WO2013129134A1 - 演算装置、制御方法、及びプログラム - Google Patents

演算装置、制御方法、及びプログラム Download PDF

Info

Publication number
WO2013129134A1
WO2013129134A1 PCT/JP2013/053651 JP2013053651W WO2013129134A1 WO 2013129134 A1 WO2013129134 A1 WO 2013129134A1 JP 2013053651 W JP2013053651 W JP 2013053651W WO 2013129134 A1 WO2013129134 A1 WO 2013129134A1
Authority
WO
WIPO (PCT)
Prior art keywords
stored
output
registers
register
shift register
Prior art date
Application number
PCT/JP2013/053651
Other languages
English (en)
French (fr)
Inventor
玄良 樋渡
徹 秋下
Original Assignee
ソニー株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by ソニー株式会社 filed Critical ソニー株式会社
Priority to US14/366,129 priority Critical patent/US9672007B2/en
Priority to EP13754141.3A priority patent/EP2800084A4/en
Publication of WO2013129134A1 publication Critical patent/WO2013129134A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F5/00—Methods or arrangements for data conversion without changing the order or content of the data handled
    • G06F5/01—Methods or arrangements for data conversion without changing the order or content of the data handled for shifting, e.g. justifying, scaling, normalising
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/544—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices for evaluating functions by calculation
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/544—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices for evaluating functions by calculation
    • G06F7/552—Powers or roots, e.g. Pythagorean sums
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3218—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs
    • H04L9/3221—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials using proof of knowledge, e.g. Fiat-Shamir, GQ, Schnorr, ornon-interactive zero-knowledge proofs interactive zero-knowledge proofs
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials
    • H04L9/3247—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials involving digital signatures
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/12—Details relating to cryptographic hardware or logic circuitry
    • H04L2209/125—Parallelization or pipelining, e.g. for accelerating processing of cryptographic operations

Definitions

  • This technology relates to an arithmetic device, a control method, and a program.
  • the electronic signature is used to specify the creator of the electronic document. For this reason, the electronic signature should be generated only by the creator of the electronic document. If a malicious third party can generate the same electronic signature, the third party can impersonate the creator of the electronic document. That is, an electronic document is forged by a malicious third party. In order to prevent such forgery, various discussions have been made on the security of electronic signatures. As an electronic signature method that is currently widely used, for example, an RSA signature method and a DSA signature method are known.
  • the RSA signature method uses “difficulty of prime factorization for large composite numbers (hereinafter referred to as prime factorization problem)” as the basis of security.
  • prime factorization problem large composite numbers
  • DSA signature scheme uses “difficulty in derivation of a solution to the discrete logarithm problem” as the basis of security.
  • Examples of digital signature schemes that base security on multivariable polynomial problems include MI (Matsumoto-Imai cryptography), HFE (Hidden Field Equivalence cryptography), and OV (Oil-Vinegar signatureMetermetmTM). ) Based method is known.
  • MI Matsumoto-Imai cryptography
  • HFE Hidden Field Equivalence cryptography
  • OV Olet-Vinegar signatureMetermetmTM
  • non-patent documents 1 and 2 disclose a digital signature scheme based on HFE.
  • the multivariate polynomial problem is an example of a problem called an NP difficulty problem that is difficult to solve even using a quantum computer.
  • a public key authentication method using a multivariate polynomial problem typified by HFE or the like uses a multi-order multivariable simultaneous equation in which a special trap door is charged.
  • the multi-order multivariable simultaneous equations F and the linear transformations A and B serve as trapdoors.
  • a public key authentication scheme and a digital signature scheme based on the difficulty of solving multi-order multivariable simultaneous equations as the basis of security are realized.
  • the present inventor has an efficient public key authentication method having high security using a multi-order multivariable simultaneous equation whose means for efficiently solving (trap door) is not known, and Invented an electronic signature method (Koi Sakumoto, Taizo Shirai and Harunaga Hiwatari, “Public-Key Identification Schems3, Multi20Pal201.
  • these public key authentication schemes and digital signature schemes use multivariate polynomial operations. Therefore, a method for efficiently calculating a multivariable polynomial is required.
  • these public key authentication schemes and digital signature schemes include a step of calculating a multivariate polynomial calculation result for a plurality of inputs.
  • the multivariate polynomial is calculated individually for each input, there is room for improvement from the viewpoint of miniaturization and speedup, such as an increase in circuit scale at the time of mounting and a longer critical path. is there.
  • the present technology has been devised with the intention of providing a new and improved arithmetic device, control method, and program that are smaller and can realize multivariate polynomial operations at high speed.
  • a shift register storing values x 1, ..., x N, c (c is a predetermined number) so that movement of the stored value for the first of the shift register which is stored in each of the first to N + 1 of the register, the Other shift registers in which stored values x N ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are stored in the first to N + 1 registers, respectively, in the same cycle as the first shift register.
  • a control unit that moves the stored value for the control unit, so that the control unit outputs all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c. While moving the stored value, the first shift The stored value is output from a predetermined pair of registers constituting the data register, and all combinations of a pair of stored values that can be selected from the stored values x N ′,..., X 1 ′, c ′ are output. There is provided an arithmetic unit that outputs a stored value from a predetermined pair of registers constituting the other shift register while moving the stored value.
  • the stored values x N ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are stored in the first to N + 1 registers, respectively.
  • the stored values are moved so that all combinations of a pair of stored values and all combinations of a pair of stored values that can be selected from the stored values x N ′′,..., X 1 ′′, c ′′ are output.
  • An arithmetic unit is provided that outputs stored values from a predetermined pair of registers constituting the second and third shift registers.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register stored in the first to N + 1 registers, respectively.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register stored in the first to N + 1 registers, respectively.
  • the stored value While moving the stored value, the stored value is output from a predetermined pair of registers constituting the first shift register, and a selectable pair from the stored values x N ′,..., X 1 ′, c ′.
  • the stored values are moved so that all combinations of stored values and all combinations of a pair of stored values that can be selected from the stored values x N ′′,..., X 1 ′′, c ′′ are output.
  • a control method in which processing for outputting a stored value from a predetermined pair of registers constituting the second and third shift registers is executed.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register stored in the first to N + 1 registers, respectively.
  • the combination will be output
  • the stored value is output from a predetermined pair of registers constituting the first shift register, and selected from the stored values x N ′,..., X 1 ′, c ′.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register stored in the first to N + 1 registers, respectively.
  • the third shift register stored in the register of A program for causing a computer to realize a control function for moving a stored value for a star, wherein the control function is a combination of a pair of stored values selectable from the stored values x 1 ,..., X N , c.
  • the stored values are moved so that the stored values are output from a predetermined pair of registers constituting the first shift register, and the stored values x N ′,..., X 1 ′, c All combinations of a pair of stored values selectable from 'and all combinations of a pair of stored values selectable from the stored values x N ′′,..., X 1 ′′, c ′′ are output.
  • a plurality of arithmetic circuits including the first shift in which stored values x 1 ,..., X N , c (c is a predetermined number) are stored in the first to N + 1 registers, respectively.
  • the stored value is moved with respect to the register, and in the same cycle as the first shift register, the stored values x M ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are the first to M + 1th registers, respectively.
  • the second shift register stored in the And a control unit configured to move the stored value, wherein the plurality of arithmetic circuits are configured such that the first shift register and the second shift register execute pipeline processing in the same order, and the control The unit shifts the stored value and outputs the first shift register so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a predetermined pair of registers, and all combinations of a pair of stored values selectable from the stored values x M ′,..., X 1 ′, c ′ are output. While moving the stored value, the stored value is output from a predetermined pair of registers constituting the second shift register, and the number N + 1 of the registers of the first shift register is sent to the arithmetic circuit after the pipeline processing. Naruho A computing device is provided that is configured to be less.
  • a plurality of arithmetic circuits including the first shift in which stored values x 1 ,..., X N , c (c is a predetermined number) are stored in the first to N + 1 registers, respectively.
  • the stored value is moved with respect to the register, and in the same cycle as the first shift register, the stored values x M ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are the first to M + 1th registers, respectively.
  • the second shift register stored in the A control unit for moving the storage value each,
  • the plurality of arithmetic circuits are configured to execute pipeline processing in the reverse order of the first shift register and the second shift register, and the control unit is configured to store the stored value x 1 , .., X N , stored from a predetermined pair of registers constituting the first shift register while moving the stored values so as to output all combinations of stored values that can be selected from among the stored values.
  • the stored value is output from a predetermined pair of registers constituting two shift registers, and the number N + 1 of the first shift registers and the number M + 1 of the registers of the second shift register are calculated by an arithmetic circuit after the pipeline processing. Indeed less so as configured, computing device is provided.
  • the stored values are moved so that all combinations are output, while the stored values are output from a predetermined pair of registers constituting the first shift register, and the stored values x M ′,..., X 1 ′ are output.
  • C ′ a predetermined pair of registers constituting the second shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from among the stored values are output.
  • a control method is provided in which processing for outputting a stored value is executed.
  • the stored value x 1 ,..., X N , c from a predetermined pair of registers constituting the first shift register while moving the stored values so that all combinations of stored pairs of stored values are output.
  • the stored value is output, and the stored value is moved so that all combinations of a pair of stored values that can be selected from the stored values x M ′,..., X 1 ′, c ′ are output.
  • a control method in which a process of outputting a stored value from a predetermined pair of registers constituting the second shift register is executed.
  • a computer-readable recording medium on which the above program is recorded is provided.
  • FIG. 26 is an explanatory diagram for describing a hardware configuration example of an information processing apparatus capable of executing an algorithm according to each embodiment of the present technology. It is explanatory drawing for demonstrating the structure of the circuit which performs the calculation of a multivariable polynomial. It is explanatory drawing for demonstrating the structure of the circuit which performs the calculation of a multivariable polynomial.
  • FIG. 36 is an explanatory diagram showing an example in which a plurality of arithmetic circuits 401 shown in FIG. 35 are arranged in parallel.
  • the present embodiment relates to a public key authentication scheme and a digital signature scheme that base security on the difficulty of solving problems for multi-order multivariable simultaneous equations.
  • this embodiment relates to a public key authentication method and an electronic signature method that use a multi-order multivariable simultaneous equation that does not have means for efficiently solving (trap door), unlike conventional methods such as the HFE electronic signature method.
  • the outline of the algorithm of the public key authentication method, the algorithm of the electronic signature method, and the n-pass public key authentication method will be briefly described.
  • FIG. 1 is an explanatory diagram for explaining an outline of an algorithm of a public key authentication method.
  • Public key authentication is used for a certain person (certifier) to convince another person (verifier) that he / she is the person using the public key pk and the secret key sk.
  • the prover A's public key pk A is disclosed to the verifier B.
  • the prover A's private key sk A is secretly managed by the prover A.
  • a person who knows the secret key sk A corresponding to the public key pk A is regarded as the prover A himself.
  • the prover A uses the secret key sk corresponding to the public key pk A via the interactive protocol. Evidence that A is known may be presented to verifier B. Then, when the prover A knows the secret key sk A is presented to the verifier B and the verifier B has confirmed the evidence, the validity of the prover A (identity) It will be proved.
  • the first condition is “to minimize the probability that a perjury will be established by a fake person who does not have the secret key sk when the interactive protocol is executed”.
  • the fact that this first condition is satisfied is called “soundness”. In other words, soundness can be paraphrased as “a perjury who does not have a secret key sk does not have a falsification with a probability that cannot be ignored during the execution of the dialogue protocol”.
  • the second condition is that “the information of the secret key sk A possessed by the prover A is never leaked to the verifier B even if the interactive protocol is executed”. The fact that this second condition is satisfied is called “zero knowledge”.
  • model In the public key authentication model, there are two entities, a prover and a verifier, as shown in FIG.
  • the prover uses a key generation algorithm Gen to generate a pair of a secret key sk and a public key pk unique to the prover.
  • the prover executes an interactive protocol with the verifier using the set of the secret key sk and the public key pk generated using the key generation algorithm Gen.
  • the prover uses the prover algorithm P to execute the interactive protocol.
  • the prover uses the prover algorithm P to present evidence that the secret key sk is held in the interactive protocol to the verifier.
  • the verifier executes the interactive protocol by using the verifier algorithm V, and verifies whether or not the prover has a secret key corresponding to the public key published by the prover. That is, the verifier is an entity that verifies whether the prover has a secret key corresponding to the public key.
  • the public key authentication method model includes two entities, a prover and a verifier, and three algorithms, a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V.
  • the expressions “prover” and “verifier” are used, but these expressions only mean entities. Therefore, the subject that executes the key generation algorithm Gen and the prover algorithm P is an information processing apparatus corresponding to the entity of the “certifier”. Similarly, the subject that executes the verifier algorithm V is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the prover algorithm P, and the verifier algorithm V are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928, and the like.
  • the key generation algorithm Gen is used by the prover.
  • the key generation algorithm Gen is an algorithm for generating a set of a secret key sk and a public key pk unique to the prover.
  • the public key pk generated by the key generation algorithm Gen is made public.
  • the public key pk that is made public is used by the verifier.
  • the prover secretly manages the secret key sk generated by the key generation algorithm Gen.
  • the secret key sk managed secretly by the prover is used to prove to the verifier that the prover holds the secret key sk corresponding to the public key pk.
  • the key generation algorithm Gen is expressed as the following equation (1) as an algorithm that inputs a security parameter 1 ⁇ ( ⁇ is an integer of 0 or more) and outputs a secret key sk and a public key pk.
  • the prover algorithm P is used by the prover.
  • the prover algorithm P is an algorithm for proving to the verifier that the prover has the secret key sk corresponding to the public key pk. That is, the prover algorithm P is an algorithm that executes the interactive protocol with the secret key sk and the public key pk as inputs.
  • the verifier algorithm V is used by the verifier.
  • the verifier algorithm V is an algorithm for verifying whether or not the prover has a secret key sk corresponding to the public key pk in the interactive protocol.
  • the verifier algorithm V is an algorithm that takes the public key pk as an input and outputs 0 or 1 (1 bit) according to the execution result of the interactive protocol.
  • the verifier determines that the prover is illegal when the verifier algorithm V outputs 0, and determines that the prover is valid when 1 is output.
  • the verifier algorithm V is expressed as the following equation (2).
  • the dialogue protocol needs to satisfy the two conditions of soundness and zero knowledge.
  • the prover executes a procedure depending on the secret key sk, notifies the verifier of the result, and then includes the notification contents. It is necessary to make the verifier perform the verification based on it.
  • the execution of the procedure depending on the secret key sk is necessary to ensure soundness.
  • FIG. 2 is an explanatory diagram for explaining the outline of the algorithm of the electronic signature method.
  • the electronic signature refers to a mechanism in which signature data known only to the creator of the data is provided to the recipient in association with the data, and the signature data is verified on the recipient side.
  • the digital signature scheme model has two entities, a signer and a verifier.
  • the model of the electronic signature scheme is composed of three algorithms: a key generation algorithm Gen, a signature generation algorithm Sig, and a signature verification algorithm Ver.
  • the signer uses a key generation algorithm Gen to generate a pair of a signer-specific signature key sk and a verification key pk. Further, the signer generates an electronic signature ⁇ to be given to the document M using the signature generation algorithm Sig. That is, the signer is an entity that gives an electronic signature to the document M.
  • the verifier verifies the electronic signature ⁇ attached to the document M using the signature verification algorithm Ver. That is, the verifier is an entity that verifies the electronic signature ⁇ in order to confirm whether or not the creator of the document M is a signer.
  • the expressions “signer” and “verifier” are used, but these expressions only mean entities. Accordingly, the subject that executes the key generation algorithm Gen and the signature generation algorithm Sig is an information processing apparatus corresponding to the entity of the “signer”. Similarly, the subject that executes the signature verification algorithm Ver is an information processing apparatus.
  • the hardware configuration of these information processing apparatuses is, for example, as shown in FIG. That is, the key generation algorithm Gen, the signature generation algorithm Sig, and the signature verification algorithm Ver are executed by the CPU 902 or the like based on programs recorded in the ROM 904, the RAM 906, the storage unit 920, the removable recording medium 928, and the like.
  • the key generation algorithm Gen is used by the signer.
  • the key generation algorithm Gen is an algorithm for generating a set of a signer-specific signature key sk and a verification key pk.
  • the verification key pk generated by the key generation algorithm Gen is made public.
  • the signature key sk generated by the key generation algorithm Gen is secretly managed by the signer.
  • the signature key sk is used to generate an electronic signature ⁇ given to the document M.
  • the key generation algorithm Gen receives the security parameter 1 ⁇ ( ⁇ is an integer greater than or equal to 0), and outputs the signature key sk and the public key pk.
  • the key generation algorithm Gen can be formally expressed as the following equation (3).
  • the signature generation algorithm Sig is used by the signer.
  • the signature generation algorithm Sig is an algorithm for generating an electronic signature ⁇ given to the document M.
  • the signature generation algorithm Sig is an algorithm that receives the signature key sk and the document M and outputs an electronic signature ⁇ .
  • This signature generation algorithm Sig can be formally expressed as the following formula (4).
  • the signature verification algorithm Ver is used by a verifier.
  • the signature verification algorithm Ver is an algorithm for verifying whether or not the electronic signature ⁇ is a valid electronic signature for the document M.
  • the signature verification algorithm Ver is an algorithm that inputs the verification key pk of the signer, the document M, and the electronic signature ⁇ , and outputs 0 or 1 (1 bit).
  • This signature verification algorithm Ver can be formally expressed as the following formula (5).
  • the verifier determines that the electronic signature ⁇ is invalid when the signature verification algorithm Ver outputs 0 (when the public key pk rejects the document M and the electronic signature ⁇ ), and outputs 1 ( When the public key pk accepts the document M and the electronic signature ⁇ , it is determined that the electronic signature ⁇ is valid.
  • FIG. 3 is an explanatory diagram for explaining an n-pass public-key authentication scheme.
  • the public key authentication scheme is an authentication scheme that proves to the verifier that the prover has the secret key sk corresponding to the public key pk in the interactive protocol.
  • the dialogue protocol needs to satisfy two conditions of soundness and zero knowledge. Therefore, in the interactive protocol, as shown in FIG. 3, both the prover and the verifier exchange information n times while executing processes.
  • FIG. 4 is an explanatory diagram for describing a specific algorithm configuration related to the 3-pass scheme.
  • the second-order polynomial f i (x) is assumed to be expressed as the following equation (6).
  • a vector (x 1 ,..., X n ) is expressed as x
  • a set of quadratic polynomials f 1 (x),..., F m (x)
  • F (x) is expressed as a multivariable polynomial F (x).
  • a set of quadratic polynomials (f 1 (x),..., F m (x)) can be expressed as the following equation (7).
  • a 1 ,..., Am are n ⁇ n matrices.
  • b 1 ,..., B m are n ⁇ 1 vectors, respectively.
  • the multivariate polynomial F can be expressed as shown in the following expressions (8) and (9). It can be easily confirmed from the following formula (10) that this expression holds.
  • G (x, y) corresponding to is bilinear with respect to x and y.
  • G (x, y) may be referred to as a bilinear term. If this property is used, an efficient algorithm can be constructed.
  • the sum of the multivariate polynomial F (x + r 0 ) and F 1 (x) is expressed as the following equation (11).
  • the three-pass algorithm described here includes a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V as follows.
  • the key generation algorithm Gen (f 1 (x 1, ..., x n), ..., f m (x 1, ..., x n), y) is set to public key pk, and the s in the secret key Set.
  • Process # 1 As shown in FIG. 4, first, the prover algorithm P generates vectors r 0 , t 0 ⁇ K n and e 0 ⁇ K m at random. Next, the prover algorithm P calculates r 1 ⁇ s ⁇ r 0 . This calculation corresponds to an operation to mask by the vector r 0 a secret key s. Further, the prover algorithm P calculates t 1 ⁇ r 0 -t 0 . Next, the prover algorithm P calculates e 1 ⁇ -F (r 0 ) ⁇ e 0 .
  • Step # 1 (continued): Next, the prover algorithm P calculates c 0 ⁇ -H (r 1 , G (t 0 , r 1 ) + e 0 ). Next, the prover algorithm P calculates c 1 ⁇ -H (t 0 , e 0 ). Next, the prover algorithm P calculates c 2 ⁇ -H (t 1 , e 1 ). The message (c 0 , c 1 , c 2 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 , c 2 ) selects which verification pattern to use from among the three verification patterns. For example, the verifier algorithm V selects one numerical value from three numerical values ⁇ 0, 1, 2 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch. This request Ch is sent to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the request Ch generates a response Rsp to be sent to the verifier algorithm V in accordance with the received request Ch.
  • the response Rsp generated in step # 3 is sent to the verifier algorithm V.
  • Process # 4 The verifier algorithm V that has received the response Rsp executes the following verification processing using the received response Rsp.
  • a serial method that sequentially exchanges a message, a request, and a response a plurality of times, and a message, a request, and a response for a plurality of times in a single exchange
  • a parallel method is considered.
  • a hybrid method combining a serial method and a parallel method is also conceivable.
  • an algorithm hereinafter referred to as a parallelization algorithm for executing the above interactive protocol related to the 3-pass scheme in parallel will be described with reference to FIG.
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • Process (3) The prover algorithm P calculates e 1i ⁇ -F (r 0i ) ⁇ e 0i .
  • the hash value Cmt generated in step # 1 is sent to the verifier algorithm V.
  • the message (c 01 , c 11 , c 21 ,..., C 0N , c 1N , c 2N ) is converted into a hash value and then sent to the verifier algorithm V, thereby reducing the amount of communication. It becomes possible.
  • Process # 3 Request Ch 1, ..., a prover algorithm P that received Ch N, requested Ch 1 received, ..., reply Rsp 1 to send to the verifier algorithm V in accordance respective Ch N, ..., to produce a Rsp N.
  • the responses Rsp 1 ,..., Rsp N generated in step # 3 are sent to the verifier algorithm V.
  • ⁇ 3 Algorithm structure for a 5-pass public-key authentication scheme> Next, an algorithm related to a 5-pass public key authentication scheme will be described. In the following description, a 5-pass public-key authentication scheme may be referred to as a “5-pass scheme”.
  • the false verification probability per interactive protocol was 2/3, but in the case of the 5-pass scheme, the false verification probability per interactive protocol is 1/2 + 1 / q. Where q is the order of the ring used. Therefore, when the order of the ring is sufficiently large, the 5-pass scheme can reduce the false perception probability per time, and the false authentication probability can be sufficiently reduced with a small number of interactive protocol executions. it can.
  • FIG. 6 is an explanatory diagram for explaining a specific algorithm configuration related to the 5-pass scheme.
  • the quadratic polynomial f i (x) is assumed to be expressed as in the above equation (6).
  • a vector (x 1 ,..., X n ) is expressed as x
  • a set of quadratic polynomials f 1 (x),..., F m (x)
  • F (x) is expressed as a multivariable polynomial F (x).
  • the multivariate polynomial F 1 (x) used to mask the multivariate polynomial F (x + r 0 ) using the two vectors t 0 ⁇ K n and e 0 ⁇ K m. Is expressed as F 1 (x) G (x, t 0 ) + e 0 .
  • F 1 (x) G (x, t 0 ) + e 0 .
  • the 5-pass algorithm described here includes a key generation algorithm Gen, a prover algorithm P, and a verifier algorithm V as follows.
  • the key generation algorithm Gen sets (f 1 ,..., F m , y) as the public key pk and sets s as the secret key.
  • the vector (x 1 ,..., X n ) is represented as x
  • the set of multivariable polynomials (f 1 (x),..., F m (x)) is represented as F (x).
  • Process # 1 As shown in FIG. 6, first, the prover algorithm P randomly generates vectors r 0 ⁇ K n , t 0 ⁇ K n , and e 0 ⁇ K m . Next, the prover algorithm P calculates r 1 ⁇ s ⁇ r 0 . This calculation corresponds to an operation to mask by the vector r 0 a secret key s. Next, the prover algorithm P generates a hash value c 0 of the vectors r 0 , t 0 , e 0 . That is, the prover algorithm P calculates c 0 ⁇ -H (r 0 , t 0 , e 0 ).
  • the prover algorithm P generates G (t 0 , r 1 ) + e 0 and a hash value c 1 of r 1 . That is, the prover algorithm P calculates c 0 ⁇ -H (r 1 , G (t 0 , r 1 ) + e 0 ). The message (c 0 , c 1 ) generated in step # 1 is sent to the verifier algorithm V.
  • Process # 2 The verifier algorithm V that has received the message (c 0 , c 1 ) selects one number Ch A at random from the elements of the ring K existing in q ways, and sends the selected number Ch A to the prover algorithm P.
  • Process # 3 The prover algorithm P that has received the number Ch A calculates t 1 ⁇ -Ch A ⁇ r 0 ⁇ t 0 . Further, the prover algorithm P calculates e 1 ⁇ -Ch A ⁇ F (r 0 ) ⁇ e 0 . Then, the prover algorithm P sends t 1 and e 1 to the verifier algorithm V.
  • Process # 4 The verifier algorithm V receiving t 1 and e 1 selects which verification pattern to use from the two verification patterns. For example, the verifier algorithm V selects one numerical value from two numerical values ⁇ 0, 1 ⁇ representing the type of verification pattern, and sets the selected numerical value in the request Ch B. This request Ch B is sent to the prover algorithm P.
  • Process # 5 Request Ch prover algorithm P that B has received the generates a response Rsp to send to the verifier algorithm V in response to the received challenge Ch B.
  • the response Rsp generated in step # 5 is sent to the verifier algorithm V.
  • Process # 6 The verifier algorithm V that has received the response Rsp executes the following verification processing using the received response Rsp.
  • Ch B 1
  • a serial method that sequentially exchanges a message, a request, and a response a plurality of times, and a message, a request, and a response for a plurality of times in a single exchange
  • a parallel method is considered.
  • a hybrid method combining a serial method and a parallel method is also conceivable.
  • an algorithm for executing the above interactive protocol related to the 5-pass scheme in parallel hereinafter referred to as a parallel algorithm
  • Process (1) The prover algorithm P randomly generates vectors r 0i , t 0i ⁇ K n and e 0i ⁇ K m .
  • an efficient algorithm (see, for example, FIG. 5) related to the 3-pass scheme is expressed by three dialogs and four steps # 1 to # 4.
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • Step # 2 includes a process of selecting Ch 1 ,..., Ch N. Ch 1 ,..., Ch N selected by the verifier algorithm V in step # 2 are sent to the prover algorithm P.
  • Step # 3 Ch 1, ..., Ch N and a 1, ..., Rsp 1 with a N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i ⁇ Select (Ch i , a i ). Rsp 1 ,..., Rsp N generated by the prover algorithm P in step # 3 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication method expressed in the above steps # 1 to # 4 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig includes the following processes (1) to (5).
  • Process (3): The signature generation algorithm Sig calculates (Ch 1 ,..., Ch N ) ⁇ H (M, Cmt). This M is a document to which a signature is attached.
  • the signature verification algorithm Ver includes the following processes (1) to (3).
  • Process (1): The signature verification algorithm Ver calculates (Ch 1 ,..., Ch N ) ⁇ H (M, Cmt). Processing (2): The signature verification algorithm Ver, Ch 1, ..., Ch N and Rsp 1, ..., c 01, c 11, c 21 using Rsp N, generate ..., c 0N, c 1N, c 2N To do. Process (3): The signature verification algorithm Ver uses the regenerated c 01 , c 11 , c 21 ,..., C 0N , c 1N , c 2N and Cmt H (c 01 , c 11 , c 21 ,. c 0N , c 1N , c 2N ).
  • the public key authentication method algorithm can be transformed into an electronic signature method algorithm.
  • an efficient algorithm (for example, see FIG. 7) according to the 5-pass scheme is expressed by 5 dialogs and 6 steps # 1 to # 6.
  • the Cmt generated by the prover algorithm P in step # 1 is sent to the verifier algorithm V.
  • Step # 2 includes processing for selecting Ch A1 ,..., Ch AN .
  • Ch A1 ,..., Ch AN selected by the verifier algorithm V in step # 2 is sent to the prover algorithm P.
  • Step # 4 includes processing for selecting Ch B1 ,..., Ch BN .
  • Ch B1 ,..., Ch BN selected by the verifier algorithm V in step # 4 is sent to the prover algorithm P.
  • Step # 5 Ch B1, ..., Ch BN , a 1, ..., a N, b 1, ..., Rsp 1 with b N, ..., consisting of the process of generating Rsp N. This process is expressed as Rsp i ⁇ Select (Ch Bi , a i , b i ). Rsp 1 ,..., Rsp N generated by the prover algorithm P in step # 5 are sent to the verifier algorithm V.
  • the algorithm of the public key authentication method expressed in the above steps # 1 to # 6 is transformed into a signature generation algorithm Sig and a signature verification algorithm Ver as shown in FIG.
  • the signature generation algorithm Sig includes the following processes (1) to (7).
  • Process (6) The signature generation algorithm Sig calculates Rsp i ⁇ -Select (Ch Bi , a i , b i ).
  • the signature verification algorithm Ver includes the following processes (1) to (4).
  • Process (1) The signature verification algorithm Ver calculates (Ch A1 ,..., Ch AN ) ⁇ H (M, Cmt).
  • Process (2) The signature verification algorithm Ver calculates (Ch B1 ,..., Ch BN ) ⁇ H (M, Cmt, Ch A1 ,..., Ch AN , d).
  • the signature verification algorithm Ver executes (Ch B1, ..., Ch BN ) ⁇ H (Ch A1, ..., Ch aN, d) is calculated.
  • Process (3) The signature verification algorithm Ver uses Ch A1 ,..., Ch AN , Ch B1 ,..., Ch BN , Rsp 1 , ..., Rsp N to t 11 , e 11 , ..., t 1N , e 1N. , C 01 , c 11 ,..., C 0N , c 1N are generated.
  • the public key authentication method algorithm can be transformed into an electronic signature method algorithm.
  • FIG. 10 Hardware configuration example (FIG. 10)>
  • Each of the above algorithms can be executed using, for example, the hardware configuration of the information processing apparatus shown in FIG. That is, the processing of each algorithm is realized by controlling the hardware shown in FIG. 10 using a computer program.
  • the form of this hardware is arbitrary.
  • personal computers, mobile phones, PHS, PDA and other portable information terminals, game machines, contact type or non-contact type IC chips, contact type or non-contact type ICs This includes cards or various information appliances.
  • PHS is an abbreviation for Personal Handy-phone System.
  • the PDA is an abbreviation for Personal Digital Assistant.
  • this hardware mainly includes a CPU 902, a ROM 904, a RAM 906, a host bus 908, and a bridge 910. Further, this hardware includes an external bus 912, an interface 914, an input unit 916, an output unit 918, a storage unit 920, a drive 922, a connection port 924, and a communication unit 926.
  • the CPU is an abbreviation for Central Processing Unit.
  • the ROM is an abbreviation for Read Only Memory.
  • the RAM is an abbreviation for Random Access Memory.
  • the CPU 902 functions as, for example, an arithmetic processing unit or a control unit, and controls the overall operation or a part of each component based on various programs recorded in the ROM 904, the RAM 906, the storage unit 920, or the removable recording medium 928.
  • the ROM 904 is a means for storing a program read by the CPU 902, data used for calculation, and the like.
  • a program read by the CPU 902 various parameters that change as appropriate when the program is executed, and the like are temporarily or permanently stored.
  • a host bus 908 capable of high-speed data transmission.
  • the host bus 908 is connected to an external bus 912 having a relatively low data transmission speed via a bridge 910, for example.
  • a bridge 910 for example.
  • the input unit 916 for example, a mouse, a keyboard, a touch panel, a button, a switch, a lever, or the like is used.
  • a remote controller capable of transmitting a control signal using infrared rays or other radio waves may be used.
  • a display device such as a CRT, LCD, PDP, or ELD
  • an audio output device such as a speaker or a headphone, a printer, a mobile phone, or a facsimile, etc.
  • the CRT is an abbreviation for Cathode Ray Tube.
  • the LCD is an abbreviation for Liquid Crystal Display.
  • the PDP is an abbreviation for Plasma Display Panel.
  • the above ELD is an abbreviation for Electro-Luminescence Display.
  • the storage unit 920 is a device for storing various data.
  • a magnetic storage device such as a hard disk drive (HDD), a semiconductor storage device, an optical storage device, a magneto-optical storage device, or the like is used.
  • HDD hard disk drive
  • the above HDD is an abbreviation for Hard Disk Drive.
  • the drive 922 is a device that reads information recorded on a removable recording medium 928 such as a magnetic disk, an optical disk, a magneto-optical disk, or a semiconductor memory, or writes information to the removable recording medium 928.
  • the removable recording medium 928 is, for example, DVD media, Blu-ray media, HD DVD media, various semiconductor storage media, and the like.
  • the removable recording medium 928 may be, for example, an IC card on which a non-contact IC chip is mounted, an electronic device, or the like.
  • the above IC is an abbreviation for Integrated Circuit.
  • the connection port 924 is a port for connecting an external connection device 930 such as a USB port, an IEEE 1394 port, a SCSI, an RS-232C port, or an optical audio terminal.
  • the external connection device 930 is, for example, a printer, a portable music player, a digital camera, a digital video camera, or an IC recorder.
  • the USB is an abbreviation for Universal Serial Bus.
  • the SCSI is an abbreviation for Small Computer System Interface.
  • the communication unit 926 is a communication device for connecting to the network 932.
  • a wired or wireless LAN for example, a wired or wireless LAN, Bluetooth (registered trademark), or a WUSB communication card, an optical communication router, an ADSL router, or a contact Or a device for non-contact communication.
  • the network 932 connected to the communication unit 926 is configured by a wired or wireless network, such as the Internet, home LAN, infrared communication, visible light communication, broadcast, or satellite communication.
  • the above LAN is an abbreviation for Local Area Network.
  • the WUSB is an abbreviation for Wireless USB.
  • the above ADSL is an abbreviation for Asymmetric Digital Subscriber Line.
  • the circuit is designed paying attention to evaluation items such as processing speed, circuit scale, and power consumption.
  • the processing speed here is evaluated based on, for example, the maximum operating frequency and the number of processing cycles.
  • the maximum operating frequency is determined by the length of a path (critical path) through which signal propagation is slowest in the circuit.
  • the smaller the circuit scale the better from the viewpoints of design freedom and manufacturing cost.
  • power consumption is regarded as important from various viewpoints such as the battery duration of mounted equipment and the degree of freedom in thermal design.
  • a circuit that adds the calculated values (hereinafter referred to as intermediate values) of each term in accordance with the operation cycle of the arithmetic circuit a circuit that calculates the second-order multivariable polynomial f (x) can be constructed. it can.
  • a circuit that calculates one second-order multivariate polynomial f (x) expressed by the above equation (13) includes an intermediate value generation circuit 11, an XOR circuit 12, and an intermediate value holding as shown in FIG.
  • the circuit 13 is configured.
  • the intermediate value generation circuit 11 is a circuit that generates intermediate values by calculating the terms a ij x i x j and b i x i .
  • the XOR circuit 12 is a circuit for adding the intermediate values of the terms generated by the intermediate value generation circuit 11.
  • the intermediate value holding circuit 13 is a circuit that temporarily holds the result added using the XOR circuit 12.
  • the intermediate value generated by the intermediate value generation circuit 11 is added each time, and the operation result of the secondary multivariable polynomial f (x) is finally obtained.
  • the circuit scale can be reduced.
  • the intermediate value generation circuit 11 is constructed using, for example, a variable generation circuit 21 and an AND circuit 22 as shown in FIG.
  • the variable generation circuit 12 generates a variable x i x j or x i of each term corresponding to an input for each cycle.
  • the AND circuit 22 is a 1-bit logic between the value of the variable x i x j or x i of each term generated by the variable generation circuit 12 and the value of the coefficient a ij or b i of the term. Perform product operation.
  • the AND circuit 22 can be shared for operations of all terms, and the circuit scale can be reduced. It is assumed that the coefficient value input to the AND circuit 22 is stored in advance in a recording memory (ROM, RAM, etc.) in the format shown in FIG. 13, for example. Therefore, a desired coefficient value can be obtained by accessing a desired address at a desired timing.
  • ROM read-only memory
  • RAM random access memory
  • the coefficients a 1ij , ..., a mij or b 1i , ..., m of the m second-order multivariable polynomials f 1 (x), ..., f m (x) at a time It is preferable to generate b mi so that an operation on a term relating to a certain variable x i x j or x j can be executed in parallel.
  • the arithmetic circuit includes one variable generation circuit 31, a plurality of AND circuits 32 and 35, a plurality of multipliers 33 and 36, and a plurality of intermediate value holding circuits 34 and 37.
  • the variable x i x j or x j generated once by the variable generation circuit 31 is used in parallel for the calculation of the second-order multivariable polynomial f 1 (x),..., F m (x).
  • the coefficients a 1ij ,..., A mij or b 1i ,..., B mi are assumed to be stored in advance in a recording memory (ROM, RAM, etc.) in the format shown in FIG. Therefore, by accessing a desired address at a desired timing, a desired coefficient value for f 1 (x),..., F m (x) can be obtained at a time.
  • m secondary multivariable polynomials f 1 (x),..., F m (x) can be calculated in parallel, and the number of processing cycles is reduced.
  • the description will be given focusing on one second-order multivariable polynomial f i , but m second-order multivariate polynomial f 1 ( x),..., f m (x) can be constructed in parallel.
  • a circuit configuration using a multi-bit input selector As a configuration of the arithmetic circuit as described above, a circuit configuration using a multi-bit input selector, a circuit configuration using a shift register, or the like can be applied.
  • a circuit configuration using a multi-bit input selector see, for example, Reference 1 (David Arditi, Come Berbain, Olivier Billet, Henri Gilbert, “Compact FPGA Implementations of QUAD”, ASIACCS'07, 2 Singapore.).
  • Reference 2 As for the circuit configuration using the shift register, for example, Reference 2 (Andrey Bogdanov, Thomas Eisenbarth, Andy Rupp, and Christopher Wolf, “Time-Area Optimized Public-Mixed-Public-Migrated-Pic-M-E-Cred-E-Cim-Pe-Mim-Ep ", CHES 2008, LNCS 5154, pp. 45-61, 2008.).
  • Reference 2 introduces a circuit configuration in which a feedback loop is introduced into the shift register.
  • the circuit configurations described in Reference Documents 1 and 2 calculate a second-order multivariable polynomial f (x) for one input x ⁇ ⁇ 0, 1 ⁇ n . Therefore, in order to calculate the second-order multivariable polynomials f (x 1 ) and f (x 2 ) for two inputs x 1 , x 2 ⁇ ⁇ 0, 1 ⁇ n , are the two arithmetic circuits operated in parallel? Alternatively, it is necessary to operate one arithmetic circuit twice. As will be described in detail below, the circuit configurations described in References 1 and 2 have room for improvement from the viewpoint of processing speed or circuit scale.
  • An arithmetic circuit using a multi-bit input selector has a first circuit portion (see FIGS. 16 and 17) that generates a variable x i x j or x i of each term constituting the second-order multivariable polynomial f (x). And a second circuit portion (see FIG. 18) that adds the intermediate value obtained by multiplying the variable of each term by the coefficient a ij or b j and outputs the operation result z.
  • the register 101 as shown in FIG. 17, the registers R 1, ..., R n and the selector S 1, ..., constituted by S n.
  • Register R 1, ..., the R n in the first cycle, the selector S 1, respectively, ..., x 1 through S n, ..., x n are stored.
  • the register R 1 at any timing, ..., x 1 stored in R n, ..., x n is y 1, ..., are output as y n.
  • the output values y 1 ,..., N n of the register 101 are input to the selectors 102 and 103 as shown in FIG.
  • the selector 102, the value y 1 is input, ..., from the y n, each select one value inputted into the AND circuit 104.
  • the selector 103 selects one value from the input values y 2 ,..., Y n and the constant “1”, and inputs the selected value to the AND circuit 104.
  • the AND circuit 104 performs an AND operation on the two input values and outputs x i x j or x i .
  • the output value of the AND circuit 104 is input to the AND circuit 105 constituting the second circuit portion.
  • the second circuit portion includes an XOR circuit 106 and a register 107 in addition to the AND circuit 105 as shown in FIG. Also, the wiring widths shown in FIG. 18 are all 1 bit.
  • the AND circuit 105 receives the coefficient a ij or b i together with the output value of the AND circuit 104.
  • the output value (intermediate value) of the AND circuit 105 is input to the XOR circuit 106.
  • the stored value of the register 107 is input to the XOR circuit 106 together with the intermediate value.
  • the XOR circuit 106 performs an exclusive OR operation on the two input values, and inputs the operation result (intermediate value) to the register 107.
  • the value stored in the register 107 is output as the operation result z.
  • the first cycle (P1) the register R 1 constituting the register 101, ..., input x ⁇ to R n ⁇ 0,1 ⁇ n are stored.
  • the register R 1 ..., in a state where the stored value is retained in R n, the register R 1, ..., stored value x 1 of R n, ..., x n is y 1, ..., It is output as y n.
  • the process of selecting a value from y 1 ,..., Y n and the constant “1” is executed by the n-bit input selectors 102 and 103.
  • “1” is output from one of the selectors 102 and 103.
  • the operation circuit of the second-order multivariable polynomial f (x) can be constructed by using the multi-bit input selector.
  • the critical path is lengthened and the maximum operating frequency is lowered.
  • the circuit scale increases.
  • an arithmetic circuit that calculates a second-order multivariable polynomial f (x) for a plurality of inputs is constructed by mounting an arithmetic circuit using a multi-bit input selector in parallel, a plurality of AND circuits and XOR circuits are provided. It is necessary to prepare a set. There is room for improvement in these respects.
  • the arithmetic circuit using the shift register includes a first circuit portion (see FIGS. 20 and 21) that generates a variable x i x j or x i of each term constituting the second-order multivariable polynomial f (x). , And a second circuit portion (see FIG. 22) that adds the intermediate value obtained by multiplying the variable of each term by the coefficient a ij or b j and outputs the operation result z.
  • the first circuit portion includes a shift register 201 and an AND circuit 202.
  • the shift register 201 as shown in FIG. 21, the selector S 1, ..., S n + 1 and the register R 1, ..., constituted by R n + 1.
  • the selectors S 1 and S n + 1 are “3-bit input: 1-bit output” registers.
  • the selectors S 2 ,..., Sn are “2-bit input: 1-bit output” registers. All the wiring widths are 1 bit.
  • the second circuit portion includes an AND circuit 203, an XOR circuit 204, and a register 205 as shown in FIG.
  • the AND circuit 203, the output value of the AND circuit 202 constituting the first circuit portion, and the coefficient a ij or b i is inputted.
  • the output value of the AND circuit 203 is input to the XOR circuit 204.
  • the stored value stored in the register 205 is input to the XOR circuit 204 together with the output value of the AND circuit 203.
  • the stored value of the register 205 is updated with the output value of the XOR circuit 204.
  • the stored values are rotated in the registers R 2 ,..., R n + 1 .
  • one-bit value x 2 which has been stored in the register R 2 are moved to register R n + 1, register R 3, ..., R n + 1 has been stored in the one-bit value x 3, ..., x n, 1 is the register R 2, ..., move to R n.
  • the two values y 1 and y 2 output from the shift register 201 are input to the AND circuit 202 and stored in the register 205 via the AND circuit 203 and the XOR circuit 204 (see FIG. 22).
  • next cycle As shown in FIG. 24, while the value stored in the register R 1 is maintained, the stored value is output from the shift register 201 as an output value y 1.
  • the stored value of the register R 2 is output from the shift register 201 as the output value y 2 .
  • the stored values are rotated in the registers R 2 ,..., R n + 1 .
  • the output of y 1 and y 2 and the rotation of the stored value are repeatedly performed.
  • the value stored is output from the shift register 201 as an output value y 1.
  • the stored value of the register R 2 is output from the shift register 201 as the output value y 2 .
  • the stored values are rotated in the registers R 2 ,..., R n + 1 .
  • the shift register 201, a register R 2, ..., and rotation of the storage values in R n + 1, the register R 1, ..., combining the rotation of the storage values in R n + 1, 2 one value y 1 is output, to control the combination of y 2.
  • the register R 1, ..., input to the R 5 x 1, ..., x 4, 1 is stored.
  • the stored values x 1 and x 2 are output from the registers R 1 and R 2 as output values y 1 and y 2 .
  • These output values y 1 and y 2 are input to the AND circuit 202.
  • the logical sum y is input to the AND circuit 203.
  • a logical product with the coefficient a 12 is calculated by the AND circuit 203 and stored in the register 205.
  • the stored values are rotated in the registers R 2 ,..., R 5 , and the stored values are updated to x 3 , x 4 , 1 and x 2 , respectively. Therefore, the output values y 1 and y 2 of the shift register 201 are x 1 and x 3 , respectively.
  • the stored values in the registers R 2 ,..., R 5 are rotated, and the values y 1 and y 2 are output from the shift register 201 every cycle.
  • the stored values of the registers R 1 ,..., R 5 are respectively x 1 ,..., X 4 , 1 and when the stored values are output as they are from the registers R 1 , R 2
  • the already output values x 1 and x 2 are output. Therefore, the AND circuit 203 is devised to input “0” where the coefficients a ij and b i are originally input, or to add a function that does not update the stored value of the register 205, so that the register 205 Hold the stored value. At that time, rotation is performed in the registers R 1 ,..., R 5 .
  • the shift register 201 When the rotation is performed, the stored values of the registers R 1 ,..., R 5 are in the order of x 2 , x 3 , x 4 , 1, x 1 as described in the column of the number of cycles 5 + 1. Therefore, the shift register 201 outputs the stored value from the registers R 1 and R 2 .
  • the shift register 201 outputs the stored values from the registers R 1 and R 2 while rotating the stored values in the registers R 2 ,..., R 5 .
  • the stored value of the register 205 is not updated when the number of cycles is 5 + 4.
  • the value stored in register 205 is not updated, the register R 1, ..., register R 1 to align the stored values of R 5, ..., Rotate stored value of R 5 .
  • the shift register 201 a register R 2 with the output from the register R 1, R 2, ..., and rotation of R 5, the register R 1, register R 2 with no output from R 2, ..., R 5 and rotation of the register R 1 with no output from the register R 1, R 2, ..., for all combinations of the stored values to implement the rotation of R 5 outputs the value.
  • the values y 1 and y 2 output from the shift register 201 are added each time by the AND circuits 202 and 203, the XOR circuit 204, and the register 205.
  • the stored value of the register 205 is output from the arithmetic circuit as the operation result z.
  • the arithmetic circuit using the shift register includes a first circuit portion (see FIGS. 27 and 28) that generates variables x i x j or x i of each term constituting the second-order multivariable polynomial f (x). , And a second circuit portion (see FIG. 29) that adds the intermediate value obtained by multiplying the variable of each term by the coefficient a ij or b j and outputs the operation result z.
  • the first circuit portion mainly includes a shift register 301 and an AND circuit 302.
  • the description of the mask circuit 303 (see FIG. 29) provided in the previous stage of the AND circuit 302 is omitted for the sake of convenience in order to facilitate comparison with the shift register 201 illustrated in FIG. .
  • the shift register 301 as shown in FIG. 28, the selector S 1, ..., S n and the register R 1, ..., constituted by R n.
  • the selector S 1 is a register of “3-bit input: 1-bit output”.
  • the selectors S 2 ,..., Sn are “4-bit input: 1-bit output” registers. All the wiring widths are 1 bit.
  • the second circuit portion includes an AND circuit 304, an XOR circuit 305, and a register 306.
  • the mask circuit 303 outputs 1 regardless of the input y 2 value.
  • the mask circuit 303 outputs the inputted value of y 2.
  • the output value of the mask circuit 303 is input to the AND circuit 302. That is, one value y 1 output from the shift register 301 and the output value of the mask circuit 303 are input to the AND circuit 302.
  • the output value of the AND circuit 302 constituting the first circuit portion and the coefficient a ij or b i are input.
  • the output value of the AND circuit 304 is input to the XOR circuit 305.
  • the stored value stored in the register 306 is input to the XOR circuit 305 together with the output value of the AND circuit 304.
  • the stored value of the register 306 is updated with the output value of the XOR circuit 306.
  • the value x 2 of 1 bit stored in the register R 2 are moved to register R n, the register R 3, ..., a 1-bit that was stored in the R n value x 3, ..., x n moves to registers R 2 ,..., R n ⁇ 1 .
  • the register R 1, ..., the R n respectively, 1-bit value x 1, x 3, ..., x n, a state in which x 2 is stored.
  • the two values y 1 and y 2 output from the shift register 301 are input to the AND circuit 302 and the mask circuit 303, respectively, and stored in the register 305 via the AND circuit 304 and the XOR circuit 305 (see FIG. 29). reference).
  • next cycle As shown in FIG. 31, while the value stored in the register R1 is maintained, the stored value is output from the shift register 301 as an output value y 1.
  • the stored value of the register R 2 is output from the shift register 301 as the output value y 2 .
  • the stored values are rotated in the registers R 2 ,..., R n .
  • the output of y 1 and y 2 and the rotation of the stored value are repeatedly performed.
  • the registers R 1, ..., a R n respectively, 1-bit value x 1, x 2, ..., at the stage of the state in which x n are stored, the register R 1, ..., rotation stored value is carried out in R n (P5).
  • the shift register 301 outputs the stored value from the registers R 1 and R 2 .
  • the set of stored values x 1 and x 2 output at this timing has already been output, but the value x 2 (y 2 ) is masked by setting the mask value to 1, and the AND circuit 302 receives the value x 1 (y 1 ) and the value “1” are input.
  • the register R 1, ..., the R n respectively, 1-bit value x 2, x 3, ..., x n, a state in which x 1 is stored (P6).
  • the stored value is output from the shift register 301 as an output value y 1.
  • the stored value of the register R 2 is output from the shift register 301 as the output value y 2 .
  • the stored value of R n which x 1 is stored is also maintained. Under this condition, the stored values are rotated in the registers R 2 ,..., R n ⁇ 1 . Thereafter, when the generation processing of the term relating to the variable x 2 is completed, the stored values in the registers R 1 ,..., R n are rotated.
  • the combination of the two values y 1 and y 2 is controlled.
  • the register R 1, ..., input to the R 4 x 1, ..., x 4 are stored.
  • the stored values x 1 and x 2 are output from the registers R 1 and R 2 as output values y 1 and y 2 .
  • These output values y 1 and y 2 are input to the AND circuit 302 and the mask circuit 303, respectively.
  • the logical sum y is input to the AND circuit 304.
  • a logical product with the coefficient a 12 is calculated by the AND circuit 304 and stored in the register 306.
  • the stored values are rotated in the registers R 2 ,..., R 4 , and the stored values are updated to x 3 , x 4 , and x 2 , respectively. Therefore, the output values y 1 and y 2 of the shift register 301 are x 1 and x 3 , respectively.
  • the stored values in the registers R 2 ,..., R 4 are rotated, and the values y 1 and y 2 are output from the shift register 301. At this time, the output values y 1 and y 2 of the shift register 301 are x 1 and x 4 , respectively.
  • the shift register 301 while switching the setting of the mask value mask, the register R 1, ..., a holding of the stored value of R 4, the register R 1, ..., all of the stored values to implement a rotation R 4 Output values for combinations.
  • the values y 1 and y 2 output from the shift register 301 are added each time by the mask circuit 303, the AND circuits 302 and 304, the XOR circuit 305, and the register 306.
  • the value stored in the register 306 is output from the arithmetic circuit as the arithmetic result z.
  • Example # 1 (calculation of multivariable polynomial F)]
  • the arithmetic circuit according to the embodiment # 1 calculates the second-order multivariable polynomials F (x 1 ) and F (x 2 ) in parallel for the two inputs x 1 and x 2 (f (x 1 ), f (x It is designed to be able to execute the calculation 2 ).
  • the arithmetic circuit according to the embodiment # 1 includes a shift register 401, AND circuits 402 and 403, a selector 404, an AND circuit 405, an XOR circuit 406, and selectors 407 and 409. And registers 408 and 410 and a selector 411.
  • the shift register 401 includes a first shift register 4011 and a second shift register 4012.
  • first shift register 4011 is substantially the same as the configuration of the shift register 201 illustrated in FIG.
  • the structure of the second shift register 4012 is substantially the same as the structure of the shift register 201 illustrated in FIG. 21 except that the combination of registers that output values is different.
  • the first shift register 4011 and the second shift register 4012 operate in cooperation in the same cycle.
  • the first shift register 4011 is configured to output a stored value from the registers R 1,1 and R 1,2 .
  • the second shift register 4012 is configured to output the stored value from the registers R 2,1 and R 2, n + 1 .
  • the values y 1,1 , y 1,2 output from the first shift register 4011 are input to the AND circuit 402 as shown in FIG.
  • the values y 2,1 , y 2,2 output from the second shift register 4012 are input to the AND circuit 403.
  • the AND circuit 402 calculates a logical product of the input values y 1,1 , y 1,2 and inputs the calculation result to the selector 404.
  • the AND circuit 403 calculates the logical product of the input values y 2,1 , y 2,2 and inputs the calculation result to the selector 404.
  • the selector 404 selects one value from the two input values, and inputs the selection result to the AND circuit 405.
  • the AND circuit 405 receives the coefficients a ij and b i together with the output value of the selector 404.
  • the AND circuit 405 calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 406.
  • the XOR circuit 406 receives an output value of the AND circuit 405 and an output value of a selector 411 described later.
  • the XOR circuit 406 performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 407 and 409.
  • the calculation result is stored in the register 408 or the register 410 depending on the state of the selectors 407 and 409. Further, one of the stored values of the registers 408 and 410 is input to the XOR circuit 406 or output from the arithmetic circuit as the operation result z depending on the state of the selector 411.
  • the registers R 1, 1, ..., R 1, the input value to the n x 1,1, ..., x 1 , n is stored.
  • the value “1” is stored in the registers R 1 and n + 1 .
  • the value “1” stored here is used to calculate a first-order term included in the second-order multivariable polynomial f (x 1 ).
  • the register R 2,1, ..., the input values to the R 2, n x 2, n , ..., x 2,1 ( note a reverse order) are stored.
  • the value “1” is stored in the registers R 2 and n + 1 .
  • the value “1” stored here is used to calculate a first-order term included in the second-order multivariable polynomial f (x 2 ).
  • the stored values x 1,1 , x 1,2 stored in the registers R 1,1 , R 1,2 are converted into output values y 1,1 , y. 1 and 2 are output. Further, the stored value of the register R 1,1 is held, and the stored value of the register R 1,2 ,..., R 1, n + 1 is rotated. Specifically, the 1-bit values x 1 and 2 stored in the registers R 1 and 2 have moved to the registers R 1, n + 1 and stored in the registers R 1,3 ,..., R 1, n + 1 .
  • the stored value of the register R 2,1 is held, and the stored value of the register R 2,2 ,..., R 2, n + 1 is rotated. Specifically, the register value of 1 bit stored in the R 2,2 x 2, n-1 is moved to register R 2, n + 1, register R 2,3, ..., is stored in R 2, n + 1 it was one-bit value x 2, n-2, ... , x 2,1, 1 is the register R 2,2, ..., move to R 2, n. As a result, the registers R 2,1 ,..., R 2, n + 1 have 1-bit values x 2, n , x 2, n-2 ,..., X 2,1 , 1, x 2, n ⁇ respectively. 1 is stored. At this time, the stored values of the registers R 2,1 , R 2, n + 1 are not output from the shift register 401 (actually, the output value of the AND circuit 402 is selected by the selector 404).
  • the values y 1,1 , y 1,2 output from the shift register 401 are input to the AND circuit 402 as shown in FIG.
  • the logical product value output from the AND circuit 402 is input to the selector 404.
  • the selector 404 is controlled to select the output value of the AND circuit 402. Therefore, the value input to the selector 404 is input to the AND circuit 405 as the output value y of the selector 404, and is multiplied by the coefficient.
  • the output of the AND circuit 405 is input to the XOR circuit 406.
  • the value input to the XOR circuit 406 is input to the selectors 407 and 409.
  • the selector 409 blocks the path connected to the output of the XOR circuit 406 and connects the path connected to the output of the register 410. Therefore, the output value of the XOR circuit 406 is stored in the register 408 via the selector 407 connected to the output of the XOR circuit 406.
  • the output of the XOR circuit 406 and the input of the selector 407 are connected. Control is performed so that the input of the selector 409 and the output of the register 410 are connected.
  • the selector 411 is maintained in a state where the output of the register 408 and the input of the XOR circuit 406 are connected. While maintaining this state, the shift register 401, the register R 1,2, ..., R 1, n + 1 and the register R 2, 2, ..., while rotation the stored value of R 2, n + 1, the register R 1, 1 , R 1 , 2 are output. Each time a value is output from the shift register 401, the intermediate value is added via the AND circuit 402, the selector 404, the XOR circuit 406, and the selector 407, and the stored value in the register 408 is updated.
  • the registers R 1, 1, ..., the R 1, n + 1, respectively, 1-bit value x 1,1, x 1,2, ..., x 1, n, 1 is stored
  • the stored values are rotated in the registers R 1,1 ,..., R 1, n + 1 (P3).
  • the registers R 1,1 ,..., R 1, n + 1 have 1-bit values x 1,2 , x 1,3 ,..., X 1, n , 1, x 1, respectively. , 1 are stored.
  • the stored values are rotated in the registers R 2,1 ,..., R 2, n + 1 .
  • the stored value is output from the registers R 2,1 , R 2, n + 1 .
  • the input of the selector 404 is controlled to be connected to the output of the AND circuit 403.
  • the input of the selector 407 is controlled to be connected to the output of the register 408.
  • the input of the selector 409 is controlled to be connected to the output of the XOR circuit 406.
  • the input of the selector 411 is controlled to be connected to the output of the register 410.
  • the output value of the AND circuit 403 is input to the AND circuit 405 via the selector 404.
  • the output value of the AND circuit 405 is stored in the register 410 via the XOR circuit 406 and the selector 409.
  • the first shift register 4011 rotates the registers R 1 , 2 ,..., R 1, n + 1 so that the stored values are aligned, or the register R 1, 1 ,..., R 1, n + 1 , the output value of the second shift register 4012 is processed at the timing when the rotation is performed.
  • the selectors 404, 407, 409, and 411 are controlled, and the signal path is returned to the original state.
  • the register R 1, 2, ..., the register R 1, 1 while rotation the value stored in R 1, n + 1, the process of outputting the stored value of R 1, 2 is carried out.
  • the register R 1, 2, ..., rotation of stored values in R 1, 5 is performed, each storing value x 1,3, x 1,4, 1, x 1, Updated to 2 . Therefore, the output values y 1,1 , y 1,2 of the shift register 401 are x 1,1 , x 1,3 respectively. Furthermore, the register R 2, 2, ..., rotation of stored values in R 2, 5 is performed, each storing value x 2, 2, x 2,1, is updated to 1, x 2,3. Similarly, in cycles 3 and 4, rotation of stored values in registers R1,2 , ..., R1,5 and R2,2 , ..., R2,5 is performed, and from cycle register 401 every cycle. The values y 1,1 , y 1,2 are output.
  • the register R 1, 1, ..., stored value each x 1, 1 of R 1, 5, ..., x l, 4, has a 1, it registers R 1,
  • the shift register 401 performs rotation in the registers R 1,1 ,..., R 1,5 without outputting values from the registers R 1,1 , R 1,2 .
  • the shift register 401 outputs the stored value from the registers R 2,1 , R 2,5 .
  • the output of the AND circuit 403 is adopted by the selector 404.
  • the stored values of the registers R 1,1 ,..., R 1,5 are respectively x 1 , 2 , x 1,3 , x 1,4 , 1, as described in the column of the number of cycles 5 + 1.
  • the order is x 1,1 .
  • the stored values of the registers R 2,1 ,..., R 2,5 are in the order of x 2,3 , x 2,2 , x 2,1 , 1, x 2,4 respectively.
  • the output of the AND circuit 402 is again adopted by the selector 404 in the cycle numbers 5 + 1 to 5 + 3.
  • the first shift register 4011 performs rotation of the stored value in the registers R 1 , 2 ,..., R 1,5 .
  • the stored value is output from the registers R 1,1 , R 1,2 .
  • the second shift register 4012 rotates the stored values of the registers R 2,2 ,..., R 2,5 in the cycle numbers 5 + 1 to 5 + 4. Further, at the cycle number 5 + 4, the stored value is output from the registers R 2,1 , R 2,5 . Next, in the cycle number 2 ⁇ 5, the stored values are output from the registers R 2,1 , R 2,5 while rotating the stored values of the registers R 2,1 ,..., R 2,5 . However, the output of the AND circuit 403 is adopted by the selector 404 at the timing of the cycle number 5 + 4 and the cycle number 2 ⁇ 5.
  • the shift register 401 performs the rotation accompanied by the outputs from the registers R 1,1 , R 1,2 and the rotation accompanied by the outputs from the registers R 2,1 , R 2,5 to perform all of the stored values.
  • the value x 1, 1, ..., x l, 4, all possible combinations selected from 1, and the value x 2, 4, ..., x 2,1, summation for all possible combinations chosen from 1 Is completed the stored value is output as the operation result z from the registers 408 and 410, respectively.
  • the selectors 404, 407, 409, and 411 are controlled by a control unit (not shown) provided in the arithmetic circuit or a control device (not shown) provided outside the arithmetic circuit.
  • the input of the selector 404 is connected to the output of the AND circuit 402. Further, the input of the selector 407 is connected to the output of the XOR circuit 406. Further, the input of the selector 409 is connected to the output of the register 410. The input of the selector 411 is connected to the output of the register 408.
  • the input of the selector 404 is connected to the output of the AND circuit 403.
  • the input of the selector 409 is connected to the output of the XOR circuit 406.
  • the input of the selector 407 is connected to the output of the register 408.
  • the input of the selector 411 is connected to the output of the register 410.
  • the arithmetic circuit according to the embodiment # 1 since the arithmetic circuit according to the embodiment # 1 uses the shift register, it does not include a multi-bit input selector.
  • the arithmetic circuit includes only two types of shift register feedback loops. Further, in the arithmetic circuit, since one shift register outputs the stored value at the timing when one shift register aligns the stored value of the register, the cycle is not wasted only by aligning the stored value.
  • the two shift registers share an AND circuit for multiplying coefficients and an XOR circuit for addition. As a result, an increase in critical paths and an increase in circuit scale are suppressed, and a small arithmetic circuit with a high arithmetic speed is realized.
  • Example # 2 (calculation of multivariable polynomials F and G)]
  • the arithmetic circuit according to the embodiment # 2 calculates the second-order multivariate polynomials F (x 1 ) and G (x 2 , x 3 ) in parallel for the three inputs x 1 , x 2 , x 3 (f (x 1 ), g (calculation of g (x 2 , x 3 )).
  • the arithmetic circuit according to the embodiment # 2 includes a shift register 501, AND circuits 502, 503, and 504, an XOR circuit 505, a selector 506, an AND circuit 507, and an XOR circuit. 508, selectors 509 and 511, registers 510 and 512, and a selector 513.
  • the shift register 501 includes a first shift register 5011, a second shift register 5012, and a third shift register 5013.
  • the configuration of the first shift register 5011 is substantially the same as the configuration of the first shift register 4011 according to Example # 1 described above.
  • the configurations of the second shift register 5012 and the third shift register 5013 are substantially the same as the configuration of the second shift register 4012 according to the above-described embodiment # 1. Therefore, the description of the detailed configuration is omitted. Note that the first shift register 5011, the second shift register 5012, and the third shift register 5013 operate in cooperation in the same cycle.
  • the main differences between the arithmetic circuit according to the embodiment # 1 and the arithmetic circuit according to the embodiment # 2 are the number of shift registers included in the shift register 501 and the configuration of the XOR circuit 505. Thus, focusing on this difference, the configuration of the arithmetic circuit according to the embodiment # 2 will be described.
  • This difference is added to calculate the second-order multivariable polynomial g (x 2 , x 3 ).
  • the secondary multivariate polynomial f (x 1 ) to be calculated together is expressed as in the following equation (14)
  • the secondary multivariate polynomial g (x 2 , x 3 ) is expressed by the following equation (15): It is expressed as follows.
  • a second shift register 5012, a third shift register 5013, and an AND circuit 503 are provided to calculate x 2i x 3j, and a second shift register and a third shift for calculating x 2j x 3i are provided.
  • a register 5013 and an AND circuit 504 are provided, and an XOR circuit 505 is provided to add these calculation results. Therefore, the second shift register 5012 and the third shift register 5013 output the stored value of the register in the same cycle. Further, in that cycle, the output of the XOR circuit 505 is input to the AND circuit 507 via the selector 506. Note that the configuration of each circuit in the subsequent stage of the AND circuit 507 is substantially the same as that of the arithmetic circuit according to Configuration Example # 2, and thus description thereof is omitted.
  • the configuration of the arithmetic circuit according to Example # 2 has been described above.
  • the arithmetic circuit according to the example # 2 replaces the second shift register 4012 in the arithmetic circuit according to the example # 1 with a second shift register 5012 and a third shift register 5013, and the AND circuit 403 is replaced with an AND circuit. It will be easier to understand if it is considered as a replacement of the set of 503 and 504 and the XOR circuit 505. However, it should be noted that the value input to the register R 3, n + 1 of the register R 2, n + 1 and the third shift register 5013 of the second shift register 5012 is "0". This difference is due to the fact that the first-order term is not included in the second-order multivariable polynomial g (x 2 , x 3 ).
  • the part which showed the wiring with the chain line in the figure represents that it is controlled so that a signal does not flow substantially in the applicable cycle.
  • the part indicated by the solid line represents that the signal is controlled to flow in the corresponding cycle.
  • the first shift register 4011 and the second shift register 5012 Focusing on the operation of the first shift register 5011 and the second shift register 5012, as shown in FIGS. 45, 46, and 48, the first shift register 4011 and the second shift register according to the embodiment # 1. It can be seen that the operation of the register 4012 is substantially the same.
  • the operation of the third shift register 5013 is the same as that of the second shift register 5012.
  • the input of the selector 506 is connected to the output of the AND circuit 502, so that the operation of the arithmetic circuit according to the embodiment # 1 Be the same.
  • the input of the selector 506 is connected to the output of the XOR circuit 505. Therefore, the output values of the second shift register 5012 and the third shift register 5013 are input to the AND circuits 503 and 504, respectively, the output values of the AND circuits 503 and 504 are input to the XOR circuit 505, and the output of the XOR circuit 505 is output.
  • the value is input to the AND circuit 507 via the selector 506.
  • the operation of the circuit located at the subsequent stage of the AND circuit 507 is substantially the same as that of the arithmetic circuit according to the embodiment # 1.
  • FIG. 50 specifically shows the configuration of the stored values of the registers constituting the shift register 501, the output values from the shift registers, and the intermediate values calculated in the AND circuit 507.
  • the description method is the same as in FIG.
  • the arithmetic circuit according to the example # 2 includes each term of the second-order multivariate polynomial f (x 1 ) shown in the above equation (14),
  • the terms of the second-order multivariable polynomial g (x 2 , x 3 ) shown in Expression (15) can be generated efficiently.
  • the arithmetic circuit according to the embodiment # 2 is used, it is possible to realize multivariate polynomial arithmetic necessary for the implementation of the public key authentication scheme and the electronic signature scheme described above.
  • the configuration of the arithmetic circuit that can be used for the implementation of the public key authentication method and the electronic signature method that bases security on the solution problem of multivariable polynomials has been described.
  • the circuit scale can be reduced and the processing speed can be improved.
  • FIG. 83 is an explanatory diagram showing an example in which a plurality of arithmetic circuits 401 shown in FIG. 35 are arranged in parallel. As shown in FIG. 83, when a plurality of arithmetic circuits 401 are arranged in parallel, the arithmetic processing of the second-order polynomials f (x 1 ) and f (x 2 ) multiple times can be accelerated.
  • the arithmetic circuit needs to access the recording memory storing the coefficients as shown in FIG. 15 at the same time.
  • the arithmetic circuit needs to access the recording memory storing the coefficients as shown in FIG. 15 at the same time.
  • multiple arithmetic circuits are arranged in parallel, due to restrictions on the arrangement of arithmetic circuits close to the recording memory and arithmetic circuits that are far from the recording memory, simultaneous access to the recording memory and the maximum operating frequency are possible. It becomes a factor causing the decrease.
  • M a plurality (M) of arithmetic circuits that execute quadratic polynomial arithmetic processing are arranged in parallel, the circuit scale is simply M times that of one arithmetic circuit.
  • the recording memory storing the coefficients as shown in FIG. 15 has a data structure that is easy to divide, and the calculation processing of the second-order polynomial is pipelined, thereby relaxing the constraints on the arrangement of the arithmetic circuits.
  • a technique for preventing a decrease in the maximum operating frequency will be described.
  • the number of registers in the arithmetic circuit can be reduced by pipelining the arithmetic processing of the second-order polynomial.
  • FIG. 51 is an explanatory diagram of a data structure example of the recording memory.
  • FIG. 51 is an explanatory diagram showing a data structure example of a recording memory referred to by a 4-bit, 4-stage pipeline arithmetic circuit to be described later.
  • the data structure as shown in FIG. 51 eliminates the need for double addresses. This is because the address is incremented when the arithmetic processing is executed, and when the last address is reached, the address should be decremented this time.
  • FIG. 52 is an explanatory diagram of a configuration of the arithmetic circuit according to the embodiment # 3.
  • the arithmetic circuit shown in FIG. 52 calculates and outputs a quadratic polynomial when the input x is 4 bits.
  • the arithmetic circuit according to the embodiment # 3 includes arithmetic circuits 600a, 600b, 600c, and 600d, and a ROM 690 that stores coefficients.
  • the ROM 690 is divided into two areas 690a and 690b.
  • the arithmetic circuits 600a, 600b, 600c, and 600d are circuits that generate parallel multivariable polynomials f (x 1 ) and f (x 2 ) in parallel from two inputs x 1 and x 2 .
  • the arithmetic circuit according to the embodiment # 1 and the embodiment # 2 is a single circuit, and calculates the second-order multivariate polynomials f (x 1 ) and f (x 2 ) in parallel for the two inputs x 1 and x 2. Was designed to run.
  • f (x) performs a second-order multivariate polynomial f (x) from two inputs x 1 and x 2 by pipeline processing using four arithmetic circuits 600a, 600b, 600c, and 600d. 1 ), f (x 2 ) are designed to be generated in parallel.
  • Pipeline processing is processing in which processing elements are connected in series, and the output of a certain processing element becomes the input of the next processing element, and each pipelined processing element is processed in parallel.
  • FIG. 53 is an explanatory diagram showing an example of the data structure of the ROM 690, and is an explanatory diagram showing an example of coefficients stored in the areas 690a and 690b.
  • the coefficients stored in the area 690a are referred to by the arithmetic circuits 600a and 600d, and the coefficients stored in the area 690b are referred to by the arithmetic circuits 600b and 600c, respectively.
  • the arithmetic circuit 600a includes a shift register 601a, AND circuits 602a and 603a, a selector 604a, an AND circuit 605a, an XOR circuit 606a, selectors 607a and 609a, a register 608a, 610a and a selector 611a.
  • the shift register 601a includes a first shift register 6011a and a second shift register 6012a.
  • the configurations of the first shift register 6011a and the second shift register 6012a are the same as the configurations of the first shift register 4011 and the second shift register 4012 shown in FIG. It is substantially the same. However, the first shift register 6011a and the second shift register 6012a operate in cooperation in the same cycle.
  • the first shift register 6011a includes registers RA 1,1 , RA 1,2 , RA 1,3 , RA 1,4 , RA 1,5 , and selectors SA 1,1 , SA 1. , 2 , SA 1,3 , SA 1,4 , SA 1,5 .
  • the first shift register 6011a is configured to output a stored value from the registers RA 1,1 , RA 1,2 and RA 1,3 .
  • the second shift register 6012a includes registers RA 2,1 , RA 2,2 , RA 2,3 , RA 2,4 , RA 2,5 and selectors SA 2,1 , SA 2,2 , SA. 2 , 3 , SA 2 , 4 , SA 2 , 5 .
  • the second shift register 6012a is configured to output a stored value from the registers RA 2,1 , RA 2,2 , RA 2,3 and RA 2,5 .
  • the values ya 1,1 , ya 1,2 , ya 1,3 output from the first shift register 6011a are input to the subsequent arithmetic circuit 600b. Further, the values ya 1,1 , ya 1,2 output from the first shift register 6011a are input to the AND circuit 602a as shown in FIG. Similarly, the values ya 2,1 , ya 2,2 , ya 2,3 , ya 2,5 output from the second shift register 6012a are input to the arithmetic circuit 600b in the subsequent stage. Further, the values ya 2,1 , ya 2,5 output from the second shift register 6012a are input to the AND circuit 603a.
  • the AND circuit 602a calculates a logical product of the input values ya 1 , 1 , ya 1 , 2 and inputs the calculation result to the selector 604a.
  • the AND circuit 603a calculates the logical product of the input values ya 2 , 1 , ya 2 , 5 and inputs the calculation result to the selector 604a.
  • the selector 604a selects one value from the two input values, and inputs the selection result to the AND circuit 605a.
  • the AND circuit 605a receives the coefficients a ij and b i together with the output value of the selector 604a.
  • the AND circuit 605a calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 606a.
  • the XOR circuit 606a receives an output value of the AND circuit 605a and an output value of a selector 611a described later.
  • the XOR circuit 606a performs an exclusive OR operation on the two input values, and inputs the operation results to the selectors 607a and 609a. This calculation result is stored in the register 608a or the register 610a depending on the state of the selectors 607a and 609a.
  • the stored values of the registers 608a and 610a are either input to the XOR circuit 606a or output from the arithmetic circuit 600a as the operation results za 1 and za 2 depending on the state of the selector 611a.
  • the values za 1 and za 2 from the registers 608a and 610a are input to the arithmetic circuit 600b at the subsequent stage.
  • the selectors 604a and 611a select and output one of the input values according to the value of selA described later.
  • 56 and 57 are explanatory diagrams showing the circuit configuration of the arithmetic circuit 600b.
  • the arithmetic circuit 600b includes a shift register 601b, AND circuits 602b and 603b, a selector 604b, an AND circuit 605b, an XOR circuit 606b, selectors 607b and 609b, a register 608b, 610b and a selector 611b.
  • the shift register 601b includes a first shift register 6011b and a second shift register 6012b.
  • the configuration of the first shift register 6011b is one less than that of the first shift register 6011a shown in FIG.
  • the configuration of the second shift register 6012b is substantially the same as the configuration of the second shift register 6012a illustrated in FIG. 54 except that the combination of registers that output values is different.
  • the first shift register 6011b and the second shift register 6012b operate in cooperation in the same cycle.
  • the first shift register 6011b includes registers RB 1,1 , RB 1,2 , RB 1,3 , RB 1,4 and selectors SB 1,1 , SB 1,2 , SB 1. , 3 , SB 1 , 4 .
  • the first shift register 6011b is configured to output stored values from the registers RB 1,1 and RB 1,2 .
  • the second shift register 6012b includes registers RB 2,1 , RB 2,2 , RB 2,3 , RB 2,4 , RB 2,5 and selectors SB 2,1 , SB 2,2 , SB. 2 , 3 , SB 2 , 4 , SB 2 , 5 .
  • the second shift register 6012b is configured to output a stored value from the registers RB 2,1 , RB 2,2 , RB 2,4 and RB 2,5 .
  • the values yb 1,1 , yb 1 , 2 output from the first shift register 6011b are input to the arithmetic circuit 600c at the subsequent stage. Further, the values yb 1,1 , yb 1 , 2 output from the first shift register 6011b are input to the AND circuit 602b as shown in FIG. Similarly, the values yb 2,1 , yb 2,2 , yb 2,4 , yb 2,5 output from the second shift register 6012b are input to the arithmetic circuit 600c at the subsequent stage. The values yb 2,1 , yb 2,5 output from the second shift register 6012b are input to the AND circuit 603b.
  • the AND circuit 602b calculates the logical product of the input values yb 1,1 , yb 1 , and 2 , and inputs the calculation result to the selector 604b.
  • the AND circuit 603b calculates the logical product of the input values yb 2,1 , yb 2,5 and inputs the calculation result to the selector 604b.
  • the selector 604b selects one value from the two input values, and inputs the selection result to the AND circuit 605b.
  • the AND circuit 605b receives the coefficients a ij and b i together with the output value of the selector 604b.
  • the AND circuit 605b calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 606b.
  • the output value of the AND circuit 605b and the output value of the selector 611b described later are input to the XOR circuit 606b.
  • the XOR circuit 606b performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 607b and 609a. This calculation result is stored in the register 608b or the register 610b depending on the state of the selectors 607b and 609b.
  • either one of the stored values of the registers 608b and 610b is input to the XOR circuit 606b or output from the arithmetic circuit as arithmetic results zb 1 and zb 2 depending on the state of the selector 611b.
  • the values zb 1 and zb 2 from the registers 608b and 610b are input to the arithmetic circuit 600c at the subsequent stage.
  • selectors 604b and 611b select and output one of the input values according to the value of selB described later.
  • the selector 607b selects and outputs either the output of the XOR circuit 606b, the value za 1 supplied from the arithmetic circuit 600a, or the output of the register 608b.
  • the selector 609b selects and outputs either the output of the XOR circuit 606b, the value za 2 supplied from the arithmetic circuit 600a, or the output of the register 610b.
  • the arithmetic circuit 600c includes a shift register 601c, AND circuits 602c and 603c, a selector 604c, an AND circuit 605c, an XOR circuit 606c, selectors 607c and 609c, a register 608c, 610c and a selector 611c.
  • the shift register 601c includes a first shift register 6011c and a second shift register 6012c.
  • the configuration of the first shift register 6011c has one more register than the configuration of the first shift register 6011b shown in FIG.
  • the configuration of the second shift register 6012c is substantially the same as the configuration of the second shift register 6012a illustrated in FIG. 54 except that the combination of registers that output values is different.
  • the first shift register 6011c and the second shift register 6012c operate in cooperation in the same cycle.
  • the first shift register 6011c includes registers RC 1,1 , RC 1,2 and RC 1,3 and selectors SC 1,1 , SC 1,2 and SC 1,3.
  • the first shift register 6011c is configured to output the stored value from the registers RC 1,1 and RC 1,2 .
  • the second shift register 6012c includes a register RC 2,1, RC 2,2, RC 2,3 , RC 2,4, RC 2,5, and selectors SC 2,1, SC 2, 2, SC 2 , 3 , SC 2 , 4 , SC 2 , 5 .
  • the second shift register 6012c is configured to output the stored value from the registers RC 2,1 , RC 2,3 , RC 2,4 and RC 2,5 .
  • the value yc 1,1 output from the first shift register 6011c is input to the arithmetic circuit 600d at the subsequent stage. Also, the values yc 1,1 , yc 1 , 2 output from the first shift register 6011c are input to the AND circuit 602c as shown in FIG. Similarly, the values yc 2,1 , yc 2,3 , yc 2,4 , yc 2,5 output from the second shift register 6012c are input to the arithmetic circuit 600d at the subsequent stage. Further, the values yc 2,1 , yc 2,5 output from the second shift register 6012c are input to the AND circuit 603c.
  • the AND circuit 602c calculates the logical product of the input values yc 1,1 , yc 1 , and 2 , and inputs the calculation result to the selector 604c.
  • the AND circuit 603c calculates the logical product of the input values yc 2,1 , yc 2,5 and inputs the calculation result to the selector 604c.
  • the selector 604c selects one value from the two input values, and inputs the selection result to the AND circuit 605c.
  • the AND circuit 605c receives the coefficients a ij and b i together with the output value of the selector 604c.
  • the AND circuit 605c calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 606c.
  • the output value of the AND circuit 605c and the output value of the selector 611c described later are input to the XOR circuit 606c.
  • the XOR circuit 606c performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 607c and 609c. This calculation result is stored in the register 608c or the register 610c depending on the state of the selectors 607c and 609c.
  • either one of the stored values of the registers 608c and 610c is input to the XOR circuit 606c or output from the arithmetic circuit as the arithmetic results zc 1 and zc 2 depending on the state of the selector 611c.
  • the values zc 1 and zc 2 from the registers 608c and 610c are input to the arithmetic circuit 600d at the subsequent stage.
  • the selectors 604c and 611c select and output one of the input values according to the value of selC described later.
  • the selector 607c selects and outputs either the output of the XOR circuit 606c, the value zb 1 supplied from the arithmetic circuit 600b, or the output of the register 608c.
  • the selector 609c selects and outputs either the output of the XOR circuit 606c, the value zb 2 supplied from the arithmetic circuit 600b, or the output of the register 610c.
  • the arithmetic circuit 600d includes a shift register 601d, AND circuits 602d and 603d, a selector 604d, an AND circuit 605d, an XOR circuit 606d, selectors 607d and 609d, and registers 608d and 610d. And a selector 611d.
  • the shift register 601d includes a first shift register 6011d and a second shift register 6012d.
  • the configuration of the first shift register 6011d is one register less than that of the first shift register 6011c shown in FIG.
  • the configuration of the second shift register 6012d is substantially the same as the configuration of the second shift register 6012a illustrated in FIG. 54 except that the combination of registers that output values is different.
  • the first shift register 6011d and the second shift register 6012d operate in cooperation in the same cycle.
  • the first shift register 6011d includes registers RD 1,1 and RD 1,2 and selectors SD 1,1 and SD 1,2 .
  • the first shift register 6011d is configured to output stored values from the registers RD 1,1 and RD 1,2 .
  • the second shift register 6012d includes registers RD 2,1 , RD 2,2 , RD 2,3 , RD 2,4 , RD 2,5 and selectors SD 2,1 , SD 2,2 , SD. 2 , 3 , SD 2 , 4 , SD 2 , 5 .
  • the second shift register 6012d is configured to output the stored value from the registers RD 2,1 and RD 2,5 .
  • the values yd 1,1 , yd 1 , 2 output from the first shift register 6011d are input to the AND circuit 602d as shown in FIG.
  • the values yd 2,1 , yd 2 , and 5 output from the second shift register 6012d are input to the AND circuit 603d.
  • the AND circuit 602d calculates a logical product of the input values yd 1,1 , yd 1 , and 2 , and inputs the calculation result to the selector 604d.
  • the AND circuit 603d calculates a logical product of the input values yd 2,1 , yd 2,5 and inputs the calculation result to the selector 604d.
  • the selector 604d selects one value from the two input values, and inputs the selection result to the AND circuit 605d.
  • the AND circuit 605d receives the coefficients a ij and b i together with the output value of the selector 604d.
  • the AND circuit 605d calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 606d.
  • the output value of the AND circuit 605d and the output value of the selector 611d described later are input to the XOR circuit 606d.
  • the XOR circuit 606d performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 607d and 609d. This calculation result is stored in the register 608d or the register 610d depending on the state of the selectors 607d and 609d.
  • the stored values of the registers 608d and 610d are either input to the XOR circuit 606d or output from the arithmetic circuit as the arithmetic results zd 1 and zd 2 depending on the state of the selector 611d.
  • the values zd 1 and zd 2 from the registers 608d and 610d correspond to f (x 1 ) and f (x 2 ), respectively.
  • the selectors 604d and 611d select and output one of the input values according to the value of selD described later.
  • the selector 607d selects and outputs either the output of the XOR circuit 606d, the value zc 1 supplied from the arithmetic circuit 600c, or the output of the register 608d.
  • the selector 609d selects and outputs either the output of the XOR circuit 606d, the value zc 2 supplied from the arithmetic circuit 600c, or the output of the register 610d.
  • FIGS. 62 to 65 summarize the stored values of the registers of the arithmetic circuits 600a to 600d, the coefficients read from the ROM 690, the signals supplied to the selector, and the output values from the arithmetic circuits 600a to 600d, respectively.
  • the basic operation of the arithmetic circuits 600a to 600d is the same as that of the arithmetic circuit according to the embodiment # 1. That is, values are stored and rotated under the control of each selector included in the arithmetic circuits 600a to 600d.
  • the stored value of the register of the arithmetic circuit 600a, the coefficient read from the ROM 690, the signal supplied to the selector, and the output value from the arithmetic circuit 600a will be described with reference to FIG.
  • T 1, i and T 2, i shown in FIGS. 62 to 65 represent the following mathematical expressions, respectively.
  • f (x 1 ) and f (x 2 ) can be expressed by the following mathematical formula.
  • values are stored in the respective registers of the arithmetic circuit 600a as shown in FIG. Further, the coefficients a 1 and 2 are read from the area 690a of the ROM 690.
  • the selectors 604a and 611a are supplied with a signal that outputs an input from “0” in FIG. As a result, the outputs from the registers 608a and 610a are both zero.
  • cycle number 2 under the control of each selector, a value is stored in each register of arithmetic circuit 600a as shown in FIG. Also, the coefficients a 1 and 3 are read from the area 690a of the ROM 690.
  • the selectors 604a and 611a are supplied with a signal that outputs an input from “0” in FIG. As a result, the output from register 608a becomes a 1,2 x 1,1 x 1,2, and the output from register 610a is 0.
  • cycle number 3 under the control of each selector, a value is stored in each register of arithmetic circuit 600a as shown in FIG. Also, the coefficients a 1 and 4 are read from the area 690a of the ROM 690.
  • the selectors 604a and 611a are supplied with a signal that outputs an input from “0” in FIG. As a result, the output from register 608a becomes a 1,2 x 1,1 x 1,2 + a 1,3 x 1,1 x 1,3 , and the output from register 610a 0.
  • cycle number 4 under the control of each selector, a value is stored in each register of arithmetic circuit 600a as shown in FIG. Further, the coefficient b 1 is read from the area 690 a of the ROM 690.
  • the selectors 604a and 611a are supplied with a signal that outputs an input from “0” in FIG. As a result, the output from register 608a is a 1,2 x 1,1 x 1,2 + a 1,3 x 1,1 x 1,3 + a 1,4 x 1,1 x 1,4 next, from register 610a Output is zero.
  • each selector under the control of each selector, a value is stored in each register of arithmetic circuit 600a as shown in FIG. Also, the coefficient b 4 is read from the area 690a of the ROM 690.
  • the arithmetic circuit 600a repeats the cycle number 1 to the cycle number 6 and outputs the calculation result to the arithmetic circuit 600b. When the cycle number 6 ends, the arithmetic circuit 600a similarly performs arithmetic processing for the next x 1 and x 2 .
  • the stored value of the register of the arithmetic circuit 600b, the coefficient read from the ROM 690, the signal supplied to the selector, and the output value from the arithmetic circuit 600b will be described with reference to FIG. Note that the stored value of the register of the arithmetic circuit 600b shown in FIG. 63 is supplied to the arithmetic circuit 600b after the arithmetic circuit 600a performs the rotation of the cycle number 1 to the cycle number 6.
  • values are stored in the respective registers of the arithmetic circuit 600b as shown in FIG. Further, the coefficients a 2 and 3 are read from the area 690b of the ROM 690.
  • cycle number 2 under the control of each selector, a value is stored in each register of arithmetic circuit 600b as shown in FIG.
  • the coefficients a 2 and 4 are read from the area 690b of the ROM 690.
  • the selectors 604b and 611b are supplied with a signal that outputs an input from “0” in FIG.
  • the output from the register 608b is T 1,1 + a 2,3 x 1,2 x 1,3
  • the output from the register 610b is T 2,4 .
  • cycle number 3 under the control of each selector, a value is stored in each register of arithmetic circuit 600b as shown in FIG. Further, the coefficient b 2 is read from the area 690 b of the ROM 690.
  • the selectors 604b and 611b are supplied with a signal that outputs an input from “0” in FIG. As a result, the output from register 608b is T 1,1 + a 2,3 x 1,2 x 1,3 + a 2,4 x 1,2 x 1,4 , and the output from register 610b is a T 2, 4 Become.
  • cycle number 4 under the control of each selector, a value is stored in each register of arithmetic circuit 600b as shown in FIG. Also, the coefficient b 3 is read from the area 690 b of the ROM 690.
  • each selector under the control of each selector, a value is stored in each register of the arithmetic circuit 600b as shown in FIG. Also, the coefficients a 3 and 4 are read from the area 690b of the ROM 690.
  • the selectors 604b and 611b are supplied with a signal that outputs an input from “1” in FIG. As a result, the output from the register 608b is T 1,1 + T 1,2 and the output from the register 610b is T 2,4 + b 3 x 2,3 .
  • cycle number 6 under the control of each selector, a value is stored in each register of arithmetic circuit 600b as shown in FIG.
  • the output from the register 608b is T 1,1 + T 1,2
  • the arithmetic circuit 600b repeats the cycle number 1 to the cycle number 6 and outputs the calculation result to the arithmetic circuit 600c. When the number of cycles 6 ends, the arithmetic circuit 600b similarly performs arithmetic processing on the next x 1 and x 2 .
  • the stored value of the register of the arithmetic circuit 600c, the coefficient read from the ROM 690, the signal supplied to the selector, and the output value from the arithmetic circuit 600c will be described with reference to FIG. Note that the stored value of the register of the arithmetic circuit 600c shown in FIG. 64 is supplied to the arithmetic circuit 600c after the arithmetic circuit 600b executes the rotation having the cycle number 1 to the cycle number 6.
  • the coefficients a 3 and 4 are read from the area 690b of the ROM 690.
  • the selectors 604c and 611c are supplied with a signal that outputs an input from “0” in FIG.
  • cycle number 2 under the control of each selector, a value is stored in each register of arithmetic circuit 600c as shown in FIG. Also, the coefficient b 3 is read from the area 690 b of the ROM 690.
  • the selectors 604c and 611c are supplied with a signal that outputs an input from “0” in FIG. As a result, the output from the register 608c is T 1,1 + T 1,2 + a 3,4 x 1,3 x 1,4 , and the output from the register 610c is T 2,4 + T 2,3 .
  • cycle number 3 under the control of each selector, a value is stored in each register of arithmetic circuit 600c as shown in FIG. Further, the coefficient b 2 is read from the area 690 b of the ROM 690.
  • the output from the register 610c is T 2,4 + T 2,3 .
  • the value is stored in each register of the arithmetic circuit 600c as shown in FIG. 64 by the control of each selector.
  • the coefficients a 2 and 4 are read from the area 690b of the ROM 690.
  • the selectors 604c and 611c are supplied with a signal that outputs an input from “1” in FIG. As a result, the output from the register 608c is T 1,1 + T 1,2 + T 1,3 , and the output from the register 610c is T 2,4 + T 2,3 + b 2 x 2,2 .
  • cycle number 5 under the control of each selector, a value is stored in each register of arithmetic circuit 600c as shown in FIG. Further, the coefficients a 2 and 3 are read from the area 690b of the ROM 690.
  • the selectors 604c and 611c are supplied with a signal that outputs an input from “1” in FIG. As a result, the output from the register 608c is T 1,1 + T 1,2 + T 1,3 , and the output from the register 610c is T 2,4 + T 2,3 + b 2 x 2,2 + a 2,4 x 2, 2 x 2,4 .
  • cycle number 6 under the control of each selector, a value is stored in each register of arithmetic circuit 600c as shown in FIG.
  • the output from the register 608c is T 1,1 + T 1,2 + T 1,3
  • the arithmetic circuit 600c repeats the cycle number 1 to the cycle number 6 and outputs the calculation result to the arithmetic circuit 600d. When the number of cycles 6 ends, the arithmetic circuit 600c similarly performs the arithmetic processing for the next x 1 and x 2 .
  • the stored value of the register of the arithmetic circuit 600d, the coefficient read from the ROM 690, the signal supplied to the selector, and the output value from the arithmetic circuit 600d will be described with reference to FIG. Note that the value stored in the register of the arithmetic circuit 600d shown in FIG. 65 is supplied to the arithmetic circuit 600d after the arithmetic circuit 600c performs the rotation of the cycle number 1 to the cycle number 6.
  • the coefficient b 4 is read from the area 690a of the ROM 690.
  • the selectors 604d and 611d are supplied with a signal that outputs an input from “0” in FIG.
  • cycle number 2 under the control of each selector, a value is stored in each register of arithmetic circuit 600d as shown in FIG. Further, the coefficient b 1 is read from the area 690 a of the ROM 690.
  • cycle number 3 under the control of each selector, a value is stored in each register of arithmetic circuit 600d as shown in FIG. Also, the coefficients a 1 and 4 are read from the area 690a of the ROM 690.
  • the selectors 604d and 611d are supplied with a signal that outputs an input from “1” in FIG. As a result, the output from the register 608d is T 1,1 + T 1,2 + T 1,3 + T 1,4 , and the output from the register 610d is T 2,4 + T 2,3 + T 2,2 + b 1 x 2, 1
  • the value is stored in each register of the arithmetic circuit 600d as shown in FIG. 65 by the control of each selector. Also, the coefficients a 1 and 3 are read from the area 690a of the ROM 690.
  • the selectors 604d and 611d are supplied with a signal that outputs an input from “1” in FIG. As a result, the output from the register 608d is T 1,1 + T 1,2 + T 1,3 + T 1,4 , and the output from the register 610d is T 2,4 + T 2,3 + T 2,2 + b 1 x 2, 1 + a 1,4 x 2,1 x 2,4 .
  • the value is stored in each register of the arithmetic circuit 600d as shown in FIG. 65 by the control of each selector. Further, the coefficients a 1 and 2 are read from the area 690a of the ROM 690.
  • the selectors 604d and 611d are supplied with a signal that outputs an input from “1” in FIG. As a result, the output T 1,1 + T 1,2 + T 1,3 + T 1,4 from the register 608d is obtained, and the output from the register 610d is T 2,4 + T 2,3 + T 2,2 + b 1 x 2,1. + A 1,4 x 2,1 x 2,4 + a 1,3 x 2,1 x 2,3
  • the value is stored in each register of the arithmetic circuit 600d as shown in FIG. 65 by the control of each selector.
  • the output from the register 608d is T 1,1 + T 1,2 + T 1,3 + T 1,4
  • the arithmetic circuit 600d repeats the cycle number 1 to the cycle number 6 and outputs the calculation results of f (x 1 ) and f (x 2 ). When the number of cycles 6 ends, the arithmetic circuit 600d similarly performs arithmetic processing on the next x 1 and x 2 .
  • the arithmetic circuit according to the embodiment # 3 divides the area of the ROM 690 in which the coefficients a ij and b i are stored into a plurality of parts, and calculates the quadratic polynomials f (x 1 ) and f (x 2 ). By making the processing pipeline, it is possible to relax restrictions on the arrangement of the ROM 690 and prevent a decrease in the maximum operating frequency.
  • the arithmetic circuit according to the embodiment # 3 since the output of a certain arithmetic circuit can be used as the input of the arithmetic circuit in the subsequent stage, the number of registers can be reduced in the order of shift registers 6011a, 6011b, 6011c, and 6011d. Therefore, the arithmetic circuit according to the embodiment # 3 can reduce the number of registers compared to a case where a plurality of arithmetic circuits according to the embodiment # 1 are simply provided in parallel.
  • FIG. 66 is an explanatory diagram illustrating the configuration of the arithmetic circuit according to the example # 4.
  • the arithmetic circuit shown in FIG. 66 calculates and outputs a quadratic polynomial when the input x is 4 bits.
  • the arithmetic circuit according to the embodiment # 4 includes the arithmetic circuits 700a, 700b, 700c, and 700d, and the ROM 790 that stores the coefficients.
  • the ROM 790 is divided into two areas 790a and 790b.
  • Arithmetic circuits 700a, 700b, 700c, 700 d has two inputs x 1, x 2 from the secondary multivariate polynomial f (x 1), a circuit for generating the f (x 2) in parallel.
  • the arithmetic circuit according to the embodiment # 3 performs the second-order multivariate polynomial f (x 1 ), f from the two inputs x 1 and x 2 by pipeline processing in the order of the four arithmetic circuits 600a, 600b, 600c, and 600d. It was designed to generate (x 2 ) in parallel.
  • the arithmetic circuit according to the embodiment # 4 converts the second-order multivariate polynomial f (x 1 ) from the input x 1 to the reverse pipeline by the pipeline processing in the order of the four arithmetic circuits 700a, 700b, 700c, and 700d.
  • the processing is designed to generate a second-order multivariate polynomial f (x 2 ) from the input x 2 in parallel.
  • the ROM 790 that stores the coefficients has 2 It is divided into two areas 790a and 790b.
  • the coefficients stored in the areas 790a and 790b are the same as those shown in FIG.
  • the arithmetic circuit 700a includes a shift register 701a, AND circuits 702a and 703a, a selector 704a, an AND circuit 705a, an XOR circuit 706a, selectors 707a and 709a, a register 708a, 710a and a selector 711a.
  • the shift register 701a includes a first shift register 7011a and a second shift register 7012a.
  • the configuration of the first shift register 7011a is substantially the same as the configuration of the first shift register 4011 shown in FIG. 35 except that the combination of registers that output values is different. However, the first shift register 7011a and the second shift register 7012a operate in cooperation in the same cycle.
  • the first shift register 7011a includes registers RA 1,1 , RA 1,2 , RA 1,3 , RA 1,4 , RA 1,5 , and selectors SA 1,1 , SA 1. , 2 , SA 1,3 , SA 1,4 , SA 1,5 .
  • the first shift register 7011a is configured to output the stored value from the registers RA 1,1 , RA 1,2 and RA 1,3 .
  • the second shift register 7012a includes registers RA 2,1 , RA 2,2 and selectors SA 2,1 , SA 2,2 .
  • the second shift register 7012a is configured to output the stored value from the registers RA 2,1 and RA 2,2 .
  • the values ya 1,1 , ya 1,2 , ya 1,3 output from the first shift register 7011a are input to the arithmetic circuit 700b in the subsequent stage. Further, the values ya 1 , 1 , ya 1 , 2 output from the first shift register 7011a are input to the AND circuit 702a as shown in FIG. The values ya 2,1 , ya 2,2 output from the second shift register 7012a are input to the AND circuit 703a.
  • the AND circuit 702a calculates the logical product of the input values ya 1 , 1 , ya 1 , 2 , and inputs the calculation result to the selector 704a.
  • the AND circuit 703a calculates a logical product of the input values ya 2 , 1 , ya 2 , 2 , and inputs the calculation result to the selector 704a.
  • the selector 704a selects one value from the two input values, and inputs the selection result to the AND circuit 705a.
  • the AND circuit 705a receives the coefficients a ij and b i together with the output value of the selector 704a.
  • the AND circuit 705a calculates the logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 706a.
  • the XOR circuit 706a receives an output value of the AND circuit 705a and an output value of a selector 711a described later.
  • the XOR circuit 706a performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 707a and 709a. This calculation result is stored in the register 708a or the register 710a depending on the state of the selectors 707a and 709a.
  • the stored values of the registers 708a and 710a are either input to the XOR circuit 706a or output from the arithmetic circuit 700a as the operation results za 1 and za 2 depending on the state of the selector 711a.
  • the value za 1 from the register 708a is input to the arithmetic circuit 700b at the subsequent stage.
  • the value za 2 from the register 710a is output from the arithmetic circuit as a second-order multivariable polynomial f (x 2 ).
  • the selectors 704a and 711a select and output one of the input values according to the value of selA described later.
  • the selector 707a selects and outputs either the output of the XOR circuit 706a, the value “0”, or the output of the register 708a.
  • the selector 709a selects and outputs either the output of the XOR circuit 706a, the value zb 2 supplied from the arithmetic circuit 700b, or the output of the register 710a.
  • 69 and 70 are explanatory diagrams showing a circuit configuration of the arithmetic circuit 700b.
  • the arithmetic circuit 700b includes a shift register 701b, AND circuits 702b and 703b, a selector 704b, an AND circuit 705b, an XOR circuit 706b, selectors 707b and 709b, a register 708b, 710b and a selector 711b.
  • the shift register 701b includes a first shift register 7011b and a second shift register 7012b.
  • the configuration of the first shift register 7011b is one less than that of the first shift register 7011a shown in FIG.
  • the configuration of the second shift register 7012b includes one register more than the configuration of the first shift register 7012a illustrated in FIG.
  • the first shift register 7011b and the second shift register 7012b operate in cooperation in the same cycle.
  • the first shift register 7011b includes registers RB 1,1 , RB 1,2 , RB 1,3 , RB 1,4 , and selectors SB 1,1 , SB 1,2 , SB 1. , 3 , SB 1 , 4 .
  • the first shift register 7011b is configured to output stored values from the registers RB 1,1 and RB 1,2 .
  • the second shift register 7012b includes registers RB 2,1 , RB 2,2 , RB 2,3 and selectors SB 2,1 , SB 2,2 , SB 2,3 .
  • the second shift register 7012b is configured to output the stored value from the registers RB 2,1 , RB 2,2 and RB 2,3 .
  • the values yb 1,1 , yb 1,2 output from the first shift register 7011b are input to the arithmetic circuit 700c at the subsequent stage. Further, the values yb 1,1 , yb 1 , 2 output from the first shift register 7011b are input to the AND circuit 702b as shown in FIG. Similarly, the values yb 2 and 2 output from the second shift register 7012b are input to the arithmetic circuit 700a at the subsequent stage. The values yb 2,1 , yb 2,2 output from the second shift register 7012b are input to the AND circuit 703b.
  • the AND circuit 702b calculates the logical product of the input values yb 1,1 , yb 1 , and 2 , and inputs the calculation result to the selector 704b.
  • the AND circuit 703b calculates a logical product of the input values yb 2,1 , yb 2,2 , and inputs the calculation result to the selector 704b.
  • the selector 704b selects one value from the two input values, and inputs the selection result to the AND circuit 705b.
  • the AND circuit 705b receives the coefficients a ij and b i together with the output value of the selector 704b.
  • the AND circuit 705b calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 706b.
  • the XOR circuit 706b receives an output value of the AND circuit 705b and an output value of a selector 711b described later.
  • the XOR circuit 706b performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 707b and 709a. This calculation result is stored in the register 708b or the register 710b depending on the state of the selectors 707b and 709b.
  • one of the stored values of the registers 708b and 710b is input to the XOR circuit 706b or output from the arithmetic circuit 700b as the operation results zb 1 and zb 2 depending on the state of the selector 711b.
  • the value zb 1 from the register 708b is input to the subsequent arithmetic circuit 700c.
  • the value zb 2 from the register 710b is input to the arithmetic circuit 700a at the subsequent stage.
  • the selectors 704b and 711b select and output one of the input values according to the value of selB described later.
  • the selector 707b selects and outputs either the output of the XOR circuit 706b, the value za 1 supplied from the arithmetic circuit 700a, or the output of the register 708b.
  • the selector 709b selects and outputs either the output of the XOR circuit 706b, the value zc 2 supplied from the arithmetic circuit 700c, or the output of the register 710b.
  • 71 and 72 are explanatory diagrams showing the circuit configuration of the arithmetic circuit 700c.
  • the arithmetic circuit 700c includes a shift register 701c, AND circuits 702c and 703c, a selector 704c, an AND circuit 705c, an XOR circuit 706c, selectors 707c and 709c, a register 708c, 710c and a selector 711c.
  • the shift register 701c includes a first shift register 7011c and a second shift register 7012c.
  • the configuration of the first shift register 7011c is one register less than that of the first shift register 7011b shown in FIG.
  • the second shift register 7012c has one more register than the first shift register 7012b illustrated in FIG.
  • the first shift register 7011c and the second shift register 7012c operate in cooperation in the same cycle.
  • the first shift register 7011c includes registers RC 1,1 , RC 1,2 and RC 1,3 and selectors SC 1,1 , SC 1,2 and SC 1,3.
  • the first shift register 7011c is configured to output a stored value from the registers RC 1,1 , RC 1,2 and RC 1,3 .
  • the second shift register 7012c includes a register RC 2,1, RC 2,2, RC 2,3 , RC 2,4, and selectors SC 2,1, SC 2,2, SC 2,3 , SC 2 and 4 .
  • the second shift register 7012c is configured to output a stored value from the registers RC 2,1 and RC 2,2 .
  • the value yc 1,1 output from the first shift register 7011c is input to the arithmetic circuit 700d at the subsequent stage. Further, the values yc 1,1 , yc 1 , 2 output from the first shift register 7011c are input to the AND circuit 702c as shown in FIG. Similarly, the values yc 2,1 , yc 2,2 output from the second shift register 7012c are input to the arithmetic circuit 700b at the subsequent stage. The values yc 2,1 , yc 2,2 output from the second shift register 7012c are input to the AND circuit 703c.
  • the AND circuit 702c calculates a logical product of the input values yc 1,1 , yc 1 , and 2 , and inputs the calculation result to the selector 704c.
  • the AND circuit 703c calculates a logical product of the input values yc 2,1 , yc 2,2 and inputs the calculation result to the selector 704c.
  • the selector 704c selects one value from the two input values, and inputs the selection result to the AND circuit 705c.
  • the AND circuit 705c receives the coefficients a ij and b i together with the output value of the selector 704c.
  • the AND circuit 705c calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 706c.
  • the XOR circuit 706c receives the output value of the AND circuit 705c and the output value of the selector 711c described later.
  • the XOR circuit 706c performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 707c and 709c. This calculation result is stored in the register 708c or the register 710c depending on the state of the selectors 707c and 709c.
  • either one of the stored values of the registers 708c and 710c is input to the XOR circuit 706c or output from the arithmetic circuit as the arithmetic results zc 1 and zc 2 depending on the state of the selector 711c.
  • the value zc 1 from the register 708c is input to the subsequent arithmetic circuit 700d.
  • the value zc 2 from register 710c is input to the subsequent calculating circuit 700b.
  • the selectors 704c and 711c select and output one of the input values according to the value of selC described later.
  • the selector 707c selects and outputs either the output of the XOR circuit 706c, the value zb 1 supplied from the arithmetic circuit 700b, or the output of the register 708c.
  • the selector 709c selects and outputs either the output of the XOR circuit 706c, the value zd 2 supplied from the arithmetic circuit 700d, or the output of the register 710c.
  • the arithmetic circuit 700d includes a shift register 701d, AND circuits 702d and 703d, a selector 704d, an AND circuit 705d, an XOR circuit 706d, selectors 707d and 709d, registers 708d, 710d and a selector 711d.
  • the shift register 701d includes a first shift register 6011d and a second shift register 7012d.
  • the configuration of the first shift register 7011d is one register less than that of the first shift register 7011c shown in FIG.
  • the configuration of the second shift register 7012d is one more register than the configuration of the first shift register 7012c illustrated in FIG.
  • the first shift register 7011d and the second shift register 7012d operate in cooperation in the same cycle.
  • the first shift register 7011d includes registers RD 1,1 and RD 1,2 and selectors SD 1,1 and SD 1,2 .
  • the first shift register 7011d is configured to output stored values from the registers RD 1,1 and RD 1,2 .
  • the second shift register 7012d includes registers RD 2,1 , RD 2,2 , RD 2,3 , RD 2,4 , RD 2,5 , and selectors SD 2,1 , SD 2,2 , SD 2,3. , SD 2,4 and SD 2,5 .
  • the second shift register 7012d is configured to output stored values from the registers RD 2,1 , RD 2,2 and RD 2,3 .
  • the values yd 1,1 , yd 1 , 2 output from the first shift register 7011d are input to the AND circuit 702d as shown in FIG.
  • the values yd 2,1 , yd 2,2 output from the second shift register 7012d are input to the AND circuit 703d.
  • the AND circuit 702d calculates a logical product of the input values yd 1,1 , yd 1 , and 2 , and inputs the calculation result to the selector 704d.
  • the AND circuit 703d calculates a logical product of the input values yd 2,1 , yd 2,2 and inputs the calculation result to the selector 704d.
  • the selector 704d selects one value from the two input values, and inputs the selection result to the AND circuit 705d.
  • the AND circuit 705d receives the coefficients a ij and b i together with the output value of the selector 704d.
  • the AND circuit 705d calculates a logical product of the input output value and the coefficient, and inputs the calculation result to the XOR circuit 706d.
  • the output value of the AND circuit 705d and the output value of the selector 711d described later are input to the XOR circuit 706d.
  • the XOR circuit 706d performs an exclusive OR operation on the two input values, and inputs the operation result to the selectors 707d and 709d. This calculation result is stored in the register 708d or the register 710d depending on the state of the selectors 707d and 709d.
  • one of the stored values of the registers 708d and 710d is input to the XOR circuit 706d or output from the arithmetic circuit as the operation results zd 1 and zd 2 depending on the state of the selector 711d.
  • the value zd 1 from register 708d corresponds to f (x 1 ).
  • the value zd 2 from register 710d is input to the subsequent calculating circuit 700c.
  • the selectors 704d and 711d select and output one of the input values according to the value of selD described later.
  • the selector 707d selects and outputs either the output of the XOR circuit 706d, the value zc 1 supplied from the arithmetic circuit 700c, or the output of the register 708d.
  • the selector 709d selects and outputs either the output of the XOR circuit 706d, the value “0”, or the output of the register 710d.
  • FIGS. 75 to 82 summarize the values stored in the registers of the arithmetic circuits 700a to 700d, the coefficients read from the ROM 690, the signals supplied to the selector, and the output values from the arithmetic circuits 700a to 700d, respectively.
  • 75 and 76 summarize the arithmetic circuit 700a
  • FIGS. 77 and 78 summarize the arithmetic circuit 700b
  • FIGS. 79 and 80 summarize the arithmetic circuit 700c.
  • 81 and 82 summarize the arithmetic circuit 700d.
  • the coefficients a 1 and 2 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the outputs from the registers 708a and 710d become zero.
  • the values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector. Further, the coefficients a 1 and 3 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from register 708a is next to a 1,2 x 1,1 x 1,2, output from register 710d becomes a 1,2 x 2,1 x 2,2.
  • the values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector. Also, the coefficients a 1 and 4 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from register 708a is a 1,2 x 1,1 x 1,2 + a 1,3 x 1,1 x 1,3
  • the output from the register 710d a 1,2 x 2,1 x the 2,2 + a 1,3 x 2,1 x 2,3 .
  • the values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector. Further, the coefficient b 1 is read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from register 708a is a 1,2 x 1,1 x 1,2 + a 1,3 x 1,1 x 1,3 + a 1,4 x 1,1 x 1,4 next, from register 710d the output of the a 1,2 x 2,1 x 2,2 + a 1,3 x 2,1 x 2,3 + a 1,4 x 2,1 x 2,4.
  • the values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector.
  • the coefficient b 4 is read from the area 790 a of the ROM 790.
  • the values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 76 and 81 by the control of each selector.
  • the output from the register 708a is T 1,1
  • the output from the register 710d is T 2,1 .
  • the arithmetic circuits 700a and 700d repeat the six cycles of the cycle number 1 to the cycle number 6 and output the operation results to the arithmetic circuits 700b and 700c, respectively. When the six cycles are completed, the arithmetic circuits 700a and 700d similarly perform the arithmetic processing for the next x 1 and x 2 respectively.
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector. Further, the coefficients a 2 and 3 are read from the area 790b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from the register 708b is T 1,1
  • the output from the register 710c is T 2,1 .
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector. Further, the coefficients a 2 and 4 are read from the area 790b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from the register 708b is T 1,1 + a 2,3 x 1,2 x 1,3
  • the output from the register 710c is T 2,1 + a 2,3 x 2,2 x 2,3 .
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector.
  • the coefficient b 2 is read from the area 790 b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from register 708b is T 1,1 + a 2,3 x 1,2 x 1,3 + a 2,4 x 1,2 x 1,4
  • the output from register 710c T 2,1 + a the 2,3 x 2,2 x 2,3 + a 2,4 x 2,2 x 2,4.
  • the arithmetic circuits 700b and 700c repeat these six cycles and output the calculation results to the arithmetic circuits 700c and 700b, respectively.
  • the arithmetic circuits 700a and 700d similarly perform arithmetic processing on values supplied from the arithmetic circuits 700a and 700d, respectively.
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector.
  • the registers RB 2,1 , RB 2,2 and RB 2,3 in which the value is not stored in the cycle number 6 + 1, the output value or “1” from the shift register 7012c of the arithmetic circuit 700c is stored.
  • the output value or “1” from the shift register 7012b of the arithmetic circuit 700b is stored in the registers RC 1,1 , RC 1,2 and RC 1,3 which have not been stored in the cycle number 6 + 1.
  • the coefficients a 2 and 3 are read from the area 790b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied.
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector. Further, the coefficients a 2 and 4 are read from the area 790b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied. As a result, as shown in FIGS.
  • the output from the register 708b is T 1,1 + a 2,3 x 1,2 x 1,3
  • the output from the register 710b is T 2,1 + T 2, 2
  • the output from the register 708c is T 1,1 + T 1,2
  • the output from the register 710c is T 2,1 + a 2,3 x 2,2 x 2,3 .
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector.
  • the coefficient b 2 is read from the area 790 b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “0” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “1” in FIG. Is supplied. As a result, as shown in FIGS.
  • the output from the register 708b is T 1,1 + a 2,3 x 1,2 x 1,3 + a 2,4 x 1,2 x 1,4 .
  • the output from 710b is T 2,1 + T 2,2
  • the output from register 708c is T 1,1 + T 1,2
  • the output from register 710c is T 2,1 + a 2,3 x 2,2 x 2,3 + a 2,4 x 2,2 x 2,4 .
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector. Further, the coefficient b 3 is read from the area 790 b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “1” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “0” in FIG. Is supplied. As a result, as shown in FIGS.
  • the output from the register 710b is T 2,1 + T 2,2
  • the output from the register 708c is T 1,1 + T 1,2
  • values are stored in the registers of the arithmetic circuits 700b and 700c as shown in FIGS. 77 and 79 by the control of each selector. Also, the coefficients a 3 and 4 are read from the area 790b of the ROM 790.
  • the selectors 704b and 711b are supplied with a signal that outputs an input from “1” in FIG. 70, and the selectors 704c and 711c have a signal that outputs an input from “0” in FIG. Is supplied. As a result, as shown in FIGS.
  • the output from the register 708b is T 1,1 + T 1,2
  • the output from the register 710b is T 2,1 + T 2,2 + b 3 x 2,3
  • the output from the register 708c is T 1,1 + T 1,2 + b 3 x 1,3
  • the output from the register 710c is T 2,1 + T 2,2 .
  • values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector.
  • the registers RA 2,1 and RA 2,2 where no value is stored in the number of cycles 1 to 2 ⁇ 6 + 6, the output value or “1” from the shift register 7012b of the arithmetic circuit 700b is stored.
  • the output value or “1” from the shift register 7012c of the arithmetic circuit 700c is stored in the registers RD 1,1 and RD 1 and 2 , in which no value is stored in the cycle number 1 to 2 ⁇ 6 + 6. .
  • the coefficients a 1 and 2 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from the register 708a is 0, the output from the register 710a is T 2,1 + T 2,2 + T 2,3 , and the output from the register 708d is T 1.
  • 1 + T 1,2 + T 1,3 , and the output from the register 710d is zero.
  • values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector. Further, the coefficients a 1 and 3 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied. As a result, as shown in FIGS.
  • the output from the register 708a is a 1,2 x 1,1 x 1,2
  • the output from the register 710a is T 2,1 + T 2,2 + T 2, 3
  • the output from the register 708d is T 1,1 + T 1,2 + T 1,3
  • the output from the register 710d is a 1,2 x 2,1 x 2,2 .
  • values are stored in the registers of the arithmetic circuits 700a and 700d as shown in FIGS. 75 and 81 by the control of each selector. Also, the coefficients a 1 and 4 are read from the area 790a of the ROM 790.
  • the selectors 704a and 711a are supplied with a signal that outputs an input from “0” in FIG. 68, and the selectors 704d and 711d have a signal that outputs an input from “1” in FIG. Is supplied.
  • the output from register 708a as shown in FIG. 76 and FIG.
  • the output from register 710a Is T 2,1 + T 2,2 + T 2,3
  • the output from the register 708d is T 1,1 + T 1,2 + T 1,3
  • the output from the register 710d is a 1,2 x 2,1 x the 2,2 + a 1,3 x 2,1 x 2,3 .
  • the output from the register 708a is a 1,2 x 1,1 x 1,2 + a 1,3 x 1,1 x 1,3 + a 1,4 x 1, 1 x 1,4
  • the output from register 710a is T 2,1 + T 2,2 + T 2,3
  • the output from register 708d is T 1,1 + T 1,2 + T 1,3
  • the output of register 710d the output of the a 1,2 x 2,1 x 2,2 + a 1,3 x 2,1 x 2,3 + a 1,4 x 2,1 x 2,4.
  • the output from the register 710a is T 2,1 + T 2,2 + T 2,3
  • the output from the register 708d is T 1,1 + T 1 , 2 + T 1,3
  • the output value T 2,1 + T 2,2 + T 2,3 + T 2,4 from the register 710a at the number of cycles 3 ⁇ 6 + 6 corresponds to f (x 2 ) as shown in the equation (19)
  • the output value T 1,1 + T 1,2 + T 1,3 + T 1,4 from the register 708d corresponds to f (x 1 ) as shown in Equation (18).
  • the arithmetic circuit according to the example # 4 divides the area of the ROM 790 in which the coefficients a ij and b i are stored into a plurality of parts, and calculates the quadratic polynomials f (x 1 ) and f (x 2 ).
  • the arithmetic circuit according to the embodiment # 4 is different from the arithmetic circuit according to the embodiment # 4 from the input x 1 by the pipeline processing in the order of the four arithmetic circuits 700a, 700b, 700c, and 700d.
  • the example of the arithmetic circuit when the input x is 4 bits and the coefficients a ij and b i are 1 ⁇ i ⁇ j ⁇ 4 has been described. It is not limited to.
  • the arithmetic circuit is simply As compared with the case where a plurality of registers are provided, it is possible to perform arithmetic processing in parallel while reducing the number of registers in the entire arithmetic circuit.
  • the ROM area is divided into 10 and 20 arithmetic circuits are arranged in parallel to form a pipeline. By doing so, it is possible to perform arithmetic processing in parallel while reducing the number of registers in the entire arithmetic circuit as compared to a case where a plurality of arithmetic circuits are simply provided.
  • the arithmetic circuit according to the example # 3 and the arithmetic circuit according to the example # 4 also execute the calculation of the multivariable polynomials F and G in parallel as in the arithmetic circuit according to the example # 2. It goes without saying that it can be expanded as well.
  • the functional configuration of the above device is expressed as follows.
  • the other shift registers output the stored values in a cycle in which the stored values are not output.
  • the circuit scale can be reduced.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register in which the first to N + 1 registers are stored, and the first shift register is moved.
  • the controller is Predetermining the first shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a pair of registers,
  • the other shift registers are configured while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x N ′,..., X 1 ′, c ′ are output.
  • the stored value is output from a predetermined pair of registers. Arithmetic unit.
  • a variable multiplier for multiplying two stored values output from each shift register; A selection unit that selects one from a plurality of output results from the variable multiplication unit; A coefficient multiplier that multiplies the output value of the selector by a predetermined coefficient; A first summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the first shift register; A second summing unit that adds all the output values of the coefficient multiplication unit related to the stored values output from the other shift registers; Further comprising The arithmetic unit according to (1) above.
  • the predetermined pair of registers in the first shift register are the first and second registers
  • the predetermined pair of registers in the other shift register are the first and N + 1th registers,
  • the control unit moves the stored values stored in the second to (N + 1) th registers while maintaining the stored value stored in the first register, and the first to N + 1th control values. And a second control process for moving all the stored values stored in the register, and controlling the shift register so that all combinations of the pair of stored values are output.
  • the arithmetic unit according to any one of (1) to (3) above.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift register stored in the first to N + 1 registers, respectively, and the first shift register is moved.
  • the stored value is output from a pair of registers,
  • the stored values are output from a predetermined pair of registers constituting the second and third shift registers while moving the stored values so that all combinations of possible pairs of stored values are output. Arithmetic unit.
  • a variable multiplier for multiplying two stored values output from each shift register; An output value of the variable multiplier based on the first stored value output from the second shift register and the second stored value output from the third shift register; and output from the second shift register in the previous period.
  • An adder that adds the second stored value that has been generated and the output value of the variable multiplier based on the first stored value output from the third shift register;
  • a selection unit that selects one of a plurality of output results from the variable multiplication unit and the addition unit;
  • a coefficient multiplier that multiplies the output value of the selector by a predetermined coefficient;
  • a first summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the first shift register;
  • a second summing unit for adding the output values of the coefficient multipliers related to the stored values output from the second and third shift registers; Further comprising The arithmetic unit according to (5) above.
  • the predetermined pair of registers in the first shift register are the first and second registers
  • the predetermined pair of registers in the second and third shift registers are the first and N + 1th registers
  • the control unit moves the stored values stored in the second to (N + 1) th registers while maintaining the stored value stored in the first register, and the first to N + 1th control values. And a second control process for moving all the stored values stored in the register, and controlling the shift register so that all combinations of the pair of stored values are output.
  • the arithmetic unit according to any one of (5) to (8) above.
  • the moving step Predetermining the first shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a pair of registers,
  • a process of outputting a stored value from a predetermined pair of registers is executed, Control method.
  • the stored value is output from a pair of registers,
  • a process of outputting stored values from a predetermined pair of registers constituting the second and third shift registers while moving the stored values so that all possible combinations of stored values are output is executed.
  • the control function is Predetermining the first shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a pair of registers,
  • the other shift registers are configured while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x N ′,..., X 1 ′, c ′ are output.
  • the stored value is output from a predetermined pair of registers. program.
  • the stored value is output from a pair of registers,
  • the stored values are output from a predetermined pair of registers constituting the second and third shift registers while moving the stored values so that all combinations of possible pairs of stored values are output. program.
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift registers in which the first to N + 1 registers are stored.
  • the plurality of arithmetic circuits are connected in series, and the first shift register and the second shift register are configured to execute pipeline processing in the same order,
  • the controller is Predetermining the first shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a pair of registers,
  • the second shift register is moved while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x M ′,..., X 1 ′, c ′ are output.
  • the stored value is output from a predetermined pair of registers to be configured,
  • the number N + 1 of the registers of the first shift register is configured to become smaller as it becomes a later arithmetic circuit in the pipeline processing. Arithmetic unit.
  • Each said arithmetic circuit is A variable multiplier for multiplying two stored values output from each shift register; A selection unit for selecting one from the output results from the variable multiplication unit; A coefficient multiplier that multiplies the output value of the selector by a predetermined coefficient; A first summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the first shift register; A second summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the second shift register; Further comprising The first summing unit and the second summing unit are added to the output value of the coefficient multiplying unit to a value summed by the first summing unit and the second summing unit in the arithmetic circuit in the previous stage in pipeline processing. Add more, The arithmetic unit according to (13) above.
  • the predetermined pair of registers in the first shift register are the first and second registers
  • the predetermined pair of registers in the second shift register are the first and M + 1th registers
  • the stored values x 1 ,..., X N , c (c is a predetermined number) are moved to the first shift registers in which the first to N + 1 registers are stored.
  • the plurality of arithmetic circuits are connected in series, and the first shift register and the second shift register are configured to execute pipeline processing in reverse order,
  • the controller is Predetermining the first shift register while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x 1 ,..., X N , c are output.
  • the stored value is output from a pair of registers,
  • the second shift register is moved while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x M ′,..., X 1 ′, c ′ are output.
  • the stored value is output from a predetermined pair of registers to be configured,
  • the number N + 1 of the first shift registers and the number M + 1 of the registers of the second shift register are configured so as to become smaller as it becomes a later arithmetic circuit in the pipeline processing. Arithmetic unit.
  • Each said arithmetic circuit is A variable multiplier for multiplying two stored values output from each shift register; A selection unit for selecting one from the output results from the variable multiplication unit; A coefficient multiplier that multiplies the output value of the selector by a predetermined coefficient; A first summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the first shift register; A second summing unit that adds all the output values of the coefficient multiplication unit related to the stored value output from the second shift register; Further comprising The first summing unit and the second summing unit are added to the output value of the coefficient multiplying unit to a value summed by the first summing unit and the second summing unit in the arithmetic circuit in the previous stage in pipeline processing. Add more, The arithmetic device according to (16) above.
  • x 1 ,..., x N , c move the stored value for the first shift register stored in the first to N + 1 registers, respectively, and are the same as the first shift register
  • the stored values x M ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are moved in the first to M + 1 registers, respectively, and the stored value is moved.
  • the plurality of arithmetic circuits are connected in series, and the first shift register and the second shift register are configured to execute pipeline processing in the same order, and the number of registers of the first shift register N + 1 is configured to decrease as the later arithmetic circuit in the pipeline processing becomes,
  • the stored value is output from a pair of registers
  • the second shift register is moved while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x M ′,..., X 1 ′, c ′ are output.
  • a process for outputting a stored value from a predetermined pair of registers to be configured is executed. Control method.
  • x 1 ,..., x N , c move the stored value for the first shift register stored in the first to N + 1 registers, respectively, and are the same as the first shift register
  • the stored values x M ′,..., X 1 ′, c ′ (c ′ is a predetermined number) are moved in the first to M + 1 registers, respectively, and the stored value is moved.
  • the plurality of arithmetic circuits are connected in series, and are configured to execute pipeline processing in the reverse order of the first shift register and the second shift register, and the register of the first shift register
  • the number N + 1 and the number M + 1 of the registers of the second shift register are configured so as to become smaller as it becomes a later arithmetic circuit in the pipeline processing.
  • the stored value is output from a pair of registers,
  • the second shift register is moved while moving the stored values so that all combinations of a pair of stored values that can be selected from the stored values x M ′,..., X 1 ′, c ′ are output.
  • a process for outputting a stored value from a predetermined pair of registers to be configured is executed. Control method.

Abstract

　第１～第Ｎ＋１のレジスタで構成される複数のシフトレジスタと、前記シフトレジスタについて格納値を移動させる制御部と、を備え、前記制御部は、前記格納値の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、演算装置が提供される。

Description

演算装置、制御方法、及びプログラム
　本技術は、演算装置、制御方法、及びプログラムに関する。
　情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。
　電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。
　ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。
　現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。
　多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ－Ｉｍａｉ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ　Ｆｉｅｌｄ　Ｅｑｕａｔｉｏｎ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ－Ｖｉｎｅｇａｒ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ　Ｔｒａｎｓｆｏｒｍａｔｉｏｎ　Ｍｅｔｈｏｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。
Ｊａｃｑｕｅｓ　Ｐａｔａｒｉｎ　Ａｓｙｍｍｅｔｒｉｃ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ｗｉｔｈ　ａ　Ｈｉｄｄｅｎ　Ｍｏｎｏｍｉａｌ．　ＣＲＹＰＴＯ　１９９６，　ｐｐ．４５－６０． Ｐａｔａｒｉｎ，　Ｊ．，　Ｃｏｕｒｔｏｉｓ，　Ｎ．，　ａｎｄ　Ｇｏｕｂｉｎ，　Ｌ．　ＱＵＡＲＴＺ，　１２８－Ｂｉｔ　Ｌｏｎｇ　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ．　Ｉｎ　Ｎａｃｃａｃｈｅ，Ｄ．，　Ｅｄ．　Ｔｏｐｉｃｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＣＴ－ＲＳＡ　２００１　（Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，　ＣＡ，　ＵＳＡ，　Ａｐｒｉｌ　２００１），　ｖｏｌ．　２０２０　ｏｆ　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ．，　ｐｐ．２８２－２９７．
　上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ１，…，ｘｎに関する多次多変数連立方程式Ｆ（ｘ１，…，ｘｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。
　トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ１，…，ｘｎに関する方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。
　上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ１，…，ｘｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。
　そこで、本件発明者は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な公開鍵認証方式及び電子署名方式を考案した（Ｋｏｉｃｈｉ　Ｓａｋｕｍｏｔｏ，Ｔａｉｚｏ　Ｓｈｉｒａｉ　ａｎｄ　Ｈａｒｕｎａｇａ　Ｈｉｗａｔａｒｉ，“Ｐｕｂｌｉｃ－Ｋｅｙ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　Ｓｃｈｅｍｅｓ　Ｂａｓｅｄ　ｏｎ　Ｍｕｌｔｉｖａｒｉａｔｅ　Ｑｕａｄｒａｔｉｃ　Ｐｏｌｙｎｏｍｉａｌｓ”，ＣＲＹＰＴＯ　２０１１，ＬＮＣＳ　６８４１，ｐｐ．７０６－７２３，２０１１．）。
　これらの公開鍵認証方式や電子署名方式においては、多変数多項式の演算が利用される。そのため、多変数多項式を効率的に演算する手法が求められている。例えば、これらの公開鍵認証方式や電子署名方式の中では、複数の入力について多変数多項式の演算結果を算出する工程が含まれる。しかし、各入力について個別に多変数多項式を演算する構成とすると、実装時の回路規模が大きくなってしまったり、クリティカルパスが長くなってしまうなど、小型化及び高速化の観点から改善の余地がある。本技術は、より小型で、高速に多変数多項式の演算を実現することが可能な、新規かつ改良された演算装置、制御方法、及びプログラムの提供を意図して考案されたものである。
　また、本技術のある観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御部と、を備え、前記制御部は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、演算装置が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御部と、を備え、前記制御部は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、演算装置が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる工程を含み、前記移動させる工程では、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、制御方法が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる工程を含み、前記移動させる工程では、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、制御方法が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、前記制御機能は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、プログラムが提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、前記制御機能は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、プログラムが提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、を備え、前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、前記制御部は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、演算装置が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、
を備え、前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、前記制御部は、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記第１のシフトレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、演算装置が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、前記移動させる工程では、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、制御方法が提供される。
　また、本技術の別の観点によれば、第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、前記移動させる工程では、前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、制御方法が提供される。
　また、本技術の別の観点によれば、上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。
　以上説明したように本技術によれば、より小型で、高速に多変数多項式の演算を実現することが可能な装置を提供することができるようになる。
公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 電子署名方式に係るアルゴリズムの構成について説明するための説明図である。 ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。 ３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 ５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。 本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。 多変数多項式の計算を実行する回路の構成について説明するための説明図である。 多変数多項式の計算を実行する回路の構成について説明するための説明図である。 多変数多項式の計算を実行する回路の構成について説明するための説明図である。 複数の多変数多項式を並列に計算する回路の構成について説明するための説明図である。 複数の多変数多項式を並列に計算する回路の構成について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（多ビット入力のセレクタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（多ビット入力のセレクタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（多ビット入力のセレクタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（多ビット入力のセレクタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（シフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃１）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃２）について説明するための説明図である。 記録メモリのデータ構造例を示す説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 記録メモリのデータ構造例を示す説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃３）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の構成（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 多変数多項式の計算を実行する回路の動作（実施例＃４）について説明するための説明図である。 図３５に示した演算回路４０１を複数個並列に配置する例を示す説明図である。
　以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。
　［説明の流れについて］
　ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。
　次いで、図４及び図５を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図６及び図７を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図８及び図９を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。次いで、図１０を参照しながら、本技術の実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。
　次いで、図１１～図１３を参照しながら、多変数多項式の計算を実行する回路の構成について説明する。次いで、図１４及び図１５を参照しながら、複数の多変数多項式を並列に計算する回路の構成について説明する。次いで、図１６～図１９を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（多ビット入力のセレクタを利用する構成例）について説明する。次いで、図２０～図２６を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（シフトレジスタを利用する構成例）について説明する。
　次いで、図２７～図３４を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（複数フィードバックループのシフトレジスタを利用する構成例）について説明する。次いで、図３５～図４２を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（実施例＃１）について説明する。次いで、図４３～図５０を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（実施例＃２）について説明する。次いで、図５１～図６５を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（実施例＃３）について説明する。次いで、図６６～図８２を参照しながら、多変数多項式の計算を実行する回路の構成及び動作（実施例＃４）について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。
　（説明項目）
　１：はじめに
　　　１－１：公開鍵認証方式のアルゴリズム
　　　１－２：電子署名方式のアルゴリズム
　　　１－３：ｎパスの公開鍵認証方式
　２：３パスの公開鍵認証方式に係るアルゴリズムの構成
　　　２－１：具体的なアルゴリズムの構成例
　　　２－２：並列化アルゴリズムの構成例
　３：５パスの公開鍵認証方式に係るアルゴリズムの構成
　　　３－１：具体的なアルゴリズムの構成例
　　　３－２：並列化アルゴリズムの構成例
　４：電子署名方式への変形
　　　４－１：３パスの公開鍵認証方式から電子署名方式への変形
　　　４－２：５パスの公開鍵認証方式から電子署名方式への変形
　５：ハードウェア構成例
　６：多変数多項式を計算する回路の構成
　　　６－１：概要
　　　６－２：多ビット入力のセレクタを利用する構成
　　　　　６－２－１：回路構成
　　　　　６－２－２：動作
　　　６－３：シフトレジスタを利用する構成＃１
　　　　　６－３－１：回路構成
　　　　　６－３－２：動作
　　　６－４：シフトレジスタを利用する構成＃２（フィードバックループ）
　　　　　６－４－１：回路構成
　　　　　６－４－２：動作
　　　６－５：実施例＃１（多変数多項式Ｆの計算）
　　　　　６－５－１：回路構成
　　　　　６－５－２：動作
　　　６－６：実施例＃２（多変数多項式Ｆ及びＧの計算）
　　　　　６－５－１：回路構成
　　　　　６－５－２：動作
　　　６－７：実施例＃３（多変数多項式Ｆの計算のパイプライン化）
　　　　　６－５－１：回路構成
　　　　　６－５－２：動作
　　　６－８：実施例＃４（多変数多項式Ｆの計算のパイプライン化）
　　　　　６－５－１：回路構成
　　　　　６－５－２：動作
　７：まとめ
　＜１：はじめに＞
　本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。
　［１－１：公開鍵認証方式のアルゴリズム］
　まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。
　公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋＡは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋＡは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知る者が証明者Ａ本人であるとみなされる。
　公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋＡに対応する秘密鍵ｓｋＡを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋＡを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。
　但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。
　１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋＡの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。
　安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。
　（モデル）
　公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。
　一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。
　なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１０に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。
Figure JPOXMLDOC01-appb-M000001
　（証明者アルゴリズムＰ）
　証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。
　（検証者アルゴリズムＶ）
　検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。
Figure JPOXMLDOC01-appb-M000002
　上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。
　以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。
　［１－２：電子署名方式のアルゴリズム］
　次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。
　紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。
　（モデル）
　電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。
　署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。
　なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１０に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。
Figure JPOXMLDOC01-appb-M000003
　（署名生成アルゴリズムＳｉｇ）
　署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。
Figure JPOXMLDOC01-appb-M000004
　（署名検証アルゴリズムＶｅｒ）
　署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。
Figure JPOXMLDOC01-appb-M000005
　以上、電子署名方式のアルゴリズムについて、その概要を説明した。
　［１－３：ｎパスの公開鍵認証方式］
　次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。
　上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。
　ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ２が証明者に送信される。さらに、ｋ＝３～ｎについて処理の実行及び情報Ｔｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。
　以上、ｎパスの公開鍵認証方式について説明した。
　＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
　以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。
　［２－１：具体的なアルゴリズムの構成例（図４）］
　まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、下記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
Figure JPOXMLDOC01-appb-M000006
　また、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））は、下記の式（７）のように表現することができる。また、Ａ１，…，Ａｍは、ｎ×ｎ行列である。さらに、ｂ１，…，ｂｍはそれぞれｎ×１ベクトルである。
Figure JPOXMLDOC01-appb-M000007
　この表現を用いると、多変数多項式Ｆは、下記の式（８）及び式（９）のように表現することができる。この表現が成り立つことは、下記の式（１０）から容易に確認することができる。
Figure JPOXMLDOC01-appb-M000008
　このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。以下、項Ｇ（ｘ，ｙ）を双線形項と呼ぶ場合がある。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。
　例えば、ベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ０）とＦ１（ｘ）との和は、下記の式（１１）のように表現される。ここで、ｔ１＝ｒ０＋ｔ０、ｅ１＝Ｆ（ｒ０）＋ｅ０とおけば、多変数多項式Ｆ２（ｘ）＝Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）は、ベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。そのため、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０に設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズの少ない効率的なアルゴリズムを実現することが可能になる。
Figure JPOXMLDOC01-appb-M000009
　なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性が担保される。以下、上記の論理に基づいて構築された３パス方式のアルゴリズムについて説明する。ここで説明する３パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。
　工程＃１：
　図４に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０，ｔ０∈Ｋｎ及びｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１←ｒ０－ｔ０を計算する。次いで、証明者アルゴリズムＰは、ｅ１←Ｆ（ｒ０）－ｅ０を計算する。
　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ１←Ｈ（ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、ｃ２←Ｈ（ｔ１，ｅ１）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１，ｃ２）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１，ｃ２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ０，ｔ１，ｅ１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ０，ｅ０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ１，ｔ１，ｅ１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｒ０－ｔ１，Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ１＝Ｈ（ｔ０，ｅ０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ１，ｙ－Ｆ（ｒ１）－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ２＝Ｈ（ｔ１，ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。
　［２－２：並列化アルゴリズムの構成例（図５）］
　次に、図５を参照しながら、図４に示した３パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　さて、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、図５を参照しながら、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　図５に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて以下の処理（１）～処理（６）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ１ｉ←ｒ０ｉ＋ｔ０ｉを計算する。
　処理（３）：証明者アルゴリズムＰは、ｅ１ｉ←Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ１ｉ，Ｇ（ｒ１ｉ，ｔ０ｉ）＋ｅ０ｉ）を計算する。
　処理（５）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（６）：証明者アルゴリズムＰは、ｃ２ｉ←Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。
　工程＃１（続き）
　ｉ＝１～Ｎについて上記の処理（１）～処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈｉに設定する。要求Ｃｈ１，…，ＣｈＮは、証明者アルゴリズムＰに送られる。
　工程＃３：
　要求Ｃｈ１，…，ＣｈＮを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ１，…，ＣｈＮのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ１，…，ＲｓｐＮを生成する。Ｃｈｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。Ｃｈｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を生成する。Ｃｈｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を生成する。
　工程＃３で生成された返答Ｒｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶに送られる。
　工程＃４：
　返答Ｒｓｐ１，…，ＲｓｐＮを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ１，…，ＲｓｐＮを利用して以下の処理（１）～処理（３）をｉ＝１～Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈｉ＝０の場合に処理（１）を実行し、Ｃｈｉ＝１の場合に処理（２）を実行し、Ｃｈｉ＝２の場合に処理（３）を実行する。
　処理（１）：Ｃｈｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ０ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ０ｉ－ｔ１ｉ，Ｆ（ｒ０ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（２）：Ｃｈｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ０ｉ，ｅ０ｉ，ｃ２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｔ０ｉ，ｅ０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（３）：Ｃｈｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐｉから（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ１ｉ，ｙ－Ｆ（ｒ１ｉ）－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ２ｉ＝Ｈ（ｔ１ｉ，ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を保持する。
　処理（１）～処理（３）をｉ＝１～Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。
　以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
　＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
　次に、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。
　３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。
　例えば、偽証確率を１／２ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３－１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２ｎ以下にしたい場合、５パス方式においては、ｎ／（１－ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。
　［３－１：具体的なアルゴリズムの構成例（図６）］
　まず、図６を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図６は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆｉ（ｘ）は、上記の式（６）のように表現されるものとする。また、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、２次多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。
　３パス方式に係るアルゴリズムと同様、２つのベクトルｔ０∈Ｋｎ、ｅ０∈Ｋｍを用いて、多変数多項式Ｆ（ｘ＋ｒ０）をマスクするために用いた多変数多項式Ｆ１（ｘ）をＦ１（ｘ）＝Ｇ（ｘ、ｔ０）＋ｅ０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ０）について、下記の式（１２）で表現される関係が得られる。
Figure JPOXMLDOC01-appb-M000010
　そのため、ｔ１＝ＣｈＡ・ｒ０＋ｔ０、ｅ１＝ＣｈＡ・Ｆ（ｒ０）＋ｅ０とすれば、マスク後の多変数多項式Ｆ２（ｘ）＝ＣｈＡ・Ｆ（ｘ＋ｒ０）＋Ｆ１（ｘ）も、２つのベクトルｔ１∈Ｋｎ、ｅ１∈Ｋｍにより表現することができる。これらの理由から、Ｆ１（ｘ）＝Ｇ（ｘ，ｔ０）＋ｅ０と設定すれば、Ｋｎ上のベクトル及びＫｍ上のベクトルを用いてＦ１及びＦ２を表現できるようになり、通信に必要なデータサイズが少ない効率的なアルゴリズムを実現することが可能になる。
　なお、Ｆ２（或いはＦ１）からｒ０に関する情報が一切漏れることはない。例えば、ｅ１及びｔ１（或いはｅ０及びｔ０）を与えられても、ｅ０及びｔ０（或いはｅ１及びｔ１）を知らない限り、ｒ０の情報を一切知ることはできない。従って、零知識性は担保される。以下、上記の論理に基づいて構築された５パス方式のアルゴリズムについて説明する。ここで説明する５パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。
　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ１（ｘ１，…，ｘｎ），…，ｆｍ（ｘ１，…，ｘｎ）、及びベクトルｓ＝（ｓ１，…，ｓｎ）∈Ｋｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ１，…，ｙｍ）←（ｆ１（ｓ），…，ｆｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ１，…，ｆｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ１，…，ｘｎ）をｘと表記し、多変数多項式の組（ｆ１（ｘ），…，ｆｍ（ｘ））をＦ（ｘ）と表記する。
　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図６を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図６に示したフローチャートに沿って説明を進める。
　工程＃１：
　図６に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ０∈Ｋｎ、ｔ０∈Ｋｎ、ｅ０∈Ｋｍを生成する。次いで、証明者アルゴリズムＰは、ｒ１←ｓ－ｒ０を計算する。この計算は、秘密鍵ｓをベクトルｒ０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ０，ｔ０，ｅ０のハッシュ値ｃ０を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ０，ｔ０，ｅ０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ０，ｒ１）＋ｅ０及びｒ１のハッシュ値ｃ１を生成する。つまり、証明者アルゴリズムＰは、ｃ０←Ｈ（ｒ１，Ｇ（ｔ０，ｒ１）＋ｅ０）を計算する。工程＃１で生成されたメッセージ（ｃ０，ｃ１）は、検証者アルゴリズムＶに送られる。
　工程＃２：
　メッセージ（ｃ０，ｃ１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡを選択し、選択した数ＣｈＡを証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡを受け取った証明者アルゴリズムＰは、ｔ１←ＣｈＡ・ｒ０－ｔ０を計算する。さらに、証明者アルゴリズムＰは、ｅ１←ＣｈＡ・Ｆ（ｒ０）－ｅ０を計算する。そして、証明者アルゴリズムＰは、ｔ１及びｅ１を検証者アルゴリズムＶに送る。
　工程＃４：
　ｔ１及びｅ１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢに設定する。この要求ＣｈＢは証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢを受け取った証明者アルゴリズムＰは、受け取った要求ＣｈＢに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。ＣｈＢ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ０を生成する。ＣｈＢ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。
　ＣｈＢ＝０の場合、検証者アルゴリズムＶは、ｒ０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ０＝Ｈ（ｒ０，ＣｈＡ・ｒ０－ｔ１，ＣｈＡ・Ｆ（ｒ０）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　ＣｈＢ＝１の場合、検証者アルゴリズムＶは、ｒ１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ１＝Ｈ１（ｒ１，ＣｈＡ・（ｙ－Ｆ（ｒ１））－Ｇ（ｔ１，ｒ１）－ｅ１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。
　［３－２：並列化アルゴリズムの構成例（図７）］
　次に、図７を参照しながら、図６に示した５パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。
　先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。
　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。
　工程＃１：
　図７に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて処理（１）～処理（４）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ０ｉ，ｔ０ｉ∈Ｋｎ及びｅ０ｉ∈Ｋｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ１ｉ←ｓ－ｒ０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ０ｉによりマスクする操作に相当する。
　処理（３）：証明者アルゴリズムＰは、ｃ０ｉ←Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ１ｉ←Ｈ（ｒ１ｉ，Ｇ（ｔ０ｉ，ｒ１ｉ）＋ｅ０ｉ）を計算する。
　ｉ＝１～Ｎについて処理（１）～処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。
　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数ＣｈＡｉを選択し、選択した数ＣｈＡｉ（ｉ＝１～Ｎ）を証明者アルゴリズムＰに送る。
　工程＃３：
　数ＣｈＡｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ－ｔ０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。次いで、証明者アルゴリズムＰは、ハッシュ値ｄ←Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を計算する。そして、証明者アルゴリズムＰは、ハッシュ値ｄを検証者アルゴリズムＶに送る。
　工程＃４：
　ハッシュ値ｄを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求ＣｈＢｉに設定する。要求ＣｈＢｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。
　工程＃５：
　要求ＣｈＢｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、受け取った要求ＣｈＢｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐｉを生成する。ＣｈＢｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）を生成する。ＣｈＢｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐｉ＝（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。
　工程＃６：
　返答Ｒｓｐｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐｉ（ｉ＝１～Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。
　処理（１）：ＣｈＢｉ＝０の場合、検証者アルゴリズムＶは、（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｃ１ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ０ｉ＝Ｈ（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ１ｉ←ＣｈＡｉ・ｒ０ｉ＋ｔ０ｉ、及びｅ１ｉ←ＣｈＡｉ・Ｆ（ｒ０ｉ）－ｅ０ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
　処理（２）：ＣｈＢｉ＝１の場合、検証者アルゴリズムＶは、（ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ）←Ｒｓｐｉを実行する。そして、検証者アルゴリズムＶは、ｃ１ｉ＝Ｈ（ｒ１ｉ，ＣｈＡｉ・（ｙ－Ｆ（ｒ１ｉ））－Ｇ（ｔ１ｉ，ｒ１ｉ）－ｅ１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ０ｉ，ｃ１ｉ，ｔ１ｉ，ｅ１ｉ）を保持する。
　ｉ＝１～Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。
　以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。
　＜４：電子署名方式への変形＞
　次に、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。
　公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。
　［４－１：３パスの公開鍵認証方式から電子署名方式への変形（図８）］
　まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。
　図８に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図５を参照）は、３回の対話及び４つの工程＃１～工程＃４で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、Ｃｈ１，…，ＣｈＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ１，…，ＣｈＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、Ｃｈ１，…，ＣｈＮ及びａ１，…，ａＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃４は、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを再生する処理（１）と、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する処理（２）とで構成される。
　上記の工程＃１～工程＃４で表現される公開鍵認証方式のアルゴリズムは、図８に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（５）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ，ｃ２ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（Ｃｈｉ，ａｉ）を計算する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ１，…，ＲｓｐＮ）を署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（３）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ１，…，ＣｈＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ１，…，ＣｈＮ及びＲｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを生成する。
　処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，ｃ２１，…，ｃ０Ｎ，ｃ１Ｎ，ｃ２Ｎ）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　［４－２：５パスの公開鍵認証方式から電子署名方式への変形（図９）］
　次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。
　図９に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図７を参照）は、５回の対話及び６つの工程＃１～工程＃６で表現される。
　工程＃１は、ｉ＝１～Ｎについて、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。
　工程＃２は、ＣｈＡ１，…，ＣｈＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈＡ１，…，ＣｈＡＮは、証明者アルゴリズムＰへと送られる。
　工程＃３は、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する処理、及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｄは、検証者アルゴリズムＶへと送られる。
　工程＃４は、ＣｈＢ１，…，ＣｈＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈＢ１，…，ＣｈＢＮは、証明者アルゴリズムＰへと送られる。
　工程＃５は、ＣｈＢ１，…，ＣｈＢＮ，ａ１，…，ａＮ，ｂ１，…，ｂＮを用いてＲｓｐ１，…，ＲｓｐＮを生成する処理で構成される。この処理をＲｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ１，…，ＲｓｐＮは、検証者アルゴリズムＶへと送られる。
　工程＃６は、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ，ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎを再生する処理と、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を検証する処理と、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を検証する処理とで構成される。
　上記の工程＃１～工程＃６で表現される公開鍵認証方式のアルゴリズムは、図９に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。
　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（７）で構成される。
　処理（１）：署名生成アルゴリズムＳｉｇは、ａｉ＝（ｒ０ｉ，ｔ０ｉ，ｅ０ｉ，ｒ１ｉ，ｔ１ｉ，ｅ１ｉ，ｃ０ｉ，ｃ１ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１～Ｎについて、ｂｉ＝（ｔ１ｉ，ｅ１ｉ）を生成する。さらに、署名生成アルゴリズムＳｉｇは、ｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ）を算出する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形してもよい。
　処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐｉ←Ｓｅｌｅｃｔ（ＣｈＢｉ，ａｉ，ｂｉ）を計算する。
　処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｄ，Ｒｓｐ１，…，ＲｓｐＮ）を電子署名に設定する。
　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（４）で構成される。
　処理（１）：署名検証アルゴリズムＶｅｒは、（ＣｈＡ１，…，ＣｈＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（Ｍ，Ｃｍｔ，ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）と変形した場合、署名検証アルゴリズムＶｅｒは、（ＣｈＢ１，…，ＣｈＢＮ）←Ｈ（ＣｈＡ１，…，ＣｈＡＮ，ｄ）を計算する。
　処理（３）：署名検証アルゴリズムＶｅｒは、ＣｈＡ１，…，ＣｈＡＮ，ＣｈＢ１，…，ＣｈＢＮ，Ｒｓｐ１，…，ＲｓｐＮを用いてｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを生成する。
　処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎを用いてＣｍｔ＝Ｈ（ｃ０１，ｃ１１，…，ｃ０Ｎ，ｃ１Ｎ）及びｄ＝Ｈ（ｔ１１，ｅ１１，…，ｔ１Ｎ，ｅ１Ｎ，）を検証する。
　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。
　＜５：ハードウェア構成例（図１０）＞
　上記の各アルゴリズムは、例えば、図１０に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図１０に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ　Ｈａｎｄｙ－ｐｈｏｎｅ　Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔの略である。
　図１０に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙの略である。
　ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。
　これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。
　出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ　Ｒａｙ　Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ　ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ　Ｄｉｓｐｌａｙの略である。
　記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略である。
　ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ－ｒａｙメディア、ＨＤ　ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略である。
　接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ－２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ　Ｃｏｍｐｕｔｅｒ　Ｓｙｓｔｅｍ　Ｉｎｔｅｒｆａｃｅの略である。
　通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ　ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ　Ｄｉｇｉｔａｌ　Ｓｕｂｓｃｒｉｂｅｒ　Ｌｉｎｅの略である。
　＜６：多変数多項式を計算する回路の構成＞
　ここで、多次多変数多項式を計算する回路の構成について説明する。
　［６－１：概要（図１１～図１５）］
　これまで紹介してきた公開鍵認証方式及び電子署名方式を含め、多次多変数多項式の求解問題に安全性の根拠を置く公開鍵認証方式及び電子署名方式を機器に実装する場合、多次多変数多項式を計算する回路の設計が必要になる。特に、図４～図９に示した方式を実装する場合、例えば、入力ｘ１，ｘ２∈｛０，１｝ｎに対し、二次多変数多項式Ｆ（ｘ１）＝（ｆ１（ｘ１），…，ｆｍ（ｘ１））、Ｆ（ｘ２）＝（ｆ１（ｘ２），…，ｆｍ（ｘ２））を計算する回路の設計が必要になる。
　上記のような回路を設計する場合、例えば、処理速度、回路規模、電力消費などの評価項目に注意して回路が設計される。ここで言う処理速度は、例えば、最大動作周波数及び処理サイクル数に基づいて評価される。また、最大動作周波数は、回路内で信号の伝搬が最も遅くなる経路（クリティカルパス）の長さにより決定する。また、回路規模は、設計自由度や製造コストなどの観点から小さい程よいとされる。また、電力消費は、実装機器のバッテリ持続時間や熱設計の自由度など、様々な観点から重要視される。
　これら全ての評価項目において高い評価が得られるように回路を設計することが望ましいが、ここでは処理速度及び回路規模の評価項目に注目して良好な特性を有する演算回路の構成について紹介する。
　（１本の二次多変数多項式ｆを計算する回路について）
　例えば、二次多変数多項式ｆ（ｘ）は、下記の式（１３）のように表現される。但し、ｘ＝（ｘ１，…，ｘＮ）である。つまり、二次多変数多項式ｆ（ｘ）の計算は、ａｉｊｘｉｘｊ及びｂｉｘｉの項を全て足し合わせる演算に他ならない。従って、演算回路の動作サイクルに合わせて各項の計算値（以下、中間値）を足し込んでいく回路を設計すれば、二次多変数多項式ｆ（ｘ）を計算する回路を構築することができる。
Figure JPOXMLDOC01-appb-M000011
　例えば、上記の式（１３）で表現される１つの二次多変数多項式ｆ（ｘ）を計算する回路は、図１１に示すように、中間値生成回路１１、ＸＯＲ回路１２、及び中間値保持回路１３により構成される。中間値生成回路１１は、ａｉｊｘｉｘｊ及びｂｉｘｉの項を計算して中間値を生成する回路である。また、ＸＯＲ回路１２は、中間値生成回路１１が生成した各項の中間値を足し込むための回路である。さらに、中間値保持回路１３は、ＸＯＲ回路１２を用いて足し込まれた結果を一時的に保持する回路である。
　このような回路構成にすることで、中間値生成回路１１により生成された中間値が都度足し込まれ、最終的に二次多変数多項式ｆ（ｘ）の演算結果が得られる。また、全ての項の演算に関して足し込む回路が共有できるため、回路規模が小さく抑えられる。
　また、中間値生成回路１１は、例えば、図１２に示すように、変数生成回路２１と、ＡＮＤ回路２２とを用いて構築される。変数生成回路１２は、サイクル毎に入力に応じた各項の変数ｘｉｘｊ又はｘｉを生成する。また、ＡＮＤ回路２２は、変数生成回路１２により生成された各項の変数ｘｉｘｊ又はｘｉの値と、当該各項の係数ａｉｊ又はｂｉの値との間で１ビットの論理積演算を実行する。
　このような回路構成にすることで、全ての項の演算に関してＡＮＤ回路２２が共有できるようになり、回路規模を小さく抑えることが可能になる。なお、ＡＮＤ回路２２に入力される係数の値は、例えば、図１３に示すような形式で記録メモリ（ＲＯＭやＲＡＭなど）に予め格納されているものとする。そのため、所望のタイミングで所望のアドレスにアクセスすることで、所望の係数の値を得ることができる。
　（複数本の二次多変数多項式ｆｉ（ｉ＝１～ｍ）を計算する回路について）
　ところで、二次多変数多項式Ｆ（ｘ）＝（ｆ１（ｘ），…，ｆｍ（ｘ））の演算を実行する場合、あるｘｉｘｊ又はｘｊに関する項の演算が、ｆ１（ｘ），…，ｆｍ（ｘ）のそれぞれについて１つ含まれていることに気づくであろう。そのため、処理サイクル数を低減させる観点からは、一度にｍ本の二次多変数多項式ｆ１（ｘ），…，ｆｍ（ｘ）の係数ａ１ｉｊ，…，ａｍｉｊ又はｂ１ｉ，…、ｂｍｉを生成しておき、ある変数ｘｉｘｊ又はｘｊに関する項の演算を並列に実行できるようにする方が好ましい。
　例えば、図１４に示すように、演算回路は、１つの変数生成回路３１と、複数のＡＮＤ回路３２、３５と、複数の乗算器３３、３６と、複数の中間値保持回路３４、３７とにより構築することができる。この場合、変数生成回路３１により１度生成された変数ｘｉｘｊ又はｘｊは、二次多変数多項式ｆ１（ｘ），…，ｆｍ（ｘ）の演算に並列で利用される。なお、係数ａ１ｉｊ，…，ａｍｉｊ又はｂ１ｉ，…、ｂｍｉは、図１５に示すような形式で記録メモリ（ＲＯＭやＲＡＭなど）に予め格納されているものとする。そのため、所望のタイミングで所望のアドレスにアクセスすることで、ｆ１（ｘ），…，ｆｍ（ｘ）に関する所望の係数の値を一度に得ることができる。
　このような構成にすることで、ｍ本の二次多変数多項式ｆ１（ｘ），…，ｆｍ（ｘ）を並列に計算することが可能になり、処理サイクル数が低減される。以下では、１本の二次多変数多項式ｆｉに注目して説明を進めるが、例えば、図１４に示すような形で回路を設計することにより、ｍ本の二次多変数多項式ｆ１（ｘ），…，ｆｍ（ｘ）を並列に計算する回路を構築することが可能になる。
　（演算回路の構成例について）
　上記のような演算回路の構成としては、多ビット入力のセレクタを利用した回路構成やシフトレジスタを利用した回路構成などを適用することが可能である。多ビット入力のセレクタを利用した回路構成については、例えば、参考文献１（Ｄａｖｉｄ　Ａｒｄｉｔｔｉ，　Ｃｏｍｅ　Ｂｅｒｂａｉｎ，　Ｏｌｉｖｉｅｒ　Ｂｉｌｌｅｔ，　Ｈｅｎｒｉ　Ｇｉｌｂｅｒｔ，”Ｃｏｍｐａｃｔ　ＦＰＧＡ　Ｉｍｐｌｅｍｅｎｔａｔｉｏｎｓ　ｏｆ　ＱＵＡＤ”，　ＡＳＩＡＣＣＳ’０７，　Ｍａｒｃｈ　２０－２２，　２００７，　Ｓｉｎｇａｐｏｒｅ．）に記載がある。
　また、シフトレジスタを利用した回路構成については、例えば、参考文献２（Ａｎｄｒｅｙ　Ｂｏｇｄａｎｏｖ，　Ｔｈｏｍａｓ　Ｅｉｓｅｎｂａｒｔｈ，　Ａｎｄｙ　Ｒｕｐｐ，　ａｎｄ　Ｃｈｒｉｓｔｏｐｈｅｒ　Ｗｏｌｆ，”Ｔｉｍｅ－Ａｒｅａ　Ｏｐｔｉｍｉｚｅｄ　Ｐｕｂｌｉｃ－Ｋｅｙ　Ｅｎｇｉｎｅｓ：　ＭＱ－Ｃｒｙｐｔｏｓｙｓｔｅｍｓ　ａｓ　Ｒｅｐｌａｃｅｍｅｎｔ　ｆｏｒ　Ｅｌｌｉｐｔｉｃ　Ｃｕｒｖｅｓ？”，　ＣＨＥＳ　２００８，　ＬＮＣＳ　５１５４，　ｐｐ．４５－６１，　２００８．）に記載がある。但し、参考文献２では、シフトレジスタにフィードバックループを導入した回路構成が紹介されている。
　なお、参考文献１及び２に記載の回路構成は、１つの入力ｘ∈｛０，１｝ｎについて二次多変数多項式ｆ（ｘ）を計算するものである。そのため、２つの入力ｘ１，ｘ２∈｛０，１｝ｎについて二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を計算するには、２つの演算回路を並列に動作させるか、或いは、１つの演算回路を２回動作させる必要がある。また、以下で詳細に述べるが、参考文献１及び２に記載の回路構成は、処理速度又は回路規模の観点からも改善の余地がある。そこで、本件発明者は、複数の入力について、より効率的に二次多変数多項式を計算する演算回路の構成（後述する実施例＃１及び＃２を参照）を考案した。以下、これらの回路構成について詳細に説明する。
　［６－２：多ビット入力のセレクタを利用する構成］
　まず、多ビット入力のセレクタを利用した演算回路の構成について述べる。
　（６－２－１：回路構成（図１６～図１８））
　多ビット入力のセレクタを利用した演算回路は、二次多変数多項式ｆ（ｘ）を構成する各項の変数ｘｉｘｊ又はｘｉを生成する第１の回路部分（図１６及び図１７を参照）と、各項の変数に係数ａｉｊ又はｂｊを乗算した中間値を足し込んで演算結果ｚを出力する第２の回路部分（図１８を参照）とで構成される。
　図１６に示すように、第１の回路部分は、入力ｘ＝（ｘ１，…，ｘｎ）を保持しているレジスタ１０１と、ｎビットの入力に対して１ビットを出力する２つのセレクタ１０２、１０３と、ＡＮＤ回路１０４とにより構成される。また、レジスタ１０１は、図１７に示すように、レジスタＲ１，…，Ｒｎ及びセレクタＳ１，…，Ｓｎにより構成される。レジスタＲ１，…，Ｒｎには、最初のサイクルで、それぞれセレクタＳ１，…，Ｓｎを介してｘ１，…，ｘｎが格納される。そして、任意のタイミングでレジスタＲ１，…，Ｒｎに格納されたｘ１，…，ｘｎがｙ１，…，ｙｎとして出力される。
　レジスタ１０１の出力値ｙ１，…，ｙｎは、図１６に示すように、セレクタ１０２、１０３に入力される。セレクタ１０２は、入力された値ｙ１，…，ｙｎから、それぞれ１つの値を選択してＡＮＤ回路１０４に入力する。また、セレクタ１０３は、入力された値ｙ２，…，ｙｎ，及び定数「１」から、それぞれ１つの値を選択してＡＮＤ回路１０４に入力する。ＡＮＤ回路１０４は、入力された２つの値に論理積演算を施してｘｉｘｊ又はｘｉを出力する。ＡＮＤ回路１０４の出力値は、図１８に示すように、第２の回路部分を構成するＡＮＤ回路１０５に入力される。なお、第２の回路部分は、図１８に示すように、ＡＮＤ回路１０５の他、ＸＯＲ回路１０６及びレジスタ１０７を含む。また、図１８に示した配線の幅は、全て１ビットである。
　上記のＡＮＤ回路１０５には、ＡＮＤ回路１０４の出力値と共に係数ａｉｊ又はｂｉが入力される。そして、ＡＮＤ回路１０５の出力値（中間値）は、ＸＯＲ回路１０６に入力される。このＸＯＲ回路１０６には、中間値と共にレジスタ１０７の格納値が入力される。ＸＯＲ回路１０６は、入力された２つの値に対して排他的論理和演算を施し、その演算結果（中間値）をレジスタ１０７に入力する。二次多変数多項式ｆ（ｘ）を構成する全ての項について中間値の足し込みが完了した場合、レジスタ１０７に格納された値が演算結果ｚとして出力される。
　以上、多ビット入力のセレクタを利用した演算回路の回路構成について説明した。
　（６－２－２：動作（図１９））
　次に、図１９を参照しながら、演算回路の動作について説明する。なお、図中において配線を鎖線で示した部分は、該当するサイクルにおいて実質的に信号が流れないように制御されていることを表している。一方、図中において配線を実線で示した部分は、該当するサイクルにおいて信号が流れるように制御されていることを表している。このような信号経路の制御は、セレクタＳ１，…，Ｓｎを制御することで実現される。
　図１９に示すように、最初のサイクル（Ｐ１）では、レジスタ１０１を構成するレジスタＲ１，…，Ｒｎに入力ｘ∈｛０，１｝ｎが格納される。以降のサイクル（Ｐ２）では、レジスタＲ１，…，Ｒｎの格納値が保持された状態で、レジスタＲ１，…，Ｒｎの格納値ｘ１，…，ｘｎがｙ１，…，ｙｎとして出力される。上述した通り、ｙ１，…，ｙｎ，及び定数「１」から値を選択する処理は、ｎビット入力のセレクタ１０２、１０３により実行される。また、二次多変数多項式ｆ（ｘ）に含まれる一次の項を計算する際には、セレクタ１０２、１０３の一方から「１」が出力されるようにする。
　以上、多ビット入力のセレクタを利用した演算回路の動作について説明した。
　以上説明したように、多ビット入力のセレクタを利用することにより、二次多変数多項式ｆ（ｘ）の演算回路を構築することができる。しかし、多ビット入力のセレクタを利用しているため、クリティカルパスが長くなり、最大動作周波数が低下してしまう。また、多ビット入力のセレクタを実装すると、回路規模が増大してしまう。さらに、多ビット入力のセレクタを利用した演算回路を並列に実装することで、複数の入力について二次多変数多項式ｆ（ｘ）を計算する演算回路を構築する場合、ＡＮＤ回路及びＸＯＲ回路を複数組用意する必要が生じる。これらの点については改善の余地がある。
　［６－３：シフトレジスタを利用する構成＃１］
　次に、シフトレジスタを利用した演算回路の構成について述べる。シフトレジスタを利用した演算回路の場合、多ビット入力のセレクタを含まず、シフトレジスタの出力をそのまま利用して中間値を生成できるため、最大動作周波数の低下や回路規模の増大を抑制することができる。
　（６－３－１：回路構成（図２０～図２２））
　シフトレジスタを利用した演算回路は、二次多変数多項式ｆ（ｘ）を構成する各項の変数ｘｉｘｊ又はｘｉを生成する第１の回路部分（図２０及び図２１を参照）と、各項の変数に係数ａｉｊ又はｂｊを乗算した中間値を足し込んで演算結果ｚを出力する第２の回路部分（図２２を参照）とで構成される。
　第１の回路部分は、図２０に示すように、シフトレジスタ２０１と、ＡＮＤ回路２０２とにより構成される。また、シフトレジスタ２０１は、図２１に示すように、セレクタＳ１，…，Ｓｎ＋１及びレジスタＲ１，…，Ｒｎ＋１により構成される。なお、セレクタＳ１及びＳｎ＋１は、「３ビット入力：１ビット出力」のレジスタである。また、セレクタＳ２，…，Ｓｎは、「２ビット入力：１ビット出力」のレジスタである。また、配線の幅は全て１ビットである。
　また、第２の回路部分は、図２２に示すように、ＡＮＤ回路２０３と、ＸＯＲ回路２０４と、レジスタ２０５とにより構成される。ＡＮＤ回路２０３には、第１の回路部分を構成するＡＮＤ回路２０２の出力値と、係数ａｉｊ又はｂｉとが入力される。また、ＡＮＤ回路２０３の出力値は、ＸＯＲ回路２０４に入力される。また、ＸＯＲ回路２０４には、ＡＮＤ回路２０３の出力値と共に、レジスタ２０５に格納された格納値が入力される。また、レジスタ２０５の格納値は、ＸＯＲ回路２０４の出力値により更新される。そして、入力ｘの全ての組み合わせについて足し込み処理が完了した場合に、レジスタ２０５の格納値が演算結果ｚとして出力される。
　以上、シフトレジスタを利用した演算回路の回路構成について説明した。
　（６－３－２：動作（図２３～図２６））
　次に、図２３～図２６を参照しながら、演算回路の動作について説明する。なお、図中において配線を鎖線で示した部分は、該当するサイクルにおいて実質的に信号が流れないように制御されていることを表している。一方、図中において配線を実線で示した部分は、該当するサイクルにおいて信号が流れるように制御されていることを表している。このような信号経路の制御は、セレクタＳ１，…，Ｓｎ＋１を制御することで実現される。
　図２３に示すように、最初のサイクル（Ｐ１）で、シフトレジスタ２０１を構成するレジスタＲ１，…，Ｒｎに入力ｘ∈｛０，１｝ｎが格納される。このとき、レジスタＲｎ＋１には、値「１」が格納される。ここで格納された値「１」は、二次多変数多項式ｆ（ｘ）に含まれる一次の項を計算するために利用される。次のサイクル（Ｐ２）では、レジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ２０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ２０１から出力される。
　さらに、レジスタＲ２，…，Ｒｎ＋１において格納値のローテーションが実施される。具体的には、レジスタＲ２に格納されていた１ビットの値ｘ２がレジスタＲｎ＋１に移動し、レジスタＲ３，…，Ｒｎ＋１に格納されていた１ビットの値ｘ３，…，ｘｎ，１がレジスタＲ２，…，Ｒｎに移動する。その結果、レジスタＲ１，…，Ｒｎ＋１には、それぞれ、１ビットの値ｘ１，ｘ３，…，ｘｎ，１，ｘ２が格納された状態になる。なお、シフトレジスタ２０１から出力された２つの値ｙ１，ｙ２は、ＡＮＤ回路２０２に入力され、ＡＮＤ回路２０３、ＸＯＲ回路２０４を経てレジスタ２０５に格納される（図２２を参照）。
　次のサイクル（Ｐ３）では、図２４に示すように、レジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ２０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ２０１から出力される。さらに、レジスタＲ２，…，Ｒｎ＋１において格納値のローテーションが実施される。同様にして、以降のサイクル（Ｐ４）では、ｙ１，ｙ２の出力及び格納値のローテーションが繰り返し実施される。
　但し、図２５に示すように、レジスタＲ１，…，Ｒｎ＋１に、それぞれ、１ビットの値ｘ１，ｘ２，…，ｘｎ，１が格納された状態になった段階（Ｐ５）で、レジスタＲ１，…，Ｒｎ＋１において格納値のローテーションが実施される（Ｐ６）。その結果、レジスタＲ１，…，Ｒｎ＋１には、それぞれ、１ビットの値ｘ２，ｘ３，…，ｘｎ，１，ｘ１が格納された状態になる。
　以降のサイクルでは、再びレジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ２０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ２０１から出力される。さらに、レジスタＲ２，…，Ｒｎ＋１において格納値のローテーションが実施される。このように、シフトレジスタ２０１は、レジスタＲ２，…，Ｒｎ＋１における格納値のローテーションと、レジスタＲ１，…，Ｒｎ＋１における格納値のローテーションとを組み合わせ、出力される２つの値ｙ１，ｙ２の組み合わせを制御する。
　入力ｘが４ビットの場合（ｎ＝４の場合）について、各サイクルにおける出力値ｙ１，ｙ２、及びレジスタＲ１，…，Ｒ５の格納値を図２６に纏めた。図２６を参照しながら、演算回路の動作について具体的に説明する。
　まず、最初のサイクル（サイクル数１）において、レジスタＲ１，…，Ｒ５に入力ｘ１，…，ｘ４，１が格納される。次いで、レジスタＲ１，Ｒ２から格納値ｘ１，ｘ２が出力値ｙ１，ｙ２として出力される。これら出力値ｙ１，ｙ２は、ＡＮＤ回路２０２に入力される。次いで、ＡＮＤ回路２０２により論理和ｙ＝ｘ１ｘ２が算出される。そして、論理和ｙがＡＮＤ回路２０３に入力される。次いで、ＡＮＤ回路２０３により係数ａ１２との間で論理積が計算され、レジスタ２０５に格納される。
　次のサイクル（サイクル数２）では、レジスタＲ２，…，Ｒ５において格納値のローテーションが実施され、それぞれ格納値がｘ３，ｘ４，１，ｘ２に更新される。そのため、シフトレジスタ２０１の出力値ｙ１，ｙ２は、それぞれｘ１，ｘ３となる。同様に、サイクル数３及び４において、レジスタＲ２，…，Ｒ５における格納値のローテーションが実施され、サイクル毎にシフトレジスタ２０１から値ｙ１，ｙ２が出力される。
　次のサイクル（サイクル数５）では、レジスタＲ１，…，Ｒ５の格納値がそれぞれｘ１，…，ｘ４，１となっており、そのままレジスタＲ１，Ｒ２から格納値を出力すると、既に出力した値ｘ１，ｘ２が出力されてしまう。そこで、ＡＮＤ回路２０３において本来係数ａｉｊ，ｂｉが入力されるところに「０」を入力することや、レジスタ２０５の格納値を更新させないような機能を追加するなどの工夫を行い、レジスタ２０５の格納値を保持する。その際、レジスタＲ１，…，Ｒ５においてローテーションを実施する。ローテーションを実施すると、レジスタＲ１，…，Ｒ５の格納値は、サイクル数５＋１の欄に記載した通り、それぞれｘ２，ｘ３，ｘ４，１，ｘ１という順序になる。そこで、シフトレジスタ２０１は、レジスタＲ１，Ｒ２から格納値を出力する。
　次いで、サイクル数５＋１～５＋４に記載した通り、シフトレジスタ２０１は、レジスタＲ２，…，Ｒ５において格納値のローテーションを実施しつつ、レジスタＲ１，Ｒ２から格納値を出力する。但し、サイクル数５＋４のときは、レジスタ２０５の格納値は更新しない。次いで、サイクル数５の場合と同様、レジスタ２０５の格納値は更新せず、レジスタＲ１，…，Ｒ５の格納値を整列させるためにレジスタＲ１，…，Ｒ５の格納値をローテーションする。
　以降、シフトレジスタ２０１は、レジスタＲ１，Ｒ２からの出力を伴うレジスタＲ２，…，Ｒ５のローテーションと、レジスタＲ１，Ｒ２からの出力を伴わないレジスタＲ２，…，Ｒ５のローテーションと，レジスタＲ１，Ｒ２からの出力を伴わないレジスタＲ１，…，Ｒ５のローテーションとを実施して格納値の全組み合わせについて値を出力する。シフトレジスタ２０１から出力された値ｙ１，ｙ２は、ＡＮＤ回路２０２、２０３、ＸＯＲ回路２０４、及びレジスタ２０５により都度足し込まれる。そして、値ｘ１，…，ｘ４，１から選択可能な全ての組み合わせについて足し込みが完了した場合に、レジスタ２０５の格納値が演算結果ｚとして演算回路から出力される。
　以上、シフトレジスタを利用した演算回路の動作について説明した。
　以上説明したように、シフトレジスタを利用することにより、二次多変数多項式ｆ（ｘ）の演算回路を構築することができる。しかし、上記のように格納値の順序を整列させるために、値を更新せずにローテーションを実施するためのサイクルが必要になるため、処理サイクルが増加してしまう。また、ここで例示した演算回路を用いて並列に実装することで、複数の入力について二次多変数多項式ｆ（ｘ）を計算する演算回路を構築する場合、ＡＮＤ回路及びＸＯＲ回路を複数組用意する必要が生じる。これらの点については改善の余地がある。
　［６－４：シフトレジスタを利用する構成＃２（複数のフィードバックループ）］
　次に、複数のフィードバックループを組み込んだシフトレジスタを利用する演算回路の構成について述べる。この構成は、複数のフィードバックループを利用し、格納値の順序を整列するためだけに実施されるローテーションを回避することを可能にする。
　（６－４－１：回路構成（図２７～図２９））
　シフトレジスタを利用した演算回路は、二次多変数多項式ｆ（ｘ）を構成する各項の変数ｘｉｘｊ又はｘｉを生成する第１の回路部分（図２７及び図２８を参照）と、各項の変数に係数ａｉｊ又はｂｊを乗算した中間値を足し込んで演算結果ｚを出力する第２の回路部分（図２９を参照）とで構成される。
　第１の回路部分は、図２７に示すように、主に、シフトレジスタ３０１と、ＡＮＤ回路３０２とにより構成される。但し、図２７においては、図２０に示したシフトレジスタ２０１との対比を容易にすべく、便宜上、ＡＮＤ回路３０２の前段に設けられるマスク回路３０３（図２９を参照）の記載を省略してある。また、シフトレジスタ３０１は、図２８に示すように、セレクタＳ１，…，Ｓｎ及びレジスタＲ１，…，Ｒｎにより構成される。なお、セレクタＳ１は、「３ビット入力：１ビット出力」のレジスタである。また、セレクタＳ２，…，Ｓｎは、「４ビット入力：１ビット出力」のレジスタである。また、配線の幅は全て１ビットである。
　また、第２の回路部分は、図２９に示すように、ＡＮＤ回路３０４と、ＸＯＲ回路３０５と、レジスタ３０６とにより構成される。なお、図２７において記載を省略したマスク回路３０３には、シフトレジスタ３０１から出力された一方の値ｙ２と、マスク値ｍａｓｋ（ｍａｓｋ＝０／１）とが入力される。マスク値が１の場合、マスク回路３０３は、入力されたｙ２の値に関係なく、１を出力する。一方、マスク値が０の場合、マスク回路３０３は、入力されたｙ２の値をそのまま出力する。マスク回路３０３の出力値は、ＡＮＤ回路３０２に入力される。つまり、ＡＮＤ回路３０２には、シフトレジスタ３０１から出力された一方の値ｙ１と、マスク回路３０３の出力値とが入力される。
　ＡＮＤ回路３０４には、第１の回路部分を構成するＡＮＤ回路３０２の出力値と、係数ａｉｊ又はｂｉとが入力される。また、ＡＮＤ回路３０４の出力値は、ＸＯＲ回路３０５に入力される。また、ＸＯＲ回路３０５には、ＡＮＤ回路３０４の出力値と共に、レジスタ３０６に格納された格納値が入力される。また、レジスタ３０６の格納値は、ＸＯＲ回路３０６の出力値により更新される。そして、入力ｘの全ての組み合わせについて足し込み処理が完了した場合に、レジスタ３０６の格納値が演算結果ｚとして出力される。
　以上、シフトレジスタを利用した演算回路の回路構成について説明した。
　（６－４－２：動作（図３０～図３４））
　次に、図３０～図３４を参照しながら、演算回路の動作について説明する。なお、図中において配線を鎖線で示した部分は、該当するサイクルにおいて信号が流れないように制御されていることを表している。一方、図中において配線を実線で示した部分は、該当するサイクルにおいて信号が流れるように制御されていることを表している。
　図３０に示すように、最初のサイクル（Ｐ１）で、シフトレジスタ２０１を構成するレジスタＲ１，…，Ｒｎに入力ｘ∈｛０，１｝ｎが格納される。次のサイクル（Ｐ２）では、レジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ２０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ２０１から出力される。さらに、レジスタＲ２，…，Ｒｎにおいて格納値のローテーションが実施される。
　具体的には、レジスタＲ２に格納されていた１ビットの値ｘ２がレジスタＲｎに移動し、レジスタＲ３，…，Ｒｎに格納されていた１ビットの値ｘ３，…，ｘｎがレジスタＲ２，…，Ｒｎ－１に移動する。その結果、レジスタＲ１，…，Ｒｎには、それぞれ、１ビットの値ｘ１，ｘ３，…，ｘｎ，ｘ２が格納された状態になる。なお、シフトレジスタ３０１から出力された２つの値ｙ１，ｙ２は、それぞれＡＮＤ回路３０２及びマスク回路３０３に入力され、ＡＮＤ回路３０４、ＸＯＲ回路３０５を経てレジスタ３０５に格納される（図２９を参照）。
　次のサイクル（Ｐ３）では、図３１に示すように、レジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ３０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ３０１から出力される。さらに、レジスタＲ２，…，Ｒｎにおいて格納値のローテーションが実施される。同様にして、以降のサイクル（Ｐ４）では、ｙ１，ｙ２の出力及び格納値のローテーションが繰り返し実施される。
　但し、図３２に示すように、レジスタＲ１，…，Ｒｎに、それぞれ、１ビットの値ｘ１，ｘ２，…，ｘｎが格納された状態になった段階で、レジスタＲ１，…，Ｒｎにおいて格納値のローテーションが実施される（Ｐ５）。このとき、シフトレジスタ３０１は、レジスタＲ１，Ｒ２から格納値を出力する。このタイミングで出力される格納値ｘ１，ｘ２の組は既に出力されているが、マスク値を１に設定することで値ｘ２（ｙ２）がマスクされ、ＡＮＤ回路３０２には、値ｘ１（ｙ１）と値「１」とが入力されることになる。その結果、レジスタＲ１，…，Ｒｎには、それぞれ、１ビットの値ｘ２，ｘ３，…，ｘｎ，ｘ１が格納された状態になる（Ｐ６）。
　以降のサイクルでは、再びレジスタＲ１の格納値が維持されつつ、その格納値が出力値ｙ１としてシフトレジスタ３０１から出力される。また、レジスタＲ２の格納値が出力値ｙ２としてシフトレジスタ３０１から出力される。但し、前述した動きとは異なり、変数ｘ１に関する項の生成処理は終了しているため、ｘ１が格納されているＲｎの格納値も維持する。そのもとで、レジスタＲ２，…，Ｒｎ－１において格納値のローテーションが実施される。その後、変数ｘ２に関わる項の生成処理が終了したら、レジスタＲ１，…，Ｒｎにおける格納値のローテーションを実施する。このように、シフトレジスタ３０１は、レジスタＲ１，…，Ｒｎにおける格納値のローテーションと、ｉ＝３，…，ｎに対してレジスタＲ２，…，Ｒｉに関するローテーションを実行し、出力される２つの値ｙ１，ｙ２の組み合わせを制御する。
　先に説明したシフトレジスタ２０１と、シフトレジスタ３０１との違いは、レジスタＲ１，…，Ｒｎの格納値を整列させるためだけにサイクルを消費する期間がない点である。この点について、具体例を参照しながら、より詳細に見ていきたい。
　一例として、入力ｘが４ビットの場合（ｎ＝４の場合）について、各サイクルにおける出力値ｙ１，ｙ２、マスク値ｍａｓｋ、及びレジスタＲ１，…，Ｒ４の格納値を図３３に纏めた。図３３を参照しながら、演算回路の動作について具体的に説明する。
　まず、最初のサイクル（サイクル数１）において、レジスタＲ１，…，Ｒ４に入力ｘ１，…，ｘ４が格納される。次いで、レジスタＲ１，Ｒ２から格納値ｘ１，ｘ２が出力値ｙ１，ｙ２として出力される。これら出力値ｙ１，ｙ２は、それぞれＡＮＤ回路３０２、マスク回路３０３に入力される。また、このサイクルにおいてマスク値がｍａｓｋ＝０であるから、ＡＮＤ回路３０２により論理和ｙ＝ｘ１ｘ２が算出される。そして、論理和ｙがＡＮＤ回路３０４に入力される。次いで、ＡＮＤ回路３０４により係数ａ１２との間で論理積が計算され、レジスタ３０６に格納される。
　次のサイクル（サイクル数２）では、レジスタＲ２，…，Ｒ４において格納値のローテーションが実施され、それぞれ格納値がｘ３，ｘ４，ｘ２に更新される。そのため、シフトレジスタ３０１の出力値ｙ１，ｙ２は、それぞれｘ１，ｘ３となる。同様に、サイクル数３において、レジスタＲ２，…，Ｒ４における格納値のローテーションが実施され、シフトレジスタ３０１から値ｙ１，ｙ２が出力される。このとき、シフトレジスタ３０１の出力値ｙ１，ｙ２は、それぞれｘ１，ｘ４となる。
　次のサイクル（サイクル数４）では、レジスタＲ１，…，Ｒ４の格納値がそれぞれｘ１，…，ｘ４となっており、そのままレジスタＲ１，Ｒ２から格納値を出力すると、既に出力した値ｘ１，ｘ２が出力されてしまう。そこで、シフトレジスタ３０１は、マスク値をｍａｓｋ＝１に設定し、ＡＮＤ回路３０２に値ｙ１と値「１」とが入力されるようにし、レジスタＲ１，…，Ｒ４においてローテーションを実施する。このとき、ＡＮＤ回路３０２の出力ｙは、ｙ＝ｘ１となる。また、レジスタＲ１，…，Ｒ４の格納値は、サイクル数４＋１の欄に記載した通り、それぞれｘ２，ｘ３，ｘ４，ｘ１という順序になる。
　次いで、サイクル数４＋１、４＋２に記載した通り、シフトレジスタ３０１は、マスク値をｍａｓｋ＝０に戻し、レジスタＲ２，…，Ｒ３において格納値のローテーションを実施しつつ、レジスタＲ１，Ｒ２から格納値を出力する。次いで、サイクル数４の場合と同様、シフトレジスタ３０１は、マスク値をｍａｓｋ＝１に設定し、レジスタＲ１，Ｒ２から値を出力しつつ、レジスタＲ１，…，Ｒ４の格納値を整列させるためにレジスタＲ１，…，Ｒ４の格納値をローテーションする（サイクル数４＋３）。
　以降、シフトレジスタ３０１は、マスク値ｍａｓｋの設定を切り替えつつ、レジスタＲ１，…，Ｒ４の格納値の保持と、レジスタＲ１，…，Ｒ４のローテーションとを実施して格納値の全組み合わせについて値を出力する。シフトレジスタ３０１から出力された値ｙ１，ｙ２は、マスク回路３０３、ＡＮＤ回路３０２、３０４、ＸＯＲ回路３０５、及びレジスタ３０６により都度足し込まれる。そして、値ｘ１，…，ｘ４から選択可能な全ての組み合わせについて足し込みが完了した場合に、レジスタ３０６の格納値が演算結果ｚとして演算回路から出力される。
　以上、シフトレジスタを利用した演算回路の動作について説明した。
　以上説明したように、シフトレジスタを利用することにより、二次多変数多項式ｆ（ｘ）の演算回路を構築することができる。また、複数のフィードバックループを導入することで、上記のように格納値の順序を整列させるために、値を出力せずにローテーションを実施するための無駄なサイクルが必要なくなる。しかしながら、図３４に示すように、シフトレジスタ３０１を構成する多ビット入力のセレクタＳ１，…，Ｓｎを制御する制御装置３１０の構成が複雑になる。その結果、回路規模の増大及びクリティカルパスの増加が生じてしまう。
　さらに、ここで例示した演算回路を用いて並列に実装することで、複数の入力について二次多変数多項式ｆ（ｘ）を計算する演算回路を構築する場合、ＡＮＤ回路及びＸＯＲ回路を複数組用意する必要が生じる。これらの点について改善の余地がある。そこで、本件発明者は、上述した演算回路が抱える様々な課題について鋭意検討し、回路規模の増大を抑制しつつ、クリティカルパスを短くして高速動作が可能な演算回路の構成に想到した。以下、当該構成に係る実施例（実施例＃１及び＃２）について述べる。
　［６－５：実施例＃１（多変数多項式Ｆの計算）］
　まず、二次多変数多項式Ｆ（ｘ）の計算（Ｆ（ｘ）を構成するｆ（ｘ）の計算）に利用可能な演算回路の構成（実施例＃１）について述べる。実施例＃１に係る演算回路は、２つの入力ｘ１，ｘ２について並列して二次多変数多項式Ｆ（ｘ１），Ｆ（ｘ２）の計算（ｆ（ｘ１），ｆ（ｘ２）の計算）を実行できるように設計されている。
　（６－５－１：回路構成（図３５、図３６））
　図３５及び図３６に示すように、実施例＃１に係る演算回路は、シフトレジスタ４０１と、ＡＮＤ回路４０２、４０３と、セレクタ４０４と、ＡＮＤ回路４０５と、ＸＯＲ回路４０６と、セレクタ４０７、４０９と、レジスタ４０８、４１０と、セレクタ４１１とにより構成される。また、シフトレジスタ４０１は、第１のシフトレジスタ４０１１、及び第２のシフトレジスタ４０１２を含む。
　なお、第１のシフトレジスタ４０１１の構成は、図２１に示したシフトレジスタ２０１の構成と実質的に同じである。また、第２のシフトレジスタ４０１２の構成は、値を出力するレジスタの組み合わせが異なる以外、図２１に示したシフトレジスタ２０１の構成と実質的に同じである。但し、第１のシフトレジスタ４０１１と第２のシフトレジスタ４０１２とは同じサイクルで連携して動作する。
　図３５に示すように、第１のシフトレジスタ４０１１は、レジスタＲ１，１，…，Ｒ１，ｎ＋１、及びセレクタＳ１，１，…，Ｓ１，ｎ＋１により構成される。また、第１のシフトレジスタ４０１１は、レジスタＲ１，１及びＲ１，２から格納値を出力するように構成されている。同様に、第２のシフトレジスタ４０１２は、レジスタＲ２，１，…，Ｒ２，ｎ＋１、及びセレクタＳ２，１，…，Ｓ２，ｎ＋１により構成される。但し、第２のシフトレジスタ４０１２は、レジスタＲ２，１及びＲ２，ｎ＋１から格納値を出力するように構成されている。
　第１のシフトレジスタ４０１１から出力される値ｙ１，１，ｙ１，２は、図３６に示すように、ＡＮＤ回路４０２に入力される。同様に、第２のシフトレジスタ４０１２から出力される値ｙ２，１，ｙ２，２は、ＡＮＤ回路４０３に入力される。また、ＡＮＤ回路４０２は、入力された値ｙ１，１，ｙ１，２の論理積を算出し、算出結果をセレクタ４０４に入力する。同様に、ＡＮＤ回路４０３は、入力された値ｙ２，１，ｙ２，２の論理積を算出し、算出結果をセレクタ４０４に入力する。セレクタ４０４は、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路４０５に入力する。
　ＡＮＤ回路４０５には、セレクタ４０４の出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路４０５は、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路４０６に入力する。ＸＯＲ回路４０６には、ＡＮＤ回路４０５の出力値と、後述するセレクタ４１１の出力値とが入力される。ＸＯＲ回路４０６は、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ４０７、４０９に入力する。なお、この演算結果は、セレクタ４０７、４０９の状態に応じて、レジスタ４０８又はレジスタ４１０に格納される。また、レジスタ４０８、４１０の格納値は、セレクタ４１１の状態に応じて、いずれか一方がＸＯＲ回路４０６に入力されるか、演算結果ｚとして演算回路から出力される。
　以上、実施例＃１に係る演算回路の構成について説明した。
　（６－５－２：動作（図３７～図４２））
　次に、図３７～図４２を参照しながら、実施例＃１に係る演算回路の動作について説明する。なお、図中において配線を鎖線で示した部分は、該当するサイクルにおいて実質的に信号が流れないように制御されていることを表している。一方、図中において配線を実線で示した部分は、該当するサイクルにおいて信号が流れるように制御されていることを表している。このような信号経路の制御は、セレクタＳ１，１，…，Ｓ１，ｎ，Ｓ２，１，…，Ｓ２，ｎ＋１、及び、セレクタ４０４、セレクタ４０７、セレクタ４０９、セレクタ４１１を制御することで実現される。
　最初のサイクル（Ｐ１）では、図３７に示すように、レジスタＲ１，１，…，Ｒ１，ｎに入力値ｘ１，１，…，ｘ１，ｎが格納される。このとき、レジスタＲ１，ｎ＋１には値「１」が格納される。ここで格納された値「１」は、二次多変数多項式ｆ（ｘ１）に含まれる一次の項を計算するために利用される。また、レジスタＲ２，１，…，Ｒ２，ｎに入力値ｘ２，ｎ，…，ｘ２，１（逆順である点に注意）が格納される。このとき、レジスタＲ２，ｎ＋１には値「１」が格納される。ここで格納された値「１」は、二次多変数多項式ｆ（ｘ２）に含まれる一次の項を計算するために利用される。
　次のサイクル（Ｐ２）では、図３８に示すように、レジスタＲ１，１，Ｒ１，２に格納されている格納値ｘ１，１，ｘ１，２が出力値ｙ１，１，ｙ１，２として出力される。また、レジスタＲ１，１の格納値は保持され、レジスタＲ１，２，…，Ｒ１，ｎ＋１の格納値はローテーションされる。具体的には、レジスタＲ１，２に格納されていた１ビットの値ｘ１，２がレジスタＲ１，ｎ＋１に移動し、レジスタＲ１，３，…，Ｒ１，ｎ＋１に格納されていた１ビットの値ｘ１，３，…，ｘ１，ｎ，１がレジスタＲ１，２，…，Ｒ１，ｎに移動する。その結果、レジスタＲ１，１，…，Ｒ１，ｎ＋１には、それぞれ、１ビットの値ｘ１，１，ｘ１，３，…，ｘ１，ｎ，１，ｘ１，２が格納された状態になる。
　また、同じサイクル（Ｐ２）において、レジスタＲ２，１の格納値が保持され、レジスタＲ２，２，…，Ｒ２，ｎ＋１の格納値がローテーションされる。具体的には、レジスタＲ２，２に格納されていた１ビットの値ｘ２，ｎ－１がレジスタＲ２，ｎ＋１に移動し、レジスタＲ２，３，…，Ｒ２，ｎ＋１に格納されていた１ビットの値ｘ２，ｎ－２，…，ｘ２，１，１がレジスタＲ２，２，…，Ｒ２，ｎに移動する。その結果、レジスタＲ２，１，…，Ｒ２，ｎ＋１には、それぞれ、１ビットの値ｘ２，ｎ，ｘ２，ｎ－２，…，ｘ２，１，１，ｘ２，ｎ－１が格納された状態になる。このとき、レジスタＲ２，１，Ｒ２，ｎ＋１の格納値はシフトレジスタ４０１から出力されない（実際には、セレクタ４０４によりＡＮＤ回路４０２の出力値が選択される。）。
　シフトレジスタ４０１から出力された値ｙ１，１，ｙ１，２は、図３９に示すように、ＡＮＤ回路４０２に入力される。次いで、ＡＮＤ回路４０２から出力された論理積の値は、セレクタ４０４に入力される。このサイクルにおいて、セレクタ４０４は、ＡＮＤ回路４０２の出力値を選択するように制御される。そのため、セレクタ４０４に入力された値は、セレクタ４０４の出力値ｙとしてＡＮＤ回路４０５に入力され係数との乗算が行われる。そのＡＮＤ回路４０５の出力がＸＯＲ回路４０６に入力される。但し、このサイクルではレジスタ４０８、４１０に値が格納されていないため、ＸＯＲ回路４０６に入力された値は、セレクタ４０７、４０９に入力される。
　但し、このサイクルにおいて、セレクタ４０９は、ＸＯＲ回路４０６の出力と接続する経路を遮断し、レジスタ４１０の出力と接続する経路を接続している。そのため、ＸＯＲ回路４０６の出力値は、ＸＯＲ回路４０６の出力と接続されたセレクタ４０７を介してレジスタ４０８に格納される。このように、セレクタ４０４の入力がＡＮＤ回路４０２の出力と接続され、第１のシフトレジスタ４０１１から格納値が出力されるサイクルにおいては、ＸＯＲ回路４０６の出力とセレクタ４０７の入力とが接続され、セレクタ４０９の入力とレジスタ４１０の出力とが接続された状態に制御される。
　また、この状態において、セレクタ４１１は、レジスタ４０８の出力とＸＯＲ回路４０６の入力とを接続した状態に維持される。この状態を維持しつつ、シフトレジスタ４０１は、レジスタＲ１，２，…，Ｒ１，ｎ＋１及びレジスタＲ２，２，…，Ｒ２，ｎ＋１の格納値をローテーションしながら、レジスタＲ１，１，Ｒ１，２の格納値を出力する。そして、シフトレジスタ４０１から値が出力される度に、ＡＮＤ回路４０２、セレクタ４０４、ＸＯＲ回路４０６、セレクタ４０７を介して中間値が足し込まれ、レジスタ４０８の格納値が更新される。
　但し、図４０に示すように、レジスタＲ１，１，…，Ｒ１，ｎ＋１に、それぞれ、１ビットの値ｘ１，１，ｘ１，２，…，ｘ１，ｎ，１が格納された状態になった段階（Ｐ３）で、レジスタＲ１，１，…，Ｒ１，ｎ＋１において格納値のローテーションが実施される（Ｐ３）。その結果、次のサイクル時には、レジスタＲ１，１，…，Ｒ１，ｎ＋１には、それぞれ、１ビットの値ｘ１，２，ｘ１，３，…，ｘ１，ｎ，１，ｘ１，１が格納された状態になる。また、図４０の状態（Ｐ３）で、レジスタＲ２，１，…，Ｒ２，ｎ＋１において格納値のローテーションが実施される。さらに、この状態時（Ｐ３）にレジスタＲ２，１，Ｒ２，ｎ＋１から格納値が出力される。
　このとき、図４１に示すように、セレクタ４０４の入力は、ＡＮＤ回路４０３の出力と接続された状態に制御される。また、セレクタ４０７の入力は、レジスタ４０８の出力と接続された状態に制御される。さらに、セレクタ４０９の入力は、ＸＯＲ回路４０６の出力と接続された状態に制御される。そして、セレクタ４１１の入力は、レジスタ４１０の出力と接続された状態に制御される。その結果、ＡＮＤ回路４０３の出力値は、セレクタ４０４を介してＡＮＤ回路４０５に入力される。さらに、ＡＮＤ回路４０５の出力値は、ＸＯＲ回路４０６、セレクタ４０９を介してレジスタ４１０に格納される。
　このように、実施例＃１に係る演算回路は、第１のシフトレジスタ４０１１が格納値を整列するためにレジスタＲ１，２，…，Ｒ１，ｎ＋１についてのローテーション、又はレジスタＲ１，１，…，Ｒ１，ｎ＋１についてローテーションを実施するタイミングで、第２のシフトレジスタ４０１２の出力値を処理する。第１のシフトレジスタ４０１１において格納値の整列が完了すると、セレクタ４０４、４０７、４０９、４１１が制御され、信号経路が元の状態に戻される。そして、レジスタＲ１，２，…，Ｒ１，ｎ＋１の格納値をローテーションしつつレジスタＲ１，１，Ｒ１，２の格納値を出力する処理が実施される。
　ここで、具体例を参照しながら、実施例＃１に係る演算回路の動作について説明を補足する。入力ｘが４ビットの場合（ｎ＝４の場合）について、各サイクルにおける出力値ｙ１，１，ｙ１，２、ｙ２，１，ｙ２，２、及びレジスタＲ１，１，…，Ｒ１，５，Ｒ２，１，…，Ｒ２，５の格納値を図４２に纏めた。図４２を参照しながら、演算回路の動作について説明を進める。
　まず、最初のサイクル（サイクル数１）において、レジスタＲ１，１，…，Ｒ１，５に入力ｘ１，１，…，ｘ１，４，１が格納される。また、レジスタＲ２，１，…，Ｒ２，５に入力ｘ２，４，…，ｘ２，１，１が格納される。次いで、レジスタＲ１，１，Ｒ１，２から格納値ｘ１，１，ｘ１，２が出力値ｙ１，１，ｙ１，２として出力される。また、レジスタＲ２，１，Ｒ２，５から格納値ｘ２，１，１が出力値ｙ２，１，ｙ２，２として出力される。但し、サイクル数１～４ではセレクタ４０４によりＡＮＤ回路４０２の出力が採択される。なお、セレクタ４０４の後段の処理については詳細を省略する。
　次のサイクル（サイクル数２）では、レジスタＲ１，２，…，Ｒ１，５において格納値のローテーションが実施され、それぞれ格納値がｘ１，３，ｘ１，４，１，ｘ１，２に更新される。そのため、シフトレジスタ４０１の出力値ｙ１，１，ｙ１，２は、それぞれｘ１，１，ｘ１，３となる。さらに、レジスタＲ２，２，…，Ｒ２，５において格納値のローテーションが実施され、それぞれ格納値がｘ２，２，ｘ２，１，１，ｘ２，３に更新される。同様に、サイクル数３及び４において、レジスタＲ１，２，…，Ｒ１，５及びＲ２，２，…，Ｒ２，５における格納値のローテーションが実施され、サイクル毎にシフトレジスタ４０１から値ｙ１，１，ｙ１，２が出力される。
　次のサイクル（サイクル数５）では、レジスタＲ１，１，…，Ｒ１，５の格納値がそれぞれｘ１，１，…，ｘ１，４，１となっており、そのままレジスタＲ１，１，Ｒ１，２から格納値を出力すると、既に出力した値ｘ１，１，ｘ１，２が出力されてしまう。そこで、シフトレジスタ４０１は、レジスタＲ１，１，Ｒ１，２から値を出力せずに、レジスタＲ１，１，…，Ｒ１，５においてローテーションを実施する。さらに、シフトレジスタ４０１は、レジスタＲ２，１，Ｒ２，５から格納値を出力する。但し、サイクル数５ではセレクタ４０４によりＡＮＤ回路４０３の出力が採択される。
　ローテーションを実施すると、レジスタＲ１，１，…，Ｒ１，５の格納値は、サイクル数５＋１の欄に記載した通り、それぞれｘ１，２，ｘ１，３，ｘ１，４，１，ｘ１，１という順序になる。同時に、レジスタＲ２，１，…，Ｒ２，５の格納値は、それぞれｘ２，３，ｘ２，２，ｘ２，１，１，ｘ２，４という順序になる。なお、サイクル数５＋１～５＋３ではセレクタ４０４によりＡＮＤ回路４０２の出力が再び採択される。
　次いで、サイクル数５＋１～５＋４に記載した通り、第１のシフトレジスタ４０１１は、レジスタＲ１，２，…，Ｒ１，５において格納値のローテーションを実施する。また、サイクル数５＋１～５＋３では、レジスタＲ１，１，Ｒ１，２から格納値を出力する。次いで、サイクル数２×５では、サイクル数５の場合と同様、シフトレジスタ４０１は、レジスタＲ１，１，Ｒ１，２から値を出力せずに、レジスタＲ１，１，…，Ｒ１，５の格納値を整列させるためにレジスタＲ１，１，…，Ｒ１，５の格納値をローテーションする。
　一方，第２のシフトレジスタ４０１２は、サイクル数５＋１～５＋４においては、レジスタＲ２，２，…，Ｒ２，５の格納値のローテーションを実施する。また、サイクル数５＋４では、レジスタＲ２，１，Ｒ２，５から格納値を出力する。次いで，サイクル数２×５では、レジスタＲ２，１，…，Ｒ２，５の格納値をローテーションしつつ、レジスタＲ２，１，Ｒ２，５から格納値を出力する。但し、サイクル数５＋４及びサイクル数２×５のタイミングではセレクタ４０４によりＡＮＤ回路４０３の出力が採択される。
　以降、シフトレジスタ４０１は、レジスタＲ１，１，Ｒ１，２からの出力を伴うローテーションと、レジスタＲ２，１，Ｒ２，５からの出力を伴うローテーションとを実施して格納値の全組み合わせについて値を出力する。そして、値ｘ１，１，…，ｘ１，４，１から選択可能な全ての組み合わせ、及び、値ｘ２，４，…，ｘ２，１，１から選択可能な全ての組み合わせについて足し込みが完了した場合に、それぞれレジスタ４０８、４１０から格納値が演算結果ｚとして出力される。
　ここで、セレクタ４０４、４０７、４０９、４１１の制御方法について整理しておきたい。なお、セレクタ４０４、４０７、４０９、４１１の制御は、演算回路に設けられた制御部（非図示）又は演算回路の外部に設けられた制御装置（非図示）により行われる。
　第１のシフトレジスタ４０１１から値を出力するサイクルにおいて、セレクタ４０４の入力は、ＡＮＤ回路４０２の出力と接続される。また、セレクタ４０７の入力は、ＸＯＲ回路４０６の出力と接続される。さらに、セレクタ４０９の入力は、レジスタ４１０の出力と接続される。そして、セレクタ４１１の入力は、レジスタ４０８の出力と接続される。
　一方、第２のシフトレジスタ４０１２から値を出力するサイクルにおいて、セレクタ４０４の入力は、ＡＮＤ回路４０３の出力と接続される。また、セレクタ４０９の入力は、ＸＯＲ回路４０６の出力と接続される。さらに、セレクタ４０７の入力は、レジスタ４０８の出力と接続される。そして、セレクタ４１１の入力は、レジスタ４１０の出力と接続される。
　以上、シフトレジスタを利用した演算回路の動作について説明した。なお、係数を読み出す順序について言及しなかったが、ＡＮＤ回路４０２の出力について演算する場合には、係数をａ１２，ａ１３，ａ１４，ｂ１，…の順序で読み出す。一方、ＡＮＤ回路４０３の出力について演算する場合には、逆の順序で読み出す（例えば、図１５に示した係数リストの最終アドレスから読み出す。）。なお、図４２では、便宜上、ＡＮＤ回路４０３の出力に対して演算する係数にプライムを付けて表記したが、ＡＮＤ回路４０２の出力に対して演算する係数と同じものを利用してもよい。また、このような読み出し方法を採用することによる演算速度の低下はないと考えられる。
　以上説明したように、実施例＃１に係る演算回路は、シフトレジスタを利用しているため、多ビット入力のセレクタを含まない。また、当該演算回路は、シフトレジスタのフィードバックループを２種類しか含まない。さらに、当該演算回路は、一方のシフトレジスタがレジスタの格納値を整列させるタイミングで、他方のシフトレジスタが格納値を出力するため、格納値の整列だけでサイクルを浪費してしまうことがない。また、２つのシフトレジスタにより、係数を乗算するためのＡＮＤ回路と、足し込みのためのＸＯＲ回路とが共有されている。その結果、クリティカルパスの増加及び回路規模の増大が抑制され、小型で演算速度の速い演算回路が実現される。
　［６－６：実施例＃２（多変数多項式Ｆ及びＧの計算）］
　次に、二次多変数多項式Ｆ（ｘ１）及びＧ（ｘ２，ｘ３）の計算に利用可能な演算回路の構成（実施例＃２）について述べる。実施例＃２に係る演算回路は、３つの入力ｘ１，ｘ２，ｘ３について並列して二次多変数多項式Ｆ（ｘ１），Ｇ（ｘ２，ｘ３）の計算（ｆ（ｘ１），ｇ（ｘ２，ｘ３）の計算）を実行できるように設計されている。
　（６－６－１：回路構成（図４３、図４４））
　図４３及び図４４に示すように、実施例＃２に係る演算回路は、シフトレジスタ５０１と、ＡＮＤ回路５０２、５０３、５０４と、ＸＯＲ回路５０５と、セレクタ５０６と、ＡＮＤ回路５０７と、ＸＯＲ回路５０８と、セレクタ５０９、５１１と、レジスタ５１０、５１２と、セレクタ５１３とにより構成される。また、シフトレジスタ５０１は、第１のシフトレジスタ５０１１、第２のシフトレジスタ５０１２、及び第３のシフトレジスタ５０１３を含む。
　なお、第１のシフトレジスタ５０１１の構成は、上述した実施例＃１に係る第１のシフトレジスタ４０１１の構成と実質的に同じである。また、第２のシフトレジスタ５０１２、及び第３のシフトレジスタ５０１３の構成は、上述した実施例＃１に係る第２のシフトレジスタ４０１２の構成と実質的に同じである。従って、詳細な構成については説明を省略する。なお、第１のシフトレジスタ５０１１、第２のシフトレジスタ５０１２、及び第３のシフトレジスタ５０１３は、同じサイクルで連携して動作する。
　実施例＃１に係る演算回路と実施例＃２に係る演算回路との間の主な相違点は、上述したシフトレジスタ５０１が含むシフトレジスタの数、及びＸＯＲ回路５０５の構成にある。そこで、この相違点に注目して実施例＃２に係る演算回路の構成を説明する。当該相違点は、二次多変数多項式ｇ（ｘ２，ｘ３）を計算するために追加されたものである。共に演算すべき二次多変数多項式ｆ（ｘ１）を下記の式（１４）のように表現した場合、二次多変数多項式ｇ（ｘ２，ｘ３）は、下記の式（１５）のように表現される。
Figure JPOXMLDOC01-appb-M000012
　そこで、ｘ２ｉｘ３ｊを算出するために第２のシフトレジスタ５０１２、第３のシフトレジスタ５０１３及びＡＮＤ回路５０３を設け、ｘ２ｊｘ３ｉを算出するための第２のシフトレジスタ、第３のシフトレジスタ５０１３及びＡＮＤ回路５０４を設け、これら算出結果を合算するためにＸＯＲ回路５０５を設けた。従って、第２のシフトレジスタ５０１２及び第３のシフトレジスタ５０１３は、同じサイクルでレジスタの格納値を出力する。また、そのサイクルでＸＯＲ回路５０５の出力がセレクタ５０６を介してＡＮＤ回路５０７に入力される。なお、ＡＮＤ回路５０７の後段における各回路の構成は構成例＃２に係る演算回路と実質的に同じであるため、説明を省略する。
　以上、実施例＃２に係る演算回路の構成について説明した。実施例＃２に係る演算回路は、実施例＃１に係る演算回路における第２のシフトレジスタ４０１２を、第２のシフトレジスタ５０１２及び第３のシフトレジスタ５０１３で置き換え、ＡＮＤ回路４０３を、ＡＮＤ回路５０３、５０４及びＸＯＲ回路５０５のセットで置き換えたものと考えると理解しやすいだろう。但し、第２のシフトレジスタ５０１２のレジスタＲ２，ｎ＋１及び第３のシフトレジスタ５０１３のレジスタＲ３，ｎ＋１に入力される値が「０」となっている点に注意されたい。この違いは、二次多変数多項式ｇ（ｘ２，ｘ３）に一次の項を含まないことに起因している。
　（６－６－２：動作（図４５～図５０））
　次に、図４５～図５０を参照しながら、実施例＃２に係る演算回路の動作について説明する。但し、実施例＃２に係る演算回路の動作は、実施例＃１に係る演算回路の動作と同様であるため、詳細な説明を省略し、相違点に注目して説明を進める。
　なお、図中において配線を鎖線で示した部分は、該当するサイクルにおいて実質的に信号が流れないように制御されていることを表している。一方、図中において配線を実線で示した部分は、該当するサイクルにおいて信号が流れるように制御されていることを表している。このような信号経路の制御は、セレクタＳ１，１，…，Ｓ１，ｎ，Ｓ２，１，…，Ｓ２，ｎ＋１，Ｓ３，１，…，Ｓ３，ｎ＋１、及び、セレクタ５０６、セレクタ５０９、セレクタ５１１、セレクタ５１３を制御することで実現される。
　第１のシフトレジスタ５０１１及び第２のシフトレジスタ５０１２の動作に注目すると、図４５、図４６、及び図４８に示すように、実施例＃１に係る第１のシフトレジスタ４０１１及び第２のシフトレジスタ４０１２の動作と実質的に同じであることが分かる。また、第３のシフトレジスタ５０１３の動作は、第２のシフトレジスタ５０１２の動作と同じである。また、第１のシフトレジスタ５０１１が値を出力するサイクルでは、図４７に示すように、セレクタ５０６の入力がＡＮＤ回路５０２の出力と接続されるため、実施例＃１に係る演算回路の動作と同じになる。
　一方、第２のシフトレジスタ５０１２及び第３のシフトレジスタ５０１３から値が出力されるサイクルでは、セレクタ５０６の入力がＸＯＲ回路５０５の出力と接続される。そのため、第２のシフトレジスタ５０１２及び第３のシフトレジスタ５０１３の出力値がそれぞれＡＮＤ回路５０３、５０４に入力され、ＡＮＤ回路５０３、５０４の出力値がＸＯＲ回路５０５に入力され、ＸＯＲ回路５０５の出力値がセレクタ５０６を介してＡＮＤ回路５０７に入力される。なお、ＡＮＤ回路５０７の後段に位置する回路の動作は、実施例＃１に係る演算回路と実質的に同じである。
　ｎ＝４の場合について、具体的にシフトレジスタ５０１を構成する各レジスタの格納値、各シフトレジスタからの出力値、及びＡＮＤ回路５０７において計算される中間値の構成を図５０に示した。なお、記載方法は図４２と同じである。図５０に示した具体例からも明らかなように、実施例＃２に係る演算回路は、上記の式（１４）に示した二次多変数多項式ｆ（ｘ１）の各項と、上記の式（１５）に示した二次多変数多項式ｇ（ｘ２，ｘ３）の各項とを効率的に生成できている。このように、実施例＃２に係る演算回路を利用すると、先に説明した公開鍵認証方式及び電子署名方式の実装に必要な多変数多項式の演算を実現することが可能になる。
　以上、実施例＃２に係る演算回路の動作について説明した。
　以上、多変数多項式の求解問題に安全性の根拠を置く公開鍵認証方式及び電子署名方式の実装に利用可能な演算回路の構成について説明した。特に、実施例＃１及び＃２に係る演算回路を適用することで、回路規模の低減及び処理速度の向上を果たすことができる。
　［６－７：実施例＃３（多変数多項式Ｆの計算のパイプライン化）］
　上述してきた演算回路を用いることで、多変数多項式の求解問題に安全性の根拠を置く公開鍵認証方式及び電子署名方式の実装に際して回路規模の低減及び処理速度の向上を果たすことが可能になる。このような公開鍵認証方式及び電子署名方式においては、二次多項式ｆ（ｘ１）、ｆ（ｘ２）の演算を別々のｘ１、ｘ２に対して複数回（例えば１４０回）計算して、対話プロトコルの繰り返し回数を大きくすることで偽証が成功する確率は無視できる程度に小さくすることができる。
　二次多項式ｆ（ｘ１）、ｆ（ｘ２）の演算を複数回繰り返す際に、図３５、３６に示したような演算回路を複数個並列に配置することで、演算処理の高速化が可能である。図８３は、図３５に示した演算回路４０１を複数個並列に配置する例を示す説明図である。図８３に示したように、演算回路４０１を複数個並列に配置すると、二次多項式ｆ（ｘ１）、ｆ（ｘ２）の複数回の演算処理が高速化できる。
　しかし、二次多項式の演算処理を実行する演算回路を複数個並列に配置させると、演算回路が、図１５に示したような係数が格納される記録メモリに同時にアクセスする必要がある。また演算回路を複数個並列に配置させると、記録メモリに近い演算回路や、記録メモリから遠い演算回路が存在する演算回路の配置上の制約により、記録メモリへの同時アクセスと共に、最大動作周波数の低下を引き起こす要因となる。また、二次多項式の演算処理を実行する演算回路を複数個（Ｍ個）並列に配置させると、単純に回路規模が１つの演算回路のＭ倍になる。
　そこで、図１５に示したような係数が格納される記録メモリを分割しやすいデータ構造にすると共に、二次多項式の演算処理をパイプライン化することで、演算回路の配置上の制約を緩和して、最大動作周波数の低下を防ぐ技術について説明する。また、二次多項式の演算処理をパイプライン化することで、演算回路内のレジスタを削減することが可能となることについても説明する。
　（６－７－１：回路構成（図５１～図６１））
　まず、記録メモリのデータ構造を、分割しやすいデータ構造にする方法を説明する。図５１は、記録メモリのデータ構造例を示す説明図である。図５１は、後述する４ビット、４段パイプラインの演算回路が参照する記録メモリのデータ構造例を示す説明図である。二次多項式の演算処理を実行する演算回路を複数個並列に配置する際に、図５１のようなデータ構造にしておくことで、アドレスを二重に持つ必要がなくなる。なぜなら、演算処理の実行の際にアドレスをインクリメントしていき、最後のアドレスに達すると、今度はアドレスをデクリメントしていけばよいからである。
　次に、高速化を図るために、二次多項式の演算処理をパイプライン化する方法を説明する。
　図５２は、実施例＃３に係る演算回路の構成を示す説明図である。図５２に示した演算回路は、入力ｘが４ビットの場合に二次多項式を演算して出力するものである。図５２に示したように、実施例＃３に係る演算回路は、演算回路６００ａ、６００ｂ、６００ｃ、６００ｄと、係数が格納されるＲＯＭ６９０と、を含んで構成される。そして、ＲＯＭ６９０は、２つの領域６９０ａ、６９０ｂに分割されている。
　演算回路６００ａ、６００ｂ、６００ｃ、６００ｄは、２つの入力ｘ１，ｘ２から二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を並列に生成する回路である。実施例＃１及び実施例＃２に係る演算回路は、１つの回路で、２つの入力ｘ１，ｘ２について並列して二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）の計算を実行できるように設計されていた。図５２に示した、実施例＃３に係る演算回路は、４つの演算回路６００ａ、６００ｂ、６００ｃ、６００ｄによるパイプライン処理によって、２つの入力ｘ１，ｘ２から二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を並列に生成するよう設計されている。
　パイプライン処理は、処理要素を直列に連結し、ある処理要素の出力が次の処理要素の入力となるような処理であり、パイプライン化された各処理要素は並列化されて処理を行なう。
　４つの演算回路６００ａ、６００ｂ、６００ｃ、６００ｄによるパイプライン処理によって、二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を効率的に生成するために、係数が格納されるＲＯＭ６９０は２つの領域６９０ａ、６９０ｂに分割されている。図５３は、ＲＯＭ６９０のデータ構造例を示す説明図であり、領域６９０ａ、６９０ｂに格納される係数の例を示す説明図である。
　そして、領域６９０ａに格納されている係数は演算回路６００ａ、６００ｄが、領域６９０ｂに格納されている係数は演算回路６００ｂ、６００ｃが、それぞれ参照する。このように、各演算回路によるＲＯＭ６９０へのアクセスを局地化することで、最大動作周波数の低下を防ぐことが可能になり、二次多項式の演算処理のさらなる高速化が図られる。
　図５４及び図５５は、演算回路６００ａの回路構成を示す説明図である。図５４及び図５５に示すように、演算回路６００ａは、シフトレジスタ６０１ａと、ＡＮＤ回路６０２ａ、６０３ａと、セレクタ６０４ａと、ＡＮＤ回路６０５ａと、ＸＯＲ回路６０６ａと、セレクタ６０７ａ、６０９ａと、レジスタ６０８ａ、６１０ａと、セレクタ６１１ａとにより構成される。また、シフトレジスタ６０１ａは、第１のシフトレジスタ６０１１ａ、及び第２のシフトレジスタ６０１２ａを含む。
　第１のシフトレジスタ６０１１ａ、及び第２のシフトレジスタ６０１２ａの構成は、値を出力するレジスタの組み合わせが異なる以外、図３５に示した第１のシフトレジスタ４０１１及び第２のシフトレジスタ４０１２の構成と実質的に同じである。但し、第１のシフトレジスタ６０１１ａと第２のシフトレジスタ６０１２ａとは同じサイクルで連携して動作する。
　図５４に示すように、第１のシフトレジスタ６０１１ａは、レジスタＲＡ１，１，ＲＡ１，２，ＲＡ１，３，ＲＡ１，４，ＲＡ１，５、及びセレクタＳＡ１，１，ＳＡ１，２，ＳＡ１，３，ＳＡ１，４，ＳＡ１，５により構成される。また、第１のシフトレジスタ６０１１ａは、レジスタＲＡ１，１、ＲＡ１，２、及びＲＡ１，３から格納値を出力するように構成されている。同様に、第２のシフトレジスタ６０１２ａは、レジスタＲＡ２，１，ＲＡ２，２，ＲＡ２，３，ＲＡ２，４，ＲＡ２，５、及びセレクタＳＡ２，１，ＳＡ２，２，ＳＡ２，３，ＳＡ２，４，ＳＡ２，５により構成される。但し、第２のシフトレジスタ６０１２ａは、レジスタＲＡ２，１、ＲＡ２，２、ＲＡ２，３、及びＲＡ２，５から格納値を出力するように構成されている。
　第１のシフトレジスタ６０１１ａから出力される値ｙａ１，１，ｙａ１，２，ｙａ１，３は、後段の演算回路６００ｂに入力される。また第１のシフトレジスタ６０１１ａから出力される値ｙａ１，１，ｙａ１，２は、図５５に示すように、ＡＮＤ回路６０２ａに入力される。同様に、第２のシフトレジスタ６０１２ａから出力される値ｙａ２，１，ｙａ２，２，ｙａ２，３，ｙａ２，５は、後段の演算回路６００ｂに入力される。また第２のシフトレジスタ６０１２ａから出力される値ｙａ２，１，ｙａ２，５は、ＡＮＤ回路６０３ａに入力される。また、ＡＮＤ回路６０２ａは、入力された値ｙａ１，１，ｙａ１，２の論理積を算出し、算出結果をセレクタ６０４ａに入力する。同様に、ＡＮＤ回路６０３ａは、入力された値ｙａ２，１，ｙａ２，５の論理積を算出し、算出結果をセレクタ６０４ａに入力する。セレクタ６０４ａは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路６０５ａに入力する。
　ＡＮＤ回路６０５ａには、セレクタ６０４ａの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路６０５ａは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路６０６ａに入力する。ＸＯＲ回路６０６ａには、ＡＮＤ回路６０５ａの出力値と、後述するセレクタ６１１ａの出力値とが入力される。ＸＯＲ回路６０６ａは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ６０７ａ、６０９ａに入力する。なお、この演算結果は、セレクタ６０７ａ、６０９ａの状態に応じて、レジスタ６０８ａ又はレジスタ６１０ａに格納される。また、レジスタ６０８ａ、６１０ａの格納値は、セレクタ６１１ａの状態に応じて、いずれか一方がＸＯＲ回路６０６ａに入力されるか、演算結果ｚａ１，ｚａ２として演算回路６００ａから出力される。レジスタ６０８ａ、６１０ａからの値ｚａ１，ｚａ２は、後段の演算回路６００ｂに入力される。
　なお、セレクタ６０４ａ、６１１ａは、後述するｓｅｌＡの値に応じて、入力された値のいずれか一方を選択して出力する。
　図５６及び図５７は、演算回路６００ｂの回路構成を示す説明図である。図５６及び図５７に示すように、演算回路６００ｂは、シフトレジスタ６０１ｂと、ＡＮＤ回路６０２ｂ、６０３ｂと、セレクタ６０４ｂと、ＡＮＤ回路６０５ｂと、ＸＯＲ回路６０６ｂと、セレクタ６０７ｂ、６０９ｂと、レジスタ６０８ｂ、６１０ｂと、セレクタ６１１ｂとにより構成される。また、シフトレジスタ６０１ｂは、第１のシフトレジスタ６０１１ｂ、及び第２のシフトレジスタ６０１２ｂを含む。
　第１のシフトレジスタ６０１１ｂの構成は、図５４に示した第１のシフトレジスタ６０１１ａの構成から、レジスタが１つ少なくなっている。第２のシフトレジスタ６０１２ｂの構成は、値を出力するレジスタの組み合わせが異なる以外、図５４に示した第２のシフトレジスタ６０１２ａの構成と実質的に同じである。但し、第１のシフトレジスタ６０１１ｂと第２のシフトレジスタ６０１２ｂとは同じサイクルで連携して動作する。
　図５６に示すように、第１のシフトレジスタ６０１１ｂは、レジスタＲＢ１，１，ＲＢ１，２，ＲＢ１，３，ＲＢ１，４、及びセレクタＳＢ１，１，ＳＢ１，２，ＳＢ１，３，ＳＢ１，４により構成される。また、第１のシフトレジスタ６０１１ｂは、レジスタＲＢ１，１及びＲＢ１，２から格納値を出力するように構成されている。同様に、第２のシフトレジスタ６０１２ｂは、レジスタＲＢ２，１，ＲＢ２，２，ＲＢ２，３，ＲＢ２，４，ＲＢ２，５、及びセレクタＳＢ２，１，ＳＢ２，２，ＳＢ２，３，ＳＢ２，４，ＳＢ２，５により構成される。但し、第２のシフトレジスタ６０１２ｂは、レジスタＲＢ２，１、ＲＢ２，２、ＲＢ２，４、及びＲＢ２，５から格納値を出力するように構成されている。
　第１のシフトレジスタ６０１１ｂから出力される値ｙｂ１，１，ｙｂ１，２は、後段の演算回路６００ｃに入力される。また第１のシフトレジスタ６０１１ｂから出力される値ｙｂ１，１，ｙｂ１，２は、図５７に示すように、ＡＮＤ回路６０２ｂに入力される。同様に、第２のシフトレジスタ６０１２ｂから出力される値ｙｂ２，１，ｙｂ２，２，ｙｂ２，４，ｙｂ２，５は、後段の演算回路６００ｃに入力される。また第２のシフトレジスタ６０１２ｂから出力される値ｙｂ２，１，ｙｂ２，５は、ＡＮＤ回路６０３ｂに入力される。また、ＡＮＤ回路６０２ｂは、入力された値ｙｂ１，１，ｙｂ１，２の論理積を算出し、算出結果をセレクタ６０４ｂに入力する。同様に、ＡＮＤ回路６０３ｂは、入力された値ｙｂ２，１，ｙｂ２，５の論理積を算出し、算出結果をセレクタ６０４ｂに入力する。セレクタ６０４ｂは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路６０５ｂに入力する。
　ＡＮＤ回路６０５ｂには、セレクタ６０４ｂの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路６０５ｂは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路６０６ｂに入力する。ＸＯＲ回路６０６ｂには、ＡＮＤ回路６０５ｂの出力値と、後述するセレクタ６１１ｂの出力値とが入力される。ＸＯＲ回路６０６ｂは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ６０７ｂ、６０９ａに入力する。なお、この演算結果は、セレクタ６０７ｂ、６０９ｂの状態に応じて、レジスタ６０８ｂ又はレジスタ６１０ｂに格納される。また、レジスタ６０８ｂ、６１０ｂの格納値は、セレクタ６１１ｂの状態に応じて、いずれか一方がＸＯＲ回路６０６ｂに入力されるか、演算結果ｚｂ１，ｚｂ２として演算回路から出力される。レジスタ６０８ｂ、６１０ｂからの値ｚｂ１，ｚｂ２は、後段の演算回路６００ｃに入力される。
　なお、セレクタ６０４ｂ、６１１ｂは、後述するｓｅｌＢの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ６０７ｂは、ＸＯＲ回路６０６ｂの出力、演算回路６００ａから供給される値ｚａ１，またはレジスタ６０８ｂの出力のいずれかを選択して出力する。同様に、セレクタ６０９ｂは、ＸＯＲ回路６０６ｂの出力、演算回路６００ａから供給される値ｚａ２，またはレジスタ６１０ｂの出力のいずれかを選択して出力する。
　図５８及び図５９は、演算回路６００ｃの回路構成を示す説明図である。図５８及び図５９に示すように、演算回路６００ｃは、シフトレジスタ６０１ｃと、ＡＮＤ回路６０２ｃ、６０３ｃと、セレクタ６０４ｃと、ＡＮＤ回路６０５ｃと、ＸＯＲ回路６０６ｃと、セレクタ６０７ｃ、６０９ｃと、レジスタ６０８ｃ、６１０ｃと、セレクタ６１１ｃとにより構成される。また、シフトレジスタ６０１ｃは、第１のシフトレジスタ６０１１ｃ、及び第２のシフトレジスタ６０１２ｃを含む。
　第１のシフトレジスタ６０１１ｃの構成は、図５６に示した第１のシフトレジスタ６０１１ｂの構成から、さらにレジスタが１つ少なくなっている。第２のシフトレジスタ６０１２ｃの構成は、値を出力するレジスタの組み合わせが異なる以外、図５４に示した第２のシフトレジスタ６０１２ａの構成と実質的に同じである。但し、第１のシフトレジスタ６０１１ｃと第２のシフトレジスタ６０１２ｃとは同じサイクルで連携して動作する。
　図５８に示すように、第１のシフトレジスタ６０１１ｃは、レジスタＲＣ１，１，ＲＣ１，２，ＲＣ１，３、及びセレクタＳＣ１，１，ＳＣ１，２，ＳＣ１，３により構成される。また、第１のシフトレジスタ６０１１ｃは、レジスタＲＣ１，１及びＲＣ１，２から格納値を出力するように構成されている。同様に、第２のシフトレジスタ６０１２ｃは、レジスタＲＣ２，１，ＲＣ２，２，ＲＣ２，３，ＲＣ２，４，ＲＣ２，５、及びセレクタＳＣ２，１，ＳＣ２，２，ＳＣ２，３，ＳＣ２，４，ＳＣ２，５により構成される。但し、第２のシフトレジスタ６０１２ｃは、レジスタＲＣ２，１、ＲＣ２，３、ＲＣ２，４、及びＲＣ２，５から格納値を出力するように構成されている。
　第１のシフトレジスタ６０１１ｃから出力される値ｙｃ１，１は、後段の演算回路６００ｄに入力される。また第１のシフトレジスタ６０１１ｃから出力される値ｙｃ１，１，ｙｃ１，２は、図５９に示すように、ＡＮＤ回路６０２ｃに入力される。同様に、第２のシフトレジスタ６０１２ｃから出力される値ｙｃ２，１，ｙｃ２，３，ｙｃ２，４，ｙｃ２，５は、後段の演算回路６００ｄに入力される。また第２のシフトレジスタ６０１２ｃから出力される値ｙｃ２，１，ｙｃ２，５は、ＡＮＤ回路６０３ｃに入力される。また、ＡＮＤ回路６０２ｃは、入力された値ｙｃ１，１，ｙｃ１，２の論理積を算出し、算出結果をセレクタ６０４ｃに入力する。同様に、ＡＮＤ回路６０３ｃは、入力された値ｙｃ２，１，ｙｃ２，５の論理積を算出し、算出結果をセレクタ６０４ｃに入力する。セレクタ６０４ｃは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路６０５ｃに入力する。
　ＡＮＤ回路６０５ｃには、セレクタ６０４ｃの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路６０５ｃは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路６０６ｃに入力する。ＸＯＲ回路６０６ｃには、ＡＮＤ回路６０５ｃの出力値と、後述するセレクタ６１１ｃの出力値とが入力される。ＸＯＲ回路６０６ｃは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ６０７ｃ、６０９ｃに入力する。なお、この演算結果は、セレクタ６０７ｃ、６０９ｃの状態に応じて、レジスタ６０８ｃ又はレジスタ６１０ｃに格納される。また、レジスタ６０８ｃ、６１０ｃの格納値は、セレクタ６１１ｃの状態に応じて、いずれか一方がＸＯＲ回路６０６ｃに入力されるか、演算結果ｚｃ１，ｚｃ２として演算回路から出力される。レジスタ６０８ｃ、６１０ｃからの値ｚｃ１，ｚｃ２は、後段の演算回路６００ｄに入力される。
　なお、セレクタ６０４ｃ、６１１ｃは、後述するｓｅｌＣの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ６０７ｃは、ＸＯＲ回路６０６ｃの出力、演算回路６００ｂから供給される値ｚｂ１，またはレジスタ６０８ｃの出力のいずれかを選択して出力する。同様に、セレクタ６０９ｃは、ＸＯＲ回路６０６ｃの出力、演算回路６００ｂから供給される値ｚｂ２，またはレジスタ６１０ｃの出力のいずれかを選択して出力する。
　図６０及び図６１は、演算回路６００ｄの回路構成を示す説明図である。図６０及び６２に示すように、演算回路６００ｄは、シフトレジスタ６０１ｄと、ＡＮＤ回路６０２ｄ、６０３ｄと、セレクタ６０４ｄと、ＡＮＤ回路６０５ｄと、ＸＯＲ回路６０６ｄと、セレクタ６０７ｄ、６０９ｄと、レジスタ６０８ｄ、６１０ｄと、セレクタ６１１ｄとにより構成される。また、シフトレジスタ６０１ｄは、第１のシフトレジスタ６０１１ｄ、及び第２のシフトレジスタ６０１２ｄを含む。
　第１のシフトレジスタ６０１１ｄの構成は、図５８に示した第１のシフトレジスタ６０１１ｃの構成から、さらにレジスタが１つ少なくなっている。第２のシフトレジスタ６０１２ｄの構成は、値を出力するレジスタの組み合わせが異なる以外、図５４に示した第２のシフトレジスタ６０１２ａの構成と実質的に同じである。但し、第１のシフトレジスタ６０１１ｄと第２のシフトレジスタ６０１２ｄとは同じサイクルで連携して動作する。
　図６０に示すように、第１のシフトレジスタ６０１１ｄは、レジスタＲＤ１，１，ＲＤ１，２、及びセレクタＳＤ１，１，ＳＤ１，２により構成される。また、第１のシフトレジスタ６０１１ｄは、レジスタＲＤ１，１及びＲＤ１，２から格納値を出力するように構成されている。同様に、第２のシフトレジスタ６０１２ｄは、レジスタＲＤ２，１，ＲＤ２，２，ＲＤ２，３，ＲＤ２，４，ＲＤ２，５、及びセレクタＳＤ２，１，ＳＤ２，２，ＳＤ２，３，ＳＤ２，４，ＳＤ２，５により構成される。但し、第２のシフトレジスタ６０１２ｄは、レジスタＲＤ２，１、及びＲＤ２，５から格納値を出力するように構成されている。
　第１のシフトレジスタ６０１１ｄから出力される値ｙｄ１，１，ｙｄ１，２は、図６１に示すように、ＡＮＤ回路６０２ｄに入力される。また第２のシフトレジスタ６０１２ｄから出力される値ｙｄ２，１，ｙｄ２，５は、ＡＮＤ回路６０３ｄに入力される。また、ＡＮＤ回路６０２ｄは、入力された値ｙｄ１，１，ｙｄ１，２の論理積を算出し、算出結果をセレクタ６０４ｄに入力する。同様に、ＡＮＤ回路６０３ｄは、入力された値ｙｄ２，１，ｙｄ２，５の論理積を算出し、算出結果をセレクタ６０４ｄに入力する。セレクタ６０４ｄは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路６０５ｄに入力する。
　ＡＮＤ回路６０５ｄには、セレクタ６０４ｄの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路６０５ｄは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路６０６ｄに入力する。ＸＯＲ回路６０６ｄには、ＡＮＤ回路６０５ｄの出力値と、後述するセレクタ６１１ｄの出力値とが入力される。ＸＯＲ回路６０６ｄは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ６０７ｄ、６０９ｄに入力する。なお、この演算結果は、セレクタ６０７ｄ、６０９ｄの状態に応じて、レジスタ６０８ｄ又はレジスタ６１０ｄに格納される。また、レジスタ６０８ｄ、６１０ｄの格納値は、セレクタ６１１ｄの状態に応じて、いずれか一方がＸＯＲ回路６０６ｄに入力されるか、演算結果ｚｄ１，ｚｄ２として演算回路から出力される。レジスタ６０８ｄ、６１０ｄからの値ｚｄ１，ｚｄ２が、それぞれｆ（ｘ１），ｆ（ｘ２）に相当する。
　なお、セレクタ６０４ｄ、６１１ｄは、後述するｓｅｌＤの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ６０７ｄは、ＸＯＲ回路６０６ｄの出力、演算回路６００ｃから供給される値ｚｃ１，またはレジスタ６０８ｄの出力のいずれかを選択して出力する。同様に、セレクタ６０９ｄは、ＸＯＲ回路６０６ｄの出力、演算回路６００ｃから供給される値ｚｃ２，またはレジスタ６１０ｄの出力のいずれかを選択して出力する。
　以上、実施例＃３に係る演算回路の構成について説明した。
　（６－７－２：動作（図６２～図６５））
　次に、図６２～図６５を用いて、実施例＃３に係る演算回路の動作について説明する。図６２～図６５は、それぞれ、演算回路６００ａ～６００ｄのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路６００ａ～６００ｄからの出力値をまとめたものである。
　演算回路６００ａ～６００ｄの基本動作は、実施例＃１に係る演算回路と同様である。すなわち、演算回路６００ａ～６００ｄに含まれる各セレクタの制御により、値の格納及びローテーションが行われる。まず、図６２を用いて演算回路６００ａのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路６００ａからの出力値を説明する。
　なお、図６２～図６５に示されているＴ１，ｉ、Ｔ２，ｉは、それぞれ以下の数式を表している。
Figure JPOXMLDOC01-appb-M000013
　従って、ｆ（ｘ１），ｆ（ｘ２）は以下の数式で表せる。
Figure JPOXMLDOC01-appb-M000014
　まず演算回路６００ａの最初のサイクル数１では、図６２に示したように演算回路６００ａの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，２が読み出される。また、セレクタ６０４ａ、６１１ａには、図５５における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ａ、６１０ａからの出力はいずれも０となる。
　サイクル数２では、各セレクタの制御により、図６２に示したように演算回路６００ａの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，３が読み出される。また、セレクタ６０４ａ、６１１ａには、図５５における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ａからの出力はａ１，２ｘ１，１ｘ１，２となり、レジスタ６１０ａからの出力は０となる。
　サイクル数３では、各セレクタの制御により、図６２に示したように演算回路６００ａの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，４が読み出される。また、セレクタ６０４ａ、６１１ａには、図５５における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３となり、レジスタ６１０ａからの出力は０となる。
　サイクル数４では、各セレクタの制御により、図６２に示したように演算回路６００ａの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ｂ１が読み出される。また、セレクタ６０４ａ、６１１ａには、図５５における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４となり、レジスタ６１０ａからの出力は０となる。
　サイクル数５では、各セレクタの制御により、図６２に示したように演算回路６００ａの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ｂ４が読み出される。また、セレクタ６０４ａ、６１１ａには、図５５における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４＋ｂ１ｘ１，１＝Ｔ１，１となり、レジスタ６１０ａからの出力は０となる。
　サイクル数６では、各セレクタの制御により、図６２に示したように演算回路６００ａの各レジスタに値が格納される。その結果、レジスタ６０８ａからの出力はＴ１，１となり、レジスタ６１０ａからの出力はｂ４ｘ２，４＝Ｔ２，４となる。
　演算回路６００ａは、このサイクル数１～サイクル数６を繰り返して演算結果を演算回路６００ｂに出力する。サイクル数６が終了すると、演算回路６００ａは、次のｘ１，ｘ２に対する演算処理を同様に実行する。
　次に、図６３を用いて演算回路６００ｂのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路６００ｂからの出力値を説明する。なお、図６３に示した演算回路６００ｂのレジスタの格納値は、演算回路６００ａにおいてサイクル数１～サイクル数６からなるローテーションが実行された後に演算回路６００ｂに供給されるものである。
　まず演算回路６００ｂの最初のサイクル数１では、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ２，３が読み出される。また、セレクタ６０４ｂ、６１１ｂには、図５７における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｂからの出力はＴ１，１（＝演算回路６００ａの出力ｚａ１）となり、レジスタ６１０ｂからの出力はＴ２，４（＝演算回路６００ａの出力ｚａ２）となる。
　サイクル数２では、各セレクタの制御により、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ２，４が読み出される。また、セレクタ６０４ｂ、６１１ｂには、図５７における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３となり、レジスタ６１０ｂからの出力はＴ２，４となる。
　サイクル数３では、各セレクタの制御により、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ｂ２が読み出される。また、セレクタ６０４ｂ、６１１ｂには、図５７における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４となり、レジスタ６１０ｂからの出力はＴ２，４となる。
　サイクル数４では、各セレクタの制御により、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ｂ３が読み出される。また、セレクタ６０４ｂ、６１１ｂには、図５７における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４＋ｂ２ｘ１，２＝Ｔ１，１＋Ｔ１，２となり、レジスタ６１０ｂからの出力はＴ２，４となる。
　サイクル数５では、各セレクタの制御により、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ３，４が読み出される。また、セレクタ６０４ｂ、６１１ｂには、図５７における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｂからの出力はＴ１，１＋Ｔ１，２となり、レジスタ６１０ｂからの出力はＴ２，４＋ｂ３ｘ２，３となる。
　サイクル数６では、各セレクタの制御により、図６３に示したように演算回路６００ｂの各レジスタに値が格納される。その結果、レジスタ６０８ｂからの出力はＴ１，１＋Ｔ１，２となり、レジスタ６１０ｂからの出力はＴ２，４＋ｂ３ｘ２，３＋ａ３，４ｘ２，３ｘ２，４＝Ｔ２，４＋Ｔ２，３となる。
　演算回路６００ｂは、このサイクル数１～サイクル数６を繰り返して演算結果を演算回路６００ｃに出力する。サイクル数６が終了すると、演算回路６００ｂは、次のｘ１，ｘ２に対する演算処理を同様に実行する。
　次に、図６４を用いて演算回路６００ｃのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路６００ｃからの出力値を説明する。
なお、図６４に示した演算回路６００ｃのレジスタの格納値は、演算回路６００ｂにおいてサイクル数１～サイクル数６からなるローテーションが実行された後に演算回路６００ｃに供給されるものである。
　まず演算回路６００ｃの最初のサイクル数１では、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ３，４が読み出される。また、セレクタ６０４ｃ、６１１ｃには、図５９における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２（＝演算回路６００ｂの出力ｚｂ１）となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３（＝演算回路６００ｂの出力ｚｂ２）となる。
　サイクル数２では、各セレクタの制御により、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ｂ３が読み出される。また、セレクタ６０４ｃ、６１１ｃには、図５９における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２＋ａ３，４ｘ１，３ｘ１，４となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３となる。
　サイクル数３では、各セレクタの制御により、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ｂ２が読み出される。また、セレクタ６０４ｃ、６１１ｃには、図５９における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２＋ａ３，４ｘ１，３ｘ１，４＋ｂ３ｘ１，３＝Ｔ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３となる。
　サイクル数４では、各セレクタの制御により、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ２，４が読み出される。また、セレクタ６０４ｃ、６１１ｃには、図５９における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３＋ｂ２ｘ２，２となる。
　サイクル数５では、各セレクタの制御により、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ｂから係数ａ２，３が読み出される。また、セレクタ６０４ｃ、６１１ｃには、図５９における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３＋ｂ２ｘ２，２＋ａ２，４ｘ２，２ｘ２，４となる。
　サイクル数６では、各セレクタの制御により、図６４に示したように演算回路６００ｃの各レジスタに値が格納される。その結果、レジスタ６０８ｃからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ６１０ｃからの出力はＴ２，４＋Ｔ２，３＋ｂ２ｘ２，２＋ａ２，４ｘ２，２ｘ２，４＋ａ２，３ｘ２，２ｘ２，３＝Ｔ２，４＋Ｔ２，３＋Ｔ２，２となる。
　演算回路６００ｃは、このサイクル数１～サイクル数６を繰り返して演算結果を演算回路６００ｄに出力する。サイクル数６が終了すると、演算回路６００ｃは、次のｘ１，ｘ２に対する演算処理を同様に実行する。
　次に、図６５を用いて演算回路６００ｄのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路６００ｄからの出力値を説明する。
なお、図６５に示した演算回路６００ｄのレジスタの格納値は、演算回路６００ｃにおいてサイクル数１～サイクル数６からなるローテーションが実行された後に演算回路６００ｄに供給されるものである。
　まず演算回路６００ｄの最初のサイクル数１では、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ｂ４が読み出される。また、セレクタ６０４ｄ、６１１ｄには、図６１における“０”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３（＝演算回路６００ｃの出力ｚｃ１）となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２（＝演算回路６００ｃの出力ｚｃ２）となる。
　サイクル数２では、各セレクタの制御により、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ｂ１が読み出される。また、セレクタ６０４ｄ、６１１ｄには、図６１における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３＋ｂ４ｘ１，４＝Ｔ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２となる。
　サイクル数３では、各セレクタの制御により、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，４が読み出される。また、セレクタ６０４ｄ、６１１ｄには、図６１における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２＋ｂ１ｘ２，１となる。
　サイクル数４では、各セレクタの制御により、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，３が読み出される。また、セレクタ６０４ｄ、６１１ｄには、図６１における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２＋ｂ１ｘ２，１＋ａ１，４ｘ２，１ｘ２，４となる。
　サイクル数５では、各セレクタの制御により、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。また、ＲＯＭ６９０の領域６９０ａから係数ａ１，２が読み出される。また、セレクタ６０４ｄ、６１１ｄには、図６１における“１”からの入力を出力するような信号が供給される。その結果、レジスタ６０８ｄからの出力Ｔ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２＋ｂ１ｘ２，１＋ａ１，４ｘ２，１ｘ２，４＋ａ１，３ｘ２，１ｘ２，３となる。
　サイクル数６では、各セレクタの制御により、図６５に示したように演算回路６００ｄの各レジスタに値が格納される。その結果、レジスタ６０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ６１０ｄからの出力はＴ２，４＋Ｔ２，３＋Ｔ２，２＋ｂ１ｘ２，１＋ａ１，４ｘ２，１ｘ２，４＋ａ１，３ｘ２，１ｘ２，３＋ａ１，２ｘ２，１ｘ２，２＝Ｔ２，４＋Ｔ２，３＋Ｔ２，２＋Ｔ２，１となる。
　演算回路６００ｄは、このサイクル数１～サイクル数６を繰り返してｆ（ｘ１）及びｆ（ｘ２）の演算結果を出力する。サイクル数６が終了すると、演算回路６００ｄは、次のｘ１，ｘ２に対する演算処理を同様に実行する。
　このように、実施例＃３に係る演算回路は、係数ａｉｊ、ｂｉが格納されているＲＯＭ６９０の領域を複数に分割し、二次多項式ｆ（ｘ１）及びｆ（ｘ２）の演算処理をパイプライン化することで、ＲＯＭ６９０の配置上の制約を緩和することができ、最大動作周波数の低下を防ぐことが出来る。また実施例＃３に係る演算回路は、ある演算回路の出力を後段の演算回路の入力として使用出来るので、シフトレジスタ６０１１ａ、６０１１ｂ、６０１１ｃ、６０１１ｄの順にレジスタの数を減らすことができる。従って実施例＃３に係る演算回路は、単純に実施例＃１に係る演算回路を複数並列に設けた場合に比べて、レジスタの数を削減することができる。
　［６－８：実施例＃４（多変数多項式Ｆの計算のパイプライン化）］
　次に、実施例＃４に係る演算回路について説明する。実施例＃３に係る演算回路は、２つの入力ｘ１、ｘ２を同じ順序で演算することで、単純に実施例＃１に係る演算回路を複数並列に設けた場合に比べて、レジスタの数を削減することができることを説明したが、２つの入力ｘ１、ｘ２の演算順序をお互い逆にすることで、レジスタの数をさらに削減することができる。
　（６－８－１：回路構成（図６６～図７６））
　図６６は、実施例＃４に係る演算回路の構成を示す説明図である。図６６に示した演算回路は、入力ｘが４ビットの場合に二次多項式を演算して出力するものである。図６６に示したように、実施例＃４に係る演算回路は、演算回路７００ａ、７００ｂ、７００ｃ、７００ｄと、係数が格納されるＲＯＭ７９０と、を含んで構成される。そして、ＲＯＭ７９０は、２つの領域７９０ａ、７９０ｂに分割されている。
　演算回路７００ａ、７００ｂ、７００ｃ、７００ｄは、２つの入力ｘ１，ｘ２から二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を並列に生成する回路である。実施例＃３に係る演算回路は、４つの演算回路６００ａ、６００ｂ、６００ｃ、６００ｄの順のパイプライン処理によって、２つの入力ｘ１，ｘ２から二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を並列に生成するよう設計されていた。実施例＃４に係る演算回路は、４つの演算回路７００ａ、７００ｂ、７００ｃ、７００ｄの順のパイプライン処理によって、入力ｘ１から二次多変数多項式ｆ（ｘ１）を、その逆順のパイプライン処理によって、入力ｘ２から二次多変数多項式ｆ（ｘ２）を、それぞれ並列に生成するよう設計されている。
　４つの演算回路７００ａ、７００ｂ、７００ｃ、７００ｄによるパイプライン処理によって、二次多変数多項式ｆ（ｘ１），ｆ（ｘ２）を効率的に生成するために、係数が格納されるＲＯＭ７９０は２つの領域７９０ａ、７９０ｂに分割されている。領域７９０ａ、７９０ｂに格納される係数は、図５３に示したものと同じである。
　図６７及び図６８は、演算回路７００ａの回路構成を示す説明図である。図６７及び図６８に示すように、演算回路７００ａは、シフトレジスタ７０１ａと、ＡＮＤ回路７０２ａ、７０３ａと、セレクタ７０４ａと、ＡＮＤ回路７０５ａと、ＸＯＲ回路７０６ａと、セレクタ７０７ａ、７０９ａと、レジスタ７０８ａ、７１０ａと、セレクタ７１１ａとにより構成される。また、シフトレジスタ７０１ａは、第１のシフトレジスタ７０１１ａ、及び第２のシフトレジスタ７０１２ａを含む。
　第１のシフトレジスタ７０１１ａの構成は、値を出力するレジスタの組み合わせが異なる以外、図３５に示した第１のシフトレジスタ４０１１の構成と実質的に同じである。但し、第１のシフトレジスタ７０１１ａと第２のシフトレジスタ７０１２ａとは同じサイクルで連携して動作する。
　図６７に示すように、第１のシフトレジスタ７０１１ａは、レジスタＲＡ１，１，ＲＡ１，２，ＲＡ１，３，ＲＡ１，４，ＲＡ１，５、及びセレクタＳＡ１，１，ＳＡ１，２，ＳＡ１，３，ＳＡ１，４，ＳＡ１，５により構成される。また、第１のシフトレジスタ７０１１ａは、レジスタＲＡ１，１、ＲＡ１，２、及びＲＡ１，３から格納値を出力するように構成されている。第２のシフトレジスタ７０１２ａは、レジスタＲＡ２，１，ＲＡ２，２及びセレクタＳＡ２，１，ＳＡ２，２により構成される。第２のシフトレジスタ７０１２ａは、レジスタＲＡ２，１、及びＲＡ２，２から格納値を出力するように構成されている。
　第１のシフトレジスタ７０１１ａから出力される値ｙａ１，１，ｙａ１，２，ｙａ１，３は、後段の演算回路７００ｂに入力される。また第１のシフトレジスタ７０１１ａから出力される値ｙａ１，１，ｙａ１，２は、図６８に示すように、ＡＮＤ回路７０２ａに入力される。また第２のシフトレジスタ７０１２ａから出力される値ｙａ２，１，ｙａ２，２は、ＡＮＤ回路７０３ａに入力される。また、ＡＮＤ回路７０２ａは、入力された値ｙａ１，１，ｙａ１，２の論理積を算出し、算出結果をセレクタ７０４ａに入力する。同様に、ＡＮＤ回路７０３ａは、入力された値ｙａ２，１，ｙａ２，２の論理積を算出し、算出結果をセレクタ７０４ａに入力する。セレクタ７０４ａは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路７０５ａに入力する。
　ＡＮＤ回路７０５ａには、セレクタ７０４ａの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路７０５ａは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路７０６ａに入力する。ＸＯＲ回路７０６ａには、ＡＮＤ回路７０５ａの出力値と、後述するセレクタ７１１ａの出力値とが入力される。ＸＯＲ回路７０６ａは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ７０７ａ、７０９ａに入力する。なお、この演算結果は、セレクタ７０７ａ、７０９ａの状態に応じて、レジスタ７０８ａ又はレジスタ７１０ａに格納される。また、レジスタ７０８ａ、７１０ａの格納値は、セレクタ７１１ａの状態に応じて、いずれか一方がＸＯＲ回路７０６ａに入力されるか、演算結果ｚａ１，ｚａ２として演算回路７００ａから出力される。レジスタ７０８ａからの値ｚａ１は、後段の演算回路７００ｂに入力される。一方、レジスタ７１０ａからの値ｚａ２は、二次多変数多項式ｆ（ｘ２）として演算回路から出力される。
　なお、セレクタ７０４ａ、７１１ａは、後述するｓｅｌＡの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ７０７ａは、ＸＯＲ回路７０６ａの出力、値“０”，またはレジスタ７０８ａの出力のいずれかを選択して出力する。同様に、セレクタ７０９ａは、ＸＯＲ回路７０６ａの出力、演算回路７００ｂから供給される値ｚｂ２，またはレジスタ７１０ａの出力のいずれかを選択して出力する。
　図６９及び図７０は、演算回路７００ｂの回路構成を示す説明図である。図６９及び図７０に示すように、演算回路７００ｂは、シフトレジスタ７０１ｂと、ＡＮＤ回路７０２ｂ、７０３ｂと、セレクタ７０４ｂと、ＡＮＤ回路７０５ｂと、ＸＯＲ回路７０６ｂと、セレクタ７０７ｂ、７０９ｂと、レジスタ７０８ｂ、７１０ｂと、セレクタ７１１ｂとにより構成される。また、シフトレジスタ７０１ｂは、第１のシフトレジスタ７０１１ｂ、及び第２のシフトレジスタ７０１２ｂを含む。
　第１のシフトレジスタ７０１１ｂの構成は、図６７に示した第１のシフトレジスタ７０１１ａの構成から、レジスタが１つ少なくなっている。第２のシフトレジスタ７０１２ｂの構成は、図６７に示した第１のシフトレジスタ７０１２ａの構成から、レジスタが１つ多くなっている。第１のシフトレジスタ７０１１ｂと第２のシフトレジスタ７０１２ｂとは同じサイクルで連携して動作する。
　図６９に示すように、第１のシフトレジスタ７０１１ｂは、レジスタＲＢ１，１，ＲＢ１，２，ＲＢ１，３，ＲＢ１，４、及びセレクタＳＢ１，１，ＳＢ１，２，ＳＢ１，３，ＳＢ１，４により構成される。また、第１のシフトレジスタ７０１１ｂは、レジスタＲＢ１，１及びＲＢ１，２から格納値を出力するように構成されている。同様に、第２のシフトレジスタ７０１２ｂは、レジスタＲＢ２，１，ＲＢ２，２，ＲＢ２，３、及びセレクタＳＢ２，１，ＳＢ２，２，ＳＢ２，３により構成される。但し、第２のシフトレジスタ７０１２ｂは、レジスタＲＢ２，１、ＲＢ２，２、及びＲＢ２，３から格納値を出力するように構成されている。
　第１のシフトレジスタ７０１１ｂから出力される値ｙｂ１，１，ｙｂ１，２は、後段の演算回路７００ｃに入力される。また第１のシフトレジスタ７０１１ｂから出力される値ｙｂ１，１，ｙｂ１，２は、図７０に示すように、ＡＮＤ回路７０２ｂに入力される。同様に、第２のシフトレジスタ７０１２ｂから出力される値ｙｂ２，２は、後段の演算回路７００ａに入力される。また第２のシフトレジスタ７０１２ｂから出力される値ｙｂ２，１，ｙｂ２，２は、ＡＮＤ回路７０３ｂに入力される。また、ＡＮＤ回路７０２ｂは、入力された値ｙｂ１，１，ｙｂ１，２の論理積を算出し、算出結果をセレクタ７０４ｂに入力する。同様に、ＡＮＤ回路７０３ｂは、入力された値ｙｂ２，１，ｙｂ２，２の論理積を算出し、算出結果をセレクタ７０４ｂに入力する。セレクタ７０４ｂは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路７０５ｂに入力する。
　ＡＮＤ回路７０５ｂには、セレクタ７０４ｂの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路７０５ｂは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路７０６ｂに入力する。ＸＯＲ回路７０６ｂには、ＡＮＤ回路７０５ｂの出力値と、後述するセレクタ７１１ｂの出力値とが入力される。ＸＯＲ回路７０６ｂは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ７０７ｂ、７０９ａに入力する。なお、この演算結果は、セレクタ７０７ｂ、７０９ｂの状態に応じて、レジスタ７０８ｂ又はレジスタ７１０ｂに格納される。また、レジスタ７０８ｂ、７１０ｂの格納値は、セレクタ７１１ｂの状態に応じて、いずれか一方がＸＯＲ回路７０６ｂに入力されるか、演算結果ｚｂ１，ｚｂ２として演算回路７００ｂから出力される。レジスタ７０８ｂからの値ｚｂ１は、後段の演算回路７００ｃに入力される。またレジスタ７１０ｂからの値ｚｂ２は、後段の演算回路７００ａに入力される。
　なお、セレクタ７０４ｂ、７１１ｂは、後述するｓｅｌＢの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ７０７ｂは、ＸＯＲ回路７０６ｂの出力、演算回路７００ａから供給される値ｚａ１，またはレジスタ７０８ｂの出力のいずれかを選択して出力する。同様に、セレクタ７０９ｂは、ＸＯＲ回路７０６ｂの出力、演算回路７００ｃから供給される値ｚｃ２，またはレジスタ７１０ｂの出力のいずれかを選択して出力する。
　図７１及び図７２は、演算回路７００ｃの回路構成を示す説明図である。図７１及び図７２に示すように、演算回路７００ｃは、シフトレジスタ７０１ｃと、ＡＮＤ回路７０２ｃ、７０３ｃと、セレクタ７０４ｃと、ＡＮＤ回路７０５ｃと、ＸＯＲ回路７０６ｃと、セレクタ７０７ｃ、７０９ｃと、レジスタ７０８ｃ、７１０ｃと、セレクタ７１１ｃとにより構成される。また、シフトレジスタ７０１ｃは、第１のシフトレジスタ７０１１ｃ、及び第２のシフトレジスタ７０１２ｃを含む。
　第１のシフトレジスタ７０１１ｃの構成は、図６９に示した第１のシフトレジスタ７０１１ｂの構成から、さらにレジスタが１つ少なくなっている。第２のシフトレジスタ７０１２ｃの構成は、図６９に示した第１のシフトレジスタ７０１２ｂの構成から、レジスタが１つ多くなっている。第１のシフトレジスタ７０１１ｃと第２のシフトレジスタ７０１２ｃとは同じサイクルで連携して動作する。
　図７１に示すように、第１のシフトレジスタ７０１１ｃは、レジスタＲＣ１，１，ＲＣ１，２，ＲＣ１，３、及びセレクタＳＣ１，１，ＳＣ１，２，ＳＣ１，３により構成される。また、第１のシフトレジスタ７０１１ｃは、レジスタＲＣ１，１、ＲＣ１，２及びＲＣ１，３から格納値を出力するように構成されている。同様に、第２のシフトレジスタ７０１２ｃは、レジスタＲＣ２，１，ＲＣ２，２，ＲＣ２，３，ＲＣ２，４、及びセレクタＳＣ２，１，ＳＣ２，２，ＳＣ２，３，ＳＣ２，４により構成される。第２のシフトレジスタ７０１２ｃは、レジスタＲＣ２，１、及びＲＣ２，２から格納値を出力するように構成されている。
　第１のシフトレジスタ７０１１ｃから出力される値ｙｃ１，１は、後段の演算回路７００ｄに入力される。また第１のシフトレジスタ７０１１ｃから出力される値ｙｃ１，１，ｙｃ１，２は、図７２に示すように、ＡＮＤ回路７０２ｃに入力される。同様に、第２のシフトレジスタ７０１２ｃから出力される値ｙｃ２，１，ｙｃ２，２は、後段の演算回路７００ｂに入力される。また第２のシフトレジスタ７０１２ｃから出力される値ｙｃ２，１，ｙｃ２，２は、ＡＮＤ回路７０３ｃに入力される。また、ＡＮＤ回路７０２ｃは、入力された値ｙｃ１，１，ｙｃ１，２の論理積を算出し、算出結果をセレクタ７０４ｃに入力する。同様に、ＡＮＤ回路７０３ｃは、入力された値ｙｃ２，１，ｙｃ２，２の論理積を算出し、算出結果をセレクタ７０４ｃに入力する。セレクタ７０４ｃは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路７０５ｃに入力する。
　ＡＮＤ回路７０５ｃには、セレクタ７０４ｃの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路７０５ｃは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路７０６ｃに入力する。ＸＯＲ回路７０６ｃには、ＡＮＤ回路７０５ｃの出力値と、後述するセレクタ７１１ｃの出力値とが入力される。ＸＯＲ回路７０６ｃは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ７０７ｃ、７０９ｃに入力する。なお、この演算結果は、セレクタ７０７ｃ、７０９ｃの状態に応じて、レジスタ７０８ｃ又はレジスタ７１０ｃに格納される。また、レジスタ７０８ｃ、７１０ｃの格納値は、セレクタ７１１ｃの状態に応じて、いずれか一方がＸＯＲ回路７０６ｃに入力されるか、演算結果ｚｃ１，ｚｃ２として演算回路から出力される。レジスタ７０８ｃからの値ｚｃ１は、後段の演算回路７００ｄに入力される。またレジスタ７１０ｃからの値ｚｃ２は、後段の演算回路７００ｂに入力される。
　なお、セレクタ７０４ｃ、７１１ｃは、後述するｓｅｌＣの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ７０７ｃは、ＸＯＲ回路７０６ｃの出力、演算回路７００ｂから供給される値ｚｂ１，またはレジスタ７０８ｃの出力のいずれかを選択して出力する。同様に、セレクタ７０９ｃは、ＸＯＲ回路７０６ｃの出力、演算回路７００ｄから供給される値ｚｄ２，またはレジスタ７１０ｃの出力のいずれかを選択して出力する。
　図７３及び図７４は、演算回路７００ｄの回路構成を示す説明図である。図７３及び図７４に示すように、演算回路７００ｄは、シフトレジスタ７０１ｄと、ＡＮＤ回路７０２ｄ、７０３ｄと、セレクタ７０４ｄと、ＡＮＤ回路７０５ｄと、ＸＯＲ回路７０６ｄと、セレクタ７０７ｄ、７０９ｄと、レジスタ７０８ｄ、７１０ｄと、セレクタ７１１ｄとにより構成される。また、シフトレジスタ７０１ｄは、第１のシフトレジスタ６０１１ｄ、及び第２のシフトレジスタ７０１２ｄを含む。
　第１のシフトレジスタ７０１１ｄの構成は、図７１に示した第１のシフトレジスタ７０１１ｃの構成から、さらにレジスタが１つ少なくなっている。第２のシフトレジスタ７０１２ｄの構成は、図７１に示した第１のシフトレジスタ７０１２ｃの構成から、レジスタが１つ多くなっている。第１のシフトレジスタ７０１１ｄと第２のシフトレジスタ７０１２ｄとは同じサイクルで連携して動作する。
　図７３に示すように、第１のシフトレジスタ７０１１ｄは、レジスタＲＤ１，１，ＲＤ１，２、及びセレクタＳＤ１，１，ＳＤ１，２により構成される。また、第１のシフトレジスタ７０１１ｄは、レジスタＲＤ１，１及びＲＤ１，２から格納値を出力するように構成されている。第２のシフトレジスタ７０１２ｄは、レジスタＲＤ２，１，ＲＤ２，２，ＲＤ２，３，ＲＤ２，４，ＲＤ２，５、及びセレクタＳＤ２，１，ＳＤ２，２，ＳＤ２，３，ＳＤ２，４，ＳＤ２，５により構成される。第２のシフトレジスタ７０１２ｄは、レジスタＲＤ２，１、ＲＤ２，２、及びＲＤ２，３から格納値を出力するように構成されている。
　第１のシフトレジスタ７０１１ｄから出力される値ｙｄ１，１，ｙｄ１，２は、図７４に示すように、ＡＮＤ回路７０２ｄに入力される。また第２のシフトレジスタ７０１２ｄから出力される値ｙｄ２，１，ｙｄ２，２は、ＡＮＤ回路７０３ｄに入力される。また、ＡＮＤ回路７０２ｄは、入力された値ｙｄ１，１，ｙｄ１，２の論理積を算出し、算出結果をセレクタ７０４ｄに入力する。同様に、ＡＮＤ回路７０３ｄは、入力された値ｙｄ２，１，ｙｄ２，２の論理積を算出し、算出結果をセレクタ７０４ｄに入力する。セレクタ７０４ｄは、入力された２つの値から１つの値を選択し、選択結果をＡＮＤ回路７０５ｄに入力する。
　ＡＮＤ回路７０５ｄには、セレクタ７０４ｄの出力値と共に、係数ａｉｊ及びｂｉが入力される。そして、ＡＮＤ回路７０５ｄは、入力された出力値と係数との論理積を算出し、その算出結果をＸＯＲ回路７０６ｄに入力する。ＸＯＲ回路７０６ｄには、ＡＮＤ回路７０５ｄの出力値と、後述するセレクタ７１１ｄの出力値とが入力される。ＸＯＲ回路７０６ｄは、入力された２つの値について排他的論理和演算を実施し、その演算結果をセレクタ７０７ｄ、７０９ｄに入力する。なお、この演算結果は、セレクタ７０７ｄ、７０９ｄの状態に応じて、レジスタ７０８ｄ又はレジスタ７１０ｄに格納される。また、レジスタ７０８ｄ、７１０ｄの格納値は、セレクタ７１１ｄの状態に応じて、いずれか一方がＸＯＲ回路７０６ｄに入力されるか、演算結果ｚｄ１，ｚｄ２として演算回路から出力される。レジスタ７０８ｄからの値ｚｄ１はｆ（ｘ１）に相当する。またレジスタ７１０ｄからの値ｚｄ２は、後段の演算回路７００ｃに入力される。
　なお、セレクタ７０４ｄ、７１１ｄは、後述するｓｅｌＤの値に応じて、入力された値のいずれか一方を選択して出力する。またセレクタ７０７ｄは、ＸＯＲ回路７０６ｄの出力、演算回路７００ｃから供給される値ｚｃ１，またはレジスタ７０８ｄの出力のいずれかを選択して出力する。セレクタ７０９ｄは、ＸＯＲ回路７０６ｄの出力、値“０”，またはレジスタ７１０ｄの出力のいずれかを選択して出力する。
　以上、実施例＃４に係る演算回路の構成について説明した。
　（６－８－２：動作（図７５～図８２））
　次に、図７５～図８２を用いて、実施例＃４に係る演算回路の動作について説明する。図７５～図８２は、それぞれ、演算回路７００ａ～７００ｄのレジスタの格納値、ＲＯＭ６９０から読み出される係数、セレクタに供給される信号及び演算回路７００ａ～７００ｄからの出力値をまとめたものである。図７５及び図７６が、演算回路７００ａについてまとめたものであり、図７７及び図７８が、演算回路７００ｂについてまとめたものであり、図７９及び図８０が、演算回路７００ｃについてまとめたものであり、図８１及び図８２が、演算回路７００ｄについてまとめたものである。
　まず、図７５、図７６、図８１及び図８２を用いて、サイクル数１～サイクル数６における、演算回路７００ａ、７００ｄのレジスタの格納値、ＲＯＭ７９０から読み出される係数、セレクタに供給される信号及び演算回路７００ａ、７００ｄからの出力値を説明する。
　最初のサイクル数１では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，２が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａ、７１０ｄからの出力は０となる。
　サイクル数２では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，３が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、レジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２となる。
　サイクル数３では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，４が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、レジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３となる。
　サイクル数４では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ｂ１が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、レジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３＋ａ１，４ｘ２，１ｘ２，４となる。
　サイクル数５では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ｂ４が読み出される。その結果、レジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４＋ｂ１ｘ１，１＝Ｔ１，１となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３＋ａ１，４ｘ２，１ｘ２，４＋ｂ１ｘ２，１＝Ｔ２，１となる。
　サイクル数６では、各セレクタの制御により、図７６及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。その結果、レジスタ７０８ａからの出力はＴ１，１となり、レジスタ７１０ｄからの出力はＴ２，１となる。
　演算回路７００ａ、７００ｄは、このサイクル数１～サイクル数６の６つのサイクルを繰り返して演算結果を演算回路７００ｂ、７００ｃにそれぞれ出力する。６つのサイクルが終了すると、演算回路７００ａ、７００ｄは、それぞれ次のｘ１，ｘ２に対する演算処理を同様に実行する。
　続いて、図７７、図７８、図７９及び図８０を用いて、サイクル数６＋１～サイクル数６＋６における、演算回路７００ｂ、７００ｃのレジスタの格納値、ＲＯＭ７９０から読み出される係数、セレクタに供給される信号及び演算回路７００ｂ、７００ｃからの出力値を説明する。
　最初のサイクル数６＋１では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ａ２，３が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１となり、レジスタ７１０ｃからの出力はＴ２，１となる。
　サイクル数６＋２では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ａ２，４が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、レジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３となる。
　サイクル数６＋３では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ｂ２が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、レジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３＋ａ２，４ｘ２，２ｘ２，４となる。
　サイクル数６＋４～６＋６では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ｂ３が読み出される。その結果、レジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４＋ｂ２ｘ１，２＝Ｔ１，１＋Ｔ１，２となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３＋ａ２，４ｘ２，２ｘ２，４＋ｂ２ｘ２，２＝Ｔ２，１＋Ｔ２，２となる。
　演算回路７００ｂ、７００ｃは、この６つのサイクルを繰り返して演算結果を演算回路７００ｃ、７００ｂにそれぞれ出力する。６つのサイクルが終了すると、演算回路７００ａ、７００ｄは、それぞれ次に演算回路７００ａ、７００ｄから供給される値に対する演算処理を同様に実行する。
　続いて、図７７、図７８、図７９及び図８０を用いて、サイクル数２×６＋１～サイクル数２×６＋６における、演算回路７００ｂ、７００ｃのレジスタの格納値、ＲＯＭ７９０から読み出される係数、セレクタに供給される信号及び演算回路７００ｂ、７００ｃからの出力値を説明する。
　最初のサイクル数２×６＋１では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。サイクル数６＋１では値が格納されていなかったレジスタＲＢ２，１、ＲＢ２，２、ＲＢ２，３には、演算回路７００ｃのシフトレジスタ７０１２ｃからの出力値または“１”が格納される。同様に、サイクル数６＋１では値が格納されていなかったレジスタＲＣ１，１、ＲＣ１，２、ＲＣ１，３には、演算回路７００ｂのシフトレジスタ７０１２ｂからの出力値または“１”が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ａ２，３が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｃからの出力はＴ２，１となる。
　サイクル数２×６＋２では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ａ２，４が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３となる。
　サイクル数２×６＋３では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ｂ２が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“１”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３＋ａ２，４ｘ２，２ｘ２，４となる。
　サイクル数２×６＋４では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ｂ３が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“１”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“０”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１＋ａ２，３ｘ１，２ｘ１，３＋ａ２，４ｘ１，２ｘ１，４＋ｂ２ｘ１，２＝Ｔ１，１＋Ｔ１，２となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｃからの出力はＴ２，１＋ａ２，３ｘ２，２ｘ２，３＋ａ２，４ｘ２，２ｘ２，４＋ｂ２ｘ２，２＝Ｔ２，１＋Ｔ２，２となる。
　サイクル数２×６＋５では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ｂから係数ａ３，４が読み出される。また、セレクタ７０４ｂ、７１１ｂには、図７０における“１”からの入力を出力するような信号が供給され、セレクタ７０４ｃ、７１１ｃには、図７２における“０”からの入力を出力するような信号が供給される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２＋ｂ３ｘ２，３となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２＋ｂ３ｘ１，３となり、レジスタ７１０ｃからの出力はＴ２，１＋Ｔ２，２となる。
　サイクル数２×６＋６では、各セレクタの制御により、図７７及び図７９に示したように演算回路７００ｂ、７００ｃの各レジスタに値が格納される。その結果、図７８及び図８０に示したようにレジスタ７０８ｂからの出力はＴ１，１＋Ｔ１，２となり、レジスタ７１０ｂからの出力はＴ２，１＋Ｔ２，２＋ｂ３ｘ２，３＋ａ３，４ｘ２，３ｘ２，４＝Ｔ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｃからの出力はＴ１，１＋Ｔ１，２＋ｂ３ｘ１，３＋ａ３，４ｘ１，３ｘ１，４＝Ｔ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｃからの出力はＴ２，１＋Ｔ２，２となる。
　続いて、図７５、図７６、図８１及び図８２を用いて、サイクル数３×６＋１～サイクル数３×６＋６における、演算回路７００ａ、７００ｄのレジスタの格納値、ＲＯＭ７９０から読み出される係数、セレクタに供給される信号及び演算回路７００ａ、７００ｄからの出力値を説明する。
　最初のサイクル数３×６＋１では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。サイクル数１～２×６＋６では値が格納されていなかったレジスタＲＡ２，１、ＲＡ２，２には、演算回路７００ｂのシフトレジスタ７０１２ｂからの出力値または“１”が格納される。同様に、サイクル数１～２×６＋６では値が格納されていなかったレジスタＲＤ１，１、ＲＤ１，２には、演算回路７００ｃのシフトレジスタ７０１２ｃからの出力値または“１”が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，２が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａからの出力は０となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｄからの出力は０となる。
　サイクル数３×６＋２では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，３が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２となる。
　サイクル数３×６＋３では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ａ１，４が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３となる。
　サイクル数３×６＋４では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ｂ１が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“０”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“１”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３＋ａ１，４ｘ２，１ｘ２，４となる。
　サイクル数３×６＋５では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。また、ＲＯＭ７９０の領域７９０ａから係数ｂ４が読み出される。また、セレクタ７０４ａ、７１１ａには、図６８における“１”からの入力を出力するような信号が供給され、セレクタ７０４ｄ、７１１ｄには、図７４における“０”からの入力を出力するような信号が供給される。その結果、図７６及び図８２に示したようにレジスタ７０８ａからの出力はａ１，２ｘ１，１ｘ１，２＋ａ１，３ｘ１，１ｘ１，３＋ａ１，4ｘ１，１ｘ１，４＋ｂ１ｘ１，１＝Ｔ１，１となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３となり、レジスタ７１０ｄからの出力はａ１，２ｘ２，１ｘ２，２＋ａ１，３ｘ２，１ｘ２，３＋ａ１，４ｘ２，１ｘ２，４＋ｂ１ｘ２，１＝Ｔ２，１となる。
　サイクル数３×６＋６では、各セレクタの制御により、図７５及び図８１に示したように演算回路７００ａ、７００ｄの各レジスタに値が格納される。その結果、図７７及び図８２に示したようにレジスタ７０８ａからの出力はＴ１，１となり、レジスタ７１０ａからの出力はＴ２，１＋Ｔ２，２＋Ｔ２，３＋ｂ４ｘ２，４＝Ｔ２，１＋Ｔ２，２＋Ｔ２，３＋Ｔ２，４となり、レジスタ７０８ｄからの出力はＴ１，１＋Ｔ１，２＋Ｔ１，３＋ｂ４ｘ１，４＝Ｔ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４となり、レジスタ７１０ｄからの出力はＴ２，１となる。
　このサイクル数３×６＋６でのレジスタ７１０ａからの出力値Ｔ２，１＋Ｔ２，２＋Ｔ２，３＋Ｔ２，４は、数式（１９）で示したようにｆ（ｘ２）に相当し、レジスタ７０８ｄからの出力値Ｔ１，１＋Ｔ１，２＋Ｔ１，３＋Ｔ１，４は数式（１８）で示したようにｆ（ｘ１）に相当する。
　このように、実施例＃４に係る演算回路は、係数ａｉｊ、ｂｉが格納されているＲＯＭ７９０の領域を複数に分割し、二次多項式ｆ（ｘ１）及びｆ（ｘ２）の演算処理をパイプライン化することで、ＲＯＭ７９０の配置上の制約を緩和することができ、最大動作周波数の低下を防ぐことが出来る。また実施例＃４に係る演算回路は、実施例＃４に係る演算回路は、４つの演算回路７００ａ、７００ｂ、７００ｃ、７００ｄの順のパイプライン処理によって、入力ｘ１から二次多変数多項式ｆ（ｘ１）を、その逆順のパイプライン処理によって、入力ｘ２から二次多変数多項式ｆ（ｘ２）を、それぞれ並列に生成するので、実施例＃３に係る演算回路に比べてさらにレジスタの数を削減することができる。
　なお、上述の説明では、入力ｘが４ビットの場合であり、係数ａｉｊ及びｂｉが、１≦ｉ＜ｊ≦４である場合の演算回路の例を説明したが、本開示は係る例に限定されるものではない。入力ｘのビット数や、ｉ及びｊの最大値を増やす場合には、例えばパイプライン処理をさせるための演算回路の数及びＲＯＭの領域の分割数を増やすことで、同様に、単純に演算回路を複数設ける場合に比べて、演算回路全体でのレジスタの数を削減しつつ並列に演算処理させることができる。
　例えば、入力ｘが１４０ビットで、係数ａｉｊ及びｂｉが、１≦ｉ＜ｊ≦１４０である場合は、ＲＯＭの領域を１０個に分割し、演算回路を２０個並列に並べてパイプライン化することで、単純に演算回路を複数設ける場合に比べて、演算回路全体でのレジスタの数を削減しつつ並列に演算処理させることができる。
　また、実施例＃３に係る演算回路及び実施例＃４に係る演算回路は、実施例＃２に係る演算回路のように、多変数多項式Ｆ及びＧの計算を並列して実行する場合にも同様に拡張可能であることは言うまでもない。
　＜７：まとめ＞
　最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる装置の機能は、１つ又は複数の回路により実現することも可能であるし、１台の情報処理装置を利用して実現することも可能であるし、或いは、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。
　上記の装置の機能構成は以下のように表現される。例えば、下記（１）に記載の装置は、第１のシフトレジスタが格納値を整列するために、格納値を出力しないサイクルにおいて、他のシフトレジスタが格納値を出力する。その結果、有効な格納値が出力されないサイクルの数を少なくすることが可能になり、単位サイクル数あたりの演算量が増加する。また、シフトレジスタを利用するため、多ビット入力のセレクタを用いずに済むため、回路規模を抑制することが可能になる。結果として、小型で、演算処理が高速な装置を実現することが可能になる。
　なお、下記（１）に記載の装置において、所定数ｃ＝１及びｃ’＝１とすると、２つの入力に対して、上述した多変数多項式Ｆの演算に利用することができる。また、下記（５）に記載の装置において、所定数ｃ＝１、ｃ’＝０、ｃ”＝０とすると、上述した多変数多項式Ｆ及びＧの演算に利用することができる。また、下記（１３）および（１６）に記載の装置において、所定数ｃ＝１及びｃ’＝１とすると、２つの入力に対して、上述した多変数多項式Ｆの演算に利用することができる。
　（１）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、
　格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御部と、
を備え、
　前記制御部は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
　演算装置。
　（２）
　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
　前記変数乗算部からの複数の出力結果から一つを選択する選択部と、
　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
　前記他のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
をさらに備える、
　上記（１）に記載の演算装置。
　（３）
　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
　前記他のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｎ＋１のレジスタである、
　上記（１）又は（２）に記載の演算装置。
　（４）
　前記制御部は、前記第１のレジスタに格納された格納値を維持したまま前記第２～第Ｎ＋１のレジスタに格納された格納値を移動させる第１の制御処理と、前記第１～第Ｎ＋１のレジスタに格納された格納値を全て移動させる第２の制御処理と、を組み合わせて、前記一対の格納値の全組み合わせが出力されるように前記シフトレジスタを制御する、
　上記（１）～（３）のいずれか１項に記載の演算装置。
　（５）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、
　格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御部と、
を備え、
　前記制御部は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
　演算装置。
　（６）
　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
　前記第２のシフトレジスタから出力された第１の格納値と前記第３のシフトレジスタから出力された第２の格納値に基づく前記変数乗算部の出力値と、前期第２のシフトレジスタから出力された第２の格納値と前記第３のシフトレジスタから出力された第１の格納値に基づく前記変数乗算部の出力値とを加算する加算部と、
　前記変数乗算部及び前記加算部からの複数の出力結果から一方を選択する選択部と、
　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
　前記第２及び第３のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を加算する第２の合計部と、
をさらに備える、
　上記（５）に記載の演算装置。
　（７）
　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
　前記第２及び第３のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｎ＋１のレジスタである、
　上記（５）又は（６）に記載の演算装置。
　（８）
　前記制御部は、前記第１のレジスタに格納された格納値を維持したまま前記第２～第Ｎ＋１のレジスタに格納された格納値を移動させる第１の制御処理と、前記第１～第Ｎ＋１のレジスタに格納された格納値を全て移動させる第２の制御処理と、を組み合わせて、前記一対の格納値の全組み合わせが出力されるように前記シフトレジスタを制御する、
　上記（５）～（８）のいずれか１項に記載の演算装置。
　（９）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる工程を含み、
　前記移動させる工程では、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
　制御方法。
　（１０）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる工程を含み、
　前記移動させる工程では、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
　制御方法。
　（１１）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、
　前記制御機能は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
　プログラム。
　（１２）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、
　前記制御機能は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
　プログラム。
　（１３）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、
　各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、
を備え、
　前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、
　前記制御部は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、
　演算装置。
　（１４）
　各前記演算回路は、
　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
　前記変数乗算部からの出力結果から一つを選択する選択部と、
　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
　前記第２のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
をさらに備え、
　前記第１の合計部及び前記第２の合計部は、パイプライン処理における前段の前記演算回路における第１の合計部及び第２の合計部で合計された値に、前記係数乗算部の出力値をさらに加算する、
　上記（１３）に記載の演算装置。
　（１５）
　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
　前記第２のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｍ＋１のレジスタである、
　上記（１３）または（１４）に記載の演算装置。
　（１６）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、
　各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、
を備え、
　前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、
　前記制御部は、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記第１のシフトレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、
　演算装置。
　（１７）
　各前記演算回路は、
　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
　前記変数乗算部からの出力結果から一つを選択する選択部と、
　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
　前記第２のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
をさらに備え、
　前記第１の合計部及び前記第２の合計部は、パイプライン処理における前段の前記演算回路における第１の合計部及び第２の合計部で合計された値に、前記係数乗算部の出力値をさらに加算する、
　上記（１６）に記載の演算装置。
　（１８）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、
　前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、
　前記移動させる工程では、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
　制御方法。
　（１９）
　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、
　前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、
　前記移動させる工程では、
　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
　制御方法。
　（２０）
　上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体。
　以上、添付図面を参照しながら本技術に係る好適な実施形態について説明したが、本技術はここで開示した構成例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例又は修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。
　４０１、５０１　　シフトレジスタ
　４０１１、５０１１　　第１のシフトレジスタ
　４０１２、５０１２　　第２のシフトレジスタ
　５０１３　　第３のシフトレジスタ
　４０２、４０３、４０５、５０２、５０３、５０４、５０７　　ＡＮＤ回路
　４０４、４０７、４０９、４１１、５０６、５０９、５１１、５１３　　セレクタ
　４０６、５０５、５０８　　ＸＯＲ回路
　４０８、４１０、５１０、５１２　　レジスタ

Claims (19)

  1. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、
    　格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御部と、
    を備え、
    　前記制御部は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
    　演算装置。
  2. 　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
    　前記変数乗算部からの出力結果から一つを選択する選択部と、
    　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
    　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
    　前記他のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
    をさらに備える、
    　請求項１に記載の演算装置。
  3. 　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
    　前記他のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｎ＋１のレジスタである、
    　請求項１に記載の演算装置。
  4. 　前記制御部は、前記第１のレジスタに格納された格納値を維持したまま前記第２～第Ｎ＋１のレジスタに格納された格納値を移動させる第１の制御処理と、前記第１～第Ｎ＋１のレジスタに格納された格納値を全て移動させる第２の制御処理と、を組み合わせて、前記一対の格納値の全組み合わせが出力されるように前記シフトレジスタを制御する、
    　請求項１に記載の演算装置。
  5. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタと、
    　格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御部と、
    を備え、
    　前記制御部は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
    　演算装置。
  6. 　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
    　前記第２のシフトレジスタから出力された第１の格納値と前記第３のシフトレジスタから出力された第２の格納値に基づく前記変数乗算部の出力値と、前記第２のシフトレジスタから出力された第２の格納値と前記第３のシフトレジスタから出力された第１の格納値に基づく前記変数乗算部の出力値とを加算する加算部と、
    　前記変数乗算部及び前記加算部からの出力結果から一つを選択する選択部と、
    　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
    　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
    　前記第２及び第３のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を加算する第２の合計部と、
    をさらに備える、
    　請求項５に記載の演算装置。
  7. 　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
    　前記第２及び第３のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｎ＋１のレジスタである、
    　請求項５に記載の演算装置。
  8. 　前記制御部は、前記第１のレジスタに格納された格納値を維持したまま前記第２～第Ｎ＋１のレジスタに格納された格納値を移動させる第１の制御処理と、前記第１～第Ｎ＋１のレジスタに格納された格納値を全て移動させる第２の制御処理と、を組み合わせて、前記一対の格納値の全組み合わせが出力されるように前記シフトレジスタを制御する、
    　請求項５に記載の演算装置。
  9. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる工程を含み、
    　前記移動させる工程では、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
    　制御方法。
  10. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる工程を含み、
    　前記移動させる工程では、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
    　制御方法。
  11. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された他の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、
    　前記制御機能は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記他のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
    　プログラム。
  12. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な複数のシフトレジスタのうち、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＮ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第２の前記シフトレジスタについて格納値を移動させ、当該第２のシフトレジスタと同じサイクルで、格納値ｘＮ”，…，ｘ１”，ｃ”（ｃ”は所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第３の前記シフトレジスタについて格納値を移動させる制御機能をコンピュータに実現させるためのプログラムであり、
    　前記制御機能は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＮ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせ、及び、前記格納値ｘＮ”，…，ｘ１”，ｃ”の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２及び第３のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる、
    　プログラム。
  13. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、
    　各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、
    を備え、
    　前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、
    　前記制御部は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、
    　演算装置。
  14. 　各前記演算回路は、
    　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
    　前記変数乗算部からの出力結果から一つを選択する選択部と、
    　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
    　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
    　前記第２のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
    をさらに備え、
    　前記第１の合計部及び前記第２の合計部は、パイプライン処理における前段の前記演算回路における第１の合計部及び第２の合計部で合計された値に、前記係数乗算部の出力値をさらに加算する、
    　請求項１３に記載の演算装置。
  15. 　前記第１のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第２のレジスタであり、
    　前記第２のシフトレジスタにおける前記所定の一対のレジスタは、前記第１及び第Ｍ＋１のレジスタである、
    　請求項１３に記載の演算装置。
  16. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路と、
    　各前記演算回路に対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された前記第１のシフトレジスタについて格納値を移動させ、前記第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる制御部と、
    を備え、
    　前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、
    　前記制御部は、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記第１のシフトレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成される、
    　演算装置。
  17. 　各前記演算回路は、
    　前記各シフトレジスタから出力された２つの格納値を乗算する変数乗算部と、
    　前記変数乗算部からの出力結果から一つを選択する選択部と、
    　前記選択部の出力値に所定の係数を乗算する係数乗算部と、
    　前記第１のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第１の合計部と、
    　前記第２のシフトレジスタから出力された格納値に関する前記係数乗算部の出力値を全て加算する第２の合計部と、
    をさらに備え、
    　前記第１の合計部及び前記第２の合計部は、パイプライン処理における前段の前記演算回路における第１の合計部及び第２の合計部で合計された値に、前記係数乗算部の出力値をさらに加算する、
    　請求項１６に記載の演算装置。
  18. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、
    　前記複数の演算回路は、前記第１のシフトレジスタと前記第２のシフトレジスタとは同じ順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、
    　前記移動させる工程では、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
    　制御方法。
  19. 　第１～第Ｎ＋１のレジスタで構成され、第ｎ＋１のレジスタ（ｎ＝１～Ｎ）から第ｎのレジスタへと格納値を移動させることが可能な第１のシフトレジスタ及び第１～第Ｍ＋１のレジスタで構成され、第ｍ＋１のレジスタ（ｍ＝１～Ｍ）から第ｍのレジスタへと格納値を移動させることが可能な第２のシフトレジスタを含む複数の演算回路のそれぞれに対し、格納値ｘ１，…，ｘＮ，ｃ（ｃは所定数）がそれぞれ前記第１～第Ｎ＋１のレジスタに格納された第１の前記シフトレジスタについて格納値を移動させ、当該第１のシフトレジスタと同じサイクルで、格納値ｘＭ’，…，ｘ１’，ｃ’（ｃ’は所定数）がそれぞれ前記第１～第Ｍ＋１のレジスタに格納された前記第２のシフトレジスタについて格納値を移動させる工程を含み、
    　前記複数の演算回路は直列に接続されて、前記第１のシフトレジスタと前記第２のシフトレジスタとは逆の順序でパイプライン処理を実行するよう構成され、前記第１のシフトレジスタのレジスタの数Ｎ＋１及び前記第２のシフトレジスタのレジスタの数Ｍ＋１は、パイプライン処理における後の演算回路になるほど少なくなるよう構成され、
    　前記移動させる工程では、
    　前記格納値ｘ１，…，ｘＮ，ｃの中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第１のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させ、
    　前記格納値ｘＭ’，…，ｘ１’，ｃ’の中から選択可能な一対の格納値の全組み合わせが出力されるように、前記格納値を移動させつつ、前記第２のシフトレジスタを構成する所定の一対のレジスタから格納値を出力させる処理が実行される、
    　制御方法。
     
PCT/JP2013/053651 2012-03-02 2013-02-15 演算装置、制御方法、及びプログラム WO2013129134A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
US14/366,129 US9672007B2 (en) 2012-03-02 2013-02-15 Device for performing arithmetic operations of multivariate polynomials, control method, and program
EP13754141.3A EP2800084A4 (en) 2012-03-02 2013-02-15 CALCULATION DEVICE, CONTROL PROCEDURE AND PROGRAM

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2012-046688 2012-03-02
JP2012046688 2012-03-02
JP2012191546 2012-08-31
JP2012-191546 2012-08-31

Publications (1)

Publication Number Publication Date
WO2013129134A1 true WO2013129134A1 (ja) 2013-09-06

Family

ID=49082336

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2013/053651 WO2013129134A1 (ja) 2012-03-02 2013-02-15 演算装置、制御方法、及びプログラム

Country Status (4)

Country Link
US (1) US9672007B2 (ja)
EP (1) EP2800084A4 (ja)
TW (1) TW201351195A (ja)
WO (1) WO2013129134A1 (ja)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111190569A (zh) * 2019-12-30 2020-05-22 中国科学技术大学 一种基于Intel QAT的同态加密卸载方法

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10505439A (ja) * 1996-01-26 1998-05-26 ブル・セー・ペー・８ 非対称暗号通信方法、および関連の携帯物体
JP2004158951A (ja) * 2002-11-05 2004-06-03 Nippon Telegr & Teleph Corp <Ntt> セキュリティ装置、セキュリティ方法、プログラム及び記録媒体
JP2011107528A (ja) * 2009-11-19 2011-06-02 Sony Corp 情報処理装置、鍵生成装置、署名検証装置、情報処理方法、署名生成方法、及びプログラム
WO2012014669A1 (ja) * 2010-07-30 2012-02-02 ソニー株式会社 認証装置、認証方法、及びプログラム

Family Cites Families (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7346159B2 (en) * 2002-05-01 2008-03-18 Sun Microsystems, Inc. Generic modular multiplier using partial reduction
US7757086B2 (en) * 2004-05-27 2010-07-13 Silverbrook Research Pty Ltd Key transportation
US7631190B2 (en) * 2004-05-27 2009-12-08 Silverbrook Research Pty Ltd Use of variant and base keys with two entities
US8280941B2 (en) * 2007-12-19 2012-10-02 HGST Netherlands B.V. Method and system for performing calculations using fixed point microprocessor hardware

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH10505439A (ja) * 1996-01-26 1998-05-26 ブル・セー・ペー・８ 非対称暗号通信方法、および関連の携帯物体
JP2004158951A (ja) * 2002-11-05 2004-06-03 Nippon Telegr & Teleph Corp <Ntt> セキュリティ装置、セキュリティ方法、プログラム及び記録媒体
JP2011107528A (ja) * 2009-11-19 2011-06-02 Sony Corp 情報処理装置、鍵生成装置、署名検証装置、情報処理方法、署名生成方法、及びプログラム
WO2012014669A1 (ja) * 2010-07-30 2012-02-02 ソニー株式会社 認証装置、認証方法、及びプログラム

Non-Patent Citations (6)

* Cited by examiner, † Cited by third party
Title
ANDREY BOGDANOV; THOMAS EISENBARTH; ANDY RUPP; CHRISTOPHER WOLF: "Time-Area Optimized Public-Key Engines: MQ-Cryptosystems as Replacement for Elliptic Curves?", CHES 2008, vol. 5154, 2008, pages 45 - 61
DAVID ARDITTI; COME BERBAIN; OLIVIER BILLET; HENRI GILBERT: "Compact FPGA Implementations of QUAD", ASIACCS' 07, 20 March 2007 (2007-03-20)
JACQUES PATARIN: "Asymmetric Cryptography with a Hidden Monomial", CRYPTO, 1996, pages 45 - 60, XP019194414
KOICHI SAKUMOTO; TAIZO SHIRAI; HARUNAGA HIWATARI: "Public-Key Identification Schemes Based on Multivariate Quadratic Polynomials", CRYPTO 2011, LNCS, vol. 6841, 2011, pages 706 - 723, XP019161037
PATARIN, J.; COURTOIS, N.; GOUBIN, L.: "Topics in Cryptology - CT-RSA 2001", vol. 2020, April 2001, SPRINGER-VERLAG., article "QUARTZ, 128-Bit Long Digital Signatures", pages: 282 - 297
See also references of EP2800084A4 *

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN111190569A (zh) * 2019-12-30 2020-05-22 中国科学技术大学 一种基于Intel QAT的同态加密卸载方法
CN111190569B (zh) * 2019-12-30 2022-05-13 中国科学技术大学 一种基于Intel QAT的同态加密卸载方法

Also Published As

Publication number Publication date
EP2800084A4 (en) 2015-11-11
US20140365546A1 (en) 2014-12-11
EP2800084A1 (en) 2014-11-05
TW201351195A (zh) 2013-12-16
US9672007B2 (en) 2017-06-06

Similar Documents

Publication Publication Date Title
WO2013031414A1 (ja) 署名検証装置、署名検証方法、プログラム、及び記録媒体
WO2013031533A1 (ja) 情報処理装置、情報処理方法、及びプログラム
US6052467A (en) System for ensuring that the blinding of secret-key certificates is restricted, even if the issuing protocol is performed in parallel mode
WO2013031555A1 (ja) 情報処理装置、署名生成装置、情報処理方法、署名生成方法、及びプログラム
WO2012014669A1 (ja) 認証装置、認証方法、及びプログラム
WO2013129084A1 (ja) 情報処理装置、情報処理方法、及びプログラム
JPH10505439A (ja) 非対称暗号通信方法、および関連の携帯物体
JP5330858B2 (ja) 署名検証システム、署名検証方法、ブラインド署名生成方法、利用者装置、及びブラインド署名生成プログラム
CN111740821B (zh) 建立共享密钥的方法及装置
WO2013129119A1 (ja) 情報処理装置、情報処理方法、及びプログラム
WO2013129134A1 (ja) 演算装置、制御方法、及びプログラム
KR102599406B1 (ko) 영지식 증명을 위한 암호문 처리 방법 및 장치
CN111970130B (zh) 量子区块链建立方法及系统
CN117917041A (zh) 生成共享加密密钥
CN112507357B (zh) 一种基于密钥生成器的多级接口设计方法
CN114640463A (zh) 一种数字签名方法、计算机设备及介质
Kahanda et al. The future era of quantum computing
WO2013031420A1 (ja) 情報処理装置、署名生成装置、署名検証装置、情報処理方法、署名生成方法、及び署名検証方法
Overmars Survey of rsa vulnerabilities
WO2013031413A1 (ja) 情報処理装置、情報処理方法、プログラム、及び記録媒体
Sarkar et al. Developments in Post‐Quantum Cryptography
Piva Addressing human factors in the design of cryptographic solutions: a two-case study in item validation and authentication
KR20240046201A (ko) 디지털 서명들의 생성
CN114257377A (zh) 一种多变量聚合签名方法、系统、设备及介质
CN116232563A (zh) 一种原像高斯采样方法、系统、电子设备及存储介质

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 13754141

Country of ref document: EP

Kind code of ref document: A1

REEP Request for entry into the european phase

Ref document number: 2013754141

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 2013754141

Country of ref document: EP

WWE Wipo information: entry into national phase

Ref document number: 14366129

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

NENP Non-entry into the national phase

Ref country code: JP