JP5730812B2 - 演算装置、その方法およびプログラム - Google Patents

Description

本発明は、線形フィードバックシフトレジスタでの演算に関する。

データを秘匿また改竄検知のためには暗号技術が有効である。暗号技術にはいわゆるＲＳＡ暗号を利用した非対称鍵技術およびＡＥＳなどをはじめとする共通鍵暗号を利用した対称鍵技術がある。非対称鍵技術は鍵の取扱が容易である利点があるものの、速度の面からは圧倒的に対称鍵技術が有利である。実際、大量のデータの秘匿や改竄検知を目的としてＡＥＳを利用した暗号利用モードが多く利用されており、ＳＳＬなどで実用化されている。

暗号利用モードは共通鍵ブロック暗号を単純な演算で組み合わせて、もともと共通鍵ブロック暗号では１ブロック（ＡＥＳでは１２８ビット）の暗号化しか出来なかったものを、多ブロックの暗号化処理や改竄検知（メッセージ認証）などの機能を追加する方法である。従来、守秘機能を実現するＣＦＢモードや、メッセージ認証を実現するＣＢＣ−ＭＡＣといった方法が知られていたが、高い安全性を示せないという問題があった。

その後、認証暗号モードＯＣＢ、ＭＡＣモードＰＭＡＣ、ディスク暗号ＸＴＳといった方法が提案され、高い安全性が示されるようになった。これらの暗号利用モードではガロア体ＧＦ（２^ｎ）上の演算が使われている。ただしｎは１以上の整数である。ガロア体ＧＦ（２^ｎ）の元は、例えば以下のｎ−１次多項式で表現でき（ＧＦ（２^ｎ）の加法単位元を係数とする項を表現しない場合にはｎ−１次以下の多項式）、さらには当該ｎ−１次多項式のｎ個の係数からなるガロア体ＧＦ（２）の元の列（ベクトル）でも表現できる。
ＧＦ（２）［ｘ］／（ｆ（ｘ）） (1)
ただし、ＧＦ（２）［ｘ］はガロア体ＧＦ（２）の元を係数とする多項式の集合、ｘは不定元、ｆ（ｘ）はガロア体ＧＦ（２）上のｎ次既約多項式、α／（β）はβを法としたαの剰余の集合を表す。

ここで式(1)のように表現されるガロア体ＧＦ（２^ｎ）の元をｘ倍する演算を「２倍算」と呼ぶ。すなわち、以下を「２倍算」と呼ぶ。
ｘ×γ∈ＧＦ（２）［ｘ］／（ｆ（ｘ）） (2)
ただし、ｘ，γ∈ＧＦ（２）［ｘ］／（ｆ（ｘ））である。
これを「２倍算」と呼ぶのは、ガロア体ＧＦ（２）の元の集合を整数集合｛０，１｝とみなし、ｘをｎ−１次多項式とみなした場合、ｎ−１次多項式ｘの係数からなる列は００...１０となり、これを二進数表記された「１０」とみなし、それを十進数表記に変換すると「２」になることに基づく。このような「２倍算」は上記モードなど多くのモードで使用されている。

「２倍算」は線形フィードバックシフトレジスタによって実装できる。以下に、線形フィードバックシフトレジスタで「２倍算」を行うための従来のアルゴリズム（Ａｌｇｏｒｉｔｈｍ１）を例示する（例えば、非特許文献１等参照）。このアルゴリズムでは、２を法とした剰余演算上で四則演算が定義された有限集合でガロア体ＧＦ（２）を実装（以下「ビット実装」）し、ｎ−１次多項式ｇ（ｘ）＝α_ｎ−１×ｘ^ｎ−１＋...＋α_０（ただしα_ｎ−１，...，α_０∈ＧＦ（２））に対するｘ×ｇ（ｘ） ｍｏｄ ｆ（ｘ）の係数からなるビット列Ｙを求める。また、ｎ次既約多項式ｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０の係数ｅ_ｎ，．．．，ｅ_０∈｛０，１｝のうち、係数ｅ_ｎ−１，．．．，ｅ_０からなる列をＦとする。さらに、ｎ−１次多項式ｇ（ｘ）の係数α_ｎ−１，...，α_０からなる列をＸとする。

［Ａｌｇｏｒｉｔｈｍ１］
入力：Ｘ
出力：Ｙ
１：ｉｆ α_ｎ−１＝１ ｔｈｅｎ
２：Ｙ←（Ｘ≪１）（＋）Ｆ
３：ｅｌｓｅ
４：Ｙ←（Ｘ≪１）
５：ｅｎｄ ｉｆ
ただし、Ｘ≪αはＸに対するαビットの左シフト演算を表し、α（＋）βはαとβとの排他的論理和を表し、α←βはβの結果をαに代入することを表す。

近年、Ｉｎｔｅｌ（登録商標）のＰｅｎｔｉｕｍ（登録商標） ｗｉｔｈ ＭＭＸ（登録商標） ｔｅｃｈｎｏｌｏｇｙをはじめとして、ＰＣで用いられるような汎用のＣＰＵでもＳＩＭＤ（Single instruction, multiple data）演算器が利用可能なものが増えてきている。ＳＩＭＤ演算では、処理対象のビット列に対し、複数個のビットからなるワードごとに独立に同じ演算を施す。例えば、Ｉｎｔｅｌのｘｍｍ（登録商標）レジスタは１２８ビットのビット列を格納し、例えば、３２ビットごとや６４ビットごとに同じ演算を施す。３２ビットごとに処理される場合、４つの３２ビットレジスタが並列に並んでいるものとして処理が実行される。６４ビットごとに処理される場合、２つの６４ビットレジスタが並列に並んでいるものとして処理が実行される。そのため、例えば、異なるレジスタに格納された１２８ビットのデータ同士の加算を、３２ビットや６４ビットごとに並行に実行できる。

Ted Krovetz and Phillip Rogaway, "The Software Performance of Authenticated Encryption Modes," Fast Software Encryption 2011 (FSE 2011).

ＳＩＭＤ演算器にとって、同じレジスタ内の２つのデータ間の扱いは非常に苦手である。例えば、ＳＩＭＤ演算による単純なシフト演算は、処理対象のビット列に含まれるワードごとに独立に実行される。そのため、ＳＩＭＤ演算によってビット列全体に対する左シフト演算を行うためには、各ワードでのシフト演算の他にワード間でのビットの移動処理が必要となる。例えば、６４ビットごとに処理を行うＳＩＭＤ演算器によって１２８ビットのＸに対する、Ａｌｇｏｒｉｔｈｍ１での１ビットの左シフト演算を行う場合には、６４ビットごとの左シフト演算に加え、６３ビット目から６４ビット目へのビット（ただし最下位は０ビット目）の移動処理が必要となる。しかしながら、一般的に、ＳＩＭＤ演算にはワード間でビットを直接移動させる命令は存在せず、線形フィードバックシフトレジスタでの「２倍算」をＳＩＭＤ演算によって効率的に実行する方法は存在しない。

またＡｌｇｏｒｉｔｈｍ１では、Ｘに含まれるビットα_ｎ−１が１であるか否かに応じて異なる処理が実行されるが、ＳＩＭＤ演算は特定のワードのみから特定のビットを抽出し、そのビットに応じて異なる処理（分岐処理）を実行することにも適していない。

本発明はこのような点に鑑みてなされたものであり、線形フィードバックシフトレジスタでの「２倍算」をＳＩＭＤ演算によって効率的に実行するための技術を提供する。

本発明の第１態様では、ガロア体ＧＦ（２）のｎ個の元ｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付け、ｉ＝ｄ−１，．．．，０について、ｗ個の元ｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれる元ｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得、ワードＸ_ｉごとにｗ個の元ｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，Ｉ_０からなるワードＳ_ｉを得、ｄ個のワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得、シフト列Ｓとフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］とに対する出力列Ｙ＝Ｓ＋Ｍ［ｃ_ｄ−１，．．．，ｃ_０］∈ＧＦ（２^ｎ）を得る。ただし、ｗが１以上の整数であり、ｄが２以上の整数であり、ｎ＝ｗ×ｄを満たし、ＧＦ（２）が位数２のガロア体であり、Ｉ_０がガロア体ＧＦ（２）の加法単位元であり、ｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０がｎ次既約多項式であり、ｘが不定元であり、係数ｅ_ｎ，．．．，ｅ_０がガロア体ＧＦ（２）のｎ＋１個の元である。Ｆがｎ個の元ｅ_ｎ−１，．．．，ｅ_０からなる列であり、ｊ＝ｄ−２，．．．，０であり、Ｋ_ｊがガロア体ＧＦ（２）のｎ個の元ｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列である。列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}が抽出値ｃ_ｊであり、列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}以外の元が加法単位元Ｉ_０である。抽出値ｃ_ｄ−１が加法単位元Ｉ_０である場合のＨがｎ個の加法単位元Ｉ_０からなる列であり、抽出値ｃ_ｄ−１が加法単位元Ｉ_０でない場合のＨが列Ｆである。フィードバック列は

を満たす。

本発明の第２態様では、ｎ個のビットｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付け、ｉ＝ｄ−１，．．．，０について、ｗ個のビットｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれるｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得、ワードＸ_ｉごとにｗ個のビットｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，０からなるワードＳ_ｉを得、ｄ個のワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得、シフト列Ｓとフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］との排他的論理和である出力列Ｙを得る。ただし、ｗが１以上の整数であり、ｄが２以上の整数であり、ｎ＝ｗ×ｄを満たし、ｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０がｎ次既約多項式であり、ｘが不定元であり、ビットｅ_ｎ，．．．，ｅ_０が係数であり、Ｆがｎ個のビットｅ_ｎ−１，．．．，ｅ_０からなる列であり、ｊ＝ｄ−２，．．．，０であり、Ｋ_ｊがビットｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列である。列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}が抽出値ｃ_ｊであり、列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}以外のビットが０である。フィードバック列は

を満たす。

本発明では、線形フィードバックシフトレジスタでの「２倍算」をＳＩＭＤ演算によって効率的に実行できる。

実施形態のデータ構成を例示するための図。 実施形態の演算装置の機能構成を例示するための図。 実施形態の演算方法を説明するための図。

本発明の実施形態を説明する。
＜構成＞
図１に例示するように、本形態の演算装置１は、テーブル記憶部１１、記憶部１２、入力部１３、出力部１４、制御部１５、抽出部１６、シフト部１７、および演算部１８を有する。記憶部１２はレジスタ１２１〜１２５を有する。演算装置１は、ＳＩＭＤ演算器を備える公知のコンピュータに所定のプログラムが読み込まれることで構成される特別な装置である。抽出部１６、シフト部１７、および演算部１８は、ＳＩＭＤ演算によってワードごとに各処理を実行する。

＜処理＞
図２および図３を参照しつつ、本形態の処理を説明する。
≪Ｘの入力（ステップＳ１１）≫
「２倍算」の対象となる入力列Ｘ∈ＧＦ（２^ｎ）が入力部１３に入力される。入力列Ｘは前述の式（１）のｎ−１次多項式のｎ個の係数ｂ_ｎ−１，．．．，ｂ₀∈ＧＦ（２）からなる。例えば、ビット実装の場合、入力列Ｘはｎ個のビットｂ_ｎ−１，．．．，ｂ₀∈｛０，１｝からなるビット列である。ただしｎ＝ｗ×ｄであり、ｗはワードを構成する元（ビット）の個数を表す１以上の整数であり、ｄはワードの個数を表す２以上の整数である。入力された入力列Ｘはレジスタ１２１に格納される。

≪抽出値の抽出（ステップＳ１２）≫
次に抽出部１６が、ｉ＝ｄ−１，．．．，０について、レジスタ１２１に格納されたｗ個の元ｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなる処理単位であるワードＸ_ｉに含まれる元ｂ_{ｗ×（ｉ+１）−１}（各ワードＸ_ｉ内で最も大きな次数に対応する係数）を抽出し、当該元ｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして出力する。例えばビット実装の場合、抽出部１６はビットｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉ（ただしｉ＝ｄ−１，．．．，０）ごとに、ワードＸ_ｉに含まれるビットｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得て出力する。これらｄ個の抽出値ｃ_ｄ−１，．．．，ｃ_０はレジスタ１２２に格納される。

≪左シフト演算（ステップＳ１３）≫
次にシフト部１７が、ｉ＝ｄ−１，．．．，０について、レジスタ１２１に格納されたワードＸ_ｉごとに独立に左シフト演算を行い、ｗ個の元ｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，Ｉ_０からなるワードＳ_ｉを得て出力する。ただしＩ_０はガロア体ＧＦ（２）の加法単位元である。例えばビット実装の場合、シフト部１７は、ワードＸ_ｉ（ただしｉ＝ｄ−１，．．．，０）ごとに独立にワードＸ_ｉに対する１ビットの左シフト演算を行い、ｗ個のビットｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，０からなるワードＳ_ｉを得て出力する。なお、ワードＸ_ｉごとのαビットの左シフト演算（「≪_ＳＩＭＤα」と表す）とは、ワードＸ_ｉを構成するビットｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉを次数の大きな方向（左方向）にαビットシフトし、ワードＸ_ｉ内で最も次数の小さなビットからα番目までのビットを０にする処理を意味する。出力されたｄ個のワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓはレジスタ１２３に格納される。

≪フィードバック列の抽出（ステップＳ１４）≫
テーブル記憶部１１には、ｃ_ｄ−１，．．．，ｃ_０からなる列（順序も考慮した列）に対応する予め得られたフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］からなるテーブルが格納されている。列ｃ_ｄ−１，．．．，ｃ_０は２^ｄ通り存在し、テーブルは２^ｄ個のフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］の配列からなる。

フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］は、以下の関係を満たすガロア体ＧＦ（２^ｎ）の元である。

ただし、Ｈは抽出値ｃ_ｄ−１に対応する。抽出値ｃ_ｄ−１が加法単位元Ｉ_０である場合のＨはｎ個の加法単位元Ｉ_０からなる列である。一方、抽出値ｃ_ｄ−１が加法単位元Ｉ_０でない場合のＨは列Ｆである。列ＦはＧＦ（２）上のｎ次既約多項式ｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０の係数ｅ_ｎ，．．．，ｅ_０∈ＧＦ（２）からｅ_ｎを除いたｅ_ｎ−１，．．．，ｅ_０からなる。Ｋ_ｊはガロア体ＧＦ（２）のｎ個の元ｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる。列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}は抽出値ｃ_ｊであり、列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}以外の元は加法単位元Ｉ_０である。

例えばビット実装の場合、フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］は、以下の関係を満たすビット列である。

ただし、列Ｆはｎ次既約多項式ｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０の係数ｅ_ｎ，．．．，ｅ_０∈｛０，１｝からｅ_ｎを除いたｅ_ｎ−１，．．．，ｅ_０からなる。Ｋ_ｊはｎ個のビットｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる。列Ｋ_ｊに含まれるビットｋ_{ｊ，ｗ×（ｊ＋１）}は抽出値ｃ_ｊであり、列Ｋ_ｊに含まれるビットｋ_{ｊ，ｗ×（ｊ＋１）}以外のビットは０である。各Ｋ_ｊは、例えばｎ個のビット０，，．．．，０，ｃ_ｊからなるビット列（０，，．．．，０，ｃ_ｊ）∈｛０，１｝^ｎに対してｗ×（ｊ＋１）ビットの左シフト演算を施すことで得られる。
Ｋ_ｊ＝（０，，．．．，０，ｃ_ｊ）≪ｗ×（ｊ＋１）

演算部１８は、レジスタ１２２からｃ_ｄ−１，．．．，ｃ_０を読み出し、レジスタ１２２から読み出した列ｃ_ｄ−１，．．．，ｃ_０に対応するフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］をテーブル記憶部１１から読み出し、当該フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］をレジスタ１２４に格納する。

≪出力列生成（ステップＳ１５）≫
演算部１８は、レジスタ１２３からシフト列Ｓを読み出し、レジスタ１２４からフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］を読み出す。演算部１８は、読み出したシフト列Ｓとフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］とに対する出力列Ｙ＝Ｓ＋Ｍ［ｃ_ｄ−１，．．．，ｃ_０］∈ＧＦ（２^ｎ）を得て出力する。演算部１８は、ｉ＝ｄ−１，．．．，０について、それぞれ以下のようにＹ_ｉ＝Ｓ_ｉ＋Ｍ_ｉの演算を行う。
（ｙ_{ｗ×（ｉ＋１）−１}，．．．，ｙ_ｗ×ｉ）
＝（ｂ_{ｗ×（ｉ+１）−２}＋ｍ_{ｗ×（ｉ＋１）−１}，．．．，ｂ_ｗ×ｉ＋ｍ_{ｗ×ｉ＋１}，Ｉ_０＋ｍ_ｗ×ｉ）
ただし、フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］はｄ個のワードＭ_ｉ（ただしｉ＝ｄ−１，．．．，０）からなり、各ワードＭ_ｉがｗ個の元ｍ_{ｗ×（ｉ＋１）−１}，．．．，ｍ_ｗ×ｉ∈ＧＦ（２）からなる。また、出力列Ｙはｄ個のワードＹ_ｉ（ただしｉ＝ｄ−１，．．．，０）からなり、各ワードＹ_ｉはＧＦ（２）のｗ個の元ｙ_{ｗ×（ｉ＋１）−１}，．．．，ｙ_ｗ×ｉ∈ＧＦ（２）からなる。

例えばビット実装の場合、演算部１８は、シフト列Ｓとフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］との排他的論理和Ｓ（＋）Ｍ［ｃ_ｄ−１，．．．，ｃ_０］である出力列Ｙを得て出力する。演算部１８は、ｉ＝ｄ−１，．．．，０について、それぞれ以下のようにＹ_ｉ＝Ｓ_ｉ（＋）Ｍ_ｉの演算を行う。
（ｙ_{ｗ×（ｉ＋１）−１}，．．．，ｙ_ｗ×ｉ）
＝（ｂ_{ｗ×（ｉ+１）−２}（＋）ｍ_{ｗ×（ｉ＋１）−１}，．．．，ｂ_ｗ×ｉ（＋）ｍ_{ｗ×ｉ＋１}，Ｉ_０（＋）ｍ_ｗ×ｉ）
ただし、フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］はｄ個のワードＭ_ｉ（ただしｉ＝ｄ−１，．．．，０）からなり、各ワードＭ_ｉはｗ個のビットｍ_{ｗ×（ｉ＋１）−１}，．．．，ｍ_ｗ×ｉ∈｛０，１｝からなる。出力列Ｙはｄ個のワードＹ_ｉ（ただしｉ＝ｄ−１，．．．，０）からなり、各ワードＹ_ｉはＧＦ（２）のｗ個の元ｙ_{ｗ×（ｉ＋１）−１}，．．．，ｙ_ｗ×ｉ∈｛０，１｝からなる。

出力された出力列Ｙはレジスタ１２５に格納される。

≪出力列出力（ステップＳ１６）≫
出力部１４は、レジスタ１２５から出力列Ｙを読み出し、当該出力列Ｙを出力する。

＜アルゴリズム＞
以下に、ビット実装する場合の本形態のアルゴリズムを示す。
［Ａｌｇｏｒｉｔｈｍ２］
入力：Ｘ，Ｍ[]
出力：Ｙ
１：ワードＸ_ｉごとにｃ_ｉを抽出
２：Ｓ←Ｘ≪_ＳＩＭＤ１
３：ｃ_ｄ−１，．．．，ｃ_０に対応するＭ［ｃ_ｄ−１，．．．，ｃ_０］抽出
４：Ｙ←Ｓ（＋）Ｍ［ｃ_ｄ−１，．．．，ｃ_０］
５：Ｙ出力

＜具体例＞
簡単な例として、ｎ＝４、ｗ＝２、ｄ＝２、ｆ（ｘ）＝ｘ^４＋ｘ＋１、ｇ（ｘ）＝α_３×ｘ^３＋α_２×ｘ^２＋α_１×ｘ＋α_０である場合に、本形態の方法によって、以下ようなｘ×ｇ（ｘ） ｍｏｄ ｆ（ｘ）の係数ｙ_３，ｙ_２，ｙ_１，ｙ_０∈｛０，１｝を求める例を示す。
ｘ×ｇ（ｘ） ｍｏｄ ｆ（ｘ）
＝α_３×ｘ^４＋α_２×ｘ^３＋α_１×ｘ^２＋α_０×ｘ ｍｏｄ （ｘ^４＋ｘ＋１）
＝（α_２×ｘ^３＋α_１×ｘ^２＋α_０×ｘ）＋α_３×（ｘ＋１）
＝α_２×ｘ^３＋α_１×ｘ^２＋（α_０＋α_３）×ｘ＋α_３
ｙ_３＝α_２
ｙ_２＝α_１
ｙ_１＝α_０＋α_３
ｙ_０＝α_３

α_３，α_２，α_１，α_０∈｛０，１｝からなる入力列Ｘがレジスタ１２１に格納される（ステップＳ１１）。抽出値ｃ_１＝α_３、ｃ_０＝α_１がレジスタ１２２に格納される（ステップＳ１２）。ワードごとの左シフト演算によって得られたα_２，０，α_０，０がレジスタ１２３に格納される（ステップＳ１３）。抽出値ｃ_１＝α_３、ｃ_０＝α_１に対応するフィードバック列Ｍ［ｃ_１，ｃ_０］が読み出され（ステップＳ１４）、（ｙ_３，ｙ_２，ｙ_１，ｙ_０）＝（α_２（＋）ｍ_３，ｍ_２，α_０（＋）ｍ_１，ｍ_０）が得られる（ステップＳ１５）。

この例のフィードバック列Ｍ［ｃ_１＝α_３，ｃ_０＝α_１］は以下の４種類であり、（ｙ_３，ｙ_２，ｙ_１，ｙ_０）＝（α_２（＋）ｍ_３，ｍ_２，α_０（＋）ｍ_１，ｍ_０）＝（α_２，α_１，α_０＋α_３，α_３）を満たす。
Ｍ［０，０］＝（０，０，０，０）
Ｍ［０，１］＝（０，１，０，０）
Ｍ［１，０］＝（０，０，１，１）
Ｍ［１，１］＝（０，１，１，１）

＜本形態の特徴＞
本形態の各ステップＳ１２〜Ｓ１５では、複数のワードに対して同一の処理が実行される。また本形態では、Ａｌｇｏｒｉｔｈｍ１のような分岐処理もない。さらに本形態では、ワードごとの左シフト演算に伴って必要となるワード間の値の移動処理と、最大次数よりも大きな項にあふれた係数に対応する係数を最大次数以下の項の係数に加算（例えば排他的論理和）するフィードバック演算と、が同時に行われる。このように本形態では、線形フィードバックシフトレジスタでの「２倍算」をＳＩＭＤ演算によって効率的に実行できる。すなわち本形態では、ＳＩＭＤ演算を４回呼び出すだけで「２倍算」を計算でき、高速に処理可能となる。これにより、ＯＣＢなどの暗号利用モードを効率的に実装可能になった。さらに、フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］を事前計算しておくことで、より演算が効率化できる。

＜変形例等＞
なお、本発明は上述の実施の形態に限定されるものではない。例えば、ステップＳ１３の実行後にステップＳ１４を実行するのではなく、ステップＳ１４の実行後にステップＳ１３が実行されてもよい。あるいは、ステップＳ１３および１４が同時に実行されてもよい。その他、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

または、フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］を事前計算しておくのではなく、必要に応じてフィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］が逐一計算されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。例えば、Ｉｎｔｅｌ（登録商標）アーキテクチャではＳＳＥで１２８ビットレジスタｘｍｍ（登録商標）が導入され、ＳＳＥ２でｘｍｍレジスタに対する６４ビットワード命令群ｍｏｖｍｓｋｐｄ、またｐｓｌｌｑもしくはｐａｄｄｑ命令が導入された。ｍｏｖｍｓｋｐｄは６４ビットワード毎の最上位ビットを通常レジスタに書き出す命令であり、ｐｓｌｌｑは６４ビットワード毎にシフトする命令、またｐａｄｄｑは６４ビットワード毎に加算する命令である。Ｉｎｔｅｌアーキテクチャはｎ＝１２８（ｗ＝６４，ｄ＝２）に対する、上記の実施形態で必要なＳＩＭＤ演算器を全て備えている。Ｉｎｔｅｌアーキテクチャでも効率的に上記の処理を実施できる。Ｉｎｔｅｌ ＣＰＵのＮｅｈａｌｅｍ（登録商標）以降のアーキテクチャではブロック暗号ＡＥＳを高速に実現するための命令セットが実装されている。ＡＥＳ命令はｘｍｍレジスタもしくはｙｍｍレジスタに対してのみ実行可能であり、通常レジスタにＡＥＳ対象のデータが保存されている場合はｘｍｍレジスタ等に移動する必要がある。通常レジスタに対して、「２倍算」はそれなりに効率的に実装可能であるが、ＡＥＳ命令と組み合わせる場合は、ｘｍｍなどのレジスタへの移動命令を必要とし、効率が悪くなる。本形態では、ＡＥＳと共に利用されることが多い「２倍算」をｘｍｍレジスタなどを利用するＳＩＭＤ命令で効率的に実装できる。

上記の処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１ 演算装置
１３ 入力部
１４ 出力部
１６ 抽出部
１７ シフト部
１８ 演算部

Claims (7)

1. ｗが１以上の整数、ｄが２以上の整数、ｎ＝ｗ×ｄ、ＧＦ（２）が位数２のガロア体であり、前記ガロア体ＧＦ（２）のｎ個の元ｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付ける入力部と、
   ｉ＝ｄ−１，．．．，０について、ｗ個の元ｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれる元ｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得る抽出部と、
   Ｉ_０が前記ガロア体ＧＦ（２）の加法単位元であり、ｉ＝ｄ−１，．．．，０について、前記ワードＸ_ｉごとにｗ個の元ｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，Ｉ_０からなるワードＳ_ｉを得、ｄ個の前記ワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得るシフト部と、
   ｎ次既約多項式がｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０、ｘが不定元、ｅ_ｎ，．．．，ｅ_０が前記ガロア体ＧＦ（２）のｎ＋１個の元である係数、Ｆがｎ個の元ｅ_ｎ−１，．．．，ｅ_０からなる列、ｊ＝ｄ−２，．．．，０、Ｋ_ｊが前記ガロア体ＧＦ（２）のｎ個の元ｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列、前記列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}が前記抽出値ｃ_ｊ、前記列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}以外の元が前記加法単位元Ｉ_０、前記抽出値ｃ_ｄ−１が前記加法単位元Ｉ_０である場合のＨがｎ個の前記加法単位元Ｉ_０からなる列、前記抽出値ｃ_ｄ−１が前記加法単位元Ｉ_０でない場合のＨが前記列Ｆ、フィードバック列が
   

   

   
   を満たす列であり、前記シフト列Ｓと前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］とに対する出力列Ｙ＝Ｓ＋Ｍ［ｃ_ｄ−１，．．．，ｃ_０］∈ＧＦ（２^ｎ）を得る演算部と、
   を有する演算装置。
2. ｗが１以上の整数、ｄが２以上の整数、ｎ＝ｗ×ｄであり、ｎ個のビットｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付ける入力部と、
   ｉ＝ｄ−１，．．．，０について、ｗ個のビットｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれるｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得る抽出部と、
   ｉ＝ｄ−１，．．．，０について、前記ワードＸ_ｉごとにｗ個のビットｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，０からなるワードＳ_ｉを得、ｄ個の前記ワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得るシフト部と、
   ｎ次既約多項式がｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０、ｘが不定元、ｎ個のビットｅ_ｎ，．．．，ｅ_０が係数、Ｆがｎ個のビットｅ_ｎ−１，．．．，ｅ_０からなる列、ｊ＝ｄ−２，．．．，０、Ｋ_ｊがビットｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列、前記列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}が前記抽出値ｃ_ｊ、前記列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}以外のビットが０、フィードバック列が
   

   

   
   を満たす列であり、前記シフト列Ｓと前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］との排他的論理和である出力列Ｙを得る演算部と、
   を有する演算装置。
3. 請求項１または２の演算装置であって、
   予め得られた前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］を格納した記憶部をさらに有し、
   前記演算部は、前記記憶部に格納された前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］を用い、前記出力列Ｙを得る、
   ことを特徴とする演算装置。
4. 請求項１から３の何れかの演算装置であって、
   前記抽出部、前記シフト部および前記演算部の各処理はＳＩＭＤ演算である、
   ことを特徴とする演算装置。
5. ｗが１以上の整数、ｄが２以上の整数、ｎ＝ｗ×ｄ、ＧＦ（２）が位数２のガロア体であり、入力部で、前記ガロア体ＧＦ（２）のｎ個の元ｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付ける入力ステップと、
   抽出部で、ｉ＝ｄ−１，．．．，０について、ｗ個の元ｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれる元ｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得る抽出ステップと、
   Ｉ_０が前記ガロア体ＧＦ（２）の加法単位元であり、シフト部で、ｉ＝ｄ−１，．．．，０について、前記ワードＸ_ｉごとにｗ個の元ｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，Ｉ_０からなるワードＳ_ｉを得、ｄ個の前記ワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得るシフトステップと、
   ｎ次既約多項式がｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０、ｘが不定元、ｅ_ｎ，．．．，ｅ_０が前記ガロア体ＧＦ（２）のｎ＋１個の元である係数、Ｆがｎ個の元ｅ_ｎ−１，．．．，ｅ_０からなる列、ｊ＝ｄ−２，．．．，０、Ｋ_ｊが前記ガロア体ＧＦ（２）のｎ個の元ｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列、前記列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}が前記抽出値ｃ_ｊ、前記列Ｋ_ｊに含まれる元ｋ_{ｊ，ｗ×（ｊ＋１）}以外の元が前記加法単位元Ｉ_０、前記抽出値ｃ_ｄ−１が前記加法単位元Ｉ_０である場合のＨがｎ個の前記加法単位元Ｉ_０からなる列、前記抽出値ｃ_ｄ−１が前記加法単位元Ｉ_０でない場合のＨが前記列Ｆ、フィードバック列が
   

   

   
   を満たす列であり、演算部で、前記シフト列Ｓと前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］とに対する出力列Ｙ＝Ｓ＋Ｍ［ｃ_ｄ−１，．．．，ｃ_０］∈ＧＦ（２^ｎ）を得る演算ステップと、
   を有する演算方法。
6. ｗが１以上の整数、ｄが２以上の整数、ｎ＝ｗ×ｄであり、入力部で、ｎ個のビットｂ_ｎ−１，．．．，ｂ₀からなる入力列Ｘを受け付ける入力ステップと、
   抽出部で、ｉ＝ｄ−１，．．．，０について、ｗ個のビットｂ_{ｗ×（ｉ+１）−１}，．．．，ｂ_ｗ×ｉからなるワードＸ_ｉに含まれるｂ_{ｗ×（ｉ+１）−１}を抽出値ｃ_ｉとして得る抽出ステップと、
   シフト部で、ｉ＝ｄ−１，．．．，０について、前記ワードＸ_ｉごとにｗ個のビットｂ_{ｗ×（ｉ+１）−２}，．．．，ｂ_ｗ×ｉ，０からなるワードＳ_ｉを得、ｄ個の前記ワードＳ_ｄ−１，．．．，Ｓ_０からなるシフト列Ｓを得るシフトステップと、
   ｎ次既約多項式がｆ（ｘ）＝ｅ_ｎ×ｘ^ｎ＋ｅ_ｎ−１×ｘ^ｎ−１＋．．．＋ｅ_０、ｘが不定元、ｎ個のビットｅ_ｎ，．．．，ｅ_０が係数、Ｆがｎ個のビットｅ_ｎ−１，．．．，ｅ_０からなる列、ｊ＝ｄ−２，．．．，０、Ｋ_ｊがビットｋ_{ｊ，ｎ−１}，．．．，ｋ_ｊ，０からなる列、前記列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}が前記抽出値ｃ_ｊ、前記列Ｋ_ｊに含まれるｋ_{ｊ，ｗ×（ｊ＋１）}以外のビットが０、フィードバック列が
   

   

   
   を満たす列であり、演算部で、前記シフト列Ｓと前記フィードバック列Ｍ［ｃ_ｄ−１，．．．，ｃ_０］との排他的論理和である出力列Ｙを得る演算ステップと、
   を有する演算方法。
7. 請求項１から４の何れかの演算装置の各部としてコンピュータを機能させるためのプログラム。

Images