JP7443217B2 - 暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラム - Google Patents

Description

本発明の実施形態は暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムに関する。

電子メールを始めとする多くの情報がネットワークを行き交うことにより、人々がコミュニケーションを行なうネットワーク社会において、暗号技術は情報の機密性や真正性を守る手段として広く活用されている。一方で、現在広く利用されているＲＳＡ暗号や楕円曲線暗号であっても量子計算機が出現すれば解読される危険に晒されている。

特開２０１０―２０４４６６号公報

駒野雄一、秋山浩一郎、後藤泰宏、縫田光司、花岡悟一郎、"多項式の近似ＧＣＤを利用した代数曲面暗号方式"、信学技報、１１６（１３０）、ｐｐ．２１７‐２２２ （２０１６）．

本発明が解決しようとする課題は、量子計算機が出現しても安全性が確保できる暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムを提供することである。

実施形態の暗号化装置は、公開鍵取得部と平文埋め込み部と多項式演算部と多項式生成部と暗号化部とを備える。公開鍵取得部は、有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得する。平文埋め込み部は、平文ｍを前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）の係数に埋め込む。多項式演算部は、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）を掛け合わせたｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）を生成する。多項式生成部は、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成する。暗号化部は、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に対し、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する。

実施形態の近似ＧＣＤアルゴリズムの例を示す図。 実施形態のイデアル分解アルゴリズムの例を示す図。 実施形態の不定方程式Ｘ（ｘ，ｙ）の係数を調整するアルゴリズムの例を示す図。 実施形態の暗号化装置の機能構成の例を示す図。 実施形態の暗号化方法の例を示すフローチャート。 実施形態の復号装置の機能構成の例１（復号（その１）の場合）を示す図。 実施形態の復号方法の例１（復号（その１）の場合）を示すフローチャート。 実施形態の復号装置の機能構成の例２（復号（その２）の場合）を示す図。 実施形態の復号方法の例２（復号（その２）の場合）を示すフローチャート。 実施形態の鍵生成装置の機能構成の例を示す図。 実施形態の鍵生成方法の例を示すフローチャート。 実施形態の次数削減処理（ステップＳ６５の詳細）の例を示すフローチャート。 実施形態の変形例の復号方法の例を示すフローチャート。 実施形態の変形例の復号方法の例を示すフローチャート。 実施形態の変形例のノイズ多項式の復号方法の例を示すフローチャート。 実施形態の暗号化装置、復号装置及び鍵生成装置のハードウェア構成の例を示す図。

以下に添付図面を参照して、暗号化装置、復号装置、暗号方法、復号方法、暗号化プログラム及び復号プログラムの実施形態を詳細に説明する。

暗号技術は大きく共通鍵暗号技術と公開鍵暗号技術に分けることができる。共通鍵暗号はデータの攪拌アルゴリズムに基づいた暗号方式で、高速に暗号化／復号ができる一方で、予め共通の鍵を持った２者間でしか秘密通信や認証通信ができない。公開鍵暗号は数学的なアルゴリズムに基づいた暗号方式で、共通鍵暗号ほど暗号化／復号が高速でないが、事前の鍵共有を必要としない。公開鍵暗号は、通信の際は送信相手が公開している公開鍵を利用して秘密通信を実現し、送信者の秘密鍵を利用してデジタル署名を施すことで（成りすましを防ぐ）認証通信が可能となるという特徴がある。

このため共通鍵暗号は主に有料デジタル放送のように受信後リアルタイムで復号されなければならない情報の暗号化に利用され、その復号鍵は別途限定受信システムと呼ばれる鍵配信システムを用いて視聴契約者だけに配信する方法が採用されている。一方、インターネットに開設されているオンラインサイトでは顧客情報（クレジットカード番号や住所など）を盗聴から守るために暗号化を行う必要があるが、その暗号鍵は予め交付しておくことが必ずしも可能でないため、公開鍵暗号が用いられることが多い。

代表的な公開鍵暗号にはＲＳＡ暗号と楕円曲線暗号がある。ＲＳＡ暗号は素因数分解問題の困難性が安全性の根拠となっており、冪乗剰余演算が暗号化演算として用いられている。楕円曲線暗号は楕円曲線上の離散対数問題の困難性が安全性の根拠となっており、楕円曲線上の点演算が暗号化演算に用いられている。これらの公開鍵暗号は特定の鍵（公開鍵）に関する解読法は提案されているものの、一般的な解読法は知られていないため、安全性に関する重大な問題は、後に述べる量子計算機による解読法を除き、現在までのところ見つかっていない。

この他の公開鍵暗号には（ＮＰ問題として知られている）ナップサック問題の困難性に安全性の根拠をおいたナップサック暗号、体の拡大理論を利用して構成され、連立方程式の求解問題に安全性の根拠をおいた多次多変数暗号などがある。しかし、ナップサック暗号に関しては既にほとんど全ての実現形態において解読法が知られており、安全性はかなり疑問であると言わざるを得ない。

多次多変数暗号に関しては有力な攻撃方法が知られている一方で知られている解読法が通用しない実現形態も存在するため、安全性に関してはかなり損なわれているが、決定的なものとはなっていない。しかし、知られている解読法を避けるために必要な鍵サイズが大きくなっており、問題視されはじめている。

一方で、現在広く利用されているＲＳＡ暗号と楕円曲線暗号であっても量子計算機が出現すれば解読される危険に晒されている。量子計算機とは量子力学で知られているエンタングルメントという物理現象を利用して、（現在の計算機とは違った原理に基づいて）超並列計算を行わせることができる計算機である。量子計算機は、現在までのところ実験レベルでしか動作が確認されていない仮想の計算機であるが、実現に向けた研究開発が進められている。この量子計算機を用いて１９９４年にＳｈｏｒは素因数分解や離散対数問題を効率的に解くアルゴリズムが構成できることを示した。即ち、量子計算機が実現すれば素因数分解に基づくＲＳＡ暗号や、（楕円曲線上の）離散対数問題に基づく楕円曲線暗号は解読できることになる。

このような状況の下、量子計算機が実現されてもなお安全である可能性を秘めた公開鍵暗号の研究が近年行われるようになってきた。現時点でも実現可能な公開鍵暗号で量子計算機でも解読が難しいとされているものに格子暗号がある。格子暗号は格子という離散的なｎ次元ベクトル空間（線形空間）の中で原点以外の点の中で最も原点に近い点を求める問題（最短ベクトル問題）を安全性の根拠にしている公開鍵暗号である。

最短ベクトル問題はＮＰ困難な問題ではあるが、線形問題であるため、小さなサイズの問題は容易に解けてしまう。そこで、安全性を実現するための次元数が大きくなり、公開鍵や秘密鍵といった鍵サイズが大きくなり、特にローエンドデバイスへの適用が危ぶまれている。更に、公開鍵暗号は共通鍵暗号と比較して、回路規模が大きく、処理時間も掛かるため、モバイル端末などの小電力環境では実現できないか実現しても処理時間が掛かるという問題があった。このため、小電力環境でも実現できる公開鍵暗号が求められている。

一般に公開鍵暗号は（素因数分解問題や離散対数問題などの）計算困難な問題を見出し、（秘密鍵を知らずに）暗号文を解読しようとする場合、当該計算困難な問題を解くことと同等になるように構成する。しかし、逆に計算困難な問題を１つ定めたとしても、必ずその問題を安全性の根拠とするような公開鍵暗号が容易に構成できる訳ではない。なぜなら、計算が困難すぎる問題に安全性の根拠をおくと鍵を生成する問題も困難になり、構成ができない。一方で問題を鍵生成が可能となる程度に容易とすると、解読も容易になってしまう。

従って、公開鍵暗号を構成するには計算困難な問題を見つけるとともに、鍵生成できる程には容易だが、（生成した秘密鍵を知らずに）解読できる程には容易でないという絶妙なバランスを持つ問題に作り変えるという創造性が必要であり、この部分の構成が難しいために現在まで数えるほどの公開鍵暗号しか提案されてこなかった。そのような中で、量子計算機による計算でも効率的に解読できない可能性があり、小電力環境でも高速に処理できることが期待される公開鍵暗号に代数曲面を用いた公開鍵暗号（特許文献１）が提案されている。

特許文献１の公開鍵暗号は、秘密鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）に対応する２つのセクションとし、公開鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）とし、多項式生成手段と暗号化手段とを備える。多項式生成手段は、平文ｍを平文多項式ｍ（ｘ，ｙ，ｔ）に埋め込む処理と、３変数ｘ，ｙ，ｔのランダムな多項式ｈ（ｘ，ｙ，ｔ），ｓ_１（ｘ，ｙ，ｔ），ｓ_２（ｘ，ｙ，ｔ），ｒ_１（ｘ，ｙ，ｔ），ｒ_２（ｘ，ｙ，ｔ）を生成する処理とを行う。暗号化手段は、各多項式と定義式Ｘ（ｘ，ｙ，ｔ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理により、平文多項式ｍ（ｘ，ｙ，ｔ）から２つの暗号文ｃ_１＝Ｅ_ｐｋ（ｍ，ｓ_１，ｒ_１，ｈ，Ｘ），ｃ_２＝Ｅ_ｐｋ（ｍ，ｓ_２，ｒ_２，ｈ，Ｘ）を生成する。特許文献１の公開鍵暗号は、暗号文に非線形性はあるものの、暗号文が２つあり、かつノイズ項がなかったため、解読された。

非特許文献１では、ノイズを載せた暗号方式が提案されている。この暗号方式は、秘密鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）に対応する１つのセクションとし、第１の多項式生成手段と、第２の多項式生成手段と、暗号化手段とを備える。第１の多項式生成手段は、公開鍵を代数曲面Ｘ（ｘ，ｙ，ｔ）とする時、平文ｍを平文多項式ｍ（ｘ，ｙ，ｔ）に埋め込む処理と、３変数ｘ，ｙ，ｔのランダムな多項式ｓ_１（ｘ，ｙ，ｔ），ｓ_２（ｘ，ｙ，ｔ），ｒ_１（ｘ，ｙ，ｔ），ｒ_２（ｘ，ｙ，ｔ）を生成する処理とを行う。第２の多項式生成手段は、ノイズ多項式ｅ_１（ｘ，ｙ，ｔ），ｅ_２（ｘ，ｙ，ｔ）を生成する。暗号化手段は、上記各多項式と上記定義式Ｘ（ｘ，ｙ，ｔ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理により、平文多項式ｍ（ｘ，ｙ，ｔ）から２つの暗号文ｃ_１＝Ｅ_ｐｋ（ｍ，ｓ_１，ｒ_１，ｅ_１，Ｘ），ｃ_２＝Ｅ_ｐｋ（ｍ，ｓ_２，ｒ_２，ｅ_２，Ｘ）を生成する。この暗号方式は暗号文にｍ（ｘ，ｙ）ｓ_１（ｘ，ｙ），ｍ（ｘ，ｙ）ｓ_２（ｘ，ｙ）という未知部分の積を取った非線形性はあるものの、平文多項式ｍ（ｘ，ｙ）とランダム多項式ｓ_１（ｘ，ｙ），ｓ_２（ｘ，ｙ）との単純な積であった。そのため、本実施形態で述べるような安全性解析をした際、復号可能でかつ安全なパラメータを取ることができないという問題があった。

以下、実施形態では、このような現状に鑑み、量子計算機が出現しても安全性が確保できる可能性を秘め、脆弱性を解消できる公開鍵暗号について説明する。具体的には、秘密を非線形な多項式に隠すことにより、１つの暗号文に非線形構造を持たせ、かつノイズを付加することにより、脆弱性を解消できる公開鍵暗号を構成する。

［代数の説明］
はじめに実施形態で利用する代数を定義する。まず、整数の集合をＺで表し、自然数ｐでの整数Ｚの剰余類をＺ_ｐと記す。Ｚ_ｐは剰余類なので、通常、
Ｚ_ｐ＝｛［０］，［１］，・・・，［ｐ－１］｝
と記す。ここで、Ｚ_ｐの各元は以下のような性質を満たすことから、加減乗算が定義される。
［ａ］＋［ｂ］＝［ａ＋ｂ］
［ａ］－［ｂ］＝［ａ－ｂ］
［ａ］・［ｂ］＝［ａ・ｂ］
このように加減乗算が定義でき、結合法則が成り立つとともに、加法の単位元０を含み且つ０以外の元ｘに対して足し合わせると０となる逆元［－ｘ］（［ｘ］＋［－ｘ］＝［０］）を有する集合を環という。更に、可換則（［ａ］＋［ｂ］＝［ｂ］＋［ａ］、［ａ］・［ｂ］＝［ｂ］・［ａ］）が成り立つ環を可換環といい、加えて乗法の単位元［１］を持つとき単位元を持つ可換環という。

除算に関しては、［ｂ］・［ｘ］＝［ｘ］・［ｂ］＝［１］を満たす元［ｘ］が存在する［ｂ］についてのみ定義でき、このような元［ｘ］が存在するとき、［ｘ］を［ｂ］の逆元といい［ｂ^－１］とかく。即ち、逆元が存在する［ｂ］について除算［ａ］／［ｂ］は
［ｂ］・［ｂ^－１］＝［１］
を満たす逆元［ｂ^－１］を［ａ］に掛ける（［ａ］・［ｂ^－１］）ことにより計算される。

Ｚ_ｐの元［ｂ］に逆元［ｂ^－１］が存在するための必要十分条件はＧＣＤ（ｂ，ｑ）＝１である。即ち、Ｚ_ｐの元ｂはｂとｐが互いに素となるとき、かつ、その時に限り逆元［ｂ^－１］を持つ。例えば、ｐ＝５としたとき、ｂ＝３は、３と５が互いに素であることから、［３^－１］＝［２］となる。しかし、ｐ＝６とした場合はＧＣＤ（３，６）＝３となり、互いに素にならず、逆元が存在しないことから、除法は実現できない。

さて、［０］はｐで割ったときの余りが０となる集合を表している。明示的に書けば
［０］＝｛・・・，－２ｐ，－ｐ，０，ｐ，２ｐ，・・・｝
を意味する。Ｚ_ｐに演算を定義するに際しては、集合［０］の要素のどの元で計算しても答えは一致することから、簡単のために集合［０］に含まれる１つの要素（代表元）で代表させて計算することを考える。この代表元は（その性格から）この集合に含まれている元であれば何でも良いのではあるが、実施形態では簡単のため、０で代表させる。同様に、［１］を１、［２］を２のように最小の正整数で代表させ、Ｚ_ｐを｛０，１，・・・，ｑ－１｝で代表させることとする。

ここで、ｐを素数とすると、０以外の全ての代表元はｐと互いに素となり、除法が定義できる。即ち、ｐを素数とするとＺ_ｐにおいて加減乗除が定義できる。このように可換環であり、０以外の元が乗法に関して逆元を持つ集合を体という。特にｐを素数にしたときのＺ_ｐのように有限個の元からなる体を有限体という。有限体はその元の数が素数か素数の冪となるものしかなく、前者を素体と呼ぶ。ここで述べたＺ_ｐは素体である。

次に、多項式に関わる記法と定義を示す。素体Ｆ_ｐを係数とする一変数多項式の集合をＦ_ｐ［ｔ］と記載する。容易に分かるようにＦ_ｐ［ｔ］は加減乗算が可能ではあるが、多項式の除算は定数項のみからなる多項式を除いて逆元が存在しないため成立しない。

［多変数多項式の記法］
次に、２変数多項式に関する用語と記号を定義する。まず、環Ｒ上の２変数多項式を下記式（１）により記載する。

ここで、τ_ｉ，ｊ（ｔ）は一変数多項式環Ｆ_ｐ［ｔ］の元である。集合Γ_ξは多項式ξ（ｘ，ｙ）に含まれる非零の単項式の指数の組（ｉ（ｘ指数），ｊ（ｙ指数））の集合で、２変数多項式ξ（ｘ，ｙ）の項集合と呼ぶ。

たとえば、下記式（２）のＺ_７上の多項式の項集合は、下記式（３）となる。

ここで、Γ_ξの要素数は２変数多項式ξ（ｘ，ｙ）の単項式の数と一致する。また以下では、２変数多項式であることが明らかな場合、ξ（ｘ，ｙ）を単にξと書くことがある。

なお、実施形態では、簡単のため次数Ｄの２変数多項式の項集合をその最大項集合として定め、Γ_Ｄと表記する。即ち、Ｄ＝２のときは、下記式（４）となり、Ｄ＝３のときは、下記式（５）となる。

このΓ_３は、上記式（３）の項集合Γ_ξを部分集合として含んでいる。

項集合Γ_Ｄが与えられたとき、この項集合Γ_Ｄを持つ一変数多項式環Ｆ_ｐ［ｔ］上の２変数多項式の集合を下記式（６）により定義する。

ここでａ_ｉ，ｊ（ｔ）はＦ_ｐ［ｔ］上の元である。尚、上記式（６）の左辺を単にＦ_ΓＤと書くことがある。また、その係数ａ_ｉ，ｊ（ｔ）の次数がｄ以下に限定される場合を、下記式（７）で表し、同様に単にＦ_ΓＤ，ｄと書くことがある。

一変数多項式環Ｆ_ｐ［ｔ］上の２変数多項式を３変数多項式として、下記式（８）により表す。

ここで、μ_{ｉ，ｊ，ｋ}は有限体Ｆ_ｐの元である。集合Δ_ξは多項式ξ（ｘ，ｙ，ｔ）に含まれる非零の単項式の指数の組（ｉ（ｘ指数），ｊ（ｙ指数），ｋ（ｔ指数））の集合で、３ 変数多項式ξ（ｘ，ｙ，ｔ）の項集合と呼ぶ。

たとえば、Ｆ_７上の多項式（９）の項集合は、下記式（１０）となる。

ここで、Δ_ξの要素数は３変数多項式ξ（ｘ，ｙ，ｔ）の単項式の数と一致する。また以下では、３変数多項式であることが明らかな場合、ξ（ｘ，ｙ，ｔ）を単にξと書くことがある。

尚、最大項集合の表記は、２変数多項式の際の表記に倣い、３変数多項式のｘ，ｙに関する次数Ｄで各係数ａ_ｉ，ｊ（ｔ）の次数がｄ以下に限定される最大項集合をΔ_Ｄ，ｄと記載することとする。

例えば、Ｄ＝２，ｄ＝１の場合は、下記式（１１）となる。

［解と零点］
一変数多項式環Ｆ_ｐ［ｔ］上の方程式Ｘ（ｘ，ｙ）＝０を満たす一変数多項式環Ｆ_ｐ［ｔ］上の元の対（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を方程式Ｘ（ｘ，ｙ）＝０の解という。また、Ｘ（ｘ，ｙ）を多項式と見たとき、方程式Ｘ（ｘ，ｙ）＝０の解をＸ（ｘ，ｙ）の零点という。

［一変数多項式における近似ＧＣＤ計算］
一変数多項式環Ｆ_ｐ［ｔ］の多項式ｆ（ｔ），ｇ（ｔ）の最大公約式（ＧＣＤ：Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）をａ（ｔ）とすると、ａ（ｔ）はユークリッド互除法によって求められることは良く知られている事実である。これらｆ（ｔ），ｇ（ｔ）に小さな次数のノイズｅ１（ｔ），ｅ２（ｔ）がそれぞれ付加された場合の近似ＧＣＤ計算について説明する。この近似ＧＣＤ計算の演算は、実施形態の暗号方式の復号において重要な役割を果たす。

下記式（１２）のＦ_ｐ［ｔ］の多項式ｆ（ｔ），ｇ（ｔ）が、下記式（１３）の条件を満たすときに次数ｄのＧＣＤａ（ｔ）を図１に示すＡｌｇｏｒｉｔｈｍ１で求めることができることが知られている。

このアルゴリズムは拡張ユークリッド互除法のアイデアを利用しており、効率的に処理が可能である。本実施形態では、このａ（ｔ）のことをｆ（ｔ），ｇ（ｔ）の近似ＧＣＤ（Ａｐｐｒｏｘｉｍａｔｅ ＧＣＤ）と呼ぶ。

［多変数多項式のイデアル分解］
多変数多項式環Ｆｐ［ｔ］［ｘ，ｙ］におけるイデアルを利用した因数分解（イデアル分解）問題を定義し、その１つの解法アルゴリズムを示す。イデアル分解とはＦ_ｐ［ｔ］［ｘ，ｙ］の２つの元Ｘとｆ（＝Π_ｊ＝１ ^ｎｈ_ｊ＋Ｘ_ｒ）が与えられたときｈ_ｊ（∈Ｆｐ［ｔ］［ｘ，ｙ］）（ｊ＝１，・・・，ｎ）を求める問題である。ここで、ｒもＦ_ｐ［ｔ］［ｘ，ｙ］の元であり、いわば、剰余環Ｆ_ｐ［ｔ］［ｘ，ｙ］／（Ｘ）における多項式ｆ の因数分解問題である。

多変数多項式環Ｆ_ｐ［ｔ］［ｘ，ｙ］の有限集合をＧ＝｛ｇ_１，・・・，ｇ_ｓ｝とする。このとき、任意の多項式ｆ（∈Ｆｐ［ｔ］［ｘ，ｙ］）に対して、多項式ｑ_ｉ（ｈ_ｊ（∈Ｆｐ［ｔ］［ｘ，ｙ］）が存在して、下記式（１４）が、ｒ＝０、または、任意のｉに対して、ＬＭ（ｒ）がＬＭ（ｇ_ｉ）で割り切れないことが知られている。

ここで、ＬＭ（ｒ）は多変数多項式環Ｆ_ｐ［ｔ］に定めた単項式順序において先頭順序となる単項式を意味する。例えば、ｘ＞ｙ＞ｔなる順序を定めた場合、単項式の順序はｘ，ｙ，ｔの順に優先され、同じ変数が入った単項式の場合はこの順で指数が高いものが先にくる。式（９）の多項式をｒとすると、ｒの単項式順序はｔ^２ｘ^２，２ｔｘ^２，６ｘ^２，４ｔ^２ｘ，ｘ，３ｔｙ^２，５ｙ^２，４ｔ^２，ｔ，３となり、ＬＭ（ｒ）＝ｔ^２ｘ^２となる。

有限集合Ｇを使って、ｆを上記式（１４）のように変形することをｆのＧによる正規化といい、ｒをＧの正規形（Ｎｏｒｍａｌ Ｆｏｒｍ）と呼んで、ＮＦ_Ｇ（ｆ）と書く。また、多項式のイデアルＪに対して集合Ｇをグレブナ基底と呼ばれる集合にすると、イデアルＪに含まれる任意の要素ｆの正規形が０となる。即ち、下記式（１５）と書けることが知られている。

ここでｑ_ｉはＦｐ［ｔ］［ｘ，ｙ］の元である。

さて、ｆとＸの終結式を計算すると、下記式（１６）となることが知られている。

ここでＲｅｓ_ｘ（ｆ，Ｘ）は変数ｘに関する終結式である。ここで変数ｙについても同様に下記式（１７）により、終結式が計算できる。

ここで、イデアルＪを下記式（１８）とする。

Ｊは（ｈ_ｊ，Ｘ）とほぼ一致し、ｈ_ｊ∈Ｊとなることから、イデアルＪのグレブナ基底Ｇを計算し、Ｇの下でｈ_ｊの正規形を計算すると０となる。いま、簡単のためにｈ_ｊを単にｈと書き、ｈを下記式（１９）により表す。

ここでμ_ｉｊｋはＦ_ｐを値とする変数である。ｈのＧにおける正規形を計算すると下記式（２０）になる。

この両辺のｘ^ｉｙ^ｊｔ^ｋの係数を比較することで連立一次方程式を導出し、これを解いてμ_ｉｊｋを得ることによって、ｈを復元することができる。

一方で、実際にはＲｅｓ_ｘ（ｈ_ｉ，Ｘ）、Ｒｅｓ_ｙ（ｈ_ｉ，Ｘ）はそれぞれＲｅｓ_ｘ（ｆ，Ｘ）、Ｒｅｓ_ｙ（ｆ，Ｘ）の因子であり、それらの正しい組み合わせでなければｈ_ｉは復元しない。それらの点を考慮すると、イデアル分解は図２に示すＡｌｇｏｒｉｔｈｍ２で実現されることが分かる。

［不定方程式とその求解問題］
不定方程式は変数の数が（方程式に含まれる）式の数よりも多い方程式と定義できる。不定方程式はその束縛条件が少ない一方で解の自由度が大きいため、解を持てば複数（場合によっては無数）となることが多い（これが「不定」の意味するところである。）。実際、整数係数の不定方程式の実数解（或いは複素数解）は無数に存在し、その幾つかを近似解として求めることは容易である。一方で、整数係数の不定方程式の整数解など離散的な集合に解を持つ方程式については、通常このような手法は使えない。そこで、何らかの理論的な絞り込みが必要になるが、そのような絞り込みを行っても、一般的には有限回の手段では解の存在、非存在を判定することができないことが知られている（非可解問題）。

実施形態で提案する不定方程式暗号は１変数多項式環Ｆ_ｐ［ｔ］上定義された不定方程式Ｘ（ｘ，ｙ）＝０の一変数多項式解を求める求解問題を安全性の基盤としており、この問題は以下のように定義される。

定義１（一変数多項式環Ｆ_ｐ［ｔ］上の不定方程式の求解問題）
１変数多項式環Ｆ_ｐ［ｔ］上定義された不定方程式Ｘ（ｘ，ｙ）＝０が与えられた時、Ｆ_ｐ［ｔ］上の一変数多項式解ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を求める問題を一変数多項式環Ｆ_ｐ［ｔ］上の不定方程式の求解問題、もしくは有限体Ｆ_ｐ上定義された代数曲面Ｘ（ｘ，ｙ）上の求セクション問題という。

以下では、実施形態の不定方程式暗号の鍵生成アルゴリズムと暗復号アルゴリズムとを示す。本方式においては平文Ｍを複数の平文多項式因子ｍ_ｉ（ｘ，ｙ）に分散して埋め込む。即ち、平文をその係数にそのまま埋め込んだ平文多項式がＭ（ｘ，ｙ）であるとすると、ｍ_ｉ（ｘ，ｙ）に対してｋ個の平文多項式因子と呼ぶ多項式ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，ｋ）を用意して、下記式（２１）となるように分散して埋め込む。

具体的な埋め込み方法は、後述の［平文の埋め込み］で説明する。一方で、復号においても積Π_ｉ＝１ ^ｋｍ_ｉ（ｘ，ｙ）を復元した後、因数分解を行って、因子ｍ_ｉ（ｘ，ｙ）（ｉ＝１，・・・，ｋ）を求めない限りは平文が復元できない構造となっている。以下では簡単のためにｍ_ｉ（ｘ，ｙ）のｘ，ｙの多項式として見たときの次数を１とし、ｍ_ｉ（ｘ，ｙ）＝ｍ_ｘ，ｉ（ｔ）ｘ＋ｍ_ｙ，ｉ（ｔ）ｙ＋ｍ_１，ｉ（ｔ）の形に書ける多項式のみを因子とする平文多項式のみを考える。

また、以下に示すアルゴリズムでは、理解を助ける目的で小さなサイズの数値例を添えるが、この数値例では暗号の安全性は保てないことをお断りしておかなければならない。

［システムパラメータ］
システムパラメータとは、各アルゴリズムで利用されるパラメータで、安全性や復号可能性を保証するためのパラメータである。システムパラメータは任意に設定可能な独立パラメータと、独立パラメータから導出される従属パラメータからなり、以下の通りに定められる。独立パラメータは以下の１～７である。

１．ｐ：素体Ｆ_ｐのサイズを示す素数
（例）ｐ＝７

２．ｄ：解（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数
実施形態ではｄ_ｓ＝ｄｅｇｕ_ｘ（ｔ）＝ｄｅｇｕ_ｙ（ｔ）とする。
（例）ｄ＝９

３．下記式（２２）により表される（非線形）不定方程式Ｘ（ｘ，ｙ）の次数：Ｄ_Ｘ
（例）Ｄ_Ｘ＝２

４．下記式（２３）により表される平文多項式Ｍ（ｘ，ｙ）の次数：Ｄ_ｍ
（例）Ｄ_ｍ＝２

５．下記式（２４）により表されるランダム多項式ｒ（ｘ，ｙ）の次数：Ｄ_ｒ
（例）Ｄ_ｒ＝１

６．下記式（２５）により表されるランダム多項式ｓ（ｘ，ｙ）の次数：Ｄ_ｓ
（例）Ｄ_ｓ＝１

７．下記式（２６）により表されるノイズ多項式ｅ（ｘ，ｙ）の次数：Ｄ_ｅ
（例）Ｄ_ｅ＝０

ここで、後述する線形代数攻撃を回避するために、下記式（２７）の条件を満たすようにする必要がある。

上述の独立パラメータに従属する従属パラメータは以下の１～５である。

１．ｄ_Ｘ：不定方程式Ｘ（ｘ，ｙ）（ｉ＝１，・・・，Ｄ_Ｘ）の各係数τ_ｉｊ（ｔ）の次数。
（例）ｄ_Ｘ＝ｄ－１

２．ｄ_ｍ：平文多項式因子ｍ_ｊ（ｘ，ｙ）（ｊ＝１，・・・，Ｄ_ｍ）の各係数の次数。
（例）ｄ_ｍ＝２

３．ｄ_ｒ：ランダム多項式ｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）の各係数ｒ_ｉｊ（ｔ）の次数。
（例）ｄ_ｒ＝２

４．ｄ_ｓ：ランダム多項式ｓ_ｋ（ｘ，ｙ）（ｋ＝１，２）の各係数ｓ_ｉｊ（ｔ）の次数。
（例）ｄ_ｓ＝２

５．ｄ_ｅ：ノイズ多項式ｅ_ｋ（ｘ，ｙ）（ｋ＝１，２）の各係数ｅ_ｉｊ（ｔ）の次数。
（例）ｄ_ｅ＝２

ここで、後述する線形代数攻撃を回避するために、下記式（２８）の条件を満たすようにする必要がある。

＜鍵＞
公開鍵暗号の鍵は秘密鍵と公開鍵からなる。以下では、実施形態における鍵を具体的に示す。まず秘密鍵は、下記式（２９）により表される不定方程式Ｘの解ｕである。

（例）ここでｄ＝９，ｐ＝７のとき、解ｕは下記式（３０）により表される。

公開鍵は、下記式（３１）により表される不定方程式Ｘ（ｘ，ｙ）である。

ここで、Ｘ（ｘ，ｙ）＝０は秘密鍵ｕを解に持つ。即ち、Ｘ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）＝０である。

＜鍵生成＞
秘密鍵及び公開鍵は、上述のシステムパラメータを入力として、以下の処理を行うことで生成される。秘密鍵（多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）（∈Ｆ_ｐ［ｔ］））は、ｄｅｇｕ_ｘ（ｔ）＝ｄｅｇｕ_ｙ（ｔ）＝ｄの条件で、一様ランダムに生成される。
（例）ｄ＝９，ｐ＝７の場合、秘密鍵は上述の式（３０）により表される。

尚、この秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）（∈Ｆ_ｐ［ｔ］）はｕ_ｘ（ｔ）（∈Ｆ_ｐ［ｔ］）のみに圧縮することができる。なぜなら、ｕ_ｘ（ｔ）さえ分かれば、Ｆ_ｐ［ｔ］上の１変数方程式Ｘ（ｕ_ｘ（ｔ），ｙ）＝０を解くことにより、ｕ_ｙ（ｔ）が比較的容易に導出できるからである。そこで、実施形態ではｕ_ｘ（ｔ）を圧縮された秘密鍵とする。

公開鍵は以下の方法１～３で生成できる。
１．不定方程式の項集合Γ_{Ｄｘ，ｄｘ}から定数項τ_００（ｔ）以外の項を一様ランダムに生成
具体的な生成方法は、
（ａ）Ｘ（ｘ，ｙ）＝０
（ｂ）Γ_Ｄｘの各要素（ｉ，ｊ）（但し、（０，０）は除く）に対して以下を実行する。
ｉ．次数ｄ_Ｘの多項式τ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から一様ランダムに生成。
ｉｉ．Ｘ（ｘ，ｙ）＝Ｘ（ｘ，ｙ）＋τ_ｉｊ（ｔ）ｘ^ｉ
（例）ｐ＝７，ｄ＝９，Ｄ_Ｘ＝２のとき、Ｘ（ｘ，ｙ）は下記式（３２）により表される。

２．定数項τ_００（ｔ）を下記式（３３）により計算

上記式（３２）の例の場合には、定数項τ_００（ｔ）は、下記式（３４）により表される。

上記式（３２）に上記式（３４）の定数項τ_００（ｔ）を加えると、Ｘ（ｘ，ｙ）は、下記式（３５）により表される。

ここでＸ（ｘ，ｙ）の係数に着目すると定数項の係数の次数が２６となっており他の項の次数８をはるかに上回っている。これはτ_００（ｔ）の計算式（３３）により、次数がｄ・ｄｅｇＸ（ｘ，ｙ）＋ｄ_Ｘとなるためである。本実施形態ではこれを他の係数の次数に合わせるため、以下の方法３によって調整を行う。

３．不定方程式Ｘ（ｘ，ｙ）の調整
解（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つ不定方程式Ｘ（ｘ，ｙ）は任意の一変数多項式ｑ（ｔ）に対してＸ（ｘ，ｙ）＋ｑ（ｔ）ｘ^ｉｙ^ｉ－ｑ（ｔ）ｕ_ｘ（ｔ）^ｉｕ_ｙ（ｔ）^ｊという変形を施しても同一の解（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つ。ここで、ｉを０≦ｉ≦ｄｅｇＸ（ｘ，ｙ）なる範囲の整数とし、下記式（３６）とする。

このとき、τ_００（ｔ）＝ｑ（ｔ）ｕ_ｘ（ｔ）^ｉ＋τ_００’（ｔ）かつｄｅｇτ_００’（ｔ）＜ｄｅｇｕ_ｘ（ｔ）^ｉと書けるので、Ｘ’（ｘ，ｙ）＝Ｘ（ｘ，ｙ）＋ｑ（ｔ）ｘ^ｉ－ｑ（ｔ）ｕ_ｘ（ｔ）^ｉという変形によって定数項をτ_００’（ｔ）とすることができ、次数を減らすことができる。

尚、ｄ_Ｘ＝ｄ－１として、この方法を用いると、全ての係数の次数は一致し、調整されたｘ^２，ｘの項と定数項以外の項はステップ１でランダムに選択されたものとなる。そこで、ｄ_Ｘ＝ｄ－１として、ステップ１，２でＸ（ｘ，ｙ）を生成し、本変形を次数の高い項から順に行うことで、各係数の次数を上げることなく定数項τ_００（ｔ）の次数を順次下げて任意の（ｉ，ｊ）（∈Γ_ｘ）に対してｄｅｇτ_ｉｊ（ｔ）＝ｄ－１とすることができる。具体的なアルゴリズムは図３に示すＡｌｇｏｒｉｔｈｍ３の通りである。

これにより、Ｘ（ｘ，ｙ）は下記式（３７）により表される。

［公開鍵の圧縮］
上述の公開鍵の生成アルゴリズムから明らかなように、公開鍵となる不定方程式Ｘ（ｘ，ｙ）の各項の係数（ｘ^ｉ（ｉ＝０，・・・Ｄ_Ｘ）の項以外）はランダムに生成される。したがって、この部分は乱数のシードだけを公開して、特定の疑似乱数生成関数やハッシュ関数などを利用して生成することができる。よって、公開するのはこのシードと調整された部分の係数のみとすることにすることができ、公開鍵のサイズが圧縮される。上記式（３７）の例では、下記式（３８）の部分のみ実際の係数を公開し、その他の項はシード（通常はセキュリティパラメータだけのビット長をもつ）を公開することにより生成できる。

これによれば、次数２であれば約半分に、次数３であれば約２／５、次数４であれば約１／３に圧縮できる。

［暗号化］
次に、実施形態の暗号化処理について説明する。

［平文の埋め込み］
実施形態では、平文を埋め込む平文多項式は上述の式（２３）のような積構造をしているため、直接埋め込むことができない。そこで、実施形態の暗号化装置は、平文を平文多項式因子ｍ_ｊ（ｘ，ｙ）（ｉ＝１，・・・，Ｄ_ｍ）に分散して埋め込む。平文多項式の因子ｍ_ｊ（ｘ，ｙ）は前述の通り、ｍ_ｊ（ｘ，ｙ）＝ｍ_ｊ，ｘ（ｔ）ｘ＋ｍ_ｊ，ｙ（ｔ）ｙ＋ｍ_ｊ，１（ｔ）と書ける。係数ｍ_ｊ，ｘ（ｔ），ｍ_ｊ，ｙ（ｔ）及びｍ_ｊ，１（ｔ）はそれぞれｄ_ｍ次である。実施形態の暗号化装置は、平文Ｍをｐ進展開して、下記式（３９）によって表す。

このとき、平文Ｍは下記式（４０）のようにＦ_ｐ［ｔ］の元に埋め込まれる。

即ち、ｐ＝７，ｄ_ｍ＝１とすると、実施形態の暗号化装置は、平文（３，０，１，１，５）_（７）を平文多項式の因子として分散して埋め込む。例えば、ここではＤ_ｍ＝３のとき、平文（３，０，１，１，５）_（７）は、ｍ_１＝（２，５，５，２，３）_（７），ｍ_２＝（６，６，５，１，２）_（７），ｍ_３＝（２，３，５，５，０）_（７）のように分散する。平文は、これらのベクトルの要素ごとの和ｍ_１＋ｍ_２＋ｍ_３＝（３，０，１，１，５）_（７）を取ることで復元される。

このように平文を複数の要素の和に分散するために、例えば実施形態の暗号化装置は、平文Ｍをｍ_１，・・・，ｍ_Ｄｍに分散するときｍ_１，・・・，ｍ_Ｄｍ－１を平文Ｍと同じサイズのランダムなデータとして生成し、ｍ_Ｄｍ＝ｍ－（ｍ_１＋ｍ_２＋・・・＋ｍ_Ｄｍ－１）とする。

［暗号化アルゴリズム］
１．平文を、上述の方法で次数ｄ_ｍ次の平文多項式の因子ｍ_ｊ（ｘ，ｙ）（ｊ＝１，・・・，Ｄ_ｍ）に分散して埋め込む。平文（３，０，１，１，５）_（７）を、ｍ_１＝（２，５，５，２，３）_（７），ｍ_２＝（６，６，５，１，２）_（７），ｍ_３＝（２，３，５，５，０）_（７）のように分散する場合、下記のようになる。
ｍ_１（ｘ，ｙ）＝（２ｔ＋１）ｘ＋（５ｔ＋５）ｙ＋２ｔ＋３
ｍ_２（ｘ，ｙ）＝（６ｔ＋１）ｘ＋（６ｔ＋５）ｙ＋ｔ＋２
ｍ_３（ｘ，ｙ）＝（２ｔ＋１）ｘ＋（３ｔ＋５）ｙ＋５ｔ

ここで、項ｘの係数は平文多項式因子の定数倍の曖昧性を除去するため１に固定し、項ｘの係数には平文は埋め込まない。

２．ランダム多項式ｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）の生成
ｄ_ｒ次以下の係数を持つＤ_ｒ次の２変数ランダム多項式ｒ_ｋ（ｘ，ｙ）をランダムに項集合Γ_{Ｄｒ、ｄｒ}から生成する。具体的な生成方法は、以下の通りである。
（ａ）ｒ_ｋ（ｘ，ｙ）＝０（ｒ_ｋに初期値０を代入）
（ｂ）各（ｉ，ｊ）∈Γ_Ｄｒに対して以下を実行する。
ｉ．次数ｄ_ｒの多項式ｒ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から一様ランダムに生成する。
ｉｉ．ｒ_ｋ＝ｒ_ｋ＋ｒ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（ｒ_ｋに右辺の式を代入）
（例）ｐ＝７，Ｄ_ｒ＝２，ｄ_ｒ＝１のとき、生成されるランダム多項式ｒ_ｋは、例えば下記式（４１）により表される。

３．ランダム多項式ｓ_ｋ（ｘ，ｙ）の生成
ｄ_ｓ次以下の係数を持つＤ_ｓ次の２変数ランダム多項式ｓ_ｋ（ｘ，ｙ）をランダムに項集合Γ_{Ｄｓ、ｄｓ}から生成する。具体的な生成方法は、以下の通りである。
（ａ）ｓ_ｋ（ｘ，ｙ）＝０（ｓ_ｋに初期値０を代入）
（ｂ）各（ｉ，ｊ）∈Γ_Ｄｓに対して以下を実行する。
ｉ．次数ｄ_ｓの多項式ｓ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から一様ランダムに生成。
ｉｉ．ｓ_ｋ＝ｓ_ｋ＋ｓ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（ｓ_ｋに右辺の式を代入）
（例）ｐ＝７，Ｄ_ｓ＝１，ｄ_ｓ＝１のとき、生成されるランダム多項式ｓ_ｋは、例えば下記式（４２）により表される。

４．ノイズ多項式ｅ_ｋ（ｘ，ｙ）の生成
ｄ_ｅ次以下の係数を持つノイズ多項式ｅ_ｋ（ｘ，ｙ）をノイズ多項式の形式Γ_{Ｄｅ，ｄｅ}から生成する。具体的な生成方法は、以下の通りである。
（ａ）ｅ_ｋ（ｘ，ｙ）＝０（ｅ_ｋに初期値０を代入）
（ｂ）各（ｉ，ｊ）∈Γ_Ｄｅに対して以下を実行する。
ｉ．次数ｄ_ｅの多項式ｅ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から一様ランダムに生成。
ｉｉ．ｅ_ｋ＝ｅ_ｋ＋ｅ_ｉｊ（ｔ）ｘ^ｉｙ^ｊ（ｅ_ｋに右辺の式を代入）
（例）ｐ＝７，Ｄ_ｅ＝０，ｄ_ｅ＝３のとき、生成されるノイズ多項式ｅ_ｋは、例えば下記式（４３）により表される。

５．暗号文ｃ_ｋ（ｘ，ｙ）の生成
下記式（４４）によって暗号文ｃ（ｘ，ｙ）＝Ｅ_ｐｋ（Ｍ，ｓ_ｉ，ｒ_ｉ，ｅ_ｉ，Ｘ）を計算する。

（例）本例の場合、暗号文ｃ_１は下記式（４５）によって表され、暗号文ｃ_２は下記式（４６）によって表される。

［復号（その１）］
次に、実施形態の１つ目の復号処理について説明する。

解ｕ：（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を不定方程式Ｘ（ｘ，ｙ）に代入するとＸ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））＝０となる関係があることに注意する。

［復号アルゴリズム］
復号アルゴリズムは以下の通りである。

１．解の代入
解ｕをｃ_ｋ（ｘ，ｙ）に代入して下記式（４７）を計算する。

本例の場合、ｃ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））は下記式（４８）によって表され、ｃ_２（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））は下記式（４９）によって表される。

２．平文多項式の積Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（＝Π_ｉ＝１ ^Ｄｍｍ_ｉ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））を近似ＧＣＤ計算によって算出
これは、上述の式（１３）の条件が成り立つときに成立するが、上述の式（１３）の条件は後述の条件（６２）によって保証される。本例では、下記式（５０）により表される。

３．Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解
本例の場合は下記式（５１）に分解される。

４．ステップ３で得られた因子の組合せから平文多項式を復元
本例の場合は、因子（ｔ＋２）（ｔ＋３）（ｔ^８＋５ｔ^６＋３ｔ^５＋ｔ^４＋６ｔ^３＋４ｔ^２＋ｔ＋１）から（２ｔ＋１）ｘ＋（５ｔ＋５）ｙ＋２ｔ＋３が復元できる。また、因子（ｔ^２＋ｔ＋４）（ｔ^８＋３ｔ^７＋６ｔ^６＋６ｔ^５＋４ｔ^４＋ｔ^３＋４ｔ^２＋６ｔ＋５）から（５ｔ＋１）ｘ＋（４ｔ＋４）ｙ＋５ｔ＋３が復元できる。また、（ｔ^１０＋４ｔ^９＋４ｔ^７＋２ｔ^６＋５ｔ^４＋５ｔ^３＋５ｔ^２＋ｔ＋２）から（２ｔ＋１）ｘ＋（３ｔ＋５）ｙ＋５ｔが復元できる。因子の組み合わせの求め方と平文多項式因子の復元についての詳細は、［平文多項式因子の絞り込み］及び［平文多項式因子の復元］で後述する。

［平文多項式因子の復元］
次に、復号アルゴリズムのステップ４で得られた因子の組み合わせから平文多項式の因子ｍ_ｉ（ｘ，ｙ）を復元する方法を示す。ここでは記述を簡略化するため、添え字を付けず、ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から平文多項式の因子ｍ（ｘ，ｙ）を復元するアルゴリズムを示す。

まず、正しい（即ち、正しい平文多項式ｍ（ｘ，ｙ）に対応した）因子ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））が得られた場合、平文多項式は下記式（５２）により与えられる。

ここで、ｄｅｇｍ_ｘ（ｔ），ｄｅｇｍ_ｙ（ｔ），ｄｅｇｍ_１（ｔ）≦ｄ_ｍであることから、下記式（５３）と書ける。

そこで、ｍ_ｘ，ｊ，ｍ_ｙ，ｊ，ｍ_１，ｊ（ｊ＝０，・・・，ｄ_ｍ）を変数として、秘密鍵である（ｘ，ｙ）＝（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を代入し、得られた式をｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））と比較する（下記式（５４））。

即ち、上記式（５４）は右辺にのみ変数があり、左辺には変数がないことから、右辺と左辺の係数比較により連立方程式が成立する。しかも右辺の変数は相互に乗算されることがないので、連立一次方程式となり、これを解くことにより、平文多項式が復元できる。

尚、上記式（５４）から導出される方程式は変数が３（ｄ_ｍ＋１）、式は平文多項式が上記式（５２）の形であり、全体でｄ＋ｄ_ｍ次あることを考えると、定数項も含めた項の数はｄ＋ｄ_ｍ＋１となるので、同じ数だけの式が存在する。

ここで、解が１つに定まるためには、式の数が変数の数以上にならなければならないので、下記式（５５）の条件を満たさなければならない。

上述の［復号アルゴリズム］で扱った例もｄ＝９，ｄ_ｍ＝１（ｄ＋ｄ_ｍ＝１０）であり、この条件を満たしている。ここで、解が求まらなかったときは対象とした因子ｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））が正しい因子ではなかったことを意味し、この因子は棄却する。

［平文多項式の因子の絞り込み］
次に、Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解したときに得られる因子から、平文多項式の因子に対応する因子ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の候補を抽出して、絞り込む方法について、実施形態で利用している例に基づいて詳しく説明する。

まず、ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数はｄ＋ｄ_ｍであり、本例ではｄ＝９，ｄ_ｍ＝１なので、１０次となる。これと上述の式（５１）で示した因数分解を対照すると、下記式（５６）により表される因子が１つ確定する。

後の２つの因子は、下記式（５７）により表されるペアか、下記式（５８）により表されるペアのどちらかとなる。

実際、前者について平文を復元すると、下記式（５９）が復元できるが、後者は上述の式（５４）から導出される方程式の解が存在せず棄却される。

本例においては、ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の因子の次数がそれぞれ（１，１，２，８，８，１０）であったため、このような比較的単純な組み合わせとなったが、例えば因子の次数が（１，１，２，２，２，２，４，６，１０）のような場合は、より複雑となる。このような場合には（ここでは詳しく述べないが）部分和問題を解くアルゴリズムを活用する。部分和問題とは長さｌの自然数の数列ａ_１，ａ_２，・・・，ａ_ｌがあったとき、この要素の中から幾つかを選んで足した結果が特定の数Ｎとなるような部分数列を求める問題である。この例ではＮ＝１０として足した結果が１０になるような部分数列のうち重なりのないものを求める問題となる。

ここで、数列（１，１，２，２，２，２，４，６，１０）の個々の数字に対応する因子があるので、これらを区別するために、それぞれの要素に番号を付けて［１，２，３，４，５，６，７，８，９］と表記する。ここで、例えば［１，２，３，４，５，６］は対応する数列が（１，１，２，２，２，２）であるから、足したら１０となる。［７，８］、［９］も足したら１０になり、これらの組み合わせが候補の１つとなる。この他にも［１，２，３，４，７］などという組み合わせもあり、これには［５，６，８］、［９］が対応するペアとなる。部分和問題は一般にはＮＰ困難な問題となるが、このように小さなサイズの問題は比較的短時間で求められることが知られている。

［復号と安全性を両立させるためのパラメータ要件］
復号（その１）においては、ステップ２で実行する近似ＧＣＤ計算を成立させる条件（１３）を成立させるため、下記式（６０）及び（６１）の条件が必要である。

上記式（６０）及び（６１）の条件を上述のシステムパラメータで表現すると、下記式（６２）により表される。

上記式（６２）の条件に、安全性確保のための上述の条件（２７）（２８）と、平文とランダム要素を復元するための上述の条件（５５）とを加えて、パラメータの条件は下記式（６３）となる。

［復号（その２）］
次に、実施形態の２つ目の復号処理について説明する。上述の復号（その１）では暗号文（ｃ_１，ｃ_２）に秘密鍵である解（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を代入して得られた２つの式の近似ＧＣＤ計算によってΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を求めた。更にこれを因数分解することによって、個々の因子ｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を求め、対応する因子ｍ_ｊ（ｘ，ｙ）を復元している。しかし、この方法では復元するためにｄ≧（ｄ_ｍ＋１）なる条件を満たさなければならず、ｄを固定するとｄｍが制約を受け、各ｍ_ｊ（ｘ，ｙ）の係数の次数を下げる必要がある。

そこで復号（その２）では、ｍ_ｊ（ｘ，ｙ）の復元にｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を用いない方法について説明する。この方法によれば、上述の条件（５５）の制約条件がなくなり、例えば、ｄ＝３，ｄ_ｍ＝１のようなパラメータも取ることができる。このような場合でも、公開鍵と秘密鍵は上述の方法と同じ方法で生成できる。

以下では、このパラメータに基づいて生成した公開鍵Ｘ（ｘ，ｙ）と秘密鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を例示する。
（例）ｐ＝７，ｄ＝３，Ｄ_Ｘ＝２のとき、下記式（６４）により表される。

また、この公開鍵の下で、平文Ｍ＝（２，２，２，３，３）_（７）を（６，５，６，１，３）_（７）＋（３，４，３，２，０）_（７）と分散し、それぞれ平文多項式因子ｍ_１（ｘ，ｙ）、ｍ_２（ｘ，ｙ）に下記式（６５）のように埋め込む。

ここで、項ｔｘの係数は平文多項式因子の定数倍の曖昧性を除去するため２に固定する必要から平文は埋め込まない。この平文多項式因子に対する暗号文（ｃ_１，ｃ_２）はランダム多項式を、下記式（６６）とし、ノイズ多項式をｅ_１＝ｔ＋１、ｅ_２＝３ｔ＋６とすることにより、下記式（６７）のように生成できる。

［復号アルゴリズム］
復号（その２）の復号アルゴリズムは以下の通りである。

１．解の代入
解ｕをｃ_ｋ（ｘ，ｙ）に代入して下記式（６８）を計算する。

本例では、下記式（６９）となる。

２．平文多項式の積Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（＝Π_ｉ＝１ ^Ｄｍｍ_ｉ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））を近似ＧＣＤ計算によって算出
これは、上述の式（１３）の条件が成り立つときに成立するが、上述の式（１３）の条件は上述の条件（６２）によって保証される。本例では、Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））は下記式（７０）により表される。

３．ｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算してｅ_ｋ（ｘ，ｙ）を復元
ステップ２で計算したＭ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から下記式（７１）によりｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算し、上述の復号（その１）で述べた復元方法によりｅ_ｋ（ｘ，ｙ）を復元する。

本例の場合はＤ_ｅ（＝ ｄｅｇ_ｘ，ｙｅ（ｘ，ｙ））＝０なので、下記式（７２）がそれぞれｅ_１（ｘ，ｙ）、ｅ_２（ｘ，ｙ）にあたる。

Ｄ_ｅ＞０の場合であっても、条件ｄ≧２（ｄ_ｅ＋１）条件が整えば復元可能となる。

４．Π_ｊ＝１ ^Ｄｍｍ_ｊ・ｓ_ｋ＋Ｘ_ｒｋを導出
ｃ_ｋ‐ｅ_ｋを計算することでこれを導出する。本例では、下記式（７３）及び（７４）となる。

５．ｃ_ｋ‐ｅ_ｋをイデアル分解することでｍ_ｊ、ｓ_ｋを導出
イデアル分解の具体的な方法は、上述のイデアル分解の説明の通りである。本例では、ｃ_１‐ｅ_１から、下記式（７５）に分解され、ｃ_２‐ｅ_２から、下記式（７６）に分解される。

これらの共通部分が下記式（７７）に示すｍ_１（ｘ，ｙ）、ｍ_２（ｘ，ｙ）となるが、これは上述の式（６５）において生成したものと一致している。

また、共通部分以外の（２ｔ＋３）ｘ＋（５ｔ＋２）ｙ＋３ｔ＋５と（２ｔ＋６）ｘ＋（４ｔ＋６）ｙ＋ｔ＋２はそれぞれｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）となり、これも上述の式（６６）と一致する。尚、イデアル分解では複数分解候補が出ることがあるが、正
しい平文多項式以外は次のステップ６でほとんど棄却可能である。

６．ｒ_ｋの復元
ｒ_ｋ＝（ｃ_ｋ‐ｅ_ｋ‐Π_ｊ＝１ ^Ｄｍｍ_ｊ・ｓ_ｋ）／Ｘにより、ｒ_ｋを復元する。

７．平文Ｍの復元
ｍ_ｊ，ｓ_ｋ，ｒ_ｋ，ｅ_ｋの全てが復元された場合、平文多項式因子ｍ_ｊ（ｘ，ｙ）から上述の式（２１）によってＭ（ｘ，ｙ）を復元し、その係数から平文Ｍを復元する。ｍ_ｊ，ｓ_ｋ，ｒ_ｋ，ｅ_ｋの全てが復元された場合、平文多項式因子から平文Ｍを復元する。

［復号と安全性を両立させるためのパラメータ要件］
復号（その２）においてもステップ２で実行する近似ＧＣＤ計算を成立させる条件（６２）は必要だが、多項式を復元するための条件（５５）はノイズ多項式復元のための条件ｄ≧２（ｄ_ｅ＋１）に変わる。これと安全性を確保するための条件を合わせると下記式（７８）が復号と安全性を両立させるための条件となる。

尚、Ｄ_ｅ＝０の場合は条件ｄ≧２（ｄ_ｅ＋１）はなくなり、下記式（７９）となる。

［復号に関する注意］
復号（その１）及び復号（その２）は、共通して近似ＧＣＤ計算を利用しており、これが成功するための条件（６２）がそれぞれパラメータの条件（６３）（７８）に反映されている。

しかし、実際の復号の際には、ｄｅｇΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））やｄｅｇｓ_ｉ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））が（計算の途中で最高次の係数が０となることによって）下がることにより、条件（６２）の元となる２つの不等式（６０）（６１）のどちらか一方が成り立たなくなり、近似ＧＣＤ計算に失敗することがある。そこで、近似ＧＣＤ計算の失敗確率を一定以下に設定するとともに、近似ＧＣＤ計算に入力するＧＣＤの次数をｄｅｇΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））よりも小さいところから始めなくてはならない。一方で、ｇｃｄ（ｓ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）），ｓ_２（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））≠１の場合、ｓ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）），ｓ_２（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））が互いに素ではないので共通因子ν（ｔ）が存在して、ν（ｔ）Π_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））がＧＣＤとなることから、ｄｅｇΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））よりも少し大きいところまでＧＣＤの次数を設定しなくてはならない。

［復号失敗確率］
次に、ｄｅｇΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））やｄｅｇｓ_ｉ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の各係数の分布がそれぞれ独立の一様分布であると仮定して、条件（６０）（６１）が成り立たなくなる確率を求める。

不等式（６０）が成り立たなくなる確率Ｐｒｏｂ_{ｍｆａｉｌ}は、下記式（８０）であり、不等式（６１）が成り立たなくなる確率Ｐｒｏｂ_{ｍｆａｉｌ}は、下記式（８１）である。下記式（８０）及び（８１）のうち大きい方が復号失敗確率となる。

以下では本実施形態の幾つかのバリエーション（変形例）を述べる。

［暗号文のバリエーション］
本実施形態における暗号文は式（４４）で定義されるが、これを下記式（８２）としても、同様に、実施形態の暗号化方法及び復号方法は成立し、後述の安全性検証も成り立つ。

［公開鍵Ｘ（ｘ，ｙ）の圧縮に関するバリエーション］
上述の実施形態では公開鍵である不定方程式Ｘ（ｘ，ｙ）の係数は定数項以外を一様ランダムに取り、一部の項（上述の実施形態ではｘ^ｉ（ｉ＝０，・・・，Ｄ_Ｘ）の項）のみを調整した。調整には秘密鍵の情報が必要だが、調整していない項はランダムのままであるので、生成に利用したシードを公開すれば、特定の疑似乱数生成関数やハッシュ関数などを指定して生成することができる。従って、公開するのはこのシードと調整された部分の係数のみとすることにすることができ、公開鍵のサイズが圧縮される。そのようにすると上述の実施形態では、下記式（８３）の部分のみ実際の係数を公開し、その他の項はシード（通常はセキュリティパラメータだけのビット長をもつ）を公開することにより、次数２であれば約半分に、次数３であれば約２／５、次数４であれば約１／３に圧縮できる。

このバリエーションはメモリ容量の小さいローエンド機器への活用を広げることを可能とする。

［公開鍵Ｘ（ｘ，ｙ）の係数に関するバリエーション］
実施形態では公開鍵である不定方程式Ｘ（ｘ，ｙ）の係数は定数項以外を一様ランダムに取り、一部の項（上述の実施形態ではｘ^ｉ（ｉ＝０，・・・，Ｄ_Ｘ）の項）のみを調整した。ここで各係数はＦ_ｐ［ｔ］の元であり、この係数は全て非ゼロとは限らない。仮に非ゼロの係数があった場合は、暗号文のＸ（ｘ，ｙ）ｒ_ｋ（ｘ，ｙ）において一部の項の係数が常にゼロとなる可能性があり、その場合は線形代数攻撃や係数比較攻撃において（全部の情報は洩れなくても）暗号文を構成するランダム多項式の一部の情報が洩れ、そこから平文の情報の一部が漏れる可能性がある。そこで、本バリエーションでは公開鍵Ｘ（ｘ，ｙ）の各項の係数τ_ｉｊ（ｔ）の係数を非ゼロにする方法について説明する。

これを実現するにはまず、係数τ_ｉｊ（ｔ）を一様ランダムに選択する際にランダムに値を取る範囲を１からｐまでとする。更に調整する係数に関しては、調整の結果、一部の係数がゼロとなった場合、秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を取り直すか、一様ランダムに選択した際に利用したシードを変更して再度取り直すことによって非ゼロとすることが可能となる。

［項集合の取り方に関するバリエーション］
上述の実施形態では簡単のために項集合を最大項集合に限定していた。これは未知係数を持つ多項式によって平文を効果的に隠すためには十分ではあるが、暗号文ｃ_ｋ（ｘ，ｙ）における平文項Π_ｊ＝１ ^Ｄｍｍ_ｊ（ｘ，ｙ）ｓ_ｋ（ｘ，ｙ）と公開鍵項Ｘ（ｘ，ｙ）ｒ（ｘ，ｙ）が同じ式の形となることが条件となるので、必要とまでは言えない。そこで、これらの式の形を指定するため、パラメータＤ_ξ，ｄ_ξに変えてΔ_ξを定めることができる（ここでξにはｓ，ｒ，ｅ，Ｘが入る）。このように設定することで、最大項集合よりも小さな項集合で実現できるため、公開鍵、暗号文などのサイズを抑えることができる。

［復号（その１）においてｓ_ｋ，ｒ_ｋ，ｅ_ｋを求めるバリエーション］
復号（その１）では復号（その２）のようにｓ_ｋ，ｒ_ｋ，ｅ_ｋを求めていないが、平文多項式因子ｍ_ｊを求める方法と同じ方法でｓ_ｋ，ｅ_ｋを復元することが可能であり、ｒ_ｋについても復号（その２）における方法が利用できる。但し、この場合は前者の復元のため、条件（６３）に加えて下記式（８４）の条件が必要になる。

このように構成することで、復号の候補が複数あった場合、それらに対応したｓ_ｋ，ｒ_ｋ，ｅ_ｋ復元できるか否かで絞り込むことが可能となり、複数の候補が存在することによる復号の失敗を防ぐことができる。

［平文情報をｓ_ｋ，ｒ_ｋ，ｅ_ｋにも埋め込むバリエーション］
上述のｓ_ｋ，ｒ_ｋ，ｅ_ｋを復元するバリエーションを利用すると、平文情報もしくは平文情報の一部をこれらに埋め込むことができる。このようにすることによって一度に暗号化できるビット長を大きくできるだけでなく、認証子としての情報を加えることで、暗号文を改竄する攻撃にも耐性を有する暗号方式を実現できる。尚、平文多項式に埋め込む場合も含めて、平文を埋め込む際、埋め込む領域を予め決めておくことも可能である。この場合は埋め込まない部分にはランダム値か、解読されても影響がない情報を埋め込むことにより、暗号文としての整合を保つことができる。更に、サイドチャネル攻撃のような実装によって生じた脆弱性によって一部の情報が漏洩する状況にも情報漏洩が起こる可能性がある部分には平文を埋めないことにより対応可能となる。

［平文を分散しないバリエーション］
本実施形態では、平文項を積構造とするため、復号結果から暗号化で埋め込んだ平文の順番が分からなくなる。本実施形態において平文を分散する理由は、安全性を向上させるという理由とともに、平文をどの順番で定義しても正しい復号結果を得るようにするためである。その観点に立って考えると平文多項式因子の一部に順番を示す情報を入れておけば良く、例えば上述の式（６５）に示す平文多項式因子の定数項にその情報を入れると下記式（８５）のようになる。

上記（８５）では、定数項がそれぞれ０，１となっており、この順番で平文となっていることを意味している。本例においてはｔｘの項が定数倍の曖昧性を解決するために２に固定していることと、本例の平文の順番とを考慮すると、６５６１３４３２_（７）となり、暗号化できる平文のサイズが大きくなる。

尚、順番を表す数値は０からｐ－１の範囲であれば０，１，２，・・・と付与しなくても特定の順番でランダムに並べることができる。例えばｐ＝７の場合は３，５と振ることもできる。このようにすることにより、特定の係数が固定されるのを避け、暗号解析に有利となる情報を与えることなく、安全性の高い暗号が構成できる。

［平文多項式因子を用いないバリエーション］
本実施形態では平文を平文多項式因子に分散して埋め込んだが、復号（その２）を前提とすると平文多項式因子を前提とせず、平文多項式をｍ（ｘ，ｙ）として下記式（８６）としても同様の構成ができる。

ここで、ｃ_１（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））、ｃ_２（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の近似ＧＣＤ計算を行うため、条件（６０）が必要になるため、ｍ（ｘ，ｙ）は実質上２次以上となる。このため、復号（その１）では復号が困難となるが、復号（その２）ではイデアル分解を利用するため分解が可能となる。このように構成することにより、復号におけるイデアル分解の因子が少なくなるので、処理を高速化することが可能となる。

［近似ＧＣＤ計算における近似ＧＣＤの次数を変化させるバリエーション］
上述の［復号に関する注意］において述べたように近似ＧＣＤ計算における入力となる近似ＧＣＤの次数ｄ_Ｇはほとんどの場合はｄ_Ｇ＝Ｄ_ｍ（ｄ＋ｄ_ｍ）であるが、それよりも小さい場合や逆に大きい場合が存在する。本バリエーションではこれを考慮した実施形態を示す。これを実施するには復号（その１）、復号（その２）のいずれにおいても、近似ＧＣＤ計算のステップにおいて、Ｄ_ｍ（ｄ＋ｄ_ｍ）よりも小さい値から次数ｄ_Ｇを設定して実行し、平文が復元されない場合は当該ｄ_Ｇを徐々に上げて、最終的にＤ_ｍ（ｄ＋ｄ_ｍ）を超える値まで上げて実行する。このようにすることで、ｄ_Ｇ＝Ｄ_ｍ（ｄ＋ｄ_ｍ）として実行した場合に復号失敗となっていた暗号文が復号可能となる。

［変数に関するバリエーション］
本実施形態では一貫してＦ_ｐ［ｔ］上の２変数多項式を扱ってきたが、これを一般のｎ変数としても本実施形態と同様に暗号化アルゴリズム、復号アルゴリズム、鍵生成アルゴリズムが成り立つ。変数の数が３つより多くなっても不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）が１つであれば不定方程式であることに変わりはなく、その求解問題は計算困難である。それどころか、変数が増えると多くの場合より計算困難な問題となり、安全性が強化される。そのため鍵サイズが削減可能となるだけでなく、変数が多いため、埋め込める平文のサイズは増える。一方で、復元する係数が増えるためシステムパラメータはｄ_ｓ＝ｎ（ｄ_ｍ＋１）に変更しなければならない。

［ノイズ多項式の係数ｅ_ｉｊ（ｔ）の次数を項毎に変えるバリエーション］
本実施形態ではＤ_ｅ＝０に限定して単純化して説明していたが、Ｄ_ｅ＞０とすると、復号（その２）においてはｅ（ｘ，ｙ）を復元するには、ｅ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から上述の式（５４）に基づく線型連立方程式を立てて、これを解くアルゴリズムを適用することになる。この際に一意解を導出するためには方程式の数が変数の数以上であることが必要である。式の数は一変数多項式ｅ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数と一致する。一方で、ｅ（ｘ，ｙ）の高次の項（次数の高い項）はＤ_ｅ＝３であればｘ^３，ｘ^２ｙ，ｘｙ^２，ｙ^３となるなど、低次の項よりも数が多い。したがって、ｅ（ｘ，ｙ）における係数の次数を高次の項の係数の次数を低くし、低次の項の係数の次数を高くすることで、変数の数を抑えながら式の数を増やすことができる。また、このように構成することで、Ｄ_ｅを一律に決めた場合よりも復号条件（６１）を満たすように構成しやすくなるという利点もある。

［ノイズ多項式の係数ｅ（ｘ，ｙ）に積構造を導入するバリエーション］
本実施形態では、平文多項式には積構造を持たせていたが、ノイズ多項式には積構造を持たせていなかった。これはＤ_ｅ＝０であったことにも起因している。Ｄ_ｅ＞０の場合は、上述の［ノイズ多項式の係数ｅ_ｉｊ（ｔ）の次数を項毎に変えるバリエーション］でも示したようにｅ（ｘ，ｙ）を復元するためにｅ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））から線型連立方程式を立てて、これを解く必要があった。ここで、積構造を導入するとノイズ多項式は複数のノイズ多項式因子の積となり、暗号文は下記式（８７）となる。

上記式（８７）ではノイズ多項式因子ｅ_ｋ，ｊ（ｘ，ｙ）は１次式だと仮定している。復号については復号（その２）において、ノイズ多項式を復元する際に、上述の［平文多項式因子の復元］で示したように、ｅ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解して因子毎に連立方程式が組めば良い。これにより、より高い次数の１変数多項式を係数に持つノイズ多項式が構成でき、安全性の向上につながる。

［ノイズ多項式と平文多項式の役割を変えるバリエーション］
本実施形態では平文を平文多項式因子に分散して埋め込んでいたが、上述の［ノイズ多項式の係数ｅ（ｘ，ｙ）に積構造を導入するバリエーション］を踏まえると、平文多項式とノイズ多項式の役割を変更することができる。即ち、暗号文は下記式（８８）となる。

このようにすることで、平文ＭはＭ_１とＭ_２に分割し、それぞれｍ_１（ｘ，ｙ）＝Π_ｊ＝１ ^Ｄｍｍ_ｋ，１（ｘ，ｙ）、ｍ_２（ｘ，ｙ）＝Π_ｊ＝１ ^Ｄｍｍ_ｋ，２（ｘ，ｙ）に埋め込むことができる。

上述のバリエーションの一部又は全部を併用して、実施形態に適用してもよい。例えば、［ノイズ多項式の係数ｅ（ｘ，ｙ）に積構造を導入するバリエーション］と、［ノイズ多項式と平文多項式の役割を変えるバリエーション］とを組み合わせてもよい。すなわち、ノイズ多項式と平文多項式との役割を交換し、かつノイズ多項式に積構造を導入してもよい。

［具体的な構成］
次に本実施形態の公開鍵暗号における暗号化装置、復号装置及び鍵生成装置の具体的な構成とその動作方法を示す。

まず、本実施形態の暗号化装置の構成と処理の流れを図５に示すフローチャートに沿って図４に示す全体構成図を参照しながら示す。

実施形態の暗号化装置１０は、平文取得部１、公開鍵取得部２、平文埋め込み部３、記憶部４、暗号化部５、多項式生成部６、ランダム値生成部７、多項式演算部８及び暗号文出力部９を備える。

まず、平文取得部１が、平文ｍを取得する（ステップＳ１）。平文取得部１は、例えば他のアプリケーション又は他の装置等から取得された暗号化対象データを、平文ｍとして取得する。平文取得部１は、平文ｍを平文埋め込み部３に入力する。

次に、平文埋め込み部３が、記憶部４からシステムパラメータｐ，Ｄ_ｍ，ｄ_ｍを取得する（ステップＳ２）。

次に、公開鍵取得部２が、公開鍵として、２変数不定方程式Ｘ（ｘ，ｙ）を取得する（ステップＳ３）。公開鍵取得部２は、例えば後述の鍵生成装置等の他の装置から公開鍵を取得する。

次に、平文埋め込み部３が、平文取得部１から入力された平文ｍを｜ｐ｜ビット（｜ｐ｜はｐのビット長）の３（ｄ_ｍ＋１）個のサブブロックに分割する。次に、平文埋め込み部３が、各サブブロックをＤ_ｍ個の平文断片に分割する（ステップＳ４）。

なお、分割方法は、Ｄ_ｍ個の平文断片が揃ったときに復元できる方法であれば何でも良いが、一例として上述の和を利用した方法が挙げられる。

平文埋め込み部３は、平文断片を順次Ｄ_ｍ個の平文多項式因子に埋め込む（ステップＳ５）。本実施形態では平文多項式因子は１次式としているため、ｍ_ｊ（ｘ，ｙ）＝ｍ_ｊ，ｘ（ｔ）ｘ＋ｍ_ｊ，ｙ（ｔ）ｙ＋ｍ_ｊ，１（ｔ）（ｊ＝１，・・・，Ｄ_ｍ）であり、各係数ｍ_ｊ，ｘ（ｔ）、ｍ_ｊ，ｙ（ｔ）、ｍ_ｊ，１（ｔ）の次数がｄ_ｍであり、これら多項式の係数はＦ_ｐの元である。平文埋め込み部３は、平文断片を、この１次式の平文多項式因子にそれぞれ埋め込み、平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を生成する。

尚、このように本実施形態の暗号方式のブロックサイズは、３（｜ｐ｜）（ｄ_ｍ＋１）であり、これより大きな平文が入力された際には、まずはこのブロックサイズに分割した上で、ブロック毎に暗号化する。

平文埋め込み部３は、生成されたＤ_ｍ個の平文多項式因子を暗号化部５に入力する。

一方、暗号化部５は、公開鍵取得部２から公開鍵を受け付けると、記憶部４から当該公開鍵に適合するシステムパラメータｐ，Ｄ_ｓ，Ｄ_ｒ，Ｄ_ｅ，ｄ_ｓ，ｄ_ｒ，ｄ_ｅを取得する。

また、暗号化部５はシステムパラメータｐ，Ｄ_ｓ，ｄ_ｓを多項式生成部６に入力し、ここから形成される最大項集合（以下では単に項集合）Γ_ｓに従ってｄ_ｓ次の多項式を係数に持つ２つのランダムな多項式ｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）の生成を多項式生成部６に指示する。多項式生成部６は、ランダム値生成部７に指示して係数ｓ_ｉｊ（ｔ）の係数となるような０からｐ－１までの整数を必要な数（この場合は２ｄ_ｓ＃Γ_ｓ個）だけランダム値生成部７に生成させ、これらの整数に基づいてｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）を生成する（ステップＳ６）。なお、＃Γ_ｓは集合Γ_ｓの要素数を示す。

次に、暗号化部５は、引き続きシステムパラメータｐ，Ｄ_ｒ，ｄ_ｒを多項式生成部６に入力し、ランダム多項式ｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）の生成方法と同じ方法で、ランダム多項式ｒ_１（ｘ，ｙ）、ｒ_２（ｘ，ｙ）を生成する（ステップＳ７）。

次に、暗号化部５は、引き続きシステムパラメータｐ，Ｄ_ｅ，ｄ_ｅを多項式生成部６に入力し、ランダム多項式ｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）の生成方法と同じ方法で、ランダム多項式ｅ_１（ｘ，ｙ）、ｅ_２（ｘ，ｙ）を生成する（ステップＳ８）。

最後に、暗号化部５は、多項式ｓ_ｋ（ｘ，ｙ）、ｒ_ｋ（ｘ，ｙ）、ｅ_ｋ（ｘ，ｙ）（ｋ＝１，２）と、公開鍵Ｘ（ｘ，ｙ）、及び、Ｄ_ｍ個の平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）から暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）を、下記式（８９）に従って生成する（ステップＳ９）。ここで、Ｄ_ｍ個の平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）の乗算は、多項式演算部８によって実行される。暗号化部５は、暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）を暗号文出力部９に入力する。

次に、暗号文出力部９は、暗号化装置１０の出力として、暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）を（必要ならば予め定められたフォーマットに合わせて変形してから）出力する（ステップＳ１０）。

次に本実施形態の復号（その１）を実行する復号装置の構成と処理の流れを図７に示すフローチャートに沿って図６に示す全体構成図を参照しながら説明する。

実施形態の復号装置２０は、暗号文取得部２１、鍵取得部２２、復号部２３、零点代入部２４、近似ＧＣＤ計算部２５、因数分解部２６、記憶部２７、組合せ計算部２８、平文多項式因子復元部２９及び平文出力部３０を備える。

まず、暗号文取得部２１が、暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）を取得する（ステップＳ２１）。暗号文取得部２１は、例えばネットワークを介して他の装置から暗号文ｃ_ｋ（ｘ，ｙ）を取得する。

次に、鍵取得部２２が、公開鍵（Ｘ（ｘ，ｙ））と、秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））とを取得する（ステップＳ２２）。鍵取得部２２は、例えばネットワークを介して他の装置等から公開鍵（Ｘ（ｘ，ｙ））を取得し、復号装置の記憶部２７等から秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を取得する。

次に、復号部２３が、暗号文取得部２１から暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）を受け付け、鍵取得部２２から公開鍵（Ｘ（ｘ，ｙ））と、秘密鍵（零点ｕ：（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））とを受け付けると、復号処理が開始される。

復号部２３はまず、零点代入部２４に暗号文ｃ_ｋ（ｘ，ｙ）（ｋ＝１，２）と零点ｕとを入力する。零点代入部２４は、零点ｕをｃ_ｋ（ｘ，ｙ）に代入し、ｈ_ｋ（ｔ）（ｋ＝１，２）を計算する（ステップＳ２３）。零点代入部２４は、ｈ_ｋ（ｔ）を復号部２３に入力する。

次に、復号部２３は、零点代入部２４からｈ_ｋ（ｔ）を受け付けると、ｈ_ｋ（ｔ）（ｋ＝１，２）と、Π_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数ｄ_Ｍとを近似ＧＣＤ計算部２５に入力する。近似ＧＣＤ計算部２５は、復号部２３からｈ_ｋ（ｔ）（ｋ＝１，２）と、Π_ｊ＝１ ^Ｄｍｍ_ｊ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））の次数ｄ_Ｍとを受け付けると、ｈ_ｋ（ｔ）（ｋ＝１，２）のｄ_Ｍ次の近似ＧＣＤを計算し、近似ＧＣＤ（Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））を復号部２３に入力する（ステップＳ２４）。ここで、ｄ_Ｍ＝Ｄｍ（ｄ＋ｄｍ）とする。

次に、復号部２３は、近似ＧＣＤ計算部２５から近似ＧＣＤ（Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））を受け付けると、当該近似ＧＣＤを因数分解部２６に入力する。因数分解部２６は、復号部２３から近似ＧＣＤ（Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）））を受け付けると、当該近似ＧＣＤの因数分解を実行し（ステップＳ２５）、因数分解の結果を、因子の順序付けられた因子配列として復号部２３に入力する。

次に、復号部２３は、記憶部２７から、システムパラメータｄ，ｄ_ｍを抽出し、因数分解部２６から入力された因子配列から、それぞれの因子の次数を取り出して対応する次数配列を生成する。更に、復号部２３は、次数配列と平文多項式因子の次数に対応するＮ（＝ｄ_ｍ＋ｄ）を組合せ計算部２８に入力する。組合せ計算部２８は、次数が丁度Ｎとなるような因子の組み合わせ（因子系列）を全て抽出し（ステップＳ２６）、当該因子系列のリストを復号部２３に入力する。

復号部２３は、組合せ計算部２８から因子系列のリストを受け付けると、当該リストから因子系列を抽出して、零点ｕ及びシステムパラメータｄ，ｄ_ｍとともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９は、復号部２３から入力された因子系列と零点ｕとシステムパラメータｄ_ｍとから上述の方法で平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を復元し（ステップＳ２７）、当該平文多項式因子を復号部２３に入力する。

次に、平文多項式因子復元部２９は、平文多項式因子を全て復元できたか否かを判定する（ステップＳ２８）。

平文多項式因子を全て復元できた場合（ステップＳ２８，ＯＫ）、復号部２３は、平文多項式因子復元部２９から平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を受け付けると、当該平文多項式因子の係数から分割された平文を抽出して、平文ｍを復元する（ステップＳ２８）。次に、平文出力部３０が、ｍを復号結果として出力し（ステップＳ３２）、復号処理を終了する。

一方で、平文多項式因子を全て復元できなかった場合（ステップＳ２８，ＮＧ）、復号部２３は、次の平文多項式因子候補があるか否かを判定する（ステップＳ３０）。

次の平文多項式因子候補がある場合（ステップＳ３０，Ｙｅｓ）、復号部２３は、次の平文多項式因子候補を抽出し（ステップＳ３１）、ステップＳ２７の処理に戻る。具体的には、平文多項式因子復元部２９が、平文多項式因子を全て復元できなかった場合に復号部２３にエラーを送信する。復号部２３は、平文多項式因子復元部２９からエラーを受信すると、因子系列のリストを参照して次の候補となる因子系列を零点ｕ及びシステムパラメータｄ，ｄ_ｍとともに平文多項式因子復元部２９に送付する。

尚、次の平文多項式因子候補がない場合（ステップＳ３０，Ｎｏ）、復号部２３が復号エラーを平文出力部３０に通知し、平文出力部３０が、復号失敗を示すエラーと空の復号結果とを出力し（ステップＳ３３）、復号処理を終了する。

復号失敗の原因としては通信路上で暗号文が壊れてしまった、或いは改竄されてしまったことが考えられる。もちろん上述の［復号失敗確率］で示したような不可避な場合も考えられるが、復号失敗確率を十分小さく（例えば２^－６４以下）することによって、例外的な可能性までに下げることが可能となる。

次に本実施形態の復号（その２）を実現する復号装置の構成と処理の流れを図９に示すフローチャートに沿って図８に示す全体構成図を参照しながら説明する。

実施形態の復号装置２０－２は、暗号文取得部２１、鍵取得部２２、復号部２３、零点代入部２４、近似ＧＣＤ計算部２５、記憶部２７、平文出力部３０、剰余計算部３１、ノイズ多項式復元部３２、多項式減算部３３及びイデアル分解部３４を備える。

ステップＳ４１～Ｓ４４の処理の説明は、復号（その１）のステップＳ２１～Ｓ２４（図７参照）と同じなので省略する。

復号部２３は、近似ＧＣＤ計算部２５から近似ＧＣＤａ（ｔ）を受け付けると、剰余計算部３１を用いてｈ_ｋ（ｔ） ｍｏｄ ａ（ｔ）を計算し、ｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を得る（ステップＳ４５）。復号部２３は、ｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を零点ｕ及びシステムパラメータｄ，ｄ_ｅとともにノイズ多項式復元部３２に入力する。

次に、ノイズ多項式復元部３２は、因子系列と零点ｕとシステムパラメータｄ_ｅから上述の方法でノイズ多項式ｅ_１（ｘ，ｙ）、ｅ_２（ｘ，ｙ）を復元し（ステップＳ４６）、ｅ_１（ｘ，ｙ）、ｅ_２（ｘ，ｙ）を復号部２３に入力する。

次に、復号部２３は、多項式減算部３３を用いて、ｅ_ｋ（ｘ，ｙ）からｃ_ｋ（ｘ，ｙ）－ｅ_ｋ（ｘ，ｙ）を計算し、ｃ_ｋ（ｘ，ｙ）－ｅ_ｋ（ｘ，ｙ）をイデアル分解部３４に入力する。イデアル分解部３４は、ｃ_ｋ（ｘ，ｙ）－ｅ_ｋ（ｘ，ｙ）をそれぞれイデアル分解して、ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ），ｓ_１（ｘ，ｙ）、及び、ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ），ｓ_２（ｘ，ｙ）を導出し（ステップＳ４６）、復号部２３に入力する。

復号部２３は、これらの共通部分として平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を特定し、その他の因子としてランダム多項式の組ｓ_１（ｘ，ｙ）、ｓ_２（ｘ，ｙ）を特定する。尚、イデアル分解部３４は、ここで複数の候補が得られた場合は、平文多項式因子の組とランダム多項式の組とを一組とする因子系列を出力する。

復号部２３は、平文多項式因子の組とランダム多項式の組とを一組とする因子系列が計算されると、ステップＳ４６の処理により計算されたｅ_ｋ（ｘ，ｙ）（ｋ＝１，２）を利用して下記式（９０）を計算し、下記式（９０）をＸ（ｘ，ｙ）で割ることによってｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）を復元する（ステップＳ４８）。

次に、復号部２３は、ｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）を全て復元できたか否かを判定する（ステップＳ４９）。具体的には、Ｘ（ｘ，ｙ）で割った余りが０でなかった場合、正しくｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）を復元できなかったことを意味する。

ｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）を全て復元できなかった場合（ステップＳ４９，ＮＧ）、復号部２３は、次候補の因子系列（平文多項式因子の組ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）と、ランダム多項式の組ｓ_ｋ（ｘ，ｙ）（ｋ＝１，２））があるか否かを判定する（ステップＳ５０）。

次候補の因子系列がある場合（ステップＳ５０，Ｙｅｓ）、復号部２３は、次候補の因子系列を抽出し（ステップＳ５１）、処理はステップＳ４７に戻る。

次候補の因子系列がない場合（ステップＳ５０，Ｎｏ）、復号部２３が復号エラーを平文出力部３０に通知し、平文出力部３０が、復号失敗を示すエラーと空の復号結果とを出力し（ステップＳ５３）、復号処理を終了する。

ｒ_ｋ（ｘ，ｙ）（ｋ＝１，２）を全て復元できた場合（ステップＳ４９，ＯＫ）、復号部２３は、平文ｍを復元して、平文出力部３０が、ｍを復号結果として出力し（ステップＳ５２）、復号処理を終了する。

次に本実施形態の鍵生成装置の構成と処理の流れを図１１に示すフローチャートに沿って図１０に示す全体構成図を参照しながら示す。

実施形態の鍵生成装置４０は、システムパラメータ取得部４１、制御部４２、多項式生成部４３、ランダム値生成部４４、不定方程式生成部４５、多項式演算部４６及び鍵出力部４７を備える。

まず、システムパラメータ取得部４１が、システムパラメータｐ，ｄ，Ｄ_ｘ，ｄ_ｘを取得する（ステップＳ６１）。システムパラメータｐ，ｄ，Ｄ_ｘ，ｄ_ｘは、例えばユーザからの入力を受け付けることによって取得される。また例えば、システムパラメータｐ，ｄ，Ｄ_ｘ，ｄ_ｘは、システムパラメータｐ，ｄ，Ｄ_ｘ，ｄ_ｘを含む設定データ等を読み込むことにより取得される。

システムパラメータ取得部４１は、システムパラメータを制御部４２に入力する。制御部４２では、システムパラメータ取得部４１から入力されたシステムパラメータに基づいて他の処理部と連携して以下のような処理を行う。

まず、制御部４２は、システムパラメータ取得部４１から入力されたシステムパラメータのうちｐ，ｄを多項式生成部４３に入力し、Ｆ_ｐ［ｔ］に含まれる２つの多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）の生成を指示する。次に、多項式生成部４３が、ランダム値生成部４４に２（ｄ＋１）個の０からｐ－１までの整数の生成を指示する。ランダム値生成部４４は、疑似乱数生成器などを使って２（ｄ＋１）個の０からｐ－１までの乱数を生成し、多項式生成部４３に入力する。多項式生成部４３は、ランダム値生成部４４から入力された２（ｄ＋１）個の乱数を係数として持つ多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成し（ステップＳ６２）、当該多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を制御部４２に入力する。

制御部４２は、多項式生成部４３から受け付けた多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を秘密鍵として保持（格納）する。

また、制御部４２は、公開鍵（下記式（９１）により表される不定方程式Ｘ（ｘ，ｙ））の生成を実施する。

制御部４２は、公開鍵を生成するため、Ｘ（ｘ，ｙ）の定数項以外の係数τ_ｉｊ（ｔ）をＦ_ｐ［ｔ］から抽出する。具体的には、制御部４２は、上述の多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を生成したときと同様に、多項式生成部４３にパラメータｐ，ｄを入力し、Ｆ_ｐ［ｔ］に含まれる＃Γ_ｘ－１個の多項式τ_ｉｊ（ｔ）の生成を指示する。多項式生成部４３は、ランダム値生成部４４を利用して多項式τ_ｉｊ（ｔ）を生成し、＃Γ_ｘ－１個の多項式τ_ｉｊ（ｔ）を生成する。多項式生成部４３は、＃Γ_ｘ－１個の多項式τ_ｉｊ（ｔ）を制御部４２に入力する。

制御部４２は、多項式生成部４３により生成された多項式τ_ｉｊ（ｔ）、システムパラメータｐ，ｄ，Γ_ｘ，ｄ_ｘ及び秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を不定方程式生成部４５に入力する。

不定方程式生成部４５は、多項式演算部４６を利用しながら、まず定数項のない不定
方程式Ｘ′（ｘ，ｙ）を生成する（ステップＳ６３）。次に、不定方程式生成部４５は、秘密鍵（多項式ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））をＸ′（ｘ，ｙ）の変数ｘ，ｙにそれぞれ代入することで、定数項τ_００（ｔ）＝－Ｘ′（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算する（ステップＳ６４）。

次に、不定方程式生成部４５は、定数項τ_００（ｔ）の次数を削減する処理を行う（ステップＳ６５）。

この次数削減の処理に関しては、その一例を図１２に従って詳しく説明する。この次数削減処理は定数項τ_００（ｔ）と秘密鍵ｕ_ｘ（ｔ），ｕ_ｙ（ｔ）を入力とし、同じ零点を持つ不定方程式の中で次数がｄ以下の定数項を持つ別の不定方程式に変換する処理である。

基本的な原理は秘密鍵（零点）を利用して、同じ零点を持つ定数項の次数が小さな不定方程式に置き換えていくことにあり、理論的な背景は上述の通りである。

簡単のため、以下の説明ではＸ（ｘ，ｙ）にはｘ^ｉ（ｉ＝１，・・・，ｄｅｇＸ）の項が全て含まれているとする。まず、不定方程式生成部４５は、ｉ＝ｄｅｇＸ（ｘ，ｙ）と設定して（ステップＳ７１）、τ_００（ｔ） ｍｏｄ ｕ_ｘ（ｔ）^ｉを計算し、τ_００（ｔ）を置き換えるとともに、τ_ｉ０′（ｔ）＝τ_００（ｔ）／ｕ_ｘ（ｔ）^ｉを計算し（ステップＳ７２）、Ｘ′（ｘ，ｙ）をＸ′（ｘ，ｙ）＋τ_ｉ０′（ｔ）ｘ^ｉに置き換える（ステップＳ７３）。この操作を、ｉを１つずつデクリメントしながら（ステップＳ７４）、１になるまで続ける（ステップＳ７５）。

さて、図１１に戻り、図１２の処理をＸ′（ｘ，ｙ）について行うと以下のようになる。τ_００（ｔ）がτ_００（ｔ）＝－Ｘ′（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））と設定されており、Ｘ′（ｘ，ｙ）の各係数の次数ｄ_ｘがｄ－１であるとすると、τ_００（ｔ）の次数はｄ（ｄｅｇＸ（ｘ，ｙ）＋１）－１を超えず、ほぼｄ（ｄｅｇＸ（ｘ，ｙ）＋１）－１となることが期待される。一方で、図１２の処理によりτ_００（ｔ）の次数はｄｄｅｇＸ（ｘ，ｙ）－１未満となり、当初のτ_００（ｔ）と比較して概ねｄ次だけ削減される。また、τ_ｉ０′（ｔ）はτ_００（ｔ）をｕ_ｘ（ｔ）^{ｄｅｇＸ（ｘ，ｙ）}で割った商であるため次数はｄ－１以下となり、τ_ｉ０（ｔ）の次数を超えない。このことを踏まえると、図１２の処理により、不定方程式Ｘ′（ｘ，ｙ）は定数項以外の係数の次数を変更せずに定数項の次数をｄだけ削減できたことが分かる。この操作をｉが０になるまで続けることで、最終的にＸ′（ｘ，ｙ）の定数項以外の係数の次数を変更せずに定数項のみｄ－１以下とすることができる。

次に、不定方程式生成部４５は、Ｘ（ｘ，ｙ）＝Ｘ′（ｘ，ｙ）＋τ_００（ｔ）によって不定方程式を生成する（ステップＳ６６）。

ここで生成されたＸ（ｘ，ｙ）が当初の不定方程式Ｘ′（ｘ，ｙ）＋τ_００（ｔ）と同じ零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つことを示す。そのためには各ステップで得られる不定方程式が零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を持つことを示せばよい。各ステップで得られる不定方程式はＸ′（ｘ，ｙ）＋τ_ｉ０′（ｔ）ｘ^ｉ＋（τ_００（ｔ） ｍｏｄ ｕ_ｘ（ｔ）^ｉ）である。ここに零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を代入すると、下記式（９２）となり、零点となっていることが分かる。

このように生成された不定方程式Ｘ（ｘ，ｙ）は不定方程式生成部４５から制御部４２に出力される。制御部４２は以上の一連の処理が完了したことを確認し、生成された公開鍵（Ｘ（ｘ，ｙ））及び秘密鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を鍵出力部４７に入力する。鍵出力部４７は、制御部４２から入力された公開鍵（Ｘ（ｘ，ｙ）及び秘密鍵（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を鍵生成装置４０の外部に出力する（ステップＳ４８）。

［上述のバリエーションに関する具体的な構成］
次に、上述のバリエーション（変形例）に関する具体的な構成について説明する。

暗号文のバリエーションは、暗号化装置１０の暗号化部５において暗号文を作成するステップにおいて上述の式（８２）で計算し、復号装置２０ではこれを考慮して自明な変形を行えば実現可能となる。

公開鍵圧縮に関するバリエーションは、鍵生成装置４０においてランダム値生成部４４への入力に乱数シードを追加するか、ランダム値生成部４４からの出力にランダム値生成部４４で生成に利用した乱数シードを追加し、最終的に鍵出力部４７から公開鍵Ｘ（ｘ，ｙ）に変えて調整された係数と当該乱数シードとを出力することで実現ができる。尚、暗号化装置１０及び復号装置２０においては、公開鍵が入力された際に、当該乱数シードを使って調整されていない係数を復元するとともに、公開鍵に含まれる調整された係数を加えることによって、本来の公開鍵Ｘ（ｘ，ｙ）を復元できる。

公開鍵係数に関するバリエーションは、鍵生成装置４０におけるランダム値生成部４４において公開鍵Ｘ（ｘ，ｙ）の係数τ_ｉｊ（ｔ）の係数を生成する際に乱数の範囲を１からｐ－１とする。係数の調整のステップ（不定方程式の定数項τ_００（ｔ）の次数を零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））により削減するステップ）においては、調整された係数τ_ｉ０（ｔ）（ｉ＝０，・・・，Ｄ_Ｘ）に非ゼロの係数を含む場合、再度不定方程式Ｘ（ｘ，ｙ）の定数項以外の係数をランダムに生成する部分からやり直すことによって実現される。

項集合の取り方に関するバリエーションは、鍵生成装置４０、暗号化装置１０のそれぞれにおいて、システムパラメータＤ_ξ、ｄ_ξを指定された項集合Γ_ξに変更し、Γ_ξに基づいて公開鍵やランダム多項式、ノイズ多項式を生成することにより実現される。ここで、ξはＸ，ｓ，ｒ，ｅである。

復号（その１）においてｓ_ｋ，ｒ_ｋ，ｅ_ｋを求めるバリエーションは、図１３に示すフローチャートのように実現する。即ち、図６に示した復号装置２０における図７に示したフローチャートの処理において、復号部２３は図７の因子系列を全て抽出するステップ（ステップＳ２６）の後に、因子系列を１つ抽出して、零点ｕ及びシステムパラメータｄ，ｄ_ｍとともに平文多項式因子復元部２９に入力する。

具体的には、平文多項式因子復元部２９は、復号部２３から入力された因子系列と零点ｕとシステムパラメータｄ_ｍとから上述の方法で平文多項式因子ｍ_１（ｘ，ｙ），・・・，ｍ_Ｄｍ（ｘ，ｙ）を復元する（ステップＳ８１）。

次に、平文多項式因子復元部２９は、平文多項式因子を全て復元できたか否かを判定する（ステップＳ８２）。

ここで、復元できない平文多項式因子があった場合（ステップＳ８２，Ｎｏ）、平文多項式因子復元部２９は、復号部２３にエラーを送信し、復号部２３は、次候補の因子系列があるか否かを判定する（ステップＳ８３）。次候補の因子系列がない場合（ステップＳ８３，Ｎｏ）、復号部２３は、復号エラーを平文出力部３０に通知し、平文出力部３０は復号エラーと空の復号結果を出力して（ステップＳ８５）、処理は終了する。

次候補の因子系列がある場合（ステップＳ８３，Ｙｅｓ）、復号部２３は、因子系列のリストを参照して次候補の因子系列を抽出し（ステップＳ８４）、次候補の因子系列を零点ｕ及びシステムパラメータｄ，ｄ_ｍとともに平文多項式因子復元部２９に入力し、処理はステップＳ８１に戻る。

一方、復元できない平文多項式因子がなかった場合（ステップＳ８２，Ｙｅｓ）、平文多項式因子復元部２９は、復元された平文多項式因子を復号部２３に入力する。復号部２３は、ｈ_ｋ（ｔ）／Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（ｋ＝１，２）からｓ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算し、これを零点ｕ及びシステムパラメータｄ，ｄ_ｓとともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９は、ｓ_ｋ（ｘ，ｙ）を復元し（ステップＳ８６）、ｓ_ｋ（ｘ，ｙ）を復号部２３に入力する。尚、復元できなかった場合（ステップＳ８７，Ｎｏ）、平文多項式因子復元部２９は、復号部２３にエラーを送信し、処理は上述のステップＳ８３に進む。

ランダム多項式ｓ_ｋ（ｘ，ｙ）が復元できた場合（ステップＳ８７，Ｙｅｓ）、復号部２３は、ｈ_ｋ（ｔ） ｍｏｄ Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（ｋ＝１，２）からｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算し、これを零点ｕ及びシステムパラメータｄ，ｄ_ｅとともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９は、ｅ_ｋ（ｘ，ｙ）を復元し（ステップＳ８８）、ｅ_ｋ（ｘ，ｙ）を復号部２３に入力する。尚、復元できなかった場合（ステップＳ８９，Ｎｏ）、平文多項式因子復元部２９は、復号部２３にエラーを送信し、処理は上述のステップＳ８３に進む。

ノイズ多項式ｅ_ｋ（ｘ，ｙ）が復元できた場合（ステップＳ８９，Ｙｅｓ）、復号部２３は、下記式（９３）からｒ_ｋ（ｘ，ｙ）を復元し（ステップＳ９１）、この下記式（９３）による除算における剰余（余り）が０であることをもってｒ_ｋ（ｘ，ｙ）の復元を確認する。

尚、復元できなかった場合（ステップＳ９１，Ｎｏ）、平文多項式因子復元部２９は、復号部２３にエラーを送信し、処理は上述のステップＳ８３に進む。

以上により、ｍ_ｊ，ｓ_ｋ，ｅ_ｋ，ｒ_ｋが全て復元できた場合（ステップＳ９１，Ｙｅｓ）、ステップＳ９２に進む。ステップＳ９２及びＳ９３の説明は、上述のステップＳ２９及びＳ３２（図７参照）と同じなので省略する。

平文情報をｓ_ｋ，ｒ_ｋ，ｅ_ｋにも埋め込むバリエーションに関しては、暗号部５においてｓ_１（ｘ，ｙ），ｓ_２（ｘ，ｙ），ｅ_１（ｘ，ｙ），ｅ_２（ｘ，ｙ），ｒ_１（ｘ，ｙ），ｒ_２（ｘ，ｙ）をランダムに生成するのではなく、平文（の一部）を平文の多項式への埋め込みと同様の方法で埋め込む。復号装置２０においては、復号（その２）に関しては当該平文（の一部）が上述の通りに復元され、復号（その１）に関しては当該平文（の一部）が上述のバリエーションで説明した通りの方法で復元される。そして、平文出力部３０が、平文多項式因子から出力された平文ｍとともに、当該平文（の一部）を出力する。

尚、平文多項式ｍ_ｊ（ｘ，ｙ）も含めて平文をこれらの一部に埋め込むときには、復号したのち、復号部２３において、平文情報を含む全ての項や因子が復号されたのち、平文が埋め込まれた部分の情報を抽出して、抽出された情報のみが平文出力部３０に出力される。平文を分散しないバリエーションに関しては、暗号化装置１０における平文埋め込み部３において、平文多項式因子に順序情報を埋め込むように変更するとともに、復号装置２０では平文多項式因子を復元した際に、順番情報を参照して、その指示する順番に並べることによって実現できる。

平文多項式因子を用いないバリエーションに関しては、暗号化装置１０における平文埋め込み部３において、平文を平文多項式に単純に埋め込むだけで良く、復号（その２）を実現する図８に示す復号装置２０－２においても出力された平文多項式から係数情報を引き出すだけで平文が復元できる。

近似ＧＣＤ計算における近似ＧＣＤの次数を変化させるバリエーションに関しては、復号（その２）を例としてそのフローチャートを図１４に示して説明する。ここでは近似ＧＣＤの次数をｄ_Ｇとして、ｄ_Ｇを、期待値であるｄ_Ｇ＝Ｄ_ｍ（ｄ＋ｄ_ｍ）よりもＬ_１小さいところからＬ_２大きいところまでに設定して近似ＧＣＤを求める例を示している。

ステップＳ１０１及びＳ１０２の説明は、復号（その２）のステップＳ４１及びＳ４２（図９参照）と同じなので省略する。

零点代入部２４は、復号（その２）における零点（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を暗号文ｃ_ｋ（ｘ，ｙ）に代入してｈ_ｋ（ｔ）を計算したのち（ステップＳ１０３）、ｄ_Ｇをその最小値であるＤ_ｍ（ｄ＋ｄ_ｍ）－Ｌ_１に設定する（ステップＳ１０４）。

近似ＧＣＤ計算部２５が、このｄ_Ｇで近似ＧＣＤ計算を行う（ステップＳ１０５）。

近似ＧＣＤが導出できなかった場合（ステップＳ１０６，Ｎｏ）、零点代入部２４は、ｄ_Ｇを１つ増加させ（ステップＳ１０７）、ｄ_Ｇが、上限値Ｄ_ｍ（ｄ＋ｄ_ｍ）＋Ｌ_２以下であるか否かをチェックする（ステップＳ１０８）。上限値Ｄ_ｍ（ｄ＋ｄ_ｍ）＋Ｌ_２以下である場合（ステップＳ１０８，Ｙｅｓ）、近似ＧＣＤ計算部２５が、再び近似ＧＣＤ計算を行う（ステップＳ１０５）。

上限値Ｄ_ｍ（ｄ＋ｄ_ｍ）＋Ｌ_２を超える場合（ステップＳ１０８，Ｎｏ）、平文出力部３０が、復号失敗を示すエラーと空の復号結果とを出力し（ステップＳ１０９）、復号処理を終了する。

近似ＧＣＤが導出できたら（ステップＳ１０６，Ｙｅｓ）、復号（その２）と同様の方法で復号を継続するが（ステップＳ１１０～Ｓ１１７）、ステップＳ１１５が、上述の図９に示す復号（その２）の実施形態とは異なる。

ステップＳ１１５で次候補の因子系列がないと判定された場合、上述の図９に示す復号（その２）の実施形態のようにエラーを出力するのではなく（ステップＳ５３）、ｄ_Ｇを１つ増やして処理を継続する（ステップＳ１０７）。これは誤ったｄ_Ｇでも復号が進み間違った平文多項式因子を導出することがあるからである。このように近似ＧＣＤ計算における近似ＧＣＤの次数を変化させることにより、復号失敗の確率を極限まで減らすことができる。

変数に関するバリエーションについて本実施形態を変更する部分は暗号化アルゴリズム、復号アルゴリズム、鍵生成アルゴリズムのうちで変数の数に関する部分のみとなる。即ち、変数をｘ，ｙとしている部分を変数ｘ_１，・・・，ｘ_ｌに変更し、それに伴ってこれに代入する秘密鍵を（ｕ_ｘ１（ｔ），・・・，ｕ_ｘｌ（ｔ））とするなど自明な変更を施すだけで実現可能となる。

ノイズ多項式の係数ｅ_ｉｊ（ｔ）の次数を項毎に変えるバリエーションについて、本実施形態を変更する部分は以下の通りである。まず、暗号化において、暗号化部５がノイズ多項式ｅ_１（ｘ，ｙ），ｅ_２（ｘ，ｙ）を生成するときにシステムパラメータｐ，Ｄ_ｅ，ｄ_ｅを多項式生成部６に入力するところを、次数毎にｐ，ｄ_ｅ，Ｄｅ，ｄ_{ｅ，Ｄｅ－１}，・・・，ｄ_ｅ，１，ｄ_ｅ，０のように次数を指定して多項式生成部６に指示を出す。ここでｄ_ｅ，ｉはｅ_ｋ（ｘ，ｙ）のｉ次の係数の次数を表している。

復号においては復号（その２）において、ランダム多項式ｓ_ｋ（ｘ，ｙ）が復元できた場合、復号部２３はｈ_ｋ（ｔ） ｍｏｄ Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（ｋ＝１，２）からｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算し、これを零点ｕ及びシステムパラメータｄ，ｄ_ｅ，Ｄｅ，ｄ_{ｅ，Ｄｅ－１}，・・・，ｄ_ｅ，１，ｄ_ｅ，０とともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９ではこれを復元し、ｅ_ｋ（ｘ，ｙ）を復号部２３に入力する。尚、平文多項式因子復元部２９は、ｅ_ｋ（ｘ，ｙ）を復元できなかった場合はエラーを復号部２３に入力する。

ノイズ多項式の係数ｅ（ｘ，ｙ）に積構造を導入するバリエーションについて本実施形態を変更する部分は暗号化アルゴリズムと復号アルゴリズムである。暗号化アルゴリズムは暗号化部５においてシステムパラメータｐ，ｄ_ｅ，Ｄ_ｅを多項式生成部６に入力したのち、ｄ_ｅ次の多項式を係数に持つ２つのＤ_ｅ次のランダムな多項式ｅ_１（ｘ，ｙ），ｅ_２（ｘ，ｙ）を生成するところを、ｄ_ｅ次の多項式を係数に持つＤ_ｅ個の多項式ｅ_１，０（ｘ，ｙ），ｅ_１，１（ｘ，ｙ），・・・，ｅ_１，Ｄｅ（ｘ，ｙ）を生成し、これらを掛け合わせてｅ_１（ｘ，ｙ）を生成し、更に同様にｄ_ｅ次の多項式を係数に持つＤ_ｅ個の多項式ｅ_２，０（ｘ，ｙ），ｅ_２，１（ｘ，ｙ），・・・，ｅ_２，Ｄｅ（ｘ，ｙ）を生成し、これらを掛け合わせてｅ_２（ｘ，ｙ）を生成するアルゴリズムに変更すればよい。

復号については復号（その２）において、ランダム多項式ｓ_ｋ（ｘ，ｙ）が復元できた場合、復号部２３ではｈ_ｋ（ｔ） ｍｏｄ Ｍ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））（ｋ＝１，２）からｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を計算し、ノイズ多項式ｅ_ｋ（ｘ，ｙ）を復元するが、この時の処理について図１５に記載のフローチャートと図６のブロック図を用いて説明する。

因数分解部２６は、ｅ_ｋ（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を因数分解し（ステップＳ１２１）、因数分解の結果を因子の順序付けられた配列により復号部２３に入力する。復号部２３は、記憶部２７からｄ，ｄ_ｅを抽出し、因数分解部２６から入力された因子配列からそれぞれの因子の次数を取り出して対応する次数配列を生成する。

更に復号部２３は、次数配列と、ノイズ多項式因子の次数に対応するＮ（＝ｄ_ｅ＋ｄ）とを組合せ計算部２８に入力し、組合せ計算部２８は次数が丁度Ｎとなるような因子の組み合わせ（因子系列）を全て抽出し（ステップＳ１２２）、因子系列のリストを復号部２３に入力する。

復号部２３は、リストから因子系列を抽出して、零点ｕ及びシステムパラメータｄ，ｄ_ｅとともに平文多項式因子復元部２９に入力する。平文多項式因子復元部２９は、入力された因子系列と零点ｕとシステムパラメータｄ_ｅとから、本実施形態に示した方法でノイズ多項式因子ｅ_ｋ，１（ｘ，ｙ），・・・，ｅ_ｋ，Ｄｅ（ｘ，ｙ）を復元する（ステップＳ１２３）。

ノイズ多項式因子を全て復元できた場合（ステップＳ１２４，Ｙｅｓ）、ノイズ多項式因子の積によってノイズ多項式ｅ（ｘ，ｙ）を復元する（ステップＳ１２７）。

ここで、復元できないノイズ多項式因子があった場合（ステップＳ１２４，Ｎｏ）、平文多項式因子復元部２９は復号部２３にエラーを送信し、復号部２３は因子系列のリストを参照して次候補の因子系列があるか否かを判定する（ステップＳ１２５）。次候補の因子系列がある場合（ステップＳ１２５，Ｙｅｓ）、復号部２３は、次候補の因子系列を抽出し（ステップＳ１２６）、当該次候補の因子系列を零点ｕ及びシステムパラメータｄ，ｄ_ｅとともに平文多項式因子復元部２９に入力し、処理はステップＳ１２３に戻る。

尚、ここで次候補の因子系列がなかった場合（ステップＳ１２５，Ｎｏ）、復号部２３は、復号エラーを平文出力部３０に通知し、平文出力部３０は、復号エラーと空の復号結果とを出力する（ステップＳ１２８）。復号失敗の原因としては通信路上で暗号文が壊れてしまった、或いは改竄されてしまったことが考えられる。上述の［復号失敗確率］で示したような不可避な場合も考えられるが、復号失敗確率を十分小さく（例えば２^－６４以下）することによって、例外的な可能性までに下げることが可能となる。

ノイズ多項式と平文多項式の役割を変えるバリエーションに関しては、バリエーションの平文多項式とノイズ多項式の役割を変えるだけで良い。このようにすることで、本実施形態においてノイズ多項式を最初に復元し、平文多項式因子の復元を行わないという選択肢も出てくる。これによって処理時間が大幅に削減できる。

以上で、本実施形態における本発明の暗号化装置１０、復号装置２０，２０－２及び鍵生成装置４０の具体的構成の説明を終了する。

［安全性の検討］
以下では本実施形態で構成した公開鍵暗号の安全性に関して考察する。尚、公開鍵から秘密鍵を復元する鍵復元攻撃に関しては一般的な解法アルゴリズムがない不定方程式の求解問題であるため、総当たり攻撃においてのみ考察する。

［係数比較攻撃］
係数比較攻撃は暗号文における平文多項式やランダム多項式、ノイズ多項式の未知部分を変数において計算し、実際の暗号文と係数比較することによって生じる連立方程式を解くことにより、平文多項式を他の未知部分とともに導出する攻撃手法である。本方式の場合は既知部分は下記式（９４）のみである。

未知部分は下記式（９５）となる。

これらを利用して上述の式（４４）に基づいて暗号文を作るとｂ＝１，２のそれぞれに対して下記式（９６）が得られる。

上記式（９６）と、下記式（９７）で表される実際の暗号文と係数比較を行う。ここで、μ_ｉｊｋ，ｃ^（ｌ） _ｉｊｋは既知である。

ここでは簡単のため、公開鍵Ｘと、これに対応したＦ_ｐ［ｔ］上の多項式ｃ_１（＝Π_ｌ＝１ ^Ｄｍｍ_ｌｓ_１＋Ｘｒ_１＋ｅ_１）が以下の条件の下で与えられたとして議論する。このようにｃ_１，ｃ_２のうち一方だけを解析する攻撃を片側攻撃と呼ぶ。ここでは簡単のため下記式（９８）として議論を進める。

すると、ｍ，ｒ_１，ｓ_１，ｅ_１は下記式（９９）とかけ、ｍ_ｉｊｋ，ｓ^（１） _ｉｊｋ，ｒ^（１） _ｉｊｋ，ｅ^（１） _ｉｊｋはＦ_ｐに値を取る変数である。

また、Ｘおよびｃ_１はそれぞれ下記式（１００）と書け、τ_ｉｊｋ，^（１） _ｉｊｋはＦ_ｐに値を持つ定数である。

ここで、ｘ^２、ｘｙ、ｙ^２、ｘ、ｙの項および定数項を比較すると、下記式（１０１）の連立方程式が導出できる。

この連立方程式は変数が１０、式が６であることから非線形不定方程式となっている。
一般には変数の個数が＃Δ_{Ｄｍ，Ｄｍｄｍ}＋＃Δ_{Ｄｒ，ｄｒ}＋＃Γ_{Ｄｓ，ｄｓ}＋＃Γ_{Ｄｅ，ｄｅ}であり、式の個数が＃Γ_{Ｄｘ＋Ｄｒ，ｄｘ＋ｄｒ}である。ｄ_Ｘ、ｄ_ｒが大きくなると不定方程式ではなくなるが、ＮＰ困難として知られる非線形な多変数連立方程式の求解問題となる。これは、ｃ_１，ｃ_２ともに考慮に入れた場合でも同様である。

［線形代数攻撃］
線形代数攻撃は係数比較攻撃において非線形部分を線形化することで、本来非線形連立方程式が導出されるところを、線形連立方程式に変える攻撃手法である。これによって攻撃の計算量を飛躍的に下げることが可能となる。非線形部分を線形化するとは非線形部分（即ち、積となっている部分）をひと塊の多項式としてみて未知部分を設定することを意味する。本方式で言えば、平文が埋め込まれている項（平文項）がΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｘ，ｙ）ｓ_ｋ（ｘ，ｙ）のように非線形となっているため、この部分をまとめて１つの多項式Ｍ（ｘ，ｙ）とおく、即ち、暗号文を下記式（１０２）とおく。

未知部分をＭ，ｒ_ｋ，ｓ_ｋ，ｅ_ｋとし、これを上述の式（９８）に示したパラメータを用いてｃ_１（ｘ，ｙ）に適用して、下記式（１０３）とし、既知部分Ｘおよびｃ_１をそれぞれ下記式（１０４）とすると、係数比較攻撃と同様の考察により、以下の連立方程式（１０５）が導出される。

この連立方程式は変数が１０、式が６であることから線形不定方程式となっている。一般には変数の個数が＃Δ_{Ｄｘ＋Ｄｒ，ｄｘ＋ｄｒ}＋＃Δ_{Ｄｒ，ｄｒ}＋＃Γ_{Ｄｅ，ｄｅ}であり、式の個数が＃Γ_{Ｄｘ＋Ｄｒ，ｄｘ＋ｄｒ}である。このことから、＃Δ_{Ｄｒ，ｄｒ}＋＃Γ_{Ｄｅ，ｄｅ}次元だけの解空間を持つ。実際、変数ｒ_ｉｊｋ、ｅ_ｉｊｋに任意のＦ_ｐの元を代入すると、これに対応するＭ_ｉｊｋが求まる。しかし、復号結果として正しいＭ_ｉｊｋはそのうち１つであり、これを決定するには導出されたＭ（ｘ，ｙ）を因数分解したときΠ_ｊ＝１ ^Ｄｍｍ_ｊ（ｘ，ｙ）ｓ_ｋ（ｘ，ｙ）となることを確かめる手段しかなく、これには今のところ（係数比較攻撃による以外は）解空間を総当たりするほか方法しか知られていない。よって、総当たり攻撃が回避するに十分な大きさの解空間が取れれば、本攻撃は防ぐことが可能となる。

尚、線形代数攻撃にも両側攻撃が存在するが、解空間を総当たりするという意味では片側攻撃の方が有効となる。

［総当たり攻撃］
前節までに述べた各種攻撃への耐性は基本的に連立方程式を解く計算量で評価したが、本節ではこれらを総当たり攻撃の観点で再考する。係数比較攻撃では片側攻撃の場合、ｅ_ｉ（ｘ，ｙ）を総当たりすることにより、復号と同じ手段でイデアル分解によりΠ_ｊ＝１ｍ_ｊ（ｘ，ｙ）を求めることが可能となる。そのように考えるとｅ_ｉ（ｘ，ｙ）の総当たり回数は（有限体の標数ｐの変数の個数乗なので）ｐ^ｄｅ＋１となり、これもまた計算量が指数関数的に増大する。これは線形代数攻撃でも同様である。

また、鍵復元攻撃においても、多変数連立方程式を解くときには（ｕ_ｘ（ｔ），ｕ_ｙ（ｔ））を両方求める必要があったが、これは片方（例えばｕ_ｘ（ｔ））を総当たりして、これに対応する（この場合はｕ_ｙ（ｔ））をＸ（ｕ_ｘ（ｔ），ｙ）＝０を解くことによって求めることが可能となる。これらのことを考え合わせるとｕ_ｘ（ｔ）の総当たりを検討する必要があり、総当たり回数はｐ^ｄ＋１となり、やはり指数関数的に増大する。

以上の考察により、既存のいずれの攻撃においても計算量は指数関数的に増大することが分かる。

最後に、実施形態の暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０のハードウェア構成の例について説明する。

［ハードウェア構成の例］
図１６は実施形態の暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０のハードウェア構成の例を示す図である。

実施形態の暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０は、制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６を備える。制御装置３０１、主記憶装置３０２、補助記憶装置３０３、表示装置３０４、入力装置３０５及び通信装置３０６は、バス３１０を介して接続されている。

制御装置３０１は、補助記憶装置３０３から主記憶装置３０２に読み出されたプログラムを実行する。主記憶装置３０２は、ＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）、及び、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等のメモリである。補助記憶装置３０３は、ＨＤＤ（Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅ）、ＳＳＤ（Ｓｏｌｉｄ Ｓｔａｔｅ Ｄｒｉｖｅ）、及び、メモリカード等である。

表示装置３０４は表示情報を表示する。表示装置３０４は、例えば液晶ディスプレイ等である。入力装置３０５は、コンピュータを操作するためのインタフェースである。入力装置３０５は、例えばキーボードやマウス等である。コンピュータがスマートフォン及びタブレット型端末等のスマートデバイスの場合、表示装置３０４及び入力装置３０５は、例えばタッチパネルである。通信装置３０６は、他の装置と通信するためのインタフェースである。

コンピュータで実行されるプログラムは、インストール可能な形式又は実行可能な形式のファイルでＣＤ－ＲＯＭ、メモリカード、ＣＤ－Ｒ及びＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）等のコンピュータで読み取り可能な記憶媒体に記録されてコンピュータ・プログラム・プロダクトとして提供される。

またコンピュータで実行されるプログラムを、インターネット等のネットワークに接続されたコンピュータ上に格納し、ネットワーク経由でダウンロードさせることにより提供するように構成してもよい。またコンピュータで実行されるプログラムをダウンロードさせずにインターネット等のネットワーク経由で提供するように構成してもよい。

またコンピュータで実行されるプログラムを、ＲＯＭ等に予め組み込んで提供するように構成してもよい。

コンピュータで実行されるプログラムは、実施形態の暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０の機能構成（機能ブロック）のうち、プログラムによっても実現可能な機能ブロックを含むモジュール構成となっている。当該各機能ブロックは、実際のハードウェアとしては、制御装置３０１が記憶媒体からプログラムを読み出して実行することにより、上記各機能ブロックが主記憶装置３０２上にロードされる。すなわち上記各機能ブロックは主記憶装置３０２上に生成される。

なお上述した各機能ブロックの一部又は全部をソフトウェアにより実現せずに、ＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）等のハードウェアにより実現してもよい。

また複数のプロセッサを用いて各機能を実現する場合、各プロセッサは、各機能のうち１つを実現してもよいし、各機能のうち２つ以上を実現してもよい。

また実施形態の暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０を実現するコンピュータの動作形態は任意でよい。例えば、暗号化装置１０（復号装置２０、２０－２、鍵生成装置４０）を１台のコンピュータにより実現してもよい。また例えば、暗号化装置１０、復号装置２０、２０－２及び鍵生成装置４０を、ネットワーク上のクラウドシステムとして動作させてもよい。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。

１ 平文取得部
２ 公開鍵取得部
３ 平文埋め込み部
４ 記憶部
５ 暗号化部
６ 多項式生成部
７ ランダム値生成部
８ 多項式演算部
９ 暗号文出力部
１０ 暗号化装置
２０ 復号装置
２１ 暗号文取得部
２２ 鍵取得部
２３ 復号部
２４ 零点代入部
２５ 近似ＧＣＤ計算部
２６ 因数分解部
２７ 記憶部
２８ 組合せ計算部
２９ 平文多項式因子復元部
３０ 平文出力部
３１ 剰余計算部
３２ ノイズ多項式復元部
３３ 多項式減算部
３４ イデアル分解部
４０ 鍵生成装置
４１ システムパラメータ取得部
４２ 制御部
４３ 多項式生成部
４４ ランダム値生成部
４５ 不定方程式生成部
４６ 多項式演算部
４７ 鍵出力部
３０１ 制御装置
３０２ 主記憶装置
３０３ 補助記憶装置
３０４ 表示装置
３０５ 入力装置
３０６ 通信装置
３１０ バス

Claims (17)

1. 有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得する公開鍵取得部と、
   平文ｍを前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）の係数に埋め込む平文埋め込み部と、
   前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）を掛け合わせたｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）を生成する多項式演算部と、
   前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成する多項式生成部と、
   前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に対し、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する暗号化部と、
   を備える暗号化装置。
2. 前記多項式生成部は、一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）を生成し、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）の積によって前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成し、
   前記暗号化部は、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積を含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する、
   請求項１に記載の暗号化装置。
3. 前記暗号化部は、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）と前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、及び、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に、加算及び減算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する、
   請求項１又は２に記載の暗号化装置。
4. 有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得する鍵取得部と、
   暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成する零点代入部と、
   前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求める近似ＧＣＤ計算部と、
   前記１変数多項式Ｍ（ｕ）を前記有限体Ｆ_ｐ上で、複数の第１の因子に因数分解する因数分解部と、
   前記第１の因子を組み合わせて、前記零点ｕが代入された前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）の複数の第２の因子の組み合わせを求める組合せ計算部と、
   前記複数の第２の因子の組み合わせと、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）を得る平文多項式因子復元部と、
   前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復号する復号部と、
   を備える復号装置。
5. 有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得し、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得する鍵取得部と、
   暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成する零点代入部と、
   前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求める近似ＧＣＤ計算部と、
   前記１変数多項式ｈ_ｋ（ｔ）を前記１変数多項式Ｍ（ｕ）で割った剰余ｅ_ｋ（ｕ）を計算する剰余計算部と、
   前記剰余ｅ_ｋ（ｕ）と、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を復元するノイズ多項式復元部と、
   前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）から引いて多項式ｃ_ｋ－ｅ_ｋを求める多項式減算部と、
   前記多項式ｃ_ｋ－ｅ_ｋをイデアル分解することにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）と、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、を抽出するイデアル分解部と、
   前記多項式ｃ_ｋ－ｅ_ｋと、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）とに基づく多項式を、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）で割った余りが０の場合、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復元する復号部と、
   を備える復号装置。
6. 前記暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）とｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積を含み、
   前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）の積により表され、
   前記復号装置は、
   前記剰余ｅ_ｋ（ｕ）を、一つ以上の因子に因数分解する因数分解部と、
   前記一つ以上の因子を組み合わせて、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）を求める組合せ計算部と、を更に備え、
   前記復号部は、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）から、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を復元する、
   請求項５に記載の復号装置。
7. 前記暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、及び、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）の加算及び減算のうち少なくとも一つを含む演算によって表される、
   請求項５又は６に記載の復号装置。
8. 暗号化装置が、有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得するステップと、
   前記暗号化装置が、平文ｍを前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）の係数に埋め込むステップと、
   前記暗号化装置が、前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）を掛け合わせたｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）を生成するステップと、
   前記暗号化装置が、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成するステップと、
   前記暗号化装置が、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に対し、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成するステップと、
   を備える暗号方法。
9. 復号装置が、有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得するステップと、
   前記復号装置が、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成するステップと、
   前記復号装置が、前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求めるステップと、
   前記復号装置が、前記１変数多項式Ｍ（ｕ）を前記有限体Ｆ_ｐ上で、複数の第１の因子に因数分解するステップと、
   前記復号装置が、前記第１の因子を組み合わせて、前記零点ｕが代入された前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）の複数の第２の因子の組み合わせを求めるステップと、
   前記復号装置が、前記複数の第２の因子の組み合わせと、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）を得るステップと、
   前記復号装置が、前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復号するステップと、
   を備える復号方法。
10. 復号装置が、有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得し、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得するステップと、
    前記復号装置が、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成するステップと、
    前記復号装置が、前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求めるステップと、
    前記復号装置が、前記１変数多項式ｈ_ｋ（ｔ）を前記１変数多項式Ｍ（ｕ）で割った剰余ｅ_ｋ（ｕ）を計算するステップと、
    前記復号装置が、前記剰余ｅ_ｋ（ｕ）と、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を復元するステップと、
    前記復号装置が、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）から引いて多項式ｃ_ｋ－ｅ_ｋを求めるステップと、
    前記復号装置が、前記多項式ｃ_ｋ－ｅ_ｋをイデアル分解することにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）と、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、を抽出するステップと、
    前記復号装置が、前記多項式ｃ_ｋ－ｅ_ｋと、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）とに基づく多項式を、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）で割った余りが０の場合、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復元するステップと、
    を備える復号方法。
11. コンピュータを、
    有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得する公開鍵取得部と、
    平文ｍを前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）の係数に埋め込む平文埋め込み部と、
    前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）を掛け合わせたｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）を生成する多項式演算部と、
    前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成し、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）をランダムに生成する多項式生成部と、
    前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に対し、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とを加算、減算及び乗算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する暗号化部、
    として機能させるためのプログラム。
12. 前記多項式生成部は、一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）を生成し、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）の積によって前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成し、
    前記暗号化部は、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積を含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する、
    請求項１１に記載のプログラム。
13. 前記暗号化部は、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）と前記ｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、及び、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に、加算及び減算のうち少なくとも一つを含む演算を行う暗号化処理によって、暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）を生成する、
    請求項１１又は１２に記載のプログラム。
14. コンピュータを、
    有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得する鍵取得部と、
    暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成する零点代入部と、
    前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求める近似ＧＣＤ計算部と、
    前記１変数多項式Ｍ（ｕ）を前記有限体Ｆ_ｐ上で、複数の第１の因子に因数分解する因数分解部と、
    前記第１の因子を組み合わせて、前記零点ｕが代入された前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）の複数の第２の因子の組み合わせを求める組合せ計算部と、
    前記複数の第２の因子の組み合わせと、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）を得る平文多項式因子復元部と、
    前記一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復号する復号部、
    として機能させるためのプログラム。
15. コンピュータを、
    有限体Ｆ_ｐ上の１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）を、公開鍵として取得し、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）の１つ以上の零点ｕを、秘密鍵として取得する鍵取得部と、
    暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）（ｋ＝１，２）に前記零点ｕを代入することにより、１変数多項式ｈ_ｋ（ｔ）を生成する零点代入部と、
    前記１変数多項式ｈ_ｋ（ｔ）の近似ＧＣＤ（Ｇｒｅａｔｅｓｔ Ｃｏｍｍｏｎ Ｄｉｖｉｓｏｒ）を計算することにより、ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）に前記零点ｕを代入した１変数多項式Ｍ（ｕ）を求める近似ＧＣＤ計算部と、
    前記１変数多項式ｈ_ｋ（ｔ）を前記１変数多項式Ｍ（ｕ）で割った剰余ｅ_ｋ（ｕ）を計算する剰余計算部と、
    前記剰余ｅ_ｋ（ｕ）と、前記零点ｕとから導かれた連立１次方程式を解くことにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を復元するノイズ多項式復元部と、
    前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）から引いて多項式ｃ_ｋ－ｅ_ｋを求める多項式減算部と、
    前記多項式ｃ_ｋ－ｅ_ｋをイデアル分解することにより、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つ一つ以上ｍ個のｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）（ｉ＝１，・・・，ｍ）と、前記１変数多項式環Ｆ_ｐ［ｔ］の一定次数以下の元を係数に持つｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と、を抽出するイデアル分解部と、
    前記多項式ｃ_ｋ－ｅ_ｋと、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）と、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）とに基づく多項式を、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）で割った余りが０の場合、前記ｎ変数平文多項式因子ｍ_ｉ（ｘ_１，・・・，ｘ_ｎ）の係数から平文ｍを復元する復号部、
    として機能させるためのプログラム。
16. 前記暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）とｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積を含み、
    前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）の積により表され、
    前記プログラムは、前記コンピュータを、
    前記剰余ｅ_ｋ（ｕ）を、一つ以上の因子に因数分解する因数分解部と、
    前記一つ以上の因子を組み合わせて、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）を求める組合せ計算部、として更に機能させ、
    前記復号部は、前記一つ以上ｄ個のノイズ多項式因子ｅ_ｋ，ｊ（ｘ_１，・・・，ｘ_ｎ）（ｊ＝１，・・・，ｄ）から、前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）を復元する、
    請求項１５に記載のプログラム。
17. 前記暗号文ｃ_ｋ（ｘ_１，・・・，ｘ_ｎ）は、前記ｎ変数多項式ｓ_ｋ（ｘ_１，・・・，ｘ_ｎ）と前記ノイズ多項式ｅ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、前記ｎ変数不定方程式Ｘ（ｘ_１，・・・，ｘ_ｎ）とｎ変数多項式ｒ_ｋ（ｘ_１，・・・，ｘ_ｎ）との積、及び、前記ｎ変数平文多項式Ｍ（ｘ_１，・・・，ｘ_ｎ）の加算及び減算のうち少なくとも一つを含む演算によって表される、
    請求項１５又は１６に記載のプログラム。

Images