01-29 上海复旦微电子集团股份有限公司 基于蒙哥马利模乘的数据处理方法、模乘运算方法和装置
US10216521B2 (en) * 2017-06-20 2019-02-26 Nvidia Corporation Error mitigation for resilient algorithms
CN109271137B (zh) * 2018-09-11 2020-06-02 网御安全技术（深圳）有限公司 一种基于公钥加密算法的模乘装置及协处理器
CN115469826B (zh) * 2022-09-16 2023-04-07 深圳思谋信息科技有限公司 数据处理方法、装置、计算机设备及计算机可读存储介质

Family Cites Families (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5073870A (en) * 1989-01-30 1991-12-17 Nippon Telegraph And Telephone Corporation Modular multiplication method and the system for processing data
IL97413A (en) * 1991-03-04 1995-06-29 Fortress U & T 2000 Ltd Microcircuit for the implementation of rsa algorithm and ordinary and modular arithmetic in particular exponentiation with large operands
FR2679054A1 (fr) 1991-07-10 1993-01-15 Fortress U T 2000 Ltd Procede et appareil d'exponentiation sur gf(2n).
IL101623A (en) * 1992-04-16 1997-06-10 Fortress U & T 2000 Ltd Digital signature device
US5513133A (en) * 1992-11-30 1996-04-30 Fortress U&T Ltd. Compact microelectronic device for performing modular multiplication and exponentiation over large numbers

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR100442218B1 (ko) * 2001-01-30 2004-07-30 미쓰비시 덴키 시스템 엘에스아이 디자인 가부시키가이샤 몽고메리의 알고리즘을 이용한 멱승 잉여 연산기
JPWO2005013243A1 (ja) * 2003-07-31 2006-09-28 富士通株式会社 モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム
US7792893B2 (en) 2003-07-31 2010-09-07 Fujitsu Limited Device and method for calculating conversion parameter of montgomery modular multiplication and program therefor
JP4616169B2 (ja) * 2003-07-31 2011-01-19 富士通株式会社 モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム
JP2005250481A (ja) * 2004-03-02 2005-09-15 Samsung Electronics Co Ltd 多重精度を支援する拡張型モンゴメリモジュラ掛け算器
EP1708081A1 (en) 2005-03-30 2006-10-04 Fujitsu Limited Method and device for calulcating conversion parameter of Montgomery
US8085931B2 (en) 2005-03-30 2011-12-27 Fujitsu Limited Computation method, computing device and computer program

Also Published As

Publication number Publication date
EP0712071B1 (fr) 1998-12-16
DE69506674D1 (de) 1999-01-28
JP2722413B2 (ja) 1998-03-04
FR2726667B1 (fr) 1997-01-17
EP0712071A1 (fr) 1996-05-15
DE69506674T2 (de) 1999-05-20
US5745398A (en) 1998-04-28
FR2726667A1 (fr) 1996-05-10

Similar Documents

Publication Publication Date Title
JPH08263316A (ja) モンゴメリ法によるモジュラ乗算の実施方法
JP2722411B2 (ja) モンゴメリ法によるモジュラリダクションの実施方法
US5742530A (en) Compact microelectronic device for performing modular multiplication and exponentiation over large numbers
US5321752A (en) Method of and apparatus for encryption and decryption of communication data
EP0801345B1 (en) Circuit for modulo multiplication and exponentiation arithmetic
EP0917047B1 (en) Apparatus for modular inversion for information security
US5210710A (en) Modulo arithmetic processor chip
EP1014274A1 (en) Neuroprocessor, device for calculating saturation functions, calculation device and adder
US5261001A (en) Microcircuit for the implementation of RSA algorithm and ordinary and modular arithmetic, in particular exponentiation, with large operands
KR20110105555A (ko) 효율적인 하드웨어 구성을 갖는 몽고메리 승산기
JP2722412B2 (ja) モンゴメリ法によるモジュラ操作の実行に伴うエラー訂正パラメータの算出方法
US5121429A (en) Digital signal processing
US7046800B1 (en) Scalable methods and apparatus for Montgomery multiplication
GB2287331A (en) Electronic multiplying and adding apparatus.
US20030037087A1 (en) Apparatus and method for efficient modular exponentiation
JP4823467B2 (ja) ガロア体からの二つの係数を乗算するための方法及びこの方法を遂行するための乗算器
US6341299B1 (en) Modular arithmetic coprocessor enabling the performance of non-modular operations at high speed
JP2004258141A (ja) モンゴメリ乗算剰余の多倍長演算のための演算装置
US20060020654A1 (en) Multiplier with look up tables
US7607165B2 (en) Method and apparatus for multiplication and/or modular reduction processing
US7266577B2 (en) Modular multiplication apparatus, modular multiplication method, and modular exponentiation apparatus
Wang et al. New VLSI architectures of RSA public-key cryptosystem
US5912904A (en) Method for the production of an error correction parameter associated with the implementation of modular operations according to the Montgomery method
US5948051A (en) Device improving the processing speed of a modular arithmetic coprocessor
US7167885B2 (en) Emod a fast modulus calculation for computer systems

Legal Events

Date Code Title Description
A01 Written decision to grant a patent or to grant a registration (utility model)

Free format text: JAPANESE INTERMEDIATE CODE: A01

Effective date: 19971028

LAPS Cancellation because of no payment of annual fees