特許 7414675 逆元演算装置及びメモリシステム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-01-05

(45)【発行日】2024-01-16

(54)【発明の名称】逆元演算装置及びメモリシステム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240109BHJP

   G06F 17/10 20060101ALI20240109BHJP

【ＦＩ】

G09C1/00 650A

G06F17/10 Z

【請求項の数】 7

(21)【出願番号】P 2020153341

(22)【出願日】2020-09-11

(65)【公開番号】P2022047427

(43)【公開日】2022-03-24

【審査請求日】2023-03-10

(73)【特許権者】

【識別番号】318010018

【氏名又は名称】キオクシア株式会社

(74)【代理人】

【識別番号】110002147

【氏名又は名称】弁理士法人酒井国際特許事務所

(72)【発明者】

【氏名】松井 一

【審査官】金沢 史明

(56)【参考文献】

【文献】特開平１１－２８２３５１（ＪＰ，Ａ）

【文献】特表２００７－５２０７２８（ＪＰ，Ａ）

【文献】米国特許出願公開第２００２／００９５４５２（ＵＳ，Ａ１）

【文献】廣吉 慶，拡張２進ＧＣＤ法＋Ｌｅｈｍｅｒ法の改良，電子情報通信学会技術研究報告，日本，社団法人電子情報通信学会，2002年03月12日，Ｖｏｌ．１０１，Ｎｏ．７２８，ｐｐ．１３９－１４３

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／００－ ９／４０

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ７／７２

Ｇ０６Ｆ １７／１０

(57)【特許請求の範囲】

【請求項1】

互いに素な整数を示すＸ，Ｙに対してＵＸ＋ＶＹ＝１を満たすＵ，Ｖを求める逆元演算処理に用いられるＸ，Ｙが入力され、Ｘ，Ｙの有効ビット長を示すｍ，ｎとｍ，ｎの合計に応じた回数閾値とを生成する初期設定部と、
Ｘ，Ｙが入力され、前記初期設定部で生成されたｍ，ｎが入力され、ｗ，ｔを予め定められた整数とするとき、ｍ，ｎに応じてＸ，Ｙの上位ｗ＋ｔビットｒ，ｓとＸ，Ｙの下位ｗビットａ，ｂとを生成し、拡張バイナリＧＣＤ処理の近似計算のループとして、｜ｒ－ｓ｜の値が差分閾値以上である場合に、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値が更新され更新行列Ｍが生成又は更新される第１のループを反復実行し、｜ｒ－ｓ｜の値が前記差分閾値より小さい場合に、前記第１のループに代えて、ｒ，ｓ，ａ，ｂの値及び更新行列Ｍが更新されずにｍ，ｎの値が更新される第２のループを反復実行可能であり、前記第１のループ及び前記第２のループの合計のループ回数がｗに達した場合に前記拡張バイナリＧＣＤ処理のループを終了させるワード単位処理部と、
Ｘ，Ｙが入力され、前記ワード単位処理部で更新された更新行列Ｍが入力され、更新行列Ｍに基づいてＸ，Ｙの値を更新し、Ｘ，Ｙの正負に基づいてｆを生成又は更新する第１の多倍長演算部と、
前記第１の多倍長演算部で更新されたＸ，Ｙ，ｆと前記ワード単位処理部で更新された更新行列Ｍとが入力され、ｆに基づいて、Ｘ，Ｙの値が非負となるようにＸ，Ｙ，Ｍを更新する補正部と、
前記補正部で更新された更新行列Ｍが入力され、更新行列Ｍに基づいてＵ，Ｖの値を更新する第２の多倍長演算部と、
前記初期設定部で生成された前記回数閾値が入力され、前記ワード単位処理部、前記第１の多倍長演算部、前記補正部、前記第２の多倍長演算部を順次動作させる前記逆元演算処理のループを反復実行し、前記逆元演算処理のループ回数が前記回数閾値に達した場合に、前記逆元演算処理のループを終了させる制御部と、
前記逆元演算処理のループが終了されたことに応じて、Ｖ＝Ｙ^－１ｍｏｄ Ｘを剰余環Ｚ／ＸＺ上の逆元として出力する出力部と、
を備えた逆元演算装置。

【請求項2】

前記ワード単位処理部は、前記第１のループにおいて、ａ，ｂがともに奇数の場合に、ｒ，ｓの大小関係を用いずにｍ，ｎの大小関係に基づいて、ｒ，ａを更新する
請求項１に記載の逆元演算装置。

【請求項3】

互いに素な整数を示すＸ，Ｙに対してＵＸ＋ＶＹ＝１を満たすＵ，Ｖを求める逆元演算処理に用いられるＸ，Ｙが入力され、Ｘ，Ｙの有効ビット長を示すｍ，ｎとｍ，ｎの合計に応じた回数閾値とＸ，Ｙの正負を示すｆとを生成する初期設定部と、
Ｘ，Ｙが入力され、前記初期設定部で生成されたｍ，ｎ，ｆが入力され、ｗ，ｔを予め定められた整数とするとき、ｍ，ｎに応じてＸ，Ｙの上位ｗ＋ｔビットｒ，ｓとＸ，Ｙの下位ｗビットａ，ｂとを生成し、ｆに基づいてｒ，ｓ，ａ，ｂの値が非負となるようにｒ，ｓ，ａ，ｂ，Ｍを更新する補正処理を行い、拡張バイナリＧＣＤ処理の近似計算のループとして、｜ｒ－ｓ｜の上位ビットが０になる第１の閾値より｜ｒ－ｓ｜の値が大きい場合に、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値が更新され更新行列Ｍが生成又は更新される第１のループを反復実行し、前記第１の閾値より｜ｒ－ｓ｜の値が小さい場合に、前記第１のループに代えて、ｒ，ｓ，ａ，ｂの値及び更新行列Ｍが更新されずにｍ，ｎの値が更新される第２のループを反復実行し、前記第１のループ及び前記第２のループの合計のループ回数がｗに達した場合に前記拡張バイナリＧＣＤ処理のループを終了させるワード単位処理部と、
Ｘ，Ｙが入力され、前記ワード単位処理部で用いられたｆと前記ワード単位処理部で更新された更新行列Ｍが入力され、更新行列Ｍに基づいてＸ，Ｙの値を更新し、Ｘ，Ｙの正負に基づいてｆを更新する第１の多倍長演算部と、
前記ワード単位処理部で更新された更新行列Ｍが入力され、更新行列Ｍに基づいてＵ，Ｖの値を更新する第２の多倍長演算部と、
前記初期設定部で生成された前記回数閾値が入力され、前記ワード単位処理部、前記第１の多倍長演算部、前記第２の多倍長演算部を順次動作させる前記逆元演算処理のループを反復実行し、前記逆元演算処理のループ回数が前記回数閾値に達した場合に、前記逆元演算処理のループを終了させる制御部と、
前記逆元演算処理のループが終了されたことに応じて、Ｖ＝Ｙ^－１ｍｏｄ Ｘを剰余環Ｚ／ＸＺ上の逆元として出力する出力部と、
を備えた逆元演算装置。

【請求項4】

前記ワード単位処理部は、ｆに基づいて、ｒ，ｓのビット反転とａ，ｂの符号反転とを行って、ｒ，ｓ，ａ，ｂを更新する
請求項３に記載の逆元演算装置。

【請求項5】

前記制御部は、前記ワード単位処理部と前記第２の多倍長演算部とを互いに並列に動作させる
請求項１から４のいずれか１項に記載の逆元演算装置。

【請求項6】

前記制御部は、前記第１の多倍長演算部の処理と前記第２の多倍長演算部の処理とを、共通の回路を時分割で利用して実行させる
請求項１から５のいずれか１項に記載の逆元演算装置。

【請求項7】

ファームウェアを格納するメモリと、
請求項１から６のいずれか１項に記載の逆元演算装置を含み、前記メモリから前記ファームウェアを読み出す際に、前記逆元演算装置による逆元の演算を含む署名検証処理を行うコントローラと、
を備えたメモリシステム。

【発明の詳細な説明】

【技術分野】

【0001】

本実施形態は、逆元演算装置及びメモリシステムに関する。

【背景技術】

【0002】

逆元演算装置を有するメモリシステムは、メモリからファームウェアを読み出す際に、逆元演算装置による逆元の演算を含む署名検証処理を行うことがある。このとき、逆元の演算を高速に行うことが望まれる。

【先行技術文献】

【特許文献】

【0003】

【文献】特開２００３－２３３３０９号公報

【非特許文献】

【0004】

【文献】Ｂｅｒｎｓｔｅｉｎ， Ｄ．， ＆ Ｙａｎｇ， Ｂ．－Ｙ． （２０１９）． “Ｆａｓｔ ｃｏｎｓｔａｎｔ－ｔｉｍｅ ｇｃｄ ｃｏｍｐｕｔａｔｉｏｎ ａｎｄ ｍｏｄｕｌａｒ ｉｎｖｅｒｓｉｏｎ”．

【発明の概要】

【発明が解決しようとする課題】

【0005】

一つの実施形態は、逆元の演算を高速に行うことができる逆元演算装置及びメモリシステムを提供することを目的とする。

【課題を解決するための手段】

【0006】

一つの実施形態によれば、初期設定部とワード単位処理部と第１の多倍長演算部と補正部と第２の多倍長演算部と制御部と出力部とを有する逆元演算装置が提供される。初期設定部は、Ｘ，Ｙが入力される。Ｘ，Ｙは、互いに素な整数を示す。Ｘ，Ｙは、逆元演算処理に用いられる。逆元演算処理は、Ｘ，Ｙに対してＵＸ＋ＶＹ＝１を満たすＵ，Ｖを求める処理である。初期設定部は、ｍ，ｎと回数閾値とを生成する。ｍ，ｎは、Ｘ，Ｙの有効ビット長を示す。回数閾値は、ｍ，ｎの合計に応じた閾値である。ワード単位処理部は、Ｘ，Ｙが入力される。ワード単位処理部は、初期設定部で生成されたｍ，ｎが入力される。ワード単位処理部は、ｗ，ｔを予め定められた整数とするとき、ｍ，ｎに応じてｒ，ｓとａ，ｂとを生成する。ｒ，ｓは、Ｘ，Ｙの上位ｗ＋ｔビットを示す。ａ，ｂは、Ｘ，Ｙの下位ｗビットを示す。ワード単位処理部は、拡張バイナリＧＣＤ処理の近似計算のループとして、｜ｒ－ｓ｜の値が差分閾値以上である場合に、第１のループを反復実行する。第１のループは、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値が更新され更新行列Ｍが生成又は更新されるループである。ワード単位処理部は、｜ｒ－ｓ｜の値が差分閾値より小さい場合に、第１のループに代えて、第２のループを反復実行可能である。第２のループは、ｒ，ｓ，ａ，ｂの値及び更新行列Ｍが更新されずにｍ，ｎの値が更新されるループである。ワード単位処理部は、第１のループ及び第２のループの合計のループ回数がｗに達した場合に拡張バイナリＧＣＤ処理のループを終了させる。第１の多倍長演算部は、Ｘ，Ｙが入力される。第１の多倍長演算部は、ワード単位処理部で更新された更新行列Ｍが入力される。第１の多倍長演算部は、更新行列Ｍに基づいてＸ，Ｙの値を更新する。第１の多倍長演算部は、Ｘ，Ｙの正負に基づいてｆを生成又は更新する。補正部は、第１の多倍長演算部で更新されたＸ，Ｙ，ｆとワード単位処理部で更新された更新行列Ｍとが入力される。補正部は、ｆに基づいて、Ｘ，Ｙの値が非負となるようにＸ，Ｙ，Ｍを更新する。第２の多倍長演算部は、補正部で更新された更新行列Ｍが入力される。第２の多倍長演算部は、更新行列Ｍに基づいてＵ，Ｖの値を更新する。制御部は、初期設定部で生成された回数閾値が入力される。制御部は、逆元演算処理のループを反復実行する。逆元演算処理のループは、ワード単位処理部、第１の多倍長演算部、補正部、第２の多倍長演算部を順次動作させるループである。制御部は、逆元演算処理のループ回数が回数閾値に達した場合に、逆元演算処理のループを終了させる。出力部は、逆元演算処理のループが終了されたことに応じて、Ｖ＝Ｙ^－１ｍｏｄ Ｘを剰余環Ｚ／ＸＺ上の逆元として出力する。

【図面の簡単な説明】

【0007】

【図1】図１は、第１の実施形態にかかる逆元演算装置を含むコントローラが適用されたメモリシステムの構成を示す図である。

【図2】図２は、第１の実施形態にかかる逆元演算装置の構成を示す図である。

【図3】図３は、第１の実施形態におけるワード単位処理部の構成を示す図である。

【図4】図４は、第１の実施形態における逆元演算処理の疑似コード（アルゴリズムＡ）を示す図である。

【図5】図５は、第１の実施形態における逆元演算処理を示すフローチャートである。

【図6】図６は、第１の実施形態におけるワード単位処理を示すフローチャートである。

【図7】図７は、第２の実施形態における逆元演算処理の疑似コード（アルゴリズムＢ）を示す図である。

【図8】図８は、第３の実施形態にかかる逆元演算装置の構成を示す図である。

【図9】図９は、第３の実施形態における逆元演算処理の疑似コード（アルゴリズムＣ）を示す図である。

【図10】図１０は、第３の実施形態における逆元演算処理を示すフローチャートである。

【図11】図１１は、第４の実施形態における逆元演算処理を示すシーケンス図である。

【図12】図１２は、拡張バイナリＧＣＤ法に対応した逆元演算処理の疑似コード（アルゴリズムＧ）を示す図である。

【図13】図１３は、証明用の中間変数が図４の疑似コードに追記された疑似コード（アルゴリズムＡ）を示す図である。

【発明を実施するための形態】

【0008】

以下に添付図面を参照して、実施形態にかかる逆元演算装置を詳細に説明する。なお、これらの実施形態により本発明が限定されるものではない。

【0009】

（第１の実施形態）
第１の実施形態にかかる逆元演算装置は、有限体上の逆元を演算する装置であり、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）等のメモリシステムにおけるファームウェアのデジタル署名に使用され得る。デジタル署名では、鍵生成アルゴリズム、署名生成アルゴリズム、署名検証アルゴリズムの３つが用いられる。鍵生成アルゴリズムは、公開鍵及び秘密鍵のペアを生成する。署名生成アルゴリズムは、ファームウェア及び秘密鍵を受けて、逆元の演算を含む署名生成処理を行って、署名を生成する。署名検証アルゴリズムは、ファームウェア、公開鍵、署名を受けて、逆元の演算を含む署名検証処理を行って、署名を検証する。

【0010】

例えば、逆元演算装置１を含むコントローラ１００が適用されたメモリシステム３００は、図１に示すように構成される。図１は、逆元演算装置１を含むコントローラ１００が適用されたメモリシステム３００の構成を示す図である。メモリシステム３００は、コントローラ１００及び半導体メモリ２００を有する。コントローラ１００は、主制御回路１０１、署名付与回路１０２、署名検証回路１０３及びバッファメモリ１０４を有する。署名検証回路１０３は、逆元演算装置１を含む。逆元演算装置１は、逆元演算回路として構成され得る。半導体メモリ２００は、不揮発性の半導体メモリ（例えば、ＮＡＮＤ型フラッシュメモリ）であり、ストレージ領域２０１及び管理情報格納領域２０２を有する。ストレージ領域２０１には、ユーザデータが格納され得る。管理情報格納領域２０２には、ファームウェア（ＦＷ）５０１及び署名５０２が格納されている。署名５０２は、デジタル署名である。署名５０２は、署名付与回路１０２で生成されたものであってもよいし、メモリシステム３００の外部で生成されたものであってもよい。

【0011】

メモリシステム３００において、コントローラ１００は、ファームウェア５０１を起動する際に、ファームウェア５０１及び署名５０２をバッファメモリ１０４に一時的に格納し、署名検証回路１０３でファームウェア５０１の署名検証処理を行う。署名検証処理では、ファームウェア５０１のハッシュ値が求められるとともに、署名５０２から公開鍵に基づく値が抽出され、ファームウェア５０１のハッシュ値と抽出された値とを用いて所定の条件が満たされるか否かが判断される。

【0012】

例えば、署名検証回路１０３は、ＥＣＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）方式に従った署名検証処理を行ってもよい。署名５０２は、第１の部分及び第２の部分を有する。署名検証回路１０３は、ファームウェア５０１のハッシュ値を求める。署名検証回路１０３は、逆元演算装置１により署名５０２の第１の部分の逆元を求める。署名検証回路１０３は、ハッシュ値と署名５０２の第１の部分の逆元とを用いて、所定のパラメータを求める。署名検証回路１０３は、公開鍵と第１の部分の逆元と第２の部分と所定のパラメータとを用いて、楕円曲線上の点の座標値を求める。署名検証回路１０３は、所定の条件として、署名５０２の第２の部分と楕円曲線上の点の座標値とが一致することが満たされるか否かを判断する。

【0013】

署名検証回路１０３は、所定の条件が満たされれば、不正な改ざんが無いとして、承認の結果を出力する。これに応じて、コントローラ１００は、ファームウェア５０１を起動し、例えばバッファメモリ１０４内にファームウェア５０１の機能モジュールを展開させる。署名検証回路１０３は、所定の条件が満たされなければ、不正な改ざんの可能性があるとして、拒否の結果を出力する。これに応じて、コントローラ１００は、ファームウェア５０１を起動しない。この結果、メモリシステム３００では、起動時にファームウェア５０１の不正な改ざんを検出・防止することができる。

【0014】

メモリシステム３００において、ファームウェア５０１の起動を高速化するためには、起動の際に行われる署名検証処理を高速化することが求められる。署名検証処理を高速化するためには、署名検証処理における逆元の演算を高速化することが求められる。署名検証回路１０３は、ＥＣＤＳＡなどの方式に従ったデジタル署名の検証を行う際に、逆元演算装置１で有限体上の逆元を演算する。逆元の演算は、多倍長精度で反復処理を行う必要があり、演算コストが非常に大きいものとなってくる。ここで、ワード単位処理部はシフト演算器を持ち、多倍長演算部は乗算器を持つ。シフト演算器及び乗算器は同程度のビット長を有し、そのビット長を１ワード長（例えば、６４ビット）とする。この場合、多倍長精度とは、乗算器を複数回使って演算される複数ワードの合計ビット長に相当する精度を意味する。

【0015】

逆元を演算する手法としては、拡張バイナリＧＣＤ法に基づく第１の手法が考えられる。第１の手法は、互いに素な２つの整数を入力変数として、大小比較、ＬＳＢの偶奇判定、シフト演算、減算が反復されるアルゴリズムである。第１の手法では、大小比較、シフト演算、減算に関しては、多倍長整数のビット長が長くなるにつれ処理時間が長くなってしまい、計算コストが高い。逆元の演算を高速化するためには、多倍長演算の回数をできるだけ減らすように工夫して計算することなど、計算コストの低減が要求される。

【0016】

それに対して、改良バイナリＧＣＤ法に基づく第２の手法が考えられる。改良バイナリＧＣＤ法は、拡張バイナリＧＣＤ法を改良した方法であり、多倍長整数の上位ワードを用いて拡張バイナリＧＣＤ法の近似計算を行う方法である。第２の手法では、改良バイナリＧＣＤ法に従い、多倍長整数に代えて１ワード長の整数で拡張バイナリＧＣＤ法の近似計算を行うので、多倍長演算の回数を減らすことができ、高速に逆元を演算できるようにも考えられる。

【0017】

しかし、第２の手法は、近似誤差が増える可能性がある。例えば、第２の手法では、近似計算において、互いに素な２つの多倍長整数を示す入力変数に対して、その上位ワードを近似変数とする。第２の手法では、近似変数に対して、大小比較、ＬＳＢの偶奇判定、シフト演算、減算が反復される。第２の手法では、大小比較の判定を間違える（すなわち、近似変数の大小比較の結果が入力変数の大小比較の結果と異なってしまう）ことがある。第２の手法では、大小比較の判定を間違えても、そのまま、近似変数に対する大小比較、ＬＳＢの偶奇判定、シフト演算、減算が反復されるため、近似誤差が増大していく可能性がある。

【0018】

第２の手法は、２つの入力変数の一方の値が０になることがその終了条件となることから、近似誤差が増えると、処理の反復回数が顕著に増加する可能性がある。そのため、第２の手法では、ワーストケースの反復回数を保証することが困難であり、演算を定数時間で行うように構成することが困難である。これにより、第２の手法の逆元の演算をメモリシステムに適用した場合、ファームウェアの起動時間を保証することが困難になり、場合によっては、ファームウェアの起動時間が長時間化する可能性がある。

【0019】

そこで、本実施形態では、逆元演算装置１は、２つの入力変数の有効ビット長の合計に応じた回数閾値を生成し、近似計算で近似変数及び有効ビット長を逐次更新しながら大小判定を間違えそうなときに近似変数の更新を停止しつつ有効ビット長の更新を継続する逆元演算処理のループを反復実行し、ループ回数が回数閾値に達したことに応じてループを終了させる。これにより、逆元演算処理について、近似誤差の増大の抑制と処理の定数回数化とが可能となる。

【0020】

具体的には、逆元演算装置１は、互いに素な整数を示すＸ，Ｙが入力され、Ｘ，Ｙに対して
ＵＸ＋ＶＹ＝１・・・数式１
を満たすＵ，Ｖを求める逆元演算処理を行い、
Ｖ＝Ｙ^－１ｍｏｄ Ｘ・・・数式２
を剰余環Ｚ／ＸＺ上の逆元として出力する。逆元演算装置１は、ハードウェア構成として、図示しないが、１以上の比較器、１以上のシフト演算器、１以上の減算器を有する。比較器は、複数の変数の大小比較に用いられたり、変数の偶奇判定（ＬＳＢの偶奇判定）に用いられたりする。シフト演算器は、変数を２倍するのに用いられたり、変数を２で割るのに用いられたりする。減算器は、複数の変数の減算に用いられたり、変数の符号反転に用いられたりする。

【0021】

なお、本明細書において、１ワード長とは、演算器の処理単位のビット長を意味し、例えば、６４ビットである。多倍長とは、複数のワードの合計ビット長を意味する。

【0022】

また、逆元演算装置１は、機能的に、図２に示すように構成され得る。図２は、逆元演算装置１の機能構成を示す図である。以下では、図２に示す各機能構成が逆元演算装置１内にハードウェアにより実装される場合を例示するが、図２に示す各機能構成は、ソフトウェアにより実装されてもよい。あるいは、図２に示す一部の機能構成がハードウェアにより実装され、図２に示す残りの機能構成がソフトウェアにより実装されてもよい。

【0023】

逆元演算装置１は、制御部２、入力部３、初期設定部４、ワード単位処理部５、第１の多倍長演算部６、補正部７、第２の多倍長演算部８、及び出力部９を有する。

【0024】

入力部３は、Ｘ，Ｙを外部から入力変数として受ける。Ｘ，Ｙは、互いに素な整数を示す入力変数であり、それぞれ、整数を示すビットパターンを有する。Ｘ，Ｙは、それぞれ、多倍長のビット長を有する。Ｘ，Ｙは、例えば、２５６ビット又は３８４ビットのビット長を有する。入力部３は、Ｘ，Ｙを初期設定部４及び第１の多倍長演算部６へそれぞれ供給する。

【0025】

初期設定部４は、入力部３からＸ，Ｙが入力される。初期設定部４は、Ｘ，Ｙに対して数式１を満たすＵ，Ｖを求めるためのＵ，Ｖの初期値を設定する。初期設定部４は、例えばＶを剰余環Ｚ／ＸＺ上の逆元として求める場合（数式１，２参照）、Ｕ＝０、Ｖ＝１を初期値として設定する。初期設定部４は、それぞれが初期値を有するＵ，Ｖを第２の多倍長演算部８へ供給する。

【0026】

初期設定部４は、Ｘの有効ビット長を示すｍを生成し、Ｘの有効ビット長の値をｍの初期値とする。初期設定部４は、ＸにおけるＭＳＢから連続する０の数を数えて、Ｘの有効ビット長の値を求めてもよい。初期設定部４は、Ｙの有効ビット長を示すｎを生成し、Ｙの有効ビット長の値をｎの初期値とする。初期設定部４は、ＹにおけるＭＳＢから連続する０の数を数えて、Ｙの有効ビット長の値を求めてもよい。なお、ｍ，ｎは、厳密な有効ビット長であってもよいし、有効ビット長以上の整数であってもよい。ｍ，ｎが有効ビット長以上の整数である場合、Ｘのビット長をｍの初期値としてもよく、Ｙのビット長をｎの初期値としてもよい。初期設定部４は、初期値を有するＸ，Ｙ，ｍ，ｎをワード単位処理部５へ供給する。

【0027】

初期設定部４は、入力変数の有効ビット長を管理するパラメータとして、ｍ，ｎの合計に応じた回数閾値ｄを生成する。初期設定部４は、次の数式１で示す回数閾値ｄを生成し得る。

【数1】

【0028】

数式１に示すように、ｄは、（ｍ＋ｎ－１）／ｗの小数部分を切り上げて得られる整数である。ｗは、予め定められた整数であり、１ワード長のビット長であってもよい。初期設定部４は、ｍ，ｎの合計から１を減算した値をｗで除算した商の整数部分を回数閾値ｄとして求める。初期設定部４は、回数閾値ｄを制御部２へ供給する。

【0029】

制御部２は、回数閾値ｄが初期設定部４から入力される。制御部２は、ワード単位処理部５、第１の多倍長演算部６、補正部７、第２の多倍長演算部８を制御して、逆元演算処理のループを反復実行させる。逆元演算処理のループは、制御部２の制御に応じて、ワード単位処理部５、第１の多倍長演算部６、補正部７、第２の多倍長演算部８が順次動作されるループである。また、制御部２は、逆元演算処理のループ回数を管理する。制御部２は、逆元演算処理のループ回数と回数閾値ｄとを比較する。制御部２は、逆元演算処理のループ回数が回数閾値以下である場合に、逆元演算処理のループを反復実行させる。

【0030】

ワード単位処理部５は、逆元演算処理の初回のループにおいて、初期値を有するＸ，Ｙ，ｍ，ｎが初期設定部４から入力される。ワード単位処理部５は、逆元演算処理の２回目以降のループにおいて、更新後のＸ，Ｙが補正部７から入力される。ワード単位処理部５は、拡張バイナリＧＣＤ処理の近似計算のループとして、第１のループ又は第２のループを反復実行する。

【0031】

例えば、ワード単位処理部５は、図３に示すように構成され得る。図３は、ワード単位処理部５の構成を示す図である。ワード単位処理部５は、初期設定部５４、第１のループ実行部５１、第２のループ実行部５２、及び回数管理部５３を有する。

【0032】

初期設定部５４は、Ｘ，Ｙ，ｍ，ｎを受ける。初期設定部５４は、ｍ，ｎに応じてＸ，Ｙの有効ビットの最上位ビット位置を特定する。それに応じて、初期設定部５４は、Ｘの近似変数として、Ｘの上位ｗ＋ｔビットを示すｒを生成し、下位ｗビットを示すａを生成する。ｔは、予め定められた整数であり、

【数2】

であってもよい。例えば、ｗ＝６４であり、ｗ＋ｔ＝７１である。初期設定部５４は、Ｘの上位ｗ＋ｔビットの値をｒの初期値とし、下位ｗビットの値をａの初期値とする。初期設定部５４は、Ｙの近似変数として、Ｙの上位ｗ＋ｔビットを示すｓを生成し、下位ｗビットを示すｂを生成する。初期設定部５４は、Ｙの上位ｗ＋ｔビットの値をｓの初期値とし、下位ｗビットの値をｂの初期値とする。

【0033】

このとき、初期設定部５４は、Ｘ，Ｙの近似変数としてＸ，Ｙの上位ビットを取る際に、１ワード長のビット長より若干長いｗ＋ｔビットを取って近似変数ｒ，ｓとしている。これにより、ワード単位処理部５で近似変数ｒ，ｓを用いた拡張バイナリＧＣＤ処理の近似計算を行う際における近似誤差の発生を抑制できる。

【0034】

初期設定部５４は、初期値を有するｒ，ｓ，ａ，ｂ，ｍ，ｎを第１のループ実行部５１へ供給する。

【0035】

第１のループ実行部５１は、｜ｒ－ｓ｜の値が差分閾値以上である場合に、第１のループを反復実行する。差分閾値は、｜ｒ－ｓ｜の上位ビットが０になるような閾値であり、ｒ，ｓの値が互いに近いことを示す閾値である。差分閾値は、例えば、２^ｔである。第１のループ実行部５１は、第１のループにおいて、ａ，ｂの偶奇判定又はｒ，ｓの大小判定を行い、その判定結果に応じて、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値を更新し、更新行列Ｍを生成又は更新する。

【0036】

第１のループ実行部５１は、比較判定部５１１、更新部５１２、及び中断部５１３を有する。

【0037】

比較判定部５１１は、｜ｒ－ｓ｜の値と差分閾値とを比較して、｜ｒ－ｓ｜の値が差分閾値以上であるか否かを判定する。比較判定部５１１は、｜ｒ－ｓ｜の値が差分閾値以上である場合、ａ，ｂのＬＳＢを確認し、ａ，ｂの偶奇判定を行う。比較判定部５１１は、ａ，ｂのそれぞれについて、ＬＳＢが０であれば、偶数であると判定し、ＬＳＢが１であれば、奇数であると判定する。比較判定部５１１は、ａ，ｂがいずれも奇数である場合、ｒ，ｓの大小を比較し、ｒ，ｓの大小判定を行う。比較判定部５１１は、それらの判定結果を更新部５１２へ通知する。比較判定部５１１は、｜ｒ－ｓ｜の値が差分閾値より小さい場合、その判定結果を中断部５１３へ通知する。

【0038】

更新部５１２は、比較判定部５１１から判定結果を受けると、その判定結果に応じて、次の処理を行う。

【0039】

更新部５１２は、ａが偶数である場合、ａ，ｒを２で除算し、ｍをディクリメントし、それに応じて、更新行列Ｍを更新する。すなわち、更新部５１２は、シフト演算器でａ，ｒをそれぞれ１ビット右シフトし、減算器でｍから１を減算する。更新部５１２は、ａ，ｒの除算に応じた更新行列Ｍを決め、現在の更新行列Ｍに新たに決めた更新行列Ｍを乗算器（シフト演算器）で乗算して、更新行列Ｍを更新する。

【0040】

更新部５１２は、ｂが偶数である場合、ｂ，ｓを２で除算し、ｎをディクリメントするか０に置き換えられ、それに応じて、更新行列Ｍを更新する。すなわち、更新部５１２は、シフト演算器でｂ，ｓをそれぞれ１ビット右シフトし、減算器でｎから１を減算する。更新部５１２は、ｂ，ｓの除算に応じた更新行列Ｍを決め、現在の更新行列Ｍに新たに決めた更新行列Ｍを乗算器（シフト演算器）で乗算して、更新行列Ｍを更新する。

【0041】

更新部５１２は、ａ，ｂがいずれも奇数でｒ＞ｓである場合、ａ，ｒを（ａ－ｂ）／２，（ｒ－ｓ）／２に置き換え、ｍをディクリメントし、それに応じて、更新行列Ｍを更新する。すなわち、更新部５１２は、減算器でａからｂを減算し、その減算結果をシフト演算器で１ビット右シフトし、減算器でｍから１を減算する。更新部５１２は、ａの（ａ－ｂ）／２への置き換えに応じた更新行列Ｍを決め、現在の更新行列Ｍに新たに決めた更新行列Ｍを乗算器（シフト演算器）で乗算して、更新行列Ｍを更新する。

【0042】

更新部５１２は、ａ，ｂがいずれも奇数でｒ≦ｓである場合、ｂ，ｓを（ｂ－ａ）／２，（ｓ－ｒ）／２に置き換え、ｎをディクリメントし、それに応じて、更新行列Ｍを更新する。すなわち、更新部５１２は、減算器でｂからａを減算し、その減算結果をシフト演算器で１ビット右シフトし、減算器でｎから１を減算する。更新部５１２は、ｂの（ｂ－ａ）／２への置き換えに応じた更新行列Ｍを決め、現在の更新行列Ｍに新たに決めた更新行列Ｍを乗算器（シフト演算器）で乗算して、更新行列Ｍを更新する。

【0043】

中断部５１３は、｜ｒ－ｓ｜の値が差分閾値より小さい旨の判定結果を受けると、その判定結果に応じて、第１のループを中断するように比較判定部５１１及び更新部５１２に要求する。比較判定部５１１は、要求に応じて、動作を停止する。更新部５１２は、要求に応じて、更新後のｒ，ｓ，ａ，ｂ，ｍ，ｎの値を中断部５１３へ供給し、動作を停止する。中断部５１３は、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値を第２のループ実行部５２へ供給する。

【0044】

第２のループ実行部５２は、｜ｒ－ｓ｜の値が差分閾値より小さい場合に、第１のループに代えて、第２のループを反復実行する。第２のループ実行部５２は、第２のループにおいて、ｒ，ｓ，ａ，ｂの値を更新せずに、実質的に更新行列Ｍを更新せず、ｍ，ｎの値を更新する。

【0045】

すなわち、ワード単位処理部５では、｜ｒ－ｓ｜の値が差分閾値より小さい場合、ｒ，ｓの値が互いに近く、ｒ，ｓの大小判定を間違える可能性があるとして、ｒ，ｓ，ａ，ｂの更新及び更新行列Ｍの更新が停止されつつｍ，ｎの値が更新される。これにより、間違った判定結果に応じてｒ，ｓ，ａ，ｂが更新されることを抑制でき、近似誤差の増大を抑制できる。

【0046】

第２のループ実行部５２は、比較判定部５２１、及び更新部５２２を有する。

【0047】

比較判定部５２１は、ｎの値と所定の閾値とを比較する。所定の閾値は、ｍ，ｎのうち大きい方の値からｗを引いた値である。比較判定部５２１は、ｎの値が所定の閾値より大きいか否かを判定し、その判定結果を更新部５２２へ通知する。

【0048】

更新部５２２は、ｎの値が所定の閾値より大きい場合、ｎをディクリメントし、更新行列Ｍを更新しない。すなわち、更新部５２２は、減算器でｎから１を減算する。更新部５１２は、ｒ，ｓ，ａ，ｂの値を更新しないことに応じて更新行列Ｍを単位行列に決め、現在の更新行列Ｍに単位行列を乗算器（シフト演算器）で乗算して、更新行列Ｍを形式的に更新するが、実質的に更新行列Ｍを更新しない。

【0049】

更新部５２２は、ｎの値が所定の閾値以下である場合、ｍをディクリメントし、更新行列Ｍを更新しない。すなわち、更新部５２２は、減算器でｍから１を減算する。更新部５１２は、ｒ，ｓ，ａ，ｂの値を更新しないことに応じて更新行列Ｍを単位行列に決め、現在の更新行列Ｍに単位行列を乗算器（シフト演算器）で乗算して、更新行列Ｍを形式的に更新するが、実質的に更新行列Ｍを更新しない。

【0050】

回数管理部５３は、第１のループ及び第２のループの合計のループ回数を管理する。回数管理部５３は、合計のループ回数がｗ回に達した場合に、拡張バイナリＧＣＤ処理のループを終了させる。

【0051】

第１のループ実行部５１の更新部５１２は、ｒ，ｓ，ａ，ｂ，ｍ，ｎの値を更新するたびに、更新を行ったことを回数管理部５３へ通知する。第２のループ実行部５２の更新部５２２は、ｍ，ｎの値を更新するたびに、更新を行ったことを回数管理部５３へ通知する。回数管理部５３は、ループ回数を管理するためのパラメータを保持し、更新部５１２又は更新部５２２から通知を受ける度に、パラメータの値をカウントアップする。

【0052】

回数管理部５３は、パラメータの値に応じて、合計のループ回数がｗ回に達したと判断すると、次の動作を行う。

【0053】

更新部５１２が動作を停止し更新部５２２が動作中であれば、回数管理部５３は、第２のループを終了するように更新部５２２に要求する。更新部５１２は、要求に応じて、実線の矢印で示すように、更新行列Ｍを第１の多倍長演算部６及び補正部７へ供給し、ｍ，ｎを初期設定部５４へ供給し、動作を停止する。

【0054】

更新部５１２が動作中であれば、回数管理部５３は、第１のループを終了するように更新部５１２に要求する。更新部５１２は、要求に応じて、点線の矢印で示すように、更新行列Ｍを第１の多倍長演算部６及び補正部７へ供給し、ｍ，ｎを初期設定部５４へ供給し、動作を停止する。

【0055】

これにより、逆元演算処理の各ループにおいて、拡張バイナリＧＣＤ処理のループ回数が１ワード長に応じたｗ回行われ、ｍ及びｎの合計がｗ少なくなる。

【0056】

図２に示す第１の多倍長演算部６は、逆元演算処理の初回のループにおいて、入力部３からＸ，Ｙが入力される。逆元演算処理の２回目以降のループにおいて、補正部７からＸ，Ｙが入力される。第１の多倍長演算部６は、ワード単位処理部５から更新行列Ｍが入力される。第１の多倍長演算部６は、更新行列Ｍに基づいて、Ｘ，Ｙの値を更新する。すなわち、第１の多倍長演算部６は、更新行列ＭとＸ，Ｙを含むベクトルとを乗算器で乗算して、乗算結果を更新後のＸ，Ｙの値とする。第１の多倍長演算部６は、更新後のＸ，Ｙの正負に基づいてｆを生成又は更新する。ｆは、Ｘ，Ｙの正負を示す変数であり、０の値で正を示し、１の値で負を示す。例えば、ｆを生成する際に、第１の多倍長演算部６は、ｆに初期値として０を設定する。第１の多倍長演算部６は、Ｙの値の正負を比較器で確認し、Ｙの値が正であれば、ｆ＝０に維持又は更新し、Ｙの値が負であれば、ｆ＝１に更新する。第１の多倍長演算部６は、更新後のＸ，Ｙ，ｆを補正部７へ供給する。

【0057】

補正部７は、第１の多倍長演算部６から更新後のＸ，Ｙ，ｆが入力され、ワード単位処理部５から更新行列Ｍが入力される。補正部７は、ｆに基づいて、Ｘ，Ｙの値が非負となるようにＸ，Ｙ，Ｍを更新する。例えば、Ｘが正の値に維持される場合、補正部７は、Ｘを更新しない。補正部７は、ｆの値が０であれば、Ｙが正であるとして、Ｙ及び更新行列Ｍを更新しない。補正部７は、ｆの値が０でなければ（すなわち、ｆの値が１であれば）、Ｙが負であるとして、Ｙの符号を反転させ、Ｙの符号を反転させる更新行列Ｍを決める。補正部７は、その更新行列Ｍを現在の更新行列Ｍに乗算器で乗算して、更新行列Ｍを更新する。補正部７は、更新後の更新行列Ｍを第２の多倍長演算部８へ供給する。

【0058】

第２の多倍長演算部８は、逆元演算処理の初回のループにおいて、初期値を有するＵ，Ｖが入力部３から入力される。第２の多倍長演算部８は、更新行列Ｍが補正部７から入力される。更新行列Ｍが入力されると、第２の多倍長演算部８は、更新行列Ｍに基づいてＵ，Ｖの値を更新する。すなわち、第１の多倍長演算部６は、更新行列ＭとＵ，Ｖを含むベクトルとを乗算器で乗算して、乗算結果を更新後のＵ，Ｖの値とする。

【0059】

制御部２は、第２の多倍長演算部８によるＵ，Ｖの更新が行われると、逆元演算処理のループ回数をインクリメントし、逆元演算処理のループ回数と回数閾値ｄとを比較する。制御部２は、逆元演算処理のループ回数が回数閾値ｄ以下である場合に、再び、逆元演算処理のループを実行させる。制御部２は、逆元演算処理のループ回数が回数閾値ｄより大きい場合に、ｍ，ｎの合計が１以下になったとして、逆元演算処理のループを終了させる。すなわち、制御部２は、ワード単位処理部５、第１の多倍長演算部６、補正部７、第２の多倍長演算部８のそれぞれに対して、動作を停止するように指示する。

【0060】

これに応じて、ワード単位処理部５、第１の多倍長演算部６、補正部７は、それぞれ、動作を停止する。第２の多倍長演算部８は、更新後のＵ，Ｖを出力部９へ供給し、動作を停止する。

【0061】

出力部９は、更新後のＵ，Ｖを第２の多倍長演算部８から受ける。更新後のＵ，Ｖを受けると、出力部９は、逆元演算処理のループが終了されたと判断する。出力部９は、逆元演算処理のループが終了されたことに応じて、Ｖ＝Ｙ^－１ｍｏｄ Ｘを剰余環Ｚ／ＸＺ上の逆元として出力する。すなわち、ｍ，ｎの合計が１以下になった状態では、近似的にＸ，Ｙの一方が０（この場合はＸ＝０）になったと見なすことができ、更新後のＵ，Ｖが近似的に数式１を満たす。すなわち、数式１は
ＶＹ≡１ｍｏｄ Ｘ・・・数式３
と変形でき、ＶＹがＸを法として１に合同であるので、数式２が成り立ち、Ｖが剰余環Ｚ／ＸＺ上の逆元として求まったことになる。出力部９は、Ｖを外部（例えば、署名検証回路１０３）へ出力する。

【0062】

次に、逆元演算装置１の動作について図４を用いて説明する。図４は、逆元演算装置１の動作を示す疑似コードである。図４の疑似コードでは、図４（ａ）の記述の後に、図４（ｂ）の記述が続く。

【0063】

図４の疑似コードは、互いに素な整数を示すＸ，Ｙに対して数式１を満たすＵ，Ｖを求める逆元演算処理を行うための手順を示している。記述１１で逆元演算処理に対する初期設定が行われ、記述１２で逆元演算処理のループ（ｌｏｏｐ＿ｊ）が実行され、記述１３でｌｏｏｐ＿ｊで求められた逆元Ｖが出力される。

【0064】

記述１２では、記述１２１で初期設定が行われ、記述１２２で拡張バイナリＧＣＤ処理の近似計算のループ（ｌｏｏｐ＿ｉ）が実行され、記述１２３でＸ，Ｙの更新が行われ、記述１２４でＸ，Ｙの補正が行われ、記述１２５でＵ，Ｖの更新が行われる。

【0065】

記述１２２では、ｅ＝０の間、記述１２２１で第１のループ（ｃａｓｅ＿１）が実行される。｜ｒ－ｓ｜が差分閾値より小さくなり、ｒ，ｓの大小比較がＸ，Ｙの大小比較と異なる可能性があると判定された場合、ｅ＝１となり、第２のループ（ｃａｓｅ＿２）が実行される。

【0066】

具体的には、記述１１において、逆元演算処理に対する初期設定が行われる。Ｕ＝０、Ｖ＝１を初期値として設定する。Ｘの有効ビット長を示すｍを生成し、Ｙの有効ビット長を示すｎを生成する。１ワード長を示すｗを生成し、１ワード長に応じた追加のビット数を示すｔを生成する。追加のビット数は、例えば、

【数3】

である。回数閾値として、ｍ及びｎの合計に応じた

【数4】

を生成する。

【0067】

記述１２において、逆元演算処理のループ（ｌｏｏｐ＿ｊ）が実行される。逆元演算処理のループは、「ｆｏｒ」文で記述され、ｊが初期値０からループの実行の度にインクリメントされていき、ｊがｄを超えると終了する。

【0068】

すなわち、逆元演算処理のループは、終了条件が回数閾値ｄになっており、ｄ回繰り返されたところで終了する。これにより、定数回数での処理を実現可能である。

【0069】

記述１２１では、拡張バイナリＧＣＤ処理の近似計算に対する初期設定が行われる。ｍ，ｎの現在値がｍ_０，ｎ_０とされ、ｍ_０，ｎ_０のうち大きい方がｋとされる。ｋは、Ｘ，Ｙの有効ビットの最上位ビット位置を示す。ｋ－（ｗ＋ｔ）がｈとされる。ａ_０＝Ｘ［ｗ－１：０］でＸの下位ｗビットがａ_０とされ、ｂ_０＝Ｙ［ｗ－１：０］でＹの下位ｗビットがｂ_０とされる。ｒ_０＝Ｘ［ｋ－１：ｈ］でＸの有効ビットにおける上位（ｗ＋ｔ）ビットがｒ_０とされ、ｓ_０＝Ｙ［ｋ－１：ｈ］でＹの有効ビットにおける上位（ｗ＋ｔ）ビットがｓ_０とされる。更新行列Ｍは、初期値として、単位行列が設定される。大小関係の判定を誤る可能性がある否かを示すパラメータｅは、初期値として、０が設定される。

【0070】

記述１２２では、拡張バイナリＧＣＤ処理の近似計算のループ（ｌｏｏｐ＿ｉ）が実行される。近似計算のループは、「ｆｏｒ」文で記述され、ｉが初期値０からループの実行の度にインクリメントされ、ｉがｗを超えると終了する。

【0071】

すなわち、近似計算のループは、終了条件が回数閾値ｗになっており、ｗ回繰り返されたところで終了する。これにより、定数回数での処理を実現可能である。

【0072】

記述１２２１では、第１のループ（ｃａｓｅ＿１）の処理が行われる。ｃａｓｅ＿１は、「ｉｆ」文のｅ＝０の条件部分として記述され、ｅ＝０の間、実行される。ｅの値（ｅ_ｉ）は、「ｋ＞ｗ＋ｔであること」と「ａ_ｉ，ｂ_ｉがいずれも奇数であること」と「｜ｒ_ｉ－ｓ_ｉ｜が差分閾値２^ｔより小さいこと」とがいずれも成り立つ場合に、ｒ，ｓの大小判定を間違える可能性があるとして、１に設定される。それ以外の場合、ｅの値は、０に維持される。

【0073】

ａが偶数である場合、ｃａｓｅ＿Ａの処理が行われる。ａ，ｒが２で除算され、ｍがディクリメントされ、それに応じて、更新行列Ｍが決められる。なお、ｃａｓｅ＿Ａでは、更新の際に、ａとｂ、ｒとｓ、ｍとｎが入れ替わっているが、実質的に、ｂ，ｓ，ｎは更新されていない。

【0074】

ｂが偶数である場合、ｃａｓｅ＿Ｂの処理が行われる。ｂ，ｓが２で除算され、ｎがディクリメントされた値と０とのうち大きい方の値に置き換えられ、それに応じて、更新行列Ｍが決められる。

【0075】

ａ，ｂがいずれも奇数でｒ＞ｓである場合、ｃａｓｅ＿Ｃの処理が行われる。ａ，ｒが（ａ－ｂ）／２，（ｒ－ｓ）／２に置き換えられ、ｍがディクリメントされ、それに応じて、更新行列Ｍが決められる。なお、ｃａｓｅ＿Ｃでは、更新の際に、ａとｂ、ｒとｓ、ｍとｎが入れ替わっているが、実質的に、ｂ，ｓ，ｎは更新されていない。

【0076】

ａ，ｂがいずれも奇数でｒ≦ｓである場合、ｃａｓｅ＿Ｄの処理が行われる。ｂ，ｓが（ｂ－ａ）／２，（ｓ－ｒ）／２に置き換えられ、ｎがディクリメントされ、それに応じて、更新行列Ｍが決められる。

【0077】

記述１２２２では、第２のループ（ｃａｓｅ＿２）の処理が行われる。ｃａｓｅ＿２は、「ｉｆ」文のｅ≠０の条件部分として記述され、ｅ≠０になった際に、実行される。ｃａｓｅ＿２では、ｒ，ｓ，ａ，ｂの値が更新されない。これに応じて、更新行列Ｍが単位行列に決められる。ｎの値と所定の閾値とが比較され、ｎの値が所定の閾値より大きい場合、ｎがディクリメントされる。ｎの値が所定の閾値以下である場合、ｍがディクリメントされる。

【0078】

記述１２２３では、現在の更新行列Ｍに、新たに決められた更新行列Ｍが乗算され、更新行列Ｍが更新される。また、現在のｍ，ｎの値（ｍ_ｉ＋１，ｎ_ｉ＋１）がｍ，ｎに設定される。

【0079】

記述１２３では、Ｘ，Ｙの更新とｆの生成又は更新が行われる。更新後の更新行列Ｍに、現在のＸ，Ｙを要素として含むベクトルが乗算され、更新後のＸ，Ｙを要素として含むベクトルが生成される。また、Ｙの正負を示す変数ｆが、０を初期値として生成される。更新後のＹの正負が確認され、Ｙが負である場合に、ｆの値が１に更新される。

【0080】

記述１２４では、Ｙが負になった場合に正にする補正処理が行われる。「ｉｆ」文のｆ≠０の条件部分として記述され、ｆ≠０の場合（すなわち、ｆ＝１の場合）に、Ｙが負であるとして、補正処理が行われる。補正処理では、Ｙが符号反転されて更新され、これに応じて、更新行列Ｍが更新される。

【0081】

記述１２５では、Ｕ，Ｖの更新が行われる。更新後の更新行列Ｍに、現在のＵ，Ｖを要素として含むベクトルが乗算され、更新後のＵ，Ｖを要素として含むベクトルが生成される。

【0082】

図４の処理では、ｅ＝０の間、第１のループ（ｃａｓｅ＿１）が実行される。ｃａｓｅ＿１におけるｃａｓｅ＿Ａ～ｃａｓｅ＿Ｄの判定処理は改良バイナリＧＣＤ法に基づく第２の手法と同様である。ただし、有効ビット長ｍ，ｎを管理している点、ｒ，ｓの大小比較がＸ，Ｙの大小比較と異なる可能性があると判定された場合にｅ＝１となって第２のループ（ｃａｓｅ＿２）の処理を行う点において、異なっている。ｃａｓｅ＿２においてはｍ，ｎの値が更新され、ｒ，ｓ，ａ，ｂの値は更新されない。すなわち、ｌｏｏｐ＿ｉの反復で大小関係の判定を誤ってＹの近似変数ｓ，ｂの値が一時的に誤った値になることがあったとしても、その誤った値に基づいてそれ以降にＸ，Ｙの値が更新されるということはない。また、この誤った値は、正しい値に対して符号が反転しているだけなので、後から容易に補正可能である。

【0083】

図４の処理では、多倍長整数（入力変数）の上位１ワード（ｗビット）＋ｔビットの近似変数を使って大小比較を行っているが、ｔはｗに応じて決まる定数である。例えばｔをｌｏｇ_２（ｗ＋２）の小数部分を切り上げて得られる整数とすることで、近似誤差を発生させずに処理が完了することを証明可能である（後述するＰｒｏｏｆ １～Ｐｒｏｏｆ ４参照）。

【0084】

図４の処理では、逆元演算処理のループの反復回数が入力変数のビット長から決定され、入力変数の値そのものには依存していない。したがって、定数回数での処理を実現可能であり、ワーストケースを保証することが可能である。

【0085】

次に、逆元演算装置１の動作について図５を用いて説明する。図５は、逆元演算装置１の動作を示すフローチャートである。

【0086】

逆元演算装置１において、初期設定部４は、互いに素な整数を示すＸ，Ｙが入力部３から入力されると、記述１１（図４参照）に対応した初期化の処理を行う（Ｓ１）。初期設定部４は、Ｕ，Ｖの初期値を設定して第２の多倍長演算部８へ供給する。初期設定部４は、Ｘ，Ｙの有効ビット長を示すｍ，ｎを生成してワード単位処理部５へ供給する。初期設定部４は、ｍ，ｎの合計に応じた回数閾値ｄを生成して制御部２へ供給する。

【0087】

制御部２は、記述１２に対応した逆元演算処理のループ（Ｓ１０）をループ回数がｄ回に達するまで反復実行する。

【0088】

逆元演算処理のループ（Ｓ１０）において、制御部２は、逆元演算処理のループ回数と回数閾値ｄとを比較する。制御部２は、ループ回数が回数閾値ｄ以下である場合、Ｓ１１～Ｓ１４を行う。制御部２は、ワード単位処理部５を制御して、記述１２１，１２２に対応したワード単位処理を行わせる（Ｓ１１）。

【0089】

ワード単位処理（Ｓ１１）において、ワード単位処理部５は、図６に示すような処理を行う。図６は、ワード単位処理（Ｓ１１）を示すフローチャートである。

【0090】

ワード単位処理部５は、記述１２１に対応したワード単位初期化を行う（Ｓ３）。ワード単位処理部５は、Ｘ，Ｙの上位ｗ＋ｔビットを示すｒ，ｓを生成し、Ｘ，Ｙの下位ｗビットを示すａ，ｂを生成する。ワード単位処理部５は、拡張バイナリＧＣＤ処理の近似計算のループ（Ｓ２０）をループ回数がｗ回に達するまで反復実行する。

【0091】

拡張バイナリＧＣＤ処理の近似計算のループ（Ｓ２０）において、ワード単位処理部５は、近似計算のループ回数と回数閾値ｗとを比較する。制御部２は、ループ回数が回数閾値ｗ以下である場合、Ｓ２１～Ｓ２６を行う。ワード単位処理部５は、大小関係の判定を誤る可能性がある否かを示すパラメータｅを確認し、ｅ＝０であれば（Ｓ２１でＹ）、大小関係の判定を誤る可能性があるかどうかの判定１（Ｓ２２）を行う。判定１では、「ｋ＞ｗ＋ｔであること」と「ａ_ｉ，ｂ_ｉがいずれも奇数であること」と「｜ｒ_ｉ－ｓ_ｉ｜が差分閾値２^ｔより小さいこと」とがいずれも成り立つ場合、大小関係の判定を誤る可能性があると判定され、それらのいずれかが成り立たない場合、大小関係の判定を誤る可能性がないと判定される。ワード単位処理部５は、大小関係の判定を誤る可能性がないと判定されると（Ｓ２２でＮ）、記述１２２１に対応した第１のループの更新処理１（Ｓ２３）を行う。ワード単位処理部５は、大小関係の判定を誤る可能性があると判定されると（Ｓ２２でＹ）、ｅ＝１に設定して（Ｓ２４）、記述１２２１に対応した第１のループの更新処理１（Ｓ２３）を行う。

【0092】

一方、ワード単位処理部５は、ｅ≠０であれば（Ｓ２１でＮ）、大小関係の判定を誤る可能性があるとして、記述１２２２に対応した第１のループの更新処理２（Ｓ２５）を行う。

【0093】

ワード単位処理部５は、Ｓ２３又はＳ２５の後、記述１２２３に対応した更新処理３（Ｓ２６）を行う。ワード単位処理部５は、ループ回数が回数閾値ｗを超える場合、ループ（Ｓ２０）を抜ける。

【0094】

図５に戻り、制御部２は、第１の多倍長演算部６を制御して、記述１２３に対応した第１の多倍長演算を行わせる（Ｓ１２）。制御部２は、補正部７を制御して、記述１２４に対応した補正処理を行わせる（Ｓ１３）。制御部２は、第２の多倍長演算部８を制御して、記述１２４に対応した第２の多倍長演算を行わせる（Ｓ１４）。制御部２は、ループ回数が回数閾値ｄを超える場合、ループ（Ｓ１０）を抜けて、Ｓ１０の終了を出力部９へ通知する。

【0095】

出力部９は、Ｓ１０が終了されたことに応じて、記述１３に対応した出力処理を行う（Ｓ２）。出力部９は、Ｖ＝Ｙ^－１ｍｏｄ Ｘを剰余環Ｚ／ＸＺ上の逆元として出力する。

【0096】

以上のように、第１の実施形態において、逆元演算装置１は、２つの入力変数の有効ビット長の合計に応じた回数閾値を生成する。逆元演算装置１は、近似計算で近似変数及び有効ビット長を逐次更新しながら大小判定を間違えそうなときに近似変数の更新を停止しつつ有効ビット長の更新を継続する逆元演算処理のループを反復実行する。これにより、近似計算における近似誤差の増大を抑制できる。逆元演算装置１は、逆元演算処理のループ回数が回数閾値に達したことに応じて処理のループを終了させる。これにより、逆元演算処理について、近似誤差の増大を抑制しながら、処理を定数回数化できる。この結果、有限体上の多倍長逆元演算を、高速、かつ、定数時間で行うことが可能であり、逆元演算処理の反復回数についてワーストケースを保証することができる。したがって、逆元演算装置１をメモリシステム３００におけるファームウェアの署名検証に適用した場合に、ファームウェアの起動時間を保証できる。

【0097】

なお、逆元演算装置１は、互いに素な整数を示すＸ，Ｙに対して数式１を満たすＵ，Ｖを求める逆元演算処理を行い、
Ｕ＝Ｘ^－１ｍｏｄ Ｙ・・・数式４
を剰余環Ｚ／ＹＺ上の逆元として出力してもよい。この場合、初期設定部４は、Ｕ＝１、Ｖ＝０を初期値として設定して第２の多倍長演算部８へ供給する。また、出力部９は、逆元演算処理のループが終了されたことに応じて、数式４に示すＵを剰余環Ｚ／ＹＺ上の逆元として出力する。すなわち、ｍ，ｎの合計が１以下になった状態では、近似的にＸ，Ｙの一方が０（この場合はＹ＝０）になったと見なすことができ、更新後のＵ，Ｖが近似的に数式１を満たす。すなわち、数式１は
ＵＸ≡１ｍｏｄ Ｙ・・・数式５
と変形でき、ＵＸがＹを法として１に合同であるので、数式４が成り立ち、Ｕが剰余環Ｚ／ＹＺ上のＸの逆元として求まったことになる。出力部９は、Ｕを外部（例えば、署名検証回路１０３）へ出力する。

【0098】

また、逆元演算装置１による逆元演算処理は、メモリシステム３００におけるシステム情報の署名付与に用いられてもよい。システム情報は、例えば、ベンダ名、モデル名、製造番号、ファームウェアのバージョン、ハッシュ値、半導体メモリ２００に保持された任意の値などであってもよい。この場合、図１に示す署名付与回路１０２は、逆元演算装置１を有していてもよい。メモリシステム３００において、コントローラ１００は、半導体メモリ２００に格納すべきファームウェア５０１を受けると、ファームウェア５０１をバッファメモリ１０４に一時的に格納し、署名付与回路１０２でファームウェア５０１の署名付与処理を行う。署名検証処理では、ファームウェア５０１のハッシュ値が求められるとともに、ファームウェア５０１のハッシュ値から秘密鍵に基づいて署名５０２が生成され、ファームウェア５０１に署名５０２が付与される。

【0099】

例えば、署名付与回路１０２は、ＥＣＤＳＡ（Ｅｌｌｉｐｔｉｃ Ｃｕｒｖｅ Ｄｉｇｉｔａｌ Ｓｉｇｎａｔｕｒｅ Ａｌｇｏｒｉｔｈｍ）方式に従った署名付与処理を行ってもよい。署名５０２は、第１の部分及び第２の部分を有する。署名付与回路１０２は、ファームウェア５０１のハッシュ値を求める。署名付与回路１０２は、所定の整数を選択し、所定の整数に応じた楕円曲線上の点の座標値を求める。署名付与回路１０２は、楕円曲線上の点の座標値を用いて署名５０２の第２の部分を生成する。署名付与回路１０２は、逆元演算装置１により所定の整数の逆元を求める。署名付与回路１０２は、所定の整数の逆元とファームウェア５０１のハッシュ値に応じた値と署名５０２の第２の部分と秘密鍵とを用いて、署名５０２の第１の部分を生成する。署名付与回路１０２は、第１の部分及び第２の部分を有する署名５０２を生成するとファームウェア５０１とともに半導体メモリ２００に格納する。

【0100】

メモリシステム３００において、逆元演算装置１を署名付与処理に用いるユースケースでは、セキュリティの観点から、データの値によらず定数時間で演算を行うことが求められる。例えば、メモリシステム３００は、逆元演算処理の処理時間のデータ依存性を利用して秘密鍵を導き出しファームウェア５０１を不正に書き換えようとするサイドチャネル攻撃を受ける可能性がある。これに対して、逆元演算装置１によれば、逆元演算処理について、近似誤差の増大を抑制しながら、処理を定数回数化できる。この結果、有限体上の多倍長逆元演算を、高速、かつ、定数時間で行うことが可能であり、サイドチャネル攻撃耐性を高めることができる。

【0101】

また、逆元演算装置１による逆元演算処理は、ＥＣＤＳＡ方式等による暗号化処理、復号化処理に用いられてもよいし、逆元演算処理を含むような他の処理に用いられてもよい。

【0102】

（第２の実施形態）
次に、第２の実施形態にかかる逆元演算装置１について説明する。以下では、第１の実施形態と異なる部分を中心に説明する。

【0103】

第１の実施形態では、近似計算の第１のループ（ｌｏｏｐ＿ｉ）において、Ｘ，Ｙの大小判定をｒ，ｓの大小判定で近似させているが、第２の実施形態では、Ｘ，Ｙの大小判定をｍ，ｎの大小判定で近似させる。Ｘ，Ｙがバイナリであり、大小関係が有効ビット数の大小に反映されやすいので、Ｘ，Ｙの大小判定をｍ，ｎの大小判定で近似させることが可能である。

【0104】

このとき、ｍ，ｎのビット数（例えば、７ビット）がｒ，ｓのビット数（例えば、７０ビット）より小さいので、Ｘ，Ｙの大小判定をｍ，ｎの大小判定で近似させることで、大小判定の処理の負荷を軽減できる。これにより、クリティカルパス遅延を小さくできるため、ｒ，ｓの大小判定を行う場合に比べて、全体のクリティカルパス遅延を削減でき、比較器の数を削減できることなどにより回路規模の削減を狙うことが可能である。すなわち、逆元演算装置１をハードウェアで実装する場合の回路規模を縮小できる。

【0105】

具体的には、逆元演算装置１において、ワード単位処理部５は、第１のループにおいて、ａ，ｂがともに奇数の場合に、ｒ，ｓの大小関係を用いずにｍ，ｎの大小関係に基づいて、ｒ，ｓ，ａ，ｂ，ｍ，ｎを更新する。この動作を疑似コードで説明すると、第１の実施形態の図７（ａ）に示す記述部分１２２１ｃｄが、第２の実施形態では、図７（ｂ）に示す記述部分１２２１ｃｆに変更される。図７（ａ）は、図４に示す第１の実施形態の疑似コードの一部を示す図である。図７（ｂ）は、第２の実施形態の疑似コードの第１の実施形態の疑似コードからの変更部分を示す図である。

【0106】

記述部分１２２１ｃｆでは、ｒ，ｓの大小比較ではなくｍ，ｎの大小比較の結果に基づいて、近似変数ｒ，ａの更新の内容を切り替えている。記述部分１２２１ｃｆのｃａｓｅ＿Ｃ’及びｃａｓｅ＿Ｅが記述部分１２２１ｃｄのｃａｓｅ＿Ｃに対応し、記述部分１２２１ｃｆのｃａｓｅ＿Ｄ’及びｃａｓｅ＿Ｆが記述部分１２２１ｃｄのｃａｓｅ＿Ｄに対応している。

【0107】

ａ，ｂがいずれも奇数でｍ＞ｎである場合、ｃａｓｅ＿Ｃ’の処理が行われて更新行列Ｍの２段目（μ_２，μ_３）が決められ、ｃａｓｅ＿Ｅの処理が行われて更新行列Ｍの１段目（μ_０，μ_１）が決められ、その後、１段目と２段目とが統合され、更新行列Ｍが決められる。

【0108】

ａ，ｂがいずれも奇数でｍ≦ｎである場合、ｃａｓｅ＿Ｄ’の処理が行われて更新行列Ｍの２段目（μ_２，μ_３）が決められ、ｃａｓｅ＿Ｆの処理が行われて更新行列Ｍの１段目（μ_０，μ_１）が決められ、その後、１段目と２段目とが統合され、更新行列Ｍが決められる。

【0109】

第２の実施形態の疑似コードは、記述部分１２２１ｃｄが記述部分１２２１ｃｆに変更される点以外は、図４に示す疑似コードと同様である。

【0110】

以上のように、第２の実施形態において、逆元演算装置１は、第１のループにおいて、ａ，ｂがともに奇数の場合に、ｒ，ｓの大小関係を用いずにｍ，ｎの大小関係に基づいて、ｒ，ａを更新する。これにより、大小判定の処理の負荷を軽減でき、クリティカルパス遅延を小さくできるため、ｒ，ｓの大小判定を行う場合に比べて、逆元演算装置１をハードウェアで実装する場合の回路規模を縮小できる。

【0111】

（第３の実施形態）
次に、第３の実施形態にかかる逆元演算装置１について説明する。以下では、第１の実施形態及び第２の実施形態と異なる部分を中心に説明する。

【0112】

第１の実施形態では、補正処理を多倍長単位の処理で行っているが、第３の実施形態では、補正処理をワード単位の処理で行う。複数の演算器間の繰り上がり又は繰り下がりのやり取りが発生し得る多倍長単位の処理をそのようなやり取りが発生しないワード単位の処理に置き換えることで、処理サイクル数を削減できる。これにより、逆元演算処理の負荷を軽減でき、全体の演算時間を短縮することが可能である。

【0113】

具体的には、逆元演算装置１は、図８に示すように、補正部７（図２参照）が省略され、初期設定部４、ワード単位処理部５に代えて、初期設定部４ｉ、ワード単位処理部５ｉを有する。

【0114】

初期設定部４ｉは、Ｘ，Ｙの正負を示すｆを生成する。ｆは、Ｘ，Ｙの正負を示す変数であり、０の値で正を示し、１の値で負を示す。例えば、ｆを生成する際に、初期設定部４ｉは、ｆに初期値として０を設定する。初期設定部４ｉは、ｆをワード単位処理部５ｉへ供給する。

【0115】

ワード単位処理部５ｉは、ｆに基づいてｒ，ｓ，ａ，ｂの値が非負となるようにｒ，ｓ，ａ，ｂ，Ｍを更新する補正処理を行う。ワード単位処理部５ｉは、ｆに基づいて、ｒ，ｓのビット反転とａ，ｂの符号反転とを行って、ｒ，ｓ，ａ，ｂを更新する。ワード単位処理部５ｉは、ｆ＝０であれば、ｒ，ｓ，ａ，ｂを更新しない。ワード単位処理部５ｉは、ｆ≠０であれば、ｒ，ｓのビット反転とａ，ｂの符号反転とを行って、ｒ，ｓ，ａ，ｂを更新し、それに応じて更新行列Ｍを決める。これにより、近似的に、ｒ，ｓ，ａ，ｂが非負となるように更新行列Ｍを決めることができる。また、ワード単位処理部５ｉは、拡張バイナリＧＣＤ処理のループをｗ回に達するまで反復実行し、その後、更新行列Ｍを更新する。ワード単位処理部５ｉは、更新後のＭ，ｆを第１の多倍長演算部６へ供給し、更新後のＭを第２の多倍長演算部８へ供給する。

【0116】

第１の多倍長演算部６は、Ｍ，ｆがワード単位処理部５ｉから入力され、更新行列Ｍに基づいてＸ，Ｙの値を更新し、Ｘ，Ｙの正負に基づいてｆを更新する。第１の多倍長演算部６は、更新後のＸ，Ｙと更新後のｆとをワード単位処理部５ｉへ供給する。

【0117】

また、逆元演算装置１の動作を疑似コードで説明すると、図９（ａ）に示す記述１２４が、図９（ｂ）に示す複数の記述１２４ａ，１２４ｂに分割され記述１１”と記述１２”中の記述１２１”とに分散して配置される。図９（ａ）は、図４に示す第１の実施形態の疑似コードを概略的に示す図である。図９（ｂ）は、第３の実施形態の疑似コードを概略的に示す図であり、第３の実施形態の疑似コードの第１の実施形態の疑似コードからの変更部分を示す図である。

【0118】

記述１１”における記述１２４ａでは、Ｘ，Ｙの正負を示すｆが生成されるとともに、ｆに初期値として０が設定される。

【0119】

記述１２”中の記述１２１”における記述１２４ｂでは、Ｙが負になった場合に正にする補正処理が行われる。「ｉｆ」文のｆ≠０の条件部分として記述され、ｆ≠０の場合（すなわち、ｆ＝１の場合）に、Ｙが負であるとして、補正処理が行われる。補正処理では、ｒ，ｓのビット反転とａ，ｂの符号反転とが行われて、ｒ，ｓ，ａ，ｂが更新され、これに応じて、更新行列Ｍが更新される。ｒ，ｓのビット反転された値は、近似的に、ｒ，ｓの符号反転された値とみなすことができる。すなわち、記述１２４ｂでは、ｆ≠０の場合に、近似的にＹの符号反転を行うことに相当する処理を近似変数ｒ，ｓ，ａ，ｂで行うことができる。

【0120】

また、逆元演算装置１の動作について、図１０に示すように、次の点で第１の実施形態と異なる処理が行われる。図１０は、逆元演算装置１の動作を示すフローチャートである。

【0121】

逆元演算装置１において、初期設定部４ｉは、Ｓ１と同様の初期設定に加えて、Ｘ，Ｙの正負を示すｆの生成及びその初期値の設定を行う（Ｓ１０１）。その後、制御部２は、記述１２に対応した逆元演算処理のループ（Ｓ１１０）をループ回数がｄ回に達するまで反復実行する。逆元演算処理のループ（Ｓ１１０）において、制御部２は、逆元演算処理のループ回数と回数閾値ｄとを比較する。制御部２は、ループ回数が回数閾値ｄ以下である場合、Ｓ１１１，Ｓ１２，Ｓ１４を行う。すなわち、Ｓ１３に対応する補正処理は、Ｓ１２の後に行われず、Ｓ１１１の中で行われる。

【0122】

ワード単位処理（Ｓ１１１）において、ワード単位処理部５は、記述１２１”（図９（ｂ）参照）に対応したワード単位初期化を行う（Ｓ３”）。すなわち、Ｓ３（図６参照）と同様の初期化の処理に加えて、ワード単位処理部５ｉは、ｆに基づいてｒ，ｓ，ａ，ｂの値が非負となるようにｒ，ｓ，ａ，ｂ，Ｍを更新する補正処理を行う。その後、ワード単位処理部５は、図６のＳ２０と同様の処理を行う。

【0123】

以上のように、第３の実施形態において、逆元演算装置１は、補正処理をワード単位の処理で行う。これにより、処理サイクル数を削減でき、逆元演算処理の負荷を軽減できるので、全体の演算時間を短縮することが可能である。

【0124】

（第４の実施形態）
次に、第４の実施形態にかかる逆元演算装置１について説明する。以下では、第１の実施形態～第３の実施形態と異なる部分を中心に説明する。

【0125】

第１の実施形態～第３の実施形態では、ワード単位処理、第１の多倍長演算、第２の多倍長演算が逆元演算処理のループごとに順次に行われる動作が例示されているが、第４の実施形態では、あるループの第２の多倍長演算と次のループのワード単位処理とを並行させるパイプライン動作が行われる。

【0126】

このパイプライン動作を、図１１（ａ）のシーケンス図で説明する。Ｎをｄより小さい任意の非負の整数とするとき、Ｎ回目の逆元演算処理のループ（Ｓ１０－Ｎ）においてワード単位処理（Ｓ１１－Ｎ）、第１の多倍長演算（Ｓ１２－Ｎ）、第２の多倍長演算（Ｓ１４－Ｎ）が順次に行われる。図１１（ａ）は、逆元演算処理を示すシーケンス図である。Ｎ＋１回目の逆元演算処理のループ（Ｓ１０－（Ｎ＋１））においてワード単位処理（Ｓ１１－（Ｎ＋１））、第１の多倍長演算（Ｓ１２－（Ｎ＋１））、第２の多倍長演算（Ｓ１４－（Ｎ＋１））が順次に行われる。Ｎ＋２回目の逆元演算処理のループ（Ｓ１０－（Ｎ＋２））においてワード単位処理（Ｓ１１－（Ｎ＋２））、第１の多倍長演算（Ｓ１２－（Ｎ＋２））、第２の多倍長演算（Ｓ１４－（Ｎ＋２））が順次に行われる。

【0127】

このとき、図１１（ａ）に一点鎖線で囲って示すように、Ｎ＋１回目の逆元演算処理のループのワード単位処理（Ｓ１１－（Ｎ＋１））と、Ｎ回目の逆元演算処理のループの第２の多倍長演算（Ｓ１４－Ｎ）とが並行して行われる。同様に、Ｎ＋２回目の逆元演算処理のループのワード単位処理（Ｓ１１－（Ｎ＋２））と、Ｎ＋１回目の逆元演算処理のループの第２の多倍長演算（Ｓ１４－（Ｎ＋１））とが並行して行われる。

【0128】

これに応じて、図１１（ａ）に点線の矢印で示すように、Ｎ回目の逆元演算処理の実行期間Ｔ－ＮとＮ＋１回目の逆元演算処理の実行期間Ｔ－（Ｎ＋１）とが部分的に重複する。Ｎ＋１回目の逆元演算処理の実行期間Ｔ－（Ｎ＋１）とＮ＋２回目の逆元演算処理の実行期間Ｔ－（Ｎ＋２）とが部分的に重複する。

【0129】

このパイプライン動作を、図４の疑似コードで説明すると、Ｎをｄより小さい任意の整数とするとき、Ｎ回目の逆元演算処理のループ（ｌｏｏｐ＿ｊ）における記述１２５のＵ，Ｖの多倍長計算とＮ＋１回目の逆元演算処理のループ（ｌｏｏｐ＿ｊ）における１２２の近似計算のループ（ｌｏｏｐ＿ｉ）とを並列に行う（図４）。すなわち、Ｕ，Ｖの計算結果は次のｌｏｏｐ＿ｉの処理に影響を与えないため、Ｕ，Ｖの計算完了を待たずに次のｌｏｏｐ＿ｉの処理を開始することが可能である。

【0130】

以上のように、第３の実施形態において、逆元演算装置１は、ある逆元演算処理のループの第２の多倍長演算と次の逆元演算処理のループのワード単位処理とを並行させるパイプライン動作を行う。これにより、ハードウエアを効率よく使用し、演算の高速化が可能であり、全体の処理時間を短縮することが可能である。

【0131】

なお、逆元演算装置１は、第１の多倍長演算と第２の多倍長演算とを、共通の回路を時分割で利用して実行させてもよい。すなわち、Ｕ，Ｖの多倍長計算（第１の多倍長演算）とＸ，Ｙの多倍長計算（第２の多倍長演算）とは、それぞれ、図１１（ｂ）、図１１（ｃ）に示す疑似コードの記述で示される。図１１（ｂ）、図１１（ｃ）に点線で囲った部分で示されるように、Ｕ，Ｖの多倍長計算とＸ，Ｙの多倍長計算とは、互いに処理内容が類似しているので、共通の乗算器（シフト演算器）を共用して、時分割で利用することで処理可能である。これにより、ハードウエアを効率よく使用し、回路規模の削減が可能である。

【0132】

なお、第１の実施形態～第３の実施形態の妥当性については、図１２、図１３を用いて、以下のように証明できる。図１２は、拡張バイナリＧＣＤ法に対応した逆元演算処理（アルゴリズムＧ）の疑似コードを示す図である。図１３は、証明用の中間変数が図４の疑似コードに追記された疑似コード（アルゴリズムＡ）を示す図である。

【0133】

以下では、第１の実施形態の逆元演算処理（アルゴリズムＡ）が拡張バイナリＧＣＤ法に対応した逆元演算処理（アルゴリズムＧ）と等価であることを証明する。また、第２の実施形態の逆元演算処理（アルゴリズムＢ）、第３の実施形態の逆元演算処理（アルゴリズムＣ）も同様にして、アルゴリズムＧと同等であることを概説する。

【0134】

まず、証明すべき、補助命題（Ｌｅｍｍａ １）～（Ｌｅｍｍａ ３）及び命題（Ｔｈｅｏｒｅｍ ４）～（Ｔｈｅｏｒｅｍ ６）を示した後、それらを、証明（Ｐｒｏｏｆ １）～（Ｐｒｏｏｆ ６）で証明していく。

【0135】

（Ｌｅｍｍａ １）
δ_ｉ＝Ｘ’_ｉ／２^ｈ－ｒ_ｉ，｜ε_ｉ＝Ｙ’_ｉ／２^ｈ－ｓ_ｉとする。
ｉ＜ｃ に対して
・ Ｌ１．１ ｜δ_ｉ－ε_ｉ｜＜２^ｔ
・ Ｌ１．２ ｅ_ｉ＝０ ａｎｄ ｒ_ｉ＞ｓ_ｉ⇒Ｘ’_ｉ＞Ｙ’_ｉ
・ Ｌ１．３ ｅ_ｉ＝０ ａｎｄ ｒ_ｉ＜ｓ_ｉ⇒Ｘ’_ｉ＜Ｙ’_ｉ
・ Ｌ１．４ ｅ_ｉ＝０⇒Ｍ_ｉ＝Ｍ’_ｉ

【0136】

【数5】

【0137】

（Ｌｅｍｍａ ２）
ｉ＜ｗに対して
・ Ｌ２．１ ｍ_ｉ＋ｎ_ｉ＞１⇒ｍ_ｉ＋１＋ｎ_ｉ＋１＝ｍ_ｉ＋ｎ_ｉ－１
・ Ｌ２．２ ｍｉｎ（ｍ_ｉ＋１，ｎ_ｉ＋１）≦ｍｉｎ（ｍ_ｉ，ｎ_ｉ）
ｌ＝ｍｉｎ（ｍ_０，ｎ_０）とすると
・ Ｌ２．３ ｍ_ｉ＋ｎ_ｉ＝ｋ＋ｌ－ｉ

【0138】

（Ｌｅｍｍａ ３）
ｉ≦ｃ－ｅに対して

【0139】

【数6】

ｉ＝ｃ，｜ｅ＝１に対して
・ Ｌ３．３ ０≦Ｘ_ｃ＜２^ｌ
・ Ｌ３．４ ｜Ｙ_ｃ｜＜２^ｋ－ｗ
ｉ＝ｗに対して

【0140】

【数7】

【0141】

（Ｔｈｅｏｒｅｍ ４）
アルゴリズムＡ実行時のｃの値を使ってアルゴリズムＧを実行したとき、アルゴリズムＡとアルゴリズムＧの処理は等価である。すなわち、
・ Ｌ４．１ ｌｏｏｐ＿ｊ内の更新処理が等価である。
・ Ｌ４．２ ｌｏｏｐ＿ｊの終了条件が等価である。

【0142】

（Ｔｈｅｏｒｅｍ ５）
アルゴリズムＢとアルゴリズムＧの処理は等価である。

【0143】

（Ｔｈｅｏｒｅｍ ６）
アルゴリズムＣとアルゴリズムＧの処理は等価である。

【0144】

（Ｐｒｏｏｆ １）
ｉに関する帰納法で示す。
・ Ｌ１．１ ｜δ_ｉ－ε_ｉ｜＜２^ｔ
ｉ＝０のとき
ｒ_０＝Ｘ［ｋ－１：ｈ］なので、
０≦Ｘ_０－ｒ_０・２^ｈ＜２^ｈ
０≦Ｘ_０／２^ｈ－ｒ_０＜１
０≦δ_０＜１

【0145】

同様に
０≦ε_０＜１
したがって
｜δ_０－ε_０｜＜１

【0146】

ｉ＞０ のとき
アルゴリズムＡにおいて

【数8】

アルゴリズムＧにおいて

【数9】

【0147】

帰納法の仮定よりＭ_ｉ－１＝Ｍ’_ｉ－１なので

【数10】

【0148】

このとき

【数11】

Ｌ_∞ノルムをとって、｜δ_０｜＜１，｜ε_０｜＜１に注意すると

【数12】

【0149】

したがって

【数13】

したがって、

【数14】

とすれば、｜δ_ｉ－ε_ｉ｜＜２^ｔが成り立つ。

【0150】

・ Ｌ１．２ ｅ_ｉ＝０ ａｎｄ ｒ_ｉ＞ｓ_ｉ⇒Ｘ’_ｉ＞Ｙ’_ｉ
ｅ_ｉ＝０より｜ｒ_ｉ－ｓ_ｉ｜≧２^ｔ、ｒ_ｉ＞ｓ_ｉよりｒ_ｉ－ｓ_ｉ≧２^ｔ、Ｌ１．１より｜δ_ｉ－ε_ｉ｜＜２^ｔ、すなわち、δ_ｉ－ε_ｉ＞－２^ｔなので

【数15】

したがって、Ｘ’_ｉ＞Ｙ’_ｉ

【0151】

・ Ｌ１．３ ｅ_ｉ＝０ ａｎｄ ｒ_ｉ＜ｓ_ｉ⇒Ｘ’_ｉ＜Ｙ’_ｉ
ｅ_ｉ＝０より｜ｒ_ｉ－ｓ_ｉ｜≧２^ｔ、ｒ_ｉ＜ｓ_ｉよりｒ_ｉ－ｓ_ｉ≦－２^ｔ、Ｌ１．１より｜δ_ｉ－ε_ｉ｜＜２^ｔ、すなわち、δ_ｉ－ε_ｉ＜２^ｔなので

【数16】

したがって、Ｘ’_ｉ＜Ｙ’_ｉ

【0152】

・ Ｌ１．４ ｅ_ｉ＝０⇒Ｍ_ｉ＝Ｍ’_ｉ
帰納法の仮定より、先行する反復における判定がアルゴリズムＧとアルゴリズムＡで等しいとする。
Ｘ’_ｉのＬＳＢとａ_ｉのＬＳＢは同じ値なので、ｃａｓｅ＿Ａとなる条件は等しい。
Ｙ’_ｉのＬＳＢとｂ_ｉのＬＳＢは同じ値なので、ｃａｓｅ＿Ｂとなる条件は等しい。
Ｌ１．２より、ｃａｓｅ＿Ｃとなる条件は等しい。
Ｌ１．３より、ｃａｓｅ＿Ｄとなる条件は等しい。

【0153】

以上より判定がすべて等しくなるので、Ｍ_ｉ＝Ｍ’_ｉが成り立つ。

【数17】

ｅ_ｉ≠０のときは、ｃａｓｅ＿Ｃ，ｃａｓｅ＿Ｄの選択を誤る可能性がある。選択を誤らなかった場合はＭ_ｉ＝Ｍ’_ｉとなり、誤った場合は

【数18】

となる。

【0154】

（Ｐｒｏｏｆ ２）
・ Ｌ２．１ ｍ_ｉ＋ｎ_ｉ＞１⇒ｍ_ｉ＋１＋ｎ_ｉ＋１＝ｍ_ｉ＋ｎ_ｉ－１
・ Ｌ２．２ ｍｉｎ（ｍ_ｉ＋１，｜ｎ_ｉ＋１）≦ｍｉｎ（ｍ_ｉ，｜ｎ_ｉ）

【0155】

ｍ_ｉ，｜ｎ_ｉの更新式から、ｃａｓｅ＿Ｂが選択されｎ_ｉ＝０の場合を除いてｍ_ｉ＋ｎ_ｉの値が必ず１ずつ小さくなっていくこと、および、ｍｉｎ（ｍ_ｉ，｜ｎ_ｉ）の値が増加することがないことが分かる。

【0156】

ｃａｓｅ＿Ｂが選択されｎ_ｉ＝０の場合は、ｍ_ｉ＝１，ｎ_ｉ＝０、すなわち、ｍ_ｉ＋ｎ_ｉ＝１となっている。なぜなら、ｍ_ｉが偶数の場合はｃａｓｅ＿Ａが選択され、ｍ_ｉが１以外の奇数の場合はＸとＹが１以外の公約数を持つことを意味し発生しえないからである。

【0157】

・ Ｌ２．３ ｍ_ｉ＋ｎ_ｉ＝ｋ＋ｌ－ｉ

【数19】

【0158】

（Ｐｒｏｏｆ ３）

【数20】

帰納法によって、示すことができる。

【0159】

・ Ｌ３．３ ０≦Ｘ_ｃ＜２^ｌ
・ Ｌ３．４ ｜Ｙ_ｃ｜＜２^ｋ－ｗ
ｅ＝１より、ｉ＝ｃ－１のときｃａｓｅ＿Ｃ，ｃａｓｅ＿Ｄのいずれかが選択されている。以下、ｃａｓｅ＿Ｃと仮定しｍ_ｃ－１＞ｎ_ｃ－１として証明を進めるが、ｃａｓｅ＿Ｄの場合も同様に証明可能である。
ｍ_ｃ－１＞ｎ_ｃ－１より、ｎ_ｃ－１＝ｍｉｎ（ｍ_ｃ－１，｜ｎ_ｃ－１）

【0160】

Ｌｅｍｍａ ２より
ｍｉｎ（ｍ_ｃ－１，ｎ_ｃ－１）≦ｍｉｎ（ｍ_ｃ－２，ｎ_ｃ－２）≦…≦ｍｉｎ（ｍ_０，ｎ_０）＝ｌ
なので、ｎ_ｃ－１≦ｌ

【0161】

Ｌ３．１より、

【数21】

なので

【数22】

【0162】

Ｙ_ｃ＝（Ｘ_ｃ－１－Ｙ_ｃ－１）／２より
｜Ｙ_ｃ｜＝｜（Ｘ_ｃ－１－Ｙ_ｃ－１）／２｜
＝｜２^ｈ（ｒ_ｃ－１－ｓ_ｃ－１）＋（δ_ｃ－１－ε_ｃ－１））／２｜
≦２^ｈ（｜ｒ_ｃ－１－ｓ_ｃ－１）｜＋｜δ_ｃ－１－ε_ｃ－１｜）／２
＜２^ｈ（２^ｔ＋２^ｔ）／２＝２^ｈ＋ｔ＝２^ｋ－ｗ

【数23】

【0163】

ｅ＝０の場合はｃ＝ｗとなりＬ３．１，Ｌ．３．２でカバーされているので、ｅ＝１の場合について証明する。以下、ｉ＝ｃ－１のときｃａｓｅ＿Ｃが選択されたものとするが、ｃａｓｅ＿Ｄが選択された場合も同様に証明できる。

【0164】

ｃａｓｅ＿２の更新式よりｎ_ｗ≧ｋ_ｗ、Ｌ３．４より｜Ｙ_ｃ｜＜２^ｋ－ｗなので、

【数24】

【0165】

ｎ_ｃ－（ｗ－ｃ）≧ｋ－ｗのとき、ｃａｓｅ＿２の更新式よりｍ_ｗ＝ｍ_ｃ

【数25】

【0166】

ｎ_ｃ－（ｗ－ｃ）＜ｋ－ｗのとき、ｃａｓｅ＿２の更新式、および、Ｌ２．３により
ｍ_ｗ＝ｍ_ｃ－（（ｗ－ｃ）－（ｎ_ｃ－（ｋ－ｗ）））
＝ｍ_ｃ＋ｎ_ｃ＋ｃ－ｋ
＝（ｋ＋ｌ－ｃ）＋ｃ－ｋ
＝ｌ

【0167】

Ｌ３．３より、

【数26】

【0168】

（Ｐｒｏｏｆ ４）
・ Ｌ４．１ ｌｏｏｐ＿ｊ内の更新処理が等価である。
Ｌ１．４，Ｌ１．５よりＭ＝Ｍ’もしくは

【数27】

が成り立つ。後者の場合、一時的にＹ＝Ｙ_ｃ＜０となるが、そのときはｆ＝１となって、

【数28】

と補正されるため、更新処理は等価となる。

【0169】

・ Ｌ４．２ ｌｏｏｐ＿ｊの終了条件が等価である。

【0170】

アルゴリズムＡにおいては、Ｌ２．１にしたがってｌｏｏｐ＿ｊを反復するたびにｍ＋ｎの値は、１より小さくならない範囲でｗずつ小さくなる。そのため、ｌｏｏｐ＿ｊをｄ回反復した後には必ずｍ＋ｎ＝１となる。ｍ_ｉ，ｎ_ｉの更新式でｍ_ｉ＝０となることはないので、ｍ＋ｎ＝１のときはｎ＝０である。このとき、Ｌ３．２より０≦Ｙ＜２^ｎ＝２^０＝１、すなわち、Ｙ＝０となる。ｄ回反復する前にＹ＝０となる場合もあるが、そのときはｃａｓｅ＿Ｂが選択され続けてＸ，Ｙの値は変化しない。したがって、ｌｏｏｐ＿ｊの終了条件は等価だといってよい。

【0171】

（Ｐｒｏｏｆ ５）
アルゴリズムＢは、アルゴリズムＡに対してｃａｓｅ＿Ｃ，ｃａｓｅ＿Ｄを変形している。これによりＭ_ｉのパターンは増えるが、すべて

【数29】

を満たしている。したがって、上記と同様にしてアルゴリズムＧと同等であることを示すことができる。

【0172】

（Ｐｒｏｏｆ ６）
アルゴリズムＣにおいては、アルゴリズムＡとｓ_０の値が異なる場合がある。これによりε_０＝１となる可能性があり、そのため、｜δ_ｉ－ε_ｉ｜≦ｉ＋２となる。したがって、この式に基づいてｔを決定すれば、上記と同様にして拡張バイナリＧＣＤ法と同等であることを示すことができる。

【0173】

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

【符号の説明】

【0174】

１，１ｉ 逆元演算装置、２ 制御部、３ 入力部、４，４ｉ 初期設定部、５，５ｉ ワード単位処理部、６ 第１の多倍長演算部、７ 補正部、８ 第２の多倍長演算部、９ 出力部、１００ コントローラ、２００ 半導体メモリ、３００ メモリシステム。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】