JP7273753B2 - 数論変換処理装置、数論変換処理方法及びプログラム - Google Patents

Description

本発明の実施形態は数論変換処理装置、数論変換処理方法及びプログラムに関する。

近年、大手ＩＴ企業の参入により量子計算機に関する研究が加速している。現在広く利用されている公開鍵暗号であるＲＳＡ暗号や楕円曲線暗号を解読する量子計算機が実現すれば、ＲＳＡ暗号や楕円曲線暗号を用いた情報セキュリティシステムは安全ではなくなる。そこで、ＲＳＡ暗号や楕円曲線暗号から耐量子計算機暗号（耐量子計算機公開鍵暗号、ポスト量子暗号とも呼ばれる）への移行が必要となる場合に備えて、格子暗号等の耐量子計算機暗号の研究開発が進められている。格子暗号の処理では、多項式環上で計算を行う数論変換が行われている。

ＮｅｗＨｏｐｅ Ａｌｇｏｒｉｔｈｍ Ｓｐｅｃｉｆｉｃａｔｉｏｎｓ ａｎｄ Ｓｕｐｐｏｒｔｉｎｇ Ｄｏｃｕｍｅｎｔａｔｉｏｎ （ＮＩＳＴ ＰＱＣ Ｒｏｕｎｄ２）、［ｏｎｌｉｎｅ］、［令和２年２月１７日検索］、インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ｃｓｒｃ．ｎｉｓｔ．ｇｏｖ／ＣＳＲＣ／ｍｅｄｉａ／Ｐｒｏｊｅｃｔｓ／Ｐｏｓｔ－Ｑｕａｎｔｕｍ－Ｃｒｙｐｔｏｇｒａｐｈｙ／ｄｏｃｕｍｅｎｔｓ／ｒｏｕｎｄ－２／ｓｕｂｍｉｓｓｉｏｎｓ／ＮｅｗＨｏｐｅ－Ｒｏｕｎｄ２．ｚｉｐ＞

しかしながら、従来の技術では、数論変換処理をより高速に行うことが難しかった。

実施形態の数論変換処理装置は、格子暗号のノイズの数論変換処理装置であって、有限体Ｚｑの部分空間に属する前記ノイズの係数を示す１つ以上の元から選択された乗算対象の１つの元と、１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む事前計算テーブルを用いて、前記ノイズの数論変換を実行する処理部を備える。

第１実施形態の数論変換処理装置の機能構成の例を示す図。 第１実施形態の数論変換処理方法の例を示すフローチャート。 第１実施形態の数論変換処理方法の例を説明するための図。 第１実施形態の数論変換処理方法の変形例を説明するための図。 第２実施形態の数論変換処理方法の例を説明するための図。 第３実施形態の数論変換処理方法の例を説明するための図。 第３実施形態の数論変換処理方法の変形例１を説明するための図。 第３実施形態の数論変換処理方法の変形例２を説明するための図。 第１乃至第３実施形態の数論変換処理装置のハードウェア構成の例を示す図。

以下に添付図面を参照して、数論変換処理装置、数論変換処理方法及びプログラムの実施形態を詳細に説明する。

（第１実施形態）
耐量子計算機暗号の有力な候補の一つにＬＷＥ（Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ）問題等に安全性の根拠を置く格子暗号がある。例えば、ＮＩＳＴ（米国国立標準技術研究所）による耐量子計算機暗号の標準化候補方式には、ＮｅｗＨｏｐｅ等がある。これらの耐量子計算機暗号の標準化候補方式は、多項式環上のＬＷＥ問題であるｒｉｎｇ－ＬＷＥ問題やｍｏｄｕｌｅ－ＬＷＥ問題に安全性の根拠を置き、多項式環上で計算が行われる。

多項式環上で計算を行う格子暗号は鍵生成、暗号化、復号、及び鍵カプセル化メカニズムにおける、カプセル化、デカプセル化の実行サイクル数が、他の格子暗号、ＲＳＡ暗号や楕円曲線暗号と比較して少ないという特長がある。そこで、第１実施形態の暗号処理装置は、この特長を強化するために多項式環上で計算を行う格子暗号の主な処理である数論変換を高速化する。

多項式環上で計算を行う格子暗号の主な処理は多項式環上の乗算である。多項式環Ｒｑ＝Ｚｑ［ｘ］／ｆ（ｘ）とする。ここで、ｑは素数、有限体Ｚｑ＝Ｚ／ｑＺ＝｛０，１，・・・，ｑ－１｝、Ｚｑ［ｘ］はＺｑ係数の多項式、法多項式ｆ（ｘ）はＺｑ係数ｎ次の多項式である。

多項式環Ｒｑの元ａはＺｑ係数（ｎ－１）次の多項式である。多項式環Ｒｑの元ｂも同様にＺｑ係数（ｎ－１）次の多項式である。このとき、多項式環Ｒｑの元ａと元ｂとの乗算は、多項式ａと多項式ｂとの積を計算し、法多項式ｆ（ｘ）で割った剰余多項式ｃを求める操作である。多項式ａと多項式ｂとの積の計算では、多項式ａの係数ａ_ｉ（ｉ＝０，１，…，（ｎ－１））と、多項式ｂの係数ｂ_ｉ（ｉ＝０，１，…，（ｎ－１））との積をｎ^２回の有限体Ｚｑ上の乗算（Ｚｑ乗算）として計算する。

多項式環Ｒｑ上の乗算に関する高速化方法に数論変換がある。数論変換を行うと多項式の積を同じ次数の係数同士の積（つまりｎ回のＺｑ乗算）で計算できる。法多項式ｆ（ｘ）＝ｘ^ｎ＋１、法ｑについて２ｎが（ｑ－１）を割り切るとき（２ｎ｜（ｑ－１））の数論変換は、離散フーリエ変換と同様に計算できる。次数ｎを２のベキ乗とすると高速計算法で計算でき、数論変換にかかるＺｑ乗算はＯ（ｎ＊ｌｏｇ（ｎ））回となる。つまり、数論変換では多項式環Ｒｑ上の乗算コストをＯ（ｎ^２）回のＺｑ乗算からＯ（ｎ＊ｌｏｇ（ｎ））回のＺｑ乗算へと減らしている。

多項式環Ｒｑ上の乗算を更に高速化するために数論変換を高速化することを考える。多項式ａの数論変換においては、数論変換定数のベキ乗と多項式ａの係数ａ_ｉ（ｉ＝０，１，…，（ｎ－１））との積をＺｑ乗算として計算する。数論変換定数のベキ乗を事前計算しておく方法は非特許文献１で既に示されている。

多項式環Ｒｑ上で計算を行う格子暗号では、多項式ａとノイズｅとの乗算を行うことが本質的に必須である。多項式ａがランダムの場合、数論変換を行ってもランダムなので、ランダムな多項式ａの数論変換を省略する方法は非特許文献１に既に示されている。一方、ノイズｅについては多項式環Ｒｑの多項式ｅとして数論変換を行うのが通常の方法である。

ノイズｅとは、その係数ｅ_ｉ（ｉ＝０，１，…，（ｎ－１））がある分布に従って得られる多項式環Ｒｑ上の元ｅである。係数ｅ_ｉ（ｉ＝０，１，…，（ｎ－１））は、絶対値が制約された小さい値をとる。また、係数ｅ_ｉ（ｉ＝０，１，…，（ｎ－１））の分布は離散ガウス分布や、一様分布などである。

第１実施形態では、ノイズの数論変換を高速化する暗号処理装置について説明する。なお、第１実施形態では、簡単のため、数論変換定数そのものだけではなく、数論変換定数のべき乗も、数論変換定数と称呼して説明する場合がある。

［機能構成の例］
図１は第１実施形態の数論変換処理装置１０の機能構成の例を示す図である。第１実施形態の数論変換処理装置１０は、記憶部１、処理部２及び出力部３を備える。

記憶部１は事前計算テーブルを記憶する。事前計算テーブルは、数論変換処理の計算に含まれる積の事前計算値を含む。事前計算テーブルの詳細については後述する。

処理部２は、事前計算テーブルを用いて、格子暗号のノイズの数論変換を実行する。

出力部３は、処理部２による数論変換結果を出力する。

［数論変換処理方法の例］
図２は第１実施形態の数論変換処理方法の例を示すフローチャートである。はじめに、処理部２が、記憶部１から事前計算テーブルを読み出す（ステップＳ１）。次に、処理部２が、事前計算テーブルを用いて、格子暗号のノイズの数論変換を実行する（ステップＳ２）。次に、出力部３が、ステップＳ２の数論変換処理によって得られた数論変換結果を出力する（ステップＳ３）。

次に、事前計算テーブルを用いたノイズの数論変換処理の詳細及びバリエーションについて説明する。

数論変換定数ω及びγを、ω^ｎ≡１（ｍｏｄ ｑ）、γ^２≡ω（ｍｏｄ ｑ）とする。多項式ａを下記式（１）とする。

多項式ａの数論変換ＮＴＴ（ａ）を下記式（２）とする。

このとき、多項式ＮＴＴ（ａ）の係数は下記式（３）となる。

図３は計算方法の例を説明するための図である。

＜方法１＞
方法１は、工夫しない方法である。方法１では、数論変換の上記式（３）の計算に当たって、γのベキ乗γ^ｉ（ｉ＝２，３，…，（ｎ－１））及びωのベキ乗ω^ｉ（ｉ＝２，３，…，（ｎ－１））を事前計算しておく場合の例について説明する。

数論変換の上記式（３）をそのまま計算すると、ｊ＝０では、γ^０＝ω^０＝１のため、Ｚｑ乗算なし、ｊ＝１，２，…，（ｎ－１）ではＺｑ乗算がそれぞれ２回ずつ（γ^ｊａ_ｊ及びａ_ｊω^ｉｊ）となり、数論変換全体で２ｎ（ｎ－１）回のＺｑ乗算となる。つまり、Ｏ（ｎ^２）回のＺｑ乗算となり、数論変換の上記式（３）をそのまま計算すると、γのベキ乗γ^ｉ（ｉ＝２，３，…，（ｎ－１））及びωのベキ乗ω^ｉ（ｉ＝２，３，…，（ｎ－１））を事前計算しても、多項式環Ｒｑ上の乗算として高速化できない。

＜方法２＞
方法２は、高速計算法を用いる方法である。数論変換の上記式（３）は次数ｎを２のベキ乗とすると高速計算法で計算できる。前処理としてγのベキ乗γ^ｊと係数ａ_ｊとの積ｕ_ｊ＝γ^ｊ＊ａ_ｊを事前計算すると、ｊ＝０ではＺｑ乗算なし、ｊ＝１，２，…，（ｎ－１）ではＺｑ乗算がそれぞれ１回ずつとなる。

次に高速フーリエ変換におけるパス計算と同様にして、パス１においてｊ＝０，１，…，（ｎ／２－１）ではｕ_ｊ＝ｕ_ｊ＋ｕ_{（ｊ＋ｎ／２）}、ｊ＝ｎ／２，…，（ｎ－１）ではｕ_ｊ＝ｕ_{（ｊ－ｎ／２）}＋ω^{（ｎ／２）}＊ｕ_ｊとすると、Ｚｑ乗算がｎ／２回となる。パス２においてｊ＝０，１，…，ｎ／４－１ではｕ_ｊ＝ｕ_ｊ＋ｕ_{（ｊ＋ｎ／４）}、ｊ＝ｎ／４，…，ｎ／２－１ではｕ_ｊ＝ｕ_{（ｊ－ｎ／４）}＋ω^{（ｎ／２）}＊ｕ_ｊ、ｊ＝ｎ／２，…，３ｎ／４－１ではｕ_ｊ＝ｕ_ｊ＋ω^{（ｎ／４）}＊ｕ_{（ｊ＋ｎ／４）}、ｊ＝３ｎ／４，…，（ｎ－１）ではｕ_ｊ＝ｕ_{（ｊ－ｎ／４）}＋ω^{（３ｎ／４）}＊ｕ_ｊとすると、Ｚｑ乗算が３ｎ／４回となる。

以下同様に、パスｉにおいてＺｑ乗算が（ｎ－ｎ／２^ｉ）回となる。パス数はｌｏｇ（ｎ）なので、高速計算法では（ｎ－１）＋ｎ／２＋３ｎ／４＋…＋（ｎ－１）≒（ｎ－１）＋ｎ＊ｌｏｇ（ｎ）－ｎ＝ｎ＊ｌｏｇ（ｎ）－１回のＺｑ乗算となる。つまり、数論変換の高速計算法が用いられる場合には、Ｏ（ｎ＊ｌｏｇ（ｎ））回のＺｑ乗算となり多項式環Ｒｑ上の乗算として高速化できる。

次に、ノイズｅの数論変換を更に高速化する場合について説明する。

＜方法３＞
方法３は、ノイズｅの性質を利用して高速計算法を用いる方法である。高速計算方法であるパス計算に、ノイズの係数ｅ_ｉ（ｉ＝０，１，…，（ｎ－１））が、絶対値が制約された小さい値をとる性質を適用する。ノイズの係数ｅ_ｉは、例えば集合｛－ｋ，－（ｋ－１），・・・，０，１，・・・，ｋ｝に含まれる２ｋ＋１個の元によって表される。また例えば、ノイズの係数ｅ_ｉを正の数で表す場合、ノイズの係数ｅ_ｉは、例えば集合｛ｑ－ｋ，ｑ－（ｋ－１），・・・，０，１，・・・，ｋ｝に含まれる２ｋ＋１個の元によって表される。ここで、ｋは正の数（例えばｋ＝８）、ｑはｋ＜＜ｑとなる数である。

ノイズの係数ｅ_ｉが正整数ｋとして２ｋ＋１通りに制約されているとすると、γのベキ乗γ^ｊと係数ｅ_ｊとの積ｕ_ｊ＝γ^ｊ＊ｅ_ｊはｎ＊（２ｋ＋１）通りとなる。このｎ＊（２ｋ＋１）通りを事前計算しておくと、前処理におけるＺｑ乗算は不要となる。パス１の積ω^{（ｎ／２）}＊ｕ_ｊもω^{（ｎ／２）}が１通りのためｎ＊（２ｋ＋１）通りとなる。このｎ＊（２ｋ＋１）通りも事前計算しておくと、パス１におけるＺｑ乗算は不要となる。パス２以降はＺｑ乗算がｎ回とすると、ｎ＊ｌｏｇ（ｎ）－ｎ回のＺｑ乗算となるので、数論変換処理が高速化される。

＜方法４＞
方法４は、第１実施形態の数論変換処理方法である。上記のノイズの高速計算法（方法３）は事前計算の大きさの割に高速化の恩恵が少ない。同じ事前計算サイズでより高速に計算する方法を考える。上記では、γのベキ乗γ^ｉとωのベキ乗ω^ｉを別々に考えて積を計算していた。ところが、γ^２≡ω（ｍｏｄ ｑ）であるので、上記式（３）にあるγ^ｉ＊ω^（ｉｊ）は実はωのベキ乗ω^ｉとωのベキ乗ω^ｉにγを掛けた値である。上記式（３）を次数ｎ＝４の例で書き下すと下記式（４）となる。数論変換定数のベキ乗は｛１，ω，ω^２，ω^３｝及び｛γ，γω，γω^２，γω^３｝の２ｎ通りである。

数論変換の上記式（４）をｎについて一般化した式に、ノイズの係数ｅ_ｉ（ｉ＝０，１，…，（ｎ－１））が、絶対値が制約された小さい値をとる性質を適用する。ノイズの係数が正整数ｋとして２ｋ＋１通りに制約されているとすると、数論変換定数のベキ乗と係数ｅ_ｊとの積は２ｎ＊（２ｋ＋１）通りとなる。第１実施形態の数論変換処理装置１０では、この２ｎ＊（２ｋ＋１）通りの事前計算された値を、事前計算テーブルに記憶する。処理部２が、この事前計算テーブルを用いて、ノイズの数論変換を実行することにより、上記式（４）をｎについて一般化した式の計算におけるＺｑ乗算は不要となる。

以上、説明したように、第１実施形態の数論変換処理装置１０では、処理部２が、有限体Ｚｑの部分空間に属するノイズｅの係数を示す１つ以上の元と、１つ以上の数論変換定数（第１実施形態では、例えばｎ＝４の場合、｛１，ω，ω^２，ω^３｝及び｛γ，γω，γω^２，γω^３｝）との積の組み合わせを含む事前計算テーブルを用いて、ノイズの数論変換を実行する。

これにより第１実施形態の数論変換処理装置１０によれば、多項式環Ｒｑ上のノイズｅの数論変換におけるＺｑ乗算回数を減らすことができるので、数論変換処理をより高速に行うことができる。これにより、多項式環Ｒｑ上で計算を行う格子暗号の鍵生成、暗号化、復号、及び鍵カプセル化メカニズムにおける、カプセル化及びデカプセル化の実行サイクル数を減らすことができる。

（第１実施形態の変形例）
次に第１実施形態の変形例について説明する。変形例の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。変形例では、事前計算テーブルのサイズを削減する場合について説明する。

図４は第１実施形態の数論変換処理方法の変形例を説明するための図である。方法５～９が、第１実施形態の変形例に対応する。

＜方法５＞
方法５は、０を除外する方法である。ノイズｅの係数が２ｋ＋１通りに制約されていて、２ｋ＋１個の元の中に０が含まれるとする。ωのベキ乗ω^ｉと０との積は０となる。また、ωのベキ乗ω^ｉにγを掛けた値と０との積は０となる。このとき、事前計算テーブルから、ノイズｅの係数０と数論変換定数との積を除外すると、事前計算テーブルのサイズは２ｎ＊２ｋとなる。

ノイズｅの係数として取りうる値が離散ガウス分布の良い近似である中心二項分布（原点０で最大値をとる二項分布）に従うとする。係数として取る確率が閾値より小さい値については、事前計算に含めないとすると、Ｚｑ乗算回数を抑えたまま事前計算サイズを小さくできる。例えば、次数ｎ＝５１２、ｋ＝８のとき、係数として取る確率が小さい順に事前計算から除外すると図４の方法６～９となる。

なお、図４では、図１のＺｑ乗算回数をオーダーで表現し、オーダーで表現されたＺｑ乗算回数に数値ｎ＝５１２，ｋ＝８が代入されている。例えば、方法１のＺｑ乗算回数２ｎ（ｎ－１）は、Ｏ（ｎ^２）であるので、５１２ｎと表現されている。

＜方法６＞
方法６の事前計算テーブルは、ノイズｅの係数｛±１，±２，±３，±４，±５，±６，±７｝と、数論変換定数との積のみを含む。ここで、記法｛±１，±２，±３，±４，±５，±６，±７｝は、ノイズｅの集合｛ｑ－７，ｑ－６，ｑ－５，ｑ－４，ｑ－３，ｑ－２，ｑ－１，１，２，３，４，５，６，７｝を表す。なお、方法７以降の同様の記法についても、方法６の場合と同様である。

方法６では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，０，８｝と数論変換定数との積が除外されている。

＜方法７＞
方法７の事前計算テーブルは、ノイズｅの係数｛±１，±２，±３，±４，±５，±６｝と、数論変換定数との積のみを含む。方法７では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，０，７，８｝と数論変換定数との積が除外されている。

＜方法８＞
方法８の事前計算テーブルは、ノイズｅの係数｛±１，±２，±３，±４，±５｝と、数論変換定数との積のみを含む。方法８では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，０，６，７，８｝と数論変換定数との積が除外されている。

＜方法９＞
方法９の事前計算テーブルは、ノイズｅの係数｛±１，±２，±３，±４｝と、数論変換定数との積のみを含む。方法９では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，０，５，６，７，８｝と数論変換定数との積が除外されている。なお、方法９の場合は、Ｚｑ乗算回数及び事前計算サイズの両方が大きいので、例えば方法２（高速計算法）の方が方法９よりも効率がよい。

Ｚｑ乗算の計算コストをＭ、Ｚｑ加算の計算コストをＡと表記すると、例えば方法４（第１実施形態の数論変換処理方法）は、５１２Ａ＜１０Ｍ＋１０Ａの場合（つまり５０Ａ＜Ｍとなり、Ｚｑ乗算の計算コストがＺｑ加算の計算コストの５０倍より大きい場合）、方法２（高速計算法）より速くなる。

なお、図４では、説明のため、ｎ＝５１２，ｋ＝８の場合を例示しているが、ｎ＝５１２，ｋ＝８以外の場合についても同様である。

（第２実施形態）
次に第２実施形態について説明する。第２実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第２実施形態では、Ｚｑ乗算をＺｑ加算で計算することによって、ノイズｅの数論変換処理を高速化する場合について説明する。

ノイズｅの係数が、絶対値が制約された小さい値をとり、最大値がｋ、最小値が－ｋとする。なお、実際は負の値についてはｍｏｄ ｑしてｑ－ｋと表記される。

図５は第２実施形態の数論変換処理方法の例を説明するための図である。ノイズｅの係数として取りうる値が中心二項分布に従うとする。図５では、図４の場合と同様に、Ｚｑ乗算回数及びＺｑ加算回数はオーダーで表現し、オーダーで表現されたＺｑ乗算回数に数値ｎ＝５１２，ｋ＝８が代入されている。

例えば、ノイズｅの係数（ｑ－ｋ）と、数論変換定数ωとの積は、下記のようにして、Ｚｑ乗算をＺｑ減算に置き換えることができる。
（ｑ－ｋ）×ω＝ｑω－ｋω
＝０－ｋω （ｍｏｄ ｑ）
＝－ω－ω・・・－ω （ｋ個のωの減算）

なお、絶対値が制約された小さな値ほど、数論変換定数との積をより少ない回数の加算（減算）で実行できることに基づいて加算（減算）回数が見積もられている。値によっては、より少ない加算（減算）回数で積を実行できる。

＜方法１０＞
方法１０は、第２実施形態の数論変換処理方法である。数論変換の上記式（４）をｎについて一般化した式の数論変換定数のベキ乗と係数ｅ_ｊとの積において、Ｚｑ乗算をＺｑ加算で計算するとｋ＊（ｎ－１）＊ｎ回のＺｑ加算となる。ただし、係数が負の値についてはＺｑ減算する。なお、第２実施形態の説明では、Ｚｑ減算回数も、図５のＺｑ加算回数に含める。

＜方法１１＞
方法１１は、０を除外する方法である。ノイズｅの係数が２ｋ＋１通りに制約されていて、２ｋ＋１個の元の中に０が含まれるとする。係数として０をとるとき、数論変換定数のベキ乗と係数ｅ_ｊとの積は０となるので、Ｚｑ加算を省くとＺｑ加算回数を小さくできる。

＜方法１２＞
方法１２は、一部を加算する方法である。方法１２では、数論変換定数のベキ乗と係数ｅ_ｊとの積の一部を加算で実行し、一部を乗算で実行する。例えば、処理部２は、ノイズｅの係数｛±１，±２，±３，±４，±５｝と、数論変換定数との積を加算で実行し、ノイズｅの係数｛±６，±７，±８｝と数論変換定数との積を乗算で実行する。なお、第１実施形態の数論変換処理方法（方法４）が、高速計算法（方法２）より速くなるＺｑ乗算とＺｑ加算とのコスト比の条件の下では、一部を加算する方法１２の効率は悪い。

（第３実施形態）
次に第３実施形態について説明する。第３実施形態の説明では、第１実施形態と同様の説明については省略し、第１実施形態と異なる箇所について説明する。第３実施形態では、第１実施形態と、第２実施形態とを組み合わせる場合について説明する。

具体的には、第３実施形態では、数論変換定数のベキ乗とノイズｅの係数ｅ_ｊとの積の一部を加算で実行し、数論変換定数のベキ乗とノイズｅの係数ｅ_ｊとの積の一部を、事前計算テーブルを用いて実行する。すなわち、第３実施形態では、数論変換定数とノイズｅの係数との積は、事前計算テーブルに記憶されている第１の積と、事前計算テーブルに記憶されていない第２の積とを含む。処理部２は、第１の積を事前計算テーブルから読み出し、第２の積を、有限体Ｚｑ上での複数回の加算又は減算によって算出する。

図６は第３実施形態の数論変換処理方法の例を説明するための図である。ノイズｅの係数として取りうる値が中心二項分布に従うとする。

＜方法１３＞
方法１３の事前計算テーブルは、方法６の事前計算テーブルと同じである。すなわち、方法１３では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，０，８｝と数論変換定数との積が除外されている。方法１３では、ノイズｅの係数｛ｑ－８，０，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１４＞
方法１４の事前計算テーブルは、方法７の事前計算テーブルと同じである。すなわち、方法１４では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，０，７，８｝と数論変換定数との積が除外されている。方法１４では、ノイズｅの係数｛ｑ－８，ｑ－７，０，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１５＞
方法１５の事前計算テーブルは、方法８の事前計算テーブルと同じである。すなわち、方法１５では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，０，６，７，８｝と数論変換定数との積が除外されている。方法１５では、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，０，６，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１６＞
方法１６の事前計算テーブルは、方法９の事前計算テーブルと同じである。すなわち、方法１６では、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，０，５，６，７，８｝と数論変換定数との積が除外されている。方法１６では、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，０，５，６，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１７＞
方法１７の事前計算テーブルは、ノイズｅの係数｛±１，±２，±３｝と、数論変換定数との積のみを含む。すなわち、方法１７は、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，０，４，５，６，７，８｝と数論変換定数との積が除外されている。方法１７では、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，０，４，５，６，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１８＞
方法１８の事前計算テーブルは、ノイズｅの係数｛±１，±２｝と、数論変換定数との積のみを含む。すなわち、方法１８は、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，ｑ－３，０，３，４，５，６，７，８｝と数論変換定数との積が除外されている。方法１８では、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，ｑ－３，０，３，４，５，６，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

＜方法１９＞
方法１９の事前計算テーブルは、ノイズｅの係数｛±１｝と、数論変換定数との積のみを含む。すなわち、方法１９は、事前計算テーブルから、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，ｑ－３，ｑ－２，０，２，３，４，５，６，７，８｝と数論変換定数との積が除外されている。方法１９では、ノイズｅの係数｛ｑ－８，ｑ－７，ｑ－６，ｑ－５，ｑ－４，ｑ－３，ｑ－２，０，２，３，４，５，６，７，８｝と数論変換定数との積が、Ｚｑ乗算ではなく、Ｚｑ加算によって実行される。

すなわち、方法１９では、処理部２は、ノイズｅの係数｛ｑ－１，１｝と、数論変換定数との積を事前計算する。方法１９における｛ｑ－１，１｝と数論変換定数との積の事前計算は、数論変換定数のベキ乗そのもの、及び、数論変換定数のベキ乗と－１との積である。数論変換定数のベキ乗と－１との積を事前計算テーブルから読み出してＺｑ加算するより、数論変換定数のベキ乗そのものをＺｑ減算する方法（方法１１の０を除外する方法）の方が事前計算サイズ２ｎとなる分だけ効率が良い。

（第３実施形態の変形例１）
次に第３実施形態の変形例１について説明する。変形例１の説明では、第３実施形態と同様の説明については省略し、第３実施形態と異なる箇所について説明する。変形例１では、ノイズｅの係数が０のとき、処理部２が、Ｚｑ加算を行わず、事前計算テーブルも用いない。また、処理部２は、ノイズｅの係数の符号がマイナスの値のとき、絶対値を取得することによってプラスの値に変換し、当該プラスの値の事前計算をＺｑ減算で計算する。

図７は第３実施形態の数論変換処理方法の変形例１を説明するための図である。図７の例では、第３実施形態と同様に、ｋ＝８の場合を示す。方法２０～２６の事前計算テーブルでは、正負の符号変換によって値が変換される積の組については一方のみを含む。図７の例では、正の場合のみ記憶されているので、正負の値両方を保持する場合に比べて、事前計算テーブルのサイズを半分にすることができる。

＜方法２０＞
方法２０は、０を除外する方法である。すなわち、方法２０では、ノイズｅの係数｛１，２，３，４，５，６，７，８｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３，４，５，６，７，８｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２１＞
方法２１では、ノイズｅの係数｛１，２，３，４，５，６，７｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３，４，５，６，７｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２２＞
方法２２では、ノイズｅの係数｛１，２，３，４，５，６｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３，４，５，６｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２３＞
方法２３では、ノイズｅの係数｛１，２，３，４，５｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３，４，５｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２４＞
方法２４では、ノイズｅの係数｛１，２，３，４｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３，４｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２５＞
方法２５では、ノイズｅの係数｛１，２，３｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２，３｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

＜方法２６＞
方法２６では、ノイズｅの係数｛１，２｝と数論変換定数との積が事前計算テーブルに記憶される。処理部は、事前計算テーブルを用いて、ノイズｅの係数｛１，２｝と数論変換定数との積を、Ｚｑ乗算ではなく、Ｚｑ加算（又はＺｑ減算）によって実行する。

なお、ノイズｅの係数｛１｝と数論変換定数との積を事前計算する場合は、言い換えると数論変換定数のベキ乗のみを事前計算テーブルに保持することである。そのため、ノイズｅの係数｛１｝と数論変換定数との積を事前計算する場合は、方法１１に等しい。

図５乃至７の例では、方法２０（０を除外する方法）が、方法１０から方法２６までの中で最も計算コストが小さい。

（第３実施形態の変形例２）
次に第３実施形態の変形例２について説明する。変形例２の説明では、第３実施形態と同様の説明については省略し、第３実施形態と異なる箇所について説明する。変形例２では、処理部２が、数論変換定数のベキ乗とノイズｅの係数ｅ_ｊとの積の一部を事前計算で実行し、一部を加算で実行し、一部を乗算で実行する場合について説明する。

変形例２では、ノイズの係数ｅとして取りうる値が中心二項分布に従うとする。処理部２は、例えば出現頻度が出現閾値より高いノイズｅの係数は、数論変換定数との積を事前計算テーブルに記憶する。すなわち、変形例２の事前計算テーブルでは、有限体Ｚｑの部分空間に属する元のうち、ノイズｅの係数として出現する頻度が出現閾値より大きい１つ以上の元と、１つ以上の数論変換定数との積の組み合わせを含む。

また変形例２では、例えば、処理部２は、Ｚｑ乗算をＺｑ加算で実現する場合の計算コストが、コスト閾値より高いノイズｅの係数と数論変換定数との積は、Ｚｑ乗算で計算する。

図８は第３実施形態の数論変換処理方法の変形例２を説明するための図である。図８の方法２７～３０では、図４の方法６～９と比べると、事前計算テーブルのサイズが小さいという点で効率が良い。ただし、方法３０は、方法２（高速計算法）よりＺｑ乗算回数、及び、事前計算テーブルのサイズの両方が大きいので効率が悪い。

最後に、第１及び第２実施形態の数論変換処理装置１０のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図９は第１及び第２実施形態の数論変換処理装置１０のハードウェア構成の例を示す図である。

数論変換処理装置１０は、制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６を備える。制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６は、バス３１０を介して接続されている。

制御装置３０１は、補助記憶装置３０３から主記憶装置３０２に読み出されたプログラムを実行する。主記憶装置３０２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及び、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメモリである。補助記憶装置３０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、及び、メモリカード等である。

表示装置３０４は表示情報を表示する。表示装置３０４は、例えば液晶ディスプレイ等である。入力装置３０５は、コンピュータを操作するためのインタフェースである。入力装置３０５は、例えばキーボードやマウス等である。コンピュータがスマートフォン及びタブレット型端末等のスマートデバイスの場合、表示装置３０４及び入力装置３０５は、例えばタッチパネルである。通信装置３０６は、他の装置と通信するためのインタフェースである。

コンピュータで実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

またコンピュータで実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。またコンピュータで実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

またコンピュータで実行されるプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

コンピュータで実行されるプログラムは、上述の数論変換処理装置１０の機能構成（機能ブロック）のうち、プログラムによっても実現可能な機能ブロックを含むモジュール構成となっている。当該各機能ブロックは、実際のハードウェアとしては、制御装置３０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置３０２上にロードされる。すなわち上記各機能ブロックは主記憶装置３０２上に生成される。

なお上述した各機能ブロックの一部又は全部をソフトウェアにより実現せずに、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能を実現する場合、各プロセッサは、各機能のうち１つを実現してもよいし、各機能のうち２つ以上を実現してもよい。

また数論変換処理装置１０を実現するコンピュータの動作形態は任意でよい。例えば、数論変換処理装置１０を１台のコンピュータにより実現してもよい。また例えば、数論変換処理装置１０を、ネットワーク上のクラウドシステムとして動作させてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 記憶部
２ 処理部
３ 出力部
３０１ 制御装置
３０２ 主記憶装置
３０３ 補助記憶装置
３０４ 表示装置
３０５ 入力装置
３０６ 通信装置
３１０ バス

Claims (9)

1. 格子暗号のノイズの数論変換処理装置であって、
   有限体Ｚｑの部分空間に属する前記ノイズの係数を示す１つ以上の元から選択された乗算対象の１つの元と、１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む事前計算テーブルを用いて、前記ノイズの数論変換を実行する処理部、
   を備える数論変換処理装置。
2. 前記事前計算テーブルは、前記部分空間に属する全ての元から選択された乗算対象の１つの元と、前記１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む、
   請求項１に記載の数論変換処理装置。
3. 前記事前計算テーブルは、前記部分空間に属する元のうち、０を除く１つ以上の元から選択された乗算対象の１つの元と、前記１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む、
   請求項１に記載の数論変換処理装置。
4. 前記組み合わせを乗算させることにより得られる積は、複数あり、
   前記事前計算テーブルは、正負の符号変換によって値が変換される積の組については一方のみを含む、
   請求項１に記載の数論変換処理装置。
5. 前記事前計算テーブルは、部分空間に属する元のうち、前記ノイズの係数として出現する頻度が出現閾値より大きい１つ以上の元から選択された乗算対象の１つの元と、前記１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む、
   請求項１に記載の数論変換処理装置。
6. 前記処理部は、前記数論変換定数と前記ノイズの係数との積を、有限体Ｚｑ上での複数回の加算又は減算によって算出する、
   請求項１に記載の数論変換処理装置。
7. 前記数論変換定数と前記ノイズの係数との積は、前記事前計算テーブルに記憶されている第１の積と、前記事前計算テーブルに記憶されていない第２の積とを含み、
   前記処理部は、前記第１の積を前記事前計算テーブルから読み出し、前記第２の積を、有限体Ｚｑ上での複数回の加算又は減算によって算出する、
   請求項６に記載の数論変換処理装置。
8. 格子暗号のノイズの数論変換処理方法であって、
   有限体Ｚｑの部分空間に属する前記ノイズの係数を示す１つ以上の元から選択された乗算対象の１つの元と、１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む事前計算テーブルを記憶部から読み出すステップと、
   前記事前計算テーブルを用いて、前記ノイズの数論変換を実行するステップと、
   を含む数論変換処理方法。
9. 格子暗号のノイズの数論変換処理を実行するコンピュータを、
   有限体Ｚｑの部分空間に属する前記ノイズの係数を示す１つ以上の元から選択された乗算対象の１つの元と、１つ以上の数論変換定数から選択された乗算対象の１つの数論変換定数との組み合わせを乗算させることにより得られた１つ以上の積を含む事前計算テーブルを用いて、前記ノイズの数論変換を実行する処理部、
   として機能させるためのプログラム。

Images