知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024167879
(43)【公開日】2024-12-04
(54)【発明の名称】暗号処理装置、暗号処理方法、暗号処理プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241127BHJP
【ＦＩ】
G09C1/00 620Z
【審査請求】有
【請求項の数】14
【出願形態】ＯＬ
(21)【出願番号】P 2024025934
(22)【出願日】2024-02-22
(31)【優先権主張番号】P 2023083822
(32)【優先日】2023-05-22
(33)【優先権主張国・地域又は機関】JP
(71)【出願人】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
(57)【要約】
【課題】Integer-wise型TFHEの四則演算を実現する。
【解決手段】暗号文を処理する暗号処理装置であって、暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、第１暗号文（ｃａ）に基づく暗号文と第２暗号文（ｃｂ）に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、演算結果における平文の位置を示す第３暗号文（ｃｄ）を算出し、演算結果に第３暗号文を準同型加算して平文の範囲を値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、第１暗号文と第２暗号文との演算を行う。
【選択図】図２
【解決手段】暗号文を処理する暗号処理装置であって、暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、第１暗号文（ｃａ）に基づく暗号文と第２暗号文（ｃｂ）に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、演算結果における平文の位置を示す第３暗号文（ｃｄ）を算出し、演算結果に第３暗号文を準同型加算して平文の範囲を値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、第１暗号文と第２暗号文との演算を行う。
【選択図】図２
【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、
前記第１暗号文に基づく暗号文に前記第２暗号文に基づく暗号文を準同型加算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第１暗号文に基づく暗号文から前記第２暗号文に基づく暗号文を準同型減算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
前記第１暗号文に基づく暗号文に前記第２暗号文に基づく暗号文を準同型加算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第１暗号文に基づく暗号文から前記第２暗号文に基づく暗号文を準同型減算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
【請求項3】
請求項１に記載の暗号処理装置において、
前記第１暗号文に基づく暗号文に前記第２暗号文に基づく暗号文を準同型加算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第４暗号文から前記第１暗号文又は前記第２暗号文を準同型減算し、又は前記第１暗号文から前記第４暗号文を準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
前記第１暗号文に基づく暗号文に前記第２暗号文に基づく暗号文を準同型加算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第４暗号文から前記第１暗号文又は前記第２暗号文を準同型減算し、又は前記第１暗号文から前記第４暗号文を準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
【請求項4】
請求項１に記載の暗号処理装置において、
前記第１暗号文に基づく暗号文から前記第２暗号文に基づく暗号文を準同型減算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第５暗号文に前記第２暗号文を準同型加算し、又は前記第５暗号文から前記第１暗号文を準同型減算し、又は前記第１暗号文から前記第５暗号文を準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
前記第１暗号文に基づく暗号文から前記第２暗号文に基づく暗号文を準同型減算した演算結果に前記第３暗号文を準同型加算又は準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第５暗号文を算出し、
前記第５暗号文に前記第２暗号文を準同型加算し、又は前記第５暗号文から前記第１暗号文を準同型減算し、又は前記第１暗号文から前記第５暗号文を準同型減算して平文の範囲を前記値域内の所定の範囲内に縮小した第４暗号文を算出し、
前記第４暗号文及び前記第５暗号文を用いて前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理装置。
【請求項5】
請求項２乃至４の何れか一項に記載の暗号処理装置において、
前記第４暗号文に第２多項式を用いて第６暗号文を算出し、
前記第５暗号文に第３多項式を用いて第７暗号文を算出し、
前記第６暗号文から前記第７暗号文を準同型減算して、前記第１暗号文と前記第２暗号文の平文同士の乗算結果に対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第４暗号文に第２多項式を用いて第６暗号文を算出し、
前記第５暗号文に第３多項式を用いて第７暗号文を算出し、
前記第６暗号文から前記第７暗号文を準同型減算して、前記第１暗号文と前記第２暗号文の平文同士の乗算結果に対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項6】
請求項２乃至４の何れか一項に記載の暗号処理装置において、
前記第４暗号文に、第１の係数及び第２の係数を有する第４多項式を用いて前記第１の係数に基づく第８暗号文と前記第２の係数に基づく第９暗号文とを算出し、
前記第５暗号文に、第３の係数及び第４の係数を有する第５多項式を用いて前記第３の係数に基づく第１０暗号文と前記第４の係数に基づく第１１暗号文とを算出し、
前記第８暗号文から前記１０暗号文を準同型減算して、前記第１暗号文と前記第２暗号文の平文同士の乗算結果の上位ビットに対応する暗号文を算出し、前記第９暗号文から前記第１１暗号文を準同型減算して、前記乗算結果の下位ビットに対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第４暗号文に、第１の係数及び第２の係数を有する第４多項式を用いて前記第１の係数に基づく第８暗号文と前記第２の係数に基づく第９暗号文とを算出し、
前記第５暗号文に、第３の係数及び第４の係数を有する第５多項式を用いて前記第３の係数に基づく第１０暗号文と前記第４の係数に基づく第１１暗号文とを算出し、
前記第８暗号文から前記１０暗号文を準同型減算して、前記第１暗号文と前記第２暗号文の平文同士の乗算結果の上位ビットに対応する暗号文を算出し、前記第９暗号文から前記第１１暗号文を準同型減算して、前記乗算結果の下位ビットに対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項7】
請求項６に記載の暗号処理装置において、
前記第１の係数の計算値を格納した第１テーブルと前記第２の係数の計算値を格納した第２テーブルとを有し、
前記第４暗号文に前記第４多項式を用いることにより、前記第１テーブルと前記第２テーブルとを同時に参照して前記第８暗号文又は前記第９暗号文を算出し、
前記第３の係数の計算値を格納した第３テーブルと前記第４の係数の計算値を格納した第４テーブルを有し、
前記第５暗号文に前記第５多項式を用いることにより、前記第３テーブルと前記第４テーブルとを同時に参照して前記第１０暗号文又は前記第１１暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第１の係数の計算値を格納した第１テーブルと前記第２の係数の計算値を格納した第２テーブルとを有し、
前記第４暗号文に前記第４多項式を用いることにより、前記第１テーブルと前記第２テーブルとを同時に参照して前記第８暗号文又は前記第９暗号文を算出し、
前記第３の係数の計算値を格納した第３テーブルと前記第４の係数の計算値を格納した第４テーブルを有し、
前記第５暗号文に前記第５多項式を用いることにより、前記第３テーブルと前記第４テーブルとを同時に参照して前記第１０暗号文又は前記第１１暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項8】
請求項１に記載の暗号処理装置において、
前記第１暗号文の係数を２で割って、前記第１暗号文に基づく暗号文を算出し、前記第２暗号文の係数を２で割って、前記第２暗号文に基づく暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第１暗号文の係数を２で割って、前記第１暗号文に基づく暗号文を算出し、前記第２暗号文の係数を２で割って、前記第２暗号文に基づく暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項9】
請求項１に記載の暗号処理装置において、
前記第１暗号文に基づく暗号文は第１暗号文であり、前記第３暗号文の係数を２で割って新たな前記第３暗号文を算出し、前記第２暗号文に基づく暗号文は第２暗号文であり、前記第４暗号文の係数を２で割って新たな前記第４暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第１暗号文に基づく暗号文は第１暗号文であり、前記第３暗号文の係数を２で割って新たな前記第３暗号文を算出し、前記第２暗号文に基づく暗号文は第２暗号文であり、前記第４暗号文の係数を２で割って新たな前記第４暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項10】
請求項１に記載の暗号処理装置において、
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項11】
請求項１に記載の暗号処理装置において、
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
【請求項12】
請求項１に記載の暗号処理装置において、
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項13】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理方法。
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理方法。
【請求項14】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理プログラム。
前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、
前記演算結果に前記第３暗号文を準同型演算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号処理装置、暗号処理方法、暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
【先行技術文献】
【特許文献】
【0004】
【非特許文献1】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【非特許文献2】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【発明の概要】
【発明が解決しようとする課題】
【0005】
Integer-wiseでの四則演算が可能な準同型暗号としてTFHEを利用することができれば、１ビットずつ計算するよりも効率的に処理を行うことができる。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。一方、乗算に関しては、円周群はＺ－加群であるため整数と円周群（暗号文）の乗算は定義されているものの、円周群同士の乗法演算が定義されていないため自明とは言えない。
本発明は、一側面として、暗号文同士の乗算を可能とし、Integer-wise型TFHEの四則演算をより完全に実現することを目的とする。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。一方、乗算に関しては、円周群はＺ－加群であるため整数と円周群（暗号文）の乗算は定義されているものの、円周群同士の乗法演算が定義されていないため自明とは言えない。
本発明は、一側面として、暗号文同士の乗算を可能とし、Integer-wise型TFHEの四則演算をより完全に実現することを目的とする。
【課題を解決するための手段】
【0006】
本発明は、一側面として、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値域内に、所定の分散を持つ誤差を与えた値を整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、第１暗号文に基づく暗号文と第２暗号文に基づく暗号文とを準同型演算した演算結果に全ての係数が同じ第１多項式を用いて、前記演算結果における平文の位置を示す第３暗号文を算出し、前記演算結果に前記第３暗号文を準同型加算して平文の範囲を前記値域内の所定の範囲内に縮小した暗号文に所定の多項式を用いることにより、前記第１暗号文と前記第２暗号文との演算を行う。
【発明の効果】
【0007】
本発明によれば、一側面として、Integer-wise型TFHEの四則演算をより完全に実現することが出来る。
【図面の簡単な説明】
【0008】
【図1】本実施形態の第１実施例に係る暗号処理装置の機能構成を説明する図である。
【図3】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図4】２値Gate Bootstrappingの動作イメージ図である。
【図5】Integer-wise型に応用したTFHEを説明する図である。
【図6】本実施形態のInteger-wise型TFHEを説明する図である。
【図7】本実施形態のInteger-wise型TFHEを説明する図である。
【図8】本実施形態のInteger-wise型TFHEを説明する図である。
【図9】本実施形態の第２実施例に係る暗号処理装置の機能構成を説明する図である。
【図11】本実施形態の第１実施例に係る乗算処理を説明するフローチャートである。
【図12】本実施形態の第２実施例に係る乗算処理を説明するフローチャートである。
【図13】本実施形態の第４実施例に係る暗号処理装置の機能構成を説明する図である。
【図15】本実施形態の第５実施例に係る暗号処理装置の機能構成を説明する図である。
【図17】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図18】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
【0010】
［第１実施例］
図１は、本実施形態の第１実施例に係る暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、第５演算部１６と、第１Bootstrapping部（算出部）１７と、第２Bootstrapping部（算出部）１８と、第３Bootstrapping部（算出部）１９と、出力部３５と、を備えている。また制御部１０は、暗号文の係数を２で割る第６演算部４１、第７演算部４２を備えている。
暗号処理装置１は、暗号文を構成する円周群の半面（右半面）を使って、Integer-wise型の正のTLWE暗号文同士の乗算を行う。
図１は、本実施形態の第１実施例に係る暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、第５演算部１６と、第１Bootstrapping部（算出部）１７と、第２Bootstrapping部（算出部）１８と、第３Bootstrapping部（算出部）１９と、出力部３５と、を備えている。また制御部１０は、暗号文の係数を２で割る第６演算部４１、第７演算部４２を備えている。
暗号処理装置１は、暗号文を構成する円周群の半面（右半面）を使って、Integer-wise型の正のTLWE暗号文同士の乗算を行う。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第６演算部４１は、入力暗号文又は第１演算部１２から出力された暗号文の係数を２で割る演算を行う。
第７演算部４２は、入力暗号文又は第２演算部１３から出力された暗号文の係数を２で割る演算を行う。
第１演算部１２は、入力暗号文又は第６演算部４１から出力された暗号文に対して第１準同型演算を行う。
第２演算部１３は、入力暗号文又は第７演算部４２から出力された暗号文に対して第２準同型演算を行う。
第１Bootstrapping部１７は、第１演算部１２から出力された暗号文に対して第１Bootstrappingを行う。
第３演算部１４は、第１演算部１２から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第３準同型演算を行う。
第４演算部１５は、第２演算部１３から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第４準同型演算を行う。
第１Bootstrapping部１７は、第２演算部１３から出力された暗号文に対して第１Bootstrappingを行うようにしてもよい。
その場合も、第３演算部１４は、第１演算部１２から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第３準同型演算を行う。また、第４演算部１５は、第２演算部１３から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第４準同型演算を行う。
第６演算部４１は、入力暗号文又は第１演算部１２から出力された暗号文の係数を２で割る演算を行う。
第７演算部４２は、入力暗号文又は第２演算部１３から出力された暗号文の係数を２で割る演算を行う。
第１演算部１２は、入力暗号文又は第６演算部４１から出力された暗号文に対して第１準同型演算を行う。
第２演算部１３は、入力暗号文又は第７演算部４２から出力された暗号文に対して第２準同型演算を行う。
第１Bootstrapping部１７は、第１演算部１２から出力された暗号文に対して第１Bootstrappingを行う。
第３演算部１４は、第１演算部１２から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第３準同型演算を行う。
第４演算部１５は、第２演算部１３から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第４準同型演算を行う。
第１Bootstrapping部１７は、第２演算部１３から出力された暗号文に対して第１Bootstrappingを行うようにしてもよい。
その場合も、第３演算部１４は、第１演算部１２から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第３準同型演算を行う。また、第４演算部１５は、第２演算部１３から出力された暗号文と第１Bootstrapping部１７から出力された暗号文とに対して第４準同型演算を行う。
【0012】
第２Bootstrapping部１８は、第３演算部１４から出力された暗号文に対して第２Bootstrappingを行う
第３Bootstrapping部１９は、第４演算部１５から出力された暗号文に対して第３Bootstrappingを行う。
第５演算部１６は、第２Bootstrapping部１８から出力された暗号文と第３Bootstrapping部１９から出力された暗号文とに対して第５準同型演算を行う。
第３Bootstrapping部１９は、第４演算部１５から出力された暗号文に対して第３Bootstrappingを行う。
第５演算部１６は、第２Bootstrapping部１８から出力された暗号文と第３Bootstrapping部１９から出力された暗号文とに対して第５準同型演算を行う。
【0013】
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
【0014】
出力部３５は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
また記憶部２０には、下記に説明するテストベクタ多項式の係数の計算値を格納したＬＵＴ（ルックアップテーブル）を格納する。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
また記憶部２０には、下記に説明するテストベクタ多項式の係数の計算値を格納したＬＵＴ（ルックアップテーブル）を格納する。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0015】
図２は、図１の機能構成に基づく演算プロセスを詳しく説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文同士（TLWE暗号文ｃａ、TLWE暗号文ｃｂ）の乗算を行う。ここで、TLWE暗号文ｃａは、平文整数ａの暗号文であり、TLWE暗号文ｃｂは、平文整数ｂの暗号文である。TLWE暗号文ｃａ、TLWE暗号文ｃｂは、何れも平文の範囲として円周群の右半面を使った例えば平文として正の整数を有する暗号文である。
暗号処理装置１は、下記に説明するQuarter Squareと呼ばれる手法を使って暗号文同士の乗算を行う。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文同士（TLWE暗号文ｃａ、TLWE暗号文ｃｂ）の乗算を行う。ここで、TLWE暗号文ｃａは、平文整数ａの暗号文であり、TLWE暗号文ｃｂは、平文整数ｂの暗号文である。TLWE暗号文ｃａ、TLWE暗号文ｃｂは、何れも平文の範囲として円周群の右半面を使った例えば平文として正の整数を有する暗号文である。
暗号処理装置１は、下記に説明するQuarter Squareと呼ばれる手法を使って暗号文同士の乗算を行う。
【0016】
図２（Ａ）は、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を算出する処理を示している。
図２（Ａ）において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第１演算部１２に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型加算（ｃａ’＋ｃｂ’）（第１準同型演算）を行って新たなTLWE暗号文ｃｃ１を得る。
図２（Ａ）において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第１演算部１２に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型加算（ｃａ’＋ｃｂ’）（第１準同型演算）を行って新たなTLWE暗号文ｃｃ１を得る。
【0017】
また、暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第２演算部１３に入力し、TLWE暗号文ｃａ’からのTLWE暗号文ｃｂ’の準同型減算（ｃａ’－ｃｂ’）（第２準同型演算）を行って新たなTLWE暗号文ｃｃ２を得る。
暗号処理装置１は、TLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
暗号処理装置１は、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄを第３演算部１４に入力し、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄとの準同型加算（ｃｃ１＋ｃｄ）（第３準同型演算）を行って新たなTLWE暗号文ｃｃ１’を得る。
暗号処理装置１は、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄを第４演算部１５に入力し、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄとの準同型加算（ｃｃ２＋ｃｄ）（第４準同型演算）を行って新たなTLWE暗号文ｃｃ２’を得る。
暗号処理装置１は、TLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
暗号処理装置１は、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄを第３演算部１４に入力し、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄとの準同型加算（ｃｃ１＋ｃｄ）（第３準同型演算）を行って新たなTLWE暗号文ｃｃ１’を得る。
暗号処理装置１は、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄを第４演算部１５に入力し、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄとの準同型加算（ｃｃ２＋ｃｄ）（第４準同型演算）を行って新たなTLWE暗号文ｃｃ２’を得る。
【0018】
図２（Ｂ）は、平文ａと平文ｂの和（ａ＋ｂ）の２乗割る４、差（ａ－ｂ）の２乗割る４に夫々対応する暗号文を算出する処理を示している。
図２（Ｂ）において、暗号処理装置１は、TLWE暗号文ｃｃ１’を第２Bootstrapping部１８に入力し、テストベクタ多項式Ｔｐ（Ｘ）を用いた後述するFunctional Bootstrapping（第２Bootstrapping）を行い、新たな暗号文ｃｆ１を得る。
また暗号処理装置１は、TLWE暗号文ｃｃ２’を第３Bootstrapping部１９に入力し、テストベクタ多項式Ｔｍ（Ｘ）を用いたFunctional Bootstrapping（第３Bootstrapping）を行い、新たな暗号文ｃｆ２を得る。
図２（Ｂ）において、暗号処理装置１は、TLWE暗号文ｃｃ１’を第２Bootstrapping部１８に入力し、テストベクタ多項式Ｔｐ（Ｘ）を用いた後述するFunctional Bootstrapping（第２Bootstrapping）を行い、新たな暗号文ｃｆ１を得る。
また暗号処理装置１は、TLWE暗号文ｃｃ２’を第３Bootstrapping部１９に入力し、テストベクタ多項式Ｔｍ（Ｘ）を用いたFunctional Bootstrapping（第３Bootstrapping）を行い、新たな暗号文ｃｆ２を得る。
【0019】
図２（Ｃ）は、平文ａと平文ｂの和（ａ＋ｂ）の２乗割る４から差（ａ－ｂ）の２乗割る４を引いて得られる乗算結果を算出する処理を示している。
図２（Ｃ）において、暗号処理装置１は、TLWE暗号文ｃｆ１とTLWE暗号文ｃｆ２を第５演算部１６に入力し、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算（第５準同型演算）して新たなTLWE暗号文ｃｇを得る。
図２（Ｃ）において、暗号処理装置１は、TLWE暗号文ｃｆ１とTLWE暗号文ｃｆ２を第５演算部１６に入力し、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算（第５準同型演算）して新たなTLWE暗号文ｃｇを得る。
【0020】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0021】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0022】
図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0023】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0024】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0025】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0026】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0027】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環の要素である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環の要素である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0028】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、最高次数の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（最高次数の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、最高次数の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（最高次数の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0029】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と最高次数の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群の生成元になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。なお、これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と最高次数の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群の生成元になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。なお、これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
【0030】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0031】
０，１の２値からランダムにｎ個を選択して、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
【0032】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0033】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0034】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0035】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出した、TRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋとして表せる暗号文をTRGSW暗号文と呼ぶこととする。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出した、TRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
【0036】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[s]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[s]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
【0037】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文多項式φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文多項式のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文多項式φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文多項式のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
【0038】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式がμ０となるTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式がμ１となるTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式がμ０となるTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式がμ１となるTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
【0039】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な技法を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
【0040】
図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を持つTLWE暗号文を、平文が０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を持つTLWE暗号文を、平文が０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を持つTLWE暗号文を、平文が０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を持つTLWE暗号文を、平文が０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0041】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TLWE暗号文からTRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TLWE暗号文からTRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0042】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
【0043】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式であり、Ａｎはその暗号文である。
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。
従って、
ここで、
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。
【0044】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の範囲内の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の範囲内の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の範囲内の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の範囲内の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
【0045】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎ－１として、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎ－１として、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0046】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0047】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0048】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、誤差無しの平文としては－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0049】
(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている。
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、秘密鍵ｓ’ｉの値を円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
このようにして作成した暗号文ＫＳを秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
上記におけるTLWE暗号文ｃｘを計算する式
の内側のΣを取り出すと
である。
これはすなわち
であるため、ｓ’ｉが０の場合は平文が０となるTLWE暗号文となる。一方、ｓ’ｉが１の場合は、ａｉが２進数表記で小数点以下ｊ桁目が１の場合にのみ、TLWE暗号文の平文として小数点以下ｊ桁目に１を加算することになる。つまり、この部分で、ｓ’ｉが１の場合にのみ、平文としてａｉの値を２進数での各桁に分解してTLWE暗号文の中身として再構成していると言える。
そして、外側の
の計算と自明な暗号文（［０］，ｂ）の加算とを行うことにより、暗号文の中身としてはｓ’ｉが１である位置に対応するａｉの値全てとｂとを合計している。これは実質的に、暗号文の中でTLWE暗号文の復号を行っているものと解釈できる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている。
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
このようにして作成した暗号文ＫＳを秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
上記におけるTLWE暗号文ｃｘを計算する式
これはすなわち
そして、外側の
【0050】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文ｃと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に誤差が加わったものに、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４に誤差が加わったものになっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に誤差が加わったものに、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４に誤差が加わったものになっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0051】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の四捨五入で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0052】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに乗算が可能となる。乗算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算がより完全なかたちで可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに乗算が可能となる。乗算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算がより完全なかたちで可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
【0053】
図５は、Integer-wise型に応用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}の値域である０～１をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、円周群上の値で１／２を中心とする領域に対応付けた、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
図５に示すように、円周群{Ｔ}の値域である０～１をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、円周群上の値で１／２を中心とする領域に対応付けた、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
【0054】
図５に示すように、円周群{Ｔ}上の０（１）は、－１／（２ｔ）～１／（２ｔ）の領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
また、本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっていることに注意されたい。
また、本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっていることに注意されたい。
【0055】
図６乃至図８は、本実施形態におけるInteger-wise型TFHEを説明する図である。
図６に示すように、本実施形態の乗数、被乗数夫々の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
なお、図６乃至図８では、円周群｛Ｔ｝の値域０～１を－０．５～０．５とする場合がある。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の最大値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図５の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図６（ｂ）に示している。図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付加した図６（ａ）の状態に準拠するものとする。
図６に示すように、本実施形態の乗数、被乗数夫々の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
なお、図６乃至図８では、円周群｛Ｔ｝の値域０～１を－０．５～０．５とする場合がある。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の最大値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図５の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図６（ｂ）に示している。図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付加した図６（ａ）の状態に準拠するものとする。
【0056】
図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス内にある。
図６（ａ）に示すようにオフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。これにより円周群上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点があるが、これは原理的に必須である要件ではないため、テストベクタや前処理、後処理などで適切な調整を行うことにより、異なるオフセットを採用することもできる。
図６（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図６（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。
図６（ａ）に示すようにオフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。これにより円周群上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点があるが、これは原理的に必須である要件ではないため、テストベクタや前処理、後処理などで適切な調整を行うことにより、異なるオフセットを採用することもできる。
図６（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図６（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。
【0057】
図６の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応し、左半面は負の平文整数（－１～－ｔ）に対応している。１ブロック（スライス）の幅は１／（２ｔ）である。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
【0058】
図６（ａ）に示すように、２ｔ＝１６（ｔ＝８）として円周群の値域を１６個に分割する場合には、円周群{Ｔ}の右半面で０から７（＝ｔ－１）の整数を表現し、左半面で－８（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－８、－７、－６、－５、－４、－３、－２、－１、０、１、２、３、４、５、６、７の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝１６個に区切った、－８／（２ｔ）、－７／（２ｔ）、－６／（２ｔ）、－５／（２ｔ）、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）、４／（２ｔ）、５／（２ｔ）、６／（２ｔ）、７／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－８／（２ｔ）から始まるスライスは、－７．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－７．５、－６．５、－５．５、－４．５、－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５、４．５、５．５、６．５、７．５である。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝１６個に区切った、－８／（２ｔ）、－７／（２ｔ）、－６／（２ｔ）、－５／（２ｔ）、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）、４／（２ｔ）、５／（２ｔ）、６／（２ｔ）、７／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－８／（２ｔ）から始まるスライスは、－７．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－７．５、－６．５、－５．５、－４．５、－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５、４．５、５．５、６．５、７．５である。
【0059】
本実施形態の暗号処理装置１は、Integer-wise型のTLWE暗号文同士の乗算を以下の方法により実現する。
暗号処理装置１は、Quarter Squareと呼ばれる手法を用いる。Quarter Squareは、（ａ＋ｂ）２と（ａ－ｂ）２を夫々展開したものを比較すると
（ａ＋ｂ）２－（ａ－ｂ）２＝ａ２＋２ａｂ＋ｂ２－（ａ２－２ａｂ＋ｂ２）＝４ａｂ
から４ａｂであることを利用して、ａとｂの乗算結果であるａｂを得る手法である。
Quarter Squareで必要になる演算は、
（１）ａとｂの加算（ａ＋ｂ）及び減算（ａ－ｂ）、
（２）ａとｂの加算結果の２乗（ａ＋ｂ）２及び減算結果の２乗（ａ－ｂ）２、
（３）ａとｂの加算結果及び減算結果の２乗同士の減算（ａ＋ｂ）２－（ａ－ｂ）２、
（４）減算結果４ａｂを４で割ってａｂを得ること、
の４種類である。
（１）～（４）に対応する演算をａとｂの暗号文について行う場合を考える。
（１）のａとｂの加算及び減算に対応する暗号文の加算及び減算と（３）の２乗同士の減算に対応する暗号文同士の減算は、TLWE暗号文同士で準同型に計算可能である。
また（２）の暗号文同士の２乗の計算と、（４）の暗号文を４で割る（平文の整数での除算）計算は、１変数関数としてルックアップテーブル（ＬＵＴ）で処理することが出来る。従って、Quarter Squareを用いた乗算は、TFHEで定義されている演算と相性が良い。
暗号処理装置１は、Quarter Squareと呼ばれる手法を用いる。Quarter Squareは、（ａ＋ｂ）２と（ａ－ｂ）２を夫々展開したものを比較すると
（ａ＋ｂ）２－（ａ－ｂ）２＝ａ２＋２ａｂ＋ｂ２－（ａ２－２ａｂ＋ｂ２）＝４ａｂ
から４ａｂであることを利用して、ａとｂの乗算結果であるａｂを得る手法である。
Quarter Squareで必要になる演算は、
（１）ａとｂの加算（ａ＋ｂ）及び減算（ａ－ｂ）、
（２）ａとｂの加算結果の２乗（ａ＋ｂ）２及び減算結果の２乗（ａ－ｂ）２、
（３）ａとｂの加算結果及び減算結果の２乗同士の減算（ａ＋ｂ）２－（ａ－ｂ）２、
（４）減算結果４ａｂを４で割ってａｂを得ること、
の４種類である。
（１）～（４）に対応する演算をａとｂの暗号文について行う場合を考える。
（１）のａとｂの加算及び減算に対応する暗号文の加算及び減算と（３）の２乗同士の減算に対応する暗号文同士の減算は、TLWE暗号文同士で準同型に計算可能である。
また（２）の暗号文同士の２乗の計算と、（４）の暗号文を４で割る（平文の整数での除算）計算は、１変数関数としてルックアップテーブル（ＬＵＴ）で処理することが出来る。従って、Quarter Squareを用いた乗算は、TFHEで定義されている演算と相性が良い。
【0060】
上記の（ａ＋ｂ）２－（ａ－ｂ）２＝４ａｂから、ａとｂの加算結果及び減算結果の２乗同士の差（ａ＋ｂ）２－（ａ－ｂ）２は必ず４の倍数になる。この場合、（ａ＋ｂ）の２乗と（ａ－ｂ）の２乗はどちらも４で割った余りが同じである。（ａ＋ｂ）を２乗した後に４で割って余りを切り捨てた商から（ａ－ｂ）を２乗した後に４で割って余りを切り捨てた商を減算しても、（ａ＋ｂ）の２乗から（ａ－ｂ）の２乗を減算して４で割った商と同じ正しい値が得られる。
従って、図２においては、暗号処理装置１は、（Ａ）では（ａ＋ｂ）、（ａ－ｂ）に夫々対応する暗号文の演算を行い、（Ｂ）では（ａ＋ｂ）２／４、（ａ－ｂ）２／４に夫々対応する暗号文の演算を行い、（Ｃ）では、（ａ＋ｂ）２／４－（ａ－ｂ）２／４に対応する暗号文の演算を行うことによって、平文ａと平文ｂの乗算結果に対応する暗号文の演算を行う。
特に（Ｂ）の処理をTFHEで実装する場合、予め（ａ＋ｂ）、（ａ－ｂ）を夫々２乗して４で割った商のみをＬＵＴに格納しておくことが好ましい。
従って、図２においては、暗号処理装置１は、（Ａ）では（ａ＋ｂ）、（ａ－ｂ）に夫々対応する暗号文の演算を行い、（Ｂ）では（ａ＋ｂ）２／４、（ａ－ｂ）２／４に夫々対応する暗号文の演算を行い、（Ｃ）では、（ａ＋ｂ）２／４－（ａ－ｂ）２／４に対応する暗号文の演算を行うことによって、平文ａと平文ｂの乗算結果に対応する暗号文の演算を行う。
特に（Ｂ）の処理をTFHEで実装する場合、予め（ａ＋ｂ）、（ａ－ｂ）を夫々２乗して４で割った商のみをＬＵＴに格納しておくことが好ましい。
【0061】
ただし、２乗の計算前にａとｂの和（ａ＋ｂ）や差（ａ－ｂ）を計算すると、加算及び減算後の値は夫々値域が２倍になる。
ナイーブに円周群（平文の定義域）の右半面を用いて（例えば正の数のみで）計算を行っていた場合は、値域が倍になった円周群全面からＬＵＴを参照する操作が必要になる。
TFHEのBootstrappingを用いてＬＵＴを参照する処理は、Functional Bootstrappingと呼ばれ、なかでも円周群の全面からＬＵＴを参照する手法はＦＤＦＢ（Full-Domain Functional Bootstrapping）と呼ばれる。
ＦＤＦＢには様々な手法が提案されている。いずれの手法を用いてもQuarter Squareを実現することが出来るが、本実施形態では、ＦＤＦＢの一例として、論文「TOTA: Fully Homomorphic Encryption with Smaller Parameters and Stronger Security（https://eprint.iacr.org/2021/1347）」に開示される、ＴＯＴＡと呼ばれる手法を応用する。
ナイーブに円周群（平文の定義域）の右半面を用いて（例えば正の数のみで）計算を行っていた場合は、値域が倍になった円周群全面からＬＵＴを参照する操作が必要になる。
TFHEのBootstrappingを用いてＬＵＴを参照する処理は、Functional Bootstrappingと呼ばれ、なかでも円周群の全面からＬＵＴを参照する手法はＦＤＦＢ（Full-Domain Functional Bootstrapping）と呼ばれる。
ＦＤＦＢには様々な手法が提案されている。いずれの手法を用いてもQuarter Squareを実現することが出来るが、本実施形態では、ＦＤＦＢの一例として、論文「TOTA: Fully Homomorphic Encryption with Smaller Parameters and Stronger Security（https://eprint.iacr.org/2021/1347）」に開示される、ＴＯＴＡと呼ばれる手法を応用する。
【0062】
図７は、ＴＯＴＡの手法でＦＤＦＢを行う方法を説明する図である。
本来、円周群上の点に対する除算は定義されていない。しかし、円周群上の点を一時的に実数と見なすことで強制的に除算を行うことは実装上可能である。
図７に示すように、例えば円周群｛Ｔ｝上の値０．８を実数の０．８と見なし、これを２で割ると０．４となる。
一般的に、除算は乗算の逆演算と考えられる。従って、例えば「２ｒ＝０．８を円周群上で満たすｒを求めることを除算と呼ぶ」と定義しても他の理論と矛盾しない。
この場合のｒは、０．４と０．９の２つの値を取りうる。それぞれの値は２倍すると０．８と１．８であり、円周群｛Ｔ｝上ではどちらも０．８に等しいからである。
２で割る場合は、必ず円周群｛Ｔ｝の右半面と左半面に１つずつ解があり、強制的に除算を行う操作は、円周群｛Ｔ｝の右半面の値を選択することと常に等しい。
本来、円周群上の点に対する除算は定義されていない。しかし、円周群上の点を一時的に実数と見なすことで強制的に除算を行うことは実装上可能である。
図７に示すように、例えば円周群｛Ｔ｝上の値０．８を実数の０．８と見なし、これを２で割ると０．４となる。
一般的に、除算は乗算の逆演算と考えられる。従って、例えば「２ｒ＝０．８を円周群上で満たすｒを求めることを除算と呼ぶ」と定義しても他の理論と矛盾しない。
この場合のｒは、０．４と０．９の２つの値を取りうる。それぞれの値は２倍すると０．８と１．８であり、円周群｛Ｔ｝上ではどちらも０．８に等しいからである。
２で割る場合は、必ず円周群｛Ｔ｝の右半面と左半面に１つずつ解があり、強制的に除算を行う操作は、円周群｛Ｔ｝の右半面の値を選択することと常に等しい。
【0063】
ここで、円周群｛Ｔ｝上の点を用いたベクトル［ａ］とスカラｂの組み合わせ（［ａ］，ｂ）で構成されるTLWE暗号文ｃｃがあるとする。
TLWE暗号文ｃｃのベクトル［ａ］の全ての要素と、スカラｂを、上記の手法を用いて強制的に２で除算したTLWE暗号文ｃｃ’を（［ａ’］，ｂ’）とする。
図７に示すように、TLWE暗号文ｃｃの平文の円周群上の値が０．８である場合、TLWE暗号文ｃｃを強制的に２で除算したTLWE暗号文ｃｃ’の平文の円周群上の値は０．４である場合と０．９である場合があり、どちらであるかはTLWE暗号文ｃｃ’を復号せずには分からない。
元々の平文（TLWE暗号文ｃｃの平文）の円周群上の値をｐ（上記の場合０．８）とすると、ｐ＝ｂ－[ｓ]・[ａ]（ｍｏｄ １）が成り立っていた。
（ｍｏｄ １）は、１で割った余りであるから、ｂ－[ｓ]・[ａ]の小数部だけが得られる。等号の左右で小数部のみが一致していると解釈できる。
つまり、何らかの整数ｎが存在し、実数の世界での計算としてｐ＝ｂ－[ｓ]・[ａ]＋ｎが成立している。
TLWE暗号文ｃｃのベクトル［ａ］の全ての要素と、スカラｂを、上記の手法を用いて強制的に２で除算したTLWE暗号文ｃｃ’を（［ａ’］，ｂ’）とする。
図７に示すように、TLWE暗号文ｃｃの平文の円周群上の値が０．８である場合、TLWE暗号文ｃｃを強制的に２で除算したTLWE暗号文ｃｃ’の平文の円周群上の値は０．４である場合と０．９である場合があり、どちらであるかはTLWE暗号文ｃｃ’を復号せずには分からない。
元々の平文（TLWE暗号文ｃｃの平文）の円周群上の値をｐ（上記の場合０．８）とすると、ｐ＝ｂ－[ｓ]・[ａ]（ｍｏｄ １）が成り立っていた。
（ｍｏｄ １）は、１で割った余りであるから、ｂ－[ｓ]・[ａ]の小数部だけが得られる。等号の左右で小数部のみが一致していると解釈できる。
つまり、何らかの整数ｎが存在し、実数の世界での計算としてｐ＝ｂ－[ｓ]・[ａ]＋ｎが成立している。
【0064】
ここでｐ＝ｂ－[ｓ]・[ａ]＋ｎにTLWE暗号文ｃｃ’の［ａ’］とｂ’を代入する。
（［ａ］，ｂ）を２で除算したのが（［ａ’］，ｂ’）であるので、［ａ］＝２［ａ’］であり、ｂ＝２ｂ’である。
代入の結果、ｐ＝ｂ－[ｓ]・[ａ]＋ｎ＝２ｂ’－２［ｓ］・［ａ’］＋ｎとなる。
ｐ／２＝（２ｂ’－２［ｓ］・［ａ’］＋ｎ）／２から、ｐ／２は、ｂ’－［ｓ］・［ａ’］＋ｎ／２である。
この式は実数の世界で成立する式であるため、等号の左右では小数部も当然等しい。そのためｐ／２＝ｂ’－［ｓ］・［ａ’］＋ｎ／２（ｍｏｄ １）も当然成立する。
これを移項するとｐ／２－ｎ／２＝ｂ’－［ｓ］・［ａ’］であり、右辺は、TLWE暗号文ｃｃ’の平文である。従って、TLWE暗号文ｃｃ’の平文はｐ／２－ｎ／２である。
ここで、ｎは未知ではあるが何らかの値として存在している「整数」であったため、ｎ／２の小数部は０もしくは０．５の何れかである。
従って、TLWE暗号文ｃｃ’の平文は、ｐ／２又はｐ／２＋０．５の何れかである。
ｐ／２－０は、ｐ／２であり、ｐ／２－０．５は、円周群上で－０．５と０．５が等しいことからｐ／２＋０．５である。
（［ａ］，ｂ）を２で除算したのが（［ａ’］，ｂ’）であるので、［ａ］＝２［ａ’］であり、ｂ＝２ｂ’である。
代入の結果、ｐ＝ｂ－[ｓ]・[ａ]＋ｎ＝２ｂ’－２［ｓ］・［ａ’］＋ｎとなる。
ｐ／２＝（２ｂ’－２［ｓ］・［ａ’］＋ｎ）／２から、ｐ／２は、ｂ’－［ｓ］・［ａ’］＋ｎ／２である。
この式は実数の世界で成立する式であるため、等号の左右では小数部も当然等しい。そのためｐ／２＝ｂ’－［ｓ］・［ａ’］＋ｎ／２（ｍｏｄ １）も当然成立する。
これを移項するとｐ／２－ｎ／２＝ｂ’－［ｓ］・［ａ’］であり、右辺は、TLWE暗号文ｃｃ’の平文である。従って、TLWE暗号文ｃｃ’の平文はｐ／２－ｎ／２である。
ここで、ｎは未知ではあるが何らかの値として存在している「整数」であったため、ｎ／２の小数部は０もしくは０．５の何れかである。
従って、TLWE暗号文ｃｃ’の平文は、ｐ／２又はｐ／２＋０．５の何れかである。
ｐ／２－０は、ｐ／２であり、ｐ／２－０．５は、円周群上で－０．５と０．５が等しいことからｐ／２＋０．５である。
【0065】
ここで、０又は０．５であるｎ／２の小数部をｕとする。ｕは整数ｎが偶数であるか奇数であるかの情報と等価である。整数ｎが偶数であればｎ／２の小数部ｕは０であり、整数ｎが奇数であればｎ／２の小数部ｕ＝０．５である。逆もまた成立する。
ｕを用いて表すと、TLWE暗号文ｃｃ’の平文は、ｐ／２＋ｕである。
TLWE暗号文ｃｃ’の平文がｐ／２であるかｐ／２＋０．５であるかの情報は、暗号化された状態ではあるが、平文が円周群｛Ｔ｝の右半面にあるか、左半面にあるかによって得ることができる。
具体的には、全係数が１／４であるフラットなテストベクタ多項式を用いてTLWE暗号文ｃｃ’に対するBootstrappingを行ってTLWE暗号文ｃｄを得る。これによって、平文が右半面にあれば平文として１／４を有し、平文が左半面にあれば平文として－１／４を有するTLWE暗号文ｃｄが得られる。TLWE暗号文ｃｄは、TLWE暗号文ｃｃ’の平文が右半面と左半面の何れにあるかを示す暗号文である。
TLWE暗号文ｃｄは平文がｕ＋１／４を有する。TLWE暗号文ｃｃ’にTLWE暗号文ｃｄを準同型加算して得られるTLWE暗号文ｃｃ’＋ｃｄは、（ｐ／２＋ｕ）＋（ｕ＋１／４）＝ｐ／２＋１／４から未知の値ｕが消え、平文としてｐ／２＋１／４を有する。
ｕを用いて表すと、TLWE暗号文ｃｃ’の平文は、ｐ／２＋ｕである。
TLWE暗号文ｃｃ’の平文がｐ／２であるかｐ／２＋０．５であるかの情報は、暗号化された状態ではあるが、平文が円周群｛Ｔ｝の右半面にあるか、左半面にあるかによって得ることができる。
具体的には、全係数が１／４であるフラットなテストベクタ多項式を用いてTLWE暗号文ｃｃ’に対するBootstrappingを行ってTLWE暗号文ｃｄを得る。これによって、平文が右半面にあれば平文として１／４を有し、平文が左半面にあれば平文として－１／４を有するTLWE暗号文ｃｄが得られる。TLWE暗号文ｃｄは、TLWE暗号文ｃｃ’の平文が右半面と左半面の何れにあるかを示す暗号文である。
TLWE暗号文ｃｄは平文がｕ＋１／４を有する。TLWE暗号文ｃｃ’にTLWE暗号文ｃｄを準同型加算して得られるTLWE暗号文ｃｃ’＋ｃｄは、（ｐ／２＋ｕ）＋（ｕ＋１／４）＝ｐ／２＋１／４から未知の値ｕが消え、平文としてｐ／２＋１／４を有する。
【0066】
さらに、TLWE暗号文ｃｃ’＋ｃｄから自明な暗号文（０，１／４）を準同型減算（ｃｃ’＋ｃｄ－（０，１／４））すると、平文としてｐ／２を有するTLWE暗号文が得られる。
これにより、元々の（TLWE暗号文ｃｃの）平文ｐがフルドメイン（円周群全域０～１）の値を取る場合でも、TLWE暗号文ｃｃ’では、右半面（０～０．５）に平文の範囲を縮小することができる。ただし、平文全体の範囲が半分になったのにあわせ各スライスは半分の広さになっている。
これにより、元々の（TLWE暗号文ｃｃの）平文ｐがフルドメイン（円周群全域０～１）の値を取る場合でも、TLWE暗号文ｃｃ’では、右半面（０～０．５）に平文の範囲を縮小することができる。ただし、平文全体の範囲が半分になったのにあわせ各スライスは半分の広さになっている。
【0067】
TLWE暗号文ｃｃが円周群全体に平文を有していた場合、TLWE暗号文ｃｃ’は平文の範囲として円周群の右半面のみを使用するようになる。
この状態になれば、円周群の右半面しか使用されないため、ＬＵＴからスライスのサイズを同様に半分にしたテストベクタ多項式を作成し、通常通りBootstrappingを行えばよい。
計算時間の大部分を占めるBlindRotateは、TLWE暗号文ｃｄを求めるための１回と、実際にＬＵＴを参照するための１回と、で合わせて２回である。
Quarter Squareにより乗算を行う場合は、ｘとｙの加算結果の２乗割る４と減算結果の２乗割る４のテーブルを夫々参照するために、全体でＦＤＦＢが２回必要となる。１回のＦＤＦＢに要するBlindRotateの回数は上記のように２回である。従って、単純に構成した場合、乗算全体に要するBlindRotateの回数は４回である。
本実施形態では、これをさらに高速化する。
この状態になれば、円周群の右半面しか使用されないため、ＬＵＴからスライスのサイズを同様に半分にしたテストベクタ多項式を作成し、通常通りBootstrappingを行えばよい。
計算時間の大部分を占めるBlindRotateは、TLWE暗号文ｃｄを求めるための１回と、実際にＬＵＴを参照するための１回と、で合わせて２回である。
Quarter Squareにより乗算を行う場合は、ｘとｙの加算結果の２乗割る４と減算結果の２乗割る４のテーブルを夫々参照するために、全体でＦＤＦＢが２回必要となる。１回のＦＤＦＢに要するBlindRotateの回数は上記のように２回である。従って、単純に構成した場合、乗算全体に要するBlindRotateの回数は４回である。
本実施形態では、これをさらに高速化する。
【0068】
［第１実施例］
本実施形態に係る暗号文の乗算方法を説明する。
暗号処理装置１は、TFHEのシステムパラメータを設定する。このとき、暗号処理装置１は、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（８ｔ２）未満となるようにシステムパラメータを設定する。
被乗数（掛けられる数）のTLWE暗号文ｃａと、乗数（掛ける数）のTLWE暗号文ｃｂがあるとする。
乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させることが出来るが、本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの平文の範囲として右半面のみを利用する。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃａ、ｃｂの平文が夫々ａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。このオフセットは必須ではない。
乗算は可換であるため、乗数と被乗数、すなわち平文整数ａとｂ、TLWE暗号文ｃａとTLWE暗号文ｃｂは相互に入れ替えることが出来る。
本実施形態に係る暗号文の乗算方法を説明する。
暗号処理装置１は、TFHEのシステムパラメータを設定する。このとき、暗号処理装置１は、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（８ｔ２）未満となるようにシステムパラメータを設定する。
被乗数（掛けられる数）のTLWE暗号文ｃａと、乗数（掛ける数）のTLWE暗号文ｃｂがあるとする。
乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させることが出来るが、本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの平文の範囲として右半面のみを利用する。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃａ、ｃｂの平文が夫々ａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。このオフセットは必須ではない。
乗算は可換であるため、乗数と被乗数、すなわち平文整数ａとｂ、TLWE暗号文ｃａとTLWE暗号文ｃｂは相互に入れ替えることが出来る。
【0069】
図６（ａ）について説明したように、TLWE暗号文ｃａ、TLWE暗号文ｃｂにおいても、ａ／（２ｔ）＋１／（４ｔ）と平文にオフセットを付加している。
平文にオフセットを追加した暗号文同士を乗算した結果、オフセット同士が掛け合わされた値に相当するオフセットが乗算結果の平文に追加される。このオフセットの成分は後の演算で消えるため演算結果（乗算結果）に影響はない。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
平文にオフセットを追加した暗号文同士を乗算した結果、オフセット同士が掛け合わされた値に相当するオフセットが乗算結果の平文に追加される。このオフセットの成分は後の演算で消えるため演算結果（乗算結果）に影響はない。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
【0070】
図６（ａ）において、負の数を扱う円周群{Ｔ}の左半面では、上から反時計回りに、－ｔ／（２ｔ）から始まるスライス～－１／（２ｔ）から始まるスライスを用いて整数－ｔ～－１を表現することが出来る。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現することが出来る。
本実施形態の乗算対象となるTLWE暗号文ｃａ、ｃｂは、図６（ａ）において、円周群｛Ｔ｝の右半面のみに平文を有するものとする。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現することが出来る。
本実施形態の乗算対象となるTLWE暗号文ｃａ、ｃｂは、図６（ａ）において、円周群｛Ｔ｝の右半面のみに平文を有するものとする。
【0071】
図２と上記のＦＤＦＢの説明を参照して、Quarter Squareの手法を応用した暗号文同士の乗算処理を詳しく説明する。
図２（Ａ）において、暗号処理装置１は、（ａ＋ｂ）、（ａ－ｂ）に対応する暗号文を夫々求める。
暗号処理装置１（第６演算部４１）は、TLWE暗号文ｃａの係数を２で割って新たなTLWE暗号文ｃａ’を得る。
暗号処理装置１（第７演算部４２）は、TLWE暗号文ｃｂの係数を２で割って新たなTLWE暗号文ｃｂ’を得る。
上記のように、TLWE暗号文ｃａの平文はａ／（２ｔ）＋１／（４ｔ）、TLWE暗号文ｃｂの平文はｂ／（２ｔ）＋１／（４ｔ）である。
従って、TLWE暗号文ｃａ’は、ａ／（４ｔ）＋１／（８ｔ）＋ｕを平文として有する。またTLWE暗号文ｃｂ’は、ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’を平文として有する。
このｕ、ｕ’は上記のFDFBの説明で言及した暗号文を２で割った際に現れる値である。
区別のために、TLWE暗号文ｃｂの係数を２で割ることによって現れるｕの成分はｕ’と表記している。
TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の平文は、係数を２で割る前のTLWE暗号文ｃａとTLWE暗号文ｃｂの半分となり、円周群｛Ｔ｝上での演算（ｍｏｄ １）によって消えていたｎの偶奇情報であるｕ（ｕ’）が０又は０．５として現れている。
図２（Ａ）において、暗号処理装置１は、（ａ＋ｂ）、（ａ－ｂ）に対応する暗号文を夫々求める。
暗号処理装置１（第６演算部４１）は、TLWE暗号文ｃａの係数を２で割って新たなTLWE暗号文ｃａ’を得る。
暗号処理装置１（第７演算部４２）は、TLWE暗号文ｃｂの係数を２で割って新たなTLWE暗号文ｃｂ’を得る。
上記のように、TLWE暗号文ｃａの平文はａ／（２ｔ）＋１／（４ｔ）、TLWE暗号文ｃｂの平文はｂ／（２ｔ）＋１／（４ｔ）である。
従って、TLWE暗号文ｃａ’は、ａ／（４ｔ）＋１／（８ｔ）＋ｕを平文として有する。またTLWE暗号文ｃｂ’は、ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’を平文として有する。
このｕ、ｕ’は上記のFDFBの説明で言及した暗号文を２で割った際に現れる値である。
区別のために、TLWE暗号文ｃｂの係数を２で割ることによって現れるｕの成分はｕ’と表記している。
TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の平文は、係数を２で割る前のTLWE暗号文ｃａとTLWE暗号文ｃｂの半分となり、円周群｛Ｔ｝上での演算（ｍｏｄ １）によって消えていたｎの偶奇情報であるｕ（ｕ’）が０又は０．５として現れている。
【0072】
暗号処理装置１（第１演算部１２）は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’とに対する第１準同型演算（ｃａ’＋ｃｂ’－（０，１／（８ｔ）））を行って新たなTLWE暗号文ｃｃ１を得る。
暗号処理装置１（第２演算部１３）は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’とに対する第２準同型演算（ｃａ’－ｃｂ’＋（０，１／（８ｔ）））を行って新たなTLWE暗号文ｃｃ２を得る。
第１準同型演算（準同型加算）によって得られるTLWE暗号文ｃｃ１は、
ａ／（４ｔ）＋１／（８ｔ）＋ｕ＋ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’－（０，１／（８ｔ））から、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’を平文として有する。
第２準同型演算（準同型減算）によって得られるTLWE暗号文ｃｃ２は、
ａ／（４ｔ）＋１／（８ｔ）＋ｕ－（ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’）＋（０，１／（８ｔ））から、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’を平文として有する。
これらの準同型加算及び準同型減算において加算及び減算した自明なTLWE暗号文（０，１／（８ｔ））は、スライスの境界を円周群の０と揃えるための本質的ではないオフセットである。このオフセットについては以降の説明では省略する。
暗号処理装置１（第２演算部１３）は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’とに対する第２準同型演算（ｃａ’－ｃｂ’＋（０，１／（８ｔ）））を行って新たなTLWE暗号文ｃｃ２を得る。
第１準同型演算（準同型加算）によって得られるTLWE暗号文ｃｃ１は、
ａ／（４ｔ）＋１／（８ｔ）＋ｕ＋ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’－（０，１／（８ｔ））から、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’を平文として有する。
第２準同型演算（準同型減算）によって得られるTLWE暗号文ｃｃ２は、
ａ／（４ｔ）＋１／（８ｔ）＋ｕ－（ｂ／（４ｔ）＋１／（８ｔ）＋ｕ’）＋（０，１／（８ｔ））から、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’を平文として有する。
これらの準同型加算及び準同型減算において加算及び減算した自明なTLWE暗号文（０，１／（８ｔ））は、スライスの境界を円周群の０と揃えるための本質的ではないオフセットである。このオフセットについては以降の説明では省略する。
【0073】
ここで、円周群｛Ｔ｝上では０．５＝－０．５である。これは、円周群｛Ｔ｝上の点０から右回りでも左回りでも半周すると同じ地点に至ると解釈できる。
そして、上記の説明から、ｕ、ｕ’は何れも０又は０．５の値のみ取り得るため、円周群｛Ｔ｝上で、ｕ＝－ｕ（ｕが０の場合０＝０，ｕが０．５の場合０．５＝－０．５）であり、ｕ’＝－ｕ’（ｕ’が０の場合０＝０，ｕ’が０．５の場合０．５＝－０．５）である。
従って、TLWE暗号文ｃｃ１とTLWE暗号文ｃｃ２の平文が含むｕ＋ｕ’とｕ－ｕ’の成分は、何れも常に同じ値となる。また、ｕ＋ｕ’は０又は０．５の何れかのみを取り得る。
ｕが０、ｕ’が０の場合ｕ＋ｕ’＝０、ｕ－ｕ’＝０
ｕが０、ｕ’が０．５の場合ｕ＋ｕ’＝０．５、ｕ－ｕ’＝－０．５⇒０．５
ｕが０．５、ｕ’が０の場合ｕ＋ｕ’＝０．５、ｕ－ｕ’＝０．５
ｕが０．５、ｕ’が０．５の場合ｕ＋ｕ’＝１⇒０、ｕ－ｕ’＝０
従って、ｕ＋ｕ’は、０又は＋０．５の未知の値の成分ｕ’’と考えられる。
そして、上記の説明から、ｕ、ｕ’は何れも０又は０．５の値のみ取り得るため、円周群｛Ｔ｝上で、ｕ＝－ｕ（ｕが０の場合０＝０，ｕが０．５の場合０．５＝－０．５）であり、ｕ’＝－ｕ’（ｕ’が０の場合０＝０，ｕ’が０．５の場合０．５＝－０．５）である。
従って、TLWE暗号文ｃｃ１とTLWE暗号文ｃｃ２の平文が含むｕ＋ｕ’とｕ－ｕ’の成分は、何れも常に同じ値となる。また、ｕ＋ｕ’は０又は０．５の何れかのみを取り得る。
ｕが０、ｕ’が０の場合ｕ＋ｕ’＝０、ｕ－ｕ’＝０
ｕが０、ｕ’が０．５の場合ｕ＋ｕ’＝０．５、ｕ－ｕ’＝－０．５⇒０．５
ｕが０．５、ｕ’が０の場合ｕ＋ｕ’＝０．５、ｕ－ｕ’＝０．５
ｕが０．５、ｕ’が０．５の場合ｕ＋ｕ’＝１⇒０、ｕ－ｕ’＝０
従って、ｕ＋ｕ’は、０又は＋０．５の未知の値の成分ｕ’’と考えられる。
【0074】
TLWE暗号文ｃａとTLWE暗号文ｃｂの和に対応するTLWE暗号文ｃｃ１、TLWE暗号文ｃａとTLWE暗号文ｃｂの差に対応するTLWE暗号文ｃｃ２は、何れも平文の範囲として円周群｛Ｔ｝の全面を使っている。
そこで、暗号処理装置１は、TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２の平文の範囲を円周群｛Ｔ｝の右半面に縮小する処理を行う。
暗号処理装置１（第１Bootstrapping部１７）は、TLWE暗号文ｃｃ１とTLWE暗号文ｃｃ２の何れかに対して、全係数が１／４であるフラットな第１テストベクタ多項式を用いた第１Bootstrappingを行い、TLWE暗号文ｃｄを得る。このTLWE暗号文ｃｄは、上記のFDFBで説明したものと同じくTLWE暗号文ｃｃ１、ｃｃ２が右半面と左半面のどちら側に平文を有するかを示す暗号文である。
TLWE暗号文ｃｄは、TLWE暗号文ｃｃ１、ｃｃ２の何れかのみに基づいて算出することが出来る。
暗号処理装置１（第３演算部１４）は、TLWE暗号文ｃｃ１にTLWE暗号文ｃｄを準同型加算する第３準同型演算を行い、図８（ａ）で説明する新たなTLWE暗号文ｃｃ１’を得る。
暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃｃ２にTLWE暗号文ｃｄを準同型加算する第４準同型演算を行い、図８（ｂ）で説明する新たなTLWE暗号文ｃｃ２’を得る。
上記のようにTLWE暗号文ｃｄは、その平文が右半面にあれば平文として１／４を有し、左半面にあれば平文として－１／４を有する暗号文である。TLWE暗号文ｃｄが、平文が右半面にあれば平文として－１／４を有し、左半面にあれば平文として１／４を有する暗号文となるように第１テストベクタ多項式を構成してもよく、その場合、TLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２からTLWE暗号文ｃｄを準同型減算してTLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を求めてもよい。下記の場合についても同様である。
上記からｕ’’＝ｕ＋ｕ’＝ｕ－ｕ’であり、TLWE暗号文ｃｄの平文は、ｕ’’＋１／４＝ｕ＋ｕ’＋１／４＝ｕ－ｕ’＋１／４を同時に満たす。
よって、TLWE暗号文ｃｃ１’は、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’＋（ｕ＋ｕ’＋１／４）－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’＋（ｕ－ｕ’＋１／４）－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ＋１／４－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、平文として（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）を有する。ｕ＋ｕは、０又は１であり、円周群上の値としては何れも０である。
またTLWE暗号文ｃｃ２’は、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’＋（ｕ－ｕ’＋１／４）－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’＋（ｕ＋ｕ’＋１／４）－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ＋１／４－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
から、平文として（ａ－ｂ）／（４ｔ）＋１／（８ｔ）を有する。ｕ＋ｕは、０又は１であり、円周群上の値としては何れも０である。
そこで、暗号処理装置１は、TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２の平文の範囲を円周群｛Ｔ｝の右半面に縮小する処理を行う。
暗号処理装置１（第１Bootstrapping部１７）は、TLWE暗号文ｃｃ１とTLWE暗号文ｃｃ２の何れかに対して、全係数が１／４であるフラットな第１テストベクタ多項式を用いた第１Bootstrappingを行い、TLWE暗号文ｃｄを得る。このTLWE暗号文ｃｄは、上記のFDFBで説明したものと同じくTLWE暗号文ｃｃ１、ｃｃ２が右半面と左半面のどちら側に平文を有するかを示す暗号文である。
TLWE暗号文ｃｄは、TLWE暗号文ｃｃ１、ｃｃ２の何れかのみに基づいて算出することが出来る。
暗号処理装置１（第３演算部１４）は、TLWE暗号文ｃｃ１にTLWE暗号文ｃｄを準同型加算する第３準同型演算を行い、図８（ａ）で説明する新たなTLWE暗号文ｃｃ１’を得る。
暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃｃ２にTLWE暗号文ｃｄを準同型加算する第４準同型演算を行い、図８（ｂ）で説明する新たなTLWE暗号文ｃｃ２’を得る。
上記のようにTLWE暗号文ｃｄは、その平文が右半面にあれば平文として１／４を有し、左半面にあれば平文として－１／４を有する暗号文である。TLWE暗号文ｃｄが、平文が右半面にあれば平文として－１／４を有し、左半面にあれば平文として１／４を有する暗号文となるように第１テストベクタ多項式を構成してもよく、その場合、TLWE暗号文ｃｃ１又はTLWE暗号文ｃｃ２からTLWE暗号文ｃｄを準同型減算してTLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を求めてもよい。下記の場合についても同様である。
上記からｕ’’＝ｕ＋ｕ’＝ｕ－ｕ’であり、TLWE暗号文ｃｄの平文は、ｕ’’＋１／４＝ｕ＋ｕ’＋１／４＝ｕ－ｕ’＋１／４を同時に満たす。
よって、TLWE暗号文ｃｃ１’は、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’＋（ｕ＋ｕ’＋１／４）－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ’＋（ｕ－ｕ’＋１／４）－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ＋１／４－（０，１／４）
＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、平文として（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）を有する。ｕ＋ｕは、０又は１であり、円周群上の値としては何れも０である。
またTLWE暗号文ｃｃ２’は、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’＋（ｕ－ｕ’＋１／４）－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ－ｕ’＋（ｕ＋ｕ’＋１／４）－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋ｕ＋ｕ＋１／４－（０，１／４）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
から、平文として（ａ－ｂ）／（４ｔ）＋１／（８ｔ）を有する。ｕ＋ｕは、０又は１であり、円周群上の値としては何れも０である。
【0075】
図８は、平文の値域を縮小した暗号文を説明する図である。
図８（ａ）に示すように、TLWE暗号文ｃｃ１’は、円周群｛Ｔ｝の全面を使っていたTLWE暗号文ｃａとTLWE暗号文ｃｂの和に対する暗号文ｃｃ１の値域を円周群｛Ｔ｝の右半面に縮小した暗号文である。
平文整数として０～７を取り得る、TLWE暗号文ｃａとTLWE暗号文ｃｂとの加算結果には負の値が発生しない。従って、加算結果に対応するTLWE暗号文ｃｃ１は、平文整数として０～１４の何れかをとり得る。
従って、図８（ａ）に示すように、TLWE暗号文ｃｃ１’は、円周群の右半分における０／（４ｔ）～１４／（４ｔ）の領域（スライス）に０～１４の平文整数が割り当てられる。１５／（４ｔ）の領域は使用されない。
TLWE暗号文ｃｃ１’を算出するにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂとの和を求め、暗号文の値域を右半面に縮小してスライスを半分の幅にしている。従って、TLWE暗号文ｃｃ１’に対応する円周群｛Ｔ｝における一つのスライス幅は、TLWE暗号文ｃａ、TLWE暗号文ｃｂの１／（２ｔ）の半分の１／（４ｔ）となっている。
図８（ｂ）に示すように、TLWE暗号文ｃｃ２’は、円周群｛Ｔ｝の全面を使っていたTLWE暗号文ｃａとTLWE暗号文ｃｂの差に対する暗号文ｃｃ２の値域を円周群｛Ｔ｝の右半面に縮小した暗号文である。
平文整数として０～７を取り得る、TLWE暗号文ｃａとTLWE暗号文ｃｂとの減算結果には負の値が発生し得る。従って、減算結果に対応するTLWE暗号文ｃｃ２は、平文整数として－７～－１、０～７の何れかをとり得る。
従って、図８（ｂ）に示すように、TLWE暗号文ｃｃ２’は、円周群の右半分における０／（４ｔ）～１５／（４ｔ）の領域に－７～７の平文整数が割り当てられる。
TLWE暗号文ｃｃ２’を算出するにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂとの差を求め、暗号文の値域を右半面に縮小してスライスを半分の幅にしている。従って、TLWE暗号文ｃｃ２’に対応する円周群｛Ｔ｝における一つのスライス幅は、TLWE暗号文ｃａ、TLWE暗号文ｃｂの１／（２ｔ）の半分の１／（４ｔ）となっている。
ただし、右半面に縮小する際は、円周群の値域全体である０～１を右半面である０～０．５の範囲に並びを変えずに縮小するため、TLWE暗号文ｃｃ２の円周群上の値０～０．５（平文整数では０～７に対応する）がTLWE暗号文ｃｃ２’では０～０．２５の範囲に縮小される。同様にTLWE暗号文ｃｃ２の円周群上の値０．５～１（平文整数では－８～－１に対応する）がTLWE暗号文ｃｃ２’では０．２５～０．５の範囲に縮小される。そのため、TLWE暗号文ｃｃ２’では円周群の０から反時計回りに、０，１，２，３，４，５，６，７，－８，－７，－６，－５，－４，－３，－２，－１の順で並ぶこととなる。
上記の処理によって、TLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を算出することにより、（ａ＋ｂ）と（ａ－ｂ）とに夫々対応する暗号文を算出したことになる。これに要したBlindRotateの回数は、第１テストベクタ多項式を用いてTLWE暗号文ｃｄを求めたときの１回のみである。
図８（ａ）に示すように、TLWE暗号文ｃｃ１’は、円周群｛Ｔ｝の全面を使っていたTLWE暗号文ｃａとTLWE暗号文ｃｂの和に対する暗号文ｃｃ１の値域を円周群｛Ｔ｝の右半面に縮小した暗号文である。
平文整数として０～７を取り得る、TLWE暗号文ｃａとTLWE暗号文ｃｂとの加算結果には負の値が発生しない。従って、加算結果に対応するTLWE暗号文ｃｃ１は、平文整数として０～１４の何れかをとり得る。
従って、図８（ａ）に示すように、TLWE暗号文ｃｃ１’は、円周群の右半分における０／（４ｔ）～１４／（４ｔ）の領域（スライス）に０～１４の平文整数が割り当てられる。１５／（４ｔ）の領域は使用されない。
TLWE暗号文ｃｃ１’を算出するにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂとの和を求め、暗号文の値域を右半面に縮小してスライスを半分の幅にしている。従って、TLWE暗号文ｃｃ１’に対応する円周群｛Ｔ｝における一つのスライス幅は、TLWE暗号文ｃａ、TLWE暗号文ｃｂの１／（２ｔ）の半分の１／（４ｔ）となっている。
図８（ｂ）に示すように、TLWE暗号文ｃｃ２’は、円周群｛Ｔ｝の全面を使っていたTLWE暗号文ｃａとTLWE暗号文ｃｂの差に対する暗号文ｃｃ２の値域を円周群｛Ｔ｝の右半面に縮小した暗号文である。
平文整数として０～７を取り得る、TLWE暗号文ｃａとTLWE暗号文ｃｂとの減算結果には負の値が発生し得る。従って、減算結果に対応するTLWE暗号文ｃｃ２は、平文整数として－７～－１、０～７の何れかをとり得る。
従って、図８（ｂ）に示すように、TLWE暗号文ｃｃ２’は、円周群の右半分における０／（４ｔ）～１５／（４ｔ）の領域に－７～７の平文整数が割り当てられる。
TLWE暗号文ｃｃ２’を算出するにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂとの差を求め、暗号文の値域を右半面に縮小してスライスを半分の幅にしている。従って、TLWE暗号文ｃｃ２’に対応する円周群｛Ｔ｝における一つのスライス幅は、TLWE暗号文ｃａ、TLWE暗号文ｃｂの１／（２ｔ）の半分の１／（４ｔ）となっている。
ただし、右半面に縮小する際は、円周群の値域全体である０～１を右半面である０～０．５の範囲に並びを変えずに縮小するため、TLWE暗号文ｃｃ２の円周群上の値０～０．５（平文整数では０～７に対応する）がTLWE暗号文ｃｃ２’では０～０．２５の範囲に縮小される。同様にTLWE暗号文ｃｃ２の円周群上の値０．５～１（平文整数では－８～－１に対応する）がTLWE暗号文ｃｃ２’では０．２５～０．５の範囲に縮小される。そのため、TLWE暗号文ｃｃ２’では円周群の０から反時計回りに、０，１，２，３，４，５，６，７，－８，－７，－６，－５，－４，－３，－２，－１の順で並ぶこととなる。
上記の処理によって、TLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を算出することにより、（ａ＋ｂ）と（ａ－ｂ）とに夫々対応する暗号文を算出したことになる。これに要したBlindRotateの回数は、第１テストベクタ多項式を用いてTLWE暗号文ｃｄを求めたときの１回のみである。
【0076】
図２（Ｂ）において、暗号処理装置１は、（ａ＋ｂ）２／４と（ａ－ｂ）２／４に対応する暗号文を夫々求める。
（ａ＋ｂ）の２乗を４で割った余りを切り捨てて商を算出し、（ａ－ｂ）の２乗を４で割った余りを切り捨てて商を算出する。
暗号処理装置１（第２Bootstrapping部１８）は、TLWE暗号文ｃｃ１’に対して、
第２テストベクタ多項式Ｔｐ（Ｘ）
を用いた第２Bootstrapping（Functional Bootstrapping）を行う。
第２テストベクタ多項式Ｔｐ（Ｘ）の係数の計算値をＬＵＴに格納しておき、ＬＵＴに格納された計算値をBlindRotateによって参照する。
その結果、暗号処理装置１は、
を平文として有するTLWE暗号文ｃｆ１を得る。
（ａ＋ｂ）の２乗を４で割った余りを切り捨てて商を算出し、（ａ－ｂ）の２乗を４で割った余りを切り捨てて商を算出する。
暗号処理装置１（第２Bootstrapping部１８）は、TLWE暗号文ｃｃ１’に対して、
第２テストベクタ多項式Ｔｐ（Ｘ）
第２テストベクタ多項式Ｔｐ（Ｘ）の係数の計算値をＬＵＴに格納しておき、ＬＵＴに格納された計算値をBlindRotateによって参照する。
その結果、暗号処理装置１は、
【0077】
また暗号処理装置１（第３Bootstrapping部１９）は、TLWE暗号文ｃｃ２’に対して、第３テストベクタ多項式Ｔｍ（Ｘ）
を用いた第３Bootstrapping（Functional Bootstrapping）を行う。
第３テストベクタ多項式Ｔｍ（Ｘ）の係数の計算値をＬＵＴに格納しておき、ＬＵＴに格納された計算値をBlindRotateによって参照する。
その結果、暗号処理装置１は、
を平文として有するTLWE暗号文ｃｆ２を得る。
これによって、（ａ＋ｂ）２／４に対応するTLWE暗号文ｃｆ１、（ａ－ｂ）２／４に対応するTLWE暗号文ｃｆ２が得られた。
上記において、和の場合と差の場合で並び順が異なることにより２種類のテストベクタ多項式Ｔｐ（Ｘ）、Ｔｍ（Ｘ）を用いている。
ただし、本質的には、テストベクタ多項式Ｔｐ（Ｘ）は、
の値（整数シンボル値）を分子として有する
（ただしｔは分割数）
を係数としており、またテストベクタ多項式Ｔｍ（Ｘ）は、
の値（整数シンボル値）を分子として有する
を係数としている。
和と差の場合でＬＵＴを夫々１回参照するためにBlindRotateを行うので、TLWE暗号文ｃｆ１、TLWE暗号文ｃｆ２を算出するために要したBlindRotateの回数は２回であった。
第３テストベクタ多項式Ｔｍ（Ｘ）の係数の計算値をＬＵＴに格納しておき、ＬＵＴに格納された計算値をBlindRotateによって参照する。
その結果、暗号処理装置１は、
これによって、（ａ＋ｂ）２／４に対応するTLWE暗号文ｃｆ１、（ａ－ｂ）２／４に対応するTLWE暗号文ｃｆ２が得られた。
上記において、和の場合と差の場合で並び順が異なることにより２種類のテストベクタ多項式Ｔｐ（Ｘ）、Ｔｍ（Ｘ）を用いている。
ただし、本質的には、テストベクタ多項式Ｔｐ（Ｘ）は、
を係数としており、またテストベクタ多項式Ｔｍ（Ｘ）は、
和と差の場合でＬＵＴを夫々１回参照するためにBlindRotateを行うので、TLWE暗号文ｃｆ１、TLWE暗号文ｃｆ２を算出するために要したBlindRotateの回数は２回であった。
【0078】
図２（Ｃ）において、暗号処理装置１は、（ａ＋ｂ）２／４－（ａ－ｂ）２／４、すなわち乗算結果に対応する暗号文を求める。
暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算し、TLWE暗号文ｃｇを得る。
TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算することとは、平文同士で、
を演算することに対応する。
平文同士の演算では、
となる。
TLWE暗号文ｃｇは、平文としてａｂ／２ｔ２を有し、乗算結果が得られている。
暗号処理装置１は、３回のBlindRotateで乗算結果の暗号文を算出することが出来た。最初に説明した単純にＦＤＢＤを２回行う場合の４回と比較して、BlindRotateの回数を１回少なく出来ている。
暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算し、TLWE暗号文ｃｇを得る。
TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算することとは、平文同士で、
平文同士の演算では、
TLWE暗号文ｃｇは、平文としてａｂ／２ｔ２を有し、乗算結果が得られている。
暗号処理装置１は、３回のBlindRotateで乗算結果の暗号文を算出することが出来た。最初に説明した単純にＦＤＢＤを２回行う場合の４回と比較して、BlindRotateの回数を１回少なく出来ている。
【0079】
［第２実施例］
［第１実施例］では、TLWE暗号文ｃｇとして得られた乗算結果は、平文の分母が２ｔ２であり、乗数、被乗数のTLWE暗号文ｃａ、ｃｂにおける平文の分母２ｔとは異なっている。このようなTLWE暗号文ｃｇは、平文の分母が２ｔである他の暗号文との次以降の乗算に用いることが出来ない。
［第２実施例］では、暗号処理装置１は、乗算結果の暗号文を、下位ビットと上位ビットに分解する。より詳しくは、［第２実施例］の暗号処理装置１は、乗算結果の上位ビットの暗号文と下位ビットの暗号文とを夫々算出する。
なお、乗算結果の下位ビット、上位ビットとは、乗算結果を二進数で表したときの下位の所定数ビットと残りのビットである。これはｔを２のべき乗にした場合の表現であり、異なる値の場合でも表現が異なるのみで本質的に意味が変わるものではない。
下位ビットは、乗算結果（ａｂ）をｔで割った剰余であり、上位ビットは乗算結果（ａｂ）をｔで割った商である。
［第１実施例］では、TLWE暗号文ｃｇとして得られた乗算結果は、平文の分母が２ｔ２であり、乗数、被乗数のTLWE暗号文ｃａ、ｃｂにおける平文の分母２ｔとは異なっている。このようなTLWE暗号文ｃｇは、平文の分母が２ｔである他の暗号文との次以降の乗算に用いることが出来ない。
［第２実施例］では、暗号処理装置１は、乗算結果の暗号文を、下位ビットと上位ビットに分解する。より詳しくは、［第２実施例］の暗号処理装置１は、乗算結果の上位ビットの暗号文と下位ビットの暗号文とを夫々算出する。
なお、乗算結果の下位ビット、上位ビットとは、乗算結果を二進数で表したときの下位の所定数ビットと残りのビットである。これはｔを２のべき乗にした場合の表現であり、異なる値の場合でも表現が異なるのみで本質的に意味が変わるものではない。
下位ビットは、乗算結果（ａｂ）をｔで割った剰余であり、上位ビットは乗算結果（ａｂ）をｔで割った商である。
【0080】
図９は、本実施形態の第２実施例に係る暗号処理装置の機能構成を説明する図である。
図１０は、図９の機能構成に基づく演算プロセスを説明する図である。
図９、図１０に示す［第２実施例］では、第２算出部１８、第３算出部１９、第５演算部１６に替えて、第８演算部４３、第９演算部４４、第４算出部５１、第５算出部５２を備える点で、図１、図２の［第１実施例］と異なる。
図１０は、図９の機能構成に基づく演算プロセスを説明する図である。
図９、図１０に示す［第２実施例］では、第２算出部１８、第３算出部１９、第５演算部１６に替えて、第８演算部４３、第９演算部４４、第４算出部５１、第５算出部５２を備える点で、図１、図２の［第１実施例］と異なる。
【0081】
TLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を算出する（Ａ）の処理は［第１実施例］と同じである。
（Ｂ）の処理において、暗号処理装置１は、（ａ＋ｂ）２／４に対応するTLWE暗号文、（ａ－ｂ）２／４に対応するTLWE暗号文を得るために、ＬＵＴの内容を、下位ビット用のＬＵＴと上位ビット用のＬＵＴに予め分解する。
暗号処理装置１は、ｍａｎｙＬＵＴの手法を用いて、１回のBlindRotateで下位ビット用のＬＵＴと上位ビット用のＬＵＴを参照する。これによりBlindRotateの回数を増やすことなく、乗算結果の上位ビットの暗号文と下位ビットの暗号文を算出することが出来る。なお、ｍａｎｙＬＵＴとは、共通のTLWE暗号文を用いて、異なるテストベクタ多項式に対するBlindRotateを行う（異なるＬＵＴを参照する）処理である。
暗号処理装置１は、（ａ＋ｂ）２／４に関して、ａとｂの乗算結果の下位ビットに対応する
を第４テストベクタ多項式Ｔｐ１（Ｘ）における奇数次の項の係数とし、係数の計算値を予め奇数次（下位ビット）用のＬＵＴに格納する。
は（ａ＋ｂ）２／４をｔで割った剰余であり（ａ＋ｂ）２／４の下位ビットに対応する。
また暗号処理装置１は、（ａ＋ｂ）２／４に関して、ａとｂの乗算結果の上位ビットに対応する
を第４テストベクタ多項式Ｔｐ１（Ｘ）における偶数次の項の係数とし、係数の計算値を予め偶数次（上位ビット）用のＬＵＴに格納する。
は（ａ＋ｂ）２／４をｔで割った商であり（ａ＋ｂ）２／４の上位ビットに対応する。
（Ｂ）の処理において、暗号処理装置１は、（ａ＋ｂ）２／４に対応するTLWE暗号文、（ａ－ｂ）２／４に対応するTLWE暗号文を得るために、ＬＵＴの内容を、下位ビット用のＬＵＴと上位ビット用のＬＵＴに予め分解する。
暗号処理装置１は、ｍａｎｙＬＵＴの手法を用いて、１回のBlindRotateで下位ビット用のＬＵＴと上位ビット用のＬＵＴを参照する。これによりBlindRotateの回数を増やすことなく、乗算結果の上位ビットの暗号文と下位ビットの暗号文を算出することが出来る。なお、ｍａｎｙＬＵＴとは、共通のTLWE暗号文を用いて、異なるテストベクタ多項式に対するBlindRotateを行う（異なるＬＵＴを参照する）処理である。
暗号処理装置１は、（ａ＋ｂ）２／４に関して、ａとｂの乗算結果の下位ビットに対応する
また暗号処理装置１は、（ａ＋ｂ）２／４に関して、ａとｂの乗算結果の上位ビットに対応する
は（ａ＋ｂ）２／４をｔで割った商であり（ａ＋ｂ）２／４の上位ビットに対応する。
【0082】
また、暗号処理装置１は、（ａ－ｂ）２／４に関して、ａとｂの乗算結果の下位ビットに対応する
を第５テストベクタ多項式Ｔｍ１（Ｘ）における奇数次の項の係数とし、計算値を予め下位ビット用のＬＵＴに格納する。
は（ａ－ｂ）２／４をｔで割った剰余であり（ａ－ｂ）２／４の下位ビットに対応する。
また暗号処理装置１は、（ａ－ｂ）２／４に関して、ａとｂの乗算結果の上位ビットに対応する
を第５テストベクタ多項式Ｔｍ１（Ｘ）における偶数次の項の係数とし、計算値を予め上位ビット用のＬＵＴに格納する。
は（ａ－ｂ）２／４をｔで割った商であり、（ａ－ｂ）２／４の上位ビットに対応する。
これとは逆に、テストベクタ多項式Ｔｐ１（Ｘ）、テストベクタ多項式Ｔｍ１（Ｘ）における偶数次の係数を（ａ＋ｂ）２／４、（ａ－ｂ）２／４の下位ビットに対応させ、奇数次の係数を上位ビットに対応させてもよい。ただし本実施例では、偶数次の係数を上位ビットに対応させ、奇数次の係数を下位ビットに対応させるものとして説明する。
また暗号処理装置１は、（ａ－ｂ）２／４に関して、ａとｂの乗算結果の上位ビットに対応する
これとは逆に、テストベクタ多項式Ｔｐ１（Ｘ）、テストベクタ多項式Ｔｍ１（Ｘ）における偶数次の係数を（ａ＋ｂ）２／４、（ａ－ｂ）２／４の下位ビットに対応させ、奇数次の係数を上位ビットに対応させてもよい。ただし本実施例では、偶数次の係数を上位ビットに対応させ、奇数次の係数を下位ビットに対応させるものとして説明する。
【0083】
暗号処理装置１（第４Bootstrapping部５１）は、TLWE暗号文ｃｃ１’に対して、上記テストベクタ多項式Ｔｐ１（Ｘ）を用いた第４Bootstrapping（Functional Bootstrapping）を行う。
このとき、暗号処理装置１は、ｍａｎｙＬＵＴによって上位ビット（偶数次）用のＬＵＴと下位ビット（奇数次）用のＬＵＴを同時に参照することが出来る。
ここで、任意の整数の２乗の計算結果が常に非負であり且つｔが正の値であることから、４やｔによる除算、床関数、剰余算によって符号が変わらない。
従って、第４テストベクタ多項式Ｔｐ１（Ｘ）の全係数
と
は必ず非負であり、かつ分子がｔ未満であるため、円周群｛Ｔ｝の右半面しか使用していない。
暗号処理装置１は、TLWE暗号文ｃｃ１’に対するｍａｎｙＬＵＴによる第４Bootstrappingの結果、偶数次側（上位ビット＝商）のTLWE暗号文ｃＰＵと、奇数次側（下位ビット＝剰余）のTLWE暗号文ｃＰＬと、を得る。
このとき、暗号処理装置１は、ｍａｎｙＬＵＴによって上位ビット（偶数次）用のＬＵＴと下位ビット（奇数次）用のＬＵＴを同時に参照することが出来る。
ここで、任意の整数の２乗の計算結果が常に非負であり且つｔが正の値であることから、４やｔによる除算、床関数、剰余算によって符号が変わらない。
従って、第４テストベクタ多項式Ｔｐ１（Ｘ）の全係数
暗号処理装置１は、TLWE暗号文ｃｃ１’に対するｍａｎｙＬＵＴによる第４Bootstrappingの結果、偶数次側（上位ビット＝商）のTLWE暗号文ｃＰＵと、奇数次側（下位ビット＝剰余）のTLWE暗号文ｃＰＬと、を得る。
【0084】
暗号処理装置１（第５Bootstrapping部５２）は、TLWE暗号文ｃｃ２’に対して、第５テストベクタ多項式Ｔｍ１（Ｘ）を用いた第５Bootstrapping（Functional Bootstrapping）を行う。このとき、暗号処理装置１は、ｍａｎｙＬＵＴによって上位ビットのＬＵＴと下位ビットのＬＵＴを同時に参照することが出来る。
【0085】
ここで、任意の整数の２乗の計算結果が常に非負であり且つｔが正の値であることから、４やｔによる除算、床関数、剰余算によって符号が変わらない。
従って、テストベクタ多項式Ｔｍ１（Ｘ）の全係数
と
が必ず非負であり、かつｔで割っているため分子は必ずｔ未満であるため、円周群｛Ｔ｝の右半面のみを使用している。
暗号処理装置１は、TLWE暗号文ｃｃ２’に対するｍａｎｙＬＵＴを用いた第５Bootstrappingの結果、偶数次側（上位ビット＝商）のTLWE暗号文ｃＭＵと、奇数次側（下位ビット＝剰余）をTLWE暗号文ｃＭＬと、を得る。
従って、テストベクタ多項式Ｔｍ１（Ｘ）の全係数
暗号処理装置１は、TLWE暗号文ｃｃ２’に対するｍａｎｙＬＵＴを用いた第５Bootstrappingの結果、偶数次側（上位ビット＝商）のTLWE暗号文ｃＭＵと、奇数次側（下位ビット＝剰余）をTLWE暗号文ｃＭＬと、を得る。
【0086】
（Ｃ）に関して、テストベクタ多項式Ｔｐ１（Ｘ）とテストベクタ多項式Ｔｍ１（Ｘ）の係数を、（ａ＋ｂ）２／４、（ａ－ｂ）２／４を夫々ｔで割った商と剰余とに分解していた。従って、（ａ＋ｂ）２／４の暗号文は、［第２実施例］では、商のTLWE暗号文ｃＰＵ、剰余のTLWE暗号文ｃＰＬに分解されている。
また（ａ－ｂ）２／４の暗号文は、［第２実施例］では、商のTLWE暗号文ｃＭＵ、剰余のTLWE暗号文ｃＭＬに分解されている。
従って、TLWE暗号文ｃＰＵとTLWE暗号文ｃＰＬとに対して、ｔ×ｃＰＵ＋ｃＰＬを計算すると、計算結果の平文は、［第１実施例］の暗号文ｃｆ１の平文
と一致する。
また、TLWE暗号文ｃＭＵとTLWE暗号文ｃＭＬとに対して、ｔ×ｃＭＵ＋ｃＭＬを計算すると、計算結果の平文は、［第１実施例］の暗号文ｃｆ２の平文
と一致する。
また（ａ－ｂ）２／４の暗号文は、［第２実施例］では、商のTLWE暗号文ｃＭＵ、剰余のTLWE暗号文ｃＭＬに分解されている。
従って、TLWE暗号文ｃＰＵとTLWE暗号文ｃＰＬとに対して、ｔ×ｃＰＵ＋ｃＰＬを計算すると、計算結果の平文は、［第１実施例］の暗号文ｃｆ１の平文
また、TLWE暗号文ｃＭＵとTLWE暗号文ｃＭＬとに対して、ｔ×ｃＭＵ＋ｃＭＬを計算すると、計算結果の平文は、［第１実施例］の暗号文ｃｆ２の平文
【0087】
暗号処理装置１（第８演算部４３）は、（ａ＋ｂ）２／４の商に対応するTLWE暗号文ｃＰＵから、（ａ－ｂ）２／４の商に対応するTLWE暗号文ｃＭＵを準同型減算（ｃＰＵ－ｃＭＵ）し、乗算結果の上位ビットに対応するTLWE暗号文ｃＵを得る。
さらに、暗号処理装置１（第９演算部４４）は、（ａ＋ｂ）２／４の剰余に対応するTLWE暗号文ｃＰＬから（ａ－ｂ）２／４の剰余に対応するTLWE暗号文ｃＭＬを準同型減算（ｃＰＬ－ｃＭＬ）し、乗算結果の下位ビットに対応するTLWE暗号文ｃＬを得る。
ここで、上位ビットと下位ビットを組み合わせた平文を計算すると、
φ（ｔ×ｃＵ＋ｃＬ）＝φ（ｔ×（ｃＰＵ－ｃＭＵ）＋（ｃＰＬ－ｃＭＬ））＝φ（（ｔ×ｃＰＵ＋ｃＰＬ）－（ｔ×ｃＭＵ＋ｃＭＬ））＝φ（ｔ×ｃＰＵ＋ｃＰＬ）－φ（ｔ×ｃＭＵ－ｃＭＬ）であるため、
であることが確認できる。
ここでφは復号関数であり、φ（）で得られる値は、暗号文の平文である。
従って、TLWE暗号文ｃＵとTLWE暗号文ｃＬは、ａｂ／２ｔの計算結果を上位ビットと下位ビットに分解した値をそれぞれ平文として有する。
さらに、暗号処理装置１（第９演算部４４）は、（ａ＋ｂ）２／４の剰余に対応するTLWE暗号文ｃＰＬから（ａ－ｂ）２／４の剰余に対応するTLWE暗号文ｃＭＬを準同型減算（ｃＰＬ－ｃＭＬ）し、乗算結果の下位ビットに対応するTLWE暗号文ｃＬを得る。
ここで、上位ビットと下位ビットを組み合わせた平文を計算すると、
φ（ｔ×ｃＵ＋ｃＬ）＝φ（ｔ×（ｃＰＵ－ｃＭＵ）＋（ｃＰＬ－ｃＭＬ））＝φ（（ｔ×ｃＰＵ＋ｃＰＬ）－（ｔ×ｃＭＵ＋ｃＭＬ））＝φ（ｔ×ｃＰＵ＋ｃＰＬ）－φ（ｔ×ｃＭＵ－ｃＭＬ）であるため、
ここでφは復号関数であり、φ（）で得られる値は、暗号文の平文である。
従って、TLWE暗号文ｃＵとTLWE暗号文ｃＬは、ａｂ／２ｔの計算結果を上位ビットと下位ビットに分解した値をそれぞれ平文として有する。
【0088】
TLWE暗号文ｃＵとTLWE暗号文ｃＬは、乗算結果の上位ビット、下位ビットとなる暗号文であるが、平文の分母が２ｔであるため、平文の分母が２ｔである他の暗号文との次以降の乗算に用いることが出来る。
以上により平文ａと平文ｂの乗算結果の上位ビットに対応する暗号文ｃＵ、下位ビットに対応する暗号文ｃＬが夫々得られた。
以上により平文ａと平文ｂの乗算結果の上位ビットに対応する暗号文ｃＵ、下位ビットに対応する暗号文ｃＬが夫々得られた。
【0089】
上述したように各ＬＵＴを参照した結果が、円周群の右半面のみであることから、その差であるTLWE暗号文ｃＵとTLWE暗号文ｃＬは何れも平文が円周群の全面からはみ出ることはなく、情報の欠損は発生していないことが確認される。
なお、TLWE暗号文ｃＬは負になる場合がある。例えばａ＝１、ｂ＝６、ｔ＝８の場合には、TLWE暗号文ｃｕの平文整数が１、TLWE暗号文ｃＬの平文整数が－２という結果が得られる。１×６＝６であるはずのところ、ｔ×１－２＝６であり、計算自体は正しくできていると言える。
ただしａ＝３、ｂ＝２、ｔ＝８の場合、TLWE暗号文ｃＵの平文整数が０、TLWE暗号文ｃＬの平文整数が６でｔ×０＋６＝６であることと比較すると、同じ乗算結果としての６という結果を表すために２種類以上の表現が得られる。
後続の計算次第ではこのままでも問題ない場合もあるが、用途次第では追加で正規化が必要になる。
正規化とは、上記における６という結果に対して常に同じ表現で計算結果が得られるようにすることである。
なお、TLWE暗号文ｃＬは負になる場合がある。例えばａ＝１、ｂ＝６、ｔ＝８の場合には、TLWE暗号文ｃｕの平文整数が１、TLWE暗号文ｃＬの平文整数が－２という結果が得られる。１×６＝６であるはずのところ、ｔ×１－２＝６であり、計算自体は正しくできていると言える。
ただしａ＝３、ｂ＝２、ｔ＝８の場合、TLWE暗号文ｃＵの平文整数が０、TLWE暗号文ｃＬの平文整数が６でｔ×０＋６＝６であることと比較すると、同じ乗算結果としての６という結果を表すために２種類以上の表現が得られる。
後続の計算次第ではこのままでも問題ない場合もあるが、用途次第では追加で正規化が必要になる。
正規化とは、上記における６という結果に対して常に同じ表現で計算結果が得られるようにすることである。
【0090】
正規化が必要な場合は以下の処理を追加する。まず、TLWE暗号文ｃＬが負か非負か、すなわちその平文が円周群｛Ｔ｝の右半面にあるか左半面にあるかを判定するため、全係数が１／（４ｔ）であるフラットなテストベクタ多項式でTLWE暗号文ｃＬをBootstrappingし、TLWE暗号文ｃｓを得る。
TLWE暗号文ｃｓは、TLWE暗号文ｃＬの平文が円周群｛Ｔ｝の左半面にある場合は、平文として－１／（４ｔ）を有し、右半面にある場合は、平文として１／（４ｔ）を有する。
TLWE暗号文ｃｓ’＝ｃｓ－（０，１／（４ｔ））と、
TLWE暗号文ｃｓ’’＝ｔ×ｃｓ－（０，１／４）
を計算する。
TLWE暗号文ｃｓ’は整数シンボルとして、－１（TLWE暗号文ｃＬの平文が負の場合のみ）又は０であるため、暗号処理装置１は、TLWE暗号文ｃｓ’をTLWE暗号文ｃＵに準同型加算する。
TLWE暗号文ｃｓ’’は、TLWE暗号文ｃＬの平文が負の場合に、平文が－１／２、それ以外は０であるため、暗号処理装置１は、TLWE暗号文ｃｓ’’をTLWE暗号文ｃＬに準同型加算（又は準同型減算）する。
TLWE暗号文ｃｕの平文が１、TLWE暗号文ｃＬの平文が－２の場合、TLWE暗号文ｃｓの平文は－１／（４ｔ）であり、平文として０を有する新たなTLWE暗号文ｃｕ、平文として６を有する新たなTLWE暗号文ｃＬが得られる。
TLWE暗号文ｃｓは、TLWE暗号文ｃＬの平文が円周群｛Ｔ｝の左半面にある場合は、平文として－１／（４ｔ）を有し、右半面にある場合は、平文として１／（４ｔ）を有する。
TLWE暗号文ｃｓ’＝ｃｓ－（０，１／（４ｔ））と、
TLWE暗号文ｃｓ’’＝ｔ×ｃｓ－（０，１／４）
を計算する。
TLWE暗号文ｃｓ’は整数シンボルとして、－１（TLWE暗号文ｃＬの平文が負の場合のみ）又は０であるため、暗号処理装置１は、TLWE暗号文ｃｓ’をTLWE暗号文ｃＵに準同型加算する。
TLWE暗号文ｃｓ’’は、TLWE暗号文ｃＬの平文が負の場合に、平文が－１／２、それ以外は０であるため、暗号処理装置１は、TLWE暗号文ｃｓ’’をTLWE暗号文ｃＬに準同型加算（又は準同型減算）する。
TLWE暗号文ｃｕの平文が１、TLWE暗号文ｃＬの平文が－２の場合、TLWE暗号文ｃｓの平文は－１／（４ｔ）であり、平文として０を有する新たなTLWE暗号文ｃｕ、平文として６を有する新たなTLWE暗号文ｃＬが得られる。
【0091】
［第３実施例］
［第１実施例］、［第２実施例］では、TLWE暗号文ｃａとTLWE暗号文ｃｂの係数を２で割った後で、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の加算及び減算を行っていた。
それに限らず、先にTLWE暗号文ｃａとTLWE暗号文ｃｂの加算及び減算を行った後で、２で割るようにしてもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算（ｃａ＋ｃｂ）を行って新たなTLWE暗号文を得る。また暗号処理装置１は、TLWE暗号文ｃａからTLWE暗号文ｃｂを準同型減算（ｃａ－ｃｂ）して新たなTLWE暗号文を得る。
暗号処理装置１は、上記準同型加算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得る。また暗号処理装置１は、上記準同型減算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得る。
TLWE暗号文ｃｃ１、ｃｃ２を用いたこれ以降の処理は、図２、図１０と同じである。
ただし、TLWE暗号文ｃａとTLWE暗号文ｃｂの和と差のLWE暗号文の夫々の要素は円周群の元ではなくなるため、情報が欠損しないようにする必要がある。
例えば、円周群上の０．６を平文として有するTLWE暗号文ｃａ、円周群上の０．８を平文としてTLWE暗号文ｃｂの乗算を行う。それにあたり、［第１実施例］、［第２実施例］の場合と同様にTLWE暗号文ｃａ、TLWE暗号文ｃｂの和を算出するとする。
そのとき、０．６＋０．８と平文同士の和を取る場合は、円周群上の演算としては１．４つまり０．４となるのが正しい。しかし、和を２で割る際には１．４の方を２で割る必要がある。０．４を２で割ると０．２となり正しい値が得られないからである。
そのため、円周群を整数部０ｂｉｔ、小数部３２ｂｉｔの固定小数表現で表している場合、和や差は整数部１ｂｉｔと小数部３２ｂｉｔで表現する必要がある。
これは変数のビット幅が固定されているＣＰＵでの実装では不利となる。
最下位に誤差が載ることを許容して整数部１ｂｉｔと小数部３１ｂｉｔとしてもよい。この場合、和や差の結果として得られた整数部１ｂｉｔと小数部３１ｂｉｔの固定小数表現を、ビットの並びをそのままにして整数部０ｂｉｔ小数部３２ｂｉｔの固定小数として読むと、加算及び減算の後の２で割る演算が行われたかたちとなる。
［第１実施例］、［第２実施例］では、TLWE暗号文ｃａとTLWE暗号文ｃｂの係数を２で割った後で、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の加算及び減算を行っていた。
それに限らず、先にTLWE暗号文ｃａとTLWE暗号文ｃｂの加算及び減算を行った後で、２で割るようにしてもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算（ｃａ＋ｃｂ）を行って新たなTLWE暗号文を得る。また暗号処理装置１は、TLWE暗号文ｃａからTLWE暗号文ｃｂを準同型減算（ｃａ－ｃｂ）して新たなTLWE暗号文を得る。
暗号処理装置１は、上記準同型加算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得る。また暗号処理装置１は、上記準同型減算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得る。
TLWE暗号文ｃｃ１、ｃｃ２を用いたこれ以降の処理は、図２、図１０と同じである。
ただし、TLWE暗号文ｃａとTLWE暗号文ｃｂの和と差のLWE暗号文の夫々の要素は円周群の元ではなくなるため、情報が欠損しないようにする必要がある。
例えば、円周群上の０．６を平文として有するTLWE暗号文ｃａ、円周群上の０．８を平文としてTLWE暗号文ｃｂの乗算を行う。それにあたり、［第１実施例］、［第２実施例］の場合と同様にTLWE暗号文ｃａ、TLWE暗号文ｃｂの和を算出するとする。
そのとき、０．６＋０．８と平文同士の和を取る場合は、円周群上の演算としては１．４つまり０．４となるのが正しい。しかし、和を２で割る際には１．４の方を２で割る必要がある。０．４を２で割ると０．２となり正しい値が得られないからである。
そのため、円周群を整数部０ｂｉｔ、小数部３２ｂｉｔの固定小数表現で表している場合、和や差は整数部１ｂｉｔと小数部３２ｂｉｔで表現する必要がある。
これは変数のビット幅が固定されているＣＰＵでの実装では不利となる。
最下位に誤差が載ることを許容して整数部１ｂｉｔと小数部３１ｂｉｔとしてもよい。この場合、和や差の結果として得られた整数部１ｂｉｔと小数部３１ｂｉｔの固定小数表現を、ビットの並びをそのままにして整数部０ｂｉｔ小数部３２ｂｉｔの固定小数として読むと、加算及び減算の後の２で割る演算が行われたかたちとなる。
【0092】
図１１は、本実施形態の第１実施例に係る乗算処理を説明するフローチャートである。
暗号処理装置１（第６演算部４１）は、ステップＳ１０１において、TLWE暗号文ｃａの係数を２で割ってTLWE暗号文ｃａ’を得る。
暗号処理装置１（第７演算部４２）は、ステップＳ１０２において、TLWE暗号文ｃｂの係数を２で割って新たなTLWE暗号文ｃｂ’を得る。
ステップＳ１０１、ステップＳ１０２の処理は順不同である。
暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の準同型加算を行い、新たなTLWE暗号文ｃｃ１を得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０４において、TLWE暗号文ｃａ’からTLWE暗号文ｃｂ’を準同型減算し、新たなTLWE暗号文ｃｃ２を得る。
ステップＳ１０３、ステップＳ１０４の処理は順不同である。
暗号処理装置１（第６演算部４１）は、ステップＳ１０１において、TLWE暗号文ｃａの係数を２で割ってTLWE暗号文ｃａ’を得る。
暗号処理装置１（第７演算部４２）は、ステップＳ１０２において、TLWE暗号文ｃｂの係数を２で割って新たなTLWE暗号文ｃｂ’を得る。
ステップＳ１０１、ステップＳ１０２の処理は順不同である。
暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’の準同型加算を行い、新たなTLWE暗号文ｃｃ１を得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０４において、TLWE暗号文ｃａ’からTLWE暗号文ｃｂ’を準同型減算し、新たなTLWE暗号文ｃｃ２を得る。
ステップＳ１０３、ステップＳ１０４の処理は順不同である。
【0093】
［第３実施例］に関連して、ステップＳ１０３、Ｓ１０４に対応する処理を行ったあとで、ステップＳ１０１、Ｓ１０２に対応する処理を行ってもよい。
すなわち、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得てもよい。
TLWE暗号文ｃａからのTLWE暗号文ｃｂの準同型減算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得てもよい。
すなわち、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得てもよい。
TLWE暗号文ｃａからのTLWE暗号文ｃｂの準同型減算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得てもよい。
【0094】
暗号処理装置１（第１Bootstrapping部１７）は、ステップＳ１０５において、TLWE暗号文ｃｃ１に対して係数が全て１／４のフラットな第１テストベクタ多項式Ｔ１（Ｘ）を用いて第１Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
暗号処理装置１（第３演算部１４）は、ステップＳ１０６において、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄの準同型加算を行い、新たな暗号文ｃｃ１’を得る。
暗号処理装置１（第４演算部１５）は、ステップＳ１０７において、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄの準同型加算を行い、新たな暗号文ｃｃ２’を得る。
ステップＳ１０６、ステップＳ１０７の処理は順不同である。
暗号処理装置１（第２Bootstrapping部１８）は、ステップＳ１０８において、TLWE暗号文ｃｃ１’に対して、第２テストベクタ多項式Ｔｐ（Ｘ）を用いた第２Bootstrappingを行い、新たなTLWE暗号文ｃｆ１を得る。
暗号処理装置１（第３Bootstrapping部１９）は、ステップＳ１０９において、TLWE暗号文ｃｃ２’に対して、第３テストベクタ多項式Ｔｍ（Ｘ）を用いた第３Bootstrappingを行い、新たなTLWE暗号文ｃｆ２を得る。
ステップＳ１０８、ステップＳ１０９の処理は順不同である。
暗号処理装置１（第５演算部１６）は、ステップＳ１１０において、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算して、乗算結果に対応する新たなTLWE暗号文ｃｇを得る。このTLWE暗号文ｃｇは、上位ビット、下位ビットを全て含む。
以上の処理によってInteger-wise型のTLWE暗号文同士の乗算結果を得ることが出来た。
暗号処理装置１（第３演算部１４）は、ステップＳ１０６において、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄの準同型加算を行い、新たな暗号文ｃｃ１’を得る。
暗号処理装置１（第４演算部１５）は、ステップＳ１０７において、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄの準同型加算を行い、新たな暗号文ｃｃ２’を得る。
ステップＳ１０６、ステップＳ１０７の処理は順不同である。
暗号処理装置１（第２Bootstrapping部１８）は、ステップＳ１０８において、TLWE暗号文ｃｃ１’に対して、第２テストベクタ多項式Ｔｐ（Ｘ）を用いた第２Bootstrappingを行い、新たなTLWE暗号文ｃｆ１を得る。
暗号処理装置１（第３Bootstrapping部１９）は、ステップＳ１０９において、TLWE暗号文ｃｃ２’に対して、第３テストベクタ多項式Ｔｍ（Ｘ）を用いた第３Bootstrappingを行い、新たなTLWE暗号文ｃｆ２を得る。
ステップＳ１０８、ステップＳ１０９の処理は順不同である。
暗号処理装置１（第５演算部１６）は、ステップＳ１１０において、TLWE暗号文ｃｆ１からTLWE暗号文ｃｆ２を準同型減算して、乗算結果に対応する新たなTLWE暗号文ｃｇを得る。このTLWE暗号文ｃｇは、上位ビット、下位ビットを全て含む。
以上の処理によってInteger-wise型のTLWE暗号文同士の乗算結果を得ることが出来た。
【0095】
図１２は、本実施形態の第２実施例に係る乗算処理を説明するフローチャートである。
ステップＳ２０１乃至２０７までは、図１１のステップＳ１０１乃至１０７と同じである。
［第３実施例］に関連して、ステップＳ２０３、Ｓ２０４に対応する処理を行ったあとで、ステップＳ２０１、Ｓ２０２に対応する処理を行ってもよい。
すなわち、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得てもよい。
TLWE暗号文ｃａからのTLWE暗号文ｃｂの準同型減算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得てもよい。
暗号処理装置１（第４Bootstrapping部５１）は、ステップＳ２０８において、TLWE暗号文ｃｃ１’に対して、第４テストベクタ多項式Ｔｐ１（Ｘ）を用いた第４Bootstrappingを行い、新たなTLWE暗号文ｃＰＵ、ｃＰＬを得る。
暗号処理装置１（第５Bootstrapping部５２）は、ステップＳ２０９において、TLWE暗号文ｃｃ２’に対して、第５テストベクタ多項式Ｔｍ（Ｘ）を用いた第５Bootstrappingを行い、新たなTLWE暗号文ｃＭＵ、ｃＭＬを得る。
ステップＳ２０８、ステップＳ２０９の処理は順不同である。
暗号処理装置１（第８演算部４３）は、ステップＳ２１０において、TLWE暗号文ｃＰＵからTLWE暗号文ｃＭＵを準同型減算し、新たなTLWE暗号文ｃＵを得る。TLWE暗号文ｃＵは、乗算結果の上位ビットに対応する暗号文である。
暗号処理装置１（第９演算部４４）は、ステップＳ２１１において、TLWE暗号文ｃＰＬからTLWE暗号文ｃＭＬを準同型減算し、新たなTLWE暗号文ｃＬを得る。TLWE暗号文ｃＬは、乗算結果の下位ビットに対応する暗号文である。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の上位ビットと下位ビットを得ることが出来た。
ステップＳ２０１乃至２０７までは、図１１のステップＳ１０１乃至１０７と同じである。
［第３実施例］に関連して、ステップＳ２０３、Ｓ２０４に対応する処理を行ったあとで、ステップＳ２０１、Ｓ２０２に対応する処理を行ってもよい。
すなわち、TLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型加算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得てもよい。
TLWE暗号文ｃａからのTLWE暗号文ｃｂの準同型減算を行い、その演算結果の暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得てもよい。
暗号処理装置１（第４Bootstrapping部５１）は、ステップＳ２０８において、TLWE暗号文ｃｃ１’に対して、第４テストベクタ多項式Ｔｐ１（Ｘ）を用いた第４Bootstrappingを行い、新たなTLWE暗号文ｃＰＵ、ｃＰＬを得る。
暗号処理装置１（第５Bootstrapping部５２）は、ステップＳ２０９において、TLWE暗号文ｃｃ２’に対して、第５テストベクタ多項式Ｔｍ（Ｘ）を用いた第５Bootstrappingを行い、新たなTLWE暗号文ｃＭＵ、ｃＭＬを得る。
ステップＳ２０８、ステップＳ２０９の処理は順不同である。
暗号処理装置１（第８演算部４３）は、ステップＳ２１０において、TLWE暗号文ｃＰＵからTLWE暗号文ｃＭＵを準同型減算し、新たなTLWE暗号文ｃＵを得る。TLWE暗号文ｃＵは、乗算結果の上位ビットに対応する暗号文である。
暗号処理装置１（第９演算部４４）は、ステップＳ２１１において、TLWE暗号文ｃＰＬからTLWE暗号文ｃＭＬを準同型減算し、新たなTLWE暗号文ｃＬを得る。TLWE暗号文ｃＬは、乗算結果の下位ビットに対応する暗号文である。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の上位ビットと下位ビットを得ることが出来た。
【0096】
［第４実施例］
図２（Ａ）に示したように、［第１実施例］では、TLWE暗号文ｃａとTLWE暗号文ｃｂの係数を夫々２で割ってTLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を算出し、これらの暗号文同士の準同型加算、準同型減算を行うことにより、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出していた。
それに限らず、図２（Ａ）の場合と同じ手順でTLWE暗号文ｃｃ１’を算出したあと、TLWE暗号文ｃｃ１’からTLWE暗号文ｃｂを準同型減算することでTLWE暗号文ｃｃ２’を算出することが出来る。
TLWE暗号文ｃｃ１’の平文が（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であり、TLWE暗号文ｃｃ２’の平文が（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であることから、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛（ａ－ｂ）／（４ｔ）＋１／（８ｔ）｝
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）｝
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＝２ｂ／（４ｔ）＝ｂ／（２ｔ）
から、オフセットの違いを無視するとTLWE暗号文ｃｃ１’－TLWE暗号文ｃｃ２’＝TLWE暗号文ｃｂが成り立つ。
従って、TLWE暗号文ｃｃ１’－TLWE暗号文ｃｂからTLWE暗号文ｃｃ２’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ２’を算出する。
この場合、図２（Ａ）におけるTLWE暗号文ｃａ’からTLWE暗号文ｃｂ’を準同型減算する第２演算部１３による第２準同型演算を行う必要がない。結果的に、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄを準同型加算する第４演算部１５による第４準同型演算を行わない。
図２（Ａ）に示したように、［第１実施例］では、TLWE暗号文ｃａとTLWE暗号文ｃｂの係数を夫々２で割ってTLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を算出し、これらの暗号文同士の準同型加算、準同型減算を行うことにより、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出していた。
それに限らず、図２（Ａ）の場合と同じ手順でTLWE暗号文ｃｃ１’を算出したあと、TLWE暗号文ｃｃ１’からTLWE暗号文ｃｂを準同型減算することでTLWE暗号文ｃｃ２’を算出することが出来る。
TLWE暗号文ｃｃ１’の平文が（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であり、TLWE暗号文ｃｃ２’の平文が（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であることから、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛（ａ－ｂ）／（４ｔ）＋１／（８ｔ）｝
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）｝
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＝２ｂ／（４ｔ）＝ｂ／（２ｔ）
から、オフセットの違いを無視するとTLWE暗号文ｃｃ１’－TLWE暗号文ｃｃ２’＝TLWE暗号文ｃｂが成り立つ。
従って、TLWE暗号文ｃｃ１’－TLWE暗号文ｃｂからTLWE暗号文ｃｃ２’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ２’を算出する。
この場合、図２（Ａ）におけるTLWE暗号文ｃａ’からTLWE暗号文ｃｂ’を準同型減算する第２演算部１３による第２準同型演算を行う必要がない。結果的に、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄを準同型加算する第４演算部１５による第４準同型演算を行わない。
【0097】
以下に詳しく説明する。
上記のように、TLWE暗号文ｃｃ１’の平文は、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃｂの平文は、ｂ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ｂ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ｂ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ｂ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ｂ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
から、（ａ－ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。
以上から、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））によってTLWE暗号文ｃｃ２’と同一の平文を有する暗号文が得られることが分かった。
上記のように、TLWE暗号文ｃｃ１’の平文は、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃｂの平文は、ｂ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ｂ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ｂ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ｂ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ｂ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
から、（ａ－ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。
以上から、ｃｃ１’－ｃｂ＋（０，１／（４ｔ））によってTLWE暗号文ｃｃ２’と同一の平文を有する暗号文が得られることが分かった。
【0098】
また｛（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）｝＋｛（ａ－ｂ）／（４ｔ）＋１／（８ｔ）｝
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）＋ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝２ａ／（４ｔ）＋２／（８ｔ）＝ａ／（２ｔ）＋１／（４ｔ）
から、オフセットの違いを無視するとTLWE暗号文ｃｃ１’＋TLWE暗号文ｃｃ２’＝TLWE暗号文ｃａが成り立つ。
従って、TLWE暗号文ｃｃ１’からTLWE暗号文ｃａを準同型減算することで、TLWE暗号文ｃｃ２’を算出することが出来る。
具体的には、暗号処理装置１は、ｃｃ１’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ２’を算出する。
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）＋ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝２ａ／（４ｔ）＋２／（８ｔ）＝ａ／（２ｔ）＋１／（４ｔ）
から、オフセットの違いを無視するとTLWE暗号文ｃｃ１’＋TLWE暗号文ｃｃ２’＝TLWE暗号文ｃａが成り立つ。
従って、TLWE暗号文ｃｃ１’からTLWE暗号文ｃａを準同型減算することで、TLWE暗号文ｃｃ２’を算出することが出来る。
具体的には、暗号処理装置１は、ｃｃ１’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ２’を算出する。
【0099】
上記のように、TLWE暗号文ｃｃ１’の平文は、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃａの平文は、ａ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ１’－ｃａ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
＝（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。以上から、ｃｃ１’－ｃａ＋（０，１／（４ｔ））によって、平文に対応する整数シンボルの符号がTLWE暗号文ｃｃ２’から反転したTLWE暗号文ｃｃ２’’が得られる。TLWE暗号文ｃｃ２’’の扱いについては後述する。
あるいは、TLWE暗号文ｃａからTLWE暗号文ｃｃ１’を準同型減算（ｃａ－ｃｃ１’）することで、TLWE暗号文ｃｃ２’’を算出することなくTLWE暗号文ｃｃ２’を算出することが出来る。この場合は、ｃａ－ｃｃ１’に（０，１／（４ｔ））などのオフセットを付与せずともよい。
従って、ｃｃ１’－ｃａ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
＝（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。以上から、ｃｃ１’－ｃａ＋（０，１／（４ｔ））によって、平文に対応する整数シンボルの符号がTLWE暗号文ｃｃ２’から反転したTLWE暗号文ｃｃ２’’が得られる。TLWE暗号文ｃｃ２’’の扱いについては後述する。
あるいは、TLWE暗号文ｃａからTLWE暗号文ｃｃ１’を準同型減算（ｃａ－ｃｃ１’）することで、TLWE暗号文ｃｃ２’’を算出することなくTLWE暗号文ｃｃ２’を算出することが出来る。この場合は、ｃａ－ｃｃ１’に（０，１／（４ｔ））などのオフセットを付与せずともよい。
【0100】
図１３は、本実施形態の第４実施例に係る暗号処理装置の機能構成を説明する図である。
図１４は、図１３の機能構成に基づく演算プロセスを説明する図である。
図１３、図１４に示す［第４実施例］は、第２演算部１３、第４演算部１５を備えず、第１０演算部４５を備える点で、図１、図２の［第１実施例］と異なる。
［第４実施例］では、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を図１４に示すように算出する。
図１４において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第１演算部１２に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型加算（第１準同型演算）を行って新たなTLWE暗号文ｃｃ１を得る。
暗号処理装置１は、TLWE暗号文ｃｃ１を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ１に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
図１４は、図１３の機能構成に基づく演算プロセスを説明する図である。
図１３、図１４に示す［第４実施例］は、第２演算部１３、第４演算部１５を備えず、第１０演算部４５を備える点で、図１、図２の［第１実施例］と異なる。
［第４実施例］では、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を図１４に示すように算出する。
図１４において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第１演算部１２に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型加算（第１準同型演算）を行って新たなTLWE暗号文ｃｃ１を得る。
暗号処理装置１は、TLWE暗号文ｃｃ１を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ１に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
【0101】
暗号処理装置１は、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄを第３演算部１４に入力し、TLWE暗号文ｃｃ１とTLWE暗号文ｃｄとの準同型加算（第３準同型演算）を行って新たなTLWE暗号文ｃｃ１’を得る。
【0102】
TLWE暗号文ｃｄが、平文が右半面にあれば平文として－１／４を有し、左半面にあれば平文として１／４を有する暗号文となるように第１テストベクタ多項式を構成し、TLWE暗号文ｃｃ１からTLWE暗号文ｃｄを準同型減算してTLWE暗号文ｃｃ１’を求めてもよい。
暗号処理装置１は、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｂを第１０演算部４５に入力し、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｂとの準同型減算（第１０準同型演算）を行って新たなTLWE暗号文ｃｃ２’を得る。
この第１０準同型演算は、上記したｃｃ１’－ｃｂ＋（０，１／（４ｔ））を計算する準同型演算である。
あるいは、暗号処理装置１は、TLWE暗号文ｃｃ１’とTLWE暗号文ｃａを第１０演算部４５に入力し、第１０準同型演算として、TLWE暗号文ｃｃ１’とTLWE暗号文ｃａとの準同型減算を行って新たなTLWE暗号文ｃｃ２’を得る。この場合、第１０準同型演算は、上記したｃｃ１’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算である。
TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出した以降の処理は図２と同じである。
暗号処理装置１は、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｂを第１０演算部４５に入力し、TLWE暗号文ｃｃ１’とTLWE暗号文ｃｂとの準同型減算（第１０準同型演算）を行って新たなTLWE暗号文ｃｃ２’を得る。
この第１０準同型演算は、上記したｃｃ１’－ｃｂ＋（０，１／（４ｔ））を計算する準同型演算である。
あるいは、暗号処理装置１は、TLWE暗号文ｃｃ１’とTLWE暗号文ｃａを第１０演算部４５に入力し、第１０準同型演算として、TLWE暗号文ｃｃ１’とTLWE暗号文ｃａとの準同型減算を行って新たなTLWE暗号文ｃｃ２’を得る。この場合、第１０準同型演算は、上記したｃｃ１’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算である。
TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出した以降の処理は図２と同じである。
【0103】
［第５実施例］
［第４実施例］ではTLWE暗号文ｃｃ１’を算出し、算出したTLWE暗号文ｃｃ１’からTLWE暗号文ｃｂ又はTLWE暗号文ｃａを準同型減算することで、TLWE暗号文ｃｃ２’を算出した。
それに対して、図２（Ａ）の場合と同じ手順でTLWE暗号文ｃｃ２’を算出したあと、TLWE暗号文ｃｃ２’に対してTLWE暗号文ｃｂを準同型加算することでTLWE暗号文ｃｃ１’を算出することが出来る。これは、［第４実施例］で記載したように、TLWE暗号文ｃｃ１’－TLWE暗号文ｃｃ２’＝TLWE暗号文ｃｂが成り立つことによる。TLWE暗号文ｃｃ２’＋TLWE暗号文ｃｂからTLWE暗号文ｃｃ１’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ１’を算出する。
［第４実施例］ではTLWE暗号文ｃｃ１’を算出し、算出したTLWE暗号文ｃｃ１’からTLWE暗号文ｃｂ又はTLWE暗号文ｃａを準同型減算することで、TLWE暗号文ｃｃ２’を算出した。
それに対して、図２（Ａ）の場合と同じ手順でTLWE暗号文ｃｃ２’を算出したあと、TLWE暗号文ｃｃ２’に対してTLWE暗号文ｃｂを準同型加算することでTLWE暗号文ｃｃ１’を算出することが出来る。これは、［第４実施例］で記載したように、TLWE暗号文ｃｃ１’－TLWE暗号文ｃｃ２’＝TLWE暗号文ｃｂが成り立つことによる。TLWE暗号文ｃｃ２’＋TLWE暗号文ｃｂからTLWE暗号文ｃｃ１’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ１’を算出する。
【0104】
上記のように、TLWE暗号文ｃｃ２’の平文は、（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃｂの平文は、ｂ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））の平文は、
以下の計算、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋｛ｂ／（２ｔ）＋１／（４ｔ）｝－１／（４ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）＋｛ｂ／（２ｔ）＋１／（４ｔ）｝－１／（４ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）＋２ｂ／（４ｔ）＋１／（４ｔ）－１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
から、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ１’の平文は（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であった。
以上から、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））によってTLWE暗号文ｃｃ１’と同一の平文を有する暗号文が得られることが分かった。
従って、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））の平文は、
以下の計算、
（ａ－ｂ）／（４ｔ）＋１／（８ｔ）＋｛ｂ／（２ｔ）＋１／（４ｔ）｝－１／（４ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）＋｛ｂ／（２ｔ）＋１／（４ｔ）｝－１／（４ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）＋２ｂ／（４ｔ）＋１／（４ｔ）－１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
から、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、［第１実施例］で説明したTLWE暗号文ｃｃ１’の平文は（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であった。
以上から、ｃｃ２’＋ｃｂ－（０，１／（４ｔ））によってTLWE暗号文ｃｃ１’と同一の平文を有する暗号文が得られることが分かった。
【0105】
また、TLWE暗号文ｃｃ２’からTLWE暗号文ｃａを準同型減算することでTLWE暗号文ｃｃ１’を算出することが出来る。
これは、［第４実施例］で記載したように、TLWE暗号文ｃｃ１’＋TLWE暗号文ｃｃ２’＝TLWE暗号文ｃａが成り立つことによる。TLWE暗号文ｃｃ２’－TLWE暗号文ｃａからTLWE暗号文ｃｃ１’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ２’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ１’を算出する。
上記のように、TLWE暗号文ｃｃ２’の平文は、（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃａの平文は、ａ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ２’－ｃａ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
＝（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、TLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。以上から、ｃｃ２’－ｃａ＋（０，１／（４ｔ））によって、平文に対応する整数シンボルの符号が反転したTLWE暗号文ｃｃ１’’が得られる。TLWE暗号文ｃｃ１’’の扱いについては後述する。
あるいは、TLWE暗号文ｃａからTLWE暗号文ｃｃ２’を準同型減算（ｃａ－ｃｃ２’）することで、TLWE暗号文ｃｃ１’’を算出することなく、TLWE暗号文ｃｃ１’を算出することが出来る。この場合は、ｃａ－ｃｃ２’に（０，１／（４ｔ））などのオフセットを付与せずともよい。
これは、［第４実施例］で記載したように、TLWE暗号文ｃｃ１’＋TLWE暗号文ｃｃ２’＝TLWE暗号文ｃａが成り立つことによる。TLWE暗号文ｃｃ２’－TLWE暗号文ｃａからTLWE暗号文ｃｃ１’を求めることが出来る。
具体的には、暗号処理装置１は、ｃｃ２’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算を行うことでTLWE暗号文ｃｃ１’を算出する。
上記のように、TLWE暗号文ｃｃ２’の平文は、（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。またTLWE暗号文ｃａの平文は、ａ／（２ｔ）＋１／（４ｔ）であった。
従って、ｃｃ２’－ｃａ＋（０，１／（４ｔ））の平文は、
以下の計算、
（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－｛ａ／（２ｔ）＋１／（４ｔ）｝＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）－２ａ／（４ｔ）－１／（４ｔ）＋１／（４ｔ）＋１／（８ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）
＝（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
から、（－ａ＋ｂ）／（４ｔ）＋１／（８ｔ）である。
そして、TLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であった。以上から、ｃｃ２’－ｃａ＋（０，１／（４ｔ））によって、平文に対応する整数シンボルの符号が反転したTLWE暗号文ｃｃ１’’が得られる。TLWE暗号文ｃｃ１’’の扱いについては後述する。
あるいは、TLWE暗号文ｃａからTLWE暗号文ｃｃ２’を準同型減算（ｃａ－ｃｃ２’）することで、TLWE暗号文ｃｃ１’’を算出することなく、TLWE暗号文ｃｃ１’を算出することが出来る。この場合は、ｃａ－ｃｃ２’に（０，１／（４ｔ））などのオフセットを付与せずともよい。
【0106】
図１５は本実施形態の第５実施例に係る暗号処理装置の機能構成を説明する図である。
図１６は、図１５の機能構成に基づく演算プロセスを説明する図である。
図１５、図１６に示す［第５実施例］は、第１演算部１２、第３演算部１４、第１０演算部４５を備えず、第２演算部１３、第４演算部１５、第１１演算部４６を備える点で、図１３、図１４の［第４実施例］と異なる。
［第５実施例］では、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を図１６に示すように算出する。
図１６において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第２演算部１３に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型減算（第２準同型演算）を行って新たなTLWE暗号文ｃｃ２を得る。
暗号処理装置１は、TLWE暗号文ｃｃ２を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ２に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
図１６は、図１５の機能構成に基づく演算プロセスを説明する図である。
図１５、図１６に示す［第５実施例］は、第１演算部１２、第３演算部１４、第１０演算部４５を備えず、第２演算部１３、第４演算部１５、第１１演算部４６を備える点で、図１３、図１４の［第４実施例］と異なる。
［第５実施例］では、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を図１６に示すように算出する。
図１６において、暗号処理装置１は、TLWE暗号文ｃａを第６演算部４１に入力し、TLWE暗号文ｃａの係数を２で割った新たなTLWE暗号文ｃａ’を得る。
また暗号処理装置１は、TLWE暗号文ｃｂを第７演算部４２に入力し、TLWE暗号文ｃｂの係数を２で割った新たなTLWE暗号文ｃｂ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’を第２演算部１３に入力し、TLWE暗号文ｃａ’とTLWE暗号文ｃｂ’との準同型減算（第２準同型演算）を行って新たなTLWE暗号文ｃｃ２を得る。
暗号処理装置１は、TLWE暗号文ｃｃ２を第１Bootstrapping部１７に入力し、全ての係数が１／４のフラットなテストベクタ多項式Ｔ１（Ｘ）を用いてTLWE暗号文ｃｃ２に対するGate Bootstrappingを行い、新たなTLWE暗号文ｃｄを得る。
【0107】
暗号処理装置１は、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄを第４演算部１５に入力し、TLWE暗号文ｃｃ２とTLWE暗号文ｃｄとの準同型加算（第４準同型演算）を行って新たなTLWE暗号文ｃｃ２’を得る。
TLWE暗号文ｃｄが、平文が右半面にあれば平文として－１／４を有し、左半面にあれば平文として１／４を有する暗号文となるように第１テストベクタ多項式を構成し、TLWE暗号文ｃｃ２からTLWE暗号文ｃｄを準同型減算してTLWE暗号文ｃｃ２’を求めてもよい。
暗号処理装置１は、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｂを第１１演算部４６に入力し、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｂとの準同型加算（第１１準同型演算）を行って新たなTLWE暗号文ｃｃ１’を得る。
この第１１準同型演算は、上記したｃｃ２’＋ｃｂ－（０，１／（４ｔ））を計算する準同型演算である。
あるいは、暗号処理装置１は、TLWE暗号文ｃｃ２’とTLWE暗号文ｃａを第１０演算部４５に入力し、第１１準同型演算として、TLWE暗号文ｃｃ２’とTLWE暗号文ｃａとの準同型減算を行って新たなTLWE暗号文ｃｃ１’を得る。この場合、第１１準同型演算は、上記したｃｃ２’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算である。
TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出した以降の処理は図２、図１０と同じである。
TLWE暗号文ｃｄが、平文が右半面にあれば平文として－１／４を有し、左半面にあれば平文として１／４を有する暗号文となるように第１テストベクタ多項式を構成し、TLWE暗号文ｃｃ２からTLWE暗号文ｃｄを準同型減算してTLWE暗号文ｃｃ２’を求めてもよい。
暗号処理装置１は、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｂを第１１演算部４６に入力し、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｂとの準同型加算（第１１準同型演算）を行って新たなTLWE暗号文ｃｃ１’を得る。
この第１１準同型演算は、上記したｃｃ２’＋ｃｂ－（０，１／（４ｔ））を計算する準同型演算である。
あるいは、暗号処理装置１は、TLWE暗号文ｃｃ２’とTLWE暗号文ｃａを第１０演算部４５に入力し、第１１準同型演算として、TLWE暗号文ｃｃ２’とTLWE暗号文ｃａとの準同型減算を行って新たなTLWE暗号文ｃｃ１’を得る。この場合、第１１準同型演算は、上記したｃｃ２’－ｃａ＋（０，１／（４ｔ））を計算する準同型演算である。
TLWE暗号文ｃｃ１’とTLWE暗号文ｃｃ２’を算出した以降の処理は図２、図１０と同じである。
【0108】
また、図９、図１０で説明した［第２実施例］の場合に関しても、平文ａと平文ｂの和（ａ＋ｂ）と差（ａ－ｂ）に夫々対応する暗号文を算出する図１０（Ａ）の処理で［第４実施例］、［第５実施例］の方法を行って、TLWE暗号文ｃｃ１’、TLWE暗号文ｃｃ２’を算出することが出来る。
この場合、暗号処理装置１は、図１３の第２算出部１８、第３算出部１９に替えて、図９の第８演算部４３、第９演算部４４、第４算出部５１、第５算出部５２を備えた機能構成を有する。
この場合、暗号処理装置１は、図１３の第２算出部１８、第３算出部１９に替えて、図９の第８演算部４３、第９演算部４４、第４算出部５１、第５算出部５２を備えた機能構成を有する。
【0109】
また［第３実施例］では、［第１実施例］、［第２実施例］のTLWE暗号文ｃｃ１、ｃｃ２を得るにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型加算と準同型減算を行い、得られた暗号文の係数を夫々２で割るようにしていた。
［第４実施例］に関しても、TLWE暗号文ｃｃ１を得るにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型加算を行い、得られた暗号文の係数を２で割ってもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型加算を行って新たなTLWE暗号文を算出し、得られた暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得る。TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２を用いたこれ以降の処理は図２、図１０と同じである。
［第５実施例］に関しても、TLWE暗号文ｃｃ２を得るにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型減算を行い、得られた暗号文の係数を２で割ってもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型減算を行って新たなTLWE暗号文を算出し、得られた暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得る。TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２を用いたこれ以降の処理は図２、図１０と同じである。
［第４実施例］に関しても、TLWE暗号文ｃｃ１を得るにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型加算を行い、得られた暗号文の係数を２で割ってもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型加算を行って新たなTLWE暗号文を算出し、得られた暗号文の係数を２で割ってTLWE暗号文ｃｃ１を得る。TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２を用いたこれ以降の処理は図２、図１０と同じである。
［第５実施例］に関しても、TLWE暗号文ｃｃ２を得るにあたり、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型減算を行い、得られた暗号文の係数を２で割ってもよい。
この場合、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂの準同型減算を行って新たなTLWE暗号文を算出し、得られた暗号文の係数を２で割ってTLWE暗号文ｃｃ２を得る。TLWE暗号文ｃｃ１、TLWE暗号文ｃｃ２を用いたこれ以降の処理は図２、図１０と同じである。
【0110】
なお、上述のように、［第４実施例］で得られるTLWE暗号文ｃｃ２’’と、［第５実施例］で得られるTLWE暗号文ｃｃ１’’は整数シンボルとしてはTLWE暗号文ｃｃ２’とTLWE暗号文ｃｃ１’から正負（符号）が反転している。
図２（Ｂ）、図１０（Ｂ）で、TLWE暗号文ｃｃ１’TLWE暗号文ｃｃ２’を用いて行う演算は２乗を行う演算であり、ｘ２＝（－ｘ）２であることから理論的にはTLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’もそのまま利用可能である。しかし、例えば［第５実施例］のTLWE暗号文ｃｃ１’の２乗を行うＬＵＴの値域を超えてしまう。従って、［第１実施例］の第２BootstrappingのBlindRotateに用いるテストベクタ多項式Ｔｐ（Ｘ）、あるいは［第２実施例］の第４BootstrappingのBlindRotateに用いるテストベクタ多項式Ｔｐ１（Ｘ）を変更する必要がある。
従って、図２（Ｂ）、図１０（Ｂ）の２乗の計算の前に、［第４実施例］で算出したTLWE暗号文ｃｃ２’’［第５実施例］で算出したTLWE暗号文ｃｃ１’’の符号を再度反転させることが望ましい。
図２（Ｂ）、図１０（Ｂ）で、TLWE暗号文ｃｃ１’TLWE暗号文ｃｃ２’を用いて行う演算は２乗を行う演算であり、ｘ２＝（－ｘ）２であることから理論的にはTLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’もそのまま利用可能である。しかし、例えば［第５実施例］のTLWE暗号文ｃｃ１’の２乗を行うＬＵＴの値域を超えてしまう。従って、［第１実施例］の第２BootstrappingのBlindRotateに用いるテストベクタ多項式Ｔｐ（Ｘ）、あるいは［第２実施例］の第４BootstrappingのBlindRotateに用いるテストベクタ多項式Ｔｐ１（Ｘ）を変更する必要がある。
従って、図２（Ｂ）、図１０（Ｂ）の２乗の計算の前に、［第４実施例］で算出したTLWE暗号文ｃｃ２’’［第５実施例］で算出したTLWE暗号文ｃｃ１’’の符号を再度反転させることが望ましい。
【0111】
以下に、TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’の符号を再び反転させてTLWE暗号文ｃｃ２’TLWE暗号文ｃｃ１’を得る方法を説明する。
オフセットの影響があるため、TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’は、整数シンボルとしてはTLWE暗号文ｃｃ２’、TLWE暗号文ｃｃ１’から夫々正負が反転していても円周群上では完全に反転しているのではない。
従って、まずはTLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’からオフセットである（０，１／（８ｔ））を減算してオフセットを除去し、暗号文の全係数の符号を反転してから（０，１／（８ｔ））を加算してオフセットを付与する。
その結果、TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’の整数シンボルの符号を反転させたTLWE暗号文ｃｃ２’TLWE暗号文ｃｃ１’が得られる。
これにより、図２（Ｂ）、図１０（Ｂ）と同じテストベクタ多項式Ｔｐ（Ｘ）、テストベクタ多項式Ｔｐ１（Ｘ）を用いたBootstrappingを行い、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｃ１’の２乗を算出することが出来る。
オフセットの影響があるため、TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’は、整数シンボルとしてはTLWE暗号文ｃｃ２’、TLWE暗号文ｃｃ１’から夫々正負が反転していても円周群上では完全に反転しているのではない。
従って、まずはTLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’からオフセットである（０，１／（８ｔ））を減算してオフセットを除去し、暗号文の全係数の符号を反転してから（０，１／（８ｔ））を加算してオフセットを付与する。
その結果、TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’の整数シンボルの符号を反転させたTLWE暗号文ｃｃ２’TLWE暗号文ｃｃ１’が得られる。
これにより、図２（Ｂ）、図１０（Ｂ）と同じテストベクタ多項式Ｔｐ（Ｘ）、テストベクタ多項式Ｔｐ１（Ｘ）を用いたBootstrappingを行い、TLWE暗号文ｃｃ２’とTLWE暗号文ｃｃ１’の２乗を算出することが出来る。
【0112】
TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’からTLWE暗号文ｃｃ２’、TLWE暗号文ｃｃ１’を得る計算は以下のように表される。
TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’をTLWE暗号文ｃｔとする。得られるべきTLWE暗号文ｃｃ２’、TLWE暗号文ｃｃ１’をTLWE暗号文ｃｔ’とする。
ｃ１＝ｃｔ－（０，１／（８ｔ））を行い、TLWE暗号文ｃｔのオフセットを外す。
ｃ２＝－ｃ１を行い、オフセットを除去したTLWE暗号文ｃｔの円周群上での符号を反転させる。
ｃｔ’＝ｃ２＋（０，１／（８ｔ））を行って再度オフセットを付与し、TLWE暗号文ｃｔ’を得る。
上記の演算は、ｃｔ’＝－（ｃｔ－（０，１／（８ｔ））＋（０，１／（８ｔ））とまとめられ、さらに、ｃｔ’＝－ｃｔ＋（０,１／（４ｔ））と整理出来る。
［第４実施例］の第１０準同型演算において、－｛ｃｃ１’－ｃａ＋（０，１／（４ｔ））｝＋（０,１／（４ｔ））とすることで、TLWE暗号文ｃｃ２’’を算出することなくTLWE暗号文ｃｃ２’を算出することが出来る。
すなわち、
－｛ｃｃ１’－ｃａ＋（０，１／（４ｔ））｝＋（０，１／（４ｔ））
＝－ｃｃ１’＋ｃａ－（０，１／（４ｔ））＋（０，１／（４ｔ）
＝－ｃｃ１’＋ｃａ
＝－｛（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）｝＋ａ／（２ｔ）＋１／（４ｔ）
＝－（ａ＋ｂ）／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ａ／（２ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋２ａ／（４ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋２／（８ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
と計算できる。TLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であり、上記の計算によって、TLWE暗号文ｃｃ２’’の符号を反転させてTLWE暗号文ｃｃ２’を得られることが分かる。
TLWE暗号文ｃｃ２’’、TLWE暗号文ｃｃ１’’をTLWE暗号文ｃｔとする。得られるべきTLWE暗号文ｃｃ２’、TLWE暗号文ｃｃ１’をTLWE暗号文ｃｔ’とする。
ｃ１＝ｃｔ－（０，１／（８ｔ））を行い、TLWE暗号文ｃｔのオフセットを外す。
ｃ２＝－ｃ１を行い、オフセットを除去したTLWE暗号文ｃｔの円周群上での符号を反転させる。
ｃｔ’＝ｃ２＋（０，１／（８ｔ））を行って再度オフセットを付与し、TLWE暗号文ｃｔ’を得る。
上記の演算は、ｃｔ’＝－（ｃｔ－（０，１／（８ｔ））＋（０，１／（８ｔ））とまとめられ、さらに、ｃｔ’＝－ｃｔ＋（０,１／（４ｔ））と整理出来る。
［第４実施例］の第１０準同型演算において、－｛ｃｃ１’－ｃａ＋（０，１／（４ｔ））｝＋（０,１／（４ｔ））とすることで、TLWE暗号文ｃｃ２’’を算出することなくTLWE暗号文ｃｃ２’を算出することが出来る。
すなわち、
－｛ｃｃ１’－ｃａ＋（０，１／（４ｔ））｝＋（０，１／（４ｔ））
＝－ｃｃ１’＋ｃａ－（０，１／（４ｔ））＋（０，１／（４ｔ）
＝－ｃｃ１’＋ｃａ
＝－｛（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）｝＋ａ／（２ｔ）＋１／（４ｔ）
＝－（ａ＋ｂ）／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ａ／（２ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋２ａ／（４ｔ）－ｂ／（４ｔ）－１／（８ｔ）＋２／（８ｔ）
＝ａ／（４ｔ）－ｂ／（４ｔ）＋１／（８ｔ）
＝（ａ－ｂ）／（４ｔ）＋１／（８ｔ）
と計算できる。TLWE暗号文ｃｃ２’の平文は（ａ－ｂ）／（４ｔ）＋１／（８ｔ）であり、上記の計算によって、TLWE暗号文ｃｃ２’’の符号を反転させてTLWE暗号文ｃｃ２’を得られることが分かる。
【0113】
また、［第５実施例］の第１１準同型演算において、－｛ｃｃ２’－ｃａ＋（０，１／（４ｔ））｝＋（０,１／（４ｔ））とすることで、TLWE暗号文ｃｃ１’’を算出することなくTLWE暗号文ｃｃ１’を算出することが出来る。
すなわち、
－｛ｃｃ２’－ｃａ＋（０，１／（４ｔ））｝＋（０，１／（４ｔ））
＝－ｃｃ２’＋ｃａ－（０，１／（４ｔ））＋（０，１／（４ｔ）
＝－ｃｃ２’＋ｃａ
＝－｛（ａ－ｂ）／（４ｔ）＋１／（８ｔ）｝＋ａ／（２ｔ）＋１／（４ｔ）
＝－（ａ－ｂ）／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ａ／（２ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋２ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋２／（８ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
と計算できる。TLWE暗号文ｃｃ１’の平文は、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であり、上記の計算によって、TLWE暗号文ｃｃ１’’の符号を反転させてTLWE暗号文ｃｃ１’を得られることが分かる。
［第４実施例］で算出したTLWE暗号文ｃｃ１’、［第５実施例］で算出したTLWE暗号文ｃｃ２’も、ｃｔ’＝－ｃｔ＋（０，１／（４ｔ））の式を用いることで、必要に応じて（ｂ－ａ）／（４ｔ）＋１／（８ｔ）、－（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）と符号を反転させることが出来る。
すなわち、
－｛ｃｃ２’－ｃａ＋（０，１／（４ｔ））｝＋（０，１／（４ｔ））
＝－ｃｃ２’＋ｃａ－（０，１／（４ｔ））＋（０，１／（４ｔ）
＝－ｃｃ２’＋ｃａ
＝－｛（ａ－ｂ）／（４ｔ）＋１／（８ｔ）｝＋ａ／（２ｔ）＋１／（４ｔ）
＝－（ａ－ｂ）／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋ａ／（２ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋ａ／（２ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋１／（４ｔ）
＝－ａ／（４ｔ）＋２ａ／（４ｔ）＋ｂ／（４ｔ）－１／（８ｔ）＋２／（８ｔ）
＝ａ／（４ｔ）＋ｂ／（４ｔ）＋１／（８ｔ）＝（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）
と計算できる。TLWE暗号文ｃｃ１’の平文は、（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）であり、上記の計算によって、TLWE暗号文ｃｃ１’’の符号を反転させてTLWE暗号文ｃｃ１’を得られることが分かる。
［第４実施例］で算出したTLWE暗号文ｃｃ１’、［第５実施例］で算出したTLWE暗号文ｃｃ２’も、ｃｔ’＝－ｃｔ＋（０，１／（４ｔ））の式を用いることで、必要に応じて（ｂ－ａ）／（４ｔ）＋１／（８ｔ）、－（ａ＋ｂ）／（４ｔ）＋１／（８ｔ）と符号を反転させることが出来る。
【0114】
乗算は可換であり、ａ×ｂ＝ｂ×ａである。従って、上記に説明した［第１実施例］、［第２実施例］、［第３実施例］、［第４実施例］、[第５実施例]において、TLWE暗号文ｃａとTLWE暗号文ｃｂの平文を互いに入れ替えても、乗算結果としては同じ平文を有する暗号文が得られる。
【0115】
図１７は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、特に第１Bootstrappingなど、図１７（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１７（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１７（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１７（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
上記の説明では、特に第１Bootstrappingなど、図１７（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１７（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１７（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１７（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
【0116】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0117】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0118】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値の上限をより大きくできる。円周群を分割する個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の分割領域の値として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値の上限をより大きくできる。円周群を分割する個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の分割領域の値として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0119】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
【0120】
暗号処理装置１は、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また、第１演算部１２、第３演算部１４、第５演算部１６、第６演算部４１、第７演算部４２、第１０演算部４５、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また、第１演算部１２、第３演算部１４、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１０演算部４５、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また第２演算部１３、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２、第１１演算部４６、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９の機能によって暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また第２演算部１３、第４演算部１５、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１１演算部４６、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。
特に、重み付け平均値を求める場合には、レコードと重み付け係数との乗算などが必要となる。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
また、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また、第１演算部１２、第３演算部１４、第５演算部１６、第６演算部４１、第７演算部４２、第１０演算部４５、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また、第１演算部１２、第３演算部１４、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１０演算部４５、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また第２演算部１３、第４演算部１５、第５演算部１６、第６演算部４１、第７演算部４２、第１１演算部４６、第１Bootstrapping部１７、第２Bootstrapping部１８、第３Bootstrapping部１９の機能によって暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
また第２演算部１３、第４演算部１５、第６演算部４１、第７演算部４２、第８演算部４３、第９演算部４４、第１１演算部４６、第１Bootstrapping部１７、第４Bootstrapping部５１、第５Bootstrapping部５２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。
特に、重み付け平均値を求める場合には、レコードと重み付け係数との乗算などが必要となる。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
【0121】
このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。提示された生体認証データと登録された生体認証データの一致度として内積を求める場合に、乗算を行う必要がある。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。提示された生体認証データと登録された生体認証データの一致度として内積を求める場合に、乗算を行う必要がある。
【0122】
またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
【0123】
図１８は、コンピュータ装置の一実施例を示すブロック図である。
図１８を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図１８を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0124】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１、９、１３、１５における制御部１０として機能する。
【0125】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１、９、１３、１５における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図１、９、１３、１５における記憶部２０として機能する。
【0126】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
第１実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第６演算処理、第７演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
第２実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
第１実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第６演算処理、第７演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
第２実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
【0127】
第４実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第３演算処理、第５演算処理、第６演算処理、第７演算処理、第１０演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
又は、第４実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第３演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１０演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
又は、第４実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第３演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１０演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
【0128】
第５実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第４演算処理、第５演算処理、第６演算処理、第７演算処理、第１１演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
又は、第５実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第４演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１１演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なおプログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
又は、第５実施例の暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第４演算処理、第６演算処理、第７演算処理、第８演算処理、第９演算処理、第１１演算処理、第１Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なおプログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0129】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0130】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１、９、１３、１５において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１、９、１３、１５において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１、９、１３、１５において、入力部２６として機能する。
【0131】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0132】
１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】