JP6093719B2

JP6093719B2 - 暗号化装置、復号装置、およびプログラム

Info

Publication number: JP6093719B2
Application number: JP2014006695A
Authority: JP
Inventors: 恵太草川; 洋介藤堂
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: Nippon Telegraph and Telephone Corp
Priority date: 2014-01-17
Filing date: 2014-01-17
Publication date: 2017-03-08
Anticipated expiration: 2034-01-17
Also published as: JP2015135407A

Description

本発明は、暗号技術に関し、特に暗号文のコンパクト化に関する。

一部の暗号方式（例えば、非特許文献１，２等参照）では、鍵ｄｋ＝（ｓ_０，．．．，ｓ_ｎ−１）∈Ｚ_ｑ ^ｎについて
ｄｋ_２ ^〜＝（ｓ_０，２ｓ_０，２^２ｓ_０，．．．，２^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，２ｓ_ｎ−１，２^２ｓ_ｎ−１，．．．，２^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍ
を考え、このｄｋ_２ ^〜をビット分解した列の暗号文ｄｋ_２ ⁻が必要となる。

より一般的に平文空間をＺ_ｐ（例えば、Ｚ_ｐ＝｛０，．．．，ｐ−１｝）とし、ｍをｐ^ｍ−１＜ｑ≦ｐ^ｍを満たす自然数とする。情報ｄｋ＝（ｓ_０，．．．，ｓ_ｎ−１）∈Ｚ_ｑ ^ｎについて、
ｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍ
を考え、このｄｋ^〜の各要素をｐ進分解した列の暗号文ｄｋ⁻が必要になったとする。ここで、ａ∈Ｚ_ｑをｐ進表現したときのｋ＋１桁目の分解値＜ａ＞_ｋ∈Ｚ_ｐと表すことにする。すなわち、ａ＝＜ａ＞_０＋ｐ＜ａ＞_１＋．．．＋ｐ^ｍ−１＜ａ＞_ｍ−１である。ｄｋ^〜の各要素ｐ^ｉｓ_ｊ（ただし、ｉ＝０，．．．，ｍ−１，ｊ＝０，．．．，ｎ−１）をｐ進分解すると、要素ｐ^ｉｓ_ｊごとにｍ個の分解値＜ｐ^ｉｓ_ｊ＞_０，＜ｐ^ｉｓ_ｊ＞_１，．．．，＜ｐ^ｉｓ_ｊ＞_ｍ−１に分解される。

そのため、暗号文ｄｋ⁻を生成するためには、ｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１のそれぞれについて、＜ｐ^ｉｓ_ｊ＞_ｋの暗号文Ｅ（＜ｐ^ｉｓ_ｊ＞_ｋ）を用意する必要がある。すなわち、ｍ^２・ｎ回の暗号化を行ってｍ^２・ｎ個の暗号文Ｅ（＜ｐ^ｉｓ_ｊ＞_ｋ）を生成しなければならない。

Zvika Brakerski and Vinod Vaikuntanathan, "Lattice-based FHE as secure as PKE," Cryptology ePrint Archive, Report 2013/541, 2013. Craig Gentry, Amit Sahai, and BrentWaters, "Homomorphic encryption from learning with errors: Conceptually-simpler, asymptotically-faster, attribute-based," CRYPTO 2013, to appear, 2013.

本発明の課題は、（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍをｐ進分解した列の暗号文のコストを削減することである。

ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、ｉ＝０，．．．，ｍ−１であり、ｊ＝０，．．．，ｎ−１であり、ｋ＝０，．．．，ｍ−１であり、ｑ＝ｐ^ｍとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^ｍ−１＜ｓ_ｊ＞_ｍ−１について分解値＜ｓ_ｊ＞_ｋ∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ］＝Ｅ（＜ｓ_ｊ＞_ｋ）を得、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての第１暗号文φ［ｊ，ｋ−ｉ］を、ｋ≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力する。

或いは、ｋ”＝０，．．．，ｍ−１−αであり、αが０＜α≦ｍ−１の自然数であり、ｑ＝ｐ^ｍ＋αとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^ｍ−１＜ｓ_ｊ＞_ｍ−１について分解値＜ｓ_ｊ＞_ｋ”∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ”］＝Ｅ（＜ｓ_ｊ＞_ｋ”）を得、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについての第１暗号文φ［ｊ，ｋ”−ｉ］を、ｍ−１−α≧ｋ”≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ”の暗号文として出力する。

或いは、ｋ’＝０，．．．，ｍ−１＋βであり、βが１以上の自然数であり、ｑ＝ｐ^ｍ＋βとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^{ｍ−１＋β}＜ｓ_ｊ＞_{ｍ−１＋β}について分解値＜ｓ_ｊ＞_ｋ’∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ’］＝Ｅ（＜ｓ_ｊ＞_ｋ’）を得、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての第１暗号文φ［ｊ，ｋ’−ｉ］を、ｋ’≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文として出力する。

本発明では、（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍをｐ進分解した列の暗号文のコストを削減できる。

図１Ａは実施形態の暗号化装置のブロック図である。図１Ｂは実施形態の復号装置のブロック図である。図２Ａは第１実施形態の暗号化方法のフロー図である。図２Ｂは第１実施形態の復号方法のフロー図である。図３Ａは第２実施形態の暗号化方法のフロー図である。図３Ｂは第２実施形態の復号方法のフロー図である。図４Ａは第３実施形態の暗号化方法のフロー図である。図４Ｂは第３実施形態の復号方法のフロー図である。図５Ａは第１実施形態の処理を説明するための図であり、図５Ｂは第２実施形態の処理を説明するための図であり、図５Ｃは第３実施形態の処理を説明するための図である。

以下、本発明の実施形態を説明する。
［概要］
各実施形態では、ｐの冪乗をｑとし、ベクトル（集合）ｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの各要素をｐ進分解した列の暗号文を生成する。ただし、ｐは２以上の自然数（例えば、ｐは素数）、ｎは１以上の自然数（例えば、ｎは２以上の自然数）、ｍは２以上の自然数である。Ｚ_ｑはｑを法とした剰余類を表す。以下では、Ｚ_ｑをその完全代表系｛０，．．．，ｑ−１｝で表現する。

《ｑ＝ｐ^ｍとする例》
まず、ｑ＝ｐ^ｍとする例について説明する。
ｊを固定して、ベクトルｄｋ^〜の部分ベクトル（ｓ_ｊ，ｐｓ_ｊ，ｐ^２ｓ_ｊ，．．．，ｐ^ｍ−１ｓ_ｊ）∈Ｚ_ｑ ^ｍを考える。完全代表系｛０，．．．，ｑ−１｝の場合、この部分ベクトルは（ｓ_ｊｍｏｄｑ，ｐｓ_ｊｍｏｄｑ，ｐ^２ｓ_ｊｍｏｄｑ，．．．，ｐ^ｍ−１ｓ_ｊｍｏｄｑ）である。ｐ進表現の定義から、要素ｓ_ｊは以下のように表現できる。
ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋ｐ^２＜ｓ_ｊ＞_２＋．．．＋ｐ^ｍ−１＜ｓ_ｊ＞_ｍ−１ …（１）

ｑ＝ｐ^ｍであるから、
ｐ^ｉｓ_ｊｍｏｄｑ＝ｐ^ｉ＜ｓ_ｊ＞_０＋ｐ^ｉ＋１＜ｓ_ｊ＞_１＋ｐ^ｉ＋２＜ｓ_ｊ＞_２
＋．．．＋ｐ^{ｉ＋ｍ−１}＜ｓ_ｊ＞_ｍ−１ｍｏｄｐ^ｍ
＝０＋ｐ・０＋．．．＋ｐ^ｉ−１・０
＋ｐ^ｉ＜ｓ_ｊ＞_０＋．．．＋ｐ^ｍ―１＜ｓ_ｊ＞_{ｍ−１−ｉ}
となる。これを行列で表現すると以下のようになる（図５Ａ参照）。

例えば、ｐ＝２，ｍ＝４，ｑ＝２^４＝１６，ｓ_ｊ＝１１の場合には、以下のようになる。

このように、ｑ＝ｐ^ｍとすることで、上記式（２）のｍ×ｍ行列の１行目の行ベクトル（＜ｓ_ｊ＞_０，＜ｓ_ｊ＞_１，＜ｓ_ｊ＞_２，．．．，＜ｓ_ｊ＞_ｍ−１）をｉ個右シフトして得られるベクトルがそのｉ行目の行ベクトルとなる。そのため、任意のｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１について、以下が成立する。

よって、ｊ＝０，．．．，ｎ−１のそれぞれについての、上記式（２）のｍ×ｍ行列の１行目の行ベクトルのｍ個の要素＜ｓ_ｊ＞_ｋ（ただし、ｋ＝０，．．．，ｍ−１）の暗号文（第１暗号文）φ［ｊ，ｋ］＝Ｅ（＜ｓ_ｊ＞_ｋ）と、０の暗号文（第２暗号文）φ_０＝Ｅ（０）だけで、ベクトルｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの各要素をｐ進分解した列の暗号文ｄｋ^―を生成できる。すなわち、ｎｍ個の暗号文Ｅ（＜ｓ_ｊ＞_ｋ）と１個の暗号文Ｅ（０）だけで、暗号文ｄｋ^―を生成できる。暗号文Ｅ（０）を予め生成しておけば、ｎｍ個の暗号文Ｅ（＜ｓ_ｊ＞_ｋ）の生成だけで、この暗号文ｄｋ^―を生成できる。或いは、復号側で暗号文Ｅ（０）の復号値が０であることが既知であるならば、暗号文ｄｋ^―が暗号文Ｅ（０）を含まなくてもよい。

ここで、第１暗号文φ［ｊ，ｋ−ｉ］はｋ≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文Ψ［ｉ，ｊ，ｋ］に対応し、第２暗号文φ_０はｋ＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文Ψ［ｉ，ｊ，ｋ］に対応する。すなわち、
ｋ≧ｉならば、Ψ［ｉ，ｊ，ｋ］＝φ［ｊ，ｋ−ｉ］
ｋ＜ｉならば、Ψ［ｉ，ｊ，ｋ］＝φ_０
である。従って、復号側では、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１について、入力された暗号文φ［ｊ，ｋ］を復号して復号値ｄ［ｊ，ｋ］を得て、復号値ｄ［ｊ，ｋ−ｉ］を、ｋ≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）とし、０（暗号文Ｅ（０）の復号値、または既知の値）を、ｋ＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）とすればよい。

《ｑ＝ｐ^ｍ−αとする例》
次に、ｑ＝ｐ^ｍ−αとする例について説明する。ただし、αは０＜α≦ｍ−１の自然数であり、例えば、０＜α≦ｍ−２である。この場合、式（２）に相当する行列表現は以下のようになる（図５Ｂ参照）。

例えば、α＝１，ｐ＝２，ｍ＝４，ｑ＝２^３＝８，ｓ_ｊ＝１１の場合には、以下のようになる。

例えば、α＝２，ｐ＝２，ｍ＝４，ｑ＝２^２＝４，ｓ_ｊ＝１１の場合には、以下のようになる。

そのため、ｑ＝ｐ^ｍ−αとすることで、任意のｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１について、以下が成立する。

よって、ｊ＝０，．．．，ｎ−１のそれぞれについての、上記式（３）のｍ×ｍ行列の１行目の（ｍ−α）個の要素＜ｓ_ｊ＞_ｋ”（ただし、ｋ”＝０，．．．，ｍ−１−α）の暗号文（第１暗号文）φ［ｊ，ｋ”］＝Ｅ（＜ｓ_ｊ＞_ｋ”）と、０の暗号文（第２暗号文）φ_０＝Ｅ（０）だけで、暗号文ｄｋ^―を生成できる。暗号文Ｅ（０）を予め生成しておけば、ｎ（ｍ−α）個の暗号文Ｅ（＜ｓ_ｊ＞_ｋ”）の生成だけで、この暗号文ｄｋ^―を生成できる。或いは、復号側で暗号文Ｅ（０）の復号値が０であることが既知であるならば、暗号文ｄｋ^―が暗号文Ｅ（０）を含まなくてもよい。

ここで、第１暗号文φ［ｊ，ｋ”−ｉ］はｍ−１−α≧ｋ”≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ”の暗号文Ψ［ｉ，ｊ，ｋ”］に対応し、第２暗号文φ_０はｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文Ψ［ｉ，ｊ，ｋ］に対応する。すなわち、
ｍ−１−α≧ｋ”≧ｉならば、Ψ［ｉ，ｊ，ｋ”］＝φ［ｊ，ｋ”−ｉ］
ｍ−１−α＜ｉまたはｍ−１−α＜ｋまたはｋ＜ｉならば、Ψ［ｉ，ｊ，ｋ］＝φ_０
である。従って、復号側では、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについて、入力された第１暗号文φ［ｊ，ｋ”］を復号して復号値ｄ［ｊ，ｋ”］を得て、復号値ｄ［ｊ，ｋ”−ｉ］を、ｍ−１−α≧ｋ”≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについての復号値ｄ［ｉ，ｊ，ｋ”］（＝＜ｐ^ｉｓ_ｊ＞_ｋ”）とし、０（暗号文Ｅ（０）の復号値、または既知の値）を、ｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）とすればよい。

《ｑ＝ｐ^ｍ＋βとする例》
次に、ｑ＝ｐ^ｍ＋βとする例について説明する。ただし、βは１以上の自然数であり、例えば、ｍ＋β＜ｍ^２またはｍ＋β＋１＜ｍ^２を満たす。この場合、式（２）に相当する行列表現は以下のようになる（図５Ｃ参照）。

例えば、β＝１，ｐ＝２，ｍ＝４，ｑ＝２^５＝３２，ｓ_ｊ＝１１の場合には、以下のようになる。

例えば、β＝３，ｐ＝２，ｍ＝４，ｑ＝２^６＝６４，ｓ_ｊ＝１１の場合には、以下のようになる。

このように、ｑ＝ｐ^ｍ＋βとすることで、上記式（４）の（ｍ＋β）×ｍ行列の１行目の行ベクトル（＜ｓ_ｊ＞_０，＜ｓ_ｊ＞_１，＜ｓ_ｊ＞_２，．．．，＜ｓ_ｊ＞_{ｍ−１＋β}）をｉ個右シフトして得られるベクトルがそのｉ行目の行ベクトルとなる。そのため、任意のｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋βについて、以下が成立する。

よって、ｊ＝０，．．．，ｎ−１のそれぞれについての、上記式（４）のｍ×（ｍ＋β）行列の１行目の行ベクトルのｍ＋β個の要素＜ｓ_ｊ＞_ｋ’（ただし、ｋ’＝０，．．．，ｍ−１＋β）の暗号文（第１暗号文）φ［ｊ，ｋ’］＝Ｅ（＜ｓ_ｊ＞_ｋ’）と、０の暗号文（第２暗号文）φ_０＝Ｅ（０）だけで、暗号文ｄｋ^―を生成できる。すなわち、ｎ（ｍ＋β）個の暗号文Ｅ（＜ｓ_ｊ＞_ｋ’）と１個の暗号文Ｅ（０）だけで、暗号文ｄｋ^―を生成できる。暗号文Ｅ（０）を予め生成しておけば、ｎ（ｍ＋β）個の暗号文Ｅ（＜ｓ_ｊ＞_ｋ’）の生成だけで、この暗号文ｄｋ^―を生成できる。或いは、復号側で暗号文Ｅ（０）の復号値が０であることが既知であるならば、暗号文ｄｋ^―が暗号文Ｅ（０）を含まなくてもよい。

ここで、第１暗号文φ［ｊ，ｋ’−ｉ］はｋ’≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文Ψ［ｉ，ｊ，ｋ’］に対応し、第２暗号文φ_０はｋ’＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文Ψ［ｉ，ｊ，ｋ’］に対応する。すなわち、
ｋ’≧ｉならば、Ψ［ｉ，ｊ，ｋ’］＝φ［ｊ，ｋ’−ｉ］
ｋ’＜ｉならば、Ψ［ｉ，ｊ，ｋ’］＝φ_０
である。従って、復号側では、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについて、入力された暗号文φ［ｊ，ｋ’］を復号して復号値ｄ［ｊ，ｋ’］を得て、復号値ｄ［ｊ，ｋ’−ｉ］を、ｋ’≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ’］（＝＜ｐ^ｉｓ_ｊ＞_ｋ’）とし、０（暗号文Ｅ（０）の復号値、または既知の値）を、ｋ’＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ’］（＝＜ｐ^ｉｓ_ｊ＞_ｋ’）とすればよい。

以上のようにｑをｐの冪乗とし、暗号化方法を工夫することで暗号文の個数を削減でき、省メモリを実現できる。また、同じ暗号文を繰り返し用いることにより、キャッシュ呼び出し回数が増え、計算の高速化を実現できる。その結果、暗号文ｄｋ^―のコストを削減できる。

［第１実施形態］
次に、第１実施形態を詳細に説明する。第１実施形態ではｑ＝ｐ^ｍとして処理を行う。
＜構成＞
図１Ａに例示するように、本形態の暗号化装置１１は、ｐ進分解部１１１、記憶部１１２、制御部１１３、暗号化部１１４，１１５、および暗号文出力部１１６を有する。図１Ｂに例示するように、本形態の復号装置１２は、入力部１２１、記憶部１２２、制御部１２３、復号部１２４，１２５、および復号値生成部１２６を有する。暗号化装置１１および復号装置１２は、ＣＰＵ（central processing unit）やＲＡＭ（random-access memory）等を備える汎用または専用のコンピュータに所定のプログラムを読み込むことにより構成される装置であり、それぞれ、制御部１１３，１２３の制御のもとで各処理を実行する。入力データや各部で得られたデータは、それぞれ記憶部１１２，１２２に格納され、必要に応じて読み出されてその他の処理に用いられる。暗号化装置１１の記憶部１１２には、暗号化のための暗号鍵ｗが格納され、復号装置１２の記憶部１２２には復号のための復号鍵ｖが格納される。共通鍵暗号方式に則って暗号化および復号が行われる場合、暗号化鍵ｗおよび復号鍵ｖは互いに等しい共通鍵である。公開鍵暗号方式に則って暗号化および復号が行われる場合、暗号化鍵ｗは公開鍵であり、復号鍵ｖは秘密鍵である。ＩＤベース暗号方式に則って暗号化および復号が行われる場合、暗号化鍵ｗはＩＤであり、復号鍵ｖは秘密鍵である。関数暗号方式に則って暗号化および復号が行われる場合、暗号化鍵ｗはベクトルであり、復号鍵ｖは秘密鍵である。

＜暗号化＞
本形態の暗号化処理を説明する。図２Ａに例示するように、暗号化装置１１のｐ進分解部１１１は、暗号化対象の平文であるベクトルｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍ（ただし、ｑ＝ｐ^ｍ）を入力とし、要素ｓ_ｊから分解値＜ｓ_ｊ＞_ｋ（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１）を得、分解値＜ｓ_ｊ＞_ｋおよび０を出力する（ステップＳ１１１）。

暗号化部１１４は、０および記憶部１１２から読み出した暗号化鍵ｗを入力とし、暗号化鍵ｗを用いて０を暗号化した暗号文（第２暗号文）φ_０＝Ｅ（０）を得て出力する（ステップＳ１１４）。

暗号化部１１５は、分解値＜ｓ_ｊ＞_ｋおよび記憶部１１２から読み出した暗号化鍵ｗを入力とし、暗号化鍵ｗを用いて分解値＜ｓ_ｊ＞_ｋを暗号化した暗号文（第１暗号文）φ［ｊ，ｋ］＝Ｅ（＜ｓ_ｊ＞_ｋ）（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１）を得て出力する（ステップＳ１１５）。

暗号文出力部１１６は、暗号文φ［ｊ，ｋ］（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１）および暗号文φ_０を入力とし、暗号文φ［ｊ，ｋ−ｉ］をｋ≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力し、暗号文φ_０をｋ＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力する。すなわち、暗号文出力部１１６は、ｎｍ個の暗号文φ［ｊ，ｋ］（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０，．．．，ｍ−１）と１個の暗号文φ_０とを出力する（ステップＳ１１６）。

＜復号＞
本形態の復号処理を説明する。図２Ｂに例示するように、入力部１２１には暗号文φ［ｊ，ｋ］（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０．．．，ｍ−１）および暗号文φ_０が入力される（ステップＳ１２１）。

復号部１２４は、暗号文φ_０および記憶部１２２から読み出した復号鍵ｖを入力とし、復号鍵ｖを用いて暗号文φ_０を復号して０を得る（ステップＳ１２４）。

復号部１２５は、暗号文φ［ｊ，ｋ］を入力とし、第１暗号文φ［ｊ，ｋ］を復号して復号値ｄ［ｊ，ｋ］（＝＜ｓ_ｊ＞_ｋ）（ただし、ｊ＝０，．．．，ｎ−１、ｋ＝０．．．，ｍ−１）を得る（ステップＳ１２５）。

復号値生成部１２６は、０および復号値ｄ［ｊ，ｋ］を入力とし、復号値ｄ［ｊ，ｋ−ｉ］を、ｋ≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）とし、０を、ｋ＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）として出力する（ステップＳ１２６）

［第２実施形態］
次に、第２実施形態を詳細に説明する。第２実施形態ではｑ＝ｐ^ｍ―αとして処理を行う。なお、以下では、第１実施形態と共通する事項については、同じ参照番号を用いて説明を簡略化する。
＜構成＞
図１Ａに例示するように、本形態の暗号化装置２１は、ｐ進分解部２１１、記憶部１１２、制御部１１３、暗号化部１１４，２１５、および暗号文出力部２１６を有する。図１Ｂに例示するように、本形態の復号装置２２は、入力部２２１、記憶部１２２、制御部１２３、復号部１２４，２２５、および復号値生成部２２６を有する。暗号化装置２１および復号装置２２は、ＣＰＵやＲＡＭ等を備える汎用または専用のコンピュータに所定のプログラムを読み込むことにより構成される装置であり、それぞれ、制御部１１３，１２３の制御のもとで各処理を実行する。入力データや各部で得られたデータは、それぞれ記憶部１１２，１２２に格納され、必要に応じて読み出されてその他の処理に用いられる。

＜暗号化＞
本形態の暗号化処理を説明する。図３Ａに例示するように、暗号化装置２１のｐ進分解部１１１は、暗号化対象の平文であるベクトルｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍ（ただし、ｑ＝ｐ^ｍ―α、０＜α≦ｍ−１）を入力とし、要素ｓ_ｊから分解値＜ｓ_ｊ＞_ｋ”（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０，．．．，ｍ−１−α）を得、分解値＜ｓ_ｊ＞_ｋ”および０を出力する（ステップＳ２１１）。

次に、暗号化部１１４は、第１実施形態で説明したステップＳ１１４の処理を実行する。また、暗号化部２１５は、分解値＜ｓ_ｊ＞_ｋ”および記憶部１１２から読み出した暗号化鍵ｗを入力とし、暗号化鍵ｗを用いて分解値＜ｓ_ｊ＞_ｋ”を暗号化した暗号文（第１暗号文）φ［ｊ，ｋ”］＝Ｅ（＜ｓ_ｊ＞_ｋ”）（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０，．．．，ｍ−１−α）を得て出力する（ステップＳ２１５）。

暗号文出力部２１６は、暗号文φ［ｊ，ｋ”］（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０，．．．，ｍ−１−α）および暗号文φ_０を入力とし、暗号文φ［ｊ，ｋ”−ｉ］をｍ−１−α≧ｋ”≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ”の暗号文として出力し、暗号文φ_０をｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力する。すなわち、暗号文出力部２１６は、ｎ（ｍ−α）個の暗号文φ［ｊ，ｋ”］（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０，．．．，ｍ−１−α）と１個の暗号文φ_０とを出力する（ステップＳ２１６）。

＜復号＞
本形態の復号処理を説明する。図３Ｂに例示するように、入力部２２１には暗号文φ［ｊ，ｋ”］（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０．．．，ｍ−１−α）および暗号文φ_０が入力される（ステップＳ２２１）。

復号部１２４は、第１実施形態で説明したステップＳ１２４の処理を実行する。復号部２２５は、暗号文φ［ｊ，ｋ”］を入力とし、第１暗号文φ［ｊ，ｋ”］を復号して復号値ｄ［ｊ，ｋ”］（＝＜ｓ_ｊ＞_ｋ”）（ただし、ｊ＝０，．．．，ｎ−１、ｋ”＝０．．．，ｍ−１−α）を得る（ステップＳ２２５）。復号値生成部２２６は、０および復号値ｄ［ｊ，ｋ”］を入力とし、復号値ｄ［ｊ，ｋ”−ｉ］を、ｍ−１−α≧ｋ”≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについての復号値ｄ［ｉ，ｊ，ｋ”］（＝＜ｐ^ｉｓ_ｊ＞_ｋ”）とし、０を、ｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）として出力する（ステップＳ２２６）

［第３実施形態］
次に、第３実施形態を詳細に説明する。第１実施形態ではｑ＝ｐ^ｍ＋βとして処理を行う。
＜構成＞
図１Ａに例示するように、本形態の暗号化装置３１は、ｐ進分解部３１１、記憶部１１２、制御部１１３、暗号化部１１４，３１５、および暗号文出力部３１６を有する。図１Ｂに例示するように、本形態の復号装置３２は、入力部３２１、記憶部１２２、制御部１２３、復号部１２４，３２５、および復号値生成部３２６を有する。暗号化装置３１および復号装置３２は、ＣＰＵやＲＡＭ等を備える汎用または専用のコンピュータに所定のプログラムを読み込むことにより構成される装置であり、それぞれ、制御部１１３，１２３の制御のもとで各処理を実行する。入力データや各部で得られたデータは、それぞれ記憶部１１２，１２２に格納され、必要に応じて読み出されてその他の処理に用いられる。

＜暗号化＞
本形態の暗号化処理を説明する。図３Ａに例示するように、暗号化装置３１のｐ進分解部３１１は、暗号化対象の平文であるベクトルｄｋ^〜＝（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍ（ただし、ｑ＝ｐ^ｍ＋β、βは１以上の自然数、例えば、ｍ＋β＜ｍ^２）を入力とし、要素ｓ_ｊから分解値＜ｓ_ｊ＞_ｋ’（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）を得、分解値＜ｓ_ｊ＞_ｋ’および０を出力する（ステップＳ３１１）。

暗号化部１１４は、第１実施形態で説明したステップＳ１１４の処理を実行する。暗号化部３１５は、分解値＜ｓ_ｊ＞_ｋ’および記憶部１１２から読み出した暗号化鍵ｗを入力とし、暗号化鍵ｗを用いて分解値＜ｓ_ｊ＞_ｋ’を暗号化した暗号文（第１暗号文）φ［ｊ，ｋ’］＝Ｅ（＜ｓ_ｊ＞_ｋ’）（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）を得て出力する（ステップＳ３１５）。

暗号文出力部３１６は、暗号文φ［ｊ，ｋ’］（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）および暗号文φ_０を入力とし、暗号文φ［ｊ，ｋ’−ｉ］をｋ’≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文として出力し、暗号文φ_０をｋ’＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文として出力する。すなわち、暗号文出力部３１６は、ｎ（ｍ＋β）個の暗号文φ［ｊ，ｋ’］（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）と１個の暗号文φ_０とを出力する（ステップＳ３１６）。

＜復号＞
本形態の復号処理を説明する。図３Ｂに例示するように、入力部３２１には暗号文φ［ｊ，ｋ’］（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）および暗号文φ_０が入力される（ステップＳ３２１）。

復号部１２４は、第１実施形態で説明したステップＳ１２４の処理を実行する。復号部３２５は、暗号文φ［ｊ，ｋ’］を入力とし、第１暗号文φ［ｊ，ｋ’］を復号して復号値ｄ［ｊ，ｋ’］（＝＜ｓ_ｊ＞_ｋ’）（ただし、ｊ＝０，．．．，ｎ−１、ｋ’＝０，．．．，ｍ−１＋β）を得る（ステップＳ３２５）。

復号値生成部３２６は、０および復号値ｄ［ｊ，ｋ’］を入力とし、復号値ｄ［ｊ，ｋ’−ｉ］を、ｋ’≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ’］（＝＜ｐ^ｉｓ_ｊ＞_ｋ’）とし、０を、ｋ’＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ］（＝＜ｐ^ｉｓ_ｊ＞_ｋ）として出力する（ステップＳ３２６）

［変形例等］
なお、本発明は上述の実施の形態に限定されるものではない。例えば、第１から３実施形態では、暗号化部が０を暗号化して暗号文φ_０＝Ｅ（０）を生成したが、予め暗号文φ_０が生成されていてもよい。また、暗号化装置が０の暗号文φ_０を出力せず、復号装置が暗号文φ_０を復号することなく、復号値生成部が０を復号値として用いてもよい。

また、復号装置が、暗号装置から出力された暗号文φ［ｊ，ｋ］（またはφ［ｊ，ｋ”］またはφ［ｊ，ｋ’］）および暗号文φ_０そのものを復号するのではなく、暗号文φ［ｊ，ｋ］（またはφ［ｊ，ｋ”］またはφ［ｊ，ｋ’］）および暗号文φ_０に対して何らかの線形演算が施されたものを新たな暗号文φ［ｊ，ｋ］（またはφ［ｊ，ｋ”］またはφ［ｊ，ｋ’］）および暗号文φ_０とし、復号処理が実行されてもよい。

また、暗号装置が暗号文φ［ｊ，ｋ］や暗号文φ_０がいずれのφ［ｉ，ｊ，ｋ］に対応するのかを表す情報を、暗号文φ［ｊ，ｋ］や暗号文φ_０とともに出力してもよい。これにより、この対応関係の情報を持たない復号装置も復号を行うことができる。

また、暗号化装置から復号装置への暗号文の伝達はネットワーク等の伝送路を用いて行われてもよいし、可搬型記録媒体を用いて行われてもよい。用途によっては、暗号装置および復号装置が同一の装置として構成されてもよい。

上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

本発明の用途に特に限定はないが、例えば、本発明を秘密鍵を平文とする暗号文を生成する用途に適用すれば、その省メモリ、省計算力を実現できる。実際的な応用として、ディスク暗号化を例示できる。例えば、ディスク暗号化ソフトであるＢｉｔＬｏｃｋｅｒ（登録商標）では、秘密鍵自身を公開鍵で暗号化することがある。秘密鍵を平文として暗号化する場合の安全な暗号方式として、参考文献（Isamu Teranishi, “Survey of key dependent message (KDM) security,” IEICE Fundamentals Review, 6(1):26-36, 2012.）に開示されたものがある。

また完全準同型暗号においてＲｅｆｒｅｓｈと呼ばれる操作をする際に、秘密鍵を平文とした暗号文を用いることがある。完全準同型暗号において、復号アルゴリズムをＤとし、準同型演算評価アルゴリズムをＥｖａｌとする。鍵ペア（ｅｋ，ｄｋ）と鍵ペア（ｅｋ’，ｄｋ’）を考える。暗号文Ｃが平文Ｍを鍵ｅｋで暗号化した暗号文であるとする。ｄｋをｅｋ’で暗号化した暗号文ｄｋ⁻があれば、Ｃ’＝Ｅｖａｌ（ｅｋ’，Ｄ，（Ｃ，ｄｋ⁻））は平文Ｍをｅｋ’で暗号化した暗号文に相当する。すなわち、Ｃ’をｄｋ’で復号すると、Ｍが得られる。

１１，２１，３１暗号化装置
１２，２２，３２復号装置

Claims

ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、ｉ＝０，．．．，ｍ−１であり、ｊ＝０，．．．，ｎ−１であり、ｋ＝０，．．．，ｍ−１であり、ｑ＝ｐ^ｍとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの（ｓ _ｊ，ｐｓ _ｊ，ｐ ^２ｓ _ｊ，．．．，ｐ ^ｍ−１ｓ _ｊ）∈Ｚ _ｑ ^ｍを

と表現したときの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^ｍ−１＜ｓ_ｊ＞_ｍ−１について分解値＜ｓ_ｊ＞_ｋ∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ］＝Ｅ（＜ｓ_ｊ＞_ｋ）を得る暗号化部と、
ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についてのｎｍ個の前記第１暗号文φ［ｊ，ｋ］を出力する暗号文出力部と、を有し、
前記第１暗号文φ［ｊ，ｋ−ｉ］は、要素ｐ ^ｉｓ _ｊ＝＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１におけるｋ≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文である、暗号化装置。
請求項１の暗号化装置であって、
前記暗号文出力部は、０を暗号化した第２暗号文φ_０＝Ｅ（０）を、ｋ＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力する、暗号化装置。
ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、ｉ＝０，．．．，ｍ−１であり、ｊ＝０，．．．，ｎ−１であり、ｋ＝０，．．．，ｍ−１であり、ｋ”＝０，．．．，ｍ−１−αであり、αが０＜α≦ｍ−１の自然数であり、ｑ＝ｐ^ｍ−αとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの（ｓ _ｊ，ｐｓ _ｊ，ｐ ^２ｓ _ｊ，．．．，ｐ ^ｍ−１ｓ _ｊ）∈Ｚ _ｑ ^ｍを

と表現したときの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^ｍ−１＜ｓ_ｊ＞_ｍ−１について分解値＜ｓ_ｊ＞_ｋ”∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ”］＝Ｅ（＜ｓ_ｊ＞_ｋ”）を得る暗号化部と、
ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについてのｎ（ｍ−α）個の前記第１暗号文φ［ｊ，ｋ”］を出力する暗号文出力部と、を有し、
前記第１暗号文φ［ｊ，ｋ”−ｉ］は、要素ｐ ^ｉｓ _ｊ＝＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１におけるｍ−１−α≧ｋ”≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ”の暗号文である、暗号化装置。
請求項３の暗号化装置であって、
前記暗号文出力部は、０を暗号化した第２暗号文φ_０＝Ｅ（０）を、ｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋの暗号文として出力する、暗号化装置。
ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、ｉ＝０，．．．，ｍ−１であり、ｊ＝０，．．．，ｎ−１であり、ｋ’＝０，．．．，ｍ−１＋βであり、βが１以上の自然数であり、ｑ＝ｐ^ｍ＋βとして集合（ｓ_０，ｐｓ_０，ｐ^２ｓ_０，．．．，ｐ^ｍ−１ｓ_０，．．．，ｓ_ｎ−１，ｐｓ_ｎ−１，ｐ^２ｓ_ｎ−１，．．．，ｐ^ｍ−１ｓ_ｎ−１）∈Ｚ_ｑ ^ｎｍの（ｓ _ｊ，ｐｓ _ｊ，ｐ ^２ｓ _ｊ，．．．，ｐ ^ｍ−１ｓ _ｊ）∈Ｚ _ｑ ^ｍを

と表現したときの要素ｓ_ｊ＝＜ｓ_ｊ＞_０＋ｐ＜ｓ_ｊ＞_１＋．．．＋ｐ^{ｍ−１＋β}＜ｓ_ｊ＞_{ｍ−１＋β}について分解値＜ｓ_ｊ＞_ｋ’∈Ｚ_ｐを暗号化した第１暗号文φ［ｊ，ｋ’］＝Ｅ（＜ｓ_ｊ＞_ｋ’）を得る暗号化部と、
ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについてのｎ（ｍ＋β）個の前記第１暗号文φ［ｊ，ｋ’］を出力する暗号文出力部と、を有し、
前記第１暗号文φ［ｊ，ｋ’−ｉ］は、要素ｐ ^ｉｓ _ｊ＝＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１におけるｋ’≧ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文である、暗号化装置。
請求項５の暗号化装置であって、
前記暗号文出力部は、０を暗号化した第２暗号文φ_０＝Ｅ（０）を、ｋ’＜ｉを満たす＜ｐ^ｉｓ_ｊ＞_ｋ’の暗号文として出力する、暗号化装置。
請求項５または６の暗号化装置であって、
ｍ＋β＜ｍ^２またはｍ＋β＋１＜ｍ^２である、暗号化装置。
請求項１から７の何れかの暗号化装置であって、
前記要素ｓ_ｊから前記分解値を得るｐ進分解部を有し、
前記暗号化部は、前記ｐ進分解部で得られた前記分解値を入力として、前記第１暗号文を得る、暗号化装置。
ｑ＝ｐ ^ｍとした集合（ｓ _０，ｐｓ _０，ｐ ^２ｓ _０，．．．，ｐ ^ｍ−１ｓ _０，．．．，ｓ _ｎ−１，ｐｓ _ｎ−１，ｐ ^２ｓ _ｎ−１，．．．，ｐ ^ｍ−１ｓ _ｎ−１）∈Ｚ _ｑ ^ｎｍの要素ｐ ^ｉｓ _ｊが＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１であり、ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１について、入力されたｎｍ個の第１暗号文φ［ｊ，ｋ］を復号して復号値ｄ［ｊ，ｋ］＝＜ｓ _ｊ＞ _ｋを得る復号部と、
前記復号値ｄ［ｊ，ｋ−ｉ］＝＜ｓ _ｊ＞ _ｋ−ｉを、ｋ≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］＝＜ｐ ^ｉｓ _ｊ＞ _ｋとし、０を、ｋ＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］＝＜ｐ ^ｉｓ _ｊ＞ _ｋとする復号値生成部と、
を有する復号装置。
ｑ＝ｐ ^ｍ−α とした集合（ｓ _０，ｐｓ _０，ｐ ^２ｓ _０，．．．，ｐ ^ｍ−１ｓ _０，．．．，ｓ _ｎ−１，ｐｓ _ｎ−１，ｐ ^２ｓ _ｎ−１，．．．，ｐ ^ｍ−１ｓ _ｎ−１）∈Ｚ _ｑ ^ｎｍの要素ｐ ^ｉｓ _ｊが＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１であり、ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、αが０＜α≦ｍ−１の自然数であり、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについて、入力されたｎ（ｍ−α）個の第１暗号文φ［ｊ，ｋ”］を復号して復号値ｄ［ｊ，ｋ”］＝＜ｓ _ｊ＞ _ｋ”を得る復号部と、
前記復号値ｄ［ｊ，ｋ”−ｉ］＝＜ｓ _ｊ＞ _ｋ”−ｉを、ｍ−１−α≧ｋ”≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ”＝０，．．．，ｍ−１−αについての復号値ｄ［ｉ，ｊ，ｋ”］＝＜ｐ ^ｉｓ _ｊ＞ _ｋ”とし、０を、ｋ＜ｉを満たすかｍ−１−α＜ｋを満たすかｍ−１−α＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ＝０，．．．，ｍ−１についての復号値ｄ［ｉ，ｊ，ｋ］＝＜ｐ ^ｉｓ _ｊ＞ _ｋとする復号値生成部と、
を有する復号装置。
ｑ＝ｐ ^ｍ＋β とした集合（ｓ _０，ｐｓ _０，ｐ ^２ｓ _０，．．．，ｐ ^ｍ−１ｓ _０，．．．，ｓ _ｎ−１，ｐｓ _ｎ−１，ｐ ^２ｓ _ｎ−１，．．．，ｐ ^ｍ−１ｓ _ｎ−１）∈Ｚ _ｑ ^ｎｍの要素ｐ ^ｉｓ _ｊが＜ｐ ^ｉｓ _ｊ＞ _０＋ｐ＜ｐ ^ｉｓ _ｊ＞ _１＋．．．＋ｐ ^ｍ−１＜ｐ ^ｉｓ _ｊ＞ _ｍ−１であり、ｐが２以上の自然数、ｎが１以上の自然数、ｍが２以上の自然数であり、βが１以上の自然数であり、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについて、入力されたｎ（ｍ＋β）個の第１暗号文φ［ｊ，ｋ’］を復号して復号値ｄ［ｊ，ｋ’］＝＜ｓ _ｊ＞ _ｋ’を得る復号部と、
前記復号値ｄ［ｊ，ｋ’−ｉ］＝＜ｓ _ｊ＞ _ｋ’−ｉを、ｋ’≧ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ’］＝＜ｐ ^ｉｓ _ｊ＞ _ｋ’とし、０を、ｋ’＜ｉを満たすｉ＝０，．．．，ｍ−１、ｊ＝０，．．．，ｎ−１およびｋ’＝０，．．．，ｍ−１＋βについての復号値ｄ［ｉ，ｊ，ｋ’］＝＜ｐ ^ｉｓ _ｊ＞ _ｋ’とする復号値生成部と、
を有する復号装置。
請求項１から８の何れかの暗号化装置、または請求項９から１１の何れかの復号装置としてコンピュータを機能させるためのプログラム。