特許 7511919 暗号鍵を決定する方法、コンピュータプログラム、及びデータ処理システム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-06-28

(45)【発行日】2024-07-08

(54)【発明の名称】暗号鍵を決定する方法、コンピュータプログラム、及びデータ処理システム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240701BHJP

   G06N 99/00 20190101ALI20240701BHJP

【ＦＩ】

G09C1/00 610B

G06N99/00 180

【請求項の数】 16

【外国語出願】

(21)【出願番号】P 2022107794

(22)【出願日】2022-07-04

(65)【公開番号】P2023009013

(43)【公開日】2023-01-19

【審査請求日】2022-10-04

(31)【優先権主張番号】21183810

(32)【優先日】2021-07-05

(33)【優先権主張国・地域又は機関】EP

(73)【特許権者】

【識別番号】521124319

【氏名又は名称】テラ クアンタム アーゲー

【氏名又は名称原語表記】ＴＥＲＲＡ ＱＵＡＮＴＵＭ ＡＧ

(74)【代理人】

【識別番号】100109210

【弁理士】

【氏名又は名称】新居 広守

(72)【発明者】

【氏名】ヴォロシノフ・ヴラジーミル

(72)【発明者】

【氏名】レソヴィク・ゴルデイ

(72)【発明者】

【氏名】パホムチク・アレクセイ

【審査官】金沢 史明

(56)【参考文献】

【文献】特開２０２０－１１９５４８（ＪＰ，Ａ）

【文献】特表２０１７－５１５１９５（ＪＰ，Ａ）

【文献】特開２０１９－０４１１６６（ＪＰ，Ａ）

【文献】米国特許出願公開第２０２０／０３９４５４７（ＵＳ，Ａ１）

【文献】米国特許出願公開第２０２０／００２７０２９（ＵＳ，Ａ１）

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｈ０４Ｌ ９／００－ ９／４０

Ｇ０９Ｃ １／００

Ｇ０６Ｎ １０／００

Ｇ０６Ｎ ９９／００

(57)【特許請求の範囲】

【請求項1】

暗号鍵を決定する方法であって、前記方法はデータ処理システム（２０）で実行され、前記方法は、
平文と、暗号鍵及び暗号演算を含む暗号化処理手順を用いて前記平文から求められた暗号文とを提供するステップと、
前記暗号演算に含まれる論理式に基づいて、前記暗号化処理手順中の前記暗号演算ごとに、中間方程式及び／又は中間不等式を含む少なくとも１つの中間関係式を求めるステップと、
前記少なくとも１つの中間関係式の集合に基づいて、前記平文及び前記暗号文と、前記暗号化処理手順の１つのラウンドに割り当てられた少なくとも１つの最適化式と、前記暗号化処理手順の状態変数及び暗号鍵変数を含む最適化変数とを含む最適化問題を特定するステップであって、前記少なくとも１つの最適化式は、前記少なくとも１つの中間関係式から求められ、且つ、前記少なくとも１つの最適化式は、先行するラウンドに対して割り当てられた少なくとも１つの先行状態変数を含む、ステップと、
前記最適化問題を解き、前記暗号鍵変数の最適化値から前記暗号鍵を決定するステップと、を含む、
暗号鍵を決定する方法。

【請求項2】

前記暗号化処理手順が、２値変数のブール関数によって記述されており、かつ／又はＡＥＳ、ＩＤＥＡ、Ｓａｌｓａ ２０、ＤＥＳ、３－ＤＥＳ、又はＡＲＸの処理手順のうちの１つである、請求項１に記載の方法。

【請求項3】

前記暗号演算がＡＥＳ演算を含み、好ましくはＡｄｄＲｏｕｎｄＫｅｙ、ＳｕｂＢｙｔｅｓ、ＳｈｉｆｔＲｏｗｓ、ＭｉｘＣｏｌｕｍｎｓ、又はＫｅｙＥｘｐａｎｓｉｏｎのうちの少なくとも１つを含む、請求項１に記載の方法。

【請求項4】

前記暗号演算のうちの少なくとも１つの基本演算を特定するステップと、
前記基本演算から、基本方程式及び／又は基本不等式を含む基本関係式を求めるステップと、
前記基本関係式から、少なくとも１つの中間関係式を求めるステップと、をさらに含み、
好ましくは、前記基本演算が、ＮＯＴ（否定）、ＡＮＤ（論理積）、ＯＲ（論理和）、又はＸＯＲ（排他的論理和）のうちの少なくとも１つである、
請求項１に記載の方法。

【請求項5】

少なくとも１つの前記基本関係式が、基本最適化問題を解くことによって求められ、好ましくは制約のない二次問題を解くことによって求められる、請求項４に記載の方法。

【請求項6】

前記少なくとも１つの中間関係式が、中間最適化問題を解くことによって提供され、かつ／又は２つ以上の基本演算を伴うブール関数に対応している、請求項１に記載の方法。

【請求項7】

前記少なくとも１つの中間関係式が、前記暗号演算のうちの１つにおける凸多面体のＨ表現を求めることによって提供される、請求項１に記載の方法。

【請求項8】

有限体に作用する前記暗号演算のうちの１つにおいて、低次の別の有限体に作用する更なる演算を特定することによって、前記少なくとも１つの中間関係式が提供される、請求項１に記載の方法。

【請求項9】

前記最適化問題が、混合整数線形計画問題、混合整数非線形計画問題、又は二次制約なし２値最適化問題である、請求項１に記載の方法。

【請求項10】

前記最適化式が最適化制約式である、請求項１に記載の方法。

【請求項11】

前記最適化式が前記最適化問題の目的関数に含まれている、請求項１に記載の方法。

【請求項12】

前記平文が第１の平文及び第２の平文を含み、前記暗号文が第１の暗号文及び第２の暗号文を含み、前記第１の暗号文が、前記暗号鍵及び前記暗号化処理手順を用いて前記第１の平文から求められており、前記第２の暗号文が、前記暗号鍵及び前記暗号化処理手順を用いて前記第２の平文から求められている、請求項１に記載の方法。

【請求項13】

前記最適化問題が、前記データ処理システム（２０）の量子処理装置（２２）で少なくとも部分的に解かれ、好ましくは量子アニーリング装置で少なくとも部分的に解かれる、請求項１に記載の方法。

【請求項14】

前記最適化変数が、量子状態の重ね合わせに割り当てられる、請求項１３に記載の方法。

【請求項15】

データ処理システム（２０）で実行されると、請求項１から１４のいずれか一項に記載の方法のステップを前記データ処理システム（２０）に実行させる命令を含む、コンピュータプログラム。

【請求項16】

平文と、暗号鍵及び暗号演算を含む暗号化処理手順を用いて前記平文から求められた暗号文とを提供するステップと、
前記暗号演算に含まれる論理式に基づいて、前記暗号化処理手順中の前記暗号演算ごとに、中間方程式及び／又は中間不等式を含む少なくとも１つの中間関係式を求めるステップと、
前記少なくとも１つの中間関係式の集合に基づいて、前記平文及び前記暗号文と、前記暗号化処理手順の１つのラウンドに割り当てられた少なくとも１つの最適化式と、前記暗号化処理手順の状態変数及び暗号鍵変数とを含む最適化変数を含む最適化問題を特定するステップであって、前記少なくとも１つの最適化式は、前記少なくとも１つの中間関係式から求められ、且つ、前記少なくとも１つの最適化式は、先行するラウンドに対して割り当てられた少なくとも１つの先行状態変数を含む、ステップと、
前記最適化問題を解き、前記暗号鍵変数の最適化値から前記暗号鍵を決定するステップと、
を実行することにより、前記暗号鍵を決定するように構成された、データ処理システム（２０）。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、具体的には量子アニーリング装置などの量子コンピュータ上で暗号鍵を決定する手法に関する。

【背景技術】

【0002】

対称鍵暗号化アルゴリズムでは、入力データ（平文）を暗号化データ（暗号文）に暗号化することと、暗号文を復号して平文に戻すこととの両方に同じ暗号鍵が使用されている。代表的な対称鍵アルゴリズムは、高度暗号化標準（Ａｄｖａｎｃｅｄ Ｅｎｃｒｙｐｔｉｏｎ Ｓｔａｎｄａｒｄ：ＡＥＳ）である。通常、暗号文と平文との両方が既知であっても、平文から暗号文を作成するために使用される暗号鍵を決定することは、コンピュータ的に困難な課題である。

【発明の概要】

【発明が解決しようとする課題】

【0003】

本開示の目的は、効率的かつ省リソースな方法で暗号鍵を決定する方法を提供することである。

【課題を解決するための手段】

【0004】

この課題を解決するために、独立請求項１に記載の暗号鍵を決定する方法が提供される。さらに、独立請求項１４及び１５にそれぞれ記載の、コンピュータプログラムとデータ処理システムとが提供される。更なる実施形態が従属請求項に開示されている。

【0005】

一態様によれば、データ処理システムで実行される、暗号鍵を決定する方法が提供される。本方法は、平文と、暗号鍵及び暗号演算を含む暗号化処理手順を用いて平文から求められた暗号文とを提供するステップと、暗号化処理手順中の暗号演算ごとに、中間方程式及び／又は中間不等式を含む少なくとも１つの中間関係式を提供するステップと、当該平文及び当該暗号文、暗号化処理手順の１つのラウンドに割り当てられた少なくとも１つの最適化式、並びに当該暗号化処理手順の状態変数及び暗号鍵変数を含む最適化変数を含む最適化問題を特定するステップであって、当該少なくとも１つの最適化式は、当該少なくとも１つの中間関係式から求められ、先行するラウンドに対して割り当てられた少なくとも１つの先行状態変数を含む、ステップと、を含む。本方法は、最適化問題を解き、次いで暗号鍵変数の最適化値から暗号鍵を決定するステップをさらに含む。

【0006】

別の態様によれば、コンピュータプログラム及び／又はコンピュータプログラム製品が提供され、これらは、当該コンピュータプログラム及び／又はコンピュータプログラム製品がデータ処理システムで実行されると、暗号鍵を決定する方法のステップを当該データ処理システムに実行させる命令を含む。

【0007】

更なる一態様によれば、平文と、暗号鍵及び暗号演算を含む暗号化処理手順を用いて平文から求められた暗号文とを提供するステップと、暗号化処理手順中の暗号演算ごとに、中間方程式及び／又は中間不等式を含む少なくとも１つの中間関係式を提供するステップと、当該平文及び当該暗号文、そして暗号化処理手順の１つのラウンドに割り当てられた少なくとも１つの最適化式、並びに当該暗号化処理手順の状態変数及び暗号鍵変数を含む最適化変数を含む最適化問題を特定するステップであって、当該少なくとも１つの最適化式は、当該少なくとも１つの中間関係式から求められ、先行するラウンドに対して割り当てられた少なくとも１つの先行状態変数を含む、ステップと、最適化問題を解き、次いで暗号鍵変数の最適化値から暗号鍵を決定するステップと、を実行することにより、暗号鍵を決定するように構成されたデータ処理システムが提供される。

【0008】

提案されている方法により、２値変数のブール関数、とりわけＤＥＳベース、３ＤＥＳベース、ＡＥＳ－^＊ベース、及びＡＲＸベースの暗号などの対称暗号化アルゴリズムによって記述される複数の最先端の暗号化アルゴリズムの暗号強度を検査かつ／又は検証することができる。さらに、平文と暗号文とのペアに基づいて対称暗号方式の秘密鍵を求める問題は、適切な混合整数線形計画（ｍｉｘｅｄ－ｉｎｔｅｇｅｒ ｌｉｎｅａｒ ｐｒｏｇｒａｍｍｉｎｇ：ＭＩＬＰ）問題又は二次制約なし２値最適化（ｑｕａｄｒａｔｉｃ ｕｎｃｏｎｓｔｒａｉｎｅｄ ｂｉｎａｒｙ ｏｐｔｉｍｉｚａｔｉｏｎ：ＱＵＢＯ）問題に変換され得る。そのようなＱＵＢＯ問題は、原理上、大幅な計算速度向上を伴う量子アニーリング装置を使用することで、解かれる可能性がある。線形方程式（同じ変数と２値補助変数とを用いる）又は線形不等式系（２値補助変数を用いず、同じ２値変数を用いる）のいずれかとしての、２値変数の任意のブール関数表現は、線形制約式が自動生成されるサブシステムとして、広範囲の離散最適化システムに適用され得る。

【0009】

当該暗号化処理手順は、２値変数のブール関数によって記述され得る。当該暗号化処理手順は、ＡＥＳの処理手順、ＩＤＥＡの処理手順、Ｓａｌｓａ２０の処理手順、ＤＥＳの処理手順、３－ＤＥＳの処理手順、又はＡＲＸ（ＡＮＤ－ＲＯＴＡＴＥ－ＸＯＲ）の処理手順のうちの１つであってもよい。

【0010】

具体的には、当該暗号化処理手順は、ＡＥＳ－１２８、ＡＥＳ－１９２、又はＡＥＳ－２５６のうちの１つであってもよい。当該暗号化処理手順は、ＡＮＤ（論理積）、ＯＲ（論理和）、ＸＯＲ（排他的論理和）、ＮＯＲ（否定論理和）、及びＮＡＮＤ（否定論理積）からなる基本演算に分解可能であり得る、暗号演算を含んでもよい。ＡＲＸの処理手順は、ＡＮＤ演算、ＲＯＴＡＴＥ演算、及びＸＯＲ演算のみを含み得る。通常、提供されている本方法では分解する必要がないため、２値変数の任意のブール関数を使用する暗号化処理手順に適用されてもよい。

【0011】

当該暗号演算がＡＥＳ演算を含んでもよく、好ましくはＡｄｄＲｏｕｎｄＫｅｙ、ＳｕｂＢｙｔｅｓ、ＳｈｉｆｔＲｏｗｓ、ＭｉｘＣｏｌｕｍｎｓ、又はＫｅｙＥｘｐａｎｓｉｏｎのうちの少なくとも１つを含んでもよい。具体的には、当該暗号演算の各々は、ＡｄｄＲｏｕｎｄＫｅｙ、ＳｕｂＢｙｔｅｓ、ＳｈｉｆｔＲｏｗｓ、ＭｉｘＣｏｌｕｍｎｓ、又はＫｅｙＥｘｐａｎｓｉｏｎのうちの少なくとも１つであってもよい。

【0012】

当該暗号演算が、有限体の逆元演算、又は有限体の、好ましくはＧＦ（２^８）における１よりも大きい整数（例えば、２又は３などである）の乗算などの部分演算を含んでもよい。

【0013】

本方法は、暗号演算のうちの少なくとも１つの基本演算を特定するステップと、当該基本演算から、基本方程式及び／又は基本不等式を含む基本関係式を求めるステップと、当該基本関係式から、少なくとも１つの中間関係式を求めるステップと、をさらに含む。好ましくは、当該基本演算が、ＮＯＴ（否定）、ＡＮＤ（論理積）、ＯＲ（論理和）、又はＸＯＲ（排他的論理和）のうちの少なくとも１つである。通常、当該基本演算は、１つ又は２つの２値変数に作用するブール関数であってもよい。当該基本関係式及び／又は基本関係式系は、１つ又は２つの２値変数に作用するブール関数に対応してもよい。

【0014】

複数の基本演算が特定されてもよい。複数の基本演算の各々から、複数の基本関係式における対応する基本関係式が求められてもよい。複数の基本関係式から、複数の中間関係式が求められてもよい。

【0015】

少なくとも１つの基本関係式が、基本最適化問題を解くことによって求められてもよく、好ましくは制約のない二次問題を解くことによって求められてもよい。制約のない二次問題は、量子アニーリング装置で解かれるように適合されてもよい。

【0016】

具体的には、基本関係式の各々が、それぞれの基本最適化問題を解くことによって求められてもよく、好ましくはそれぞれの制約付き二次問題を解くことによって求められてもよい。

【0017】

基本関係式のうちの少なくとも１つは、双線形方程式及び／又は線形方程式を含んでもよく、当該方程式が、好ましくは連続変数、２値変数、又は整数変数のうちの少なくとも１つを含んでもよい。

【0018】

具体的には、基本関係式のうちの少なくとも１つは、形

【数1】

を有してもよく、式中、２値変数及び／又は整数変数は

【数2】

を含み、連続変数は

【数3】

を含み、式中ｑは基本演算のうちの１つである。基本最適化問題を解くことによって、連続変数及び／又は２値変数のうちの少なくとも１つが求められてもよい。具体的には、変数

【数4】

は、基本最適化問題を解くことによって求められてもよい。基本最適化問題は、形（ｃ_１－１）^２の基本目的関数を含んでもよく、式中ｃ_１が、好ましくは変数

【数5】

の第１の成分であってもよい。基本最適化問題は、

【数6】

のうちの少なくとも１つを含む補助制約式を含んでもよい。

【0019】

少なくとも１つの中間関係式（具体的には１つの中間方程式である）は、中間最適化問題を解くことによって提供されてもよい。付加的に又は代替的に、少なくとも１つの中間関係式は、２つ以上の基本演算を伴うブール関数に対応してもよい。さらに、少なくとも１つの中間関係式系は、２つ以上の基本演算を伴うブール関数に対応してもよい。

【0020】

少なくとも１つの中間関係式はまた、１つの基本演算に対応してもよい。

【0021】

中間最適化問題が、好ましくは制約付き二次問題であってもよい。

【0022】

少なくとも１つの中間関係式は、置換関数を含んでもよい。各中間方程式は、２値変数及び／又は連続変数を含んでもよい。各中間不等式も同様に、２値変数及び／又は連続変数を含んでもよい。

【0023】

少なくとも１つの中間関係式は、暗号演算のうちの１つにおける凸多面体のＨ表現を求めることによって提供されてもよい。具体的には、暗号演算のうちの１つにおいて、凸多面体のＨ表現を求めることによって、中間不等式系が提供されてもよい。

【0024】

中間不等式の系は、既約になるように求められてもよい。

【0025】

凸多面体は、それぞれの暗号演算のブール関数から求められてもよい。凸多面体は、その頂点（Ｖ表現）又はそのファセット（Ｈ表現）によって記述可能であってもよい。当該Ｈ表現は、多面体の演算処理コードによって求められてもよく、とりわけＣＤＤ又はＬＲＳによって求められてもよい。

【0026】

少なくとも１つの中間関係式はまた、それぞれの暗号演算のブール関数における連言標準形又は選言標準形を求めることによって提供されてもよい。次いで、中間関係式が、好ましくは、連言標準形又は選言標準形の項に対応する基本関係式から求められてもよい。

【0027】

有限体に作用する暗号演算のうちの１つにおいて、低次の別の有限体に作用する更なる演算を特定することによって、少なくとも１つの中間関係式が提供されてもよい。さらに、有限体に作用する暗号演算のうちの部分演算において、低次の別の有限体に作用する更なる部分演算及び／又は基本演算を特定することによって、少なくとも１つの中間関係式が提供されてもよい。

【0028】

具体的には、暗号演算及び／又は部分演算がＧＦ（２^８）に作用する場合、更なる演算、部分演算及び／又は基本演算がＧＦ（２^４）に作用してもよい。暗号演算及び／又は部分演算がＧＦ（２^４）に作用する場合、更なる演算、部分演算及び／又は基本演算がＧＦ（２^２）に作用してもよい。暗号演算及び／又は部分演算がＧＦ（２^２）に作用する場合、更なる演算、部分演算及び／又は基本演算がＧＦ（２）に作用してもよい。

【0029】

当該最適化問題は、混合整数線形計画問題、混合整数非線形計画問題、又は二次制約なし２値最適化問題であってもよい。当該最適化問題はまた、制約付き整数計画問題であってもよい。

【0030】

最適化中、最適化変数における最適化値の集合を最適化したものが探索空間内で探索される。当該最適化問題は、離散探索空間を含んでもよい。当該最適化集合は、最適化問題の最小値に対応してもよく、好ましくは大域的最小値に対応してもよい。

【0031】

当該最適化式は最適化制約式であってもよいし、又は当該最適化問題の目的関数に含まれてもよい。

【0032】

当該最適化制約式は方程式又は不等式であってもよく、具体的には中間方程式又は中間不等式のうちの１つであってもよい。当該最適化制約式はまた、並べ替えられた中間方程式又は中間不等式であってもよい。複数の最適化式又は複数の最適化制約式はまた、中間方程式の線形系又は中間不等式系を減少させることによって求められてもよい。

【0033】

当該最適化問題の目的関数は、二乗最適化式の和からなっていてもよい。

【0034】

当該平文は第１の平文及び第２の平文を含んでもよく、当該暗号文は第１の暗号文及び第２の暗号文を含んでもよい。第１の暗号文は、暗号鍵及び暗号化処理手順を用いて第１の平文から求められていてもよく、第２の暗号文は、（同じ）暗号鍵及び暗号化処理手順を用いて第２の平文から求められていてもよい。

【0035】

例えば、当該暗号鍵は１９２ビット長又は２５６ビット長を有してもよく、また、第１及び第２の平文はそれぞれ、１２８ビット長を有してもよい。

【0036】

第１の平文及び第１の暗号文において、第１の複数の中間関係式が求められてもよい。さらに、第２の平文及び第２の暗号文において、複数の第２の中間関係式が求められてもよい。当該最適化問題は、第１の中間関係式及び複数の第２の中間関係式の両方から特定されてもよい。

【0037】

当該最適化問題は、データ処理システムの量子処理装置で少なくとも部分的に解かれてもよく、好ましくは量子アニーリング装置で少なくとも部分的に解かれてもよい。

【0038】

例えば、量子アニーリング装置は、Ｄ－Ｗａｖｅのアニーリング装置を備えてもよい。

【0039】

当該最適化問題はまた、汎用量子コンピュータ上で少なくとも部分的に解かれてもよい。これを目的として、量子近似最適化アルゴリズムを使用して最適化問題が解かれてもよい。

【0040】

あるいは、当該最適化問題は、データ処理システムのうちの１つ又は複数の古典処理装置でのみ解かれてもよい。古典処理装置はそれぞれ、プロセッサ及びメモリを備えてもよい。

【0041】

基本関係式を求めるステップ、中間関係式を求めるステップ、最適化問題を特定するステップ、及び／又は暗号鍵変数の最適化値から暗号鍵を決定するステップは、１つ又は複数の古典データ処理装置で実行されてもよく、具体的には１つ又は複数の対応するプロセッサによって実行されてもよい。

【0042】

当該データ処理システムは、量子処理装置を備えてもよく、具体的には量子アニーリング装置を備えてもよい。あるいは、量子処理装置は当該データ処理システムから分離されてもよい。

【0043】

最適化制約式のうちの少なくとも１つ、好ましくはすべての最適化制約式が、量子処理装置に転送されてもよく、好ましくは１つ又は複数の古典処理装置から転送されてもよく、具体的には１つ又は複数の古典処理装置の１つ又は複数のメモリから転送されてもよい。最適化制約式を転送するステップは、最適化中に固定値を転送するステップを含んでもよい。

【0044】

当該最適化変数は、量子状態の重ね合わせに割り当てられてもよい。

【0045】

具体的には、当該最適化変数の各有効値の割り当てが、好ましくは量子処理装置内で生成される量子状態のうちの１つに対応してもよい。初期時刻において、重ね合わせの量子状態の各々は等しい重みを有してもよい。

【0046】

当該重ね合わせは、制約式から求められた規定に従って、量子処理装置によって時間発展してもよい。当該規定は、例えばハミルトニアンによって記述されてもよい。

【0047】

当該暗号鍵変数の最適化値は、最終時刻における重ね合わせから求められてもよい。最終時刻において、最適化集合に対応する量子状態の最適化量子状態は、重ね合わせの量子状態の最大重みを有してもよい。最適化量子状態は、例えばハミルトニアンの基底状態に対応してもよい。

【0048】

当該暗号鍵変数の最適化値は、最適化量子状態を特定することによって求められてもよい。当該最適化値は、１つ又は複数の古典データ処理装置に転送されてもよい。これにより、当該暗号鍵が１つ又は複数の古典データ処理装置で提供されてもよく、具体的には、１つ又は複数の古典処理装置の１つ又は複数のメモリで提供されてもよい。

【0049】

暗号鍵を決定する方法に関する前述の実施形態は、暗号鍵を決定するように構成されたデータ処理システムに対応して提供されてもよい。

【図面の簡単な説明】

【0050】

以下では、例示として、図面を参照しながらいくつかの実施形態について説明する。

【図1】暗号鍵を決定する方法を図で表したものである。

【図2】データ処理システムを図で表したものである。

【図3】ＡｄｄＲｏｕｎｄＫｅｙ演算を図で表したものある。

【図4】ＳｕｂＢｙｔｅｓ演算を図で表したものある。

【図5】ＭｉｘＣｏｌｕｍｎｓ演算を図で表したものある。

【図6】ＫｅｙＥｘｐａｎｓｉｏｎ演算を図で表したものある。

【0051】

図１には、暗号鍵を決定する（コンピュータ実装された）方法が図で表されている。第１のステップ１１では、平文と、暗号化処理手順を用いて当該平文を暗号化することによって得られる暗号文とが提供される。

【0052】

第２のステップ１２では、暗号化処理手順中の暗号演算ごとに、少なくとも１つの中間関係式が提供される。暗号化処理手順がＡＥＳである場合、当該暗号演算はＡｄｄＲｏｕｎｄＫｅｙ、ＳｕｂＢｙｔｅｓ、Ｓｈｉｆｔｏｗｓ、ＭｉｘＣｏｌｕｍｎｓ、及びＫｅｙＥｘｐａｎｓｉｏｎである。各中間関係式を中間方程式とすることができ、あるいは中間不等式とすることができる。当該中間方程式は、基本最適化問題を解くことによって求められ得る。

【0053】

第３のステップ１３では、中間関係式を提供した後、具体的には中間関係式を求めた後、混合整数線形計画問題（ＭＩＬＰ）又は二次制約なし２値最適化（ＱＵＢＯ）問題などの最適化問題が特定される。

【0054】

当該最適化問題は、中間関係式から成立しており、暗号化処理手順の各ラウンドに割り当てられた複数の最適化式を含む。当該最適化式を、具体的にはＭＩＬＰの最適化制約式とすることができる。あるいは、当該最適化式は最適化問題の目的関数の第１項に含まれており、具体的にはＱＵＢＯ問題の目的関数の第１項に含まれている。

【0055】

当該最適化問題は、暗号化処理手順の状態変数をさらに含む。あるラウンドに割り当てられた複数の最適化式はそれぞれ、先行するラウンドに割り当てられた少なくとも１つの状態変数を含む。

【0056】

最適化問題を特定した後、当該最適化問題が解かれ、次いで当該最適化問題の最適化変数の集合を最適化したもの（オプティマイザ）から暗号鍵が決定され、具体的には、暗号鍵変数の最適化値から暗号鍵が決定される（第４のステップ１４）。

【0057】

図２は、データ処理システム２０を図で表したものである。データ処理システム２０は、少なくとも１つの古典処理装置２１を備える。さらに、データ処理システム２０は量子処理装置２２を備えてもよく、例えば量子アニーリング装置を備えてもよい。少なくとも１つの古典処理装置２１と量子処理装置２２との間で、データが交換されてもよい。

【0058】

具体的には、Ｄ－Ｗａｖｅの量子アニーリング装置を使用する場合、Ｄ－ＷａｖｅのＰｙｔｈｏｎ ＡＰＩがデータ交換に使用されてもよい。

【0059】

ステップ１１～ステップ１３が、古典処理装置２１内で実行されると好ましい。最適化問題を解く第４のステップ１４は、古典処理装置２１又は量子処理装置２２内で実行されてもよい。後者の場合、第４のステップ１４の実行が大幅に加速される。

【発明を実施するための形態】

【0060】

以下では、本方法のステップについて、とりわけＡＥＳを参照しながら詳細に説明する。

【0061】

ａ．ＡＥＳ構造
ＡＥＳでは、暗号鍵は、３つの異なるサイズ、即ち１２８ビット、１９２ビット、又は２５６ビットのうちの１つを有し得るが、入力が平文である場合は、１２８ビットの固定ブロックサイズを有する。より大きな入力データが暗号化される場合、当該入力データはそれぞれ１２８ビットのデータブロックに分割され、次いでブロック暗号操作モードを使用して、各データブロックに対してＡＥＳアルゴリズムが適用される。

【0062】

ＡＥＳは、暗号鍵のサイズに応じて、暗号演算が連続して実行される、異なるラウンド数又は反復回数を含み、即ち、それぞれ１２８ビット、１９２ビット、又は２５６ビットに対応する１０、１２、又は１４を含む。

【0063】

ＡＥＳは４×４データブロック又はデータ配列に作用する。ＡＥＳ方式では、これらのデータブロックは状態と呼ばれ、各々が合計１６個の状態エントリ（バイト）を含む。例えば、１２８ビット又は１６バイトの平文ｂであるｂ_０、ｂ_１、…、ｂ_１５は、二次元配列によって以下のように記述される。

【0064】

【数7】

【0065】

ＡＥＳは、以下の暗号演算を含む。

【0066】

Ｉ．ＫｅｙＥｘｐａｎｓｉｏｎ（鍵の拡張）－ラウンド鍵は、ＡＥＳの鍵スケジュールを使用して暗号鍵から導出される。ＡＥＳでは、ラウンドごとに別個の１２８ビットのラウンド鍵ブロックと、追加のラウンド鍵ブロックとを要する。

【0067】

ＩＩ．鍵の追加ラウンド：
ａ．ＡｄｄＲｏｕｎｄＫｅｙ（ラウンド鍵の追加）－各状態エントリは、ビット単位のＸＯＲを用いてラウンド鍵のバイトと組み合わされる。

【0068】

ＩＩＩ．後続ラウンド（９ラウンド、１１ラウンド、又は１３ラウンド）：
ａ．ＳｕｂＢｙｔｅｓ（バイト置換）－ルックアップテーブルに従って各バイトが別のバイトに置き換えられる、非線形置換手段である。
ｂ．ＳｈｉｆｔＲｏｗｓ（行シフト）－当該状態の最後の３行が、一定数の段階だけ周期的にシフトされる転置手段である。
ｃ．ＭｉｘＣｏｌｕｍｎｓ（列の混合）－各列の４つのバイトを結合する、当該状態の列に作用する線形混合演算である。
ｄ．ＡｄｄＲｏｕｎｄＫｅｙ

【0069】

ＩＶ．最終ラウンド：
ａ．ＳｕｂＢｙｔｅｓ
ｂ．ＳｈｉｆｔＲｏｗｓ
ｃ．ＡｄｄＲｏｕｎｄＫｅｙ

【0070】

最終状態は暗号文に対応する。

【0071】

本開示の文脈内で、ＫｅｙＥｘｐａｎｓｉｏｎ演算が第１のラウンドに含まれるものと理解され得る。

【0072】

ｂ．基本関係式の特定
当該暗号演算は、２値変数を用いたブール関数を含む。例えば、暗号演算ＳｕｂＢｙｔｅｓは、ＸＯＲ演算を連続的に適用するステップを含む。本方法では、ブール関数に基づいて、暗号演算ごとに中間関係式が求められる。当該中間関係式は、（中間）方程式（方程式表現）又は（中間）不等式（不等式表現）系に対応してもよい。

【0073】

暗号演算の各ブール関数は、ｘ∧ｙ、ｘ∨ｙ、又は

【数8】

（ＡＮＤ、ＯＲ、ＸＯＲ）などの基本演算にさらに分割され得る。各基本演算において、少なくとも１つの基本関係式が求められ得、即ち、基本方程式又は基本不等式が求められ得る。ここで成立した基本関係式から、中間関係式が求められ得る。以下では、後続の項での中間関係式を処理するステップの前に、基本関係式を求めるステップを例示する。

【0074】

基本演算に対応する線形方程式を求めるために、それぞれの（基本）最適化問題が解かれる。ベクトル

【数9】

は、

【数10】

の結合ベクトル

【数11】

として定義される。また、ｆは実行可能な構成の集合である。求められる基本方程式は、以下の形を有し、

【数12】

式中、

【数13】

は２項係数の補助ベクトルであり、ｂは連続係数であり、

【数14】

は連続係数のベクトルであり、

【数15】

は２値変数のベクトルである。ベクトルの転置が（・）^Ｔで記述されている。特に、式（２）は

【数16】

において線形である。

【0075】

当該線形系は、以下を満たす必要がある。

【0076】

【数17】

【0077】

ここで求められる係数は基本最適化問題によって特定されるが、当該係数は連続変数

【数18】

である。当該基本最適化問題は、ＭＩＬＰとして定式化され得、式（３）から以下のように求められる。まず、式（３）中の補助変数

【数19】

の数Ｎ_ａが選択される。原問題における変数の数がＮ_ｘで記述される。ＭＩＬＰは、補助制約式の集合と目的関数とからなる。実行可能な構成からの各ベクトルから、連続変数

【数20】

とＮ_ａ個の新たな２値変数

【数21】

を用いた補助制約式のうちの１つが以下のように得られる：

【数22】

【0078】

実行不可能な構成からの各ベクトル

【数23】

に対して、２^Ｎａ個の新たな補助制約式が以下のように追加される。

【0079】

【数24】

【0080】

結果として、｜ｆ｜＋２^Ｎａ｜ｆ^＊｜補助制約式（｜ｆ｜及び｜ｆ^＊｜がそれぞれ、実行可能な構成及び実行不可能な構成である）及びＮ_ｘ＋Ｎ_ａ＋１＋｜ｆ｜・Ｎ_ａ変数を用いたＭＩＬＰが成立する。そのような同次形ＭＩＬＰは、複数の解を有する（すべての係数に同じ数を乗算すると、解も得られる）。よって、

【数25】

の第１の係数ｃ_１が１に設定され、追加の補助制約式又は対応するペナルティ項ｃ_１＝１が得られる。

【0081】

次に、当該基本最適化問題は以下のように記載され、

【数26】

ただし、以下を条件とする。

【0082】

【数27】

【0083】

ここで、

【数28】

は実数値変数を含み、

【数29】

は２値変数を含む。

【0084】

一実施例として、基本演算ｚ＝ｘ∧ｙの基本方程式を求めるステップを以下に記載する。

【0085】

基本演算の実行可能な構成及び実行不可能な構成は、以下のようになる。

【0086】

ｘ ｙ ｚ
０ ０ ０ 実行可能
０ １ ０ 実行可能
１ ０ ０ 実行可能
１ １ １ 実行可能
０ ０ １ 実行不可能
０ １ １ 実行不可能
１ ０ １ 実行不可能
１ １ ０ 実行不可能

【0087】

式（４）はｃ_ｘｘ＋ｃ_ｙｙ＋ｃ_ｚｚ＋ｃ_ａａ＝ｂに単純化され、また係数ｃ_ｘ、ｃ_ｙ、ｃ_ｚ、ｃ_ａ、ｂは、以下のように求められる。

【0088】

ｚ＝ｘ∧ｙ⇔（∃ａ∈｛０，１｝：ｃ_ｘｘ＋ｃ_ｙｙ＋ｃ_ｚｚ＋ｃ_ａａ＝ｂ） （７）

【0089】

次に、当該基本最適化問題は以下のように記載され、

【数30】

以下を条件とする。

【0090】

ｃ_ｘ・０＋ｃ_ｙ・０＋ｃ_ｚ・０＋ｃ_ａａ_０＝ｂ，
ｃ_ｘ・０＋ｃ_ｙ・１＋ｃ_ｚ・０＋ｃ_ａａ_１＝ｂ
ｃ_ｘ・１＋ｃ_ｙ・０＋ｃ_ｚ・０＋ｃ_ａａ_２＝ｂ
ｃ_ｘ・１＋ｃ_ｙ・１＋ｃ_ｚ・１＋ｃ_ａａ_３＝ｂ
ｃ_ｘ・０＋ｃ_ｙ・０＋ｃ_ｚ・１＋ｃ_ａ・０≠ｂ，
ｃ_ｘ・０＋ｃ_ｙ・０＋ｃ_ｚ・１＋ｃ_ａ・１≠ｂ，
ｃ_ｘ・０＋ｃ_ｙ・１＋ｃ_ｚ・１＋ｃ_ａ・０≠ｂ，
ｃ_ｘ・０＋ｃ_ｙ・１＋ｃ_ｚ・１＋ｃ_ａ・１≠ｂ，
ｃ_ｘ・１＋ｃ_ｙ・０＋ｃ_ｚ・１＋ｃ_ａ・０≠ｂ，
ｃ_ｘ・１＋ｃ_ｙ・０＋ｃ_ｚ・１＋ｃ_ａ・１≠ｂ，
ｃ_ｘ・１＋ｃ_ｙ・１＋ｃ_ｚ・０＋ｃ_ａ・０≠ｂ，
ｃ_ｘ・１＋ｃ_ｙ・１＋ｃ_ｚ・０＋ｃ_ａ・１≠ｂ，

【数31】

【0091】

同様に、更なる基本ブール演算の基本方程式が求められ得、これにより、以下の表１が得られる。

【0092】

【表1】

【0093】

基本方程式の代わりに、表２に従って、各基本演算に対して基本不等式系が成立し得る。

【0094】

【表2】

【0095】

当該等価性は、それぞれの基本演算及び基本不等式系から直接証明されてもよい。系

【数32】

は、ｚから１－ｚに変数を変化させることによって、

【数33】

から導出されてもよい。変数ｘ、ｙ、ｚが対応する基本不等式系を満たし、またｘ及びｙが２値である場合、ｚも同様に２値になる。

【0096】

ｃ．中間関係式の特定
暗号演算の基礎となる基本ブール演算に対応する基本関係式が成立すると、それぞれの中間関係式は以下のように求められる。

【0097】

ｃ．１ Ｒｉｊｎｄａｅｌ（ラインダール）の有限体
ＡＥＳにおけるいくつかの暗号演算は、Ｒｉｊｎｄａｅｌの有限体、即ちガロア体ＧＦ（２^８）＝ＧＦ（２）［ｘ］／（ｘ^８＋ｘ^４＋ｘ^３＋ｘ＋１）に基づいている。ＡＥＳでは、ＧＦ（２^８）で逆元演算と、１の乗算、２の乗算、及び３の乗算とが行われている。逆元演算の計算はＧＦ（２^８）では難問となるが、ＧＦ（２）ではＡＮＤ演算を用いて乗算を行うため、対応しやすくなる。したがって、ＧＦ（２）では１^－１＝１になる。また、０^－１が０と定義される。これらの関係式は、あらゆるＧＦ（２^ｐ）、ｐ≧１において有効である。ＧＦ（２^８）における反転は、ＧＦ（２^４）、次いでＧＦ（２^２）、そしてＧＦ（２）で逐次約分していき、乗算して反転されてもよい（「Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｈａｒｄｗａｒｅ ａｎｄ Ｅｍｂｅｄｄｅｄ Ｓｙｓｔｅｍｓ」（ＣＨＥＳ）に掲載のＣａｎｒｉｇｈｔによる論文、２００５年、第４４１～４５５頁を参照されたい）。例えば、ＧＦ（２^８）における元Ｇは、既約多項式ｒ（ｙ）＝ｙ^２＋τｙ＋ν及びγ_０，γ_１∈ＧＦ（２^４）を法とする乗算によって、Ｇ＝γ_１ｙ＋γ_０と記述され得る。ＧＦ（２^２）及びＧＦ（２）に対する同様の変換が行われてもよい。これにより、ＧＦ（２^８）の反転が基本ブール演算ＸＯＲ、ＮＡＮＤ、及びＮＯＲで記述され得る。上記で挙げたように、基本演算は、対応する基本関係式に変換されるものであり、これについては表１及び表２を参照されたい。１つのバイト又は状態エントリに対して、１８０個の基本演算（ＸＯＲ、ＮＡＮＤ、ＮＯＲ）が必要となる。各基本演算は、１つの追加の方程式と、２つの追加のビット（ｚ及びａ）とを要する。結果として得られる反転の中間方程式は基本方程式から求められ、（ベクトル値の）変数

【数34】

を用いた

【数35】

で記述される。

【0098】

ＧＦ（２^８）の１の乗算、２の乗算、及び３の乗算の中間方程式は、以下のように求められ得る。１を乗算すると、単純に同じ数値が得られ、即ちａ×１＝ａとなり、ここでａ∈ＧＦ（２^８）となる。ある数値に２を乗算することは、その数値を１だけ左にシフトさせることに相当し、続いて、その数値の最上位ビットが１である場合、当該結果及び当該値０ｘ１Ｂ（１６進表現ではこう記述され、２進表現での０００１１０１１に対応する）にＸＯＲを付加的に適用することに相当する。

【0099】

具体的には、

【数36】

から開始して、シフトを行い、０ｘ１Ｂに対してＸＯＲを適用すると、

【数37】

が得られる。０ｘ１Ｂは一定であるので、

【数38】

を用いてＸＯＲ演算が単純化され得る。よって、シフト後、ｘの最上位ビットと、０ｘ１Ｂの対応ビットとが両方とも１に等しい場合、当該結果が反転される。したがって、２の乗算が完全に行われると、以下の中間方程式系が得られる。

【0100】

【数39】

【0101】

２つの変数を用いた中間方程式は置換に対応しており、このために除去され得る。これにより、２の乗算には、３つの追加の方程式と、６つの追加のビットとが必要になる。

【0102】

３の乗算は、以下のように再定式化され得る。

【0103】

【数40】

【0104】

使用されるＸＯＲ演算では、状態ビットごとに１つの追加の方程式と、１つの追加の補助ビットとが必要になる。よって、３を乗算するには、３＋８＝１１個の追加の方程式と、２２個の追加のビットとが必要になる。対応する中間方程式は

【数41】

で記述される。

【0105】

ｃ．２ ＡｄｄＲｏｕｎｄＫｅｙ
ＡｄｄＲｏｕｎｄＫｅｙ演算では、ＡＥＳの鍵スケジュールを用いてラウンドごとに暗号鍵から求められるラウンド鍵と、当該状態とが結合される。各ラウンド鍵は、当該状態と同じサイズである。ラウンド鍵は、ビット単位のＸＯＲ（典型的なバイト値の説明については、図３を参照されたい）を介して当該状態の各バイトをラウンド鍵の対応するバイトと結合することにより、当該状態に追加される。１２８ビットの当該状態及びラウンド鍵の各々に対して、ビット単位のＸＯＲ演算が適用される。したがって、ＡｄｄＲｏｕｎｄＫｅｙ演算では、１２８個の追加の方程式に対応する１２８個のＸＯＲ演算と、２５６個の追加のビットとが必要になる。

【0106】

その結果として、中間方程式

【数42】

は以下のように記述され得る。

【0107】

【数43】

【0108】

ｃ．３ ＳｕｂＢｙｔｅｓ
図４は、ＳｕｂＢｙｔｅｓ演算を図で表したものである。ＳｕｂＢｙｔｅｓ演算では、当該状態の各バイトａ_ｉ、ｊが、８ビットの置換ボックス（Ｓボックス）Ｓを用いてＳ（ａ_ｉ，ｊ）と置換される。この暗号演算は、暗号化処理手順において非線形性を提供するものである。使用されるＳボックスは、適切な非線形性特性を含むＧＦ（２^８）に対する乗法的逆元から導出される。ＳｕｂＢｙｔｅｓ演算は、２つの部分に分解され得る。

【0109】

最初に、各入力バイトは、Ｒｉｊｎｄａｅｌの有限体ＧＦ（２^８）におけるその乗法的逆元にマッピングされる。第二に、以下のアフィン変換が適用され、

【数44】

式中、

【数45】

は入力バイトの乗法的逆元である。

【0110】

乗法的逆元の特定は、項ｃ．１に記載しているように実行され得る。したがって、各バイトに１８０個の追加の方程式と、３６０個のビットとが必要になり、その結果、１６・１８０＝３６０個の追加の線形方程式とビットとが必要になる。

【0111】

アフィン変換は、５つの入力ビットを用いたＸＯＲ演算（行列の行ごとに値１を有する５つの成分に対応する）を含む。右辺ベクトルは、変数を一切持たない。よって、そのｉ番目のビットの値が０である場合、ｓ_ｉは反転値（対応する式中、ｓ_ｉは１－ｓ_ｉに置き換えられる）である。５つの入力値を用いたＸＯＲ演算は逐次評価され得、即ち

【数46】

となる。当該演算では、いくつかの追加の補助変数を必要とする。

【0112】

代替的な一手法では、中間最適化問題が、基本最適化問題に関して上述したように特定され、かつ解かれる。当該最適化問題から、以下の中間方程式が得られる。

【0113】

【数47】

【0114】

よって、暗号演算ＳｕｂＢｙｔｅｓの各ビットは、１つの方程式と、３つの補助ビットとを要する。全状態につき、１２８個の方程式と、３８４個の補助ビットとが必要になる。ＳｕｂＢｙｔｅｓ演算では合計で、２８８０＋１２８＝３００８個の（中間）方程式と、５７６０＋３８４＝６１４４個の補助ビットとが必要になる。

【0115】

したがって、暗号演算ＳｕｂＢｙｔｅｓにおいて、以下の中間方程式が提供される。

【0116】

【数48】

【0117】

ｃ．４ ＳｈｉｆｔＲｏｗｓ
ＳｈｉｆｔＲｏｗｓ演算は、各行のバイトを一定のオフセット分周期的にシフトさせることによって、当該状態の行に作用する。ＡＥＳの場合、第１の行は変更されないままである。第２の行の各バイトは、１つ左にシフトされる。同様に、第３の行と第４の行とはそれぞれ、オフセット２とオフセット３だけシフトされる。よって、ＳｈｉｆｔＲｏｗｓ演算では単にビットを並べ替えるだけになるため、補助変数を用いた追加の線形方程式を要しない。

【0118】

その結果、対応する中間関係式は置換関数を含み、

【数49】

上記はビットの並び替えを表している。

【0119】

ｃ．５ ＭｉｘＣｏｌｕｍｎｓ
図５は、ＭｉｘＣｏｌｕｍｎｓ演算を図で表したものであり、この演算により、当該状態の各列の４つのバイトが、可逆線形変換を用いて結合される。各列ｊは、固定行列を列ｊに左乗算することにより、固定行列を用いて変換される。

【0120】

【数50】

【0121】

乗算と加算とは、ガロア体ＧＦ（２^８）内で実行される。ＧＦ（２^８）の加算は、ＸＯＲ演算に対応している。各出力ビットｂ_ｉ、ｊに対して４つの入力ビットを用いると（ｉ＝０，．．３）、対応する中間方程式は以下のように記載される。

【0122】

ｘ_１＋ｘ_２－ｘ_３＋ｘ_４＋ｙ－２ａ_０－２ａ_１＝０ （１７）

【0123】

よって、ＧＦ（２^８）の加算では、１状態ビットにつき１つの追加の方程式と、３つの補助ビットとが必要になり、結果として、１状態につき合計１２８個の追加の方程式と、３８４個の補助ビットとが必要になる。２の乗算は、１バイトにつき３つの方程式と６つの補助ビット、及び１状態につき４８個の方程式と９６個のビットとを要する一方、３の乗算は、１状態につき１７６個の方程式と、３５２個の補助ビットとを要する。ＭｉｘＣｏｌｕｍｎｓ演算では合計で、１２８＋４８＋１７６＝３５２個の中間方程式と、３８４＋９６＋３５２＝８３２個の補助ビットとが必要になる。

【0124】

ＭｉｘＣｏｌｕｍｎｓの入力状態を

【数51】

で記述し、また出力状態を

【数52】

で記述すると、ＭｉｘＣｏｌｕｍｎｓ演算の中間方程式は以下のように記載される。

【0125】

【数53】

【0126】

ｃ．６ ＫｅｙＥｘｐａｎｓｉｏｎ
図６は、ＫｅｙＥｘｐａｎｓｉｏｎ演算を図で表したものであり、この演算では、暗号鍵を複数の別個のラウンド鍵に展開する。３つのＡＥＳバリアントＡＥＳ－１２８、ＡＥＳ－１９２、及びＡＥＳ－２５６（暗号鍵がそれぞれ、１２８ビット、１９２ビット、及び２５６ビットを有する）は、異なるラウンド数を含む。各ＡＥＳバリアントでは、ラウンドごとに別個の１２８ビットのラウンド鍵と、追加のラウンドとを要する。ＡＥＳの鍵スケジュールでは、暗号鍵からラウンド鍵を生成する。暗号鍵における３２ビットワードの数をＮで記述し（即ち、ＡＥＳ－１２８の場合はＮ＝４、ＡＥＳ－１９２の場合はＮ＝６、ＡＥＳ－２５６の場合はＮ＝８となる）、当該暗号鍵を［Ｋ_０，Ｋ_１，…，Ｋ_Ｎ－１］で記述し、１を追加したラウンド数を、Ｒを用いて記述し（即ち、ＡＥＳ－１２８の場合はＲ＝１１、ＡＥＳ－１９２の場合はＲ＝１３、ＡＥＳ－２５６の場合はＲ＝１５となる）、かつ拡張鍵における３２ビットワードをＷ_０，Ｗ_１，…，Ｗ_４Ｒ－１を用いて記述すると、ラウンドｒ（ｒ＜Ｒの場合の）のラウンド鍵は［Ｗ_４ｒ，Ｗ_４ｒ＋１，Ｗ_４ｒ＋２，Ｗ_４ｒ＋３］となる。各ラウンド鍵の３２ビットワードＷ_ｉは、以下のように求められる。

【0127】

【数54】

【0128】

ＲｏｔＷｏｒｄ演算は、１バイトの左循環シフトに対応しており、状態ビットを並べ替えるだけなので、追加の線形方程式を必要としない。ＳｕｂＷｏｒｄ演算は、項ｃ．３に記載しているように、ＡＥＳのＳボックスを、以下のように当該ワードの４つのバイトの各々に適用する様子を表す。

【0129】

ＳｕｂＷｏｒｄ（［ｂ_０ ｂ_１ ｂ_２ ｂ_３］）＝［Ｓ（ｂ_０）Ｓ（ｂ_１）Ｓ（ｂ_２）Ｓ（ｂ_３）］ （２０）

【0130】

また、ｒｃｏｎは、定数値の配列である。したがって、ＸＯＲを適用するステップは、追加の線形方程式と、補助ビットとを含まない。両方の演算

【数55】

と、

【数56】

とは、追加の方程式及び補助ビットに関して同等である。よって、ラウンド鍵の３２ビットワードＷ_ｉは、以下の３つの異なる演算を用いて計算される。

【0131】

Ｉ．Ｗ_ｉはＫ_ｉとして求められ、これは暗号鍵の一部にすぎない。よって、追加の方程式を必要とせず、必要になるのは３２ビットのみである（各Ｋ_ｉのビット長は３２である）。この型の演算はＮ回行われる。

【0132】

ＩＩ．Ｗ_ｉは、

【数57】

として求められるか、又は

【数58】

として求められる。対応するＳボックスは、１バイトにつき１８８個の方程式と、３８４個の補助ビットとを要する。４つのバイトと、追加のＸＯＲとでは、合計１８８・４＋８＝７６０個の方程式と、３８４・４＋２・８＝１５５２個の補助ビットとが必要になる。この型の演算は、ＡＥＳ－１２８では１０回、ＡＥＳ－１９２では８回、そしてＡＥＳ－２５６では１３回行われる。

【0133】

ＩＩＩ．Ｗ_ｉは

【数59】

として求められ、これは３２ビットワードに作用するＸＯＲに対応しており、その結果３２個の方程式と、補助の６４ビットとが必要になる。この型の演算は、ＡＥＳ－１２８では３０回、ＡＥＳ－１９２では３８回、そしてＡＥＳ－２５６では３９回行われる。

【0134】

ＫｅｙＥｘｐａｎｓｉｏｎ演算では合計で、ＡＥＳ－１２８の場合の８５６０個の中間方程式と１７５６８個の補助ビット、ＡＥＳ－１９２の場合の７２９６個の中間方程式と１５０４０個の補助ビット、及びＡＥＳ－２５６の場合の１１１２８個の中間方程式と２２９２８個の補助ビットが必要になる。

【0135】

ＫｅｙＥｘｐａｎｓｉｏｎ演算に対応する中間方程式が、

【数60】

で記述される。

【0136】

ｃ．７ 凸多面体表現による中間不等式の取得
それぞれの暗号化処理手順における中間不等式はまた、いずれのブール関数

【数61】

も線形不等式系として記述できるという事実を利用することによっても求められ得る。ブール関数Ｆ：Ｂ^ｎ→｛０，１｝，のすべての０～１個の独立変数の集合に対応する、ｎ次元単位立方体のすべての頂点の集合

【数62】

に対して、ｎ＋１個の変数

【数63】

を使用した線形不等式系が、以下のように存在し、

【数64】

（式中、ａ_ｉ，ｂ_ｉ，ｂ_ｉ≠０はスカラであり、また

【数65】

はｎ個の変数の線形関数である）、これにより、以下が成立する。

【0137】

【数66】

【0138】

即ち、あらゆる

【数67】

に対して、

【数68】

が成立するときに、かつそのときにのみ、当該式が成立する。ｘ_ｎ＋１を２値変数と仮定する必要がないことが重要である。いずれの２値ベクトル

【数69】

に対しても、系

【数70】

は解

【数71】

のみを有し、ここで

【数72】

である。

【0139】

ブール関数を線形方程式又は線形不等式に変換することは、とりわけブール充足可能性（Ｂｏｏｌｅａｎ ｓａｔｉｓｆｉａｂｉｌｉｔｙ：ＳＡＴ）問題と整数線形計画法（ｉｎｔｅｇｅｒ ｌｉｎｅａｒ ｐｒｏｇｒａｍｍｉｎｇ：ＩＬＰ）問題との関係性に関して、コンピュータ科学における既知の課題となっている。ＳＡＴ問題を処理することは、主として２つの特別形式である、連言標準形（ｃｏｎｊｕｎｃｔｉｖｅ ｎｏｒｍａｌ ｆｏｒｍ：ＣＮＦ）又は選言標準形（ｄｉｓｊｕｎｃｔｉｖｅ ｎｏｒｍａｌ ｆｏｒｍ：ＤＮＦ）のうちの一方で記述される、大規模なブール関数の充足可能性を確認することに相当する。ブール関数がＤＮＦ表現又はＣＮＦ表現を有する場合、対応する線形不等式の生成は表２に基づいて直接行われてもよく、これはなぜなら、ＤＮＦ表現及びＣＮＦ表現が、双変の基本ブール演算を合成したものであるためである。いずれのブール関数もＤＮＦ表現又はＣＮＦ表現に変換され得るので、この（第１の）手法はあらゆるブール関数に適用されてもよい。

【0140】

そのような手法には２つの欠点があり得、第一に、与えられたブール関数に対して対応するＣＮＦ表現又はＤＮＦ表現を特定する必要があるという点、そして第二に、生成される線形不等式系が、相当量の冗長不等式を含み得るという点が挙げられる。

【0141】

代替的な第２の手法では、ＤＮＦ表現又はＣＮＦ表現を要することなく、線形不等式の既約系が得られてもよい。ｎ変数におけるいずれのブール関数Ｆも、単位超立方体

【数73】

の適切な２^ｎ頂点の凸包によって記述され得る。ブール関数Ｆは、ブール関数Ｆのグラフとして理解することができる、

【数74】

におけるベクトルの集合によって記述されてもよい。Ｖ［Ｆ］は単位超立方体のサブセットであり、即ちＶ［Ｆ］⊂Ｂ^ｎ＋１となる。Ｖ［Ｆ］内のすべてのベクトルが対応する凸多面体ｃｏｎｖ（Ｖ［Ｆ］）の頂点、即ちＶ［Ｆ］の凸包であることが証明され得る。その結果、ブール関数Ｆは、（多面体及びその頂点の集合に対して同じ記号を使用して）凸多面体Ｖ［Ｆ］として処理されてもよい。あらゆる多面体は、そのすべての頂点の集合、Ｖ表現、又は線形不等式系（多面体のファセットの集合に対応する）、Ｈ表現のいずれかによって記述され得る（ＡｖｉｓとＦｕｋｕｄａによる、Ｄｉｓｃｒｅｔｅ＆Ｃｏｍｐｕｔａｔｉｏｎａｌ Ｇｅｏｍｅｔｒｙ誌、第８巻第３号第２９５～３１３頁、１９９２年を参照のこと）。多面体Ｖ［Ｆ］のＨ表現（Ｖ表現によって与えられる）は、ここで求められる線形不等式系を表す。

【0142】

ユークリッド空間における点の有限集合の凸包のＶ表現及びＨ表現は、例えば、ＣＤＤ又はＬＲＳなどの多面体の演算処理コードによって特定されてもよい。とりわけ、既約Ｈ表現が生成され得、即ち冗長な線形不等式が除去される。これにより、結果として生じる暗号鍵を決定するための最適化問題の複雑性が低減され得る。ＬＲＳにより、逆探索アルゴリズムの並列実装がさらに可能になる。また、ＬＲＳ計算では、（Ｖ［Ｆ］の場合のように）整数値の頂点を有する多面体に関するＬＲＳ計算が、精度損失なく実行され得る。

【0143】

表２に列挙されている双変の基本ブール関数のすべての線形系は、対応するＨ表現を求めることによって取得されてもよい。一実施例として、ブール関数Ｊの場合、
Ｊ（ｘ_１，ｘ_２，ｘ_３）＝（ｘ_１∧ｘ_２）∨（ｘ_１∧ｘ_３）∨（ｘ_２∧ｘ_３）＝ｘ_４ （２３）
となる、ＭＩＬＰの制約式としての不等式系が、第１及び第２の手法の両方を用いて求められる。

【0144】

Ｈ表現（例えば、ＬＲＳを使用した）を特定すると、１０個の不等式を有する系が得られ、

【数75】

その一方で、ＤＮＦ表現又はＣＮＦ表現を用いた第１の手法を使用して、１７個の不等式及び４つの連続補助変数の系を成立させている。後者の場合により多くの数が得られているが、これは、双変の基本ブール関数及び連続補助変数から当該系が連続的に構築されることから結果として生じる一方、前者の手法では、ブール関数Ｊを全体として処理することができる。

【0145】

第２の実施例では、５つの２値変数ｘ_１，ｘ_２，ｘ_３，ｘ_４，ｘ_５，ｘ_６を含むブール式

【数76】

は、以下の線形不等式系と等価である。

【0146】

【数77】

【0147】

ｘ_１，ｘ_２，ｘ_３，ｘ_４，ｘ_５はすべて２値であるため、自明な冗長不等式（０≦ｘ_１≦１）と、変数ｘ_６の係数が０の不等式とが除外され得る。出力値ｘ_６は、自動的に２値になる。

【0148】

ｄ．最適化問題の特定
すべての中間関係式が成立すると、解くべき最適化問題が特定され得る。表３は、使用される中間方程式及び補助ビットの数を示す。

【0149】

【表3】

【0150】

最適化問題の最適化式は、以下の中間方程式の場合、中間関係式の集合から求められ、

【数78】

ここで、

【数79】

は平文に対応しており、

【数80】

は暗号文に対応しており、また

【数81】

は暗号鍵変数を表している。当該暗号鍵は、暗号鍵変数

【数82】

の最適化値から決定される。状態変数

【数83】

は、個々のラウンドｒに対するＡＥＳの処理手順の状態に対応する。とりわけ、いくつかの最適化式はそれぞれ、先行するラウンドに割り当てられた、具体的には直前のラウンドに割り当てられた少なくとも１つの先行状態変数を含む。例えば、最適化式

【数84】

は、先行するラウンドＲ－２に割り当てられた状態変数

【数85】

を含む。

【0151】

当該最適化問題がＭＩＬＰである場合、最適化式は最適化制約式となる。よって、式（２７）中の中間方程式は、ＭＩＬＰの制約式を構成している。また、制約式を中間方程式ではなく中間不等式とする形態で、最適化式を用いてＭＩＬＰが特定され得る。これを目的として、各暗号演算及びラウンドに対応する不等式を求める必要がある。

【0152】

当該最適化問題がＱＵＢＯ問題である場合、各中間方程式のすべての項を一方の辺に移動させ、得られた項を二乗することにより、中間方程式から最適化式が求められる。その結果、ＱＵＢＯ問題の目的関数は、すべての二乗項の和を含む。このように最適化式を求めるステップは、形式的には以下のように記述され得る。中間方程式を線形系として記述しており、

【数86】

式中、

【数87】

及びａ_ｉｊは、ｉ行ｊ列の行列Ａの成分であり、式（２８）中の線形系は、以下の式と等価である。

【0153】

【数88】

【0154】

式（２９）の左辺を合計すると、以下の目的関数が得られる。

【0155】

【数89】

【0156】

【数90】

が式（２８）、（２９）における線形系の解であるときに、かつそのときにのみ、式（３０）中の目的関数の最小値に達する。

【0157】

方程式表現と不等式表現との両方が、ＭＩＬＰを特定するために使用されてもよい。

【0158】

方程式を使用する場合、暗号化処理手順の各ブール関数は、２値補助変数を使用した単一の方程式に要約されてもよい。ＣＰＬＥＸソルバーを使用して、当該方程式の係数が取得されてもよい。２値補助変数又は補助変数を使用した中間方程式を用いることにより、量子アニーリング装置にとりわけ適したＱＵＢＯ問題を特定することがさらにできるようになる。

【0159】

ＭＩＬＰ問題とＱＵＢＯ問題との両方は原理上、ＣＰＬＥＸ、Ｇｕｒｏｂｉ、ＳＣＩＰ、又はＣＢＣなどの古典的な汎用ソルバーによって解かれてもよい。しかしながら、２値補助変数を追加すると、計算の複雑性を大幅に増大させる可能性があり、古典的なソルバーにとっては難題となる。この点において、ＱＵＢＯ問題は、Ｄ－Ｗａｖｅなどの量子アニーリング装置によって解くことができるため、より有望であると考えられ得る。

【0160】

２値補助変数なしの不等式の場合、各ブール関数は、追加の２値変数なしの線形不等式系に要約される。当該不等式は、ＬＲＳなどの多面体応用システムを使用して明示的に求められてもよい。本手法は、それに限定されないが、主として古典的なソルバーに適している。

【0161】

ＡＥＳバリアントでは、平文よりも長い暗号鍵が使用されてもよい（ＡＥＳ－２５６は、暗号鍵に対して２５６ビットを有し、平文に対しては１２８ビットを有する）。したがって、１２８ビットを有する１つの平文ブロック及びその暗号文は、完全な暗号鍵を決定するのに十分ではない。しかしながら、１２８ビットからなる２つの既知の平文ブロックは（対応するそれらの暗号文と共に）それぞれ、十分な情報を含む。

【0162】

バリアントであるＡＥＳ－１９２とＡＥＳ－２５６とを処理するために、複数の中間関係式又は中間関係式（方程式又は不等式）の系を複製したものが２つ求められる。第１の系は第１の平文と、暗号鍵を使用して第１の平文から生成された第１の暗号文とを含み、また第２の系は第２の平文と、（同じ）暗号鍵を使用して第２の平文から生成された第２の暗号文とを含む。第１及び第２の系が、中間関係式の（全体の）系を形成していると考えることもできる。第１及び第２の系から共通の最適化問題が特定され、ＡＥＳ－１２８の場合と同様に解かれる。

【0163】

記載している方法ステップは、ＡＥＳに適しているだけでなく、他の暗号化処理手順にも適している。定義されたプロトコル及び非線形関数を含み、その入力ビットの量が限られているか、又は基本演算ＸＯＲ、ＡＮＤなどに分解することができるあらゆる暗号化処理手順にも、同様にアプローチすることができる。即ち、本方法は、ＩＤＥＡ、Ｓａｌｓａ ２０、又はＡＲＸに適合され得る。

【0164】

本明細書、図及び／又は特許請求の範囲に開示されている特徴は、単独で、又はそれらの様々な組み合わせで取り入れられる、様々な実施形態を実現するための材料であってもよい。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】