知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2022-12-09
(45)【発行日】2022-12-19
(54)【発明の名称】安全性評価装置、安全性評価方法及び安全性評価プログラム
(51)【国際特許分類】
G06F 21/57 20130101AFI20221212BHJP
G09C 1/00 20060101ALI20221212BHJP
【ＦＩ】
G06F21/57 370
G09C1/00 620Z
【請求項の数】
4
(21)【出願番号】P 2019209073
(22)【出願日】2019-11-19
(65)【公開番号】P2021081592
(43)【公開日】2021-05-27
【審査請求日】2021-11-30
(73)【特許権者】
【識別番号】000208891
【氏名又は名称】ＫＤＤＩ株式会社
(74)【代理人】
【識別番号】100106002
【弁理士】
【氏名又は名称】正林 真之
(74)【代理人】
【識別番号】100120891
【弁理士】
【氏名又は名称】林 一好
(72)【発明者】
【氏名】成定 真太郎
(72)【発明者】
【氏名】清本 晋作
【審査官】中里 裕正
(56)【参考文献】
【文献】特開２０１５－００１５５５（ＪＰ，Ａ）
【文献】米国特許出願公開第２０１９／０１１６０３５（ＵＳ，Ａ１）
【文献】石黒司，並列Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムを用いた１２８次元イデアル格子の最短ベクトル問題の求解，ＣＳＳ２０１３コンピュータセキュリティシンポジウム２０１３論文集，2013年10月14日，第2013巻 第4号，pp.62-69
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０６Ｆ ２１／５７
Ｇ０９Ｃ １／００
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
ＩＥＥＥ Ｘｐｌｏｒｅ
(57)【特許請求の範囲】
【請求項1】
イデアル格子における第１ベクトルのローテーション操作による当該第１ベクトルの更新、及び前記ローテーション操作により更新された前記第１ベクトルに基づく第２ベクトルの縮約を繰り返す求解部と、前記ローテーション操作を当該ローテーションの周期となるまで繰り返すか、又は逆ローテーション操作を前記求解部により実行された前記ローテーション操作の回数だけ繰り返すことにより、前記第１ベクトルを初期化する初期化部と、を備え、
前記初期化部により初期化された前記第１ベクトルを用いて、前記求解部の処理を繰り返すことによる、前記イデアル格子を用いた最短ベクトル問題の求解時間を指標として、格子暗号の安全性を評価する安全性評価装置。
【請求項2】
前記初期化部は、初期化に掛かる前記ローテーション操作の回数と、前記逆ローテーション操作の回数とを比較し、少ない回数の操作により前記第１ベクトルを初期化する請求項１に記載の安全性評価装置。
【請求項3】
コンピュータが、
イデアル格子における第１ベクトルのローテーション操作による当該第１ベクトルの更新、及び前記ローテーション操作により更新された前記第１ベクトルに基づく第２ベクトルの縮約を繰り返す求解ステップと、
前記ローテーション操作を当該ローテーションの周期となるまで繰り返すか、又は逆ローテーション操作を前記求解ステップにおいて実行された前記ローテーション操作の回数だけ繰り返すことにより、前記第１ベクトルを初期化する初期化ステップと、を実行し、
前記初期化ステップにおいて初期化された前記第１ベクトルを用いて、前記求解ステップの処理を繰り返すことによる、前記イデアル格子を用いた最短ベクトル問題の求解時間を指標として、格子暗号の安全性を評価する安全性評価方法。
【請求項4】
請求項１又は請求項２に記載の安全性評価装置としてコンピュータを機能させるための安全性評価プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、格子暗号の安全性を評価するための装置、方法及びプログラムに関する。
【背景技術】
【0002】
従来、格子暗号の安全性を評価するにあたって、最短ベクトル問題（ＳＶＰ：Ｓｈｏｒｔｅｓｔ Ｖｅｃｔｏｒ Ｐｒｏｂｌｅｍ）の求解時間が指標として用いられている。
非特許文献１では、ＳＶＰの高速求解アルゴリズムであるＧａｕｓｓ Ｓｉｅｖｅアルゴリズムが提案された。非特許文献２では、イデアル格子という特殊な格子に関して、ローテーション操作によってベクトルの生成が高速に実現できる条件として、ベクトルの次元が２の冪乗となる場合を示し、円分多項式が既約２項式で定義されるＡｎｔｉ－ｃｙｃｌｉｃ格子として提案された。さらに、特許文献１、２及び非特許文献３において、ベクトルの次元が２の冪乗と３の冪乗との積である場合にアルゴリズムを高速化できる、既約３項式で定義されるＴｒｉｎｏｍｉａｌ格子が提案された。
非特許文献１では、ＳＶＰの高速求解アルゴリズムであるＧａｕｓｓ Ｓｉｅｖｅアルゴリズムが提案された。非特許文献２では、イデアル格子という特殊な格子に関して、ローテーション操作によってベクトルの生成が高速に実現できる条件として、ベクトルの次元が２の冪乗となる場合を示し、円分多項式が既約２項式で定義されるＡｎｔｉ－ｃｙｃｌｉｃ格子として提案された。さらに、特許文献１、２及び非特許文献３において、ベクトルの次元が２の冪乗と３の冪乗との積である場合にアルゴリズムを高速化できる、既約３項式で定義されるＴｒｉｎｏｍｉａｌ格子が提案された。
【0003】
イデアル格子を用いた格子暗号の１つとして、次世代公開鍵暗号の候補であるＮＴＲＵ暗号（非特許文献４参照）がある。より高速なアルゴリズムを用いて暗号に対する攻撃者の計算限界を評価することで、暗号の安全性評価が実施される。これらのアルゴリズムが高速であるほど、暗号の安全性に対するより詳細な評価が可能となる。
【先行技術文献】
【特許文献】
【0004】
【文献】特開２０１５－１５５５号公報
【文献】特開２０１４－１８６０９７号公報
【非特許文献】
【0005】
【文献】Ｄ． Ｍｉｃｃｉａｎｃｉｏ ａｎｄ Ｐ． Ｖｏｕｌｇａｒｉｓ． Ｆａｓｔｅｒ ｅｘｐｏｎｅｎｔｉａｌ ｔｉｍｅ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｔｈｅ ｓｈｏｒｔｅｓｔ ｖｅｃｔｏｒ ｐｒｏｂｌｅｍ． Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ Ｔｗｅｎｔｙ－ｆｉｒｓｔ Ａｎｎｕａｌ ＡＣＭ－ＳＩＡＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｄｉｓｃｒｅｔｅ Ａｌｇｏｒｉｔｈｍｓ， ＳＯＤＡ ’１０， ｐｐ． １４６８－１４８０． Ｓｏｃｉｅｔｙ ｆｏｒ Ｉｎｄｕｓｔｒｉａｌ ａｎｄ Ａｐｐｌｉｅｄ Ｍａｔｈｅｍａｔｉｃｓ， ２０１０．
【文献】Ｍ． Ｓｃｈｎｅｉｄｅｒ． Ｓｉｅｖｉｎｇ ｆｏｒ ｓｈｏｒｔｅｓｔ ｖｅｃｔｏｒｓ ｉｎ ｉｄｅａｌ ｌａｔｔｉｃｅｓ． Ｉｎ Ｐｒｏｇｒｅｓｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ － ＡＦＲＩＣＡＣＲＹＰＴ ２０１３， ｐｐ． ３７５－３９１． Ｓｐｒｉｎｇｅｒ， ２０１３．
【文献】Ｔ． Ｉｓｈｉｇｕｒｏ， Ｓ． Ｋｉｙｏｍｏｔｏ， Ｙ． Ｍｉｙａｋｅ， ａｎｄ Ｔ． Ｔａｋａｇｉ． Ｐａｒａｌｌｅｌ ｇａｕｓｓ ｓｉｅｖｅ ａｌｇｏｒｉｔｈｍ： Ｓｏｌｖｉｎｇ ｔｈｅ ｓｖｐ ｃｈａｌｌｅｎｇｅ ｏｖｅｒ ａ １２８－ｄｉｍｅｎｓｉｏｎａｌ ｉｄｅａｌ ｌａｔｔｉｃｅ． Ｉｎ Ｐｕｂｌｉｃ－Ｋｅｙ Ｃｒｙｐｔｏｇｒａｐｈｙ － ＰＫＣ ２０１４， ｐｐ． ４１１－４２８． Ｓｐｒｉｎｇｅｒ， ２０１４．
【文献】Ｊ． Ｈｏｆｆｓｔｅｉｎ， Ｊ． Ｐｉｐｈｅｒ， ａｎｄ Ｊ． Ｓｉｌｖｅｒｍａｎ． ＮＴＲＵ： Ａ ｒｉｎｇ－ｂａｓｅｄ ｐｕｂｌｉｃ ｋｅｙ ｃｒｙｐｔｏｓｙｓｔｅｍ． Ｉｎ Ａｌｇｏｒｉｔｈｍｉｃ Ｎｕｍｂｅｒ Ｔｈｅｏｒｙ， ｐｐ． ２６７－２８８． Ｓｐｒｉｎｇｅｒ， １９９８．
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、これらのアルゴリズムについて、さらなる高速化も望まれている。
【0007】
本発明は、ＳＶＰの求解アルゴリズムを、さらに高速化できる安全性評価装置、安全性評価方法及び安全性評価プログラムを提供することを目的とする。
【課題を解決するための手段】
【0008】
本発明に係る安全性評価装置は、イデアル格子におけるベクトルのローテーションを用いて、所定回のベクトル生成及び縮約を繰り返す求解部と、前記ローテーション又は逆ローテーションの操作を、当該ローテーションの周期となるまで繰り返すことにより、前記ベクトルを初期化する初期化部と、を備える。
【0009】
前記初期化部は、初期化に掛かる前記ローテーションの回数と、前記逆ローテーションの回数とを比較し、少ない回数の操作により前記ベクトルを初期化してもよい。
【0010】
本発明に係る安全性評価方法は、イデアル格子におけるベクトルのローテーションを用いて、所定回のベクトル生成及び縮約を繰り返す求解ステップと、前記ローテーション又は逆ローテーションの操作を、当該ローテーションの周期となるまで繰り返すことにより、前記ベクトルを初期化する初期化ステップと、をコンピュータが実行する。
【0011】
本発明に係る安全性評価プログラムは、前記安全性評価装置としてコンピュータを機能させるためのものである。
【発明の効果】
【0012】
本発明によれば、ＳＶＰの求解アルゴリズムがさらに高速化された。
【図面の簡単な説明】
【0013】
【図1】求解アルゴリズムを示す図である。
【図2】縮約関数Ｒｅｄｕｃｅのアルゴリズムを示す図である。
【図3】縮約関数ＲｅｄｕｃｅＲｏｔのアルゴリズムを示す図である。
【図4】縮約関数ＲｅｄｕｃｅＲｏｔ２のアルゴリズムを示す図である。
【図5】安全性評価装置の機能構成を示すブロック図である。
【図6】縮約関数ＲｅｄｕｃｅＲｏｔＷｉｓｅのアルゴリズムを示す図である。
【発明を実施するための形態】
【0014】
以下、本発明の実施形態の一例について説明する。
本実施形態における安全性評価方法では、イデアル格子を用いた格子暗号の安全性を評価するために、ＳＶＰを高速に求解するためのイデアル格子の次元に応じた条件を選択し、条件毎に定義されたローテーション操作により、縮約と呼ばれる処理を高速化する。
本実施形態における安全性評価方法では、イデアル格子を用いた格子暗号の安全性を評価するために、ＳＶＰを高速に求解するためのイデアル格子の次元に応じた条件を選択し、条件毎に定義されたローテーション操作により、縮約と呼ばれる処理を高速化する。
【0015】
［定義］
ｍ次元のベクトルｖ＝（ｖ０，…，ｖｍ－１）のユークリッドノルムを∥ｖ∥＝√（Σｉ＝０ ｍ－１ｖｉ ２）とする。ベクトルｕ＝（ｕ０，…，ｕｍ－１）とｖ＝（ｖ０，…，ｖｍ－１）との内積を＜ｕ，ｖ＞＝Σｉ＝０ ｍ－１ｕｉｖｉと表す。
ｎ個の一次独立なｍ次元列ベクトルからなる行列を、Ｂ＝（ｂ０，…，ｂｎ－１）∈Ｒｍ×ｎと書く。Ｂによって生成される格子とは、基底ベクトルｂ０，…，ｂｎ－１の整数係数線形結合全体の集合Ｌ（Ｂ）＝Ｌ（ｂ０，…，ｂｎ－１）＝｛Σｉ＝０ ｎ－１ｘｉｂｉ｜ｘｉ∈Ｚ｝のことである。Ｂを格子Ｌの基底という。本実施形態では、ｎ＝ｍかつｂｉ∈Ｚｎとし、ｎを格子の次元と呼ぶ。格子Ｌ上の非ゼロ最短ベクトルのユークリッドノルムをλ１（Ｌ）と書く。
最短ベクトル問題（ＳＶＰ）とは、格子Ｌ（Ｂ）が与えられたとき、∥ｖ∥＝λ１（Ｌ（Ｂ））となるベクトルｖ∈Ｌ（Ｂ）を求めることである。
ｍ次元のベクトルｖ＝（ｖ０，…，ｖｍ－１）のユークリッドノルムを∥ｖ∥＝√（Σｉ＝０ ｍ－１ｖｉ ２）とする。ベクトルｕ＝（ｕ０，…，ｕｍ－１）とｖ＝（ｖ０，…，ｖｍ－１）との内積を＜ｕ，ｖ＞＝Σｉ＝０ ｍ－１ｕｉｖｉと表す。
ｎ個の一次独立なｍ次元列ベクトルからなる行列を、Ｂ＝（ｂ０，…，ｂｎ－１）∈Ｒｍ×ｎと書く。Ｂによって生成される格子とは、基底ベクトルｂ０，…，ｂｎ－１の整数係数線形結合全体の集合Ｌ（Ｂ）＝Ｌ（ｂ０，…，ｂｎ－１）＝｛Σｉ＝０ ｎ－１ｘｉｂｉ｜ｘｉ∈Ｚ｝のことである。Ｂを格子Ｌの基底という。本実施形態では、ｎ＝ｍかつｂｉ∈Ｚｎとし、ｎを格子の次元と呼ぶ。格子Ｌ上の非ゼロ最短ベクトルのユークリッドノルムをλ１（Ｌ）と書く。
最短ベクトル問題（ＳＶＰ）とは、格子Ｌ（Ｂ）が与えられたとき、∥ｖ∥＝λ１（Ｌ（Ｂ））となるベクトルｖ∈Ｌ（Ｂ）を求めることである。
【0016】
イデアルＩとは、環Ｒ＝Ｚ［ｘ］／（ｇ（ｘ））の部分加法群のことをいう。ただし、ｇ（ｘ）は、Ｚ上のｎ次モニック多項式である。ｖ（ｘ）＝Σｉ＝０
ｎ－１ｖｉｘｉ∈Ｉに対して、その係数ベクトルｖ＝（ｖ０，…，ｖｎ－１）∈Ｚをｖ（ｘ）に対応させる。このとき、集合｛ｖ＝（ｖ０，…，ｖｎ－１）∈Ｚ｜ｖ（ｘ）＝Σｉ＝０
ｎ－１ｖｉｘｉ∈Ｉ｝は格子となる。このような格子を、イデアル格子と呼ぶ。
【0017】
イデアル格子は、ローテーション操作に対して合同である。すなわち、格子ベクトルｖ∈Ｌの多項式表現をｖ（ｘ）としたとき、ｒｏｔ（ｖ）＝ｘｖ（ｘ） ｍｏｄ ｇ（ｘ）もまたＬ（Ｂ）のベクトルとなる。演算ｒｏｔをベクトルのローテーションという。ｉ回のローテーションの繰り返しをｒｏｔｉ（ｖ）＝ｒｏｔ（…ｒｏｔ（ｒｏｔ（ｖ））…）と書く。ただし、ｒｏｔ０（ｖ）＝ｖである。
【0018】
ｎ次モニック多項式ｇ（ｘ）には、Ｒ－ＬＷＥ（Ｒｉｎｇ Ｌｅａｒｎｉｎｇ ｗｉｔｈ Ｅｒｒｏｒ）問題等で用いられている円分多項式を使用する。ｍ番目の円分多項式Φｍ（ｘ）は次式で定義される。
Φｍ（ｘ）＝Π１≦ｋ≦ｍ，ｇｃｄ（ｋ，ｍ）＝１（ｘ－ｅ２πｉｋ／ｍ）
ただし、ｇｃｄ（ｉ，ｊ）は、自然数ｉ，ｊの最大公約数を表す。例えば、Φ８（ｘ）＝ｘ４＋１、Φ１２（ｘ）＝ｘ４－ｘ２＋１等となる。
Φｍ（ｘ）＝Π１≦ｋ≦ｍ，ｇｃｄ（ｋ，ｍ）＝１（ｘ－ｅ２πｉｋ／ｍ）
ただし、ｇｃｄ（ｉ，ｊ）は、自然数ｉ，ｊの最大公約数を表す。例えば、Φ８（ｘ）＝ｘ４＋１、Φ１２（ｘ）＝ｘ４－ｘ２＋１等となる。
【0019】
［Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズム］
格子Ｌ（Ｂ）から最短ベクトルを出力するために、Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムでは、格子Ｌ（Ｂ）に属する２つのベクトルｕ，ｖの差が小さくなる場合に、片方のベクトルをベクトルの差に置き換える処理（縮約という）が、ノルムが減少しなくなるまで再帰的に繰り返される。
これにより、格子Ｌ（Ｂ）上の２つのベクトルｕ，ｖが∥ｕ±ｖ∥≧ｍａｘ（∥ｕ∥，∥ｖ∥）を満たし、Ｇａｕｓｓ－ｒｅｄｕｃｅｄな状態となる。
格子Ｌ（Ｂ）から最短ベクトルを出力するために、Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムでは、格子Ｌ（Ｂ）に属する２つのベクトルｕ，ｖの差が小さくなる場合に、片方のベクトルをベクトルの差に置き換える処理（縮約という）が、ノルムが減少しなくなるまで再帰的に繰り返される。
これにより、格子Ｌ（Ｂ）上の２つのベクトルｕ，ｖが∥ｕ±ｖ∥≧ｍａｘ（∥ｕ∥，∥ｖ∥）を満たし、Ｇａｕｓｓ－ｒｅｄｕｃｅｄな状態となる。
【0020】
【0021】
縮約関数Ｒｅｄｕｃｅでは、格子Ｌ（Ｂ）に属する２つのベクトルｕ，ｖを入力として、∥ｕ－ｖ∥と∥ｕ∥を比較し、∥ｕ－ｖ∥が小さい場合に、ベクトルｕが縮約される。
なお、２つのベクトルが線形従属だった場合、必ず原点ベクトルが出力される。これを衝突という。
なお、２つのベクトルが線形従属だった場合、必ず原点ベクトルが出力される。これを衝突という。
【0022】
集合Ａ⊂Ｌ（Ｂ）に対して、全ベクトルの組み合わせ∀ｕ，ｖ∈Ａ，ｕ≠ｖがＧａｕｓｓ－ｒｅｄｕｃｅｄであるとき、集合ＡはＰａｉｒｗｉｓｅ－ｒｅｄｕｃｅｄであるという。
【0023】
Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムでは、Ｐａｉｒｗｉｓｅ－ｒｅｄｕｃｅｄとなる格子ベクトルの集合Ｌが徐々に拡張されていく。まず、新しい格子ベクトルｖがランダムサンプリングによって生成される。次に、ｖとＬの全ての元との組み合わせがＧａｕｓｓ－ｒｅｄｕｃｅｄとなるように縮約が行われ、ｖのノルムが減少する。このようにして縮約されたｖがＬに追加される。このとき、Ｌ∪｛ｖ｝もＰａｉｒｗｉｓｅ－ｒｅｄｕｃｅｄである。
このような集合Ｌを拡張する動作を、衝突が一定回数発生するまで実施した後、Ｌ内で最も短いベクトルを格子Ｌ（Ｂ）が最短ベクトルとして出力される。
このような集合Ｌを拡張する動作を、衝突が一定回数発生するまで実施した後、Ｌ内で最も短いベクトルを格子Ｌ（Ｂ）が最短ベクトルとして出力される。
【0024】
さらに、イデアル格子の性質を利用した非特許文献２及び非特許文献３の手法では、モニック多項式ｇ（ｘ）としての円分多項式が既約２項式となるＡｎｔｉ－ｃｙｃｌｉｃ格子、及び既約３項式となるＴｒｉｎｏｍｉａｌ格子を定義し、定義式から導かれるローテーションの操作を行うことにより、縮約を試行するためのベクトルｖの生成が繰り返される。
この結果、Ｇａｕｓｓ ＳｉｅｖｅアルゴリズムによるＳＶＰの求解が高速化された。
この結果、Ｇａｕｓｓ ＳｉｅｖｅアルゴリズムによるＳＶＰの求解が高速化された。
【0025】
図３は、従来（非特許文献２）の求解アルゴリズム（Ｉｄｅａｌ Ｇａｕｓｓ Ｓｉｅｖｅ）で実行される縮約関数ＲｅｄｕｃｅＲｏｔのアルゴリズムを示す図である。
縮約関数ＲｅｄｕｃｅＲｏｔでは、ベクトルｖの複製ｖ’に対してローテーションを行うことにより（ステップ３）、縮約を試行するためのベクトルが繰り返し生成される。これにより、短いベクトルを生成する確率が向上した。
縮約関数ＲｅｄｕｃｅＲｏｔでは、ベクトルｖの複製ｖ’に対してローテーションを行うことにより（ステップ３）、縮約を試行するためのベクトルが繰り返し生成される。これにより、短いベクトルを生成する確率が向上した。
【0026】
図４は、従来（非特許文献３）の求解アルゴリズムで実行される縮約関数ＲｅｄｕｃｅＲｏｔ２のアルゴリズムを示す図である。
縮約関数ＲｅｄｕｃｅＲｏｔ２では、ＲｅｄｕｃｅＲｏｔに対して、逆ローテーションによるベクトルの生成を同時に行う、アルゴリズムを並列化する、計算時間が最も短くなるローテーション回数ｋを求め縮約の試行をｋ回とする、という改良が施された。
縮約関数ＲｅｄｕｃｅＲｏｔ２では、ＲｅｄｕｃｅＲｏｔに対して、逆ローテーションによるベクトルの生成を同時に行う、アルゴリズムを並列化する、計算時間が最も短くなるローテーション回数ｋを求め縮約の試行をｋ回とする、という改良が施された。
【0027】
本実施形態では、さらに、Ａｎｔｉ－ｃｙｃｌｉｃ格子及びＴｒｉｎｏｍｉａｌ格子の概念を一般化したｔ－ｎｏｍｉａｌ格子を定義し、安全性評価装置１は、イデアル格子の次元ｎと、円分多項式の添字ｍ及び項数ｔとを対応付けた条件に基づくローテーション及び逆ローテーションにより、縮約の処理を実行する。
【0028】
［機能構成］
図５は、本実施形態における安全性評価装置１の機能構成を示すブロック図である。
安全性評価装置１は、サーバ又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。
図５は、本実施形態における安全性評価装置１の機能構成を示すブロック図である。
安全性評価装置１は、サーバ又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。
【0029】
制御部１０は、安全性評価装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。
【0030】
記憶部２０は、ハードウェア群を安全性評価装置１として機能させるための各種プログラム（安全性評価プログラム等）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。
【0031】
制御部１０は、選択部１１と、求解部１２と、初期化部１３とを備える。制御部１０は、これらの機能部により、ＳＶＰを解くための縮約の処理を実行する。
このとき、制御部１０は、処理時間を計測し、格子暗号の安全性の指標として出力する。
このとき、制御部１０は、処理時間を計測し、格子暗号の安全性の指標として出力する。
【0032】
ｔ－ｎｏｍｉａｌ格子とは、項数がｔである円分多項式から生成されるイデアル格子である。ただし、ｔ≧２とする。ｔ－ｎｏｍｉａｌ格子を用いることで、一般的な次元ｎに対して、Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムの高速化が可能となる。
【0033】
選択部１１は、安全性の評価対象である格子暗号におけるイデアル格子の次元ｎに対して、後述の条件１～３のいずれかを満たす円分多項式の添字ｍ及び項数ｔを選択する。
なお、これらの条件式は、項数が２であるＡｎｔｉ－ｃｙｃｌｉｃ格子の場合と、項数が３であるＴｒｉｎｏｍｉａｌ格子の場合とを包含している。
なお、これらの条件式は、項数が２であるＡｎｔｉ－ｃｙｃｌｉｃ格子の場合と、項数が３であるＴｒｉｎｏｍｉａｌ格子の場合とを包含している。
【0034】
求解部１２は、次数ｎと、円分多項式の添字ｍ及び項数ｔとの関係から導出されるベクトルのローテーションを用いて、所定回のベクトル生成及び縮約を繰り返す。
【0035】
初期化部１３は、ローテーション又は逆ローテーションの操作を、ローテーションの周期となるまで繰り返すことにより、ベクトルｖを初期化する。
このとき、初期化部１３は、初期化に掛かるローテーションの回数と、逆ローテーションの回数とを比較し、少ない回数の操作によりベクトルｖを初期化してよい。
このとき、初期化部１３は、初期化に掛かるローテーションの回数と、逆ローテーションの回数とを比較し、少ない回数の操作によりベクトルｖを初期化してよい。
【0036】
［条件１］
なお、この条件は、モニック多項式が円分多項式Φｍ（ｘ）＝ｘｎ＋１となるイデアル格子、すなわちＡｎｔｉ－ｃｙｃｌｉｃ格子を示している。
【数1】
【0037】
条件１を満たすとき、ベクトルｖ＝（ｖ０，…，ｖｎ－１）のローテーションｒｏｔ（ｖ）及び逆ローテーションｒｏｔ－１（ｖ）は、０≦ｉ≦ｎ－１に対して、
である。すなわち、ベクトルｖの先頭及び末尾のみに、挿入又は削除の処理が行われる。
【数2】
【0038】
［条件２］
奇素数ｐに対して、
奇素数ｐに対して、
【数3】
【0039】
ここで、奇素数ｐに対して、ｍ＝２ａ・ｐｂ（ａ≧０，ｂ≧１）のとき、ｔ＝ｐとなることは、円分多項式Φｍ（ｘ）＝Σｉ＝０
ｐ－１（－１）ｉｘｉ２＾（ａ－１）ｐ＾（ｂ－１）であることから明らかである。例えば、ｍ＝３６＝２２・３２のとき、ｔ＝３となり、ｍ＝１２１＝２０・１１２のとき、ｔ＝１１となる。
なお、ｐ＝３の場合は、モニック多項式が円分多項式Φｍ（ｘ）＝｛ｘｎ＋ｘｎ／２＋１（ｍ＝３ａ），ｘｎ－ｘｎ／２＋１（ｍ＝２ａ３ｂ）となるイデアル格子、すなわちＴｒｉｎｏｍｉａｌ格子を示している。
なお、ｐ＝３の場合は、モニック多項式が円分多項式Φｍ（ｘ）＝｛ｘｎ＋ｘｎ／２＋１（ｍ＝３ａ），ｘｎ－ｘｎ／２＋１（ｍ＝２ａ３ｂ）となるイデアル格子、すなわちＴｒｉｎｏｍｉａｌ格子を示している。
【0040】
また、ｎの条件式は、次のように証明される。
ｘ，ｙを互い素な自然数としたとき、φ（ｘｙ）＝φ（ｘ）φ（ｙ）が成り立つ。なお、φはオイラーのトーシェント関数であり、ｍ番目の円分多項式の次数ｎについて、ｎ＝φ（ｍ）であることが知られている。また、素数ｐ及び自然数ｋに対して、φ（ｐｋ）＝ｐｋ－１（ｐ－１）である。以上より、ａ≧１に対して、φ（２ａｐｂ）＝φ（２ａ）φ（ｐｂ）＝２ａ－１・ｐｂ－１（ｐ－１）である。また、ａ＝０に対しては、ｍ＝ｐｂより、φ（ｐｂ）＝ｐｂ－１（ｐ－１）である。
ｘ，ｙを互い素な自然数としたとき、φ（ｘｙ）＝φ（ｘ）φ（ｙ）が成り立つ。なお、φはオイラーのトーシェント関数であり、ｍ番目の円分多項式の次数ｎについて、ｎ＝φ（ｍ）であることが知られている。また、素数ｐ及び自然数ｋに対して、φ（ｐｋ）＝ｐｋ－１（ｐ－１）である。以上より、ａ≧１に対して、φ（２ａｐｂ）＝φ（２ａ）φ（ｐｂ）＝２ａ－１・ｐｂ－１（ｐ－１）である。また、ａ＝０に対しては、ｍ＝ｐｂより、φ（ｐｂ）＝ｐｂ－１（ｐ－１）である。
【0041】
条件２を満たすとき、ベクトルｖのローテーション操作ｒｏｔ（ｖ）及び逆ローテーション操作ｒｏｔ－１（ｖ）は、０≦ｉ≦ｎ－１，１≦ｌ≦ｔ－２に対して、
である。すなわち、ベクトルｖの先頭及び末尾に挿入又は削除の処理が行われ、ｔ－２の箇所において差又は和の演算が行われる。なお、上式の演算子「－／＋」は、ａ＝０のとき－、ａ≠０のとき＋となる。
【数4】
【0042】
ローテーション及び逆ローテーションの式は、次のように証明される。
円分多項式Φｍ（ｘ）とその次数ｎに対して、Φｐ＾ｂ（ｘ）＝Σｉ＝０ ｐ－１ｘｉｐ＾（ｂ－１），Φ２＾ａ・ｐ＾ｂ（ｘ）＝Σｉ＝０ ｐ－１（－１）ｉｘｉ２＾（ａ－１）ｐ＾（ｂ－１）である。よって、それぞれｘｖ（ｘ） ｍｏｄ Φｍ（ｘ）を計算することにより、ローテーションの式が得られる。
また、逆ローテーションに関しては、Φｍ（ｘ）を法とする逆元ｘ－１を計算する。ａ＝０の場合、ｘ－１＝－Σｉ＝０ ｐ－１ｘｉｐ＾（ｂ－１）－１、ａ≠０の場合、ｘ－１＝Σｉ＝０ ｐ－１（－１）ｉｘｉ２＾（ａ－１）ｐ＾（ｂ－１）－１となる。よって、逆ローテーションの式は、ｘ－１ｖ（ｘ） ｍｏｄ Φｍ（ｘ）に上式を代入することで得られる。
円分多項式Φｍ（ｘ）とその次数ｎに対して、Φｐ＾ｂ（ｘ）＝Σｉ＝０ ｐ－１ｘｉｐ＾（ｂ－１），Φ２＾ａ・ｐ＾ｂ（ｘ）＝Σｉ＝０ ｐ－１（－１）ｉｘｉ２＾（ａ－１）ｐ＾（ｂ－１）である。よって、それぞれｘｖ（ｘ） ｍｏｄ Φｍ（ｘ）を計算することにより、ローテーションの式が得られる。
また、逆ローテーションに関しては、Φｍ（ｘ）を法とする逆元ｘ－１を計算する。ａ＝０の場合、ｘ－１＝－Σｉ＝０ ｐ－１ｘｉｐ＾（ｂ－１）－１、ａ≠０の場合、ｘ－１＝Σｉ＝０ ｐ－１（－１）ｉｘｉ２＾（ａ－１）ｐ＾（ｂ－１）－１となる。よって、逆ローテーションの式は、ｘ－１ｖ（ｘ） ｍｏｄ Φｍ（ｘ）に上式を代入することで得られる。
【0043】
［条件３］
２つの奇素数ｐ，ｑ（ｐ＜ｑ）を、ｑ≡１，２，ｐ－１，ｐ－２ ｍｏｄ ｐとなるように選ぶと、ｋ＝ｆｌｏｏｒ（ｑ／ｐ）とすると、
２つの奇素数ｐ，ｑ（ｐ＜ｑ）を、ｑ≡１，２，ｐ－１，ｐ－２ ｍｏｄ ｐとなるように選ぶと、ｋ＝ｆｌｏｏｒ（ｑ／ｐ）とすると、
【数5】
【0044】
ここで、Φ２＾ａｐ＾ｂｑ＾ｃ（ｘ）とΦｐｑ（ｘ）の項数は等しい。このことは、次のように証明される。
奇数ｎ＞１に対して、Φ２ｎ（ｘ）＝Φｎ（－ｘ）である。また、互いに素な数ｓ，ｔに対して、Φｓ＾ｍｔ（ｘ）＝Φｓｔ（ｘｓ＾（ｍ－１））である。よって、２とｐｂｑｃとは互いに素であるため、Φ２＾ａｐ＾ｂｑ＾ｃ（ｘ）＝Φ２ｐ＾ｂｑ＾ｃ（ｘ２＾（ａ－１））である。ｙ＝ｘ２＾（ａ－１）とおくと、Φ２＾ａｐ＾ｂｑ＾ｃ（ｘ）とΦ２ｐ＾ｂｑ＾ｃ（ｙ）とは項数が等しい。次に、ｐｂｑｃは奇数なので、Φ２ｐ＾ｂｑ＾ｃ（ｙ）＝Φｐ＾ｂｑ＾ｃ（－ｙ）である。ｚ＝－ｙとおくと、Φ２ｐ＾ｂｑ＾ｃ（ｙ）とΦｐ＾ｂｑ＾ｃ（ｚ）とは項数が等しい。また、ｐとｑｃとは互いに素であるため、Φｐ＾ｂｑ＾ｃ（ｚ）＝Φｐｑ＾ｃ（ｚｐ＾（ｂ－１））である。ｗ＝ｚｐ＾（ｂ－１）とすると、Φｐ＾ｂｑ＾ｃ（ｚ）＝Φｐｑ＾ｃ（ｗ）も項数は同じである。最後に、ｑとｐとは互いに素であるため、Φｐｑ＾ｃ（ｗ）＝Φｐｑ（ｗｑ＾（ｃ－１））となり、項数は変化しない。
奇数ｎ＞１に対して、Φ２ｎ（ｘ）＝Φｎ（－ｘ）である。また、互いに素な数ｓ，ｔに対して、Φｓ＾ｍｔ（ｘ）＝Φｓｔ（ｘｓ＾（ｍ－１））である。よって、２とｐｂｑｃとは互いに素であるため、Φ２＾ａｐ＾ｂｑ＾ｃ（ｘ）＝Φ２ｐ＾ｂｑ＾ｃ（ｘ２＾（ａ－１））である。ｙ＝ｘ２＾（ａ－１）とおくと、Φ２＾ａｐ＾ｂｑ＾ｃ（ｘ）とΦ２ｐ＾ｂｑ＾ｃ（ｙ）とは項数が等しい。次に、ｐｂｑｃは奇数なので、Φ２ｐ＾ｂｑ＾ｃ（ｙ）＝Φｐ＾ｂｑ＾ｃ（－ｙ）である。ｚ＝－ｙとおくと、Φ２ｐ＾ｂｑ＾ｃ（ｙ）とΦｐ＾ｂｑ＾ｃ（ｚ）とは項数が等しい。また、ｐとｑｃとは互いに素であるため、Φｐ＾ｂｑ＾ｃ（ｚ）＝Φｐｑ＾ｃ（ｚｐ＾（ｂ－１））である。ｗ＝ｚｐ＾（ｂ－１）とすると、Φｐ＾ｂｑ＾ｃ（ｚ）＝Φｐｑ＾ｃ（ｗ）も項数は同じである。最後に、ｑとｐとは互いに素であるため、Φｐｑ＾ｃ（ｗ）＝Φｐｑ（ｗｑ＾（ｃ－１））となり、項数は変化しない。
【0045】
また、次の文献Ａによって、Φｐｑ（ｘ）の項数が示されている。
文献Ａ： Ｌ． Ｃａｒｌｉｔｚ． Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｔｅｒｍｓ ｉｎ ｔｈｅ ｃｙｃｌｏｔｏｍｉｃ ｐｏｌｙｎｏｍｉａｌ ｆｐｑ（ｘ）． Ｔｈｅ Ａｍｅｒｉｃａｎ Ｍａｔｈｅｍａｔｉｃａｌ Ｍｏｎｔｈｌｙ， Ｖｏｌ． ７３， ｐｐ． ９７９－９８１， １９６６．
文献Ａ： Ｌ． Ｃａｒｌｉｔｚ． Ｔｈｅ ｎｕｍｂｅｒ ｏｆ ｔｅｒｍｓ ｉｎ ｔｈｅ ｃｙｃｌｏｔｏｍｉｃ ｐｏｌｙｎｏｍｉａｌ ｆｐｑ（ｘ）． Ｔｈｅ Ａｍｅｒｉｃａｎ Ｍａｔｈｅｍａｔｉｃａｌ Ｍｏｎｔｈｌｙ， Ｖｏｌ． ７３， ｐｐ． ９７９－９８１， １９６６．
【0046】
したがって、奇素数ｐ，ｑに対して、上述の項数ｔの関係式が導出される。
例えば、ｐ＝５，ｑ＝７に対して、ｍ＝７０＝２・５・７を考えると、ｋ＝１に対してｔ＝１７となる。また、ｔ＜１０を満たすｍ，ｔの組として、ｍ＝２ａ・３ｂ・５ｃ，ｔ＝７がある。
例えば、ｐ＝５，ｑ＝７に対して、ｍ＝７０＝２・５・７を考えると、ｋ＝１に対してｔ＝１７となる。また、ｔ＜１０を満たすｍ，ｔの組として、ｍ＝２ａ・３ｂ・５ｃ，ｔ＝７がある。
【0047】
条件３を満たすとき、円分多項式Φｍ（ｘ）の係数は－１，０，１のいずれかになり、ｎ次及び０次の係数は必ず１である。よって、係数ベクトルｃ＝（ｃ１，…，ｃｎ－１），ｃｉ∈｛－１，０，１｝，Σｉ＝１
ｎ－１｜ｃｉ｜＝ｔ－２を用いて、Φｍ（ｘ）＝１＋ｃ１ｘ＋…＋ｃｎ－１ｘｎ－１＋ｘｎと表すことができる。なお、ｃｉ≠０である項がｔ－２個だけ存在する。
このとき、ベクトルｖのローテーションｒｏｔ（ｖ）及び逆ローテーションｒｏｔ－１（ｖ）は、０≦ｉ≦ｎ－１に対して、
である。すなわち、ベクトルｖの先頭及び末尾に挿入又は削除の処理が行われ、ｔ－２の箇所において差又は和の演算が行われる。
このとき、ベクトルｖのローテーションｒｏｔ（ｖ）及び逆ローテーションｒｏｔ－１（ｖ）は、０≦ｉ≦ｎ－１に対して、
【数6】
【0048】
ｔ－ｎｏｍｉａｌ格子の具体例として、ｔ＝５，７の場合を考える。
ｍ＝２ａ・５ｂのとき、イデアル格子は５－ｎｏｍｉａｌ格子となる。このとき、ローテーション操作は、ａ≠０の場合、ｒｏｔ（ｖ）＝（－ｖｎ－１，ｖ０，…，ｖｎ／４－１＋ｖｎ－１，…，ｖｎ／２－１－ｖｎ－１，…，ｖ３ｎ／４－１＋ｖｎ－１，…，ｖｎ－２）となる。
また、ｍ＝２ａ・７ｂ又はｍ＝２ａ・３ｂ・５ｃのとき、イデアル格子は７－ｎｏｍｉａｌ格子となる。ｍ＝２ａ・３ｂ・５ｃのときは，円分多項式Φ２＾ａ３＾ｂ５＾ｃ（ｘ）＝ｘｎ－ｘ７ｎ／８＋ｘ５ｎ／８－ｘｎ／２＋ｘ３ｎ／８－ｘｎ／８＋１、又はｘｎ＋ｘ７ｎ／８－ｘ５ｎ／８－ｘｎ／２－ｘ３ｎ／８＋ｘｎ／８＋１である。このとき、ローテーション操作は、ｒｏｔ（ｖ）＝（－ｖｎ－１，ｖ０，…，ｖｎ／８－１＋ｖｎ－１，…，ｖ３ｎ／８－１－ｖｎ－１，…，ｖｎ／２－１＋ｖｎ－１，…，ｖ５ｎ／８－１－ｖｎ－１，…，ｖ７ｎ／８－１＋ｖｎ－１，…，ｖｎ－２）、又は（－ｖｎ－１，ｖ０，…，ｖｎ／８－１－ｖｎ－１，…，ｖ３ｎ／８－１＋ｖｎ－１，…，ｖｎ／２－１＋ｖｎ－１，…，ｖ５ｎ／８－１＋ｖｎ－１，…，ｖ７ｎ／８－１－ｖｎ－１，…，ｖｎ－２）となる。
ｍ＝２ａ・５ｂのとき、イデアル格子は５－ｎｏｍｉａｌ格子となる。このとき、ローテーション操作は、ａ≠０の場合、ｒｏｔ（ｖ）＝（－ｖｎ－１，ｖ０，…，ｖｎ／４－１＋ｖｎ－１，…，ｖｎ／２－１－ｖｎ－１，…，ｖ３ｎ／４－１＋ｖｎ－１，…，ｖｎ－２）となる。
また、ｍ＝２ａ・７ｂ又はｍ＝２ａ・３ｂ・５ｃのとき、イデアル格子は７－ｎｏｍｉａｌ格子となる。ｍ＝２ａ・３ｂ・５ｃのときは，円分多項式Φ２＾ａ３＾ｂ５＾ｃ（ｘ）＝ｘｎ－ｘ７ｎ／８＋ｘ５ｎ／８－ｘｎ／２＋ｘ３ｎ／８－ｘｎ／８＋１、又はｘｎ＋ｘ７ｎ／８－ｘ５ｎ／８－ｘｎ／２－ｘ３ｎ／８＋ｘｎ／８＋１である。このとき、ローテーション操作は、ｒｏｔ（ｖ）＝（－ｖｎ－１，ｖ０，…，ｖｎ／８－１＋ｖｎ－１，…，ｖ３ｎ／８－１－ｖｎ－１，…，ｖｎ／２－１＋ｖｎ－１，…，ｖ５ｎ／８－１－ｖｎ－１，…，ｖ７ｎ／８－１＋ｖｎ－１，…，ｖｎ－２）、又は（－ｖｎ－１，ｖ０，…，ｖｎ／８－１－ｖｎ－１，…，ｖ３ｎ／８－１＋ｖｎ－１，…，ｖｎ／２－１＋ｖｎ－１，…，ｖ５ｎ／８－１＋ｖｎ－１，…，ｖ７ｎ／８－１－ｖｎ－１，…，ｖｎ－２）となる。
【0049】
図６は、本実施形態における縮約関数ＲｅｄｕｃｅＲｏｔＷｉｓｅのアルゴリズムを示す図である。
縮約関数ＲｅｄｕｃｅＲｏｔ（図３）及びＲｅｄｕｃｅＲｏｔ２（図４）では、ベクトルｖを再利用のために、前処理としてベクトルｖの複製（ｖ’及びｖ’’）が必要となっていた。Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムでは、最短ベクトルが見付かるまで、これらの縮約関数が繰り返し呼び出されるため、多数の複製処理により計算時間が増大していた。
これに対して、縮約関数ＲｅｄｕｃｅＲｏｔＷｉｓｅでは、ベクトルｖの複製処理を、ローテーション又は逆ローテーションにより代替することで計算時間が削減される。具体的には、従来（非特許文献３）の手法と比較して、実験的に約１．５倍の高速化が実現された。
縮約関数ＲｅｄｕｃｅＲｏｔ（図３）及びＲｅｄｕｃｅＲｏｔ２（図４）では、ベクトルｖを再利用のために、前処理としてベクトルｖの複製（ｖ’及びｖ’’）が必要となっていた。Ｇａｕｓｓ Ｓｉｅｖｅアルゴリズムでは、最短ベクトルが見付かるまで、これらの縮約関数が繰り返し呼び出されるため、多数の複製処理により計算時間が増大していた。
これに対して、縮約関数ＲｅｄｕｃｅＲｏｔＷｉｓｅでは、ベクトルｖの複製処理を、ローテーション又は逆ローテーションにより代替することで計算時間が削減される。具体的には、従来（非特許文献３）の手法と比較して、実験的に約１．５倍の高速化が実現された。
【0050】
イデアル格子Ｌ（Ｂ）に属する２つの初期ベクトルｕ，ｖに加えて、縮約の試行回数、すなわちローテーション数ｋが入力として与えられる。
なお、ローテーション数ｋは、ｍ及びｔに応じて適宜定められる。
具体的には、ローテーション操作によってベクトルのノルムが確率的に大きくなることが知られており、項数ｔが大きくなるほど、その確率が大きくなる。そこで、例えば、ｔ＝２のときｋ＝ｍ／２、ｔ＝３のときｋ＝１３、ｔ＝５のときｋ＝６、ｔ＝７のときｋ＝３のように、実験等により適切な回数が設定される。
なお、ローテーション数ｋは、ｍ及びｔに応じて適宜定められる。
具体的には、ローテーション操作によってベクトルのノルムが確率的に大きくなることが知られており、項数ｔが大きくなるほど、その確率が大きくなる。そこで、例えば、ｔ＝２のときｋ＝ｍ／２、ｔ＝３のときｋ＝１３、ｔ＝５のときｋ＝６、ｔ＝７のときｋ＝３のように、実験等により適切な回数が設定される。
【0051】
ステップ１～３において、まず、ベクトルｕ及びベクトルｖに基づく縮約が試行され、ベクトルｕが更新される。続いて、更新後のベクトルｕ、及びローテーション操作によって更新されたベクトルｖに基づく縮約がｋ回試行され、ベクトルｕが更新される。
【0052】
ここまでの処理により更新されたベクトルｖを初期化するためには、ローテーション又は逆ローテーションのいずれか、必要な回数の少ない方が用いられてよいが、ローテーションの周期分だけ繰り返される必要がある。
ここで、円分多項式の定義から得られる帰納的関係式Φｍ（ｘ）＝（ｘｍ－１）／（Πｄ｜ｍ，ｄ≠ｍΦｄ（ｘ））より、ｘｍ＝Φｍ（ｘ）Πｄ｜ｍ，ｄ≠ｍΦｄ（ｘ）＋１である。よって、ｘｍ≡１ ｍｏｄ Φｍ（ｘ）となり、ｒｏｔｍ（ｖ）＝ｘｍｖ（ｘ）≡ｖ（ｘ） ｍｏｄ Φｍ（ｘ）＝ｖである。
したがって、円分多項式Φｍ（ｘ）に対して、ローテーションの周期はｍである。なお、ｍが偶数の場合、周期ｍの代わりにｍ／２を使用できる。
ここで、円分多項式の定義から得られる帰納的関係式Φｍ（ｘ）＝（ｘｍ－１）／（Πｄ｜ｍ，ｄ≠ｍΦｄ（ｘ））より、ｘｍ＝Φｍ（ｘ）Πｄ｜ｍ，ｄ≠ｍΦｄ（ｘ）＋１である。よって、ｘｍ≡１ ｍｏｄ Φｍ（ｘ）となり、ｒｏｔｍ（ｖ）＝ｘｍｖ（ｘ）≡ｖ（ｘ） ｍｏｄ Φｍ（ｘ）＝ｖである。
したがって、円分多項式Φｍ（ｘ）に対して、ローテーションの周期はｍである。なお、ｍが偶数の場合、周期ｍの代わりにｍ／２を使用できる。
【0053】
ステップ４において、初期化部１３は、ローテーション数ｋと、周期までの残り回数ｍ－ｋとを比較する。ｋ≧ｍ－ｋの場合、ステップ５が実行され、ｋ＜ｍ－ｋの場合、ステップ７～１１が実行される。
【0054】
ステップ５において、初期化部１３は、順方向のローテーションをさらにｍ－ｋ回繰り返すことにより、ベクトルｖを初期化する。
ステップ７において、初期化部１３は、ｋ回のローテーションによって更新されたベクトルｖを、同じ回数だけ逆ローテーションすることで初期化する。
ステップ７において、初期化部１３は、ｋ回のローテーションによって更新されたベクトルｖを、同じ回数だけ逆ローテーションすることで初期化する。
【0055】
ステップ８～１０において、求解部１２は、逆方向の逆ローテーションによってもベクトルｖを更新しつつ縮約を試みる。
これにより、求解部１２は、ローテーション又は逆ローテーションによってベクトルｖのノルムが増大するのを抑制し、縮約の成功率を向上させている。
ステップＳ１１において、初期化部１３は、ｋ回の逆ローテーションによって更新されたベクトルｖを、同じ回数だけローテーションすることで初期化する。
これにより、求解部１２は、ローテーション又は逆ローテーションによってベクトルｖのノルムが増大するのを抑制し、縮約の成功率を向上させている。
ステップＳ１１において、初期化部１３は、ｋ回の逆ローテーションによって更新されたベクトルｖを、同じ回数だけローテーションすることで初期化する。
【0056】
ステップ１２において、求解部１２は、ｋ＋１回又は２ｋ＋１回の縮約の試行により短くなったベクトルｕを出力する。
【0057】
ここで、ｔ－ｎｏｍｉａｌ格子のローテーション及び逆ローテーションの操作は、それぞれＯ（ｔ）の計算量で実行される。このことは、次のように証明される。
前述のローテーション及び逆ローテーションの式から、更新されるベクトルの位置はｔ箇所あることがわかる。このうち、ベクトルの先頭と末尾に対しては、削除及び挿入の操作がそれぞれ計算量Ｏ（１）で行われる。また、これ以外のｔ－２箇所では、差又は和の計算がそれぞれ計算量Ｏ（１）で行われる。よって、ローテーション及び逆ローテーションの計算量は、それぞれ合計でＯ（ｔ）である。
前述のローテーション及び逆ローテーションの式から、更新されるベクトルの位置はｔ箇所あることがわかる。このうち、ベクトルの先頭と末尾に対しては、削除及び挿入の操作がそれぞれ計算量Ｏ（１）で行われる。また、これ以外のｔ－２箇所では、差又は和の計算がそれぞれ計算量Ｏ（１）で行われる。よって、ローテーション及び逆ローテーションの計算量は、それぞれ合計でＯ（ｔ）である。
【0058】
関数ＲｅｄｕｃｅＲｏｔＷｉｓｅは、ベクトルｒｏｔｋ（ｖ）をｖに戻す処理にＯ（ｍｉｎ（ｋ，ｍ－ｋ）ｔ）の計算量が必要となる。前述のように、ｍｉｎ（ｋ，ｍ－ｋ）の値は十分に小さくなることが言えるため、実用上は、ベクトルの複製に掛かる計算量Ｏ（ｎ）よりＯ（ｍｉｎ（ｋ，ｍ－ｋ）ｔ）の方が小さく、高速化される。
【0059】
本実施形態によれば、安全性評価装置１は、安全性の評価対象である格子暗号におけるイデアル格子の次元ｎに対して、条件１～３のいずれかを満たす奇素数及び円分多項式の添字ｍを選択し、円分多項式の項数ｔとの関係から導出されるベクトルｖのローテーション操作を用いて、所定回のベクトル生成及び縮約を繰り返す。
これにより、安全性評価装置１は、これまではＳＶＰの求解を高速化できる次元が限定的であったイデアル格子に対して、より一般的な次元でも高速化を可能とした。例えば、これまでイデアル格子の適用がされていなかったｎ＝８０次元に対して、Ｇａｕｓｓ Ｓｉｅｖｅと比較して約１０倍の高速化が達成された。
この結果、安全性評価装置１は、ＮＴＲＵといったイデアル格子を用いた次世代公開鍵暗号に対して、より厳密な安全性評価を行うことができ、次元等の適切な設計に寄与できる。
これにより、安全性評価装置１は、これまではＳＶＰの求解を高速化できる次元が限定的であったイデアル格子に対して、より一般的な次元でも高速化を可能とした。例えば、これまでイデアル格子の適用がされていなかったｎ＝８０次元に対して、Ｇａｕｓｓ Ｓｉｅｖｅと比較して約１０倍の高速化が達成された。
この結果、安全性評価装置１は、ＮＴＲＵといったイデアル格子を用いた次世代公開鍵暗号に対して、より厳密な安全性評価を行うことができ、次元等の適切な設計に寄与できる。
【0060】
また、安全性評価装置１は、縮約の処理に伴って更新されるベクトルｖを、ローテーション又は逆ローテーションの操作を周期となるまで繰り返すことにより初期化する。
これにより、安全性評価装置１は、ベクトルｖの複製に伴う処理時間を削減し、ＳＶＰの求解アルゴリズムを、さらに高速化できた。例えば、ｎ＝６４次元では、Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間７４３２秒、Ｉｄｅａｌ Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間１７７秒に対して、本実施形態のアルゴリズム（図６）では１２２秒であった。また、ｎ＝８０次元では、Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間９０４８６０秒、Ｉｄｅａｌ Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間９８５８１秒に対して、本実施形態のアルゴリズム（図６）では８７４７３秒であった。
この結果、安全性評価装置１は、次世代公開鍵暗号に対して、より厳密な安全性評価を行うことができ、次元等の適切な設計に寄与できる。
これにより、安全性評価装置１は、ベクトルｖの複製に伴う処理時間を削減し、ＳＶＰの求解アルゴリズムを、さらに高速化できた。例えば、ｎ＝６４次元では、Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間７４３２秒、Ｉｄｅａｌ Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間１７７秒に対して、本実施形態のアルゴリズム（図６）では１２２秒であった。また、ｎ＝８０次元では、Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間９０４８６０秒、Ｉｄｅａｌ Ｇａｕｓｓ Ｓｉｅｖｅによる求解時間９８５８１秒に対して、本実施形態のアルゴリズム（図６）では８７４７３秒であった。
この結果、安全性評価装置１は、次世代公開鍵暗号に対して、より厳密な安全性評価を行うことができ、次元等の適切な設計に寄与できる。
【0061】
安全性評価装置１は、ベクトルの初期化に掛かるローテーションの回数と、逆ローテーションの回数とを比較し、少ない回数の操作によりベクトルｖを初期化してもよい。
これにより、安全性評価装置１は、より適切な手順によりＳＶＰの求解アルゴリズムを実行し、処理を高速化できる。
これにより、安全性評価装置１は、より適切な手順によりＳＶＰの求解アルゴリズムを実行し、処理を高速化できる。
【0062】
以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。
【0063】
安全性評価装置１による安全性評価方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ－ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。
【符号の説明】
【0064】
１ 安全性評価装置
１０ 制御部
１１ 選択部
１２ 求解部
１３ 初期化部
２０ 記憶部
１０ 制御部
１１ 選択部
１２ 求解部
１３ 初期化部
２０ 記憶部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】