JP2023178201A - 暗号化装置、復号装置、ストレージシステム、情報処理装置、暗号化方法、復号方法、解凍装置、及び解凍方法 - Google Patents

Abstract

【課題】格子理論に基づく暗号文を可逆的に圧縮する暗号化装置を提供する。【解決手段】実施形態に係る暗号化装置は、生成部と置換部と暗号化部を具備する。生成部は（ｎ＋１）次元の一次独立な部分乱数ベクトルを生成し、部分乱数ベクトルからＮ次元の乱数ベクトルを生成する。置換部はＮ次元の乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する。暗号化部は平文ブロックの先頭成分に対して（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の公開鍵とＮ次元の乱数ベクトルを用いて暗号化する。暗号化部は平文ブロックの後続成分に対して公開鍵と置換部の出力を用いて暗号化し、先頭サブ成分の暗号文を含み後続サブ成分の暗号文を含まない後続成分圧縮暗号文を生成する。ｎとＮは正整数であり、（ｎ＋１）＜Ｎである。【選択図】図１

Description

本発明の実施形態は、暗号化装置、復号装置、ストレージシステム、情報処理装置、暗号化方法、復号方法、解凍装置、及び解凍方法に関する。

格子理論に基づく暗号化（以下、格子暗号化と称する）において、暗号文を圧縮することが提案されている。一例として、暗号文に使用される除数の変更におる暗号文の圧縮が提案されている。圧縮前の暗号文に使用される除数ｑと圧縮後の暗号文に使用される除数ｑ´の関係をｑ´＜ｑとすると、暗号文の１シンボルをエンコードするのに必要なビット幅を小さくすることができる。この結果、暗号文のサイズが低減でき、暗号文が圧縮される。

しかし、ｑ´＜ｑとすると、ｑ種類の暗号文シンボルのうち、（ｑ－ｑ´）種類については復号が正しく行われない。すなわち、この圧縮は可逆的な圧縮ではない。

米国特許出願公開第２０１９／０３１２７２８号明細書 特表２０２０－５３７４５０号公報 特表２０２０－５３７１９１号公報

"Ｒｉｎｇ－ＬＷＥ Ｃｉｐｈｅｒｔｅｘｔ Ｃｏｍｐｒｅｓｓｉｏｎ ａｎｄ Ｅｒｒｏｒ Ｃｏｒｒｅｃｔｉｏｎ"，ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０１６／１０５８．ｐｄｆ

本発明の一実施形態は、格子理論に基づく暗号文を可逆的に圧縮する暗号化装置を提供することである。

実施形態に係る暗号化装置は、先頭成分と複数の後続成分を含む平文ブロックを暗号化して、前記先頭成分に対応する先頭成分暗号文と前記複数の後続成分に対応する複数の後続成分暗号文とを生成可能である。前記先頭成分暗号文は先頭サブ成分と後続サブ成分を含む。前記複数の後続成分暗号文のそれぞれは先頭サブ成分と後続サブ成分を含む。前記暗号化装置は、（ｎ＋１）次元の一次独立な部分乱数ベクトルを生成し、前記部分乱数ベクトルからＮ次元の乱数ベクトルを生成する生成部と、前記Ｎ次元の乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する置換部と、（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の公開鍵と前記Ｎ次元の乱数ベクトルを用いて前記先頭成分を暗号化し、前記先頭成分暗号文を生成し、前記公開鍵と前記置換部の出力を用いて前記後続成分を暗号化し、前記複数の後続成分暗号文を生成する暗号化部と、を具備する。前記後続成分暗号文は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まない。ｎとＮは正整数であり、（ｎ＋１）＜Ｎである。

第１実施形態に係る暗号化装置の構成例を説明するためのブロック図。 第１実施形態に係る暗号化装置に入力される平文ブロックの一例を説明するための図。 第１実施形態に係る暗号化装置の処理の一例を説明するためのフローチャート。 第１実施形態に係る圧縮暗号文ブロックのレイアウトの一例を説明するための図。 第２実施形態に係る復号装置の構成例を説明するためのブロック図。 第２実施形態に係る復号装置の処理の一例を説明するためのフローチャート。 第３実施形態に係るストレージシステムの一例を説明するためのブロック図。 第４実施形態に係るストレージシステムの一例を説明するためのブロック図。 第５実施形態に係る情報処理システムの一例を説明するためのブロック図。 第６実施形態に係るストレージシステムの一例を説明するためのブロック図。 第７実施形態に係る情報処理システムの一例を説明するためのブロック図。 第８実施形態に係る解凍装置の構成例を説明するためのブロック図。 第８実施形態に係る平文ブロックの一例を説明するための図。 第８実施形態に係る解凍装置の処理の一例を説明するためのフローチャート。 第８実施形態に係る圧縮暗号文ブロックのレイアウトの一例を説明するための図。 第９実施形態に係るストレージシステムの一例を説明するためのブロック図。 第１０実施形態に係るストレージシステムの一例を説明するためのブロック図。 第１１実施形態に係るストレージシステムの一例を説明するためのブロック図。 第１２実施形態に係る情報処理システムの一例を説明するためのブロック図。 第１３実施形態に係るストレージシステムの一例を説明するためのブロック図。 第１４実施形態に係る情報処理システムの一例を説明するためのブロック図。

以下、図面を参照して、実施形態を説明する。以下の説明は、実施形態の技術的思想を具体化するための装置や方法を例示するものであって、実施形態の技術的思想は、以下に説明する構成要素の構造、形状、配置、材質等に限定されるものではない。当業者が容易に想到し得る変形は、当然に開示の範囲に含まれる。説明をより明確にするため、図面において、各要素のサイズ、厚み、平面寸法又は形状等を実際の実施態様に対して変更して模式的に表す場合もある。複数の図面において、互いの寸法の関係や比率が異なる要素が含まれることもある。複数の図面において、対応する要素には同じ参照数字を付して重複する説明を省略する場合もある。いくつかの要素に複数の呼称を付す場合があるが、これら呼称の例はあくまで例示であり、これらの要素に他の呼称を付すことを否定するものではない。また、複数の呼称が付されていない要素についても、他の呼称を付すことを否定するものではない。なお、以下の説明において、「接続」は直接接続のみならず、他の要素を介した接続も含む場合もある。

以下、図面を参照しながら本実施の形態について詳細に説明する。

（第１実施形態）
図１は、第１実施形態に係る暗号化装置１０の構成例を説明するためのブロック図である。暗号化装置１０は、乱数生成部１２、乱数置換部１４、圧縮暗号化部１６、及び制御部１８を含む。乱数生成部１２、乱数置換部１４、圧縮暗号化部１６、及び制御部１８は、ＳｏＣ（Ｓｉｌｉｃｏｎ ｏｎ ａ Ｃｈｉｐ）のような専用の電気回路等のハードウェアによって実現されるものであってもよいし、プロセッサ（図示せず）によって実行されるプログラム（ソフトウェア）によって実現されるものであってもよい。

乱数生成部１２は、Ｎ次元の乱数ベクトルの一部分である（ｎ＋１）次元の一次独立な部分乱数ベクトルを生成する。乱数生成部１２は、さらに、部分乱数ベクトルからＮ次元の乱数ベクトルを生成する。ｎとＮは、正整数である。（ｎ＋１）＜Ｎである。乱数生成部１２は、乱数ベクトルを乱数置換部１４と圧縮暗号化部１６に出力する。

乱数置換部１４は、乱数ベクトルに対して所定の関数σによる演算を所定回数実行し、その演算結果を圧縮暗号化部１６に出力する。

圧縮暗号化部１６は、平文ブロックを外部から入力し、平文ブロックを圧縮暗号化する。

図２は、第１実施形態に係る暗号化装置に入力される平文ブロックの一例を説明するための図である。平文ブロックは時系列のＭ個の成分ｍ_１、ｍ_２、…ｍ_Ｍを含む。Ｍ＞１である。成分ｍ_１、ｍ_２、…ｍ_Ｍの各々は、環Ｒ₂の元である。

圧縮暗号化部１６は、時系列データである平文ブロックの先頭に位置する先頭成分ｍ_１と先頭成分に後続する後続成分ｍ_２、…ｍ_Ｍに対して異なる暗号化を行う。

圧縮暗号化部１６は、平文ブロックの先頭成分ｍ_１に対しては、公開鍵と乱数ベクトルを用いて、暗号化し、（ｎ＋１）個の暗号文を含む先頭成分暗号文を生成する。

圧縮暗号化部１６は、平文ブロックの複数の後続成分ｍ_２、…ｍ_Ｍの各々に対しては、公開鍵と乱数置換部１４の出力を用いて、暗号化し、（Ｎ－１）個の暗号文を含む後続成分暗号文を生成する。

後続成分暗号文は、先頭サブ成分の暗号文のみのリストを含み、後続サブ成分の暗号文を含まない。そのため、後続成分暗号文が含む暗号文に関するサブ成分の数は、平文ブロックが含むサブ成分の数より少ない。以降、後続成分暗号文は後続成分圧縮暗号文と称する。

圧縮暗号化部１６は、先頭成分暗号文と後続成分圧縮暗号文のリストとを含む圧縮暗号文ブロックを外部に出力する。

制御部１８は、乱数生成部１２、乱数置換部１４、及び圧縮暗号化部１６の動作タイミングを制御する。

暗号化装置１０の暗号化処理を説明する。暗号化装置１０は、格子暗号を利用する。格子暗号とは、基底ベクトルの整数線形結合で表現できる全てのベクトルから成る集合である格子を用いて構成される暗号である。公開鍵のＮ個の行ベクトルや乱数ベクトルは格子の一つの元である。種々の格子暗号アルゴリズムが実用化されている。暗号化装置１０は、どのような格子暗号アルゴリズムも利用可能である。格子暗号アルゴリズムの一例として、ＢＧＶ方式を説明する。ＢＧＶ方式の一例は、次の論文に記載されている。

Ｚｖｉｋａ Ｂｒａｋｅｒｓｋｉ，Ｃｒａｉｇ Ｇｅｎｔｒｙ，Ｖｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ，“（Ｌｅｖｅｌｅｄ） Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ Ｂｏｏｔｓｔｒａｐｐｉｎｇ”，ＡＣＭ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｃｏｍｐｕｔａｔｉｏｎ Ｔｈｅｏｒｙ，Ｖｏｌｕｍｅ ６，Ｉｓｓｕｅ ３，Ｊｕｌｙ ２０１４
ＢＧＶ方式において、環Ｒ＝Ｚ［Ｘ］／（Ｘ^ｄ＋１）である。環Ｒ_ｑ＝Ｒ／ｑＲである。ｄは２のべき乗である。Ｚは整数の集合である。Ｚ［Ｘ］は整数係数多項式の集合である。Ａ／Ｂは群Ａの部分群Ｂによる剰余類を表す。環Ｒ_ｑは環Ｒの除数ｑによる剰余類である。例えば、環Ｒを整数係数多項式の集合とし、ｑ＝２とすると、環Ｒ_ｑは係数が０または１の整数多項式の集合と等価である。ｑＲは、環Ｒのそれぞれの元をｑ倍したものの集合である。

一般に、環Ｒ_ｑの元はｄ次元の整数ベクトルで表される。ｄ＝１の場合、環Ｒ_ｑの元はスカラーとして扱うことができる。

秘密鍵は、（ｎ＋１）次元の環Ｒ_ｑのベクトルを含む。ｎ＞２，ｄ＝１の場合、格子暗号はＬＷＥ（Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ）と呼ばれる。ｎ＝１，ｄ＞１の場合、格子暗号はＲｉｎｇ ＬＷＥと呼ばれる。ＬＷＥの場合、Ｒ＝Ｚとなる。

第１実施形態に係る暗号化処理における秘密鍵、公開鍵、乱数ベクトル、先頭成分暗号文、後続成分圧縮暗号文のリスト、及び関数σの構成について述べる。

秘密鍵
秘密鍵《ｓ》は、式１、式２で表される。この明細書では、記号《 》はベクトルを表す。

《ｓ》＝（１，《ｔ》）∈Ｒ_ｑ ^ｎ＋１ 式１
《ｔ》∈Ｒ_ｑ ^ｎ←χ^ｎ 式２
χは環Ｒ_ｑ上の確率分布（ガウス分布や一様分布など）である。

公開鍵
公開鍵Ａ∈Ｒ_ｑ ^{Ｎ（ｎ＋１）}は、秘密鍵《ｓ》に含まれる《ｔ》を用いて、式３乃至式６で表される。

Ａ＝（《ｂ》，Ｂ） 式３
《ｂ》＝Ｂ《ｔ》＋２《ｅ》 式４
《ｅ》←χ^Ｎ 式５
Ｂ∈Ｒ_ｑ ^Ｎｎ←Ｕ^Ｎｎ 式６
Ｕは環Ｒ_ｑ上の一様分布である。

公開鍵Ａは（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の行列である。公開鍵ＡのＮ個の行ベクトルのうち特定の（ｎ＋１）個の行ベクトルを含む正則な部分行列Ａ´は逆行列を持つように構成される。本実施形態においては、Ａ´は公開鍵Ａの先頭（ｎ＋１）個の行ベクトルであるとする。この場合、（ｎ＋１）次元の正則な部分行列の第ｉ行は、公開鍵の第ｉ行と一致する。

乱数ベクトル《ｒ_１》
部分乱数ベクトル《ｒ´_１》∈Ｒ_２ ^ｎ＋１から乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｎを生成する方法の一例を示す。

ｂ＝（ｂ_ｉ，ｊ）_{１≦ｉ≦Ｎ－（ｎ＋１），１≦ｊ≦（ｎ＋１）} 式７
ｂの各成分ｂ_ｉ，ｊ∈Ｒ_２は定数とする。

乱数ベクトル《ｒ_１》のｉ番目の成分ｒ_１，ｉは式８のように計算される。式８において、ｒ´_１，ｉは部分乱数ベクトル《ｒ´_１》のｉ番目の成分である。

乱数ベクトルの第ｉ成分は部分乱数ベクトルの第ｉ成分と一致する。

先頭成分暗号文
先頭成分暗号文《ｃ_１》∈Ｒ_ｑ ^ｎ＋１は、先頭成分ｍ_１、公開鍵Ａ、乱数ベクトル《ｒ_１》から式９のように生成される。

《ｃ_１》＝（ｍ_１，０^ｎ）＋Ａ^Ｔ《ｒ_１》 式９
０^ｎはｎ個のＲの零元の並びを表す。Ａ^ＴはＡの転置行列を表す。

後続成分圧縮暗号文
後続成分圧縮暗号文のリスト（《ｃ_ｉ、1》）_{２≦ｉ≦Ｍ}の第ｉ成分《ｃ_ｉ、1》は、式１０のように生成される。

《ｃ_ｉ、1》＝ｍ_ｉ＋Ａ_１ ^Ｔσ^ｉ－１（《ｒ_１》） 式１０
Ａ_１は公開鍵Ａの先頭行を表す。σ（ｉ－１）は関数σによる演算を（ｉ－１）回実行する操作を表す。σ^ｉ－１（《ｒ_１》）＝《ｒ_ｉ》である。

関数σ
乱数置換部１４が使用する関数σとして種々の関数を利用することが出来る。

Ｍ≦Ｎの場合、関数σとしてビットローテート関数を用いることができる。この場合、σ（ｒ）＝（ｒ≫１）｜（ｒ≪Ｎ－１）（右ローテート）、又はσ（ｒ）＝（ｒ≪１）｜（ｒ≫Ｎ－１）（左ローテート）である。記号≫は右ビットシフト演算子、記号≪は左ビットシフト演算子、記号｜はビットＯＲ演算子を表す。

関数σとして一方向性関数を用いることができる。この場合、σ（ｒ）＝Ｈ（ｒ）である。Ｈはハッシュ関数、又は暗号学的ハッシュ関数である。

Ｍ≦Ｎの場合、関数σとして置換関数を用いることができる。σが置換関数である場合、全てのｙ∈｛０，１｝^Ｎに対し、ｙ＝σ（ｘ）となるｘ∈｛０，１｝^Ｎがただ一つ存在する。

図３は、第１実施形態に係る暗号化装置１０の暗号化処理の一例を説明するためのフローチャートである。

制御部１８は、先ず圧縮暗号化部１６を動作させる。圧縮暗号化部１６は、外部から平文ブロック（ｍ_ｉ）_{１≦ｉ≦Ｍ}∈Ｒ_２ ^Ｍを入力する（Ｓ３０１）。

制御部１８は、次に乱数生成部１２を動作させる。乱数生成部１２は、部分乱数ベクトル《ｒ´_１》∈Ｒ_２ ^ｎ＋１を生成する（Ｓ３０２）。乱数生成部１２は、式８に従い部分乱数ベクトル《ｒ´_１》から乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｍを生成する（Ｓ３０３）。ここで、ｎ＋１＜Ｍである。

制御部１８は、次に、圧縮暗号化部１６を動作させる。圧縮暗号化部１６は、式９に従い平文ブロックの先頭成分ｍ_１に対する先頭成分暗号文《ｃ_１》＝（ｍ_１，０^ｎ）＋Ａ^Ｔ《ｒ_１》を生成する（Ｓ３０５）。

制御部１８は、ループ制御変数ｉを２に設定する（Ｓ３０６）。

制御部１８は、次に、圧縮暗号化部１６を動作させる。圧縮暗号化部１６は、式１０に従い平文ブロックの後続成分ｍ_ｉに対する後続成分圧縮暗号文の第ｉ成分《ｃ_ｉ，１》＝ｍ_ｉ＋Ａ_１ ^Ｔσ^ｉ－１（《ｒ_１》）を生成する（Ｓ３０７）。後続成分圧縮暗号文は、平文ブロックの後続成分ｍ_ｉの先頭サブ成分の暗号文を含み、後続成分ｍ_ｉの先頭以外のサブ成分の暗号文を含まない。

制御部１８は、ループ制御変数ｉをインクリメントする（Ｓ３０８）。

制御部１８は、ｉ＜Ｍであるか判定する（Ｓ３０９）。ｉ＜Ｍである場合（Ｓ３０９：Ｙｅｓ）、制御部１８は、圧縮暗号化部１６を動作させる。圧縮暗号化部１６は、式１０に従い平文ブロックの後続成分ｍ_ｉに対する後続成分圧縮暗号文の第ｉ成分《ｃ_ｉ，１》を生成する（Ｓ３０７）。

ｉ≧Ｍである場合（Ｓ３０９：Ｎｏ）、制御部１８は、圧縮暗号化部１６を動作させる。圧縮暗号化部１６は、Ｓ３０５で生成した先頭成分暗号文《ｃ_１》とＳ３０７で生成した後続成分圧縮暗号文リスト（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}を含む圧縮暗号文ブロックを外部に出力する（Ｓ３１０）。この後、暗号化処理は終了する。

図４は、第１実施形態に係る圧縮暗号文ブロックのレイアウトの一例を説明するための図である。図４の各行は図２に示した平文ブロックの各成分の暗号文に対応する。

第１実施形態に係る暗号化装置によれば、先頭成分ｍ_１に対する先頭成分暗号文《ｃ_１》は、図４の太線の枠で囲まれた１行目の（ｎ＋１）個のサブ成分の暗号文《ｃ_１，１》、《ｃ_１，２》、…《ｃ_{１，ｎ＋１}》を含む。後続成分ｍ_ｉ（２≦ｉ≦Ｍ）に対する後続成分圧縮暗号文リスト（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}は、図４の太線の枠で囲まれた先頭サブ成分の暗号文《ｃ_２，１》、…《ｃ_Ｍ，１》のみを含む。後続成分圧縮暗号文リスト（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}は、先頭サブ成分以外のサブ成分の暗号文《ｃ_２，２》、…《ｃ_{２，ｎ＋１}》；…；《ｃ_Ｍ，２》、…《ｃ_{Ｍ，ｎ＋１}》（図４の破線の枠で囲まれた暗号文）を含まない。これにより、格子暗号の暗号文ブロックの暗号文の数がＭ×（ｎ＋１）からＭ＋ｎに減少され、暗号文ブロックのサイズが小さくなる。

公開鍵Ａは（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の行列であるので、公開鍵ＡのＮ個の行ベクトルのうち特定の（ｎ＋１）個の行ベクトルを含む正則な部分行列Ａ´は逆行列を持つように構成される。そのため、後述の式１２により部分行列Ａ´の逆行列を用いて部分乱数ベクトルを復元し、復元した部分乱数ベクトルから式８を用いて乱数ベクトルを復元することが可能となり、圧縮暗号文ブロックには含まれていない後続成分圧縮暗号文の先頭サブ成分以外のサブ成分に対応する暗号文《ｃ_２，２》、…《ｃ_{２，ｎ＋１}》；…；《ｃ_Ｍ，２》、…《ｃ_{Ｍ，ｎ＋１}》は、復号装置で復元される。

第１実施形態に係る暗号化装置は、ＳＳＤコントローラ、ネットワークインタフェースカード、ＮＶＭｅ^ＴＭコントローラ、クラウドサーバ、及びクライアントＰＣ等に実装され得る。実装例は、第３実施形態乃至第７実施形態で説明する。

（第２実施形態）
図５は、第２実施形態に係る復号装置３０の構成例を説明するためのブロック図である。復号装置３０は、乱数復元部３２、乱数置換部３４、解凍復号部３６、及び制御部３８を含む。乱数復元部３２、乱数置換部３４、解凍復号部３６、及び制御部３８は、電気回路等のハードウェアによって実現されるものであってもよいし、プロセッサ（図示せず）によって実行されるプログラム（ソフトウェア）によって実現されるものであってもよい。

乱数復元部３２は、平文ブロックの先頭成分暗号文と公開鍵からＮ次元の乱数ベクトルを復元する。乱数復元部３２は、乱数ベクトルを乱数置換部３４と解凍復号部３６に出力する。

乱数置換部３４は、乱数ベクトルに対して所定の関数σによる演算を所定回数実行し、その結果を解凍復号部３６に出力する。

解凍復号部３６は、先頭成分暗号文と後続成分圧縮暗号文リストを含む圧縮暗号文ブロックを外部から入力し、先頭成分暗号文と後続成分圧縮暗号文リストに対して異なる復号演算を行う。解凍復号部３６に入力される圧縮暗号文ブロックの一例は、図４に示す暗号文ブロックである。

解凍復号部３６は、先頭成分暗号文に対して公開鍵に対応する秘密鍵を用いる復号演算を行い、先頭成分暗号文から平文ブロックの先頭成分を復号する。

解凍復号部３６は、公開鍵と乱数置換部３４の出力とを用いて後続成分圧縮暗号文リストに含まれる各後続成分圧縮暗号文の先頭サブ成分の暗号文から後続サブ成分の暗号文を復元し、入力した後続成分圧縮暗号文リストと復元した後続サブ成分の暗号文とを含む後続成分圧縮暗号文に対して秘密鍵を用いる復号演算を行い、後続成分圧縮暗号文から平文ブロックの後続成分を復号する。

制御部３８は、乱数復元部３２、乱数置換部３４、及び解凍復号部３６の動作タイミングを制御する。

第２実施形態に係る復号処理における平文ブロックの復号方法、部分乱数ベクトルの復元方法、乱数ベクトルの復元方法、及び後続成分圧縮暗号文の復元方法について述べる。

平文ブロックの復号方法
平文ブロックの第ｉ成分ｍ_ｉは、暗号文ブロックの第ｉ成分《ｃ_ｉ》から秘密鍵《ｓ》により式１１のように復号される。

ｍ_ｉ＝［[＜《ｃ_ｉ》，《ｓ》＞]_ｑ］_２ 式１１
記号＜《ａ》，《ｂ》＞はベクトルａ，ｂの内積を表す。［ｘ］_ａは区間（－ａ／２，ａ／２］での（ｘ ｍｏｄ ａ）の値を表す。

部分乱数ベクトルの復元
部分乱数ベクトル《ｒ´_１》∈Ｒ_２ ^ｎ＋１は、乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｍの（ｎ＋１）個の一次独立な成分に対応する公開鍵Ａの部分行列Ａ´、先頭成分暗号文《ｃ_１》、平文ブロックの先頭成分ｍ_１から式１２により復元される。

《ｒ´_ｉ》＝（Ａ´^Ｔ）^－１（《ｃ_１》－（ｍ_１，０^ｎ）） 式１２
第２実施形態において、Ａ´は公開鍵Ａの先頭（ｎ＋１）個の行ベクトルであるとする。

乱数ベクトルの復元
乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｍは、部分乱数ベクトル《ｒ´_１》∈Ｒ_２ ^ｎ＋１を用いて暗号化時に使用した乱数ベクトル生成方法と同一の方法で復元する。例えば、暗号化時に式８を使用した場合、式８を用いて乱数ベクトル《ｒ_１》を復元する。

後続成分圧縮暗号文の復元
後続成分圧縮暗号文の第i番目の暗号文《ｃ_ｉ》の第ｊ成分《ｃ_ｉ，ｊ》は、式１３のように計算される。

《ｃ_ｉ，ｊ》＝Ａ^Ｔ _ｊσ^ｉ－１（《ｒ_１》） 式１３
ここで、関数σは暗号化時に使用したものと同一のものが使用される。

図６は、第２実施形態に係る復号装置３０の復号処理の一例を説明するためのフローチャートである。復号装置３０は、どのような格子暗号アルゴリズムも利用可能である。第１実施形態と同様にＢＧＶ方式の格子暗号アルゴリズムを用いる復号処理について説明する。

制御部３８は、先ず解凍復号部３６を動作させる。解凍復号部３６は、外部から圧縮暗号文ブロック《ｃ_１》，（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}を入力する（Ｓ６０１）。

解凍復号部３６は、式１１に従って平文ブロックの先頭成分ｍ_ｉ＝［[＜《ｃ_ｉ》，《ｓ》＞]_ｑ］_２を復号する（Ｓ６０２）。

制御部３８は、次に、乱数復元部３２を動作させる。乱数復元部３２は、式１２に従って部分乱数ベクトル《ｒ´_１》＝（Ａ´^Ｔ）^－１（《ｃ_１》－（ｍ_１，０^ｎ））を復元する（Ｓ６０３）。乱数復元部３２３は、式８に従って部分乱数ベクトル《ｒ´_１》から乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｍを復元する（Ｓ６０４）。

制御部３８は、ループ制御変数ｉを２に設定する（Ｓ６０６）。

制御部３８は、ループ制御変数ｊを２に設定する（Ｓ６０７）。

制御部３８は、解凍復号部３６を動作させる。解凍復号部３６は、式１３に従って暗号文《ｃ_ｉ》の第ｊ成分《ｃ_ｉ，ｊ》＝Ａ^Ｔ _ｊσ^ｉ－１（《ｒ_１》）を復元する（Ｓ６０８）。

制御部３８は、ｊ＜ｎ＋１であるか判定する（Ｓ６０９）。ｊ＜ｎ＋１である場合（Ｓ６０９：Ｙｅｓ）、制御部３８は、ループ制御変数ｊをインクリメントする（Ｓ６１０）。その後、制御部３８は、Ｓ６０８以降の処理を実行する。

ｊ≧ｎ＋１である場合（Ｓ６０９：Ｎｏ）、制御部３８は、解凍復号部３６を動作させる。解凍復号部３６は、式１１に従って《ｃ_ｉ》から平文ブロックのｉ番目の成分ｍ_ｉ＝［[＜《ｃ_ｉ》，《ｓ》＞]_ｑ］_２を復号する（Ｓ６１１）。

制御部３８は、ループ制御変数ｉをインクリメントする（Ｓ６１２）。

制御部３８は、ｉ＜Ｍであるか判定する（Ｓ６１３）。ｉ＜Ｍである場合（Ｓ６１３：Ｙｅｓ）、制御部３８は、ループ制御変数ｊを２に設定する（Ｓ６０７）。その後、制御部３８は、Ｓ６０８以降の処理を実行する。

ｉ≧Ｎである場合（Ｓ６１３：Ｎｏ）、制御部３８は、解凍復号部３６を動作させる。解凍復号部３６は、Ｓ６０２で復号した先頭成分ｍ_１とＳ６１１で復号した後続成分（ｍ_ｉ）_{１≦ｉ≦Ｍ}を含む平文ブロック（ｍ_ｉ）_{１≦ｉ≦Ｍ}を外部に出力する（Ｓ６１４）。この後、復号処理は終了する。

第２実施形態に係る復号装置によれば、格子暗号の圧縮暗号文ブロックに含まれていない暗号文が復元され、圧縮暗号文が正しく復号される。

第２実施形態に係る復号装置は、ＳＳＤコントローラ、ネットワークインタフェースカード、ＮＶＭｅコントローラ、クラウドサーバ、及びクライアントＰＣ等に実装され得る。実装例は、第３実施形態乃至第７実施形態で説明する。

（第３実施形態）
図７は、第３実施形態に係るストレージシステムの一例を説明するためのブロック図である。

ストレージシステム１０２は、ホスト１００に接続可能である。ホスト１００は、ストレージシステム１０２にアクセスする情報処理装置である。ホスト１００とストレージシステム１０２は、情報処理システムを構成する。ストレージシステム１０２は、ホスト１００のメインストレージとして使用され得る。ストレージシステム１０２は、ホスト１００に内蔵されてもよいし、ホスト１００の外部に設けられ、ホスト１００にケーブルまたはネットワークを介して接続されてもよい。ホスト１００は、大量且つ多様なデータをストレージシステム１０２に保存するサーバ（ストレージサーバ）であってもよい。ホスト１００は、パーソナルコンピュータであってもよい。ストレージシステム１０２は、データセンター等のサーバに組み込まれるビジネスユース向けのシステムであってもよい。ストレージシステム１０２はパーソナルコンピュータに組み込まれるパーソナルユース向けのシステムであってもよい。ストレージシステム１０２の一例は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。以降、ストレージシステムは、ＳＳＤと称する。

ＳＳＤ１０２は、ＮＡＮＤ型フラッシュメモリ（以降、ＮＡＮＤメモリと称する）１１２と、コントローラ１１０を備える。

ＮＡＮＤメモリ１１２は、不揮発性メモリの一例である。ＮＡＮＤメモリの代わりに、ＮＯＲ型フラッシュメモリ、ＭＲＡＭ（Ｍａｇｎｅｔｏ－ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＰＲＡＭ（Ｐｈａｓｅ ｃｈａｎｇｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＲｅＲＡＭ（Ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）を用いてもよい。

コントローラ１１０は、ホスト１００から送信されるコマンド（要求）に従って、ＮＡＮＤメモリ１１２にデータを書き込むよう、又はＮＡＮＤメモリ１１２からデータを読み出すように構成されている。コントローラ１１０は、ＳｏＣのような電気回路によって構成され得る。

コントローラ１１０は、ＳＳＤ１０２の動作を司る機能を有する。コントローラ１１０は、ホストインタフェース（ホストＩ／Ｆ回路と称する）１２２、ＮＡＮＤインタフェース（ＮＡＮＤ Ｉ／Ｆ回路と称する）１２４、ＣＰＵ１２６、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１２８、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１３０、暗号化装置１３２、及び復号装置１３４等を備える。ホストＩ／Ｆ回路１２２、ＣＰＵ１２６、ＲＯＭ１２８、ＲＡＭ１３０、ＮＡＮＤ Ｉ／Ｆ回路１２４、暗号化装置１３２、及び復号装置１３４は、バスを介して互いに接続されている。

暗号化装置１３２は、第１実施形態に係る暗号化装置１０に対応する。復号装置１３４は、第２実施形態に係る復号装置３０に対応する。暗号化装置１３２の乱数置換部と復号装置１３４の乱数置換部をそれぞれ設けるのではなく、片方を省略し、１つの乱数置換部を暗号化装置１３２と復号装置１３４とで共用してもよい。

ＣＰＵ１２６は、ホストＩ／Ｆ回路１２２、ＮＡＮＤ Ｉ／Ｆ回路１２４、暗号化装置１３２、及び復号装置１３４を制御するように構成されたプロセッサである。ＣＰＵ１２６は、ＳＳＤ１０２の電源オンに応答してＮＡＮＤメモリ１１２またはＲＯＭ１２８から制御プログラム（ファームウェア）をＲＡＭ１３０にロードし、当該制御プログラムを実行することによって様々な処理を行う。ＣＰＵ１２６は、ホスト１００からの様々な要求に対する処理を実行することができる。ＣＰＵ１２６の動作は、ＣＰＵ１２６によって実行される制御プログラムによって制御される。ホスト１００からの要求に対する処理の一部または全部は、コントローラ１１０内の専用ハードウェアによって実行されてもよい。

第３実施形態に係るＳＳＤ１０２は、ホスト１００から送信された平文ブロックを暗号化装置１３２により暗号化し、圧縮暗号文ブロックを生成する。ＳＳＤ１０２は、圧縮暗号文ブロックをＮＡＮＤメモリ１１２に書き込む。ＳＳＤ１０２は、ＮＡＮＤメモリ１１２から読み出した圧縮暗号文ブロックを復号装置１３４により復号して平文ブロックを生成する。ＳＳＤ１０２は、平文ブロックをホスト１００へ送信する。

第３実施形態に係るＳＳＤによれば、格子暗号の暗号文ブロックの暗号化時の圧縮が可能となる。また、第３実施形態に係るＳＳＤによれば、圧縮された格子暗号の暗号文ブロックに含まれていない暗号文が復号時に復元され、暗号文ブロックが正しく復号される。

（第４実施形態）
図８は、第４実施形態に係るＳＳＤ２０２の一例を説明するためのブロック図である。ＳＳＤ２０２は、ＮＶＭｅ仕様のＳＳＤである。

ＳＳＤ２０２は、ホスト２００に接続可能である。ホスト２００は、第３実施形態に係るホスト１００に対応する。

ＳＳＤ１０２は、ＮＡＮＤメモリ２１２と、コントローラ２１０を備える。

ＮＡＮＤメモリ２１２は、第３実施形態に係るＮＡＮＤメモリ１１２に対応する。コントローラ２１０は、ＰＣＩｅ^ＴＭインタフェース回路（ＰＣＩｅ Ｉ／Ｆ回路）２１４と、ＮＶＭｅコントローラ２１６を含む。ＰＣＩｅ Ｉ／Ｆ回路２１４は、第３実施形態に係るホストＩ／Ｆ回路１２２に対応する。

ＮＶＭｅコントローラ２１６は、ＮＡＮＤ Ｉ／Ｆ回路２２０、ＣＰＵ２２２、ＲＯＭ２２４、ＲＡＭ２２６、暗号化装置２３０、及び復号装置２３２等を備える。ＮＡＮＤ Ｉ／Ｆ回路２２０、ＣＰＵ２２２、ＲＯＭ２２４、ＲＡＭ２２６、暗号化装置２３０、及び復号装置２３２は、第３実施形態に係るＮＡＮＤ Ｉ／Ｆ回路１２４、ＣＰＵ１２６、ＲＯＭ１２８、ＲＡＭ１３０、暗号化装置１３２、及び復号装置１３４にそれぞれ対応する。暗号化装置２３０の乱数置換部と復号装置２３２の乱数置換部をそれぞれ設けるのではなく、片方を省略し、１つの乱数置換部を暗号化装置２３０と復号装置２３２とで共用してもよい。

第４実施形態に係るＳＳＤ２０２によれば、ＮＶＭｅ仕様のＳＳＤにおいても、格子暗号の暗号文ブロックが暗号化時に圧縮され、圧縮された格子暗号の暗号文ブロックに含まれていない暗号文が復号時に復元され、暗号文ブロックが正しく復号される。

（第５実施形態）
図９は、第５実施形態に係る情報処理システムの一例を説明するためのブロック図である。情報処理システムは、ホスト３００とＳＳＤ３０２を含む。ＳＳＤ３０２は、ホスト３００に接続可能である。

ホスト３００は、ＳＳＤ３０２の動作を司る機能を有する。ホスト３００は、ＳＳＤインタフェース（ＳＳＤ Ｉ／Ｆ回路と称する）３１０、ＣＰＵ３１４、ＲＯＭ３１６、ＲＡＭ３１８、暗号化装置３２０、及び復号装置３２２等を備える。ＳＳＤ Ｉ／Ｆ回路３１０、ＣＰＵ３１４、ＲＯＭ３１６、ＲＡＭ３１８、暗号化装置３２０、及び復号装置３２２は、バスを介して互いに接続されている。

暗号化装置３２０は、第１実施形態に係る暗号化装置１０に対応し、ホスト３００が生成する平文ブロック又はホスト３００に入力された平文ブロックを暗号化する。復号装置３２２は、第２実施形態に係る復号装置３０に対応し、ＳＳＤ３０２から送信された暗号文ブロックを復号し、平文ブロックを生成する。暗号化装置３２０の乱数置換部と復号装置３２２の乱数置換部をそれぞれ設けるのではなく、片方を省略し、１つの乱数置換部を暗号化装置３２０と復号装置３２２とで共用してもよい。ＳＳＤ Ｉ／Ｆ回路３１０は、ＳＳＤ３０２に暗号文を送信し、ＳＳＤ３０２から暗号文を受信する通信回路である。

ＣＰＵ３１４は、ＳＳＤ Ｉ／Ｆ回路３１０、暗号化装置３２０、及び復号装置３２２を制御するように構成されたプロセッサである。ＣＰＵ３１４は、ホスト３００の電源オンに応答してＲＯＭ３１６から制御プログラム（ファームウェア）をＲＡＭ３１８にロードし、当該制御プログラムを実行することによって様々な処理を行う。

ＳＳＤ３０２は、ＮＡＮＤメモリ３３２と、コントローラ３３０を備える。

ＮＡＮＤメモリ３３２は、第３実施形態に係るＮＡＮＤメモリ１１２に対応する。コントローラ３３０は、ホストＩ／Ｆ回路３３４、ＮＡＮＤ Ｉ／Ｆ回路３３６、ＣＰＵ３４０、ＲＯＭ３４２、及びＲＡＭ３４６等を備える。ホストＩ／Ｆ回路３３４、ＮＡＮＤ Ｉ／Ｆ回路３３６、ＣＰＵ３４０、ＲＯＭ３４２、及びＲＡＭ３４６は、第３実施形態に係るホストＩ／Ｆ回路１２２、ＮＡＮＤ Ｉ／Ｆ回路１２４、ＣＰＵ１２６、ＲＯＭ１２８、及びＲＡＭ１３０にそれぞれ対応する。

第５実施形態に係る情報処理システムによれば、ホスト３００が暗号化装置３２０と復号装置３２２を備えるので、ＳＳＤ３０２が暗号化装置と復号装置を備えなくても、ＳＳＤ３０２は圧縮暗号文ブロックを記憶することができる。ホスト３００が暗号化装置３２０と復号装置３２２の一方を備え、ＳＳＤ３０２のコントローラ３３０が暗号化装置３２０と復号装置３２２の他方を備えてもよい。

（第６実施形態）
図１０は、第６実施形態に係るＳＳＤ４０４の一例を説明するためのブロック図である。

ＳＳＤ４０４は、ネットワーク４００を介してサーバ４０２に接続可能である。

サーバ４０２は、ＳＳＤ４０４の動作を司る機能を有する。サーバ４０２は、第３実施形態のホスト１００又は第４実施形態のホスト２００に対応する。

ＳＳＤ４０４は、コントローラ４１０とＮＡＮＤメモリ４１２を含む。ＮＡＮＤメモリ４１２は、第３実施形態に係るＮＡＮＤメモリ１１２に対応する。コントローラ４１０は、第３実施形態のコントローラ１１０に対応する。しかし、コントローラ４１０は、ホスト Ｉ／Ｆ回路１２２の代わりに、ネットワークインタフェースカード（ＮＩＣ）４２２を備える点がコントローラ１１０と異なる。ＮＩＣ４２２は、暗号化装置４３０及び復号装置４３２等を備える。暗号化装置４３０は第１実施形態の暗号化装置１０に対応する。復号装置４３２は第２実施形態の復号装置３０に対応する。暗号化装置４３０の乱数置換部と復号装置４３２の乱数置換部をそれぞれ設けるのではなく、片方を省略し、１つの乱数置換部を暗号化装置４３０と復号装置４３２とで共用してもよい。

コントローラ４１０は、ＮＩＣ４２２、ＣＰＵ４４２、ＲＯＭ４４４、ＲＡＭ４４６、ＮＡＮＤ Ｉ／Ｆ回路２４２を備える。ＣＰＵ４４２、ＲＯＭ４４４、ＲＡＭ４４６、及びＮＡＮＤ Ｉ／Ｆ回路２４２は、第３実施形態のＣＰＵ１２６、ＲＯＭ１２８、ＲＡＭ１３０、及びＮＡＮＤ Ｉ／Ｆ回路１２４、又は第４実施形態のＣＰＵ２２２、ＲＯＭ２２４、ＲＡＭ２２６、及びＮＡＮＤ Ｉ／Ｆ回路２２０、又は第５実施形態のＣＰＵ３４０、ＲＯＭ３４２、ＲＡＭ３４４、及びＮＡＮＤ Ｉ／Ｆ回路３３６に対応する。

第６実施形態によれば、ネットワーク４００に直接接続できるＳＳＤ４０４においても、可逆的に圧縮された暗号文ブロックを記憶することができる。

（第７実施形態）
図１１は、第７実施形態に係る情報処理システムの一例を説明するためのブロック図である。情報処理システムは、サーバ５０４とＳＳＤ５０２－１、５０２－２、５０２－３を含む。

ＳＳＤ５０２－１、５０２－２、５０２－３は、ネットワーク５００を介してサーバ５０４に接続可能である。

サーバ５０４は、ＳＳＤ５０２－１、５０２－２、５０２－３の動作を司る機能を有する。サーバ５０４は、第５実施形態のホスト３００に対応する。

第７実施形態は、第６実施形態とは、暗号化装置と復号装置の配置が異なる。第６実施形態では、ＳＳＤ４０４のＮＩＣ４２２が暗号化装置４３０と復号装置４３２を備える。第７実施形態では、サーバ５０４が暗号化装置５１４と復号装置５１６を備える。

サーバ５０４は、ＳＳＤ５０２－１、５０２－２、５０２－３の動作を司る機能を有する。サーバ５０４は、ネットワークＩ／Ｆ回路５１２、暗号化装置５１４、復号装置５１６、ＣＰＵ５２２、ＲＯＭ５２４、ＲＡＭ５２６等を備える。暗号化装置５１４は第１実施形態の暗号化装置１０に対応する。復号装置４５１６は第２実施形態の復号装置３０に対応する。ＣＰＵ５２２、ＲＯＭ５２４、ＲＡＭ５２６は、第５実施形態のＣＰＵ３１４、ＲＯＭ３１６、ＲＡＭ３１８に対応する。

第７実施形態に係る情報処理システムによれば、サーバ５０４が暗号化装置５１４と復号装置５１６を備えるので、ＳＳＤ５０２－１、５０２－２、５０２－３が暗号化装置と復号装置を備えなくても、ＳＳＤ５０２－１、５０２－２、５０２－３は圧縮暗号文ブロックを記憶することができる。サーバ５０４が暗号化装置５１４と復号装置５１６の一方を備え、ＳＳＤ５０２－１、５０２－２、５０２－３が暗号化装置５１４と復号装置５１６の他方を備えてもよい。

（第８実施形態）
図１２は、第８実施形態に係る圧縮暗号文の解凍装置６０２の構成例を説明するためのブロック図である。第１、第３乃至第７実施形態のいずれかに係る暗号化装置により生成される圧縮暗号文が解凍装置６０２に入力される。解凍装置６０２は、準同型乱数復元部６０６、準同型乱数置換部６０８、準同型解凍部６０４、及び制御部６１０を含む。準同型乱数復元部６０６、準同型乱数置換部６０８、準同型解凍部６０４、及び制御部６１０は、ＳｏＣ（Ｓｉｌｉｃｏｎ ｏｎ ａ Ｃｈｉｐ）のような専用の電気回路等のハードウェアによって実現されるものであってもよいし、プロセッサ（図示せず）によって実行されるプログラム（ソフトウェア）によって実現されるものであってもよい。

準同型乱数復元部６０６は、先頭成分暗号文と暗号文ブロックに関する公開鍵とから、公開鍵により暗号化されたＮ次元の乱数ベクトルを準同型復元する。

準同型乱数置換部６０８は、公開鍵により暗号化されたＮ次元の乱数ベクトルに対して所定の関数σによる演算を所定回数実行した結果を準同型解凍部６１０に出力する。

準同型解凍部６１０は、外部から圧縮暗号文ブロックを読み込む。圧縮暗号文ブロックは、先頭成分暗号文と複数の後続成分圧縮暗号文のリストを含む。準同型解凍部６１０は、圧縮暗号文ブロックを解凍し、暗号文ブロックを出力する。準同型解凍部６１０は、先頭成分暗号文はそのまま外部に出力する。準同型解凍部６１０は、公開鍵の転置行列の先頭行と公開鍵により暗号化されたＮ次元の乱数ベクトルに対して所定の関数σによる演算を所定回数実行した結果との積を求める。準同型解凍部６１０は、公開鍵により暗号化された後続成分圧縮暗号文と上記積との差分を求める。準同型解凍部６１０は、複数の後続成分圧縮暗号文の各々に対し、上記差分を当該後続成分圧縮暗号文の先頭サブ成分と後続サブ成分として外部に出力する。準同型解凍部６１０は、先頭成分暗号文と複数の後続成分暗号文を含む暗号文ブロックを出力する。

図１３は、平文ブロックの一例を説明するための図である。平文ブロックが圧縮暗号化されて得られた圧縮暗号文ブロックが第８実施形態に係る解凍装置６０２に入力される。平文ブロックは時系列のＭ個の成分ｍ_１、ｍ_２、…ｍ_Ｍを含む。Ｍ＞１である。成分ｍ_１、ｍ_２、…ｍ_Ｍの各々は、環Ｒ₂の元である。

時系列データである平文ブロックの先頭に位置する先頭成分ｍ_１と先頭成分に後続する後続成分ｍ_２、…ｍ_Ｍに対して異なる暗号化が施される。

平文ブロックの先頭成分ｍ_１に対しては、公開鍵と乱数ベクトルを用いて、暗号化が施され、（ｎ＋１）個の暗号文を含む先頭成分暗号文が生成される。

平文ブロックの複数の後続成分ｍ_２、…ｍ_Ｍの各々に対しては、公開鍵と乱数置換関数σの出力を用いて、暗号化が施され、（Ｎ－１）個の暗号文を含む後続成分圧縮暗号文が生成される。

後続成分圧縮暗号文は、先頭サブ成分の暗号文のみのリストを含み、後続サブ成分の暗号文を含まない。

先頭成分暗号文と後続成分圧縮暗号文のリストとを含む圧縮暗号文ブロックが解凍装置６０２に入力される。

制御部６１０は、準同型乱数復元部６０６、準同型乱数置換部６０８、及び準同型解凍部６０４の動作タイミングを制御する。

解凍装置６０２に入力される圧縮暗号文ブロックの生成方法を説明する。解凍装置６０２は、格子暗号を利用する。格子暗号とは、基底ベクトルの整数線形結合で表現できる全てのベクトルから成る集合である格子を用いて構成される暗号である。公開鍵のＮ個の行ベクトルや乱数ベクトルは格子の一つの元である。種々の格子暗号アルゴリズムが実用化されている。解凍装置６０２は、どのような格子暗号アルゴリズムも利用可能である。格子暗号アルゴリズムの一例として、第１実施形態で説明したＺｖｉｋａ Ｂｒａｋｅｒｓｋｉ等の論文に記載されたＢＧＶ方式がある。

第８実施形態に係る解凍処理における秘密鍵、公開鍵、乱数ベクトル、先頭成分暗号文、後続成分圧縮暗号文のリスト、及び関数σの構成は、第１実施形態に係る暗号化処理における秘密鍵、公開鍵、乱数ベクトル、先頭成分暗号文、後続成分圧縮暗号文のリスト、及び関数σの構成と同じであるので、詳細な説明は省略する。

秘密鍵《ｓ》は、式１、式２で表される。

公開鍵Ａ∈Ｒ_ｑ ^{Ｎ（ｎ＋１）}は、秘密鍵《ｓ》に含まれる《ｔ》を用いて、式３乃至式６で表される。

準同型乱数復元部６０６が部分乱数ベクトル《ｒ´_１》∈Ｒ_２ ^ｎ＋１から乱数ベクトル《ｒ_１》∈Ｒ_２ ^Ｎを生成する方法の一例は、式７と式８で表される。

先頭成分暗号文《ｃ_１》∈Ｒ_ｑ ^ｎ＋１は、先頭成分ｍ_１、公開鍵Ａ、乱数ベクトル《ｒ_１》から式９のように生成される。

後続成分圧縮暗号文のリスト（《ｃ_ｉ、1》）_{２≦ｉ≦Ｍ}の第ｉ成分《ｃ_ｉ、1》は、式１０のように生成される。

準同型乱数置換部６０８が使用する関数σとして第１実施形態で説明した種々の関数を利用することが出来る。

図１４は、第８実施形態に係る解凍装置６０２の解凍処理の一例を説明するためのフローチャートである。

制御部６１０は、まず先頭成分暗号文について準同型解凍部６０４を動作させる。準同型解凍部６０４は、外部から圧縮暗号文ブロック《ｃ_１》（＝Ｅｎｃ（ｐｋ，ｍ_１））および（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}を入力する（Ｓ１４０１）。

制御部６１０は、準同型乱数復元部６０６を動作させる。準同型乱数復元部６０６は、公開鍵ｐｋ（＝Ａ）で暗号化された部分乱数ベクトルＥｎｃ（ｐｋ，ｒ´_１，ｊ）＝（Ａ´^Ｔ）^－1{Ｅｎｃ（ｐｋ，ｃ_１，ｊ）－(Ｅｎｃ（ｐｋ，ｍ_１）,Ｅｎｃ（ｐｋ，０）^ｎ)}を準同型復元する（Ｓ１４０２）。ここで、１≦ｊ≦ｎ＋１である。

準同型乱数復元部６０６は、公開鍵ｐｋで暗号化された部分乱数ベクトル（Ｅｎｃ（ｐｋ，ｒ´_１，ｊ））_{１≦ｊ≦ｎ＋１}から公開鍵ｐｋで暗号化された乱数ベクトルＥｎｃ（ｐｋ，《ｒ_１》）＝（Ｅｎｃ（ｐｋ，ｒ_１，ｊ））_{１≦ｊ≦ｎ＋１}を準同型復元する（Ｓ１４０３）。準同型乱数復元部６０６が暗号化された部分乱数ベクトルを復元処理すると、暗号化された乱数ベクトルが得られる。
ここで、乱数ベクトルは式８により表されているので、暗号化された乱数ベクトルは式１４で表される。

制御部６１０は、ループ制御変数ｉ（行番号）を２に設定する（Ｓ１４０４）。

制御部６１０は、次に後続成分圧縮暗号文について準同型解凍部６０４を動作させる。準同型解凍部６０４は、Ｅｎｃ（ｐｋ，《ｃ_ｉ，１》）を計算する（Ｓ１４０５）。Ｅｎｃ（ｐｋ，《ｃ_ｉ，１》）は後の処理で使われる。

準同型解凍部６０４は、Ｅｎｃ（ｐｋ，Ａ_１ ^Ｔσ^ｉ－１（《ｒ_１》））＝Ａ_１ ^Ｔ（Ｅｎｃ（ｐｋ，σ^ｊ－１（《ｒ_１》）））＝Ａ_１ ^Ｔσ^ｊ－１（Ｅｎｃ（ｐｋ，（《ｒ_１》））を計算する（Ｓ１４０６）。

準同型解凍部６０４は、《ｃ_ｉ》＝Ｅｎｃ（ｐｋ，ｍ_ｉ）＝Ｅｎｃ（ｐｋ，《ｃ_ｉ，１》－Ｅｎｃ（ｐｋ，Ａ_１ ^Ｔσ^ｉ－１（《ｒ_１》））を計算する（Ｓ１４０７）。関数σはｉ－１乗されているので、ｉ＝２のときσの１乗となり、圧縮暗号文ブロック《ｃ_ｉ》の計算の際、関数σが１回適用される。

制御部６１０は、ループ制御変数ｉをインクリメントする（Ｓ１４０８）。

制御部６１０は、ｉ＜Ｍであるか判定する（Ｓ１４０９）。ｉ＜Ｍである場合（Ｓ１４０９：Ｙｅｓ）、制御部６１０は、次の後続成分圧縮暗号文について準同型解凍部６０４を動作させる（Ｓ１４０５）。

ｉ≧Ｍである場合（Ｓ１４０９：Ｎｏ）、制御部６１０は、準同型解凍部６０４を動作させる。準同型解凍部６０４は、先頭成分暗号文《ｃ_１》とＳ１４０７で生成した後続成分圧縮暗号文（《ｃ_ｉ》）_{２≦ｉ≦Ｍ}を含む暗号文ブロック（《ｃ_ｉ》）_{1≦ｉ≦Ｍ}を外部に出力する（Ｓ１４１０）。この後、解凍処理は終了する。

図１５は、解凍装置６０２に入力される圧縮暗号文ブロックのレイアウトの一例を説明するための図である。図１５の各行は図１３に示した平文ブロックの各成分の暗号文に対応する。

第８実施形態によれば、解凍装置６０２の入力となる先頭成分ｍ_１に対する先頭成分暗号文《ｃ_１》は、図１５の太線の枠で囲まれた１行目の（ｎ＋１）個のサブ成分の暗号文《ｃ_１，１》、《ｃ_１，２》、…《ｃ_{１，ｎ＋１}》を含む。解凍装置６０２の入力となる後続成分ｍ_ｉ（２≦ｉ≦Ｍ）に対する後続成分圧縮暗号文リスト（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}は、図１５の太線の枠で囲まれた先頭サブ成分の暗号文《ｃ_２，１》、…《ｃ_Ｍ，１》のみを含む。後続成分圧縮暗号文リスト（《ｃ_ｉ，１》）_{２≦ｉ≦Ｍ}は、先頭サブ成分以外のサブ成分の暗号文《ｃ_２，２》、…《ｃ_{２，ｎ＋１}》；…；《ｃ_Ｍ，２》、…《ｃ_{Ｍ，ｎ＋１}》（図１５の破線の枠で囲まれた暗号文）を含まない。これにより、格子暗号の暗号文ブロックの暗号文の数がＭ×（ｎ＋１）からＭ＋ｎに減少され、暗号文ブロックのサイズが小さくなる。

公開鍵Ａは（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の行列であるので、公開鍵ＡのＮ個の行ベクトルのうち特定の（ｎ＋１）個の行ベクトルを含む正則な部分行列Ａ´は逆行列を持つように構成される。そのため、第２実施形態で説明した式１２により部分行列Ａ´の逆行列を用いて部分乱数ベクトルを復元し、復元した部分乱数ベクトルから第１実施形態で説明した式９を用いて公開鍵Ａで暗号化された乱数ベクトルを復元することが可能となる。圧縮暗号文ブロックには含まれていない後続成分圧縮暗号文の先頭サブ成分以外のサブ成分に対応する暗号文《ｃ_２，２》、…《ｃ_{２，ｎ＋１}》；…；《ｃ_Ｍ，２》、…《ｃ_{Ｍ，ｎ＋１}》は、解凍装置６０２で復元される。復元された暗号文ブロックに対しては、準同型加算や準同型乗算などの準同型演算を施すことが可能となる。

第８実施形態に係る解凍装置６０２は、ＳＳＤコントローラ、ネットワークインタフェースカード、ＮＶＭｅコントローラ、クラウドサーバ、及びクライアントＰＣ等に実装され得る。第８実施形態は、第３実施形態乃至第７実施形態と同様に実装される。

（第９実施形態）
図１６は、第９実施形態に係るＳＳＤ７０２の一例を説明するためのブロック図である。

ＳＳＤ７０２は、ホスト７００に接続可能である。ホスト７００は、ＳＳＤ７０２にアクセスする情報処理装置である。ホスト７００とＳＳＤ７０２は、情報処理システムを構成する。ＳＳＤ７０２は、ホスト７００のメインストレージとして使用され得る。ＳＳＤ７０２は、ホスト７００に内蔵されてもよいし、ホスト７００の外部に設けられ、ホスト７００にケーブルまたはネットワークを介して接続されてもよい。ホスト７００は、大量且つ多様なデータをＳＳＤ７０２に保存するサーバ（ストレージサーバ）であってもよい。ホスト７００は、パーソナルコンピュータであってもよい。ＳＳＤ７０２は、データセンター等のサーバに組み込まれるビジネスユース向けのシステムであってもよい。ＳＳＤ７０２はパーソナルコンピュータに組み込まれるパーソナルユース向けのシステムであってもよい。ＳＳＤ７０２の一例は、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）である。

ＳＳＤ７０２は、ＮＡＮＤメモリ７１２と、コントローラ７１０を備える。

ＮＡＮＤメモリ７１２は、不揮発性メモリの一例である。

コントローラ７１０は、ホスト７００から送信されるコマンド（要求）に従って、ＮＡＮＤメモリ７１２にデータを書き込むよう、又はＮＡＮＤメモリ７１２からデータを読み出すように構成されている。コントローラ７１０は、ＳｏＣのような電気回路によって構成され得る。

コントローラ７１０は、ＳＳＤ７０２の動作を司る機能を有する。コントローラ７１０は、ホストＩ／Ｆ回路７２２、ＮＡＮＤ Ｉ／Ｆ回路７２４、ＣＰＵ７２６、ＲＯＭ７２８、ＲＡＭ７３０、及び解凍装置７３２等を備える。ホストＩ／Ｆ回路７２２、ＣＰＵ７２６、ＲＯＭ７２８、ＲＡＭ７３０、ＮＡＮＤ Ｉ／Ｆ回路７２４、及び解凍装置７３２は、バスを介して互いに接続されている。

解凍装置７３２は、第８実施形態に係る解凍装置６０２に対応する。

ＣＰＵ７２６は、ホストＩ／Ｆ回路７２２、ＮＡＮＤ Ｉ／Ｆ回路７２４、及び解凍装置７３２を制御するように構成されたプロセッサである。ＣＰＵ７２６は、ＳＳＤ７０２の電源オンに応答してＮＡＮＤメモリ７１２またはＲＯＭ７２８から制御プログラム（ファームウェア）をＲＡＭ７３０にロードし、当該制御プログラムを実行することによって様々な処理を行う。ＣＰＵ７２６は、ホスト７００からの様々な要求に対する処理を実行することができる。ＣＰＵ７２６の動作は、ＣＰＵ７２６によって実行される制御プログラムによって制御される。ホスト７００からの要求に対する処理の一部または全部は、コントローラ７１０内の専用ハードウェアによって実行されてもよい。

第９実施形態に係るＳＳＤ７０２は、ホスト７００から送信された圧縮暗号文ブロックを解凍装置７３２により解凍し、暗号文ブロックを生成する。ＳＳＤ７０２は、暗号文ブロックをＮＡＮＤメモリ７１２に書き込む。

第９実施形態に係るＳＳＤ７０２によれば、格子暗号の圧縮暗号文ブロックの解凍が可能となる。ＳＳＤ７０２以外の装置、例えばホスト７００が暗号文の復号処理を行う。

（第１０実施形態）
図１７は、第１０実施形態に係るＳＳＤ７５２の一例を説明するためのブロック図である。

ＳＳＤ７５２は、ホスト７５０に接続可能である。ホスト７５０は、第９実施形態に係るホスト７００に対応する。

ＳＳＤ７５２は、ＮＡＮＤメモリ７６２と、コントローラ７６０を備える。

ＮＡＮＤメモリ７６２は、第９実施形態に係るＮＡＮＤメモリ７１２に対応する。コントローラ７６０は、第９実施形態に係るコントローラ７６０に対応する。

コントローラ７６０は、ホストＩ／Ｆ回路７７２、ＮＡＮＤ Ｉ／Ｆ回路７７４、ＣＰＵ７７６、ＲＯＭ７７８、ＲＡＭ７８０、解凍装置７８２、及び秘密計算装置７８４等を備える。ホストＩ／Ｆ回路７７２、ＮＡＮＤ Ｉ／Ｆ回路７７４、ＣＰＵ７７６、ＲＯＭ７７８、ＲＡＭ７８０、及び解凍装置７８２は、第９実施形態に係るホストＩ／Ｆ回路７２２、ＮＡＮＤ Ｉ／Ｆ回路７２４、ＣＰＵ７２６、ＲＯＭ７２８、ＲＡＭ７３０、及び解凍装置７３２にそれぞれ対応する。

第１０実施形態に係るＳＳＤ７５２は、ホスト７５０から送信された圧縮暗号文ブロックを解凍装置７８２により解凍し、暗号文ブロックを生成する。ＳＳＤ７５２は、暗号文ブロックをＮＡＮＤメモリ７６２またはＲＡＭ７８０に書込む。

秘密計算装置７８４は、ＮＡＮＤメモリ７６２またはＲＡＭ７８０から暗号文ブロックを読出す。秘密計算装置７８４は、暗号文ブロックに対し、暗号化した状態で加算、乗算、関数計算などの演算を適用し、かつ、必要であれば演算結果に対してノイズ低減処理（ブートストラッピング）処理を適用する。秘密計算装置７８４は、演算適用後の暗号文ブロックをＮＡＮＤメモリ７６２またはＲＡＭ７８０に書込む。他の動作は第９実施形態と同じである。 第１０実施形態によれば、格子暗号の圧縮暗号文ブロックの解凍に加え、解凍後の暗号文ブロックに対して秘密計算を施すことが可能となる。ＳＳＤ７５２以外の装置、例えばホスト７５０が暗号文の復号処理を行う。

（第１１実施形態）
図１８は、第１１実施形態に係るＳＳＤ８０２の一例を説明するためのブロック図である。ＳＳＤ８０２は、ＮＶＭｅ仕様のＳＳＤである。

ＳＳＤ８０２は、ホスト８００に接続可能である。ホスト８００は、第１０実施形態に係るホスト７５０に対応する。

ＳＳＤ８０２は、ＮＡＮＤメモリ８１２と、コントローラ８１０を備える。

ＮＡＮＤメモリ８１２は、第１０実施形態に係るＮＡＮＤメモリ７６２に対応する。コントローラ８１０は、ＰＣＩｅインタフェース回路（ＰＣＩｅ Ｉ／Ｆ回路）８２２と、ＮＶＭｅコントローラ８２０を含む。ＰＣＩｅ Ｉ／Ｆ回路８２２は、第１０実施形態に係るホストＩ／Ｆ回路７７２に対応する。

ＮＶＭｅコントローラ８２０は、ＮＡＮＤ Ｉ／Ｆ回路８２４、ＣＰＵ８２６、ＲＯＭ８２８、ＲＡＭ８３０、解凍装置８３２、及び秘密計算装置８２４等を備える。ＮＡＮＤ Ｉ／Ｆ回路８２４、ＣＰＵ８２６、ＲＯＭ８２８、ＲＡＭ８３０、解凍装置８３２、及び秘密計算装置８３４は、第１０実施形態に係るＮＡＮＤ Ｉ／Ｆ回路７７４、ＣＰＵ７７６、ＲＯＭ７７８、ＲＡＭ７８０、解凍装置７８２、及び秘密計算装置７８４にそれぞれ対応する。

第１１実施形態に係るＳＳＤ８０２によれば、ＮＶＭｅ仕様のＳＳＤにおいても、格子暗号の圧縮暗号文ブロックの解凍に加え、解凍後の暗号文ブロックに対して秘密計算を施すことが可能となる。ＳＳＤ８０２以外の装置、例えばホスト８００が暗号文の復号処理を行う。

（第１２実施形態）
図１９は、第１２実施形態に係る情報処理システムの一例を説明するためのブロック図である。情報処理システムは、ホスト８５０とＳＳＤ８５２を含む。ＳＳＤ８５２は、ホスト８５０に接続可能である。

ホスト８５０は、ＳＳＤ８５２の動作を司る機能を有する。ホスト８５０は、ＳＳＤインタフェース（ＳＳＤ Ｉ／Ｆ回路と称する）８６２、ＣＰＵ８６４、ＲＯＭ８６６、ＲＡＭ８６８、解凍装置８７０、及び秘密計算装置８７２等を備える。ＳＳＤ Ｉ／Ｆ回路８６２、ＣＰＵ８６４、ＲＯＭ８６６、ＲＡＭ８６８、暗号化装置８７０、及び秘密計算装置８７２は、バスを介して互いに接続されている。

解凍装置８７０は、第８実施形態に係る解凍装置６０２に対応する。解凍装置８７０は、ホスト８５０が生成する圧縮暗号文ブロックを解凍し、暗号文ブロックを生成する。解凍装置８７０は、暗号文ブロックをＲＡＭ８６８に書き込むか、または、ＳＳＤ８５２に送信する。

秘密計算装置８７２は、第１０実施形態に係る秘密計算装置７８４に対応する。秘密計算装置８７２は、ＲＡＭ８６８、またはＳＳＤ８５２から暗号文ブロックを読み出す。秘密計算装置７８４は、暗号文ブロックに対し、暗号化した状態で加算、乗算、関数計算などの演算を適用し、かつ、必要であれば演算結果に対してノイズ低減処理（ブートストラッピング）処理を適用する。秘密計算装置８７２は、演算適用後の暗号文ブロックをＲＡＭ８６８に書込むか、ＳＳＤ８５０に送信する。

ＳＳＤ Ｉ／Ｆ回路８６２は、ＳＳＤ８５２に暗号文／暗号文ブロックを送信し、ＳＳＤ８５２から暗号文／暗号文ブロックを受信する通信回路である。

ＣＰＵ８６４は、ＳＳＤ Ｉ／Ｆ回路８６２、解凍装置８７０、及び秘密計算装置８７２を制御するように構成されたプロセッサである。ＣＰＵ８６４は、ホスト８５０の電源オンに応答してＲＯＭ８６６から制御プログラム（ファームウェア）をＲＡＭ８６８にロードし、当該制御プログラムを実行することによって様々な処理を行う。

ＳＳＤ８５２は、ＮＡＮＤメモリ８８２と、コントローラ８８０を備える。

ＮＡＮＤメモリ８８２は、第１０実施形態に係るＮＡＮＤメモリ７６２に対応する。コントローラ８８０は、ホストＩ／Ｆ回路８９０、ＮＡＮＤ Ｉ／Ｆ回路８９２、ＣＰＵ８９４、ＲＯＭ８９６、及びＲＡＭ８９８等を備える。ホストＩ／Ｆ回路８９０、ＮＡＮＤ Ｉ／Ｆ回路８９２、ＣＰＵ８９４、ＲＯＭ８９６、及びＲＡＭ８９８は、第１０実施形態に係るホストＩ／Ｆ回路７７２、ＮＡＮＤ Ｉ／Ｆ回路７７４、ＣＰＵ７７６、ＲＯＭ７７８、及びＲＡＭ７８０にそれぞれ対応する。

第１２実施形態に係る情報処理システムによれば、ホスト８５０が解凍装置８７０と秘密計算装置８７２を備えるので、ＳＳＤ８５２が解凍装置と秘密計算装置を備えなくても、ＳＳＤ８５２は圧縮暗号文ブロックを記憶することができる。ホスト８５０が解凍装置８７０と秘密計算装置８７２の一方を備え、ＳＳＤ８５２のコントローラ８８０が解凍装置８７０と秘密計算装置８７２の他方を備えてもよい。

（第１３実施形態）
図２０は、第１３実施形態に係るＳＳＤ９０２の一例を説明するためのブロック図である。

ＳＳＤ９０２は、ネットワーク９０４を介してサーバ９００に接続可能である。

サーバ９００は、ＳＳＤ９０２の動作を司る機能を有する。サーバ９００は、第１０実施形態のホスト７５０又は第１１実施形態のホスト８００に対応する。

ＳＳＤ９０２は、コントローラ９１０とＮＡＮＤメモリ９１２を含む。ＮＡＮＤメモリ９１２は、第１０実施形態に係るＮＡＮＤメモリ７６２に対応する。コントローラ９１０は、第１０実施形態のコントローラ７６０に対応する。しかし、コントローラ９１０は、ホスト Ｉ／Ｆ回路７７２の代わりに、ネットワークインタフェースカード（ＮＩＣ）９２０を備える点がコントローラと異なる。ＮＩＣ９２０は、解凍装置９９２と秘密計算装置９９４等を備える。解凍装置９９２は第８実施形態の解凍装置６０２に対応する。秘密計算装置９２４は第１０実施形態の秘密計算装置７８４に対応する。

コントローラ９１０は、ＮＩＣ９２０、ＣＰＵ９３０、ＲＯＭ９３２、ＲＡＭ９３４、ＮＡＮＤ Ｉ／Ｆ回路９３６を備える。ＣＰＵ９３０、ＲＯＭ９３２、ＲＡＭ９３４、及びＮＡＮＤ Ｉ／Ｆ回路９３６は、第１０実施形態のＣＰＵ７７６、ＲＯＭ７７８、ＲＡＭ７８０、及びＮＡＮＤ Ｉ／Ｆ回路７７４、又は第１１実施形態のＣＰＵ８２６、ＲＯＭ８２８、ＲＡＭ８３０、及びＮＡＮＤ Ｉ／Ｆ回路８２４、又は第１２実施形態のＣＰＵ８９４、ＲＯＭ８９６、ＲＡＭ８９８、及びＮＡＮＤ Ｉ／Ｆ回路８９２に対応する。

第１３実施形態によれば、ネットワーク９０４に直接接続できるＳＳＤ９０２においても、格子暗号の圧縮暗号文ブロックの解凍、及び解凍後の暗号文ブロックに対して秘密計算を施すことが可能となる。

（第１４実施形態）
図２１は、第１４実施形態に係る情報処理システムの一例を説明するためのブロック図である。情報処理システムは、サーバ９５０と複数台のＳＳＤ、例えば３台のＳＳＤ９５２－１、９５２－２、９５２－３を含む。

ＳＳＤ９５２－１、９５２－２、９５２－３は、ネットワーク９５４を介してサーバ９５０に接続可能である。

サーバ９５０は、複数台のＳＳＤ９５２－１、９５２－２、９５２－３の動作を司る機能を有する。サーバ９５０は、第１２実施形態のホスト８５０に対応する。

第１４実施形態は、第１３実施形態とは、解凍装置と秘密計算装置の配置が異なる。第１３実施形態では、ＳＳＤ９０２のＮＩＣ９２０が解凍装置９２２と秘密計算装置９２４を備える。第１４実施形態では、サーバ９５０が解凍装置９６０と秘密計算装置９６２を備える。

サーバ９５０は、複数のＳＳＤ９５２－１、９５２－２、９５２－３の動作を司る機能を有する。サーバ９５０は、ネットワークＩ／Ｆ回路９６４、解凍装置９６０、秘密計算装置９６２、ＣＰＵ９６６、ＲＯＭ９６８、ＲＡＭ９７０等を備える。解凍装置９６０は、第８実施形態の解凍装置６０２に対応する。秘密計算装置９６２は第１０実施形態の秘密計算装置７８４に対応する。ＣＰＵ９６６、ＲＯＭ９６８、ＲＡＭ９７０は、第１２実施形態のＣＰＵ８６４、ＲＯＭ８６６、ＲＡＭ８６８に対応する。

第１４実施形態に係る情報処理システムによれば、サーバ９５０が解凍装置９６０と秘密計算装置９６２を備えるので、複数のＳＳＤ９５２－１、９５２－２、９５２－３が解凍装置と秘密計算装置を備えなくても、ＳＳＤ９５２－１、９５２－２、９５２－３は、解凍された暗号文ブロックを記憶することができる。サーバ９５０が解凍装置９６０と秘密計算装置９６２の一方を備え、ＳＳＤ９５２－１、９５２－２、９５２－３が解凍装置９６０と秘密計算装置９６２の他方を備えてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１０…暗号化装置、１２…乱数生成部、１４…乱数置換部、１６…圧縮暗号化部、１８…制御部、３０…復号装置、３２…乱数復元部、３４…乱数置換部、３６…解凍復号部、３８…制御部

Claims (20)

1. 先頭成分と複数の後続成分を含む平文ブロックを暗号化して、前記先頭成分に対応する先頭成分暗号文と前記複数の後続成分に対応する複数の後続成分暗号文とを生成可能な暗号化装置であって、
   前記先頭成分暗号文は先頭サブ成分と後続サブ成分を含み、
   前記複数の後続成分暗号文のそれぞれは先頭サブ成分と後続サブ成分を含み、
   前記暗号化装置は、
   （ｎ＋１）次元の一次独立な部分乱数ベクトルを生成し、前記部分乱数ベクトルからＮ次元の乱数ベクトルを生成する生成部と、
   前記Ｎ次元の乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する置換部と、
   前記先頭成分を、（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の公開鍵と前記Ｎ次元の乱数ベクトルを用いて暗号化し、前記先頭成分暗号文を生成し、前記複数の後続成分の各々を、前記公開鍵と前記置換部の出力を用いて暗号化し、前記複数の後続成分暗号文を生成する暗号化部と、を具備し、
   前記後続成分暗号文の各々は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
   ｎとＮは正整数であり、
   （ｎ＋１）＜Ｎである、暗号化装置。
2. 前記先頭成分暗号文は、先頭サブ成分の暗号文と後続サブ成分の暗号文を含む、請求項１に記載の暗号化装置。
3. 前記暗号化部は、前記先頭成分暗号文と前記複数の後続成分の各々の前記先頭サブ成分の暗号文のリストとを含む暗号文ブロックを出力する、請求項１に記載の暗号化装置。
4. 前記（ｎ＋１）次元の正則な部分行列の第ｉ行は、前記公開鍵の第ｉ行と一致し、
   前記乱数ベクトルの第ｉ成分は前記部分乱数ベクトルの第ｉ成分と一致する、請求項１に記載の暗号化装置。
5. 請求項１に記載の暗号化装置と、
   記憶媒体と、
   前記暗号化装置により生成された先頭成分暗号文と複数の後続成分暗号文を含む暗号文ブロックを前記記憶媒体に書き込むコントローラと、を具備するストレージシステム。
6. 前記コントローラは、前記記憶媒体に書き込まれた前記暗号文ブロックを読み出して、前記読み出した暗号文ブロックを復号する復号装置を備え、
   前記復号装置は前記読み出した暗号文に基づいて、前記複数の後続成分暗号文の各々の後続サブ成分を復元する
   請求項５記載のストレージシステム。
7. 請求項１に記載の暗号化装置と、
   前記暗号化装置により生成された先頭成分暗号文と複数の後続成分暗号文を含む暗号文ブロックをストレージシステムに送信する通信インタフェース回路と、を具備する情報処理装置。
8. 先頭成分と複数の後続成分を含む平文ブロックを暗号化して、前記先頭成分に対応する先頭成分暗号文と前記複数の後続成分に対応する複数の後続成分暗号文とを生成可能な暗号化方法であって、
   前記先頭成分暗号文は先頭サブ成分と後続サブ成分を含み、
   前記複数の後続成分暗号文のそれぞれは先頭サブ成分と後続サブ成分を含み、
   前記暗号化方法は、
   （ｎ＋１）次元の一次独立な部分乱数ベクトルを生成することと、
   前記部分乱数ベクトルからＮ次元の乱数ベクトルを生成することと、
   前記Ｎ次元の乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力することと、
   前記先頭成分を、（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の公開鍵と前記Ｎ次元の乱数ベクトルを用いて暗号化し、前記先頭成分暗号文を生成することと、
   前記複数の後続成分の各々を、前記公開鍵と前記所定の関数による演算を所定回数実行した結果を用いて暗号化し、前記複数の後続成分暗号文を生成することを具備し、
   前記後続成分暗号文は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
   ｎとＮは正整数であり、
   （ｎ＋１）＜Ｎである、暗号化方法。
9. 先頭成分暗号文と複数の後続成分暗号文を含む暗号文ブロックを復号するための復号装置であって、
   前記暗号文ブロックは、乱数ベクトルにより暗号化されており、
   前記先頭成分暗号文は、先頭サブ成分の暗号文と後続サブ成分の暗号文を含み、
   前記複数の後続成分暗号文のそれぞれは、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
   前記復号装置は、
   前記先頭成分暗号文から前記暗号文ブロックに関する秘密鍵により平文ブロックの先頭成分を復号する復号部と、
   前記平文ブロックの先頭成分と前記暗号文ブロックに関する公開鍵から前記乱数ベクトルを復元する復元部と、
   前記乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する置換部と、を具備し、
   前記復号部は、前記公開鍵と前記置換部の出力により前記複数の後続成分暗号文の各々の後続サブ成分の暗号文を復元し、入力した前記先頭サブ成分の暗号文と復元した前記後続サブ成分の暗号文を含む後続成分暗号文から前記秘密鍵により前記平文ブロックの後続成分を復号する、復号装置。
10. 前記暗号文ブロックは、前記先頭成分暗号文と前記後続成分の前記先頭サブ成分の暗号文のリストとを含む、請求項９に記載の復号装置。
11. 前記復元部は、
    前記平文ブロックの先頭成分と、前記暗号文ブロックの先頭成分の暗号文と、前記公開鍵から（ｎ＋１）次元の一次独立な部分乱数ベクトルを生成し、
    前記部分乱数ベクトルからＮ次元の前記乱数ベクトルを復元する、請求項９記載の復号装置。
12. 前記公開鍵は、（ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の鍵である、請求項１１に記載の復号装置。
13. 前記（ｎ＋１）次元の正則な部分行列の第ｉ行は、前記公開鍵の第ｉ行と一致し、
    前記乱数ベクトルの第ｉ成分は前記部分乱数ベクトルの第ｉ成分と一致する、請求項１２に記載の復号装置。
14. 先頭成分暗号文と複数の後続成分暗号文を含む暗号文ブロックを入力する復号方法であって、
    前記暗号文ブロックは、乱数ベクトルにより暗号化されており、
    前記先頭成分暗号文は、先頭サブ成分と後続サブ成分の暗号文を含み、
    前記後続成分暗号文は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
    前記復号方法は、
    前記先頭成分暗号文から前記暗号文ブロックに関する秘密鍵により平文ブロックの先頭成分を復号することと、
    前記平文ブロックの先頭成分と前記暗号文ブロックに関する公開鍵から前記乱数ベクトルを復元することと、
    前記乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力することと、
    前記公開鍵と前記所定の関数による演算を所定回数実行した結果により前記複数の後続成分暗号文の各々の後続サブ成分の暗号文を復元することと、
    入力した前記先頭サブ成分の暗号文と復元した前記後続サブ成分の暗号文を含む後続成分暗号文から前記秘密鍵により前記平文ブロックの後続成分を復号することと、を具備する復号方法。
15. 先頭成分と複数の後続成分を含む平文ブロックを暗号化して、前記先頭成分に対応する先頭成分暗号文と前記複数の後続成分に対応する複数の後続成分暗号文とを生成可能な暗号化装置と、
    前記先頭成分暗号文と前記複数の後続成分暗号文を含む暗号文ブロックを復号するための復号装置と、を具備する情報処理装置であって、
    前記先頭成分暗号文は、先頭サブ成分と後続サブ成分の暗号文を含み、
    前記後続成分暗号文は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
    前記暗号化装置は、
    （ｎ＋１）次元の一次独立な部分乱数ベクトルを生成し、前記部分乱数ベクトルからＮ次元の乱数ベクトルを生成する生成部と、
    前記Ｎ次元の乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する置換部と、
    （ｎ＋１）次元の正則な部分行列を持つＮ行（ｎ＋１）列の公開鍵と前記Ｎ次元の乱数ベクトルを用いて前記先頭成分を暗号化し、先頭成分暗号文を生成し、前記公開鍵と前記置換部の出力を用いて前記後続成分を暗号化し、後続成分暗号文を生成する暗号化部と、を具備し、
    前記後続成分暗号文は、先頭サブ成分の暗号文を含み、後続サブ成分の暗号文を含まず、
    ｎとＮは正整数であり、
    （ｎ＋１）＜Ｎであり、
    前記復号装置は、
    前記先頭成分暗号文から前記暗号文ブロックに関する秘密鍵により平文ブロックの先頭成分を復号する復号部と、
    前記平文ブロックの先頭成分と前記暗号文ブロックに関する公開鍵から前記乱数ベクトルを復元する復元部と、
    前記乱数ベクトルに対して所定の関数による演算を所定回数実行した結果を出力する置換部と、を具備し、
    前記復号部は、前記公開鍵と前記置換部の出力により前記複数の後続成分暗号文の各々の後続サブ成分の暗号文を復元し、入力した前記先頭サブ成分の暗号文と復元した前記後続サブ成分の暗号文を含む後続成分暗号文から前記秘密鍵により前記平文ブロックの後続成分を復号する、情報処理装置。
16. 先頭成分暗号文と複数の後続成分圧縮暗号文を含む圧縮暗号文ブロックを解凍し、暗号文ブロックを出力する解凍装置であって、
    前記先頭成分暗号文は先頭サブ成分と後続サブ成分を含み、
    前記複数の後続成分圧縮暗号文のそれぞれは先頭サブ成分と後続サブ成分を含み、
    前記解凍装置は、
    前記先頭成分暗号文と前記暗号文ブロックに関する公開鍵から前記公開鍵により暗号化された乱数ベクトルを復元する乱数復元部と、
    前記公開鍵により暗号化された前記乱数ベクトルに対して置換関数の値を出力する乱数置換部と、
    前記複数の後続成分圧縮暗号文に対し、前記公開鍵により暗号化された後続成分圧縮暗号文と、前記公開鍵の転置行列の先頭行と前記公開鍵により暗号化された前記乱数ベクトルに対する前記置換関数の値との積との差分を複数の後続成分暗号文の先頭サブ成分と後続サブ成分として求め、前記先頭成分暗号文と前記複数の後続成分暗号文を含む暗号文ブロックを出力する解凍部、と
    を具備する解凍装置。
17. 請求項１６に記載の解凍装置と、
    記憶媒体と、
    前記解凍装置から出力された暗号文ブロックを前記記憶媒体に書き込むコントローラと、
    を具備するストレージシステム。
18. 前記コントローラは、前記解凍装置から出力された暗号文ブロックを暗号化した状態で演算する演算部を具備し、前記演算部の演算結果を前記記憶媒体に書き込む、請求項１７記載のストレージシステム。
19. 請求項１６に記載の解凍装置と、
    前記解凍装置から出力された暗号文ブロックを暗号化した状態で演算する演算部と、
    を具備する情報処理装置。
20. 先頭成分暗号文と複数の後続成分圧縮暗号文を含む圧縮暗号文ブロックを解凍し、暗号文ブロックを出力する解凍方法であって、
    前記先頭成分暗号文は先頭サブ成分と後続サブ成分を含み、
    前記複数の後続成分圧縮暗号文のそれぞれは先頭サブ成分と後続サブ成分を含み、
    前記解凍方法は、
    前記先頭成分暗号文と前記暗号文ブロックに関する公開鍵から前記公開鍵により暗号化された乱数ベクトルを復元することと、
    前記公開鍵により暗号化された前記乱数ベクトルに対して置換関数の値を出力することと、
    前記複数の後続成分圧縮暗号文に対し、前記公開鍵により暗号化された後続成分圧縮暗号文と、前記公開鍵の転置行列の先頭行と前記公開鍵により暗号化された前記乱数ベクトルに対する前記置換関数の値との積との差分を複数の後続成分暗号文の先頭サブ成分と後続サブ成分として求め、前記先頭成分暗号文と前記複数の後続成分暗号文を含む暗号文ブロックを出力すること、と
    を具備する解凍方法。

Images