知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023061599
(43)【公開日】2023-05-02
(54)【発明の名称】暗号処理装置、暗号処理方法、及び暗号処理プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20230425BHJP
【ＦＩ】
G09C1/00 620Z
【審査請求】有
【請求項の数】9
【出願形態】ＯＬ
(21)【出願番号】P 2021171613
(22)【出願日】2021-10-20
(11)【特許番号】
(45)【特許公報発行日】2023-02-24
(71)【出願人】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
(57)【要約】
【課題】Integer-wise型TFHEの四則演算を実現する。
【解決手段】暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の演算に係る準同型演算を行う演算部と、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部と、を備え、算出部は、所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、第１処理の結果得られた暗号文から、新たな暗号文を抽出する第２処理と、を実行し、第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる暗号文を高速に計算する。
【選択図】図２
【解決手段】暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の演算に係る準同型演算を行う演算部と、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部と、を備え、算出部は、所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、第１処理の結果得られた暗号文から、新たな暗号文を抽出する第２処理と、を実行し、第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる暗号文を高速に計算する。
【選択図】図２
【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、
前記算出部は、前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理の結果得られた暗号文に対して前記第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理装置。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、
前記算出部は、前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理の結果得られた暗号文に対して前記第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、
前記算出部は、入力される暗号文に対して前記所定の多項式を用いて新たな暗号文を算出するまえに、暗号文の係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
前記算出部は、入力される暗号文に対して前記所定の多項式を用いて新たな暗号文を算出するまえに、暗号文の係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項3】
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記算出部は、
前記点の偏角θに対応する第１暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して第１位置で前記第２処理を行ってｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して第２位置で前記第２処理を行ってｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出する第１演算部と、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する第２演算部と、をさらに備える
ことを特徴とする請求項１又は２に記載の暗号処理装置。
前記算出部は、
前記点の偏角θに対応する第１暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して第１位置で前記第２処理を行ってｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して第２位置で前記第２処理を行ってｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出する第１演算部と、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する第２演算部と、をさらに備える
ことを特徴とする請求項１又は２に記載の暗号処理装置。
【請求項4】
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする請求項３に記載の暗号処理装置。
ことを特徴とする請求項３に記載の暗号処理装置。
【請求項5】
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする請求項３に記載の暗号処理装置。
ことを特徴とする請求項３に記載の暗号処理装置。
【請求項6】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して前記所定の演算に係る準同型演算を行い、
暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
を備え、
前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理方法。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して前記所定の演算に係る準同型演算を行い、
暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
を備え、
前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理方法。
【請求項7】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して前記所定の演算に係る準同型演算を行い、
暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
を備え、
前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理プログラム。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
暗号文に対して前記所定の演算に係る準同型演算を行い、
暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
を備え、
前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として２値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり非特許文献１に示されるTFHEはBit-wise型である。
しかし、TFHEの平文は円周群に対応づけられた０～１の実数である。従って、円周群の値域０～１を適当な区間で区切り、区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２）。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として２値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり非特許文献１に示されるTFHEはBit-wise型である。
しかし、TFHEの平文は円周群に対応づけられた０～１の実数である。従って、円周群の値域０～１を適当な区間で区切り、区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２）。
【先行技術文献】
【特許文献】
【0004】
【非特許文献1】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【非特許文献2】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【発明の概要】
【発明が解決しようとする課題】
【0005】
TFHEをBit-wiseではなくInteger-wiseでの四則演算が可能な準同型暗号として利用することができれば、1ビットずつ計算するよりも効率的に処理を行うことができる。
なお、TFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
一方、乗算に関しては、円周群に乗法演算が定義されていないため自明とは言えない。暗号文同士の乗算を可能としてより複雑な関数を高速に評価・演算可能とすることが求められている。
本発明は、一側面としてInteger-wise型TFHEの複雑な関数を高速に評価することを目的とする。
なお、TFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
一方、乗算に関しては、円周群に乗法演算が定義されていないため自明とは言えない。暗号文同士の乗算を可能としてより複雑な関数を高速に評価・演算可能とすることが求められている。
本発明は、一側面としてInteger-wise型TFHEの複雑な関数を高速に評価することを目的とする。
【課題を解決するための手段】
【0006】
本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して前記所定の演算に係る準同型演算を行う演算部と、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部と、を備え、前記算出部は、前記所定の多項式を用いて、入力された暗号文の誤差を削減する第１処理と、前記第１処理の結果得られた暗号文から、前記新たな暗号文を抽出する第２処理と、を実行し、前記第１処理を実行したあと得られた暗号文に対して第２処理を複数回実行することにより、入力値が異なる前記新たな暗号文を高速に計算する、暗号処理装置を特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、Integer-wise型TFHEの複雑な関数を高速に評価することが出来る。
【図面の簡単な説明】
【0008】
【図1】本実施形態の暗号処理装置の機能構成を説明する図である。
【図3】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図4】２値Gate Bootstrappingの動作イメージ図である。
【図5】Integer-wise型に適用したTFHEを説明する図である。
【図6】平面上の点の位置を説明する図である。
【図7】本実施形態の極座標逆変換処理を説明するフローチャートである。
【図8】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図9】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
【0010】
図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３とBootstrapping部（算出部）１５と、を備えている。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３とBootstrapping部（算出部）１５と、を備えている。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１演算部１２は、受付部１１が受け付けた入力暗号に対して、第１準同型演算を行う。
第２演算部１３は、Bootstrapping部１５から出力される暗号文に対して、第２準同型演算を行う。
第１演算部１２、第２演算部１３は、下記に説明する極座標逆変換のための準同型演算（準同型乗算）をソフトウェアで実現する演算処理部である。
Bootstrapping部１５は、第１演算部１２の演算結果に対して下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第１演算部１２、第２演算部１３、Bootstrapping部１５の少なくとも一つが、ハードウェアで実現されてもよい。
第１演算部１２は、受付部１１が受け付けた入力暗号に対して、第１準同型演算を行う。
第２演算部１３は、Bootstrapping部１５から出力される暗号文に対して、第２準同型演算を行う。
第１演算部１２、第２演算部１３は、下記に説明する極座標逆変換のための準同型演算（準同型乗算）をソフトウェアで実現する演算処理部である。
Bootstrapping部１５は、第１演算部１２の演算結果に対して下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第１演算部１２、第２演算部１３、Bootstrapping部１５の少なくとも一つが、ハードウェアで実現されてもよい。
【0012】
出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対するの演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対するの演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0013】
図２は、図１の機能構成に基づく暗号処理装置の演算プロセスを詳しく説明する図である。
図２は、点Ｐの偏角θの暗号文と原点からの距離ｒの暗号文から、ｘ座標値、ｙ座標値の暗号文ｃｘ、ｃｙ演算する演算プロセスを示している。
図２の説明において、暗号処理装置１に入力される暗号文ｃθは、上記論文に示されるTLWE暗号文である。
図２に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
図２において、暗号処理装置１は、暗号文ｃθをBootstrapping部１５に入力してGate Bootstrappingを行う。
暗号処理装置１は、Gate Bootstrappingにおいて、BlindRotateを行い、得られるTRLWE暗号文に対して０の位置、ｎ／２の位置で夫々SampleExtractを行う。
夫々のSampleExtractの結果は、ｃｏｓθ÷２のTLWE暗号文ｃｃｓ、ｓｉｎθ÷２のTLWE暗号文ｃｓｎである。
暗号処理装置１は、TLWE暗号文ｃｃｓ、TLWE暗号文ｃｒに対して準同型乗算ｒ×ｃｃｓ×２を行い、ｘ座標値の暗号文ｃｘを得る。
また暗号処理装置１は、TLWE暗号文ｃｓｎ、TLWE暗号文ｃｒに対して準同型乗算ｒ×ｃｓｎ×２を行い、ｘ座標値の暗号文ｃｙを得る。
ここで暗号処理装置１が行う準同型乗算は、非特許文献２に開示されている２変数関数を用いて実行することが出来る。
図２は、点Ｐの偏角θの暗号文と原点からの距離ｒの暗号文から、ｘ座標値、ｙ座標値の暗号文ｃｘ、ｃｙ演算する演算プロセスを示している。
図２の説明において、暗号処理装置１に入力される暗号文ｃθは、上記論文に示されるTLWE暗号文である。
図２に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
図２において、暗号処理装置１は、暗号文ｃθをBootstrapping部１５に入力してGate Bootstrappingを行う。
暗号処理装置１は、Gate Bootstrappingにおいて、BlindRotateを行い、得られるTRLWE暗号文に対して０の位置、ｎ／２の位置で夫々SampleExtractを行う。
夫々のSampleExtractの結果は、ｃｏｓθ÷２のTLWE暗号文ｃｃｓ、ｓｉｎθ÷２のTLWE暗号文ｃｓｎである。
暗号処理装置１は、TLWE暗号文ｃｃｓ、TLWE暗号文ｃｒに対して準同型乗算ｒ×ｃｃｓ×２を行い、ｘ座標値の暗号文ｃｘを得る。
また暗号処理装置１は、TLWE暗号文ｃｓｎ、TLWE暗号文ｃｒに対して準同型乗算ｒ×ｃｓｎ×２を行い、ｘ座標値の暗号文ｃｙを得る。
ここで暗号処理装置１が行う準同型乗算は、非特許文献２に開示されている２変数関数を用いて実行することが出来る。
【0014】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0015】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0016】
図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0017】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0018】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0019】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0020】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0021】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0022】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0023】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
【0024】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0025】
０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
【0026】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0027】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0028】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0029】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
【0030】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
【0031】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
【0032】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
【0033】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
【0034】
図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0035】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0036】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
【0037】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式の暗号文である。
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。
従って、
ここで、
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。
【0038】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
【0039】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0040】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0041】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0042】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0043】
(3)キースイッチング
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0044】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0045】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0046】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法でさらに乗算が可能となる。乗算が可能となることで、TFHEをInteger-wise型での四則演算をより完全に行うことが出来る準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法でさらに乗算が可能となる。乗算が可能となることで、TFHEをInteger-wise型での四則演算をより完全に行うことが出来る準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
【0047】
図５は、Integer-wise型に適用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に示すように、ｔ＝１０として０～１の値域を１０個に分割する場合に、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、－０／ｔ、４／ｔ、３／ｔ、２／ｔ、１／ｔ、０／ｔの区間に割り当てられている。
図５に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に示すように、ｔ＝１０として０～１の値域を１０個に分割する場合に、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、－０／ｔ、４／ｔ、３／ｔ、２／ｔ、１／ｔ、０／ｔの区間に割り当てられている。
図５に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
【0048】
以下では、Integer-wise型TFHEを用いた演算処理の例を説明する。
本実施形態の暗号処理装置１は、Integer-wise型TFHE（TLWE暗号文）による極座標（原点からの距離、偏角）で表されている任意の点の座標を、２変数（ｘ座標値、ｙ座標値）を用いた直交座標（座標平面）に変換する。なお、以下では極座標を直交座標に変換することを単に「極座標逆変換」と記載する場合がある。
暗号化された極座標値を、復号せずに暗号化された直交座標値に変換するためには、下記に説明するようにInteger-wise型TFHEによる三角関数の演算が必要である。
以下では、極座標逆変換の演算方法を説明するとともに、Integer-wise型TFHEを用いた複雑な関数の高速な評価の例として、三角関数の演算を高速化する方法を説明する。
本実施形態の暗号処理装置１は、Integer-wise型TFHE（TLWE暗号文）による極座標（原点からの距離、偏角）で表されている任意の点の座標を、２変数（ｘ座標値、ｙ座標値）を用いた直交座標（座標平面）に変換する。なお、以下では極座標を直交座標に変換することを単に「極座標逆変換」と記載する場合がある。
暗号化された極座標値を、復号せずに暗号化された直交座標値に変換するためには、下記に説明するようにInteger-wise型TFHEによる三角関数の演算が必要である。
以下では、極座標逆変換の演算方法を説明するとともに、Integer-wise型TFHEを用いた複雑な関数の高速な評価の例として、三角関数の演算を高速化する方法を説明する。
【0049】
図６は、平面上の点の位置を説明する図である。
点Ｐの位置は図６に示すように直交座標又は極座標で表すことが出来る。
直交座標は平面上の点Ｐの位置を、ｘ座標値、ｙ座標値で表す方法であり、（ｘ，ｙ）の形で表す。極座標は平面上の点Ｐの位置を、原点Ｏからの距離ｒと偏角θを用いて表す方法であり、（r，θ）の形で表す。偏角θは、原点Ｏを通る基準となる半直線（例えばｘ軸の正の向き）から反時計周りに測った回転角の角度である。
暗号処理装置１は、Integer-wise型TFHEによる四則演算を用いて極座標から直交座標への変換を行う。特に、Integer-wise型TFHEで暗号化されている点Ｐの極座標が暗号化されているとき、これを暗号化したまま直交座標（ｘ座標値、ｙ座標値）に変換する。
平面上の点Ｐの位置に類似して、図６（ｂ）に示すように、複素数は、複素平面（ガウス平面）上の実部＋虚部（ｘ，ｙ）の形式又は極座標（r，θ）で表すことが出来る。本実施形態の極座標変換の方法は、複素数を複素平面に変換することに適用することが出来る。
複素数の計算では、複素数をガウス平面上の点とみなし、複素数同士の乗算をガウス平面上での回転及び拡縮に帰着させることにより、演算を高速化することが出来ることは周知のとおりである。
本実施形態の方法によって極座標で表した複素数を暗号化したままに実部＋虚部形式に変換できることは非常に有用である。
点Ｐの位置は図６に示すように直交座標又は極座標で表すことが出来る。
直交座標は平面上の点Ｐの位置を、ｘ座標値、ｙ座標値で表す方法であり、（ｘ，ｙ）の形で表す。極座標は平面上の点Ｐの位置を、原点Ｏからの距離ｒと偏角θを用いて表す方法であり、（r，θ）の形で表す。偏角θは、原点Ｏを通る基準となる半直線（例えばｘ軸の正の向き）から反時計周りに測った回転角の角度である。
暗号処理装置１は、Integer-wise型TFHEによる四則演算を用いて極座標から直交座標への変換を行う。特に、Integer-wise型TFHEで暗号化されている点Ｐの極座標が暗号化されているとき、これを暗号化したまま直交座標（ｘ座標値、ｙ座標値）に変換する。
平面上の点Ｐの位置に類似して、図６（ｂ）に示すように、複素数は、複素平面（ガウス平面）上の実部＋虚部（ｘ，ｙ）の形式又は極座標（r，θ）で表すことが出来る。本実施形態の極座標変換の方法は、複素数を複素平面に変換することに適用することが出来る。
複素数の計算では、複素数をガウス平面上の点とみなし、複素数同士の乗算をガウス平面上での回転及び拡縮に帰着させることにより、演算を高速化することが出来ることは周知のとおりである。
本実施形態の方法によって極座標で表した複素数を暗号化したままに実部＋虚部形式に変換できることは非常に有用である。
【0050】
極座標を直交座標に変換するためには、以下の２演算を行うのが通常である
（演算１）点Ｐの偏角θからｓｉｎθとｃｏｓθを計算する
（演算２）ｓｉｎθとｃｏｓθの夫々に原点Ｏからの距離ｒを乗ずる。ｒ・ｃｏｓθから点Ｐのｘ座標値が算出でき、ｒ・ｓｉｎθからｙ座標値が算出できる。
（演算１）点Ｐの偏角θからｓｉｎθとｃｏｓθを計算する
（演算２）ｓｉｎθとｃｏｓθの夫々に原点Ｏからの距離ｒを乗ずる。ｒ・ｃｏｓθから点Ｐのｘ座標値が算出でき、ｒ・ｓｉｎθからｙ座標値が算出できる。
【0051】
以下では、極座標を暗号化したまま直交座標変換するために、上記（演算１）、（演算２）を暗号文に対して行う方法を詳細に説明する。
図５に示すように、暗号処理装置１は、円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。二乗の計算をする関係で、図５に説明した（ｔ／２）－１と異なり、√（ｔ－１）が、１つのTLWE暗号文にｘ座標値又はｙ座標値として記録できる整数の最大値となる。ｔ－１はｘとｙの比の解像度となり、極座標変換時の演算精度ともなる。π／（２ｔ）が偏角θの解像度となる。
また暗号処理装置１は、TFHEのシステムパラメータを設定する。
手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎは２ｔの倍数が好ましい。また、Gate Bootstrapping後に得られる暗号文において平文に付加される誤差の範囲が±１／（１６ｔ）未満となるようにシステムパラメータを設定する。
また、テストベクタ多項式を、
とした場合、ｆ（ｉ）はｉが０～ｎ－１の時にｆ（ｉ）＝－ｆ（ｉ－２ｎ）であると好適である。
例えばcos関数がこれに該当し、具体的には
とおくと、上記の性質を満たす。
図５に示すように、暗号処理装置１は、円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。二乗の計算をする関係で、図５に説明した（ｔ／２）－１と異なり、√（ｔ－１）が、１つのTLWE暗号文にｘ座標値又はｙ座標値として記録できる整数の最大値となる。ｔ－１はｘとｙの比の解像度となり、極座標変換時の演算精度ともなる。π／（２ｔ）が偏角θの解像度となる。
また暗号処理装置１は、TFHEのシステムパラメータを設定する。
手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎは２ｔの倍数が好ましい。また、Gate Bootstrapping後に得られる暗号文において平文に付加される誤差の範囲が±１／（１６ｔ）未満となるようにシステムパラメータを設定する。
また、テストベクタ多項式を、
例えばcos関数がこれに該当し、具体的には
【0052】
図２を用いて、極座標逆変換の手順を説明する。
偏角θのTLWE暗号文ｃθと、距離ｒのTLWE暗号文ｃｒとがあるとする。
TLWE暗号文ｃθ、TLWE暗号文ｃｒは、秘密鍵がなければ知ることのできない点Ｐの偏角θ、点Ｐの原点から距離ｒに夫々対応する。
図５の場合よりも誤差範囲を小さくして細かく円周群{Ｔ}を分割し、１／（８ｔ）を１区間（スライス）とする。図５の１／ｔのスライスをさらに分割しているとも言える。そして、平文θ（０°～３６０°）を、円周群{Ｔ}の値域０～１にマッピングする。
TLWE暗号文ｃθは、平文として、
を有する。
（演算１）に関連して、暗号処理装置１（算出部１５）は、Gate Bootstrappingとして、テストベクタ多項式Ｔ１（Ｘ）
を用いて、TLWE暗号文ｃθに対するBlindRotateを行う。
テストベクタ多項式Ｔ１（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、偏角θからｃｏｓθを得る関数
の結果を、係数として設定している。
BlindRotateの結果、暗号処理装置１は、平文として、
を有するTRLWE暗号文を得る。
このTRLWE暗号文に対して、暗号処理装置１（算出部１５）は０の位置でSampleExtractを行い、その結果のTLWE暗号文に対してキースイッチングを行い、ｃｏｓθに対応するTLWE暗号文ｃｃｓを得る。
また暗号処理装置１（算出部１５）は、同じTRLWE暗号文に対してｎ／２の位置でSampleExtractを行い、その結果のTLWE暗号文に対してキースイッチングを行い、ｓｉｎθに対応するTLWE暗号文ｃｓｎを得る。
TLWE暗号文ｃｓｎは、平文として、
を有する。
上記したように、偏角θのTLWE暗号文ｃθは、平文θ（０°～３６０°）を、円周群{Ｔ}の値域０～１にマッピングしている。従ってｃｏｓθから９０°（π／２）位相をずらした位置は、円周群上のｎ／２に対応する。ｎ／２の位置でSampleExtractを行うことで、ｓｉｎθのTLWE暗号文ｃｓｎを得ることが出来る。
上記した位相のズレに関連する三角関数の性質として、
が成り立つ。従って、上記したTLWE暗号文ｃｓｎの平文
を、
と近似することができる。
上記の結果、点Ｐのｃｏｓθとｓｉｎθに対応するTLWE暗号文ｃｃｓとTLWE暗号文ｃｓｎを1回のBlindRotateによって求めることが出来た。
本実施形態は、１回のBlindRotateに対してSampleExtractを複数回（２回）行うことによってｓｉｎθとｃｏｓθを同時に求めることで演算を高速化する。入力値が異なるのみである関数を高速に評価することが出来る。
ｓｉｎθを得るためのテストベクタ多項式と、ｃｏｓθを得るためのテストベクタ多項式に対して夫々BlindRotateを行うことなく、BlindRotate１回で、両方の計算結果を得ることが出来る。
暗号処理装置１は、テストベクタ多項式Ｔ１（Ｘ）を用いたGate Bootstrappingと同時に、θからｃｏｓθ、ｓｉｎθを夫々平文とするTLWE暗号文を得る一変数関数の演算を行う。
Gate Bootstrappingの処理時間の大半はBlindRotateで占められているため、実質的にGate Bootstrapping２回を１回の時間で行っていることと同等となる。
夫々の位置でのSampleExtractの結果に対して、上記論文のGate Bootstrappingと同様にキースイッチングを行う。SampleExtract、キースイッチングは、Gate Bootstrappingの処理時間のうちごくわずかしか消費しないため、計算時間への影響は軽微である。
上記のように構成したので、論理素子の演算でほとんど全ての計算時間を消費しているBlindRotateの回数を１回に減らすことができる。
TFHEのGate Bootstrappingにおいては、BlindRotateが処理時間の大半を占めるため、ｃｏｓθとｓｉｎθを1回のBlindRotateによって求められることで、処理時間をほぼ半分にすることが出来る。
偏角θのTLWE暗号文ｃθと、距離ｒのTLWE暗号文ｃｒとがあるとする。
TLWE暗号文ｃθ、TLWE暗号文ｃｒは、秘密鍵がなければ知ることのできない点Ｐの偏角θ、点Ｐの原点から距離ｒに夫々対応する。
図５の場合よりも誤差範囲を小さくして細かく円周群{Ｔ}を分割し、１／（８ｔ）を１区間（スライス）とする。図５の１／ｔのスライスをさらに分割しているとも言える。そして、平文θ（０°～３６０°）を、円周群{Ｔ}の値域０～１にマッピングする。
TLWE暗号文ｃθは、平文として、
（演算１）に関連して、暗号処理装置１（算出部１５）は、Gate Bootstrappingとして、テストベクタ多項式Ｔ１（Ｘ）
テストベクタ多項式Ｔ１（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、偏角θからｃｏｓθを得る関数
BlindRotateの結果、暗号処理装置１は、平文として、
このTRLWE暗号文に対して、暗号処理装置１（算出部１５）は０の位置でSampleExtractを行い、その結果のTLWE暗号文に対してキースイッチングを行い、ｃｏｓθに対応するTLWE暗号文ｃｃｓを得る。
また暗号処理装置１（算出部１５）は、同じTRLWE暗号文に対してｎ／２の位置でSampleExtractを行い、その結果のTLWE暗号文に対してキースイッチングを行い、ｓｉｎθに対応するTLWE暗号文ｃｓｎを得る。
TLWE暗号文ｃｓｎは、平文として、
上記したように、偏角θのTLWE暗号文ｃθは、平文θ（０°～３６０°）を、円周群{Ｔ}の値域０～１にマッピングしている。従ってｃｏｓθから９０°（π／２）位相をずらした位置は、円周群上のｎ／２に対応する。ｎ／２の位置でSampleExtractを行うことで、ｓｉｎθのTLWE暗号文ｃｓｎを得ることが出来る。
上記した位相のズレに関連する三角関数の性質として、
上記の結果、点Ｐのｃｏｓθとｓｉｎθに対応するTLWE暗号文ｃｃｓとTLWE暗号文ｃｓｎを1回のBlindRotateによって求めることが出来た。
本実施形態は、１回のBlindRotateに対してSampleExtractを複数回（２回）行うことによってｓｉｎθとｃｏｓθを同時に求めることで演算を高速化する。入力値が異なるのみである関数を高速に評価することが出来る。
ｓｉｎθを得るためのテストベクタ多項式と、ｃｏｓθを得るためのテストベクタ多項式に対して夫々BlindRotateを行うことなく、BlindRotate１回で、両方の計算結果を得ることが出来る。
暗号処理装置１は、テストベクタ多項式Ｔ１（Ｘ）を用いたGate Bootstrappingと同時に、θからｃｏｓθ、ｓｉｎθを夫々平文とするTLWE暗号文を得る一変数関数の演算を行う。
Gate Bootstrappingの処理時間の大半はBlindRotateで占められているため、実質的にGate Bootstrapping２回を１回の時間で行っていることと同等となる。
夫々の位置でのSampleExtractの結果に対して、上記論文のGate Bootstrappingと同様にキースイッチングを行う。SampleExtract、キースイッチングは、Gate Bootstrappingの処理時間のうちごくわずかしか消費しないため、計算時間への影響は軽微である。
上記のように構成したので、論理素子の演算でほとんど全ての計算時間を消費しているBlindRotateの回数を１回に減らすことができる。
TFHEのGate Bootstrappingにおいては、BlindRotateが処理時間の大半を占めるため、ｃｏｓθとｓｉｎθを1回のBlindRotateによって求められることで、処理時間をほぼ半分にすることが出来る。
【0053】
（演算２）に対応して、暗号処理装置１（第１演算部１２）は、距離ｒのTLWE暗号文ｃｒにTLWE暗号文ｃｃｓを準同型乗算し、さらに２倍する。これによって、点Ｐのｘ座標値を求めることが出来た。
また暗号処理装置１（第２演算部１３）は、距離ｒのTLWE暗号文ｃｒにTLWE暗号文ｃｓｎ×（－１）を準同型乗算し、さらに２倍する。これによって、点Ｐのｙ座標値を求めることが出来た。
暗号処理装置１が行う準同型乗算（ｃｒ×ｃｃｓ、ｃｒ×ｃｓｎ）は、非特許文献２に開示されている方法を用いて実行することが出来る。
これにより、暗号処理装置１は、極座標逆変換は完了である。
以上では、極座標を、ｘ座標値、ｙ座標値によって表される直交座標に変換する方法を説明したが、複素平面上で極座標表示になっている複素数を実部＋虚部の形式に変換することが出来る。
本実施形態によれば、TFHEをBit-wise型ではなくInteger-wise型での四則演算が可能な準同型暗号として利用することができ、1ビットずつ計算するよりも効率的に処理を行うことができる。
また暗号処理装置１（第２演算部１３）は、距離ｒのTLWE暗号文ｃｒにTLWE暗号文ｃｓｎ×（－１）を準同型乗算し、さらに２倍する。これによって、点Ｐのｙ座標値を求めることが出来た。
暗号処理装置１が行う準同型乗算（ｃｒ×ｃｃｓ、ｃｒ×ｃｓｎ）は、非特許文献２に開示されている方法を用いて実行することが出来る。
これにより、暗号処理装置１は、極座標逆変換は完了である。
以上では、極座標を、ｘ座標値、ｙ座標値によって表される直交座標に変換する方法を説明したが、複素平面上で極座標表示になっている複素数を実部＋虚部の形式に変換することが出来る。
本実施形態によれば、TFHEをBit-wise型ではなくInteger-wise型での四則演算が可能な準同型暗号として利用することができ、1ビットずつ計算するよりも効率的に処理を行うことができる。
【0054】
［暗号文同士の準同型乗算について］
下記に説明するように、暗号処理装置１は（１）整数と二進数の暗号文の準同型乗算、（２）暗号文と定数との準同型一致テストを用いた２変数関数の評価によって、整数の暗号文同士の準同型乗算を行う。
（１）整数と二進数の暗号文の準同型乗算、（２）暗号文と定数との準同型一致テストを説明する。
（１）バイナリ乗算部による整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、例えば以下のように行うことが出来る。
図５に示したように本実施形態では、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割しており、暗号文ｃｙは０～（ｔ／２）－１の暗号文である。
暗号文ｃｃはシンボル０の時平文が１／２となり整数ではｔ／２に対応している。また暗号文ｃｃはシンボル１の時平文が０となり整数では０に対応している。
整数の暗号文ｃｙと二進数の暗号文ｃｃの乗算を行うために、Gate Bootstrappingの要素として、２つの一変数関数ＦidとＦhalfを用いる。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
一変数関数Ｆidは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
BlindRotateと同時に一変数関数ｆidを実行するためのテストベクタＴid（Ｘ）は、０次からｎ－１次の各次数の係数として、
を設定する。
一変数関数ｆhalfは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、平文整数の値が偶数であれば、ｃｙ／２を算出し、それ以外では－（ｃｙ＋１）／２－（（ｔ／２）－１）／２を算出する関数である。
BlindRotateと同時に一変数関数ｆhalfを実行するためのテストベクタＴhalf（Ｘ）は、０次からｎ－１次の各次数の係数として、
を設定する。
まず暗号処理装置１は、二値の暗号文であるTLWE暗号文ｃｃと、整数の暗号文であるTLWE暗号文ｃｙと、の準同型演算を行う。
暗号処理装置１は、準同型演算の結果を入力として、上記テストベクタ多項式Ｔid（Ｘ）を用いてGate Bootstrappingを行い、一時暗号文ｃｔｍｐを得る。
TLWE暗号文ｃｃがｔ／２（シンボル０）の暗号文である場合、ｃｃ＋ｃｙの結果はｙ／ｔ＋１／２の暗号文であり、TLWE暗号文ｃｙの平文は、原点に対して対称な位置に回転する。テストベクタ多項式Ｔid（Ｘ）を用いたGate Bootstrappingのあとの暗号文ｃｔｍｐの平文は、左右対称の位置に移動する。暗号文ｃｔｍｐは暗号文ｃｙの符号を反転させた暗号文である。
TLWE暗号文ｃｃが０（シンボル１）の暗号文である場合、ｃｃ＋ｃｙの結果はｙ／ｔの暗号文であり、Bootstrappingのあとの暗号文ｃｔｍｐは暗号文ｃｙと同じ平文のままである。
そこで暗号処理装置１は暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算を行う。
TLWE暗号文ｃｃが０（シンボル１）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、暗号文ｃｙ＋暗号文ｃｙである。
TLWE暗号文ｃｃがｔ／２（シンボル０）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、平文が０となる暗号文ｃ０である。
暗号処理装置１は、準同型加算の結果を入力として、上記テストベクタ多項式Ｔhalf（Ｘ）を用いてGate Bootstrappingを行う。Gate Bootstrappingの結果、暗号文ｃｙ＋暗号文ｃｙは暗号文ｃｙに変換され、暗号文ｃ０は暗号文ｃ０のままである。
整数の暗号文ｃｙに乗算するTLWE暗号文ｃｃが０の暗号文である場合に、Gate Bootstrappingにおいて暗号文ｃｙが得られ、TLWE暗号文ｃｃがｔ／２の暗号文である場合に暗号文ｃ０が得られる。
以上のようにすることで、暗号処理装置１は、整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算を行うことが出来る。
下記に説明するように、暗号処理装置１は（１）整数と二進数の暗号文の準同型乗算、（２）暗号文と定数との準同型一致テストを用いた２変数関数の評価によって、整数の暗号文同士の準同型乗算を行う。
（１）整数と二進数の暗号文の準同型乗算、（２）暗号文と定数との準同型一致テストを説明する。
（１）バイナリ乗算部による整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、例えば以下のように行うことが出来る。
図５に示したように本実施形態では、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割しており、暗号文ｃｙは０～（ｔ／２）－１の暗号文である。
暗号文ｃｃはシンボル０の時平文が１／２となり整数ではｔ／２に対応している。また暗号文ｃｃはシンボル１の時平文が０となり整数では０に対応している。
整数の暗号文ｃｙと二進数の暗号文ｃｃの乗算を行うために、Gate Bootstrappingの要素として、２つの一変数関数ＦidとＦhalfを用いる。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
一変数関数Ｆidは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
BlindRotateと同時に一変数関数ｆidを実行するためのテストベクタＴid（Ｘ）は、０次からｎ－１次の各次数の係数として、
一変数関数ｆhalfは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、平文整数の値が偶数であれば、ｃｙ／２を算出し、それ以外では－（ｃｙ＋１）／２－（（ｔ／２）－１）／２を算出する関数である。
BlindRotateと同時に一変数関数ｆhalfを実行するためのテストベクタＴhalf（Ｘ）は、０次からｎ－１次の各次数の係数として、
まず暗号処理装置１は、二値の暗号文であるTLWE暗号文ｃｃと、整数の暗号文であるTLWE暗号文ｃｙと、の準同型演算を行う。
暗号処理装置１は、準同型演算の結果を入力として、上記テストベクタ多項式Ｔid（Ｘ）を用いてGate Bootstrappingを行い、一時暗号文ｃｔｍｐを得る。
TLWE暗号文ｃｃがｔ／２（シンボル０）の暗号文である場合、ｃｃ＋ｃｙの結果はｙ／ｔ＋１／２の暗号文であり、TLWE暗号文ｃｙの平文は、原点に対して対称な位置に回転する。テストベクタ多項式Ｔid（Ｘ）を用いたGate Bootstrappingのあとの暗号文ｃｔｍｐの平文は、左右対称の位置に移動する。暗号文ｃｔｍｐは暗号文ｃｙの符号を反転させた暗号文である。
TLWE暗号文ｃｃが０（シンボル１）の暗号文である場合、ｃｃ＋ｃｙの結果はｙ／ｔの暗号文であり、Bootstrappingのあとの暗号文ｃｔｍｐは暗号文ｃｙと同じ平文のままである。
そこで暗号処理装置１は暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算を行う。
TLWE暗号文ｃｃが０（シンボル１）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、暗号文ｃｙ＋暗号文ｃｙである。
TLWE暗号文ｃｃがｔ／２（シンボル０）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、平文が０となる暗号文ｃ０である。
暗号処理装置１は、準同型加算の結果を入力として、上記テストベクタ多項式Ｔhalf（Ｘ）を用いてGate Bootstrappingを行う。Gate Bootstrappingの結果、暗号文ｃｙ＋暗号文ｃｙは暗号文ｃｙに変換され、暗号文ｃ０は暗号文ｃ０のままである。
整数の暗号文ｃｙに乗算するTLWE暗号文ｃｃが０の暗号文である場合に、Gate Bootstrappingにおいて暗号文ｃｙが得られ、TLWE暗号文ｃｃがｔ／２の暗号文である場合に暗号文ｃ０が得られる。
以上のようにすることで、暗号処理装置１は、整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算を行うことが出来る。
【0055】
（２）暗号文と定数との準同型一致テスト
整数の暗号文と平文整数との一致テストを説明する。
例として、整数の暗号文ｃｍ１と平文整数ｍ２の場合を説明する。
暗号文ｃｍ１は、平文ｍ１として、０，１，～（ｔ／２）－１の整数を有する。
平文整数ｍ２は、０，１，～（ｔ／２）－１の整数である。
暗号処理装置１は、暗号文ｃｍ１－（０，ｍ２／ｔ）を準同型演算し、演算結果を入力として、
を係数とするテストベクタ多項式を用いたGate Bootstrappingを行う。（０，ｍ２／ｔ）は、ｍ２／ｔを平文とする自明な暗号文である。
Gate Bootstrappingの結果得られる新たな暗号文ｃｄは、暗号文と定数との一致不一致を示す２値（二進数）の暗号文であり、φ（ｃｍ１）＝ｍ２±ε（εは誤差）の場合は平文としてｔ／２（円周群上の値として１／２）を有し、φ（ｃｍ１）≠ｍ２±εの場合、平文として０を有する。
整数の暗号文と平文整数との一致テストを説明する。
例として、整数の暗号文ｃｍ１と平文整数ｍ２の場合を説明する。
暗号文ｃｍ１は、平文ｍ１として、０，１，～（ｔ／２）－１の整数を有する。
平文整数ｍ２は、０，１，～（ｔ／２）－１の整数である。
暗号処理装置１は、暗号文ｃｍ１－（０，ｍ２／ｔ）を準同型演算し、演算結果を入力として、
Gate Bootstrappingの結果得られる新たな暗号文ｃｄは、暗号文と定数との一致不一致を示す２値（二進数）の暗号文であり、φ（ｃｍ１）＝ｍ２±ε（εは誤差）の場合は平文としてｔ／２（円周群上の値として１／２）を有し、φ（ｃｍ１）≠ｍ２±εの場合、平文として０を有する。
【0056】
（１）整数と二進数の暗号文の準同型乗算、（２）暗号文と定数との準同型一致テストを用いた２変数関数の評価によって、暗号処理装置１は、整数の暗号文同士の準同型乗算を行う。ここで、暗号処理装置１は、ｆ（ｘ，ｙ）＝ｘ×ｙとおいた２変数関数を処理する。
以下では整数の暗号文ｃｍ１と整数の暗号文ｃｍ２の場合を説明する。
暗号文ｃｍ１は、平文ｍ１として、０、１，～（ｔ／２）－１の整数を有する。
暗号文ｃｍ２は、平文ｍ２として、０，１，～（ｔ／２）－１の整数を有する。
ｍ１、ｍ２は０～（ｔ／２）－１までの整数であり、２変数関数は、整数０～（ｔ／２）－１の暗号文ｃｍ１と整数０～（ｔ／２）－１の暗号文ｃｍ２の入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
整数同士の乗算は、乗数に応じた回数だけ被乗数を足し合わせることにより行うことが出来るが、暗号化された整数同士の乗算を暗号文のまま準同型で行うために、暗号処理装置１は、以下に説明する処理を行う。
乗算結果を示す暗号文を、暗号文ｃｓｕｍとする。
暗号処理装置１は、初期値として暗号文ｃｓｕｍに０を代入し、また繰り返し数を示す変数ｉの初期値として０を代入する。
暗号処理装置１は、Ｆ（ｘ，ｙ）＝ｘ×ｙの一方をｉに固定した時の関数Ｆｉ（ｙ）＝ｉ×ｙを生成し、その場合のテストベクタ多項式Ｔｉ（Ｘ）を生成する。Ｔｉ（Ｘ）の各項の係数μは、次数によって対応する区間ｙを用いたｉ×ｙの値である。この多項式Ｔｉ（Ｘ）を用いて、被除数をBootstrappingすることにより、暗号文ｃｅを得る。暗号文ｃｅは、被除数×ｉの乗算結果を平文として持つ。
暗号処理装置１は、上記した暗号文と定数との準同型一致テストの方法を用いて、乗数と変数ｉの値が一致するかをテストする。
上記に従えば、乗数と変数ｉが一致するときに、平文としてｔ／２を有し、乗数と変数ｉが一致しないときには平文として０を有する暗号文ｃｄが得られる。
暗号処理装置１は、上記した整数と二進数の暗号文の準同型乗算の方法を用いて、整数の暗号文ｃｅに、二進数の暗号文ｃｄに乗算する。
乗数と変数ｉが一致するときには、被乗数にｔ／２を乗算し、乗数と変数ｉが一致しないときには、被乗数に０を乗算する。
暗号処理装置１は、この演算結果を乗算結果の暗号文ｃｓｕｍに加算した結果を入力として、上記一変数関数Ｆidを実行するテストベクタ多項式を用いたGate Bootstrappingを行う。
これを、変数ｉをインクリメントしながら（yすなわち乗数の平文の値を増やしながら）ｔ／２回（暗号文が平文としてとりうる０以上の整数の個数）処理を繰り返した結果が、整数の暗号文同士を乗算した結果である。
上記の説明において、例えば被乗数をTLWE暗号文ｃｒ、乗数をTLWE暗号文ｃｃｓ（ｃｓｎ）とすることで、実施例で説明したｘ座標値、ｙ座標値を算出することが出来る。乗算の場合は交換法則が成り立つので、TLWE暗号文ｃｃｓ（ｃｓｎ）を被乗数、TLWE暗号文ｃｒを乗数としても同じである。
以下では整数の暗号文ｃｍ１と整数の暗号文ｃｍ２の場合を説明する。
暗号文ｃｍ１は、平文ｍ１として、０、１，～（ｔ／２）－１の整数を有する。
暗号文ｃｍ２は、平文ｍ２として、０，１，～（ｔ／２）－１の整数を有する。
ｍ１、ｍ２は０～（ｔ／２）－１までの整数であり、２変数関数は、整数０～（ｔ／２）－１の暗号文ｃｍ１と整数０～（ｔ／２）－１の暗号文ｃｍ２の入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
整数同士の乗算は、乗数に応じた回数だけ被乗数を足し合わせることにより行うことが出来るが、暗号化された整数同士の乗算を暗号文のまま準同型で行うために、暗号処理装置１は、以下に説明する処理を行う。
乗算結果を示す暗号文を、暗号文ｃｓｕｍとする。
暗号処理装置１は、初期値として暗号文ｃｓｕｍに０を代入し、また繰り返し数を示す変数ｉの初期値として０を代入する。
暗号処理装置１は、Ｆ（ｘ，ｙ）＝ｘ×ｙの一方をｉに固定した時の関数Ｆｉ（ｙ）＝ｉ×ｙを生成し、その場合のテストベクタ多項式Ｔｉ（Ｘ）を生成する。Ｔｉ（Ｘ）の各項の係数μは、次数によって対応する区間ｙを用いたｉ×ｙの値である。この多項式Ｔｉ（Ｘ）を用いて、被除数をBootstrappingすることにより、暗号文ｃｅを得る。暗号文ｃｅは、被除数×ｉの乗算結果を平文として持つ。
暗号処理装置１は、上記した暗号文と定数との準同型一致テストの方法を用いて、乗数と変数ｉの値が一致するかをテストする。
上記に従えば、乗数と変数ｉが一致するときに、平文としてｔ／２を有し、乗数と変数ｉが一致しないときには平文として０を有する暗号文ｃｄが得られる。
暗号処理装置１は、上記した整数と二進数の暗号文の準同型乗算の方法を用いて、整数の暗号文ｃｅに、二進数の暗号文ｃｄに乗算する。
乗数と変数ｉが一致するときには、被乗数にｔ／２を乗算し、乗数と変数ｉが一致しないときには、被乗数に０を乗算する。
暗号処理装置１は、この演算結果を乗算結果の暗号文ｃｓｕｍに加算した結果を入力として、上記一変数関数Ｆidを実行するテストベクタ多項式を用いたGate Bootstrappingを行う。
これを、変数ｉをインクリメントしながら（yすなわち乗数の平文の値を増やしながら）ｔ／２回（暗号文が平文としてとりうる０以上の整数の個数）処理を繰り返した結果が、整数の暗号文同士を乗算した結果である。
上記の説明において、例えば被乗数をTLWE暗号文ｃｒ、乗数をTLWE暗号文ｃｃｓ（ｃｓｎ）とすることで、実施例で説明したｘ座標値、ｙ座標値を算出することが出来る。乗算の場合は交換法則が成り立つので、TLWE暗号文ｃｃｓ（ｃｓｎ）を被乗数、TLWE暗号文ｃｒを乗数としても同じである。
【0057】
図７は、本実施形態の極座標逆変換処理を説明するフローチャートである。
暗号処理装置１（算出部１５）は、ステップＳ１０１において、TLWE暗号文ｃθを入力としたBlindRotateを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０２において、BlindRotateの結果得られたTRLWE暗号文に対して、０位置でSampleExtractを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０３において、キースイッチングを行い、ｃｏｓθのTLWE暗号文ｃｃｓを得る。
暗号処理装置１（算出部１５）は、ステップＳ１０４において、BlindRotateの結果得られたTRLWE暗号文に対して、ｎ／２位置でSampleExtractを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０５において、キースイッチングを行い、ｓｉｎθのTLWE暗号文ｃｓｎを得る。
暗号処理装置１（第１演算部１２）は、ステップＳ１０６において、TLWE暗号文ｃｒとTLWE暗号文ｃｃｓを準同型乗算し、さらに２倍し、ｘ座標値の暗号文ｃｘを得る。
暗号処理装置１（第２演算部１２）は、ステップＳ１０７において、TLWE暗号文ｃｒとTLWE暗号文ｃｓｎを準同型乗算し、さらに２倍し、ｙ座標値の暗号文ｃｙを得る。
以上の処理によって、点Ｐの偏角θからｃｏｓθ、ｓｉｎθが得られ、点Ｐの極座標（ｒ、θ）を直交座標（ｘ，ｙ）に変換することが出来た。
暗号処理装置１（算出部１５）は、ステップＳ１０１において、TLWE暗号文ｃθを入力としたBlindRotateを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０２において、BlindRotateの結果得られたTRLWE暗号文に対して、０位置でSampleExtractを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０３において、キースイッチングを行い、ｃｏｓθのTLWE暗号文ｃｃｓを得る。
暗号処理装置１（算出部１５）は、ステップＳ１０４において、BlindRotateの結果得られたTRLWE暗号文に対して、ｎ／２位置でSampleExtractを行う。
暗号処理装置１（算出部１５）は、ステップＳ１０５において、キースイッチングを行い、ｓｉｎθのTLWE暗号文ｃｓｎを得る。
暗号処理装置１（第１演算部１２）は、ステップＳ１０６において、TLWE暗号文ｃｒとTLWE暗号文ｃｃｓを準同型乗算し、さらに２倍し、ｘ座標値の暗号文ｃｘを得る。
暗号処理装置１（第２演算部１２）は、ステップＳ１０７において、TLWE暗号文ｃｒとTLWE暗号文ｃｓｎを準同型乗算し、さらに２倍し、ｙ座標値の暗号文ｃｙを得る。
以上の処理によって、点Ｐの偏角θからｃｏｓθ、ｓｉｎθが得られ、点Ｐの極座標（ｒ、θ）を直交座標（ｘ，ｙ）に変換することが出来た。
【0058】
図８は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、図８（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図８（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図８（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図８（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
図８では、入力となるTLWE暗号文に準同型演算を行った結果に対してGate Bootstrappingを行っている。ただし、本実施形態の場合、図２で説明したように、入力となるTLWE暗号文に直接Gate Bootstrappingを行う場合もある。その場合、Gate Bootstrapping前の準同型演算は必ずしも必要ではない。
上記の説明では、図８（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図８（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図８（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図８（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
図８では、入力となるTLWE暗号文に準同型演算を行った結果に対してGate Bootstrappingを行っている。ただし、本実施形態の場合、図２で説明したように、入力となるTLWE暗号文に直接Gate Bootstrappingを行う場合もある。その場合、Gate Bootstrapping前の準同型演算は必ずしも必要ではない。
【0059】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群｛T｝における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群｛T｝における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0060】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、キースイッチングをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0061】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0062】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
【0063】
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
【0064】
暗号処理装置１０は、第１演算部１２、第２演算部１３、Bootstrapping部１５の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算するなどする。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算などの演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
全加算器を用いることなく、整数を平文として有するInteger-wise型の暗号文同士で演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算するなどする。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算などの演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
全加算器を用いることなく、整数を平文として有するInteger-wise型の暗号文同士で演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
【0065】
このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
【0066】
またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。
全加算器を用いることなく、整数を平文として有するInteger-wise型の暗号文同士で演算を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
全加算器を用いることなく、整数を平文として有するInteger-wise型の暗号文同士で演算を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
【0067】
図９は、コンピュータ装置の一実施例を示すブロック図である。
図９を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図９を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0068】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２における制御部１０として機能する。
【0069】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２における記憶部２０として機能する。
【0070】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第１Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第１Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0071】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0072】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
【0073】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0074】
１ 暗号処理装置、１０ 制御部、１１ 受付部、１２ 第１演算部、１３ 第２演算部、１５ Bootstrapping部（算出部）、１８ 出力部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【手続補正書】
【提出日】2023-01-19
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行する算出部を備え、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記算出部は、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出する第１演算部と、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する第２演算部と、をさらに備える
ことを特徴とする暗号処理装置。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行する算出部を備え、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記算出部は、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出する第１演算部と、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する第２演算部と、をさらに備える
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、
前記算出部は、入力される暗号文に対して前記所定の多項式を用いて新たな暗号文を算出するまえに、暗号文の係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
前記算出部は、入力される暗号文に対して前記所定の多項式を用いて新たな暗号文を算出するまえに、暗号文の係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項3】
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする請求項１又は２に記載の暗号処理装置。
ことを特徴とする請求項１又は２に記載の暗号処理装置。
【請求項4】
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする請求項１又は２に記載の暗号処理装置。
ことを特徴とする請求項１又は２に記載の暗号処理装置。
【請求項5】
前記第２の係数は、前記ｃｏｓθからπ／２位相をずらした暗号文に対応する係数である、
ことを特徴とする請求項１乃至４の何れか一項に記載の暗号処理装置。
ことを特徴とする請求項１乃至４の何れか一項に記載の暗号処理装置。
【請求項6】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行し、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出し、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する、
ことを特徴とする暗号処理方法。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行し、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出し、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する、
ことを特徴とする暗号処理方法。
【請求項7】
前記第２の係数は、前記ｃｏｓθからπ／２位相をずらした暗号文に対応する係数である、
ことを特徴とする請求項６に記載の暗号処理方法。
ことを特徴とする請求項６に記載の暗号処理方法。
【請求項8】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行し、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出し、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する、
ことを特徴とする暗号処理プログラム。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行し、
前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、
前記点の偏角θに対応する暗号文に対して前記第１処理を行い、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、
前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、
前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出し、
前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する、
ことを特徴とする暗号処理プログラム。
【請求項9】
前記第２の係数は、前記ｃｏｓθからπ／２位相をずらした暗号文に対応する係数である、
ことを特徴とする請求項８に記載の暗号処理プログラム。
ことを特徴とする請求項８に記載の暗号処理プログラム。
【手続補正2】
【補正対象書類名】明細書
【補正対象項目名】０００６
【補正方法】変更
【補正の内容】
【0006】
本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、入力された暗号文に対して所定の多項式を用いて、多項式を平文として有する暗号文を算出する第１処理と、前記第１処理の結果得られた暗号文の平文多項式の係数を新たな暗号文として抽出する第２処理と、を実行する算出部を備え、前記所定の演算は、平面上の点の座標を極座標から直交座標に変換する演算であり、前記算出部は、前記点の偏角θに対応する暗号文に対して前記第１処理を行い、前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第１の係数を抽出することによりｃｏｓθに対応する第１暗号文を算出し、前記第１処理の結果得られた暗号文に対して前記第２処理を行って前記平文多項式の第２の係数を抽出することによりｓｉｎθに対応する第２暗号文を算出し、前記第１暗号文と原点からの距離に対応する第３暗号文を準同型乗算してｘ座標値に対応する新たな暗号文を算出する第１演算部と、前記第２暗号文と前記第３暗号文を準同型乗算してｙ座標値に対応する新たな暗号文を算出する第２演算部と、をさらに備えることを特徴とする。