知財求人 - 知財ポータルサイト「IP Force」
特開2024-170751疎乗算計算装置、Ｍｉｌｌｅｒ関数計算装置、ペアリング演算装置、暗号処理装置、疎乗算計算方法及び疎乗算計算プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024170751
(43)【公開日】2024-12-11
(54)【発明の名称】疎乗算計算装置、Ｍｉｌｌｅｒ関数計算装置、ペアリング演算装置、暗号処理装置、疎乗算計算方法及び疎乗算計算プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241204BHJP
【ＦＩ】
G09C1/00 650A
G09C1/00 620A
【審査請求】未請求
【請求項の数】17
【出願形態】ＯＬ
(21)【出願番号】P 2023087445
(22)【出願日】2023-05-29
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】林田 大輝
(57)【要約】
【課題】６次ツイストを持つ楕円曲線上のペアリング計算に現れる疎乗算を効率的に計算可能にする。
【解決手段】疎乗算計算装置１０は、埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する。疎乗算計算装置１０は、ｋ次拡大体の疎乗算を計算する。分解部２１は、ｋ次拡大体を２次拡大体と３次拡大体とに分解する。疎乗算計算部２２は、２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、ｋ次拡大体における疎乗算を計算する。
【選択図】図１
【解決手段】疎乗算計算装置１０は、埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する。疎乗算計算装置１０は、ｋ次拡大体の疎乗算を計算する。分解部２１は、ｋ次拡大体を２次拡大体と３次拡大体とに分解する。疎乗算計算部２２は、２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、ｋ次拡大体における疎乗算を計算する。
【選択図】図１
【特許請求の範囲】
【請求項1】
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋ次拡大体の疎乗算を計算する疎乗算計算装置であり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える疎乗算計算装置。
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える疎乗算計算装置。
【請求項2】
前記疎乗算計算部は、前記３次拡大体における疎乗算の結果を用いて、前記２次拡大体における疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する
請求項１に記載の疎乗算計算装置。
請求項１に記載の疎乗算計算装置。
【請求項3】
前記楕円曲線は、６次ツイストを持つ６次ツイスト曲線であり、
ｋ次拡大体である有限体Ｆｐｋは、ｗ２－ｖが多項式環Ｆｐｋ／２［ｗ］上の既約多項式であり、ｖをＦｐｋ／２に属する元とした場合における多項式環の表現Ｆｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）を持ち、有限体Ｆｐｋ／２は、ｖ３－ｕが多項式環Ｆｐｋ／６［ｖ］上の既約多項式であり、ｕをＦｐｋ／６に属する元とした場合における多項式環の表現Ｆｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）を持ち、
前記分解部は、前記有限体Ｆｐｋを、前記２次拡大体である有限体Ｆｐｋ／２と、前記３次拡大体である有限体Ｆｐｋ／６とに分解する
請求項２に記載の疎乗算計算装置。
ｋ次拡大体である有限体Ｆｐｋは、ｗ２－ｖが多項式環Ｆｐｋ／２［ｗ］上の既約多項式であり、ｖをＦｐｋ／２に属する元とした場合における多項式環の表現Ｆｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）を持ち、有限体Ｆｐｋ／２は、ｖ３－ｕが多項式環Ｆｐｋ／６［ｖ］上の既約多項式であり、ｕをＦｐｋ／６に属する元とした場合における多項式環の表現Ｆｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）を持ち、
前記分解部は、前記有限体Ｆｐｋを、前記２次拡大体である有限体Ｆｐｋ／２と、前記３次拡大体である有限体Ｆｐｋ／６とに分解する
請求項２に記載の疎乗算計算装置。
【請求項4】
前記疎乗算計算部は、前記３次拡大体における疎乗算をｖで表した多項式の係数を求める線形方程式を立式し、前記線形方程式を解いて前記係数を求めることにより、前記３次拡大体における疎乗算を計算する
請求項２に記載の疎乗算計算装置。
請求項２に記載の疎乗算計算装置。
【請求項5】
前記疎乗算計算部は、前記３次拡大体における疎乗算ｆ＊ｇの入力である元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに０と１と－１と－ｕとのそれぞれを代入したｆ（０）とｆ（１）とｆ（－１）とｆ（－ｕ）とｇ（０）とｇ（１）とｇ（－１）とｇ（－ｕ）とを用いて表された、Ｈ０＝ｆ（０）・ｇ（０）と、Ｈ１＝ｆ（１）・ｇ（１）と、Ｈ２＝ｆ（－１）・ｇ（－１）と、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）とのそれぞれを、前記疎乗算ｆ＊ｇをｖで表した多項式の係数と対応付けた４つの多項式により、前記線形方程式を立式する
請求項４に記載の疎乗算計算装置。
請求項４に記載の疎乗算計算装置。
【請求項6】
前記埋め込み次数ｋは、６と１２と１８と２４と３０と３６と４２と４８とのいずれかである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項7】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝６ｘ２＋１、前記多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、前記多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝６ｘ２＋１、前記多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、前記多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項8】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項9】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項10】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは２４であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは２４であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項11】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは４２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項12】
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４８であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
前記埋め込み次数ｋは４８であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
請求項１から５までのいずれか１項に記載の疎乗算計算装置。
【請求項13】
請求項１に記載の疎乗算計算装置と、
前記疎乗算計算装置によって計算された前記ｋ次拡大体の疎乗算の結果を用いて、前記Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算部と
を備えるＭｉｌｌｅｒ関数計算装置。
前記疎乗算計算装置によって計算された前記ｋ次拡大体の疎乗算の結果を用いて、前記Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算部と
を備えるＭｉｌｌｅｒ関数計算装置。
【請求項14】
請求項１３に記載のＭｉｌｌｅｒ関数計算装置と、
前記ペアリング演算における最終べき計算を行う最終べき計算部と
を備えるペアリング演算装置。
前記ペアリング演算における最終べき計算を行う最終べき計算部と
を備えるペアリング演算装置。
【請求項15】
請求項１４に記載のペアリング演算装置によって計算された前記ペアリング演算の結果を用いて、暗号処理を行う暗号処理装置。
【請求項16】
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算方法であって、ｋ次拡大体の疎乗算を計算する疎乗算計算方法であり、
コンピュータが、前記ｋ次拡大体を２次拡大体と３次拡大体とに分解し、
コンピュータが、分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算方法。
コンピュータが、前記ｋ次拡大体を２次拡大体と３次拡大体とに分解し、
コンピュータが、分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算方法。
【請求項17】
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算プログラムであって、ｋ次拡大体の疎乗算を計算する疎乗算計算プログラムであり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解処理と、
前記分解処理によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算処理と
を行う疎乗算計算装置としてコンピュータを機能させる疎乗算計算プログラム。
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解処理と、
前記分解処理によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算処理と
を行う疎乗算計算装置としてコンピュータを機能させる疎乗算計算プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、ペアリング演算における疎乗算の計算技術に関する。
【背景技術】
【0002】
ペアリング演算は、関数型暗号及び秘匿検索といった暗号方式の内部で処理される楕円曲線を用いた演算である。ペアリング演算の効率的な計算に適した楕円曲線をペアリングフレンドリ曲線という。これまで１２８ビット安全性相当のペアリングフレンドリ曲線としてＢＮ曲線が知られていた。ＢＮは、Ｂａｒｒｅｔ－Ｎａｅｈｒｉｇの略である。しかし２０１６年頃から、安全性の見直しが行われ、ＢＬＳ曲線及びＫＳＳ曲線等、様々なペアリングフレンドリ曲線を用いたペアリング演算への関心が高まってきている。ＢＬＳは、Ｂａｒｒｅｔｏ－Ｌｙｎｎ－Ｓｃｏｔｔの略である。ＫＳＳは、Ｋａｃｈｉｓａ－Ｓｃｈａｅｆｅｒ－Ｓｃｏｔｔの略である。
【0003】
ペアリング演算は、大きく分けてＭｉｌｌｅｒ関数の計算と最終べきの計算とに分けられる。Ｍｉｌｌｅｒ関数の計算と最終べきの計算とのどちらも複雑な計算過程を要し、関数型暗号及び秘匿検索といった暗号方式全体の計算量に大きな影響を与えている。
【0004】
最近の研究では、数多くあるペアリングフレンドリ曲線の中でもペアリング演算全体の効率がよいとされているＢＬＳ曲線について研究されているものが多い。特に、埋め込み次数ｋとしてｋ＝１２，２４，２７，４２，４８のＢＬＳ曲線におけるペアリング演算についてよく研究されている。その中でも埋め込み次数に６の倍数を含む、６次ツイストを持つペアリングフレンドリ曲線は特に計算効率がよいとされ、広くその計算効率化に関して研究がなされている。
【0005】
楕円曲線族によってパラメータ付けされる曲線は、多項式ｒ（ｘ）と、多項式ｐ（ｘ）と、多項式ｔ（ｘ）と、埋め込み次数ｋと、整数ｕとで決まる楕円曲線である。多項式ｒ（ｘ）と、多項式ｐ（ｘ）と、多項式ｔ（ｘ）とは、埋め込み次数ｋに応じて異なる形をしている。埋め込み次数ｋの楕円曲線族によってパラメータ付けされる曲線Ｅはｐ＝ｐ（ｘ）個の要素からなる有限体Ｆｐ上で定義される楕円曲線である。ｒ＝ｒ（ｘ）は、楕円曲線Ｅの部分群Ｅ（Ｆｐ）の位数を割る最大素数である。ｔ＝ｔ（ｘ）は、楕円曲線Ｅのトレースである。
【0006】
楕円曲線Ｅ上のペアリング演算は、楕円曲線Ｅ上のある２点Ｐ，Ｑを入力とし、Ｍｉｌｌｅｒ関数と呼ばれる有理関数ｆを計算した後、（ｐ（ｘ）ｋ－１）／ｒ（ｘ）乗して計算される。つまり、楕円曲線Ｅ上のペアリング演算は、数１００により計算される。
【数100】
【0007】
非特許文献１には、Ｍｉｌｌｅｒ関数の計算を効率的に行うため、ＢＮ曲線に対して効率的な疎乗算の計算アルゴリズムが記載されている。ここでは６次ツイスト曲線に対応する疎乗算を説明するために、拡大体Ｆｐ１２の元ｆ、ｇを考える。元ｆ、ｇの形は１２次拡大体の基底をどのように取るかによって変化するが、ここでは数１０１のように拡大体を設定する。
このとき、元ｆは数１０２のような形をしている。なお、元ｇも同様である。
ここで、各係数ｆ０，ｆ１，ｆ２，ｆ３，ｆ４，ｆ５は中間体Ｆｐ２の元であり、ｖは拡大体Ｆｐ１２／Ｆｐ２の基底である。
【数101】
【数102】
【0008】
このとき、元ｆと元ｇの疎乗算とは元ｆと元ｇとのいずれかが疎である状況をいう。元が疎とは、元の係数のいずれかが０であることを意味する。この場合、通常の乗算に比べて計算効率が良いことが知られている。
【先行技術文献】
【非特許文献】
【0009】
【非特許文献1】Ｍｏｒｉ Ｙ， Ａｋａｇｉ Ｓ， Ｎｏｇａｍｉ Ｙ， Ｓｈｉｒａｓｅ Ｍ． （２０１４） Ｐｓｅｕｄｏ ８－Ｓｐａｒｓｅ Ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｆｏｒ Ｅｆｆｉｃｉｅｎｔ Ａｔｅ－Ｂａｓｅｄ Ｐａｉｒｉｎｇ ｏｎ Ｂａｒｒｅｔｏ－Ｎａｅｈｒｉｇ Ｃｕｒｖｅ． Ｉｎ： Ｃａｏ Ｚ， Ｚｈａｎｇ Ｆ． （ｅｄｓ） Ｐａｉｒｉｎｇ－Ｂａｓｅｄ Ｃｒｙｐｔｏｇｒａｐｈｙ－Ｐａｉｒｉｎｇ ２０１３． Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ， ｖｏｌ ８３６５ Ｓｐｒｉｎｇｅｒ， Ｃｈａｍ．
【発明の概要】
【発明が解決しようとする課題】
【0010】
６次ツイストを持つ楕円曲線上のペアリング計算に現れる疎乗算を効率的に計算するには、６次ツイストを持つ楕円曲線に対応した効率的な疎乗算計算アルゴリズムが必要である。非特許文献１で考えられてきたナイーブに構成された疎乗算アルゴリズムはその他の埋め込み次数を持つ曲線には適用できない他、効率化の余地が残っている。
本開示は、６次ツイストを持つ楕円曲線上のペアリング計算に現れる疎乗算を効率的に計算可能にすることを目的とする。
本開示は、６次ツイストを持つ楕円曲線上のペアリング計算に現れる疎乗算を効率的に計算可能にすることを目的とする。
【課題を解決するための手段】
【0011】
本開示に係る疎乗算計算装置は、
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋ次拡大体の疎乗算を計算する疎乗算計算装置であり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える。
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋ次拡大体の疎乗算を計算する疎乗算計算装置であり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える。
【発明の効果】
【0012】
本開示では、ｋ次拡大体を２次拡大体と３次拡大体とに分解し、２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、ｋ次拡大体における疎乗算を計算する。これにより、６次ツイストを持つ楕円曲線上のペアリング計算に現れる疎乗算を効率的に計算可能になる。
【図面の簡単な説明】
【0013】
【図1】実施の形態１に係る疎乗算計算装置１０の構成図。
【図2】実施の形態１に係る疎乗算計算装置１０の全体的な動作のフローチャート。
【図3】実施の形態１に係る立式部２５による数１０の計算処理のフローチャート。
【図4】実施の形態１に係る立式部２５による数１１の計算処理のフローチャート。
【図5】実施の形態１に係る求解部２６の計算処理のフローチャート。
【図6】実施の形態１に係る求解部２６の計算処理のフローチャート。
【図7】変形例１に係る疎乗算計算装置１０の構成図。
【図8】変形例３に係るＭｉｌｌｅｒ関数計算装置３０の構成図。
【図9】変形例４に係るペアリング演算装置４０の構成図。
【図10】実施の形態２に係る暗号処理装置５０の構成図。
【図11】実施の形態２に係る暗号処理装置５０の動作を示すフローチャート。
【発明を実施するための形態】
【0014】
実施の形態１．
【0015】
＊＊＊構成の説明＊＊＊
図１を参照して、実施の形態１に係る疎乗算計算装置１０の構成を説明する。
疎乗算計算装置１０は、コンピュータである。
疎乗算計算装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
図１を参照して、実施の形態１に係る疎乗算計算装置１０の構成を説明する。
疎乗算計算装置１０は、コンピュータである。
疎乗算計算装置１０は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信インタフェース１４とのハードウェアを備える。プロセッサ１１は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。
【0016】
プロセッサ１１は、プロセッシングを行うＩＣである。ＩＣはＩｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。プロセッサ１１は、具体例としては、ＣＰＵ、ＤＳＰ、ＧＰＵである。ＣＰＵは、Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。ＤＳＰは、Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒの略である。ＧＰＵは、Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔの略である。
【0017】
メモリ１２は、データを一時的に記憶する記憶装置である。メモリ１２は、具体例としては、ＳＲＡＭ、ＤＲＡＭである。ＳＲＡＭは、Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。ＤＲＡＭは、Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙの略である。
【0018】
ストレージ１３は、データを保管する記憶装置である。ストレージ１３は、具体例としては、ＨＤＤである。ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略である。また、ストレージ１３は、ＳＤ（登録商標）メモリカード、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、Ｂｌｕ－ｒａｙ（登録商標）ディスク、ＤＶＤといった可搬記録媒体であってもよい。ＳＤは、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略である。
【0019】
通信インタフェース１４は、外部の装置と通信するためのインタフェースである。通信インタフェース１４は、具体例としては、Ｅｔｈｅｒｎｅｔ（登録商標）、ＵＳＢ、ＨＤＭＩ（登録商標）のポートである。ＵＳＢは、Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓの略である。ＨＤＭＩは、Ｈｉｇｈ－Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅの略である。
【0020】
疎乗算計算装置１０は、機能構成要素として、分解部２１と、疎乗算計算部２２とを備える。疎乗算計算部２２は、第１計算部２３と、第２計算部２４とを備える。第２計算部２４は、立式部２５と、求解部２６とを備える。疎乗算計算装置１０の各機能構成要素の機能はソフトウェアにより実現される。
ストレージ１３には、疎乗算計算装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、疎乗算計算装置１０の各機能構成要素の機能が実現される。
ストレージ１３には、疎乗算計算装置１０の各機能構成要素の機能を実現するプログラムが格納されている。このプログラムは、プロセッサ１１によりメモリ１２に読み込まれ、プロセッサ１１によって実行される。これにより、疎乗算計算装置１０の各機能構成要素の機能が実現される。
【0021】
図１では、プロセッサ１１は、１つだけ示されていた。しかし、プロセッサ１１は、複数であってもよく、複数のプロセッサ１１が、各機能を実現するプログラムを連携して実行してもよい。
【0022】
＊＊＊動作の説明＊＊＊
図２から図６を参照して、実施の形態１に係る疎乗算計算装置１０の動作を説明する。
実施の形態１に係る疎乗算計算装置１０の動作手順は、実施の形態１に係る疎乗算計算方法に相当する。また、実施の形態１に係る疎乗算計算装置１０の動作を実現するプログラムは、実施の形態１に係る疎乗算計算プログラムに相当する。
図２から図６を参照して、実施の形態１に係る疎乗算計算装置１０の動作を説明する。
実施の形態１に係る疎乗算計算装置１０の動作手順は、実施の形態１に係る疎乗算計算方法に相当する。また、実施の形態１に係る疎乗算計算装置１０の動作を実現するプログラムは、実施の形態１に係る疎乗算計算プログラムに相当する。
【0023】
実施の形態１では、疎乗算計算装置１０は、拡大体Ｆｐｋ／Ｆｐｋ／２／Ｆｐｋ／６における疎乗算を計算する。なお、ｋは６で割ることのできる自然数である。また、Ｆｑと書けば、要素の個数がｑ個からなる有限体を表す。また、有限体Ｆｐｋは多項式環の表現Ｆｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）を持つ。なお、ｗ２－ｖは多項式環Ｆｐｋ／２［ｗ］上の既約多項式であり、元ｖはＦｐｋ／２に属する。有限体Ｆｐｋ／２は多項式環の表現Ｆｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）を持つ。なお、ｖ３－ｕは多項式環Ｆｐｋ／６［ｖ］上の既約多項式であり、元ｕはＦｐｋ／６に属する。
拡大体Ｆｐｋにおける疎乗算は、６次ツイストを持つ楕円曲線のペアリング計算を考えたとき、Ｍｉｌｌｅｒ関数の計算に複数回出現する計算である。具体例としては、拡大体Ｆｐｋにおける疎乗算は、ＢＮ曲線、ＢＬＳ－１２曲線、ＢＬＳ－２４曲線、ＢＬＳ－４８曲線等の上におけるペアリング計算で現れる。
拡大体Ｆｐｋにおける疎乗算は、６次ツイストを持つ楕円曲線のペアリング計算を考えたとき、Ｍｉｌｌｅｒ関数の計算に複数回出現する計算である。具体例としては、拡大体Ｆｐｋにおける疎乗算は、ＢＮ曲線、ＢＬＳ－１２曲線、ＢＬＳ－２４曲線、ＢＬＳ－４８曲線等の上におけるペアリング計算で現れる。
【0024】
図２を参照して、実施の形態１に係る疎乗算計算装置１０の全体的な動作を説明する。
まず諸計算を行う前に、ステップＳ１１で分解部２１は、拡大体Ｆｐｋの分解を行う。実施の形態１では、分解部２１は、２次拡大、３次拡大とｋ次拡大体である拡大体Ｆｐｋを上から分解する。次にステップＳ１２で第１計算部２３は、２次拡大体の部分に対応する疎乗算の計算を行う。次にステップＳ１３で第２計算部２４は、３次拡大体の部分に対応する疎乗算の計算を行う。
まず諸計算を行う前に、ステップＳ１１で分解部２１は、拡大体Ｆｐｋの分解を行う。実施の形態１では、分解部２１は、２次拡大、３次拡大とｋ次拡大体である拡大体Ｆｐｋを上から分解する。次にステップＳ１２で第１計算部２３は、２次拡大体の部分に対応する疎乗算の計算を行う。次にステップＳ１３で第２計算部２４は、３次拡大体の部分に対応する疎乗算の計算を行う。
【0025】
ここで、ステップＳ１２における２次拡大体の部分に対応する疎乗算の計算で使用される要素（後述する乗算ｆ１ｇ１と乗算ｆ０ｇ１）が、ステップＳ１３における３次拡大体の部分に対応する疎乗算の計算により求められる。つまり、疎乗算計算部２２は、３次拡大体における疎乗算の結果を用いて、２次拡大体における疎乗算を計算することより、ｋ次拡大体における疎乗算を計算する。
【0026】
次に、疎乗算計算装置１０の詳細な動作について説明する。
疎乗算は、有限体Ｆｐｋの２つの元ｆ、ｇを入力とした乗算ｆ＊ｇのことであり、元ｆ又は元ｇのいずれかが疎であるときをいう。元が疎とは、元の係数のいずれかが０であることを意味する。つまり、元ｆは、Ｆｐの係数がｋ個並んでいるが、このうち１つ以上の係数が０である場合に元ｆは疎であるという。元ｇについても同様である。
実施の形態１においては元ｆ、ｇのいずれが疎であっても議論は変わらないため、以下では元ｇが疎である状況を考える。
疎乗算は、有限体Ｆｐｋの２つの元ｆ、ｇを入力とした乗算ｆ＊ｇのことであり、元ｆ又は元ｇのいずれかが疎であるときをいう。元が疎とは、元の係数のいずれかが０であることを意味する。つまり、元ｆは、Ｆｐの係数がｋ個並んでいるが、このうち１つ以上の係数が０である場合に元ｆは疎であるという。元ｇについても同様である。
実施の形態１においては元ｆ、ｇのいずれが疎であっても議論は変わらないため、以下では元ｇが疎である状況を考える。
【0027】
６次ツイスト曲線のペアリングにおけるミラーループでは数１の形の元が出現する。
ここで、ｄ＝ｋ／６であり、数１における＊は素体Ｆｐの０とは限らないある元を表す。数１の表記は次数の低い基底から並べた際の係数部分のみを抽出した表記である。具体的には、数１はｋ次拡大体における数２と同値である。
ただし、ｆ３，ｆ４はＦｐｋ／６のある元である。ｆ３，ｆ４が数１の＊に対応している。このように、元ｇを６つの係数に分解した際の４項目、５項目以外の部分のほとんどが０埋めされている状況が出現するのが６次ツイスト曲線のペアリングの特徴である。
【数1】
【数2】
【0028】
まず、分解部２１は、ＦｐｋをＦｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）と考えることで、数１を２個の要素に分解する（図２のステップＳ１１に相当）。これにより、元ｇを数３の形で表すことができる。
ここでｇ１はＦｐｋ／２の元である。
【数3】
【0029】
元ｆとの乗算を考える。元ｆは数４の形で表すことができる。
ここで、ｆ０，ｆ１はＦｐｋ／２の元である。
元ｆ，ｇの乗算は元ｇが疎であることから、疎乗算である。元ｇの第１項が１であるのでＫａｒａｔｓｕｂａ法を使う必要はなく、第１計算部２３は、元ｆ，ｇの乗算を数５のように計算できる（図２のステップＳ１２に相当）。
したがって、ここまでの計算量は、２回のＦｐｋ／２乗算と、２回のＦｐｋ／２加算と、１回のｖ倍算である。２回のＦｐｋ／２乗算とは、乗算ｆ１ｇ１と乗算ｆ０ｇ１とである。２回のＦｐｋ／２加算とは、加算ｆ０＋ｆ１ｇ１ｖと、加算ｆ１＋ｆ０ｇ１とである。ここで、ｖ倍算は係数をシフトする処理であるため、ほとんど計算コストを無視できると考えてよい。
【数4】
元ｆ，ｇの乗算は元ｇが疎であることから、疎乗算である。元ｇの第１項が１であるのでＫａｒａｔｓｕｂａ法を使う必要はなく、第１計算部２３は、元ｆ，ｇの乗算を数５のように計算できる（図２のステップＳ１２に相当）。
【数5】
【0030】
上記で登場する２回のＦｐｋ／２乗算は疎乗算である。実際、元ｇ１は数６の形をしている。
分解部２１は、Ｆｐｋ／２をＦｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）と考えることで、数６を３個の要素に分解する（図２のステップＳ１１に相当）。すると、元ｇ１は数７の形をしている。
ｇ１０，ｇ１１，ｇ１２は、Ｆｐｋ／６の元である。ここで、ｇ１２は０であることに注意されたい。上記で登場する２回のＦｐｋ／２乗算についてはＴｏｏｍ－Ｃｏｏｋ法をベースにした、中間体を用いる乗算アルゴリズムにより効率的に計算することができる。そこで、第１計算部２３の計算で発生した２回のＦｐｋ／２乗算である乗算ｆ１ｇ１，ｆ０ｇ１を第２計算部２４で処理する（図２のステップＳ１３に相当）。
【数6】
【数7】
【0031】
第２計算部２４が乗算ｆ１ｇ１，ｆ０ｇ１を計算する処理を説明する。この処理では、記号を簡略化するため、数８の乗算を考える。
まず、第２計算部２４の立式部２５は、それぞれを形式的に多項式ｆ（Ｘ），ｇ（Ｘ）と考え、数９を得る。
さらに、立式部２５は、それぞれの多項式ｆ（Ｘ），ｇ（Ｘ）にＸ＝０、Ｘ＝１、Ｘ＝－１、Ｘ＝－ｕ（中間体の元）、Ｘ＝∞、を代入することにより、数１０及び数１１を得る。
【数8】
【数9】
【数10】
【数11】
【0032】
図３を参照して、実施の形態１に係る立式部２５による数１０の計算処理を説明する。
ステップＳ２１で立式部２５は、入力のｆにおける係数ｆ０と係数ｆ２との加算を計算する。ステップＳ２２で立式部２５は、ステップＳ２１で計算された結果に係数ｆ１を加算する。これにより、数１０のｆ（１）が計算される。ステップＳ２３で立式部２５は、ステップＳ２１で計算された結果から係数ｆ１を減算する。これにより、数１０のｆ（－１）が計算される。
ステップＳ２４で立式部２５は、入力のｆにおける係数ｆ１のｕ倍を計算し、ｆ０から減算する。ステップＳ２５で立式部２５は、ｆ２のｕ２倍を計算しステップＳ２４の計算結果に加算する。これにより、数１０のｆ（－ｕ）が計算される。
なお、数１０のｆ（０）とｆ（∞）とは、入力のｆにおける係数として得られている。
ステップＳ２１で立式部２５は、入力のｆにおける係数ｆ０と係数ｆ２との加算を計算する。ステップＳ２２で立式部２５は、ステップＳ２１で計算された結果に係数ｆ１を加算する。これにより、数１０のｆ（１）が計算される。ステップＳ２３で立式部２５は、ステップＳ２１で計算された結果から係数ｆ１を減算する。これにより、数１０のｆ（－１）が計算される。
ステップＳ２４で立式部２５は、入力のｆにおける係数ｆ１のｕ倍を計算し、ｆ０から減算する。ステップＳ２５で立式部２５は、ｆ２のｕ２倍を計算しステップＳ２４の計算結果に加算する。これにより、数１０のｆ（－ｕ）が計算される。
なお、数１０のｆ（０）とｆ（∞）とは、入力のｆにおける係数として得られている。
【0033】
図４を参照して、実施の形態１に係る立式部２５による数１１の計算処理を説明する。
ステップＳ３１で立式部２５は、係数ｇ０に係数ｇ１を加算する。これにより、数１１のｇ（１）が計算される。ステップＳ３２で立式部２５は、係数ｇ０から係数ｇ１を減算する。これにより、数１１のｇ（－１）が計算される。
ステップＳ３３では、入力のｇにおける係数ｇ１のｕ倍を計算し、ｇ０から減算する。これにより、数１１のｇ（－ｕ）が計算される。
なお、数１１のｇ（０）とｇ（∞）とは、入力のｇにおける係数として得られている。
ステップＳ３１で立式部２５は、係数ｇ０に係数ｇ１を加算する。これにより、数１１のｇ（１）が計算される。ステップＳ３２で立式部２５は、係数ｇ０から係数ｇ１を減算する。これにより、数１１のｇ（－１）が計算される。
ステップＳ３３では、入力のｇにおける係数ｇ１のｕ倍を計算し、ｇ０から減算する。これにより、数１１のｇ（－ｕ）が計算される。
なお、数１１のｇ（０）とｇ（∞）とは、入力のｇにおける係数として得られている。
【0034】
次に、立式部２５は、４次元の連立線型方程式を立式するために、疎乗算をｖで表した多項式の係数を求める線形方程式を立式する。具体的には、立式部２５は、数１２を計算する。
ここで、ｈ０，ｈ１，ｈ２，ｈ３は数１３に表される係数である。
このｈ０，ｈ１，ｈ２，ｈ３は最終的に第２計算部２４で計算する乗算ｆ＊ｇの係数である。したがって、以下ではこのｈ０，ｈ１，ｈ２，ｈ３を計算することを目標とする。この結果をもとに、立式部２５は、４次元の線型方程式である数１４を立式する。
数１４の行列は正則行列であるので逆行列を持つ。そこで、立式部２５は、逆行列を数１４の両辺にかけることにより、数１５が得られる。
立式部２５は、数１５の４行目をｕ倍して１行目に足す。この操作は還元操作をしていることと同値である。これにより、数１６が得られる。
立式部２５は、数１６の両辺を－２ｕ（ｕ２－１）倍することで分母を払う。これにより、係数ｈ０，ｈ１，ｈ２について数１７の式が得られる。
【数12】
【数13】
【数14】
【数15】
【数16】
【数17】
【0035】
【0036】
求解部２６は、図５に示す処理により、数１７の各要素を計算する。
ステップＳ４１で求解部２６は、Ｈ０とＨ０とを加算して２Ｈ０を計算する。ステップＳ４２で求解部２６は、ステップＳ４１で計算された２Ｈ０をｕ倍して２ｕＨ０を計算する。ステップＳ４３で求解部２６は、ステップＳ４２で計算された２ｕＨ０をｕ倍して２ｕ２Ｈ０を計算する。ステップＳ４４で求解部２６は、ステップＳ４３で計算された２ｕ２Ｈ０から、ステップＳ４１で計算された２Ｈ０を減算して、２ｕ２Ｈ０－２Ｈ０を計算する。
ステップＳ４５で求解部２６は、Ｈ１をｕ倍してｕＨ１を計算する。ステップＳ４６で求解部２６は、ステップＳ４５で計算されたｕＨ１からＨ１を減算して、ｕＨ１－Ｈ１を計算する。ステップＳ４７で求解部２６は、ステップＳ４６で計算されたｕＨ１－Ｈ１をｕ倍して、ｕ（ｕＨ１－Ｈ１）を計算する。ステップＳ４８で求解部２６は、ステップＳ４７で計算されたｕ（ｕＨ１－Ｈ１）をｕ倍して、ｕ２（ｕＨ１－Ｈ１）を計算する。
ステップＳ４９で求解部２６は、Ｈ２をｕ倍してｕＨ２を計算する。ステップＳ５０で求解部２６は、ステップＳ４９で計算されたｕＨ２にＨ２を加算して、ｕＨ２＋Ｈ２を計算する。ステップＳ５１で求解部２６は、ステップＳ５０で計算されたｕＨ２＋Ｈ２をｕ倍して、ｕ（ｕＨ２＋Ｈ２）を計算する。ステップＳ５２で求解部２６は、ステップＳ５１で計算されたｕ（ｕＨ２＋Ｈ２）をｕ倍して、ｕ２（ｕＨ２＋Ｈ２）を計算する。
ステップＳ５３で求解部２６は、Ｈ３とＨ３とを加算して２Ｈ３を計算する。ステップＳ５４で求解部２６は、ステップＳ５３で計算された２Ｈ３をｕ倍して２ｕＨ３を計算する。
ステップＳ４１で求解部２６は、Ｈ０とＨ０とを加算して２Ｈ０を計算する。ステップＳ４２で求解部２６は、ステップＳ４１で計算された２Ｈ０をｕ倍して２ｕＨ０を計算する。ステップＳ４３で求解部２６は、ステップＳ４２で計算された２ｕＨ０をｕ倍して２ｕ２Ｈ０を計算する。ステップＳ４４で求解部２６は、ステップＳ４３で計算された２ｕ２Ｈ０から、ステップＳ４１で計算された２Ｈ０を減算して、２ｕ２Ｈ０－２Ｈ０を計算する。
ステップＳ４５で求解部２６は、Ｈ１をｕ倍してｕＨ１を計算する。ステップＳ４６で求解部２６は、ステップＳ４５で計算されたｕＨ１からＨ１を減算して、ｕＨ１－Ｈ１を計算する。ステップＳ４７で求解部２６は、ステップＳ４６で計算されたｕＨ１－Ｈ１をｕ倍して、ｕ（ｕＨ１－Ｈ１）を計算する。ステップＳ４８で求解部２６は、ステップＳ４７で計算されたｕ（ｕＨ１－Ｈ１）をｕ倍して、ｕ２（ｕＨ１－Ｈ１）を計算する。
ステップＳ４９で求解部２６は、Ｈ２をｕ倍してｕＨ２を計算する。ステップＳ５０で求解部２６は、ステップＳ４９で計算されたｕＨ２にＨ２を加算して、ｕＨ２＋Ｈ２を計算する。ステップＳ５１で求解部２６は、ステップＳ５０で計算されたｕＨ２＋Ｈ２をｕ倍して、ｕ（ｕＨ２＋Ｈ２）を計算する。ステップＳ５２で求解部２６は、ステップＳ５１で計算されたｕ（ｕＨ２＋Ｈ２）をｕ倍して、ｕ２（ｕＨ２＋Ｈ２）を計算する。
ステップＳ５３で求解部２６は、Ｈ３とＨ３とを加算して２Ｈ３を計算する。ステップＳ５４で求解部２６は、ステップＳ５３で計算された２Ｈ３をｕ倍して２ｕＨ３を計算する。
【0037】
求解部２６は、図６に示す処理により、数１７を解いて係数ｈ０，ｈ１，ｈ２を計算する。
ステップＳ６１で求解部２６は、ステップＳ４８で計算されたｕ２（ｕＨ１－Ｈ１）と、ステップＳ５２で計算されたｕ２（ｕＨ２＋Ｈ２）とを用いて、－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）を計算する。ステップＳ６２で求解部２６は、ステップＳ６１で計算された－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）に、ステップＳ５４で計算された２ｕＨ３を加算して、－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）＋２ｕＨ３を計算する。これにより、数１７の１行目の式が得られる。
ステップＳ６３で求解部２６は、ステップＳ４４で計算された２ｕ２Ｈ０－２Ｈ０と、ステップＳ４８で計算されたｕ２（ｕＨ１－Ｈ１）とを用いて、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）を計算する。ステップＳ６４で求解部２６は、ステップＳ６３で計算された－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）に、ステップＳ５２で計算されたｕ２（ｕＨ２＋Ｈ２）を加算して、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）を計算する。ステップＳ６５で求解部２６は、ステップＳ６４で計算された－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）から、ステップＳ５４で計算された２ｕＨ３を減算して、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）－２ｕＨ３を計算する。これにより、数１７の２行目の式が得られる。
ステップＳ６６で求解部２６は、ステップＳ４２で計算された２ｕＨ０から、ステップＳ４５で計算されたｕＨ１と、ステップＳ４９で計算されたｕＨ２とを減算して、ｕ（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６７で求解部２６は、ステップＳ６６で計算されたｕ（２Ｈ０－Ｈ１－Ｈ２）をｕ倍して、ｕ２（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６８で求解部２６は、ステップＳ６７で計算されたｕ２（２Ｈ０－Ｈ１－Ｈ２）から、（２Ｈ０－Ｈ１－Ｈ２）を減算して、（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６９で求解部２６は、ステップＳ６８で計算された（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）をｕ倍して、ｕ（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）を計算する。これにより、数１７の３行目の式が得られる。
ステップＳ６１で求解部２６は、ステップＳ４８で計算されたｕ２（ｕＨ１－Ｈ１）と、ステップＳ５２で計算されたｕ２（ｕＨ２＋Ｈ２）とを用いて、－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）を計算する。ステップＳ６２で求解部２６は、ステップＳ６１で計算された－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）に、ステップＳ５４で計算された２ｕＨ３を加算して、－ｕ２（ｕＨ１－Ｈ１）－ｕ２（ｕＨ２＋Ｈ２）＋２ｕＨ３を計算する。これにより、数１７の１行目の式が得られる。
ステップＳ６３で求解部２６は、ステップＳ４４で計算された２ｕ２Ｈ０－２Ｈ０と、ステップＳ４８で計算されたｕ２（ｕＨ１－Ｈ１）とを用いて、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）を計算する。ステップＳ６４で求解部２６は、ステップＳ６３で計算された－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）に、ステップＳ５２で計算されたｕ２（ｕＨ２＋Ｈ２）を加算して、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）を計算する。ステップＳ６５で求解部２６は、ステップＳ６４で計算された－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）から、ステップＳ５４で計算された２ｕＨ３を減算して、－（２ｕ２Ｈ０－２Ｈ０）－ｕ２（ｕＨ１－Ｈ１）＋ｕ２（ｕＨ２＋Ｈ２）－２ｕＨ３を計算する。これにより、数１７の２行目の式が得られる。
ステップＳ６６で求解部２６は、ステップＳ４２で計算された２ｕＨ０から、ステップＳ４５で計算されたｕＨ１と、ステップＳ４９で計算されたｕＨ２とを減算して、ｕ（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６７で求解部２６は、ステップＳ６６で計算されたｕ（２Ｈ０－Ｈ１－Ｈ２）をｕ倍して、ｕ２（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６８で求解部２６は、ステップＳ６７で計算されたｕ２（２Ｈ０－Ｈ１－Ｈ２）から、（２Ｈ０－Ｈ１－Ｈ２）を減算して、（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）を計算する。ステップＳ６９で求解部２６は、ステップＳ６８で計算された（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）をｕ倍して、ｕ（ｕ２－１）（２Ｈ０－Ｈ１－Ｈ２）を計算する。これにより、数１７の３行目の式が得られる。
【0038】
これにより、係数ｈ０，ｈ１，ｈ２が計算される。これは、乗算ｆ＊ｇが計算されることに相当する。なお、第２計算部２４は、乗算ｆ＊ｇとして、２つの乗算ｆ１ｇ１，ｆ０ｇ１を計算する。したがって、第２計算部２４は、２つの乗算ｆ１ｇ１，ｆ０ｇ１それぞれについて、係数ｈ０，ｈ１，ｈ２の計算を行うことで、２つの乗算ｆ１ｇ１，ｆ０ｇ１を計算する。
【0039】
＊＊＊計算コストの評価＊＊＊
疎乗算計算部２２の計算コストを評価する。
まず、第２計算部２４の計算過程の計算コストを評価する。
数１０については５回の加算と３回のｕ倍算を行った。数１１については３回の加算と１回のｕ倍算を行った。したがって、数１０及び数１１の計算は８回の加算と４回のｕ倍算で完了する。この計算コストを８Ａｅ＋４Ｕと表す。ここで、Ａｅは有限体Ｆｐｅ上の加算を表す。Ｕは有限体Ｆｐｅ上のｕ倍算を表す。
数１２については、４回の乗算を行った。なお、Ｈ４については、入力に関わらず０であり、計算が不要なため乗算の回数にカウントされていない。この計算コストを４Ｍｅと表す。ここで、Ｍｅは有限体Ｆｐｅ上の乗算を表す。
数１７については、合計で９回の加算と１２回のｕ倍算を行った。したがって、この計算コストは９Ａｅ＋１２Ｕである。
ただし、減算に関しては実装の観点からは加算とほぼ同等の計算コストであるから減算も加算としてカウントしている。また、ある元の加法に対する逆数を計算することは実装の観点からはほとんどコストがかからないことから上記評価では無視している。これらのことから、第２計算部２４における１回の乗算の計算コストの総計は数１８で表される。
疎乗算計算部２２の計算コストを評価する。
まず、第２計算部２４の計算過程の計算コストを評価する。
数１０については５回の加算と３回のｕ倍算を行った。数１１については３回の加算と１回のｕ倍算を行った。したがって、数１０及び数１１の計算は８回の加算と４回のｕ倍算で完了する。この計算コストを８Ａｅ＋４Ｕと表す。ここで、Ａｅは有限体Ｆｐｅ上の加算を表す。Ｕは有限体Ｆｐｅ上のｕ倍算を表す。
数１２については、４回の乗算を行った。なお、Ｈ４については、入力に関わらず０であり、計算が不要なため乗算の回数にカウントされていない。この計算コストを４Ｍｅと表す。ここで、Ｍｅは有限体Ｆｐｅ上の乗算を表す。
数１７については、合計で９回の加算と１２回のｕ倍算を行った。したがって、この計算コストは９Ａｅ＋１２Ｕである。
ただし、減算に関しては実装の観点からは加算とほぼ同等の計算コストであるから減算も加算としてカウントしている。また、ある元の加法に対する逆数を計算することは実装の観点からはほとんどコストがかからないことから上記評価では無視している。これらのことから、第２計算部２４における１回の乗算の計算コストの総計は数１８で表される。
【数18】
【0040】
ここで、第２計算部２４は、２つの乗算ｆ１ｇ１，ｆ０ｇ１を行う。また、第１計算部２３は、２回のＦｐｋ／２加算を行う。したがって、疎乗算計算部２２の計算コストは、数１９のようになる。
なお、ペアリングフレンドリ曲線を考える場合、一番下の素体における既約多項式の定数αは２又は３等の小定数であることが多い。ここでは、α＝２であるとすると、Ｕ倍算は素体上の加算１回とほぼ同コストになるため、Ｕ＝Ａ１と換算できる。一方、非特許文献１の計算量は数２０のようになる。
そのため、実施の形態１が有効であるためには、数２１が成立することが必要である。
この条件は以下で具体的に説明するが、ほとんどの曲線に対して有効であることを示している。
【数19】
【数20】
【数21】
【0041】
＊＊＊曲線の例＊＊＊
具体的な曲線の例を説明する。
埋め込み次数ｋは、具体例としては、６と１２と１８と２４と３０と３６と４２と４８とのいずれかである。
具体的な曲線の例を説明する。
埋め込み次数ｋは、具体例としては、６と１２と１８と２４と３０と３６と４２と４８とのいずれかである。
【0042】
＜例１：埋め込み次数１２＞
曲線の埋め込み次数が１２の場合について説明する。埋め込み次数がｋ＝１２の場合、実施の形態１が有効であるためには、数２２が成立することが必要である。
ここで、Ｍ１についてはＫａｒａｔｓｕｂａ法を採用した。
曲線の埋め込み次数が１２の場合について説明する。埋め込み次数がｋ＝１２の場合、実施の形態１が有効であるためには、数２２が成立することが必要である。
【数22】
【0043】
＜例２：埋め込み次数１８＞
曲線の埋め込み次数が１８の場合について説明する。埋め込み次数がｋ＝１８の場合、実施の形態１が有効であるためには、数２３が成立することが必要である。
ここで、Ｍ３についてはＫａｒａｔｓｕｂａ法を採用するかＴｏｏｍ－Ｃｏｏｋ法を採用するかで計算量が異なる。
Ｋａｒａｔｓｕｂａ法の場合、数２４である。
そのため、実施の形態１が有効であるためには、数２５が成立することが必要である。
通常、乗算コストの方が計算コストが大きいので、これは素数の大きさに関わらず常に実施の形態１が有効であることを示している。
一方、Ｔｏｏｍ－Ｃｏｏｋ法の場合、数２６である。
そのため、無条件で実施の形態１が有効である。
曲線の埋め込み次数が１８の場合について説明する。埋め込み次数がｋ＝１８の場合、実施の形態１が有効であるためには、数２３が成立することが必要である。
【数23】
Ｋａｒａｔｓｕｂａ法の場合、数２４である。
【数24】
【数25】
一方、Ｔｏｏｍ－Ｃｏｏｋ法の場合、数２６である。
【数26】
【0044】
以上のことから、埋め込み次数が１８以上の６次ツイストを持つ曲線、例えばＢＬＳ２４曲線又はＢＬＳ４８曲線等に対しては、非特許文献１の手法よりも実施の形態１の手法の方が無条件で効率的になることがわかる。
【0045】
＜具体的な曲線＞
以上の評価を踏まえると、以下のような曲線について実施の形態１が有効である。
なお、楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表される。
以上の評価を踏まえると、以下のような曲線について実施の形態１が有効である。
なお、楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表される。
【0046】
（具体例１）
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝６ｘ２＋１、多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である。
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝６ｘ２＋１、多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である。
【0047】
（具体例２）
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
【0048】
（具体例３）
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである。
埋め込み次数ｋは１２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである。
【0049】
（具体例４）
埋め込み次数ｋは２４であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
埋め込み次数ｋは２４であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
【0050】
（具体例５）
埋め込み次数ｋは４２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである。
埋め込み次数ｋは４２であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである。
【0051】
（具体例６）
埋め込み次数ｋは４８であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
埋め込み次数ｋは４８であり、多項式パラメータは、多項式ｔ（ｘ）＝ｘ＋１、多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである。
【0052】
＊＊＊実施の形態１の効果＊＊＊
以上のように、実施の形態１に係る疎乗算計算装置１０は、６次ツイストを持つ埋め込み次数ｋの曲線におけるペアリング計算において、ｋ次拡大体を２次拡大体と３次拡大体とに分解する。そして、疎乗算計算装置１０は、２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、ｋ次拡大体における疎乗算を計算する。これにより、ペアリング計算が効率的に計算可能になる。
以上のように、実施の形態１に係る疎乗算計算装置１０は、６次ツイストを持つ埋め込み次数ｋの曲線におけるペアリング計算において、ｋ次拡大体を２次拡大体と３次拡大体とに分解する。そして、疎乗算計算装置１０は、２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、ｋ次拡大体における疎乗算を計算する。これにより、ペアリング計算が効率的に計算可能になる。
【0053】
特に、実施の形態１に係る疎乗算計算装置１０は、３次拡大体における疎乗算の計算においてＴｏｏｍ－Ｃｏｏｋ法ベースの疎乗算アルゴリズムを適用する。これにより、加算回数を増加させる代わりに乗算回数を減らすことができる。その結果、埋め込み次数が１２の曲線に対しては、Ｍ１＞４．３３Ａ１の場合に非特許文献１の手法よりも効率的であり、埋め込み次数が１８以上の曲線に対しては、原則として非特許文献１の手法よりも効率的である。したがって、実施の形態１を用いることによって、ほとんどの曲線に関してペアリング計算をより効率的に計算することができる。
【0054】
＊＊＊他の構成＊＊＊
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
＜変形例１＞
実施の形態１では、各機能構成要素がソフトウェアで実現された。しかし、変形例１として、各機能構成要素はハードウェアで実現されてもよい。この変形例１について、実施の形態１と異なる点を説明する。
【0055】
図７を参照して、変形例１に係る疎乗算計算装置１０の構成を説明する。
各機能構成要素がハードウェアで実現される場合には、疎乗算計算装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
各機能構成要素がハードウェアで実現される場合には、疎乗算計算装置１０は、プロセッサ１１とメモリ１２とストレージ１３とに代えて、電子回路１５を備える。電子回路１５は、各機能構成要素と、メモリ１２と、ストレージ１３との機能とを実現する専用の回路である。
【0056】
電子回路１５としては、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、ＦＰＧＡが想定される。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略である。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
各機能構成要素を１つの電子回路１５で実現してもよいし、各機能構成要素を複数の電子回路１５に分散させて実現してもよい。
【0057】
＜変形例２＞
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
変形例２として、一部の各機能構成要素がハードウェアで実現され、他の各機能構成要素がソフトウェアで実現されてもよい。
【0058】
プロセッサ１１とメモリ１２とストレージ１３と電子回路１５とを処理回路という。つまり、各機能構成要素の機能は、処理回路により実現される。
【0059】
＜変形例３＞
実施の形態１では、Ｍｉｌｌｅｒ関数内部の処理で発生するある疎な値ｇに対する疎乗算計算装置１０を説明した。実施の形態１で説明した疎乗算計算装置１０に、Ｍｉｌｌｅｒ関数の計算を行う機能を行う機能を加えて、Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算装置３０を構成してもよい。
実施の形態１では、Ｍｉｌｌｅｒ関数内部の処理で発生するある疎な値ｇに対する疎乗算計算装置１０を説明した。実施の形態１で説明した疎乗算計算装置１０に、Ｍｉｌｌｅｒ関数の計算を行う機能を行う機能を加えて、Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算装置３０を構成してもよい。
【0060】
図８を参照して、変形例３に係るＭｉｌｌｅｒ関数計算装置３０の構成を説明する。
Ｍｉｌｌｅｒ関数計算装置３０は、疎乗算計算装置１０が備える機能構成要素に加えて、Ｍｉｌｌｅｒ関数計算部３１を備える。Ｍｉｌｌｅｒ関数計算部３１は、疎乗算計算装置１０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
Ｍｉｌｌｅｒ関数計算部３１は、疎乗算計算装置１０によって計算される疎乗算の計算結果を利用して、Ｍｉｌｌｅｒ関数の計算を行う。
Ｍｉｌｌｅｒ関数計算装置３０は、疎乗算計算装置１０が備える機能構成要素に加えて、Ｍｉｌｌｅｒ関数計算部３１を備える。Ｍｉｌｌｅｒ関数計算部３１は、疎乗算計算装置１０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
Ｍｉｌｌｅｒ関数計算部３１は、疎乗算計算装置１０によって計算される疎乗算の計算結果を利用して、Ｍｉｌｌｅｒ関数の計算を行う。
【0061】
＜変形例４＞
変形例３では、Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算装置３０を説明した。変形例３で説明したＭｉｌｌｅｒ関数計算装置に、ペアリング演算における最終べきの計算を行う機能を加えて、ペアリング演算を行うペアリング演算装置４０を構成してもよい。
変形例３では、Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算装置３０を説明した。変形例３で説明したＭｉｌｌｅｒ関数計算装置に、ペアリング演算における最終べきの計算を行う機能を加えて、ペアリング演算を行うペアリング演算装置４０を構成してもよい。
【0062】
図９を参照して、変形例４に係るペアリング演算装置４０の構成を説明する。
ペアリング演算装置４０は、Ｍｉｌｌｅｒ関数計算装置３０が備える機能構成要素に加えて、最終べき計算部４１を備える。最終べき計算部４１は、Ｍｉｌｌｅｒ関数計算装置３０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
最終べき計算部４１は、ペアリング演算における最終べき計算を行う。
ペアリング演算装置４０は、Ｍｉｌｌｅｒ関数計算装置３０が備える機能構成要素に加えて、最終べき計算部４１を備える。最終べき計算部４１は、Ｍｉｌｌｅｒ関数計算装置３０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
最終べき計算部４１は、ペアリング演算における最終べき計算を行う。
【0063】
実施の形態２．
実施の形態１では、ペアリング演算のＭｉｌｌｅｒ関数の計算における疎乗算の計算方法について説明した。実施の形態２では、実施の形態１で説明した方法に基づき得られたペアリング演算の結果を用いた処理について説明する。実施の形態２では、実施の形態１と異なる点を説明し、同一の点については説明を省略する。
実施の形態１では、ペアリング演算のＭｉｌｌｅｒ関数の計算における疎乗算の計算方法について説明した。実施の形態２では、実施の形態１で説明した方法に基づき得られたペアリング演算の結果を用いた処理について説明する。実施の形態２では、実施の形態１と異なる点を説明し、同一の点については説明を省略する。
【0064】
＊＊＊構成の説明＊＊＊
図１０を参照して、実施の形態２に係る暗号処理装置５０の構成を説明する。
暗号処理装置５０は、変形例４に係るペアリング演算装置４０が備える機能構成要素に加え、暗号処理部５１を備える。暗号処理部５１は、ペアリング演算装置４０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
図１０を参照して、実施の形態２に係る暗号処理装置５０の構成を説明する。
暗号処理装置５０は、変形例４に係るペアリング演算装置４０が備える機能構成要素に加え、暗号処理部５１を備える。暗号処理部５１は、ペアリング演算装置４０が備える機能構成要素と同様に、ソフトウェア又はハードウェアによって実現される。
【0065】
＊＊＊動作の説明＊＊＊
図１１を参照して、実施の形態２に係る暗号処理装置５０の動作を説明する。
実施の形態２に係る暗号処理装置５０の動作手順は、実施の形態２に係る暗号処理方法に相当する。また、実施の形態２に係る暗号処理装置５０の動作を実現するプログラムは、実施の形態２に係る暗号処理プログラムに相当する。
図１１を参照して、実施の形態２に係る暗号処理装置５０の動作を説明する。
実施の形態２に係る暗号処理装置５０の動作手順は、実施の形態２に係る暗号処理方法に相当する。また、実施の形態２に係る暗号処理装置５０の動作を実現するプログラムは、実施の形態２に係る暗号処理プログラムに相当する。
【0066】
（ステップＳ８１：ペアリング演算処理）
変形例４に係るペアリング演算装置４０が備える機能構成要素によって、ペアリング演算の結果が計算される。ペアリング演算の結果はメモリ１２に書き込まれる。
変形例４に係るペアリング演算装置４０が備える機能構成要素によって、ペアリング演算の結果が計算される。ペアリング演算の結果はメモリ１２に書き込まれる。
【0067】
（ステップＳ８２：暗号処理）
暗号処理部５１は、ステップＳ８１で得られたペアリング演算の結果を用いて、暗号処理を行う。暗号処理は、暗号化処理と、復号処理と、署名処理と、検証処理といった暗号プリミティブの処理である。
暗号化処理は、データを第三者から秘匿するために、平文状態のデータを暗号文に変換する処理である。復号処理は、暗号化処理により変換された暗号文を平文状態のデータに変換する処理である。署名処理は、データの改ざん検出とデータの出所確認との少なくともいずれかのための署名を生成する処理である。検証処理は、署名処理で生成された署名によりデータの改ざん検出とデータの出所確認との少なくともいずれかをする処理である。
暗号処理部５１は、ステップＳ８１で得られたペアリング演算の結果を用いて、暗号処理を行う。暗号処理は、暗号化処理と、復号処理と、署名処理と、検証処理といった暗号プリミティブの処理である。
暗号化処理は、データを第三者から秘匿するために、平文状態のデータを暗号文に変換する処理である。復号処理は、暗号化処理により変換された暗号文を平文状態のデータに変換する処理である。署名処理は、データの改ざん検出とデータの出所確認との少なくともいずれかのための署名を生成する処理である。検証処理は、署名処理で生成された署名によりデータの改ざん検出とデータの出所確認との少なくともいずれかをする処理である。
【0068】
例えば、暗号処理部５１は、暗号文の要素と復号鍵の要素とを入力とするペアリング演算の結果を用いて、暗号文を復号したメッセージを生成することが考えられる。
【0069】
＊＊＊実施の形態２の効果＊＊＊
以上のように、実施の形態２に係る暗号処理装置５０は、実施の形態１に係る疎乗算計算装置１０の機能構成要素を用いて暗号処理を実現する。実施の形態１に係る疎乗算計算装置１０を用いることによりペアリング演算を効率的に計算可能である。そのため、実施の形態２に係る暗号処理装置５０は、効率的に暗号処理を実施可能である。
以上のように、実施の形態２に係る暗号処理装置５０は、実施の形態１に係る疎乗算計算装置１０の機能構成要素を用いて暗号処理を実現する。実施の形態１に係る疎乗算計算装置１０を用いることによりペアリング演算を効率的に計算可能である。そのため、実施の形態２に係る暗号処理装置５０は、効率的に暗号処理を実施可能である。
【0070】
以下、本開示の諸態様を付記としてまとめて記載する。
（付記１）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋ次拡大体の疎乗算を計算する疎乗算計算装置であり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える疎乗算計算装置。
（付記２）
前記疎乗算計算部は、前記３次拡大体における疎乗算の結果を用いて、前記２次拡大体における疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する
付記１に記載の疎乗算計算装置。
（付記３）
前記楕円曲線は、６次ツイストを持つ６次ツイスト曲線であり、
ｋ次拡大体である有限体Ｆｐｋは、ｗ２－ｖが多項式環Ｆｐｋ／２［ｗ］上の既約多項式であり、ｖをＦｐｋ／２に属する元とした場合における多項式環の表現Ｆｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）を持ち、有限体Ｆｐｋ／２は、ｖ３－ｕが多項式環Ｆｐｋ／６［ｖ］上の既約多項式であり、ｕをＦｐｋ／６に属する元とした場合における多項式環の表現Ｆｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）を持ち、
前記分解部は、前記有限体Ｆｐｋを、前記２次拡大体である有限体Ｆｐｋ／２と、前記３次拡大体である有限体Ｆｐｋ／６とに分解する
付記２に記載の疎乗算計算装置。
（付記４）
前記疎乗算計算部は、前記３次拡大体における疎乗算をｖで表した多項式の係数を求める線形方程式を立式し、前記線形方程式を解いて前記係数を求めることにより、前記３次拡大体における疎乗算を計算する
付記２に記載の疎乗算計算装置。
（付記５）
前記疎乗算計算部は、前記３次拡大体における疎乗算ｆ＊ｇの入力である元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに０と１と－１と－ｕとのそれぞれを代入したｆ（０）とｆ（１）とｆ（－１）とｆ（－ｕ）とｇ（０）とｇ（１）とｇ（－１）とｇ（－ｕ）とを用いて表された、Ｈ０＝ｆ（０）・ｇ（０）と、Ｈ１＝ｆ（１）・ｇ（１）と、Ｈ２＝ｆ（－１）・ｇ（－１）と、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）とのそれぞれを、前記疎乗算ｆ＊ｇをｖで表した多項式の係数と対応付けた４つの多項式により、前記線形方程式を立式する
付記４に記載の疎乗算計算装置。
（付記６）
前記埋め込み次数ｋは、６と１２と１８と２４と３０と３６と４２と４８とのいずれかである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記７）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝６ｘ２＋１、前記多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、前記多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記８）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記９）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１０）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは２４であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１１）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１２）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４８であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１３）
付記１から１２までのいずれか１項に記載の疎乗算計算装置と、
前記疎乗算計算装置によって計算された前記ｋ次拡大体の疎乗算の結果を用いて、前記Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算部と
を備えるＭｉｌｌｅｒ関数計算装置。
（付記１４）
付記１３に記載のＭｉｌｌｅｒ関数計算装置と、
前記ペアリング演算における最終べき計算を行う最終べき計算部と
を備えるペアリング演算装置。
（付記１５）
付記１４に記載のペアリング演算装置によって計算された前記ペアリング演算の結果を用いて、暗号処理を行う暗号処理装置。
（付記１６）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算方法であって、ｋ次拡大体の疎乗算を計算する疎乗算計算方法であり、
コンピュータが、前記ｋ次拡大体を２次拡大体と３次拡大体とに分解し、
コンピュータが、分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算方法。
（付記１７）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算プログラムであって、ｋ次拡大体の疎乗算を計算する疎乗算計算プログラムであり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解処理と、
前記分解処理によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算処理と
を行う疎乗算計算装置としてコンピュータを機能させる疎乗算計算プログラム。
（付記１）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算装置であって、ｋ次拡大体の疎乗算を計算する疎乗算計算装置であり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解部と、
前記分解部によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算部と
を備える疎乗算計算装置。
（付記２）
前記疎乗算計算部は、前記３次拡大体における疎乗算の結果を用いて、前記２次拡大体における疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する
付記１に記載の疎乗算計算装置。
（付記３）
前記楕円曲線は、６次ツイストを持つ６次ツイスト曲線であり、
ｋ次拡大体である有限体Ｆｐｋは、ｗ２－ｖが多項式環Ｆｐｋ／２［ｗ］上の既約多項式であり、ｖをＦｐｋ／２に属する元とした場合における多項式環の表現Ｆｐｋ＝Ｆｐｋ／２［ｗ］／（ｗ２－ｖ）を持ち、有限体Ｆｐｋ／２は、ｖ３－ｕが多項式環Ｆｐｋ／６［ｖ］上の既約多項式であり、ｕをＦｐｋ／６に属する元とした場合における多項式環の表現Ｆｐｋ／２＝Ｆｐｋ／６［ｖ］／（ｖ３－ｕ）を持ち、
前記分解部は、前記有限体Ｆｐｋを、前記２次拡大体である有限体Ｆｐｋ／２と、前記３次拡大体である有限体Ｆｐｋ／６とに分解する
付記２に記載の疎乗算計算装置。
（付記４）
前記疎乗算計算部は、前記３次拡大体における疎乗算をｖで表した多項式の係数を求める線形方程式を立式し、前記線形方程式を解いて前記係数を求めることにより、前記３次拡大体における疎乗算を計算する
付記２に記載の疎乗算計算装置。
（付記５）
前記疎乗算計算部は、前記３次拡大体における疎乗算ｆ＊ｇの入力である元ｆを多項式ｆ（Ｘ）とし、元ｇを多項式ｇ（Ｘ）として、Ｘに０と１と－１と－ｕとのそれぞれを代入したｆ（０）とｆ（１）とｆ（－１）とｆ（－ｕ）とｇ（０）とｇ（１）とｇ（－１）とｇ（－ｕ）とを用いて表された、Ｈ０＝ｆ（０）・ｇ（０）と、Ｈ１＝ｆ（１）・ｇ（１）と、Ｈ２＝ｆ（－１）・ｇ（－１）と、Ｈ３＝ｆ（－ｕ）・ｇ（－ｕ）とのそれぞれを、前記疎乗算ｆ＊ｇをｖで表した多項式の係数と対応付けた４つの多項式により、前記線形方程式を立式する
付記４に記載の疎乗算計算装置。
（付記６）
前記埋め込み次数ｋは、６と１２と１８と２４と３０と３６と４２と４８とのいずれかである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記７）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝６ｘ２＋１、前記多項式ｒ（ｘ）＝３６ｘ４－３６ｘ３＋１８ｘ２－６ｘ＋１、前記多項式ｐ（ｘ）＝３６ｘ４－３６ｘ３＋２４ｘ２－６ｘ＋１である
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記８）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記９）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは１２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ１２（ｘ）＝ｘ４－ｘ２＋１、前記多項式ｐ（ｘ）＝１／４（ｘ－１）２（ｘ２＋１）ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１０）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは２４であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ２４（ｘ）＝ｘ８－ｘ４＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１１）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４２であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４２（ｘ）＝ｘ１２＋ｘ１１－ｘ９－ｘ８＋ｘ６－ｘ４－ｘ３＋ｘ＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２（ｘ２－ｘ＋１）ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１２）
前記楕円曲線は、次数ｄの円分多項式Φｋ（ｘ）と多項式Ｔ（ｘ）と多項式ｈ１（ｘ）と多項式ｈ２（ｘ）とを用いて表される多項式ｒ（ｘ）＝Φｋ（Ｔ（ｘ））／ｈ２（ｘ）と多項式ｐ（ｘ）＝ｈ１（ｘ）ｒ（ｘ）＋Ｔ（ｘ）と多項式ｔ（ｘ）＝Ｔ（ｘ）＋１との多項式パラメータを用いて表され、
前記埋め込み次数ｋは４８であり、前記多項式パラメータは、前記多項式ｔ（ｘ）＝ｘ＋１、前記多項式ｒ（ｘ）＝Φ４８（ｘ）＝ｘ１６－ｘ８＋１、前記多項式ｐ（ｘ）＝１／３（ｘ－１）２ｒ（ｘ）＋ｘである
付記１から５までのいずれか１項に記載の疎乗算計算装置。
（付記１３）
付記１から１２までのいずれか１項に記載の疎乗算計算装置と、
前記疎乗算計算装置によって計算された前記ｋ次拡大体の疎乗算の結果を用いて、前記Ｍｉｌｌｅｒ関数を計算するＭｉｌｌｅｒ関数計算部と
を備えるＭｉｌｌｅｒ関数計算装置。
（付記１４）
付記１３に記載のＭｉｌｌｅｒ関数計算装置と、
前記ペアリング演算における最終べき計算を行う最終べき計算部と
を備えるペアリング演算装置。
（付記１５）
付記１４に記載のペアリング演算装置によって計算された前記ペアリング演算の結果を用いて、暗号処理を行う暗号処理装置。
（付記１６）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算方法であって、ｋ次拡大体の疎乗算を計算する疎乗算計算方法であり、
コンピュータが、前記ｋ次拡大体を２次拡大体と３次拡大体とに分解し、
コンピュータが、分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算方法。
（付記１７）
埋め込み次数ｋを用いて表される楕円曲線上のペアリング演算におけるＭｉｌｌｅｒ関数の計算に用いられる疎乗算を計算する疎乗算計算プログラムであって、ｋ次拡大体の疎乗算を計算する疎乗算計算プログラムであり、
前記ｋ次拡大体を２次拡大体と３次拡大体とに分解する分解処理と、
前記分解処理によって分解されて得られた２次拡大体と３次拡大体とのそれぞれにおける疎乗算を計算することにより、前記ｋ次拡大体における疎乗算を計算する疎乗算計算処理と
を行う疎乗算計算装置としてコンピュータを機能させる疎乗算計算プログラム。
【0071】
なお、以上の説明における「部」を、「回路」、「工程」、「手順」、「処理」又は「処理回路」に読み替えてもよい。
【0072】
以上、本開示の実施の形態及び変形例について説明した。これらの実施の形態及び変形例のうち、いくつかを組み合わせて実施してもよい。また、いずれか１つ又はいくつかを部分的に実施してもよい。なお、本開示は、以上の実施の形態及び変形例に限定されるものではなく、必要に応じて種々の変更が可能である。
【符号の説明】
【0073】
１０ 疎乗算計算装置、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信インタフェース、１５ 電子回路、２１ 分解部、２２ 疎乗算計算部、２３ 第１計算部、２４ 第２計算部、２５ 立式部、２６ 求解部、３０ Ｍｉｌｌｅｒ関数計算装置、３１ Ｍｉｌｌｅｒ関数計算部、４０ ペアリング演算装置、４１ 最終べき計算部、５０ 暗号処理装置、５１ 暗号処理部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】