特開2023-181018疎乗算計算装置、ミラー関数計算装置、ペアリング演算装置、暗号処理装置、疎乗算計算方法、および疎乗算計算プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023181018
(43)【公開日】2023-12-21
(54)【発明の名称】疎乗算計算装置、ミラー関数計算装置、ペアリング演算装置、暗号処理装置、疎乗算計算方法、および疎乗算計算プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20231214BHJP
【ＦＩ】
G09C1/00 620A
【審査請求】未請求
【請求項の数】12
【出願形態】ＯＬ
(21)【出願番号】P 2022094752
(22)【出願日】2022-06-10
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】林田 大輝
(72)【発明者】
【氏名】早坂 健一郎
(72)【発明者】
【氏名】照屋 唯紀
(57)【要約】
【課題】３次ツイストを持つ楕円曲線上のペアリング演算に現れる疎乗算を効率的に計算することを目的とする。
【解決手段】疎乗算計算装置１０は、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する。事前計算部２１は、元ｆおよび元ｇと、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。立式部２２は、５つの多項式を用いて、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する。求解部２３は、５次元線形方程式を解き、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める。
【選択図】図１
【解決手段】疎乗算計算装置１０は、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する。事前計算部２１は、元ｆおよび元ｇと、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。立式部２２は、５つの多項式を用いて、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する。求解部２３は、５次元線形方程式を解き、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める。
【選択図】図１
【特許請求の範囲】
【請求項1】
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置において、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部と
を備える疎乗算計算装置。
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部と
を備える疎乗算計算装置。
【請求項2】
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する請求項１に記載の疎乗算計算装置。
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する請求項１に記載の疎乗算計算装置。
【請求項3】
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する請求項１に記載の疎乗算計算装置。
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する請求項１に記載の疎乗算計算装置。
【請求項4】
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算を行うミラー関数計算装置であって、
請求項１から請求項３のいずれか１項に記載の疎乗算計算装置を備えるミラー関数計算装置。
請求項１から請求項３のいずれか１項に記載の疎乗算計算装置を備えるミラー関数計算装置。
【請求項5】
３次ツイストを持つ楕円曲線上のペアリング演算を行うペアリング演算装置であって、
請求項４に記載のミラー関数計算装置と、最終べきの計算を行う最終べき計算装置とを備えたペアリング演算装置。
請求項４に記載のミラー関数計算装置と、最終べきの計算を行う最終べき計算装置とを備えたペアリング演算装置。
【請求項6】
前記ペアリング演算装置は、
ＢＬＳ（Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔ）２７曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
ＢＬＳ（Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔ）２７曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
【請求項7】
前記ペアリング演算装置は、
ＢＬＳ９曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
ＢＬＳ９曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
【請求項8】
前記ペアリング演算装置は、
ＢＬＳ１５曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
ＢＬＳ１５曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
【請求項9】
前記ペアリング演算装置は、
ＢＬＳ２１曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
ＢＬＳ２１曲線上におけるペアリング演算を行う請求項５に記載のペアリング演算装置。
【請求項10】
請求項５に記載のペアリング演算装置を備え、前記ペアリング演算装置によって計算されたペアリング演算の結果を用いて暗号処理を行う暗号処理部を備える暗号処理装置。
【請求項11】
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算方法において、
コンピュータが、前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算し、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式し、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める疎乗算計算方法。
コンピュータが、前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算し、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式し、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める疎乗算計算方法。
【請求項12】
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算プログラムにおいて、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算処理と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式処理と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解処理と
をコンピュータに実行させる疎乗算計算プログラム。
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算処理と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式処理と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解処理と
をコンピュータに実行させる疎乗算計算プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、疎乗算計算装置、ミラー関数計算装置、ペアリング演算装置、暗号処理装置、疎乗算計算方法、および疎乗算計算プログラムに関する。特に、本開示は、ペアリング演算における疎乗算の計算技術に関する。
【背景技術】
【0002】
ペアリング演算は、関数型暗号および秘匿検索といった暗号方式の内部で処理される楕円曲線を用いた演算である。ペアリング演算の効率的な計算に適した楕円曲線をペアリングフレンドリ曲線という。これまで１２８ビット安全性相当のペアリングフレンドリ曲線としてＢＮ曲線が知られていた。ＢＮは、Ｂａｒｒｅｔ－Ｎａｅｈｒｉｇの略語である。しかし２０１６年頃から、安全性の見直しが行われ、ＢＬＳ曲線およびＫＳＳ曲線といった様々なペアリングフレンドリ曲線を用いたペアリング演算への関心が高まってきている。ＢＬＳは、Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔの略語である。ＫＳＳは、Ｋａｃｈｉｓａ－Ｓｃｈａｅｆｅｒ－Ｓｃｏｔｔの略語である。
【0003】
ペアリング演算は、大きく分けてミラー関数の計算と最終べきの計算とに分けられる。ミラー関数の計算はミラーループとも呼ばれる。ミラー関数の計算と最終べきの計算とのどちらも複雑な計算過程を要し、関数型暗号および秘匿検索といった暗号方式全体の計算量に大きな影響を与えている。
【0004】
最近の研究では、数多くあるペアリングフレンドリ曲線の中でもペアリング演算全体の効率がよいとされているＢＬＳ曲線について研究されているものが多い。埋め込み次数ｋとしてｋ＝２４，２７，４２，４８のＢＬＳ曲線におけるペアリング演算についてよく研究されている。特に近年は、６次ツイストを持つ楕円曲線だけでなく、３次ツイストを持つ楕円曲線も注目されている。
【0005】
楕円曲線族によってパラメータ付けされる曲線は、多項式ｒ（ｘ）と、多項式ｐ（ｘ）と、多項式ｔ（ｘ）と、埋め込み次数ｋと、整数ｕとで決まる楕円曲線である。多項式ｒ（ｘ）と、多項式ｐ（ｘ）と、多項式ｔ（ｘ）とは、埋め込み次数ｋに応じて異なる形をしている。
埋め込み次数ｋの楕円曲線族によってパラメータ付けされる曲線Ｅはｐ＝ｐ（ｘ）個の要素からなる有限体Ｆｐ上で定義される楕円曲線である。ｒ＝ｒ（ｘ）は、楕円曲線Ｅの部分群Ｅ（Ｆｐ）の位数を割る最大素数である。ｔ＝ｔ（ｘ）は、楕円曲線Ｅのトレースである。
埋め込み次数ｋの楕円曲線族によってパラメータ付けされる曲線Ｅはｐ＝ｐ（ｘ）個の要素からなる有限体Ｆｐ上で定義される楕円曲線である。ｒ＝ｒ（ｘ）は、楕円曲線Ｅの部分群Ｅ（Ｆｐ）の位数を割る最大素数である。ｔ＝ｔ（ｘ）は、楕円曲線Ｅのトレースである。
【0006】
楕円曲線Ｅ上のペアリング演算は、楕円曲線Ｅ上のある２点Ｐ，Ｑを入力とし、ミラー関数と呼ばれる有理関数ｆを計算した後、（ｐ（ｘ）ｋ－１）／ｒ（ｘ）乗して計算される。つまり、楕円曲線Ｅ上のペアリング演算は、数１１により計算される。
【数11】
【0007】
非特許文献１には、ミラー関数の計算を効率的に行うため、効率的な疎乗算の計算アルゴリズムが記載されている。疎乗算を説明するために、拡大体Ｆｐ９の元ｆ、ｇを考える。通常、元ｆ（元ｇも同様）は数１２のような形をしている。ここで、各係数ｆ０、ｆ１、ｆ２は中間体Ｆｐ３の元であり、ｖは拡大体Ｆｐ９を多項式環Ｆｐ９＝Ｆｐ３［ｖ］／（ｖ３－ｕ）と表したときの変数である。
【0008】
このとき、元ｆと元ｇの疎乗算とは元ｆまたは元ｇの各係数のいずれかが素体Ｆｐの元である状況をいう。この場合、通常の乗算に比べて計算効率が良い。
【数12】
【先行技術文献】
【非特許文献】
【0009】
【非特許文献1】Ａ．Ｊ．Ｄｅｖｅｇｉｌｉ， Ｃ．Ｏ ｈＥｉｇｅａｒｔａｉｇｈ， Ｍ．Ｓｃｏｔｔ ａｎｄ Ｒ．Ｄａｈａｂ， “Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ａｎｄ Ｓｑｕａｒｉｎｇ ｏｎ Ｐａｉｒｉｎｇ－Ｆｒｉｅｎｄｌｙ Ｆｉｅｌｄｓ”
【発明の概要】
【発明が解決しようとする課題】
【0010】
３次ツイストを持つ楕円曲線上のペアリング演算に現れる疎乗算を効率的に計算するには、それに対応した効率的な疎乗算計算アルゴリズムが必要である。従来研究で考えられてきたＫａｒａｔｓｕｂａ法をベースとした疎乗算アルゴリズムは２次拡大体および６次拡大体には有効であるが、３次拡大体では効果が薄いという課題がある。
【0011】
本開示は、Ｔｏｏｍ－Ｃｏｏｋ法をベースとした、３次ツイストを持つ楕円曲線上のペアリング演算に現れる疎乗算を効率的に計算可能にすることを目的とする。
【課題を解決するための手段】
【0012】
本開示に係る疎乗算計算装置は、
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置において、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部とを備える。
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置において、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部とを備える。
【発明の効果】
【0013】
本開示では、３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に現れる疎乗算を効率的に計算するアルゴリズムを提案する。よって、本開示に係る疎乗算計算装置によれば、ペアリング演算におけるミラー関数の計算が効率的に計算可能になる。
【図面の簡単な説明】
【0014】
【図1】実施の形態１に係る疎乗算計算装置の構成例を示す図。
【図2】実施の形態１に係る疎乗算計算装置の全体的な動作を示すフローチャート。
【図3】実施の形態１に係る数１４および数１５を具体的に計算する計算過程を示すフローチャート。
【図4】実施の形態１に係る数２０を具体的に計算する計算過程を示すフローチャート。
【図5】実施の形態１に係る数２０を具体的に計算する計算過程を示すフローチャート。
【図6】実施の形態１の変形例１に係る疎乗算計算装置の構成例を示す図。
【図7】実施の形態１の変形例３に係るミラー関数計算装置の構成例を示す図。
【図8】実施の形態１の変形例４に係るペアリング演算装置の構成例を示す図。
【図9】実施の形態２に係る疎乗算計算装置の構成例を示す図。
【図10】実施の形態２に係る数２７および数２８を具体的に計算する計算過程を示すフローチャート。
【図11】実施の形態２に係る数３３を具体的に計算する計算過程を示すフローチャート。
【図12】実施の形態２に係る数３３を具体的に計算する計算過程を示すフローチャート。
【図13】実施の形態３に係る暗号処理装置の構成例を示す図。
【図14】実施の形態３に係る暗号処理装置の動作を示すフローチャート。
【発明を実施するための形態】
【0015】
以下、本実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。図中の矢印はデータの流れまたは処理の流れを主に示している。
【0016】
実施の形態１．
＊＊＊表記の説明＊＊＊
本文および図面では、“＾”を用いてべき乗を表す場合がある。具体例としては、ａ＾ｂは、ａｂを表す。
＊＊＊表記の説明＊＊＊
本文および図面では、“＾”を用いてべき乗を表す場合がある。具体例としては、ａ＾ｂは、ａｂを表す。
【0017】
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る疎乗算計算装置１０の構成例を示す図である。
疎乗算計算装置１０は、コンピュータである。
疎乗算計算装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４といったハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
図１は、本実施の形態に係る疎乗算計算装置１０の構成例を示す図である。
疎乗算計算装置１０は、コンピュータである。
疎乗算計算装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４といったハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0018】
プロセッサ１１は、プロセッシングを行うＩＣである。プロセッサ１１は、具体例としては、ＣＰＵ、ＤＳＰ、あるいはＧＰＵである。ＩＣは、Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略語である。ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略語である。ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略語である。
【0019】
メモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ、あるいはＤＲＡＭである。ＳＲＡＭは、Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略語である。ＤＲＡＭは、Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略語である。
【0020】
ストレージ１３は、データを保管する記憶装置である。ストレージ１３は、具体例としては、ＨＤＤである。また、ストレージ１３は、ＳＤ（登録商標）メモリカード、ＣＦ（登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、あるいはＤＶＤといった可搬記録媒体であってもよい。ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦ（登録商標）は、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。
【0021】
通信インタフェース１４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ、ＨＤＭＩ（登録商標）のポートである。ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略語である。ＨＤＭＩ（登録商標）は、Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅの略語である。
【0022】
疎乗算計算装置１０は、機能構成要素として、事前計算部２１と、立式部２２と、求解部２３とを備える。事前計算部２１は、第１事前計算部３１と、第２事前計算部３２とを備える。疎乗算計算装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、疎乗算計算装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、疎乗算計算装置１０の各機能構成要素の機能が実現される。
ストレージ１３には、疎乗算計算装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、疎乗算計算装置１０の各機能構成要素の機能が実現される。
【0023】
図１では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。
【0024】
疎乗算計算装置１０の各機能構成要素の機能を実現するプログラムは、疎乗算計算プログラムとも呼ばれる。
メモリ１２には、疎乗算計算プログラムだけでなく、ＯＳも読み込まれる。ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略語である。プロセッサ９１０は、ＯＳを実行しながら、疎乗算計算プログラムを実行する。なお、疎乗算計算プログラムの一部または全部がＯＳに組み込まれていてもよい。
メモリ１２には、疎乗算計算プログラムだけでなく、ＯＳも読み込まれる。ＯＳは、Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍの略語である。プロセッサ９１０は、ＯＳを実行しながら、疎乗算計算プログラムを実行する。なお、疎乗算計算プログラムの一部または全部がＯＳに組み込まれていてもよい。
【0025】
疎乗算計算装置１０は、プロセッサ１１を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、疎乗算計算プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ１１と同じように、疎乗算計算プログラムを実行する装置である。
【0026】
疎乗算計算プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ１２、ストレージ１３、または、プロセッサ１１内のレジスタあるいはキャッシュメモリに記憶される。
【0027】
事前計算部２１と立式部２２と求解部２３との各部の「部」を「回路」、「工程」、「手順」、「処理」、あるいは「サーキットリー」に読み替えてもよい。疎乗算計算プログラムは、事前計算処理と立式処理と求解処理とを、コンピュータに実行させる。事前計算処理と立式処理と求解処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記憶したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。また、疎乗算計算方法は、疎乗算計算装置１０が疎乗算計算プログラムを実行することにより行われる方法である。
疎乗算計算プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、疎乗算計算プログラムは、プログラムプロダクトとして提供されてもよい。
疎乗算計算プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、疎乗算計算プログラムは、プログラムプロダクトとして提供されてもよい。
【0028】
＊＊＊動作の説明＊＊＊
図２から図５を参照して、本実施の形態に係る疎乗算計算装置１０の動作について説明する。
本実施の形態に係る疎乗算計算装置１０の動作手順は、本実施の形態に係る疎乗算計算方法に相当する。また、本実施の形態に係る疎乗算計算装置１０の動作を実現するプログラムは、本実施の形態に係る疎乗算計算プログラムに相当する。
図２から図５を参照して、本実施の形態に係る疎乗算計算装置１０の動作について説明する。
本実施の形態に係る疎乗算計算装置１０の動作手順は、本実施の形態に係る疎乗算計算方法に相当する。また、本実施の形態に係る疎乗算計算装置１０の動作を実現するプログラムは、本実施の形態に係る疎乗算計算プログラムに相当する。
【0029】
本実施の形態に係る疎乗算計算装置１０は、３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する。具体的には、疎乗算計算装置１０は、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する。
以下に詳しく説明する。
以下に詳しく説明する。
【0030】
本実施の形態では、拡大体Ｆｐｋ／Ｆｐｅにおける疎乗算を計算する。なお、ｋは３で割ることのできる自然数、ｅはｋ／３で表される自然数である。また、Ｆｑと書けば、要素の個数がｑ個からなる有限体を表す。また、有限体Ｆｐｋは多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ。なお、ｖ３－ｕは多項式環Ｆｐｅ［ｖ］上の既約多項式であり、元ｕはＦｐｅに属する。拡大体Ｆｐｋ／Ｆｐｅにおける疎乗算は３次ツイストを持つ楕円曲線のペアリング演算を考えたとき、ミラー関数の計算に複数回出現する計算である。具体例としては、ＢＬＳ－９曲線、ＢＬＳ－１５曲線、およびＢＬＳ－２７曲線といった楕円曲線上におけるペアリング演算で現れる。
【0031】
疎乗算とは、有限体Ｆｐｋの２つの元ｆ、ｇを入力とした乗算ｆ＊ｇのことであるが、元ｆまたは元ｇのいずれかが疎であるときをいう。
【0032】
本実施の形態において、元ｆまたは元ｇが疎であるとは、元ｆが数１２で表されるとき、ｆ０、ｆ１、ｆ２のいずれかが有限体Ｆｐｅより下の拡大体Ｆｐｄの元であることをいう。なお、ｄ＜ｅである。
【0033】
疎乗算計算に関わらずｆとｇに対する通常の乗算計算では、ナイーブに計算すると９回のＦｐｅ上の乗算、６回のＦｐｅ上の加算、２回のＦｐｅ上のｕ倍算が必要となり、計算量が多い。このため、効率的な乗算計算方法がペアリング演算におけるミラー関数計算に必要となる。なお、一般的に考えて疎乗算は通常の疎でない乗算よりも効率的であるが、その恩恵を最大限に受けるためにはやはり効率的な疎乗算計算方法が必要となる。
【0034】
図２は、本実施の形態に係る疎乗算計算装置１０の全体的な動作を示すフローチャートである。
【0035】
＜ステップＳ１１：事前計算＞
ステップ１１では、事前計算処理が実行される。
事前計算処理では、事前計算部２１は、元ｆおよび元ｇと、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
具体的には、事前計算部２１は、元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値０，１，－１，２，∞を代入する。事前計算部２１は、ｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
より具体的には、以下の通りである。
ステップ１１では、事前計算処理が実行される。
事前計算処理では、事前計算部２１は、元ｆおよび元ｇと、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
具体的には、事前計算部２１は、元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値０，１，－１，２，∞を代入する。事前計算部２１は、ｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
より具体的には、以下の通りである。
【0036】
ステップＳ１１において、事前計算部２１の第１事前計算部３１では、元ｆと元ｇを形式的に多項式ｆ（Ｘ）、ｇ（Ｘ）と考えて数１３を得る。
【数13】
【0037】
さらに、それぞれの多項式ｆ（Ｘ）、ｇ（Ｘ）にＸ＝０、Ｘ＝１、Ｘ＝－１、Ｘ＝２、Ｘ＝∞、を代入し数１４および数１５を得る。
【数14】
【数15】
【0038】
図３は、本実施の形態に係る数１４および数１５を具体的に計算する計算過程を示すフローチャートである。
数１４および数１５を具体的に計算する計算過程は、図３の第１事前計算部３１に関する計算のフローチャートを参照して説明する。
数１４および数１５を具体的に計算する計算過程は、図３の第１事前計算部３１に関する計算のフローチャートを参照して説明する。
【0039】
ステップＳ２１では、第１事前計算部３１は、入力のｆにおける係数ｆ０、ｆ２とを用いて加算を計算する。
ステップＳ２２およびＳ２３では、第１事前計算部３１は、ステップＳ２１で計算された結果にそれぞれ係数ｆ１を加算および減算する。これらのステップ処理により、ステップＳ２２からはｆ（１）、ステップＳ２３からはｆ（－１）が計算される。
ステップＳ２４では、第１事前計算部３１は、ステップＳ２２で計算された結果に係数ｆ１を加算する。
ステップＳ２５、ステップＳ２６、およびステップＳ２７では、第１事前計算部３１は、それぞれ前ステップの結果に係数ｆ２を加算する。
これらのステップ処理により、ステップＳ２７からはｆ（２）が計算される。
ステップＳ２２およびＳ２３では、第１事前計算部３１は、ステップＳ２１で計算された結果にそれぞれ係数ｆ１を加算および減算する。これらのステップ処理により、ステップＳ２２からはｆ（１）、ステップＳ２３からはｆ（－１）が計算される。
ステップＳ２４では、第１事前計算部３１は、ステップＳ２２で計算された結果に係数ｆ１を加算する。
ステップＳ２５、ステップＳ２６、およびステップＳ２７では、第１事前計算部３１は、それぞれ前ステップの結果に係数ｆ２を加算する。
これらのステップ処理により、ステップＳ２７からはｆ（２）が計算される。
【0040】
次に、事前計算部２１の第２事前計算部３２では、立式部２２で５次元の連立線形方程式を立式するために、数１６を計算する。
【数16】
【0041】
ここで、ｈ０、ｈ１、ｈ２、ｈ３、ｈ４は数１７に表される係数である。
【数17】
【0042】
このｈ０、ｈ１、ｈ２、ｈ３、ｈ４は最終的に計算したい乗算ｆ＊ｇの係数である。したがって、以下ではこのｈ０、ｈ１、ｈ２、ｈ３、ｈ４を計算することを目標とする。
【0043】
＜ステップＳ１２：線形方程式を解く＞
ステップＳ１２では、立式処理および求解処理が実行される。
立式処理では、立式部２２は、数１６の５つの多項式を用いて、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する。
求解処理では、求解部２３は、５次元線形方程式を解き、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める。
具体的には、以下の通りである。
ステップＳ１２では、立式処理および求解処理が実行される。
立式処理では、立式部２２は、数１６の５つの多項式を用いて、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する。
求解処理では、求解部２３は、５次元線形方程式を解き、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める。
具体的には、以下の通りである。
【0044】
立式部２２は、事前計算部２１で計算された結果である数１６の５つの多項式をもとに５次元の線形方程式である数１８を立式する。
【数18】
【0045】
この数１８の行列は正則行列であるので逆行列を持つ。そこで、逆行列を数１８の両辺にかけると数１９を得る。
【数19】
【0046】
数１９の両辺を６倍することで分母を払うと、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４について数２０の式を得る。なお、数１９および数２０を得る計算は立式部２２で計算される。
【数20】
【0047】
図４および図５は、本実施の形態に係る数２０を具体的に計算する計算過程を示すフローチャートである。
数２０を具体的に計算する計算過程は、図４および図５の求解部２３に関する計算のフローチャートを参照して説明する。
数２０を具体的に計算する計算過程は、図４および図５の求解部２３に関する計算のフローチャートを参照して説明する。
【0048】
ステップＳ３０１では、求解部２３は、すでに数１６で計算されているＨ０を用いて加算を行い、その結果をメモリ１２に書き込む。
ステップＳ３０２では、求解部２３は、すでに計算されている２Ｈ０を用いて加算を行い、その結果をメモリ１２に書き込む。
ステップＳ３０３では、求解部２３は、すでに計算されている３Ｈ０を用いて加算を行い、その結果をメモリ１２に書き込む。ステップＳ３０３の処理によって求めるべき係数の一つである６ｈ０を得る。
ステップＳ３０２では、求解部２３は、すでに計算されている２Ｈ０を用いて加算を行い、その結果をメモリ１２に書き込む。
ステップＳ３０３では、求解部２３は、すでに計算されている３Ｈ０を用いて加算を行い、その結果をメモリ１２に書き込む。ステップＳ３０３の処理によって求めるべき係数の一つである６ｈ０を得る。
【0049】
求解部２３は、ステップＳ３０４からステップＳ３１２も同様に計算ステップを踏み、それぞれの結果をメモリ１２に書き込む。ステップＳ３１１の処理によって求めるべき係数の一つである６ｈ４を得る。
【0050】
ステップＳ４１では、求解部２３は、ステップＳ３０２で得られた値とＨ３を用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４２では、求解部２３は、ステップＳ４１で得られた値とステップＳ３１２で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４３では、求解部２３は、ステップＳ４２で得られた値とステップＳ３０６で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４４では、求解部２３は、ステップＳ４３で得られた値とステップＳ３０７で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４４の処理によって求めるべき係数の一つである６ｈ１を得る。
ステップＳ４２では、求解部２３は、ステップＳ４１で得られた値とステップＳ３１２で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４３では、求解部２３は、ステップＳ４２で得られた値とステップＳ３０６で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４４では、求解部２３は、ステップＳ４３で得られた値とステップＳ３０７で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４４の処理によって求めるべき係数の一つである６ｈ１を得る。
【0051】
ステップＳ４５では、求解部２３は、ステップＳ４２で得られた値とステップＳ３０５で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４６では、求解部２３は、ステップＳ４５で得られた値とＨ２とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４６の処理によって求めるべき係数の一つである６ｈ３を得る。
ステップＳ４７では、求解部２３は、ステップＳ３０３で得られた値とステップＳ３０５で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４８では、求解部２３は、ステップＳ４７で得られた値とステップＳ３０８とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４９では、求解部２３は、ステップＳ４８で得られた値とステップＳ３１１とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４９の処理によって求めるべき係数の一つである６ｈ２を得る。
ステップＳ４６では、求解部２３は、ステップＳ４５で得られた値とＨ２とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４６の処理によって求めるべき係数の一つである６ｈ３を得る。
ステップＳ４７では、求解部２３は、ステップＳ３０３で得られた値とステップＳ３０５で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４８では、求解部２３は、ステップＳ４７で得られた値とステップＳ３０８とを用いて計算を行い、その結果をメモリ１２に書き込む。
ステップＳ４９では、求解部２３は、ステップＳ４８で得られた値とステップＳ３１１とを用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ４９の処理によって求めるべき係数の一つである６ｈ２を得る。
【0052】
次に、ここまでの計算過程の計算コストを評価する。
数１４、数１５については、それぞれ７回の加算を行った。したがって、数１４と数１５の計算は１４回の加算で完了する。この計算コストを１４Ａｅと表す。ここで、Ａｅは有限体Ｆｐｅ上の加算を表す。
数１６については、５回の乗算を行った。この計算コストを５Ｍｅと表す。ここで、Ｍｅは有限体Ｆｐｅ上の乗算を表す。
数２０については、合計で２１回の加算を行った。したがって、この計算コストは２１Ａｅである。
ただし、減算に関しては実装の観点からは加算とほぼ同等の計算コストであるから減算も加算としてカウントし、ある元の加法に対する逆数を計算することは実装の観点からはほとんどコストがかからないことから上記評価では無視している。これらのことから、本実施の形態における計算コストの総計は数２１で表される。
数１４、数１５については、それぞれ７回の加算を行った。したがって、数１４と数１５の計算は１４回の加算で完了する。この計算コストを１４Ａｅと表す。ここで、Ａｅは有限体Ｆｐｅ上の加算を表す。
数１６については、５回の乗算を行った。この計算コストを５Ｍｅと表す。ここで、Ｍｅは有限体Ｆｐｅ上の乗算を表す。
数２０については、合計で２１回の加算を行った。したがって、この計算コストは２１Ａｅである。
ただし、減算に関しては実装の観点からは加算とほぼ同等の計算コストであるから減算も加算としてカウントし、ある元の加法に対する逆数を計算することは実装の観点からはほとんどコストがかからないことから上記評価では無視している。これらのことから、本実施の形態における計算コストの総計は数２１で表される。
【数21】
【0053】
なお、数２１の計算コストは、有限体における剰余を考慮していない。剰余を考慮した場合の計算コストは数２２で表される。
【数22】
【0054】
ここで記号Ｕは、有限体Ｆｐｅ上のＵ倍算を表す。数２１に対して、２回の加算と２回のＵ倍算が増える理由としては、関係式ｖ３＝ｕを用いて剰余をしているからである。
【0055】
ここまでで、係数ｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求めることができたので、それは入力ｆ、ｇに対して乗算６ｆ＊ｇを計算できたことと等しい。
【0056】
本実施の形態においては、ｆまたはｇが疎であるような状況を考えている。ｆとｇには対称性があるのでここではｆが疎であるような状況を考える。
ｆが疎であるとき、数１３における係数ｆ０、ｆ１、ｆ２のいずれかが有限体Ｆｐｄの元である。
ｆが疎であるとき、数１３における係数ｆ０、ｆ１、ｆ２のいずれかが有限体Ｆｐｄの元である。
【0057】
（係数ｆ０が疎であるとき）
この場合、数１６におけるＨ０のＦｐｅ乗算コストが１回削減されるので、乗算６ｆ＊ｇの計算コストは数２３で表される。
ここで、記号Ｍｄは有限体Ｆｐｄの乗算コストを表している。
この場合、数１６におけるＨ０のＦｐｅ乗算コストが１回削減されるので、乗算６ｆ＊ｇの計算コストは数２３で表される。
【数23】
【0058】
（係数ｆ２が疎であるとき）
この場合、数１６におけるＨ４のＦｐｅ乗算コストが１回削減されるので、乗算６ｆ＊ｇの計算コストは数２４で表される。
この場合、数１６におけるＨ４のＦｐｅ乗算コストが１回削減されるので、乗算６ｆ＊ｇの計算コストは数２４で表される。
【数24】
【0059】
（係数ｆ１が疎であるとき）
この場合、ｆの代わりに数２５を考えることで疎になる係数の位置をずらす。
数２５は２次の係数が疎であるため、２次の係数が疎である場合に帰着される。したがって、この場合の計算コストは数２６で表される。
この場合、ｆの代わりに数２５を考えることで疎になる係数の位置をずらす。
【数25】
【数26】
【0060】
最後に、この疎乗算アルゴリズムをペアリング演算におけるミラー関数計算に適用することを考える。ミラー関数計算で、ｎ回だけ疎乗算が現れると、ミラー関数計算終了時には６ｎもしくは６ｎｖｎだけ本来求めたい値とずれた値が出力される。ところが最終べき計算の性質により、最終べきにおけるｅａｓｙ ｐａｒｔ計算時点でそのような定数は消滅するため、最終的なペアリング演算には影響が出ない。
【0061】
＊＊＊本実施の形態の効果＊＊＊
以上のように、本実施の形態に係る疎乗算計算装置１０では、乗算ｆ＊ｇの計算について、事前計算によってｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）、Ｈ０、Ｈ１、Ｈ２、Ｈ３、Ｈ４を効率よく事前計算する事前計算部を備える。また、疎乗算計算装置１０は、事前計算部による結果を元に５次線形連立方程式を立式する立式部を備える。また、疎乗算計算装置１０は、立式部で建てられた５次線形連立方程式を解く求解部を備える。
よって、本実施の形態に係る疎乗算計算装置１０によれば、事前計算を適切に行うことができ、また、疎になる係数がどの場合においても適用可能である。これにより、ペアリング演算を効率的に計算可能になる。
以上のように、本実施の形態に係る疎乗算計算装置１０では、乗算ｆ＊ｇの計算について、事前計算によってｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）、Ｈ０、Ｈ１、Ｈ２、Ｈ３、Ｈ４を効率よく事前計算する事前計算部を備える。また、疎乗算計算装置１０は、事前計算部による結果を元に５次線形連立方程式を立式する立式部を備える。また、疎乗算計算装置１０は、立式部で建てられた５次線形連立方程式を解く求解部を備える。
よって、本実施の形態に係る疎乗算計算装置１０によれば、事前計算を適切に行うことができ、また、疎になる係数がどの場合においても適用可能である。これにより、ペアリング演算を効率的に計算可能になる。
【0062】
＊＊＊他の構成＊＊＊
＜変形例１＞
本実施の形態では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、本実施の形態と異なる点を説明する。
＜変形例１＞
本実施の形態では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、本実施の形態と異なる点を説明する。
【0063】
図６は、本実施の形態の変形例１に係る疎乗算計算装置１０の構成例を示す図である。
各機能構成要素がハードウェアで実現される場合には、疎乗算計算装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
各機能構成要素がハードウェアで実現される場合には、疎乗算計算装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
【0064】
電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡが想定される。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
【0065】
＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【0066】
プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とをプロセッシングサーキットリという。つまり、各機能構成要素の機能は、プロセッシングサーキットリにより実現される。
【0067】
【0068】
本実施の形態では、有限体Ｆｐｋの元ｆと元ｇを取得して、元ｆが疎である場合に乗算６ｆ＊ｇの計算だけを行う疎乗算計算装置１０を説明した。
ミラー関数計算装置４００は、本実施の形態の疎乗算計算装置１０を備え、３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算を行う装置である。
ミラー関数計算装置４００は、本実施の形態の疎乗算計算装置１０を備え、３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算を行う装置である。
【0069】
図７において、疎乗算計算装置１０は疎乗算計算部と読み替えてもよい。
ミラー関数計算装置４００は、本実施の形態で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
ミラー関数計算装置４００は、本実施の形態で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
【0070】
【0071】
ペアリング演算装置５００は、３次ツイストを持つ楕円曲線上のペアリング演算を行う装置である。本実施の形態の変形例３に係るミラー関数計算装置４００と、最終べきの計算を行う最終べき計算装置５１０とを備える。
【0072】
ペアリング演算装置５００は、例えば、ＢＬＳ２７曲線上におけるペアリング演算を行う。また、ペアリング演算装置５００は、ＢＬＳ９曲線上におけるペアリング演算を行う。また、ペアリング演算装置５００は、ＢＬＳ１５曲線上におけるペアリング演算を行う。また、ペアリング演算装置５００は、ＢＬＳ２１曲線上におけるペアリング演算を行う。
【0073】
図８において、ミラー関数計算装置４００はミラー関数計算部と読み替えてもよい。
ペアリング演算装置５００は、本実施の形態で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
ペアリング演算装置５００は、本実施の形態で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
【0074】
実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
【0075】
実施の形態１では、元ｆ、元ｇを形式的に多項式と見た数１３において数１４、１５で０、１、－１、２、∞を代入した。本実施の形態では、数１３において数１４、１５で０、１、－１、－ｕ、∞を代入する態様について説明する。
【0076】
＊＊＊構成の説明＊＊＊
図９は、本実施の形態に係る疎乗算計算装置１０の構成例を示す図である。
本実施の形態に係る疎乗算計算装置１０の構成は、本実施の形態に係る疎乗算計算装置１０の構成と同様である。第１事前計算部３１が、数１３において数１４、１５で０、１、－１、－ｕ、∞を代入する点が異なる。
図９は、本実施の形態に係る疎乗算計算装置１０の構成例を示す図である。
本実施の形態に係る疎乗算計算装置１０の構成は、本実施の形態に係る疎乗算計算装置１０の構成と同様である。第１事前計算部３１が、数１３において数１４、１５で０、１、－１、－ｕ、∞を代入する点が異なる。
【0077】
＊＊＊動作の説明＊＊＊
図２、および図１０から図１２を参照して、本実施の形態に係る疎乗算計算装置１０の動作について説明する。
本実施の形態に係る疎乗算計算装置１０の動作手順は、本実施の形態に係る疎乗算計算方法に相当する。また、本実施の形態に係る疎乗算計算装置１０の動作を実現するプログラムは、本実施の形態に係る疎乗算計算プログラムに相当する。
図２、および図１０から図１２を参照して、本実施の形態に係る疎乗算計算装置１０の動作について説明する。
本実施の形態に係る疎乗算計算装置１０の動作手順は、本実施の形態に係る疎乗算計算方法に相当する。また、本実施の形態に係る疎乗算計算装置１０の動作を実現するプログラムは、本実施の形態に係る疎乗算計算プログラムに相当する。
【0078】
図２を参照して、本実施の形態に係る疎乗算計算装置１０の全体的な動作を説明する。
【0079】
＜ステップＳ１１：事前計算＞
本実施の形態の事前計算処理では、事前計算部２１は、元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値０，１，－１，－ｕ，∞を代入する。事前計算部２１は、ｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
より具体的には、以下の通りである。
本実施の形態の事前計算処理では、事前計算部２１は、元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値０，１，－１，－ｕ，∞を代入する。事前計算部２１は、ｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する。
より具体的には、以下の通りである。
【0080】
まず、それぞれの多項式ｆ（Ｘ）、ｇ（Ｘ）にＸ＝０、Ｘ＝１、Ｘ＝－１、Ｘ＝－ｕ、Ｘ＝∞、を代入し数２７および数２８を得る。
【数27】
【数28】
【0081】
図１０は、本実施の形態に係る数２７および数２８を具体的に計算する計算過程を示すフローチャートである。
数２７および数２８を具体的に計算する計算過程は、図１０の第１事前計算部３１に関する計算のフローチャートを参照して説明する。
数２７および数２８を具体的に計算する計算過程は、図１０の第１事前計算部３１に関する計算のフローチャートを参照して説明する。
【0082】
ステップＳ５１では、第１事前計算部３１は、入力のｆにおける係数ｆ０、ｆ２とを用いて加算を計算する。
ステップＳ５２およびＳ５３では、第１事前計算部３１は、ステップＳ５１で計算された結果にそれぞれ係数ｆ１を加算および減算する。これらのステップ処理により、ステップＳ５２からはｆ（１）、ステップＳ５３からはｆ（－１）が計算される。
ステップＳ５２およびＳ５３では、第１事前計算部３１は、ステップＳ５１で計算された結果にそれぞれ係数ｆ１を加算および減算する。これらのステップ処理により、ステップＳ５２からはｆ（１）、ステップＳ５３からはｆ（－１）が計算される。
【0083】
ステップＳ５４では、第１事前計算部３１は、ｆ１のｕ倍が計算され、係数ｆ０から減算される。
ステップＳ５５では、第１事前計算部３１は、ｆ２のｕ倍が計算され、ステップＳ５４で計算された結果から減算される。このステップ処理により、ｆ（－ｕ）が計算される。
ステップＳ５５では、第１事前計算部３１は、ｆ２のｕ倍が計算され、ステップＳ５４で計算された結果から減算される。このステップ処理により、ｆ（－ｕ）が計算される。
【0084】
事前計算部２１の第２事前計算部３２では、立式部２２で５次元の連立線形方程式を立式するために、数２９を計算する。
【数29】
【0085】
ここで、ｈ０、ｈ１、ｈ２、ｈ３、ｈ４は数１７に表される係数である。
なお、ｖ３＝ｕであることに注意されたい。
このｈ０、ｈ１、ｈ２、ｈ３、ｈ４は最終的に計算したい乗算ｆ＊ｇの係数である。したがって、以下ではこのｈ０、ｈ１、ｈ２、ｈ３、ｈ４を計算することを目標とする。
なお、ｖ３＝ｕであることに注意されたい。
このｈ０、ｈ１、ｈ２、ｈ３、ｈ４は最終的に計算したい乗算ｆ＊ｇの係数である。したがって、以下ではこのｈ０、ｈ１、ｈ２、ｈ３、ｈ４を計算することを目標とする。
【0086】
＜ステップＳ１２：線形方程式を解く＞
立式部２２では、事前計算部２１で計算された結果をもとに５次元の線形方程式である数３０を立式する。
立式部２２では、事前計算部２１で計算された結果をもとに５次元の線形方程式である数３０を立式する。
【数30】
【0087】
この数３０の行列はｕ（ｕ２－１）が０でないとき正則行列である。本実施の形態で考えている状況は３次拡大体であるため、ｕが０または１または－１になることはないのでこの行列は逆行列を持つ。そこで、逆行列を数３０の両辺にかけると数３１を得る。
【数31】
【0088】
ここで、数３１の右辺を計算した際の４要素目、５要素目は数１７での３次の係数、４次の係数に値する。したがって有限体上の剰余を施すことは数３１右辺の行列の４行目をｕ倍して１行目に加算する、５行目をｕ倍して２行目に加算することと等しい。すなわち、数３１を、関係式ｖ３＝ｕをもって剰余すると、数３２を得る。
【数32】
【0089】
数３２の両辺を－２ｕ（ｕ２－１）倍することで分母を払うと、係数ｈ０、ｈ１、ｈ２について数３３の式を得る。なお、数３１および数３２を得る計算は立式部２２で計算される。
【数33】
【0090】
図１１および図１２は、本実施の形態に係る数３３を具体的に計算する計算過程を示すフローチャートである。
数３３を具体的に計算する計算過程は、図１１および図１２の求解部２３に関する計算のフローチャートを参照して説明する。
数３３を具体的に計算する計算過程は、図１１および図１２の求解部２３に関する計算のフローチャートを参照して説明する。
【0091】
ステップＳ６０１では、求解部２３は、すでに数２９で計算されているＨ０を用いて加算を行い、その結果をメモリ１２に書き込む。
ステップＳ６０２では、求解部２３は、すでに計算されている２Ｈ０を用いてｕ倍算を行い、その結果をメモリ１２に書き込む。
ステップＳ６０３では、求解部２３は、すでに計算されている２ｕＨ０を用いてｕ倍算を行い、その結果をメモリ１２に書き込む。
ステップＳ６０４では、求解部２３は、ステップＳ６０３で得られた値とステップＳ６０２で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
求解部２３は、ステップＳ６０５からステップＳ６２１も同様に計算ステップを踏み、それぞれの結果をメモリ１２に書き込む。
ステップＳ６０２では、求解部２３は、すでに計算されている２Ｈ０を用いてｕ倍算を行い、その結果をメモリ１２に書き込む。
ステップＳ６０３では、求解部２３は、すでに計算されている２ｕＨ０を用いてｕ倍算を行い、その結果をメモリ１２に書き込む。
ステップＳ６０４では、求解部２３は、ステップＳ６０３で得られた値とステップＳ６０２で得られた値とを用いて計算を行い、その結果をメモリ１２に書き込む。
求解部２３は、ステップＳ６０５からステップＳ６２１も同様に計算ステップを踏み、それぞれの結果をメモリ１２に書き込む。
【0092】
ステップＳ７０１からステップＳ７０３では、求解部２３は、図１１の計算で得られた値を用いて計算を行い、その結果をメモリ１２に書き込む。ステップＳ７０３の処理によって求めるべき係数の一つである－２ｕ（ｕ２－１）ｈ０を得る。
その他も同様にこれまでの計算結果を用いて計算を行い、－２ｕ（ｕ２－１）ｈ１、－２ｕ（ｕ２－１）ｈ２を得る。
その他も同様にこれまでの計算結果を用いて計算を行い、－２ｕ（ｕ２－１）ｈ１、－２ｕ（ｕ２－１）ｈ２を得る。
【0093】
次に、ここまでの計算過程の計算コストを評価する。
数２７、数２８については、それぞれ６回の加算と２回のｕ倍算を行った。したがって、数２７と数２８の計算は１２回の加算と４回のｕ倍算で完了する。
数２９については、５回の乗算を行った。
数３３については、合計で１７回の加算と１７回のｕ倍算を行った。
これらのことから、本実施の形態における計算コストの総計は数３４で表される。
数２７、数２８については、それぞれ６回の加算と２回のｕ倍算を行った。したがって、数２７と数２８の計算は１２回の加算と４回のｕ倍算で完了する。
数２９については、５回の乗算を行った。
数３３については、合計で１７回の加算と１７回のｕ倍算を行った。
これらのことから、本実施の形態における計算コストの総計は数３４で表される。
【数34】
【0094】
ここまでで、係数ｈ０、ｈ１、ｈ２を求めることができたので、それは入力ｆ、ｇに対して乗算－２ｕ（ｕ２－１）ｆ＊ｇを計算できたことと等しい。
【0095】
実施の形態１においては、ｆまたはｇが疎であるような状況を考えている。この場合分けについては実施の形態１と同様であるため省略する。
【0096】
（係数ｆ０または係数ｆ２が疎であるとき）
この場合の乗算－２ｕ（ｕ２－１）ｆ＊ｇの計算コストは数３５で表される。
この場合の乗算－２ｕ（ｕ２－１）ｆ＊ｇの計算コストは数３５で表される。
【数35】
【0097】
（係数ｆ１が疎であるとき）
この場合の計算コストは数３６で表される。
この場合の計算コストは数３６で表される。
【数36】
【0098】
最後に、この疎乗算アルゴリズムをペアリング演算におけるミラー関数計算に適用することを考える。ミラー関数計算で、ｎ回だけ疎乗算が現れると、ミラー関数計算終了時には（－２ｕ（ｕ２－１））ｎもしくは（－２ｕ（ｕ２－１））ｎｖｎだけ本来求めたい値とずれた値が出力される。ところが最終べき計算の性質により、最終べきにおけるｅａｓｙ ｐａｒｔ計算時点でそのような定数は消滅するため、最終的なペアリング演算には影響が出ない。
【0099】
＊＊＊他の構成＊＊＊
＜変形例５＞
本実施の形態に係る疎乗算計算装置１０においても、実施の形態１の変形例３および変形例４と同様に、ミラー関数計算装置４００およびペアリング演算装置５００を構成する。
＜変形例５＞
本実施の形態に係る疎乗算計算装置１０においても、実施の形態１の変形例３および変形例４と同様に、ミラー関数計算装置４００およびペアリング演算装置５００を構成する。
【0100】
＊＊＊本実施の形態の効果＊＊＊
以上のように、本実施の形態に係る疎乗算計算装置１０では、乗算ｆ＊ｇの計算について、事前計算によってｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）、Ｈ０、Ｈ１、Ｈ２、Ｈ３、Ｈ４を効率よく事前計算する事前計算部を備える。また、疎乗算計算装置１０は、事前計算部による結果を元に５次線形連立方程式を立式する立式部を備える。また、疎乗算計算装置１０は、立式部で建てられた５次線形連立方程式を解く求解部を備える。
以上のように、本実施の形態に係る疎乗算計算装置１０についても、事前計算を適切に行い、また、疎になる係数がどの場合においても適用可能である。これにより、実施の形態１と同様に、ペアリング演算を効率的に計算可能になる。
以上のように、本実施の形態に係る疎乗算計算装置１０では、乗算ｆ＊ｇの計算について、事前計算によってｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）、Ｈ０、Ｈ１、Ｈ２、Ｈ３、Ｈ４を効率よく事前計算する事前計算部を備える。また、疎乗算計算装置１０は、事前計算部による結果を元に５次線形連立方程式を立式する立式部を備える。また、疎乗算計算装置１０は、立式部で建てられた５次線形連立方程式を解く求解部を備える。
以上のように、本実施の形態に係る疎乗算計算装置１０についても、事前計算を適切に行い、また、疎になる係数がどの場合においても適用可能である。これにより、実施の形態１と同様に、ペアリング演算を効率的に計算可能になる。
【0101】
実施の形態３．
本実施の形態では、主に、実施の形態１，２と異なる点、および実施の形態１，２に追加する点について説明する。
本実施の形態において、実施の形態１，２と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
本実施の形態では、主に、実施の形態１，２と異なる点、および実施の形態１，２に追加する点について説明する。
本実施の形態において、実施の形態１，２と同様の機能を有する構成については同一の符号を付し、その説明を省略する。
【0102】
実施の形態１および実施の形態２では、疎乗算の計算方法について説明した。本実施の形態では、実施の形態１および実施の形態２で計算されたペアリング演算の結果を用いた処理について説明する。
【0103】
【0104】
暗号処理装置６００は、実施の形態１および実施の形態２で説明したペアリング演算装置５００を備え、ペアリング演算装置５００によって計算されたペアリング演算の結果を用いて暗号処理を行う暗号処理部６１０を備える。
【0105】
図１３において、ミラー関数計算装置４００および最終べき計算装置５１０は、ミラー関数計算部および最終べき計算部と読み替えてもよい。
暗号処理装置６００は、実施の形態１で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
暗号処理装置６００は、実施の形態１で説明した疎乗算計算装置１０と同様に各機能構成要素がソフトウェアまたはハードウェアによって実現される。
【0106】
＊＊＊動作の説明＊＊＊
本実施の形態に係る暗号処理装置６００の動作について説明する。
本実施の形態に係る暗号処理装置６００の動作手順は、本実施の形態に係る暗号処理方法に相当する。また、本実施の形態に係る暗号処理装置６００の動作を実現するプログラムは、本実施の形態に係る暗号処理プログラムに相当する。
本実施の形態に係る暗号処理装置６００の動作について説明する。
本実施の形態に係る暗号処理装置６００の動作手順は、本実施の形態に係る暗号処理方法に相当する。また、本実施の形態に係る暗号処理装置６００の動作を実現するプログラムは、本実施の形態に係る暗号処理プログラムに相当する。
【0107】
図１４は、本実施の形態に係る暗号処理装置６００の動作を示すフローチャートである。
本実施の形態に係る暗号処理装置６００の動作手順は、本実施の形態に係る暗号処理方法に相当する。また、本実施の形態に係る暗号処理装置６００の動作を実現するプログラムは、本実施の形態に係る暗号処理プログラムに相当する。
本実施の形態に係る暗号処理装置６００の動作手順は、本実施の形態に係る暗号処理方法に相当する。また、本実施の形態に係る暗号処理装置６００の動作を実現するプログラムは、本実施の形態に係る暗号処理プログラムに相当する。
【0108】
＜ステップＳ８１：ペアリング演算処理＞
実施の形態１または実施の形態２に係る疎乗算計算装置１０の機能構成要素を備えるペアリング演算装置５００によって、ペアリング演算の結果が計算される。ペアリング演算の結果はメモリ１２に書き込まれる。
実施の形態１または実施の形態２に係る疎乗算計算装置１０の機能構成要素を備えるペアリング演算装置５００によって、ペアリング演算の結果が計算される。ペアリング演算の結果はメモリ１２に書き込まれる。
【0109】
＜ステップＳ８２：暗号処理＞
暗号処理部６１０は、ステップＳ８１で得られたペアリング演算の結果を用いて、暗号処理を行う。暗号処理は、暗号化処理と、復号処理と、署名処理と、検証処理といった暗号プリミティブの処理である。
暗号化処理は、データを第三者から秘匿するために、平文状態のデータを暗号文に変換する処理である。復号処理は、暗号化処理により変換された暗号文を平文状態のデータに変換する処理である。署名処理は、データの改ざん検出とデータの出所確認との少なくともいずれかのための署名を生成する処理である。検証処理は、署名処理で生成された署名によりデータの改ざん検出とデータの出所確認との少なくともいずれかをする処理である。
暗号処理部６１０は、ステップＳ８１で得られたペアリング演算の結果を用いて、暗号処理を行う。暗号処理は、暗号化処理と、復号処理と、署名処理と、検証処理といった暗号プリミティブの処理である。
暗号化処理は、データを第三者から秘匿するために、平文状態のデータを暗号文に変換する処理である。復号処理は、暗号化処理により変換された暗号文を平文状態のデータに変換する処理である。署名処理は、データの改ざん検出とデータの出所確認との少なくともいずれかのための署名を生成する処理である。検証処理は、署名処理で生成された署名によりデータの改ざん検出とデータの出所確認との少なくともいずれかをする処理である。
【0110】
例えば、暗号処理部６１０は、暗号文の要素と復号鍵の要素とを入力とするペアリング演算の結果を用いて、暗号文を復号したメッセージを生成することが考えられる。
【0111】
＊＊＊本実施の形態の効果＊＊＊
以上のように、本実施の形態に係る暗号処理装置６００は、実施の形態１あるいは実施の形態２に係る疎乗算計算装置１０の機能構成要素を用いて暗号処理を実現する。実施の形態１および実施の形態２に係る疎乗算計算装置１０は、ペアリング演算を効率的に計算可能である。そのため、本実施の形態に係る暗号処理装置６００は、効率的に暗号処理を実施可能である。
以上のように、本実施の形態に係る暗号処理装置６００は、実施の形態１あるいは実施の形態２に係る疎乗算計算装置１０の機能構成要素を用いて暗号処理を実現する。実施の形態１および実施の形態２に係る疎乗算計算装置１０は、ペアリング演算を効率的に計算可能である。そのため、本実施の形態に係る暗号処理装置６００は、効率的に暗号処理を実施可能である。
【0112】
以上の実施の形態１から３では、疎乗算計算装置、ペアリング演算装置、および暗号処理装置の各装置の各部を独立した機能ブロックとして説明した。しかし、疎乗算計算装置、ペアリング演算装置、および暗号処理装置の各装置の構成は、上述した実施の形態のような構成でなくてもよい。疎乗算計算装置、ペアリング演算装置、および暗号処理装置の各装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、疎乗算計算装置、ペアリング演算装置、および暗号処理装置の各装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１から３のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これらの実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から３では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
また、実施の形態１から３のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これらの実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から３では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。
【0113】
なお、上述した実施の形態は、本質的に好ましい例示であって、本開示の範囲、本開示の適用物の範囲、および本開示の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。例えば、フロー図あるいはシーケンス図を用いて説明した手順は、適宜に変更してもよい。
【0114】
以下、本開示の諸態様を付記としてまとめて記載する。
【0115】
（付記１）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置において、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部と
を備える疎乗算計算装置。
（付記２）
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する付記１に記載の疎乗算計算装置。
（付記３）
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する付記１に記載の疎乗算計算装置。
（付記４）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算を行うミラー関数計算装置であって、
付記１から付記３のいずれか１項に記載の疎乗算計算装置を備えるミラー関数計算装置。
（付記５）
３次ツイストを持つ楕円曲線上のペアリング演算を行うペアリング演算装置であって、
付記４に記載のミラー関数計算装置と、最終べきの計算を行う最終べき計算装置とを備えたペアリング演算装置。
（付記６）
前記ペアリング演算装置は、
ＢＬＳ（Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔ）２７曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記７）
前記ペアリング演算装置は、
ＢＬＳ９曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記８）
前記ペアリング演算装置は、
ＢＬＳ１５曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記９）
前記ペアリング演算装置は、
ＢＬＳ２１曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記１０）
付記５から付記９のいずれか１項に記載のペアリング演算装置を備え、前記ペアリング演算装置によって計算されたペアリング演算の結果を用いて暗号処理を行う暗号処理部を備える暗号処理装置。
（付記１１）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算方法において、
コンピュータが、前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算し、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式し、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める疎乗算計算方法。
（付記１２）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算プログラムにおいて、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算処理と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式処理と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解処理と
をコンピュータに実行させる疎乗算計算プログラム。
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置において、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算部と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式部と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解部と
を備える疎乗算計算装置。
（付記２）
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（２）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（２）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（２）・ｇ（２）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する付記１に記載の疎乗算計算装置。
（付記３）
前記事前計算部は、
前記元ｆを多項式ｆ（Ｘ）とし、前記元ｇを多項式ｇ（Ｘ）として、Ｘに予め定められた値を代入したｆ（０）、ｆ（１）、ｆ（－１）、ｆ（－ｕ）、ｆ（∞）、ｇ（０）、ｇ（１）、ｇ（－１）、ｇ（－ｕ）、ｇ（∞）を用いて、Ｈ０＝ｆ（０）・ｇ（０）、Ｈ１＝ｆ（１）・ｇ（１）、Ｈ２＝ｆ（－１）・ｇ（－１）、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）、Ｈ４＝ｆ（∞）・ｇ（∞）の各々と、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた前記５つの多項式を計算する付記１に記載の疎乗算計算装置。
（付記４）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算を行うミラー関数計算装置であって、
付記１から付記３のいずれか１項に記載の疎乗算計算装置を備えるミラー関数計算装置。
（付記５）
３次ツイストを持つ楕円曲線上のペアリング演算を行うペアリング演算装置であって、
付記４に記載のミラー関数計算装置と、最終べきの計算を行う最終べき計算装置とを備えたペアリング演算装置。
（付記６）
前記ペアリング演算装置は、
ＢＬＳ（Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔ）２７曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記７）
前記ペアリング演算装置は、
ＢＬＳ９曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記８）
前記ペアリング演算装置は、
ＢＬＳ１５曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記９）
前記ペアリング演算装置は、
ＢＬＳ２１曲線上におけるペアリング演算を行う付記５に記載のペアリング演算装置。
（付記１０）
付記５から付記９のいずれか１項に記載のペアリング演算装置を備え、前記ペアリング演算装置によって計算されたペアリング演算の結果を用いて暗号処理を行う暗号処理部を備える暗号処理装置。
（付記１１）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算方法において、
コンピュータが、前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算し、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式し、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める疎乗算計算方法。
（付記１２）
３次ツイストを持つ楕円曲線上のペアリング演算におけるミラー関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋを３で割ることのできる自然数とし、ｅをｋ／３で表される自然数とし、Ｆｐｋを要素がｐｋ個からなる有限体で多項式環の表現Ｆｐｋ＝Ｆｐｅ［ｖ］／（ｖ３－ｕ）を持つ有限体とし、ｕをＦｐｅの元とし、ｖ３－ｕを既約多項式としたときの、有限体Ｆｐｋの元ｆと元ｇとを入力とした疎乗算ｆ＊ｇを計算する疎乗算計算装置に用いられる疎乗算計算プログラムにおいて、
前記元ｆおよび前記元ｇと、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４とを対応付けた５つの多項式を計算する事前計算処理と、
前記５つの多項式を用いて、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める５次元線形方程式を立式する立式処理と、
前記５次元線形方程式を解き、前記疎乗算ｆ＊ｇをｖで表した多項式の係数となるｈ０、ｈ１、ｈ２、ｈ３、ｈ４を求める求解処理と
をコンピュータに実行させる疎乗算計算プログラム。
【符号の説明】
【0116】
１０ 疎乗算計算装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、２１ 事前計算部、２２ 立式部、２３ 求解部、４００ ミラー関数計算装置、５００ ペアリング演算装置、５１０ 最終べき計算装置、６００ 暗号処理装置、６１０ 暗号処理部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】