JPH05324277A

JPH05324277A - 暗号通信方法

Info

Publication number: JPH05324277A
Application number: JP4124982A
Authority: JP
Inventors: Keiichi Iwamura; 恵市岩村; Takahisa Yamamoto; 貴久山本
Original assignee: Canon Inc
Current assignee: Canon Inc
Priority date: 1992-05-18
Filing date: 1992-05-18
Publication date: 1993-12-07
Anticipated expiration: 2017-07-15
Also published as: JP3302043B2

Abstract

(57)【要約】【目的】暗号通信方法において、必要となる剰余乗算
またはべき乗剰余演算を小さな回路規模で高速に演算す
る。【構成】剰余乗算Ｑ＝Ａ・Ｂ mod Ｎ及びべき乗剰余
演算Ｃ＝Ｍ^e mod Ｎを、Ｎと素な整数Ｒを用いた同形の
演算Ｚ＝Ｕ・Ｖ・Ｒ^-1 mod Ｎの繰り返しにより実現す
る。また、この演算を同一の回路による繰り返し演算、
または同一構成の複数の回路による並列処理によって実
行する。

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明はコンピュータネットワー
クにおけるホームバンク、ファームバンク、電子メール
及び電子会議などの様々な通信サービスに用いられる暗
号化技術に関する。特にべき乗剰余演算及び剰余乗算を
用いる暗号方式（ＲＳＡ暗号、エルガマル暗号等）、鍵
共有方式（ＤＨ型鍵共有方式、ＩＤ-based鍵共有方式
等）、零知識証明方式等を用いて暗号通信を行うシステ
ムに関する。

【０００２】

【従来の技術】近年、コンピュータネットワークを用い
た情報通信システムの急速な進展とともに、データ内容
の保護を目的とする暗号技術の重要性が高まっている。
特に、コンピュータネットワークの高速化・大容量化が
進展する中で、高速な暗号技術が不可欠になりつつあ
る。

【０００３】かかる暗号技術において、べき乗剰余演算
及び剰余乗算は種々の暗号技術に用いられている重要な
演算であり、次のような利用例を挙げることができる。

【０００４】まず、暗号方式には秘密鍵暗号方式と公開
鍵暗号方式があることが知られている。公開鍵暗号方式
では暗号化鍵と復号鍵とが異なり、暗号化鍵は公開し、
復号鍵は受信者が秘密に保持するもので、公開された暗
号化鍵から復号鍵を推定するのが困難なようになってい
るものである。その公開鍵暗号方式としてＲＳＡ暗号や
エルガマル暗号などのべき乗剰余演算及び剰余乗算に基
づく暗号がよく用いられている。更にこれらの暗号は、
秘密通信機能の他に認証と呼ばれるもう１つの用途があ
ることが注目されている。認証とは、通信文の送信者が
正しいかどうかを検査する機能であり、ディジタル署名
とも呼ばれている。これらの暗号を用いたディジタル署
名では、送信者のみが知っている秘密鍵で署名でき、偽
造できないので安全であり認証通信として金融機関など
で多く用いられている。

【０００５】また、同一の鍵を送信者と受信者が秘密に
共有する秘密鍵暗号方式として、乱数をデータに加える
バーナム暗号が知られているが、その乱数として平方剰
余と呼ばれるべき乗剰余演算及び剰余乗算に基づく乱数
が知られている。

【０００６】また、以上の秘密鍵暗号方式及び公開鍵暗
号方式は、鍵配送方式または鍵共有方式と呼ばれる技術
とともに用いられることが多い。鍵配送方式としては、
DiffieとHellman によるＤＨ型鍵配送方式がよく知られ
ているが、この方式もべき乗剰余演算及び剰余乗算を用
いて演算を行う。さらに、鍵共有方式としてＩＤ-based
鍵共有方式が注目されているが、この方式を含む種々の
鍵共有方式においてべき乗剰余演算及び剰余乗算が用い
られている。

【０００７】他に、暗号技術には零知識証明と呼ばれる
ものがある。これは自分がある知識を持っていること
を、その内容をいっさい告げることなく（＝零知識）、
相手に納得させる（＝証明）方法である。これにも、べ
き乗剰余演算及び剰余乗算に基づく種々の手法がある。

【０００８】以上の暗号技術の詳細については池野信
一，小山謙二著“現代暗号理論”，電子情報通信学会
（1986）及び辻井重男，笠原正雄著“暗号と情報セキュ
リティ”，昭晃堂(1990)等に詳しく説明されている。

【０００９】従って、種々の暗号システムを効率よく構
成するために、効率的なべき乗剰余演算及び剰余乗算回
路の実現が望まれていた。更に、高速なべき乗剰余演算
及び剰余乗算回路が構成できれば、種々の暗号システム
の高速化が実現できる。

【００１０】ところで、Ｎを法とする剰余乗算を演算す
る方法として、Ｎと素な整数Ｒを用いて演算を行う手法
がある。例えば、モンゴメリーによって提案された手法
〔モンゴメリー法〕（Montgomery,P.L.:“Modular mult
iplication without trial division, ”Math. of Comp
utation,Vol.44,1985,pp.519-521 ）は、Ｑ＝Ａ・Ｂmod
Ｎの代わりにＱ＝Ａ・Ｂ・Ｒ^-1 mod Ｎを演算するこ
とで、除算を行うことなしに剰余乗算を計算することが
できる。

【００１１】一方、処理を高速化していく１つの手法と
して、並列処理がある。その代表的なアーキテクチャと
してシストリックアレイが知られている。シストリック
アレイは処理を数種類の演算素子（プロセッシング・エ
レメント：以後ＰＥ）によるパイプライン処理によって
実行し、高速処理を実現する。また、制御がＰＥ単位の
局所的なものですみ容易である。従って、シストリック
アレイは全体構造の規則性とＰＥ単位の局所性を有し、
ＶＬＳＩ等の大規模な処理の装置化を容易にするアーキ
テクチャとして知られている。このような並列処理的手
法は大規模な処理を必要とする大きな整数に対するべき
乗剰余演算及び剰余乗算の高速化にも適していると考え
られるが、従来の手法の中でシストリックアレイ等の並
列処理的手法をべき乗剰余演算及び剰余乗算に対して適
用したものは殆どなかった。

【００１２】そこで、本出願人は、先に特願平3-225986
号として、シストリックアレイを用いた剰余乗算回路を
提案したが、これはモンゴメリー法を用いたものではな
い。一方、モンゴメリー法を用いたアレイがイブンによ
って提案されている。（ Shimon Even: “Systolic mod
ular multiplication,”Advances in Cryptology-CRYPT
O'90,pp.619-624,Springer-Verlag.）

【００１３】

【発明が解決しようとしている課題】上述のような暗号
システムに用いられるべき乗剰余演算及び剰余乗算で用
いられる整数は、十分な安全性を確保するために５１２
ビット以上のビット数を持つことが要求される。このよ
うに大きな整数に対するべき乗剰余演算及び剰余乗算を
通常のコンピュータを用いて高速に演算することは困難
であった。

【００１４】また、モンゴメリー法を繰り返してべき乗
剰余演算を実行する場合、剰余乗算を繰り返す度に出力
の最大ビット数が大きくなり、同じ回路によってべき乗
剰余演算を実行することは困難であった。これについ
て、イブンのアレイは、剰余乗算出力のビット数が入力
値のビット数を越えた場合の処理を行うＰＥについて示
されておらず、べき乗剰余演算に対しては不十分なもの
になっている。

【００１５】さらに、従来のモンゴメリー法は後述する
ようにＱ＝Ａ・Ｂ・Ｒ^-1 mod Ｎの演算を行う前後に、
Ａ，Ｂ及びＱに対して別の演算を行う必要があり、数種
類の演算手段が必要であった。

【００１６】また、特に、上述のイブンのアレイは、乗
算Ｔ＝Ａ・Ｂを実行するアレイと、定数として扱われる
Ｒに対する剰余演算Ｑ＝Ｔ・Ｒ^-1 mod Ｎを実行するア
レイから構成されている。従って、イブンのシストリッ
クアレイは、Ｔを演算するアレイとＱを演算するアレイ
が２種類必要であるために効率的ではなかった。さら
に、ＰＥ内で行なれる演算として１ビット毎の演算のみ
を提案しており、柔軟性に欠けていた。

【００１７】

【課題を解決するための手段】そこで、本発明の目的
は、上述の欠点を除去し、暗号通信におけるべき乗剰余
演算及び剰余乗算を、剰余の法となるＮと素であるＲを
用いた剰余乗算を繰り返すだけで実行する方法を提供す
ることにある。

【００１８】また、本発明の他の目的は、モンゴメリー
法を用いて、より小さな回路規模で高速にべき乗剰余演
算及び剰余乗算を実行する回路を実現することにある。

【００１９】かかる課題を解決するために、本発明で
は、Ｎを法とする整数Ａ、Ｂの剰余乗算Ｑ＝Ａ・Ｂ mod
Ｎを利用して、通信内容の暗号化または復号を行なう
暗号通信方法において、入力データＵ、Ｖに対して、Ｎ
と素である整数Ｒを用いて、Ｚ＝Ｕ・Ｖ・Ｒ^-1 mod Ｎ
を演算して出力する演算部を１つ以上具える。

【００２０】また、本発明の他の態様によれば、Ｎを法
とする整数Ｍ、ｅに関するべき乗剰余演算：Ｃ＝Ｍ^e mo
d Ｎを利用して、通信内容の暗号化または復号を行なう
暗号通信方法において、入力データＵ、Ｖに対して、Ｎ
と素である整数Ｒを用いて、Ｚ＝Ｕ・Ｖ・Ｒ^-1 mod Ｎ
を演算して出力する演算部を１つ以上具える。

【００２１】また、本発明の他の態様によれば、入力さ
れた整数Ａ、Ｂに対するＮを法とした剰余乗算Ｑ＝Ａ・
Ｂ mod Ｎを利用して、通信内容の暗号化または復号を
行なう暗号通信方法において、Ｎと素である整数Ｒを用
いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎを演
算してその結果をＡ_R とする演算工程と、入力されたＢ
及び前記ＲよりＢ・Ｒ mod Ｎを演算してその結果をＢ
_R とする演算工程と、前記演算結果Ａ_R 、Ｂ_R 及び前記
Ｒに基づき、Ａ_R・Ｂ_R ・Ｒ^-1 mod Ｎを求めてその結果
をＴ_R とする演算工程と、前記Ｔ_R と前記ＲとによりＴ
_R・Ｒ^-1 mod Ｎを演算し、その結果としてＱを求める演
算工程とを有し、前記Ｔ_R を求める演算工程に、Ａ_i を
任意の整数ｖによる前記Ａ_R のｖビット毎の分割、Ｙ＝
２^v として、Ｔ_i ＝( Ｔ_i-1 ＋Ａ_i・Ｂ_R・Ｙ＋Ｍ_i-1・Ｎ)/ＹＭ_i-1 ＝( Ｔ_i-1 mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行する演算工程とを具える。

【００２２】また、本発明の他の態様によれば、入力さ
れた整数Ａ、Ｂに対するＮを法とした剰余乗算Ｑ＝Ａ・
Ｂ mod Ｎを利用して、通信内容の暗号化または復号を
行なう暗号通信方法において、Ｎと素である整数Ｒを用
いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎを演
算してその結果をＡ_R とする演算工程と、入力されたＢ
及び前記ＲよりＢ・Ｒ mod Ｎを演算してその結果をＢ
_R とする演算工程と、前記演算結果Ａ_R 、Ｂ_R 及び前記
Ｒに基づき、Ａ_R・Ｂ_R ・Ｒ^-1 mod Ｎを求めてその結果
をＴ_R とする演算工程と、前記Ｔ_R と前記ＲとによりＴ
_R・Ｒ^-1 mod Ｎを演算し、その結果としてＱを求める演
算工程とを有し、前記Ｔ_R を求める演算工程に、Ａ_iを
任意の整数ｖによる前記Ａ_R のｖビット毎の分割、Ｙ＝
２^v として、Ｔ_i ＝( Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）＋Ｍ_i・ＮＭ_i-1 ＝((Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行する演算工程を具える。

【００２３】

【作用】入力データＵ、Ｖに対して、Ｎと素である整数
Ｒを用いて、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して出力
する１つ以上の演算部に対して、Ａと、Ｒ_R ＝Ｒ² mod
Ｎなる定数Ｒ_R とを入力して、Ａ_R ＝Ａ・Ｒ_R・Ｒ^-1 mod
Ｎを出力させ、Ｂと、前記定数Ｒ_R とを入力して、Ｂ_R
＝Ｂ・Ｒ_R・Ｒ^-1 mod Ｎを出力させ、出力された前記Ａ
_R と前記Ｂ_R とを入力して、Ｔ_R ＝Ａ_R・Ｂ_R ・Ｒ^-1 mod
Ｎを出力させ、出力された前記Ｔ_R と定数１とを入力
して、Ｔ_R・１・Ｒ^-1 mod ＮをＱとして出力させること
により、前記剰余乗算Ｑ＝Ａ・Ｂ mod Ｎを実行する。

【００２４】入力データＵ、Ｖに対して、Ｎと素である
整数Ｒを用いて、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して
出力する１つ以上の演算部に対して、Ｍと、Ｒ_R ＝Ｒ²
modＮなる定数Ｒ_R とを入力して、Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1
modＮを出力させ、ｅの２進表現をｅ＝〔ｅ^t,ｅ^t-1,…,
ｅ¹ 〕とし、Ｃ_R の初期値をＣ_R ＝Ｒ_R・Ｒ^-1 modＮと
して、順次高位ビットからのｅⁱ の値に従って、ｅⁱ ＝
１なるときに、前記演算部に対してＣ_R とＭ_R とを入力
して、Ｃ_R・Ｍ_R・Ｒ^-1 modＮを新たなＣ_R として出力さ
せ、更に、前記ｅⁱ におけるｉが１より大なるときに
は、前記演算部に対して２つの入力データとして共にＣ
_R を入力して、Ｃ_R・Ｃ_R・Ｒ^-1 mod Ｎを新たなＣ_R とし
て出力させ、全ての前記ｅⁱ に対する処理の終了後に、
前記演算部に対してＣ_R と定数１とを入力して、Ｃ＝Ｃ
_R・１・Ｒ^-1 mod Ｎを出力させることにより、前記べき
乗剰余演算Ｃ＝Ｍ^e mod Ｎを実行する。

【００２５】入力データＵ、Ｖに対して、Ｎと素である
整数Ｒを用いて、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して
出力する１つ以上の演算部に対して、Ｍと、Ｒ_R ＝Ｒ²
modＮなる定数Ｒ_R とを入力して、Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1
modＮを出力させ、ｅの２進表現をｅ＝〔ｅ^t,ｅ^t-1,…,
ｅ¹ 〕とし、Ｃ_R の初期値をＣ_R ＝Ｒ_R・Ｒ^-1 modＮと
して、順次低位ビットからのｅⁱ の値に従って、ｅⁱ ＝
１なるときに、前記演算部に対してＣ_R とＭ_R とを入力
して、Ｃ_R・Ｍ_R・Ｒ^-1 modＮを新たなＣ_R として出力さ
せ、更に、前記ｅⁱ におけるｉがｔより小なるときに
は、前記演算部に対して２つの入力データとして共にＭ
_R を入力して、Ｍ_R・Ｍ_R・Ｒ^-1 mod Ｎを新たなＭ_R とし
て出力させ、全ての前記ｅⁱ に対する処理の終了後に、
前記演算部に対してＣ_R と定数１とを入力して、Ｃ＝Ｃ
_R・１・Ｒ^-1 mod Ｎを出力させることにより、前記べき
乗剰余演算Ｃ＝Ｍ^e mod Ｎを実行する。

【００２６】入力された整数Ａ、Ｂに対するＮを法とし
た剰余乗算Ｑ＝Ａ・Ｂ mod Ｎを、Ｎと素である整数Ｒ
を用いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎ
を演算してその結果をＡ_R とし、入力されたＢ及び前記
ＲよりＢ・Ｒ mod Ｎを演算してその結果をＢ_R とし、
前記演算結果Ａ_R 、Ｂ_R 及び前記Ｒに基づき、Ａ_R・Ｂ_R
・Ｒ^-1 mod Ｎを求めてその結果をＴ_R とし、前記Ｔ_R
と前記ＲとによりＴ_R・Ｒ^-1 mod Ｎを演算し、その結果
としてＱを求めるようにし、前記Ｔ_R を求める演算を、
Ａ_i を任意の整数ｖによる前記Ａ_R のｖビット毎の分
割、Ｙ＝２^v として、Ｔ_i ＝( Ｔ_i-1 ＋Ａ_i・Ｂ_R・Ｙ＋Ｍ_i-1・Ｎ)/ＹＭ_i-1 ＝( Ｔ_i-1 mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行する。

【００２７】入力された整数Ａ、Ｂに対するＮを法とし
た剰余乗算Ｑ＝Ａ・Ｂ mod Ｎを、Ｎと素である整数Ｒ
を用いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎ
を演算してその結果をＡ_R とし、入力されたＢ及び前記
ＲよりＢ・Ｒ mod Ｎを演算してその結果をＢ_R とし、
前記演算結果Ａ_R 、Ｂ_R 及び前記Ｒに基づき、Ａ_R・Ｂ_R
・Ｒ^-1 mod Ｎを求めてその結果をＴ_R とし、前記Ｔ_R
と前記ＲとによりＴ_R・Ｒ^-1 mod Ｎを演算し、その結果
としてＱを求めるようにし、前記Ｔ_R を求める演算を、
Ａ_i を任意の整数ｖによる前記Ａ_R のｖビット毎の分
割、Ｙ＝２^v として、Ｔ_i ＝( Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）＋Ｍ_i・ＮＭ_i-1 ＝((Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行する。

【００２８】

【実施例】以下、Ｎを法とする剰余乗算を、Ｎと素であ
る整数Ｒを用いた値に対する剰余乗算として、モンゴメ
リーによって提案された手法（モンゴメリー法）を例に
とり説明を行う。まず、べき乗剰余演算及び剰余乗算を
用いる暗号システムについて示し、次にモンゴメリー法
を用いたべき乗剰余演算及び剰余乗算を行う場合の前後
の処理法とモンゴメリー法を用いた剰余乗算の入出力の
整合性について示す。さらに、モンゴメリー法を実行す
るＰＥを示し、それを複数並列に用いることによってべ
き乗剰余演算及び剰余乗算を効率的に実行する回路を示
す。

【００２９】〔暗号システム〕まず、図１に示すｎ対ｎ
の通信系における暗号システムについて説明する。図１
における結線はローカルエリアネットワーク（ＬＡＮ）
のような局所的な通信網、または電話回線のような大域
的な通信網を表す。ここで、Ａ〜Ｚは利用者であり、そ
れぞれに通信網につながるための通信機（通信端末）Ｔ
が割り当てられている。暗号装置は、入力された情報を
暗号化して出力するものであり、例えば、その通信機Ｔ
に内臓させ、通信機Ｔが暗号化情報を出力する構成とし
てもよいし、通信機Ｔと通信網の間に挿入させて、通信
機Ｔの出力を暗号化して通信網に出力するようにしても
よい。また、通信機に接続され、通信機に情報を出力す
る装置に内臓させることもできる。また、暗号装置が通
信機に常時接続されていなくても、ＩＣカードのような
携帯用の装置に暗号装置を内蔵し、必要なときに通信機
または通信機に接続された装置と接続する構成としても
よい。このような暗号装置によって、秘密通信や認証通
信及び鍵共有，零知識証明などの暗号通信を行うことが
できる。

【００３０】このような暗号装置で必要となる、剰余乗
算回路またはべき乗剰余演算回路の例としては、平文Ｍ
を入力し、ｅ及びＮを他の入力または記憶された値とし
て、暗号Ｃ＝Ｍ^e mod Ｎを出力するべき乗剰余演算回路
を考えることができる。この場合、べき乗剰余演算回路
が暗号装置そのものとなる。秘密通信の場合、同様の暗
号装置により、逆演算Ｍ＝Ｃ^d mod Ｎによって復号を行
うこともある。また、剰余乗算回路またはべき乗剰余演
算回路を暗号装置の一部として、暗号装置への外部から
の入力あるいは暗号装置内の他の処理部の処理結果をこ
の回路に入力して、演算を実行し、演算結果を暗号装置
の外部への出力あるいは暗号装置内の他の処理部に対す
る入力とする構成をとることもできる。

【００３１】また、記憶媒体へのアクセスを通信と見な
した場合は、磁気ディスク等のような記憶媒体と、この
記録媒体へのアクセス装置が通信機に相当し、通信系と
同様に記憶系においても本発明による回路を用いた暗号
装置によって、暗号システムを利用することができる。

【００３２】〔モンゴメリーの剰余乗算〕次の定理がモ
ンゴメリーによって導かれた。

【００３３】定理１：ＮとＲを互いに素な整数、Ｔを任
意の整数とし、Ｎ' ＝−Ｎ^-1 mod Ｒとし、Ｍ＝Ｔ・
Ｎ' mod Ｒとするとき、次の関係を満足する。

【００３４】（Ｔ＋Ｍ・Ｎ）／Ｒ＝Ｔ・Ｒ^-1 mod Ｎ（１）証明：略従って、剰余乗算：Ｑ＝Ａ・Ｂ mod Ｎを実行する場
合、Ｎに対して素である整数Ｒを用いて次のようにして
行うことができる。

【００３５】Ａ_R ＝Ａ・Ｒ mod Ｎ（２）Ｂ_R ＝Ｂ・Ｒ mod Ｎ（３）Ｔ＝Ａ_R・Ｂ_R （４）Ｔ_R ＝Ｔ・Ｒ^-1 mod Ｎ＝（Ｔ＋Ｍ・Ｎ）／Ｒ（５）Ｑ＝Ｔ_R・Ｒ^-1 mod Ｎ（６）ここで、式（４），（５）の演算をモンゴメリーの剰余
乗算と呼ぶとすると、モンゴメリーの剰余乗算は次のよ
うに表すことができる。

【００３６】Ｔ_R ＝Ａ_R・Ｂ_R・Ｒ^-1 mod Ｎ＝（Ａ_R・Ｂ_R ＋Ｍ・Ｎ）／Ｒ（７）ただし、Ｍ＝Ａ_R・Ｂ_R・Ｎ' mod Ｒ（８）モンゴメリーの剰余乗算においてＮが奇数の場合、Ｒ＝
２ⁿ （ｎは任意の整数）と選べば、ＲはＮに対して素な
整数になる。この場合、Ｒによる除算はビットシフトの
みで済むので、式（５）または式（７）のモンゴメリー
の剰余乗算は乗算のみによって実行できる。

【００３７】このとき、式（２），（３）及び（６）の
前後の処理もまたモンゴメリーの剰余乗算によって次の
ように実行できる。

【００３８】Ａ_R ＝Ａ・Ｒ mod Ｎ＝Ａ・Ｒ_R・Ｒ^-1 mod ＮＢ_R ＝Ｂ・Ｒ mod Ｎ＝Ｂ・Ｒ_R・Ｒ^-1 mod ＮＱ＝Ｔ_R・Ｒ^-1 mod Ｎ＝Ｔ_R・１・Ｒ^-1 mod Ｎただし、Ｒ_R ＝Ｒ² mod ＮＲ_R はＮによって一意に定まる値であるので、Ｎを定め
たときに定まり、定数として扱うことができる。従っ
て、図２に示すようにＺ＝Ｘ・Ｙ・Ｒ^-1 mod Ｎを実行
する演算回路を用いて、式（２）〜（６）の演算が共通
に実行でき、求める剰余乗算：Ｑ＝Ａ・Ｂ mod Ｎが演
算される。図２は入力組（Ａ，Ｒ_R ），（Ｂ，Ｒ_R ），
（Ａ_R ，Ｂ_R ），（Ｔ_R ，１）に対する出力が各々Ａ
_R ，Ｂ_R ，Ｔ_R ，Ｑであることを示している。

【００３９】〔モンゴメリーのべき乗剰余演算１〕ま
た、モンゴメリー法を用いて、べき乗剰余演算：Ｃ＝Ｍ
^e mod Ｎも次のようにして実行される。

【００４０】ＩＮＰＵＴＭ，ｅ，Ｎ，Ｒ_R Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1 mod Ｎ（９）Ｃ_R ＝１・Ｒ_R・Ｒ^-1 mod Ｎ（１０）ＦＯＲｉ＝ｔＴＯ１ＩＦｅ_i ＝１ＴＨＥＮＣ_R ＝Ｃ_R・Ｍ_R・Ｒ^-1 mod Ｎ（１１）ＩＦｉ＞１ＴＨＥＮＣ_R ＝Ｃ_R・Ｃ_R・Ｒ^-1 mod Ｎ（１２）ＮＥＸＴＣ＝Ｃ_R・１・Ｒ^-1 mod Ｎ（１３）従って、べき乗剰余演算もモンゴメリーの剰余乗算のみ
によって実行できる。なお、式（１０）に示すＣ_R の初
期値は、Ｒ_R とＮによって定まるので定数として扱うこ
ともできる。以後、このようにモンゴメリーの剰余乗算
のみを用いたべき乗剰余演算をモンゴメリーのべき乗剰
余演算と呼ぶ。

【００４１】ここで、以上のように、モンゴメリーのべ
き乗剰余演算を実行する場合、１つの演算結果を次の演
算の入力として乗算を繰り返すので、各乗算を同一の回
路構成で実現しようとするとき、出力の最大ビット数が
入力の最大ビット数を越えてしまうと実現が困難とな
る。

【００４２】そこで、式（７）のモンゴメリーの剰余乗
算において、入力と出力の最大ビット数が等しくなるた
めの条件を以下に考察する。

【００４３】定理２：式（７），（８）においてＡ_R ＜
２^n+u ，Ｂ_R ＜２^n+u ，Ｎ＜２ⁿ ，Ｒ＝２ⁿ⁺ ^r としたと
き、Ｔ_R ＜２^n+u となるためには、ｕ＝１かつｒ＞１、
または、ｕ＞１かつｒ＝ｕ＋１ならば十分である。

【００４４】証明：Ｒ＝２^n+r とすると式（８）よりＭ＜２^n+r ．Ａ_R ＜２^n+u ，Ｂ_R ＜２^n+u ，Ｎ＜２ⁿ とすると、Ａ_R・Ｂ_R ＜２^2(n+u)，Ｍ・Ｎ＜２^2n+r．キャリーによる桁上がりを考慮して、Ａ_R・Ｂ_R ＋Ｍ・Ｎ＜max （２^2(n+u)+1，２^2n+r+1）．よって、Ｔ_R ＜max （２^n+2u+1-r，２ⁿ⁺¹ ）．従って、２^n+2u+1-r≦２ⁿ⁺¹ の場合：Ｔ_R ＜２ⁿ⁺¹ ． ∴ ｕ＝１，ｒ＞１（１４）２^n+2u+1-r＞２ⁿ⁺¹ の場合：Ｔ_R ＜２^n+2u+1-r． ∴ ｕ＞１，ｒ＝ｕ＋１（１５）ただし、max （Ａ，Ｂ）はＡ，Ｂのうち大きい方を選択
する関数である。

【００４５】このとき、式（１４），（１５）の条件を
満足していればモンゴメリーのべき乗剰余演算はすべて
モンゴメリーの剰余乗算の単純な繰り返しによって実現
することができる。従って、図３に示すように式（９）
〜（１３）に対してセレクタＳによって入力を選択する
だけでべき乗剰余演算が実行できる。

【００４６】なお、図３の回路で、２つのセレクタＳ
は、選択可能なフィードバック入力として、一方にＣ
_R 、他方にＣ_R ，Ｍ_R を一時蓄えるメモリを具えるもの
とする。このようなメモリは、２つのセレクタＳの前に
設けて、両セレクタＳが共通に利用できるようにしても
よいことはもちろんである。また、このようなセレクタ
Ｓにおける入力の切換のためには、例えば、ｅをシフト
レジスタに記憶させ、ｅ_iを上位ビットから順次出力さ
せ、その出力を受けて、ｅ_i ＝１であるか、およびｉ
＞１であるかの判定を行い、切換信号を出力する制御部
（論理回路やカウンタなどにより構成できる）を設けれ
ばよい。

【００４７】このとき、式（１４），（１５）の条件を
満足していればモンゴメリーのべき乗剰余演算はすべて
モンゴメリーの剰余乗算の単純な繰り返しによって実現
することができる。ただし、式（１４），（１５）から
ｕ＞０であるので、演算結果であるＣだけは、Ｃ＜Ｎと
なるように補正しなければならない。

【００４８】従来のイブンの手法では、このような補正
をモンゴメリーの剰余乗算を行う度に行わなければなら
ないが、本方式はモンゴメリーのべき乗剰余演算の終了
後に１度だけ補正を行えばよい。また、この補正は簡単
な処理であるので、以下に示すモンゴメリーのべき乗剰
余演算のための回路規模や処理速度に比べてほとんど影
響しない。

【００４９】〔モンゴメリーのべき乗剰余演算２〕ま
た、べき乗剰余演算：Ｃ＝Ｍ^e mod Ｎは次のようにして
も実行できる。

【００５０】ＩＮＰＵＴＭ，ｅ，Ｎ，Ｒ_R Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1 mod ＮＣ_R ＝１・Ｒ_R・Ｒ^-1 mod ＮＦＯＲｉ＝１ＴＯｔＩＦｅⁱ ＝１ＴＨＥＮＣ_R ＝Ｃ_R・Ｍ_R・Ｒ^-1 mod
ＮＩＦｉ＜ｔＴＨＥＮＭ_R ＝Ｍ_R・Ｍ_R・Ｒ^-1 mod
ＮＮＥＸＴＣ＝Ｃ_R・１・Ｒ^-1 mod Ｎこの場合も、式（１４），（１５）の条件を用いればモ
ンゴメリーの剰余乗算の単純な繰り返しによってＣが演
算できることは明らかである。また、図３の回路で、２
つのセレクタＳがそれぞれＣ_R ，Ｍ_R を選択可能とする
と共に、２つのセレクタＳが、ともにＭ_R を選択可能と
するだけで、同様にべき乗剰余演算が実行できることは
明らかである。

【００５１】以上によって、べき乗剰余演算及び剰余乗
算が式（１６）を演算する演算回路のみによって実行で
きることが示された。

【００５２】Ｚ＝Ｘ・Ｙ・Ｒ^-1 mod Ｎ（１６）また、これを式（７）に示すモンゴメリーの剰余乗算を
用いて演算する場合には、式（１４），（１５）の条件
を満足する入力値を用いることによって、モンゴメリー
の剰余乗算の単純な繰り返しによって剰余乗算及びべき
乗剰余演算が実行できることも示された。

【００５３】式（１６）または式（７）は整数演算であ
るので、その演算回路及び方法は種々の手法によって実
現できる。例えば、ＣＰＵ等を用いれば簡単に実現でき
ることは明らかである。

【００５４】従って、式（１６）または式（７）を実行
する共通の演算回路及び方法によって、剰余乗算及びべ
き乗剰余演算を用いた種々の暗号システムが効率的に構
成できる。

【００５５】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例１〕Ｔ_R ＝Ａ_R・Ｂ_R・Ｒ^-1 mod Ｎ（Ａ_R ，
Ｂ_R ＜２^n+u ，Ｒ＝２^n+r ，Ｎ＜２ⁿ 整数，ｕ，ｒは式
（１４），（１５）の条件を満たす）の剰余乗算を考え
る。Ａ_Rをｖビット毎、Ｂ_R ，Ｎ，Ｔ_R をｄビット毎に
分割すると、次のように表せる。ただし、ｎ＋ｒ≦ｍ・
ｄ，ｎ＋ｒ≦ｋ・ｖ，Ｘ＝２^d ，Ｙ＝２^v （ｖ≦ｄ）。

【００５６】Ａ_R ＝Ａ_k-1・Ｙ^k-1+Ａ_k-2・Ｙ^k-2+・・・+Ａ₁・Ｙ+ Ａ₀ Ｂ_R ＝Ｂ_m-1・Ｘ^m-1+Ｂ_m-2・Ｘ^m-2+・・・+Ｂ₁・Ｘ+ Ｂ₀ Ｎ＝Ｎ_m-1・Ｘ^m-1+Ｎ_m-2・Ｘ^m-2+・・・+Ｎ₁・Ｘ+ Ｎ₀ Ｔ_R ＝Ｔ_m-1・Ｘ^m-1+Ｔ_m-2・Ｘ^m-2+・・・+Ｔ₁・Ｘ+ Ｔ₀ （１７）ここで、Ａ_i(i=0,…,k-1，n+u ＜i でＡ_i ＝０) はＡ_R
を下位桁からｖビット毎に分割したビット系列を表し、
Ｂ_j ，Ｎ_j ，Ｔ_j(j=0,…,m-1) は各々Ｂ_R ，Ｎ，Ｔ_R に
ついて下位桁からｄビット毎に分割したビット系列を表
す。この場合、モンゴメリーの剰余乗算は次の演算をi=
0 からk まで繰り返すことよって求められる。ただし、
Ｔ__iはｉ回目の演算におけるＴ_R の値を意味し、式（１
６）におけるＴ_i とは異なる。

【００５７】Ｔ__i＝( Ｔ__i-1＋Ａ_i・Ｂ_R・Ｙ＋Ｍ_i-1・Ｎ)/Ｙ（１８）ただし、Ｍ_i-1 ＝( Ｔ__i-1 mod Ｙ)・Ｎ₀' mod Ｙ，Ｔ
__-1 ＝０，Ｎ₀'＝Ｎ'mod Ｙこの演算を並列処理で実現するために、Ｂ_R ，ＮをＢj
，Ｎj を用いて表すと次のようになる。

【００５８】アルゴリズム１：ＦＯＲｉ＝０ＴＯｋＭ_i-1 ＝dw_v （dw_v （Ｔi-1,0 ）・Ｎ₀'）ＦＯＲｊ＝０ＴＯｍ−１Ｒ_i,j ＝Ｔ_i-1,j ＋Ｌ_i-2,j+1・Ｘ/ Ｙ² ＋Ｙ・Ａ_i・Ｂ_j
＋Ｍ_i-1・Ｎ_j Ｌ_i,j ＝dw_v （Ｒ_i,j ）Ｔ_i,j ＝（Ｒ_i,j −Ｌ_i,j ）／ＹＮＥＸＴＮＥＸＴただし、dw_d （Ｚ）＝Ｚ mod ２^d up_d （Ｚ）＝（Ｚ−dw_d （Ｚ））／２^d T_i,j ，Ｌ_i,j の初期値は全て０アルゴリズム１において、Ｙ・Ａ_i・Ｂ_j ，Ｌ_i-2,j+1・Ｘ
/ Ｙ² ，およびＴ_i,j＝（dw_d+v （Ｒ_i,j ）−Ｌ_i,j ）
／Ｙ等の定数Ｘ＝２^d ，Ｙ＝２^v による乗除算は他の値
に対してビットをずらすことによって実現される。従っ
て、Ｔ_i,j に関する演算はＲ_i,j のＬＳＢに対してｖビ
ット目からｄ＋ｖ−１ビット目までの値をＴ_i,j とする
ことを意味する。ただし、Ｌ_i,j はＲ_i,j のＬＳＢから
ｖ−１ビット目までの値である。このようにＴ_i,j を得
るための１／Ｙ演算をＲ_i,j 毎の下位へのビットシフト
によって実現しているので、Ｌ_i-2,j+1 はＲ_i,j を演算
するときに用いられ、Ｘ/ Ｙ² によって桁を合わせて演
算される。

【００５９】図２はアルゴリズムを行う回路である。
アルゴリズム１においてｉはクロックを意味し、ｊは図
３におけるレジスタ（Ｒ）の位置に対応し、右から左に
Ｒ_i,0 からＲ_i,m-1 のレジスタを示す。

【００６０】以下、簡単のためにｖ＝１の場合について
図２の回路と動作を説明する。図２においてＢ_j ，Ｎ
_j(j=0,…,m-1) 及びＮ₀'は、各々に記された値を乗数と
して持つｄビットの乗算器を示し、ｄ個のアンドによっ
て実現できる。Ｎが奇数であれば、Ｎ₀'＝１であるの
で、Ｍ_i-1 を演算する乗算器は省略でき、Ｔ_i-1,0 のＬ
ＳＢをとして出力する。また、＋で示される加算器の入
力及び出力は次のようになる。下部の乗算器からの出力
Ｍ_i-1・Ｎ_j はｄビット、上部の乗算器からの出力Ａ_i・Ｂ
_j もｄビットであるが、その値を２倍するためにＭ_i-1・
Ｎ_j に対して１ビット上位桁にシフトして入力する。レ
ジスタからの入力Ｔ_i-1,_j は、Ｒ_i-1,_j のＬＳＢから２
ビット目からを１ビット下位にシフトさせ、Ｍ_i-1・Ｎ_j
と同位の値として入力する。Ｌ_i-2,j+1・２^d-2 は２つ前
のＰＥからの１ビット出力Ｌ_i-2,j+1をＭ_i-1・Ｎ_j のＬ
ＳＢからｄ−１ビット目に入力することを意味する。こ
の場合、Ｔ_i-1,_j ＜２^d+2 であれば、加算器からの出力
はｄ＋３ビットとなる。従って、加算器からの出力を受
けるレジスタは各々ｄ＋３ビットレジスタとなる。

【００６１】以上のようにして、図４の回路で式（１
８）の演算が実行でき、Ａ₀ からＡ_Ｋまで入力すること
によってモンゴメリーの剰余乗算が実行できる。

【００６２】また、図２はｖ＝１として説明したが、ｖ
≦ｄであるｖに対しても同様の手法によってモンゴメリ
ーの剰余乗算を実行できることは明らかである。

【００６３】本実施例によるモンゴメリーの剰余乗算回
路は非常に小さな回路規模で、高速処理を実現する。

【００６４】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例２〕この演算をシストリックアレイで実現
するために、Ｂ_Ｒ，ＮをＢ_j ，Ｎ_j を用いて表すと次
のようになる。

【００６５】アルゴリズム２：ＦＯＲｉ＝０ＴＯｋＭ_i-1 ＝dw_v (dw_v（Ｔ_i-1,0 ）・Ｎ₀'）ＦＯＲｊ＝０ＴＯｍ−１Ｒ_i,j ＝Ｔ_i-1,_j ＋Ｃ_i,_j-1+Ｌ_i-2,j+1・Ｘ/ Ｙ²+Ｙ・Ａ
_i・Ｂ_j ＋Ｍ_i-1・Ｎ_j Ｌ_i,j ＝dw_v （Ｒ_i,j ）Ｔ_i,j ＝（dw_d+v （Ｒ_i,j ）−Ｌ_i,j ）／ＹＣ_i,j ＝up_d+v （Ｒ_i,j ）ＮＥＸＴＮＥＸＴただし、dw_d （Ｚ）＝Ｚ mod ２^d up_d （Ｚ）＝（Ｚ−dw_d （Ｚ））／２^d Ｔ_i,j ，Ｃ_i,j ，Ｌ_i,j の初期値は全て０アルゴリズム２において、Ｃ_i,j-1 は桁上がりとしてＲ
_i,j を演算する時に用いられる。また、Ｙ・Ａ_i・Ｂ_j ，
Ｌ_i-2,j+1・Ｘ/ Ｙ² ，およびＴ_i,j ＝（dw_d+v（Ｒ
_i,j ）−Ｌ_i,j ）／Ｙ等のＸ，Ｙを定数としてもつ演算
は他の値に対してビットをずらすことによって実現され
る。従って、Ｔ_i,j に関する演算はＲ_i,j ＬＳＢに対し
てｖビット目からｄ＋ｖ−１ビット目までの値をＴ_i,j
とすることを意味する。

【００６６】ただし、Ｌ_i,j はＲ_i,j のＬＳＢからｖ−
１ビット目までの値である。このようにＴ_i,j を得るた
めの１／Ｙ演算をＲ_i,j 毎の下位へのビットシフトによ
って実現しているので、Ｌ_i-2,j+1 はＲ_i,j を演算する
ときに用いられ、Ｘ/ Ｙ² によって桁を合わせて演算さ
れる。

【００６７】図５はアルゴリズム２においてＲ_i,j ，Ｌ
_i,j ，Ｔ_i,j ，Ｃ_i,j を演算する回路である。図６は図
５の回路を１つのＰＥ（プロセッシング・エレメント）
として、それを縦列に接続したシストリックアレイであ
る。アルゴリズム２において、ｊはクロックを意味し、
ｉは図６におけるＰＥの位置に対応し、左から右にｉ＝
０（＃１）からｉ＝ｋ（＃ｋ＋１）のＰＥを示す。

【００６８】図６において＃ｉ＋１番目のＰＥはＡ_i(i=
0,…,k) の値が内部レジスタに設定されており、ＰＥ間
はＢ_inとＢ_out ，Ｄ_inとＤ_out ，Ｔ_inとＴ_out ，Ｌ_inと
Ｌ_out ，Ｍ_inとＭ_out ，Ｎ_inとＮ_out が各々接続されて
いる。また、＃１のＰＥのＢ_in，Ｎ_inには各々Ｂ_j ，Ｎ
_j(j=0,…,m-1) が下位桁から順に入力され、Ｄ_in，
Ｔ_in，Ｌ_in，Ｍ_inの入力には各々０が設定されている。

【００６９】以下、簡単のために、ｖ＝１の場合につい
て図５の回路と動作を説明する。図５において×は乗算
器を示し、ｄ個のアンドによって実現できる。Ｒ１〜Ｒ
３は各々Ａ_i ，Ｍ_i-1 ，Ｎ₀'を保持する１ビットレジス
タである。Ｎが奇数であれば、Ｎ₀'＝１であるのでを演
算する乗算器とＮ₀'を保持するＲ３は省略され、Ｒ２は
Ｔ_i-1,₀ のＬＳＢをとして保持する。また、Ｒ４，Ｒ５
はＢ_in，Ｎ_inからの入力を１クロック遅らせて次のＰＥ
に送るためのｄビットレジスタである。＋で示される加
算器の入力及び出力は次のようになる。下部の乗算器か
らの出力Ｍ_i-1・Ｎ_j はｄビット、上部の乗算器からの出
力Ａ_i・Ｂ_j もｄビットであるが、その値を２倍するため
にＭ_i-1・Ｎ_j に対して１ビット上位桁にシフトして入力
する。前ＰＥからの入力Ｔ_i-1,_j は、Ｒ_i-1,_j のＬＳＢ
から２ビット目からｄ＋１ビット目までのｄビットを１
ビット下位にシフトさせ、Ｍ_i-1・Ｎ_j と同位の値として
入力する。Ｌ_i-2,j+1・２^d-2 は２つ前のＰＥからの１ビ
ット出力Ｌ_i-2,j+1 をＭ_i-1・Ｎ_j のＬＳＢからｄ−１ビ
ット目に入力することを意味する。この場合、桁上がり
ビットであるＣ_i,j-1 はＣ_i,j-1 ＜２^d+2 であれば、加
算器からの出力はｄ＋３ビットとなるので、Ｃ_i,j-1 は
２ビットの値となる。従って、加算器からの出力を受け
るＲ６はｄ＋３ビットレジスタとなる。

【００７０】以上により、図５のＰＥ１つで式（１８）
の演算を実行できることがわかる。このＰＥを図６のよ
うにｋ＋１個パイプライン状に接続し、クロックに同期
させて動作させることによってモンゴメリーの剰余乗算
が高速に実行できる。

【００７１】ただし、図６のアレイからの最終出力はｋ
＋１番目のＰＥからの出力Ｔ_k,j Ｌ_k,j と、ｋ番目のＰ
Ｅからの出力Ｌ_k-1,j+1 に分離されているので、アルゴ
リズム２の処理の後、次のような演算を行う。

【００７２】アルゴリズム３：ＦＯＲｊ＝０ＴＯｍ−１Ｒ_k+1,j ＝Ｔ_k,j+Ｃ_k+1,j-1+Ｌ_k-1,_j+1・Ｘ/ Ｙ² Ｔ_k+1,j ＝dw_d （Ｒ_k+1,j ）Ｃ_k+1,j ＝up_d （Ｒ_k+1,j ）Ｔ_k+2,j ＝Ｔ_k+1,j+Ｃ_k+2,j-1+Ｌ_k,j+1・Ｘ/ ＹＣ_k+2,j ＝up_d （Ｔ_k+2,j ）ＮＥＸＴここで、Ｔ_k+2,j がＴ_R を分割したビット系列Ｔ_j(j=0,
…,m-1) となる。Ｒ_k+1,j の演算はアルゴリズム２にお
いてＡ_i ＝Ｍ_i-1 ＝０とした場合の演算と同様であるの
で、図５のＰＥによって実現される。Ｔ_k+2,j の演算
は、ほぼＲ_k+1,jの演算と同様であるが、Ｔ_k+1,j ，Ｃ
_k+1,j は１／２演算が行われずＬ_k,j+1 もＬ_k-1,_j+1 に
対して１ビット上位桁で加算される。従って、図７に示
すように図５のＰＥの加算器とレジスタＲ６のＬＳＢの
下に１ビット分のハーフアダー（ＨＡ）とレジスタ（Ｒ
７）を用意し、ＨＡには前ＰＥの出力Ｒ_i-1,_j のＬＳＢ
と、Ｃ_k+2,j-1 を入力し（この時、Ｃ_k+2,j-1 は高々１
ビットの値である）、その加算結果を新たに用意したレ
ジスタへ、キャリービットを加算器へのキャリーとして
入力する。このようにすればＬ_k,j+1 は自動的に１ビッ
ト上位の桁として加算される。従って、Ｔ_k+2,j を演算
するＰＥは他のＰＥと異なるが、ｉ＝ｋ＋２の時のみ加
算器へのキャリーとしてハーフアダーからのキャリーを
選択する１ビットのセレクタを加えれば全てのＰＥを１
つのＰＥで実現できる。

【００７３】従って、Ｔ_R を得るには図６のＰＥとして
図７に示したＰＥを用い、さらに図６のアレイの後にＰ
Ｅを２個追加した計ｋ＋３個のＰＥを用いたアレイによ
ってモンゴメリーの剰余乗算が高速演算される。

【００７４】また、図５及び図７はｖ＝１として説明し
たが、ｖ≦ｄであるｖに対しても同様の手法によってモ
ンゴメリーの剰余乗算を実行できることは明かである。

【００７５】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例３〕また、次のようなシストリックアレイ
を構成することができる。式（１７）の演算を次のよう
なアルゴリズムによって実行する。

【００７６】アルゴリズム４：ＦＯＲｉ＝０ＴＯｋＭ_i-1 ＝dw_v （dw_v （Ｔ_i-1,₁ ）・Ｎ₀'）ＦＯＲｊ＝０ＴＯｍＲ_i,j ＝Ｔ_i-1,_j+1 ＋Ｃ_i,j-1 ＋Ａ_i・Ｂ_j-1 ＋Ｍ_i-1・Ｎ
_j Ｔ_i,j ＝dw_v （Ｒ_i,j ）Ｃ_i,j ＝up_v （Ｒ_i,j ）ＮＥＸＴＮＥＸＴアルゴリズム４におけるＲ_i,j 演算のアルゴリズム２と
の違いは、Ｍ_i-1・Ｎ_j対するＡ_i・Ｂ_j 及びＴ_i-1,_j の桁
の違いをビットずれではなく、用いるＢ_j 及びＴ_i,j の
ｊに関する係数をずらすことによって実現している点で
ある。従って、アルゴリズム２でビットずれのために生
じる値Ｌ_i,j はアルゴリズム４では生じない。

【００７７】アルゴリズム４のＲ_i,j ，Ｔ_i,j ，Ｃ_i,j
の演算を実行するＰＥ及びシストリックアレイを図８，
９に示す。アルゴリズム４のｊ，ｉもそれぞれ、クロッ
ク及びＰＥの位置に対応する。また、図９においても＃
ｉ＋１のＰＥにはＡ_i(i=0,…,k) の値が内部レジスタに
設定されており、ＰＥ間はＢ_inとＢ_out ，Ｔ_inとＴ
_out ，Ｍ_inとＭ_out ，Ｎ_inとＮ_out が各々接続されてい
る。また、＃１のＰＥのＴ_in，Ｍ_inの入力には各々０が
設定されているが、Ｂ_in，Ｎ_inには各々Ｂ_j ，Ｎ_j(j=0,
…,m-1) が下位桁から順に入力される。ただし、アルゴ
リズムＩの場合と異なりＢ_j はＮ_j に対して１クロック
遅れで入力される。

【００７８】以降、簡単のためにｖ＝ｄの場合について
説明する。図８において、×はｄビット・ｄビットの乗
算器を示し、＋は加算器を示す。加算器の入力及び出力
は次のようになる。上部の乗算器からの出力Ａ_i・Ｂ_j-1
と下部の乗算器からの出力Ｍ_i-1・Ｎ_j は各々２・ｄビッ
トであり、前ＰＥからの出力Ｔ_i-1,_j+1 はｄビットの値
である。従って、Ｃ_i,j-1 がＣ_i,j-1 ＜２^2・d+1 であれ
ば加算器からの出力は２・ｄ＋２ビットの値である。ま
た、Ｒ１〜Ｒ７はｄビットのレジスタであり、加算器か
らの出力を受けるＲ８は２・ｄ＋２ビットのレジスタで
ある。レジスタＲ８は、ＬＳＢからｄビット目までをＴ
_i-1,_j+1 として次のＰＥへ出力し、上位のｄ＋２ビット
をＣ_i,j-1 として加算器へフィードバックする。

【００７９】図８ではＮ_j はＢ_j に比べて１クロック前
に入力されるのでＡ_i・Ｂ_j-1 とＭ_i-1・Ｎ_j が同時に演算
される。また、Ｔ_i-1,_j+1 をＡ_i・Ｂ_j-1 及びＭ_i-1・Ｎ_j
と同時に演算するために、Ｂ_in，Ｎ_inから入力されるＢ
_j ，Ｎ_j は２クロック遅らされて次のＰＥに出力され
る。

【００８０】従って、図８のＰＥによっても式（１７）
の演算を行うことができ、図９のシストリックアレイに
よってモンゴメリーの剰余乗算が高速に実現できること
がわかる。この場合、アルゴリズムに相当する処理は
必要なく、図９に示すようにｍ＋１個のＰＥによってア
レイが構成できる。

【００８１】また、図８はｖ＝ｄとして説明したが、ｖ
＜ｄであるｖに対しても同様の手法によってモンゴメリ
ーの剰余乗算を実行できることは明らかである。

【００８２】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例４〕また、実施例３に示したアルゴリズム
４を実行する場合、Ａ_i は予めＰＥに設定している必要
はなく、図１０のようにＡ_inからＡ_i(i=0,…,k-1) を下
位桁からＮ_j に同期させて入力させ、図１１のようにＡ
_inとＡ_out を接続して次のＰＥに送る構成にしてもよ
い。この場合、Ａ_i(i=0,…,k-1) はＢ_j(j=0,…,m-1) よ
りも１クロック先に入力されるので、＃１のＰＥにおい
てＡ₀ が入力されると同時にＲ１のレジスタにＡ₀ を保
持すると、Ａ₀・Ｂ_j(j=0,…,m-1) を演算を全てのｊに対
して実行することができる。また、Ｂ_j は２クロック遅
れて次のＰＥに入力されるが、Ａ_i は１クロックしか遅
れないので、＃ｉ−１のＰＥにおいてＡ_i がＢ_j(j=0,
…,m-1) の前に入力され保持できたとすると、＃ｉのＰ
ＥではＡ_i+1 がＢ_j(j=0,…,m-1) の前に入力され保持で
きる。従って、＃ｉのＰＥにおいて無理なくＡ_i+1・Ｂ
_j(j=0,…,m-1) の演算が実行できる。従って、回路規模
及び処理速度を変えることなくアルゴリズム４を図１
０，１１のＰＥ及びシストリックアレイによっても実現
できる。

【００８３】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例５〕モンゴメリーのべき乗剰余演算は式
（１７）の演算の繰り返しによって実行できる。図１０
及び図８，１０に示したＰＥは式（１７）の演算を行う
ことができるので、図１２のようにメモリと組み合わせ
れば、１つのＰＥを( ３・ｔ／２＋２)・ｑ回（ｑはモン
ゴメリーの剰余乗算アレイを構成するために必要なＰＥ
の数で、図７のＰＥではｋ＋３個，図８，１０のではｋ
−２個）用いてモンゴメリーのべき乗剰余演算を処理で
きる。もし、ｐ個のＰＥを用いるならば、( ３・ｔ／２
＋２)・ｑ／ｐ回の繰り返しでモンゴメリーのべき乗剰余
演算を処理できる。処理速度は繰り返し回数に反比例す
るので、この方式は処理速度をＰＥの数に比例させるこ
とができ、また、ＰＥの数による処理速度の高速化また
は回路規模の小型化に対して同じ効率のべき乗剰余演算
回路を構成することができる。

【００８４】従って、図１３に示すような装置化が可能
になる。図１３において、ＳＹＭＣ（Systolic Modular
Exponentiation Chip）と表されているのは、ｐ個のＰ
Ｅを縦列接続したものをチップ化したものである。ｐは
１≦ｐ≦( ３・ｔ／２＋２)・ｑであれば任意であるの
で、任意の回路規模のチップを構成することができる。
また、ＳＹＭＣは回路構成に規則性をもつので装置化及
びチップ化が非常に行いやすい。また、処理速度はＳＹ
ＭＣの数に比例して高速化できるので、図１３に示すよ
うにＳＹＭＣを従属に接続するだけでよい。この場合、
ＳＹＭＣの処理回数を変える必要があるが、これは制御
回路を外部からプログラミング可能なＲＯＭ等によって
構成することによって容易に実現できる。

【００８５】〔モンゴメリーの剰余乗算及びべき乗剰余
演算回路のその他の実施例〕上記実施例によるアルゴリ
ズムでは１つのＰＥで行う処理は簡単な整数演算である
ので、ＰＥを別にチップ化しなくても通常のＤＳＰやＣ
ＰＵ等によってもモンゴメリーのべき乗剰余演算を簡単
に実現することができる。

【００８６】また、上記実施例はシストリックアレイを
基本としているので、回路構成が規則的であり、制御や
遅延も局所的であるのでＶＬＳＩによる実用化にも最適
である。

【００８７】また、上記実施例のＰＥを従属に接続せず
独立した演算素子として用い、よく知られたマイクロプ
ログラミング的な手法によって制御して剰余乗算及びべ
き乗剰余演算を実現することも容易である。

【００８８】また、図５，７及び図８，１０のＰＥは式
（１８）の演算を一括して実行しているが、式（１８）
を種々に分解した演算素子によって最終的に式（１８）
の演算を実行する場合も本発明は含んでいる。

【００８９】また、本発明をシストリックアレイによっ
て実行する場合、制御信号もデータと同時に入力させる
ことができ、制御信号の伝送レジスタまで含んだものを
ＰＥとすることもできる。

【００９０】以上によってシストリックアレイを用いた
べき乗剰余演算及び剰余乗算回路及び方法の構成法が示
された。この方式はイブンによる手法の欠点をすべて解
決した回路及び方法を提供する。それによって、次のよ
うな効果を持つ効率的な暗号システムを構成することが
できる。

【００９１】高速な暗号システムが必要な場合、本発明
によるべき乗剰余演算及び剰余乗算回路をＶＬＳＩ等に
よって構成すればよい。この場合、本発明によるべき乗
剰余演算及び剰余乗算回路は簡単なＰＥによる規則構造
を持ち、かつ、ＰＥの制御とＰＥ内の遅延時間は局所的
であるので、ＶＬＳＩに最適である。これによって、高
速な暗号システムが構成される。

【００９２】また、高速性よりも小型回路による暗号シ
ステムが要求される場合は、本発明によるべき乗剰余演
算及び剰余乗算回路をＰＥ数個で構成すればよい。この
場合も、ＰＥによる規則構造と制御と遅延時間の局所性
といった特徴は失われず回路化しやすい。また、ＰＥ内
で行われる演算は簡単な整数演算であるので、本発明に
よる演算手順はＣＰＵやＤＳＰ等のソフト的な手法によ
っても簡単な暗号システムを実現することができる。

【００９３】また、いくつかのＰＥからなる小型回路
（ＳＹＭＣ等）による暗号装置を構成した後で、高速性
が必要となっても図１０のように、その小型回路を縦続
に接続して行けば、回路規模に比例した高速化が実現で
きる。従って、暗号装置を作り直すことなく、継ぎ足し
て行くだけで必要に応じた高速化が簡単に行える暗号シ
ステムを実現できる。

【００９４】また、１度暗号システムを構成した後で、
暗号システムの強度を増すために演算する整数のビット
数を増す場合も、同一の回路または、ＰＥの数を増した
同様の回路によって対応することができる。これは、本
発明のべき乗剰余演算及び剰余乗算回路が回路規模と処
理回数を簡単にトレードオフできるので、演算すべき整
数のビット数の違いを処理回数の違いに帰着できるため
である。従って、システムの暗号的な強度を増す場合に
も、暗号装置をつくり直す必要がない。また、演算する
整数のビット数を減少させる場合にも、暗号装置をつく
り直すことのない暗号システムを実現することができ
る。

【００９５】以上のような効果は、特願平3-225986号で
も述べているように従来のべき乗剰余演算及び剰余乗算
による暗号装置では実現できないものである。従って、
本発明によるべき乗剰余演算及び剰余乗算回路及び方法
を用いることによって柔軟で拡張性のある暗号システム
を構成することができる。

【００９６】次に、特願平3-225986号のシストリックア
レイ（以後、アレイ０と呼ぶ）と本発明の実施例１に示
したシストリックアレイ（アレイ１），実施例２，３に
示したシストリックアレイ（アレイ２）の比較を行う。

【００９７】アレイ０は除算を伴うために剰余テーブル
（ＲＯＭ等）によって剰余演算を行うが、アレイ１，２
はすべて乗算によって剰余乗算が演算できるため１クロ
ックに必要な処理時間がアレイ０に比べて短いために高
速処理できる。また、アレイ１，２はＲＯＭ等の剰余テ
ーブルを用いず、ＡＮＤゲートのような回路規模のくす
ることができる。また、アレイ０はキャリービットの処
理のためのＰＥを必要とするが、アレイ１，２は必要と
しないので必要なＰＥの数がアレイ０に比べて少ない。
従って、同じ程度の回路規模を用いた場合、アレイ１，
２はアレイ０に対して数倍の高速処理が行える。

【００９８】また、アレイ１はアレイ０に比べてＰＥの
種類が少なく図７に示したようにＰＥを共通化しやす
い。また、アレイ２は１種類のＰＥのみで構成できる。
従って、アレイ１，２はアレイ０よりも容易に回路化す
ることができ、アレイ０より無駄のない回路を構成する
ことができる。

【００９９】また、アレイ０が剰余テーブルを用いてい
る場合、演算すべき各整数のビット数の増加に対してア
レイ１，２はアレイ０よりも柔軟性が高い。これは、ア
レイ０がＲＯＭ等の剰余テーブルを用いている場合、テ
ーブルの最大容量によって各整数のビット数が制限され
るためである。これに対し、アレイ１，２は乗算によっ
て剰余が演算されるので剰余テーブルが必要なく演算す
る整数のビット数に制限がない。ただし、演算する整数
のビット数が減少する場合（中国人の剰余定理を用いる
場合等）には、アレイ０〜アレイ２の柔軟性は同じであ
り、制限がない。よって、演算する整数のビット数の変
化に対して、アレイ１，２はアレイ０と異なり制限がな
い。従って、アレイ１，２は演算する整数のビット数の
異なる演算に対してもＳＹＭＣ等の回路を全く作り直す
必要がない。

【０１００】以上のことから、上記実施例による剰余乗
算及びべき乗剰余方式を用いた暗号装置は、上述の効果
を最も小さな回路で高速に、かつ柔軟に実現できる暗号
システムを提供することができる。

【０１０１】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例６〕ｉ回目の演算におけるＴ_R の値Ｔ_
_iを、式（１８）におけるＴ__iとは異なり、Ｔ__i＝( Ｔ__i-1／Ｙ＋Ａ_i・Ｂ_R)＋Ｍ_i・Ｎ（１９）ただし、Ｍ_i ＝((Ｔ__i-1／Ｙ＋Ａ_i・Ｂ_R) mod Ｙ)・Ｎ₀'
mod Ｙ，Ｔ__-1 ＝０，Ｎ₀'＝Ｎ' mod Ｙこの演算を複数のＰＥによる並列処理で実現するため
に、Ｂ_R ，ＮをＢ_j ，Ｎ_j に分解して次のように表す。アルゴリズム５：ＦＯＲｉ＝０ＴＯｋ−１ＦＯＲｊ＝０ＴＯｍ−１Ｓ_i,j ＝Ｔ_i-1,_j ／Ｙ＋Ａ_i・Ｂ_j ＋Ｃ_i,j-1 Ｍ_i ＝dw_v （dw_v （Ｓ_i,0 ）・Ｎ₀'）Ｒ_i,j ＝Ｓ_i,j ＋Ｍ_i・Ｎ_j ＋Ｌ_i-1,_j+1・ＸＬ_i,j ＝dw_v （Ｒ_i,j ）Ｔ_i,j ＝dw_d+v （Ｒ_i,j ）−Ｌ_i,j Ｃ_i,j ＝up_d+v （Ｒ_i,j ）ＮＥＸＴＮＥＸＴただし、dw_d （Ｚ）＝Ｚ mod ２^d up_d （Ｚ）＝（Ｚ−dw_d （Ｚ））／２^d Ｔ_i,j ，Ｃ_i,j ，Ｌ_i,j の初期値は全て０アルゴリズム５において、Ｃ_i,j-1 は桁上がりとしてＳ
_i,j を演算する時に用いられる。また、Ｌ_i-1,_j+1・Ｘ，
およびＴ_i-1,_j ／Ｙ等のＸ，Ｙを定数としてもつ演算は
他の値に対してビットをずらすことによって実現でき
る。従って、Ｔ_i,j に関する演算はＲ_i,j のＬＳＢに対
してｖビット目からｄ＋ｖ−１ビット目までの値をＴ
_i,j とすることを意味する。ただし、Ｌ_i,j はＲ_i,j の
ＬＳＢからｖ−１ビット目までの値である。このように
Ｔ_i,j を得るための１／Ｙ演算をＲ_i,j 毎の下位へのビ
ットシフトによって実現しているので、Ｌ_i-1,_j+1 はＲ
_i,j 演算するときに用いられ、Ｘによって桁を合わせて
演算される。

【０１０２】アルゴリズム５においてｉを処理回数，ｊ
をクロックと考えると各ｊに対して演算しなければなら
ないのはＳ_i,j 及びＲ_i,j のみであり（Ｌ_i,j ，Ｔ
_i,j ，Ｃ_i,j はビットシフトのみで実現される）、Ｓ
_i,j 及びＲ_i,j は次の同型の演算によって実現される。

【０１０３】ｆ＝ｄ／ｙ＋ａ・ｂ＋ｃ・ｘ（２０）ただし、ｙは２^v または１，ｘは２^d または１ｘ，ｙはビットシフトの有無であるので、式（２０）は
図１４に示すＰＥによって演算できる。

【０１０４】以下、簡単のためにｖ＝１の場合について
図１４の回路と動作を説明する。図１４において×は乗
算器を示し、ｄ個のアンドによって実現できる。Ｒ１は
ａを保持する１ビットレジスタである。Ｓ１，Ｓ２は入
力ｄ，ｃをｙまたはｘによってビットシフトさせるかど
うかを選択するセレクタである。＋で示される加算器は
乗算器からの出力ａ・ｂとセレクタからの出力ｄ／ｙ及
びｃ・ｘの加算を行いｆを演算する。Ｒ２は加算器から
の出力を保持するレジスタである。以上によって、図１
４のＰＥで式（２０）が演算できることが分かる。

【０１０５】従って、アルゴリズム５の各演算は図１５
のように図１４のＰＥを２つ組み合わせれば求めること
ができる。ただし、図１５のＢ_in，Ｎ_inには各々Ｂ_j ，
Ｎ_j(j=0,…,m-1) が下位桁から順に入力されるとする。
この場合、左のＰＥでＳ_i,jが演算され、右のＰＥでＲ
_i,j が演算される。また、ｖ＝１であるのでＮが奇数で
あれば、Ｎ₀'＝１となり、Ｓ_i,0 のＬＳＢがＭ_i とな
り、右のＰＥのレジスタＲ１に保持される。また、Ｒ
_i,j はＣ_i,j ，Ｔ_i,j ，Ｌ_i,j に分割されて表示されて
いる。よって、図１５をｋ個または図１４のＰＥを２・
ｋ個用いればアルゴリズム５が実行できることは明らか
である。以上から、図１４のＰＥによって式（１９）を
効率的に並列処理できることがわかる。

【０１０６】また、図１４，１５はｖ＝１として説明し
たが、ｖ＜ｄであるｖに対しても同様の手法によってモ
ンゴメリーの剰余乗算を実行できることは明らかであ
る。

【０１０７】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例７〕また、次のようなシストリックアレイ
を構成することができる。式（１４）の演算を次のよう
なアルゴリズムによって実行する。アルゴリズム６：ＦＯＲｉ＝０ＴＯｋＦＯＲｊ＝０ＴＯｍＳ_i,j ＝Ｔ_i-1,_j+1 ＋up_v （Ｓ_i,j-1 ）＋Ａ_i・Ｂ_j Ｍi ＝dw_v （dw_v （Ｓ_i,0 ）・Ｎ₀'）Ｒ_i,j ＝dw_v （Ｓ_i,j ）＋up_v （Ｒ_i,j-1 ）＋Ｍi・Ｎ_j Ｔ_i,j ＝dw_v （Ｒ_i,j ）ＮＥＸＴＮＥＸＴアルゴリズム６のアルゴリズム５に対する違いは、式
（１９）のＴ_i-1 ／Ｙをビットずれではなく、クロック
のずれによって実現している点である。従って、アルゴ
リズム５でビットずれのために生じる値Ｌ_i,j は、アル
ゴリズム６では生じない。

【０１０８】アルゴリズム６を実行するＰＥ及びシスト
リックアレイを図１６，１７に示す。アルゴリズム６の
ｊ，ｉもまた、それぞれがクロック及び処理回数に対応
する。また、図１７のＢ_in，Ｎ_inには各々Ｂ_j ，Ｎ_j(j=
0,…,m-1) が下位桁から順に入力される。

【０１０９】以降、簡単のためにｖ＝ｄの場合について
説明をする。まず、図１６において、×はｄビット・ｄ
ビットの乗算器を示し、＋は加算器を示す。Ｒ１はＡ_i
またはＭ_i を保持するレジスタであり、Ｒ２は加算器か
らの出力を保持するレジスタであり、そのｖビット目以
上は桁上がりとして１クロック遅れで加算器にフィード
バック入力されている。これによって、図１７では左の
ＰＥにおいてＳ_i,j が演算され、右のＰＥにおいてＲ
_i,j が演算されることがわかる。このとき、Ｍ_iは外部
にある乗算器によってＮ₀'と乗算され右のＰＥへ出力さ
れる。従って、図７のＰＥはアルゴリズム６を並列処理
によって実現するための効率的な基本演算子になってい
ることがわかる。

【０１１０】また、図１６，１７はｖ＝ｄとして説明し
たが、ｖ＜ｄであるｖに対しても同様の手法によってモ
ンゴメリーの剰余乗算を実行できることは明らかであ
る。

【０１１１】〔モンゴメリーの剰余乗算及びべき乗剰余
回路の実施例８〕モンゴメリーのべき乗剰余演算は式
（１９）の演算の繰り返しによって実行できる。図１４
及び図１６に示したＰＥは式（１９）の演算を行うこと
ができるので、図１８のようにメモリと組み合わせれ
ば、１つのＰＥを( ３・ｔ／２＋２)・ｑ回（ｑはモンゴ
メリーの剰余乗算アレイを構成するために必要なＰＥの
数で、図１４のＰＥでは２・ｋ個，図１６のＰＥでは２
・(ｋ＋１) 個）用いてモンゴメリーのべき乗剰余演算を
処理できる。もし、ｐ個のＰＥを用いるならば、( ３・
ｔ／２＋２)・ｑ／ｐ回の繰り返しでモンゴメリーのべき
乗剰余演算を処理できる。処理速度は繰り返し回数に反
比例するので、この方式は処理速度をＰＥの数に比例さ
せることができ、また、ＰＥの数による処理速度の高速
化または回路規模の小型化に対して同じ効率のべき乗剰
余演算回路を構成することができる。

【０１１２】従って、図１９に示すような装置化が可能
になる。図１９においてＭＥＣ（Modular Exponentiati
on Chip ）と表されているのは、ｐ個のＰＥを組み合わ
せてチップ化したものである。ｐは１≦ｐ≦( ３・ｔ／
２＋２)・ｑであれば任意であるので、任意の回路規模の
チップを構成することができる。また、ＭＥＣは回路構
成に規則性をもつので装置化及びチップ化が非常に行い
やすい。また、処理速度はＭＥＣの数に比例して高速化
できるので、図７に示すようにＭＥＣを複数用いればよ
い。この場合、各ＭＥＣの制御をチップ数に応じて変え
る必要があるが、これは制御回路を外部からプログラミ
ング可能なＲＯＭ等によって構成することによって容易
に実現できる。

【０１１３】〔モンゴメリーの剰余乗算及びべき乗剰余
演算回路のその他の実施例〕本発明によるアルゴリズム
では１つのＰＥで行う処理は簡単な整数演算であるの
で、ＰＥを別にチップ化しなくても通常のＤＳＰやＣＰ
Ｕ等によってもモンゴメリーのべき乗剰余演算を簡単に
実現することができる。

【０１１４】また、本発明は回路構成が規則的であり、
制御や遅延も局所的であるのでＶＬＳＩによる実用化に
も最適である。

【０１１５】また、図１４，１６のＰＥを組み合わせた
ものを１つのＰＥとして構成することも可能である。

【０１１６】以上によってＰＥを用いたべき乗剰余演算
及び剰余乗算回路及び方法の構成法が示された。それに
よって、次のような効果を持つ効率的な暗号システムを
構成することができる。

【０１１７】高速な暗号システムが必要な場合、本発明
によるべき乗剰余演算及び剰余乗算回路をＶＬＳＩ等に
よって構成すればよい。この場合、本発明によるべき乗
剰余演算及び剰余乗算回路は簡単なＰＥによる規則構造
を持つので、ＶＬＳＩに最適である。これによって、高
速な暗号システムが構成される。

【０１１８】また、高速性よりも小型回路による暗号シ
ステムが要求される場合は、本発明によるべき乗剰余演
算及び剰余乗算回路をＰＥ数個で構成すればよい。この
場合も、ＰＥによる規則構造といった特徴は失われず回
路化しやすい。また、ＰＥ内で行われる演算は簡単な整
数演算であるので、本発明による演算手順はＣＰＵやＤ
ＳＰ等のソフト的な手法によっても簡単な暗号システム
を実現することができる。

【０１１９】また、いくつかのＰＥからなる小型回路
（ＭＥＣ等）による暗号装置を構成した後で、高速性が
必要となっても図１９のように、その小型回路を複数用
いれば回路規模に比例した高速化が実現できる。従っ
て、暗号装置を作り直すことなく、回路を増して行くだ
けで必要に応じた高速化が簡単に行える暗号システムを
実現できる。

【０１２０】また、１度暗号システムを構成した後で、
暗号システムの強度を増すために演算する整数のビット
数を増す場合も、同一の回路または、ＰＥの数を増した
同様の回路によって対応することができる。これは、本
発明のべき乗剰余演算及び剰余乗算回路が回路規模と処
理回数を簡単にトレードオフできるので、演算すべき整
数のビット数の違いを処理回数の違いに帰着できるため
である。従って、システムの暗号的な強度を増す場合に
も、暗号装置をつくり直す必要がない。また、演算する
整数のビット数を減少させる場合にも、暗号装置をつく
り直すことのない暗号システムを実現することができ
る。

【０１２１】以上のような効果は、効率的に並列処理を
用いない従来のべき乗剰余演算及び剰余乗算による暗号
装置では実現できないものである。従って、本発明によ
るべき乗剰余演算及び剰余乗算回路及び方法を用いるこ
とによって柔軟で拡張性のある暗号システムを構成する
ことができる。

【０１２２】

【発明の効果】以上説明したように、本発明によれば、
べき乗剰余演算及び剰余乗算が、Ｚ＝Ｘ・Ｙ・Ｒ^-1 mod Ｎ（１６）の繰り返し演算によって実行できる。従って、必要な演
算は、同一または同型の演算回路によって実行できる。

【０１２３】また、これをモンゴメリーの剰余乗算Ｚ＝Ｘ・Ｙ・Ｒ^-1 mod Ｎ＝（Ｘ・Ｙ＋Ｓ・Ｎ）／Ｒただし、Ｓ＝Ｘ・Ｙ・Ｎ’ mod Ｎを用いて演算する場合には、条件を満足する入力値を用
いることによって、モンゴメリーの剰余乗算の単純な繰
り返しによって剰余乗算及びべき乗剰余演算が実行でき
る。

【０１２４】また、必要な演算は整数演算であるので、
その演算回路が簡単に実現できるようになった。

【０１２５】従って、共通の演算回路及び方法によっ
て、剰余乗算及びべき乗剰余演算を用いた種々の暗号シ
ステムが効率的に構成できるようになった。

【０１２６】本発明によるモンゴメリーの剰余乗算回路
は非常に小さな回路規模で、高速処理を実現する。

【０１２７】本発明によるシストリックアレイを用いた
べき乗剰余演算及び剰余乗算回路によって、次のような
効果を持つ効率的な暗号システムを構成することができ
る。

【０１２８】高速な暗号システムが必要な場合、本発明
によるべき乗剰余演算及び剰余乗算回路をＶＬＳＩ等に
よって構成すればよい。この場合、本発明によるべき乗
剰余演算及び剰余乗算回路は簡単なＰＥによる規則構造
を持ち、かつ、ＰＥの制御とＰＥ内の遅延時間は局所的
であるので、ＶＬＳＩに最適である。これによって、高
速な暗号システムが構成される。

【０１２９】また、高速性よりも回路規模の小型化が暗
号システムに要求される場合は、本発明によるべき乗剰
余演算及び剰余乗算回路をＰＥ数個で構成すればよい。
この場合も、ＰＥによる規則構造と制御と遅延時間の局
所性といった特徴は失われず回路化しやすい。また、Ｐ
Ｅ内で行われる演算は簡単な整数演算であるので、本発
明による演算手順はＣＰＵやＤＳＰ等のソフト的な手法
によっても簡単な暗号システムを実現することができ
る。

【０１３０】また、いくつかのＰＥからなる小型回路
（ＳＹＭＣ等）による暗号装置を構成した後で、高速性
が必要となっても、その小型回路を縦続に接続して行く
ことで、回路規模に比例した高速化が実現できる。従っ
て、暗号装置をまったく新たに作り直すことなく、継ぎ
足して行くだけで必要に応じた高速化が簡単に行える暗
号システムを実現できる。

【０１３１】また、回路規模と処理回数を簡単にトレー
ドオフできるので、１度暗号システムを構成した後で、
暗号システムの強度（解読に対する安全性）を高めるた
めに演算する整数のビット数を増加させる場合も、演算
すべき整数のビット数の違いを処理回数の違いに帰着で
きるため、同一の回路または、ＰＥの数を増した同様の
回路によって対応することができる。従って、この場
合、暗号装置を新たにつくり直す必要がない。また、演
算する整数のビット数を減少させる場合にも、暗号装置
をあらためてつくり直さずに対処することができる。

【０１３２】従って、本発明によるべき乗剰余演算及び
剰余乗算回路及び方法を用いることによって柔軟で拡張
性のある暗号システムを構成することができる。

【図面の簡単な説明】

【図１】暗号システムを用いる通信系の構成例を示す図
である。

【図２】本発明による剰余乗算回路の例を示す図であ
る。

【図３】本発明によるべき乗剰余演算回路の例を示す図
である。

【図４】実施例の剰余乗算回路のブロック構成図であ
る。

【図５】実施例のＰＥ（プロセッシング・エレメント）
を示す図である。

【図６】図５のＰＥを用いたシストリックアレイを示す
図である。

【図７】共通化ＰＥを示す図である。

【図８】他の実施例のＰＥを示す図である。

【図９】図８のＰＥを用いたシストリックアレイを示す
図である。

【図１０】他の実施例のＰＥを示す図である。

【図１１】図１０のＰＥを用いたシストリックアレイを
示す図である。

【図１２】ＰＥとメモリを組み合わせた回路

【図１３】ＳＹＭＣを用いたべき乗剰余演算及び剰余乗
算回路を示す図である。

【図１４】実施例２のＰＥを示す図である。

【図１５】図１４のＰＥを用いた回路を示す図である。

【図１６】実施例２のＰＥを示す図である。

【図１７】図１６のＰＥを用いた回路を示す図である。

【図１８】図１７の回路とメモリを組み合わせた回路を
示す図である。

【図１９】ＭＥＣを用いたべき乗剰余演算及び剰余乗算
回路を示す図である。

【符号の説明】

Ｔ通信端末Ｓ，ＳＬセレクタＲ，Ｒi レジスタＨハ−フアダ− ＋加算器Ｂ_i 乗算器Ｎ_i 乗算器ＰＥプロセッシング・エレメントＭＥＣべき乗剰余演算チップＳＹＭＣシストリックべき乗剰余演算チップ

Claims

【特許請求の範囲】

【請求項１】Ｎを法とする整数Ａ、Ｂの剰余乗算Ｑ＝
Ａ・Ｂ mod Ｎを利用して、通信内容の暗号化または復
号を行なう暗号通信方法において、入力データＵ、Ｖに対して、Ｎと素である整数Ｒを用い
て、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して出力する演算
部を１つ以上設け、当該演算部に対して、Ａと、Ｒ_R ＝Ｒ² mod Ｎなる定数Ｒ_R とを入力して、Ａ
_R ＝Ａ・Ｒ_R・Ｒ^-1 modＮを出力させ、Ｂと、前記定数Ｒ_R とを入力して、Ｂ_R ＝Ｂ・Ｒ_R・Ｒ^-1
mod Ｎを出力させ、出力された前記Ａ_R と前記Ｂ_R とを入力して、Ｔ_R ＝Ａ
_R・Ｂ_R ・Ｒ^-1 mod Ｎを出力させ、出力された前記Ｔ_R と定数１とを入力して、Ｔ_R・１・Ｒ
^-1 mod ＮをＱとして出力させることにより、前記剰余
乗算Ｑ＝Ａ・Ｂ mod Ｎを実行することを特徴とする暗
号通信方法。
【請求項２】Ｎを法とする整数Ｍ、ｅに関するべき乗
剰余演算：Ｃ＝Ｍ^emod Ｎを利用して、通信内容の暗号
化または復号を行なう暗号通信方法において、入力データＵ、Ｖに対して、Ｎと素である整数Ｒを用い
て、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して出力する演算
部を１つ以上設け、当該演算部に対して、Ｍと、Ｒ_R ＝Ｒ² mod Ｎなる定数
Ｒ_R とを入力して、Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1 modＮを出力させ、ｅの２進表現をｅ＝〔ｅ^t,ｅ^t-1,…, ｅ¹ 〕とし、Ｃ_R
の初期値をＣ_R ＝Ｒ_R・Ｒ^-1 mod Ｎとして、順次高位ビ
ットからのｅⁱ の値に従って、ｅⁱ ＝１なるときに、前
記演算部に対してＣ_R とＭ_R とを入力して、Ｃ_R・Ｍ_R・Ｒ
^-1 modＮを新たなＣ_R として出力させ、更に、前記ｅⁱ におけるｉが１より大なるときには、前
記演算部に対して２つの入力データとして共にＣ_R を入
力して、Ｃ_R・Ｃ_R・Ｒ^-1 mod Ｎを新たなＣ_R として出力
させ、全ての前記ｅⁱ に対する処理の終了後に、前記演算部に
対してＣ_R と定数１とを入力して、Ｃ＝Ｃ_R・１・Ｒ^-1 m
od Ｎを出力させることにより、前記べき乗剰余演算Ｃ
＝Ｍ^e mod Ｎを実行することを特徴とする暗号通信方
法。
【請求項３】Ｎを法とする整数Ｍ、ｅに関するべき乗
剰余演算：Ｃ＝Ｍ^emod Ｎを利用して、通信内容の暗号
化または復号を行なう暗号通信方法において、入力データＵ、Ｖに対して、Ｎと素である整数Ｒを用い
て、Ｚ＝Ｕ・Ｖ・Ｒ^-1mod Ｎを演算して出力する演算
部を１つ以上設け、当該演算部に対して、Ｍと、Ｒ_R ＝Ｒ² mod Ｎなる定数
Ｒ_R とを入力して、Ｍ_R ＝Ｍ・Ｒ_R・Ｒ^-1 modＮを出力させ、ｅの２進表現をｅ＝〔ｅ^t,ｅ^t-1,…, ｅ¹ 〕とし、Ｃ_R
の初期値をＣ_R ＝Ｒ_R・Ｒ^-1 mod Ｎとして、順次低位ビ
ットからのｅⁱ の値に従って、ｅⁱ ＝１なるときに、前
記演算部に対してＣ_R とＭ_R とを入力して、Ｃ_R・Ｍ_R・Ｒ
^-1 modＮを新たなＣ_R として出力させ、更に、前記ｅⁱ におけるｉがｔより小なるときには、前
記演算部に対して２つの入力データとして共にＭ_R を入
力して、Ｍ_R・Ｍ_R・Ｒ^-1 mod Ｎを新たなＭ_R として出力
させ、全ての前記ｅⁱ に対する処理の終了後に、前記演算部に
対してＣ_R と定数１とを入力して、Ｃ＝Ｃ_R・１・Ｒ^-1 m
od Ｎを出力させることにより、前記べき乗剰余演算Ｃ
＝Ｍ^e mod Ｎを実行することを特徴とする暗号通信方
法。
【請求項４】前記演算部に、定数Ｒ_R と定数１とを入
力して、出力Ｒ_R・１・Ｒ^-1 modＮをＣ_R の初期値とする
ことを特徴とする請求項２あるいは３に記載の暗号通信
システム。
【請求項５】ｎをＮ＜２ⁿ なる値とするとき、前記演
算部において、定数Ｒ、入力データＵ、Ｖが、ｕ＝１か
つｒ＞１，または、ｕ＞１かつｒ＝ｕ＋１なるｕ，ｒに
対して、Ｒ＝２^n+r 、Ｕ＜２^n+u ，Ｖ＜２^n+u を満たし
ていることを特徴とする請求項１ないし４に記載の暗号
通信システム。
【請求項６】入力された整数Ａ、Ｂに対するＮを法と
した剰余乗算Ｑ＝Ａ・Ｂ mod Ｎを利用して、通信内容
の暗号化または復号を行なう暗号通信方法において、Ｎ
と素である整数Ｒを用いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎを演算して
その結果をＡ_R とし、入力されたＢ及び前記ＲよりＢ・Ｒ mod Ｎを演算して
その結果をＢ_R とし、前記演算結果Ａ_R 、Ｂ_R 及び前記Ｒに基づき、Ａ_R・Ｂ_R
・Ｒ^-1 mod Ｎを求めてその結果をＴ_R とし、前記Ｔ_R と前記ＲとによりＴ_R・Ｒ^-1 mod Ｎを演算し、
その結果としてＱを求めるようにし、前記Ｔ_R を求める演算を、Ａ_i を任意の整数ｖによる前
記Ａ_R のｖビット毎の分割、Ｙ＝２^v として、Ｔ_i ＝( Ｔ_i-1 ＋Ａ_i・Ｂ_R・Ｙ＋Ｍ_i-1・Ｎ)/ＹＭ_i-1 ＝( Ｔ_i-1 mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行することを特徴とする暗号通信方
法。
【請求項７】前記順次演算における各１回の演算を、
１つの演算素子によって実行し、前記順次演算全体をパ
イプライン処理により実行することを特徴とした請求項
６に記載の暗号通信方法。
【請求項８】前記順次演算において、Ｙによる乗算ま
たは除算を、加算において、ビット位置をずらして加算
することにより実行することを特徴とした請求項６に記
載の暗号通信方法。
【請求項９】前記順次演算において、Ｂ_j ，Ｎ_j をそ
れぞれ任意の整数ｄによる前記Ｂ_R 、Ｎのｄビット毎の
分割として、Ａ_i・Ｂ_j-1 とＭ_i-1・Ｎ_j とを演算し、該演
算結果と前回の順次演算結果Ｔ_i-1 を加算することを特
徴とした請求項６に記載の暗号通信方法。
【請求項１０】入力された整数Ａ、Ｂに対するＮを法
とした剰余乗算Ｑ＝Ａ・Ｂ mod Ｎを利用して、通信内
容の暗号化または復号を行なう暗号通信方法において、
Ｎと素である整数Ｒを用いて、入力されたＡ及び前記ＲよりＡ・Ｒ mod Ｎを演算して
その結果をＡ_R とし、入力されたＢ及び前記ＲよりＢ・Ｒ mod Ｎを演算して
その結果をＢ_R とし、前記演算結果Ａ_R 、Ｂ_R 及び前記Ｒに基づき、Ａ_R・Ｂ_R
・Ｒ^-1 mod Ｎを求めてその結果をＴ_R とし、前記Ｔ_R と前記ＲとによりＴ_R・Ｒ^-1 mod Ｎを演算し、
その結果としてＱを求めるようにし、前記Ｔ_R を求める演算を、Ａ_i を任意の整数ｖによる前
記Ａ_R のｖビット毎の分割、Ｙ＝２^v として、Ｔ_i ＝( Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）＋Ｍ_i・ＮＭ_i-1 ＝((Ｔ_i-1 ／Ｙ＋Ａ_i・Ｂ_R ）mod Ｙ)・( −Ｎ^-1 mod Ｙ) mod Ｙの順次演算により実行することを特徴とする暗号通信方
法。