890 	 *   u2 = x2 * z1^2  in p256_add()
892 	 *   s2 = y2 * z1^3  in p256_add()
897 	 *   z3 = h * z1 * z2  in p256_add()
911 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).  in p256_add()
954 	 * Compute z3 = h*z1*z2.  in p256_add()
1002 	 *   u2 = x2 * z1^2  in p256_add_mixed()
1004 	 *   s2 = y2 * z1^3  in p256_add_mixed()
1009 	 *   z3 = h * z1  in p256_add_mixed()
1021 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).  in p256_add_mixed()
1064 	 * Compute z3 = h*z1*z2.  in p256_add_mixed()
1087 	 *   u2 = x2 * z1^2
1089 	 *   s2 = y2 * z1^3
1094 	 *   z3 = h * z1
1098 	 *  - If P1 is the point-at-infinity (z1 = 0), then z3 is
1108 	 * over P1, conditional to z1 = 0.
1144 	 * Compute u2 = x2*z1^2 (in t2) and s2 = y2*z1^3 (in t4).
1191 	 * Compute z3 = h*z1.
1247 	 * If P1 = 0, then we get z3 = 0 (which is invalid); if z1 is 0,
1249 	 * test on z1 was done at the start, in the zz mask.
1354 	 * we have z1, z2, z3, and z4, and want to inverse all of them,  in window_to_affine()
1355 	 * we compute u = 1/(z1*z2*z3*z4), and then we have:  in window_to_affine()
1356 	 *   1/z1 = u*z2*z3*z4  in window_to_affine()
1357 	 *   1/z2 = u*z1*z3*z4  in window_to_affine()
1358 	 *   1/z3 = u*z1*z2*z4  in window_to_affine()
1359 	 *   1/z4 = u*z1*z2*z3  in window_to_affine()
1372 	 * Let z1, z2,... zE be the 14 values to invert (index noted in  in window_to_affine()
1376 	 *      swap(z1, z2); z12 = z1*z2  in window_to_affine()
1385 	 *      z1 <- z1*z34, z2 <- z2*z34, z3 <- z3*z12, z4 <- z4*z12  in window_to_affine()
1393 	 *      z1 <- z1*z5678, z2 <- z2*z5678, z3 <- z3*z5678, z4 <- z4*z5678  in window_to_affine()
1401 	 *      multiply z1..z8 by z9ABCDE  in window_to_affine()