WO2013129119A1

WO2013129119A1 - 情報処理装置、情報処理方法、及びプログラム

Info

Publication number: WO2013129119A1
Application number: PCT/JP2013/053491
Authority: WO
Inventors: 紘一作本; 白井　太三; 一也神尾
Original assignee: ソニー株式会社
Priority date: 2012-03-02
Filing date: 2013-02-14
Publication date: 2013-09-06
Also published as: US20140380062A1; EP2822218A1

Abstract

【課題】多次多変数多項式をより効率的に計算できるようにすること。【解決手段】多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得部と、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得部が取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算部と、を備え、前記多項式計算部は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、情報処理装置が提供される。

Description

情報処理装置、情報処理方法、及びプログラム

　本技術は、情報処理装置、情報処理方法、及びプログラムに関する。

　情報処理技術や通信技術の急速な発展に伴い、公文書、私文書を問わず、文書の電子化が急速に進んでいる。これに伴い、多くの個人や企業は、電子文書の安全管理に大きな関心を寄せている。こうした関心の高まりを受け、各方面で電子文書の盗聴や偽造等のタンパリング行為に対する対抗策が盛んに研究されるようになってきた。電子文書の盗聴に対しては、例えば、電子文書を暗号化することにより安全性が確保される。また、電子文書の偽造に対しては、例えば、電子署名を利用することにより安全性が確保される。但し、利用する暗号や電子署名が高いタンパリング耐性を有していなければ、十分な安全性が保証されない。

　電子署名は、電子文書の作成者を特定するために利用される。そのため、電子署名は、電子文書の作成者しか生成できないようにすべきである。仮に、悪意ある第三者が同じ電子署名を生成できてしまうと、その第三者が電子文書の作成者に成りすますことができてしまう。つまり、悪意ある第三者により電子文書が偽造されてしまう。こうした偽造を防止するため、電子署名の安全性については様々な議論が交わされてきた。現在広く利用されている電子署名方式としては、例えば、ＲＳＡ署名方式やＤＳＡ署名方式などが知られている。

　ＲＳＡ署名方式は、「大きな合成数に対する素因数分解の困難性（以下、素因数分解問題）」を安全性の根拠とする。また、ＤＳＡ署名方式は、「離散対数問題に対する解の導出の困難性」を安全性の根拠とする。これらの根拠は、古典的なコンピュータを利用して素因数分解問題や離散対数問題を効率的に解くアルゴリズムが存在しないことに起因する。つまり、上記の困難性は、古典的なコンピュータにおける計算量的な困難性を意味する。しかしながら、量子コンピュータを用いると、素因数分解問題や離散対数問題に対する解答が効率的に算出されてしまうと言われている。

　現在利用されている電子署名方式や公開鍵認証方式の多くは、ＲＳＡ署名方式やＤＳＡ署名方式と同様、素因数分解問題や離散対数問題の困難性に安全性の根拠をおいている。そのため、こうした電子署名方式や公開鍵認証方式は、量子コンピュータが実用化された場合に、その安全性が確保されないことになる。そこで、素因数分解問題や離散対数問題など、量子コンピュータにより容易に解かれてしまう問題とは異なる問題に安全性の根拠をおく新たな電子署名方式及び公開鍵認証方式の実現が求められている。量子コンピュータにより容易に解くことが難しい問題としては、例えば、多変数多項式問題がある。

　多変数多項式問題に安全性の根拠をおく電子署名方式としては、例えば、ＭＩ（Ｍａｔｓｕｍｏｔｏ－Ｉｍａｉ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＨＦＥ（Ｈｉｄｄｅｎ　Ｆｉｅｌｄ　Ｅｑｕａｔｉｏｎ　ｃｒｙｐｔｏｇｒａｐｈｙ）、ＯＶ（Ｏｉｌ－Ｖｉｎｅｇａｒ　ｓｉｇｎａｔｕｒｅ　ｓｃｈｅｍｅ）、ＴＴＭ（Ｔａｍｅｄ　Ｔｒａｎｓｆｏｒｍａｔｉｏｎ　Ｍｅｔｈｏｄ　ｃｒｙｐｔｏｇｒａｐｈｙ）に基づく方式が知られている。例えば、下記の非特許文献１、２には、ＨＦＥに基づく電子署名方式が開示されている。

Ｊａｃｑｕｅｓ　Ｐａｔａｒｉｎ　Ａｓｙｍｍｅｔｒｉｃ　Ｃｒｙｐｔｏｇｒａｐｈｙ　ｗｉｔｈ　ａ　Ｈｉｄｄｅｎ　Ｍｏｎｏｍｉａｌ．　ＣＲＹＰＴＯ　１９９６，　ｐｐ．４５－６０．Ｐａｔａｒｉｎ，　Ｊ．，　Ｃｏｕｒｔｏｉｓ，　Ｎ．，　ａｎｄ　Ｇｏｕｂｉｎ，　Ｌ．　ＱＵＡＲＴＺ，　１２８－Ｂｉｔ　Ｌｏｎｇ　Ｄｉｇｉｔａｌ　Ｓｉｇｎａｔｕｒｅｓ．　Ｉｎ　Ｎａｃｃａｃｈｅ，Ｄ．，　Ｅｄ．　Ｔｏｐｉｃｓ　ｉｎ　Ｃｒｙｐｔｏｌｏｇｙ　－　ＣＴ－ＲＳＡ　２００１　（Ｓａｎ　Ｆｒａｎｃｉｓｃｏ，　ＣＡ，　ＵＳＡ，　Ａｐｒｉｌ　２００１），　ｖｏｌ．　２０２０　ｏｆ　Ｌｅｃｔｕｒｅ　Ｎｏｔｅｓ　ｉｎ　Ｃｏｍｐｕｔｅｒ　Ｓｃｉｅｎｃｅ，　Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ．，　ｐｐ．２８２－２９７．

　上記の通り、多変数多項式問題は、量子コンピュータを用いても解くことが困難なＮＰ困難問題と呼ばれる問題の一例である。通常、ＨＦＥなどに代表される多変数多項式問題を利用した公開鍵認証方式は、特殊なトラップドアが仕込まれた多次多変数連立方程式を利用している。例えば、ｘ_１，…，ｘ_ｎに関する多次多変数連立方程式Ｆ（ｘ_１，…，ｘ_ｎ）＝ｙと線形変換Ａ及びＢが用意され、線形変換Ａ及びＢが秘密に管理される。この場合、多次多変数連立方程式Ｆ、線形変換Ａ及びＢがトラップドアとなる。

　トラップドアＦ，Ａ，Ｂを知っているエンティティは、ｘ_１，…，ｘ_ｎに関する方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙ’を解くことができる。一方、トラップドアＦ，Ａ，Ｂを知らないエンティティは、ｘ_１，…，ｘ_ｎに関する方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙ’を解くことができない。この仕組みを利用することにより、多次多変数連立方程式の解答困難性を安全性の根拠とする公開鍵認証方式や電子署名方式が実現される。

　上記の通り、こうした公開鍵認証方式や電子署名方式を実現するには、Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙを満たすような特殊な多次多変数連立方程式を用意する必要がある。また、署名生成時に多次多変数連立方程式Ｆを解く必要がある。そのため、利用可能な多次多変数連立方程式Ｆは、比較的容易に解けるものに限られていた。すなわち、これまでの方式においては、比較的容易に解ける３つの関数（トラップドア）Ｂ、Ｆ、Ａを合成した形の多次多変数連立方程式Ｂ（Ｆ（Ａ（ｘ_１，…，ｘ_ｎ）））＝ｙしか用いることができず、十分な安全性を確保することが難しかった。

　そこで、本件発明者は、上記の事情に鑑みて、効率的に解く手段（トラップドア）が知られていない多次多変数連立方程式を用いて高い安全性を有する効率的な公開鍵認証方式及び電子署名方式を考案した（Ｋｏｉｃｈｉ　Ｓａｋｕｍｏｔｏ，Ｔａｉｚｏ　Ｓｈｉｒａｉ　ａｎｄ　Ｈａｒｕｎａｇａ　Ｈｉｗａｔａｒｉ，‘Ｐｕｂｌｉｃ－Ｋｅｙ　Ｉｄｅｎｔｉｆｉｃａｔｉｏｎ　Ｓｃｈｅｍｅｓ　Ｂａｓｅｄ　ｏｎ　Ｍｕｌｔｉｖａｒｉａｔｅ　Ｑｕａｄｒａｔｉｃ　Ｐｏｌｙｎｏｍｉａｌｓ’，ＣＲＹＰＴＯ　２０１１，ＬＮＣＳ　６８４１，ｐｐ．７０６－７２３，２０１１．）。

　しかし、この公開鍵認証方式及び電子署名方式で利用する多変数多項式は係数の数が多く、公開鍵として利用するには、証明者と検証者との間で効率的に係数を割り当てる方法を決めておく必要があった。本技術は、より効率的に多変数多項式を計算することが可能な、新規かつ改良された情報処理装置、情報処理方法、及びプログラムの提供を意図して考案されたものである。

　本技術のある観点によれば、多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得部と、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得部が取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算部と、を備え、前記多項式計算部は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、情報処理装置が提供される。

　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得することと、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算することと、を含み、前記計算することでは、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、情報処理方法が提供される。

　また、本技術の別の観点によれば、多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得機能と、前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得機能で取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算機能と、をコンピュータに実現させるためのプログラムであり、前記多項式計算機能は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、プログラムが提供される。

　また、本技術の別の観点によれば、上記のプログラムが記録された、コンピュータにより読み取り可能な記録媒体が提供される。

　以上説明したように本技術によれば、より効率的に多変数多項式を計算することが可能になる。

公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。電子署名方式に係るアルゴリズムの構成について説明するための説明図である。ｎパスの公開鍵認証方式に係るアルゴリズムの構成について説明するための説明図である。３パスの公開鍵認証方式に係る効率的なアルゴリズムについて説明するための説明図である。３パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。５パスの公開鍵認証方式に係る効率的なアルゴリズムの構成例について説明するための説明図である。５パスの公開鍵認証方式に係る効率的なアルゴリズムの並列化について説明するための説明図である。３パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明するための説明図である。多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。多変数多項式の係数を効率的に代入するためのデータ構造化手法（構造化手法＃１）について説明するための説明図である。本技術の各実施形態に係るアルゴリズムを実行することが可能な情報処理装置のハードウェア構成例について説明するための説明図である。

　以下に添付図面を参照しながら、本技術の好適な実施の形態について詳細に説明する。なお、本明細書及び図面において、実質的に同一の機能構成を有する構成要素については、同一の符号を付することにより重複説明を省略する。

　［説明の流れについて］
　ここで、以下に記載する本技術の実施形態に関する説明の流れについて簡単に述べる。まず、図１を参照しながら、公開鍵認証方式のアルゴリズム構成について説明する。次いで、図２を参照しながら、電子署名方式のアルゴリズム構成について説明する。次いで、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。

　次いで、図４及び図５を参照しながら、３パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図６及び図７を参照しながら、５パスの公開鍵認証方式に係るアルゴリズムの構成例について説明する。次いで、図８及び図９を参照しながら、３パス及び５パスの公開鍵認証方式に係る効率的なアルゴリズムを電子署名方式のアルゴリズムに変形する方法について説明する。

　次いで、図１０及び図１１を参照しながら、多変数多項式の係数を効率的に代入する方法について説明する。次いで、図１２を参照しながら、本技術の実施形態に係る各アルゴリズムを実現することが可能な情報処理装置のハードウェア構成例について説明する。最後に、本実施形態の技術的思想について纏め、当該技術的思想から得られる作用効果について簡単に説明する。

　（説明項目）
　１：はじめに
　　　１－１：公開鍵認証方式のアルゴリズム
　　　１－２：電子署名方式のアルゴリズム
　　　１－３：ｎパスの公開鍵認証方式
　２：３パスの公開鍵認証方式に係るアルゴリズムの構成
　　　２－１：具体的なアルゴリズムの構成例
　　　２－２：並列化アルゴリズムの構成例
　３：５パスの公開鍵認証方式に係るアルゴリズムの構成
　　　３－１：具体的なアルゴリズムの構成例
　　　３－２：並列化アルゴリズムの構成例
　４：電子署名方式への変形
　　　４－１：３パスの公開鍵認証方式から電子署名方式への変形
　　　４－２：５パスの公開鍵認証方式から電子署名方式への変形
　５：多変数多項式の係数を効率的に代入する方法について
　　　５－１：基本的な取り決め
　　　５－２：データの構造化
　　　　　５－２－１：構造化手法＃１
　　　　　５－２－２：構造化手法＃２
　　　５－３：前処理による更なる効率化
　　　　　５－３－１：データ表現の変換
　　　　　５－３－２：インデックスの表現
　　　　　５－３－３：前処理の共通化
　６：ハードウェア構成例
　７：まとめ

　＜１：はじめに＞
　本実施形態は、多次多変数連立方程式に対する求解問題の困難性に安全性の根拠をおく公開鍵認証方式及び電子署名方式に関する。但し、本実施形態は、ＨＦＥ電子署名方式などの従来手法とは異なり、効率的に解く手段（トラップドア）を持たない多次多変数連立方程式を利用する公開鍵認証方式及び電子署名方式に関する。まず、公開鍵認証方式のアルゴリズム、電子署名方式のアルゴリズム、及びｎパスの公開鍵認証方式について、その概要を簡単に説明する。

　［１－１：公開鍵認証方式のアルゴリズム］
　まず、図１を参照しながら、公開鍵認証方式のアルゴリズムについて概要を説明する。図１は、公開鍵認証方式のアルゴリズムについて概要を説明するための説明図である。

　公開鍵認証は、ある人（証明者）が、公開鍵ｐｋ及び秘密鍵ｓｋを利用して、他の人（検証者）に本人であることを納得させるために利用される。例えば、証明者Ａの公開鍵ｐｋ_Ａは、検証者Ｂに公開される。一方、証明者Ａの秘密鍵ｓｋ_Ａは、証明者Ａにより秘密に管理される。公開鍵認証の仕組みにおいては、公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知る者が証明者Ａ本人であるとみなされる。

　公開鍵認証の仕組みを利用して証明者Ａが証明者Ａ本人であることを検証者Ｂに証明するには、対話プロトコルを介して、証明者Ａが公開鍵ｐｋ_Ａに対応する秘密鍵ｓｋ_Ａを知っているという証拠を検証者Ｂに提示すればよい。そして、証明者Ａが秘密鍵ｓｋ_Ａを知っているという証拠が検証者Ｂに提示され、その証拠を検証者Ｂが確認し終えた場合、証明者Ａの正当性（本人であること）が証明されたことになる。

　但し、公開鍵認証の仕組みには、安全性を担保するために以下の条件が求められる。

　１つ目の条件は、「対話プロトコルを実行した際に秘密鍵ｓｋを持たない偽証者により偽証が成立してしまう確率を限りなく小さくする」ことである。この１つ目の条件が成り立つことを「健全性」と呼ぶ。つまり、健全性とは、「秘密鍵ｓｋを持たない偽証者により、対話プロトコルの実行中に無視できない確率で偽証が成立することはないこと」と言い換えられる。２つ目の条件は、「対話プロトコルを実行したとしても、証明者Ａが有する秘密鍵ｓｋ_Ａの情報が検証者Ｂに一切漏れることがない」ことである。この２つ目の条件が成り立つことを「零知識性」と呼ぶ。

　安全に公開鍵認証を行うには、健全性及び零知識性を有する対話プロトコルを利用する必要がある。仮に、健全性及び零知識性を有しない対話プロトコルを用いて認証処理を行った場合には、偽証された可能性及び秘密鍵の情報が漏れてしまった可能性が否定できないため、処理自体が成功裡に完了しても証明者の正当性を証明したことにはならない。従って、対話プロトコルの健全性及び零知識性を如何に保証するかが重要になる。

　（モデル）
　公開鍵認証方式のモデルには、図１に示すように、証明者と検証者という２つのエンティティが存在する。証明者は、鍵生成アルゴリズムＧｅｎを用いて、証明者固有の秘密鍵ｓｋと公開鍵ｐｋの組を生成する。次いで、証明者は、鍵生成アルゴリズムＧｅｎを用いて生成した秘密鍵ｓｋと公開鍵ｐｋの組を利用して検証者と対話プロトコルを実行する。このとき、証明者は、証明者アルゴリズムＰを利用して対話プロトコルを実行する。上記の通り、証明者は、証明者アルゴリズムＰを利用し、対話プロトコルの中で秘密鍵ｓｋを保有している証拠を検証者に提示する。

　一方、検証者は、検証者アルゴリズムＶを利用して対話プロトコルを実行し、証明者が公開している公開鍵に対応する秘密鍵を、その証明者が保有しているか否かを検証する。つまり、検証者は、証明者が公開鍵に対応する秘密鍵を保有しているか否かを検証するエンティティである。このように、公開鍵認証方式のモデルは、証明者と検証者という２つのエンティティ、及び、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶという３つのアルゴリズムにより構成される。

　なお、以下の説明において、「証明者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰを実行する主体は、「証明者」のエンティティに対応する情報処理装置である。同様に、検証者アルゴリズムＶを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１２に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。

　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、証明者により利用される。鍵生成アルゴリズムＧｅｎは、証明者に固有の秘密鍵ｓｋと公開鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された公開鍵ｐｋは公開される。そして、公開された公開鍵ｐｋは、検証者により利用される。一方、鍵生成アルゴリズムＧｅｎにより生成された秘密鍵ｓｋは、証明者が秘密に管理する。そして、証明者により秘密に管理される秘密鍵ｓｋは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するために利用される。形式的に、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１^λ（λは０以上の整数）を入力とし、秘密鍵ｓｋと公開鍵ｐｋを出力するアルゴリズムとして、下記の式（１）のように表現される。

　（証明者アルゴリズムＰ）
　証明者アルゴリズムＰは、証明者により利用される。証明者アルゴリズムＰは、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有していることを検証者に対して証明するためのアルゴリズムである。つまり、証明者アルゴリズムＰは、秘密鍵ｓｋと公開鍵ｐｋとを入力とし、対話プロトコルを実行するアルゴリズムである。

　（検証者アルゴリズムＶ）
　検証者アルゴリズムＶは、検証者により利用される。検証者アルゴリズムＶは、対話プロトコルの中で、公開鍵ｐｋに対応する秘密鍵ｓｋを証明者が保有しているか否かを検証するアルゴリズムである。検証者アルゴリズムＶは、公開鍵ｐｋを入力とし、対話プロトコルの実行結果に応じて０又は１（１ｂｉｔ）を出力するアルゴリズムである。なお、検証者は、検証者アルゴリズムＶが０を出力した場合には証明者が不正なものであると判断し、１を出力した場合には証明者が正当なものであると判断する。形式的に、検証者アルゴリズムＶは、下記の式（２）のように表現される。

　上記の通り、意味のある公開鍵認証を実現するには、対話プロトコルが健全性及び零知識性という２つの条件を満たしている必要がある。しかし、証明者が秘密鍵ｓｋを保有していることを証明するためには、証明者が秘密鍵ｓｋに依存した手続きを実行し、その結果を検証者に通知した上で、その通知内容に基づく検証を検証者に実行させる必要がある。秘密鍵ｓｋに依存した手続きを実行するのは、健全性を担保するために必要である。一方で、秘密鍵ｓｋの情報が一切検証者に漏れないようにする必要がある。そのため、これらの要件を満たすように、上記の鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶを巧妙に設計する必要がある。

　以上、公開鍵認証方式のアルゴリズムについて、その概要を説明した。

　［１－２：電子署名方式のアルゴリズム］
　次に、図２を参照しながら、電子署名方式のアルゴリズムについて概要を説明する。図２は、電子署名方式のアルゴリズムについて概要を説明するための説明図である。

　紙文書とは異なり、ある電子化されたデータに対して押印したり署名を記載したりすることはできない。そのため、電子化されたデータの作成者を証明するためには、紙文書に押印したり署名を記載したりするのと同等の効果が得られる電子的な仕組みを必要とする。この仕組みが電子署名である。電子署名とは、データの作成者しか知らない署名データをデータに関連付けて受領者に提供し、その署名データを受領者側で検証する仕組みのことを言う。

　（モデル）
　電子署名方式のモデルには、図２に示すように、署名者及び検証者という２つのエンティティが存在する。そして、電子署名方式のモデルは、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒという３つのアルゴリズムにより構成される。

　署名者は、鍵生成アルゴリズムＧｅｎを利用して署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成する。また、署名者は、署名生成アルゴリズムＳｉｇを利用して文書Ｍに付与する電子署名σを生成する。つまり、署名者は、文書Ｍに電子署名を付与するエンティティである。一方、検証者は、署名検証アルゴリズムＶｅｒを利用して文書Ｍに付与された電子署名σを検証する。つまり、検証者は、文書Ｍの作成者が署名者であるか否かを確認するために、電子署名σを検証するエンティティである。

　なお、以下の説明において、「署名者」「検証者」という表現を用いるが、これらの表現はあくまでもエンティティを意味するものである。従って、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇを実行する主体は、「署名者」のエンティティに対応する情報処理装置である。同様に、署名検証アルゴリズムＶｅｒを実行する主体は、情報処理装置である。これら情報処理装置のハードウェア構成は、例えば、図１２に示した通りである。つまり、鍵生成アルゴリズムＧｅｎ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、リムーバブル記録媒体９２８などに記録されたプログラムに基づいてＣＰＵ９０２などにより実行される。

　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、署名者により利用される。鍵生成アルゴリズムＧｅｎは、署名者固有の署名鍵ｓｋと検証鍵ｐｋとの組を生成するアルゴリズムである。鍵生成アルゴリズムＧｅｎにより生成された検証鍵ｐｋは公開される。一方、鍵生成アルゴリズムＧｅｎにより生成された署名鍵ｓｋは、署名者により秘密に管理される。そして、署名鍵ｓｋは、文書Ｍに付与される電子署名σの生成に利用される。例えば、鍵生成アルゴリズムＧｅｎは、セキュリティパラメータ１^λ（λは０以上の整数）を入力とし、署名鍵ｓｋ及び公開鍵ｐｋを出力する。この場合、鍵生成アルゴリズムＧｅｎは、形式的に、下記の式（３）のように表現することができる。

　（署名生成アルゴリズムＳｉｇ）
　署名生成アルゴリズムＳｉｇは、署名者により利用される。署名生成アルゴリズムＳｉｇは、文書Ｍに付与される電子署名σを生成するアルゴリズムである。署名生成アルゴリズムＳｉｇは、署名鍵ｓｋと文書Ｍとを入力とし、電子署名σを出力するアルゴリズムである。この署名生成アルゴリズムＳｉｇは、形式的に、下記の式（４）のように表現することができる。

　（署名検証アルゴリズムＶｅｒ）
　署名検証アルゴリズムＶｅｒは、検証者により利用される。署名検証アルゴリズムＶｅｒは、電子署名σが文書Ｍに対する正当な電子署名であるか否かを検証するアルゴリズムである。署名検証アルゴリズムＶｅｒは、署名者の検証鍵ｐｋ、文書Ｍ、電子署名σを入力とし、０又は１（１ｂｉｔ）を出力するアルゴリズムである。この署名検証アルゴリズムＶｅｒは、形式的に、下記の式（５）のように表現することができる。なお、検証者は、署名検証アルゴリズムＶｅｒが０を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを拒否する場合）に電子署名σが不当であると判断し、１を出力した場合（公開鍵ｐｋが文書Ｍと電子署名σを受理する場合）に電子署名σが正当であると判断する。

　以上、電子署名方式のアルゴリズムについて、その概要を説明した。

　［１－３：ｎパスの公開鍵認証方式］
　次に、図３を参照しながら、ｎパスの公開鍵認証方式について説明する。図３は、ｎパスの公開鍵認証方式について説明するための説明図である。

　上記の通り、公開鍵認証方式は、対話プロトコルの中で、証明者が公開鍵ｐｋに対応する秘密鍵ｓｋを保有していることを検証者に証明する認証方式である。また、対話プロトコルは、健全性及び零知識性という２つの条件を満たす必要がある。そのため、対話プロトコルの中では、図３に示すように、証明者及び検証者の双方がそれぞれ処理を実行しながらｎ回の情報交換を行う。

　ｎパスの公開鍵認証方式の場合、証明者アルゴリズムＰを用いて証明者により処理（工程＃１）が実行され、情報Ｔ_１が検証者に送信される。次いで、検証者アルゴリズムＶを用いて検証者により処理（工程＃２）が実行され、情報Ｔ_２が証明者に送信される。さらに、ｋ＝３～ｎについて処理の実行及び情報Ｔ_ｋの送信が順次行われ、最後に処理（工程＃ｎ＋１）が実行される。このように、情報がｎ回送受信される方式のことを「ｎパス」の公開鍵認証方式と呼ぶ。

　以上、ｎパスの公開鍵認証方式について説明した。

　＜２：３パスの公開鍵認証方式に係るアルゴリズムの構成＞
　以下、３パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、３パスの公開鍵認証方式のことを「３パス方式」と呼ぶ場合がある。

　［２－１：具体的なアルゴリズムの構成例（図４）］
　まず、図４を参照しながら、３パス方式に係る具体的なアルゴリズムの構成例について紹介する。図４は、３パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆ_ｉ（ｘ）は、下記の式（６）のように表現されるものとする。また、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。

　また、２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））は、下記の式（７）のように表現することができる。また、Ａ_１，…，Ａ_ｍは、ｎ×ｎ行列である。さらに、ｂ_１，…，ｂ_ｍはそれぞれｎ×１ベクトルである。

　この表現を用いると、多変数多項式Ｆは、下記の式（８）及び式（９）のように表現することができる。この表現が成り立つことは、下記の式（１０）から容易に確認することができる。

　このようにＦ（ｘ＋ｙ）をｘに依存する第１の部分と、ｙに依存する第２の部分と、ｘ及びｙの両方に依存する第３の部分とに分けたとき、第３の部分に対応する項Ｇ（ｘ，ｙ）は、ｘ及びｙについて双線形になる。以下、項Ｇ（ｘ，ｙ）を双線形項と呼ぶ場合がある。この性質を利用すると、効率的なアルゴリズムを構築することが可能になる。

　例えば、ベクトルｔ_０∈Ｋ^ｎ、ｅ_０∈Ｋ^ｍを用いて、多変数多項式Ｆ（ｘ＋ｒ）のマスクに利用する多変数多項式Ｆ_１（ｘ）をＦ_１（ｘ）＝Ｇ（ｘ，ｔ_０）＋ｅ_０と表現する。この場合、多変数多項式Ｆ（ｘ＋ｒ_０）とＧ（ｘ）との和は、下記の式（１１）のように表現される。ここで、ｔ_１＝ｒ_０＋ｔ_０、ｅ_１＝Ｆ（ｒ_０）＋ｅ_０とおけば、多変数多項式Ｆ_２（ｘ）＝Ｆ（ｘ＋ｒ_０）＋Ｆ_１（ｘ）は、ベクトルｔ_１∈Ｋ^ｎ、ｅ_１∈Ｋ^ｍにより表現することができる。そのため、Ｆ_１（ｘ）＝Ｇ（ｘ，ｔ_０）＋ｅ_０に設定すれば、Ｋ^ｎ上のベクトル及びＫ^ｍ上のベクトルを用いてＦ_１及びＦ_２を表現できるようになり、通信に必要なデータサイズの少ない効率的なアルゴリズムを実現することが可能になる。

　なお、Ｆ_２（或いはＦ_１）からｒ_０に関する情報が一切漏れることはない。例えば、ｅ_１及びｔ_１（或いはｅ_０及びｔ_０）を与えられても、ｅ_０及びｔ_０（或いはｅ_１及びｔ_１）を知らない限り、ｒ_０の情報を一切知ることはできない。従って、零知識性が担保される。以下、上記の論理に基づいて構築された３パス方式のアルゴリズムについて説明する。ここで説明する３パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。

　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義されるｍ本の多変数多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ），ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。

　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図４を参照しながら、対話プロトコルの中で証明者アルゴリズムＰが実行する処理及び検証者アルゴリズムＶが実行する処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図４に示したフローチャートに沿って説明を進める。

　工程＃１：
　図４に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ_０，ｔ_０∈Ｋ^ｎ及びｅ_０∈Ｋ^ｍを生成する。次いで、証明者アルゴリズムＰは、ｒ_１←ｓ－ｒ_０を計算する。この計算は、秘密鍵ｓをベクトルｒ_０によりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ_１←ｒ_０－ｔ_０を計算する。次いで、証明者アルゴリズムＰは、ｅ_１←Ｆ（ｒ_０）－ｅ_０を計算する。

　工程＃１（続き）：
　次いで、証明者アルゴリズムＰは、ｃ_０←Ｈ（ｒ_１，Ｇ（ｔ_０，ｒ_１）＋ｅ_０）を計算する。次いで、証明者アルゴリズムＰは、ｃ_１←Ｈ（ｔ_０，ｅ_０）を計算する。次いで、証明者アルゴリズムＰは、ｃ_２←Ｈ（ｔ_１，ｅ_１）を計算する。工程＃１で生成されたメッセージ（ｃ_０，ｃ_１，ｃ_２）は、検証者アルゴリズムＶに送られる。

　工程＃２：
　メッセージ（ｃ_０，ｃ_１，ｃ_２）を受け取った検証者アルゴリズムＶは、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈに設定する。この要求Ｃｈは証明者アルゴリズムＰに送られる。

　工程＃３：
　要求Ｃｈを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈに応じて検証者アルゴリズムＶに送る返答Ｒｓｐを生成する。Ｃｈ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ_０，ｔ_１，ｅ_１）を生成する。Ｃｈ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ_１，ｔ_０，ｅ_０）を生成する。Ｃｈ＝２の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝（ｒ_１，ｔ_１，ｅ_１）を生成する。工程＃３で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。

　工程＃４：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。

　Ｃｈ＝０の場合、検証者アルゴリズムＶは、ｃ_１＝Ｈ（ｒ_０－ｔ_１，Ｆ（ｒ_０）－ｅ_１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_２＝Ｈ（ｔ_１，ｅ_１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　Ｃｈ＝１の場合、検証者アルゴリズムＶは、ｃ_０＝Ｈ（ｒ_１，Ｇ（ｔ_０，ｒ_１）＋ｅ_０）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_１＝Ｈ（ｔ_０，ｅ_０）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　Ｃｈ＝２の場合、検証者アルゴリズムＶは、ｃ_０＝Ｈ（ｒ_１，ｙ－Ｆ（ｒ_１）－Ｇ（ｔ_１，ｒ_１）－ｅ_１）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｃ_２＝Ｈ（ｔ_１，ｅ_１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　以上、３パス方式に係る効率的なアルゴリズムの構成例について説明した。

　［２－２：並列化アルゴリズムの構成例（図５）］
　次に、図５を参照しながら、図４に示した３パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。

　さて、上記の対話プロトコルを適用すれば、偽証が成功する確率を２／３以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（２／３）^２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（２／３）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝１４０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。

　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、図５を参照しながら、３パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。

　工程＃１：
　図５に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて以下の処理（１）～処理（６）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ_０ｉ，ｔ_０ｉ∈Ｋ^ｎ及びｅ_０ｉ∈Ｋ^ｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ_１ｉ←ｓ－ｒ_０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_０ｉによりマスクする操作に相当する。さらに、証明者アルゴリズムＰは、ｔ_１ｉ←ｒ_０ｉ＋ｔ_０ｉを計算する。
　処理（３）：証明者アルゴリズムＰは、ｅ_１ｉ←Ｆ（ｒ_０ｉ）－ｅ_０ｉを計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ_０ｉ←Ｈ（ｒ_１ｉ，Ｇ（ｒ_１ｉ，ｔ_０ｉ）＋ｅ_０ｉ）を計算する。
　処理（５）：証明者アルゴリズムＰは、ｃ_１ｉ←Ｈ（ｔ_０ｉ，ｅ_０ｉ）を計算する。
　処理（６）：証明者アルゴリズムＰは、ｃ_２ｉ←Ｈ（ｔ_１ｉ，ｅ_１ｉ）を計算する。

　工程＃１（続き）
　ｉ＝１～Ｎについて上記の処理（１）～処理（６）を実行した後、証明者アルゴリズムＰは、Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）を計算する。工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。このように、メッセージ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）をハッシュ値に変換してから検証者アルゴリズムＶに送ることで、通信量を削減することが可能になる。

　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、３つの検証パターンのうち、どの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、検証パターンの種類を表す３つの数値｛０，１，２｝の中から１つの数値を選択し、選択した数値を要求Ｃｈ_ｉに設定する。要求Ｃｈ_１，…，Ｃｈ_Ｎは、証明者アルゴリズムＰに送られる。

　工程＃３：
　要求Ｃｈ_１，…，Ｃｈ_Ｎを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ_１，…，Ｃｈ_Ｎのそれぞれ応じて検証者アルゴリズムＶに送る返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを生成する。Ｃｈ_ｉ＝０の場合、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（ｒ_０ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ）を生成する。Ｃｈ_ｉ＝１の場合、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（ｒ_１ｉ，ｔ_０ｉ，ｅ_０ｉ，ｃ_２ｉ）を生成する。Ｃｈ_ｉ＝２の場合、証明者アルゴリズムＰは、Ｒｓｐ_ｉ＝（ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_１ｉ）を生成する。

　工程＃３で生成された返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎは、検証者アルゴリズムＶに送られる。

　工程＃４：
　返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ_１，…，Ｒｓｐ_Ｎを利用して以下の処理（１）～処理（３）をｉ＝１～Ｎについて実行する。但し、検証者アルゴリズムＶは、Ｃｈ_ｉ＝０の場合に処理（１）を実行し、Ｃｈ_ｉ＝１の場合に処理（２）を実行し、Ｃｈ_ｉ＝２の場合に処理（３）を実行する。

　処理（１）：Ｃｈ_ｉ＝０の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_０ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_１ｉ＝Ｈ（ｒ_０ｉ－ｔ_１ｉ，Ｆ（ｒ_０ｉ）－ｅ_１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_２ｉ＝Ｈ（ｔ_１ｉ，ｅ_１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_０ｉ，ｃ_１ｉ，ｃ_２ｉ）を保持する。

　処理（２）：Ｃｈ_ｉ＝１の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_１ｉ，ｔ_０ｉ，ｅ_０ｉ，ｃ_２ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_０ｉ＝Ｈ（ｒ_１ｉ，Ｇ（ｔ_０ｉ，ｒ_１ｉ）＋ｅ_０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_１ｉ＝Ｈ（ｔ_０ｉ，ｅ_０ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_０ｉ，ｃ_１ｉ，ｃ_２ｉ）を保持する。

　処理（３）：Ｃｈ_ｉ＝２の場合、検証者アルゴリズムＶは、Ｒｓｐ_ｉから（ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_１ｉ）を取り出す。次いで、検証者アルゴリズムＶは、ｃ_０ｉ＝Ｈ（ｒ_１ｉ，ｙ－Ｆ（ｒ_１ｉ）－Ｇ（ｔ_１ｉ，ｒ_１ｉ）－ｅ_１ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｃ_２ｉ＝Ｈ（ｔ_１ｉ，ｅ_１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_０ｉ，ｃ_１ｉ，ｃ_２ｉ）を保持する。

　処理（１）～処理（３）をｉ＝１～Ｎについて実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗した場合に認証失敗を示す値０を出力する。

　以上、３パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。

　＜３：５パスの公開鍵認証方式に係るアルゴリズムの構成＞
　次に、５パスの公開鍵認証方式に係るアルゴリズムについて説明する。なお、以下の説明において、５パスの公開鍵認証方式のことを「５パス方式」と呼ぶ場合がある。

　３パス方式の場合には対話プロトコル１回当たりの偽証確率が２／３であったが、５パス方式の場合には対話プロトコル１回当たりの偽証確率が１／２＋１／ｑとなる。但し、ｑは、利用する環の位数である。従って、環の位数が十分に大きい場合、５パス方式の方が１回当たりの偽証確率を低減することが可能になり、少ない対話プロトコルの実行回数で、偽証確率を十分に小さくすることができる。

　例えば、偽証確率を１／２^ｎ以下にしたい場合、３パス方式においては、ｎ／（ｌｏｇ３－１）＝１．７０１ｎ回以上、対話プロトコルを実行する必要がある。一方、偽証確率を１／２^ｎ以下にしたい場合、５パス方式においては、ｎ／（１－ｌｏｇ（１＋１／ｑ））回以上、対話プロトコルを実行する必要がある。従って、ｑ＝２４にすれば、同じセキュリティレベルを実現するのに必要な通信量は、３パス方式に比べ、５パス方式の方が少なくなるのである。

　［３－１：具体的なアルゴリズムの構成例（図６）］
　まず、図６を参照しながら、５パス方式に係る具体的なアルゴリズムの構成例について紹介する。図６は、５パス方式に係る具体的なアルゴリズムの構成について説明するための説明図である。ここでは、公開鍵ｐｋの一部として２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））を利用する場合について考える。但し、２次多項式ｆ_ｉ（ｘ）は、上記の式（６）のように表現されるものとする。また、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、２次多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））を多変数多項式Ｆ（ｘ）と表記することにする。

　３パス方式に係るアルゴリズムと同様、２つのベクトルｔ_０∈Ｋ^ｎ、ｅ_０∈Ｋ^ｍを用いて、多変数多項式Ｆ（ｘ＋ｒ_０）をマスクするために用いた多変数多項式Ｆ_１（ｘ）をＦ_１（ｘ）＝Ｇ（ｘ、ｔ_０）＋ｅ_０のように表現する。この表現を用いると、多変数多項式Ｆ（ｘ＋ｒ_０）について、下記の式（１２）で表現される関係が得られる。

　そのため、ｔ_１＝Ｃｈ_Ａ・ｒ_０＋ｔ_０、ｅ_１＝Ｃｈ_Ａ・Ｆ（ｒ_０）＋ｅ_０とすれば、マスク後の多変数多項式Ｆ_２（ｘ）＝Ｃｈ_Ａ・Ｆ（ｘ＋ｒ_０）＋Ｆ_１（ｘ）も、２つのベクトルｔ_１∈Ｋ^ｎ、ｅ_１∈Ｋ^ｍにより表現することができる。これらの理由から、Ｆ_１（ｘ）＝Ｇ（ｘ，ｔ_０）＋ｅ_０と設定すれば、Ｋ^ｎ上のベクトル及びＫ^ｍ上のベクトルを用いてＦ_１及びＦ_２を表現できるようになり、通信に必要なデータサイズが少ない効率的なアルゴリズムを実現することが可能になる。

　なお、Ｆ_２（或いはＦ_１）からｒ_０に関する情報が一切漏れることはない。例えば、ｅ_１及びｔ_１（或いはｅ_０及びｔ_０）を与えられても、ｅ_０及びｔ_０（或いはｅ_１及びｔ_１）を知らない限り、ｒ_０の情報を一切知ることはできない。従って、零知識性は担保される。以下、上記の論理に基づいて構築された５パス方式のアルゴリズムについて説明する。ここで説明する５パス方式のアルゴリズムは、以下のような鍵生成アルゴリズムＧｅｎ、証明者アルゴリズムＰ、検証者アルゴリズムＶにより構成される。

　（鍵生成アルゴリズムＧｅｎ）
　鍵生成アルゴリズムＧｅｎは、環Ｋ上で定義される多変数多項式ｆ_１（ｘ_１，…，ｘ_ｎ），…，ｆ_ｍ（ｘ_１，…，ｘ_ｎ）、及びベクトルｓ＝（ｓ_１，…，ｓ_ｎ）∈Ｋ^ｎを生成する。次に、鍵生成アルゴリズムＧｅｎは、ｙ＝（ｙ_１，…，ｙ_ｍ）←（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を計算する。そして、鍵生成アルゴリズムＧｅｎは、（ｆ_１，…，ｆ_ｍ，ｙ）を公開鍵ｐｋに設定し、ｓを秘密鍵に設定する。なお、以下では、ベクトル（ｘ_１，…，ｘ_ｎ）をｘと表記し、多変数多項式の組（ｆ_１（ｘ），…，ｆ_ｍ（ｘ））をＦ（ｘ）と表記する。

　（証明者アルゴリズムＰ、検証者アルゴリズムＶ）
　以下、図６を参照しながら、対話プロトコルの中で証明者アルゴリズムＰ及び検証者アルゴリズムＶにより実行される処理について説明する。この対話プロトコルの中で、証明者は、秘密鍵ｓの情報を検証者に一切漏らさずに、「自身がｙ＝Ｆ（ｓ）を満たすｓを知っていること」を検証者に示す。一方、検証者は、証明者がｙ＝Ｆ（ｓ）を満たすｓを知っているか否かを検証する。なお、公開鍵ｐｋは、検証者に公開されているものとする。また、秘密鍵ｓは、証明者により秘密に管理されているものとする。以下、図６に示したフローチャートに沿って説明を進める。

　工程＃１：
　図６に示すように、まず、証明者アルゴリズムＰは、ランダムにベクトルｒ_０∈Ｋ^ｎ、ｔ_０∈Ｋ^ｎ、ｅ_０∈Ｋ^ｍを生成する。次いで、証明者アルゴリズムＰは、ｒ_１←ｓ－ｒ_０を計算する。この計算は、秘密鍵ｓをベクトルｒ_０によりマスクする操作に相当する。次いで、証明者アルゴリズムＰは、ベクトルｒ_０，ｔ_０，ｅ_０のハッシュ値ｃ_０を生成する。つまり、証明者アルゴリズムＰは、ｃ_０←Ｈ（ｒ_０，ｔ_０，ｅ_０）を計算する。次いで、証明者アルゴリズムＰは、Ｇ（ｔ_０，ｒ_１）＋ｅ_０及びｒ_１のハッシュ値ｃ_１を生成する。つまり、証明者アルゴリズムＰは、ｃ_０←Ｈ（ｒ_１，Ｇ（ｔ_０，ｒ_１）＋ｅ_０）を計算する。工程＃１で生成されたメッセージ（ｃ_０，ｃ_１）は、検証者アルゴリズムＶに送られる。

　工程＃２：
　メッセージ（ｃ_０，ｃ_１）を受け取った検証者アルゴリズムＶは、ｑ通り存在する環Ｋの元からランダムに１つの数Ｃｈ_Ａを選択し、選択した数Ｃｈ_Ａを証明者アルゴリズムＰに送る。

　工程＃３：
　数Ｃｈ_Ａを受け取った証明者アルゴリズムＰは、ｔ_１←Ｃｈ_Ａ・ｒ_０－ｔ_０を計算する。さらに、証明者アルゴリズムＰは、ｅ_１←Ｃｈ_Ａ・Ｆ（ｒ_０）－ｅ_０を計算する。そして、証明者アルゴリズムＰは、ｔ_１及びｅ_１を検証者アルゴリズムＶに送る。

　工程＃４：
　ｔ_１及びｅ_１を受け取った検証者アルゴリズムＶは、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求Ｃｈ_Ｂに設定する。この要求Ｃｈ_Ｂは証明者アルゴリズムＰに送られる。

　工程＃５：
　要求Ｃｈ_Ｂを受け取った証明者アルゴリズムＰは、受け取った要求Ｃｈ_Ｂに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐを生成する。Ｃｈ_Ｂ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ_０を生成する。Ｃｈ_Ｂ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ＝ｒ_１を生成する。工程＃５で生成された返答Ｒｓｐは、検証者アルゴリズムＶに送られる。

　工程＃６：
　返答Ｒｓｐを受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐを利用して以下の検証処理を実行する。

　Ｃｈ_Ｂ＝０の場合、検証者アルゴリズムＶは、ｒ_０←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ_０＝Ｈ（ｒ_０，Ｃｈ_Ａ・ｒ_０－ｔ_１，Ｃｈ_Ａ・Ｆ（ｒ_０）－ｅ_１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　Ｃｈ_Ｂ＝１の場合、検証者アルゴリズムＶは、ｒ_１←Ｒｓｐを実行する。そして、検証者アルゴリズムＶは、ｃ_１＝Ｈ_１（ｒ_１，Ｃｈ_Ａ・（ｙ－Ｆ（ｒ_１））－Ｇ（ｔ_１，ｒ_１）－ｅ_１）の等号が成り立つか否かを検証する。検証者アルゴリズムＶは、この検証が成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　以上、５パス方式に係る効率的なアルゴリズムの構成例について説明した。

　［３－２：並列化アルゴリズムの構成例（図７）］
　次に、図７を参照しながら、図６に示した５パス方式のアルゴリズムを並列化する方法について説明する。なお、鍵生成アルゴリズムＧｅｎの構成については説明を省略する。

　先に述べた通り、５パス方式に係る対話プロトコルを適用すれば、偽証が成功する確率を（１／２＋１／ｑ）以下に抑制することができる。従って、この対話プロトコルを２回実行すれば、偽証が成功する確率を（１／２＋１／ｑ）^２以下に抑制することができる。さらに、この対話プロトコルをＮ回実行すると、偽証が成功する確率は（１／２＋１／ｑ）^Ｎとなり、Ｎを十分に大きい数（例えば、Ｎ＝８０）にすれば、偽証が成功する確率は無視できる程度に小さくなる。

　対話プロトコルを複数回実行する方法としては、例えば、メッセージ、要求、返答のやり取りを逐次的に複数回繰り返す直列的な方法と、１回分のやり取りで複数回分のメッセージ、要求、返答のやり取りを行う並列的な方法とが考えられる。さらに、直列的な方法と並列的な方法とを組み合わせたハイブリッド型の方法も考えられる。ここでは、５パス方式に係る上記の対話プロトコルを並列的に実行するアルゴリズム（以下、並列化アルゴリズム）について説明する。

　工程＃１：
　図７に示すように、まず、証明者アルゴリズムＰは、ｉ＝１～Ｎについて処理（１）～処理（４）を実行する。
　処理（１）：証明者アルゴリズムＰは、ランダムにベクトルｒ_０ｉ，ｔ_０ｉ∈Ｋ^ｎ及びｅ_０ｉ∈Ｋ^ｍを生成する。
　処理（２）：証明者アルゴリズムＰは、ｒ_１ｉ←ｓ－ｒ_０ｉを計算する。この計算は、秘密鍵ｓをベクトルｒ_０ｉによりマスクする操作に相当する。
　処理（３）：証明者アルゴリズムＰは、ｃ_０ｉ←Ｈ（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ）を計算する。
　処理（４）：証明者アルゴリズムＰは、ｃ_１ｉ←Ｈ（ｒ_１ｉ，Ｇ（ｔ_０ｉ，ｒ_１ｉ）＋ｅ_０ｉ）を計算する。
　ｉ＝１～Ｎについて処理（１）～処理（４）を実行した後、証明者アルゴリズムＰは、ハッシュ値Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）を実行する。そして、工程＃１で生成されたハッシュ値Ｃｍｔは、検証者アルゴリズムＶに送られる。

　工程＃２：
　ハッシュ値Ｃｍｔを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、ｑ通り存在する環Ｋの元からランダムに１つの数Ｃｈ_Ａｉを選択し、選択した数Ｃｈ_Ａｉ（ｉ＝１～Ｎ）を証明者アルゴリズムＰに送る。

　工程＃３：
　数Ｃｈ_Ａｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｔ_１ｉ←Ｃｈ_Ａｉ・ｒ_０ｉ－ｔ_０ｉを計算する。さらに、証明者アルゴリズムＰは、ｉ＝１～Ｎのそれぞれについて、ｅ_１ｉ←Ｃｈ_Ａｉ・Ｆ（ｒ_０ｉ）－ｅ_０ｉを計算する。次いで、証明者アルゴリズムＰは、ハッシュ値ｄ←Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ）を計算する。そして、証明者アルゴリズムＰは、ハッシュ値ｄを検証者アルゴリズムＶに送る。

　工程＃４：
　ハッシュ値ｄを受け取った検証者アルゴリズムＶは、ｉ＝１～Ｎのそれぞれについて、２つの検証パターンのうち、どちらの検証パターンを利用するかを選択する。例えば、検証者アルゴリズムＶは、検証パターンの種類を表す２つの数値｛０，１｝の中から１つの数値を選択し、選択した数値を要求Ｃｈ_Ｂｉに設定する。要求Ｃｈ_Ｂｉ（ｉ＝１～Ｎ）は証明者アルゴリズムＰに送られる。

　工程＃５：
　要求Ｃｈ_Ｂｉ（ｉ＝１～Ｎ）を受け取った証明者アルゴリズムＰは、ｉ＝１～Ｎについて、受け取った要求Ｃｈ_Ｂｉに応じて検証者アルゴリズムＶに送り返す返答Ｒｓｐ_ｉを生成する。Ｃｈ_Ｂｉ＝０の場合、証明者アルゴリズムＰは、返答Ｒｓｐ_ｉ＝（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｃ_１ｉ）を生成する。Ｃｈ_Ｂｉ＝１の場合、証明者アルゴリズムＰは、返答Ｒｓｐ_ｉ＝（ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ）を生成する。工程＃５で生成された返答Ｒｓｐ_ｉ（ｉ＝１～Ｎ）は、検証者アルゴリズムＶに送られる。

　工程＃６：
　返答Ｒｓｐ_ｉ（ｉ＝１～Ｎ）を受け取った検証者アルゴリズムＶは、受け取った返答Ｒｓｐ_ｉ（ｉ＝１～Ｎ）を利用して以下の処理（１）及び処理（２）を実行する。

　処理（１）：Ｃｈ_Ｂｉ＝０の場合、検証者アルゴリズムＶは、（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｃ_１ｉ）←Ｒｓｐ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_０ｉ＝Ｈ（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ）を計算する。さらに、検証者アルゴリズムＶは、ｔ_１ｉ←Ｃｈ_Ａｉ・ｒ_０ｉ＋ｔ_０ｉ、及びｅ_１ｉ←Ｃｈ_Ａｉ・Ｆ（ｒ_０ｉ）－ｅ_０ｉを計算する。そして、検証者アルゴリズムＶは、（ｃ_０ｉ，ｃ_１ｉ，ｔ_１ｉ，ｅ_１ｉ）を保持する。

　処理（２）：Ｃｈ_Ｂｉ＝１の場合、検証者アルゴリズムＶは、（ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ）←Ｒｓｐ_ｉを実行する。そして、検証者アルゴリズムＶは、ｃ_１ｉ＝Ｈ（ｒ_１ｉ，Ｃｈ_Ａｉ・（ｙ－Ｆ（ｒ_１ｉ））－Ｇ（ｔ_１ｉ，ｒ_１ｉ）－ｅ_１ｉ）を計算する。そして、検証者アルゴリズムＶは、（ｃ_０ｉ，ｃ_１ｉ，ｔ_１ｉ，ｅ_１ｉ）を保持する。

　ｉ＝１～Ｎについて処理（１）及び処理（２）を実行した後、検証者アルゴリズムＶは、Ｃｍｔ＝Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）の等号が成り立つか否かを検証する。さらに、検証者アルゴリズムＶは、ｄ＝Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ）の等号が成り立つか否かを検証する。そして、検証者アルゴリズムＶは、これらの検証が全て成功した場合に認証成功を示す値１を出力し、検証に失敗があった場合に認証失敗を示す値０を出力する。

　以上、５パス方式に係る効率的な並列化アルゴリズムの構成例について説明した。

　＜４：電子署名方式への変形＞
　次に、上記の公開鍵認証方式を電子署名方式へと変形する方法を紹介する。

　公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させると、証明者のみが検証者を納得させられるという点において、電子署名方式のモデルと近似していることが容易に理解されよう。こうした考えに基づき、上述した公開鍵認証方式を電子署名方式へと変形する方法について説明する。

　［４－１：３パスの公開鍵認証方式から電子署名方式への変形（図８）］
　まず、３パスの公開鍵認証方式から電子署名方式への変形について説明する。

　図８に示すように、３パス方式に係る効率的なアルゴリズム（例えば、図５を参照）は、３回の対話及び４つの工程＃１～工程＃４で表現される。

　工程＃１は、ｉ＝１～Ｎについて、ａ_ｉ＝（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ，ｃ_１ｉ，ｃ_２ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。

　工程＃２は、Ｃｈ_１，…，Ｃｈ_Ｎを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ_１，…，Ｃｈ_Ｎは、証明者アルゴリズムＰへと送られる。

　工程＃３は、Ｃｈ_１，…，Ｃｈ_Ｎ及びａ_１，…，ａ_Ｎを用いてＲｓｐ_１，…，Ｒｓｐ_Ｎを生成する処理で構成される。この処理をＲｓｐ_ｉ←Ｓｅｌｅｃｔ（Ｃｈ_ｉ，ａ_ｉ）と表現する。工程＃３で証明者アルゴリズムＰにより生成されたＲｓｐ_１，…，Ｒｓｐ_Ｎは、検証者アルゴリズムＶへと送られる。

　工程＃４は、Ｃｈ_１，…，Ｃｈ_Ｎ及びＲｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎを再生する処理（１）と、再生したｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎを用いてＣｍｔ＝Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）を検証する処理（２）とで構成される。

　上記の工程＃１～工程＃４で表現される公開鍵認証方式のアルゴリズムは、図８に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。

　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（５）で構成される。

　処理（１）：署名生成アルゴリズムＳｉｇは、ａ_ｉ＝（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ，ｃ_１ｉ，ｃ_２ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ_１，…，Ｃｈ_Ｎ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、Ｒｓｐ_ｉ←Ｓｅｌｅｃｔ（Ｃｈ_ｉ，ａ_ｉ）を計算する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎ）を署名に設定する。

　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（３）で構成される。

　処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ_１，…，Ｃｈ_Ｎ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、Ｃｈ_１，…，Ｃｈ_Ｎ及びＲｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎを生成する。
　処理（３）：署名検証アルゴリズムＶｅｒは、再生したｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎを用いてＣｍｔ＝Ｈ（ｃ_０１，ｃ_１１，ｃ_２１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｃ_２Ｎ）を検証する。

　以上説明したように、公開鍵認証方式のモデルにおける証明者を電子署名方式における署名者に対応させることで、公開鍵認証方式のアルゴリズムを電子署名方式のアルゴリズムへと変形することが可能になる。

　［４－２：５パスの公開鍵認証方式から電子署名方式への変形（図９）］
　次に、５パスの公開鍵認証方式から電子署名方式への変形について説明する。

　図９に示すように、５パス方式に係る効率的なアルゴリズム（例えば、図７を参照）は、５回の対話及び６つの工程＃１～工程＃６で表現される。

　工程＃１は、ｉ＝１～Ｎについて、ａ_ｉ＝（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ，ｃ_１ｉ）を生成する処理（１）と、Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）を計算する処理（２）とで構成される。工程＃１で証明者アルゴリズムＰにより生成されたＣｍｔは、検証者アルゴリズムＶへと送られる。

　工程＃２は、Ｃｈ_Ａ１，…，Ｃｈ_ＡＮを選択する処理で構成される。工程＃２で検証者アルゴリズムＶにより選択されたＣｈ_Ａ１，…，Ｃｈ_ＡＮは、証明者アルゴリズムＰへと送られる。

　工程＃３は、ｉ＝１～Ｎについて、ｂ_ｉ＝（ｔ_１ｉ，ｅ_１ｉ）を生成する処理、及びｄ＝Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ）を生成する処理で構成される。工程＃３で証明者アルゴリズムＰにより生成されたｄは、検証者アルゴリズムＶへと送られる。

　工程＃４は、Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮを選択する処理で構成される。工程＃４で検証者アルゴリズムＶにより選択されたＣｈ_Ｂ１，…，Ｃｈ_ＢＮは、証明者アルゴリズムＰへと送られる。

　工程＃５は、Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ，ａ_１，…，ａ_Ｎ，ｂ_１，…，ｂ_Ｎを用いてＲｓｐ_１，…，Ｒｓｐ_Ｎを生成する処理で構成される。この処理をＲｓｐ_ｉ←Ｓｅｌｅｃｔ（Ｃｈ_Ｂｉ，ａ_ｉ，ｂ_ｉ）と表現する。工程＃５で証明者アルゴリズムＰにより生成されたＲｓｐ_１，…，Ｒｓｐ_Ｎは、検証者アルゴリズムＶへと送られる。

　工程＃６は、Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎを用いてｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ，ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎを再生する処理と、再生したｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎを用いてＣｍｔ＝Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）を検証する処理と、ｄ＝Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ）を検証する処理とで構成される。

　上記の工程＃１～工程＃６で表現される公開鍵認証方式のアルゴリズムは、図９に示すような署名生成アルゴリズムＳｉｇ及び署名検証アルゴリズムＶｅｒに変形される。

　（署名生成アルゴリズムＳｉｇ）
　まず、署名生成アルゴリズムＳｉｇの構成について述べる。署名生成アルゴリズムＳｉｇは、以下の処理（１）～処理（７）で構成される。

　処理（１）：署名生成アルゴリズムＳｉｇは、ａ_ｉ＝（ｒ_０ｉ，ｔ_０ｉ，ｅ_０ｉ，ｒ_１ｉ，ｔ_１ｉ，ｅ_１ｉ，ｃ_０ｉ，ｃ_１ｉ）を生成する。
　処理（２）：署名生成アルゴリズムＳｉｇは、Ｃｍｔ←Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）を計算する。
　処理（３）：署名生成アルゴリズムＳｉｇは、（Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。このＭは、署名を付与する文書である。
　処理（４）：署名生成アルゴリズムＳｉｇは、ｉ＝１～Ｎについて、ｂ_ｉ＝（ｔ_１ｉ，ｅ_１ｉ）を生成する。さらに、署名生成アルゴリズムＳｉｇは、ｄ＝Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ）を算出する。
　処理（５）：署名生成アルゴリズムＳｉｇは、（Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ）←Ｈ（Ｍ，Ｃｍｔ，Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，ｄ）を計算する。なお、（Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ）←Ｈ（Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，ｄ）と変形してもよい。
　処理（６）：署名生成アルゴリズムＳｉｇは、Ｒｓｐ_ｉ←Ｓｅｌｅｃｔ（Ｃｈ_Ｂｉ，ａ_ｉ，ｂ_ｉ）を計算する。
　処理（７）：署名生成アルゴリズムＳｉｇは、（Ｃｍｔ，ｄ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎ）を電子署名に設定する。

　（署名検証アルゴリズムＶｅｒ）
　次に、署名検証アルゴリズムＶｅｒの構成について述べる。署名検証アルゴリズムＶｅｒは、以下の処理（１）～処理（４）で構成される。

　処理（１）：署名検証アルゴリズムＶｅｒは、（Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ）←Ｈ（Ｍ，Ｃｍｔ）を計算する。
　処理（２）：署名検証アルゴリズムＶｅｒは、（Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ）←Ｈ（Ｍ，Ｃｍｔ，Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，ｄ）を計算する。なお、署名検証アルゴリズムＶｅｒが実行する処理（５）において、（Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ）←Ｈ（Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，ｄ）と変形した場合、署名検証アルゴリズムＶｅｒは、（Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ）←Ｈ（Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，ｄ）を計算する。
　処理（３）：署名検証アルゴリズムＶｅｒは、Ｃｈ_Ａ１，…，Ｃｈ_ＡＮ，Ｃｈ_Ｂ１，…，Ｃｈ_ＢＮ，Ｒｓｐ_１，…，Ｒｓｐ_Ｎを用いてｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ，ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎを生成する。
　処理（４）：署名検証アルゴリズムＶｅｒは、再生したｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎを用いてＣｍｔ＝Ｈ（ｃ_０１，ｃ_１１，…，ｃ_０Ｎ，ｃ_１Ｎ）及びｄ＝Ｈ（ｔ_１１，ｅ_１１，…，ｔ_１Ｎ，ｅ_１Ｎ，）を検証する。

　＜５：多変数多項式の係数を効率的に代入する方法について＞
　さて、これまでは多変数多項式を証明者（又は署名者）と検証者との間で共有する方法について具体的に明示してこなかった。多変数多項式を共有する方法としては、多変数多項式の係数（乱数）を生成する際に用いるシードを両者で共有する方法が考えられる。しかしながら、共有しているシードを利用して生成した乱数を係数に当てはめる順序を両者で共有しない限り、多変数多項式を共有したことにはならない。

　［５－１：基本的な取り決め］
　そこで、証明者（又は署名者）と検証者との間で、共有しているシードを用いて生成した乱数列を、どの順序で多変数多項式に当てはめるかについて基本的な取り決めを行う。そして、多変数多項式を利用する際に、この基本的な取り決めに従って乱数列を多変数多項式に当てはめる。このような方法を用いれば、証明者（又は署名者）と検証者との間で多変数多項式を共有したことになる。

　［５－２：データの構造化］
　但し、多変数多項式を構成する係数の数は膨大である。１つの係数が１ビット単位で表現されている場合、多変数多項式を表現するのに最低でも数万ビット以上のデータが必要になる。そのため、数を多変数多項式の係数に代入する処理の負荷は非常に高い。そこで、本件発明者は、多変数多項式の係数を所定の単位で構造化し、係数への代入処理を効率化する手法（構造化手法＃１）を考案した。さらに、本件発明者は、同じ多変数多項式の係数に対して複数回の代入処理を実行する場合に、その処理効率を向上させる手法（構造化手法＃２）を考案した。以下、これらの手法について詳細に説明する。

　（５－２－１：構造化手法＃１（図１０、図１１））
　まず、構造化手法＃１について説明する。構造化手法＃１は、図１０及び図１１に示すように、多変数多項式を構成する同じ種類の項の係数を１つのデータ構造として纏める手法である。図１０の例では、多変数多項式Ｆの係数ａ_１ＩＪ～ａ_ＭＩＪがデータ構造Ａとして纏められ、係数ｂ_１Ｉ～ｂ_ＭＩがデータ構造Ｂとして纏められている。また、図１１に示すように、多変数多項式Ｇについても同様の手法が適用可能である。この場合、係数（ａ_１ＩＪ＋ａ_１ＪＩ）～（ａ_ＭＩＪ＋ａ_ＭＪＩ）がデータ構造として纏められる。

　構造化手法＃１を適用しない場合、Ｍ本のＮ変数多項式で構成される多変数多項式Ｆの計算は、（例１）に示すようなアルゴリズムにより行われる。（例１）の場合、１ビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。さらに、１ビットのＸＯＲ演算（＾）を１×Ｎ×（Ｎ＋１）×Ｍ／２回実行する必要がある。なお、入力ｘはＮビットであるとする。

　（例１）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｌ＝１　ｔｏ　Ｍ
　　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　［ｙのＬビット目］＾＝［ａ_ＬＩＪ］＆［ｘのＩビット目］＆［ｘのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　一方、図１０に示すように係数を構造化し、生成した乱数を多変数多項式Ｆの係数として一部ずつ逐次適用していく場合、係数の代入アルゴリズムは（例２）のようになる。（例２）の場合、ＭビットのＡＮＤ演算（＆）を２×Ｎ×（Ｎ＋１）／２回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ＋１）／２回実行するだけで済む。なお、ａ_{（１～Ｍ）ＩＪ}は、それぞれループのタイミングで生成される。また、係数を使い回してもよい。例えば、Ｎ（Ｎ＋１）／２回のループを実行する際、［ａ_{（１～Ｍ）ＩＪ}］を毎回生成せず、Ｍ回に１回だけ生成するようにしてもよい。また、Ｍ回のループ中、［ａ_{（１～Ｍ）ＩＪ}］を１ビットずつローテーションしながら利用してもよい。

　（例２）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　［ｙの１～Ｍビット目］＾＝［ａ_{（１～Ｍ）ＩＪ}］＆［ｘのＩビット目］＆［ｘのＪビット目］；
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　また、図１０に示すように係数を構造化する場合、多変数多項式Ｆの係数を適用した中間の結果をテーブルに保持するようにしてもよい。この場合、上記のアルゴリズムは（例３）のようになる。なお、配列ａ_ＩＪ［０］［０］～ａ_ＩＪ［２^ｋ－１］［２^ｋ－１］には、それぞれ、ａ_ＩＪ［ｘ_１，…，ｘ_ｋ］［ｚ_１，…，ｚ_ｋ］＝（ａ_{（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋１）}＆ｘ_１＆ｚ_１）＾…＾（ａ_{（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋ｋ）}＆ｘ_１＆ｚ_ｋ）＾…＾（ａ_{（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋１）}＆ｘ_ｋ＆ｚ_１）＾…＾（ａ_{（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋ｋ）}＆ｘ_ｋ＆ｚ_ｋ）が格納されている。（例３）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）（Ｎ／ｋ＋１）／２回実行するだけで済む。但し、（例２）のアルゴリズムに比べると、必要なメモリ量は、２^２ｋ／ｋ^２倍となる。

　例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０＊１１９／２＝７１４０回、必要なメモリ量が（例２）の２^２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０＊５９／２＝１７７０回、必要なメモリ量が２^４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０＊２９／２＝４３５回、必要なメモリ量が２^８／４^２＝１６倍、ループ回数が１／１６．４となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０＊１９／２＝１９０回、必要なメモリ量が２^１２／６^２＝１１４倍、ループ回数が１／３７．６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５＊１４／２＝１３５回、必要なメモリが２^１６／８^２＝１０２４倍、ループ回数が１／５２．９となる。

　（例３）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ／ｋ
　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ／ｋ
　　　［ｙの１～Ｍビット目］＾＝ａ_{（１～Ｍ）ＩＪ}［ｘのｋ（Ｉ－１）＋１～ｋビット目］［ｘのｋ（Ｊ－１）＋１～ｋビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　なお、（例３）に示した手法は、ちょうど、下記の式（１３）で定義されるＦ_ＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。

　以上、構造化手法＃１を多変数多項式Ｆへ適用するケースを例に挙げて具体的なアルゴリズムについて説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。

　ここまで、図１０を参照しながら、構造化手法＃１を適用して多変数多項式Ｆを計算するアルゴリズムについて説明してきた。一方で、多変数多項式Ｇの各要素も二次形式で表現されることから、図１１に示すように、同様にして上記の構造化手法＃１を多変数多項式Ｇの計算にそのまま適用することも可能である。

　例えば、上記の構造化手法＃１を適用しない場合、多変数多項式Ｇを計算するアルゴリズムは、下記の（例１’）のように表現される。なお、入力ｘ及びｙはそれぞれＮビットであるとする。

　（例１’）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｌ＝１　ｔｏ　Ｍ
　　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｎ
　　　　［ｚのＬビット目］＾＝［ａ_ＬＩＪ＋ａ_ＬＪＩ］＆［ｘのＩビット目］＆［ｙのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　上記の（例１’）に対し、上述した構造化手法＃１を適用すると、多変数多項式Ｇを計算するアルゴリズムは、下記の（例２’）のように表現される。

　（例２’）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｎ
　　　［ｚの１～Ｍビット目］＾＝［ａ_{（１～Ｍ）ＩＪ}＋ａ_{（１～Ｍ）ＪＩ}］＆［ｘのＩビット目］＆［ｙのＪビット目］；
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　また、多変数多項式Ｇの係数を適用した中間の結果をテーブルに保持する手法の場合、多変数多項式Ｇを計算するアルゴリズムは、上記の（例３）に対応して下記の（例３’）のようになる。なお、配列ａ_ＩＪ［０］［０］～ａ_ＩＪ［２^ｋ－１］［２^ｋ－１］には、それぞれ、ａ_ＩＪ［ｘ_１，…，ｘ_ｋ］［ｙ_１，…，ｙ_ｋ］＝（ａ_{（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋１）}＆ｘ_１＆ｙ_１）＾…＾（ａ_{（ｋ（Ｉ－１）＋１）（ｋ（Ｊ－１）＋ｋ）}＆ｘ_１＆ｙ_ｋ）＾…＾（ａ_{（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋１）}＆ｘ_ｋ＆ｙ_１）＾…＾（ａ_{（ｋ（Ｉ－１）＋ｋ）（ｋ（Ｊ－１）＋ｋ）}＆ｘ_ｋ＆ｙ_ｋ）が格納されている。

　（例３’）の場合、ＭビットのＸＯＲ演算（＾）を（Ｎ／ｋ）^２回実行するだけで済む。但し、（例２’）のアルゴリズムに比べると、必要なメモリ量は、２^２ｋ／ｋ^２倍となる。

　例えば、ｋ＝１のとき、ＭビットＸＯＲ演算が１２０^２＝１４４００回、必要なメモリ量が（例２’）の２^２＝４倍、ループ回数は変化なしとなる。また、ｋ＝２のとき、ＭビットＸＯＲ演算が６０^２＝３６００回、必要なメモリ量が２^４／４＝４倍、ループ回数が１／４となる。ｋ＝４のとき、ＭビットＸＯＲ演算が３０^２＝９００回、必要なメモリ量が２^８／４^２＝１６倍、ループ回数が１／１６となる。ｋ＝６のとき、ＭビットＸＯＲ演算が２０^２＝４００回、必要なメモリ量が２^１２／６^２＝１１４倍、ループ回数が１／３６となる。ｋ＝８のとき、ＭビットＸＯＲ演算が１５^２＝２２５回、必要なメモリが２^１６／８^２＝１０２４倍、ループ回数が１／６４となる。

　（例３’）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ／ｋ
　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｎ／ｋ
　　　［ｚの１～Ｍビット目］＾＝ａ_{（１～Ｍ）ＩＪ}［ｘのｋ（Ｉ－１）＋１～ｋビット目］［ｙのｋ（Ｊ－１）＋１～ｋビット目］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　なお、（例３’）に示した手法は、ちょうど、下記の式（１４）で定義されるＧ_ＩＪ（…）の値を予め計算し、配列として保持しておく手法と言える。

　以上、多変数多項式Ｇを計算するケースを例に挙げ、構造化手法＃１に係る具体的なアルゴリズムの構成について説明した。かかる構成により、アルゴリズムを実行する際に処理の高速化が期待できる。

　（（例２）及び（例２’）に係る手法の更なる効率化について）
　ここで、上記（例２）のアルゴリズムを再び参照する。上記（例２）のアルゴリズムは、インデックスＩ及びＪについて二重のループ処理を含んでいる。そこで、このループ処理の部分で実行される処理ステップの内容に工夫を加え、同じ結果を得つつ、演算の回数を低減させる手法を提案する。また、同様の手法を（例２’）に適用する方法についても紹介する。

　（Ｆへの適用：第１の手法）
　第１の手法として、例えば、インデックスＪに依らない［ｘのＩビット目］の項を内側のループ（Ｊのループ）から取り出し、下記の（例２Ａ）のように変形する手法を提案する。なお、ｔｍｐは、一時的に値を格納するための変数である。このように変形すると、演算の内容は、ＭビットのＡＮＤ演算（＆）を１×Ｎ×（Ｎ＋１）／２回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ＋１）／２回実行するだけで済むものとなる。

　（例２Ａ）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}］＆［ｘのＪビット目］；
　　ｅｎｄ　ｆｏｒ
　　［ｙの１～Ｍビット目］＾＝ｔｍｐ＆［ｘのＩビット目］；
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　（Ｆへの適用：第２の手法）
　また、第２の手法として、［ｘのＩビット目］の項が０の場合に、出力に影響が及ばないことを考慮し、例えば、［ｘのＩビット目］＝１の場合にだけ内側のループ処理が実行されるように、条件分岐を用いて下記の（例２Ｂ）のように変形する手法を提案する。このように変形すると、演算の内容は、ＭビットのＡＮＤ演算（＆）を１×Ｎ×（Ｎ＋３）／２×ｐ回、ＭビットのＸＯＲ演算（＾）をＮ×（Ｎ＋１）／２×ｐ回実行するだけで済むものとなる。但し、ｐは、［ｘのＩビット目］＝０となる割合を表す。

　（例２Ｂ）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}］＆［ｘのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　　［ｙの１～Ｍビット目］＾＝ｔｍｐ；
　　ｅｎｄ　ｉｆ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　（Ｆへの適用：第３の手法）
　また、第３の手法として、［ｘのＪビット目］の項が０の場合に、出力に影響が及ばないことを考慮し、例えば、［ｘのＪビット目］＝１の場合にだけ内側のループ処理が実行されるように、条件分岐を用いて下記の（例２Ｃ）のように変形する手法を提案する。このように変形すると、演算の回数をさらに低減させることが可能になる。

　（例２Ｃ）
　ｉｎｐｕｔ　ｘ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　　　　ｉｆ　［ｘのＪビット目］＝１　ｔｈｅｎ
　　　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}］；
　　　　ｅｎｄ　ｉｆ
　　　ｅｎｄ　ｆｏｒ
　　　［ｙの１～Ｍビット目］＾＝ｔｍｐ；
　　ｅｎｄ　ｉｆ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　（Ｇへの適用：第１の手法）
　上記第１～第３の手法は、多変数多項式Ｇに関する上記（例２’）のアルゴリズムに対しても同様に適用可能である。例えば、上記（例２’）のアルゴリズムに上述した第１の手法を適用すると、下記（例２’Ａ）のようにアルゴリズムが変形される。

　（例２’Ａ）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｎ
　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}＋ａ_{（１～Ｍ）ＪＩ}］＆［ｙのＪビット目］；
　　ｅｎｄ　ｆｏｒ
　　［ｚの１～Ｍビット目］＾＝ｔｍｐ＆［ｘのＩビット目］；
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　（Ｇへの適用：第２の手法）
　また、上記（例２’）のアルゴリズムに上述した第２の手法を適用する。上記（例２’）のアルゴリズムも、［ｘのＩビット目］の項が０の場合に、出力に影響が及ばない。そこで、［ｘのＩビット目］＝１の場合にだけ内側のループ処理が実行されるように、条件分岐を用いて下記の（例２’Ｂ）のように変形すると、演算回数を低減することが可能になる。

　（例２’Ｂ）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｎ
　　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}＋ａ_{（１～Ｍ）ＪＩ}］＆［ｙのＪビット目］；
　　　ｅｎｄ　ｆｏｒ
　　　［ｚの１～Ｍビット目］＾＝ｔｍｐ；
　　ｅｎｄ　ｉｆ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　（Ｇへの適用：第３の手法）
　また、上記（例２’）のアルゴリズムに上述した第３の手法を適用する。上記（例２’）のアルゴリズムも、［ｙのＪビット目］の項が０の場合に、出力に影響が及ばない。そこで、［ｙのＪビット目］＝１の場合にだけ内側のループ処理が実行されるように、条件分岐を用いて下記の（例２’Ｃ）のように変形すると、演算回数を低減することが可能になる。

　（例２’Ｃ）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　　　ｆｏｒ　Ｊ＝Ｉ＋１　ｔｏ　Ｎ
　　　　ｉｆ　［ｙのＪビット目］＝１　ｔｈｅｎ
　　　　　ｔｍｐ＾＝ａ_{（１～Ｍ）ＩＪ}；
　　　　ｅｎｄ　ｉｆ
　　　ｅｎｄ　ｆｏｒ
　　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｉ－１
　　　　ｉｆ　［ｙのＪビット目］＝１　ｔｈｅｎ
　　　　　ｔｍｐ＾＝ａ_{（１～Ｍ）ＪＩ}；
　　　　ｅｎｄ　ｉｆ
　　　ｅｎｄ　ｆｏｒ
　　　［ｚの１～Ｍビット目］＾＝ｔｍｐ；
　　ｅｎｄ　ｉｆ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　以上説明したように、第１～第３の手法を適用することにより、多変数多項式Ｇについても、係数を代入するアルゴリズムにおける演算回数を低減させることが可能になる。

　（安全性への配慮）
　ところで、上記の第２の手法や第３の手法のように、処理をスキップさせるアルゴリズムに変形すると、入力ｘに０が多く含まれる場合と、入力ｘに含まれる０の数が少ない場合とで処理時間に差が生じてしまう。そのため、処理時間を計測することにより、入力ｘに関する情報が得られる。つまり、処理をスキップさせるアルゴリズムを適用すると、署名生成などに利用する乱数の情報が漏洩してしまう危険性が生じる。

　そこで、上記の危険性を回避するために、予め許容する「入力ｘにおける０の割合」の範囲（例えば、１０％以下、９０％以上など）を設定し、その範囲に入らない場合には乱数を取り直す手法を提案する。この手法を適用すると、設定した範囲よりも０が多い場合や少ない場合に、乱数を取り直す処理が実行される。その結果、多項式Ｆにｘを代入する処理時間を計測されても、その処理時間から入力ｘに関する情報が漏洩しにくくなる。

　また、上記手法の他にも、秘密鍵に「０と１のビットの個数がほぼ等しい（完全に等しくてもよい。）」という制約を与える手法が考えられる。この手法を適用すると、上述した処理をスキップさせるアルゴリズムを用いても、ある程度は処理時間を均一化することが可能になり、その処理時間から入力ｘに関する情報が漏洩しにくくなる。

　ここで、具体的にＦ（ｒ_０）及びＧ（ｒ_１，ｔ_０）の計算を実行する場合について考えてみよう。秘密鍵をｓ、ｒ_０及びｔ_０をランダムなベクトルとし、ｒ_１＝ｓ＋ｒ_０とする（「＋」はＸＯＲに対応）。この場合、秘密鍵ｓにおいて０と１のビットの個数を等しくしておくと、ｒ_０がどのような値を取る場合も、ｒ_１の半分のビットは、ｒ_０を反転したものとなる。そして、ｒ_０（Ｎビット）及びｒ_１（Ｎビット）で構成される２Ｎビットのうち、０となるビットの個数は０．５Ｎ～１．５Ｎの範囲内になる。つまり、ｒ_０とｒ_１とが共に、全て０又は全て１となることはない。

　上記の性質を利用すると、処理をスキップするアルゴリズムを適用した場合でも、Ｆ（ｒ_０）及びＧ（ｔ_０，ｒ_１）の総計算時間を均一化することが可能になる。一例として、上記（例２Ｃ）及び（例２’Ｃ）のアルゴリズムを適用する場合について考えてみたい。この場合、多変数多項式Ｆの計算は（例２Ｃ）のアルゴリズムにより実行され、多変数多項式Ｇの計算は（例２’Ｃ）のアルゴリズムにより実行される。両アルゴリズムを以下に再掲する。

　多変数多項式Ｆ（ｒ_０）を計算する場合、入力ｘ＝ｒ_０となる。また、多変数多項式Ｇ（ｒ_１，ｔ_０）を計算する場合、入力ｘ＝ｒ_１となる。上記の通り、ｒ_０とｒ_１の合計２Ｎビットのうち、０となるビットの個数は０．５Ｎ～１．５Ｎの範囲内となる。そのため、下記（例２Ｃ）のアルゴリズムの第３行目に記載された条件分岐と、下記（例２’Ｃ）のアルゴリズムの第３行目に記載された条件分岐とにおいて、処理がスキップされる回数も０．５Ｎ～１．５Ｎの範囲内になる。従って、多変数多項式Ｆ及びＧの合計処理時間から、入力に関する情報が漏洩しにくくなる。

　（例２Ｃ：再掲、行番号を付加）
　１：　ｉｎｐｕｔ　ｘ；
　２：　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　３：　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　４：　　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
　５：　　　　ｉｆ　［ｘのＪビット目］＝１　ｔｈｅｎ
　６：　　　　　ｔｍｐ＾＝［ａ_{（１～Ｍ）ＩＪ}］；
　７：　　　　ｅｎｄ　ｉｆ
　８：　　　ｅｎｄ　ｆｏｒ
　９：　　　［ｙの１～Ｍビット目］＾＝ｔｍｐ；
１０：　　ｅｎｄ　ｉｆ
１１：　ｅｎｄ　ｆｏｒ
１２：　ｏｕｔｐｕｔ　ｙ；

　（例２’Ｃ：再掲、行番号を付加）
　１：　ｉｎｐｕｔ　ｘ，ｙ；
　２：　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
　３：　　ｉｆ　［ｘのＩビット目］＝１　ｔｈｅｎ
　４：　　　ｆｏｒ　Ｊ＝Ｉ＋１　ｔｏ　Ｎ
　５：　　　　ｉｆ　［ｙのＪビット目］＝１　ｔｈｅｎ
　６：　　　　　ｔｍｐ＾＝ａ_{（１～Ｍ）ＩＪ}；
　７：　　　　ｅｎｄ　ｉｆ
　８：　　　ｅｎｄ　ｆｏｒ
　９：　　　ｆｏｒ　Ｊ＝１　ｔｏ　Ｉ－１
１０：　　　　ｉｆ　［ｙのＪビット目］＝１　ｔｈｅｎ
１１：　　　　　ｔｍｐ＾＝ａ_{（１～Ｍ）ＪＩ}；
１２：　　　　ｅｎｄ　ｉｆ
１３：　　　ｅｎｄ　ｆｏｒ
１４：　　　［ｚの１～Ｍビット目］＾＝ｔｍｐ；
１５：　　ｅｎｄ　ｉｆ
１６：　ｅｎｄ　ｆｏｒ
１７：　ｏｕｔｐｕｔ　ｚ；

　以上、構造化手法＃１について説明した。

　（５－２－２：構造化手法＃２）
　次に、構造化手法＃２について説明する。構造化手法＃２は、同じ多変数多項式にＮ回（Ｎ≧２）代入処理を行なう場合に、乱数から多項式をＮ回生成して代入処理を行うのではなく、「係数を一部生成し、その部分に関するＮ回分の処理を行なう」部分を単位とする逐次的な処理をＮ回分並列して行なうという手法である。この手法を適用すると、乱数生成のコストが無視できない場合にＮ回分の処理全体でのスループットが改善される。

　例えば、図５に示したアルゴリズムでは、工程＃１において引数を更新しながら多変数多項式Ｆ及びＧの計算をＮ回繰り返し実行している。そこで、このような計算部分について、同じ係数を利用して繰り返し演算を行うように構成する。上記（例２）などのアルゴリズムを用いて多変数多項式Ｆ（ｒ_０ｉ）（ｉ＝１～Ｎ）を計算する場合、一度生成した［ａ_ＩＪＬ］について、Ｎ個のｒ_０ｉを全て適用した後で、次の［ａ_ＩＪＬ］に関する処理を実行するように構成する。このように構成すると、同じ係数［ａ_ＩＪＬ］をＮ回生成せずに済むようになる。もちろん、多変数多項式Ｇを計算する場合についても同様に、構造化手法＃２を適用可能である。

　以上、構造化手法＃２に係る具体的な係数の代入アルゴリズムについて説明した。かかる構成により、Ｎ回分の処理におけるトータルでのスループットが改善される。

　［５－３：前処理による更なる効率化］
　ここで、多変数多項式Ｆ、Ｇの計算を更に効率化するために前処理を実施する手法について説明する。この手法は、例えば、構造化手法＃１を適用した上記（例２）などのアルゴリズムに適用可能である。以下では、前処理の例として、入力ｘのデータ表現に関する処理、配列のインデックスに関する処理、及び多変数多項式Ｆ、Ｇの計算を共通化する処理について述べる。

　（５－３－１：データ表現の変換）
　まず、多変数多項式Ｆ、Ｇの計算を実行する前に入力ｘのデータ表現を変換する前処理（以下、データ変換処理）について説明する。

　（Ｆへの適用）
　例えば、１２８ビットの入力ｘが、４つの３２ビット整数型データとして保持されている場合、（例２）のアルゴリズムの４行目において、４つの３２ビット整数から［ｘのＩビット目］をとってきてＭビットに拡張する処理が発生する。この処理をループ処理の中で毎回実行するとループ処理が低速になる。そこで、ループ処理を実行する前に、入力ｘの［ｘのＩビット目］をＭビットに拡張したデータを生成し、そのデータを要素とする配列Ｑ［Ｉ］を用意しておく手法を提案する。この手法を適用することで、ループ処理の中で毎回１ビットをＭビットに拡張する処理が必要なくなり、ループ処理が高速化される。

　（例２：再掲、行番号を付加）
１：　ｉｎｐｕｔ　ｘ；
２：　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ
３：　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ
４：　　　［ｙの１～Ｍビット目］＾＝［ａ_{（１～Ｍ）ＩＪ}］＆［ｘのＩビット目］＆［ｘのＪビット目］；
５：　　ｅｎｄ　ｆｏｒ
６：　ｅｎｄ　ｆｏｒ
７：　ｏｕｔｐｕｔ　ｙ；

　また、上記（例３）のアルゴリズムの場合、ループ処理の中で毎回［ｘのｋ（Ｉ－１）＋１～ｋビット目］をとってくる処理が発生する。そこで、ループ処理を実行する前に、入力ｘの［ｘのｋ（Ｉ－１）＋１～ｋビット目］をＭビットに拡張したデータを生成し、そのデータを要素とする配列Ｑ［Ｉ］を用意しておく手法を提案する。この手法を適用することで、ループ処理の中で毎回ｋビット目をとってくる処理が必要なくなり、ループ処理が高速化される。同様に、上述した構造化手法＃１に係るアルゴリズムに対してデータ変換処理を施すことにより、ループ処理が高速化される。

　また、上述した構造化手法＃１のうち、第２の手法や第３の手法のように処理をスキップさせるアルゴリズムの場合、［ｘのＩビット目］が１となる位置のリストを事前に用意しておき、このリストを利用して処理を効率化することができる。例えば、［ｘのＩビット目］が１となる位置を示す配列ｘ’［Ｉ］を用意すると、上述した（例２Ｃ）のアルゴリズムは、下記の（例２Ｃ改）のようになる。但し、ｗは、入力ｘの中で１となるビットの数を表す。かかる構成により、ループ中の条件分岐がなくなるため、ループ処理が高速化される。

　（例２Ｃ改）
　ｉｎｐｕｔ　ｘ；
　　ｆｏｒ　Ｉ＝１　ｔｏ　ｗ
　　　ｆｏｒ　（ｘ’［Ｊ］＞ｘ’［Ｉ］を満たすＪ）
　　　　［ｙの１～Ｍビット目］＾＝［ａ_{（１～Ｍ）ｘ’［Ｉ］ｘ’［Ｊ］}］；
　　　ｅｎｄ　ｆｏｒ
　　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｙ；

　（Ｇへの適用）
　データ変換処理によるアルゴリズムの効率化は、多変数多項式Ｇの計算アルゴリズムに対しても同様にして適用可能である。

　例えば、１２８ビットの入力ｘが、４つの３２ビット整数型データとして保持されている場合、（例２’）のアルゴリズムの４行目において、４つの３２ビット整数から［ｘのＩビット目］をとってきてＭビットに拡張する処理が発生する。この処理をループ処理の中で毎回実行するとループ処理が低速になる。そこで、ループ処理を実行する前に、入力ｘの［ｘのＩビット目］をＭビットに拡張したデータを生成し、そのデータを要素とする配列Ｑ［Ｉ］を用意しておく手法を提案する。この手法を適用することで、ループ処理の中で毎回１ビットをＭビットに拡張する処理が必要なくなり、ループ処理が高速化される。

　また、上記（例３’）のアルゴリズムの場合、ループ処理の中で毎回［ｘのｋ（Ｉ－１）＋１～ｋビット目］をとってくる処理が発生する。そこで、ループ処理を実行する前に、入力ｘの［ｘのｋ（Ｉ－１）＋１～ｋビット目］をＭビットに拡張したデータを生成し、そのデータを要素とする配列Ｑ［Ｉ］を用意しておく手法を提案する。この手法を適用することで、ループ処理の中で毎回ｋビット目をとってくる処理が必要なくなり、ループ処理が高速化される。同様に、上述した構造化手法＃１に係るアルゴリズムに対してデータ変換処理を施すことにより、ループ処理が高速化される。

　また、上述した構造化手法＃１のうち、第２の手法や第３の手法のように処理をスキップさせるアルゴリズムの場合、［ｘのＩビット目］が１となる位置及び［ｙのＪビット目］が１となる位置のリストを事前に用意しておき、このリストを利用して処理を効率化することができる。例えば、［ｘのＩビット目］が１となる位置を示す配列ｘ’［Ｉ］及び［ｙのＪビット目］が１となる位置を示す配列ｙ’［Ｊ］を用意すると、上述した（例２’Ｃ）のアルゴリズムは、下記の（例２’Ｃ改）のようになる。但し、ｗ_ｘは、入力ｘの中で１となるビットの数を表す。また、ｗ_ｙは、入力ｙの中で１となるビットの数を表す。かかる構成により、ループ中の条件分岐がなくなるため、ループ処理が高速化される。

　（例２’Ｃ改）
　ｉｎｐｕｔ　ｘ，ｙ；
　ｆｏｒ　Ｉ＝１　ｔｏ　ｗ_ｘ
　　ｆｏｒ　（ｘ’［Ｉ］＜ｙ’［Ｊ］を満たすＪ）
　　　［ｚの１～Ｍビット目］＾＝ａ_{（１～Ｍ）ｘ’［Ｉ］ｙ’［Ｊ］}；
　　ｅｎｄ　ｆｏｒ
　　ｆｏｒ　（ｙ’［Ｉ］＜ｘ’［Ｊ］を満たすＪ）
　　　［ｚの１～Ｍビット目］＾＝ａ_{（１～Ｍ）ｙ’［Ｉ］ｘ’［Ｊ］}；
　　ｅｎｄ　ｆｏｒ
　ｅｎｄ　ｆｏｒ
　ｏｕｔｐｕｔ　ｚ；

　以上、データ変換処理について説明した。

　（５－３－２：インデックスの表現）
　次に、多変数多項式Ｆ、Ｇの係数を適用した中間の結果をテーブルに保持する手法に適用可能な前処理について説明する。例えば、上述した（例３）のアルゴリズムの場合、中間の結果を４次元配列で保持することが必要になる。また、４次元配列へのアクセスには、多くのインデックスの計算が必要になる。

　例えば、４次元配列Ａ［ａ_１］［ａ_２］［ａ_３］［ａ_４］（ａ_１＝１～ａ、ａ_２＝１～ｂ、ａ_３＝１～ｃ、ａ_４＝１～ｄ）の場合、Ａ［Ｉ］［Ｊ］［Ｋ］［Ｌ］にアクセスするためには、ｂ×ｃ×ｄ×Ｉ＋ｃ×ｄ×Ｊ＋ｄ×Ｋ＋Ｌというインデックスの計算が必要になる。そこで、このインデックス計算を効率化する手法について提案する。

　例えば、上述した（例３）のアルゴリズムは、中間の結果が保持された４次元配列Ａ［・］［・］［・］［・］を用いて次のように表現することができる。

　（例３：４次元配列Ａを用いた表現）
１：　ｉｎｐｕｔ　ｘ；
２：　ｆｏｒ　Ｉ＝１　ｔｏ　Ｎ／ｋ
３：　　ｆｏｒ　Ｊ＝Ｉ　ｔｏ　Ｎ／ｋ
４：　　　［ｙの１～Ｍビット目］＾＝Ａ_{（１～Ｍ）}［Ｉ］［Ｊ］［ｘ_{ｋ（Ｉ－１）＋１}…ｘ_{ｋ（Ｉ－１）＋ｋ}］［ｘ_{ｋ（Ｊ－１）＋１}…ｘ_{ｋ（Ｊ－１）＋ｋ}］；
５：　　　ｅｎｄ　ｆｏｒ
６：　　ｅｎｄ　ｆｏｒ
７：　ｏｕｔｐｕｔ　ｙ；

　ここで、上記（例３）の４行目に記載の４次元配列Ａのインデックスの位置に注目する。上記（例３）のアルゴリズムにおいて、インデックスの位置を次のように入れ替えた配列にデータを保持しても、当該アルゴリズムの計算に支障は生じない。

　（入れ替え後）
　Ａ_{（１～Ｍ）}［Ｉ］［ｘ_{ｋ（Ｉ－１）＋１}…ｘ_{ｋ（Ｉ－１）＋ｋ}］［Ｊ］［ｘ_{ｋ（Ｊ－１）＋１}…ｘ_{ｋ（Ｊ－１）＋ｋ}］；

　さらに、４次元配列Ａを次のようにして２次元配列で表現しても、上記アルゴリズムによる計算結果は同じである。そこで、Ｉ＝１，…，Ｎ／ｋについて、２^ｋ×Ｉ＋ｘ_{ｋ（Ｉ－１）＋１}…ｘ_{ｋ（Ｉ－１）＋ｋ}の値を予め計算しておき、ループ処理の際に利用すれば、ループ処理の中でインデックスを逐次計算する必要がなくなり、計算が効率化される。

　（２次元配列への変更後）
　Ａ_{（１～Ｍ）}［２^ｋ×Ｉ＋ｘ_{ｋ（Ｉ－１）＋１}…ｘ_{ｋ（Ｉ－１）＋ｋ}］［２^ｋ×Ｊ＋ｘ_{ｋ（Ｊ－１）＋１}…ｘ_{ｋ（Ｊ－１）＋ｋ}］；

　以上、インデックスの表現を工夫する前処理について説明した。上記のように、インデックスを途中まで計算しておくことや、インデックスの計算を一部共通化することなどで、演算量を削減することが可能になる。なお、ここでは多変数多項式Ｆの計算についてインデックスの表現を工夫した前処理を説明したが、多変数多項式Ｇの計算についても同様に適用することが可能である。

　（５－３－３：前処理の共通化）
　ところで、先に説明した署名検証アルゴリズムなどにおいては、共通する入力ｘに対して多変数多項式Ｆ（ｘ）及びＧ（ｘ，ｙ）を共に計算することがある。この場合、多変数多項式Ｆ（ｘ）及びＧ（ｘ，ｙ）の計算に関する上記の前処理を共通化することができる。例えば、上述したデータ変換処理の場合、［ｘのＩビット目］をＭビットに拡張したデータを要素とする配列Ｑ［Ｉ］を用意しておけば、多変数多項式Ｆ（ｘ）及びＧ（ｘ，ｙ）のいずれの計算にも利用することができる。かかる構成により、前処理の効果がより向上する。

　同様に、［ｘのｋ（Ｉ－１）＋１～ｋビット目］をＭビットに拡張したデータを生成し、そのデータを要素とする配列Ｑ［Ｉ］を用意しておけば、多変数多項式Ｆ（ｘ）及びＧ（ｘ，ｙ）のいずれの計算にも利用することができる。かかる構成により、前処理の効果がより向上する。さらに、［ｘのＩビット目］が１となる位置を示す配列ｘ’［Ｉ］を用意しておけば、多変数多項式Ｆ（ｘ）及びＧ（ｘ，ｙ）のいずれの計算にも利用することができる。かかる構成により、前処理の効果がより向上する。

　以上、前処理による更なる効率化ついて説明した。

　＜８：ハードウェア構成例（図１２）＞
　上記の各アルゴリズムは、例えば、図１２に示す情報処理装置のハードウェア構成を用いて実行することが可能である。つまり、当該各アルゴリズムの処理は、コンピュータプログラムを用いて図１２に示すハードウェアを制御することにより実現される。なお、このハードウェアの形態は任意であり、例えば、パーソナルコンピュータ、携帯電話、ＰＨＳ、ＰＤＡ等の携帯情報端末、ゲーム機、接触式又は非接触式のＩＣチップ、接触式又は非接触式のＩＣカード、又は種々の情報家電がこれに含まれる。但し、上記のＰＨＳは、Ｐｅｒｓｏｎａｌ　Ｈａｎｄｙ－ｐｈｏｎｅ　Ｓｙｓｔｅｍの略である。また、上記のＰＤＡは、Ｐｅｒｓｏｎａｌ　Ｄｉｇｉｔａｌ　Ａｓｓｉｓｔａｎｔの略である。

　図１２に示すように、このハードウェアは、主に、ＣＰＵ９０２と、ＲＯＭ９０４と、ＲＡＭ９０６と、ホストバス９０８と、ブリッジ９１０と、を有する。さらに、このハードウェアは、外部バス９１２と、インターフェース９１４と、入力部９１６と、出力部９１８と、記憶部９２０と、ドライブ９２２と、接続ポート９２４と、通信部９２６と、を有する。但し、上記のＣＰＵは、Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔの略である。また、上記のＲＯＭは、Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙの略である。そして、上記のＲＡＭは、Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙの略である。

　ＣＰＵ９０２は、例えば、演算処理装置又は制御装置として機能し、ＲＯＭ９０４、ＲＡＭ９０６、記憶部９２０、又はリムーバブル記録媒体９２８に記録された各種プログラムに基づいて各構成要素の動作全般又はその一部を制御する。ＲＯＭ９０４は、ＣＰＵ９０２に読み込まれるプログラムや演算に用いるデータ等を格納する手段である。ＲＡＭ９０６には、例えば、ＣＰＵ９０２に読み込まれるプログラムや、そのプログラムを実行する際に適宜変化する各種パラメータ等が一時的又は永続的に格納される。

　これらの構成要素は、例えば、高速なデータ伝送が可能なホストバス９０８を介して相互に接続される。一方、ホストバス９０８は、例えば、ブリッジ９１０を介して比較的データ伝送速度が低速な外部バス９１２に接続される。また、入力部９１６としては、例えば、マウス、キーボード、タッチパネル、ボタン、スイッチ、及びレバー等が用いられる。さらに、入力部９１６としては、赤外線やその他の電波を利用して制御信号を送信することが可能なリモートコントローラ（以下、リモコン）が用いられることもある。

　出力部９１８としては、例えば、ＣＲＴ、ＬＣＤ、ＰＤＰ、又はＥＬＤ等のディスプレイ装置、スピーカ、ヘッドホン等のオーディオ出力装置、プリンタ、携帯電話、又はファクシミリ等、取得した情報を利用者に対して視覚的又は聴覚的に通知することが可能な装置である。但し、上記のＣＲＴは、Ｃａｔｈｏｄｅ　Ｒａｙ　Ｔｕｂｅの略である。また、上記のＬＣＤは、Ｌｉｑｕｉｄ　Ｃｒｙｓｔａｌ　Ｄｉｓｐｌａｙの略である。そして、上記のＰＤＰは、Ｐｌａｓｍａ　ＤｉｓｐｌａｙＰａｎｅｌの略である。さらに、上記のＥＬＤは、Ｅｌｅｃｔｒｏ－Ｌｕｍｉｎｅｓｃｅｎｃｅ　Ｄｉｓｐｌａｙの略である。

　記憶部９２０は、各種のデータを格納するための装置である。記憶部９２０としては、例えば、ハードディスクドライブ（ＨＤＤ）等の磁気記憶デバイス、半導体記憶デバイス、光記憶デバイス、又は光磁気記憶デバイス等が用いられる。但し、上記のＨＤＤは、Ｈａｒｄ　Ｄｉｓｋ　Ｄｒｉｖｅの略である。

　ドライブ９２２は、例えば、磁気ディスク、光ディスク、光磁気ディスク、又は半導体メモリ等のリムーバブル記録媒体９２８に記録された情報を読み出し、又はリムーバブル記録媒体９２８に情報を書き込む装置である。リムーバブル記録媒体９２８は、例えば、ＤＶＤメディア、Ｂｌｕ－ｒａｙメディア、ＨＤ　ＤＶＤメディア、各種の半導体記憶メディア等である。もちろん、リムーバブル記録媒体９２８は、例えば、非接触型ＩＣチップを搭載したＩＣカード、又は電子機器等であってもよい。但し、上記のＩＣは、Ｉｎｔｅｇｒａｔｅｄ　Ｃｉｒｃｕｉｔの略である。

　接続ポート９２４は、例えば、ＵＳＢポート、ＩＥＥＥ１３９４ポート、ＳＣＳＩ、ＲＳ－２３２Ｃポート、又は光オーディオ端子等のような外部接続機器９３０を接続するためのポートである。外部接続機器９３０は、例えば、プリンタ、携帯音楽プレーヤ、デジタルカメラ、デジタルビデオカメラ、又はＩＣレコーダ等である。但し、上記のＵＳＢは、Ｕｎｉｖｅｒｓａｌ　Ｓｅｒｉａｌ　Ｂｕｓの略である。また、上記のＳＣＳＩは、Ｓｍａｌｌ　Ｃｏｍｐｕｔｅｒ　Ｓｙｓｔｅｍ　Ｉｎｔｅｒｆａｃｅの略である。

　通信部９２６は、ネットワーク９３２に接続するための通信デバイスであり、例えば、有線又は無線ＬＡＮ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、又はＷＵＳＢ用の通信カード、光通信用のルータ、ＡＤＳＬ用のルータ、又は接触又は非接触通信用のデバイス等である。また、通信部９２６に接続されるネットワーク９３２は、有線又は無線により接続されたネットワークにより構成され、例えば、インターネット、家庭内ＬＡＮ、赤外線通信、可視光通信、放送、又は衛星通信等である。但し、上記のＬＡＮは、Ｌｏｃａｌ　Ａｒｅａ　Ｎｅｔｗｏｒｋの略である。また、上記のＷＵＳＢは、Ｗｉｒｅｌｅｓｓ　ＵＳＢの略である。そして、上記のＡＤＳＬは、Ａｓｙｍｍｅｔｒｉｃ　Ｄｉｇｉｔａｌ　Ｓｕｂｓｃｒｉｂｅｒ　Ｌｉｎｅの略である。

　＜９：まとめ＞
　最後に、本技術の実施形態に係る技術内容について簡単に纏める。ここで述べる技術内容は、例えば、ＰＣ、携帯電話、ゲーム機、情報端末、情報家電、カーナビゲーションシステム等、種々の情報処理装置に対して適用することができる。なお、以下で述べる情報処理装置の機能は、１台の情報処理装置を利用して実現することも可能であるし、複数台の情報処理装置を利用して実現することも可能である。また、以下で述べる情報処理装置が処理を実行する際に用いるデータ記憶手段及び演算処理手段は、当該情報処理装置に設けられたものであってもよいし、ネットワークを介して接続された機器に設けられたものであってもよい。

　上記の情報処理装置の機能構成は以下のように表現される。例えば、下記（１）に記載の情報処理装置は、多次多変数連立方程式の求解困難性に安全性の根拠を置く効率的な公開鍵認証方式又は電子署名方式のアルゴリズムを実行する機能を有する。

　（１）
　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得部と、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得部が取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算部と、
を備え、
　前記多項式計算部は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　情報処理装置。

　（２）
　前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
　上記（１）に記載の情報処理装置。

　（３）
　前記多項式計算部は、前記計算を実行する前に、前記テーブルから値を取得する際に用いるインデックスの計算を一部又は全部実行する、
　上記（２）に記載の情報処理装置。

　（４）
　前記多項式計算部は、前記計算を実行する前に拡張した前記変数の入力値を、複数種類の前記多次多変数多項式を計算する際に共通して利用する、
　上記（１）～（３）のいずれか１項に記載の情報処理装置。

　（５）
　前記多項式計算部は、前記計算を実行する前に実行したインデックスの計算結果を、複数種類の前記多次多変数多項式を計算する際に共通して利用する、
　上記（３）に記載の情報処理装置。

　（６）
　前記多項式計算部は、少なくとも１つの変数の入力値が０の項について計算処理をスキップする、
　上記（１）～（５）のいずれか１項に記載の情報処理装置。

　（７）
　前記変数の入力値は、全ての入力値の中で０となる入力値の割合が所定の範囲内となるように生成された値である、
　上記（６）に記載の情報処理装置。

　（８）
　前記変数の入力値は、乱数生成器を利用して生成される値であり、全ての入力値の中で０となる入力値の割合が所定の範囲内とならない場合に、当該乱数生成器を利用して生成しなおされる、
　上記（７）に記載の情報処理装置。

　（９）
　前記変数の入力値は、互いに異なる第１又は第２のビット値で表現され、全ての入力値の中で前記第１のビット値をとる入力値の数と前記第２のビット値をとる入力値の数とが略等しい、
　上記（６）に記載の情報処理装置。

　（１０）
　前記情報は、乱数のシードであり、
　前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
　上記（１）～（９）のいずれか１項に記載の情報処理装置。

　（１１）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
　ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
　前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１２）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
　前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１３）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
　前記検証者に前記第３の情報を提供する中間情報提供部と、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１４）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１５）
　前記アルゴリズムが複数回繰り返し実行される場合において、前記数取得部は１回だけ生成された前記数を取得し、前記多項式計算部は１回だけ前記割り当て処理を実行し、
　前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１６）
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及び署名鍵ｓ∈Ｋ^ｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
　上記（１）～（１０）のいずれか１項に記載の情報処理装置。

　（１７）
　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得することと、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算することと、
を含み、
　前記計算することでは、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　情報処理方法。

　（１８）
　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得機能と、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得機能で取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算機能と、
をコンピュータに実現させるためのプログラムであり、
　前記多項式計算機能は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　プログラム。

　（１９）
　上記の（１８）に記載のプログラムが記録された、コンピュータにより読み取り可能な記録媒体。

　（備考）
　上記の証明者アルゴリズムＰ、検証者アルゴリズムＶ、署名生成アルゴリズムＳｉｇ、署名検証アルゴリズムＶｅｒは、数生成部、多項式計算部、テーブル保持部の一例である。上記の証明者アルゴリズムＰは、メッセージ生成部、メッセージ提供部、回答提供部、中間情報生成部、中間情報提供部の一例である。また、上記の検証者アルゴリズムＶは、情報保持部、メッセージ取得部、パターン情報提供部、回答取得部、検証部、中間情報取得部の一例である。

　以上、添付図面を参照しながら本技術の好適な実施形態について説明したが、本技術は係る例に限定されないことは言うまでもない。当業者であれば、特許請求の範囲に記載された範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、それらについても当然に本技術の技術的範囲に属するものと了解される。

　上記の説明において、ハッシュ関数Ｈを用いるアルゴリズムを紹介したが、ハッシュ関数Ｈの代わりにコミットメント関数ＣＯＭを用いてもよい。コミットメント関数ＣＯＭは、文字列Ｓ及び乱数ρを引数にとる関数である。コミットメント関数の例としては、Ｓｈａｉ　ＨａｌｅｖｉとＳｉｌｖｉｏ　Ｍｉｃａｌｉによって国際会議ＣＲＹＰＴＯ１９９６で発表された方式などがある。

　Ｇｅｎ　　鍵生成アルゴリズム
　Ｐ　　　　証明者アルゴリズム
　Ｖ　　　　検証者アルゴリズム
　Ｓｉｇ　　署名生成アルゴリズム
　Ｖｅｒ　　署名検証アルゴリズム

Claims

　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得部と、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得部が取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算部と、
を備え、
　前記多項式計算部は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　情報処理装置。
　前記各グループに対応する種類の項に前記係数を割り当て、当該項の変数に任意の数を代入した値をテーブルとして保持するテーブル保持部をさらに備える、
　請求項１に記載の情報処理装置。
　前記多項式計算部は、前記計算を実行する前に、前記テーブルから値を取得する際に用いるインデックスの計算を一部又は全部実行する、
　請求項２に記載の情報処理装置。
　前記多項式計算部は、前記計算を実行する前に拡張した前記変数の入力値を、複数種類の前記多次多変数多項式を計算する際に共通して利用する、
　請求項１に記載の情報処理装置。
　前記多項式計算部は、前記計算を実行する前に実行したインデックスの計算結果を、複数種類の前記多次多変数多項式を計算する際に共通して利用する、
　請求項３に記載の情報処理装置。
　前記多項式計算部は、少なくとも１つの変数の入力値が０の項について計算処理をスキップする、
　請求項１に記載の情報処理装置。
　前記変数の入力値は、全ての入力値の中で０となる入力値の割合が所定の範囲内となるように生成された値である、
　請求項６に記載の情報処理装置。
　前記変数の入力値は、乱数生成器を利用して生成される値であり、全ての入力値の中で０となる入力値の割合が所定の範囲内とならない場合に、当該乱数生成器を利用して生成しなおされる、
　請求項７に記載の情報処理装置。
　前記変数の入力値は、互いに異なる第１又は第２のビット値で表現され、全ての入力値の中で前記第１のビット値をとる入力値の数と前記第２のビット値をとる入力値の数とが略等しい、
　請求項６に記載の情報処理装置。
　前記情報は、乱数のシードであり、
　前記所定の関数は、前記シードを利用して乱数を生成する乱数生成器である、
　請求項１に記載の情報処理装置。
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
　ｋ通り（ｋ≧３）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記回答情報は、前記乱数の組及び前記メッセージの中から前記検証パターンに応じて選択される情報であり、
　前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　請求項１に記載の情報処理装置。
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
　前記メッセージを提供した証明者に対し、ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を提供するパターン情報提供部と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記多次多変数多項式の組Ｆ、前記ベクトルｙ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵及び前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　請求項１に記載の情報処理装置。
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及びベクトルｓ∈Ｋ^ｎに基づいてメッセージを生成するメッセージ生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者に前記メッセージを提供するメッセージ提供部と、
　前記検証者がランダムに選択した第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて第３の情報を生成する中間情報生成部と、
　前記検証者に前記第３の情報を提供する中間情報提供部と、
　ｋ通り（ｋ≧２）の検証パターンの中から前記検証者が選択した検証パターンに対応する回答情報を前記検証者に提供する回答提供部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記回答情報は、前記メッセージの中から前記検証パターンに応じて選択される情報であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して、当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　請求項１に記載の情報処理装置。
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）及びベクトルｙ＝（ｙ_１，…，ｙ_ｍ）＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する情報保持部と、
　前記多次多変数多項式の組Ｆ及びベクトルｓ∈Ｋ^ｎに基づいて生成されたメッセージを取得するメッセージ取得部と、
　前記メッセージを提供した証明者に対し、ランダムに選択した第１の情報を提供する情報提供部と、
　前記第１の情報及び前記メッセージを生成する際に得られる第２の情報を用いて前記証明者が生成した第３の情報を取得する中間情報取得部と、
　ｋ通り（ｋ≧３）の検証パターンの中からランダムに選択した１つの検証パターンの情報を前記証明者に提供するパターン情報提供部と、
　前記選択した検証パターンに対応する回答情報を前記証明者から取得する回答取得部と、
　前記メッセージ、前記第１の情報、前記第３の情報、前記多次多変数多項式の組Ｆ、及び前記回答情報に基づいて前記証明者が前記ベクトルｓを保持しているか否かを検証する検証部と、
を備え、
　前記ベクトルｓは秘密鍵であり、
　前記多次多変数多項式の組Ｆ及び前記ベクトルｙは公開鍵であり、
　前記メッセージは、前記公開鍵、前記第１の情報、前記第３の情報、前記回答情報を利用して当該回答情報に対応する検証パターン用に予め用意された演算を実行することで得られる情報である、
　請求項１に記載の情報処理装置。
　アルゴリズムが複数回繰り返し実行される場合において、前記数取得部は１回だけ生成された前記数を取得し、前記多項式計算部は１回だけ前記割り当て処理を実行し、
　前記アルゴリズムは、前記割当部が割り当てた係数を繰り返し利用する、
　請求項１に記載の情報処理装置。
　環Ｋ上で定義される多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）、及び署名鍵ｓ∈Ｋ^ｎを用いて文書Ｍに対する電子署名を生成する署名生成部と、
　前記多次多変数多項式の組Ｆ及びベクトルｙ＝（ｆ_１（ｓ），…，ｆ_ｍ（ｓ））を保持する検証者へと前記電子署名を提供する署名提供部と、
を備える、
　請求項１に記載の情報処理装置。
　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得することと、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算することと、
を含み、
　前記計算することでは、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　情報処理方法。
　多次多変数多項式の組Ｆ＝（ｆ_１，…，ｆ_ｍ）を含む公開鍵を利用した公開鍵認証方式又は電子署名方式のアルゴリズムを実行するエンティティの間で共有されている情報から所定の関数を用いて生成された、前記多次多変数多項式の組Ｆを構成する各項の係数に利用する数を取得する数取得機能と、
　前記多次多変数多項式の組Ｆを構成要素に含む多次多変数多項式の係数のうち、変数の組み合わせの種類が同じ項の係数をグループ化しておき、前記数取得機能で取得した数を、当該多次多変数の係数にグループ単位で割り当て、グループ単位で処理を実行して、変数の入力値について当該多次多変数多項式を計算する多項式計算機能と、
をコンピュータに実現させるためのプログラムであり、
　前記多項式計算機能は、前記計算を実行する前に、グループ単位で処理を実行できるように前記変数の入力値をそれぞれ１つのグループに対応する係数の数と同じ数に拡張する、
　プログラム。