JP4080754B2 - Remainder calculation apparatus and method - Google Patents

Description

【０００１】
【発明の属する技術分野】
本発明は、剰余演算系に基づき、大きな整数の演算を並列処理により高速に計算する剰余演算装置及び方法に関する。
【０００２】
【従来の技術】
公開鍵暗号の重要性が増すにつれて、大きな整数の剰余演算を効率よく行うための方法及び装置への要望が高まっている。例えば現在事実上の標準（デファクトスタンダード）であるＲＳＡ（Rivest−Shamir−Adleman）方式では、1,024ビットの整数による剰余演算を高速に行う必要がある。
【０００３】
このための高速演算方法の一つとして、剰余演算系（Residue Number Systems）が知られている。この剰余演算系は、互いに素な比較的小さな整数の組｛ａ_１，ａ_２，…，ａ_ｎ｝を用意し、演算対象の大きな整数をこれらの整数で割った余りの組で表現する手法である。以後、この余りの組｛ａ_１，ａ_２，…，ａ_ｎ｝を剰余演算系の基底と呼び、基底を構成する要素の個数ｎを基底のサイズと呼ぶ。また、基底の集合をａ＝｛ａ_１，ａ_２，…，ａ_ｎ｝で表す。
【０００４】
例えば、整数ｘと基底｛ａ_１，ａ_２，…，ａ_ｎ｝が与えられたとき、整数ｘを基底要素ａ_ｉ（ｉ＝１，２，…，ｎ）で割った余りｘ_ｉの組（ｘ_１，ｘ_２，…，ｘ_ｎ）がｘの剰余演算系表現である。なお、ｘ_ｉ＝ｘ ｍｏｄ ａ_ｉである。ここで、整数ｘは、基底の全要素の積Ａ＝ａ_１ａ_２…ａ_ｎを法として一意的に表現できる。すなわち、ｘがＡ未満の正整数のとき、ｘとその剰余演算系表現（ｘ_１，ｘ_２，…，ｘ_ｎ）は一対一に対応する。なお、この一対一の対応関係は、中国剰余定理により保証されている。
【０００５】
係る剰余演算系表現では、２つの整数ｘ，ｙの積を計算する際に、各要素毎の積（ｘ_１・ｙ_１，…，ｘ_ｎ・ｙ_ｎ）を求め、得られた積を、対応する基底ａ_ｉで除した余り（ｘ_１・ｙ_１ ｍｏｄ ａ_１，…，ｘ_ｎ・ｙ_ｎ ｍｏｄ ａ_ｎ）を求める。
【０００６】
この演算は、一般的に言い換えると、各要素毎に、対応する基底ａ_ｉを法とする積を計算することにより、基底要素の積Ａを法とする積が求められることと表現される。加算及び減算についても同様であり、基底ａ_ｉに対応する要素ｘ_ｉ，ｙ_ｉについて、ａ_ｉを法とする加算あるいは減算をすればよい。
【０００７】
このような剰余演算系における乗算、加算、減算は、各要素毎に独立に対応する基底を法とする演算を行えばよいので、例えば基底として計算機のワード長以内の値を採用することにより、非常に大きな整数の演算を単精度の演算の繰り返しによって実現できる。
【０００８】
また、それらの単精度演算は、基底毎に独立して実行可能なので、複数の演算器による並列処理が可能になる。例えば、基底サイズがｎの場合、剰余演算機能付のｎ個の乗算器を並列に動作させることにより、１回の単精度剰余付き乗算と同じ時間内で基底要素の積Ａを法とする乗算を終了できる。
【０００９】
現在の計算機内では、通常、２進数表現が用いられている。２進数表現に基づく大きな整数の演算では、ＬＳＢ(Least Significanｔ Bit)からＭＳＢ(Most Significant Bit)に向けて桁上がりが伝播し、大きな整数の全桁数（あるいはビット長）に比例した処理時間がかかる。従って、２進数表現による演算は、剰余演算系による並列処理に比べ、処理速度の点で不利である。
【００１０】
一方、剰余演算系による演算は、ワード間の桁上がりが生じないので、２進数表現に代表される基数法に比べ、大きい整数の乗算、加算、減算を効率よく行う方式として古くから知られてきている。
【００１１】
しかしながら、剰余演算系では、除算や２数の大小比較については基数法に比べ、効率よく行う手段が知られていない。このため、剰余演算系は、公開鍵暗号のような大きな整数の演算を高速に行う応用に適していると考えられながら、剰余算への適用の仕方が知られていない。
【００１２】
一方、剰余演算系表現した数値同士による剰余乗算の方法がポッシュ（Posch）ら（IEEE Transaction on Parallel and Distributed Systems, Vol.６, No.5, May 1995, pp.449-454に掲載された“Modulo Reduction in Residue Number Systems”、及びComputer & Security誌Vol.17, pp.637-650, 1998に掲載された“RNS−Modulo Reduction Upon a Restricted Base Value Set and its Applicability to RSA Cryptography”）、川村（特開２００１−１９４９９３）によって提案されている。
【００１３】
これらの方法は、剰余演算系表現での演算において不利な除算を避けるために、モンゴメリ（Montgomery）がMathematics of Computation， Vol.44, No.170, pp.519-521， April, 1985に掲載された“Modular Multiplication without Trial Division”で提案した剰余乗算方法（以下、モンゴメリ乗算と呼ぶ）を利用することで、剰余演算系における除算を行わずに剰余乗算を実現している。
【００１４】
しかし、モンゴメリ乗算は、整数にモンゴメリ定数と呼ばれる定数を乗じる必要があるが、このモンゴメリ定数の計算には除算が必要であり、この除算を剰余演算系で行う効率的な方法が知られていないため、モンゴメリ定数を基数表現で計算している。
【００１５】
ここでは、モンゴメリ乗算を例に挙げたが、モンゴメリ乗算に限らず、剰余算を行うアルゴリズムにおいては除算を行う必要性が生じる。
【００１６】
【発明が解決しようとする課題】
以上説明したように、剰余演算系における除算の効率的なアルゴリズムが要望されるものの、未だにその要望を満たせない状況にある。
【００１７】
本発明は上記実情を考慮してなされたもので、剰余演算系で除算を効率的に実行し得る剰余演算装置及び方法を提供することを目的とする。
【００１８】
また、本発明の他の目的は、特に、剰余演算系の基底の幾つかの要素の積が除算の法の場合に、剰余演算系で除算を効率的に実行し得ることにある。
【００１９】
【課題を解決するための手段】
第１の発明は、剰余演算系の基底を｛ａ_１，ａ_２，…，ａ_ｎ｝（ｎは整数）とし且つＡ＝ａ_１ａ_２…ａ_ｎとした際に、｛ａ_１，ａ_２，…，ａ_ｎ｝から任意に１つの基底要素ａ_ｉ（１≦ｉ≦ｎ）を選択し、このａ_ｉの選択情報及びＡ未満の正の整数ｘが入力されたとき、前記ｘをａ_ｉで除した商ｚを出力可能な、剰余演算機能を有する複数の演算ユニットを備えた剰余演算装置において、前記選択情報に基づいて、前記ｘの剰余演算系表現の各値ｘ_１，…，ｘ_ｎから前記基底要素ａ_ｉに対応する値ｘ_ｉを減じるように、前記各演算ユニットを制御する減算制御手段と、前記減算制御手段により得られた各値（ｘ_１−ｘ_ｉ），…，（ｘ_ｎ−ｘ_ｉ）（但し、（ｘ_ｉ−ｘ_ｉ）を除く）に対し、前記基底要素ａ_ｉの乗法逆元ａ_ｉ ^-1を乗じるように、前記各演算ユニットを制御する乗算制御手段と、前記乗算制御手段により得られた乗算結果を商ｚとして出力する出力手段と、を備えた剰余演算装置である。
【００２０】
このように、減算制御手段の制御により、各演算ユニットがｘの剰余演算系表現の各値からｘｉ（＝ｘ ｍｏｄ ａ_ｉ）を減じてａ_ｉの倍数としておき、乗算制御手段の制御により、各演算ユニットが減算結果に乗法逆元を乗算して除算結果を得るので、剰余演算系で除算を効率的に実行することができる。
【００２１】
なお、第１の発明は、「装置」として表現したが、「システム」、「方法」、「プログラム」又は「記憶媒体」等として表現してもよいことは言うまでもない。
【００２２】
【発明の実施の形態】
以下、本発明の各実施形態について図面を参照して説明する。
（第１の実施形態）
図１は本発明の第１の実施形態に係る剰余演算装置の主要部分の構成を示す模式図である。この剰余演算装置１０は、ｎ個の演算ユニット２０_１〜２０_ｎが制御装置３０に接続されている。
【００２３】
ここで、各演算ユニット２０_１〜２０_ｎは、それぞれ対応する添字のＲＯＭ２１_１〜２１_ｎ、ＲＡＭ２２_１〜２２_ｎ及び積和回路２３_１〜２３_ｎを備えている。
【００２４】
ＲＯＭ２１_１〜２１_ｎは、制御装置３０により読出制御される読出専用メモリであり、対応する積和回路２３_１〜２３_ｎで用いる剰余演算系の基底要素ａ_１，…，ａ_ｎ、及び他の基底要素ａ_ｊ（ｊ≠１，…，ｎ）の乗法逆元値ａ_ｊ ^-1を保持し、保持内容を制御装置３０からの制御により、対応する積和回路２３_１〜２３_ｎに転送可能となっている。
【００２５】
なお、剰余演算系のｎ個の基底要素ａ_１，…，ａ_ｎは、どの２つ同士も互いに素な正の整数が使用されている。また、一般には剰余演算系の基底要素ａ_１，…，ａ_ｎの個数と、積和回路２３_１〜２３_ｎの個数とは一致しなくてよいが、ここでは簡単のため、共にｎ個とする。また、基底としては、２のべき又は２のべきに近接する値が用いられる。
【００２６】
乗法逆元値ａ_ｊ ^-1は、剰余演算系の基底が定まれば決まる値なので、事前計算して格納するが、ＲＯＭ２１_１〜２１_ｎに限らず、ＲＡＭ２２_１〜２２_ｎや図示しない他のメモリ（例えばＥＥＰＲＯＭ）に格納されていてもよい。
【００２７】
ＲＡＭ２２_１〜２２_ｎは、制御装置３０により読出／書込制御される随時書込読出メモリであり、積和回路２３_１〜２３_ｎへの入力データや、積和回路２３_１〜２３_ｎからの演算の中間結果データ、及び演算ユニット２０_１〜２０_ｎ外部への出力データ、といった各データを保持するために用いられる。
【００２８】
制御装置３０は、図２に示す除算アルゴリズムに基づいて、各演算ユニット２０_１〜２０_ｎや入出力データを制御することにより、所定の演算を実行させる機能をもっている。
【００２９】
なお、以上のような各ユニット２０_１〜２０_ｎ及び装置３０はそれぞれハードウェア、ソフトウェア又はその組合せにより構成可能となっている。ここで、各ユニット２０_１〜２０_ｎ及び装置３０がソフトウェアにより構成される場合、後述する各機能を実現させるための剰余演算プログラムが予め剰余演算装置１０のコンピュータにインストールされている。なお、ハードウェア及び／又はソフトウェアにより各ユニット２０_１〜２０_ｎ及び装置３０を個別に構成可能な旨の説明は、以下の各実施形態にも適用される。
【００３０】
次に、以上のように構成された剰余演算装置の除算動作を図２及び図３を用いて説明する。始めに、図２を用いて原理的に述べ、その後、図３を用いて計算例を述べる。
【００３１】
剰余演算装置１０は、図２の左側に示すように、剰余演算系での除算を行う。なお、図２の右側は、説明の便宜上、対応する基数表現を示している。例えばStep１では、剰余演算系の表現が（ｘ_１，ｘ_２，…，ｘ_ｉ，…，ｘ_n-1，ｘ_ｎ）であり、これに対応する基数表現がｘであることを示している。なお、従来の技術で述べたように、ｘ_ｊ＝ｘ ｍｏｄ ａ_ｊ（ｊ＝１，２，…，ｎ）の関係がある。この関係は、基数表現の正の整数ｘが剰余演算系の全ての基底要素の積Ａ＝ａ_１ａ_２…ａ_ｎより小さいとき（ｘ＜Ａ）、一対一の対応関係となる。
【００３２】
続いて、入力（ｘ＜Ａ）と、任意に選んだ１つの基底要素ａ_ｉからｘ／ａ_ｉの商を求める方法を図２の各ステップＳＴ１〜ＳＴ５に沿って述べる。
【００３３】
（ＳＴ１） 制御装置３０は、入力データｘ_１〜ｘ_ｎを対応する各ＲＡＭ２２_１〜２２_ｎに書込む。
【００３４】
（ＳＴ２） 制御装置３０は、選択した基底要素ａ_ｉに基づいて、対応するＲＡＭ２２_ｉ内の値ｘ_ｉを調べ、各積和回路２３_１〜２３_ｎに対応するＲＡＭ２２_１〜２３_ｎ内の値ｘ_１〜ｘ_ｎからｘ_ｉを減じるように命令する。
【００３５】
（ＳＴ３） 各積和回路２３_ｊ（ｊ＝１，２，…，ｎ）は、ｙ_ｊ＝ｘ_ｊ−ｘ_ｉｍｏｄ ａ_ｊを実行し、結果ｙ_ｊを各ＲＡＭ２２ｊに格納する。基数表現での対応する演算はｙ＝ｘ−ｘ_ｉである。
【００３６】
（ＳＴ４） 制御装置３０は、ｎ−１個の積和回路２３ｊ（ｊ＝１，２，…，ｎ、ｊ≠ｉ）に対して、ＲＡＭ２２ｊ内の値ｙ_ｊにａ_ｉの乗法逆元ａ_ｉ ^-1 ｍｏｄ ａ_ｊを乗じるように命令する。但し、この命令は、ｘ_ｉに対応する積和回路２３ｉには与えない。なお、剰余演算系における乗法逆元の乗算は、基数表現における除算に相当する。
【００３７】
（ＳＴ５） 各積和回路２３ｊ（ｊ＝１，２，…，ｎ、ｊ≠ｉ）は、ｚ_ｊ＝ｙ_ｊ×ａ_ｉ ^-1 ｍｏｄ ａ_ｊを実行し、結果ｚ_ｊを各ＲＡＭ１２ｊに格納する。なお、ｙは、前述した通り、ｘからｘ_ｉ（＝ｘ ｍｏｄ ａ_ｉ）を減じた値であるのでａ_ｉの倍数である。このため、除算の商ｙ／ａ_ｉは整数となる。従って、ｚ＝ｙ／ａ_ｉが対応する基数表現での演算となる。
【００３８】
この５ステップの結果、ＲＡＭ２２ｊ（ｊ＝１，２，…，ｎ、ｊ≠ｉ）に格納された計算結果ｚ_ｊが商ｚの剰余演算系表現となっている。但し、基底要素ａ_ｉに対応するｚの成分（ｚ_ｉ）が未計算のため（図２のステップＳＴ５では未計算を示すため、ｚ_ｉの箇所に×という印をつけている）、ｚ_ｊで表現できる最大の数はＡ／ａ_ｉとなる。しかしながら、商ｚ＝ｙ／ａ_ｉ≦ｘ／ａ_ｉ＜Ａ／ａ_ｉであるので、この計算結果ｚ_ｊは、商ｚの正しい値を表現している。
【００３９】
以上により、ｘ／ａ_ｉを剰余演算装置１０で計算することができる。
【００４０】
次に、選ばれた基底要素が２個以上の場合について説明する。この場合も上述した５つのステップを選ばれた基底要素の個数分だけ繰り返すことで実現できる。以下、図３を用いて具体例で説明する。
図３に示すように、剰余演算系の基底の要素数ｎ＝４とし、各要素ａ_１，ａ_２，ａ_３，ａ_４の値をそれぞれ７、１１、１３、１７としている。
この例は、入力ｘ＝４５６７＜ａ_１ａ_２ａ_３ａ_４＝１７０１７であり、基底要素からａ_１，ａ_４を選んで商４５６７／（７×１７）＝３８を剰余演算系で求める手順を表している。
【００４１】
（ＳＴ１’） 制御装置３０は、入力データ３，２，４，１１を各ＲＡＭ２２_１〜２２_４に書込む。なお、各入力データ３，２，４，１１は、入力ｘ＝４５６７を剰余演算系で表したものである。例えばｘ_１＝４５６７ ｍｏｄ７＝３なので、ａ_１＝７の下に３と記述されている。
【００４２】
（ＳＴ２’） 制御装置３０は、選択した基底要素ａ_１，ａ_４のうち、まず、一方の基底要素ａ_１に基づき、対応するＲＡＭ２２_１内の値ｘ_１＝３を読出し、各積和回路２３_１〜２３_４に、対応するＲＡＭ２２_１〜２２_４内の値３，２，４，１１から３を減じるように命令する。
【００４３】
（ＳＴ３’） その結果、各成分の値はステップＳＴ３’に示した値０，１０，１，８になる。対応する基数表現での値は、４５６７−３＝４５６４である。
【００４４】
（ＳＴ４’） 制御装置３０は、３個の積和回路２３_２〜２３_４に対し、ＲＡＭ２２_２〜２２_４の値１０，１，８にその基底要素を法とするａ_１の乗法逆元７^-1を乗じるように命令する。例えばａ_１ ^-1 ｍｏｄ ａ_２＝８であるから、ａ_２の成分は１０×８ ｍｏｄ １１＝３となる。但し基底要素ａ_１に対してはａ_１の乗法逆元が存在しないので、ａ_１の成分に対応する積和回路２３_１には命令を出さない。
【００４５】
（ＳＴ５’） ａ_１の乗法逆元ａ_１ ^-1の乗算の結果、各成分の値はステップＳＴ５’で表示した値×，３，２，６になる。但しａ_１の成分×は無視する。この場合、剰余演算系で一意的に表示できる数はａ_２ａ_３ａ_４＝２４３１までという制約がつくが、元の入力ｘ＜ａ_１ａ_２ａ_３ａ_４であったので、ａ_１＝７での除算結果ｘ／ａ_１＜ａ_２ａ_３ａ_４となり、正しく表現できている。対応する基数表現での値は４５６４／７＝６５２である。無視したａ_１の成分は、以下では演算を行わない。
【００４６】
さて図２の説明では選択した基底要素が１個だけだったのでこれで除算が終了したが、図３の例では基底要素を２個選択しているので、２個目の選択した基底要素ａ_４に対しても図２と同じ演算を行う。但し１個目で選択した基底要素ａ_１で表現している値は、ステップＳＴ５’終了時では計算されていないので、以下ではこの基底要素ａ_１に対応する演算を行わない。
【００４７】
（ＳＴ２”） 次に選んだ基底要素ａ_４＝１７に注目する。ａ_４の成分は６であるから、各成分から６を減じる。
【００４８】
（ＳＴ３”）その結果、各成分の値はステップＳＴ３”に表示した値になる。対応する基数表現での値は、６５２−６＝６４６である。
【００４９】
（ＳＴ４”） ステップＳＴ３”の値に対し、ａ_４＝１７の乗法逆元１７^-1を乗算する。但し基底要素ａ_４に対してはａ_４の乗法逆元が存在しないのでａ_４の成分に対する演算を行わない。
【００５０】
（ＳＴ５”） ａ_４の乗法逆元１７^-1の乗算の結果、各成分の値はステップＳＴ５”で表示した値になる。但しａ_４の値は無視する。剰余演算系で一意的に表示できる数はａ_２ａ_３までだが、ステップＳＴ５’で述べた理由と同じ理由により、この２つの基底での表現で正しく表現できている。対応する基数表現での値は６４６／１７＝３８である。
【００５１】
以上で選んだ基底要素ａ_１，ａ_４について全て演算が終わったので、基底要素ａ_２とａ_３に保持している値（５及び１２）が求めたい商の基底｛ａ_２，ａ_３｝の下での剰余演算系表現となる。
【００５２】
上述したように本実施形態によれば、剰余演算系の基底のいくつかの要素の積が除算の法の場合に、剰余演算系で除算を効率的に行うことができる。
【００５３】
また、剰余演算系表現で演算を行う場合、途中で除算処理が生じても基数表現に変更することなく、そのまま剰余演算系表現で処理を行えるため、処理の高速化を期待することができる。
【００５４】
（第２の実施形態）
図４は本発明の第２の実施形態に係る剰余演算装置の主要部分の構成を示す模式図であり、図１と同一部分には同一符号を付し、変形した部分には記号（’）を付して重複した説明を省略し、ここでは異なる部分について主に述べる。なお、以下の各実施形態も同様にして重複した説明を省略する。
【００５５】
すなわち、本実施形態は、第１の実施形態の変形例であり、バレット・リダクションアルゴリズムへの適用を図るものであって、具体的には、図４に示すように、制御装置３０に代えて、バレット・リダクションアルゴリズム及び川村の手法（特開２００１−１９４９９３）を利用可能な制御装置３０’を設け、また川村の手法に述べられるビット選択部４１及び補正項演算ユニット４２を備えている。また、各積和回路２３_１’〜２３_ｎ’は、補正項演算ユニット４２から制御可能なものとなっている。
【００５６】
まず、基数表現（ｂ進数、ｂは正の整数）におけるバレット・リダクションアルゴリズムを説明する（P. D. Barrett, “Implementing the Rivest, Shamir and Adleman Public Key Encryption Algorithm on a Standard Digital Signal Processor”, Advances in Cryptology, Proc. Crypto ’86, pp.311-323, 1987.）。
【００５７】
なお、以下の説明では、正の整数ｓのｂ進数での表現をｓ＝（ｓ_k-1 …ｓ_１ｓ_０）_ｂと表す。これはｓ＝ｓ_k-1ｂ^k-1＋…＋ｓ_１ｂ＋ｓ_０である旨を意味している。
【００５８】
バレット・リダクションは、剰余算を、試行割算を用いずに加算と乗算のみで行なうアルゴリズムであり、ｘ ｍｏｄ Ｎの計算において、Ｎの倍数でｘを近似する際に、上位桁で近似するという特色がある。
具体的にはバレット・リダクションは、ｘ＝（ｘ_2k-1…ｘ_１ｘ_０）_ｂ、Ｎ＝（Ｎ_k-1…Ｎ_１Ｎ_０）_ｂ、Ｎ_k-1≠０を入力としたとき、ｚ＝ｘ ｍｏｄ Ｎを出力するもので、次の８ステップＳＴ１１〜ＳＴ１８からなる。
【００５９】
事前計算：μ＝ Quot（ｂ^2k／Ｎ）
（ＳＴ１１） ｑ_１← Quot（ｘ／ｂ^k-1）
（ＳＴ１２） ｑ_２←ｑ_１・μ
（ＳＴ１３） ｑ_３← Quot（ｑ_２／ｂ^k+1）
（ＳＴ１４） ｒ_１← ｘ ｍｏｄ ｂ^k+1
（ＳＴ１５） ｒ_２ ← ｑ_３・ｍ ｍｏｄ ｂ^k+1
（ＳＴ１６） ｚ ← ｒ_１−ｒ_２
（ＳＴ１７） もしｚ＜０ならｚ←ｚ＋ｂ^k+1
（ＳＴ１８） ｚ≧Ｎである間、ｚ←ｚ−Ｎ
ここで、Quot（ｓ／ｔ）はｓをｔで割ったときの商を表す。
【００６０】
これを剰余演算系で行うために、以下のように若干変更する。
【００６１】
まず｛ｂ_１，ｂ_２，…，ｂ_ｋ，ｂ_k+1，…，ｂ_2k，ｂ_2k+1｝を剰余演算系の基底とし、ｂ_ｋ＜ｂ_2k+1とする。Ｎをｂ_１ｂ_２…ｂ_k-1＜Ｎ＜ｂ_１ｂ_２…ｂ_ｋを満たす整数とする。このときｘ＜Ｎ^２なるｘに対して、ｚ＝ｘ ｍｏｄ Ｎは次の６ステップＳＴ２１〜ＳＴ２６で計算される。
【００６２】
事前計算：μ＝ Quot（ｂ_１ｂ_２…ｂ_2k／Ｎ）
（ＳＴ２１） ｑ_１← Quot（ｘ／ｂ_１ｂ_２…ｂ_k-1）
（ＳＴ２２） ｑ_２←ｑ_１・μ
（ＳＴ２３） ｑ_３← Quot（ｑ_２／ｂ_ｋｂ_k+1…ｂ_2k）
（ＳＴ２４） ｒ_２← ｑ_３・Ｎ
（ＳＴ２５） ｚ ← ｘ−ｒ_２
（ＳＴ２６） ｚ≧Ｎである間、ｚ←ｚ−Ｎ
基数表現でのバレット・リダクションと比較すると、基数ｂを剰余演算系の基底要素に置き換えているのが大きな違いである。基数表現では、基数ｂが一定であるためステップＳＴ１１などではｂのべき乗が使われていたが、剰余演算系では基底の要素が互いに異なるため、ステップＳＴ２１のように基底要素の積に置き換わっている。
【００６３】
その点を考慮すると、上のアルゴリズムの事前計算、ステップＳＴ２１〜ＳＴ２３は、基数表現でのバレット・リダクションに対応した演算となっている。ステップＳＴ２４，ＳＴ２５は、基数表現でのステップＳＴ１４〜ＳＴ１６に対応しているが、剰余演算系では大小関係の比較が困難なため、基数表現におけるｍｏｄ ｂ^k+1に対応する演算を省略している。
【００６４】
本実施形態は、このような演算により、基数表現でのステップＳＴ１７での比較操作を回避できる。なぜなら、ｑ_３は本来の商をＱ＝ Quot（ｘ／Ｎ）としたとき、Ｑ−２≦ｑ_３≦Ｑの範囲にあるので、ステップＳＴ２５の減算結果の出力ｚが必ず正になるからである。
【００６５】
またｑ_３のこの評価式より、ステップＳＴ２５の出力は、本来のｘ ｍｏｄ ＮをＲとしたとき、Ｒ、Ｒ＋Ｎ、Ｒ＋２Ｎのいずれかとなる。Ｒ＋Ｎ、Ｒ＋２Ｎだったときの場合のため、ステップＳＴ２６で正しいＲの値に調節する。
【００６６】
また、演算の途中結果は全て基底の積ｂ_１ｂ_２…ｂ_2kｂ_2k+1以下になっている必要があるが、ｂ_ｋ＜ｂ_2k+1となるようにｂ_2k+1を選んであるので、これを満たしていることも確認できる。
【００６７】
上で説明した剰余演算系でのバレット・リダクションを剰余演算装置１０’を用いて行う手法について説明する。ここで図４における積和回路２３_１’〜２３_ｎ’の個数ｎと、剰余演算系の基底要素の個数２ｋ＋１とは、一般には一致しなくてよいが、ここでは簡単のためｎ＝２ｋ＋１とする。
【００６８】
また、整数ｘ＜Ｎ^２の剰余演算系の表現をｘ＝（ｘ_１，ｘ_２，…，ｘ_2k，ｘ_2k+1）とする。ここでｘ_ｉ＝ｘ ｍｏｄ ｂ_ｉであるのは前述の通りである。
【００６９】
（事前計算） μ＝ Quot（ｂ_１ｂ_２…ｂ_2k／Ｎ）は、基数表現の下での除算を行うことで実現する。この結果を剰余演算系表現した（μ_１，μ_２，…，μ_2k，μ_2k+1）をそれぞれ図４の対応するＲＡＭ２２_ｉに格納する。
【００７０】
（ＳＴ２１） 商ｑ_１を求める計算は、第１の実施形態で説明した手法により行う。入力は、ｘ及び、基底要素としてｂ_１，ｂ_２，…，ｂ_k-1のｋ−１個を選んだという情報である。この商計算の結果ｑ_１として、各ＲＡＭ２２_ｉに格納された値ｑ_１を図５のＳＴ２１に示す。
【００７１】
選択した基底要素がｂ_１，ｂ_２，…，ｂ_k-1であったので、前述同様に、対応する剰余演算系表現の値が未計算となる。換言すると、ｑ_１の剰余演算系表示は、基底｛ｂ_ｋ，ｂ_k+1，…，ｂ_2k+1 ｝の下で（ｑ_{１ _ ｋ}，ｑ_{１ _(k+1)}，…，ｑ_{１ _(2k+1)}）と表現され、基底要素ｂ_１，ｂ_２，…，ｂ_k-1にはｑ_１の剰余演算系表現の値が格納されない。
【００７２】
そこで、川村の基底拡張の手法により、（ｑ_{１ _ ｋ}，ｑ_{１ _(k+1)}，…，ｑ_{１ _(2k+1)}）から図５のＳＴ２１−２に示すように、ｑ_１を全ての基底｛ｂ_１，ｂ_２，…，ｂ_ｋ，ｂ_k+1，…，ｂ_2k，ｂ_2k+1｝に拡張した剰余演算系表現を求める。
【００７３】
（ＳＴ２２） このようにして拡張された商ｑ_１にμを乗じる。この乗算は各積和回路２３_１’〜２３_ｎ’での並列乗算で実現できる。
【００７４】
（ＳＴ２３） 再び第１の実施形態で説明した手法により、入力ｑ_２及び基底要素としてｂ_ｋ，ｂ_k+1，…，ｂ_2kのｋ＋１個を選んだという選択情報で商ｑ_３を求める。求められた商ｑ３は、図６のＳＴ２３に示すように、基底｛ｂ_１，ｂ_２，…，ｂ_{ｋ -1}，ｂ_2k+1｝の下での表現なので、ＳＴ２１と同様に基底拡張を用いて全ての基底｛ｂ_１，ｂ_２，…，ｂ_ｋ，ｂ_k+1，…，ｂ_2k，ｂ_2k+1｝を用いた剰余演算系表現にする（図６：ＳＴ２３−２）。
【００７５】
（ＳＴ２４） このように拡張されたｑ_３にＮを乗じる。この乗算は各積和回路２３_１’〜２３_ｎ’での並列乗算で実現できる。
【００７６】
（ＳＴ２５） 各積和回路２３_１’〜２３_ｎ’での並列減算で実現できる。
【００７７】
（ＳＴ２６） この演算は大小比較があるので、ステップＳＴ２５で得られたｚを基数表現に戻してから行う。
【００７８】
上述したように本実施形態によれば、ｘ ｍｏｄ Ｎを求めるバレット・リダクションを剰余演算系表現で並列処理することができ、基数表現で行う場合よりも処理の高速化を期待することができる。
【００７９】
（第３の実施形態）
次に、本発明の第３の実施形態に係る剰余演算装置について図４を参照しながら図７を用いて説明する。この剰余演算装置は、図４と同一要素からなる装置であって、バレット・リダクションを用いてＲＳＡ暗号などに用いられる,べき乗剰余算を行うものである。
【００８０】
べき乗剰余算は、Ｃ＝Ｍ^E ｍｏｄ Ｎ という式で表される。この演算は一般に次の５つのステップＳＴ３１〜ＳＴ３５のように行われる。
【００８１】
Ｅの２進数での表現をＥ＝（Ｅ_m-1Ｅ_１Ｅ_０）_２、Ｅ_m-1≠０とするとき、
（ＳＴ３１） Ｃ ← １
（ＳＴ３２） ｉ＝ｍ−１から０まで以下のＳＴ３３とＳＴ３４をループ
（ＳＴ３３） Ｃ ← Ｃ^２ ｍｏｄ Ｎ
（ＳＴ３４） もしＥ_ｉ＝１ならＣ ← Ｃ×Ｍ ｍｏｄ Ｎ
（ＳＴ３５） Ｃを出力
本実施形態は、ステップＳＴ３３，ＳＴ３４の演算を剰余演算系で行うものである。ステップＳＴ３３，ＳＴ３４の剰余乗算は、乗算後にＮでの剰余を求めるという手法を用いる。乗算は、剰余演算系で並列乗算で実現できる。Ｎでの剰余を求める際に、第２の実施形態で説明したバレット・リダクションアルゴリズムＳＴ２１〜ＳＴ２６を利用する。
【００８２】
（ＳＴ３０） 図７ではまず、べき指数Ｅと剰余演算系表示したＭ＝（Ｍ_１，Ｍ_２，…，Ｍ_2k+1）を入力する。
【００８３】
（ＳＴ３１） 次に（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）を全て１に初期化する。
【００８４】
（ＳＴ３２） ステップＳＴ３１の初期設定のもと、ｉ＝ｍ−１から０までループを行う。
【００８５】
（ＳＴ３３−１） ２乗算（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）←（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）×（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）を行なう。これは剰余演算系で並列乗算で実現できる。２乗算の結果をｍｏｄ Ｎするためにバレット・リダクションＢＲを行なう（ＳＴ３３−２）。
【００８６】
（ＳＴ３４−０） Ｅ_ｉ＝１である場合に演算を行なう。
【００８７】
（ＳＴ３４−１） 乗算（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）←（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）×（Ｍ_１，Ｍ_２，…，Ｍ_2k+1）は、剰余演算系で並列乗算で実現できる。乗算結果をバレット・リダクションでｍｏｄ Ｎする（ＳＴ３４−２）。
【００８８】
（ＳＴ３５） ループが終了したら、そのときの（Ｃ_１，Ｃ_２，…，Ｃ_2k+1）を出力する。
【００８９】
但し、べき乗剰余算で第２の実施例で説明したバレット・リダクションを用いると、バレット・リダクションの最後のステップＳＴ２６で一旦基数表現に戻して大小比較を行い、剰余を決定するため、剰余演算系での並列計算による処理速度向上の長所を生かしきれていない。
【００９０】
そのため、第２の実施形態で説明した剰余演算系でのバレット・リダクションアルゴリズムのＳＴ２５で終了するようにする。この場合、出力ｚがＮより大きい可能性があるので、バレット・リダクションアルゴリズムを次のように行うことにする。
【００９１】
すなわち、｛ｂ_１，ｂ_２，…，ｂ_ｋ，ｂ_k+1，…，ｂ_2k，ｂ_2k+1｝を剰余演算系の基底とする。法Ｎは、ｂ_１ｂ_２…ｂ_k-1＜Ｎ、９Ｎ＜ｂ_１ｂ_２…ｂ_ｋを満たす整数とする。
【００９２】
このとき、入力ｘが０＜ｘ＜９Ｎ^２＜ｂ_１ｂ_２…ｂ_2kを満たせば、下のアルゴリズムで出力されるｚは、ｚ＝ｘ ｍｏｄ Ｎ、０≦ｚ＜３Ｎを満たす。
【００９３】
事前計算：μ＝ Quot（ｂ_１ｂ_２…ｂ_2k／Ｎ）
（ＳＴ２１） ｑ_１← Quot（ｘ／ｂ_１ｂ_２…ｂ_k-1）
（ＳＴ２２） ｑ_２←ｑ_１・μ
（ＳＴ２３） ｑ_３← Quot（ｑ_２／ｂ_ｋｂ_k+1…ｂ_2k）
（ＳＴ２４） ｒ_２← ｑ_３・Ｎ
（ＳＴ２５） ｚ ← ｘ−ｒ_２
このアルゴリズムにより、剰余乗算ｚ＝ｘｙ ｍｏｄ Ｎを剰余演算系の乗算とバレット・リダクションを組合せて実行すると、ｘ＜３Ｎ，ｙ＜３Ｎであればｘｙ＜９Ｎ^２であるのでｚ＜３Ｎという出力が得られる。ここで、入力と出力の範囲が同じであるので、べき乗剰余算において繰り返し剰余乗算を行うことができる。
【００９４】
また、べき乗剰余算アルゴリズムのステップＳＴ３５で最終的なＣを出力するとき、最後のバレット・リダクションではＣ＜３Ｎにしかサイズが抑えられていないので、基数表現に変換して必要な回数だけＮを減じることにより、Ｃ＜Ｎなる出力を得ることができる。
【００９５】
上述したように本実施形態によれば、ＳＴ３０〜ＳＴ３５に示すように、バレット・リダクションを利用したべき乗剰余算を、剰余演算系で並列処理することができ、基数表現で行う場合よりも処理の高速化が期待できる。
【００９６】
また、基数表現で行っていたバレット・リダクションを、剰余演算系で並列計算することによる効果は、次のように見積られる。
【００９７】
まず、剰余乗算１回あたりの演算量を考える。最初の乗算で、１回の並列乗算が必要である。その後のバレット・リダクションにより剰余を求める。
【００９８】
（ＳＴ２１） 商を求めるのに、並列乗算がｋ−１回、並列加算がｋ−１回必要である。また、基底拡張に並列乗算がｋ＋２回、並列加算が２（ｋ＋１）回必要である。
【００９９】
（ＳＴ２２） 並列乗算が１回必要である。
【０１００】
（ＳＴ２３） 商を求めるのに、並列乗算がｋ＋１回、並列加算がｋ＋１回必要であり、さらに基底拡張に並列乗算がｋ回、並列加算が２（ｋ−１）回必要である。
【０１０１】
（ＳＴ２４） 並列乗算が１回必要である。
【０１０２】
（ＳＴ２５） 並列加算が１回必要である。
【０１０３】
以上をまとめると、剰余乗算１回あたり、並列乗算が４ｋ＋４回、並列加算が６ｋ＋１回必要である。
【０１０４】
ここで、Ｎのビット数を、現在のＲＳＡ暗号で用いられている1,024とし、剰余演算系の基底要素の大きさを３２ビットとする。このとき、ｋ＝３３と取れば1,024ビットの数が表現でき、また表現するための最小のｋであることが分かる。この値を上の式に代入すると、１回の剰余乗算あたり、並列乗算が１３７回、並列加算が１９９回必要であることが分かる。
【０１０５】
一般に乗算は、オペランドのビット長の２乗に比例する時間がかかるので、３２ビットの乗算は1,024ビットの乗算の１／３２^２＝１／1,024の時間で処理できる。そのため、1,024ビットの乗算に比べて剰余演算系でのバレット・リダクションを用いた剰余乗算は約１３７／1,024＝０.１３の時間で処理できる。
【０１０６】
ここで、加算は、乗算に比べて処理量が少ないので無視した。また、この比較には1,024ビットでの剰余算の時間は含まれていないので、ここで見積もった０.１３よりさらに小さな割合の時間で処理できることが期待できる。
【０１０７】
なお、上記各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。
【０１０８】
また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。
【０１０９】
また、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が本実施形態を実現するための各処理の一部を実行しても良い。
【０１１０】
さらに、本発明における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。
【０１１１】
また、記憶媒体は１つに限らず、複数の媒体から本実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。
【０１１２】
尚、本発明におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、本実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。
【０１１３】
また、本発明におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。
【０１１４】
なお、本願発明は、上記各実施形態に限定されるものでなく、実施段階ではその要旨を逸脱しない範囲で種々に変形することが可能である。また、各実施形態は可能な限り適宜組み合わせて実施してもよく、その場合、組み合わされた効果が得られる。さらに、上記各実施形態には種々の段階の発明が含まれており、開示される複数の構成用件における適宜な組み合わせにより種々の発明が抽出され得る。例えば実施形態に示される全構成要件から幾つかの構成要件が省略されることで発明が抽出された場合には、その抽出された発明を実施する場合には省略部分が周知慣用技術で適宜補われるものである。
【０１１５】
その他、本発明はその要旨を逸脱しない範囲で種々変形して実施できる。
【０１１６】
【発明の効果】
以上説明したように本発明によれば、剰余演算系の基底の幾つかの要素の積が除算対象の場合に、剰余演算系で除算を効率的に実行できる。
【図面の簡単な説明】
【図１】本発明の第１の実施形態に係る剰余演算装置の主要部分の構成を示す模式図。
【図２】同実施形態における動作を説明するための模式図。
【図３】同実施形態における動作の具体例を説明するための模式図。
【図４】本発明の第２の実施形態に係る剰余演算装置の主要部分の構成を示す模式図。
【図５】同実施形態における基底拡張の適用を示す模式図。
【図６】同実施形態における基底拡張の適用を示す模式図。
【図７】本発明の第３の実施形態に係る剰余演算装置の動作を説明するためのフローチャート。
【符号の説明】
１０，１０’…剰余演算装置
２０_１〜２０_ｎ…演算ユニット
２１_１〜２１_ｎ…ＲＯＭ
２２_１〜２２_ｎ…ＲＡＭ
２３_１〜２３_ｎ，２３_１’〜２３_ｎ’…積和回路
３０，３０’…制御装置[0001]
BACKGROUND OF THE INVENTION
The present invention relates to a residue calculation apparatus and method for calculating a large integer operation at high speed by parallel processing based on a residue calculation system.
[0002]
[Prior art]
As the importance of public key cryptography increases, there is an increasing demand for methods and apparatus for efficiently performing large integer remainder operations. For example, in the RSA (Rivest-Shamir-Adleman) system, which is currently the de facto standard, it is necessary to perform a remainder operation with an integer of 1,024 bits at high speed.
[0003]
As one of high-speed calculation methods for this purpose, a residue calculation system (Residue Number Systems) is known. This remainder operation system is a relatively small pair of integers {a₁, A₂, ..., a_n} And a large integer to be calculated is represented by a remainder set by dividing these integers. Thereafter, the remainder {a₁, A₂, ..., a_n} Is called the base of the remainder calculation system, and the number n of elements constituting the base is called the size of the base. The set of bases is a = {a₁, A₂, ..., a_n}.
[0004]
For example, integer x and base {a₁, A₂, ..., a_n} Is given the integer x as the base element a_iRemainder x divided by (i = 1, 2,..., N)_iPair (x₁, X₂, ..., x_n) Is a remainder calculation system expression of x. X_i= X mod a_iIt is. Here, the integer x is the product of all base elements A = a₁a₂... a_nCan be uniquely expressed as a law. That is, when x is a positive integer less than A, x and its remainder arithmetic expression (x₁, X₂, ..., x_n) Corresponds one to one. This one-to-one correspondence is guaranteed by the Chinese remainder theorem.
[0005]
In such a remainder calculation system expression, when calculating the product of two integers x and y, the product (x₁・ Y₁, ..., x_n・ Y_n) And the product obtained is the corresponding basis a_iRemainder (x)₁・ Y₁ mod a₁, ..., x_n・ Y_n mod a_n)
[0006]
In general, this operation is the corresponding basis a for each element._iIt is expressed that a product modulo the product A of the base elements is obtained by calculating a product modulo. The same applies to addition and subtraction, and the basis a_iElement x corresponding to_i, Y_iAbout a_iAddition or subtraction modulo.
[0007]
Multiplication, addition, and subtraction in such a remainder calculation system may be performed by modulo the basis corresponding to each element independently.For example, by adopting a value within the word length of the computer as the basis, Very large integer operations can be realized by repeating single-precision operations.
[0008]
In addition, since these single precision operations can be executed independently for each base, parallel processing by a plurality of arithmetic units becomes possible. For example, when the base size is n, by multiplying n multipliers with a remainder calculation function in parallel, the multiplication of the base element product A is performed in the same time as one multiplication with a single precision remainder. Can be terminated.
[0009]
In current computers, binary representation is usually used. In the calculation of large integers based on binary representation, a carry propagates from LSB (Least Significant Bit) to MSB (Most Significant Bit), and the processing time is proportional to the total number of digits (or bit length) of the large integer. Take it. Therefore, the calculation by the binary number expression is disadvantageous in terms of processing speed as compared with the parallel processing by the remainder calculation system.
[0010]
On the other hand, since arithmetic operations using a residue arithmetic system do not cause carry between words, it has long been known as a method for efficiently performing multiplication, addition, and subtraction of large integers compared to the radix method represented by binary representation. ing.
[0011]
However, in the remainder calculation system, means for efficiently performing division and comparison of two numbers compared to the radix method is not known. For this reason, the remainder calculation system is considered suitable for an application that performs a large integer operation at high speed, such as public key cryptography, but the method of application to the remainder calculation is not known.
[0012]
On the other hand, a method of residue multiplication by numerical values expressed in a residue operation system was published in Posch et al. (IEEE Transaction on Parallel and Distributed Systems, Vol. 6, No. 5, May 1995, pp.449-454). Modulo Reduction in Residue Number Systems ”and“ RNS-Modulo Reduction Upon a Restricted Base Value Set and its Applicability to RSA Cryptography ”published in Computer & Security Vol.17, pp.637-650, 1998), Kawamura ( Japanese Patent Laid-Open No. 2001-194993).
[0013]
These methods have been published by Montgomery in Mathematics of Computation, Vol. 44, No. 170, pp. 519-521, April, 1985, in order to avoid unfavorable division in operations in the modular arithmetic representation. In addition, by using the modular multiplication method proposed by “Modular Multiplication without Trial Division” (hereinafter referred to as Montgomery multiplication), modular multiplication is realized without performing division in the modular arithmetic system.
[0014]
However, Montgomery multiplication needs to multiply an integer by a constant called Montgomery constant. However, the calculation of this Montgomery constant requires division, and there is no known efficient method for performing this division in a remainder operation system. Therefore, the Montgomery constant is calculated in radix representation.
[0015]
Here, Montgomery multiplication is taken as an example. However, the present invention is not limited to Montgomery multiplication, and there is a need to perform division in an algorithm that performs remainder calculation.
[0016]
[Problems to be solved by the invention]
As described above, although an efficient algorithm for division in the remainder calculation system is desired, the demand is still not satisfied.
[0017]
The present invention has been made in view of the above circumstances, and an object of the present invention is to provide a residue calculation apparatus and method capable of efficiently executing division in a residue calculation system.
[0018]
Another object of the present invention is to perform division efficiently in the remainder calculation system, particularly when the product of several elements of the basis of the remainder calculation system is a division method.
[0019]
[Means for Solving the Problems]
In the first invention, the basis of the remainder calculation system is represented by {a₁, A₂, ..., a_n} (N is an integer) and A = a₁a₂... a_nWhen {a₁, A₂, ..., a_n} To any one base element a_i(1 ≦ i ≦ n) is selected and this a_iAnd a positive integer x less than A is input, the x is a_iIn the remainder computation apparatus having a plurality of computation units having a remainder computation function capable of outputting the quotient z divided by x, each value x of the remainder computation system expression of x based on the selection information₁, ..., x_nTo the base element a_iValue x corresponding to_iSubtracting control means for controlling each arithmetic unit and each value (x₁-X_i), ..., (x_n-X_i) (However, (x_i-X_i) Except for))_iMultiplicative inverse a_i ^-1The multiplication unit includes a multiplication control unit that controls each of the calculation units, and an output unit that outputs a multiplication result obtained by the multiplication control unit as a quotient z.
[0020]
In this manner, each arithmetic unit is controlled by xi (= x mod a a)_i)_iSince each arithmetic unit multiplies the subtraction result by the multiplication inverse element to obtain a division result under the control of the multiplication control means, division can be efficiently executed in the remainder arithmetic system.
[0021]
Although the first invention is expressed as “device”, it is needless to say that it may be expressed as “system”, “method”, “program” or “storage medium”.
[0022]
DETAILED DESCRIPTION OF THE INVENTION
Embodiments of the present invention will be described below with reference to the drawings.
(First embodiment)
FIG. 1 is a schematic diagram showing the configuration of the main part of the remainder calculation apparatus according to the first embodiment of the present invention. The remainder arithmetic apparatus 10 includes n arithmetic units 20.₁~ 20_nIs connected to the control device 30.
[0023]
Here, each arithmetic unit 20₁~ 20_nAre the corresponding subscript ROMs 21 respectively.₁~ 21_n, RAM22₁~ 22_nAnd product-sum circuit 23₁~ 23_nIt has.
[0024]
ROM21₁~ 21_nIs a read-only memory that is read-controlled by the control device 30, and the corresponding product-sum circuit 23₁~ 23_nBase element a of the remainder calculation system used in₁, ..., a_n, And other base elements a_jMultiplicative inverse value a of (j ≠ 1,..., N)_j ^-1And the stored contents are controlled by the control device 30 to correspond to the product-sum circuits 23.₁~ 23_nCan be transferred to.
[0025]
Note that n basis elements a of the remainder calculation system₁, ..., a_nAre positive integers that are relatively prime to each other. In general, the base element a of the remainder calculation system₁, ..., a_nAnd the product-sum circuit 23₁~ 23_nHowever, for simplicity, both are assumed to be n. As the base, a power of 2 or a value close to power of 2 is used.
[0026]
Multiplicative inverse value a_j ^-1Is a value determined when the basis of the remainder calculation system is determined, and is calculated and stored in advance.₁~ 21_nNot only the RAM 22₁~ 22_nOr other memory (not shown) (for example, EEPROM).
[0027]
RAM22₁~ 22_nIs a read / write memory that is read / write controlled by the control device 30, and is a product-sum circuit 23₁~ 23_nInput data to the product-sum circuit 23₁~ 23_nIntermediate result data of the operation from, and the arithmetic unit 20₁~ 20_nUsed to hold data such as output data to the outside.
[0028]
Based on the division algorithm shown in FIG.₁~ 20_nIn addition, it has a function of executing predetermined calculations by controlling input / output data.
[0029]
Each unit 20 as described above₁~ 20_nThe apparatus 30 can be configured by hardware, software, or a combination thereof. Here, each unit 20₁~ 20_nAnd when the apparatus 30 is comprised by software, the remainder calculation program for implement | achieving each function mentioned later is installed in the computer of the remainder calculation apparatus 10 previously. Note that each unit 20 is made of hardware and / or software.₁~ 20_nThe description that the apparatus 30 can be configured individually also applies to the following embodiments.
[0030]
Next, the division operation of the remainder arithmetic apparatus configured as described above will be described with reference to FIGS. First, the principle will be described with reference to FIG. 2, and then a calculation example will be described with reference to FIG.
[0031]
As shown on the left side of FIG. 2, the remainder calculation device 10 performs division in the remainder calculation system. The right side of FIG. 2 shows a corresponding radix expression for convenience of explanation. For example, in Step 1, the expression of the remainder calculation system is (x₁, X₂, ..., x_i, ..., x_n-1, X_n), And the corresponding radix representation is x. As described in the prior art, x_j= X mod a_j(J = 1, 2,..., N). This relationship is expressed by the fact that the positive integer x in the radix representation is the product A = a of all the base elements of the remainder calculation system.₁a₂... a_nWhen it is smaller (x <A), there is a one-to-one correspondence.
[0032]
Subsequently, input (x <A) and one arbitrarily selected base element a_iTo x / a_iA method for obtaining the quotient of is described along steps ST1 to ST5 in FIG.
[0033]
(ST1) The control device 30 receives the input data x₁~ X_nCorresponding RAM 22₁~ 22_nWrite to.
[0034]
(ST2) The control device 30 selects the selected base element a_iCorresponding RAM 22_iValue x in_iEach product-sum circuit 23₁~ 23_nRAM 22 corresponding to₁~ 23_nValue x in₁~ X_nTo x_iOrder to reduce.
[0035]
(ST3) Each product-sum circuit 23_j(J = 1, 2,..., N) is y_j= X_j-x_imod a_jAnd the result y_jAre stored in each RAM 22j. The corresponding operation in radix representation is y = xx_iIt is.
[0036]
(ST4) The control device 30 determines the value y in the RAM 22j for the n-1 product-sum circuits 23j (j = 1, 2,..., N, j ≠ i)._jA_iMultiplicative inverse a_i ^-1 mod a_jTo be multiplied by. However, this instruction is x_iIs not given to the product-sum circuit 23i corresponding to. Note that multiplication of multiplication inverse elements in the remainder calculation system corresponds to division in radix representation.
[0037]
(ST5) Each product-sum circuit 23j (j = 1, 2,..., N, j ≠ i)_j= Y_jXa_i ^-1 mod a_jAnd the result z_jAre stored in each RAM 12j. Y is x to x as described above._i(= X mod a_i) Is a value obtained by subtracting a)_iIs a multiple of. Therefore, the division quotient y / a_iIs an integer. Therefore, z = y / a_iIs the operation in the corresponding radix representation.
[0038]
As a result of these five steps, the calculation result z stored in the RAM 22j (j = 1, 2,..., N, j ≠ i)_jIs the remainder calculation system representation of the quotient z. However, the base element a_iComponent of z corresponding to (z_i) Is not calculated (in step ST5 in FIG._i), Z_jThe maximum number that can be expressed by A / a_iIt becomes. However, the quotient z = y / a_i≦ x / a_i<A / a_iTherefore, the calculation result z_jRepresents the correct value of the quotient z.
[0039]
From the above, x / a_iCan be calculated by the remainder calculation device 10.
[0040]
Next, a case where there are two or more selected base elements will be described. This case can also be realized by repeating the above five steps for the number of selected base elements. Hereinafter, a specific example will be described with reference to FIG.
As shown in FIG. 3, the number of base elements of the remainder calculation system is n = 4, and each element a₁, A₂, A₃, A₄Are set to 7, 11, 13, and 17, respectively.
In this example, the input x = 4567 <a₁a₂a₃a₄= 17017, from the base element a₁, A₄Represents a procedure for obtaining the quotient 4567 / (7 × 17) = 38 by the remainder calculation system.
[0041]
(ST1 ') The control device 30 stores the input data 3, 2, 4, 11 in each RAM 22₁~ 22₄Write to. Each of the input data 3, 2, 4, and 11 represents the input x = 4567 in a remainder calculation system. For example x₁= 4567 mod7 = 3, so a₁= 3 is described as 3.
[0042]
(ST2 ') The control device 30 selects the selected base element a.₁, A₄First, one base element a₁Corresponding RAM 22₁Value x in₁= 3 is read, and each product-sum circuit 23₁~ 23₄And the corresponding RAM 22₁~ 22₄Command to subtract 3 from the values 3, 2, 4, 11
[0043]
(ST3 ') As a result, the value of each component becomes the value 0, 10, 1, 8 shown in step ST3'. The value in the corresponding radix representation is 4567-3 = 4564.
[0044]
(ST4 ') The control device 30 includes three product-sum circuits 23.₂~ 23₄In contrast, the RAM 22₂~ 22₄Modulo its base element to values 10, 1, and 8 of a₁Multiplicative inverse 7^-1To be multiplied by. For example, a₁ ^-1 mod a₂= 8, so a₂The component is 10 × 8 mod 11 = 3. However, the base element a₁For a₁Since there is no multiplicative inverse of₁Product-sum circuit 23 corresponding to the components of₁Do not give orders.
[0045]
(ST5 ') a₁Multiplicative inverse a₁ ^-1As a result of multiplication, the value of each component becomes the value x, 3, 2, 6 displayed in step ST5 '. However, a₁Ignore the component x. In this case, the number that can be uniquely displayed by the remainder calculation system is a₂a₃a₄= 2431, but the original input x <a₁a₂a₃a₄Because a₁= X / a divided by 7₁<A₂a₃a₄It is expressed correctly. The corresponding value in radix representation is 4564/7 = 652. I ignored₁In the following, no calculation is performed on the components of.
[0046]
In the description of FIG. 2, since only one base element is selected, the division is completed. However, in the example of FIG. 3, since two base elements are selected, the second selected base element a is selected.₄The same calculation as in FIG. However, the first selected base element a₁Since the value represented by is not calculated at the end of step ST5 ', the basis element a will be described below.₁The operation corresponding to is not performed.
[0047]
(ST2 ″) Next selected base element a₄Note = 17. a₄Since the number of components is 6, subtract 6 from each component.
[0048]
(ST3 ″) As a result, the value of each component becomes the value displayed in step ST3 ″. The corresponding value in radix representation is 652-6 = 646.
[0049]
(ST4 ″) For the value of step ST3 ″, a₄= 17 Multiplicative inverse 17^-1Multiply However, the base element a₄For a₄Since there is no multiplicative inverse of₄The operation is not performed on the component of.
[0050]
(ST5 ") a₄Multiplicative inverse 17^-1As a result of multiplication, the value of each component becomes the value indicated in step ST5 ″.₄Ignore the value of. The number that can be uniquely displayed in the remainder calculation system is a₂a₃However, for the same reason as described in step ST5 ', it is possible to correctly express the two bases. The corresponding radix value is 646/17 = 38.
[0051]
Base element a selected above₁, A₄Since all operations have been completed, the base element a₂And a₃The quotient base {a₂, A₃} Is a remainder calculation system expression.
[0052]
As described above, according to the present embodiment, when the product of several elements of the basis of the remainder operation system is a division method, division can be efficiently performed in the remainder operation system.
[0053]
Further, in the case of performing an arithmetic operation using a remainder operation system expression, even if a division process occurs in the middle, the process can be performed using the remainder operation system expression as it is without changing to the radix expression.
[0054]
(Second Embodiment)
FIG. 4 is a schematic diagram showing the configuration of the main part of the remainder calculation apparatus according to the second embodiment of the present invention. The same reference numerals are given to the same parts as in FIG. A duplicate description is omitted, and different parts are mainly described here. In the following embodiments, the same description is omitted.
[0055]
That is, the present embodiment is a modification of the first embodiment and is intended to be applied to a bullet reduction algorithm. Specifically, as shown in FIG. , A control device 30 ′ that can use the Barret reduction algorithm and the Kawamura technique (Japanese Patent Laid-Open No. 2001-194993) is provided, and a bit selection unit 41 and a correction term calculation unit 42 described in the Kawamura technique are provided. Each product-sum circuit 23₁'-23_n'Is controllable from the correction term calculation unit 42.
[0056]
First, the Barrett reduction algorithm in radix representation (b base, b is a positive integer) will be described (PD Barrett, “Implementing the Rivest, Shamir and Adleman Public Key Encryption Algorithm on a Standard Digital Signal Processor”, Advances in Cryptology, Proc. Crypto '86, pp.311-323, 1987.).
[0057]
In the following description, the expression of the positive integer s in the b base number is expressed as s = (s_k-1... s₁s₀)_bIt expresses. This is s = s_k-1b^k-1+ ... + s₁b + s₀It means that.
[0058]
Bullet reduction is an algorithm that performs remainder calculation only by addition and multiplication without using trial division, and in the calculation of x mod N, when approximating x by a multiple of N, it is approximated by the upper digit. There is a special feature.
Specifically, the bullet reduction is x = (x_2k-1... x₁x₀)_b, N = (N_k-1... N₁N₀)_b, N_k-1When ≠ 0 is input, z = x mod N is output, and includes the following eight steps ST11 to ST18.
[0059]
Pre-calculation: μ = Quot (b^2k/ N)
(ST11) q₁← Quot (x / b^k-1)
(ST12) q₂← q₁・ Μ
(ST13) q₃← Quot (q₂/ B^{k + 1})
(ST14) r₁← x mod b^{k + 1}
(ST15) r₂ ← q₃・ M mod b^{k + 1}
(ST16) z ← r₁-R₂
(ST17) If z <0, z ← z + b^{k + 1}
(ST18) While z ≧ N, z ← z−N
Here, Quot (s / t) represents a quotient when s is divided by t.
[0060]
In order to perform this in the remainder calculation system, the following changes are made slightly.
[0061]
First, {b₁, B₂, ..., b_k, B_{k + 1}, ..., b_2k, B_{2k + 1}} Is the base of the remainder calculation system, and b_k<B_{2k + 1}And N for b₁b₂... b_k-1<N <b₁b₂... b_kAn integer that satisfies At this time, x <N²For x, z = x mod N is calculated in the following six steps ST21 to ST26.
[0062]
Pre-calculation: μ = Quot (b₁b₂... b_2k/ N)
(ST21) q₁← Quot (x / b₁b₂... b_k-1)
(ST22) q₂← q₁・ Μ
(ST23) q₃← Quot (q₂/ B_kb_{k + 1}... b_2k)
(ST24) r₂← q₃・ N
(ST25) z ← xr₂
(ST26) While z ≧ N, z ← z−N
Compared with valet reduction in radix representation, the major difference is that the radix b is replaced with the base element of the remainder calculation system. In the radix representation, since the radix b is constant, the power of b is used in step ST11 and the like. However, since the base elements are different from each other in the remainder calculation system, they are replaced with products of base elements as in step ST21. .
[0063]
Considering this point, the pre-calculation of the above algorithm, steps ST21 to ST23, are operations corresponding to bullet reduction in radix representation. Steps ST24 and ST25 correspond to steps ST14 to ST16 in the radix expression, but since it is difficult to compare the magnitude relation in the remainder calculation system, mod b in the radix expression.^{k + 1}The operation corresponding to is omitted.
[0064]
This embodiment can avoid the comparison operation in step ST17 in the radix expression by such calculation. Because q₃Is Q-2 ≦ q, where Q = Quot (x / N) is the original quotient₃This is because the output z of the subtraction result in step ST25 is always positive because it is in the range of ≦ Q.
[0065]
Q₃From this evaluation formula, the output of step ST25 is any one of R, R + N, and R + 2N, where R is the original x mod N. For the case of R + N and R + 2N, the value of R is adjusted to the correct value in step ST26.
[0066]
In addition, all intermediate results are the product of the basis b₁b₂... b_2kb_{2k + 1}It must be as follows, but b_k<B_{2k + 1}B to be_{2k + 1}You can confirm that this is satisfied.
[0067]
A method for performing bullet reduction in the remainder computation system described above using the remainder computation apparatus 10 'will be described. Here, the product-sum circuit 23 in FIG.₁'-23_nThe number n of ′ and the number 2k + 1 of base elements of the remainder calculation system generally do not need to match, but here, n = 2k + 1 for simplicity.
[0068]
An integer x <N²X = (x₁, X₂, ..., x_2k, X_{2k + 1}). Where x_i= X mod b_iIs as described above.
[0069]
(Advance calculation) μ = Quot (b₁b₂... b_2k/ N) is realized by performing division under the radix representation. This result is expressed as a remainder calculation system (μ₁, Μ₂, ..., μ_2k, Μ_{2k + 1}) Respectively in the corresponding RAM 22 in FIG._iTo store.
[0070]
(ST21) quotient q₁The calculation for obtaining is performed by the method described in the first embodiment. The input is x and b as the base element₁, B₂, ..., b_k-1It is the information that k-1 pieces were selected. The result q of this quotient calculation₁Each RAM 22_iThe value q stored in₁Is shown in ST21 of FIG.
[0071]
The selected base element is b₁, B₂, ..., b_k-1Therefore, as described above, the value of the corresponding remainder calculation system expression is not calculated. In other words, q₁The remainder calculation system representation of the basis {b_k, B_{k + 1}, ..., b_{2k + 1}} (Q_{1 _ k}, Q_{1 _ (k + 1)}, ..., q_{1 _ (2k + 1)}) And the base element b₁, B₂, ..., b_k-1Q₁The value of the remainder calculation system expression is not stored.
[0072]
Therefore, Kawamura's method of base extension (q_{1 _ k}, Q_{1 _ (k + 1)}, ..., q_{1 _ (2k + 1)}) To ST21-2 in FIG.₁To all bases {b₁, B₂, ..., b_k, B_{k + 1}, ..., b_2k, B_{2k + 1}} Is used to obtain a remainder calculation system expression.
[0073]
(ST22) The quotient q expanded in this way₁Multiply by. This multiplication is performed by each product-sum circuit 23.₁'-23_nIt can be realized by parallel multiplication with ′.
[0074]
(ST23) By the method described in the first embodiment again, the input q₂And b as the base element_k, B_{k + 1}, ..., b_2kQuotient q with selection information that k + 1 of₃Ask for. The obtained quotient q3 is the basis {b as shown in ST23 of FIG.₁, B₂, ..., b_{k -1}, B_{2k + 1}}, All the bases {b₁, B₂, ..., b_k, B_{k + 1}, ..., b_2k, B_{2k + 1}} Is used as a remainder calculation system expression (FIG. 6: ST23-2).
[0075]
(ST24) q extended in this way₃Multiply N by N. This multiplication is performed by each product-sum circuit 23.₁'-23_nIt can be realized by parallel multiplication with ′.
[0076]
(ST25) Each product-sum circuit 23₁'-23_nIt can be realized by parallel subtraction with ′.
[0077]
(ST26) Since this operation has a magnitude comparison, it is performed after returning z obtained in step ST25 to the radix representation.
[0078]
As described above, according to the present embodiment, the bullet reduction for obtaining x mod N can be performed in parallel with the remainder calculation system expression, and the processing speed can be expected to be higher than that performed with the radix expression.
[0079]
(Third embodiment)
Next, a remainder calculation apparatus according to the third embodiment of the present invention will be described with reference to FIG. This remainder calculation apparatus is an apparatus composed of the same elements as in FIG. 4, and performs exponentiation remainder calculation used for RSA encryption or the like by using Barret reduction.
[0080]
The modular exponentiation is C = M^E It is represented by the formula mod N. This calculation is generally performed as the following five steps ST31 to ST35.
[0081]
E = (E_m-1E₁E₀)₂, E_m-1When ≠ 0,
(ST31) C ← 1
(ST32) The following ST33 and ST34 are looped from i = m−1 to 0.
(ST33) C ← C² mod N
(ST34) If E_i= 1 if C ← C × M mod N
(ST35) Output C
In the present embodiment, the calculations in steps ST33 and ST34 are performed by a remainder calculation system. For the remainder multiplication in steps ST33 and ST34, a method of obtaining a remainder at N after multiplication is used. Multiplication can be realized by parallel multiplication in a remainder calculation system. When calculating the remainder at N, the bullet reduction algorithms ST21 to ST26 described in the second embodiment are used.
[0082]
(ST30) In FIG. 7, first, the power exponent E and the remainder calculation system display M = (M₁, M₂, ..., M_{2k + 1}).
[0083]
(ST31) Next (C₁, C₂, ..., C_{2k + 1}) Are all initialized to 1.
[0084]
(ST32) A loop is performed from i = m−1 to 0 under the initial setting of step ST31.
[0085]
(ST33-1) 2 multiplication (C₁, C₂, ..., C_{2k + 1}) ← (C₁, C₂, ..., C_{2k + 1}) X (C₁, C₂, ..., C_{2k + 1}). This can be realized by a parallel multiplication in a remainder calculation system. Bullet reduction BR is performed to mod N the result of the multiplication (ST33-2).
[0086]
(ST34-0) E_iCalculation is performed when = 1.
[0087]
(ST34-1) Multiplication (C₁, C₂, ..., C_{2k + 1}) ← (C₁, C₂, ..., C_{2k + 1}) X (M₁, M₂, ..., M_{2k + 1}) Can be realized by parallel multiplication in a remainder calculation system. The multiplication result is mod N by bullet reduction (ST34-2).
[0088]
(ST35) When the loop is finished, (C₁, C₂, ..., C_{2k + 1}) Is output.
[0089]
However, when the bullet reduction described in the second embodiment is used in the power-residue calculation, it is returned to the radix representation in the last step ST26 of the bullet reduction, and the magnitude comparison is performed to determine the remainder. It does not take full advantage of the processing speed improvement due to parallel computing.
[0090]
Therefore, the process ends at ST25 of the bullet reduction algorithm in the remainder calculation system described in the second embodiment. In this case, since the output z may be larger than N, the bullet reduction algorithm is performed as follows.
[0091]
That is, {b₁, B₂, ..., b_k, B_{k + 1}, ..., b_2k, B_{2k + 1}} Is the basis of the remainder calculation system. Law N is b₁b₂... b_k-1<N, 9N <b₁b₂... b_kAn integer that satisfies
[0092]
At this time, the input x is 0 <x <9N²<B₁b₂... b_2kIf z is satisfied, z output by the lower algorithm satisfies z = x mod N and 0 ≦ z <3N.
[0093]
Pre-calculation: μ = Quot (b₁b₂... b_2k/ N)
(ST21) q₁← Quot (x / b₁b₂... b_k-1)
(ST22) q₂← q₁・ Μ
(ST23) q₃← Quot (q₂/ B_kb_{k + 1}... b_2k)
(ST24) r₂← q₃・ N
(ST25) z ← xr₂
According to this algorithm, when the remainder multiplication z = xy mod N is executed in combination with the multiplication of the remainder calculation system and the bullet reduction, xy <9N if x <3N and y <3N.²Therefore, an output of z <3N is obtained. Here, since the input and output ranges are the same, it is possible to perform iterative modular multiplication in the modular exponentiation.
[0094]
Also, when the final C is output in step ST35 of the power-residue algorithm, since the size is limited only to C <3N in the last bullet reduction, N is converted as many times as necessary by converting to the radix representation. By subtracting, an output of C <N can be obtained.
[0095]
As described above, according to the present embodiment, as shown in ST30 to ST35, the power-residue calculation using the bullet reduction can be performed in parallel in the remainder calculation system, and processing is performed more than in the case of performing the radix representation. High speed can be expected.
[0096]
In addition, the effect of parallel calculation of the bullet reduction performed in the radix representation by the remainder calculation system is estimated as follows.
[0097]
First, consider the amount of computation per one residue multiplication. The first multiplication requires one parallel multiplication. The remainder is obtained by the subsequent bullet reduction.
[0098]
(ST21) To obtain the quotient, parallel multiplication is required k-1 times and parallel addition is required k-1 times. Further, the base extension requires k + 2 times of parallel multiplication and 2 (k + 1) times of parallel addition.
[0099]
(ST22) One parallel multiplication is required.
[0100]
(ST23) To obtain the quotient, parallel multiplication is required k + 1 times and parallel addition is required k + 1 times, and further parallel multiplication is required k times and parallel addition is required 2 (k-1) times for the base extension.
[0101]
(ST24) One parallel multiplication is required.
[0102]
(ST25) One parallel addition is required.
[0103]
In summary, 4k + 4 times of parallel multiplication and 6k + 1 times of parallel addition are required for each remainder multiplication.
[0104]
Here, the number of bits of N is 1,024 used in the current RSA encryption, and the size of the base element of the remainder calculation system is 32 bits. At this time, if k = 33, the number of 1,024 bits can be expressed, and it is understood that the minimum k for expression is obtained. If this value is substituted into the above equation, it can be seen that parallel multiplication is required 137 times and parallel addition is required 199 times per one remainder multiplication.
[0105]
Since multiplication generally takes time proportional to the square of the bit length of the operand, 32-bit multiplication is 1/32 of 1,024-bit multiplication.²= 1 / 1,024 time can be processed. Therefore, the remainder multiplication using the bullet reduction in the remainder calculation system can be processed in a time of about 137 / 1,024 = 0.13 compared to the 1,024-bit multiplication.
[0106]
Here, addition is neglected because the processing amount is smaller than multiplication. In addition, since this comparison does not include the time required for the remainder calculation with 1,024 bits, it can be expected that the processing can be performed in a time ratio smaller than 0.13 estimated here.
[0107]
The method described in each of the above embodiments is a program that can be executed by a computer, such as a magnetic disk (floppy (registered trademark) disk, hard disk, etc.), an optical disk (CD-ROM, DVD, etc.), a magneto-optical disk ( MO), and can be stored and distributed in a storage medium such as a semiconductor memory.
[0108]
In addition, as long as the storage medium can store a program and can be read by a computer, the storage format may be any form.
[0109]
In addition, an OS (operating system) operating on the computer based on an instruction of a program installed in the computer from the storage medium, MW (middleware) such as database management software, network software, and the like implement the present embodiment. A part of each process may be executed.
[0110]
Furthermore, the storage medium in the present invention is not limited to a medium independent of a computer, but also includes a storage medium in which a program transmitted via a LAN, the Internet, or the like is downloaded and stored or temporarily stored.
[0111]
Further, the number of storage media is not limited to one, and the case where the processing in the present embodiment is executed from a plurality of media is also included in the storage media in the present invention, and the media configuration may be any configuration.
[0112]
The computer according to the present invention executes each process according to the present embodiment based on a program stored in a storage medium, and includes a single device such as a personal computer or a system in which a plurality of devices are connected to a network. Any configuration may be used.
[0113]
In addition, the computer in the present invention is not limited to a personal computer, but includes an arithmetic processing device, a microcomputer, and the like included in an information processing device, and is a generic term for devices and devices that can realize the functions of the present invention by a program. .
[0114]
Note that the present invention is not limited to the above-described embodiments, and various modifications can be made without departing from the scope of the invention at the stage of implementation. In addition, the embodiments may be appropriately combined as much as possible, and in that case, combined effects can be obtained. Furthermore, the above embodiments include inventions at various stages, and various inventions can be extracted by appropriate combinations of a plurality of disclosed configuration requirements. For example, when an invention is extracted by omitting some constituent elements from all the constituent elements shown in the embodiment, when the extracted invention is implemented, the omitted part is appropriately supplemented by a well-known common technique. It is what is said.
[0115]
In addition, the present invention can be implemented with various modifications without departing from the gist thereof.
[0116]
【The invention's effect】
As described above, according to the present invention, when the product of several elements of the basis of the remainder calculation system is a division target, division can be efficiently executed in the remainder calculation system.
[Brief description of the drawings]
FIG. 1 is a schematic diagram showing a configuration of a main part of a remainder arithmetic apparatus according to a first embodiment of the present invention.
FIG. 2 is a schematic diagram for explaining an operation in the embodiment.
FIG. 3 is a schematic diagram for explaining a specific example of an operation in the embodiment.
FIG. 4 is a schematic diagram showing a configuration of a main part of a remainder arithmetic apparatus according to a second embodiment of the present invention.
FIG. 5 is a schematic diagram showing application of base extension in the same embodiment;
FIG. 6 is a schematic diagram showing application of base expansion in the embodiment.
FIG. 7 is a flowchart for explaining the operation of the remainder calculation apparatus according to the third embodiment of the present invention.
[Explanation of symbols]
10, 10 '... residue calculation device
20₁~ 20_n... Calculation unit
21₁~ 21_n... ROM
22₁~ 22_n... RAM
23₁~ 23_n, 23₁'-23_n′… Product sum circuit
30, 30 '... control device

Claims (16)

剰余演算系の基底を｛ａ_１，ａ_２，…，ａ_ｎ｝（ｎは整数）とし且つＡ＝ａ_１ａ_２…ａ_ｎとした際に、｛ａ_１，ａ_２，…，ａ_ｎ｝から任意に１つの基底要素ａ_ｉ（１≦ｉ≦ｎ）を選択し、このａ_ｉの選択情報及びＡ未満の正の整数ｘが入力されたとき、前記ｘをａ_ｉで除した商ｚを出力可能な、剰余演算機能を有する複数の演算ユニットを備えた剰余演算装置において、
前記選択情報に基づいて、前記ｘの剰余演算系表現の各値ｘ_１，…，ｘ_ｎから前記基底要素ａ_ｉに対応する値ｘ_ｉを減じるように、前記各演算ユニットを制御する減算制御手段と、
前記減算制御手段により得られた各値（ｘ_１−ｘ_ｉ），…，（ｘ_ｎ−ｘ_ｉ）（但し、（ｘ_ｉ−ｘ_ｉ）を除く）に対し、前記基底要素ａ_ｉの乗法逆元ａ_ｉ ^-1を乗じるように、前記各演算ユニットを制御する乗算制御手段と、
前記乗算制御手段により得られた乗算結果を商ｚとして出力する出力手段と、
を備えたことを特徴とする剰余演算装置。The underlying remainder operation based _{{a 1, a 2, ...} , a n} (n is an integer) upon a and _{A = a 1 a 2 ... a} n _{and, {a 1, a 2,} ..., a n }, Arbitrarily select one base element a _i (1 ≦ i ≦ n), and when the selection information of this a _i and a positive integer x less than A are input, the quotient obtained by dividing the x by a _i In a residue calculation device including a plurality of calculation units having a residue calculation function capable of outputting z,
Subtraction control for controlling each arithmetic unit so as to subtract the value x _i corresponding to the base element a _i from each value x ₁ ,..., X _n of the remainder arithmetic system representation of x based on the selection information. Means,
Multiplication of the base element a _i for each value (x ₁ −x _i ),..., (X _n −x _i ) (excluding (x _i −x _i )) obtained by the subtraction control means. Multiplication control means for controlling each arithmetic unit so as to multiply the inverse element a _i ⁻¹ ;
Output means for outputting the multiplication result obtained by the multiplication control means as a quotient z;
A remainder calculation device comprising: 剰余演算系の基底を｛ａ_１，ａ_２，…，ａ_ｎ｝（ｎは整数）とし且つＡ＝ａ_１ａ_２…ａ_ｎとした際に、｛ａ_１，ａ_２，…，ａ_ｎ｝から任意にｋ個（２≦ｋ≦ｎ）の基底要素ａ_ｉ，ａ_ｊ，…を選択し、これらの基底要素ａ_ｉ，ａ_ｊ，…の選択情報及びＡ未満の正の整数ｘが入力されたとき、前記ｘをａ_ｉ・ａ_ｊ・…で除した商ｚを出力可能な、剰余演算機能を有する複数の演算ユニットを備えた剰余演算装置において、
前記選択された基底要素ａ_ｉ，ａ_ｊ，…のうち、いずれか１個の基底要素ａ_ｈを再選択する再選択手段と、
前記再選択手段により再選択された基底要素ａ_ｈに対応する値ｘ_ｈを、前記ｘの剰余演算系表現の各値ｘ_１，…，ｘ_ｎから減じるように、前記各演算ユニットを制御する減算制御手段と、
前記減算制御手段により得られた各値（ｘ_１−ｘ_ｉ），…，（ｘ_ｎ−ｘ_ｉ）（但し、（ｘ_ｈ−ｘ_ｈ）を除く）に対し、前記再選択された基底要素ａ_ｈの乗法逆元ａ_ｈ ^-1を乗じるように、前記各演算ユニットを制御する乗算制御手段と、
前記選択された基底要素ａ_ｉ，ａ_ｊ，…の全てが前記再選択手段、前記減算制御手段及び前記乗算制御手段により順次処理されたとき、最後に再選択された基底要素に関して前記乗算制御手段の制御により得られた乗算結果を商ｚとして出力する出力手段と、
を備えたことを特徴とする剰余演算装置。The underlying remainder operation based _{{a 1, a 2, ...} , a n} (n is an integer) upon a and _{A = a 1 a 2 ... a} n _{and, {a 1, a 2,} ..., a n base element _a i of an arbitrary into k from} (2 ≦ k ≦ n) , a j, select ..., these base element _a i, _{a j,} ... positive integer x is less than the selection information and a A remainder computation device comprising a plurality of computation units having a remainder computation function capable of outputting a quotient z obtained by dividing x by a _i , a _j ,.
Reselecting means for reselecting any one base element a _h among the selected base elements a _i , a _j,.
Each arithmetic unit is controlled so that a value x _h corresponding to the base element a _h reselected by the reselecting means is subtracted from each value x ₁ ,..., X _n of the remainder arithmetic system representation of x. Subtraction control means;
For each value (x ₁ −x _i ),..., (X _n −x _i ) (excluding (x _h −x _h )) obtained by the subtraction control means, the reselected base element as multiplying the multiplicative inverse a _h ^-1 of a _h, a multiplier controlling means for controlling the respective operation units,
When all of the selected base elements a _i , a _j ,... Are sequentially processed by the reselection means, the subtraction control means, and the multiplication control means, the multiplication control means for the last reselected base element. Output means for outputting the multiplication result obtained by the control as quotient z;
A remainder calculation device comprising: 請求項１又は請求項２に記載の剰余演算装置において、
前記基底は、２のべき又は２のべきに近接する値を用いることを特徴とする剰余演算装置。In the remainder calculation apparatus according to claim 1 or 2,
The base uses a power of 2 or a value close to power of 2. 請求項１乃至請求項３のいずれか１項に記載の剰余演算装置において、
前記商を、基底拡張によりｎ個の基底で表現するための基底拡張手段を備えたことを特徴とする剰余演算装置。In the remainder calculation apparatus of any one of Claim 1 thru | or 3,
A remainder calculation device comprising base extension means for expressing the quotient with n bases by base extension. 請求項１乃至請求項４のいずれか１項に記載の剰余演算装置において、
正の整数Ｎ及びｘ＜Ｎ^２を満たす整数ｘを入力としたとき、ｘ ｍｏｄ Ｎを出力するバレット・リダクションを行うように、前記各演算ユニットを制御するバレット・リダクション制御手段を備えたことを特徴とする剰余演算装置。In the remainder calculation apparatus of any one of Claim 1 thru | or 4,
When a positive integer N and an integer x satisfying x <N ² are input, a bullet reduction control means for controlling each arithmetic unit is provided so as to perform bullet reduction that outputs x mod N. A characteristic remainder calculation device. 請求項１乃至請求項４のいずれか１項に記載の剰余演算装置において、
正の整数Ｎ及びｘ＜９Ｎ^２を満たす整数ｘを入力としたとき、ｘ ｍｏｄ Ｎ、ｘ ｍｏｄ Ｎ＋Ｎ、またはｘ ｍｏｄ Ｎ＋２Ｎを出力するバレット・リダクションを行うように、前記各演算ユニットを制御するバレット・リダクション制御手段を備えたことを特徴とする剰余演算装置。In the remainder calculation apparatus of any one of Claim 1 thru | or 4,
When a positive integer N and an integer x satisfying x <9N ² are input, a bullet for controlling each arithmetic unit to perform bullet reduction that outputs x mod N, x mod N + N, or x mod N + 2N A remainder calculation device comprising reduction control means. 請求項６に記載の剰余演算装置において、
前記バレット・リダクション制御手段は、前記バレット・リダクションのアルゴリズムが含まれる剰余乗算を行うときに前記減算制御手段及び前記乗算制御手段を用いて前記各演算ユニットを制御することを特徴とする剰余演算装置。The remainder calculation device according to claim 6,
The bullet reduction control means controls the respective arithmetic units using the subtraction control means and the multiplication control means when performing a modular multiplication including the bullet reduction algorithm. . 請求項６に記載の剰余演算装置において、
前記バレット・リダクション制御手段は、前記バレット・リダクションのアルゴリズムが含まれる,べき乗剰余算を行うときに前記減算制御手段及び前記乗算制御手段を用いて前記各演算ユニットを制御することを特徴とする剰余演算装置。The remainder calculation device according to claim 6,
The bullet reduction control means includes the algorithm of the bullet reduction, and controls each arithmetic unit using the subtraction control means and the multiplication control means when performing power-residue calculation. Arithmetic unit. 剰余演算系の基底を｛ａ_１，ａ_２，…，ａ_ｎ｝（ｎは整数）とし且つＡ＝ａ_１ａ_２…ａ_ｎとした際に、｛ａ_１，ａ_２，…，ａ_ｎ｝から任意に１つの基底要素ａ_ｉ（１≦ｉ≦ｎ）を選択し、このａ_ｉの選択情報及びＡ未満の正の整数ｘが入力されたとき、前記ｘをａ_ｉで除した商ｚを出力可能な、剰余演算機能を有する複数の演算ユニット、減算制御手段、乗算制御手段及び出力手段を備えた剰余演算装置が実行する剰余演算方法において、
前記減算制御手段が、前記選択情報に基づいて、前記ｘの剰余演算系表現の各値ｘ_１，…，ｘ_ｎから前記基底要素ａ_ｉに対応する値ｘ_ｉを減じるように、前記各演算ユニットを制御する減算制御工程と、
前記乗算制御手段が、前記減算制御工程により得られた各値（ｘ_１−ｘ_ｉ），…，（ｘ_ｎ−ｘ_ｉ）（但し、（ｘ_ｉ−ｘ_ｉ）を除く）に対し、前記基底要素ａ_ｉの乗法逆元ａ_ｉ ^-1を乗じるように、前記各演算ユニットを制御する乗算制御工程と、
前記出力手段が、前記乗算制御工程により得られた乗算結果を商ｚとして出力する出力工程と、
を含んでいることを特徴とする剰余演算方法。The underlying remainder operation based _{{a 1, a 2, ...} , a n} (n is an integer) upon a and _{A = a 1 a 2 ... a} n _{and, {a 1, a 2,} ..., a n }, Arbitrarily select one base element a _i (1 ≦ i ≦ n), and when the selection information of this a _i and a positive integer x less than A are input, the quotient obtained by dividing the x by a _i In a residue calculation method executed by a residue calculation apparatus including a plurality of calculation units having a residue calculation function capable of outputting z , a subtraction control unit, a multiplication control unit, and an output unit ,
Based on the selection information , the subtraction control means subtracts the value x _i corresponding to the base element a _i from each value x ₁ ,..., X _n of the remainder arithmetic system representation of x. A subtraction control process for controlling the unit;
For each value (x ₁ −x _i ),..., (X _n −x _i ) (excluding (x _i −x _i )) obtained by the subtraction control step, A multiplication control step of controlling each of the arithmetic units so as to multiply the multiplicative inverse element a _i ⁻¹ of the base element a _i ;
An output step in which the output means outputs the multiplication result obtained by the multiplication control step as a quotient z;
The remainder calculation method characterized by including. 剰余演算系の基底を｛ａ_１，ａ_２，…，ａ_ｎ｝（ｎは整数）とし且つＡ＝ａ_１ａ_２…ａ_ｎとした際に、｛ａ_１，ａ_２，…，ａ_ｎ｝から任意にｋ個（２≦ｋ≦ｎ）の基底要素ａ_ｉ，ａ_ｊ，…を選択し、これらの基底要素ａ_ｉ，ａ_ｊ，…の選択情報及びＡ未満の正の整数ｘが入力されたとき、前記ｘをａ_ｉ・ａ_ｊ・…で除した商ｚを出力可能な、剰余演算機能を有する複数の演算ユニット、再選択手段、減算制御手段、乗算制御手段及び出力手段を備えた剰余演算装置が実行する剰余演算方法において、
前記再選択手段が、前記選択された基底要素ａ_ｉ，ａ_ｊ，…のうち、いずれか１個の基底要素ａ_ｈを再選択する再選択工程と、
前記減算制御手段が、前記再選択工程により再選択された基底要素ａ_ｈに対応する値ｘ_ｈを、前記ｘの剰余演算系表現の各値ｘ_１，…，ｘ_ｎから減じるように、前記各演算ユニットを制御する減算制御工程と、
前記出力手段が、前記減算制御工程により得られた各値（ｘ_１−ｘ_ｉ），…，（ｘ_ｎ−ｘ_ｉ）（但し、（ｘ_ｈ−ｘ_ｈ）を除く）に対し、前記再選択された基底要素ａ_ｈの乗法逆元ａ_ｈ ^-1を乗じるように、前記各演算ユニットを制御する乗算制御工程と、
前記選択された基底要素ａ_ｉ，ａ_ｊ，…の全てが前記再選択工程、前記減算制御工程及び前記乗算制御工程により順次処理されたとき、最後に再選択された基底要素に関して前記乗算制御工程の制御により得られた乗算結果を商ｚとして出力する出力工程と、
を含んでいることを特徴とする剰余演算方法。The underlying remainder operation based _{{a 1, a 2, ...} , a n} (n is an integer) upon a and _{A = a 1 a 2 ... a} n _{and, {a 1, a 2,} ..., a n base element _a i of an arbitrary into k from} (2 ≦ k ≦ n) , a j, select ..., these base element _a i, _{a j,} ... positive integer x is less than the selection information and a A plurality of arithmetic units having a remainder operation function, a reselection unit, a subtraction control unit, a multiplication control unit and an output unit, which can output a quotient z obtained by dividing x by a _i , a _j ,. In the remainder calculation method executed by the provided remainder calculation apparatus ,
The reselection means, the selected base element a _i, a j, _... of the reselection process to re-select any one of the base element a _h,
The subtracting control means reduces the value x _h corresponding to the base element a _h reselected by the reselection step from each value x ₁ ,..., X _n of the remainder arithmetic system representation of x. A subtraction control process for controlling each arithmetic unit;
For each value (x ₁ −x _i ),..., (X _n −x _i ) (excluding (x _h −x _h )) obtained by the subtraction control step, A multiplication control step of controlling each of the arithmetic units so as to multiply the multiplicative inverse element a _h ⁻¹ of the selected base element a _h ;
When all of the selected base elements a _i , a _j ,... Are sequentially processed by the reselection step, the subtraction control step, and the multiplication control step, the multiplication control step with respect to the last reselected base element. An output step of outputting the multiplication result obtained by the control as a quotient z;
The remainder calculation method characterized by including. 請求項９又は請求項１０に記載の剰余演算方法において、前記基底は、２のべき又は２のべきに近接する値を用いることを特徴とする剰余演算方法。11. The residue calculation method according to claim 9, wherein the base uses a power of 2 or a value close to a power of 2. 請求項９乃至請求項１１のいずれか１項に記載の剰余演算方法において、
前記剰余演算装置は基底拡張手段を備えており、
前記基底拡張手段が、前記商を、基底拡張によりｎ個の基底で表現するための基底拡張工程を含んでいることを特徴とする剰余演算方法。The residue calculation method according to any one of claims 9 to 11,
The remainder calculation device includes a base extension means,
A residue calculation method , wherein the base extension means includes a base extension step for expressing the quotient with n bases by base extension. 請求項９乃至請求項１２のいずれか１項に記載の剰余演算方法において、
前記剰余演算装置はバレット・リダクション制御手段を備えており、
前記バレット・リダクション制御手段が、正の整数Ｎ及びｘ＜Ｎ^２を満たす整数ｘを入力としたとき、ｘ ｍｏｄ Ｎを出力するバレット・リダクションを行うように、前記各演算ユニットを制御するバレット・リダクション制御工程を含んでいることを特徴とする剰余演算方法。The remainder calculation method according to any one of claims 9 to 12,
The remainder calculation device includes a bullet reduction control means,
When the bullet reduction control means inputs a positive integer N and an integer x satisfying x <N ² , the bullet reduction control unit controls each arithmetic unit so as to perform bullet reduction that outputs x mod N. A remainder calculation method characterized by including a reduction control step. 請求項９乃至請求項１２のいずれか１項に記載の剰余演算方法において、
前記剰余演算装置はバレット・リダクション制御手段を備えており、
前記バレット・リダクション制御手段が、正の整数Ｎ及びｘ＜９Ｎ^２を満たす整数ｘを入力としたとき、ｘ ｍｏｄ Ｎ、ｘ ｍｏｄ Ｎ＋Ｎ、またはｘ ｍｏｄ Ｎ＋２Ｎを出力するバレット・リダクションを行うように、前記各演算ユニットを制御するバレット・リダクション制御工程を含んでいることを特徴とする剰余演算方法。The remainder calculation method according to any one of claims 9 to 12,
The remainder calculation device includes a bullet reduction control means,
When the bullet reduction control means receives a positive integer N and an integer x satisfying x <9N ² , the bullet reduction control means performs bullet reduction that outputs x mod N, x mod N + N, or x mod N + 2N. A remainder calculation method comprising a bullet reduction control step for controlling each of the calculation units. 請求項１４に記載の剰余演算方法において、
前記バレット・リダクション制御工程は、前記バレット・リダクションのアルゴリズムが含まれる剰余乗算を行うときに前記減算制御工程及び前記乗算制御工程を用いて前記各演算ユニットを制御することを特徴とする剰余演算方法。The remainder calculation method according to claim 14,
In the bullet reduction control step, when performing a modular multiplication including the bullet reduction algorithm, the arithmetic unit is controlled using the subtraction control step and the multiplication control step. . 請求項１４に記載の剰余演算方法において、
前記バレット・リダクション制御工程は、前記バレット・リダクションのアルゴリズムが含まれる,べき乗剰余算を行うときに前記減算制御工程及び前記乗算制御工程を用いて前記各演算ユニットを制御することを特徴とする剰余演算方法。The remainder calculation method according to claim 14,
The bullet reduction control step includes the algorithm of the bullet reduction, and controls each arithmetic unit using the subtraction control step and the multiplication control step when performing power-residue calculation. Calculation method.

Images