JP6173904B2 - 共通鍵暗号装置及びプログラム、並びに、共通鍵復号装置及びプログラム - Google Patents

Description

本発明の実施形態は、共通鍵暗号装置及びプログラム、並びに、共通鍵復号装置及びプログラムに関する。

通信内容を秘匿するために暗号化技術が用いられる。暗号化技術には、共通鍵暗号方式（Symmetric Encryption Scheme）及び公開鍵暗号（Asymmetric Encryption Scheme）がある。共通鍵暗号方式は、暗号化処理と復号処理において対称の秘密鍵を使用する。公開鍵暗号は、暗号化処理と復号処理において非対称な鍵（相異なる公開鍵及び秘密鍵）を使用する。

代表的な共通鍵暗号方式には、ＡＥＳ（Advanced Encryption Standard）がある。ＡＥＳは、高速に処理できるラウンド関数を繰り返し処理することで安全性の強度を高めている。但し、ＡＥＳは、後述する準同型性を有しない。

共通鍵暗号化方式Ｅｎｃは、以下を満たすときに準同型暗号（Homomorphic Encryption）と呼ばれる。秘密鍵sk及び２つの平文（plaintext）ｍ₁，ｍ₂に対応する２つの暗号文をｃ₁＝Ｅｎｃ（sk，ｍ₁）とｃ₂＝Ｅｎｃ（sk，ｍ₂）とする。平文ｍ₁，ｍ₂を復元することなく、２つの暗号文ｃ₁，ｃ₂から新たな暗号文ｃ’＝ｃ₁（＊）ｃ₂＝Ｅｎｃ（ｍ₁（＋）ｍ₂）を計算できるとき、暗号化方式Ｅｎｃは準同型暗号と呼ばれる。但し、（＊）と（＋）は演算子を表す。

演算子（＋）が加算を表すとき、暗号化方式Ｅｎｃは、加法的準同型暗号（Additive Homomorphic Encryption）と呼ばれる。演算子（＋）が乗算を表すとき、暗号化方式Ｅｎｃは、乗法的準同型暗号（Multiplicative Homomorphic Encryption）と呼ばれる。加法的及び乗法的の準同型性を実現する２種類の暗号文演算（＊）を有するとき、暗号化方式Ｅｎｃは、（ある程度）完全準同型暗号（（Somewhat） Fully Homomorphic Encryption）と呼ばれる。

Michal Hojsik, Veronika Pulpanova, "A Fully Homomorphic Cryptosystem with Approximate Perfect Secrecy", CT-RSA 2013, pp.375-388, LNCS 7779, Springer-Verlag

しかしながら、以上のような共通鍵暗号方式は、通常は特に問題ないが、本発明者の検討によれば、並列度を上げて、計算の効率を向上できる余地があると考えられる。

本発明が解決しようとする課題は、並列度を上げて、計算の効率を向上し得る共通鍵暗号装置及びプログラム、並びに、共通鍵復号装置及びプログラムを提供することである。

実施形態の共通鍵暗号装置は、記憶部、平文受付部、平文多項式生成部、マスク多項式生成部及び暗号化部を備えている。

前記記憶部は、第１の多項式環の複数の要素で構成される共通鍵を記憶する。

前記平文受付部は、平文情報の入力を受け付ける。

前記平文多項式生成部は、前記入力を受け付けた平文情報に基づく値、あるいは前記平文情報と乱数とに基づく値を前記第１の多項式環の部分空間の多項式の各項に埋め込むことにより、平文多項式を生成する。

前記マスク多項式生成部は、前記第１の多項式環上で定義される第２の可換環に基づいて、前記共通鍵を解に含むマスク多項式を生成する。

前記暗号化部は、前記平文多項式と前記マスク多項式とを加算して、暗号文を生成する。

第１の実施形態に係る共通鍵暗号装置の構成を示す模式図である。 同実施形態における共通鍵復号装置の構成を示す模式図である。 同実施形態における暗号化処理を説明するためのフローチャートである。 同実施形態における復号処理を説明するためのフローチャートである。 第１の実施形態の変形例２に用いられる準同型演算装置の構成を示す模式図である。 同変形例２における準同型演算処理を説明するためのフローチャートである。 第２の実施形態に係る共通鍵暗号装置の構成を示す模式図である。 同実施形態における共通鍵復号装置の構成を示す模式図である。 同実施形態における暗号化処理を説明するためのフローチャートである。 同実施形態における復号処理を説明するためのフローチャートである。

以下、各実施形態について図面を用いて説明する。なお、以下の各装置は、それぞれハードウェア構成、又はハードウェア資源とソフトウェアとの組合せ構成のいずれでも実施可能となっている。組合せ構成のソフトウェアとしては、予めネットワーク又はコンピュータ読み取り可能な記憶媒体からコンピュータにインストールされ、当該コンピュータのプロセッサに実行されることにより、各装置の機能を当該コンピュータに実現させるためのプログラムが用いられる。

＜第１の実施形態の概要＞
第１の実施形態の概要について、記法、暗号化処理及び復号処理の順に説明する。

始めに、本実施形態に用いられる記法を述べる。

Ａを可換環(commutative ring)とする。Ｓ＝Ａ［ｔ₁, …, ｔ_m’］＝｛Σｃ_{i1, i2, …, im’}ｔ₁ ⁱ¹ｔ₂ ⁱ²…ｔ_m’ ^im’｜ｃ_{i1, i2, …, im’}∈Ａ｝を、ｔ₁, …, ｔ_m’を変数とするｍ’変数多項式環(polynomial ring)とする（Ｓを第１の可換環とも呼ぶ）。

Ｒ＝Ｓ［ｘ₁, …, ｘ_m］を、多項式を要素とする可換環とする（Ｒを第２の可換環とも呼ぶ）。例えば、Ｓは、整数環(integer ring)Ｚ＝｛０，±１，±２，…｝の要素を係数とし、ｍ’≧１に対してｔ₁, …, ｔ_m’を変数とする多項式環Ｚ［ｔ₁, …, ｔ_m’］としてもよい。可換環Ｒは、この多項式環Ｓ＝Ｚ［ｔ₁, …, ｔ_m’］を係数とする多項式環（Ｚ［ｔ₁, …, ｔ_m’］）［ｘ₁, …, ｘ_m］としても良い。

これら、可換環Ｒ及び多項式環Ｓは、システムにおける公開パラメータとしても良いし、共通鍵を共有する通信者間での秘密情報としても良い。

秘密鍵skは、多項式環Ｓのｎ個の要素（ｓ₁，ｓ₂, …, ｓ_n）で構成される。例えば、秘密鍵skの各成分ｓ_iは変数ｔ₁, …, ｔ_m’を変数に持つ多項式ｓ_i（ｔ₁, …, ｔ_m’）として、sk＝（ｓ₁（ｔ₁, …, ｔ_m’）, …, ｓ_n（ｔ₁, …, ｔ_m’））としても良い。ここで、ｓ_iは、変数ｔ₁, …, ｔ_m’に関する次数が予め定められた値（次数をｄとする）以下となる多項式とする。あるいは、秘密鍵skの各成分ｓ_iは変数ｔを変数に持つ多項式ｓ_i（ｔ）として、sk＝（ｓ₁（ｔ）, …, ｓ_n（ｔ））としても良い。この場合には、ｓ_iは、変数ｔに関する次数が予め定められた値（次数をｄとする）以下となる多項式とする。

本実施形態において、暗号化対象文書である平文（plaintext）情報msgは、多項式環Ｓの部分空間Ｍの要素にエンコードされる。以下、平文情報を平文と呼ぶ。

部分空間Ｍは、多項式を要素として含む集合である。多項式の各項を基底と呼び、部分空間Ｍは、二つ以上の基底からなる多項式を要素に含む集合であるものとする。

平文msgから部分空間Ｍの要素ｅへのエンコード処理をｅ＝Ｅｃｄ（msg）で表す。ここで、エンコード結果ｅは可換環Ａの要素を係数とし、ｔ_jを変数とする多項式である。

一方、環Ｓの部分空間Ｍの要素ｅから復号文msg’へのデコード処理をmsg’＝Ｄｃｄ（ｅ）で表す。ＥｃｄあるいはＤｃｄは、平文msgあるいはエンコード結果ｅのほかに、秘密鍵skを入力として受け付け、エンコード処理ｅ＝Ｅｃｄ（sk，msg）あるいはデコード処理msg’＝Ｄｃｄ（sk，ｅ）を実行してもよい。ＥｃｄとＤｃｄは、msg＝Ｄｃｄ（Ｅｃｄ（msg））となるように設計する（必要に応じてＥｃｄとＤｃｄの入力に秘密鍵skを追加する）。

例えば、多項式環Ｓ＝Ｚ［ｔ₁, …, ｔ_m’］の場合に、エンコード処理Ｅｃｄは、平文msgをビット表現してｍ’個のビット列msg₁｜｜msg₂｜｜…｜｜msg_m’に分割し（ここで｜｜はビット連結を表す）、平文多項式ｅ＝Σmsg_iｔ_iを出力してもよい。この場合、デコード処理Ｄｃｄ（sk，ｅ）により、ビット列msg₁｜｜msg₂｜｜…｜｜msg_m’＝msgを復元できる。ここで、ｍ’は、前述の次数ｄと後述する次数ｗに対して、ｍ’≦ｄｗ−１をみたす値とする。

あるいは、例えば、多項式環Ｓ＝Ｚ［ｔ］の場合に、エンコード処理Ｅｃｄは、平文msgをビット表現してｍ個のビット列msg₁｜｜msg₂｜｜…｜｜msg_mに分割し、ｔを変数とするｍ−１次の平文多項式ｅ＝Σmsg_iｔ^i-1を出力してもよい。この場合、デコード処理Ｄｃｄ（sk，ｅ）により、ビット列msg₁｜｜msg₂｜｜…｜｜msg_m＝msgを復元できる。ここで、ｍは、前述の次数ｄと後述する次数ｗに対して、ｍ≦ｄｗ−１をみたす値とする。

なお、ここでは、平文msgをビット分割する例を記載したが、これに限らず、平文msgをｌ進展開して（例えばｌ＝２¹⁶＝６５５３６）、ｌ進展開して得られる各桁をビット列msg_iに対応付けても良い。その際、デコードはｌ進展開された値を２進数あるいは１０進数など所定の形式に変換して平文msgを復元する。

また、ここではエンコード結果を平文msgに対して確定的に計算する例を記載したが、これに限らず、ビット列msg_iのうちのいくつかをランダムな整数rnd_iとし、エンコード結果を平文msgに対して確率的に計算しても良い。その際、デコード処理は、ランダムな整数rnd_iを除くビット列msg_iを取り出して、平文msgを復元する。

これら各処理Ｅｃｄ，Ｄｃｄは、システムにおける公開パラメータとしても良いし、共通鍵を共有する通信者間での秘密情報としても良い。

次に、本実施形態における暗号化と復号処理の概要を説明する。

暗号文（ciphertext）の送信者と受信者は、多項式環Ｓのｎ個の要素からなる秘密鍵sk＝（ｓ₁, …, ｓ_n）を共通鍵として共有している。ここで、送信者は、後述する共通鍵暗号装置に対応する。受信者は、後述する共通鍵復号装置に対応する。

暗号文の送信者は、平文msgをエンコードして、平文多項式ｅ＝Ｅｃｄ（msg）を計算する。

送信者は可換環ＲあるいはＲ＝Ｓ［ｘ₁, …, ｘ_n］の部分集合からｗ次以下の多項式ｆ（ｘ₁, …, ｘ_n）をランダムに生成する。ここで、ｆ（ｘ₁, …, ｘ_n）の次数は、ｘ₁, …, ｘ_nを変数としてｆ（ｘ₁, …, ｘ_n）の各項の次数を計算し、その最大値で定義する。

Ｓ＝Ａ［ｔ₁, …, ｔ_m’］である場合には、ｆはｘ₁, …, ｘ_nに加えてｔ₁, …, ｔ_m’を変数とする多項式として表現される。以下では、誤解のない限り、ｆはｘ₁, …, ｘ_nを変数とする多項式として表現する。後述するｃ（ｘ₁, …, ｘ_n），ｇ（ｘ₁, …, ｘ_n）についても同様である。

送信者は、暗号文ｃ（ｘ₁, …, ｘ_n）＝ｅ＋ｆ（ｘ₁, …, ｘ_n）−ｆ（ｓ₁, …, ｓ_n）を計算して、受信者に送信する。

暗号文の受信者は、受信した暗号文ｃ（ｘ₁, …, ｘ_n）に秘密鍵（ｓ₁, …, ｓ_n）を代入して、次式のように平文多項式ｅを計算する。

ｃ（ｓ₁, …, ｓ_n）＝ｅ
しかる後、受信者は、平文多項式ｅに基づいてデコード処理msg’＝Ｄｃｄ（ｅ）を実行し、平文msg＝msg’を復元する。

＜第１の実施形態の具体的な構成＞
以下、第１の実施形態について具体的に説明する。

図１は第１の実施形態に係る共通鍵暗号装置の構成を示す図であり、図２は同実施形態における共通鍵復号装置の構成を示す図である。

ここで、共通鍵暗号装置１００は、パラメータ記憶部１０１、入出力部１０２及び暗号化処理部１０３を備えている。

パラメータ記憶部（記憶部）１０１は、暗号化処理部１０３から読出可能なメモリであり、第１の多項式環Ｓの複数の要素（ｓ₁, …, ｓ_n）で構成される秘密鍵sk（共通鍵）と、安全性のパラメータ（security parameter）とを記憶する。パラメータ記憶部１０１は、可換環Ｒ及び多項式環Ｓの情報を記憶してもよい。また、パラメータ記憶部１０１は、エンコード処理Ｅｃｄの情報を記憶してもよい。

入出力部１０２は、暗号化対象文書の平文msg（平文情報）の入力を受け付け、暗号化処理部１０３で計算した暗号文ｃ（ｘ₁, …, ｘ_n）を出力する。このような入出力部１０２は、平文受付部及び出力部を構成している。

暗号化処理部１０３は、入出力部１０２で入力を受け付けた平文msgとパラメータ記憶部１０１が記憶する情報に基づいて、暗号文ｃ（ｘ₁, …, ｘ_n）を計算する。

例えば、暗号化処理部１０３は、以下の機能(f103-1)〜(f103-3)をもっている。

(f103-1) 入力を受け付けた平文msgを第１の多項式環Ｓの部分空間Ｍの多項式の少なくとも一つの項に埋め込むことにより、平文多項式ｅを生成する平文多項式生成機能。

なお、平文多項式生成機能(f103-1)は、平文msgを複数の部分情報msg_{1, ...,} msg_i, ..., msg_mに加法的に分割し、複数の部分情報msg_{1, ...,} msg_i, ..., msg_mを平文多項式ｅの各項の係数として埋め込む機能(f103-1-1)を有していてもよい。ここで、ｍは、前述の次数ｄとｗに対して、ｍ≦ｄｗ−１をみたす値とする。

(f103-2) 第１の多項式環Ｓ上で定義される第２の可換環Ｒに基づいて、秘密鍵sk（共通鍵）を解に含むマスク多項式ｇ（ｘ₁, …, ｘ_n）を生成するマスク多項式生成機能。

(f103-3) 平文多項式ｅとマスク多項式ｇ（ｘ₁, …, ｘ_n）とを用いて、暗号文ｃ（ｘ₁, …, ｘ_n）を生成する暗号化機能。

また、暗号化処理部１０３は、以下の機能(f103-4)を備えていてもよい。

(f103-4) 平文多項式生成機能(f103-1)、マスク多項式生成機能(f103-2)及び暗号化機能(f103-3)によって２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾から２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）が個別に生成されたとき、当該２つの暗号文を互いに加算又は乗算する準同型演算処理により、新たな暗号文ｃ^(hom)（ｘ₁, …, ｘ_n）を生成する準同型演算機能。

ここで、当該２つの暗号文を互いに加算する場合、秘密鍵skに基づいて新たな暗号文ｃ^(hom)（ｘ₁, …, ｘ_n）を復号した結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに加算した結果と等しい。

また、２つの暗号文を互いに乗算する場合、秘密鍵skに基づいて新たな暗号文ｃ^(hom)（ｘ₁, …, ｘ_n）を復号した結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに乗算した結果と等しい。

このような暗号化処理部１０３は、平文多項式生成部、マスク多項式生成部及び暗号化部を構成している。また、暗号化処理部１０３は、準同型演算部を構成してもよい。

一方、共通鍵復号装置２００は、図２に示すように、パラメータ記憶部２０１、入出力部２０２及び復号処理部２０３を備えている。

パラメータ記憶部（記憶部）２０１は、復号処理部２０３から読出可能なメモリであり、多項式環Ｓの複数の要素（ｓ₁, …, ｓ_n）で構成される秘密鍵sk（共通鍵）と、安全性のパラメータとを記憶する。パラメータ記憶部２０１は、可換環Ｒ及び多項式環Ｓの情報を記憶してもよい。また、パラメータ記憶部２０１は、デコード処理Ｄｃｄの情報を記憶してもよい。

入出力部２０２は、暗号文ｃ（ｘ₁, …, ｘ_n）を入力として受け付け、復号結果msg’を出力する。このような入出力部２０２は、暗号文受付部及び出力部を構成している。

ここで、暗号文ｃ（ｘ₁, …, ｘ_n）は、平文多項式ｅと、マスク多項式ｇ（ｘ₁, …, ｘ_n）と、を用いて生成されている。

平文多項式ｅは、第１の多項式環Ｓの部分空間Ｍの多項式の少なくとも一つの項に平文msgを埋め込むことにより生成されている。なお、平文msgは、複数の部分情報に加法的に分割され、複数の部分情報が平文多項式ｅの各項に係数として埋め込まれていてもよい。この場合、後述する復号機能(f203-2)は、平文多項式復号機能(f203-1)により復号された平文多項式ｅの各項の係数を複数の部分情報として抽出し、当該複数の部分情報の総和を計算することにより平文msgを復号することが可能である。

マスク多項式ｇ（ｘ₁, …, ｘ_n）は、秘密鍵skを解に含む。このマスク多項式ｇ（ｘ₁, …, ｘ_n）は、第１の多項式環Ｓ上で定義される第２の可換環Ｒに基づいて生成されている。

復号処理部２０３は、入出力部３０１で入力を受け付けた暗号文ｃ（ｘ₁, …, ｘ_n）とパラメータ記憶部２０１が記憶する情報に基づいて暗号文ｃ（ｘ₁, …, ｘ_n）を復号して復号結果msg’を得る。

例えば、復号処理部２０３は、以下の機能(f203-1)〜(f203-2)をもっている。

(f203-1) パラメータ記憶部２０１内の秘密鍵skに基づいて、暗号文ｃ（ｘ₁, …, ｘ_n）から平文多項式ｅを復号する平文多項式復号機能。

(f203-2) 復号した平文多項式ｅから平文msgを復号する復号機能。

なお、入力を受け付けた暗号文が、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾から個別に生成された２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）を互いに加算又は乗算する準同型演算処理により生成されている場合について述べる。

当該２つの暗号文を互いに加算する場合、復号機能(f203-2)により復号された結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに加算した結果と等しい。

また、２つの暗号文を互いに乗算する場合、復号機能(f203-2)により復号された結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに乗算した結果と等しい。

このような復号処理部２０３は、平文多項式復号部及び復号部を構成している。

次に、以上のように構成された共通鍵暗号装置及び共通鍵復号装置の動作について図３及び図４のフローチャートを用いて説明する。

共通鍵暗号装置１００では、図３に示すように、入出力部１０２が、平文msgの入力を受け付ける（ＳＴ１）。また、パラメータ記憶部１０１内のパラメータ（例えば、Ｓ，Ｒ，sk等）は、適宜、暗号化処理部１０３に読み出される。

暗号化処理部１０３は、入出力部１０２により入力を受け付けた平文msgを多項式環Ｓの部分空間Ｍの多項式の各項に埋め込むようにエンコード処理を実行し、平文多項式ｅ＝Ｅｃｄ（msg）を計算する（ＳＴ２）。

暗号化処理部１０３は、多項式環Ｓ上で定義される可換環Ｒに基づいて、秘密鍵（ｓ₁, …, ｓ_n）を解に含むマスク多項式ｇ（ｘ₁, …, ｘ_n）を生成する。例えば、暗号化処理部１０３は、マスク多項式ｇ（ｘ₁, …, ｘ_n）を可換環Ｒからランダムに選択する（ＳＴ３〜ＳＴ５）。なお、マスク多項式ｇ（ｘ₁, …, ｘ_n）は、平文多項式ｅに加算されて平文多項式ｅを隠蔽する。

具体的には、暗号化処理部１０３は、例えば、可換環Ｒから多項式ｆ（ｘ₁, …, ｘ_n）をランダムに選択する（ＳＴ３）。多項式ｆ（ｘ₁, …, ｘ_n）は、ランダム多項式ｆ（ｘ₁, …, ｘ_n）と呼んでもよい。

暗号化処理部１０３は、多項式ｆ（ｘ₁, …, ｘ_n）の変数ｘ₁, …, ｘ_nに秘密鍵skを代入した多項式ｆ（ｓ₁, …, ｓ_n）を計算し（ＳＴ４）、マスク多項式ｇ（ｘ₁, …, ｘ_n）＝ｆ（ｘ₁, …, ｘ_n）−ｆ（ｓ₁, …, ｓ_n）を設定する（ＳＴ５）。

ここで、＋は可換環Ｒで定義される加法であり、−は加法逆元の加法である。

また、マスク多項式ｇ（ｘ₁, …, ｘ_n）や多項式ｆ（ｘ₁, …, ｘ_n）は可換環Ｒから選ばれるのではなく、可換環Ｒの部分集合から選ばれても良い。

あるいは、マスク多項式ｇ（ｘ₁, …, ｘ_n）や多項式ｆ（ｘ₁, …, ｘ_n）はランダムに選ばれるのではなく、暗号化を処理する日時や秘密鍵sk、あるいは平文msgなどに依存して選ばれても良い。また、ステップＳＴ３〜ＳＴ５は、ステップＳＴ１が実行される前に、予め実行されても良い。

暗号化処理部１０３は、平文多項式ｅとマスク多項式ｇ（ｘ₁, …, ｘ_n）とを加算する処理により、暗号文ｃ（ｘ₁, …, ｘ_n）＝ｅ＋ｇ（ｘ₁, …, ｘ_n）を生成する（ＳＴ６）。

共通鍵暗号装置１００は、暗号文ｃ（ｘ₁, …, ｘ_n）を入出力部１０１から出力する（ＳＴ７）。

以上が共通鍵暗号装置１００の動作である。続いて、共通鍵復号装置２００の動作を説明する。

共通鍵復号装置２００は、図４に示すように、入出力部２０２が暗号文ｃ（ｘ₁, …, ｘ_n）の入力を受け付ける（ＳＴ１１）。

復号処理部２０３は、パラメータ記憶部２０１内の秘密鍵sk＝（ｓ₁, …, ｓ_n）に基づいて、暗号文ｃ（ｘ₁, …, ｘ_n）から平文多項式ｅを復号する。例えば、復号処理部２０３は、秘密鍵sk＝（ｓ₁, …, ｓ_n）を暗号文ｃ（ｘ₁, …, ｘ_n）に代入し、次式に示すように、平文多項式ｅを計算する（ＳＴ１２）。

ｃ（ｓ₁, …, ｓ_n）＝ｅ＋ｇ（ｓ₁, …, ｓ_n）＝ｅ
復号処理部２０３は、復号した平文多項式ｅから平文msgを復号する。すなわち、復号処理部２０３は、平文多項式ｅをデコードして、復号結果msg’＝Ｄｃｄ（ｅ）を計算する（ＳＴ１３）。

例えば、前述したように、多項式環Ｓ＝Ａ［ｔ₁, …, ｔ_n］，エンコード処理Ｅｃｄ（msg）＝ｅ＝Σmsg_iｔ_i、但し、平文msg＝msg₁｜｜msg₂｜｜…｜｜msg_n、の場合には、ステップＳＴ１２で計算される多項式ｃ（ｓ₁, …, ｓ_n）は、ｔ_iを変数とする平文多項式ｅ＝Σmsg_iｔ_iである。

この場合、平文多項式ｅ＝Σmsg_iｔ_iにおいて、変数ｔ_iの係数を平文のビット列msg’_iに割り当てて復号結果msg’＝msg’₁｜｜msg’₂｜｜…｜｜msg’_nと設定することにより、平文msg＝msg’を復号することができる。

あるいは、多項式環Ｓ＝Ｆ_q［ｔ］，エンコード処理Ｅｃｄ（msg）＝ｅ＝Σmsg_iｔⁱ、但し、平文msg＝msg₁｜｜msg₂｜｜…｜｜msg_m’、の場合には、ステップＳＴ１２で計算される多項式ｃ（ｓ₁, …, ｓ_n）は、ｔを変数とする平文多項式ｅ＝Σmsg_iｔⁱである。

この場合、平文多項式ｅ＝Σmsg_iｔⁱにおいて、ｔⁱの係数を平文のビット列msg’_iに割り当てて復号結果msg’＝msg’₁｜｜msg’₂｜｜…｜｜msg’_nと設定することにより、平文msg＝msg’を復号することができる。

あるいは、多項式環Ｓ＝Ｆ_q［ｔ］，エンコード処理Ｅｃｄ（msg）＝ｅ＝Σmsg_iｔⁱ、但し、平文msg＝Σmsg_iｌ_iの場合には、ステップＳＴ１２で計算される多項式ｃ（ｓ₁, …, ｓ_n）は、ｔを変数とする平文多項式ｅ＝Σmsg_iｔⁱである。

この場合、平文多項式ｅ＝Σmsg_iｔⁱにおいて、ｔⁱの係数をビット列msg’_iに割り当てて復号結果msg’＝Σmsg_iｌ_iと設定することにより、平文msg＝msg’を復号することができる。

最後に、共通鍵復号装置２００は、入出力部２０２から平文msg＝msg’を出力する（ＳＴ１４）。

上述したように本実施形態によれば、平文msgを多項式環Ｓの部分空間Ｍの多項式の各項に埋め込むことにより平文多項式ｅを生成し、平文多項式ｅと、共通鍵（sk）を解に含むマスク多項式ｇ（ｘ₁, …, ｘ_n）とを加算する処理により、暗号文ｃ（ｘ₁, …, ｘ_n）を生成する構成により、並列度を上げて、計算の効率を向上させることができる。なお、多項式同士を加算する処理においては、同類項同士の係数を加算する処理を並列に実行できる。従って、本実施形態は、平文多項式ｅとマスク多項式ｇ（ｘ₁, …, ｘ_n）とを加算する処理において、並列度を上げることができる。また、本実施形態は、平文msgを多項式の各項に埋め込む処理を並列に実行できる点からも、並列度を上げることができる。

また、本実施形態によれば、このように生成された暗号文ｃ（ｘ₁, …, ｘ_n）の入力を受け付けると、共通鍵（sk）に基づいて、当該暗号文ｃ（ｘ₁, …, ｘ_n）から平文多項式ｅを復号し、当該復号した平文多項式ｅから平文msgを復号する構成により、並列度を上げて、計算の効率を向上させることができる。なお、共通鍵（sk）に基づいて暗号文ｃ（ｘ₁, …, ｘ_n）から平文多項式ｅを復号する処理においては、例えば、同類項毎に係数を復元する等のように、多項式の各項毎に平文msgの一部を復元する処理を並列に実行できる。従って、本実施形態は、暗号文ｃ（ｘ₁, …, ｘ_n）から平文多項式ｅを復号する処理において、並列度を上げることができる。また、本実施形態は、平文多項式ｅの各項から平文msgの一部を復号する処理を並列に実行できる点からも、並列度を上げることができる。

また、共通鍵暗号装置１００では、エンコード処理Ｅｃｄにより、平文msgを二つ以上の基底の和で表現される要素を含む可換環に対応付ける。そのため、平文情報をＭの要素の二つ以上の基底に埋め込むことにより、一つの暗号文に多倍長精度の平文を埋め込むことができる。そのため、多倍長演算を行うことなくＣＰＵの処理単位よりも大きいサイズの平文を暗号化することができる。

例えば、完全準同型性を有する共通鍵暗号方式としては、非特許文献１記載の技術が知られている。

しかしながら、非特許文献１記載の技術は、復号においてＦ_p＝｛０，１, …, ｐ−１｝の整数値が計算されるため、１つの暗号文には単一の平文しか埋め込めない。そのため、非特許文献１記載の技術では、ＣＰＵの処理単位よりも大きなサイズの平文を暗号化処理するためには多倍長演算（data processing with multi precision）を行わなければならない。また、非特許文献１記載の技術では、複数の種類の平文を暗号化するためには、複数の暗号文を計算しなければならない。

これに対し、本実施形態によれば、平文情報を多項式の各項に埋め込む構成により、１つの暗号文に多倍長精度の平文、あるいは複数の種類の平文を埋め込むことができる。

＜第１の実施形態の変形例１：拡大体＞
第１の実施形態では、Ｍが多項式環Ｓの部分集合となる共通鍵暗号装置の構成を示した。変形例１では、多項式環Ｓの部分集合Ｍを体Ｌ（field L）の部分集合とする例を説明する。以降では、体Ｌは、体Ｆ_pあるいは体Ｋにαを添加した拡大体を例に説明するが、体Ｆ_pあるいは体Ｋにα₁, …, α_m’を添加した拡大体を用いても良い。前者は第１の実施形態における多項式環Ｓ＝Ａ［ｔ］に相当し、後者は第１の実施形態における多項式環Ｓ＝Ａ［ｔ₁, …, ｔ_m’］に相当する。

変形例１を実現する共通鍵暗号装置の構成は、前述した共通鍵暗号装置１００と同様である。

次に、変形例１を説明するための記法を説明する。

第１の実施形態では、Ｓをｔ_iを変数とする多項式環とした。変形例１ではＳ⊆Ｌを、体Ｆ_p＝｛０，１, …, ｐ−１｝のｍ次拡大体（extension field of F_p of degree m）Ｌ＝｛Σ_0≦i≦m-1ｃ_iαⁱ｜ｃ_i∈Ｆ_p、αはＦ_pを係数とするｍ次既約多項式の根、ｍ≧２｝の部分体（Subfield）とする。あるいは、部分体Ｓは、体Ｆ_pとは異なる任意の体Ｋの拡大体としても良い。

可換環Ｒ＝Ｓ［ｘ₁, …, ｘ_n］は、部分体Ｓの要素を係数とする多項式環とする。

秘密鍵skは、例えば、部分体Ｓの要素の組sk＝（ｓ₁, …, ｓ_n）、但し、ｓ_i＝Σ_0≦j≦m-1ｃ_jαⁱは部分体Ｓの要素、とする。

エンコード処理は、平文msgを部分体Ｓの部分集合Ｍの要素に割り当てる。前述の基底は、部分集合Ｍの要素であるΣｃ_iαⁱの各ｃ_iαⁱに相当する。

例えば、秘密鍵sk＝（ｓ₁, …, ｓ_n）∈Ｓⁿ，可換環Ｒ＝Ｓ［ｘ₁, …, ｘ_n］の場合には、エンコード処理Ｅｃｄは、平文msgをビット表現してｍ個のビット列msg₁｜｜msg₂｜｜…｜｜msg_mに分割し（ここで｜｜はビット連結を表す）、平文多項式ｅ＝Σmsg_iα^i-1を出力してもよい。

このとき、第１の実施形態と同様に、デコード処理Ｄｃｄ（sk，ｅ）により、ｍ個のビット列msg₁, msg₂, …, msg_mを連結し、次式に示すように平文msgを復元できる。

msg₁｜｜msg₂｜｜…｜｜msg_m＝msg
あるいは、平文msgをｌ進展開して（例えばｌ＝２¹⁶＝６５５３６）、各桁をビット列msg_iに対応付けても良い。その際、デコード処理はｌ進展開された値を２進数あるいは１０進数など所定の形式に変換して平文msgを復元する。

さらに、ビット列msg_iのうちのいくつかをランダムな整数rnd_iとし、エンコード処理を平文msgに対して確率的に計算しても良い。

その際、デコード処理は、ランダムな整数rnd_iを除くビット列msg_iを取り出して、平文msgを復元する。

ここで、ビット列msg_iの代わりにランダムな整数rnd_iを用いる箇所を示すインデックスｉ（すなわち、実際の平文msgを埋め込むビット列msg_jのインデックスｊ）は、システムにおける公開パラメータとしても良いし、共通鍵を共有する通信者間での秘密情報としても良い。

変形例１の共通鍵暗号装置及び共通鍵復号装置の処理は、前述した共通鍵暗号装置１００及び共通鍵復号装置２００と同様である。具体的には、各装置の処理は、第１の実施形態のｔⁱ _jをαⁱ _jに置換したものであるため、詳細な説明を省略する。

上述したように本変形例１によれば、多項式環Ｓの部分集合Ｍを体Ｌの部分集合とした場合であっても、第１の実施形態を同様に実施して同様の効果を得ることができる。

＜第１の実施形態の変形例２：準同型演算＞
第１の実施形態及び変形例１では、共通鍵暗号装置の構成を示した。第１の実施形態及び変形例１において、エンコードがＥｃｄ（msg⁽¹⁾）＋Ｅｃｄ（msg⁽²⁾）＝Ｅｃｄ（msg⁽¹⁾＋msg⁽²⁾）あるいはＥｃｄ（msg⁽¹⁾）＊Ｅｃｄ（msg⁽²⁾）＝Ｅｃｄ（msg⁽¹⁾＊msg⁽²⁾）を満たすとき、準同型性を有する共通鍵暗号装置を構成できる。

このような性質を満たすエンコードとして、例えば上述したように、平文msgをビット列msg₁｜｜msg₂｜｜…｜｜msg_mのように分割し、Ｅｃｄ（msg）＝ｅ＝Σmsg_iｘ_n ^i-1やＥｃｄ（msg）＝ｅ＝Σmsg_iα^i-1とする方法がある。

あるいは、平文msgをΣmsg_(l)iｌⁱのようにｌ進展開して、平文多項式ｅ＝Ｅｃｄ（msg）＝Σmsg_(l)iｘ_iとしても良い。

あるいは、上述のビット列msg_iのうちのいくつかをランダムな整数rnd_iとし、エンコード結果を平文msgに対して確率的に計算して、Ｅｃｄ（msg）＝ｅ＝Σ_1≦irnd_iｘ_n ^i-1+msgやＥｃｄ（msg）＝ｅ＝Σ_1≦irnd_iα^i-1+msgとしても良い。

変形例２の共通鍵暗号装置の構成は、前述した共通鍵暗号装置１００の構成と同一であり、エンコードの方法のみが異なる。以降では、変形例２の共通鍵暗号装置による準同型演算処理を説明する。

図５は第１の実施形態の変形例２に用いられる準同型演算装置の構成を示す図である。準同型演算装置３００は、パラメータ記憶部３０１、入出力部３０２及び準同型演算部３０３を備えている。

パラメータ記憶部３０１は、安全性のパラメータを記憶する。パラメータ記憶部３０１は、可換環Ｒ及び多項式環Ｓの情報を記憶してもよい。また、パラメータ記憶部３０１は、エンコード処理Ｅｃｄの情報を記憶してもよい。

入出力部３０２は、共通鍵暗号装置１００から２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）を入力として受け付け、準同型演算結果ｃ^(hom)（ｘ₁, …, ｘ_n）を共通鍵暗号装置１００に出力する。

準同型演算部３０３は、入出力部３０２で受け付けた各暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）とパラメータ記憶部３０１が記憶する情報に基づいて準同型演算結果ｃ^(hom)（ｘ₁, …, ｘ_n）を計算する。

なお、前述した共通鍵暗号装置１００が準同型演算装置３００の機能を更に備えてもよい。

図６を用いて、変形例２の準同型演算処理を説明する。

準同型演算装置３００は、入出力部３０２が、２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）の入力を受け付ける（ＳＴ２１）。なお、第１の暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n）は、第１の平文多項式ｅ⁽¹⁾から生成されたものとする。第２の暗号文ｃ⁽²⁾（ｘ₁, …, ｘ_n）は、第２の平文多項式ｅ⁽²⁾から生成されたものとする。

準同型演算装置３００は、２つの暗号文に対し、加法演算又は乗法演算を示す演算の種類を決定する（ＳＴ２２）。演算の種類は、準同型演算装置３００に対して予め決定されていても良いし、暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）を入力として受け付ける際に、外部から準同型演算装置３００に指定されても良い。

２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）の加法演算を行う場合、準同型演算装置３００は、次式に示すように、当該２つの暗号文を互いに加算する準同型演算処理により、新たな暗号文ｃ^(Add)（ｘ₁, …, ｘ_n）を生成する（ＳＴ２３Ａ）。

ｃ^(Add)（ｘ₁, …, ｘ_n）＝ｃ⁽¹⁾（ｘ₁, …, ｘ_n）＋ｃ⁽²⁾（ｘ₁, …, ｘ_n）
＝ｅ⁽¹⁾＋ｅ⁽²⁾＋ｇ⁽¹⁾（ｘ₁, …, ｘ_n）＋ｇ⁽²⁾（ｘ₁, …, ｘ_n）
２つの暗号文の乗法演算を行う場合、準同型演算装置３００は、次式に示すように、当該２つの暗号文を互いに乗算する準同型演算処理により、新たな暗号文ｃ^(Mul)（ｘ₁, …, ｘ_n）を生成する（ＳＴ２３Ｍ）。

ｃ^(Mul)（ｘ₁, …, ｘ_n）＝ｃ⁽¹⁾（ｘ₁, …, ｘ_n）＊ｃ⁽²⁾（ｘ₁, …, ｘ_n）
＝ｅ⁽¹⁾＊ｅ⁽²⁾＋ｇ⁽¹⁾（ｘ₁, …, ｘ_n）ｇ⁽²⁾（ｘ₁, …, ｘ_n）＋ｇ⁽¹⁾（ｘ₁, …, ｘ_n）ｅ⁽²⁾＋ｇ⁽²⁾（ｘ₁, …, ｘ_n）ｅ⁽¹⁾
準同型演算装置３００は、ステップＳＴ２３Ａ又はＳＴ２３Ｍで得られた準同型演算結果を入出力部３０２から共通鍵暗号装置１００に出力する（ＳＴ２４）。

共通鍵暗号装置１００は、準同型演算を行った後の暗号文が、意図した準同型演算を行った平文に対応することを確認した後、当該暗号文を共通鍵復号装置２００に送信する。なお、この準同型演算の確認は、共通鍵復号装置２００が実行してもよい。

加法演算に関しては、次式に示すように、秘密鍵sk＝（ｓ₁, …, ｓ_n）に基づいて新たな暗号文ｃ^(Add)（ｘ₁, …, ｘ_n）を復号した結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに加算した結果と等しい。

ｃ^(Add)（ｓ₁, …, ｓ_n）＝ｃ⁽¹⁾（ｓ₁, …, ｓ_n）＋ｃ⁽²⁾（ｓ₁, …, ｓ_n）＝ｅ⁽¹⁾＋ｅ⁽²⁾＋ｇ⁽¹⁾（ｓ₁, …, ｓ_n）＋ｇ⁽²⁾（ｓ₁, …, ｓ_n）＝ｅ⁽¹⁾＋ｅ⁽²⁾
すなわち、共通鍵復号装置２００が準同型演算結果ｃ^(Add)（ｘ₁, …, ｘ_n）に秘密鍵skを代入すると、正しく平文多項式の和（ｅ⁽¹⁾＋ｅ⁽²⁾）が復号される。

乗法演算に関しては、次式に示すように、秘密鍵sk＝（ｓ₁, …, ｓ_n）に基づいて新たな暗号文ｃ^(Mul)（ｘ₁, …, ｘ_n）を復号した結果は、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾を互いに乗算した結果と等しい。

ｃ^(Mul)（ｓ₁, …, ｓ_n）＝ｃ⁽¹⁾（ｓ₁, …, ｓ_n）＊ｃ⁽²⁾（ｓ₁, …, ｓ_n）＝ｅ⁽¹⁾＊ｅ⁽²⁾＋ｇ⁽¹⁾（ｓ₁, …, ｓ_n）ｇ⁽²⁾（ｓ₁, …, ｓ_n）＋ｇ⁽¹⁾（ｓ₁, …, ｓ_n）ｅ⁽²⁾＋ｇ⁽²⁾（ｓ₁, …, ｓ_n）ｅ⁽¹⁾＝ｅ⁽¹⁾＊ｅ⁽²⁾
このため、共通鍵復号装置２００が準同型演算結果ｃ^(Mul)（ｘ₁, …, ｘ_n）に秘密鍵skを代入すると、正しく平文多項式の積（ｅ⁽¹⁾＊ｅ⁽²⁾）が復号される。

上述したように本変形例２によれば、２つの平文多項式ｅ⁽¹⁾，ｅ⁽²⁾から個別に２つの暗号文ｃ⁽¹⁾（ｘ₁, …, ｘ_n），ｃ⁽²⁾（ｘ₁, …, ｘ_n）が生成されたとき、当該２つの暗号文を互いに加算又は乗算する準同型演算処理により、新たな暗号文を生成する。

加算の場合、共通鍵に基づいて新たな暗号文を復号した結果が２つの平文多項式を互いに加算した結果と等しいので、加法的準同型演算を実現することができる。

乗算の場合、共通鍵に基づいて新たな暗号文を復号した結果が２つの平文多項式を互いに乗算した結果と等しいので、乗法的準同型演算を実現することができる。

また、本変形例２によれば、加法的及び乗法的準同型演算を実現できるので、第１の実施形態の効果に加え、完全準同型演算を実現することができる。

（第１の実施形態のその他の変形例：エンコード処理Ｅｃｄ）
上述した第１の実施形態及び変形例１，２において、以下の（１）〜（７）に説明するエンコード処理Ｅｃｄを使用することも可能である。

（１）平文msgをｌ進展開した後にビット列に分割したエンコード処理
上述では、平文msgをビット列msg₁｜｜…｜｜msg_mあるいはｌ進展開msg＝Σmsg_iｌ^i-1のように表現し、エンコード処理をＥｃｄ（msg）＝ｅ＝Σmsg_iｔ^i-1またはＥｃｄ（msg）＝ｅ＝Σmsg_iα^i-1とする例を説明した。ただし、ｍは、前述の次数ｄとｗに対して、ｍ≦ｄｗ−１をみたす値とする。

これらエンコード処理Ｅｃｄを用いる共通鍵暗号方式は、加法及び乗法に関する準同型性を満たす。

（２）平文msgを分割しないエンコード処理
平文msgを分割せず、１つの係数ｃ₀に平文msgを設定し（ｃ₀＝msg）、ｍ−１個の他の係数ｃ₁, …, ｃ_m-1に乱数を設定して、エンコード処理をＥｃｄ（msg）＝ｅ＝Σｃ_iｔⁱまたはＥｃｄ（msg）＝ｅ＝Σｃ_iαⁱと設定しても良い。ここで、ｍは、前述の次数ｄとｗに対して、ｍ≦ｄｗ−１をみたす値とする。

このようなエンコード処理Ｅｃｄを用いる場合には、共通鍵暗号方式は加法及び乗法に関する準同型性を満たす。

（３）平文msgを加法的に分割したエンコード処理
エンコード処理Ｅｃｄは、平文msgを複数の部分情報msg_{1, ...,} msg_i, ..., msg_mに加法的に分割し、複数の部分情報msg_{1, ...,} msg_i, ..., msg_mを平文多項式ｅの各項の係数として埋め込むように実行してもよい。ここで、ｍは、前述の次数ｄとｗに対して、ｍ≦ｄｗ−１をみたす値とする。

例えば、平文msgを、msg＝Σmsg_iやmsg＝Σmsg_i ｍｏｄ ｐ（ｐは整数）のように加法的に分割して、エンコード処理をＥｃｄ（msg）＝ｅ＝Σmsg_iｔ^i-1またはＥｃｄ（msg）＝ｅ＝Σmsg_iα^i-1としても良い。ここで、加法的に分割して得られるmsg_iの数は、前述の次数ｄとｗに対して、（ｄｗ−１）個以下とする。

対応するデコード処理Ｄｃｄは、復号された平文多項式ｅの各項の係数を複数の部分情報として抽出し、当該複数の部分情報の総和を計算することにより平文msgを復号するように実行してもよい。

例えば、平文多項式ｅ＝Σmsg’_iｔ^i-1あるいは平文多項式ｅ＝Σmsg’_iα^i-1に対して、復号結果msg’＝Σmsg’_iなどにより平文msg＝msg’を復号する。この（３）の場合、上記（１）とは異なり、全ての部分情報msg’_iが正しいときのみ、部分情報msg’_iの総和を計算することにより、平文msgを復号できる。すなわち、この（３）の場合、上記（１）とは異なり、平文msgの部分情報msg_iを秘密分散した場合と同様の効果を得ることができる。

このようなエンコード処理Ｅｃｄを用いる場合には、共通鍵暗号方式は加法に関する準同型性を満たす。

（４）平文msgを解にしたエンコード処理
また、平文msgを加法的に分割するだけでなく、平文msgが多項式ｅ＝Σｃ_iｔ^i-1あるいは多項式ｅ＝Σｃ_iα^i-1の係数ｃ_iから導出される方程式の解となるように平文msgをエンコード処理Ｅｃｄしても良い。

例えば、ｘとｙを変数とする２元１次連立方程式を考え、ｃ₀ｘ＋ｃ₁ｙ＝ｃ₂，ｃ₃ｘ＋ｃ₄ｙ＝ｃ₅の解がｘ＝msgとなるように係数ｃ₀〜ｃ₅を定めてエンコード処理Ｅｃｄしても良い。

あるいは、ｘを変数とする２次方程式を考え、ｃ₀＋ｃ₁ｘ＋ｃ₂ｘ²＝０の解がｘ＝msgとなるように係数ｃ₀〜ｃ₂を定めてエンコード処理Ｅｃｄしても良い。この場合には、方程式から２つの解が導かれるため、一意復号性を保つために、方程式が平文msgを重解に持つようにしても良い。

あるいは、もう一つの解は平文msgよりも大きな（あるいは小さな）値となるように係数ｃ₀〜ｃ₂を定め、２次方程式を解いた後に小さな（あるいは大きな）値を平文msgとして選択しても良い。

（５）可換環へのエンコード処理
平文msgがエンコードされる空間をＳの部分空間Ｍに限らず、多項式環Ｓ［ｘ₁, …, ｘ_n］の部分空間とすることもできる。このとき、エンコード結果はｘ₁, …, ｘ_nを変数とする多項式ｅ（ｘ₁, …, ｘ_n）となる。

例えば、秘密鍵sk＝（ｓ₁, …, ｓ_n），deg_t ｓ_i＞Σ_i>j≧0 deg_t ｓ_jとし、エンコード処理をＥｃｄ（msg）＝msg_{1,1, …, 1}ｘ₁ｘ₂…ｘ_n＋msg_{0,1, …, 1}ｘ₂…ｘ_n＋…＋msg_{0,0, …, 1}ｘ_n＋msg_{0,0, …, 0}、とすることができる。

但し、deg_t ｓ_iは多項式ｓ_iのｔに関する次数を表す。
平文msgは、msg＝msg_{1,1, …, 1}｜｜msg_{0,1, …, 1}｜｜…｜｜msg_{0,0, …, 0}とする。

復号処理におけるデコード処理Ｄｃｄでは、暗号文ｃ（ｘ₁, …, ｘ_n）に秘密鍵skを代入し、次式のように平文多項式ｅ（ｓ₁, …, ｓ_n）が計算される。

ｃ（ｓ₁, …, ｓ_n）＝ｅ（ｓ₁, …, ｓ_n）
得られた平文多項式ｅ（ｓ₁, …, ｓ_n）のｔに関する最高次の係数からビット列msg_{1,1, …, 1}が復元される。

次に、平文多項式ｅ（ｓ₁, …, ｓ_n）−msg_{1,1, …, 1}ｓ₁ｓ₂…ｓ_nの最高次の係数からビット列msg_{0,1, …, 1}が復元される。

同様にして、各ビット列msg_{0,0, …, 1}，…，msg_{0,0, …, 0}を順番に復元し、各ビット列から平文msg＝msg_{1,1, …, 1}｜｜msg_{0,1, …, 1}｜｜…｜｜msg_{0,0, …, 0}を復元することができる。

（６）複数の種類の平文に対するエンコード処理
エンコード処理Ｅｃｄは単一の平文msgのみでなく、例えば身長と体重など、複数の種類の平文msg⁽¹⁾, …, msg^(m)を部分空間Ｍの要素に変換しても良い。

この場合、エンコード処理Ｅｃｄは、例えば、Ｅｃｄ（msg⁽¹⁾, …, msg^(m)）＝ｅ＝Σmsg⁽ⁱ⁾ｔ^i-1やＥｃｄ（msg⁽¹⁾, …, msg^(m)）＝ｅ＝Σmsg⁽ⁱ⁾α^i-1としても良い。ここで、エンコードされるmsg⁽ⁱ⁾の数は、前述の次数ｄとｗに対して、（ｄｗ−１）個以下とする。

このようなエンコード処理Ｅｃｄを用いる場合には、共通鍵暗号方式はそれぞれの平文msgの種類（例えばmsg⁽¹⁾に身長を割り当ててmsg⁽²⁾に体重を割り当てる場合には、その各々）について加法に関する準同型性を満たす。

また、上述と同様に、平文msg⁽ⁱ⁾のそれぞれを更にビット列msg⁽ⁱ⁾ ₁｜｜…｜｜msg⁽ⁱ⁾ _mなどと分割して、エンコード処理をＥｃｄ（msg⁽¹⁾, …, msg^(m)）＝ｅ＝Σmsg⁽ⁱ⁾ _jｔ^m*i+j-1又はＥｃｄ（msg⁽¹⁾, …, msg^(m)）＝ｅ＝Σmsg⁽ⁱ⁾ _jα^m*i+j-1としても良い。

また、共通鍵暗号方式に乗法に関する準同型性を要求する場合、暗号文の乗算結果を因数分解することにより、例えば、乗算結果がいずれの暗号文に基づくかなどの情報が漏洩する可能性がある。

そのため、乗法の準同型性を損なわない範囲で、暗号文の乗算結果に部分空間Ｍの要素を加算しても良い。

例えば、部分空間Ｍを多項式環Ｓ＝Ａ［ｔ］の部分集合とするとき、係数ｃ₀＝msgと設定し、他の係数ｃ₁, …, ｃ_m-1に乱数を設定するエンコード処理Ｅｃｄ（msg）＝ｅ＝Σｃ_iｔⁱを用いるとする。

この場合、暗号文の乗算結果のうち、乗法の準同型性に影響を与える項は定数項（ｔ⁰）であり、ｔ, …, ｔ^2(m-1)の項は乗法の準同型性には影響を与えない。そこで、係数ｃ₀＝０と設定し、係数ｃ₁, …, ｃ_2(m-1)をランダムに設定したランダム多項式Σｃ_iｔⁱを作成し、当該ランダム多項式Σｃ_iｔⁱを暗号文の乗算結果に加算しても良い。このランダム多項式Σｃ_iｔⁱはマスク多項式と呼んでもよい。

（７）共通鍵の更新を行うためのエンコード処理
エンコード処理Ｅｃｄは、平文msgを多項式環Ｓの部分集合Ｍの要素（多項式）に変換する。上述のmsg_iやrnd_iの代わりに、共通鍵の更新用の情報ks_iとして利用しても良い。送信者と受信者は、予め定められた手順で、ks_iに基づき共通鍵sk_jを更新する。

エンコード処理の方法は、上述の（１）から（７）に限定されるものではなく、それら二つ以上を組み合わせた方法を用いても良い。

上述した第１の実施形態および変形例では、秘密鍵skを解に含むマスク多項式ｇ（ｘ₁, …, ｘ_n）を使用して、ｃ（ｘ₁, …, ｘ_n）＝ｇ（ｘ₁, …, ｘ_n）＋ｅにより暗号化処理を行った。このとき、部分空間Ｍの中で可逆な要素Ｄ（たとえばＤ＝１）を使用して、暗号化処理をｃ（ｘ₁, …, ｘ_n）＝［ｇ（ｘ₁, …, ｘ_n）＋Ｄ］＊ｅとして計算してもよい。ここで、「＊」はＲ内の乗算をあらわす。この場合、暗号文ｃ（ｘ₁, …, ｘ_n）は、秘密鍵skを入力して、ｃ（ｓ₁, …, ｓ_n）＝［ｇ（ｓ₁, …, ｓ_n）＋Ｄ］＊ｅ＝Ｄ＊ｅを計算し、Ｄ＊ｅをＤで割り算してｅを計算してもよい。

＜第２の実施形態の概要＞
次に、第２の実施形態の概要を説明する。

第１の実施形態では、可換環Ｒ及びＳの要素を用いる共通鍵暗号装置の構成を示した。 第２の実施形態では、第１の実施形態におけるマスク多項式ｇ（ｘ₁, …, ｘ_n）と秘密鍵sk＝（ｓ₁, …, ｓ_n）として、代数曲面多項式Ｘ（ｘ，ｙ）とそのセクション（ｕ_x（ｔ），ｕ_y（ｔ））を用いている。ここで、マスク多項式ｇ（ｘ₁, …, ｘ_n）は、多項式環Ｓ上で定義される代数曲面を表す代数曲面多項式Ｘ（ｘ，ｙ）である。当該代数曲面は、ｘ，ｙの２変数を含む代数曲面多項式Ｘ（ｘ，ｙ）で表される零点の集合であり、ｘ，ｙがｔでパラメタライズされた曲線が存在する。秘密鍵（共通鍵）skは、当該曲線を表すｄ次のセクション多項式（ｕ_x（ｔ），ｕ_y（ｔ））である。

具体的には、Ｆ_q＝｛０，１，２, …, ｑ−１｝をｑ元体とする。ｑ元体Ｆ_q上で定義されてｔを変数とする１変数多項式が存在する空間をＦ_q［ｔ］とする。

空間Ｆ_q［ｔ］＝｛Σｃ_iｔⁱ｜ｃ_i∈Ｆ_q｝上の代数曲面とはｘ，ｙに関する次数がｗ次の２変数多項式Ｘ（ｘ，ｙ）∈（Ｆ_q［ｔ］）［ｘ，ｙ］で表される零点の集合であり、Ｘ（ｕ_x（ｔ），ｕ_y（ｔ））＝０を満たす代数曲線（ｕ_x（ｔ），ｕ_y（ｔ））∈（Ｆ_q［ｔ］）²を代数曲面多項式Ｘ（ｘ，ｙ）＝０のセクションという。なお、ｕ_x（ｔ），ｕ_y（ｔ）は、ｘ，ｙがｔでパラメタライズされた多項式である。

代数曲線（ｕ_x（ｔ），ｕ_y（ｔ））が与えられたときに、代数曲線（ｕ_x（ｔ），ｕ_y（ｔ））をセクションにもつような代数曲面多項式Ｘ（ｘ，ｙ）＝０を構成することは容易である。しかしながら、代数曲面多項式Ｘ（ｘ，ｙ）＝０が与えられたときに、特定のＸ（ｘ，ｙ）を除けば、代数曲面多項式Ｘ（ｘ，ｙ）＝０のセクション（ｕ_x（ｔ），ｕ_y（ｔ））を求める方法は知られていない。このため、第２の実施形態では、共通鍵暗号方式の秘密鍵skとして、代数曲面のセクションを用いている。

第２の実施形態の記法では、第１の実施形態における多項式環Ｓ，可換環Ｒ，マスク多項式ｇ（ｘ₁…，ｘ_n），暗号文ｃ（ｘ₁…，ｘ_n），秘密鍵skを、それぞれ、空間Ｆ_q［ｔ］，空間（Ｆ_q［ｔ］）［ｘ，ｙ］，代数曲面多項式Ｘ（ｘ，ｙ），暗号文ｃ（ｘ，ｙ），セクション（ｕ_x（ｔ），ｕ_y（ｔ））と設定したものと見做すことができる。なお、体は環でもあるので、ｑ元体Ｆ_qは多項式環Ｓ及び可換環Ｒを含む。

あるいは、第２の実施形態の記法では、第１の実施形態における可換環Ｒ，代数曲面多項式Ｘ（ｘ，ｙ）∈（Ｆ_q［ｔ］）［ｘ，ｙ］，暗号文ｃ（ｘ₁…，ｘ_n）∈（Ｆ_q［ｔ］）［ｘ，ｙ］を、それぞれ、空間Ｆ_q［ｘ，ｙ，ｔ］，代数曲面多項式Ｘ（ｘ，ｙ，ｔ）∈Ｆ_q［ｘ，ｙ，ｔ］，暗号文ｃ（ｘ，ｙ，ｔ）∈Ｆ_q［ｘ，ｙ，ｔ］と見做すこともできる。

以降の説明では、誤解のない限り、前者の記法を用いている。

これらｑ元体Ｆ_q及び位数ｑは、システムにおける公開パラメータとしても良いし、共通鍵を共有する通信者間での秘密情報としても良い。

続いて、第２の実施形態を説明するための記法を詳細に説明する。

秘密鍵skは、Ｆ_q［ｔ］の２個の要素（ｕ_x（ｔ），ｕ_y（ｔ））で構成される。

第２の実施形態においては、平文msgはエンコード処理Ｅｃｄにより、Ｆ_q［ｔ］の部分集合Ｍの要素にエンコードされる。ここで、平文msgから部分集合Ｍの要素ｅへのエンコード処理をｅ＝Ｅｃｄ（msg）で表す。

一方、部分集合Ｍの要素ｅからデコード結果msg’へのデコード処理をmsg’＝Ｄｃｄ（ｅ）で表す。

エンコード処理Ｅｃｄあるいはデコード処理Ｄｃｄは平文msgあるいは要素ｅのほかに、秘密鍵skを入力として受け付け、ｅ＝Ｅｃｄ（sk，msg）あるいはmsg’＝Ｄｃｄ（sk，ｅ）を演算してもよい。エンコード処理Ｅｃｄとデコード処理Ｄｃｄは、平文msg＝Ｄｃｄ（Ｅｃｄ（msg））となるように設計する（必要に応じてエンコード処理Ｅｃｄとデコード処理Ｄｃｄの入力に秘密鍵skを追加する）。

例えば、エンコード処理Ｅｃｄは、平文msgをビット表現してｎ個のビット列msg₁｜｜msg₂｜｜…｜｜msg_nに分割し（ここで｜｜はビット連結を表す）、平文多項式ｅ＝Σmsg_iｔ^i-1を出力してもよい。ここで、ｎは、前述の次数ｄとｗに対して、ｎ≦ｄｗ−１をみたす値である。この場合、デコード処理Ｄｃｄ（sk，ｅ）により、平文多項式ｅからｎ個のビット列msg₁｜｜msg₂｜｜…｜｜msg_nを抽出し、平文msg＝msg₁｜｜msg₂｜｜…｜｜msg_nを復元できる。

あるいは、平文msgをｌ進展開して（例えばｌ＝２¹⁶＝６５５３６）、各桁を各ビット列msg_iに対応付けても良い。その際、デコード処理は、ｌ進展開された値を２進数あるいは１０進数など所定の形式に変換して平文msgを復元する。

さらに、上述ではエンコード処理を平文msgに対して確定的に計算する例を記載したが、各ビット列msg_iのうちのいくつかをランダムな整数rnd_iとし、エンコード処理を平文msgに対して確率的に計算しても良い。その際、デコード処理はランダムな整数rnd_iを除く各ビット列msg_iを取り出して、平文msgを復元する。

これら、エンコード処理Ｅｃｄ及びデコード処理Ｄｃｄは、システムにおける公開パラメータとしても良いし、共通鍵を共有する通信者間での秘密情報としても良い。

＜第２の実施形態の具体的な構成＞
以下、第２の実施形態について具体的に説明する。

図７は第２の実施形態に係る共通鍵暗号装置の構成を示す図であり、図８は同実施形態における共通鍵復号装置の構成を示す図である。

ここで、共通鍵暗号装置４００は、パラメータ記憶部４０１、入出力部４０２及び暗号化処理部４０３を備えている。

パラメータ記憶部４０１は、前述した秘密鍵skのほかに、安全性のパラメータを記憶する。パラメータ記憶部４０１は、空間Ｆ_q［ｔ］及び空間（Ｆ_q［ｔ］）［ｘ，ｙ］の情報を記憶してもよい。また、パラメータ記憶部４０１は、エンコード処理Ｅｃｄの情報を記憶してもよい。

入出力部４０２は、平文msgの入力を受け付け、暗号化処理部４０３で計算した暗号文ｃ（ｘ，ｙ）を出力する。

暗号化処理部４０３は、入出力部４０２で入力を受け付けた平文msgとパラメータ記憶部４０１が記憶する情報に基づいて、暗号文ｃ（ｘ，ｙ）を計算する。

一方、共通鍵復号装置５００は、図８に示すように、パラメータ記憶部５０１、入出力部５０２及び復号処理部５０３を備えている。

パラメータ記憶部５０１は、秘密鍵skのほかに、安全性のパラメータを記憶する。パラメータ記憶部５０１は、空間Ｆ_q［ｔ］及び空間（Ｆ_q［ｔ］）［ｘ，ｙ］の情報を記憶してもよい。また、パラメータ記憶部５０１は、デコード処理Ｄｃｄの情報を記憶してもよい。

入出力部５０２は、暗号文ｃ（ｘ，ｙ）を入力として受け付け、平文msg＝msg’を出力する。

復号処理部５０３は、入出力部５０２で受け付けた暗号文ｃ（ｘ，ｙ）とパラメータ記憶部５０１が記憶する情報に基づいて暗号文ｃ（ｘ，ｙ）を復号し、復号結果msg’である平文msg＝msg’を得る。

次に、以上のように構成された共通鍵暗号装置及び共通鍵復号装置の動作について図９及び図１０のフローチャートを用いて説明する。

共通鍵暗号装置４００は、図９に示すように、入出力部４０２が、平文msgの入力を受け付ける（ＳＴ３１）。また、パラメータ記憶部４０１内のパラメータは、適宜、暗号化処理部４０３に読み出される。パラメータは、例えば、セクション（ｕ_x（ｔ），ｕ_y（ｔ））及び空間（Ｆ_q［ｔ］）［ｘ，ｙ］等である。

暗号化処理部４０３は、平文msgを空間Ｆ_q［ｔ］の部分空間Ｍの多項式の各項に埋め込むようにエンコード処理を実行し、平文多項式ｅ＝Ｅｃｄ（msg）を計算する（ＳＴ３２）。

暗号化処理部４０３は、空間Ｆ_q［ｔ］上で定義される空間（Ｆ_q［ｔ］）［ｘ，ｙ］に基づいて、セクション多項式（ｕ_x（ｔ），ｕ_y（ｔ））を解に含む代数曲面多項式Ｘ（ｘ，ｙ）を生成する。例えば、暗号化処理部４０３は、代数曲面多項式Ｘ（ｘ，ｙ）を空間（Ｆ_q［ｔ］）［ｘ，ｙ］からランダムに選択する（ＳＴ３３〜ＳＴ３５）。なお、代数曲面多項式Ｘ（ｘ，ｙ）は、平文多項式ｅに加算されて平文多項式ｅを隠蔽する。

具体的には、暗号化処理部４０３は、空間（Ｆ_q［ｔ］）［ｘ，ｙ］から多項式ｆ（ｘ，ｙ）をランダムに選択する（ＳＴ３３）。多項式ｆ（ｘ，ｙ）は、ランダム多項式ｆ（ｘ，ｙ）と呼んでもよい。

暗号化処理部４０３は、多項式ｆ（ｘ，ｙ）の２変数ｘ，ｙに秘密鍵（ｕ_x（ｔ），ｕ_y（ｔ））を代入した多項式ｆ（ｕ_x（ｔ），ｕ_y（ｔ））を計算し（ＳＴ３４）、代数曲面多項式Ｘ（ｘ，ｙ）＝ｆ（ｘ，ｙ）−ｆ（ｕ_x（ｔ），ｕ_y（ｔ））を設定する（ＳＴ３５）。

ここで、代数曲面多項式Ｘ（ｘ，ｙ）や多項式ｆ（ｘ，ｙ）は、空間（Ｆ_q［ｔ］）［ｘ，ｙ］から選ばれるのではなく、空間（Ｆ_q［ｔ］）［ｘ，ｙ］の部分集合から選ばれても良い。

あるいは、代数曲面多項式Ｘ（ｘ，ｙ）や多項式ｆ（ｘ，ｙ）は、ランダムに選ばれるのではなく、暗号化を処理する日時や秘密鍵、あるいは平文などに依存して選ばれても良い。また、ステップＳＴ３３〜ＳＴ３５は、ステップＳＴ３１が実行される前に予め実行されても良い。

暗号化処理部４０３は、平文多項式ｅと代数曲面多項式Ｘ（ｘ，ｙ）とを加算する処理により、暗号文ｃ（ｘ，ｙ）＝ｅ＋Ｘ（ｘ，ｙ）を計算する（ＳＴ３６）。

共通鍵暗号装置４００は、暗号文ｃ（ｘ，ｙ）を入出力部４０２から出力する（ＳＴ３７）。

以上が共通鍵暗号装置４００の動作である。続いて、共通鍵復号装置５００の動作を説明する。

共通鍵復号装置５００は、図１０に示すように、入出力部５０２が、暗号文ｃ（ｘ，ｙ）の入力を受け付ける（ＳＴ４１）。

復号処理部５０３は、パラメータ記憶部５０１内の秘密鍵sk＝（ｕ_x（ｔ），ｕ_y（ｔ））に基づいて、暗号文ｃ（ｘ，ｙ）から平文多項式ｅを復号する。例えば、復号処理部５０３は、秘密鍵sk＝（ｕ_x（ｔ），ｕ_y（ｔ））を暗号文ｃ（ｘ，ｙ）に代入し、次式に示すように、平文多項式ｅを計算する（ＳＴ４２）。

ｃ（ｕ_x（ｔ），ｕ_y（ｔ））＝ｅ＋Ｘ（ｕ_x（ｔ），ｕ_y（ｔ））＝ｅ
復号処理部５０３は、復号した平文多項式ｅから平文msgを復号する。すなわち、復号処理部５０３は、平文多項式ｅをデコードして、復号結果msg’＝Ｄｃｄ（ｅ）を計算する（ＳＴ４３）。

例えば、前述したように、Ｅｃｄ（msg）＝ｅ＝Σmsg_iｔ^i-1、但し、平文msg＝msg₁｜｜msg₂｜｜…｜｜msg_n、の場合には、ステップＳＴ４２で計算される多項式ｃ（ｕ_x（ｔ），ｕ_y（ｔ））は、ｔを変数とする平文多項式ｅ＝Σmsg_iｔ^i-1である。従って、平文多項式ｅ＝Σmsg_iｔ^i-1において、ｔⁱの係数をビット列msg’_iに割り当てて復号結果msg’＝msg’₁｜｜msg’₂｜｜…｜｜msg’_nと設定することにより、平文msg＝msg’を復元することができる。

最後に、共通鍵復号装置５００は、入出力部５０２から平文mgs＝msg’を出力する（ＳＴ４４）。

上述したように本実施形態によれば、第１の実施形態におけるマスク多項式として、空間Ｆ_q［ｔ］（多項式環Ｓ）上で定義される代数曲面を表す代数曲面多項式Ｘ（ｘ，ｙ）を用いる。この代数曲面は、ｘ，ｙの２変数を含む当該代数曲面多項式Ｘ（ｘ，ｙ）で表される零点の集合であり、ｘ，ｙがｔでパラメタライズされた曲線が存在する。第１の実施形態における秘密鍵sk（共通鍵）として、当該曲線を表すセクション多項式（ｕ_x（ｔ），ｕ_y（ｔ））を用いる。このような構成により、第１の実施形態と同様の効果を得ることができる。

すなわち、本実施形態によれば、平文msgを空間Ｆ_q［ｔ］の部分空間の多項式の各項に埋め込むことにより平文多項式ｅを生成し、平文多項式ｅと、セクション多項式（共通鍵）を解に含む代数曲面多項式（マスク多項式）とを加算する処理により、暗号文ｃ（ｘ，ｙ）を生成する構成により、並列度を上げて、計算の効率を向上させることができる。

また、本実施形態によれば、このように生成された暗号文ｃ（ｘ，ｙ）の入力を受け付けると、共通鍵（セクション多項式）に基づいて、当該暗号文ｃ（ｘ，ｙ）から平文多項式ｅを復号し、当該復号した平文多項式ｅから平文msgを復号する構成により、並列度を上げて、計算の効率を向上させることができる。

従って、前述同様に、一つの暗号文に多倍長精度の平文を埋め込むことができ、多倍長演算を行うことなくＣＰＵの処理単位よりも大きいサイズの平文を暗号化できる。

＜第２の実施形態の変形例＞
第２の実施形態に関しても、第１の実施形態の変形例２及びその他の変形例と同様に、準同型演算及びエンコード処理（１）〜（７）に関する変形例を構成することができる。 第１の実施形態と同様に、上述した第２の実施形態および変形例では、秘密鍵skを解に含むマスク多項式Ｘ（ｘ,ｙ）を使用して、ｃ（ｘ,ｙ）＝Ｘ（ｘ,ｙ）＋ｅにより暗号化処理を行った。このとき、部分空間Ｍの中で可逆な要素Ｄ（たとえばＤ＝１）を使用して、暗号化処理をｃ（ｘ,ｙ）＝［Ｘ（ｘ,ｙ）＋Ｄ］＊ｅとして計算してもよい。ここで、「＊」はＲ内の乗算をあらわす。この場合、暗号文ｃ（ｘ,ｙ）は、秘密鍵skを入力して、ｃ（ｕ_x（ｔ）,ｕ_y（ｔ））＝［Ｘ（ｘ,ｙ）＋Ｄ］＊ｅ＝Ｄ＊ｅを計算し、Ｄ＊ｅをＤで割り算してｅを計算してもよい。

以上説明した少なくとも一つの実施形態によれば、平文情報を多項式環の部分空間の多項式の各項に埋め込むことにより平文多項式を生成し、平文多項式と、共通鍵を解に含むマスク多項式とを加算する処理により、暗号文を生成する構成により、並列度を上げて、計算の効率を向上させることができる。

また、このように生成された暗号文の入力を受け付けると、共通鍵に基づいて、当該暗号文から平文多項式を復号し、当該復号した平文多項式から平文情報を復号する構成により、並列度を上げて、計算の効率を向上させることができる。

なお、上記の各実施形態に記載した手法は、コンピュータに実行させることのできるプログラムとして、磁気ディスク（フロッピー（登録商標）ディスク、ハードディスクなど）、光ディスク（ＣＤ−ＲＯＭ、ＤＶＤなど）、光磁気ディスク（ＭＯ）、半導体メモリなどの記憶媒体に格納して頒布することもできる。

また、この記憶媒体としては、プログラムを記憶でき、かつコンピュータが読み取り可能な記憶媒体であれば、その記憶形式は何れの形態であっても良い。

そして、記憶媒体からコンピュータにインストールされたプログラムの指示に基づきコンピュータ上で稼働しているＯＳ（オペレーティングシステム）や、データベース管理ソフト、ネットワークソフト等のＭＷ（ミドルウェア）等が上記実施形態を実現するための各処理の一部を実行しても良い。

さらに、各実施形態における記憶媒体は、コンピュータと独立した媒体に限らず、ＬＡＮやインターネット等により伝送されたプログラムをダウンロードして記憶または一時記憶した記憶媒体も含まれる。

また、記憶媒体は１つに限らず、複数の媒体から上記の各実施形態における処理が実行される場合も本発明における記憶媒体に含まれ、媒体構成は何れの構成であっても良い。

なお、各実施形態におけるコンピュータは、記憶媒体に記憶されたプログラムに基づき、上記の各実施形態における各処理を実行するものであって、パソコン等の１つからなる装置、複数の装置がネットワーク接続されたシステム等の何れの構成であっても良い。

また、各実施形態におけるコンピュータとは、パソコンに限らず、情報処理機器に含まれる演算処理装置、マイコン等も含み、プログラムによって本発明の機能を実現することが可能な機器、装置を総称している。

なお、本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１００，４００…共通鍵暗号装置、１０１，２０１，３０１，４０１，５０１…パラメータ記憶部、１０２，２０２，３０２，４０２，５０２…入出力部、１０３，４０３…暗号化処理部、２００，５００…共通鍵復号装置、２０３，５０３…復号処理部、３００…準同型演算装置、３０３…準同型演算部。

Claims (10)

1. 第１の多項式環の複数の要素で構成される共通鍵を記憶する記憶部と、
   平文情報の入力を受け付ける平文受付部と、
   前記入力を受け付けた平文情報に基づく値、あるいは前記平文情報と乱数とに基づく値を前記第１の多項式環の部分空間の多項式の各項に埋め込むことにより、平文多項式を生成する平文多項式生成部と、
   前記第１の多項式環上で定義される第２の可換環に基づいて、前記共通鍵を解に含むマスク多項式を生成するマスク多項式生成部と、
   前記平文多項式と前記マスク多項式とを加算して、暗号文を生成する暗号化部と、
   を備える共通鍵暗号装置。
2. 第１の多項式環の複数の要素で構成される共通鍵を記憶する記憶部と、
   平文情報の入力を受け付ける平文受付部と、
   前記平文情報を複数の部分情報に加法的に分割し、前記複数の部分情報を前記第１の多項式環の部分空間の多項式の各項の係数として埋め込むことにより、平文多項式を生成する平文多項式生成部と、
   前記第１の多項式環上で定義される第２の可換環に基づいて、前記共通鍵を解に含むマスク多項式を生成するマスク多項式生成部と、
   前記平文多項式と前記マスク多項式とを用いて、暗号文を生成する暗号化部と、
   を備える共通鍵暗号装置。
3. 請求項１または２に記載の共通鍵暗号装置において、
   前記平文多項式生成部、前記マスク多項式生成部及び前記暗号化部によって２つの平文多項式から個別に２つの暗号文が生成されたとき、当該２つの暗号文を互いに加算する準同型演算処理により、新たな暗号文を生成する準同型演算部を備え、
   前記共通鍵に基づいて前記新たな暗号文を復号した結果は、前記２つの平文多項式を互いに加算した結果と等しい、共通鍵暗号装置。
4. 請求項１または２に記載の共通鍵暗号装置において、
   前記マスク多項式は、前記第１の多項式環上で定義される代数曲面を表す代数曲面多項式であり、
   前記代数曲面は、ｘ，ｙの２変数を含む前記代数曲面多項式で表される零点の集合であり、前記ｘ，ｙがｔでパラメタライズされた曲線が存在し、
   前記共通鍵は、前記曲線を表すセクション多項式である、共通鍵暗号装置。
5. 第１の多項式環の部分空間の多項式の各項に平文情報に基づく値あるいは前記平文情報と乱数とに基づく値を埋め込むことにより生成された平文多項式と、前記第１の多項式環の複数の要素で構成される共通鍵を解に含むマスク多項式であって前記第１の多項式環上で定義される第２の可換環に基づいて生成された前記マスク多項式と、を加算して生成された暗号文の入力を受け付ける暗号文受付部と、
   前記共通鍵を記憶する記憶部と、
   前記記憶部内の前記共通鍵に基づいて、前記暗号文から平文多項式を復号する平文多項式復号部と、
   前記復号した平文多項式の各項から前記平文情報の一部を復号する復号部と、
   を備える共通鍵復号装置。
6. 平文情報を複数の部分情報に加法的に分割し、第１の多項式環の部分空間の多項式の各項に前記複数の部分情報を係数として埋め込むことにより生成された平文多項式と、前記第１の多項式環の複数の要素で構成される共通鍵を解に含むマスク多項式であって前記第１の多項式環上で定義される第２の可換環に基づいて生成された前記マスク多項式と、を用いて生成された暗号文の入力を受け付ける暗号文受付部と、
   前記共通鍵を記憶する記憶部と、
   前記記憶部内の前記共通鍵に基づいて、前記暗号文から平文多項式を復号する平文多項式復号部と、
   前記復号された平文多項式の各項の係数を前記複数の部分情報として抽出し、当該複数の部分情報の総和を計算することにより前記平文情報を復号する復号部と、
   を備える共通鍵復号装置。
7. 請求項５または６に記載の共通鍵復号装置において、
   前記入力を受け付けた暗号文は、２つの平文多項式から個別に生成された２つの暗号文を互いに加算する準同型演算処理により生成されており、
   前記復号部により復号された結果は、前記２つの平文多項式を互いに加算した結果と等しい、共通鍵復号装置。
8. 請求項５または６に記載の共通鍵復号装置において、
   前記マスク多項式は、前記第１の多項式環上で定義される代数曲面を表す代数曲面多項式であり、
   前記代数曲面は、ｘ，ｙの２変数を含む前記代数曲面多項式で表される零点の集合であり、前記ｘ，ｙがｔでパラメタライズされた曲線が存在し、
   前記共通鍵は、前記曲線を表すセクション多項式である、共通鍵復号装置。
9. コンピュータを
   第１の多項式環の複数の要素で構成される共通鍵を記憶する記憶手段と、
   平文情報の入力を受け付ける平文受付手段と、
   前記入力を受け付けた平文情報に基づく値、あるいは前記平文情報と乱数とに基づく値を前記第１の多項式環の部分空間の多項式の各項に埋め込むことにより、平文多項式を生成する平文多項式生成手段と、
   前記第１の多項式環上で定義される第２の可換環に基づいて、前記共通鍵を解に含むマスク多項式を生成するマスク多項式生成手段と、
   前記平文多項式と前記マスク多項式とを加算して、暗号文を生成する暗号化手段
   として機能させる共通鍵暗号プログラム。
10. コンピュータを、
    第１の多項式環の部分空間の多項式の各項に平文情報に基づく値あるいは前記平文情報と乱数とに基づく値を埋め込むことにより生成された平文多項式と、前記第１の多項式環の複数の要素で構成される共通鍵を解に含むマスク多項式であって前記第１の多項式環上で定義される第２の可換環に基づいて生成された前記マスク多項式と、を加算して生成された暗号文の入力を受け付ける暗号文受付手段と、
    前記共通鍵を記憶する記憶手段と、
    前記記憶手段内の前記共通鍵に基づいて、前記暗号文から平文多項式を復号する平文多項式復号手段と、
    前記復号した平文多項式の各項から前記平文情報の一部を復号する復号手段
    として機能させる共通鍵復号プログラム。

Images