(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2022-11-29
(45)【発行日】2022-12-07
(54)【発明の名称】暗号処理装置、暗号処理方法、及び暗号処理プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20221130BHJP
【ＦＩ】
G09C1/00 620Z
【請求項の数】
8
(21)【出願番号】P 2021102510
(22)【出願日】2021-06-21
【審査請求日】2022-03-07
(73)【特許権者】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】松岡 航太郎
【審査官】行田 悦資
(56)【参考文献】
【文献】特開２０２１－０８３０３８（ＪＰ，Ａ）
【文献】LEI, X. et al.，Accelerating Homomorphic Full Adder based on FHEW Using Multicore CPU and GPUs，2019 IEEE 21st International Conference on High Performance Computing and Communications，IEEE，2019年08月10日，pp.2508-2513，<DOI:10.1109/HPCC/SmartCity/DSS.2019.00351>
【文献】岡田 大樹，TFHEにおけるInteger-wise型一般化Bootstrapping，２０２０年 暗号と情報セキュリティシンポジウム予稿集，日本，一般社団法人電気情報通信学会，2020年01月21日，pp.1-8
【文献】DUCAS, L. et al.，FHEW: Bootstrapping Homomorphic Encryption in Less Than a Second，EUROCRYPT 2015, Part I，Springer，2015年04月14日，617-640，LNCS 9056, <DOI:10.1007/978-3-662-46800-5_24>
【文献】CHEN, Y. et al.，Integer Arithmetic over Ciphertext and Homomorphic Data Aggregation，2015 IEEE Conference on Communications and Network Security (CNS)，IEEE，2015年09月28日，pp.628-632，<DOI:10.1109/CNS.2015.7346877>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、前記暗号文は、シンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
入力された前記暗号文に基づいて複数の新たな暗号文を算出することを含む所定の演算を行い、
入力された前記暗号文に対して準同型演算を行う第１演算部と、
前記第１演算部による準同型演算の結果に対して所定の多項式を用いることにより多項式を平文として持つ第１暗号文を算出し、前記第１暗号文の平文多項式の一の係数を平文として持つ第２暗号文を抽出する第１算出部と、
前記第１暗号文の平文多項式の他の係数を平文として持つ第３暗号文を抽出する第２算出部と、
前記第２暗号文と前記第３暗号文とを用いて準同型演算を行い、第４暗号文を算出する第２演算部と、を備える、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、前記所定の演算は半加算器の演算であり、
前記第２暗号文は、前記半加算器の桁上げの出力に対応する暗号文であり、
前記第４暗号文は、前記半加算器の和の出力に対応する暗号文である、
ことを特徴とする暗号処理装置。
【請求項3】
請求項２に記載の暗号処理装置において、前記所定の演算として前記半加算器の演算を行うことにより、入力された前記暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算を行う、
ことを特徴とする暗号処理装置。
【請求項4】
請求項２に記載の暗号処理装置において、前記所定の演算として前記半加算器を用いた全加算器の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
【請求項5】
請求項２に記載の暗号処理装置において、前記所定の演算として前記半加算器を用いた全加算器の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項6】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、前記暗号文は、シンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
入力された前記暗号文に基づいて複数の新たな暗号文を算出することを含む所定の演算を行い、
入力された前記暗号文に対して準同型演算を行い、
前記準同型演算の結果に対して所定の多項式を用いることにより多項式を平文として持つ第１暗号文を算出し、前記第１暗号文の平文多項式の一の係数を平文として持つ第２暗号文を抽出し、
前記第１暗号文の平文多項式の他の係数を平文として持つ第３暗号文を抽出し、
前記第２暗号文と前記第３暗号文とを用いて準同型演算を行い、第４暗号文を算出する、
ことを特徴とする暗号処理方法。
【請求項7】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、前記暗号文は、シンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
入力された前記暗号文に基づいて複数の新たな暗号文を算出することを含む所定の演算を行い、
入力された前記暗号文に対して準同型演算を行い、
前記準同型演算の結果に対して所定の多項式を用いることにより多項式を平文として持つ第１暗号文を算出し、前記第１暗号文の平文多項式の一の係数を平文として持つ第２暗号文を抽出し、
前記第１暗号文の平文多項式の他の係数を平文として持つ第３暗号文を抽出し、
前記第２暗号文と前記第３暗号文とを用いて準同型演算を行い、第４暗号文を算出する、
ことを特徴とする暗号処理プログラム。
【請求項8】
２値の平文に対応する誤差を含む第１暗号文と２値の平文に対応する誤差を含む第２暗号文とを用いて暗号化したまま加算を実行する第１演算部と、
暗号化したまま前記加算の結果に応じて第１多項式の係数を巡回した第２多項式の第３暗号文を求め、前記第３暗号文から前記第１暗号文に対応する平文と前記２暗号文に対応する平文とのＡＮＤ演算の結果が得られる、前記第２多項式の係数の第４暗号文を抽出する第１算出部と、
前記第３暗号文から前記第１暗号文に対応する平文と前記２暗号文に対応する平文とのＯＲ演算の結果が得られる、前記第２多項式の係数の第５暗号文を抽出する第２算出部と、
前記第４暗号文と前記第５暗号文とを用いて、前記第１暗号文に対応する平文と前記第２暗号文に対応する平文とのＸＯＲ演算の結果に対応する第６暗号文を算出する第２演算部と、を備える、
ことを特徴とする暗号処理装置。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
加法準同型暗号は、有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う。また、乗法準同型暗号は、有限巡回群を整数に見立てて、乗法演算（乗算）のみを行う。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。なお、完全準同型暗号はLWE暗号に限定されない。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
加法準同型暗号は、有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う。また、乗法準同型暗号は、有限巡回群を整数に見立てて、乗法演算（乗算）のみを行う。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。なお、完全準同型暗号はLWE暗号に限定されない。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積されていくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
【先行技術文献】
【特許文献】
【0004】
【文献】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【発明の概要】
【発明が解決しようとする課題】
【0005】
ところで、準同型暗号には、平文として２値を持ち論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり非特許文献１に示されるTFHEはBit-wise型である。
Bit-wise型の準同型暗号において、１つの暗号文は１ｂｉｔの情報しか持ち得ないため、例えば３２ｂｉｔの整数を扱おうとすると３２個の暗号文を処理する必要がある。
整数同士の加算や減算、乗算や比較は様々なデータ処理で多用される。１ｂｉｔの情報を持つ暗号文を用いる場合、論理回路を設計するイメージで演算を行うが、３２ｂｉｔの整数の加算・減算の場合は１個の半加算器と、３１個の全加算器を用いる。乗算の場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
従って、完全準同型暗号の処理時間を低減し、さらに効率化を図るためには、bootstrappingを含む全加算器の演算を高速化する必要がある。
本発明はこのような事情を鑑みてなされたものであり、一側面として、完全準同型暗号に必要な全加算器の構成に用いられる半加算器の演算を高速化し、完全準同型暗号の処理時間を低減することを目的とする。
Bit-wise型の準同型暗号において、１つの暗号文は１ｂｉｔの情報しか持ち得ないため、例えば３２ｂｉｔの整数を扱おうとすると３２個の暗号文を処理する必要がある。
整数同士の加算や減算、乗算や比較は様々なデータ処理で多用される。１ｂｉｔの情報を持つ暗号文を用いる場合、論理回路を設計するイメージで演算を行うが、３２ｂｉｔの整数の加算・減算の場合は１個の半加算器と、３１個の全加算器を用いる。乗算の場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
従って、完全準同型暗号の処理時間を低減し、さらに効率化を図るためには、bootstrappingを含む全加算器の演算を高速化する必要がある。
本発明はこのような事情を鑑みてなされたものであり、一側面として、完全準同型暗号に必要な全加算器の構成に用いられる半加算器の演算を高速化し、完全準同型暗号の処理時間を低減することを目的とする。
【課題を解決するための手段】
【0006】
本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、シンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、入力された前記暗号文に基づいて複数の新たな暗号文を算出することを含む所定の演算を行い、入力された前記暗号文に対して準同型演算を行う第１演算部と、前記第１演算部による準同型演算の結果に対して所定の多項式を用いることにより多項式を平文として持つ第１暗号文を算出し、前記第１暗号文の平文多項式の一の係数を平文として持つ第２暗号文を抽出する第１算出部と、前記第１暗号文の平文多項式の他の係数を平文として持つ第３暗号文を抽出する第２算出部と、前記第２暗号文と前記第３暗号文とを用いて準同型演算を行い、第４暗号文を算出する第２演算部と、を備える、ことを特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、全加算器の構成に用いられる半加算器の演算を高速化して完全準同型暗号の処理時間を低減することが出来る。
【図面の簡単な説明】
【0008】
【図1】最小の論理演算素子数による全加算器回路の構成を説明する図である。
【図2】本実施形態の暗号処理装置の機能構成を説明する図である。
【図5】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図6】２値Gate Bootstrappingの動作イメージ図である。
【図7】暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャートである。
【図8】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
【0010】
本実施形態の暗号処理装置は、完全準同型暗号を用いて全加算器の演算を行う。本実施形態の暗号処理装置は、完全準同型暗号であるTFHEを用いて演算を行う際に多用される全加算器の演算をより高速に行う。
暗号処理装置に含まれる、全加算器を構成するＡＮＤ回路部、ＸＯＲ回路部の夫々において、Bit-wise型の準同型暗号に対するＡＮＤを得るための演算、ＸＯＲを得るための演算を行うことが知られている。
しかし、完全準同型暗号とするためには、ＡＮＤを得るための演算、ＸＯＲを得るための演算のあとで、下記に説明するGate Bootstrappingと呼ばれる誤差を削減する処理が必要であり、このGate Bootstrappingの処理に時間を要していた。
全加算器は一般的に、半加算器２つとＯＲを得るための演算を行うＯＲ回路部１つとで構成され、半加算器は、ＡＮＤを得るための演算を行うＡＮＤ回路部と、ＸＯＲを得るための演算を行うＸＯＲ回路部とのペアとして構成する。従って半加算器を高速化することで全加算器を高速化することができる。
本実施形態では、半加算器を構成する演算（ＡＮＤを得るための演算、ＸＯＲを得るための演算）を一つにまとめることによって半加算器を構成する準同型演算の回数を削減し、ひいては全加算器を構成する準同型演算の回数を削減する。
これにより、本実施形態の暗号処理装置は、各準同型演算の後段で行われるGate Bootstrappingの回数を減らし、全加算器の演算を高速化することが出来る。
暗号処理装置に含まれる、全加算器を構成するＡＮＤ回路部、ＸＯＲ回路部の夫々において、Bit-wise型の準同型暗号に対するＡＮＤを得るための演算、ＸＯＲを得るための演算を行うことが知られている。
しかし、完全準同型暗号とするためには、ＡＮＤを得るための演算、ＸＯＲを得るための演算のあとで、下記に説明するGate Bootstrappingと呼ばれる誤差を削減する処理が必要であり、このGate Bootstrappingの処理に時間を要していた。
全加算器は一般的に、半加算器２つとＯＲを得るための演算を行うＯＲ回路部１つとで構成され、半加算器は、ＡＮＤを得るための演算を行うＡＮＤ回路部と、ＸＯＲを得るための演算を行うＸＯＲ回路部とのペアとして構成する。従って半加算器を高速化することで全加算器を高速化することができる。
本実施形態では、半加算器を構成する演算（ＡＮＤを得るための演算、ＸＯＲを得るための演算）を一つにまとめることによって半加算器を構成する準同型演算の回数を削減し、ひいては全加算器を構成する準同型演算の回数を削減する。
これにより、本実施形態の暗号処理装置は、各準同型演算の後段で行われるGate Bootstrappingの回数を減らし、全加算器の演算を高速化することが出来る。
【0011】
図１は、最小の論理演算素子数による全加算器回路を例示する図である。
図１は、論理演算素子によるハードウェア回路で全加算器を説明しているが、全加算器をソフトウェアで実装したＣＰＵが実行する全加算器プログラムであると考えてもよい。
Bit-wise型の準同型暗号の処理をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
それは、図２以降で説明する本実施形態の暗号処理装置についても同様である。
全加算器回路５０は、２つの半加算器５１、５２と１つのＯＲ回路部（ＯＲを得るための演算処理部）５３から構成される。
第１半加算器５１は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５１ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５１Ｂを備える。
第２半加算器５２は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５２ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５２Ｂを備える。
加算される入力Ａと入力Ｂが第１半加算器５１のＡＮＤ回路部５１ＡとＸＯＲ回路部５１Ｂに入力される。
第１半加算器５１のＡＮＤ回路部５１Ａの出力と、第２半加算器５２のＡＮＤ回路部５２Ａの出力と、が後段のＯＲ回路部５３に入力され、ＯＲ回路部５３からは桁上げ出力Ｃ０（Carry out）が出力される。
第１半加算器５１のＸＯＲ回路部５１Ｂからの出力と、桁上げ入力Ｃｉ（Carry in）が第２半加算器５２のＡＮＤ回路部５２ＡとＸＯＲ回路部５２Ｂに入力される。
第２半加算器５２のＸＯＲ回路部５２Ｂからは、全加算器回路５０の出力Ｓ（Sum）が出力される。
図１は、論理演算素子によるハードウェア回路で全加算器を説明しているが、全加算器をソフトウェアで実装したＣＰＵが実行する全加算器プログラムであると考えてもよい。
Bit-wise型の準同型暗号の処理をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
それは、図２以降で説明する本実施形態の暗号処理装置についても同様である。
全加算器回路５０は、２つの半加算器５１、５２と１つのＯＲ回路部（ＯＲを得るための演算処理部）５３から構成される。
第１半加算器５１は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５１ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５１Ｂを備える。
第２半加算器５２は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５２ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５２Ｂを備える。
加算される入力Ａと入力Ｂが第１半加算器５１のＡＮＤ回路部５１ＡとＸＯＲ回路部５１Ｂに入力される。
第１半加算器５１のＡＮＤ回路部５１Ａの出力と、第２半加算器５２のＡＮＤ回路部５２Ａの出力と、が後段のＯＲ回路部５３に入力され、ＯＲ回路部５３からは桁上げ出力Ｃ０（Carry out）が出力される。
第１半加算器５１のＸＯＲ回路部５１Ｂからの出力と、桁上げ入力Ｃｉ（Carry in）が第２半加算器５２のＡＮＤ回路部５２ＡとＸＯＲ回路部５２Ｂに入力される。
第２半加算器５２のＸＯＲ回路部５２Ｂからは、全加算器回路５０の出力Ｓ（Sum）が出力される。
【0012】
図１に示すように、全加算器５０は、２つのＡＮＤ回路部と２つのＸＯＲ回路部とＯＲ回路部を備えており、全部で５つの論理演算素子（論理演算素子に対応する処理部）を備えている。
従って、１つの全加算器の演算につき、論理演算素子５つ分の演算時間が必要である。上記論文に示されるTFHEの場合、１つの論理演算素子の演算には約１６ｍｓの演算時間を要し、論理演算素子を５つ備える全加算器５０全体では、約８０ｍｓの演算時間を要する。TFHEによる完全準同型暗号の演算に用いる場合、５つの論理演算素子の前段部の演算（準同型演算）の後段で、夫々Gate Bootstrappingを行う必要がある。なお、準同型論理演算の処理時間のほぼすべてをGate Bootstrappingが占めている。
従って、図１の全加算器回路５０による完全準同型暗号の演算にはGate Bootstrapping５回分の演算時間を要するとみなしても構わない。
なお、半加算器５１、半加算器５２を構成するＡＮＤ回路部とＸＯＲ回路部の演算には依存関係がないため、全加算器をソフトウェアで構成する場合には、マルチスレッドなどの手法で並列演算を行うことが出来る。
並列演算によって、半加算器の演算を１つの論理演算素子分の演算時間で行うことが出来る。
従って、図１に示す１つの全加算器の演算を３つの論理演算素子分の演算時間で演算を実行することが出来る。ただし、この場合でも１つの全加算器の演算に４８ｍｓの演算時間を要する。これは、Gate Bootstrapping ３回分の演算時間とほぼ同じである。
従って、１つの全加算器の演算につき、論理演算素子５つ分の演算時間が必要である。上記論文に示されるTFHEの場合、１つの論理演算素子の演算には約１６ｍｓの演算時間を要し、論理演算素子を５つ備える全加算器５０全体では、約８０ｍｓの演算時間を要する。TFHEによる完全準同型暗号の演算に用いる場合、５つの論理演算素子の前段部の演算（準同型演算）の後段で、夫々Gate Bootstrappingを行う必要がある。なお、準同型論理演算の処理時間のほぼすべてをGate Bootstrappingが占めている。
従って、図１の全加算器回路５０による完全準同型暗号の演算にはGate Bootstrapping５回分の演算時間を要するとみなしても構わない。
なお、半加算器５１、半加算器５２を構成するＡＮＤ回路部とＸＯＲ回路部の演算には依存関係がないため、全加算器をソフトウェアで構成する場合には、マルチスレッドなどの手法で並列演算を行うことが出来る。
並列演算によって、半加算器の演算を１つの論理演算素子分の演算時間で行うことが出来る。
従って、図１に示す１つの全加算器の演算を３つの論理演算素子分の演算時間で演算を実行することが出来る。ただし、この場合でも１つの全加算器の演算に４８ｍｓの演算時間を要する。これは、Gate Bootstrapping ３回分の演算時間とほぼ同じである。
【0013】
TFHEは、ＡＮＤ回路部とＸＯＲ回路部などの論理ゲートをベースとするBit-wise型暗号である。
全加算器を使用することで、整数の加減乗除（四則演算）の全てと比較演算に対応することが出来る。
しかしながら、Bit-wise型暗号は、１つの暗号文は１ｂｉｔの情報しか持ち得ない。
整数同士の加算、減算、乗算、除算や比較（比較は減算結果の正負と等価である）は様々なデータ処理で多用されるが、扱われるデータは、ビット長が大きいものが通常である。
例えば、３２ｂｉｔの整数を扱おうとすると、３２個の暗号文を処理する必要がある。
全加算器を使用することで、整数の加減乗除（四則演算）の全てと比較演算に対応することが出来る。
しかしながら、Bit-wise型暗号は、１つの暗号文は１ｂｉｔの情報しか持ち得ない。
整数同士の加算、減算、乗算、除算や比較（比較は減算結果の正負と等価である）は様々なデータ処理で多用されるが、扱われるデータは、ビット長が大きいものが通常である。
例えば、３２ｂｉｔの整数を扱おうとすると、３２個の暗号文を処理する必要がある。
【0014】
Bit-wise型の完全準同型暗号について３２ｂｉｔの整数の加算・減算を行う場合は、１個の半加算器と、３１個の全加算器を用いる。また、乗算を行う場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
完全準同型暗号の演算（四則演算と比較）をさらに実用的なものにするためには、完全準同型暗号の演算に多用される全加算器の演算をより高速化することが重要となる。
下記に説明するように、本実施形態の暗号処理装置は、特に完全準同型暗号の演算に用いる全加算器において、Gate BootstrappingのBlindRotate１回にSampleExtractを複数回行い、各SampleExtractの結果得られる暗号文同士の演算を行うことで準同型演算の回数を減らす。その結果、本実施形態の暗号処理装置は、準同型演算の後段の、長い演算時間を要するGate Bootstrapping（特に長い時間を要するBlindRotate）の回数を減らし、完全準同型暗号の処理時間を大幅に低減することが出来る。
完全準同型暗号の演算（四則演算と比較）をさらに実用的なものにするためには、完全準同型暗号の演算に多用される全加算器の演算をより高速化することが重要となる。
下記に説明するように、本実施形態の暗号処理装置は、特に完全準同型暗号の演算に用いる全加算器において、Gate BootstrappingのBlindRotate１回にSampleExtractを複数回行い、各SampleExtractの結果得られる暗号文同士の演算を行うことで準同型演算の回数を減らす。その結果、本実施形態の暗号処理装置は、準同型演算の後段の、長い演算時間を要するGate Bootstrapping（特に長い時間を要するBlindRotate）の回数を減らし、完全準同型暗号の処理時間を大幅に低減することが出来る。
【0015】
図２は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第１Bootstrapping部（第１算出部）１５と、第２Bootstrapping部（第２算出部）１６と、出力部１８と、を備えている。
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。
第１演算部１２は、受付部１１が受け付けた入力暗号に対して、第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部１５からの暗号文と第２Bootstrapping部１６からの一時暗号文とに対して第２準同型演算を行う。
第１演算部１２、第２演算部１３は、図１で説明した論理ゲート（ＡＮＤ回路部、ＸＯＲ回路部）による全加算器の演算（準同型演算）をソフトウェアで実現する演算処理部である。なお、第１演算部１２、第２演算部１３の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部１５は、第１演算部１２の第１準同型演算結果に基づいて、Gate Bootstrappingの処理を行い、半加算器の桁上げ出力を得る。
第２Bootstrapping部１６は、第１演算部１２の第１準同型演算結果と第２演算部１２の第１準同型演算結果と基づいてGate Bootstrappingの処理を行い、半加算器の和の出力を得る。
出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、全加算器の演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は暗号処理装置１に対して演算処理対象の暗号文を入力する。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第１Bootstrapping部（第１算出部）１５と、第２Bootstrapping部（第２算出部）１６と、出力部１８と、を備えている。
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。
第１演算部１２は、受付部１１が受け付けた入力暗号に対して、第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部１５からの暗号文と第２Bootstrapping部１６からの一時暗号文とに対して第２準同型演算を行う。
第１演算部１２、第２演算部１３は、図１で説明した論理ゲート（ＡＮＤ回路部、ＸＯＲ回路部）による全加算器の演算（準同型演算）をソフトウェアで実現する演算処理部である。なお、第１演算部１２、第２演算部１３の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部１５は、第１演算部１２の第１準同型演算結果に基づいて、Gate Bootstrappingの処理を行い、半加算器の桁上げ出力を得る。
第２Bootstrapping部１６は、第１演算部１２の第１準同型演算結果と第２演算部１２の第１準同型演算結果と基づいてGate Bootstrappingの処理を行い、半加算器の和の出力を得る。
出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、全加算器の演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は暗号処理装置１に対して演算処理対象の暗号文を入力する。
【0016】
図３、図４は、図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図である。
図３、図４の説明において、暗号処理装置１に入力される暗号文ｃａ、ｃｂ、ｃｃは、いずれも上記論文に示されるTLWE暗号文である。
下記に詳しく説明するが、TLWE暗号は、０又はμ（非０）の値を平文として有するBit-wise型の完全準同型暗号である。
論理ゲートを用いた論理演算によって様々な演算を行うことができる。
また後述するように、TLWE暗号文は、二進数のシンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能である。
図３、図４の説明において、暗号処理装置１に入力される暗号文ｃａ、ｃｂ、ｃｃは、いずれも上記論文に示されるTLWE暗号文である。
下記に詳しく説明するが、TLWE暗号は、０又はμ（非０）の値を平文として有するBit-wise型の完全準同型暗号である。
論理ゲートを用いた論理演算によって様々な演算を行うことができる。
また後述するように、TLWE暗号文は、二進数のシンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能である。
【0017】
図３、図４に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを使用する。
上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
図３に示す前段の半加算器５１の処理では、入力された暗号文ｃａ、ｃｂを第１演算部１２に入力して準同型演算を行い、その演算結果（暗号文ｃａ＋ｃｂ）を２値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
２値Gate Bootstrappingの出力は、平文として２値（０，μ）の何れかを取り得る暗号文である。
上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
図３に示す前段の半加算器５１の処理では、入力された暗号文ｃａ、ｃｂを第１演算部１２に入力して準同型演算を行い、その演算結果（暗号文ｃａ＋ｃｂ）を２値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
２値Gate Bootstrappingの出力は、平文として２値（０，μ）の何れかを取り得る暗号文である。
【0018】
第１演算部１２の出力が第１Bootstrapping部１５に入力され、第１Bootstrapping部１５は、Bootstrapping処理として、第１演算部１２の演算結果に対してBlindRotateを行う。
第１Bootstrapping部１５は、BlindRotateの結果に得られたTRLWE暗号文に対して０位置でのSampleExtract（０）を行う。
その結果、得られるTLWE暗号文ｃｙ１に対して第１Bootstrapping部１５はキースイッチングを行い、半加算器５１の桁上げ出力として出力する。
第２Bootstrapping部１６は、第１Bootstrapping部１５よるBlindRotateの結果に対して、ｎ／２位置でのSampleExtract（ｎ／２）を行い、TLWE暗号文ｃｔ１を得る。
また第２演算部１３は、第１Bootstrapping部１５、第２Bootstrapping部１６によるSampleExtractで得られたTLWE暗号文ｃｙ１、TLWE暗号文ｃｔ１に対する準同型演算を行い、TLWE暗号文ｃｚ１を得る。
第２Bootstrapping部１６は、TLWE暗号文ｃｚ１に対してキースイッチングを行って、半加算器の和として出力する。
第１Bootstrapping部１５は、BlindRotateの結果に得られたTRLWE暗号文に対して０位置でのSampleExtract（０）を行う。
その結果、得られるTLWE暗号文ｃｙ１に対して第１Bootstrapping部１５はキースイッチングを行い、半加算器５１の桁上げ出力として出力する。
第２Bootstrapping部１６は、第１Bootstrapping部１５よるBlindRotateの結果に対して、ｎ／２位置でのSampleExtract（ｎ／２）を行い、TLWE暗号文ｃｔ１を得る。
また第２演算部１３は、第１Bootstrapping部１５、第２Bootstrapping部１６によるSampleExtractで得られたTLWE暗号文ｃｙ１、TLWE暗号文ｃｔ１に対する準同型演算を行い、TLWE暗号文ｃｚ１を得る。
第２Bootstrapping部１６は、TLWE暗号文ｃｚ１に対してキースイッチングを行って、半加算器の和として出力する。
【0019】
図４に示す後段の半加算器５２の処理では、入力された暗号文ｃｚ１、ｃｃを第１演算部１２に入力して準同型演算を行い、その演算結果（暗号文ｃｚ１＋ｃｃ）を２値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
第１演算部１２の出力が第１Bootstrapping部１５に入力され、第１Bootstrapping部１５は、Bootstrapping処理として、第１演算部１２の演算結果に対してBlindRotateを行う。
第１Bootstrapping部１５は、BlindRotateの結果に得られたTRLWE暗号文に対して０位置でのSampleExtract（０）を行う。
その結果、得られるTLWE暗号文ｃｙ１に対して第１Bootstrapping部１５はキースイッチングを行い、半加算器５２の桁上げ出力として出力する。
第１演算部１２の出力が第１Bootstrapping部１５に入力され、第１Bootstrapping部１５は、Bootstrapping処理として、第１演算部１２の演算結果に対してBlindRotateを行う。
第１Bootstrapping部１５は、BlindRotateの結果に得られたTRLWE暗号文に対して０位置でのSampleExtract（０）を行う。
その結果、得られるTLWE暗号文ｃｙ１に対して第１Bootstrapping部１５はキースイッチングを行い、半加算器５２の桁上げ出力として出力する。
【0020】
第２Bootstrapping部１６は、第１Bootstrapping部１５よるBlindRotateの結果に対して、ｎ／２位置でのSampleExtract（ｎ／２）を行い、TLWE暗号文ｃｔ１を得る。
また第２演算部１３は、第１Bootstrapping部１５、第２Bootstrapping部１６によるSampleExtractで得られたTLWE暗号文ｃｙ１、TLWE暗号文ｃｔ１に対する準同型演算を行い、TLWE暗号文ｃｚ１を得る。
第２Bootstrapping部１６は、TLWE暗号文ｃｚ１に対してキースイッチングを行って、半加算器の和、すなわち全加算器の和として出力する。
また第２演算部１３は、第１Bootstrapping部１５、第２Bootstrapping部１６によるSampleExtractで得られたTLWE暗号文ｃｙ１、TLWE暗号文ｃｔ１に対する準同型演算を行い、TLWE暗号文ｃｚ１を得る。
第２Bootstrapping部１６は、TLWE暗号文ｃｚ１に対してキースイッチングを行って、半加算器の和、すなわち全加算器の和として出力する。
【0021】
第１演算部１２による準同型演算、第２演算部１３による準同型演算に要する時間は微々たるものである。
Gate Bootstrappingは、準同型演算を用いて全加算器を処理するとき、ほとんど全ての処理時間を消費している。そして、Gate Bootstrappingの処理時間のほとんどはBlindRotateによって占められている。
Gate Bootstrappingは、準同型演算を用いて全加算器を処理するとき、ほとんど全ての処理時間を消費している。そして、Gate Bootstrappingの処理時間のほとんどはBlindRotateによって占められている。
【0022】
図１に示す全加算器回路５０のように、２値Gate Bootstrappingを用いて全加算器の演算を行う場合、ＡＮＤ回路部５１Ａ、５２Ａ、ＸＯＲ回路部５１Ｂ、５２Ｂ、ＯＲ回路部５３の後段で夫々１回、全体で５回Gate Bootstrappingを実行する必要がある。
暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrapping、特に時間のかかるBlindRotateの回数を全体で３回に減らすることが出来る。３回とは、上記の半加算器１つにつき１回で計２回のBlindRotateと、ＯＲ回路部のGate Bootstrappingにおける１回のBlindRotateと、を合わせた数である。
図１に示す全加算器回路５０と比較して、暗号処理装置１は、単純に計算処理時間を約４０％削減することが出来る。詳しくは後述する。
完全準同型暗号に関する全加算器の演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、全加算器の演算を著しく高速化することが出来る。
暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrapping、特に時間のかかるBlindRotateの回数を全体で３回に減らすることが出来る。３回とは、上記の半加算器１つにつき１回で計２回のBlindRotateと、ＯＲ回路部のGate Bootstrappingにおける１回のBlindRotateと、を合わせた数である。
図１に示す全加算器回路５０と比較して、暗号処理装置１は、単純に計算処理時間を約４０％削減することが出来る。詳しくは後述する。
完全準同型暗号に関する全加算器の演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、全加算器の演算を著しく高速化することが出来る。
【0023】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE暗号を円周群上で構成した「TLWE暗号」と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE暗号を円周群上で構成した「TLWE暗号」と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0024】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0025】
図５は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の点０、又は円周群{Ｔ}上の０以外（非０）の任意の点に対応する実数μを平文として有する。TLWE暗号自体は円周群上の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の点０、又は円周群{Ｔ}上の０以外（非０）の任意の点に対応する実数μを平文として有する。TLWE暗号自体は円周群上の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0026】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0027】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは、平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する、ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは、平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する、ことを繰り返していくことで、様々な演算を実現する。
【0028】
なお、下記において、（[０]，μ）などの自明な暗号文（trivial）は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
自明な暗号文は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
自明な暗号文は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0029】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると環をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環を有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると環をなし、これを多項式環と呼ぶ。
【0030】
TFHEでは、有限巡回群である円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた環であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた環であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0031】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μを取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる。すなわち、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる。すなわち、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0032】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つずれる。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つずれる。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
【0033】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群｛Ｔ｝から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群｛Ｔ｝から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0034】
０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
【0035】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0036】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0037】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0038】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
【0039】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
【0040】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
【0041】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
【0042】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
【0043】
図６は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図５の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図５の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0044】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0045】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
【0046】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式の暗号文である。
従って、
ここで、
【0047】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
【0048】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0049】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0050】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0051】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文は、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）がSampleExtractの出力である。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
このSampleExtractの出力結果に、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）がSampleExtractの出力である。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
このSampleExtractの出力結果に、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0052】
(3)キースイッチング
(2)のSampleExtractを用いて得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
NAND演算に用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（[ａ]、ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractを用いて得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
NAND演算に用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（[ａ]、ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0053】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0054】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0055】
本実施形態は、上記に説明した完全準同型暗号であるTFHEを用いて演算を行う際に多用される全加算器の演算をより高速に行うものである。
上記に説明したが、全加算器は一般的に、半加算器２つとＯＲを得るための演算を行うＯＲ回路部１つとで構成され、半加算器は、ＡＮＤを得るための演算を行うＡＮＤ回路部と、ＸＯＲを得るための演算を行うＸＯＲ回路部とのペアとして構成する。従って半加算器を高速化することで全加算器を高速化することができる。
本実施形態では、半加算器を構成する演算（ＡＮＤを得るための演算、ＸＯＲを得るための演算）を一つにまとめることによって半加算器を構成する準同型演算の回数を削減し、ひいては全加算器を構成する準同型演算の回数を削減する。
上記に説明したが、全加算器は一般的に、半加算器２つとＯＲを得るための演算を行うＯＲ回路部１つとで構成され、半加算器は、ＡＮＤを得るための演算を行うＡＮＤ回路部と、ＸＯＲを得るための演算を行うＸＯＲ回路部とのペアとして構成する。従って半加算器を高速化することで全加算器を高速化することができる。
本実施形態では、半加算器を構成する演算（ＡＮＤを得るための演算、ＸＯＲを得るための演算）を一つにまとめることによって半加算器を構成する準同型演算の回数を削減し、ひいては全加算器を構成する準同型演算の回数を削減する。
【0056】
図２乃至図４を参照して、本実施形態の全加算器を構成する半加算器の処理を詳しく説明する。
図３は、図１の半加算器５１に相当する半加算器を示す図である。
図４は、図１の半加算器５２に相当する半加算器を示す図である。
図３、図４の半加算器を含んで構成される全加算器に、平文Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃを入力する。
上記したように、TLWE暗号文ｃａ、ｃｂ、ｃｃは加法準同型暗号であり、暗号文の和を演算することで平文同士の和を演算することが出来る。
これらは夫々、通常のGate Bootstrappingにより生成された暗号文、または新規に暗号化された暗号文である。
TLWE暗号文ｃａ、ｃｂ、ｃｃの平文Ａ、Ｂ、Ｃは、例えば図５の円周群{Ｔ}における０、１／４の何れかあり、平文に付加される誤差は±１／１６の中に含まれる。
図３は、図１の半加算器５１に相当する半加算器を示す図である。
図４は、図１の半加算器５２に相当する半加算器を示す図である。
図３、図４の半加算器を含んで構成される全加算器に、平文Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃを入力する。
上記したように、TLWE暗号文ｃａ、ｃｂ、ｃｃは加法準同型暗号であり、暗号文の和を演算することで平文同士の和を演算することが出来る。
これらは夫々、通常のGate Bootstrappingにより生成された暗号文、または新規に暗号化された暗号文である。
TLWE暗号文ｃａ、ｃｂ、ｃｃの平文Ａ、Ｂ、Ｃは、例えば図５の円周群{Ｔ}における０、１／４の何れかあり、平文に付加される誤差は±１／１６の中に含まれる。
【0057】
図３に示す半加算器５１の構成を説明する。
半加算器５１には、全加算器の入力Ａ、Ｂに対応するTLWE暗号文ｃａ、ｃｂが入力される。
暗号処理装置１（第１演算部１２）は、ｃａ＋ｃｂ－（０，１／８）を計算する。（０，１／８）は、平文が１／８となる自明なTLWE暗号文である。
ｃａが０、ｃｂが０⇒０＋０－１／８＝－１／８＝７／８
ｃａが０、ｃｂが１／４⇒０＋１／４－１／８＝１／８
ｃａが１／４、ｃｂが０⇒１／４＋０－１／８＝１／８
ｃａが１／４、ｃｂが１／４⇒１／４＋１／４－１／８＝３／８
である。
上記から演算結果は、１／８、３／８、７／８の３つのうちのいずれかとなり、これら３つの何れかの平文に対する暗号文が得られる。平文に付加される誤差は±１／８の範囲に含まれる。暗号文ｃａ、暗号文ｃｂの誤差±１／１６を２つ足しているためである。
半加算器５１には、全加算器の入力Ａ、Ｂに対応するTLWE暗号文ｃａ、ｃｂが入力される。
暗号処理装置１（第１演算部１２）は、ｃａ＋ｃｂ－（０，１／８）を計算する。（０，１／８）は、平文が１／８となる自明なTLWE暗号文である。
ｃａが０、ｃｂが０⇒０＋０－１／８＝－１／８＝７／８
ｃａが０、ｃｂが１／４⇒０＋１／４－１／８＝１／８
ｃａが１／４、ｃｂが０⇒１／４＋０－１／８＝１／８
ｃａが１／４、ｃｂが１／４⇒１／４＋１／４－１／８＝３／８
である。
上記から演算結果は、１／８、３／８、７／８の３つのうちのいずれかとなり、これら３つの何れかの平文に対する暗号文が得られる。平文に付加される誤差は±１／８の範囲に含まれる。暗号文ｃａ、暗号文ｃｂの誤差±１／１６を２つ足しているためである。
【0058】
暗号処理装置１（第１Bootstrap部１５）は、上記ｃａ＋ｃｂ－（０，１／８）の計算結果に対して上記論文のGate BootstrappingをSampleExtract（０の位置）まで行う。
すなわち暗号処理装置１（第１Bootstrap部１５）は、ｃａ＋ｃｂ－（０，１／８）の計算結果に対してBlindRotateを行って得たTRLWE暗号文に対して、円周群｛Ｔ｝の０の位置でSampleExtractを行う。
その結果、暗号処理装置１（第１Bootstrap部１５）は、下記TLWE暗号文ｃｙ１（[s']にて暗号化されている）を得る。
０の位置のSampleExtractの結果は、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１／４⇒０
ｃａが１／４、ｃｂが０⇒０
ｃａが１／４、ｃｂが１／４⇒１／４
である。
得られたTLWE暗号文ｃｙ１は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（０）の結果（TLWE暗号文ｃｙ１）を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒０
ｃａが１、ｃｂが０⇒０
ｃａが１、ｃｂが１⇒１
である。
このようにTLWE暗号文ｃｙ１を得たことは、暗号文ｃａと暗号文ｃｂのＡＮＤを演算したことと同義である。得られた暗号文ｃｙ１は、半加算器５１の桁上げ出力であり後段のＯＲ回路部に入力される。
すなわち暗号処理装置１（第１Bootstrap部１５）は、ｃａ＋ｃｂ－（０，１／８）の計算結果に対してBlindRotateを行って得たTRLWE暗号文に対して、円周群｛Ｔ｝の０の位置でSampleExtractを行う。
その結果、暗号処理装置１（第１Bootstrap部１５）は、下記TLWE暗号文ｃｙ１（[s']にて暗号化されている）を得る。
０の位置のSampleExtractの結果は、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１／４⇒０
ｃａが１／４、ｃｂが０⇒０
ｃａが１／４、ｃｂが１／４⇒１／４
である。
得られたTLWE暗号文ｃｙ１は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（０）の結果（TLWE暗号文ｃｙ１）を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒０
ｃａが１、ｃｂが０⇒０
ｃａが１、ｃｂが１⇒１
である。
このようにTLWE暗号文ｃｙ１を得たことは、暗号文ｃａと暗号文ｃｂのＡＮＤを演算したことと同義である。得られた暗号文ｃｙ１は、半加算器５１の桁上げ出力であり後段のＯＲ回路部に入力される。
【0059】
暗号処理装置１（第２Bootstrap部１５）は、上記ｃａ＋ｃｂ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号文に対してｎ／２の位置でのSampleExtractを行う。より詳しくは、暗号処理装置１は、ｃａ＋ｃｂ－（０，１／８）の計算結果に対してBlindRotateを行って得たTRLWE暗号文に対して、ｎ／２の位置でSampleExtractを行う。
ｎ／２の位置でのSampleExtractは、以下のように行われる。
上記したようにSampleExtractの処理では、TRLWE暗号文cを復号した平文多項式から、
の式が現れる。この式から平文多項式の各項の係数が得られることも上記した通りである。ｎ／２の位置でSampleExtractを行うことはφｓ’(c)のｎ／２乗の項を取り出すことであり、ｊ＝ｎ／２の係数のみを取り出すことである。
ｎ／２の位置でTRLWE暗号文cをSampleExtractしたTLWE暗号文c’’の復号結果が
となるように、[a]及びbを定める。そのためには、a’の添え字をｈ｛ｉ－（ｎ／２）＋２｝＝ｎ－ｉと変換すればよく、ｈ（ｘ）＝－ｘ＋ｎ／２＋２となる。
よって、
とすることで、ｎ／２の位置でSampleExtractしたTLWE暗号文ｃ’’＝（ａ’’ｉ，ｂ’’）が得られる。
このような処理によって、暗号処理装置１（第２Bootstrap部１５）は上記ｃａ＋ｃｂ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号文に対してｎ／２の位置でSampleExtractをしたTLWE暗号文ｃｔ（TLWE暗号文c''）を得ることができる。
ｎ／２の位置のSampleExtractの結果は、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１／４⇒１／４
ｃａが１／４、ｃｂが０⇒１／４
ｃａが１／４、ｃｂが１／４⇒１／４
である。
得られたTLWE暗号文ｃｔは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（ｎ／２）の結果（TLWE暗号文ｃｔ１）を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒１
ｃａが１、ｃｂが０⇒１
ｃａが１、ｃｂが１⇒１
である。
このようにTLWE暗号文ｃｔを得たことは、暗号文ｃａと暗号文ｃｂとのＯＲを演算したことと同義である。
BlindRotateの結果に対して、円周群｛Ｔ｝の複数の異なる位置（０、ｎ／２）でSampleExtractを行うことで、ＡＮＤ、ＯＲを得ることが出来ることを示したが、これは、TFHEにおいて、暗号文同士のＡＮＤとＯＲが円周群｛Ｔ｝における位相の違いとして現れることに基づいている。
ｎ／２の位置でのSampleExtractは、以下のように行われる。
上記したようにSampleExtractの処理では、TRLWE暗号文cを復号した平文多項式から、
の式が現れる。この式から平文多項式の各項の係数が得られることも上記した通りである。ｎ／２の位置でSampleExtractを行うことはφｓ’(c)のｎ／２乗の項を取り出すことであり、ｊ＝ｎ／２の係数のみを取り出すことである。
ｎ／２の位置でTRLWE暗号文cをSampleExtractしたTLWE暗号文c’’の復号結果が
よって、
このような処理によって、暗号処理装置１（第２Bootstrap部１５）は上記ｃａ＋ｃｂ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号文に対してｎ／２の位置でSampleExtractをしたTLWE暗号文ｃｔ（TLWE暗号文c''）を得ることができる。
ｎ／２の位置のSampleExtractの結果は、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１／４⇒１／４
ｃａが１／４、ｃｂが０⇒１／４
ｃａが１／４、ｃｂが１／４⇒１／４
である。
得られたTLWE暗号文ｃｔは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（ｎ／２）の結果（TLWE暗号文ｃｔ１）を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒１
ｃａが１、ｃｂが０⇒１
ｃａが１、ｃｂが１⇒１
である。
このようにTLWE暗号文ｃｔを得たことは、暗号文ｃａと暗号文ｃｂとのＯＲを演算したことと同義である。
BlindRotateの結果に対して、円周群｛Ｔ｝の複数の異なる位置（０、ｎ／２）でSampleExtractを行うことで、ＡＮＤ、ＯＲを得ることが出来ることを示したが、これは、TFHEにおいて、暗号文同士のＡＮＤとＯＲが円周群｛Ｔ｝における位相の違いとして現れることに基づいている。
【0060】
次に、暗号処理装置１は、上記ＯＲの結果（暗号文ｃｔ１）から上記ＡＮＤの結果（TLWE暗号文ｃｙ１）を準同型減算して暗号文ｃｚ１を得る。
演算結果は、
ｃａが０、ｃｂが０の場合：０－０＝０
ｃａが０、ｃｂが１／４の場合：１／４－０＝１／４
ｃａが１／４、ｃｂが０の場合：１／４－０＝１／４
ｃａが１／４、ｃｂが１／４の場合：１／４－１／４＝０
である。
TLWE暗号文ｃｚ１は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算（準同型減算）の結果を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒１
ｃａが１、ｃｂが０⇒１
ｃａが１、ｃｂが１⇒０
である。
このようにTLWE暗号文ｃｚ１を得たことは、暗号文ｃａと暗号文ｃｂとのＸＯＲを演算したことと同義である。
得られたTLWE暗号文ｃｚ１は、半加算器５１の出力としての和である。
ＯＲの結果からＡＮＤの結果を減算することによりＸＯＲの結果が得られることはhttps://eprint.iacr.org/2018/637.pdfに記載されている。
最後に、暗号処理装置１は、暗号文ｃｙ１と暗号文ｃｚ１との夫々に対してキースイッチングを行う。これにより得られる暗号文は、元のTLWE暗号文ｃａ、ｃｂと同じパラメータによる暗号文となり、再度別の演算に使用することができるようになる。
この時、どちらの暗号文も誤差が±１／１６の範囲に収まる。なぜなら、Gate Bootstrappingで付与される誤差の大半はキースイッチングにより発生するものであり、SampleExtract以前のTLWE暗号文が持つ誤差は、キースイッチングによる誤差と比べて数桁少ないためである。
演算結果は、
ｃａが０、ｃｂが０の場合：０－０＝０
ｃａが０、ｃｂが１／４の場合：１／４－０＝１／４
ｃａが１／４、ｃｂが０の場合：１／４－０＝１／４
ｃａが１／４、ｃｂが１／４の場合：１／４－１／４＝０
である。
TLWE暗号文ｃｚ１は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算（準同型減算）の結果を二進数のシンボルで表すと、
ｃａが０、ｃｂが０⇒０
ｃａが０、ｃｂが１⇒１
ｃａが１、ｃｂが０⇒１
ｃａが１、ｃｂが１⇒０
である。
このようにTLWE暗号文ｃｚ１を得たことは、暗号文ｃａと暗号文ｃｂとのＸＯＲを演算したことと同義である。
得られたTLWE暗号文ｃｚ１は、半加算器５１の出力としての和である。
ＯＲの結果からＡＮＤの結果を減算することによりＸＯＲの結果が得られることはhttps://eprint.iacr.org/2018/637.pdfに記載されている。
最後に、暗号処理装置１は、暗号文ｃｙ１と暗号文ｃｚ１との夫々に対してキースイッチングを行う。これにより得られる暗号文は、元のTLWE暗号文ｃａ、ｃｂと同じパラメータによる暗号文となり、再度別の演算に使用することができるようになる。
この時、どちらの暗号文も誤差が±１／１６の範囲に収まる。なぜなら、Gate Bootstrappingで付与される誤差の大半はキースイッチングにより発生するものであり、SampleExtract以前のTLWE暗号文が持つ誤差は、キースイッチングによる誤差と比べて数桁少ないためである。
【0061】
図４に示す半加算器５２は、図３の半加算器５１と同じ構成を有する。
半加算器５２には、半加算器５１からのTLWE暗号文ｃｚ１と、桁上げ入力Ｃｉの暗号文ｃｃが入力される。
暗号処理装置１は、ｃｚ１＋ｃｃ－（０，１／８）を計算する。（０，１／８）は、平文が１／８となる自明なTLWE暗号文である。
ｃｚ１が０、ｃｃが０⇒０＋０－１／８＝－１／８＝７／８
ｃｚ１が０、ｃｃが１／４⇒０＋１／４－１／８＝１／８
ｃｚ１が１／４、ｃｃが０⇒１／４＋０－１／８＝１／８
ｃｚ１が１／４、ｃｃが１／４⇒１／４＋１／４－１／８＝３／８
である。
演算結果は、１／８、３／８、７／８の３つのうちのいずれかとなり、これら３つの何れかの平文に対する暗号文が得られる。
平文に付加される誤差は±１／８の範囲に含まれる。ｃｚ１、ｃｃの誤差±１／１６を２つ足しているためである。
半加算器５２には、半加算器５１からのTLWE暗号文ｃｚ１と、桁上げ入力Ｃｉの暗号文ｃｃが入力される。
暗号処理装置１は、ｃｚ１＋ｃｃ－（０，１／８）を計算する。（０，１／８）は、平文が１／８となる自明なTLWE暗号文である。
ｃｚ１が０、ｃｃが０⇒０＋０－１／８＝－１／８＝７／８
ｃｚ１が０、ｃｃが１／４⇒０＋１／４－１／８＝１／８
ｃｚ１が１／４、ｃｃが０⇒１／４＋０－１／８＝１／８
ｃｚ１が１／４、ｃｃが１／４⇒１／４＋１／４－１／８＝３／８
である。
演算結果は、１／８、３／８、７／８の３つのうちのいずれかとなり、これら３つの何れかの平文に対する暗号文が得られる。
平文に付加される誤差は±１／８の範囲に含まれる。ｃｚ１、ｃｃの誤差±１／１６を２つ足しているためである。
【0062】
暗号処理装置１は、上記ｃｚ１＋ｃｃ－（０，１／８）の計算結果に対して上記論文のGate BootstrappingをSampleExtract（０の位置）まで行う。すなわち暗号処理装置１は、ｃｚ１＋ｃｃ－（０，１／８）の計算結果に対してBlindRotateを行って得たTRLWE暗号文に対して、円周群｛Ｔ｝の０の位置でSampleExtractを行う。
その結果、暗号処理装置１は、下記TLWE暗号文ｃｙ（[s']にて暗号化されている）を得る。
０の位置のSampleExtract（０）の結果は、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１／４⇒０
ｃｚ１が１／４、ｃｃが０⇒０
ｃｚ１が１／４、ｃｃが１／４⇒１／４
であり、得られたTLWE暗号文ｃｙは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（０）の結果（TLWE暗号文ｃｙ）を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒０
ｃｚ１が１、ｃｃが０⇒０
ｃｚ１が１、ｃｃが１⇒１
である。
このようにTLWE暗号文ｃｙを得たことは、暗号文ｃｚ１と暗号文ｃｃとのＡＮＤを演算したことと同義である。得られたTLWE暗号文ｃｙは桁上げ出力Ｃｏとして出力される。
その結果、暗号処理装置１は、下記TLWE暗号文ｃｙ（[s']にて暗号化されている）を得る。
０の位置のSampleExtract（０）の結果は、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１／４⇒０
ｃｚ１が１／４、ｃｃが０⇒０
ｃｚ１が１／４、ｃｃが１／４⇒１／４
であり、得られたTLWE暗号文ｃｙは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（０）の結果（TLWE暗号文ｃｙ）を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒０
ｃｚ１が１、ｃｃが０⇒０
ｃｚ１が１、ｃｃが１⇒１
である。
このようにTLWE暗号文ｃｙを得たことは、暗号文ｃｚ１と暗号文ｃｃとのＡＮＤを演算したことと同義である。得られたTLWE暗号文ｃｙは桁上げ出力Ｃｏとして出力される。
【0063】
また暗号処理装置１は、上記ｃｚ１＋ｃｃ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号文に対してｎ／２の位置でのSampleExtractを行う。より詳しくは、暗号処理装置１は、ｃｚ１＋ｃｃ－（０，１／８）の計算結果に対してBlindRotateを行って得たTRLWE暗号文に対して、円周群｛Ｔ｝のｎ／２の位置でSampleExtractを行う。
ｎ／２の位置でSampleExtractを行う処理は上記に説明したとおりである。
上記ｃｚ１＋ｃｃ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号に対してｎ／２の位置でSampleExtractを行った結果、暗号処理装置１はTLWE暗号文ｃｔ２（TLWE暗号文c''）を得る。
ｎ／２の位置のSampleExtractの結果は、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１／４⇒１／４
ｃｚ１が１／４、ｃｃが０⇒１／４
ｃｚ１が１／４、ｃｃが１／４⇒１／４
である。
得られたTLWE暗号文ｃｔ２は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（ｎ／２）の結果（TLWE暗号文ｃｔ１）を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒１
ｃｚ１が１、ｃｃが０⇒１
ｃｚ１が１、ｃｃが１⇒１
である。
このようにTLWE暗号文ｃｔ２を得たことは、暗号文ｃｚ１と暗号文ｃｃとのＯＲを演算したことと同義である。
ｎ／２の位置でSampleExtractを行う処理は上記に説明したとおりである。
上記ｃｚ１＋ｃｃ－（０，１／８）に対してBlindRotateをした後のTRLWE暗号に対してｎ／２の位置でSampleExtractを行った結果、暗号処理装置１はTLWE暗号文ｃｔ２（TLWE暗号文c''）を得る。
ｎ／２の位置のSampleExtractの結果は、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１／４⇒１／４
ｃｚ１が１／４、ｃｃが０⇒１／４
ｃｚ１が１／４、ｃｃが１／４⇒１／４
である。
得られたTLWE暗号文ｃｔ２は、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算、BlindRotate、SampleExtract（ｎ／２）の結果（TLWE暗号文ｃｔ１）を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒１
ｃｚ１が１、ｃｃが０⇒１
ｃｚ１が１、ｃｃが１⇒１
である。
このようにTLWE暗号文ｃｔ２を得たことは、暗号文ｃｚ１と暗号文ｃｃとのＯＲを演算したことと同義である。
【0064】
次に、暗号処理装置１は、上記ＯＲから上記ＡＮＤを準同型減算（ＯＲ－ＡＮＤ）して暗号文ｃｚを得る。
演算結果は、
ｃｚ１が０、ｃｃが０の場合：０－０＝０
ｃｚ１が０、ｃｃが１／４の場合：１／４－０＝１／４
ｃｚ１が１／４、ｃｃが０の場合：１／４－０＝１／４
ｃｚ１が１／４、ｃｃが１／４の場合：１／４－１／４＝０
である。得られたTLWE暗号文ｃｚは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算（準同型減算）の結果を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒１
ｃｚ１が１、ｃｃが０⇒１
ｃｚ１が１、ｃｃが１⇒０
である。
このようにTLWE暗号文ｃｚを得たことは、暗号文ｃｚ１と暗号文ｃｃとのＸＯＲを演算したことと同義である。得られたTLWE暗号文ｃｚは、全加算器５１の出力Ｓである。
演算結果は、
ｃｚ１が０、ｃｃが０の場合：０－０＝０
ｃｚ１が０、ｃｃが１／４の場合：１／４－０＝１／４
ｃｚ１が１／４、ｃｃが０の場合：１／４－０＝１／４
ｃｚ１が１／４、ｃｃが１／４の場合：１／４－１／４＝０
である。得られたTLWE暗号文ｃｚは、平文として０又は１／４を有し、平文に付加される誤差は±１／１６の範囲より数桁狭い範囲に含まれる。
上記の準同型演算（準同型減算）の結果を二進数のシンボルで表すと、
ｃｚ１が０、ｃｃが０⇒０
ｃｚ１が０、ｃｃが１⇒１
ｃｚ１が１、ｃｃが０⇒１
ｃｚ１が１、ｃｃが１⇒０
である。
このようにTLWE暗号文ｃｚを得たことは、暗号文ｃｚ１と暗号文ｃｃとのＸＯＲを演算したことと同義である。得られたTLWE暗号文ｃｚは、全加算器５１の出力Ｓである。
【0065】
実験の結果、図３、図４の構成を有する半加算器５１、５２の処理には夫々１２．９ｍｓの時間を要することが分かった。
通常の１論理演算（準同型演算＋Gate Bootstrapping）に要する時間は１１．５ｍｓであり、図１に示す２論理演算の半加算器では２３ｍｓの時間を要する。本実施形態の手法では、従来手法に対して約倍速となる結果が得られた。上記論文と処理時間が異なるのは、実験環境による差異と考えられる。
本実施形態の暗号処理装置１は、全加算器を構成する半加算器において１回のBlindRotate後に、異なる２か所でSampleExtractを行うことで、ＡＮＤ演算、ＯＲ演算に相当する処理を行い、ＯＲ演算の結果からＡＮＤ演算の結果を減算（準同型演算）することで、ＸＯＲ演算をする。
上記論文に記載の通り、SampleExtractの後かつキースイッチングの前の段階のTLWE暗号文同士の準同型加算は、誤差の増加が無視できるレベルである。パラメータにもよるが、BlindRotateで追加される誤差とキースイッチングで追加される誤差は約一桁異なる。実験結果では、通常のGate Bootstrappingでの誤差の分散が１．３５５×１０－5であるのに対して、本実施形態の方法では１．９４２×１０－５である。
通常の１論理演算（準同型演算＋Gate Bootstrapping）に要する時間は１１．５ｍｓであり、図１に示す２論理演算の半加算器では２３ｍｓの時間を要する。本実施形態の手法では、従来手法に対して約倍速となる結果が得られた。上記論文と処理時間が異なるのは、実験環境による差異と考えられる。
本実施形態の暗号処理装置１は、全加算器を構成する半加算器において１回のBlindRotate後に、異なる２か所でSampleExtractを行うことで、ＡＮＤ演算、ＯＲ演算に相当する処理を行い、ＯＲ演算の結果からＡＮＤ演算の結果を減算（準同型演算）することで、ＸＯＲ演算をする。
上記論文に記載の通り、SampleExtractの後かつキースイッチングの前の段階のTLWE暗号文同士の準同型加算は、誤差の増加が無視できるレベルである。パラメータにもよるが、BlindRotateで追加される誤差とキースイッチングで追加される誤差は約一桁異なる。実験結果では、通常のGate Bootstrappingでの誤差の分散が１．３５５×１０－5であるのに対して、本実施形態の方法では１．９４２×１０－５である。
【0066】
本実施形態の手法を採用して全加算器を構成すると、各加算器で１回（全加算器で２回）のBlindRotateを行う本実施形態は、BlindRotateを５回行う図１の方法に対して約４０％の高速化が見込める。
実験結果では図１の５ゲート構成では５９．２ｍｓを要し、本実施形態の構成では３７．６ｍｓとなり、約３６．５％の高速化が確認できた。
理論値（４０％）との差異は、SampleExtractとキースイッチングが１回ずつ増えたことに起因すると見られる。
実験結果では図１の５ゲート構成では５９．２ｍｓを要し、本実施形態の構成では３７．６ｍｓとなり、約３６．５％の高速化が確認できた。
理論値（４０％）との差異は、SampleExtractとキースイッチングが１回ずつ増えたことに起因すると見られる。
【0067】
図７は、暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャートである。
上記したように、２値の暗号文の場合、円周群｛Ｔ｝における０～１／４、３／４～１の区間の平文を０のTLWE暗号文に変換する。また、円周群｛Ｔ｝における１／４～３／４の区間の平文を１／４のTLWE暗号文に変換する。この変換の際、平文に付加される誤差は、±１／１６の範囲のいずれかの値である。
上記した円周群｛Ｔ｝の範囲を、０、１など論理演算で用いるシンボルを対応づける。
すなわち、
となる。
上記したように、２値の暗号文の場合、円周群｛Ｔ｝における０～１／４、３／４～１の区間の平文を０のTLWE暗号文に変換する。また、円周群｛Ｔ｝における１／４～３／４の区間の平文を１／４のTLWE暗号文に変換する。この変換の際、平文に付加される誤差は、±１／１６の範囲のいずれかの値である。
上記した円周群｛Ｔ｝の範囲を、０、１など論理演算で用いるシンボルを対応づける。
すなわち、
となる。
【0068】
円周群｛Ｔ｝上の範囲（誤差を含む）が、暗号文における平文の何れかに値に対応している。
暗号文は、（［ａ］、ｂ）の形式を有するベクトルであり、ベクトルの要素は円周群上の点である。平文もまた、円周群｛Ｔ｝上の点である。
論理演算で用いるシンボルは、円周群｛Ｔ｝上の範囲と対応付いており、ある暗号文に対する平文は、その範囲内の何れか１点を指している。平文が、その範囲内のどの点を指しているかは、秘密鍵なしでは、特定することが難しい。これによってTLWE暗号文の強度が担保されている。範囲を０として円周群上の点とシンボルを対応づけると、複数の暗号文を集めて連立方程式として平文を導出可能であり、TLWE暗号文が暗号として機能しない。
暗号文は、（［ａ］、ｂ）の形式を有するベクトルであり、ベクトルの要素は円周群上の点である。平文もまた、円周群｛Ｔ｝上の点である。
論理演算で用いるシンボルは、円周群｛Ｔ｝上の範囲と対応付いており、ある暗号文に対する平文は、その範囲内の何れか１点を指している。平文が、その範囲内のどの点を指しているかは、秘密鍵なしでは、特定することが難しい。これによってTLWE暗号文の強度が担保されている。範囲を０として円周群上の点とシンボルを対応づけると、複数の暗号文を集めて連立方程式として平文を導出可能であり、TLWE暗号文が暗号として機能しない。
【0069】
暗号処理装置１（受付部１１）は、ステップＳ１０１において、演算対象の暗号文が入力されたか否かを判定する。
暗号文が入力されたと判定した場合（ステップＳ１０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ１０２において、暗号文を受けつけ、記憶部２０に格納する。
次に、暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
第１演算部１２は、平文として２値を有する２つの暗号文ｃａ、ｃｂの入力を受け付けたとき、ｃａ＋ｃｂ－１／８の準同型演算を行う。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１０４において、演算結果に対してGate BootstrappingのうちのBlindRotateを行い、処理結果のTRLWE暗号文を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１０５において、BlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(0）を行い、処理結果を記憶部２０に格納する。
暗号文が入力されたと判定した場合（ステップＳ１０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ１０２において、暗号文を受けつけ、記憶部２０に格納する。
次に、暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
第１演算部１２は、平文として２値を有する２つの暗号文ｃａ、ｃｂの入力を受け付けたとき、ｃａ＋ｃｂ－１／８の準同型演算を行う。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１０４において、演算結果に対してGate BootstrappingのうちのBlindRotateを行い、処理結果のTRLWE暗号文を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１０５において、BlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(0）を行い、処理結果を記憶部２０に格納する。
【0070】
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１０６において、SampleExtract(0）の処理結果に対してキースイッチングを行い、処理結果として、平文として２値を有する半加算器５１の桁上げ出力の暗号文ｃｙ１を記憶部２０に格納する。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１０７において、第１演算部１２によるBlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(n/2）を行い、処理結果（暗号文ｃｔ１）を記憶部２０に格納する。
暗号処理装置１（第１演算部）は、ステップＳ１０８において、SampleExtract(0）を行った処理結果（暗号文ｃｙ１）とSampleExtract(n/2）を行った処理結果（暗号文ｃｔ１）との準同型演算（減算）を行い、演算結果（暗号文ｃｚ１）を記憶部２０に格納する。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１０９において、演算結果に対してキースイッチングを行い、処理結果として、平文として２値を有する半加算器５１の和の暗号文ｃｚ１を記憶部２０に格納する。
ステップＳ１０５とステップＳ１０７のSampleExtractは、マルチスレッド処理によって、並列で実行することが出来る。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１０７において、第１演算部１２によるBlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(n/2）を行い、処理結果（暗号文ｃｔ１）を記憶部２０に格納する。
暗号処理装置１（第１演算部）は、ステップＳ１０８において、SampleExtract(0）を行った処理結果（暗号文ｃｙ１）とSampleExtract(n/2）を行った処理結果（暗号文ｃｔ１）との準同型演算（減算）を行い、演算結果（暗号文ｃｚ１）を記憶部２０に格納する。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１０９において、演算結果に対してキースイッチングを行い、処理結果として、平文として２値を有する半加算器５１の和の暗号文ｃｚ１を記憶部２０に格納する。
ステップＳ１０５とステップＳ１０７のSampleExtractは、マルチスレッド処理によって、並列で実行することが出来る。
【0071】
次に、暗号処理装置１（第１演算部１２）は、ステップＳ１１１において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
第１演算部１２は、平文として２値を有する２つの暗号文ｃｚ１、ｃｃの入力を受け付けたとき、ｃｚ１＋ｃｃ－１／８の準同型演算を行う。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１２において、演算結果に対してGate BootstrappingのうちのBlindRotateを行い、処理結果のTRLWE暗号文を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１３において、BlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(0）を行い、処理結果を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１４において、SampleExtract(0）の処理結果に対してキースイッチングを行い、処理結果として、平文として２値を有する半加算器５２の桁上げ出力の暗号文ｃｙを記憶部２０に格納する。
第１演算部１２は、平文として２値を有する２つの暗号文ｃｚ１、ｃｃの入力を受け付けたとき、ｃｚ１＋ｃｃ－１／８の準同型演算を行う。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１２において、演算結果に対してGate BootstrappingのうちのBlindRotateを行い、処理結果のTRLWE暗号文を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１３において、BlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(0）を行い、処理結果を記憶部２０に格納する。
暗号処理装置１（第１Bootstrap部１５）は、ステップＳ１１４において、SampleExtract(0）の処理結果に対してキースイッチングを行い、処理結果として、平文として２値を有する半加算器５２の桁上げ出力の暗号文ｃｙを記憶部２０に格納する。
【0072】
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１１５において、第２演算部１３によるBlindRotateによって得たTRLWE暗号文に対してGate BootstrappingのうちのSampleExtract(n/2）を行い、処理結果（暗号文ｃｔ２）を記憶部２０に格納する。
暗号処理装置１（第２演算部１３）は、ステップＳ１１６において、SampleExtract(0）を行った処理結果（暗号文ｃｙ）とSampleExtract(n/2）を行った処理結果（暗号文ｃｔ２）との準同型演算（減算）を行い、演算結果（暗号文ｃｚ）を記憶部２０に格納する。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１１７において、演算結果に対してキースイッチングを行い、処理結果として、平文として２値を有する全加算器の和の暗号文ｃｚを記憶部２０に格納する。
ステップＳ１１３とステップＳ１１５のSampleExtractは、マルチスレッド処理によって、並列で実行することが出来る。
暗号処理装置１（第２演算部１３）は、ステップＳ１１６において、SampleExtract(0）を行った処理結果（暗号文ｃｙ）とSampleExtract(n/2）を行った処理結果（暗号文ｃｔ２）との準同型演算（減算）を行い、演算結果（暗号文ｃｚ）を記憶部２０に格納する。
暗号処理装置１（第２Bootstrap部１６）は、ステップＳ１１７において、演算結果に対してキースイッチングを行い、処理結果として、平文として２値を有する全加算器の和の暗号文ｃｚを記憶部２０に格納する。
ステップＳ１１３とステップＳ１１５のSampleExtractは、マルチスレッド処理によって、並列で実行することが出来る。
【0073】
［応用例］
暗号処理装置１が行う全加算器の高速化は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
暗号処理装置１が行う全加算器の高速化は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
【0074】
暗号処理装置１０は、全加算器を実現する第１演算部１２、第２演算部１３、第１Bootstrapping部１５、第２Bootstrapping部１６の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
全加算器の演算を、上記に説明した論理演算の回数ひいてはGate Bootstrapping（BlindRotate）の回数を減らして高速化することによって、クエリの実行時間を著しく低減することが可能となる。
四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
全加算器の演算を、上記に説明した論理演算の回数ひいてはGate Bootstrapping（BlindRotate）の回数を減らして高速化することによって、クエリの実行時間を著しく低減することが可能となる。
四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
【0075】
このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
特にファジー認証やファジー検索では、整数同士の加算、減算、乗算、除算や比較は処理時間の大半を占めるため、それらに用いられる全加算器の演算を高速化することによって処理時間の短縮に大きな効果を奏し得る。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
特にファジー認証やファジー検索では、整数同士の加算、減算、乗算、除算や比較は処理時間の大半を占めるため、それらに用いられる全加算器の演算を高速化することによって処理時間の短縮に大きな効果を奏し得る。
【0076】
またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。そのため、全加算器の演算を高速化することによって、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
【0077】
図８は、コンピュータ装置の一実施例を示すブロック図である。
図８を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図８を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0078】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２における制御部１０として機能する。
【0079】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk Drive（ＨＤＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２における記憶部２０として機能する。
【0080】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0081】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0082】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
【0083】
表示装置１０８は、各種情報を表示する。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0084】
１ 暗号処理装置、１０ 制御部、１１ 受付部、１２ 第１演算部、１３ 第２演算部、１５ 第１Bootstrap部（算出部）、１６ 第２Bootstrap部（算出部）、１８ 出力部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【要約】
【課題】完全準同型暗号を実現する全加算器の演算を高速化する。
【解決手段】暗号処理装置が処理する暗号文は、２種類の値を平文として有し、復号することなく論理演算を行うことにより種々の演算が可能な完全準同型暗号文であり、受付部が受け付けた暗号文に対して論理演算を行う演算部と、演算部による演算結果を出力する出力部と、を備え、演算部は、暗号文として、新たな暗号文を複数算出するとき、準同型演算の結果と多項式とを用いて算出した一の暗号文から新たな暗号文を算出する処理を複数回行うことにより論理演算（準同型演算）の回数を削減する。
【選択図】図２
【解決手段】暗号処理装置が処理する暗号文は、２種類の値を平文として有し、復号することなく論理演算を行うことにより種々の演算が可能な完全準同型暗号文であり、受付部が受け付けた暗号文に対して論理演算を行う演算部と、演算部による演算結果を出力する出力部と、を備え、演算部は、暗号文として、新たな暗号文を複数算出するとき、準同型演算の結果と多項式とを用いて算出した一の暗号文から新たな暗号文を算出する処理を複数回行うことにより論理演算（準同型演算）の回数を削減する。
【選択図】図２
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】