JP2016130939A - 乱数生成装置、乱数生成方法、およびプログラム - Google Patents

Abstract

【課題】所定の集合に属する乱数を高速に生成する。
【解決手段】乱数取得部１５が２進数で表現された乱数の各桁の値を要素に含む第１列を得る。論理積演算部１６は、当該第１列と、２進数で表現された単数または複数のメルセンヌ数の各桁の値および零値を要素に含む第２列と、の要素単位の論理積演算結果である第３列を得る。
【選択図】図１

Description

本発明は、乱数生成技術に関し、特に、所定の集合に属する乱数を生成する技術に関する。

ｎ個のランダムビットを生成し、それらを各桁の値とする２進数表現値に対応する１０進数表現値ａとｐ−１との大小判定を行い、ａ＞ｐ−１であれば処理をやり直し、そうでなければａを乱数として採用する乱数生成方法がある（例えば、非特許文献１参照）。ｐを素数とすれば素体上の乱数を生成できる。

ヨハネス ブーフマン、「暗号理論入門―暗号アルゴリズム、署名と認証、その数学的基礎」、シュプリンガー・フェアラーク東京、２００１年７月、Ｐ１１４．

上述の方法では、ｎに対してｐを二進数で表現したときの要素数が小さいときに乱数の生成確率が極度に低下し、乱数の生成速度が低下してしまう。

本発明の課題は、所定の集合に属する乱数を高速に生成することである。

２進数で表現された乱数の各桁の値を要素に含む第１列を得、当該第１列と、２進数で表現された単数または複数のメルセンヌ数の各桁の値および零値を要素に含む第２列と、の要素単位の論理積演算結果である第３列を得る。

これにより、所定の集合に属する乱数を高速に生成できる。

図１は実施形態の乱数生成装置の機能構成を例示したブロック図である。 図２Ａは実施形態の乱数生成方法を例示したフロー図である。図２Ｂは等号判定処理を例示したフロー図である。 図３Ａ〜図３Ｃは実施形態の第１〜３列を例示した図である。

以下、本発明の実施形態を説明する。
［概要］
実施形態では以下のように所定の集合に属する乱数を生成する。まず、２進数で表現された乱数（バイナリ乱数）の各桁の値を要素に含む「第１列」を得る（乱数取得ステップ）。この乱数は一様乱数であってもよいし、一様乱数でなくてもよい。なお、「乱数」の概念は真正乱数および擬似乱数を含む。乱数は予め生成されていてもよいし、「第１列」を得る際に生成されてもよい。「第１列」は２進数で表現された乱数の各桁の値のみを要素としてもよいし、さらにそれ以外の要素を含んでもよい。次に、「第１列」と「第２列」との要素単位の論理積演算結果（要素ごとのＡＮＤ演算結果、例えば、ビットＡＮＤ演算結果）である「第３列」を得る（論理積演算ステップ）。ただし「第２列」は、２進数で表現された単数または複数のメルセンヌ数ｐ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１であり、Ｎは１以上の整数）の各桁の値および零値を要素に含む列である。「第２列」の要素数は、例えば「第１列」の要素数と同一である。「第２列」は、メルセンヌ数ｐ_ｉの各桁の値および零値のみを要素としてもよいし、さらにそれ以外の要素（例えば、固定値や属性情報など）を含んでもよい。メルセンヌ数ｐ_ｉは２^ｎ（ｉ）−１を満たす整数であり、２進数で表現されたメルセンヌ数ｐ_ｉはｎ（ｉ）個の１からなる列１・・・１である。ただし、ｎ（ｉ）は特定の正整数である。ｐ_ｉの一例はメルセンヌ素数であり、例えばｎ（ｉ）＝２，３，５，７，１３，１７，１９，３１，６１等のときｐ_ｉはメルセンヌ素数となる。「第３列」は「第１列」を「第２列」でマスクした列となり、２進数で表現された桁数ｎ（ｉ）の乱数ｔ_ｉを含む列となる。このような乱数ｔ_ｉはメルセンヌ数ｐ_ｉを法とする剰余環（剰余類）上の乱数として扱うことができる。特にｐ_ｉがメルセンヌ素数であれば、乱数ｔ_ｉはメルセンヌ素数ｐ_ｉを法とする剰余体（素体）上の乱数として扱うことができる。ｐ_ｉを法とする剰余環上ではｐ_ｉ＝２^ｎ（ｉ）−１と０とが同値であり（２^ｎ（ｉ）−１ ｍｏｄ（２^ｎ（ｉ）−１）＝０）、「第３列」が含むＮ個の乱数ｔ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）は、「必ず」、ｐ_ｉを法とする剰余環上の乱数として扱える。そのため、環境によって乱数の生成確率が低下する従来技術に比べ、高速に剰余環上の乱数を生成できる。

ただし、ｐ_ｉを法とする剰余環ではｐ_ｉと０とが同値と扱われるため（０はｐ_ｉの同値類）、乱数ｔ_ｉが一様乱数となるとは限らない。すなわち、「第１列」が表す乱数が一様乱数である場合、ｔ_ｉが０，１，・・・，ｐ_ｉとなる確率はそれぞれ１／２^ｎ（ｉ）であり、ｔ_ｉがｐ_ｉまたは０となる確率は１／２^{ｎ（ｉ）−１}である。そのため、上記の剰余環上では、０の生成確率（言い換えるとｐ_ｉの生成確率）は１／２^{ｎ（ｉ）−１}となり、その他の乱数の生成確率は１／２^ｎ（ｉ）となる。剰余環上の一様乱数を得るためには、ｔ_ｉ＝ｐ_ｉとなった場合に、生成した乱数を破棄し、乱数取得ステップおよび論理積演算ステップをやり直せばよい。言い換えると、「第１列」が「第１部分列」を含み、「第２列」に含まれた「第２部分列」が何れかのメルセンヌ数ｐ_ｉを表し、「第３列」が「第１部分列」と「第２部分列」との要素単位の論理積演算結果である「第３部分列」を含み、「第２部分列」と「第３部分列」とが一致する場合に乱数取得ステップおよび論理積演算ステップの処理を再び実行すればよい。このような構成でもｔ_ｉ＝ｐ_ｉとなる確率（「第２部分列」と「第３部分列」とが一致する確率）は１／２^{ｎ（ｉ）−１}程度であり、高速に剰余環上の一様乱数を生成できる。

あるいはｔ_ｉ＝０となった場合に乱数取得ステップおよび論理積演算ステップをやり直してもよい。言い換えると、「第３部分列」の要素が零からなる場合（「第３部分列」が零ベクトルの場合）に乱数取得ステップおよび論理積演算ステップの処理を再び実行してもよい。これによっても剰余環上の一様乱数を高速に生成できる。

またＮを２以上の整数とし、「第２列」が２進数で表現された複数のメルセンヌ数ｐ_ｉの各桁の値および零値を要素に含む列とした場合、複数個の剰余環上の乱数を並列処理によって生成でき、より高速な乱数生成が可能となる。２進数で表現されたメルセンヌ数ｐ_ｉの桁数（ビット長）ｎ（ｉ）は、互いに同一であってもよいし、同一でなくてもよい。

このような並列処理によって剰余環上の一様乱数を生成する場合、（１）一括等号判定によってｉ＝０，・・・，Ｎ−１についてｔ_ｉ＝ｐ_ｉとなるか否かの判定を一括して行い、（２）それらの等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）の和演算または積演算によって何れかのｉについてｔ_ｉ＝ｐ_ｉとなるか否かを表す集約判定結果ｘを得、（３）集約判定結果ｘが何れかのｉについてｔ_ｉ＝ｐ_ｉとなることを示す場合に乱数取得ステップおよび論理積演算ステップをやり直してもよい。言い換えると、（１）一括等号判定によって複数の「第２部分列」のそれぞれと複数の「第３部分列」のそれぞれとが一致するか否かを表す複数の等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）のそれぞれを得、（２）複数の等号判定結果ｘ_ｉの和演算または積演算によって何れかの「第２部分列」と「第３部分列」とが一致するか否かを表す集約判定結果ｘを得、（３）集約判定結果ｘが何れかの「第２部分列」と「第３部分列」とが一致することを表す場合に、乱数取得ステップおよび論理積演算ステップの処理を再び実行しもよい。ただし、「第１列」が複数の「第１部分列」を含み、「第２列」に含まれた複数の「第２部分列」のそれぞれが複数のメルセンヌ数ｐ_ｉの各桁の値を表し、「第３列」が複数の「第３部分列」を含み、複数の「第３部分列」のそれぞれが、複数の「第１部分列」のそれぞれと複数の「第２部分列」のそれぞれとの要素単位の論理積演算結果ｔ_ｉである。ここで、一括等号判定や和演算や積演算の演算量は小さい。また上述のようにｔ_ｉ＝ｐ_ｉとなる確率は１／２^{ｎ（ｉ）−１}程度であり、何れかのｉについてｔ_ｉ＝ｐ_ｉとなる可能性は低い。そのため、剰余環上の一様乱数をより高速に生成できる。

あるいは、（４）一括等号判定によってｉ＝０，・・・，Ｎ−１についてｔ_ｉ＝０となるか否かの判定を一括して行い、（５）それらの等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）の和演算または積演算によって何れかのｉについてｔ_ｉ＝０となるか否かを表す集約判定結果ｘを得、（６）集約判定結果ｘが何れかのｉについてｔ_ｉ＝０となることを示す場合に乱数取得ステップおよび論理積演算ステップをやり直してもよい。言い換えると、（４）一括等号判定によって複数の「第３部分列」のそれぞれの要素が零からなるか否かを表す複数の等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）のそれぞれを得、（５）複数の等号判定結果ｘ_ｉの和演算または積演算によって何れかの「第３部分列」の要素が零からなるか否かを表す集約判定結果ｘを得、（６）集約判定結果ｘが何れかの「第３部分列」の要素が零からなることを表す場合に、乱数取得ステップおよび論理積演算ステップの処理を再び実行してもよい。この場合も剰余環上の一様乱数を高速に生成できる。

［第１実施形態］
次に、第１実施形態を説明する。本形態では、ｐ_ｉがメルセンヌ素数である場合を説明する。
＜構成＞
図１に例示するように、本形態の乱数生成装置１は、バイナリ乱数生成部１１、記憶部１２、入力部１３、マスク生成部１４、乱数取得部１５、論理積演算部１６、および出力部１８を有する。乱数生成装置１は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。

＜処理＞
本形態では、「第１列」「第２列」「第３列」をそれぞれＬ個の要素からなるベクトルとして扱い、乱数生成装置１がＬビット精度で演算を行うものとする。なお、Ｌは２進数で表現されたメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１の合計要素数ｎ（０）＋・・・＋ｎ（Ｎ−１）よりも大きな正整数である。Ｌは定数であってもよいし、入力されたメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１に応じて定められてもよい。想定されるメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１の大きさが予め定められている場合にはＬを定数とできる。

図２Ａに例示するように、まずメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１を特定する情報が入力部１３に入力される。この情報の例はメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１そのものやｎ（０），・・・，ｎ（Ｎ−１）などである。メルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１を特定する情報はマスク生成部１４に送られる（ステップＳ１３）。

マスク生成部１４は、２進数で表現されたメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１の各桁の値および零値を要素に含むＬ個の要素からなるベクトルＭ∈｛０，１｝^Ｌ（第２列）を得て出力する。図３Ａ〜図３ＣにベクトルＭの具体例を示す。図３Ａの例はｎ（０）＝・・・＝ｎ（Ｎ−１）＝７の例である。この例のベクトルＭは、先頭のｚ個（ただし、ｚ＝Ｌ−（ｎ（０）＋・・・＋ｎ（Ｎ−１）））の要素が０であり、残りの要素がすべて１である。言い換えると、先頭のｚ個の０からなる部分列ｚｅｒｏに続いて、２進数で表現されたメルセンヌ素数ｐ_Ｎ−１，・・・，ｐ_０が配置されている。図３Ｂの例もｎ（０）＝・・・＝ｎ（Ｎ−１）＝７の例である。ただし、この例では１個の０の要素ｚｅｒｏに続いて２進数で表現された１個のメルセンヌ素数ｐ_ｉ（ただし、ｉ＝Ｎ−１，・・・，０）が配置され、０と２進数で表現されたメルセンヌ素数ｐ_ｉとが交互に配置されている。図３Ｃは、先頭のｚ個の０からなる部分列ｚｅｒｏに続いて、２進数で表現されたメルセンヌ素数ｐ_Ｎ−１，・・・，ｐ_０が配置されている。しかしながら、メルセンヌ素数ｐ_Ｎ−１，・・・，ｐ_０のすべてが同一ではない。その他、図３Ｂの例においてメルセンヌ素数ｐ_Ｎ−１，・・・，ｐ_０のすべてが同一でなくてもよい。生成されたベクトルＭは論理積演算部１６に送られる（ステップＳ１４）。

乱数取得部１５は記憶部１２にＬ個の要素からなるＬビットのバイナリ乱数ベクトルｒ∈｛０，１｝^Ｌ（第１列）が残存しているかを判定する（ステップＳ１２）。バイナリ乱数ベクトルｒが残存している場合には、乱数取得部１５は記憶部１２からバイナリ乱数ベクトルｒを読み出して出力する（ステップＳ１５）。読み出されたバイナリ乱数ベクトルｒは記憶部１２から削除される。一方、バイナリ乱数ベクトルｒが残存していない場合には、バイナリ乱数生成部１１がＬビットのバイナリ乱数ベクトルｒ∈｛０，１｝^Ｌを生成して記憶部１２に格納し、乱数取得部１５は記憶部１２からバイナリ乱数ベクトルｒを読み出して出力する（ステップＳ１５）。なお、処理の高速化のため、バイナリ乱数生成部１１は並列処理によって複数個のバイナリ乱数ベクトルｒを生成して記憶部１２に格納することが望ましい。出力されたバイナリ乱数ベクトルｒは論理積演算部１６に送られる。

論理積演算部１６は、バイナリ乱数ベクトルｒとベクトルＭとの要素単位の論理積演算（ビットＡＮＤ演算）を行い、その演算結果であるベクトルｔ∈｛０，１｝^Ｌ（第３列）を得て出力する。ベクトルＭの第ｊ要素（ただし、ｊ＝０，・・・，Ｌ−１）が０である場合、ベクトルｔの第ｊ要素は０となり、ベクトルＭの第ｊ要素が１である場合、ベクトルｔの第ｊ要素はバイナリ乱数ベクトルｒの第ｊ要素となる。すなわち、ベクトルｔはバイナリ乱数ベクトルｒをベクトルＭでマスクして得られるベクトルである。ベクトルＭが含む２進数で表現されたメルセンヌ素数ｐ_ｉの要素列（部分列）に対応するベクトルｔの要素列を部分列ｔ_ｉと表現する。例えば、２進数で表現されたメルセンヌ素数ｐ_ｉがベクトルＭの第ｊ_１要素から第ｊ_２要素までの要素列である場合、部分列ｔ_ｉはベクトルｔの第ｊ_１要素から第ｊ_２要素までの要素列である。例えば、図３Ａの例の場合、バイナリ乱数ベクトルｒの先頭のｚ個の要素は（ｒ_{Ｎ，ｚ−１}，・・・，ｒ_Ｎ，０）∈｛０，１｝^ｚからなる部分列ｒ_Ｎである。しかし、ベクトルＭは先頭のｚ個の要素がすべて０であるため、ベクトルｔの先頭のｚ個の要素もすべて０となる。それ以降のベクトルＭの要素はすべて１であるため、ベクトルｔのそれ以降の部分列ｔ_Ｎ−１，・・・，ｔ_０（ただし、ｔ_ｉはｔ_ｉ，６，・・・，ｔ_ｉ，０∈｛０，１｝^７からなる部分列）は、バイナリ乱数ベクトルｒの部分列ｒ_Ｎ−１，・・・，ｒ_０（ただし、ｒ_ｉはｒ_ｉ，６，・・・，ｒ_ｉ，０∈｛０，１｝^７からなる部分列）となる。例えば、図３Ｂの例の場合、バイナリ乱数ベクトルｒは部分列ｒ_Ｎ−１，・・・，ｒ_０（ただし、ｒ_ｉはｒ_ｉ，７，・・・，ｒ_ｉ，０∈｛０，１｝^７からなる部分列）からなる。ベクトルＭは０と１１１１１１１とからなる部分列０１１１１１１１をＮ個持つため、ベクトルｔの部分列ｔ_Ｎ−１，・・・，ｔ_０（ただし、ｔ_ｉはｔ_ｉ，６，・・・，ｔ_ｉ，０∈｛０，１｝^７からなる部分列）は、バイナリ乱数ベクトルｒの部分列ｒ_Ｎ−１，・・・，ｒ_０（ただし、ｒ_ｉはｒ_ｉ，６，・・・，ｒ_ｉ，０∈｛０，１｝^７からなる部分列）となる。例えば、図３Ｃの例の場合、ベクトルＭは先頭のｚ個の要素がすべて０であり、残りの要素がすべて１である。そのため、ベクトルｔの先頭のｚ個の要素がすべて０となり、それ以降の部分列ｔ_Ｎ−１，・・・，ｔ_０は、バイナリ乱数ベクトルｒの部分列ｒ_Ｎ−１，・・・，ｒ_０となる。得られたベクトルｔは出力部１８に送られる（ステップＳ１６）。

出力部１８は、ベクトルｔをそのまま出力してもよいし、ベクトルｔが含む部分列ｔ_Ｎ−１，・・・，ｔ_０のみを出力してもよい。部分列ｔ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）はそれぞれ、メルセンヌ素数ｐ_ｉを法とする剰余体（素体）上の乱数として扱われる（ステップＳ１８）。素体上の乱数がさらに必要な場合には、ステップＳ１３からＳ１８の処理またはＳ１１〜Ｓ１８の処理を繰り返せばよい。

＜本形態の特徴＞
従来のようにバイナリ乱数ベクトルｒが表す値と素数ｐとの大小判定によって素体上の乱数を生成する場合、バイナリ乱数ベクトルｒの要素数Ｌに対してｐを二進数で表現したときの要素数が小さいと、当該素体上の乱数の生成確率が極度に低下し、乱数の生成速度が低下してしまう。例えば、バイナリ乱数ベクトルｒが一様乱数を表し、ｐを二進数で表現したときの要素数がＬ−１である場合、ｐがメルセンヌ素数であれば当該素体上の乱数の生成確率は５０％となり、ｐがメルセンヌ素数以外の素数であれば生成確率５０％未満となる。この成功確率は並列処理を行い場合により低下する。例えば、成功確率が５０％程度のときに１０００個の素数生成を並列して行おうとすると、失敗確率が９９．９％程度となり、ほとんど成功せずに極度に性能が低下する。

これに対して、本形態では確実に素体上の乱数を生成できるため、高速に素体上の乱数を生成できる。さらに、要素ごとの論理積演算を並列で一括に行って（Ｎ≧２）乱数生成を行っても成功確率は低下しないため、このような並列処理によってさらに高速に素体上の乱数を生成できる。また、多くのコンピュータはビットＡＮＤ演算（要素ごとの論理積演算）を並列に高速に処理でき、本形態の方法を効率的に実装できる。さらに、本形態のビットＡＮＤ演算はＬビットのレジスタで実行でき、従来のように大小比較を行うものに比べて記憶容量を削減できる。

［第２実施形態］
本形態では素体上の一様乱数を生成する。以下では、これまで説明した事項との相違点を中心に説明し、既に説明した事項についてはそれらと同じ参照番号を引用して説明を省略する。

＜構成＞
図１に例示するように、本形態の乱数生成装置２は、バイナリ乱数生成部１１、記憶部１２、入力部１３、マスク生成部１４、乱数取得部１５、論理積演算部１６、判定部２７、および出力部１８を有する。乱数生成装置２は、例えば、上述したコンピュータに所定のプログラムが読み込まれることで構成されてもよいし、少なくとも一部の要素がハードウェアのみによって構成されてもよい。

＜処理＞
ステップＳ１１〜Ｓ１６の処理は第１実施形態と同じである。ただし、第２実施形態では、入力部１３に入力されたメルセンヌ素数ｐ_ｉおよびステップＳ１６で得られたベクトルｔが判定部２７に入力される。判定部２７はベクトルｔが含む何れかの部分列ｔ_ｉとメルセンヌ素数ｐ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）とが一致するかを判定（等号判定）する（ステップＳ２７）。何れかのｉ＝０，・・・，Ｎ−１においてｔ_ｉ＝ｐ_ｉである場合、判定部２７はベクトルｔを破棄し（ｔが不合格）、処理をステップＳ１２に戻す。一方、すべてのｉ＝０，・・・，Ｎ−１においてｔ_ｉ≠ｐ_ｉである場合、ベクトルｔが出力部１８に送られる（ｔが合格）。以降は第１実施形態と同じである。

なお、ステップＳ２７の等号判定はｉごとに独立に行われてもよいが、図２Ｂに例示するように一括処理されてもよい。図２Ｂの例では、判定部２７の一括等号判定部が、すべてのｉ＝０，・・・，Ｎ−１についてｔ_ｉ＝ｐ_ｉであるか否かの等号判定を一括して行い（一括等号判定）、等号判定結果ｘ_ｉの列を得る。ただし、ｔ_ｉ＝ｐ_ｉである場合にはｘ_ｉ＝２^ｋ−１であり、ｔ_ｉ≠ｐ_ｉである場合にはｘ_ｉ＝０である。なお、ｋは正の整数であり、０＜ｋ×Ｎ≦Ｌを満たす（ステップＳ２７１）。次に、判定部２７の集約演算部が等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）の集約ＯＲ演算（和演算）を行い、その演算結果である集約判定結果ｘを得る。ただし、何れかの等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が２^ｋ−１である場合（０でない場合）にはｘ＝２^ｋ’−１であり、すべての等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が０である場合にはｘ＝０である。なお、ｋ^’は正整数であり、０＜ｋ^’≦Ｌを満たす。ｋ＝ｋ^’であってもよいし、ｋ≠ｋ^’であってもよい（ステップＳ２７２）。その後、判定部２７の集約判定部がｘ＝０であるか否かを判定する（ステップＳ２７３）。ここで、ｘ＝２^ｋ−１であれば集約判定部はベクトルｔを破棄し（ｔが不合格）（ステップＳ２７４）、処理をステップＳ１２に戻す。一方、ｘ＝０であれば集約判定部はベクトルｔを出力部１８に送る（ｔが合格）（ステップＳ２７５）。

その他、一括等号判定部がｔ_ｉ＝ｐ_ｉである場合にｘ_ｉ＝０とし、ｔ_ｉ≠ｐ_ｉである場合にｘ_ｉ＝２^ｋ−１とし、集約演算部がｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）の集約ＡＮＤ演算（積演算）を行い、その演算結果である集約判定結果ｘを得てもよい。ただし、何れかの等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が０である場合にはｘ＝０であり、すべての等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が２^ｋ−１である場合にはｘ＝２^ｋ’−１である。この場合、ｘ＝０であれば集約判定部はベクトルｔを破棄し（ｔが不合格）、処理をステップＳ１２に戻す。一方、ｘ＝２^ｋ−１であれば集約判定部はベクトルｔを出力部１８に送る（ｔが合格）。

＜本形態の特徴＞
前述したように、バイナリ乱数ベクトルｒが一様乱数を表すのであれば、部分列ｔ_ｉはそれぞれ、メルセンヌ素数ｐ_ｉを法とする剰余体（素体）上の一様乱数となる。ｔ_ｉ＝ｐ_ｉとなる確率は１／２^{ｎ（ｉ）−１}程度であり、Ｌの大きさにかかわらず成功確率は高い。本形態でもほぼ確実に乱数生成に成功するので、部分列ｔ_ｉ（ｉ＝０，・・・，Ｎ−１）の等号判定を並列で一括に行っても成功確率がほとんど低下せず、ステップＳ２７で不合格となる確率は低い。例えば、ｐ＝２^６１−１（すなわち、ｎ（ｉ）＝６１）のとき、１０００並列の一括生成で失敗する確率は１／２^５１と十分低く、やり直しのオーバーヘッドが極小である。そのため、上述のようにステップＳ２７の等号判定を一括処理すれば、より高速に素体上の一様乱数を得ることができる。すなわち、上述の一括等号判定、集約ＯＲ演算（または集約ＡＮＤ演算）の演算コストは低い。例えばＬ＝２５６の場合、多くのコンピュータではこれらの処理を１クロックで処理できる。また、現在の多くのコンピュータには分岐予測機能があり、分岐計算をする前に、実績の多い方の分岐で先に処理を始めてしまうため、やり直しの確率が低いと条件分岐が実質０クロックになる。また、マスクであるベクトルＭ∈｛０，１｝^Ｌに含まれるメルセンヌ素数ｐ_０，・・・，ｐ_Ｎ−１が等号判定基準と一致するため、マスク処理のためにベクトルＭを格納しておいたレジスタを等号判定処理にも利用でき、少ないレジスタでこれらの処理を実現できる。また、等号判定は従来方式で用いられる大小比較に比べて効率がよいという利点もある（ビット数ｎに対し、大小比較は回路規模Ｏ（ｎ）／深さＯ（ｎ）または回路規模Ｏ（ｎｌｏｇ ｎ）／深さＯ（ｌｏｇ ｎ）であるのに対し、等号判定は回路規模Ｏ（ｎ）／深さＯ（ｌｏｇｎ）である）。

［第３実施形態］
本形態でも素体上の一様乱数を生成する。以下ではこれまで説明した事項との相違点を中心に説明し、既に説明した事項についてはそれらと同じ参照番号を引用して説明を省略する。

＜構成＞
図１に例示するように、本形態の乱数生成装置３は、バイナリ乱数生成部１１、記憶部１２、入力部１３、マスク生成部１４、乱数取得部１５、論理積演算部１６、判定部３７、および出力部１８を有する。乱数生成装置３は、例えば、上述したコンピュータに所定のプログラムが読み込まれることで構成されてもよいし、少なくとも一部の要素がハードウェアのみによって構成されてもよい。

＜処理＞
ステップＳ１１〜Ｓ１６の処理は第１実施形態と同じである。ただし、第３実施形態では、ステップＳ１６で得られたベクトルｔが判定部３７に入力される。判定部３７はベクトルｔが含む何れかの部分列ｔ_ｉが零ベクトルであるか（ｔ_ｉ＝０）を判定する（ステップＳ３７）。何れかのｉ＝０，・・・，Ｎ−１においてｔ_ｉ＝０である場合、判定部３７はベクトルｔを破棄し（ｔが不合格）、処理をステップＳ１２に戻す。一方、すべてのｉ＝０，・・・，Ｎ−１においてｔ_ｉ≠０である場合、ベクトルｔが出力部１８に送られる（ｔが合格）。以降は第１実施形態と同じである。

なお、第２実施形態と同様、ステップＳ３７の等号判定はｉごとに独立に行われてもよいが、図２Ｂに例示するように一括処理されてもよい。図２Ｂの例では、判定部３７の一括等号判定部が、すべてのｉ＝０，・・・，Ｎ−１についてｔ_ｉ＝０であるか否かの等号判定を一括して行い（一括等号判定）、等号判定結果ｘ_ｉの列を得る。ただし、ｔ_ｉ＝０である場合にはｘ_ｉ＝２^ｋ−１であり、ｔ_ｉ≠０である場合にはｘ_ｉ＝０である（ステップＳ３７１）。それ以降のステップＳ２７２〜Ｓ２７５は第２実施形態と同じである。

その他、一括等号判定部がｔ_ｉ＝０である場合にｘ_ｉ＝０とし、ｔ_ｉ≠０である場合にｘ_ｉ＝２^ｋ−１とし、集約演算部がｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）の集約ＡＮＤ演算（積演算）を行い、その演算結果である集約判定結果ｘを得てもよい。ただし、何れかの等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が０である場合にはｘ＝０であり、すべての等号判定結果ｘ_ｉ（ただし、ｉ＝０，・・・，Ｎ−１）が２^ｋ−１である場合にはｘ＝２^ｋ’−１である。この場合、ｘ＝０であれば集約判定部はベクトルｔを破棄し（ｔが不合格）、処理をステップＳ１２に戻す。一方、ｘ＝２^ｋ−１であれば集約判定部はベクトルｔを出力部１８に送る（ｔが合格）。

＜本形態の特徴＞
本形態でも第２実施形態と同様に、高速に素体上の一様乱数を生成できる。

［その他の変形例等］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、予めメルセンヌ素数ｐ_ｉが乱数生成装置に設定されていてもよい。この場合には、ステップＳ１３および入力部１３を省略することができる。さらに予めベクトルＭが乱数生成装置に設定されていてもよい。この場合には、さらにステップＳ１４およびマスク生成部１４を省略できる。また、予めバイナリ乱数ベクトルｒを記憶部１２に格納しておいてもよい。また、メルセンヌ素数に代えて合成数のメルセンヌ数が用いられてもよい。例えば、メルセンヌ数ｐ_０，・・・，ｐ_Ｎ−１のすべてが合成数であってもよいし、メルセンヌ数ｐ_０，・・・，ｐ_Ｎ−１が素数と合成数とを含んでもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

本発明は、例えば、秘密分散、秘密計算、公開鍵暗号、共通鍵暗号、電子署名等の各種の暗号技術に利用できる。

１〜３ 乱数生成装置

Claims (9)

1. ２進数で表現された乱数の各桁の値を要素に含む第１列を得る乱数取得部と、
   前記第１列と、２進数で表現された単数または複数のメルセンヌ数の各桁の値および零値を要素に含む第２列と、の要素単位の論理積演算結果である第３列を得る論理積演算部と、
   を有する乱数生成装置。
2. 請求項１の乱数生成装置であって、
   前記第１列が第１部分列を含み、前記第２列に含まれた第２部分列が何れかの前記メルセンヌ数を表し、前記第３列が前記第１部分列と前記第２部分列との要素単位の論理積演算結果である第３部分列を含み、前記第２部分列と前記第３部分列とが一致する場合に前記乱数取得部および前記論理積演算部の処理を再び実行する、乱数生成装置。
3. 請求項１の乱数生成装置であって、
   前記第１列が第１部分列を含み、前記第２列に含まれた第２部分列が何れかの前記メルセンヌ数を表し、前記第３列が前記第１部分列と前記第２部分列との要素単位の論理積演算結果である第３部分列を含み、前記第３部分列の要素が零からなる場合に前記乱数取得部および前記論理積演算部の処理を再び実行する、乱数生成装置。
4. 請求項１から３の何れかの乱数生成装置であって、
   前記第２列は前記複数のメルセンヌ数の各桁の値を含む、乱数生成装置。
5. 請求項４の乱数生成装置であって、
   前記第１列が複数の第１部分列を含み、前記第２列に含まれた複数の第２部分列のそれぞれが前記複数のメルセンヌ数の各桁の値を表し、前記第３列が複数の第３部分列を含み、前記複数の第３部分列のそれぞれが、前記複数の第１部分列のそれぞれと前記複数の第２部分列のそれぞれとの要素単位の論理積演算結果であり、
   一括等号判定によって前記複数の第２部分列のそれぞれと前記複数の第３部分列のそれぞれとが一致するか否かを表す複数の等号判定結果のそれぞれを得、前記複数の等号判定結果の和演算または積演算によって何れかの前記第２部分列と前記第３部分列とが一致するか否かを表す集約判定結果を得、前記集約判定結果が何れかの前記第２部分列と前記第３部分列とが一致することを表す場合に、前記乱数取得部および前記論理積演算部の処理を再び実行させる判定部を有する、乱数生成装置。
6. 請求項４の乱数生成装置であって、
   前記第１列が複数の第１部分列を含み、前記第２列に含まれた複数の第２部分列のそれぞれが前記複数のメルセンヌ数の各桁の値を表し、前記第３列が複数の第３部分列を含み、前記複数の第３部分列のそれぞれが、前記複数の第１部分列のそれぞれと前記複数の第２部分列のそれぞれとの要素単位の論理積演算結果であり、
   一括等号判定によって前記複数の第３部分列のそれぞれの要素が零からなるか否かを表す複数の等号判定結果のそれぞれを得、前記複数の等号判定結果の和演算または積演算によって何れかの前記第３部分列の要素が零からなるか否かを表す集約判定結果を得、前記集約判定結果が何れかの前記第３部分列の要素が零からなることを表す場合に、前記乱数取得部および前記論理積演算部の処理を再び実行させる判定部を有する、乱数生成装置。
7. 請求項１から６の何れかの乱数生成装置であって、
   前記メルセンヌ数の少なくとも一部がメルセンヌ素数である、乱数生成装置。
8. 乱数取得部が、２進数で表現された乱数の各桁の値を要素に含む第１列を得る乱数取得ステップと、
   論理積演算部が、前記第１列と、２進数で表現された単数または複数のメルセンヌ数の各桁の値および零値を要素に含む第２列と、の要素単位の論理積演算結果である第３列を得る論理積演算ステップと、
   を有する乱数生成方法。
9. 請求項１から７の何れかの乱数生成装置としてコンピュータを機能させるためのプログラム。

Images