(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B1)
(11)【特許番号】
(24)【登録日】2022-12-02
(45)【発行日】2022-12-12
(54)【発明の名称】暗号処理装置、暗号処理方法、及び暗号処理プログラム
(51)【国際特許分類】
H04L 9/30 20060101AFI20221205BHJP
G09C 1/00 20060101ALI20221205BHJP
G06F 21/60 20130101ALI20221205BHJP
G06F 7/535 20060101ALI20221205BHJP
【ＦＩ】
H04L9/30 Z
G09C1/00 620Z
G06F21/60 320
G06F7/535
【請求項の数】
10
(21)【出願番号】P 2021192046
(22)【出願日】2021-11-26
【審査請求日】2022-07-27
(73)【特許権者】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
【審査官】中里 裕正
(56)【参考文献】
【文献】特開２０１７－２２３８２２（ＪＰ，Ａ）
【文献】特表２０１９－５１７６８４（ＪＰ，Ａ）
【文献】特開２０２０－５３８６０（ＪＰ，Ａ）
【文献】CHATTERJEE, A. and SENGUPTA, I.，Translating Algorithms to Handle Fully Homomorphic Encrypted Data on Cloud，IEEE Transactions on Cloud Computing，2018年，Vol.6 No.1，pp.287-300
【文献】BABENKO, M. and GOLIMBLEVSKAIA, E.，Euclidean Division Method for the Homomorphic Scheme CKKS，Proceedings of the 2021 IEEE Conference of Russian Young Researchers in Electrical and Electronic Engineering (ElConRus)，2021年01月，pp.217-220
【文献】OKADA, H., KIYOMOTO, S. and CID, C.，Integer-Wise Functional Bootstrapping on TFHE: Applications in Secure Integer Arithmetics，Information [online]，MDPI，2021年07月26日，2021,12,297，pp.1-18，<URL:https://doi.org/10.3390/info12080297>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／３０
Ｇ０９Ｃ １／００
Ｇ０６Ｆ ２１／６０
Ｇ０６Ｆ ７／５３５
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
ＩＥＥＥ Ｘｐｌｏｒｅ
(57)【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第３暗号文を算出し、
前記第１暗号文から、前記第３暗号文と前記第２暗号文の準同型乗算結果を準同型減算して、新たな暗号文を算出する演算処理を行い、
前記演算処理の演算結果を新たな前記第１暗号文として新たな前記第３暗号文を算出し、新たな前記第１暗号文と、前記第２暗号文と新たな前記第３暗号文とを用いた前記演算処理を繰り返し実行し、
前記演算処理を全体で所定回繰り返し実行したときに算出した新たな暗号文を、前記第１暗号文に対する前記第２暗号文の剰余算の結果として出力する、
ことを特徴とする暗号処理装置。
【請求項2】
暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第３暗号文を算出し、
前記第１暗号文から、前記第３暗号文と前記第２暗号文の準同型乗算結果を準同型減算して、新たな暗号文を算出する演算処理を行い、
前記演算処理の演算結果を新たな前記第１暗号文として新たな前記第３暗号文を算出し、新たな前記第１暗号文と、前記第２暗号文と新たな前記第３暗号文とを用いた前記演算処理を繰り返し実行し、
前記第３暗号文を算出するごとに、所定の初期値に対して前記第３暗号文を累加して新たな暗号文を算出し、
前記演算処理を全体で前記所定回繰り返した時点で前記第３暗号文を累加した新たな暗号文を、前記第１暗号文に対する前記第２暗号文の除算の結果として出力する、
ことを特徴とする暗号処理装置。
【請求項3】
請求項２に記載の暗号処理装置において、前記演算処理を全体で繰り返す回数は、ログオーダーの回数であることを特徴とする暗号処理装置。
【請求項4】
請求項１又は２に記載の暗号処理装置において、前記演算処理を全体で繰り返す回数は、前記暗号文が取り得る整数の最大値であることを特徴とする暗号処理装置。
【請求項5】
請求項１乃至４の何れか一項に記載の暗号処理装置において、暗号文に対して所定の演算に係る準同型演算を行う演算部と、
暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部と、を備え、
前記演算部による準同型演算の結果に対して、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項6】
請求項１乃至５の何れか一項に記載の暗号処理装置において、前記第１の暗号文は、前記第１の整数を区間毎に所定数に分割した結果を夫々暗号化した暗号文を有し、
前記第２の暗号文は、前記第２の整数を区間毎に前記所定数に分割した結果を夫々暗号化した暗号文を有し、
前記所定の演算を実行するときに、前記第１の暗号文と前記第２の暗号文との対応する暗号文同士を準同型演算して多倍長演算を実行する、
ことを特徴とする暗号処理装置。
【請求項7】
請求項１乃至６の何れか一項に記載の暗号処理装置において、前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
ことを特徴とする暗号処理装置。
【請求項8】
請求項１乃至７の何れか一項に記載の暗号処理装置において、前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項9】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第３暗号文を算出し、
前記第１暗号文から、前記第３暗号文と前記第２暗号文の準同型乗算結果を準同型減算して新たな暗号文を算出する演算処理を行い、
前記演算処理の演算結果を新たな前記第１暗号文として、新たな前記第３暗号文を算出し、新たな新たな前記第１暗号文と、前記第２暗号文と、新たな前記第３暗号文と、を用いた前記演算処理を繰り返し実行し、
前記演算処理を全体で所定回繰り返し実行したときに出力した新たな暗号文を、前記第１暗号文に対する前記第２暗号文の除算又は剰余算の結果として出力する、
ことを特徴とする暗号処理方法。
【請求項10】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第３暗号文を算出し、
前記第１暗号文から、前記第３暗号文と前記第２暗号文の準同型乗算結果を準同型減算して新たな暗号文を算出する演算処理を行い、
前記演算処理の演算結果を新たな前記第１暗号文として、新たな前記第３暗号文を算出し、新たな新たな前記第１暗号文と、前記第２暗号文と、新たな前記第３暗号文と、を用いた前記演算処理を繰り返し実行し、
前記演算処理を全体で所定回繰り返し実行したときに出力した新たな暗号文を、前記第１暗号文に対する前記第２暗号文の除算又は剰余算の結果として出力する、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
【先行技術文献】
【特許文献】
【0004】
【文献】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【文献】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【発明の概要】
【発明が解決しようとする課題】
【0005】
Integer-wiseでの四則演算が可能な準同型暗号としてTFHEを利用することができれば、1ビットずつ計算するよりも効率的に処理を行うことができる。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
一方、乗算に関しては、円周群に乗法演算が定義されていないため自明とは言えない。円周群はＺ加群であるため、円周群上での整数倍のみが定義される。従って、区間で区切った数を法とする逆元を乗算することで平文に対する逆元を求めうる。しかしながら、元の値が割りきれる値である保証がない限り逆元と除算は一致しない。すなわち、余りを有する除算を行うことが出来ない。また、暗号文同士の除算も剰余算も提案されていない。
本発明は、一側面としてInteger-wise型TFHEの四則演算をより完全に実現することを目的とする。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
一方、乗算に関しては、円周群に乗法演算が定義されていないため自明とは言えない。円周群はＺ加群であるため、円周群上での整数倍のみが定義される。従って、区間で区切った数を法とする逆元を乗算することで平文に対する逆元を求めうる。しかしながら、元の値が割りきれる値である保証がない限り逆元と除算は一致しない。すなわち、余りを有する除算を行うことが出来ない。また、暗号文同士の除算も剰余算も提案されていない。
本発明は、一側面としてInteger-wise型TFHEの四則演算をより完全に実現することを目的とする。
【課題を解決するための手段】
【0006】
本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第３暗号文を算出し、前記第１暗号文から、前記第３暗号文と前記第２暗号文の準同型乗算結果を準同型減算して、新たな暗号文を算出する演算処理を行い、前記演算処理の演算結果を新たな前記第１暗号文として新たな前記第３暗号文を算出し、新たな前記第１暗号文と、前記第２暗号文と新たな前記第３暗号文とを用いた前記演算処理を、繰り返し実行し、前記演算処理を全体で所定回繰り返し実行したときに算出した新たな暗号文を、前記第１暗号文に対する前記第２暗号文の除算又は剰余算の結果として出力する、暗号処理装置を特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、Integer-wise型TFHEの四則演算をより完全に実現することが出来る。
【図面の簡単な説明】
【0008】
【図1】本実施形態の暗号処理装置の機能構成を説明する図である。
【図3】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図4】２値Gate Bootstrappingの動作イメージ図である。
【図5】Integer-wise型に適用したTFHEを説明する図である。
【図6】除算・剰余算処理を説明するフローチャートである。
【図7】変形例に係る除算処理を説明するフローチャートである。
【図8】多倍長整数の除算・剰余算を行う暗号処理装置の機能構成を説明する図である。
【図10】暗号処理装置が実行するスカラ除算処理の流れを示すフローチャートである。
【図11】暗号処理装置が実行するスカラ剰余算処理の流れを示すフローチャートである。
【図12】暗号処理装置が実行する多倍長演算処理の流れを示すフローチャートである。
【図13】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図14】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
【0010】
図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、Bootstrapping部（算出部）１５と、出力部１８と、を備えている。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、Bootstrapping部（算出部）１５と、出力部１８と、を備えている。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１演算部１２は、受付部１１が受け付けた入力暗号文に対して、第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部１５から出力される暗号文と、入力暗号文に対して、第２準同型演算を行う。
第３演算部１４は、第１Bootstrapping部１５から出力される暗号文に対して、第３準同型演算を行う。
第１演算部１２、第２演算部１３と、第３演算部１４とは下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１５は、第１演算部１２、第２演算部１３、及び第３演算部１４から出力される、演算結果の少なくとも一方に対して、下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第１演算部１２、第２演算部１３、第３演算部１４、第１Bootstrapping部１５の少なくとも一つが、ハードウェアで実現されてもよい。
第１演算部１２は、受付部１１が受け付けた入力暗号文に対して、第１準同型演算を行う。
第２演算部１３は、第１Bootstrapping部１５から出力される暗号文と、入力暗号文に対して、第２準同型演算を行う。
第３演算部１４は、第１Bootstrapping部１５から出力される暗号文に対して、第３準同型演算を行う。
第１演算部１２、第２演算部１３と、第３演算部１４とは下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１５は、第１演算部１２、第２演算部１３、及び第３演算部１４から出力される、演算結果の少なくとも一方に対して、下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第１演算部１２、第２演算部１３、第３演算部１４、第１Bootstrapping部１５の少なくとも一つが、ハードウェアで実現されてもよい。
【0012】
出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0013】
図２は、図１の機能構成に基づく演算プロセスを詳しく説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
暗号処理装置１は、TLWE暗号文ｃｘ（被除数）、TLWE暗号文ｃｙ（除数）を第１演算部１２に入力してｃｘ－ｃｙの準同型演算（減算）を行い、TLWE暗号文ｃｄを得る。暗号処理装置１は、TLWE暗号文ｃｄを第１Bootstrapping部１５に入力して第１Gate Bootstrappingを行い、ｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
暗号処理装置１は、第２演算部１３において、暗号文ｃｃ、暗号文ｃｘ、暗号文ｃｙを入力してｃｘ－ｃｃ×ｃｙを演算し、剰余のTLWE暗号文ｃｔを出力する。ｃｃ×ｃｙの乗算は、後述するようにGate Bootstrappingを伴う二進数×整数の乗算であり、バイナリ演算部が別途行ってもよい。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
暗号処理装置１は、TLWE暗号文ｃｘ（被除数）、TLWE暗号文ｃｙ（除数）を第１演算部１２に入力してｃｘ－ｃｙの準同型演算（減算）を行い、TLWE暗号文ｃｄを得る。暗号処理装置１は、TLWE暗号文ｃｄを第１Bootstrapping部１５に入力して第１Gate Bootstrappingを行い、ｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
暗号処理装置１は、第２演算部１３において、暗号文ｃｃ、暗号文ｃｘ、暗号文ｃｙを入力してｃｘ－ｃｃ×ｃｙを演算し、剰余のTLWE暗号文ｃｔを出力する。ｃｃ×ｃｙの乗算は、後述するようにGate Bootstrappingを伴う二進数×整数の乗算であり、バイナリ演算部が別途行ってもよい。
【0014】
暗号処理装置１は、剰余の暗号文ｃｔを新たな暗号文ｃｘ（被除数）として、暗号文ｃｃの算出、ｃｘ－ｃｃ×ｃｙの演算を繰り返す。暗号文が取り得る最大の整数値である（ｔ／２）－１回分繰り返した時の暗号文ｃｔを、最終的な剰余（剰余算の結果）として出力する。
暗号処理装置１は、第３演算部１４において、暗号文ｃｃを用いてｃｍ（初期値）＋ｃｃを演算して暗号文ｃｍ’を得る。
暗号処理装置１は、暗号文ｃｃを繰り返し算出する度に、暗号ｃｍ’を新たな暗号文ｃｍとしてｃｍ＋ｃｃを演算する。
暗号文が取り得る最大の整数値である（ｔ／２）－１回分繰り返した時の暗号文ｃｍ’を最終的な商（除算の結果）として出力する。
暗号処理装置１は、第３演算部１４において、暗号文ｃｃを用いてｃｍ（初期値）＋ｃｃを演算して暗号文ｃｍ’を得る。
暗号処理装置１は、暗号文ｃｃを繰り返し算出する度に、暗号ｃｍ’を新たな暗号文ｃｍとしてｃｍ＋ｃｃを演算する。
暗号文が取り得る最大の整数値である（ｔ／２）－１回分繰り返した時の暗号文ｃｍ’を最終的な商（除算の結果）として出力する。
【0015】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0016】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0017】
図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0018】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0019】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0020】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0021】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0022】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0023】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0024】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
【0025】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0026】
０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
【0027】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0028】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0029】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0030】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
【0031】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
【0032】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
【0033】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
【0034】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
【0035】
図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0036】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0037】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
【0038】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式の暗号文である。
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。
従って、
ここで、
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。
【0039】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
【0040】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0041】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0042】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0043】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0044】
(3)キースイッチング
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0045】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0046】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0047】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに除算と剰余算が可能となる。除算と剰余算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算が可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに除算と剰余算が可能となる。除算と剰余算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算が可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
【0048】
図５は、Integer-wise型に適用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、－０／ｔ、４／ｔ、３／ｔ、２／ｔ、１／ｔ、０／ｔの区間に割り当てられている。
図５に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、－０／ｔ、４／ｔ、３／ｔ、２／ｔ、１／ｔ、０／ｔの区間に割り当てられている。
図５に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
【0049】
本実施形態の暗号処理装置１は、以下に示す方法によって、Integer-wise型TFHEの除算、剰余算を実現する。
暗号処理装置１は、上記論文で提示されるGate Bootstrappingを用いて、被除数（割られる数）から除数（割る数）を減算した結果の正負を判定する暗号文を生成する。
暗号処理装置１は、生成した正負を判定する暗号文（後述する暗号文ｃｃ）を用いて三項演算子Ｍｕｘを構成し、除算及び剰余算を実現する。
暗号処理装置１は、上記論文で提示されるGate Bootstrappingを用いて、被除数（割られる数）から除数（割る数）を減算した結果の正負を判定する暗号文を生成する。
暗号処理装置１は、生成した正負を判定する暗号文（後述する暗号文ｃｃ）を用いて三項演算子Ｍｕｘを構成し、除算及び剰余算を実現する。
【0050】
上記のように、暗号処理装置１は、円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。（ｔ／２）－１が、１つのTLWE暗号文に記録できる整数の最大値となる。
次に、暗号処理装置１は、TFHEのシステムパラメータを設定する。
手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎはｔの倍数が好ましい。また、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／２ｔ未満となるようにシステムパラメータを設定する。
被除数（割られる数）のTLWE暗号文ｃｘと、除数（割る数）のTLWE暗号文ｃｙがあるとする。
TLWE暗号文ｃｘは、秘密鍵がなければ知ることのできない整数ｘに対応する実数ｘ／ｔを平文として有する。
TLWE暗号文ｃｙは、秘密鍵がなければ知ることのできない整数ｙに対応する実数ｙ／ｔを平文として有する。
次に、暗号処理装置１は、TFHEのシステムパラメータを設定する。
手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎはｔの倍数が好ましい。また、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／２ｔ未満となるようにシステムパラメータを設定する。
被除数（割られる数）のTLWE暗号文ｃｘと、除数（割る数）のTLWE暗号文ｃｙがあるとする。
TLWE暗号文ｃｘは、秘密鍵がなければ知ることのできない整数ｘに対応する実数ｘ／ｔを平文として有する。
TLWE暗号文ｃｙは、秘密鍵がなければ知ることのできない整数ｙに対応する実数ｙ／ｔを平文として有する。
【0051】
（１）暗号処理装置１は、除算の演算結果である商に対応する暗号文ｃｍに、整数０に対応する自明な暗号文（０，１／（２ｔ））を代入する。なお、ここで１／（２ｔ）は円周群を分割したスライスの中央を設定するためのオフセットであり、実装によって異なる値でもよい。
暗号処理装置１（第１演算部１２）は、準同型演算ｃｘ－ｃｙを行い、TLWE暗号文ｃｄを得る。
ｘ／ｔ－ｙ／ｔからTLWE暗号文ｃｄは、平文として、（ｘ－ｙ）／ｔを有する。
暗号処理装置１（第１演算部１２）は、準同型演算ｃｘ－ｃｙを行い、TLWE暗号文ｃｄを得る。
ｘ／ｔ－ｙ／ｔからTLWE暗号文ｃｄは、平文として、（ｘ－ｙ）／ｔを有する。
【0052】
（２）暗号処理装置１（第１Bootstrapping部１５）は、このTLWE暗号文ｃｄを入力としてGate Bootstrappingを行う。
上記論文では、テストベクタＦ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μにＸｎ／２を乗じてテストベクタ多項式を算出しているが、本実施形態では、テストベクタＦ（Ｘ）をそのままテストベクタ多項式としてBlindRotateを行う。係数μ＝１／（２ｔ）とする。
上記論文通りにSampleExtract及びキースイッチングを行うと、ｘ≧ｙ（ｘ－ｙが０又は正）の場合は１／（２ｔ）が得られ、ｘ＜ｙ（ｘ－ｙが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｘ－ｙの正負に対応するTLWE暗号文ｃｃを得る。
TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｘ≧ｙ（ｘ－ｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｘ＜ｙ（ｘ－ｙが負）の場合、平文として０（シンボル０）を有する。
上記論文では、テストベクタＦ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μにＸｎ／２を乗じてテストベクタ多項式を算出しているが、本実施形態では、テストベクタＦ（Ｘ）をそのままテストベクタ多項式としてBlindRotateを行う。係数μ＝１／（２ｔ）とする。
上記論文通りにSampleExtract及びキースイッチングを行うと、ｘ≧ｙ（ｘ－ｙが０又は正）の場合は１／（２ｔ）が得られ、ｘ＜ｙ（ｘ－ｙが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｘ－ｙの正負に対応するTLWE暗号文ｃｃを得る。
TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｘ≧ｙ（ｘ－ｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｘ＜ｙ（ｘ－ｙが負）の場合、平文として０（シンボル０）を有する。
【0053】
（３）暗号処理装置１（第２演算部１３）は、ｃｔ＝ｃｘ－ｃｃ×ｃｙを計算する。整数の暗号文ｃｙと二進数の暗号文ｃｃの乗算（ｃｃ×ｃｙ）は、下記に説明するバイナリ乗算部による別途の処理によって行うことが出来る。
TLWE暗号文ｃｔは、TLWE暗号文ｃｘからTLWE暗号文ｃｙを準同型減算した余りである。
整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算結果は、ｃｃがシンボル１の場合には暗号文ｃｙがそのまま得られ、ｃｃがシンボル０の場合は０である。
よって、暗号文ｃｔを計算した結果、
ｘ≧ｙの場合（ｃｃがシンボル１）には、
ｃｔ＝ｃｘ－ｃｃ×ｃｙ＝ｃｘ－ｃｙ
となり、
ｘ＜ｙの場合（ｃｃがシンボル０）には、
ｃｔ＝ｃｘ－ｃｃ×ｃｙ＝ｃｘ－０＝ｃｘとなる。
（４）暗号処理装置１は、ｃｍ’＝ｃｍ＋ｃｃを計算することで、ｃｃの値を累加する。
暗号文ｃｃは、平文が１／ｔのとき二進数のシンボル１であり、平文が０のとき二進数でシンボル０である。ｘ≧ｙの計算結果に応じてｃｃの値を累加していくことで、商としてｃｍ’の値を計算することが出来る。
TLWE暗号文ｃｔは、TLWE暗号文ｃｘからTLWE暗号文ｃｙを準同型減算した余りである。
整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算結果は、ｃｃがシンボル１の場合には暗号文ｃｙがそのまま得られ、ｃｃがシンボル０の場合は０である。
よって、暗号文ｃｔを計算した結果、
ｘ≧ｙの場合（ｃｃがシンボル１）には、
ｃｔ＝ｃｘ－ｃｃ×ｃｙ＝ｃｘ－ｃｙ
となり、
ｘ＜ｙの場合（ｃｃがシンボル０）には、
ｃｔ＝ｃｘ－ｃｃ×ｃｙ＝ｃｘ－０＝ｃｘとなる。
（４）暗号処理装置１は、ｃｍ’＝ｃｍ＋ｃｃを計算することで、ｃｃの値を累加する。
暗号文ｃｃは、平文が１／ｔのとき二進数のシンボル１であり、平文が０のとき二進数でシンボル０である。ｘ≧ｙの計算結果に応じてｃｃの値を累加していくことで、商としてｃｍ’の値を計算することが出来る。
【0054】
暗号処理装置１は、TLWE暗号文ｃｘにTLWE暗号文ｃｔを代入し、TLWE暗号文ｃｍにTLWE暗号文ｃｍ’を代入する。
TLWE暗号文ｃｘにTLWE暗号文ｃｔを代入することにより、一度TLWE暗号文ｃｙを減算したあとの値が新たなTLWE暗号文ｃｘの値となる。TLWE暗号文ｃｍにTLWE暗号文ｃｍ’を代入することで、TLWE暗号文ｃｍ’が新たなTLWE暗号文ｃｍの値になる。
そして、暗号処理装置１は、上記した
（１）ｃｘ－ｃｙによるTLWE暗号文ｃｄの算出
（２）TLWE暗号文ｃｄを入力としたGate BootstrappingによるTLWE暗号文ｃｃの算出
（３）ｃｘ－ｃｃ×ｃｙによるTLWE暗号文ｃｔの算出
（４）ｃｍ＋ｃｃによるTLWE暗号文ｃｍ’の算出
を全体で（ｔ／２）－１回繰り返す。
μ＝－１／（２ｔ）として、ｃｔ＝ｃｄ＋ｃｃ×ｃｙとしても同様の結果が得られる。
TLWE暗号文ｃｘにTLWE暗号文ｃｔを代入することにより、一度TLWE暗号文ｃｙを減算したあとの値が新たなTLWE暗号文ｃｘの値となる。TLWE暗号文ｃｍにTLWE暗号文ｃｍ’を代入することで、TLWE暗号文ｃｍ’が新たなTLWE暗号文ｃｍの値になる。
そして、暗号処理装置１は、上記した
（１）ｃｘ－ｃｙによるTLWE暗号文ｃｄの算出
（２）TLWE暗号文ｃｄを入力としたGate BootstrappingによるTLWE暗号文ｃｃの算出
（３）ｃｘ－ｃｃ×ｃｙによるTLWE暗号文ｃｔの算出
（４）ｃｍ＋ｃｃによるTLWE暗号文ｃｍ’の算出
を全体で（ｔ／２）－１回繰り返す。
μ＝－１／（２ｔ）として、ｃｔ＝ｃｄ＋ｃｃ×ｃｙとしても同様の結果が得られる。
【0055】
通常の平文に関しては、被除数から除数を可能な限り減算をし続けた回数と、減算の結果の端数と、を夫々除算の結果（商）、剰余算の結果（余り）として求め得ることが出来る。しかし暗号文に関しては、減算の結果も暗号化されているため、被除数から除数を減算し続けて減算が出来なくなったか否か判定をすることができず、減算が出来なくなったときに減算をやめるという分岐処理も出来ない。
本実施形態では、上記したように、ｃｘ－ｃｙの演算結果に基づいてｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、減算の繰り返し毎にｃｘ（あるいは代入されたｃｔ）からｃｙが減算されていく。
減算を続けていくことでｃｘ（ｃｔ）＜ｃｙとなると暗号文ｃｙはシンボル０となり、繰り返し毎にｃｘ（あるいは代入されたｃｔ）からｃｃが減算されなくなる。暗号文ｃｃの値は復号しない限りは分からないため、ｃｘ≧ｃｙであるか、ｃｘ（ｃｔ）＜ｃｙであるか判別が出来ない。
よって暗号処理装置１は、暗号文が取り得る最大の整数値である（ｔ／２）－１回分繰り返す。
また暗号処理装置１は、暗号文ｃｃを算出する度に加算する。上記のように、ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、ｃｘ（ｃｔ）＜ｃのときにはシンボル０である。
ｃｘ≧ｃｙである間でのシンボル１だけが加算され、シンボル０は実質的に加算されないので、ｃｃを（ｔ／２）－１回分加算することで、ｃｘ≧ｃｙである間にｃｘからｃｙを引いた回数（除算結果）が得られる。
この方法によれば、暗号化したままでは知ることが出来ないｃｘ－ｃｙの減算が出来るか否かの判定や分岐をすることなく、（ｔ／２）－１回分、規定の処理を繰り返すことのみで、暗号文同士の除算、剰余算を行うことが出来る。
以上のように、本実施形態の暗号処理装置１は、上記論文で提示されたGate Bootstrappingによって減算結果の正負を判定する暗号文を生成する。それを用いて、暗号文同士を乗算する方法を適用することにより、三項演算子Ｍｕｘを構成し、除算を実現する。
本実施形態では、上記したように、ｃｘ－ｃｙの演算結果に基づいてｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、減算の繰り返し毎にｃｘ（あるいは代入されたｃｔ）からｃｙが減算されていく。
減算を続けていくことでｃｘ（ｃｔ）＜ｃｙとなると暗号文ｃｙはシンボル０となり、繰り返し毎にｃｘ（あるいは代入されたｃｔ）からｃｃが減算されなくなる。暗号文ｃｃの値は復号しない限りは分からないため、ｃｘ≧ｃｙであるか、ｃｘ（ｃｔ）＜ｃｙであるか判別が出来ない。
よって暗号処理装置１は、暗号文が取り得る最大の整数値である（ｔ／２）－１回分繰り返す。
また暗号処理装置１は、暗号文ｃｃを算出する度に加算する。上記のように、ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、ｃｘ（ｃｔ）＜ｃのときにはシンボル０である。
ｃｘ≧ｃｙである間でのシンボル１だけが加算され、シンボル０は実質的に加算されないので、ｃｃを（ｔ／２）－１回分加算することで、ｃｘ≧ｃｙである間にｃｘからｃｙを引いた回数（除算結果）が得られる。
この方法によれば、暗号化したままでは知ることが出来ないｃｘ－ｃｙの減算が出来るか否かの判定や分岐をすることなく、（ｔ／２）－１回分、規定の処理を繰り返すことのみで、暗号文同士の除算、剰余算を行うことが出来る。
以上のように、本実施形態の暗号処理装置１は、上記論文で提示されたGate Bootstrappingによって減算結果の正負を判定する暗号文を生成する。それを用いて、暗号文同士を乗算する方法を適用することにより、三項演算子Ｍｕｘを構成し、除算を実現する。
【0056】
図６は、除算・剰余算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ１０１において、ｃｍ＝（０，１／（２ｔ））、すなわち整数０に対応する自明な暗号文を代入する。また、ｉ＝１とする。
暗号処理装置１（第１演算部１２）は、ステップＳ１０２において、ｃｘ－ｃｙを演算して、TLWE暗号文ｃｄを得る。
暗号処理装置１（第１演算部１５）は、ステップＳ１０３において、TLWE暗号文ｃｄを入力としたGate Bootstrappingを行い、TLWE暗号文ｃｃを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０４において、ｃｘ－ｃｃ×ｃｙを計算し、TLWE暗号文ｃｔを得る。ｃｃ×ｃｙは、別途バイナリ演算部が演算することが出来る。
暗号処理装置１（第３演算部１４）は、ステップＳ１０５において、ｃｍ＋ｃｃを演算し、TLWE暗号文ｃｍ’を得る。
暗号処理装置１は、ステップＳ１０６において、変数ｉに１を加算してインクリメントする。
暗号処理装置１は、ステップＳ１０７において、ステップＳ１０２～Ｓ１０５の処理を（ｔ／２）－１回繰り返したか（変数ｉの値が（ｔ／２）－１回となったか）否かを判定する。
（ｔ／２）－１回繰り返していないと判定した場合（ステップＳ１０７でＮｏ）、暗号処理装置１は、ステップＳ１０８において、ｃｍにｃｍ’を代入し、ｃｘにｃｘ’を代入し、ステップＳ１０２～Ｓ１０６の処理を繰り返す。
（ｔ／２）－１回繰り返したと判定した場合（ステップＳ１０７でＹｅｓ）、暗号処理装置１は、ステップＳ１０９において、そのときのｃｍ’の値（第３演算部１４の出力値）を（商）に対応する暗号文して出力する。また、暗号処理装置１は、そのときの暗号文ｃｔ（第２演算部１３の出力値）を剰余の値（余り）に対応する暗号文として出力する。
以上の処理によって、Integer-wise型のTLWE暗号文同士の除算、剰余算を実行することが出来た。
暗号処理装置１は、ステップＳ１０１において、ｃｍ＝（０，１／（２ｔ））、すなわち整数０に対応する自明な暗号文を代入する。また、ｉ＝１とする。
暗号処理装置１（第１演算部１２）は、ステップＳ１０２において、ｃｘ－ｃｙを演算して、TLWE暗号文ｃｄを得る。
暗号処理装置１（第１演算部１５）は、ステップＳ１０３において、TLWE暗号文ｃｄを入力としたGate Bootstrappingを行い、TLWE暗号文ｃｃを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０４において、ｃｘ－ｃｃ×ｃｙを計算し、TLWE暗号文ｃｔを得る。ｃｃ×ｃｙは、別途バイナリ演算部が演算することが出来る。
暗号処理装置１（第３演算部１４）は、ステップＳ１０５において、ｃｍ＋ｃｃを演算し、TLWE暗号文ｃｍ’を得る。
暗号処理装置１は、ステップＳ１０６において、変数ｉに１を加算してインクリメントする。
暗号処理装置１は、ステップＳ１０７において、ステップＳ１０２～Ｓ１０５の処理を（ｔ／２）－１回繰り返したか（変数ｉの値が（ｔ／２）－１回となったか）否かを判定する。
（ｔ／２）－１回繰り返していないと判定した場合（ステップＳ１０７でＮｏ）、暗号処理装置１は、ステップＳ１０８において、ｃｍにｃｍ’を代入し、ｃｘにｃｘ’を代入し、ステップＳ１０２～Ｓ１０６の処理を繰り返す。
（ｔ／２）－１回繰り返したと判定した場合（ステップＳ１０７でＹｅｓ）、暗号処理装置１は、ステップＳ１０９において、そのときのｃｍ’の値（第３演算部１４の出力値）を（商）に対応する暗号文して出力する。また、暗号処理装置１は、そのときの暗号文ｃｔ（第２演算部１３の出力値）を剰余の値（余り）に対応する暗号文として出力する。
以上の処理によって、Integer-wise型のTLWE暗号文同士の除算、剰余算を実行することが出来た。
【0057】
暗号文同士の除算を実現する他の例を説明する。この例によれば、商が比として算出され、除算と剰余算を行う図６の例に比べて高速に除算を行うことが出来る。
図６の場合と同様に、被除数ｘの暗号文を暗号文ｃｘ、除数ｙの暗号文を暗号文ｃｙとする。ｘ／ｙに対応する準同型演算結果の暗号文を暗号文ｃｆとする。
暗号処理装置１は、暗号文ｃｆを初期化し、ｃｆ＝（０，１／（２ｔ））とする。（０，１／（２ｔ））は、１／（２ｔ）を平文として有する自明な暗号文である。１／（２ｔ）は円周群を分割したスライスの中央を設定するためのオフセットであり、実装によって異なる値でもよい。
図６の場合と同様に、被除数ｘの暗号文を暗号文ｃｘ、除数ｙの暗号文を暗号文ｃｙとする。ｘ／ｙに対応する準同型演算結果の暗号文を暗号文ｃｆとする。
暗号処理装置１は、暗号文ｃｆを初期化し、ｃｆ＝（０，１／（２ｔ））とする。（０，１／（２ｔ））は、１／（２ｔ）を平文として有する自明な暗号文である。１／（２ｔ）は円周群を分割したスライスの中央を設定するためのオフセットであり、実装によって異なる値でもよい。
【0058】
（１）暗号処理装置１は、暗号文ｃｘ、暗号文ｃｙについて準同型演算ｃｘ－ｃｙを計算し、暗号文ｃｄを得る。
（２）暗号処理装置１は、暗号文ｃｄに対してGate Bootstrappingを行い、ｃｘ－ｃｙの正負に応じて１／ｔ又は０となる新たな暗号文ｃｃを算出する。Gate Bootstrappingでは、上記論文通りにSampleExtract及びキースイッチングを行うと、ｘ≧ｙ（ｘ－ｙが０又は正）の場合は１／（２ｔ）が得られ、ｘ＜ｙ（ｘ－ｙが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｘ－ｙの正負に対応するTLWE暗号文ｃｃを得る。
TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｘ≧ｙ（ｘ－ｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｘ＜ｙ（ｘ－ｙが負）の場合、平文として０（シンボル０）を有する。
ここまでは、除算と剰余算を行う図５の処理と同じである。
（３）暗号処理装置１は、ｃｘ＝ｃｘ－ｃｃ×ｃｙを演算する。
整数の暗号文ｃｙと二進数の暗号文ｃｃの乗算（ｃｙ×ｃｃ）は、下記に説明するバイナリ乗算部による別途の処理によって行うことが出来る。
（４）暗号処理装置１は、ｃｆ＝ｃｆ×２＋ｃｃを演算する。
（５）暗号処理装置１は、暗号文ｃｘを整数のスカラ倍で２倍する
（６）暗号処理装置１は、ｉ＝ｉ＋１を演算する。
（１）～（６）の処理をｍ＝ｌｏｇ＿２（ｔ）回繰り返すと、暗号文ｃｆには上位ビットから順に値が格納され、ｘとｙの比ｆに対応するTLWE暗号文ｃｆが得られる。
（２）暗号処理装置１は、暗号文ｃｄに対してGate Bootstrappingを行い、ｃｘ－ｃｙの正負に応じて１／ｔ又は０となる新たな暗号文ｃｃを算出する。Gate Bootstrappingでは、上記論文通りにSampleExtract及びキースイッチングを行うと、ｘ≧ｙ（ｘ－ｙが０又は正）の場合は１／（２ｔ）が得られ、ｘ＜ｙ（ｘ－ｙが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｘ－ｙの正負に対応するTLWE暗号文ｃｃを得る。
TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｘ≧ｙ（ｘ－ｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｘ＜ｙ（ｘ－ｙが負）の場合、平文として０（シンボル０）を有する。
ここまでは、除算と剰余算を行う図５の処理と同じである。
（３）暗号処理装置１は、ｃｘ＝ｃｘ－ｃｃ×ｃｙを演算する。
整数の暗号文ｃｙと二進数の暗号文ｃｃの乗算（ｃｙ×ｃｃ）は、下記に説明するバイナリ乗算部による別途の処理によって行うことが出来る。
（４）暗号処理装置１は、ｃｆ＝ｃｆ×２＋ｃｃを演算する。
（５）暗号処理装置１は、暗号文ｃｘを整数のスカラ倍で２倍する
（６）暗号処理装置１は、ｉ＝ｉ＋１を演算する。
（１）～（６）の処理をｍ＝ｌｏｇ＿２（ｔ）回繰り返すと、暗号文ｃｆには上位ビットから順に値が格納され、ｘとｙの比ｆに対応するTLWE暗号文ｃｆが得られる。
【0059】
より詳しく説明する。TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｃｘ≧ｃｙ（ｃｘ－ｃｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｃｙ＜ｃｘ（ｃｘ－ｃｙが負）の場合、平文として０（シンボル０）を有する。
整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、下記に説明する方法によってバイナリ演算部によって行うことができ、暗号文ｃｃがシンボル１の場合には、ｃｃ×ｃｙの結果、暗号文ｃｙがそのまま得られ、暗号文ｃｃがシンボル０の場合は、ｃｃ×ｃｙの結果０が得られる。
よって、上記（１）のｃｘ－ｃｙに基づいて（２）で暗号文ｃｃを計算し、（３）でｃｘ＝ｃｘ－ｃｃ×ｃｙを計算した結果、ｃｘ≧ｃｙである（ｃｃがシンボル１である）場合は、ｃｘ＝ｃｘ－ｃｃ×ｃｙ（ｃｘからｃｃ×ｃｙが減算され続ける）、それとともにｃｆ＝ｃｆ×２＋ｃｃとなって暗号文ｃｆが倍になりながら、適宜下位ビットを立てていく。
このような新たな暗号文ｃｃ、新たな暗号文ｃｘ、新たな暗号文ｃｆの算出を、ｍ＝ｌｏｇ＿２（ｔ）回繰り返した結果得られるTLWE暗号文ｃｆは、平文として、ｘ／ｙに対応する
を有する。
整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、下記に説明する方法によってバイナリ演算部によって行うことができ、暗号文ｃｃがシンボル１の場合には、ｃｃ×ｃｙの結果、暗号文ｃｙがそのまま得られ、暗号文ｃｃがシンボル０の場合は、ｃｃ×ｃｙの結果０が得られる。
よって、上記（１）のｃｘ－ｃｙに基づいて（２）で暗号文ｃｃを計算し、（３）でｃｘ＝ｃｘ－ｃｃ×ｃｙを計算した結果、ｃｘ≧ｃｙである（ｃｃがシンボル１である）場合は、ｃｘ＝ｃｘ－ｃｃ×ｃｙ（ｃｘからｃｃ×ｃｙが減算され続ける）、それとともにｃｆ＝ｃｆ×２＋ｃｃとなって暗号文ｃｆが倍になりながら、適宜下位ビットを立てていく。
このような新たな暗号文ｃｃ、新たな暗号文ｃｘ、新たな暗号文ｃｆの算出を、ｍ＝ｌｏｇ＿２（ｔ）回繰り返した結果得られるTLWE暗号文ｃｆは、平文として、ｘ／ｙに対応する
【0060】
平文に関しては、被除数から除数を可能な限り減算をし続けた回数を除算の結果として求め得ることが出来る。しかし暗号文に関しては、減算の結果も暗号化されているため、被除数から除数を減算し続けて減算が出来なくなったか否か判定をすることができず、減算が出来なくなったときに減算をやめるという分岐処理も出来ない。
本実施形態では、上記したように、ｃｘ－ｃｙの演算結果に基づいてｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
上記したが、ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、減算の繰り返し毎にｃｘからｃｙが減算されていく。減算を続けていくことでｃｘ＜ｃｙとなると暗号文ｃｃはシンボル０となり、繰り返し毎にｃｘからｃｙが減算されなくなる。暗号文ｃｃの値は復号しない限りは分からないため、ｃｘ≧ｃｙであるか、ｃｙ＜ｃｘであるか判別が出来ない。
それに対して、暗号処理装置１は、（１）～（６）をｍ＝ｌｏｇ＿２（ｔ）だけ繰り返す。１つのTLWE暗号文に記録できる整数の最大値は√ｔ－１であったが、暗号文が取り得る整数値の個数はｍ＝ｌｏｇ＿２（ｔ）であり、ｍは２をｍ乗するとｔになる値である。
本実施形態では、上記したように、ｃｘ－ｃｙの演算結果に基づいてｃｘ－ｃｙの正負を判定する二進数のTLWE暗号文ｃｃを出力する。
上記したが、ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、減算の繰り返し毎にｃｘからｃｙが減算されていく。減算を続けていくことでｃｘ＜ｃｙとなると暗号文ｃｃはシンボル０となり、繰り返し毎にｃｘからｃｙが減算されなくなる。暗号文ｃｃの値は復号しない限りは分からないため、ｃｘ≧ｃｙであるか、ｃｙ＜ｃｘであるか判別が出来ない。
それに対して、暗号処理装置１は、（１）～（６）をｍ＝ｌｏｇ＿２（ｔ）だけ繰り返す。１つのTLWE暗号文に記録できる整数の最大値は√ｔ－１であったが、暗号文が取り得る整数値の個数はｍ＝ｌｏｇ＿２（ｔ）であり、ｍは２をｍ乗するとｔになる値である。
【0061】
暗号処理装置１は、暗号文ｃｃを算出する度に暗号文ｃｆに加算する。上記のように、ｃｘ≧ｃｙである間は、暗号文ｃｃはシンボル１であり、ｃｘ＜ｃｙのときにはシンボル０である。
ｃｘ≧ｃｙである間でのシンボル１だけが加算され、シンボル０は実質的に加算されず、かつ毎周倍になっていくので、ｃｃをｌｏｇ＿２（ｔ）回分加算することで、ｃｘ≧ｃｙである間にｃｘからｃｙを引いた回数（除算結果）が得られる。
この方法によれば、暗号化したままでは知ることが出来ないｃｘ－ｃｙの減算が出来るか否かの判定や分岐をすることなく、ｌｏｇ＿２（ｔ）回分、規定の処理を繰り返すことで、暗号分同士の除算を行うことが出来る。
ｃｘ≧ｃｙである間でのシンボル１だけが加算され、シンボル０は実質的に加算されず、かつ毎周倍になっていくので、ｃｃをｌｏｇ＿２（ｔ）回分加算することで、ｃｘ≧ｃｙである間にｃｘからｃｙを引いた回数（除算結果）が得られる。
この方法によれば、暗号化したままでは知ることが出来ないｃｘ－ｃｙの減算が出来るか否かの判定や分岐をすることなく、ｌｏｇ＿２（ｔ）回分、規定の処理を繰り返すことで、暗号分同士の除算を行うことが出来る。
【0062】
図７は、変形例に係る除算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ１５１において、ｃｆ＝（０，１／（２ｔ））、すなわち整数０に対応する自明な暗号文を代入する。また、ｉ＝１とする。
暗号処理装置１は、ステップＳ１５２において、ｃｘ－ｃｙを演算して、TLWE暗号文ｃｄを得る。
暗号処理装置１は、ステップＳ１５３において、TLWE暗号文ｃｄを入力としたGate Bootstrappingを行い、TLWE暗号文ｃｃを得る。
暗号処理装置１は、ステップＳ１５４において、ｃｘ＝ｃｘ－ｃｃ×ｃｙを計算する。ｃｃ×ｃｙは、別途バイナリ演算部が演算することが出来る。
暗号処理装置１は、ステップＳ１５５において、ｃｆ＝ｃｆ×２＋ｃｃを演算する。
暗号処理装置１は、ステップＳ１５６において、ｃｘ＝ｃｘ×２を演算する。
暗号処理装置１は、ステップＳ１５７において、変数ｉに１を加算してインクリメントする。
暗号処理装置１は、ステップＳ１５８において、ステップＳ１５２～Ｓ１５７の処理をｌｏｇ＿２（ｔ）回繰り返したか（変数ｉの値がｌｏｇ＿２（ｔ）回となったか）否かを判定する。
ｌｏｇ＿２（ｔ）回繰り返していないと判定した場合（ステップＳ１５８でＮｏ）、暗号処理装置１は、ステップＳ１５２～Ｓ１５７の処理を繰り返す。
ｌｏｇ＿２（ｔ）回繰り返したと判定した場合（ステップＳ１５８でＹｅｓ）、暗号処理装置１は、ステップＳ１５９において、そのときのｃｆの値を商に対応する暗号文して出力する。
以上の処理によって、Integer-wise型のTLWE暗号文同士の除算を実行することが出来た。
暗号処理装置１は、ステップＳ１５１において、ｃｆ＝（０，１／（２ｔ））、すなわち整数０に対応する自明な暗号文を代入する。また、ｉ＝１とする。
暗号処理装置１は、ステップＳ１５２において、ｃｘ－ｃｙを演算して、TLWE暗号文ｃｄを得る。
暗号処理装置１は、ステップＳ１５３において、TLWE暗号文ｃｄを入力としたGate Bootstrappingを行い、TLWE暗号文ｃｃを得る。
暗号処理装置１は、ステップＳ１５４において、ｃｘ＝ｃｘ－ｃｃ×ｃｙを計算する。ｃｃ×ｃｙは、別途バイナリ演算部が演算することが出来る。
暗号処理装置１は、ステップＳ１５５において、ｃｆ＝ｃｆ×２＋ｃｃを演算する。
暗号処理装置１は、ステップＳ１５６において、ｃｘ＝ｃｘ×２を演算する。
暗号処理装置１は、ステップＳ１５７において、変数ｉに１を加算してインクリメントする。
暗号処理装置１は、ステップＳ１５８において、ステップＳ１５２～Ｓ１５７の処理をｌｏｇ＿２（ｔ）回繰り返したか（変数ｉの値がｌｏｇ＿２（ｔ）回となったか）否かを判定する。
ｌｏｇ＿２（ｔ）回繰り返していないと判定した場合（ステップＳ１５８でＮｏ）、暗号処理装置１は、ステップＳ１５２～Ｓ１５７の処理を繰り返す。
ｌｏｇ＿２（ｔ）回繰り返したと判定した場合（ステップＳ１５８でＹｅｓ）、暗号処理装置１は、ステップＳ１５９において、そのときのｃｆの値を商に対応する暗号文して出力する。
以上の処理によって、Integer-wise型のTLWE暗号文同士の除算を実行することが出来た。
【0063】
［整数と二進数の暗号文の乗算（バイナリ乗算）］
バイナリ乗算部による整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、例えば以下のように行うことが出来る。
図５に示したように本実施形態では、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割しており、暗号文ｃｙは０～（ｔ／２）－１の暗号文である。
上記では、暗号文ｃｃは、平文が１／ｔのとき二進数のシンボル１であり、平文が０のとき二進数でシンボル０であると説明した。
暗号文ｃｃをｔ／２倍して自明な暗号文（０，１／２）を加算することで、シンボルを反転した暗号文ｃｃ’を得ることが出来る。説明のために特に記載するが、暗号文ｃｃ’の算出は必ずしも必要な処理ではなく、暗号文ｃｃのままバイナリ乗算を行うことも出来る。シンボル０、１に対応する二値を取り得るという点で暗号文ｃｃ’と暗号文ｃｃは同義の暗号文である。
暗号文ｃｃは、平文が１／ｔのとき、ｔ／２倍をした上で（０，１／２）を加算すると、（１／ｔ）×（ｔ／２）＋１／２＝１／２＋１／２＝１（０）となる。
暗号文ｃｃは、平文が０のとき、ｔ／２倍をした上で（０，１／２）を加算すると、０×（ｔ／２）＋１／２＝０＋１／２＝１／２となる。
このようにして得た暗号文ｃｃ’は、平文が０のときにシンボル１となり、平文が１／２のときにシンボル０となる。
下記では、平文として整数０又は整数ｔ／２を有する暗号文に暗号文ｃｃ’を対応付けて説明する。ｔは偶数である。
上記に算出した暗号文ｃｃ’の平文０を整数０に対応づけ、暗号文ｃｃ’の平文１／２を下記の整数ｔ／２に対応づける。
平文が整数０のとき二進数のシンボル１であり、平文が整数ｔ／２のとき二進数のシンボル０である暗号文ｃｃ’として暗号文ｃｃを説明する。
整数の暗号文ｃｙと二進数の暗号文ｃｃ’の乗算を行うために、Gate Bootstrappingの要素として、２つの一変数関数ＦidとＦhalfを用いる。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
一変数関数Ｆidは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
BlindRotateと同時に一変数関数ｆidを実行するためのテストベクタＴid（Ｘ）は、０次からｎ－１次の各次数の係数として、
を設定する。
一変数関数ｆhalfは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、平文整数の値が偶数であれば、ｃｙ／２を算出し、それ以外では－（ｃｙ＋１）／２－（（ｔ／２）－１）／２を算出する関数である。
BlindRotateと同時に一変数関数ｆhalfを実行するためのテストベクタＴhalf（Ｘ）は、０次からｎ－１次の各次数の係数として、
を設定する。
まず暗号処理装置１は、二値の暗号文であるTLWE暗号文ｃｃ’と、整数の暗号文であるTLWE暗号文ｃｙと、の準同型演算を行う。
暗号処理装置１は、準同型演算の結果を入力として、上記テストベクタ多項式Ｔid（Ｘ）を用いてGate Bootstrappingを行い、一時暗号文ｃｔｍｐを得る。
TLWE暗号文ｃｃ’がｔ／２（シンボル０、暗号文ｃｃの平文０に対応）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔ＋１／２の暗号文であり、TLWE暗号文ｃｙの平文は、原点に対して対称な位置に回転する（１／２は円周群の半周分）。テストベクタ多項式Ｔid（Ｘ）を用いたGate Bootstrappingのあとの暗号文ｃｔｍｐの平文は、左右対称の位置に移動する。暗号文ｃｔｍｐは暗号文ｃｙの符号を反転させた暗号文である。
TLWE暗号文ｃｃ’が０（シンボル１、暗号文ｃｃの平文１／ｔに対応）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔの暗号文であり、Bootstrappingのあとの暗号文ｃｔｍｐは暗号文ｃｙの平文と同じ平文のままである。
そこで暗号処理装置１は暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算を行う。
TLWE暗号文ｃｃ’が０（シンボル１）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、暗号文ｃｙ＋暗号文ｃｙである。
TLWE暗号文ｃｃ’がｔ／２（シンボル０）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、平文が０となる暗号文ｃ０である。
暗号処理装置１は、準同型加算の結果を入力として、上記テストベクタ多項式Ｔhalf（Ｘ）を用いてGate Bootstrappingを行う。Gate Bootstrappingの結果、暗号文ｃｙ＋暗号文ｃｙは暗号文ｃｙに変換され、暗号文ｃ０は暗号文ｃ０のままである。
整数の暗号文ｃｙに乗算するTLWE暗号文ｃｃ’が０の暗号文である場合に、Gate Bootstrappingにおいて暗号文ｃｙが得られ、TLWE暗号文ｃｃ’がｔ／２の暗号文である場合に暗号文ｃ０が得られる。
以上のようにすることで、暗号処理装置１は、整数の暗号文ｃｙと二進数の暗号文ｃｃ’との乗算を行うことが出来る。
なお、上記したように暗号文ｃｃで利用する円周群上の値が異なるため、Gate Bootstrappingで得られた値を２ｔ倍することにより調整を行う必要がある。ここで２ｔは整数であるため、円周群上で乗算が定義されている。
バイナリ乗算部による整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、例えば以下のように行うことが出来る。
図５に示したように本実施形態では、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割しており、暗号文ｃｙは０～（ｔ／２）－１の暗号文である。
上記では、暗号文ｃｃは、平文が１／ｔのとき二進数のシンボル１であり、平文が０のとき二進数でシンボル０であると説明した。
暗号文ｃｃをｔ／２倍して自明な暗号文（０，１／２）を加算することで、シンボルを反転した暗号文ｃｃ’を得ることが出来る。説明のために特に記載するが、暗号文ｃｃ’の算出は必ずしも必要な処理ではなく、暗号文ｃｃのままバイナリ乗算を行うことも出来る。シンボル０、１に対応する二値を取り得るという点で暗号文ｃｃ’と暗号文ｃｃは同義の暗号文である。
暗号文ｃｃは、平文が１／ｔのとき、ｔ／２倍をした上で（０，１／２）を加算すると、（１／ｔ）×（ｔ／２）＋１／２＝１／２＋１／２＝１（０）となる。
暗号文ｃｃは、平文が０のとき、ｔ／２倍をした上で（０，１／２）を加算すると、０×（ｔ／２）＋１／２＝０＋１／２＝１／２となる。
このようにして得た暗号文ｃｃ’は、平文が０のときにシンボル１となり、平文が１／２のときにシンボル０となる。
下記では、平文として整数０又は整数ｔ／２を有する暗号文に暗号文ｃｃ’を対応付けて説明する。ｔは偶数である。
上記に算出した暗号文ｃｃ’の平文０を整数０に対応づけ、暗号文ｃｃ’の平文１／２を下記の整数ｔ／２に対応づける。
平文が整数０のとき二進数のシンボル１であり、平文が整数ｔ／２のとき二進数のシンボル０である暗号文ｃｃ’として暗号文ｃｃを説明する。
整数の暗号文ｃｙと二進数の暗号文ｃｃ’の乗算を行うために、Gate Bootstrappingの要素として、２つの一変数関数ＦidとＦhalfを用いる。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
一変数関数Ｆidは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
BlindRotateと同時に一変数関数ｆidを実行するためのテストベクタＴid（Ｘ）は、０次からｎ－１次の各次数の係数として、
一変数関数ｆhalfは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、平文整数の値が偶数であれば、ｃｙ／２を算出し、それ以外では－（ｃｙ＋１）／２－（（ｔ／２）－１）／２を算出する関数である。
BlindRotateと同時に一変数関数ｆhalfを実行するためのテストベクタＴhalf（Ｘ）は、０次からｎ－１次の各次数の係数として、
まず暗号処理装置１は、二値の暗号文であるTLWE暗号文ｃｃ’と、整数の暗号文であるTLWE暗号文ｃｙと、の準同型演算を行う。
暗号処理装置１は、準同型演算の結果を入力として、上記テストベクタ多項式Ｔid（Ｘ）を用いてGate Bootstrappingを行い、一時暗号文ｃｔｍｐを得る。
TLWE暗号文ｃｃ’がｔ／２（シンボル０、暗号文ｃｃの平文０に対応）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔ＋１／２の暗号文であり、TLWE暗号文ｃｙの平文は、原点に対して対称な位置に回転する（１／２は円周群の半周分）。テストベクタ多項式Ｔid（Ｘ）を用いたGate Bootstrappingのあとの暗号文ｃｔｍｐの平文は、左右対称の位置に移動する。暗号文ｃｔｍｐは暗号文ｃｙの符号を反転させた暗号文である。
TLWE暗号文ｃｃ’が０（シンボル１、暗号文ｃｃの平文１／ｔに対応）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔの暗号文であり、Bootstrappingのあとの暗号文ｃｔｍｐは暗号文ｃｙの平文と同じ平文のままである。
そこで暗号処理装置１は暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算を行う。
TLWE暗号文ｃｃ’が０（シンボル１）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、暗号文ｃｙ＋暗号文ｃｙである。
TLWE暗号文ｃｃ’がｔ／２（シンボル０）の暗号文である場合、暗号文ｃｙ＋暗号文ｃｔｍｐの準同型演算結果は、平文が０となる暗号文ｃ０である。
暗号処理装置１は、準同型加算の結果を入力として、上記テストベクタ多項式Ｔhalf（Ｘ）を用いてGate Bootstrappingを行う。Gate Bootstrappingの結果、暗号文ｃｙ＋暗号文ｃｙは暗号文ｃｙに変換され、暗号文ｃ０は暗号文ｃ０のままである。
整数の暗号文ｃｙに乗算するTLWE暗号文ｃｃ’が０の暗号文である場合に、Gate Bootstrappingにおいて暗号文ｃｙが得られ、TLWE暗号文ｃｃ’がｔ／２の暗号文である場合に暗号文ｃ０が得られる。
以上のようにすることで、暗号処理装置１は、整数の暗号文ｃｙと二進数の暗号文ｃｃ’との乗算を行うことが出来る。
なお、上記したように暗号文ｃｃで利用する円周群上の値が異なるため、Gate Bootstrappingで得られた値を２ｔ倍することにより調整を行う必要がある。ここで２ｔは整数であるため、円周群上で乗算が定義されている。
【0064】
図６で説明した除算・剰余算、図７で説明した変形例の除算の対象となるInteger-wise型のTLWE暗号文は、多倍長整数（BIG INTEGER）の暗号文であってもよい。暗号文同士の除算、剰余算の演算方法は図６、図７を使用した上記の説明と同じである。
ただし、夫々多倍長整数であるTLWE暗号文ｃｘ（被除数）、TLWE暗号文ｃｙ（除数）の除算、剰余算を行う場合、ｃｘ－ｃｙの準同型減算を行ってTLWE暗号文ｃｄを得るときに、暗号処理装置１は下記に説明する多倍長演算を行う必要がある。
ただし、下記に示す多倍長演算の方法は一例でありこれに限定されることはなく、他の公知の方法を用いることも出来る。
ただし、夫々多倍長整数であるTLWE暗号文ｃｘ（被除数）、TLWE暗号文ｃｙ（除数）の除算、剰余算を行う場合、ｃｘ－ｃｙの準同型減算を行ってTLWE暗号文ｃｄを得るときに、暗号処理装置１は下記に説明する多倍長演算を行う必要がある。
ただし、下記に示す多倍長演算の方法は一例でありこれに限定されることはなく、他の公知の方法を用いることも出来る。
【0065】
一例において、暗号処理装置１は、準同型暗号に対するスカラ除算・剰余算を実現し、さらに、スカラ除算・スカラ剰余算の結果を用いて準同型暗号の多倍長演算を実現する。
多倍長演算は、１つの数を１つ以上の演算単位に分割して計算を行う。多倍長演算によって、暗号の強度を損なうことなく大きな数値を扱うことができるようになる。
スカラ除算・スカラ剰余算を実現するために、暗号処理装置１は、上記論文で提示されるGate Bootstrappingに改良を行う。
暗号処理装置１は、BlindRotateに入力するTRLWE暗号文（テストベクタとしての多項式Ｆ（Ｘ））を、夫々階段関数、ノコギリ波関数の結果を係数とする多項式とする。
暗号処理装置１は、このようなTRLWE暗号文を除数から算出し、このようなTRLWE暗号文を用いてBlindRotateを行うことで、スカラ除算・スカラ剰余算を実現する。多倍長演算の中身や、それを用いて行う暗号などの処理は一般的に知られているものがそのまま使える。
以下に説明する方法で、スカラ除算又はスカラ剰余算が可能である。スカラ除算、スカラ剰余算は、Integer-wise型の暗号文を暗号文ではない実数で割ったときの商、剰余を求める演算である。スカラ除算又はスカラ剰余算が可能となることで、TFHEをInteger-wise型での四則演算が可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
さらにスカラ除算又はスカラ剰余算の結果を用いて、準同型暗号の多倍長演算を実現することができる。
多倍長演算は、１つの数を１つ以上の演算単位に分割して計算を行う。多倍長演算によって、暗号の強度を損なうことなく大きな数値を扱うことができるようになる。
スカラ除算・スカラ剰余算を実現するために、暗号処理装置１は、上記論文で提示されるGate Bootstrappingに改良を行う。
暗号処理装置１は、BlindRotateに入力するTRLWE暗号文（テストベクタとしての多項式Ｆ（Ｘ））を、夫々階段関数、ノコギリ波関数の結果を係数とする多項式とする。
暗号処理装置１は、このようなTRLWE暗号文を除数から算出し、このようなTRLWE暗号文を用いてBlindRotateを行うことで、スカラ除算・スカラ剰余算を実現する。多倍長演算の中身や、それを用いて行う暗号などの処理は一般的に知られているものがそのまま使える。
以下に説明する方法で、スカラ除算又はスカラ剰余算が可能である。スカラ除算、スカラ剰余算は、Integer-wise型の暗号文を暗号文ではない実数で割ったときの商、剰余を求める演算である。スカラ除算又はスカラ剰余算が可能となることで、TFHEをInteger-wise型での四則演算が可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
さらにスカラ除算又はスカラ剰余算の結果を用いて、準同型暗号の多倍長演算を実現することができる。
【0066】
図８は、多倍長整数の除算、剰余算を行う暗号処理装置の機能構成を説明する図である。
図８の構成は、図１の構成の変形例であり、図１と同じ構成については、同じ符号を付して説明は省略する。
制御部１０は、図１の構成に加えて、第４演算部３２と、第５演算部３３と、第２Bootstrapping部（算出部）３５と、第３Bootstrapping部（算出部）３６と、備えている。
第４演算部３２、第５演算部３３は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第２Bootstrapping部３５と、第３Bootstrapping部３６は、第４演算部３２、第５演算部３３から出力される、演算結果の少なくとも一方に対して、下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第４演算部３２、第５演算部３３、第２Bootstrapping部３５、第３Bootstrapping部３６の少なくとも一つが、ハードウェアで実現されてもよい。
図８の構成は、図１の構成の変形例であり、図１と同じ構成については、同じ符号を付して説明は省略する。
制御部１０は、図１の構成に加えて、第４演算部３２と、第５演算部３３と、第２Bootstrapping部（算出部）３５と、第３Bootstrapping部（算出部）３６と、備えている。
第４演算部３２、第５演算部３３は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第２Bootstrapping部３５と、第３Bootstrapping部３６は、第４演算部３２、第５演算部３３から出力される、演算結果の少なくとも一方に対して、下記に説明するGate Bootstrapping処理を行って、新たな暗号文を出力する。
第４演算部３２、第５演算部３３、第２Bootstrapping部３５、第３Bootstrapping部３６の少なくとも一つが、ハードウェアで実現されてもよい。
【0067】
図９は、図８の機能構成に基づく演算プロセスを詳しく説明する図である。
図９（a）は、スカラ演算（スカラ除算、スカラ剰余算）を行うための機能構成、図９（ｂ）は、スカラ演算を含み多倍長演算を行うための機能構成を示している。
図９（ａ）において、第４演算部３２、第２Bootstrapping部３５は図９（ｂ）のスカラ除算部を構成し、第４準同型演算の演算結果に対してスカラ除算を実行する。例えば、整数ｘを平文として有する暗号文ｃｘが入力されると、第４演算部３２は暗号文ｃｘの２ｎ倍する第４準同型演算を行い、新たな暗号文ｃｘ’を得る。
なお、ここでいう整数ｘ及びその暗号文ｃｘは、スカラ除算、スカラ剰余算を説明するため便宜上用いられるものであり、除算・剰余算（図６）及び変形例の除算（図７）の対象となる、多倍長ではない整数やその暗号文とは区別される。
図９（a）は、スカラ演算（スカラ除算、スカラ剰余算）を行うための機能構成、図９（ｂ）は、スカラ演算を含み多倍長演算を行うための機能構成を示している。
図９（ａ）において、第４演算部３２、第２Bootstrapping部３５は図９（ｂ）のスカラ除算部を構成し、第４準同型演算の演算結果に対してスカラ除算を実行する。例えば、整数ｘを平文として有する暗号文ｃｘが入力されると、第４演算部３２は暗号文ｃｘの２ｎ倍する第４準同型演算を行い、新たな暗号文ｃｘ’を得る。
なお、ここでいう整数ｘ及びその暗号文ｃｘは、スカラ除算、スカラ剰余算を説明するため便宜上用いられるものであり、除算・剰余算（図６）及び変形例の除算（図７）の対象となる、多倍長ではない整数やその暗号文とは区別される。
【0068】
暗号文ｃｘの２ｎ倍は暗号文の整数倍であり、上記に説明したように暗号文の整数倍は円周群上に定義されている。従って、暗号文ｃｘ’は従来知られる方法から得られる。
暗号文ｃｘ’を入力された第２Bootstrapping部３５はGate Bootstrappingを行うと同時に、暗号文ｃｘ’を所定の平文で割るスカラ除算を行う。
また暗号文ｃｘ’を入力された第３Bootstrapping部３６はGate Bootstrappingを行うと同時に、暗号文ｃｘ’を所定の平文で割った余りを求めるスカラ剰余算を行う。
図９（ａ）において、第４演算部３２、第２Bootstrapping部３５は図９（ｂ）のスカラ除算部を構成し、第２準同型演算の演算結果に対してスカラ除算を実行する。
また図９（ａ）において、第４演算部３２、第３Bootstrapping部３６は図９（ｂ）のスカラ剰余算部を構成し、第２準同型演算の演算結果に対してスカラ剰余算を実行する。
暗号文ｃｘ’を入力された第２Bootstrapping部３５はGate Bootstrappingを行うと同時に、暗号文ｃｘ’を所定の平文で割るスカラ除算を行う。
また暗号文ｃｘ’を入力された第３Bootstrapping部３６はGate Bootstrappingを行うと同時に、暗号文ｃｘ’を所定の平文で割った余りを求めるスカラ剰余算を行う。
図９（ａ）において、第４演算部３２、第２Bootstrapping部３５は図９（ｂ）のスカラ除算部を構成し、第２準同型演算の演算結果に対してスカラ除算を実行する。
また図９（ａ）において、第４演算部３２、第３Bootstrapping部３６は図９（ｂ）のスカラ剰余算部を構成し、第２準同型演算の演算結果に対してスカラ剰余算を実行する。
【0069】
図９（ｂ）は、図９（ａ）のスカラ除算部、スカラ剰余算部を用いて暗号文同士の多倍長演算（加算）を行う場合の構成を示している。
図９（ｂ）において、第５演算部３３は、演算対象の入力暗号文ｃａ、ｃｂを夫々分割したｉ番目の部分と、ｉ－1番目にスカラ除算部から出力された商の暗号文ｃｅｉ－1（後に詳述する繰り上がり）とに対して第５準同型演算（ｃａｉ＋ｃｂｉ＋ｃｅｉ－1）を行う。ただし初回（ｉ＝１）の第２準同型演算を行う場合は、下記に説明するようにｃｅｉ－１は０を平文とする暗号文であり、単にｃａｉ＋ｃｂｉ（ｉ＝１）を行うのみである。
第５準同型演算の出力である暗号文ｃｚは、スカラ除算部、スカラ剰余算部に入力されて、暗号文ｃｚを平文で割ったときの除算結果である商の暗号文ｃｅ、剰余算結果である剰余の暗号文ｃｍｉが出力される。
商の暗号文ｃｅは第５演算部３３に戻され、第５演算部３３は、入力暗号文ｃａ、ｃｂのｉ＋１番目の部分と商の暗号文ｃｅの第５準同型演算を行う。次のスカラ除算、スカラ剰余算を行われる。
第５準同型演算、スカラ除算、スカラ剰余算を繰り返し行い、全体で所定回数繰り返したときのスカラ剰余算の結果である暗号文ｃｍの列が、多倍長演算（加算）の演算結果となる。
第５準同型演算として、ｃａｉ＋ｃｂｉ＋ｃｅｉ－1に代えて準同型減算ｃａｉ－ｃｂｉ－ｃｅｉ－１、を行うことで暗号文同士の多倍長演算（減算）を行うことが出来る。暗号文ｃｍの列が、多倍長減算の演算結果である。
図９（ｂ）において、第５演算部３３は、演算対象の入力暗号文ｃａ、ｃｂを夫々分割したｉ番目の部分と、ｉ－1番目にスカラ除算部から出力された商の暗号文ｃｅｉ－1（後に詳述する繰り上がり）とに対して第５準同型演算（ｃａｉ＋ｃｂｉ＋ｃｅｉ－1）を行う。ただし初回（ｉ＝１）の第２準同型演算を行う場合は、下記に説明するようにｃｅｉ－１は０を平文とする暗号文であり、単にｃａｉ＋ｃｂｉ（ｉ＝１）を行うのみである。
第５準同型演算の出力である暗号文ｃｚは、スカラ除算部、スカラ剰余算部に入力されて、暗号文ｃｚを平文で割ったときの除算結果である商の暗号文ｃｅ、剰余算結果である剰余の暗号文ｃｍｉが出力される。
商の暗号文ｃｅは第５演算部３３に戻され、第５演算部３３は、入力暗号文ｃａ、ｃｂのｉ＋１番目の部分と商の暗号文ｃｅの第５準同型演算を行う。次のスカラ除算、スカラ剰余算を行われる。
第５準同型演算、スカラ除算、スカラ剰余算を繰り返し行い、全体で所定回数繰り返したときのスカラ剰余算の結果である暗号文ｃｍの列が、多倍長演算（加算）の演算結果となる。
第５準同型演算として、ｃａｉ＋ｃｂｉ＋ｃｅｉ－1に代えて準同型減算ｃａｉ－ｃｂｉ－ｃｅｉ－１、を行うことで暗号文同士の多倍長演算（減算）を行うことが出来る。暗号文ｃｍの列が、多倍長減算の演算結果である。
【0070】
［スカラ除算・スカラ剰余算］
図９（ａ）に対応して、多倍長演算に用いるスカラ除算、スカラ剰余算の方法を詳しく説明する。
図５で説明したように、暗号処理装置１は円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。（ｔ／２）－１が、１つのTLWE暗号文に記録できる整数の最大値となる。
暗号処理装置１は、TFHE暗号のシステムパラメータを設定する。手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎはｔの倍数が好ましい。またGate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（２ｔ）未満となるように、システムパラメータを設定する。
図９（ａ）に対応して、多倍長演算に用いるスカラ除算、スカラ剰余算の方法を詳しく説明する。
図５で説明したように、暗号処理装置１は円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。（ｔ／２）－１が、１つのTLWE暗号文に記録できる整数の最大値となる。
暗号処理装置１は、TFHE暗号のシステムパラメータを設定する。手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎはｔの倍数が好ましい。またGate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（２ｔ）未満となるように、システムパラメータを設定する。
【0071】
被除数（割られる数）のTLWE暗号文ｃｘがあるとする。
TLWE暗号文ｃｘは、秘密鍵がなければ知ることができない、整数ｘ（割る数）に対応する実数ｘ／２ｔを平文として有する。
TLWE暗号文ｃｘを実数ｙで除算あるいは剰余算する。ここでいう整数ｘ、実数ｙ、暗号文ｃｘは、スカラ除算、スカラ剰余算を説明するため用いられるものであり、除算・剰余算（図６）及び変形例の除算（図７）の対象となる多倍長ではない整数やその暗号文とは区別される。
TLWE暗号文ｃｘは、秘密鍵がなければ知ることができない、整数ｘ（割る数）に対応する実数ｘ／２ｔを平文として有する。
TLWE暗号文ｃｘを実数ｙで除算あるいは剰余算する。ここでいう整数ｘ、実数ｙ、暗号文ｃｘは、スカラ除算、スカラ剰余算を説明するため用いられるものであり、除算・剰余算（図６）及び変形例の除算（図７）の対象となる多倍長ではない整数やその暗号文とは区別される。
【0072】
暗号化された２変数に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Miｃｚiancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。同論文では、テストベクタ多項式として、
を用いることを提案している。
【0073】
暗号処理装置１は、以下のテストベクタ多項Ｔ１（Ｘ）、Ｔ２（Ｘ）を用いる。
テストベクタ多項式Ｔ１は、除算用のテストベクタ多項式である。
テストベクタ多項式Ｔ２は、剰余算用のテストベクタ多項式である。
２つのテストベクタ多項式に共通する
は、円周群をｔで分割した１区間に対応する。
テストベクタ多項式Ｔ１（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、割られる数（被除数）の暗号文を平文ｙ（除数）で割った除算を得る関数（ｔ／ｙ）の結果を係数として設定している。
暗号処理装置１は、TLWE暗号文ｃｘ、平文ｙを夫々Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ１を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行うことで、除算結果（商）に対応するｘ／ｙを平文とするTLWE暗号文を得ることが出来る。
テストベクタ多項式Ｔ２（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、割られる数（被除数）の暗号文を平文ｙ（除数）で割った余り（剰余）を得る関数（ｔ ｍｏｄ ｙ）の結果を係数として設定している。
暗号処理装置１は、TLWE暗号文ｃｘ、平文ｙを夫々Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ２を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行うことで、剰余算の結果（剰余）に対応するｔ ｍｏｄ ｙを平文とするTLWE暗号文を得ることが出来る。
テストベクタ多項式Ｔ１は、除算用のテストベクタ多項式である。
テストベクタ多項式Ｔ２は、剰余算用のテストベクタ多項式である。
テストベクタ多項式Ｔ１（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、割られる数（被除数）の暗号文を平文ｙ（除数）で割った除算を得る関数（ｔ／ｙ）の結果を係数として設定している。
暗号処理装置１は、TLWE暗号文ｃｘ、平文ｙを夫々Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ１を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行うことで、除算結果（商）に対応するｘ／ｙを平文とするTLWE暗号文を得ることが出来る。
テストベクタ多項式Ｔ２（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、割られる数（被除数）の暗号文を平文ｙ（除数）で割った余り（剰余）を得る関数（ｔ ｍｏｄ ｙ）の結果を係数として設定している。
暗号処理装置１は、TLWE暗号文ｃｘ、平文ｙを夫々Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ２を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行うことで、剰余算の結果（剰余）に対応するｔ ｍｏｄ ｙを平文とするTLWE暗号文を得ることが出来る。
【0074】
まず、暗号処理装置１は、上記テストベクタ多項式Ｔ１（Ｘ）、Ｔ２（Ｘ）を夫々平文として有する自明な暗号文（０，Ｔ１（Ｘ））及び（０，Ｔ２（Ｘ））を作成する。
暗号処理装置１（第４演算部３２）は、TLWE暗号文ｃｘの各係数を２ｎ倍して四捨五入し、TLWE暗号文ｃｘ’を得る。TLWE暗号文ｃｘ’は、平文として、
を有する。
暗号処理装置１（第２Gate Bootstrapping部３５）は、TLWE暗号文ｃｘ’を入力として、テストベクタ多項式Ｔ１（Ｘ）を用いたBlindRotateを行う。BlindRotateの結果得られる平文多項式の定数項の係数は
である。εは、BlindRotateによって発生する誤差である。
また暗号処理装置１（第３Gate Bootstrapping部３６）は、TLWE暗号文ｃｘ’を入力として、テストベクタ多項式Ｔ２（Ｘ）を用いたBlindRotateを行う。
BlindRotateの結果得られる平文多項式の定数項の係数は、
である。ここでεは、BlindRotateによって発生する誤差である。
暗号処理装置１（第４演算部３２）は、TLWE暗号文ｃｘの各係数を２ｎ倍して四捨五入し、TLWE暗号文ｃｘ’を得る。TLWE暗号文ｃｘ’は、平文として、
暗号処理装置１（第２Gate Bootstrapping部３５）は、TLWE暗号文ｃｘ’を入力として、テストベクタ多項式Ｔ１（Ｘ）を用いたBlindRotateを行う。BlindRotateの結果得られる平文多項式の定数項の係数は
また暗号処理装置１（第３Gate Bootstrapping部３６）は、TLWE暗号文ｃｘ’を入力として、テストベクタ多項式Ｔ２（Ｘ）を用いたBlindRotateを行う。
BlindRotateの結果得られる平文多項式の定数項の係数は、
【0075】
暗号処理装置１は、夫々のBlindRotateの結果得られるTRLWE暗号文に対して、通常のGate Bootstrappingと同様に、SampleExtractとキースイッチングを行う。その結果、暗号処理装置１は、除算の演算結果（商）に対応するTLWE暗号文ｃｑと、剰余算の演算結果（剰余）に対応するTLWE暗号文ｃｒを得る。
TLWE暗号文ｃｑは、平文として、テストベクタ多項式Ｔ１（Ｘ）を用いたBlindRotateの結果得られた平文多項式の定数項の係数に対応する
を有する。
TLWE暗号文ｃｒは、平文として、テストベクタ多項式Ｔ２（Ｘ）を用いたBlindRotateの結果得られた平文多項式の定数項の係数に対応する
を有する。
TLWE暗号文ｃｑは、平文として、テストベクタ多項式Ｔ１（Ｘ）を用いたBlindRotateの結果得られた平文多項式の定数項の係数に対応する
TLWE暗号文ｃｒは、平文として、テストベクタ多項式Ｔ２（Ｘ）を用いたBlindRotateの結果得られた平文多項式の定数項の係数に対応する
【0076】
［多倍長演算］
暗号処理装置１は、上記に説明したスカラ除算、スカラ剰余算を用いて大きな平文の数（多倍長整数BIG INTEGER）について多倍長演算を行う。
下記では、多倍長の平文Ｘの暗号文を暗号文ｃｘ、多倍長の平文Ｙの暗号文を暗号文ｃｙとして説明する場合がある。
図６、図７では、除算、剰余算の対象となる多倍長ではない整数の暗号文をｃｘ、ｃｙとして説明した。以下では、図６の除算・剰余算、図７の除算を多倍長整数に適用するため、多倍長整数Ｘ、Ｙの暗号文を図６、図７と同じ暗号文ｃｘ、暗号文ｃｙとして説明する。
図９（ｂ）に対応して、暗号処理装置１が行う多倍長演算を説明する。
暗号処理装置１は、暗号としての強度を十分に維持できる程度に小さいｔ（図５で説明した円周群の分割数）を、適当な自然数ｔ’を用いて（ｔ／２）－１≧２ｔ’－１とする。
ｔ’は、２のべき乗であると平文との換算をコンピュータで計算しやすいが他の数でも構わない。
また暗号処理装置１は、多倍長のフィールド数（多倍長整数を分割するビット単位、区間）として適当な自然数ｕを定める。ｕは１つの平文（多倍長整数）を分割するTLWE暗号文の数である。
ｕ個のフィールド又はフィールドｔ’０、ｔ’１、ｔ’２、・・・ｔ’ｕ－１毎に多倍長整数を分割する。
暗号処理装置１は、上記に説明したスカラ除算、スカラ剰余算を用いて大きな平文の数（多倍長整数BIG INTEGER）について多倍長演算を行う。
下記では、多倍長の平文Ｘの暗号文を暗号文ｃｘ、多倍長の平文Ｙの暗号文を暗号文ｃｙとして説明する場合がある。
図６、図７では、除算、剰余算の対象となる多倍長ではない整数の暗号文をｃｘ、ｃｙとして説明した。以下では、図６の除算・剰余算、図７の除算を多倍長整数に適用するため、多倍長整数Ｘ、Ｙの暗号文を図６、図７と同じ暗号文ｃｘ、暗号文ｃｙとして説明する。
図９（ｂ）に対応して、暗号処理装置１が行う多倍長演算を説明する。
暗号処理装置１は、暗号としての強度を十分に維持できる程度に小さいｔ（図５で説明した円周群の分割数）を、適当な自然数ｔ’を用いて（ｔ／２）－１≧２ｔ’－１とする。
ｔ’は、２のべき乗であると平文との換算をコンピュータで計算しやすいが他の数でも構わない。
また暗号処理装置１は、多倍長のフィールド数（多倍長整数を分割するビット単位、区間）として適当な自然数ｕを定める。ｕは１つの平文（多倍長整数）を分割するTLWE暗号文の数である。
ｕ個のフィールド又はフィールドｔ’０、ｔ’１、ｔ’２、・・・ｔ’ｕ－１毎に多倍長整数を分割する。
【0077】
暗号処理装置１は、平文Ｘを、
の形でｕ個のＸｉに分割する。
暗号処理装置１は、Ｘｉを夫々暗号化し、ｕ個のTLWE暗号文ｃａｉ（０≦ｉ≦ｕ－１）を作成する。
暗号文ｃａ０が多倍長整数を分割したフィールドｔ’０の暗号文であり、暗号文ｃａ１が多倍長整数を分割したフィールドｔ’１の暗号文であり、暗号文ｃａ２が多倍長整数を分割したフィールドｔ’２の暗号文であり、暗号文ｃａｕ－１が多倍長整数を分割したフィールドｔ’ｕ－１の暗号文である。
なお、ｃａｉを復号して得たＸｉを上記の式で計算すれば、元の平文Ｘを得ることが出来る。
暗号処理装置１は、もう１つの平文Ｙを、平文Ｘと同様に、
の形でｕ個のＹiに分割する。暗号処理装置１は、Ｙiを夫々暗号化し、ｕ個のTLWE暗号文ｃｂｉ（０≦ｉ≦ｕ－１）を作成する。
上記と同様に、暗号文ｃｂ０が多倍長整数を分割したフィールドｔ’０の暗号文であり、暗号文ｃｂ１が多倍長整数を分割したフィールドｔ’１の暗号文であり、暗号文ｃｂ２が多倍長整数を分割したフィールドｔ’２の暗号文であり、暗号文ｃｂｕ－１が多倍長整数を分割したフィールドｔ’ｕ－１の暗号文である。
多倍長整数Ｘ、Ｙを分割して暗号化することで、TLWE暗号文ｃａｉ、TLWE暗号文ｃｂｉがとる平文の値を小さくし、円周群の分割数を小さくすることが出来る。これにより、暗号処理装置１は、暗号文のセキュリティを保ったまま多倍長の四則演算を行うことが出来る。
暗号処理装置１は、Ｘｉを夫々暗号化し、ｕ個のTLWE暗号文ｃａｉ（０≦ｉ≦ｕ－１）を作成する。
暗号文ｃａ０が多倍長整数を分割したフィールドｔ’０の暗号文であり、暗号文ｃａ１が多倍長整数を分割したフィールドｔ’１の暗号文であり、暗号文ｃａ２が多倍長整数を分割したフィールドｔ’２の暗号文であり、暗号文ｃａｕ－１が多倍長整数を分割したフィールドｔ’ｕ－１の暗号文である。
なお、ｃａｉを復号して得たＸｉを上記の式で計算すれば、元の平文Ｘを得ることが出来る。
暗号処理装置１は、もう１つの平文Ｙを、平文Ｘと同様に、
上記と同様に、暗号文ｃｂ０が多倍長整数を分割したフィールドｔ’０の暗号文であり、暗号文ｃｂ１が多倍長整数を分割したフィールドｔ’１の暗号文であり、暗号文ｃｂ２が多倍長整数を分割したフィールドｔ’２の暗号文であり、暗号文ｃｂｕ－１が多倍長整数を分割したフィールドｔ’ｕ－１の暗号文である。
多倍長整数Ｘ、Ｙを分割して暗号化することで、TLWE暗号文ｃａｉ、TLWE暗号文ｃｂｉがとる平文の値を小さくし、円周群の分割数を小さくすることが出来る。これにより、暗号処理装置１は、暗号文のセキュリティを保ったまま多倍長の四則演算を行うことが出来る。
【0078】
本実施形態の除算、剰余算において特に関わりがあるのはｃｘ－ｃｙに係る暗号文同士の多倍長減算であるが、ここでは、多倍長整数Ｘ、Ｙの和の演算（Ｘ＋Ｙ）に対応する暗号文同士の多倍長演算加算を説明する。
暗号処理装置１は、平文Ｘ＋平文Ｙに対応する暗号文ｃｘ、ｃｙ同士の多倍長演算は、以下の手順で実行する。
初期化として、ｉ＝０とする。
（１）ｃｅｉ－１を、０を平文とするTLWE暗号文とする。
（２）ｃａｉとｃｂｉとｃｅｉ－１を暗号化したまま加算（準同型加算）して、ｃｚｉを得る。図９（ａ）でいえば、暗号文ｃｚｉが暗号文ｃｘに相当する。
（３）ｃｚｉを、スカラ除算・スカラ剰余算によりｔ’で割った商の暗号文ｃｅｉ及び剰余の暗号文ｃｍｉを得る（スカラ除算部、スカラ剰余算部）。図９（ａ）でいえば、暗号文ｃｅｉが暗号文ｃｑ、暗号文ｃｍｉが暗号文ｃｒに夫々相当する。
ｔ’ｉにおける準同型加算に対してスカラ除算して得られた商の暗号文ｃｅｉは、ｔ’ｉの演算によるｔ’ｉ＋１に対する繰り上がりである。ｔ’ｉ＋１のためのｃａｉ＋１とｃｂｉ＋１の準同型演算において暗号文ｃｅｉも加算されている。
暗号処理装置１は、ｉを１増やし、（１）～（３）の処理をｕ回繰り返す。ｕ回繰り返したあとのｃｍｉの列が、平文Ｘ＋平文Ｙに対応する多倍長暗号文ｃｍとなる。
暗号処理装置１は、平文Ｘ＋平文Ｙに対応する暗号文ｃｘ、ｃｙ同士の多倍長演算は、以下の手順で実行する。
初期化として、ｉ＝０とする。
（１）ｃｅｉ－１を、０を平文とするTLWE暗号文とする。
（２）ｃａｉとｃｂｉとｃｅｉ－１を暗号化したまま加算（準同型加算）して、ｃｚｉを得る。図９（ａ）でいえば、暗号文ｃｚｉが暗号文ｃｘに相当する。
（３）ｃｚｉを、スカラ除算・スカラ剰余算によりｔ’で割った商の暗号文ｃｅｉ及び剰余の暗号文ｃｍｉを得る（スカラ除算部、スカラ剰余算部）。図９（ａ）でいえば、暗号文ｃｅｉが暗号文ｃｑ、暗号文ｃｍｉが暗号文ｃｒに夫々相当する。
ｔ’ｉにおける準同型加算に対してスカラ除算して得られた商の暗号文ｃｅｉは、ｔ’ｉの演算によるｔ’ｉ＋１に対する繰り上がりである。ｔ’ｉ＋１のためのｃａｉ＋１とｃｂｉ＋１の準同型演算において暗号文ｃｅｉも加算されている。
暗号処理装置１は、ｉを１増やし、（１）～（３）の処理をｕ回繰り返す。ｕ回繰り返したあとのｃｍｉの列が、平文Ｘ＋平文Ｙに対応する多倍長暗号文ｃｍとなる。
【0079】
これをふまえ、平文Ｘと平文Ｙの暗号文同士の加算を具体的に説明する。
平文Ｘをフィールドｔ’ｉ毎にｕ個のＸｉに分割して暗号化しｕ個のTLWE暗号文ｃａｉを作成すること、平文Ｙをフィールドｔ’ｉ毎にｕ個のＹiに分割して暗号化しｕ個のTLWE暗号文ｃｂｉを作成することは上記と同じである。
説明の簡単化のため、平文Ｘを分割したフィールドｔ’０の暗号文をａ、フィールドｔ’１の暗号文をｂとし、平文Ｙを分割したフィールドｔ’０の暗号文をｃ、フィールドｔ’１の暗号文をｄとする。
平文Ｘをフィールドｔ’ｉ毎にｕ個のＸｉに分割して暗号化しｕ個のTLWE暗号文ｃａｉを作成すること、平文Ｙをフィールドｔ’ｉ毎にｕ個のＹiに分割して暗号化しｕ個のTLWE暗号文ｃｂｉを作成することは上記と同じである。
説明の簡単化のため、平文Ｘを分割したフィールドｔ’０の暗号文をａ、フィールドｔ’１の暗号文をｂとし、平文Ｙを分割したフィールドｔ’０の暗号文をｃ、フィールドｔ’１の暗号文をｄとする。
【0080】
暗号処理装置１は、平文Ｘと平文Ｙのフィールドｔ’０の暗号文同士でｂ＋ｄの演算を行う。
暗号処理装置１は、まず、ｂ＋ｄの演算結果に対してスカラ除算部によるスカラ除算とスカラ剰余算部によるスカラ剰余算を行う。
スカラ剰余算の結果得られる剰余は、加算結果である暗号文の、区間（あるいはケタ）ｔ’０の値である。
一方、スカラ除算の結果得られる商はｔ’１に繰り上げられる。
暗号処理装置１は、ａ＋ｃ＋繰り上げの演算結果に対してスカラ除算とスカラ剰余算を行う。
スカラ剰余算の結果得られる剰余は、加算結果である暗号文の区間（あるいはケタ）ｔ’１の値である。
一方、スカラ除算の結果得られる商はｔ’２に繰り上げられる。
ｔ’ｉがより多い場合には、さらにフィールドｔ’２の暗号文の和に繰り上げを加算した結果に対してスカラ除算とスカラ剰余算を行うことを繰り返していく。
繰り上げを含めて、ｔ’０、ｔ’１・・・に夫々該当する値を全て加算することにより各区間の値を得ることができ、暗号処理装置１は多倍長演算を行うことが出来る。
暗号処理装置１は、まず、ｂ＋ｄの演算結果に対してスカラ除算部によるスカラ除算とスカラ剰余算部によるスカラ剰余算を行う。
スカラ剰余算の結果得られる剰余は、加算結果である暗号文の、区間（あるいはケタ）ｔ’０の値である。
一方、スカラ除算の結果得られる商はｔ’１に繰り上げられる。
暗号処理装置１は、ａ＋ｃ＋繰り上げの演算結果に対してスカラ除算とスカラ剰余算を行う。
スカラ剰余算の結果得られる剰余は、加算結果である暗号文の区間（あるいはケタ）ｔ’１の値である。
一方、スカラ除算の結果得られる商はｔ’２に繰り上げられる。
ｔ’ｉがより多い場合には、さらにフィールドｔ’２の暗号文の和に繰り上げを加算した結果に対してスカラ除算とスカラ剰余算を行うことを繰り返していく。
繰り上げを含めて、ｔ’０、ｔ’１・・・に夫々該当する値を全て加算することにより各区間の値を得ることができ、暗号処理装置１は多倍長演算を行うことが出来る。
【0081】
平文Ｘ－Ｙに対応する暗号文同士の多倍長演算も、（２）の準同型加算に代えて準同型減算（ｃａｉ－ｃｂｉ－ｃｅｉ－１）を行うことで計算できる。
この場合、ｔ’ｉにおける準同型減算に対してスカラ除算して得られた商の暗号文ｃｅｉは、ｔ’ｉの演算によるｔ’ｉ＋１からの繰り下がりである。ｔ’ｉ＋１のためのｃａｉ＋１とｃｂｉ＋１の準同型演算において暗号文ｃｅｉも減算されている。
多倍長演算結果である暗号文ｃｍiの列が、図６及び図７で説明した暗号文同士の準同型減算ｃｘ－ｃｙの結果である暗号文ｃｄに対応する。暗号文ｃｄもまた多倍長整数の暗号文である。
減算結果ｃｄを得る過程で、ｃｅｉは繰り下がりであるため、最後に算出されるｃｅｕ－１が、多倍長整数全体で減算を行った場合の繰り下がりと等しい。すなわち、ｃｘ－ｃｙを行った際に結果が負になる、つまりｃｘ＜ｃｙの場合にｃｅｕ－１は１の暗号文となる。反対にｃｘ≧ｃｙの場合に０の暗号文となる。これにより、暗号文ｃｃを得る。
また図２（図６）と同様に、ｃｙ×ｃｃのバイナリ乗算を行うことが出来る。ｃｙは多倍長の平文Ｙを分解した夫々の暗号文である。多倍長整数の暗号文であるｃｙの各フィールド夫々に対して二値の暗号文ｃｃを使ったバイナリ演算を行うことで、ｃｙ×ｃｃのバイナリ乗算を行うことが出来る。
準同型暗号の多倍長整数は通常の整数と同様の扱いが可能である。またTLWE暗号文の個数ｕを増やすことで、一つのTLWE暗号文が有する平文の数値を小さくして円周群の分割数tを小さくしつつ、演算全体としては扱える平文の数値を小さくせずともよい。従って、本実施形態は、暗号の強度を犠牲することもなく大きな数を扱うことが出来る。
この場合、ｔ’ｉにおける準同型減算に対してスカラ除算して得られた商の暗号文ｃｅｉは、ｔ’ｉの演算によるｔ’ｉ＋１からの繰り下がりである。ｔ’ｉ＋１のためのｃａｉ＋１とｃｂｉ＋１の準同型演算において暗号文ｃｅｉも減算されている。
多倍長演算結果である暗号文ｃｍiの列が、図６及び図７で説明した暗号文同士の準同型減算ｃｘ－ｃｙの結果である暗号文ｃｄに対応する。暗号文ｃｄもまた多倍長整数の暗号文である。
減算結果ｃｄを得る過程で、ｃｅｉは繰り下がりであるため、最後に算出されるｃｅｕ－１が、多倍長整数全体で減算を行った場合の繰り下がりと等しい。すなわち、ｃｘ－ｃｙを行った際に結果が負になる、つまりｃｘ＜ｃｙの場合にｃｅｕ－１は１の暗号文となる。反対にｃｘ≧ｃｙの場合に０の暗号文となる。これにより、暗号文ｃｃを得る。
また図２（図６）と同様に、ｃｙ×ｃｃのバイナリ乗算を行うことが出来る。ｃｙは多倍長の平文Ｙを分解した夫々の暗号文である。多倍長整数の暗号文であるｃｙの各フィールド夫々に対して二値の暗号文ｃｃを使ったバイナリ演算を行うことで、ｃｙ×ｃｃのバイナリ乗算を行うことが出来る。
準同型暗号の多倍長整数は通常の整数と同様の扱いが可能である。またTLWE暗号文の個数ｕを増やすことで、一つのTLWE暗号文が有する平文の数値を小さくして円周群の分割数tを小さくしつつ、演算全体としては扱える平文の数値を小さくせずともよい。従って、本実施形態は、暗号の強度を犠牲することもなく大きな数を扱うことが出来る。
【0082】
図１０は、暗号処理装置が実行するスカラ除算処理の流れを示すフローチャートである。
暗号処理装置１（第４演算部３２）は、ステップＳ２０１において、割られる数ｘの暗号文ｃｘの各係数を２ｎ倍して、暗号文ｃｘ’を得る。
暗号処理装置１（第２Bootstrapping部３５）は、暗号文ｃｘ’を入力とするGate Bootstrappingを行うことによって除算を行う。
暗号処理装置１は、ステップＳ２０２において、暗号文ｃｘ’とテストベクタ多項式Ｔ１（Ｘ）を用いてBlindRotateを行う。
暗号処理装置１は、ステップＳ２０３において、SampleExtractを行う。
暗号処理装置１は、ステップＳ２０４において、キースイッチングを行い、得られた暗号文を除算結果として出力する。
暗号処理装置１（第４演算部３２）は、ステップＳ２０１において、割られる数ｘの暗号文ｃｘの各係数を２ｎ倍して、暗号文ｃｘ’を得る。
暗号処理装置１（第２Bootstrapping部３５）は、暗号文ｃｘ’を入力とするGate Bootstrappingを行うことによって除算を行う。
暗号処理装置１は、ステップＳ２０２において、暗号文ｃｘ’とテストベクタ多項式Ｔ１（Ｘ）を用いてBlindRotateを行う。
暗号処理装置１は、ステップＳ２０３において、SampleExtractを行う。
暗号処理装置１は、ステップＳ２０４において、キースイッチングを行い、得られた暗号文を除算結果として出力する。
【0083】
図１１は、暗号処理装置が実行するスカラ剰余算処理の流れを示すフローチャートである。
暗号処理装置１（第４演算部３２）は、ステップＳ２１１において、割られる数ｘの暗号文ｃｘの各係数を２ｎ倍して、暗号文ｃｘ’を得る。
暗号処理装置１（第３Bootstrapping部３６）は、暗号文ｃｘ’を入力とするGate Bootstrappingを行うことによって剰余算を行う。
暗号処理装置１は、ステップＳ２１２において、暗号文ｃｘ’とテストベクタ多項式Ｔ（Ｘ）を用いてBlindRotateを行う。
暗号処理装置１は、ステップＳ２１３において、SampleExtractを行う。
暗号処理装置１は、ステップＳ２１４において、キースイッチングを行い、得られた暗号文を剰余算結果として出力する。
暗号処理装置１（第４演算部３２）は、ステップＳ２１１において、割られる数ｘの暗号文ｃｘの各係数を２ｎ倍して、暗号文ｃｘ’を得る。
暗号処理装置１（第３Bootstrapping部３６）は、暗号文ｃｘ’を入力とするGate Bootstrappingを行うことによって剰余算を行う。
暗号処理装置１は、ステップＳ２１２において、暗号文ｃｘ’とテストベクタ多項式Ｔ（Ｘ）を用いてBlindRotateを行う。
暗号処理装置１は、ステップＳ２１３において、SampleExtractを行う。
暗号処理装置１は、ステップＳ２１４において、キースイッチングを行い、得られた暗号文を剰余算結果として出力する。
【0084】
図１２は、暗号処理装置が実行する多倍長演算処理の流れを示すフローチャートである。
暗号処理装置１（第４演算部３２）は、ステップＳ３０１において、初期化として、変数iに０を代入する。
暗号処理装置１（第４演算部３２）は、ステップＳ３０２において、ｃａｉとｃｂｉとｃｅｉ－１を準同型加算して、ｃｚｉを得る。
暗号処理装置１（第４演算部３２、第２Bootstrapping部３５）は、ステップＳ３０３において、図８で説明した方法を用いてｃｚｉを入力としたスカラ除算を行い、暗号文ｃｅiを得る。
暗号処理装置１（第４演算部３２、第３Bootstrapping部３６）は、ステップＳ３０４において、図９で説明した方法を用いてｃｚｉを入力としたスカラ剰余算を行い、暗号文ｃｍiを得る。
暗号処理装置１は、ステップＳ３０５において、iがｕに達したか否かを判定する。
iがｕに達していないと判定した場合（ステップＳ３０５でＮｏ）、暗号処理装置１は、ステップＳ３０６において、ｉの値を１増やし、ステップＳ３０２～ステップＳ３０４の処理を繰り返す。
iがｕに達したと判定した場合（ステップＳ３０５でＹｅｓ）、暗号処理装置１は、このときまで得られたｃｍの列を多倍長演算結果として出力する。以上の処理によって、Integer-wise型のTLWE暗号文同士の多倍長演算（加算）を実行することが出来た。
平文Ｘ－Ｙに対応する暗号文同士の多倍長演算も、ステップＳ３０２において準同型減算（ｃａｉ－ｃｂｉ－ｃｅｉ－１）を行うことで計算できる。
暗号処理装置１（第４演算部３２）は、ステップＳ３０１において、初期化として、変数iに０を代入する。
暗号処理装置１（第４演算部３２）は、ステップＳ３０２において、ｃａｉとｃｂｉとｃｅｉ－１を準同型加算して、ｃｚｉを得る。
暗号処理装置１（第４演算部３２、第２Bootstrapping部３５）は、ステップＳ３０３において、図８で説明した方法を用いてｃｚｉを入力としたスカラ除算を行い、暗号文ｃｅiを得る。
暗号処理装置１（第４演算部３２、第３Bootstrapping部３６）は、ステップＳ３０４において、図９で説明した方法を用いてｃｚｉを入力としたスカラ剰余算を行い、暗号文ｃｍiを得る。
暗号処理装置１は、ステップＳ３０５において、iがｕに達したか否かを判定する。
iがｕに達していないと判定した場合（ステップＳ３０５でＮｏ）、暗号処理装置１は、ステップＳ３０６において、ｉの値を１増やし、ステップＳ３０２～ステップＳ３０４の処理を繰り返す。
iがｕに達したと判定した場合（ステップＳ３０５でＹｅｓ）、暗号処理装置１は、このときまで得られたｃｍの列を多倍長演算結果として出力する。以上の処理によって、Integer-wise型のTLWE暗号文同士の多倍長演算（加算）を実行することが出来た。
平文Ｘ－Ｙに対応する暗号文同士の多倍長演算も、ステップＳ３０２において準同型減算（ｃａｉ－ｃｂｉ－ｃｅｉ－１）を行うことで計算できる。
【0085】
図１３は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、図１３（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１３（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１３（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１３（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
上記の説明では、図１３（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１３（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１３（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１３（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
【0086】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0087】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、キースイッチングをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0088】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0089】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
【0090】
暗号処理装置１０は、第１演算部１２、第２演算部１３、第３演算部１４及び第１Bootstrapping部１５、多倍長整数の場合はさらに第４演算部３２、第５演算部３３、第２Bootstrapping部３５、第３Bootstrapping部３６の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。
【0091】
このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
【0092】
またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
【0093】
図１４は、コンピュータ装置の一実施例を示すブロック図である。
図１４を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図１４を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0094】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２における制御部１０として機能する。
【0095】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２における記憶部２０として機能する。
【0096】
暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第５演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0097】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0098】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
【0099】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0100】
１ 暗号処理装置、１０ 制御部、１１ 受付部、１２ 第１演算部、１３ 第２演算部、１４ 第３演算部、１５ Bootstrapping部（算出部）、１８ 出力部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【要約】
【課題】Integer-wise型TFHEの四則演算を実現する。
【解決手段】暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、減算結果の正負を判定する二値の第３暗号文を算出し、第１暗号文から、第３暗号文と第２暗号文の準同型乗算結果を準同型減算して、新たな暗号文を算出する演算処理を行い、演算処理の演算結果を新たな第１暗号文として新たな第３暗号文を算出し、新たな第１暗号文と、第２暗号文と新たな第３暗号文とを用いた演算処理を、繰り返し実行可能であり、演算処理を全体で所定回繰り返し実行したときに算出した新たな暗号文を、第１暗号文に対する第２暗号文の除算又は剰余算の結果として出力する。
【選択図】図２
【解決手段】暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、被除数としての第１暗号文から除数としての第２暗号文を準同型減算した減算結果に基づいて、減算結果の正負を判定する二値の第３暗号文を算出し、第１暗号文から、第３暗号文と第２暗号文の準同型乗算結果を準同型減算して、新たな暗号文を算出する演算処理を行い、演算処理の演算結果を新たな第１暗号文として新たな第３暗号文を算出し、新たな第１暗号文と、第２暗号文と新たな第３暗号文とを用いた演算処理を、繰り返し実行可能であり、演算処理を全体で所定回繰り返し実行したときに算出した新たな暗号文を、第１暗号文に対する第２暗号文の除算又は剰余算の結果として出力する。
【選択図】図２
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】