知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024076063
(43)【公開日】2024-06-05
(54)【発明の名称】暗号処理装置、暗号処理方法、暗号処理プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20240529BHJP
【ＦＩ】
G09C1/00 620Z
【審査請求】有
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2022187427
(22)【出願日】2022-11-24
(71)【出願人】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
(57)【要約】
【課題】暗号文の比較演算を、少ない計算量で行う。
【解決手段】第１暗号文ｃａに対して第１多項式Ｆ１（Ｘ）を用いて多項式を平文として有する第２暗号文ｒ１を算出し、第２暗号文ｒ１に対して、第１多項式Ｆ１（Ｘ）を平文として有する暗号文を準同型演算して多項式を平文として有する第３暗号文ｒ１’を算出し、第１暗号文ｃａと第２暗号文ｃｂとを準同型演算して算出した暗号文ｃｃに第３暗号文ｒ１’を用いることにより、多項式を平文として有する第５暗号文ｃ３を算出する。
【選択図】図３
【解決手段】第１暗号文ｃａに対して第１多項式Ｆ１（Ｘ）を用いて多項式を平文として有する第２暗号文ｒ１を算出し、第２暗号文ｒ１に対して、第１多項式Ｆ１（Ｘ）を平文として有する暗号文を準同型演算して多項式を平文として有する第３暗号文ｒ１’を算出し、第１暗号文ｃａと第２暗号文ｃｂとを準同型演算して算出した暗号文ｃｃに第３暗号文ｒ１’を用いることにより、多項式を平文として有する第５暗号文ｃ３を算出する。
【選択図】図３
【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理装置。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、
前記第１多項式における、偶数次と奇数次のうちの一方の項の係数を０とすることにより、前記第１多項式を前記第１暗号文に用いることで前記一方の項の係数を変化させず、
前記第３暗号文に含まれる、前記第１多項式の偶数次と奇数次のうちの夫々の項の係数と、前記第２多項式の夫々対応する係数と、を用いて、前記第４暗号文を用いた異なる演算を同時に実行可能である、
ことを特徴とする暗号処理装置。
前記第１多項式における、偶数次と奇数次のうちの一方の項の係数を０とすることにより、前記第１多項式を前記第１暗号文に用いることで前記一方の項の係数を変化させず、
前記第３暗号文に含まれる、前記第１多項式の偶数次と奇数次のうちの夫々の項の係数と、前記第２多項式の夫々対応する係数と、を用いて、前記第４暗号文を用いた異なる演算を同時に実行可能である、
ことを特徴とする暗号処理装置。
【請求項3】
請求項１に記載の暗号処理装置において、
前記所定の演算として多倍長整数の演算を行うことを特徴とする暗号処理装置。
前記所定の演算として多倍長整数の演算を行うことを特徴とする暗号処理装置。
【請求項4】
請求項１に記載の暗号処理装置において、
前記第４暗号文は、前記第１暗号文と他の暗号文との準同型演算結果に対応する暗号文であり、
前記第２暗号文から抽出した暗号文と前記第５暗号文とを準同型演算した暗号文に対して第３多項式を用いることにより、前記第４暗号文における繰り上がりの有無を示す第６暗号文と、前記第４暗号文における繰り下がりの有無を示す第７暗号文と、前記準同型演算結果の正負を示す第８暗号文と、の少なくとも一つを算出する、
ことを特徴とする暗号処理装置。
前記第４暗号文は、前記第１暗号文と他の暗号文との準同型演算結果に対応する暗号文であり、
前記第２暗号文から抽出した暗号文と前記第５暗号文とを準同型演算した暗号文に対して第３多項式を用いることにより、前記第４暗号文における繰り上がりの有無を示す第６暗号文と、前記第４暗号文における繰り下がりの有無を示す第７暗号文と、前記準同型演算結果の正負を示す第８暗号文と、の少なくとも一つを算出する、
ことを特徴とする暗号処理装置。
【請求項5】
請求項４に記載の暗号処理装置において、
前記第６暗号文と前記第７暗号文と前記第８暗号文とに基づいて、前記第１暗号文と他の暗号文との比較結果に対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第６暗号文と前記第７暗号文と前記第８暗号文とに基づいて、前記第１暗号文と他の暗号文との比較結果に対応する暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項6】
請求項４に記載の暗号処理装置において、
前記第４暗号文は、前記第１暗号文と他の暗号文との準同型加減算結果に対応する暗号文であり、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第９暗号文を算出し、前記第９暗号文に第４多項式を用いることにより、前記第１暗号文と前記他の暗号文との準同型加減算結果に対応する第１０暗号文を算出する、
ことを特徴とする暗号処理装置。
前記第４暗号文は、前記第１暗号文と他の暗号文との準同型加減算結果に対応する暗号文であり、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第９暗号文を算出し、前記第９暗号文に第４多項式を用いることにより、前記第１暗号文と前記他の暗号文との準同型加減算結果に対応する第１０暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項7】
請求項１に記載の暗号処理装置において、
前記第２多項式を平文として有する暗号文は、あらゆる秘密鍵で復号可能な自明な暗号文である、
ことを特徴とする暗号処理装置。
前記第２多項式を平文として有する暗号文は、あらゆる秘密鍵で復号可能な自明な暗号文である、
ことを特徴とする暗号処理装置。
【請求項8】
請求項１に記載の暗号処理装置において、
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
【請求項9】
請求項１に記載の暗号処理装置において、
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項10】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理方法。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理方法。
【請求項11】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理プログラム。
前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、
第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、
第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号処理装置、暗号処理方法、暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
Bootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３）。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
Bootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３）。
【先行技術文献】
【特許文献】
【0004】
【非特許文献1】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【非特許文献2】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【非特許文献3】Bootstrapping in FHEW-like Cryptosystems, 2020, Daniele Micciancio and Yuriy Polyakov
【発明の概要】
【発明が解決しようとする課題】
【0005】
さらに、Integer-wise型のTFHEで、暗号文の比較演算を行いたいという要望がある。TLWE暗号文同士の比較は応用範囲が広く、例えば１つのTLWE暗号文を１つの分割単位とする多倍長整数に対する準同型な多倍長演算などにも応用することができるからである。
多倍長演算のうち、多倍長減算では、人間がひっ算によって減算をするように、低い分割単位の方から順に分割単位１つずつ減算と繰り下がり操作を繰り返す。この繰り下がりの操作で準同型な比較演算が必要となる。
また多倍長加算では、多倍長減算とは逆に繰り上がりの処理を行う。この繰り上がりの操作でも準同型な比較演算が必要となる。
多倍長演算に限らず、１つの整数値を表す暗号文に関しても暗号文同士の平文の大小関係を知るための加減算において比較演算は必要である。
本発明は、一側面として、加減算の際に発生する繰り上がり、繰り下がりの処理に必要な暗号文の比較演算を、少ない計算量で行うことを目的とする。
多倍長演算のうち、多倍長減算では、人間がひっ算によって減算をするように、低い分割単位の方から順に分割単位１つずつ減算と繰り下がり操作を繰り返す。この繰り下がりの操作で準同型な比較演算が必要となる。
また多倍長加算では、多倍長減算とは逆に繰り上がりの処理を行う。この繰り上がりの操作でも準同型な比較演算が必要となる。
多倍長演算に限らず、１つの整数値を表す暗号文に関しても暗号文同士の平文の大小関係を知るための加減算において比較演算は必要である。
本発明は、一側面として、加減算の際に発生する繰り上がり、繰り下がりの処理に必要な暗号文の比較演算を、少ない計算量で行うことを目的とする。
【課題を解決するための手段】
【0006】
本発明は、一実施形態によれば、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、第１暗号文に対して第１多項式を用いることにより、多項式を平文として有する第２暗号文を算出し、第２多項式を平文として有する暗号文を前記第２暗号文に準同型演算することにより、多項式を平文として有する第３暗号文を算出し、第４暗号文に対して前記第３暗号文を多項式として用いることにより第５暗号文を算出する、暗号処理装置を特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、暗号文の比較演算を、少ない計算量で行うことが出来る。
【図面の簡単な説明】
【0008】
【図1】本実施形態の暗号処理装置の機能構成を説明する図である。
【図4】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図5】２値Gate Bootstrappingの動作イメージ図である。
【図6】Integer-wise型に適用したTFHEを説明する図である。
【図7】本実施形態におけるInteger-wise型TFHEを説明する図である。
【図8】暗号文の加算結果を表す暗号文を説明する図である。
【図9】暗号文の加算結果を表す暗号文を説明する図である。
【図10】平文を反転させた暗号文に対応する円周群を示す図である。
【図11】暗号文の加算結果を表す暗号文を説明する図である。
【図12】暗号文の加算結果を表す暗号文を説明する図である。
【図13】暗号文の減算結果に応じて暗号文が取り得る値を示す図である。
【図14】第１実施例の処理を説明するフローチャートである。
【図15】第２実施例の処理を説明するフローチャートである。
【図16】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図17】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
【0010】
図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、第５演算部１６と、第６演算部１７と、を備えている。
また、制御部１０は、第１Bootstrapping部（算出部）４１と、第２Bootstrapping部（算出部）４２と、第３Bootstrapping部（算出部）４３と、第４Bootstrapping部（算出部）４４と、出力部３５と、を備えている。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、第５演算部１６と、第６演算部１７と、を備えている。
また、制御部１０は、第１Bootstrapping部（算出部）４１と、第２Bootstrapping部（算出部）４２と、第３Bootstrapping部（算出部）４３と、第４Bootstrapping部（算出部）４４と、出力部３５と、を備えている。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１演算部１２は、受付部１１が受け付けた入力暗号文に対する第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部４１による処理の途中で出力される暗号文に対して、第２準同型演算を行う。
第３演算部１４は、入力された比較対象の２つの暗号文に対して第３準同型演算を行う。
第４演算部１５は、第１Bootstrapping部４１から出力される暗号文と第２Bootstrapping部４２から出力される暗号文とに対する第４準同型演算を行う。
第５演算部１６は、第３Bootstrapping部４３から出力される暗号文に対する第５準同型演算を行う。
第６演算部１７は、第５演算部１６から出力される暗号文同士の第６準同型演算を行う。
第１演算部１２は、受付部１１が受け付けた入力暗号文に対する第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部４１による処理の途中で出力される暗号文に対して、第２準同型演算を行う。
第３演算部１４は、入力された比較対象の２つの暗号文に対して第３準同型演算を行う。
第４演算部１５は、第１Bootstrapping部４１から出力される暗号文と第２Bootstrapping部４２から出力される暗号文とに対する第４準同型演算を行う。
第５演算部１６は、第３Bootstrapping部４３から出力される暗号文に対する第５準同型演算を行う。
第６演算部１７は、第５演算部１６から出力される暗号文同士の第６準同型演算を行う。
【0012】
第１Bootstrapping部４１は、第１演算部１２から出力される暗号文に対して第１Gate Bootstrappingを行う。
第２Bootstrapping部４２は、第３演算部１４から出力される暗号文に対して第２Gate Bootstrappingを行う。
第３Bootstrapping部４３は、第４演算部１５から出力される暗号文に対して第３Gate Bootstrappingを行う。
第４Bootstrapping部４４は、第２Bootstrapping部４２から出力される暗号文に対して第４Gate Bootstrappingを行う。
第２Bootstrapping部４２は、第３演算部１４から出力される暗号文に対して第２Gate Bootstrappingを行う。
第３Bootstrapping部４３は、第４演算部１５から出力される暗号文に対して第３Gate Bootstrappingを行う。
第４Bootstrapping部４４は、第２Bootstrapping部４２から出力される暗号文に対して第４Gate Bootstrappingを行う。
【0013】
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部１７は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部１７、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部１７、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
【0014】
出力部３５は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0015】
図２は、図１の機能構成に基づく第１実施例に基づく演算プロセスを詳しく説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
暗号処理装置１は、Integer-wise型のTLWE暗号文同士の比較を行う。ここで、TLWE暗号文ｃａは、平文整数ａの暗号文であり、TLWE暗号文ｃｂは、平文整数ｂの暗号文である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
暗号処理装置１は、Integer-wise型のTLWE暗号文同士の比較を行う。ここで、TLWE暗号文ｃａは、平文整数ａの暗号文であり、TLWE暗号文ｃｂは、平文整数ｂの暗号文である。
【0016】
図２において、暗号処理装置１は、TLWE暗号文ｃａを第１演算部１２に入力して第１準同型演算を行い、TLWE暗号文ｃａ’を得る。暗号処理装置１は、TLWE暗号文ｃａ’を第１Bootstrapping部４１に入力し、TLWE暗号文ｃａ’に対して多項式Ｆ１（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１を算出する。
暗号処理装置１は、TRLWE暗号文ｒ１を第２演算部１３に入力して第２準同型演算を行い、TRLWE暗号文ｒ１’を得る。
暗号処理装置１は、TLWE暗号文ｃａ、TLWE暗号文ｃｂを第３演算部１４に入力して第３準同型演算を行い、TLWE暗号文ｃｃを得る。暗号処理装置１は、TLWE暗号文ｃｃを第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃに対して第２準同型演算の演算結果であるTRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を算出する。
暗号処理装置１は、第２Bootstrapping部４２によってTRLWE暗号文ｒ２に対してSampleExtractを行い、TLWE暗号文ｃ３を得る。
暗号処理装置１は、第１Bootstrapping部４１によってTRLWE暗号文ｒ１に対するSampleExtractを行い新たな暗号文ｃ２を得る。
暗号処理装置１は、TLWE暗号文ｃ２とTLWE暗号文ｃ３を第４演算部１５に入力して第４準同型演算を行い、TLWE暗号文ｃ４を得る。
暗号処理装置１は、TLWE暗号文ｃ４を第３Bootstrapping部４３に入力し、TLWE暗号文ｃ４に対して多項式Ｆ１’（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
暗号処理装置１は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを２回行い、夫々の出力結果に対して第５演算部１６によって第６準同型演算を行い、TLWE暗号文ｃ５、ｃ６を得る。
暗号処理装置１は、TRLWE暗号文ｒ１を第２演算部１３に入力して第２準同型演算を行い、TRLWE暗号文ｒ１’を得る。
暗号処理装置１は、TLWE暗号文ｃａ、TLWE暗号文ｃｂを第３演算部１４に入力して第３準同型演算を行い、TLWE暗号文ｃｃを得る。暗号処理装置１は、TLWE暗号文ｃｃを第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃに対して第２準同型演算の演算結果であるTRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を算出する。
暗号処理装置１は、第２Bootstrapping部４２によってTRLWE暗号文ｒ２に対してSampleExtractを行い、TLWE暗号文ｃ３を得る。
暗号処理装置１は、第１Bootstrapping部４１によってTRLWE暗号文ｒ１に対するSampleExtractを行い新たな暗号文ｃ２を得る。
暗号処理装置１は、TLWE暗号文ｃ２とTLWE暗号文ｃ３を第４演算部１５に入力して第４準同型演算を行い、TLWE暗号文ｃ４を得る。
暗号処理装置１は、TLWE暗号文ｃ４を第３Bootstrapping部４３に入力し、TLWE暗号文ｃ４に対して多項式Ｆ１’（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
暗号処理装置１は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを２回行い、夫々の出力結果に対して第５演算部１６によって第６準同型演算を行い、TLWE暗号文ｃ５、ｃ６を得る。
【0017】
図３は、図１の機能構成に基づく第２実施例に基づく演算プロセスを詳しく説明する図である。
図３において、暗号処理装置１は、TLWE暗号文ｃａを第１演算部１２に入力して第１準同型演算を行い、TLWE暗号文ｃａ’を得る。暗号処理装置１は、新たな暗号文ｃａ’を第１Bootstrapping部４１に入力し、TLWE暗号文ｃａ’に対して多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１’を算出する。
暗号処理装置１は、TRLWE暗号文ｒ１１を第２演算部１３に入力して第２準同型演算を行い、TRLWE暗号文ｒ１１’を得る。
暗号処理装置１は、TLWE暗号文ｃａ、TLWE暗号文ｃｂを第３演算部１４に入力して第３準同型演算を行い、TLWE暗号文ｃｃ’を得る。
暗号処理装置１は、TLWE暗号文ｃｃ’を第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃ’に対して第２準同型演算の演算結果ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を算出する。
図３において、暗号処理装置１は、TLWE暗号文ｃａを第１演算部１２に入力して第１準同型演算を行い、TLWE暗号文ｃａ’を得る。暗号処理装置１は、新たな暗号文ｃａ’を第１Bootstrapping部４１に入力し、TLWE暗号文ｃａ’に対して多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１’を算出する。
暗号処理装置１は、TRLWE暗号文ｒ１１を第２演算部１３に入力して第２準同型演算を行い、TRLWE暗号文ｒ１１’を得る。
暗号処理装置１は、TLWE暗号文ｃａ、TLWE暗号文ｃｂを第３演算部１４に入力して第３準同型演算を行い、TLWE暗号文ｃｃ’を得る。
暗号処理装置１は、TLWE暗号文ｃｃ’を第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃ’に対して第２準同型演算の演算結果ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を算出する。
【0018】
暗号処理装置１は、第２Bootstrapping部４２によってTRLWE暗号文ｒ２’に対してSampleExtractを行い、TLWE暗号文ｃ３’を得る。
暗号処理装置１は、第１Bootstrapping部４１によってTRLWE暗号文ｒ１１に対するSampleExtractを行い新たな暗号文ｃ２’を得る。
暗号処理装置１は、TLWE暗号文ｃ２’とTLWE暗号文ｃ３’を第４演算部１５に入力して第４準同型演算を行い、TLWE暗号文ｃ４’を得る。
暗号処理装置１は、TLWE暗号文ｃ４’を第３Bootstrapping部４３に入力し、TLWE暗号文ｃ４’に対して多項式Ｆ２’（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
暗号処理装置１は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを３回行い、夫々の出力結果を第５演算部１６に入力して第５準同型演算を行い、TLWE暗号文ｃ５、ｃ６、ｃ７を得る。
暗号処理装置１は、TLWE暗号文ｃ５、ｃ６、ｃ７を第６演算部１７に入力して第６準同型演算を行い、比較結果に対応するTLWE暗号文ｃ８を得る。
暗号処理装置１は、第１Bootstrapping部４１によってTRLWE暗号文ｒ１１に対するSampleExtractを行い新たな暗号文ｃ２’を得る。
暗号処理装置１は、TLWE暗号文ｃ２’とTLWE暗号文ｃ３’を第４演算部１５に入力して第４準同型演算を行い、TLWE暗号文ｃ４’を得る。
暗号処理装置１は、TLWE暗号文ｃ４’を第３Bootstrapping部４３に入力し、TLWE暗号文ｃ４’に対して多項式Ｆ２’（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
暗号処理装置１は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを３回行い、夫々の出力結果を第５演算部１６に入力して第５準同型演算を行い、TLWE暗号文ｃ５、ｃ６、ｃ７を得る。
暗号処理装置１は、TLWE暗号文ｃ５、ｃ６、ｃ７を第６演算部１７に入力して第６準同型演算を行い、比較結果に対応するTLWE暗号文ｃ８を得る。
【0019】
暗号処理装置１は、第２Bootstrapping部４２によってTRLWE暗号文ｒ２’に対してSampleExtractを行い、TLWE暗号文ｃｇを得る。
暗号処理装置１は、TLWE暗号文ｃｇを第４Bootstrapping部４４に入力し、TLWE暗号文ｃｇに対して多項式Ｆｉｄ（Ｘ）をテストベクタ多項式とするGate Bootstrappingを行い、ｃａ－ｃｂの演算結果に対応するTLWE暗号文ｃ９を得る。
暗号処理装置１は、TLWE暗号文ｃｇを第４Bootstrapping部４４に入力し、TLWE暗号文ｃｇに対して多項式Ｆｉｄ（Ｘ）をテストベクタ多項式とするGate Bootstrappingを行い、ｃａ－ｃｂの演算結果に対応するTLWE暗号文ｃ９を得る。
【0020】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0021】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0022】
図４は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図４に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図４に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0023】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0024】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0025】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0026】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0027】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0028】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0029】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
【0030】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0031】
０，１の２値からランダムにｎ個を選択して、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
【0032】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図４の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図４の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0033】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0034】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0035】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出したTRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋとして表せる暗号文をTRGSW暗号文と呼ぶこととする。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出したTRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
【0036】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[ｓ]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[ｓ]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
【0037】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
【0038】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。つまり単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式がμ０のTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式がμ１のTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式がμ０のTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式がμ１のTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
【0039】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
【0040】
図５は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図４の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図４の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0041】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0042】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
【0043】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式の暗号文であり、Ａｎはその暗号文である。
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。
従って、
ここで、
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。
【0044】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
【0045】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0046】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0047】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0048】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0049】
(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0050】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0051】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の四捨五入で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0052】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図４で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
【0053】
図６は、Integer-wise型に応用したTFHEを説明する図である。
図６に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図６に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図６に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
図６に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図６に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図６に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
【0054】
図６に示すように、円周群{Ｔ}上の０（１）は、－１／（２ｔ）～１／（２ｔ）の領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図６の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図６の説明とは円周群の分割数ｔの意味が異なっている。
本質的に変わることはないが、下記に説明する実施形態では、図６の説明とは円周群の分割数ｔの意味が異なっている。
【0055】
図７は、本実施形態におけるInteger-wise型TFHEを説明する図である。
図７に示すように、本実施形態の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の範囲をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図６の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図７（ｂ）に示している。図７（ａ）は、図７（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付与した図７（ａ）の状態に準拠するものとする。
例えば円周群を０～１と表現する場合は０～０．５が右半面、０．５～１が左半面である。同様に、円周群を－０．５～０．５として表現する場合は－０．５～０が左半面、０～０．５が右半面である。これらの表現は、円周群上での座標をどのように表現するかの違いであり、本質的な違いはない。
また、円周群上の加減算には方向があるため、本実施形態では仮に反時計回りを正（プラス）の方向とし、時計回りを負（マイナス）の方向とする。つまり、円周群上のある要素に０．２５を加算した結果は、元の要素から１／４周だけ反時計回りに移動した点の要素を指す。減算した場合も同様である。この取り決めは、上記の左半面や右半面の概念とあわせて図示するためのもので、実際にはどちらを正の方向としても、まったく同じ議論が通用する。
図７に示すように、本実施形態の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の範囲をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図６の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図７（ｂ）に示している。図７（ａ）は、図７（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付与した図７（ａ）の状態に準拠するものとする。
例えば円周群を０～１と表現する場合は０～０．５が右半面、０．５～１が左半面である。同様に、円周群を－０．５～０．５として表現する場合は－０．５～０が左半面、０～０．５が右半面である。これらの表現は、円周群上での座標をどのように表現するかの違いであり、本質的な違いはない。
また、円周群上の加減算には方向があるため、本実施形態では仮に反時計回りを正（プラス）の方向とし、時計回りを負（マイナス）の方向とする。つまり、円周群上のある要素に０．２５を加算した結果は、元の要素から１／４周だけ反時計回りに移動した点の要素を指す。減算した場合も同様である。この取り決めは、上記の左半面や右半面の概念とあわせて図示するためのもので、実際にはどちらを正の方向としても、まったく同じ議論が通用する。
【0056】
図７（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス（０の前後における平文に付加したノイズ分が１つのスライス）内にある。
オフセットを付加することによって、図７（ａ）に示すように、円周群{Ｔ}上の０から始まるスライス（０／（２ｔ））に整数０を対応付けることが出来る。他のスライスはＸ／（２ｔ）（Ｘは平文整数）から始まる。円周群{Ｔ}上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点がある。
図７（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図７（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。図８についても同様である。
オフセットを付加することによって、図７（ａ）に示すように、円周群{Ｔ}上の０から始まるスライス（０／（２ｔ））に整数０を対応付けることが出来る。他のスライスはＸ／（２ｔ）（Ｘは平文整数）から始まる。円周群{Ｔ}上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点がある。
図７（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図７（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。図８についても同様である。
【0057】
図７（ａ）の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応し、左半面は負の平文整数（－１～－ｔ）に対応している。１ブロック（スライス）の幅は１／（２ｔ）である。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
【0058】
図７（ａ）に示すように、２ｔ＝８（ｔ＝４）として円周群の値域を８個に分割する場合には、円周群{Ｔ}の右半面で０から３（＝ｔ－１）の整数を表現し、左半面で－４（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－４、－３、－２、－１、０、１、２、３の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
【0059】
暗号処理装置１は、TFHEのシステムパラメータを設定する。このとき、暗号処理装置１は、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（４ｔ）未満となるようにシステムパラメータを設定する。
加算を行うTLWE暗号文ｃａとTLWE暗号文ｃｂとがあるとする。
TLWE暗号文ｃａ、ｃｂは、図７（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
これらは誤差なしの平文であり、実際には上記の範囲の誤差が付与された値が平文として格納されている。
TLWE暗号文ｃａ、ｃｂの平文がａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。
加算を行うTLWE暗号文ｃａとTLWE暗号文ｃｂとがあるとする。
TLWE暗号文ｃａ、ｃｂは、図７（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
これらは誤差なしの平文であり、実際には上記の範囲の誤差が付与された値が平文として格納されている。
TLWE暗号文ｃａ、ｃｂの平文がａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。
【0060】
図７（ａ）について説明したように、TLWE暗号文ｃａ、TLWE暗号文ｃｂにおいても、ａ／（２ｔ）＋１／（４ｔ）、ｂ／（２ｔ）＋１／（４ｔ）と平文にオフセットを付加している。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
【0061】
図７（ａ）において、負の整数を扱う円周群{Ｔ}の左半面では、上から反時計回りに、－ｔ／（２ｔ）から始まるスライス～－１／（２ｔ）から始まるスライスを用いて整数－ｔ～－１を表現する。
０と正の整数（非負の整数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
０と正の整数（非負の整数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
【0062】
本実施形態は、Integer-wise型TFHEを用いた暗号文の比較演算に関する。
暗号化されていない整数の比較演算をＣＰＵで実装する場合、比較命令の実態としては結果を破棄する減算とすることがある。これは、減算命令を実行するとその結果に応じてフラグレジスタが変化するためである。減算結果のフラグのうち演算結果が０であることを示すフラグが立っていれば、直前の減算では２つの値が等しいことがわかる。ｏｖｅｒｆｌｏｗやｃａｒｒｙなどのフラグを見れば、比較を行ったどちらの値が大きいかがわかる。
Integer-wise型のTFHEで同様のことを行う場合、２つのTLWE暗号文を準同型減算し、演算結果のTLWE暗号文の平文が円周群{Ｔ}上のどこに位置するかにより判断する方法が考えられる。準同型減算のあとに適切なＬＵＴを用いることで、フラグレジスタに相当する値を得られると考えられる。
暗号化されていない整数の比較演算をＣＰＵで実装する場合、比較命令の実態としては結果を破棄する減算とすることがある。これは、減算命令を実行するとその結果に応じてフラグレジスタが変化するためである。減算結果のフラグのうち演算結果が０であることを示すフラグが立っていれば、直前の減算では２つの値が等しいことがわかる。ｏｖｅｒｆｌｏｗやｃａｒｒｙなどのフラグを見れば、比較を行ったどちらの値が大きいかがわかる。
Integer-wise型のTFHEで同様のことを行う場合、２つのTLWE暗号文を準同型減算し、演算結果のTLWE暗号文の平文が円周群{Ｔ}上のどこに位置するかにより判断する方法が考えられる。準同型減算のあとに適切なＬＵＴを用いることで、フラグレジスタに相当する値を得られると考えられる。
【0063】
円周群{Ｔ}の右半面（例えば０～０．５）のみを使用する場合、つまり非負の整数のみを扱う場合、暗号文同士の準同型減算結果ｃａ－ｃｂの平文が円周群{Ｔ}の右半面の区間にあれば繰り下がりは発生せず、φ（ｃａ）≧φ（ｃｂ）である。
反対に、準同型減算結果ｃａ－ｃｂの平文が円周群{Ｔ}の左半面（例えば０．５～１．０）の区間にあれば減算結果は負であり、φ（ｃａ）＜φ（ｃｂ）である。
繰り上がりに用いる比較演算の場合も同様に、多倍長整数の１分割単位を構成するTLWE暗号文同士の準同型加算を行った結果、準同型加算結果ｃａ＋ｃｂの平文が円周群{Ｔ}の右半面の区間にあれば繰り上がりは発生していない。
反対に、準同型加算結果ｃａ＋ｃｂの平文が円周群の左半面の区間にあれば、繰り上がりが発生している。
反対に、準同型減算結果ｃａ－ｃｂの平文が円周群{Ｔ}の左半面（例えば０．５～１．０）の区間にあれば減算結果は負であり、φ（ｃａ）＜φ（ｃｂ）である。
繰り上がりに用いる比較演算の場合も同様に、多倍長整数の１分割単位を構成するTLWE暗号文同士の準同型加算を行った結果、準同型加算結果ｃａ＋ｃｂの平文が円周群{Ｔ}の右半面の区間にあれば繰り上がりは発生していない。
反対に、準同型加算結果ｃａ＋ｃｂの平文が円周群の左半面の区間にあれば、繰り上がりが発生している。
【0064】
ところが、円周群を無駄なく使うために円周群全体（例えば０～１．０）を用いる場合には以下のような問題がある。
円周群全体を２ｔ個のスライスに分割して０～２ｔ－１の整数と対応付けた場合で、暗号文同士の準同型加算ｃａ＋ｃｂの平文が、整数表現で３だったとする。この結果だけでは、暗号文同士の準同型加算において、０＋３を計算したために繰り上がりなしで３になったのか、ｔ＋１とｔ＋２を加算して２ｔ＋３となった結果、繰り上がりが発生して３になったのか判断がつかない。
円周群全体を２ｔ個のスライスに分割して０～２ｔ－１の整数と対応付けた場合で、暗号文同士の準同型加算ｃａ＋ｃｂの平文が、整数表現で３だったとする。この結果だけでは、暗号文同士の準同型加算において、０＋３を計算したために繰り上がりなしで３になったのか、ｔ＋１とｔ＋２を加算して２ｔ＋３となった結果、繰り上がりが発生して３になったのか判断がつかない。
【0065】
円周群{Ｔ}全体（例えば０～１．０）を－ｔ～ｔ－１の整数と対応付けた場合は、負の数を含むためさらに複雑である。
暗号文同士の準同型加算ｃａ＋ｃｂの平文が、整数表現で－２であったとする。この結果だけでは、暗号文同士の準同型加算において、０＋（－２）を計算したために繰り下がりなしで－２になったのか、（ｔ－１）＋（ｔ－１）を計算して２ｔ－２となった結果、繰り上がりが発生して－２になったのか判断がつかない。
また、（－ｔ）＋（－ｔ）の場合は－２ｔとなり、加算であるにも関わらず、繰り下がりが発生することもある。
従って、円周群{Ｔ}全体を整数と対応付けた場合は、繰り上がりが発生している、繰り下がりが発生している、繰り上がりも繰り下がりも発生していない、という３通りの可能性がある。
したがって、多倍長での加減算を行う際はすべてのパターンで適切な処理を行う必要がある。
暗号文同士の準同型加算ｃａ＋ｃｂの平文が、整数表現で－２であったとする。この結果だけでは、暗号文同士の準同型加算において、０＋（－２）を計算したために繰り下がりなしで－２になったのか、（ｔ－１）＋（ｔ－１）を計算して２ｔ－２となった結果、繰り上がりが発生して－２になったのか判断がつかない。
また、（－ｔ）＋（－ｔ）の場合は－２ｔとなり、加算であるにも関わらず、繰り下がりが発生することもある。
従って、円周群{Ｔ}全体を整数と対応付けた場合は、繰り上がりが発生している、繰り下がりが発生している、繰り上がりも繰り下がりも発生していない、という３通りの可能性がある。
したがって、多倍長での加減算を行う際はすべてのパターンで適切な処理を行う必要がある。
【0066】
以下に、Integer-wise型TFHEを用いた暗号文の比較演算を説明する。
以下の説明では、平文ａ＋ｂに対応する準同型加算ｃａ＋ｃｂを行う場合について説明するが、TLWE暗号文ｃｂの平文ｂの値（符号）を予め反転させることで、平文ａ－ｂに対応する準同型減算も同様に行うことができる。
平文ａ＋ｂに対応する準同型加算ｃａ＋ｃｂにおける繰り上がり、繰り下がりの情報は、平文ａと平文ｂ、すなわち暗号文ｃａと暗号文ｃｂの比較演算の結果として利用することが出来る。
本実施形態の暗号処理装置１は、BlindRotateの出力となるTRLWE暗号文に対して平文の多項式の自明な暗号文の加算を行ってから再度BlindRotateを行うことにより、比較演算の結果として、繰り上がりの有無、繰り下がりの有無に対応する暗号文を算出する。
以下の説明では、平文ａ＋ｂに対応する準同型加算ｃａ＋ｃｂを行う場合について説明するが、TLWE暗号文ｃｂの平文ｂの値（符号）を予め反転させることで、平文ａ－ｂに対応する準同型減算も同様に行うことができる。
平文ａ＋ｂに対応する準同型加算ｃａ＋ｃｂにおける繰り上がり、繰り下がりの情報は、平文ａと平文ｂ、すなわち暗号文ｃａと暗号文ｃｂの比較演算の結果として利用することが出来る。
本実施形態の暗号処理装置１は、BlindRotateの出力となるTRLWE暗号文に対して平文の多項式の自明な暗号文の加算を行ってから再度BlindRotateを行うことにより、比較演算の結果として、繰り上がりの有無、繰り下がりの有無に対応する暗号文を算出する。
【0067】
下記の［第１実施例］、［第２実施例］は、多倍長演算の１分割単位を構成するTLWE暗号文同士の比較を説明する。
［第１実施例］
図２を参照して説明する。
まず、暗号処理装置１は、入力を受け付けたTLWE暗号文ｃａを第１演算部１２に入力し、TLWE暗号文ｃａを符号反転したTLWE暗号文－ｃａに対して、１／（４ｔ）を平文として有する自明な暗号文（０，１／（４ｔ））を準同型加算する準同型演算を行い、－ｃａ＋（０，１／（４ｔ））に対応する新たな暗号文ｃａ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’を第１Bootstrapping部４１に入力し、暗号文ｃａ’に対して、全係数が１／１６である多項式Ｆ１（Ｘ）
をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１を得る。
［第１実施例］
図２を参照して説明する。
まず、暗号処理装置１は、入力を受け付けたTLWE暗号文ｃａを第１演算部１２に入力し、TLWE暗号文ｃａを符号反転したTLWE暗号文－ｃａに対して、１／（４ｔ）を平文として有する自明な暗号文（０，１／（４ｔ））を準同型加算する準同型演算を行い、－ｃａ＋（０，１／（４ｔ））に対応する新たな暗号文ｃａ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’を第１Bootstrapping部４１に入力し、暗号文ｃａ’に対して、全係数が１／１６である多項式Ｆ１（Ｘ）
【0068】
次に、暗号処理装置１は、第２演算部１３にTRLWE暗号文ｒ１を入力し、TRLWE暗号文ｒ１から、多項式Ｆ１（Ｘ）を平文とする自明な暗号文（０，Ｆ１（Ｘ））を準同型減算して、ｒ１－（０，Ｆ１（Ｘ））に対応する新たなTRLWE暗号文ｒ１’を得る。
暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂとを第３演算部１４に入力し、TLWE暗号文ｃａとTLWE暗号文ｃｂとを準同型加算し、さらに自明な暗号文（０，１／（４ｔ））を準同型減算し、ｃａ＋ｃｂ－（０，１／（４ｔ））に対応する新たなTLWE暗号文ｃｃを得る。ここで自明な暗号文（０，１／（４ｔ））を減算するのは、TLWE暗号文ｃａとTLWE暗号文ｃｂとには夫々整数精度で見たときに０．５に相当するオフセット（円周群{Ｔ}上では１／（４ｔ））があり、それを消去する定数項が必要であるからである。
暗号処理装置１は、TLWE暗号文ｃｃを第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃに対して、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を得る。さらに、暗号処理装置１は、TRLWE暗号文ｒ２に対して０の位置でSampleExtractを行い、０次の項（定数項）の係数を取り出して暗号文ｃ３を得る。
なお、第３演算部１４によるTLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型演算を行う必要がなく、TLWE暗号文ｃａと同じ平文を有するTLWE暗号文ｃｃを用いれば良いこともある。その場合、TLWE暗号文ｃｃに対する第２Bootstrapping部４２によるBlindRotateは、TLWE暗号文ｃａに対するBlindRotateと見なすことが出来る。
暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｂとを第３演算部１４に入力し、TLWE暗号文ｃａとTLWE暗号文ｃｂとを準同型加算し、さらに自明な暗号文（０，１／（４ｔ））を準同型減算し、ｃａ＋ｃｂ－（０，１／（４ｔ））に対応する新たなTLWE暗号文ｃｃを得る。ここで自明な暗号文（０，１／（４ｔ））を減算するのは、TLWE暗号文ｃａとTLWE暗号文ｃｂとには夫々整数精度で見たときに０．５に相当するオフセット（円周群{Ｔ}上では１／（４ｔ））があり、それを消去する定数項が必要であるからである。
暗号処理装置１は、TLWE暗号文ｃｃを第２Bootstrapping部４２に入力し、TLWE暗号文ｃｃに対して、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を得る。さらに、暗号処理装置１は、TRLWE暗号文ｒ２に対して０の位置でSampleExtractを行い、０次の項（定数項）の係数を取り出して暗号文ｃ３を得る。
なお、第３演算部１４によるTLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型演算を行う必要がなく、TLWE暗号文ｃａと同じ平文を有するTLWE暗号文ｃｃを用いれば良いこともある。その場合、TLWE暗号文ｃｃに対する第２Bootstrapping部４２によるBlindRotateは、TLWE暗号文ｃａに対するBlindRotateと見なすことが出来る。
【0069】
図８乃至図１２は、暗号文の加算結果を表す暗号文を説明する図である。
なお本実施形態では、円周群{Ｔ}の値域を０～１とし、０．５（１／２）を境界とした右半面に非負の整数を割り当て、左半面に負の整数を割り当てている。以下の説明では、円周群{Ｔ}の右半面の区間は０～０．５の範囲であり、左半面の区間は０．５～１の範囲である。
なお、円周群{Ｔ}の値域は０～１ではなく、－０．２５～０．７５や－０．５～０．５などであってもよい。
なお本実施形態では、円周群{Ｔ}の値域を０～１とし、０．５（１／２）を境界とした右半面に非負の整数を割り当て、左半面に負の整数を割り当てている。以下の説明では、円周群{Ｔ}の右半面の区間は０～０．５の範囲であり、左半面の区間は０．５～１の範囲である。
なお、円周群{Ｔ}の値域は０～１ではなく、－０．２５～０．７５や－０．５～０．５などであってもよい。
【0070】
図８は、TLWE暗号文ｃａの平文ａが整数として非負（ａ≧０）のとき、平文ａ＋ｂがどの値の時に、上記TLWE暗号文ｃ３の平文として何が得られるかを示している。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として非負の場合、図８に示すように平文ａは円周群{Ｔ}の右半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して暗号文ｃｂを円周群{Ｔ}上で準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、反時計回りで、円周群{Ｔ}上の０．５を超えて左半面に至る大きな値になる場合に、繰り上がりが発生する。その場合、図８に示すように、TLWE暗号文ｃ３の平文φ（ｃ３）は１／８となる。
平文ａが円周群{Ｔ}の右半面にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。そのため、繰り上がりがある場合でどれだけ平文ｂの値が大きくても、TLWE暗号文ｃ３の平文φ（ｃ３）が０になることはない。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として非負の場合、図８に示すように平文ａは円周群{Ｔ}の右半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して暗号文ｃｂを円周群{Ｔ}上で準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、反時計回りで、円周群{Ｔ}上の０．５を超えて左半面に至る大きな値になる場合に、繰り上がりが発生する。その場合、図８に示すように、TLWE暗号文ｃ３の平文φ（ｃ３）は１／８となる。
平文ａが円周群{Ｔ}の右半面にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。そのため、繰り上がりがある場合でどれだけ平文ｂの値が大きくても、TLWE暗号文ｃ３の平文φ（ｃ３）が０になることはない。
【0071】
図９は、TLWE暗号文ｃａの平文ａが整数として負（ａ＜０）のとき、平文ａ＋ｂがどの値の時に、上記TLWE暗号文ｃ３の平文として何が得られるかを示す図である。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として負の場合、図９に示すように平文ａは円周群{Ｔ}の左半面の区間に存在する。
そのようなTLWE暗号文ｃａに対してTLWE暗号文ｃｂを円周群{Ｔ}上で準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、時計回りで、円周群{Ｔ}上の０．５を超えて右半面に至る小さい値になる場合に繰り下がりが発生する。その場合、図９に示すように、TLWE暗号文ｃ３の平文φ（ｃ３）は－１／８となる。
平文ａが円周群{Ｔ}の左半面の区間にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。そのため、繰り下がりがある場合にどれだけ平文ｂの値が小さくても、TLWE暗号文ｃ３の平文φ（ｃ３）が０になることはない。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として負の場合、図９に示すように平文ａは円周群{Ｔ}の左半面の区間に存在する。
そのようなTLWE暗号文ｃａに対してTLWE暗号文ｃｂを円周群{Ｔ}上で準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、時計回りで、円周群{Ｔ}上の０．５を超えて右半面に至る小さい値になる場合に繰り下がりが発生する。その場合、図９に示すように、TLWE暗号文ｃ３の平文φ（ｃ３）は－１／８となる。
平文ａが円周群{Ｔ}の左半面の区間にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。そのため、繰り下がりがある場合にどれだけ平文ｂの値が小さくても、TLWE暗号文ｃ３の平文φ（ｃ３）が０になることはない。
【0072】
図８、図９を総合すると、TLWE暗号文ｃ３の平文φ（ｃ３）は、０又は±１／８のいずれかの値となる。
平文ａが円周群{Ｔ}の右半面の区間に存在し、ａ＋ｂが繰り上がる場合には、TLWE暗号文ｃ３の平文φ（ｃ３）は１／８となり、繰り上がらない場合は、TLWE暗号文ｃ３の平文φ（ｃ３）は０もしくは－１／８となる。
一方、平文ａが円周群{Ｔ}の左半面の区間に存在し、ａ＋ｂが繰り下がる場合には、TLWE暗号文ｃ３の平文φ（ｃ３）は－１／８となり、繰り下がらない場合は、TLWE暗号文ｃ３の平文φ（ｃ３）は０もしくは１／８となる。
つまり、TLWE暗号文ｃ３の平文φ（ｃ３）が０である場合は、ａ＋ｂに繰り上がり、繰り下がりが発生しない。しかし、－１／８もしくは１／８の場合には平文ａが負であるか否かによって繰り上がりおよび繰り下がりの有無が替わる。
ただしTLWE暗号文ｃａを復号しない限り平文ａの値を知り得ない。従って、TLWE暗号文ｃ３だけでは、平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるか、つまりa＋ｂが繰り上がるのか繰り下がるのかを特定することが出来ない。
従って、平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかを表す暗号文が必要である。
平文ａが円周群{Ｔ}の右半面の区間に存在し、ａ＋ｂが繰り上がる場合には、TLWE暗号文ｃ３の平文φ（ｃ３）は１／８となり、繰り上がらない場合は、TLWE暗号文ｃ３の平文φ（ｃ３）は０もしくは－１／８となる。
一方、平文ａが円周群{Ｔ}の左半面の区間に存在し、ａ＋ｂが繰り下がる場合には、TLWE暗号文ｃ３の平文φ（ｃ３）は－１／８となり、繰り下がらない場合は、TLWE暗号文ｃ３の平文φ（ｃ３）は０もしくは１／８となる。
つまり、TLWE暗号文ｃ３の平文φ（ｃ３）が０である場合は、ａ＋ｂに繰り上がり、繰り下がりが発生しない。しかし、－１／８もしくは１／８の場合には平文ａが負であるか否かによって繰り上がりおよび繰り下がりの有無が替わる。
ただしTLWE暗号文ｃａを復号しない限り平文ａの値を知り得ない。従って、TLWE暗号文ｃ３だけでは、平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるか、つまりa＋ｂが繰り上がるのか繰り下がるのかを特定することが出来ない。
従って、平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかを表す暗号文が必要である。
【0073】
再び図２を参照し、暗号処理装置１は、TRLWE暗号文ｒ１を第１Bootstrapping部４１に入力し、TRLWE暗号文ｒ１に対して、円周群{Ｔ}上のｎ－１の位置（ｎ－１次の項、すなわち最上位の項）でSampleExtractを行い、TLWE暗号文ｃ２を得る。
TLWE暗号文ｃ２は、－ｃａを用いてすべての項の係数が１／１６である上記Ｆ１（Ｘ）をBlindRotateしたTRLWE暗号文ｒ１から抽出された暗号文であるため、上記多項式Ｆ１（Ｘ）を次数の低い方向に－ａだけ回転させた暗号文である。換言すると、TLWE暗号文ｃ２は、上記多項式Ｆ１（Ｘ）を次数の高い方向にａだけ回転させている。
平文整数ａ≧０つまりTLWE暗号文ｃａの平文φ（ｃａ）が円周群の右半面の区間に位置する場合には、TLWE暗号文ｃ２は、Ｆ１（Ｘ）の係数である１／１６がそのまま平文となる。
平文整数ａ＜０つまりφ（ｃａ）が円周群の左半面の区間に位置する場合、TLWE暗号文ｃ２は、Ｆ１（Ｘ）の係数である１／１６の符号を反転させた－１／１６が平文となる。
このようなTLWE暗号文ｃ２は、TLWE暗号文ｃａの平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかの情報を平文として有する暗号文である。
TLWE暗号文ｃ２は、－ｃａを用いてすべての項の係数が１／１６である上記Ｆ１（Ｘ）をBlindRotateしたTRLWE暗号文ｒ１から抽出された暗号文であるため、上記多項式Ｆ１（Ｘ）を次数の低い方向に－ａだけ回転させた暗号文である。換言すると、TLWE暗号文ｃ２は、上記多項式Ｆ１（Ｘ）を次数の高い方向にａだけ回転させている。
平文整数ａ≧０つまりTLWE暗号文ｃａの平文φ（ｃａ）が円周群の右半面の区間に位置する場合には、TLWE暗号文ｃ２は、Ｆ１（Ｘ）の係数である１／１６がそのまま平文となる。
平文整数ａ＜０つまりφ（ｃａ）が円周群の左半面の区間に位置する場合、TLWE暗号文ｃ２は、Ｆ１（Ｘ）の係数である１／１６の符号を反転させた－１／１６が平文となる。
このようなTLWE暗号文ｃ２は、TLWE暗号文ｃａの平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかの情報を平文として有する暗号文である。
【0074】
暗号処理装置１は、第４演算部１５にTLWE暗号文ｃ２、ｃ３を入力し、ｃ３＋２×ｃ２を計算してTLWE暗号文ｃ４を算出する。これは通常の準同型スカラ倍と準同型加算とによって実行可能である。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の左半面の区間にある場合は、TLWE暗号文ｃ２の平文が－１／１６、TLWE暗号ｃ３の平文が－１／８、０、１／８のいずれかであるので、TLWE暗号文ｃ４の平文はｃ３の平文にそれぞれ（－１／１６）×２＝－１／８を加えた０、－１／８、－１／４のいずれかである。TLWE暗号文ｃ４において、TLWE暗号文ｃ３の平文の値が円周群{Ｔ}のマイナスの方向に１／８ずれる。従って、平文ａが円周群{Ｔ}の左半面の区間にありかつ繰り下がりがある場合にのみ、TLWE暗号文ｃ４の平文φ（ｃ４）は－１／４となる。
平文ａが円周群{Ｔ}の右半面の区間にある場合は、TLWE暗号文ｃ２の平文が１／１６、TLWE暗号ｃ３の平文が－１／８、０、１／８のいずれかであるので、TLWE暗号文ｃ４の平文はｃ３の平文にそれぞれ（１／１６）×２＝１／８を加えた０、１／８、１／４のいずれかである。TLWE暗号文ｃ４において、TLWE暗号文ｃ３の平文の値が円周群{Ｔ}のプラスの方向に１／８ずれる。従って、平文ａが円周群{Ｔ}の右半面の区間にありかつ繰り上がりがある場合にのみ、φ（ｃ４）は１／４となる。
平文ａが円周群{Ｔ}の右半面の区間にあり整数として０である場合は、繰り上がりも繰り下がりも発生せず、また平文ａが円周群{Ｔ}の左半面の区間にある場合に繰り上がりが発生したり、平文ａが円周群{Ｔ}の右半面の区間にある場合に繰り下がりが発生したりすることもない。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の左半面の区間にある場合は、TLWE暗号文ｃ２の平文が－１／１６、TLWE暗号ｃ３の平文が－１／８、０、１／８のいずれかであるので、TLWE暗号文ｃ４の平文はｃ３の平文にそれぞれ（－１／１６）×２＝－１／８を加えた０、－１／８、－１／４のいずれかである。TLWE暗号文ｃ４において、TLWE暗号文ｃ３の平文の値が円周群{Ｔ}のマイナスの方向に１／８ずれる。従って、平文ａが円周群{Ｔ}の左半面の区間にありかつ繰り下がりがある場合にのみ、TLWE暗号文ｃ４の平文φ（ｃ４）は－１／４となる。
平文ａが円周群{Ｔ}の右半面の区間にある場合は、TLWE暗号文ｃ２の平文が１／１６、TLWE暗号ｃ３の平文が－１／８、０、１／８のいずれかであるので、TLWE暗号文ｃ４の平文はｃ３の平文にそれぞれ（１／１６）×２＝１／８を加えた０、１／８、１／４のいずれかである。TLWE暗号文ｃ４において、TLWE暗号文ｃ３の平文の値が円周群{Ｔ}のプラスの方向に１／８ずれる。従って、平文ａが円周群{Ｔ}の右半面の区間にありかつ繰り上がりがある場合にのみ、φ（ｃ４）は１／４となる。
平文ａが円周群{Ｔ}の右半面の区間にあり整数として０である場合は、繰り上がりも繰り下がりも発生せず、また平文ａが円周群{Ｔ}の左半面の区間にある場合に繰り上がりが発生したり、平文ａが円周群{Ｔ}の右半面の区間にある場合に繰り下がりが発生したりすることもない。
【0075】
従って、TLWE暗号文ｃ４の平文φ（ｃ４）が１／４である場合には繰り上がりがあり、TLWE暗号文ｃ４の平文φ（ｃ４）が－１／４である場合には繰り下がりがある、ということになる。
TLWE暗号文ｃ４は、その平文φ（ｃ４）の値で、繰り上がりの有無、繰り下がりの有無が判別可能な暗号文である。
すなわち、TLWE暗号文ｃ４のみで、準同型加算ｃａ＋ｃｂにより繰り上がりが発生したか、繰り下がりが発生したか、どちらも発生していないか、を判別可能であると言える。
TLWE暗号文ｃ４は、その平文φ（ｃ４）の値で、繰り上がりの有無、繰り下がりの有無が判別可能な暗号文である。
すなわち、TLWE暗号文ｃ４のみで、準同型加算ｃａ＋ｃｂにより繰り上がりが発生したか、繰り下がりが発生したか、どちらも発生していないか、を判別可能であると言える。
【0076】
暗号処理装置１は、TLWE暗号文ｃ４を第３Bootstrapping部４３に入力し、TLWE暗号文ｃ４に対して下記の多項式Ｆ１’（Ｘ）
をテストベクタ多項式としたBlindRotateを行い、TRLWE暗号文ｒ３を得る。
暗号処理装置１は、TRLWE暗号文ｒ３に対して、円周群{Ｔ}上の複数個所（２ｎ×５／１６、２ｎ×３／１６の２箇所）でSampleExtractを行い、TLWE暗号文ｃｄ、ｃｅを取り出す。そして、暗号処理装置１は、暗号文ｃｄ、ｃｅに対して、１／（２ｔ）を平文とする自明な暗号文（０，１／（２ｔ））を準同型加算する。
２ｎ×５／１６でのSampleExtractで取り出したTLWE暗号文ｃｄに（０，１／（２ｔ））を加算したのがTLWE暗号文ｃ５である。
２ｎ×３／１６でのSampleExtractで取り出したTLWE暗号文ｃｅに（０，１／（２ｔ））を加算したのがTLWE暗号文ｃ６である。
暗号処理装置１は、TRLWE暗号文ｒ３に対して、円周群{Ｔ}上の複数個所（２ｎ×５／１６、２ｎ×３／１６の２箇所）でSampleExtractを行い、TLWE暗号文ｃｄ、ｃｅを取り出す。そして、暗号処理装置１は、暗号文ｃｄ、ｃｅに対して、１／（２ｔ）を平文とする自明な暗号文（０，１／（２ｔ））を準同型加算する。
２ｎ×５／１６でのSampleExtractで取り出したTLWE暗号文ｃｄに（０，１／（２ｔ））を加算したのがTLWE暗号文ｃ５である。
２ｎ×３／１６でのSampleExtractで取り出したTLWE暗号文ｃｅに（０，１／（２ｔ））を加算したのがTLWE暗号文ｃ６である。
【0077】
暗号処理装置１は、１／４との比較（繰り上がりの有無）と、－１／４との比較（繰り下がりの有無）とを同時に行い、TLWE暗号文ｃ５、TLWE暗号文ｃ６を算出する。
TLWE暗号文ｃ５は、繰り上がりがある（TLWE暗号文ｃ４の平文が１／４である）場合に平文φ（ｃ５）が１／（４ｔ）（整数としては０）となり、繰り上がりがないTLWE暗号文ｃ４の平文が－１／４である）場合に１／（２ｔ）＋１／（４ｔ）（整数として１）となる暗号文である。
TLWE暗号文ｃ６は、繰り下がりがある場合に平文φ（ｃ６）が１／（４ｔ）となり（整数としては０）、繰り下がりがない場合に１／（２ｔ）＋１／（４ｔ）となる（整数としては１）暗号文である。
以上の処理により、繰り上がりの有無を２値で表すTLWE暗号文ｃ５、繰り下がりの有無を２値で表すTLWE暗号文ｃ６が得られた。
TLWE暗号文ｃ５は、繰り上がりがある（TLWE暗号文ｃ４の平文が１／４である）場合に平文φ（ｃ５）が１／（４ｔ）（整数としては０）となり、繰り上がりがないTLWE暗号文ｃ４の平文が－１／４である）場合に１／（２ｔ）＋１／（４ｔ）（整数として１）となる暗号文である。
TLWE暗号文ｃ６は、繰り下がりがある場合に平文φ（ｃ６）が１／（４ｔ）となり（整数としては０）、繰り下がりがない場合に１／（２ｔ）＋１／（４ｔ）となる（整数としては１）暗号文である。
以上の処理により、繰り上がりの有無を２値で表すTLWE暗号文ｃ５、繰り下がりの有無を２値で表すTLWE暗号文ｃ６が得られた。
【0078】
BlindRotateに用いる多項式Ｆ１’（Ｘ）の係数を変更したり、SampleExtract後の暗号文に対するオフセットとしての自明な暗号文の平文を調整したり、TLWE暗号文ｃ５やTLWE暗号文ｃ６に対して追加の演算を行うことにより、応用先に適した任意の２値の暗号文に変換することが出来る。
TLWE暗号文ｃａとTLWE暗号文ｃｂの２つの暗号文を単純に比較する場合、TLWE暗号文ｃａと、平文ｂの符号を反転して－ｂとしたTLWE暗号文ｃｂとに対して上記の演算を行うことで、TLWE暗号文ｃａとTLWE暗号文ｃｂのどちらが大きいかを判断することが出来る。
TLWE暗号文ｃａとTLWE暗号文ｃｂの２つの暗号文を単純に比較する場合、TLWE暗号文ｃａと、平文ｂの符号を反転して－ｂとしたTLWE暗号文ｃｂとに対して上記の演算を行うことで、TLWE暗号文ｃａとTLWE暗号文ｃｂのどちらが大きいかを判断することが出来る。
【0079】
［実施例２］
次に、図３を参照して、［実施例２］として繰り上がり、繰り下がりのフラグとしての情報を持つ暗号文と同時に、平文ａ＋ｂ自体に対応する暗号文（加減算の結果）を得る場合を考える。これは、特に多倍長演算への応用が考えられる。
［実施例２］は、［実施例１］とは使っている定数が異なるだけである。
［実施例１］でｃａ＋ｃｂの準同型加算を行っており、これをそのまま用いることも出来るが、複数の演算を行うためには、階段状多項式によりBootstrappingを行うなどにより途中で誤差の削減を行う必要がある。
しかし、円周群全体を利用している場合、単純に階段状多項式でBootstrappingを行うと負の値の場合に元の値に戻らない。従って、多項式ＦｉｄによりBootstrappingを２回行う必要がある。
２回のBootstrappingとは、下記に説明する負の数を扱う円周群{Ｔ}の左半面の値を上下反転するBootstrapping（１回目）と、反転させた左半面を基に戻すBootstrapping（２回目）である。
次に、図３を参照して、［実施例２］として繰り上がり、繰り下がりのフラグとしての情報を持つ暗号文と同時に、平文ａ＋ｂ自体に対応する暗号文（加減算の結果）を得る場合を考える。これは、特に多倍長演算への応用が考えられる。
［実施例２］は、［実施例１］とは使っている定数が異なるだけである。
［実施例１］でｃａ＋ｃｂの準同型加算を行っており、これをそのまま用いることも出来るが、複数の演算を行うためには、階段状多項式によりBootstrappingを行うなどにより途中で誤差の削減を行う必要がある。
しかし、円周群全体を利用している場合、単純に階段状多項式でBootstrappingを行うと負の値の場合に元の値に戻らない。従って、多項式ＦｉｄによりBootstrappingを２回行う必要がある。
２回のBootstrappingとは、下記に説明する負の数を扱う円周群{Ｔ}の左半面の値を上下反転するBootstrapping（１回目）と、反転させた左半面を基に戻すBootstrapping（２回目）である。
【0080】
多項式ＦｉｄによるBootstrappingを説明する。
暗号処理装置１は、係数を次数の順に見たときに階段状となる１変数多項式の関数（一変数関数）Ｆｉｄ（Ｘ）
を用いて、TLWE暗号文ｃａに対するBootstrapping（１回目）を行い、負の数を扱う円周群{Ｔ}の左半面の値（対応する整数値）を上下反転させた、図１０に示すTLWE暗号文ｃａ１を算出する。
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
暗号処理装置１は、係数を次数の順に見たときに階段状となる１変数多項式の関数（一変数関数）Ｆｉｄ（Ｘ）
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
【0081】
図１０は、TLWE暗号文ｃａ１の平文に対応する円周群{Ｔ}上の値が元のTLWE暗号文ｃａではどの整数値と対応していたのか、もしくはTLWE暗号文ｃａの平文として円周群{Ｔ}上のどこにあるものがTLWE暗号文ｃａ１としてどの整数値に対応させられるかを示している。図１０に示すように、多項式Ｆｉｄを用いたBootstrappingの結果、暗号文ｃａ１では、負の数として使う領域である左半面の並びが、TLWE暗号文ｃａから上下反転している。
多項式Ｆｉｄは、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付与する。多項式Ｆｉｄは、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付与する。
図７に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃａ１において平文整数ａに０．５のオフセットを付与することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分に整数表現に含めて表したものを＋０．５と表現している。
多項式Ｆｉｄは、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付与する。多項式Ｆｉｄは、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付与する。
図７に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃａ１において平文整数ａに０．５のオフセットを付与することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分に整数表現に含めて表したものを＋０．５と表現している。
【0082】
図７（ａ）において円周群{Ｔ}の右半面の区間に平文がある（平文が非負の数である）場合、多項式Ｆｉｄを用いた上記処理の結果、TLWE暗号文ｃａ１の平文整数は、図１０に示すように円周群{Ｔ}の同じスライス（領域）内に留まる。一方、平文が負の数－ｔ～－１であって円周群{Ｔ}の左半面の区間に平文がある場合は、上記処理の結果、TLWE暗号文ｃａ１の平文整数は、図１０に示すように円周群{Ｔ}における「上下」が反転する。
例えば、図７に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃａ１の平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）、整数としては－ｔとなる。
例えば、図７に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃａ１の平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）、整数としては－ｔとなる。
【0083】
TLWE暗号文ｃａ１における平文整数ａが－ｔの場合は、円周群{Ｔ}上の値としては、－ｔ／（２ｔ）＋１／（４ｔ）＝－１／２＋１／（４ｔ）となり、最も－１／２に近いブロックにある。多項式Ｆｉｄの最下位のブロックの項の符号反転したものがBootstrapping（１回目）後のTLWE暗号文ｃａ１として得られるため、TLWE暗号文ｃａ１の平文は、円周群{Ｔ}上の値として－１／（４ｔ）つまり整数として－１となる。
【0084】
図７における右半面は、下から反時計周りに０／（２ｔ）から４／（２ｔ）のスライスに０からｔ－１の整数が割り当てられ、図７（ａ）の場合と平文整数の並びが変わっていない。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図７（ａ）の場合から並びが逆転している。
図１０に示す暗号文ｃａ１において、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図７（ａ）の場合から並びが逆転している。
図１０に示す暗号文ｃａ１において、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
【0085】
図７（ａ）において、例えばTLWE暗号文ｃａが－１の暗号文であった場合、平文は円周群{Ｔ}上の－１／（２ｔ）～０の区間にあった。
上記処理の結果、TLWE暗号文ｃａ１では、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図７（ａ）では整数－ｔ（＝－４）に対応していたが、図１０に示す暗号文ｃａ１では平文整数として元の－１を割り当てている。
図７（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃａ１では、多項式Ｆｉｄの最下位のブロックの項が符号反転して現れる。従って、図１０において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図７（ａ）では整数－１に対応していたが、図１０に示す暗号文ｃａ１では元の暗号文ｃａの平文整数として－ｔ（＝－４）を割り当てている。
このように、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingの前後で割り当てる整数値を同じにした場合、TLWE暗号文ｃａ１の場合には左半面の整数値の並び順が反転すると解釈することができる。
上記処理の結果、TLWE暗号文ｃａ１では、多項式Ｆｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図７（ａ）では整数－ｔ（＝－４）に対応していたが、図１０に示す暗号文ｃａ１では平文整数として元の－１を割り当てている。
図７（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃａ１では、多項式Ｆｉｄの最下位のブロックの項が符号反転して現れる。従って、図１０において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図７（ａ）では整数－１に対応していたが、図１０に示す暗号文ｃａ１では元の暗号文ｃａの平文整数として－ｔ（＝－４）を割り当てている。
このように、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingの前後で割り当てる整数値を同じにした場合、TLWE暗号文ｃａ１の場合には左半面の整数値の並び順が反転すると解釈することができる。
【0086】
一般化すると、平文が非負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃａ１ではａ／（２ｔ）＋１／（４ｔ）となり、平文整数としてはａのままである。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃａ１では－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃａ１では－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
【0087】
この処理の結果、多項式の項に加えた１／（４ｔ）の項によってオフセットが平文に付加されるため、図７のTLWE暗号文ｃａと同様に、図１０のTLWE暗号文ｃａ１においても、円周群の０の位置がスライスの境界となっている。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、TLWE暗号文ｃａ１の平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、TLWE暗号文ｃａ１の平文のスライスと整数の対応は、TLWE暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文の並び自体は、TLWE暗号文ｃａとTLWE暗号文ｃａ１との間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
単純に並びが反転しているだけであるため、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingを２回行うことにより、元の並び順での表現に戻る。つまり平文を円周群{Ｔ}上の値で見たときに同じスライス内に戻ってくることとなる。ただし、平文に加えられている誤差はbootstrappingの性質により十分に軽減された状態となっているため、この処理は円周群の全面を用いる際のbootstrappingとして利用できる。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、TLWE暗号文ｃａ１の平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、TLWE暗号文ｃａ１の平文のスライスと整数の対応は、TLWE暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文の並び自体は、TLWE暗号文ｃａとTLWE暗号文ｃａ１との間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
単純に並びが反転しているだけであるため、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingを２回行うことにより、元の並び順での表現に戻る。つまり平文を円周群{Ｔ}上の値で見たときに同じスライス内に戻ってくることとなる。ただし、平文に加えられている誤差はbootstrappingの性質により十分に軽減された状態となっているため、この処理は円周群の全面を用いる際のbootstrappingとして利用できる。
【0088】
ｔ＝４（２ｔ＝８）である図１０では、暗号文の平文に上記０．５のオフセットが加わっているため、スライスの中央に位置する平文は、円周群{Ｔ}の上（１／２）から左回り（反時計回り）に、－３．５／（２ｔ）、－２．５／（２ｔ）、－１．５／（２ｔ）、－０．５／（２ｔ）、０．５／（２ｔ）、１．５／（２ｔ）、２．５／（２ｔ）、３．５／（２ｔ）である。
これらのスライスに、TLWE暗号文ｃａ１を生成する入力となった暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
これらのスライスに、TLWE暗号文ｃａ１を生成する入力となった暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
【0089】
［実施例２］では、ｍａｎｙＬＵＴと呼ばれる手法を導入することで、上記したＦｉｄによる１回目のBootstrappingを比較演算に組み込み、BlindRotateの回数を削減する。
ｍａｎｙＬＵＴは、共通のTLWE暗号文を用いて、異なるテストベクタ多項式に対するBlindRotateを行う（異なるルックアップテーブルを参照する）処理である。
［実施例１］と同様に、暗号処理装置１は、第１演算部１２にTLWE暗号文ｃａを入力し、TLWE暗号文ｃａを反転した－ｃａに対して、１／（４ｔ）を平文として有する自明な暗号文を準同型加算し、－ｃａ＋（０，１／（４ｔ））に対応するTLWE暗号文ｃａ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’を第１Bootstrapping４１に入力し、暗号文ｃａ’に対して、以下の多項式Ｆ２（Ｘ）
をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１を得る。ただし、通常はTLWE暗号文ｃａ’の各要素を２ｎ倍して四捨五入するところを、２ｎ倍してから最下位ビットが０になるように、その上のビットで四捨五入を行う。これはｍａｎｙＬＵＴで行う通常の処理であり、BlindRotateの前後で平文多項式の各々の項が巡回する際に、少なくとも次数の偶奇は変化しないようにするための処理である。
多項式Ｆ２（Ｘ）は、［実施例１］の多項式Ｆ１（Ｘ）とは異なり奇数次数の係数が０であり、奇数次数の項がない多項式となっている。これは、ｍａｎｙＬＵＴを行うために、指数部の偶奇によって持たせる値を変えているからである。
ｍａｎｙＬＵＴは、共通のTLWE暗号文を用いて、異なるテストベクタ多項式に対するBlindRotateを行う（異なるルックアップテーブルを参照する）処理である。
［実施例１］と同様に、暗号処理装置１は、第１演算部１２にTLWE暗号文ｃａを入力し、TLWE暗号文ｃａを反転した－ｃａに対して、１／（４ｔ）を平文として有する自明な暗号文を準同型加算し、－ｃａ＋（０，１／（４ｔ））に対応するTLWE暗号文ｃａ’を得る。
暗号処理装置１は、TLWE暗号文ｃａ’を第１Bootstrapping４１に入力し、暗号文ｃａ’に対して、以下の多項式Ｆ２（Ｘ）
多項式Ｆ２（Ｘ）は、［実施例１］の多項式Ｆ１（Ｘ）とは異なり奇数次数の係数が０であり、奇数次数の項がない多項式となっている。これは、ｍａｎｙＬＵＴを行うために、指数部の偶奇によって持たせる値を変えているからである。
【0090】
暗号処理装置１は、第２演算部１３にTRLWE暗号文ｒ１１を入力し、TRLWE暗号文ｒ１１を２倍して、さらに下記の多項式Ｆ３（Ｘ）
を平文として有する自明な暗号文（０，Ｆ３（Ｘ））を準同型加算し、ｒ１１×２＋（０，Ｆ３（Ｘ））に対応するTRLWE暗号文ｒ１１’を得る。
暗号処理装置１は、第３演算部１４にTLWE暗号文ｃａとTLWE暗号文ｃｂを入力し、TLWE暗号文ｃａにTLWE暗号文ｃｂを準同型加算し、自明な暗号文（０，１／（４ｔ））を準同型減算しTLWE暗号文ｃｃ’を得る。
暗号処理装置１は、第２Bootstrapping部４２に暗号文ｃｃ’を入力し、暗号文ｃｃ’に対してTRLWE暗号文ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を得る。ここで、通常は各係数を２ｎ倍して四捨五入するところ、さらに最下位のビットが０になるように調整をする。つまり、要約すると２ｎ倍して最下位ビットとなる位置で四捨五入を行う。例えばｎ倍して四捨五入してから、追加で２倍すればよい。これはｍａｎｙＬＵＴで行う通常の処理である。
そして、暗号処理装置１は、TRLWE暗号文ｒ２’に対して０の位置でSampleExtractを行うことにより、TRLWE暗号文ｒ２’の０次の項（定数項）の係数を取り出し、TLWE暗号文ｃ３’を得る。
なお、第３演算部１４によるTLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型演算を行う必要がなく、TLWE暗号文ｃａと同じ平文を有するTLWE暗号文ｃｃ’を用いることもある。その場合、TLWE暗号文ｃｃ’に対する第２Bootstrapping部４２によるBlindRotateは、TLWE暗号文ｃａに対するBlindRotateと見なすことが出来る。
暗号処理装置１は、第３演算部１４にTLWE暗号文ｃａとTLWE暗号文ｃｂを入力し、TLWE暗号文ｃａにTLWE暗号文ｃｂを準同型加算し、自明な暗号文（０，１／（４ｔ））を準同型減算しTLWE暗号文ｃｃ’を得る。
暗号処理装置１は、第２Bootstrapping部４２に暗号文ｃｃ’を入力し、暗号文ｃｃ’に対してTRLWE暗号文ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を得る。ここで、通常は各係数を２ｎ倍して四捨五入するところ、さらに最下位のビットが０になるように調整をする。つまり、要約すると２ｎ倍して最下位ビットとなる位置で四捨五入を行う。例えばｎ倍して四捨五入してから、追加で２倍すればよい。これはｍａｎｙＬＵＴで行う通常の処理である。
そして、暗号処理装置１は、TRLWE暗号文ｒ２’に対して０の位置でSampleExtractを行うことにより、TRLWE暗号文ｒ２’の０次の項（定数項）の係数を取り出し、TLWE暗号文ｃ３’を得る。
なお、第３演算部１４によるTLWE暗号文ｃａとTLWE暗号文ｃｂとの準同型演算を行う必要がなく、TLWE暗号文ｃａと同じ平文を有するTLWE暗号文ｃｃ’を用いることもある。その場合、TLWE暗号文ｃｃ’に対する第２Bootstrapping部４２によるBlindRotateは、TLWE暗号文ｃａに対するBlindRotateと見なすことが出来る。
【0091】
［実施例１］と同様に、暗号処理装置１は、第１Bootstrapping部４１によるBlindRotateの出力となるTRLWE暗号文ｒ１１に対して定数多項式Ｆ３（Ｘ）の加算を行ってから、再度第２Bootstrapping部４２によるBlindRotateを行っている。定数多項式Ｆ３（Ｘ）を加算したTRLWE暗号文ｒ１１’は、ｍａｎｙＬＵＴを行うために、偶数次と奇数次で性質が異なっている。
多項式Ｆ２（Ｘ）は、奇数次数の係数がすべて０であるため、第１Bootstrapping部４１よるBlindRotateでどれだけ係数を巡回させても、TRLWE暗号文ｒ１１の段階では、奇数次数すべての係数は０である。TRLWE暗号文ｒ１１’において、TRLWE暗号文ｒ１１に定数多項式Ｆ３（Ｘ）を加算するとき、TRLWE暗号文ｒ１１の奇数次数項の係数の値に、多項式Ｆ３（Ｘ）の奇数次数の項の係数の値を加算する。
０に対する加算であり、TRLWE暗号文ｒ１１’の奇数次数の項では、多項式Ｆ３（Ｘ）の奇数次数の係数の値が設定される。この奇数次に加えている係数は、上記した多項式Ｆｉｄと同じである。すなわち、TRLWE暗号文ｒ１１’の奇数次数の項の係数は、多項式Ｆｉｄの奇数次数の項の係数である。
多項式Ｆ２（Ｘ）は、奇数次数の係数がすべて０であるため、第１Bootstrapping部４１よるBlindRotateでどれだけ係数を巡回させても、TRLWE暗号文ｒ１１の段階では、奇数次数すべての係数は０である。TRLWE暗号文ｒ１１’において、TRLWE暗号文ｒ１１に定数多項式Ｆ３（Ｘ）を加算するとき、TRLWE暗号文ｒ１１の奇数次数項の係数の値に、多項式Ｆ３（Ｘ）の奇数次数の項の係数の値を加算する。
０に対する加算であり、TRLWE暗号文ｒ１１’の奇数次数の項では、多項式Ｆ３（Ｘ）の奇数次数の係数の値が設定される。この奇数次に加えている係数は、上記した多項式Ｆｉｄと同じである。すなわち、TRLWE暗号文ｒ１１’の奇数次数の項の係数は、多項式Ｆｉｄの奇数次数の項の係数である。
【0092】
暗号処理装置１は、第２Bootstrapping部４２によって、ｃａ＋ｃｂに基づく共通のTLWE暗号文ｃｃ’に対して、TRLWE暗号文ｒ１１’の奇数次数に対するBlindRotateと、偶数次数に対するBlindRotateと、を同時に行う。奇数次側は多項式Ｆｉｄによる処理となり、偶数次数側は、多項式Ｆ２（Ｘ）の偶数次による処理となる。
多項式Ｆ２（Ｘ）において、０とするのは、偶数次の係数であってもよく、その場合は、上記と異なり、Ｆｉｄの係数をＦ２（Ｘ）の偶数次側に加算するように多項式Ｆ３（Ｘ）を構成することになる。
本実施形態では、ｍａｎｙＬＵＴを行うテストベクタ多項式の偶数次数、奇数次数の項のどちらかを係数０としていることで、係数の０とした方の次数について前半のBlindRotate（第１Bootstrapping４１によるBlindRotate）による影響を無視することが出来る。０の列をどれだけ巡回させても変化がないからである。そして、後から階段状など特徴を持つテストベクタ多項式を加算することで、後半のBlindRotate（第２Bootstrapping４２によるBlindRotate）によってｃａ＋ｃｂによるBlindRotateの影響のみを受けた結果を得ることができる。これは、ｍａｎｙＬＵＴでは偶数次数、奇数次数の項を用いて別の演算を同時に行うことができるためである。
多項式Ｆ２（Ｘ）において、０とするのは、偶数次の係数であってもよく、その場合は、上記と異なり、Ｆｉｄの係数をＦ２（Ｘ）の偶数次側に加算するように多項式Ｆ３（Ｘ）を構成することになる。
本実施形態では、ｍａｎｙＬＵＴを行うテストベクタ多項式の偶数次数、奇数次数の項のどちらかを係数０としていることで、係数の０とした方の次数について前半のBlindRotate（第１Bootstrapping４１によるBlindRotate）による影響を無視することが出来る。０の列をどれだけ巡回させても変化がないからである。そして、後から階段状など特徴を持つテストベクタ多項式を加算することで、後半のBlindRotate（第２Bootstrapping４２によるBlindRotate）によってｃａ＋ｃｂによるBlindRotateの影響のみを受けた結果を得ることができる。これは、ｍａｎｙＬＵＴでは偶数次数、奇数次数の項を用いて別の演算を同時に行うことができるためである。
【0093】
図１１は、偶数次に関して、TLWE暗号文ｃａの平文ａが整数として非負（ａ≧０）のとき、ｃａ＋ｃｂによって得られるTLWE暗号文ｃ３’の平文がどのように選択されるかを示している。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として非負の場合、図１１に示すように平文ａは円周群{Ｔ}の右半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して円周群{Ｔ}上でTLWE暗号文ｃｂを準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、反時計回りで、円周群{Ｔ}上の０．５を超えて左半面に至る場合、繰り上がりが発生する。その場合、図１１に示すように、TLWE暗号文ｃ３’の平文φ（ｃ３’）は－１／３２－１／８となる。
平文ａが円周群{Ｔ}の右半面にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはないため、繰り上がる量が多すぎてTLWE暗号文ｃ３’の平文φ（ｃ３’）が０となることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として非負の場合、図１１に示すように平文ａは円周群{Ｔ}の右半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して円周群{Ｔ}上でTLWE暗号文ｃｂを準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、反時計回りで、円周群{Ｔ}上の０．５を超えて左半面に至る場合、繰り上がりが発生する。その場合、図１１に示すように、TLWE暗号文ｃ３’の平文φ（ｃ３’）は－１／３２－１／８となる。
平文ａが円周群{Ｔ}の右半面にあれば、φ（ｃａ＋ｃｂ）、すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）の境界を超えることはないため、繰り上がる量が多すぎてTLWE暗号文ｃ３’の平文φ（ｃ３’）が０となることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。
【0094】
図１２は、偶数次に関して、TLWE暗号文ｃａの平文ａが整数として負（ａ＜０）のとき、ｃａ＋ｃｂによって得られるTLWE暗号文ｃ３’の平文がどのように選択されるかを示している。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として負の場合、図１２に示すように平文ａは円周群{Ｔ}の左半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して円周群{Ｔ}上でTLWE暗号文ｃｂを準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、時計回りで、円周群{Ｔ}上の０．５を超えて右半面に至る場合、繰り下がりが発生する。その場合、図１２に示すように、暗号文ｃ３’の平文φ（ｃ３’）は１／３２＋１／８となる。
平文ａが円周群{Ｔ}の左半面の区間にあれば、φ（ｃａ＋ｃｂ）すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）を超えることはないため、繰り下がる量が多すぎてTLWE暗号文ｃ３’の平文φ（ｃ３’）が０となることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。
TLWE暗号文ｃａの平文ａ（円周群{Ｔ}上の値がａ／（２ｔ））が整数として負の場合、図１２に示すように平文ａは円周群{Ｔ}の左半面の区間に存在する。
そのようなTLWE暗号文ｃａに対して円周群{Ｔ}上でTLWE暗号文ｃｂを準同型加算した暗号文ｃａ＋ｃｂの平文ａ＋ｂが、時計回りで、円周群{Ｔ}上の０．５を超えて右半面に至る場合、繰り下がりが発生する。その場合、図１２に示すように、暗号文ｃ３’の平文φ（ｃ３’）は１／３２＋１／８となる。
平文ａが円周群{Ｔ}の左半面の区間にあれば、φ（ｃａ＋ｃｂ）すなわち平文ａ＋ｂが時計回りにも反時計回りにも０．５＋ａ／（２ｔ）を超えることはないため、繰り下がる量が多すぎてTLWE暗号文ｃ３’の平文φ（ｃ３’）が０となることはない。平文ａ＋ｂは、ａ／（２ｔ）を基準としてみたときに±０．５の範囲に必ず収まるためである。
【0095】
TLWE暗号文ｃ３’の平文φ（ｃ３’）として得られる可能性がある値は、多項式Ｆ１（Ｘ）と多項式Ｆ３（Ｘ）で用いた１／３２と１／８の加算減算で得られるすべての組み合わせの値（夫々が正・負の場合で４通り）が得られる。
TLWE暗号文ｃ３’の平文φ（ｃ３’）は、±１／８と±１／３２の和から得られるすべての組み合わせの中から何れか１つが選ばれる。得られる値の種類が多いことは、TLWE暗号文ｃ３’から多くの情報が得られることを意味しており、効率的に計算を行う上で重要である。
TLWE暗号文ｃ３’の平文φ（ｃ３’）は、±１／８と±１／３２の和から得られるすべての組み合わせの中から何れか１つが選ばれる。得られる値の種類が多いことは、TLWE暗号文ｃ３’から多くの情報が得られることを意味しており、効率的に計算を行う上で重要である。
【0096】
［実施例２］において、第１Bootstrapping部４１による多項式Ｆ２（Ｘ）をテストベクタとした１回目のBlindRotateで得られたTRLWE暗号文ｒ１１に対して多項式Ｆ３を（Ｘ）準同型加算（ｒ１１×２＋（０，Ｆ３（Ｘ））し、これを、第２Bootstrapping部４２による２回目のBlindRotateにおけるテストベクタ多項式からなる自明な暗号文の代わり（回転される側）として用いる。
途中の第２演算部１３による準同型加減算がなければ、BlindRotateの回転する量としてのTLWE暗号文を加減算するのみで済ませても同一の結果が得られる上、より高速である。しかし、その場合、多項式Ｆ２（Ｘ）が全係数の値が同じ「フラットな多項式」である場合は、２種類の値しか得ることが出来ない。
それに対して、本実施形態では、途中で多項式Ｆ３（Ｘ）を加算することで、テストベクタとしての多項式Ｆ２（Ｘ）、Ｆ３（Ｘ）が何れもフラットな多項式であっても、図１１、図１２に夫々示すような４種類の平文を取得しうる。
すなわち、BlindRotate→準同型加減算→BlindRotateと処理を行ったときは、２２＝４種類の平文を取得しうる。
さらに、BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotateと処理を行ったときは、多項式がフラットであっても、２３＝８種類などより多くの平文を取得しうる。
BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotateなどと準同型加減算を介してBlindRotateを繰り返すことでより多くの平文を取得可能な暗号文を算出することが出来る。
途中の第２演算部１３による準同型加減算がなければ、BlindRotateの回転する量としてのTLWE暗号文を加減算するのみで済ませても同一の結果が得られる上、より高速である。しかし、その場合、多項式Ｆ２（Ｘ）が全係数の値が同じ「フラットな多項式」である場合は、２種類の値しか得ることが出来ない。
それに対して、本実施形態では、途中で多項式Ｆ３（Ｘ）を加算することで、テストベクタとしての多項式Ｆ２（Ｘ）、Ｆ３（Ｘ）が何れもフラットな多項式であっても、図１１、図１２に夫々示すような４種類の平文を取得しうる。
すなわち、BlindRotate→準同型加減算→BlindRotateと処理を行ったときは、２２＝４種類の平文を取得しうる。
さらに、BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotateと処理を行ったときは、多項式がフラットであっても、２３＝８種類などより多くの平文を取得しうる。
BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotate→準同型加減算→BlindRotateなどと準同型加減算を介してBlindRotateを繰り返すことでより多くの平文を取得可能な暗号文を算出することが出来る。
【0097】
TLWE暗号文ｃ３’は、繰り上がり、繰り下がりの有無に応じた平文を有し、繰り上がり、繰り下がりのフラグとなり得る暗号文である。
ただしTLWE暗号文ｃａを復号しない限り平文ａの値を知り得ないので、ここまでの情報だけではTLWE暗号文ｃ３’からは、平文ａが円周群{Ｔ}の右半面の区間にあるか円周群{Ｔ}の左半面の区間にあるかを特定することが出来ない。平文ａが円周群{Ｔ}の右半面の区間にあるか円周群{Ｔ}の左半面の区間にあるかを表す暗号文が必要である。
図３に戻り、暗号処理装置１は、第１Bootstrapping４１により、ｎ－２の位置でTRLWE暗号文ｒ１１に対してSampleExtractを行い、偶数次のうち最上位の項であるｎ－２次の項の係数を取り出し、TLWE暗号文ｃ２’を得る。
TLWE暗号文ｃ２’は、－ｃａを用いてすべての項の係数が－１／３２である上記Ｆ２（Ｘ）をBlindRotateしたTRLWE暗号文ｒ１１から抽出された暗号文であるため、上記多項式Ｆ２（Ｘ）を次数の低い方向に－ａだけ回転させた暗号文である。換言すると、TLWE暗号文ｃ２’は、上記多項式Ｆ２（Ｘ）を次数の高い方向にａだけ回転させている。
平文整数ａ≧０つまりTLWE暗号文ｃａの平文φ（ｃａ）が円周群の右半面の区間に位置する場合には、TLWE暗号文ｃ２’は、Ｆ２（Ｘ）の係数である－１／３２がそのまま平文となる。
平文整数ａ＜０つまりφ（ｃａ）が円周群の左半面の区間に位置する場合、TLWE暗号文ｃ２’は、Ｆ２（Ｘ）の係数である－１／３２の符号を反転させた１／３２が平文となる。
このようなTLWE暗号文ｃ２’は、TLWE暗号文ｃａの平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかの情報を平文として有する暗号文である。
ただしTLWE暗号文ｃａを復号しない限り平文ａの値を知り得ないので、ここまでの情報だけではTLWE暗号文ｃ３’からは、平文ａが円周群{Ｔ}の右半面の区間にあるか円周群{Ｔ}の左半面の区間にあるかを特定することが出来ない。平文ａが円周群{Ｔ}の右半面の区間にあるか円周群{Ｔ}の左半面の区間にあるかを表す暗号文が必要である。
図３に戻り、暗号処理装置１は、第１Bootstrapping４１により、ｎ－２の位置でTRLWE暗号文ｒ１１に対してSampleExtractを行い、偶数次のうち最上位の項であるｎ－２次の項の係数を取り出し、TLWE暗号文ｃ２’を得る。
TLWE暗号文ｃ２’は、－ｃａを用いてすべての項の係数が－１／３２である上記Ｆ２（Ｘ）をBlindRotateしたTRLWE暗号文ｒ１１から抽出された暗号文であるため、上記多項式Ｆ２（Ｘ）を次数の低い方向に－ａだけ回転させた暗号文である。換言すると、TLWE暗号文ｃ２’は、上記多項式Ｆ２（Ｘ）を次数の高い方向にａだけ回転させている。
平文整数ａ≧０つまりTLWE暗号文ｃａの平文φ（ｃａ）が円周群の右半面の区間に位置する場合には、TLWE暗号文ｃ２’は、Ｆ２（Ｘ）の係数である－１／３２がそのまま平文となる。
平文整数ａ＜０つまりφ（ｃａ）が円周群の左半面の区間に位置する場合、TLWE暗号文ｃ２’は、Ｆ２（Ｘ）の係数である－１／３２の符号を反転させた１／３２が平文となる。
このようなTLWE暗号文ｃ２’は、TLWE暗号文ｃａの平文ａが円周群{Ｔ}上の右半面の区間にあるか、円周群{Ｔ}上の左半面の区間にあるかの情報を平文として有する暗号文である。
【0098】
暗号処理装置１は、第３演算部１５にTLWE暗号文ｃ２’、TLWE暗号文ｃ３’を入力してｃ３’＋２×ｃ２’を計算し、TLWE暗号文ｃ４’を得る。これは通常の準同型スカラ倍と準同型加算によって可能である。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の左半面の区間にある場合、TLWE暗号文ｃ２’の平文は１／３２、またａ＋ｂに繰り下がりがある場合、TLWE暗号文ｃ３’の平文は１／３２＋１／８であるので、TLWE暗号文ｃ４’の平文は、（１／３２＋１／８）＋（１／３２）×２から７／３２である。TLWE暗号文ｃ４’において、TLWE暗号文ｃ３’の平文の値が円周群{Ｔ}のプラスの方向に１／１６ずれる。従って、平文ａが円周群{Ｔ}の左半面の区間にありかつ繰り下がりがある場合にのみ、TLWE暗号文ｃ４’の平文φ（ｃ４’）は７／３２となる。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の右半面の区間にある場合、TLWE暗号文ｃ２’の平文は－１／３２、またａ＋ｂに繰り上がりがある場合、TLWE暗号文ｃ３’の平文は－１／３２－１／８であるので、TLWE暗号文ｃ４’の平文は、（－１／３２－１／８）＋（１／３２）×２から－７／３２である。TLWE暗号文ｃ４’において、暗号文ｃ３’の平文の値が円周群{Ｔ}のマイナスの方向に１／１６ずれる。従って、平文ａが円周群{Ｔ}の右半面の区間にありかつ繰り上がりがある場合にのみ、TLWE暗号文ｃ４’の平文φ（ｃ４’）は－７／３２となる。
平文ａが円周群{Ｔ}の右半面の区間にあり整数として０である場合には繰り上がりも繰り下がりも発生せず、また平文ａが円周群{Ｔ}の左半面の区間にある場合に繰り上がりが発生したり、平文ａが円周群{Ｔ}の右半面の区間にある場合に繰り下がりが発生したりすることもない。
また、上述の通り、TLWE暗号文ｃａの平文ａが円周群の左半面の区間にあるか右半面の区間にあるかによって、暗号文ｃ３’の平文の値がそれぞれ逆の方向に１／１６ずれる。
以上より、平文ａ＋ｂに繰り下がりがある場合は、例えば、TLWE暗号文ｃ４’の平文φ（ｃ４’）が７／３２となり、繰り上がりがある場合は、TLWE暗号文ｃ４’の平文φ（ｃ４’）が－７／３２となる。それ以外では、－５／３２、－３／３２、－１／３２、１／３２、３／３２、５／３２のいずれかとなり、－７／３２や７／３２になることはない。
すなわち、TLWE暗号文ｃ４’は、その平文φ（ｃ４’）の値で、ｃａ＋ｃｂによる繰り上がりの有無、繰り下がりの有無が判別可能な暗号文である。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の左半面の区間にある場合、TLWE暗号文ｃ２’の平文は１／３２、またａ＋ｂに繰り下がりがある場合、TLWE暗号文ｃ３’の平文は１／３２＋１／８であるので、TLWE暗号文ｃ４’の平文は、（１／３２＋１／８）＋（１／３２）×２から７／３２である。TLWE暗号文ｃ４’において、TLWE暗号文ｃ３’の平文の値が円周群{Ｔ}のプラスの方向に１／１６ずれる。従って、平文ａが円周群{Ｔ}の左半面の区間にありかつ繰り下がりがある場合にのみ、TLWE暗号文ｃ４’の平文φ（ｃ４’）は７／３２となる。
TLWE暗号文ｃａの平文ａが円周群{Ｔ}の右半面の区間にある場合、TLWE暗号文ｃ２’の平文は－１／３２、またａ＋ｂに繰り上がりがある場合、TLWE暗号文ｃ３’の平文は－１／３２－１／８であるので、TLWE暗号文ｃ４’の平文は、（－１／３２－１／８）＋（１／３２）×２から－７／３２である。TLWE暗号文ｃ４’において、暗号文ｃ３’の平文の値が円周群{Ｔ}のマイナスの方向に１／１６ずれる。従って、平文ａが円周群{Ｔ}の右半面の区間にありかつ繰り上がりがある場合にのみ、TLWE暗号文ｃ４’の平文φ（ｃ４’）は－７／３２となる。
平文ａが円周群{Ｔ}の右半面の区間にあり整数として０である場合には繰り上がりも繰り下がりも発生せず、また平文ａが円周群{Ｔ}の左半面の区間にある場合に繰り上がりが発生したり、平文ａが円周群{Ｔ}の右半面の区間にある場合に繰り下がりが発生したりすることもない。
また、上述の通り、TLWE暗号文ｃａの平文ａが円周群の左半面の区間にあるか右半面の区間にあるかによって、暗号文ｃ３’の平文の値がそれぞれ逆の方向に１／１６ずれる。
以上より、平文ａ＋ｂに繰り下がりがある場合は、例えば、TLWE暗号文ｃ４’の平文φ（ｃ４’）が７／３２となり、繰り上がりがある場合は、TLWE暗号文ｃ４’の平文φ（ｃ４’）が－７／３２となる。それ以外では、－５／３２、－３／３２、－１／３２、１／３２、３／３２、５／３２のいずれかとなり、－７／３２や７／３２になることはない。
すなわち、TLWE暗号文ｃ４’は、その平文φ（ｃ４’）の値で、ｃａ＋ｃｂによる繰り上がりの有無、繰り下がりの有無が判別可能な暗号文である。
【0099】
また、図１１および図１２を総合すると、TLWE暗号文ｃａの平文ａが円周群{Ｔ}の左半面の区間にある場合と平文ａが右半面の区間にある場合のいずれの場合であっても、TLWE暗号文ｃ３’の平文は、ａ＋ｂの結果が円周群{Ｔ}上の右半面であれば±１／３２＋１／８の２値のどちらかであり、左半面であれば±１／３２－１／８の２値のどちらかである。
さらに、平文ａの値によって±１／１６が加わるため、TLWE暗号文ｃ４’の平文φ（ｃ４’）は、ａ＋ｂが円周群{Ｔ}の右半面の区間にあれば±１／３２±１／１６＋１／８のいずれかの値であり、ａ＋ｂが円周群{Ｔ}の左半面の区間にあれば±１／３２±１／１６－１／８のいずれかの値である。
ここで、±１／３２±１／１６＋１／８は全て０より大きく、±１／３２±１／１６－１／８は全て０より小さい。
以上より、φ（ｃ４’）＞０である場合はａ＋ｂが円周群{Ｔ}の右半面の区間にある。反対にφ（ｃ４’）＜０である場合はａ＋ｂが円周群{Ｔ}の左半面の区間にある。
すなわち、TLWE暗号文ｃ４’は、その平文φ（ｃ４’）の値で、ａ＋ｂの結果が円周群上円周群{Ｔ}上の右半面側と左側の半面のどちら側の区間に存在するのかを判別可能な暗号文でもある。
さらに、平文ａの値によって±１／１６が加わるため、TLWE暗号文ｃ４’の平文φ（ｃ４’）は、ａ＋ｂが円周群{Ｔ}の右半面の区間にあれば±１／３２±１／１６＋１／８のいずれかの値であり、ａ＋ｂが円周群{Ｔ}の左半面の区間にあれば±１／３２±１／１６－１／８のいずれかの値である。
ここで、±１／３２±１／１６＋１／８は全て０より大きく、±１／３２±１／１６－１／８は全て０より小さい。
以上より、φ（ｃ４’）＞０である場合はａ＋ｂが円周群{Ｔ}の右半面の区間にある。反対にφ（ｃ４’）＜０である場合はａ＋ｂが円周群{Ｔ}の左半面の区間にある。
すなわち、TLWE暗号文ｃ４’は、その平文φ（ｃ４’）の値で、ａ＋ｂの結果が円周群上円周群{Ｔ}上の右半面側と左側の半面のどちら側の区間に存在するのかを判別可能な暗号文でもある。
【0100】
暗号処理装置１は、TLWE暗号文ｃ４’を第３Bootstrapping４３に入力し、TLWE暗号文ｃ４’に対して、下記の多項式Ｆ２’（Ｘ）
をテストベクタ多項式としてBlindRotateを行い、TRLWE暗号文ｒ３’を算出する。
【0101】
次に、暗号処理装置１は、TRLWE暗号文ｒ３’に対するSampleExtractを、円周群{Ｔ}の複数個所（２ｎ×３／１６、２ｎ×１３／１６、０）で行い、暗号文ｃｄ’、ｃｅ’、ｃｆを取り出す。
そして暗号処理装置１は、暗号文ｃｄ’、ｃｅ’、ｃｆを第５演算部１６に入力してｃｄ’、ｃｅ’、ｃｆに自明な暗号文（０，１／（２ｔ））を準同型加算し、TLWE暗号文ｃ５、TLWE暗号文ｃ６、TLWE暗号文ｃ７を夫々算出する。
２ｎ×３／１６の位置でのSampleExtractで取り出したTLWE暗号文ｃｄ’に（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ５である。
２ｎ×１３／１６の位置でのSampleExtractで取り出したTLWE暗号文ｃｅ’に（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ６である。
０の位置でのSampleExtractで取り出したTLWE暗号文ｃｆに（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ７である。
そして暗号処理装置１は、暗号文ｃｄ’、ｃｅ’、ｃｆを第５演算部１６に入力してｃｄ’、ｃｅ’、ｃｆに自明な暗号文（０，１／（２ｔ））を準同型加算し、TLWE暗号文ｃ５、TLWE暗号文ｃ６、TLWE暗号文ｃ７を夫々算出する。
２ｎ×３／１６の位置でのSampleExtractで取り出したTLWE暗号文ｃｄ’に（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ５である。
２ｎ×１３／１６の位置でのSampleExtractで取り出したTLWE暗号文ｃｅ’に（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ６である。
０の位置でのSampleExtractで取り出したTLWE暗号文ｃｆに（０，１／（２ｔ））を加算した暗号文がTLWE暗号文ｃ７である。
【0102】
暗号文ｃ５は、繰り上がりがある場合にφ（ｃ５）が１／（４ｔ）（整数としては０）となり、繰り上がりがない場合に１／（２ｔ）＋１／（４ｔ）（整数としては１）となる暗号文である。
暗号文ｃ６は、繰り下がりがある場合にφ（ｃ６）が１／（４ｔ）（整数としては０）、繰り下がりがない場合に１／（２ｔ）＋１／（４ｔ）（整数としては１）となる暗号文である。
暗号文ｃ７は、ａ＋ｂが円周群{Ｔ}の左半面の区間にある場合にφ（ｃ７）が１／（４ｔ）（整数としては０）となり、ａ＋ｂが円周群{Ｔ}上の右半面の区間にある場合に１／（２ｔ）＋１／（４ｔ）（整数としては１）となる暗号文である。
暗号処理装置１は、暗号文ｃ５、暗号文ｃ６、暗号文ｃ７を算出することにより、－７／３２との比較（繰り上がりがあるか否か）、７／３２との比較（繰り下がりがあるか否か）、ａ＋ｂが円周群{Ｔ}の右半面と左半面のどちらの区間にあるかの判定、を１回のBlindRotateで同時に行う。
暗号文ｃ６は、繰り下がりがある場合にφ（ｃ６）が１／（４ｔ）（整数としては０）、繰り下がりがない場合に１／（２ｔ）＋１／（４ｔ）（整数としては１）となる暗号文である。
暗号文ｃ７は、ａ＋ｂが円周群{Ｔ}の左半面の区間にある場合にφ（ｃ７）が１／（４ｔ）（整数としては０）となり、ａ＋ｂが円周群{Ｔ}上の右半面の区間にある場合に１／（２ｔ）＋１／（４ｔ）（整数としては１）となる暗号文である。
暗号処理装置１は、暗号文ｃ５、暗号文ｃ６、暗号文ｃ７を算出することにより、－７／３２との比較（繰り上がりがあるか否か）、７／３２との比較（繰り下がりがあるか否か）、ａ＋ｂが円周群{Ｔ}の右半面と左半面のどちらの区間にあるかの判定、を１回のBlindRotateで同時に行う。
【0103】
以上の処理により、繰り上がりの有無を２値で表すTLWE暗号文ｃ５、繰り下がりの有無を２値で表すTLWE暗号文ｃ６、ａ＋ｂが円周群{Ｔ}の右半面と左半面のどちらの区間にあるか２値で表す暗号文ｃ７が得られた。
BlindRotateに用いるＦ２’（Ｘ）の係数を変更したり、SampleExtract後の暗号文に対するオフセットとしての自明な暗号文の平文を調整したり、TLWE暗号文ｃ５やTLWE暗号文ｃ６、TLWE暗号文ｃ７に対して追加の演算を行うことにより、応用先に適した任意の２値の暗号文に変換することが出来る。
さらに、暗号処理装置１は、TRLWE暗号文ｒ２’に対してSampleExtractを行って１次の項の係数を取り出し、そのTLWE暗号文を第４Bootstrapping部４２に入力し、多項式Ｆｉｄ（Ｘ）をテストベクタ多項式としてBootstrapping（２回目のBlindRotate）することにより、TLWE暗号文ｃ９が得られる。これにより、負の数についての平文φ（ｃ９）＝ａ＋ｂに正しく対応するTLWE暗号文ｃ９を、追加の計算量をあまり増やさずに得られる。
BlindRotateに用いるＦ２’（Ｘ）の係数を変更したり、SampleExtract後の暗号文に対するオフセットとしての自明な暗号文の平文を調整したり、TLWE暗号文ｃ５やTLWE暗号文ｃ６、TLWE暗号文ｃ７に対して追加の演算を行うことにより、応用先に適した任意の２値の暗号文に変換することが出来る。
さらに、暗号処理装置１は、TRLWE暗号文ｒ２’に対してSampleExtractを行って１次の項の係数を取り出し、そのTLWE暗号文を第４Bootstrapping部４２に入力し、多項式Ｆｉｄ（Ｘ）をテストベクタ多項式としてBootstrapping（２回目のBlindRotate）することにより、TLWE暗号文ｃ９が得られる。これにより、負の数についての平文φ（ｃ９）＝ａ＋ｂに正しく対応するTLWE暗号文ｃ９を、追加の計算量をあまり増やさずに得られる。
【0104】
［実施例３］
［実施例１］、［実施例２］では、ａ＋ｂを多倍長整数の加算に応用することを前提としてきた。
［実施例１］の変形としての［実施例３］では、多倍長整数の減算で必要となる、分割要素単位での減算に応用する場合を考える。
TLWE暗号文ｃｂの平文の符号を反転させることは準同型な演算として可能であるため、暗号文ｃｂは符号を反転させた暗号文－ｃｂとする。
本実施形態では、円周群を分割した各スライスと整数との対応付けの都合上０．５のオフセットを付けている。従って、０．５のオフセットに対応する自明な暗号文（０，１／（４ｔ））を準同型演算する調整が必要となる。
［実施例１］、［実施例２］では、ａ＋ｂを多倍長整数の加算に応用することを前提としてきた。
［実施例１］の変形としての［実施例３］では、多倍長整数の減算で必要となる、分割要素単位での減算に応用する場合を考える。
TLWE暗号文ｃｂの平文の符号を反転させることは準同型な演算として可能であるため、暗号文ｃｂは符号を反転させた暗号文－ｃｂとする。
本実施形態では、円周群を分割した各スライスと整数との対応付けの都合上０．５のオフセットを付けている。従って、０．５のオフセットに対応する自明な暗号文（０，１／（４ｔ））を準同型演算する調整が必要となる。
【0105】
暗号処理装置１は、暗号文ｃａを反転した暗号文－ｃａに対して、自明な暗号文（０，１／（４ｔ））を準同型減算し、－ｃａ－（０，１／（４ｔ））に対応する暗号文暗号文ｃａ’を得る。
そして、暗号処理装置１は、暗号文ｃａ’に対して、［実施例１］と同じ多項式Ｆ１（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１を得る。
そして、暗号処理装置１は、暗号文ｃａ’に対して、［実施例１］と同じ多項式Ｆ１（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１を得る。
【0106】
次に、暗号処理装置１は、TRLWE暗号文ｒ１から多項式Ｆ１（Ｘ）を平文とする自明な暗号文（０，Ｆ１（Ｘ））を準同型減算して、（ｒ１－（０，Ｆ１（Ｘ））に対応する新たなTRLWE暗号文ｒ１’を得る。
暗号処理装置１は、暗号文ｃａから暗号文ｃｂを準同型減算し、自明な暗号文（０，１／（４ｔ））を準同型加算し、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文ｃｃを得る。
暗号処理装置１は、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文を用いて、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を得る。
暗号処理装置１は、０の位置でSampleExtractを行い、TRLWE暗号文ｒ２の０次の項（定数項）の係数を取り出してTLWE暗号文ｃ３を得る。これ以降は、上記［実施例１］と同じである。
［実施例３］によれば、１暗号文同士でのａとｂの比較において、TLWE暗号文ｃ５、ｃ６によって、ａ－ｂによる繰り上がりの有無、繰り下がりの有無が分かる。
従って、ａ－ｂが繰り上がる場合（例えば（ｔ－１）－（－ｔ）＝２ｔ－１）と、繰り下がる場合（例えば（－ｔ）－（ｔ－１）＝－２ｔ＋１）と、を検知することが出来る。
暗号処理装置１は、暗号文ｃａから暗号文ｃｂを準同型減算し、自明な暗号文（０，１／（４ｔ））を準同型加算し、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文ｃｃを得る。
暗号処理装置１は、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文を用いて、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を得る。
暗号処理装置１は、０の位置でSampleExtractを行い、TRLWE暗号文ｒ２の０次の項（定数項）の係数を取り出してTLWE暗号文ｃ３を得る。これ以降は、上記［実施例１］と同じである。
［実施例３］によれば、１暗号文同士でのａとｂの比較において、TLWE暗号文ｃ５、ｃ６によって、ａ－ｂによる繰り上がりの有無、繰り下がりの有無が分かる。
従って、ａ－ｂが繰り上がる場合（例えば（ｔ－１）－（－ｔ）＝２ｔ－１）と、繰り下がる場合（例えば（－ｔ）－（ｔ－１）＝－２ｔ＋１）と、を検知することが出来る。
【0107】
［実施例４］
［実施例２］の変形としての［実施例４］では、１つの暗号文で整数を表す暗号文同士で平文整数ａと平文整数ｂの比較を行う。
この場合、ａ－ｂが負であればａ＜ｂであり、非負であればａ≧ｂである。ｃａ－ｃｂの符号を見れば比較結果が分かるが、ここでも繰り上がり、繰り下がりが影響する。
［実施例４］では、暗号処理装置１は、暗号文ｃａを反転した－ｃａから、自明な暗号文（０，１／（４ｔ））を準同型減算し、－ｃａ－（０，１／（４ｔ））に対応する暗号文ｃａ’を得る。
暗号処理装置１は、暗号文ｃａ’に対して、上記多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１を得る。
この際、［実施例２］の場合と同様に、暗号文ｃａ’の各要素を２ｎ倍した上で最下位ビットを０にするよう四捨五入する処理を行う。
［実施例２］の変形としての［実施例４］では、１つの暗号文で整数を表す暗号文同士で平文整数ａと平文整数ｂの比較を行う。
この場合、ａ－ｂが負であればａ＜ｂであり、非負であればａ≧ｂである。ｃａ－ｃｂの符号を見れば比較結果が分かるが、ここでも繰り上がり、繰り下がりが影響する。
［実施例４］では、暗号処理装置１は、暗号文ｃａを反転した－ｃａから、自明な暗号文（０，１／（４ｔ））を準同型減算し、－ｃａ－（０，１／（４ｔ））に対応する暗号文ｃａ’を得る。
暗号処理装置１は、暗号文ｃａ’に対して、上記多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１を得る。
この際、［実施例２］の場合と同様に、暗号文ｃａ’の各要素を２ｎ倍した上で最下位ビットを０にするよう四捨五入する処理を行う。
【0108】
暗号処理装置１は、TRLWE暗号文ｒ１１を２倍して、さらに上記多項式Ｆ３（Ｘ）を平文として有する自明な暗号文（０，Ｆ３（Ｘ））を準同型加算し、ｒ１１×２＋（０，Ｆ３（Ｘ））に対応するTRLWE暗号文を得る。
暗号処理装置１は、暗号文ｃａから暗号文ｃｂを準同型減算し、自明な暗号文（０，１／（４ｔ））を準同型加算して、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文を算出する。
暗号処理装置１は、暗号文ｃａから暗号文ｃｂを準同型減算し、自明な暗号文（０，１／（４ｔ））を準同型加算して、ｃａ－ｃｂ＋（０，１／（４ｔ））に対応する暗号文を算出する。
【0109】
暗号処理装置１は、暗号文ｃａ－ｃｂ＋（０，１／（４ｔ））の各係数を２ｎ倍して最下位ビットで四捨五入した結果によって、TRLWE暗号文ｒ１１’に対するBlindRotateを行い、TRLWE暗号文ｒ２’を得る。
そして、TRLWE暗号文ｒ２’に対して０の位置でSampleExtractを行うことにより、TRLWE暗号文ｒ２’の０次の項（定数項）の係数を取り出し、TLWE暗号文ｃ３’を得る。これ以降は、上記［実施例２］と同じである。
これにより、１暗号文同士でのａとｂの比較において、TLWE暗号文ｃ５、ｃ６によって、ａ－ｂによる繰り上がりの有無、繰り下がりの有無が分かる。従って、ａ－ｂが繰り上がる場合（例えば（ｔ－１）－（－ｔ）＝２ｔ－１）と、繰り下がる場合（例えば（－ｔ）－（ｔ－１）＝－２ｔ＋１）と、を検知することが出来る。
また、［実施例４］によれば、TLWE暗号文ｃ７によって、ａ－ｂが、円周群{Ｔ}の右半面と左半面のどちらの区間にあるかもわかる。
そして、TRLWE暗号文ｒ２’に対して０の位置でSampleExtractを行うことにより、TRLWE暗号文ｒ２’の０次の項（定数項）の係数を取り出し、TLWE暗号文ｃ３’を得る。これ以降は、上記［実施例２］と同じである。
これにより、１暗号文同士でのａとｂの比較において、TLWE暗号文ｃ５、ｃ６によって、ａ－ｂによる繰り上がりの有無、繰り下がりの有無が分かる。従って、ａ－ｂが繰り上がる場合（例えば（ｔ－１）－（－ｔ）＝２ｔ－１）と、繰り下がる場合（例えば（－ｔ）－（ｔ－１）＝－２ｔ＋１）と、を検知することが出来る。
また、［実施例４］によれば、TLWE暗号文ｃ７によって、ａ－ｂが、円周群{Ｔ}の右半面と左半面のどちらの区間にあるかもわかる。
【0110】
図１３は、暗号文の減算結果に応じて暗号文が取り得る値を示す図であり、特に［実施例２］に関して、ｃａ－ｃｂの関係によりTLWE暗号文ｃ５～ｃ８が取り得るパターンを示している。ｃ８についてはｃ８＝ｃ７＋ｃ６－ｃ５を準同型加減算で計算したものである。
前提より－ｔ≦ａ、ｂ≦ｔ－１であるため、－２ｔ＋１≦ａ－ｂ≦２ｔ－１が常に成立する。従って、ａ－ｂは、図１３に示す、ａ－ｂ＞ｔ－１、ｔ－１≧ａ－ｂ≧０、０＞ａ－ｂ≧－ｔ、―ｔ＞ａ－ｂの４パターンのいずれかに当てはまる。
前提より－ｔ≦ａ、ｂ≦ｔ－１であるため、－２ｔ＋１≦ａ－ｂ≦２ｔ－１が常に成立する。従って、ａ－ｂは、図１３に示す、ａ－ｂ＞ｔ－１、ｔ－１≧ａ－ｂ≧０、０＞ａ－ｂ≧－ｔ、―ｔ＞ａ－ｂの４パターンのいずれかに当てはまる。
【0111】
図１３に示すように、ａ－ｂ＞ｔ－１の場合には繰り上がりが発生し、繰り上がり有無に対応するTLWE暗号文ｃ５の平文φ（ｃ５）は整数として０である。
繰り上がりと同時に繰り下がりは発生せず、繰り下がり有無に対応するTLWE暗号文ｃ６は整数として１である。
ａ－ｂは円周群{Ｔ}の左半面の区間にあり、その情報に対応するTLWE暗号文ｃ７の平文φ（ｃ７）は整数として０である。
TLWE暗号文ｃ８の平文φ（ｃ８）は、整数として１である。
繰り上がりと同時に繰り下がりは発生せず、繰り下がり有無に対応するTLWE暗号文ｃ６は整数として１である。
ａ－ｂは円周群{Ｔ}の左半面の区間にあり、その情報に対応するTLWE暗号文ｃ７の平文φ（ｃ７）は整数として０である。
TLWE暗号文ｃ８の平文φ（ｃ８）は、整数として１である。
【0112】
ｔ－１≧ａ－ｂ≧０の場合には繰り上がりが発生せず、TLWE暗号文ｃ５の平文φ（ｃ５）は整数として１である。
繰り下がりも発生せず、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として１である。
ａ－ｂは円周群{Ｔ}の右半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として１である。
TLWE暗号文ｃ８の平文φ（ｃ８）は整数として１である。
繰り下がりも発生せず、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として１である。
ａ－ｂは円周群{Ｔ}の右半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として１である。
TLWE暗号文ｃ８の平文φ（ｃ８）は整数として１である。
【0113】
０＞ａ－ｂ≧－ｔの場合には繰り上がりが発生せず、TLWE暗号文ｃ５の平文φ（ｃ５）は整数として１である。
繰り下がりも発生せず、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として１である。
ａ－ｂは円周群{Ｔ}の左半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として０である。
TLWE暗号文ｃ８の平文φ（ｃ８）は、整数として０である。
繰り下がりも発生せず、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として１である。
ａ－ｂは円周群{Ｔ}の左半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として０である。
TLWE暗号文ｃ８の平文φ（ｃ８）は、整数として０である。
【0114】
－ｔ≧ａ－ｂの場合には繰り上がりが発生せず、TLWE暗号文ｃ５の平文φ（ｃ５）は整数として１である。
繰り下がりが発生し、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として０である。
ａ－ｂは円周群{Ｔ}の右半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として１である。
TLWE暗号文ｃ８の平文φ（ｃ８）は整数として０である。
繰り下がりが発生し、TLWE暗号文ｃ６の平文φ（ｃ６）は整数として０である。
ａ－ｂは円周群{Ｔ}の右半面の区間にあり、TLWE暗号文ｃ７の平文φ（ｃ７）は整数として１である。
TLWE暗号文ｃ８の平文φ（ｃ８）は整数として０である。
【0115】
図１３から分かるように、ｃａ－ｃｂの結果、繰り上がりが発生する場合には、繰り下がりが発生することはなく、ｃａ－ｃｂの計算結果の平文は必ず円周群{Ｔ}の左半面の区間に位置する。
ｃａ－ｃｂの結果、繰り下がりが発生する場合には、繰り上がりが発生することはなく、ｃａ－ｃｂの計算結果の平文は必ず円周群{Ｔ}の右半面（０～０．５）の区間に位置する。
ａとｂの大小関係を見るためには、繰り上がり、繰り下がりまで含めて結果が負であるか非負であるかを確認する必要があるため、繰り上がり、繰り下がりの発生有無が、ａ－ｂが右半面の区間にあるか左半面の区間にあるかよりも優先される。
ｃａ－ｃｂの結果、繰り上がりも繰り下がりも発生しない場合であって、ｃａ－ｃｂの計算結果の平文が非負である場合は、平文は円周群{Ｔ}の右半面の区間に位置する。
ｃａ－ｃｂの結果、繰り上がりも繰り下がりも発生しない場合であって、ｃａ－ｃｂの計算結果の平文が負である場合は、平文は円周群{Ｔ}の左半面の区間に位置する。
以上より、ｃ８の平文は、ａ－ｂ≧０の場合に、整数としてφ（ｃ８）＝１となる。ａ－ｂ＜０の場合にφ（ｃ８）＝０となる。式を並び替えると、ａ≧ｂの場合φ（ｃ８）＝１で、ａ＜ｂの場合φ（ｃ８）＝０である。
暗号処理装置１は、TLWE暗号文ｃ５、ｃ６、ｃ７から、Bootstrappingのように複雑で処理負荷の高い計算処理をすることなく、比較結果を表すTLWE暗号文ｃ８が得られる。最初の暗号文ｃａおよびｃｂから始めても、BlindRotateを２回しか使用していない。
ｃａ－ｃｂの結果、繰り下がりが発生する場合には、繰り上がりが発生することはなく、ｃａ－ｃｂの計算結果の平文は必ず円周群{Ｔ}の右半面（０～０．５）の区間に位置する。
ａとｂの大小関係を見るためには、繰り上がり、繰り下がりまで含めて結果が負であるか非負であるかを確認する必要があるため、繰り上がり、繰り下がりの発生有無が、ａ－ｂが右半面の区間にあるか左半面の区間にあるかよりも優先される。
ｃａ－ｃｂの結果、繰り上がりも繰り下がりも発生しない場合であって、ｃａ－ｃｂの計算結果の平文が非負である場合は、平文は円周群{Ｔ}の右半面の区間に位置する。
ｃａ－ｃｂの結果、繰り上がりも繰り下がりも発生しない場合であって、ｃａ－ｃｂの計算結果の平文が負である場合は、平文は円周群{Ｔ}の左半面の区間に位置する。
以上より、ｃ８の平文は、ａ－ｂ≧０の場合に、整数としてφ（ｃ８）＝１となる。ａ－ｂ＜０の場合にφ（ｃ８）＝０となる。式を並び替えると、ａ≧ｂの場合φ（ｃ８）＝１で、ａ＜ｂの場合φ（ｃ８）＝０である。
暗号処理装置１は、TLWE暗号文ｃ５、ｃ６、ｃ７から、Bootstrappingのように複雑で処理負荷の高い計算処理をすることなく、比較結果を表すTLWE暗号文ｃ８が得られる。最初の暗号文ｃａおよびｃｂから始めても、BlindRotateを２回しか使用していない。
【0116】
図１４は、第１実施例の処理を説明するフローチャートである。
ステップＳ１０１において、暗号処理装置１（第１演算部１２）は、入力されたTLWE暗号文ｃａに対して－ｃａ＋（０，１／（４ｔ））の準同型演算を行う。
ステップＳ１０２において、暗号処理装置１（第１Bootstrapping部４１）は、TLWE暗号文ｃａ’に対して多項式Ｆ１（Ｘ）をテストベクタ多項式としたBlindRotateを行い、TRLWE暗号文ｒ１を算出する。
ステップＳ１０３において、暗号処理装置１（第２演算部１３）は、TRLWE暗号文ｒ１に対して、ｒ１×２－（０，Ｆ１（Ｘ））の準同型演算を行い、TRLWE暗号文ｒ１’を算出する。
ステップＳ１０４において、暗号処理装置１（第３演算部１４）は、TLWE暗号文ｃａとTLWE暗号文ｃａに対して、ｃａ＋ｃｂ－（０，１／（４ｔ））の準同型演算を行い、TLWE暗号文ｃｃを得る。
ステップＳ１０５において、暗号処理装置１（第２Bootstrapping部４２）は、TLWE暗号文ｃｃに対して、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を算出する。
ステップＳ１０１において、暗号処理装置１（第１演算部１２）は、入力されたTLWE暗号文ｃａに対して－ｃａ＋（０，１／（４ｔ））の準同型演算を行う。
ステップＳ１０２において、暗号処理装置１（第１Bootstrapping部４１）は、TLWE暗号文ｃａ’に対して多項式Ｆ１（Ｘ）をテストベクタ多項式としたBlindRotateを行い、TRLWE暗号文ｒ１を算出する。
ステップＳ１０３において、暗号処理装置１（第２演算部１３）は、TRLWE暗号文ｒ１に対して、ｒ１×２－（０，Ｆ１（Ｘ））の準同型演算を行い、TRLWE暗号文ｒ１’を算出する。
ステップＳ１０４において、暗号処理装置１（第３演算部１４）は、TLWE暗号文ｃａとTLWE暗号文ｃａに対して、ｃａ＋ｃｂ－（０，１／（４ｔ））の準同型演算を行い、TLWE暗号文ｃｃを得る。
ステップＳ１０５において、暗号処理装置１（第２Bootstrapping部４２）は、TLWE暗号文ｃｃに対して、TRLWE暗号文ｒ１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２を算出する。
【0117】
ステップＳ１０６において、暗号処理装置１（第２Bootstrapping部４２）は、TRLWE暗号文ｒ２に対してSampleExtractを行い、TLWE暗号文ｃ３を得る。
ステップＳ１０７において、暗号処理装置１（第１Bootstrapping部４１）は、TRLWE暗号文ｒ１に対するSampleExtractを行い、TLWE暗号文ｃ２を得る。
ステップＳ１０８において、暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃ３、TLWE暗号文ｃ２に対して、ｃ３＋２×２ｃの準同型演算を行い、TLWE暗号文ｃ４を得る。
ステップＳ１０７において、暗号処理装置１（第１Bootstrapping部４１）は、TRLWE暗号文ｒ１に対するSampleExtractを行い、TLWE暗号文ｃ２を得る。
ステップＳ１０８において、暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃ３、TLWE暗号文ｃ２に対して、ｃ３＋２×２ｃの準同型演算を行い、TLWE暗号文ｃ４を得る。
【0118】
ステップＳ１０９において、暗号処理装置１（第３Bootstrapping部４３）は、TLWE暗号文ｃ４に対して多項式Ｆ１’（Ｘ）をテストベクタ多項式としたBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
ステップＳ１１０、ステップＳ１１１において、暗号処理装置１（第３Bootstrapping部４３）は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを２回行い、TLWE暗号文ｃｄ、ｃｅを得る。
ステップＳ１１２、ステップＳ１１３において、暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｄ、ｃｅに対して、（０，１／（２ｔ））を夫々加算する準同型加算を行い、TLWE暗号文ｃ５、ｃ６を得る。準同型加算は、SampleExtractを実行する毎に実行してもよい。ステップＳ１０４の準同型加算は、ステップＳ１０１～ステップＳ１０３の処理の前、またはその間に実行されてもよい。
ステップＳ１１０、ステップＳ１１１において、暗号処理装置１（第３Bootstrapping部４３）は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを２回行い、TLWE暗号文ｃｄ、ｃｅを得る。
ステップＳ１１２、ステップＳ１１３において、暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｄ、ｃｅに対して、（０，１／（２ｔ））を夫々加算する準同型加算を行い、TLWE暗号文ｃ５、ｃ６を得る。準同型加算は、SampleExtractを実行する毎に実行してもよい。ステップＳ１０４の準同型加算は、ステップＳ１０１～ステップＳ１０３の処理の前、またはその間に実行されてもよい。
【0119】
図１５は、第２実施例の処理を説明するフローチャートである。
ステップＳ２０１において、暗号処理装置１（第１演算部１２）は、TLWE暗号文ｃａに対して－ｃａ＋（０，１／（４ｔ））の準同型演算を行ってTLWE暗号文ｃａ’を得る。
ステップＳ２０２において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ２０１で算出したTLWE暗号文ｃａ’に対して多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１を算出する。
ステップＳ２０３において、暗号処理装置１（第２演算部１３）は、TRLWE暗号文ｒ１１に対して、ｒ１１×２－（０，Ｆ３（Ｘ））の準同型演算を行い、TRLWE暗号文ｒ１１’を算出する。
ステップＳ２０１において、暗号処理装置１（第１演算部１２）は、TLWE暗号文ｃａに対して－ｃａ＋（０，１／（４ｔ））の準同型演算を行ってTLWE暗号文ｃａ’を得る。
ステップＳ２０２において、暗号処理装置１（第１Bootstrapping部４１）は、ステップＳ２０１で算出したTLWE暗号文ｃａ’に対して多項式Ｆ２（Ｘ）をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ１１を算出する。
ステップＳ２０３において、暗号処理装置１（第２演算部１３）は、TRLWE暗号文ｒ１１に対して、ｒ１１×２－（０，Ｆ３（Ｘ））の準同型演算を行い、TRLWE暗号文ｒ１１’を算出する。
【0120】
ステップＳ２０４において、暗号処理装置１（第３演算部１４）は、TLWE暗号文ｃａとTLWE暗号文ｃｂに対して、２ｎ×（ｃａ＋ｃｂ－（０，１／（４ｔ）））の準同型演算を行い、四捨五入をしてTLWE暗号文ｃｃ’を得る。
ステップＳ２０５において、暗号処理装置１（第２Bootstrapping部４２）は、TLWE暗号文ｃｃ’に対して、TRLWE暗号文ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を算出する。
ステップＳ２０６において、暗号処理装置１（第２Bootstrapping部４２）は、TRLWE暗号文ｒ２’に対してSampleExtractを行い、TLWE暗号文ｃ３’を得る。
ステップＳ２０７において、暗号処理装置１（第１Bootstrapping部４１）は、TRLWE暗号文ｒ１１に対するSampleExtractを行い、TLWE暗号文ｃ２’を得る。
ステップＳ２０８において、暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃ３’、TLWE暗号文ｃ２’に対して、ｃ３’＋２×ｃ２’の準同型演算を行い、TLWE暗号文ｃ４’を得る。
ステップＳ２０５において、暗号処理装置１（第２Bootstrapping部４２）は、TLWE暗号文ｃｃ’に対して、TRLWE暗号文ｒ１１’をテストベクタ多項式とするBlindRotateを行い、TRLWE暗号文ｒ２’を算出する。
ステップＳ２０６において、暗号処理装置１（第２Bootstrapping部４２）は、TRLWE暗号文ｒ２’に対してSampleExtractを行い、TLWE暗号文ｃ３’を得る。
ステップＳ２０７において、暗号処理装置１（第１Bootstrapping部４１）は、TRLWE暗号文ｒ１１に対するSampleExtractを行い、TLWE暗号文ｃ２’を得る。
ステップＳ２０８において、暗号処理装置１（第４演算部１５）は、TLWE暗号文ｃ３’、TLWE暗号文ｃ２’に対して、ｃ３’＋２×ｃ２’の準同型演算を行い、TLWE暗号文ｃ４’を得る。
【0121】
ステップＳ２０９において、暗号処理装置１（第３Bootstrapping部４３）は、TLWE暗号文ｃ４’に対して多項式Ｆ２’（Ｘ）をテストベクタ多項式として用いたBlindRotateを行い、TRLWE暗号文ｒ３を算出する。
ステップＳ２１０、ステップＳ２１１、ステップＳ２１２において、暗号処理装置１（第３Bootstrapping部４３）は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを３回行い、TLWE暗号文ｃｄ’、ｃｅ’ｃｆを得る。
ステップＳ２１３、ステップＳ２１４、ステップＳ２１５において、暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｄ’、ｃｅ’ｃｆに対して、自明な暗号文（０，１／（２ｔ））を夫々加算する準同型加算を行い、TLWE暗号文ｃ５、ｃ６、ｃ７を得る。準同型加算は、SampleExtractを実行する毎に実行してもよい。ステップＳ２０４の準同型加算は、ステップＳ２０１～ステップＳ２０３の処理の前、またはその間に実行されてもよい。
ステップＳ２１６において、暗号処理装置１（第６演算部１７）は、TLWE暗号文ｃ７＋ｃ６－ｃ５の準同型演算を行い、比較結果に対応するTLWE暗号文ｃ８を得る。
ステップＳ２１０、ステップＳ２１１、ステップＳ２１２において、暗号処理装置１（第３Bootstrapping部４３）は、TRLWE暗号文ｒ３に対して異なる箇所でSampleExtractを３回行い、TLWE暗号文ｃｄ’、ｃｅ’ｃｆを得る。
ステップＳ２１３、ステップＳ２１４、ステップＳ２１５において、暗号処理装置１（第５演算部１６）は、TLWE暗号文ｃｄ’、ｃｅ’ｃｆに対して、自明な暗号文（０，１／（２ｔ））を夫々加算する準同型加算を行い、TLWE暗号文ｃ５、ｃ６、ｃ７を得る。準同型加算は、SampleExtractを実行する毎に実行してもよい。ステップＳ２０４の準同型加算は、ステップＳ２０１～ステップＳ２０３の処理の前、またはその間に実行されてもよい。
ステップＳ２１６において、暗号処理装置１（第６演算部１７）は、TLWE暗号文ｃ７＋ｃ６－ｃ５の準同型演算を行い、比較結果に対応するTLWE暗号文ｃ８を得る。
【0122】
図１６は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、図１６（ａ）に示すように、第４算出部４１の場合など、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行う場合を説明していた。
それに限らず、図１６（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
上記の説明では、図１６（ａ）に示すように、第４算出部４１の場合など、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行う場合を説明していた。
それに限らず、図１６（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
【0123】
図１６（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１６（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
それに対して図１６（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
【0124】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
【0125】
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0126】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0127】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0128】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
【0129】
［応用例］
暗号処理装置１０は、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部１７、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４の機能によって、暗号文の比較演算を行う。
比較演算を行うことで、多倍長整数の演算に必要な繰り上がりや繰り下がりの有無を算出することが出来る。
なお、多倍長整数を用いて暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算する必要がある。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算する必要がある。文章の類似性を評価するためには、２つのベクトルの内積を夫々のノルムで割ることでコサイン類似度の算出する必要がある。
これらの演算によりどの程度対象に近いかという指標を値の大小で表現した後、その結果を採用するか否か、もしくは認証するか否かを判断するために、比較演算が必要となる。これは、本実施形態の暗号処理装置１が行う比較演算とそれを応用した多倍長整数の演算を用いて行うことが出来る。
暗号処理装置１０は、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第５演算部１６、第６演算部１７、第１Bootstrapping部４１、第２Bootstrapping部４２、第３Bootstrapping部４３、第４Bootstrapping部４４の機能によって、暗号文の比較演算を行う。
比較演算を行うことで、多倍長整数の演算に必要な繰り上がりや繰り下がりの有無を算出することが出来る。
なお、多倍長整数を用いて暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算する必要がある。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算する必要がある。文章の類似性を評価するためには、２つのベクトルの内積を夫々のノルムで割ることでコサイン類似度の算出する必要がある。
これらの演算によりどの程度対象に近いかという指標を値の大小で表現した後、その結果を採用するか否か、もしくは認証するか否かを判断するために、比較演算が必要となる。これは、本実施形態の暗号処理装置１が行う比較演算とそれを応用した多倍長整数の演算を用いて行うことが出来る。
【0130】
図１７は、コンピュータ装置の一実施例を示すブロック図である。
図１７を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図１７を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0131】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１における制御部１０として機能する。
【0132】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図１における記憶部２０として機能する。
【0133】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第６演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第６演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0134】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0135】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
【0136】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0137】
１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】