特開 2022-146493 演算装置

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022146493

(43)【公開日】2022-10-05

(54)【発明の名称】演算装置

(51)【国際特許分類】

   G09C 1/00 20060101AFI20220928BHJP

【ＦＩ】

G09C1/00 650A

【審査請求】未請求

【請求項の数】5

【出願形態】ＯＬ

(21)【出願番号】P 2021047484

(22)【出願日】2021-03-22

(71)【出願人】

【識別番号】318010018

【氏名又は名称】キオクシア株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】松井 一

(57)【要約】

【課題】より高速にスカラー倍算処理をする。
【解決手段】演算装置のコントローラは、２以上２^ｗ（１＜ｗ）未満の１つ以上の整数ａと、特定点の座標値Ｐとを乗算したａＰを算出し、ｍビットのビット列である乗算値ｋを最上位ビットから最下位ビットの順で最大ｗビットずつ読み出して、最大ｗ＋１ビットの符号付奇数ｄの列を生成し、先頭の符号付奇数ｄと、前記座標値Ｐとを乗算したｄＰを算出して変数に入力し、変数を２^ｗ倍算した値を変数へ入力する倍算処理と、２番目以降の符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出し、当該ｄＰと前記変数とを加算した結果を変数に入力する処理を所定回数ループ処理し、乗算値ｋの下位２ビットに基づいた値と座標値Ｐとを乗算した値を算出し、算出した値と、変数とを加算した値をｋＰとして出力する。
【選択図】図２

【特許請求の範囲】

【請求項1】

コントローラを備える演算装置であって、
前記コントローラは、
２以上２^ｗ（ｗは、１＜ｗを満たす整数）未満の１つ以上の整数ａと、特定点の座標値Ｐとを乗算したａＰを算出し、
ｍ（ｍは整数）ビットのビット列である乗算値ｋを最上位ビットから最下位ビットの順で最大ｗビットずつ読み出して、最大ｗ＋１ビットの符号付奇数ｄの列を生成し、
先頭の符号付奇数ｄと、前記座標値Ｐとを乗算したｄＰを算出して変数に入力し、
前記変数を２^ｗ倍算した値を前記変数へ入力する倍算処理と、２番目以降の符号付奇数ｄと、前記座標値Ｐとを乗算したｄＰを算出し、当該ｄＰと前記変数とを加算した結果を前記変数に入力する処理を所定回数ループ処理し、
前記乗算値ｋの下位２ビットに基づいた値と前記座標値Ｐとを乗算した値を算出し、算出した値と、前記変数とを加算した値をｋＰとして出力する、演算装置。

【請求項2】

前記コントローラは、
前記整数ａに関して、事前に、ａＰおよび２ａＰを算出しておき、
前記ｄＰと前記変数とを加算する際、前記ｄＰと前記変数とが同一の点を示す場合、加算結果として、２ｄＰを選択する、請求項１に記載の演算装置。

【請求項3】

前記座標値Ｐは、斉次座標およびヤコビ座標の何れかで示される、請求項１に記載の演算装置。

【請求項4】

前記コントローラは、
前処理として、前記ａＰのＺ座標について有限体上の逆元を計算し、当該Ｚ座標が単位元となるように正規化処理を実行する、請求項３に記載の演算装置。

【請求項5】

前記コントローラは、
前記ｋＰとして出力した座標値を用いて署名処理をする、請求項１に記載の演算装置。

【発明の詳細な説明】

【技術分野】

【0001】

本発明の実施形態は、演算装置に関する。

【背景技術】

【0002】

従来、楕円曲線暗号の主演算として、スカラー倍算処理がある。スカラー倍算処理は、有理点とスカラー値との乗算をする。このスカラー倍算処理において、スカラー値の最上位ビットから最下位ビット方向に演算処理をする技術がある。このスカラー倍算処理は、デジタル署名に用いられることから、高速に処理することが望まれる。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】特開２００５－３１６０３８号公報

【発明の概要】

【発明が解決しようとする課題】

【0004】

一つの実施形態は、高速にスカラー倍算処理をする演算装置を提供することを目的とする。

【課題を解決するための手段】

【0005】

一つの実施形態によれば、演算装置のコントローラは、２以上２^ｗ（１＜ｗ）未満の１つ以上の整数ａと、特定点の座標値Ｐとを乗算したａＰを算出し、ｍビットのビット列である乗算値ｋを最上位ビットから最下位ビットの順で最大ｗビットずつ読み出して、最大ｗ＋１ビットの符号付奇数ｄの列を生成し、先頭の符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出して変数に入力し、変数を２^ｗ倍算した値を変数へ入力する倍算処理と、２番目以降の符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出し、当該ｄＰと前記変数とを加算した結果を変数に入力する処理を所定回数ループ処理し、乗算値ｋの下位２ビットに基づいた値と座標値Ｐとを乗算した値を算出し、算出した値と、変数とを加算した値をｋＰとして出力する。

【図面の簡単な説明】

【0006】

【図1】図１は、実施形態にかかる演算装置が適用されたメモリシステムの構成の一例を示す図である。

【図2】図２は、実施形態にかかるメモリシステム１の機能構成の一例を示すブロック図である。

【図3】図３は、スカラー倍算の計算をする疑似コードである。

【図4】図４は、実施形態にかかる変換部による変換処理の疑似コードを示す図である。

【図5】図５は、実施形態にかかるスカラー倍算の疑似コードを示す図である。

【図6】図６は、図４および図５に示した疑似コードを組み合わせた疑似コードを示す図である。

【図7】図７は、第１実施形態に係る処理手順を示すフローチャートである。

【図8】図８は、実施形態にかかる署名生成処理手順を示すフローチャートである。

【図9】図９は、実施形態にかかる署名検証処理手順を示すフローチャートである。

【図10】図１０は、加算処理の疑似コードの例を示す図である。

【図11】図１１は、実施形態にかかる加算処理の疑似コードの例を示す図である。

【発明を実施するための形態】

【0007】

以下では、一例として、実施形態にかかる演算装置が適用されたメモリシステムについて説明する。なお、実施形態にかかる演算装置を適用できる装置はメモリシステムだけに限定されない。実施形態にかかる演算装置は、コンピュータプログラムが格納されるメモリと、当該コンピュータプログラムを実行するプロセッサと、を備えた任意の装置に適用され得る。以下に添付図面を参照して、実施形態にかかる演算装置が適用されたメモリシステムを詳細に説明する。なお、この実施形態により本発明が限定されるものではない。

【0008】

（実施形態）
図１は、実施形態にかかる演算装置が適用されたメモリシステムの構成の一例を示す図である。このメモリシステム１は、例えば、ＳＳＤ（Solid State Drive）である。以下では、不揮発性メモリとしてＮＡＮＤ型のフラッシュメモリ（以下、ＮＡＮＤメモリという）を用いる場合を例に挙げる。

【0009】

メモリシステム１は、ホスト２と接続可能に構成されている。例えばＣＰＵ（Central Processing Unit）、パーソナルコンピュータ、携帯用情報機器、サーバ、等がホスト２に該当する。メモリシステム１とホスト２との間の通信のインタフェース規格としては、任意のインタフェース規格が採用可能である。２以上のホスト２がメモリシステム１に同時に接続されてもよい。ホスト２とメモリシステム１とは、ネットワークを介して接続されてもよい。

【0010】

メモリシステム１は、ホスト２からのアクセスコマンドに応じてホスト２との間でデータの送受信を実行する。

【0011】

メモリシステム１は、ＮＡＮＤメモリ１２とメモリコントローラ１０を含む。メモリコントローラ１０は、ホストインタフェース部１１、ＮＡＮＤメモリ１２、ＮＡＮＤコントローラ１３、ＲＡＭ（Random Access Memory）１４、および制御部１５を備える。

【0012】

制御部１５は、例えば、１以上のプロセッサを含んで構成される。制御部１５は、予めメモリシステム１内の所定の位置に格納されているファームウェアを実行することによって、メモリシステム１の制御を実行する。プログラムの格納位置は任意に設計される。例えば、ファームウェアは、予めＮＡＮＤメモリ１２に格納され、起動時にＲＡＭ１４にロードされる。制御部１５は、ＲＡＭ１４にロードされたファームウェアを実行する。メモリシステム１の制御は、複数の処理によって構成される。制御部１５が実行する複数の処理のうちの一部または全部はハードウェア回路によって実現されてもよい。また、制御部１５を、ハードウェア回路である制御回路（Control Circuit）によって構成してもよい。制御部１５が実行する各処理については後述する。

【0013】

ホストインタフェース部１１は、メモリシステム１がホスト２と通信を行うためのインタフェース装置である。例えばホストインタフェース部１１は、制御部１５の制御下で、ホスト２とＲＡＭ１４との間のユーザデータの転送を実行する。

【0014】

ＮＡＮＤコントローラ１３は、ＮＡＮＤメモリ１２に対するアクセスのためのインタフェース装置である。ＮＡＮＤコントローラ１３は、制御部１５による制御下で、ＲＡＭ１４とＮＡＮＤメモリ１２との間のユーザデータまたは管理情報の転送を実行する。詳細を省略するが、ＮＡＮＤコントローラ１３は、誤り訂正処理行うことができる。

【0015】

ＮＡＮＤメモリ１２は、ストレージとして機能する不揮発性の記憶媒体である。ＮＡＮＤメモリ１２は、１以上のチップによって構成される。

【0016】

ＲＡＭ１４は、データを一時的に記憶するための記憶媒体である。ＲＡＭ１４は、メモリコントローラ１０に内蔵されてもよいし、メモリコントローラ１０の外部に搭載されてもよい。ＲＡＭ１４としては、例えば、ＮＡＮＤメモリ１２よりも高速な種類の記憶媒体が採用可能である。ＲＡＭ１４としては、例えば、揮発性または不揮発性の記憶媒体が採用可能である。ＲＡＭ１４としては、例えば、ＤＲＡＭ（Dynamic RAM）、ＳＲＡＭ（Static RAM）、ＦｅＲＡＭ（Ferroelectric RAM）、ＭＲＡＭ（Magnetoresistive RAM）、ＰＲＡＭ（Phase change RAM）などが採用可能である。

【0017】

図２は、実施形態にかかるメモリシステム１の機能構成の一例を示すブロック図である。図２に示すように、メモリシステム１は、記憶部３０と、署名処理部３１と、スカラー倍算部３２（コントローラとも称される）とを備える。

【0018】

記憶部３０は、各種情報を記憶する。記憶部３０は、例えば、秘密鍵、公開鍵、曲線係数、座標値、メッセージ、および署名情報を記憶する。記憶部３０は、ＲＡＭ１４、ＮＡＮＤメモリ１２により実現する。

【0019】

署名処理部３１は、乱数値と、座標値とを用いた署名処理をする。署名処理部３１は、制御部１５により実現する。署名処理部３１は、乱数を生成し、当該乱数値である乗算値ｋと、特定の楕円曲線に含まれる特定点の座標値Ｐとをスカラー倍算部３２に入力する。スカラー倍算部３２は、例えば、メモリコントローラ１０に含まれる。プロセッサが所定のプログラムを実行することでスカラー倍算部３２による処理が実現されてもよいし、スカラー倍算部３２が実行する処理のうちの一部または全部がハードウェア回路によって実現されてもよい。当該乗算値ｋは、ｍビットのビット列で表される。スカラーの各ビットをＭＳＢからＬＳＢの順にｋ（ｍ－１）、ｋ（ｍ－２）、…、ｋ（１）、ｋ（０）で表すことにする。また、ｋ（ｍ－１）＝１である。署名処理部３１は、スカラー倍算部３２から座標値ｋＰを取得する。署名処理部３１は、当該座標値ｋＰを用いて署名生成したり、署名検証したりする。

【0020】

なお、上記座標値Ｐは、斉次座標（プロジェクティブ座標）およびヤコビ座標の何れかで示されるものでもよい。

【0021】

スカラー倍算部３２は、特定の楕円曲線に含まれる特定点の座標値Ｐを乗算値ｋでスカラー倍算して得られる座標値ｋＰを算出する。スカラー倍算部３２は、制御部１５により実現する。スカラー倍算部３２は、署名処理部３１から座標値Ｐと、乗算値ｋとを取得し、これらの値を用いて座標値ｋＰを算出する。

【0022】

ここで、図３を用いて、一般的なスカラー倍算の方法を説明する。図３は、スカラー倍算の計算をする疑似コードである。図３に示すように、上位ビットから変数Ｑを倍算したり、ｋ（ｊ）の値に基づいて変数Ｑに座標値Ｐを加算したりする。

【0023】

この演算は、楕円曲線の点の加算や二倍算を反復計算する必要があり演算コストが非常に大きいものとなっている。また、スカラーの各ビットが０であるか１であるかに応じて点の加算を行うかどうかが決まるため、愚直な実装では全体の処理時間からスカラーに含まれる１の個数を推測することが可能になってしまうが、署名付与などのユースケースでは、スカラーの値は秘密情報であるため、セキュリティの観点からスカラーの値によらず定数時間で演算を行うことが求められる。

【0024】

また、高速かつ定数時間の処理を実現するため、スカラーを各桁が符号付非ゼロ整数となるような表現に変換するスカラー変換を行ってからスカラー倍算を行う方式が考えられる。特に、複数のビットをまとめて処理すると、高速な処理が可能である。

【0025】

スカラー変換、および、スカラー倍算では、スカラーの各ビットを順に走査するが、走査順がＭＳＢ→ＬＳＢであるか、ＬＳＢ→ＭＳＢであるかが、手法ごとに異なっている。このとき、スカラー変換とスカラー倍算の走査順が同じであれば、スカラー変換とスカラー倍算を一度に行うことが可能であるが、走査順が異なっている場合は、スカラー変換を行って計算結果をすべて記憶したうえで改めてスカラー倍算を行うという２パスの処理が必要となる。

【0026】

また、スカラー倍算は、斉次座標やヤコビ座標で計算されることが多い。このときは走査順を図３に示した擬似コードのようにＭＳＢ→ＬＳＢとした手法においてはＰのＺ座標を１に固定できることを利用して、走査順をＬＳＢ→ＭＳＢとした手法よりも高速化を実現しやすい。したがって、スカラー変換とスカラー倍算とがともにＭＳＢ→ＬＳＢの走査順となるような手法を組み合わせることが望ましい。

【0027】

そこで、スカラー変換とスカラー倍算をＭＳＢ→ＬＳＢの走査順で複数ビットずつ処理することで、高速な処理を実現する。具体的に、スカラー倍算部３２は、座標値Ｐを２^ｗ倍算することで高速処理を実現する。ここで、ｗは、１＜ｗ＜ｍを満たす整数であり、ｌはｌ×ｗ≧ｍを満たす整数である。

【0028】

図２に戻り、スカラー倍算部３２は、取得部３２１、前処理部３２２、変換部３２３、補正部３２４、楕円曲線演算部３２５、およびスカラー倍算出力部３２６を有する。

【0029】

取得部３２１は、座標値Ｐと、乗算値ｋとを署名処理部３１から取得する。前処理部３２２は、楕円曲線の点の加算や二倍算の処理をするための値を事前に算出する。例えば、前処理部３２２は、２以上２^ｗ未満の整数ａと、特定点の座標値Ｐとを乗算したａＰを算出する。

【0030】

変換部３２３は、乗算値ｋを最上位ビットから最下位ビットの順で最大ｗビット読み出して、最大ｗ＋１ビットの符号付奇数ｄを生成する。例えば、変換部３２３は、乗算値ｋをＭＳＢから順にｗビットずつ読み出して、非ゼロ整数の列ｄ（ｌ－１）、ｄ（ｌ－２）、…、ｄ（１）、ｄ（０）に変換する。

【0031】

補正部３２４は、乗算値ｋの下位２ビットに基づいた値ｅを算出する。また、補正部３２４は、当該値を用いた楕円曲線の点の演算処理をさせる。

【0032】

ここで、ｄ（ｌ－１）、ｄ（ｌ－２）、…、ｄ（１）、ｄ（０）、ｅを算出する疑似コードの例を図４に示す。図４は、実施形態にかかる変換部３２３による変換処理の疑似コードを示す図である。

【0033】

ただし、ｉ≧ｍについてｋ（ｉ）＝０と定義する。ｌ－１≧ｊ≧０の各ｊについて、変換部３２３が、ｄ（ｊ）を計算する際、ｋから読み出すビットは最大ｗビットである。また、変換部３２３は、ｋの各ビットを最大１回しか読み出さない。変換部３２３がｅを計算する際、ｋの下位２ビットを参照するが、ｄ（０）を計算する際に読み出したｋ（１）の値を保持しておいて、ｅを計算する際は新たにｋ（０）のみを読み出すようにしてもよい。

【0034】

変換部３２３は、ｄ（ｊ）を計算する際、ｋ（ｉ）は０、１のいずれかの値をとるため、（１―ｋ（ｉ））はビット反転により計算可能である。すなわち、変換部３２３は、ｄ（ｊ）をｋから最大ｗビット読み出していくつかのビットを反転するだけの簡単な計算によって求めることが可能である。

【0035】

楕円曲線演算部３２５は、楕円曲線の点の演算処理をする。例えば、楕円曲線演算部３２５は、変数を２^ｗ倍算した値を変数へ入力する倍算処理をする。また、楕円曲線演算部３２５は、最上位から２ビット目以降の符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出し、当該ｄＰと変数とを加算した結果を変数に入力する加算処理をする。スカラー倍算出力部３２６は、楕円曲線演算部３２５等が算出したｋＰを出力する。

【0036】

ここで、図５を用いて、スカラー倍算の計算例を説明する。図５は、実施形態にかかるスカラー倍算の疑似コードを示す図である。前提として、変換部３２３がｄ（ｊ）を算出し、補正部３２４がｅを算出しているものとする。

【0037】

前処理部３２２は、２Ｐを前計算し、さらに３以上２^ｗ未満の各奇数ａについてａＰを前計算する。楕円曲線演算部３２５は、ｄ（ｌ－１）Ｐを算出し、算出した結果を変数Ｑに入力する。また、楕円曲線演算部３２５は、ｊが０以上である間、変数Ｑを２^ｗ倍算し、変数Ｑとｄ（ｊ）Ｐとを加算する。最後に、楕円曲線演算部３２５は、変数ＱとｅＰとを加算して、処理を終了する。

【0038】

ｌ－１≧ｊ≧０の各ｊについてｄ（ｊ）の絶対値は２^ｗ未満の奇数となり、ｅは－３、－２、１、２のうちいずれかの値となるため、楕円曲線演算部３２５は、ｄ（ｊ）Ｐ、ｅＰについては、Ｐと前計算した点とから選択すればよい。なお、楕円曲線上の演算の性質から、ａＰが前計算されている場合、Ｑ＋ａＰとＱ＋（－ａ）Ｐ＝Ｑ－ａＰは同一の処理時間で計算可能であるため、負の数のスカラー倍算を前計算しておく必要はない。すなわち、２および３≦ａ＜２^ｗを満たす奇数に対するスカラー倍算を求めて、計２^ｗ－１個の点を前計算して保持しておく。

【0039】

Σ_{ｍ－１≧ｊ≧０} ｋ（ｊ）×２^ｊ＝Σ_{ｌ－１≧ｊ≧０} ｄ（ｊ）×２^ｊｗ＋ｅが成り立つことから、図３で示した疑似コードにより、ｋＰを算出した場合と、図４および図５に示した疑似コードを組み合わせてｋＰを算出した場合とで計算結果が等しくなることが分かる。

【0040】

各奇数ａに対するａＰの計算は、Ｐ＋２Ｐにより３Ｐを求め、３Ｐ＋２Ｐにより５Ｐを求め、・・・、（２ｉ－１）Ｐ＋２Ｐにより（２ｉ＋１）Ｐを求め、というように、順次計算していってもよい。

【0041】

図２に示した疑似コードでｋＰを算出した場合、二倍算はｍ－２回、加算は最大ｍ－２回であるのに対し、図４および図５に示した疑似コードを組み合わせた場合、二倍算は１＋（ｌ－２）ｗ回、加算は２^ｗ－１－１＋ｌ－１回である。

【0042】

例えば、よく使用されるｍ＝２５６に対して図２に示した疑似コードでｋＰを算出した場合、二倍算は２５４回、加算は最大２５４回である一方、ｗ＝２として、図４および図５に示した疑似コードを組み合わせてｋＰを算出した場合、二倍算は２５３回、加算は１２８回である。

【0043】

図４および図５に示した疑似コードを組み合わせて、図６に示す疑似コードのように計算してもよい。なお、図６に示した疑似コードに基づいたフローチャート（図７）については後述する。図４および図５に示した疑似コードを連続して実行する場合は、１個のｄとｅの値をメモリ領域に保持しておく必要があるが、図６に示した疑似コードを用いた場合はｄ、ｅの値をすぐ使用するため、そのようなメモリ領域は不要となる。

【0044】

続いて、図７を用いて、第１実施形態に係る処理フローを説明する。図７は、第１実施形態に係る処理手順を示すフローチャートである。また、図７に示すフローチャートは、図６に示した疑似コードに基づいたフローチャートである。

【0045】

まず、変換部３２３は、符号付奇数ｄを算出する際に必要となるｌを、ｍおよびｗに基づいて算出する（ステップＳ１）。続いて、前処理部３２２は、２Ｐおよび３以上２^Ｗ未満の各奇数ａについてａＰを計算する（ステップＳ２）。続いて、変換部３２３は、上位２ビットについて符号付奇数ｄを算出し、楕円曲線演算部３２５は、ｄＰを算出し、当該ｄＰを変数Ｑへ入力する（ステップＳ３）。

【0046】

そして、ｌ－２をｊに入力し（ステップＳ４）、楕円曲線演算部３２５は、変数Ｑの値を２^Ｗ倍算する（ステップＳ５）。ｊが０を上回る場合（ステップＳ６：Ｙｅｓ）、変換部３２３は、符号付奇数ｄを算出し、楕円曲線演算部３２５は、ｄＰを算出し、当該ｄＰと変数Ｑとを加算した値を変数Ｑへ入力する（ステップＳ７）。続いて、ｊをデクリメントし（ステップＳ８）、ステップＳ５へ進む。

【0047】

ステップＳ６で、ｊが０以下となった場合（ステップＳ６：Ｎｏ）、変換部３２３は、符号付奇数ｄを算出し、楕円曲線演算部３２５は、ｄＰを算出し、当該ｄＰと変数Ｑとを加算した値を変数Ｑへ入力する（ステップＳ１０）。そして、補正部３２４は、ｅを算出し、楕円曲線演算部３２５は、ｅＰを算出し、当該ｅＰと変数Ｑとを加算した値を変数Ｑへ入力し、当該変数Ｑに入力されている値をｋＰとして出力する。（ステップＳ１１）。

【0048】

（署名生成処理の説明）
続いて、図８を用いて、署名生成処理の手順を説明する。図８は、実施形態にかかる署名生成処理手順を示すフローチャートである。

【0049】

まず、署名処理部３１は、記憶部３０からメッセージを読み出す（ステップＳ２１）。当該メッセージとは、署名処理対象をいい、例えば、制御部１５が実行するファームウェアなどのコンピュータプログラムコードやメモリコントローラ１０のシステム情報である。ここで、システム情報は、ベンダ名、モデル名、製造番号のいずれか、もしくは、すべてを含んでいてもよい。

【0050】

続いて、署名処理部３１は、ハッシュ関数を用いて、メッセージのハッシュ値であるメッセージダイジェストを生成する（ステップＳ２２）。当該ハッシュ関数とは、メッセージを入力とし、これを所定のビット長のデータに圧縮し、ハッシュ値として出力する関数である。

【0051】

続いて、署名処理部３１は、秘密鍵、楕円曲線の係数、および楕円曲線上の特定点となる座標値Ｐを記憶部３０から読み出す（ステップＳ２３）。続いて、署名処理部３１は、乱数である乗算値ｋを生成し、当該乗算値ｋと座標値Ｐとをスカラー倍算部３２へ入力する。そして、署名処理部３１は、スカラー倍算部３２から座標値ｋＰを取得して、ハッシュ値、秘密鍵、乗算値ｋおよび座標値ｋＰを用いた公知技術を適用して署名データを生成する（ステップＳ２４）。なお、署名処理部３１は、座標値Ｐの位数や係数をさらに用いて署名データを生成するようにしてもよい。続いて、署名処理部３１は、当該署名データを記憶部３０に出力する。上述の署名処理は、定数時間の処理であるため、秘密鍵の値によらず処理時間は一定となる。

【0052】

（署名検証の説明）
続いて、図９を用いて署名検証の手順を説明する。図９は、実施形態にかかる署名検証処理手順を示すフローチャートである。

【0053】

まず、署名処理部３１は、記憶部３０からメッセージを読み出す（ステップＳ３１）。

【0054】

続いて、署名処理部３１は、ハッシュ関数を用いて、メッセージのハッシュ値であるメッセージダイジェストを生成する（ステップＳ３２）。

【0055】

続いて、署名処理部３１は、署名データ、公開鍵、楕円曲線の係数、および楕円曲線上の特定点となる座標値Ｐを記憶部３０から読み出す（ステップＳ３３）。

【0056】

続いて、署名処理部３１は、署名検証をする。具体的に、署名処理部３１は、署名データおよびハッシュ値に基づいて算出した値である乗算値ｋと、座標値Ｐとをスカラー倍算部３２へ入力し、スカラー倍算部３２により出力された座標値ｋＰに基づいて、公知技術を適用して署名検証する（ステップＳ３４）。署名処理部３１は、署名が一致したか否かを示す署名検証結果を出力する（ステップＳ３５）。

【0057】

上述の署名検証の処理では、スカラー倍算部３２による処理を高速に処理するため、起動時の署名検証を高速に処理可能することができ、起動時間の短縮に寄与することができる。また、署名検証においてスカラーは秘密情報でないため、定数時間処理をそのまま用いてもよいし、整数列が０を含むことを許容するようにスカラー変換の処理を変形してさらなる高速化を図ってもよい。

【0058】

上述の実施形態では、メモリシステム１のスカラー倍算部３２は、２以上２^ｗ未満の整数ａと、特定点の座標値Ｐとを乗算したａＰを算出し、ｍビットのビット列である乗算値ｋを最上位ビットから最下位ビットの順で最大ｗビット読み出して、最大ｗ＋１ビットの符号付奇数ｄを生成し、当該符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出して変数Ｑに入力し、変数Ｑを２^ｗ倍算した値を変数Ｑへ入力する倍算処理と、最上位から２ビット目以降の符号付奇数ｄと、座標値Ｐとを乗算したｄＰを算出し、当該ｄＰと変数Ｑとを加算した結果を変数Ｑに入力する処理を所定回数ループ処理し、乗算値ｋの下位２ビットに基づいた値と座標値Ｐとを乗算した値を算出し、算出した値と、変数Ｑとを加算した値をｋＰとして出力する。

【0059】

この場合、スカラー倍算部３２は、スカラー変換とスカラー倍算をＭＳＢ→ＬＳＢの走査順で複数ビットずつ処理する。このように、スカラー倍算部３２は、複数ビットずつ処理することで、高速な処理が可能である。また、スカラー倍算部３２は、走査順が同じであるため、変換後のスカラーの値を保持するメモリ領域が不要となって小メモリで計算が可能である。

【0060】

（第２実施例）
第１実施例におけるＱ＋ｄＰあるいは、Ｑ＋ｅＰの計算を一般化してＱ＋ｃＰと表す。Ｑが無限遠点Ｏとなる可能性がある場合、および、ＱとｃＰとが等しくなる可能性がある場合は特別な扱いが必要となる。ここで、図１０に、加算処理の疑似コードの例を示す。図１０に示す疑似コードは、この両方の可能性がある場合のＱ＝Ｑ＋ｃＰの計算例である。ＥＣ＿ＡＤＤは楕円曲線の点加算を表しており、同一点の加算は行うことができないものである。

【0061】

Ｑ＝Ｑ＋ｃＰの計算を図１０に示した疑似コードで行うと、どの条件式が成り立つかによって実行時間が変わってしまう可能性がある。そのような場合は、図１１に示す疑似コードを用いてもよい。図１１は、実施形態にかかる加算処理の疑似コードの例を示す図である。Ｒ＝Ｑ＋ｃＰである。Ｑ＿ｅｑ＿Ｏ，Ｑ＿ｅｑ＿ｃＰはＱ＝＝ＯおよびＱ＝＝ｃＰの判定結果であり、ＥＣ＿ＡＤＤの計算過程で得ることができる。

【0062】

このように、第２実施例にかかるスカラー倍算部３２は、２ｃＰの取りうる値はすべて前計算しておき、ｄＰと変数Ｑとを加算する際、ｄＰと変数Ｑとが同一の点を示す場合、加算結果として、２ｄＰを選択することで、定数時間処理を実現できる。すなわち、第１実施例では、「２Ｐおよび、各奇数ａに対するａＰ」を前計算していたが、本実施例ではさらに「各奇数ａに対する２ａＰ」も前計算しておく。

【0063】

また、その変形として、２ａＰを前計算するのではなく、２ａＰを計算するために必要となる中間値を前計算しておき、その中間値に基づいた２ａＰの計算はＥＣ＿ＡＤＤの計算の一部を使って行うようにしてもよい。中間変数として例えば、ａＰにおける楕円曲線の接線の傾きを前計算しておくことにしてもよい。

【0064】

（第３実施例）
第３実施例にかかるスカラー倍算部３２は、いくつかのスカラー倍算を前計算する。スカラー倍算の計算で、斉次座標やヤコビ座標を用いる場合、各点はＸ、Ｙ、Ｚの３つの値で構成されることになる。

【0065】

本実施例では、前処理部３２２が、前計算の際にＺの値が単位元となるように正規化処理を行う。すなわち、斉次座標であれば（Ｘ，Ｙ，Ｚ）→（Ｘ・Ｚ^－１，Ｙ・Ｚ^－１，１）の変換を行い、ヤコビ座標であれば（Ｘ，Ｙ，Ｚ）→（Ｘ・（Ｚ^－１）^２，Ｙ・（Ｚ^－１）３，１）の変換を行う。このために、前処理部３２２は、有限体上の逆元Ｚ^－１を計算するための逆元演算機能を具備する。

【0066】

また、モンゴメリ乗算を利用するために、各座標をモンゴメリ表現で保持してもよい。この場合、単位元は２ｎであって、正規化処理は、斉次座標であれば（Ｘ・２^ｎ，Ｙ・２^ｎ，Ｚ・２^ｎ）→（Ｘ・Ｚ^－１・２^ｎ，Ｙ・Ｚ^－１・２^ｎ，２^ｎ）、ヤコビ座標であれば（Ｘ・２^ｎ，Ｙ・２^ｎ，Ｚ・２^ｎ）→（Ｘ・（Ｚ－^１）^２・２^ｎ，Ｙ・（Ｚ^－１）^３・２^ｎ，２^ｎ）となる。

【0067】

これによれば、スカラー倍算部３２は、各点についてＸ，Ｙ２つの値のみを保持しておけばよく、メモリ使用量を低減することができる。また、Ｑ＝Ｑ＋ｃＰの計算において、ｃＰのＺ座標が単位元であることを仮定できるため、点加算を効率よく計算できるようになり、全体の処理速度を高速化することが可能となる。

【0068】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0069】

１ メモリシステム、２ ホスト、１１ ホストインタフェース部、１２ ＮＡＮＤメモリ、１３ ＮＡＮＤコントローラ、１４ ＲＡＭ、１５ 制御部、３０ 記憶部、３１ 署名処理部、３２ スカラー倍算部、３２１ 取得部、３２２ 前処理部、３２３ 変換部、３２４ 補正部、３２５ 楕円曲線演算部、３２６ スカラー倍算出力部。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】