知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024053392
(43)【公開日】2024-04-15
(54)【発明の名称】暗号処理装置、暗号処理方法、暗号処理プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20240408BHJP
【ＦＩ】
G09C1/00 620Z
【審査請求】有
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2022159634
(22)【出願日】2022-10-03
(71)【出願人】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
(57)【要約】
【課題】TFHEをInteger-wise型として利用する際に円周群全体を無駄なく利用しつつ、任意の一変数関数の結果を従来よりも高速に計算する。
【解決手段】計算対象の第１関数における変数ｘが負の値となる領域をｘ軸方向に反転させた第２関数に基づく奇関数を含む第１多項式と、第２関数に基づく偶関数を含む第２多項式と、所定の係数を有する第３多項式と、を用いた暗号文の算出を行い、第１暗号文に第１多項式を用いることにより第２暗号文を算出する第５Bootstrapping部４５と、第１暗号文に第３多項式を用いることにより算出した暗号文に第２多項式を用いることにより第３暗号文を算出する第６Bootstrapping部４６と、第２暗号文と第３暗号文とを用いた準同型演算を行うことにより、第１暗号文を入力とした第１関数の計算結果に対応する第４暗号文を算出する演算部１５と、を備える。
【選択図】図１４
【解決手段】計算対象の第１関数における変数ｘが負の値となる領域をｘ軸方向に反転させた第２関数に基づく奇関数を含む第１多項式と、第２関数に基づく偶関数を含む第２多項式と、所定の係数を有する第３多項式と、を用いた暗号文の算出を行い、第１暗号文に第１多項式を用いることにより第２暗号文を算出する第５Bootstrapping部４５と、第１暗号文に第３多項式を用いることにより算出した暗号文に第２多項式を用いることにより第３暗号文を算出する第６Bootstrapping部４６と、第２暗号文と第３暗号文とを用いた準同型演算を行うことにより、第１暗号文を入力とした第１関数の計算結果に対応する第４暗号文を算出する演算部１５と、を備える。
【選択図】図１４
【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理装置。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、
前記第１多項式に含まれる前記第２関数は、前記第１関数を分解した関数において、入力ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせ且つ正負を反転させた値を、入力ｘの値が負の領域における出力ｙの値とした関数であり、
前記第１暗号文に前記第１多項式を用いることにより、前記第１暗号文の平文が正負の何れであっても前記第２関数の演算結果に基づく前記第２暗号文を算出できる、
ことを特徴とする暗号処理装置。
前記第１多項式に含まれる前記第２関数は、前記第１関数を分解した関数において、入力ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせ且つ正負を反転させた値を、入力ｘの値が負の領域における出力ｙの値とした関数であり、
前記第１暗号文に前記第１多項式を用いることにより、前記第１暗号文の平文が正負の何れであっても前記第２関数の演算結果に基づく前記第２暗号文を算出できる、
ことを特徴とする暗号処理装置。
【請求項3】
請求項２に記載の暗号処理装置において、
前記第１関数を分解した関数は奇関数である、
ことを特徴とする暗号処理装置。
前記第１関数を分解した関数は奇関数である、
ことを特徴とする暗号処理装置。
【請求項4】
前記第２多項式に含まれる前記第３関数は、前記第１関数を分解した関数において、入力ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせた値を、入力ｘの値が負の領域の出力における出力ｙの値とした関数であり、
前記第１暗号文に前記第２多項式を用いることにより、前記第１暗号文の平文が正負の何れであっても前記第３関数の演算結果に基づく前記第２暗号文を算出できる、
ことを特徴とする暗号処理装置。
前記第１暗号文に前記第２多項式を用いることにより、前記第１暗号文の平文が正負の何れであっても前記第３関数の演算結果に基づく前記第２暗号文を算出できる、
ことを特徴とする暗号処理装置。
【請求項5】
請求項４に記載の暗号処理装置において、
前記第１関数を分解した関数は偶関数である、
ことを特徴とする暗号処理装置。
前記第１関数を分解した関数は偶関数である、
ことを特徴とする暗号処理装置。
【請求項6】
請求項１に記載の暗号処理装置において、
前記第１多項式は、
ただし、Ｆは前記第１関数、Ｆｏ’は前記第２関数、
を満たすＦｆｏとして表され、
前記第２多項式は、
ただし、Ｆは前記第１関数、Ｆｅ’は前記第３関数、
を満たすＦｆｅとして表される、
ことを特徴とする暗号処理装置。
前記第１多項式は、
を満たすＦｆｏとして表され、
前記第２多項式は、
を満たすＦｆｅとして表される、
ことを特徴とする暗号処理装置。
【請求項7】
請求項１に記載の暗号処理装置において、
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項8】
請求項１に記載の暗号処理装置において、
前記第１関数の計算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
前記第１関数の計算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
【請求項9】
請求項１に記載の暗号処理装置において、
前記第１関数の計算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
前記第１関数の計算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項10】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理方法。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理方法。
【請求項11】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理プログラム。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、
第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、
前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、
前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号処理装置、暗号処理方法、暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に複数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
さらに、Bootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３参照）。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に複数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
さらに、Bootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３参照）。
【先行技術文献】
【特許文献】
【0004】
【非特許文献1】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【非特許文献2】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【非特許文献3】Bootstrapping in FHEW-like Cryptosystems, 2020, Daniele Micciancio and Yuriy Polyakov
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかし、テストベクタ多項式に代入する関数はｆ（ｖ＋１／２）＝－ｆ（ｖ）の性質を満たす必要がある。この制約を満たす関数には三角関数などあるが、一般的な制約とは言えず応用が難しかった。
この制約を回避するために、平文としては円周群の０～０．５の区間のみを利用するというアイデアがある。この制約を追加すると、上記制約に関係なく、任意の一変数関数を評価できる。しかし、その場合は暗号文１つに持てる情報が実質半分つまりｌｂｉｔ分減ってしまい、Integer-wiseにした効果が薄れてしまう。
本発明は、一側面として、TFHEをInteger-wise型として利用する際に円周群全体を無駄なく利用しつつ、任意の一変数関数の結果を従来よりも高速に計算する。
この制約を回避するために、平文としては円周群の０～０．５の区間のみを利用するというアイデアがある。この制約を追加すると、上記制約に関係なく、任意の一変数関数を評価できる。しかし、その場合は暗号文１つに持てる情報が実質半分つまりｌｂｉｔ分減ってしまい、Integer-wiseにした効果が薄れてしまう。
本発明は、一側面として、TFHEをInteger-wise型として利用する際に円周群全体を無駄なく利用しつつ、任意の一変数関数の結果を従来よりも高速に計算する。
【課題を解決するための手段】
【0006】
本発明は、一実施形態によれば、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、計算対象の第１関数を分解して生成した第２関数及び第３関数のうち、前記第２関数を含む第１多項式と前記第３関数を含む第２多項式とを用いて暗号文の算出を行い、第１暗号文に前記第１多項式を用いることにより第２暗号文を算出し、前記第１暗号文に所定の多項式を用いることに基づいて算出した暗号文に前記第２多項式を用いることにより第３暗号文を算出し、前記第２暗号文と前記第３暗号文とを用いた準同型演算を行うことにより、前記第１暗号文を入力とした前記第１関数の計算結果に対応する第４暗号文を算出する、暗号処理装置を特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、TFHEをInteger-wise型として利用する際に円周群全体を無駄なく利用しつつ、任意の一変数関数の結果を従来よりも高速に計算することが出来る。
【図面の簡単な説明】
【0008】
【図1】本実施形態の暗号処理装置の機能構成を説明する図である。
【図3】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図4】２値Gate Bootstrappingの動作イメージ図である。
【図5】Integer-wise型に適用したTFHEを説明する図である。
【図6】本実施形態におけるInteger-wise型TFHEを説明する図である。
【図7】本実施形態におけるInteger-wise型TFHEを説明する図である。
【図8】本実施形態におけるInteger-wise型TFHEを説明する図である。
【図9】本実施形態におけるInteger-wise型TFHEを説明する図である。
【図10】本実施形態（偶関数）における暗号文の値の遷移を説明する図である。
【図11】本実施形態（偶関数）における暗号文の値の遷移を説明する図である。
【図12】本実施形態の暗号処理装置が奇関数と偶関数を計算する処理を説明するフローチャートである。
【図13】本実施形態の暗号処理装置が任意の一変数関数の計算を実行するための方法を説明する図である。
【図14】本実施形態の暗号処理装置が任意の一変数関数の計算を実行するための構成を説明する図である。
【図15】本実施形態の暗号処理装置が一変数関数を計算するための処理を説明するフローチャートである。
【図16】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図17】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
【0010】
図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、を備えている。
また制御部１０は、第１Bootstrapping部（算出部）４１と、第２Bootstrapping部（算出部）４２と、第３Bootstrapping部（算出部）４３と、第４Bootstrapping部（算出部）４４と、第５Bootstrapping部（算出部）４５、第６Bootstrapping部（算出部）４６、第７Bootstrapping部（算出部）４７と、出力部３５と、を備えている。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、を備えている。
また制御部１０は、第１Bootstrapping部（算出部）４１と、第２Bootstrapping部（算出部）４２と、第３Bootstrapping部（算出部）４３と、第４Bootstrapping部（算出部）４４と、第５Bootstrapping部（算出部）４５、第６Bootstrapping部（算出部）４６、第７Bootstrapping部（算出部）４７と、出力部３５と、を備えている。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
一変数関数としての奇関数の計算において、第１Bootstrapping部４１は、入力された暗号文に対して第１Gate Bootstrappingを行う。
第２Bootstrapping部４２は、第１Bootstrapping部４１から出力された暗号文に対して第２Gate Bootstrappingを行う。
第１演算部１２は、後述の第２Bootstrapping部４２から出力される暗号文に対して第１準同型演算を行う。
一変数関数としての偶関数の計算において、第３Bootstrapping部４３は、入力された暗号文に対して第３Gate Bootstrappingを行う。
第２演算部１３は、第３Bootstrapping部４３から出力される暗号文に対して第２準同型演算を行う。
第４Bootstrapping部４４は、第２演算部１３から出力された暗号文に対して第４Gate Bootstrappingを行う。
一変数関数としての奇関数の計算において、第１Bootstrapping部４１は、入力された暗号文に対して第１Gate Bootstrappingを行う。
第２Bootstrapping部４２は、第１Bootstrapping部４１から出力された暗号文に対して第２Gate Bootstrappingを行う。
第１演算部１２は、後述の第２Bootstrapping部４２から出力される暗号文に対して第１準同型演算を行う。
一変数関数としての偶関数の計算において、第３Bootstrapping部４３は、入力された暗号文に対して第３Gate Bootstrappingを行う。
第２演算部１３は、第３Bootstrapping部４３から出力される暗号文に対して第２準同型演算を行う。
第４Bootstrapping部４４は、第２演算部１３から出力された暗号文に対して第４Gate Bootstrappingを行う。
【0012】
第３演算部１４、第４演算部１５、第５Bootstrapping部４５、第６Bootstrapping部４６、第７Bootstrapping部４７は、後に図１４を用いて詳述する任意の一変数関数を計算する手法に係る。
第５Bootstrapping部４５は、入力暗号文に対して第５Bootstrappingを行う。
第６Bootstrapping部４６は、入力暗号文に対して第６Bootstrappingを行う。
第３演算部１４は、第６Bootstrapping４６から出力される暗号文と入力暗号文との準同型演算を行う。
第７Bootstrapping部４７は、第３演算部１４による演算結果に対して第７Bootstrappingを行う。
第４演算部１５は、第５Bootstrapping部４５と第７Bootstrapping４７から夫々出力される暗号文との準同型演算を行う。
第５Bootstrapping部４５は、入力暗号文に対して第５Bootstrappingを行う。
第６Bootstrapping部４６は、入力暗号文に対して第６Bootstrappingを行う。
第３演算部１４は、第６Bootstrapping４６から出力される暗号文と入力暗号文との準同型演算を行う。
第７Bootstrapping部４７は、第３演算部１４による演算結果に対して第７Bootstrappingを行う。
第４演算部１５は、第５Bootstrapping部４５と第７Bootstrapping４７から夫々出力される暗号文との準同型演算を行う。
【0013】
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
【0014】
出力部３５は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0015】
図２は、図１の機能構成に基づく演算プロセスを説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の計算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の計算を行いたい平文整数ａの暗号文である。
図２（ａ）において、暗号処理装置１は、一変数関数として奇関数の計算を行う。
（ａ－１）において、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
次に、暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
（ａ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、暗号文ｃｃを算出する。次に、暗号処理装置１は、暗号文ｃｃを第１演算部１２に入力して第１準同型演算を行い、奇関数の計算結果に対応する新たな暗号文ｃｄを算出する。
（ａ－３）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆ’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の計算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の計算を行いたい平文整数ａの暗号文である。
図２（ａ）において、暗号処理装置１は、一変数関数として奇関数の計算を行う。
（ａ－１）において、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
次に、暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
（ａ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、暗号文ｃｃを算出する。次に、暗号処理装置１は、暗号文ｃｃを第１演算部１２に入力して第１準同型演算を行い、奇関数の計算結果に対応する新たな暗号文ｃｄを算出する。
（ａ－３）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部４１に入力して、一変数関数Ｆ’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２Bootstrapping部４２に入力して、一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
【0016】
図２（ｂ）において、暗号処理装置１は、一変数関数として偶関数の計算を行う。
（ｂ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部４３に入力して、一変数関数Ｆａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、暗号文ｃｃを第４Bootstrapping部４４に入力して、一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部４３に入力して、一変数関数Ｆ’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。暗号処理装置１は、暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、暗号文ｃｃを第４Bootstrapping部４４に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部４３に入力して、一変数関数Ｆａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、暗号文ｃｃを第４Bootstrapping部４４に入力して、一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部４３に入力して、一変数関数Ｆ’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。暗号処理装置１は、暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、暗号文ｃｃを第４Bootstrapping部４４に入力して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
【0017】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0018】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0019】
図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0020】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0021】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0022】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0023】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0024】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0025】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0026】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。
【0027】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0028】
０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
【0029】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0030】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0031】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0032】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
【0033】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵をTRGSW暗号により暗号化したものである。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵をTRGSW暗号により暗号化したものである。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
【0034】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
【0035】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。つまり単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１に対応する暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１に対応する暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
【0036】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
【0037】
図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0038】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0039】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
【0040】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式であり、Ａｎはその暗号文である。
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことも出来る。
従って、
ここで、
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことも出来る。
【0041】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
【0042】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0043】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0044】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0045】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0046】
(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0047】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0048】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0049】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
【0050】
図５は、Integer-wise型に適用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
【0051】
図５に示すように、円周群{Ｔ}上の０（１）は、－１／（２ｔ）～１／（２ｔ）の領域の範囲内にある。
円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっている。
円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっている。
【0052】
奇関数及び偶関数の計算を以下に説明する。
図６乃至図８は、本実施形態におけるInteger-wise型TFHEを説明する図である。
図５と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０である）状態を図６（ｂ）に示している。
図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付与した図６（ａ）の状態に準拠するものとする。
図６乃至図８は、本実施形態におけるInteger-wise型TFHEを説明する図である。
図５と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０である）状態を図６（ｂ）に示している。
図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付与した図６（ａ）の状態に準拠するものとする。
【0053】
計算したい関数ｆの引数とするTLWE暗号文ｃａがあるとする。
TLWE暗号文ｃａは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、左半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
なお、以下では、円周群{Ｔ}の値域０～１を－０．５～０．５（－１／２～１／２）とする場合がある。
図６（ａ）に示すように、TLWE暗号文ｃａは秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
なお、ａ／（２ｔ）＋１／（４ｔ）は誤差なしの平文であり、実際には誤差が付与された値が平文として格納されている。ここで、暗号処理装置１は、平文に付加される誤差の範囲が±１／｛４（ｔ＋１）｝未満となるようにシステムパラメータを設定する。
本実施形態では、TLWE暗号文ｃａにおいて、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａの平文がａ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。
TLWE暗号文ｃａは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、左半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
なお、以下では、円周群{Ｔ}の値域０～１を－０．５～０．５（－１／２～１／２）とする場合がある。
図６（ａ）に示すように、TLWE暗号文ｃａは秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
なお、ａ／（２ｔ）＋１／（４ｔ）は誤差なしの平文であり、実際には誤差が付与された値が平文として格納されている。ここで、暗号処理装置１は、平文に付加される誤差の範囲が±１／｛４（ｔ＋１）｝未満となるようにシステムパラメータを設定する。
本実施形態では、TLWE暗号文ｃａにおいて、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａの平文がａ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。
【0054】
図６（ａ）において、負の数を扱う円周群{Ｔ}の左半面では、上から反時計回りに、－ｔ／（２ｔ）から始まるスライス～－１／（２ｔ）から始まるスライスを用いて整数－ｔ～－１を表現する。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
【0055】
TLWE暗号文ｃａにおいて、円周群{Ｔ}を分割した１／（２ｔ）の区間毎に整数値が割り当てられる。
TLWE暗号文が取り得る平文整数の値は値域０～１を分割した２ｔ個の値－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
TLWE暗号文が取り得る平文整数の値は値域０～１を分割した２ｔ個の値－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
【0056】
上記のようにTLWE暗号文ｃａは、平文に１／（４ｔ）のオフセットを追加しており、例えば整数０に対応する平文は円周群{Ｔ}の０＋１／４ｔの前後に誤差が付加されて分布している。これにより、円周群{Ｔ}の０の位置を、整数０と整数－１の境界とすることが出来る。０の区間は円周群{Ｔ}上の０から１／２ｔまでの範囲とし、そのブロックに各ブロックが順に隣接するようにスライスを分割する。
図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス（０の前後における平文に付加したノイズ分が１つのスライス）内にある。この場合、０．５付近を利用することが出来ないため、円周群の全面を活用出来ていない。
図６（ａ）に示すように、オフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けながら平文をスライスの中央に位置させることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。
図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス（０の前後における平文に付加したノイズ分が１つのスライス）内にある。この場合、０．５付近を利用することが出来ないため、円周群の全面を活用出来ていない。
図６（ａ）に示すように、オフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けながら平文をスライスの中央に位置させることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。
【0057】
図６（ａ）において、オフセットを付加された平文は、各スライス（例えば、１／（２ｔ）から始まるスライス）の中央に、±１／４ｔの誤差範囲内で位置する。このとき、正規分布の平均が例えば１／（２ｔ）＋１／４ｔとなり、ほとんどの場合に±１／４ｔの誤差範囲内に分布することで、１／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図６（ａ）において、１／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。後述の図７についても同様である。
オフセットを付加した平文は、図６（ａ）において、１／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。後述の図７についても同様である。
【0058】
上記のように、図６（ａ）の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応し、左半面は負の平文整数（－１～－ｔ）に対応している。１ブロック（スライス）の幅は１／（２ｔ）である。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／４ｔのオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／４ｔのオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
【0059】
図６（ａ）に示すように、２ｔ＝８（ｔ＝４）として円周群の値域を８個に分割する場合には、円周群{Ｔ}の右半面で０から３（＝ｔ－１）の整数を表現し、左半面で－４（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－４、－３、－２、－１、０、１、２、３の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
【0060】
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の範囲より大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
【0061】
図６の円周群を用いて奇関数、偶関数を計算する方法を説明する。
以下では、奇関数を計算する＜手法１＞及びその応用、＜手法２＞、偶関数を計算する＜手法３＞、＜手法４＞を説明する。
［奇関数］
奇関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝－ｆ（ｘ）を満たすとき、その関数を奇関数という。
暗号処理装置１は、計算したい奇関数をｆ（ｘ）とし、TLWE暗号文ｃａの平文整数の値ａから、ｆ（ａ＋０．５）の平文を持つ新たな暗号文を算出する。
以下では、奇関数を計算する＜手法１＞及びその応用、＜手法２＞、偶関数を計算する＜手法３＞、＜手法４＞を説明する。
［奇関数］
奇関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝－ｆ（ｘ）を満たすとき、その関数を奇関数という。
暗号処理装置１は、計算したい奇関数をｆ（ｘ）とし、TLWE暗号文ｃａの平文整数の値ａから、ｆ（ａ＋０．５）の平文を持つ新たな暗号文を算出する。
【0062】
＜手法１＞
これは、図２の（ａ－１）に対応する手法である。
暗号処理装置１は、階段状となる一変数多項式の関数（一変数関数）Ｆｉｄ（Ｘ）
を用いて、TLWE暗号文ｃａに対する第１Bootstrappingを行い、負の数を扱う円周群{Ｔ}の左半面の値（対応する整数値）を上下反転させた、図７に示すTLWE暗号文ｃｂを算出する。
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
これは、図２の（ａ－１）に対応する手法である。
暗号処理装置１は、階段状となる一変数多項式の関数（一変数関数）Ｆｉｄ（Ｘ）
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
【0063】
図７は、TLWE暗号文ｃｂに対応する円周群を示している。図７に示すように、一変数関数Ｆｉｄを用いた第１Bootstrappingの結果、暗号文ｃｂでは、負の数として使う領域である左半面の並びが、TLWE暗号文ｃａから上下反転している。
一変数関数Ｆｉｄは、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付与する。一変数関数Ｆｉｄは、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付与する。
図６に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃｂにおいて平文整数aに０．５のオフセットを付与することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分に整数表現に含めて表したものを＋０．５と表現している。
一変数関数Ｆｉｄは、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付与する。一変数関数Ｆｉｄは、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付与する。
図６に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃｂにおいて平文整数aに０．５のオフセットを付与することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分に整数表現に含めて表したものを＋０．５と表現している。
【0064】
図６（ａ）において円周群{Ｔ}の右半面に平文があった場合（平文が非負の数である）、一変数関数Ｆｉｄを用いた上記処理の結果、TLWE暗号文ｃｂの平文整数は、図７に示すように円周群{Ｔ}の同じスライス（領域）内に留まる。一方、平文が負の数－ｔ～－１であって円周群{Ｔ}の左半面に平文がある場合は、上記処理の結果、TLWE暗号文ｃｂの平文整数は、図７に示すように円周群{Ｔ}における「上下」が反転する。
例えば、図６に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／２ｔ～０の区間にある。そのため、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／４ｔ、整数としては－ｔとなる。
TLWE暗号文ｃａにおける平文整数ａが－ｔの場合は、円周群{Ｔ}上の値としては、－ｔ／２ｔ＋１／４ｔ＝－１／２＋１／４ｔとなり、左半面の最も－１／２に近いブロックにある。一変数関数Ｆｉｄの最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文ｃｂとして得られるため、TLWE暗号文ｃｂの平文は、円周群上の値として－１／４ｔつまり整数として－１となる。
例えば、図６に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／２ｔ～０の区間にある。そのため、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／４ｔ、整数としては－ｔとなる。
TLWE暗号文ｃａにおける平文整数ａが－ｔの場合は、円周群{Ｔ}上の値としては、－ｔ／２ｔ＋１／４ｔ＝－１／２＋１／４ｔとなり、左半面の最も－１／２に近いブロックにある。一変数関数Ｆｉｄの最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文ｃｂとして得られるため、TLWE暗号文ｃｂの平文は、円周群上の値として－１／４ｔつまり整数として－１となる。
【0065】
図７における右半面は、下から反時計周りに０／（２ｔ）から３／（２ｔ）のスライスに０からｔ－１の整数が割り当てられ、図６（ａ）の場合と平文整数の並びが変わっていない。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図６（ａ）の場合から並びが逆転している。
図７に示す暗号文ｃｂにおいて、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図６（ａ）の場合から並びが逆転している。
図７に示す暗号文ｃｂにおいて、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
【0066】
図６（ａ）において、例えばTLWE暗号文ｃａが－１の暗号文であった場合、平文は円周群{Ｔ}上の－１／（２ｔ）～０の区間にあった。
上記処理の結果、TLWE暗号文ｃｂでは、一変数関数Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図６（ａ）では整数－ｔ（＝－４）に対応していたが、図７に示す暗号文ｃｂでは平文整数として－１が割り当てられる。
図６（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃｂでは、一変数関数Ｆｉｄの最下位のブロックの項が符号反転して現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図６（ａ）では整数－１に対応していたが、図７に示す暗号文ｃｂでは平文整数として－ｔ（＝－４）が割り当てられる。
上記処理の結果、TLWE暗号文ｃｂでは、一変数関数Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図６（ａ）では整数－ｔ（＝－４）に対応していたが、図７に示す暗号文ｃｂでは平文整数として－１が割り当てられる。
図６（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃｂでは、一変数関数Ｆｉｄの最下位のブロックの項が符号反転して現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図６（ａ）では整数－１に対応していたが、図７に示す暗号文ｃｂでは平文整数として－ｔ（＝－４）が割り当てられる。
【0067】
一般化すると、平文が非負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂではａ／（２ｔ）＋１／（４ｔ）となり、平文整数としてはａのままである。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂでは－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
この処理の結果、多項式の項に加えた１／４ｔの項によってオフセットが平文に付加されるため、図６の暗号文ｃａと同様に、図７の暗号文ｃｂにおいても、円周群の０の位置がスライスの境界となっている。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、暗号文ｃｂの平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、暗号文ｃｂの平文のスライスと整数の対応は、暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文のスライスの並び自体は、暗号文ｃａと暗号文ｃｂとの間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂでは－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
この処理の結果、多項式の項に加えた１／４ｔの項によってオフセットが平文に付加されるため、図６の暗号文ｃａと同様に、図７の暗号文ｃｂにおいても、円周群の０の位置がスライスの境界となっている。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、暗号文ｃｂの平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、暗号文ｃｂの平文のスライスと整数の対応は、暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文のスライスの並び自体は、暗号文ｃａと暗号文ｃｂとの間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
【0068】
ｔ＝４（２ｔ＝８）である図７では、暗号文の平文に上記０．５のオフセットが加わっているため、スライスの中央に位置する平文は、円周群{Ｔ}の上（１／２）から左回り（反時計回り）に、－３．５／（２ｔ）、－２．５／（２ｔ）、－１．５／（２ｔ）、－０．５／（２ｔ）、０．５／（２ｔ）、１．５／（２ｔ）、２．５／（２ｔ）、３．５／（２ｔ）である。
これらのスライスに、暗号文ｃｂを生成する入力となった暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
これらのスライスに、暗号文ｃｂを生成する入力となった暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
【0069】
次に、暗号処理装置１は、関数ｆ（ｘ）の演算結果のうち、ｘが非負の場合の値のみを取り出して、以下のテストベクタ多項式Ｆｆ（Ｘ）を作成する。
そして暗号処理装置１は、このテストベクタ多項式Ｆｆ（Ｘ）を用いて暗号文ｃｂに対する第２Bootstrappingを行い、TLWE暗号文ｃｃを得る。
TLWE暗号文ｃｂが非負の場合、つまり平文整数ａが０，１，２，…の場合は円周群の右半面（０～０．５）にあるため、符号反転しないでｆ（０．５），ｆ（１．５），ｆ（２．５），…の値を平文とするTLWE暗号文ｃｃが得られる。
それに対してTLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、その順番で０．５～１の区間に並んでいるため、符号が反転して－ｆ（０．５），－ｆ（１．５），－ｆ（２．５）…の値を平文とするTLWE暗号文ｃｃが得られる。
ｆ（ｘ）が奇関数であれば、ａ＝－１，－２，－３，…にそれぞれ対応して得られる暗号文ｃｃの平文φ（ｃｃ）は、それぞれｆ（－０．５），ｆ（－１．５），ｆ（－２．５），…と一致する。
すなわち、上記の非負の場合の例とあわせて、φ（ｃｃ）＝ｆ（ａ＋０．５）を満たす、奇関数の演算結果に対応する暗号文ｃｃを算出することができた。
TLWE暗号文ｃｂが非負の場合、つまり平文整数ａが０，１，２，…の場合は円周群の右半面（０～０．５）にあるため、符号反転しないでｆ（０．５），ｆ（１．５），ｆ（２．５），…の値を平文とするTLWE暗号文ｃｃが得られる。
それに対してTLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、その順番で０．５～１の区間に並んでいるため、符号が反転して－ｆ（０．５），－ｆ（１．５），－ｆ（２．５）…の値を平文とするTLWE暗号文ｃｃが得られる。
ｆ（ｘ）が奇関数であれば、ａ＝－１，－２，－３，…にそれぞれ対応して得られる暗号文ｃｃの平文φ（ｃｃ）は、それぞれｆ（－０．５），ｆ（－１．５），ｆ（－２．５），…と一致する。
すなわち、上記の非負の場合の例とあわせて、φ（ｃｃ）＝ｆ（ａ＋０．５）を満たす、奇関数の演算結果に対応する暗号文ｃｃを算出することができた。
【0070】
＜手法１の応用＞
＜手法１＞は一次関数を計算する場合全般に応用でき、図２の（ａ－２）に対応する。
まず、奇関数ｆ（ｘ）＝ｍｘ（ｍは実数）とする。一次関数の一般式はａｘ＋ｂと表現されることが多いが、ｂ＝０の場合のみ奇関数となる。
＜手法１＞を用いて、φ（ｃｃ）＝ｆ（ａ＋０．５）＝ａｍ＋０．５ｍを計算することができる。＜手法１＞に対する追加のステップとして、TLWE暗号文ｃｃに自明な暗号文（０，ｍ’－０．５ｍ）を加算して暗号文ｃｄとする。ここでは関数ｆ、ひいてはｍを固定して考えているため、ここではｍは定数である。
すると、φ（ｃｄ）＝φ（ｃｃ＋（０，ｍ’－０．５ｍ））＝φ（ｃｃ）＋ｍ’－０．５ｍ＝（ａｍ＋０．５ｍ）＋ｍ’－０．５ｍ＝ａｍ＋ｍ’となり、汎用的に一次関数を計算することができる。
＜手法１＞は一次関数を計算する場合全般に応用でき、図２の（ａ－２）に対応する。
まず、奇関数ｆ（ｘ）＝ｍｘ（ｍは実数）とする。一次関数の一般式はａｘ＋ｂと表現されることが多いが、ｂ＝０の場合のみ奇関数となる。
＜手法１＞を用いて、φ（ｃｃ）＝ｆ（ａ＋０．５）＝ａｍ＋０．５ｍを計算することができる。＜手法１＞に対する追加のステップとして、TLWE暗号文ｃｃに自明な暗号文（０，ｍ’－０．５ｍ）を加算して暗号文ｃｄとする。ここでは関数ｆ、ひいてはｍを固定して考えているため、ここではｍは定数である。
すると、φ（ｃｄ）＝φ（ｃｃ＋（０，ｍ’－０．５ｍ））＝φ（ｃｃ）＋ｍ’－０．５ｍ＝（ａｍ＋０．５ｍ）＋ｍ’－０．５ｍ＝ａｍ＋ｍ’となり、汎用的に一次関数を計算することができる。
【0071】
＜手法２＞
一般の奇関数の場合を計算する手法を説明する。これは図２の（ａ－３）に対応する手法である。
上記一次関数の場合も切片が０であれば奇関数であるため、下記の手順で計算可能である。
第１Bootstrappingを行うためのテストベクタを以下の多項式Ｆ’ｉｄに変更する。
一般の奇関数の場合を計算する手法を説明する。これは図２の（ａ－３）に対応する手法である。
上記一次関数の場合も切片が０であれば奇関数であるため、下記の手順で計算可能である。
第１Bootstrappingを行うためのテストベクタを以下の多項式Ｆ’ｉｄに変更する。
【0072】
図８に示すように、TLWE暗号文ｃｂは、図７に示した＜手法１＞の場合のＦｉｄと異なり分母が少し大きくなり、スライスが縮小している。
これにより、単純に分母が大きくなっているので、図８に示すように、円周群の右半面に平文がある（非負の数の）場合は少し０側に寄る。そして左半面にある（負の数、つまり－ｔ～－１）場合は図６から「上下」が反転してこちらも０の方に少し寄る。
例えばａが－１の場合、円周群上の値としては－１／２ｔ～０の区間にある。そのため、Ｆ’ｉｄの最上位のブロックの項が符号反転して最下位に現れているため、Bootstrapping後のTLWE暗号文の平文は、円周群上の値として－（ｔ－１）／｛２（ｔ＋１）｝－１／｛４（ｔ＋１）｝＝－ｔ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝、整数としては－ｔとなる（分母が大きくなっているため保持できる最小値と最大値も広がって－（ｔ＋１）～ｔを保持できるようになっている）。また、ａが－ｔの場合は円周群上の値として－ｔ／２ｔ＋１／４ｔ＝－１／２＋１／４ｔということで、最も－１／２に近いブロックである。これはつまり、Ｆ’ｉｄの最下位のブロックの項の符号反転したものがBootstrapping後のTLWE暗号文として得られるため、－１／｛４（ｔ＋１）｝つまり整数として－１となる。
これにより、単純に分母が大きくなっているので、図８に示すように、円周群の右半面に平文がある（非負の数の）場合は少し０側に寄る。そして左半面にある（負の数、つまり－ｔ～－１）場合は図６から「上下」が反転してこちらも０の方に少し寄る。
例えばａが－１の場合、円周群上の値としては－１／２ｔ～０の区間にある。そのため、Ｆ’ｉｄの最上位のブロックの項が符号反転して最下位に現れているため、Bootstrapping後のTLWE暗号文の平文は、円周群上の値として－（ｔ－１）／｛２（ｔ＋１）｝－１／｛４（ｔ＋１）｝＝－ｔ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝、整数としては－ｔとなる（分母が大きくなっているため保持できる最小値と最大値も広がって－（ｔ＋１）～ｔを保持できるようになっている）。また、ａが－ｔの場合は円周群上の値として－ｔ／２ｔ＋１／４ｔ＝－１／２＋１／４ｔということで、最も－１／２に近いブロックである。これはつまり、Ｆ’ｉｄの最下位のブロックの項の符号反転したものがBootstrapping後のTLWE暗号文として得られるため、－１／｛４（ｔ＋１）｝つまり整数として－１となる。
【0073】
一般化すると、ａが正の数の場合、TLWE暗号文ｃｂの平文はａ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となり、整数としてはａのままである。
ａが負の場合はTLWE暗号文ｃｂの平文が－（ｔ＋１＋ａ）／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となっており、整数としては－（ｔ＋１＋ａ）となる。
分母が大きくなりスライスが左右で１つずつ増えているため、円周群上の座標は変わっているが、整数としてみたときは＜手法１＞と同じシンボルになっている。
また、この処理の結果は多項式の項に加えてある１／４ｔの項のおかげでオフセットが付き、図８のように円周群の０の位置がちょうどスライスの境界となっている。
ａが負の場合はTLWE暗号文ｃｂの平文が－（ｔ＋１＋ａ）／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となっており、整数としては－（ｔ＋１＋ａ）となる。
分母が大きくなりスライスが左右で１つずつ増えているため、円周群上の座標は変わっているが、整数としてみたときは＜手法１＞と同じシンボルになっている。
また、この処理の結果は多項式の項に加えてある１／４ｔの項のおかげでオフセットが付き、図８のように円周群の０の位置がちょうどスライスの境界となっている。
【0074】
暗号処理装置１は、処理したい関数ｆ（ｘ）の演算結果のうち、ｘが非負の場合の値のみを取り出してテストベクタ多項式Ｆｆ’（Ｘ）を作成する。
暗号処理装置１は、作成したテストベクタ多項式Ｆｆ’（Ｘ）を用いてTLWE暗号文ｃｂをBootstrappingし、TLWE暗号文ｃｃを得る。
なお、関数ｆ（ｘ）は整数を引数として整数を得られる関数とする。
すると、図８に示すように、TLWE暗号文ｃｂが非負の場合つまり平文整数ａ＝０，１，２，…の場合は円周群の右側（０～０．５）にあるため、符号反転しないでｆ（０），ｆ（１），ｆ（２），…の値を平文とする暗号文ｃｃが得られる。
また、図８に示すように、TLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、０．５＋１／２（ｔ＋１）～１の区間に並んでいるため、符号が反転して－ｆ（１），－ｆ（２），－ｆ（３）…の値を平文とする暗号文ｃｃが得られる。
もし、ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）である。
従って、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
なお、関数ｆ（ｘ）は整数を引数として整数を得られる関数とする。
すると、図８に示すように、TLWE暗号文ｃｂが非負の場合つまり平文整数ａ＝０，１，２，…の場合は円周群の右側（０～０．５）にあるため、符号反転しないでｆ（０），ｆ（１），ｆ（２），…の値を平文とする暗号文ｃｃが得られる。
また、図８に示すように、TLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、０．５＋１／２（ｔ＋１）～１の区間に並んでいるため、符号が反転して－ｆ（１），－ｆ（２），－ｆ（３）…の値を平文とする暗号文ｃｃが得られる。
もし、ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）である。
従って、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
【0075】
次に、偶関数を算出する方法を説明する。
偶関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝ｆ（ｘ）を満たすとき、その関数を偶関数という。
＜手法３＞
これは、図２の（ｂ－１）に対応する手法である。
暗号処理装置１は、下記の多項式Ｆａｂｓ（Ｘ）
をテストベクタとして、TLWE暗号文ｃａに対する第３Bootstrappingを行い、新たな暗号文ｃｂを算出する（図９）。
暗号文ｃｂにおいては、図９、図１０に示すような変換が行われる。
偶関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝ｆ（ｘ）を満たすとき、その関数を偶関数という。
＜手法３＞
これは、図２の（ｂ－１）に対応する手法である。
暗号処理装置１は、下記の多項式Ｆａｂｓ（Ｘ）
暗号文ｃｂにおいては、図９、図１０に示すような変換が行われる。
【0076】
図１０は、本実施形態（偶関数）における暗号文の値の遷移を説明する図であり、第３Bootstrappingの結果得られる暗号文ｃｂの平文を示している。
図９において、右半面の最外周の数値はテストベクタ多項式の係数の並び通りに、左半面はその符号反転したものが上下反転して並んでいる。
ｔ＝４の場合を前提に説明する。
平文整数aが非負の場合、平文は円周群｛Ｔ｝の右半面に存在するので、Ｆａｂｓ（Ｘ）のｋ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－１／４において、分母を４×（ｔ＋１）＝２０に揃えると、
２ｋ／｛４（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－（ｔ＋１）／｛４（ｔ＋１）｝から、{２ｋ＋１－（ｔ＋１）}／２０＝（２ｋ－４）／２０となる。
ｔ＝４であるので、暗号文ｃｂの平文ｂは、図９に示すように、整数ではなく円周群上の値で見たとき、ａ＝０の場合はｂ＝－４／２０、ａ＝１の場合はｂ＝－２／２０…と並ぶ。
図９において、右半面の最外周の数値はテストベクタ多項式の係数の並び通りに、左半面はその符号反転したものが上下反転して並んでいる。
ｔ＝４の場合を前提に説明する。
平文整数aが非負の場合、平文は円周群｛Ｔ｝の右半面に存在するので、Ｆａｂｓ（Ｘ）のｋ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－１／４において、分母を４×（ｔ＋１）＝２０に揃えると、
２ｋ／｛４（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－（ｔ＋１）／｛４（ｔ＋１）｝から、{２ｋ＋１－（ｔ＋１）}／２０＝（２ｋ－４）／２０となる。
ｔ＝４であるので、暗号文ｃｂの平文ｂは、図９に示すように、整数ではなく円周群上の値で見たとき、ａ＝０の場合はｂ＝－４／２０、ａ＝１の場合はｂ＝－２／２０…と並ぶ。
【0077】
Ｆａｂｓによる第３Bootstrappingの結果、平文整数ａが負の場合は、０．５～１の方向に向かってそれが符号逆転して得られる。従って、暗号文ｃｂの平文ｂは、図９に示すように、ａ＝－４ならａ＝０の時の符号反転でｂ＝４／２０、ａ＝－１ならａ＝３の時の符号反転でｂ＝－２／２０となる。
図１０に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときは４／２０であり、
平文整数ａが－３のときは２／２０であり、
平文整数ａが－２のときは０／２０であり、
平文整数ａが－１のときは－２／２０であり、
平文整数ａが０のときは－４／２０であり
平文整数ａが１のときは－２／２０であり
平文整数ａが２のときは０／２０であり
平文整数ａが３のときは２／２０である。
図１０に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときは４／２０であり、
平文整数ａが－３のときは２／２０であり、
平文整数ａが－２のときは０／２０であり、
平文整数ａが－１のときは－２／２０であり、
平文整数ａが０のときは－４／２０であり
平文整数ａが１のときは－２／２０であり
平文整数ａが２のときは０／２０であり
平文整数ａが３のときは２／２０である。
【0078】
暗号処理装置１は、暗号文ｃｂに自明な暗号文（０，１／４）を加え、TLWE暗号文ｃｃを得る。１／４は上記の値と分母を揃えると５／２０なので、暗号文ｃｂの平文ｂの分子には５が加わって平文ｂは全て右半面へと集められる。
図１０に示すように、ｂ＋５／２０の円周群上の値は、
平文整数ａが－４のときは９／２０であり、
平文整数ａが－３のときは７／２０であり、
平文整数ａが－２のときは５／２０であり、
平文整数ａが－１のときは３／２０であり、
平文整数ａが０のときは１／２０であり、
平文整数ａが１のときは３／２０であり、
平文整数ａが２のときは５／２０であり、
平文整数ａが３のときは７／２０である。
図１０に示すように、ｂ＋５／２０の円周群上の値は、
平文整数ａが－４のときは９／２０であり、
平文整数ａが－３のときは７／２０であり、
平文整数ａが－２のときは５／２０であり、
平文整数ａが－１のときは３／２０であり、
平文整数ａが０のときは１／２０であり、
平文整数ａが１のときは３／２０であり、
平文整数ａが２のときは５／２０であり、
平文整数ａが３のときは７／２０である。
【0079】
このとき、平文ｂの分母が２０であり、分子が２刻みで増えているため、暗号文ｃｃは、円周群｛Ｔ｝全体を１０分割（右半面をｔ＋１＝５分割）して使用する場合の、非負の暗号文となっていると見ることができる。
１０分割として捉えると、暗号文ｃｃの平文であるｂ＋５／２０の整数表現は、図１０に示すように、
平文整数ａが－４のとき、９／２０＝４．５／１０⇒４であり、
平文整数ａが－３のとき、７／２０＝３．５／１０＝３であり、
平文整数ａが－２のとき、５／２０＝２．５／１０⇒２であり、
平文整数ａが－１のとき、３／２０＝１．５／１０⇒１であり、
平文整数ａが０のとき、１／２０＝０．５／１０⇒０であり
平文整数ａが１のとき、３／２０＝１．５／１０⇒１であり
平文整数ａが２のとき、５／２０＝２．５／１０⇒２であり
平文整数ａが３のとき、７／２０＝３．５／１０⇒３である。
並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。つまりφ（ｃｂ）＝｜ａ｜、ただし｜｜は絶対値記号、と言うことができる。
さらに、暗号文ｃｃの平文は、円周群{Ｔ}の右半面しか使用してないので、暗号処理装置１は、非特許文献３の手法を用いて任意の一変数関数を評価することができる。
１０分割として捉えると、暗号文ｃｃの平文であるｂ＋５／２０の整数表現は、図１０に示すように、
平文整数ａが－４のとき、９／２０＝４．５／１０⇒４であり、
平文整数ａが－３のとき、７／２０＝３．５／１０＝３であり、
平文整数ａが－２のとき、５／２０＝２．５／１０⇒２であり、
平文整数ａが－１のとき、３／２０＝１．５／１０⇒１であり、
平文整数ａが０のとき、１／２０＝０．５／１０⇒０であり
平文整数ａが１のとき、３／２０＝１．５／１０⇒１であり
平文整数ａが２のとき、５／２０＝２．５／１０⇒２であり
平文整数ａが３のとき、７／２０＝３．５／１０⇒３である。
並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。つまりφ（ｃｂ）＝｜ａ｜、ただし｜｜は絶対値記号、と言うことができる。
さらに、暗号文ｃｃの平文は、円周群{Ｔ}の右半面しか使用してないので、暗号処理装置１は、非特許文献３の手法を用いて任意の一変数関数を評価することができる。
【0080】
暗号処理装置１は、関数ｆ（ｘ）が整数を引数として整数を得られる関数として、
を用いて暗号文ｃｃに対する第４Bootstrappingを行い、暗号文ｃｄを算出する。
ここで前述の通りｃｂは右反面しか使用していないため、φ（ｃｃ）＝ｆ（φ（ｃｂ））が成り立つ。そして、φ（ｃｂ）＝｜ａ｜を代入すると、φ（ｃｃ）＝ｆ（｜ａ｜）ただし｜｜は絶対値記号、と計算することができる。
ｆ（ｘ）が偶関数であれば、ｘが実数の場合にｆ（ｘ）＝ｆ（－ｘ）つまりｆ（ｘ）＝ｆ（｜ｘ｜）が常に成り立つため、φ（ｃｃ）＝ｆ（ａ）と一致する。
ここで前述の通りｃｂは右反面しか使用していないため、φ（ｃｃ）＝ｆ（φ（ｃｂ））が成り立つ。そして、φ（ｃｂ）＝｜ａ｜を代入すると、φ（ｃｃ）＝ｆ（｜ａ｜）ただし｜｜は絶対値記号、と計算することができる。
ｆ（ｘ）が偶関数であれば、ｘが実数の場合にｆ（ｘ）＝ｆ（－ｘ）つまりｆ（ｘ）＝ｆ（｜ｘ｜）が常に成り立つため、φ（ｃｃ）＝ｆ（ａ）と一致する。
【0081】
＜手法４＞
これは、図２の（ｂ－２）に対応する手法である。
偶関数の場合も、偶関数ｆ（ｘ）のｘを０．５ずらしてｆ（ｘ＋０．５）を求めるのであれば、途中の暗号文ｃｂの平文の分母を大きくする必要がなくなる。
図１１は、本実施形態（偶関数）における暗号文の値の遷移を説明する図であり、多項式Ｆ’ａｂｓによるBootstrappingの結果得られる暗号文ｃｂの平文を示している。
これは、図２の（ｂ－２）に対応する手法である。
偶関数の場合も、偶関数ｆ（ｘ）のｘを０．５ずらしてｆ（ｘ＋０．５）を求めるのであれば、途中の暗号文ｃｂの平文の分母を大きくする必要がなくなる。
図１１は、本実施形態（偶関数）における暗号文の値の遷移を説明する図であり、多項式Ｆ’ａｂｓによるBootstrappingの結果得られる暗号文ｃｂの平文を示している。
【0082】
暗号処理装置１は、下記の多項式Ｆ’ａｂｓ（Ｘ）
をテストベクタとして、暗号文ｃａに対する第３Bootstrappingを行い、暗号文ｃｂを算出する。
図１１に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときに（－３／１６）であり、
平文整数ａが－３のときに－（－１／１６）であり、
平文整数ａが－２のときに－１／１６であり、
平文整数ａが－１のときに－３／１６であり、
平文整数ａが０のときに－３／１６であり、
平文整数ａが１のときに－１／１６であり、
平文整数ａが２のときに１／１６であり、
平文整数ａが３のときに３／１６である。
図１１に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときに（－３／１６）であり、
平文整数ａが－３のときに－（－１／１６）であり、
平文整数ａが－２のときに－１／１６であり、
平文整数ａが－１のときに－３／１６であり、
平文整数ａが０のときに－３／１６であり、
平文整数ａが１のときに－１／１６であり、
平文整数ａが２のときに１／１６であり、
平文整数ａが３のときに３／１６である。
【0083】
ここで暗号処理装置１は、暗号文ｃｂに自明な暗号文（０，１／４）を加える。１／４は、上記の値と分母を揃えると４／１６であるので、暗号文ｃｂの平文ｂの分子には４が加わって平文ｂは全て右半面へと集められる。
図１１に示すように、ｂ＋４／１６の円周群上の値は、
平文整数ａが－４のときに７／１６であり、
平文整数ａが－３のときに５／１６であり、
平文整数ａが－２のときに３／１６であり、
平文整数ａが－１のときに１／１６であり、
平文整数ａが０のときに１／１６であり
平文整数ａが１のときに３／１６であり
平文整数ａが２のときに５／１６であり
平文整数ａが３のときに７／１６である。
図１１に示すように、ｂ＋４／１６の円周群上の値は、
平文整数ａが－４のときに７／１６であり、
平文整数ａが－３のときに５／１６であり、
平文整数ａが－２のときに３／１６であり、
平文整数ａが－１のときに１／１６であり、
平文整数ａが０のときに１／１６であり
平文整数ａが１のときに３／１６であり
平文整数ａが２のときに５／１６であり
平文整数ａが３のときに７／１６である。
【0084】
このとき、平文ｂの分母が１６であり、分子が２刻みで増えているため、暗号文ｃｃは、円周群｛Ｔ｝全体を８分割（右半面をｔ＝４分割）して使用する場合の、非負の暗号文となっていると見ることができる。
８分割として捉えると、暗号文ｃｃの平文であるｂ＋４／１６の整数表現は、図１１に示すように、
平文整数ａが－４のとき、７／１６＝３．５／８⇒３．５であり、
平文整数ａが－３のとき、５／１６＝２．５／８⇒２．５であり、
平文整数ａが－２のとき、３／１６＝１．５／８⇒１．５であり、
平文整数ａが－１のとき、１／１６＝０．５／８⇒０．５であり
平文整数ａが０のとき、１／１６＝０．５／８⇒０．５であり
平文整数ａが１のとき、３／１６＝１．５／８⇒１．５であり
平文整数ａが２のとき、５／１６＝２．５／８⇒２．５であり、
平文整数ａが３のとき、７／１６＝３．５／８⇒３．５である。
８分割として捉えると、暗号文ｃｃの平文であるｂ＋４／１６の整数表現は、図１１に示すように、
平文整数ａが－４のとき、７／１６＝３．５／８⇒３．５であり、
平文整数ａが－３のとき、５／１６＝２．５／８⇒２．５であり、
平文整数ａが－２のとき、３／１６＝１．５／８⇒１．５であり、
平文整数ａが－１のとき、１／１６＝０．５／８⇒０．５であり
平文整数ａが０のとき、１／１６＝０．５／８⇒０．５であり
平文整数ａが１のとき、３／１６＝１．５／８⇒１．５であり
平文整数ａが２のとき、５／１６＝２．５／８⇒２．５であり、
平文整数ａが３のとき、７／１６＝３．５／８⇒３．５である。
【0085】
図１１によれば、円周群の０の位置で折り返して、絶対値関数を計算していることがわかる。
φ（ｃｃ）＝｜ａ＋０．５｜といえる。ここで、ａ２＝ａ＋０．５と置くと、φ（ｃｃ）＝｜ａ２｜、ただし｜｜は絶対値記号、と言うことができる。
暗号処理装置１は、暗号文ｃｃに対して、上記一変数関数Ｆ’ｆ（Ｘ）
をテストベクタとした第４Bootstrappingを行い、暗号文ｃｄを得る。右反面しか既に使用していないのは上記と同じである。
すると、φ（ｃｄ）＝ｆ（｜ａ＋０．５｜）が得られる。ここで、ｆ（ｘ）が偶関数であれば、ｆ（ｘ）＝ｆ（－ｘ）＝ｆ（｜ｘ｜）であるため、φ（ｃｄ）＝ｆ（ａ＋０．５）となる。
φ（ｃｃ）＝｜ａ＋０．５｜といえる。ここで、ａ２＝ａ＋０．５と置くと、φ（ｃｃ）＝｜ａ２｜、ただし｜｜は絶対値記号、と言うことができる。
暗号処理装置１は、暗号文ｃｃに対して、上記一変数関数Ｆ’ｆ（Ｘ）
をテストベクタとした第４Bootstrappingを行い、暗号文ｃｄを得る。右反面しか既に使用していないのは上記と同じである。
すると、φ（ｃｄ）＝ｆ（｜ａ＋０．５｜）が得られる。ここで、ｆ（ｘ）が偶関数であれば、ｆ（ｘ）＝ｆ（－ｘ）＝ｆ（｜ｘ｜）であるため、φ（ｃｄ）＝ｆ（ａ＋０．５）となる。
【0086】
図１２は、本実施形態の暗号処理装置が奇関数と偶関数を計算する処理を説明するフローチャートである。
図１２（ａ）は、奇関数の計算を行う処理を説明する。
（ａ－１）において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ１０１において、TLWE暗号文ｃａに対して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１０２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
図１２（ａ）は、奇関数の計算を行う処理を説明する。
（ａ－１）において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ１０１において、TLWE暗号文ｃａに対して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１０２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
【0087】
（ａ－２）において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ１１１において、TLWE暗号文ｃａに対して、一変数関数Ｆｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１１２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、暗号文ｃｃを算出する。
ステップＳ１１３において、暗号処理装置１（第１演算部１２）は、暗号文ｃｃに対して、ｃｃ＋（０，ｍ’－０．５ｍ）の準同型演算を行い、奇関数の計算結果に対応する新たな暗号文ｃｄを算出する。
ステップＳ１１２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して、一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、暗号文ｃｃを算出する。
ステップＳ１１３において、暗号処理装置１（第１演算部１２）は、暗号文ｃｃに対して、ｃｃ＋（０，ｍ’－０．５ｍ）の準同型演算を行い、奇関数の計算結果に対応する新たな暗号文ｃｄを算出する。
【0088】
（ａ－３）において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ１２１において、TLWE暗号文ｃａに対して、一変数関数Ｆ’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１２２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
ステップＳ１２２において、暗号処理装置１（第２Bootstrapping部４２）は、暗号文ｃｂに対して一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応する暗号文ｃｃを算出する。
【0089】
図１２（ｂ）は、偶関数の計算を行う処理を説明する。
（ｂ－１）において、暗号処理装置１（第３Bootstrapping部４３）は、ステップＳ２０１において、TLWE暗号文ｃａに対して、一変数関数Ｆａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２０２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２０３において、暗号処理装置１（第４Bootstrapping部４４）は、暗号文ｃｃに対して一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－２）において、ステップＳ２１１において、暗号処理装置１（第３Bootstrapping部４３）は、TLWE暗号文ｃａに対して一変数関数Ｆ’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２１２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２１３において、暗号処理装置１（第４Bootstrapping部４４）は、暗号文ｃｃに対して一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－１）において、暗号処理装置１（第３Bootstrapping部４３）は、ステップＳ２０１において、TLWE暗号文ｃａに対して、一変数関数Ｆａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２０２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２０３において、暗号処理装置１（第４Bootstrapping部４４）は、暗号文ｃｃに対して一変数関数Ｆ’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
（ｂ－２）において、ステップＳ２１１において、暗号処理装置１（第３Bootstrapping部４３）は、TLWE暗号文ｃａに対して一変数関数Ｆ’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２１２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２１３において、暗号処理装置１（第４Bootstrapping部４４）は、暗号文ｃｃに対して一変数関数Ｆｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応する暗号文ｃｄを算出する。
【0090】
以上では、本実施形態の暗号処理装置が偶関数又は奇関数を計算するための構成及び処理を説明した。以降では、本実施形態の暗号処理装置が、偶関数又は奇関数を計算で用いた演算や処理方法を応用して任意の一変数関数を計算するための構成及び処理を説明する。
図１３は、本実施形態の暗号処理装置が任意の一変数関数の計算を実行するための方法を説明する図である。
図１３は、暗号処理装置１が、任意の一変数関数の計算を少ないBlindRotateの回数にて高速に処理するための、計算をしたい一変数関数に基づく準備段階を説明している。
論文「Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping，Pierre-Emmanuel Clet, Martin Zuber, Aymen Boudguiga, Renaud Sirdey, and Cedric Gouy-Pailler」には、計算したい任意の一変数関数を偶関数と奇関数に分解して、演算結果の暗号文を夫々算出し、最後に加算することで任意の一変数関数の計算結果の暗号文を算出することを開示している。
図１３は、本実施形態の暗号処理装置が任意の一変数関数の計算を実行するための方法を説明する図である。
図１３は、暗号処理装置１が、任意の一変数関数の計算を少ないBlindRotateの回数にて高速に処理するための、計算をしたい一変数関数に基づく準備段階を説明している。
論文「Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping，Pierre-Emmanuel Clet, Martin Zuber, Aymen Boudguiga, Renaud Sirdey, and Cedric Gouy-Pailler」には、計算したい任意の一変数関数を偶関数と奇関数に分解して、演算結果の暗号文を夫々算出し、最後に加算することで任意の一変数関数の計算結果の暗号文を算出することを開示している。
【0091】
関数を偶関数と奇関数に分解することについて、任意の一変数関数ｆ（ｘ）を用いて
と定めると、単純に両者を足すことでｆ（ｘ）＝ｆｅ（ｘ）＋ｆｏ（ｘ）である。従って、この２関数ｆｅ（ｘ）、ｆｏ（ｘ）は一変数関数ｆ（ｘ）を２つに分解したものである。また、式の形からｆｅ（ｘ）のｘの符号を反転させても式の中で＋の左右が入れ替わっているだけである。従って、ｆｅ（ｘ）＝ｆｅ（－ｘ）が成り立ち、ｆｅ（ｘ）は偶関数である。
そして、ｆｏ（－ｘ）も同様にｘの符号を反転させると、式の中の－の左右にあるｆが入れ替わり－ｆｏ（ｘ）と同じ形になる。つまりｆｏ（－ｘ）＝－ｆｏ（ｘ）が成り立ち、ｆｏ（ｘ）は奇関数である。
そして、ｆｏ（－ｘ）も同様にｘの符号を反転させると、式の中の－の左右にあるｆが入れ替わり－ｆｏ（ｘ）と同じ形になる。つまりｆｏ（－ｘ）＝－ｆｏ（ｘ）が成り立ち、ｆｏ（ｘ）は奇関数である。
【0092】
以上から、上記のようにｆｅ（ｘ）、ｆｏ（ｘ）を求めることは、任意の一変数関数ｆ（ｘ）を偶関数と奇関数に分解することである。
上記の議論はｘにあてはめられるものが実数であるか整数であるか複素数であるかなどの指定も、ｆ（ｘ）が多項式であるかなどの指定なども一切なく、任意の一変数関数で成り立つ。
従って、＜手法２＞および＜手法３＞によってｆｅ（ｘ）とｆｏ（ｘ）を計算することができる。その場合、偶関数ｆｅ（ｘ）と奇関数ｆｏ（ｘ）の計算結果の算出にそれぞれ２回のBlindRotateで処理を行う。
上記「Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping」では、任意の一変数関数を４回のBlindRotateで処理できるとしている。またｍａｎｙＬＵＴなど同時に複数のＬＵＴを評価する手法を取り入れることで３回のBlindRotateに削減できるとしている。ｍａｎｙＬＵＴは、同一の入力となる暗号文に対して、複数のテストベクタ多項式を用いたBlindRotateを同時に行うことにより、BlindRotateの回数を削減する手法である。
上記の議論はｘにあてはめられるものが実数であるか整数であるか複素数であるかなどの指定も、ｆ（ｘ）が多項式であるかなどの指定なども一切なく、任意の一変数関数で成り立つ。
従って、＜手法２＞および＜手法３＞によってｆｅ（ｘ）とｆｏ（ｘ）を計算することができる。その場合、偶関数ｆｅ（ｘ）と奇関数ｆｏ（ｘ）の計算結果の算出にそれぞれ２回のBlindRotateで処理を行う。
上記「Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping」では、任意の一変数関数を４回のBlindRotateで処理できるとしている。またｍａｎｙＬＵＴなど同時に複数のＬＵＴを評価する手法を取り入れることで３回のBlindRotateに削減できるとしている。ｍａｎｙＬＵＴは、同一の入力となる暗号文に対して、複数のテストベクタ多項式を用いたBlindRotateを同時に行うことにより、BlindRotateの回数を削減する手法である。
【0093】
それに対して、本実施形態によれば、計算したい一変数関数を、偶関数ｆｅ（ｘ）と奇関数ｆｏ（ｘ）に分けて夫々を計算するのではなく、違うかたちの関数に分解して計算を行う。
それによって、本実施形態によれば、ｍａｎｙＬＵＴなしでは３回のBlindRotateで、ｍａｎｙＬＵＴを用いれば２回のBlindRotateで任意の一変数関数をより高速に処理することができる。
以下の説明は、異なるかたちの関数として、偶関数、奇関数を変形した関数を使って説明をしているが、それに限定されることはい。
それによって、本実施形態によれば、ｍａｎｙＬＵＴなしでは３回のBlindRotateで、ｍａｎｙＬＵＴを用いれば２回のBlindRotateで任意の一変数関数をより高速に処理することができる。
以下の説明は、異なるかたちの関数として、偶関数、奇関数を変形した関数を使って説明をしているが、それに限定されることはい。
【0094】
まず（Ａ）に示すように、計算をしたい任意の一変数関数Ｆ（ｘ）を用意する。この関数は上記した＜手法１＞および＜手法４＞と同様に、ｘ座標は－ｔ～ｔ－１の範囲（両端を含む）の整数に０．５の端数を付けた点が少なくとも定義されている。つまり、ｘが－ｔ以上ｔ－１以下の整数であれば、Ｆ（ｘ＋０．５）を計算することが出来るものとする。
次に（Ｂ）において、暗号処理装置１は、Ｆ（ｘ）における入力ｘが負の値である領域に限定して左右（ｘ軸方向）を反転させ、一変数関数Ｆ’（ｘ）を得る。
Ｆ’（ｘ）は、
と定義される。
Ｆ’（ｘ）は入力ｘが－ｔ以上ｔ未満の区間で定義され、これも任意の一変数関数と呼ぶべき条件を満たしているものである。
次に（Ｂ）において、暗号処理装置１は、Ｆ（ｘ）における入力ｘが負の値である領域に限定して左右（ｘ軸方向）を反転させ、一変数関数Ｆ’（ｘ）を得る。
Ｆ’（ｘ）は、
Ｆ’（ｘ）は入力ｘが－ｔ以上ｔ未満の区間で定義され、これも任意の一変数関数と呼ぶべき条件を満たしているものである。
【0095】
暗号処理装置１は、このＦ’（ｘ）を、上述の方法を用いて（Ｃ－１）に示す偶関数Ｆｅ（ｘ）と、（Ｃ－２）に示す奇関数Ｆｏ（ｘ）と、に分解する。
そして、後述するように、Ｆｅ（ｘ）を変形したＦｅ’（ｘ）、Ｆｏ（ｘ）を変形したＦｏ’（ｘ）の演算結果の暗号文を夫々算出し、その後加算することで、Ｆ（ｘ）の演算結果の暗号文を得る。
具体的に、Ｆｅ（ｘ）とＦｏ（ｘ）は、以下のようになる。
ｘに対して絶対値のみで計算できるＦｅ（ｘ）は偶関数である。一方、正と負で同じ式の符号反転なので、Ｆｏ（ｘ）は奇関数である。
そして、後述するように、Ｆｅ（ｘ）を変形したＦｅ’（ｘ）、Ｆｏ（ｘ）を変形したＦｏ’（ｘ）の演算結果の暗号文を夫々算出し、その後加算することで、Ｆ（ｘ）の演算結果の暗号文を得る。
具体的に、Ｆｅ（ｘ）とＦｏ（ｘ）は、以下のようになる。
【0096】
暗号処理装置１は、これら２関数の負の領域を左右反転させ、（Ｄ－２）に示すＦｅ’（ｘ）、（Ｄ－３）に示すＦｏ’（ｘ）を得る。
以上の操作を行うことにより、Ｆｏ’（ｘ）は、奇関数Ｆｏ（ｘ）における、入力ｘの値が負の領域における出力ｙの値を、ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせ且つ正負を反転させた値とした関数に変換することができる。
また、Ｆｅ’（ｘ）は、偶関数Ｆｅ（ｘ）における、入力ｘの値が負の領域における出力ｙの値を、ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせた値とした関数となる。
Ｆｅ’（ｘ）、Ｆｏ’（ｘ）は以下に示す関数である。
ここで、０≦ｘ＜ｔの時、Ｆｅ’（ｘ）＝Ｆｅ’（ｘ－ｔ）と、Ｆｏ’（ｘ）＝－Ｆｏ’（ｘ－ｔ）が成り立つ。
よって、Ｆｏ’（ｘ）は、非特許文献３で示されている制約、ｆ（ｖ＋１／２）＝－ｆ（ｖ）という性質を満たしている。ここでｖは円周群上の値である。加算している１／２は円周群上で半周なので、整数シンボルでみれば±ｔである。
以上の操作を行うことにより、Ｆｏ’（ｘ）は、奇関数Ｆｏ（ｘ）における、入力ｘの値が負の領域における出力ｙの値を、ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせ且つ正負を反転させた値とした関数に変換することができる。
また、Ｆｅ’（ｘ）は、偶関数Ｆｅ（ｘ）における、入力ｘの値が負の領域における出力ｙの値を、ｘの値が正の領域における出力ｙの値をｘ軸方向に１／２スライドさせた値とした関数となる。
Ｆｅ’（ｘ）、Ｆｏ’（ｘ）は以下に示す関数である。
よって、Ｆｏ’（ｘ）は、非特許文献３で示されている制約、ｆ（ｖ＋１／２）＝－ｆ（ｖ）という性質を満たしている。ここでｖは円周群上の値である。加算している１／２は円周群上で半周なので、整数シンボルでみれば±ｔである。
【0097】
暗号処理装置１は、（Ｅ－１）に示すように、一変数関数Ｆｏ’（ｘ）の値を係数として有するテストベクタ多項式Ｆｆｏ（Ｘ）
を作ることが出来る。
暗号処理装置１は、（Ｅ－２）に示すように、一変数関数Ｆｅ’（ｘ）の値を係数として持つテストベクタ多項式Ｆｆｅ（Ｘ）
を作ることが出来る。
暗号処理装置１は、（Ｅ－２）に示すように、一変数関数Ｆｅ’（ｘ）の値を係数として持つテストベクタ多項式Ｆｆｅ（Ｘ）
【0098】
テストベクタ多項式Ｆｆｏ（Ｘ）、テストベクタ多項式Ｆｆｅ（Ｘ）は、上記＜手法１＞で述べたＦｆ（Ｘ）と同様に、一変数関数の出力を係数に設定して、Bootstrappingを行うことによりＬＵＴを参照して関数の演算結果を出力することが出来る。
さらに、Ｆｆｏ（Ｘ）、Ｆｆｅ（Ｘ）は夫々負の領域での並び順が既に反転しているため、これらを係数に設定されたテストベクタ多項式Ｆｆｏ（Ｘ）、テストベクタ多項式Ｆｆｅ（Ｘ）は、＜手法１＞で述べたＦｉｄを用いて円周群における負の平文を反転させる処理を必要としない。
円周群上において、０から０．５までの右半面で最小から最大までの係数が並び、また０．５から１までの左半面で符号反転した最小から最大までの係数が並ぶ。円周群が図６のような状態では、正負両方をうまくBlindRotateで扱うのは難しく、偶関数、奇関数の計算を行うのに夫々２回のBootstrappingが必要である。実際に、＜手法１＞では、
を用いたBootstrappingによって整数の並びを反転させたあとで、
を用いたBootstrappingによって関数の値を算出していた。一方で、準同型加算を行う場合などは、負の方向の最大値から正の方向の最大値までが連続して並んでいる図６の並び順の方が、正と負の両方の値を扱うのに都合が良い。
さらに、Ｆｆｏ（Ｘ）、Ｆｆｅ（Ｘ）は夫々負の領域での並び順が既に反転しているため、これらを係数に設定されたテストベクタ多項式Ｆｆｏ（Ｘ）、テストベクタ多項式Ｆｆｅ（Ｘ）は、＜手法１＞で述べたＦｉｄを用いて円周群における負の平文を反転させる処理を必要としない。
円周群上において、０から０．５までの右半面で最小から最大までの係数が並び、また０．５から１までの左半面で符号反転した最小から最大までの係数が並ぶ。円周群が図６のような状態では、正負両方をうまくBlindRotateで扱うのは難しく、偶関数、奇関数の計算を行うのに夫々２回のBootstrappingが必要である。実際に、＜手法１＞では、
【0099】
本実施形態では、テストベクタ多項式に含まれる一変数関数Ｆｏ’（ｘ）、一変数関数Ｆｅ’（ｘ）において夫々負の領域の並びが反転していることにより、負の左半面については図７のような状態に整数の並びを反転させた場合と同じ効果を得ながら、偶関数、奇関数の計算をすることが出来る。
奇関数と偶関数で、テストベクタ多項式Ｆｆｏ（Ｘ）、テストベクタ多項式Ｆｆｅ（ｘ）を用いたBootstrappingを１回行うのみで、奇関数と偶関数の計算をすることが出来る。
なお、図１３に示した、負値を反転した関数Ｆ’（ｘ）の算出や奇関数Ｆｏ（ｘ）、偶関数Ｆｅ（ｘ）の分離、負値を反転した関数Ｆｏ’（ｘ）、関数Ｆｅ’（ｘ）の算出は、全てを暗号処理装置１で行わずともよい。一部又は全部を他の装置で算出・生成し、暗号処理装置１に入力されてもよい。
奇関数と偶関数で、テストベクタ多項式Ｆｆｏ（Ｘ）、テストベクタ多項式Ｆｆｅ（ｘ）を用いたBootstrappingを１回行うのみで、奇関数と偶関数の計算をすることが出来る。
なお、図１３に示した、負値を反転した関数Ｆ’（ｘ）の算出や奇関数Ｆｏ（ｘ）、偶関数Ｆｅ（ｘ）の分離、負値を反転した関数Ｆｏ’（ｘ）、関数Ｆｅ’（ｘ）の算出は、全てを暗号処理装置１で行わずともよい。一部又は全部を他の装置で算出・生成し、暗号処理装置１に入力されてもよい。
【0100】
図１４は、本実施形態の暗号処理装置が任意の一変数関数の計算を実行するための構成を説明する図である。
暗号処理装置１は、第５Bootstrapping部４５に暗号文ｃａを入力し、テストベクタ多項式Ｆｆｏを用いて第５Bootstrappingを行い、暗号文ｃｃ１を得る。暗号文ｃｃ１は、平文としてＦｏ’（ｘ＋０．５）の値を有する。
暗号処理装置１は、第５Bootstrapping部４５に暗号文ｃａを入力し、テストベクタ多項式Ｆｆｏを用いて第５Bootstrappingを行い、暗号文ｃｃ１を得る。暗号文ｃｃ１は、平文としてＦｏ’（ｘ＋０．５）の値を有する。
【0101】
Ｆｅ’（ｘ）は、ｆ（ｖ＋１／２）＝ｆ（ｖ）となるため、暗号文ｃａにテストベクタ多項式Ｆｆｅ（Ｘ）をそのまま用いることはできない。
ただし、円周群上で半周回した場合と同じ値になるため、平文ａが円周群の０～０．５（左半面）、０．５～１（右半面）のどちらの区間にあるかを判定して、片方を１／２加算で円周群上を半周分だけ回せばよい。暗号処理装置１は、暗号文ｃａを第６Bootstrapping部４６に入力し全係数が１／４であるテストベクタ多項式Ｔ１（Ｘ）を用いて、TLWE暗号文ｃａに対して第６Bootstrappingを行う。
これにより、暗号文ｃａの平文ａが円周群上で０～０．５、整数として０～ｔ－１の場合は平文として１／４を有し、円周群上で０．５～１、整数として－ｔ～－１の場合は平文として－１／４を有する二値の暗号文ｃｃ３が得られる。暗号文ｃｃ３は、暗号文ｃａの平文ａが円周群の左半面にあるか右半面にあるかを示す暗号文である。
暗号処理装置１は、暗号文ｃｃ３と暗号文ｃａを第３演算部１４に入力して暗号文ｃａに暗号文ｃｃ３に準同型加算する。その結果、暗号文ｃａの平文ａが左半面にあったときは、暗号文ｃｃ３を加算することによって平文ａが右半面に移動する。暗号文ｃａの平文が右半面にあったときは、暗号文ｃｃ３を加算することによって平文は右半面に留まる。
従って、暗号文ｃａに暗号文ｃｃ３を加算して得られる暗号文ｃａ’は、円周群の右半面の領域０～０．５のみを使用している。
ただしこれだけでは、領域０～０．５ではなく、値域－１／４～１／４の区間を利用して整数を表現することになってしまうため、値域０～０．５の範囲で利用したい場合は、さらに自明な暗号文（０，１／４）を準同型減算するとなお好ましい。
ただし、円周群上で半周回した場合と同じ値になるため、平文ａが円周群の０～０．５（左半面）、０．５～１（右半面）のどちらの区間にあるかを判定して、片方を１／２加算で円周群上を半周分だけ回せばよい。暗号処理装置１は、暗号文ｃａを第６Bootstrapping部４６に入力し全係数が１／４であるテストベクタ多項式Ｔ１（Ｘ）を用いて、TLWE暗号文ｃａに対して第６Bootstrappingを行う。
これにより、暗号文ｃａの平文ａが円周群上で０～０．５、整数として０～ｔ－１の場合は平文として１／４を有し、円周群上で０．５～１、整数として－ｔ～－１の場合は平文として－１／４を有する二値の暗号文ｃｃ３が得られる。暗号文ｃｃ３は、暗号文ｃａの平文ａが円周群の左半面にあるか右半面にあるかを示す暗号文である。
暗号処理装置１は、暗号文ｃｃ３と暗号文ｃａを第３演算部１４に入力して暗号文ｃａに暗号文ｃｃ３に準同型加算する。その結果、暗号文ｃａの平文ａが左半面にあったときは、暗号文ｃｃ３を加算することによって平文ａが右半面に移動する。暗号文ｃａの平文が右半面にあったときは、暗号文ｃｃ３を加算することによって平文は右半面に留まる。
従って、暗号文ｃａに暗号文ｃｃ３を加算して得られる暗号文ｃａ’は、円周群の右半面の領域０～０．５のみを使用している。
ただしこれだけでは、領域０～０．５ではなく、値域－１／４～１／４の区間を利用して整数を表現することになってしまうため、値域０～０．５の範囲で利用したい場合は、さらに自明な暗号文（０，１／４）を準同型減算するとなお好ましい。
【0102】
暗号処理装置１は、暗号文ｃａ’を第７Bootstrapping部４７に入力し、テストベクタ多項式Ｆｆｅ（Ｘ）を用いて暗号文ｃａ’に対する第７Bootstrappingを行い、暗号文ｃｃ２を得る。暗号文ｃｃ２は、平文として、Ｆｅ’（ｘ＋０．５）の値を有する。
ここまでの処理で、Bootstrapping（BlindRotate）を３回行っている。
最後に、暗号処理装置１は、暗号文ｃｃ１、暗号文ｃｃ２を第４演算部１６に入力し、暗号文ｃｃ１、暗号文ｃｃ２を準同型加算して、一変数関数Ｆ（ｘ）の暗号文を得ることが出来る。
上記の計算により、
であったため、
であり、ｘがどちらの場合でも、Ｆｅ’（ｘ＋０．５）＋Ｆｏ’（ｘ＋０．５）＝Ｆ（ｘ＋０．５）が成り立つ。
第５Bootstrappingと第６Bootstrappingは、同一の暗号文に対する処理である。従って、BlindRotate時に複数のテストベクタ多項式（ＬＵＴ）を同時に参照するｍａｎｙＬＵＴを用い、BlindRotateの数を１回にまとめることが出来る。第７Bootstrappingと合わせて、全体で２回のBlindRotateとすることが出来る。
ここまでの処理で、Bootstrapping（BlindRotate）を３回行っている。
最後に、暗号処理装置１は、暗号文ｃｃ１、暗号文ｃｃ２を第４演算部１６に入力し、暗号文ｃｃ１、暗号文ｃｃ２を準同型加算して、一変数関数Ｆ（ｘ）の暗号文を得ることが出来る。
上記の計算により、
第５Bootstrappingと第６Bootstrappingは、同一の暗号文に対する処理である。従って、BlindRotate時に複数のテストベクタ多項式（ＬＵＴ）を同時に参照するｍａｎｙＬＵＴを用い、BlindRotateの数を１回にまとめることが出来る。第７Bootstrappingと合わせて、全体で２回のBlindRotateとすることが出来る。
【0103】
図１５は、本実施形態の暗号処理装置が一変数関数を計算するための処理を説明するフローチャートである。
暗号処理装置１（第５Bootstrapping部４５）は、ステップＳ３０１において、Ｆｆｏ（Ｘ）をテストベクタ多項式として用いて、入力暗号文ｃａに対する第５Bootstrappingを実行し、暗号文ｃｃ１を得る。
暗号処理装置１（第６Bootstrapping部４６）は、ステップＳ３０２において、テストベクタ多項式Ｔ１（Ｘ）を用いて、入力暗号文ｃａに対する第６Bootstrappingを実行し、暗号文ｃｃ３を得る。
暗号処理装置１（第３演算部１４）は、ステップＳ３０３において、暗号文ｃａと暗号文ｃｃ３との準同型演算を行い、暗号文ｃａ’を得る。
暗号処理装置１（第７Bootstrapping部４７）は、ステップＳ３０４において、Ｆｆｅ（Ｘ）をテストベクタ多項式として用いて、暗号文ｃａ’に対する第７Bootstrappingを実行し、暗号文ｃｃ２を得る。
暗号処理装置１（第４演算部１５）は、ステップＳ３０５において、暗号文ｃｃ１と暗号文ｃｃ２の準同型演算を行い、任意の一変数関数Ｆ（ｘ）の計算結果に対応する暗号文を得る。
暗号処理装置１（第５Bootstrapping部４５）は、ステップＳ３０１において、Ｆｆｏ（Ｘ）をテストベクタ多項式として用いて、入力暗号文ｃａに対する第５Bootstrappingを実行し、暗号文ｃｃ１を得る。
暗号処理装置１（第６Bootstrapping部４６）は、ステップＳ３０２において、テストベクタ多項式Ｔ１（Ｘ）を用いて、入力暗号文ｃａに対する第６Bootstrappingを実行し、暗号文ｃｃ３を得る。
暗号処理装置１（第３演算部１４）は、ステップＳ３０３において、暗号文ｃａと暗号文ｃｃ３との準同型演算を行い、暗号文ｃａ’を得る。
暗号処理装置１（第７Bootstrapping部４７）は、ステップＳ３０４において、Ｆｆｅ（Ｘ）をテストベクタ多項式として用いて、暗号文ｃａ’に対する第７Bootstrappingを実行し、暗号文ｃｃ２を得る。
暗号処理装置１（第４演算部１５）は、ステップＳ３０５において、暗号文ｃｃ１と暗号文ｃｃ２の準同型演算を行い、任意の一変数関数Ｆ（ｘ）の計算結果に対応する暗号文を得る。
【0104】
図１６は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、特に第１Bootstrappingなど、図１６（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１６（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
上記の説明では、特に第１Bootstrappingなど、図１６（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１６（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
【0105】
図１６（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１６（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
それに対して図１６（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
【0106】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0107】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0108】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0109】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
【0110】
暗号処理装置１０は、第１演算部１２、第１Bootstrapping部４１、第２Bootstrapping部４２の機能によって奇関数の計算を行う。
また暗号処理装置１０は、第２演算部１３、第３Bootstrapping部４３、第４Bootstrapping部４４の機能によって偶関数の計算を行う。
また暗号処理装置１０は、第３演算部１４、第４演算部１５、第５Bootstrapping部４５、第６Bootstrapping部４６、第７Bootstrapping部４７の機能によって任意の一変数関数の計算を行う。
暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。その中には、一変数関数でありかつ偶関数や奇関数であるものも含まれる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算することになるが、これは偶関数である。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算することになり、これは奇関数である。また、偶関数や奇関数を計算することによって計算できる任意の一変数関数も、ファジー認証やファジー検索、暗号化されたデータベースに対するクエリを実行する際に必要である。
文章の類似性を評価するため等に用いられ、２つのベクトルの内積を夫々のノルムで割ることが求められるコサイン類似度の算出においても、任意の一変数関数を暗号化したまま計算できることは有用である。
また暗号処理装置１０は、第２演算部１３、第３Bootstrapping部４３、第４Bootstrapping部４４の機能によって偶関数の計算を行う。
また暗号処理装置１０は、第３演算部１４、第４演算部１５、第５Bootstrapping部４５、第６Bootstrapping部４６、第７Bootstrapping部４７の機能によって任意の一変数関数の計算を行う。
暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。その中には、一変数関数でありかつ偶関数や奇関数であるものも含まれる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算することになるが、これは偶関数である。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算することになり、これは奇関数である。また、偶関数や奇関数を計算することによって計算できる任意の一変数関数も、ファジー認証やファジー検索、暗号化されたデータベースに対するクエリを実行する際に必要である。
文章の類似性を評価するため等に用いられ、２つのベクトルの内積を夫々のノルムで割ることが求められるコサイン類似度の算出においても、任意の一変数関数を暗号化したまま計算できることは有用である。
【0111】
図１７は、コンピュータ装置の一実施例を示すブロック図である。
図１７を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図１７を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0112】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１における制御部１０として機能する。
【0113】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図１における記憶部２０として機能する。
【0114】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、奇関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
暗号処理装置１は、偶関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
また、暗号処理装置１は、任意の一変数関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第３演算処理、第４演算処理、第５Bootstrapping処理、第６Bootstrapping処理、第７Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
暗号処理装置１は、奇関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
暗号処理装置１は、偶関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
また、暗号処理装置１は、任意の一変数関数の演算について、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第３演算処理、第４演算処理、第５Bootstrapping処理、第６Bootstrapping処理、第７Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0115】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0116】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
【0117】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0118】
１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】