WO2012015047A1 - 埋め込み次数１かつ合成数位数の楕円曲線上の有理点のスカラー倍算およびペアリング演算 - Google Patents

Abstract

埋め込み次数１かつ合成数位数の楕円曲線上の有理点について、自己準同形写像により定まる部分群を用いることにより、スカラー倍算およびペアリング演算を効率的に行う。

Description

[規則37.2に基づきISAが決定した発明の名称]　埋め込み次数１かつ合成数位数の楕円曲線上の有理点のスカラー倍算およびペアリング演算

　本発明は、有理点Pのスカラー倍算[ｓ]Pを行うスカラー倍算装置、スカラー倍算方法、及びスカラー倍算プログラム、並びにペアリング演算を高速に実行可能としたペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラムに関する。特に、有理点群の埋め込み次数を１とした場合において、有理点Pのスカラー倍算[ｓ]Pを行うスカラー倍算装置、スカラー倍算方法、及びスカラー倍算プログラム、並びに有理点群の埋め込み次数を１とした場合において、ペアリング演算を高速に実行可能としたペアリング演算装置、ペアリング演算方法、及びペアリング演算プログラムに関する。

　昨今、インターネットなどの電気通信回線を利用した情報ネットワーク技術が高度に発展し、インターネットによって様々な情報を取得するだけでなく、インターネットバンキングや行政機関への電子申請などのような各種のサービスが提供されてきている。

　このようなサービスを利用する場合には、サービスの利用者が成りすましや架空の人間などではなく、適正な利用者であることを確認するための認証処理が必要であり、信頼性の高い認証方法として、公開鍵と秘密鍵を用いる公開鍵暗号をベースとした電子認証技術がよく利用されている。

　しかしながら、公開鍵暗号方式の電子認証では、公開鍵あるいは秘密鍵が漏洩した場合には直ちに公開鍵と秘密鍵を変更する必要があり、公開鍵及び秘密鍵の管理を慎重に行わなければならないとともに、必要に応じて新たな公開鍵と秘密鍵の設定登録作業が生じるという煩雑さがあるため、最近では、利用者の氏名やメールアドレスのように利用者特有のIDを用いて電子認証を行うIDベース暗号が用いられることが多くなっている。

　また、電子認証を行う認証装置によって利用者の個人認証を行った場合には、認証装置に利用者ごとの履歴が蓄積されることとなり、この履歴情報自体が利用者の個人情報であって、最近では、この履歴情報が漏洩することによる個人情報の漏洩のおそれが指摘されている。

　そこで、認証装置では利用者の個人情報を利用して認証を行うのではなく、複数の利用者をひとまとまりのグループとして、このグループに所属していることを示すグループ署名を用いることにより、利用者を特定することなく認証を行うことによって、認証装置に個人情報が蓄積されることなく認証を可能としたグループ署名技術が提案されている。

　国家UNS戦略プログラムにおいても、プライバシを保護しつつユーザ認証を行うことのできる匿名認証技術の重要性、必要性が取り上げられている。
UNS:Universal Communications、New Generation Networks、Security and safety

　このようなIDベース暗号やグループ署名等を簡便に実現するための数学的な土台としてペアリング暗号がある。ペアリングとは、楕円曲線上で定義される２入力１出力の関数であり、入力は楕円曲線上の２つの有理点、出力は有限体の元が用いられている。このペアリングは２入力に対して双線形性を持つ。すなわち、例えば、Pを素体F_p上で定義される楕円曲線上の有理点、Qをk次拡大体F_p ^k上で定義される楕円曲線上の有理点として、PとQを入力して拡大体F^* _p ^kの元ｚが出力されるとき、a倍のPとｂ倍のQを入力するとｚのab乗が出力される。ペアリング暗号ではこの双線形性を利用して暗号システムを構築する。なお、ここで「ｋ」を埋め込み次数と呼び「F^* _p ^k」は、位数がp^ｋである有限体（拡大体）から単位元０を除いた乗法群を表わす。

　楕円曲線上の有理点とは、楕円曲線ｙ^２＝ｘ^３+ax＋ｂを満たす有限体F_qの元の座標（x,y）の組をいう。この集合に無限遠点Oを加えたものは加法群を成し、E(Fq)と表わす。すなわち、楕円曲線上の2つの有理点P、Qを通る直線が楕円曲線と交わる点のｘ軸を対称とした点をRとすれば、P+Q=Rが成立する。この演算を楕円加算と呼ぶ。PとQが同一点の場合はPを通る接線が楕円曲線と交わる点のｘ軸を対称とした点をRとすれば、P＋P=2P=Rが成立する。この演算を楕円２乗算と呼ぶ。ペアリング暗号及び楕円暗号の安全性の根拠は楕円曲線上の離散対数問題の求解困難性に基づいている。素因数分解の困難性を安全性の根拠とするRSA暗号等と比べ、はるかに短い鍵長で同等の暗号強度（安全性強度）を実現できる。

　このような楕円曲線上の有理点のペアリング演算は、ミラーのアルゴリズムを用いて演算するステップとその演算結果に対してべき乗算を行うステップで構成されている。

　デジタルグループ署名では、グループに所属する個人ユーザのアクセス権の認証処理を行う際に、アクセス権が失効している個人ユーザを除外するためのペアリング演算を行った後に所定の個人ユーザのペアリング演算を行って認証処理を行うことにより、個人ユーザごとのアクセス権の発行または失効の属性変更に柔軟に対応可能としている。

したがって、例えば、10,000人の個人ユーザで構成されるグループのデジタルグループ署名の場合、アクセス権が失効している個人ユーザが100人いれば、100回のペアリング演算が必要となっており、現時点での一般的な電子計算機による1回のペアリング演算に約0.1秒を要していることから、100回のペアリング演算には約10秒を要することとなってしまうため、実用上、個人ユーザの数が制限されることとなって、広く利用されるものとはなっていなかった。

　そこで、ペアリング演算の演算速度を向上させることによりデジタルグループ署名の実用性を向上させるために、例えば、ペアリング演算として楕円曲線上で定義されるTateペアリング演算法を用い、演算負荷を低減させて高速化を図る技術が提案されている（例えば、特許文献１、非特許文献１参照。）。

　また、IDベース暗号における暗号化あるいは復号の処理や、グループ署名における認証処理では、できるだけ短時間に実行することが求められる。特にペアリングに基づく暗号方式などにおいてはスカラー倍算が数多く実行されているためスカラー倍算を高速に実行することも求められている。

　スカラー倍算の高速化手法として、バイナリー法やWindow法が知られている。
また、自己準同型写像を利用することにより、演算回数を削減して高速化を図る手法も提案されている（例えば、非特許文献２、特許文献２参照。）。

　このように、これまでペアリングを用いた暗号方式（IDベース暗号、グループ署名等）は数多く提案され、また、それを高速に実行するために大きな割合を占めるスカラー倍算の高速化手法も数多く提案されているが、その多くは、160ビット以上の素数位数を持つペアリング曲線（ペアリングに効率のよい楕円曲線）を用いるものである。本発明者らはこれまで、土台の数学的構造から、拡大体における計算、楕円曲線暗号の計算、ペアリング計算について出願を行なってきた。そのいずれもが、素数位数のペアリング暗号を効率化するものである。

　一方、近年、有理点群の埋め込み次数が１で2000ビットを超える合成数位数（r=2²⁰⁰⁰）を持つペアリング曲線を用いるものが提案されており、また新たなアプリケーションも提案されている（例えば、非特許文献３参照。）。

　素数位数のペアリング暗号を効率化するこれまでの手法は、本発明がターゲットとする大きな合成数位数のペアリングに対して即座に適用できるものではない。言い換えれば、合成数位数のペアリング曲線は埋め込み次数が１となるなど特殊な状況におかれるため、これを考慮した新たな高速化手法を提案する必要性がでてきた。埋め込み次数を１とする理由は、ペアリング暗号の暗号強度を必要十分に確保するための強度と効率のバランスを図るのに最も適しているのが埋め込み次数１だからである。埋め込み次数を大きくした場合は暗号強度が十分すぎ、また実現する上での効率が悪くなる。

　しかしながら、有理点群の埋め込み次数を１とし合成数位数を用いるアプリケーションに用いるためのペアリング曲線の生成法や、ペアリング計算やスカラー倍算の効率化手法等は未だ十分ではない。

特開２００５－３１６２６７号公報 特開２００４－２７１７９２号公報

K.Takashima, "Scaling Security of Elliptic Curves with Fast Pairing Using Efficient Endomorphisms",IEICE,vol.90-A,no.1,Jan 2007 R. Gallant, R. Lambert, and S. Vanstone, "Faster Point Multiplication on Elliptic Curves with Efficient Endomorphisms" D. Boneh, K. Rubin and A. Silverberg, "Finding Composite OrderOrdinary Elliptic Curves Using the Cock-Pinch method"

　従来、有理点群の埋め込み次数が1でない場合には、2つの有理点部分群G1,G2を簡便に識別できたため、それらを用いてGLV（Gallant-Lambert-Vanstone）法（スカラー倍算の高速化手法）やXateペアリング（ペアリングの高速化手法）を適用することができた。

　しかしながら、有理点群の埋め込み次数を１とした場合、従来のように効率的にスカラー倍算やペアリング計算を行うことができる有理点の部分群を特定する方法がこれまで知られていなかった。そこで、そのような特殊な条件、すなわち、素体上でスカラー倍算を効率的に行えるような有理点だけから成る部分群を識別、特定する必要があった。そして、現在提案されているスカラー倍算及びペアリング演算の高速化は未だに十分ではなく、さらなる高速化が求められている。

　本発明者らは、このような現状に鑑み、有理点群の埋め込み次数を１とし大きな合成数位数を持つペアリング曲線におけるスカラー倍算及びペアリング演算を高速化することにより実用性を向上させるべく研究開発を行って、本発明を成すに至ったものである。

　本発明のスカラー倍算装置では、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを演算するCPU及び記憶手段を備えたスカラー倍算装置において、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記CPUは、
有理点P’∈E(F_p)[r]、前記整数s、をそれぞれ入力して前記記憶手段に記憶する入力手段と、
前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψ(P)=λP（λは整数）を満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定手段と、
前記記憶手段から前記有理点Pを読み出し、前記自己準同型写像ψ(P)を演算し、その結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段と、
前記記憶手段から前記整数ｓを読み出し、次式に基づいてλ進展開し、
　　　s=s₀+s₁λ
係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開手段と、
スカラー倍算を、
　　　[s]P=[s₀+s₁λ]P=[s₀]P+[s₁]ψ(P)
として演算し、その結果を前記記憶手段に記憶するマルチ・スカラー倍算演算手段と、を有することとした。

　さらに、本発明のスカラー倍算装置では、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,y), ε³=1, ε(≠1)∈F_p であることにも特徴を有するものである。

　さらに、本発明のスカラー倍算装置では、
　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
　前記整数λは、 λ²+1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (－x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_pであることにも特徴を有するものである。

　さらに、本発明のスカラー倍算装置では、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
(x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p であることにも特徴を有するものである。

　本発明のスカラー倍算方法では、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを、CPU及び記憶手段を備えた電子計算機で演算するスカラー倍算方法において、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記電子計算機のCPUを入力手段として機能させて、有理点P’∈E(F_p)[r]、前記整数ｓ、をそれぞれ入力して前記記憶手段に記憶する入力ステップと、
前記電子計算機のCPUを有理点部分群特定手段として機能させて、前記記憶手段からP’を読み出し、自己準同型写像ψ(P)=λP（λは整数）を満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定ステップと、
前記電子計算機のCPUを自己準同型写像演算手段として機能させて、前記記憶手段から前記有理点Pを読み出し、前記自己準同型写像ψ(P)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算ステップと、
前記電子計算機のCPUをλ進展開手段として機能させて、前記記憶手段から前記整数ｓを読み出し次式に基づいてλ進展開し、
　　　s=s₀+s₁λ
係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開ステップと、
前記電子計算機のCPUをスカラー倍算演算手段として機能させて、スカラー倍算を、 
　　　[s]P=[s₀+s₁λ]P=[s₀]P+[s₁]ψ(P)
として演算しその結果を前記記憶手段に記憶するマルチ・スカラー倍算演算ステップと、を有することとした。

　さらに、本発明のスカラー倍算方法では、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、　　
(x,y) → (εx,y), ε³=1,ε(≠1)∈F_p であることにも特徴を有するものである。

　さらに、本発明のスカラー倍算方法では、
　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
　前記整数λは、 λ²+1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、　
　(x,y) → (－x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_p であることにも特徴を有するものである。

　さらに、本発明のスカラー倍算方法では、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、　　
(x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p であることにも特徴を有するものである。

　本発明のスカラー倍算プログラムでは、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを、CPU及び記憶手段を備えた電子計算機に演算させるスカラー倍算プログラムにおいて、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記電子計算機のCPUを、
有理点P’∈E(F_p)[r]、前記整数ｓをそれぞれ入力し、前記記憶手段に記憶する入力手段、前記記憶手段からP’を読み出し自己準同型写像ψ(P)= λPを満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定手段、
前記記憶手段から前記有理点Pを読み出し、自己準同型写像ψ(P)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段、
前記記憶手段から前記整数ｓを読み出し、次式に基づいてλ進展開し、
　　　s=s₀+s₁λ
係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開手段、
スカラー倍算を、
　　　[s]P=[s₀+s₁λ]P=[s₀]P+[s₁]ψ(P)
として演算し、その結果を前記記憶手段に記憶するマルチ・スカラー倍算演算手段、
として機能させることとした。

　さらに、本発明のスカラー倍算プログラムでは、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,y), ε³=1,ε(≠1)∈F_p であることにも特徴を有するものである。

　さらに、本発明のスカラー倍算プログラムでは、
　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
　前記整数λは、 λ²+1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、　　
(x,y) → (－x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_p であることにも特徴を有するものである。

　さらに、本発明のスカラー倍算プログラムでは、
　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、　　
(x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p であることにも特徴を有するものである。

　本発明のペアリング演算装置では、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
e:G₁×G₂→F^* _p/( F^* _p)^r
である非退化な双線形写像としてペアリングeを定義し、
有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、ペアリングe(P,Q)を演算するCPU及び記憶手段を備えたペアリング演算装置において、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記CPUは、
有理点P’を前記記憶手段に入力する入力手段と、
前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定する有理点部分群特定手段と、
前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段と、
前記ｆを演算する第1演算手段と、
所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算手段と、
前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算手段と、
前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を

として演算する第4演算手段と
を有することとした。

　さらに、本発明のペアリング演算装置では、
前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r)を満たし、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (-x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに、本発明のペアリング演算装置では、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r)を満たし、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,y), ε³=1, ε(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに、本発明のペアリング演算装置では、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r)を満たし、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,-y), ε³=1, ε(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　本発明のペアリング演算方法では、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
e:G₁×G₂→F^* _p/( F^* _p)^r
である非退化な双線形写像としてペアリングeを定義し、
有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、CPU及び記憶手段を備えた電子計算機でペアリングe(P,Q)を演算するペアリング演算方法において、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記電子計算機のCPUを入力手段として機能させて、有理点P’を入力し記憶手段に記憶するステップと、
前記電子計算機のCPUを有理点部分群特定手段として機能させて、前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定するステップと、
前記電子計算機のCPUを自己準同型写像演算手段として機能させて、前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算ステップと、
前記電子計算機のCPUを第1演算手段として機能させて、前記ｆを演算する第1演算ステップと、
前記電子計算機のCPUを第2演算手段として機能させて、所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算ステップと、
前記電子計算機のCPUを第3演算手段として機能させて、前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算ステップと、
前記電子計算機のCPUを第4演算手段として機能させて、前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を

として演算する第4演算ステップと、
を有することとした。

　さらに本発明のペアリング演算方法では、
前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r) を満たし、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (-x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに本発明のペアリング演算方法では、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r)を満たし、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,y),ε³=1,ε(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに本発明のペアリング演算方法では、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r) であり、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,-y),ε³=1,ε(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　本発明のペアリング演算プログラムでは、
標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
e:G₁×G₂→F^* _p/( F^* _p)^r
である非退化な双線形写像としてペアリングeを定義し、
有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、CPU及び記憶手段を備えた電子計算機にペアリングe(P,Q)を演算させるペアリング演算プログラムにおいて、
前記加法群E(F_p)は、埋め込み次数を１とし、
前記電子計算機のCPUを、有理点P’を入力して記憶手段に記憶する入力手段、
前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定する有理点部分群特定手段、
前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段、
前記ｆを演算する第1演算手段、
所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算手段、
前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算手段、
前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を

として演算する第4演算手段、
として機能させることとした。

　さらに本発明のペアリング演算プログラムでは、
前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r) であり、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (-x,ζy),ζ⁴=1, ζ,ζ²(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに本発明のペアリング演算プログラムでは、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r) であり、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,y),ε³=1,ε(≠1)∈F_p　 であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　さらに本発明のペアリング演算プログラムでは、
前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r) であり、
前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
　　(x,y) → (εx,-y),ε³=1,ε(≠1)∈F_p　であり、
前記f’_r,p(Q)は、

であることにも特徴を有するものである。

　本発明のスカラー倍算によれば、有理点群の埋め込み次数が１の場合において、有理点Pのスカラーｓによるスカラー倍算[s]Pを演算するにあたり、
       λP＝ψ(P)　（λは整数）
となる有理点の集合Gを特定して、ｓをλ進展開してs=s₀ +s₁λとし、
スカラー倍算[s]Pを、
       [s]P＝(s₀+s₁λ)P= s₀P +s₁ψ(P)
として演算を行うことにより、バイナリー法に比べ、演算量をほぼ半減させることができ、スカラー倍算を高速化することができる。

　また、本発明のペアリング演算によれば、ペアリング演算において、ミラーのアルゴリズムを用いて計算される有理関数の計算を2回行うこととなるが、前半で求めた値を記憶手段に保持しておき、それらを後半の計算に効率よく用いることにより、Tateペアリングと比べ約30％の効率化を図ることができる。

本発明の実施形態にかかるスカラー倍算装置またはペアリング演算装置の概略構成を示す模式図である。 本発明の実施形態にかかるスカラー倍算装置またはペアリング演算装置の全体構成を例示したブロック図である。 本発明の実施形態にかかる有理点部分群特定部の機能構成を例示した図である。 本発明の実施形態にかかる有理点部分群特定プログラムのフローチャートである。 本発明の実施形態にかかるスカラー倍算演算部の機能構成を例示した図である。 本発明の実施形態にかかるスカラー倍算演算プログラムのフローチャートである。 本発明の実施形態にかかるペアリング演算部の機能構成を例示した図である。 本発明の実施形態にかかるペアリング演算プログラムのフローチャートである。 本発明の実施形態にかかるペアリング演算プログラムのフローチャートである。 本発明の実施形態にかかるペアリング演算プログラムのフローチャートである。 本発明の実施形態にかかるペアリング演算プログラム（メモリ節約型）のフローチャートである。

　本発明の成果を適用できるようなペアリング曲線は、以下のような条件を満たす必要がある。まず、標数ｐの有限体F_p上で定義される楕円曲線を、
E/F_p: y² = x³ +ax +b, a∈F_p b∈F_pとし、
E(F_p):標数ｐの有限体F_p上で定義される楕円曲線の有理点が成す加法群、
ｒ：E(F_p)の位数#E(F_p)を割り切る合成数、
E[r]：位数が合成数ｒである有理点の集合、
ψ:有理点に対する自己準同型写像、
ｔ：フロベニウス写像のトレース、
[j]：有理点をｊ倍する写像、
G：G=E[r]∩Ker(ψ-λ)、（λは整数）を満たす有理点の集合、と定義する。
また、ｘ｜ｙは、ｘがｙを割り切ることを表わすものとする。

　楕円曲線の生成にはCM（Complex Multiplication）法が知られている。標数ｐ、フロベニウス写像のトレースｔ、判別式Dによる次式のようなCM方程式において、判別式D=1,3の場合を考える。
       4p=t²-Ds²　　(1)
この時、ペアリング曲線の式はそれぞれ以下のように与えられる。
       E_a: y² = x³ +ax, a∈F_p 　(D=1)   (2a)
       E_b: y² = x³ +b, b∈F_p 　 (D=3)   (2b)
本発明者らは、大きな合成数位数に対してこのようなペアリング曲線を生成する簡便な生成法を提案済みである。上記のペアリング曲線上の有理点が簡単な自己準同型写像ψ（即ち有理点をP、整数をλとして、ψ(P)=λP）を持つためには、パラメータの条件がある。これには、以下に示すように、自己準同型写像の周期３，４，６に対応して3次、4次、6次の3つの場合がある。この自己準同型写像をスカラー倍算に用いるのがGLV法である。
また、この自己準同型写像をペアリング演算の高速化にも用いる。
以下に、パラメータの条件及びその写像を示す。

　＜3次の場合＞
　楕円曲線のパラメータが、3|(p-1), E: y² =x³ +b, b∈F_p, D=3の場合、
r|#E(F_p), 3|(r-1)　を満たす合成数ｒに対して、次式を満足するある整数λ₃が存在する。
　　　λ₃ ²+λ₃ +1≡0(mod r) 　   (3)
また、以下に示す周期３の自己準同型写像ψ_３が与えられる。
　　　ψ₃:E(F_p)[r] → E(F_p)[r], 　 (4a)

このような合成数ｒを位数として持つ有理点をP∈E(F_p)[r]とすれば、3次の場合は、[λ₃]P=ψ₃(P)の関係を用いることでスカラー倍算の効率化を図っている。また、後述のペアリング演算の効率化も図っている。

　具体的には、スカラー倍算の場合、ｒに較べて極めて小さいλ₃であれば、これは[λ₃]Pというスカラー倍算が簡便な自己準同型写像ψ₃(P)で求められる（すなわち、有理点Pのｘ座標値をε倍する演算だけでよい）ことから、スカラーｓをλ₃進展開することなどによりこの自己準同型写像を効率よく用いてこれを計算する。

　しかしながら、有理点群の埋め込み次数が１の場合、一般の有理点P’∈E(F_p)[r]に対しては、[λ₃]P’=ψ_３(P’)は成り立たない。そのためGLV法は適用することができない。上述したように、これを満たすような有理点の割合は1／ｒ＝1／2²⁰⁰⁰　であり、簡便にそのような有理点及び有理点部分群を準備できる必要がある。

　本発明では、本発明者らが発見した以下の性質を用いる。
まず、任意の有理点P’∈E(F_p)[r]は次式を満たす。
       [(ψ_３-λ₃)( ψ_３ +λ₃　+1)]P’=O　       (5)
ここで、O　は無限遠点を表わしている。
すなわち、ランダムに生成した有理点P’∈E(F_p)[r]を(ψ_３ +λ₃　+1)倍し、
       P=[ψ_３ +λ₃　+1]P’                      (6)
とすることにより、その有理点Pは[λ₃]P= ψ_３(P)を満たすこととなる。そして、そのようなPが生成する有理点部分群をG₁　とする。また逆に、
       Q=[ψ_３ -λ₃]P’　 　　　          (7)
とすれば、[λ₃　+1]Q= -ψ_３(Q)を満たす有理点Qとなる。そして、そのようなQが生成する有理点部分群をG₂　とする。これらG₁、G₂ を用いて後述のスカラー倍算及びペアリング演算の高速化を実現することができる。

＜関係式の導出法の説明＞
　3次の場合の式(5)の導出について以下に説明する。
まず、任意の有理点P’∈E(F_p)[r]は、E(F_p)のフロベニウス写像のトレースｔ及びフロベニウス写像φを用いて、次式を満たすことが知られている。
       φ:(x,y)→(x^p,y^p)
       (φ² -tφ+[p])P’= O 　　   (8)
同様に、P’をE(F_p)と同型な群を内包する拡大体上ツイスト曲線E’(F_p ^３)に写像した有理点P~を考えれば、E’(F_ｐ)のフロベニウス写像のトレースをt’として次式を満たす。
       (φ² -t’φ+[p])P~= O 　　  (9)
ここで、ツイスト曲線は、E’:y² = x³ +bv^-2,b∈F_ｐで与えられ、ｖはF_ｐの３乗非剰余な元であり、P~は、P’=(x,y)として以下で与えられる。
       P~ = (xv^2/3,yv)           (10)
ここで、上式を写像ψ: P’∈E(F_p)→P~∈E’(F_p ³)とすれば、式(9)は次式のように変形できる。
       {（ψ^-1φ²ψ）-t’(ψ^-1φψ）+[p]}P’=O　 (11)
そしてこの場合、ψ^-1φψ=ψ₃が成り立つので次式を得る。
       (ψ₃ ² -t’ψ₃+[p])P’= O　　 (12)
上式に対して、有理点群の埋め込み次数が１であることからｐ≡1 (mod r)であり、加えてこれに用いる楕円曲線をt’≡-1(3次)、0(4次)、1(6次) (mod r) となるように生成していることから、P’∈E(F_p)[r] （位数ｒの有理点）とすれば、３次のときには次式を得る。
　     (ψ₃ ² ＋ψ₃+[1])P’= O　　　 (13)
一方で3次の場合には、式(3)を満たすような整数λ₃も存在し、すなわちψ₃ ² ＋ψ₃+1≡0
(mod r)を、ψ₃を変数とするような方程式と考えれば、その解の１つがψ₃となる。したがって、式(5)のような因数分解された関係式が得られる。

＜4次の場合＞
同様に、楕円曲線のパラメータが、4|(p-1), E: y²=x³ +ax, a∈F_p, D=1の場合、
r|#E(F_p), 4|(r-1)　を満たす合成数ｒに対して、次式を満足するある整数λ₄が存在する。　　　　λ₄ ²+1≡0(mod r) 　　 　　 (14)
また、以下に示す周期４の自己準同型写像ψ₄が与えられる。
　　　 ψ₄:E(F_p)[r] → E(F_p)[r], 　 (15a)

　このような合成数ｒを位数として持つ有理点をP∈E(F_p)[r]とすれば、４次の場合は、[λ₄]P=ψ₄(P)の関係を用いることでスカラー倍算の効率化を図っている。また、後述のペアリング演算の効率化も図っている。

　本発明では、本発明者らが発見した以下の性質を用いる。
まず、任意の有理点P’∈E(F_p)[r]は次式を満たす。
       [(ψ₄-λ₄)( ψ₄ +λ₄)]P’=O        (16)
すなわち、ランダムに生成した有理点P’∈E(F_p)[r]を(ψ₄ +λ₄　)倍し、
       P=[ψ₄ +λ₄]P’ 　　　　    (17)
とすることにより、その有理点Pは[λ₄]P= ψ₄(P)を満たすこととなる。そして、そのようなPが生成する有理点部分群をG₁　とする。また逆に、
       Q=[ψ₄ -λ₄]P’　 　　　    (18)
とすれば、[λ₄]Q= -ψ₄(Q)を満たす有理点Qとなる。そして、そのようなQが生成する有理点部分群をG₂　とする。これらG₁, G₂ を用いて後述のスカラー倍算及びペアリング演算の高速化を実現することができる。

　4次の場合の式(16)の導出については、3次の場合と同様であるので説明は省略する。

＜６次の場合＞
　さらに同様に、楕円曲線のパラメータが、6|(p-1), E: y² =x³ +b, b∈F_p, D=3の場合、
r|#E(F_p), 3|(r-1)　を満たす合成数ｒに対して、次式を満足するλ₆が存在する。
　　　λ₆ ²-λ₆+1≡0(mod r). 　　 (19)
また、以下に示す周期６の自己準同型写像ψ₆が与えられる。
　　　ψ₆:E(F_p)[r] → E(F_p)[r], 　 (20a)

　このような位数ｒを持つ有理点をP∈E(F_p)[r]とし、6次の場合は、[λ₆]P=ψ₆(P)の関係を用いることでスカラー倍算の効率化を図っている。また、後述のペアリング演算の効率化も図っている。

　本発明では、本発明者らが発見した以下の性質を用いる。
まず、任意の有理点P’∈E(F_p)[r]は次式を満たす。
       [(ψ₆-λ₆)( ψ₆ +λ₆-1)]P’=O 　 (22)
すなわち、ランダムに生成した有理点P’∈E(F_p)[r]を(ψ₆ +λ₆ -1)倍し、
       P=[ψ₆ +λ₆ -1]P’ 　　     (23)
とすることにより、その有理点Pは[λ₆]P= ψ₆(P)を満たすこととなる。そして、そのようなPが生成する有理点部分群をG₁　とする。また逆に、
       Q=[ψ₆ -λ₆]P’　 　　　    (24)
とすれば、[λ₆ -1]Q= -ψ₆(Q)を満たす有理点Qとなる。そして、そのようなQが生成する有理点部分群をG₂　とする。これらG₁、G₂ を用いて後述のスカラー倍算及びペアリング演算の高速化を実現することができる。

　6次の場合の式(22)の導出についても、3次の場合と同様であるので説明は省略する。

　以下に、本発明のGLV法によるスカラー倍算について説明する。
有理点Pのスカラー0<ｓ<ｒによるスカラー倍算[s]Pは、ｓをλ進展開して、
       s=s₀+s₁λ s₀,s₁＜λ 　　　   (25)
とすると、
       [s]P=[ s₀+s₁λ]P= [s₀]P +[s₁λ]P=[s₀]P +[s₁]ψ(P) 　       (26)
となる。
s₀、s₁はλより小さく、λはｒに較べてはるかに小さい。またψ(P)は上述したように簡単な計算（有限体上の乗算1回）で求めることができる。従ってｓよりはるかに小さいスカラー値を用いてスカラー倍算を求めることができ、高速化を実現できる。式（26）は複数の有理点のスカラー倍算を求める場合の既存の高速化手法である後述のマルチ・スカラー倍算法（［表１]参照。）により求めることができる。λ^２≒ｒであり、s₀、s₁は、２進数展開したときのビット数が約半分となるので、バイナリー法に比べおおよそ半分の計算時間で求まることとなる。

　以下において、本発明のスカラー倍算の実施形態について、図を用いて説明する。図１は、本発明の実施形態にかかるスカラー倍算装置の概略模式図である。図２は、本発明の実施形態にかかるスカラー倍算装置の全体構成を例示したブロック図である。まず、図1及び図2を用いてこの形態の全体について説明し、次にその詳細について説明する。なお、本実施形態では、所要の電子計算機で構成された認証サーバによってデジタルグループ署名の認証処理を行う際に、与えられたペアリング曲線から上述した有理点部分群を特定するプログラム、及び一般的にサブルーチン処理として実行されているスカラー倍算演算プログラム部分についてのみ説明する。なお、有理点部分群の特定及びスカラー倍算の演算は、認証サーバで実行される場合に限定されるものではなく、少なくともCPUなどの演算手段及び記憶手段を備えた装置であれば、どのような装置であってもよい。

　図１に示すように、認証サーバを構成する電子計算機10は、演算処理を実行するCPU 11と有理点部分群特定プログラム、スカラー倍算演算プログラム、ペアリング演算プログラムなどの各種プログラム、及びこれらのプログラムで使用するデータなどを記憶したハードディスクなどの記憶装置12と、これらのプログラムを展開して実行可能とするとともに、これらプログラムの実行にともなって生成されたデータを一時的に記憶するRAMなどで構成されたメモリ装置13を備えている。図１中、14はバスである。

　また、認証サーバを構成する電子計算機10は、インターネットなどの電気通信回線20に接続して、この電気通信回線20に接続されたクライアント装置30から送信されたデジタルグループ署名の署名データを受信可能としている（図２、認証データ入力部100）。図１中、15は電子計算機10の入出力部である。

　認証サーバを構成する電子計算機10では、クライアント装置30からデジタルグループ署名の署名データが送信されると、送信された署名データをメモリ装置13に一旦記憶し（認証データ入力部100）、有理点部分群特定プログラムを起動して効率的な自己準同型写像を可能とする有理点部分群を特定(図２、有理点部分群特定部200)した後、ペアリング演算プログラムを起動して、ペアリング演算を実行している(図２、ペアリング演算部300)。
　そして、認証サーバを構成する電子計算機10では、ペアリング演算の実行に際して、所要のスカラー倍算の演算が必要となった場合に、スカラー倍算演算プログラムを起動して、スカラー倍算を実行している（図２、スカラー倍算演算部400）。
　その後、認証結果を出力している（図２、認証結果出力部500）。

　次に、本実施形態の詳細について図を用いて説明する。
＜有理点部分群の特定＞

　図３は図１で示した装置で所定のプログラムを実行させることにより実現される有理点部分群特定部の機能構成を例示した図である。
図４は有理点部分群特定部の処理を行う有理点部分群特定プログラムのフローチャートである。
　電子計算機10では、起動した有理点部分群特定プログラムによって、図４に示すフローチャートに基づいて効率的な自己準同型写像を可能とする有理点部分群を特定している。すなわち、入力された、有理点群が埋め込み次数１の一般の有理点を特定の有理点部分群内の有理点に変換している。この場合電子計算機10は有理点部分群特定手段として機能する。以下では、3次GLV法の場合について説明する。

　ステップ　T1（有理点入力部210）では、外部から与えられ入力手段により記憶手段に記憶された一般の有理点P’を読み出している。
　ステップ　T2（定数演算部220）では、あらかじめレジスタに記憶された有限体の標数ｐ及び合成数位数ｒとを用いて、式（３）で示したλ²＋λ＋１≡０ (mod r)となるλ及び、式（４ｂ）で示したε³≡1 (mod p)となるε(≠1)を演算し設定している。
　ステップ　T3（自己準同型写像演算部230）では、式（４ｂ）のψ(P’)：(x,y)→(εx,y)として、P’のｘ座標値ｘをε倍し、ψ(P’)を求めている。
　ステップ　T4（有理点演算部240）では、式（６）のP=ψ(P’)+(λ+1)P’を計算している。なお、このψ(P’) +(λ+1)P’は2個の有理点スカラー倍算を同時に求める後述の[表１]に基づくアルゴリズムにより求めている。
　ステップ　T5（判定部250）では、P=O　(無限遠点)　かどうかを判定している。
P=O　の場合は、2つの部分群を特定できないのでエラー・リターンしている。
　ステップ　T6 (有理点演算部240)では、式（７）のQ=ψ(P’)+(-λ)P’を計算している。なお、このψ(P’)+(-λ)P’も2個の有理点のスカラー倍算を同時に求める後述の[表１]に基づくアルゴリズムにより求めている。
　ステップ　T7(判定部250)では、Q=O　（無限遠点）かどうかを判定している。
Q=O　の場合は2つの部分群を特定できないのでエラー・リターンしている）。
　ステップ T8では、P、Qを記憶手段に記憶している。Pの集合が有理点部分群G₁となり、Qの集合が有理点部分群G₂となる。

　本実施形態では、3次GLV法の場合について説明したが、4次GLV法,及び6次GLV法の場合も、λ、ψ(P’)、εまたはζ、P、Qがそれぞれ
4次GLV法では、式(14)：λ²+1≡0 (mod r)、 
　式(15b)：ψ(P’):(x,y)→(-x,ζy), (ζ^４=1, ζ,ζ²(≠1)∈F_p)、
　式(17）：P=ψ(P’) +λP’、
　式(18)：Q=ψ(P’) +(-λ)P’
となり、
6次GLV法では、式(19)：λ²-λ+1≡0 (mod r)、 
　式(20b)：ψ(P’):(x,y)→(εx,-y), (ε³=1, ε(≠1)∈F_p)、
　式(23)：P=ψ(P’) +(λ-1)P’、 
　式(24)：Q=ψ(P’) +(-λ)P’
となるだけであり、同様に有理点部分群を特定することができる（説明は省略する。）。

＜スカラー倍算演算プログラム＞
図５は図１で示した装置で所定のプログラムを実行させることにより実現されるスカラー倍算演算部の機能構成を例示した図である。図６はスカラー倍算演算部の処理を行うスカラー倍算演算プログラムのフローチャートである。
　電子計算機10では、起動したスカラー倍算演算プログラムによって、図６に示すフローチャートに基づいてスカラー倍算の演算を行い、演算結果を記憶手段に記憶すると共に、メインルーチンのプログラムに返している。以下では、3次GLV法の場合について説明する。

　起動したスカラー倍算演算プログラムによって、電子計算機10では、ペアリング演算部300より、スカラーｓのデータ及び、有理点Pのデータ、を入力して、CPU11の内部に設けている所定のレジスタ490にそれぞれ入力している（パラメータ入力部410）（ステップ　S1）。

　次いで、電子計算機10では、スカラー倍算演算プログラムによってCPU11を定数演算手段として機能させて、あらかじめレジスタ490に格納されている合成数位数ｒ及び有限体の標数ｐを用いて、式(3)で示したλ²＋λ+1≡0 (mod r)　となるλ及び式(4b)で示したε³≡1 (mod p)　となるε(≠1)を演算しそれぞれ設定している(定数演算部420)（ステップS2）。

　次いで、電子計算機10では、スカラー倍算演算プログラムによってCPU11を自己準同型写像演算手段として機能させて、式(4b)で示したP(x,y)→ψ(P)(εx,y)を演算している。すなわち、Pのｘ座標値をε倍して新たな有理点を求めている（自己準同型写像演算部430）(ステップ S3)。

　次いで、電子計算機10では、スカラー倍算演算プログラムによってCPU11をλ進展開手段として機能させて、スカラーｓをλ進展開して、式(25)で示した
       s=s₀+s₁λ (mod r)
となる係数s₀、s₁を演算している（λ進展開部440）（ステップ　S4）。
具体的には、s₀=s%λ, s₁=(s - s₀)/λとしている。（％は、剰余演算子、／は除算演算子。）

　次いで、電子計算機10では、スカラー倍算演算プログラムによってCPU11をスカラー倍算演算手段として機能させて、式(26)で示した
[s]P=(s₀+s₁λ)P= s₀P+s₁λP=s₀P+s₁ψ(P)としてスカラー倍算[s]Pの演算を行っている（マルチ・スカラー倍算演算部450）（ステップ　S5）。
このs₀P+s₁ψ(P)の演算は、二つの有理点のスカラー倍算の演算を同時に求めるマルチ・スカラー倍算として以下の[表１]のアルゴリズムに基づいて行っている。

[表１]マルチ・スカラー倍算アルゴリズム
Input: w, k=(k_t-1,...,k₁,k₀)₂, l=(l_t-1,...,l₁,l₀)₂, P,Q.
Output: kP +lQ.
(1) Compute iP+jQ for all i,j∈[0,2^w-1].
(2) Write k=(k^d-1,...,k¹,k⁰) and l=(l^d-1,...,l¹,l⁰) , d=[t/w].
(3) R←O.
(4) For i from d-1 down to 0 do
(4.1) R←2^wR.
(4.2) R←R+(kⁱP +lⁱQ).
(5) Return(R).　
　この場合、このアルゴリズムにおける入力パラメータのｋはs₀、lはs_１、Pは入力した有理点P、Qは有理点ψ(P)となる。ｗはウインドー巾である。　k_ｊ、l_ｊ はｋ、ｌを2進展開した時の各係数、kⁱ、lⁱはｋ、ｌを２^ｗ進展開した時の各係数である。全体でｄ個となる。
ステップ１では、ウインドー巾までの有理点P,Qの全てのスカラー倍算の組合せについて、事前に計算しておきテーブル化して記憶手段に記憶している。
ステップ２では、各kⁱ、lⁱを求めている。
ステップ３では、求めるべき有理点の変数Rを初期化している。
ステップ４では、以下の４．１及び４．２のステップをiがｄ－１から０まで繰り返している。
　ステップ４．１では、Rをウインドー巾倍すなわち楕円２乗算をｗ回行っている。
　ステップ４．２では、ステップ１で作成したテーブルを参照してkⁱP+lⁱQの値をRに楕円加算している。
　ステップ５では、Rを戻り値としてリターンしている。

　このとき、スカラーｓが2000ビットであった場合にはs₀及びs₁は1000　ビットとなるため、バイナリー法に比べ、演算量を半減させることができ、スカラー倍算を高速化することができる。

　演算後、電子計算機10では、演算結果をメモリ装置13に記憶するとともにメインルーチンのプログラムに返している。

　本実施形態では、3次GLV法の場合について説明したが、4次GLV法,及び6次GLV法の場合も、λ及びψ(P)と、εまたはζがそれぞれ、
4次GLVでは、式(14)：λ²+1≡0 (mod r)、
式(15b)：ψ(P):(x,y)→(-x,ζy), (ζ^４≡1 (mod p))
となり、
6次GLVでは、式（19）：λ²-λ+1≡0 (mod r)、
式(20b)：ψ(P):(x,y)→(εx,-y), (ε³≡1( mod p))
となるだけであり、同様に演算することができる(説明は省略する。)。

　以上説明したように、本実施形態の有理点部分群特定手段である有理点部分群特定部200では、有理点入力部210において、有理点群の埋め込み次数が１であるF_p上の一般の有理点P’∈ F_p[r]を入力し、定数演算部220において、あらかじめレジスタ290に格納された合成数位数ｒ及び標数ｐを用いて、式(3)に示すλ² +λ+1≡0 (mod r)　及び式(4b)に示すε³≡1 (mod p)を演算し、自己準同型写像演算部230において自己準同型写像ψ(P’)を演算し、有理点演算部240において有理点P及びQを演算して、有理点部分群を特定している。このようにすることにより、これら有理点部分群の1つを用いてスカラー倍算の演算を高速に行うことができる。

　また、本実施形態のスカラー倍算演算部400では、入力手段であるパラメータ入力部410において、スカラー値ｓ及び有理点Pを入力し、定数演算部420において、あらかじめレジスタ490に格納された合成数位数ｒ及び標数ｐを用いて、式(3)に示すλ² +λ+1≡0 (mod r)　及び式(4b)に示すε³≡1 (mod p)を演算し、自己準同型写像演算手段である自己準同型演算部430において自己準同型写像ψ(P)を演算し、λ進展開手段であるλ進展開部440においてスカラーｓをλ進展開し、マルチ・スカラー倍算演算手段であるマルチ・スカラー倍算演算部450において、スカラー倍算[ｓ]Pを演算している。このようにすることにより有理点群が埋め込み次数１である有理点のスカラー倍算を高速に実行することができる。

　なお、本発明のスカラー倍算は、上述の実施形態に限定されるものではない。例えば、マルチ・スカラー倍算演算部では、既存の手法であるJSF(Joint　Sparse　Form)を用いて演算してもよい。

　また、有理点群特定プログラム及びスカラー倍算演算プログラムはコンピュータで読み取り可能な記録媒体に記録することができる。また、これらのプログラムをサーバのコンピュータの記憶装置に記憶しておき、ネットワークを介して電子計算機の記憶装置にダウンロードすることもできる。

　以下に本発明のペアリング演算について説明する。
　本発明のペアリング演算では、ペアリング演算におけるミラーのアルゴリズムを用いて有理関数を演算する第1のステップと、その結果に対してべき乗算を行う第2のステップのうち、第1のステップにおいて、上記整数λ及び自己準同型写像ψ(P)を用いて有理関数を演算することにより、演算の高速化を図っているものである。

　すなわち、従来のペアリング演算では、曲線の式がy²=x³+ax+b,a∈F_p, b∈F_pで与えられ、F_p上の素数位数ｒを持つ有理点の集合をE[r]とし、埋め込み次数がｋでF_p ^kを定義体とするペアリング可能な楕円曲線上の有理点の成す加法群をE(F_p ^k)、φ_ｐをフロベニウス自己準同型写像として、
G₁=E[r],
G₂=E(F_p ^k)
により、
e:G₁×G₂→F^* _p ^k/( F^* _p ^k)^r
である非退化な双線形写像としてペアリングeを定義し、有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数f_r,P(Q)を用いて、ペアリングe(P,Q)を、

として演算していた。これらは、Tateペアリングとして知られているものである。

　これに対して、本発明者らは、有理点群の埋め込み次数が１の場合において、有理点部分群G₁、G₂を特定し、その特性により有理関数f_r,P(Q)の計算を例えば、4次の場合、以下のように行うこととした。

まず、f_{λ_4,P}(Q)を計算する。この計算の過程で得られる途中のデータを記憶手段に記憶する。続いてf_{λ_4,ψ4(P)}(Q)を計算する際に先の計算とψ₄(P)のみが異なること、加えてそれが簡単な写像ψ₄を仲介して与えられていることから、先に記憶しておいた計算結果を活用することができ、加えて、その計算の初期値としてf_{λ_4,P}(Q)の計算結果を使うことにより、残りのλ₄乗算（べき乗算）も併せて済ませることができる。これにより、おおよそ30％の効率化が図れる。

　3次の場合も同様に、 

として計算する。

　さらに、6次の場合も同様に、

として計算する。

　以下において、本発明のペアリング演算の実施形態について、図を用いて説明する。
図1は、本発明の実施形態にかかるペアリング演算装置の概略構成を示す模式図である。
図2は、本発明の実施形態にかかるペアリング演算装置の全体構成を例示したブロック図である。
　図1及び図2については、スカラー倍算の場合と同様であるので説明は省略する。

次に、本実施形態の詳細について図を用いて説明する。
＜有理点部分群の特定＞

　図３は図１で示した装置で所定のプログラムを実行させることにより実現される有理点部分群特定部の機能構成を例示した図である。
図４は有理点部分群特定部の処理を行う有理点部分群特定プログラムのフローチャートである。
図3及び図4についてもスカラー倍算の場合と同様であるので説明は省略する。
＜ペアリング演算プログラム＞

　図７は、図1で示した装置で所定のプログラムを実行させることにより実現されるペアリング演算部の機能構成を例示した図である。
図８は、ペアリング演算部の処理を行うペアリング演算プログラムのフローチャートである。以下では4次の場合について説明する。

　起動したペアリング演算プロラムによって、電子計算機10では、CPU　11を入力手段として機能させて、メモリ装置13にあらかじめ記憶されている整数λ₁=λ_４のデータと、有理点Pのデータ、及び署名データとしてメモリ装置13に一旦記憶された有理点QのデータをCPUの内部に設けている所定のレジスタにそれぞれ入力している（パラメータ入力部）（ステップS1）。

　次いで、有理関数f_{λ_4,P}(Q)の変数f₁,h₁を初期化すなわちf₁=１、h₁=1としている。（ステップS2）

　次いで、電子計算機10では、ペアリング演算プログラムによってCPU　11を
第1演算手段として機能させて、ミラーのアルゴリズムによって有理関数
f_{λ_4,P}(Q)を演算しその演算結果をメモリ装置13に記憶している。（ステップS3）。

　この有理関数f_{λ_4,P}(Q)は、具体的には図９に示すように実行している。
特にステップS2では、有理関数f_{λ_4,P}(Q)の演算とともにT₁の中間結果を楕円２倍算、楕円加算に分けてメモリ装置13に記憶している。

　まず、初期設定としてT₁←Pとするとともに整数λを２進数表示とした場合のビット数をiとしている（ステップS31）。

　次いで、ステップS32では、CPU　11を第２演算手段として機能させて直線及び垂線における値を求め、有理関数f_{λ_4,P}(Q)の楕円２倍算に伴う所定の演算を行っている。ここで、有理関数を求めるにはf₁/h₁が必要であるが、都度の除算を避けてf₁、h₁のままとしている。

　次いで、T₁の中間結果を配列C_dbl[i]に記憶するとともに有理点変数T₁の楕円２倍算を行いT₁に代入している。（ステップS33）。

　次いで、ステップS34では、整数λ₄の低次から数えてi番目のビットの値λ_4iが「１」かであるか「０」であるかを判定し、λ_4i=1の場合には、ステップS35で、有理関数f_{λ_4,P}(Q)の楕円加算に伴う所定の演算を行っている。ここでも都度の除算を避けてｆ₁、ｈ₁のままとしている。ステップS36で、T₁の中間結果を配列C_add[i]に記憶するとともに有理点変数T₁の有理点Pとの楕円加算を行いT₁に代入している。

　次いで、λ_4i≠1の場合、iのデクリメントを行って(ステップS38)、ステップS32に戻り、ステップS37でi=1になるまで繰り返すことにより、有理関数f_{λ_4,P}(Q)を演算しその結果であるf₁、h₁をメモリ装置13にそれぞれ記憶している。

　次いで、有理関数f_{λ_4,P}(Q)の変数f₁,h₁をメモリ装置13から読み出し初期化している。すなわち、ステップS3での結果をステップS5の初期値としている。（ステップS4）。

　次いで、電子計算機10では、ペアリング演算プログラムによってCPU　11を
第1演算手段として機能させて、ミラーのアルゴリズムによって有理関数
f_{λ_4,ψ4(P)}(Q)を演算しその演算結果をメモリ装置13に記憶している。（ステップS5）。

　この有理関数f_{λ_4,ψ4(P)}(Q)は、具体的には図１０に示すように実行している。

　まず、初期設定として、整数λ₄を２進数表示とした場合のビット数をiとしている（ステップS51）

　ステップS52では、配列C_dbl[i]を記憶装置13から読み出し、CPU　11を自己準同型写像手段として機能させて、ψ_４（C_dbl[i]）を求め、その結果をT₁に代入している。

　次いで、ステップS53では、CPU　11を第２演算手段として機能させて直線及び垂線における値を求め、有理関数f_{λ_4,P}(Q)の楕円２倍算に伴う所定の演算を行っている。ここで、有理関数を求めるにはf₁/h₁が必要であるが、都度の除算を避けてf₁,h₁のままとしている。

　次いで、ステップS54では、整数λ₄の低次から数えてi番目のビットの値λ_4iが「１」かであるか「０」であるかを判定し、λ_4i=1の場合には、ステップS55でメモリ装置13から配列C_add[i]を読み出し、CPU　11を自己準同型写像手段として機能させて、ψ_４（C_add[i]）を求め、その結果をT₁に代入している。ステップS56では、CPU　11を第２演算手段として機能させて直線及び垂線における値を求め、有理関数f_{λ_4,P}(Q)の楕円加算に伴う所定の演算を行っている。ここでも都度の除算を避けてｆ₁、ｈ₁のままとしている。

　次いで、λ_4i≠1の場合、iのデクリメントを行って(ステップS58)、ステップS52に戻り、ステップS57でi=1になるまで繰り返すことにより、有理関数f_{λ_4,ψ4(P)}(Q)を演算している。

　次いで、ステップS59では、f₁/h₁を行いf₁に代入している。ループの中で除算を実行することなく、1度の除算で済ませている。次いで、f₁・(x_Q- x_P)を計算しf’_r,P(Q)の値を求め、f₁に代入し、その結果をメモリ装置13に記憶している。

　具体的には、記号の意味を次の通りとして、
λ_4i :λ₄を2進表記した際の低次からi番目のビット
l_T1,T1(Q):有理点T₁での接線における有理点Qの値
（表示の制限上、下付き文字は正しくはT₁であるがT1としている。以下も同じ。）
l_T1,P(Q) :有理点T₁と有理点Pを通る直線における有理点Qの値
v_2T1(Q) :有理点２T₁での垂線における有理点Qの値
v_T1+P(Q) :有理点T₁＋Pでの垂線における有理点Qの値
C_dbl[i] :繰り返し回数がi番目の２倍算２T₁を格納するための配列(メモリ)
C_add[i] :繰り返し回数がi番目の加算T₁＋Pを格納するための配列(メモリ)
以下のアルゴリズムを実行している。
［表２］ミラーのアルゴリズム１(4次の場合：スピード重視型)
入力:λ₄, P∈G₁, Q∈G₂
出力：f’_r,P(Q)
1. f₁←1, f₂←1, h₁←1, h₂←1, T₁←P
2. For i=[log₂(λ₄)] down to 1 do:
3. f₁←f₁ ²・l_T1,T1(Q).
4. h₁←h₁ ²・v_2T1(Q).
5. C_dbl[i] ←T₁.
6. T₁ ←2T₁.
7. if λ_4i=1, then:
8. f₁←f₁・l_T1,P(Q).
9. h₁←h₁・v_T1+P(Q).
10. C_add[i] ←T₁.
11. T₁←T₁+P.
12. T₁←P.
13. f₂←f₁.
14. h₂←h₁.
15. For i=[log₂(λ₄)] down to 1 do:
16. T₁←ψ₄(C_dbl[i]).
17. f₁←f₁ ²・l_T1,T1(Q).
18. h₁←h₁ ²・v_2T1(Q).
19. if λ_4i=1, then:
20. T₁←ψ₄(C_add[i]).
21. f₁←f₁・f₂・l_T1,P(Q).
22. h₁←h₁・h₂・v_T1+P(Q).
23. f₁←f₁/h₁.
24. f₁←f₁・(x_Q-x_P).
25. Return f₁.
　すなわち、CPU　11は、メモリ装置13を用いて上記手順の各演算を行いｆ‘_r,P(Q)を得てその値をメモリ装置13に記憶している。具体的には、手順１では、有理関数変数f₁,f₂,h₁,h₂を１に、有理点変数T₁を有理点Pに初期設定している。手順2では、変数iを整数λ_４を2進数展開した時のビット数に初期設定し、手順３から手順11までを繰り返している。手順3及び4では有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₁/h₁が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順5では、中間結果のT₁を配列C_dbl[i]に代入している。手順6では、有理点T₁の楕円２倍算を行いT₁に代入している。手順７では、整数λ₄の低次からi番目のビットが「１」か「０」かを判定し「１」の場合に手順８から11を実行している。手順8及び9では有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₁/h₁が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順10では、有理点変数T₁の中間結果を配列C_add[i]に代入している。手順11では、有理点変数T₁と有理点Pを楕円加算しその値をT₁に代入している。
手順12では有理点変数T₁を有理点Pに初期設定している。手順13,14では、前半の結果をf₂,h₂に代入している。手順15では、変数iを、整数λ_４を2進数展開した時のビット数に初期設定し、手順16から手順22までを繰り返している。手順16では、配列C_dbl[i]をメモリ装置13から読み出し自己準同型写像を行い、その値を有理点変数T₁に代入している。手順17,18では、有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₁/h₁が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順19では、整数λ₄の低次からi番目のビットが「１」か「０」かを判定し「１」の場合に手順20から22を実行している。手順20では、配列C_add[i]をメモリ装置13から読み出し自己準同型写像を行い、その値を有理点変数T₁に代入している。手順21及び22では、有理関数の演算を直線及び垂線に分けて行うと共にそれぞれf₂ 、h₂を賭け合わせることによりλ₄乗を実現している。手順23,24では最終的な有理関数の値f’_r,P(Q)を求めf₁に代入している。

　次いで、電子計算機10では、ペアリング演算プログラムによってCPU　11を第４演算手段として機能させて、ステップS５で得られたf’_r,P(Q)の値をメモリ装置13から読み出し、ペアリングe(P,Q)における最終べきの、べき乗算を行いその結果をメモリ装置13に記憶している（ステップS6）。

　具体的には、
［表３］最終べきのアルゴリズム
1. a←p-1
2. a←a・r^-1
3. f’←f’^a 
4. Return f’
として演算し、f’すなわちe(P,Q)の値をメモリ装置13に記憶している。

　認証サーバを構成する電子計算機10では、上述したようにして得られたペアリングの演算結果を用いて認証処理を行っている。

　以上、4次の場合のペアリング演算について、図８及び表２では、前半のミラー・アルゴリズムの計算の結果を求める際に得られた中間結果をメモリ装置13に記憶しておき後半のミラー・アルゴリズムの計算に活用することによりペアリング演算を高速に実行することとしているが、メモリ容量を節約して実行することもできる。図１１及び表４は、その場合のフローチャート及びアルゴリズムである。記号の意味は、表２の場合と同じなので説明は省略する。
［表４］ミラーのアルゴリズム２（4次：メモリ節約型）
入力:λ₄, P∈G₁, Q∈G₂
出力：f’_r,P(Q)
1. f₁←1, f₂←1, h₁←1, h₂←1, T₁←P
2. For i=[log₂(λ₄)] down to 1 do:
3. f₁←f₁ ²・l_T1,T1(Q).
4. h₁←h₁ ²・v_2T1(Q).
5. T₂←ψ₄(T₁).
6. f₂←f₂ ²・l_T2,T2(Q).
7. h₂←h₂ ²・v_2T2(Q).
8. T₁←2T₁.
9. If λ_4i=1, then :
10. f₁←f₁・l_T1,P(Q).
11. h₁←h₁・v_T1+P(Q).
12. T₂←ψ₄(T₁).
13. f₂←f₂・l_T2,P(Q).
14. h₂←h₂・v_T2+P(Q).
15. T₁←T₁+P.
16. f₁←f₁ ^λ_4.
17. h₁←h₁ ^λ_4. 
18. f₁←(f₁・f₂)/(h₁・h₂).
19. f₁←f₁・(x_Q-x_P).
20. Return f₁.
すなわち、手順１では、有理関数変数f₁,f₂,h₁,h₂を１に、有理点変数T₁を有理点Pに初期設定している。手順2では、変数iを整数λ_４を2進数展開した時のビット数に初期設定し、手順３から手順15までを繰り返している。手順3及び4では、第2演算手段を用いて、楕円２倍算にともなう有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₁/h₁が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順5では、自己準同型写像演算手段により、有理点T₁を変換しT₂に代入している。手順6及び7では、第2演算手段を用いて、楕円加算にともなう有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₂/h₂が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順8では、有理点T₁の楕円２倍算を行いT₁に代入している。手順９では、整数λ₄の低次からi番目のビットが「１」か「０」かを判定し「１」の場合に手順10から15を実行している。手順10及び11では、T₁について有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₁/h₁が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順12では、自己準同型写像演算手段により、有理点T₁を変換しT₂に代入している。手順13及び14では、第2演算手段を用いて、楕円加算にともなう有理関数の演算を直線及び垂線に分けて行っている。有理関数の値を求めるにはf₂/h₂が必要であるが除算の回数を減らすためループの中では除算を行わないようにしている。手順１5では、有理点変数T₁と有理点Pを楕円加算しその値をT₁に代入している。手順16及び17では、f₁及びh₁のλ₄乗算を行っている。
手順18及び19では最終的な有理関数の値f’_r,P(Q)を求めf₁に代入している。除算は、手順18の1回だけで済ませている。

　以上、本実施形態では、4次の場合について説明したが、3次及び6次の場合でも同様のアルゴリズムでペアリング演算を高速に演算できる。
以下に、3次の場合のアルゴリズムを示す。記号の意味は、表２の場合と同様なので説明は省略する。
［表５］ミラーのアルゴリズム３(３次の場合：スピード重視型)
入力:λ₃, P∈G₁, Q∈G₂
出力：f’_r,P(Q)
1. f₁←1, f₂←1, h₁←1, h₂←1, T₁←P.
2. For i=[log₂(λ₃)] down to 1 do:
3. f₁←f₁ ²・l_T1,T1(Q).
4. h₁←h₁ ²・v_2T1(Q).
5. C_dbl[i] ←T₁.
6. T₁ ←2T₁.
7. if λ_3i=1, then:
8. f₁←f₁・l_T1,P(Q).
9. h₁←h₁・v_T1+P(Q).
10. C_add[i] ←T₁.
11. T₁←T₁+P.
12. T₁←P.
13. f₂←f₁.
14. f₃←f₁ /h₁.
15. h₂←h₁.
16. For i=[log₂(λ₃)] down to 1 do:
17. T₁←ψ₃(C_dbl[i]).
18. f₁←f₁ ²・l_T1,T1(Q).
19. h₁←h₁ ²・v_2T1(Q).
20. if λ_3i=1, then:
21. T₁←ψ₃(C_add[i]).
22. f₁←f₁・f₂・l_T1,P(Q).
23. h₁←h₁・h₂・v_T1+P(Q).
24. f₁←f₁・l_T1,ψ3(P)(Q).
25. f₁←f₁ /h₁.
26. f₁←f₁・f₃.
27. Return f₁.
　3次の場合のアルゴリズムは、4次の場合と同様であるので、異なる部分のみ説明する。
手順14では、前半の結果をｆ_３に代入し、手順26でλ_３＋１乗を得ている。手順24では、補正項l_T1,ψ3(P)(Q)を掛け合わせている。

　以下に、６次の場合のアルゴリズムを示す。記号の意味は、表２の場合と同様なので説明は省略する。
［表６］ミラーのアルゴリズム４(６次の場合：スピード重視型)
入力:λ₆, P∈G₁, Q∈G₂
出力：f’_r,P(Q)
1. f₁←1, f₂←1, h₁←1, h₂←1, T₁←P.
2. For i=[log₂(λ₆-1)] down to 1 do:
3. f₁←f₁ ²・l_T1,T1(Q).
4. h₁←h₁ ²・v_2T1(Q).
5. C_dbl[i] ←T₁.
6. T₁ ←2T₁.
7. if λ_6i=1, then:
8. f₁←f₁・l_T1,P(Q).
9. h₁←h₁・v_T1+P(Q).
10. C_add[i] ←T₁.
11. T₁←T₁+P.
12. T₁←P.
13. f₁←f₁・l_T1,P(Q).
14. h₁←h₁・v_T1+P(Q).
15. f₂←f₁.
16. h₂←h₁.
17. For i=[log₂(λ₆-1)] down to 1 do:
18. T₁←ψ₆(C_dbl[i]).
19. f₁←f₁ ²・l_T1,T1(Q).
20. h₁←h₁ ²・v_2T1(Q).
21. if λ_6i=1, then:
22. T₁←ψ₆(C_add[i]).
23. f₁←f₁・f₂・l_T1,P(Q).
24. h₁←h₁・h₂・v_T1+P(Q).
25. f₁←f₁ /h₁.
26. f₁←f₁・(x_Q-x_P).
27. Return f₁.
　6次の場合のアルゴリズムも4次の場合と同様であるので異なる部分のみ説明する。
手順２及び17の繰り返し回数はλ_６－１回としている。手順13、14では補正項を掛け合わせている。

　なお、上述においては、各演算結果を記憶する記憶手段としてメモリ装置13を用いることとしたがCPU　11の内部に設けているレジスタを上記記憶手段として用いるようにしてもよい。

　また、有理点群特定プログラム及びペアリング演算プログラムはコンピュータで読み取り可能な記録媒体に記録することができる。また、これらのプログラムをサーバのコンピュータの記憶装置に記憶しておき、ネットワークを介して電子計算機の記憶装置にダウンロードすることもできる。

　10　電子計算機
　11　CPU
　12　記憶装置
　13　メモリ装置
　14　バス
　15　入出力制御部
　20　電気通信回線
　30　クライアント装置
　100　認証データ入力部
　200　有理点部分群特定部
　300　ペアリング演算部
　400　スカラー倍算演算部
　500　認証結果出力部
　210　有理点入力部
　220　定数演算部
　230　自己準同型演算部
　240　有理点演算部
　250　判定部
　290　レジスタ
　310　パラメータ入力部
　320　第3演算部
　330　第1演算部
　340　第2演算部
　350　自己準同型写像演算部
　360　第4演算部
　380　記憶手段
　390　レジスタ
　410　パラメータ入力部
　420　定数演算部
　430　自己準同型写像演算部
　440　マルチ・スカラー倍算演算部
　490　レジスタ

Claims (24)

1. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを演算するCPU及び記憶手段を備えたスカラー倍算装置において、
   前記加法群E(F_p)は、埋め込み次数を１とし、
   前記CPUは、
   有理点P’∈E(F_p)[r]、前記整数s、をそれぞれ入力して前記記憶手段に記憶する入力手段と、
   前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψ(P)=λP（λは整数）を満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定手段と、
   前記記憶手段から前記有理点Pを読み出し、前記自己準同型写像ψ(P)を演算し、その結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段と、
   前記記憶手段から前記整数ｓを読み出し、次式に基づいてλ進展開し、
   　　　s=s₀+s₁λ
   係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開手段と、
   スカラー倍算を、
   　　　[s]P＝［s₀ +s₁λ］P=［s₀］P +［s₁］ψ(P)
   として演算し、その結果を前記記憶手段に記憶するマルチ・スカラー倍算演算手段と、を有することを特徴とするスカラー倍算装置。
2. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
   　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   　　 (x,y) → (εx,y), ε³=1,ε(≠1)∈F_p である請求項１に記載のスカラー倍算装置。
3. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
   　前記整数λは、 λ²+1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   　　 (x,y) → (－x,ζy),ζ⁴=1,ζ(≠1)∈F_p である請求項１に記載のスカラー倍算装置。
4. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
   　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   (x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p である請求項１に記載のスカラー倍算装置。
5. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを、CPU及び記憶手段を備えた電子計算機で演算するスカラー倍算方法において、
   前記加法群E(F_p)は、埋め込み次数を１とし、
   前記電子計算機のCPUを入力手段として機能させて、有理点P’∈E(F_p)[r]、前記整数ｓ、をそれぞれ入力して前記記憶手段に記憶する入力ステップと、
   前記電子計算機のCPUを有理点部分群特定手段として機能させて、前記記憶手段からP’を読み出し、自己準同型写像ψ(P)=λP（λは整数）を満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定ステップと、
   前記電子計算機のCPUを自己準同型写像演算手段として機能させて、前記記憶手段から前記有理点Pを読み出し、前記自己準同型写像ψ(P)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算ステップと、
   前記電子計算機のCPUをλ進展開手段として機能させて、前記記憶手段から前記整数ｓを読み出し次式に基づいてλ進展開し、
   　　　s=s₀+s₁λ
   係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開ステップと、
   前記電子計算機のCPUをマルチ・スカラー倍算演算手段として機能させて、スカラー倍算を、
   　　　[s]P＝[s₀ +s₁λ]P= [s₀]P +[s₁]ψ(P)
   として演算しその結果を前記記憶手段に記憶するマルチ・スカラー倍算演算ステップと、を有することを特徴とするスカラー倍算方法。
6. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
   　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   (x,y) → (εx,y), ε³=1,ε(≠1)∈F_p である請求項５に記載のスカラー倍算方法。
7. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
   　前記整数λは、 λ²+1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   (x,y) → (－x,ζy),ζ⁴=1,ζ(≠1)∈F_p である請求項５に記載のスカラー倍算方法。
8. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
   　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
   　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
   　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
   (x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p である請求項５に記載のスカラー倍算方法。
9. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG=E(F_p)[r]として、有理点P∈Gの整数0<s<rによるスカラー倍算[s]Pを、CPU及び記憶手段を備えた電子計算機に演算させるスカラー倍算プログラムにおいて、
   前記加法群E(F_p)は、埋め込み次数を１とし、
   前記電子計算機のCPUを、
   有理点P’∈E(F_p)[r]、前記整数ｓをそれぞれ入力し、前記記憶手段に記憶する入力手段、
   前記記憶手段からP’を読み出し自己準同型写像ψ(P)= λPを満足する前記有理点Pの集合である前記部分群Gを特定し、前記有理点Pを前記記憶手段に記憶する有理点部分群特定手段、前記記憶手段から前記有理点Pを読み出し、自己準同型写像ψ(P)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段、
   前記記憶手段から前記整数ｓを読み出し、次式に基づいてλ進展開し、
   　　　s=s₀+s₁λ
   係数s_０及びs_１を求めその結果を前記記憶手段に記憶するλ進展開手段、
   スカラー倍算を、
   　　　[s]P＝[s₀ +s₁λ]P= [s₀]P +[s₁]ψ(P)
   として演算し、その結果を前記記憶手段に記憶するマルチ・スカラー倍算演算手段、
   として機能させることを特徴とするスカラー倍算プログラム。
10. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
    　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
    　前記整数λは、 λ²+λ +1≡0(mod r) を満たし、
    　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    (x,y) → (εx,y), ε³=1,ε(≠1)∈F_p である請求項９に記載のスカラー倍算プログラム。
11. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
    　前記合成数位数ｒは、 r|#E(F_p), 4|(r-1) を満たし、
    　前記整数λは、 λ²+1≡0(mod r) を満たし、
    　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    (x,y) → (－x,ζy),ζ⁴=1,ζ(≠1)∈F_p である請求項９に記載のスカラー倍算プログラム。
12. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
    　前記合成数位数ｒは、 r|#E(F_p), 3|(r-1) を満たし、
    　前記整数λは、 λ²-λ +1≡0(mod r) を満たし、
    　前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    (x,y) → (εx,-y), ε³=1,ε(≠1)∈F_p である請求項９に記載のスカラー倍算プログラム。
13. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
    e:G₁×G₂→F^* _p/( F^* _p)^r
    である非退化な双線形写像としてペアリングeを定義し、
    有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、ペアリングe(P,Q)を演算するCPU及び記憶手段を備えたペアリング演算装置において、
    前記加法群E(F_p)は、埋め込み次数を１とし、
    前記CPUは、
    有理点P’を入力して前記記憶手段に記憶する入力手段と、
    前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
    λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定する有理点部分群特定手段と、
    前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段と、
    前記ｆを演算する第1演算手段と、
    所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算手段と、
    前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算手段と、
    前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を
    

    

    として演算する第4演算手段と
    を有するペアリング演算装置。
14. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r)を満たし、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (-x,ζy),ζ⁴=1, ζ(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１３に記載のペアリング演算装置。
15. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r)を満たし、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,y), ε³=1, ε(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１３に記載のペアリング演算装置。
16. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r)を満たし、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,-y), ε³=1, ε(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１３に記載のペアリング演算装置。
17. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
    e:G₁×G₂→F^* _p/( F^* _p)^r
    である非退化な双線形写像としてペアリングeを定義し、
    有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、CPU及び記憶手段を備えた電子計算機でペアリングe(P,Q)を演算するペアリング演算方法において、
    前記加法群E(F_p)は、埋め込み次数を１とし、
    前記電子計算機のCPUを入力手段として機能させて、有理点P’を入力して前記記憶手段に記憶する入力ステップと、
    前記電子計算機のCPUを有理点部分群特定手段として機能させて、前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
    λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定するステップと、
    前記電子計算機のCPUを自己準同型写像演算手段として機能させて、前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算ステップと、
    前記電子計算機のCPUを第1演算手段として機能させて、前記ｆを演算する第1演算ステップと、
    前記電子計算機のCPUを第2演算手段として機能させて、所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算ステップと、
    前記電子計算機のCPUを第3演算手段として機能させて、前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算ステップと、
    前記電子計算機のCPUを第4演算手段として機能させて、前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を
    

    

    として演算する第4演算ステップと、
    を有するペアリング演算方法。
18. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r) を満たし、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (-x,ζy),ζ⁴=1,ζ(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１７に記載のペアリング演算方法。
19. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r)を満たし、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,y),ε³=1,ε(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１７に記載のペアリング演算方法。
20. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r) であり、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,-y),ε³=1,ε(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項１７に記載のペアリング演算方法。
21. 　標数ｐの有限体F_p上で定義された楕円曲線上の有理点の成す加法群をE(F_p)とし、合成数位数ｒを持つ有理点の集合すなわち前記加法群の部分群をG₁=E(F_p)[r]、G₂=E(F_p)[r]として、次式により、
    e:G₁×G₂→F^* _p/( F^* _p)^r
    である非退化な双線形写像としてペアリングeを定義し、
    有理点P(x_P,y_P)∈G₁及びQ(x_Q,y_Q)∈G₂、ミラーのアルゴリズムを用いて計算される有理関数をｆとして、CPU及び記憶手段を備えた電子計算機にペアリングe(P,Q)を演算させるペアリング演算プログラムにおいて、
    前記加法群E(F_p)は、埋め込み次数を１とし、
    前記電子計算機のCPUを、有理点P’を入力して前記記憶手段に記憶する入力手段、
    前記記憶手段から前記有理点P’を読み出し、自己準同型写像ψにより、
    λ₁P=ψ(P)、λ_２Q=ψ(Q)　（λ₁≠λ_２は整数）を満足する前記有理点P及びQの集合である前記部分群G₁及びG₂を特定する有理点部分群特定手段、
    前記記憶手段から前記有理点PまたはQを読み出し、前記自己準同型写像ψ(P) またはψ(Q)を演算しその結果の有理点を前記記憶手段に記憶する自己準同型写像演算手段、
    前記ｆを演算する第1演算手段、
    所定の有理点を通る直線及び垂線の前記有理点Qにおける値を演算する第2演算手段、
    前記ｆと前記値を用いてf’_r,p(Q)を演算する第3演算手段、
    前記f’_r,p(Q)を用いて前記ペアリングe(P,Q)を
    

    

    として演算する第4演算手段、
    として機能させるペアリング演算プログラム。
22. 　前記楕円曲線は、 E:y² = x³ +ax, a∈F_p, 4|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 4|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+1≡0(mod r)、λ₂ ²+1≡0(mod r) であり、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (-x,ζy),ζ⁴=1,ζ(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項２１に記載のペアリング演算プログラム。
23. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 3|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²+λ₁+1≡0(mod r)、λ₂ ²+λ₂ +1≡0(mod r) であり、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,y),ε³=1,ε(≠1)∈F_p　 であり、
    前記f’_r,p(Q)は、
    

    

    である請求項２１に記載のペアリング演算プログラム。
24. 　前記楕円曲線は、 E:y² = x³ +b, b∈F_p, 6|(p-1) であり、
    前記合成数位数ｒは、r|#E(F_p), 3|(r-1) を満たし、
    前記整数λ₁、λ₂は、λ₁ ²-λ₁+1≡0(mod r)、λ₂ ²-λ₂ +1≡0(mod r) であり、
    前記自己準同型写像は、ψ:E(F_p)[r] → E(F_p)[r]、
    　　(x,y) → (εx,-y),ε³=1,ε(≠1)∈F_p　であり、
    前記f’_r,p(Q)は、
    

    

    である請求項２１に記載のペアリング演算プログラム。

Images