JPH10187037A - 素数判定方法および装置 - Google Patents
素数判定方法および装置Info
- Publication number
- JPH10187037A JPH10187037A JP34904796A JP34904796A JPH10187037A JP H10187037 A JPH10187037 A JP H10187037A JP 34904796 A JP34904796 A JP 34904796A JP 34904796 A JP34904796 A JP 34904796A JP H10187037 A JPH10187037 A JP H10187037A
- Authority
- JP
- Japan
- Prior art keywords
- integer
- prime
- remainder
- prime number
- integers
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
Landscapes
- Complex Calculations (AREA)
Abstract
(57)【要約】
【課題】 Ｐ−１法などの安全対策を施した法数を生成
する場合でも、処理の始めに増加値剰余テーブルを作成
することによって、以後繰り返される多倍長の計算を回
避する。 【解決手段】 ふるい法によって棄却された素数候補を
増加させるための多倍長の整数を被除数、素数テーブル
の要素を除数としたときの剰余を予め計算し、この値を
増加値剰余テーブルとして保持する（２０３）。そして
この増加値剰余テーブルの値を用いて、ふるい法に必要
な素数テーブルの要素を法としたときの乱整数の剰余を
求める計算を行う（３０３）。素数テーブルの要素の大
きさを１ワードより数ビット小さくし、この増加値剰余
テーブルの要素の大きさも１ワードより数ビット小さく
する。乱整数の剰余の計算は１ワードで実行できる。
する場合でも、処理の始めに増加値剰余テーブルを作成
することによって、以後繰り返される多倍長の計算を回
避する。 【解決手段】 ふるい法によって棄却された素数候補を
増加させるための多倍長の整数を被除数、素数テーブル
の要素を除数としたときの剰余を予め計算し、この値を
増加値剰余テーブルとして保持する（２０３）。そして
この増加値剰余テーブルの値を用いて、ふるい法に必要
な素数テーブルの要素を法としたときの乱整数の剰余を
求める計算を行う（３０３）。素数テーブルの要素の大
きさを１ワードより数ビット小さくし、この増加値剰余
テーブルの要素の大きさも１ワードより数ビット小さく
する。乱整数の剰余の計算は１ワードで実行できる。
Description
【０００１】
【発明の属する技術分野】本発明は、例えば公開鍵暗号
に用いる法数生成法に利用される素数判定技術に関する
ものであり、特にＰ−１法、Ｐ＋１法などの素因数分解
攻撃等に対抗するための法数生成に用いることができる
ようにしたものである。
に用いる法数生成法に利用される素数判定技術に関する
ものであり、特にＰ−１法、Ｐ＋１法などの素因数分解
攻撃等に対抗するための法数生成に用いることができる
ようにしたものである。
【０００２】
【従来の技術】近年のパーソナル・コンピュータの急激
な発展と普及、そしてインターネット／イントラネット
をはじめとする通信ネットワークの社会への急速な浸
透、そしてＣＤ−ＲＯＭなどの大規模な情報媒体の普及
を背景として、デジタル情報を簡便に利用者に送り届
け、デジタル情報の利用に対する課金を確実に行える技
術の普及を望む声が高まっている。
な発展と普及、そしてインターネット／イントラネット
をはじめとする通信ネットワークの社会への急速な浸
透、そしてＣＤ−ＲＯＭなどの大規模な情報媒体の普及
を背景として、デジタル情報を簡便に利用者に送り届
け、デジタル情報の利用に対する課金を確実に行える技
術の普及を望む声が高まっている。
【０００３】このような情報セキュリティを確保するた
めの技術として、暗号技術とりわけ公開鍵暗号が注目を
集めている。公開鍵暗号の一種であるＲＳＡ（Ｒｉｖｅ
ｓｔ、Ｓｈａｍｉｒ、Ａｄｌｅｍａｎ）暗号は、データ
保護、認証、電子署名を可能とし、その安全性の高さか
ら公開鍵暗号の標準として確立されつつある。今後デジ
タル情報社会の発展と共にＲＳＡ暗号の利用機会は急速
に拡大することが予想される。
めの技術として、暗号技術とりわけ公開鍵暗号が注目を
集めている。公開鍵暗号の一種であるＲＳＡ（Ｒｉｖｅ
ｓｔ、Ｓｈａｍｉｒ、Ａｄｌｅｍａｎ）暗号は、データ
保護、認証、電子署名を可能とし、その安全性の高さか
ら公開鍵暗号の標準として確立されつつある。今後デジ
タル情報社会の発展と共にＲＳＡ暗号の利用機会は急速
に拡大することが予想される。
【０００４】一般にＲＳＡ暗号では、二つの大きな素数
の積からなる合成数を法数として用いる。一般にこの素
数の生成では、ふるい法と確率的素数判定法の二段階の
素数判定が行われる。ふるい法は、素数性を判定する数
を、予め用意された素数集合の要素で割ったときの剰余
が零かどうか、つまり割り切れるかどうかで素数判定を
行う方法である。確率的素数判定法は、調べたい数があ
る確率をもって合成数であることを判定する方法で、Ｆ
ｅｒｍａｔ判定法、Ｓｏｌｏｖａｙ−Ｓｔｒａｓｓｅｎ
法、Ｍｉｌｌｅｒ−Ｒａｂｉｎ法などが知られている。
確率的素数判定法は計算負荷が大きいので、通常の素数
生成では、ふるい法が併用されることが多い。
の積からなる合成数を法数として用いる。一般にこの素
数の生成では、ふるい法と確率的素数判定法の二段階の
素数判定が行われる。ふるい法は、素数性を判定する数
を、予め用意された素数集合の要素で割ったときの剰余
が零かどうか、つまり割り切れるかどうかで素数判定を
行う方法である。確率的素数判定法は、調べたい数があ
る確率をもって合成数であることを判定する方法で、Ｆ
ｅｒｍａｔ判定法、Ｓｏｌｏｖａｙ−Ｓｔｒａｓｓｅｎ
法、Ｍｉｌｌｅｒ−Ｒａｂｉｎ法などが知られている。
確率的素数判定法は計算負荷が大きいので、通常の素数
生成では、ふるい法が併用されることが多い。
【０００５】一般的な素数生成の手順は以下の通りであ
る。まず乱数生成法によって奇数の乱数を生成する。乱
数生成法には、非線形ＦＳＲ乱数発生方式などが知られ
ている。この乱数に対してふるい法を実行する。これに
よって合成数と判定された場合は、この乱数を適当に増
減するか、乱数を作り直すかして、再びふるい法による
判定を行う。この処理をふるい法が合成数と判定しない
素数候補値が得られるまで繰り返す。ふるい法が合成数
と判定しない素数候補値が得られたら、この数をＦｅｒ
ｍａｔ判定法などの確率的素数判定法にかける。確率的
素数判定法によって、合成数と判定されない場合は、こ
れを素数として出力する。合成数と判定される場合に
は、この値を適当に増減するか、乱数を作り直すかし
て、再びふるい法による判定にかける。以上のような手
順により、素数を獲得する。
る。まず乱数生成法によって奇数の乱数を生成する。乱
数生成法には、非線形ＦＳＲ乱数発生方式などが知られ
ている。この乱数に対してふるい法を実行する。これに
よって合成数と判定された場合は、この乱数を適当に増
減するか、乱数を作り直すかして、再びふるい法による
判定を行う。この処理をふるい法が合成数と判定しない
素数候補値が得られるまで繰り返す。ふるい法が合成数
と判定しない素数候補値が得られたら、この数をＦｅｒ
ｍａｔ判定法などの確率的素数判定法にかける。確率的
素数判定法によって、合成数と判定されない場合は、こ
れを素数として出力する。合成数と判定される場合に
は、この値を適当に増減するか、乱数を作り直すかし
て、再びふるい法による判定にかける。以上のような手
順により、素数を獲得する。
【０００６】ＲＳＡ暗号の安全性は、上記法数の素因数
分解の困難さに根拠を置いている。したがって、素因数
分解法がそのままＲＳＡ暗号の攻撃法となる。この他、
素因数分解攻撃法以外にもＲＳＡ暗号の周期性を利用し
た攻撃法が知られている。
分解の困難さに根拠を置いている。したがって、素因数
分解法がそのままＲＳＡ暗号の攻撃法となる。この他、
素因数分解攻撃法以外にもＲＳＡ暗号の周期性を利用し
た攻撃法が知られている。
【０００７】代表的な素因数分解法として、Ｐ−１法、
Ｐ＋１法、Ｆｅｒｍａｔの素因数分解法が挙げられる。
上記二つはＲＳＡ暗号の法数の素因数の一つをｐとする
とき、ｐ−１あるいはｐ＋１が小さな素数の積になって
いる場合に有効な方法である。このため、Ｐ−１法、Ｐ
＋１の方法に対抗するためには、ｐ−１あるいはｐ＋１
の素因数が大きな素数を持つようにすればよい。Ｆｅｒ
ｍａｔの素因数分解法は法数の二つの素因数の大きさが
ほぼ同じときに有効な方法で、これに対しては素因数の
大きさを十分異なるようにすればよく、簡単に対抗策を
こうじることができる。また、ＲＳＡ暗号の周期性を利
用した攻撃法に対しては、ｐ−１の素因数の一つをｒと
すると、ｒ−１が十分大きな素因数を持てばこの攻撃法
の適用が困難なことが知られている。
Ｐ＋１法、Ｆｅｒｍａｔの素因数分解法が挙げられる。
上記二つはＲＳＡ暗号の法数の素因数の一つをｐとする
とき、ｐ−１あるいはｐ＋１が小さな素数の積になって
いる場合に有効な方法である。このため、Ｐ−１法、Ｐ
＋１の方法に対抗するためには、ｐ−１あるいはｐ＋１
の素因数が大きな素数を持つようにすればよい。Ｆｅｒ
ｍａｔの素因数分解法は法数の二つの素因数の大きさが
ほぼ同じときに有効な方法で、これに対しては素因数の
大きさを十分異なるようにすればよく、簡単に対抗策を
こうじることができる。また、ＲＳＡ暗号の周期性を利
用した攻撃法に対しては、ｐ−１の素因数の一つをｒと
すると、ｒ−１が十分大きな素因数を持てばこの攻撃法
の適用が困難なことが知られている。
【０００８】上記のＰ−１法、Ｐ＋１法に対抗するため
従来技術として、次のアルゴリズムＡに従って素因数を
決める方法が知られている。 ［アルゴリズムＡ］ （ステップＡ１） 適当に大きな素数ｔを生成する。 （ステップＡ２） ｒ＝２ａｔ＋１の形の素数ｒを生成
する。 （ステップＡ３） 適当に大きな素数ｓを生成する。 （ステップＡ４） 整数Ｒを法ｓでのｒの逆数として、
Ｐ＝１＋２（ｂｓ−Ｒ）ｒの形の素数Ｐを生成する。
従来技術として、次のアルゴリズムＡに従って素因数を
決める方法が知られている。 ［アルゴリズムＡ］ （ステップＡ１） 適当に大きな素数ｔを生成する。 （ステップＡ２） ｒ＝２ａｔ＋１の形の素数ｒを生成
する。 （ステップＡ３） 適当に大きな素数ｓを生成する。 （ステップＡ４） 整数Ｒを法ｓでのｒの逆数として、
Ｐ＝１＋２（ｂｓ−Ｒ）ｒの形の素数Ｐを生成する。
【０００９】上記アルゴリズムＡにしたがって生成され
た素数を因数とする法数は、Ｐ−１法、Ｐ＋１法、そし
てＲＳＡ暗号の周期性を利用した攻撃法に対抗できる法
数となっている。しかし、上記の各ステップでふるい法
と確率的素数判定法を繰り返すため、アルゴリズムＡに
従って素数生成を行うには膨大な計算量を必要とする。
た素数を因数とする法数は、Ｐ−１法、Ｐ＋１法、そし
てＲＳＡ暗号の周期性を利用した攻撃法に対抗できる法
数となっている。しかし、上記の各ステップでふるい法
と確率的素数判定法を繰り返すため、アルゴリズムＡに
従って素数生成を行うには膨大な計算量を必要とする。
【００１０】また上記アルゴリズムＡとは別に、安全対
策を施した法数を生成する従来技術として、Ｊ．Ｇｏｒ
ｄｏｎによる方法がある。この方法は任意の素数ｓ，ｒ
に対してＵ＝ｓr-1−ｒs-1 ｍｏｄ ｒｓとなる整数Ｕ
と任意の整数ｍを用いて、ｐ＝Ｕ＋２ｍｒｓの形となる
整数を法数の素因数の候補とする。ところがこの計算に
は多倍長のべき乗剰余演算を伴うため、膨大な量の演算
を必要とする。この問題を解決するために特開平２−３
７３８３号公報の素数生成手法が提案されているが、特
開平２−３７３８３号公報の手法も多倍長数の除算を数
多く繰り返す必要があるため、パーソナル・コンピュー
タなどでは大きな計算負荷となってしまう。
策を施した法数を生成する従来技術として、Ｊ．Ｇｏｒ
ｄｏｎによる方法がある。この方法は任意の素数ｓ，ｒ
に対してＵ＝ｓr-1−ｒs-1 ｍｏｄ ｒｓとなる整数Ｕ
と任意の整数ｍを用いて、ｐ＝Ｕ＋２ｍｒｓの形となる
整数を法数の素因数の候補とする。ところがこの計算に
は多倍長のべき乗剰余演算を伴うため、膨大な量の演算
を必要とする。この問題を解決するために特開平２−３
７３８３号公報の素数生成手法が提案されているが、特
開平２−３７３８３号公報の手法も多倍長数の除算を数
多く繰り返す必要があるため、パーソナル・コンピュー
タなどでは大きな計算負荷となってしまう。
【００１１】上記のアルゴリズムＡ、特開平２−３７３
８３号公報の手法などの従来技術とは別に、安全対策を
施していない単純な法数の生成に必要な計算量を削減す
る従来技術としてｐ−ｄｅｌｔａ法が知られている。こ
の方法はふるい法を実行する際の多倍長の除算の回数を
削減する方法である。ｐ−ｄｅｌｔａ法は処理のはじめ
に剰余テーブルを作成することにより繰り返し実行され
るふるい法を１ワードで高速処理する方法である。以下
にｐ−ｄｅｌｔａ法のアルゴリズムを示す。ここでｐｒ
ｉｍｅｓ［ｉ］は、ｈ個の１ワードよりも小さい相異な
る素数の集合のｉ番目の要素とする。 ［アルゴリズムＢ］ （ステップＢ１） ｐに適当な大きさの乱数を代入す
る。 （ステップＢ２） ｐ［ｉ］＝ｐ ｍｏｄ ｐｒｉｍｅ
ｓ［ｉ］ （ｉ＝１，２，・・・・・・，ｈ）、を計算
する。 （ステップＢ３） ｐｄｅｌｔａ＝０とする。 （ステップＢ４） ｐ［ｉ］＋ｐｄｅｌｔａ＝０ （ｉ
＝１，２，・・・・・・，ｈ）かどうかを判定する。 全てのｉに対して上式が不成立のときステップＢ６へ。
そうでない場合はステップＢ５へ。 （ステップＢ５） ｐｄｅｌｔａ←ｐｄｅｌｔａ＋２と
して、ステップＢ４へ。 （ステップＢ６） ｐ←ｐ＋ｐｄｅｌｔａとしてｐを素
数候補として出力する。
８３号公報の手法などの従来技術とは別に、安全対策を
施していない単純な法数の生成に必要な計算量を削減す
る従来技術としてｐ−ｄｅｌｔａ法が知られている。こ
の方法はふるい法を実行する際の多倍長の除算の回数を
削減する方法である。ｐ−ｄｅｌｔａ法は処理のはじめ
に剰余テーブルを作成することにより繰り返し実行され
るふるい法を１ワードで高速処理する方法である。以下
にｐ−ｄｅｌｔａ法のアルゴリズムを示す。ここでｐｒ
ｉｍｅｓ［ｉ］は、ｈ個の１ワードよりも小さい相異な
る素数の集合のｉ番目の要素とする。 ［アルゴリズムＢ］ （ステップＢ１） ｐに適当な大きさの乱数を代入す
る。 （ステップＢ２） ｐ［ｉ］＝ｐ ｍｏｄ ｐｒｉｍｅ
ｓ［ｉ］ （ｉ＝１，２，・・・・・・，ｈ）、を計算
する。 （ステップＢ３） ｐｄｅｌｔａ＝０とする。 （ステップＢ４） ｐ［ｉ］＋ｐｄｅｌｔａ＝０ （ｉ
＝１，２，・・・・・・，ｈ）かどうかを判定する。 全てのｉに対して上式が不成立のときステップＢ６へ。
そうでない場合はステップＢ５へ。 （ステップＢ５） ｐｄｅｌｔａ←ｐｄｅｌｔａ＋２と
して、ステップＢ４へ。 （ステップＢ６） ｐ←ｐ＋ｐｄｅｌｔａとしてｐを素
数候補として出力する。
【００１２】上記アルゴリズムＢからわかるように、剰
余テーブルｐ［ｉ］（ｉ＝１，２，・・・・・・，ｈ）
を予め作成することにより、ｐ−ｄｅｌｔａ法は負荷の
大きい多倍長演算を実行せずに、ステップＢ４での１ワ
ード演算でふるい法を実行するので計算量を大幅に削減
できる。しかしこの方法は、ステップＢ５からわかるよ
うに棄却された候補値を２だけ増加させた値を次の素数
候補とするので、Ｐ−１法やＰ＋１法、そしてＲＳＡ暗
号の周期性を利用した攻撃法に対して必ず安全であるよ
うな素数を生成することはできない。したがって、この
方法は単純な素数の積の法数生成にしか適用することが
できず、Ｐ−１法やＰ＋１法、そしてＲＳＡ暗号の周期
性を利用した攻撃法対策を施した法数の生成にはｐ−ｄ
ｅｌｔａ法を利用することはできない。
余テーブルｐ［ｉ］（ｉ＝１，２，・・・・・・，ｈ）
を予め作成することにより、ｐ−ｄｅｌｔａ法は負荷の
大きい多倍長演算を実行せずに、ステップＢ４での１ワ
ード演算でふるい法を実行するので計算量を大幅に削減
できる。しかしこの方法は、ステップＢ５からわかるよ
うに棄却された候補値を２だけ増加させた値を次の素数
候補とするので、Ｐ−１法やＰ＋１法、そしてＲＳＡ暗
号の周期性を利用した攻撃法に対して必ず安全であるよ
うな素数を生成することはできない。したがって、この
方法は単純な素数の積の法数生成にしか適用することが
できず、Ｐ−１法やＰ＋１法、そしてＲＳＡ暗号の周期
性を利用した攻撃法対策を施した法数の生成にはｐ−ｄ
ｅｌｔａ法を利用することはできない。
【００１３】
【発明が解決しようとする課題】ＲＳＡ暗号の法数生成
を行うには、一般に第一段階としてふるい法を実行し、
得られた素数候補をさらにＦｅｒｍａｔ判定法やＭｉｌ
ｌｅｒ−Ｒａｂｉｎ判定法など、確率的素数判定法を用
いて素数性の判定を行う。第一段階のふるい法では多倍
長数の除算を繰り返すため、この処理は計算負荷の重い
ものとなる。これらの２段階の処理を繰り返し、最終的
に法数の因数となる素数を獲得する。加えて、Ｐ−１法
やＰ＋１法、そしてＲＳＡ暗号の周期性を利用した攻撃
法対策を施すには膨大な多倍長演算を必要とする。
を行うには、一般に第一段階としてふるい法を実行し、
得られた素数候補をさらにＦｅｒｍａｔ判定法やＭｉｌ
ｌｅｒ−Ｒａｂｉｎ判定法など、確率的素数判定法を用
いて素数性の判定を行う。第一段階のふるい法では多倍
長数の除算を繰り返すため、この処理は計算負荷の重い
ものとなる。これらの２段階の処理を繰り返し、最終的
に法数の因数となる素数を獲得する。加えて、Ｐ−１法
やＰ＋１法、そしてＲＳＡ暗号の周期性を利用した攻撃
法対策を施すには膨大な多倍長演算を必要とする。
【００１４】このため処理能力の低いパーソナル・コン
ピュータなどで、素因数分解攻撃やＲＳＡ暗号の周期性
を利用した攻撃に対抗しうる法数生成を行うには、多倍
長演算を削減する技術、および法数生成処理に必要とさ
れるメモリ量を削減する技術が重要となる。
ピュータなどで、素因数分解攻撃やＲＳＡ暗号の周期性
を利用した攻撃に対抗しうる法数生成を行うには、多倍
長演算を削減する技術、および法数生成処理に必要とさ
れるメモリ量を削減する技術が重要となる。
【００１５】本発明の第一の目的は、上記のＰ−１法や
Ｐ＋１法、そしてＲＳＡ暗号の周期性を利用した攻撃法
対策を施した法数の生成時に行われる素数判定・生成法
に必要な多倍長演算を削減する技術を提供することにあ
る。
Ｐ＋１法、そしてＲＳＡ暗号の周期性を利用した攻撃法
対策を施した法数の生成時に行われる素数判定・生成法
に必要な多倍長演算を削減する技術を提供することにあ
る。
【００１６】また本発明の第二の目的は、上記の法数生
成に必要なメモリ量を削減する技術を提供することにあ
る。
成に必要なメモリ量を削減する技術を提供することにあ
る。
【００１７】
【課題を解決するための手段】本発明はで上記の課題を
解決するために、次に述べるような手段を用いる。 （１） 増加値剰余テーブルの作成 Ｐ−１法やＰ＋１法、そしてＲＳＡ暗号の周期性を利用
した攻撃法対策を施した法数を生成するには上記のアル
ゴリズムＡ、Ｊ．Ｇｏｒｄｏｎの方法などで素数生成を
行わなければならない。これらの方法で、ふるい法によ
って素数候補値が棄却された場合には、元の素数候補に
多倍長の整数を加えたものを次の素数候補としなければ
ならない。この新しい素数候補をふるい法に再びかける
ため、多倍長の除算が繰り返し行われることになる。
解決するために、次に述べるような手段を用いる。 （１） 増加値剰余テーブルの作成 Ｐ−１法やＰ＋１法、そしてＲＳＡ暗号の周期性を利用
した攻撃法対策を施した法数を生成するには上記のアル
ゴリズムＡ、Ｊ．Ｇｏｒｄｏｎの方法などで素数生成を
行わなければならない。これらの方法で、ふるい法によ
って素数候補値が棄却された場合には、元の素数候補に
多倍長の整数を加えたものを次の素数候補としなければ
ならない。この新しい素数候補をふるい法に再びかける
ため、多倍長の除算が繰り返し行われることになる。
【００１８】本発明ではふるい法によって棄却された素
数候補を増加させるための多倍長の整数を被除数、素数
テーブルの要素を除数としたときの剰余を予め計算し、
この値を増加値剰余テーブルとして保持する。そしてこ
の増加値剰余テーブルの値を用いて、ふるい法に必要な
素数テーブルの要素を法としたときの乱整数の剰余を求
める計算を行う。素数テーブルの要素の大きさを１ワー
ドより数ビット小さくすると、この増加値剰余テーブル
の要素の大きさも１ワードより数ビット小さくなるた
め、この計算は１ワードで実行できる。このように、Ｐ
−１法などの安全対策を施した法数を生成する場合で
も、処理の始めに増加値剰余テーブルを作成することに
よって、以後繰り返される多倍長の計算を回避すること
ができる。 （２） 除数集合の実行時生成 通常のふるい法で用いる素数集合の代わりに、１ワード
より数ビット小さい乱数またはｄ（ｉ）＝ａ＋ｂｉの形
の整数集合を用いる。この場合、素数集合を記憶保持手
段に保持しておく必要がなく、メモリ上に除数集合を保
持する必要がないため、演算に必要なメモリ量を削減す
ることができる。
数候補を増加させるための多倍長の整数を被除数、素数
テーブルの要素を除数としたときの剰余を予め計算し、
この値を増加値剰余テーブルとして保持する。そしてこ
の増加値剰余テーブルの値を用いて、ふるい法に必要な
素数テーブルの要素を法としたときの乱整数の剰余を求
める計算を行う。素数テーブルの要素の大きさを１ワー
ドより数ビット小さくすると、この増加値剰余テーブル
の要素の大きさも１ワードより数ビット小さくなるた
め、この計算は１ワードで実行できる。このように、Ｐ
−１法などの安全対策を施した法数を生成する場合で
も、処理の始めに増加値剰余テーブルを作成することに
よって、以後繰り返される多倍長の計算を回避すること
ができる。 （２） 除数集合の実行時生成 通常のふるい法で用いる素数集合の代わりに、１ワード
より数ビット小さい乱数またはｄ（ｉ）＝ａ＋ｂｉの形
の整数集合を用いる。この場合、素数集合を記憶保持手
段に保持しておく必要がなく、メモリ上に除数集合を保
持する必要がないため、演算に必要なメモリ量を削減す
ることができる。
【００１９】すなわち、本発明によれば、上述の目的を
達成するために、整数Ａに対し、整数Ａとは異なる整数
ＢまたはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに
属する要素の素数性を判定する素数判定方法において、
整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶手段に記憶するステップと、集合Ｃの要素
を生成するステップと、生成された集合Ｃの要素に対
し、対応する剰余を上記記憶手段から取り出すステップ
と、上記記憶手段から取り出された剰余を用いて、上記
生成された集合Ｃの要素を被除数とし上記一つまたは複
数の整数を除数とした場合の剰余を算出するステップと
を実行するようにしている。
達成するために、整数Ａに対し、整数Ａとは異なる整数
ＢまたはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに
属する要素の素数性を判定する素数判定方法において、
整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶手段に記憶するステップと、集合Ｃの要素
を生成するステップと、生成された集合Ｃの要素に対
し、対応する剰余を上記記憶手段から取り出すステップ
と、上記記憶手段から取り出された剰余を用いて、上記
生成された集合Ｃの要素を被除数とし上記一つまたは複
数の整数を除数とした場合の剰余を算出するステップと
を実行するようにしている。
【００２０】この場合、任意の整数ａと任意の素数ｔに
対してｐ＝１＋２ａｔまたはｐ＝−１＋２ａｔの形の整
数を要素とする集合を素数性を判定する集合Ｃとするこ
とができる。また、ｔを任意の素数あるいは１として、
任意の整数ａに対してｒ＝１＋２ａｔの形となる素数ｒ
と、任意の素数ｓを法としたときのｒの逆数Ｒと、任意
の整数ｂを用いて、ｐ＝１＋２（ｂｓ−Ｒ）ｒの形とな
る整数を要素とする集合を素数性を判定する集合Ｃとす
ることができる。また、ｔを任意の素数あるいは１とし
て、任意の整数ａに対してｒ＝−１＋２ａｔの形となる
素数ｒと、ｒを法としたときの任意の素数ｓの逆数Ｓ
と、 任意の整数ｂを用いて、ｐ＝−１＋２（ｂｒ＋
Ｓ）ｓの形となる整数を要素とする集合を素数性を判定
する集合Ｃとすることができる。また、任意の素数ｓ、
ｒに対してＵ＝ｓr-1−ｒs-1 ｍｏｄｒｓとなる整数Ｕ
と任意の整数ｍを用いて、ｐ＝Ｕ＋２ｍｒｓの形となる
整数を要素とする集合を素数性を判定する集合Ｃとする
ができる。また、任意の整数ｉ、ｊと、任意の素数ｓ、
ｒと、ｒを法としたときのｓの逆数Ｓと、ｓを法とした
ときのｒの逆数Ｒと、Ｕ＝（−１＋ｉｓ）＋（２＋ｊｒ
−ｉｓ）ｓＳ ｍｏｄｒｓまたはＵ＝（１＋ｉ）＋（−
２＋ｉｓ−ｊｒ）ｓＲ ｍｏｄ ｒｓを満たす整数Ｕを
用いて、ｐ＝Ｕ＋２ｍｒｓの形となる整数を要素とする
集合を素数性を判定する集合Ｃとすることができる。
対してｐ＝１＋２ａｔまたはｐ＝−１＋２ａｔの形の整
数を要素とする集合を素数性を判定する集合Ｃとするこ
とができる。また、ｔを任意の素数あるいは１として、
任意の整数ａに対してｒ＝１＋２ａｔの形となる素数ｒ
と、任意の素数ｓを法としたときのｒの逆数Ｒと、任意
の整数ｂを用いて、ｐ＝１＋２（ｂｓ−Ｒ）ｒの形とな
る整数を要素とする集合を素数性を判定する集合Ｃとす
ることができる。また、ｔを任意の素数あるいは１とし
て、任意の整数ａに対してｒ＝−１＋２ａｔの形となる
素数ｒと、ｒを法としたときの任意の素数ｓの逆数Ｓ
と、 任意の整数ｂを用いて、ｐ＝−１＋２（ｂｒ＋
Ｓ）ｓの形となる整数を要素とする集合を素数性を判定
する集合Ｃとすることができる。また、任意の素数ｓ、
ｒに対してＵ＝ｓr-1−ｒs-1 ｍｏｄｒｓとなる整数Ｕ
と任意の整数ｍを用いて、ｐ＝Ｕ＋２ｍｒｓの形となる
整数を要素とする集合を素数性を判定する集合Ｃとする
ができる。また、任意の整数ｉ、ｊと、任意の素数ｓ、
ｒと、ｒを法としたときのｓの逆数Ｓと、ｓを法とした
ときのｒの逆数Ｒと、Ｕ＝（−１＋ｉｓ）＋（２＋ｊｒ
−ｉｓ）ｓＳ ｍｏｄｒｓまたはＵ＝（１＋ｉ）＋（−
２＋ｉｓ−ｊｒ）ｓＲ ｍｏｄ ｒｓを満たす整数Ｕを
用いて、ｐ＝Ｕ＋２ｍｒｓの形となる整数を要素とする
集合を素数性を判定する集合Ｃとすることができる。
【００２１】また、該剰余または該剰余集合を求めるの
に除数として一つ又は複数の素数又は乱数を用いること
ができる。また、該剰余または該剰余集合を求めるのに
除数としてｄ（ｉ）＝ａ＋ｂｉの形の整数集合を用いる
ことができる。
に除数として一つ又は複数の素数又は乱数を用いること
ができる。また、該剰余または該剰余集合を求めるのに
除数としてｄ（ｉ）＝ａ＋ｂｉの形の整数集合を用いる
ことができる。
【００２２】また、本発明によれば、ふるい法による素
数判定方法において、除数としてｄ（ｉ）＝ａ＋ｂｉの
形の整数集合を用いるようにしている。
数判定方法において、除数としてｄ（ｉ）＝ａ＋ｂｉの
形の整数集合を用いるようにしている。
【００２３】また、本発明は素数生成方法として実現す
ることもできる。また本発明は、装置の実現形態を採用
しても良く、コンピュータプログラムの実現形態を採用
することもできる。
ることもできる。また本発明は、装置の実現形態を採用
しても良く、コンピュータプログラムの実現形態を採用
することもできる。
【００２４】
【発明の実施の態様】以下に本発明の実施例を説明す
る。 ［実施例１］図１から４を用いて、本発明によるＰ−１
法、Ｐ＋１法、そしてＲＳＡ暗号の周期性を利用した攻
撃法対策を施した法数の素因数をアルゴリズムＡに従っ
て生成する場合の実施例について説明する。
る。 ［実施例１］図１から４を用いて、本発明によるＰ−１
法、Ｐ＋１法、そしてＲＳＡ暗号の周期性を利用した攻
撃法対策を施した法数の素因数をアルゴリズムＡに従っ
て生成する場合の実施例について説明する。
【００２５】まず図１を用いて本発明による素因数生成
の基本構成を説明する。図１のステップ１０１からステ
ップ１０６に至る処理は以下のように行われる。 （ステップ１０１） スタート。 （ステップ１０２） 通常のｐ−ｄｅｌｔａ法を使って
素数ｔを作成する。 （ステップ１０３） ステップ１０２で生成された素数
ｔをもとにｒ＝２ａｔ＋１の形の素数ｒを作成する。こ
こでａは正の整数である。 （ステップ１０４） 通常のｐ−ｄｅｌｔａ法を使って
素数ｓを生成する。 （ステップ１０５） Ｒｒ≡１ ｍｏｄ ｓとなるＲを
作成する。 （ステップ１０６） ステップ１０３で生成された素数
ｒ、ステップ１０４で生成された素数ｓ、およびステッ
プ１０５で生成されたＲから、ｐ＝１＋２（ｂｓ−Ｒ）
ｒの形の素数ｐを作成する。ここでｂは正の整数であ
る。 （ステップ１０７） 終了。ｐを出力する。
の基本構成を説明する。図１のステップ１０１からステ
ップ１０６に至る処理は以下のように行われる。 （ステップ１０１） スタート。 （ステップ１０２） 通常のｐ−ｄｅｌｔａ法を使って
素数ｔを作成する。 （ステップ１０３） ステップ１０２で生成された素数
ｔをもとにｒ＝２ａｔ＋１の形の素数ｒを作成する。こ
こでａは正の整数である。 （ステップ１０４） 通常のｐ−ｄｅｌｔａ法を使って
素数ｓを生成する。 （ステップ１０５） Ｒｒ≡１ ｍｏｄ ｓとなるＲを
作成する。 （ステップ１０６） ステップ１０３で生成された素数
ｒ、ステップ１０４で生成された素数ｓ、およびステッ
プ１０５で生成されたＲから、ｐ＝１＋２（ｂｓ−Ｒ）
ｒの形の素数ｐを作成する。ここでｂは正の整数であ
る。 （ステップ１０７） 終了。ｐを出力する。
【００２６】上記ステップ１０５においてｒとｓは素数
なので、二つの数は互いに素である。つまりその最大公
約数は１となるので、ユークリッドの互除法を用いて法
ｓでの素数ｒの逆数Ｒを計算することができる。
なので、二つの数は互いに素である。つまりその最大公
約数は１となるので、ユークリッドの互除法を用いて法
ｓでの素数ｒの逆数Ｒを計算することができる。
【００２７】次にステップ１０２、１０４における素数
生成法について詳細に説明する。二つのステップの手順
は全く同じなので、ここではステップ１０２について説
明する。
生成法について詳細に説明する。二つのステップの手順
は全く同じなので、ここではステップ１０２について説
明する。
【００２８】ステップ１０２で生成されるのは単純な形
の素数なので、従来技術のｐ−ｄｅｌｔａ法をそのまま
用いることができる。ｐ−ｄｅｌｔａ法を繰り返し実行
し、１ワードよりも数ビット小さい相異なる素数の集合
のどの要素でも割り切れない素数候補を獲得した後、本
実施例ではＦｅｒｍａｔ判定法による本格的な判定を行
う。Ｆｅｒｍａｔ判定法は、Ｆｅｒｍａｔの小定理に基
づく判定法で、ｖを正整数とするとき任意の素数ｘに対
して
の素数なので、従来技術のｐ−ｄｅｌｔａ法をそのまま
用いることができる。ｐ−ｄｅｌｔａ法を繰り返し実行
し、１ワードよりも数ビット小さい相異なる素数の集合
のどの要素でも割り切れない素数候補を獲得した後、本
実施例ではＦｅｒｍａｔ判定法による本格的な判定を行
う。Ｆｅｒｍａｔ判定法は、Ｆｅｒｍａｔの小定理に基
づく判定法で、ｖを正整数とするとき任意の素数ｘに対
して
【００２９】
【数１】ｖx-1≡１ ｍｏｄ ｘ が成立することを利用している。上式が不成立のときは
合成数と判定される。
合成数と判定される。
【００３０】図２はステップ１０２での処理を詳細に説
明したものである。ここで、ｈは１ワードよりも数ビッ
ト小さい相異なる素数の集合の要素（＝ｐｒｉｍｅｓ
［ｉ］）の個数で、ｋは予め定められたＦｅｒｍａｔ判
定法を繰り返す回数である。ステップ２０１から２１３
までの処理は以下の通りである。なお、ｐｒｉｍｅｓ
［ｉ］は、ｄ（ｉ）＝ａ＋ｂｉで代替してもよい。 （ステップ２０１） スタート。 （ステップ２０２） 多倍長の乱数を生成し、ｔに格納
する。 （ステップ２０３） ｔ［ｉ］＝ｔ ｍｏｄ ｐｒｉｍ
ｅｓ［ｉ］（ただし、ｉ＝１，２，・・・・・・，ｈ）
を計算する。 （ステップ２０４） ｐｄｅｌｔａ＝０とする。 （ステップ２０５） ｉ＝１とする。 （ステップ２０６） ｔ［ｉ］＋ｐｄｅｌｔａ＝０かど
うかを判定する。 上式が成立するときステップ２１２へ。上式が不成立の
ときステップ２０７へ。 （ステップ２０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ２０９へ。上式が不成立の
ときステップ２０８へ。 （ステップ２０８） ステップ２０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
２０６に戻る。 （ステップ２０９） ｊ＝１とする。 （ステップ２１０） （ｐｒｉｍｅｓ［ｊ］）t-1≡１
ｍｏｄ ｔかどうかを判定する。 上式が成立するときステップ２１３へ。上式が不成立の
ときステップ２１２へ。 （ステップ２１１） ステップ２１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
２１０に戻る。 （ステップ２１２） ステップ２１０の判定式が成立し
ない場合、およびステップ２０６でｔ［ｉ］＋ｐｄｅｌ
ｔａ＝０と判定された場合、ｐｄｅｌｔａを２だけ増加
させてステップ２０５に戻る。 （ステップ２１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ２１４へ。上式が不成立の
ときステップ２１１へ。 （ステップ２１４） 終了。ｔを出力する。
明したものである。ここで、ｈは１ワードよりも数ビッ
ト小さい相異なる素数の集合の要素（＝ｐｒｉｍｅｓ
［ｉ］）の個数で、ｋは予め定められたＦｅｒｍａｔ判
定法を繰り返す回数である。ステップ２０１から２１３
までの処理は以下の通りである。なお、ｐｒｉｍｅｓ
［ｉ］は、ｄ（ｉ）＝ａ＋ｂｉで代替してもよい。 （ステップ２０１） スタート。 （ステップ２０２） 多倍長の乱数を生成し、ｔに格納
する。 （ステップ２０３） ｔ［ｉ］＝ｔ ｍｏｄ ｐｒｉｍ
ｅｓ［ｉ］（ただし、ｉ＝１，２，・・・・・・，ｈ）
を計算する。 （ステップ２０４） ｐｄｅｌｔａ＝０とする。 （ステップ２０５） ｉ＝１とする。 （ステップ２０６） ｔ［ｉ］＋ｐｄｅｌｔａ＝０かど
うかを判定する。 上式が成立するときステップ２１２へ。上式が不成立の
ときステップ２０７へ。 （ステップ２０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ２０９へ。上式が不成立の
ときステップ２０８へ。 （ステップ２０８） ステップ２０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
２０６に戻る。 （ステップ２０９） ｊ＝１とする。 （ステップ２１０） （ｐｒｉｍｅｓ［ｊ］）t-1≡１
ｍｏｄ ｔかどうかを判定する。 上式が成立するときステップ２１３へ。上式が不成立の
ときステップ２１２へ。 （ステップ２１１） ステップ２１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
２１０に戻る。 （ステップ２１２） ステップ２１０の判定式が成立し
ない場合、およびステップ２０６でｔ［ｉ］＋ｐｄｅｌ
ｔａ＝０と判定された場合、ｐｄｅｌｔａを２だけ増加
させてステップ２０５に戻る。 （ステップ２１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ２１４へ。上式が不成立の
ときステップ２１１へ。 （ステップ２１４） 終了。ｔを出力する。
【００３１】上記ステップ２０２における乱数生成を行
う方法として、例えば非線形ＦＳＲ乱数発生方式などが
知られている。
う方法として、例えば非線形ＦＳＲ乱数発生方式などが
知られている。
【００３２】次にステップ１０３における素数生成法に
ついて詳細に説明する。ここでは、先の従来例のアルゴ
リズムＡと同様にしてｒ＝２ａｔ＋１を生成してその素
数性を判定する。アルゴリズムＡのステップＡ２では、
ｒ＝２ａｔ＋１の形の素数候補を得るために、ａを順に
増加させていく。このとき、ａ＝ｂａｓｅａ＋ａｄｅｌ
ｔａ、ｂａｓｅａをａの初期値、ａｄｅｌｔａをａの増
加値すると、
ついて詳細に説明する。ここでは、先の従来例のアルゴ
リズムＡと同様にしてｒ＝２ａｔ＋１を生成してその素
数性を判定する。アルゴリズムＡのステップＡ２では、
ｒ＝２ａｔ＋１の形の素数候補を得るために、ａを順に
増加させていく。このとき、ａ＝ｂａｓｅａ＋ａｄｅｌ
ｔａ、ｂａｓｅａをａの初期値、ａｄｅｌｔａをａの増
加値すると、
【００３３】
【数２】ｒ ｍｏｄ ｐｒｉｍｅｓ［ｉ］≡（２・ｔ・
ｂａｓｅａ＋１ ｍｏｄ ｐｒｉｍｅｓ［ｉ］）＋
（（２・ｔ ｍｏｄ ｐｒｉｍｅｓ［ｉ］）・ａｄｅｌ
ｔａ） ｍｏｄｐｒｉｍｅｓ［ｉ］ とできる。ここでｂａｓｅａは非線形ＦＳＲ乱数発生方
式などで生成した乱数とする。ただしｐｒｉｍｅｓ
［ｉ］は予め準備された１ワードの大きさの素数集合の
ｉ番目の要素とする。 ｐｒｉｍｅｓ［ｉ］はｄ（ｉ）
＝ａ＋ｂｉで代替することができる。ここで、
ｂａｓｅａ＋１ ｍｏｄ ｐｒｉｍｅｓ［ｉ］）＋
（（２・ｔ ｍｏｄ ｐｒｉｍｅｓ［ｉ］）・ａｄｅｌ
ｔａ） ｍｏｄｐｒｉｍｅｓ［ｉ］ とできる。ここでｂａｓｅａは非線形ＦＳＲ乱数発生方
式などで生成した乱数とする。ただしｐｒｉｍｅｓ
［ｉ］は予め準備された１ワードの大きさの素数集合の
ｉ番目の要素とする。 ｐｒｉｍｅｓ［ｉ］はｄ（ｉ）
＝ａ＋ｂｉで代替することができる。ここで、
【００３４】
【数３】ｒｅｍａｉｎｄｅｒｓ［ｉ］＝２・ｔ・ｂａｓ
ｅａ＋１ ｍｏｄ ｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍ
ｅｓ［ｉ］ とおくと、
ｅａ＋１ ｍｏｄ ｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍ
ｅｓ［ｉ］ とおくと、
【００３５】
【数４】ｒ ｍｏｄ ｐｒｉｍｅｓ［ｉ］＝ｒｅｍａｉ
ｎｄｅｒｓ［ｉ］＋ｍｕｌｄｅｌｔａｓ［ｉ］・ａｄｅ
ｌｔａ となる。上式はｒを素数テーブルの要素の値で割った余
りを表しているので、この値が零かどうかを判定するこ
とにより、ｒの素数性を判定することができる。ｒｅｍ
ａｉｎｄｅｒｓ［ｉ］およびｍｕｌｄｅｌｔａｓ［ｉ］
は１ワードよりも数ビット小さいので、ｒｅｍａｉｎｄ
ｅｒｓ［ｉ］およびｍｕｌｄｅｌｔａｓ［ｉ］を計算
し、テーブルとして保持することにより、素数候補とな
るｒを獲得するまでのｐｒｉｍｅｓ［ｉ］による剰余を
１ワード演算で求めることができる。このように通常の
ｐ−ｄｅｌｔａ法で利用される剰余テーブル以外に、素
数候補の増加値のための剰余テーブルｍｕｌｄｅｌｔａ
ｓ［ｉ］も合わせて利用することにより、Ｐ−１法やＰ
ｏｌｌａｒｄの方法、そしてＲＳＡ暗号の周期性を利用
した攻撃法対策を施す法数の生成において繰り返し実行
されるふるい法に必要な多倍長演算を大幅に削減するこ
とができる。
ｎｄｅｒｓ［ｉ］＋ｍｕｌｄｅｌｔａｓ［ｉ］・ａｄｅ
ｌｔａ となる。上式はｒを素数テーブルの要素の値で割った余
りを表しているので、この値が零かどうかを判定するこ
とにより、ｒの素数性を判定することができる。ｒｅｍ
ａｉｎｄｅｒｓ［ｉ］およびｍｕｌｄｅｌｔａｓ［ｉ］
は１ワードよりも数ビット小さいので、ｒｅｍａｉｎｄ
ｅｒｓ［ｉ］およびｍｕｌｄｅｌｔａｓ［ｉ］を計算
し、テーブルとして保持することにより、素数候補とな
るｒを獲得するまでのｐｒｉｍｅｓ［ｉ］による剰余を
１ワード演算で求めることができる。このように通常の
ｐ−ｄｅｌｔａ法で利用される剰余テーブル以外に、素
数候補の増加値のための剰余テーブルｍｕｌｄｅｌｔａ
ｓ［ｉ］も合わせて利用することにより、Ｐ−１法やＰ
ｏｌｌａｒｄの方法、そしてＲＳＡ暗号の周期性を利用
した攻撃法対策を施す法数の生成において繰り返し実行
されるふるい法に必要な多倍長演算を大幅に削減するこ
とができる。
【００３６】上記のふるい法に加えて、本実施例ステッ
プ１０３ではＦｅｒｍａｔ判定法を実行し、二段階構成
の素数生成を行う。
プ１０３ではＦｅｒｍａｔ判定法を実行し、二段階構成
の素数生成を行う。
【００３７】図３は、以上説明したステップ１０３での
処理をより詳細に説明するものである。ここで、ステッ
プ１０２で生成された素数ｔが与えられているとする。
ステップ３０１から３１５までの処理は以下の通りであ
る。 （ステップ３０１） スタート。 （ステップ３０２） １ワードの乱数を生成し、初期値
ｂａｓｅａとする。 （ステップ３０３） ステップ１０２で生成された素数
ｔとステップ３０２で生成されたｂａｓｅａを使って、
ｒｅｍａｉｎｄｅｒｓ［ｉ］＝２・ｔ・ｂａｓｅａ＋１
ｍｏｄ ｐｒｉｍｅｓ［ｉ］、ｍｕｌｄｅｌｔａｓ
［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍｅｓ［ｉ］（ただ
し、ｉ＝１，２，・・・・・・，ｈ）を計算する。 （ステップ３０４） ａｄｅｌｔａ＝０とする。 （ステップ３０５） ｉ＝１とする。 （ステップ３０６） ｒｅｍａｉｎｄｅｒｓ［ｉ］＋ｍ
ｕｌｄｅｌｔａｓ［ｉ］・ａｄｅｌｔａ＝０かどうかを
判定する。 上式が成立するときステップ３１２へ。上式が不成立の
ときステップ３０７へ。 （ステップ３０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ３０９へ。上式が不成立の
ときステップ３０８へ。 （ステップ３０８） ステップ３０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
３０６に戻る。 （ステップ３０９） ステップ３０７でｉ＝ｈが成立す
ると判定された場合、ｒ＝２（ｂａｓｅａ＋ａｄｅｌｔ
ａ）ｔ＋１を計算する。 （ステップ３１０） ｊ＝１とする。 （ステップ３１１） （ｐｒｉｍｅｓ［ｊ］）r-1≡１
ｍｏｄ ｒかどうかを判定する。 上式が成立するときステップ３１３へ。上式が不成立の
ときステップ３１２へ。 （ステップ３１２） ステップ３１１の式が成立しない
と判定された場合、およびステップ３０６の判定式が成
立すると判定された場合、ａｄｅｌｔａを１だけ増加さ
せてステップ３０５に戻る。 （ステップ３１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ３１５へ。上式が不成立の
ときステップ３１４へ。 （ステップ３１４） ステップ３１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
３１１に戻る。 （ステップ３１５） 終了。ｒを出力する。
処理をより詳細に説明するものである。ここで、ステッ
プ１０２で生成された素数ｔが与えられているとする。
ステップ３０１から３１５までの処理は以下の通りであ
る。 （ステップ３０１） スタート。 （ステップ３０２） １ワードの乱数を生成し、初期値
ｂａｓｅａとする。 （ステップ３０３） ステップ１０２で生成された素数
ｔとステップ３０２で生成されたｂａｓｅａを使って、
ｒｅｍａｉｎｄｅｒｓ［ｉ］＝２・ｔ・ｂａｓｅａ＋１
ｍｏｄ ｐｒｉｍｅｓ［ｉ］、ｍｕｌｄｅｌｔａｓ
［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍｅｓ［ｉ］（ただ
し、ｉ＝１，２，・・・・・・，ｈ）を計算する。 （ステップ３０４） ａｄｅｌｔａ＝０とする。 （ステップ３０５） ｉ＝１とする。 （ステップ３０６） ｒｅｍａｉｎｄｅｒｓ［ｉ］＋ｍ
ｕｌｄｅｌｔａｓ［ｉ］・ａｄｅｌｔａ＝０かどうかを
判定する。 上式が成立するときステップ３１２へ。上式が不成立の
ときステップ３０７へ。 （ステップ３０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ３０９へ。上式が不成立の
ときステップ３０８へ。 （ステップ３０８） ステップ３０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
３０６に戻る。 （ステップ３０９） ステップ３０７でｉ＝ｈが成立す
ると判定された場合、ｒ＝２（ｂａｓｅａ＋ａｄｅｌｔ
ａ）ｔ＋１を計算する。 （ステップ３１０） ｊ＝１とする。 （ステップ３１１） （ｐｒｉｍｅｓ［ｊ］）r-1≡１
ｍｏｄ ｒかどうかを判定する。 上式が成立するときステップ３１３へ。上式が不成立の
ときステップ３１２へ。 （ステップ３１２） ステップ３１１の式が成立しない
と判定された場合、およびステップ３０６の判定式が成
立すると判定された場合、ａｄｅｌｔａを１だけ増加さ
せてステップ３０５に戻る。 （ステップ３１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ３１５へ。上式が不成立の
ときステップ３１４へ。 （ステップ３１４） ステップ３１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
３１１に戻る。 （ステップ３１５） 終了。ｒを出力する。
【００３８】次にステップ１０６における素数生成法に
ついて詳細に説明する。上記アルゴリズムＡのステップ
Ａ４での計算の場合、ステップ２０２と同様にｂ＝ｂａ
ｓａｂ＋ｂｄｅｌｔａ、ｂａｓｅｂをｂの初期値、ｂｄ
ｅｌｔａをｂの増加値とおく。ここでｂａｓｅｂは非線
形ＦＳＲ乱数発生方式などで生成した多倍長の乱数とす
る。このとき、
ついて詳細に説明する。上記アルゴリズムＡのステップ
Ａ４での計算の場合、ステップ２０２と同様にｂ＝ｂａ
ｓａｂ＋ｂｄｅｌｔａ、ｂａｓｅｂをｂの初期値、ｂｄ
ｅｌｔａをｂの増加値とおく。ここでｂａｓｅｂは非線
形ＦＳＲ乱数発生方式などで生成した多倍長の乱数とす
る。このとき、
【００３９】
【数５】ｒｅｍａｉｎｄｅｒｓ［ｉ］＝２・ｒ・（ｓ・
ｂａｓｅｂ−Ｒ）＋１ ｍｏｄｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｒ・ｓ ｍｏｄ ｐｒ
ｉｍｅｓ［ｉ］ とおくと、
ｂａｓｅｂ−Ｒ）＋１ ｍｏｄｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｒ・ｓ ｍｏｄ ｐｒ
ｉｍｅｓ［ｉ］ とおくと、
【００４０】
【数６】ｐ ｍｏｄ ｐｒｉｍｅｓ［ｉ］＝ｒｅｍａｉ
ｎｄｅｒｓ［ｉ］＋ｍｕｌｄｅｌｔａｓ［ｉ］・ｂｄｅ
ｌｔａ によって、ｐのｐｒｉｍｅｓ［ｉ］による剰余を１ワー
ドの演算で求めることができる。上式はｐを素数テーブ
ルの要素の値で割った余りを表しているので、この値が
零かどうかを判定することにより、ｐの素数性を判定す
ることができる。ｒｅｍａｉｎｄｅｒｓ［ｉ］およびｍ
ｕｌｄｅｌｔａｓ［ｉ］は１ワードより数ビット小さい
ので、ｒｅｍａｉｎｄｅｒｓ［ｉ］およびｍｕｌｄｅｌ
ｔａｓ［ｉ］を計算し、テーブルとして保持することに
より、素数候補となるｐを獲得するまでのｐｒｉｍｅｓ
［ｉ］による剰余を１ワードの演算で求めることができ
る。このように通常のｐ−ｄｅｌｔａ法で利用される剰
余テーブル以外に、素数候補の増加値のための剰余テー
ブルｍｕｌｄｅｌｔａｓ［ｉ］も合わせて利用すること
により、Ｐ−１法やＰｏｌｌａｒｄの方法、そしてＲＳ
Ａ暗号の周期性を利用した攻撃法対策を施す法数の生成
において繰り返し実行されるふるい法に必要な多倍長演
算を大幅に削減できることがわかる。
ｎｄｅｒｓ［ｉ］＋ｍｕｌｄｅｌｔａｓ［ｉ］・ｂｄｅ
ｌｔａ によって、ｐのｐｒｉｍｅｓ［ｉ］による剰余を１ワー
ドの演算で求めることができる。上式はｐを素数テーブ
ルの要素の値で割った余りを表しているので、この値が
零かどうかを判定することにより、ｐの素数性を判定す
ることができる。ｒｅｍａｉｎｄｅｒｓ［ｉ］およびｍ
ｕｌｄｅｌｔａｓ［ｉ］は１ワードより数ビット小さい
ので、ｒｅｍａｉｎｄｅｒｓ［ｉ］およびｍｕｌｄｅｌ
ｔａｓ［ｉ］を計算し、テーブルとして保持することに
より、素数候補となるｐを獲得するまでのｐｒｉｍｅｓ
［ｉ］による剰余を１ワードの演算で求めることができ
る。このように通常のｐ−ｄｅｌｔａ法で利用される剰
余テーブル以外に、素数候補の増加値のための剰余テー
ブルｍｕｌｄｅｌｔａｓ［ｉ］も合わせて利用すること
により、Ｐ−１法やＰｏｌｌａｒｄの方法、そしてＲＳ
Ａ暗号の周期性を利用した攻撃法対策を施す法数の生成
において繰り返し実行されるふるい法に必要な多倍長演
算を大幅に削減できることがわかる。
【００４１】上記のふるい法に加えて、本実施例ステッ
プ１０６ではＦｅｒｍａｔ判定法を実行し、二段階構成
の素数生成を行う。
プ１０６ではＦｅｒｍａｔ判定法を実行し、二段階構成
の素数生成を行う。
【００４２】図４は上述したステップ１０６での処理を
より詳細に説明するものである。ここで、ステップ１０
４で生成された素数ｓ、およびステップ１０３で生成さ
れた素数ｒが与えられているとする。ステップ４０１か
ら４１５までの処理は以下の通りである。 （ステップ４０１） スタート。 （ステップ４０２） １ワードの乱数を生成し、初期値
ｂａｓｅｂとする。 （ステップ４０３） ステップ１０４で生成された素数
ｓとステップ１０３で生成された素数ｒ、およびステッ
プ４０２で生成されたｂａｓｅｂを使って、
より詳細に説明するものである。ここで、ステップ１０
４で生成された素数ｓ、およびステップ１０３で生成さ
れた素数ｒが与えられているとする。ステップ４０１か
ら４１５までの処理は以下の通りである。 （ステップ４０１） スタート。 （ステップ４０２） １ワードの乱数を生成し、初期値
ｂａｓｅｂとする。 （ステップ４０３） ステップ１０４で生成された素数
ｓとステップ１０３で生成された素数ｒ、およびステッ
プ４０２で生成されたｂａｓｅｂを使って、
【００４３】
【数７】ｒｅｍａｉｎｄｅｒｓ［ｉ］＝２・ｒ・（ｓ・
ｂａｓｅｂ−Ｒ）＋１ ｍｏｄｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｒ・ｓ ｍｏｄ ｐｒ
ｉｍｅｓ［ｉ］ （ただし、ｉ＝１，２，・・・・・・，ｈ） を計算する。 （ステップ４０４） ｂｄｅｌｔａ＝０とする。 （ステップ４０５） ｉ＝１とする。 （ステップ４０６） ｒｅｍａｉｎｄｅｒｓ［ｉ］＋ｍ
ｕｌｄｅｌｔａｓ［ｉ］・ｂｄｅｌｔａ＝０かどうかを
判定する。 上式が成立するときステップ４１２へ。上式が不成立の
ときステップ４０７へ。 （ステップ４０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ４０９へ。上式が不成立の
ときステップ４０８へ。 （ステップ４０８） ステップ４０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
４０６に戻る。 （ステップ４０９） ステップ４０７でｉ＝ｈが成立す
ると判定された場合、ｐ＝１＋２｛（ｂａｓｅｂ＋ｂｄ
ｅｌｔａ）ｓ−Ｒ｝ｒを計算する。 （ステップ４１０） ｊ＝１とする。 （ステップ４１１） （ｐｒｉｍｅｓ［ｊ］）p-1≡１
ｍｏｄ ｐかどうかを判定する。 上式が成立するときステップ４１３へ。上式が不成立の
ときステップ４１２へ。 （ステップ４１２） ステップ４１１の式が成立しない
と判定された場合、およびステップ４０６の判定式が成
立すると判定された場合、ｂｄｅｌｔａを１だけ増加さ
せてステップ４０５に戻る。 （ステップ４１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ４１５へ。上式が不成立の
ときステップ４１４へ。 （ステップ４１４） ステップ４１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
４１１に戻る。 （ステップ４１５） 終了。ｐを出力する。
ｂａｓｅｂ−Ｒ）＋１ ｍｏｄｐｒｉｍｅｓ［ｉ］ ｍｕｌｄｅｌｔａｓ［ｉ］＝２・ｒ・ｓ ｍｏｄ ｐｒ
ｉｍｅｓ［ｉ］ （ただし、ｉ＝１，２，・・・・・・，ｈ） を計算する。 （ステップ４０４） ｂｄｅｌｔａ＝０とする。 （ステップ４０５） ｉ＝１とする。 （ステップ４０６） ｒｅｍａｉｎｄｅｒｓ［ｉ］＋ｍ
ｕｌｄｅｌｔａｓ［ｉ］・ｂｄｅｌｔａ＝０かどうかを
判定する。 上式が成立するときステップ４１２へ。上式が不成立の
ときステップ４０７へ。 （ステップ４０７） ｉ＝ｈかどうかを判定する。 上式が成立するときステップ４０９へ。上式が不成立の
ときステップ４０８へ。 （ステップ４０８） ステップ４０７でｉ＝ｈが成立し
ないと判定された場合、ｉを１だけ増加させてステップ
４０６に戻る。 （ステップ４０９） ステップ４０７でｉ＝ｈが成立す
ると判定された場合、ｐ＝１＋２｛（ｂａｓｅｂ＋ｂｄ
ｅｌｔａ）ｓ−Ｒ｝ｒを計算する。 （ステップ４１０） ｊ＝１とする。 （ステップ４１１） （ｐｒｉｍｅｓ［ｊ］）p-1≡１
ｍｏｄ ｐかどうかを判定する。 上式が成立するときステップ４１３へ。上式が不成立の
ときステップ４１２へ。 （ステップ４１２） ステップ４１１の式が成立しない
と判定された場合、およびステップ４０６の判定式が成
立すると判定された場合、ｂｄｅｌｔａを１だけ増加さ
せてステップ４０５に戻る。 （ステップ４１３） ｊ＝ｋかどうかを判定する。 上式が成立するときステップ４１５へ。上式が不成立の
ときステップ４１４へ。 （ステップ４１４） ステップ４１３でｊ＝ｋが成立し
ないと判定された場合、ｊを１だけ増加させてステップ
４１１に戻る。 （ステップ４１５） 終了。ｐを出力する。
【００４４】上記によりアルゴリズムＡに基づいたＰ−
１法やＰ＋１法、そしてＲＳＡ暗号の周期性を利用した
攻撃法に対抗できる法数の素因数ｐを獲得できる。
１法やＰ＋１法、そしてＲＳＡ暗号の周期性を利用した
攻撃法に対抗できる法数の素因数ｐを獲得できる。
【００４５】［実施例２］つぎに、本発明を用いた、Ｐ
−１法、Ｐ＋１法、ＲＳＡ暗号の周期性を利用した攻撃
法、およびＦｅｒｍａｔの素因数分解法にも対抗できる
法数生成の実施例について説明する。
−１法、Ｐ＋１法、ＲＳＡ暗号の周期性を利用した攻撃
法、およびＦｅｒｍａｔの素因数分解法にも対抗できる
法数生成の実施例について説明する。
【００４６】上記実施例１と同じようにして、二つの大
きな素数ｐ，ｑを生成する。ただし、Ｌを十分大きな数
として、｜ｐ−ｑ｜＞Ｌが成立するようにする。このと
き法数ｎ＝ｐｑは、Ｐ−１法やＰ＋１法、そしてＲＳＡ
暗号の周期性を利用した攻撃法に対抗できるだけでな
く、Ｆｅｒｍａｔの素因数分解法にも対抗することがで
きる。
きな素数ｐ，ｑを生成する。ただし、Ｌを十分大きな数
として、｜ｐ−ｑ｜＞Ｌが成立するようにする。このと
き法数ｎ＝ｐｑは、Ｐ−１法やＰ＋１法、そしてＲＳＡ
暗号の周期性を利用した攻撃法に対抗できるだけでな
く、Ｆｅｒｍａｔの素因数分解法にも対抗することがで
きる。
【００４７】図５を用いて、本実施例の詳細な説明を行
う。以下で手順１は図１に示した素数生成の手順とす
る。ステップ５０１から５０６までの処理は以下の通り
である。 （ステップ５０１） スタート。 （ステップ５０２） 手順１によって素数ｐを生成。 （ステップ５０３） 手順１によって素数ｑを生成。 （ステップ５０４） ｜ｐ−ｑ｜＞Ｌかどうかを判定。 上式が成立すれば、ステップ５０５へ。上式が成立しな
ければ、ステップ５０２へ。 （ステップ５０５） ｎ＝ｐｑとする。 （ステップ５０６） 終了。ｎを法数として出力する。
う。以下で手順１は図１に示した素数生成の手順とす
る。ステップ５０１から５０６までの処理は以下の通り
である。 （ステップ５０１） スタート。 （ステップ５０２） 手順１によって素数ｐを生成。 （ステップ５０３） 手順１によって素数ｑを生成。 （ステップ５０４） ｜ｐ−ｑ｜＞Ｌかどうかを判定。 上式が成立すれば、ステップ５０５へ。上式が成立しな
ければ、ステップ５０２へ。 （ステップ５０５） ｎ＝ｐｑとする。 （ステップ５０６） 終了。ｎを法数として出力する。
【００４８】以上のように法数を生成すれば、Ｐ−１
法、Ｐ＋１法、ＲＳＡ暗号の周期性を利用した攻撃法、
およびＦｅｒｍａｔの素因数分解法にも対抗できる法数
ｎを生成することができる。
法、Ｐ＋１法、ＲＳＡ暗号の周期性を利用した攻撃法、
およびＦｅｒｍａｔの素因数分解法にも対抗できる法数
ｎを生成することができる。
【００４９】［実施例３］つぎに、実施例１の素数生成
手法をハードウエア態様で実現した実施例について説明
する。
手法をハードウエア態様で実現した実施例について説明
する。
【００５０】図６は、実施例１の素数生成装置を示し、
この図において、素数ｔ−生成判定部１１および素数ｓ
−生成判定部１２はｐ−ｄｅｌｔａ法で素数を判定する
ものである。素数ｔ−生成判定部１１は、ｔ［ｉ］＝ｔ
ｍｏｄ ｐｒｉｍｅｓ［ｉ］を記憶している剰余テー
ブル１３を参照して素数性の判定を行う。この動作は図
２のステップ２０２〜２１４に関連して説明したとおり
である。素数ｓ−生成判定部１２も同様にｓ［ｉ］＝ｓ
ｍｏｄ ｐｒｉｍｅｓ［ｉ］を記憶している剰余テー
ブル１４を参照して素数性の判定を行う。
この図において、素数ｔ−生成判定部１１および素数ｓ
−生成判定部１２はｐ−ｄｅｌｔａ法で素数を判定する
ものである。素数ｔ−生成判定部１１は、ｔ［ｉ］＝ｔ
ｍｏｄ ｐｒｉｍｅｓ［ｉ］を記憶している剰余テー
ブル１３を参照して素数性の判定を行う。この動作は図
２のステップ２０２〜２１４に関連して説明したとおり
である。素数ｓ−生成判定部１２も同様にｓ［ｉ］＝ｓ
ｍｏｄ ｐｒｉｍｅｓ［ｉ］を記憶している剰余テー
ブル１４を参照して素数性の判定を行う。
【００５１】素数ｒ−生成判定部１５はｒ＝２ａｔ＋１
の素数候補を生成し、整数ａを１だけ増加させながら素
数性を判定する。この判定は、ｒｅｍａｉｎｄｅｒ
［ｉ］＝２・ｔ・ｂａｓｅａ＋１ ｍｏｄ ｐｒｉｍｅ
ｓ［ｉ］を記憶している剰余テーブル１６および、ｍｕ
ｌｄｅｌｔａｓ［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍｅｓ
［ｉ］を記憶している剰余テーブル１７を参照して行わ
れる。この動作は図３のステップ３０１〜３１５に関連
して説明したとおりである。
の素数候補を生成し、整数ａを１だけ増加させながら素
数性を判定する。この判定は、ｒｅｍａｉｎｄｅｒ
［ｉ］＝２・ｔ・ｂａｓｅａ＋１ ｍｏｄ ｐｒｉｍｅ
ｓ［ｉ］を記憶している剰余テーブル１６および、ｍｕ
ｌｄｅｌｔａｓ［ｉ］＝２・ｔ ｍｏｄ ｐｒｉｍｅｓ
［ｉ］を記憶している剰余テーブル１７を参照して行わ
れる。この動作は図３のステップ３０１〜３１５に関連
して説明したとおりである。
【００５２】また、Ｒ−生成部１８は素数ｒ−生成判定
部１５から得た素数ｒおよび素数ｓ−生成部１２から得
た素数ｓを用いて、Ｒｓ≡１ ｍｏｄ ｓとなるＲを作
成する。
部１５から得た素数ｒおよび素数ｓ−生成部１２から得
た素数ｓを用いて、Ｒｓ≡１ ｍｏｄ ｓとなるＲを作
成する。
【００５３】素数ｐ−生成判定部１９は、素数ｓ−生成
判定部１２、素数ｒ−生成判定部１５およびＲ−生成部
１８からそれぞれ素数ｓ、ｒおよびｒの逆数Ｒを受け取
ってｐ＝１＋２（ｂｓ−Ｒ）ｒを生成し、整数ｂを１だ
けを増加させながら、その素数性を判定する。このと
き、ｒｅｍａｉｎｄｅｒ［ｉ］の剰余テーブル２０およ
びｍｕｌｄｅｌｔａｓ［ｉ］の剰余テーブル２１を参照
しながら行われる。この動作はステップ４０１〜４１５
に関連して説明したとおりである。
判定部１２、素数ｒ−生成判定部１５およびＲ−生成部
１８からそれぞれ素数ｓ、ｒおよびｒの逆数Ｒを受け取
ってｐ＝１＋２（ｂｓ−Ｒ）ｒを生成し、整数ｂを１だ
けを増加させながら、その素数性を判定する。このと
き、ｒｅｍａｉｎｄｅｒ［ｉ］の剰余テーブル２０およ
びｍｕｌｄｅｌｔａｓ［ｉ］の剰余テーブル２１を参照
しながら行われる。この動作はステップ４０１〜４１５
に関連して説明したとおりである。
【００５４】以上の結果、 Ｐ−１法、Ｐ＋１法、ＲＳ
Ａ暗号の周期性を利用した攻撃法、およびＦｅｒｍａｔ
の素因数分解法にも対抗できる素数を生成できる。しか
も、多倍長の計算を回避できる。
Ａ暗号の周期性を利用した攻撃法、およびＦｅｒｍａｔ
の素因数分解法にも対抗できる素数を生成できる。しか
も、多倍長の計算を回避できる。
【００５５】
【発明の効果】以上説明したように、本発明によれば、
ふるい法によって棄却された素数候補を増加させるため
の多倍長の整数を被除数、素数テーブルの要素を除数と
したときの剰余を予め計算し、この値を増加値剰余テー
ブルとして保持する。そしてこの増加値剰余テーブルの
値を用いて、ふるい法に必要な素数テーブルの要素を法
としたときの乱整数の剰余を求める計算を行う。素数テ
ーブルの要素の大きさを１ワードより数ビット小さくす
ると、この増加値剰余テーブルの要素の大きさも１ワー
ドより数ビット小さくなるため、この計算は１ワードで
実行できる。このように、Ｐ−１法などの安全対策を施
した法数を生成する場合でも、処理の始めに増加値剰余
テーブルを作成することによって、以後繰り返される多
倍長の計算を回避することができる。
ふるい法によって棄却された素数候補を増加させるため
の多倍長の整数を被除数、素数テーブルの要素を除数と
したときの剰余を予め計算し、この値を増加値剰余テー
ブルとして保持する。そしてこの増加値剰余テーブルの
値を用いて、ふるい法に必要な素数テーブルの要素を法
としたときの乱整数の剰余を求める計算を行う。素数テ
ーブルの要素の大きさを１ワードより数ビット小さくす
ると、この増加値剰余テーブルの要素の大きさも１ワー
ドより数ビット小さくなるため、この計算は１ワードで
実行できる。このように、Ｐ−１法などの安全対策を施
した法数を生成する場合でも、処理の始めに増加値剰余
テーブルを作成することによって、以後繰り返される多
倍長の計算を回避することができる。
【００５６】また、通常のふるい法で用いる素数集合の
代わりに、１ワードより数ビット小さい乱数またはｄ
（ｉ）＝ａ＋ｂｉの形の整数集合を用いれば、素数集合
を記憶保持手段に保持しておく必要がなく、メモリ上に
除数集合を保持する必要がないため、演算に必要なメモ
リ量を削減することができる。
代わりに、１ワードより数ビット小さい乱数またはｄ
（ｉ）＝ａ＋ｂｉの形の整数集合を用いれば、素数集合
を記憶保持手段に保持しておく必要がなく、メモリ上に
除数集合を保持する必要がないため、演算に必要なメモ
リ量を削減することができる。
【図１】 本発明の実施例１の素数生成方法を全体とし
て説明するフローチャートである。
て説明するフローチャートである。
【図２】 図１のステップ１０２の詳細を説明するフロ
ーチャートである。
ーチャートである。
【図３】 図１のステップ１０３の詳細を説明するフロ
ーチャートである。
ーチャートである。
【図４】 図１のステップ１０６の詳細を説明するフロ
ーチャートである。
ーチャートである。
【図５】 本発明の実施例２の法数生成方法を説明する
フローチャートである。
フローチャートである。
【図６】 本発明の実施例３の素数判定装置を示すブロ
ック図である。
ック図である。
１５ 素数ｒ−生成判定部 １６、１７ 素数ｒ−生成判定部１５の剰余テーブル １９ 素数ｐ−生成判定部 ２０、２１ 素数ｐ−生成判定部１９の剰余テーブル
Claims (13)
- 【請求項１】 整数Ａに対し、整数Ａとは異なる整数Ｂ
またはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに属
する要素の素数性を判定する素数判定方法において、 整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶手段に記憶するステップと、 集合Ｃの要素を生成するステップと、 生成された集合Ｃの要素に対し、対応する剰余を上記記
憶手段から取り出すステップと、 上記記憶手段から取り出された剰余を用いて、上記生成
された集合Ｃの要素を被除数とし上記一つまたは複数の
整数を除数とした場合の剰余を算出するステップとを有
することを特徴とする素数判定方法。 - 【請求項２】 前記第１項の素数判定方法において、任
意の整数ａと任意の素数ｔに対してｐ＝１＋２ａｔまた
はｐ＝−１＋２ａｔの形の整数を要素とする集合を素数
性を判定する集合Ｃとする素数判定方法。 - 【請求項３】 前記第１項の素数判定方法において、ｔ
を任意の素数あるいは１として、任意の整数ａに対して
ｒ＝１＋２ａｔの形となる素数ｒと、任意の素数ｓを法
としたときのｒの逆数Ｒと、任意の整数ｂを用いて、ｐ
＝１＋２（ｂｓ−Ｒ）ｒの形となる整数を要素とする集
合を素数性を判定する集合Ｃとする素数判定方法。 - 【請求項４】 前記第１項の素数判定方法において、ｔ
を任意の素数あるいは１として、任意の整数ａに対して
ｒ＝−１＋２ａｔの形となる素数ｒと、ｒを法としたと
きの任意の素数ｓの逆数Ｓと、 任意の整数ｂを用い
て、ｐ＝−１＋２（ｂｒ＋Ｓ）ｓの形となる整数を要素
とする集合を素数性を判定する集合Ｃとする素数判定方
法。 - 【請求項５】 前記第１項の素数判定方法において、任
意の素数ｓ、ｒに対してＵ＝ｓr-1−ｒs-1 ｍｏｄ ｒ
ｓとなる整数Ｕと任意の整数ｍを用いて、ｐ＝Ｕ＋２ｍ
ｒｓの形となる整数を要素とする集合を素数性を判定す
る集合Ｃとする素数判定方法。 - 【請求項６】 前記第１項の素数判定方法において、任
意の整数ｉ、ｊと、任意の素数ｓ、ｒと、ｒを法とした
ときのｓの逆数Ｓと、ｓを法としたときのｒの逆数Ｒ
と、Ｕ＝（−１＋ｉｓ）＋（２＋ｊｒ−ｉｓ）ｓＳ ｍ
ｏｄ ｒｓまたはＵ＝（１＋ｉ）＋（−２＋ｉｓ−ｊ
ｒ）ｓＲ ｍｏｄ ｒｓを満たす整数Ｕを用いて、ｐ＝
Ｕ＋２ｍｒｓの形となる整数を要素とする集合を素数性
を判定する集合Ｃとする素数判定方法。 - 【請求項７】 前記第１項の素数判定方法において、該
剰余または該剰余集合を求めるのに除数として一つ又は
複数の素数又は乱数を用いた素数判定方法。 - 【請求項８】 前記第１項の素数判定方法において、該
剰余または該剰余集合を求めるのに除数としてｄ（ｉ）
＝ａ＋ｂｉの形の整数集合を用いた素数判定方法。 - 【請求項９】 素数は該素数および１とそれらの正負を
換えたもの以外の数を除数とした場合に剰余が零と異な
ることを利用した素数判定方法において、該剰余または
該剰余集合を求めるのに除数としてｄ（ｉ）＝ａ＋ｂｉ
の形の整数集合を用いたことを特徴とする素数判定方
法。 - 【請求項１０】 整数Ａに対し、整数Ａとは異なる整数
ＢまたはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに
属する要素の素数性を判定する素数判定法において、 整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶手段に記憶するステップと、 集合Ｃの要素を生成するステップと、 生成された集合Ｃの要素に対し、対応する剰余を上記記
憶手段から取り出すステップと、 上記記憶手段から取り出された剰余を用いて、上記生成
された集合Ｃの要素を被除数とし上記一つまたは複数の
整数を除数とした場合の剰余を算出するステップと、 算出された剰余に基づいて、集合Ｃの所定の要素が、そ
の要素自体、１、要素自体の正負の符号を変えたもの以
外の数を除数とした場合に剰余が非零になるときに、上
記所定の要素を素数候補として出力するステップとを有
することを特徴とする素数生成方法。 - 【請求項１１】 請求項９の素数生成方法において、出
力された素数候補に対し確率的素数判定法あるいは確定
的素数判定法により素数性の判定を行う素数生成方法。 - 【請求項１２】 整数Ａに対し、整数Ａとは異なる整数
ＢまたはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに
属する要素の素数性を判定する素数判定装置において、 整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶する記憶手段と、 集合Ｃの要素を生成する手段と、 生成された集合Ｃの要素に対し、対応する剰余を上記記
憶手段から取り出す手段と、 上記記憶手段から取り出された剰余を用いて、上記生成
された集合Ｃの要素を被除数とし上記一つまたは複数の
整数を除数とした場合の剰余を算出する手段とを有する
ことを特徴とする素数判定装置。 - 【請求項１３】 整数Ａに対し、整数Ａとは異なる整数
ＢまたはＢの倍数分だけ整数Ａと異なる整数の集合Ｃに
属する要素の素数性を判定するためのコンピュータプロ
グラム製品において、 整数ＢまたはＢの倍数を被除数とし、一つまたは複数の
整数を除数または除数集合とした場合の剰余または剰余
の集合を記憶手段に記憶するステップと、 集合Ｃの要素を生成するステップと、 生成された集合Ｃの要素に対し、対応する剰余を上記記
憶手段から取り出すステップと、 上記記憶手段から取り出された剰余を用いて、上記生成
された集合Ｃの要素を被除数とし上記一つまたは複数の
整数を除数とした場合の剰余を算出するステップとをコ
ンピュータに実行させるために用いるコンピュータプロ
グラム製品。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP34904796A JP3796867B2 (ja) | 1996-12-26 | 1996-12-26 | 素数判定方法および装置 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| JP34904796A JP3796867B2 (ja) | 1996-12-26 | 1996-12-26 | 素数判定方法および装置 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| JPH10187037A true JPH10187037A (ja) | 1998-07-14 |
| JP3796867B2 JP3796867B2 (ja) | 2006-07-12 |
Family
ID=18401137
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP34904796A Expired - Fee Related JP3796867B2 (ja) | 1996-12-26 | 1996-12-26 | 素数判定方法および装置 |
Country Status (1)
| Country | Link |
|---|---|
| JP (1) | JP3796867B2 (ja) |
Cited By (3)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005531031A (ja) * | 2002-06-21 | 2005-10-13 | アトメル・コーポレイション | 暗号化適用のための推定素数の検査 |
| JP2007003946A (ja) * | 2005-06-24 | 2007-01-11 | Nippon Telegr & Teleph Corp <Ntt> | 離散対数演算装置、方法及びプログラム |
| US8489665B2 (en) | 2008-01-28 | 2013-07-16 | Fujitsu Limited | Communication apparatus, method of checking received data size, multiple determining circuit, and multiple determination method |
-
1996
- 1996-12-26 JP JP34904796A patent/JP3796867B2/ja not_active Expired - Fee Related
Cited By (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| JP2005531031A (ja) * | 2002-06-21 | 2005-10-13 | アトメル・コーポレイション | 暗号化適用のための推定素数の検査 |
| JP4756117B2 (ja) * | 2002-06-21 | 2011-08-24 | インサイド コンタクトレス ソシエテ アノニム | 暗号化適用のための推定素数の検査 |
| JP2007003946A (ja) * | 2005-06-24 | 2007-01-11 | Nippon Telegr & Teleph Corp <Ntt> | 離散対数演算装置、方法及びプログラム |
| JP4663421B2 (ja) * | 2005-06-24 | 2011-04-06 | 日本電信電話株式会社 | 離散対数演算装置、方法及びプログラム |
| US8489665B2 (en) | 2008-01-28 | 2013-07-16 | Fujitsu Limited | Communication apparatus, method of checking received data size, multiple determining circuit, and multiple determination method |
Also Published As
| Publication number | Publication date |
|---|---|
| JP3796867B2 (ja) | 2006-07-12 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| KR101089121B1 (ko) | 빠른 집합 검증 방법 및 그 장치 | |
| US7904498B2 (en) | Modular multiplication processing apparatus | |
| US6404890B1 (en) | Generating RSA moduli including a predetermined portion | |
| US8862651B2 (en) | Method and apparatus for modulus reduction | |
| JP2002528771A (ja) | 耐パワーシグニチャーアタック暗号法 | |
| Renes et al. | qDSA: small and secure digital signatures with curve-based Diffie–Hellman key pairs | |
| AU2001265967B2 (en) | Cryptographic method and cryptographic device | |
| US6480606B1 (en) | Elliptic curve encryption method and system | |
| US20040125948A1 (en) | Montgomery modular multiplier using a compressor and multiplication method | |
| US6763366B2 (en) | Method for calculating arithmetic inverse over finite fields for use in cryptography | |
| US20090028323A1 (en) | Enhancing the security of public key cryptosystem implementations | |
| US6609141B1 (en) | Method of performing modular inversion | |
| JPH10187037A (ja) | 素数判定方法および装置 | |
| US8290151B2 (en) | Device and method for determining an inverse of a value related to a modulus | |
| JP3750295B2 (ja) | 素数生成方法および装置 | |
| Somsuk | A new modified integer factorization algorithm using integer modulo 20's technique | |
| Knezevic et al. | Modular reduction without precomputational phase | |
| JP3626315B2 (ja) | 剰余算装置、情報処理装置及び剰余算方法 | |
| CN117254909B (zh) | 一种快速生成高概率原根的计算方法、系统及存储介质 | |
| Yakymenko et al. | Polynomial Rabin Cryptosystem Based on the Operation of Addition | |
| Thwe et al. | EXTENDED POLLARD’S RHO FACTORIZATION ALGORITHM FOR FINDING FACTORS IN COMPOSITE NUMBER | |
| JPH076025A (ja) | 冪剰余演算方法および装置 | |
| JP3401196B2 (ja) | 事前計算を用いた複数生成元に対する演算装置、そのプログラム記録媒体、及び演算方法 | |
| JP3518680B2 (ja) | 素数生成装置 | |
| Mohammadi et al. | A fast and secure RSA public key cryptosystem |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A131 | Notification of reasons for refusal |
Effective date: 20050315 Free format text: JAPANESE INTERMEDIATE CODE: A131 |
|
| A521 | Written amendment |
Effective date: 20050516 Free format text: JAPANESE INTERMEDIATE CODE: A523 |
|
| A02 | Decision of refusal |
Free format text: JAPANESE INTERMEDIATE CODE: A02 Effective date: 20051206 |
|
| A521 | Written amendment |
Effective date: 20060116 Free format text: JAPANESE INTERMEDIATE CODE: A523 |
|
| A911 | Transfer of reconsideration by examiner before appeal (zenchi) |
Free format text: JAPANESE INTERMEDIATE CODE: A911 Effective date: 20060202 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20060328 |
|
| A61 | First payment of annual fees (during grant procedure) |
Effective date: 20060410 Free format text: JAPANESE INTERMEDIATE CODE: A61 |
|
| R150 | Certificate of patent (=grant) or registration of utility model |
Free format text: JAPANESE INTERMEDIATE CODE: R150 |
|
| FPAY | Renewal fee payment (prs date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20100428 Year of fee payment: 4 |
|
| FPAY | Renewal fee payment (prs date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20110428 Year of fee payment: 5 |
|
| FPAY | Renewal fee payment (prs date is renewal date of database) |
Free format text: PAYMENT UNTIL: 20120428 Year of fee payment: 6 |
|
| LAPS | Cancellation because of no payment of annual fees |