WO2022009389A1 - 逆元演算装置、逆元演算方法および逆元演算プログラム - Google Patents

逆元演算装置、逆元演算方法および逆元演算プログラム Download PDF

Info

Publication number
WO2022009389A1
WO2022009389A1 PCT/JP2020/026860 JP2020026860W WO2022009389A1 WO 2022009389 A1 WO2022009389 A1 WO 2022009389A1 JP 2020026860 W JP2020026860 W JP 2020026860W WO 2022009389 A1 WO2022009389 A1 WO 2022009389A1
Authority
WO
WIPO (PCT)
Prior art keywords
calculation result
unit
calculation
equal
inverse element
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2020/026860
Other languages
English (en)
French (fr)
Inventor
健一郎 早坂
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Mitsubishi Electric Corp
Original Assignee
Mitsubishi Electric Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Mitsubishi Electric Corp filed Critical Mitsubishi Electric Corp
Priority to JP2022534595A priority Critical patent/JP7158629B2/ja
Priority to DE112020007193.6T priority patent/DE112020007193B4/de
Priority to CN202080102532.XA priority patent/CN115735241A/zh
Priority to PCT/JP2020/026860 priority patent/WO2022009389A1/ja
Publication of WO2022009389A1 publication Critical patent/WO2022009389A1/ja
Priority to US17/987,977 priority patent/US20230076400A1/en
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/544—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices for evaluating functions by calculation
    • G06F7/552—Powers or roots, e.g. Pythagorean sums
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/60—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers
    • G06F7/72—Methods or arrangements for performing computations using a digital non-denominational number representation, i.e. number representation without radix; Computing devices using combinations of denominational and non-denominational quantity representations, e.g. using difunction pulse trains, STEELE computers, phase computers using residue arithmetic
    • G06F7/721—Modular inversion, reciprocal or quotient calculation
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/50—Adding; Subtracting
    • G—PHYSICS
    • G06—COMPUTING OR CALCULATING; COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F7/00—Methods or arrangements for processing data by operating upon the order or content of the data handled
    • G06F7/38—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation
    • G06F7/48—Methods or arrangements for performing computations using exclusively denominational number representation, e.g. using binary, ternary, decimal representation using non-contact-making devices, e.g. tube, solid state device; using unspecified devices
    • G06F7/52—Multiplying; Dividing
    • G06F7/523—Multiplying only
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system

Definitions

  • the present disclosure relates to a technique that enables high-speed multiplicative inverse element calculation in a subgroup of a finite field.
  • the pairing cipher realizes various highly convenient functions by utilizing the features of the pairing map, which are non-degenerate and bilinear.
  • the calculation of the pairing map consists of operations on a finite field. Therefore, speeding up operations on a finite field is important for improving the efficiency of pairing cryptography.
  • ⁇ In ate pairing or Optimal ate pairing, which is a calculation algorithm for pairing maps, inverse element calculation and double multiplication can be calculated at higher speed by using the properties of subgroups of finite fields, and pairing cryptography becomes more efficient. It is known that it can be done.
  • the calculation of the pairing map requires the inverse element calculation as follows.
  • Relative body F p consider the following extension field (F p n, F p k ).
  • Extension field F p k and extension field F p n are each enlarged body of the element body F p.
  • the prime field F p , the extension field F p n, and the extension field F p k are each finite.
  • F p n F p [v ] / (v n - ⁇ )
  • F p k F p n [w] / (w 3- v).
  • “K” is the smallest integer that satisfies r
  • “ ⁇ ” is the source of the element body F p.
  • the original set of the extension field F p k whose order is ⁇ 3 (pn) is called a cyclotomic subgroup.
  • This set is referred to as G ⁇ 3 ( pn ).
  • ⁇ m (x) means the mth cyclotomic polynomial.
  • the inverse element a- 1 of the element a of the set G ⁇ 3 (pn ) can be calculated by two Frobenius operations and one multiplication on the extension field F p k.
  • This inverse calculation on the set G ⁇ 3 (p n) have shown that it is possible to calculate at a higher speed than the inverse calculation on the extension field F p k.
  • a -1 (a 0 2 -a 1 a 2 v) + (a 2 2 v-a 0 a 1 ) w + (a 1 2 -a 0 a 2 ) w 2
  • This expression extension field F 3 multiplications on p n (a 1 a 2, a 0 a 1, a 0 a 2) and three squaring (a 0 2, a 2 2 , a 1 2 ) Is included.
  • Inverse arithmetic for pairing mapping requires operations on a finite field, and operations on a finite field become a bottleneck in improving the efficiency of pairing cryptography.
  • multiplication and double multiplication have a larger amount of calculation than addition, subtraction, and fractional multiplication (1/2 multiplication, 1/4 multiplication, etc.).
  • the purpose of this disclosure is to reduce the amount of calculation required for inverse calculation for pairing mapping.
  • the inverse element arithmetic unit of the present disclosure calculates the inverse element a-1 of the element a.
  • the inverse element arithmetic unit is The reception unit that accepts the original a and Using a 0 , a 1 and a 2 , t 1 which is the calculation result of a 0 2 , t 2 which is the calculation result of a 2 2 , t 3 which is the calculation result of a 0 a 1 , and a. 1
  • a pre-calculation unit that calculates t 4 which is the calculation result of a 2 and t 7 which is equal to the calculation result of (a 0 + a 1 ) (a 1- a 2).
  • inverse operation unit for calculating a b 2 equal to a 1 2 -a 0 a 2 calculation results, and It includes an output unit that generates and outputs the inverse element a- 1 using b 0 , b 1 and b 2.
  • the doubling on the finite field for calculating the inverse element a-1 can be reduced from 3 times to 2 times. That is, the amount of calculation required for the inverse element calculation for the pairing map can be reduced. As a result, the pairing encryption can be made more efficient.
  • FIG. 1 The block diagram of the inverse element arithmetic unit 100 in Embodiment 1.
  • FIG. 1 The block diagram of the pre-calculation unit 120 in Embodiment 1.
  • FIG. 2 The block diagram of the inverse element calculation part 230 in Embodiment 2.
  • FIG. 2 The flowchart of the inverse element calculation method in Embodiment 2.
  • Embodiment 1 The form of calculating the inverse element a-1 of the element a of the cyclotomic subgroup will be described with reference to FIGS. 1 to 7.
  • the configuration of the inverse element arithmetic unit 100 is a computer including hardware such as a processor 101, a memory 102, an auxiliary storage device 103, a communication device 104, and an input / output interface 105. These hardware are connected to each other via signal lines.
  • the processor 101 is an IC that performs arithmetic processing and controls other hardware.
  • the processor 101 is a CPU.
  • IC is an abbreviation for Integrated Circuit.
  • CPU is an abbreviation for Central Processing Unit.
  • the memory 102 is a volatile or non-volatile storage device.
  • the memory 102 is also referred to as a main storage device or a main memory.
  • the memory 102 is a RAM.
  • the data stored in the memory 102 is stored in the auxiliary storage device 103 as needed.
  • RAM is an abbreviation for Random Access Memory.
  • the auxiliary storage device 103 is a non-volatile storage device.
  • the auxiliary storage device 103 is a ROM, an HDD, or a flash memory.
  • the data stored in the auxiliary storage device 103 is loaded into the memory 102 as needed.
  • ROM is an abbreviation for Read Only Memory.
  • HDD is an abbreviation for Hard Disk Drive.
  • the communication device 104 is a receiver and a transmitter.
  • the communication device 104 is a communication chip or NIC.
  • NIC is an abbreviation for Network Interface Card.
  • the input / output interface 105 is a port to which an input device and an output device are connected.
  • the input / output interface 105 is a USB terminal
  • the input device is a keyboard and a mouse
  • the output device is a display.
  • USB is an abbreviation for Universal Serial Bus.
  • the inverse element arithmetic unit 100 includes elements such as a reception unit 110, a pre-arithmetic unit 120, an inverse element arithmetic unit 130, and an output unit 140. These elements are realized by software.
  • the auxiliary storage device 103 stores an inverse element calculation program for operating the computer as a reception unit 110, a pre-calculation unit 120, an inverse element calculation unit 130, and an output unit 140.
  • the inverse element arithmetic program is loaded into the memory 102 and executed by the processor 101.
  • the auxiliary storage device 103 further stores the OS. At least a portion of the OS is loaded into memory 102 and executed by processor 101.
  • the processor 101 executes the inverse element arithmetic program while executing the OS.
  • OS is an abbreviation for Operating System.
  • the input / output data of the inverse element arithmetic program is stored in the storage unit 190.
  • the memory 102 functions as a storage unit 190.
  • a storage device such as an auxiliary storage device 103, a register in the processor 101, and a cache memory in the processor 101 may function as a storage unit 190 instead of the memory 102 or together with the memory 102.
  • the inverse element arithmetic unit 100 may include a plurality of processors that replace the processor 101.
  • the inverse element arithmetic program can be recorded (stored) in a non-volatile recording medium such as an optical disk or a flash memory so that it can be read by a computer.
  • a non-volatile recording medium such as an optical disk or a flash memory
  • the configuration of the pre-calculation unit 120 will be described with reference to FIG.
  • the pre-calculation unit 120 includes elements such as a second multiplication unit 121, a first multiplication unit 122, an addition unit 123, a subtraction unit 124, and a second multiplication unit 125. The functions of these elements will be described later.
  • the configuration of the inverse element calculation unit 130 will be described with reference to FIG.
  • the inverse element calculation unit 130 includes elements such as a first calculation unit 131, a second calculation unit 132, and a third calculation unit 133. The functions of these elements will be described later.
  • the extension field F p n and the extension field F p k are expressed by the following equations.
  • F p n F p [v ] / (v n - ⁇ )
  • F p k F p n [w] / (w 3- v).
  • G ⁇ 3 (p n) is, of order is the original set of the extension field F p k is a ⁇ 3 (p n), called a cyclotomic subgroup.
  • ⁇ m (x) is an mth cyclotomic polynomial.
  • A is an element of the set G ⁇ 3 ( pn ). That is, “a” is the source of the cyclotomic subgroup.
  • a -1 is the inverse element of the element a.
  • a 0" and "a 1", “a 2" are each extension field F p n of the original.
  • a a 0 + a 1 w + a 2 w 2 ⁇ G ⁇ 3 ( pn )
  • a -1 (a 0 2 -a 1 a 2 v) + (a 2 2 v-a 0 a 1 ) w + (a 1 2 -a 0 a 2 ) w 2
  • the procedure for operating the inverse element arithmetic unit 100 corresponds to the inverse element arithmetic method. Further, the procedure for operating the inverse element arithmetic unit 100 corresponds to the procedure for processing by the inverse element arithmetic program.
  • step S110 the reception unit 110 receives the element a.
  • the element a is transmitted from the pairing mapping device that performs the calculation of the pairing mapping or the pairing encryption device that performs the calculation of the pairing encryption to the inverse element calculation device 100.
  • the reception unit 110 receives the original a.
  • the element a is input to the inverse element arithmetic unit 100 by the user.
  • the reception unit 110 receives the input element a.
  • step S120 the pre-calculation unit 120 calculates t 1 , t 2 , t 3 , t 4, and t 7 using a 0 , a 1, and a 2 .
  • t 1 is the calculation result of a 0 2.
  • t 2 is a calculation result of a 2 2.
  • t 3 is the calculation result of a 0 a 1.
  • t 4 is the calculation result of a 1 a 2.
  • t 7 is equal to the calculation result of (a 0 + a 1 ) (a 1 ⁇ a 2).
  • the calculation result of X is a value obtained by calculating X.
  • Y which is equal to the calculation result of X, is the same value as the value obtained by calculating X, and is obtained without calculating X. The details of step S120 will be described later.
  • step S130 the inverse operation unit 130, using the t 1 and t 2 and t 3 and t 4 and t 7, to calculate the b 0 and b 1 and b 2.
  • b 0 is equal to the calculation result of a 0 2-
  • b 1 is equal to the calculation result of a 2 2 v-a 0 a 1.
  • b 2 is equal to the calculation result of a 1 2 ⁇ a 0 a 2. The details of step S130 will be described later.
  • step S140 the output unit 140 outputs the inverse element a- 1 .
  • the output unit 140 transmits the inverse element a- 1 to the source of the element a.
  • the output unit 140 writes the inverse element a-1 to the recording medium designated by the user.
  • step S121 the squaring unit 121 performs squaring using a 0. Specifically, squaring unit 121 calculates a 0 2. As a result, t 1 is calculated.
  • t 1 is the calculation result of a 0 2, is expressed as follows. t 1 ⁇ a 0 2
  • step S122 the squaring unit 121 performs squaring using a 2. Specifically, squaring unit 121 calculates a 2 2. As a result, t 2 is calculated.
  • t 2 is the calculation result of a 2 2, are expressed as follows. t 2 ⁇ a 2 2
  • step S123 the first multiplication unit 122 performs multiplication using a 0 and a 1. Specifically, the first multiplication unit 122 calculates a 0 a 1. As a result, t 3 is calculated.
  • t 3 is a calculation result of a 0 a 1 and is expressed as follows. t 3 ⁇ a 0 a 1
  • step S124 the first multiplication unit 122 performs multiplication using a 1 and a 2. Specifically, the first multiplication unit 122 calculates a 1 a 2. As a result, t 4 is calculated.
  • t 4 is the calculation result of a 1 a 2 and is expressed as follows. t 4 ⁇ a 1 a 2
  • step S125 the addition unit 123 performs addition using a 0 and a 1. Specifically, the addition unit 123 calculates a 0 + a 1. As a result, t 5 is calculated.
  • t 5 is a calculation result of a 0 + a 1 and is expressed as follows. t 5 ⁇ a 0 + a 1
  • step S126 the subtraction unit 124 performs a subtraction with a 1 and a 2. Specifically, subtracting unit 124 calculates a 1 -a 2. As a result, t 6 is calculated.
  • t 6 is the calculation result of a 1 ⁇ a 2 , and is expressed as follows. t 6 ⁇ a 1 -a 2
  • step S127 the second multiplication unit 125 performs multiplication using t 5 and t 6. Specifically, the second multiplication unit 125 calculates t 5 t 6. As a result, t 7 is calculated.
  • step S131 the first calculation unit 131 performs subtraction using t 1 and t 4. Specifically, the first calculation unit 131 calculates t 4 v by multiplying t 4 by v. Then, the first calculation unit 131 calculates t 1 ⁇ t 4 v. “V” is a predetermined value. As a result, b 0 is calculated.
  • step S132 the second calculation unit 132 performs subtraction using t 2 and t 3. Specifically, the second calculation unit 132 calculates t 2 v by multiplying t 2 by v. Then, the second calculation unit 132 calculates t 2 vt 3 . As a result, b 1 is calculated.
  • step S133 the third calculation unit 133 performs addition and subtraction using t 3 , t 4, and t 7. Specifically, the third calculation unit 133 calculates t 7 ⁇ t 3 + t 4 . As a result, b 2 is calculated.
  • b 2 is a calculation result of t 7 ⁇ t 3 + t 4 , and is expressed as follows.
  • the inverse element arithmetic unit 100 includes a processing circuit 109.
  • the processing circuit 109 is hardware that realizes the reception unit 110, the pre-calculation unit 120, the inverse element calculation unit 130, and the output unit 140.
  • the processing circuit 109 may be dedicated hardware or may be a processor 101 that executes a program stored in the memory 102.
  • the processing circuit 109 is dedicated hardware, the processing circuit 109 is, for example, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, an ASIC, an FPGA, or a combination thereof.
  • ASIC is an abbreviation for Application Specific Integrated Circuit.
  • FPGA is an abbreviation for Field Programmable Gate Array.
  • the inverse element arithmetic unit 100 may include a plurality of processing circuits that replace the processing circuit 109.
  • processing circuit 109 some functions may be realized by dedicated hardware, and the remaining functions may be realized by software or firmware.
  • the function of the inverse element arithmetic unit 100 can be realized by hardware, software, firmware, or a combination thereof.
  • Embodiment 2 The form of calculating the inverse element a-1 of the element a of the cyclotomic subgroup will be described mainly different from the first embodiment with reference to FIGS. 8 to 14.
  • the configuration of the inverse element arithmetic unit 200 corresponds to the inverse element arithmetic unit 100 in the first embodiment.
  • the inverse element arithmetic unit 200 is a computer including hardware such as a processor 201, a memory 202, an auxiliary storage device 203, a communication device 204, and an input / output interface 205. These hardware are connected to each other via signal lines.
  • the processor 201 is an IC that performs arithmetic processing and controls other hardware.
  • the processor 201 is a CPU.
  • Memory 202 is a volatile or non-volatile storage device.
  • the memory 202 is also referred to as a main storage device or a main memory.
  • the memory 202 is a RAM.
  • the data stored in the memory 202 is stored in the auxiliary storage device 203 as needed.
  • the auxiliary storage device 203 is a non-volatile storage device.
  • the auxiliary storage device 203 is a ROM, an HDD, or a flash memory.
  • the data stored in the auxiliary storage device 203 is loaded into the memory 202 as needed.
  • Communication device 204 is a receiver and a transmitter.
  • the communication device 204 is a communication chip or NIC.
  • the input / output interface 205 is a port to which an input device and an output device are connected.
  • the input / output interface 205 is a USB terminal
  • the input device is a keyboard and a mouse
  • the output device is a display.
  • the inverse element arithmetic unit 200 includes elements such as a reception unit 210, a pre-arithmetic unit 220, an inverse element arithmetic unit 230, and an output unit 240. These elements are realized by software.
  • the auxiliary storage device 203 stores an inverse element calculation program for operating the computer as a reception unit 210, a pre-calculation unit 220, an inverse element calculation unit 230, and an output unit 240.
  • the inverse element arithmetic program is loaded into the memory 202 and executed by the processor 201.
  • the auxiliary storage device 203 further stores the OS. At least a portion of the OS is loaded into memory 202 and executed by processor 201.
  • the processor 201 executes the inverse element arithmetic program while executing the OS.
  • the input / output data of the inverse element calculation program is stored in the storage unit 290.
  • the memory 202 functions as a storage unit 290.
  • a storage device such as an auxiliary storage device 203, a register in the processor 201, and a cache memory in the processor 201 may function as a storage unit 290 instead of the memory 202 or together with the memory 202.
  • the inverse element arithmetic unit 200 may include a plurality of processors that replace the processor 201.
  • the inverse element calculation program can be recorded (stored) in a non-volatile recording medium such as an optical disk or a flash memory so that it can be read by a computer.
  • the pre-calculation unit 220 includes elements such as a first second multiplication unit 221, a multiplication unit 222, a first fraction multiplication unit 223, a calculation unit 224, a second second multiplication unit 225, and a second fraction multiplication unit 226. The functions of these elements will be described later.
  • the configuration of the inverse element calculation unit 230 will be described with reference to FIG.
  • the inverse element calculation unit 230 includes elements such as a first calculation unit 231, a second calculation unit 232, and a third calculation unit 233. The functions of these elements will be described later.
  • the procedure for operating the inverse element arithmetic unit 200 corresponds to the inverse element arithmetic method. Further, the procedure for operating the inverse element arithmetic unit 200 corresponds to the procedure for processing by the inverse element arithmetic program.
  • step S210 the reception unit 210 receives the element a.
  • a a 0 + a 1 w + a 2 w 2
  • Step S210 is the same as step S110 in the first embodiment.
  • step S220 the pre-calculation unit 220 calculates t 1 , t 2 , t 3 , t 4, and t 7 using a 0 , a 1, and a 2 .
  • t 1 is the calculation result of a 0 2.
  • t 2 is a calculation result of a 2 2.
  • t 3 is the calculation result of a 0 a 1.
  • t 4 is the calculation result of a 1 a 2.
  • t 7 is equal to a 0 2 + a 1 2 + a 2 2/4 + 2a 0 a 1 -a 0 a 2 -a 1 a 2 a calculation result.
  • t 8 is equal to the calculation result of a 2 2/4. The details of step S220 will be described later.
  • step S230 the inverse operation unit 230, using the t 1 and t 2 and t 3 and t 4 and t 7 and t 8, calculates the b 0 and b 1 and b 2.
  • b 0 is equal to the calculation result of a 0 2-
  • b 1 is equal to the calculation result of a 2 2 v-a 0 a 1.
  • b 2 is equal to the calculation result of a 1 2 ⁇ a 0 a 2.
  • step S240 the output unit 140 outputs the inverse element a- 1 .
  • a -1 (a 0 2 -a 1 a 2 v) + (a 2 2 v-a 0 a 1 ) w + (a 1 2 -a 0 a 2 ) w 2
  • Step S240 is the same as step S140 in the first embodiment.
  • step S220 The pre-calculation process (S220) will be described with reference to FIG.
  • first squaring unit 221 performs squaring using a 0. Specifically, first squaring unit 221 calculates a 0 2. As a result, t 1 is calculated.
  • t 1 is the calculation result of a 0 2, is expressed as follows. t 1 ⁇ a 0 2
  • step S222 first squaring unit 221 performs squaring using a 2. Specifically, the first second multiplication unit 221 calculates a 2 2. As a result, t 2 is calculated.
  • t 2 is the calculation result of a 2 2, are expressed as follows. t 2 ⁇ a 2 2
  • step S223 the multiplication unit 222 performs multiplication using a 0 and a 1. Specifically, the multiplication unit 222 calculates a 0 a 1. As a result, t 3 is calculated.
  • t 3 is a calculation result of a 0 a 1 and is expressed as follows. t 3 ⁇ a 0 a 1
  • step S224 the multiplication unit 222 performs multiplication using a 1 and a 2. Specifically, the multiplication unit 222 calculates a 1 a 2. As a result, t 4 is calculated.
  • t 4 is the calculation result of a 1 a 2 and is expressed as follows. t 4 ⁇ a 1 a 2
  • step S225 the first minute number doubling unit 223 performs 1/2 multiplication with a 2. Specifically, the first minute number doubling unit 223 calculates a 2/2. As a result, t 5 is calculated.
  • t 5 is the calculation result of a 2/2, is represented as follows. t 5 ⁇ a 2/2
  • step S226 the arithmetic unit 224 performs addition and subtraction using a 0 , a 1 and t 5. Specifically, the calculation unit 224 calculates a 0 + a 1 ⁇ t 5 . As a result, t 6 is calculated.
  • step S227 the second squaring unit 225 performs squaring using t 6. Specifically, the second squaring unit 225 calculates the t 6 2. As a result, t 7 is calculated.
  • t 7 is the calculation result of t 6 2, is expressed as follows.
  • step S2208 the second fraction multiplication unit 226 performs 1/4 multiplication using t 2. Specifically, the second minute number doubling unit 226 calculates the t 2/4. As a result, t 8 is calculated.
  • step S232 the second arithmetic unit 232 performs subtraction using t 2 and t 3. Specifically, the second calculation unit 132 calculates t 2 v by multiplying t 2 by v. Then, the second calculation unit 132 calculates t 2 vt 3 . As a result, b 1 is calculated.
  • step S233 the third arithmetic unit 233 performs addition and subtraction using t 1 , t 3 , t 4 , t 7 and t 8. Specifically, the third calculation unit 233 calculates t 7 ⁇ t 1 ⁇ t 8 ⁇ 2 t 3 + t 4 . As a result, b 2 is calculated.
  • b 2 is a calculation result of t 7- t 1- t 8 -2t 3 + t 4 , and is expressed as follows.
  • the inverse element arithmetic unit 200 includes a processing circuit 209.
  • the processing circuit 209 is hardware that realizes the reception unit 210, the pre-calculation unit 220, the inverse element calculation unit 230, and the output unit 240.
  • the processing circuit 209 may be dedicated hardware or may be a processor 201 that executes a program stored in the memory 202.
  • the processing circuit 209 is dedicated hardware, the processing circuit 209 is, for example, a single circuit, a composite circuit, a programmed processor, a parallel programmed processor, an ASIC, an FPGA, or a combination thereof.
  • the inverse element arithmetic unit 200 may include a plurality of processing circuits that replace the processing circuit 209.
  • processing circuit 209 some functions may be realized by dedicated hardware, and the remaining functions may be realized by software or firmware.
  • the function of the inverse element arithmetic unit 200 can be realized by hardware, software, firmware or a combination thereof.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computational Mathematics (AREA)
  • Mathematical Analysis (AREA)
  • Pure & Applied Mathematics (AREA)
  • Mathematical Optimization (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Mathematical Physics (AREA)
  • Complex Calculations (AREA)

Abstract

受付部（１１０）は元ａを受け付ける。事前演算部（１２０）は、ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７と、を算出する。逆元演算部（１３０）は、ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する。出力部（１４０）は、ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する。

Description

逆元演算装置、逆元演算方法および逆元演算プログラム
　本開示は、有限体の部分群における高速な乗法逆元算を可能とする技術に関するものである。
　有限体上の演算を利用した暗号アルゴリズムは複数存在する。
　有限体の部分群の性質を利用すると、演算の計算量を削減でき、結果として暗号アルゴリズムを効率化できる場合がある。
　ペアリング暗号は、非退化かつ双線形というペアリング写像の特長を利用して利便性の高い様々な機能を実現している。
　ペアリング写像の計算は有限体上の演算で構成される。そのため、有限体上の演算を高速化することは、ペアリング暗号を効率化するうえで重要である。
　ペアリング写像の計算アルゴリズムであるＡｔｅペアリングまたはＯｐｔｉｍａｌ　Ａｔｅペアリングなどでは、有限体の部分群の性質を利用することで逆元算および二乗算をより高速に計算でき、ペアリング暗号を効率化できる、ということが知られている。
　ペアリング写像の計算は、以下のように逆元算を必要とする。
　素体Ｆｐに対して、次のような拡大体（Ｆｐ ｎ，Ｆｐ ｋ）を考える。拡大体Ｆｐ ｎと拡大体Ｆｐ ｋは、それぞれ素体Ｆｐの拡大体である。素体Ｆｐと拡大体Ｆｐ ｎと拡大体Ｆｐ ｋは、それぞれ有限体である。
　Ｆｐ ｎ＝Ｆｐ［ｖ］／（ｖｎ－α），
　Ｆｐ ｋ＝Ｆｐ ｎ［ｗ］／（ｗ３－ｖ）．
　「ｋ」は、素数ｒおよび素数ｐに対してｒ｜（ｐｋ－１）を満たす最小の整数である。「ｋ」は、整数ｎに対してｋ＝３ｎを満たす。
　「α」は、素体Ｆｐの元である。
　「ｖ」は、素体Ｆｐ上既約な多項式ｆ（Ｘ）＝Ｘｎ－αに対してｆ（ｖ）＝０を満たす拡大体Ｆｐ ｎの元である。
　「ｗ」は、拡大体Ｆｐ ｎ上既約な多項式ｇ（Ｘ）＝Ｘ３－ｖに対してｇ（ｗ）＝０を満たす拡大体Ｆｐ ｋの元である。
　位数がΦ３（ｐｎ）である拡大体Ｆｐ ｋの元の集合をｃｙｃｌｏｔｏｍｉｃ　ｓｕｂｇｒｏｕｐとよぶ。この集合をＧΦ３（ｐｎ）と記す。ただし、Φｍ（ｘ）は第ｍ円分多項式を意味する。
　ここで、集合ＧΦ３（ｐｎ）の元ａを以下の式で表す。「ａ０」と「ａ１」と「ａ２」は、それぞれ拡大体Ｆｐ ｎの元である。
　ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２
　この場合、集合ＧΦ３（ｐｎ）の元ａの逆元ａ－１は、２回のＦｒｏｂｅｎｉｕｓ演算と１回の拡大体Ｆｐ ｋ上の乗算で算出できる。
　これは、集合ＧΦ３（ｐｎ）上の逆元算が、拡大体Ｆｐ ｋ上の逆元算よりも高速に計算可能であることを示している。
　非特許文献１は、「ｋ＝２７」の場合において集合ＧΦ３（ｐｎ）上の逆元算が可能なことを示している。
　さらに、逆元ａ－１を以下の式で表す。
　ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２
　この式には、拡大体Ｆｐ ｎ上の３回の乗算（ａ１ａ２，ａ０ａ１，ａ０ａ２）と３回の二乗算（ａ０ ２，ａ２ ２，ａ１ ２）が含まれる。
　非特許文献２は、「ｋ＝９，１５，２７」の場合においてこの式による逆元算が可能なことを示している。
Ｘ．　Ｚｈａｎｇ　ａｎｄ　Ｄ．　Ｌｉｎ，　"Ａｎａｌｙｓｉｓ　ｏｆ　Ｏｐｔｉｍｕｍ　Ｐａｉｒｉｎｇ　Ｐｒｏｄｕｃｔｓ　ａｔ　Ｈｉｇｈ　Ｓｅｃｕｒｉｔｙ　Ｌｅｖｅｌｓ，"　ＩＮＤＯＣＲＹＰＴ　２０１２，　ＬＮＣＳ　７６６８，　ｐｐ．４１２－４３０，　２０１２． Ｅ．　Ｆｏｕｏｔｓａ，　Ｎ．　Ｅｌ　Ｍｒａｂｅｔ　ａｎｄ　Ａ．　Ｐｅｃｈａ　"Ｏｐｔｉｍａｌ　Ａｔｅ　Ｐａｉｒｉｎｇ　ｏｎ　Ｅｌｌｉｐｔｉｃ　Ｃｕｒｖｅｓ　ｗｉｔｈ　Ｅｍｂｅｄｄｉｎｇ　Ｄｅｇｒｅｅ　９，　１５　ａｎｄ　２７，"　ＩＡＣＲ　Ｃｒｙｐｔｏｌｏｇｙ　ｅＰｒｉｎｔ　Ａｒｃｈｉｖｅ，　２０１６／１１８７，　２０１６．
　ペアリング写像のための逆元算は有限体上の演算を必要とし、有限体上の演算はペアリング暗号を効率化する上でボトルネックとなる。
　特に、有限体上の演算のうち、乗算および二乗算は、加算、減算および分数倍算（１／２倍算または１／４倍算など）に比べて、計算量が多い。
　本開示は、ペアリング写像のための逆元算に要する計算量を削減できるようにすることを目的とする。
　本開示の逆元演算装置は、元ａの逆元ａ－１を算出する。
　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表される。
　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表される。
　前記逆元演算装置は、
　前記元ａを受け付ける受付部と、
　ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７と、を算出する事前演算部と、
　ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する逆元演算部と、
　ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する出力部と、を備える。
　本開示によれば、逆元ａ－１を算出するための有限体上の二乗算を３回から２回に減らすことができる。つまり、ペアリング写像のための逆元算に要する計算量を削減できる。その結果、ペアリング暗号を効率化することができる。
実施の形態１における逆元演算装置１００の構成図。 実施の形態１における事前演算部１２０の構成図。 実施の形態１における逆元演算部１３０の構成図。 実施の形態１における逆元演算方法のフローチャート。 実施の形態１における事前演算処理（Ｓ１２０）のフローチャート。 実施の形態１における逆元演算処理（Ｓ１３０）のフローチャート。 実施の形態１における逆元演算装置１００のハードウェア構成図。 実施の形態２における逆元演算装置２００の構成図。 実施の形態２における事前演算部２２０の構成図。 実施の形態２における逆元演算部２３０の構成図。 実施の形態２における逆元演算方法のフローチャート。 実施の形態２における事前演算処理（Ｓ２２０）のフローチャート。 実施の形態２における逆元演算処理（Ｓ２３０）のフローチャート。 実施の形態２における逆元演算装置２００のハードウェア構成図。
　実施の形態および図面において、同じ要素または対応する要素には同じ符号を付している。説明した要素と同じ符号が付された要素の説明は適宜に省略または簡略化する。図中の矢印はデータの流れ又は処理の流れを主に示している。
　実施の形態１．
　ｃｙｃｌｏｔｏｍｉｃ　ｓｕｂｇｒｏｕｐの元ａの逆元ａ－１を算出する形態について、図１から図７に基づいて説明する。
＊＊＊構成の説明＊＊＊
　図１に基づいて、逆元演算装置１００の構成を説明する。
　逆元演算装置１００は、プロセッサ１０１とメモリ１０２と補助記憶装置１０３と通信装置１０４と入出力インタフェース１０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
　プロセッサ１０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ１０１はＣＰＵである。
　ＩＣは、Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略称である。
　ＣＰＵは、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略称である。
　メモリ１０２は揮発性または不揮発性の記憶装置である。メモリ１０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ１０２はＲＡＭである。メモリ１０２に記憶されたデータは必要に応じて補助記憶装置１０３に保存される。
　ＲＡＭは、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙの略称である。
　補助記憶装置１０３は不揮発性の記憶装置である。例えば、補助記憶装置１０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置１０３に記憶されたデータは必要に応じてメモリ１０２にロードされる。
　ＲＯＭは、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略称である。
　ＨＤＤは、Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略称である。
　通信装置１０４はレシーバ及びトランスミッタである。例えば、通信装置１０４は通信チップまたはＮＩＣである。
　ＮＩＣは、Ｎｅｔｗｏｒｋ　Ｉｎｔｅｒｆａｃｅ　Ｃａｒｄの略称である。
　入出力インタフェース１０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース１０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
　ＵＳＢは、Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略称である。
　逆元演算装置１００は、受付部１１０と事前演算部１２０と逆元演算部１３０と出力部１４０といった要素を備える。これらの要素はソフトウェアで実現される。
　補助記憶装置１０３には、受付部１１０と事前演算部１２０と逆元演算部１３０と出力部１４０としてコンピュータを機能させるための逆元演算プログラムが記憶されている。逆元演算プログラムは、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
　補助記憶装置１０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ１０２にロードされて、プロセッサ１０１によって実行される。
　プロセッサ１０１は、ＯＳを実行しながら、逆元演算プログラムを実行する。
　ＯＳは、Ｏｐｅｒａｔｉｎｇ　Ｓｙｓｔｅｍの略称である。
　逆元演算プログラムの入出力データは記憶部１９０に記憶される。
　メモリ１０２は記憶部１９０として機能する。但し、補助記憶装置１０３、プロセッサ１０１内のレジスタおよびプロセッサ１０１内のキャッシュメモリなどの記憶装置が、メモリ１０２の代わりに、又は、メモリ１０２と共に、記憶部１９０として機能してもよい。
　逆元演算装置１００は、プロセッサ１０１を代替する複数のプロセッサを備えてもよい。
　逆元演算プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
　図２に基づいて、事前演算部１２０の構成を説明する。
　事前演算部１２０は、二乗算部１２１と第１乗算部１２２と加算部１２３と減算部１２４と第２乗算部１２５といった要素を備える。これらの要素の機能を後述する。
　図３に基づいて、逆元演算部１３０の構成を説明する。
　逆元演算部１３０は、第１演算部１３１と第２演算部１３２と第３演算部１３３といった要素を備える。これらの要素の機能を後述する。
＊＊＊前提の説明＊＊＊
　逆元演算装置１００による逆元算の前提を説明する。
　「ｐ」は、素数である。
　「Ｆｐ」は、要素数がｐである体である。
　「ｋ」および「ｎ」は、ｋ＝３ｎを満たす整数である。
　「Ｆｐ ｎ」と「Ｆｐ ｋ」は、それぞれ体Ｆｐの拡大体である。
　「α」は、体Ｆｐの元である。
　拡大体Ｆｐ ｎと拡大体Ｆｐ ｋは、以下の式で表される。
　Ｆｐ ｎ＝Ｆｐ［ｖ］／（ｖｎ－α），
　Ｆｐ ｋ＝Ｆｐ ｎ［ｗ］／（ｗ３－ｖ）．
　「ＧΦ３（ｐｎ）」は、位数がΦ３（ｐｎ）である拡大体Ｆｐ ｋの元の集合であり、ｃｙｃｌｏｔｏｍｉｃ　ｓｕｂｇｒｏｕｐとよぶ。ただし、Φｍ（ｘ）は第ｍ円分多項式である。
　「ａ」は、集合ＧΦ３（ｐｎ）の元である。つまり、「ａ」は、ｃｙｃｌｏｔｏｍｉｃ　ｓｕｂｇｒｏｕｐの元である。
　「ａ－１」は、元ａの逆元である。
　「ａ０」と「ａ１」と「ａ２」は、それぞれ拡大体Ｆｐ ｎの元である。
　元ａは、以下の式で表される。
　ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２∈ＧΦ３（ｐｎ）
　逆元「ａ－１」は、以下の式で表される。
　ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２
＊＊＊動作の説明＊＊＊
　逆元演算装置１００の動作の手順は逆元演算方法に相当する。また、逆元演算装置１００の動作の手順は逆元演算プログラムによる処理の手順に相当する。
　図４に基づいて、逆元演算方法を説明する。
　ステップＳ１１０において、受付部１１０は、元ａを受け付ける。
　例えば、元ａは、ペアリング写像の演算を行うペアリング写像装置またはペアリング暗号の演算を行うペアリング暗号装置から逆元演算装置１００へ送信される。そして、受付部１１０は、元ａを受信する。
　例えば、元ａは、利用者によって逆元演算装置１００に入力される。そして、受付部１１０は、入力された元ａを受け付ける。
　元ａは、ａ０とａ１とａ２を含み、以下の式で表される。
　ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２
　ステップＳ１２０において、事前演算部１２０は、ａ０とａ１とａ２を用いて、ｔ１とｔ２とｔ３とｔ４とｔ７を算出する。
　ｔ１は、ａ０ ２の計算結果である。
　ｔ２は、ａ２ ２の計算結果である。
　ｔ３は、ａ０ａ１の計算結果である。
　ｔ４は、ａ１ａ２の計算結果である。
　ｔ７は、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しい。
　Ｘの計算結果は、Ｘを計算して得られる値である。
　Ｘの計算結果に等しいＹは、Ｘを計算して得られる値と同じ値であり、Ｘを計算せずに得られる。
　ステップＳ１２０の詳細を後述する。
　ステップＳ１３０において、逆元演算部１３０は、ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ｂ０とｂ１とｂ２を算出する。
　ｂ０は、ａ０ ２－ａ１ａ２ｖの計算結果に等しい。
　ｂ１は、ａ２ ２ｖ－ａ０ａ１の計算結果に等しい。
　ｂ２は、ａ１ ２－ａ０ａ２の計算結果に等しい。
　ステップＳ１３０の詳細を後述する。
　ステップＳ１４０において、出力部１４０は、逆元ａ－１を出力する。
　例えば、出力部１４０は、元ａの送信元へ逆元ａ－１を送信する。または、出力部１４０は、利用者に指定された記録媒体に逆元ａ－１を書き込む。
　逆元ａ－１は、元ａの逆元であり、以下の式で表される。
　ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２
　図５に基づいて、事前演算処理（Ｓ１２０）を説明する。
　ステップＳ１２１において、二乗算部１２１はａ０を用いて二乗算を行う。具体的には、二乗算部１２１はａ０ ２を計算する。これにより、ｔ１が算出される。
　ｔ１は、ａ０ ２の計算結果であり、以下のように表される。
　ｔ１←ａ０ ２
　ステップＳ１２２において、二乗算部１２１はａ２を用いて二乗算を行う。具体的には、二乗算部１２１はａ２ ２を計算する。これにより、ｔ２が算出される。
　ｔ２は、ａ２ ２の計算結果であり、以下のように表される。
　ｔ２←ａ２ ２
　ステップＳ１２３において、第１乗算部１２２は、ａ０とａ１を用いて乗算を行う。具体的には、第１乗算部１２２はａ０ａ１を計算する。これにより、ｔ３が算出される。
　ｔ３は、ａ０ａ１の計算結果であり、以下のように表される。
　ｔ３←ａ０ａ１
　ステップＳ１２４において、第１乗算部１２２は、ａ１とａ２を用いて乗算を行う。具体的には、第１乗算部１２２はａ１ａ２を計算する。これにより、ｔ４が算出される。
　ｔ４は、ａ１ａ２の計算結果であり、以下のように表される。
　ｔ４←ａ１ａ２
　ステップＳ１２５において、加算部１２３は、ａ０とａ１を用いて加算を行う。具体的には、加算部１２３はａ０＋ａ１を計算する。これにより、ｔ５が算出される。
　ｔ５は、ａ０＋ａ１の計算結果であり、以下のように表される。
　ｔ５←ａ０＋ａ１
　ステップＳ１２６において、減算部１２４は、ａ１とａ２を用いて減算を行う。具体的には、減算部１２４はａ１－ａ２を計算する。これにより、ｔ６が算出される。
　ｔ６は、ａ１－ａ２の計算結果であり、以下のように表される。
　ｔ６←ａ１－ａ２
　ステップＳ１２７において、第２乗算部１２５は、ｔ５とｔ６を用いて乗算を行う。具体的には、第２乗算部１２５はｔ５ｔ６を計算する。これにより、ｔ７が算出される。
　ｔ７は、ｔ５ｔ６の計算結果であり、以下のように表される。
　ｔ７←ｔ５ｔ６＝（ａ０＋ａ１）（ａ１－ａ２）
　図６に基づいて、逆元演算処理（Ｓ１３０）を説明する。
　ステップＳ１３１において、第１演算部１３１は、ｔ１とｔ４を用いて減算を行う。
　具体的には、第１演算部１３１は、ｔ４にｖを掛けてｔ４ｖを算出する。そして、第１演算部１３１はｔ１－ｔ４ｖを計算する。「ｖ」は、あらかじめ決められた値である。
　これにより、ｂ０が算出される。
　ｂ０は、ｔ１－ｔ４ｖの計算結果であり、以下のように表される。
　ｂ０←ｔ１－ｔ４ｖ＝ａ０ ２－ａ１ａ２ｖ
　ステップＳ１３２において、第２演算部１３２は、ｔ２とｔ３を用いて減算を行う。
　具体的には、第２演算部１３２は、ｔ２にｖを掛けてｔ２ｖを算出する。そして、第２演算部１３２はｔ２ｖ－ｔ３を計算する。
　これにより、ｂ１が算出される。
　ｂ１は、ｔ２ｖ－ｔ３の計算結果であり、以下のように表される。
　ｂ１←ｔ２ｖ－ｔ３＝ａ２ ２ｖ－ａ０ａ１
　ステップＳ１３３において、第３演算部１３３は、ｔ３とｔ４とｔ７を用いて加算および減算を行う。具体的には、第３演算部１３３はｔ７－ｔ３＋ｔ４を計算する。これにより、ｂ２が算出される。
　ｂ２は、ｔ７－ｔ３＋ｔ４の計算結果であり、以下のように表される。
　ｂ２←ｔ７－ｔ３＋ｔ４
　　＝（ａ０＋ａ１）（ａ１－ａ２）－ａ０ａ１＋ａ１ａ２
　　＝ａ０ａ１－ａ０ａ２＋ａ１ ２－ａ１ａ２－ａ０ａ１＋ａ１ａ２
　　＝ａ１ ２－ａ０ａ２
＊＊＊実施の形態１の効果＊＊＊
　実施の形態１により、逆元ａ－１を算出するための有限体上の二乗算を３回から２回に減らすことができる。つまり、逆元算の高速化が可能である。その結果、ペアリング暗号の効率化が可能となる。
＊＊＊実施の形態１の補足＊＊＊
　図７に基づいて、逆元演算装置１００のハードウェア構成を説明する。
　逆元演算装置１００は処理回路１０９を備える。
　処理回路１０９は、受付部１１０と事前演算部１２０と逆元演算部１３０と出力部１４０とを実現するハードウェアである。
　処理回路１０９は、専用のハードウェアであってもよいし、メモリ１０２に格納されるプログラムを実行するプロセッサ１０１であってもよい。
　処理回路１０９が専用のハードウェアである場合、処理回路１０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
　ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ　Ｓｐｅｃｉｆｉｃ　Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略称である。
　ＦＰＧＡは、Ｆｉｅｌｄ　Ｐｒｏｇｒａｍｍａｂｌｅ　Ｇａｔｅ　Ａｒｒａｙの略称である。
　逆元演算装置１００は、処理回路１０９を代替する複数の処理回路を備えてもよい。
　処理回路１０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
　このように、逆元演算装置１００の機能はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
　実施の形態２．
　ｃｙｃｌｏｔｏｍｉｃ　ｓｕｂｇｒｏｕｐの元ａの逆元ａ－１を算出する形態について、主に実施の形態１と異なる点を図８から図１４に基づいて説明する。
＊＊＊構成の説明＊＊＊
　図８に基づいて、逆元演算装置２００の構成を説明する。
　逆元演算装置２００は、実施の形態１における逆元演算装置１００に相当する。
　逆元演算装置２００は、プロセッサ２０１とメモリ２０２と補助記憶装置２０３と通信装置２０４と入出力インタフェース２０５といったハードウェアを備えるコンピュータである。これらのハードウェアは、信号線を介して互いに接続されている。
　プロセッサ２０１は、演算処理を行うＩＣであり、他のハードウェアを制御する。例えば、プロセッサ２０１はＣＰＵである。
　メモリ２０２は揮発性または不揮発性の記憶装置である。メモリ２０２は、主記憶装置またはメインメモリとも呼ばれる。例えば、メモリ２０２はＲＡＭである。メモリ２０２に記憶されたデータは必要に応じて補助記憶装置２０３に保存される。
　補助記憶装置２０３は不揮発性の記憶装置である。例えば、補助記憶装置２０３は、ＲＯＭ、ＨＤＤまたはフラッシュメモリである。補助記憶装置２０３に記憶されたデータは必要に応じてメモリ２０２にロードされる。
　通信装置２０４はレシーバ及びトランスミッタである。例えば、通信装置２０４は通信チップまたはＮＩＣである。
　入出力インタフェース２０５は、入力装置および出力装置が接続されるポートである。例えば、入出力インタフェース２０５はＵＳＢ端子であり、入力装置はキーボードおよびマウスであり、出力装置はディスプレイである。
　逆元演算装置２００は、受付部２１０と事前演算部２２０と逆元演算部２３０と出力部２４０といった要素を備える。これらの要素はソフトウェアで実現される。
　補助記憶装置２０３には、受付部２１０と事前演算部２２０と逆元演算部２３０と出力部２４０としてコンピュータを機能させるための逆元演算プログラムが記憶されている。逆元演算プログラムは、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
　補助記憶装置２０３には、さらに、ＯＳが記憶されている。ＯＳの少なくとも一部は、メモリ２０２にロードされて、プロセッサ２０１によって実行される。
　プロセッサ２０１は、ＯＳを実行しながら、逆元演算プログラムを実行する。
　逆元演算プログラムの入出力データは記憶部２９０に記憶される。
　メモリ２０２は記憶部２９０として機能する。但し、補助記憶装置２０３、プロセッサ２０１内のレジスタおよびプロセッサ２０１内のキャッシュメモリなどの記憶装置が、メモリ２０２の代わりに、又は、メモリ２０２と共に、記憶部２９０として機能してもよい。
　逆元演算装置２００は、プロセッサ２０１を代替する複数のプロセッサを備えてもよい。
　逆元演算プログラムは、光ディスクまたはフラッシュメモリ等の不揮発性の記録媒体にコンピュータ読み取り可能に記録（格納）することができる。
　図９に基づいて、事前演算部２２０の構成を説明する。
　事前演算部２２０は、第１二乗算部２２１と乗算部２２２と第１分数倍算部２２３と演算部２２４と第２二乗算部２２５と第２分数倍算部２２６といった要素を備える。これらの要素の機能を後述する。
　図１０に基づいて、逆元演算部２３０の構成を説明する。
　逆元演算部２３０は、第１演算部２３１と第２演算部２３２と第３演算部２３３といった要素を備える。これらの要素の機能を後述する。
＊＊＊前提の説明＊＊＊
　逆元演算装置２００による逆元算の前提は、実施の形態１における前提と同じである。
＊＊＊動作の説明＊＊＊
　逆元演算装置２００の動作の手順は逆元演算方法に相当する。また、逆元演算装置２００の動作の手順は逆元演算プログラムによる処理の手順に相当する。
　図１１に基づいて、逆元演算方法を説明する。
　ステップＳ２１０において、受付部２１０は、元ａを受け付ける。
　ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２
　ステップＳ２１０は、実施の形態１におけるステップＳ１１０と同じである。
　ステップＳ２２０において、事前演算部２２０は、ａ０とａ１とａ２を用いて、ｔ１とｔ２とｔ３とｔ４とｔ７を算出する。
　ｔ１は、ａ０ ２の計算結果である。
　ｔ２は、ａ２ ２の計算結果である。
　ｔ３は、ａ０ａ１の計算結果である。
　ｔ４は、ａ１ａ２の計算結果である。
　ｔ７は、ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２の計算結果に等しい。
　ｔ８は、ａ２ ２／４の計算結果に等しい。
　ステップＳ２２０の詳細を後述する。
　ステップＳ２３０において、逆元演算部２３０は、ｔ１とｔ２とｔ３とｔ４とｔ７とｔ８を用いて、ｂ０とｂ１とｂ２を算出する。
　ｂ０は、ａ０ ２－ａ１ａ２ｖの計算結果に等しい。
　ｂ１は、ａ２ ２ｖ－ａ０ａ１の計算結果に等しい。
　ｂ２は、ａ１ ２－ａ０ａ２の計算結果に等しい。
　ステップＳ２３０の詳細を後述する。
　ステップＳ２４０において、出力部１４０は、逆元ａ－１を出力する。
　ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２
　ステップＳ２４０は、実施の形態１におけるステップＳ１４０と同じである。
　図１２に基づいて、事前演算処理（Ｓ２２０）を説明する。
　ステップＳ２２１において、第１二乗算部２２１は、ａ０を用いて二乗算を行う。具体的には、第１二乗算部２２１はａ０ ２を計算する。これにより、ｔ１が算出される。
　ｔ１は、ａ０ ２の計算結果であり、以下のように表される。
　ｔ１←ａ０ ２
　ステップＳ２２２において、第１二乗算部２２１は、ａ２を用いて二乗算を行う。具体的には、第１二乗算部２２１はａ２ ２を計算する。これにより、ｔ２が算出される。
　ｔ２は、ａ２ ２の計算結果であり、以下のように表される。
　ｔ２←ａ２ ２
　ステップＳ２２３において、乗算部２２２は、ａ０とａ１を用いて乗算を行う。具体的には、乗算部２２２はａ０ａ１を計算する。これにより、ｔ３が算出される。
　ｔ３は、ａ０ａ１の計算結果であり、以下のように表される。
　ｔ３←ａ０ａ１
　ステップＳ２２４において、乗算部２２２は、ａ１とａ２を用いて乗算を行う。具体的には、乗算部２２２はａ１ａ２を計算する。これにより、ｔ４が算出される。
　ｔ４は、ａ１ａ２の計算結果であり、以下のように表される。
　ｔ４←ａ１ａ２
　ステップＳ２２５において、第１分数倍算部２２３は、ａ２を用いて１／２倍算を行う。具体的には、第１分数倍算部２２３はａ２／２を計算する。これにより、ｔ５が算出される。
　ｔ５は、ａ２／２の計算結果であり、以下のように表される。
　ｔ５←ａ２／２
　ステップＳ２２６において、演算部２２４は、ａ０とａ１とｔ５を用いて加算及び減算を行う。具体的には、演算部２２４はａ０＋ａ１－ｔ５を計算する。これにより、ｔ６が算出される。
　ｔ６は、ａ０＋ａ１－ｔ５の計算結果であり、以下のように表される。
　ｔ６←ａ０＋ａ１－ｔ５＝ａ０＋ａ１－ａ２／２
　ステップＳ２２７において、第２二乗算部２２５は、ｔ６を用いて二乗算を行う。具体的には、第２二乗算部２２５はｔ６ ２を計算する。これにより、ｔ７が算出される。
　ｔ７は、ｔ６ ２の計算結果であり、以下のように表される。
　ｔ７←ｔ６ ２＝（ａ０＋ａ１－ａ２／２）２
　　＝ａ０ ２＋ａ０ａ１－ａ０ａ２／２＋ａ０ａ１＋ａ１ ２－ａ１ａ２／２－ａ０ａ２／２－ａ１ａ２／２＋ａ２ ２／４
　　＝ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２
　ステップＳ２２８において、第２分数倍算部２２６は、ｔ２を用いて１／４倍算を行う。具体的には、第２分数倍算部２２６はｔ２／４を計算する。これにより、ｔ８が算出される。
　ｔ８は、ｔ２／４の計算結果であり、以下のように表される。
　ｔ８←ｔ２／４＝ａ２ ２／４
　図１３に基づいて、逆元演算処理（Ｓ２３０）を説明する。
　ステップＳ２３１において、第１演算部２３１は、ｔ１とｔ４を用いて減算を行う。
　具体的には、第１演算部１３１は、ｔ４にｖを掛けてｔ４ｖを算出する。そして、第１演算部１３１はｔ１－ｔ４ｖを計算する。
　これにより、ｂ０が算出される。
　ｂ０は、ａ０ ２－ａ１ａ２ｖの計算結果であり、以下のように表される。
　ｂ０←ｔ１－ｔ４ｖ＝ａ０ ２－ａ１ａ２ｖ
　ステップＳ２３２において、第２演算部２３２は、ｔ２とｔ３を用いて減算を行う。
　具体的には、第２演算部１３２は、ｔ２にｖを掛けてｔ２ｖを算出する。そして、第２演算部１３２はｔ２ｖ－ｔ３を計算する。
　これにより、ｂ１が算出される。
　ｂ１は、ｔ２ｖ－ｔ３の計算結果であり、以下のように表される。
　ｂ１←ｔ２ｖ－ｔ３＝ａ２ ２ｖ－ａ０ａ１
　ステップＳ２３３において、第３演算部２３３は、ｔ１とｔ３とｔ４とｔ７とｔ８を用いて加算および減算を行う。具体的には、第３演算部２３３はｔ７－ｔ１－ｔ８－２ｔ３＋ｔ４を計算する。これにより、ｂ２が算出される。
　ｂ２は、ｔ７－ｔ１－ｔ８－２ｔ３＋ｔ４の計算結果であり、以下のように表される。
　ｂ２←ｔ７－ｔ１－ｔ８－２ｔ３＋ｔ４
　　＝ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２－ａ０ ２－ａ２ ２／４－２ａ０ａ１＋ａ１ａ２
　　＝ａ１ ２－ａ０ａ２
＊＊＊実施の形態２の効果＊＊＊
　実施の形態２により、逆元ａ－１を算出するための有限体上の乗算を３回から２回に減らすことができる。つまり、逆元算の高速化が可能である。その結果、ペアリング暗号の効率化が可能となる。
＊＊＊実施の形態２の補足＊＊＊
　図１４に基づいて、逆元演算装置２００のハードウェア構成を説明する。
　逆元演算装置２００は処理回路２０９を備える。
　処理回路２０９は、受付部２１０と事前演算部２２０と逆元演算部２３０と出力部２４０とを実現するハードウェアである。
　処理回路２０９は、専用のハードウェアであってもよいし、メモリ２０２に格納されるプログラムを実行するプロセッサ２０１であってもよい。
　処理回路２０９が専用のハードウェアである場合、処理回路２０９は、例えば、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ、ＦＰＧＡまたはこれらの組み合わせである。
　逆元演算装置２００は、処理回路２０９を代替する複数の処理回路を備えてもよい。
　処理回路２０９において、一部の機能が専用のハードウェアで実現されて、残りの機能がソフトウェアまたはファームウェアで実現されてもよい。
　このように、逆元演算装置２００の機能はハードウェア、ソフトウェア、ファームウェアまたはこれらの組み合わせで実現することができる。
＊＊＊実施の形態の補足＊＊＊
　各実施の形態は、好ましい形態の例示であり、本開示の技術的範囲を制限することを意図するものではない。各実施の形態は、部分的に実施してもよいし、他の形態と組み合わせて実施してもよい。フローチャート等を用いて説明した手順は、適宜に変更してもよい。
　逆元演算装置（１００、２００）の要素である「部」は、「処理」または「工程」と読み替えてもよい。
　１００　逆元演算装置、１０１　プロセッサ、１０２　メモリ、１０３　補助記憶装置、１０４　通信装置、１０５　入出力インタフェース、１０９　処理回路、１１０　受付部、１２０　事前演算部、１２１　二乗算部、１２２　第１乗算部、１２３　加算部、１２４　減算部、１２５　第２乗算部、１３０　逆元演算部、１３１　第１演算部、１３２　第２演算部、１３３　第３演算部、１４０　出力部、１９０　記憶部、２００　逆元演算装置、２０１　プロセッサ、２０２　メモリ、２０３　補助記憶装置、２０４　通信装置、２０５　入出力インタフェース、２０９　処理回路、２１０　受付部、２２０　事前演算部、２２１　第１二乗算部、２２２　乗算部、２２３　第１分数倍算部、２２４　演算部、２２５　第２二乗算部、２２６　第２分数倍算部、２３０　逆元演算部、２３１　第１演算部、２３２　第２演算部、２３３　第３演算部、２４０　出力部、２９０　記憶部。

Claims (14)

  1. 　元ａの逆元ａ－１を算出する逆元演算装置であり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　前記逆元演算装置は、
    　前記元ａを受け付ける受付部と、
    　ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７と、を算出する事前演算部と、
    　ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する逆元演算部と、
    　ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する出力部と、
    を備える逆元演算装置。
  2. 　前記事前演算部は、
    　ａ０を用いて二乗算を行ってａ０ ２の計算結果であるｔ１を算出し、ａ２を用いて二乗算を行ってａ２ ２の計算結果であるｔ２を算出する二乗算部と、
    　ａ０とａ１を用いて乗算を行ってａ０ａ１の計算結果であるｔ３を算出し、ａ１とａ２を用いて乗算を行ってａ１ａ２の計算結果であるｔ４を算出する第１乗算部と、
    　ａ０とａ１を用いて加算を行ってａ０＋ａ１の計算結果であるｔ５を算出する加算部と、
    　ａ１とａ２を用いて減算を行ってａ１－ａ２の計算結果であるｔ６を算出する減算部と、
    　ｔ５とｔ６を用いて乗算を行って（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７を算出する第２乗算部と、を備える
    請求項１に記載の逆元演算装置。
  3. 　前記第２乗算部は、ｔ５ｔ６を計算することによってｔ７を算出する
    請求項２に記載の逆元演算装置。
  4. 　前記逆元演算部は、
    　ｔ１とｔ４を用いて減算を行ってａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０を算出する第１演算部と、
    　ｔ２とｔ３を用いて減算を行ってａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１を算出する第２演算部と、
    　ｔ３とｔ４とｔ７を用いて加算および減算を行ってａ１ ２－ａ０ａ２の計算結果に等しいｂ２を算出する第３演算部と、を備える
    請求項１から請求項３のいずれか１項に記載の逆元演算装置。
  5. 　前記第１演算部は、ｔ１－ｔ４ｖを計算することによってｂ０を算出し、
    　前記第２演算部は、ｔ２ｖ－ｔ３を計算することによってｂ１を算出し、
    　前記第３演算部は、ｔ７－ｔ３＋ｔ４を計算することによってｂ２を算出する
    請求項４に記載の逆元演算装置。
  6. 　元ａの逆元ａ－１を算出する逆元演算方法であり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　受付部が、前記元ａを受け付け、
    　事前演算部が、ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７と、を算出し、
    　逆元演算部が、ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出し、
    　出力部が、ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する
    逆元演算方法。
  7. 　元ａの逆元ａ－１を算出するための逆元演算プログラムであり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　前記逆元演算プログラムは、
    　前記元ａを受け付ける受付処理と、
    　ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、（ａ０＋ａ１）（ａ１－ａ２）の計算結果に等しいｔ７と、を算出する事前演算処理と、
    　ｔ１とｔ２とｔ３とｔ４とｔ７を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する逆元演算処理と、
    　ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する出力処理と、
    をコンピュータに実行させるための逆元演算プログラム。
  8. 　元ａの逆元ａ－１を算出する逆元演算装置であり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　前記逆元演算装置は、
    　前記元ａを受け付ける受付部と、
    　ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２の計算結果に等しいｔ７と、ａ２ ２／４の計算結果に等しいｔ８を算出する事前演算部と、
    　ｔ１とｔ２とｔ３とｔ４とｔ７とｔ８を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する逆元演算部と、
    　ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する出力部と、
    を備える逆元演算装置。
  9. 　前記事前演算部は、
    　ａ０を用いて二乗算を行ってａ０ ２の計算結果であるｔ１を算出し、ａ２を用いて二乗算を行ってａ２ ２の計算結果であるｔ２を算出する第１二乗算部と、
    　ａ０とａ１を用いて乗算を行ってａ０ａ１の計算結果であるｔ３を算出し、ａ１とａ２を用いて乗算を行ってａ１ａ２の計算結果であるｔ４を算出する乗算部と、
    　ａ２を用いて１／２倍算を行ってａ２／２の計算結果であるｔ５を算出する第１分数倍算部と、
    　ａ０とａ１とｔ５を用いて加算および減算を行ってａ０＋ａ１－ａ２／２の計算結果に等しいｔ６を算出する演算部と、
    　ｔ６を用いて二乗算を行ってａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２の計算結果に等しいｔ７を算出する第２二乗算部と、
    　ｔ２を用いて１／４倍算を行ってａ２ ２／４の計算結果に等しいｔ８を算出する第２分数倍算部と、を備える
    請求項８に記載の逆元演算装置。
  10. 　前記演算部は、ａ０＋ａ１－ｔ５を計算することによってｔ６を算出し、
    　前記第２二乗算部は、ｔ６ ２を計算することによってｔ７を算出し、
    　前記第２分数倍算部は、ｔ２／４を計算することによってｔ８を算出する
    請求項９に記載の逆元演算装置。
  11. 　前記逆元演算部は、
    　ｔ１とｔ４を用いて減算を行ってａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０を算出する第１演算部と、
    　ｔ２とｔ３を用いて減算を行ってａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１を算出する第２演算部と、
    　ｔ１とｔ３とｔ４とｔ７とｔ８を用いて加算および減算を行ってａ１ ２－ａ０ａ２の計算結果に等しいｂ２を算出する第３演算部と、を備える
    請求項８から請求項１０のいずれか１項に記載の逆元演算装置。
  12. 　前記第１演算部は、ｔ１－ｔ４ｖを計算することによってｂ０を算出し、
    　前記第２演算部は、ｔ２ｖ－ｔ３を計算することによってｂ１を算出し、
    　前記第３演算部は、ｔ７－ｔ１－ｔ８－２ｔ３－ｔ４を計算することによってｂ２を算出する
    請求項１１に記載の逆元演算装置。
  13. 　元ａの逆元ａ－１を算出する逆元演算方法であり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　受付部が、前記元ａを受け付け、
    　事前演算部が、ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２の計算結果に等しいｔ７と、ａ２ ２／４の計算結果に等しいｔ８を算出し、
    　逆元演算部が、ｔ１とｔ２とｔ３とｔ４とｔ７とｔ８を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出し、
    　出力部が、ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する
    逆元演算方法。
  14. 　元ａの逆元ａ－１を算出するための逆元演算プログラムであり、
    　前記元ａは、ａ＝ａ０＋ａ１ｗ＋ａ２ｗ２で表され、
    　前記逆元ａ－１は、ａ－１＝（ａ０ ２－ａ１ａ２ｖ）＋（ａ２ ２ｖ－ａ０ａ１）ｗ＋（ａ１ ２－ａ０ａ２）ｗ２で表され、
    　前記逆元演算プログラムは、
    　前記元ａを受け付ける受付処理と、
    　ａ０とａ１とａ２を用いて、ａ０ ２の計算結果であるｔ１と、ａ２ ２の計算結果であるｔ２と、ａ０ａ１の計算結果であるｔ３と、ａ１ａ２の計算結果であるｔ４と、ａ０ ２＋ａ１ ２＋ａ２ ２／４＋２ａ０ａ１－ａ０ａ２－ａ１ａ２の計算結果に等しいｔ７と、ａ２ ２／４の計算結果に等しいｔ８を算出する事前演算処理と、
    　ｔ１とｔ２とｔ３とｔ４とｔ７とｔ８を用いて、ａ０ ２－ａ１ａ２ｖの計算結果に等しいｂ０と、ａ２ ２ｖ－ａ０ａ１の計算結果に等しいｂ１と、ａ１ ２－ａ０ａ２の計算結果に等しいｂ２と、を算出する逆元演算処理と、
    　ｂ０とｂ１とｂ２を用いて前記逆元ａ－１を生成して出力する出力処理と、
    をコンピュータに実行させるための逆元演算プログラム。
PCT/JP2020/026860 2020-07-09 2020-07-09 逆元演算装置、逆元演算方法および逆元演算プログラム Ceased WO2022009389A1 (ja)

Priority Applications (5)

Application Number Priority Date Filing Date Title
JP2022534595A JP7158629B2 (ja) 2020-07-09 2020-07-09 逆元演算装置、逆元演算方法および逆元演算プログラム
DE112020007193.6T DE112020007193B4 (de) 2020-07-09 2020-07-09 Inverses-Element-Operationsvorrichtung, Inverses-Element-Operationsverfahren und Inverses-Element-Operationsprogramm
CN202080102532.XA CN115735241A (zh) 2020-07-09 2020-07-09 逆元运算装置、逆元运算方法以及逆元运算程序
PCT/JP2020/026860 WO2022009389A1 (ja) 2020-07-09 2020-07-09 逆元演算装置、逆元演算方法および逆元演算プログラム
US17/987,977 US20230076400A1 (en) 2020-07-09 2022-11-16 Inverse element operation apparatus and computer readable medium

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2020/026860 WO2022009389A1 (ja) 2020-07-09 2020-07-09 逆元演算装置、逆元演算方法および逆元演算プログラム

Related Child Applications (1)

Application Number Title Priority Date Filing Date
US17/987,977 Continuation US20230076400A1 (en) 2020-07-09 2022-11-16 Inverse element operation apparatus and computer readable medium

Publications (1)

Publication Number Publication Date
WO2022009389A1 true WO2022009389A1 (ja) 2022-01-13

Family

ID=79552327

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2020/026860 Ceased WO2022009389A1 (ja) 2020-07-09 2020-07-09 逆元演算装置、逆元演算方法および逆元演算プログラム

Country Status (5)

Country Link
US (1) US20230076400A1 (ja)
JP (1) JP7158629B2 (ja)
CN (1) CN115735241A (ja)
DE (1) DE112020007193B4 (ja)
WO (1) WO2022009389A1 (ja)

Families Citing this family (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
KR20250045878A (ko) * 2023-09-26 2025-04-02 삼성전자주식회사 교집합 연산을 위한 장치 및 방법

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
ABDOU TOURE MAHAMADOU, SAMAKE KARIM, TRAORE SINALY: "Optimal Ate Pairing on Elliptic Curves with Embedding Degree 21", INTERNATIONAL JOURNAL OF SCIENCE AND RESEARCH, 1 November 2019 (2019-11-01), XP055894418, Retrieved from the Internet <URL:https://www.ijsr.net/archive/v8i11/ART20203004.pdf> [retrieved on 20220222], DOI: 10.21275/ART20203004 *
EMMANUEL FOUOTSA ; NADIA EL MRABET ; AMINATOU PECHA: "Computing Optimal Ate Pairings on Elliptic Curves with Embedding Degree 9,15 and 27", IACR, INTERNATIONAL ASSOCIATION FOR CRYPTOLOGIC RESEARCH, vol. 20181004:125302, 4 October 2018 (2018-10-04), International Association for Cryptologic Research , pages 1 - 27, XP061026322 *

Also Published As

Publication number Publication date
JPWO2022009389A1 (ja) 2022-01-13
CN115735241A (zh) 2023-03-03
DE112020007193T5 (de) 2023-04-13
DE112020007193B4 (de) 2024-08-22
US20230076400A1 (en) 2023-03-09
JP7158629B2 (ja) 2022-10-21

Similar Documents

Publication Publication Date Title
Sousa et al. Combining residue arithmetic to design efficient cryptographic circuits and systems
EP1993086B1 (en) Elliptical curve encryption parameter generation device, elliptical curve encryption calculation device, elliptical curve encryption parameter generation program, and elliptical curve encryption calculation program
CN101061526B (zh) 密码处理运算装置
US8619977B2 (en) Representation change of a point on an elliptic curve
Renes et al. qDSA: small and secure digital signatures with curve-based Diffie–Hellman key pairs
CN101005350B (zh) 加密处理设备和加密处理方法
US8300810B2 (en) Method for securely encrypting or decrypting a message
Parrilla et al. Elliptic curve cryptography hardware accelerator for high-performance secure servers
Granger et al. A comparison of CEILIDH and XTR
Chuengsatiansup et al. PandA: Pairings and arithmetic
Azarderakhsh et al. EdSIDH: supersingular isogeny Diffie-Hellman key exchange on Edwards curves
CN113467752B (zh) 用于隐私计算的除法运算装置、数据处理系统及方法
KR20070057882A (ko) 암호 처리 연산 방법, 및 암호 처리 장치, 및 컴퓨터프로그램
US8374342B2 (en) Scalar multiplier and scalar multiplication program
Fouotsa et al. x-superoptimal pairings on elliptic curves with odd prime embedding degrees: BW 13-P 310 and BW 19-P 286
CN101371285B (zh) 加密处理装置、加密处理方法
JP7158629B2 (ja) 逆元演算装置、逆元演算方法および逆元演算プログラム
JP3820909B2 (ja) 楕円曲線暗号処理方法および楕円曲線暗号処理装置、並びにプログラム
Sakamoto et al. High-throughput bilinear pairing processor for server-side FPGA applications
Kalaiarasi et al. A parallel elliptic curve crypto-processor architecture with reduced clock cycle for FPGA platforms: M. Kalaiarasi et al.
Chung et al. Fast, uniform scalar multiplication for genus 2 Jacobians with fast Kummers
Li et al. FPGA implementations of elliptic curve cryptography and Tate pairing over a binary field
WO2025024090A1 (en) Side channel attack resistant cryptographic accelerator
Clancy Analysis of FPGA-based hyperelliptic curve cryptosystems
Huynh et al. An efficient cryptographic accelerators for IoT system based on elliptic curve digital signature

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 20944012

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2022534595

Country of ref document: JP

Kind code of ref document: A

122 Ep: pct application non-entry in european phase

Ref document number: 20944012

Country of ref document: EP

Kind code of ref document: A1