JPH09274560A - べき乗剰余演算回路及びべき乗剰余演算システム及びべき乗剰余演算のための演算方法 - Google Patents

Abstract

(57)【要約】 （修正有） 【課題】 べき乗剰余演算の解を求めるに際し、予め用
意されたモード信号を供給するのみで、各種演算を実行
する。 【解決手段】 Ｍ^eｍｏｄＮの乗剰余演算回路におい
て、Ｎと素であり、かつＮよりも大きい整数Ｒを用い、
第１のモード信号に対応したタイミング制御信号に応答
して、Ａ・Ａ・Ｒ’ｍｏｄＮ（Ｒ’はｍｏｄＮ法下での
Ｒのインバース）なる第１の演算を実行し、整数Ｒを用
い、第２のモード信号に対応したタイミング制御信号に
応答して、Ａ・Ｂ・Ｒ’ｍｏｄＮなる第２の演算を実行
し、整数Ｒを用い、第３のモード信号に対応したタイミ
ング制御信号に応答して、Ａ・１・Ｒ’ｍｏｄＮなる第
３の演算を実行する演算部と、第１ないし第３のモード
信号に対応したタイミング制御信号を演算部に出力する
タイミング制御回路Ｔ／Ｃとを設ける。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、情報通信ネットワー
ク、交通、金融、医療、流通等の分野において使用され
る情報の暗号化技術及び復号化技術に関するものであ
り、特にこれらの情報の暗号化及び復号化を実現するた
めのべき乗剰余演算回路及びそのシステム及びべき乗剰
余演算のための演算方法に関するものである。

【０００２】

【従来の技術】情報通信技術の発展に伴い、情報ネット
ワーク上のセキュリティーの確保（データの盗用や破壊
を防止する）が重要視されるようになってきている。そ
のために、情報の暗号化技術及び復号化技術が、情報通
信分野にとどまらず、交通、金融、医療、流通等の身近
な分野で使用されつつある。従って、この種の暗号化技
術及び復号化技術は、高度なセキュリティーが単純な原
理によって実現できることが要求される。まず、この種
の技術の理解を容易にするため、情報の暗号化・復号化
についての概略を説明する。

【０００３】暗号の世界においては、”非対象アルゴリ
ズム”が質的に優れている。非対象暗号アルゴリズムと
は、暗号化鍵と復号化鍵が異なっており、そのいずれか
一方から他方が”容易に計算できない”暗号アルゴリズ
ムをいう。

【０００４】この非対象暗号アルゴリズムの代表的なも
のに、べき乗剰余演算を用いるタイプのＲＳＡ暗号、エ
ルガマル暗号、ラビン暗号、ウイリアムス暗号等があ
る。そして、暗号アルゴリズムを応用する上では、”デ
ィジタル署名”のシステムがあり、現在その標準化の動
きがある。その対象となっている代表的なものは、ＲＳ
Ａ署名法、エルガマル署名法、シュノア署名法、ＤＳＡ
（Digital Sigunature Algorithm）署名法等であり、こ
れらは全て長いビット長のべき乗剰余演算を使用するタ
イプのものである。従って、これらのディジタル署名の
システムを実現する上では、長いビット長のべき乗剰余
演算を短時間で終了することのできる演算器の開発が必
要不可欠である。

【０００５】上で説明したＲＳＡ暗号、エルガマル暗
号、ラビン暗号、ウイリアムス暗号等は、次式（１）の
べき乗剰余演算の形式が基本として使用される。式
（１）は、Ｘ^YをＮで割った時の余りを求めることを意
味する。また、式（１）において、Ｘは暗号化（復号
化）の対象となる平文、Ｙ及びＮは暗号化（復号化）の
ための鍵（キー）である。

【０００６】Ｘ^YｍｏｄＮ・・・（１） このべき乗剰余演算を用いることにより、情報の暗号化
及び復号化が容易に実行され、かつＸ、Ｙ、Ｎのオペラ
ンドビット長を長くすることで、各鍵の解読を困難にす
ることができる。

【０００７】しかし、オペランドビット長を長くする
と、べき乗剰余演算に長時間を要することになる。そこ
で、オペランドビット長が長いべき乗剰余演算をいかに
短時間に終了させるかがポイントとなる。

【０００８】さて、ＲＳＡ暗号を例にとり、べき乗剰余
演算を使用した実際の暗号化・復号化、その使われ方を
以下に説明する。

【０００９】（１）ＲＳＡ暗号の暗号化・復号化の概略 暗号化には、 Ｃ＝Ｍ^eｍｏｄｎ・・・（２） なる式を使用する。

【００１０】復号化には、 Ｍ＝Ｃ^dｍｏｄｎ・・・（３） なる式を使用する。ここでＭは、暗号化の対象となる平
文、Ｃは暗号化された平文すなわち暗号文である。そし
て、式（２）におけるｅ、ｎは暗号化鍵、式（３）にお
けるｄ、ｎは復号化鍵であり、 ｎ＝ｐ・ｑ・・・（４） １≡ｅ・ｄｍｏｄ｛ＬＣＭ（ｐ−１，ｑ−１）｝・・・（５） （≡は、左辺と右辺が相似であること、ＬＣＭは、最小
公倍数を意味する。またｐとｑとは互いに素な整数であ
る。）なる条件があらかじめ与えられている。なお、
ｅ、ｎは公開鍵、ｄ、ｐ、ｑは秘密鍵である。

【００１１】以上の式（４）（５）は、ともに暗号アル
ゴリズム上のべき乗剰余演算の数値の条件を定義してお
り、式（４）は、ｎは互いに素な大きな素数ｐとｑとの
積であることを示している。今、ｐとｑはともに奇数な
ので、当然ｎは奇数でなければならない。次に式（５）
は、式（４）で示したｐ及びｑの１だけ小さい値同士の
最小公倍数でｅとｄとの積ｅ・ｄを割ったときの余りが
１になることを示している。

【００１２】以上の式（４）（５）のような条件に基づ
き、平文Ｍは式（２）を用いて暗号化され、また暗号化
された平文Ｍ（暗号文Ｃ）は式（３）を用いて復号化さ
れる。

【００１３】（２）暗号化・復号化の事例 次に具体的な事例として、「発信者Ａは平文Ｍを暗号文
Ｃに暗号化して送信し、受信者Ｂは暗号文Ｃを平文Ｍに
復号化する。」という伝達（ディジタル署名あり）を行
った場合の、発信者Ａ及び受信者Ｂが行う処理方法を図
２を用いて説明する。

【００１４】送信者Ａが行う処理 ・自分が作成した平文ＭＡを自分の秘密鍵ｄ^Aを使って
変形し、署名文ＣＡを作成する。（署名） ＣＡ≡ＭＡ^dAｍｏｄｎＡ・・・（６） ・Ｂの公開鍵ｅＢを使って、暗号化署名文ｃＡを作成す
る。（暗号化） ｃＡ≡ＣＡ^eBｍｏｄｎＢ・・・（７） ・ｃＡをＢへ送信する。

【００１５】受信者Ｂが行う処理 ・受信した暗号化署名文ｃＡを自分の秘密鍵ｄＢを使っ
て変形する。（復号化） ｃＡ^dBｍｏｄｎＢ≡（ＣＡ^eBｍｏｄｎＢ）^dBｍｏｄｎＢ・・・（８） ここで、ＣＡ^eB＝Ｘとおくと、式（８）は、 （ＣＡ^eBｍｏｄｎＢ）^dBｍｏｄｎＢ＝（ＸｍｏｄｎＢ）^dBｍｏｄｎＢ・・（９ ） と変形できる。

【００１６】ここで、式（９）中のＸｍｏｄｎＢ＝Ｙと
おく、すなわちＸをｎＢで割ったときの余りがＹであり
そのときの商がｋとすると、 Ｘ＝ｋ・ｎＢ＋Ｙ Ｙ＝Ｘ−ｋ・ｎＢ・・・（１０） と変形できる。よって、式（１０）を式（９）の右辺に
代入すると、 （ＸｍｏｄｎＢ）^dBｍｏｄｎＢ＝Ｙ^dBｍｏｄｎＢ ＝（Ｘ−ｋ・ｎＢ）^dBｍｏｄｎＢ・・・（１１ ） となる。式（１１）の（Ｘ−ｋ・ｎＢ）^dBを展開する
と、定数ａｉ（ｉ＝１、２、・・・）を用いて、 （Ｘ−ｋ・ｎＢ）^dB＝（Ｘ^dB−ａ１・Ｘ^dB-1・ｎＢ＋ａ２・Ｘ^dB-2・ｎＢ²− ・・・・−ａｉ・ｎＢ^dB）・・・（１２） と表すことができる。この式（１２）を式（１１）に代
入すると、 （ＸｍｏｄｎＢ）^dBｍｏｄｎＢ＝Ｙ^dBｍｏｄｎＢ ＝（Ｘ−ｋ・ｎＢ）^dBｍｏｄｎＢ ＝（Ｘ^dB−ａ１・Ｘ^dB-1・ｎＢ＋ａ２・Ｘ^dB-2・ ｎＢ²−・・・−ａｉ・ｎＢ^dB）ｍｏｄｎＢ ＝Ｘ^dBｍｏｄｎＢ−ａ１・Ｘ^dB-1・ｎＢｍｏｄｎＢ ＋ａ２・Ｘ^dB-2・ｎＢ²ｍｏｄｎＢ−・・・・ −ａｉ・ｎＢ^dBｍｏｄｎＢ この式中の第２項以降は、全てｎＢで割り切れるので、削除できる。よって、 ＝Ｘ^dBｍｏｄｎＢ・・・（１３） となる。先にＣＡ^eB＝Ｘとしたので、元に戻すと、 ＝（ＣＡ^eB）^dBｍｏｄｎＢ・・・（１４） が得られる。

【００１７】ここまでの過程をまとめると、 ｃＡ^dBｍｏｄｎＢ≡（ＣＡ^eBｍｏｄｎＢ）^dBｍｏｄｎＢ ＝（ＣＡ^eB）^dBｍｏｄｎＢ となる。

【００１８】さて、上記のｅＢ、ｄＢは、式（５）を満
足するので、ある整数ｈを用いて ｅＢ・ｄＢ＝ｈ（ｐＢ−１）＋１ と表せる。ここで、素数ｐと、ｐと互いに素な任意の整
数Ｘに対して Ｘ^p-1ｍｏｄｐ＝１ が成立するというフェルマの小定理を用いると、 ＣＡ^eB・dBｍｏｄｐＢ＝ＣＡ^h(p-1)+1ｍｏｄｐＢ ＝ＣＡ・ＣＡ^h(p-1)ｍｏｄｐＢ ＝ＣＡｍｏｄｐＢ・・・（１５） となる。ＣＡがｐＢの倍数でも上式を満足するので、全
てのＣＡについてＣＡ^{eB ・dB}−ＣＡは、ｐＢで割り切れ
る。同様にＣＡ^eB・dB−ＣＡはｑＢでも割り切れる。ｐ
ＢとｑＢは、異なる素数なので、ＣＡ^eB・dB−ＣＡはｎ
Ｂ＝ｐＢ・ｑＢでも割り切れる。よって、 ｃＡ^dBｍｏｄｎＢ≡ＣＡ^eB・dBｍｏｄｎＢ≡ＣＡｍｏｄ
ｎＢ（＝ＣＡ） が成立する。

【００１９】・送信者の公開鍵ｅＡを使用して、平文Ｍ
Ａを作成する。（署名認証） 上記した復号化処理と同様にして計算すると、 が導き出される。

【００２０】以上のように、ｅ、ｄ、ｎの値を式（４）
（５）のような条件下で決定し、式（１）のようなべき
乗剰余演算の形式を基本として使用することにより、平
文を暗号化しまた暗号化された平文を復号化することが
できる。

【００２１】例えば、ｎ＝１５、ｅ＝３、ｐ＝５、ｑ＝
３、ｄ＝１１とし、 （ｎ＝ｐ・ｑ＝５・３＝１５、 ｅ・ｄｍｏｄ（ｐ−１）・（ｑ−１）＝３・１１ｍｏｄ４・２ ＝３３ｍｏｄ８ ＝１） 平文Ｍ＝１３とすると、 暗号化：Ｃ＝Ｍ^eｍｏｄｎ＝１３³ｍｏｄ１５＝２１９７
ｍｏｄ１５＝７ 復号化：Ｍ＝Ｃ^dｍｏｄｎ＝７¹¹ｍｏｄ１５＝１９７７
３２６７４３ｍｏｄ１５＝１３ となり、平文Ｍ＝１３が復号化されたことが確認され
た。

【００２２】（３）べき乗剰余演算の演算方法 次に、暗号化・復号化で使用される、べき乗剰余演算の
演算方法を説明する。

【００２３】Ａ＝Ｍ^eｍｏｄＮのべき乗剰余演算は、整
数ｅの２進数展開をｅ＝ｅ^k-1・・・ｅ¹ｅ⁰として、以
下のフロー１に示す反復平方積法を使用して実行され
る。

【００２４】 そして、この反復平方積法をフローチャートで表現する
と、図３のようになる。

【００２５】まず、初期値１をＡレジスタに格納する。
次に、Ａレジスタに格納された値を乗算してＡ×Ａを求
め、このＡ×ＡをＮで除算して余りを求め、この値をレ
ジスタａに格納する。次に、レジスタａに格納された値
をレジスタＡに格納する。このとき、もし指数ｅが１な
らば、レジスタＡに格納された値と平文Ｍを乗算した後
Ｎで除算して余りを求め、この値をレジスタａに格納す
る。そして、このレジスタａの内容を再度レジスタＡに
格納する。もし、指数ｅが０ならば、以上の計算は行わ
ずに、レジスタＡに格納された値には何も施さない。こ
の演算をｅの最上位ビットから最下位ビットまで繰り返
し行い、最終的にレジスタＡに格納された値が、求めた
いべき乗剰余演算の解になる。

【００２６】以上のように、演算の基本は、式（１６）
（１７）に示すように乗算と除算（ｍｏｄ算）である。
乗算は、初期値を１とするＡの値に対してＡ×Ａあるい
はＡ×Ｍを行う部分であり、除算は、各々の乗算で得ら
れた値に対してｍｏｄＮを行う部分である。この”乗算
と除算”（Ａ×ＡｍｏｄＮ、Ａ×ＭｍｏｄＮ）を一対の
演算として、”ｅ”のビット値に従って繰り返す。つま
り、”ｅ”の最上位ビットから最下位ビットまでの各ビ
ットの内容によって”乗算と除算”を行うのである。

【００２７】

【発明が解決しようとする課題】べき乗剰余演算は、基
本となる剰余演算（ｍｏｄ算）を繰り返し行うことで解
を得ることができることを示したが、この繰り返し回数
自体は、たかだか数百〜数千回であるので、ソフト的な
処理でも充分に対応できる。しかしながら、この剰余演
算自体すなわち除算を実行するためには、大規模な演算
回路と複雑な処理手順が必要とされるため改善が望まれ
ていた。

【００２８】

【課題を解決するための手段】本発明の代表的なもの
は、正の整数Ｍ、ｅ、Ｎに関するＭ^eｍｏｄＮなるべき
乗剰余演算を行うべき乗剰余演算回路において、Ｎと素
であり、かつＮよりも大きい整数Ｒを用い、第１のモー
ド信号に対応したタイミング制御信号に応答して、Ａ・
Ａ・Ｒ’ｍｏｄＮ（Ｒ’はｍｏｄＮ法下でのＲのインバ
ースである。）なる第１の演算を実行し、前記整数Ｒを
用い、第２のモード信号に対応したタイミング制御信号
に応答して、Ａ・Ｂ・Ｒ’ｍｏｄＮなる第２の演算を実
行し、前記整数Ｒを用い、第３のモード信号に対応した
タイミング制御信号に応答して、Ａ・１・Ｒ’ｍｏｄＮ
なる第３の演算を実行する演算部と、前記第１ないし第
３のモード信号を受信し、前記第１ないし第３のモード
信号に対応した前記タイミング制御信号を前記演算部に
出力するタイミング制御回路とを設けたものである。

【００２９】

【発明の実施の形態】べき乗除余演算は、基本となる剰
余演算（ｍｏｄ算）を実行する手順が非常に複雑である
ため、演算回路が大規模化してしまうことを前述した。
そこで、Montgomery（モンゴメリー）は、剰余演算（ｍ
ｏｄ算）を先のような一般的な方法で行わずに、”乗
算”と簡単なビット列処理を行うことによって、剰余演
算の解を得る仕組みを提案している。本発明は、基本的
にこのモンゴメリーが提案している仕組みを利用して演
算を行うものであるので、以下にモンゴメリーが提案し
ている手法について簡単に説明するが、各演算におい
て、演算時間を短縮するための工夫は、本願特有のもの
であることを述べておく。

【００３０】剰余演算において、ＲをモジュラスＮより
少しだけ大きい２の指数と定義し、”乗算ｍｏｄＮ”
〔（ある値×ある値〕÷（値Ｎ）の余りを求めるという
意味。〕の法下でのＲのインバース値をＲ’と定義し、
（Ｒ・Ｒ’ｍｏｄＮ＝１が成立する。）さらに、Ｒ・
Ｒ’−Ｎ・Ｎ’＝１、０＜Ｎ’＜Ｒなる関係を満足する
Ｎ’（Ｎ’は、”乗算ｍｏｄＮ”の法下でのＮのインバ
ース値である。）を定義する。この時に、例えば、Ｍ
（Ｘ）＝ＸｍｏｄＮ形式の剰余演算を行う場合に、 Ｍ’（Ｘ）＝Ｘ・Ｒ’ｍｏｄＮ・・・（１８） の形に置き換えて、次のフロー２に示すＲＥＤＣ（Ｘ）
関数の計算方法を実行すれば、剰余演算（ｍｏｄ算）の
解を先の一般的方法（乗算と除算とを単に実行するも
の）によらずに得ることができるというものである。た
だし、フロー２は剰余演算の解を求めるフローであり、
べき乗剰余演算の解を求めるフローではない。なお、上
記関数で得られたｔかｔ−Ｎが式（１８）の解である。

【００３１】 以上の関数を見ると、演算要素がＮ及びＮ’を使用した
乗算と、Ｒを用いた除算で構成されている。Ｒ＝２ⁿと
いう定義なので、Ｒを用いた除算は、被除算値の２ⁿ以
上の値が商、２ⁿ未満の値が余りを示す。従って、式
（１９）におけるｍｏｄ算においては、基本的に２ⁿ未
満の値を見るだけでよく、式（２０）における除算にお
いては、基本的に２ⁿ以上の値を見るだけでよい。つま
り、実質的に除算（剰余演算）を行うことなく乗算と加
算のみで剰余演算の解を求めることができる。

【００３２】次に参考のために、ｍ、Ｒ、Ｎとの間の関
係を式（１９）（２０）を使用して説明する。式（１
９）において、 ｍ・Ｎ＝（（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲ）・Ｎ ≡Ｘ・Ｎ・Ｎ’ｍｏｄＲ ≡Ｘ・（Ｒ・Ｒ’−１）ｍｏｄＲ ≡Ｘ・Ｒ・Ｒ’ｍｏｄＲ−ＸｍｏｄＲ ≡−ＸｍｏｄＲ Ｘ＋ｍ・Ｎ≡Ｘ＋（−ＸｍｏｄＲ） ≡０ｍｏｄＲ となる。この式は、Ｘ＋ｍ・ＮをＲで割ったときの余り
が０、言い替えると、Ｘ＋ｍ・Ｎは、Ｒで割り切れるこ
とを意味する。

【００３３】ここで、Ｘ＋ｍ・Ｎは、”Ｘ”と”Ｎの乗
算”との和であるから、 （Ｘ＋ｍ・Ｎ）ｍｏｄＮ≡ＸｍｏｄＮ＋ｍ・ＮｍｏｄＮ ≡ＸｍｏｄＮ よって、式（２０）より、 ｔ・ＲｍｏｄＮ≡ＸｍｏｄＮ この両辺をＲ’倍すると、 ｔ・Ｒ・Ｒ’ｍｏｄＮ≡ｔｍｏｄＮ≡Ｘ・Ｒ’ｍｏｄＮ となる。

【００３４】ところで、上記式Ｘ・Ｒ’ｍｏｄＮ中のＸ
が、ｍｏｄＮあるいはｍｏｄＲを計算した後の乗算値で
あるならば、（Ｘが、ｍｏｄＮあるいはｍｏｄＲを計算
した後の乗算値であることは後に説明する。） Ｘ＜Ｎ・Ｎ＜Ｒ・Ｎ＜Ｒ・Ｒ ｍはｍｏｄＲを実行した結果であるから、ｍ＜Ｒであ
る。よって、ｍ・Ｎ＜Ｒ・Ｎとなる。

【００３５】Ｘ＜Ｒ・Ｎであるから、Ｘ＋ｍ・Ｎ＜Ｒ・
Ｎ＋Ｒ・Ｎ＝２Ｒ・Ｎである。従って、 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ＜２Ｎ ｔ＜２Ｎ が成立する。

【００３６】そして、もしｔがＮより大きい値の場合、
両辺からＮを引くと、 ｔ−Ｎ＜Ｎ となり、この式からｔ−Ｎは、ｍｏｄＮを施した値とな
ることがわかる。

【００３７】さらに、式（２０）のｔ＝（Ｘ＋ｍ・Ｎ）
／Ｒの計算と、ｔの計算終了について補足する。

【００３８】Ｘ＋ｍ・Ｎは、必ずＲの倍数であるから、
例えば、Ｒ＝２⁵⁷⁶とすると、Ｘ＋ｍ・Ｎの５７６ビッ
ト未満の値は全て０である。従って、式（２０）のｔの
計算は次の２通りに分けられる。

【００３９】・ＸがＲの倍数でない場合 Ｘ＋ｍ・ＮとＲのビット列イメージを示すと以下のよう
になる。

【００４０】Ｒ＝１０００・・・００００ Ｘ＝ ？？？？？？？？・・・？？？？ ｍ・Ｎ＝ ？？？？？？？？・・・？？？？ Ｘ＋ｍ・Ｎ＝？？？？？？０００・・・００００ 式（２０）の計算において、ｔは必ず整数値が得られる
ので、Ｘ＋ｍ・ＮはＲの倍数になる。従って、Ｘ＋ｍ・
Ｎは、上記ビット列イメージのようになる。そして、ア
ンダーラインを付与した部分がｔの解となる。その理由
は、Ｘ＋ｍ・ＮはＲの倍数であるから、Ｘ及びｍ・Ｎの
Ｒ値未満の加算結果は必ず０になるはずで、しかもそれ
らの？で示す値は元々オール０ではないので、加算の課
程でＲ値以上の桁への桁上げが生じているはずである。
よって、この場合、Ｘ及びｍ・Ｎ値のＲ値未満の値を無
視して、 ｔ＝（Ｘ値のＲ以上の値）＋（ｍ・Ｎ値のＲ値以上の
値）＋１ の計算で解が得られる。

【００４１】・ＸがＲの倍数である場合 ＸとＲのビット列イメージを示すと以下のようになる。

【００４２】Ｒ＝１０００・・・００００ Ｘ＝ ？？？？？０００・・・００００ このとき、式（１９）中のＸｍｏｄＲは０となるので、
ｍ＝０となる。ｍ＝０ならば式（２０）の計算は、ｔ＝
Ｘ／Ｒで良いことになる。ここで、ｔは必ず整数値が得
られるので、 ｔ＝（Ｘ値のＲ以上の値） の計算で解が得られる。

【００４３】Ｘ値がＲの倍数であるか否かの判別は、Ｘ
値のＲ未満の値が０か否かで判別できる。このことは、
ｔの計算においてＸ値の全ビット長分を計算する必要が
なく、計算量の縮小と計算時間の短縮が図れることを意
味する。

【００４４】ｔの計算終了に関しては、ＲＥＤＣ（Ｘ）
関数の演算結果ｔは０＜ｔ＜２Ｎの範囲内の値となり、
Ｎ＜ｔの時再度ｔ−Ｎの計算を行わなければならないこ
とをフロー２で示した。しかし、べき乗剰余演算の途中
で行われたＲＥＤＣ（Ｘ）関数の演算結果ｔについて
は、Ｎ＜ｔの関係にあってもｔ＜Ｒの範囲であれば、そ
のまま後の演算に進んでも構わない。なぜなら、後のｍ
ｏｄ算でここで取り残されたＮ値を除去するからであ
る。

【００４５】いま、べき乗剰余演算の途中の演算結果を
ＭｍｏｄＮ＝Ｓとすると、 Ｍ＝ｋ１・Ｎ＋Ｓ＝（ｋ１−１）・Ｎ＋Ｎ＋Ｓ となる関係が成立しているから、今回のｍｏｄ算でＮ＋
Ｓを取り残したと考えると次のｍｏｄ算、例えばべき乗
剰余演算のＡ²ｍｏｄＮ（図３参照）にて Ｍ１＝Ａ・Ａ＝（Ｎ＋Ｓ）・（Ｎ＋Ｓ） ＝Ｎ²＋２・Ｎ・Ｓ＋Ｓ² という処理を施して、再度ｍｏｄ算を行う。

【００４６】 Ｍ１ｍｏｄＮ＝（Ｎ²＋２・Ｎ・Ｓ＋Ｓ²）ｍｏｄＮ ≡Ｓ²ｍｏｄＮ となり、これは前のｍｏｄ算で取り残したＮ値を除去し
ていることを意味する。また、Ｍ１をべき乗剰余演算の
Ａ・ＭｍｏｄＮにて計算しても同様である。モンゴメリ
手法下でも同様のことが言える。

【００４７】簡単のために低ビット長の実際の数値例で
説明する。

【００４８】Ｎ＝１３（１１０１），Ｒ＝（１０００
０），前回のＲＥＤＣ（Ｘ）関数で得られた値ｔ＝１５
（１１１１）とすると、これらは、Ｎ≦ｔ＜Ｒ＜２Ｎの
関係にある。この時のｔのｂｉｔ４は”０”であるが、
ｔの値自体未だｍｏｄ算の純粋な解は得られていない。
しかし、ｔはＮのビット長を越えていないので、次のべ
き乗剰余演算のＡ・Ａ・Ｒ’ｍｏｄＮあるいはＡ・Ｍ・
Ｒ’ｍｏｄＮのべき乗剰余演算の上でＡに代入する値と
しては妥当である。つまり、次に行なわれる乗算Ａ・
Ａ、Ａ・Ｍの結果の値が規定のビット長（上記の数値例
では４ビット×２＝８ビット）を越えないので、ビット
長が規定された”乗算Ｒ’ｍｏｄＮ”の演算を継続して
行なうことができる。

【００４９】ところで、ｔ＝１５＝１３＋２＝Ｎ＋２と
表せる。このことはｍｏｄＮの計算の上では前回のＲＥ
ＤＣ（Ｘ）関数で得たｔの値は”Ｎを取り残した値”で
あると言える。このｔの値のまま、Ａに代入してＡ・Ａ
・Ｒ’ｍｏｄＮの計算を行なうと、 Ａ・Ａ・Ｒ’ｍｏｄＮ＝（Ｎ＋２）・（Ｎ＋２）・Ｒ’ｍｏｄＮ ＝（Ｎ²＋４Ｎ＋４）・Ｒ’ｍｏｄＮ ≡Ｎ²・Ｒ’ｍｏｄＮ＋４Ｎ・Ｒ’ｍｏｄＮ＋４・Ｒ’ｍｏｄＮ ≡４・Ｒ’ｍｏｄＮ となる。これは仮に前回のＲＥＤＣ（Ｘ）関数で得たｔ
の値がｔ＝Ｎ＋２ではなくｍｏｄＮ算の純粋な解ｔ＝２
でＡ・Ａ・Ｒ’ｍｏｄＮの計算を行なった場合と同じ結
果となる。

【００５０】（実際例）Ｘ＝４４１２３，Ｒ＝２⁸ ，Ｎ
＝１９９の時のＭ’（Ｘ）＝Ｘ・Ｒ’ｍｏｄＮの計算。

【００５１】Ｒ・Ｒ’ｍｏｄＮ＝１、Ｒ・Ｒ’−Ｎ・
Ｎ’＝１の関係からＲ’＝７、Ｎ’＝９。従って、Ｍ’
（Ｘ）＝４４１２３×７ｍｏｄ１９９＝１３＝０Ｄ_H と
なる筈である。ここでＲＥＤＣ（Ｘ）関数を使用して上
記解を得る。

【００５２】Ｘ＝４４１２３＝ＡＣ５Ｂ_H，Ｒ＝１０
０_H，Ｎ＝１９９＝Ｃ７_H，Ｎ’＝９_Hより、 （ＲＥＤＣ（Ｘ）関数） ｍ＝（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲ＝５Ｂ_H×９_Hｍｏｄ
Ｒ＝３３３_HｍｏｄＲ＝３３_H ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ＝（ＡＣ５Ｂ_H＋３３_H×Ｃ
７_H）／Ｒ＝Ｄ４００_H／Ｒ＝Ｄ４_H 純粋な解は、ｔ−Ｎ＝Ｄ４_H−Ｃ７_H＝０Ｄ_Hであるがこ
のままｔ・ｔ・Ｒ’ｍｏｄＮを実行してみる（次式１） １、ｔ＝Ｄ４_H→ｔ・ｔ＝Ｄ４_H×Ｄ４_H＝ＡＦ９０_Hの場
合 ｍ＝（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲ＝９０_H×９_Hｍｏｄ
Ｒ＝５１０_HｍｏｄＲ＝１０_H ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ＝（ＡＦ９０_H＋１０_H×Ｃ
７_H）／Ｒ＝ＢＣ００_H／Ｒ＝ＢＣ _H ２、ｔ＝０Ｄ_H→ｔ・ｔ＝０Ｄ_H×０Ｄ_H＝００Ａ９_Hの場
合 ｍ＝（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲ＝Ａ９_H×９_Hｍｏｄ
Ｒ＝５Ｆ１_HｍｏｄＲ＝Ｆ１_H ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ＝（００Ａ９_H＋Ｆ１_H×Ｃ
７_H）／Ｒ＝ＢＣ００_H／Ｒ＝ＢＣ _H 上式１、２の計算結果は、アンダーラインように同値と
なる。

【００５３】このことは、演算時間短縮を図る上では重
要である。つまり、Ｎの最上位ビットをbit(n-1)とする
とき、得られたｔのbit(n)が１の時ｔ−Ｎを行い、０の
時は後の演算に進むようにすれば良い。

【００５４】一般に５７６ビット長オペランドのべき乗
剰余演算の場合は、Ｒ＝２⁵⁷⁶にする。そのとき、式
（２０）の計算結果が５７６ビット長を越えた場合（５
７６ビットの桁あふれが生じた場合）が、ｔ≧Ｒを示
す。また、その場合のｔ−Ｎの計算は、 ｔ−Ｎ＝（ｔ値の下位５７６ビットの値）＋（Ｎのイン
バース値）＋１ で求める。暗号アルゴリズムの世界でのＮの値は奇数で
あるから、Ｎのインバース値＋１は、Ｎのインバースを
求めてその最下位ビットを１にする操作で得られる。

【００５５】さて、フロー２で示した、モンゴメリー演
算を実行するためのＲＥＤＣ関数は、モンゴメリー演算
の解を得ているにすぎない。すなわち、式（１８）に示
すように、計算を容易にするためＲ’という特有の数値
を使用している。そもそも求めたいのは、Ｒ’を含まな
い乗算ｍｏｄＮ形式を使用した式の解であるので、フロ
ー２で示すモンゴメリ演算の解を、何がしかの操作で
Ｒ’を含まない数値に戻す必要がある。

【００５６】そこで、本願では、次のような性質を利用
して、モンゴメリ演算特有の上記Ｒ’という値を相殺し
た。

【００５７】今、Ｍ’（Ｘ）＝Ｘ・Ｒ’ｍｏｄＮにおい
て、Ｘが（Ｘ・Ｒ）であるとき、 Ｍ’（Ｘ・Ｒ）＝（Ｘ・Ｒ）Ｒ’ｍｏｄＮ＝ＸｍｏｄＮ Ｘが（Ｘ・ＲｍｏｄＮ）であるとき、 Ｍ’（Ｘ・ＲｍｏｄＮ）＝（Ｘ・ＲｍｏｄＮ）Ｒ’ｍｏ
ｄＮ＝ＸｍｏｄＮ となる。

【００５８】つまり、？・Ｒあるいは？・ＲｍｏｄＮの
形のものにモンゴメリ演算を適用すると、モンゴメリ演
算特有のＲ’が除去されて、？ｍｏｄＮの形になる。

【００５９】そして、この性質をフロー１で示した、反
復平方積法を使用した、べき乗剰余演算に応用すれば、
フロー３で示すように、べき乗剰余演算の解が得られ
る。正確には、フロー３で示す式（２４）（２５）（２
６）のｍｏｄＮ算の各々において、フロー２を実行する
ことにより、各式（２４）（２５）（２６）における解
が容易に得られ、結果としてフロー３を使用した、べき
乗剰余演算の解が容易に得られる。

【００６０】 〔フロー３〕 begin A=1・RmodN=RmodN ・・・（２３） for i=k-1 down to 0 do begin A=A²・R'modN ・・・（２４） if ei=1 then A=A・(M・RmodN)・R'modN ・・・（２５） end A=A・R'modN ・・・（２６） end フロー１とフロー３との大きな違いは、上記式（２３）
において、レジスタＡに格納する初期値を１とせず、後
のモンゴメリ演算を考慮してＲｍｏｄＮ（１・Ｒｍｏｄ
Ｎ）を格納している点、上記式（２５）において、前記
式（１７）のＭの代わりにＭ・ＲｍｏｄＮの値を用いて
いる点及び上記式（２６）を新たに行う点である。レジ
スタＡにあらかじめＲｍｏｄＮを格納しておくことによ
り、式（２４）（２５）（２６）におけるＲ’が除去さ
れるのである。そして、フロー３の反復平方積法をフロ
ーチャートで表現すると、図１のようになる。

【００６１】演算の実行に先だって、この図１において
あらかじめ必要とされるＲｍｏｄＮ、Ｍ・ＲｍｏｄＮ、
Ｎ’を求めておかなければならない。

【００６２】〔ＲｍｏｄＮについて〕ＲＳＡ暗号等に用
いられるべき乗剰余演算においては、”Ｎ”の最上位ビ
ットｂn-1と最下位ビットｂ0は１である。従って、その
ときのＲは、２ⁿに選ばれる。よって、ＲｍｏｄＮ＝Ｒ
−Ｎとなる。このＲ−Ｎは、Ｎのインバースを求めて、
その最下位ビットを１にすることで容易に求められる。

【００６３】〔Ｎ’について〕Ｒ・Ｒ’ｍｏｄＮ＝１、
Ｒ・Ｒ’−Ｎ・Ｎ’＝１、０＜Ｒ’、Ｎ’＜Ｒの関係よ
り、 Ｒ’＜Ｎ’、Ｎ’−Ｒ＜Ｒ−Ｎ なる関係を導くことができる。

【００６４】暗号システムの運用者は、これらの関係を
満足するように、Ｎ値に対応するＮ’値を決定する。す
なわち、Ｎ’値は運用者から与えられるものである。

【００６５】〔Ｍ・ＲｍｏｄＮについて〕あらかじめＲ
²ｍｏｄＮの値を求めておくと、モンゴメリ演算を使用
した以下の計算 Ｍ・（Ｒ²ｍｏｄＮ）・Ｒ’ｍｏｄＮ≡Ｍ・Ｒ²・Ｒ’ｍｏｄＮ ≡Ｍ・ＲｍｏｄＮ により、Ｍ・ＲｍｏｄＮを求めることができる。

【００６６】例えば、今、Ｒ＝２⁵¹²とすると、 ２⁵¹³ｍｏｄＮ＝２・２⁵¹²ｍｏｄＮ≡２・（Ｒｍｏｄ
Ｎ）ｍｏｄＮ＝Ａ とすると、このＡを初期値として以下のフロー４を実行
するとＲ²ｍｏｄＮの解を求めることができる。

【００６７】 このフロー４中の計算課程は、以下の通りである。

【００６８】 i=1 A=２⁵¹³ｍｏｄＮ M(A,A)=２⁵¹³・２⁵¹³・２^-512ｍｏｄＮ≡２⁵¹⁴ｍｏｄＮ i=2 A=２⁵¹⁴ｍｏｄＮ M(A,A)=２⁵¹⁴・２⁵¹⁴・２^-512ｍｏｄＮ≡２⁵¹⁶ｍｏｄＮ i=3 A=２⁵¹⁶ｍｏｄＮ M(A,A)=２⁵¹⁶・２⁵¹⁶・２^-512ｍｏｄＮ≡２⁵²⁰ｍｏｄＮ i=4 A=２⁵²⁰ｍｏｄＮ M(A,A)=２⁵²⁰・２⁵²⁰・２^-512ｍｏｄＮ≡２⁵²⁸ｍｏｄＮ i=5 A=２⁵²⁸ｍｏｄＮ M(A,A)=２⁵²⁸・２⁵²⁸・２^-512ｍｏｄＮ≡２⁵⁴⁴ｍｏｄＮ i=6 A=２⁵⁴⁴ｍｏｄＮ M(A,A)=２⁵⁴⁴・２⁵⁴⁴・２^-512ｍｏｄＮ≡２⁵⁷⁶ｍｏｄＮ i=7 A=２⁵⁷⁶ｍｏｄＮ M(A,A)=２⁵⁷⁶・２⁵⁷⁶・２^-512ｍｏｄＮ≡２⁶⁴⁰ｍｏｄＮ i=8 A=２⁶⁴⁰ｍｏｄＮ M(A,A)=２⁶⁴⁰・２⁶⁴⁰・２^-512ｍｏｄＮ≡２⁷⁶⁸ｍｏｄＮ i=9 A=２⁷⁶⁸ｍｏｄＮ M(A,A)=２⁷⁶⁸・２⁷⁶⁸・２^-512ｍｏｄＮ≡２¹⁰²⁴ｍｏｄＮ そして、最後の結果（i=9）が求めたいＲ²ｍｏｄＮの解
である。

【００６９】ここで求めたＲ²ｍｏｄＮとＭとを乗算し
た後、この乗算結果をフロー２におけるＸとして、フロ
ー２を実行することにより、求めたいＭ・ＲｍｏｄＮが
得られる。

【００７０】前述した通り、フロー２における演算は、
Ｎ及びＮ’を使用した乗算と、Ｒを用いた除算で構成さ
れている。従って、この解は、実質的に除算（剰余演
算）を行うことなく乗算と加算のみで求めることができ
る。

【００７１】以上、図１のフローチャートにおいてあら
かじめ必要とされるＲｍｏｄＮ、Ｍ・ＲｍｏｄＮ、Ｎ’
の値が用意できた。

【００７２】次に、図１のフローチャートを実行する。

【００７３】まず、あらかじめ求めたＲｍｏｄＮを初期
値としてレジスタＡ（レジスタは、例えばメモリであっ
ても良い。以下同様である。）に格納する。そして、あ
らかじめ求めたＭ・ＲｍｏｄＮをレジスタＢに格納す
る。Ｍ・ＲｍｏｄＮをレジスタＢに格納する理由は、後
の処理で使用する式（２５）中のＭ・ＲｍｏｄＮを確保
しておくためである。

【００７４】次に、式（２４）を実行する。すなわちモ
ンゴメリ演算Ａ²・Ｒ’ｍｏｄＮを実行する。式（２
４）は、前述したようにフロー２を実行することにより
得られる。今、レジスタＡに格納された値を２乗した値
が式（１９）におけるＸとして計算され、ｍが求められ
る。前述のようにこの演算は、乗算とＲを用いた剰余演
算によって実行される。Ｒ＝２ⁿ という定義なので、Ｒ
を用いた剰余演算は、被除算値の２ⁿ以下の値を見るだ
けでよい。次に、求められたｍを用いて、式（２０）を
実行する。今、レジスタＡに格納された値を２乗した値
が式（２０）におけるＸとして計算され、ｔが求められ
る。前述のようにこの演算は、乗加算とＲを用いた除算
によって実行される。Ｒ＝２ⁿという定義なので、Ｒを
用いた除算は、被除算値の２ⁿ以上の値を見るだけでよ
い。そしてこの演算結果をレジスタＡに格納する。

【００７５】次に、レジスタａに格納された値をレジス
タＡに格納する。

【００７６】ここで、指数ｅのビットの判別を行う。も
し、ビットが１ならば式（２５）を実行する。すなわち
モンゴメリ演算Ａ・Ｂ・Ｒ’ｍｏｄＮを実行する。式
（２５）は、前述したようにフロー２を実行することに
より得られる。今、レジスタＡに格納された値とレジス
タＢに格納された値との積が式（１９）におけるＸとし
て計算され、ｍが求められる。次に、求められたｍを用
いて、式（２０）を実行する。今、レジスタＡに格納さ
れた値とレジスタＢに格納された値との積が式（２０）
におけるＸとして計算され、ｔが求められる。そしてこ
の演算結果をレジスタａに格納する。そして、レジスタ
ａに格納された演算結果をレジスタＡに格納する。

【００７７】もし指数ｅのビットが０ならば式（２５）
の演算を行わずに次のステップに進む。

【００７８】次に、指数ｅの全てのビットに対して以上
の演算（式（２４）（２５）の実行）を行ったかどうか
判定し、行っていないのであれば式（２４）を実行する
ステップに戻り、行ったのであれば次に式（２６）を実
行する。式（２６）は、前述したようにフロー２を実行
することにより得られる。今、レジスタＡに格納された
値が式（１９）におけるＸとして計算され、ｍが求めら
れる。次に、求められたｍを用いて、式（２０）を実行
する。今、レジスタＡに格納された値が式（２０）にお
けるＸとして計算され、ｔが求められる。そして、以上
の一連の動作が終了する。

【００７９】以上のべき乗剰余演算の解法の概略をまと
めると以下のようになる。

【００８０】 １、べき乗剰余演算（Ｍ^eｍｏｄＮ） ↓ ２、反復平方積法を用いる。（A・AmodN、A・MmodNの繰り
返し。） ↓ ３、A・AmodN、A・MmodNの計算は、除算が複雑なためモン
ゴメリ手法に置き換える。（モンゴメリ手法：Ｍ’
（Ｘ）＝Ｘ・Ｒ’ｍｏｄＮ） ↓ ４、Ｍ’（Ｘ）＝Ｘ・Ｒ’ｍｏｄＮは、ＲＥＤＣ（Ｘ）
関数をしようして実現できる。（ＲＥＤＣ関数：ｍｏｄ
Ｎの演算をｍｏｄＲの形に変換するもの。これにより除
算の複雑性を回避できる。） 次に、本発明を実際に実現するためのハードウエアにつ
いて、図面を使用して以下に説明する。

【００８１】まず、実際のハードウエアの概略を示すブ
ロック図を図４に示す。

【００８２】図４において、４０１、４０３、４０５、
４０７、４０９、４１１、４１３、４１５は、メモリも
しくはレジスタである。そして、４０１、４０３、４０
５、４０７、４０９、４１１、４１３には、各々ブロッ
ク図中に記載された値が格納されている。また、レジス
タ４０５は、図１中で説明したレジスタＡに相当するも
のであり、レジスタ４１５は、レジスタａに相当するも
のである。セレクタ４１７は、指数ｅが格納された１ビ
ット左シフトレジスタ４０９からの指示に基づき、レジ
スタ４０７もしくはレジスタ４０５の出力のいずれかを
演算部４１９中の乗算部に転送する。詳しくは、セレク
タ４１７は、図１中の”ｅシフトキャリ”を実行する部
分、すなわち指数部ｅが１の場合はＭ・ＲｍｏｄＮを演
算部に転送し、指数部ｅが０の場合は転送しない。ま
た、図１中のフローの初期段階において、Ａ²を求める
ときには、レジスタ４０５の出力を演算部に転送する。

【００８３】演算部４１９は、乗算部と除算部とで構成
されている。この演算部４１９は、乗算とＲＥＤＣ
（Ｘ）関数を実行する。

【００８４】次に、本発明を実際に実現するためのハー
ドウエアの詳細について、図面を使用して以下に説明す
る。

【００８５】（第１の実施の形態） （構成）べき乗剰余演算Ｍ^eｍｏｄＮの計算方法は、先
に示したモンゴメリ演算手法における、 Ａ²・Ｒ’ｍｏｄＮ・・・（２４）、Ａ・Ｂ・Ｒ’ｍｏｄＮ・・・（２５） （Ｂは、式（２５）における”Ｍ・ＲｍｏｄＮ”が位置
する部分に相当する。）の２種の演算を、指数”ｅ”の
ビット値の内容に従って、規定の手順で繰り返し最後
に、 Ａ・１・Ｒ’ｍｏｄＮ・・・（２６） の演算を行えば良いことは、図１及びフロー３で述べた
とおりである。

【００８６】従って、上記３種類の剰余演算を実行する
演算器（以下、コプロセサと称す。）を用意すれば、そ
のコプロセッサを用いて（演算の繰り返し手順等は、ソ
フトウエアあるいはハードウエアのいずれの制御方法で
実現しても良い。）、べき乗剰余演算の解を得ることが
できる。

【００８７】本発明は、上記の３種類の剰余演算、すな
わち３つの演算モードを有するコプロセッサに関するも
のである。

【００８８】図５は、本発明の第１の実施の形態の剰余
演算コプロセッサを示す図である。

【００８９】なお、図面中において、各ブロックを結ぶ
太い矢印は、データが転送されるバスを示す。

【００９０】本発明の剰余演算コプロセッサは、コプロ
セッサ全体の演算タイミング及び演算器内の各種回路に
対して、上記３種類の演算の種類に対応したコントロー
ル信号を供給するタイミング／コントロール回路Ｔ／Ｃ
と、モンゴメリ法化における各演算値を格納する、複数
の演算値メモリＳｍｅｍ、Ｎ’ｍｅｍ、Ｎｍｅｍ、Ｍｍ
ｅｍ、Ａ’ｍｅｍ、Ｗｌｍｅｍ、Ｗｈｍｅｍを有する。
また、本発明の剰余演算コプロセッサは、乗加算を行う
高速乗加算器Ｍｕｌ／Ａｄｄ、加算を行う高速加算器Ａ
ｄｄ、乗算値を格納する乗算値格納レジスタＸｉ−ｒｅ
ｇ、被乗算値を格納する被乗算値格納レジスタＹｉ−ｒ
ｅｇ、被加算値を格納する被加算値格納レジスタＡｉ−
ｒｅｇ、高速加算器Ａｄｄが出力する値の上位の桁を格
納するレジスタＲＨを有する。

【００９１】高速加算器Ａｄｄ、乗算値格納レジスタＸ
ｉ−ｒｅｇ、被乗算値格納レジスタＹｉ−ｒｅｇ、被加
算値格納レジスタＡｉ−ｒｅｇは、各演算値メモリから
読み出された、高速乗加算器Ｍｕｌ／Ａｄｄの入力ビッ
ト長分に対応した値を一時格納する機能を有する。

【００９２】高速乗加算器Ｍｕｌ／Ａｄｄは、乗算動作
の際の入力値として、レジスタＸｉ−ｒｅｇの出力値
と、レジスタＹｉ−ｒｅｇの出力値を入力し、加算動作
の際の入力値として、レジスタＡｉ−ｒｅｇの出力値を
入力する、特定ビット長の乗加算器である。そして、そ
の出力は、次段の高速加算器Ａｄｄの加算入力値とな
る。

【００９３】高速加算器Ａｄｄは、高速乗加算器Ｍｕｌ
／Ａｄｄの出力値と、レジスタＲＨの出力値との加算動
作を行う、特定ビット長の加算器である。そして、この
高速加算器Ａｄｄの出力のうち、上位桁はレジスタＲＨ
もしくは各演算値メモリに向けて出力され、下位桁は各
演算値メモリに向けて出力される。

【００９４】（動作）次に、図５に示す回路の動作を説
明する。

【００９５】〔Ａ²・Ｒ’ｍｏｄＮ・・・（２４）の実
現の方法〕Ａの値を演算値メモリＡ’ｍｅｍ、Ｗｌｍｅ
ｍの双方に格納し、モンゴメリ法化におけるＮ’の値を
演算値メモリＮ’ｍｅｍに格納し、Ｎの値を演算値メモ
リＮｍｅｍに格納する。Ｎ及びＮ’の値は、暗号化／復
号化のための鍵であるので、データの送信者／受信者に
対して暗号システム運用者により決定されている。Ｒの
値は、Ｎの値から自ずと決定される。Ａの値は、前述し
たように、ＲｍｏｄＮを実行することで決定される。

【００９６】そして、タイミング／コントロール回路Ｔ
／Ｃに対して、モード１信号を供給することにより、以
下のように上記Ａ²・Ｒ’ｍｏｄＮ・・・（２４）が実
行される。

【００９７】まず、Ａ×Ａの計算が行われる。

【００９８】演算値メモリＡ’ｍｅｍから高速乗加算器
Ｍｕｌ／Ａｄｄの入力ビット長分に対応した値が、レジ
スタＸｉ−ｒｅｇに取り込まれる。同様に、演算値メモ
リＷｌｍｅｍから高速乗加算器Ｍｕｌ／Ａｄｄの入力ビ
ット長分に対応した値が、レジスタＹｉ−ｒｅｇに取り
込まれる。

【００９９】図６に示すように、乗算動作を行う場合
に、演算値のビット長（例えば１６ビット）が高速乗加
算器Ｍｕｌ／Ａｄｄの乗算入力処理ビット長（例えば４
ビット）を越えているとき、演算値のビット長に対応し
た演算の回数分（４×４＝１６回）だけ単位乗加算を繰
り返すことになる。

【０１００】上述の動作をハードウエアイメージでより
詳細に表現すると図７のようになる。

【０１０１】この演算は、演算値メモリＡ’ｍｅｍの各
アドレスＡ’３、Ａ’２、Ａ’１、Ａ’０に格納された
値と演算値メモリＷｌｍｅｍの各アドレスＷｌ３、Ｗｌ
２、Ｗｌ１、Ｗｌ０に格納された値とを乗算したときの
値が、演算値メモリＷｈｅｍ及び演算値メモリＷｌｍｅ
ｍの各アドレスＷｈ３、Ｗｈ２、Ｗｈ１、Ｗｈ０、Ｗｌ
３、Ｗｌ２、Ｗｌ１、Ｗｌ０に格納されることを意味す
る。

【０１０２】（単位乗加算１）まず、レジスタＹｉ−ｒ
ｅｇが、演算値メモリＷｌｍｅｍのアドレスＷｌ０に格
納された値（被乗算値）を取り込むとともに、レジスタ
Ｘｉ−ｒｅｇが演算値メモリＡ’ｍｅｍのアドレスＡ’
０に格納された値（乗算値）を取り込む。次に、高速乗
加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算
し、高速加算器Ａｄｄに向けて出力する。この単位乗加
算１では、桁合わせ動作を行う必要がないため、レジス
タＡｉ−ｒｅｇから高速乗加算器Ｍｕｌ／Ａｄｄへ与え
る加算値の値を０とする。（レジスタＡｉ−ｒｅｇの値
を０とするか、レジスタＡｉ−ｒｅｇに格納された値が
高速乗加算器Ｍｕｌ／Ａｄｄへ与えられないようにす
る。）さらに、高速加算器ＡｄｄのＴｈｒｏｕｇｈ端子
に”ｈｉｇｈレベル”を供給して、レジスタＲＨの内容
を加算しないようにする。そして、演算値メモリＡ’ｍ
ｅｍの値と演算値メモリＷｌｍｅｍの値との乗算におい
て、単位乗加算１の演算結果の下位桁は、本乗算の最終
演算結果の最下位桁であるので、この単位乗加算１の演
算結果の下位桁は本乗算の最終演算結果として演算値メ
モリＷｌｍｅｍの最下位アドレスＷｌ０に格納される。
（図７において、アンダーラインが付与されたアドレス
には、最終演算結果が格納されていることを意味す
る。）この単位乗加算１の演算結果の上位桁は、次の単
位乗加算の桁合わせのためにレジスタＲＨに格納され
る。

【０１０３】（単位乗加算２）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’１に格納された値（乗算値）を取り込む。次に、高
速乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗
算し、高速加算器Ａｄｄに向けて出力する。この単位乗
加算２では、レジスタＡｉ−ｒｅｇから高速乗加算器Ｍ
ｕｌ／Ａｄｄへ与える加算値の値を０とする。（レジス
タＡｉ−ｒｅｇの値を０とするか、レジスタＡｉ−ｒｅ
ｇに格納された値が高速乗加算器Ｍｕｌ／Ａｄｄへ与え
られないようにする。）が、高速加算器ＡｄｄのＴｈｒ
ｏｕｇｈ端子に”ｌｏｗレベル”を供給して、レジスタ
ＲＨの内容（単位乗加算１の演算結果の上位桁）を高速
乗加算器Ｍｕｌ／Ａｄｄの出力に加算する。この単位乗
加算２の演算結果の下位桁は、演算値メモリＷｈｍｅｍ
の最下位アドレスＷｈ０に格納される。この単位乗加算
２の演算結果の上位桁は、次の単位乗加算の桁合わせの
ためにレジスタＲＨに格納される。

【０１０４】（単位乗加算３）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’２に格納された値（乗算値）を取り込む。次に、高
速乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗
算し、高速加算器Ａｄｄに向けて出力する。この単位乗
加算３では、レジスタＡｉ−ｒｅｇから高速乗加算器Ｍ
ｕｌ／Ａｄｄへ与える加算値の値を０とする。（レジス
タＡｉ−ｒｅｇの値を０とするか、レジスタＡｉ−ｒｅ
ｇに格納された値が高速乗加算器Ｍｕｌ／Ａｄｄへ与え
られないようにする。）が、高速加算器ＡｄｄのＴｈｒ
ｏｕｇｈ端子に”ｌｏｗレベル”を供給して、レジスタ
ＲＨの内容（単位乗加算１の演算結果の上位桁）を高速
乗加算器Ｍｕｌ／Ａｄｄの出力に加算する。この単位乗
加算３の演算結果の下位桁は、演算値メモリＷｈｍｅｍ
のアドレスＷｈ１に格納される。この単位乗加算３の演
算結果の上位桁は、次の単位乗加算の桁合わせのために
レジスタＲＨに格納される。

【０１０５】（単位乗加算４）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’３に格納された値（乗算値）を取り込む。次に、高
速乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗
算し、高速加算器Ａｄｄに向けて出力する。この単位乗
加算４では、レジスタＡｉ−ｒｅｇから高速乗加算器Ｍ
ｕｌ／Ａｄｄへ与える加算値の値を０とする。（レジス
タＡｉ−ｒｅｇの値を０とするか、レジスタＡｉ−ｒｅ
ｇに格納された値が高速乗加算器Ｍｕｌ／Ａｄｄへ与え
られないようにする。）が、高速加算器ＡｄｄのＴｈｒ
ｏｕｇｈ端子に”ｌｏｗレベル”を供給して、レジスタ
ＲＨの内容（単位乗加算１の演算結果の上位桁）を高速
乗加算器Ｍｕｌ／Ａｄｄの出力に加算する。この単位乗
加算４の演算結果の下位桁は、演算値メモリＷｈｍｅｍ
のアドレスＷｈ２に格納される。この単位乗加算４の演
算結果の上位桁は、次の単位乗加算の桁合わせのために
演算値メモリＷｈｍｅｍのアドレスＷｈ３に格納され
る。

【０１０６】（単位乗加算５）レジスタＹｉ−ｒｅｇ
は、演算値メモリＷｌｍｅｍのアドレスＷｌ１に格納さ
れた値（被乗算値）を取り込み、レジスタＸｉ−ｒｅｇ
は、演算値メモリＡ’ｍｅｍのアドレスＡ’０に格納さ
れた値（乗算値）を取り込み、レジスタＡｉ−ｒｅｇ
は、演算値メモリＷｈｍｅｍのアドレスＷｈ０に格納さ
れた値（加算値）を取り込む。次に、高速乗加算器Ｍｕ
ｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、その乗算
結果に加算値を加算し、高速加算器Ａｄｄに向けて出力
する。この単位乗加算５では、高速加算器ＡｄｄのＴｈ
ｒｏｕｇｈ端子に”ｈｉｇｈレベル”を供給して、レジ
スタＲＨの内容（単位乗加算４の演算結果の上位桁）を
加算しないようにする。この単位乗加算５の演算結果の
下位桁は、演算値メモリＷｌｍｅｍのアドレスＷｌ１に
格納される。この単位乗加算５の演算結果の上位桁は、
次の単位乗加算の桁合わせのためにレジスタＲＨに格納
される。

【０１０７】（単位乗加算６）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’１に格納された値（乗算値）を取り込み、レジスタ
Ａｉ−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷ
ｈ１に格納された値（加算値）を取り込む。次に、高速
乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算
し、その乗算結果に加算値を加算し、高速加算器Ａｄｄ
に向けて出力する。この単位乗加算６では、高速加算器
ＡｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給
して、レジスタＲＨの内容（単位乗加算５の演算結果の
上位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算６の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ０に格納される。この単
位乗加算６の演算結果の上位桁は、次の単位乗加算の桁
合わせのためにレジスタＲＨに格納される。

【０１０８】（単位乗加算７）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’２に格納された値（乗算値）を取り込み、レジスタ
Ａｉ−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷ
ｈ２に格納された値（加算値）を取り込む。次に、高速
乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算
し、その乗算結果に加算値を加算し、高速加算器Ａｄｄ
に向けて出力する。この単位乗加算７では、高速加算器
ＡｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給
して、レジスタＲＨの内容（単位乗加算６の演算結果の
上位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算７の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ１に格納される。この単
位乗加算７の演算結果の上位桁は、次の単位乗加算の桁
合わせのためにレジスタＲＨに格納される。

【０１０９】（単位乗加算８）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＡ’ｍｅｍのアドレス
Ａ’３に格納された値（乗算値）を取り込み、レジスタ
Ａｉ−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷ
ｈ３に格納された値（加算値）を取り込む。次に、高速
乗加算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算
し、その乗算結果に加算値を加算し、高速加算器Ａｄｄ
に向けて出力する。この単位乗加算８では、高速加算器
ＡｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給
して、レジスタＲＨの内容（単位乗加算７の演算結果の
上位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算８の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ２に格納される。この単
位乗加算８の演算結果の上位桁は、演算値メモリＷｈｍ
ｅｍのアドレスＷｈ３に格納される。

【０１１０】単位乗加算９から１６までは、前述の単位
乗加算に習って、図７のごとく実行される。そして、Ａ
×Ａすなわち、演算値メモリＡ’ｍｅｍにに格納された
値と演算値メモリＷｌｍｅｍに格納された値とを乗算し
たときの値が、Ｗｈｍｅｍ−Ｗｌｍｅｍ（”−”は、引
き算を示すものではない。）の形で格納される。

【０１１１】例えば、８ビット×８ビットの計算、６４
Ｈ×Ｆ５Ｈ＝６５７２Ｈを例にとると、計算結果６５７
２Ｈについて、上位桁６５Ｈを演算値メモリＷｈｍｅｍ
に、下位桁７２Ｈを演算値メモリＷｌｍｅｍにそれぞれ
格納する。

【０１１２】次に、ＲＥＤＣ関数を使用して、モンゴメ
リ手法を用いた剰余演算を実行する。モンゴメリ手法に
おいて、オペランド長ｎビットのべき乗剰余演算を実行
するとき、Ｒ＝２ⁿとすることは前述した通りである。
そして、この関係でのｎビット長のＲ’、Ｎ’の値は存
在する。そして、Ａ×Ａの値は、Ｗｈｍｅｍ−Ｗｌｍｅ
ｍの形で格納されているので、ｍの計算は以下のように
なる。

【０１１３】 ｍ＝（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲ ＝（Ｗｈｍｅｍ−Ｗｌｍｅｍ）ｍｏｄＲ・Ｎ’ｍｏｄＲ ここで、（ＸｍｏｄＲ）は、ＸをＲで割った余りをしめ
すので、Ｒ以下の値を見ればよいので、 ＝（Ｗｌｍｅｍ）・（Ｎ’ｍｅｍ）ｍｏｄＲ となる。

【０１１４】そして、上式は（Ｗｌｍｅｍ）・（Ｎ’ｍ
ｅｍ）をＲで割った余りを示すので、（Ｗｌｍｅｍ）・
（Ｎ’ｍｅｍ）を実行した結果の下位ｎビットの値がｍ
となる。

【０１１５】すなわち、（Ｗｌｍｅｍ）・（Ｎ’ｍｅ
ｍ）の計算を、上述のＡ×Ａの計算に習って実行し、そ
の結果をＡ’ｍｅｍ−Ｍｍｅｍの形で、演算値メモリ
Ａ’ｍｅｍと演算値メモリＭｍｅｍの双方に格納したと
きの、演算値メモリＭｍｅｍに格納された値がｍであ
る。

【０１１６】また、ｔの計算は以下のようになる。

【０１１７】 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ ＝〔（Ｗｈｍｅｍ−Ｗｌｍｅｍ）＋（Ｍｍｅｍ）・（Ｎｍｅｍ）〕／Ｒ 上式の解を得るためには、まず（Ｍｍｅｍ）×（Ｎｍｅ
ｍ）の計算を先のＡ×Ａに習って実行し、その結果を
Ａ’ｍｅｍ−Ｍｍｅｍの形で、演算値メモリＡ’ｍｅｍ
と演算値メモリＭｍｅｍの双方に格納する。続いて、 Ｍｍｅｍ×１＋Ｗｌｍｅｍ・・・（２７） （下位桁の足し算） Ａ’ｍｅｍ×１＋Ｗｈｍｅｍ・・・（２８） （上位桁の足し算） の計算を実行する。このときの式（２８）が求めるｔで
ある。

【０１１８】また、Ｒ以下の値は必ず０であるから、式
（２７）の計算結果０となるので、メモリに格納する必
要はない。なお、式（２７）の計算では、桁あふれが発
生する場合が考えられるが、そのときには、式（２８）
の計算の際に、図５に示した高速乗加算器Ｍｕｌ／Ａｄ
ｄの＋１端子に、１を供給する。これらの計算は、本コ
プロセッサを用いれば容易に実行することができるのは
明かである。

【０１１９】式（２８）で得られた値は、演算値メモリ
Ａ’ｍｅｍとＭｍｅｍの双方に格納する。また、桁あふ
れが発生した場合は、キャリーフラグＣＦに１を書き込
む。

【０１２０】ところで、キャリーフラグが１の場合は、
ｔ＞Ｎの関係にあることは明かであるから、ｔ−Ｎの計
算を行う必要がある。これは、 〔（反転Ｎｍｅｍ＋１）×１〕＋Ｗｌｍｅｍ・・・（２９） の計算を行って求める。反転Ｎｍｅｍは、Ｎｍｅｍに格
納された値のインバースを意味する。

【０１２１】ここで、演算値メモリＮｍｅｍに格納され
ているＮの値は、暗号アルごリズムの世界では奇数であ
るから、式（２９）の（反転Ｎｍｅｍ＋１）は”Ｎｍｅ
ｍの１の補数をとり、最下位ビットを１とする”ことで
求められる。この動作は、図５に示すレジスタＸｉ−ｒ
ｅｇのＩｎｖ端子に１を供給する（レジスタＸｉ−ｒｅ
ｇに格納された値の１の補数をとる。）ことで実現され
る。

【０１２２】〔Ａ・Ｂ・Ｒ’ｍｏｄＮ・・・（２５）の
実現の方法〕Ａの値を演算値メモリＷｌｍｅｍに、Ｂの
値を演算値メモリＳｍｅｍに格納し、モンゴメリ法化に
おけるＮ’の値を演算値メモリＮ’ｍｅｍに格納し、Ｎ
の値を演算値メモリＮｍｅｍに格納する。

【０１２３】そして、タイミング／コントロール回路Ｔ
／Ｃに対して、モード２信号を供給することにより、以
下のように上記Ａ・Ｂ・Ｒ’ｍｏｄＮ・・・（２５）が
実行される。

【０１２４】まず、Ａ×Ｂの計算を行う。

【０１２５】演算値メモリＳｍｅｍから高速乗加算器Ｍ
ｕｌ／Ａｄｄの入力ビット長分に対応した値が、レジス
タＸｉ−ｒｅｇに取り込まれる。同様に、演算値メモリ
Ｗｌｍｅｍから高速乗加算器Ｍｕｌ／Ａｄｄの入力ビッ
ト長分に対応した値が、レジスタＹｉ−ｒｅｇに取り込
まれる。

【０１２６】このＡ×Ｂの計算は、レジスタＸｉ−ｒｅ
ｇへの値の取り込み元が演算値メモリＳｍｅｍに変わる
だけで、前述のＡ×Ａの計算と同様である。

【０１２７】次に、ＲＥＤＣ関数を使用して、モンゴメ
リ手法を用いた剰余演算を実行する。

【０１２８】計算の方法は、Ａ×Ａの場合と同様であ
り、計算結果は、演算値メモリＡ’ｍｅｍとＷｌｍｅｍ
の双方に格納される。

【０１２９】べき乗剰余演算を行う場合は、式（２４）
と式（２５）を繰り返し計算することになる。しかし、
以上説明した各計算の実現方法を用いれば、式（２４）
（２５）の計算結果は、ともに演算値メモリＡ’ｍｅｍ
とＷｌｍｅｍの双方に格納されるため、各々の式の計算
の開始時に、演算値の初期設定等を行う必要がないの
で、繰り返し計算をスムーズに行うことができる。

【０１３０】〔Ａ・Ｒ’ｍｏｄＮ・・・（２６）の実現
の方法〕Ａの値を演算値メモリＷｌｍｅｍに格納し、モ
ンゴメリ法化におけるＮ’の値を演算値メモリＮ’ｍｅ
ｍに格納し、Ｎの値を演算値メモリＮｍｅｍに格納す
る。

【０１３１】そして、タイミング／コントロール回路Ｔ
／Ｃに対して、モード３信号を供給することにより、以
下のように上記Ａ・Ｒ’ｍｏｄＮ・・・（２６）が実行
される。

【０１３２】今回の式では、Ａ×？という乗算を実行す
る必要がない。従って、モンゴメリ手法を用いた剰余演
算のみを実行する。

【０１３３】剰余演算におけるｍの計算の方法は、Ａ×
Ａの場合とほぼ同様であり、計算結果は、Ａ’ｍｅｍ−
Ｗｌｍｅｍの形で、演算値メモリＡ’ｍｅｍとＷｌｍｅ
ｍの双方に格納したときの演算値メモリＷｌｍｅｍの値
がｍの値となる。

【０１３４】また、ｔの計算は以下のようになる。

【０１３５】 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ ＝〔（Ｗｌｍｅｍ）×（Ｎｍｅｍ）の結果のＲ以上の値〕＋１・・（３０ ） 式（２６）の計算では、上記のＸはＡであり、Ｒ以上の
値はない（０と考えてよい）ので、式（２４）の実現方
法で説明したようなＲ以上の値（Ｗｈｍｅｍ）の加算は
行う必要がない。また（Ｘ＋ｍ・Ｎ）は、必ずＲの倍数
になるのであるから、式（３０）の第２辺に示されるＸ
の値を加算する必要もなく、代わりに”〔（Ｗｌｍｅ
ｍ）×（Ｎｍｅｍ）の結果のＲ以上の値〕＋１”で解が
得られる。これは、暗号アルゴリズムの世界で剰余演算
を使用するとき、本計算におけるＡの値が０になること
がないからである。

【０１３６】従って、式（３０）では、まず（Ｗｌｍｅ
ｍ）×（Ｎｍｅｍ）の計算を実行して、その結果をＡ’
ｍｅｍ−Ｗｌｍｅｍの形で、演算値メモリＡ’ｍｅｍと
Ｗｌｍｅｍに格納すればよい。その結果の得られたＡ’
ｍｅｍ上の値が求める解となる。（本演算の実行でべき
乗剰余演算のすべての演算は終了するため、ここでは演
算値メモリＷｌｍｅｍへの格納を省略してもよい。）な
お、このとき計算の最終結果を演算値メモリＡ’ｍｅｍ
の最下位桁に格納するタイミングで、図５に示した＋１
端子に１を供給して、式（３０）の１を足す動作を実行
する。

【０１３７】以上のように、第１の実施形態によれば、
規定ビット長の乗加算器（乗算器と加算器を別個に設け
てもよい）を演算部の中心として構成し、その周辺に設
けられた回路に、タイミング／コントロール信号発生回
路からの制御信号を供給することにより、モンゴメリ手
法を用いた多ビット長の剰余演算あるいはべき乗剰余演
算を実現できる。また、この方式によれば、演算部の中
心が限られた（規定の）ビット長の演算器で構成できる
ため回路規模が小さくてすみ、ＬＳＩ化に適している。

【０１３８】（第２の実施形態） （構成）図８は、本発明の第２の実施の形態の剰余演算
コプロセッサを示す図である。

【０１３９】第２の実施形態は、第１の実施形態の構成
（図５）に、演算値が０であることを検出して、次の演
算のシーケンスを制御する回路を追加したものである。

【０１４０】具体的にこの制御回路は、図８における制
御回路ＺｅｒｏＣである。この制御回路ＺｅｒｏＣは、
演算値が０であることを検出して、次演算のシーケンス
を制御する回路であり、高速加算器Ａｄｄの出力信号が
与えられる入力端子と出力端子とを有している。この出
力端子からは、タイミング／コントロール回路Ｔ／Ｃで
発生するタイミング／コントロール信号及びコプロセッ
サ内の各種回路を動作させる信号に所定の制御を施す信
号が出力する。

【０１４１】（動作）第１の実施形態の式（２４）（２
５）の実現方法で述べた、ＲＥＤＣ関数の計算におい
て、前の乗算の結果得られたＸの値は次の２つの場合分
けができる。

【０１４２】（ａ）Ｒの倍数である場合・・前計算で得
られた値（Ｗｌｍｅｍ）が０。

【０１４３】（ｂ）Ｒの倍数でない場合・・前計算で得
られた値（Ｗｌｍｅｍ）が０でない。

【０１４４】本実施の形態では、制御回路ＺｅｒｏＣ
が、上記（ａ）（ｂ）のように、Ｘ値（Ａ×ＡやＡ×Ｂ
の結果の値）のＲ未満の値が０か否かを検出して、その
結果に応じて、続く演算のシーケンスを次の通りに実行
させる。

【０１４５】（ａ）の場合は、ＸｍｏｄＲ＝０なのでｍ
＝０となるのは明かであるから、このときはｍの計算を
行う必要はない。

【０１４６】そしてｔの計算は次のようになる。

【０１４７】 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ＝Ｘ／Ｒ＝Ｗｈｍｅｍ・・・（３１） これは、Ａ×Ａ及びＡ×Ｂの計算結果の上位桁がそのま
まｔの値となっていることを示す。従って、この場合の
ハードウエア処理は、演算値メモリＷｈｍｅｍに格納さ
れた値をそのまま演算値メモリＡ’ｍｅｍとＷｌｍｅｍ
の双方に格納し、次の繰り返し演算に備える。すなわ
ち、Ｘ値（前計算で得られた値）のＲ未満の値が０の場
合は、ｍ、ｔの演算の必要がない。このことは、ｔの計
算において、Ｘの全ビット長分を計算する必要がないこ
とを意味する。

【０１４８】（ｂ）の場合は、ｍを求めるための計算を
第１の実施形態の通り実行し、計算結果をＡ’ｍｅｍ−
Ｗｌｍｅｍの形で演算値メモリＡ’ｍｅｍとＷｌｍｅｍ
の双方に格納し、演算値メモリＷｌｍｅｍに格納された
値をｍの値とする。そして、引き続きｔの計算を実行す
る。

【０１４９】そして、ｔの計算は次のようになる。

【０１５０】 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒ ＝Ｗｈｍｅｍ＋〔（Ｗｌｍｅｍ）×（Ｎｍｅｍ）の結果のＲ以上の値〕＋１ ・・・（３２） 式（３２）は、まず（Ｗｌｍｅｍ）×（Ｎｍｅｍ）の計
算を実行して、その結果をＡ’ｍｅｍ−Ｗｌｍｅｍの形
で演算値メモリＡ’ｍｅｍとＷｌｍｅｍの双方に格納
し、続いて （Ａ’ｍｅｍ）×１＋（Ｗｈｍｅｍ）＋１・・・（３３） の計算を実行すれば解が得られる。なぜなら、Ｘ＋ｍ・
Ｎの値は、必ずＲの倍数になるから、Ｒ未満の値をわざ
わざ計算対象にする必要がないからである。なお、式
（３３）では、最下位桁の計算タイミングで、図５に示
した＋１端子に１を供給して式（３３）の１を足す動作
を実行する。

【０１５１】式（３３）で得られた計算結果は、演算値
メモリＡ’ｍｅｍとＷｌｍｅｍの双方に格納するととも
に、桁あふれが発生した場合は、キャリーフラグＣＦに
１を書き込む。その後の処理は、第１の実施の形態と同
様である。

【０１５２】以上のように、第２の実施形態によれば、
演算値が０であることを検出して、次演算のシーケンス
を制御する制御回路（乗加算器のビット長に相当する回
路規模で済むので、小規模な回路である。）を付加する
ことにより、第１の実施の形態で説明したコプロセッサ
の演算値メモリＭｍｅｍの削除と、演算量の削減が達成
できる。従って、ハードウエアの削減と演算時間の短縮
化を図ることができる。

【０１５３】（第３の実施形態） （構成）図９は、本発明の第３の実施の形態の剰余演算
コプロセッサを示す図である。

【０１５４】第３の実施形態は、第１の実施形態の構成
（図５）もしくは第２の実施形態の構成（図８）に、オ
ペランドビット長を選択してタイミング／コントロール
信号を変化させるビット長選択制御回路を付加したもの
である。

【０１５５】具体的にこのビット長選択制御回路は、図
９におけるＬｅｎＣｏｎｔである。このビット長選択制
御回路ＬｅｎＣｏｎｔは、入力信号Ｓｅｌ−ｌｅｎに従
って、タイミング／コントロール回路Ｔ／Ｃで発生する
演算タイミング信号とコプロセッサ内の各種回路に供給
するコントロール信号を制御するように動作する。

【０１５６】（動作）さて、本コプロセッサの動作は、
オペランドビット長の変化に伴い、Ｒ値及びその値によ
り決まるＲ’値、Ｎ’値のビット長と、規定ビット長乗
加算の繰り返し手順（回数）とが変化するようになる。

【０１５７】例えば、高速乗加算器Ｍｕｌ／Ａｄｄが１
６ビット長の時、オペランドビット長５１２ビットのＡ
×Ａの乗算を実行する場合、高速乗加算器Ｍｕｌ／Ａｄ
ｄによる乗加算の繰り返し回数は次のようになる。

【０１５８】 （５１２／１６）×（５１２／１６）＝１０２４ 回 一方、オペランドビット長７６８ビットの場合は次のよ
うになる。

【０１５９】 （７６８／１６）×（７６８／１６）＝２３０４ 回 そして、これらの計算のシーケンスもそれぞれ異なる。
また、前に述べたようにオペランドビット長によりＲ値
は一義的に決まるので、Ｒ’値、Ｎ’値のビット長もそ
れに応じて変化する。

【０１６０】ビット長選択制御回路ＬｅｎＣｏｎｔは、
これらの変化要因を制御する、すなわち、選択されたビ
ット長に対応して、タイミング／コントロール回路Ｔ／
Ｃで発生させる演算タイミング信号やコントロール信号
が出力するよう制御する。

【０１６１】一般的に、ビット長選択制御回路ＬｅｎＣ
ｏｎｔは、ＰＬＡや論理回路等の比較的小規模な回路構
成で実現できる。

【０１６２】以上のように、第３の実施形態のコプロセ
ッサでは、ビット長選択制御回路ＬｅｎＣｏｎｔを付加
することによって、さまざまなオペランドビット長の剰
余演算あるいはべき乗剰余演算を実行することが可能と
なる。

【０１６３】（第４の実施形態） （構成）以上の実施例で示したコプロセッサの演算の基
本は、規定ビット長の乗加算である。この基本乗加算を
繰り返して剰余演算あるいはべき乗剰余演算を実現する
方法は、以上の実施例で示した通りである。

【０１６４】しかしながら、以上の実施例では、剰余演
算モードのみを行うコプロセッサであったため、演算の
基本が乗加算であるにも関わらず、その用途が剰余演算
に限られている。

【０１６５】そこで、さまざまな演算の基本となる多ビ
ット長乗加算のモードを追加して、本コプロセッサの汎
用性を向上させる。

【０１６６】図１０は、本発明の第４の実施の形態の剰
余演算コプロセッサを示す図である。

【０１６７】第４の実施の形態は、先の実施形態に乗加
算のモードを追加したものであり、このモードを実行す
るためにタイミング／コントロール回路Ｔ／Ｃにモード
信号４を供給するようにしたものである。

【０１６８】（動作）以下に示す乗加算を実行する例を
以下に説明する。

【０１６９】Ａ・Ｂ＋Ｃ・・・（３４） まず、式（３４）において、値Ａを演算値メモリＷｌｍ
ｅｍに、値Ｂを演算値メモリＳｍｅｍに、値Ｃを演算値
メモリＷｈｍｅｍに格納する。そして、タイミング／コ
ントロール回路Ｔ／Ｃにモード信号４を供給して、演算
の種類を、乗加算を実行するモードにする。

【０１７０】上述の動作をハードウエアイメージでより
詳細に表現すると図１１のようになる。

【０１７１】この演算は、演算値メモリＳｍｅｍの各ア
ドレスＳ３、Ｓ２、Ｓ１、Ｓ０に格納された値と演算値
メモリＷｌｍｅｍの各アドレスＷｌ３、Ｗｌ２、Ｗｌ
１、Ｗｌ０に格納された値とを乗算し、この結果と、演
算値メモリＷｈｍｅｍの各アドレスＷｈ３、Ｗｈ２、Ｗ
ｈ１、Ｗｈ０に格納された値とを足し合わせたときの値
が、演算値メモリＷｈｅｍ及び演算値メモリＷｌｍｅｍ
の各アドレスＷｈ３、Ｗｈ２、Ｗｈ１、Ｗｈ０、Ｗｌ
３、Ｗｌ２、Ｗｌ１、Ｗｌ０に格納されることを意味す
る。

【０１７２】（単位乗加算１）まず、レジスタＹｉ−ｒ
ｅｇが、演算値メモリＷｌｍｅｍのアドレスＷｌ０に格
納された値（被乗算値）を取り込むとともに、レジスタ
Ｘｉ−ｒｅｇが演算値メモリＳｍｅｍのアドレスＳ０に
格納された値（乗算値）を取り込み、レジスタＡｉ−ｒ
ｅｇが演算値メモリＷｈｍｅｍのアドレスＷｈ０に格納
された値（加算値）を取り込む。次に、高速乗加算器Ｍ
ｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、かつこ
の乗算結果に加算値を加算し高速加算器Ａｄｄに向けて
出力する。この単位乗加算１では、高速加算器Ａｄｄの
Ｔｈｒｏｕｇｈ端子に”ｈｉｇｈレベル”を供給して、
レジスタＲＨの内容を加算しないようにする。

【０１７３】そして、この単位乗加算における演算結果
の下位桁は、本乗加算の最終演算結果の最下位桁である
ので、この単位乗加算１の演算結果の下位桁は本乗算の
最終演算結果として演算値メモリＷｌｍｅｍの最下位ア
ドレスＷｌ０に格納される。（図１１において、アンダ
ーラインが付与されたアドレスには、最終演算結果が格
納されていることを意味する。）この単位乗加算１の演
算結果の上位桁は、次の単位乗加算のためにレジスタＲ
Ｈに格納される。

【０１７４】（単位乗加算２）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
１に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇが演算値メモリＷｈｍｅｍのアドレスＷｈ１に
格納された値（加算値）を取り込む。次に、高速乗加算
器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、か
つこの乗算結果に加算値を加算し、高速加算器Ａｄｄに
向けて出力する。この単位乗加算２では、高速加算器Ａ
ｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算１の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算２の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍの最下位アドレスＷｈ０に格納される。
この単位乗加算２の演算結果の上位桁は、次の単位乗加
算の桁合わせのためにレジスタＲＨに格納される。

【０１７５】（単位乗加算３）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
２に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇが演算値メモリＷｈｍｅｍのアドレスＷｈ２に
格納された値（加算値）を取り込む。次に、高速乗加算
器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、か
つこの乗算結果に加算値を加算し、高速加算器Ａｄｄに
向けて出力する。この単位乗加算３では、高速加算器Ａ
ｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算２の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算３の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍの最下位アドレスＷｈ１に格納される。
この単位乗加算３の演算結果の上位桁は、次の単位乗加
算の桁合わせのためにレジスタＲＨに格納される。

【０１７６】（単位乗加算４）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
３に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇが演算値メモリＷｈｍｅｍのアドレスＷｈ３に
格納された値（加算値）を取り込む。次に、高速乗加算
器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、か
つこの乗算結果に加算値を加算し、高速加算器Ａｄｄに
向けて出力する。この単位乗加算４では、高速加算器Ａ
ｄｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算３の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算４の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍの最下位アドレスＷｈ２に格納される。
この単位乗加算４の演算結果の上位桁は、次の単位乗加
算の桁合わせのために演算値メモリＷｈｍｅｍのアドレ
スＷｈ３に格納される。

【０１７７】（単位乗加算５）レジスタＹｉ−ｒｅｇ
は、演算値メモリＷｌｍｅｍのアドレスＷｌ１に格納さ
れた値（被乗算値）を取り込み、レジスタＸｉ−ｒｅｇ
は、演算値メモリＳｍｅｍのアドレスＳ０に格納された
値（乗算値）を取り込み、レジスタＡｉ−ｒｅｇは、演
算値メモリＷｈｍｅｍのアドレスＷｈ０に格納された値
（加算値）を取り込む。次に、高速乗加算器Ｍｕｌ／Ａ
ｄｄはこの乗算値と被乗算値を乗算し、その乗算結果に
加算値を加算し、高速加算器Ａｄｄに向けて出力する。
この単位乗加算５では、高速加算器ＡｄｄのＴｈｒｏｕ
ｇｈ端子に”ｈｉｇｈレベル”を供給して、レジスタＲ
Ｈの内容（単位乗加算４の演算結果の上位桁）を加算し
ないようにする。この単位乗加算５の演算結果の下位桁
は、演算値メモリＷｌｍｅｍのアドレスＷｌ１に格納さ
れる。この単位乗加算５の演算結果の上位桁は、次の単
位乗加算の桁合わせのためにレジスタＲＨに格納され
る。

【０１７８】（単位乗加算６）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
１に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷｈ１
に格納された値（加算値）を取り込む。次に、高速乗加
算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、
その乗算結果に加算値を加算し、高速加算器Ａｄｄに向
けて出力する。この単位乗加算６では、高速加算器Ａｄ
ｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算５の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算６の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ０に格納される。この単
位乗加算６の演算結果の上位桁は、次の単位乗加算の桁
合わせのためにレジスタＲＨに格納される。

【０１７９】（単位乗加算７）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
２に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷｈ２
に格納された値（加算値）を取り込む。次に、高速乗加
算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、
その乗算結果に加算値を加算し、高速加算器Ａｄｄに向
けて出力する。この単位乗加算７では、高速加算器Ａｄ
ｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算６の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算７の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ１に格納される。この単
位乗加算７の演算結果の上位桁は、次の単位乗加算の桁
合わせのためにレジスタＲＨに格納される。

【０１８０】（単位乗加算８）レジスタＹｉ−ｒｅｇ
は、すでに格納された値（被乗算値）を維持し、レジス
タＸｉ−ｒｅｇは、演算値メモリＳｍｅｍのアドレスＳ
３に格納された値（乗算値）を取り込み、レジスタＡｉ
−ｒｅｇは、演算値メモリＷｈｍｅｍのアドレスＷｈ３
に格納された値（加算値）を取り込む。次に、高速乗加
算器Ｍｕｌ／Ａｄｄはこの乗算値と被乗算値を乗算し、
その乗算結果に加算値を加算し、高速加算器Ａｄｄに向
けて出力する。この単位乗加算８では、高速加算器Ａｄ
ｄのＴｈｒｏｕｇｈ端子に”ｌｏｗレベル”を供給し
て、レジスタＲＨの内容（単位乗加算７の演算結果の上
位桁）を高速乗加算器Ｍｕｌ／Ａｄｄの出力に加算す
る。この単位乗加算８の演算結果の下位桁は、演算値メ
モリＷｈｍｅｍのアドレスＷｈ２に格納される。この単
位乗加算８の演算結果の上位桁は、演算値メモリＷｈｍ
ｅｍのアドレスＷｈ３に格納される。

【０１８１】単位乗加算９から１６までは、前述の単位
乗加算に習って、図１１のごとく実行される。そして、
最終演算結果は、Ｗｈｍｅｍ−Ｗｌｍｅｍ（”−”は、
引き算を示すものではない。）の形で格納される。

【０１８２】図１２には、８５９１×４６７３＋２０６
９＝４０１４７８１２を、上述のハードウエアで実行し
た場合の単位乗加算を示す。動作の説明については、図
１１と同様であるので省略する。以上のように、第４の
実施形態によれば、さまざまな演算の基本となる多ビッ
ト長の乗加算のモードを実現できるので、コプロセッサ
の汎用性を大幅に向上させることができる。

【０１８３】（第５の実施形態） （構成）以上の実施の形態で示したコプロセッサは、高
速乗加算器Ｍｕｌ／Ａｄｄと高速加算器Ａｄｄの入力ビ
ット長で決まる単位乗加算毎に、メモリへのアクセスを
行う必要があるため、演算時間の短縮化においては改善
の余地がある。なぜなら、メモリを含んだ回路全体の動
作速度は、メモリアクセスタイムが回路全体の動作速度
を制限してしまうからである。

【０１８４】そこで、本実施の形態では、単位乗加算の
演算回数に対するメモリのアクセス回数を減らして、最
終的な演算時間の短縮を図る。

【０１８５】図１３は、本発明の第５の実施の形態の剰
余演算コプロセッサを示す図である。

【０１８６】第５の実施の形態は、先の実施の形態の構
成に対して、被乗算値格納レジスタＹｉ−ｒｅｇを複数
個に増やして、その出力を選択する回路を設けたもので
ある。さらに、高速加算器Ａｄｄの上位桁あるいは下位
桁の出力値を格納するレジスタも被乗算値格納レジスタ
の個数に対応する個数設け、各レジスタの出力値を適当
に選択する選択回路を設けたものである。

【０１８７】具体的には、レジスタＹｉ−ｒｅｇ
［０］、レジスタＹｉ−ｒｅｇ［１］、レジスタＹｉ−
ｒｅｇ［２］、レジスタＹｉ−ｒｅｇ［３］が、高速乗
加算器Ｍｕｌ／Ａｄｄの入力ビット長に対応した長さを
持つ被乗算値レジスタであり、各々の出力は、被乗算値
選択回路Ｙｉ−ｓｅｌに接続されている。選択回路Ｙｉ
−ｓｅｌは、レジスタＹｉ−ｒｅｇ［０］、レジスタＹ
ｉ−ｒｅｇ［１］、レジスタＹｉ−ｒｅｇ［２］、レジ
スタＹｉ−ｒｅｇ［３］の値のうちのいずれか１つを選
択して、後続の高速乗加算器Ｍｕｌ／Ａｄｄに与える選
択回路である。

【０１８８】レジスタＲＡは、高速加算器Ａｄｄの出力
のうち上位桁Ｒ−ｈｉｇｈを一時格納するレジスタであ
り、その出力は後続の選択回路ＳｅｌＡ、ＳｅｌＢ、Ｅ
ｎＳｅｌに接続されている。そして高速加算器Ａｄｄ出
力のうち下位桁Ｒ−ｌｏｗは、選択回路ＳｅｌＢ及びイ
ネーブルバッファＥｎに接続されている。

【０１８９】レジスタＡｉ−ｒｅｇの出力は、選択回路
ＳｅｌＡに接続されている。そして選択回路ＳｅｌＡ
は、レジスタＡｉ−ｒｅｇとレジスタＲＡの内容のうち
いずれかを選択して高速加算器Ａｄｄに加算入力すべく
加算加算器Ａｄｄに接続されている。

【０１９０】選択回路ＳｅｌＢは、Ｒ−ｌｏｗとレジス
タＲＡの内容のうちいずれかを選択してレジスタＲＢに
向けてその結果を出力すべくレジスタＲＢに接続されて
いる。

【０１９１】レジスタＲＢは、選択回路ＳｅｌＢの出力
を一時格納するレジスタであり、出力はレジスタＲＣ及
びＥｎｓｅｌに接続されている。

【０１９２】レジスタＲＣは、レジスタＲＢの出力を一
時格納するレジスタであり、出力はレジスタＲＤ及びＥ
ｎｓｅｌに接続されている。

【０１９３】レジスタＲＤは、レジスタＲＣの出力を一
時格納するレジスタであり、出力は選択回路Ｅｎｓｅｌ
及び高速乗加算器Ｍｕｌ／Ａｄｄに接続されている。

【０１９４】選択回路Ｅｎｓｅｌは、レジスタＲＡ、Ｒ
Ｂ、ＲＣ、ＲＤの内容のうちいずれか１つを選択して演
算値メモリに向けて出力する選択回路である。

【０１９５】その他の回路については、先の実施の形態
と同様な働きをするので説明を省略する。

【０１９６】（動作）次に、演算の基本となる （Ａ３Ａ２Ａ１Ａ０）×Ｓ０＋Ｃ０ の計算方法について、 （Ｗｌ３、Ｗｌ２、Ｗｌ１、Ｗｌ０）×Ｓ０＝（ＲＡ、
ＲＢ、ＲＣ、ＲＤ、Ｗｌ０） のようなハードウエアイメージを使用して、図１４を用
いて説明する。

【０１９７】なお、アンダーラインが付与されたアドレ
スは、演算の最終結果が格納されていることを意味す
る。

【０１９８】（初期設定）まず図示のごとく初期設定が
行われる。

【０１９９】（ステップ１）レジスタＸｉ−ｒｅｇの値
と、選択回路Ｙｉ−ｓｅｌで選択されたレジスタＹｉ−
ｒｅｇ［０］の値と、レジスタＲＤの値と選択回路Ｓｅ
ｌＡで選択されたレジスタＡｉ−ｒｅｇの値との間で演
算が行われる。そして、この演算の終了間際には、演算
結果の上位桁であるＲ−ｈｉｇｈは、レジスタＲＡに、
演算結果の下位桁であるＲ−ｌｏｗは、演算値メモリＷ
ｌｍｅｍに格納される。同時に、レジスタＲＣの値はレ
ジスタＲＤに、レジスタＲＢの値はレジスタＲＣに、レ
ジスタＲＡの値は選択回路ＳｅｌＢで選択されたレジス
タＲＢに格納される。 （ステップ２）レジスタＸｉ−ｒｅｇの値と、選択回路
Ｙｉ−ｓｅｌで選択されたレジスタＹｉ−ｒｅｇ［１］
の値と、レジスタＲＤの値と選択回路ＳｅｌＡで選択さ
れたレジスタＲＡの値との間で演算が行われる。そし
て、この演算の終了間際には、演算結果の上位桁である
Ｒ−ｈｉｇｈは、レジスタＲＡに、演算結果の下位桁で
あるＲ−ｌｏｗは、選択回路ＳｅｌＢで選択されたレジ
スタＲＢに格納される。同時に、レジスタＲＣの値はレ
ジスタＲＤに、レジスタＲＢの値はレジスタＲＣに格納
される。

【０２００】（ステップ３）レジスタＸｉ−ｒｅｇの値
と、選択回路Ｙｉ−ｓｅｌで選択されたレジスタＹｉ−
ｒｅｇ［２］の値と、レジスタＲＤの値と選択回路Ｓｅ
ｌＡで選択されたレジスタＲＡの値との間で演算が行わ
れる。そして、この演算の終了間際には、演算結果の上
位桁であるＲ−ｈｉｇｈは、レジスタＲＡに、演算結果
の下位桁であるＲ−ｌｏｗは、選択回路ＳｅｌＢで選択
されたレジスタＲＢに格納される。同時に、レジスタＲ
Ｃの値はレジスタＲＤに、レジスタＲＢの値はレジスタ
ＲＣに格納される。

【０２０１】（ステップ４）レジスタＸｉ−ｒｅｇの値
と、選択回路Ｙｉ−ｓｅｌで選択されたレジスタＹｉ−
ｒｅｇ［３］の値と、レジスタＲＤの値と選択回路Ｓｅ
ｌＡで選択されたレジスタＲＡの値との間で演算が行わ
れる。そして、この演算の終了間際には、演算結果の上
位桁であるＲ−ｈｉｇｈは、レジスタＲＡに、演算結果
の下位桁であるＲ−ｌｏｗは、選択回路ＳｅｌＢで選択
されたレジスタＲＢに格納される。同時に、レジスタＲ
Ｃの値はレジスタＲＤに、レジスタＲＢの値はレジスタ
ＲＣに格納される。

【０２０２】以上のステップ１からステップ４までの処
理では、演算値メモリへのアクセスは、ステップ１で１
度行っているだけである。従って、残りのステップ２か
らステップ４までの期間に、各演算値メモリのアドレス
の変更、プリチャージ等を行ってメモリアクセスの時間
をかせぐことができる。また、ステップ２からステップ
４までの期間内に行う動作は、ほとんど同じであるた
め、演算処理が複雑になることはない。

【０２０３】次に、他の演算の例として、 （Ａ３、Ａ２、Ａ１、Ａ０）×（Ｂ３、Ｂ２、Ｂ１、Ｂ
０）＋（Ｃ３、Ｃ２、Ｃ１、Ｃ０） の計算方法について、 （Ｗｌ３、Ｗｌ２、Ｗｌ１、Ｗｌ０）×（Ｓ３、Ｓ２、
Ｓ１、Ｓ０）＋（Ｗｈ３、Ｗｈ２、Ｗｈ１、Ｗｈ０）＝
（ＲＡ、ＲＢ、ＲＣ、ＲＤ、Ｗｌ３、Ｗｌ２、Ｗｌ１、
Ｗｌ０） のようなハードウエアイメージを使用して、図１５、図
１６に示す。

【０２０４】さらに、実際の計算の例として、図１７に
８５９１×４６７３＋２０６９＝４０１４７８１２のタ
イム１からタイム４までの演算過程を示す。

【０２０５】なお、アンダーラインが付与された値は、
演算の最終結果であることを意味する。

【０２０６】この図から、最終結果の上位の桁は、タイ
ム４のステップ４で得られたレジスタＲＡ、ＲＢ、Ｒ
Ｃ、ＲＤに格納された値であり、下位の桁はステップ１
で得られた演算値メモリＷｌｍｅｍの値であることが理
解できる。

【０２０７】以上のように第５の実施形態によれば、乗
加算器等の演算処理部のサイズを変える必要はなく、全
体的に小規模な回路で演算時間の短い剰余演算コプロセ
ッサを実現できる。

【０２０８】（第６の実施形態） （構成）図１８は、本発明の第６の実施の形態を示すブ
ロック図であり、先に説明したコプロセッサと外部装置
との間に、演算値メモリインターフェイス回路と演算コ
ントロール回路を設けたものである。

【０２０９】（演算値メモリインタフェイス回路Ｍｅｍ
ＩＦ）ＭｅｍＩＦは、ＭＣＵとコプロセッサ内の演算値
メモリとの間でデータの授受を行うための演算値メモリ
インタフェイス回路である。

【０２１０】演算値メモリは、演算に先だってコプロセ
ッサ外部から演算データを格納し、演算の終了時に演算
結果の値をコプロセッサ外部に送出する。同時に、演算
実行中はコプロセッサ外部とは関係なくダイナミックに
演算ユニットとのアクセスを繰り返す。つまり、演算値
メモリは２種類の通信プロトコルを有する。演算値メモ
リインタフェイスＭｅｍＩＦでは、それを実現すべく回
路を構成する。

【０２１１】ＭＣＵから出力されるアドレス信号ａｄｒ
ｓとメモリ制御信号Ｍｅｍｃｏｎは、演算値メモリイン
タフェイスＭｅｍＩＦに入力され、演算値メモリインタ
フェイスＭｅｍＩＦ内で、コプロセッサ内の各演算値メ
モリ別のアドレス信号Ｃｏｍｅｍａｄとメモリコントロ
ール信号Ｃｏｍｃｏｎを作成してコプロセッサに供給す
る。ＭＤｂｕｓは、ＭＣＵのデータバスであり、ＣｏＤ
ｂｕｓはコプロセッサの外部インタフェイス用データバ
スである。

【０２１２】ここで、各演算値メモリがＭＣＵ内のある
単一のメモリ空間上に配置されている場合は、演算値メ
モリインタフェイスＭｅｍＩＦに入力されるａｄｒｓ信
号とＭｅｍｃｏｎ信号とＭＤｂｕｓは一種類でよいが、
複数のメモリ空間上に配置されている場合は複数種類の
入力となる。また、一般的にはＭＤｂｕｓとＣｏＤｂｕ
ｓは直結されることが多いが、例えばコプロセッサ内部
で処理される演算値メモリのデータ長とＭＣＵのデータ
長が異なる場合などは、演算値メモリインタフェイスＭ
ｅｍＩＦを介してデータ変換を行うこともできる。

【０２１３】なお、コプロセッサが演算実行中は、演算
値メモリが演算実行のためにダイナミックに動作してい
るので、ＭＣＵからのアクセスを禁止するように制御さ
れている。このようにして、コプロセッサ内演算値メモ
リと外部装置との第１の通信プロトコルを実現する。

【０２１４】次に、演算実行の際、演算値メモリインタ
フェイスＭｅｍＩＦにはコプロセッサ内のタイミング／
コントロール回路Ｔ／Ｃから出力される演算実行時メモ
リコントロール信号Ｅｘｅｍｃが入力され、それを受け
取った演算値メモリインタフェイスＭｅｍＩＦは、演算
値メモリが演算ユニットとの間でデータの授受を行える
ように処理されたＣｏｍｅｍａｄ信号とＣｏｍｃｏｎ信
号をコプロセッサに向けて出力する。このようにして、
コプロセッサ内の演算実行中の演算値メモリと演算ユニ
ットとの第２の通信プロトコルを実現する。

【０２１５】（演算コントロール回路ＣｏｐＣｏｎ）Ｃ
ｏｐＣｏｎは、ＭＣＵから出力されるコプロセッサ制御
信号Ｅｘｃｏｎを受け取って、コプロセッサ内部へ演算
制御信号Ｓｅｖｅｘ（以上の実施の形態で言えば、演算
モード信号、ビット長選択信号等）を供給する演算コン
トロール回路である。ここで、コプロセッサへの演算の
開始を促すのは、演算モード信号やコプロセッサ原振ク
ロックＣＯＰＣＬＫを供給することで実現できる。

【０２１６】また、演算の終了をＭＣＵ側で確認するた
めには、コプロセッサ内のタイミング／コントロール回
路Ｔ／Ｃで発生される演算終了のタイミング信号Ｃｏｅ
ｎｄをＣｏｐＣｏｎで受取り、ラッチ回路などで処理し
た演算終了モニター信号ＥｎｄｍｏｎｉをＭＣＵに向け
て出力する。

【０２１７】一般に、演算コントロール回路ＣｏｐＣｏ
ｎは、ＭＣＵのペリフェラル回路としてローカルメモリ
エリア等に割り付けてＭＣＵの命令で直接アクセスでき
るように構成でき、比較的に簡単な回路で実現できる。

【０２１８】なお、図中のＭＣＵＣＬＫ信号は、ＭＣＵ
の原振クロックを、ＣＯＰＣＬＫ信号はコプロセッサの
原振クロックを示している。

【０２１９】以上のように第６の実施の形態によれば、
比較的に小規模な回路で外部装置（例えば、ＭＣＵ等）
とコプロセッサとのインタフェイスが実現できるので、
外部インタフェイス付きの剰余演算コプロセッサ、ある
いは剰余演算コプロセッサ内臓のＭＣＵを構成でき、し
かもＬＳＩ化が可能となる。

【０２２０】（第７の実施形態）第６の実施の形態で
は、演算終了をコプロセッサ外部で確認する手段は、演
算終了モニター信号Ｅｎｄｍｏｎｉを見るしかない。し
かしこの方法では、コプロセッサで処理される多ビット
長の剰余演算量は多いため、例えば外部装置がＭＣＵの
場合はＭＣＵ側で常にＥｎｄｍｏｎｉ信号を監視する時
間が比較的長くなり、ＭＣＵの動作パフォーマンスが低
下する。

【０２２１】本実施の形態はこの問題を解決するため
に、専用の演算終了時の割り込み制御回路を設けたもの
である。

【０２２２】図１９は、本発明の第７の実施の形態を示
すブロック図である。

【０２２３】図１９中で、ＩｎｔＣｏｎは演算終了割り
込み制御回路であり、あらかじめＭＣＵから出力される
割り込み設定信号Ｉｎｔｓｅｔにより、割り込みの準備
がなされている。コプロセッサより演算終了のタイミン
グ信号Ｃｏｅｎｄが入力されると、ＣｏｐＣｏｎで設定
された演算モードの種類別に、割り込みに必要な割り込
み処理リクエスト信号、アクノリッジ信号、ベクター制
御信号等をＩｎｔｓｉｇとして、ＭＣＵとの間でやりと
りし、最後に割り込みの準備を解除して割り込み処理を
終了する。

【０２２４】なお、演算終了の割り込み要因は１つに固
定しても良いが、本コプロセッサは複数の演算モードを
有しているため、各演算モード毎の割り込みを行った方
が外部装置によるべき乗剰余演算への展開の仕方が容易
になるので、割り込み要因を複数に設定したほうが良
い。

【０２２５】Ｉｎｔｃｏｎは、演算コントロール回路Ｃ
ｏｐＣｏｎと同様にＭＣＵのペリフェラル回路としてロ
ーカルメモリエリア等に割り付けてＭＣＵの命令で直接
アクセスできるように構成でき、比較的に簡単な回路で
実現できる。

【０２２６】以上のように、第７の実施の形態によれ
ば、比較的に小規模な回路で、演算終了割り込み機能を
持った、外部インタフェイス付きの剰余演算コプロセッ
サ、あるいは剰余演算コプロセッサ内臓のＭＣＵを構成
でき、しかもＬＳＩ化が可能となる。

【０２２７】（第８の実施形態）本コプロセッサ内での
剰余演算は、演算開始から終了までダイナミックに実行
されるため、外部装置と接続した際のシステム全体の演
算実行中の消費電流を抑えるために、演算実行時の外部
装置の動作を一時停止（以下、スリーぷと呼ぶ。）状態
にすると都合がよい。

【０２２８】本提案は、それを実現するために、専用の
外部装置スリープ制御回路とクロック制御回路を設けた
ものである。

【０２２９】図２０は、第８の実施形態を示す図であ
り、第７の実施形態に、外部装置スリープ制御回路とク
ロック制御回路を付加したものである。

【０２３０】図２０中で、ＳｌｐＣｏｎはＭＣＵスリー
プ制御回路であり、ＭＣＵからのスリープ設定信号Ｓｌ
ｐｓｅｔを受けてスリープ信号Ｓｌｐを発生させ、その
信号をクロック制御回路ＣＬＫＣｏｎに送る。

【０２３１】ＣＬＫＣｏｎは、通常は外部より入力され
たシステムクロックＣＬＫ信号をもとに、ＭＣＵに対し
てＭＣＵ原振クロックＭＣＵＣＬＫを供給しているが、
いったんＳｌｐ信号を受け取るとＭＣＵへのＭＣＵＣＬ
Ｋの供給をやめるように働く。

【０２３２】演算終了時には、演算終了のタイミング信
号ＣｏｅｎｄがＳｌｐＣｏｎに入力されてＳｌｐ信号の
ＣＬＫＣｏｎへの供給がなくなり、ＣＬＫＣｏｎからＭ
ＣＵに対してＭＣＵＣＬＫの供給を再開する。

【０２３３】なお、このスリープ機能は一般的には外部
装置のある端子への信号入力等でスリープ解除すること
が多く、この場合もそれを併用するようにＳｌｐＣｏｎ
を構成しても良い。

【０２３４】ＳｌｐＣｏｎは、演算コントロール回路Ｃ
ｏｐＣｏｎと同様にＭＣＵのペリフェラル回路として、
ローカルメモリエリア等に割り付けてＭＣＵの命令で直
接アクセスできるように構成でき、比較的に簡単な回路
で実現できる。

【０２３５】以上のように、第８の実施形態によれば、
比較的に小規模な回路で、外部装置スリープ機能を持っ
た、外部インターフェイス付きの剰余演算コプロセッ
サ、あるいは剰余演算コプロセッサ内蔵のＭＣＵを構成
でき、システム全体の低消費電力化が実現して、しかも
ＬＳＩ化が可能となる。

【０２３６】（第９の実施形態）本コプロセッサの用途
は、大規模で複雑な剰余演算を行う暗号アルゴリズム等
の、処理時間の高速性を問われる場合に使用することが
できる。従って、システムに供給される入力原振クロッ
クの周波数がいかなる場合であっても、演算時間は短い
ことが要求される。

【０２３７】そこで、逓倍速クロック制御回路を内蔵し
て演算速度の向上機能を付加する。

【０２３８】図２１は、第９の実施の形態を示す図であ
り、第８の実施の形態のクロック制御回路をモディファ
イして逓倍速クロック制御回路を構成した場合の図であ
る。なお、第６、第７の実施の形態に逓倍速クロック制
御回路を別個に付加した場合でも構わない。

【０２３９】図２１中、ＣＬＫＣｏｎ２は、逓倍速クロ
ック制御回路を内蔵したクロック制御回路であり、ＭＣ
Ｕから逓倍速設定用の信号としてＣｋｗｓｅｔが入力さ
れると逓倍速機能が働く。

【０２４０】逓倍速機能は、外部から供給される原振ク
ロックＣＬＫに対して動作し、作成した逓倍速クロック
がＭＣＵの原振クロックＭＣＵＣＬＫ、あるいはコプロ
セッサの原振クロックＣＯＰＣＬＫ、あるいはその両方
に出力させるように回路を構成しておく。そうすること
で、ユーザーにとっては、消費電流との兼ね合いから、
システムの上でバリエーションに富んだ選択ができるよ
うになる。

【０２４１】逓倍速機能の解除も、設定の場合と同様に
解除信号としてのＣｋｗｓｅｔ信号を入力することによ
って、実現する。

【０２４２】逓倍速クロック制御回路は、演算コントロ
ールＣｏｐＣｏｎと同様にＭＣＵのペリフェラル回路と
してローカルメモリエリア等に割り付けてＭＣＵの命令
で直接アクセスできるように構成でき、比較的に簡単な
回路で実現できる。

【０２４３】以上のように、第９の実施の形態によれ
ば、比較的に小規模な回路で、システムの逓倍速機能を
持った、外部インタフェイス付きの剰余演算コプロセッ
サ、あるいは剰余演算コプロセッサ内臓のＭＣＵを構成
でき、システム全体の演算処理速度が向上して、しかも
ＬＳＩ化が可能となる。

【０２４４】第１から第５の実施の形態で示した高速乗
加算器Ｍｕｌ／Ａｄｄは、乗算器と加算器に分離した構
成としても良い。

【０２４５】第１から第５の実施の形態で示した高速乗
加算器Ｍｕｌ／Ａｄｄ、高速加算器Ａｄｄは、一体化さ
れたものであっても良い。

【０２４６】第１から第５の実施の形態で示した高速乗
加算器Ｍｕｌ／Ａｄｄ、高速加算器Ａｄｄは、市販のＩ
Ｃで構成しても良い。

【０２４７】第６から第９の実施の形態で示したコプロ
セッサは、第１から第５の実施の形態で示したコプロセ
ッサをもとにした記述をしているが、そのコプロセッサ
と同等の機能を持つ他のコプロセッサで構成しても良
い。

【０２４８】第１から第５の実施の形態で示した多ビッ
ト長乗算アルゴリズムは、一般的なもので説明している
が、説明の中で使用しているハードウエア構成で使用で
きる他の乗算アルゴリズム（例えば、ＢＯＯＴＨ等）を
タイミング／コントロール回路で作り出して実現しても
良い。

【０２４９】第２から第５の実施の形態の説明では、”
０”検出回路ＺｅｒｏＣの使用例を演算値メモリの削減
を主な目的として記述しているが、ＺｅｒｏＣは例えば
単位乗算の乗算値あるいは被乗算値の内容が０であった
場合に、演算動作をオミットし演算結果の途中値を無条
件に０として次の演算に進むようにシーケンスを制御し
て、演算時間を短縮する目的にも使用できる。

【０２５０】第５の実施の形態では、被乗算値格納レジ
スタの個数を増やす記述をしているが、被乗算値格納レ
ジスタのビット長を大きくしてサイズを増やす場合も可
能である。

【０２５１】

【発明の効果】以上詳細に説明したように、本発明の代
表的なものによれば、べき乗剰余演算の解を求めるに際
し、予め用意されたモード信号を供給するのみで、各種
演算を実行することができる。

【図面の簡単な説明】

【図１】本発明におけるフローチャートを示す図であ
る。

【図２】暗号文の処理の具体例を説明する図である。

【図３】べき乗剰余演算の概略フローである。

【図４】本発明のハードウエアの概略を示すブロック図
である。

【図５】本発明の第１の実施の形態を示す図である。

【図６】単位乗加算を説明する図である。

【図７】本発明の第１の実施形態の動作を説明するハー
ドウエアイメージである。

【図８】本発明の第２の実施の形態を示す図である。

【図９】本発明の第３の実施の形態を示す図である。

【図１０】本発明の第４の実施の形態を示す図である。

【図１１】本発明の第４の実施形態の動作を説明するハ
ードウエアイメージである。

【図１２】本発明の第４の実施形態の動作を説明する演
算例である。

【図１３】本発明の第５の実施の形態を示す図である。

【図１４】本発明の第５の実施形態の動作を説明するハ
ードウエアイメージである。

【図１５】本発明の第５の実施形態の動作を説明するハ
ードウエアイメージである。

【図１６】本発明の第５の実施形態の動作を説明するハ
ードウエアイメージである。

【図１７】本発明の第５の実施形態の動作を説明する演
算例である。

【図１８】本発明の第６の実施の形態を示す図である。

【図１９】本発明の第７の実施の形態を示す図である。

【図２０】本発明の第８の実施の形態を示す図である。

【図２１】本発明の第９の実施の形態を示す図である。

【符号の説明】

Ｔ／Ｃ・・・タイミング／コントロール回路 Ｓｍｅｍ、Ｎ’ｍｅｍ、Ｎｍｅｍ、Ｍｍｅｍ、Ａ’ｍｅ
ｍ、Ｗｌｍｅｍ、Ｗｈｍｅｍ・・・演算値メモリ Ｍｕｌ／Ａｄｄ・・・高速乗加算器 Ａｄｄ・・・高速加算器 Ｘｉ−ｒｅｇ・・・乗算値格納レジスタ Ｙｉ−ｒｅｇ・・・被乗算値格納レジスタ Ａｉ−ｒｅｇ・・・被加算値格納レジスタ ＲＨ・・・高速加算器Ａｄｄが出力する値の上位の桁を
格納するレジスタ

───────────────────────────────────────────────────── フロントページの続き (72)発明者 川▲崎▼ 清人 宮崎県児湯郡高鍋町大字南高鍋569番地３ 合資会社川▲崎▼電機内

Claims (12)

【特許請求の範囲】
1. 【請求項１】 正の整数Ｍ、ｅ、Ｎに関するＭ^eｍｏｄ
   Ｎなるべき乗剰余演算を行うべき乗剰余演算回路におい
   て、 Ｎと素であり、かつＮよりも大きい整数Ｒを用い、第１
   のモード信号に対応したタイミング制御信号に応答し
   て、Ａ・Ａ・Ｒ’ｍｏｄＮ（Ｒ’は、ｍｏｄＮ法下での
   Ｒのインバースである。）なる第１の演算を実行し、前
   記整数Ｒを用い、第２のモード信号に対応したタイミン
   グ制御信号に応答して、Ａ・Ｂ・Ｒ’ｍｏｄＮなる第２
   の演算を実行し、前記整数Ｒを用い、第３のモード信号
   に対応したタイミング制御信号に応答して、Ａ・１・
   Ｒ’ｍｏｄＮなる第３の演算を実行する演算部と、 前記第１ないし第３のモード信号を受信し、前記第１な
   いし第３のモード信号に対応した前記タイミング制御信
   号を前記演算部に出力するタイミング制御回路とを有す
   ることを特徴とするべき乗剰余演算回路。
2. 【請求項２】 前記第１ないし第３の演算の結果の前記
   Ｒ未満の値が０であることを検出する検出回路を設けた
   ことを特徴とする請求項１記載のべき乗剰余演算回路。
3. 【請求項３】 前記ＡもしくはＢのビット長に応じて、
   前記タイミング制御回路を制御する演算ビット長選択回
   路を設けたことを特徴とする請求項１記載のべき乗剰余
   演算回路。
4. 【請求項４】 前記演算部は、第４のモード信号に対応
   したタイミング制御信号に応答して、Ａ・Ｂ＋Ｃなる第
   ４の演算を実行し、前記タイミング制御回路は、前記第
   ４のモード信号を受信し、前記第４のモード信号に対応
   した前記タイミング制御信号を出力することを特徴とす
   る請求項１記載のべき乗剰余演算回路。
5. 【請求項５】 前記演算における乗算値を格納する乗算
   値格納部と、 前記演算における被乗算値を格納する複数個の被乗算値
   格納部と、 複数の前記被乗算値格納部のいずれかの出力を選択して
   前記演算部に出力する選択回路と、 前記複数個の被乗算値格納部に各々対応して設けられ、
   前記演算部の出力のうちの上位桁もしくは下位桁のいず
   れか一方を格納する複数個の演算結果格納部とを設けた
   ことを特徴とする請求項１記載のべき乗剰余演算回路。
6. 【請求項６】 請求項１記載のべき乗剰余演算回路と外
   部装置との間に設けられ、前記外部装置の命令に応じて
   前記演算部の動作を制御する演算コントロール回路を設
   けたことを特徴とするべき乗剰余演算システム。
7. 【請求項７】 前記第１、第２もしくは第３の演算のい
   ずれかが終了したことを検出して、前記外部装置に割り
   込み要求信号を出力する割り込み制御回路を設けたこと
   を特徴とする請求項６記載のべき乗剰余演算システム。
8. 【請求項８】 前記第１、第２もしくは第３の演算のい
   ずれかが実行中であることを検出して、スリープ信号を
   出力するスリープ制御回路と、 前記スリープ信号を受信している間、クロック信号を前
   記外部装置に供給するクロック制御回路とを設けたこと
   を特徴とする請求項６記載のべき乗剰余演算システム。
9. 【請求項９】 第１のクロック信号を受信して、該第１
   のクロック信号を逓倍した第２のクロック信号を前記外
   部装置もしくは前記演算部に供給する逓倍速クロック制
   御回路を設けたことを特徴とする請求項６記載のべき乗
   剰余演算システム。
10. 【請求項１０】 正の整数Ｍ、ｅ、Ｎに関するＭ^eｍｏ
    ｄＮなるべき乗剰余演算を、Ｎと素であり、かつＮより
    も大きい整数Ｒを用いて実行するべき乗剰余演算の演算
    方法であって、乗算値を格納する乗算値格納部及び被乗
    算値を格納する被乗算値格納部とを有し、前記乗算値格
    納部に格納された乗算値と、前記被乗算値格納部に格納
    された被乗算値とを乗算した結果に対してＲ’ｍｏｄＮ
    （Ｒ’は、ｍｏｄＮ法下でのＲのインバースである。）
    を実行する演算回路を使用して、前記べき乗剰余演算の
    ための演算方法において、 前記乗算値格納部及び前記被乗算値格納部にＲｍｏｄＮ
    を与えることにより第１の演算結果を得る第１の演算ス
    テップと、 前記乗算値格納部に前記第１の演算結果を与え、前記被
    乗算値格納部にＲ²ｍｏｄＮとＭとを乗算した演算結果
    を与えることにより第２の演算結果を得る第２の演算ス
    テップと、 前記乗算値格納部に前記第１の演算結果もしくは前記第
    ２の演算結果を与え、前記被乗算値格納部に１を与える
    ことにより第３の演算結果を得る第３の演算ステップと
    を有し、 前記第１ないし第３の各演算ステップにおける演算は、
    前記第１ないし第３の各演算結果をＸとして、 ｍ＝（ＸｍｏｄＲ）・Ｎ’ｍｏｄＲなる第４の演算
    （Ｎ’は、ｍｏｄＮ法下でのＮのインバースである。）
    を実行する第４の演算ステップと、その後、 ｔ＝（Ｘ＋ｍ・Ｎ）／Ｒなる第５の演算を実行する第５
    の演算ステップとを含むことを特徴とするべき乗剰余演
    算のための演算方法。
11. 【請求項１１】 前記第４の演算は、ＸのＲ未満の値と
    Ｎ’とを乗算し、この乗算結果のＲ未満の値をｍとする
    ステップからなり、 前記第５の演算は、ＸのＲ未満の値が全て０であること
    を検出した時には、このＸのＲ以上の値をｔとし、Ｘの
    Ｒ未満の値が少なくとも１を含むことを検出した時に
    は、（ＸのＲ以上の値＋ｍ・ＮのＲ以上の値）＋１をｔ
    とするステップからなることを特徴とする請求項１０記
    載の演算方法。
12. 【請求項１２】 前記第５の演算ステップはさらに、Ｒ
    ≦ｔの関係を検出した時はｔ−Ｎ実行することを特徴と
    する請求項１０記載の演算方法。