JPH11338852A

JPH11338852A - 素数生成方法及び素数生成装置並びに暗号システム

Info

Publication number: JPH11338852A
Application number: JP14482998A
Authority: JP
Inventors: Masao Kasahara; 正雄笠原; Yasumichi Murakami; 恭通村上; Yoshizo Sato; 義三佐藤
Original assignee: Murata Machinery Ltd; Kasahara Masao
Current assignee: Murata Machinery Ltd; Kasahara Masao
Priority date: 1998-05-26
Filing date: 1998-05-26
Publication date: 1999-12-10

Abstract

(57)【要約】【課題】暗号系において利用される素数を効率良く生
成する方法を提供する。【解決手段】所定の素数以下の各素数で割り切れない
素数候補を生成し、生成した素数候補が素数であるか否
かを判定する。式（Ａ）〜（Ｄ）の何れかに従って素数
候補Ｐ_E′，Ｐ_E1′，Ｐ_E2′，Ｐ_E+′の何れかを生成し
（Ｓ１）、生成した素数候補に、確率的素数判定法また
は確定的素数判定法による素数判定を行う（Ｓ３）。【数１】

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、素数を生成する方
法及び装置、並びに、生成した素数を利用する暗号シス
テムに関する。

【０００２】

【従来の技術】高度情報化社会と呼ばれる現代社会で
は、コンピュータネットワークを基盤として、ビジネス
上の重要な文書・画像情報が電子的な情報という形で伝
送通信されて処理される。このような電子情報は、容易
に複写が可能である、複写物とオリジナルとの区別が困
難であるという性質があり、情報保全の問題が重要視さ
れている。特に、「コンピュータリソースの共有」，
「マルチアクセス」，「広域化」の各要素を満たすコン
ピュータネットワークの実現が高度情報化社会の確立に
不可欠であるが、これは当事者間の情報保全の問題とは
矛盾する要素を含んでいる。このような矛盾を解消する
ための有効な手法として、人類の過去の歴史上主として
軍事，外交面で用いられてきた暗号技術が注目されてい
る。

【０００３】暗号とは、情報の意味が当事者以外には理
解できないように情報を交換することである。暗号にお
いて、誰でも理解できる元の文（平文）を第三者には意
味がわからない文（暗号文）に変換することが暗号化で
あり、また、暗号文を平文に戻すことが復号であり、こ
の暗号化と復号との全過程をまとめて暗号系と呼ぶ。暗
号化の過程及び復号の過程には、それぞれ暗号化鍵及び
復号鍵と呼ばれる秘密の情報が用いられる。復号時には
秘密の復号鍵が必要であるので、この復号鍵を知ってい
る者のみが暗号文を復号でき、暗号化によって情報の秘
密性が維持され得る。

【０００４】暗号化鍵と復号鍵とは、等しくても良い
し、異なっていても良い。両者の鍵が等しい暗号系は、
共通鍵暗号系と呼ばれ、米国商務省標準局が採用したＤ
ＥＳ（Data Encryption Standards)はその典型例であ
る。また、両者の鍵が異なる暗号系の一例として、公開
鍵暗号系と呼ばれる暗号系が提案された。この公開鍵暗
号系は、暗号系を利用する各ユーザが暗号化鍵と復号鍵
とを一対ずつ作成し、暗号化鍵を公開鍵リストにて公開
し、復号鍵のみを秘密に保持するという暗号系である。
公開鍵暗号系では、この一対となる暗号化鍵と復号鍵と
が異なり、一方向性関数を利用することによって暗号化
鍵から復号鍵を割り出せないという特徴を持たせてい
る。

【０００５】公開鍵暗号系は、暗号化鍵を公開するとい
う画期的な暗号系であって、高度情報化社会の確立に必
要な上述した３つの要素に適合するものであり、情報通
信技術の分野等での利用を図るべく、その研究が活発に
行われ、典型的な公開鍵暗号系としてＲＳＡ暗号系が提
案された。このＲＳＡ暗号系は、一方向性関数として素
因数分解の困難さ（素因数分解問題）を利用して実現さ
れている。また、離散対数を解くことの困難さ（離散対
数問題）を利用した公開鍵暗号系も種々の手法（ElGama
l 暗号系等）が提案されている。

【０００６】以上のように、現代の暗号系には、素因数
分解問題，離散対数問題を利用したものが多く展開され
ており、その暗号系を体系化するためには素数の問題が
極めて重要である。よって、真に素数である整数を短時
間で効率良く生成する手法の開発が望まれている。

【０００７】一般的に素数を生成する場合には、まず、
素数候補を生成し、生成した素数候補が素数であるか否
かを判定（素数判定）し、素数と判定されたものを素数
として生成する。この素数判定には、Rabin 法等の確率
的素数判定法とPocklington法等の確定的素数判定法と
がある。確率的素数判定法と確定的素数判定法とを比較
すると、前者の判定法は、判定誤差が０ではないが処理
時間は短く、後者の判定法は、処理時間は長いが判定誤
差が０であるという特徴を有している。

【０００８】また、素数判定にかける素数候補を生成す
るための標準的な方法として、方式Ｐと方式Ｃとが知ら
れている。以下、これらの素数候補生成方式について簡
単に説明する。

【０００９】（方式Ｐ）方式Ｐでは、奇数をランダムに
発生させて素数候補Ｐ′とする。また、以下のように仮
定する。なお、本明細書では、「′」は素数候補である
ことを意味するものとする。（仮定１）：ランダムに選んだ奇数を任意の素数ｐで割
った余りは等頻度で０，１，２，…，ｐ−１の値とな
る。

【００１０】奇数の素数候補Ｐ′が素数になるために
は、Ｐ′がその平方根以下のいかなる素数でも割り切れ
ないことが必要十分条件である。生成した素数候補が素
数となる確率を「素数の出現確率」と定義すると、方式
Ｐによる素数の出現確率Prob（Ｐ）は、（仮定１）より
下記式（１）のように見積もることができる。

【００１１】

【数５】

【００１２】（方式Ｃ）ｑが素数であり、かつ、Ｐｃ＝
２ｑ＋１が素数である場合、ｑはSophie Germain素数と
呼ばれている。また、このような素数ＰｃをＣ素数と定
義する。方式Ｃでは、奇数ｑをランダムに発生させ、Ｐ
ｃ′＝２ｑ＋１となる数Ｐｃ′を素数候補とする。ま
た、以下のように仮定する。（仮定２）：素数は十分均等に分布しており、ランダム
に選んだ素数を任意の素数ｐで割った余りは等頻度で
１，２，…，ｐ−１の値となる。

【００１３】方式Ｃによる素数の出現確率（以下、この
確率をＣ素数の出現確率という）Prob（Ｃ）は、（仮定
２）より下記式（２）のように見積もることができる。

【００１４】

【数６】

【００１５】ｐ≠Ｐである任意の素数ｐはＰを割り切ら
ないので、Ｐ modｐ∈Ｚ_p＊となる。Ｚ_p＊は乗法群を
なすので、ｐ≠２である場合に下記式（３）が成立す
る。

【００１６】

【数７】

【００１７】ここで、（仮定２）より、式（３）は等頻
度で１，２，…，ｐ−２，ｐ−１の値をとるため、Ｐ
ｃ′(modｐ）は等頻度で２，３，…，ｐ−１，０の値を
とる。従って、Ｐｃ′がｐで割り切れる確率は下記式
（４）となるので、式（２）によりＣ素数の出現確率を
見積もることができる。

【００１８】

【数８】

【００１９】方式Ｐによる素数の出現確率Prob（Ｐ）と
Ｃ素数の出現確率Prob（Ｃ）との比、つまり、式（１）
と式（２）との比ｒ_nを下記式（５）のように定める。

【００２０】

【数９】

【００２１】以下、式（５）のｒ_nが収束することをは
さみうち法により示す。任意のｉについて、ｐ_i−ｐ
_i-1≧２となるので、下記式（６）及び（７）が成立す
る。

【００２２】

【数１０】

【００２３】ここで、ｓ_nを下記式（８）のように設定
し、式（５）及び（８）を用いて式（７）を書き換える
と、下記式（９）及び（10）が成立する。

【００２４】

【数１１】

【００２５】ここで、ζ（・）をゼータ関数とすると、
それは下記式（11）で定義され、これを用いると、ζ
（２）＝π²／６より、下記式（12）が成立する。

【００２６】

【数１２】

【００２７】また、式（10）において、ｒ_k／ｓ_k-1は
単調に増加し、ｒ_k／ｓ_kは単調に減少するので、はさ
みうち法によって、式（５）で示されるｒ_nは収束す
る。

【００２８】上限と下限との比は下記式（13）で示さ
れ、ｋの値を増やすと高速に１に近づきその収束速度は
非常に速い。ｋ＝10000 とし、式（12）を用いてＣ素数
の出現確率の比の極限値を計算した結果、下記式（14）
で示すような値を得た。

【００２９】

【数１３】

【００３０】整数ｘまでに存在するＣ素数候補の数は、
ｘ／２までに存在する素数の個数に等しく、これらの候
補の個数にＣ素数の出現確率を乗算した結果が、ｘ以下
に存在するＣ素数の個数となる。このことからＣ素数の
個数は、下記式（15）のように予想できる。よって、Ｃ
素数が無限に存在することは理論的には証明さてれてい
ないが、実用上十分に多くのＣ素数が存在していること
がわかる。

【００３１】

【数１４】

【００３２】計算機で方式Ｃにより素数候補Ｐｃ′を32
ビットから200 ビットまで６ビット毎にそれぞれ10000
回発生させ、素数になる数を計数し、Ｃ素数の出現確率
を計算した。その計算結果を、方式Ｐによる素数の出現
確率と併せて図８に示す。なお、方式Ｐによる素数の出
現確率の予測値は、下記式（16）に示す素数定理より、
Ｌ_i（ｘ）を用いて計算した。Ｃ素数の出現確率の予測
値は、方式Ｐの予測値を0.6602倍したものを使用した。
この結果より、実際の出現確率と予測値とがほぼ一致し
ていることを確認できる。また、Ｃ素数の出現確率の方
が方式Ｐによる素数の出現確率より小さいことがわか
る。

【００３３】

【数１５】

【００３４】

【発明が解決しようとする課題】上述したような従来の
方式Ｐではランダムに発生した奇数を素数候補とするの
で、素数の出現確率が低く、効率が悪いという問題があ
る。つまり、ランダムな奇数発生では、３の倍数となる
素数候補が１／３の確率で発生し、また、５の倍数，７
の倍数，…となる素数候補が１／５，１／７，…の確率
で発生する。よって、明らかに素数でない奇数について
も素数判定を行うことになるので、素数の出現確率が低
くなり、また、無駄な素数判定を行うことになって全体
の処理時間が長くなって効率が悪くなる。

【００３５】本発明は斯かる事情に鑑みてなされたもの
であり、素数の出現確率が高くて、より効率的に素数を
生成することができる素数生成方法及び装置並びに生成
した素数を利用する暗号システムを提供することを目的
とする。

【００３６】本発明の他の目的は、暗号を打ち破る攻撃
（素因数分解法（Ｐ−１法））に対して強い素数を生成
できる素数生成方法及び装置並びに生成した素数を利用
する暗号システムを提供することにある。

【００３７】

【課題を解決するための手段】本発明に係る素数生成方
法は、素数を生成する方法において、所定の素数以下の
各素数で割り切れない素数候補を生成するステップと、
生成した素数候補が素数であるか否かを判定するステッ
プとを有することを特徴とする。

【００３８】本発明に係る他の素数生成方法は、素数を
生成する方法において、下記式（Ａ）に従って素数候補
Ｐ_E′を生成するステップと、生成した素数候補Ｐ_E′
が素数であるか否かを判定するステップとを有すること
を特徴とする。

【００３９】

【数１６】

【００４０】本発明に係る更に他の素数生成方法は、素
数を生成する方法において、下記式（Ｂ）に従って素数
候補Ｐ_E1′を生成するステップと、生成した素数候補Ｐ
_E1′が素数であるか否かを判定するステップとを有する
ことを特徴とする。

【００４１】

【数１７】

【００４２】本発明に係る更に他の素数生成方法は、素
数を生成する方法において、下記式（Ｃ）に従って素数
候補Ｐ_E2′を生成するステップと、生成した素数候補Ｐ
_E2′が素数であるか否かを判定するステップとを有する
ことを特徴とする。

【００４３】

【数１８】

【００４４】本発明に係る更に他の素数生成方法は、素
数を生成する方法において、下記式（Ｄ）に従って素数
候補Ｐ_E+′を生成するステップと、生成した素数候補Ｐ
_E+′が素数であるか否かを判定するステップとを有する
ことを特徴とする。

【００４５】

【数１９】

【００４６】本発明に係る素数生成装置は、素数を生成
する装置において、所定の素数以下の各素数で割り切れ
ない素数候補を生成する手段と、生成した素数候補が素
数であるか否かを判定する手段とを備えることを特徴と
する。

【００４７】本発明に係る暗号システムは、平文を暗号
化鍵を用いて暗号文に変換する暗号化器と、前記暗号文
を復号鍵を用いて前記平文に変換する復号器とを備え、
前記暗号化鍵及び／または復号鍵に素数を利用する暗号
システムにおいて、所定の素数以下の各素数で割り切れ
ない素数候補を生成する手段と、生成した素数候補が素
数であるか否かを判定する判定手段とを備え、該判定手
段により素数と判定されたものを前記暗号化鍵及び／ま
たは復号鍵に利用する前記素数とすべくなしたことを特
徴とする。

【００４８】本発明に係る他の暗号システムは、平文を
暗号化鍵を用いて暗号文に変換する暗号化器と、前記暗
号文を復号鍵を用いて前記平文に変換する復号器とを備
え、前記暗号化鍵及び／または復号鍵に素数を利用する
暗号システムにおいて、前記素数として、上述の素数生
成方法の何れかに従って生成した素数を用いるように構
成したことを特徴とする。

【００４９】本発明に係る更に他の暗号システムは、上
述の構成において、前記暗号化鍵が公開鍵でり、前記復
号鍵が秘密鍵であることを特徴とする。

【００５０】本発明では、小さな素数（２，３，５，
７，11，…）では割り切れない整数を素数候補として生
成する。具体的には式（Ａ）で示される素数候補Ｐ_E′
を生成する。そして、その素数候補Ｐ_E′に素数判定を
施して素数を生成する。このようにして素数候補Ｐ_E′
を生成するので、得られる素数候補Ｐ_E′が最初から小
さな素数の倍数になっていないため、素数の出現確率は
高くなる。また、無駄な素数判定が少なくなって、全体
の処理時間を短くできる。なお、式（Ａ）において、ｎ
の値を大きくすれば、素数候補Ｐ_E′を求める処理時間
は長くなるが、素数の出現確率は高くなる。

【００５１】この式（Ａ）を改良して、素数候補
Ｐ_E1′，Ｐ_E2′を生成するための式が（Ｂ），（Ｃ）で
ある。これらの式（Ｂ），（Ｃ）によれば、乗算する小
さい素数に重複を許すようにしたので、式（Ａ）を利用
する場合に比べて、より多くの素数候補を生成でき、こ
の結果、多くの素数を求めることができる。

【００５２】また、式（Ａ）を改良して、素数候補
Ｐ_E+′を生成するための式が（Ｄ）である。この式
（Ｄ）によれば、Ｐ_E+′から１を引いた数が小さな因数
を持ちにくくなり、式（Ａ）を利用する場合に比べて、
素因数分解法（Ｐ−１法）に強い素数を生成できる。

【００５３】

【発明の実施の形態】以下、本発明をその実施の形態を
示す図面を参照して具体的に説明する。図１は、本発明
における暗号システムの一例を示す構成図であり、図１
は前述した公開鍵暗号系の１つであるＲＳＡ暗号系の構
成を示している。暗号化器１が平文Ｍを暗号化鍵（ｅ，
Ｎ）を用いて暗号化して暗号文Ｃを作成し、復号器２が
この暗号文Ｃを元の平文Ｍに復号鍵（ｄ，Ｎ）を用いて
復号する状態を示している。

【００５４】ここで、暗号化Ｅと復号Ｄのアルゴリズム
は、べき乗剰余演算を用いて次のように表される。Ｃ＝Ｅ（Ｍ）＝Ｍ^e（mod Ｎ）Ｍ＝Ｄ（Ｃ）＝Ｃ^d（mod Ｎ）但し、ｅ・ｄ≡１（mod lcm(ｐ−１，ｑ−１)) Ｎ＝ｐ・ｑ（ｐ，ｑは大きな素数）ｅ，Ｎ：公開鍵ｄ：秘密鍵 lcm(Least Common Multiple ）：最小公倍数

【００５５】図２は、例えば図１に示すようなＲＳＡ暗
号系で利用される素数（ｐ，ｑ）を効率良く生成する本
発明の素数生成装置の構成図、図３は、その素数生成の
動作手順を示すフローチャートである。図２に示すよう
に、素数生成装置10は、素数候補Ｐ′を生成する素数候
補生成器３と、入力される素数候補Ｐ′に対して確率的
素数判定法または確定的素数判定法による素数判定を行
ってその判定結果を出力する素数判定器４とを有する。

【００５６】素数候補生成器３は、後述する方式に従っ
て素数候補Ｐ′を生成し（ステップＳ１）、生成した素
数候補Ｐ′を素数判定器４へ出力する（ステップＳ
２）。素数判定器４は、確率的素数判定法または確定的
素数判定法に基づいて、入力された素数候補Ｐ′が素数
であるか否かを判定する（ステップＳ３）。その判定の
結果、素数である場合には（Ｓ４：ＹＥＳ）、その素数
候補Ｐ′を素数として出力し（ステップＳ５）、素数で
ない場合には（Ｓ４：ＮＯ）、その素数候補Ｐ′を非素
数として出力する（ステップＳ６）。

【００５７】上述の動作において、本発明は、素数候補
Ｐ′を生成する方法に特徴があり、小さな素数で割り切
れない素数候補Ｐ′を生成することにより、効率的に素
数を生成できるようにしている。なお、素数判定は、一
般的な判定法を利用するので、その説明は省略する。

【００５８】以下、本発明の特徴部分である素数候補生
成の方法について詳述する。本発明では、基本の素数候
補生成方式（方式Ｅ）とこれを改良した２つの素数候補
生成方式（方式Ｅ１，方式Ｅ２）と素因数分解法に強い
素数候補生成方式（方式Ｅ＋）との４種の方式が存在す
る。これらの各方式について順次説明する。

【００５９】（方式Ｅ）下記式（Ａ）に従って、素数候
補Ｐ_E′を生成する。なお、ｎは適当に設定し、ｍを選
択することにより素数候補Ｐ_E′を生成できる。

【００６０】

【数２０】

【００６１】式（Ａ）は、複数の小さな素数の積（ｎ＞
ｍの場合：ｐ₁ｐ₂…ｐ_m-1ｐ_m+1…ｐ_n、ｎ＜ｍの場
合：ｐ₁ｐ₂…ｐ_n）に、これらの各素数とは異なる別
の素数（ｐ_m）を加算して素数候補Ｐ_E′を生成してい
るので、この素数候補Ｐ_E′はｎ個の小さな素数
（ｐ₁，ｐ₂，…，ｐ_n）の何れの倍数にもなっていな
い。よって、従来例で説明したＰ方式に比べて、素数の
出現確率は高くなる。

【００６２】この場合素数候補Ｐ_E′が素数となる確
率、即ち、方式Ｅによる素数の出現確率Prob（Ｅ）は、
下記式（17）のように見積もることができる。

【００６３】

【数２１】

【００６４】素数候補Ｐ_E′が素数となる確率に関し
て、以下（ｉ）〜（iii) のことが言える。（ｉ）任意の素数をｐとすると、（ａ）ｐ＜ｐ_nの場合明らかにＰ_E′は素数ｐで割り切れない。（ｂ）ｐ＞ｐ_nの場合前述の（仮定１）より、Ｐ_E′が素数ｐで割り切れない
確率は、下記式（18）となる。

【００６５】

【数２２】

【００６６】（ii）Ｐ_E′は素数ｐ_mで割り切れない。（iii)（ｉ），（ii）より式（17）で方式Ｅによる素数
の出現確率を見積もることができる。

【００６７】従って、下記式（19）のようにｔ_nを定め
ると、方式Ｅは方式Ｐのｔ_n倍の出現確率で素数を生成
できる。

【００６８】

【数２３】

【００６９】ｎ＝10からｎ＝36まで変化させ、それぞれ
のｎについて加える素数ｐ_mをｐ_n+ ₁からｐ_n+10000と
して、方式Ｅによる素数の出現確率を計算した。その計
算結果を、図４に示す。なお、方式Ｐによる素数の出現
確率（理論値）も併せて図４に示す。方式Ｐと比較し
て、方式Ｅの素数の出現確率が、式（19）の予測値に従
って、ｔ₁₀（＝3.16）〜ｔ₃₆（＝4.55）倍程度に本当に
向上していることを確認できる。

【００７０】図５は、この方式Ｅを実行する素数候補生
成器３の構成の一例を示すブロック図である。素数候補
生成器３は、ｐ₁（＝２）から所定の素数ｐ_tまでの全
素数の積の値を格納している第１メモリ21と、ｐ₁（＝
２）から所定の素数ｐ_tまでの各素数の値をテーブルと
して格納している第２メモリ22と、乗算・除算を行う乗
除器23と、加算を行う加算器24とを有する。

【００７１】素数候補生成器３は、以下のようにして式
（Ａ）に従った素数候補Ｐ_E′を生成する。ｐ₁（＝
２）から素数ｐ_tまでの積の値（２・３・５・…・
ｐ_t）を第１メモリ21から乗除器23に読み出し、この積
の値に、第２メモリ22から読み出した必要な素数の値の
乗算及び／または除算を行うことにより式（Ａ）の前項
を算出し、算出結果を加算器24へ出力する。そして、そ
の算出結果に第２メモリ22から読み出した素数ｐ_mの値
を加算して、素数候補Ｐ_E′を求めて出力する。

【００７２】なお、上記例では小さな各素数の値をテー
ブルとして第２メモリ22に格納するようにしたが、これ
らの各素数を生成する素数生成器を第２メモリ22に代え
て設けるようにしても良い。素数候補の生成に必要な素
数は小さな素数であるので、その素数生成処理に長い時
間を要することはなく、必要な素数をその都度生成する
ようにしても問題はない。

【００７３】ところで、方式Ｅでは生成できる素数候補
の個数が少なく、方式Ｅで生成した素数を暗号系に利用
した場合、その生成法（各別の１個ずつの素数の積に更
に別の素数を加算する手法）を知っている攻撃者によっ
て素因数分解されて、暗号系は破綻する可能性がある。
また、異なる素数を多く掛け合わせる必要があるので、
素数候補が大きくなりすぎるという欠点がある。

【００７４】そこで、掛け合わせる素数と加算する素数
とに工夫を施し、素数候補を多様化すると共に比較的小
さな素数生成にも適用できる本発明の他の方式（方式Ｅ
の改良となる方式Ｅ１及び方式Ｅ２）について説明す
る。この改良方式では、掛け合わせる素数に重複を許
し、生成できる素数候補を増やすようにする。

【００７５】（方式Ｅ１）下記式（Ｂ）に従って、素数
候補Ｐ_E1′を生成する。

【００７６】

【数２４】

【００７７】式（Ｂ）に従って素数候補を生成した場
合、加える素数ｐ_m，ｎ次元整数ベクトルｋ（ｋ≧０）
及びｎを適当に選ぶことにより、生成する素数候補の個
数を十分多く増やすことができる。例えば、ｎ＝10，ｋ
_iをすべて１とし、ｍ＝11からｍ＝10000 まで調べた結
果、範囲内の素数の約53％が含まれていた。よって、ｋ
_iを変えることにより更に多くの素数を含ませることが
でき、範囲内における殆どすべての素数を生成できる。

【００７８】（方式Ｅ２）方式Ｅ１は、生成したい素数
の大きさが比較的小さい場合、掛け合わせる素数の個数
を減らさざるを得ず、効率が大きく改善されるとは言え
ない。そこで、方式Ｅ２では、ｐ_n以下の素数をＵ∩Ｖ
＝φである２つの素数集合Ｕ，Ｖ（但し、集合Ｕは２を
要素とし、集合Ｖは２を要素としない）に分け、下記式
（Ｃ）に従って、素数候補Ｐ_E2′を生成する。

【００７９】

【数２５】

【００８０】方式Ｅ１と同じ桁数の素数候補を生成した
い場合、方式Ｅ２では素数候補を割り切らない素数の個
数を増やすことができるので、素数の出現確率を改善す
ることができる。

【００８１】ところで、素因数分解問題を利用した、例
えばＲＳＡ暗号系等の暗号系に素数を利用する場合、用
いる素数が素因数分解法の攻撃に強い素数であることが
望ましいことは勿論である。ところが、従来の方式Ｐ及
び上述の方式Ｅで生成した素数は、そこから１を引いた
数が小さな因数を多くもつ場合があり、Ｐ−１法に弱い
という問題がある。そこで、素数の積に加算する数を工
夫することにより、Ｐ−１法に強い本発明の他の方式
（方式Ｅ＋）について説明する。

【００８２】（方式Ｅ＋）Ｐ−１法とは、Ｎ＝ＰＱ
（Ｐ，Ｑ：素数）で表されるＮについて、Ｐ−１が小さ
な素数の積のみからなる場合、素因数分解アルゴリズム
によってＮの素因数分解が比較適容易に解けるという攻
撃法である。よって、Ｐ−１法に強いためには、素数か
ら１を引いた数が小さな因数を持たなければ良い。そこ
で、前述したＣ素数Ｐｃ＝２ｑ＋１（ｑ：Sophie Germa
in素数）を用いて素数候補を生成する。方式Ｅ＋では、
ＰｃをＣ素数として、下記式（Ｄ）に従って、素数候補
Ｐ_E+′を生成する。

【００８３】

【数２６】

【００８４】式（Ｄ）に従って生成された後に素数と判
定された素数Ｐ_E+から１を引くと、下記式（20）とな
り、右辺の括弧内は式（Ａ）と同形になる。よって、Ｐ
_E+−１は因数を持ちにくいことを予想できる。

【００８５】

【数２７】

【００８６】方式Ｅ＋で得られる素数のＰ−１法に対す
る強さについて説明する。Ｐ−１法に対する素数の強度
を評価するため、Ｄ（ｎ）を下記式（21）のように定義
する。Ｄ（ｎ）＝ｌｃｍ（１，２，３，…，ｐ_n） …（21）

【００８７】次に、Ｐ−１法に対する強さの指標として
「レベル」という概念を以下のように定義する。「レベル」：式（21）において、Ｐ−１がＤ（ｎ）を割
り切ることができる最小のｎをその素数のレベルと定義
し、Level(Ｐ）＝ｎと表記する。つまり、素数Ｐのレベ
ルがｎであれば、下記式（22）となる。

【００８８】

【数２８】

【００８９】方式Ｅ＋により64ビットの素数を10000 個
生成し、そのレベルを比較した。具体的には、最初の10
番目までのすべての素数と100 番目までの素数からラン
ダムに選んだ５個の素数とを乗算した数に、100000番目
までの素数からランダムに選んだＣ素数を加算して素数
候補Ｐ_E+′を生成した。そのレベルの実験結果を図６に
示す。また、比較例として、方式Ｐにより64ビットの素
数を10000 個生成した場合のレベルの実験結果を図７に
示す。方式Ｅ＋では、方式Ｐと比較して、レベルが高い
値に集中しており、Ｐ−１法に対して強化されているこ
とが理解できる。

【００９０】

【発明の効果】以上のように、本発明では、小さな素数
では割り切れない素数候補を生成するようにしたので、
素数の出現確率が高くなり、より効率的に素数を生成す
ることが可能となる。また、素数候補の生成に用いる素
数の積と加える素数とを工夫するようにしたので、素数
候補に多様性を持たせることが可能である。また、１を
引いた数が小さな因数を持ちにくい素数候補を生成する
ようにしたので、素因数分解法（Ｐ−１法）に対して強
い素数を生成することが可能となる。このようなことに
より、素因数問題，離散対数問題を利用した暗号系の発
展に本発明は寄与できる。

【図面の簡単な説明】

【図１】ＲＳＡ暗号系の構成を示す模式図である。

【図２】本発明の素数生成装置の構成図である。

【図３】本発明における素数生成の動作手順を示すフロ
ーチャートである。

【図４】本発明の方式（方式Ｅ）と従来の方式（方式
Ｐ）とにおける素数の出現確率を示すグラフである。

【図５】素数候補生成器の構成の一例を示すブロック図
である。

【図６】本発明の方式（方式Ｅ＋）で生成した素数のＰ
−１法に対する強さの指標（レベル）を示すグラフであ
る。

【図７】従来の方式（方式Ｐ）で生成した素数のＰ−１
法に対する強さの指標（レベル）を示すグラフである。

【図８】従来の方式（方式Ｐ及び方式Ｃ）における素数
の出現確率を示すグラフである。

【符号の説明】

１暗号化器２復号器３素数候補生成器４素数判定器 10 素数生成装置

Claims

【特許請求の範囲】

【請求項１】素数を生成する方法において、所定の素
数以下の各素数で割り切れない素数候補を生成するステ
ップと、生成した素数候補が素数であるか否かを判定す
るステップとを有することを特徴とする素数生成方法。
【請求項２】素数を生成する方法において、下記式
（Ａ）に従って素数候補Ｐ_E′を生成するステップと、
生成した素数候補Ｐ_E′が素数であるか否かを判定する
ステップとを有することを特徴とする素数生成方法。【数１】
【請求項３】素数を生成する方法において、下記式
（Ｂ）に従って素数候補Ｐ_E1′を生成するステップと、
生成した素数候補Ｐ_E1′が素数であるか否かを判定する
ステップとを有することを特徴とする素数生成方法。【数２】
【請求項４】素数を生成する方法において、下記式
（Ｃ）に従って素数候補Ｐ_E2′を生成するステップと、
生成した素数候補Ｐ_E2′が素数であるか否かを判定する
ステップとを有することを特徴とする素数生成方法。【数３】
【請求項５】素数を生成する方法において、下記式
（Ｄ）に従って素数候補Ｐ_E+′を生成するステップと、
生成した素数候補Ｐ_E+′が素数であるか否かを判定する
ステップとを有することを特徴とする素数生成方法。【数４】
【請求項６】素数を生成する装置において、所定の素
数以下の各素数で割り切れない素数候補を生成する手段
と、生成した素数候補が素数であるか否かを判定する手
段とを備えることを特徴とする素数生成装置。
【請求項７】平文を暗号化鍵を用いて暗号文に変換す
る暗号化器と、前記暗号文を復号鍵を用いて前記平文に
変換する復号器とを備え、前記暗号化鍵及び／または復
号鍵に素数を利用する暗号システムにおいて、所定の素
数以下の各素数で割り切れない素数候補を生成する手段
と、生成した素数候補が素数であるか否かを判定する判
定手段とを備え、該判定手段により素数と判定されたも
のを前記暗号化鍵及び／または復号鍵に利用する前記素
数とすべくなしたことを特徴とする暗号システム。
【請求項８】平文を暗号化鍵を用いて暗号文に変換す
る暗号化器と、前記暗号文を復号鍵を用いて前記平文に
変換する復号器とを備え、前記暗号化鍵及び／または復
号鍵に素数を利用する暗号システムにおいて、前記素数
として、請求項１〜５の何れかに記載の方法により生成
した素数を用いるように構成したことを特徴とする暗号
システム。
【請求項９】前記暗号化鍵が公開鍵でり、前記復号鍵
が秘密鍵である請求項７または８記載の暗号システム。