WO2009107650A2 - スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体 - Google Patents

スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体 Download PDF

Info

Publication number
WO2009107650A2
WO2009107650A2 PCT/JP2009/053395 JP2009053395W WO2009107650A2 WO 2009107650 A2 WO2009107650 A2 WO 2009107650A2 JP 2009053395 W JP2009053395 W JP 2009053395W WO 2009107650 A2 WO2009107650 A2 WO 2009107650A2
Authority
WO
WIPO (PCT)
Prior art keywords
dmax
storage means
value
values
storing
Prior art date
Application number
PCT/JP2009/053395
Other languages
English (en)
French (fr)
Inventor
野上保之
森川良孝
加藤英洋
赤根正剛
Original Assignee
国立大学法人 岡山大学
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 国立大学法人 岡山大学 filed Critical 国立大学法人 岡山大学
Priority to US12/867,439 priority Critical patent/US20110179098A1/en
Priority to EP09715400A priority patent/EP2249326A1/en
Priority to CN2009801063734A priority patent/CN101965602A/zh
Publication of WO2009107650A2 publication Critical patent/WO2009107650A2/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/724—Finite field arithmetic
    • G06F7/725—Finite field arithmetic over elliptic curves
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3066—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves
    • H04L9/3073—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving algebraic varieties, e.g. elliptic or hyper-elliptic curves involving pairings, e.g. identity based encryption [IBE], bilinear mappings or bilinear pairings, e.g. Weil or Tate pairing

Definitions

  • the present invention relates to a scalar multiplication operation method in which the scalar multiplication operation is accelerated by at least t-1 expansion of the scalar n multiplication n of the rational point Q, and a recording medium recording the operation program, and
  • the present invention relates to a multiplication operation method for speeding up the multiplication operation by at least (qr) -advance expansion of n of the original A multiplication and a recording medium on which the operation program is recorded.
  • the authentication device does not authenticate using the user's personal information, but uses multiple users as a group and uses a group signature indicating that they belong to this group.
  • a group signature technique has been proposed in which authentication is performed without specifying a person, thereby enabling authentication without accumulating personal information in an authentication apparatus.
  • Pairing means, for example, that P is a rational point on the prime field F q , Q is a rational point on the k-th order extension field F q k , and P and Q are input to obtain an element z of the extension field F * q k When a times P and b times Q are input, z is ab.
  • “k” is referred to as an embedding degree
  • “F * q k ” is correctly displayed as follows, but “F * q k ” is displayed due to display limitations.
  • the encryption or decryption process in the ID-based encryption and the authentication process in the group signature are required to be executed in as short a time as possible.
  • many scalar multiplications and power multiplications are executed, and it is required to execute these operations at high speed.
  • Frobenius mapping phi q is also made to increase the speed by reducing the number of operations by using the A ⁇ A q ing.
  • the known speed-up means for speeding up using a map is extremely effective when the scalar n in scalar multiplication or the multiplier n in power multiplication greatly exceeds the order q (n >> q).
  • scalar n and multiplier n that do not exceed the order q of the finite field F q , compared with the case where scalar multiplication and power multiplication are directly executed without using a high-speed means.
  • a remarkable effect could not be found.
  • the scalar n or the multiplier n is In many cases, the order q is not much higher than the order q of the finite field F q , and an effective speedup cannot be expected even if a well-known speedup means is used.
  • the present inventors are able to execute scalar multiplication or power multiplication at high speed even when the scalar n or the multiplier n does not exceed the order q of the finite field Fq.
  • the research and development of the method has been carried out to arrive at the present invention.
  • E (F q ) formed by the rational points of the elliptic curve defined by the finite field F q
  • E (F q k ) is an additive group formed by rational points of an elliptic curve defined by an extension field F q k of a finite field F q Frobenius endomorphism of rational point ⁇ q on the finite field F q, trace t of Frobenius self-homogeneous map ⁇ q
  • E [r] is a set of rational points whose order is a prime number r
  • [j is a map that multiplies rational points by j
  • the auxiliary input step further includes a step in which the CPU inputs a value of m ( ⁇ ) that satisfies r ( ⁇ )
  • the CPU reads the coefficient D i ( ⁇ ) from the storage means as the coefficient of ⁇ dmax , which is the term of the maximum degree dmax of deg (D i ( ⁇ )), as T dmax ( ⁇ q ), and stores the coefficient T i in the storage means.
  • F q k is a k-th order extension field of a finite field F q of order q
  • H is a partial multiplicative group of prime order r of F q k
  • ⁇ q be the original Frobenius automorphism map for the finite field F q
  • the CPU inputs the value of the non-negative integer n, the value of the order q, the value of the prime order r of the F q k , and the value of the element A represented by A ⁇ H ⁇ F q k and stores the value An input step stored in the means; An initialization step in which the CPU initializes the storage means for storing the calculation result Z; The CPU reads the value of the order q and the element A from the storage means, sets the difference between the
  • X ⁇ ⁇ Y ⁇ represents XY
  • An auxiliary input step in which the CPU inputs the values of q ( ⁇ ), r ( ⁇ ), and s ( ⁇ ) and stores them in the storage means;
  • the CPU reads r ( ⁇ ) and s ( ⁇ ) from the storage means, and based on the following formula obtained by expanding the r ( ⁇ ) by s ( ⁇ ) using the s ( ⁇ ): D i ( ⁇ ) ⁇ r ( ⁇ )% s ( ⁇ ) and r ( ⁇ ) ⁇ (r ( ⁇ ) ⁇ D i ( ⁇ )) / s ( ⁇ ) i ⁇ "degr ( ⁇ ) / degs ( ⁇ ) '' repeatedly, and the auxiliary expansion step of storing the coefficients D i ( ⁇ ) and r (
  • the auxiliary storage step further includes a step in which the CPU inputs a value of m ( ⁇ ) that satisfies r ( ⁇ )
  • E (F q ) formed by the rational points of the elliptic curve defined by the finite field F q
  • E (F q k ) is an additive group formed by rational points of an elliptic curve defined by an extension field F q k of a finite field F q Frobenius endomorphism of rational point ⁇ q on the finite field F q, trace t of Frobenius self-homogeneous map ⁇ q
  • E [r] is a set of rational points whose order is a prime number r, a map that j times the
  • the auxiliary input procedure further includes a procedure of inputting a value of m ( ⁇ ) satisfying r ( ⁇ )
  • a second auxiliary identification procedure to identify The values of m ( ⁇ ) and R ( ⁇ ) are read from the storage means, and V ( ⁇ q )
  • F q k is a k-th order extension field of a finite field F q of order q
  • H is a partial multiplicative group of prime order r of F q k
  • ⁇ q be the original Frobenius automorphism map for the finite field F q
  • arithmetic program for causing a computer that includes a CPU and storage means to perform multiplication to perform n multiplication of an element A of H with respect to a non-negative integer n
  • the value of the non-negative integer n, the value of the order q, the value of the prime order r of the F q k , and the value of the element A represented by A ⁇ H ⁇ F q k are input and stored in the storage means.
  • X ⁇ ⁇ Y ⁇ represents XY
  • q ( ⁇ ), r ( ⁇ ), and s ( ⁇ ) using an integer variable ⁇ , respectively.
  • the auxiliary storage procedure further includes a procedure of inputting a value of m ( ⁇ ) that satisfies r ( ⁇ )
  • the present invention uses the Frobenius automorphism map ⁇ q to reduce the number of operations.
  • an elliptic curve that can be used for pairing called a pairing friendly curve is used, and when using this pairing friendly curve, an integer variable ⁇ is set.
  • the order q ( ⁇ ), prime order r ( ⁇ ) that divides #E (F q ), and the trace t ( ⁇ ) of the Frobenius self-homogeneous map ⁇ q are given in advance.
  • the highest order coefficient D i ( ⁇ ) is D dmax ( ⁇ )
  • this d dmax ( ⁇ ) is replaced with a polynomial h ( ⁇ q , ⁇ ) to further reduce the number of computations. Can be improved.
  • n is expanded by v ⁇ dmax -h (0, ⁇ ) instead of D dmax ( ⁇ ), and h (q, ⁇ ) -h (0,0) instead of v ⁇ dmax -h (0, ⁇ ).
  • ⁇ the number of computations can be further reduced and the computation speed can be improved.
  • 10 is a flowchart of an auxiliary program for obtaining a polynomial h ( ⁇ q , ⁇ ) and v ⁇ dmax ⁇ h (0, ⁇ ).
  • 5 is a flowchart of a power multiplication operation program.
  • 5 is a flowchart of a power multiplication operation program. It is a flowchart of the auxiliary
  • 5 is a flowchart of a power multiplication operation program.
  • 10 is a flowchart of an auxiliary program for obtaining a polynomial h (q, ⁇ ) and v ⁇ dmax ⁇ h (0, ⁇ ).
  • the present invention aims at speeding up the operation of scalar multiplication and speeding up the operation of power multiplication, and the operations themselves are different, such as scalar multiplication and power multiplication. It is the same, and the number of operations is reduced in the same way, so that the operation speed can be increased. First, scalar multiplication will be described, and then power multiplication will be described.
  • scalar n multiplication of rational point Q of G for non-negative integer n that is, nQ is calculated. Note that the scalar multiplication assumed in the present embodiment is performed at the time of pairing calculation, and in general, the scalar n does not greatly exceed the order r.
  • n C 1 (t ⁇ 1) + C 0
  • n (t ⁇ 1) 2 + C 1 (t ⁇ 1) + C 0 It becomes.
  • nQ [C 1 (t ⁇ 1) + C 0 ]
  • Q [C 1 q] Q + [C 0 ]
  • Q ⁇ q ([C 1 ] Q) + [C 0 ]
  • nQ [(t ⁇ 1) 2 + C 1 (t ⁇ 1) + C 0 ]
  • Q [Q] [q] Q + [C 1 q] Q + [C 0 ]
  • Q ⁇ q ( ⁇ q (Q)) + ⁇ q ([C 1 ] Q) + [C 0 ]
  • C 1 and C 0 are approximately equal to or smaller than t ⁇ 1, and the Frobenius self-homogeneous mapping of rational points can be used, thereby reducing the number of operations. Therefore, the scalar multiplication can be speeded up.
  • the highest order is represented by dmax
  • the coefficient of ⁇ dmax which is a term of the highest order dmax is represented by T dmax ( ⁇ q ).
  • n is set to t ⁇
  • a ⁇ 2 -10 decimal expansion and using 15 ⁇ q instead of ⁇ 2 -10, a rational n multiplication of the rational point of G or an n multiplication of the element A of H
  • the Frobenius self-homogeneous map ⁇ q can be used for computation, and the number of computations can be reduced to speed up multiplication.
  • n is set to t ⁇
  • a scalar n multiplication of a rational point of G or an n multiplication of an element A of H is performed on the rational point. Calculations can be performed using the Frobenius self-homogeneous map ⁇ q, and the number of calculations can be reduced to speed up multiplication.
  • n is set to t ⁇
  • scalar n multiplication of rational point of G or n multiplication of element A of H is performed by Frobenius for rational point. Calculations can be performed using the auto-homogeneous mapping ⁇ q, and the number of calculations can be reduced to speed up multiplication.
  • n is set to t ⁇
  • ⁇ q 2 (1- ⁇ q ) ( ⁇ q 2 + 3 ⁇ q +1) instead of 6 ⁇
  • scalar n multiplication of rational points of G or H The n multiplication of the element A can be performed using the Frobenius self-homogeneous map ⁇ q with respect to the rational point, and the number of operations should be reduced to speed up the multiplication.
  • ⁇ 825 (10 bits).
  • r 16656811746301 (44 bits)
  • t 40883751 (22 bits) It is.
  • D 1 ( ⁇ ) 7 ⁇ 2 It becomes.
  • n is set to t ⁇ 1 binary expand, expand further chi 3 -49 binary, by using in place of ⁇ 3 -49 ⁇ 2 ⁇ q, a n multiplication of the original a scalar n multiplication or H of rational points G, Calculations can be performed using the Frobenius automorphism map ⁇ q for rational points, and the number of calculations can be reduced to speed up multiplications that should be performed.
  • the scalar multiplication operation program and the power multiplication operation program will be described in detail.
  • the scalar multiplication operation program and the power multiplication operation program are executed as one of the subroutines when the ID-based encryption, the group signature, or the like is executed on the electronic computer. is there.
  • an electronic computer 10 that executes a scalar multiplication calculation program and a power multiplication calculation program includes a CPU 11 that executes calculation processing, and a storage device 12 such as a hard disk that stores necessary programs and data.
  • the memory device 13 includes a RAM or the like that expands and executes a required program and temporarily stores data generated by the calculation.
  • 14 is a bus.
  • the storage device 12 stores various programs such as a main routine program, a scalar multiplication calculation program and a power multiplication calculation program, and data used by these programs.
  • the electronic computer 10 functions as an authentication device for a group signature
  • the signature of the group signature transmitted from the client device 30 connected to the telecommunications line 20 such as the Internet and connected to the telecommunications line 20 is used.
  • the data is received, temporarily stored in the memory device 13, and the authentication process is performed by determining the validity of the signature data based on the group signature program.
  • reference numeral 15 denotes an input / output control unit of the electronic computer 10.
  • a number of scalar multiplication operation programs and power multiplication operation programs are executed when performing processing for determining the validity of signature data.
  • a scalar multiplication operation program and power multiplication are performed. Only the calculation program will be described.
  • the scalar multiplication operation program and the power multiplication operation program according to the present invention are not used in group signature processing, but are used in various applications.
  • the scalar multiplication calculation program and the power multiplication calculation program according to the present invention are in a form that can be stored in a storage device 12 or a computer-readable recording medium, or downloaded from a server and stored in the storage device.
  • a configuration in which a so-called hardware is implemented by configuring as a semiconductor circuit may be employed.
  • An electronic computer is caused to function as a scalar multiplier by executing a scalar multiplication operation program.
  • the CPU 11 sends a scalar n and a trace t of a Frobenius self-homogeneous map of E (F q ) from the client device 30 via the telecommunication line 20 and the input / output control unit 15.
  • the value of the rational point Q ⁇ G ⁇ E (F q k ) is input and stored in the memory device 13 (step S101).
  • the electronic computer functions as input means.
  • the CPU 11 secures Z for storing the calculation result in the memory device 13, and initializes Z (Z ⁇ O) (step S102). Therefore, the electronic computer functions as input means.
  • CPU11 to the inputted Q, performs operations expressed by 2 j Q (step S103).
  • the CPU 11 reads the values of c [i], s, and scalar n from the memory device 11, functions as a conversion unit, and converts the scalar n to And s-advance expansion (step S104).
  • i is a natural number
  • the magnitude of i is determined by the magnitude of n.
  • the electronic calculator functions as a synthesis unit, and uses Q [i] calculated in step S105 to calculate the scalar multiplication nQ, (Step S106).
  • the electronic computer functions as output means, outputs the value of Z from the input / output control unit 15 as the execution result of the scalar multiplication operation program (step S107), and ends the scalar multiplication operation program. Yes.
  • scalar n is divided log s n, it is possible to reduce the number of operations of elliptic doubling approximately 1 / (log s n) by using phi q.
  • the order q of the elliptic curve finite field F q , the prime order r that divides #E (F q ), and the trace t of the Frobenius self-homogeneous map ⁇ q are respectively represented by q ( ⁇ ) using the integer variable ⁇ .
  • D dmax ( ⁇ ) and polynomial h ( ⁇ q, ⁇ ) is the scalar multiplication nQ when being identified, by executing the operation program of the scalar multiplication to function the computer as a scalar multiplication unit.
  • Each value of Q ⁇ G ⁇ E (F q k ) is input and stored in the memory device 13 (step S201). In this case, the electronic computer functions as input means.
  • the electronic computer functions as initialization means. That is, the CPU 11 secures Z for storing the calculation result in the memory device 13 and initializes it (Z ⁇ O) (step S202).
  • the electronic computer functions as a first calculation means. That is, the CPU 11 calculates 2 j Q in advance for the input Q (step S203). Since the calculation in step S203 is the same as the calculation in step S103, description thereof is omitted.
  • the electronic computer functions as the first expansion means, and the scalar n is
  • step S204 And s-advance expansion (step S204). Since the algorithm for the s-adic expansion in step S204 is the same as that for the s-adic expansion in step S104, description thereof is omitted.
  • the electronic computer functions as a second expansion means, and uses scalar n as h ′ ( ⁇ q ) and c [i], And phi q proceeds to deploy (step S205).
  • step S205 the CPU 11 executes the following algorithm as the calculation of ⁇ q- adic expansion.
  • the CPU 11 initializes T ( ⁇ q ) stored in the memory device 13 to 1.
  • the CPU 11 reads the value of c [i] from the memory device 13, performs a substitution operation of d [i] ⁇ c [i], and stores the value of d [i] in the memory device 13.
  • the CPU 11 reads the values of d [i] and s from the memory device 13, and when d [i] ⁇ s is satisfied, e [j] ⁇ d [i]% s and d [i] ⁇ (d [i] -e [j])
  • coefficient of phi q-adic expansion d [i] may become larger than s.
  • CPU11 is, phi q proceeds by comparing the coefficient d [i] and s deployment, if the coefficient of phi q-adic expansion d [i] is determined to be greater than s: (step S206 NO) is, phi
  • the coefficient d [i] for ⁇ q- adic expansion is adjusted to be smaller than s (step S207).
  • the electronic computer functions as a comparison unit in step S206 and functions as an adjustment unit in step S207.
  • the CPU 11 reads the value of the i-th coefficient of T ( ⁇ q ) from the memory device 13, stores the value in d [i], and compares d [i] with the value of s.
  • the CPU 11 does not perform the above series of calculations when d [i] ⁇ s is not satisfied.
  • step S208 the binary method is used, and the CPU 11 executes the following algorithm.
  • the CPU 11 reads the values of d [i] and T [j] from the memory device 13, initializes Q [i] as Q [i] ⁇ O, and satisfies d [i] & 1, If the assignment operation represented by Q [i] ⁇ Q [i] + T [j] does not satisfy d [i] & 1, execute the assignment operation of d [i] ⁇ d [i] / 2 , Q [i] and d [i] are stored in the memory device 13.
  • the electronic calculator functions as a synthesis unit, and uses Q [i] calculated in step S208 to calculate the scalar multiplication nQ, (Step S209).
  • the CPU 11 outputs the value of Z from the input / output control unit 15. That is, the electronic computer functions as output means, outputs Z as the execution result of the scalar multiplication operation program (step S210), and ends the scalar multiplication operation program.
  • a scalar n since the split log s n, it is possible to reduce the number of calculations approximate DegD dmax that an elliptical doubling using ⁇ q ( ⁇ ) / degr ( ⁇ ).
  • the computer When the computer starts up the auxiliary program, it first functions as input means as shown in FIG. That is, the CPU 11 inputs r ( ⁇ ) and t ( ⁇ ) values and stores them in the memory device 13 (step S221).
  • the magnitude of i is automatically determined from r ( ⁇ ) and s ( ⁇ ).
  • the electronic computer functions as an extraction unit, extracts the one having the maximum deg (D i ( ⁇ )), and outputs it as D dmax ( ⁇ ) (step S223). That, CPU 11 reads out the values of D i (chi) compared from the memory device 13, and stores that value in memory device 13 maximum D i a (chi) as D dmax ( ⁇ ).
  • the electronic computer functions as a calculation means. That is, the CPU 11
  • the polynomial h ( ⁇ q , ⁇ ) is specified by performing the above calculation, and the value is stored in the memory device 13 and output (step S224).
  • the electronic computer can obtain D dmax ( ⁇ ) and the polynomial h ( ⁇ q , ⁇ ) using the auxiliary program.
  • the number of operations of elliptic doubling is approximately degD dmax ( ⁇ ) / degr ( ⁇ ).
  • the computer program is executed to make the electronic computer function as a scalar multiplier. At that time, as shown in FIG.
  • the electronic computer functions as input means.
  • the electronic computer functions as initialization means, and the CPU 11 secures Z for storing the calculation result in the memory device 13 and initializes it (Z ⁇ O) (step S302). Then, the electronic computer functions as a first calculation means, and the CPU 11 reads the value of Q stored in the memory device 13, calculates 2 j Q in advance, and stores it in the memory device 13 (step S303). .
  • the calculation in step S303 is the same as the calculation in step S103, and the processing performed by the CPU 11 is also the same, so the description thereof is omitted.
  • step S304 the electronic computer functions as the first expansion means, and the scalar n is And s' advance (step S304).
  • the s'-adic expansion in step S304 has the same algorithm as the s-adic expansion in step S204, and the processing performed by the CPU 11 is also the same, and thus the description thereof is omitted.
  • step S305 the electronic computer functions as a second expansion means, and uses scalar n as h ′ ( ⁇ q ) and c [i], And phi q proceeds to deploy (step S305).
  • step S305 it may coefficient phi q-adic expansion becomes larger than s'. Coefficients by taking a remainder of, phi q-adic expansion: Thus, '(NO step S306) The, s the coefficient of phi q-adic expansion is larger than the' coefficients of phi q-adic expansion is s Is adjusted to be smaller than s ′ (step S307).
  • the electronic computer functions as a comparison unit in step S306 and functions as an adjustment unit in step S307.
  • the electronic calculator functions as a synthesis unit, and uses Q [i] calculated in step S308 to calculate the scalar multiplication nQ, (Step S309). Since the calculation in step S309 is the same as the algorithm in step S209, and the processing performed by the CPU 11 is also the same, description thereof is omitted.
  • the electronic computer functions as output means, outputs Z as the execution result of the scalar multiplication operation program (step S310), and ends the scalar multiplication operation program.
  • scalar n is divided log s n, it is possible to reduce the number of operations of elliptic doubling by using phi q approximately dmax / degr (a).
  • the polynomials h ( ⁇ q , ⁇ ) and v ⁇ dmax -h (0, ⁇ ) are prime orders r ( ⁇ ) that divide the orders q ( ⁇ ) and #E (F q ) of the finite field F q of the elliptic curve.
  • the trace t ( ⁇ ) of the Frobenius self-homogeneous map ⁇ q is given in advance, it can be specified in advance, so that together with q ( ⁇ ), r ( ⁇ ) and t ( ⁇ ), the polynomial h ( ⁇ q , ⁇ ) and v ⁇ dmax -h (0, ⁇ ) may be incorporated into the arithmetic operation program for scalar multiplication, or the polynomial h ( ⁇ q , ⁇ by the following auxiliary program using r ( ⁇ ) and t ( ⁇ ) ) And v ⁇ dmax ⁇ h (0, ⁇ ) may be obtained.
  • m ( ⁇ ) is a polynomial of the minimum order that satisfies r ( ⁇ )
  • the magnitude of i is automatically determined from r ( ⁇ ) and s ( ⁇ ).
  • i 0 to i ⁇ “degr ( ⁇ ) / degs ( ⁇ )
  • the electronic computer functions as a first specifying means, extracts a coefficient of ⁇ dmax that is a term of the maximum degree dmax of deg (D i ( ⁇ )), and calculates the sum of the extracted coefficients as T ( ⁇ q , ⁇ ), and the other sum is U ( ⁇ q , ⁇ ) (step S323).
  • the CPU 11 specifically executes the following algorithm.
  • the CPU 11 specifies the highest order coefficient T dmax ( ⁇ q ) of T ( ⁇ q , ⁇ ) specified in step S323 and stores it in the memory device 13 (step S324).
  • the electronic computer functions as third specifying means, and uses the highest order coefficient T dmax ( ⁇ q ) specified in step S324, V ( ⁇ q )
  • m ( ⁇ q ), gcd (T dmax ( ⁇ q ), V ( ⁇ q )) 1 V ( ⁇ q ) that satisfies the condition is specified (step S325).
  • the CPU 11 specifically executes the following algorithm.
  • the electronic computer functions as a fourth specifying unit. That is, the CPU 11 reads V ( ⁇ q ) specified in step S325 from the memory device 13, and g ( ⁇ q ) V ( ⁇ q ) ⁇ v (mod m ( ⁇ q ))
  • the scalars v and g ( ⁇ q ) satisfying the above are specified by the extended Euclidean mutual division method and stored in the memory device 13 (step S326).
  • This extended Euclidean algorithm is executed based on a known program prepared in a general library. In particular, the coefficient of g ( ⁇ q ) and the scalar v should be made small. Is desirable.
  • the CPU 11 reads g ( ⁇ q ) specified in step S326 from the memory device 13, and To determine the polynomial h ( ⁇ q , ⁇ ) (step S327), and the values of the polynomial h ( ⁇ q , ⁇ ) and v ⁇ dmax -h (0, ⁇ ) are stored in the memory device 13 and output. (Step S328).
  • the electronic computer can obtain the polynomials h ( ⁇ q , ⁇ ) and v ⁇ dmax -h (0, ⁇ ) using the auxiliary program.
  • the electronic computer functions as a calculation unit in step S327 and functions as an output unit in step S328.
  • the number of times of ellipse doubling is approximately dmax / degr ( ⁇ ).
  • multiplier A n should by t-1 binary expansion.
  • step S401 When an arithmetic program for power multiplication is executed to cause the electronic computer to function as power multiplication, first, as shown in FIG. 7, the difference s between the power n and the prime order r of the order q and F q k Then, the element A ⁇ H ⁇ F q k is input (step S401). In this case, the electronic computer functions as input means.
  • the electronic computer functions as initialization means. That is, the CPU 11 secures Z for storing the calculation result in the memory device 13, and initializes Z (Z ⁇ 1) (step S402).
  • the electronic computer functions as a first calculation means.
  • the CPU 11 inputs the value of the element A and stores it in the memory device 13, assuming that X ⁇ ⁇ Y ⁇ represents XY and calculates A ⁇ ⁇ 2 j ⁇ in advance for the input element A. (Step S403).
  • the electronic computer functions as a developing means, and the power number n is calculated by the difference s. And s-advance expansion (step S404).
  • the size of i is determined by the size of n.
  • the CPU 11 reads the values of the coefficients c [i] and T [j] from the memory device 13 and performs an assignment operation represented by Q [i] ⁇ Q [i] * T [j] in the case of c [i] & 1.
  • Step S406 the electronic computer functions as a synthesis unit, and uses A [i] calculated in step S405 to calculate the power multiplication An .
  • the electronic computer functions as output means, outputs the value of Z from the input / output control unit 15 as the execution result of the power multiplication operation program (step S407), and ends the power multiplication operation program.
  • the number n is divided log s n should, it is possible to reduce the number of operations of squaring approximately 1 / (log s n) by using phi q.
  • the electronic computer functions as initialization means. That is, the CPU 11 secures Z for storing the calculation result in the memory device 13 and initializes Z (Z ⁇ 1) (step S502). Then, as a first calculation function, A ⁇ ⁇ 2 j ⁇ is calculated in advance for the inputted A (step S503). Since the calculation in step S503 is the same as the calculation in step S403, the description thereof is omitted.
  • step S504 the electronic computer functions as the first expansion means, and calculates the power number n, And s-advance expansion (step S504). Since the algorithm for the s-adic expansion in step S504 is the same as that for the s-adic expansion in step S404, description thereof is omitted.
  • the electronic computer functions as a second expansion means, and uses the power n as h ′ (q) and c [i], And q-advance expansion (step S505).
  • step S505 the CPU 11 executes the following algorithm as an operation of q-adic expansion.
  • the CPU 11 initializes T (q) stored in the memory device 13 to 1.
  • the CPU 11 reads the value of c [i] from the memory device 13, performs a substitution operation of d [i] ⁇ c [i], and stores the value of d [i] in the memory device 13.
  • the CPU 11 reads the values of d [i] and s from the memory device 13, and when d [i] ⁇ s is satisfied, e [j] ⁇ d [i]% s and d [i] ⁇ (d [i] -e [j])
  • the value of q) is stored in the memory device 13.
  • the q-adic expansion coefficient may be larger than s.
  • the CPU 11 compares the coefficient d [i] for q-adic expansion and s, and determines that the coefficient d [i] for q-adic expansion is larger than s (step S506: NO), the q-adic expansion By taking the remainder of s with respect to the coefficient d [i], the coefficient d [i] for q-adic expansion is adjusted to be smaller than s (step S507).
  • the electronic computer functions as a comparison unit in step S506 and functions as an adjustment unit in step S507.
  • the CPU 11 reads the value of the i-th coefficient of T (q) from the memory device 13 and stores the value in d [i].
  • the CPU 11 compares the values of d [i] and s, and if d [i] ⁇ s is satisfied, stores 0 in the i-th coefficient of T (q), and e [j] ⁇ d [i] % S and d [i] ⁇ (d [i] -e [j])
  • the CPU 11 does not perform the above series of calculations when d [i] ⁇ s is not satisfied.
  • the CPU 11 reads the values of d [i] and T [j] from the memory device 13, initializes A [i] as A [i] ⁇ O, and then satisfies d [i] & 1. If the assignment operation represented by A [i] ⁇ A [i] * T [j] does not satisfy d [i] & 1, execute the assignment operation d [i] ⁇ d [i] / 2 , A [i] and d [i] are stored in the memory device 13.
  • Step S509 the electronic computer functions as a synthesis unit, and uses A [i] calculated in step S508 to calculate the power multiplication An .
  • the CPU 11 outputs the value of Z from the input / output control unit 15.
  • the electronic computer functions as output means, outputs Z as the execution result of the power multiplication operation program (step S510), and ends the power multiplication operation program.
  • the number n should since the split log s n, it is possible to reduce to approximately DegD dmax the number of operations of squaring by using ⁇ q (a) / degr ( a).
  • D dmax ( ⁇ ) and the polynomial h (q, ⁇ ) can be specified in advance because q ( ⁇ ), r ( ⁇ ) and s ( ⁇ ) are given in advance, and q ( ⁇ ), r ( ⁇ ) And s ( ⁇ ), D dmax ( ⁇ ) and the polynomial h (q, ⁇ ) may be incorporated into an arithmetic program for power multiplication, or by using the following auxiliary program using r ( ⁇ ) and s ( ⁇ ) , D dmax ( ⁇ ) and the polynomial h (q, ⁇ ) may be obtained.
  • the computer When the computer starts the auxiliary program, it first functions as input means as shown in FIG. That is, the CPU 11 inputs the values of r ( ⁇ ) and s ( ⁇ ) and stores them in the memory device 13 (step S521).
  • step S522 the electronic computer functions as expansion means, and using the input s ( ⁇ ), r ( ⁇ ) is And s ( ⁇ ) advance development (step S522).
  • the magnitude of i is automatically determined from r ( ⁇ ) and s ( ⁇ ).
  • the electronic computer functions as an extraction unit, extracts the one having the maximum deg (D i ( ⁇ )), and outputs it as D dmax ( ⁇ ) (step S523). That, CPU 11 reads out the values of D i (chi) compared from the memory device 13, and stores that value in memory device 13 maximum D i a (chi) as D dmax ( ⁇ ).
  • the electronic computer functions as a calculation means. That is, the CPU 11
  • the polynomial h (q, ⁇ ) is specified by performing the above calculation, and the value is stored in the memory device 13 and output (step S524).
  • the electronic computer can determine D dmax ( ⁇ ) and the polynomial h (q, ⁇ ) using the auxiliary program.
  • the number of operations of two multiplications is reduced to approximately degD dmax ( ⁇ ) / degr ( ⁇ ) by the multiplication shown in FIG. can do.
  • the order q, the prime order r, and the difference s are specified in advance as q ( ⁇ ), r ( ⁇ ), and s ( ⁇ ), respectively, using an integer variable ⁇ , and r ( ⁇ ) is expressed as s
  • the coefficient of ⁇ dmax that is a term of the highest order dmax is defined as T dmax (q)
  • m (q), gcd (T dmax (q), V (q)) 1 V (q) that satisfies g (q) V (q)
  • An arithmetic operation is performed by using va dmax -h (0, a) instead of var- expanding and using h (q, a) -h (0, a) instead of va dmax- h (0, a). The number of times has been reduced.
  • the electronic computer functions as input means.
  • the electronic computer functions as initialization means, and the CPU 11 secures Z for storing the calculation result in the memory device 13 and initializes it (Z ⁇ 1) (step S602).
  • the electronic computer functions as a first computing means, and the CPU 11 reads the value of the original A stored in the memory device 13, calculates A ⁇ ⁇ 2 j ⁇ in advance, and stores it in the memory device 13. (Step S603).
  • the calculation in step S603 is the same as the calculation in step S403, and the processing performed by the CPU 11 is also the same.
  • step S604 the electronic computer functions as the first expansion means, and the scalar n is And s' advance (step S604).
  • the s'-adic expansion at step S604 has the same algorithm as the s-adic expansion at step S404, and the processing performed by the CPU 11 is also the same, so the description thereof is omitted.
  • step S605 the electronic computer functions as a second expansion means, and uses the power n as h ′ (q) and c [i], And q-advance expansion (step S605).
  • step S605 Even in the q-adic expansion in step S605, the q-adic expansion coefficient may be larger than s ′.
  • step S606: NO when the coefficient of q-adic expansion is larger than s ′ (step S606: NO), the coefficient of q-adic expansion is s ′ by taking a remainder of s ′ with respect to the coefficient of q-adic expansion. It adjusts so that it may become smaller than (step S607).
  • the electronic computer functions as a comparison unit in step S606 and functions as an adjustment unit in step S607.
  • step S608 the binary method is used, the calculation in step S608 is the same as the calculation in step S508, and the processing performed by the CPU 11 is also the same.
  • step S609 uses A [i] calculated in step S608 to calculate the power multiplication An .
  • Step S609 uses A [i] calculated in step S608 to calculate the power multiplication An .
  • the calculation in step S609 is the same as the calculation in step S509, and the processing performed by the CPU 11 is also the same.
  • the electronic computer functions as output means, outputs Z as the execution result of the power multiplication operation program (step S610), and ends the power multiplication operation program.
  • the number n is divided log s n should, it is possible to reduce the number of operations of squaring approximately dmax / degr (a) by using a phi q.
  • the polynomials h (q, ⁇ ) and v ⁇ dmax -h (0, ⁇ ) are specified in advance because the order q ( ⁇ ), the prime order r ( ⁇ ), and the difference s ( ⁇ ) are given in advance. Therefore, the polynomials h (q, ⁇ ) and v ⁇ dmax ⁇ h (0, ⁇ ) together with q ( ⁇ ), r ( ⁇ ) and s ( ⁇ ) may be incorporated into the arithmetic program for power multiplication, or r (
  • the polynomials h (q, ⁇ ) and v ⁇ dmax -h (0, ⁇ ) may be obtained by the following auxiliary program using ⁇ ) and s ( ⁇ ).
  • m ( ⁇ ) is a polynomial of the minimum order that satisfies r ( ⁇ )
  • step S622 the electronic computer functions as expansion means, and using the input s ( ⁇ ), r ( ⁇ ) is And s ( ⁇ ) advance development (step S622).
  • the magnitude of i is automatically determined from r ( ⁇ ) and s ( ⁇ ).
  • the electronic computer executes the following algorithm as the calculation of s ( ⁇ ) -adic expansion.
  • the electronic computer functions as a first specifying means, extracts a coefficient of ⁇ dmax that is a term of the maximum degree dmax of deg (D i ( ⁇ )), and calculates the sum of the extracted coefficients as T ( q, ⁇ ), and the other sum is U (q, ⁇ ) (step S623).
  • the electronic computer specifically executes the following algorithm.
  • the CPU 11 specifies the maximum degree coefficient T dmax (q) of T (q, ⁇ ) specified in step S623 and stores it in the memory device 13 (step S624).
  • step S625 the electronic computer functions as a third specifying unit, and uses the highest order coefficient T dmax (q) specified in step S624, V (q)
  • m (q), gcd (T dmax (q), V (q)) 1 V (q) that satisfies the condition is specified (step S625).
  • the electronic computer specifically executes the following algorithm.
  • the electronic computer functions as a fourth specifying unit. That is, the CPU 11 reads V (q) specified in step S625 from the memory device 13, and g (q) V (q) ⁇ v (mod m (q))
  • the scalars v and g (q) satisfying the above are specified by the extended Euclidean mutual division method and stored in the memory device 13 (step S626).
  • This extended Euclidean algorithm is executed based on a known program prepared in a general library, and in particular, the coefficient of g (q) and the scalar v should be made small. desirable.
  • the electronic computer reads g (q) identified in step S626 from the memory device 13, and
  • the polynomial h (q, ⁇ ) is specified by performing the above operation (step S627), and the values of the polynomial h (q, ⁇ ) and v ⁇ dmax -h (0, ⁇ ) are stored in the memory device 13 and output. (Step S628).
  • the polynomial h (q, ⁇ ) and v ⁇ dmax ⁇ h (0, ⁇ ) can be obtained using the auxiliary program.
  • the electronic computer functions as a calculation unit in step S627 and functions as an output unit in step S628.
  • step 601 of FIG. 10 By using this v ⁇ dmax -h (0, ⁇ ) and polynomial h (q, ⁇ ) in step 601 of FIG. 10, the number of operations of two multiplications is reduced to about dmax / degr ( ⁇ ) by multiplication to be shown in FIG. can do.

Landscapes

  • Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Theoretical Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Physics (AREA)
  • Computing Systems (AREA)
  • Computational Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • Algebra (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Complex Calculations (AREA)

Description

スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体
　本発明は、有理点Ｑのスカラーｎ倍算のｎを少なくともｔ－１進展開することによりスカラー倍算の演算を高速化したスカラー倍算の演算方法及びその演算プログラムを記録した記録媒体、及び元Ａのｎ乗算のｎを少なくとも（ｑ－ｒ）進展開することによりべき乗算の演算を高速化したべき乗算の演算方法及びその演算プログラムを記録した記録媒体に関する。
　昨今、インターネットなどの電気通信回線を利用した情報ネットワーク技術が高度に発展し、インターネットによって様々な情報を取得するだけでなく、インターネットバンキングや行政機関への電子申請などのような各種のサービスが提供されてきている。
　このようなサービスを利用する場合には、サービスの利用者が、成りすましや架空の人間などではなく、適正な利用者であることを確認するための認証処理が必要であり、信頼性の高い認証方法として、公開鍵と秘密鍵を用いる公開鍵暗号をベースとした電子認証技術がよく利用されている。
　しかしながら、公開鍵暗号方式の電子認証では、公開鍵あるいは秘密鍵が漏洩した場合には直ちに公開鍵と秘密鍵を変更する必要があり、公開鍵及び秘密鍵の管理を慎重に行わなければならないとともに、必要に応じて新たな公開鍵と秘密鍵の設定登録作業が生じるという繁雑さがあるため、最近では、利用者の氏名やメールアドレスのように利用者特有のＩＤを用いて電子認証を行うＩＤベース暗号が用いられることが多くなっている。
　また、電子認証を行う認証装置によって利用者の個人認証を行った場合には、認証装置に利用者ごとの履歴が蓄積されることとなり、この履歴情報自体が利用者の個人情報であって、最近では、この履歴情報が漏洩することによる個人情報の漏洩のおそれが指摘されている。
　そこで、認証装置では利用者の個人情報を利用して認証を行うのではなく、複数の利用者をひとまとまりのグループとして、このグループに所属していることを示すグループ署名を用いることにより、利用者を特定することなく認証を行うことによって、認証装置に個人情報が蓄積されることなく認証を可能としたグループ署名技術が提案されている。
　このようなＩＤベース暗号やグループ署名における所用の演算には、楕円曲線上の有理点の双線形写像を用いるペアリングと呼ばれる手法が用いられている。ペアリングとは、たとえば、Ｐを素体Ｆq上の有理点、Ｑをｋ次拡大体Ｆq k上の有理点として、ＰとＱとを入力して拡大体Ｆ* q kの元ｚが出力されるとき、ａ倍のＰと、ｂ倍のＱを入力するとｚのab乗が出力される演算である。なお、ここで、「ｋ」を埋込み次数と呼び、「Ｆ* q k」は、正しくは、以下の表示であるが、表示の制限上、「Ｆ* q k」と表示している。
Figure JPOXMLDOC01-appb-M000013
　ＩＤベース暗号における暗号化あるいは復号の処理や、グループ署名における認証処理では、できるだけ短時間で実行されることが求められている。特に、ペアリングに基づく暗号方式などにおいてはスカラー倍算及びべき乗算が数多く実行されているため、これらの演算を高速に実行することが求められている。
　そのため、従来より、スカラー倍算やべき乗算をバイナリ法やWindow法などを用いて高速化することが行われている。
　また、拡大体の元Ａ∈Ｆq kのべき乗Ａnを演算する場合には、フロベニウス写像φq：Ａ→Ａqを用いることによって演算回数を削減することにより高速化を図ることも行われている。
　また、スカラー倍算においても、写像を利用することにより演算回数を削減して高速化を図る手法が提案されている(例えば、特許文献１、特許文献２参照。)。
特開２００４－２７１７９２号公報 特開２００７－４１４６１号公報
　しかしながら、写像を利用して高速化を図る周知の高速化手段では、スカラー倍算におけるスカラーｎ、またはべき乗算における乗数ｎが位数ｑを大きく上回る場合(ｎ＞＞ｑ)にはきわめて有効であるもの、有限体Ｆqの位数ｑより大きく上回ることのないスカラーｎ及び乗数ｎに対しては、高速化手段を用いずに直接的にスカラー倍算及びべき乗算を実行した場合と比較して顕著な効果が見いだせないものであった。
　特に、ＩＤベース暗号における暗号化あるいは復号の処理や、グループ署名における認証処理においては、スカラーｎを用いたスカラー倍算あるいは乗数ｎを用いたべき乗算が必要な場合に、スカラーｎあるいは乗数ｎが、有限体Ｆqの位数ｑより大きく上回ることのない場合が多く、周知の高速化手段を用いても効果的な高速化が期待できなかった。
　本発明者らはこのような現状に鑑み、スカラーｎあるいは乗数ｎが有限体Ｆqの位数ｑより大きく上回ることのない場合であっても、スカラー倍算あるいはべき乗算を高速に実行できる演算方法の研究開発を行って、本発明を成すに至ったものである。
　本発明のスカラー倍算の演算方法では、
　楕円曲線をＥ／Ｆq＝ｘ3＋ａｘ＋ｂ－ｙ2＝０，ａ∈Ｆq，ｂ∈Ｆqとし、
　Ｅ(Ｆq)を有限体Ｆqで定義される楕円曲線の有理点が成す加法群、
　Ｅ(Ｆq k)を有限体Ｆqの拡大体Ｆq kで定義される楕円曲線の有理点が成す加法群、
　φqを有限体Ｆqに関する有理点のフロベニウス自己準同型写像、
　ｔをフロベニウス自己準同型写像φqのトレース、
　ｒをＥ(Ｆq)の位数＃Ｅ(Ｆq)＝ｑ＋１－ｔを割り切る素数位数、
　Ｅ[ｒ]を位数が素数ｒである有理点の集合、
　[ｊを有理点をｊ倍する写像、
　Ｇを
　　Ｇ＝Ｅ[r]∩Ker(φq－[ｑ])
を満たすＥ(Ｆq k)に含まれる有理点の集合として、
　非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算を、ＣＰＵ及び記憶手段を備えた電子計算機により演算するスカラー倍算の演算方法において、
　ＣＰＵが、前記非負整数ｎの値、前記トレースｔの値、及び、Ｑ∈Ｇ⊂Ｅ(Ｆq k)により表される有理点Ｑの値を入力して前記記憶手段に記憶する入力ステップと、
　ＣＰＵが、演算結果Ｚを記憶する前記記憶手段を初期化する初期化ステップと、
　Ｇの有理点Ｑに対し、
　　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑ
が成り立つことにより、
　ＣＰＵが、ｓ＝ｔ－１として、前記ｎをｓ進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000014
 c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返し行って各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開ステップと、
　ＣＰＵが、前記記憶手段から前記有理点Ｑ及び前記係数ｃ［ｉ]を読み出して、Ｑ［ｉ]＝ｃ［ｉ]Ｑにより表される演算をｉ＝０から所定回繰り返し行って各Ｑ［ｉ]の値を前記記憶手段に記憶する演算ステップと、
　ＣＰＵが、ｔ-１に換えて有理点に対するフロベニウス自己準同型写像φqを用いて表される次式のスカラー倍算ｎＱに基づいて、
Figure JPOXMLDOC01-appb-M000015
 　前記記憶手段からＱ［ｉ]及び演算結果Ｚを読み出し、Z←Z+φq i(Q[i])により表される代入演算をｉ＝０から所定回繰り返し行ってスカラー倍算の演算結果Ｚを前記記憶手段に記憶する合成ステップと、
を有するものである。
　さらに、本発明のスカラー倍算の演算方法では、
　前記楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)で与えられている場合に、
　ＣＰＵが、前記ｑ(χ)、ｒ(χ)、ｔ(χ)の各値を入力して前記記憶手段に記憶する補助入力ステップと、
　ＣＰＵが、前記記憶手段からｒ(χ)及びｔ(χ)の値を読み出して、前記ｓ（χ）＝ｔ（χ）－１として、ｒ(χ)をｓ（χ）進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000016
 Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、各係数Ｄi（χ）及びｒ（χ）の値を前記記憶手段に記憶する補助展開ステップと、
　ＣＰＵが、前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出ステップと、
　ＣＰＵが、前記記憶手段からＤdmax(χ)、Ｄi(χ)、Ｑの値を読み出して、
　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)を用い、φq kＱ＝Ｑに基づいて
　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する補助特定ステップと、
　ＣＰＵが、前記ｓ進展開をχ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(φq,ａ)を用いるステップと、を有するものである。
　しかも、本発明のスカラー倍算の演算方法では、
　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
　前記補助入力ステップは、ＣＰＵが、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶するステップを更に含み、
　ＣＰＵが、deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(φq,χ)及びU(φq,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(φq,χ)←T(φq,χ)+Di(χ)φq i、その他の場合にU(φq,χ)←U(φq,χ)+Di(χ)φq iにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、Ｔ(φq,χ)及びＵ(φq,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(φq)を特定する第２の補助特定ステップと、
　ＣＰＵが、前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
を満たすＶ(φq)を、W(φq)←gcd(Tdmax(φq),m(φq))及びV(φq)←W(φq)により表される代入演算を行って特定し、前記Ｖ(φq)の値を前記記憶手段に記憶する第３の補助特定ステップと、
　ＣＰＵが、前記記憶手段からＶ(φq)及びｍ(φq)の値を読み出して、
　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
を満たす整数のスカラーｖ及びｇ(φq)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(φq)の値を前記記憶手段に記憶する第４の補助特定ステップと、
　前記補助特定ステップに換えて、ＣＰＵが、前記記憶手段からＴdmax(φq)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)と、前記ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する第５の補助特定ステップと、
　ＣＰＵが、前記記憶手段から前記ｈ(φq,χ)の値を読み出して、
　このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
を満たすことを用いて、
　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)により表される演算を行ってｓ'、ｈ'(φq)の値を前記記憶手段に記憶し、
ｔ-１進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いるステップと、を有するものである。
　また、本発明のべき乗算の演算方法では、
　Ｆq kを位数ｑの有限体Ｆqのｋ次拡大体、
　ＨをＦq kの素数位数ｒの部分乗法群、
　φqを有限体Ｆqに関する元のフロベニウス自己準同型写像として、
　非負整数ｎに対するＨの元Ａのｎ乗算を行うべき乗算を、ＣＰＵ及び記憶手段を備えた電子計算機により演算する演算方法において、
　ＣＰＵが、前記非負整数nの値、前記位数ｑの値、前記Ｆq kの素数位数ｒの値、Ａ∈Ｈ⊂Ｆq kにより表される元Ａの値を入力して前記記憶手段に記憶する入力ステップと、
　ＣＰＵが、演算結果Ｚを記憶する前記記憶手段を初期化する初期化ステップと、
　ＣＰＵが、前記位数ｑ、前記元Ａの値を前記記憶手段から読み出して、前記ｑとｒの差分をｓ＝ｑ－ｒとし、T[j]←A及びA←A*Aにより表される代入演算を、j＝０からj<「log2s」まで繰り返して行って前記T[j]及び前記Aの値を前記記憶手段に記憶する第１の演算ステップと、
　ＣＰＵが、前記記憶手段から前記ｎ及び差分ｓの値を読み出して、差分ｓにより展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000017
 c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返して行い、各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開ステップと、
　ＣＰＵが、前記記憶手段からc[i]及び前記ｎの値を読み出して、Ａ［ｉ]＝Ａc[i]に基づいて、Ａ［ｉ]＝１に初期化し、c[i]＆1である場合にA[i]←A[i]*T[j]、c[i]←c[i]/2により表される代入演算を、ｉ＝０から所定回繰り返して行い、前記記憶手段にA[i]及びc[i]の値を記憶する第２の演算ステップと、
　ＣＰＵが、前記記憶手段から各Ａ［ｉ]を読み出し、次式に基づいて、
Figure JPOXMLDOC01-appb-M000018
 Z←Z＊φq i(A[i])により表されるべき乗演算を、ｉ＝０から所定回繰り返して行い、計算結果Ｚとして前記記憶手段に記憶する合成ステップと、を有するものである。
　さらに、本発明のべき乗算の演算方法では、
　Ｘ^{Ｙ}はＸYであることを表すこととし、
　前記位数ｑ、前記素数位数ｒ、前記ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｓ(χ)で与えられている場合に、
　ＣＰＵが、前記ｑ(χ)、ｒ(χ)、ｓ(χ)の各値を入力して前記記憶手段に記憶する補助入力ステップと、
　ＣＰＵが、前記記憶手段からｒ(χ)及びｓ(χ)を読み出して、前記ｓ（χ）を用いて前記ｒ（χ）をｓ（χ）進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000019
 Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、ｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行い、前記係数Di(χ)及びr(χ)を前記記憶手段に記憶する補助展開ステップと、
　ＣＰＵが、前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出ステップと、
　ＣＰＵが、前記記憶手段から前記Ｄdmax（χ）、Ｄi(χ)、ｑの値を読み出して、
　　(Ａ^{Ｄdmax(χ)})^{ｑdmax}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi}＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(ｑ,χ)を用い、φq k(Ａ)＝Ａに基づいて
　　Ａ^{Ｄdmax(χ)}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi－ｑdmax}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する補助特定ステップと、
　ＣＰＵが、前記ｓ進展開した前記ｎを、χ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置き換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(ｑ,ａ)を用いるステップと、を有するものである。
　しかも、本発明のべき乗算の演算方法では、
　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
　前記補助記憶ステップは、ＣＰＵが、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶するステップを更に含み、
　ＣＰＵが、deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(ｑ)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(ｑ,χ)及びU(ｑ,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(ｑ,χ)←T(ｑ,χ)+Di(χ)ｑi、その他の場合にU(ｑ,χ)←U(ｑ,χ)+Di(χ)ｑiにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行ってＴ(ｑ,χ)及びＵ(ｑ,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(ｑ)を特定する第２の補助特定ステップと、
　ＣＰＵが、前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
を満たすＶ(ｑ)を、W(ｑ)←gcd(Tdmax(ｑ),m(ｑ))及びV(ｑ)←W(ｑ)により表される演算を行って特定し、前記Ｖ(ｑ)の値を前記記憶手段に記憶する第３の補助特定ステップと、
　ＣＰＵが、前記記憶手段からＶ(ｑ)及びｍ(ｑ)の値を読み出して、
　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
を満たす整数のスカラーｖ及びｇ(ｑ)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(ｑ)の値を前記記憶手段に記憶する第４の補助特定ステップと、
　前記補助特定ステップに換えて、ＣＰＵが、前記記憶手段からＴdmax(ｑ)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
　　Ａ^{Ｔdmax(ｑ)χdmax}＝Ａ^{ΣＤi(χ)ｑi－Ｔdmax(ｑ)χdmax}
　　　　　　　　　　　＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(ｑ,χ)と、前記ｇ(ｑ)を用い、φq k(Ａ)＝Ａに基づいて、
　　Ａ^{ｖχdmax}＝Ａ^{ｇ(ｑ)ｆ(ｑ,χ)}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する第５の補助特定ステップと、
　ＣＰＵが、前記記憶手段から前記ｈ(ｑ,χ)の値を読み出して、
　このｈ(ｑ,χ)のｑに関する定数項ｈ(０,χ)が、
　　Ａ^{ｖχdmax－ｈ(０,χ)}＝Ａ^{ｈ(ｑ,χ)－ｈ(０,χ)}
を満たすことを用いて、
　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ) により表される演算を行ってｓ'、ｈ'(ｑ)の値を前記記憶手段に記憶し、ｓ進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(ｑ,ａ)－ｈ(０,ａ)を用いるステップと、を有するものである。
　また、本発明のスカラー倍算の演算プログラムを記録した電子計算機読取可能な記録媒体では、
　楕円曲線をＥ／Ｆq＝ｘ3＋ａｘ＋ｂ－ｙ2＝０，ａ∈Ｆq，ｂ∈Ｆqとし、
　Ｅ(Ｆq)を有限体Ｆqで定義される楕円曲線の有理点が成す加法群、
　Ｅ(Ｆq k)を有限体Ｆqの拡大体Ｆq kで定義される楕円曲線の有理点が成す加法群、
　φqを有限体Ｆqに関する有理点のフロベニウス自己準同型写像、
　ｔをフロベニウス自己準同型写像φqのトレース、
　ｒをＥ(Ｆq)の位数＃Ｅ(Ｆq)＝ｑ＋１－ｔを割り切る素数位数、
　Ｅ[ｒ]を位数が素数ｒである有理点の集合、
　[ｊ]を有理点をｊ倍する写像、
　Ｇを
　　Ｇ＝Ｅ[r]∩Ker(φq－[ｑ])
を満たすＥ(Ｆq k)に含まれる有理点の集合として、
　非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算を、ＣＰＵ及び記憶手段を備えた電子計算機に実行させるためのスカラー倍算の演算プログラムにおいて、
　電子計算機に、
　前記非負整数ｎの値、前記トレースｔの値、及び、Ｑ∈Ｇ⊂Ｅ(Ｆq k)により表される有理点Ｑの値を入力して前記記憶手段に記憶する入力手順と、
　演算結果Ｚを記憶する前記記憶手段を初期化する初期化手順と、
　Ｇの有理点Ｑに対し、
　　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑ
が成り立つことにより、
　ｓ＝ｔ－１として、前記ｎをｓ進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000020
 c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返し行って各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開手順と、
　前記記憶手段から前記有理点Ｑ、非負整数ｎ、及び前記ｃ［ｉ]の値を読み出して、Ｑ［ｉ]＝ｃ［ｉ]Ｑにより表される演算をｉ＝０から所定回繰り返し行って各Ｑ［ｉ]の値を前記記憶手段に記憶する演算手順と、
　ｔ-１に換えて有理点に対するフロベニウス自己準同型写像φqを用いて表される次式のスカラー倍算ｎＱに基づいて、
Figure JPOXMLDOC01-appb-M000021
 　前記記憶手段からＱ［ｉ]及び演算結果Ｚを読み出し、Z←Z+φq i(Q[i])により表される代入演算をｉ＝０から所定回繰り返し行ってスカラー倍算の演算結果Ｚを前記記憶手段に記憶する合成手順と、を実行させるものである。
　さらに、本発明のスカラー倍算の演算プログラムを記録した電子計算機読取可能な記録媒体では、
　前記楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)で与えられている場合に、電子計算機に、
　前記ｑ(χ)、ｒ(χ)、ｔ(χ)の各値を入力して前記記憶手段に記憶する補助入力手順と、
　前記記憶手段からｒ(χ)及びｔ(χ)の値を読み出して、前記ｓ（χ）＝ｔ（χ）－１として、ｒ(χ)をｓ（χ）進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000022
 Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、各係数Ｄi（χ）及びｒ（χ）の値を前記記憶手段に記憶する補助展開手順と、
　前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出手順と、
　前記記憶手段からＤdmax(χ)、Ｄi(χ)、Ｑの値を読み出して、
　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)を用い、φq kＱ＝Ｑに基づいて
　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する補助特定手順と、
　前記ｓ進展開をχ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(φq,ａ)を用いる手順と、を実行させるものである。
　しかも、本発明のスカラー倍算の演算プログラムを記録した電子計算機読取可能な記録媒体では、
　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
　前記補助入力手順は、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶する手順を更に含み、
　電子計算機に、
　deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(φq,χ)及びU(φq,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(φq,χ)←T(φq,χ)+Di(χ)φq i、その他の場合にU(φq,χ)←U(φq,χ)+Di(χ)φq iにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、Ｔ(φq,χ)及びＵ(φq,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(φq)を特定する第２の補助特定手順と、
　前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
を満たすＶ(φq)を、W(φq)←gcd(Tdmax(φq),m(φq))及びV(φq)←W(φq)により表される代入演算を行って特定し、前記Ｖ(φq)の値を前記記憶手段に記憶する第３の補助特定手順と、
　ＣＰＵが、前記記憶手段からＶ(φq)及びｍ(φq)の値を読み出して、
　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
を満たす整数のスカラーｖ及びｇ(φq)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(φq)の値を前記記憶手段に記憶する第４の補助特定手順と、
　前記補助特定手順に換えて、ＣＰＵが、前記記憶手段からＴdmax(φq)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)と、前記ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する第５の補助特定手順と、
　前記記憶手段から前記ｈ(φq,χ)の値を読み出して、
　このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
を満たすことを用いて、
　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)により表される演算を行ってｓ'、ｈ'(φq)の値を前記記憶手段に記憶し、
ｔ-１進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いる手順と、を実効させるためのスカラー倍算の演算プログラムを記録した電子計算機読取可能な記録媒体とした。
　また、本発明のべき乗算の演算プログラムを記録した記録媒体では、
　Ｆq kを位数ｑの有限体Ｆqのｋ次拡大体、
　ＨをＦq kの素数位数ｒの部分乗法群、
　φqを有限体Ｆqに関する元のフロベニウス自己準同型写像として、
　非負整数ｎに対するＨの元Ａのｎ乗算を行うべき乗算を、ＣＰＵ及び記憶手段を備えた電子計算機により実行させるための演算プログラムにおいて、電子計算機に、
　前記非負整数nの値、前記位数ｑの値、前記Ｆq kの素数位数ｒの値、Ａ∈Ｈ⊂Ｆq kにより表される元Ａの値を入力して前記記憶手段に記憶する入力手順と、
　演算結果Ｚを記憶する前記記憶手段を初期化する初期化手順と、
　前記位数ｑ、前記元Ａの値を前記記憶手段から読み出して、前記ｑとｒの差分をｓ＝ｑ－ｒとし、T[j]←A及びA←A*Aにより表される代入演算を、j＝０からj<「log2s」まで繰り返し行って前記T[j]及び前記Aの値を前記記憶手段に記憶する第１の演算手順と、
　前記記憶手段から前記ｎ及び差分ｓの値を読み出して、差分ｓにより展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000023
 c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返して行い、各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開手順と、
　前記記憶手段からc[i]及び前記ｎの値を読み出して、Ａ［ｉ]＝Ａc[i]に基づいて、Ａ［ｉ]＝１に初期化し、c[i]＆1である場合にA[i]←A[i]*T[j]、c[i]←c[i]/2により表される代入演算を、ｉ＝０から所定回繰り返して行い、前記記憶手段にA[i]及びc[i]の値を記憶する第２の演算手順と、
　前記記憶手段から各Ａ［ｉ]を読み出し、次式に基づいて、
Figure JPOXMLDOC01-appb-M000024
 Z←Z＊φq i(A[i])により表されるべき乗演算を、ｉ＝０から所定回繰り返して行い、計算結果Ｚとして前記記憶手段に記憶する合成手順と、を実行させるためのべき乗算の演算プログラムを記録した電子計算機読取可能な記録媒体とした。
　さらに、本発明のべき乗算の演算プログラムを記録した記録媒体では、
　Ｘ^{Ｙ}はＸYであることを表すこととし、
　前記位数ｑ、前記素数位数ｒ、前記ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｓ(χ)で与えられている場合に、電子計算機に、
　前記ｑ(χ)、ｒ(χ)、ｓ(χ)の各値を入力して前記記憶手段に記憶する補助入力手順と、
　前記記憶手段からｒ(χ)及びｓ(χ)を読み出して、前記ｓ（χ）を用いて前記ｒ（χ）をｓ（χ）進展開した次式に基づいて、
Figure JPOXMLDOC01-appb-M000025
 Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、ｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行い、前記係数Di(χ)及びr(χ)を前記記憶手段に記憶する補助展開手順と、
　前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出手順と、
　前記記憶手段から前記Ｄdmax（χ）、Ｄi(χ)、ｑの値を読み出して、
　　(Ａ^{Ｄdmax(χ)})^{ｑdmax}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi}＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(ｑ,χ)を用い、φq k(Ａ)＝Ａに基づいて
　　Ａ^{Ｄdmax(χ)}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi－ｑdmax}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する補助特定手順と、
　前記ｓ進展開した前記ｎを、χ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置き換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(ｑ,ａ)を用いる手順と、を実行させるためのべき乗算の演算プログラムを記録した電子計算機読取可能な記録媒体とした。
　しかも、本発明のべき乗算の演算プログラムを記録した記録媒体では、前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
　前記補助記憶手順は、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶する手順を更に含み、
　電子計算機に、
　deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(ｑ)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(ｑ,χ)及びU(ｑ,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(ｑ,χ)←T(ｑ,χ)+Di(χ)ｑi、その他の場合にU(ｑ,χ)←U(ｑ,χ)+Di(χ)ｑiにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行ってＴ(ｑ,χ)及びＵ(ｑ,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(ｑ)を特定する第２の補助特定手順と、
　前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
を満たすＶ(ｑ)を、W(ｑ)←gcd(Tdmax(ｑ),m(ｑ))及びV(ｑ)←W(ｑ)により表される演算を行って特定し、前記Ｖ(ｑ)の値を前記記憶手段に記憶する第３の補助特定手順と、
　前記記憶手段からＶ(ｑ)及びｍ(ｑ)の値を読み出して、
　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
を満たす整数のスカラーｖ及びｇ(ｑ)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(ｑ)の値を前記記憶手段に記憶する第４の補助特定手順と、
　前記補助特定手順に換えて、前記記憶手段からＴdmax(ｑ)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
　　Ａ^{Ｔdmax(ｑ)χdmax}＝Ａ^{ΣＤi(χ)ｑi－Ｔdmax(ｑ)χdmax}
　　　　　　　　　　　＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(ｑ,χ)と、前記ｇ(ｑ)を用い、φq k(Ａ)＝Ａに基づいて、
　　Ａ^{ｖχdmax}＝Ａ^{ｇ(ｑ)ｆ(ｑ,χ)}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する第５の補助特定手順と、
　ＣＰＵが、前記記憶手段から前記ｈ(ｑ,χ)の値を読み出して、
　このｈ(ｑ,χ)のｑに関する定数項ｈ(０,χ)が、
　　Ａ^{ｖχdmax－ｈ(０,χ)}＝Ａ^{ｈ(ｑ,χ)－ｈ(０,χ)}
を満たすことを用いて、
　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ) により表される演算を行ってｓ'、ｈ'(ｑ)の値を前記記憶手段に記憶し、ｓ進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(ｑ,ａ)－ｈ(０,ａ)を用いる手順と、を実行させるためのべき乗算の演算プログラムを記録した電子計算機読取可能な記録媒体とした。
　本発明は、フロベニウス自己準同型写像φq用いて演算回数を削減すものであって、特に、スカラー倍算の場合には、Ｇの有理点Ｑに対し、
　　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑ
が成り立つことにより、また、べき乗算の場合には、ｑとｒの差分をｓ＝ｑ－ｒとし、Ｈの非零元Ａに対し、
　　φq(Ａ)＝Ａq＝Ａs
が成り立つことにより、スカラーｎをｔ-１進展開、またはべき数ｎをｓ進展開して、ｔ-１に換えて有理点に対するフロベニウス自己準同型写像φqを用い、またはｓに換えて元に対するフロベニウス自己準同型写像φqを用いることにより、スカラー倍算におけるスカラーｎ、またはべき乗算における乗数ｎが位数ｑを大きく上回ることのない場合でも、演算回数を削減可能として演算速度を向上させることができる。
　特に、ペアリングをベースとしたＩＤベース暗号やグループ署名などでは、ペアリングフレンドリ曲線と呼ばれるペアリングを利用可能な楕円曲線が用いられ、このペアリングフレンドリ曲線を用いる場合には、整数変数χを用いて位数ｑ(χ)、＃Ｅ(Ｆq)を割り切る素数位数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)があらかじめ与えられており、スカラー倍算の場合には、ｒ(χ)をｔ(χ)－１進展開するとともに、このｔ(χ)－１進展開の際に導入した係数Ｄi(χ)のうちでもっとも次数の高い係数Ｄi(χ)をＤdmax(χ)とし、このＤdmax(χ)を多項式ｈ(φq,χ)に置き換えることにより演算回数をさらに削減し、また、べき乗算の場合には、ｒ(χ)をｓ(χ)＝ｑ(χ)－ｒ(χ)進展開するとともに、このｓ(χ)進展開の際に導入した係数Ｄi(χ)のうちでもっとも次数の高い係数Ｄi(χ)をＤdmax(χ)とし、このＤdmax(χ)を多項式ｈ(φq,χ)に置き換えることにより演算回数をさらに削減し、それぞれ演算速度を向上させることができる。
　しかも、最高次数dmaxとなるＤi(χ)が複数存在する場合には、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
を満たすＶ(ｑ)を特定するとともに、
　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
を満たす整数のスカラーｖを用い、スカラー倍算の場合には、ｔ-１進展開したスカラーｎをＤdmax(χ)進展開する換わりにｖχdmax－ｈ(０,χ)進展開して、ｖχdmax－ｈ(０,χ)の換わりにｈ(ｑ,χ)－ｈ(０,χ)を用いることにより演算回数をさらに削減し、また、べき乗算の場合には、ｓ進展開したべき数ｎをＤdmax(χ)進展開する換わりにｖχdmax－ｈ(０,χ)進展開して、ｖχdmax－ｈ(０,χ)の換わりにｈ(ｑ,χ)－ｈ(０,χ)を用いることにより演算回数をさらに削減し、それぞれ演算速度を向上させることができる。
スカラー倍算の演算プログラム及びべき乗算の演算プログラムを備えた電子計算機の説明図。 スカラー倍算の演算プログラムのフローチャートである。 スカラー倍算の演算プログラムのフローチャートである。 Ｄdmax（χ）及び多項式ｈ（φq，χ）を求める補助プログラムのフローチャートである。 スカラー倍算の演算プログラムのフローチャートである。 多項式ｈ（φq，χ）及びｖχdmax－ｈ（０，χ）を求める補助プログラムのフローチャートである。 べき乗算の演算プログラムのフローチャートである。 べき乗算の演算プログラムのフローチャートである。 Ｄdmax（χ）及び多項式ｈ（ｑ，χ）を求める補助プログラムのフローチャートである。 べき乗算の演算プログラムのフローチャートである。 多項式ｈ（ｑ，χ）及びｖχdmax－ｈ（０，χ）を求める補助プログラムのフローチャートである。
符号の説明
　１０　電子計算機
　１１　ＣＰＵ
　１２　記憶装置
　１３　メモリ装置
　１４　バス
　１５　入出力制御部
　２０　電気通信回線
　３０　クライアント装置
　本発明は、スカラー倍算の演算の高速化及びべき乗算の演算の高速化を目的としたものであり、スカラー倍算とべき乗算というように演算自体は異なるが、高速化のための手法は同じであり、それぞれ同じように演算回数が削減されることにより、演算の高速化を可能としているものである。最初にスカラー倍算について説明し、次いでべき乗算について説明する。
　まず、楕円曲線をＥ／Ｆq＝ｘ3＋ａｘ＋ｂ－ｙ2＝０，ａ∈Ｆq，ｂ∈Ｆqとし、
　　Ｅ(Ｆq)：有限体Ｆqで定義される楕円曲線の有理点が成す加法群
　　Ｅ(Ｆq k)：有限体Ｆqの拡大体Ｆq kで定義される楕円曲線の有理点が成す加法群
　　φq：有限体Ｆqに関する有理点のフロベニウス自己準同型写像
　　ｔ：フロベニウス自己準同型写像φqのトレース
　　ｒ：Ｅ(Ｆq)の位数＃Ｅ(Ｆq)＝ｑ＋１－ｔを割り切る素数位数
　　Ｅ[ｒ]：位数が素数ｒである有理点の集合
　　[ｊ]：有理点をｊ倍する写像
　　Ｇ：Ｇ＝Ｅ[r]∩Ker(φq－[ｑ])を満たすＥ(Ｆq k)に含まれる有理点の集合
と定義する。
　そして、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、すなわちｎＱを演算する。なお、本実施形態で想定するスカラー倍算はペアリングの演算の際に行われるものであり、一般的にスカラーｎは位数ｒを大きく超えるものではない。
　また、ｒ＝ｑ＋１－ｔであることから、０≡ｑ＋１－ｔ(mod ｒ)である。
　ここで、スカラーｎをｔ－１進展開すると、スカラーｎが位数ｒを大きく超えるものではないことから、
　　ｎ＝Ｃ1(ｔ－１)＋Ｃ0
または、
　　ｎ＝(ｔ－１)2＋Ｃ1(ｔ－１)＋Ｃ0
となる。
　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑであるので、ｎ＝Ｃ1(ｔ－１)＋Ｃ0の場合、ｎＱは以下のようになる。
　　ｎＱ＝[Ｃ1(ｔ－１)＋Ｃ0]Ｑ
　　　　＝[Ｃ1ｑ]Ｑ＋[Ｃ0]Ｑ
　　　　＝φq([Ｃ1]Ｑ)＋[Ｃ0]Ｑ
　また、ｎ＝(ｔ－１)2＋Ｃ1(ｔ－１)＋Ｃ0場合には、ｎＱは以下のようになる。
　　ｎＱ＝[(ｔ－１)2＋Ｃ1(ｔ－１)＋Ｃ0]Ｑ
　　　　＝[ｑ][ｑ]Ｑ＋[Ｃ1ｑ]Ｑ＋[Ｃ0]Ｑ
　　　　＝φq(φq(Ｑ))＋φq([Ｃ1]Ｑ)＋[Ｃ0]Ｑ
　ここで、Ｃ1及びＣ0はｔ－１と同程度あるいはそれよりも小さくなり、しかも有理点のフロベニウス自己準同型写像を用いることができることによって演算回数を削減できる。したがって、スカラー倍算を高速化することができる。
　また、通常、ペアリングの演算を行う場合には、既知のペアリングフレンドリ曲線が用いられており、特に、整数変数χを用いて位数ｑ(χ)、＃Ｅ(Ｆq)を割り切る素数位数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)があらかじめ与えられていることが多い。
　ここで、[ｒ]Ｑ＝[ｑ＋１－ｔ]Ｑ＝Ｏであることを考慮しながら、ｒ(χ)をｔ(χ)－１で剰余をとる。すなわち、ｒ(χ)を、
　　[ｒ(χ)]Ｑ＝Σ[Ｄi(χ)(ｔ(χ)－１)i]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)
とｔ(χ)－１進展開して、Ｄi(χ)のうちでもっとも次数の高いものをＤdmax(χ)とする。
　そして、
　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
として定義されるφqとχを変数とする２変数の多項式ｆ(φq,χ)を導入する。
　さらに、φq kＱ＝Ｑに基づいて、
　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
として定義されるφqとχを変数とする２変数の多項式ｈ(φq,χ)を導入する。すなわち、この多項式ｈ(φq,χ)は、Ｄi(χ)のうちの最高次数のＤdmax(χ)を、φqとχを変数とする多項式ｈ(φq,χ)に置き換え可能であることを示しており、最高次数よりも小さい次数までの演算に抑えることができ、特に、χ＝ａとした場合には、ｔ-１進展開したスカラーｎをさらにＤdmax(ａ)進展開して、Ｄdmax(ａ)に換えてｈ(φq,ａ)を用いることによって演算回数を大きく削減でき、スカラー倍算を高速化することができる。
　また、Ｄi(χ)のうちでもっとも次数の高いものが複数存在する場合には、最高次数をdmaxで表すものとし、最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
を満たすＶ(φq)を特定する。ここで、多項式ｍ(χ)には円周等分多項式などを用いることができる。
　そして、拡張ユークリッドの互除法を用いて、
　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
を満たす整数のスカラーｖ及びｇ(φq)を特定し、
　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
としてφqとχを変数とする２変数の多項式ｆ(φq,χ)を導入する。
　さらに、ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
としてφqとχを変数とする２変数の多項式ｈ(φq,χ)を導入する。
　そして、このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
を満たすことを用いて、χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)とし、ｔ-１進展開したスカラーｎをＤdmax(ａ)進展開する換わりに{ｖａdmax－ｈ(０,ａ)}進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いることにより演算回数を減できるので、スカラー倍算を高速化することができる。ここで、ｈ'(φq)は、φqとχの２変数の多項式ｈ(φq,χ)において、χ＝ａとしたことによりφqの１変数となっていることを示している。
　ここまでスカラー倍算について説明したが、べき乗算の場合には、
　　Ｆq k：位数ｑの有限体Ｆqのｋ次拡大体
　　Ｈ：Ｆq kの素数位数ｒの部分乗法群
　　φq：有限体Ｆqに関する元のフロベニウス自己準同型写像
と定義して、非負整数ｎに対するＨの元Ａのｎ乗算を行うものであり、ｑとｒの差分をｓ＝ｑ－ｒとし、このｓをスカラー倍算におけるｔ－１に置き換えて上述の説明をべき乗算として読み換えるだけであり、詳細な説明は省略する。べき乗算の場合でも、最高次数部分の演算がより低い次数の演算に置き換えられることにより、演算回数を減してべき乗算を高速化することができる。
　以下において、既知のペアリングフレンドリ曲線を用いながら具体例を説明する。
　埋め込み次数８のペアリングフレンドリ曲線として、＃Ｅ(Ｆq)を割り切る素数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)が、
　　ｒ(χ)＝χ4－８χ2＋２５
　　ｔ(χ)＝(２χ3－１１χ＋１５)／１５
と与えられるものが知られている。
　この場合、ｒ(χ)をｔ(χ)－１進展開して、フロベニウス準同型写像φqを用いることにより、
　　２ｒ(χ)＝(１５χ)φq＋(－５χ2＋５０)
　　０≡(１５χ)φq＋(－５χ2＋５０)  (mod ｒ(χ))
となる。
　したがって、Ｄi(χ)は、
　　Ｄ0(χ)＝－５χ2＋５０
　　Ｄ1(χ)＝１５χ
となる。
　このうち、Ｄ0(χ)が最も次数が高いので、Ｄ0(χ)以外を右辺に移すことにより、
　　－５χ2＋５０＝１５χφq
となり、式を整理することにより、
　　χ2－１０＝３χφq
が得られる。
　したがって、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、または非負整数ｎに対するＨの元Ａのｎ乗算を行わせるべき乗算を行う場合には、非負整数ｎに対してｎをｔ－１進展開し、さらにχ2－１０進展開して、χ2－１０に換えて１５χφqを用いることにより、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を、有理点に対するフロベニウス自己準同型写像φqを用いて演算を行うことができ、演算回数を減してべき乗算を高速化することができる。
　他の埋め込み次数８のペアリングフレンドリ曲線として、＃Ｅ(Ｆq)を割り切る素数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)が
　　ｒ(χ)＝χ8－χ4＋１
　　ｔ(χ)＝χ5－χ＋１
と与えられた場合には、ｒ(χ)をｔ(χ)－１進展開し、フロベニウス準同型写像φqを用いることにより、
　　ｒ(χ)＝χ3φq＋１
　　０≡３φq＋１　(mod ｒ(χ))
となる。
　したがって、Ｄi(χ)は、
　　Ｄ0(χ)＝－１
　　Ｄ1(χ)＝χ3
となる。
　このうち、Ｄ1(χ)が最も次数が高いので、Ｄ1(χ)φq以外を右辺に移すことにより、
　　χ3φq＝－１
となり、両辺にφ-1を掛けることで
　　χ3＝－φq -1
が得られる。
　したがって、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、または非負整数ｎに対するＨの元Ａのｎ乗算を行わせるべき乗算を行う場合には、非負整数ｎに対してｎをｔ－１進展開し、さらにχ3進展開して、χ3に換えて－φq -1を用いることにより、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を、有理点に対するフロベニウス自己準同型写像φqを用いて演算を行うことができ、演算回数を減してべき乗算を高速化することができる。
　また、埋め込み次数１０のペアリングフレンドリ曲線の場合には、＃Ｅ(Ｆq)を割り切る素数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)が、
　　ｒ(χ)＝２５χ4＋２５χ3＋１５χ2＋５χ＋１
　　ｔ(χ)＝１０χ2＋５χ＋３
と与えられるものが知られている。
　この場合、ｒ(χ)をｔ(χ)－１進展開して、フロベニウス準同型写像φqを用いることにより、
　　８ｒ(χ)＝２φq 2－φq＋(５χ＋２)
　　０≡２φq 2－φq＋(５χ＋２)  (mod ｒ(χ))
となる。
　したがって、Ｄi(χ)は、
　　Ｄ0(χ)＝５χ＋２
　　Ｄ1(χ)＝－１
　　Ｄ2(χ)＝２
となる。
　このうち、Ｄ0(χ)が最も次数が高いので、Ｄ0(χ)以外を右辺に移すことにより
　　５χ＋２＝－２φq 2＋φq
が得られる。
　したがって、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、または非負整数ｎに対するＨの元Ａのｎ乗算を行わせるべき乗算を行う場合には、非負整数ｎに対してｎをｔ－１進展開し、さらに５χ＋２進展開して、５χ＋２に換えて－２φq 2＋φqを用いることにより、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を、有理点に対するフロベニウス自己準同型写像φqを用いて演算を行うことができ、演算回数を減してべき乗算を高速化することができる。
　また、埋め込み次数１２のペアリングフレンドリ曲線の場合には、＃Ｅ(Ｆq)を割り切る素数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)が、
　　ｒ(χ)＝３６χ4－３６χ3＋１８χ2－６χ＋１
　　ｔ(χ)＝６χ2＋１
と与えられるものが知られている。
　この場合、ｒ(χ)をｔ(χ)－１進展開して、フロベニウス準同型写像φqを用いることにより、
　　ｒ(χ)＝φq 2＋(－６χ＋３)φq＋(－６χ＋１)
　　０≡φq 2＋(－６χ＋３)φq＋(－６χ＋１)  (mod ｒ(χ))
となる。
　したがって、Ｄi(χ)は、
　Ｄ0(χ)＝－６χ＋１
　Ｄ1(χ)＝－６χ＋３
　Ｄ2(χ)＝１
となる。
　ここで、Ｄ0(χ)とＤ1(χ)が共に最も次数が高いので、Ｄ0(χ)とＤ1(χ)φqの最高次数を与えるχの項以外を右辺に移すことにより、
　　６χ(φq＋１)＝φq 2＋３φq＋１
となる。
　ここで、ｇ(φq)＝φq 4－φq 2＋１とすると、gcd(φq＋１,ｇ(φq))＝１を満たし、拡張ユークリッドの互除法より
　　(φq＋１)-1≡φq 2(１－φq)  (mod ｇ(φq))
が得られる。
　したがって、両辺にφq 2(１－φq)を乗じることにより、
　　６χ＝φq 2(１－φq)(φq 2＋３φq＋１)
が得られる。
　したがって、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、または非負整数ｎに対するＨの元Ａのｎ乗算を行わせるべき乗算を行う場合には、非負整数ｎに対してｎをｔ－１進展開し、さらに６χ進展開して、６χに換えてφq 2(１－φq)(φq 2＋３φq＋１)を用いることにより、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を、有理点に対するフロベニウス自己準同型写像φqを用いて演算を行うことができ、演算回数を減してべき乗算を高速化することができる。
　より具体的な例として、χ＝８２５(１０ビット)とする。このとき、
　　ｒ＝１６６５６８１１７４６３０１(４４ビット)
　　ｔ＝４０８３７５１(２２ビット)
である。
　この場合、
　　６χ＝４９５０(１３ビット)＝φq 2(１－φq)(φq 2＋３φq＋１)
となるので、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を行う場合には、有理点に対するフロベニウス自己準同型写像φqを用いて１３ビット程度のスカラー倍算またはべき乗算に変換してから演算を行うこととなり、演算回数の大幅な削減が可能となっている。
　また、埋め込み次数１８のペアリングフレンドリ曲線の場合には、＃Ｅ(Ｆq)を割り切る素数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)が、
　　ｒ(χ)＝χ6＋３７χ3＋３４３
　　ｔ(χ)＝(χ4＋１６χ＋７)／７
と与えられるものが知られている。
　この場合、ｒ(χ)をｔ(χ)－１進展開して、フロベニウス準同型写像φqを用いることにより、
　　ｒ(χ)＝（７χ2)φq＋(２１χ3＋３４３)
　　０≡（７χ2)φq＋(２１χ3＋３４３)  (mod ｒ(χ))
となる。
　したがって、Ｄi(χ)は、
　　Ｄ0(χ)＝２１χ3－３４３
　　Ｄ1(χ)＝７χ2
となる。
　このうち、Ｄ0(χ)が最も次数が高いので、Ｄ0(χ)以外を右辺に移すことにより、
　　２１χ3－３４３＝７χ2φq
となり、式を整理することによって、
　　χ3－４９＝χ2φq
が得られる。
　したがって、非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算、または非負整数ｎに対するＨの元Ａのｎ乗算を行わせるべき乗算を行う場合には、非負整数ｎに対してｎをｔ－１進展開し、さらにχ3－４９進展開して、χ3－４９に換えてχ2φqを用いることにより、Ｇの有理点のスカラーｎ倍算またはＨの元Ａのｎ乗算を、有理点に対するフロベニウス自己準同型写像φqを用いて演算を行うことができ、演算回数を減してべき乗算を高速化することができる。
　最後に、スカラー倍算の演算プログラム及びべき乗算の演算プログラムについて詳説する。なお、スカラー倍算の演算プログラム及びべき乗算の演算プログラムは、本実施形態では、ＩＤベース暗号やグループ署名などを電子計算機で実行している際に、サブルーチンの一つとしてそれぞれ実行されるものである。
　図１に示すように、スカラー倍算の演算プログラム及びべき乗算の演算プログラムを実行する電子計算機１０は、演算処理を実行するＣＰＵ１１と、所要のプログラムやデータを記憶したハードディスクなどの記憶装置１２と、所要のプログラムを展開して実行可能とするとともに、演算にともなって生成されたデータを一時的に記憶するＲＡＭなどで構成されたメモリ装置１３を備えている。図１中、１４はバスである。本実施形態では、記憶装置１２には、メインルーチンのプログラムやスカラー倍算の演算プログラム及びべき乗算の演算プログラムなどの各種プログラム、及びこれらのプログラムが使用するデータを記憶させている。
　電子計算機１０が、例えばグループ署名における認証装置として機能する場合には、インターネットなどの電気通信回線２０に接続して、この電気通信回線２０に接続されたクライアント装置３０から送信されたグループ署名の署名データを受信し、メモリ装置１３に一次的に記憶して、グループ署名用のプログラムに基づいて署名データの正当性を判定して認証処理を行っている。図１中、１５は電子計算機１０の入出力制御部である。
　スカラー倍算の演算プログラム及びべき乗算の演算プログラムは、それぞれ署名データの正当性を判定する処理を行う際に数多く実行されるものであり、以下においては、スカラー倍算の演算プログラム、及びべき乗算の演算プログラムについてのみ説明する。なお、本発明に係るスカラー倍算の演算プログラム及びべき乗算の演算プログラムは、グループ署名の処理において用いられるものではなく、多種多様な用途で用いられるものである。しかも、本発明に係るスカラー倍算の演算プログラム及びべき乗算の演算プログラムは、記憶装置１２や電子計算機で読み取り可能な記録媒体に、或いはサーバからダウンロードして記憶装置に記憶可能な形態である場合だけでなく、半導体回路として構成することによりいわゆるハードウェア実装される形態であってもよい。
　まず、ｔ－１進展開によるスカラー倍算ｎＱについて説明する。
　図２は、スカラー倍算ｎＱ（＝Ｚ）を求めるフローチャート図である。スカラー倍算の演算プログラムを実行させて電子計算機をスカラー倍算機として機能させる。図２に示すように、はじめに、ＣＰＵ１１は、クライアント装置３０から電気通信回線２０、入出力制御部１５を介して、スカラーｎと、Ｅ(Ｆq)のフロベニウス自己準同型写像のトレースｔと、有理点Ｑ∈Ｇ⊂Ｅ(Ｆq k)の値を入力し、メモリ装置１３に記憶する（ステップＳ１０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、ＣＰＵ１１は、演算結果を格納するＺをメモリ装置１３に確保して、このＺを初期化（Ｚ←Ｏ）する（ステップＳ１０２）。従って、電子計算機は、入力手段として機能する。ＣＰＵ１１は、入力したＱに対して、２jＱにより表される演算を実行する（ステップＳ１０３）。
　ステップＳ１０３では、Ｔ[ｊ]＝２jＱとして、ＣＰＵ１１は、メモリ装置１３からＱ、ｔの値を読み出し、以下のアルゴリズムを実行している。
（１）for(j=0;j<「log2s」;j++)
（２）　　T[j]←Q
（３）　　Q←Q+Q
（４）End for
ここで、(1)の「log2s」は、厳密には、
Figure JPOXMLDOC01-appb-M000026
 であるが、表記上の制限のため、「」を用いている。ここで、ＣＰＵ１１は、ｓ=ｔ-１とし、jを自然数として、T[j]←Q及びQ←Q+Qにより表される代入演算をj=０からj<「log2s」まで繰り返して実行し、メモリ装置１３に演算結果の値を記憶する。なお、以下において、アルゴリズム中の「」は同じ意味に用いる。
　次いで、ｔ－１＝ｓとして、ＣＰＵ１１は、メモリ装置１１からｃ［ｉ]、ｓ、スカラーｎの値を読み出し、転換手段として機能して、スカラーｎを、
Figure JPOXMLDOC01-appb-M000027
 とｓ進展開する（ステップＳ１０４）。ここで、ｉは自然数であり、ｉの大きさは、ｎの大きさによって決定されるものである。
　ステップＳ１０４では、ｓ進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　c[i]←n％s
（３）　　n←(n-c[i])/s
（４）End for
ここで、「％」は、剰余をとっていることを表している。即ち、ＣＰＵ１１は、メモリ装置１３からｃ［ｉ]、ｓ、ｎの値を読み出して、c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０からi<「logsn」まで繰り返して実行して、各係数ｃ［ｉ]、及びスカラーｎの値をメモリ装置１３に記憶する。
　次いで、本実施形態では、電子計算機は、第２の演算手段として、Ｑ[ｉ]＝ｃ[ｉ]Ｑの演算を行う（ステップＳ１０５）。
　ステップＳ１０５では、バイナリ法を用いており、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　Q[i]←O
（３）　　for(j=0;c[i]!=0;i++)
（４）　　　　if(c[i]＆1)
（５）　　　　　　Q[i]←Q[i]+T[j]
（６）　　　　End if
（７）　　　　c[i]←c[i]/2
（８）　　End for
（９）End for
　即ち、ＣＰＵ１１は、ｉ＝０からi<「logsn」まで、Q[i]←０の代入演算によりメモリ装置１１に記憶されたQ[i]を初期化し、更に、以下の演算を繰り返して実行する。ＣＰＵ１１はメモリ装置１３から係数Q［ｉ]、Ｔ［j]の値を読み出し、c[i]＆1の場合にQ[i]←Q[i]＋T[j]により表される代入演算を、その他の場合にc[i]←c[i]/2により表される代入演算を、j＝０からc[i]!=0まで繰り返して実行し、各Q[i]及び係数ｃ［ｉ]の値をメモリ装置１３に記憶する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ１０５で演算したＱ[ｉ]を用いて、スカラー倍算ｎＱを、
Figure JPOXMLDOC01-appb-M000028
 によって合成する（ステップＳ１０６）。
　ステップＳ１０６では、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　Z←Z+φq i(Q[i])
（３）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からＱ［ｉ]、Ｚの値を読み出して、Z←Z+φq i(Q[i])により表される代入演算をｉ＝０からi<「logsn」まで繰り返して実行し、メモリ装置１３にＺの値を記憶する。
　そして、電子計算機は、出力手段として機能し、スカラー倍算の演算プログラムの実行結果として、入出力制御部１５からＺの値を出力し（ステップＳ１０７）、スカラー倍算の演算プログラムを終了している。これによって、スカラーｎをlogsn分割したので、φqを用いることで楕円２倍算の演算回数をおよそ１/（logsn）に削減することができる。
　また、楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)とあらかじめ特定されている場合には、ｒ(χ)をｔ(χ)－１進展開することにより
　　[ｒ(χ)]Ｑ＝Σ[Ｄi(χ)(ｔ(χ)－１)i]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)
として表されるＤi(χ)のうちでもっとも次数の高いものをＤdmax(χ)とし、
　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)を用い、φq kＱ＝Ｑに基づいて
　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)と、Ｄdmax(χ)を用いることにより、スカラー倍算ｎＱをより高速化することができる。
　すなわち、Ｄdmax(χ)及び多項式ｈ(φq,χ)が特定されている場合には、χ＝ａとしてスカラーｎをＤdmax(ａ)進展開して、Ｄdmax(ａ)に換えてｈ(φq,ａ)を用いることにより、演算回数を削減している。
　Ｄdmax(χ)及び多項式ｈ(φq,χ)が特定されている場合のスカラー倍算ｎＱでは、スカラー倍算の演算プログラムを実行させて電子計算機をスカラー倍算機として機能させる。この際に、図３に示すように、はじめに、ＣＰＵ１１は、スカラーｎと、χ＝ａとしてｓ＝Ｄdmax(ａ)及びｈ'(φq)＝ｈ(φq,ａ)と、有理点Ｑ∈Ｇ⊂Ｅ(Ｆq k)の各値を入力してメモリ装置１３に記憶する（ステップＳ２０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、電子計算機は、初期化手段として機能する。即ち、ＣＰＵ１１は、演算結果を格納するＺをメモリ装置１３に確保して初期化（Ｚ←Ｏ）する（ステップＳ２０２）。そして、電子計算機は第１の演算手段として機能する。即ち、ＣＰＵ１１は、入力されたＱに対して、２jＱをあらかじめ演算しておく（ステップＳ２０３）。ステップＳ２０３の演算はステップＳ１０３の演算とアルゴリズムは同じであるので、説明は省略する。
　次いで、電子計算機は、第１の展開手段として機能し、スカラーｎを、
Figure JPOXMLDOC01-appb-M000029
 とｓ進展開する（ステップＳ２０４）。ステップＳ２０４でのｓ進展開は、ステップＳ１０４でのｓ進展開とアルゴリズムは同じであるので、説明は省略する。
　次いで、電子計算機は、第２の展開手段として機能し、スカラーｎを、ｈ'(φq)及びｃ[ｉ]を用いながら、
Figure JPOXMLDOC01-appb-M000030
 とφq進展開する（ステップＳ２０５）。
　ステップＳ２０５では、φq進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）T(φq)←１
（２）for(i=0;i<「logsn」;i++)
（３）　　d[i]←c[i]
（４）　　if(d[i]≧s)
（５）　　　　for(j=0;j<「logsd[i]」;j++)
（６）　　　　　　e[j]←d[i]％s
（７）　　　　　　d[i]←(d[i]-e[j])％s
（８）　　　　End for
（９）　　　　U(φq)←１
（10）　　　　for(j=0;j<「logsd[i]」;j++)
（11）　　　　　　U(φq)←{U(φq)*e[j]*h'(φq)j}％(φq k-1)
（12）　　　　End for
（13）　　　　T(φq)←{T(φq)+U(φq)*h'(φq)i}％(φq k-1)
（14）　　End if
（15）　　else
（16）　　　　T(φq)←{T(φq)+d[i]*h'(φq)i}％(φq k-1)
（17）　　End else
（18）End for
　即ち、ＣＰＵ１１は、メモリ装置１３に記憶されたT(φq)を１に初期化する。ＣＰＵ１１は、メモリ装置１３からc[i]の値を読み出し、d[i]←c[i]の代入演算を行ってd[i]の値をメモリ装置１３に記憶する。次に、ＣＰＵ１１は、メモリ装置１３からd[i]、ｓの値を読み出して、d[i]≧sを満たす場合にはe[j]←d[i]％s及びd[i]←(d[i]-e[j])％sにより表される代入演算をj=0からj<「logsd[i]」まで繰り返し実行し、U(φq)←１に初期化した後にU(φq)←{U(φq)*e[j]*h'(φq)j}％(φq k-1)により表される演算をj=0からj<「logsd[i]」まで繰り返し実行し、次にT(φq)←{T(φq)+d[i]*h'(φq)i}％(φq k-1)により表される演算を実行して、T(φq)の値をメモリ装置１３に記憶する。ＣＰＵ１１は、d[i]≧sを満たさない場合はT(φq)←{T(φq)+d[i]*h'(φq)i}％(φq k-1)により表される演算を実行してT(φq)の値をメモリ装置１３に記憶する。ＣＰＵ１１は、以上の演算を、i=0からi<「logsn」まで繰り返して実行し、各ｉにおけるd[i]、T(φq)の値をメモリ装置１１に記憶する。
　なお、スカラーｎをφq進展開した場合に、φq進展開の係数d[i]がｓよりも大きくなることがある。ＣＰＵ１１は、φq進展開の係数d[i]とｓとを比較して、φq進展開の係数d[i]がｓよりも大きいと判定した場合（ステップＳ２０６：ＮＯ）には、φq進展開の係数d[i]に対してｓの剰余をとることにより、φq進展開の係数d[i]がｓよりも小さくなるように調整している（ステップＳ２０７）。この場合、電子計算機は、ステップＳ２０６において比較手段として機能し、ステップＳ２０７において調整手段として機能する。
　ステップＳ２０７では、電子計算機は、以下のアルゴリズムを実行している。
（１）until(∀d[i]＜ｓ)
（２）　　for(i=0;i<k-1;i++)
（３）　　　　d[i]←the i-th coefficient of T(φq)
（４）　　　　if(d[i]≧s)
（５）　　　　　　the i-th coefficient of T(φq)←0
（６）　　　　　　for(j=0;j<「logsd[i]」;j++)
（７）　　　　　　　　e[j]←d[i]％s
（８）　　　　　　　　d[i]←(d[i]-e[j])％s
（９）　　　　　　End for
（10）　　　　　　U(φq)←１
（11）　　　　　　for(j=0;j<「logsd[i]」;j++)
（12）　　　　　　　　U(φq)←{U(φq)*e[j]*h'(φq)j}％(φq k-1)
（13）　　　　　　End for
（14）　　　　T(φq)←{T(φq)+U(φq)*φq i}％(φq k-1)
（15）　　　　End if
（16）　　End for
（17）End until
　即ち、ＣＰＵ１１は、メモリ装置１３からT(φq)のｉ番目の係数の値を読み出してd[i]にその値を記憶し、d[i]とｓの値を比較する。ＣＰＵ１１は、d[i]≧sを満たす場合に、T(φq)のｉ番目の係数に０を記憶し、e[j]←d[i]％s及びd[i]←(d[i]-e[j])％sにより表される演算をj=0からj<「logsd[i]」まで繰り返し実行し、次にU(φq)←１に初期化した後に、U(φq)←{U(φq)*e[j]*h'(φq)j}％(φq k-1)により表される演算を、j=0からj<「logsd[i]」まで繰り返し実行し、次にT(φq)←{T(φq)+U(φq)*φq i}％(φq k-1)により表される演算を実行してメモリ装置１３にT(φq)の値を記憶する。ＣＰＵ１１は、d[i]≧sを満たさない場合には上記一連の演算を行わない。ＣＰＵ１１は、以上の演算をi=0からi<k-1まで繰り返し実行し、これを∀d[i]＜ｓを満たすまで行う。
　次いで、電子計算機は、第２の演算手段として機能し、Ｑ[ｉ]＝ｄ[ｉ]Ｑの演算を行う（ステップＳ２０８）。
　ステップＳ２０８でも、バイナリ法を用いており、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<k;i++)
（２）　　Q[i]←O
（３）　　for(j=0;d[i]!=0;i++)
（４）　　　　if(d[i]＆1)
（５）　　　　　　Q[i]←Q[i]+T[j]
（６）　　　　End if
（７）　　　　d[i]←d[i]/2
（８）　　End for
（９）End for
　即ち、ＣＰＵ１１はメモリ装置１３からd[i]及びT[j]の値を読み出して、Q[i]←OとしてQ[i]を初期化した後に、d[i]＆1を満たす場合は、Q[i]←Q[i]+T[j]により表される代入演算を、d[i]＆1を満たさないときはd[i]←d[i]/2の代入演算を実行して、Q[i]及びd[i]の値をメモリ装置１３に記憶する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ２０８で演算したＱ[ｉ]を用いて、スカラー倍算ｎＱを、
Figure JPOXMLDOC01-appb-M000031
 によって合成する（ステップＳ２０９）。
　ステップＳ２０９では、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<k;i++)
（２）　　Z←Z+φq i(Q[i])
（３）End for
　即ち、ＣＰＵ１１はメモリ装置１３からＺ及びQ[i]の値を読み出して、Z←Z+φq i(Q[i])により表される代入演算を、i=0からi<kまで繰り返して実行して、メモリ装置１３にＺの値を記憶する。ＣＰＵ１１は、入出力制御部１５からＺの値を出力する。つまり、電子計算機は、出力手段として機能し、スカラー倍算の演算プログラムの実行結果として、Ｚを出力し（ステップＳ２１０）、スカラー倍算の演算プログラムを終了している。これによって、スカラーｎをlogsn分割したので、φqを用いることで楕円２倍算の演算回数をおよそdegDdmax(χ)/degr(χ)に削減することができる。
　Ｄdmax(χ)及び多項式ｈ(φq,χ)は、楕円曲線の有限体Ｆqの位数ｑ(χ)、＃Ｅ(Ｆq)を割り切る素数位数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)があらかじめ与えられていることから、あらかじめ特定でき、ｑ(χ)、ｒ(χ)及びｔ(χ)とともに、Ｄdmax(χ)と多項式ｈ(φq,χ)をスカラー倍算の演算プログラムに組み込んでもよいし、ｒ(χ)及びｔ(χ)を用いて以下の補助プログラムによって、Ｄdmax(χ)と多項式ｈ(φq,χ)を求めてもよい。
　電子計算機は、補助プログラムを起動させると、図４に示すように、はじめに、入力手段として機能する。即ち、ＣＰＵ１１は、ｒ(χ)とｔ(χ)の値を入力してメモリ装置１３に記憶する（ステップＳ２２１）。
　次いで、電子計算機は、展開手段として機能し、入力されたｔ(χ)を用いて、ｔ(χ)－１＝ｓ(χ)として、ｒ(χ)を、
Figure JPOXMLDOC01-appb-M000032
 とｓ(χ)進展開する（ステップＳ２２２）。ここで、ｉの大きさは、ｒ(χ)及びｓ(χ)から自動的に決定される。ステップＳ２２２では、ｓ(χ)進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　Di(χ)←r(χ)％s(χ)
（３）　　r(χ)←(r(χ)-Di(χ))/s(χ)
（４）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からｒ(χ)及びｓ(χ)の値を読み出して、Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、i=0からi<degr(χ)/degs(χ)まで繰り返し実行し、メモリ装置１３にDi(χ)及びr(χ)の値を記憶する。
　次いで、電子計算機は、抽出手段として機能し、deg(Ｄi(χ))が最大のものを抽出して、Ｄdmax(χ)として出力する（ステップＳ２２３）。即ち、ＣＰＵ１１は、メモリ装置１３からDi(χ)の値を読み出して比較し、最大のDi(χ)をＤdmax(χ)としてその値をメモリ装置１３に記憶する。
　次いで、電子計算機は、演算手段として機能する。即ち、ＣＰＵ１１は、
Figure JPOXMLDOC01-appb-M000033
 の演算を行って多項式ｈ(φq,χ)を特定し、メモリ装置１３にその値を記憶し、出力している（ステップＳ２２４）。このようにして、電子計算機では、補助プログラムを用いてＤdmax(χ)及び多項式ｈ(φq,χ)を求めることができる。このＤdmax(χ)及び多項式ｈ(φq,χ)を図３のステップ２０１に用いることで図３に示すスカラー倍算により楕円２倍算の演算回数をおよそdegDdmax(χ)/degr(χ)に削減することができる。
　また、楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)とあらかじめ特定されているとともに、ｒ(χ)をｔ(χ)－１進展開することにより
　　[ｒ(χ)]Ｑ＝Σ[Ｄi(χ)(ｔ(χ)－１)i]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)
として表されるＤi(χ)において最高次数dmaxとなるＤi(χ)が複数存在する場合には、最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
を満たすＶ(φq)を特定し、
　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
を満たす整数のスカラーｖ及びｇ(φq)を拡張ユークリッドの互除法により特定し、
　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
となる多項式ｆ(φq,χ)と、ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
となる多項式ｈ(φq,χ)を特定し、このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
を満たすことを用いることにより、スカラー倍算ｎＱをより高速化することができる。
　すなわち、χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)とし、スカラーｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いることにより、演算回数を削減している。
　ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)が特定されている場合のスカラー倍算ｎＱでは、スカラー倍算の演算プログラムを実行させて電子計算機をスカラー倍算機として機能させる。その際に、図５に示すように、はじめに、ＣＰＵ１１は、スカラーｎと、χ＝ａとしてスカラーｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)と、有理点Ｑ∈Ｇ⊂Ｅ(Ｆq k)の値を入力してメモリ装置１３に記憶する（ステップＳ３０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、電子計算機は初期化手段として機能し、ＣＰＵ１１は、メモリ装置１３に演算結果を格納するＺを確保して、初期化（Ｚ←Ｏ）する（ステップＳ３０２）。そして、電子計算機は第１の演算手段として機能し、ＣＰＵ１１はメモリ装置１３に記憶されたＱの値を読み出して、２jＱをあらかじめ演算し、メモリ装置１３に記憶しておく（ステップＳ３０３）。ステップＳ３０３の演算はステップＳ１０３の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じなので、説明は省略する。
　次いで、電子計算機は、第１の展開手段として機能し、スカラーｎを、
Figure JPOXMLDOC01-appb-M000034
 とｓ'進展開する（ステップＳ３０４）。ステップＳ３０４でのｓ'進展開は、ステップＳ２０４でのｓ進展開とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じなので、説明は省略する。
　次いで、電子計算機は、第２の展開手段として機能し、スカラーｎを、ｈ'(φq)及びｃ[ｉ]を用いながら、
Figure JPOXMLDOC01-appb-M000035
 とφq進展開する（ステップＳ３０５）。ステップＳ３０５でのφq進展開は、スカラーｓ'(＝ｖａdmax－ｈ(０,ａ)）が、ステップＳ２０５でのスカラーｓ(＝Ｄdmax(ａ))とは異なる点以外では、ステップＳ２０５でのｓ進展開とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるため、詳細な説明は省略する。
　ステップＳ３０５でのφq進展開でも、φq進展開の係数がｓ'よりも大きくなることがある。このように、φq進展開の係数がｓ'よりも大きい場合（ステップＳ３０６：ＮＯ）には、φq進展開の係数に対してｓ'の剰余をとることにより、φq進展開の係数がｓ'よりも小さくなるように調整している（ステップＳ３０７）。このステップＳ３０７での演算も、スカラーｓ'(＝ｖａdmax－ｈ(０,ａ)）が、ステップＳ２０７でのスカラーｓ(＝Ｄdmax(ａ))とは異なる点以外では、ステップＳ２０７での演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるため、詳細な説明は省略する。この場合、電子計算機は、ステップＳ３０６において比較手段として機能し、ステップＳ３０７において調整手段として機能する。
　次いで、電子計算機は、第２の演算手段として機能し、Ｑ[ｉ]＝ｄ[ｉ]Ｑの演算を行う（ステップＳ３０８）。ステップＳ３０８でも、バイナリ法を用いており、ステップＳ３０８の演算もステップＳ２０８の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるので、説明は省略する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ３０８で演算したＱ[ｉ]を用いて、スカラー倍算ｎＱを、
Figure JPOXMLDOC01-appb-M000036
 によって合成する（ステップＳ３０９）。ステップＳ３０９の演算もステップＳ２０９の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるので、説明は省略する。
　そして、電子計算機は、出力手段として機能し、スカラー倍算の演算プログラムの実行結果として、Ｚを出力し（ステップＳ３１０）、スカラー倍算の演算プログラムを終了している。これによって、スカラーｎをlogsn分割したので、φqを用いることで楕円２倍算の演算回数をおよそdmax/degr(a)に削減することができる。
　多項式ｈ(φq,χ)及びｖχdmax－ｈ(０,χ)は、楕円曲線の有限体Ｆqの位数ｑ(χ)、＃Ｅ(Ｆq)を割り切る素数位数ｒ(χ)、フロベニウス自己準同型写像φqのトレースｔ(χ)があらかじめ与えられていることから、あらかじめ特定できるので、ｑ(χ)、ｒ(χ)及びｔ(χ)とともに、多項式ｈ(φq,χ)及びｖχdmax－ｈ(０,χ)をスカラー倍算の演算プログラムに組み込んでもよいし、ｒ(χ)及びｔ(χ)を用いて以下の補助プログラムによって、多項式ｈ(φq,χ)及びｖχdmax－ｈ(０,χ)を求めてもよい。
　電子計算機は、補助プログラムを起動させると、図６に示すように、はじめに、入力手段として機能する。ＣＰＵ１１は、入力したｒ(χ)、ｔ(χ)及びｍ(χ)の値をメモリ装置１３に記憶する（ステップＳ３２１）。ここで、ｍ(χ)はｒ(χ)｜ｍ(χ)を満たす最小次数の多項式であり、一般的には円周等分多項式が用いられる。
　次いで、電子計算機は、展開手段として機能し、入力されたｔ(χ)を用いて、ｔ(χ)－１＝ｓ(χ)として、ｒ(χ)を、
Figure JPOXMLDOC01-appb-M000037
 とｓ(χ)進展開する（ステップＳ３２２）。ここで、ｉの大きさは、ｒ(χ)及びｓ(χ)から自動的に決定される。ステップＳ３２２では、ｓ(χ)進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　Di(χ)←r(χ)％s(χ)
（３）　　r(χ)←(r(χ)-Di(χ))/s(χ)
（４）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からr(χ)及びχの値を読出し、Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される演算をi=0からi<「degr(χ)/degs(χ)」まで繰り返し実行し、メモリ装置１３にDi(χ)及びr(χ)の値を記憶する。
　次いで、電子計算機は、第１の特定手段として機能し、deg(Ｄi(χ))の最大の次数dmaxの項であるχdmaxの係数を抽出して、抽出された係数の和をＴ(φq,χ)とし、それ以外の和をＵ(φq,χ)とする（ステップＳ３２３）。ステップＳ３２３では、ＣＰＵ１１は、具体的に以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　T(φq,χ)←0,U(φq,χ)←0
（３）　　if(deg(Di(χ))=dmax)
（４）　　　　T(φq,χ)←T(φq,χ)+Di(χ)φq i
（５）　　End if
（６）　　else
（７）　　　　U(φq,χ)←U(φq,χ)+Di(χ)φq i
（８）　　End else
（９）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からr(χ)、s(χ)及びDi(χ)の値を読出し、T(φq,χ)←0,U(φq,χ)←0の初期化処理を行った後に、deg(Di(χ))=dmaxを満たす場合はT(φq,χ)←T(φq,χ)+Di(χ)φq iにより表される代入演算を、deg(Di(χ))=dmaxを満たさない場合はU(φq,χ)←U(φq,χ)+Di(χ)φq iにより表される代入演算を、i=0からi<「degr(χ)/degs(χ)」まで繰り返して実行し、メモリ装置１３にT(φq,χ)及びU(φq,χ)を記憶する。
　次いで、電子計算機は、第２の特定手段として機能する。ＣＰＵ１１は、ステップＳ３２３で特定したＴ(φq,χ)の最高次数係数Ｔdmax(φq)を特定し、メモリ装置１３に記憶する（ステップＳ３２４）。
　次いで、電子計算機は、第３の特定手段として機能し、ステップＳ３２４で特定した最高次数係数Ｔdmax(φq)を用い、
　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
を満たすＶ(φq)を特定する（ステップＳ３２５）。ステップＳ３２５では、ＣＰＵ１１は、具体的に以下のアルゴリズムを実行している。
（１）W(φq)←gcd(Tdmax(φq),m(φq))
（２）V(φq)←W(φq)
　即ち、ＣＰＵ１１は、メモリ装置１３からTdmax(φq)及びm(φq)の値を読出し、W(φq)←gcd(Tdmax(φq),m(φq))及びV(φq)←W(φq)により表される演算を実行して、メモリ装置１３に、W(φq)及びV(φq)の値を記憶する。
　次いで、電子計算機は、第４の特定手段として機能する。即ち、ＣＰＵ１１はメモリ装置１３から、ステップＳ３２５で特定したＶ(φq)を読み出して、
　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
を満たすスカラーｖ及びｇ(φq)を、拡張ユークリッドの互除法によって特定し、メモリ装置１３に記憶する（ステップＳ３２６）。この拡張ユークリッドの互除法は、一般的なライブラリにおいて準備されている既知のプログラムに基づいて実行されるものであり、特に、ｇ(φq)の係数及びスカラーｖが小さくなるようにしておくことが望ましい。
　次いで、ＣＰＵ１１は、ステップＳ３２６で特定したｇ(φq)をメモリ装置１３から読み出し、
Figure JPOXMLDOC01-appb-M000038
 の演算を行って多項式ｈ(φq,χ)を特定し（ステップＳ３２７）、多項式ｈ(φq,χ)及びｖχdmax－ｈ(０,χ)の値をメモリ装置１３に記憶し出力している（ステップＳ３２８）。このようにして、電子計算機では、補助プログラムを用いて多項式ｈ(φq,χ)及びｖχdmax－ｈ(０,χ)を求めることができる。この場合、電子計算機は、ステップＳ３２７において演算手段として機能し、ステップＳ３２８において出力手段として機能する。このｖχdmax－ｈ(０,χ)及び多項式ｈ(φq,χ)を図５のステップ３０１に用いることで図５に示すスカラー倍算により楕円２倍算の演算回数をおよそdmax/degr(χ)に削減することができる。
　以下において、べき乗算の演算プログラムについて説明する。まず、ｔ－１進展開によるべき乗算Ａnについて説明する。
　べき乗算の演算プログラムを実行させて電子計算機をべき乗算として機能させる際に、図７に示すように、はじめに、べき数ｎと、位数ｑとＦq kの素数位数ｒとの差分ｓと、元Ａ∈Ｈ⊂Ｆq kが入力される（ステップＳ４０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、電子計算機は、初期化手段として機能する。即ち、ＣＰＵ１１は、演算結果を格納するＺをメモリ装置１３に確保して、このＺを初期化（Ｚ←１）する（ステップＳ４０２）。そして、電子計算機は第１の演算手段として機能する。ＣＰＵ１１は、元Ａの値を入力してメモリ装置１３に記憶し、Ｘ^{Ｙ}はＸYを表すものとして、入力された元Ａに対して、Ａ^{２j}をあらかじめ演算しておく（ステップＳ４０３）。
　ステップＳ４０３では、Ｔ[ｊ]＝Ａ^{２j}として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(;j++)
（２）　　T[j]←A
（３）　　A←A*A
（４）End for
　即ち、ＣＰＵ１１は、メモリ装置１３から元Ａ、ｓの値を読み出して、T[j]←A及びA←A*Aにより表される代入演算を、j=0からj<「log2s」まで繰り返して実行し、メモリ装置１３にT[j]及びAの値を記憶する。
　次いで、電子計算機は、展開手段として機能し、べき数ｎを、差分ｓにより
Figure JPOXMLDOC01-appb-M000039
 とｓ進展開する（ステップＳ４０４）。ここで、ｉの大きさは、ｎの大きさによって決定するものである。
　ステップＳ４０４では、ｓ進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　c[i]←n％s
（３）　　n←(n-c[i])/s
（４）End for
ここで、「％」は、剰余をとっていることを表している。即ち、ＣＰＵ１１は、メモリ装置１３からｎ、ｓの値を読み出して、c[i]←n％s及びn←(n-c[i])/sにより表される演算を、i=0からi<「logsn」まで繰り返して実行し、メモリ装置１３に各係数c[i]及びｎの値を記憶する。
　次いで、本実施形態では、電子計算機は、第２の演算手段として機能し、Ａ[ｉ]＝Ａc[i]の演算を行う（ステップＳ４０５）。
　ステップＳ４０５では、バイナリ法を用いており、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　A[i]←1
（３）　　for(j=0;c[i]!=0;i++)
（４）　　　　if(c[i]＆1)
（５）　　　　　　A[i]←A[i]*T[j]
（６）　　　　End if
（７）　　　　c[i]←c[i]/2
（８）　　End for
（９）End for
　即ち、ＣＰＵ１１は、ｉ＝０からi<「logsn」まで、Ａ[i]←１の代入演算によりメモリ装置１１に記憶されたＡ[i]を初期化し、更に、以下の演算を繰り返して実行する。ＣＰＵ１１はメモリ装置１３から係数ｃ［ｉ]、Ｔ［j]の値を読み出し、c[i]＆1の場合にQ[i]←Q[i]＊T[j]により表される代入演算を、その他の場合にc[i]←c[i]/2により表される代入演算を、j＝０からc[i]!=0まで繰り返して実行し、各Q[i]及び係数ｃ［ｉ]の値をメモリ装置１３に記憶する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ４０５で演算したＡ[ｉ]を用いて、べき乗算Ａnを、
Figure JPOXMLDOC01-appb-M000040
 によって合成する（ステップＳ４０６）。
　ステップＳ４０６では、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「logsn」;i++)
（２）　　Z←Z*φq i(A[i])
（３）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からＡ［ｉ]、Ｚの値を読み出して、Z←Z＊φq i(Ａ[i])により表される代入演算をｉ＝０からi<「logsn」まで繰り返して実行し、メモリ装置１３にＺの値を記憶する。
　そして、電子計算機は、出力手段として機能し、べき乗算の演算プログラムの実行結果として、入出力制御部１５からＺの値を出力し（ステップＳ４０７）、べき乗算の演算プログラムを終了している。これによって、べき数ｎをlogsn分割したので、φqを用いることで２乗算の演算回数をおよそ１/（logsn）に削減することができる。
　また、位数ｑ、素数位数ｒ、差分ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｓ(χ)で与えられている場合には、ｒ(χ)をｓ(χ)進展開することにより
　　Ａ^{ｒ(χ)}＝ΠＡ^{Ｄi(χ)ｓ(χ)i}＝Ａ^{ΣＤi(χ)ｑi}
として表されるＤi(χ)のうちでもっとも次数の高いものをＤdmax(χ)とし、
　　(Ａ^{Ｄdmax(χ)})^{ｑdmax}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi}＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(φq,χ)を用い、φq k(Ａ)＝Ａに基づいて、
　　Ａ^{Ｄdmax(χ)}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi－ｑdmax}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(φq,χ)と、Ｄdmax(χ)を用いることにより、スカラー倍算ｎＱをより高速化することができる。
　すなわち、Ｄdmax(χ)及び多項式ｈ(φq,χ)が特定されている場合には、χ＝ａとしてべき数ｎをＤdmax(ａ)進展開して、Ｄdmax(ａ)に換えてｈ(φq,ａ)を用いることにより、演算回数を削減している。
　Ｄdmax(χ)及び多項式ｈ(φq,χ)が特定されている場合のべき乗算ｎＱでは、べき乗算の演算プログラムを実行させて電子計算機をべき乗算機として機能させる。この際に、図８に示すように、はじめに、ＣＰＵ１１は、べき数ｎと、χ＝ａとしてｓ＝Ｄdmax(ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)と、元Ａ∈Ｈ⊂Ｆq kの各値を入力してメモリ装置１３に記憶する（ステップＳ５０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、電子計算機は、初期化手段として機能する。即ち、ＣＰＵ１１は、演算結果を格納するＺをメモリ装置１３に確保し、Ｚを初期化（Ｚ←１）する（ステップＳ５０２）。そして、第１の演算機能として、入力されたＡに対して、Ａ^{２j}をあらかじめ演算しておく（ステップＳ５０３）。ステップＳ５０３の演算はステップＳ４０３の演算とアルゴリズムは同じであるので、説明は省略する。
　次いで、電子計算機は、第１の展開手段として機能し、べき数ｎを、
Figure JPOXMLDOC01-appb-M000041
 とｓ進展開する（ステップＳ５０４）。ステップＳ５０４でのｓ進展開は、ステップＳ４０４でのｓ進展開とアルゴリズムは同じであるので、説明は省略する。
　次いで、電子計算機は、第２の展開手段として機能し、べき数ｎを、ｈ'(ｑ)及びｃ[ｉ]を用いながら、
Figure JPOXMLDOC01-appb-M000042
 とｑ進展開する（ステップＳ５０５）。
　ステップＳ５０５では、ｑ進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）T(q)←１
（２）for(i=0;i<「logsn」;i++)
（３）　　d[i]←c[i]
（４）　　if(d[i]≧s)
（５）　　　　for(j=0;j<「logsd[i]」;j++)
（６）　　　　　　e[j]←d[i]％s
（７）　　　　　　d[i]←(d[i]-e[j])％s
（８）　　　　End for
（９）　　　　U(q)←１
（10）　　　　for(j=0;j<「logsd[i]」;j++)
（11）　　　　　　U(q)←{U(q)*e[j]*h'(q)j}％(qk-1)
（12）　　　　End for
（13）　　　　T(q)←{T(q)+U(q)*h'(q)i}％(qk-1)
（14）　　End if
（15）　　else
（16）　　　　T(q)←{T(q)+d[i]*h'(q)i}％(qk-1)
（17）　　End else
（18）End for
　即ち、ＣＰＵ１１は、メモリ装置１３に記憶されたT(q)を１に初期化する。ＣＰＵ１１は、メモリ装置１３からc[i]の値を読み出し、d[i]←c[i]の代入演算を行ってd[i]の値をメモリ装置１３に記憶する。次に、ＣＰＵ１１は、メモリ装置１３からd[i]、ｓの値を読み出して、d[i]≧sを満たす場合にはe[j]←d[i]％s及びd[i]←(d[i]-e[j])％sにより表される代入演算をj=0からj<「logsd[i]」まで繰り返し実行し、U(φq)←１に初期化した後にU(ｑ)←{U(ｑ)*e[j]*h'(ｑ)j}％(ｑk-1)により表される演算をj=0からj<「logsd[i]」まで繰り返し実行し、次にT(q)←{T(q)+U(q)*h'(q)i}％(qk-1)により表される演算を実行して、T(q)の値をメモリ装置１３に記憶する。ＣＰＵ１１は、d[i]≧sを満たさない場合はT(q)←{T(q)+d[i]*h'(q)i}％(qk-1)により表される演算を実行してT(q)の値をメモリ装置１３に記憶する。ＣＰＵ１１は、以上の演算を、i=0からi<「logsn」まで繰り返して実行し、各ｉにおけるd[i]、T(q)の値をメモリ装置１１に記憶する。
　なお、べき数ｎをｑ進展開した場合に、ｑ進展開の係数がｓよりも大きくなることがある。ＣＰＵ１１は、ｑ進展開の係数d[i]とｓとを比較して、ｑ進展開の係数d[i]がｓよりも大きいと判定した場合（ステップＳ５０６：ＮＯ）には、ｑ進展開の係数d[i]に対してｓの剰余をとることにより、ｑ進展開の係数d[i]がｓよりも小さくなるように調整している（ステップＳ５０７）。この場合、電子計算機は、ステップＳ５０６において比較手段として機能し、ステップＳ５０７において調整手段として機能する。
　ステップＳ５０７では、電子計算機は、以下のアルゴリズムを実行している。
（１）until(∀d[i]＜ｓ)
（２）　　for(i=0;i<k-1;i++)
（３）　　　　d[i]←the i-th coefficient of T(q)
（４）　　　　if(d[i]≧s)
（５）　　　　　　the i-th coefficient of T(q)←0
（６）　　　　　　for(j=0;j<「logsd[i]」;j++)
（７）　　　　　　　　e[j]←d[i]％s
（８）　　　　　　　　d[i]←(d[i]-e[j])％s
（９）　　　　　　End for
（10）　　　　　　U(q)←１
（11）　　　　　　for(j=0;j<「logsd[i]」;j++)
（12）　　　　　　　　U(q)←{U(q)*e[j]*h'(q)j}％(qk-1)
（13）　　　　　　End for
（14）　　　　T(q)←{T(q)+U(q)*qi}％(qk-1)
（15）　　　　End if
（16）　　End for
（17）End until
　即ち、ＣＰＵ１１は、メモリ装置１３からT(q)のｉ番目の係数の値を読み出してd[i]にその値を記憶する。ＣＰＵ１１は、d[i]とｓの値を比較し、d[i]≧sを満たす場合に、T(q)のｉ番目の係数に０を記憶し、e[j]←d[i]％s及びd[i]←(d[i]-e[j])％sにより表される演算をj=0からj<「logsd[i]」まで繰り返し実行し、次にU(q)←１に初期化した後に、U(q)←{U(q)*e[j]*h'(q)j}％(qk-1)により表される演算を、j=0からj<「logsd[i]」まで繰り返し実行し、次にT(q)←{T(q)+U(q)*qi}％(qk-1)により表される演算を実行してメモリ装置１３にT(q)の値を記憶する。ＣＰＵ１１は、d[i]≧sを満たさない場合には上記一連の演算を行わない。ＣＰＵ１１は、以上の演算をi=0からi<k-1まで繰り返し実行し、これを∀d[i]＜ｓを満たすまで行う。
　次いで、電子計算機は、第２の演算手段として機能し、Ａ[ｉ]＝Ａd[i]の演算を行う（ステップＳ５０８）。
　ステップＳ５０８でも、バイナリ法を用いており、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<k;i++)
（２）　　A[i]←O
（３）　　for(j=0;d[i]!=0;i++)
（４）　　　　if(d[i]＆1)
（５）　　　　　　A[i]←A[i]*T[j]
（６）　　　　End if
（７）　　　　d[i]←d[i]/2
（８）　　End for
（９）End for
　即ち、ＣＰＵ１１はメモリ装置１３からd[i]及びT[j]の値を読み出して、A[i]←OとしてA[i]を初期化した後に、d[i]＆1を満たす場合は、A[i]←A[i]*T[j]により表される代入演算を、d[i]＆1を満たさないときはd[i]←d[i]/2の代入演算を実行して、A[i]及びd[i]の値をメモリ装置１３に記憶する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ５０８で演算したＡ[ｉ]を用いて、べき乗算Ａnを、
Figure JPOXMLDOC01-appb-M000043
 によって合成する（ステップＳ５０９）。
　ステップＳ５０９では、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<k;i++)
（２）　　Z←Z*φq i(A[i])
（３）End for
　　即ち、ＣＰＵ１１はメモリ装置１３からＺ及びＡ[i]の値を読み出して、i=0からi<kまで繰り返して演算を実行して、メモリ装置１３にＺの値を記憶する。ＣＰＵ１１は、入出力制御部１５からＺの値を出力する。つまり、電子計算機は、出力手段として機能し、べき乗算の演算プログラムの実行結果として、Ｚを出力し（ステップＳ５１０）、べき乗算の演算プログラムを終了している。これによって、べき数ｎをlogsn分割したので、φqを用いることで２乗算の演算回数をおよそdegDdmax(a)/degr(a)に削減することができる。
　Ｄdmax(χ)及び多項式ｈ(ｑ,χ)は、ｑ(χ)、ｒ(χ)及びｓ(χ)があらかじめ与えられていることから、あらかじめ特定でき、ｑ(χ)、ｒ(χ)及びｓ(χ)とともに、Ｄdmax(χ)と多項式ｈ(ｑ,χ)をべき乗算の演算プログラムに組み込んでもよいし、ｒ(χ)及びｓ(χ)を用いて以下の補助プログラムによって、Ｄdmax(χ)と多項式ｈ(ｑ,χ)を求めてもよい。
　電子計算機は、補助プログラムを起動させると、図９に示すように、はじめに、入力手段として機能する。即ち、ＣＰＵ１１は、ｒ(χ)とｓ(χ) の値を入力してメモリ装置１３に記憶する（ステップＳ５２１）。
　次いで、電子計算機は、展開手段として機能し、入力されたｓ(χ)を用いて、ｒ(χ)を、
Figure JPOXMLDOC01-appb-M000044
 とｓ(χ)進展開する（ステップＳ５２２）。ここで、ｉの大きさは、ｒ(χ)及びｓ(χ)から自動的に決定される。ステップＳ５２２では、ｓ(χ)進展開の演算として、ＣＰＵ１１は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　Di(χ)←r(χ)％s(χ)
（３）　　r(χ)←(r(χ)-Di(χ))/s(χ)
（４）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からｒ(χ)及びｓ(χ)の値を読み出して、Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、i=0からi<degr(χ)/degs(χ)まで繰り返し実行し、メモリ装置１３にDi(χ)及びr(χ)の値を記憶する。
　次いで、電子計算機は、抽出手段として機能し、deg(Ｄi(χ))が最大のものを抽出して、Ｄdmax(χ)として出力する（ステップＳ５２３）。即ち、ＣＰＵ１１は、メモリ装置１３からDi(χ)の値を読み出して比較し、最大のDi(χ)をＤdmax(χ)としてその値をメモリ装置１３に記憶する。
　次いで、電子計算機は、演算手段として機能する。即ち、ＣＰＵ１１は、
Figure JPOXMLDOC01-appb-M000045
 の演算を行って多項式ｈ(ｑ,χ)を特定し、メモリ装置１３にその値を記憶し、出力している（ステップＳ５２４）。このようにして、電子計算機では、補助プログラムを用いてＤdmax(χ)及び多項式ｈ(ｑ,χ)を求めることができる。このＤdmax(χ)及び多項式ｈ(ｑ,χ)を図８のステップ５０１に用いることで図８に示すべき乗算により２乗算の演算回数をおよそdegDdmax(χ)/degr(χ)に削減することができる。
　また、位数ｑ、素数位数ｒ及び差分ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)及びｓ(χ)とあらかじめ特定されているとともに、ｒ(χ)をｓ(χ)進展開することにより
　　Ａ^{ｒ(χ)}＝ΠＡ^{Ｄi(χ)ｓ(χ)i}＝Ａ^{ΣＤi(χ)ｑi}
として表されるＤi(χ)において最高次数dmaxとなるＤi(χ)が複数存在する場合には、最高次数dmaxの項であるχdmaxの係数をＴdmax(ｑ)として、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
を満たすＶ(ｑ)を特定し、
　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
を満たす整数のスカラーｖ及びｇ(ｑ)を拡張ユークリッドの互除法により特定し、
　　Ａ^{Ｔdmax(ｑ)χdmax}＝Ａ^{ΣＤi(χ)ｑi－Ｔdmax(ｑ)χdmax}
　　　　　　　　　　　＝Ａ^{ｆ(ｑ,χ)}
となる多項式ｆ(ｑ,χ)と、ｇ(ｑ)を用い、φq k(Ａ)＝Ａに基づいて、
　　Ａ^{ｖχdmax}＝Ａ^{ｇ(ｑ)ｆ(ｑ,χ)}＝Ａ^{ｈ(ｑ,χ)}
となる多項式ｈ(ｑ,χ)を特定し、このｈ(ｑ,χ)のｑに関する定数項ｈ(０,χ)が、
　　Ａ^{ｖχdmax－ｈ(０,χ)}＝Ａ^{ｈ(ｑ,χ)－ｈ(０,χ)}
を満たすことを用いることにより、べき乗算Ａnをより高速化することができる。
　すなわち、χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ)とし、べき数ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(ｑ,ａ)－ｈ(０,ａ)を用いることにより、演算回数を削減している。
　ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ)が特定されている場合のべき乗算Ａnでは、べき乗算の演算プログラムを実行させて電子計算機をべき乗算機として機能させる。その際に、図１０に示すように、はじめに、ＣＰＵ１１は、べき数ｎと、χ＝ａとしてスカラーｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ)と、元Ａ∈Ｈ⊂Ｆq kの値を入力してメモリ装置１３に記憶する（ステップＳ６０１）。この場合、電子計算機は、入力手段として機能する。
　次いで、電子計算機は、初期化手段として機能し、ＣＰＵ１１は、メモリ装置１３に演算結果を格納するＺを確保して、初期化（Ｚ←１）する（ステップＳ６０２）。そして、電子計算機は第１の演算手段として機能し、ＣＰＵ１１はメモリ装置１３に記憶された元Ａの値を読み出して、Ａ^{２j}をあらかじめ演算し、メモリ装置１３に記憶しておく（ステップＳ６０３）。ステップＳ６０３の演算はステップＳ４０３の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるので、説明は省略する。
　次いで、電子計算機は、第１の展開手段として機能し、スカラーｎを、
Figure JPOXMLDOC01-appb-M000046
 とｓ'進展開する（ステップＳ６０４）。ステップＳ６０４でのｓ'進展開は、ステップＳ４０４でのｓ進展開とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じなるので、説明は省略する。
　次いで、電子計算機は、第２の展開手段として機能し、べき数ｎを、ｈ'(ｑ)及びｃ[ｉ]を用いながら、
Figure JPOXMLDOC01-appb-M000047
 とｑ進展開する（ステップＳ６０５）。ステップＳ６０５でのｑ進展開は、スカラーｓ'(＝ｖａdmax－ｈ(０,ａ)）が、ステップＳ５０５でのスカラーｓ(＝Ｄdmax(ａ))とは異なる点以外では、ステップＳ５０５でのｓ進展開とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるため、詳細な説明は省略する。
　ステップＳ６０５でのｑ進展開でも、ｑ進展開の係数がｓ'よりも大きくなることがある。このように、ｑ進展開の係数がｓ'よりも大きい場合（ステップＳ６０６：ＮＯ）には、ｑ進展開の係数に対してｓ'の剰余をとることにより、ｑ進展開の係数がｓ'よりも小さくなるように調整している（ステップＳ６０７）。このステップＳ６０７での演算も、スカラーｓ'(＝ｖａdmax－ｈ(０,ａ)）が、ステップＳ５０７でのスカラーｓ(＝Ｄdmax(ａ))とは異なる点以外では、ステップＳ５０７での演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるため、詳細な説明は省略する。ここで、電子計算機は、ステップＳ６０６において比較手段として機能し、ステップＳ６０７において調整手段として機能する。
　次いで、電子計算機は、第２の演算手段として機能し、Ａ[ｉ]＝Ａd[i]の演算を行う（ステップＳ６０８）。ステップＳ６０８でも、バイナリ法を用いており、ステップＳ６０８の演算もステップＳ５０８の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるので、説明は省略する。
　次いで、電子計算機は、合成手段として機能し、ステップＳ６０８で演算したＡ[ｉ]を用いて、べき乗算Ａnを、
Figure JPOXMLDOC01-appb-M000048
 によって合成する（ステップＳ６０９）。ステップＳ６０９の演算もステップＳ５０９の演算とアルゴリズムは同じであり、ＣＰＵ１１が行う処理も同じであるので、説明は省略する。
　そして、電子計算機は、出力手段として機能し、べき乗算の演算プログラムの実行結果として、Ｚを出力し（ステップＳ６１０）、べき乗算の演算プログラムを終了している。これによって、べき数ｎをlogsn分割したので、φqを用いることで２乗算の演算回数をおよそdmax/degr(a)に削減することができる。
　多項式ｈ(ｑ,χ)及びｖχdmax－ｈ(０,χ)は、位数ｑ(χ)、素数位数ｒ(χ)及び差分ｓ(χ)があらかじめ与えられていることから、あらかじめ特定できるので、ｑ(χ)、ｒ(χ)及びｓ(χ)とともに、多項式ｈ(ｑ,χ)及びｖχdmax－ｈ(０,χ)をべき乗算の演算プログラムに組み込んでもよいし、ｒ(χ)及びｓ(χ)を用いて以下の補助プログラムによって、多項式ｈ(ｑ,χ)及びｖχdmax－ｈ(０,χ)を求めてもよい。
　電子計算機は、補助プログラムを起動させると、図１１に示すように、はじめに、入力手段として機能する。ＣＰＵ１１は、入力したｒ(χ)、ｓ(χ)及びｍ(χ) の値をメモリ装置１３に記憶する（ステップＳ６２１）。ここで、ｍ(χ)はｒ(χ)｜ｍ(χ)を満たす最小次数の多項式であり、一般的には円周等分多項式が用いられる。
　次いで、電子計算機は、展開手段として機能し、入力されたｓ(χ)を用いて、ｒ(χ)を、
Figure JPOXMLDOC01-appb-M000049
 とｓ(χ)進展開する（ステップＳ６２２）。ここで、ｉの大きさは、ｒ(χ)及びｓ(χ)から自動的に決定される。ステップＳ６２２では、ｓ(χ)進展開の演算として、電子計算機は、以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　Di(χ)←r(χ)％s(χ)
（３）　　r(χ)←(r(χ)-Di(χ))/s(χ)
（４）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からr(χ)及びχの値を読出し、Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される演算をi=0からi<「degr(χ)/degs(χ)」まで繰り返し実行し、メモリ装置１３にDi(χ)及びr(χ)の値を記憶する。
　次いで、電子計算機は、第１の特定手段として機能し、deg(Ｄi(χ))の最大の次数dmaxの項であるχdmaxの係数を抽出して、抽出された係数の和をＴ(ｑ,χ)とし、それ以外の和をＵ(ｑ,χ)とする（ステップＳ６２３）。ステップＳ６２３では、電子計算機は、具体的に以下のアルゴリズムを実行している。
（１）for(i=0;i<「degr(χ)/degs(χ)」;i++)
（２）　　T(q,χ)←0,U(q,χ)←0
（３）　　if(deg(Di(χ))=dmax)
（４）　　　　T(q,χ)←T(q,χ)+Di(χ)qi
（５）　　End if
（６）　　else
（７）　　　　U(q,χ)←U(q,χ)+Di(χ)qi
（８）　　End else
（９）End for
　即ち、ＣＰＵ１１は、メモリ装置１３からr(χ)、s(χ)及びDi(χ)の値を読出し、T(q,χ)←0,U(q,χ)←0の初期化処理を行った後に、deg(Di(χ))=dmaxを満たす場合はT(q,χ)←T(q,χ)+Di(χ)qiにより表される代入演算を、deg(Di(χ))=dmaxを満たさない場合はU(q,χ)←U(q,χ)+Di(χ)qiにより表される代入演算を、i=0からi<「degr(χ)/degs(χ)」まで繰り返して実行し、メモリ装置１３にT(q,χ)及びU(q,χ)を記憶する。
　次いで、電子計算機は、第２の特定手段として機能。ＣＰＵ１１は、ステップＳ６２３で特定したＴ(ｑ,χ)の最高次数係数Ｔdmax(ｑ)を特定、メモリ装置１３に記憶する（ステップＳ６２４）。
　次いで、電子計算機は、第３の特定手段として機能し、ステップＳ６２４で特定した最高次数係数Ｔdmax(ｑ)を用い、
　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
を満たすＶ(ｑ)を特定する（ステップＳ６２５）。ステップＳ６２５では、電子計算機は、具体的に以下のアルゴリズムを実行している。
（１）W(q)←gcd(Tdmax(q),m(q))
（２）V(q)←W(q)
　即ち、ＣＰＵ１１は、メモリ装置１３からTdmax(q)及びm(q)の値を読出し、W(q)←gcd(Tdmax(q),m(q))及びV(q)←W(q)により表される演算を行って、メモリ装置１３に、W(q)及びV(q)の値を記憶する。
　次いで、電子計算機は、第４の特定手段として機能する。即ち、ＣＰＵ１１はメモリ装置１３から、ステップＳ６２５で特定したＶ(ｑ)を読み出して、
　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
を満たすスカラーｖ及びｇ(ｑ)を、拡張ユークリッドの互除法によって特定し、メモリ装置１３に記憶する（ステップＳ６２６）。この拡張ユークリッドの互除法は、一般的なライブラリにおいて準備されている既知のプログラムに基づいて実行されるものであり、特に、ｇ(ｑ)の係数及びスカラーｖが小さくなるようにしておくことが望ましい。
　次いで、電子計算機は、ステップＳ６２６で特定したｇ(ｑ)をメモリ装置１３から読み出し、
Figure JPOXMLDOC01-appb-M000050
 の演算を行って多項式ｈ(ｑ,χ)を特定し（ステップＳ６２７）、多項式ｈ(ｑ,χ)及びｖχdmax－ｈ(０,χ) の値をメモリ装置１３に記憶し出力している（ステップＳ６２８）。このようにして、電子計算機では、補助プログラムを用いて多項式ｈ(ｑ,χ)及びｖχdmax－ｈ(０,χ)を求めることができる。この場合、電子計算機は、ステップＳ６２７において演算手段として機能し、ステップＳ６２８において出力手段として機能する。このｖχdmax－ｈ(０,χ)及び多項式ｈ(ｑ,χ)を図１０のステップ６０１に用いることで図１０に示すべき乗算により２乗算の演算回数をおよそdmax/degr(χ)に削減することができる。

Claims (12)

  1. 　楕円曲線をＥ／Ｆq＝ｘ3＋ａｘ＋ｂ－ｙ2＝０，ａ∈Ｆq，ｂ∈Ｆqとし、
    　Ｅ(Ｆq)を有限体Ｆqで定義される楕円曲線の有理点が成す加法群、
    　Ｅ(Ｆq k)を有限体Ｆqの拡大体Ｆq kで定義される楕円曲線の有理点が成す加法群、
    　φqを有限体Ｆqに関する有理点のフロベニウス自己準同型写像、
    　ｔをフロベニウス自己準同型写像φqのトレース、
    　ｒをＥ(Ｆq)の位数＃Ｅ(Ｆq)＝ｑ＋１－ｔを割り切る素数位数、
    　Ｅ[ｒ]を位数が素数ｒである有理点の集合、
    　[ｊ]を有理点をｊ倍する写像、
    　Ｇを
    　　Ｇ＝Ｅ[r]∩Ker(φq－[ｑ])
    を満たすＥ(Ｆq k)に含まれる有理点の集合として、
    　非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算を、ＣＰＵ及び記憶手段を備えた電子計算機により演算するスカラー倍算の演算方法において、
    　ＣＰＵが、前記非負整数ｎの値、前記トレースｔの値、及び、Ｑ∈Ｇ⊂Ｅ(Ｆq k)により表される有理点Ｑの値を入力して前記記憶手段に記憶する入力ステップと、
    　ＣＰＵが、演算結果Ｚを記憶する前記記憶手段を初期化する初期化ステップと、
    　Ｇの有理点Ｑに対し、
    　　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑ
    が成り立つことにより、
    　ＣＰＵが、ｓ＝ｔ－１として、前記ｎをｓ進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000001
     c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返し行って各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開ステップと、
    　ＣＰＵが、前記記憶手段から前記有理点Ｑ及び前記係数ｃ［ｉ］を読み出して、Ｑ［ｉ］＝ｃ［ｉ］Ｑにより表される演算をｉ＝０から所定回繰り返し行って各Ｑ［ｉ］の値を前記記憶手段に記憶する演算ステップと、
    　ＣＰＵが、ｔ-１に換えて有理点に対するフロベニウス自己準同型写像φqを用いて表される次式のスカラー倍算ｎＱに基づいて、
    Figure JPOXMLDOC01-appb-M000002
     　前記記憶手段からＱ［ｉ］及び演算結果Ｚを読み出し、Z←Z+φq i(Q[i])により表される代入演算をｉ＝０から所定回繰り返し行ってスカラー倍算の演算結果Ｚを前記記憶手段に記憶する合成ステップと、
    を有することを特徴とするスカラー倍算の演算方法。
  2. 　前記楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)で与えられている場合に、
    　ＣＰＵが、前記ｑ(χ)、ｒ(χ)、ｔ(χ)の各値を入力して前記記憶手段に記憶する補助入力ステップと、
    　ＣＰＵが、前記記憶手段からｒ(χ)及びｔ(χ)の値を読み出して、前記ｓ（χ）＝ｔ（χ）－１として、ｒ(χ)をｓ（χ）進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000003
     Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、各係数Ｄi（χ）及びｒ（χ）の値を前記記憶手段に記憶する補助展開ステップと、
    　ＣＰＵが、前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出ステップと、
    　ＣＰＵが、前記記憶手段からＤdmax(χ)、Ｄi(χ)、Ｑの値を読み出して、
    　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
    　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
    となる多項式ｆ(φq,χ)を用い、φq kＱ＝Ｑに基づいて
    　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
    となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する補助特定ステップと、
    　ＣＰＵが、前記ｓ進展開をχ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(φq,ａ)を用いるステップと、を有することを特徴とする請求項１に記載のスカラー倍算の演算方法。
  3. 　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
    　前記補助入力ステップは、ＣＰＵが、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶するステップを更に含み、
    　ＣＰＵが、deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(φq,χ)及びU(φq,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(φq,χ)←T(φq,χ)+Di(χ)φq i、その他の場合にU(φq,χ)←U(φq,χ)+Di(χ)φq iにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、Ｔ(φq,χ)及びＵ(φq,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(φq)を特定する第２の補助特定ステップと、
    　ＣＰＵが、前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
    　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
    を満たすＶ(φq)を、W(φq)←gcd(Tdmax(φq),m(φq))及びV(φq)←W(φq)により表される代入演算を行って特定し、前記Ｖ(φq)の値を前記記憶手段に記憶する第３の補助特定ステップと、
    　ＣＰＵが、前記記憶手段からＶ(φq)及びｍ(φq)の値を読み出して、
    　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
    を満たす整数のスカラーｖ及びｇ(φq)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(φq)の値を前記記憶手段に記憶する第４の補助特定ステップと、
    　前記補助特定ステップに換えて、ＣＰＵが、前記記憶手段からＴdmax(φq)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
    　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
    　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
    となる多項式ｆ(φq,χ)と、前記ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
    　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
    となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する第５の補助特定ステップと、
    　ＣＰＵが、前記記憶手段から前記ｈ(φq,χ)の値を読み出して、
    　このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
    　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
    を満たすことを用いて、
    　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)により表される演算を行ってｓ'、ｈ'(φq)の値を前記記憶手段に記憶し、
    ｔ-１進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いるステップと、を有することを特徴とする請求項２に記載のスカラー倍算の演算方法。
  4. 　Ｆq kを位数ｑの有限体Ｆqのｋ次拡大体、
    　ＨをＦq kの素数位数ｒの部分乗法群、
    　φqを有限体Ｆqに関する元のフロベニウス自己準同型写像として、
    　非負整数ｎに対するＨの元Ａのｎ乗算を行うべき乗算を、ＣＰＵ及び記憶手段を備えた電子計算機により演算する演算方法において、
    　ＣＰＵが、前記非負整数nの値、前記位数ｑの値、前記Ｆq kの素数位数ｒの値、Ａ∈Ｈ⊂Ｆq kにより表される元Ａの値を入力して前記記憶手段に記憶する入力ステップと、
    　ＣＰＵが、演算結果Ｚを記憶する前記記憶手段を初期化する初期化ステップと、
    　ＣＰＵが、前記位数ｑ、前記元Ａの値を前記記憶手段から読み出して、前記ｑとｒの差分をｓ＝ｑ－ｒとし、T[j]←A及びA←A*Aにより表される代入演算を、j＝０からj<「log2s」まで繰り返し行って前記T[j]及び前記Aの値を前記記憶手段に記憶する第１の演算ステップと、
    　ＣＰＵが、前記記憶手段から前記ｎ及び差分ｓの値を読み出して、差分ｓにより展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000004
     c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返して行い、各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開ステップと、
    　ＣＰＵが、前記記憶手段からc[i]及び前記ｎの値を読み出して、Ａ［ｉ］＝Ａc[i]に基づいて、Ａ［ｉ］＝１に初期化し、c[i]＆1である場合にA[i]←A[i]*T[j]、c[i]←c[i]/2により表される代入演算を、ｉ＝０から所定回繰り返して行い、前記記憶手段にA[i]及びc[i]の値を記憶する第２の演算ステップと、
    　ＣＰＵが、前記記憶手段から各Ａ［ｉ］を読み出し、次式に基づいて、
    Figure JPOXMLDOC01-appb-M000005
     Z←Z＊φq i(A[i])により表されるべき乗演算を、ｉ＝０から所定回繰り返して行い、計算結果Ｚとして前記記憶手段に記憶する合成ステップと、を有することを特徴とするべき乗算の演算方法。
  5. 　Ｘ^{Ｙ}はＸYであることを表すこととし、
    　前記位数ｑ、前記素数位数ｒ、前記ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｓ(χ)で与えられている場合に、
    　ＣＰＵが、前記ｑ(χ)、ｒ(χ)、ｓ(χ)の各値を入力して前記記憶手段に記憶する補助入力ステップと、
    　ＣＰＵが、前記記憶手段からｒ(χ)及びｓ(χ)を読み出して、前記ｓ（χ）を用いて前記ｒ（χ）をｓ（χ）進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000006
     Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、ｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行い、前記係数Di(χ)及びr(χ)を前記記憶手段に記憶する補助展開ステップと、
    　ＣＰＵが、前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出ステップと、
    　ＣＰＵが、前記記憶手段から前記Ｄdmax（χ）、Ｄi(χ)、ｑの値を読み出して、
    　　(Ａ^{Ｄdmax(χ)})^{ｑdmax}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi}＝Ａ^{ｆ(ｑ,χ)}
    となる多項式ｆ(ｑ,χ)を用い、φq k(Ａ)＝Ａに基づいて
    　　Ａ^{Ｄdmax(χ)}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi－ｑdmax}＝Ａ^{ｈ(ｑ,χ)}
    となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する補助特定ステップと、
    　ＣＰＵが、前記ｓ進展開した前記ｎを、χ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置き換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(ｑ,ａ)を用いるステップと、を有することを特徴とする請求項４に記載のべき乗算の演算方法。
  6. 　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
    　前記補助記憶ステップは、ＣＰＵが、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶するステップを更に含み、
    　ＣＰＵが、deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(ｑ)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(ｑ,χ)及びU(ｑ,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(ｑ,χ)←T(ｑ,χ)+Di(χ)ｑi、その他の場合にU(ｑ,χ)←U(ｑ,χ)+Di(χ)ｑiにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行ってＴ(ｑ,χ)及びＵ(ｑ,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(ｑ)を特定する第２の補助特定ステップと、
    　ＣＰＵが、前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
    　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
    を満たすＶ(ｑ)を、W(ｑ)←gcd(Tdmax(ｑ),m(ｑ))及びV(ｑ)←W(ｑ)により表される演算を行って特定し、前記Ｖ(ｑ)の値を前記記憶手段に記憶する第３の補助特定ステップと、
    　ＣＰＵが、前記記憶手段からＶ(ｑ)及びｍ(ｑ)の値を読み出して、
    　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
    を満たす整数のスカラーｖ及びｇ(ｑ)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(ｑ)の値を前記記憶手段に記憶する第４の補助特定ステップと、
    　前記補助特定ステップに換えて、ＣＰＵが、前記記憶手段からＴdmax(ｑ)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
    　　Ａ^{Ｔdmax(ｑ)χdmax}＝Ａ^{ΣＤi(χ)ｑi－Ｔdmax(ｑ)χdmax}
    　　　　　　　　　　　＝Ａ^{ｆ(ｑ,χ)}
    となる多項式ｆ(ｑ,χ)と、前記ｇ(ｑ)を用い、φq k(Ａ)＝Ａに基づいて、
    　　Ａ^{ｖχdmax}＝Ａ^{ｇ(ｑ)ｆ(ｑ,χ)}＝Ａ^{ｈ(ｑ,χ)}
    となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する第５の補助特定ステップと、
    　ＣＰＵが、前記記憶手段から前記ｈ(ｑ,χ)の値を読み出して、
    　このｈ(ｑ,χ)のｑに関する定数項ｈ(０,χ)が、
    　　Ａ^{ｖχdmax－ｈ(０,χ)}＝Ａ^{ｈ(ｑ,χ)－ｈ(０,χ)}
    を満たすことを用いて、
    　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ) により表される演算を行ってｓ'、ｈ'(ｑ)の値を前記記憶手段に記憶し、ｓ進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(ｑ,ａ)－ｈ(０,ａ)を用いるステップと、を有することを特徴とする請求項５に記載のべき乗算の演算方法。
  7. 　楕円曲線をＥ／Ｆq＝ｘ3＋ａｘ＋ｂ－ｙ2＝０，ａ∈Ｆq，ｂ∈Ｆqとし、
    　Ｅ(Ｆq)を有限体Ｆqで定義される楕円曲線の有理点が成す加法群、
    　Ｅ(Ｆq k)を有限体Ｆqの拡大体Ｆq kで定義される楕円曲線の有理点が成す加法群、
    　φqを有限体Ｆqに関する有理点のフロベニウス自己準同型写像、
    　ｔをフロベニウス自己準同型写像φqのトレース、
    　ｒをＥ(Ｆq)の位数＃Ｅ(Ｆq)＝ｑ＋１－ｔを割り切る素数位数、
    　Ｅ[ｒ]を位数が素数ｒである有理点の集合、
    　[ｊ]を有理点をｊ倍する写像、
    　Ｇを
    　　Ｇ＝Ｅ[r]∩Ker(φq－[ｑ])
    を満たすＥ(Ｆq k)に含まれる有理点の集合として、
    　非負整数ｎに対するＧの有理点Ｑのスカラーｎ倍算を、ＣＰＵ及び記憶手段を備えた電子計算機に実行させるためのスカラー倍算の演算プログラムにおいて、
    　電子計算機に、
    　前記非負整数ｎの値、前記トレースｔの値、及び、Ｑ∈Ｇ⊂Ｅ(Ｆq k)により表される有理点Ｑの値を入力して前記記憶手段に記憶する入力手順と、
    　演算結果Ｚを記憶する前記記憶手段を初期化する初期化手順と、
    　Ｇの有理点Ｑに対し、
    　　φq(Ｑ)＝[ｑ]Ｑ＝[ｔ－１]Ｑ
    が成り立つことにより、
    　ｓ＝ｔ－１として、前記ｎをｓ進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000007
     c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返し行って各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開手順と、
    　前記記憶手段から前記有理点Ｑ、非負整数ｎ、及び前記ｃ［ｉ］の値を読み出して、Ｑ［ｉ］＝ｃ［ｉ］Ｑにより表される演算をｉ＝０から所定回繰り返し行って各Ｑ［ｉ］の値を前記記憶手段に記憶する演算手順と、
    　ｔ-１に換えて有理点に対するフロベニウス自己準同型写像φqを用いて表される次式のスカラー倍算ｎＱに基づいて、
    Figure JPOXMLDOC01-appb-M000008
     　前記記憶手段からＱ［ｉ］及び演算結果Ｚを読み出し、Z←Z+φq i(Q[i])により表される代入演算をｉ＝０から所定回繰り返し行ってスカラー倍算の演算結果Ｚを前記記憶手段に記憶する合成手順と、
    を実行させるためのスカラー倍算の演算プログラムを記録した電子計算機読取可能な記録媒体。
  8. 　前記楕円曲線の有限体Ｆqの位数ｑ、＃Ｅ(Ｆq)を割り切る素数位数ｒ、フロベニウス自己準同型写像φqのトレースｔが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｔ(χ)で与えられている場合に、電子計算機に、
    　前記ｑ(χ)、ｒ(χ)、ｔ(χ)の各値を入力して前記記憶手段に記憶する補助入力手順と、
    　前記記憶手段からｒ(χ)及びｔ(χ)の値を読み出して、前記ｓ（χ）＝ｔ（χ）－１として、ｒ(χ)をｓ（χ）進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000009
     Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、各係数Ｄi（χ）及びｒ（χ）の値を前記記憶手段に記憶する補助展開手順と、
    　前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出手順と、
    　前記記憶手段からＤdmax(χ)、Ｄi(χ)、Ｑの値を読み出して、
    　　φq dmax([Ｄdmax(χ)]Ｑ)＝Σφq i([Ｄi(χ)]Ｑ)－φq dmax([Ｄdmax(χ)]Ｑ)
    　　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
    となる多項式ｆ(φq,χ)を用い、φq kＱ＝Ｑに基づいて
    　　[Ｄdmax(χ)]Ｑ＝[ｆ(φq,χ)φq -dmax]Ｑ＝[ｈ(φq,χ)]Ｑ
    となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する補助特定手順と、
    　前記ｓ進展開をχ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(φq,ａ)を用いる手順と、を実行させるためのスカラー倍算の演算プログラムを記録した請求項７に記載の電子計算機読取可能な記録媒体。
  9. 　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
    　前記補助入力手順は、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶する手順を更に含み、
    　電子計算機に、
    　deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(φq)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(φq,χ)及びU(φq,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(φq,χ)←T(φq,χ)+Di(χ)φq i、その他の場合にU(φq,χ)←U(φq,χ)+Di(χ)φq iにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返し行って、Ｔ(φq,χ)及びＵ(φq,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(φq)を特定する第２の補助特定手順と、
    　前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
    　　Ｖ(φq)｜ｍ(φq),gcd(Ｔdmax(φq),Ｖ(φq))＝１
    を満たすＶ(φq)を、W(φq)←gcd(Tdmax(φq),m(φq))及びV(φq)←W(φq)により表される代入演算を行って特定し、前記Ｖ(φq)の値を前記記憶手段に記憶する第３の補助特定手順と、
    　ＣＰＵが、前記記憶手段からＶ(φq)及びｍ(φq)の値を読み出して、
    　　ｇ(φq)Ｖ(φq)≡ｖ(mod ｍ(φq))
    を満たす整数のスカラーｖ及びｇ(φq)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(φq)の値を前記記憶手段に記憶する第４の補助特定手順と、
    　前記補助特定手順に換えて、ＣＰＵが、前記記憶手段からＴdmax(φq)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
    　　[Ｔdmax(φq)χdmax]Ｑ＝Σφq i([Ｄi(χ)]Ｑ)－[Ｔdmax(φq)χdmax]Ｑ
    　　　　　　　　　　　＝[ｆ(φq,χ)]Ｑ
    となる多項式ｆ(φq,χ)と、前記ｇ(φq)を用い、φq kＱ＝Ｑに基づいて、
    　　[ｖχdmax]Ｑ＝[ｇ(φq)ｆ(φq,χ)]Ｑ＝[ｈ(φq,χ)]Ｑ
    となる多項式ｈ(φq,χ)を特定し、前記多項式ｈ(φq,χ)の値を前記記憶手段に記憶する第５の補助特定手順と、
    　前記記憶手段から前記ｈ(φq,χ)の値を読み出して、
    　このｈ(φq,χ)のφqに関する定数項ｈ(０,χ)が、
    　　[ｖχdmax－ｈ(０,χ)]Ｑ＝[ｈ(φq,χ)－ｈ(０,χ)]Ｑ
    を満たすことを用いて、
    　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(φq)＝ｈ(φq,ａ)－ｈ(０,ａ)により表される演算を行ってｓ'、ｈ'(φq)の値を前記記憶手段に記憶し、
    ｔ-１進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(φq,ａ)－ｈ(０,ａ)を用いる手順と、を実効させるためのスカラー倍算の演算プログラムを記録した請求項８に記載の電子計算機読取可能な記録媒体。
  10. 　Ｆq kを位数ｑの有限体Ｆqのｋ次拡大体、
    　ＨをＦq kの素数位数ｒの部分乗法群、
    　φqを有限体Ｆqに関する元のフロベニウス自己準同型写像として、
    　非負整数ｎに対するＨの元Ａのｎ乗算を行うべき乗算を、ＣＰＵ及び記憶手段を備えた電子計算機により実行させるための演算プログラムにおいて、電子計算機に、
    　前記非負整数nの値、前記位数ｑの値、前記Ｆq kの素数位数ｒの値、Ａ∈Ｈ⊂Ｆq kにより表される元Ａの値を入力して前記記憶手段に記憶する入力手順と、
    　演算結果Ｚを記憶する前記記憶手段を初期化する初期化手順と、
    　前記位数ｑ、前記元Ａの値を前記記憶手段から読み出して、前記ｑとｒの差分をｓ＝ｑ－ｒとし、T[j]←A及びA←A*Aにより表される代入演算を、j＝０からj<「log2s」まで繰り返して行って前記T[j]及び前記Aの値を前記記憶手段に記憶する第１の演算手順と、
    　前記記憶手段から前記ｎ及び差分ｓの値を読み出して、差分ｓにより展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000010
     c[i]←n％s及びn←(n-c[i])/sにより表される代入演算をｉ＝０から所定回繰り返して行い、各係数c[i]及び非負整数ｎの値を前記記憶手段に記憶する展開手順と、
    　前記記憶手段からc[i]及び前記ｎの値を読み出して、Ａ［ｉ］＝Ａc[i]に基づいて、Ａ［ｉ］＝１に初期化し、c[i]＆1である場合にA[i]←A[i]*T[j]、c[i]←c[i]/2により表される代入演算を、ｉ＝０から所定回繰り返して行い、前記記憶手段にA[i]及びc[i]の値を記憶する第２の演算手順と、
    　前記記憶手段から各Ａ［ｉ］を読み出し、次式に基づいて、
    Figure JPOXMLDOC01-appb-M000011
     Z←Z＊φq i(A[i])により表されるべき乗演算を、ｉ＝０から所定回繰り返して行い、計算結果Ｚとして前記記憶手段に記憶する合成手順と、を実行させるためのべき乗算の演算プログラムを記録した電子計算機読取可能な記録媒体。
  11. 　Ｘ^{Ｙ}はＸYであることを表すこととし、
    　前記位数ｑ、前記素数位数ｒ、前記ｓが、整数変数χを用いてそれぞれｑ(χ)、ｒ(χ)、ｓ(χ)で与えられている場合に、電子計算機に、
    　前記ｑ(χ)、ｒ(χ)、ｓ(χ)の各値を入力して前記記憶手段に記憶する補助入力手順と、
    　前記記憶手段からｒ(χ)及びｓ(χ)を読み出して、前記ｓ（χ）を用いて前記ｒ（χ）をｓ（χ）進展開した次式に基づいて、
    Figure JPOXMLDOC01-appb-M000012
     Di(χ)←r(χ)％s(χ)及びr(χ)←(r(χ)-Di(χ))/s(χ)により表される代入演算を、ｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行い、前記係数Di(χ)及びr(χ)を前記記憶手段に記憶する補助展開手順と、
    　前記記憶された係数Ｄi（χ）のうち、deg（Ｄi（χ））が最大のものをＤdmax（χ）として抽出し、前記記憶手段に記憶する補助抽出手順と、
    　前記記憶手段から前記Ｄdmax（χ）、Ｄi(χ)、ｑの値を読み出して、
    　　(Ａ^{Ｄdmax(χ)})^{ｑdmax}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi}＝Ａ^{ｆ(ｑ,χ)}
    となる多項式ｆ(ｑ,χ)を用い、φq k(Ａ)＝Ａに基づいて
    　　Ａ^{Ｄdmax(χ)}＝Ａ^{Σi≠dmax－Ｄi(χ)ｑi－ｑdmax}＝Ａ^{ｈ(ｑ,χ)}
    となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する補助特定手順と、
    　前記ｓ進展開した前記ｎを、χ＝ａとしてｓ＝Ｄdmax(ａ)からなるＤdmax(ａ)進展開に置き換え、前記Ｄdmax(ａ)に換えて前記多項式ｈ(ｑ,ａ)を用いる手順と、を実行させるためのべき乗算の演算プログラムを記録した請求項１０に記載の電子計算機読取可能な記録媒体。
  12. 　前記係数Ｄi（χ）において最高次数dmaxとなる係数Ｄi（χ）が複数存在する場合に、
    　前記補助記憶手順は、ｒ（χ）｜ｍ（χ）を満たすｍ（χ）の値を入力して前記記憶手段に記憶する手順を更に含み、
    　電子計算機に、
    　deg（Ｄi(χ)）の最高次数dmaxの項であるχdmaxの係数をＴdmax(ｑ)として、前記記憶手段から係数Ｄi（χ）を読み出し、前記記憶手段にT(ｑ,χ)及びU(ｑ,χ)を初期値を０として割り当て、deg(Di(χ))=dmaxとなる場合にT(ｑ,χ)←T(ｑ,χ)+Di(χ)ｑi、その他の場合にU(ｑ,χ)←U(ｑ,χ)+Di(χ)ｑiにより表される代入演算をｉ＝０からi<「degr(χ)/degs(χ)」まで繰り返して行ってＴ(ｑ,χ)及びＵ(ｑ,χ)の値を前記記憶手段に記憶し、最高次数係数Ｔdmax(ｑ)を特定する第２の補助特定手順と、
    　前記記憶手段からｍ（χ）及びＲ（χ）の値を読み出して、ｒ(χ)｜ｍ(χ)を満たす最小次数の多項式ｍ(χ)を用いて
    　　Ｖ(ｑ)｜ｍ(ｑ),gcd(Ｔdmax(ｑ),Ｖ(ｑ))＝１
    を満たすＶ(ｑ)を、W(ｑ)←gcd(Tdmax(ｑ),m(ｑ))及びV(ｑ)←W(ｑ)により表される演算を行って特定し、前記Ｖ(ｑ)の値を前記記憶手段に記憶する第３の補助特定手順と、
    　前記記憶手段からＶ(ｑ)及びｍ(ｑ)の値を読み出して、
    　　ｇ(ｑ)Ｖ(ｑ)≡ｖ(mod ｍ(ｑ))
    を満たす整数のスカラーｖ及びｇ(ｑ)を拡張ユークリッドの互除法により特定し、前記スカラーｖ及びｇ(ｑ)の値を前記記憶手段に記憶する第４の補助特定手順と、
    　前記補助特定手順に換えて、前記記憶手段からＴdmax(ｑ)、χdmax、Ｄi(χ)、Ｑの各値を読み出して、
    　　Ａ^{Ｔdmax(ｑ)χdmax}＝Ａ^{ΣＤi(χ)ｑi－Ｔdmax(ｑ)χdmax}
    　　　　　　　　　　　＝Ａ^{ｆ(ｑ,χ)}
    となる多項式ｆ(ｑ,χ)と、前記ｇ(ｑ)を用い、φq k(Ａ)＝Ａに基づいて、
    　　Ａ^{ｖχdmax}＝Ａ^{ｇ(ｑ)ｆ(ｑ,χ)}＝Ａ^{ｈ(ｑ,χ)}
    となる多項式ｈ(ｑ,χ)を特定し、前記多項式ｈ(ｑ,χ)の値を前記記憶手段に記憶する第５の補助特定手順と、
    　ＣＰＵが、前記記憶手段から前記ｈ(ｑ,χ)の値を読み出して、
    　このｈ(ｑ,χ)のｑに関する定数項ｈ(０,χ)が、
    　　Ａ^{ｖχdmax－ｈ(０,χ)}＝Ａ^{ｈ(ｑ,χ)－ｈ(０,χ)}
    を満たすことを用いて、
    　χ＝ａとして、ｓ'＝ｖａdmax－ｈ(０,ａ)及びｈ'(ｑ)＝ｈ(ｑ,ａ)－ｈ(０,ａ) により表される演算を行ってｓ'、ｈ'(ｑ)の値を前記記憶手段に記憶し、ｓ進展開した前記ｎをＤdmax(ａ)進展開する換わりにｖａdmax－ｈ(０,ａ)進展開して、ｖａdmax－ｈ(０,ａ)の換わりにｈ(ｑ,ａ)－ｈ(０,ａ)を用いる手順と、を実行させるためのべき乗算の演算プログラムを記録した請求項１１に記載の電子計算機読取可能な記録媒体。
PCT/JP2009/053395 2008-02-25 2009-02-25 スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体 WO2009107650A2 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
US12/867,439 US20110179098A1 (en) 2008-02-25 2009-02-25 Method for scalar multiplication, method for exponentiation, recording medium recording scalar multiplication program, recording medium recording exponentiation program
EP09715400A EP2249326A1 (en) 2008-02-25 2009-02-25 Scalar multiplication method, raising method, recording medium where scalar multiplication program is recorded, and recording medium where raising method program is recorded
CN2009801063734A CN101965602A (zh) 2008-02-25 2009-02-25 标量乘法的运算方法、幂运算的运算方法、记录有标量乘法的运算程序的记录介质及记录有幂运算的运算程序的记录介质

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2008043462A JP4521503B2 (ja) 2008-02-25 2008-02-25 スカラー倍算の演算プログラム及びべき乗算の演算プログラム
JP2008-043462 2008-02-25

Publications (1)

Publication Number Publication Date
WO2009107650A2 true WO2009107650A2 (ja) 2009-09-03

Family

ID=41016554

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2009/053395 WO2009107650A2 (ja) 2008-02-25 2009-02-25 スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体

Country Status (5)

Country Link
US (1) US20110179098A1 (ja)
EP (1) EP2249326A1 (ja)
JP (1) JP4521503B2 (ja)
CN (1) CN101965602A (ja)
WO (1) WO2009107650A2 (ja)

Families Citing this family (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102354279B (zh) * 2011-09-19 2014-03-26 飞天诚信科技股份有限公司 在嵌入式系统中处理数据的方法及协处理器
US8826358B2 (en) * 2012-06-27 2014-09-02 Cable Television Laboratories, Inc. Back channel communication
KR101372273B1 (ko) 2012-11-06 2014-03-25 기초과학연구원 친겹선형 곡선에서의 효율적인 연산을 위한 상수배와 지수승 분해 방법
JP6819856B2 (ja) * 2016-09-15 2021-01-27 カシオ計算機株式会社 電子計算機、演算処理方法及びプログラム
US11646880B2 (en) * 2017-01-18 2023-05-09 Nippon Telegraph And Telephone Corporation Secret computation method, secret computation system, secret computation apparatus, and program
CN110688089A (zh) * 2019-09-24 2020-01-14 武汉理工大学 一种针对群元数乘或幂运算的计算方法及系统

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004271792A (ja) 2003-03-07 2004-09-30 Nippon Telegr & Teleph Corp <Ntt> 楕円曲線上スカラー倍演算装置、及び楕円曲線上スカラー倍演算プログラム
JP2007041461A (ja) 2005-08-05 2007-02-15 Hitachi Ltd 楕円曲線暗号におけるスカラー倍計算方法およびスカラー倍計算装置

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CA2257008C (en) * 1998-12-24 2007-12-11 Certicom Corp. A method for accelerating cryptographic operations on elliptic curves
US7069287B2 (en) * 2000-09-19 2006-06-27 Worcester Polytechnic Institute Method for efficient computation of odd characteristic extension fields
US7215780B2 (en) * 2001-12-31 2007-05-08 Certicom Corp. Method and apparatus for elliptic curve scalar multiplication
US7885406B2 (en) * 2006-10-10 2011-02-08 Microsoft Corporation Computing endomorphism rings of Abelian surfaces over finite fields

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2004271792A (ja) 2003-03-07 2004-09-30 Nippon Telegr & Teleph Corp <Ntt> 楕円曲線上スカラー倍演算装置、及び楕円曲線上スカラー倍演算プログラム
JP2007041461A (ja) 2005-08-05 2007-02-15 Hitachi Ltd 楕円曲線暗号におけるスカラー倍計算方法およびスカラー倍計算装置

Also Published As

Publication number Publication date
JP4521503B2 (ja) 2010-08-11
EP2249326A1 (en) 2010-11-10
CN101965602A (zh) 2011-02-02
US20110179098A1 (en) 2011-07-21
JP2009265111A (ja) 2009-11-12

Similar Documents

Publication Publication Date Title
Costello et al. Efficient algorithms for supersingular isogeny Diffie-Hellman
WO2009107650A2 (ja) スカラー倍算の演算方法、べき乗算の演算方法、スカラー倍算の演算プログラムを記録した記録媒体及びべき乗算の演算プログラムを記録した記録媒体
JP4752313B2 (ja) 暗号処理演算方法、および暗号処理装置、並びにコンピュータ・プログラム
KR20070085269A (ko) 암호 처리 연산 장치
JP4682852B2 (ja) 暗号処理装置、および暗号処理方法、並びにコンピュータ・プログラム
KR101019242B1 (ko) 확장된 몽고메리 레더를 이용한 스칼라 곱셈 방법
KR20080086476A (ko) 암호 처리 장치, 및 암호 처리 방법, 및 컴퓨터 프로그램
US20070053506A1 (en) Elliptic curve encryption processor, processing method of the processor using elliptic curves, and program for causing a computer to execute point scalar multiplication on elliptic curves
JP5147085B2 (ja) 演算方法及び演算装置
JP5403630B2 (ja) スカラ倍算器及びスカラ倍算プログラム
KR101223498B1 (ko) 타원 곡선 암호 방식에서 공개키를 생성하는 방법 및 상기방법을 수행하는 시스템
JP5246796B2 (ja) スカラー倍算の演算装置及びべき乗算の演算装置
US10361855B2 (en) Computing a secure elliptic curve scalar multiplication using an unsecured and secure environment
EP1578054B1 (en) Cryptography-processing method, cryptography-processing apparatus and computer program
JP4616169B2 (ja) モンゴメリ乗算剰余における変換パラメータの計算装置、方法およびそのプログラム
JP2009301071A (ja) スカラー倍算の演算プログラム及びべき乗算の演算プログラム
US20240195607A1 (en) Encryption device, key generation device, and computer program product for encryption
WO2022009384A1 (ja) 最終べき計算装置、ペアリング演算装置、暗号処理装置、最終べき計算方法及び最終べき計算プログラム
JP2011085750A (ja) 楕円曲線スカラー倍算装置
JPWO2012015047A1 (ja) 埋め込み次数１かつ合成数位数の楕円曲線上の有理点のスカラー倍算およびペアリング演算
JP2001194996A (ja) 多項式の除算装置
JP3638493B2 (ja) 楕円曲線自乗演算装置、およびこのプログラム記録媒体
JP2008020757A (ja) 暗号処理装置、および暗号処理演算方法、並びにコンピュータ・プログラム
WO2024100108A1 (en) Devices and processes for generating public keys and for generating and verifying signatures
KR100808953B1 (ko) 모듈러곱셈 방법 및 상기 곱셈방법을 수행할 수 있는스마트카드

Legal Events

Date Code Title Description
WWE Wipo information: entry into national phase

Ref document number: 200980106373.4

Country of ref document: CN

121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09715400

Country of ref document: EP

Kind code of ref document: A2

DPE1 Request for preliminary examination filed after expiration of 19th month from priority date (pct application filed from 20040101)
WWE Wipo information: entry into national phase

Ref document number: 12867439

Country of ref document: US

WWE Wipo information: entry into national phase

Ref document number: 2009715400

Country of ref document: EP

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: JP