JP2015001555A - 公開鍵暗号化方式における並列ＧａｕｓｓＳｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置および求解方法 - Google Patents

Abstract

【課題】並列度を上げても効率劣化のない、最短ベクトル問題の求解装置を提供する。
【解決手段】第２ベクトル格納部にベクトルを割り振り、第１サンプルベクトル生成部が、ノルムが平均的に短いサンプルベクトルを生成し、第１のｒｅｄｕｃｅ部が、すべてのベクトルとサンプルベクトルの組み合わせにｒｅｄｕｃｅを行い、第１の移動部が、ｒｅｄｕｃｅ済みのベクトルをスタック部に移動する。第２のｒｅｄｕｃｅ部が、未ｒｅｄｕｃｅのサンプルベクトル間でｒｅｄｕｃｅを行い、第２の移動部が、ｒｅｄｕｃｅ済みのベクトルをスタック部に移動する。第３のｒｅｄｕｃｅ部が、第１、第２の未ｒｅｄｕｃｅ処理のサンプルベクトル、ベクトルとの組み合わせについてｒｅｄｕｃｅを行い、マージ部がスタック部内と第２のベクトル格納部内のベクトルとをマージし、検出部が、得られたベクトル数が所定値以下の場合、全体の最短ベクトルを出力する。
【選択図】図２

Description

本発明は、公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題に関し、処理の並列度を上げても効率の劣化が生じず、かつ計算量を削減可能な公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置および求解方法に関する。

近年、次世代公開鍵暗号方式として格子暗号が注目されている。格子暗号を利用することにより、データを暗号化した後で加算や乗算など自由に演算できる完全準同型暗号など、高機能かつ安全なサービスを構築できるため、その実用化が望まれている。

Ｄ．Ｍｉｃｃｉａｎｃｉｏ ａｎｄ Ｐ．Ｖｏｕｌｇａｒｉｓ，"Ｆａｓｔｅｒ ｅｘｐｏｎｅｎｔｉａｌ ｔｉｍｅ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｔｈｅ ｓｈｏｒｔｅｓｔ ｖｅｃｔｏｒ ｐｒｏｂｌｅｍ，" Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｔｗｅｎｔｙ−Ｆｉｒｓｔ Ａｎｎｕａｌ ＡＣＭ−ＳＩＡＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｄｉｓｃｒｅｔｅ Ａｌｇｏｒｉｔｈｍｓ ＳＯＤＡ ‘１０，ｖｏｌ．６５，ｐｐ．１４６８-１４８０， Ｓｏｃｉｅｔｙ ｆｏｒ Ｉｎｄｕｓｔｒｉａｌ ａｎｄ Ａｐｐｌｉｅｄ Ｍａｔｈｅｍａｔｉｃｓ， ２０１０．

ところで、格子暗号の安全性の解析の一つとして、最短ベクトル問題と呼ばれる数学的な問題がある。この問題を実際の計算機上で高速に解くアルゴリズムの発明は、格子暗号の実現に向けて重要な課題である。さらに、現在普及しているＲＳＡ暗号の解析にも最短ベクトル問題が重要な課題となっている。一方で、現在高速なアルゴリズムの一つとしてＧａｕｓｓ Ｓｉｅｖｅアルゴリズムが知られている。しかし、このアルゴリズムは並列性能がよくないという課題があった。

そこで、本発明は、上述の課題に鑑みてなされたものであり、Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題に関し、処理の並列度を上げても効率の劣化が生じず、かつ計算量を削減可能な公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置および求解方法を提供することを目的とする。

本発明は、上記の課題を解決するために、以下の事項を提案している。なお、理解を容易にするために、本発明の実施形態に対応する符号を付して説明するが、これに限定されるものではない。

（１）本発明は、複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部（例えば、図１のスタック部１１１に相当）と、サンプルベクトルを格納する第１のベクトル格納部（例えば、図１の第１のベクトル格納部１１２に相当）と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部（例えば、図１の第２のベクトル格納部１１３に相当）と、を有し、ベクトルのノルムが平均的に短いサンプルベクトルを生成する第１のサンプルベクトル生成部（例えば、図１のサンプルベクトル生成部１２０に相当）と、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部（例えば、図１の第１のｒｅｄｕｃｅ部１３０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部（例えば、図１の第１の移動部１４０に相当）と、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部（例えば、図１の第２のｒｅｄｕｃｅ部１５０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部（例えば、図１の第２の移動部１６０に相当）と、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部（例えば、図１の第３のｒｅｄｕｃｅ部１７０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部（例えば、図１の第３の移動部１７１に相当）と、前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部（例えば、図１のマージ部１８０に相当）と、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部（例えば、図１の検出部１９０に相当）と、を備え、前記第２のベクトル格納部にベクトルを割り振る割振部（例えば、図１の割振部２１０に相当）と、前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部（例えば、図１の出力部２２０に相当）と、を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（２）本発明は、（１）の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置について、前記第１のサンプルベクトル生成部は、ＳａｍｐｌｅＤアルゴリズムを用いて、前記ベクトルのノルムが平均的に短いサンプルベクトルを生成することを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（３）本発明は、複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部（例えば、図１１のスタック部１１１に相当）と、サンプルベクトルを格納する第１のベクトル格納部（例えば、図１１の第１のベクトル格納部１１２に相当）と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部（例えば、図１１の第２のベクトル格納部１１３に相当）と、を有し、格子としてイデアル格子が用いられる場合に、任意のベクトルについて、これを逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のサンプルベクトル生成部（例えば、図１１のサンプルベクトル生成部１２１に相当）と、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部（例えば、図１１の第１のｒｅｄｕｃｅ部１３０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部（例えば、図１１の第１の移動部１４０に相当）と、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部（例えば、図１１の第２のｒｅｄｕｃｅ部１５０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部（例えば、図１１の第２の移動部１６０に相当）と、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部（例えば、図１１の第３のｒｅｄｕｃｅ部１７０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部（例えば、図１１の第３の移動部１７１に相当）と、前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部（例えば、図１１のマージ部１８０に相当）と、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部（例えば、図１１の検出部１９０に相当）と、を備え、前記第２のベクトル格納部にベクトルを割り振る割振部（例えば、図１１の割振部２１０に相当）と、前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部（例えば、図１１の出力部２２０に相当）と、を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（４）本発明は、複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部（例えば、図１３のスタック部１１１に相当）と、サンプルベクトルを格納する第１のベクトル格納部（例えば、図１３の第１のベクトル格納部１１２に相当）と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部（例えば、図１３の第２のベクトル格納部１１３に相当）と、を有し、格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第３のサンプルベクトル生成部（例えば、図１３のサンプルベクトル生成部１２２に相当）と、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部（例えば、図１３の第１のｒｅｄｕｃｅ部１３０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部（例えば、図１３の第１の移動部１４０に相当）と、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部（例えば、図１３の第２のｒｅｄｕｃｅ部１５０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部（例えば、図１３の第２の移動部１６０に相当）と、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部（例えば、図１３の第３のｒｅｄｕｃｅ部１７０に相当）と、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部（例えば、図１３の第３の移動部１７１に相当）と、前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部（例えば、図１３のマージ部１８０に相当）と、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部（例えば、図１３の検出部１９０に相当）と、を備え、前記第２のベクトル格納部にベクトルを割り振る割振部（例えば、図１３の割振部２１０に相当）と、前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部（例えば、図１３の出力部２２０に相当）と、を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（５）本発明は、（１）から（４）の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置について、ユーザが並列度を任意に設定することができる並列度設定手段（例えば、図１の並列度設定部１２５に相当）を備え、前記並列度設定手段により、並列度が設定されたときに、前記第１のサンプルベクトル生成部、第２のサンプルベクトル生成部、第３のサンプルベクトル生成部が、該設定された並列度に応じて、サンプルベクトルを生成することを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（６）本発明は、（１）から（５）の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置について、前記公開鍵暗号が格子暗号であることを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（７）本発明は、（１）から（５）の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置について、前記公開鍵暗号がＲＳＡ暗号であることを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を提案している。

（８）本発明は、複数の計算機を備え、公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法をコンピュータに実行させるためのプログラムであって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第１のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部とマージ部と、検出部と、を有し、前記第２のベクトル格納部にベクトルを割り振る第１のステップ（例えば、図２のステップＳ１１０に相当）と、前記第１のサンプルベクトル生成部が、ベクトルのノルムが平均的に短いサンプルベクトルを生成する第２のステップ（例えば、図２のステップＳ１２０に相当）と、前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップ（例えば、図２のステップＳ１３０に相当）と、前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップ（例えば、図２のステップＳ１４０に相当）と、前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップ（例えば、図２のステップＳ１５０に相当）と、前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップ（例えば、図２のステップＳ１６０に相当）と、前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップ（例えば、図２のステップＳ１７０に相当）と、前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップ（例えば、図２のステップＳ１８０に相当）と、前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップ（例えば、図２のステップＳ１９０に相当）と、前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップ（例えば、図２のステップＳ２００に相当）と、前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップ（例えば、図２のステップＳ２１０に相当）と、をコンピュータに実行させるためのプログラムを提案している。

（９）本発明は、複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法であって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第２のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部とマージ部と、検出部と、を有し、前記第２のベクトル格納部にベクトルを割り振る第１のステップ（例えば、図１２のステップＳ１１１に相当）と、前記第２のサンプルベクトル生成部が、格子としてイデアル格子が用いられる場合に、任意のベクトルについて、これを逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のステップ（例えば、図１２のステップＳ１２１に相当）と、前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップ（例えば、図１２のステップＳ１３１に相当）と、前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップ（例えば、図１２のステップＳ１４１に相当）と、前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップ（例えば、図１２のステップＳ１５１に相当）と、前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップ（例えば、図１２のステップＳ１６１に相当）と、前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップ（例えば、図１２のステップＳ１７１に相当）と、前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップ（例えば、図１２のステップＳ１８１に相当）と、前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップ（例えば、図１２のステップＳ１９１に相当）と、前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップ（例えば、図１２のステップＳ２０１に相当）と、前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップ（例えば、図１２のステップＳ２１１に相当）と、を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解方法を提案している。

（１０）本発明は、複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法であって、前記計算機が、ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第３のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部とマージ部と、検出部と、を有し、前記第２のベクトル格納部にベクトルを割り振る第１のステップ（例えば、図１４のステップＳ１１２に相当）と、前記第３のサンプルベクトル生成部が、格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のステップ（例えば、図１４のステップＳ１２２に相当）と、前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップ（例えば、図１４のステップＳ１３２に相当）と、前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップ（例えば、図１４のステップＳ１４２に相当）と、前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップ（例えば、図１４のステップＳ１５２に相当）と、前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップ（例えば、図１４のステップＳ１６２に相当）と、前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップ（例えば、図１４のステップＳ１７２に相当）と、前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップ（例えば、図１４のステップＳ１８２に相当）と、前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップ（例えば、図１４のステップＳ１９２に相当）と、前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップ（例えば、図１４のステップＳ２０２に相当）と、前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップ（例えば、図１４のステップＳ２１２に相当）と、を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解方法を提案している。

本発明によれば、並列度をユーザが自由に設定することができ、効率的に最短ベクトル問題を解くことが可能となるという効果がある。また、これまでは、大きな次元の最短ベクトル問題を求解するためには計算時間をかける必要があったが、本発明を用いると計算機の台数を増やすことによって計算時間をかけずに求解することが可能となるという効果がある。また、ベクトルサンプリングやベクトルの効率的な更新により、計算量を削減できるという効果がある。

本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の構成を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第１の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第１の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第２の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第２の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第３の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第３の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第４の処理工程を示す図である。 本発明の第１の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における第４の処理工程を示す図である。 本発明の第２の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の構成を示す図である。 本発明の第２の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理を示す図である。 本発明の第３の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の構成を示す図である。 本発明の第３の実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理を示す図である。

以下、本発明の実施形態について、図面を用いて、詳細に説明する。
なお、本実施形態における構成要素は適宜、既存の構成要素等との置き換えが可能であり、また、他の既存の構成要素との組合せを含む様々なバリエーションが可能である。したがって、本実施形態の記載をもって、特許請求の範囲に記載された発明の内容を限定するものではない。

以下、図１から図１０を用いて、本発明の第１の実施形態について説明する。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の構成＞
図１に示すように、本実施形態の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置（以下、求解装置とする）は、複数の計算機と、割振部２１０と、出力部２２０とから構成されている。なお、ここでは、理解を容易にするために、１つの計算機１００を例示して説明する。

割振部２１０は、後述する第２のベクトル格納部１１３にベクトルを割り振る。出力部２２０は、後述する検出部１９０が検出した検出結果の中から全体の最短ベクトルを出力する。

計算機１００は、スタック部１１１と、第１のベクトル格納部１１２と、第２のベクトル格納部１１３と、第１のサンプルベクトル生成部１２０と、第１のｒｅｄｕｃｅ部１３０と、第１の移動部１４０と、第２のｒｅｄｕｃｅ部１５０と、第２の移動部１６０と、第３のｒｅｄｕｃｅ部１７０と、第３の移動部１７１と、マージ部１８０と、検出部１９０とから構成されている。

スタック部１１１は、ｒｅｄｕｃｅされたベクトルを格納する。第１のベクトル格納部１１２は、サンプルベクトルを格納する。第２のベクトル格納部１１３は、割振部２１０によって割り振られたＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する。

第１のサンプルベクトル生成部１２０は、ベクトルのノルムが平均的に短いサンプルベクトルを生成する。第１のｒｅｄｕｃｅ部１３０は、第２のベクトル格納部１１３に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う。第１の移動部１４０は、ｒｅｄｕｃｅされたすべてのベクトルをスタック部１１１に移動する。

第２のｒｅｄｕｃｅ部１５０は、第１のｒｅｄｕｃｅ部１３０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う。第２の移動部１６０は、ｒｅｄｕｃｅされたすべてのベクトルをスタック部１１１に移動する。

第３のｒｅｄｕｃｅ部１７０は、第１のｒｅｄｕｃｅ部１３０の処理および第２のｒｅｄｕｃｅ部１５０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと第２のベクトル格納部１１３に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う。

マージ部１８０は、スタック部１１１内のベクトルと第２のベクトル格納部１１３内のベクトルとをマージする。検出部１９０は、マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理＞
図２から図１０を用いて、本実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理について説明する。なお、本実施形態の処理は、例えば、図３、図５、図７、図９に示されるアルゴリズムにしたがって実行される４つの処理工程から構成されている。

まず、処理の内容を説明する前に、以下の７つの事項を定義する。なお、本実施形態においては、格子暗号を例示して説明を行うが、これに限らず、例えば、ＲＳＡ暗号にも用いることができる。

＜定義１＞
ｂ_ｉ＝（ｂ₁、・・・・、ｂ_ｎ）∈Ｒ^ｎをｎ個の一次独立なベクトルとする（１≦ｉ≦ｎ）。また、ｂ_ｉを列ベクトルとする行列をＢ＝（ｂ₁、・・・・、ｂ_ｎ）∈Ｒ^ｎ×ｎとする。このとき、数１を格子とし、Ｂを格子基底と呼ぶ。

＜定義２＞
格子Ｌ（Ｂ）、モニックな多項式ｇ（ｘ）∈Ｚ〔ｘ〕があって、数２の条件を満たすとき、格子Ｌ（Ｂ）は、イデアル格子であるという。

＜定義３＞
ベクトルｖ＝（ｖ₁、・・・・ｖ_ｎ）のユークリッドノルムを数３とする。

＜定義４＞
ベクトルｖ＝（ｖ₁、・・・・ｖ_ｎ）、ｕ＝（ｕ₁、・・・・ｕ_ｎ）の内積を数４とする。

＜定義５＞
格子Ｌ（Ｂ）が与えられて、格子に含まれるベクトルのうちで、ユークリッドノルムが最小のベクトルを求める問題を最短ベクトル問題と呼ぶ。

＜定義６＞
あるベクトルａ、ｂ∈Ｌ（Ｂ）が数５を満たすとき、ａ、ｂは、Ｇａｕｓｓ−ｒｅｄｕｃｅｄであるという。

＜定義７＞
あるｍ（∈Ｎ）個の格子ベクトルの集合Ａ＝｛ａ₁、・・・・、ａ_ｍ｝⊂Ｌ（Ｂ）がすべての組み合わせ（ａｉ、ａｊ）について、Ｇａｕｓｓ−ｒｅｄｕｃｅｄであるとき、集合Ａは、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるという。

図２を用いて、本実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理について説明する。

まず、第２のベクトル格納部１１３にリスト内のベクトルを割り振り（ステップＳ１１０）、第１のサンプルベクトル生成部１２０が、ｒ個のサンプルベクトルを生成する（ステップＳ１２０）。なお、サンプルベクトルの生成は、スタック部１１１にベクトルがある場合には、これを用い、スタック部１１１にベクトルがあるが数が十分でない場合あるいは、スタック部１１１にベクトルがない場合には、新たに生成を行う。また、本実施形態においては、新しいベクトルをランダムにサンプリングする手法を用いている。このサンプリングにおいてより短いベクトルを生成した方がアルゴリズム全体を高速化できる。このサンプリング手法においてＳａｍｐｌｅＤアルゴリズムという関数が使われる。ＳａｍｐｌｅＤアルゴリズムは、ある定められた範囲の整数から一様な確率で１つの整数を返す関数である。具体的には入力を（ｓ、ｃ）として〔ｃ−ｓ・ｔ、ｃ＋ｓ・ｔ〕の範囲から整数ｘを返す。この時、通常ｔ＝ｌｏｇｎと設定される。このｔの値を変更することによって整数の範囲を変更することができ、生成されるベクトルのノルムを平均的に短くすることができる。また、ｔは、格子の次元や実装手法によって最適な値は異なり、例えば、次元が１００付近の場合はｔ＝ｌｏｇｎ＝５０程度が適している。

次に、第１の処理工程として、第１のｒｅｄｕｃｅ部１３０が、第２のベクトル格納部１１３に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う（ステップＳ１３０）。すなわち、ＬとＶの全ての組み合わせ（ｌ_ｉ、ｖ_ｉ）に対して図３に示すようなｒｅｄｕｃｅアルゴリズムを適用する。ここで、ｒｅｄｕｃｅされたベクトル（例えば、図４のｖ_ｉ）は全て、第１の移動部１４０が、スタックＳ（スタック部１１１）に移動する（ステップＳ１４０）。

第２の処理工程として、第２のｒｅｄｕｃｅ部１５０が、第１のｒｅｄｕｃｅ部１３０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行い（ステップＳ１５０）、第２の移動部１６０が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図６のｖ_ｉ）をスタック部に移動する（ステップＳ１６０）。すなわち、図３に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内の全ての組み合わせ（ｖ_ｉ、ｖ_ｊ）に対して図５に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

第３の処理工程として、第３のｒｅｄｕｃｅ部１７０が、第１のｒｅｄｕｃｅ部１３０の処理および第２のｒｅｄｕｃｅ部１５０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと第２のベクトル格納部１１３に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行い（ステップＳ１７０）、第３の移動部１７１が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図８のｌ_ｉ）をスタック部１１１に移動する（ステップＳ１８０）。すなわち、図５に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内を用いて、全ての組み合わせ（ｖ_ｉ、ｌ_ｊ）に対して図７に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

そして、第４の工程として、マージ部１８０が図９に示すようなｒｅｄｕｃｅアルゴリズムにおいて、第１のベクトル格納部１１２内のベクトルと第２のベクトル格納部内のベクトルとを図１０に示すようにマージする（ステップＳ１９０）。そして、検出部が、マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出し（ステップＳ２００）、出力部２２０がステップＳ２００で検出した検出結果の中から全体の最短ベクトルを出力する（ステップＳ２１０）。

以上、説明したように、本実施形態によれば、第１のｒｅｄｕｃｅ部の処理および第２のｒｅｄｕｃｅ部の処理により、サンプルベクトルは、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。一方、リスト内のベクトルは、元々、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるため、第３のｒｅｄｕｃｅ部の処理においてもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄを保つ。更に、第１のｒｅｄｕｃｅ部の処理および第３のｒｅｄｕｃｅ部の処理でリスト内のすべてのベクトルとサンプルベクトルの要素全ての組み合わせが、全てＧａｕｓｓ−ｒｅｄｕｃｅｄであることが保証される。そのため、リスト内のベクトルとサンプルベクトルを連結してもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。そして、上記の処理を衝突がある一定以上発生するまで繰り返す。このアルゴリズムでは、リスト内のベクトルは必ずＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなり、並列度を上げても肥大化することはない。そのため、あるベクトルをｒｅｄｕｃｅｄによって更新する際に、他のベクトルの更新を並列実行できるため、ｎ並列化処理が可能となる。さらに、ベクトルサンプリングやベクトルの効率的な更新により、計算量を削減できる。

＜第２の実施形態＞
図１１および図１２を用いて、第２の実施形態について説明する。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置内の計算機の構成＞
図１１に示すように、本実施形態に係る計算機は、スタック部１１１と、第１のベクトル格納部１１２と、第２のベクトル格納部１１３と、第２のサンプルベクトル生成部１２１と、第１のｒｅｄｕｃｅ部１３０と、第１の移動部１４０と、第２のｒｅｄｕｃｅ部１５０と、第２の移動部１６０と、第３のｒｅｄｕｃｅ部１７０と、第３の移動部１７１と、マージ部１８０と、検出部１９０とから構成されている。なお、第１の実施形態と同一の記号を付す構成要素については、同様の機能を有するため、その詳細な説明は、省略する。

第２のサンプルベクトル生成部１２１は、格子としてイデアル格子が用いられる場合に、任意のベクトルについて、これを逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理＞
図１２を用いて、本実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理について説明する。

まず、第２のベクトル格納部１１３にリスト内のベクトルを割り振り（ステップＳ１１１）、第２のサンプルベクトル生成部１２１が、ｒ個のサンプルベクトルを生成する（ステップＳ１２１）。なお、サンプルベクトルの生成は、スタック部１１１にベクトルがある場合には、これを用い、スタック部１１１にベクトルがあるが数が十分でない場合あるいは、スタック部１１１にベクトルがない場合には、新たに生成を行う。また、本実施形態においては、格子としてイデアル格子を用いた場合には、ベクトルｖの要素を回転させるローテーションｒｏｔ（ｖ）という操作を行う。このローテーションによっても新たなベクトルが生成でき、格子によっては短いベクトルを簡単な操作で大量に生成することが可能となる。例えば、ｇ（ｘ）＝ｘ^ｎ+１となる場合、ベクトルｖ＝（ｖ₁、・・・・ｖ_ｎ-1）のローテーションは、ｒｏｔ（ｖ）＝（−ｖ_ｎ−１、ｖ₀、・・・・ｖ_ｎ-2）となることが知られている。この時、ローテーションをする前と後でノルムは変化しないため、ある程度短いベクトルがあれば、それと同じノルムのベクトルを大量に生成できる。この方法では、逆方向へのローテーションを定義し、同様の効果を得る。ｇ（ｘ）＝ｘ^ｎ+１の時、逆ローテーションはｒｏｔ^-1（ｖ）＝（ｖ₁、・・・・ｖ_ｎ-1、-ｖ₀）となり、同様にノルムは変化しない。したがって、イデアル格子の場合、ローテーションに加えて逆ローテーションも用いることによって更に多くのベクトルを簡単な処理で生成することによって高速化を行うことができる。

次に、第１の処理工程として、第１のｒｅｄｕｃｅ部１３０が、第２のベクトル格納部１１３に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う（ステップＳ１３１）。すなわち、ＬとＶの全ての組み合わせ（ｌ_ｉ、ｖ_ｉ）に対して図３に示すようなｒｅｄｕｃｅアルゴリズムを適用する。ここで、ｒｅｄｕｃｅされたベクトル（例えば、図４のｖ_ｉ）は全て、第１の移動部１４０が、スタックＳ（スタック部１１１）に移動する（ステップＳ１４１）。

第２の処理工程として、第２のｒｅｄｕｃｅ部１５０が、第１のｒｅｄｕｃｅ部１３０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行い（ステップＳ１５１）、第２の移動部１６０が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図６のｖ_ｉ）をスタック部に移動する（ステップＳ１６１）。すなわち、図３に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内の全ての組み合わせ（ｖ_ｉ、ｖ_ｊ）に対して図５に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

第３の処理工程として、第３のｒｅｄｕｃｅ部１７０が、第１のｒｅｄｕｃｅ部１３０の処理および第２のｒｅｄｕｃｅ部１５０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと第２のベクトル格納部１１３に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行い（ステップＳ１７１）、第３の移動部１７１が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図８のｌ_ｉ）をスタック部１１１に移動する（ステップＳ１８１）。すなわち、図５に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内を用いて、全ての組み合わせ（ｖ_ｉ、ｌ_ｊ）に対して図７に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

そして、第４の工程として、マージ部１８０が図９に示すようなｒｅｄｕｃｅアルゴリズムにおいて、第１のベクトル格納部１１２内のベクトルと第２のベクトル格納部内のベクトルとを図１０に示すようにマージする（ステップＳ１９１）。そして、検出部が、マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出し（ステップＳ２０１）、出力部２２０がステップＳ２０１で検出した検出結果の中から全体の最短ベクトルを出力する（ステップＳ２１１）。

以上、説明したように、本実施形態によれば、第１のｒｅｄｕｃｅ部の処理および第２のｒｅｄｕｃｅ部の処理により、サンプルベクトルは、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。一方、リスト内のベクトルは、元々、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるため、第３のｒｅｄｕｃｅ部の処理においてもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄを保つ。更に、第１のｒｅｄｕｃｅ部の処理および第３のｒｅｄｕｃｅ部の処理でリスト内のすべてのベクトルとサンプルベクトルの要素全ての組み合わせが、全てＧａｕｓｓ−ｒｅｄｕｃｅｄであることが保証される。そのため、リスト内のベクトルとサンプルベクトルを連結してもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。そして、上記の処理を衝突がある一定以上発生するまで繰り返す。このアルゴリズムでは、リスト内のベクトルは必ずＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなり、並列度を上げても肥大化することはない。そのため、あるベクトルをｒｅｄｕｃｅｄによって更新する際に、他のベクトルの更新を並列実行できるため、ｎ並列化処理が可能となる。さらに、ベクトルサンプリングやベクトルの効率的な更新により、計算量を削減できる。

＜第３の実施形態＞
図１３および図１４を用いて、第３の実施形態について説明する。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置内の計算機の構成＞
図１３に示すように、本実施形態に係る計算機は、スタック部１１１と、第１のベクトル格納部１１２と、第２のベクトル格納部１１３と、第３のサンプルベクトル生成部１２２と、第１のｒｅｄｕｃｅ部１３０と、第１の移動部１４０と、第２のｒｅｄｕｃｅ部１５０と、第２の移動部１６０と、第３のｒｅｄｕｃｅ部１７０と、第３の移動部１７１と、マージ部１８０と、検出部１９０とから構成されている。なお、第１の実施形態と同一の記号を付す構成要素については、同様の機能を有するため、その詳細な説明は、省略する。

第３のサンプルベクトル生成部１２２は、格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする。

＜公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理＞
図１４を用いて、本実施形態に係る公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理について説明する。

まず、第２のベクトル格納部１１３にリスト内のベクトルを割り振り（ステップＳ１１２）、第３のサンプルベクトル生成部が、格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする（ステップＳ１２２）。つまり、格子としてイデアル格子を用いた場合、ベクトルのローテーション、逆ローテーションが定義できる。この操作を行うことによって、格子によってはノルムが下がる場合がある。例えば、ｇ（ｘ）＝ｘ^ｎ＋ｘ^ｎ/2＋１とした場合、ベクトルｖのローテーションｒｏｔ（ｖ）は、以下のように定義できる。
ｖ＝（ｖ₀、ｖ₁、・・・・ｖ_ｎ-2、ｖ_ｎ-1）
ｖ´＝ｒｏｔ（ｖ）
＝（−ｖ_ｎ-1、ｖ₀、・・・・ｖ_ｎ/2-2、ｖ_ｎ/2-1＋ｖ_ｄ-1、ｖ_ｎ/2、・・・・、ｖ_ｎ-2）
この時、ローテーション前のノルムと、ローテーション後のノルムは、数６のようになる。

すなわち、ノルムの変化は、（ｖ_ｎ-1）²＋２ｖ_ｎ/2-１ｖ_ｎ-1となり、ｖ_ｎ/2-１とｖ_ｎ-1の大小関係、符号関係によってノルムが小さくなる。具体的には、ｖ_ｎ-1 ²＋２ｖ_ｎ/2-１ｖ_ｎ-1＜０であればノルムが小さくなる。この確率が０では無いことを以下のように示す。
ｖ_ｎ/2-１ｖ_ｎ-1＞０、つまり同符号であれば、ｖ_ｎ-1 ²＋２ｖ_ｎ/2-１ｖ_ｎ-1＞０となる。この確率は１／２である。
一方、ｖ_ｎ/2-１ｖ_ｎ-1＜０、つまり異符号の場合には、
ｖ_ｎ-1 ²＋２ｖ_ｎ/2-１ｖ_ｎ-1＝｜ｖ_ｎ-1｜²−２｜ｖ_ｎ/2-１｜｜ｖ_ｎ-1｜と表せるので、｜ｖ_ｎ-1｜−２｜ｖ_ｎ/2-１｜＜０となる場合、つまり、｜ｖ_ｎ-1｜＜２｜ｖ_ｎ/2-１｜となる確率を考える。ここで、ｖ_ｎ-1、ｖ_ｎ/2-１が同じ確率分布から独立してランダムに選ばれる場合、｜ｖ_ｎ-1｜＜ｋ｜ｖ_ｎ/2-１｜とすると、ｋ＝１となる確率は１／２となる。従ってｋ＞１の場合、この確率は１／２より大きくなる。つまり、ｖ_ｎ/2-１ｖ_ｄ-1＜０かつ｜ｖ_ｎ-1｜＜２｜ｖ_ｎ/2-１｜となる確率は、１／４以上、１／２以下である。従って、数７となる確率、つまりローテーションによってノルムが小さくなる確率は、１／４以上、１／２以下である。

また、２ｖ_ｎ/2-１ｖ_ｎ-1の期待値は、０である。しかし、ｖ_ｎ-1 ²は、必ず正となるため、ローテーションを繰り返すと漸近的には、ノルムは大きくなる。そのため、この方法では、最初の数回ローテーションでベクトルを生成し、ノルムが小さいベクトルが見つかったら、そのベクトルで元のベクトルを更新することで、アルゴリズム全体の処理を高速化できる。これは逆ローテーションの場合も同様である。

次に、第１の処理工程として、第１のｒｅｄｕｃｅ部１３０が、第２のベクトル格納部１１３に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う（ステップＳ１３２）。すなわち、ＬとＶの全ての組み合わせ（ｌ_ｉ、ｖ_ｉ）に対して図３に示すようなｒｅｄｕｃｅアルゴリズムを適用する。ここで、ｒｅｄｕｃｅされたベクトル（例えば、図４のｖ_ｉ）は全て、第１の移動部１４０が、スタックＳ（スタック部１１１）に移動する（ステップＳ１４２）。

第２の処理工程として、第２のｒｅｄｕｃｅ部１５０が、第１のｒｅｄｕｃｅ部１３０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行い（ステップＳ１５２）、第２の移動部１６０が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図６のｖ_ｉ）をスタック部に移動する（ステップＳ１６２）。すなわち、図３に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内の全ての組み合わせ（ｖ_ｉ、ｖ_ｊ）に対して図５に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

第３の処理工程として、第３のｒｅｄｕｃｅ部１７０が、第１のｒｅｄｕｃｅ部１３０の処理および第２のｒｅｄｕｃｅ部１５０の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと第２のベクトル格納部１１３に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行い（ステップＳ１７２）、第３の移動部１７１が、ｒｅｄｕｃｅされたすべてのベクトル（例えば、図８のｌ_ｉ）をスタック部１１１に移動する（ステップＳ１８２）。すなわち、図５に示すようなｒｅｄｕｃｅアルゴリズムにおいて、ｒｅｄｕｃｅされなかったサンプルベクトルｖ内を用いて、全ての組み合わせ（ｖ_ｉ、ｌ_ｊ）に対して図７に示すようなｒｅｄｕｃｅアルゴリズムを適用する。

そして、第４の工程として、マージ部１８０が図９に示すようなｒｅｄｕｃｅアルゴリズムにおいて、第１のベクトル格納部１１２内のベクトルと第２のベクトル格納部内のベクトルとを図１０に示すようにマージする（ステップＳ１９２）。そして、検出部が、マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出し（ステップＳ２０２）、出力部２２０がステップＳ２０１で検出した検出結果の中から全体の最短ベクトルを出力する（ステップＳ２１２）。

以上、説明したように、本実施形態によれば、第１のｒｅｄｕｃｅ部の処理および第２のｒｅｄｕｃｅ部の処理により、サンプルベクトルは、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。一方、リスト内のベクトルは、元々、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるため、第３のｒｅｄｕｃｅ部の処理においてもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄを保つ。更に、第１のｒｅｄｕｃｅ部の処理および第３のｒｅｄｕｃｅ部の処理でリスト内のすべてのベクトルとサンプルベクトルの要素全ての組み合わせが、全てＧａｕｓｓ−ｒｅｄｕｃｅｄであることが保証される。そのため、リスト内のベクトルとサンプルベクトルを連結してもＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなる。そして、上記の処理を衝突がある一定以上発生するまで繰り返す。このアルゴリズムでは、リスト内のベクトルは必ずＰａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄとなり、並列度を上げても肥大化することはない。そのため、あるベクトルをｒｅｄｕｃｅｄによって更新する際に、他のベクトルの更新を並列実行できるため、ｎ並列化処理が可能となる。さらに、ベクトルサンプリングやベクトルの効率的な更新により、計算量を削減できる。

なお、公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置の処理をコンピュータシステムが読み取り可能な記録媒体に記録し、この記録媒体に記録されたプログラムを公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置に読み込ませ、実行することによって本発明の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置を実現することができる。ここでいうコンピュータシステムとは、ＯＳや周辺装置等のハードウェアを含む。

また、「コンピュータシステム」は、ＷＷＷ（Ｗｏｒｌｄ Ｗｉｄｅ Ｗｅｂ）システムを利用している場合であれば、ホームページ提供環境（あるいは表示環境）も含むものとする。また、上記プログラムは、このプログラムを記憶装置等に格納したコンピュータシステムから、伝送媒体を介して、あるいは、伝送媒体中の伝送波により他のコンピュータシステムに伝送されてもよい。ここで、プログラムを伝送する「伝送媒体」は、インターネット等のネットワーク（通信網）や電話回線等の通信回線（通信線）のように情報を伝送する機能を有する媒体のことをいう。

また、上記プログラムは、前述した機能の一部を実現するためのものであってもよい。さらに、前述した機能をコンピュータシステムにすでに記録されているプログラムとの組合せで実現できるもの、いわゆる差分ファイル（差分プログラム）であってもよい。

以上、この発明の実施形態につき、図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。

１００；計算機
１１１；スタック部
１１２；第１のベクトル格納部
１１３；第２のベクトル格納部
１２０；第１のサンプルベクトル生成部
１２１；第２のサンプルベクトル生成部
１２２；第３のサンプルベクトル生成部
１２５；並列度設定部
１３０；第１のｒｅｄｕｃｅ部
１４０；第１の移動部
１５０；第２のｒｅｄｕｃｅ部
１６０；第２の移動部
１７０；第３のｒｅｄｕｃｅ部
１７１；第３の移動部
１８０；マージ部
１９０；検出部
２００；求解装置
２１０；割振部
２２０；出力部

Claims (10)

1. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、
   前記計算機が、
   ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、を有し、
   ベクトルのノルムが平均的に短いサンプルベクトルを生成する第１のサンプルベクトル生成部と、
   前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部と、
   前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部と、
   該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部と、
   を備え、
   前記第２のベクトル格納部にベクトルを割り振る割振部と、
   前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部と、
   を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
2. 前記第１のサンプルベクトル生成部は、ＳａｍｐｌｅＤアルゴリズムを用いて、前記ベクトルのノルムが平均的に短いサンプルベクトルを生成することを特徴とする請求項１に記載の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
3. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、
   前記計算機が、
   ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、を有し、
   格子としてイデアル格子が用いられる場合に、任意のベクトルについて、これを逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のサンプルベクトル生成部と、
   前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部と、
   前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部と、
   該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部と、
   を備え、
   前記第２のベクトル格納部にベクトルを割り振る割振部と、
   前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部と、
   を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
4. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置であって、
   前記計算機が、
   ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、を有し、
   格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第３のサンプルベクトル生成部と、
   前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第１のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第１の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第２のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第２の移動部と、
   前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のｒｅｄｕｃｅ部と、
   該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第３の移動部と、
   前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージするマージ部と、
   該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する検出部と、
   を備え、
   前記第２のベクトル格納部にベクトルを割り振る割振部と、
   前記検出部が検出した検出結果の中から全体の最短ベクトルを出力する出力部と、
   を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
5. ユーザが並列度を任意に設定することができる並列度設定手段を備え、
   前記並列度設定手段により、並列度が設定されたときに、前記第１のサンプルベクトル生成部、第２のサンプルベクトル生成部、第３のサンプルベクトル生成部が、該設定された並列度に応じて、サンプルベクトルを生成することを特徴とする請求項１から４のいずれかに記載の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
6. 前記公開鍵暗号が格子暗号であることを特徴とする請求項１から５のいずれかに記載の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
7. 前記公開鍵暗号がＲＳＡ暗号であることを特徴とする請求項１から５のいずれかに記載の公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置。
8. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法であって、
   前記計算機が、
   ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第１のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部と、第３の移動部と、マージ部と、検出部と、を有し、
   前記第２のベクトル格納部にベクトルを割り振る第１のステップと、
   前記第１のサンプルベクトル生成部が、ベクトルのノルムが平均的に短いサンプルベクトルを生成する第２のステップと、
   前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップと、
   前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップと、
   前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップと、
   前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップと、
   前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップと、
   前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップと、
   前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップと、
   前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップと、
   前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップと、
   を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解方法。
9. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法であって、
   前記計算機が、
   ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第２のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部と、第３の移動部と、マージ部と、検出部と、を有し、
   前記第２のベクトル格納部にベクトルを割り振る第１のステップと、
   前記第２のサンプルベクトル生成部が、格子としてイデアル格子が用いられる場合に、任意のベクトルについて、これを逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のステップと、
   前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップと、
   前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップと、
   前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップと、
   前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップと、
   前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップと、
   前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップと、
   前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップと、
   前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップと、
   前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップと、
   を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解方法。
10. 複数の計算機を備えた公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解装置における求解方法であって、
    前記計算機が、
    ｒｅｄｕｃｅされたベクトルを格納するスタック部と、サンプルベクトルを格納する第１のベクトル格納部と、Ｐａｉｒｗｉｓｅ−ｒｅｄｕｃｅｄであるリスト内のベクトルを格納する第２のベクトル格納部と、第３のサンプルベクトル生成部と、第１のｒｅｄｕｃｅ部と、第１の移動部と、第２のｒｅｄｕｃｅ部と、第２の移動部と、第３のｒｅｄｕｃｅ部と、第３の移動部と、マージ部と、検出部と、を有し、
    前記第２のベクトル格納部にベクトルを割り振る第１のステップと、
    前記第３のサンプルベクトル生成部が、格子としてイデアル格子が用いられる場合に、問題で与えられる多項式がｎ次３項式であって、各係数がすべて１であるとき、任意のベクトルについて、正方向あるいは逆方向にローテーションし、長さの短いベクトルを選択して、これをサンプルベクトルとする第２のステップと、
    前記第１のｒｅｄｕｃｅ部が、前記第２のベクトル格納部に格納されたすべてのベクトルとすべてのサンプルベクトルとの組み合わせについてｒｅｄｕｃｅを行う第３のステップと、
    前記第１の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第４のステップと、
    前記第２のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトル間でｒｅｄｕｃｅを行う第５のステップと、
    前記第２の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第６のステップと、
    前記第３のｒｅｄｕｃｅ部が、前記第１のｒｅｄｕｃｅ部の処理および前記第２のｒｅｄｕｃｅ部の処理によりｒｅｄｕｃｅされなかったすべてのサンプルベクトルと前記第２のベクトル格納部に格納されたすべてのベクトルとの組み合わせについてｒｅｄｕｃｅを行う第７のステップと、
    前記第３の移動部が、該ｒｅｄｕｃｅされたすべてのベクトルを前記スタック部に移動する第８のステップと、
    前記マージ部が前記第１のベクトル格納部内のベクトルと前記第２のベクトル格納部内のベクトルとをマージする第９のステップと、
    前記検出部が、該マージして得られたベクトルの数が所定値以下の場合に、その中から最短ベクトルを検出する第１０のステップと、
    前記第１０のステップで検出した検出結果の中から全体の最短ベクトルを出力する第１１のステップと、
    を備えたことを特徴とする公開鍵暗号化方式における並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた最短ベクトル問題の求解方法。

Images