JPWO2005098795A1 - コンピュータシステム、コンピュータプログラム及び加算方法 - Google Patents

コンピュータシステム、コンピュータプログラム及び加算方法 Download PDF

Info

Publication number
JPWO2005098795A1
JPWO2005098795A1 JP2006511988A JP2006511988A JPWO2005098795A1 JP WO2005098795 A1 JPWO2005098795 A1 JP WO2005098795A1 JP 2006511988 A JP2006511988 A JP 2006511988A JP 2006511988 A JP2006511988 A JP 2006511988A JP WO2005098795 A1 JPWO2005098795 A1 JP WO2005098795A1
Authority
JP
Japan
Prior art keywords
group
addition
unit
instruction
mod
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
JP2006511988A
Other languages
English (en)
Inventor
山道　将人
将人 山道
布田　裕一
裕一 布田
大森　基司
基司 大森
啓樹 静谷
啓樹 静谷
雅浩 満保
雅浩 満保
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Panasonic Corp
Panasonic Holdings Corp
Original Assignee
Panasonic Corp
Matsushita Electric Industrial Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Panasonic Corp, Matsushita Electric Industrial Co Ltd filed Critical Panasonic Corp
Publication of JPWO2005098795A1 publication Critical patent/JPWO2005098795A1/ja
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/50—Adding; Subtracting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/52—Multiplying; Dividing
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/723—Modular exponentiation

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • Mathematical Analysis (AREA)
  • Computational Mathematics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • General Engineering & Computer Science (AREA)
  • Computing Systems (AREA)
  • Mathematical Physics (AREA)
  • Software Systems (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Storage Device Security (AREA)

Abstract

演算の内容を解析しにくくするコンピュータシステムを提供する。 べき乗演算部２６２は、入力データａ、ｂに対し、 ｇａ＝ｇａｍｏｄ ｎ，ｇｂ＝ｇｂｍｏｄｎを計算する。 次に、乗算部２６４は、ｇａ及びｇｂに対し、 ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算する。 次に、離散対数計算部２６６は、 ｇａｂ＝ｇｃｉｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）となるｃｉｍｏｄ ｐｉ−１を求める。次に、ＣＲＴ部２６７は、中国人剰余定理（ＣＲＴ）により、ｃｉ＝ｃ ｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）となるｃを求める。

Description

本発明は、コンピュータプログラムの解析を困難にする耐タンパーソフト技術に関する。
従来より、コンピュータプログラムに従って動作するプロセッサを備えるコンピュータシステムにおいて、秘密の通信や相手の認証をする際に、暗号プログラム（暗号ソフトウェア）が用いられる。
このとき、鍵や暗号アルゴリズムなどを含む暗号ソフトウェアをコンピュータシステムにそのまま実装すると、実装された暗号ソフトウェアを解析された場合に、簡単に不正な使用がされてしまう。このような問題点を解決するために、特許文献１は、演算及びデータの領域を変換することにより、元の演算及びデータを推測困難にする技術を開示している。
例えば、入力データａ、ｂに対し、加算を施して、加算結果ａ＋ｂを出力する加算プログラムを想定する。
予め、整数ｋ１、ｋ２を保持し、これらを用いて、入力データａ、ｂを、それぞれｔａ＝ｋ１×ａ＋ｋ２，ｔｂ＝ｋ１×ｂ＋ｋ２に変換する。ここで、「×」は、乗算を示す演算子である。
次にｔａ，ｔｂに対して、ｔａｂ＝ｔａ＋ｔｂを計算する。
さらに、ｔａｂに対して、ｃ＝（ｔａｂ−２ｋ２）／ｋ１を計算する。
次に、演算結果ｃを出力する。
上記のように処理すると、
ｔａｂ＝ｔａ＋ｔｂ
＝ｋ１×ａ＋ｋ２＋ｋ１×ｂ＋ｋ２
＝ｋ１×（ａ＋ｂ）＋２ｋ２より、
（ｔａｂ−２ｋ２）／ｋ１＝ａ＋ｂが成り立つ。
従って、ｃ＝ａ＋ｂとなり、加算プログラムによりａとｂの加算結果が得られる。
米国特許第６５９４７６１号公報 日本国特許第３４０２４４１号特許公報 日本国特許第２７６０７９９号特許公報 岡本龍明、山本博資、「現代暗号」、産業図書（１９９７年） Ｈｅｎｒｉ Ｃｏｈｅｎ，"Ａ Ｃｏｕｒｓｅ ｉｎ Ｃｏｍｐｕｔａｔｉｏｎａｌ Ａｌｇｅｂｒａｉｃ Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ″，ＧＴＭ １３８，Ｓｐｒｉｎｇｅｒ−Ｖｅｒｌａｇ，１９９３，ｐｐ．１９−２０ Ｉ．Ｂｌａｋｅ，Ｇ．Ｓｅｒｏｕｓｓｉ ａｎｄ Ｎ．Ｓｍａｒｔ，"Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ ｉｎ Ｃｒｙｐｔｏｇｒａｐｈｙ″，ＣＡＭＢＲＩＤＧＥ ＵＮＩＶＥＲＳＩＴＹ ＰＲＥＳＳ，１９９９ Ｎ．Ｋｕｎｉｈｉｒｏ ａｎｄ Ｋ．Ｋｏｙａｍａ，"Ｔｗｏ Ｄｉｓｃｒｅｔｅ Ｌｏｇ Ａｌｇｏｒｉｔｈｍｓ ｆｏｒ Ｓｕｐｅｒ−Ａｎｏｍａｌｏｕｓ Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅｓ″，ＳＣＩＳ’９９，１９９９，ｐｐ．８６９−８７４
上記従来例の方式によると、変換後の領域においても通常の加算と同じ加算を行うため、変換後の演算を解析することにより、変換前の演算が加算であることが推測される可能性があるという問題点がある。プログラムにおいて、加算をしている箇所が、解析者により知られた場合に、その前後の部分がさらに集中して解析されると、どのような変換を行っているか知られてしまう恐れがある。ゆえに、可能な限り、変換前の演算を知られないようにした方がよい。
本発明は、演算の内容を解析しにくくすることができるコンピュータシステム、コンピュータプログラム、加算方法及び記録媒体を提供することを目的とする。
上記目的を達成するために、本発明は、２個以上の整数を加算するコンピュータシステムであって、複数のコンピュータ命令が組み合わされて構成されるコンピュータプログラムを記憶しているメモリ部と、前記記憶手段に記憶されている前記コンピュータプログラムから１個ずつコンピュータ命令を読み出し、解読し、その解読結果に応じて動作するプロセッサとを備え、前記コンピュータプログラムは、各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換命令群と、生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算命令群と、群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換命令群とを含むことを特徴とする。
この構成によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができる。
ここで、前記コンピュータシステムは、対象情報を安全かつ確実に扱う情報セキュリティ装置であって、前記コンピュータプログラムは、さらに、対象情報にセキュリティ処理を施すセキュリティ命令群を含み、前記セキュリティ命令群は、加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いるとしてもよい。
この構成によると、セキュリティ処理における加算において、使用する値及び演算を隠蔽することができる。
ここで、前記群Ｇは、剰余整数環の乗法群であり、前記変換命令群は、各整数に冪乗を施し、演算命令群は、前記元に対して、乗算を施すとしてもよい。
この構成によると、変換後に施される演算は、乗算であり、加算と異なるので、演算を隠蔽することができる。
ここで、前記群Ｇは、２つの素数ｐ，ｑと正整数ｍを用いて表される
ｎ＝ｐｍ×ｑに対し、Ｚ／ｎＺの乗法群であり、前記変換命令群は、各整数に冪乗を施し、演算命令群は、前記元に対して、乗算を施すとしてもよい。
この構成によると、変換後に施される演算は、乗算であり、加算と異なるので、演算を隠蔽することができる。
ここで、前記部分群Ｓは、アノマラス楕円曲線の群であり、前記変換命令群は、各整数に楕円曲線上の乗算を施し、演算命令群は、前記元に対して、楕円曲線上の加算を施すとしてもよい。また、前記群Ｇは、二つのアノマラス楕円曲線の群の直積であり、前記変換命令群は、各整数に楕円曲線上の乗算を施し、演算命令群は、前記元に対して、楕円曲線上の加算を施すとしてもよい。
これらの構成によると、変換後に施される演算は、楕円曲線上の加算であり、整数の加算と異なるので、演算を隠蔽することができる。
ここで、さらに、前記逆変換命令群は、複数の冪数と、各冪数による冪乗値又は冪倍値とを対応付けて記憶しており、その対応付けを検索することにより、冪演算の逆算を求めるとしてもよい。
この構成によると、逆変換命令群による逆算が容易である。
ここで、前記情報セキュリティ装置は、鍵情報に基づいて対象情報を暗号化し又は復号し、前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報を暗号化し又は復号し、暗号化又は復号において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施すとしてもよい。
この構成によると、暗号化又は復号における加算において、使用する値及び演算を隠蔽することができる。
ここで、前記情報セキュリティ装置は、鍵情報に基づいて対象情報にデジタル署名を施し又は署名検証を施し、前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報にデジタル署名を施し又は署名検証を施し、デジタル署名又は署名検証において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施すとしてもよい。
この構成によると、デジタル署名又は署名検証における加算において、使用する値及び演算を隠蔽することができる。
以上説明したように、本発明の構成によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができ、その価値は大きい。
コンテンツ配信システム１０の構成を示す構成図である。 コンテンツサーバ装置１００の構成を示すブロック図である。 コンテンツ配信プログラム１３１の内容を説明するフローチャートである。 コンテンツ暗号プログラム１３２の内容を説明するフローチャートである。 暗号プログラム１３３の構成を示す構成図である。 暗号制御モジュール１４１の内容を説明するフローチャートである。図７へ続く。 暗号制御モジュール１４１の内容を説明するフローチャートである。図６から続く。 パーソナルコンピュータ２００の構成を示すブロック図である。 コンテンツ受信プログラム２３１の内容を説明するフローチャートである。 コンテンツ復号プログラム２３２の内容を説明するフローチャートである。 復号プログラム２３４の構成を示す構成図である。 復号制御モジュール２４１の内容を説明するフローチャートである。図１３へ続く。 復号制御モジュール２４１の内容を説明するフローチャートである。図１２から続く。 加算モジュール２４３の構成を示す構成図である。 加算モジュール２４３による加算の動作を示すフローチャートである。 加算モジュール５０１の構成を示す構成図である。 加算モジュール５０１による加算の動作を示すフローチャートである。 加算モジュール６０１の構成を示す構成図である。 加算モジュール６０１による加算の動作を示すフローチャートである。
１．コンテンツ配信システム１０
本発明に係る第１の実施の形態としてのコンテンツ配信システム１０について説明する。
１．１ コンテンツ配信システム１０の構成
コンテンツ配信システム１０は、図１に示すように、コンテンツサーバ装置１００、配信サーバ装置３００ａ、放送装置３００ｂ、ＢＤ製造装置３００ｃ、パーソナルコンピュータ２００、デジタル放送受信装置２００ａ及びＢＤ再生装置２００ｂから構成されている。
コンテンツサーバ装置１００は、映像データ及び音データから構成される映画のコンテンツを記憶しており、配信サーバ装置３００ａからの要求に応じて、記憶しているコンテンツを暗号化して暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２１を介して接続されている配信サーバ装置３００ａへ送信する。配信サーバ装置３００ａは、暗号化コンテンツを受信し、インターネット２０を介して接続されているパーソナルコンピュータ２００へ暗号化コンテンツを送信する。パーソナルコンピュータ２００は、暗号化コンテンツを受信し、受信した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
また、コンテンツサーバ装置１００は、上記と同様に、放送装置３００ｂからの要求に応じて、暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２２を介して接続されている放送装置３００ｂへ送信する。放送装置３００ｂは、暗号化コンテンツを受信し、受信した暗号化コンテンツを放送波に乗せて放送し、デジタル放送受信装置２００ａは、放送波を受信し、受信した放送波から前記暗号化コンテンツを抽出し、抽出した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
さらに、コンテンツサーバ装置１００は、上記と同様に、ＢＤ製造装置３００ｃからの要求に応じて、暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２３を介して接続されているＢＤ製造装置３００ｃへ送信する。ＢＤ製造装置３００ｃは、暗号化コンテンツを受信し、受信した暗号化コンテンツを記録媒体４００に書き込む。暗号化コンテンツが書き込まれた記録媒体４００は、販売されて利用者が購入する。利用者により、記録媒体４００が装着されたＢＤ再生装置２００ｂは、記録媒体４００から前記暗号化コンテンツを読み出し、読み出した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
１．２ コンテンツサーバ装置１００
コンテンツサーバ装置１００は、図２に示すように、マイクロプロセッサ１０１、ハードディスク部１０２、メモリ部１０３、入力制御部１０４、表示制御部１０５及び通信ユニット１０６などから構成されるコンピュータシステムである。入力制御部１０４及び表示制御部１０５は、それぞれ、キーボード１０７及びモニタ１０８に接続されている。また、通信ユニット１０６は、専用回線２１、２２及び２３を介して、それぞれ、配信サーバ装置３００ａ、放送装置３００ｂ及びＢＤ製造装置３００ｃに接続されている。
ハードディスク部１０２及びメモリ部１０３には、様々なコンピュータプログラムが記憶されており、マイクロプロセッサ１０１が、前記コンピュータプログラムに従って動作することにより、コンテンツサーバ装置１００は、その一部の機能を達成する。
（１）ハードディスク部１０２
ハードディスク部１０２は、図２に示すように、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・、鍵１２３、鍵１２４、鍵１２５、・・・、及び図示していないその他のコンピュータプログラムを記憶している。また、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・を記憶するための領域を備えている。
コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・は、それぞれ、鍵１２３、鍵１２４、鍵１２５、・・・、に対応しており、また、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・に対応している。
コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・は、それぞれ、映像データ及び音データが高効率に圧縮符号化された圧縮データである。
鍵１２３、鍵１２４、鍵１２５、・・・は、それぞれ、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・に、暗号化アルゴリズムを施して、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・を生成する際に使用される暗号鍵であり、それぞれ、６４ビット長のデータである。ここで、前記暗号化アルゴリズムについては、後述する。
暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・は、それぞれ、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・に、前記暗号化アルゴリズムが施されて生成された暗号化データである。
（２）メモリ部１０３
メモリ部１０３は、図２に示すように、コンテンツ配信プログラム１３１、コンテンツ暗号プログラム１３２、暗号プログラム１３３、送信プログラム１３４及び図示していないその他のプログラムを記憶している。これらのプログラムは、それぞれ、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ１０１により解読され実行される形式である。
以下において、各コンピュータプログラムの内容を説明するが、各コンピュータプログラムの内容の理解を容易にするために、機械語形式の命令コードを用いた表現ではなく、フローチャートにより各コンピュータプログラムの内容を表現し、フローチャートを用いて、各コンピュータプログラムを説明する。
（ａ）コンテンツ配信プログラム１３１
コンテンツ配信プログラム１３１は、図３に示すように、命令コード群Ｓ１０１、Ｓ１０２、Ｓ１０３及びＳ１０４を含んで構成されており、これらの命令コード群は、コンテンツ配信プログラム１３１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ１０１は、コンテンツサーバ装置１００の管理者からコンテンツの指定を受け付け、又はコンテンツの配信先の装置からコンテンツの指定を受け取ることを示す複数の命令コードを含む。
命令コード群Ｓ１０２は、コンテンツの配信先の装置の指定を受け取ることを示す複数の命令コードを含む。
命令コード群Ｓ１０３は、受け付けた指定又は受け取った指定により示されるコンテンツを指定して、コンテンツ暗号プログラム１３２を呼び出し、次に、コンテンツ暗号プログラム１３２により生成された暗号化コンテンツを暗号化コンテンツ１２６としてハードディスク部１０２へ書き込むことを示す複数の命令コードを含む。
命令コード群Ｓ１０４は、受け取った指定による配信先の装置と、生成されハードディスク部１０２に書き込まれた暗号化コンテンツとを指定して、送信プログラム１３４を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ１０４が実行されることにより、受け取った指定により示される配信先の装置へ、生成された暗号化コンテンツが送信される。
（ｂ）コンテンツ暗号プログラム１３２
コンテンツ暗号プログラム１３２は、図４に示すように、命令コード群Ｓ１１１、Ｓ１１２、Ｓ１１３、Ｓ１１４、Ｓ１１５及びＳ１１６を含んで構成されており、これらの命令コード群は、コンテンツ暗号プログラム１３２内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ１１１は、指定を受け付けたコンテンツ内におけるデータの位置をビットにより示す読出しポイントに、初期値として値「−６４」を代入し、指定を受け付けたコンテンツに対応する鍵をハードディスク部１０２から読み出すことを示す複数の命令コードを含む。ここで、値「−６４」を有する読出しポイントは、前記コンテンツ外の位置を示しているが、読出しポイントに初期値として値「−６４」を代入するのは、後述する命令コード群Ｓ１１２の最初の実行において、読出しポイントが、前記コンテンツの先頭の位置を示すようにするためである。後述する命令コード群Ｓ１１２の最初の実行において、前記読出しポイントに６４ビットが加算され、読出しポイントは、値「０」を有することになり、この読出しポイントは、前記コンテンツの先頭の位置を示している。
命令コード群Ｓ１１２は、前記読出しポイントに６４ビットを加算し、次に、前記コンテンツにおいて、加算された読出しポイントにより示される位置から１ブロック分のデータの読出しを試みることを示す複数の命令コードと、読出しポイントにより示される位置が前記コンテンツ内であるならば、当該位置から１ブロック分のデータを読み出し、読出しポイントにより示される位置が前記コンテンツの外を示すならば、ブロックの読み出しが終了したことを示す終了コードを出力することを示す複数の命令コードとを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ１１３は、命令コード群Ｓ１１２から終了コードが出力された場合には、コンテンツ暗号プログラム１３２による処理を終了し、終了コードが出力されていない場合には、次の命令コード群Ｓ１１４に制御を移すことを示す複数の命令コードを含む。
命令コード群Ｓ１１４は、読み出された前記鍵及び読み出された前記１ブロックを伴って、暗号プログラム１３３を呼び出すことを示す複数の命令コードを含む。
命令コード群Ｓ１１５は、暗号プログラム１３３により生成された１個の暗号化ブロックを、ハードディスク部１０２に対して、暗号化コンテンツ１２６の一部として書き込むことを示す複数の命令コードを含む。
命令コード群Ｓ１１６は、次に、制御を命令コード群Ｓ１１２へ移すことを示す命令コードを含む。
（ｃ）暗号プログラム１３３
暗号プログラム１３３は、図５に示すように、暗号制御モジュール１４１、拡張鍵生成モジュール１４２及びローテーションモジュールＡ１４３、ローテーションモジュールＢ１４４、ローテーションモジュールＣ１４５及びローテーションモジュールＤ１４６から構成されている。
各モジュールは、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ１０１により解読され実行される形式である。
（拡張鍵生成モジュール１４２）
拡張鍵生成モジュール１４２は、呼出し元のプログラムから、６４ビットの鍵Ｋを受け取り、受け取った鍵Ｋを用いて、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８を生成し、生成した８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８を呼出し元のプログラムへ出力する複数の命令コードを含む。
なお、拡張鍵を生成する方法については、特許文献３に記載されているため、説明を省略する。
（ローテーションモジュールＡ１４３）
ローテーションモジュールＡ１４３は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ２（Ｘ）＋Ｘ＋１を演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ２（Ｘ）は、３２ビットのデータＸを左へ２ビット循環シフトすることを示す。なお、３２ビットのデータＸを左へ２ビット循環シフトするとは、データＸを最上位２ビットＸ１と最下位３０ビットＸ２に分け、Ｘ２を、データＸの最上位３０ビットにシフトし、Ｘ１をデータＸの最下位２ビットにシフトすることを言う。
（ローテーションモジュールＢ１４４）
ローテーションモジュールＢ１４４は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ４（Ｘ）ＸＯＲ Ｘを演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ４（Ｘ）は、データＸを左へ４ビット循環シフトすることを示し、ＸＯＲは、排他的論理和を示す。なお、３２ビットのデータＸを左へ４ビット循環シフトするとは、データＸを最上位４ビットＸ１と最下位２８ビットＸ２に分け、Ｘ２を、データＸの最上位２８ビットにシフトし、Ｘ１をデータＸの最下位４ビットにシフトすることを言う。
（ローテーションモジュールＣ１４５）
ローテーションモジュールＣ１４５は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ８（Ｘ）ＸＯＲ Ｘを演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ８（Ｘ）は、データＸを左へ８ビット循環シフトすることを示す。なお、３２ビットのデータＸを左へ８ビット循環シフトするとは、データＸを最上位８ビットＸ１と最下位２４ビットＸ２に分け、Ｘ２を、データＸの最上位２４ビットにシフトし、Ｘ１をデータＸの最下位８ビットにシフトすることを言う。
（ローテーションモジュールＤ１４６）
ローテーションモジュールＤ１４６は、呼出し元のプログラムから３２ビットのデータＸ及び３２ビットのデータＹを受け取り、データＸ及びデータＹに対して、Ｒｏｔ１６（Ｘ）＋（Ｘ ＡＮＤ Ｙ）を演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ１６（Ｘ）は、データＸを、左へ１６ビット循環シフトすることを示し、ＡＮＤは、論理積を示す。なお、３２ビットのデータＸを左へ１６ビット循環シフトするとは、データＸを最上位１６ビットＸ１と最下位１６ビットＸ２に分け、Ｘ２を、データＸの最上位１６ビットにシフトし、Ｘ１をデータＸの最下位１６ビットにシフトすることを言う。
（暗号制御モジュール１４１）
暗号制御モジュール１４１は、図６及び図７に示すように、命令コード群Ｓ１２１〜命令コード群Ｓ１４０を含んで構成されており、これらの命令コード群は、暗号制御モジュール１４１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含む。
命令コード群Ｓ１２１は、暗号制御モジュール１４１の呼出し元のプログラムから、１ブロックの平文Ｍ及び鍵Ｋを受け取ることを示す複数の命令コードを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ１２２は、受け取った鍵Ｋを伴って、拡張鍵生成モジュール１４２を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ１２２が実行されると、その結果、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８が生成される。
命令コード群Ｓ１２３は、データＭ１を定義する命令コード及びデータＭ２を定義する命令コードを含む。データＭ１は、受け取った平文Ｍの最上位の３２ビットのデータであり、データＭ２は、受け取った平文Ｍの最下位の３２ビットのデータである。
命令コード群Ｓ１２４は、データＭ１とデータＭ２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１に格納することを示す複数の命令コードを含む。
ＴＭＰ１＝Ｍ１ ＸＯＲ Ｍ２
命令コード群Ｓ１２５は、変数ＴＭＰ１と拡張鍵Ｋ１とに加算を施し、その演算結果を変数ＴＭＰ２に格納することを示す複数の命令コードを含む。
ＴＭＰ２＝ＴＭＰ１ ＋ Ｋ１
命令コード群Ｓ１２６は、変数ＴＭＰ２を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ３に格納することを示す複数の命令コードを含む。
ＴＭＰ３＝Ｒｏｔ２（ＴＭＰ２）＋ＴＭＰ２＋１
命令コード群Ｓ１２７は、変数ＴＭＰ３を伴って、ローテーションモジュールＢ１４４を呼び出し、その演算結果を変数ＴＭＰ４に格納することを示す複数の命令コードを含む。
ＴＭＰ４＝Ｒｏｔ４（ＴＭＰ３） ＸＯＲ ＴＭＰ３
命令コード群Ｓ１２８は、変数ＴＭＰ４とデータＭ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ５に格納することを示す複数の命令コードを含む。
ＴＭＰ５＝ＴＭＰ４ ＸＯＲ Ｍ１
命令コード群Ｓ１２９は、変数ＴＭＰ５と拡張鍵Ｋ２とに加算を施し、その演算結果を変数ＴＭＰ６に格納することを示す複数の命令コードを含む。
ＴＭＰ６＝ＴＭＰ５ ＋ Ｋ２
命令コード群Ｓ１３０は、変数ＴＭＰ６を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ７に格納することを示す複数の命令コードを含む。
ＴＭＰ７＝Ｒｏｔ２（ＴＭＰ６）＋ＴＭＰ６＋１
命令コード群Ｓ１３１は、変数ＴＭＰ７を伴って、ローテーションモジュールＣ１４５を呼び出し、その演算結果を変数ＴＭＰ８に格納することを示す複数の命令コードを含む。
ＴＭＰ８＝Ｒｏｔ８（ＴＭＰ７）ＸＯＲ ＴＭＰ７
命令コード群Ｓ１３２は、変数ＴＭＰ８と拡張鍵Ｋ３とに加算を施し、その演算結果を変数ＴＭＰ９に格納することを示す複数の命令コードを含む。
ＴＭＰ９＝ＴＭＰ８ ＋ Ｋ３
命令コード群Ｓ１３３は、変数ＴＭＰ９を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ１０に格納することを示す複数の命令コードを含む。
ＴＭＰ１０＝Ｒｏｔ２（ＴＭＰ９）＋ＴＭＰ９＋１
命令コード群Ｓ１３４は、変数ＴＭＰ７及び変数ＴＭＰ１０を伴って、ローテーションモジュールＤ１４６を呼び出し、その演算結果を変数ＴＭＰ１１に格納することを示す複数の命令コードを含む。
ＴＭＰ１１＝Ｒｏｔ１６（ＴＭＰ１０）＋（ＴＭＰ１０ ＡＮＤ ＴＭＰ７）
命令コード群Ｓ１３５は、変数ＴＭＰ１１と変数ＴＭＰ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１２に格納することを示す複数の命令コードを含む。
ＴＭＰ１２＝ＴＭＰ１１ ＸＯＲ ＴＭＰ１
命令コード群Ｓ１３６は、変数ＴＭＰ１２と拡張鍵Ｋ４とに加算を施し、その演算結果を変数ＴＭＰ１３に格納することを示す複数の命令コードを含む。
ＴＭＰ１３＝ＴＭＰ１２ ＋ Ｋ４
命令コード群Ｓ１３７は、変数ＴＭＰ１３を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ１４に格納することを示す複数の命令コードを含む。
ＴＭＰ１４＝Ｒｏｔ２（ＴＭＰ１３）＋ＴＭＰ１３＋１
命令コード群Ｓ１３８は、変数ＴＭＰ１４と変数ＴＭＰ４とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１５に格納することを示す複数の命令コードを含む。
ＴＭＰ１５＝ＴＭＰ１４ ＸＯＲ ＴＭＰ４
命令コード群Ｓ１３９は、変数ＴＭＰ１５と変数ＴＭＰ１２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１６に格納することを示す複数の命令コードを含む。
ＴＭＰ１６＝ＴＭＰ１５ ＸＯＲ ＴＭＰ１２
命令コード群Ｓ１４０は、変数ＴＭＰ１５を最上位３２ビット、変数ＴＭＰ１６を最下位３２ビットとする６４ビットの整数を暗号文Ｃとして、呼出し元のプログラムへ出力することを示す複数の命令コードを含む。
（ｄ）送信プログラム１３４
送信プログラム１３４（図示していない）は、複数の命令コードが並べられて構成されており、呼出し元のプログラムから、データの指定及び配信先の装置の指定を受け取り、通信ユニット１０６を制御して、指示されたデータを指定された配信先の装置へ送信することを示す複数の命令コードを含む。
１．３ パーソナルコンピュータ２００
パーソナルコンピュータ２００は、図８に示すように、マイクロプロセッサ２０１、ハードディスク部２０２、メモリ部２０３、入力制御部２０４、表示制御部２０５及び通信ユニット２０６などから構成されるコンピュータシステムである。入力制御部２０４及び表示制御部２０５は、それぞれ、キーボード７０７及びモニタ２０８に接続されている。また、通信ユニット２０６は、インターネット２０に接続されている。
ハードディスク部２０２及びメモリ部２０３には、様々なコンピュータプログラムが記憶されており、マイクロプロセッサ２０１が、各コンピュータプログラムに従って動作することにより、パーソナルコンピュータ２００は、その一部の機能を達成する。
なお、デジタル放送受信装置２００ａ及びＢＤ再生装置２００ｂは、パーソナルコンピュータ２００と同様の構成を有しているので、これらの装置についての説明を省略する。
（１）ハードディスク部２０２
ハードディスク部２０２は、図８に示すように、鍵２２２を記憶しており、また暗号化コンテンツ２２１を記憶するための領域を備えている。暗号化コンテンツ２２１と鍵２２２とは、対応している。
暗号化コンテンツ２２１及び鍵２２２は、それぞれ、コンテンツサーバ装置１００のハードディスク部１０２に記憶されている暗号化コンテンツ１２６及び鍵１２３と同じものである。
（２）メモリ部２０３
メモリ部２０３は、図８に示すように、コンテンツ受信プログラム２３１、コンテンツ復号プログラム２３２、再生プログラム２３３、復号プログラム２３４及び加算プログラム２３５を記憶している。また、メモリ部２０３は、復号コンテンツ領域２３６を含む。これらのプログラムは、それぞれ、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ２０１により解読され実行される形式である。
復号コンテンツ領域２３６には、暗号化コンテンツが復号されて生成された復号コンテンツが一時的に書き込まれる。
以下において、各コンピュータプログラムの内容を説明するが、各コンピュータプログラムの内容の理解を容易にするために、機械語形式の命令コードを用いた表現ではなく、フローチャートにより各コンピュータプログラムの内容を表現し、フローチャートを用いて、各コンピュータプログラムを説明する。
（ａ）コンテンツ受信プログラム２３１
コンテンツ受信プログラム２３１は、図９に示すように、命令コード群Ｓ２０１、Ｓ２０２、Ｓ２０３及びＳ２０４を含んで構成されており、これらの命令コード群は、コンテンツ受信プログラム２３１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２０１は、パーソナルコンピュータ２００の利用者からコンテンツの指定を受け付けることを示す複数の命令コードを含んでいる。
命令コード群Ｓ２０２は、指定を受け付けた前記コンテンツを識別するコンテンツ識別子を取得し、取得したコンテンツ識別子を、通信ユニット２０６及びインターネット２０を介して、配信サーバ装置３００ａへ送信することを示す複数の命令コードを含んでいる。
命令コード群Ｓ２０３は、配信サーバ装置３００ａから、インターネット２０及び通信ユニット２０６を介して、暗号化コンテンツを受信することを示す複数の命令コードを含んでいる。ここで、受信する前記暗号化コンテンツは、前記コンテンツ識別子により識別されるものである。
命令コード群Ｓ２０４は、受信した暗号化コンテンツをハードディスク部２０２へ、暗号化コンテンツ２２１として書き込むことを示す複数の命令コードを含んでいる。
（ｂ）コンテンツ復号プログラム２３２
コンテンツ復号プログラム２３２は、図１０に示すように、命令コード群Ｓ２１１、Ｓ２１２、Ｓ２１３、Ｓ２１４、Ｓ２１５、Ｓ２１６、Ｓ２１７及びＳ２１８を含んで構成されており、これらの命令コード群は、コンテンツ復号プログラム２３２内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２１１は、パーソナルコンピュータ２００の利用者から、ハードディスク部２０２に記憶されているいずれかの暗号化コンテンツの指定を受け付けることを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１２は、メモリ部２０３に記憶されている再生プログラム２３３を呼び出すことを示す複数の命令コードを含んでいる。命令コード群Ｓ２１２が実行されることにより、その結果、コンテンツ復号プログラム２３２と再生プログラム２３３とが並行して実行される。
命令コード群Ｓ２１３は、指定を受け付けた暗号化コンテンツ内におけるデータの位置をビットにより示す読出しポイントに初期値として値「−６４」を代入し、次に、指定を受け付けた暗号化コンテンツに対応する鍵をハードディスク部２０２から読み出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１４は、前記読出しポイントに６４ビットを加算し、次に、前記暗号化コンテンツにおいて、加算された読出しポイントにより示される位置から１ブロック分のデータの読出しを試みることを示す複数の命令コードと、読出しポイントにより示される位置が前記暗号化コンテンツ内であるならば、当該位置から１ブロック分のデータを読み出し、読出しポイントにより示される位置が前記暗号化コンテンツの外を示すならば、ブロックの読み出しが終了したことを示す終了コードを出力することを示す複数の命令コードとを含んでいる。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ２１５は、命令コード群Ｓ２１４から終了コードが出力された場合には、コンテンツ復号プログラム２３２による処理を終了し、終了コードが出力されていない場合には、次の命令コード群Ｓ２１６に制御を移すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１６は、読み出された前記鍵及び読み出された前記１ブロックを伴って、復号プログラム２３４を呼び出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１７は、復号プログラム２３４により生成された１個の復号ブロックを、メモリ部２０３の復号コンテンツ領域２３６へ書き込むことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１８は、次に制御を命令コード群Ｓ２１４へ移すことを示す命令コードを含んでいる。
（ｃ）再生プログラム２３３
再生プログラム２３３は、図１０に示すように、命令コード群Ｓ２１８、Ｓ２１９及びＳ２２０を含んで構成されており、これらの命令コード群は、再生プログラム２３３は内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２１８は、メモリ部２０３が有する復号コンテンツ領域２３６から１個以上の復号ブロックを読み出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１９は、読み出した前記復号ブロックから映像データ及び音データを生成し、生成した映像データ及び音データを映像信号及び音信号に変換して、表示制御部２０５を介して、モニタ２０８へ出力することを示す複数の命令コードを含んでいる。
命令コード群Ｓ２２０は、次に制御を命令コード群Ｓ２１８へ移すことを示す命令コードを含んでいる。
（ｄ）復号プログラム２３４
復号プログラム２３４は、図１１に示すように、復号制御モジュール２４１、拡張鍵生成モジュール２４２、加算モジュール２４３、ローテーションモジュールＡ２４４、ローテーションモジュールＢ２４５、ローテーションモジュールＣ２４６及びローテーションモジュールＤ２４７から構成されている。
各モジュールは、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ２０１により解読され実行される形式である。
拡張鍵生成モジュール２４２、ローテーションモジュールＡ２４４、ローテーションモジュールＢ２４５、ローテーションモジュールＣ２４６及びローテーションモジュールＤ２４７は、それぞれ、図５に示す拡張鍵生成モジュール１４２、ローテーションモジュールＡ１４３、ローテーションモジュールＢ１４４、ローテーションモジュールＣ１４５及びローテーションモジュールＤ１４６と同じであるので、説明を省略する。
（復号制御モジュール２４１）
復号制御モジュール２４１は、図１２及び図１３に示すように、命令コード群Ｓ２２１〜命令コード群Ｓ２４０を含んで構成されており、これらの命令コード群は、復号制御モジュール２４１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含む。
命令コード群Ｓ２２１は、復号制御モジュール２４１の呼出し元のプログラムから、１ブロックの暗号文Ｍ及び鍵Ｋを受け取ることを示す複数の命令コードを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ２２２は、受け取った鍵Ｋを伴って、拡張鍵生成モジュール２４２を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ２２２が実行されると、その結果、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８が生成される。
命令コード群Ｓ２２３は、データＭ１を定義する命令コード及びデータＭ２を定義する命令コードを含む。データＭ１は、受け取った暗号文Ｍの最上位の３２ビットのデータであり、データＭ２は、受け取った暗号文Ｍの最下位の３２ビットのデータである。
命令コード群Ｓ２２４は、データＭ１とデータＭ２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１に格納することを示す複数の命令コードを含む。
ＴＭＰ１＝Ｍ１ ＸＯＲ Ｍ２
命令コード群Ｓ２２５は、変数ＴＭＰ１と拡張鍵Ｋ１とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ２に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ２＝ＴＭＰ１ ＋ Ｋ１が算出される。
命令コード群Ｓ２２６は、変数ＴＭＰ２を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ３に格納することを示す複数の命令コードを含む。
ＴＭＰ３＝Ｒｏｔ２（ＴＭＰ２）＋ＴＭＰ２＋１
命令コード群Ｓ２２７は、変数ＴＭＰ３を伴って、ローテーションモジュールＢ２４５を呼び出し、その演算結果を変数ＴＭＰ４に格納することを示す複数の命令コードを含む。
ＴＭＰ４＝Ｒｏｔ４（ＴＭＰ３） ＸＯＲ ＴＭＰ３
命令コード群Ｓ２２８は、変数ＴＭＰ４とデータＭ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ５に格納することを示す複数の命令コードを含む。
ＴＭＰ５＝ＴＭＰ４ ＸＯＲ Ｍ１
命令コード群Ｓ２２９は、変数ＴＭＰ５と拡張鍵Ｋ２とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ６に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ６＝ＴＭＰ５ ＋ Ｋ２が算出される。
命令コード群Ｓ２３０は、変数ＴＭＰ６を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ７に格納することを示す複数の命令コードを含む。
ＴＭＰ７＝Ｒｏｔ２（ＴＭＰ６）＋ＴＭＰ６＋１
命令コード群Ｓ２３１は、変数ＴＭＰ７を伴って、ローテーションモジュールＣ２４６を呼び出し、その演算結果を変数ＴＭＰ８に格納することを示す複数の命令コードを含む。
ＴＭＰ８＝Ｒｏｔ８（ＴＭＰ７）ＸＯＲ ＴＭＰ７
命令コード群Ｓ２３２は、変数ＴＭＰ８と拡張鍵Ｋ３とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ９に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ９＝ＴＭＰ８ ＋ Ｋ３が算出される。
命令コード群Ｓ２３３は、変数ＴＭＰ９を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ１０に格納することを示す複数の命令コードを含む。
ＴＭＰ１０＝Ｒｏｔ２（ＴＭＰ９）＋ＴＭＰ９＋１
命令コード群Ｓ２３４は、変数ＴＭＰ７及び変数ＴＭＰ１０を伴って、ローテーションモジュールＤ２４７を呼び出し、その演算結果を変数ＴＭＰ１１に格納することを示す複数の命令コードを含む。
ＴＭＰ１１＝Ｒｏｔ１６（ＴＭＰ１０）＋（ＴＭＰ１０ ＡＮＤ ＴＭＰ７）
命令コード群Ｓ２３５は、変数ＴＭＰ１１と変数ＴＭＰ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１２に格納することを示す複数の命令コードを含む。
ＴＭＰ１２＝ＴＭＰ１１ ＸＯＲ ＴＭＰ１
命令コード群Ｓ２３６は、変数ＴＭＰ１２と拡張鍵Ｋ４とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ１３に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ１３＝ＴＭＰ１２ ＋ Ｋ４が算出される。
命令コード群Ｓ２３７は、変数ＴＭＰ１３を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ１４に格納することを示す複数の命令コードを含む。
ＴＭＰ１４＝Ｒｏｔ２（ＴＭＰ１３）＋ＴＭＰ１３＋１
命令コード群Ｓ２３８は、変数ＴＭＰ１４と変数ＴＭＰ４とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１５に格納することを示す複数の命令コードを含む。
ＴＭＰ１５＝ＴＭＰ１４ ＸＯＲ ＴＭＰ４
命令コード群Ｓ２３９は、変数ＴＭＰ１５と変数ＴＭＰ１２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１６に格納することを示す複数の命令コードを含む。
ＴＭＰ１６＝ＴＭＰ１５ ＸＯＲ ＴＭＰ１２
命令コード群Ｓ２４０は、変数ＴＭＰ１５を最上位３２ビット、変数ＴＭＰ１６を最下位３２ビットとする６４ビットの整数を復号文Ｃとして、呼出し元のプログラムへ出力することを示す複数の命令コードを含む。
（加算モジュール２４３）
加算モジュール２４３は、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１４に示すように、変換部２５１、主要演算部２５２及び逆変換部２５３から構成されており、変換部２５１は、パラメタ格納部２６１及びべき乗演算部２６２を含み、主要演算部２５２は、パラメタ格納部２６３及び乗算部２６４を含み、逆変換部２５３は、パラメタ格納部２６５、離散対数計算部２６６及びＣＲＴ（Ｃｈｉｎｅｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ）部２６７を含む。
（ｉ）各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール２４３で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐｉ（ｉ＝１，２，…，ｋ）を、それぞれ異なる素数とする。例えば、ｐｉ
（ｉ＝１，２，…，ｋ）は、ｐ１＝３、ｐ２＝５、ｐ３＝７、ｐ４＝１３、・・・などのように、それぞれ小さい素数である。また、例えば、ｋ＝１７である。また、それらの積ｐ１×ｐ２×…×ｐｋをｎとする。ここで、×は乗算を示す。ｎは、例えば、６４ビット程度で表現できる数である。例えば、ｋ＝１７のとき、ｎ＝ｐ１×ｐ２×…×ｐｋ＞２６４となる。
ｐｉ（ｉ＝１，２，…，ｋ）は、逆変換部２５３により保持され、ｎは、変換部２５１及び主要演算部２５２により保持されている。
加算モジュール２４３では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数であり、ｐｉ（ｉ＝１，２，…，ｋ）に対して原始元とする。
原始元とは、ｍを１，２，…と動かしたとき、初めてｇｍ＝１ ｍｏｄ ｐｉとなるｍの値が、ｐｉ−１であるようなｇである。
Ｌ＝ＬＣＭ（ｐ１−１，ｐ２−１，…，ｐｋ−１）とする。ここで、ＬＣＭ（ｐ１−１，ｐ２−１，…，ｐｋ−１）は、ｐ１−１，ｐ２−１，…，ｐｋ−１の最小公倍数（Ｌｅａｓｔ Ｃｏｍｍｏｎ Ｍｕｌｔｉｐｌｅ）を示す。
入力データａ、ｂは、それぞれ、Ｌ／２より小さい非負整数とする。
（ｉｉ）変換部２５１の構成
変換部２５１は、パラメタ格納部２６１及びべき乗演算部２６２を含む。
パラメタ格納部２６１は、ｎとｇとを格納している。
べき乗演算部２６２は、入力データａ、ｂを受け取り、受け取った入力データａ、ｂに対し、
ｇａ＝ｇａｍｏｄ ｎ，及び
ｇｂ＝ｇｂｍｏｄ ｎを計算し、得られたｇａ及びｇｂを主要演算部２５２へ出力する。
（ｉｉｉ）主要演算部２５２の構成
主要演算部２５２は、パラメタ格納部２６３及び乗算部２６４を含む。
パラメタ格納部２６３は、ｎを格納している。
乗算部２６４は、べき乗演算部２６２からｇａ及びｇｂを受け取り、受け取ったｇａ及びｇｂに対し、
ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算し、得られたｇａｂを逆変換部２５３へ出力する。
（ｉｖ）逆変換部２５３の構成
逆変換部２５３は、パラメタ格納部２６５、離散対数計算部２６６及びＣＲＴ部２６７を含む。
パラメタ格納部２６５は、ｐ１、ｐ２、・・・、ｐｋを格納している。
離散対数計算部２６６は、乗算部２６４からｇａｂを受け取り、
受け取ったｇａｂについて、ｇ ｍｏｄ ｐｉに対するｇａｂｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）の離散対数ｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）を計算する。
つまり、ｇａｂ＝ｇｃｉｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）となるｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）を求める。次に、得られたｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）をＣＲＴ部２６７へ出力する。
離散対数計算部２６６によるｃｉ ｍｏｄ ｐｉ−１の計算方法については、様々なものがあるが、以下にその一例を示す。
ｗを１，２，３，…と順番に動かして、ｇｗ＝ｇａｂｍｏｄ ｐｉとなるｗを求める。そのｗをｃｉとする。なお、各ｐｉに関し、ｇ１，ｇ２，…，
ｇ（ｐｉ−２）ｍｏｄ ｐｉを計算した結果をテーブルとして保持し、そのテーブルの値から、ｇａｂｍｏｄ ｐｉと一致するｇｗを探す、としてもよい。
ＣＲＴ部２６７は、離散対数計算部２６６からｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）を受け取り、中国人剰余定理（ＣＲＴ）により、受け取ったｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）から、ｇａｂｍｏｄ ｎのｇ ｍｏｄ ｎに対する離散対数ｃ ｍｏｄ Ｌを求める。つまり、中国人剰余定理により、ｃｉ＝ｃ ｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）となるｃを求める。
離散対数ｃｉｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）から、中国人剰余定理を用いて、ｃ ｍｏｄＬ（ここで、Ｌ＝ＬＣＭ（ｐ１−１，ｐ２−１，…，ｐｋ−１））を求めるには、次に示すようにする。
ここで、式が複雑になるのを避けるために、ｍｉ＝ｐｉ−１とおく。
ｕ２＝ｍ１×（ｍ１ −１ｍｏｄ（ｍ２／ＧＣＤ（ｍ１，ｍ２）））×（ｃ２−ｃ１）＋ｃ１を計算する。
ここで、ＧＣＤ（ａ，ｂ，ｃ，・・・）は、ａ，ｂ，ｃ，・・・の最大公約数（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を示す。
次に、
ｕ３＝（ｍ１×ｍ２）×（（ｍ１×ｍ２）−１ｍｏｄ（ｍ３／ＧＣＤ（ｍ１，ｍ２，ｍ３）））×（ｃ３−ｕ２）＋ｕ２
を計算し、
ｕ４＝（ｍ１×ｍ２×ｍ３）×（（ｍ１×ｍ２×ｍ３）−１ｍｏｄ（ｍ４／ＧＣＤ（ｍ１，ｍ２，ｍ３，ｍ４）））
×（ｃ４−ｕ３）＋ｕ３を計算し、
以下順に、同様に、ｕ５，ｕ６，・・・，ｕｋ−１を計算し、
ｕｋ＝（ｍ１×ｍ２×ｍ３×・・・×ｍｋ−１）×（（ｍ１×ｍ２×ｍ３・・・×ｍｋ−１）−１
ｍｏｄ（ｍｋ／ＧＣＤ（ｍ１，ｍ２，ｍ３，ｍ４・・・，ｍｋ−１）））×（ｃｋ−ｕｋ−１）＋ｕｋ−１を計算する。
次に、ｃ＝ｕｋとする。こうして、ｃが得られる。
なお、ＣＲＴ部２６７よるｃｉ（ｉ＝１，２，．．．，ｋ）から，
ｃ ｍｏｄ ｐｉ−１＝ｃｉを満たすｃ ｍｏｄ Ｌを計算する方法については、非特許文献２に詳しく述べられている。
次に、ＣＲＴ部２６７は、得られたｃを加算モジュール２４３の呼び出し元のプログラムへ出力する。
（ｖ）の加算モジュール２４３による加算の動作
加算モジュール２４３による加算の動作について、図１５に示すフローチャートを用いて説明する。
べき乗演算部２６２は、加算モジュール２４３の呼び出し元のプログラムから入力データａ、ｂを受け取り（ステップＳ３０１）、受け取った入力データａ、ｂに対し、ｇａ＝ｇａｍｏｄ ｎ，ｇｂ＝ｇｂｍｏｄ ｎを計算する（ステップＳ３０２〜Ｓ３０３）。
次に、乗算部２６４は、ｇａ及びｇｂに対し、ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算する（ステップＳ３０４）。
次に、離散対数計算部２６６は、ｇａｂ＝ｇｃｉｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）となるｃｉｍｏｄ ｐｉ−１を求め（ステップＳ３０５）、ＣＲＴ部２６７は、中国人剰余定理（ＣＲＴ）により、ｃｉ＝ｃ ｍｏｄ ｐｉ−１（ｉ＝１，２，…，ｋ）となるｃを求め（ステップＳ３０６）、次に、得られたｃを加算モジュール２４３の呼び出し元のプログラムへ出力する（ステップＳ３０７）。
（ｖｉ）加算モジュール２４３による加算の動作の検証
以下で、加算モジュール２４３が、入力データａ、ｂに対し、データａ＋ｂを出力していることを検証する。
変換部２５１において、入力データａ、ｂに対し、ｇａ＝ｇａｍｏｄ ｎ，
ｇｂ＝ｇｂｍｏｄ ｎを計算し、主要演算部２５２において、
ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算する。このとき、ｇａｂ＝ｇ（ａ＋ｂ）ｍｏｄ ｎを満たすことは明らかである。
逆変換部２５３では、ｇとｇａｂからｇａｂ＝ｇｃｉｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）を満たすｃｉを計算し、その結果を用いて、ｃ＝ｃｉｍｏｄ ｐｉ−１を満たすｃ ｍｏｄ Ｌを計算する。このとき、ｃはｇａｂ＝ｇｃ
ｍｏｄ ｎを満たす。なぜなら、ａ＋ｂ＝ｃ ｍｏｄ Ｌより、ｇ（ａ＋ｂ＋ｃ）＝１ ｍｏｄ ｎとなるためである。したがって、ｇ（ａ＋ｂ）ｍｏｄ ｎ＝ｇｃｍｏｄ ｎを満たすため、ａ＋ｂ＝ｃ ｍｏｄ（（ｐ１−１）×（ｐ２−１）×…×（ｐｋ−１））を満たす。ａ＜Ｌ／２，ｂ＜Ｌ／２よりａ＋ｂ＜Ｌであるので、加算モジュール２４３は、入力データａと入力データｂとの加算結果であるデータａ＋ｂを出力していることになる。
１．４ 第１の実施の形態の効果
加算モジュール２４３は、加算を行う値を変換している。変換部２５１及び逆変換部２５３が解析困難な場合であっても、解析者はｇａ，ｇｂ，ｇａｂの値を知り、ｇａ，ｇｂからｇａｂを計算する処理を知る可能性がある。このような場合であっても、変換後の値ｇａ，ｇｂから変換前の値ａ，ｂを推測することは困難である。さらに、加算モジュール２４３は、主要演算部２５２において、乗算を行っており、この乗算という演算から加算モジュール２４３が加算を実現していることを推測することは困難である。したがって、加算を行う入力の値の隠蔽だけではなく、加算という演算自体も隠蔽できることになり、第１の実施の形態は有効である。
復号制御モジュール２４１は、鍵と他のデータとの加算において、加算モジュール２４３を利用している。そのため、加算の対象となる値、すわなち、鍵の値を推測することが困難になる。また、解析者が暗号アルゴリズムを知っている場合においても、鍵加算部分が、鍵との「加算」を行っていると推測しにくい。そのため、解析者が、暗号アルゴリズムの特徴である鍵加算部分をプログラム内から探し出す攻撃をした場合でも、鍵加算部分を探し出すことが困難なため、攻撃も困難となる。このように、解析者の攻撃が困難になり、本実施の形態は有効である。
２．変形例（１）
第１の実施の形態における加算モジュール２４３の代わりに、加算モジュール５０１を採用するとしてもよい。ここでは、加算モジュール５０１について説明する。
２．１ 加算モジュール５０１の構成
加算モジュール５０１は、加算モジュール２４３と同様に、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１６に示すように、変換部５１１、主要演算部５１２及び逆変換部５１３から構成されており、変換部５１１は、パラメタ格納部５２１、乱数発生部５２２及びべき乗演算部５２３を含み、主要演算部５１２は、パラメタ格納部５２４及び乗算部５２５を含み、逆変換部５１３は、パラメタ格納部５２６、離散対数計算部５２７及び還元部５２８を含む。
２．２ 各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール５０１で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐ，ｑを素数とし、ｎ＝ｐ２×ｑとする。ｐ，ｑは、逆変換部５１３により保持され、ｎは、それぞれ、変換部５１１及び主要演算部５１２により保持される。
加算モジュール５０１では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数でありｇ（ｐ−１）ｍｏｄ ｐ２の位数がｐである数とする。また、
ｇｐ＝ｇ（ｐ−１）ｍｏｄ ｐ２と定義する。
入力データａ、ｂは、ｐ／２より小さい非負整数とする。
２．３ 変換部５１１の構成
変換部５１１は、パラメタ格納部５２１、乱数発生部５２２及びべき乗演算部５２３から構成されている。
パラメタ格納部５２１は、ｎとｇとを記憶している。
乱数発生部５２２は、ｎ以下の乱数Ｒ１，Ｒ２を生成する。
べき乗演算部５２３は、入力データａ、ｂに対し、乱数発生部５２２により生成された乱数Ｒ１，Ｒ２を用いて、
ｇａ＝ｇ＾（ａ＋ｎ×Ｒ１）ｍｏｄ ｎ、
ｇｂ＝ｇ＾（ｂ＋ｎ×Ｒ２）ｍｏｄ ｎを計算する。
なお、本明細書において、記号「＾」は、べき乗を示す演算子である。例えば、ａ＾ｂ＝ａｂである。本明細書において、表現上の都合により、ａ＾ｂ及び
ａｂの両方の表記を使い分けている。
次に、べき乗演算部５２３は、計算結果ｇａ，ｇｂを主要演算部５１２へ出力する。
２．４ 主要演算部５１２の構成
主要演算部５１２は、パラメタ格納部５２４及び乗算部５２５から構成されている。
パラメタ格納部５２４は、ｎを記憶している。
乗算部５２５は、べき乗演算部５２３から計算結果ｇａ，ｇｂを受け取り、受け取ったｇａ，ｇｂに対し、
ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算し、計算結果ｇａｂを逆変換部５１３へ出力する。
２．５ 逆変換部５１３の構成
逆変換部５１３は、パラメタ格納部５２６、離散対数計算部５２７及び還元部５２８から構成されている。
パラメタ格納部５２６は、ｐを格納している。
離散対数計算部５２７は、乗算部５２５から計算結果ｇａｂを受け取り、受け取ったｇａｂに対し、パラメタ格納部５２６に格納されているｐを用いて、
ｃｐ＝ｇａｂ （ｐ−１）ｍｏｄ ｐ２を計算し、次に、ｃｐを還元部５２８へ出力する。
還元部５２８は、離散対数計算部５２７からｃｐを受け取り、
受け取ったｃｐを用いて、ｍｏｄ ｐ２におけるｇｐに対するｃｐの離散対数ｃを計算し、計算して得られたｃを、呼び出し元のプログラムへ出力する。
還元部５２８におけるｃの計算方法については、特許文献２に詳しく述べられている。具体的には、以下のように行う。
ｃｐに対し、ｃ＝（ｃｐ−１）／（ｇｐ−１）ｍｏｄ ｐとしてｃを求める。
２．６ 加算モジュール５０１による加算の動作
加算モジュール５０１による加算の動作について、図１７に示すフローチャートを用いて説明する。
べき乗演算部５２３は、呼び出し元のプログラムから入力データａ、ｂを受け取り（ステップＳ３１１）、乱数発生部５２２は、ｎ以下の乱数Ｒ１，Ｒ２を生成し（ステップＳ３１２）、べき乗演算部５２３は、
ｇａ＝ｇ＾（ａ＋ｎ×Ｒ１）ｍｏｄ ｎ、
ｇｂ＝ｇ＾（ｂ＋ｎ×Ｒ２）ｍｏｄ ｎを計算する（ステップＳ３１３〜Ｓ３１４）。
なお、本明細書において、記号「＾」は、べき乗を示す演算子であり、例えば、ａ＾ｂ＝ａｂである。本明細書では、場合によって、「ａ＾ｂ」及び「ａｂ」の両方の表記を使い分けている。
次に、乗算部５２５は、ｇａｂ＝ｇａ×ｇｂｍｏｄ ｎを計算する（ステップＳ３１５）。
次に、離散対数計算部５２７は、ｃｐ＝ｇａｂ （ｐ−１）ｍｏｄ ｐ２を計算し（ステップＳ３１６）、還元部５２８は、ｃ＝（ｃｐ−１）／（ｇｐ−１）ｍｏｄ ｐとしてｃを求め（ステップＳ３１７）、次に、ｃ（＝ａ＋ｂ）を呼び出し元のプログラムへ出力する（ステップＳ３１８）。
２．７ 加算モジュール５０１による加算の動作の検証
以下において、加算モジュール５０１が、入力データａ、ｂに対し、ａ＋ｂを出力していることを検証する。
変換部５１１において、ａ，ｂに対し、
ｇａ＝ｇ＾（ａ＋ｎ×Ｒ１）ｍｏｄ ｎ、
ｇｂ＝ｇ＾（ｂ＋ｎ×Ｒ２）ｍｏｄ ｎを計算し、
主要演算部５１２において、ｇａｂ＝ｇａ×ｇｂ ｍｏｄ ｎを計算する。このとき、ｇａｂ＝ｇ＾（ａ＋ｂ＋ｎ×（Ｒ１＋Ｒ２））ｍｏｄ ｎを満たすことは明らかである。逆変換部５１３では、まず、
ｃｐ＝ｇａｂ （ｐ−１）−ｇｐ＾（ａ＋ｂ＋ｎ×（Ｒ１＋Ｒ２））ｍｏｄ ｐ２となり、
ｇｐ ｐ＝１ ｍｏｄ ｐ２より、
ｇｐ ｎ＝１ ｍｏｄ ｐ２であるため、
ｃｐ＝ｇｐ （ａ＋ｂ）ｍｏｄ ｐ２となる。
逆変換部５１３では、さらに、ｍｏｄ ｐ２におけるｇｐに対するｃｐの離散対数ｃを求める。すなわち、
ｃｐ＝ｇｐ ｃｍｏｄ ｐ２が成り立つ。したがって、
ｃ＝ａ＋ｂ ｍｏｄ ｐであり、ａ＜ｐ／２，ｂ＜ｐ／２より、ａ＋ｂ＜ｐであるため、加算モジュール５０１は、入力データａとｂの加算結果ａ＋ｂを出力していることになる。
２．８ 加算モジュール５０１による効果
加算モジュール５０１は、第１の実施の形態１の加算モジュール２４３と同様に、加算を行う値を変換しており、変換部５１１及び逆変換部５１３が解析困難な場合に、変換後の値から変換前の値を推測することは困難である。さらに、加算モジュール５０１は、主要演算部５１２において、乗算を行っており、この乗算という演算から加算モジュール５０１が加算を実現していることを推測することは困難である。したがって、加算を行う入力の値の隠蔽だけではなく、加算という演算自体も隠蔽できることになり、この発明は有効である。
２．９ その他（１）
加算モジュール５０１では、剰余整数環Ｚ／ｎＺの乗法群における冪乗演算を変換部５１１で行い、その乗法群の部分群である剰余整数環Ｚ／ｐ２Ｚの乗法群における離散対数問題を逆変換部５１３で解いている。ここで、もし、解析者がｐ，ｑは分からないが、変換部５１１で冪乗演算を行っていることを解析できた場合を考える。このケースは、すなわち、逆変換部５１３のみが解析者により解析困難である場合である。この場合においても、ｎの大きさが素因数分解が困難なぐらい、例えば、１０２４ビットぐらいであれば、ｎの素因数分解結果であるｐ，ｑを得ることが困難になる。また、ｐ，ｑが得られなければ、剰余整数環Ｚ／ｎＺの乗法群における離散対数問題を解くことが困難になる。一般に乗法群の大きさ（元の数）が１０２４ビットの数のように大きい場合は、それ上の離散対数問題も困難になる。加算モジュール５０１では、ｐが既知の場合は逆変換部５１３における逆変換の方法によって、Ｚ／ｐ２Ｚの乗法群における離散対数問題を容易に解けるようになる。加算モジュール５０１における変換はこのように、ｐが既知であれば逆変換が容易であるが、既知でなければ困難であることを利用している点が、加算モジュール２４３１と異なる。
２．１０ その他（２）
加算モジュール５０１は、次のように構成してもよい。
ｐ，ｑを素数とし、ｎ＝ｐｍ×ｑとする。ｍは、正整数である。また、加算モジュール５０１では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数でありｇ（ｐ−１）ｍｏｄ ｐｍの位数がｐである数とする。また、ｇｐ＝ｇ（ｐ−１）ｍｏｄ ｐｍと定義する。
離散対数計算部５２７は、乗算部５２５から計算結果ｇａｂを受け取り、受け取ったｇａｂに対し、パラメタ格納部５２６に格納されているｐを用いて、
ｃｐ＝ｇａｂ （ｐ−１）ｍｏｄ ｐｍを計算し、次に、ｃｐを還元部５２８へ出力する。
還元部５２８は、離散対数計算部５２７からｃｐを受け取り、
受け取ったｃｐを用いて、ｍｏｄ ｐｍにおけるｇｐに対するｃｐの離散対数ｃを計算し、計算して得られたｃを、呼び出し元のプログラムへ出力する。
３．変形例（２）
第１の実施の形態における加算モジュール２４３の代わりに、加算モジュール６０１を採用するとしてもよい。ここでは、加算モジュール６０１について説明する。加算モジュール６０１は、楕円曲線上のスカラ倍演算を利用している。楕円曲線については、非特許文献３に詳しく説明されている。
３．１ 加算モジュール６０１の構成
加算モジュール６０１は、加算モジュール２４３と同様に、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１８に示すように、変換部６１１、主要演算部６１２及び逆変換部６１３から構成されており、変換部６１１は、パラメタ格納部６２１及びスカラ倍演算部６２２を含み、主要演算部６１２は、パラメタ格納部６２３及び楕円曲線加算部６２４を含み、逆変換部６１３は、パラメタ格納部６２５、還元部６２６及び離散対数計算部６２７を含む。
３．２ 各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール６０１で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐ、ｑを素数とし、ｎ＝ｐ×ｑとする。ｐ、ｑは、逆変換部６１３により保持され、ｎは、それぞれ、変換部６１１及び主要演算部６１２により保持されている。
楕円曲線Ｅの方程式を
ｙ２＝ｘ３＋Ａ×ｘ＋Ｂとする。ここで、Ａ、Ｂは、楕円曲線Ｅのパラメータである。
Ｇ＝（ｘｇ，ｙｇ）ｍｏｄ ｎを楕円曲線Ｅ上の点とする。すなわち、
ｙｇ ２＝ｘｇ ３＋Ａ×ｘｇ＋Ｂ ｍｏｄ ｎを満たす。
Ａ、Ｂ、Ｇは、変換部６１１、主要演算部６１２、逆変換部６１３により保持される。
楕円曲線Ｅの方程式をもつ体ＧＦ（ｐ）上の楕円曲線の点から構成される群をＥ（ＧＦ（ｐ））と表現する。同様に、楕円曲線Ｅの方程式をもつ体ＧＦ（ｑ）上の楕円曲線の点から構成される群をＥ（ＧＦ（ｑ））と表現する。
Ｚ／ｎＺ上の楕円曲線の群を
Ｅ（ＧＦ（ｐ））とＥ（ＧＦ（ｑ））との
直積Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））で表す。なお、Ｚ／ｎＺは体ではなく、環であるため、数学的には楕円曲線とは呼べないが、ここでは便宜上、その直積Ｚ／ｎＺ上の楕円曲線の群とよぶ。
Ｅ（ＧＦ（ｐ））上の点Ｇｐ＝（ｘｇｐ，ｙｇｐ）ｍｏｄ ｐと、
Ｅ（ＧＦ（ｑ））上の点Ｇｑ＝（ｘｇｑ，ｙｇｑ）ｍｏｄ ｑとに対応するＺ／ｎＺ上の楕円曲線Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））の
点Ｇ＝（ｘｇ，ｙｇ）ｍｏｄ ｎについて、
ｘｇを
ｘｇｍｏｄ ｐ＝ｘｇｐ及び
ｘｇｍｏｄ ｑ＝ｘｇｑを満たす数と定義し、
ｙｇを
ｙｇｍｏｄ ｐ＝ｙｇｐ及び
ｘｇｍｏｄ ｑ＝ｘｇｑを満たす数と定義する。
この定義より、
Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））上の点Ｇ＝（ｘｇ，ｙｇ）ｍｏｄ ｎに対応するＥ（ＧＦ（ｐ））上の点Ｇｐを
Ｇｐ＝（ｘｇｐ，ｙｇｐ）ｍｏｄ ｐとし、
Ｅ（ＧＦ（ｑ））上の点ＧｑをＧｑ＝（ｘｇｑ，ｙｇｑ）とすることで、
Ｅ（ＧＦ（ｐ）），Ｅ（ＧＦ（ｑ））をＥ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））の部分群とみなす。
加算部６０１においては、上記楕円曲線Ｅは、ｍｏｄ ｐでの楕円曲線の位数、すなわち、点の個数が、ｐであるとする。このような体ＧＦ（ｐ）上の楕円曲線をアノマラス（Ａｎｏｍａｌｏｕｓ）楕円曲線とよぶ。
さらに、ｍｏｄ ｑでの楕円曲線の位数がｑである、すなわち、ＧＦ（ｑ）上でもアノマラス楕円曲線であるとする。
このとき、Ｚ／ｎＺ上の楕円曲線を、スーパーアノマラス（Ｓｕｐｅｒ−Ａｎｏｍａｌｏｕｓ）楕円曲線とよぶ。スーパーアノマラス楕円曲線については非特許文献４に詳しく説明されている。
このとき、Ｚ／ｎＺ上の楕円曲線の群はＥ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））であるので、楕円曲線の位数は、
ｎ（＝ｐ×ｑ）となる。
入力データａ、ｂは、ｐ／２より小さい非負整数とする。
３．３ 変換部６１１の構成
変換部６１１は、パラメタ格納部６２１及びスカラ倍演算部６２２から構成されている。
パラメタ格納部６２１は、ｎ、Ａ、Ｂ、Ｇを記憶している。
スカラ倍演算部６２２は、呼び出し元のプログラムから、入力データａ、ｂを受け取り、受け取った入力データａ、ｂに対し、パラメータ格納部６２１に格納されているｎ、Ａ、Ｂ、Ｇを用いて、
Ｇａ＝ａ＊Ｇ ｍｏｄ ｎ及び
Ｇｂ＝ｂ＊Ｇ ｍｏｄ ｎを計算する。
ここで、ａ＊Ｇは、Ｇをａ回、楕円曲線の加算により足し合わせて得られる点である。また、ａ＊Ｇ ｍｏｄ ｎは、ａ＊Ｇの各座標に、ｍｏｄ ｎを施したものである。
スカラ倍演算部６２２は、計算結果Ｇａ，Ｇｂを主要演算部６１２へ出力する。
３．４ 主要演算部６１２の構成
主要演算部６１２は、パラメタ格納部６２３及び楕円曲線加算部６２４から構成されている。
パラメタ格納部６２３は、ｎ、Ａ、Ｂを記憶している。
楕円曲線加算部６２４は、スカラ倍演算部６２２から計算結果Ｇａ，Ｇｂを受け取り、パラメタ格納部６２３に記憶されているｎ、Ａ、Ｂを用いて、Ｇａ及びＧｂに対して、楕円曲線加算を実行して、
Ｇａｂ＝Ｇａ＋Ｇｂｍｏｄ ｎ
を計算し、その計算結果Ｇａｂを逆変換部６１３へ出力する。
３．５ 逆変換部６１３の構成
逆変換部６１３は、パラメタ格納部６２５、還元部６２６及び離散対数計算部６２７から構成されている。
パラメタ格納部６２５は、ｐ，Ａ，Ｂ，Ｇ ｍｏｄ ｐを記憶している。
還元部６２６は、楕円曲線加算部６２４から計算結果Ｇａｂを受け取り、受け取ったＧａｂに対し、パラメタ格納部６２５に格納されているｐを用いて、
Ｇａｂｐ＝Ｇａｂｍｏｄ ｐを計算し、計算結果を離散対数計算部６２７へ出力する。
離散対数計算部６２７は、Ｇ ｍｏｄ ｐに対するＧａｂｐの離散対数ｃ ｍｏｄ ｐを計算する。つまり、Ｇａｂｐ＝ｃ＊Ｇ ｍｏｄ ｐのｃを求める。次に、ｃを呼び出し元のプログラムへ出力する。
ここで、楕円離散対数計算部６２７におけるｃは、アノマラス楕円曲線上の離散対数問題の解である。アノマラス楕円曲線上の離散対数問題を解く方法については、非特許文献３の８８〜９１ページに詳しく説明されている。計算方法はこの文献に記載されているため、ここでは説明を省略する。
３．６ 加算モジュール６０１の動作
加算モジュール６０１の動作について、図１９に示すフローチャートを用いて説明する。
スカラ倍演算部６２２は、呼び出し元のプログラムから、入力データａ、ｂを受け取り（ステップＳ３２１）、受け取った入力データａ、ｂに対し、パラメータ格納部６２１に格納されているｎ、Ａ、Ｂ、Ｇを用いて、
Ｇａ＝ａ＊Ｇ ｍｏｄ ｎ及び
Ｇｂ＝ｂ＊Ｇ ｍｏｄ ｎを計算する（ステップＳ３２２〜Ｓ３２３）。
次に、楕円曲線加算部６２４は、
Ｇａｂ＝Ｇａ＋Ｇｂｍｏｄ ｎを計算する（ステップＳ３２４）。
次に、還元部６２６は、
Ｇａｂｐ＝Ｇａｂｍｏｄ ｐを計算し（ステップＳ３２５）、
離散対数計算部６２７は、Ｇ ｍｏｄ ｐに対するＧａｂｐの離散対数ｃを計算し（ステップＳ３２６）、次に、ｃを呼び出し元のプログラムへ出力する（ステップＳ３２７）。
３．７ 加算モジュール６０１の動作検証
以下において、加算モジュール６０１が、入力データａ，ｂに対し、ａ＋ｂを計算して出力していることを検証する。
変換部６１１において、ａ，ｂに対し、
Ｇａ＝ａ＊Ｇ ｍｏｄ ｎ，
Ｇｂ＝ｂ＊Ｇ ｍｏｄ ｎを計算し、
主要演算部６１２において、
Ｇａｂ＝Ｇａ＋Ｇｂ ｍｏｄ ｎを計算する。
このとき、Ｇａｂ＝（ａ＋ｂ）＊Ｇ ｍｏｄ ｎを満たすことは明らかである。
逆変換部６１３において、まず、
Ｇａｂｐ＝Ｇａｂ ｍｏｄ ｐを計算し、
Ｇ ｍｏｄ ｐに対するＧａｂｐの離散対数ｃを求める。
すなわち、Ｇａｂｐ＝ｃ＊Ｇ ｍｏｄ ｐが成り立つ。
従って、ｃ＝ａ＋ｂ ｍｏｄ ｐであり、ａ＜ｐ／２，ｂ＜ｐ／２より、ａ＋ｂ＜ｐであるため、加算モジュール６０１は、入力データａとｂとの加算結果ａ＋ｂを出力していることになる。
３．８ 加算モジュール６０１の効果
加算モジュール６０１は、加算モジュール２４３及び、加算モジュール５０１と同様に、加算を行う値を変換しており、変換部６１１及び逆変換部６１３が解析困難な場合に、変換後の値から変換前の値を推測することは困難である。
さらに、加算モジュール６０１は、主要演算部６１２において、楕円曲線加算を行っており、この楕円曲線加算という演算から加算モジュール６０１が整数の加算を実現していることを推測することは困難である。
従って、整数の加算を行う入力の値の隠蔽だけではなく、整数の加算という演算自体も隠蔽できることになり、加算モジュール６０１は、有効である。
３．９ その他
加算モジュール６０１では、Ｚ／ｎＺ上の楕円曲線の群Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））のスカラ倍演算を変換部で行い、その部分群であるＥ（ＧＦ（ｐ））における離散対数問題を逆変換部で解いている。
ここで、もし、解析者がｐ，ｑは分からないが、変換部で冪乗演算を行っていることを解析できた場合を考える。このケースは、すなわち、逆変換部のみが解析者により解析困難である場合である。
この場合においても、ｎの大きさが素因数分解が困難なぐらい、例えば、１０２４ビットぐらいであれば、ｎの素因数分解結果であるｐ，ｑを得ることが困難になる。また、ｐ，ｑが得られなければ、Ｚ／ｎＺ上の楕円曲線の群Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））における離散対数問題を解くことが困難になる。
一般に群の大きさ（元の数）が１０２４ビットの数のように大きい場合は、それ上の離散対数問題も困難になる。加算モジュール６０１では、ｐが既知の場合は逆変換モジュールにおける逆変換の方法によって、楕円曲線の群Ｅ（ＧＦ（ｐ））における離散対数問題を容易に解けるようになる。加算モジュール６０１における変換はこのように、ｐが既知であれば逆変換が容易であるが、既知でなければ困難であることを利用している点が、第１の実施の形態と異なる。
４．その他の変形例
なお、本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）加算モジュール２４３、５０１及び６０１において、２個の非負整数ａ及びｂの加算を行うとしているが、各加算モジュールは、３個、又はそれ以上の個数の非負整数の加算を行うとしてもよい。この場合に、各加算モジュールの変換部は、それぞれの非負整数を変換し、加算モジュール２４３及び５０１の主要演算部は、それぞれの変換結果に対して乗算を施し、加算モジュール６０１の主要演算部は、それぞれの変換結果に対して、楕円曲線加算を施す。
（２）復号制御モジュール２４１において、鍵加算部分のみに加算モジュール２４３、５０１又は６０１を使用するとしているが、他の加算部分において、各加算モジュールを使用するとしてもよい。
（３）第１の実施の形態では、各加算モジュールを復号制御モジュール２４１に適用するとしているが、上記の暗号制御モジュール１４１や、他の暗号プログラム、復号プログラム、デジタル署名を生成する署名生成プログラムに適用するとしてもよい。このように、加算による演算が出現する情報処理演算であれば、どのようなものであっても適用することができる。
（４）加算モジュール２４３、５０１及び６０１において、剰余整数環の乗法群、楕円曲線上の群を利用したが、その他の群を利用するとしてもよい。
また、加算モジュール２４３及び５０１においては、冪乗演算を行って、整数を変換し、加算モジュール６０１においては、楕円曲線のスカラ倍演算を行って、整数を変換するとしているが、その他の群の冪演算を行うことにより変換するとしてもよい。
ここで、冪演算とは、群の基本演算、すなわち、剰余整数環では乗算を、また楕円曲線上の群では楕円曲線加算を、整数回行った結果を求める演算である。
したがって、剰余整数環の乗法群の冪演算は冪乗演算、楕円曲線上の群の冪演算は楕円曲線のスカラ倍演算である。
加算モジュール５０１では、剰余整数環Ｚ／ｎＺの乗法群の「部分群」である、剰余整数環Ｚ／ｐ２Ｚの乗法群において離散対数問題を解いている。その他の群を使用する場合は、加算モジュール５０１と同様に逆変換部でその他の群の「部分群」において離散対数問題を解くとしてもよい。
（５）加算モジュール２４３において、ｇは、ｍｏｄ ｐｉ（ｉ＝１，２，…，ｋ）において原始元としたが、原始元でなくてもよい。
その場合は、ｇｍｉ＝１ ｍｏｄ ｐｉ（ｍｉ＞０）となるｍｉに対し、
Ｌ＝ｍ１×ｍ２×…×ｍｋとする。
（６）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレィユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又は前記ハードディスクユニットには、コンピュータプログラムが記憶されている。ここで、コンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。つまり、前記マイクロプロセッサは、前記コンピュータプログラムに含まれる各命令を１個ずつ読み出し、読み出した命令を解読し、解読結果に従って動作する。
（７）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
（８）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、などから構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
（９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ−ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
（１１）以上説明したように、本発明によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができる。したがって、本技術を用いた難読化ソフトウェアをＩＣカード等の機器に組み込むことは有用である。
本発明を構成する各装置、各方法及び各コンピュータプログラムは、情報を安全かつ確実に扱う必要があるあらゆる産業において、経営的に、また継続的及び反復的に使用することができる。また、本発明を構成する各装置、各方法及び各コンピュータプログラムは、電器機器製造産業において、経営的に、また継続的及び反復的に、製造し、販売することができる。
本発明は、コンピュータプログラムの解析を困難にする耐タンパーソフト技術に関する。
従来より、コンピュータプログラムに従って動作するプロセッサを備えるコンピュータシステムにおいて、秘密の通信や相手の認証をする際に、暗号プログラム（暗号ソフトウェア）が用いられる。
このとき、鍵や暗号アルゴリズムなどを含む暗号ソフトウェアをコンピュータシステムにそのまま実装すると、実装された暗号ソフトウェアを解析された場合に、簡単に不正な使用がされてしまう。このような問題点を解決するために、特許文献１は、演算及びデータの領域を変換することにより、元の演算及びデータを推測困難にする技術を開示している。
例えば、入力データａ、ｂに対し、加算を施して、加算結果ａ＋ｂを出力する加算プログラムを想定する。
予め、整数ｋ1 、ｋ2 を保持し、これらを用いて、入力データａ、ｂを、それぞれｔa ＝ｋ1×ａ＋ｋ2 ，ｔb ＝ｋ1 ×ｂ＋ｋ2 に変換する。ここで、「×」は、乗算を示す演算子である。
次にｔa ，ｔb に対して、ｔab＝ｔa ＋ｔbを計算する。
さらに、ｔabに対して、ｃ＝（ｔab−２ｋ2 ）／ｋ1 を計算する。
次に、演算結果ｃを出力する。
上記のように処理すると、
ｔab＝ｔa ＋ｔb
＝ｋ1 ×ａ＋ｋ2 ＋ｋ1 ×ｂ＋ｋ2
＝ｋ1 ×（ａ＋ｂ）＋２ｋ2 より、
（ｔab−２ｋ2 ）／ｋ1 ＝ａ＋ｂが成り立つ。
従って、ｃ＝ａ＋ｂとなり、加算プログラムによりａとｂの加算結果が得られる。
米国特許第６５９４７６１号公報 日本国特許第３４０２４４１号特許公報 日本国特許第２７６０７９９号特許公報 岡本龍明、山本博資、「現代暗号」、産業図書（１９９７年） Henri Cohen, "A Course in Computational Algebraic NumberTheory", GTM 138, Springer-Verlag, 1993, pp.19-20 I. Blake, G. Seroussi and N. Smart, "Elliptic Curves inCryptography", CAMBRIDGE UNIVERSITY PRESS, 1999 N. Kunihiro and K. Koyama, "Two Discrete Log Algorithms forSuper-Anomalous Elliptic Curves", SCIS'99, 1999, pp. 869-874
上記従来例の方式によると、変換後の領域においても通常の加算と同じ加算を行うため、変換後の演算を解析することにより、変換前の演算が加算であることが推測される可能性があるという問題点がある。プログラムにおいて、加算をしている箇所が、解析者により知られた場合に、その前後の部分がさらに集中して解析されると、どのような変換を行っているか知られてしまう恐れがある。ゆえに、可能な限り、変換前の演算を知られないようにした方がよい。
本発明は、演算の内容を解析しにくくすることができるコンピュータシステム、コンピュータプログラム、加算方法及び記録媒体を提供することを目的とする。
上記目的を達成するために、本発明は、２個以上の整数を加算するコンピュータシステムであって、複数のコンピュータ命令が組み合わされて構成されるコンピュータプログラムを記憶しているメモリ部と、前記記憶手段に記憶されている前記コンピュータプログラムから１個ずつコンピュータ命令を読み出し、解読し、その解読結果に応じて動作するプロセッサとを備え、前記コンピュータプログラムは、各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換命令群と、生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算命令群と、群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換命令群とを含むことを特徴とする。
この構成によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができる。
ここで、前記コンピュータシステムは、対象情報を安全かつ確実に扱う情報セキュリティ装置であって、前記コンピュータプログラムは、さらに、対象情報にセキュリティ処理を施すセキュリティ命令群を含み、前記セキュリティ命令群は、加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いるとしてもよい。
この構成によると、セキュリティ処理における加算において、使用する値及び演算を隠蔽することができる。
ここで、前記群Ｇは、剰余整数環の乗法群であり、前記変換命令群は、各整数に冪乗を施し、演算命令群は、前記元に対して、乗算を施すとしてもよい。
この構成によると、変換後に施される演算は、乗算であり、加算と異なるので、演算を隠蔽することができる。
ここで、前記群Ｇは、２つの素数ｐ，ｑと正整数ｍを用いて表される
ｎ＝ｐm ×ｑに対し、Ｚ／ｎＺの乗法群であり、前記変換命令群は、各整数に冪乗を施し、演算命令群は、前記元に対して、乗算を施すとしてもよい。
この構成によると、変換後に施される演算は、乗算であり、加算と異なるので、演算を隠蔽することができる。
ここで、前記部分群Ｓは、アノマラス楕円曲線の群であり、前記変換命令群は、各整数に楕円曲線上の乗算を施し、演算命令群は、前記元に対して、楕円曲線上の加算を施すとしてもよい。また、前記群Ｇは、二つのアノマラス楕円曲線の群の直積であり、前記変換命令群は、各整数に楕円曲線上の乗算を施し、演算命令群は、前記元に対して、楕円曲線上の加算を施すとしてもよい。
これらの構成によると、変換後に施される演算は、楕円曲線上の加算であり、整数の加算と異なるので、演算を隠蔽することができる。
ここで、さらに、前記逆変換命令群は、複数の冪数と、各冪数による冪乗値又は冪倍値とを対応付けて記憶しており、その対応付けを検索することにより、冪演算の逆算を求めるとしてもよい。
この構成によると、逆変換命令群による逆算が容易である。
ここで、前記情報セキュリティ装置は、鍵情報に基づいて対象情報を暗号化し又は復号し、前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報を暗号化し又は復号し、暗号化又は復号において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施すとしてもよい。
この構成によると、暗号化又は復号における加算において、使用する値及び演算を隠蔽することができる。
ここで、前記情報セキュリティ装置は、鍵情報に基づいて対象情報にデジタル署名を施し又は署名検証を施し、前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報にデジタル署名を施し又は署名検証を施し、デジタル署名又は署名検証において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施すとしてもよい。
この構成によると、デジタル署名又は署名検証における加算において、使用する値及び演算を隠蔽することができる。
以上説明したように、本発明の構成によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができ、その価値は大きい。
１．コンテンツ配信システム１０
本発明に係る第１の実施の形態としてのコンテンツ配信システム１０について説明する。
１．１ コンテンツ配信システム１０の構成
コンテンツ配信システム１０は、図１に示すように、コンテンツサーバ装置１００、配信サーバ装置３００ａ、放送装置３００ｂ、ＢＤ製造装置３００ｃ、パーソナルコンピュータ２００、デジタル放送受信装置２００ａ及びＢＤ再生装置２００ｂから構成されている。
コンテンツサーバ装置１００は、映像データ及び音データから構成される映画のコンテンツを記憶しており、配信サーバ装置３００ａからの要求に応じて、記憶しているコンテンツを暗号化して暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２１を介して接続されている配信サーバ装置３００ａへ送信する。配信サーバ装置３００ａは、暗号化コンテンツを受信し、インターネット２０を介して接続されているパーソナルコンピュータ２００へ暗号化コンテンツを送信する。パーソナルコンピュータ２００は、暗号化コンテンツを受信し、受信した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
また、コンテンツサーバ装置１００は、上記と同様に、放送装置３００ｂからの要求に応じて、暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２２を介して接続されている放送装置３００ｂへ送信する。放送装置３００ｂは、暗号化コンテンツを受信し、受信した暗号化コンテンツを放送波に乗せて放送し、デジタル放送受信装置２００ａは、放送波を受信し、受信した放送波から前記暗号化コンテンツを抽出し、抽出した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
さらに、コンテンツサーバ装置１００は、上記と同様に、ＢＤ製造装置３００ｃからの要求に応じて、暗号化コンテンツを生成し、生成した暗号化コンテンツを専用回線２３を介して接続されているＢＤ製造装置３００ｃへ送信する。ＢＤ製造装置３００ｃは、暗号化コンテンツを受信し、受信した暗号化コンテンツを記録媒体４００に書き込む。暗号化コンテンツが書き込まれた記録媒体４００は、販売されて利用者が購入する。利用者により、記録媒体４００が装着されたＢＤ再生装置２００ｂは、記録媒体４００から前記暗号化コンテンツを読み出し、読み出した暗号化コンテンツを復号して復号コンテンツを生成し、生成した復号コンテンツを再生して映像及び音を出力する。
１．２ コンテンツサーバ装置１００
コンテンツサーバ装置１００は、図２に示すように、マイクロプロセッサ１０１、ハードディスク部１０２、メモリ部１０３、入力制御部１０４、表示制御部１０５及び通信ユニット１０６などから構成されるコンピュータシステムである。入力制御部１０４及び表示制御部１０５は、それぞれ、キーボード１０７及びモニタ１０８に接続されている。また、通信ユニット１０６は、専用回線２１、２２及び２３を介して、それぞれ、配信サーバ装置３００ａ、放送装置３００ｂ及びＢＤ製造装置３００ｃに接続されている。
ハードディスク部１０２及びメモリ部１０３には、様々なコンピュータプログラムが記憶されており、マイクロプロセッサ１０１が、前記コンピュータプログラムに従って動作することにより、コンテンツサーバ装置１００は、その一部の機能を達成する。
（１）ハードディスク部１０２
ハードディスク部１０２は、図２に示すように、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・、鍵１２３、鍵１２４、鍵１２５、・・・、及び図示していないその他のコンピュータプログラムを記憶している。また、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・を記憶するための領域を備えている。
コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・は、それぞれ、鍵１２３、鍵１２４、鍵１２５、・・・、に対応しており、また、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・に対応している。
コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・は、それぞれ、映像データ及び音データが高効率に圧縮符号化された圧縮データである。
鍵１２３、鍵１２４、鍵１２５、・・・は、それぞれ、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・に、暗号化アルゴリズムを施して、暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・を生成する際に使用される暗号鍵であり、それぞれ、６４ビット長のデータである。ここで、前記暗号化アルゴリズムについては、後述する。
暗号化コンテンツ１２６、暗号化コンテンツ１２７、暗号化コンテンツ１２８、・・・は、それぞれ、コンテンツ１２０、コンテンツ１２１、コンテンツ１２２、・・・に、前記暗号化アルゴリズムが施されて生成された暗号化データである。
（２）メモリ部１０３
メモリ部１０３は、図２に示すように、コンテンツ配信プログラム１３１、コンテンツ暗号プログラム１３２、暗号プログラム１３３、送信プログラム１３４及び図示していないその他のプログラムを記憶している。これらのプログラムは、それぞれ、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ１０１により解読され実行される形式である。
以下において、各コンピュータプログラムの内容を説明するが、各コンピュータプログラムの内容の理解を容易にするために、機械語形式の命令コードを用いた表現ではなく、フローチャートにより各コンピュータプログラムの内容を表現し、フローチャートを用いて、各コンピュータプログラムを説明する。
（ａ）コンテンツ配信プログラム１３１
コンテンツ配信プログラム１３１は、図３に示すように、命令コード群Ｓ１０１、Ｓ１０２、Ｓ１０３及びＳ１０４を含んで構成されており、これらの命令コード群は、コンテンツ配信プログラム１３１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ１０１は、コンテンツサーバ装置１００の管理者からコンテンツの指定を受け付け、又はコンテンツの配信先の装置からコンテンツの指定を受け取ることを示す複数の命令コードを含む。
命令コード群Ｓ１０２は、コンテンツの配信先の装置の指定を受け取ることを示す複数の命令コードを含む。
命令コード群Ｓ１０３は、受け付けた指定又は受け取った指定により示されるコンテンツを指定して、コンテンツ暗号プログラム１３２を呼び出し、次に、コンテンツ暗号プログラム１３２により生成された暗号化コンテンツを暗号化コンテンツ１２６としてハードディスク部１０２へ書き込むことを示す複数の命令コードを含む。
命令コード群Ｓ１０４は、受け取った指定による配信先の装置と、生成されハードディスク部１０２に書き込まれた暗号化コンテンツとを指定して、送信プログラム１３４を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ１０４が実行されることにより、受け取った指定により示される配信先の装置へ、生成された暗号化コンテンツが送信される。
（ｂ）コンテンツ暗号プログラム１３２
コンテンツ暗号プログラム１３２は、図４に示すように、命令コード群Ｓ１１１、Ｓ１１２、Ｓ１１３、Ｓ１１４、Ｓ１１５及びＳ１１６を含んで構成されており、これらの命令コード群は、コンテンツ暗号プログラム１３２内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ１１１は、指定を受け付けたコンテンツ内におけるデータの位置をビットにより示す読出しポイントに、初期値として値「−６４」を代入し、指定を受け付けたコンテンツに対応する鍵をハードディスク部１０２から読み出すことを示す複数の命令コードを含む。ここで、値「−６４」を有する読出しポイントは、前記コンテンツ外の位置を示しているが、読出しポイントに初期値として値「−６４」を代入するのは、後述する命令コード群Ｓ１１２の最初の実行において、読出しポイントが、前記コンテンツの先頭の位置を示すようにするためである。後述する命令コード群Ｓ１１２の最初の実行において、前記読出しポイントに６４ビットが加算され、読出しポイントは、値「０」を有することになり、この読出しポイントは、前記コンテンツの先頭の位置を示している。
命令コード群Ｓ１１２は、前記読出しポイントに６４ビットを加算し、次に、前記コンテンツにおいて、加算された読出しポイントにより示される位置から１ブロック分のデータの読出しを試みることを示す複数の命令コードと、読出しポイントにより示される位置が前記コンテンツ内であるならば、当該位置から１ブロック分のデータを読み出し、読出しポイントにより示される位置が前記コンテンツの外を示すならば、ブロックの読み出しが終了したことを示す終了コードを出力することを示す複数の命令コードとを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ１１３は、命令コード群Ｓ１１２から終了コードが出力された場合には、コンテンツ暗号プログラム１３２による処理を終了し、終了コードが出力されていない場合には、次の命令コード群Ｓ１１４に制御を移すことを示す複数の命令コードを含む。
命令コード群Ｓ１１４は、読み出された前記鍵及び読み出された前記１ブロックを伴って、暗号プログラム１３３を呼び出すことを示す複数の命令コードを含む。
命令コード群Ｓ１１５は、暗号プログラム１３３により生成された１個の暗号化ブロックを、ハードディスク部１０２に対して、暗号化コンテンツ１２６の一部として書き込むことを示す複数の命令コードを含む。
命令コード群Ｓ１１６は、次に、制御を命令コード群Ｓ１１２へ移すことを示す命令コードを含む。
（ｃ）暗号プログラム１３３
暗号プログラム１３３は、図５に示すように、暗号制御モジュール１４１、拡張鍵生成モジュール１４２及びローテーションモジュールＡ１４３、ローテーションモジュールＢ１４４、ローテーションモジュールＣ１４５及びローテーションモジュールＤ１４６から構成されている。
各モジュールは、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ１０１により解読され実行される形式である。
（拡張鍵生成モジュール１４２）
拡張鍵生成モジュール１４２は、呼出し元のプログラムから、６４ビットの鍵Ｋを受け取り、受け取った鍵Ｋを用いて、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８を生成し、生成した８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８を呼出し元のプログラムへ出力する複数の命令コードを含む。
なお、拡張鍵を生成する方法については、特許文献３に記載されているため、説明を省略する。
（ローテーションモジュールＡ１４３）
ローテーションモジュールＡ１４３は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ２（Ｘ）＋Ｘ＋１を演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ２（Ｘ）は、３２ビットのデータＸを左へ２ビット循環シフトすることを示す。なお、３２ビットのデータＸを左へ２ビット循環シフトするとは、データＸを最上位２ビットＸ１と最下位３０ビットＸ２に分け、Ｘ２を、データＸの最上位３０ビットにシフトし、Ｘ１をデータＸの最下位２ビットにシフトすることを言う。
（ローテーションモジュールＢ１４４）
ローテーションモジュールＢ１４４は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ４（Ｘ） ＸＯＲ Ｘを演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ４（Ｘ）は、データＸを左へ４ビット循環シフトすることを示し、ＸＯＲは、排他的論理和を示す。なお、３２ビットのデータＸを左へ４ビット循環シフトするとは、データＸを最上位４ビットＸ１と最下位２８ビットＸ２に分け、Ｘ２を、データＸの最上位２８ビットにシフトし、Ｘ１をデータＸの最下位４ビットにシフトすることを言う。
（ローテーションモジュールＣ１４５）
ローテーションモジュールＣ１４５は、呼出し元のプログラムから３２ビットのデータＸを受け取り、データＸに対して、Ｒｏｔ８（Ｘ） ＸＯＲ Ｘを演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ８（Ｘ）は、データＸを左へ８ビット循環シフトすることを示す。なお、３２ビットのデータＸを左へ８ビット循環シフトするとは、データＸを最上位８ビットＸ１と最下位２４ビットＸ２に分け、Ｘ２を、データＸの最上位２４ビットにシフトし、Ｘ１をデータＸの最下位８ビットにシフトすることを言う。
（ローテーションモジュールＤ１４６）
ローテーションモジュールＤ１４６は、呼出し元のプログラムから３２ビットのデータＸ及び３２ビットのデータＹを受け取り、データＸ及びデータＹに対して、Ｒｏｔ１６（Ｘ）＋（Ｘ ＡＮＤ Ｙ）を演算し、演算結果を呼出し元のプログラムへ出力する複数の命令コードを含む。
ここで、Ｒｏｔ１６（Ｘ）は、データＸを、左へ１６ビット循環シフトすることを示し、ＡＮＤは、論理積を示す。なお、３２ビットのデータＸを左へ１６ビット循環シフトするとは、データＸを最上位１６ビットＸ１と最下位１６ビットＸ２に分け、Ｘ２を、データＸの最上位１６ビットにシフトし、Ｘ１をデータＸの最下位１６ビットにシフトすることを言う。
（暗号制御モジュール１４１）
暗号制御モジュール１４１は、図６及び図７に示すように、命令コード群Ｓ１２１〜命令コード群Ｓ１４０を含んで構成されており、これらの命令コード群は、暗号制御モジュール１４１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含む。
命令コード群Ｓ１２１は、暗号制御モジュール１４１の呼出し元のプログラムから、１ブロックの平文Ｍ及び鍵Ｋを受け取ることを示す複数の命令コードを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ１２２は、受け取った鍵Ｋを伴って、拡張鍵生成モジュール１４２を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ１２２が実行されると、その結果、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８が生成される。
命令コード群Ｓ１２３は、データＭ１を定義する命令コード及びデータＭ２を定義する命令コードを含む。データＭ１は、受け取った平文Ｍの最上位の３２ビットのデータであり、データＭ２は、受け取った平文Ｍの最下位の３２ビットのデータである。
命令コード群Ｓ１２４は、データＭ１とデータＭ２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１に格納することを示す複数の命令コードを含む。
ＴＭＰ１＝Ｍ１ ＸＯＲ Ｍ２
命令コード群Ｓ１２５は、変数ＴＭＰ１と拡張鍵Ｋ１とに加算を施し、その演算結果を変数ＴＭＰ２に格納することを示す複数の命令コードを含む。
ＴＭＰ２＝ＴＭＰ１ ＋ Ｋ１
命令コード群Ｓ１２６は、変数ＴＭＰ２を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ３に格納することを示す複数の命令コードを含む。
ＴＭＰ３＝Ｒｏｔ２（ＴＭＰ２）＋ＴＭＰ２＋１
命令コード群Ｓ１２７は、変数ＴＭＰ３を伴って、ローテーションモジュールＢ１４４を呼び出し、その演算結果を変数ＴＭＰ４に格納することを示す複数の命令コードを含む。
ＴＭＰ４＝Ｒｏｔ４（ＴＭＰ３） ＸＯＲ ＴＭＰ３
命令コード群Ｓ１２８は、変数ＴＭＰ４とデータＭ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ５に格納することを示す複数の命令コードを含む。
ＴＭＰ５＝ＴＭＰ４ ＸＯＲ Ｍ１
命令コード群Ｓ１２９は、変数ＴＭＰ５と拡張鍵Ｋ２とに加算を施し、その演算結果を変数ＴＭＰ６に格納することを示す複数の命令コードを含む。
ＴＭＰ６＝ＴＭＰ５ ＋ Ｋ２
命令コード群Ｓ１３０は、変数ＴＭＰ６を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ７に格納することを示す複数の命令コードを含む。
ＴＭＰ７＝Ｒｏｔ２（ＴＭＰ６）＋ＴＭＰ６＋１
命令コード群Ｓ１３１は、変数ＴＭＰ７を伴って、ローテーションモジュールＣ１４５を呼び出し、その演算結果を変数ＴＭＰ８に格納することを示す複数の命令コードを含む。
ＴＭＰ８＝Ｒｏｔ８（ＴＭＰ７） ＸＯＲ ＴＭＰ７
命令コード群Ｓ１３２は、変数ＴＭＰ８と拡張鍵Ｋ３とに加算を施し、その演算結果を変数ＴＭＰ９に格納することを示す複数の命令コードを含む。
ＴＭＰ９＝ＴＭＰ８ ＋ Ｋ３
命令コード群Ｓ１３３は、変数ＴＭＰ９を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ１０に格納することを示す複数の命令コードを含む。
ＴＭＰ１０＝Ｒｏｔ２（ＴＭＰ９）＋ＴＭＰ９＋１
命令コード群Ｓ１３４は、変数ＴＭＰ７及び変数ＴＭＰ１０を伴って、ローテーションモジュールＤ１４６を呼び出し、その演算結果を変数ＴＭＰ１１に格納することを示す複数の命令コードを含む。
ＴＭＰ１１＝Ｒｏｔ１６（ＴＭＰ１０）＋（ＴＭＰ１０ ＡＮＤ ＴＭＰ７）
命令コード群Ｓ１３５は、変数ＴＭＰ１１と変数ＴＭＰ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１２に格納することを示す複数の命令コードを含む。
ＴＭＰ１２＝ＴＭＰ１１ ＸＯＲ ＴＭＰ１
命令コード群Ｓ１３６は、変数ＴＭＰ１２と拡張鍵Ｋ４とに加算を施し、その演算結果を変数ＴＭＰ１３に格納することを示す複数の命令コードを含む。
ＴＭＰ１３＝ＴＭＰ１２ ＋ Ｋ４
命令コード群Ｓ１３７は、変数ＴＭＰ１３を伴って、ローテーションモジュールＡ１４３を呼び出し、その演算結果を変数ＴＭＰ１４に格納することを示す複数の命令コードを含む。
ＴＭＰ１４＝Ｒｏｔ２（ＴＭＰ１３）＋ＴＭＰ１３＋１
命令コード群Ｓ１３８は、変数ＴＭＰ１４と変数ＴＭＰ４とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１５に格納することを示す複数の命令コードを含む。
ＴＭＰ１５＝ＴＭＰ１４ ＸＯＲ ＴＭＰ４
命令コード群Ｓ１３９は、変数ＴＭＰ１５と変数ＴＭＰ１２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１６に格納することを示す複数の命令コードを含む。
ＴＭＰ１６＝ＴＭＰ１５ ＸＯＲ ＴＭＰ１２
命令コード群Ｓ１４０は、変数ＴＭＰ１５を最上位３２ビット、変数ＴＭＰ１６を最下位３２ビットとする６４ビットの整数を暗号文Ｃとして、呼出し元のプログラムへ出力することを示す複数の命令コードを含む。
（ｄ）送信プログラム１３４
送信プログラム１３４（図示していない）は、複数の命令コードが並べられて構成されており、呼出し元のプログラムから、データの指定及び配信先の装置の指定を受け取り、通信ユニット１０６を制御して、指示されたデータを指定された配信先の装置へ送信することを示す複数の命令コードを含む。
１．３ パーソナルコンピュータ２００
パーソナルコンピュータ２００は、図８に示すように、マイクロプロセッサ２０１、ハードディスク部２０２、メモリ部２０３、入力制御部２０４、表示制御部２０５及び通信ユニット２０６などから構成されるコンピュータシステムである。入力制御部２０４及び表示制御部２０５は、それぞれ、キーボード７０７及びモニタ２０８に接続されている。また、通信ユニット２０６は、インターネット２０に接続されている。
ハードディスク部２０２及びメモリ部２０３には、様々なコンピュータプログラムが記憶されており、マイクロプロセッサ２０１が、各コンピュータプログラムに従って動作することにより、パーソナルコンピュータ２００は、その一部の機能を達成する。
なお、デジタル放送受信装置２００ａ及びＢＤ再生装置２００ｂは、パーソナルコンピュータ２００と同様の構成を有しているので、これらの装置についての説明を省略する。
（１）ハードディスク部２０２
ハードディスク部２０２は、図８に示すように、鍵２２２を記憶しており、また暗号化コンテンツ２２１を記憶するための領域を備えている。暗号化コンテンツ２２１と鍵２２２とは、対応している。
暗号化コンテンツ２２１及び鍵２２２は、それぞれ、コンテンツサーバ装置１００のハードディスク部１０２に記憶されている暗号化コンテンツ１２６及び鍵１２３と同じものである。
（２）メモリ部２０３
メモリ部２０３は、図８に示すように、コンテンツ受信プログラム２３１、コンテンツ復号プログラム２３２、再生プログラム２３３、復号プログラム２３４及び加算プログラム２３５を記憶している。また、メモリ部２０３は、復号コンテンツ領域２３６を含む。これらのプログラムは、それぞれ、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ２０１により解読され実行される形式である。
復号コンテンツ領域２３６には、暗号化コンテンツが復号されて生成された復号コンテンツが一時的に書き込まれる。
以下において、各コンピュータプログラムの内容を説明するが、各コンピュータプログラムの内容の理解を容易にするために、機械語形式の命令コードを用いた表現ではなく、フローチャートにより各コンピュータプログラムの内容を表現し、フローチャートを用いて、各コンピュータプログラムを説明する。
（ａ）コンテンツ受信プログラム２３１
コンテンツ受信プログラム２３１は、図９に示すように、命令コード群Ｓ２０１、Ｓ２０２、Ｓ２０３及びＳ２０４を含んで構成されており、これらの命令コード群は、コンテンツ受信プログラム２３１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２０１は、パーソナルコンピュータ２００の利用者からコンテンツの指定を受け付けることを示す複数の命令コードを含んでいる。
命令コード群Ｓ２０２は、指定を受け付けた前記コンテンツを識別するコンテンツ識別子を取得し、取得したコンテンツ識別子を、通信ユニット２０６及びインターネット２０を介して、配信サーバ装置３００ａへ送信することを示す複数の命令コードを含んでいる。
命令コード群Ｓ２０３は、配信サーバ装置３００ａから、インターネット２０及び通信ユニット２０６を介して、暗号化コンテンツを受信することを示す複数の命令コードを含んでいる。ここで、受信する前記暗号化コンテンツは、前記コンテンツ識別子により識別されるものである。
命令コード群Ｓ２０４は、受信した暗号化コンテンツをハードディスク部２０２へ、暗号化コンテンツ２２１として書き込むことを示す複数の命令コードを含んでいる。
（ｂ）コンテンツ復号プログラム２３２
コンテンツ復号プログラム２３２は、図１０に示すように、命令コード群Ｓ２１１、Ｓ２１２、Ｓ２１３、Ｓ２１４、Ｓ２１５、Ｓ２１６、Ｓ２１７及びＳ２１８を含んで構成されており、これらの命令コード群は、コンテンツ復号プログラム２３２内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２１１は、パーソナルコンピュータ２００の利用者から、ハードディスク部２０２に記憶されているいずれかの暗号化コンテンツの指定を受け付けることを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１２は、メモリ部２０３に記憶されている再生プログラム２３３を呼び出すことを示す複数の命令コードを含んでいる。命令コード群Ｓ２１２が実行されることにより、その結果、コンテンツ復号プログラム２３２と再生プログラム２３３とが並行して実行される。
命令コード群Ｓ２１３は、指定を受け付けた暗号化コンテンツ内におけるデータの位置をビットにより示す読出しポイントに初期値として値「−６４」を代入し、次に、指定を受け付けた暗号化コンテンツに対応する鍵をハードディスク部２０２から読み出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１４は、前記読出しポイントに６４ビットを加算し、次に、前記暗号化コンテンツにおいて、加算された読出しポイントにより示される位置から１ブロック分のデータの読出しを試みることを示す複数の命令コードと、読出しポイントにより示される位置が前記暗号化コンテンツ内であるならば、当該位置から１ブロック分のデータを読み出し、読出しポイントにより示される位置が前記暗号化コンテンツの外を示すならば、ブロックの読み出しが終了したことを示す終了コードを出力することを示す複数の命令コードとを含んでいる。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ２１５は、命令コード群Ｓ２１４から終了コードが出力された場合には、コンテンツ復号プログラム２３２による処理を終了し、終了コードが出力されていない場合には、次の命令コード群Ｓ２１６に制御を移すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１６は、読み出された前記鍵及び読み出された前記１ブロックを伴って、復号プログラム２３４を呼び出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１７は、復号プログラム２３４により生成された１個の復号ブロックを、メモリ部２０３の復号コンテンツ領域２３６へ書き込むことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１８は、次に制御を命令コード群Ｓ２１４へ移すことを示す命令コードを含んでいる。
（ｃ）再生プログラム２３３
再生プログラム２３３は、図１０に示すように、命令コード群Ｓ２１８、Ｓ２１９及びＳ２２０を含んで構成されており、これらの命令コード群は、再生プログラム２３３は内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含んでいる。
命令コード群Ｓ２１８は、メモリ部２０３が有する復号コンテンツ領域２３６から１個以上の復号ブロックを読み出すことを示す複数の命令コードを含んでいる。
命令コード群Ｓ２１９は、読み出した前記復号ブロックから映像データ及び音データを生成し、生成した映像データ及び音データを映像信号及び音信号に変換して、表示制御部２０５を介して、モニタ２０８へ出力することを示す複数の命令コードを含んでいる。
命令コード群Ｓ２２０は、次に制御を命令コード群Ｓ２１８へ移すことを示す命令コードを含んでいる。
（ｄ）復号プログラム２３４
復号プログラム２３４は、図１１に示すように、復号制御モジュール２４１、拡張鍵生成モジュール２４２、加算モジュール２４３、ローテーションモジュールＡ２４４、ローテーションモジュールＢ２４５、ローテーションモジュールＣ２４６及びローテーションモジュールＤ２４７から構成されている。
各モジュールは、機械語形式の複数の命令コードを組み合わせて構成されるコンピュータプログラムである。前記機械語形式は、マイクロプロセッサ２０１により解読され実行される形式である。
拡張鍵生成モジュール２４２、ローテーションモジュールＡ２４４、ローテーションモジュールＢ２４５、ローテーションモジュールＣ２４６及びローテーションモジュールＤ２４７は、それぞれ、図５に示す拡張鍵生成モジュール１４２、ローテーションモジュールＡ１４３、ローテーションモジュールＢ１４４、ローテーションモジュールＣ１４５及びローテーションモジュールＤ１４６と同じであるので、説明を省略する。
（復号制御モジュール２４１）
復号制御モジュール２４１は、図１２及び図１３に示すように、命令コード群Ｓ２２１〜命令コード群Ｓ２４０を含んで構成されており、これらの命令コード群は、復号制御モジュール２４１内において、この順序で並べられている。各命令コード群は、１個又は複数個の命令コードを含む。
命令コード群Ｓ２２１は、復号制御モジュール２４１の呼出し元のプログラムから、１ブロックの暗号文Ｍ及び鍵Ｋを受け取ることを示す複数の命令コードを含む。ここで、１ブロックは、６４ビット長のデータである。
命令コード群Ｓ２２２は、受け取った鍵Ｋを伴って、拡張鍵生成モジュール２４２を呼び出すことを示す複数の命令コードを含む。命令コード群Ｓ２２２が実行されると、その結果、８個の拡張鍵Ｋ１、Ｋ２、Ｋ３、・・・、Ｋ８が生成される。
命令コード群Ｓ２２３は、データＭ１を定義する命令コード及びデータＭ２を定義する命令コードを含む。データＭ１は、受け取った暗号文Ｍの最上位の３２ビットのデータであり、データＭ２は、受け取った暗号文Ｍの最下位の３２ビットのデータである。
命令コード群Ｓ２２４は、データＭ１とデータＭ２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１に格納することを示す複数の命令コードを含む。
ＴＭＰ１＝Ｍ１ ＸＯＲ Ｍ２
命令コード群Ｓ２２５は、変数ＴＭＰ１と拡張鍵Ｋ１とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ２に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ２＝ＴＭＰ１ ＋ Ｋ１が算出される。
命令コード群Ｓ２２６は、変数ＴＭＰ２を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ３に格納することを示す複数の命令コードを含む。
ＴＭＰ３＝Ｒｏｔ２（ＴＭＰ２）＋ＴＭＰ２＋１
命令コード群Ｓ２２７は、変数ＴＭＰ３を伴って、ローテーションモジュールＢ２４５を呼び出し、その演算結果を変数ＴＭＰ４に格納することを示す複数の命令コードを含む。
ＴＭＰ４＝Ｒｏｔ４（ＴＭＰ３） ＸＯＲ ＴＭＰ３
命令コード群Ｓ２２８は、変数ＴＭＰ４とデータＭ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ５に格納することを示す複数の命令コードを含む。
ＴＭＰ５＝ＴＭＰ４ ＸＯＲ Ｍ１
命令コード群Ｓ２２９は、変数ＴＭＰ５と拡張鍵Ｋ２とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ６に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ６＝ＴＭＰ５ ＋ Ｋ２が算出される。
命令コード群Ｓ２３０は、変数ＴＭＰ６を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ７に格納することを示す複数の命令コードを含む。
ＴＭＰ７＝Ｒｏｔ２（ＴＭＰ６）＋ＴＭＰ６＋１
命令コード群Ｓ２３１は、変数ＴＭＰ７を伴って、ローテーションモジュールＣ２４６を呼び出し、その演算結果を変数ＴＭＰ８に格納することを示す複数の命令コードを含む。
ＴＭＰ８＝Ｒｏｔ８（ＴＭＰ７） ＸＯＲ ＴＭＰ７
命令コード群Ｓ２３２は、変数ＴＭＰ８と拡張鍵Ｋ３とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ９に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ９＝ＴＭＰ８ ＋ Ｋ３が算出される。
命令コード群Ｓ２３３は、変数ＴＭＰ９を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ１０に格納することを示す複数の命令コードを含む。
ＴＭＰ１０＝Ｒｏｔ２（ＴＭＰ９）＋ＴＭＰ９＋１
命令コード群Ｓ２３４は、変数ＴＭＰ７及び変数ＴＭＰ１０を伴って、ローテーションモジュールＤ２４７を呼び出し、その演算結果を変数ＴＭＰ１１に格納することを示す複数の命令コードを含む。
ＴＭＰ１１＝Ｒｏｔ１６（ＴＭＰ１０）＋（ＴＭＰ１０ ＡＮＤ ＴＭＰ７）
命令コード群Ｓ２３５は、変数ＴＭＰ１１と変数ＴＭＰ１とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１２に格納することを示す複数の命令コードを含む。
ＴＭＰ１２＝ＴＭＰ１１ ＸＯＲ ＴＭＰ１
命令コード群Ｓ２３６は、変数ＴＭＰ１２と拡張鍵Ｋ４とを伴って、加算モジュール２４３を呼び出し、その演算結果を変数ＴＭＰ１３に格納することを示す複数の命令コードを含む。この結果、加算モジュール２４３により、ＴＭＰ１３＝ＴＭＰ１２ ＋ Ｋ４が算出される。
命令コード群Ｓ２３７は、変数ＴＭＰ１３を伴って、ローテーションモジュールＡ２４４を呼び出し、その演算結果を変数ＴＭＰ１４に格納することを示す複数の命令コードを含む。
ＴＭＰ１４＝Ｒｏｔ２（ＴＭＰ１３）＋ＴＭＰ１３＋１
命令コード群Ｓ２３８は、変数ＴＭＰ１４と変数ＴＭＰ４とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１５に格納することを示す複数の命令コードを含む。
ＴＭＰ１５＝ＴＭＰ１４ ＸＯＲ ＴＭＰ４
命令コード群Ｓ２３９は、変数ＴＭＰ１５と変数ＴＭＰ１２とに排他的論理和ＸＯＲを施し、その演算結果を変数ＴＭＰ１６に格納することを示す複数の命令コードを含む。
ＴＭＰ１６＝ＴＭＰ１５ ＸＯＲ ＴＭＰ１２
命令コード群Ｓ２４０は、変数ＴＭＰ１５を最上位３２ビット、変数ＴＭＰ１６を最下位３２ビットとする６４ビットの整数を復号文Ｃとして、呼出し元のプログラムへ出力することを示す複数の命令コードを含む。
（加算モジュール２４３）
加算モジュール２４３は、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１４に示すように、変換部２５１、主要演算部２５２及び逆変換部２５３から構成されており、変換部２５１は、パラメタ格納部２６１及びべき乗演算部２６２を含み、主要演算部２５２は、パラメタ格納部２６３及び乗算部２６４を含み、逆変換部２５３は、パラメタ格納部２６５、離散対数計算部２６６及びＣＲＴ（Ｃｈｉｎｅｓｅ Ｒｅｍａｉｎｄｅｒ Ｔｈｅｏｒｅｍ）部２６７を含む。
（ｉ）各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール２４３で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐi （ｉ＝１，２，…，ｋ）を、それぞれ異なる素数とする。例えば、ｐi
（ｉ＝１，２，…，ｋ）は、ｐ1 ＝３、ｐ2 ＝５、ｐ3 ＝７、ｐ4 ＝１３、・・・などのように、それぞれ小さい素数である。また、例えば、ｋ＝１７である。また、それらの積ｐ1×ｐ2 ×…×ｐk をｎとする。ここで、×は乗算を示す。ｎは、例えば、６４ビット程度で表現できる数である。例えば、ｋ＝１７のとき、ｎ＝ｐ1×ｐ2 ×…×ｐk ＞２64となる。
ｐi （ｉ＝１，２，…，ｋ）は、逆変換部２５３により保持され、ｎは、変換部２５１及び主要演算部２５２により保持されている。
加算モジュール２４３では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数であり、ｐi（ｉ＝１，２，…，ｋ）に対して原始元とする。
原始元とは、ｍを１， ２， …と動かしたとき、初めてｇm ＝１ ｍｏｄ ｐi となるｍの値が、ｐi−１であるようなｇである。
Ｌ＝ＬＣＭ（ｐ1 −１，ｐ2 −１，…，ｐk −１）とする。ここで、ＬＣＭ（ｐ1−１，ｐ2 −１，…，ｐk −１）は、ｐ1 −１，ｐ2 −１，…，ｐk−１の最小公倍数（Least Common Multiple）を示す。
入力データａ、ｂは、それぞれ、Ｌ／２より小さい非負整数とする。
（ii）変換部２５１の構成
変換部２５１は、パラメタ格納部２６１及びべき乗演算部２６２を含む。
パラメタ格納部２６１は、ｎとｇとを格納している。
べき乗演算部２６２は、入力データａ、ｂを受け取り、受け取った入力データａ、ｂに対し、
ｇa ＝ｇa ｍｏｄ ｎ，及び
ｇb ＝ｇb ｍｏｄ ｎを計算し、得られたｇa 及びｇb を主要演算部２５２へ出力する。
（iii ）主要演算部２５２の構成
主要演算部２５２は、パラメタ格納部２６３及び乗算部２６４を含む。
パラメタ格納部２６３は、ｎを格納している。
乗算部２６４は、べき乗演算部２６２からｇa 及びｇb を受け取り、受け取ったｇa 及びｇbに対し、
ｇab ＝ｇa ×ｇb ｍｏｄ ｎを計算し、得られたｇabを逆変換部２５３へ出力する。
（iv）逆変換部２５３の構成
逆変換部２５３は、パラメタ格納部２６５、離散対数計算部２６６及びＣＲＴ部２６７を含む。
パラメタ格納部２６５は、ｐ1 、ｐ2 、・・・、ｐk を格納している。
離散対数計算部２６６は、乗算部２６４からｇabを受け取り、
受け取ったｇabについて、ｇ ｍｏｄ ｐi に対するｇab ｍｏｄ ｐi（ｉ＝１，２，…，ｋ）の離散対数ｃi ｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）を計算する。
つまり、ｇab ＝ｇci ｍｏｄ ｐi （ｉ＝１，２，…，ｋ）となるｃiｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）を求める。次に、得られたｃi ｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）をＣＲＴ部２６７へ出力する。
離散対数計算部２６６によるｃｉ ｍｏｄ ｐｉ−１の計算方法については、様々なものがあるが、以下にその一例を示す。
ｗを１，２，３，…と順番に動かして、ｇw ＝ｇab ｍｏｄ ｐi となるｗを求める。そのｗをｃiとする。なお、各ｐi に関し、ｇ1 ，ｇ2 ，…，
ｇ(pi-2) ｍｏｄ ｐｉを計算した結果をテーブルとして保持し、そのテーブルの値から、ｇab ｍｏｄ ｐiと一致するｇw を探す、としてもよい。
ＣＲＴ部２６７は、離散対数計算部２６６からｃi ｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）を受け取り、中国人剰余定理（ＣＲＴ）により、受け取ったｃiｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）から、ｇab ｍｏｄ ｎのｇ ｍｏｄ ｎに対する離散対数ｃ ｍｏｄ Ｌを求める。つまり、中国人剰余定理により、ｃi＝ｃ ｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）となるｃを求める。
離散対数ｃi ｍｏｄ ｐi −１（ｉ＝１，２，…，ｋ）から、中国人剰余定理を用いて、ｃ ｍｏｄ Ｌ （ここで、Ｌ＝ＬＣＭ（ｐ1−１，ｐ2 −１，…，ｐk −１））を求めるには、次に示すようにする。
ここで、式が複雑になるのを避けるために、ｍi ＝ｐi −１とおく。
u2 =m1×(m1 -1 mod (m2/GCD(m1,m2)))×(c2-c1)+c1 を計算する。
ここで、GCD(a,b,c,・・・)は、a,b,c,・・・の最大公約数（Greatest Common Divisor）を示す。
次に、
u3 =(m1×m2)×((m1×m2)-1mod (m3/GCD(m1,m2,m3 )))×(c3- u2)+u2
を計算し、
u4 =(m1×m2×m3)×((m1×m2×m3)-1mod (m4/GCD(m1,m2,m3,m4)))
×(c4 - u3)+u3 を計算し、
以下順に、同様に、u5,u6,・・・,uk-1を計算し、
uk =(m1×m2×m3×・・・×mk-1)×((m1×m2×m3・・・×mk-1)-1
mod (mk/GCD(m1,m2,m3,m4・・・,mk-1)))×(ck- uk-1)+uk-1 を計算する。
次に、ｃ＝uk とする。こうして、ｃが得られる。
なお、ＣＲＴ部２６７よるｃi （ｉ＝１，２，．．．，ｋ）から，
ｃ ｍｏｄ ｐi −１＝ｃi を満たすｃ ｍｏｄ Ｌを計算する方法については、非特許文献２に詳しく述べられている。
次に、ＣＲＴ部２６７は、得られたｃを加算モジュール２４３の呼び出し元のプログラムへ出力する。
（ｖ）加算モジュール２４３による加算の動作
加算モジュール２４３による加算の動作について、図１５に示すフローチャートを用いて説明する。
べき乗演算部２６２は、加算モジュール２４３の呼び出し元のプログラムから入力データａ、ｂを受け取り（ステップＳ３０１）、受け取った入力データａ、ｂに対し、ｇa＝ｇa ｍｏｄ ｎ，ｇb ＝ｇb ｍｏｄ ｎを計算する（ステップＳ３０２〜Ｓ３０３）。
次に、乗算部２６４は、ｇa 及びｇb に対し、ｇab ＝ｇa ×ｇb ｍｏｄ ｎを計算する（ステップＳ３０４）。
次に、離散対数計算部２６６は、ｇab ＝ｇci ｍｏｄ ｐi （ｉ＝１，２，…，ｋ）となるｃiｍｏｄ ｐi −１を求め（ステップＳ３０５）、ＣＲＴ部２６７は、中国人剰余定理（ＣＲＴ）により、ｃi ＝ｃ ｍｏｄ ｐi−１（ｉ＝１，２，…，ｋ）となるｃを求め（ステップＳ３０６）、次に、得られたｃを加算モジュール２４３の呼び出し元のプログラムへ出力する（ステップＳ３０７）。
（vi）加算モジュール２４３による加算の動作の検証
以下で、加算モジュール２４３が、入力データａ、ｂに対し、データａ＋ｂを出力していることを検証する。
変換部２５１において、入力データａ、ｂに対し、ｇa ＝ｇa ｍｏｄ ｎ，
ｇb ＝ｇb ｍｏｄ ｎを計算し、主要演算部２５２において、
ｇab＝ｇa ×ｇb ｍｏｄ ｎを計算する。このとき、ｇab＝ｇ(a+b)ｍｏｄ ｎを満たすことは明らかである。
逆変換部２５３では、ｇとｇabからｇab＝ｇci ｍｏｄ ｐi （ｉ＝１，２，…，ｋ）を満たすｃiを計算し、その結果を用いて、ｃ＝ｃi ｍｏｄ ｐi −１を満たすｃ ｍｏｄ Ｌを計算する。このとき、ｃはｇab＝ｇc
ｍｏｄ ｎを満たす。なぜなら、ａ＋ｂ＝ｃ ｍｏｄ Ｌより、ｇ(a+b-c) ＝１ ｍｏｄ ｎとなるためである。したがって、ｇ(a+b) ｍｏｄ ｎ＝ｇcｍｏｄ ｎを満たすため、ａ＋ｂ＝ｃ ｍｏｄ （（ｐ１−１）×（ｐ２−１）×…×（ｐｋ−１））を満たす。ａ＜Ｌ／２，ｂ＜Ｌ／２よりａ＋ｂ＜Ｌであるので、加算モジュール２４３は、入力データａと入力データｂとの加算結果であるデータａ＋ｂを出力していることになる。
１．４ 第１の実施の形態の効果
加算モジュール２４３は、加算を行う値を変換している。変換部２５１及び逆変換部２５３が解析困難な場合であっても、解析者はｇa ，ｇb，ｇabの値を知り、ｇa ，ｇb からｇabを計算する処理を知る可能性がある。このような場合であっても、変換後の値ｇa，ｇb から変換前の値ａ，ｂを推測することは困難である。さらに、加算モジュール２４３は、主要演算部２５２において、乗算を行っており、この乗算という演算から加算モジュール２４３が加算を実現していることを推測することは困難である。したがって、加算を行う入力の値の隠蔽だけではなく、加算という演算自体も隠蔽できることになり、第１の実施の形態は有効である。
復号制御モジュール２４１は、鍵と他のデータとの加算において、加算モジュール２４３を利用している。そのため、加算の対象となる値、すわなち、鍵の値を推測することが困難になる。また、解析者が暗号アルゴリズムを知っている場合においても、鍵加算部分が、鍵との「加算」を行っていると推測しにくい。そのため、解析者が、暗号アルゴリズムの特徴である鍵加算部分をプログラム内から探し出す攻撃をした場合でも、鍵加算部分を探し出すことが困難なため、攻撃も困難となる。このように、解析者の攻撃が困難になり、本実施の形態は有効である。
２．変形例（１）
第１の実施の形態における加算モジュール２４３の代わりに、加算モジュール５０１を採用するとしてもよい。ここでは、加算モジュール５０１について説明する。
２．１ 加算モジュール５０１の構成
加算モジュール５０１は、加算モジュール２４３と同様に、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１６に示すように、変換部５１１、主要演算部５１２及び逆変換部５１３から構成されており、変換部５１１は、パラメタ格納部５２１、乱数発生部５２２及びべき乗演算部５２３を含み、主要演算部５１２は、パラメタ格納部５２４及び乗算部５２５を含み、逆変換部５１３は、パラメタ格納部５２６、離散対数計算部５２７及び還元部５２８を含む。
２．２ 各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール５０１で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐ，ｑを素数とし、ｎ＝ｐ2 ×ｑとする。ｐ，ｑは、逆変換部５１３により保持され、ｎは、それぞれ、変換部５１１及び主要演算部５１２により保持される。
加算モジュール５０１では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数でありｇ(p-1) ｍｏｄ ｐ2 の位数がｐである数とする。また、
ｇp ＝ｇ(p-1) ｍｏｄ ｐ2 と定義する。
入力データａ、ｂは、ｐ／２より小さい非負整数とする。
２．３ 変換部５１１の構成
変換部５１１は、パラメタ格納部５２１、乱数発生部５２２及びべき乗演算部５２３から構成されている。
パラメタ格納部５２１は、ｎとｇとを記憶している。
乱数発生部５２２は、ｎ以下の乱数Ｒ１，Ｒ２を生成する。
べき乗演算部５２３は、入力データａ、ｂに対し、乱数発生部５２２により生成された乱数Ｒ１，Ｒ２を用いて、
ｇa ＝ｇ＾（ａ＋ｎ×Ｒ１） ｍｏｄ ｎ、
ｇb ＝ｇ＾（ｂ＋ｎ×Ｒ２） ｍｏｄ ｎを計算する。
なお、本明細書において、記号「＾」は、べき乗を示す演算子である。例えば、ａ＾ｂ＝ａb である。本明細書において、表現上の都合により、ａ＾ｂ及び
ａb の両方の表記を使い分けている。
次に、べき乗演算部５２３は、計算結果ｇa ，ｇb を主要演算部５１２へ出力する。
２．４ 主要演算部５１２の構成
主要演算部５１２は、パラメタ格納部５２４及び乗算部５２５から構成されている。
パラメタ格納部５２４は、ｎを記憶している。
乗算部５２５は、べき乗演算部５２３から計算結果ｇa ，ｇb を受け取り、受け取ったｇa ，ｇbに対し、
ｇab＝ｇa ×ｇb ｍｏｄ ｎを計算し、計算結果ｇabを逆変換部５１３へ出力する。
２．５ 逆変換部５１３の構成
逆変換部５１３は、パラメタ格納部５２６、離散対数計算部５２７及び還元部５２８から構成されている。
パラメタ格納部５２６は、ｐを格納している。
離散対数計算部５２７は、乗算部５２５から計算結果ｇabを受け取り、受け取ったｇabに対し、パラメタ格納部５２６に格納されているｐを用いて、
ｃp ＝ｇab (p-1) ｍｏｄ ｐ2 を計算し、次に、ｃpを還元部５２８へ出力する。
還元部５２８は、離散対数計算部５２７からｃp を受け取り、
受け取ったｃp を用いて、ｍｏｄ ｐ2 におけるｇp に対するｃp の離散対数ｃを計算し、計算して得られたｃを、呼び出し元のプログラムへ出力する。
還元部５２８におけるｃの計算方法については、特許文献２に詳しく述べられている。具体的には、以下のように行う。
ｃp に対し、ｃ＝（ｃp −１）／（ｇp −１） ｍｏｄ ｐとしてｃを求める。
２．６ 加算モジュール５０１による加算の動作
加算モジュール５０１による加算の動作について、図１７に示すフローチャートを用いて説明する。
べき乗演算部５２３は、呼び出し元のプログラムから入力データａ、ｂを受け取り（ステップＳ３１１）、乱数発生部５２２は、ｎ以下の乱数Ｒ１，Ｒ２を生成し（ステップＳ３１２）、べき乗演算部５２３は、
ｇa ＝ｇ＾（ａ＋ｎ×Ｒ１）ｍｏｄ ｎ、
ｇb ＝ｇ＾（ｂ＋ｎ×Ｒ２）ｍｏｄ ｎを計算する（ステップＳ３１３〜Ｓ３１４）。
なお、本明細書において、記号「＾」は、べき乗を示す演算子であり、例えば、ａ＾ｂ＝ａb である。本明細書では、場合によって、「ａ＾ｂ」及び「ａb」の両方の表記を使い分けている。
次に、乗算部５２５は、ｇab＝ｇa ×ｇb ｍｏｄ ｎを計算する（ステップＳ３１５）。
次に、離散対数計算部５２７は、ｃp ＝ｇab (p-1) ｍｏｄ ｐ2を計算し（ステップＳ３１６）、
還元部５２８は、ｃ＝（ｃp −１）／（ｇp −１） ｍｏｄ ｐとしてｃを求め（ステップＳ３１７）、次に、ｃ（＝ａ＋ｂ）を呼び出し元のプログラムへ出力する（ステップＳ３１８）。
２．７ 加算モジュール５０１による加算の動作の検証
以下において、加算モジュール５０１が、入力データａ、ｂに対し、ａ＋ｂを出力していることを検証する。
変換部５１１において、ａ，ｂに対し、
ｇa ＝ｇ＾（ａ＋ｎ×Ｒ１）ｍｏｄ ｎ、
ｇb ＝ｇ＾（ｂ＋ｎ×Ｒ２）ｍｏｄ ｎを計算し、
主要演算部５１２において、ｇab＝ｇa ×ｇb ｍｏｄ ｎを計算する。このとき、ｇab＝ｇ＾（ａ＋ｂ＋ｎ×（Ｒ１＋Ｒ２））ｍｏｄ ｎを満たすことは明らかである。逆変換部５１３では、まず、
ｃp ＝ｇab (p-1) ＝ｇp＾（ａ＋ｂ＋ｎ×（Ｒ１＋Ｒ２））ｍｏｄ ｐ2 となり、
ｇp p ＝１ ｍｏｄ ｐ2 より、
ｇp n ＝１ ｍｏｄ ｐ2 であるため、
ｃp ＝ｇp (a+b) ｍｏｄ ｐ2 となる。
逆変換部５１３では、さらに、ｍｏｄ ｐ2 におけるｇp に対するｃp の離散対数ｃを求める。すなわち、
ｃp ＝ｇp c ｍｏｄ ｐ2 が成り立つ。したがって、
ｃ＝ａ＋ｂ ｍｏｄ ｐであり、ａ＜ｐ／２，ｂ＜ｐ／２より、ａ＋ｂ＜ｐであるため、加算モジュール５０１は、入力データａとｂの加算結果ａ＋ｂを出力していることになる。
２．８ 加算モジュール５０１による効果
加算モジュール５０１は、第１の実施の形態１の加算モジュール２４３と同様に、加算を行う値を変換しており、変換部５１１及び逆変換部５１３が解析困難な場合に、変換後の値から変換前の値を推測することは困難である。さらに、加算モジュール５０１は、主要演算部５１２において、乗算を行っており、この乗算という演算から加算モジュール５０１が加算を実現していることを推測することは困難である。したがって、加算を行う入力の値の隠蔽だけではなく、加算という演算自体も隠蔽できることになり、この発明は有効である。
２．９ その他（１）
加算モジュール５０１では、剰余整数環Ｚ／ｎＺの乗法群における冪乗演算を変換部５１１で行い、その乗法群の部分群である剰余整数環Ｚ／ｐ2 Ｚの乗法群における離散対数問題を逆変換部５１３で解いている。ここで、もし、解析者がｐ，ｑは分からないが、変換部５１１で冪乗演算を行っていることを解析できた場合を考える。このケースは、すなわち、逆変換部５１３のみが解析者により解析困難である場合である。この場合においても、ｎの大きさが素因数分解が困難なぐらい、例えば、１０２４ビットぐらいであれば、ｎの素因数分解結果であるｐ，ｑを得ることが困難になる。また、ｐ，ｑが得られなければ、剰余整数環Ｚ／ｎＺの乗法群における離散対数問題を解くことが困難になる。一般に乗法群の大きさ（元の数）が１０２４ビットの数のように大きい場合は、それ上の離散対数問題も困難になる。加算モジュール５０１では、ｐが既知の場合は逆変換部５１３における逆変換の方法によって、Ｚ／ｐ2Ｚの乗法群における離散対数問題を容易に解けるようになる。加算モジュール５０１における変換はこのように、ｐが既知であれば逆変換が容易であるが、既知でなければ困難であることを利用している点が、加算モジュール２４３１と異なる。
２．１０ その他（２）
加算モジュール５０１は、次のように構成してもよい。
ｐ，ｑを素数とし、ｎ＝ｐm ×ｑとする。ｍは、正整数である。また、加算モジュール５０１では、ｍｏｄ ｎの整数から構成される剰余整数環Ｚ／ｎＺの乗法群の演算を用いる。ｇは、その乗法群に属する予め与えられた数でありｇ(p-1) ｍｏｄ ｐm の位数がｐである数とする。また、ｇp ＝ｇ(p-1) ｍｏｄ ｐmと定義する。
離散対数計算部５２７は、乗算部５２５から計算結果ｇabを受け取り、受け取ったｇabに対し、パラメタ格納部５２６に格納されているｐを用いて、
ｃp ＝ｇab (p-1) ｍｏｄ ｐm を計算し、次に、ｃpを還元部５２８へ出力する。
還元部５２８は、離散対数計算部５２７からｃp を受け取り、
受け取ったｃp を用いて、ｍｏｄ ｐm におけるｇp に対するｃp の離散対数ｃを計算し、計算して得られたｃを、呼び出し元のプログラムへ出力する。
３．変形例（２）
第１の実施の形態における加算モジュール２４３の代わりに、加算モジュール６０１を採用するとしてもよい。ここでは、加算モジュール６０１について説明する。加算モジュール６０１は、楕円曲線上のスカラ倍演算を利用している。楕円曲線については、非特許文献３に詳しく説明されている。
３．１ 加算モジュール６０１の構成
加算モジュール６０１は、加算モジュール２４３と同様に、入力データａ、ｂに対し、データａ＋ｂを演算し、データａ＋ｂを出力するコンピュータプログラムであり、図１８に示すように、変換部６１１、主要演算部６１２及び逆変換部６１３から構成されており、変換部６１１は、パラメタ格納部６２１及びスカラ倍演算部６２２を含み、主要演算部６１２は、パラメタ格納部６２３及び楕円曲線加算部６２４を含み、逆変換部６１３は、パラメタ格納部６２５、還元部６２６及び離散対数計算部６２７を含む。
３．２ 各種パラメータ及び記号の定義、並びに入力データの条件
ここで、加算モジュール６０１で使用する各種パラメータ及び記号の定義、並びに入力データの条件について説明する。
ｐ、ｑを素数とし、ｎ＝ｐ×ｑとする。ｐ、ｑは、逆変換部６１３により保持され、ｎは、それぞれ、変換部６１１及び主要演算部６１２により保持されている。
楕円曲線Ｅの方程式を
ｙ2 ＝ｘ3 ＋Ａ×ｘ＋Ｂとする。ここで、Ａ、Ｂは、楕円曲線Ｅのパラメータである。
Ｇ＝（ｘg ，ｙg ） ｍｏｄ ｎを楕円曲線Ｅ上の点とする。すなわち、
ｙg 2 ＝ｘg 3 ＋Ａ×ｘg ＋Ｂ ｍｏｄ ｎを満たす。
Ａ、Ｂ、Ｇは、変換部６１１、主要演算部６１２、逆変換部６１３により保持される。
楕円曲線Ｅの方程式をもつ体ＧＦ（ｐ）上の楕円曲線の点から構成される群をＥ（ＧＦ（ｐ））と表現する。同様に、楕円曲線Ｅの方程式をもつ体ＧＦ（ｑ）上の楕円曲線の点から構成される群をＥ（ＧＦ（ｑ））と表現する。
Ｚ／ｎＺ上の楕円曲線の群を
Ｅ（ＧＦ（ｐ））とＥ（ＧＦ（ｑ））との
直積Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））で表す。なお、Ｚ／ｎＺは体ではなく、環であるため、数学的には楕円曲線とは呼べないが、ここでは便宜上、その直積Ｚ／ｎＺ上の楕円曲線の群とよぶ。
Ｅ（ＧＦ（ｐ））上の点Ｇp ＝（ｘgp，ｙgp） ｍｏｄ ｐと、
Ｅ（ＧＦ（ｑ））上の点Ｇq ＝（ｘgq，ｙgq） ｍｏｄ ｑとに対応するＺ／ｎＺ上の楕円曲線Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））の
点Ｇ＝（ｘg ，ｙg ） ｍｏｄ ｎについて、
ｘg を
ｘg ｍｏｄ ｐ＝ｘgp及び
ｘg ｍｏｄ ｑ＝ｘgqを満たす数と定義し、
ｙg を
ｙg ｍｏｄ ｐ＝ｙgp及び
ｘg ｍｏｄ ｑ＝ｘgqを満たす数と定義する。
この定義より、
Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））上の点Ｇ＝（ｘg ，ｙg ） ｍｏｄ ｎに対応するＥ（ＧＦ（ｐ））上の点Ｇpを
Ｇp ＝（ｘgp，ｙgp ） ｍｏｄ ｐとし、
Ｅ（ＧＦ（ｑ））上の点Ｇq をＧq ＝（ｘgq，ｙgq）とすることで、
Ｅ（ＧＦ（ｐ）），Ｅ（ＧＦ（ｑ））をＥ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））の部分群とみなす。
加算部６０１においては、上記楕円曲線Ｅは、ｍｏｄ ｐでの楕円曲線の位数、すなわち、点の個数が、ｐであるとする。このような体ＧＦ（ｐ）上の楕円曲線をアノマラス（Anomalous）楕円曲線とよぶ。
さらに、ｍｏｄ ｑでの楕円曲線の位数がｑである、すなわち、ＧＦ（ｑ）上でもアノマラス楕円曲線であるとする。
このとき、Ｚ／ｎＺ上の楕円曲線を、スーパーアノマラス（Super-Anomalous）楕円曲線とよぶ。スーパーアノマラス楕円曲線については非特許文献４に詳しく説明されている。
このとき、Ｚ／ｎＺ上の楕円曲線の群はＥ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））であるので、楕円曲線の位数は、
ｎ（＝ｐ×ｑ）となる。
入力データａ、ｂは、ｐ／２より小さい非負整数とする。
３．３ 変換部６１１の構成
変換部６１１は、パラメタ格納部６２１及びスカラ倍演算部６２２から構成されている。
パラメタ格納部６２１は、ｎ、Ａ、Ｂ、Ｇを記憶している。
スカラ倍演算部６２２は、呼び出し元のプログラムから、入力データａ、ｂを受け取り、受け取った入力データａ、ｂに対し、パラメータ格納部６２１に格納されているｎ、Ａ、Ｂ、Ｇを用いて、
Ｇa ＝ａ＊Ｇ ｍｏｄ ｎ 及び
Ｇb ＝ｂ＊Ｇ ｍｏｄ ｎを計算する。
ここで、ａ＊Ｇは、Ｇをａ回、楕円曲線の加算により足し合わせて得られる点である。また、ａ＊Ｇ ｍｏｄ ｎは、ａ＊Ｇの各座標に、ｍｏｄ ｎを施したものである。
スカラ倍演算部６２２は、計算結果Ｇa ，Ｇb を主要演算部６１２へ出力する。
３．４ 主要演算部６１２の構成
主要演算部６１２は、パラメタ格納部６２３及び楕円曲線加算部６２４から構成されている。
パラメタ格納部６２３は、ｎ、Ａ、Ｂを記憶している。
楕円曲線加算部６２４は、スカラ倍演算部６２２から計算結果Ｇa ，Ｇb を受け取り、パラメタ格納部６２３に記憶されているｎ、Ａ、Ｂを用いて、Ｇa及びＧb に対して、楕円曲線加算を実行して、
Ｇab ＝Ｇa ＋Ｇb ｍｏｄ ｎ
を計算し、その計算結果Ｇabを逆変換部６１３へ出力する。
３．５ 逆変換部６１３の構成
逆変換部６１３は、パラメタ格納部６２５、還元部６２６及び離散対数計算部６２７から構成されている。
パラメタ格納部６２５は、ｐ，Ａ，Ｂ，Ｇ ｍｏｄ ｐを記憶している。
還元部６２６は、楕円曲線加算部６２４から計算結果Ｇabを受け取り、受け取ったＧabに対し、パラメタ格納部６２５に格納されているｐを用いて、
Ｇabp ＝Ｇab ｍｏｄ ｐ を計算し、計算結果を離散対数計算部６２７へ出力する。
離散対数計算部６２７は、Ｇ ｍｏｄ ｐに対するＧabp の離散対数ｃ ｍｏｄ ｐを計算する。つまり、Ｇabp ＝ｃ＊Ｇ ｍｏｄ ｐのｃを求める。次に、ｃを呼び出し元のプログラムへ出力する。
ここで、楕円離散対数計算部６２７におけるｃは、アノマラス楕円曲線上の離散対数問題の解である。アノマラス楕円曲線上の離散対数問題を解く方法については、非特許文献３の８８〜９１ページに詳しく説明されている。計算方法はこの文献に記載されているため、ここでは説明を省略する。
３．６ 加算モジュール６０１の動作
加算モジュール６０１の動作について、図１９に示すフローチャートを用いて説明する。
スカラ倍演算部６２２は、呼び出し元のプログラムから、入力データａ、ｂを受け取り（ステップＳ３２１）、受け取った入力データａ、ｂに対し、パラメータ格納部６２１に格納されているｎ、Ａ、Ｂ、Ｇを用いて、
Ｇa ＝ａ＊Ｇ ｍｏｄ ｎ 及び
Ｇb ＝ｂ＊Ｇ ｍｏｄ ｎを計算する（ステップＳ３２２〜Ｓ３２３）。
次に、楕円曲線加算部６２４は、
Ｇab ＝Ｇa ＋Ｇb ｍｏｄ ｎを計算する（ステップＳ３２４）。
次に、還元部６２６は、
Ｇabp ＝Ｇab ｍｏｄ ｐ を計算し（ステップＳ３２５）、
離散対数計算部６２７は、Ｇ ｍｏｄ ｐに対するＧabp の離散対数ｃを計算し（ステップＳ３２６）、次に、ｃを呼び出し元のプログラムへ出力する（ステップＳ３２７）。
３．７ 加算モジュール６０１の動作検証
以下において、加算モジュール６０１が、入力データａ，ｂに対し、ａ＋ｂを計算して出力していることを検証する。
変換部６１１において、ａ，ｂに対し、
Ｇa ＝ａ＊Ｇ ｍｏｄ ｎ，
Ｇb ＝ｂ＊Ｇ ｍｏｄ ｎを計算し、
主要演算部６１２において、
Ｇａｂ＝Ｇａ＋Ｇｂ ｍｏｄ ｎを計算する。
このとき、Ｇａｂ＝（ａ＋ｂ）＊Ｇ ｍｏｄ ｎを満たすことは明らかである。
逆変換部６１３において、まず、
Ｇabp ＝Ｇａｂ ｍｏｄ ｐを計算し、
Ｇ ｍｏｄ ｐに対するＧabp の離散対数ｃを求める。
すなわち、Ｇabp ＝ｃ＊Ｇ ｍｏｄ ｐが成り立つ。
従って、ｃ＝ａ＋ｂ ｍｏｄ ｐであり、ａ＜ｐ／２，ｂ＜ｐ／２より、
ａ＋ｂ＜ｐであるため、加算モジュール６０１は、入力データａとｂとの加算結果ａ＋ｂを出力していることになる。
３．８ 加算モジュール６０１の効果
加算モジュール６０１は、加算モジュール２４３及び、加算モジュール５０１と同様に、加算を行う値を変換しており、変換部６１１及び逆変換部６１３が解析困難な場合に、変換後の値から変換前の値を推測することは困難である。
さらに、加算モジュール６０１は、主要演算部６１２において、楕円曲線加算を行っており、この楕円曲線加算という演算から加算モジュール６０１が整数の加算を実現していることを推測することは困難である。
従って、整数の加算を行う入力の値の隠蔽だけではなく、整数の加算という演算自体も隠蔽できることになり、加算モジュール６０１は、有効である。
３．９ その他
加算モジュール６０１では、Ｚ／ｎＺ上の楕円曲線の群Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））のスカラ倍演算を変換部で行い、その部分群であるＥ（ＧＦ（ｐ））における離散対数問題を逆変換部で解いている。
ここで、もし、解析者がｐ，ｑは分からないが、変換部で冪乗演算を行っていることを解析できた場合を考える。このケースは、すなわち、逆変換部のみが解析者により解析困難である場合である。
この場合においても、ｎの大きさが素因数分解が困難なぐらい、例えば、１０２４ビットぐらいであれば、ｎの素因数分解結果であるｐ，ｑを得ることが困難になる。また、ｐ，ｑが得られなければ、Ｚ／ｎＺ上の楕円曲線の群Ｅ（ＧＦ（ｐ））×Ｅ（ＧＦ（ｑ））における離散対数問題を解くことが困難になる。
一般に群の大きさ（元の数）が１０２４ビットの数のように大きい場合は、それ上の離散対数問題も困難になる。加算モジュール６０１では、ｐが既知の場合は逆変換モジュールにおける逆変換の方法によって、楕円曲線の群Ｅ（ＧＦ（ｐ））における離散対数問題を容易に解けるようになる。加算モジュール６０１における変換はこのように、ｐが既知であれば逆変換が容易であるが、既知でなければ困難であることを利用している点が、第１の実施の形態と異なる。
４．その他の変形例
なお、本発明を上記の実施の形態に基づいて説明してきたが、本発明は、上記の実施の形態に限定されないのはもちろんである。以下のような場合も本発明に含まれる。
（１）加算モジュール２４３、５０１及び６０１において、２個の非負整数ａ及びｂの加算を行うとしているが、各加算モジュールは、３個、又はそれ以上の個数の非負整数の加算を行うとしてもよい。この場合に、各加算モジュールの変換部は、それぞれの非負整数を変換し、加算モジュール２４３及び５０１の主要演算部は、それぞれの変換結果に対して乗算を施し、加算モジュール６０１の主要演算部は、それぞれの変換結果に対して、楕円曲線加算を施す。
（２）復号制御モジュール２４１において、鍵加算部分のみに加算モジュール２４３、５０１又は６０１を使用するとしているが、他の加算部分において、各加算モジュールを使用するとしてもよい。
（３）第１の実施の形態では、各加算モジュールを復号制御モジュール２４１に適用するとしているが、上記の暗号制御モジュール１４１や、他の暗号プログラム、復号プログラム、デジタル署名を生成する署名生成プログラムに適用するとしてもよい。このように、加算による演算が出現する情報処理演算であれば、どのようなものであっても適用することができる。
（４）加算モジュール２４３、５０１及び６０１において、剰余整数環の乗法群、楕円曲線上の群を利用したが、その他の群を利用するとしてもよい。
また、加算モジュール２４３及び５０１においては、冪乗演算を行って、整数を変換し、加算モジュール６０１においては、楕円曲線のスカラ倍演算を行って、整数を変換するとしているが、その他の群の冪演算を行うことにより変換するとしてもよい。
ここで、冪演算とは、群の基本演算、すなわち、剰余整数環では乗算を、また楕円曲線上の群では楕円曲線加算を、整数回行った結果を求める演算である。
したがって、剰余整数環の乗法群の冪演算は冪乗演算、楕円曲線上の群の冪演算は楕円曲線のスカラ倍演算である。
加算モジュール５０１では、剰余整数環Ｚ／ｎＺの乗法群の「部分群」である、剰余整数環Ｚ／ｐ2 Ｚの乗法群において離散対数問題を解いている。その他の群を使用する場合は、加算モジュール５０１と同様に逆変換部でその他の群の「部分群」において離散対数問題を解くとしてもよい。
（５）加算モジュール２４３において、ｇは、ｍｏｄ ｐi （ｉ＝１，２，…，ｋ）において原始元としたが、原始元でなくてもよい。
その場合は、ｇmi ＝１ ｍｏｄ ｐi （ｍi ＞０）となるｍi に対し、
Ｌ＝ｍ1 ×ｍ2 ×…×ｍk とする。
（６）上記の各装置は、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、ハードディスクユニット、ディスプレィユニット、キーボード、マウスなどから構成されるコンピュータシステムである。前記ＲＡＭ又は前記ハードディスクユニットには、コンピュータプログラムが記憶されている。ここで、コンピュータプログラムは、所定の機能を達成するために、コンピュータに対する指令を示す命令コードが複数個組み合わされて構成されたものである。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、各装置は、その機能を達成する。つまり、前記マイクロプロセッサは、前記コンピュータプログラムに含まれる各命令を１個ずつ読み出し、読み出した命令を解読し、解読結果に従って動作する。
（７）上記の各装置を構成する構成要素の一部又は全部は、１個のシステムＬＳＩ（Large Scale Integration：大規模集積回路）から構成されているとしてもよい。システムＬＳＩは、複数の構成部を１個のチップ上に集積して製造された超多機能ＬＳＩであり、具体的には、マイクロプロセッサ、ＲＯＭ、ＲＡＭなどを含んで構成されるコンピュータシステムである。前記ＲＡＭには、コンピュータプログラムが記憶されている。前記マイクロプロセッサが、前記コンピュータプログラムに従って動作することにより、システムＬＳＩは、その機能を達成する。
（８）上記の各装置を構成する構成要素の一部又は全部は、各装置に脱着可能なＩＣカード又は単体のモジュールから構成されているとしてもよい。前記ＩＣカード又は前記モジュールは、マイクロプロセッサ、ＲＯＭ、ＲＡＭ、などから構成されるコンピュータシステムである。前記ＩＣカード又は前記モジュールは、上記の超多機能ＬＳＩを含むとしてもよい。マイクロプロセッサが、コンピュータプログラムに従って動作することにより、前記ＩＣカード又は前記モジュールは、その機能を達成する。このＩＣカード又はこのモジュールは、耐タンパ性を有するとしてもよい。
（９）本発明は、上記に示す方法であるとしてもよい。また、これらの方法をコンピュータにより実現するコンピュータプログラムであるとしてもよいし、前記コンピュータプログラムからなるデジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラム又は前記デジタル信号をコンピュータ読み取り可能な記録媒体、例えば、フレキシブルディスク、ハードディスク、ＣＤ―ＲＯＭ、ＭＯ、ＤＶＤ、ＤＶＤ−ＲＯＭ、ＤＶＤ−ＲＡＭ、ＢＤ（Ｂｌｕ−ｒａｙ Ｄｉｓｃ）、半導体メモリなど、に記録したものとしてもよい。また、これらの記録媒体に記録されている前記コンピュータプログラム又は前記デジタル信号であるとしてもよい。
また、本発明は、前記コンピュータプログラム又は前記デジタル信号を、電気通信回線、無線又は有線通信回線、インターネットを代表とするネットワーク、データ放送等を経由して伝送するものとしてもよい。
また、本発明は、マイクロプロセッサとメモリとを備えたコンピュータシステムであって、前記メモリは、上記コンピュータプログラムを記憶しており、前記マイクロプロセッサは、前記コンピュータプログラムに従って動作するとしてもよい。
また、前記プログラム又は前記デジタル信号を前記記録媒体に記録して移送することにより、又は前記プログラム又は前記デジタル信号を前記ネットワーク等を経由して移送することにより、独立した他のコンピュータシステムにより実施するとしてもよい。
（１０）上記実施の形態及び上記変形例をそれぞれ組み合わせるとしてもよい。
（１１）以上説明したように、本発明によると、演算に使用する値の隠蔽だけでなく、演算そのものを隠蔽することができる。したがって、本技術を用いた難読化ソフトウェアをＩＣカード等の機器に組み込むことは有用である。
本発明を構成する各装置、各方法及び各コンピュータプログラムは、情報を安全かつ確実に扱う必要があるあらゆる産業において、経営的に、また継続的及び反復的に使用することができる。また、本発明を構成する各装置、各方法及び各コンピュータプログラムは、電器機器製造産業において、経営的に、また継続的及び反復的に、製造し、販売することができる。
コンテンツ配信システム１０の構成を示す構成図である。 コンテンツサーバ装置１００の構成を示すブロック図である。 コンテンツ配信プログラム１３１の内容を説明するフローチャートである。 コンテンツ暗号プログラム１３２の内容を説明するフローチャートである。 暗号プログラム１３３の構成を示す構成図である。 暗号制御モジュール１４１の内容を説明するフローチャートである。図７へ続く。 暗号制御モジュール１４１の内容を説明するフローチャートである。図６から続く。 パーソナルコンピュータ２００の構成を示すブロック図である。 コンテンツ受信プログラム２３１の内容を説明するフローチャートである。 コンテンツ復号プログラム２３２の内容を説明するフローチャートである。 復号プログラム２３４の構成を示す構成図である。 復号制御モジュール２４１の内容を説明するフローチャートである。図１３へ続く。 復号制御モジュール２４１の内容を説明するフローチャートである。図１２から続く。 加算モジュール２４３の構成を示す構成図である。 加算モジュール２４３による加算の動作を示すフローチャートである。 加算モジュール５０１の構成を示す構成図である。 加算モジュール５０１による加算の動作を示すフローチャートである。 加算モジュール６０１の構成を示す構成図である。 加算モジュール６０１による加算の動作を示すフローチャートである。

Claims (22)

  1. ２個以上の整数を加算するコンピュータシステムであって、
    複数のコンピュータ命令が組み合わされて構成されるコンピュータプログラムを記憶しているメモリ部と、
    前記記憶手段に記憶されている前記コンピュータプログラムから１個ずつコンピュータ命令を読み出し、解読し、その解読結果に応じて動作するプロセッサとを備え、
    前記コンピュータプログラムは、
    各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換命令群と、
    生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算命令群と、
    群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換命令群とを含む
    ことを特徴とするコンピュータシステム。
  2. 前記コンピュータシステムは、対象情報を安全かつ確実に扱う情報セキュリティ装置であって、
    前記コンピュータプログラムは、さらに、対象情報にセキュリティ処理を施すセキュリティ命令群を含み、
    前記セキュリティ命令群は、加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いる
    ことを特徴とする請求項１に記載のコンピュータシステム。
  3. 前記群Ｇは、剰余整数環の乗法群であり、
    前記変換命令群は、各整数に冪乗を施し、
    演算命令群は、前記元に対して、乗算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  4. 前記群Ｇは、複数個の相異なる素数ｐ１，ｐ２，…，ｐｋ（ｋ＞１）の積ｎ＝ｐ１×ｐ２×…×ｐｋに対し、Ｚ／ｎＺの乗法群であり、
    ×は、乗算を示す演算子であり、Ｚは、整数環であり、Ｚ／ｎＺは、ｍを法とし整数と合同である値から構成される剰余整数環である
    ことを特徴とする請求項３に記載のコンピュータシステム。
  5. 前記逆変換命令群は、前記素数ｐ１，ｐ２，…，ｐｋを用いたＺ／ｐ１Ｚ、Ｚ／ｐ２Ｚ、…、Ｚ／ｐｋＺの乗法群における離散対数問題を解く命令を含む
    ことを特徴とする請求項４に記載のコンピュータシステム。
  6. 前記逆変換命令群は、前記素数ｐ１，ｐ２，…，ｐｋを用いたＺ／ｐ１Ｚ，Ｚ／ｐ２Ｚ，…，Ｚ／ｐｋＺの乗法群における離散対数問題の解に対し、中国人の剰余定理を用いる命令を含む
    ことを特徴とする請求項５に記載のコンピュータシステム。
  7. 前記群Ｇは、２つの素数ｐ，ｑと正整数ｍを用いて表されるｎ＝ｐｍ×ｑに対し、Ｚ／ｎＺの乗法群であり、
    前記変換命令群は、各整数に冪乗を施し、
    演算命令群は、前記元に対して、乗算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  8. 前記部分群Ｓは、Ｚ／ｐｍ Ｚの乗法群である
    ことを特徴とする請求項７に記載のコンピュータシステム。
  9. 前記正整数ｍは、２である
    ことを特徴とする請求項７に記載のコンピュータシステム。
  10. 前記部分群Ｓは、アノマラス楕円曲線の群であり、
    前記変換命令群は、各整数に楕円曲線上の乗算を施し、
    演算命令群は、前記元に対して、楕円曲線上の加算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  11. 前記群Ｇは、二つのアノマラス楕円曲線の群の直積であり、
    前記変換命令群は、各整数に楕円曲線上の乗算を施し、
    演算命令群は、前記元に対して、楕円曲線上の加算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  12. さらに、前記逆変換命令群は、複数の冪数と、各冪数による冪乗値又は冪倍値とを対応付けて記憶しており、その対応付けを検索することにより、冪演算の逆算を求める
    ことを特徴とする請求項２に記載のコンピュータシステム。
  13. さらに、前記逆変換命令群は、前記群Ｇに属する元を前記部分群Ｓに属する元に還元する還元部を備える
    ことを特徴とする請求項２に記載のコンピュータシステム。
  14. 前記情報セキュリティ装置は、鍵情報に基づいて対象情報を暗号化し又は復号し、
    前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報を暗号化し又は復号し、暗号化又は復号において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、
    前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  15. 前記暗号化又は復号は、共通鍵方式の暗号化又は復号アルゴリズムである
    ことを特徴とする請求項１４に記載のコンピュータシステム。
  16. 前記情報セキュリティ装置は、鍵情報に基づいて対象情報にデジタル署名を施し又は署名検証を施し、
    前記セキュリティ命令群は、前記鍵情報に基づいて、対象情報にデジタル署名を施し又は署名検証を施し、デジタル署名又は署名検証において、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報との加算演算が含まれ、
    前記加算演算において、前記変換命令群、前記演算命令群及び前記逆変換命令群を用いて、鍵情報又は鍵情報から得られる二次鍵情報と、対象情報又は対象情報から得られる二次対象情報とに、加算を施す
    ことを特徴とする請求項２に記載のコンピュータシステム。
  17. 前記コンピュータシステムは、前記メモリ部と前記プロセッサとが高密度に集積された集積回路を含むＩＣカードである
    ことを特徴とする請求項２に記載のコンピュータシステム。
  18. メモリ部とプロセッサとを備えるコンピュータシステムにおいて用いられ、２個以上の整数を加算する加算方法であって、
    各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換ステップと、
    生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算ステップと、
    群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換ステップとを含む
    ことを特徴とする加算方法。
  19. ２個以上の整数を加算するコンピュータプログラムであって、
    各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換命令群と、
    生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算命令群と、
    群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換命令群とを含む
    ことを特徴とするコンピュータプログラム。
  20. 前記コンピュータプログラムは、コンピュータ読み取り可能な記録媒体に記録されている
    ことを特徴とする請求項１９に記載のコンピュータプログラム。
  21. 前記コンピュータプログラムは、搬送波に乗せられて送信される
    ことを特徴とする請求項１９に記載のコンピュータプログラム。
  22. ２個以上の整数を加算するコンピュータプログラムを記録しているコンピュータ読み取り可能な記録媒体であって、
    前記コンピュータプログラムは、
    各整数に、群Ｇ上の冪演算を施すことにより、群Ｇに属する元を生成する変換命令群と、
    生成された全ての前記元に対して、前記加算とは異なる群Ｇ上の基本演算を施して、演算値を生成する演算命令群と、
    群Ｇ又は群Ｇに真に含まれる部分群Ｓにおいて、前記演算値に対して、前記変換命令群により施される冪演算の逆算を施すことにより、前記整数の加算値を生成する逆変換命令群とを含む
    ことを特徴とする記録媒体。
JP2006511988A 2004-03-31 2005-03-22 コンピュータシステム、コンピュータプログラム及び加算方法 Ceased JPWO2005098795A1 (ja)

Applications Claiming Priority (3)

Application Number Priority Date Filing Date Title
JP2004107778 2004-03-31
JP2004107778 2004-03-31
PCT/JP2005/005136 WO2005098795A1 (ja) 2004-03-31 2005-03-22 整数を加算するコンピュータシステム

Publications (1)

Publication Number Publication Date
JPWO2005098795A1 true JPWO2005098795A1 (ja) 2008-02-28

Family

ID=35125300

Family Applications (1)

Application Number Title Priority Date Filing Date
JP2006511988A Ceased JPWO2005098795A1 (ja) 2004-03-31 2005-03-22 コンピュータシステム、コンピュータプログラム及び加算方法

Country Status (7)

Country Link
US (1) US7434898B2 (ja)
EP (1) EP1732052B1 (ja)
JP (1) JPWO2005098795A1 (ja)
KR (1) KR20060134992A (ja)
CN (1) CN100585670C (ja)
DE (1) DE602005025615D1 (ja)
WO (1) WO2005098795A1 (ja)

Families Citing this family (12)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US8280039B2 (en) * 2005-12-28 2012-10-02 Panasonic Corporation Signature generating device, signature generating method and signature generating program
JP5133973B2 (ja) * 2007-01-18 2013-01-30 パナソニック株式会社 難読化支援装置、難読化支援方法、プログラムおよび集積回路
EP2242032B1 (en) * 2008-01-21 2013-10-02 Nippon Telegraph and Telephone Corporation Secure computing system, secure computing method, secure computing apparatus and program therefor
US20100290503A1 (en) * 2009-05-13 2010-11-18 Prime Photonics, Lc Ultra-High Temperature Distributed Wireless Sensors
US20110087861A1 (en) * 2009-10-12 2011-04-14 The Regents Of The University Of Michigan System for High-Efficiency Post-Silicon Verification of a Processor
EP2720403A1 (en) * 2012-10-12 2014-04-16 Thomson Licensing Aggregator-oblivious encryption of time-series data
JP5596835B2 (ja) * 2013-08-14 2014-09-24 日本電信電話株式会社 離散対数計算装置、事前計算装置、離散対数計算方法、事前計算方法、プログラム
CN106716345A (zh) 2014-09-30 2017-05-24 皇家飞利浦有限公司 用于执行混淆算术的电子计算设备
JP6368051B2 (ja) 2014-12-12 2018-08-01 コーニンクレッカ フィリップス エヌ ヴェＫｏｎｉｎｋｌｉｊｋｅ Ｐｈｉｌｉｐｓ Ｎ．Ｖ． 電子生成装置
US10579337B1 (en) * 2015-06-18 2020-03-03 Chorus Call, Inc. Method, software and apparatus for computing discrete logarithms modulo a prime
WO2018135566A1 (ja) * 2017-01-20 2018-07-26 日本電信電話株式会社 秘密計算システム、秘密計算装置、秘密計算方法、プログラム
KR102336535B1 (ko) * 2021-10-05 2021-12-08 (주) 가온칩스 테일러 급수를 이용한 제곱근 연산 방법 및 이를 이용한 장치

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2000155789A (ja) * 1998-11-19 2000-06-06 Nec Software Ltd 電子投票システム、方法、及び記録媒体
JP2001522167A (ja) * 1997-10-24 2001-11-13 クゥアルコム・インコーポレイテッド 暗号化ストリーム暗号を生成させる方法および装置
JP3402441B2 (ja) * 1997-12-17 2003-05-06 日本電信電話株式会社 公開鍵暗号化装置、公開鍵暗号復号装置及び復号プログラム記録媒体

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5073935A (en) * 1990-12-17 1991-12-17 Jose Pastor Method for secure communication
AU7957998A (en) * 1997-06-09 1999-01-25 Intertrust, Incorporated Obfuscation techniques for enhancing software security
DE69840959D1 (de) * 1997-12-17 2009-08-20 Nippon Telegraph & Telephone Verschlüsselungs- und Entschlüsselungsvorrichtungen für Kryptosysteme mit öffentlichem Schlüssel und Aufzeichnungsmedium mit darauf gespeicherten zugehörigen Verarbeitungsprogrammen.
US6594761B1 (en) * 1999-06-09 2003-07-15 Cloakware Corporation Tamper resistant software encoding
US7164765B2 (en) * 2001-04-11 2007-01-16 Hitachi, Ltd. Method of a public key encryption and a cypher communication both secure against a chosen-ciphertext attack
JP2005049925A (ja) 2003-07-29 2005-02-24 Nara Institute Of Science & Technology プログラム難読化装置、プログラム難読化プログラム及びプログラム難読化方法

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2001522167A (ja) * 1997-10-24 2001-11-13 クゥアルコム・インコーポレイテッド 暗号化ストリーム暗号を生成させる方法および装置
JP3402441B2 (ja) * 1997-12-17 2003-05-06 日本電信電話株式会社 公開鍵暗号化装置、公開鍵暗号復号装置及び復号プログラム記録媒体
JP2000155789A (ja) * 1998-11-19 2000-06-06 Nec Software Ltd 電子投票システム、方法、及び記録媒体

Also Published As

Publication number Publication date
EP1732052A1 (en) 2006-12-13
EP1732052A4 (en) 2009-07-08
CN100585670C (zh) 2010-01-27
US20070192622A1 (en) 2007-08-16
US7434898B2 (en) 2008-10-14
EP1732052B1 (en) 2010-12-29
WO2005098795A1 (ja) 2005-10-20
CN1938740A (zh) 2007-03-28
DE602005025615D1 (de) 2011-02-10
KR20060134992A (ko) 2006-12-28

Similar Documents

Publication Publication Date Title
JPWO2005098795A1 (ja) コンピュータシステム、コンピュータプログラム及び加算方法
JP2020530577A (ja) 暗号文に対する近似演算を行う装置及び方法
US20140233727A1 (en) Method for secure substring search
JP4611305B2 (ja) 情報伝達システム、暗号装置及び復号装置
KR20150122513A (ko) 암호화 장치, 암호화 방법 및 컴퓨터 판독가능 기록매체
JP2018502320A (ja) 公開鍵暗号化システム
JP2011147074A (ja) 暗号化された情報のためのキーワード検索システム、キーワード検索方法、検索要求装置、検索代行装置、プログラム、記録媒体
JP2010049213A (ja) 暗号化装置、復号装置、暗号通信システム、方法及びプログラム
JP2006311383A (ja) データ管理方法、データ管理システムおよびデータ管理装置
KR101533950B1 (ko) 브로드캐스트 암호화 방법 및 시스템
JP5730805B2 (ja) 格子問題に基づく階層型内積暗号システム，格子問題に基づく階層型内積暗号方法，装置
JPWO2015008623A1 (ja) 鍵保管装置、鍵保管方法、及びそのプログラム
KR101440680B1 (ko) 중국인 나머지 정리에 기반한 준동형 암복호화 방법 및 이를 이용한 장치
US8731187B2 (en) Computing genus-2 curves using general isogenies
WO2022137447A1 (ja) 秘匿情報処理システムおよび秘匿情報処理方法
JP5300374B2 (ja) 表現変換装置、演算装置、表現変換方法及びプログラム
JP2013172178A (ja) 署名鍵難読化システム、署名鍵難読化方法、難読化された署名鍵を用いた暗号化署名システム、難読化された署名鍵を用いた暗号化署名方法、装置とプログラム
CN113890759A (zh) 文件传输方法、装置、电子设备和存储介质
JP5103407B2 (ja) 暗号化数値二進変換システム、暗号化数値二進変換方法、暗号化数値二進変換プログラム
JP2010049211A (ja) 代数的トーラスを用いたデータ圧縮処理を行う装置およびプログラム
JP2007171412A (ja) 鍵生成装置、暗号化装置、復号化装置、乗法型ナップザック暗号システム、乗法型ナップザック暗号復号方法およびプログラム
JP5880173B2 (ja) 暗号処理方法、システム及び情報処理装置
JP4485175B2 (ja) 鍵共有システム、共有鍵生成装置及び共有鍵復元装置
JP2023156635A (ja) 暗号化装置、復号装置、暗号変換装置、暗号化方法、復号方法及びプログラム
CN114547645A (zh) 浮点数处理方法、装置、终端以及存储介质

Legal Events

Date Code Title Description
A621 Written request for application examination

Free format text: JAPANESE INTERMEDIATE CODE: A621

Effective date: 20080107

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20101221

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110214

A02 Decision of refusal

Free format text: JAPANESE INTERMEDIATE CODE: A02

Effective date: 20110308

A521 Written amendment

Free format text: JAPANESE INTERMEDIATE CODE: A523

Effective date: 20110519

A911 Transfer to examiner for re-examination before appeal (zenchi)

Free format text: JAPANESE INTERMEDIATE CODE: A911

Effective date: 20110524

A131 Notification of reasons for refusal

Free format text: JAPANESE INTERMEDIATE CODE: A131

Effective date: 20110705

A313 Final decision of rejection without a dissenting response from the applicant

Free format text: JAPANESE INTERMEDIATE CODE: A313

Effective date: 20111010

A912 Re-examination (zenchi) completed and case transferred to appeal board

Free format text: JAPANESE INTERMEDIATE CODE: A912

Effective date: 20111028