JPH08339310A - モンゴメリ法によるモジュラ操作の実行に伴うエラー訂正パラメータの算出方法 - Google Patents

Abstract

(57)【要約】 【課題】 モンゴメリ法によるモジュラリダクションの
実施方法 【解決手段】 ２進エラー訂正パラメータＨ＝２^2*m*k
mod Ｎを算出するために、モジュロＮを第１のｎビット
のレジスタ（ｎ＝ｍ＊ｋ）にロードして、第２のｎビッ
トのレジスタをＢ（０）＝０に初期化する。次に、Ｂ
（０）とＮを１ビットずつ減算し、Ｒ（０）と表される
上記１ビット単位の減算の結果を１ユニットだけ左にシ
フトさせ、Ｂ（１）とＮを比較することによって、デー
タ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ）を算出し記憶す
る。１〜ｖの整数であるｉについて： Ｂ（ｉ）＜Ｎならば、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）−
０）、そうでない場合には、Ｂ（ｉ＋１）＝２＊（Ｂ
（ｉ）−Ｎ）、の処理操作を実行することによって、デ
ータ要素Ｈ_int ＝２^n+V mod Ｎを算出し、更にＢ（ｉ＋
１）とＮを１ビットずつ比較する。 ｐ回のＰ_field 操作 Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），Ｈ_int （ｊ−
１））_Nを実行する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、モンゴメリ法によ
るモジュラ操作の実行に伴うエラー訂正パラメータの算
出方法に関するものである。この方法は、ＧＦ（２ⁿ ）
で表される有限領域（ガロア体）において除法を行わず
にモジュラ計算を行うことを可能にするものである。

【０００２】

【従来の技術】従来、ＧＦ（２ⁿ ）でのモジュラ操作
は、メッセージの認証、ユーザの確認およびキーの交換
といった用途における暗号法に使用される。そのような
用途の例は、例えばフランス国特許出願（公開番号2 67
9 054 号）に記載されている。そのような用途のために
開発された集積回路が市販されている。例としてSGS-TH
OMSON MICROELECTRONICS S.A. 製のＳＴ16ＣＦ54という
製品を挙げることができる。この製品は中央演算処理ユ
ニットと演算コプロセッサとを備え、モジュラ計算の実
行を目的としている。使用するコプロセッサは、モンゴ
メリ法を用いることによってモジュラ操作の処理を可能
にするものである。これは欧州特許出願（公開番号第0
601 907 A2号）の対象となっており、図１（この図は上
記欧州特許出願の図２に相当する）に具体的に示されて
いる。

【０００３】Ｐ_field 操作と呼ばれる基本的な操作は、
自然数ｎ個のビットにエンコードされた３つの２進デー
タ要素Ａ（被乗数）、Ｂ（乗数）およびＮ（モジュロ）
を基に、ｎビットにエンコードされたＰ（Ａ_, Ｂ）_N で
表される２進データ要素を、Ｐ（Ａ，Ｂ）_N ＝Ａ＊Ｂ＊
Ｉ mod Ｎ（ここでＩはＩ＝２^-n mod Ｎとなるようなｎ
ビットにエンコードされた２進データ要素）となるよう
に算出するというものである。そのために、データ要素
はｋビットのワードｍ個にエンコードされており、ｍ＊
ｋ＝ｎで、データ要素ＡとＢのワードが、直列入力と並
列入力と直列出力とを有する乗算回路に入力されるもの
と仮定する。上記の欧州特許出願に記載のコプロセッサ
においては、ｋ＝32でｍ＝８または16である。

【０００４】この回路は特に、モジュラ乗算Ａ＊Ｂ mod
Ｎの結果を算出するために使用される。この観点か
ら、図１に記載の回路は以下のステップを含む方法を実
行するために使用される： １．パラメータＨ（Ｈ＝２^2*n mod Ｎ）とｋビットにエ
ンコードされたパラメータＪ₀ （Ｊ₀ ＝−Ｎ₀ ^-1 mod
２^k で、Ｎ₀ はモジュロＮの最下位ワードである）を計
算し、ｋビットのレジスタ17にＪ₀ を記憶する。 ２．乗数ＢとモジュロＮを、それぞれｎビットのレジス
タ10および12にロードし（ｎ＝ｍ＊ｋ）、ｎビットのレ
ジスタ11をゼロに初期化する（このレジスタの内容はＳ
で表され、Ｓはｎビットにエンコードされた可変の２進
データ要素とする）。 ３．ｉと表示されるループを設定する（ｉは１〜ｍで変
化し、ｉ番目の反復は各々以下ａ）〜ｇ）のステップを
含む）：

【０００５】ａ）被乗数Ａのｉ番目のワードＡ_i-1 をレ
ジスタ16から記憶フリップフロップ回路21に転送する、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｂ＊Ａ_i-1 の値を算出する： Ｉ−レジスタ10の内容を第１の直列−並列乗算回路19の
入力に向かって右にシフトさせ、同時にレジスタ10の出
力をその入力に帰還させ、 II−ＨのビットにＡ_i-1 を乗じ、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させ、 IV−更新された値Ｓ（ｓ−１）がＮよりも小さい場合に
はこの更新された値を（ｉ−１）番目の反復後にレジス
タ11に記憶される値として決定し、もし更新された値が
Ｎよりも大きいならば、第１のシリアル減算回路28にお
いてこの更新された値からＮをシリアルに減算し、それ
より得られる値を更新された値Ｓ（ｉ−１）とし、更に Ｖ−レジスタ11の内容を右にシフトさせて、第１の直列
加算回路30で更新された値Ｓ（ｉ−１）に乗算Ｂ＊Ａ
_i-1 の値を１ビットずつ加える加算を行う

【０００６】ｃ）第２の直並列乗算回路20でＸ（ｉ）の
最下位ワード、Ｘ₀ （ｉ）にＪ₀ を乗じ、Ｘ₀ （ｉ）＊
Ｊ₀ mod ２^k ＝Ｙ₀ （ｉ）の値をレジスタ18に入力し、
同時に、遅延回路32および34でＮおよびＸ（ｉ）をｋサ
イクル分だけ遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
₀ （ｉ）＊Ｎの値を計算する： Ｉ−第２の乗算回路20で、Ｙ₀ （ｉ）に、ｋサイクル分
遅延されたＮを乗じ、更に II−第２の直列加算回路31で、Ｘ（ｉ）をＹ₀ （ｉ）＊
Ｎの値に加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２^k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２^k をＮとを１ビットずつ比較して、上
記の方法で次の反復の更新された値Ｓ（ｉ）を決定する
（この比較は、第２の直列減算回路29でＺ（ｉ）／２^k
とＮとを１ビットずつ減算することによって行われ、Ｎ
は更にｋサイクル分だけ遅延されている）、

【０００７】ｇ）上記操作中の任意の時点で被乗数Ａの
ｉ番目のワードがレジスタ16にロードされる。 ４．ｍ回目の反復で、Ｚ（ｍ）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ）／２^k をレジスタ10
に入力する。 ５．ステップ３および４を繰り返すが、その際Ｂの代わ
りにＺ（ｍ）／２^k を、Ａの代わりにＨを用い、Ｚ
（ｍ）／２^k または（Ｚ（ｍ）／２^k ）−Ｎは第３の直
列減算回路27を介して乗算回路19に入力される（Ｚ
（ｍ）／２^k ≧Ｎならば）。 ６．最後の反復でレジスタ10に記憶された結果を、必要
ならばＮから減算された状態で出力する。

【０００８】総じて、図１の回路の動作を同期させるク
ロック信号の周期をサイクルと呼ぶならば、モジュラ乗
算を処理するのに必要な時間は主に以下のように分ける
ことができる： −Ｈを計算するためのｎ＊（ｎ＋１）サイクル、 −ステップ２のためのｎサイクル、 −第１にステップ３および４を合わせたステップのた
め、および第２にはステップ５のためのｍ＊（ｎ＋２＊
ｋ＋ｘ）サイクル（ｘは整数）、 −ステップ６のためのｎサイクル。 実際、ｘは回路の初期化の関数であって、つまり、回路
の一貫した動作を確実とするための（例えはマルチプレ
クサの）制御信号の設定の関数である。実際、ｘ＝７で
あると考えることができる。

【０００９】第１のステップに関しては、パラメータＪ
₀ の計算は中央処理ユニットによって行なわれる（ソフ
トウェア法）。Ｈはレジスタ16のサイズと、ループ内で
このレジスタが使用される回数との関数であると示すこ
とができる。Ｈ＝２^2*n mod Ｎである。このパラメータ
はエラー訂正パラメータである。実際、ステップ４では
Ａ＊Ｂ＊Ｉ（Ｉ＝２^-n mod Ｎ）という形の結果が算出
される。Ｈ＊Ｉ² ＝１ mod Ｎである。このことによっ
て、上記のモジュラ乗算方法のステップ７において正確
な結果、つまりモジュラ乗算Ａ＊Ｂ mod Ｎの結果に等
しい結果が得られるようになる。更にＨの計算は、図２
を参照しながら以下に説明する方法においてはコプロセ
ッサによって行われる。図２は上記の欧州特許出願の図
９に相当する。Ｈを計算するには、以下のような操作が
行われる（上記欧州特許第20頁47行〜25頁52行を参
照）：

【００１０】１．レジスタ12にＮをロードしてレジスタ
10をＢ（０）＝０に初期化し、 ２．同時に： −Ｂ（０）とＮを右にシフトさせて直列減算器27で１ビ
ットずつ減算して、結果Ｒ（０）＝Ｂ（０）−Ｎ mod
２ⁿ を１ユニット左にシフトさせ（このシフトは減算器
で０である第１のビットを取り出すことによって行
う）、 −Ｂ（１）＝２＊Ｒ（０）をレジスタ10にロードし、 −２＊Ｒ（０）とＮを１ビットずつ減算して２＊Ｒ
（０）≧Ｎまたは２＊Ｒ（０）＜Ｎのいずれであるかを
決定し（この減算は第２の減算器40で行われ、同時に回
路44では減算の結果がテストされる）、 ３．インデックスｉで示されるループを設定し（ｉは１
〜ｎで、１回の反復はそれぞれ下記の操作を含む）： −Ｂ（ｉ）＜Ｎならば、Ｂ（ｉ＋１）＝２＊（Ｂ（ｉ）
−０）をレジスタ10にロードし、 −そうでない場合にはＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−
Ｎ）をレジスタ10にロードする。 Ｂ（ｎ＋１）＝Ｈ＝２^2*n mod Ｎである。

【００１１】

【発明が解決しようとする課題】本出願人は、モジュラ
操作の実行のために必要な時間を短縮するために、図１
に示したコプロセッサによる該操作の実行を改良する試
みを行なった。より特定するならば、本出願人はエラー
訂正パラメータＨの計算に用いられる方法を改良する試
みを行なった。

【００１２】

【課題を解決するための手段】本発明は、２進数のエラ
ー訂正パラメータＨ＝２^2*m*k mod Ｎ（Ｎはそれぞれｋ
ビットよりなるワードｍ個にエンコードされたモジュロ
と呼ばれる２進データ要素である）を算出するための方
法を提案するものであって、該方法は下記のステップ１
〜４を含む。 １．モジュロＮを第１のｎビットのレジスタ（ｎ＝ｍ＊
ｋ）にロードして、第２のｎビットのレジスタをゼロに
初期化し（第２のレジスタの内容はＢ（０）と表され
る）、 ２．下記の操作によって、ｎビットにエンコードされた
データ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ）を算出し記
憶する： − 第１および第２のレジスタで右シフトを行って、２
つのレジスタの内容を１ビットずつ減算し、Ｒ（０）と
表される上記１ビット単位の減算の結果を１ユニットだ
け左にシフトさせ、 − シフト後、Ｂ（１）と表される減算結果を第２のレ
ジスタにロードし、 − Ｂ（１）とＮを比較する、

【００１３】３．インデックスｉで示されるループを設
定することによって（ｉは１からｖの整数で、ｉ回目の
反復はそれぞれ以下の操作を含む）、ｎビットにエンコ
ードされたデータ要素Ｈ_int ＝２^n+V mod Ｎを算出する
（ここで、ｖはｖ＝（ｍ＊ｋ）／２^p （ｐは整数）であ
るような整数とする）： − Ｂ（ｉ）＜Ｎならば、Ｂ（ｉ）を１ユニットだけ左
にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第２
のレジスタにロードし、更にＢ（ｉ）とＮを１ビットず
つ比較する、 − そうでない場合には、ＮおよびＢ（ｉ）を１ビット
ずつ減算し、同時に結果を１ユニットだけ左にシフトさ
せてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ）を第２のレジ
スタにロードし、更にＢ（ｉ＋１）とＮを１ビットずつ
比較する、 ４．ｐ回の操作Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），
Ｈ_int （ｊ−１））_Nを実行することによってパラメー
タＨを算出する（ｊは１からｐのインデックスであり、
Ｈ_int （０）＝Ｂ（ｖ＋１）またはＢ（ｖ＋１）−Ｎで
ある）。

【００１４】

【発明の実施の形態】従って本発明は、第１に周知の方
法よりも少ない回数の減算を行い、第２にＰ_field 操作
を行うことによってＨを計算することを提案するもので
ある。従来技術の方法では、Ｈを計算するのに必要な時
間はｎ＊（ｎ＋１）サイクルであった。本発明の方法で
は、計算時間はｎ＊（ｖ＋１）＋ｐ＊ｍ＊（ｎ＋２＊ｋ
＋ｘ）サイクルである。ｍ＝16の場合には、従来の方法
では262 656 サイクルが必要であった。例えばｖ＝２＊
ｍ＝32、つまりｐ＝４で、ｘ＝７と仮定すれば、本発明
の方法で必要なサイクルはわずか54 208サイクルであ
り、時間が約80％節約される。パラメータＨを算出する
のに必要な時間は当然ｖの関数である。ｖ＝２＊ｍ、つ
まりｐ＝log₂(k) −１を選択することは、該方法を最適
化することに相当する。つまり、既存の回路に比べて、
Ｈの算出に必要な時間を最短とすることに相当する。

【００１５】更に、公知の方法で定義されたＨの算出お
よび上記の新規方法によるＨの算出では、モジュロの最
上位ビットは１であるものと仮定される。これは明らか
にモジュロの選択を制限するものである。従って本出願
人は、モジュロＮがｎよりも小さい数であるｌ個の有効
ビットにエンコードされている場合、換言すればモジュ
ロＮの最も下位のｎ−ｌ個のビットが０であるように選
択される場合にまでＨの計算を拡張することを提案する
ものである。

【００１６】従って、本発明では更に、２進エラー訂正
パラメータＨ＝２^2*m*k mod Ｎを算出するための方法を
提案するものであって、ここでＮはそれぞれｋビットよ
りなるワードｍ個にエンコードされたモジュロ要素と呼
ばれる２進データ要素であり、Ｎの最も上位のｎ−ｌ個
のビットはゼロであり、ｎ＝ｍ＊ｋおよびｌ＜ｎであ
り、上記方法は下記１〜７のステップを含む： １．モジュロＮを第１のｎビットのレジスタ（ｎ＝ｍ＊
ｋ）にロードして、第２のｎビットのレジスタをゼロに
初期化する（第２のレジスタの内容はＢ（０）と表され
る）、 ２．第１のレジスタを、その入力に帰還させた状態でｌ
ビットだけ右にシフトさせる、 ３．下記の操作によって、ｎビットにエンコードされた
データ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算出し
記憶する： − 第１および第２のレジスタで右シフトを行って、２
つのレジスタの内容を１ビットずつ減算し、Ｒ（０）と
表される上記１ビット単位の減算の結果を１ユニットだ
け左にシフトさせ、 − シフト後、Ｂ（１）と表される減算結果を第２のレ
ジスタにロードし、 − Ｂ（１）とＮ’を比較する、

【００１７】４．インデックスｉで示されるループを設
定することによって（ｉは１からｎ−ｌ＋ｖの整数で、
ｉ回目の反復はそれぞれ以下の操作を含む）、ｎビット
にエンコードされたデータ要素Ｈ_int ＝２^n+n-l+v mod
Ｎ’を算出する（ここで、ｖはｖ＝（ｍ＊ｋ）／２
^p （ｐは整数）であるような整数とする）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
左にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第
２のレジスタにロードし、更にＢ（ｉ＋１）とＮ’を１
ビットずつ比較する、 − そうでない場合には、Ｎ’およびＢ（ｉ）を１ビッ
トずつ減算し、同時に結果を１ユニットだけ左にシフト
させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２の
レジスタにロードし、更にＢ（ｉ＋１）とＮ’を１ビッ
トずつ比較する、

【００１８】５．Ｂ（ｎ−ｌ＋ｖ＋１）≧Ｎ’ならば、
Ｂ（ｎ−ｌ＋ｖ＋１）とＮ’を１ビットずつ減算してＢ
（ｎ−ｌ＋ｖ＋１）−Ｎ’を第２のレジスタにロードす
る、 ６．第１および第２のレジスタでｎ−ｌビットだけ右シ
フトを行う、 ７．ｐ回の操作Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），
Ｈ_int （ｊ−１））_N'を実行することによってパラメー
タＨを算出する（ここでｊは１からｐのインデックスで
あってＨ_int （０）＝Ｂ（ｎ−ｌ＋ｖ＋１）＊２^l-n ま
たは（Ｂ（ｎ−ｌ＋ｖ＋１）−Ｎ’）＊２^l-n であ
る）。 上記の方法と同様に、ｖ＝２＊ｍ、つまりｐ＝log
₂（ｋ）−１であると仮定するのが有利である。以下、
添付図を参照して本発明の実施例を説明することによ
り、本発明がより明確に理解され、その他の特徴および
利点が明らかとなろう。以下の実施例は例示のためのも
のであって、本発明の範囲を限定するものではない。

【００１９】

【実施例】図１はモジュラ操作を処理するための回路１
を示す。この回路は以下のものを備えている： −直列入力および直列出力を備えた３つのシフトレジス
タ10、11および12これらのレジスタはそれぞれ同一ｎ個
のセルを有し、ｎ＝ｍ＊ｋである。これらのレジスタ
は、例えばｎ／２個のセルを有するレジスタに分割可能
なものであってよく、レジスタ10および12についてはｋ
ビットのレジスタに分割可能なものであってもよい。 −マルチプレクサ13、14および15 これらのマルチプレクサはそれぞれレジスタ10、11およ
び12の前に置かれている。マルチプレクサは、レジスタ
が更に細分化されているならば、細分化された個々のレ
ジスタの前にも配置される。

【００２０】−それぞれｋ個のセルを有する３つのレジ
スタ16、17および18 レジスタ16、17および18は並列出力で直列入力のレジス
タである。 −２つの乗算回路19および20 これらの乗算回路はそれぞれ１つの直列入力、１つの並
列入力および１つの直列出力を有する。乗算回路19の並
列入力は、ｋ個のセルを有する記憶フリップフロップ回
路21を介してレジスタ16の出力に接続されている。乗算
回路20の並列入力は、ｋ個のセルを有する記憶フリップ
フロップ回路22を介してレジスタ17または18の出力のう
ちの一方に接続されている。このフリップフロップ回路
22はそれ自体、２つの並列入力と１つの並列出力とを備
えたマルチプレクサを介してレジスタ17と18の出力のう
ちの一方に接続されている。 −マルチプレクサ24、25、25’、26、36および38 −デマルチプレクサ39 −直列減算回路27、28および29 −直列加算回路30および31 −２進データ要素の伝搬をｋサイクル分だけ遅延させる
ための遅延回路32、33および34、 −比較結果を記憶するための記憶回路35。

【００２１】更に詳細については、上記の欧州特許出願
（ＥＰ−0 601 907 A2）、特に該特許の図３とそれに関
する記載（第15頁第54行から第16頁第13行まで、および
第17頁第50行から第18頁第55行まで）を参照されたい。
図２は以下のものを備えた回路を示す： −２つのシフトレジスタ10および12、減算回路27、マル
チプレクサ36 −２つの入力を有する２つのマルチプレクサ41および42 これらのマルチプレクサの出力はそれぞれレジスタ10お
よび12の入力に接続されている −直列減算回路40 −２つの入力を有するＮＡＮＤゲート43 −比較結果を記憶するための記憶回路44。

【００２２】減算回路27および40は、２つの直列入力と
１つの直列出力とを有する。減算回路27は、第１の入力
をレジスタ10の出力に接続されている。この減算回路27
の出力は減算回路40の第１の入力に接続されている。減
算回路40は、その第２の入力をレジスタ12の出力に接続
されて、その出力をゲート43のインバータ入力に接続さ
れている。ゲート43のもう１つの入力（インバータでな
い入力）は、減算回路27の出力に接続されており、その
入力は回路44の入力に接続されている。この回路44は、
リセット信号ＲＥＳを受けるためのもう１つの入力を有
する。マルチプレクサ36は２つの入力と１つの出力を有
し、その出力は減算回路27の入力に接続されている。そ
の入力はそれぞれ、レジスタ12の出力とグランド（論理
０に相当する電位）に接続されている。マルチプレクサ
36は、回路44から送られてくる選択信号ＳＣの状態に応
じて、選択的にその出力をその第１の入力または第２の
入力に接続する（例えばＳＣ＝０ならば第１の入力、Ｓ
Ｃ＝１ならば第２の入力に接続する）。

【００２３】マルチプレクサ41の入力は、減算回路27の
出力とグランドとにそれぞれ接続されている。マルチプ
レクサ42の入力は、レジスタ12の出力と、２進データ要
素（実際にはモジュロＮ）を直列で受けるための入力端
子とにそれぞれ接続されている。図２の回路はｎビット
にエンコードされた２進データ要素であるエラー訂正パ
ラメータＨを算出するために使用される。Ｈ＝２^2*n mo
d Ｎである。モジュロＮはｌ個（ｌ≦ｎ）の有効ビット
にエンコードされている、つまりモジュロＮの最も上位
のｎ−ｌ個のビットは論理状態０であると仮定する。

【００２４】Ｈの計算は下記ステップ１〜４を必要とす
る：ｌ＝ｎならば： １− Ｎをレジスタ12にロードして、同時にＢ（０）＝
０（０であるｎ個のビット）をレジスタ10にロードし、
更に回路44を初期化する（つまりＳＣ＝０となるように
信号ＲＥＳを発生させる）、 ２− レジスタ10と12両方の内容を右シフトさせること
によってＮとＢ（０）を出力させる（ここで、レジスタ
10の入力は減算回路27の出力に接続されており、レジス
タ12の入力はその出力に接続されている）、 − 減算回路27で、ＮとＢ（０）のビットが出てゆくに
つれてそれらを１ビットずつ減算し、同時にＲ（０）＝
Ｂ（０）−Ｎと表される結果を１ユニットだけ左にシフ
トさせる、 − Ｂ（１）＝２＊Ｒ（０）をレジスタ10にロードす
る、 − 減算回器40でＢ（１）とＮを１ビットずつ減算し
て、Ｂ（１）≧ＮであるかＢ（１）＜Ｎであるかを決定
し、Ｂ（１）≧Ｎならば回路44によってＳＣ＝０を発生
させ、そうでない場合にはＳＣ＝１を発生させる、

【００２５】３− インデックスｉで示されるループを
設定する。ここでｉは１からｖまでの整数であってｖは
ｖ＝（ｍ＊ｋ）／２^p （ｐは整数）を満足するような整
数であり、ｉ番目の反復はそれぞれステップ２の操作の
再開であって、下記のように表される： − Ｂ（ｉ）＜Ｎならば（ＳＣ＝１）、Ｂ（ｉ＋１）＝
２＊Ｂ（ｉ）＝２＊（Ｂ（ｉ）−０）をレジスタ10にロ
ードする、 − そうでない場合（ＳＣ＝０）には、Ｂ（ｉ＋１）＝
２＊（Ｂ（ｉ）−Ｎ）を第２のレジスタにロードする。

【００２６】最終的に、レジスタ10にはＢ（ｖ＋１）、
レジスタ11にはＮが存在する。 ４− 図１の回路を用いてｐ回のＰ_field 操作を行う、
ここで Ｈ_int （０）＝Ｂ（ｖ＋１）あるいは、Ｂ（ｖ＋１）≧
ＮならばＢ（ｖ＋１）−Ｎ、 １〜ｐのｊについて： Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），Ｈ_int （ｊ−
１））_N を算出する。 Ｈ＝Ｈ_int （ｐ）である。 図１の回路を用いたＰ_field 操作の実行については、上
記の欧州特許出願第19頁、５行〜第20頁45行を参照され
たい。

【００２７】下記のような方法を実行する： １．ｋビットにエンコードされたパラメータＪ₀ の計算
を行い（Ｊ₀ ＝−Ｎ₀ ^-1 mod ２^k でＮ₀ はモジュロＮの
最下位ワードである）、Ｊ₀ をｋビットのレジスタ17に
記憶する。 ２．レジスタ11をゼロに初期化する（このレジスタの内
容はＳと表され、Ｓはｎビットにエンコードされた可変
の２進データ要素である）。 ３．インデックスｉのループを設定し（ｉは１からｍま
で変化し、ｉ回目の反復はそれぞれ下記の操作ａ）〜
ｇ）を含む）： ａ）ｉ＝１ならば、レジスタ10の出力を入力に帰還させ
た状態でレジスタ10で右シフトを行い、Ｂ（ｖ＋１）ま
たはＢ（ｖ＋１）−Ｎ（減算回路27を介して）の最初の
ワードをレジスタ16およびフリップフロップ回路21へと
転送し、ｉ＞１ならば、Ｂ（ｖ＋１）またはＢ（ｖ＋
１）−Ｎのｉ番目のワードＢ_i-1 をレジスタ16からフリ
ップフロップ回路21へ転送し、 ｂ）Ｓ（０）＝０、Ｓ（ｉ−１）を下記に定義のような
いわゆるＳの更新された値として、下記Ｉ〜Ｖによって
Ｘ（ｉ）＝Ｓ（ｉ−１）＋Ｂ＊Ｂ_i-1 の値を算出する：

【００２８】Ｉ−レジスタ10の内容を第１の直列−並列
乗算回路19の入力に向かって右にシフトさせ、同時にレ
ジスタ10の出力をその入力に帰還させ、 II−ＢのビットにＢ_i-1 を乗じ、 III−レジスタ12の内容を右にシフトさせ、同時に出力
を入力に帰還させ、 IV−更新された値Ｓ（ｉ−１）がＮよりも小さい場合に
はこの更新された値をｉ−１回目の反復後にレジスタ11
に記憶される値として決定し、もし更新された値がＮよ
りも大きいならば、第１の減算回路28においてこの更新
された値からＮをシリアルに減算し、それより得られる
値が更新された値Ｓ（ｉ−１）となり、更に Ｖ−レジスタ11の内容を右にシフトさせて、第１の直列
加算回路30で更新された値Ｓ（ｉ−１）に乗算Ｂ＊Ｂ
_i-1 の値を１ビットずつ加える加算を行う。

【００２９】ｃ）直列−並列乗算回路20でＸ（ｉ）の最
下位ワード、Ｘ₀ （ｉ）にＪ₀ を乗じ、Ｘ₀ （ｉ）＊Ｊ
₀ mod ２^k ＝Ｙ₀ （ｉ）の値をレジスタ18に入力し、同
時に遅延回路32でＮおよびＸ（ｉ）をｋサイクル分だけ
遅延させる、 ｄ）下記Ｉ〜IIによってＺ（ｉ）＝Ｘ（ｉ）＋Ｙ
₀ （ｉ）＊Ｎの値を計算する： Ｉ−第２の乗算回路20で、Ｙ₀ （ｉ）に、ｋサイクル分
遅延されたＮを乗じ、更に II−第２の直列加算回路31で、Ｘ（ｉ）をＹ₀ （ｉ）＊
Ｎの値に１ビットずつ加える、 ｅ）Ｚ（ｉ）の最下位ワードを考慮せず、残りのワー
ド、つまりＺ（ｉ）／２^k をレジスタ11に記憶する、 ｆ）Ｚ（ｉ）／２^k をＮと１ビットずつ比較して、続い
て上記の方法で更新された値Ｓ（ｉ）を決定する（この
比較は、第２の直列減算回路29でＺ（ｉ）／２^k とＮ
（回路33で更にｋサイクル分だけ遅延されている）とを
１ビットずつ減算することによって行われる）、

【００３０】ｇ）上記操作中、Ｂ（ｖ＋１）またはＢ
（ｖ＋１）−Ｎの（ｉ＋１）番目のワードがレジスタ10
から出力された時点でこれらがレジスタ16にロードされ
る。 ４．ｍ回目の反復で、Ｚ（ｍ）の最下位ワードを無視
し、残りのワード、つまりＺ（ｍ）／２^k をレジスタ10
に入力する。 ５．ステップ３と４をｐ−１回繰り返す。 ６．最後の反復でレジスタ10に記憶された結果を、必要
に応じてＮから減算された状態（減算回路27によって）
で出力する。

【００３１】ｌ＜ｎならば：方法は下記ステップ１〜７
を含む： １− Ｎをレジスタ12にロードして、同時にＢ（０）＝
０（０であるｎ個のビット）をレジスタ10にロードし、
更に回路44を初期化する（つまりＳＣ＝０となるように
信号ＲＥＳを発生させる）、 ２− レジスタ10と12の入力をそれらの出力に帰還させ
た状態で、これらレジスタの内容をｌビットだけ右シフ
トさせる、 ３− レジスタ10と12の両方においてそれらの内容を右
シフトさせることにより、Ｎ’＝Ｎ＊２^n-1 およびＢ
（０）を出力させる（ここで、レジスタ10の入力は減算
回路27の出力に接続されており、レジスタ12の入力はそ
の出力に接続されている）、 − 減算回路27で、Ｎ’とＢ（０）のビットが出てゆく
につれてそれらを１ビットずつ減算し、同時にＲ（０）
＝Ｂ（０）−Ｎ’と表される結果を１ユニットだけ左に
シフトさせる、 − Ｂ（１）＝２＊Ｒ（０）をレジスタ10にロードす
る、 − 減算回器40でＢ（１）とＮ’を１ビットずつ減算し
て、Ｂ（１）≧Ｎ’であるかＢ（１）＜Ｎ’であるかを
決定し、Ｂ（１）≧Ｎ’ならば回路44によってＳＣ＝０
を発生させ、そうでない場合にはＳＣ＝１を発生させ
る、

【００３２】４− インデックスｉで示されるループを
設定する。ここでｉは１からｎ−ｌ＋ｖまでの整数であ
ってｖはｖ＝（ｍｋ）／２^p （ｐは整数）を満足するよ
うな整数であり、ｉ番目の反復はそれぞれステップ２の
操作の再開であって、下記のように表される： − Ｂ（ｉ）＜Ｎ’ならば（ＳＣ＝１）、Ｂ（ｉ＋１）
＝２＊Ｂ（ｉ）＝２＊（Ｂ（ｉ）−０）をレジスタ10に
ロードする、 − そうでない場合（ＳＣ＝０）には、Ｂ（ｉ＋１）＝
２＊（Ｂ（ｉ）−Ｎ’）を第２のレジスタにロードす
る。 ５− Ｂ（ｎ−ｌ＋ｖ＋１）≧Ｎ’ならば、減算回路27
でＢ（ｎ−ｌ＋ｖ＋１）とＮ’を１ビットずつ減算して
２＊（Ｂ（ｎ＋ｖ−ｌ＋１）−Ｎ’）を与え、このデー
タ要素を右シフトによってレジスタ10に記憶し、レジス
タ10で２^n+(n-l)+v mod Ｎ’を得る。 ６− レジスタ10と12でｎ−ｌビットだけ右シフトを行
う。

【００３３】従ってレジスタ12にはＮ、レジスタ10には
２^n+v mod Ｎが存在する。 ７− 図１の回路を用いてｐ回のＰ_field 操作を行う、
ここで Ｈ_int （０）＝Ｂ（ｎ−ｌ＋ｖ＋１）＊２^l-n あるい
は、Ｂ（ｎ−ｌ＋ｖ＋１）≧Ｎ’ならばＢ（ｖ−ｌ＋ｖ
＋１）−Ｎ’）＊２^l-n 、 １〜ｐのｊについて： Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），Ｈ_int （ｊ−
１））_N を算出する。 上記の方法では、ｌ＝ｎの場合に実行される方法と比べ
て下記２つの相違点があることに注意されたい： −２つのシフトステップが追加されている（ステップ２
とステップ６） −Ｈ_int を算出するステップにおいて、反復の回数が可
変である。ステップ２に関しては、レジスタ10に記憶さ
れたビットが全て等しい状態で、レジスタ12においての
みシフトを行うように操作を制限することができる。ｌ
＝ｎの場合に比べて、ｌの値によって計算の時間は変化
することになろう。実際、この場合、Ｈを算出するのに
必要な時間は、減算操作についてはｎ＊（ｎ−ｌ＋ｖ＋
１）サイクル（ｌに依存する）、平方操作についてはｐ
＊ｍ＊（ｎ＋２＊ｋ＋ｘ）サイクル（変化なし）、更に
シフトのためにｎサイクルとなる。

【００３４】従ってＨを計算するのにかかる合計の時間
は、式：ｎ＊（ｎ−ｌ＋ｖ＋２）＋ｐ＊ｍ＊（ｎ＋２＊
ｋ＋ｘ）によって与えられる。 ｎ＝512 、ｘ＝７、ｖ＝32の場合、時間は：ｌ＝257 な
らば 185 280サイクルとなり、ｌ＝400 ならば 112 064
サイクルとなり、ｌ＝511 ならば 55 232サイクルとな
る。

【００３５】図２を参照して、図２の回路のリソースが
使用されると仮定した。このことによって、コプロセッ
サ全体のサイズが最小限に抑えられる。当然、Ｈの計算
専用に構成された回路を使用することが可能である。本
発明は、図１および図２に示した既存の回路を変更する
ことなく実行可能である限りにおいて、特に有利であ
る。変更されるのはこれらの回路が機能するのに必要な
各種の制御信号を発生させるシーケンス回路のみであ
る。特に、モジュロＮの有効サイズを考慮する必要があ
る。上述したように、本発明は従来の技術に比べて時間
を短縮することを可能にする。ｎ＝512 または256 でｋ
＝32の場合について、本出願人は、ｐ＝log₂（ｋ）−１
＝４が、Ｈを計算するのにかかる時間に関して最も効率
の良い妥協点であることを示した。従ってｎの値に応じ
てｖ＝２＊ｍ＝32または16となろう。以上、好ましい実
施例を参照しながら本発明を説明したが、本発明の範囲
を逸脱することなく各種の変更が可能であることは理解
されよう。

【図面の簡単な説明】

【図１】 モンゴメリ法によるモジュラ操作の実行を可
能にする回路を示す概略図。

【図２】 本発明によるエラー訂正パラメータの計算に
おいて使用される回路を示す図。

【符号の説明】

１ 回路 10、11、12 シフトレジスタ 13、14、15、23、24、25、25’、26、36、38、41、42
マルチプレクサ 16、17、18 レジスタ 19、20 乗算回路 21、22 記憶フリップフロップ回路 27、28、29、40 直列減算回路 30、31 直列加算回路 32、33、34 遅延回路 35 記憶回路 39 デマルチプレクサ 43 ＮＡＮＤゲート 44 記憶回路

───────────────────────────────────────────────────── フロントページの続き (51)Int.Cl.⁶ 識別記号 庁内整理番号 ＦＩ 技術表示箇所 Ｈ０４Ｌ 9/10 Ｈ０４Ｌ 9/00 ６２１Ｚ

Claims (3)

【特許請求の範囲】
1. 【請求項１】 ２進エラー訂正パラメータＨ＝２^2*m*k
   mod Ｎを算出するための方法において、Ｎが、それぞれ
   ｋビットよりなるｍ個のワードにエンコードされたモジ
   ュロと呼ばれる２進データ要素であり、下記のステップ
   １〜４ １．モジュロＮを第１のｎビットのレジスタ（ｎ＝ｍ＊
   ｋ）にロードして、第２のｎビットのレジスタをゼロに
   初期化し（第２のレジスタの内容はＢ（０）と表され
   る）、 ２．下記の操作によって、ｎビットにエンコードされた
   データ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ）を算出し記
   憶する、 − 第１および第２のレジスタで右シフトを行って、２
   つのレジスタの内容を１ビットずつ減算し、Ｒ（０）と
   表される上記１ビット単位の減算の結果を１ユニットだ
   け左にシフトさせ、 − シフト後、Ｂ（１）と表される減算結果を第２のレ
   ジスタにロードし、 − Ｂ（１）とＮを比較する、 ３．インデックスｉで示されるループを設定することに
   よって（ｉは１からｖの整数で、ｉ回目の反復はそれぞ
   れ以下の操作を含む）、ｎビットにエンコードされたデ
   ータ要素Ｈ_int ＝２^n+V mod Ｎを算出し（ここで、ｖ
   は、ｖ＝（ｍ＊ｋ）／２^p （ｐは整数）となるような整
   数とする）、 − Ｂ（ｉ）＜Ｎならば、Ｂ（ｉ）を１ユニットだけ左
   にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第２
   のレジスタにロードし、更にＢ（ｉ）とＮを１ビットず
   つ比較する、 − そうでない場合には、ＮおよびＢ（ｉ）を１ビット
   ずつ減算し、同時に結果を１ユニットだけ左にシフトさ
   せてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ）を第２のレジ
   スタにロードし、更にＢ（ｉ＋１）とＮを１ビットずつ
   比較する、 ４．ｐ回の操作Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），
   Ｈ_int （ｊ−１））_Nを実行することによってパラメー
   タＨを算出する（ここでｊは１からｐのインデックスで
   あり、Ｈ_int （０）＝Ｂ（ｖ＋１）またはＢ（ｖ＋１）
   −Ｎである）。ことを特徴とする方法。
2. 【請求項２】 ２進エラー訂正パラメータＨ＝２^2*m*k
   mod Ｎを算出するための方法であって、Ｎが、それぞれ
   ｋビットよりなるｍ個のワードにエンコードされたモジ
   ュロ要素と呼ばれる２進データ要素であり、Ｎの最も上
   位のｎ−ｌ個のビットがゼロであり、（ｎ＝ｍ＊ｋおよ
   びｌ＜ｎ）、下記１〜７のステップ １．モジュロＮを第１のｎビットのレジスタ（ｎ＝ｍ＊
   ｋ）にロードして、第２のｎビットのレジスタをゼロに
   初期化し（第２のレジスタの内容はＢ（０）と表され
   る）、 ２．第１のレジスタを、その入力に帰還させた状態でｌ
   ビットだけ右にシフトさせる、 ３．下記の操作によって、ｎビットにエンコードされた
   データ要素Ｂ（１）＝２＊（Ｂ（０）−Ｎ’）を算出し
   記憶し（Ｎ’＝Ｎ＊２^n-l ）： − 第１および第２のレジスタで右シフトを行って、２
   つのレジスタの内容を１ビットずつ減算し、Ｒ（０）と
   表される上記１ビット単位の減算の結果を１ユニットだ
   け左にシフトさせ、 − シフト後、Ｂ（１）と表される減算結果を第２のレ
   ジスタにロードし、 − Ｂ（１）とＮ’を比較する、 ４．インデックスｉで示されるループを設定することに
   よって（ｉは１からｎ−ｌ＋ｖの整数で、ｉ回目の反復
   はそれぞれ以下の操作を含む）、ｎビットにエンコード
   されたデータ要素Ｈ_int ＝２^n+(n-l)+v mod Ｎ’を算出
   する（ここで、ｖは、ｖ＝（ｍ＊ｋ）／２^p （ｐは整
   数）であるような整数とする）： − Ｂ（ｉ）＜Ｎ’ならば、Ｂ（ｉ）を１ユニットだけ
   左にシフトさせた後、Ｂ（ｉ＋１）＝２＊Ｂ（ｉ）を第
   ２のレジスタにロードし、更にＢ（ｉ＋１）とＮ’を１
   ビットずつ比較する、 − そうでない場合には、Ｎ’およびＢ（ｉ）を１ビッ
   トずつ減算し、同時に結果を１ユニットだけ左にシフト
   させてＢ（ｉ＋１）＝２＊（Ｂ（ｉ）−Ｎ’）を第２の
   レジスタにロードし、更にＢ（ｉ＋１）とＮ’を１ビッ
   トずつ比較する、 ５．Ｂ（ｎ−ｌ＋ｖ＋１）≧Ｎ’ならば、Ｂ（ｎ−ｌ＋
   ｖ＋１）とＮ’を１ビットずつ減算してＢ（ｎ−ｌ＋ｖ
   ＋１）−Ｎ’を第２のレジスタにロードし、 ６．第１および第２のレジスタでｎ−ｌビットだけ右シ
   フトを行う、 ７．ｐ回の操作Ｈ_int （ｊ）＝Ｐ（Ｈ_int （ｊ−１），
   Ｈ_int （ｊ−１））_Nを実行することによってパラメー
   タＨを算出する（ここでｊは１からｐのインデックスで
   あってＨ_int （０）＝Ｂ（ｎ−ｌ＋ｖ＋１）＊２^l-n ま
   たは（Ｂ（ｎ−ｌ＋ｖ＋１）−Ｎ’）＊２^l-n である）
   ことを特徴とする方法。
3. 【請求項３】 ｐ＝log₂（ｋ）−１であることを特徴と
   する請求項１または２に記載の方法。