JP6963277B2

JP6963277B2 - 変換装置、判定装置、および計算装置

Info

Publication number: JP6963277B2
Application number: JP2017205011A
Authority: JP
Inventors: 泰人河野; 浩関川
Original assignee: Tokyo University of Science; Nippon Telegraph and Telephone Corp
Current assignee: Tokyo University of Science; Nippon Telegraph and Telephone Corp
Priority date: 2017-10-24
Filing date: 2017-10-24
Publication date: 2021-11-05
Anticipated expiration: 2037-10-24
Also published as: JP2019079226A; US20190197426A1; US11521102B2

Description

本発明は量子計算技術に関する。

1994年、Shorは因数分解と離散対数問題を効率的に解く量子アルゴリズムを発見し、RSA暗号やElGamal暗号など、因数分解や離散対数問題の難しさを安全性の根拠とする公開鍵暗号にとって、量子コンピュータが深刻な脅威となることを明らかにした。この発見がきっかけとなり、現在、耐量子暗号（ポスト量子暗号とも呼ばれる）の研究が盛んに行われている。これらの公開鍵暗号は、格子問題、多変数多項式問題、符号問題など、量子コンピュータにとって困難と思われている問題をベースに設計されている。中でも、最短ベクトル問題（SVP）、最近ベクトル問題（CVP）、Learning with Errors（LWE）、Short Integer Solution（SIS）など、格子問題の難しさを安全性の根拠とする公開鍵暗号は、格子暗号と呼ばれ、耐量子暗号研究において最も有望視されている暗号群である。その理由は、格子暗号の一部について量子コンピュータに対する条件付き安全性証明が知られていることに加えて、完全準同型暗号が構成できることによる。ここで、完全準同型暗号とは、暗号化したまま無制限に情報処理を行うことができる暗号のことである。完全準同型暗号は、クラウドからの情報漏えいに対抗する有力手段と考えられており、クラウドの一般化に伴い、近年、その重要性が急速に高まっている。

一方、量子アルゴリズムの研究分野では、Shorのアルゴリズムを拡張する研究が行われてきた。Shorのアルゴリズムの自然な拡張は、隠れ部分群問題に応用できる。隠れ部分群問題は、群を替えるとさまざまな問題と関係することが知られている。例えば、対称群に対する隠れ部分群問題が解ければ、グラフ同型性判定問題も解ける。また、二面体群に対する隠れ部分群問題は格子問題と密接に関係している。こうしたことから、Shorのアルゴリズムを拡張し、新しい量子アルゴリズムを開発する努力が続けられてきた。この背景には、近年の人工知能ブームも関係している。Shorのアルゴリズムは周期発見問題に応用できるが、人工知能で問題となっている組み合わせ最適化問題には適用できない。一方、Shorのアルゴリズム発見以降に提案されたGroverのアルゴリズムや量子ウォークアルゴリズムなどは、組み合わせ最適化問題に適用できるが、問題を効率的に解くことができない。そこで、組み合わせ最適化問題を効率的に解く量子アルゴリズムの開発が待ち望まれてきた。

組み合わせ最適化問題のうち最短ベクトル問題などに代表される格子問題は、人工知能の他、次世代暗号に利用されるため、その解法が詳しく研究されている。以下、古典、量子についてそれぞれ記す。

格子問題を解くために用いられる最も一般的な古典アルゴリズムは格子簡約化アルゴリズムである。格子簡約化アルゴリズムとは、与えられたベクトル空間の基底から、全ての基底が互いに直行に近くなるような新しい基底を計算する。そのために、全ての基底ベクトルの組み合わせに対して、グラム−シュミットの直交化法に近い操作を繰り返し施す。格子簡約化アルゴリズムの結果得られる最も短いベクトルの長さは、最悪の場合、求めたい最短ベクトルの長さに対して指数的に大きくなる。

格子問題を解く量子アルゴリズムとして、例えば、非特許文献１，２の方法が提案されている。非特許文献１では、最近ベクトル問題をもとに、Dihedral Coset Stateと呼ばれる量子状態を作り、量子フーリエ変換を利用して解を得る。非特許文献２では、確率振幅増幅を用いて解を探索する。しかし、格子問題を効率的に解く量子アルゴリズムは見つかっていない。

Oded Regev, Quantum Computation and Lattice Problems, SIAM Journal on Computing, Vol 33, No. 3, pp. 738-760, (2004). T. Laarhoven and M. Mosca and J. van de Pol, Finding shortest lattice vectors faster using quantum search, Designs, Codes and Cryptography, Vol 7. No 2, pp. 375-400(2015).

本発明は格子問題を効率的に解くことを目的とする。

基底Ｂおよび目標ベクトルｔの入力、または、

を満たすｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔ，ｔ＝ｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔおよび整数Ｎ’の入力に対し、

を満たす｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを得て出力する。まず、古典計算によって基底Ｂについての双対基底Ｂ⁻を得る。次に、複数の整数について格子Ｌ（Ｂ）をｔの整数倍分平行移動させて得られる集合の和集合に含まれる点列の周期性を利用した量子計算を行い、ｊ＝１，…，ｍについて、ｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）およびｒ_ｊ０を得る。その後、古典計算によってｎ次元ベクトルｒ_ｊに最も近い最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）およびｒ_ｊ ^（ｃ）に対応する差分ベクトルｒ_ｊ ^（ｄ）＝ｒ_ｊ−ｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を得る。

このように、基底Ｂおよび目標ベクトルｔについての最近ベクトル問題（CVP）や式（１）のLearning with Errors（LWE）を式（２）の問題に効率的に変形できる。式（２）の問題の解（差分ベクトルｔ^（ｄ））は古典計算によって得ることができる。そのため、本発明では格子問題を効率的に解くことができる。

図１は実施形態の原理を説明するための概念図である。図２は各実施形態の対応関係を表す概念図である。図３は各実施形態の対応関係を表す概念図である。図４は実施形態の変換装置の機能構成を例示したブロック図である。図５は図４の量子計算部の機能構成を例示したブロック図である。図６は図５の量子計算部の量子回路を例示した図である。図７は量子計算を説明するための概念図である。図８は実施形態の判定装置の機能構成を例示したブロック図である。図９は図８の超平面距離推定部３３の機能構成を例示したブロック図である。図１０は解と超平面との関係を例示した概念図である。図１１Ａおよび図１１Ｂは解と超平面との関係を例示した概念図である。図１２はＥｖａｌ_ｑと解との関係を例示した実験結果である。図１３は実施形態の計算装置の機能構成を例示したブロック図である。図１４Ａおよび図１４Ｂは子ノード生成を説明するための概念図である。図１５は実施形態の計算方法を説明するための概念図である。図１６は実施形態の計算装置の機能構成を例示したブロック図である。

以下、図面を参照して本発明の実施形態を説明する。
［定義］
実施形態で用いる用語を定義する。
ｎ，ｍ，ｍ’，Ｍ，Ｎ，Ｎ’は正の整数である。ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、ｕ＝１，…，ｎである。ｓは整数要素からなるｎ次元ベクトルである。ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，Ｘ_ｊ，ｄ_ｉ，ｇ_ｉ，ｅ_ｊは整数である。Ｌ，γが正の実数である。ａ_ｊはｎ個の整数要素ａ_１ｊ，…，ａ_ｎｊからなるｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔである。ｇはｎ個の要素ｇ_１，…，ｇ_ｎからなるｎ次元ベクトルｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔである。ε_ｕはｕ番目の要素が１で他の要素が０のｎ次元単位ベクトルε_ｕ＝（０，…，１，０，…，０）^Ｔである。

η^Ｔはηの転置を表す。ηはベクトルまたは行列である。｜Λ｜は集合Λの要素数を表す。ＡＢＳ（μ）はμの絶対値を表す。||η||はηのユークリッドノルムを表す。すなわち、||η||はηの長さを表す。ｒｏｕｎｄ（μ）はμに最も近い整数である。すなわち、ｒｏｕｎｄは丸め関数を表す。ｆｌｏｏｒ（μ）はμ以下の最大の整数である。すなわち、ｆｌｏｏｒは床関数を表す。ｃｅｉｌ（μ）はμ以上の最小の整数である。すなわち、ｃｅｉｌは天井関数を表す。λ∈Λはλが集合Λの要素であることを意味する。＜τ，χ＞はベクトルτとベクトルχとの内積を表す。ｄｅｔ（η）はηの行列式を表す。｜δ〉はδに対応する量子状態を示す縦ベクトルを表す。|δ₁>|δ₂>は|δ₁>と|δ₂>とのテンソル積を表す。

Ｂ＝｛ｂ_１，…，ｂ_ｎ｝は一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底である。ｎ次元ベクトルｂ_ｉ＝（ｂ_ｉ１，…，ｂ_ｉｎ）∈Ｚ^ｎのそれぞれはｎ個の整数要素ｂ_ｉ１，…，ｂ_ｉｎ∈Ｚからなる。Ｚは整数を表す。βは基底Ｂのｎ次元ベクトルｂ_１，…，ｂ_ｎを要素とするｎ行ｎ列の基底行列である。例えば、βはｎ次元ベクトルｂ_ｉをｉ行目の成分とする以下の行列である。

ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔはｎ個の整数要素ｔ_ｉ∈Ｚからなる目標ベクトルである。

Ｌ（Ｂ）は格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝である。ただし、ｘ_ｉは整数である。すなわち、

である。

ｎ次元ベクトルｔおよび格子Ｌ（Ｂ）についてτ＋Ｌ（Ｂ）は、格子Ｌ（Ｂ）のすべての格子点をｎ次元ベクトルτ分平行移動させて得られる集合を表す。すなわち、τ＋Ｌ（Ｂ）＝｛τ＋χ｜χ∈Ｌ（Ｂ）｝である。またτ＋Ｌ（Ｂ）＝Ｌ（Ｂ）＋τである。

基底Ｂの部分集合Ｂ’が作る超平面をＨ（Ｂ’）と表記する。超平面Ｈ（Ｂ’）は、部分集合Ｂ’の要素であるベクトルｂ_ｉ’∈Ｂ’によって張られるベクトル空間｛Σ_{ｉ＝１，…，ｎ ζｉ}ｂ_ｉ’｜ζ_ｉ∈Ｒｅ，ｂ_ｉ’∈Ｂ’｝を意味する。ただし、ζ_ｉは実数である。すなわち、

である。Ｒｅは実数を表す。

ｔはｎ個の整数要素ｔ_１，…，ｔ_ｎからなるｎ次元ベクトルｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔである。原点から格子点（格子Ｌ（Ｂ）上の点）へ向かうベクトルを格子点ベクトルと呼ぶことにする。

＜格子問題＞
実施形態で扱う格子問題を簡単に説明する。より詳しい内容については参考文献１，２参照。
［参考文献１］Daniele Micciancio and Shafi Goldwasser, Complexity of Lattice Problems: a cryptographic perspective, Kluwer Academic Publishers, The Kluwer International Series in Engineering and Computer Science, vol. 671 (2002).
［参考文献２］Cohen, Henri, A Course in Computational Algebraic Number Theory, Springer-Verlag New York, Inc., ISBN 0-387-55640-0 (1993).

≪最短ベクトル問題（ＳＶＰ）≫
最短ベクトル問題とは、基底Ｂが与えられたとき、格子Ｌ（Ｂ）の中で最も原点に近い格子点（原点から最も当該原点に近い格子点へ向かうベクトル、すなわち最短ベクトル）を求める問題である。最短ベクトルの長さと、格子Ｌ（Ｂ）の中で二番目に原点に近いベクトルの長さとの比がγ以上のとき、最短ベクトル問題はγ−ｕｎｉｑｕｅＳＶＰと呼ばれる。最短ベクトル問題はＮＰ困難であり、γを変えることにより、問題の難しさを調整することができる。最短ベクトル問題は、次に示す最近ベクトル問題に帰着できることが知られている。したがって、最近ベクトル問題は、最短ベクトル問題以上に難しい。

≪最近ベクトル問題（ＣＶＰ）≫
最近ベクトル問題とは、基底Ｂと目標ベクトルｔとの組（Ｂ，ｔ）が与えられたとき、目標ベクトルｔとの差分ベクトルが最短となるような格子Ｌ（Ｂ）の最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）を求める問題である。組（Ｂ，ｔ）についての最近ベクトル問題をＣＶＰ（Ｂ，ｔ）と表記する。最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）は目標ベクトルｔに最も近い格子点ベクトルである。ｔ^（ｄ）は目標ベクトルｔと最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔを表す。このような差分ベクトルｔ^（ｄ）を最短差分ベクトルと呼ぶ。最短差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）と、目標ベクトルｔと目標ベクトルｔに２番目に近い格子点ベクトルとの差分ベクトルと、の長さの比がγ以上のとき、最近ベクトル問題をγ−ｇａｐＣＶＰと呼ぶ。最近ベクトル問題を近似的に解く古典アルゴリズムとして，Babaiが提案したRounding-Off アルゴリズムやNearest Planeアルゴリズムが知られている。
［参考文献３］L. Babai, On Lovasz Lattice Reduction and the Nearest Lattice Point Problem, Combinatorica, Vol. 6, No. 1, pp.1-13, (1986).
しかし、これらのアルゴリズムによって得られる解の近似率は、それぞれ１＋２ｎ（９／２）^ｎ／２，２^ｎ／２であり、両者とも次元の指数的な近似率しか保証しない。

最近ベクトル問題よりも基本的な問題として、次のＧａｐＣＶＰ_γが知られている。最近ベクトル問題が探索問題なのに対して、ＧａｐＣＶＰ_γは決定問題（Ｙｅｓ／Ｎｏを答える問題）である。

≪ＧａｐＣＶＰ_γ≫
ＧａｐＣＶＰ_γとは、基底Ｂと目標ベクトルｔとの組（Ｂ，ｔ）と長さＬが与えられたとき、ｄｉｓｔ（Ｂ，ｔ）≦Ｌかｄｉｓｔ（Ｂ，ｔ）＞γＬのどちらかが必ず正しいという約束の下、ｄｉｓｔ（Ｂ，ｔ）≦Ｌ（Yes instance）か、ｄｉｓｔ（Ｂ，ｔ）＞γＬ（No instance）かを判定する決定問題である。ここで、ｄｉｓｔ（Ｂ，ｔ）とは、最短差分ベクトルｔ^（ｄ）の長さ（すなわち||ｔ^（ｄ）||）のことである。γが小さくなるほどＧａｐＣＶＰ_γは難しくなる。

以下なら、ＧａｐＣＶＰ_γはＮＰ困難であることが知られている。
［参考文献４］Dinur, I. and Kindler, G. and Safra, S., Approximating-CVP to Within Almost-Polynomial Factors is NP-Hard, Proceedings of the 39th Annual Symposium on Foundations of Computer Science, FOCS '98, IEEE Computer Society, Washington, DC, USA, pp.99-111 (1998).
逆にγ≧√ｎの場合、ＧａｐＣＶＰ_γはＮＰ困難でないと予想されている。
［参考文献５］岡本龍明，“応用数理の散歩道(79) これからの暗号”，応用数理， Vol. 24, No. 3, pp. 36-39, December, (2014).

ＳＶＰ，ＣＶＰ，ＧａｐＣＶＰ_γは古くから研究されている格子問題であるのに対して、次のＬＷＥは比較的最近提案された問題である。ＬＷＥは、有望な次世代暗号で用いられるため、上記の問題と並んで詳しく研究されている。
［参考文献６］Oded Regev, On Lattices, Learning with Errors, Random Linear Codes, and Cryptography, J. ACM,, Vol 56, No. 6, 34：1‐34:40 (2009).

≪ＬＷＥ（Learning with Errors）≫
ＬＷＥとは、正の整数ｍ，ｎ，Ｎ、整数要素のｎ×ｍランダム行列Ａ＝（ａ_ｉｊ）（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）、ｍ次元ランダムベクトルＸ＝（Ｘ_１，…，Ｘ_ｍ）^Ｔ、および各要素がガウス分布に従う短いベクトルｄ＝（ｄ_１，…，ｄ_ｎ）^Ｔから

によりｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔを定めたとき、（Ａ，ｇ，Ｎ）からＸを求める問題である。ただし、Ｘ_ｊは整数である。ｄが分かれば（３）からＸも計算できるため、ｄを求めてもよい。

一般に、｛ｘ∈Ｚ^ｎ｜＜ｘ，ｂ＞∈Ｚｆｏｒａｌｌｂ∈Ｌ（Ｂ）｝は、格子Ｌ（Ｂ）の「双対格子」と呼ばれる。
［参考文献７］Daniele Micciancio and Shafi Goldwasser, Complexity of Lattice Problems: a cryptographic perspective, Kluwer Academic Publishers, The Kluwer International Series in Engineering and Computer Science, vol. 671 (2002).

各実施形態で導入する「Ｎに関する双対格子」は、この一般的な「双対格子」とは異なる。Ｎに関する双対格子を導入するのは、格子の重ね合せ状態の全座標軸に対してＮ次元の量子フーリエ変換を実行した結果が、Ｎに関する双対格子の重ね合わせになることによる。Ｎに関する双対格子のＬＬＬ既約基底を「Ｎに関する双対基底」と呼ぶことにする。ここで、ＬＬＬ既約基底の定義については、参考文献１の３３−３５ページを参照のこと。任意の基底にＬＬＬアルゴリズムを適用すると、ＬＬＬ規約基底の定義を満たす基底が得られることが知られている（参考文献１、２．２章）。従って、Ｎに関する双対格子の基底に、ＬＬＬアルゴリズムを適用することにより、Ｎに関する既約基底が得られる。Ｎに関する双対基底はエルミート標準形を用いて効率的に計算できる。

≪Ｎに関する双対格子≫
基底Ｂと整数Ｎに対して｛τ∈Ｚ^ｎ｜＜τ，χ＞＝０ｍｏｄＮｆｏｒａｌｌ χ∈Ｌ（Ｂ）｝で定義される格子を「Ｎに関する双対格子」と呼ぶ。Ｎに関する格子Ｌ（Ｂ）の双対格子のＬＬＬ既約基底をＢ⁻と書き、双対基底と呼ぶ。なお、「Ｂ⁻」の右上添え字の「−」は本来「Ｂ」の真上に記載すべきであるが記載表記の制約上「Ｂ」の右上に表記する場合がある。

各実施形態では、Ｎに関する双対基底の概念を用いて「変形ＬＷＥ」の概念を導入する。後述のように、量子コンピュータを用いて、ＣＶＰやＬＷＥから変形ＬＷＥを効率的に求めることができ、古典コンピュータを用いて、変形ＬＷＥの解の長さがＬ以下かγＬよりも大きいかを効率的に判定することができる。

≪変形ＬＷＥ≫
変形ＬＷＥとは、正の整数ｍ，ｎ，Ｎ、ｍ×ｎ行列

（ただし、すべてのｊ＝１，…，ｍに対して（ａ_ｊ１ ^（ｃ），…ａ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）、かつ、（ａ_ｊ１ ^（ｄ），…ａ_ｊｎ ^（ｄ））は短いベクトル）を満たす整数要素のｍ×ｎ行列Ａ＝（ａ_ｊｉ）（ｊ＝１，…，ｍ、ｉ＝１，…，ｎ）、ｎ次元ベクトルＸ＝（Ｘ_１，…，Ｘ_ｎ）^Ｔ、および各要素がガウス分布に従う短いベクトルｄ＝（ｄ_１，…，ｄ_ｍ）^Ｔから

によりｇ＝（ｇ_１，…，ｇ_ｍ）^Ｔを定めたとき、（Ａ，ｇ，Ｎ）からＸを求める問題である。ｄが分かれば（４）からＸも計算できるため、ｄを求めてもよい。

拡張ユークリッド互除法やスミス標準形やエルミート標準形の詳細は例えば以下の文献に記載されている。
［参考文献８］Cohen, Henri, A Course in Computational Algebraic Number Theory, Springer-Verlag New York, Inc., ISBN 0-387-55640-0 (1993).
［参考文献９］Ravindran Kannan and Achim Bachem, Polynomial Algorithms for Computing the Smith and Hermite Normal Forms of an Integer Matrix, SIAM Journal on Computing, vol. 8, No. 4, pp. 499-507, (1979).
［参考文献１０］Storjohann, Arne, Near Optimal Algorithms for Computing Smith Normal Forms of Integer Matrices, Proceedings of the 1996 International Symposium on Symbolic and Algebraic Computation, ISSAC '96, pp. 267-274 (1996).

［第１実施形態］
第１実施形態では、量子計算と古典計算とによってＣＶＰを変形ＬＷＥに変換する（図２）。

基本となるアイデアについて説明する。一般に、格子問題が量子コンピュータにとって困難な問題であると考えられているのは、格子問題には解に関する周期性がないとされているからである。しかし、格子は各格子点に関して対称な構造をしており、解に関する周期性を作ることは可能である。本実施形態では、この解の周期性を利用した量子計算を行う。

具体的には、以下のような方法をとる。基本となるのはＣＶＰに対する解法である。組（Ｂ，ｔ）についてのＣＶＰの解を差分ベクトルｔ^（ｄ）とする。図１に例示するように、Ｌ（Ｂ），ｔ＋Ｌ（Ｂ），２ｔ＋Ｌ（Ｂ），３ｔ＋Ｌ（Ｂ），…の和集合Ｌ（Ｂ）∪（ｔ＋Ｌ（Ｂ））∪（２ｔ＋Ｌ（Ｂ））∪（３ｔ＋Ｌ（Ｂ））∪…は、点列がｔ^（ｄ）の間隔で並んだ集合となる。図１では、図の見やすさを考慮し、１個の格子点に基づく点列のみを例示しているが、実際にはすべての格子点に基づく点列がｔ^（ｄ）の間隔で並ぶ。本形態の量子計算では、この等間隔に並んだ点列の情報を量子フーリエ変換を利用して取り出す。その後、取り出した情報に関するＣＶＰを古典計算によって解き、変形ＬＷＥを得る。

＜構成＞
図４に例示するように、本形態の変換装置１は、古典計算部１１，１３（第１，２古典計算部）、量子計算部１２、および制御部１４を有する。変換装置１は、制御部１４の制御のもとで各処理を実行する。古典計算部１１，１３は複数の演算部を有する（図示せず）。図５および図６に例示するように、量子計算部１２は、インデックスレジスタ１２１ａ、データレジスタ１２１ｂ、ワークレジスタ１２１ｃ、量子状態生成部１２２、量子フーリエ変換部１２３ａ，１２３ｂ（第１，２量子フーリエ変換部）、操作部１２４、観測部１２５ａ〜１２５ｃ、および逆量子フーリエ変換部１２６を有する。

＜処理＞
本形態の処理を説明する。本形態の変換装置１は、ＣＶＰ（Ｂ，ｔ）についての基底Ｂおよび目標ベクトルｔを入力とし、変形ＬＷＥを表す

を満たす｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを出力する。本形態の処理は古典計算部１１による古典計算（前処理）、量子計算部１２による量子計算、および古典計算部１３による古典計算（後処理）からなる。

≪古典計算部１１による古典計算（前処理）≫
古典計算部１１（図４）は、組（Ｂ，ｔ）を入力とし、以下の処理を実行する。
１．古典計算部１１の演算部は、基底Ｂに対応する基底行列βの逆行列β^−１の要素の分母の最小公倍数Ｎ’を計算して出力する（ステップＳ１１１）。
２．古典計算部１１の演算部は、基底ＢのＮ’に関する双対基底Ｂ⁻’＝｛ｂ_１ ⁻’，…，ｂ_ｎ ⁻’｝を計算して出力する（ステップＳ１１２）。
３．古典計算部１１の演算部は、Ｎ’の倍数Ｎを選択して出力する（ステップＳ１１３）。
４．古典計算部１１の演算部は、双対基底Ｂ⁻’についてＮに関する双対基底Ｂ⁻＝（Ｎ／Ｎ’）Ｂ⁻’＝｛（Ｎ／Ｎ’）ｂ_１ ⁻’，…，（Ｎ／Ｎ’）ｂ_ｎ ⁻’｝を得て出力する。双対基底Ｂ⁻は基底Ｂの「Ｎに関する双対基底」となる（ステップＳ１１４）。
５．古典計算部１１の演算部は、正の整数Ｍを選択して出力する。Ｍ＜Ｎであり、ＭはＮに対して十分に小さい（ステップＳ１１５）。
６．古典計算部１１の演算部は、２Ｒ≦Ｎ＜４Ｒを満たす実数Ｒを選択して出力する（ステップＳ１１６）。
７．古典計算部１１の演算部は、正の実数Ｌを選択して出力する。Ｌは最短差分ベクトルｔ^（ｄ）の長さ||ｔ^（ｄ）||の推定値である。例えば、Ｌ×Ｍ＜Ｎを満たす（ステップＳ１１７）。
８．古典計算部１１の演算部は、正の整数ｍを選択して出力する（ステップＳ１１８）。
９．古典計算部１１は、（Ｌ，ｎ，Ｍ，Ｎ，Ｒ，Ｂ，ｔ）を出力する（ステップＳ１１９）。

≪量子計算部１２による量子計算≫
量子計算部１２（図４から図６）は、（Ｌ，ｎ，Ｍ，Ｎ，Ｒ，Ｂ，ｔ）を入力とし、ｃｅｉｌ（ｌｏｇ_２Ｍ）個の量子ビットからなるインデックスレジスタ１２１ａと、ｎ×ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットからなるデータレジスタ１２１ｂと、ｎ×ｃｅｉｌ（ｌｏｇ_２ｄｅｔ（β））個の量子ビットからなるワークレジスタ１２１ｃとからなるレジスタ列を設定し、これらに対して以下の量子計算をｍ回実行する。量子計算部１２は、ｊ回目の量子計算でｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）∈［０，Ｎ）^ｎおよびｒ_ｊ０∈［０，Ｍ）を得て出力する。ただし、ｉ＝１，…，ｎ，ｊ＝１，…，ｍである。以下にｊ回目の量子計算を説明する。

１．量子状態生成部１２２は、インデックスレジスタ１２１ａとデータレジスタ１２１ｂとワークレジスタ１２１ｃとからなるレジスタ列の量子状態を

に初期化する。ただし、Ｂ_Ｒは［０，Ｎ）^ｎに含まれる点ｘ∈Ｚ^ｎの集合を表す。例えば、Ｂ_Ｒは［０，Ｎ）^ｎの一部の領域である。Ｂ_Ｒは例えば実数Ｒによって定められる。なお、［０，Ｎ）は０以上Ｎ未満の半開区間を表す。例えば、Ｂ_Ｒは所定のｎ次元の基準点Ｎ_Ｖ／２＝（Ｎ／２，…，Ｎ／２）からの距離がＲ以下の点ｘ∈Ｚ^ｎの集合を表す。言い換えると、例えば、Ｂ_Ｒは原点から当該点ｘ∈Ｚ^ｎへ向かうベクトルの集合を表す。すなわち、Ｂ_Ｒ＝｛ｘ∈Ｚ^ｎ｜||ｘ−Ｎ_Ｖ／２||≦Ｒ｝である。図７Ａにｎ＝２の場合のＢ_Ｒを概念的に示す。ｎ＝２の場合、Ｂ_Ｒは（Ｎ／２，Ｎ／２）を中心とした半径Ｒの円で囲まれた領域に属する点の集合である。なお、式（６）の３つの縦ベクトルのうち左側の｜０＞はインデックスレジスタ１２１ａの量子状態を表し、真ん中の｜ｘ＞はデータレジスタ１２１ｂの量子状態を表し、右側の｜０＞はワークレジスタ１２１ｃの量子状態を表す（ステップＳ１２２）。

２．量子フーリエ変換部１２３ａは、インデックスレジスタ１２１ａに対するＭ次元量子フーリエ変換を実行し、レジスタ列の量子状態を

にする。なお、式（７）の３つの縦ベクトルのうち左側の｜ｗ＞はインデックスレジスタ１２１ａの量子状態を表し、真ん中の｜ｘ＞はデータレジスタ１２１ｂの量子状態を表し、右側の｜０＞はワークレジスタ１２１ｃの量子状態を表す（ステップＳ１２３ａ）。

３．ｗ∈Ｚ_Ｍおよびｘ∈Ｚ_Ｎ ^ｎに対して、（ｙ_{ｗ，ｘ，１}，…，ｙ_{ｗ，ｘ，ｎ}）をｘ−ｗｔ＝ｙ_{ｗ，ｘ，１}ｂ_１＋…＋ｙ_{ｗ，ｘ，ｎ}ｂ_ｎを満たす有理数ｙ_{ｗ，ｘ，１}，…，ｙ_{ｗ，ｘ，ｎ}を要素とするｎ次元ベクトルとする。操作部１２４は、量子フーリエ変換部１２３ａで得られた式（７）の量子状態のレジスタ列に対して量子状態｜ｗ＞｜ｘ＞｜０＞を量子状態
｜ｗ＞｜ｘ＞｜ｄｅｔ（β）（ｙ_{ｗ，ｘ，１}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，１}）），…，ｄｅｔ（β）（ｙ_{ｗ，ｘ，ｎ}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，ｎ}））＞（８）
にする量子操作を実行する（ステップＳ１２４）。観測部１２５ｃは、操作部１２４で得られた式（８）の量子状態のワークレジスタ１２１ｃを観測し、インデックスレジスタ１２１ａおよびデータレジスタ１２１ｂの量子状態を

にする。ただし、ｓは不定なｎ次元ベクトルである。式（９）の２つの縦ベクトルのうち左側の｜ｗ＞はインデックスレジスタ１２１ａの量子状態を表し、右側の｜ｘ＞はデータレジスタ１２１ｂの量子状態を表す。このデータレジスタ１２１ｂの量子状態は、Ｂ_Ｒにおける前述の和集合Ｌ（Ｂ）∪（ｔ＋Ｌ（Ｂ））∪（２ｔ＋Ｌ（Ｂ））∪（３ｔ＋Ｌ（Ｂ））∪…をｎ次元ベクトルｓだけ平行移動したものを表している（図１）。ｓは不定であるものの、この量子状態はＢ_Ｒの中で点列がｔ^（ｄ）の間隔で並んだものを示している。図７Ｂにｎ＝２の場合の当該量子状態を概念的に示す（ステップＳ１２５ｃ）。

４．量子フーリエ変換部１２３ｂは、観測部１２５ｃでの観測後の式（９）の量子状態のデータレジスタ１２１ｂに対するＮ次元量子フーリエ変換を実行する。前述のようにデータレジスタ１２１ｂはｎ×ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットからなる。このｎ×ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットをｃｅｉｌ（ｌｏｇ_２Ｎ）個ごとの量子ビットに区分し、各ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットからなるデータレジスタ１２１ｂの部分集合をデータサブレジスタ１２１ｂ−ｉと呼ぶ。データレジスタ１２１ｂはｎ個のデータサブレジスタ１２１ｂ−１，…，１２１ｂ−ｎからなる。量子フーリエ変換部１２３ｂは、式（９）の量子状態のデータレジスタ１２１ｂに対し、データレジスタ１２１ｂの各データサブレジスタ１２１ｂ−ｉごとに当該Ｎ次元量子フーリエ変換を実行する。これにより、双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝の格子点ベクトルｔ^（ｃ）と、差分ベクトルｔ^（ｄ）のベクトル和ｔ^（ｃ）＋ｔ^（ｄ）の重ね合わせ状態が得られる。図７Ｃにｎ＝２の場合の当該量子状態を概念的に示す（ステップＳ１２３ｂ）。観測部１２５ｂは、量子フーリエ変換部１２３ｂで得られた量子状態のデータレジスタ１２１ｂを観測して観測結果（ｒ_ｊ１，…，ｒ_ｊｎ）を得る。ｒ_ｊｉはデータサブレジスタ１２１ｂ−ｉの観測結果である（ステップＳ１２５ｂ）。

５．逆量子フーリエ変換部１２６は、観測部１２５ｂでの観測後の量子状態のインデックスレジスタ１２１ａに対するＭ次元逆量子フーリエ変換を実行する（ステップＳ１２６）。観測部１２５ａは、逆量子フーリエ変換部１２６で得られた量子状態のインデックスレジスタ１２１ａを観測して観測結果ｒ_ｊ０を得る。量子計算部１２は、ｊ回目の量子計算で得られたｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）∈［０，Ｎ）^ｎおよびｒ_ｊ０∈［０，Ｍ）を出力する（ステップＳ１２６）。

上記の量子計算がｊ＝１，…，ｍについて実行されることでｊ＝１，…，ｍについてのｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）およびｒ_ｊ０が得られる。量子計算は以上の観測結果であるｒ_ｊ，ｒ_ｊ０を出力する。

≪古典計算部１３による古典計算（後処理）≫
古典計算部１３は、ｒ_ｊおよびＮに関する双対基底Ｂ⁻を入力とし、双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝およびｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）について、当該ｎ次元ベクトルｒ_ｊに最も近い最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）および差分ベクトルｒ_ｊ ^（ｄ）＝ｒ_ｊ−ｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を得て出力する（ｒ_ｊ ^（ｃ）およびｒ_ｊ ^（ｄ）はいずれもｎ次元ベクトルである）。すなわち、古典計算部１３は、Ｎに関する双対基底Ｂ⁻とｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）との組（Ｂ⁻，ｒ_ｊ）についてのＣＶＰ（Ｂ⁻，ｒ_ｊ）を解く。Ｎの値が次元数ｎに対して大きいとき（例えば、Ｎの値が次元数ｎに対して指数的に大きいとき）、Ｎに関する双対基底Ｂ⁻について上述のように得られたｎ次元ベクトルｒ_ｊのＣＶＰ（Ｂ⁻，ｒ_ｊ）を、古典アルゴリズムを用いて厳密に解くことは可能である（ここでは証明を省略する）。古典計算部１３は、例えば、Nearest Planeアルゴリズムなどを用いてこのＣＶＰ（Ｂ⁻，ｒ_ｊ）を厳密に解き、最近ベクトルｒ_ｊ ^（ｃ）および差分ベクトルｒ_ｊ ^（ｄ）を得て出力する。Ｎをｎに対して大きくすると高い確率で||ｒ_ｊ ^（ｄ）||＜ｎとなることが証明できる。よってNearest Planeアルゴリズムによって最近ベクトルｒ_ｊ ^（ｃ）および差分ベクトルｒ_ｊ ^（ｄ）を求めることができる（ステップＳ１３）。

以上のように得られた整数Ｎ，Ｍ，ｍ、観測結果ｒ_ｊ０、最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））、差分ベクトルｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））が、ＣＶＰ（Ｂ，ｔ）の解である差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔおよびエラーに対応する小さな整数要素のベクトルｅ＝（ｅ_１，…，ｅ_ｍ）^Ｔについて式（５）を満たすことを証明できる（ここでは証明を省略する）。変換装置１は、整数Ｎ，Ｍ，ｍ、観測結果ｒ_ｊ０、最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））、差分ベクトルｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を変形ＬＷＥを表す情報として出力する。

［第２実施形態］
第２実施形態では、量子計算と古典計算とによってＬＷＥを変形ＬＷＥに変換する（図３）。以下では第１実施形態との相違点を中心に説明し、既に説明した事項については同じ参照番号を用いて説明を省略する。

図４に例示するように、本形態の変換装置２は、古典計算部２１，１３（第１，２古典計算部）、量子計算部１２、および制御部１４を有する。

＜処理＞
本形態の処理を説明する。本形態の変換装置２は、ＬＷＥを表す

を満たすｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔ，ｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔおよび整数Ｎ’の入力に対し、ｔ＝ｇとして前述の式（５）を満たす｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを出力する。本形態の処理は古典計算部２１による古典計算（前処理）、量子計算部１２による量子計算、および古典計算部１３による古典計算（後処理）からなる。第１実施形態との相違点は、古典計算部２１による古典計算（前処理）のみである。以下、この前処理のみを説明する。

≪古典計算部２１による古典計算（前処理）≫
古典計算部２１（図４）は、ＬＷＥを特定する（ａ_１，…，ａ_ｍ’，ｇ，Ｎ’）を入力とし、以下の処理を実行する。
１．古典計算部２１の演算部は、｛ａ_１，…，ａ_ｍ’，Ｎ’ε_１，…，Ｎ’ε_ｎ｝から計算したＬＬＬ既約基底を基底Ｂとし、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔ＝ｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔとして出力する。ただし、ε_ｕはｕ番目の要素が１で他の要素が０のｎ次元単位ベクトルε_ｎ＝（０，…，１，０，…，０）^Ｔである（ｕ＝１，…，ｎ）（ステップＳ２１１）。
２．古典計算部２１の演算部は、基底ＢのＮ’に関する双対基底Ｂ⁻’＝｛ｂ_１ ⁻’，…，ｂ_ｎ ⁻’｝を計算して出力する（ステップＳ１１２）。
３．古典計算部２１の演算部は、Ｎ’の倍数Ｎを選択して出力する（ステップＳ１１３）。
４．古典計算部２１の演算部は、双対基底Ｂ⁻’についてＮに関する双対基底Ｂ⁻＝（Ｎ／Ｎ’）Ｂ⁻’＝｛（Ｎ／Ｎ’）ｂ_１ ⁻’，…，（Ｎ／Ｎ’）ｂ_ｎ ⁻’｝を得て出力する（ステップＳ１１４）。
５．古典計算部２１の演算部は、正の整数Ｍを選択して出力する。Ｍ＜Ｎであり、ＭはＮに対して十分に小さい（ステップＳ１１５）。
６．古典計算部２１の演算部は、２Ｒ≦Ｎ＜４Ｒを満たす実数Ｒを選択して出力する（ステップＳ１１６）。
７．古典計算部２１の演算部は、正の実数Ｌを選択して出力する。例えば、Ｌ×Ｍ＜Ｎを満たす（ステップＳ１１７）。
８．古典計算部２１の演算部は、正の整数ｍを選択（設定）して出力する（ステップＳ１１８）。
９．古典計算部２１は、（Ｌ，ｎ，Ｍ，Ｎ，Ｒ，Ｂ，ｔ）を出力する（ステップＳ１１９）。

その後、第１実施形態で説明した量子計算部１２による量子計算、および古典計算部１３による古典計算（後処理）が行われる。

［第３実施形態］
第３実施形態では、古典計算により、第１実施形態または第２実施形態で変換された変形ＬＷＥについてのＧａｐＣＶＰ_γを解く（図２および図３）。すなわち、第１実施形態または第２実施形態で得られた｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎで特定される式（５）を満たす差分ベクトルｔ^（ｄ）が||ｔ^（ｄ）||≦Ｌを満たすか||ｔ^（ｄ）||＞γＬを満たすかを判定する。

＜構成＞
図８に例示するように、本形態の判定装置３は、ベクトル生成部３１、確率選択部３２、超平面距離推定部３３、判定部３４、および制御部３５を有する。判定装置３は、制御部３５の制御のもとで各処理を実行する。図９に例示するように、本形態の超平面距離推定部３３は、基底生成部３３１、ベクトル生成部３３２、超平面距離候補設定部３３３、および超平面距離選択部３３４を有する。

＜処理＞
本形態の処理を説明する。本形態の判定装置３は、｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを入力とし、これらによって特定される式（５）を満たす差分ベクトルｔ^（ｄ）が||ｔ^（ｄ）||≦Ｌを満たすか||ｔ^（ｄ）||＞γＬを満たすかを判定する。｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎは、第１実施形態または第２実施形態で説明した処理によって得られたものである。

１．ベクトル生成部３１は、ｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））およびｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を入力とし、ｒ_ｊ＝ｒ_ｊ ^（ｃ）＋ｒ_ｊ ^（ｄ）＝ｓ_ｊ ^（ｃ）＋ｓ_ｊ ^（ｄ）およびｓ_ｊ ^（ｃ）∈Ｌ（Ｂ⁻）を満たすｎ次元ベクトルｓ_ｊ ^（ｃ）＝（ｓ_ｊ１ ^（ｃ），…，ｓ_ｊｎ ^（ｃ）），ｓ_ｊ ^（ｄ）＝（ｓ_ｊ１ ^（ｄ），…，ｓ_ｊｎ ^（ｄ））を選び、ｓ_ｊ＝ｓ_ｊ ^（ｃ）＋ｓ_ｊ ^（ｄ）と設定する。本形態では||ｒ_ｊ ^（ｄ）||≦||ｓ_ｊ ^（ｄ）||≦２ＬＮを満たすようにｓ_ｊ ^（ｄ）が選択される。また、ｓ_ｊ０＝ｒ_ｊ０と定義する（ステップＳ３１）。

２．確率選択部３２は、正の実数αおよび確率ｑを選択して出力する。本形態では、確率選択部３２は、

を満たす確率ｑを選択して出力する（ステップＳ３２）。

３．ｎ次元ベクトルｓ_ｊ ^（ｄ）を法線ベクトルとする有限個（複数個）の超平面Ｈ_ｊに含まれる何れかの超平面Ｈ_ｊが差分ベクトルｔ^（ｄ）に対応することを証明できる（ここでは証明を省略する）。なお、ｓ_ｊ ^（ｄ）を法線ベクトルとする超平面Ｈ_ｊの集合は、格子Ｌ（Ｂ）の部分集合の要素であるベクトルによって張られるベクトル空間の平行移動であり、各ｊに対して有限個の超平面からなる。図１０に例示するように（ｎ＝２の例）、このような有限個の超平面Ｈ_ｊの集合は互いに１／||ｓ_ｊ ^（ｄ）||の間隔で並び、全体として２αＮ／Ｍ||ｓ_ｊ ^（ｄ）||の範囲に配置されている。同じように互いに１／||ｓ_ｊ ^（ｄ）||の間隔で並び、全体として２αＮ／Ｍ||ｓ_ｊ ^（ｄ）||の範囲に配置される他の超平面も存在し、それらはＮ／||ｓ_ｊ ^（ｄ）||の間隔で繰り返し配置されている。ただし、αは正の実数である。超平面距離推定部３３は、ｎ次元ベクトルｓ_ｊ ^（ｄ）を法線ベクトルとする有限個の超平面Ｈ_ｊに含まれる超平面Ｈ_ｊのうち最も原点Ｏに近い超平面Ｈ_ｊと原点Ｏとの距離ｄｉｓｔ_ｊに基づく評価値Ｅｖａｌ_ｑを得る（この処理の詳細は後述する）。図１１Ａおよび図１１Ｂに例示するように（ｎ＝２の例）、ｎ次元ベクトルｓ_ｊ ^（ｄ）を法線ベクトルとする有限個の超平面Ｈ_ｊに含まれる何れかの超平面Ｈ_ｊに差分ベクトルｔ^（ｄ）の先端が位置している。これらの図から分かるように、最も原点に近い超平面Ｈ_ｊと原点との距離ｄｉｓｔ_ｊは差分ベクトルｔ^（ｄ）の長さと相関を持つ。そのため、たとえ差分ベクトルｔ^（ｄ）が分からなくても、距離ｄｉｓｔ_ｊに基づいて差分ベクトルｔ^（ｄ）の長さを評価することができる。この評価を行うため、超平面距離推定部３３は、ｊ＝１，…，ｍの距離ｄｉｓｔ_ｊに基づく評価値Ｅｖａｌ_ｑを得る。本形態の評価値Ｅｖａｌ_ｑは距離ｄｉｓｔ_１，…，ｄｉｓｔ_ｍの何れかである。本形態では、距離ｄｉｓｔ_ｊがあまりにも大きなものをエラーとして排除し、残りの距離ｄｉｓｔ_ｊのうち最も大きなものを評価値Ｅｖａｌ_ｑに設定する。前述の確率ｑはこのエラーとして排除する距離ｄｉｓｔ_ｊを選択するための基準となる。図１２に評価値Ｅｖａｌ_ｑと||ｔ^（ｄ）||／Ｌとの関係を例示する。図１２の縦軸は評価値Ｅｖａｌ_ｑを表し、横軸は||ｔ^（ｄ）||／Ｌを表す。この図から分かるように、評価値Ｅｖａｌ_ｑの大きさを評価することで||ｔ^（ｄ）||≦Ｌを満たすか||ｔ^（ｄ）||＞γＬを満たすかを判定できる（ステップＳ３３）。

４．判定部３４は、評価値Ｅｖａｌ_ｑを入力とし、Ｅｖａｌ_ｑ≦Ｌを満たすと判定した場合に||ｔ^（ｄ）||≦Ｌを満たす旨の情報を出力し、Ｅｖａｌ_ｑ＞Ｌを満たすと判定した場合に||ｔ^（ｄ）||＞γＬを満たす旨の情報を出力する（ステップＳ３４）。

≪超平面距離推定部３３の処理の詳細≫
超平面距離推定部３３の処理の詳細を例示する。
まず、超平面距離推定部３３は、各ｊ＝１，…，ｍについて以下の（ａ）〜（ｃ）の計算を行い、各距離ｄｉｓｔ_ｊを決める。

（ａ）基底生成部３３１（超平面基底生成部）は、ｎ次元ベクトルｓ_ｊについて格子｛ν∈Ｚ^ｎ｜＜ｓ_ｊ，ν＞＝０ｍｏｄＮ｝の基底Ｂ_ｓｊを得て出力する。基底Ｂ_ｓｊの計算にはエルミート標準形が用いられる（ステップＳ３３１）。

（ｂ）ベクトル生成部３３２は、＜ｓ_ｊ ^（ｄ），ｂ_{ｓｊ（ｄ），Ｎ}＞＝Ｎを満たすｎ次元ベクトルｂ_{ｓｊ（ｄ），Ｎ}を得て出力する。この計算には拡張ユークリッド互除法が用いられる（ステップＳ３３２）。

（ｃ）超平面距離候補設定部３３３は、ｙ０＝ｆｌｏｏｒ（（ｓ_ｊ０−α）Ｎ／Ｍ）＋１およびｙ１＝ｃｅｉｌ（（ｓ_ｊ０＋α）Ｎ／Ｍ）−１について、以下の（i）〜（iv）の処理を行う（ステップＳ３３３）。
（i）超平面距離候補設定部３３３は、＜ｓ_ｊ，ｔ_{ｓｊ，ｙ０}＞＝ｙ_０ｍｏｄＮおよび＜ｓ_ｊ，ｔ_{ｓｊ，ｙ１}＞＝ｙ_１ｍｏｄＮを満たすｎ次元ベクトルｔ_{ｓｊ，ｙ０}およびｔ_{ｓｊ，ｙ１}を得て出力する。この計算には拡張ユークリッド互除法が用いられる。
（ii）超平面距離候補設定部３３３は、ｔ’_{ｓｊ，ｙ０}∈（ｓ_ｊ＋Ｌ（Ｂ））∩（ｔ_{ｓｊ，ｙ０}＋Ｌ（Ｂ_ｓｊ））およびｔ’_{ｓｊ，ｙ１}∈（ｓ_ｊ＋Ｌ（Ｂ））∩（ｔ_{ｓｊ，ｙ１}＋Ｌ（Ｂ_ｓｊ））を満たすｎ次元ベクトルｔ’_{ｓｊ，ｙ０}およびｔ’_{ｓｊ，ｙ１}を得て出力する。この計算にはスミス標準形が用いられる。
（iii）超平面距離候補設定部３３３は、ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ’_{ｓｊ，ｙ０}＋ｋｂ_{ｓｊ（ｄ），Ｎ}＞）を最小にするｋをｋ_ｙ０とし、ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ’_{ｓｊ，ｙ１}＋ｋｂ_{ｓｊ（ｄ），Ｎ}＞）を最小にするｋをｋ_ｙ１とし、ｔ”_{ｓｊ，ｙ０}＝ｔ’_{ｓｊ，ｙ０}＋ｋ_ｙ０ｂ_{ｓｊ（ｄ），Ｎ}およびｔ”_{ｓｊ，ｙ１}＝ｔ’_{ｓｊ，ｙ１}＋ｋ_ｙ１ｂ_{ｓｊ（ｄ），Ｎ}を得て出力する。
（iv）超平面距離候補設定部３３３は、＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞≦０≦＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞または＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞≦０≦＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞ならば超平面距離候補ｄｉｓｔ_ｊ＝０として出力する。それ以外の場合、すなわち＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞および＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞が共に正（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞および＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞が０よりも大きい）または共に負（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞および＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞が０よりも小さい）ならば、超平面距離候補設定部３３３は、ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞）およびＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞）のうち小さい方を距離ｄｉｓｔ_ｊ＝ｍｉｎ（ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞），ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞））として得て出力する。

ステップＳ３２で設定された確率ｑおよびステップＳ３３１〜Ｓ３３３で得られた距離ｄｉｓｔ_１，…ｄｉｓｔ_ｍは、超平面距離選択部３３４に入力される。超平面距離選択部３３４は、確率ｑについて、距離ｄｉｓｔ_１，…，ｄｉｓｔ_ｍを小さい順に並べた場合にｆｌｏｏｒ（ｑｍ）番目の値を評価値Ｅｖａｌ_ｑ∈｛ｄｉｓｔ_１，…，ｄｉｓｔ_ｍ｝として得て出力する。すなわち、平面距離選択部３３４は、
Ｅｖａｌ_ｑ＝ｍａｘ（｛ｄｉｓｔ_ｊ｜ｊ＝１，…，ｍ｝，ｑ）
を計算する（ステップＳ３３４）。

［第４実施形態］
第４実施形態では、量子計算および古典計算により、第１実施形態で変換された変形ＬＷＥについてのＧａｐＣＶＰ_γを解く処理（第３実施形態）をサブルーチンとして利用してＣＶＰ（Ｂ，ｔ）を解く（図２）。

＜構成＞
図１３に例示するように、本形態の計算装置４は、初期設定部４１，４２１、子ノード生成部４２２、判定処理部４２３、ノード選択部４２４、差分ベクトル生成部４３、出力部４４、および制御部４５を有する。計算装置４は、制御部４５の制御のもとで各処理を実行する。

＜処理＞
本形態の処理を説明する。本形態の計算装置４は、ＣＶＰ（Ｂ，ｔ）についての基底Ｂおよび目標ベクトルｔとの組（Ｂ，ｔ）を入力とし、目標ベクトルｔと目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）を得て出力する。この差分ベクトルは式（５）に示した変形ＬＷＥの解である。

初期設定部４１は、実数Ｌを初期値Ｌ１＝１，√２，√３，√４，√５，…，（Ｌ１_ｍａｘ）^１／２に設定し（ステップＳ４１）、制御部４５はそれぞれのＬ＝Ｌ１について、以下のステップＳ４２１〜Ｓ４２４、Ｓ４３の処理を実行させる。なお、Ｌ１_ｍａｘは予め定められた正の整数である。

１．初期設定部４２１は、組（Ｂ，ｔ）を入力とし、基底Ｂ_０と目標ベクトルｔ_０との組からなるノード（Ｂ_０，ｔ_０）＝（Ｂ，ｔ）を得て出力する。また初期設定部４２１は、ｖ＝０に設定する（ステップＳ４２１）。

２．制御部４５はｖについて以下の処理を実行させる。
（ａ）子ノード生成部４２２は、ノード（Ｂ_ｖ，ｔ_ｖ）を用い、ι＝１，…，ρ（ｖ）について、基底Ｂ_ｖ＋１と、目標ベクトルｔ_ｖ，ιと、の組であるノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）（子ノード）を生成する。ただし、ρ（ｖ）は正の整数である。基底Ｂ_ｖ＋１に対応する格子Ｌ（Ｂ_ｖ＋１）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ_ｖ＋１｝は、基底Ｂ_ｖに対応する格子Ｌ（Ｂ_ｖ）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ_ｖ｝の部分格子である。いずれかのι’∈｛１，…，ρ（ｖ）｝について目標ベクトルｔ_ｖ，ι’と当該目標ベクトルｔ_ｖ，ι’に最も近い最近ベクトルｔ_ｖ，ι’ ^（ｃ）∈Ｌ（Ｂ_ｖ＋１）との差分ベクトルｔ_ｖ，ι’ ^（ｄ）＝ｔ_ｖ，ι’−ｔ_ｖ，ι’ ^（ｃ）（図１４Ｂ）は、目標ベクトルｔ_ｖと当該目標ベクトルｔ_ｖに最も近い最近ベクトルｔ_ｖ ^（ｃ）∈Ｌ（Ｂ_ｖ）との差分ベクトルｔ_ｖ ^（ｄ）＝ｔ_ｖ−ｔ_ｖ ^（ｃ）（図１４Ａ）に等しい。この処理の詳細は後述する（ステップＳ４２２）。

（ｂ）判定処理部４２３は、実数Ｌ、ノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）を入力とし、第１実施形態で説明した変換装置１および第３実施形態で説明した判定装置３を用い、ι＝１，…，ρ（ｖ）についてＢ＝Ｂ_ｖ＋１かつｔ＝ｔ_ｖ，ιとして判定装置３の処理を実行する。これにより、判定処理部４２３は、ι＝１，…，ρ（ｖ）の各ノード（Ｂ_ｖ＋１，ｔ_ｖ，ι）について、||ｔ_ｖ，ι ^（ｄ）||≦Ｌ（すなわち、Ｅｖａｌ_ｑ≦Ｌ）を満たすか||ｔ_ｖ，ι ^（ｄ）||＞γＬ（すなわち、Ｅｖａｌ_ｑ＞Ｌ）を満たすかの判定結果を得ることができる（ステップＳ４２３）。

ここで、すべてのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ＞Ｌを満たすと判定された場合（すなわち、すべてのι＝１，…，ρ（ｖ）について||ｔ_ｖ，ι ^（ｄ）||＞γＬと判定された場合）には設定した実数Ｌが小さ過ぎたとして、ノード選択部４２４は、実数Ｌを増加させて初期設定部４２１、子ノード生成部４２２、および判定処理部４２３の処理を再び実行させる。例えば、すべてのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ＞Ｌを満たすと判定された場合、ノード選択部４２４は、Ｌを（Ｌ^２＋１）^１／２に置き換えて（すなわち、（Ｌ^２＋１）^１／２を新たなＬとして）、処理をステップＳ４２１に戻す。一方、いずれかのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ≦Ｌを満たすと判定された場合（すなわち、||ｔ_ｖ，ι ^（ｄ）||≦Ｌと判定された場合）、ノード選択部４２４は、最小のＥｖａｌ_ｑに対応するノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）（ただし、ι’∈｛１，…，ρ（ｖ）｝）をノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）に設定して出力する。このように選択されたノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）の目標ベクトルｔ_ｖ，ι’に対応する差分ベクトルｔ_ｖ，ι’ ^（ｄ）は、差分ベクトルｔ_ｖ ^（ｄ）＝ｔ_ｖ−ｔ_ｖ ^（ｃ）に等しい（図１４Ａおよび図１４Ｂ）。従って、このように選択されたノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）の目標ベクトルｔ_ｖ，ι’に対応する差分ベクトルｔ_ｖ，ι’ ^（ｄ）は、最初の格子Ｌ（Ｂ）＝Ｌ（Ｂ_０）における差分ベクトルｔ^（ｄ）に等しい（図１５：ステップＳ４２４）。

制御部４５はｖ＝ｎ−１であるかを判定する。ｖ＝ｎ−１でなければ、制御部４５はｖ＋１を新たなｖとして処理をステップＳ４２２に戻す。一方、ｖ＝ｎ−１であれば、差分ベクトル生成部４３は、ノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）＝（Ｂ_ｎ，ｔ_ｎ）の目標ベクトルｔ_ｎを差分ベクトルｔ_Ｌ１ ^（ｄ）として得て出力する。すなわち、差分ベクトル生成部４３は、ｖ＝０からｖ＝ｎ−１まで各ｖ＝０，…，ｎ−１について子ノード生成部４２２と判定処理部４２３とノード選択部４２４の処理（ステップＳ４２２〜４２４）を実行して得られたノード（Ｂ_ｎ，ｔ_ｎ）の目標ベクトルｔ_ｎを差分ベクトルｔ_Ｌ１ ^（ｄ）として得て出力する（ステップＳ４３）。

それぞれのＬ＝Ｌ１＝１，√２，√３，√４，√５，…，（Ｌ１_ｍａｘ）^１／２について、上述のステップＳ４２１〜Ｓ４２４、Ｓ４３の処理が行われることにより、各Ｌ１に対応する差分ベクトルの集合

が得られる。出力部４４は、これらの集合に属する差分ベクトルのうち、何れかの初期値Ｌ１に対応する差分ベクトルｔ_Ｌ１ ^（ｄ）を差分ベクトルｔ^（ｄ）として出力する。例えば、出力部４４は、これらの集合に属する差分ベクトルのうち、最も短い差分ベクトルを差分ベクトルｔ^（ｄ）として出力する（ステップＳ４４）。

≪子ノード生成部４２２の処理（ステップＳ４２２）の詳細≫
子ノード生成部４２２の処理（ステップＳ４２２）の詳細を例示する。
子ノード生成部４２２は、ノード（Ｂ_ｖ，ｔ_ｖ）を用いて、例えば、以下のようにノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）を生成する。

まず、子ノード生成部４２２は、Ｂ＝Ｂ_ｖ、ｔ＝ｔ_ｖ、ｍ＝１、かつＬ＝Ｌ１として、第１実施形態で説明した変換装置１の古典計算部１１に処理を依頼する。これにより、古典計算部１１は以下の処理を実行する。
１．古典計算部１１の演算部は、基底Ｂ_ｖに対応する基底行列β_ｖの逆行列β_ｖ ^−１の要素の分母の最小公倍数Ｎ_ｖ’を計算して出力する。ただし、β_ｖは基底Ｂ_ｖ＝｛ｂ_ｖ１，…，ｂ_ｖｎ｝のｎ次元ベクトルｂ_ｖ１，…，ｂ_ｖｎを要素とするｎ行ｎ列の基底行列である。例えば、β_ｖはｎ次元ベクトルｂ_ｖｉをｖｉ行目の成分とする行列である（ステップＳ１１１）。
２．古典計算部１１の演算部は、基底Ｂ_ｖのＮ_ｖ’に関する双対基底Ｂ_ｖ ⁻’を計算して出力する（ステップＳ１１２）。
３．古典計算部１１の演算部は、Ｎ_ｖ’の倍数Ｎ_ｖを選択して出力する（ステップＳ１１３）。
４．古典計算部１１の演算部は、双対基底Ｂ_ｖ ⁻’についてＮ_ｖに関する双対基底Ｂ_ｖ ⁻＝（Ｎ_ｖ／Ｎ_ｖ’）Ｂ_ｖ ⁻’を得て出力する（ステップＳ１１４）。
５．古典計算部１１の演算部は、正の整数Ｍ_ｖを選択して出力する（ステップＳ１１５）。
６．古典計算部１１の演算部は、２Ｒ_ｖ≦Ｎ_ｖ＜４Ｒ_ｖを満たす実数Ｒ_ｖを選択して出力する（ステップＳ１１６）。
古典計算部１１は、（Ｌ，ｎ，Ｍ_ｖ，Ｎ_ｖ，Ｒ_ｖ，Ｂ_ｖ，ｔ_ｖ）を出力する（ステップＳ１１９）。
なお、ｍ＝１かつＬ＝Ｌ１と定められているため、ステップＳ１１７およびＳ１１８は実行されない。

７．子ノード生成部４２２は、Ｂ＝Ｂ_ｖ、ｔ＝ｔ_ｖ、ｍ＝１、Ｌ＝Ｌ１、かつ（Ｌ，ｎ，Ｍ，Ｎ，Ｒ，Ｂ，ｔ）＝（Ｌ，ｎ，Ｍ_ｖ，Ｎ_ｖ，Ｒ_ｖ，Ｂ_ｖ，ｔ_ｖ）とし、第１実施形態で説明した変換装置１の量子計算部１２に処理を依頼する。これにより、量子計算部１２は、Ｂ＝Ｂ_ｖ、ｔ＝ｔ_ｖ、ｍ＝１、Ｌ＝Ｌ１、かつ（Ｌ，ｎ，Ｍ，Ｎ，Ｒ，Ｂ，ｔ）＝（Ｌ，ｎ，Ｍ_ｖ，Ｎ_ｖ，Ｒ_ｖ，Ｂ_ｖ，ｔ_ｖ）として第１実施形態で説明した量子計算を１回実行する。これにより、量子計算部１２は、ｊ＝ｍ＝１について、ｎ次元ベクトルｒ_１＝（ｒ_１１，…，ｒ_１ｎ）∈［０，Ｎ）^ｎおよびｒ_１０∈［０，Ｍ）を得て出力する。以降、本形態では、このベクトルｒ_１＝（ｒ_１１，…，ｒ_１ｎ）をｒ（ｖ）＝（ｒ_ｖ，１，…，ｒ_ｖ，ｎ）と表記し、ｒ_１０をｒ_ｖ，０と表記する。

８．子ノード生成部４２２は、ｒ_ｊ＝ｒ（ｖ）、Ｎ＝Ｎ_ｖ、Ｂ⁻＝Ｂ_ｖ ⁻とし、第１実施形態で説明した変換装置１の古典計算部１３に処理を依頼する。古典計算部１３は、Nearest Planeアルゴリズムなどを用いて、ＣＶＰ（Ｂ_ｖ ⁻，ｒ（ｖ））を解く。これにより、古典計算部１３は、ｒ（ｖ）に最も近い最近ベクトルｒ（ｖ）^（ｃ）∈Ｌ（Ｂ_ｖ ⁻）および差分ベクトルｒ（ｖ）^（ｄ）＝ｒ（ｖ）−ｒ（ｖ）^（ｃ）を得て出力する。

９．子ノード生成部４２２の演算部は、ｎ次元ベクトルｒ（ｖ）について格子｛ν∈Ｚ^ｎ｜＜ｒ（ｖ），ν＞＝０ｍｏｄＮ_ｖ｝の基底Ｂ_ｒ（ｖ）を得て出力する。基底Ｂ_ｒ（ｖ）の計算にはエルミート標準形が用いられる。

１０．子ノード生成部４２２の演算部は、Ｌ（Ｂ_ｖ）∩Ｌ（Ｂ_ｒ（ｖ））（＝｛ｘ∈Ｌ（Ｂ_ｖ）｜＜ｒ（ｖ）^（ｄ），ν＞＝０ｍｏｄＮ_ｖ｝）の基底Ｂ’_ｒ（ｖ）を得て出力する。

１１．子ノード生成部４２２の演算部は、＜ｒ（ｖ）^（ｄ），ｂ_{ｒ（ｖ）（ｄ），Ｎｖ}＞＝Ｎ_ｖを満たすｎ次元ベクトルｂ_{ｒ（ｖ）（ｄ），Ｎｖ}を得て出力する。この計算には拡張ユークリッド互除法が用いられる。

１２．子ノード生成部４２２の演算部は、ｚ（ｖ）＝ｒｏｕｎｄ（ｒ_ｖ，０Ｎ_ｖ／Ｍ_ｖ）に対して、＜ｒ（ｖ），ｔ_{ｒ（ｖ），ｚ（ｖ）}＞＝ｚ（ｖ）ｍｏｄＮ_ｖを満たすｎ次元ベクトルｔ_{ｒ（ｖ），ｚ（ｖ）}を得て出力する。この計算には拡張ユークリッド互除法が用いられる。

１３．子ノード生成部４２２の演算部は、ｔ’_{ｒ（ｖ），ｚ（ｖ）}∈（ｔ_ｖ＋Ｌ（Ｂ_ｖ））∩（ｔ_{ｒ（ｖ），ｚ（ｖ）}＋Ｌ（Ｂ_ｒ（ｖ）））を満たすｎ次元ベクトルｔ’_{ｒ（ｖ），ｚ（ｖ）}を得て出力する。この計算にはスミス標準形が用いられる。

１４．子ノード生成部４２２の演算部は、ＡＢＳ（＜ｒ（ｖ）^（ｄ），ｔ’_{ｒ（ｖ），ｚ（ｖ）}＋ｋｂ_{ｒ（ｖ）（ｄ），Ｎｖ}＞）を最小にするｋをｋ_ｚ（ｖ）とし、ｔ”_{ｒ（ｖ），ｚ（ｖ）}＝ｔ’_{ｒ（ｖ），ｚ（ｖ）}＋ｋ_ｚ（ｖ）ｂ_{ｒ（ｖ）（ｄ），Ｎｖ}を得て出力する。

１５．子ノード生成部４２２の演算部は、集合Ｃ_ｖを以下のように設定する。

１６．子ノード生成部４２２の演算部は、すべてのｙ∈Ｃ_ｖに対して、以下のステップＳ４２２ａからＳ４２２ｄの操作を実行する。
（ａ）子ノード生成部４２２の演算部は、＜ｒ（ｖ），ｔ_{ｒ（ｖ），ｙ}＞＝ｙｍｏｄＮ_ｖを満たすベクトルｔ_{ｒ（ｖ），ｙ}を得て出力する。この計算には拡張ユークリッド互除法が用いられる（ステップＳ４２２ａ）。
（ｂ）子ノード生成部４２２の演算部は、ｔ’_{ｒ（ｖ），ｙ}∈（ｔ_ｖ＋Ｌ（Ｂ_ｖ））∩（ｔ_{ｒ（ｖ），ｙ}＋Ｌ（Ｂ_ｒ（ｖ）））を満たすベクトルｔ’_{ｒ（ｖ），ｙ}を得て出力する。この計算にはスミス標準形が用いられる（ステップＳ４２２ｂ）。
（ｃ）ｖ＋１次元超平面Ｈ（ｖ）をｓｐａｎ（ｒ（０）^（ｄ），…，ｒ（ｖ）^（ｄ））⊆Ｒｅ^ｎで定義する。すなわち、ｒ（０）^（ｄ），…，ｒ（ｖ）^（ｄ）で張られる実数係数のｎ次元ベクトル空間がＨ（ｖ）である。Ｐ_Ｈ（ｖ）（Ｂ’_ｒ（ｖ）），Ｐ_Ｈ（ｖ）（ｔ’_{ｒ（ｖ），ｙ}）をそれぞれ、Ｂ’_ｒ（ｖ），ｔ’_{ｒ（ｖ），ｙ}のＨ（ｖ）への射影とする。子ノード生成部４２２の演算部は、Nearest Planeアルゴリズムなどを用いて、ＣＶＰ（Ｐ_Ｈ（ｖ）（Ｂ’_ｒ（ｖ）），Ｐ_Ｈ（ｖ）（ｔ’_{ｒ（ｖ），ｙ}））を解く。これにより、子ノード生成部４２２の演算部は、Ｐ_Ｈ（ｖ）（ｔ’_{ｒ（ｖ），ｙ}）に最も近い最近ベクトルＰ_Ｈ（ｖ）（ｔ’_{ｒ（ｖ），ｙ}）^（ｃ）∈Ｌ（Ｐ_Ｈ（ｖ）（Ｂ’_ｒ（ｖ）））を得て出力する（ステップＳ４２２ｃ）。
（ｄ）Ｐ_Ｈ（ｖ）（ｔ’_{ｒ（ｖ），ｙ}）^（ｃ）は、Ｐ_Ｈ（ｖ）（Ｂ’_ｒ（ｖ））の線形結合として表現できる。子ノード生成部４２２の演算部は、

を満たすｃ_{ｖ，ｙ，ｘ}を計算し、

を得て出力する（ステップＳ４２２ｄ）。

１７．子ノード生成部４２２の演算部は、集合Ｃ_ｖ’を以下のように設定する。

子ノード生成部４２２の演算部は、

を｛（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）｝
として出力する。

［第５実施形態］
第５実施形態では、量子計算および古典計算により、第２実施形態で変換された変形ＬＷＥについてのＧａｐＣＶＰ_γを解く処理（第３実施形態）をサブルーチンとして利用してＬＷＥを解く（図３）。

＜構成＞
図１３に例示するように、本形態の計算装置５は、初期設定部４１，４２１、基底設定部５１、子ノード生成部４２２、判定処理部４２３、ノード選択部４２４、差分ベクトル生成部４３、出力部４４、および制御部４５を有する。計算装置４は、制御部４５の制御のもとで各処理を実行する。

＜処理＞
本形態の処理を説明する。本形態の計算装置５は、ｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔ，ｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔおよび整数Ｎ’を入力とし、ＬＷＥを表す前述の式（１０）を満たす（ｄ_１，…，ｄ_ｎ）^Ｔを差分ベクトルｔ^（ｄ）として得て出力する。この差分ベクトルｔ^（ｄ）は式（５）に示した変形ＬＷＥの解である。

初期設定部４１は、実数Ｌを初期値Ｌ１＝１，√２，√３，√４，√５，…，（Ｌ１_ｍａｘ）^１／２に設定し（ステップＳ４１）、制御部４５はそれぞれのＬ＝Ｌ１について、以下のステップＳ５１、Ｓ４２１〜Ｓ４２４、Ｓ４３の処理を実行させる。なお、Ｌ１_ｍａｘは予め定められた正の整数である。

０．基底設定部５１は、｛ａ_１，…，ａ_ｍ，Ｎ’ε_１，…，Ｎ’ε_ｎ｝から計算したＬＬＬ既約基底を基底Ｂとし、さらにｔ＝ｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔとして出力する（ステップＳ５１）。以降は第４実施形態と同じである。以下概要を示す。

初期設定部４２１は、基底Ｂおよびｔ＝ｇを入力とし、基底Ｂ_０と目標ベクトルｔ_０との組からなるノード（Ｂ_０，ｔ_０）＝（Ｂ，ｔ）を得て出力する。また初期設定部４２１は、ｖ＝０に設定する（ステップＳ４２１）。

（ａ）子ノード生成部４２２は、ノード（Ｂ_ｖ，ｔ_ｖ）を用い、ι＝１，…，ρ（ｖ）について、基底Ｂ_ｖ＋１と、目標ベクトルｔ_ｖ，ιと、の組であるノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）（子ノード）を生成する。ただし、ρ（ｖ）は正の整数である。基底Ｂ_ｖ＋１に対応する格子Ｌ（Ｂ_ｖ＋１）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ_ｖ＋１｝は、基底Ｂ_ｖに対応する格子Ｌ（Ｂ_ｖ）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ_ｖ｝の部分格子である。いずれかのι’∈｛１，…，ρ（ｖ）｝について目標ベクトルｔ_ｖ，ι’と当該目標ベクトルｔ_ｖ，ι’に最も近い最近ベクトルｔ_ｖ，ι’ ^（ｃ）∈Ｌ（Ｂ_ｖ＋１）との差分ベクトルｔ_ｖ，ι’ ^（ｄ）＝ｔ_ｖ，ι’−ｔ_ｖ，ι’ ^（ｃ）は、目標ベクトルｔ_ｖと当該目標ベクトルｔ_ｖに最も近い最近ベクトルｔ_ｖ ^（ｃ）∈Ｌ（Ｂ_ｖ）との差分ベクトルｔ_ｖ ^（ｄ）＝ｔ_ｖ−ｔ_ｖ ^（ｃ）に等しい（ステップＳ４２２）。
（ｂ）判定処理部４２３は、ι＝１，…，ρ（ｖ）の各ノード（Ｂ_ｖ＋１，ｔ_ｖ，ι）について、||ｔ_ｖ，ι ^（ｄ）||≦Ｌ（すなわち、Ｅｖａｌ_ｑ≦Ｌ）を満たすか||ｔ_ｖ，ι ^（ｄ）||＞γＬ（すなわち、Ｅｖａｌ_ｑ＞Ｌ）を満たすかの判定結果を得る（ステップＳ４２３）。
ここで、すべてのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ＞Ｌを満たすと判定された場合、ノード選択部４２４は、実数Ｌを増加させてステップＳ４２１からＳ４２３の処理を再び実行させる。一方、いずれかのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ≦Ｌを満たすと判定された場合、ノード選択部４２４は、最小のＥｖａｌ_ｑに対応するノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）をノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）に設定して出力する（ステップＳ４２４）。

制御部４５はｖ＝ｎ−１であるかを判定する。ｖ＝ｎ−１でなければ、制御部４５はｖ＋１を新たなｖとして処理をステップＳ４２２に戻す。一方、ｖ＝ｎ−１であれば、差分ベクトル生成部４３は、ノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）＝（Ｂ_ｎ，ｔ_ｎ）の目標ベクトルｔ_ｎを差分ベクトルｔ_Ｌ１ ^（ｄ）として得て出力する（ステップＳ４３）。

出力部４４は、各Ｌ１に対応する差分ベクトルの集合に属する差分ベクトルのうち、何れかの初期値Ｌ１に対応する差分ベクトルｔ_Ｌ１ ^（ｄ）を差分ベクトルｔ^（ｄ）として出力する。例えば、出力部４４は、これらの集合に属する差分ベクトルのうち、最も短い差分ベクトルを差分ベクトルｔ^（ｄ）として出力する（ステップＳ４４）。

［第６実施形態］
本形態は、第４実施形態の処理をサブルーチンとして利用してＳＶＰを解く。

＜構成＞
図１６に例示するように、本形態の計算装置６は、基底生成部６１、設定部６２、選択部６３、および制御部６５を有する。

＜処理＞
本形態の計算装置６は、基底Ｂを入力として、格子Ｌ（Ｂ）の中で最も原点に近い格子点への最短ベクトルｔ^（ｃ）を出力する。

まず、基底生成部６１が、すべてのｉ＝１，…，ｎについて、Ｂ_ｉ＝｛ｂ_１，…，ｂ_ｉ−１，２ｂ_ｉ，ｂ_ｉ＋１，…，ｂ_ｎ｝に設定する（ステップＳ６１）。

次に、設定部６２が、ｉ＝１，…，ｎについて、Ｂ＝Ｂ_ｉかつｔ＝ｂ_ｉとし、第４実施形態で説明した計算装置４に処理を依頼する。計算装置４は、Ｂ＝Ｂ_ｉかつｔ＝ｂ_ｉとして第４実施形態で説明した処理を行って差分ベクトルｔ^（ｄ）を得て出力する。設定部６２は、Ｂ＝Ｂ_ｉおよびｔ＝ｂ_ｉ対して得られた当該差分ベクトルｔ^（ｄ）をｔ_ｉ ^（ｄ）に設定する。これにより、設定部６２はｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ）を得る（ステップＳ６２）。

選択部６３は、設定部６２で得られたｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ）を入力とし、ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ）の中で最短もの（長さが最も短いベクトル）を最短ベクトルｔ^（ｃ）として出力する（ステップＳ６３）。

［その他の変形例等］
なお、本発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

古典計算部１１，２１，１３、制御部１４、判定装置３、および計算装置４〜６は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての演算部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。量子計算部１２は、公知の量子コンピュータによって構成される。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されるのではなく、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

本発明を用いることにより、組み合わせ最適化問題の一種である格子問題の部分問題を効率的に解くことができる。これにより、例えば２つの産業分野に影響を及ぼす。人工知能分野と耐量子暗号分野である。

本発明を適用することで、人工知能分野での組み合わせ最適化問題の部分問題を効率的に解くことができる。Shorのアルゴリズムは周期発見問題に応用できるが，人工知能で問題となっている組み合わせ最適化問題には適用できない。一方、Shor のアルゴリズム発見以降に提案されたGroverのアルゴリズムや量子ウォークアルゴリズムなどは、組み合わせ最適化問題に適用できるが、問題を効率的に解くことができない。本発明は、両者の欠点を補い、量子コンピュータの人工知能への応用に新たな可能性をもたらす。例えば、本発明をゲート型量子コンピュータ上および古典コンピュータで実装することにより、人工知能を用いて工業・材料・医療・医薬・エネルギー・物理・化学・経済・実社会等の様々な事象を高速にシミュレーションすることが可能となり、各分野の急激な進歩発展に貢献する。

また、耐量子暗号分野においては、本発明によって従来の格子暗号の安全性が損なわれる可能性がある。脆弱性を補うために鍵長を長くする等の対策が必要になるが、鍵長の変更は暗号効率の悪化を招きかねない。本発明を格子暗号の安全性評価と暗号効率との評価に利用すれば、これらの問題を共に解決する暗号方式の開発に貢献することも期待される。

１，２変換装置
３判定装置
４〜６計算装置

Claims

ｎ，ｍ，Ｍ，Ｎが正の整数であり、Ｍ＜Ｎであり、ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、η^Ｔがηの転置であり、｜Λ｜がΛの要素数であり、ｒｏｕｎｄ（μ）がμに最も近い整数であり、ｆｌｏｏｒ（μ）がμ以下の最大の整数であり、ｃｅｉｌ（μ）がμ以上の最小の整数であり、ｄｅｔ（η）がηの行列式であり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、βが前記基底Ｂの前記ｎ次元ベクトルｂ_１，…，ｂ_ｎを要素とするｎ行ｎ列の基底行列であり、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔがｎ個の整数要素ｔ_ｉからなる目標ベクトルであり、ｘ_ｉが整数であり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、τがｎ次元ベクトルであり、τ＋Ｌ（Ｂ）＝Ｌ（Ｂ）＋τ＝｛τ＋χ｜χ∈Ｌ（Ｂ）｝であり、ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，ｅ_ｊが整数であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、ｓが整数要素からなるｎ次元ベクトルであり、
前記基底Ｂおよび前記目標ベクトルｔの入力に対し、

を満たす｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを出力する変換装置であって、
前記基底行列βの逆行列β^−１の要素の分母の最小公倍数Ｎ’の倍数Ｎを選択し、前記基底ＢのＮ’に関する双対基底Ｂ⁻’＝｛ｂ_１ ⁻’，…，ｂ_ｎ ⁻’｝についてＮに関する双対基底Ｂ⁻＝｛（Ｎ／Ｎ’）ｂ_１ ⁻’，…，（Ｎ／Ｎ’）ｂ_ｎ ⁻’｝を得る第１古典計算部と、
Ｂ_Ｒが［０，Ｎ）^ｎに含まれる点の集合であり、ｃｅｉｌ（ｌｏｇ_２Ｍ）個の量子ビットからなるインデックスレジスタと、ｎ×ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットからなるデータレジスタと、ｎ×ｃｅｉｌ（ｌｏｇ_２ｄｅｔ（β））個の量子ビットからなるワークレジスタとからなるレジスタ列の量子状態を

にする量子状態生成部と、
前記インデックスレジスタに対するＭ次元量子フーリエ変換を実行し、前記レジスタ列の量子状態を

にする第１量子フーリエ変換部と、
ｘ−ｗｔ＝ｙ_{ｗ，ｘ，１}ｂ_１＋…＋ｙ_{ｗ，ｘ，ｎ}ｂ_ｎを満たし、前記第１量子フーリエ変換部で得られた量子状態の前記レジスタ列に対して量子状態｜ｗ＞｜ｘ＞｜０＞を量子状態｜ｗ＞｜ｘ＞｜ｄｅｔ（β）（ｙ_{ｗ，ｘ，１}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，１}）），…，ｄｅｔ（β）（ｙ_{ｗ，ｘ，ｎ}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，ｎ}））＞にする量子操作を実行する操作部と、
前記操作部で得られた量子状態の前記ワークレジスタを観測し、前記インデックスレジスタおよび前記データレジスタの量子状態を

にする第１観測部と、
前記第１観測部での観測後の量子状態の前記データレジスタに対するＮ次元量子フーリエ変換を実行する第２量子フーリエ変換部と、
前記第２量子フーリエ変換部で得られた量子状態の前記データレジスタを観測して観測結果（ｒ_ｊ１，…，ｒ_ｊｎ）を得る第２観測部と、
前記第２観測部での観測後の量子状態の前記インデックスレジスタに対するＭ次元逆量子フーリエ変換を実行する逆量子フーリエ変換部と、
前記逆量子フーリエ変換部で得られた量子状態の前記インデックスレジスタを観測して観測結果ｒ_ｊ０を得る第３観測部と、
前記第１古典計算部で得られた前記双対基底Ｂ⁻、および、前記量子状態生成部と前記第１量子フーリエ変換部と前記操作部と前記第１観測部と前記第２量子フーリエ変換部と前記第２観測部と前記第３観測部の処理をｊ＝１，…，ｍについて行って得られた前記観測結果（ｒ_ｊ１，…，ｒ_ｊｎ）およびｒ_ｊ０を入力とし、双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝およびｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）について、前記ｎ次元ベクトルｒ_ｊに最も近い最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）および差分ベクトルｒ_ｊ ^（ｄ）＝ｒ_ｊ−ｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を得る第２古典計算部と、
を有する変換装置。
ｎ，ｍ，ｍ’，Ｍ，Ｎ，Ｎ’が正の整数であり、Ｍ＜Ｎであり、ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、ｕ＝１，…，ｎであり、η^Ｔがηの転置であり、｜Λ｜がΛの要素数であり、ｒｏｕｎｄ（μ）がμに最も近い整数であり、ｆｌｏｏｒ（μ）がμ以下の最大の整数であり、ｃｅｉｌ（μ）がμ以上の最小の整数であり、ｄｅｔ（η）がηの行列式であり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、βが前記基底Ｂの前記ｎ次元ベクトルｂ_１，…，ｂ_ｎを要素とするｎ行ｎ列の基底行列であり、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔがｎ個の整数要素ｔ_ｉからなる目標ベクトルであり、ｘ_ｉが整数であり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、τがｎ次元ベクトルであり、τ＋Ｌ（Ｂ）＝Ｌ（Ｂ）＋τ＝｛τ＋χ｜χ∈Ｌ（Ｂ）｝であり、ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，ｅ_ｊ，Ｘ_ｊ，ｄ_ｉが整数であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、ｓが整数要素からなるｎ次元ベクトルであり、ａ_ｊがｎ個の整数要素ａ_１ｊ，…，ａ_ｎｊからなるｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔであり、ｇがｎ個の要素ｇ_１，…，ｇ_ｎからなるｎ次元ベクトルｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔであり、ε_ｕがｕ番目の要素が１で他の要素が０のｎ次元単位ベクトルε_ｕ＝（０，…，１，０，…，０）^Ｔであり、

を満たす前記ｎ次元ベクトルａ_ｊ，ｇおよび前記整数Ｎ’の入力に対し、

を満たす｛ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０｝およびｍ，Ｍ，Ｎを出力する変換装置であって、
｛ａ_１，…，ａ_ｍ’，Ｎ’ε_１，…，Ｎ’ε_ｎ｝から計算したＬＬＬ既約基底を前記基底Ｂとし、前記基底ＢのＮ’に関する双対基底Ｂ⁻’＝｛ｂ_１ ⁻’，…，ｂ_ｎ ⁻’｝についてＮに関する双対基底Ｂ⁻＝｛（Ｎ／Ｎ’）ｂ_１ ⁻’，…，（Ｎ／Ｎ’）ｂ_ｎ ⁻’｝を得、ｔ＝ｇとする第１古典計算部と、
Ｂ_Ｒが［０，Ｎ）^ｎに含まれる点の集合であり、ｃｅｉｌ（ｌｏｇ_２Ｍ）個の量子ビットからなるインデックスレジスタと、ｎ×ｃｅｉｌ（ｌｏｇ_２Ｎ）個の量子ビットからなるデータレジスタと、ｎ×ｃｅｉｌ（ｌｏｇ_２ｄｅｔ（β））個の量子ビットからなるワークレジスタとからなるレジスタ列の量子状態を

にする量子状態生成部と、
前記インデックスレジスタに対するＭ次元量子フーリエ変換を実行し、前記レジスタ列の量子状態を

にする第１量子フーリエ変換部と、
ｘ−ｗｔ＝ｙ_{ｗ，ｘ，１}ｂ_１＋…＋ｙ_{ｗ，ｘ，ｎ}ｂ_ｎを満たし、前記第１量子フーリエ変換部で得られた量子状態の前記レジスタ列に対して量子状態｜ｗ＞｜ｘ＞｜０＞を量子状態｜ｗ＞｜ｘ＞｜ｄｅｔ（β）（ｙ_{ｗ，ｘ，１}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，１}）），…，ｄｅｔ（β）（ｙ_{ｗ，ｘ，ｎ}−ｆｌｏｏｒ（ｙ_{ｗ，ｘ，ｎ}））＞にする量子操作を実行する操作部と、
前記操作部で得られた量子状態の前記ワークレジスタを観測し、前記インデックスレジスタおよび前記データレジスタの量子状態を

にする第１観測部と、
前記第１観測部での観測後の量子状態の前記データレジスタに対するＮ次元量子フーリエ変換を実行する第２量子フーリエ変換部と、
前記第２量子フーリエ変換部で得られた量子状態の前記データレジスタを観測して観測結果（ｒ_ｊ１，…，ｒ_ｊｎ）を得る第２観測部と、
前記第２観測部での観測後の量子状態の前記インデックスレジスタに対するＭ次元逆量子フーリエ変換を実行する逆量子フーリエ変換部と、
前記逆量子フーリエ変換部で得られた量子状態の前記インデックスレジスタを観測して観測結果ｒ_ｊ０を得る第３観測部と、
前記第１古典計算部で得られた前記双対基底Ｂ⁻、および、前記量子状態生成部と前記第１量子フーリエ変換部と前記操作部と前記第１観測部と前記第２量子フーリエ変換部と前記第２観測部と前記第３観測部の処理をｊ＝１，…，ｍについて行って得られた前記観測結果（ｒ_ｊ１，…，ｒ_ｊｎ）およびｒ_ｊ０を入力とし、格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝およびｎ次元ベクトルｒ_ｊ＝（ｒ_ｊ１，…，ｒ_ｊｎ）について、前記ｎ次元ベクトルｒ_ｊに最も近い最近ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）および差分ベクトルｒ_ｊ ^（ｄ）＝ｒ_ｊ−ｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））を得る第２古典計算部と、
を有する変換装置。
ｎ，ｍ，Ｎ，Ｍが正の整数であり、Ｍ＜Ｎであり、ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、η^Ｔがηの転置であり、ｒｏｕｎｄ（μ）がμに最も近い整数であり、ｆｌｏｏｒ（μ）がμ以下の最大の整数であり、ｃｅｉｌ（μ）がμ以上の最小の整数であり、ＡＢＳ（μ）がμの絶対値であり、||η||がηのユークリッドノルムであり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔがｎ個の整数要素ｔ_ｉからなる目標ベクトルであり、ｘ_ｉが整数であり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、τがｎ次元ベクトルであり、τ＋Ｌ（Ｂ）＝Ｌ（Ｂ）＋τ＝｛τ＋χ｜χ∈Ｌ（Ｂ）｝であり、Ｂ⁻が｛τ｜＜τ，χ＞＝０ｍｏｄＮｆｏｒａｌｌ χ∈Ｌ（Ｂ）｝のＬＬＬ既約基底であるＮに関する双対基底であり、＜τ，χ＞がτとχとの内積であり、Ｌ（Ｂ⁻）が双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝であり、ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，ｅ_ｊが整数であり、ｒ_ｊ ^（ｃ）がｎ次元ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）であり、ｒ_ｊ ^（ｄ）がｎ次元ベクトルｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、Ｌ，γが正の実数であり、γ＞１であり、

を満たす前記差分ベクトルｔ^（ｄ）が||ｔ^（ｄ）||≦Ｌを満たすか||ｔ^（ｄ）||＞γＬを満たすかを表す情報を出力する判定装置であって、
ｒ_ｊ＝ｒ_ｊ ^（ｃ）＋ｒ_ｊ ^（ｄ）＝ｓ_ｊ＝ｓ_ｊ ^（ｃ）＋ｓ_ｊ ^（ｄ）およびｓ_ｊ ^（ｃ）∈Ｌ（Ｂ⁻）を満たすｎ次元ベクトルｓ_ｊ ^（ｄ）を法線ベクトルとする有限個の超平面に含まれる何れかの超平面が前記差分ベクトルｔ^（ｄ）に対応しており、前記有限個の超平面に含まれる超平面のうち最も原点に近い超平面と前記原点との距離に基づく評価値Ｅｖａｌ_ｑを得る超平面距離推定部と、
Ｅｖａｌ_ｑ≦Ｌを満たすと判定した場合に||ｔ^（ｄ）||≦Ｌを満たす旨の情報を出力し、Ｅｖａｌ_ｑ＞Ｌを満たすと判定した場合に||ｔ^（ｄ）||＞γＬを満たす旨の情報を出力する判定部と、
を有する判定装置。
請求項３の判定装置であって、
αが正の実数であり、νが整数要素からなるｎ次元ベクトルであり、ｓ_ｊ０＝ｒ_ｊ０であり、
前記超平面距離推定部は、
前記ｎ次元ベクトルｓ_ｊについて格子｛ν∈Ｚ^ｎ｜＜ｓ_ｊ，ν＞＝０ｍｏｄＮ｝の基底Ｂ_ｓｊを得る超平面基底生成部と、
＜ｓ_ｊ ^（ｄ），ｂ_{ｓｊ（ｄ），Ｎ}＞＝Ｎを満たすｎ次元ベクトルｂ_{ｓｊ（ｄ），Ｎ}を得るベクトル生成部と、
ｙ０＝ｆｌｏｏｒ（（ｓ_ｊ０−α）Ｎ／Ｍ）＋１およびｙ１＝ｃｅｉｌ（（ｓ_ｊ０＋α）Ｎ／Ｍ）−１について、
（i）＜ｓ_ｊ，ｔ_{ｓｊ，ｙ０}＞＝ｙ_０ｍｏｄＮおよび＜ｓ_ｊ，ｔ_{ｓｊ，ｙ１}＞＝ｙ_１ｍｏｄＮを満たすｎ次元ベクトルｔ_{ｓｊ，ｙ０}およびｔ_{ｓｊ，ｙ１}を得、
（ii）ｔ’_{ｓｊ，ｙ０}∈（ｓ_ｊ＋Ｌ（Ｂ））∩（ｔ_{ｓｊ，ｙ０}＋Ｌ（Ｂ_ｓｊ））およびｔ’_{ｓｊ，ｙ１}∈（ｓ_ｊ＋Ｌ（Ｂ））∩（ｔ_{ｓｊ，ｙ１}＋Ｌ（Ｂ_ｓｊ））を満たすｎ次元ベクトルｔ’_{ｓｊ，ｙ０}およびｔ’_{ｓｊ，ｙ１}を得、
（iii）ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ’_{ｓｊ，ｙ０}＋ｋｂ_{ｓｊ（ｄ），Ｎ}＞）を最小にするｋをｋ_ｙ０とし、ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ’_{ｓｊ，ｙ１}＋ｋｂ_{ｓｊ（ｄ），Ｎ}＞）を最小にするｋをｋ_ｙ１とし、ｔ”_{ｓｊ，ｙ０}＝ｔ’_{ｓｊ，ｙ０}＋ｋ_ｙ０ｂ_{ｓｊ（ｄ），Ｎ}およびｔ”_{ｓｊ，ｙ１}＝ｔ’_{ｓｊ，ｙ１}＋ｋ_ｙ１ｂ_{ｓｊ（ｄ），Ｎ}を得、
（iv）＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞≦０≦＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞または＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞≦０≦＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞ならば距離ｄｉｓｔ_ｊ＝０とし、＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞および＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞が共に正または共に負ならばＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞）およびＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞）のうち小さい方を距離ｄｉｓｔ_ｊ＝ｍｉｎ（ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ０}＞），ＡＢＳ（＜ｓ_ｊ ^（ｄ），ｔ”_{ｓｊ，ｙ１}＞））として得る超平面距離候補設定部と、
設定された確率ｑについて、前記距離ｄｉｓｔ_１，…，ｄｉｓｔ_ｍを小さい順に並べた場合にｆｌｏｏｒ（ｑｍ）番目の値を前記評価値Ｅｖａｌ_ｑ∈｛ｄｉｓｔ_１，…，ｄｉｓｔ_ｍ｝として得る超平面距離選択部と、を含む判定装置。
ｎ，ｍ，Ｍ，Ｎ，ρ（ｖ）が正の整数であり、Ｍ＜Ｎであり、ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、ｖ＝０，…，ｎ−１であり、η^Ｔがηの転置であり、ｒｏｕｎｄ（μ）がμに最も近い整数であり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔがｎ個の整数要素ｔ_ｉからなる目標ベクトルであり、ｘ_ｉが整数であり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，ｅ_ｊが整数であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、Ｂ⁻が｛τ｜＜τ，χ＞＝０ｍｏｄＮｆｏｒａｌｌ χ∈Ｌ（Ｂ）｝のＬＬＬ既約基底であるＮに関する双対基底であり、＜τ，χ＞がτとχとの内積であり、Ｌ（Ｂ⁻）が双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝であり、ｒ_ｊ ^（ｃ）がｎ次元ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）であり、ｒ_ｊ ^（ｄ）がｎ次元ベクトルｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、前記差分ベクトルｔ^（ｄ）が

を満たし、Ｌ，γが正の実数であり、
前記基底Ｂおよび前記目標ベクトルｔとの組（Ｂ，ｔ）に対して前記差分ベクトルｔ^（ｄ）を出力する計算装置であって、
前記実数Ｌを初期値Ｌ１に設定する初期設定部と、
基底Ｂ_０と目標ベクトルｔ_０との組からなるノード（Ｂ_０，ｔ_０）＝（Ｂ，ｔ）を得る第２初期設定部と、
基底Ｂ_ｖ＋１に対応する格子Ｌ（Ｂ_ｖ＋１）が基底Ｂ_ｖに対応する格子Ｌ（Ｂ_ｖ）の部分格子であり、いずれかのι’∈｛１，…，ρ（ｖ）｝について目標ベクトルｔ_ｖ，ι’と前記目標ベクトルｔ_ｖ，ι’に最も近い最近ベクトルｔ_ｖ，ι’ ^（ｃ）∈Ｌ（Ｂ_ｖ＋１）との差分ベクトルｔ_ｖ，ι’−ｔ_ｖ，ι’ ^（ｃ）が、目標ベクトルｔ_ｖと前記目標ベクトルｔ_ｖに最も近い最近ベクトルｔ_ｖ ^（ｃ）∈Ｌ（Ｂ_ｖ）との差分ベクトルｔ_ｖ−ｔ_ｖ ^（ｃ）に等しく、ノード（Ｂ_ｖ，ｔ_ｖ）を用い、ι＝１，…，ρ（ｖ）について、前記基底Ｂ_ｖ＋１と、目標ベクトルｔ_ｖ，ιと、の組であるノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）を生成する子ノード生成部と、
ι＝１，…，ρ（ｖ）について、請求項３または４に記載の前記判定装置の処理をＢ＝Ｂ_ｖ＋１かつｔ＝ｔ_ｖ，ιとして実行する判定処理部と、
前記判定処理部がすべてのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ＞Ｌを満たすと判定した場合に、前記実数Ｌを増加させて、前記初期設定部、前記子ノード生成部、および前記判定処理部の処理を再び実行させ、前記判定処理部がいずれかのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ≦Ｌを満たすと判定した場合に、最小のＥｖａｌ_ｑに対応するノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）（ただし、ι’∈｛１，…，ρ（ｖ）｝）をノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）に設定するノード選択部と、
ｖ＝０からｖ＝ｎ−１まで各ｖ＝０，…，ｎ−１について前記子ノード生成部と前記判定処理部と前記ノード選択部の処理を実行して得られたノード（Ｂ_ｎ，ｔ_ｎ）の目標ベクトルｔ_ｎを差分ベクトルｔ_Ｌ１ ^（ｄ）として得る差分ベクトル生成部と、
何れかの前記初期値Ｌ１に対応する前記差分ベクトルｔ_Ｌ１ ^（ｄ）を前記差分ベクトルｔ^（ｄ）として出力する出力部と、
を有する計算装置。
ｎ，ｍ，ｍ’，Ｍ，Ｎ，Ｎ’が正の整数であり、Ｍ＜Ｎであり、ｉ＝１，…，ｎであり、ｊ＝１，…，ｍであり、ｖ＝０，…，ｎ−１であり、η^Ｔがηの転置であり、ｒｏｕｎｄ（μ）がμに最も近い整数であり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、ｔ＝（ｔ_１，…，ｔ_ｎ）^Ｔがｎ個の整数要素ｔ_ｉからなる目標ベクトルであり、ｘ_ｉが整数であり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、ｒ_ｊｉ ^（ｃ），ｒ_ｊｉ ^（ｄ），ｒ_ｊ０，Ｘ_ｊ，ｄ_ｉ，ｇ_ｉが整数であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、Ｂ⁻が｛τ｜＜τ，χ＞＝０ｍｏｄＮｆｏｒａｌｌ χ∈Ｌ（Ｂ）｝のＬＬＬ既約基底であるＮに関する双対基底であり、＜τ，χ＞がτとχとの内積であり、Ｌ（Ｂ⁻）が双対格子Ｌ（Ｂ⁻）＝｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ⁻ _ｉ｜ｘ_ｉ∈Ｚ，ｂ⁻ _ｉ∈Ｂ⁻｝であり、ｒ_ｊ ^（ｃ）がｎ次元ベクトルｒ_ｊ ^（ｃ）＝（ｒ_ｊ１ ^（ｃ），…，ｒ_ｊｎ ^（ｃ））∈Ｌ（Ｂ⁻）であり、ｒ_ｊ ^（ｄ）がｎ次元ベクトルｒ_ｊ ^（ｄ）＝（ｒ_ｊ１ ^（ｄ），…，ｒ_ｊｎ ^（ｄ））であり、ｔ^（ｄ）が前記目標ベクトルｔと前記目標ベクトルｔに最も近い最近ベクトルｔ^（ｃ）∈Ｌ（Ｂ）との差分ベクトルｔ^（ｄ）＝ｔ−ｔ^（ｃ）＝（ｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ））^Ｔであり、ａ_ｊがｎ個の整数要素ａ_１ｊ，…，ａ_ｎｊからなるｎ次元ベクトルａ_ｊ＝（ａ_１ｊ，…，ａ_ｎｊ）^Ｔであり、ｇがｎ個の要素ｇ_１，…，ｇ_ｎからなるｎ次元ベクトルｇ＝（ｇ_１，…，ｇ_ｎ）^Ｔであり、ε_ｕがｕ番目の要素が１で他の要素が０のｎ次元単位ベクトルε_ｕ＝（０，…，１，０，…，０）^Ｔであり、Ｌ，γが正の実数であり、前記ｎ次元ベクトルａ_ｊ，ｇおよび前記整数Ｎ’の入力に対して

を満たす（ｄ_１，…，ｄ_ｎ）^Ｔを前記差分ベクトルｔ^（ｄ）として出力する計算装置であって、
前記実数Ｌを初期値Ｌ１に設定する初期設定部と、
｛ａ_１，…，ａ_ｍ’，Ｎ’ε_１，…，Ｎ’ε_ｎ｝から計算したＬＬＬ既約基底を前記基底Ｂとし、ｔ＝ｇとし、基底Ｂ_０と目標ベクトルｔ_０との組からなるノード（Ｂ_０，ｔ_０）＝（Ｂ，ｔ）を得る第２初期設定部と、
基底Ｂ_ｖ＋１に対応する格子Ｌ（Ｂ_ｖ＋１）が基底Ｂ_ｖに対応する格子Ｌ（Ｂ_ｖ）の部分格子であり、いずれかのι’∈｛１，…，ρ（ｖ）｝について目標ベクトルｔ_ｖ，ι’と前記目標ベクトルｔ_ｖ，ι’に最も近い最近ベクトルｔ_ｖ，ι’ ^（ｃ）∈Ｌ（Ｂ_ｖ＋１）との差分ベクトルｔ_ｖ，ι’−ｔ_ｖ，ι’ ^（ｃ）が、目標ベクトルｔ_ｖと前記目標ベクトルｔ_ｖに最も近い最近ベクトルｔ_ｖ ^（ｃ）∈Ｌ（Ｂ_ｖ）との差分ベクトルｔ_ｖ−ｔ_ｖ ^（ｃ）に等しく、ノード（Ｂ_ｖ，ｔ_ｖ）を用い、ι＝１，…，ρ（ｖ）について、前記基底Ｂ_ｖ＋１と、目標ベクトルｔ_ｖ，ιと、の組であるノード（Ｂ_ｖ＋１，ｔ_ｖ，１），…，（Ｂ_ｖ＋１，ｔ_{ｖ，ρ（ｖ）}）を生成する子ノード生成部と、
ι＝１，…，ρ（ｖ）について、請求項３または４に記載の前記判定装置の処理をＢ＝Ｂ_ｖ＋１かつｔ＝ｔ_ｖ，ιとして実行する判定処理部と、
前記判定処理部がすべてのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ＞Ｌを満たすと判定した場合に、前記実数Ｌを増加させて、前記初期設定部、前記子ノード生成部、および前記判定処理部の処理を再び実行させ、前記判定処理部がいずれかのι＝１，…，ρ（ｖ）についてＥｖａｌ_ｑ≦Ｌを満たすと判定した場合に、最小のＥｖａｌ_ｑに対応するノード（Ｂ_ｖ＋１，ｔ_ｖ，ι’）（ただし、ι’∈｛１，…，ρ（ｖ）｝）をノード（Ｂ_ｖ＋１，ｔ_ｖ＋１）に設定するノード選択部と、
ｖ＝０からｖ＝ｎ−１まで各ｖ＝０，…，ｎ−１について前記子ノード生成部と前記判定処理部と前記ノード選択部の処理を実行して得られたノード（Ｂ_ｎ，ｔ_ｎ）の目標ベクトルｔ_ｎを差分ベクトルｔ_Ｌ１ ^（ｄ）として得る差分ベクトル生成部と、
何れかの前記初期値Ｌ１に対応する前記差分ベクトルｔ_Ｌ１ ^（ｄ）を前記差分ベクトルｔ^（ｄ）として出力する出力部と、
を有する計算装置。
ｎが正の整数であり、Ｂ＝｛ｂ_１，…，ｂ_ｎ｝が一次独立なｎ個のｎ次元ベクトルｂ_ｉからなる基底であり、前記ｎ次元ベクトルｂ_ｉのそれぞれがｎ個の整数要素からなり、Ｌ（Ｂ）が格子｛Σ_{ｉ＝１，…，ｎ}ｘ_ｉｂ_ｉ｜ｘ_ｉ∈Ｚ，ｂ_ｉ∈Ｂ｝であり、
前記基底Ｂを入力として、前記格子Ｌ（Ｂ）の中で最も原点に近い格子点への最短ベクトルを出力する計算装置であって、
すべてのｉ＝１，…，ｎについて、Ｂ_ｉ＝｛ｂ_１，…，ｂ_ｉ−１，２ｂ_ｉ，ｂ_ｉ＋１，…，ｂ_ｎ｝に設定する基底生成部と、
請求項５に記載の前記計算装置の処理をＢ＝Ｂ_ｉかつｔ＝ｂ_ｉとして実行して得られた前記差分ベクトルｔ^（ｄ）をｔ_ｉ ^（ｄ）に設定する設定部と、
前記設定部で得られたｔ_１ ^（ｄ），…，ｔ_ｎ ^（ｄ）の中で最短ものを前記最短ベクトルとして出力する選択部と、
を有する計算装置。