JPH11161164A - 公開鍵暗号方式と暗号化装置および復号装置 - Google Patents

Abstract

(57)【要約】 【課題】 暗号化の演算および復号化の演算が簡単で、
データ処理速度を高くする。 【解決手段】 暗号文Ｃを、共通の辞書行列となる縮退
したワードの集合Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，
ａ₁ ，…，ａ_m-1 のデータを代入した状態で、固有の公
開鍵行列となる行列Ｋ_G と縮退したワードの集合Ｇ
_D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって生成し、平文Ａを、暗号文Ｃと補正数Γ
（ｒ）と乱数ｒと整数ｄとを基に Ａ＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号する。

Description

【発明の詳細な説明】

【０００１】

【発明の属する技術分野】本発明は、例えば広域ネット
ワークを利用するデータ通信の分野で、秘密を要する各
種情報を暗号化し、あるいは暗号化された各種情報を復
号する公開鍵暗号方式とそれに用いる暗号化装置および
復号装置に関するものである。特に、この発明の公開鍵
暗号方式では、有限体上の乗算を一方向関数として利用
している。また、暗号化装置では、有限体上の乗算器を
用いて暗号化を行っている。

【０００２】

【従来の技術】情報化社会の著しい進展とともに、デー
タ、音声、画像等を中心とした多種多様かつ大容量の情
報通信（記録）システムが構築されつつある。特に、最
近、ＩＳＤＮを中心とする公共的な性格の強いネットワ
ークの普及と、パーソナルコンピュータを初めとする計
算機群を相互にネットワークで結んだパーソナル的な性
格の強いインターネットの爆発的な普及とが相俟って、
ようやく本格的なマルチメディア社会が到来しようとし
ている。

【０００３】情報通信（記録）に関わる技術の目的は、
情報源から出力されるデータ、音声情報、画像情報等
を、 （１）高信頼度に（正しく） （２）高能率に（速く，コンパクトに） （３）高セキュリティを保証して（安全に） 受信者に伝えること（通信路の主体が記憶装置である場
合には、受信者または送信者に再生すること）である。
（１）に関連する技術が誤り訂正技術であり、（２）に
関連する技術は音声・画像符号化を中心とする高能率符
号化技術であり、さらに、（３）に関連する技術は情報
セキュリティ技術である。

【０００４】情報セキュリティ技術は、 （１）共通鍵暗号（慣用暗号） （２）公開鍵暗号 に大別される。送信側における暗号化鍵と受信側におけ
る復号鍵とが同一である暗号方式を共通鍵暗号あるいは
慣用暗号と称する。暗号は古い歴史を有しているが、従
来の暗号は全てこのタイプに属している。

【０００５】１９７６年に、Diffie-Hellmanは、従来の
暗号の殻を破る公開鍵暗号の概念を明らかにした。公開
鍵暗号と共通鍵暗号の著しい差は、公開鍵暗号において
は、暗号化鍵と復号化鍵とが異なっていることである。
通常、公開鍵方式においては、その復号用の鍵を暗号化
用の鍵から導くことが計算量の点できわめて困難とな
り、この理由によって暗号化鍵を公開することができ
る。１９７７年には、優れた公開鍵暗号方式としてのＲ
ＳＡ（Rivest-Shamir-Adleman ）暗号が発明されてい
る。

【０００６】

【発明が解決しようとする課題】前述のように、暗号方
式は、共通鍵暗号方式、公開鍵暗号方式に分けられる
が、共通鍵暗号においては、加入者グループにＭユーザ
ーが存在する場合には、鍵の総数は _MＣ₂ ≒０．５Ｍ²
であり、公開鍵のＭに比べ、一般に非常に大きな数にな
る。各ユーザーにとって通信相手は高々１０００程度で
あるとしても、１０００個の異なった鍵を通信相手毎に
準備することは相当煩わしい問題である。したがって早
晩、セキュリティ技法の中心は公開鍵暗号の時代が到来
する。しかし、公開鍵暗号はＲＳＡ暗号がそうであるよ
うに、データ処理速度が一般に低くなることが実用化へ
の大きな壁となって立ちはだかっている。例えばＲＳＡ
暗号の場合、合成数ｎを５１２ビットとすると暗号化お
よび復号処理の主要部分は、５１２ビット×５１２ビッ
トの乗算と、１０２４ビット÷５１２ビットの除算を、
たとえ高速指数計算法を用いたとしても、それぞれ５０
０回程度必要とする。このため、公開鍵暗号方式の高速
化が火急の課題となっている。

【０００７】したがって、本発明の第１の目的は、暗号
化演算および復号演算が簡単で、共通鍵暗号方式と同程
度のデータ処理速度を可能とする公開鍵暗号方式を提供
することである。また、本発明の第２の目的は、高セキ
ュリティを保証することができる公開鍵暗号方式を提供
することである。

【０００８】また、本発明の第３の目的は、暗号化演算
が簡単で、高速に暗号化を実施することができる暗号化
装置を提供することである。また、本発明の第４の目的
は、共通構造のハードウェアの外部入力パターンの設定
を単に変更するだけで固有の公開鍵の違いに対応するこ
とができ、公開鍵の変更に容易に対応することができる
暗号化装置を提供することである。

【０００９】また、本発明の第５の目的は、復号演算が
簡単で、高速に復号を実施することができる復号装置を
提供することである。また、本発明の第６の目的は、共
通構造のハードウェアの外部入力パターンの設定を単に
変更するだけで固有の公開鍵の違いに対応することがで
き、公開鍵の変更に容易に対応することができる復号装
置を提供することである。

【００１０】

【課題を解決するための手段】本発明の請求項１記載の
公開鍵暗号方式は、２元体上のｍ次多項式Ｇ（Ｘ）（ｍ
は２以上の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵
暗号方式であって、平文Ａ∈Ｒ（ｍ）（以下、Ａと略記
する）をベクトル（ａ₀ ，ａ₁ ，…，ａ_{m- 1} ）とし、乱
数ｒ∈Ｒ（ｍ）（以下、ｒと略記する）をベクトル（ｒ
₀ ，ｒ₁ ，…，ｒ_m-1 ）とし、暗号文Ｃ∈Ｒ（ｍ）（以
下、Ｃと略記する）をベクトル（Ｃ ₁ ，Ｃ₂ ，…，Ｃ
_m-1 ）としたときに、共通の辞書行列となる縮退したワ
ードの集合（以下、縮退したワードの集合を縮退辞書と
呼ぶ）Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，…，
ａ_m-1 の実現値（データ）を代入した状態で、暗号文Ｃ
を、固有の公開鍵行列となる行列Ｋ_Gと縮退辞書Ｇ
_D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって生成し、平文Ａを、暗号文Ｃと秘密鍵で
ある３つのパラメータとしての補正数Γ（ｒ），乱数ｒ
および整数ｄとを基に Ａ＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号することを特徴とする。

【００１１】ただし、平文Ａの実現値（データ）は、例
えばａ_I ＝０のときに、０がａ_I の実現値（データ）で
あると定義される。また、行列Ｋ_G と補正数Γ（ｒ）と
縮退辞書Ｇ_D （ｍ，ｔ）と整数ｄとは以下のようにして
求める。ｍ次多項式Ｇ（Ｘ）の周期をｅとし、周期ｅと
は互いに素の条件で整数ｈを選び、周期ｅを法としてｈ
×ｄ＝１を満たす整数ｄを選び、平文Ａと乱数ｒの和の
ｈ乗（Ａ＋ｒ）^h ∈Ｒ（ｍ）（以下、（Ａ＋ｒ）^h と略
記する）をベクトル（ｂ₀ ，ｂ₁ ，…，ｂ_m-1 ）とし、
平文Ａと乱数ｒの和のｈ乗（Ａ＋ｒ）^h の第（Ｊ＋１）
番目の成分ｂ_J を、平文Ａおよび乱数ｒの成分｛ａ_I ，
ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次関数Ｆ_J ^t （ａ₀ ，ａ
₁ ，…，ａ_m-1 ，ｒ₀ ，ｒ₁ ，…，ｒ_m-1 ）（ｔは２以
上の整数）で与え（以下、ｔ次関数をＦ_J ^t と略記す
る）、ｔ次関数Ｆ_J ^t を乱数ｒの成分｛ｒ _I ｝のみが含
まれる項Ｈ_J ^t とそれ以外の項Ｇ_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、ｔ次関数Ｆ_J ^t において平文Ａおよび乱数ｒの成
分｛ａ_I ，ｒ_I ｝によって構成されるｔ次項のそれぞれ
をワードとし、辞書順に並べられたワードの集合（以
下、ワードの集合を辞書と呼ぶ）をＷ（ｍ，ｔ）とし、
この辞書Ｗ（ｍ，ｔ）を乱数ｒの成分｛ｒ_I ｝のみが含
まれるワードの集合よりなる辞書Ｈ（ｍ，ｔ）とそれ以
外のワードの集合よりなる辞書Ｇ（ｍ，ｔ）とに分け、
連接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、辞書Ｇ（ｍ，ｔ）と辞書Ｈ（ｍ，ｔ）とから縮退
辞書Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，ｔ）とをそれ
ぞれ求め、縮退辞書Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ
_D （ｍ，ｔ）と行列Ｋとを用いて、平文Ａと乱数ｒの和
のｈ乗（Ａ＋ｒ）^h の転置ベクトル［（Ａ＋ｒ）^h ］^T
を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）に作
用する行列Ｋ_G と縮退辞書Ｈ_D （ｍ，ｔ）に作用する行
列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、行列Ｋ_G と行列Ｋ_H とを求め、縮退
辞書Ｈ_D （ｍ，ｔ）に乱数ｒの成分ｒ₀ ，ｒ₁ ，…，ｒ
_m-1 の実現値（データ）を代入した状態で、補正数Γ
（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求める。

【００１２】この方式によれば、縮退辞書Ｇ_D （ｍ，
ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値
（データ）を代入した状態で、縮退辞書Ｇ_D （ｍ，ｔ）
^T と行列Ｋ_G との積Ｋ_G ・Ｇ_D （ｍ，ｔ）^T を演算する
ことにより暗号文Ｃを生成することができ、また暗号文
Ｃと補正数Γ（ｒ）とを加算し、その加算結果の転置行
列〔Ｃ＋Γ（ｒ）〕^T をｄ乗し、その演算結果に乱数ｒ
を加えることにより平文Ａを復号することができ、暗号
化演算および復号演算が簡単で、共通鍵暗号方式と同程
度のデータ処理速度を可能としている。すなわち、本発
明の暗号方式では、暗号化および復号処理の主要部分
は、暗号化においてはＫ_G とＧ_D （ｍ，ｔ）の乗算であ
り、例えばｍ＝６４の場合、２０８０ビット（Ｋ_G ）×
２０８０ビット（Ｇ_D （ｍ，ｔ））の乗算を、６４重の
並列処理により、１回実行するだけで済む。また、復号
においては、高速指数計算法を適用すると、log₂ｍクロ
ックタイムで実行される。これは、ｍ＝６４の場合、６
クロックタイムで終了することを意味する。しかも、公
開鍵行列である行列Ｋ_G および共通の辞書行列である縮
退辞書Ｇ_D （ｍ，ｔ）から、ｍ次多項式Ｇ（Ｘ）、整数
ｈ、整数ｄ、乱数ｒ、補正数Γ（ｒ）等の秘密鍵を求め
ることが、極めて困難であることから、高セキュリティ
を保証することができる。

【００１３】本発明の請求項２記載の暗号化装置は、請
求項１記載の公開鍵暗号方式に用いる暗号化装置であっ
て、縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，
ａ₁ ，…，ａ_m-1 の実現値（データ）を代入するデータ
代入機能と、行列Ｋ_G と平文Ａの成分ａ₀ ，ａ₁ ，…，
ａ_m-1 の実現値（データ）を代入した縮退辞書Ｇ
_D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃを生成する演算機能とを備えて
いる。

【００１４】この構成によれば、データ代入機能によっ
て縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，
…，ａ_m-1 の実現値（データ）を代入し、演算機能によ
って行列Ｋ_G と縮退辞書Ｇ_D （ｍ，ｔ）の乗算を行うこ
とにより、暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を
算出することができ、暗号化演算が簡単で、高速に暗号
化を実施することができ、しかも共通構造のハードウェ
アの外部入力パターンの設定を単に変更するだけで固有
の公開鍵の違いに対応することができ、公開鍵の変更に
容易に対応することができる。

【００１５】本発明の請求項３記載の暗号化装置は、請
求項１記載の公開鍵暗号方式に用いる暗号化装置であっ
て、平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（デ
ータ）を記憶するレジスタ群と、レジスタ群の各実現値
（データ）と行列Ｋ_G の各行毎の実現値（データ）とを
基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ
_m-1 を算出する積和演算回路とを備えている。

【００１６】この構成によれば、レジスタ群によって平
文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1の実現値（データ）
を記憶し、レジスタ群の各実現値（データ）と行列Ｋ_G
の各行毎の実現値（データ）とを基に、積和演算回路で
縮退辞書Ｇ_D （ｍ，ｔ）^T と行列Ｋ_G との積Ｋ_G ・Ｇ_D
（ｍ，ｔ）^T に従って暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，
…，Ｃ_m-1 を算出することができ、暗号化演算が簡単
で、高速に暗号化を実施することができ、しかも共通構
造のハードウェアの外部入力パターンの設定を単に変更
するだけで固有の公開鍵の違いに対応することができ、
公開鍵の変更に容易に対応することができる。

【００１７】本発明の請求項４記載の復号装置は、請求
項１記載の公開鍵暗号方式に用いる復号装置であって、
暗号文Ｃと補正数Γ（ｒ）とを加算する第１の加算機能
と、第１の加算機能による加算結果の転置行列〔Ｃ＋Γ
（ｒ）〕^T をｄ乗する演算機能と、演算機能による演算
結果に乱数ｒを加えることにより平文Ａを復号する第２
の加算機能とを備えている。

【００１８】この構成によれば、第１の加算機能により
暗号文Ｃと補正数Γ（ｒ）とを加算し、演算機能により
第１の加算機能による加算結果の転置行列〔Ｃ＋Γ
（ｒ）〕 ^T をｄ乗し、第２の加算機能により演算機能に
よる演算結果に乱数ｒを加えることにより平文Ａを復号
することができ、復号演算が簡単で、高速に復号を実施
することができ、しかも、共通構造のハードウェアの外
部入力パターンの設定を単に変更するだけで固有の公開
鍵の違いに対応することができ、公開鍵の変更に容易に
対応することができる。

【００１９】本発明の請求項５記載の復号装置は、請求
項１記載の公開鍵暗号方式に用いる復号装置であって、
暗号文Ｃと補正数Γ（ｒ）とを各成分毎にそれぞれ加算
する第１の加算器と、ｍ次多項式Ｇ（Ｘ）に対応して帰
還経路を選択的に形成するスイッチ手段を有する縦続接
続したｍ個のレジスタからなり、第１の加算器の各出力
を初期入力として（ｈ−１）×ｄ回シフト動作をする帰
還型シフトレジスタと、帰還型シフトレジスタの各出力
と乱数ｒの各成分をそれぞれ加算する第２の加算器とを
備えている。

【００２０】この構成によれば、第１の加算器により暗
号文Ｃと補正数Γ（ｒ）とを各成分毎にそれぞれ加算
し、帰還型シフトレジスタにより第１の加算器の各出力
を初期入力として（ｈ−１）×ｄ回シフト動作をし、第
２の加算器により帰還型シフトレジスタの各出力と乱数
ｒの各成分をそれぞれ加算することにより、平文Ａの各
成分ａ₀ ，ａ₁ ，…，ａ_m-1 を算出することができ、復
号演算が簡単で、高速に復号を実施することができ、し
かも、共通構造のハードウェアの外部入力パターンの設
定を単に変更するだけで固有の公開鍵の違いに対応する
ことができ、公開鍵の変更に容易に対応することができ
る。

【００２１】本発明の請求項６記載の暗号装置は、請求
項１記載の公開鍵暗号方式に用いる暗号装置であって、
縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，
…，ａ _m-1 の実現値（データ）を代入するデータ代入機
能と、行列Ｋ_G と平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1
の実現値（データ）を代入した縮退辞書Ｇ_D （ｍ，ｔ）
とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃを生成する演算機能と、暗号文
Ｃと補正数Γ（ｒ）とを加算する第１の加算機能と、第
１の加算機能による加算結果の転置行列〔Ｃ＋Γ
（ｒ）〕^T をｄ乗する演算機能と、演算機能による演算
結果に乱数ｒを加えることにより平文Ａを復号する第２
の加算機能とを備えている。

【００２２】この構成によれば、データ代入機能によっ
て縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，
…，ａ_m-1 の実現値（データ）を代入し、演算機能によ
って行列Ｋ_G と縮退辞書Ｇ_D （ｍ，ｔ）の乗算を行うこ
とにより、暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を
算出することができ、暗号化演算が簡単で、高速に暗号
化を実施することができ、しかも共通構造のハードウェ
アの外部入力パターンの設定を単に変更するだけで固有
の公開鍵の違いに対応することができ、公開鍵の変更に
容易に対応することができる。また、第１の加算機能に
より暗号文Ｃと補正数Γ（ｒ）とを加算し、演算機能に
より第１の加算機能による加算結果の転置行列〔Ｃ＋Γ
（ｒ）〕^T をｄ乗し、第２の加算機能により演算機能に
よる演算結果に乱数ｒを加えることにより平文Ａを復号
することができ、復号演算が簡単で、高速に復号を実施
することができ、しかも、共通構造のハードウェアの外
部入力パターンの設定を単に変更するだけで固有の公開
鍵の違いに対応することができ、公開鍵の変更に容易に
対応することができる。

【００２３】本発明の請求項７記載の暗号装置は、請求
項１記載の公開鍵暗号方式に用いる暗号装置であって、
平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（デー
タ）を記憶するレジスタ群と、レジスタ群の各実現値
（データ）と行列Ｋ_G の各行毎の実現値（データ）とを
基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃの各成分を算出する積和演算回
路と、暗号文Ｃと補正数Γ（ｒ）とを各成分毎にそれぞ
れ加算する第１の加算器と、ｍ次多項式Ｇ（Ｘ）に対応
して帰還経路を選択的に形成するスイッチ手段を有する
縦続接続したｍ個のレジスタからなり、第１の加算器の
各出力を初期入力として（ｈ−１）×ｄ回シフト動作を
する帰還型シフトレジスタと、帰還型シフトレジスタの
各出力と乱数ｒの各成分をそれぞれ加算する第２の加算
器とを備えている。

【００２４】この構成によれば、レジスタ群によって平
文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1の実現値（データ）
を記憶し、レジスタ群の各実現値（データ）と行列Ｋ_G
の各行毎の実現値（データ）とを基に、積和演算回路で
縮退辞書Ｇ_D （ｍ，ｔ）^T と行列Ｋ_G との積Ｋ_G ・Ｇ_D
（ｍ，ｔ）^T に従って暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，
…，Ｃ_m-1 を算出することができ、暗号化演算が簡単
で、高速に暗号化を実施することができ、しかも共通構
造のハードウェアの外部入力パターンの設定を単に変更
するだけで固有の公開鍵の違いに対応することができ、
公開鍵の変更に容易に対応することができる。また、第
１の加算器により暗号文Ｃと補正数Γ（ｒ）とを各成分
毎にそれぞれ加算し、帰還型シフトレジスタにより第１
の加算器の各出力を初期入力として（ｈ−１）×ｄ回シ
フト動作をし、第２の加算器により帰還型シフトレジス
タの各出力と乱数ｒの各成分をそれぞれ加算することに
より、平文Ａの各成分ａ₀ ，ａ₁ ，…，ａ_m-1 を算出す
ることができ、復号演算が簡単で、高速に復号を実施す
ることができ、しかも、共通構造のハードウェアの外部
入力パターンの設定を単に変更するだけで固有の公開鍵
の違いに対応することができ、公開鍵の変更に容易に対
応することができる。

【００２５】本発明の請求項８記載の記録媒体は、請求
項１記載の公開鍵暗号方式を実施するプログラムを記憶
している。この構成によると、記憶したプログラムをコ
ンピュータで実行することにより、請求項１の公開鍵暗
号方式と同様の作用を有する。請求項９記載の記録媒体
は、請求項２または請求項３記載の暗号化装置で生成さ
れた暗号文Ｃを記録する。

【００２６】この構成によると、暗号文Ｃを保存する際
に、保存した暗号文Ｃの内容を秘密鍵を知らない人が解
読することが極めて困難であり、高セキュリティを保証
することができる。請求項１０記載の記録媒体は、請求
項６または請求項７記載の暗号装置で生成された暗号文
Ｃを記録する。

【００２７】この構成によると、暗号文Ｃを保存する際
に、保存した暗号文Ｃの内容を秘密鍵を知らない人が解
読することが極めて困難であり、高セキュリティを保証
することができる。請求項１１記載の伝送路は、請求項
２または請求項３記載の暗号化装置で生成された暗号文
Ｃを伝送する。

【００２８】この構成によると、暗号文Ｃを伝送する際
に、伝送した暗号文Ｃの内容を秘密鍵を知らない人が解
読することが極めて困難であり、高セキュリティを保証
することができる。請求項１２記載の伝送路は、請求項
６または請求項７記載の暗号装置で生成された暗号文Ｃ
を伝送する。

【００２９】この構成によると、暗号文Ｃを伝送する際
に、伝送した暗号文Ｃの内容を秘密鍵を知らない人が解
読することが極めて困難であり、高セキュリティを保証
することができる。請求項１３記載の公開鍵行列・補正
数生成方法は、２元体上のｍ次多項式Ｇ（Ｘ）（ｍは２
以上の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗号
方式で用いる公開鍵行列としての行列Ｋ_G と補正数Γ
（ｒ）とを生成する方法であり、任意のｍ次多項式Ｇ
（Ｘ）を選び、このｍ次多項式Ｇ（Ｘ）の周期ｅを求
め、周期ｅとは互いに素の条件で整数ｈを選び、周期ｅ
を法としてｈ×ｄ＝１を満たす整数ｄを選び、平文Ａを
ベクトル（ａ₀ ，ａ₁ ，…，ａ_m-1 ）とし、乱数ｒをベ
クトル（ｒ₀，ｒ₁ ，…，ｒ_m-1 ）とし、平文Ａと乱数
ｒの和のｈ乗（Ａ＋ｒ）^h をベクトル（ｂ₀ ，ｂ₁ ，
…，ｂ_m-1 ）とし、縮退辞書Ｇ_D （ｍ，ｔ）と縮退辞書
Ｈ_D （ｍ，ｔ）と行列Ｋとを用いて、平文Ａと乱数ｒの
和のｈ乗（Ａ＋ｒ）^h の転置ベクトル［（Ａ＋ｒ）^h ］
^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）に作
用する行列Ｋ_G と縮退辞書Ｈ_D （ｍ，ｔ）に作用する行
列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることで、行列Ｋ_G と行列Ｋ_H とを求め、補正数Γ
（ｒ）を、縮退辞書Ｈ_D （ｍ，ｔ）に乱数ｒの成分
ｒ₀ ，ｒ₁ ，…，ｒ_m-1 の実現値（データ）を代入した
状態で、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求めることを特徴とする。

【００３０】ただし、縮退辞書Ｇ_D （ｍ，ｔ）と縮退辞
書Ｈ_D （ｍ，ｔ）とは以下のようにして求める。平文Ａ
と乱数ｒの和のｈ乗（Ａ＋ｒ）^h の第（Ｊ＋１）番目の
成分ｂ_J を、平文Ａおよび乱数ｒの成分｛ａ_I ，ｒ_I ｝
（０≦Ｉ≦ｍ−１）のｔ次関数Ｆ_J ^t （ａ₀ ，ａ₁ ，
…，ａ_m-1 ，ｒ₀ ，ｒ₁ ，…，ｒ_m-1 ）（ｔは２以上の
整数）で与え（以下、ｔ次関数をＦ_J ^t と略記する）、
ｔ次関数Ｆ_J ^t を乱数ｒの成分｛ｒ_I ｝のみが含まれる
項Ｈ_J ^t とそれ以外の項Ｇ_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、ｔ次関数Ｆ_J ^t において平文Ａおよび乱数ｒの成
分｛ａ_I ，ｒ_I ｝によって構成されるｔ次項のそれぞれ
をワードとし、辞書順に並べられたワードの集合よりな
る辞書をＷ（ｍ，ｔ）とし、この辞書Ｗ（ｍ，ｔ）を乱
数ｒの成分｛ｒ_I｝のみが含まれるワードの集合よりな
る辞書Ｈ（ｍ，ｔ）とそれ以外のワードの集合Ｇ（ｍ，
ｔ）よりなる辞書とに分け、連接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、辞書Ｇ（ｍ，ｔ）と辞書Ｈ（ｍ，ｔ）とから縮退
辞書Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，ｔ）とをそれ
ぞれ求める。

【００３１】この方法によると、２元体上のｍ次多項式
Ｇ（Ｘ）（ｍは２以上の整数）を法とする剰余環Ｒ
（ｍ）上の公開鍵暗号方式で必要となる公開鍵行列とし
ての行列Ｋ_G と補正数Γ（ｒ）とを求めることができ
る。請求項１４記載の記録媒体は、請求項１３記載の公
開鍵行列・補正数生成方法を実施するプログラムを記録
する。

【００３２】この方法によると、記憶したプログラムを
コンピュータで実行することにより、２元体上のｍ次多
項式Ｇ（Ｘ）（ｍは２以上の整数）を法とする剰余環Ｒ
（ｍ）上の公開鍵暗号方式で必要となる公開鍵行列とし
ての行列Ｋ_G と補正数Γ（ｒ）とを求めることができ
る。請求項１５記載のＩＣカードは、請求項１３記載の
公開鍵行列・補正数生成方法を実施する機能を組み込ん
でいる。

【００３３】この構成によると、コンピュータにセット
することにより、２元体上のｍ次多項式Ｇ（Ｘ）（ｍは
２以上の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗
号方式で必要となる公開鍵行列としての行列Ｋ_G と補正
数Γ（ｒ）とを求めることができる。請求項１６記載の
公開鍵暗号方式は、ｑ元体（ｑは３以上の整数）上のｍ
次多項式Ｇ（Ｘ）（ｍは２以上の整数）を法とする剰余
環Ｒ（ｍ）上の公開鍵暗号方式であって、平文Ａをｑ元
体上のベクトル（Ａ₀ ，Ａ₁ ，…，Ａ_m-1 ）とし、乱数
ｒをｑ元体上のベクトル（ｒ₀ ，ｒ₁ ，…，ｒ_m-1 ）と
し、暗号文Ｃをｑ元体上のベクトル（Ｃ₁ ，Ｃ₂ ，…，
Ｃ_m-1 ）としたときに、平文Ａの成分をｑ元体上の乱数
Ｒ＝（Ｒ₀ ，Ｒ₁ ，…，Ｒ_m-1 ）により、平文Ａ（Ｃ）
＝（ａ₀ ，ａ₁ ，…，ａ_{m- 1} ）に変換し、共通の辞書行
列となる縮退したワードの集合（以下、縮退したワード
の集合を縮退辞書と呼ぶ）Ｇ_D （ｍ，ｔ）に乱数変換さ
れた平文Ａ（Ｃ）の成分ａ₀ ，ａ ₁ ，…，ａ_m-1 の実現
値（データ）を代入した状態で、暗号文Ｃを、固有の公
開鍵行列となる行列Ｋ_G と縮退辞書Ｇ_D （ｍ，ｔ）とを
基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって生成し、乱数変換された平文Ａ（Ｃ）
を、暗号文Ｃと秘密鍵である３つのパラメータとしての
補正数Γ（ｒ），乱数ｒおよび整数ｄとを基に Ａ（Ｃ）＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号し、乱数変換された平文Ａ（Ｃ）を
逆変換の乱数Ｒ（Ｔ）＝（Ｒ₀ ^-1，Ｒ₁ ^-1，…，Ｒ_m-1
^-1）により逆変換し、もとの平文Ａ＝（Ａ₀ ，Ａ ₁ ，
…，Ａ_m-1 ）を復号することを特徴とする。

【００３４】ただし、ａ_I ＝Ｒ_I Ａ_I であり、かつＲ_I
≠０であり、またＡ_I ＝Ｒ_I ^-1ａ_Iである。また、平文
Ａの実現値（データ）は、例えばＡ_I ＝０のときに、０
がＡ _I の実現値（データ）であると定義される。また、
行列Ｋ_G と補正数Γ（ｒ）と縮退辞書Ｇ_D （ｍ，ｔ）と
整数ｄとは以下のようにして求める。ｍ次多項式Ｇ
（Ｘ）の周期をｅとし、周期ｅとは互いに素の条件で整
数ｈを選び、周期ｅを法としてｈ×ｄ＝１を満たす整数
ｄを選び、乱数変換された平文Ａ（Ｃ）と乱数ｒの和の
ｈ乗（Ａ（Ｃ）＋ｒ）^h をｑ元体上のベクトル（ｂ₀ ，
ｂ₁ ，…，ｂ_m-1 ）とし、乱数変換された平文Ａ（Ｃ）
と乱数ｒの和のｈ乗（Ａ（Ｃ）＋ｒ）^h の第（Ｊ＋１）
番目の成分ｂ_J を、乱数変換された平文Ａ（Ｃ）および
乱数ｒの成分｛ａ _I ，ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次
関数Ｆ_J ^t （ａ₀ ，ａ₁ ，…，ａ_m-1 ，ｒ ₀ ，ｒ₁ ，
…，ｒ_m-1 ）（ｔは２以上の整数）で与え（以下、ｔ次
関数をＦ_J ^tと略記する）、ｔ次関数Ｆ_J ^t を乱数ｒの
成分｛ｒ_I ｝のみが含まれる項Ｈ_J ^tとそれ以外の項Ｇ
_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、ｔ次関数Ｆ_J ^t において乱数変換された平文Ａ
（Ｃ）および乱数ｒの成分｛ａ_I ，ｒ_I ｝によって構成
されるｔ次項のそれぞれをワードとし、辞書順に並べら
れたワードの集合よりなる辞書をＷ（ｍ，ｔ）とし、こ
の辞書Ｗ（ｍ，ｔ）を乱数ｒの成分｛ｒ_I ｝のみが含ま
れるワードの集合よりなる辞書Ｈ（ｍ，ｔ）とそれ以外
のワードの集合よりなる辞書Ｇ（ｍ，ｔ）とに分け、連
接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、辞書Ｇ（ｍ，ｔ）とＨ（ｍ，ｔ）とから縮退辞書
Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，ｔ）とをそれぞれ
求め、縮退辞書Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，
ｔ）と行列Ｋとを用いて、乱数変換された平文Ａ（Ｃ）
と乱数ｒの和のｈ乗（Ａ（Ｃ）＋ｒ）^h の転置ベクトル
［（Ａ（Ｃ）＋ｒ）^h ］^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）に作
用する行列Ｋ_G と縮退辞書Ｈ_D （ｍ，ｔ）に作用する行
列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、行列Ｋ_G と行列Ｋ_H とを求め、縮退
辞書Ｈ_D （ｍ，ｔ）に乱数ｒの成分ｒ₀ ，ｒ₁ ，…，ｒ
_m-1 の実現値（データ）を代入した状態で、補正数Γ
（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求める。

【００３５】この方式によれば、縮退辞書Ｇ_D （ｍ，
ｔ）に平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値
（データ）を代入した状態で、縮退辞書Ｇ_D （ｍ，ｔ）
^T と行列Ｋ_G との積Ｋ_G ・Ｇ_D （ｍ，ｔ）^T を演算する
ことにより暗号文Ｃを生成することができ、また暗号文
Ｃと補正数Γ（ｒ）とを加算し、その加算結果の転置行
列〔Ｃ＋Γ（ｒ）〕^T をｄ乗し、その演算結果に乱数ｒ
を加えることにより乱数変換された平文Ａ（Ｃ）を復号
し、さらにこの乱数変換された平文Ａ（Ｃ）を逆変換の
乱数Ｒ（Ｔ）＝（Ｒ₀ ^-1，Ｒ₁ ^-1，…，Ｒ_m-1 ^-1）によ
り、元の平文Ａ＝（Ａ₀ ，Ａ₁ ，…，Ａ_m-1 ）を復号す
ることができ、暗号化演算および復号演算が簡単で、２
元の場合と同様に共通鍵暗号方式と同程度のデータ処理
速度を可能とし、しかも公開鍵行列である行列Ｋ_G およ
び共通の辞書行列である縮退辞書Ｇ_D（ｍ，ｔ）から、
ｍ次多項式Ｇ（Ｘ）、整数ｈ、整数ｄ、乱数ｒ、補正数
Γ（ｒ）等の秘密鍵を求めることが、極めて困難である
ことから、高セキュリティを保証することができる。

【００３６】請求項１７記載のディジタル署名方法は、
請求項１または請求項１６記載の公開鍵暗号方式を用い
てディジタル署名を行うディジタル署名方法であって、
署名文送信者側で秘密の乱数ｘを生成し、自己の秘密鍵
である整数ｄ、乱数ｒおよび補正数Γ（ｒ）を用いて、
平文Ａに対し、 ｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝ を署名文として生成し、署名文受信者側で署名文を受け
取り、（Ａ＋ｘ）^d −ｒの各成分の実現値（データ）を
平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（デー
タ）と見なして縮退辞書Ｇ_D （ｍ，ｔ）に代入した状態
で、署名文送信者の公開鍵行列Ｋ_G と前記縮退辞書Ｇ_D
（ｍ，ｔ）とを基に Ｄ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって、擬似暗号文Ｄを生成し、平文Ａを、擬
似暗号文Ｄとｘ−Γ（ｒ）とを基に Ａ＝Ｄ−｛ｘ−Γ（ｒ）｝ の演算によって復号することを特徴とする。

【００３７】この方法によれば、署名文送信者側で平文
Ａから署名文を生成し、署名文受信者側で署名文を元の
平文Ａに復号することができる。平文Ａから ｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝ を署名文として生成できるのは、秘密の乱数ｘを生成
し、自己の秘密鍵である整数ｄ、乱数ｒおよび補正数Γ
（ｒ）を知っている署名文送信者に限られるので、復号
した平文Ａが意味のある平文であれば、署名文送信者か
ら送られたものであると断定することができ、署名文送
信者の署名として有効である。

【００３８】請求項１８記載のディジタル署名方法は、
請求項１７記載のディジタル署名方法において、署名文
送信者が縮退辞書Ｇ_D （ｍ，ｔ）に署名文｛（Ａ＋ｘ）
^d −ｒ，ｘ−Γ（ｒ）｝の実現値（データ）を代入した
状態で、署名文受信者の公開鍵行列である行列Ｋ_G と縮
退辞書Ｇ_D （ｍ，ｔ）とを基に暗号化署名文を生成し、
署名文受信者が自己の秘密鍵である３つのパラメータと
しての補正数Γ（ｒ），乱数ｒおよび整数ｄとを基に暗
号化署名文から署名文を復号することを特徴とする。

【００３９】この方法によると、署名文を署名文受信者
以外の他人に対して秘匿状態を保つことができる。

【００４０】

【発明の実施の形態】以下、本発明の実施の形態の公開
鍵暗号方式ならびに、それに用いる暗号化装置および復
号装置について、図面を参照しながら説明する。最初
に、公開鍵暗号方式の実施の形態について説明する。説
明の対象とする公開鍵暗号方式は、最も単純な体である
２元体Ｆ₂ 上の公開鍵暗号方式である。

【００４１】まず、２元体Ｆ₂ 上のｍ次多項式Ｇ（Ｘ）
（ｍは２以上の整数）を法とする剰余環Ｒ（ｍ）上の公
開鍵暗号方式について説明する。なお、ｍ次多項式Ｇ
（Ｘ）の周期をｅとする。ここで、ｍ次多項式Ｇ（Ｘ）
の周期ｅについて定義する。すなわち、多項式１＋Ｘ^e
がｍ次多項式Ｇ（Ｘ）によって割り切れ、ｎ＜ｅなる正
整数に対し、多項式１＋Ｘⁿ がｍ次多項式Ｇ（Ｘ）によ
って割り切れないときに、ｍ次多項式Ｇ（Ｘ）の周期を
ｅという。なお、２元体Ｆ₂ 上の加算および乗算は、周
知のように、１＋１＝０、１＋０＝１、０＋１＝１、０
＋０＝０、１・１＝１、１・０＝０、０・１＝０、０・
０＝０であり、特に１＋１＝０であることから、１＝−
１が成り立つ。１＝−１の関係より、２元体Ｆ₂ におい
ては、減算と加算とは一致する。

【００４２】本明細書では、剰余環Ｒ（ｍ）の元αを、
適宜、ベクトルおよび多項式でそれぞれ次のように表
す。

【００４３】

【数１】α＝（α₀ ，α₁ ，…，α_m-2 ，α_m-1 ）

【００４４】

【数２】α（Ｘ）＝α₀ ＋α₁ Ｘ＋…＋α_m-2 Ｘ^m-2 ＋
α_m-1 Ｘ^m-1 ここで、秘密の整数ｈを、ｍ次多項式Ｇ（Ｘ）の周期ｅ
とは互いに素、すなわち、（ｈ，ｅ）＝１を満たすとい
う条件のもとに選ぶ。ベクトル表現で（ａ₁ ，ａ₂ ，
…，ａ_m-1 ）と表される平文Ａ∈Ｒ（ｍ）と同じくベク
トル表現で（ｒ₁ ，ｒ₂ ，…，ｒ_m-1 ）と表される乱数
ｒ∈Ｒ（ｍ）に対し、平文Ａと乱数ｒの和のｈ乗（Ａ＋
ｒ）^h ∈Ｒ（ｍ）をベクトルで

【００４５】

【数３】 （Ａ＋ｒ）^h ＝（ｂ₀ ，ｂ₁ ，…，ｂ_m-2 ，ｂ_m-1 ） と表記する。以下、本公開鍵暗号方式の構成条件を説明
する。（Ａ＋ｒ）^h ∈Ｒ（ｍ）の第Ｊ＋１番目の成分ｂ
_J を平文Ａおよび乱数ｒの成分｛ａ_I ，ｒ_I ｝（０≦Ｉ
≦ｍ−１）のｔ次関数

【００４６】

【数４】Ｆ_J ^t （ａ₀ ，ａ₁ ，…，ａ_m-1 ，ｒ₀ ，
ｒ₁ ，…，ｒ_m-1 ） で与える。次数ｔについては後述する。以下において
は、上記ｔ次関数を、Ｆ_J ^t と略記する。ここで、ｔ次
関数Ｆ_J ^t を平文Ａの成分ａ_I が全く含まれない項、す
なわち、乱数ｒの成分｛ｒ_I ｝のみによって構成される
項Ｈ_J ^t とそれ以外の成分からなる項Ｇ_J ^t とに分割す
る。すなわち、

【００４７】

【数５】Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とする。ここで、平文Ａおよび乱数ｒの成分｛ａ_I ，ｒ
_I ｝の記号を以下に示す辞書順に配列する。 ａ₀ ＜ａ₁ ＜…＜ａ_m-1 ＜ｒ₀ ＜ｒ₁ ＜…＜ｒ_m-1 上式においては、「＜」は大小関係を意味するのではな
く、左側を若い順序にある記号、つまり辞書順でａ₀ が
先頭になり、ｒ_m-1 が末尾となるということを意味す
る。

【００４８】ここで、平文Ａおよび乱数ｒの成分
｛ａ_I ，ｒ_I ｝によって辞書順に構成されるｔ次項のそ
れぞれをワードと呼ぶ。辞書順に並べられた全ての可能
なワードの集合を辞書と呼び、Ｗ（ｍ，ｔ）と表記す
る。辞書Ｗ（ｍ，ｔ）のうちの｛ｒ_I｝のみによって構
成されるワードの集合よりなる辞書をＨ（ｍ，ｔ）と
し、それ以外のワードの集合よりなる辞書をＧ（ｍ，
ｔ）とする。

【００４９】辞書Ｇ（ｍ，ｔ）およびＨ（ｍ，ｔ）を用
いて、辞書Ｗ（ｍ，ｔ）を、以下のように連接（concat
enation ：記号＊）によって表記する。

【００５０】

【数６】Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） ここで、辞書Ｇ（ｍ，ｔ）の次元ｇ_G および辞書Ｈ
（ｍ，ｔ）の次元ｇ_H は、以下のように与えられる。

【００５１】

【数７】ｇ_G ＝ _mＨ_t ・ _mＨ₀ ＋ _mＨ_t-1 ・ _mＨ₁ ＋…
＋ _mＨ₁ ・ _mＨ_t-1

【００５２】

【数８】ｇ_H ＝ _mＨ₀ ・ _mＨ_t ただし、上式において、例えば、 _mＨ_t は、ｍ個の中か
ら重複を許してｔ個取り出す組み合わせの数を意味し、
組み合わせの記号Ｃを用いると、

【００５３】

【数９】_mＨ_t ＝ _m+t-1Ｃ_t で表せる。ところで、２元体Ｆ₂ の元においては、

【００５４】

【数１０】ａ_I ・ａ_I ＝ａ_I

【００５５】

【数１１】ａ_I ＋ａ_I ＝０ であり、また秘密の乱数ｒの成分ｒ_I に対し、

【００５６】

【数１２】ａ_I ・ｒ_I ＝０ （ｒ_I ＝０のとき）

【００５７】

【数１３】ａ_I ・ｒ_I ＝ａ_I （ｒ_I ＝１のとき） であることを考慮すると、Ｇ（ｍ，ｔ）の成分のうち、
相異なる成分（この場合、ｔ次以下となる場合を許容す
る）の総数は、

【００５８】

【数１４】ｇ_GD＝ _mＣ₁ ＋ _mＣ₂ ＋…＋ _mＣ_t に縮退される。Ｇ（ｍ，ｔ）が縮退されたものをＧ
_D （ｍ，ｔ）と記す。なお、辞書Ｈ（ｍ，ｔ）の部分
も、ｒ_I ・ｒ_I ＝ｒ_I であることを考慮すると、縮退さ
れ、その次数ｇ_HDは、

【００５９】

【数１５】ｇ_HD＝ｇ_GD で与えられる。Ｈ（ｍ，ｔ）が縮退されたものをＨ
_D （ｍ，ｔ）と記す。ここで、ベクトル（Ａ＋ｒ）^h の
転置ベクトル［（Ａ＋ｒ）^h 〕^T は、適当なｍ×（ｇ_GD
＋ｇ_HD）の行列Ｋを用いて、

【００６０】

【数１６】［（Ａ＋ｒ）^h ］^T ＝Ｋ・［Ｇ_D （ｍ，ｔ）
＊Ｈ_D （ｍ，ｔ）］^T で与えることができる。ただし、行列Ｋは、

【００６１】

【数１７】

【００６２】で与えることができる。上式は、［（Ａ＋
ｒ）^h ］^T の第（Ｊ＋１）番目の成分ｂ_J に対するｔ次
関数Ｆ_J ^t の具体的な形状がＫ_J （０≦Ｊ≦ｍ−１）に
よって、一意的に決定されるを意味する。ここで、行列
Ｋを

【００６３】

【数１８】Ｋ＝［Ｋ_G Ｋ_H ］ とする。ただし、Ｋ_G は縮退したワードの集合よりなる
縮退辞書Ｇ_D （ｍ，ｔ）に作用して特定のワードを選択
するための部分行列であり、Ｋ_H は縮退したワードの集
合よりなる縮退辞書Ｈ_D （ｍ，ｔ）に作用する部分行列
である。行列Ｋ_Gは公開鍵行列として公開され、行列Ｋ
_H は秘密鍵となり、後述の補正数Γ（ｒ）の生成に用い
られる。以下において、これらの行列Ｋ_G ，Ｋ_H の導出
法について述べる。

【００６４】平文Ａを一般に、ベクトル表現で

【００６５】

【数１９】Ａ＝（ａ₀ ，ａ₁ ，…，ａ_m-1 ） とし、多項式表現で

【００６６】

【数２０】Ａ（Ｘ）＝ａ₀ ＋ａ₁ Ｘ＋…＋ａ_m-1 Ｘ^m-1 とし、秘密の乱数ｒを同様にベクトル表現で

【００６７】

【数２１】ｒ＝（ｒ₀ ，ｒ₁ ，…，ｒ_m-1 ） とし、多項式表現で

【００６８】

【数２２】ｒ（Ｘ）＝ｒ₀ ＋ｒ₁ Ｘ＋…＋ｒ_m-1 Ｘ^m-1 とする。なお、上記の説明では、ベクトル表現の平文Ａ
の各成分ａ₀ ，ａ₁ ，…，ａ_m-1 を多項式表現の平文Ａ
（Ｘ）の各次の係数に割り当てるときに、成分ａ ₀ を０
次の係数に割り当て、成分ａ₁ を１次の係数に割り当
て、以下同様にして成分ａ_I を多項式のＩ次の係数に割
り当てているが、これに限らず、暗号パラメータ生成者
が任意に割り当てて設計することができる。

【００６９】ここで、ｍ次多項式Ｇ（Ｘ）の周期ｅと互
いに素な秘密の整数ｈを選ぶ。具体的な手法の一つを以
下に説明する。整数ｈを、

【００７０】

【数２３】ｈ＝ｈ（１）＋ｈ（２）＋…＋ｈ（ｔ） を満たすものとする。ただし、任意のｈ（Ｉ）は２のべ
き乗、すなわち、

【００７１】

【数２４】ｈ（Ｉ）＝２^a(I) で与えられるものとする。ただし、ａ（Ｉ）は正整数で
ある。そして、［Ａ（Ｘ）＋ｒ（Ｘ）］^h(I)∈Ｒ（ｍ）
を求めて、これらの積［Ａ（Ｘ）＋ｒ（Ｘ）］^h を

【００７２】

【数２５】［Ａ（Ｘ）＋ｒ（Ｘ）］^h ＝［Ａ（Ｘ）＋ｒ
（Ｘ）］^h(1)・［Ａ（Ｘ）＋ｒ（Ｘ）］^h(2)・…・［Ａ
（Ｘ）＋ｒ（Ｘ）］^h(t) ∈Ｒ（ｍ） に従って導く。上式の係数より、直ちに行列Ｋ_G ，Ｋ_H
が得られる。

【００７３】ここで、暗号化および復号の手続きについ
て説明する。 暗号方式の概要 〔共通の辞書〕・縮退辞書Ｇ_D （ｍ，ｔ） 〔公開鍵〕 ・行列Ｋ_G 〔秘密鍵〕 ・２元体Ｆ₂ 上のｍ次の多項式Ｇ（Ｘ） ・ｈ＝ｈ（１）＋ｈ（２）＋…＋ｈ（ｔ） ただし、ｈ（Ｉ）＝２^a(I)で、ａ（Ｉ）は正の整数 ・ｈｄ≡１ ｍｏｄ ｅ を満たす整数ｄ ・Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T 以上により、暗号化、復号の手続きは以下のようにまと
められる。

【００７４】暗号化の手続き 〔ステップ１〕平文Ａ＝（ａ₀ ，ａ₁ ，…，ａ_m-1 ）の
実現値（データ）を、縮退辞書Ｇ_D （ｍ，ｔ）に代入す
る。 〔ステップ２〕暗号文Ｃを Ｃ^T ＝Ｋ_G ・［Ｇ_D （ｍ，ｔ）］^T の演算によって導く。

【００７５】復号の手続き 〔ステップ１〕暗号文Ｃに補正数Γ（ｒ）を加えること
により、［（Ａ＋ｒ）^h ］^T を導く（下式参照）。 Ｃ＋Γ（ｒ）＝［（Ａ＋ｒ）^h ］^T 〔ステップ２〕［（Ａ＋ｒ）^h ］^T をｄ乗することによ
り、（Ａ＋ｒ）を導く（下式参照）。

【００７６】［（Ａ＋ｒ）^h ］^d ＝Ａ＋ｒ 〔ステップ３〕（Ａ＋ｒ）に乱数ｒを加えることによ
り、平文Ａを復号する（下式参照）。 Ａ＋ｒ＋ｒ＝Ａ＋ｒ−ｒ＝Ａ （２元体では、１
＝−１） 以上で、本発明の実施の形態の公開鍵暗号方式の一般的
な説明を終わった。以下に、ｍ＝３、ｔ＝２の場合の具
体例について説明する。

【００７７】まず、剰余環Ｒ（３）について説明する。
２元体Ｆ₂ における元は、０，１のみ、すなわち、Ｆ₂
＝｛０，１｝である。２元体Ｆ₂ 上の秘密の３次多項式
Ｇ（Ｘ）を例えば、

【００７８】

【数２６】Ｇ（Ｘ）＝１＋Ｘ＋Ｘ³ とする。この３次多項式Ｇ（Ｘ）による余りの集合Ｒ
（３）は、２次以下の２元体Ｆ₂ 上の多項式の集合であ
り、

【００７９】

【数２７】Ｒ（３）＝｛０，１，Ｘ，１＋Ｘ，Ｘ² ，１
＋Ｘ² ，Ｘ＋Ｘ² ，１＋Ｘ＋Ｘ² ｝ である。余りの集合Ｒ（３）の元は、多項式表現のα₀
＋α₁ Ｘ＋α₂ Ｘ² とベクトル表現の（α₀ ，α₁ ，α
₂ ）とが対応することから、

【００８０】

【数２８】Ｒ（３）＝｛（０００），（１００），（０
１０），（１１０），（００１），（１０１），（０１
１），（１１１）｝ と表せる。余りの集合Ｒ（３）という概念は、非常に広
く、全ての２元体Ｆ₂ 上の多項式が余りの集合Ｒ（３）
の何れかの元と等しいと考えることを意味する。例え
ば、Ｘ³ ＋Ｘ⁴ は１＋Ｘ＋Ｘ³ で割ることにより、余り
が１＋Ｘ² となるので、

【００８１】

【数２９】Ｘ³ ＋Ｘ⁴ ＝１＋Ｘ² と対応させる。上式は、Ｘ³ ＋Ｘ⁴ が１＋Ｘ＋Ｘ³ によ
る割算の余りに変換されたことを強調するために、

【００８２】

【数３０】 Ｘ³ ＋Ｘ⁴ ≡１＋Ｘ² ｍｏｄ（１＋Ｘ＋Ｘ³ ） と表記されることもある。つぎに、多項式Ｇ（Ｘ）の周
期について説明する。多項式Ｇ（Ｘ）＝１＋Ｘ＋Ｘ
³ は、１＋Ｘ⁷ を割り切るが、１≦ｎ＜７を満たす１＋
Ｘⁿ を割り切ることはない。したがって、多項式Ｇ
（Ｘ）＝１＋Ｘ＋Ｘ³ の周期ｅは、 ｅ＝７ である。

【００８３】つぎに、整数ｈと整数ｅの関係（（ｈ，
ｅ）＝１）について説明する。整数ｈと整数ｅの最大公
約数がｓである場合、通常（ｈ，ｅ）＝ｓと表記され
る。なお、“整数ｈと整数ｅとが互いに素”というの
は、整数ｈと整数ｅの最大公約数が１という意味であ
る。例えば、ｈ＝３とｅ＝７の最大公約数は１であるか
ら、（３，７）＝１である。

【００８４】つぎに、平文Ａと乱数ｒの和のｈ乗（Ａ＋
ｒ）^h について説明する。多項式Ｇ（Ｘ）の周期ｅ＝７
と互いに素な整数として、例えばｈ＝３を選ぶ。また、
平文Ａ∈Ｒ（３）、乱数ｒ∈Ｒ（３）の実現値、すなわ
ち平文Ａおよび乱数ｒの実現値（データ）を例えば、

【００８５】

【数３１】Ａ＝（１００）

【００８６】

【数３２】ｒ＝（０１１） とする。なお、乱数ｒとしては、公開鍵生成者が任意に
選択した数値を用いることができる。このとき、

【００８７】

【数３３】 Ａ＋ｒ＝（１００）＋（０１１）＝（１１１） となるが、（Ａ＋ｒ）^h ＝（１１１）³ が余りの集合Ｒ
（３）のどの元に一致するかということについては、ベ
クトルの（１１１）を多項式表現の１＋Ｘ＋Ｘ²に戻し
て考える必要がある。すなわち、（１＋Ｘ＋Ｘ² ）³ を
Ｇ（Ｘ）＝１＋Ｘ＋Ｘ³ で割り、その余りを求める必要
がある。その計算は、例えば以下のようにに実行する。
まず、

【００８８】

【数３４】（１＋Ｘ＋Ｘ² ）³ ＝（１＋Ｘ＋Ｘ² ）² ・
（１＋Ｘ＋Ｘ² ） とし、（１＋Ｘ＋Ｘ² ）² を最初に求める。（１＋Ｘ＋
Ｘ² ）² は、通常の計算により、

【００８９】

【数３５】（１＋Ｘ＋Ｘ² ）² ＝１＋Ｘ² ＋Ｘ⁴ ＋２Ｘ
＋２Ｘ² ＋２Ｘ³ となるが、２元体Ｆ₂ においては、１＋１＝２＝０であ
るので、

【００９０】

【数３６】（１＋Ｘ＋Ｘ² ）² ＝１＋Ｘ² ＋Ｘ⁴ となる。よって、（１＋Ｘ＋Ｘ² ）³ は、

【００９１】

【数３７】 （１＋Ｘ＋Ｘ² ）³ ＝（１＋Ｘ² ＋Ｘ⁴ ）・（１＋Ｘ＋Ｘ² ） ＝１＋Ｘ＋Ｘ³ ＋Ｘ⁵ ＋Ｘ⁶ となる。このようにして求めた１＋Ｘ＋Ｘ³ ＋Ｘ⁵ ＋Ｘ
⁶ が余りの集合Ｒ（３）のどの元に一致するかは、前述
の例のように、Ｇ（Ｘ）＝１＋Ｘ＋Ｘ³ による割算を実
行し、その余りを見ることによって求めることができ
る。この余りはＸとなる。すなわち、

【００９２】

【数３８】 となる。これをベクトル表現にすれば、

【００９３】

【数３９】（１，１，１）³ ＝（０１０） である。つぎに、公開鍵暗号方式の構成条件について、
秘密多項式を上記Ｇ（Ｘ）＝１＋Ｘ＋Ｘ³ とした、ｍ＝
３の場合を例にとって説明する。平文Ａおよび乱数ｒ
を、一般に

【００９４】

【数４０】Ａ＝（ａ₀ ，ａ₁ ，ａ₂ ）

【００９５】

【数４１】ｒ＝（ｒ₀ ，ｒ₁ ，ｒ₂ ） とする。ここで、ｈ＝３として、（Ａ＋ｒ）^h の（Ｒ
（３）における）多項式表現、すなわち、

【００９６】

【数４２】｛（ａ₀ ＋ｒ₀ ）＋（ａ₁ ＋ｒ₁ ）Ｘ＋（ａ
₂ ＋ｒ₂ ）Ｘ² ｝³＝ｂ₀ ＋ｂ₁ Ｘ＋ｂ₂ Ｘ² を以下に求める。ただし、ここでは、ｂ_I の係数が２次
となる場合、すなわちｔ＝２の場合を例にとって説明す
る。まず、計算によって次式が得られる。

【００９７】

【数４３】 ｛（ａ₀ ＋ｒ₀ ）＋（ａ₁ ＋ｒ₁ ）Ｘ＋（ａ₂ ＋ｒ₂ ）Ｘ² ｝² ＝（ａ₀ ＋ｒ₀ ）² ＋（ａ₁ ＋ｒ₁ ）² Ｘ² ＋（ａ₂ ＋ｒ₂ ）² Ｘ⁴ ＝（ａ₀ ＋ｒ₀ ）＋（ａ₂ ＋ｒ₂ ）Ｘ＋（ａ₁ ＋ｒ₁ ＋ａ₂ ＋ｒ₂ ）Ｘ² 上式は、以下の点に留意して変形している。すなわち、
Ｇ（Ｘ）＝１＋Ｘ＋Ｘ ³ は、Ｇ（Ｘ）自身によって割り
切れるので、１＋Ｘ＋Ｘ³ ＝０であることが明らかであ
る。このことは、Ｘ³ ＝−１−Ｘを意味するが、２元体
Ｆ₂ においては、１＋１＝０、すなわち、−１＝１であ
るから、Ｘ³ ＝１＋Ｘである。よって、

【００９８】

【数４４】Ｘ⁴ ＝Ｘ＋Ｘ² である。さらに、

【００９９】

【数４５】 （ａ_I ＋ｒ_I ）² ＝ａ_I ・ａ_I ＋２ａ_I ・ｒ_I ＋ｒ_I ・ｒ_I ＝ａ_I ＋ｒ_I である。上述の（ａ₀ ＋ｒ₀ ）＋（ａ₂ ＋ｒ₂ ）Ｘ＋
（ａ₁ ＋ｒ₁ ＋ａ₂ ＋ｒ₂ ）Ｘ²にさらに、（ａ₀ ＋ｒ
₀ ）＋（ａ₁ ＋ｒ₁ ）Ｘ＋（ａ₂ ＋ｒ₂ ）Ｘ² を乗じる
と、

【０１００】

【数４６】｛（ａ₀ ＋ｒ₀ ）＋（ａ₁ ＋ｒ₁ ）Ｘ＋（ａ
₂ ＋ｒ₂ ）Ｘ² ｝³＝ｂ₀ ＋ｂ₁ Ｘ＋ｂ₂ Ｘ² を満たすｂ₀ ，ｂ₁ ，ｂ₂ を求めることができる。これ
らのｂ₀ ，ｂ₁ ，ｂ₂ は、ｔ＝２として、Ｆ_J ^t ＝Ｇ_J
^t ＋Ｈ_J ^t に合わせると、

【０１０１】

【数４７】ｂ₀ ＝Ｆ₀ ² ＝Ｇ₀ ² ＋Ｈ₀ ²

【０１０２】

【数４８】ｂ₁ ＝Ｆ₁ ² ＝Ｇ₁ ² ＋Ｈ₁ ²

【０１０３】

【数４９】ｂ₂ ＝Ｆ₂ ² ＝Ｇ₂ ² ＋Ｈ₂ ² となる。ｂ₀ ，ｂ₁ ，ｂ₂ の構成要素を辞書順に並べる
と、以下のようになる。すなわち、

【０１０４】

【数５０】 ｂ₀ ＝（ａ₀ ａ₀ ＋ａ₁ ａ₁ ＋ａ₁ ａ₂ ＋ａ₁ ｒ₂ ＋ａ₂ ａ₂ ＋ａ₂ ｒ₁ ） ＋（ｒ₀ ｒ₀ ＋ｒ₁ ｒ₁ ＋ｒ₁ ｒ₂ ＋ｒ₂ ｒ₂ ） ＝Ｇ₀ ² ＋Ｈ₀ ²

【０１０５】

【数５１】 ｂ₁ ＝（ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₀ ｒ₁ ＋ａ₀ ｒ₂ ＋ａ₁ ａ₁ ＋ａ₁ ｒ₀ ＋ａ₂ ｒ₀ ）＋（ｒ₀ ｒ₁ ＋ｒ₀ ｒ₂ ＋ｒ₁ ｒ₁ ） ＝Ｇ₁ ² ＋Ｈ₁ ²

【０１０６】

【数５２】 つぎに、辞書Ｗ（３，２）について説明する。この辞書
Ｗ（３，２）は次式で表すことができる。

【０１０７】

【数５３】 Ｗ（３，２）＝（ａ₀ ａ₀ ，ａ₀ ａ₁ ，ａ₀ ａ₂ ，ａ₀ ｒ₀ ，ａ₀ ｒ₁ ， ａ₀ ｒ₂ ，ａ₁ ａ₁ ，ａ₁ ａ₂ ，ａ₁ ｒ₀ ，ａ₁ ｒ₁ ， ａ₁ ｒ₂ ，ａ₂ ａ₂ ，ａ₂ ｒ₀ ，ａ₂ ｒ₁ ，ａ₂ ｒ₂ ， ｒ₀ ｒ₀ ，ｒ₀ ｒ₁ ，ｒ₀ ｒ₂ ，ｒ₁ ｒ₁ ，ｒ₁ ｒ₂ ， ｒ₂ ｒ₂ ） ＝Ｇ（３，２）＊Ｈ（３，２） つぎに、［（Ａ＋ｒ）³ ］^T について説明する。辞書Ｗ
（３，２）に基づいて、先に導出したｂ₀ ，ｂ₁ ，ｂ₂
の値をもとに、

【０１０８】

【数５４】

【０１０９】を以下に導く。なお、ここでも、ｈ＝３と
している。

【０１１０】

【数５５】

【０１１１】与えられた（ａ₀ ，ａ₁ ，ａ₂ ），
（ｒ₀ ，ｒ₁ ，ｒ₂ ）に対し、上式の（ｂ ₀ ，ｂ₁ ，ｂ
₂ ）を計算し、（ｒ₀ ，ｒ₁ ，ｒ₂ ）のみが関与する部
分を引き去ると、暗号文Ｃとなる。実際には、暗号文Ｃ
の生成者には、（ｒ₀ ，ｒ₁ ，ｒ₂）のみが関与する部
分を計算させない。上記の〔数５５〕の行列のサイズは
極めて大きく、かつ冗長が存在するので、この行列を縮
小する。このため、（ａ₀ ，ａ₁ ，ａ₂ ）について、

【０１１２】

【数５６】ａ_I ・ａ_I ＝ａ_I

【０１１３】

【数５７】ａ_I ＋ａ_I ＝０ であることを考慮する。また、（ｒ₀ ，ｒ₁ ，ｒ₂ ）か
ら、

【０１１４】

【数５８】 ａ_I ・ｒ_J ＝０ （ただし、ｒ_J ＝０のとき）

【０１１５】

【数５９】 ａ_I ・ｒ_J ＝ａ_I （ただし、ｒ_J ＝１のとき） であることを考慮する。上記の点から、辞書Ｗ（３，
２）のうちの辞書Ｇ（３，２）は、

【０１１６】

【数６０】 Ｇ（３，２）＝（ａ₀ ａ₀ ，ａ₀ ａ₁ ，ａ₀ ａ₂ ，ａ₀ ｒ₀ ，ａ₀ ｒ₁ ， ａ₀ ｒ₂ ，ａ₁ ａ₁ ，ａ₁ ａ₂ ，ａ₁ ｒ₀ ，ａ₁ ｒ₁ ， ａ₁ ｒ₂ ，ａ₂ ａ₂ ，ａ₂ ｒ₀ ，ａ₂ ｒ₁ ，ａ₂ ｒ₂ ） ＝（ａ₀ ，ａ₀ ａ₁ ，ａ₀ ａ₂ ，ａ₀ ，ａ₀ ， ａ₀ ，ａ₁ ，ａ₁ ａ₂ ，ａ₁ ，ａ₁ ， ａ₁ ，ａ₂ ，ａ₂ ，ａ₂ ，ａ₂ ） と表される。縮退辞書Ｇ_D （３，２）は、上記の辞書Ｇ
（３，２）の成分のうち、相異なる成分を抽出して辞書
順に並べたものであり、

【０１１７】

【数６１】Ｇ_D （３，２）＝（ａ₀ ，ａ₀ ａ₁ ，ａ₀ ａ
₂ ，ａ₁ ，ａ₁ ａ₂ ，ａ₂ ） となる。また、辞書Ｗ（３，２）のうちの辞書Ｈ（３，
２）において、（ｒ₀ ，ｒ₁ ，ｒ₂ ）について、

【０１１８】

【数６２】ｒ_I ・ｒ_I ＝ｒ_I

【０１１９】

【数６３】ｒ_I ＋ｒ_I ＝０ であることを考慮すると、縮退したワードの集合よりな
る縮退辞書Ｈ_D （３，２）は、

【０１２０】

【数６４】Ｈ_D （３，２）＝（ｒ₀ ，ｒ₀ ｒ₁ ，ｒ₀ ｒ
₂ ，ｒ₁ ，ｒ₁ ｒ₂ ，ｒ₂ ） となる。したがって、Ｇ_D （３，２）＊Ｈ_D （３，２）
は、

【０１２１】

【数６５】Ｇ_D （３，２）＊Ｈ_D （３，２）＝（ａ₀ ，
ａ₀ ａ₁ ，ａ₀ ａ₂ ，ａ₁ ，ａ₁ ａ₂ ，ａ₂ ，ｒ₀ ，ｒ
₀ ｒ₁ ，ｒ₀ ｒ₂ ，ｒ₁ ，ｒ₁ ｒ₂ ，ｒ₂ ） となる。

【０１２２】上記の説明で、縮退辞書Ｇ_D （３，２）と
Ｈ_D （３，２）とが明らかになったので、つぎに、乱数
ｒの実現値（データ）が例えば、（１，０，１）の場
合、すなわち、ｒ₀ ＝１、ｒ₁ ＝０、ｒ₂ ＝１の場合に
おける行列Ｋ_G および行列Ｋ_Hについて説明する。乱数
ｒが上記のように選んだ場合、縮退辞書Ｈ_D （３，２）
は、

【０１２３】

【数６６】 Ｈ_D （３，２）＝（１，０，１，０，０，１） である。ここで、ｒ₀ ＝１、ｒ₁ ＝０、ｒ₂ ＝１、ａ_I
・ａ_I ＝ａ_I 、ｒ_I ・ｒ_I ＝ｒ _I であることを考慮する
と、〔数５０〕、〔数５１〕、〔数５２〕に示した｛ｂ
_I ｝は、

【０１２４】

【数６７】 ｂ₀ ＝ａ₀ ＋ａ₁ ＋ａ₁ ａ₂ ＋ａ₁ ｒ₂ ＋ａ₂ ＋ａ₂ ｒ₁ ＋ｒ₀ ＋ｒ₁ ＋ｒ₁ ｒ₂ ＋ｒ₂ ＝ａ₀ ＋ａ₁ ＋ａ₁ ａ₂ ＋ａ₁ ｒ₂ ＋ａ₂ ＋ｒ₀ ＋ｒ₂ ＝ａ₀ ＋ａ₁ ａ₂ ＋ａ₂ ＋ｒ₀ ＋ｒ₂

【０１２５】

【数６８】 ｂ₁ ＝ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₀ ｒ₁ ＋ａ₀ ｒ₂ ＋ａ₁ ＋ａ₁ ｒ₀ ＋ａ₂ ｒ₀ ＋ｒ₀ ｒ₁ ＋ｒ₀ ｒ₂ ＋ｒ₁ ＝ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₀ ＋ａ₂ ＋ｒ₀ ｒ₂

【０１２６】

【数６９】 ｂ₂ ＝ａ₀ ａ₁ ＋ａ₀ ｒ₁ ＋ａ₁ ｒ₀ ＋ａ₂ ＋ｒ₀ ｒ₁ ＋ｒ₂ ＝ａ₀ ａ₁ ＋ａ₁ ＋ａ₂ ＋ｒ₂ となる。したがって、

【０１２７】

【数７０】

【０１２８】は、

【０１２９】

【数７１】

【０１３０】となる。そして、送信者（甲氏）が生成す
る暗号文Ｃは、

【０１３１】

【数７２】Ｃ^T ＝Ｋ_G ・Ｇ_D （３，２）^T で与えられ、受信者（乙氏）が秘密に保持する補正数Γ
（ｒ）は、

【０１３２】

【数７３】Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （３，２）^T で与えられることになる。すなわち、送信側（甲氏側）
では、共通の辞書となる縮退辞書Ｇ_D （３，２）と、受
信者（乙氏）固有の公開鍵行列となる行列Ｋ_G とを用
い、縮退辞書Ｇ_D （３，２）^T に平文Ａの成分の実現値
（データ）を代入した後、行列Ｋ_G と縮退辞書Ｇ
_D （３，２）^T との乗算を行えば、暗号文Ｃを生成する
ことができる。

【０１３３】また、受信側（乙氏側）では、秘密鍵行列
となる行列Ｋ_H と縮退辞書Ｈ_D （３，２）^T との乗算結
果を補正数Γ（ｒ）として秘密に保存しておき、暗号文
Ｃを受け取ったときに、暗号文Ｃに補正数Γ（ｒ）を加
えることで、

【０１３４】

【数７４】

【０１３５】を得る。ところで、

【０１３６】

【数７５】（ｂ₀ ，ｂ₁ ，ｂ₂ ）＝（Ａ＋ｒ）³ であったから、ｄ＝５とすると、

【０１３７】

【数７６】｛（Ａ＋ｒ）³ ｝⁵ ＝（Ａ＋ｒ）¹⁵ となり、多項式Ｇ（Ｘ）＝Ｘ³ ＋Ｘ＋１の周期ｅが７で
あり、したがって（Ａ＋ｒ）⁷ ＝１であるので、

【０１３８】

【数７７】 となり、平文Ａに乱数ｒを加えたＡ＋ｒが導かれる。さ
らに、Ａ＋ｒに乱数ｒを加えることにより、乱数ｒの項
が消去されて、

【０１３９】

【数７８】Ａ＋ｒ＋ｒ＝Ａ となり、平文Ａを復号することができる。上式の演算で
ｒの項が消えているのは、２元体Ｆ₂ では、１＋１＝２
＝０であり、したがって、２ｒ＝０であるからである。

【０１４０】つぎに、上記した暗号文Ｃの生成を行うた
めの暗号化装置の回路例を図１を参照しながら説明す
る。暗号文Ｃは、前述したように、

【０１４１】

【数７９】

【０１４２】で表されるが、行列Ｋ_G は、

【０１４３】

【数８０】

【０１４４】となり、縮退辞書Ｇ_D （３，２）は、

【０１４５】

【数８１】

【０１４６】となる。上述した公開鍵行列となる行列Ｋ
_G を任意の乱数ｒに対応して一般的に

【０１４７】

【数８２】

【０１４８】とすると、暗号文Ｃは、

【０１４９】

【数８３】

【０１５０】となる。ここで、暗号文Ｃの各成分Ｃ₀ ，
Ｃ₁ ，Ｃ₂ を個々に数式で表すと、

【０１５１】

【数８４】Ｃ₀ ＝Ｋ₀₀ａ₀ ＋Ｋ₀₁ａ₀ ａ₁ ＋Ｋ₀₂ａ₀ ａ
₂ ＋Ｋ₀₃ａ₁＋Ｋ₀₄ａ₁ ａ₂ ＋Ｋ₀₅ａ₂

【０１５２】

【数８５】Ｃ₁ ＝Ｋ₁₀ａ₀ ＋Ｋ₁₁ａ₀ ａ₁ ＋Ｋ₁₂ａ₀ ａ
₂ ＋Ｋ₁₃ａ₁＋Ｋ₁₄ａ₁ ａ₂ ＋Ｋ₁₅ａ₂

【０１５３】

【数８６】Ｃ₂ ＝Ｋ₂₀ａ₀ ＋Ｋ₂₁ａ₀ ａ₁ ＋Ｋ₂₂ａ₀ ａ
₂ ＋Ｋ₂₃ａ₁＋Ｋ₂₄ａ₁ ａ₂ ＋Ｋ₂₅ａ₂ となり、各成分Ｃ₀ ，Ｃ₁ ，Ｃ₂ ともに、行列Ｋ_G の要
素の添字が異なるが、同一構造の数式で表されることに
なり、これらの数式の演算は、図１に示した回路で実現
できる。図１において、１０１〜１０３は、平文Ａの成
分ａ₀ ，ａ₁ ，ａ ₂ を一時格納するレジスタである。１
０４は暗号文Ｃの成分Ｃ_I （Ｉ＝０，１，２）を一時格
納するレジスタである。１０５〜１１０は法２乗算器を
構成する論理積回路である。１１１〜１１５は、法２加
算器を構成する排他的論理和回路である。

【０１５４】つぎに、上記した暗号文Ｃから平文Ａを復
号するための復号装置の回路例を図２を参照しながら説
明する。概略を説明すると、暗号文Ｃの各成分Ｃ₀ ，Ｃ
₁ ，Ｃ₂ に補正数Γ（ｒ）の各成分Γ₀ ，Γ₁ ，Γ₂ を
加える加算器と、加算器の出力が初期入力としてセット
される多項式Ｇ（Ｘ）＝Ｘ³ ＋Ｘ＋１に対応した帰還型
シフトレジスタと、この帰還型シフトレジスタの所定回
数のシフト動作後の各段のレジスタの保持値に乱数ｒの
各成分ｒ₀ ，ｒ₁ ，ｒ₂ を加える加算器とを主構成要素
として構成することができる。

【０１５５】以下、その具体例を図２に示す。図２にお
いて、２０１〜２０３は暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，
Ｃ₂ を一時格納するレジスタである。２０４〜２０６は
補正数Γ（ｒ）の各成分Γ₀ ，Γ₁ ，Γ₂ を一時格納す
るレジスタである。２０７〜２０９は法２加算器を構成
する排他的論理和回路であり、暗号文Ｃの各成分Ｃ₀，
Ｃ₁ ，Ｃ₂ と補正数Γ（ｒ）の各成分Γ₀ ，Γ₁ ，Γ₂
とを各々加算して加算結果ｂ₀ ，ｂ₁ ，ｂ₂ を出力す
る。２１０〜２１２は排他的論理和回路２０７〜２０９
の演算結果ｂ₀ ，ｂ₁ ，ｂ₂ を一時格納するレジスタで
ある。２１３は多項式Ｇ（Ｘ）＝１＋Ｘ＋Ｘ³ に対応す
る帰還型シフトレジスタであり、レジスタ２１０〜２１
２に格納された演算結果ｂ₀ ，ｂ₁ ，ｂ₂ が初期値とし
てセットされるレジスタ２１４〜２１６と法２加算器を
構成する排他的論理和回路２１７とで構成され、所定回
数のシフト動作を行う。２１８〜２２０は乱数ｒの各成
分ｒ ₀ ，ｒ₁ ，ｒ₂ を一時格納するレジスタである。２
２１〜２２３は法２加算器を構成する排他的論理和回路
であり、帰還型シフトレジスタ２１３の所定回数のシフ
ト動作後の各段のレジスタ２１４〜２１６の保持値とレ
ジスタ２１８〜２２０に保持された乱数ｒの各成分
ｒ₀ ，ｒ₁ ，ｒ₂ を各々加算して加算結果、つまり平文
Ａの成分ａ₀ ，ａ₁ ，ａ₂ を出力する。２２４〜２２６
は排他的論理和回路２２１〜２２３から出力される平文
Ａの成分ａ₀ ，ａ₁ ，ａ₂ を一時格納する。

【０１５６】なお、図２では、帰還型シフトレジスタ２
１３として、ｍ＝３の場合の例を示しているが、ｍが２
⁶ ＝６４以上、あるいはシフト数ｄが大なる場合は、周
知の高速指数演算型のシフト回路が用いられる。なお、
Γ（ｒ）＝（Γ₀ ，Γ₁ ，Γ ₂ ）としている。ここで、
本発明の実施の形態で説明している公開鍵暗号方式のシ
ステムの具体例を、原理説明のために、ｍ＝３の場合を
例にとって図３を用いて説明する。なお、実際には、ｍ
は２⁶ ＝６４以上とするのが好ましい。この公開鍵暗号
方式のシステムでは、暗号文の送信側である甲氏は、送
信したい平文Ａを情報ネットワークの加入者共通の辞書
である縮退辞書Ｇ_D （３，２）と暗号文の受信側である
乙氏の公開鍵である行列Ｋ_G を基に暗号化作業を行い暗
号文Ｃを生成し、通信路やメモリなどからなる情報ネッ
トワークを通して暗号文Ｃを送信する。受信側の乙氏
は、情報ネットワークを通じて受信した暗号文Ｃを、乙
氏自身の秘密鍵である、多項式Ｇ（Ｘ）、乱数ｒ、補正
数Γ（ｒ）および整数ｈ，ｄを用いて、復号し、平文Ａ
を復号する。このようにすると、甲氏は情報を他の誰に
も読まれることなく、乙氏に伝えることができる。

【０１５７】なお、情報ネットワークの加入者共通の縮
退辞書Ｇ_D （３，２）は、情報ネットワークの加入の際
に、例えば情報ネットワークの管理者から予めコンピュ
ータ上で実行させる暗号化および復号のソフトウェアを
記録した記録媒体あるいは暗号化装置および復号装置の
ようにコンピュータの周辺装置として動作するＩＣカー
ド等のハードウェア装置とともに、記憶媒体に書き込ん
だ状態で配付される。また、乙氏の公開鍵である行列Ｋ
_G については、情報ネットワークの加入の際に提供さ
れ、例えば加入者の公開鍵を格納した記録媒体等から読
み出される。

【０１５８】また、甲氏と乙氏が同一人であってもよ
い。つまり、甲氏自身が自身の公開鍵である行列Ｋ_G を
用いて平文Ａを暗号化し、暗号文Ｃを情報ネットワーク
上のメモリに保存しておき、後日、甲氏自身の秘密鍵を
用いて暗号文Ｃから平文Ａを復号するというような使用
形態も考えることができる。このようにすると、甲氏
は、情報を暗号の形で他の誰にも読まれることなく、情
報ネットワーク上のメモリに保存することができ、必要
なときに、その暗号文Ｃを取り出して平文Ａを復号する
ことができる。

【０１５９】つぎに、図３のシステムを具体例を用いて
説明する。まず、乙氏の公開鍵である行列Ｋ_G と秘密鍵
である補正数Γ（ｒ）の生成過程について説明する。平
文Ａ＝（ａ₀ ，ａ₁ ，ａ₂ ）に対し、まず

【０１６０】

【数８７】（Ａ＋ｒ）³ ＝（ｂ₀ ，ｂ₁ ，ｂ₂ ） を導く。〔数５０〕、〔数５１〕、〔数５２〕に示した
ｂ₀ ，ｂ₁ ，ｂ₂ の式を、ａ_I・ａ_I ＝ａ_I の関係を用
いて簡略化した上で再掲すると、以下のようになる。

【０１６１】

【数８８】ｂ₀ ＝ａ₀ ＋ａ₁ ＋ａ₁ ａ₂ ＋ａ₁ ｒ₂ ＋ａ
₂ ＋ａ₂ ｒ₁＋ｒ₀ ＋ｒ₁ ＋ｒ₁ ｒ₂ ＋ｒ₂

【０１６２】

【数８９】ｂ₁ ＝ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₀ ｒ₁ ＋ａ₀
ｒ₂ ＋ａ₁ ＋ａ₁ ｒ₀ ＋ａ₂ ｒ₀＋ｒ₀ ｒ₁ ＋ｒ₀ ｒ₂
＋ｒ₁

【０１６３】

【数９０】ｂ₂ ＝ａ₀ ａ₁ ＋ａ₀ ｒ₁ ＋ａ₁ ｒ₀ ＋ａ₂
＋ｒ₀ ｒ₁ ＋ｒ₂ 上の各式に、ｒ₀ ＝１，ｒ₁ ＝０，ｒ₂ ＝１を代入する
と、

【０１６４】

【数９１】

【０１６５】

【数９２】 ｂ₁ ＝ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₀ ＋ａ₁ ＋ａ₁ ＋ａ₂ ＋１ ＝ａ₀ ＋ａ₀ ａ₁ ＋ａ₀ ａ₂ ＋ａ₂ ＋１

【０１６６】

【数９３】ｂ₂ ＝ａ₀ ａ₁ ＋ａ₁ ＋ａ₂ ＋１ 上記の〔数９１〕、〔数９２〕、〔数９３〕の内容を行
列で表すと、

【０１６７】

【数９４】

【０１６８】となる。〔数９４〕における

【０１６９】

【数９５】

【０１７０】が乙氏の公開鍵として周知される。また、
〔数９４〕における

【０１７１】

【数９６】

【０１７２】は、平文Ａ＝（ａ₀ ，ａ₁ ，ａ₂ ）の如何
によらず、乱数ｒの値によって決まる一定の値となるの
で、乙氏の秘密鍵として保持することができる。つぎ
に、甲氏が乙氏の公開鍵を用いて平文Ａから暗号文Ｃを
生成する過程について説明する。図３に示されるよう
に、送信者である甲氏は、受信者である乙氏の公開鍵で
ある行列Ｋ_G を用いて、暗号文Ｃを以下のような演算で
生成する。

【０１７３】

【数９７】

【０１７４】例えば、平文Ａ＝（ａ₀ ，ａ₁ ，ａ₂ ）の
実現値（データ）がａ₀ ＝１、ａ₁＝１、ａ₂ ＝０であ
るとき、縮退辞書Ｇ_D （３，２）にａ₀ ，ａ₁ ，ａ₂ の
値を代入すると、

【０１７５】

【数９８】Ｇ_D （３，２）＝（１１０１００） が得られる。このＧ_D （３，２）^T に左から行列Ｋ_G を
乗じると、暗号文Ｃが以下のように得られる。

【０１７６】

【数９９】

【０１７７】が得られる。つぎに、受信者である乙氏が
暗号文Ｃを復号する過程について説明する。受信者であ
る乙氏は、［ｂ₀ ，ｂ₁ ，ｂ₂ ］^T を

【０１７８】

【数１００】

【０１７９】として導く。ところで、

【０１８０】

【数１０１】 （ｂ₀ ，ｂ₁ ，ｂ₂ ）＝（Ａ＋ｒ）³ ＝（１１１） であるが、これをｄ（＝５）乗した値がＡ＋ｒに等し
い。すなわち、

【０１８１】

【数１０２】｛（Ａ＋ｒ）³ ｝⁵ ＝Ａ＋ｒ であるから、（１１１）⁵ を求める必要がある。この
（１１１）⁵ は、前述したように、多項式表現にして乗
算を行うことにより求めることができる。すなわち、ベ
クトル表現の（１１１）が多項式表現の１＋Ｘ＋Ｘ² に
対応することを基に、（１＋Ｘ＋Ｘ² ）⁵ とした上で、
この（１＋Ｘ＋Ｘ² ）⁵ をＧ（Ｘ）＝１＋Ｘ＋Ｘ³ で割
り、その余りを求める。その余りは前述したのと同様な
割算によって求めることができ、

【０１８２】

【数１０３】 （１＋Ｘ＋Ｘ² ）⁵ ＝１＋Ｘ＋Ｘ² ＋Ｘ⁴ ＋Ｘ⁵ ＋Ｘ⁶ ＋Ｘ⁸ ＋Ｘ⁹ ＋Ｘ¹⁰ ≡Ｘ＋Ｘ² ｍｏｄ（１＋Ｘ＋Ｘ³ ） のようになる。余りＸ＋Ｘ² のベクトル表現は、（０１
１）であるから、結局、

【０１８３】

【数１０４】（１１１）⁵ ＝（０１１） である。以上により、

【０１８４】

【数１０５】Ａ＋ｒ＝（０１１） であることが分かったが、乱数ｒが

【０１８５】

【数１０６】ｒ＝（１０１） であったから、平文Ａは、

【０１８６】

【数１０７】 Ａ＝Ａ＋ｒ＋ｒ＝（０１１）＋（１０１）＝（１１０） となり、ａ₀ ＝１、ａ₁ ＝１、ａ₂ ＝０が復号される。
つぎに、本発明の実施の形態の公開鍵暗号方式におい
て、暗号化および復号をコンピュータのソフトウェア上
で実現する場合を、図４およびおよび図５を参照しなが
ら説明する。

【０１８７】まず、甲氏から乙氏へ送る場合の暗号化
は、図４に示すように、まず、平文Ａの実現値（デー
タ）を全ての加入者に共通の縮退辞書Ｇ_D （ｍ，ｔ）に
代入することで、縮退辞書Ｇ_D （ｍ，ｔ）の実現値（デ
ータ）を得る（ステップＳ１）。この実現値（データ）
は、縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの実現値（デー
タ）を代入した結果の値であり、（ _mＣ₁ ＋ _mＣ₂ ＋…
＋ _mＣ_t ）次元ベクトルである。

【０１８８】つぎに、乙氏の公開鍵Ｋ_G の実現値（デー
タ）を用いて、

【０１８９】

【数１０８】Ｋ_G ・Ｇ_D （ｍ，ｔ）^T 行列乗算処理を行うことにより、暗号文Ｃの実現値（デ
ータ）が得られる（ステップＳ２）。上記の行列乗算処
理は、全ての加入者に共通の構造であり、Ｋ_G ・Ｇ
_D （ｍ，ｔ）^T の実現値（データ）が行列乗算の形で処
理される。

【０１９０】上記の図４は、甲氏から乙氏への通信の場
合を示しているが、平文Ａを記録媒体に書き込む場合に
は、送信者と受信者とが同一人物、すなわち甲氏＝乙氏
となる場合が考えられる。この場合、行列Ｋ_G は、甲氏
自身の公開鍵となる。つぎに、甲氏から送られた暗号文
Ｃを乙氏が復号する場合は、図５に示すように、まず受
け取った暗号文Ｃの実現値（データ）に乙氏が保有する
秘密鍵である補正数Γ（ｒ）の実現値（データ）を加え
る加算処理を行うことにより、［（Ａ＋ｒ）^h ］^T の実
現値（データ）を得る（ステップＴ１）。

【０１９１】つぎに、乙氏が保有する秘密鍵である整数
ｄの実現値（データ）を用いて、（Ａ＋ｒ）^hd の演算
を行うことにより、Ａ＋ｒの実現値（データ）を得る
（ステップＴ２）。つぎに、乙氏が保有する秘密鍵であ
る乱数ｒを用いて、Ａ＋ｒの実現値（データ）から乱数
ｒの実現値（データ）を減じる、すなわち２元体では、
Ａ＋ｒの実現値（データ）に乱数ｒの実現値（データ）
を加えることを行い、平文Ａの実現値（データ）を得る
（ステップＴ３）。

【０１９２】以上に述べた暗号化および復号のソフトウ
ェアは、ＣＤＲＯＭや磁気ディスク等の記録媒体に記憶
されており、この記録媒体をコンピュータにセットする
ことで、上述した暗号化および復号の処理が実現可能で
ある。つぎに、本発明の実施の形態の公開鍵暗号方式に
おいて必要な公開鍵である行列Ｋ_G ，Ｋ_H の生成方法に
ついて図６を参照しながら説明する。まず、平文Ａと乱
数ｒとの加算処理を行い、加算結果Ａ＋ｒを求める（ス
テップＵ１）。つぎに、ステップＵ１の加算結果（Ａ＋
ｒ）のべき乗処理を行い、（Ａ＋ｒ）^h を求める（ステ
ップＵ２）。つぎに、ステップＵ２で求めた（Ａ＋ｒ）
^h に対して転置処理を行う（ステップＵ３）。つぎに、
縮退辞書Ｇ_D （ｍ，ｔ），Ｈ_D （ｍ，ｔ）を基に、転置
処理の処理結果［ｂ₀ ，ｂ₁ ，…，ｂ_m-1 ］^T とＫ・
［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T の両辺の比較に
基づくワード選択処理を行い、行列Ｋの実現値（デー
タ）を求める（ステップＵ４）。つぎに、選択ワード
（Ｋの実現値（データ））に基づく行列形成処理を行う
ことにより、行列Ｋ_G ，Ｋ_H の実現値（データ）を得る
（ステップＵ５）。

【０１９３】つぎに、本発明の実施の形態の公開鍵暗号
方式において必要な秘密鍵である補正数Γ（ｒ）の生成
方法について図７を参照しながら説明する。まず、乱数
ｒの実現値（データ）を縮退辞書Ｈ_D （ｍ，ｔ）に代入
することにより、縮退辞書Ｈ _D （ｍ，ｔ）の実現値（デ
ータ）を求める（ステップＶ１）。つぎに、行列Ｋ_Hと
縮退辞書Ｈ_D （ｍ，ｔ）の実現値（データ）との行列乗
算処理（Ｋ_H ・Ｈ_D （ｍ，ｔ）^T ）を行い、補正数Γ
（ｒ）の実現値（データ）を求める（ステップＶ２）。

【０１９４】つぎに、多項式Ｇ（Ｘ）の周期の求め方に
ついて説明する。ランダムに生成された生成多項式Ｇ
（Ｘ）を

【０１９５】

【数１０９】 Ｇ（Ｘ）＝Ｇ₁ （Ｘ）Ｇ₂ （Ｘ）…Ｇ_L （Ｘ） と因数分解する。素因数Ｇ_I （Ｘ）（Ｉ＝１，２，…，
Ｌ）の次数をＮとすると、２^N −１を素因数分解するこ
とにより、Ｇ_I （Ｘ）の周期ｅ_I が求まる。Ｇ（Ｘ）の
周期ｅは、ｅ₁ ，ｅ₂ ，…，ｅ_L の最小公倍数で与えら
れる。

【０１９６】つぎに、整数ｄの求め方について説明す
る。整数ｅとｈの最大公約数を求めるためのユークリッ
ド互除法を遂行することにより、

【０１９７】

【数１１０】ｅＥ＋ｈＨ＝１ を満たす整数ＥとＨとが与えられる。上式より、その左
辺はｅで割った場合、余り１となること、すなわち、

【０１９８】

【数１１１】ｈＨ≡１ ｍｏｄ ｅ となることがわかる。この整数Ｈが求める整数ｄであ
る。なお、公開鍵である行列Ｋ_G と秘密鍵である補正数
Γ（ｒ）の生成方法のソフトウェアは、磁気記録媒体あ
るいはＩＣカード等に記憶されていて、この記録媒体あ
るいはＩＣカードをコンピュータにセットすることによ
り、コンピュータが公開鍵である行列Ｋ_G と秘密鍵であ
る補正数Γ（ｒ）の生成を行う機能を持つことになる。

【０１９９】つぎに、ディジタル署名について説明す
る。署名文送信者側である乙氏は、ディジタル署名のた
めに、秘密の乱数ｘを生成する。そして、乙氏は、自身
の秘密鍵である整数ｄ、乱数ｒ、および補正数Γ（ｒ）
を用い、平文Ａを以下のように生成する。乙氏は、（Ａ
＋ｘ）^d −ｒとｘ−Γ（ｒ）のペア、すなわち

【０２００】

【数１１２】｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝ を署名文として、さらにこの署名文を平文と見なし、甲
氏の公開鍵行列である縮退辞書Ｇ_D （ｍ，ｔ）に署名文
の実現値（データ）を代入した状態で、甲氏の公開鍵行
列となる行列Ｋ_G と前記縮退辞書Ｇ_D （ｍ，ｔ）とを基
に暗号化署名文を生成し、この暗号化署名文を署名文受
信者側である甲氏に送る。

【０２０１】甲氏は、自己の秘密鍵である３つのパラメ
ータとしての補正数Γ（ｒ），乱数ｒおよび整数ｄ（こ
れらは乙氏のものとは当然異なる）とを基に暗号化署名
文から署名文を復号し、さらに乙氏の公開鍵Ｋ_G を用い
て、図１に示した暗号化装置により、（Ａ＋ｘ）^d −ｒ
の各成分の実現値（データ）を平文Ａの各成分ａ₀ ，ａ
₁ ，…，ａ_m-1 の実現値（データ）と見なし、その各成
分をレジスタ１０１〜１０３にセットすることにより、
平文Ａから暗号文Ｃを生成する場合と同様の処理で、
（Ａ＋ｘ）^d −ｒから擬似暗号文Ｄを生成する。すなわ
ち、甲氏は、暗号化署名文を受け取り、暗号化署名文か
ら署名文を復号し、署名文における（Ａ＋ｘ）^d −ｒの
各成分の実現値（データ）を平文Ａの成分ａ₀ ，ａ₁ ，
…，ａ_m-1の実現値（データ）と見なして縮退辞書Ｇ_D
（ｍ，ｔ）に代入した状態で、署名文送信者の公開鍵行
列Ｋ_G と縮退辞書Ｇ_D （ｍ，ｔ）とを基に

【０２０２】

【数１１３】Ｄ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって、擬似暗号文Ｄを生成し、平文Ａを、擬
似暗号文Ｄとｘ−Γ（ｒ）とを基に

【０２０３】

【数１１４】Ａ＝Ｄ−｛ｘ−Γ（ｒ）｝ の演算によって復号する。上記の〔数１１４〕によっ
て、平文Ａが復号できるのは、以下のような数式が成り
立つからである。すなわち、この擬似暗号文生成処理
は、〔数１１３〕の演算処理を行うものであるが、先に
説明したように、等価的に次式の左辺の処理を行うこと
になる。

【０２０４】

【数１１５】 Ｄ＝｛（Ａ＋ｘ）^d −ｒ＋ｒ｝^h −Γ（ｒ） 〔数１１５〕は、〔数１１６〕に示すように変形するこ
とができ、結果的にＡ＋ｘ−Γ（ｒ）を生成することに
なる。

【０２０５】

【数１１６】 ｛（Ａ＋ｘ）^d −ｒ＋ｒ｝^h −Γ（ｒ）＝（Ａ＋ｘ）^dh−Γ（ｒ） ＝Ａ＋ｘ−Γ（ｒ） そこで、甲氏は、乙氏から送られてきたｘ−Γ（ｒ）を
用いて、〔数１１４〕の演算を行うことにより、等価的
に次式のような演算が行われることになり、

【０２０６】

【数１１７】 Ａ＋ｘ−Γ（ｒ）−｛ｘ−Γ（ｒ）｝＝Ａ の演算を行うことで、平文Ａが復号されることになる。
なお、２元体Ｆ₂ 上では、減算と加算とが一致するの
で、ｘ−Γ（ｒ）を加算しても同じ結果が得られる。

【０２０７】上記プロセスにより、ペア｛（Ａ＋ｘ）^d
−ｒ，ｘ−Γ（ｒ）｝に基づき、平文Ａが復号された
が、このようなペアを生成し得るのは、秘密の乱数ｘと
秘密鍵である整数ｄ、乱数ｒ、補正数Γ（ｒ）を保持す
る乙氏だけであるから、復号した平文Ａが意味のある平
文であれば、乙氏の署名として有効になる。また、乙氏
は、甲氏の公開鍵行列である行列Ｋ_G （乙氏のものとは
当然異なる）を用いて署名文から暗号化署名文を生成
し、この暗号化署名文を甲氏へ送り、甲氏は、自身の秘
密鍵である整数ｄ、乱数ｒ、補正数Γ（ｒ）を用いて暗
号化署名文を復号して署名文を生成しているので、署名
文を署名文受信者以外の他人に対して秘匿状態を保つこ
とができる。

【０２０８】なお、署名文の秘匿性が必要なければ、乙
氏は署名文をそのままの形で甲氏へ送ってもよい。つぎ
に、本発明の実施の形態の公開鍵暗号方式の安全性につ
いて説明する。すなわち、本発明の実施の形態の公開鍵
暗号方式では、たとえ（Ａ＋ｒ）^h をそのまま暗号文と
しても、安全性が十分に保証される。すわなち、その安
全性は、以下の４点によって保証される。

【０２０９】（１）ｍ次の多項式Ｇ（Ｘ）を秘密にして
いること 多項式Ｇ（Ｘ）を

【０２１０】

【数１１８】Ｇ（Ｘ）＝Ｘ^m ＋ｇ（Ｘ）＋１ とする。ただし、ｇ（Ｘ）はＸを因数として含むｍ−１
次以下の多項式である。このような多項式の総数は、２
^m-2 であるため、ｍ＝６４の場合においてすら、２⁶²≒
４×１０¹⁸通りの選択ができる。したがって、盗聴者の
ランダムな総当たり攻撃に対しては、十分な安全性が確
保される。

【０２１１】（２）整数ｈを秘密にしていること 多項式Ｇ（Ｘ）の次数をｍとすると、整数ｈの選択範囲
が最も狭くなるｔ＝２の場合でも、整数ｈの選択範囲
は、 _mＣ₂ 通りある。ｍ＝６４の場合、この値は、₆₄Ｃ
₂ ≒２０１６である。上記の（１）と（２）とを組み合
わせると、総当たり攻撃に対しては、２^m-2× _mＣ₂ の
可能性があるので、この値を十分に大きくすることがで
きる。例えば、ｍ＝６４の場合には、この値は、８×１
０²¹にも達する。

【０２１２】上述のように、（Ａ＋ｒ）^h をそのまま暗
号文にした場合においても、多項式Ｇ（Ｘ）および整数
ｈを秘密にすることにより、十分な安全性が保持され
る。 （３）乱数ｒおよび補正数Γ（ｒ）を秘密にできること この公開鍵暗号方式では、暗号化の段階で（Ａ＋ｒ）^h
＋Γ（ｒ）のように、乱数ｒを基に生成された補正数Γ
（ｒ）を、送信者に全く知らせることなく付加すること
を可能にして、安全性をさらに強くしていることであ
る。

【０２１３】（４）連立高次合同式の解読困難性を利用
していること 唯一の解読法は、連立多次合同式の解法を適用すること
である。しかし、ｔ＝２とした最も単純な形式である連
立２次合同式の場合でも、変数が１０以上になると、計
算量的に解くことが困難となる。この公開鍵暗号方式で
は、変数をｍ＝６４程度以上に選ぶので、このような攻
撃法に対しても、十分な安全性が確保される。すなわ
ち、本発明による公開鍵暗号方式の安全性は、有限体上
のｔ次合同式（多次合同式）の求解が困難であることに
よって確保され、しかもｔ＝２を最小値とし、ｍを一定
にしたまま、ｔ＝３，４と順次大きくすることにより、
任意に高い安全性が保証される。

【０２１４】また、暗号化を簡単な行列の乗算のみで実
現でき、復号も簡単な行列演算で実現できるため、暗号
化処理および復号処理の高速化が可能であり、そのため
安全性が保証されたデータ通信の実用化を促進すること
ができる。本発明方式の暗号化および復号処理の主要部
分は、暗号化においてはＫ_G とＧ_D （ｍ，ｔ）の乗算で
あり、例えばｍ＝６４の場合、２０８０ビット（Ｋ_G ）
×２０８０ビット（Ｇ _D （ｍ，ｔ））の乗算を、６４重
の並列処理により、１回実行するだけで済む。また、復
号においては、高速指数計算法を適用すると、log₂ｍク
ロックタイムで実行される。これは、ｍ＝６４の場合、
６クロックタイムで終了することを意味する。この処理
速度は、控えめに評価しても、共通鍵暗号方式と同程度
である。一方、公開鍵暗号方式においては、例えばＲＳ
Ａ暗号の場合、合成数ｎを５１２ビットとすると暗号化
および復号処理の主要部分は、５１２ビット×５１２ビ
ットの乗算と、１０２４ビット÷５１２ビットの除算
を、たとえ高速指数計算法を用いたとしても、それぞれ
５００回程度必要とする。すなわち、本発明の実施の形
態における暗号方式によれば、ＲＳＡ方式に比べて２桁
速い処理速度が実現できる。また、暗号化装置、復号装
置がそれぞれ公開鍵の違いに関わらず同一の構造である
ことにより、ＬＳＩ等による大量生産が可能であり、暗
号化装置および復号装置の低廉化がもたらされる。さら
に、公開鍵方式により、鍵管理を容易にし得る。

【０２１５】なお、通信の形態が双方向ではなく、一方
向に限定され場合には送信側には、暗号化装置のみ、受
信側には復号装置のみを設置する構成も考えることがで
きる。また、上記の実施の形態は、２元体Ｆ₂ 上のｍ次
多項式Ｇ（Ｘ）（ｍは２以上の整数）を法とする剰余環
Ｒ（ｍ）上の公開鍵暗号方式について説明したが、ｑ元
体Ｆ_q （ｑは３以上の整数）上でも、２元体Ｆ₂ 上と同
様に本発明を適用することが可能である。この場合にお
いては、解読困難性を高めるために、前処理として平文
Ａを乱数変換しておくことが好ましい。すなわち、この
公開鍵暗号方式では、平文Ａをｑ元体上のベクトル（Ａ
₀ ，Ａ₁ ，…，Ａ_m-1 ）とし、乱数ｒをｑ元体上のベク
トル（ｒ₀ ，ｒ₁ ，…，ｒ_m-1 ）とし、暗号文Ｃをｑ元
体上のベクトル（Ｃ₁ ，Ｃ₂ ，…，Ｃ_m-1 ）としたとき
に、平文Ａの成分をｑ元体上の乱数Ｒ＝（Ｒ₀ ，Ｒ₁ ，
…，Ｒ_m-1 ）により、平文Ａ（Ｃ）＝（ａ₀ ，ａ₁ ，
…，ａ_m-1 ）に変換し、共通の辞書行列となる縮退した
ワードの集合（以下、縮退したワードの集合を縮退辞書
と呼ぶ）Ｇ_D （ｍ，ｔ）に乱数変換された平文Ａ（Ｃ）
の成分ａ₀ ，ａ ₁ ，…，ａ_m-1 の実現値（データ）を代
入した状態で、暗号文Ｃを、固有の公開鍵行列となる行
列Ｋ_G と縮退辞書Ｇ_D （ｍ，ｔ）とを基にＣ^T ＝Ｋ_G ・
Ｇ_D （ｍ，ｔ）^Tの演算によって生成し、乱数変換され
た平文Ａ（Ｃ）を、暗号文Ｃと秘密鍵である３つのパラ
メータとしての補正数Γ（ｒ），乱数ｒおよび整数ｄと
を基に Ａ（Ｃ）＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号し、乱数変換された平文Ａ（Ｃ）を
逆変換の乱数Ｒ（Ｔ）＝（Ｒ₀ ^-1，Ｒ₁ ^-1，…，Ｒ_m-1
^-1）により逆変換し、もとの平文Ａ＝（Ａ₀ ，Ａ ₁ ，
…，Ａ_m-1 ）を復号する。

【０２１６】ただし、ａ_I ＝Ｒ_I Ａ_I であり、かつＲ_I
≠０であり、またＡ_I ＝Ｒ_I ^-1ａ_Iである。また、平文
Ａの実現値（データ）は、例えばＡ_I ＝０のときに、０
がＡ _I の実現値（データ）であると定義される。また、
行列Ｋ_G と補正数Γ（ｒ）と縮退辞書Ｇ_D （ｍ，ｔ）と
整数ｄとは以下のようにして求める。ｍ次多項式Ｇ
（Ｘ）の周期をｅとし、周期ｅとは互いに素の条件で整
数ｈを選び、周期ｅを法としてｈ×ｄ＝１を満たす整数
ｄを選び、乱数変換された平文Ａ（Ｃ）と乱数ｒの和の
ｈ乗（Ａ（Ｃ）＋ｒ）^h をｑ元体上のベクトル（ｂ₀ ，
ｂ₁ ，…，ｂ_m-1 ）とし、乱数変換された平文Ａ（Ｃ）
と乱数ｒの和のｈ乗（Ａ（Ｃ）＋ｒ）^h の第（Ｊ＋１）
番目の成分ｂ_J を、乱数変換された平文Ａ（Ｃ）および
乱数ｒの成分｛ａ _I ，ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次
関数Ｆ_J ^t （ａ₀ ，ａ₁ ，…，ａ_m-1 ，ｒ ₀ ，ｒ₁ ，
…，ｒ_m-1 ）（ｔは２以上の整数）で与え（以下、ｔ次
関数をＦ_J ^tと略記する）、ｔ次関数Ｆ_J ^t を乱数ｒの
成分｛ｒ_I ｝のみが含まれる項Ｈ_J ^tとそれ以外の項Ｇ
_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、ｔ次関数Ｆ_J ^t において乱数変換された平文Ａ
（Ｃ）および乱数ｒの成分｛ａ_I ，ｒ_I ｝によって構成
されるｔ次項のそれぞれをワードとし、辞書順に並べら
れたワードの集合よりなる辞書をＷ（ｍ，ｔ）とし、こ
の辞書Ｗ（ｍ，ｔ）を乱数ｒの成分｛ｒ_I ｝のみが含ま
れるワードの集合よりなる辞書Ｈ（ｍ，ｔ）とそれ以外
のワードの集合よりなる辞書Ｇ（ｍ，ｔ）とに分け、連
接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、辞書Ｇ（ｍ，ｔ）とＨ（ｍ，ｔ）とから縮退辞書
Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，ｔ）とをそれぞれ
求め、縮退辞書Ｇ_D （ｍ，ｔ）と縮退辞書Ｈ_D （ｍ，
ｔ）と行列Ｋとを用いて、乱数変換された平文Ａ（Ｃ）
と乱数ｒの和のｈ乗（Ａ（Ｃ）＋ｒ）^h の転置ベクトル
［（Ａ（Ｃ）＋ｒ）^h ］^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）に作
用する行列Ｋ_G と縮退辞書Ｈ_D （ｍ，ｔ）に作用する行
列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、行列Ｋ_G と行列Ｋ_H とを求め、縮退
辞書Ｈ_D （ｍ，ｔ）に乱数ｒの成分ｒ₀ ，ｒ₁ ，…，ｒ
_m-1 の実現値（データ）を代入した状態で、補正数Γ
（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求める。

【０２１７】なお、ベクトル表現の平文Ａの各成分
ａ₀ ，ａ₁ ，…，ａ_m-1 を多項式表現の平文Ａ（Ｘ）の
各次の係数に割り当てるときに、公開鍵生成者である乙
氏が任意に選択した秘密の順序で並べ換えた状態で暗号
処理を行うと、ベクトル表現の平文Ａの各成分ａ₀ ，ａ
₁ ，…，ａ_m-1 を多項式表現の平文Ａ（Ｘ）の各次の係
数の対応関係がランダムになり、セキュリティをいっそ
う高めることができる。なお、公開鍵生成者である乙氏
は、並べ換えの順序を知っているので、平文の各成分を
元の順序に並べ直せば、平文を正しく復号することがで
きる。

【０２１８】

【発明の効果】本発明の請求項１記載の公開鍵暗号方式
によれば、縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの成分
ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（データ）を代入した
状態で、縮退辞書Ｇ_D （ｍ，ｔ）^T と行列Ｋ_G との積Ｋ
_G ・Ｇ_D （ｍ，ｔ）^T を演算することにより暗号文Ｃを
生成することができ、また暗号文Ｃと補正数Γ（ｒ）と
を加算し、その加算結果の転置行列〔Ｃ＋Γ（ｒ）〕^T
をｄ乗し、その演算結果に乱数ｒを加えることにより平
文Ａを復号することができ、暗号化演算および復号演算
が簡単で、現在広く使われているＤＥＳ暗号等の共通鍵
暗号方式と同程度のデータ処理速度を実現することがで
き、しかも公開鍵行列である行列Ｋ_G および共通の辞書
行列である縮退辞書Ｇ_D （ｍ，ｔ）から、ｍ次多項式Ｇ
（Ｘ）、整数ｈ、整数ｄ、乱数ｒ、補正数Γ（ｒ）等の
秘密鍵を求めることが、極めて困難であることから、高
セキュリティを保証することができる。

【０２１９】上述した本発明方式の暗号化および復号処
理の主要部分は、暗号化においてはＫ_G とＧ_D （ｍ，
ｔ）の乗算であり、例えばｍ＝６４の場合、２０８０ビ
ット（Ｋ_G ）×２０８０ビット（Ｇ_D （ｍ，ｔ））の乗
算を、６４重の並列処理により、１回実行するだけで済
む。また、復号においては、高速指数計算法を適用する
と、log₂ｍクロックタイムで実行される。これは、ｍ＝
６４の場合、６クロックタイムで終了することを意味す
る。この処理速度は、控えめに評価しても、共通鍵暗号
方式と同程度である。一方、公開鍵暗号方式において
は、例えばＲＳＡ暗号の場合、合成数ｎを５１２ビット
とすると暗号化および復号処理の主要部分は、５１２ビ
ット×５１２ビットの乗算と、１０２４ビット÷５１２
ビットの除算を、たとえ高速指数計算法を用いたとして
も、それぞれ５００回程度必要とする。すなわち、本発
明によると、ＲＳＡ方式に比べて２桁速い処理速度が実
現できる。

【０２２０】本発明の請求項２記載の暗号化装置によれ
ば、データ代入機能によって縮退辞書Ｇ_D （ｍ，ｔ）に
平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（デー
タ）を代入し、演算機能によって行列Ｋ_G と縮退辞書Ｇ
_D （ｍ，ｔ）の乗算を行うことにより、暗号文Ｃの各成
分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を算出することができ、暗号
化演算が簡単で、高速に暗号化を実施することができ、
しかも共通構造のハードウェアの外部入力パターンの設
定を単に変更するだけで固有の公開鍵の違いに対応する
ことができ、公開鍵の変更に容易に対応することができ
る。

【０２２１】本発明の請求項３記載の暗号化装置によれ
ば、レジスタ群によって平文Ａの成分ａ₀ ，ａ₁ ，…，
ａ_m-1 の実現値（データ）を記憶し、レジスタ群の各実
現値（データ）と行列Ｋ_G の各行毎の実現値（データ）
とを基に、積和演算回路で縮退辞書Ｇ_D （ｍ，ｔ）^T と
行列Ｋ_G との積Ｋ_G ・Ｇ_D （ｍ，ｔ）^T に従って暗号文
Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を算出することがで
き、暗号化演算が簡単で、高速に暗号化を実施すること
ができ、しかも共通構造のハードウェアの外部入力パタ
ーンの設定を単に変更するだけで固有の公開鍵の違いに
対応することができ、公開鍵の変更に容易に対応するこ
とができる。

【０２２２】本発明の請求項４記載の復号装置によれ
ば、第１の加算機能により暗号文Ｃと補正数Γ（ｒ）と
を加算し、演算機能により第１の加算機能による加算結
果の転置行列〔Ｃ＋Γ（ｒ）〕^T をｄ乗し、第２の加算
機能により演算機能による演算結果に乱数ｒを加えるこ
とにより平文Ａを復号することができ、復号演算が簡単
で、高速に復号を実施することができ、しかも、共通構
造のハードウェアの外部入力パターンの設定を単に変更
するだけで固有の公開鍵の違いに対応することができ、
公開鍵の変更に容易に対応することができる。

【０２２３】本発明の請求項５記載の復号装置によれ
ば、第１の加算器により暗号文Ｃと補正数Γ（ｒ）とを
各成分毎にそれぞれ加算し、帰還型シフトレジスタによ
り第１の加算器の各出力を初期入力として（ｈ−１）×
ｄ回シフト動作をし、第２の加算器により帰還型シフト
レジスタの各出力と乱数ｒの各成分をそれぞれ加算する
ことにより、平文Ａの各成分ａ₀ ，ａ₁ ，…，ａ_m-1 を
算出することができ、復号演算が簡単で、高速に復号を
実施することができ、しかも、共通構造のハードウェア
の外部入力パターンの設定を単に変更するだけで固有の
公開鍵の違いに対応することができ、公開鍵の変更に容
易に対応することができる。

【０２２４】本発明の請求項６記載の暗号装置によれ
ば、データ代入機能によって縮退辞書Ｇ_D （ｍ，ｔ）に
平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値（デー
タ）を代入し、演算機能によって行列Ｋ_G と縮退辞書Ｇ
_D （ｍ，ｔ）の乗算を行うことにより、暗号文Ｃの各成
分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を算出することができ、暗号
化演算が簡単で、高速に暗号化を実施することができ、
しかも共通構造のハードウェアの外部入力パターンの設
定を単に変更するだけで固有の公開鍵の違いに対応する
ことができ、公開鍵の変更に容易に対応することができ
る。また、第１の加算機能により暗号文Ｃと補正数Γ
（ｒ）とを加算し、演算機能により第１の加算機能によ
る加算結果の転置行列〔Ｃ＋Γ（ｒ）〕^T をｄ乗し、第
２の加算機能により演算機能による演算結果に乱数ｒを
加えることにより平文Ａを復号することができ、復号演
算が簡単で、高速に復号を実施することができ、しか
も、共通構造のハードウェアの外部入力パターンの設定
を単に変更するだけで固有の公開鍵の違いに対応するこ
とができ、公開鍵の変更に容易に対応することができ
る。

【０２２５】本発明の請求項７記載の暗号装置によれ
ば、レジスタ群によって平文Ａの成分ａ₀ ，ａ₁ ，…，
ａ_m-1 の実現値（データ）を記憶し、レジスタ群の各実
現値（データ）と行列Ｋ_G の各行毎の実現値（データ）
とを基に、積和演算回路で縮退辞書Ｇ_D （ｍ，ｔ）^T と
行列Ｋ_G との積Ｋ_G ・Ｇ_D （ｍ，ｔ）^T に従って暗号文
Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ_m-1 を算出することがで
き、暗号化演算が簡単で、高速に暗号化を実施すること
ができ、しかも共通構造のハードウェアの外部入力パタ
ーンの設定を単に変更するだけで固有の公開鍵の違いに
対応することができ、公開鍵の変更に容易に対応するこ
とができる。また、第１の加算器により暗号文Ｃと補正
数Γ（ｒ）とを各成分毎にそれぞれ加算し、帰還型シフ
トレジスタにより第１の加算器の各出力を初期入力とし
て（ｈ−１）×ｄ回シフト動作をし、第２の加算器によ
り帰還型シフトレジスタの各出力と乱数ｒの各成分をそ
れぞれ加算することにより、平文Ａの各成分ａ₀ ，
ａ₁ ，…，ａ_m-1 を算出することができ、復号演算が簡
単で、高速に復号を実施することができ、しかも、共通
構造のハードウェアの外部入力パターンの設定を単に変
更するだけで固有の公開鍵の違いに対応することがで
き、公開鍵の変更に容易に対応することができる。

【０２２６】本発明の請求項８記載の記録媒体によれ
ば、記憶したプログラムをコンピュータで実行すること
により、請求項１の公開鍵暗号方式と同様の効果を有す
る。本発明の請求項９または１０記載の記録媒体によれ
ば、暗号文Ｃを保存する際に、保存した暗号文Ｃの内容
を秘密鍵を知らない人が解読することが極めて困難であ
り、高セキュリティを保証することができる。

【０２２７】本発明の請求項１１または１２記載の伝送
路によれば、暗号文Ｃを伝送する際に、伝送した暗号文
Ｃの内容を秘密鍵を知らない人が解読することが極めて
困難であり、高セキュリティを保証することができる。
本発明の請求項１３記載の公開鍵行列・補正数生成方法
によれば、２元体上のｍ次多項式Ｇ（Ｘ）（ｍは２以上
の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗号方式
で必要となる公開鍵行列としての行列Ｋ_G と補正数Γ
（ｒ）とを求めることができる。

【０２２８】本発明の請求項１４記載の記録媒体によれ
ば、記憶したプログラムをコンピュータで実行すること
により、２元体上のｍ次多項式Ｇ（Ｘ）（ｍは２以上の
整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗号方式で
必要となる公開鍵行列としての行列Ｋ_G と補正数Γ
（ｒ）とを求めることができる。本発明の請求項１５記
載のＩＣカードによれば、コンピュータにセットするこ
とにより、２元体上のｍ次多項式Ｇ（Ｘ）（ｍは２以上
の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗号方式
で必要となる公開鍵行列としての行列Ｋ_G と補正数Γ
（ｒ）とを求めることができる。

【０２２９】本発明の請求項１６記載の公開鍵暗号方式
によれば、縮退辞書Ｇ_D （ｍ，ｔ）に乱数Ｒ＝（Ｒ₀ ，
Ｒ₁ ，…，Ｒ_m-1 ）により変換された平文Ａの成分
ａ₀ ，ａ ₁ ，…，ａ_m-1 の実現値（データ）を代入した
状態で、縮退辞書Ｇ_D （ｍ，ｔ） ^T と行列Ｋ_G との積Ｋ
_G ・Ｇ_D （ｍ，ｔ）^T を演算することにより暗号文Ｃを
生成することができ、また暗号文Ｃと補正数Γ（ｒ）と
を加算し、その加算結果の転置行列〔Ｃ＋Γ（ｒ）〕^T
をｄ乗し、その演算結果に乱数ｒを加えることにより乱
数変換された平文Ａ（Ｃ）を復号し、さらにこの乱数変
換された平文Ａ（Ｃ）を逆変換の乱数Ｒ（Ｔ）＝（Ｒ₀
^-1，Ｒ₁ ^-1，…，Ｒ_m-1 ^-1）により、元の平文Ａ＝（Ａ
₀ ，Ａ₁ ，…，Ａ_m-1 ）を復号することができ、暗号化
演算および復号演算が簡単で、共通鍵暗号方式と同程度
のデータ処理速度を可能とし、しかも公開鍵行列である
行列Ｋ_G および共通の辞書行列である縮退辞書Ｇ
_D （ｍ，ｔ）から、ｍ次多項式Ｇ（Ｘ）、整数ｈ、整数
ｄ、乱数ｒ、補正数Γ（ｒ）等の秘密鍵を求めること
が、極めて困難であることから、高セキュリティを保証
することができる。上記の演算処理は、２元の場合と同
様に、高速に実行可能で、ＲＳＡ方式に比べて２桁速く
処理可能である。

【０２３０】本発明の請求項１７記載のディジタル署名
方法によれば、署名文送信者側で平文Ａから署名文を生
成し、署名文受信者側で署名文を元の平文Ａに復号する
ことができる。平文Ａから ｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝ を署名文として生成できるのは、秘密の乱数ｘを生成
し、自己の秘密鍵である整数ｄ、乱数ｒおよび補正数Γ
（ｒ）を知っている署名文送信者に限られるので、復号
した平文Ａが意味のある平文であれば、署名文送信者か
ら送られたものであると断定することができ、署名文送
信者の署名として有効である。

【０２３１】請求項１８記載のディジタル署名方法によ
れば、署名文を署名文受信者以外の他人に対して秘匿状
態を保つことができる。

【図面の簡単な説明】

【図１】本発明の実施の形態の公開鍵暗号方式において
用いる暗号化装置の構成を示すブロック図である。

【図２】本発明の実施の形態の公開鍵暗号方式において
用いる復号装置の構成を示すブロック図である。

【図３】本発明の実施の形態の公開鍵暗号方式のシステ
ムを示す概略図である。

【図４】本発明の実施の形態の公開鍵暗号方式において
用いる暗号化アルゴリズムを示す流れ図である。

【図５】本発明の実施の形態の公開鍵暗号方式において
用いる復号アルゴリズムを示す流れ図である。

【図６】本発明の実施の形態の公開鍵暗号方式における
行列Ｋ_G ，Ｋ_H の生成アルゴリズムを示す流れ図であ
る。

【図７】本発明の実施の形態の公開鍵暗号方式における
補正数Γ（ｒ）の生成アルゴリズムを示す流れ図であ
る。

【符号の説明】

１０１〜１０４ レジスタ １０５〜１１０ 論理積回路 １１１〜１１５ 排他的論理和回路 ２０１〜２０６ レジスタ ２０７〜２０９ 排他的論理和回路 ２１０〜２１２ レジスタ ２１３ 帰還型シフトレジスタ ２１４〜２１６ レジスタ ２１７ 排他的論理和回路 ２１８〜２２０ レジスタ ２２１〜２２３ 排他的論理和回路 ２２４〜２２６ レジスタ

Claims (18)

【特許請求の範囲】
1. 【請求項１】 ２元体上のｍ次多項式Ｇ（Ｘ）（ｍは２
   以上の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗号
   方式であって、 平文Ａ∈Ｒ（ｍ）（以下、Ａと略記する）をベクトル
   （ａ₀ ，ａ₁ ，…，ａ_{m- 1} ）とし、乱数ｒ∈Ｒ（ｍ）
   （以下、ｒと略記する）をベクトル（ｒ₀ ，ｒ₁ ，…，
   ｒ_m-1 ）とし、暗号文Ｃ∈Ｒ（ｍ）（以下、Ｃと略記す
   る）をベクトル（Ｃ ₁ ，Ｃ₂ ，…，Ｃ_m-1 ）としたとき
   に、 共通の辞書行列となる縮退したワードの集合（以下、縮
   退したワードの集合を縮退辞書と呼ぶ）Ｇ_D （ｍ，ｔ）
   に前記平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値を
   代入した状態で、暗号文Ｃを、固有の公開鍵行列となる
   行列Ｋ_G と前記縮退辞書Ｇ_D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって生成し、 前記平文Ａを、暗号文Ｃと秘密鍵である３つのパラメー
   タとしての補正数Γ（ｒ），乱数ｒおよび整数ｄとを基
   に Ａ＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号することを特徴とする公開鍵暗号方
   式。ただし、平文Ａの実現値は、例えばａ_I ＝０のとき
   に、０がａ_I の実現値であると定義される。また、前記
   行列Ｋ_G と前記補正数Γ（ｒ）と前記縮退辞書Ｇ
   _D （ｍ，ｔ）と前記整数ｄとは以下のようにして求め
   る。ｍ次多項式Ｇ（Ｘ）の周期をｅとし、周期ｅとは互
   いに素の条件で整数ｈを選び、周期ｅを法としてｈ×ｄ
   ＝１を満たす前記整数ｄを選び、 前記平文Ａと前記乱数ｒの和のｈ乗（Ａ＋ｒ）^h ∈Ｒ
   （ｍ）（以下、（Ａ＋ｒ）^h と略記する）をベクトル
   （ｂ₀ ，ｂ₁ ，…，ｂ_m-1 ）とし、 前記平文Ａと前記乱数ｒの和のｈ乗（Ａ＋ｒ）^h の第
   （Ｊ＋１）番目の成分ｂ _J を、前記平文Ａおよび前記乱
   数ｒの成分｛ａ_I ，ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次関
   数Ｆ_J ^t （ａ₀ ，ａ₁ ，…，ａ_m-1 ，ｒ₀ ，ｒ₁ ，…，
   ｒ_m-1 ）（ｔは２以上の整数）で与え（以下、前記ｔ次
   関数をＦ_J ^t と略記する）、前記ｔ次関数Ｆ_J ^t を前記
   乱数ｒの成分｛ｒ_I ｝のみが含まれる項Ｈ_J ^t とそれ以
   外の項Ｇ_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、前記ｔ次関数Ｆ_J ^t において前記平文Ａおよび前
   記乱数ｒの成分｛ａ_I ，ｒ_I ｝によって構成されるｔ次
   項のそれぞれをワードとし、辞書順に並べられたワード
   の集合（以下、ワードの集合を辞書と呼ぶ）をＷ（ｍ，
   ｔ）とし、このワードの集合、すなわち辞書Ｗ（ｍ，
   ｔ）を乱数ｒの成分｛ｒ_I ｝のみが含まれるワードの集
   合よりなる辞書Ｈ（ｍ，ｔ）とそれ以外のワードの集合
   よりなる辞書Ｇ（ｍ，ｔ）とに分け、連接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、前記辞書Ｇ（ｍ，ｔ）と前記辞書Ｈ（ｍ，ｔ）と
   から前記縮退辞書Ｇ_D （ｍ，ｔ）と前記縮退辞書Ｈ
   _D （ｍ，ｔ）とをそれぞれ求め、前記縮退辞書Ｇ
   _D （ｍ，ｔ）と前記縮退辞書Ｈ_D （ｍ，ｔ）と行列Ｋと
   を用いて、前記平文Ａと前記乱数ｒの和のｈ乗（Ａ＋
   ｒ）^h の転置ベクトル［（Ａ＋ｒ）^h ］^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、前記行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）
   に作用する前記行列Ｋ_Gと前記縮退辞書Ｈ_D （ｍ，ｔ）
   に作用する行列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、前記行列Ｋ_G と前記行列Ｋ_H とを求
   め、 前記縮退辞書Ｈ_D （ｍ，ｔ）に前記乱数ｒの成分ｒ₀ ，
   ｒ₁ ，…，ｒ_m-1 の実現値を代入した状態で、前記補正
   数Γ（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求める。
2. 【請求項２】 請求項１記載の公開鍵暗号方式に用いる
   暗号化装置であって、縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａ
   の成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値を代入するデー
   タ代入機能と、 行列Ｋ_G と前記平文Ａの成分ａ₀ ，ａ₁ ，…，ａ_m-1 の
   実現値を代入した前記縮退辞書Ｇ_D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃを生成する演算機能とを備えた
   暗号化装置。
3. 【請求項３】 請求項１記載の公開鍵暗号方式に用いる
   暗号化装置であって、平文Ａの成分ａ₀ ，ａ₁ ，…，ａ
   _m-1 の実現値を記憶するレジスタ群と、前記レジスタ群
   の各実現値と行列Ｋ_G の各行毎の実現値とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃの各成分Ｃ₀ ，Ｃ₁ ，…，Ｃ
   _m-1 を算出する積和演算回路とを備えた暗号化装置。
4. 【請求項４】 請求項１記載の公開鍵暗号方式に用いる
   復号装置であって、暗号文Ｃと補正数Γ（ｒ）とを加算
   する第１の加算機能と、前記第１の加算機能による加算
   結果の転置行列〔Ｃ＋Γ（ｒ）〕^T をｄ乗する演算機能
   と、前記演算機能による演算結果に乱数ｒを加えること
   により平文Ａを復号する第２の加算機能とを備えた復号
   装置。
5. 【請求項５】 請求項１記載の公開鍵暗号方式に用いる
   復号装置であって、暗号文Ｃと補正数Γ（ｒ）とを各成
   分毎にそれぞれ加算する第１の加算器と、ｍ次多項式Ｇ
   （Ｘ）に対応して帰還経路を選択的に形成するスイッチ
   手段を有する縦続接続したｍ個のレジスタからなり、前
   記第１の加算器の各出力を初期入力として（ｈ−１）×
   ｄ回シフト動作をする帰還型シフトレジスタと、前記帰
   還型シフトレジスタの各出力と乱数ｒの各成分をそれぞ
   れ加算する第２の加算器とを備えた復号装置。
6. 【請求項６】 請求項１記載の公開鍵暗号方式に用いる
   暗号装置であって、縮退辞書Ｇ_D （ｍ，ｔ）に平文Ａの
   成分ａ₀ ，ａ₁ ，…，ａ_m-1 の実現値を代入するデータ
   代入機能と、行列Ｋ_G と前記平文Ａの成分ａ₀ ，ａ₁ ，
   …，ａ_m-1 の実現値を代入した前記縮退辞書Ｇ_D （ｍ，
   ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃを生成する演算機能と、暗号文
   Ｃと補正数Γ（ｒ）とを加算する第１の加算機能と、前
   記第１の加算機能による加算結果の転置行列〔Ｃ＋Γ
   （ｒ）〕^T をｄ乗する演算機能と、前記演算機能による
   演算結果に乱数ｒを加えることにより平文Ａを復号する
   第２の加算機能とを備えた暗号装置。
7. 【請求項７】 請求項１記載の公開鍵暗号方式に用いる
   暗号装置であって、平文Ａの成分ａ₀ ，ａ₁ ，…，ａ
   _m-1 の実現値を記憶するレジスタ群と、前記レジスタ群
   の各実現値と行列Ｋ_G の各行毎の実現値とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって暗号文Ｃの各成分を算出する積和演算回
   路と、暗号文Ｃと補正数Γ（ｒ）とを各成分毎にそれぞ
   れ加算する第１の加算器と、ｍ次多項式Ｇ（Ｘ）に対応
   して帰還経路を選択的に形成するスイッチ手段を有する
   縦続接続したｍ個のレジスタからなり、前記第１の加算
   器の各出力を初期入力として（ｈ−１）×ｄ回シフト動
   作をする帰還型シフトレジスタと、前記帰還型シフトレ
   ジスタの各出力と乱数ｒの各成分をそれぞれ加算する第
   ２の加算器とを備えた暗号装置。
8. 【請求項８】 請求項１記載の公開鍵暗号方式を実施す
   るプログラムを記憶した記録媒体。
9. 【請求項９】 請求項２または請求項３記載の暗号化装
   置で生成された暗号文Ｃを記録した記録媒体。
10. 【請求項１０】 請求項６または請求項７記載の暗号装
    置で生成された暗号文Ｃを記録した記録媒体。
11. 【請求項１１】 請求項２または請求項３記載の暗号化
    装置で生成された暗号文Ｃを伝送する伝送路。
12. 【請求項１２】 請求項６または請求項７記載の暗号装
    置で生成された暗号文Ｃを伝送する伝送路。
13. 【請求項１３】 ２元体上のｍ次多項式Ｇ（Ｘ）（ｍは
    ２以上の整数）を法とする剰余環Ｒ（ｍ）上の公開鍵暗
    号方式で用いる公開鍵行列としての行列Ｋ_Gと補正数Γ
    （ｒ）とを生成する公開鍵行列・補正数生成方法であっ
    て、 任意のｍ次多項式Ｇ（Ｘ）を選び、このｍ次多項式Ｇ
    （Ｘ）の周期ｅを求め、前記周期ｅとは互いに素の条件
    で整数ｈを選び、前記周期ｅを法としてｈ×ｄ＝１を満
    たす整数ｄを選び、 平文Ａをベクトル（ａ₀ ，ａ₁ ，…，ａ_m-1 ）とし、乱
    数ｒをベクトル（ｒ₀，ｒ₁ ，…，ｒ_m-1 ）とし、前記
    平文Ａと前記乱数ｒの和のｈ乗（Ａ＋ｒ）^h をベクトル
    （ｂ₀ ，ｂ₁ ，…，ｂ_m-1 ）とし、 縮退したワードの集合Ｇ_D （ｍ，ｔ）と縮退したワード
    の集合（以下、縮退したワードの集合を縮退辞書と呼
    ぶ）Ｈ_D （ｍ，ｔ）と行列Ｋとを用いて、前記平文Ａと
    前記乱数ｒの和のｈ乗（Ａ＋ｒ）^h の転置ベクトル
    ［（Ａ＋ｒ）^h ］^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、前記行列Ｋを前記縮退辞書Ｇ_D （ｍ，
    ｔ）に作用する前記行列Ｋ_G と前記縮退辞書Ｈ_D （ｍ，
    ｔ）に作用する行列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、前記行列Ｋ_G と前記行列Ｋ_H とを求
    め、 前記縮退辞書Ｈ_D （ｍ，ｔ）に前記乱数ｒの成分ｒ₀ ，
    ｒ₁ ，…，ｒ_m-1 の実現値を代入した状態で、前記補正
    数Γ（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求めることを特徴とする公開鍵行列・補
    正数生成方法。ただし、前記縮退辞書Ｇ_D （ｍ，ｔ）と
    前記縮退辞書Ｈ_D （ｍ，ｔ）とは以下のようにして求め
    る。前記平文Ａと前記乱数ｒの和のｈ乗（Ａ＋ｒ）^h の
    第（Ｊ＋１）番目の成分ｂ_J を、前記平文Ａおよび前記
    乱数ｒの成分｛ａ_I ，ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次
    関数Ｆ_J ^t （ａ₀ ，ａ₁ ，…，ａ_m-1 ，ｒ₀ ，ｒ₁ ，
    …，ｒ_m-1 ）（ｔは２以上の整数）で与え（以下、前記
    ｔ次関数をＦ_J ^t と略記する）、前記ｔ次関数Ｆ_J ^t を
    前記乱数ｒの成分｛ｒ_I ｝のみが含まれる項Ｈ_J ^tとそ
    れ以外の項Ｇ_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、前記ｔ次関数Ｆ_J ^t において前記平文Ａおよび前
    記乱数ｒの成分｛ａ_I ，ｒ_I ｝によって構成されるｔ次
    項のそれぞれをワードとし、辞書順に並べられたワード
    の集合よりなる辞書をＷ（ｍ，ｔ）とし、この辞書Ｗ
    （ｍ，ｔ）を乱数ｒの成分｛ｒ_I ｝のみが含まれるワー
    ドの集合よりなる辞書Ｈ（ｍ，ｔ）とそれ以外のワード
    の集合よりなる辞書Ｇ（ｍ，ｔ）とに分け、連接によっ
    て Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、前記辞書Ｇ（ｍ，ｔ）と前記辞書Ｈ（ｍ，ｔ）と
    から前記縮退辞書Ｇ_D （ｍ，ｔ）と前記縮退辞書Ｈ
    _D （ｍ，ｔ）とをそれぞれ求める。
14. 【請求項１４】 請求項１３記載の公開鍵行列・補正数
    生成方法を実施するプログラムを記録した記録媒体。
15. 【請求項１５】 請求項１３記載の公開鍵行列・補正数
    生成方法を実施する機能を組み込んだＩＣカード。
16. 【請求項１６】 ｑ元体（ｑは３以上の整数）上のｍ次
    多項式Ｇ（Ｘ）（ｍは２以上の整数）を法とする剰余環
    Ｒ（ｍ）上の公開鍵暗号方式であって、 平文Ａをｑ元体上のベクトル（Ａ₀ ，Ａ₁ ，…，
    Ａ_m-1 ）とし、乱数ｒをｑ元体上のベクトル（ｒ₀ ，ｒ
    ₁ ，…，ｒ_m-1 ）とし、暗号文Ｃをｑ元体上のベクトル
    （Ｃ₁ ，Ｃ₂ ，…，Ｃ_m-1 ）としたときに、平文Ａの成
    分をｑ元体上の乱数Ｒ＝（Ｒ₀ ，Ｒ₁ ，…，Ｒ_m-1 ）に
    より、平文Ａ（Ｃ）＝（ａ₀ ，ａ₁ ，…，ａ_{m- 1} ）に変
    換し、 共通の辞書行列となる縮退したワードの集合（以下、縮
    退したワードの集合を縮退辞書と呼ぶ）Ｇ_D （ｍ，ｔ）
    に前記乱数変換された平文Ａ（Ｃ）の成分ａ₀，ａ₁ ，
    …，ａ_m-1 の実現値を代入した状態で、暗号文Ｃを、固
    有の公開鍵行列となる行列Ｋ_G と前記縮退辞書Ｇ
    _D （ｍ，ｔ）とを基に Ｃ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって生成し、 前記乱数変換された平文Ａ（Ｃ）を、暗号文Ｃと秘密鍵
    である３つのパラメータとしての補正数Γ（ｒ），乱数
    ｒおよび整数ｄとを基に Ａ（Ｃ）＝｛［Ｃ＋Γ（ｒ）］^T ｝^d ＋ｒ の演算によって復号し、前記乱数変換された平文Ａ
    （Ｃ）を逆変換の乱数Ｒ（Ｔ）＝（Ｒ₀ ^-1，Ｒ₁ ^-1，
    …，Ｒ_m-1 ^-1）により逆変換し、もとの平文Ａ＝
    （Ａ₀，Ａ₁ ，…，Ａ_m-1 ）を復号することを特徴とす
    る公開鍵暗号方式。ただし、ａ_I ＝Ｒ_I Ａ_I であり、か
    つＲ_I ≠０であり、またＡ_I ＝Ｒ_I ^-1ａ_Iである。ま
    た、平文Ａの実現値は、例えばＡ_I ＝０のときに、０が
    Ａ_I の実現値であると定義される。また、前記行列Ｋ_G
    と前記補正数Γ（ｒ）と前記縮退辞書Ｇ_D （ｍ，ｔ）と
    前記整数ｄとは以下のようにして求める。ｍ次多項式Ｇ
    （Ｘ）の周期をｅとし、周期ｅとは互いに素の条件で整
    数ｈを選び、周期ｅを法としてｈ×ｄ＝１を満たす前記
    整数ｄを選び、 前記乱数変換された平文Ａ（Ｃ）と前記乱数ｒの和のｈ
    乗（Ａ（Ｃ）＋ｒ）^hをｑ元体上のベクトル（ｂ₀ ，ｂ
    ₁ ，…，ｂ_m-1 ）とし、 前記乱数変換された平文Ａ（Ｃ）と前記乱数ｒの和のｈ
    乗（Ａ（Ｃ）＋ｒ）^hの第（Ｊ＋１）番目の成分ｂ
    _J を、前記乱数変換された平文Ａ（Ｃ）および前記乱数
    ｒの成分｛ａ_I ，ｒ_I ｝（０≦Ｉ≦ｍ−１）のｔ次関数
    Ｆ_J ^t （ａ₀ ，ａ₁，…，ａ_m-1 ，ｒ₀ ，ｒ₁ ，…，ｒ
    _m-1 ）（ｔは２以上の整数）で与え（以下、前記ｔ次関
    数をＦ_J ^t と略記する）、前記ｔ次関数Ｆ_J ^t を前記乱
    数ｒの成分｛ｒ_I ｝のみが含まれる項Ｈ_J ^t とそれ以外
    の項Ｇ_J ^t とに分割して Ｆ_J ^t ＝Ｇ_J ^t ＋Ｈ_J ^t とし、前記ｔ次関数Ｆ_J ^t において前記乱数変換された
    平文Ａ（Ｃ）および前記乱数ｒの成分｛ａ_I ，ｒ_I ｝に
    よって構成されるｔ次項のそれぞれをワードとし、辞書
    順に並べられたワードの集合よりなる辞書をＷ（ｍ，
    ｔ）とし、この辞書Ｗ（ｍ，ｔ）を乱数ｒの成分
    ｛ｒ_I ｝のみが含まれるワードの集合よりなる辞書Ｈ
    （ｍ，ｔ）とそれ以外のワードの集合よりなる辞書Ｇ
    （ｍ，ｔ）とに分け、連接によって Ｗ（ｍ，ｔ）＝Ｇ（ｍ，ｔ）＊Ｈ（ｍ，ｔ） とし、前記辞書Ｇ（ｍ，ｔ）とＨ（ｍ，ｔ）とから前記
    縮退辞書Ｇ_D （ｍ，ｔ）と前記縮退辞書Ｈ_D （ｍ，ｔ）
    とをそれぞれ求め、前記縮退辞書Ｇ_D （ｍ，ｔ）と前記
    縮退辞書Ｈ_D （ｍ，ｔ）と行列Ｋとを用いて、前記乱数
    変換された平文Ａ（Ｃ）と前記乱数ｒの和のｈ乗（Ａ
    （Ｃ）＋ｒ）^h の転置ベクトル［（Ａ（Ｃ）＋ｒ）^h ］
    ^T を展開して Ｋ・［Ｇ_D （ｍ，ｔ）＊Ｈ_D （ｍ，ｔ）］^T で表したときに、前記行列Ｋを縮退辞書Ｇ_D （ｍ，ｔ）
    に作用する前記行列Ｋ_Gと前記縮退辞書Ｈ_D （ｍ，ｔ）
    に作用する行列Ｋ_H とに分けて、 Ｋ＝［Ｋ_G Ｋ_H ］ とすることにより、前記行列Ｋ_G と前記行列Ｋ_H とを求
    め、 前記縮退辞書Ｈ_D （ｍ，ｔ）に前記乱数ｒの成分ｒ₀ ，
    ｒ₁ ，…，ｒ_m-1 の実現値を代入した状態で、前記補正
    数Γ（ｒ）を、 Γ（ｒ）^T ＝Ｋ_H ・Ｈ_D （ｍ，ｔ）^T の演算によって求める。
17. 【請求項１７】 請求項１または請求項１６記載の公開
    鍵暗号方式を用いてディジタル署名を行うディジタル署
    名方法であって、 署名文送信者が秘密の乱数ｘを生成し、自己の秘密鍵で
    ある整数ｄ、乱数ｒおよび補正数Γ（ｒ）を用いて、平
    文Ａに対し、 ｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝ を署名文として生成し、 署名文受信者が前記署名文を受け取り、（Ａ＋ｘ）^d −
    ｒの各成分の実現値を平文Ａの成分ａ₀ ，ａ₁ ，…，ａ
    _m-1 の実現値と見なして縮退辞書Ｇ_D （ｍ，ｔ）に代入
    した状態で、前記署名文送信者の公開鍵行列Ｋ_G と前記
    縮退辞書Ｇ_D （ｍ，ｔ）とを基に Ｄ^T ＝Ｋ_G ・Ｇ_D （ｍ，ｔ）^T の演算によって、擬似暗号文Ｄを生成し、 前記平文Ａを、擬似暗号文Ｄとｘ−Γ（ｒ）とを基に Ａ＝Ｄ−｛ｘ−Γ（ｒ）｝ の演算によって復号することを特徴とするディジタル署
    名方法。
18. 【請求項１８】 署名文送信者が縮退辞書Ｇ_D （ｍ，
    ｔ）に署名文｛（Ａ＋ｘ）^d −ｒ，ｘ−Γ（ｒ）｝の実
    現値を代入した状態で、署名文受信者の公開鍵行列であ
    る行列Ｋ_G を基に暗号化署名文を生成し、署名文受信者
    が自己の秘密鍵である３つのパラメータとしての補正数
    Γ（ｒ），乱数ｒおよび整数ｄとを基に前記暗号化署名
    文から前記署名文を復号することを特徴とする請求項１
    ７記載のディジタル署名方法。