870 	 *   u2 = x2 * z1^2  in p256_add()
872 	 *   s2 = y2 * z1^3  in p256_add()
877 	 *   z3 = h * z1 * z2  in p256_add()
891 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).  in p256_add()
934 	 * Compute z3 = h*z1*z2.  in p256_add()
982 	 *   u2 = x2 * z1^2  in p256_add_mixed()
984 	 *   s2 = y2 * z1^3  in p256_add_mixed()
989 	 *   z3 = h * z1  in p256_add_mixed()
1001 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).  in p256_add_mixed()
1044 	 * Compute z3 = h*z1*z2.  in p256_add_mixed()
1067 	 *   u2 = x2 * z1^2
1069 	 *   s2 = y2 * z1^3
1074 	 *   z3 = h * z1
1078 	 *  - If P1 is the point-at-infinity (z1 = 0), then z3 is
1088 	 * over P1, conditional to z1 = 0.
1124 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).
1172 	 * Compute z3 = h*z1.
1229 	 * If P1 = 0, then we get z3 = 0 (which is invalid); if z1 is 0,
1231 	 * test on z1 was done at the start, in the zz mask.
1338 	 * we have z1, z2, z3, and z4, and want to invert all of them,  in window_to_affine()
1339 	 * we compute u = 1/(z1*z2*z3*z4), and then we have:  in window_to_affine()
1340 	 *   1/z1 = u*z2*z3*z4  in window_to_affine()
1341 	 *   1/z2 = u*z1*z3*z4  in window_to_affine()
1342 	 *   1/z3 = u*z1*z2*z4  in window_to_affine()
1343 	 *   1/z4 = u*z1*z2*z3  in window_to_affine()
1356 	 * Let z1, z2,... zE be the 14 values to invert (index noted in  in window_to_affine()
1360 	 *      swap(z1, z2); z12 = z1*z2  in window_to_affine()
1369 	 *      z1 <- z1*z34, z2 <- z2*z34, z3 <- z3*z12, z4 <- z4*z12  in window_to_affine()
1377 	 *      z1 <- z1*z5678, z2 <- z2*z5678, z3 <- z3*z5678, z4 <- z4*z5678  in window_to_affine()
1385 	 *      multiply z1..z8 by z9ABCDE  in window_to_affine()