22、最新安全级别下配对的硬件实现

最新安全级别下配对的硬件实现

1. 配对计算基础

在配对计算中，不同曲线在域运算上存在一些差异。通常，$F_{p^2}$ 有不同的表示方式，如常见的 $F_{p^2} = F_p[i]$，但 GMT8 曲线依赖于 $F_{p^2} = F_p[v]$。不过，计算这些域上操作的公式相似，仅在约简步骤有所不同。

Miller 算法对选定曲线所需操作的依赖关系总结如下：
| 操作 | 复杂度（六次扭转） | 复杂度（四次扭转） |
| ---- | ---- | ---- |
| 加倍（D） | $k/3.M_p + 3M_l + 5S_l + M_q + S_q$ | $k/2.M_p + 3M_l + 6S_l + M_q + S_q + M_{ulal}$ |
| 混合加法（MA） | $k/3.M_p + 10M_l + 2S_l + M_q + M_{ulbl}$ | $k/2.M_p + 9M_l + 5S_l + M_q$ |
| Miller（总计） | $\log_2(u).D + HW(u).MA$ | $\log_2(u).D + HW(u).MA$ |

2. 最终幂运算的实现

配对计算的第二部分是将 Miller 算法的结果进行最终幂运算，即计算结果的 $p^{k - 1}/r$ 次幂，其复杂度取决于不同的曲线参数。
- 允许六次扭转的曲线 ：
- BLS12 曲线 ：$p^{12} - 1/r$ 分为容易部分 $(p^6 - 1)(p^2 + 1)$ 和困难部分 $(p^4 - p^2 + 1