(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-09-17
(45)【発行日】2024-09-26
(54)【発明の名称】暗号処理装置、暗号処理方法、暗号処理プログラム
(51)【国際特許分類】
H04L 9/30 20060101AFI20240918BHJP
G09C 1/00 20060101ALI20240918BHJP
【ＦＩ】
H04L9/30 Z
G09C1/00 620Z
【請求項の数】
15
(21)【出願番号】P 2022203161
(22)【出願日】2022-12-20
(65)【公開番号】P2024088134
(43)【公開日】2024-07-02
【審査請求日】2023-09-21
(73)【特許権者】
【識別番号】398034168
【氏名又は名称】株式会社アクセル
(74)【代理人】
【識別番号】100085660
【弁理士】
【氏名又は名称】鈴木 均
(74)【代理人】
【識別番号】100149892
【弁理士】
【氏名又は名称】小川 弥生
(74)【代理人】
【識別番号】100185672
【弁理士】
【氏名又は名称】池田 雅人
(72)【発明者】
【氏名】星月 優佑
(72)【発明者】
【氏名】松岡 航太郎
【審査官】中里 裕正
(56)【参考文献】
【文献】特開２０２１－８３０３８（ＪＰ，Ａ）
【文献】国際公開第２０２１／２２９１５６（ＷＯ，Ａ１）
【文献】国際公開第２０２１／２２９１５７（ＷＯ，Ａ１）
【文献】CLET, P.-E. et al.，Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping，Cryptology ePrint Archive，Paper 2022/149 ver:20220915:143535，[online]，2022年09月15日，pp.1-30，<URL:https://eprint.iacr.org/archive/2022/149/20220915:143535>，[2024年8月26日検索]
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｈ０４Ｌ ９／３０
Ｇ０９Ｃ １／００
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
ＩＥＥＥ Ｘｐｌｏｒｅ
(57)【特許請求の範囲】
【請求項1】
暗号文を処理する暗号処理装置であって、前記暗号文は、値域を所定数に分割した分割領域内に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の演算が可能な完全準同型暗号文であり、
第１暗号文に対して、前記値域における前記第１暗号文に対応する平文シンボル一つ分として用いる分割領域よりも小さい単位で演算結果を選択できるよう構成された第１多項式を用いて第２暗号文を算出し、
前記第２暗号文に対して第２多項式を用い、前記第２暗号文に対応する平文シンボルのうち２種類以上を同一の平文シンボルに変換することにより、所定の演算の演算結果に対応する第３暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項2】
請求項１に記載の暗号処理装置において、前記第１多項式は階段状の多項式であり、
前記第２多項式は、第３多項式と、前記第３多項式とは異なる第４多項式と、のいずれかを用いて構築され、
前記第１暗号文における前記値域の分割数が偶数の場合には前記第２暗号文に対して前記第３多項式を用い、前記分割数が奇数の場合には前記第２暗号文に対して前記第４多項式を用いることにより、前記分割数の偶奇に関わらず前記第３暗号文を算出する、
ことを特徴とする暗号処理装置。
【請求項3】
請求項１に記載の暗号処理装置において、前記暗号文の平文が対応しうる整数の最大値をｔとしたときに、
前記第１多項式は、前記第１暗号文の平文を２ｔ＋１個の要素を有するルックアップテーブルで引いた値に対応する暗号文を得る操作を行うための多項式であり、
前記第２多項式は、前記第２暗号文の平文を２ｔ＋１個の要素を有するルックアップテーブルで引いた値に対応する暗号文を得る操作を行うための多項式である、
ことを特徴とする暗号処理装置。
【請求項4】
請求項３に記載の暗号処理装置において、前記第１多項式は、
の何れかを満足する多項式であり、
前記第２多項式は、
を満足する多項式である、
ことを特徴とする暗号処理装置。
【請求項5】
請求項１又は２に記載の暗号処理装置において、前記所定の演算の演算結果は、前記第１暗号文に対する任意の一変数関数の演算結果である、
ことを特徴とする暗号処理装置。
【請求項6】
請求項１又は２に記載の暗号処理装置において、前記所定の演算の演算結果は、前記第１暗号文に対する偶関数の演算結果である、
ことを特徴とする暗号処理装置。
【請求項7】
請求項１又は２に記載の暗号処理装置において、前記所定の演算の演算結果は、前記第１暗号文に対する奇関数の演算結果である、
ことを特徴とする暗号処理装置。
【請求項8】
請求項１又は２に記載の暗号処理装置において、前記所定の演算の演算結果は、演算対象とする多項式の関数の値である、
ことを特徴とする暗号処理装置。
【請求項9】
請求項８に記載の暗号処理装置において、前記演算対象とする多項式を偶関数と奇関数とに分割し、
前記所定の演算の演算結果としての、前記第１暗号文に対する前記奇関数の演算結果と前記第１暗号文に対する前記偶関数の演算結果と、に基づいて前記演算対象とする多項式の値を演算する、
ことを特徴とする暗号処理装置。
【請求項10】
請求項１又は２に記載の暗号処理装置において、前記第１暗号文における前記値域の分割数を素数個とすることにより、前記演算結果として有限体の任意の関数を計算する、
ことを特徴とする暗号処理装置。
【請求項11】
請求項１又は２に記載の暗号処理装置において、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
ことを特徴とする暗号処理装置。
【請求項12】
請求項１又は２に記載の暗号処理装置において、前記所定の演算を行うことによって、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、ことを特徴とする暗号処理装置。
【請求項13】
請求項１又は２に記載の暗号処理装置において、前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
ことを特徴とする暗号処理装置。
【請求項14】
プロセッサによって実行される、暗号文を処理する暗号処理方法であって、前記暗号文は、値域を所定数に分割した分割領域内に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の演算が可能な完全準同型暗号文であり、
第１暗号文に対して、前記値域における前記第１暗号文に対応する平文シンボル一つ分として用いる分割領域よりも小さい単位で演算結果を選択できるよう構成された第１多項式を用いて第２暗号文を算出し、
前記第２暗号文に対して第２多項式を用い、前記第２暗号文に対応する平文シンボルのうち２種類以上を同一の平文シンボルに変換することにより、所定の演算の演算結果に対応する第３暗号文を算出する、
ことを特徴とする暗号処理方法。
【請求項15】
暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、前記暗号文は、値域を所定数に分割した分割領域内に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の演算が可能な完全準同型暗号文であり、
第１暗号文に対して、前記値域における前記第１暗号文に対応する平文シンボル一つ分として用いる分割領域よりも小さい単位で演算結果を選択できるよう構成された第１多項式を用いて第２暗号文を算出し、
前記第２暗号文に対して第２多項式を用い、前記第２暗号文に対応する平文シンボルのうち２種類以上を同一の平文シンボルに変換することにより、所定の演算の演算結果に対応する第３暗号文を算出する、
ことを特徴とする暗号処理プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号処理装置、暗号処理方法、暗号処理プログラムに関する。
【背景技術】
【0002】
準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。
【0003】
LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に複数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
さらにBootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３参照）。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることによりTFHEを拡張し、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wise型としてTFHEを用いると、1つの暗号文に複数ビットの情報を持つことができるため、１度の準同型演算でより複雑な演算ができ、システム全体での演算回数を大幅に削減することができる。
さらにBootstrappingのテストベクタ多項式に関数の値を代入し、ＬＵＴとして利用し、任意の一変数関数を評価することができることが知られている（非特許文献３参照）。
【先行技術文献】
【特許文献】
【0004】
【文献】TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
【文献】Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid
【文献】Bootstrapping in FHEW-like Cryptosystems, 2020, Daniele Micciancio and Yuriy Polyakove
【発明の概要】
【発明が解決しようとする課題】
【0005】
しかし、テストベクタ多項式に代入する関数はｆ（ｖ＋１／２）＝－ｆ（ｖ）の性質を満たす必要がある。この制約を満たす関数には三角関数などあるが、一般的な制約とは言えず応用が難しかった。
この制約を回避するために、平文としては円周群の０～０．５の区間のみを利用するというアイデアがある。この制約を追加すると、上記制約に関係なく、任意の一変数関数を評価できる。しかし、その場合は暗号文１つに持てる情報が実質半分つまりｌｂｉｔ分減ってしまい、Integer-wiseにした効果が薄れてしまう。
本発明は、一側面として、TFHEをInteger-wise型として利用する際に、円周群全体を無駄なく利用しつつ、任意の一変数関数を計算することを目的とする。
この制約を回避するために、平文としては円周群の０～０．５の区間のみを利用するというアイデアがある。この制約を追加すると、上記制約に関係なく、任意の一変数関数を評価できる。しかし、その場合は暗号文１つに持てる情報が実質半分つまりｌｂｉｔ分減ってしまい、Integer-wiseにした効果が薄れてしまう。
本発明は、一側面として、TFHEをInteger-wise型として利用する際に、円周群全体を無駄なく利用しつつ、任意の一変数関数を計算することを目的とする。
【課題を解決するための手段】
【0006】
本発明は、一実施形態によれば、暗号文を処理する暗号処理装置であって、前記暗号文は、値域を所定数に分割した分割領域内に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の演算が可能な完全準同型暗号文であり、第１暗号文に対して、前記値域における前記第１暗号文に対応する平文シンボル一つ分として用いる分割領域よりも小さい単位で演算結果を選択できるよう構成された第１多項式を用いて第２暗号文を算出し、前記第２暗号文に対して第２多項式を用い、前記第２暗号文に対応する平文シンボルのうち２種類以上を同一の平文シンボルに変換することにより、所定の演算の演算結果に対応する第３暗号文を算出する、ことを特徴とする。
【発明の効果】
【0007】
本発明によれば、一側面として、TFHEをInteger-wise型として利用する際に、円周群全体を利用しつつ、任意の一変数関数を計算することができる。
【図面の簡単な説明】
【0008】
【図1】第１実施例の暗号処理装置の機能構成を説明する図である。
【図3】TLWE暗号が平文として有する円周群を説明するイメージ図である。
【図4】２値Gate Bootstrappingの動作イメージ図である。
【図5】Integer-wise型に適用したTFHEを説明する図である。
【図6】第１実施例におけるInteger-wise型TFHEを説明する図である
【図7】第１実施例におけるInteger-wise型TFHEを説明する図である
【図8】第１実施例におけるInteger-wise型TFHEを説明する図である
【図9】第１実施例におけるInteger-wise型TFHEを説明する図である。
【図10】第１実施例（偶関数）における暗号文の値の遷移を説明する図である。
【図11】第１実施例（偶関数）における暗号文の値の遷移を説明する図である。
【図12】第２実施例の暗号処理装置の機能構成を説明する図である。
【図14】第２実施例におけるInteger-wise型TFHEを説明する図である。
【図15】第２実施例（奇関数）におけるInteger-wise型TFHEを説明する図である
【図16】第２実施例（奇関数）における暗号文の値の遷移を説明する図である。
【図17】第２実施例（偶関数）におけるInteger-wise型TFHEを説明する図である
【図18】第２実施例（偶関数）における暗号文の値の遷移を説明する図である。
【図19】第１実施例に係る処理を説明するフローチャートである。
【図20】第２実施例に係る処理を説明するフローチャートである。
【図21】本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
【図22】コンピュータ装置の一実施例を示すブロック図である。
【発明を実施するための形態】
【0009】
以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。
【0010】
図１は、第１実施例の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第１Bootstrapping部（算出部）１５と、第２Bootstrapping部（算出部）１６と、第３Bootstrapping部（算出部）１７と、第４Bootstrapping（算出部）１８と、出力部３５と、を備えている。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第１Bootstrapping部（算出部）１５と、第２Bootstrapping部（算出部）１６と、第３Bootstrapping部（算出部）１７と、第４Bootstrapping（算出部）１８と、出力部３５と、を備えている。
【0011】
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
一変数関数としての奇関数の演算において、第１Bootstrapping部１５は、入力された暗号文に対して第１Gate Bootstrappingを行う。
第２Bootstrapping部１６は、第１Bootstrapping部１５から出力された暗号文に対して第２Gate Bootstrappingを行う。
第１演算部１２は、第２Bootstrapping部１６から出力される暗号文に対して第１準同型演算を行う。
一変数関数としての奇関数の演算において、第１Bootstrapping部１５は、入力された暗号文に対して第１Gate Bootstrappingを行う。
第２Bootstrapping部１６は、第１Bootstrapping部１５から出力された暗号文に対して第２Gate Bootstrappingを行う。
第１演算部１２は、第２Bootstrapping部１６から出力される暗号文に対して第１準同型演算を行う。
【0012】
一変数関数としての偶関数の演算において、第３Bootstrapping部１７は、入力された暗号文に対して第３Gate Bootstrappingを行う。
第２演算部１３は、第３Bootstrapping部１７から出力される暗号文に対して第２準同型演算を行う。
第４Bootstrapping部１８は、第２演算部１３から出力された暗号文に対して第４Gate Bootstrappingを行う。
第２演算部１３は、第３Bootstrapping部１７から出力される暗号文に対して第２準同型演算を行う。
第４Bootstrapping部１８は、第２演算部１３から出力された暗号文に対して第４Gate Bootstrappingを行う。
【0013】
第１演算部１２、第２演算部１３は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
【0014】
出力部３５は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。
【0015】
図２は、図１の機能構成に基づく演算プロセスを説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の演算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の演算を行いたい平文整数ａの暗号文である。
図２（ａ）において、暗号処理装置１は、一変数関数としての奇関数の演算を行う。
（ａ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
次に、暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
（ａ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。次に、暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
次に、暗号処理装置１は、TLWE暗号文ｃｃを第１演算部１２に入力して第１準同型演算を行い、奇関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
（ａ－３）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の演算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の演算を行いたい平文整数ａの暗号文である。
図２（ａ）において、暗号処理装置１は、一変数関数としての奇関数の演算を行う。
（ａ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
次に、暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
（ａ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。次に、暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
次に、暗号処理装置１は、TLWE暗号文ｃｃを第１演算部１２に入力して第１準同型演算を行い、奇関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
（ａ－３）において、暗号処理装置１は、TLWE暗号文ｃａを第１Bootstrapping部１５に入力して、多項式Ｆ１’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１６に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
【0016】
図２（ｂ）において、暗号処理装置１は、一変数関数としての偶関数の演算を行う。
（ｂ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部１７に入力して、多項式Ｆ１ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２演算部に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、TLWE暗号文ｃｃを第４Bootstrapping部１８に入力して、多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
（ｂ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部１７に入力して、多項式Ｆ１’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、TLWE暗号文ｃｃを第４Bootstrapping部１８に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
（ｂ－１）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部１７に入力して、多項式Ｆ１ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２演算部に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、TLWE暗号文ｃｃを第４Bootstrapping部１８に入力して、多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
（ｂ－２）において、暗号処理装置１は、TLWE暗号文ｃａを第３Bootstrapping部１７に入力して、多項式Ｆ１’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第２演算部１３に入力して第２準同型演算を行い、TLWE暗号文ｃｃを算出する。
暗号処理装置１は、TLWE暗号文ｃｃを第４Bootstrapping部１８に入力して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｄを算出する。
【0017】
TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
【0018】
TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
【0019】
図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
【0020】
［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
【0021】
このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
【0022】
なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
【0023】
TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
【0024】
TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘｎ＋１）と表す。
【0025】
多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸｎ＋１で割ることができないが、最高次数の項だけはμＸｎ＝μ（Ｘｎ＋１）－μと割ることができるためである。Ｘｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
【0026】
さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。なお、これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ－１を乗算することはＸを乗算することの逆演算であるため、Ｘ－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。なお、これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸａを－ｂ回かける場合にＸ－ａをｂ回かけても、Ｘ２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。
【0027】
[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
【0028】
０，１の２値からランダムにｎ個を選択して、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。
【0029】
[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
【0030】
円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）＋０．２５２×２＋０．２５３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
【0031】
ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、
という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。
上記の例に基づいて説明すると、
【0032】
TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出した、TRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
この暗号文ｋとして表せる暗号文をTRGSW暗号文と呼ぶこととする。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出した、TRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。
【0033】
Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
とする。
このTRGSW暗号文を、秘密鍵[ｓ]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、
このTRGSW暗号文を、秘密鍵[ｓ]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。
【0034】
TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、
Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）のそれぞれの係数の期待値は全て０となる。
また復号したφｓ’（ｃ３）は、平文のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。
【0035】
そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式μ０のTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式μ１のTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
２つの平文多項式μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
ＣＭｕｘ関数は、ｓｉが０であると平文多項式μ０のTRLWE暗号文を復号することなく出力し、ｓｉが１であると平文多項式μ１のTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ０もしくはμ１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。
【0036】
TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。
【0037】
図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
【0038】
(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
【0039】
平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２ｎ×φｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。
【0040】
そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
従って、
と繰り返すと、
となる。
ここで、
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式であり、Ａｎはその暗号文である。
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことも出来る。
従って、
ここで、
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことも出来る。
【0041】
(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。
【0042】
TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
とおいて、
と展開することができる。
全てのTRLWE暗号文は、次数をｎとして、
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
【0043】
これに対して下記の演算を行い、
を得る。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
が得られる。
「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
【0044】
さらに、
とおくと、
となり、
から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
が得られる。
とおくと、
のように、TLWE暗号の復号関数に変形することができる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
【0045】
つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。
【0046】
(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、
となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
である。
ｓ’ｉは、ｊに対して定数なのでくくりだして
とし、上記で固定小数に分解したときの式を代入する。
その結果、
となって鍵の切り替えが成功したことになる。
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、
秘密鍵[ｓ]で復号すると、
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。
ｓ’ｉは、ｊに対して定数なのでくくりだして
【0047】
ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。
【0048】
Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の四捨五入で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。
以上が、TFHEのGate Bootstrappingの処理である。
【0049】
上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
【0050】
図５は、Integer-wise型に応用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。
【0051】
図５に示すように、円周群{Ｔ}上の０（１）は、－１／（２ｔ）～１／（２ｔ）の領域の範囲内にある。
円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっている。
円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっている。
【0052】
［第１実施例：偶数分割］
円周群を偶数分割する場合における奇関数及び偶関数の計算を以下に説明する。
図６乃至図８は、第１実施例におけるInteger-wise型TFHEを説明する図である。図６において、円周群{Ｔ}を偶数分割し、偶数個の分割領域に分割している。以下の説明では、この分割領域をスライスと記載する。
図５と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０である）状態を、図６（ｂ）に示している。
図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付加した図６（ａ）の状態に準拠するものとする。
円周群を偶数分割する場合における奇関数及び偶関数の計算を以下に説明する。
図６乃至図８は、第１実施例におけるInteger-wise型TFHEを説明する図である。図６において、円周群{Ｔ}を偶数分割し、偶数個の分割領域に分割している。以下の説明では、この分割領域をスライスと記載する。
図５と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０である）状態を、図６（ｂ）に示している。
図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付加した図６（ａ）の状態に準拠するものとする。
【0053】
計算したい関数ｆの引数とする整数ａを平文として持つTLWE暗号文ｃａがあるとする。
TLWE暗号文ｃａは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、左半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
なお、以下では、円周群{Ｔ}の値域０～１を－０．５～０．５（－１／２～１／２）とする場合がある。
図６（ａ）に示すように、TLWE暗号文ｃａは秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
なお、ａ／（２ｔ）＋１／（４ｔ）は誤差なしの平文であり、実際には誤差が付加された値が平文として格納されている。ここで、暗号処理装置１は、平文に付加される誤差の範囲が±１／｛４（ｔ＋１）｝未満となるようにシステムパラメータを設定する。
第１実施例（偶数分割）では、TLWE暗号文ｃａにおいて、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａの平文がａ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。
TLWE暗号文ｃａは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、左半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
なお、以下では、円周群{Ｔ}の値域０～１を－０．５～０．５（－１／２～１／２）とする場合がある。
図６（ａ）に示すように、TLWE暗号文ｃａは秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
なお、ａ／（２ｔ）＋１／（４ｔ）は誤差なしの平文であり、実際には誤差が付加された値が平文として格納されている。ここで、暗号処理装置１は、平文に付加される誤差の範囲が±１／｛４（ｔ＋１）｝未満となるようにシステムパラメータを設定する。
第１実施例（偶数分割）では、TLWE暗号文ｃａにおいて、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａの平文がａ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。
【0054】
図６（ａ）において、負の数を扱う円周群{Ｔ}の左半面では、上から反時計回りに、－ｔ／（２ｔ）から始まるスライス～－１／（２ｔ）から始まるスライスを用いて整数－ｔ～－１を表現する。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。
【0055】
TLWE暗号文ｃａにおいて、円周群{Ｔ}を分割した１／（２ｔ）の区間毎に整数値が割り当てられる。
TLWE暗号文が取り得る平文整数の値は値域０～１を分割した２ｔ個の値－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
TLWE暗号文が取り得る平文整数の値は値域０～１を分割した２ｔ個の値－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
【0056】
上記のようにTLWE暗号文ｃａは、平文に１／（４ｔ）のオフセットを追加しており、例えば整数０に対応する平文は円周群{Ｔ}の０＋１／（４ｔ）の前後方向に誤差が付加されて分布している。これにより、円周群{Ｔ}の０の位置を、整数０と整数－１の境界と揃えることが出来る。０の区間は円周群{Ｔ}上の０から１／（２ｔ）までの範囲とし、そのブロックに各ブロックが順に隣接するようにスライスを分割する。
図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス（０の前後における平文に付加したノイズ分が１つのスライス）内にある。
図６（ａ）に示すように、オフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けながら平文をスライスの中央に位置させることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。これにより円周群上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点があるが、これは原理的に必須である要件ではないため、テストベクタや前処理、後処理などで適切な調整を行うことにより、異なるオフセットを採用することもできる。
図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス（０の前後における平文に付加したノイズ分が１つのスライス）内にある。
図６（ａ）に示すように、オフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けながら平文をスライスの中央に位置させることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。これにより円周群上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点があるが、これは原理的に必須である要件ではないため、テストベクタや前処理、後処理などで適切な調整を行うことにより、異なるオフセットを採用することもできる。
【0057】
図６（ａ）において、オフセットを付加された平文は、各スライス（例えば、１／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば１／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、１／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図６（ａ）において、１／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。後述の図７についても同様である。
オフセットを付加した平文は、図６（ａ）において、１／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。後述の図７についても同様である。
【0058】
上記のように、図６（ａ）の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応し、左半面は負の平文整数（－１～－ｔ）に対応している。１ブロック（スライス）の幅は１／（２ｔ）である。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。
【0059】
図６（ａ）に示すように、２ｔ＝８（ｔ＝４）として円周群の値域を８個に分割する場合には、円周群{Ｔ}の右半面で０から３（＝ｔ－１）の整数を表現し、左半面で－４（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－４、－３、－２、－１、０、１、２、３の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝８個に区切った、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－４／（２ｔ）から始まるスライスは、－３．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５である。
【0060】
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値の範囲をより大きくできるが、円周群を細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。
【0061】
偶数分割した図６の円周群を用いて奇関数、偶関数を計算する方法を説明する。
以下では、奇関数を計算する＜手法１＞及びその応用、＜手法２＞、偶関数を計算する＜手法３＞、＜手法４＞を説明する。
［奇関数］
奇関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝－ｆ（ｘ）を満たすとき、その関数を奇関数という。
暗号処理装置１は、計算したい奇関数をｆ（ｘ）とし、TLWE暗号文ｃａの平文整数の値ａから、ｆ（ａ＋０．５）の平文を持つ新たな暗号文を算出する。
＜手法１＞
これは、図２の（ａ－１）に対応する手法である。
暗号処理装置１は、係数を次数の順に見たときに階段状となる一変数多項式の関数（一変数関数）Ｆ１ｉｄ（Ｘ）
を用いて、TLWE暗号文ｃａに対する第１Bootstrappingを行い、負の数を扱う円周群{Ｔ}の左半面の値（対応する整数値）を上下反転させた、図７に示すTLWE暗号文ｃｂを算出する。
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
以下では、奇関数を計算する＜手法１＞及びその応用、＜手法２＞、偶関数を計算する＜手法３＞、＜手法４＞を説明する。
［奇関数］
奇関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝－ｆ（ｘ）を満たすとき、その関数を奇関数という。
暗号処理装置１は、計算したい奇関数をｆ（ｘ）とし、TLWE暗号文ｃａの平文整数の値ａから、ｆ（ａ＋０．５）の平文を持つ新たな暗号文を算出する。
＜手法１＞
これは、図２の（ａ－１）に対応する手法である。
暗号処理装置１は、係数を次数の順に見たときに階段状となる一変数多項式の関数（一変数関数）Ｆ１ｉｄ（Ｘ）
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
【0062】
図７は、TLWE暗号文ｃｂの平文に対応する円周群上の値が元のTLWE暗号文ｃａではどの整数値と対応していたのか、もしくはTLWE暗号文ｃａの平文として円周群上のどこにあるものがTLWE暗号文ｃｂとしてどの整数値に対応させられるかを示している。図７に示すように、多項式Ｆ１ｉｄ（Ｘ）を用いた、TLWE暗号文ｃａに対する第１Bootstrappingの結果、TLWE暗号文ｃｂでは、負の数として使う領域である左半面の並びが、TLWE暗号文ｃａから上下反転している。
多項式Ｆ１ｉｄ（Ｘ）は、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付加する。多項式Ｆ１ｉｄ（Ｘ）は、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付加する。
図６に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃｂにおいて平文整数ａに０．５のオフセットを付加することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分を整数表現で表したものを＋０．５と表現している。
多項式Ｆ１ｉｄ（Ｘ）は、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付加する。多項式Ｆ１ｉｄ（Ｘ）は、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付加する。
図６に示したように、TLWE暗号文ｃａにおいて１つの整数が対応するスライスの幅は１／（２ｔ）であり、TLWE暗号文ｃｂにおいて平文整数ａに０．５のオフセットを付加することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分を整数表現で表したものを＋０．５と表現している。
【0063】
図６（ａ）において円周群{Ｔ}の右半面に平文があった場合（平文が非負の数である）、多項式Ｆ１ｉｄ（Ｘ）を用いた上記処理の結果、TLWE暗号文ｃｂの平文整数は、図７に示すように円周群{Ｔ}の同じスライス（領域）内に留まる。一方、平文が負の数－ｔ～－１であって円周群{Ｔ}の左半面に平文がある場合は、上記処理の結果、TLWE暗号文ｃｂの平文整数は、図７に示すように円周群{Ｔ}における「上下」が反転する。
例えば、図６に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆ１ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／（４ｔ）、整数としては－ｔとなる。
TLWE暗号文ｃａにおける平文整数ａが－ｔの場合は、円周群{Ｔ}上の値としては、－ｔ／２ｔ＋１／（４ｔ）＝－１／２＋１／（４ｔ）となり、左半面の最も－１／２に近いブロックにある。多項式Ｆ１ｉｄ（Ｘ）の最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文ｃｂとして得られるため、TLWE暗号文ｃｂの平文は、円周群上の値として－１／（４ｔ）つまり整数として－１となる。
例えば、図６に示すようにTLWE暗号文ｃａにおける平文整数ａが－１の場合、円周群{Ｔ}上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆ１ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れる。従って、第１Bootstrapping後のTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／（４ｔ）、整数としては－ｔとなる。
TLWE暗号文ｃａにおける平文整数ａが－ｔの場合は、円周群{Ｔ}上の値としては、－ｔ／２ｔ＋１／（４ｔ）＝－１／２＋１／（４ｔ）となり、左半面の最も－１／２に近いブロックにある。多項式Ｆ１ｉｄ（Ｘ）の最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文ｃｂとして得られるため、TLWE暗号文ｃｂの平文は、円周群上の値として－１／（４ｔ）つまり整数として－１となる。
【0064】
図７における右半面は、下から反時計周りに０／（２ｔ）から４／（２ｔ）のスライスに０からｔ－１の整数が割り当てられ、図６（ａ）の場合と平文整数の並びが変わっていない。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図６（ａ）の場合から並びが逆転している。
図７に示す暗号文ｃｂにおいて、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図６（ａ）の場合から並びが逆転している。
図７に示す暗号文ｃｂにおいて、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、０、１、２、３である。円周群{Ｔ}で正負の値が連続して並んでいる。
【0065】
図６（ａ）において、例えばTLWE暗号文ｃａが－１の暗号文であった場合、平文は円周群{Ｔ}上の－１／（２ｔ）～０の区間にあった。
上記処理の結果、TLWE暗号文ｃｂでは、多項式Ｆ１ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図６（ａ）では整数－ｔ（＝－４）に対応していたが、図７に示すTLWE暗号文ｃｂでは平文整数として元の－１を割り当てている。
図６（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃｂでは、多項式Ｆ１ｉｄ（Ｘ）の最下位のブロックの項が符号反転して現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図６（ａ）では整数－１に対応していたが、図７に示すTLWE暗号文ｃｂでは元のTLWE暗号文ｃａの平文整数として－ｔ（＝－４）を割り当てている。
このように、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingの前後で割り当てる整数値を同じにした場合、TLWE暗号文ｃｂの場合には左半面の整数値の並び順が反転すると解釈することができる。
上記処理の結果、TLWE暗号文ｃｂでは、多項式Ｆ１ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図６（ａ）では整数－ｔ（＝－４）に対応していたが、図７に示すTLWE暗号文ｃｂでは平文整数として元の－１を割り当てている。
図６（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記処理の結果、TLWE暗号文ｃｂでは、多項式Ｆ１ｉｄ（Ｘ）の最下位のブロックの項が符号反転して現れる。従って、図７において、TLWE暗号文ｃａの平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図６（ａ）では整数－１に対応していたが、図７に示すTLWE暗号文ｃｂでは元のTLWE暗号文ｃａの平文整数として－ｔ（＝－４）を割り当てている。
このように、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingの前後で割り当てる整数値を同じにした場合、TLWE暗号文ｃｂの場合には左半面の整数値の並び順が反転すると解釈することができる。
【0066】
一般化すると、平文が非負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂではａ／（２ｔ）＋１／（４ｔ）となり、平文整数としてはａのままである。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂでは－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
この処理の結果、多項式の項に加えた１／（４ｔ）の項によってオフセットが平文に付加されるため、図６のTLWE暗号文ｃａと同様に、図７のTLWE暗号文ｃｂにおいても、円周群の０の位置がスライスの境界となっている。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、TLWE暗号文ｃｂの平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、TLWE暗号文ｃｂの平文のスライスと整数の対応は、TLWE暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文のスライスの並び自体は、暗号文ｃａと暗号文ｃｂとの間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
単純に並びが反転しているだけであるため、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingを２回行うことにより、元の並び順での表現に戻る。つまり平文を円周群上の値で見たときに同じスライス内に戻ってくることとなる。ただし、平文に加えられている誤差はbootstrappingの性質により十分に軽減された状態となっているため、この処理は円周群の全面を用いる際のbootstrappingとして利用できる。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、TLWE暗号文ｃｂでは－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂの平文を整数としてみた時と合致していることが確認できる。
この処理の結果、多項式の項に加えた１／（４ｔ）の項によってオフセットが平文に付加されるため、図６のTLWE暗号文ｃａと同様に、図７のTLWE暗号文ｃｂにおいても、円周群の０の位置がスライスの境界となっている。
このように、平文が負の数である場合、整数が割り当てられる平文が変化する。言い換えると、TLWE暗号文ｃｂの平文を整数シンボルで見る際は暗号文ｃａの整数と同じ値であるとしたとき、TLWE暗号文ｃｂの平文のスライスと整数の対応は、TLWE暗号文ｃａの時と異なっている。この対応関係を見たときに、円周群における平文のスライスの並び自体は、暗号文ｃａと暗号文ｃｂとの間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。
単純に並びが反転しているだけであるため、テストベクタ多項式Ｆｉｄ（Ｘ）によるbootstrappingを２回行うことにより、元の並び順での表現に戻る。つまり平文を円周群上の値で見たときに同じスライス内に戻ってくることとなる。ただし、平文に加えられている誤差はbootstrappingの性質により十分に軽減された状態となっているため、この処理は円周群の全面を用いる際のbootstrappingとして利用できる。
【0067】
ｔ＝４（２ｔ＝８）である図７では、暗号文の平文に上記０．５のオフセットが加わっているため、スライスの中央に位置する平文は、円周群{Ｔ}の上（１／２）から左回り（反時計回り）に、－３．５／（２ｔ）、－２．５／（２ｔ）、－１．５／（２ｔ）、－０．５／（２ｔ）、０．５／（２ｔ）、１．５／（２ｔ）、２．５／（２ｔ）、３．５／（２ｔ）である。
これらのスライスに、TLWE暗号文ｃｂを生成する入力となったTLWE暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
これらのスライスに、TLWE暗号文ｃｂを生成する入力となったTLWE暗号文ｃａの平文整数として反時計回りに－１、－２、－３、－４、０、１、２、３が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、０．５、１．５、２．５、３．５となる。
【0068】
次に、暗号処理装置１は、関数ｆ（ｘ）の演算結果のうち、ｘが非負の場合の値のみを取り出して、以下の多項式Ｆ１ｆ（Ｘ）を作成する。
そして暗号処理装置１は、この多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂに対する第２Bootstrappingを行い、TLWE暗号文ｃｃを得る。
TLWE暗号文ｃｂが非負の場合、つまり平文整数ａが０，１，２，…の場合は円周群の右半面（０～０．５）にあるため、符号反転しないでｆ（０．５），ｆ（１．５），ｆ（２．５），…の値を平文とするTLWE暗号文ｃｃが得られる。
それに対してTLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、その順番で０．５～１の区間に並んでいるため、符号が反転して－ｆ（０．５），－ｆ（１．５），－ｆ（２．５）…の値を平文とするTLWE暗号文ｃｃが得られる。
ｆ（ｘ）が奇関数であれば、ａ＝－１，－２，－３，…にそれぞれ対応して得られるTLWE暗号文ｃｃの平文φ（ｃｃ）は、それぞれｆ（－０．５），ｆ（－１．５），ｆ（－２．５），…と一致する。
すなわち、上記の非負の場合の例とあわせて、φ（ｃｃ）＝ｆ（ａ＋０．５）を満たす、奇関数の演算結果に対応するTLWE暗号文ｃｃを算出することができた。
そして暗号処理装置１は、この多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂに対する第２Bootstrappingを行い、TLWE暗号文ｃｃを得る。
TLWE暗号文ｃｂが非負の場合、つまり平文整数ａが０，１，２，…の場合は円周群の右半面（０～０．５）にあるため、符号反転しないでｆ（０．５），ｆ（１．５），ｆ（２．５），…の値を平文とするTLWE暗号文ｃｃが得られる。
それに対してTLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、その順番で０．５～１の区間に並んでいるため、符号が反転して－ｆ（０．５），－ｆ（１．５），－ｆ（２．５）…の値を平文とするTLWE暗号文ｃｃが得られる。
ｆ（ｘ）が奇関数であれば、ａ＝－１，－２，－３，…にそれぞれ対応して得られるTLWE暗号文ｃｃの平文φ（ｃｃ）は、それぞれｆ（－０．５），ｆ（－１．５），ｆ（－２．５），…と一致する。
すなわち、上記の非負の場合の例とあわせて、φ（ｃｃ）＝ｆ（ａ＋０．５）を満たす、奇関数の演算結果に対応するTLWE暗号文ｃｃを算出することができた。
【0069】
＜手法１の応用＞
＜手法１＞は一次関数を計算する場合全般に応用でき、図２の（ａ－２）に対応する。
まず、奇関数ｆ（ｘ）＝ｍｘ（ｍは実数）とする。一次関数の一般式はａｘ＋ｂと表現されることが多いが、ｂ＝０の場合のみ奇関数となる。
＜手法１＞を用いて、φ（ｃｃ）＝ｆ（ａ＋０．５）＝ａｍ＋０．５ｍを計算することができる。＜手法１＞に対する追加のステップとして、TLWE暗号文ｃｃに自明な暗号文（０，ｍ’－０．５ｍ）を加算してTLWE暗号文ｃｄとする。ここでは関数ｆ、ひいてはｍを固定して考えているため、ここではｍは定数である。
すると、φ（ｃｄ）＝φ（ｃｃ＋（０，ｍ’－０．５ｍ））＝φ（ｃｃ）＋ｍ’－０．５ｍ＝（ａｍ＋０．５ｍ）＋ｍ’－０．５ｍ＝ａｍ＋ｍ’となり、汎用的に一次関数を計算することができる。
＜手法１＞は一次関数を計算する場合全般に応用でき、図２の（ａ－２）に対応する。
まず、奇関数ｆ（ｘ）＝ｍｘ（ｍは実数）とする。一次関数の一般式はａｘ＋ｂと表現されることが多いが、ｂ＝０の場合のみ奇関数となる。
＜手法１＞を用いて、φ（ｃｃ）＝ｆ（ａ＋０．５）＝ａｍ＋０．５ｍを計算することができる。＜手法１＞に対する追加のステップとして、TLWE暗号文ｃｃに自明な暗号文（０，ｍ’－０．５ｍ）を加算してTLWE暗号文ｃｄとする。ここでは関数ｆ、ひいてはｍを固定して考えているため、ここではｍは定数である。
すると、φ（ｃｄ）＝φ（ｃｃ＋（０，ｍ’－０．５ｍ））＝φ（ｃｃ）＋ｍ’－０．５ｍ＝（ａｍ＋０．５ｍ）＋ｍ’－０．５ｍ＝ａｍ＋ｍ’となり、汎用的に一次関数を計算することができる。
【0070】
＜手法２＞
一般の奇関数の場合を計算する手法を説明する。これは図２の（ａ－３）に対応する手法である。
上記一次関数の場合も切片が０であれば奇関数であるため、下記の手順で計算可能である。
第１Bootstrappingを行うためのテストベクタを以下の多項式Ｆ１’ｉｄ（Ｘ）に変更する。
一般の奇関数の場合を計算する手法を説明する。これは図２の（ａ－３）に対応する手法である。
上記一次関数の場合も切片が０であれば奇関数であるため、下記の手順で計算可能である。
第１Bootstrappingを行うためのテストベクタを以下の多項式Ｆ１’ｉｄ（Ｘ）に変更する。
【0071】
多項式Ｆ１’ｉｄ（Ｘ）は、＜手法１＞の場合のＦｉｄ（Ｘ）と異なり分母が少し大きくなっている。その結果、多項式Ｆ１’ｉｄ（Ｘ）を用いた第１Bootstrappingによって得られる図８のTLWE暗号文ｃｂは、スライスが図７よりも縮小している。
単純に分母が大きくなっているので、図８に示すように、円周群の右半面に平文がある（正の数の）場合は少し０側に寄る。そして左半面にある（負の数、つまり－ｔ～－１）場合は図６から「上下」が反転してこちらも０の方に少し寄る。
例えばａが－１の場合、円周群上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆ１’ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れているため、第１Bootstrapping後のTLWE暗号文の平文は、円周群上の値として－（ｔ－１）／｛２（ｔ＋１）｝－１／｛４（ｔ＋１）｝＝－ｔ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝、整数としては－ｔとなる（分母が大きくなっているため保持できる最小値と最大値も広がって－（ｔ＋１）～ｔを保持できるようになっている）。また、ａが－ｔの場合は円周群上の値として－ｔ／２ｔ＋１／（４ｔ）＝－１／２＋１／（４ｔ）ということで、最も－１／２に近いブロックである。これはつまり、Ｆ１’ｉｄ（Ｘ）の最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文として得られるため、－１／｛４（ｔ＋１）｝つまり整数として－１となる。
単純に分母が大きくなっているので、図８に示すように、円周群の右半面に平文がある（正の数の）場合は少し０側に寄る。そして左半面にある（負の数、つまり－ｔ～－１）場合は図６から「上下」が反転してこちらも０の方に少し寄る。
例えばａが－１の場合、円周群上の値としては－１／（２ｔ）～０の区間にある。そのため、多項式Ｆ１’ｉｄ（Ｘ）の最上位のブロックの項が符号反転して最下位に現れているため、第１Bootstrapping後のTLWE暗号文の平文は、円周群上の値として－（ｔ－１）／｛２（ｔ＋１）｝－１／｛４（ｔ＋１）｝＝－ｔ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝、整数としては－ｔとなる（分母が大きくなっているため保持できる最小値と最大値も広がって－（ｔ＋１）～ｔを保持できるようになっている）。また、ａが－ｔの場合は円周群上の値として－ｔ／２ｔ＋１／（４ｔ）＝－１／２＋１／（４ｔ）ということで、最も－１／２に近いブロックである。これはつまり、Ｆ１’ｉｄ（Ｘ）の最下位のブロックの項の符号反転したものが第１Bootstrapping後のTLWE暗号文として得られるため、－１／｛４（ｔ＋１）｝つまり整数として－１となる。
【0072】
一般化すると、ａが正の数の場合、TLWE暗号文ｃｂの平文はａ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となり、整数としてはａのままである。
ａが負の場合はTLWE暗号文ｃｂの平文が－（ｔ＋１＋ａ）／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となっており、整数としては－（ｔ＋１＋ａ）となる。
分母が大きくなりスライスが左右で１つずつ増えているため、円周群上の座標は変わっているが、整数としてみたときは＜手法１＞と同じシンボルになっている。
また、この処理の結果は多項式の項に加えてある１／（４（ｔ＋１））の項のおかげでオフセットが付き、図８のように円周群の０の位置がちょうどスライスの境界となっている。
ａが負の場合はTLWE暗号文ｃｂの平文が－（ｔ＋１＋ａ）／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝となっており、整数としては－（ｔ＋１＋ａ）となる。
分母が大きくなりスライスが左右で１つずつ増えているため、円周群上の座標は変わっているが、整数としてみたときは＜手法１＞と同じシンボルになっている。
また、この処理の結果は多項式の項に加えてある１／（４（ｔ＋１））の項のおかげでオフセットが付き、図８のように円周群の０の位置がちょうどスライスの境界となっている。
【0073】
暗号処理装置１は、処理したい関数ｆ（ｘ）の演算結果のうち、ｘが非負の場合の値のみを取り出して多項式Ｆ１’ｆ（Ｘ）を作成する。
暗号処理装置１は、作成した多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂをBootstrappingし、TLWE暗号文ｃｃを得る。
なお、関数ｆ（ｘ）は整数を引数として整数を得られる関数とする。
すると、図８に示すように、TLWE暗号文ｃｂが非負の場合つまり平文整数ａ＝０，１，２，…の場合は円周群の右側（０～０．５）にあるため、符号反転しないでｆ（０），ｆ（１），ｆ（２），…の値を平文とするTLWE暗号文ｃｃが得られる。
また、図８に示すように、TLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、０．５－１／２（ｔ＋１）～１の区間に並んでいるため、符号が反転して－ｆ（１），－ｆ（２），－ｆ（３）…の値を平文とするTLWE暗号文ｃｃが得られる。
もし、ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）である。
従って、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
暗号処理装置１は、作成した多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂをBootstrappingし、TLWE暗号文ｃｃを得る。
なお、関数ｆ（ｘ）は整数を引数として整数を得られる関数とする。
すると、図８に示すように、TLWE暗号文ｃｂが非負の場合つまり平文整数ａ＝０，１，２，…の場合は円周群の右側（０～０．５）にあるため、符号反転しないでｆ（０），ｆ（１），ｆ（２），…の値を平文とするTLWE暗号文ｃｃが得られる。
また、図８に示すように、TLWE暗号文ｃｂが負の場合、つまり平文整数ａが－１，－２，－３…の場合は、０．５－１／２（ｔ＋１）～１の区間に並んでいるため、符号が反転して－ｆ（１），－ｆ（２），－ｆ（３）…の値を平文とするTLWE暗号文ｃｃが得られる。
もし、ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）である。
従って、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
【0074】
次に、偶数分割の円周群を用いて偶関数を算出する方法を説明する。
偶関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝ｆ（ｘ）を満たすとき、その関数を偶関数という。
＜手法３＞
これは、図２の（ｂ－１）に対応する手法である。
暗号処理装置１は、下記の多項式Ｆ１ａｂｓ（Ｘ）
をテストベクタとして、TLWE暗号文ｃａに対する第３Bootstrappingを行い、新たなTLWE暗号文ｃｂを算出する（図９）。
TLWE暗号文ｃｂにおいては、図９、図１０に示す変換が行われる。
偶関数の定義として、実数ｘの関数ｆ（ｘ）が、ｆ（－ｘ）＝ｆ（ｘ）を満たすとき、その関数を偶関数という。
＜手法３＞
これは、図２の（ｂ－１）に対応する手法である。
暗号処理装置１は、下記の多項式Ｆ１ａｂｓ（Ｘ）
をテストベクタとして、TLWE暗号文ｃａに対する第３Bootstrappingを行い、新たなTLWE暗号文ｃｂを算出する（図９）。
TLWE暗号文ｃｂにおいては、図９、図１０に示す変換が行われる。
【0075】
図１０は、第１実施例（偶関数）における暗号文の値の遷移を説明する図であり、第３Bootstrappingの結果得られるTLWE暗号文ｃｂの平文を示している。
図９において、右半面はテストベクタ多項式の係数の並び通りに、左半面はその符号反転したものが上下反転して並んでいる。
ｔ＝４の場合を前提に説明する。
平文整数ａが非負の場合、平文は円周群｛Ｔ｝の右半面に存在するので、Ｆａｂｓ（Ｘ）のｋ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－１／４において、分母を４×（ｔ＋１）＝２０に揃えると、
２ｋ／｛４（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－（ｔ＋１）／｛４（ｔ＋１）｝から、{２ｋ＋１－（ｔ＋１）}／２０＝（２ｋ－４）／２０となる。
ｔ＝４であるので、TLWE暗号文ｃｂの平文ｂは、図９に示すように、整数ではなく円周群上の値で見たとき、ａ＝０の場合はｂ＝－４／２０、ａ＝１の場合はｂ＝－２／２０…と並ぶ。
図９において、右半面はテストベクタ多項式の係数の並び通りに、左半面はその符号反転したものが上下反転して並んでいる。
ｔ＝４の場合を前提に説明する。
平文整数ａが非負の場合、平文は円周群｛Ｔ｝の右半面に存在するので、Ｆａｂｓ（Ｘ）のｋ／｛２（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－１／４において、分母を４×（ｔ＋１）＝２０に揃えると、
２ｋ／｛４（ｔ＋１）｝＋１／｛４（ｔ＋１）｝－（ｔ＋１）／｛４（ｔ＋１）｝から、{２ｋ＋１－（ｔ＋１）}／２０＝（２ｋ－４）／２０となる。
ｔ＝４であるので、TLWE暗号文ｃｂの平文ｂは、図９に示すように、整数ではなく円周群上の値で見たとき、ａ＝０の場合はｂ＝－４／２０、ａ＝１の場合はｂ＝－２／２０…と並ぶ。
【0076】
Ｆａｂｓ（Ｘ）による第３Bootstrappingの結果、平文整数ａが負の場合は、０．５～１の方向に向かってそれが符号逆転して得られる。従って、暗号文ｃｂの平文ｂは、図９に示すように、ａ＝－４ならａ＝０の時の符号反転でｂ＝４／２０、ａ＝－１ならａ＝３の時の符号反転でｂ＝－２／２０となる。
図１０に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときは４／２０であり、
平文整数ａが－３のときは２／２０であり、
平文整数ａが－２のときは０／２０であり、
平文整数ａが－１のときは－２／２０であり、
平文整数ａが０のときは－４／２０であり
平文整数ａが１のときは－２／２０であり
平文整数ａが２のときは０／２０であり
平文整数ａが３のときは２／２０である。
図１０に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときは４／２０であり、
平文整数ａが－３のときは２／２０であり、
平文整数ａが－２のときは０／２０であり、
平文整数ａが－１のときは－２／２０であり、
平文整数ａが０のときは－４／２０であり
平文整数ａが１のときは－２／２０であり
平文整数ａが２のときは０／２０であり
平文整数ａが３のときは２／２０である。
【0077】
暗号処理装置１は、TLWE暗号文ｃｂに自明な暗号文（０，１／４）を加え、TLWE暗号文ｃｃを得る。１／４は上記の値と分母を揃えると５／２０なので、TLWE暗号文ｃｂの平文ｂの分子には５が加わって平文ｂは全て右半面へと集められる。
図１０に示すように、ｂ＋５／２０の円周群上の値は、
平文整数ａが－４のときは９／２０であり、
平文整数ａが－３のときは７／２０であり、
平文整数ａが－２のときは５／２０であり、
平文整数ａが－１のときは３／２０であり、
平文整数ａが０のときは１／２０であり、
平文整数ａが１のときは３／２０であり、
平文整数ａが２のときは５／２０であり、
平文整数ａが３のときは７／２０である。
図１０に示すように、ｂ＋５／２０の円周群上の値は、
平文整数ａが－４のときは９／２０であり、
平文整数ａが－３のときは７／２０であり、
平文整数ａが－２のときは５／２０であり、
平文整数ａが－１のときは３／２０であり、
平文整数ａが０のときは１／２０であり、
平文整数ａが１のときは３／２０であり、
平文整数ａが２のときは５／２０であり、
平文整数ａが３のときは７／２０である。
【0078】
このとき、平文ｂの分母が２０であり、分子が２刻みで増えているため、TLWE暗号文ｃｃは、円周群｛Ｔ｝全体を１０分割（右半面をｔ＋１＝５分割）して使用する場合の、非負の暗号文となっていると見ることができる。
１０分割として捉えると、TLWE暗号文ｃｃの平文であるｂ＋５／２０の整数表現は、図１０に示すように、
平文整数ａが－４のとき、９／２０＝４．５／１０⇒４であり、
平文整数ａが－３のとき、７／２０＝３．５／１０＝３であり、
平文整数ａが－２のとき、５／２０＝２．５／１０⇒２であり、
平文整数ａが－１のとき、３／２０＝１．５／１０⇒１であり、
平文整数ａが０のとき、１／２０＝０．５／１０⇒０であり
平文整数ａが１のとき、３／２０＝１．５／１０⇒１であり
平文整数ａが２のとき、５／２０＝２．５／１０⇒２であり
平文整数ａが３のとき、７／２０＝３．５／１０⇒３である。
並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。つまりφ（ｃｂ）＝｜ａ｜、ただし｜｜は絶対値記号、と言うことができる。
さらに、TLWE暗号文ｃｃの平文は、円周群{Ｔ}の右半面しか使用してないので、暗号処理装置１は、非特許文献３の手法を用いて任意の一変数関数を評価することができる。
１０分割として捉えると、TLWE暗号文ｃｃの平文であるｂ＋５／２０の整数表現は、図１０に示すように、
平文整数ａが－４のとき、９／２０＝４．５／１０⇒４であり、
平文整数ａが－３のとき、７／２０＝３．５／１０＝３であり、
平文整数ａが－２のとき、５／２０＝２．５／１０⇒２であり、
平文整数ａが－１のとき、３／２０＝１．５／１０⇒１であり、
平文整数ａが０のとき、１／２０＝０．５／１０⇒０であり
平文整数ａが１のとき、３／２０＝１．５／１０⇒１であり
平文整数ａが２のとき、５／２０＝２．５／１０⇒２であり
平文整数ａが３のとき、７／２０＝３．５／１０⇒３である。
並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。つまりφ（ｃｂ）＝｜ａ｜、ただし｜｜は絶対値記号、と言うことができる。
さらに、TLWE暗号文ｃｃの平文は、円周群{Ｔ}の右半面しか使用してないので、暗号処理装置１は、非特許文献３の手法を用いて任意の一変数関数を評価することができる。
【0079】
暗号処理装置１は、関数ｆ（ｘ）が整数を引数として整数を得られる関数として、
を用いてTLWE暗号文ｃｃに対する第４Bootstrappingを行い、TLWE暗号文ｃｄを算出する。
ここで前述の通りTLWE暗号文ｃｂは右反面しか使用していないため、φ（ｃｃ）＝ｆ（φ（ｃｂ））が成り立つ。そして、φ（ｃｂ）＝｜ａ｜を代入すると、φ（ｃｃ）＝ｆ（｜ａ｜）ただし｜｜は絶対値記号、と計算することができる。
ｆ（ｘ）が偶関数であれば、ｘが実数の場合にｆ（ｘ）＝ｆ（－ｘ）つまりｆ（ｘ）＝ｆ（｜ｘ｜）が常に成り立つため、φ（ｃｃ）＝ｆ（ａ）と一致する。
ここで前述の通りTLWE暗号文ｃｂは右反面しか使用していないため、φ（ｃｃ）＝ｆ（φ（ｃｂ））が成り立つ。そして、φ（ｃｂ）＝｜ａ｜を代入すると、φ（ｃｃ）＝ｆ（｜ａ｜）ただし｜｜は絶対値記号、と計算することができる。
ｆ（ｘ）が偶関数であれば、ｘが実数の場合にｆ（ｘ）＝ｆ（－ｘ）つまりｆ（ｘ）＝ｆ（｜ｘ｜）が常に成り立つため、φ（ｃｃ）＝ｆ（ａ）と一致する。
【0080】
＜手法４＞
これは、図２の（ｂ－２）に対応する手法である。
偶関数の場合も、偶関数ｆ（ｘ）のｘを０．５ずらしてｆ（ｘ＋０．５）を求めるのであれば、途中のTLWE暗号文ｃｂの平文の分母を大きくする必要がなくなる。
図１１は、第１実施例（偶関数）における暗号文の値の遷移を説明する図であり、多項式Ｆ１’ａｂｓ（Ｘ）によるBootstrappingの結果得られるTLWE暗号文ｃｂの平文を示している。
これは、図２の（ｂ－２）に対応する手法である。
偶関数の場合も、偶関数ｆ（ｘ）のｘを０．５ずらしてｆ（ｘ＋０．５）を求めるのであれば、途中のTLWE暗号文ｃｂの平文の分母を大きくする必要がなくなる。
図１１は、第１実施例（偶関数）における暗号文の値の遷移を説明する図であり、多項式Ｆ１’ａｂｓ（Ｘ）によるBootstrappingの結果得られるTLWE暗号文ｃｂの平文を示している。
【0081】
暗号処理装置１は、下記の多項式Ｆ１’ａｂｓ（Ｘ）
をテストベクタとして、TLWE暗号文ｃａに対する第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
図１１に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときに（－３／１６）であり、
平文整数ａが－３のときに－（－１／１６）であり、
平文整数ａが－２のときに－１／１６であり、
平文整数ａが－１のときに－３／１６であり、
平文整数ａが０のときに－３／１６であり、
平文整数ａが１のときに－１／１６であり、
平文整数ａが２のときに１／１６であり、
平文整数ａが３のときに３／１６である。
図１１に示すように、平文ｂの円周群上の値は、
平文整数ａが－４のときに（－３／１６）であり、
平文整数ａが－３のときに－（－１／１６）であり、
平文整数ａが－２のときに－１／１６であり、
平文整数ａが－１のときに－３／１６であり、
平文整数ａが０のときに－３／１６であり、
平文整数ａが１のときに－１／１６であり、
平文整数ａが２のときに１／１６であり、
平文整数ａが３のときに３／１６である。
【0082】
ここで暗号処理装置１は、TLWE暗号文ｃｂに自明な暗号文（０，１／４）を加える。１／４は、上記の値と分母を揃えると４／１６であるので、TLWE暗号文ｃｂの平文ｂの分子には４が加わって平文ｂは全て右半面へと集められる。
図１１に示すように、ｂ＋４／１６の円周群上の値は、
平文整数ａが－４のときに７／１６であり、
平文整数ａが－３のときに５／１６であり、
平文整数ａが－２のときに３／１６であり、
平文整数ａが－１のときに１／１６であり、
平文整数ａが０のときに１／１６であり
平文整数ａが１のときに３／１６であり
平文整数ａが２のときに５／１６であり
平文整数ａが３のときに７／１６である。
図１１に示すように、ｂ＋４／１６の円周群上の値は、
平文整数ａが－４のときに７／１６であり、
平文整数ａが－３のときに５／１６であり、
平文整数ａが－２のときに３／１６であり、
平文整数ａが－１のときに１／１６であり、
平文整数ａが０のときに１／１６であり
平文整数ａが１のときに３／１６であり
平文整数ａが２のときに５／１６であり
平文整数ａが３のときに７／１６である。
【0083】
このとき、平文ｂの分母が１６であり、分子が２刻みで増えているため、TLWE暗号文ｃｃは、円周群｛Ｔ｝全体を１０分割（右半面をｔ＋１＝５分割）して使用する場合の、非負の暗号文となっていると見ることができる。
１０分割として捉えると、TLWE暗号文ｃｃの平文であるｂ＋４／１６の整数表現は、図１１に示すように、
平文整数ａが－４のとき、７／１６＝３．５／１０⇒３．５であり、
平文整数ａが－３のとき、５／１６＝２．５／１０⇒２．５であり、
平文整数ａが－２のとき、３／１６＝１．５／１０⇒１．５であり、
平文整数ａが－１のとき、１／１６＝０．５／１０⇒０．５であり
平文整数ａが０のとき、１／１６＝０．５／１０⇒０．５であり
平文整数ａが１のとき、３／１６＝１．５／１０⇒１．５であり
平文整数ａが２のとき、５／１６＝２．５／１０⇒２．５であり、
平文整数ａが３のとき、７／１６＝３．５／１０⇒３．５である。
１０分割として捉えると、TLWE暗号文ｃｃの平文であるｂ＋４／１６の整数表現は、図１１に示すように、
平文整数ａが－４のとき、７／１６＝３．５／１０⇒３．５であり、
平文整数ａが－３のとき、５／１６＝２．５／１０⇒２．５であり、
平文整数ａが－２のとき、３／１６＝１．５／１０⇒１．５であり、
平文整数ａが－１のとき、１／１６＝０．５／１０⇒０．５であり
平文整数ａが０のとき、１／１６＝０．５／１０⇒０．５であり
平文整数ａが１のとき、３／１６＝１．５／１０⇒１．５であり
平文整数ａが２のとき、５／１６＝２．５／１０⇒２．５であり、
平文整数ａが３のとき、７／１６＝３．５／１０⇒３．５である。
【0084】
図１１によれば、円周群の０の位置で折り返して、絶対値関数を計算していることがわかる。つまりφ（ｃｃ）＝｜ａ＋０．５｜、ただし｜｜は絶対値記号、と言うことができる。
暗号処理装置１は、TLWE暗号文ｃｃに対して、上記多項式Ｆ１’ｆ（Ｘ）をテストベクタとした第４Bootstrappingを行い、TLWE暗号文ｃｄを得る。右反面しか既に使用していないのは上記と同じである。
すると、φ（ｃｄ）＝ｆ（｜ａ＋０．５｜）が得られる。ここで、ｆ（ｘ）が偶関数であれば、ｆ（ｘ）＝ｆ（－ｘ）＝ｆ（｜ｘ｜）であるため、φ（ｃｄ）＝ｆ（ａ＋０．５）となる。
暗号処理装置１は、TLWE暗号文ｃｃに対して、上記多項式Ｆ１’ｆ（Ｘ）をテストベクタとした第４Bootstrappingを行い、TLWE暗号文ｃｄを得る。右反面しか既に使用していないのは上記と同じである。
すると、φ（ｃｄ）＝ｆ（｜ａ＋０．５｜）が得られる。ここで、ｆ（ｘ）が偶関数であれば、ｆ（ｘ）＝ｆ（－ｘ）＝ｆ（｜ｘ｜）であるため、φ（ｃｄ）＝ｆ（ａ＋０．５）となる。
【0085】
［第２実施例：奇数分割］
［第１実施例］では、円周群を偶数個に分割する場合を説明した。
以下に示す［第２実施例］では、暗号処理装置１は、円周群を奇数個に分割する場合における奇関数及び偶関数の計算を説明する。
円周群の全体を使用している場合、準同型加算でのオーバーフローは単純に最大値＋１での剰余として処理される。例えば円周群全体を７分割して０～６の整数値を使用している場合、４＋６を準同型加算すると結果は本来１０であるが、円周群の一周を通り越してしまうため、復号すると１周分の分割数である７を引いて１０－７＝３となる。つまり、単純な準同型加算を行うだけで結果的に（ａ＋ｂ）ｍｏｄ（ｔ）を計算したことになる。ここでｍｏｄ（ｔ）はｔで割った剰余を表す。準同型減算でも同様に（ａ－ｂ）ｍｏｄ（ｔ）となる。
一般に整数を整数で割った剰余からなる集合は剰余群の性質を持つが、整数を素数で割った剰余からなる集合は特別に「体」の性質を持つことが知られており、これは「有限体」と呼ばれている。
有限体は様々な扱いやすい特長を有している。例えば、「有限体」において全ての要素に逆元が定義されている。これは、任意の要素同士の除算は逆元の乗算に置き換え可能であることを意味する。一般的に除算は複雑な処理が必要であり、コンピュータで計算する場合も他の四則演算より多くの計算時間を必要とする。このような除算の計算を、乗算のみで済ませることができる利点は大きい。
しかし、［第１実施例］で説明した方法では円周群の全体を偶数個に分割することしかできず、２以外の素数は全て奇数であるため、有限体の任意の関数を効率的に計算することが難しい。
それに対して、［第２実施例］では、円周群の全体を用いることと円周群を奇数個特に素数個（奇素数個）に分割することとを両立して暗号化された有限体を効率的に扱い、有限体の任意の関数を計算することが出来る。
なお、［第２実施例］の方法は、円周群を奇数分割している場合に好適であるが、円周群を偶数分割する場合に適用することも可能である。
［第１実施例］では、円周群を偶数個に分割する場合を説明した。
以下に示す［第２実施例］では、暗号処理装置１は、円周群を奇数個に分割する場合における奇関数及び偶関数の計算を説明する。
円周群の全体を使用している場合、準同型加算でのオーバーフローは単純に最大値＋１での剰余として処理される。例えば円周群全体を７分割して０～６の整数値を使用している場合、４＋６を準同型加算すると結果は本来１０であるが、円周群の一周を通り越してしまうため、復号すると１周分の分割数である７を引いて１０－７＝３となる。つまり、単純な準同型加算を行うだけで結果的に（ａ＋ｂ）ｍｏｄ（ｔ）を計算したことになる。ここでｍｏｄ（ｔ）はｔで割った剰余を表す。準同型減算でも同様に（ａ－ｂ）ｍｏｄ（ｔ）となる。
一般に整数を整数で割った剰余からなる集合は剰余群の性質を持つが、整数を素数で割った剰余からなる集合は特別に「体」の性質を持つことが知られており、これは「有限体」と呼ばれている。
有限体は様々な扱いやすい特長を有している。例えば、「有限体」において全ての要素に逆元が定義されている。これは、任意の要素同士の除算は逆元の乗算に置き換え可能であることを意味する。一般的に除算は複雑な処理が必要であり、コンピュータで計算する場合も他の四則演算より多くの計算時間を必要とする。このような除算の計算を、乗算のみで済ませることができる利点は大きい。
しかし、［第１実施例］で説明した方法では円周群の全体を偶数個に分割することしかできず、２以外の素数は全て奇数であるため、有限体の任意の関数を効率的に計算することが難しい。
それに対して、［第２実施例］では、円周群の全体を用いることと円周群を奇数個特に素数個（奇素数個）に分割することとを両立して暗号化された有限体を効率的に扱い、有限体の任意の関数を計算することが出来る。
なお、［第２実施例］の方法は、円周群を奇数分割している場合に好適であるが、円周群を偶数分割する場合に適用することも可能である。
【0086】
図１２は、第２実施例の暗号処理装置の機能構成を説明する図である。
図１と同じ構成には同じ符号を付して説明を省略する。
図１と同様に、図１２の暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第５Bootstrapping部（算出部）４１と、第６Bootstrapping部（算出部）４２と、第７Bootstrapping部（算出部）４３と、第８Bootstrapping（算出部）４４と、出力部３５と、を備えている。
一変数関数としての奇関数の演算において、第５Bootstrapping部４１は、受付部１１が受け付けた入力暗号文に対して第５Gate Bootstrappingを行う。
第６Bootstrapping部４２は、第５Gate Bootstrapping部４１から出力された暗号文に対して第６Gate Bootstrappingを行う。
一変数関数としての偶関数の演算において、第７Bootstrapping部４３は、受付部１１が受け付けた入力暗号文に対して第７Gate Bootstrappingを行う。
第８Bootstrapping部４４は、第７Bootstrapping部４３から出力された暗号文に対して第８Gate Bootstrappingを行う。
図１と同じ構成には同じ符号を付して説明を省略する。
図１と同様に、図１２の暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第５Bootstrapping部（算出部）４１と、第６Bootstrapping部（算出部）４２と、第７Bootstrapping部（算出部）４３と、第８Bootstrapping（算出部）４４と、出力部３５と、を備えている。
一変数関数としての奇関数の演算において、第５Bootstrapping部４１は、受付部１１が受け付けた入力暗号文に対して第５Gate Bootstrappingを行う。
第６Bootstrapping部４２は、第５Gate Bootstrapping部４１から出力された暗号文に対して第６Gate Bootstrappingを行う。
一変数関数としての偶関数の演算において、第７Bootstrapping部４３は、受付部１１が受け付けた入力暗号文に対して第７Gate Bootstrappingを行う。
第８Bootstrapping部４４は、第７Bootstrapping部４３から出力された暗号文に対して第８Gate Bootstrappingを行う。
【0087】
第５Bootstrapping部４１、第６Bootstrapping部４２、第７Bootstrapping部４３、第８Bootstrapping部４４は、Gate Bootstrapping処理をソフトウェアで実現する演算処理部である。
受付部１１、第５Bootstrapping部４１、第６Bootstrapping部４２、第７Bootstrapping部４３、第８Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
受付部１１、第５Bootstrapping部４１、第６Bootstrapping部４２、第７Bootstrapping部４３、第８Bootstrapping部４４、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。
【0088】
図１３は、図１２の機能構成に基づく演算プロセスを説明する図である。
暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の演算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の演算を行いたい平文整数ａの暗号文である。
図１３（ａ）において、暗号処理装置１は、一変数関数としての奇関数の演算を行う。
暗号処理装置１は、TLWE暗号文ｃａを第５Bootstrapping部４１に入力して多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第６Bootstrapping部４２に入力して多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いた第６Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
暗号処理装置１は、Integer-wise型のTLWE暗号文について、奇関数と偶関数の演算を行う。
TLWE暗号文ｃａは、奇関数と偶関数の演算を行いたい平文整数ａの暗号文である。
図１３（ａ）において、暗号処理装置１は、一変数関数としての奇関数の演算を行う。
暗号処理装置１は、TLWE暗号文ｃａを第５Bootstrapping部４１に入力して多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第６Bootstrapping部４２に入力して多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いた第６Bootstrappingを行い、奇関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
【0089】
図１３（ｂ）において、暗号処理装置１は、一変数関数としての偶関数の演算を行う。
暗号処理装置１は、TLWE暗号文ｃａを第７Bootstrapping部４３に入力して多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第８Bootstrapping部４４に入力して多項式Ｆ２’ｆ（Ｘ）をテストベクタとして用いた第８Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
暗号処理装置１は、TLWE暗号文ｃａを第７Bootstrapping部４３に入力して多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
暗号処理装置１は、TLWE暗号文ｃｂを第８Bootstrapping部４４に入力して多項式Ｆ２’ｆ（Ｘ）をテストベクタとして用いた第８Bootstrappingを行い、偶関数の計算結果に対応するTLWE暗号文ｃｃを算出する。
【0090】
［奇関数］
まず、奇数分割した円周群を用いて奇関数を評価する場合を説明する。
以下の説明と図では、特に断りなくｔ＝２の場合を例示する場合がある。
図１４は、第２実施例におけるInteger-wise型TFHEを説明する図であり、奇数分割した円周群を示している。
図１４（ａ）は、平文に対してオフセットを付加していない状態を示している。
図１４（ａ）では、円周群｛Ｔ｝における０の前後を整数０に対応付けている。円周群｛Ｔ｝を奇数個に分割するため、円周群｛Ｔ｝の０．５（１／２）が最大値ｔ（＝２）と最小値－ｔ（＝－２）との境界となる。
円周群上｛Ｔ｝の０から０．５の値域（右半面）には、テストベクタ多項式の次数が低い項の係数から次数が高い項の係数が順に対応している。また０．５から１の値域（左半面）には、テストベクタ多項式の、符号が反転した次数が低い項の係数から次数が高い項の係数が順に対応している。
上記のように図１４（ａ）は、円周群を奇数分割して平文にオフセットを付加しない場合を示している。０近辺でプラス側の誤差が付加されている場合、平文は右半面にあって、テストベクタ多項式における低次の項の係数に対応する。一方、０付近でマイナス側の誤差が付加されている場合、平文は左半面にあって、テストベクタ多項式における符号反転した高次の項の係数に対応する。
従って、整数０に対応するスライス内で、平文にプラス側の誤差が付加されている場合とマイナス側の誤差が付加されている場合とで係数が連続しない。
後述の多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いたBootstrappingにおいて、左半面に割り当てた整数を反転させたときには、マイナス側の誤差が付加された整数０は、０．５側に移動するが、プラス側の誤差が付加された整数０は０付近に留まるため、不連続性は顕著となる。
まず、奇数分割した円周群を用いて奇関数を評価する場合を説明する。
以下の説明と図では、特に断りなくｔ＝２の場合を例示する場合がある。
図１４は、第２実施例におけるInteger-wise型TFHEを説明する図であり、奇数分割した円周群を示している。
図１４（ａ）は、平文に対してオフセットを付加していない状態を示している。
図１４（ａ）では、円周群｛Ｔ｝における０の前後を整数０に対応付けている。円周群｛Ｔ｝を奇数個に分割するため、円周群｛Ｔ｝の０．５（１／２）が最大値ｔ（＝２）と最小値－ｔ（＝－２）との境界となる。
円周群上｛Ｔ｝の０から０．５の値域（右半面）には、テストベクタ多項式の次数が低い項の係数から次数が高い項の係数が順に対応している。また０．５から１の値域（左半面）には、テストベクタ多項式の、符号が反転した次数が低い項の係数から次数が高い項の係数が順に対応している。
上記のように図１４（ａ）は、円周群を奇数分割して平文にオフセットを付加しない場合を示している。０近辺でプラス側の誤差が付加されている場合、平文は右半面にあって、テストベクタ多項式における低次の項の係数に対応する。一方、０付近でマイナス側の誤差が付加されている場合、平文は左半面にあって、テストベクタ多項式における符号反転した高次の項の係数に対応する。
従って、整数０に対応するスライス内で、平文にプラス側の誤差が付加されている場合とマイナス側の誤差が付加されている場合とで係数が連続しない。
後述の多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いたBootstrappingにおいて、左半面に割り当てた整数を反転させたときには、マイナス側の誤差が付加された整数０は、０．５側に移動するが、プラス側の誤差が付加された整数０は０付近に留まるため、不連続性は顕著となる。
【0091】
一方、図１４の０．５側に着目すると、円周群上の０．５は、整数２を割り当てたスライスと整数－２を割り当てたスライスとの境界となっている。
整数２を割り当てたスライスや整数－２を割り当てたスライスは、平文にプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も０．５を跨ぐことがなく係数が連続する。
すなわち、整数２に対してプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も、スライスは右半面にあって係数は連続する。整数－２に対してプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も、スライスは左半面にあって係数は連続する。
整数２を割り当てたスライスや整数－２を割り当てたスライスは、平文にプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も０．５を跨ぐことがなく係数が連続する。
すなわち、整数２に対してプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も、スライスは右半面にあって係数は連続する。整数－２に対してプラス側の誤差が付加された場合もマイナス側の誤差が付加された場合も、スライスは左半面にあって係数は連続する。
【0092】
円周群の０付近における係数の不連続性を解消するために、［第１実施例］の偶数分割と同様に、整数０を割り当てたスライスが０と１の境界から始まるように平文にオフセットを付してもよい。
しかし、その場合は、整数２を割り当てたスライスが０．５を跨ぎ、整数２に対してプラス側の誤差が付加されている場合とマイナス側の誤差が付されている場合とで係数が連続しなくなる問題が生じる。
しかし、その場合は、整数２を割り当てたスライスが０．５を跨ぎ、整数２に対してプラス側の誤差が付加されている場合とマイナス側の誤差が付されている場合とで係数が連続しなくなる問題が生じる。
【0093】
従って、円周群を奇数分割する［第２実施例］では、暗号処理装置１は、平文にオフセットを付加しない。暗号処理装置１は、平文にオフセットを付加することに代えて、図１４（ｂ）に示すように、整数を割り当てたスライスを夫々プラス側とマイナス側の誤差範囲で２つのスライスに分割し、偶数分割と類似した処理によって奇関数、偶関数を計算する。
図１４（ｂ）のスライス内に、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合を示し、数字に付されたｍは平文に付加される誤差がマイナス側の場合を示している。
図１４（ａ）の説明に関連して、０ｐのスライスは円周群に右半面にあり、０ｍのスライスは円周群の左半面にある。０ｐのスライスの平文はテストベクタ多項式における最も低次の項の係数に対応し、０ｍのスライスの平文はテストベクタ多項式における符号が反転した最も高次の項の係数に対応する。従って、同じ整数０に対応していても、平文にプラス側の誤差が付加されているスライス０ｐとマイナス側の誤差が付加されているスライス０ｍとで係数が連続しない。
２ｍ、２ｐのスライスは何れも円周群の右半面にあり、－２ｍ、－２ｐのスライスは何れも左半面にある。２ｍのスライスの平文と２ｐのスライスの平文は、テストベクタ多項式における連続した（隣接した）次数の項の係数に夫々対応し、－２ｍのスライスの平文と－２ｐのスライスの平文も同様である。すなわち、同じ整数２に対応するスライス２ｐと２ｍは係数が連続し、同じ整数－２に対応するスライス－２ｐ、－２ｍは係数が連続する。
図１４（ｂ）のスライス内に、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合を示し、数字に付されたｍは平文に付加される誤差がマイナス側の場合を示している。
図１４（ａ）の説明に関連して、０ｐのスライスは円周群に右半面にあり、０ｍのスライスは円周群の左半面にある。０ｐのスライスの平文はテストベクタ多項式における最も低次の項の係数に対応し、０ｍのスライスの平文はテストベクタ多項式における符号が反転した最も高次の項の係数に対応する。従って、同じ整数０に対応していても、平文にプラス側の誤差が付加されているスライス０ｐとマイナス側の誤差が付加されているスライス０ｍとで係数が連続しない。
２ｍ、２ｐのスライスは何れも円周群の右半面にあり、－２ｍ、－２ｐのスライスは何れも左半面にある。２ｍのスライスの平文と２ｐのスライスの平文は、テストベクタ多項式における連続した（隣接した）次数の項の係数に夫々対応し、－２ｍのスライスの平文と－２ｐのスライスの平文も同様である。すなわち、同じ整数２に対応するスライス２ｐと２ｍは係数が連続し、同じ整数－２に対応するスライス－２ｐ、－２ｍは係数が連続する。
【0094】
暗号処理装置１は、円周群の分割サイズを決める定数ｔを正の整数で設定する。これを用いて１ブロックの幅は１／（２ｔ＋１）とする。つまり、円周群全体を２ｔ＋１個（奇数個）のブロックに分割する。
ここで、ｔが１つのTLWE暗号文に記録できる整数の最大値となり、－ｔが最小値となる。
図１４（ｂ）に示すように、円周群上の－１／｛２（２ｔ＋１）｝から１／｛２（２ｔ＋１）｝の範囲を０の区間とし、そのブロックに各ブロックが順に隣接している。
これは説明のための便宜上のものであり、実際には「０から１／（２ｔ＋１）までを０に対応するブロックとして実装する」などのようにオフセットをずらして実装しても、他のパラメータや多項式などを調整したり、事前に調整したりするなどして、つじつまを合わせることは可能である。
ここで、ｔが１つのTLWE暗号文に記録できる整数の最大値となり、－ｔが最小値となる。
図１４（ｂ）に示すように、円周群上の－１／｛２（２ｔ＋１）｝から１／｛２（２ｔ＋１）｝の範囲を０の区間とし、そのブロックに各ブロックが順に隣接している。
これは説明のための便宜上のものであり、実際には「０から１／（２ｔ＋１）までを０に対応するブロックとして実装する」などのようにオフセットをずらして実装しても、他のパラメータや多項式などを調整したり、事前に調整したりするなどして、つじつまを合わせることは可能である。
【0095】
次に、暗号処理装置１は、TFHEのシステムパラメータを設定する。
誤差の最大値は、±１／｛２（２ｔ＋１）｝未満となるように設定する。
計算したい関数の引数とするTLWE暗号文ｃａがあるとする。
TLWE暗号文ｃａは、秘密鍵がなければ知ることのできない整数ａに対応する実数ａ／（２ｔ＋１）を平文として有する。
これは誤差なしの平文であり、実際にはこれに先ほど定めた範囲の誤差が付加された値が平文として暗号文に格納されている。
誤差が付加された平文が分布する範囲は、ａ／（２ｔ＋１）±１／（４ｔ＋２）すなわち、（２ａ－１）／（４ｔ＋２）から（２ａ＋１）／（４ｔ＋２）の範囲である。
誤差の最大値は、±１／｛２（２ｔ＋１）｝未満となるように設定する。
計算したい関数の引数とするTLWE暗号文ｃａがあるとする。
TLWE暗号文ｃａは、秘密鍵がなければ知ることのできない整数ａに対応する実数ａ／（２ｔ＋１）を平文として有する。
これは誤差なしの平文であり、実際にはこれに先ほど定めた範囲の誤差が付加された値が平文として暗号文に格納されている。
誤差が付加された平文が分布する範囲は、ａ／（２ｔ＋１）±１／（４ｔ＋２）すなわち、（２ａ－１）／（４ｔ＋２）から（２ａ＋１）／（４ｔ＋２）の範囲である。
【0096】
暗号処理装置１は、TLWE暗号文ｃａに対して、以下の多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いて第５Bootstrappingを行い、TLWE暗号文ｃｂを得る。
Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
多項式Ｆ２ｉｄ（Ｘ）は、［実施例１］の偶数分割で利用した多項式Ｆ１ｉｄ（Ｘ）と比べて、多項式を分割するブロックの数（左側のΣ式でｋの取りうる値の個数）が約倍になり、その分、ブロック１つあたりに含まれる項の数（右側のΣ式で１の取りうる値の個数）が約半分になっている。
多項式Ｆ２ｉｄ（Ｘ）は、多項式Ｆ１ｉｄ（Ｘ）に比べて多項式の分母が２倍であり、円周群を倍の数のスライス（プラス誤差のスライスとマイナス誤差のスライス）に分けている。その結果、一つのスライス幅は半分になっている。
元々平文ａとして利用するために整数と対応付けてあるブロックをそれぞれ２つに分けて、BlindRotateによるルックアップテーブルとしては、分割したどちらかのブロックに対応するテーブルを引く。
多項式Ｆ２ｉｄ（Ｘ）は、［実施例１］の偶数分割で利用した多項式Ｆ１ｉｄ（Ｘ）と比べて、多項式を分割するブロックの数（左側のΣ式でｋの取りうる値の個数）が約倍になり、その分、ブロック１つあたりに含まれる項の数（右側のΣ式で１の取りうる値の個数）が約半分になっている。
多項式Ｆ２ｉｄ（Ｘ）は、多項式Ｆ１ｉｄ（Ｘ）に比べて多項式の分母が２倍であり、円周群を倍の数のスライス（プラス誤差のスライスとマイナス誤差のスライス）に分けている。その結果、一つのスライス幅は半分になっている。
元々平文ａとして利用するために整数と対応付けてあるブロックをそれぞれ２つに分けて、BlindRotateによるルックアップテーブルとしては、分割したどちらかのブロックに対応するテーブルを引く。
【0097】
図１５は、第２実施例（奇関数）におけるInteger-wise型TFHEを説明する図であり、TLWE暗号文ｃｂのスライス分割を示している。
図１５における各スライス内には、多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingの結果、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合、ｍは誤差がマイナス側の場合を示している。
円の外側は、多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いたTLWE暗号文ｃｂに対する第６Bootstrappingの結果得られたTLWE暗号文ｃｃの平文整数の値（φ（ｃｃ））が示されている。φ（ｃｃ）は、関数ｆ、－ｆの出力となる整数である。
図１５における各スライス内には、多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingの結果、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合、ｍは誤差がマイナス側の場合を示している。
円の外側は、多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いたTLWE暗号文ｃｂに対する第６Bootstrappingの結果得られたTLWE暗号文ｃｃの平文整数の値（φ（ｃｃ））が示されている。φ（ｃｃ）は、関数ｆ、－ｆの出力となる整数である。
【0098】
図１６は、第２実施例（奇関数）における暗号文の値の遷移を説明する図であり、第５Bootstrapping、第６Bootstrappingを行った結果における暗号文の値を示している。ｔ＝２の場合を前提に説明する。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で１／２０であり、平文シンボルで表現すると０．５である。TLWE暗号文ｃｃは、ｆ（０）の値を平文として有する。
平文整数ａが１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で３／２０であり、平文シンボルで表現すると１．５である。TLWE暗号文ｃｃは、ｆ（１）の値を平文として有する。
平文整数ａが１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は５／２０であり、平文シンボルで表現すると２．５である。TLWE暗号文ｃｃは、ｆ（１）の値を平文として有する。
平文整数ａが２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で７／２０であり、平文シンボルで表現すると３．５である。TLWE暗号文ｃｃは、ｆ（２）の値を平文として有する。
平文整数ａが２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で９／２０であり、平文シンボルで表現すると４．５である。TLWE暗号文ｃｃは、ｆ（２）の値を平文として有する。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で１／２０であり、平文シンボルで表現すると０．５である。TLWE暗号文ｃｃは、ｆ（０）の値を平文として有する。
平文整数ａが１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で３／２０であり、平文シンボルで表現すると１．５である。TLWE暗号文ｃｃは、ｆ（１）の値を平文として有する。
平文整数ａが１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は５／２０であり、平文シンボルで表現すると２．５である。TLWE暗号文ｃｃは、ｆ（１）の値を平文として有する。
平文整数ａが２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で７／２０であり、平文シンボルで表現すると３．５である。TLWE暗号文ｃｃは、ｆ（２）の値を平文として有する。
平文整数ａが２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で９／２０であり、平文シンボルで表現すると４．５である。TLWE暗号文ｃｃは、ｆ（２）の値を平文として有する。
【0099】
平文整数ａが－２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（１／２０）であり、平文シンボルで表現すると－０．５である。TLWE暗号文ｃｃは、－ｆ（２）の値を平文として有する。
平文整数ａが－２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（３／２０）であり、平文シンボルで表現すると－１．５である。TLWE暗号文ｃｃは、－ｆ（２）の値を平文として有する。
平文整数ａが－１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（５／２０）であり、平文シンボルで表現すると－２．５である。TLWE暗号文ｃｃは、－ｆ（１）の値を平文として有する。
平文整数ａが－１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（７／２０）であり、平文シンボルで表現すると－３．５である。TLWE暗号文ｃｃは、－ｆ（１）の値を平文として有する。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（９／２０）であり、平文シンボルで表現すると－４．５である。TLWE暗号文ｃｃは、－ｆ（０）の値を平文として有する。
平文整数ａが－２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（３／２０）であり、平文シンボルで表現すると－１．５である。TLWE暗号文ｃｃは、－ｆ（２）の値を平文として有する。
平文整数ａが－１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（５／２０）であり、平文シンボルで表現すると－２．５である。TLWE暗号文ｃｃは、－ｆ（１）の値を平文として有する。
平文整数ａが－１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（７／２０）であり、平文シンボルで表現すると－３．５である。TLWE暗号文ｃｃは、－ｆ（１）の値を平文として有する。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（９／２０）であり、平文シンボルで表現すると－４．５である。TLWE暗号文ｃｃは、－ｆ（０）の値を平文として有する。
【0100】
図１６における暗号文の値の遷移を詳しく説明する。
平文整数ａは、正の場合と誤差がプラス側の０である場合には円周群の右半面に位置する。
TLWE暗号文ｃａの平文が円周群｛Ｔ｝の右半面にある（平文が正の数又は誤差がプラス側の０である）場合、第５Bootstrappingの結果、TLWE暗号文ｃｂの平文は付近の正負どちらかのブロックに移動する。具体的には、TLWE暗号文ｃｂの平文は２ａ－０．５もしくは２ａ＋０．５のどちらかの値となる。
TLWE暗号文ｃａの平文が円周群｛Ｔ｝の左半面にある（平文が負の数つまり－ｔ～－１又は誤差がマイナス側の０である）場合、TLWE暗号文ｃａにおける整数の並びが上下反転される。
例えば平文整数ａが、誤差がマイナス側の０である場合、円周群上の値としては－１／（４ｔ＋２）～０の区間にある。
多項式Ｆ２ｉｄをテストベクタとして用いたTLWE暗号文ｃａに対する第５Bootstrappingの結果、多項式Ｆ２ｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第５Bootstrappingの結果得られるTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／（８ｔ＋４）、シンボルとしては－２ｔ－０．５となる。
平文整数ａが－ｔの場合、円周群上の値としては－ｔ／（２ｔ＋１）である。
多項式Ｆ２ｉｄをテストベクタとして用いたTLWE暗号文ｃａに対する第５Bootstrappingの結果、多項式Ｆ２ｉｄの最下位（誤差がマイナス側の場合）もしくは１つ上（誤差がプラス側の場合）のブロックの項を符号反転したものが現れる。
従って、第５Bootstrappingによって得られるTLWE暗号文ｃｂの平文（シンボル）は、誤差がマイナス側であれば－０．５、誤差がブラス側であれば－１．５となる。
平文整数ａは、正の場合と誤差がプラス側の０である場合には円周群の右半面に位置する。
TLWE暗号文ｃａの平文が円周群｛Ｔ｝の右半面にある（平文が正の数又は誤差がプラス側の０である）場合、第５Bootstrappingの結果、TLWE暗号文ｃｂの平文は付近の正負どちらかのブロックに移動する。具体的には、TLWE暗号文ｃｂの平文は２ａ－０．５もしくは２ａ＋０．５のどちらかの値となる。
TLWE暗号文ｃａの平文が円周群｛Ｔ｝の左半面にある（平文が負の数つまり－ｔ～－１又は誤差がマイナス側の０である）場合、TLWE暗号文ｃａにおける整数の並びが上下反転される。
例えば平文整数ａが、誤差がマイナス側の０である場合、円周群上の値としては－１／（４ｔ＋２）～０の区間にある。
多項式Ｆ２ｉｄをテストベクタとして用いたTLWE暗号文ｃａに対する第５Bootstrappingの結果、多項式Ｆ２ｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、第５Bootstrappingの結果得られるTLWE暗号文ｃｂの平文は、円周群上の値として－１／２＋１／（８ｔ＋４）、シンボルとしては－２ｔ－０．５となる。
平文整数ａが－ｔの場合、円周群上の値としては－ｔ／（２ｔ＋１）である。
多項式Ｆ２ｉｄをテストベクタとして用いたTLWE暗号文ｃａに対する第５Bootstrappingの結果、多項式Ｆ２ｉｄの最下位（誤差がマイナス側の場合）もしくは１つ上（誤差がプラス側の場合）のブロックの項を符号反転したものが現れる。
従って、第５Bootstrappingによって得られるTLWE暗号文ｃｂの平文（シンボル）は、誤差がマイナス側であれば－０．５、誤差がブラス側であれば－１．５となる。
【0101】
一般化すると、平文整数ａが正もしくは誤差がプラス側の０である場合、TLWE暗号文ｃｂの平文は（２ａ±０．５）／（４ｔ＋２）＋１／（８ｔ＋４）となり、シンボルとしては２ａ±０．５となる。
平文整数ａが負の数又は誤差がマイナス側の０である場合、TLWE暗号文ｃｂの平文は、－（２ｔ＋１＋２ａ±０．５）／２ｔ＋１／（８ｔ＋４）となり、シンボルとしては－（２ｔ＋１＋２ａ±０．５）となる。
この処理の結果、多項式の項に加えた１／（８ｔ＋４）の項によって、TLWE暗号文ｃｂでは、TLWE暗号文ｃａの平文にオフセットが付加され、図１６に示すように円周群｛Ｔ｝の０の位置がちょうどスライスの境界となっている。
平文整数ａが負の数又は誤差がマイナス側の０である場合、TLWE暗号文ｃｂの平文は、－（２ｔ＋１＋２ａ±０．５）／２ｔ＋１／（８ｔ＋４）となり、シンボルとしては－（２ｔ＋１＋２ａ±０．５）となる。
この処理の結果、多項式の項に加えた１／（８ｔ＋４）の項によって、TLWE暗号文ｃｂでは、TLWE暗号文ｃａの平文にオフセットが付加され、図１６に示すように円周群｛Ｔ｝の０の位置がちょうどスライスの境界となっている。
【0102】
暗号処理装置１は、処理したい関数ｆ（ｘ）の演算結果のうち、ｘが非負の場合の値のみを取り出して多項式Ｆ２ｆ（Ｘ）
を作成する。そして、暗号処理装置１はこの多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂに対して第６Bootstrappingを行い、TLWE暗号文ｃｃを得る。関数ｆ（ｘ）は整数を引数として整数を得られる関数である。
偶数分割の場合に用いた多項式Ｆ１ｆ（Ｘ）と多項式Ｆ２ｆ（Ｘ）との違いは、多項式Ｆ１ｉｄ（Ｘ）と多項式Ｆ２ｉｄ（Ｘ）との違いと同じく、多項式の項の分割数を約倍に増やした点と、その結果の分割数も増えている点である。ｆの引数も変わっているが、これはｋの値域が変わったためである。
を作成する。そして、暗号処理装置１はこの多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いてTLWE暗号文ｃｂに対して第６Bootstrappingを行い、TLWE暗号文ｃｃを得る。関数ｆ（ｘ）は整数を引数として整数を得られる関数である。
偶数分割の場合に用いた多項式Ｆ１ｆ（Ｘ）と多項式Ｆ２ｆ（Ｘ）との違いは、多項式Ｆ１ｉｄ（Ｘ）と多項式Ｆ２ｉｄ（Ｘ）との違いと同じく、多項式の項の分割数を約倍に増やした点と、その結果の分割数も増えている点である。ｆの引数も変わっているが、これはｋの値域が変わったためである。
【0103】
TLWE暗号文ｃｂの平文シンボルが非負、つまり０．５，１．５，２．５，…の場合は、TLWE暗号文ｃｂの平文は円周群の右半面（０～０．５）にある。その場合、TLWE暗号文ｃｂに対して多項式Ｆ２ｆ（Ｘ）をテストベクタとする第６Bootstrappingを行って得たTLWE暗号文ｃｃは、TLWE暗号文ｃａの平文ａ（整数表現）が０（プラス側誤差）、１（マイナス側誤差）、１（プラス側誤差）、２（マイナス側誤差）、２（プラス側誤差）…の場合に対応して、ｆ（０）、ｆ（１）、ｆ（１）、ｆ（２）、ｆ（２）、…の値を平文ｃとして有する。
TLWE暗号文ｃｂの平文シンボルが負、つまり－０．５、－１．５、－２．５、－３．５…の場合は、その順番で０．５～１（左半面）の区間に並んでいるため符号が反転する。
従って、TLWE暗号文ｃｃは、TLWE暗号文ｃａの平文ａ（整数表現）が０（マイナス側誤差）、－１（プラス側誤差）、－１（マイナス側誤差）、－２（プラス側誤差）、－２（マイナス側誤差）…の場合に対応して、－ｆ（０）、－ｆ（１）、－ｆ（１）、－ｆ（２）、－ｆ（２）…の値を平文ｃとして有する。
ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）であるため、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
ここで、図１６に示すように、誤差がマイナス側の場合もプラス側の場合も、同じfの値をルックアップテーブル（テストベクタ多項式）に配置しているため、結果的に誤差の正負は関係なくなっている。少なくともｆの引数には整数ａと同じ値が入っている。
TLWE暗号文ｃｂの平文シンボルが負、つまり－０．５、－１．５、－２．５、－３．５…の場合は、その順番で０．５～１（左半面）の区間に並んでいるため符号が反転する。
従って、TLWE暗号文ｃｃは、TLWE暗号文ｃａの平文ａ（整数表現）が０（マイナス側誤差）、－１（プラス側誤差）、－１（マイナス側誤差）、－２（プラス側誤差）、－２（マイナス側誤差）…の場合に対応して、－ｆ（０）、－ｆ（１）、－ｆ（１）、－ｆ（２）、－ｆ（２）…の値を平文ｃとして有する。
ｆ（ｘ）が奇関数であれば、－ｆ（ｘ）＝ｆ（－ｘ）であるため、φ（ｃｃ）＝ｆ（ａ）と一致することとなる。
ここで、図１６に示すように、誤差がマイナス側の場合もプラス側の場合も、同じfの値をルックアップテーブル（テストベクタ多項式）に配置しているため、結果的に誤差の正負は関係なくなっている。少なくともｆの引数には整数ａと同じ値が入っている。
【0104】
［偶関数］
偶関数を評価する場合を説明する。基本的に奇関数の場合とは同じ方法で実現することが出来る。
暗号処理装置１は、TLWE暗号文ｃａに対して以下の多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いて第７Bootstrappingを行い、TLWE暗号文ｃｂを得る。
多項式Ｆ２ａｂｓ（Ｘ）は、多項式の項から１／４を引いている点で上記の多項式Ｆ２ｉｄ（Ｘ）と異なる。
図１７は、第２実施例（偶関数）におけるInteger-wise型TFHEを説明する図であり、第７Bootstrapping、図８Bootstrappingでの暗号文の値の変遷を示している。
図１７における各スライス内には、多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingの結果、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合を示し、数字に付されたｍは平文に付加される誤差がマイナス側の場合を示している。
円の内側には変換前のTLWE暗号文ｃａの平文の並び方が示され、外側には第７Bootstrappingによる処理後のTLWE暗号文ｃｂの平文の中心が示されている。この平文の中心に±１／２０の誤差が付加される。
円周群の右半面には、テストベクタ多項式の係数の並び通りに、左半面は符号反転したものが上下反転して並んでいる。０が左右に分かれて存在するが、どちらも同じ－４／２０に変換されている。
偶関数を評価する場合を説明する。基本的に奇関数の場合とは同じ方法で実現することが出来る。
暗号処理装置１は、TLWE暗号文ｃａに対して以下の多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いて第７Bootstrappingを行い、TLWE暗号文ｃｂを得る。
多項式Ｆ２ａｂｓ（Ｘ）は、多項式の項から１／４を引いている点で上記の多項式Ｆ２ｉｄ（Ｘ）と異なる。
図１７は、第２実施例（偶関数）におけるInteger-wise型TFHEを説明する図であり、第７Bootstrapping、図８Bootstrappingでの暗号文の値の変遷を示している。
図１７における各スライス内には、多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingの結果、各スライスに割り当てられたTLWE暗号文ｃａの平文ａの値（整数値）が表示されている。数字に付されたｐは平文に付加される誤差がプラス側の場合を示し、数字に付されたｍは平文に付加される誤差がマイナス側の場合を示している。
円の内側には変換前のTLWE暗号文ｃａの平文の並び方が示され、外側には第７Bootstrappingによる処理後のTLWE暗号文ｃｂの平文の中心が示されている。この平文の中心に±１／２０の誤差が付加される。
円周群の右半面には、テストベクタ多項式の係数の並び通りに、左半面は符号反転したものが上下反転して並んでいる。０が左右に分かれて存在するが、どちらも同じ－４／２０に変換されている。
【0105】
図１８は、第２実施例（偶関数）における暗号文の値の遷移を説明する図である。ｔ＝２の場合を前提に説明する。
図１８の説明で、TLWE暗号文ｃｃは、TLWE暗号文ｃｂに１／４を準同型加算している。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－４／２０である。TLWE暗号文ｃｃは誤差を含めて１／２０±１／２０であり、シンボルで表現すると０．５である。TLWE暗号文ｃｄは、ｆ（０）の値を平文として有する。
平文整数ａが１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－２／２０である。TLWE暗号文ｃｃは誤差を含めて３／２０±１／２０であり、シンボルで表現すると１．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
図１８の説明で、TLWE暗号文ｃｃは、TLWE暗号文ｃｂに１／４を準同型加算している。
平文整数ａが０で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－４／２０である。TLWE暗号文ｃｃは誤差を含めて１／２０±１／２０であり、シンボルで表現すると０．５である。TLWE暗号文ｃｄは、ｆ（０）の値を平文として有する。
平文整数ａが１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－２／２０である。TLWE暗号文ｃｃは誤差を含めて３／２０±１／２０であり、シンボルで表現すると１．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
【0106】
平文整数ａが１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は、０／２０である。TLWE暗号文ｃｃは、誤差を含めて５／２０±１／２０であり、シンボルで表現すると２．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
平文整数ａが２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は、２／２０である。TLWE暗号文ｃｃは、誤差を含めて７／２０±１／２０であり、シンボルで表現すると３．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は、４／２０である。TLWE暗号文ｃｃは、誤差を含めて９／２０±１／２０であり、シンボルで表現すると４．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は、２／２０である。TLWE暗号文ｃｃは、誤差を含めて７／２０±１／２０であり、シンボルで表現すると３．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は、４／２０である。TLWE暗号文ｃｃは、誤差を含めて９／２０±１／２０であり、シンボルで表現すると４．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
【0107】
平文整数ａが－２で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－４／２０）である。TLWE暗号文ｃｃは、誤差を含めて９／２０±１／２０であり、シンボルで表現すると４．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが－２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－２／２０）である。TLWE暗号文ｃｃは、誤差を含めて７／２０±１／２０であり、シンボルで表現すると３．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが－１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－０／２０）である。TLWE暗号文ｃｃは、誤差を含めて５／２０±１／２０であり、シンボルで表現すると２．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
平文整数ａが－１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－２／２０）である。TLWE暗号文ｃｃは、誤差を含めて３／２０±１／２０であり、シンボルで表現すると１．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
平文整数ａが０で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－４／２０）である。TLWE暗号文ｃｃは、誤差を含めて１／２０±１／２０であり、シンボルで表現すると０．５である。TLWE暗号文ｃｄは、ｆ（０）の値を平文として有する。
平文整数ａが－２で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－２／２０）である。TLWE暗号文ｃｃは、誤差を含めて７／２０±１／２０であり、シンボルで表現すると３．５である。TLWE暗号文ｃｄは、ｆ（２）の値を平文として有する。
平文整数ａが－１で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－０／２０）である。TLWE暗号文ｃｃは、誤差を含めて５／２０±１／２０であり、シンボルで表現すると２．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
平文整数ａが－１で付加される誤差がプラス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－２／２０）である。TLWE暗号文ｃｃは、誤差を含めて３／２０±１／２０であり、シンボルで表現すると１．５である。TLWE暗号文ｃｄは、ｆ（１）の値を平文として有する。
平文整数ａが０で付加される誤差がマイナス側の場合、TLWE暗号文ｃｂの平文は円周群上で－（－４／２０）である。TLWE暗号文ｃｃは、誤差を含めて１／２０±１／２０であり、シンボルで表現すると０．５である。TLWE暗号文ｃｄは、ｆ（０）の値を平文として有する。
【0108】
図１８における暗号文の値の遷移を詳しく説明する。
平文整数ａは、正の場合と誤差がプラス側の０である場合には円周群の右半面に位置する。
TLWE暗号文ｃｂの平文の分母を２０（＝８ｔ＋４）に揃えると、（２ｋ）＋（１）－（２ｔ＋１）＝２ｋ－２ｔから、ａ＝０（プラス側誤差）の場合の分子は－４である。
ａ＝１（マイナス側誤差）の場合の平文の分子は－２である。
ａ＝１（プラス側誤差）の場合の平文の分子は０である。
ａ＝２（マイナス側誤差）の場合の平文の分子は＋２である。
ａ＝２（プラス側誤差）の場合の平文の分子は＋４である。
平文整数ａは、負の場合と誤差がマイナス側の０である場合には円周群の左半面に位置する。その場合、０．５～１の方向に向かってTLWE暗号文ｃｂの平文が正の場合とは符号が逆転して得られるため、ａ＝－２（マイナス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝０（プラス側誤差）の時の符号反転で４となる。
ａ＝－２（プラス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝１（マイナス側誤差）の時の符号反転で２となる。
ａ＝０（マイナス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝２（プラス側誤差）の符号反転で－４となる。
平文整数ａは、正の場合と誤差がプラス側の０である場合には円周群の右半面に位置する。
TLWE暗号文ｃｂの平文の分母を２０（＝８ｔ＋４）に揃えると、（２ｋ）＋（１）－（２ｔ＋１）＝２ｋ－２ｔから、ａ＝０（プラス側誤差）の場合の分子は－４である。
ａ＝１（マイナス側誤差）の場合の平文の分子は－２である。
ａ＝１（プラス側誤差）の場合の平文の分子は０である。
ａ＝２（マイナス側誤差）の場合の平文の分子は＋２である。
ａ＝２（プラス側誤差）の場合の平文の分子は＋４である。
平文整数ａは、負の場合と誤差がマイナス側の０である場合には円周群の左半面に位置する。その場合、０．５～１の方向に向かってTLWE暗号文ｃｂの平文が正の場合とは符号が逆転して得られるため、ａ＝－２（マイナス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝０（プラス側誤差）の時の符号反転で４となる。
ａ＝－２（プラス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝１（マイナス側誤差）の時の符号反転で２となる。
ａ＝０（マイナス側誤差）の場合、TLWE暗号文ｃｂの平文の分子は、ａ＝２（プラス側誤差）の符号反転で－４となる。
【0109】
暗号処理装置１は、TLWE暗号文ｃｂに自明な暗号文（０，１／４）を加え、TLWE暗号文ｃｃを得る。
１／４＝５／２０であるので、分子に５が加わり、全て右半面へと集められる。±１／（４ｔ＋２）の範囲の誤差が加わるが、それを加味しても０～０．５（右半面）の範囲に含まれる。
これは、分子が２０で分母が２刻みで増えているため、全体を１０分割（全体を２ｔ＋１＝５分割のさらに倍）して使用する場合の非負の暗号文になっていると見ることができる。
また、並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。
１／４＝５／２０であるので、分子に５が加わり、全て右半面へと集められる。±１／（４ｔ＋２）の範囲の誤差が加わるが、それを加味しても０～０．５（右半面）の範囲に含まれる。
これは、分子が２０で分母が２刻みで増えているため、全体を１０分割（全体を２ｔ＋１＝５分割のさらに倍）して使用する場合の非負の暗号文になっていると見ることができる。
また、並び順も、ａ＝０の時を基準にａが正か負に離れるほど順番に大きくなっており、絶対値関数を計算したものと言える。
【0110】
TLWE暗号文ｃｃの平文が既に円周群の右半面しか使用していないため、非特許文献３の手法で任意の関数を評価することができる。ただし、TLWE暗号文ｃａで平文ｃａに付加された誤差がプラス側かマイナス側かにより、２つのスライスのどちらかに振り分けられている。
従って、奇関数の場合と同様に、元々同じ整数に対応する同じスライスである２つのスライスについて同じ結果が得られるように調整する。
具体的には、関数ｆ（ｘ）が整数を引数として整数を得られる関数として、奇関数の場合と同じ多項式Ｆ２ｆ（Ｘ）
をテストベクタとして用いてTLWE暗号文ｃｃを第８Bootstrappingし、TLWE暗号文ｃｄを算出する。
これにより、φ（ｃｄ）＝ｆ（｜ａ｜）が計算することができる。｜｜は絶対値記号である。
ｆ（ｘ）が偶関数であれば、ｘが非負の整数の場合にｆ（ｘ）＝ｆ（－ｘ）が成り立つため、φ（ｃｄ）＝ｆ（ａ）と一致する。
図１８に示すように、誤差がマイナス側の場合もプラス側の場合も、同じfの値をルックアップテーブル（テストベクタ多項式）に配置しているため、結果的に誤差の正負は関係なくなっている。
従って、奇関数の場合と同様に、元々同じ整数に対応する同じスライスである２つのスライスについて同じ結果が得られるように調整する。
具体的には、関数ｆ（ｘ）が整数を引数として整数を得られる関数として、奇関数の場合と同じ多項式Ｆ２ｆ（Ｘ）
をテストベクタとして用いてTLWE暗号文ｃｃを第８Bootstrappingし、TLWE暗号文ｃｄを算出する。
これにより、φ（ｃｄ）＝ｆ（｜ａ｜）が計算することができる。｜｜は絶対値記号である。
ｆ（ｘ）が偶関数であれば、ｘが非負の整数の場合にｆ（ｘ）＝ｆ（－ｘ）が成り立つため、φ（ｃｄ）＝ｆ（ａ）と一致する。
図１８に示すように、誤差がマイナス側の場合もプラス側の場合も、同じfの値をルックアップテーブル（テストベクタ多項式）に配置しているため、結果的に誤差の正負は関係なくなっている。
【0111】
以上説明したように、暗号処理装置１は、TFHEを奇数分割のInteger-wiseとして利用する際に円周群全体を無駄なく利用しつつ、偶関数と奇関数に限って任意の一変数関数の結果を計算することができる。
本実施形態では、１段目のテストベクタ多項式の項のブロックを、実際の円周群での分割より細かく分割して、２段目では元の値とつじつまが合うように複数のブロックを同じ値に変換することで、円周群全体を奇数分割にした場合でも偶関数・奇関数の評価を可能とする。
本実施形態では、１段目のテストベクタ多項式の項のブロックを、実際の円周群での分割より細かく分割して、２段目では元の値とつじつまが合うように複数のブロックを同じ値に変換することで、円周群全体を奇数分割にした場合でも偶関数・奇関数の評価を可能とする。
【0112】
［第３実施例］
以下に、［第３実施例］として、多項式の値（多項式の関数の値）を求めるための処理を説明する。
［第３実施例］において、多項式の値を求めるにあたり、暗号処理装置１は、任意の多項式の偶数次数の項と奇数次数の項に分けて、それぞれｘ２、ｘ３、ｘ４・・・を求めて、最後に線形結合（各出力をそれぞれ定数倍して合計）する。０次は定数であり、１次は元の値であるため、２次以上（ｘの２乗以上）を計算すればよい。従って、共通ステップのBootstrapping２回を合わせても、高々多項式の次数と同じ回数のBootstrappingで計算することができる。
また、各項を１つずつ計算するより、下記の偶関数と奇関数に分解する手法で、多項式ｘｎ＋ｘｎ－１＋・・・を偶数次数の項と奇数次数の項に振り分けて、夫々を偶関数と奇関数にするのがよい。
以下に、［第３実施例］として、多項式の値（多項式の関数の値）を求めるための処理を説明する。
［第３実施例］において、多項式の値を求めるにあたり、暗号処理装置１は、任意の多項式の偶数次数の項と奇数次数の項に分けて、それぞれｘ２、ｘ３、ｘ４・・・を求めて、最後に線形結合（各出力をそれぞれ定数倍して合計）する。０次は定数であり、１次は元の値であるため、２次以上（ｘの２乗以上）を計算すればよい。従って、共通ステップのBootstrapping２回を合わせても、高々多項式の次数と同じ回数のBootstrappingで計算することができる。
また、各項を１つずつ計算するより、下記の偶関数と奇関数に分解する手法で、多項式ｘｎ＋ｘｎ－１＋・・・を偶数次数の項と奇数次数の項に振り分けて、夫々を偶関数と奇関数にするのがよい。
【0113】
論文「Putting up the swiss army knife of homomorphic calculations by means of TFHE functional bootstrapping, Pierre-Emmanuel Clet, Martin Zuber, Aymen Boudguiga, Renaud Sirdey, and Cedric Gouy-Pailler」には、計算したい任意の一変数関数を偶関数と奇関数に分解して、演算結果の暗号文を夫々算出し、最後に加算することで任意の一変数関数の計算結果を算出することを開示している。
【0114】
関数を偶関数と奇関数に分解することについて、任意の一変数関数ｆ（ｘ）を用いて
と定めると、単純に両者を足すことでｆ（ｘ）＝ｆｅ（ｘ）＋ｆｏ（ｘ）である。従って、この２関数ｆｅ（ｘ）、ｆｏ（ｘ）は一変数関数ｆ（ｘ）を２つに分解したものである。
また、式の形からｆｅ（ｘ）のｘの符号を反転させても式の中で＋の左右が入れ替わっているだけである。従って、ｆｅ（ｘ）＝ｆｅ（－ｘ）が成り立ち、つまりｆｅ（ｘ）は偶関数である。
そして、ｆｏ（－ｘ）は式の中の－の左右にあるｆが入れ替わり－ｆｏ（ｘ）と同じ形になる。つまりｆｏ（－ｘ）＝－ｆｏ（ｘ）が成り立ち、ｆｏ（ｘ）は奇関数である。
以上から、ｆｅ（ｘ）、ｆｏ（ｘ）を求めることは、任意の一変数関数ｆ（ｘ）を偶関数と奇関数に分解することである。
上記の議論はｘにあてはめられるものが実数であるか整数であるか複素数であるかなどの指定も、ｆ（ｘ）が多項式であるかなどの指定なども一切なく、任意の一変数関数で成り立つ。
と定めると、単純に両者を足すことでｆ（ｘ）＝ｆｅ（ｘ）＋ｆｏ（ｘ）である。従って、この２関数ｆｅ（ｘ）、ｆｏ（ｘ）は一変数関数ｆ（ｘ）を２つに分解したものである。
また、式の形からｆｅ（ｘ）のｘの符号を反転させても式の中で＋の左右が入れ替わっているだけである。従って、ｆｅ（ｘ）＝ｆｅ（－ｘ）が成り立ち、つまりｆｅ（ｘ）は偶関数である。
そして、ｆｏ（－ｘ）は式の中の－の左右にあるｆが入れ替わり－ｆｏ（ｘ）と同じ形になる。つまりｆｏ（－ｘ）＝－ｆｏ（ｘ）が成り立ち、ｆｏ（ｘ）は奇関数である。
以上から、ｆｅ（ｘ）、ｆｏ（ｘ）を求めることは、任意の一変数関数ｆ（ｘ）を偶関数と奇関数に分解することである。
上記の議論はｘにあてはめられるものが実数であるか整数であるか複素数であるかなどの指定も、ｆ（ｘ）が多項式であるかなどの指定なども一切なく、任意の一変数関数で成り立つ。
【0115】
偶関数の計算と奇関数の計算には、円周群を偶数分割する［第１実施例］と奇数分割する［第２実施例］の方法を何れも用いることが出来る。
計算したい任意の関数ｆ（ｘ）があるとき、これをｆ（ｘ）＝ｆｅ（ｘ）＋ｆｏ（ｘ）と分解し、奇関数ｆｏ（ｘ）の値と偶関数ｆｅ（ｘ）の値を夫々計算して加算することによって関数ｆ（ｘ）の値を計算することが出来る。
［第１実施例］の方法を用いる場合において、例えば上記した＜手法２＞および＜手法３＞によって奇関数ｆｏ（ｘ）と偶関数ｆｅ（ｘ）とを夫々計算することができる。
その場合、暗号処理装置１は、＜手法２＞および＜手法３＞で説明したように、奇関数ｆｏ（ｘ）の計算と偶関数ｆｅ（ｘ）の計算のために夫々２回ずつ、合計で４回のBootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（ｘ）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（x）については第３Bootstrapping、第４Bootstrappingを行う。
そして、暗号処理装置１は、ｆｅ（ｘ）の値を平文として持つ暗号文とｆｏ（ｘ）の値を平文としてもつ暗号文とを加算して任意の関数ｆ（ｘ）を計算することができる。関数の形によっては、ｆｅ（ｘ）とｆｏ（ｘ）のどちらにも０．５の端数が出る場合もあるが、最後に加算する際に消えるため問題ない。
計算したい任意の関数ｆ（ｘ）があるとき、これをｆ（ｘ）＝ｆｅ（ｘ）＋ｆｏ（ｘ）と分解し、奇関数ｆｏ（ｘ）の値と偶関数ｆｅ（ｘ）の値を夫々計算して加算することによって関数ｆ（ｘ）の値を計算することが出来る。
［第１実施例］の方法を用いる場合において、例えば上記した＜手法２＞および＜手法３＞によって奇関数ｆｏ（ｘ）と偶関数ｆｅ（ｘ）とを夫々計算することができる。
その場合、暗号処理装置１は、＜手法２＞および＜手法３＞で説明したように、奇関数ｆｏ（ｘ）の計算と偶関数ｆｅ（ｘ）の計算のために夫々２回ずつ、合計で４回のBootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（ｘ）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（x）については第３Bootstrapping、第４Bootstrappingを行う。
そして、暗号処理装置１は、ｆｅ（ｘ）の値を平文として持つ暗号文とｆｏ（ｘ）の値を平文としてもつ暗号文とを加算して任意の関数ｆ（ｘ）を計算することができる。関数の形によっては、ｆｅ（ｘ）とｆｏ（ｘ）のどちらにも０．５の端数が出る場合もあるが、最後に加算する際に消えるため問題ない。
【0116】
また、計算したい任意の関数ｇ（ｘ）があるとき、ｆ（ｘ）＝ｇ（ｘ－０．５）とし、このｆ（ｘ）を偶関数ｆｅ（ｘ＋０．５）と奇関数ｆｏ（ｘ＋０．５）に分解してもよい。この場合、上記した＜手法１＞および＜手法４＞によって奇関数ｆｏ（ｘ＋０．５）と偶関数ｆｅ（ｘ＋０．５）とを夫々計算することができる。
その場合、暗号処理装置１は、＜手法１＞および＜手法４＞で説明したように、奇関数ｆｏ（ｘ＋０．５）の計算と偶関数ｆｅ（ｘ＋０．５）の計算のために夫々２回ずつ、合計で４回のBootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（ｘ＋０．５）については第３Bootstrapping、第４Bootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（ｘ＋０．５）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（ｘ＋０．５）については第３Bootstrapping、第４Bootstrappingを行う。
ｆ（ｘ）＝ｇ（ｘ－０．５）から、ｇ（ｘ）＝ｆ（ｘ＋０．５）が得られるため、＜手法１＞および＜手法４＞で用いるテストベクタ多項式を構成するｆｏ（ｋ＋０．５）やｆｅ（ｋ＋０．５）の値は、ｇ（ｋ）とｇ（－ｋ）を用いて計算することができる。
暗号処理装置１は、＜手法１＞および＜手法４＞で夫々得られるｆｏ（ａ＋０．５）の値を平文として持つ暗号文とｆｅ（ａ＋０．５）の暗号文の値を平文として持つ暗号文を準同型加算して得られる暗号文ｃｅを得る。
暗号文ｃｅの平文φ（ｃｅ）は、ｆｅ（ａ＋０．５）＋ｆｏ（ａ＋０．５）＝ｆ（ａ＋０．５）＝ｇ（ｘ）となり、任意の関数ｇ（ｘ）を計算することができる。
その場合、暗号処理装置１は、＜手法１＞および＜手法４＞で説明したように、奇関数ｆｏ（ｘ＋０．５）の計算と偶関数ｆｅ（ｘ＋０．５）の計算のために夫々２回ずつ、合計で４回のBootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（ｘ＋０．５）については第３Bootstrapping、第４Bootstrappingを行う。具体的には、暗号処理装置１は、奇関数ｆｏ（ｘ＋０．５）については第１Bootstrapping、第２Bootstrappingを行い、偶関数ｆｅ（ｘ＋０．５）については第３Bootstrapping、第４Bootstrappingを行う。
ｆ（ｘ）＝ｇ（ｘ－０．５）から、ｇ（ｘ）＝ｆ（ｘ＋０．５）が得られるため、＜手法１＞および＜手法４＞で用いるテストベクタ多項式を構成するｆｏ（ｋ＋０．５）やｆｅ（ｋ＋０．５）の値は、ｇ（ｋ）とｇ（－ｋ）を用いて計算することができる。
暗号処理装置１は、＜手法１＞および＜手法４＞で夫々得られるｆｏ（ａ＋０．５）の値を平文として持つ暗号文とｆｅ（ａ＋０．５）の暗号文の値を平文として持つ暗号文を準同型加算して得られる暗号文ｃｅを得る。
暗号文ｃｅの平文φ（ｃｅ）は、ｆｅ（ａ＋０．５）＋ｆｏ（ａ＋０．５）＝ｆ（ａ＋０．５）＝ｇ（ｘ）となり、任意の関数ｇ（ｘ）を計算することができる。
【0117】
上記したように、暗号処理装置１は、奇関数を計算する＜手法１＞及び偶関数を計算する＜手法４＞は、夫々階段状多項式として、
を用いる。
また暗号処理装置１は、奇関数を計算する＜手法２＞及び偶関数を計算する＜手法３＞は、夫々階段状多項式として、
を用いる。
＜手法１＞及び＜手法４＞で用いる多項式に現れる分母２ｔは、＜手法２＞及び＜手法３＞で用いる多項式に現れる分母２（ｔ＋１）と比べて小さい。従って、＜手法１＞及び＜手法４＞を用いる場合は、＜手法２＞及び＜手法３＞を用いる場合と比べて途中で現れる暗号文における分割数が少なくなる。
分割数が少なくなることに反比例して、スライス１つに割り当てる範囲を広くできるため、ノイズへの耐性を強くすることが出来る。
を用いる。
また暗号処理装置１は、奇関数を計算する＜手法２＞及び偶関数を計算する＜手法３＞は、夫々階段状多項式として、
を用いる。
＜手法１＞及び＜手法４＞で用いる多項式に現れる分母２ｔは、＜手法２＞及び＜手法３＞で用いる多項式に現れる分母２（ｔ＋１）と比べて小さい。従って、＜手法１＞及び＜手法４＞を用いる場合は、＜手法２＞及び＜手法３＞を用いる場合と比べて途中で現れる暗号文における分割数が少なくなる。
分割数が少なくなることに反比例して、スライス１つに割り当てる範囲を広くできるため、ノイズへの耐性を強くすることが出来る。
【0118】
図１９は、第１実施例（偶数分割）に係る処理を説明するフローチャートである。
図１９（ａ）は、奇関数の演算を行う処理を説明する。
（ａ－１）において、暗号処理装置１（第１算出部１５）は、ステップＳ１０１において、入力を受け付けた、TLWE暗号文ｃａに対して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１０２において、暗号処理装置１（第２算出部１６）は、TLWE暗号文ｃｂに対して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
図１９（ａ）は、奇関数の演算を行う処理を説明する。
（ａ－１）において、暗号処理装置１（第１算出部１５）は、ステップＳ１０１において、入力を受け付けた、TLWE暗号文ｃａに対して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１０２において、暗号処理装置１（第２算出部１６）は、TLWE暗号文ｃｂに対して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
【0119】
（ａ－２）において、暗号処理装置１（第１算出部１５）は、ステップＳ１１１において、入力を受け付けた、対象となるTLWE暗号文ｃａに対して、多項式Ｆ１ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１１２において、暗号処理装置１（第１算出部１６）は、TLWE暗号文ｃｂに対して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
ステップＳ１１３において、暗号処理装置１（第１演算部１２）は、TLWE暗号文ｃｃに対して、ｃｃ＋（０，ｍ’－０．５ｍ）の準同型演算を行い、新たなTLWE暗号文ｃｄを算出する。
ステップＳ１１２において、暗号処理装置１（第１算出部１６）は、TLWE暗号文ｃｂに対して、多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
ステップＳ１１３において、暗号処理装置１（第１演算部１２）は、TLWE暗号文ｃｃに対して、ｃｃ＋（０，ｍ’－０．５ｍ）の準同型演算を行い、新たなTLWE暗号文ｃｄを算出する。
【0120】
（ａ－３）において、暗号処理装置１（第１算出部１５）は、ステップＳ１２１において、入力を受け付けた、対象となるTLWE暗号文ｃａに対して、多項式Ｆ１’ｉｄ（Ｘ）をテストベクタとして用いた第１Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ１２２において、暗号処理装置１（第２算出部１６）は、TLWE暗号文ｃｂに対して多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
ステップＳ１２２において、暗号処理装置１（第２算出部１６）は、TLWE暗号文ｃｂに対して多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第２Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
【0121】
図１９（ｂ）は、奇関数の演算を行う処理を説明する。
（ｂ－１）において、暗号処理装置１（第３算出部１７）は、ステップＳ２０１において、入力を受け付けた、対象となるTLWE暗号文ｃａに対して、多項式Ｆ１ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２０２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２０３において、暗号処理装置１（第４算出部１８）は、TLWE暗号文ｃｃに対して多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、TLWE暗号文ｃｄを算出する。
（ｂ－１）において、暗号処理装置１（第３算出部１７）は、ステップＳ２０１において、入力を受け付けた、対象となるTLWE暗号文ｃａに対して、多項式Ｆ１ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２０２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２０３において、暗号処理装置１（第４算出部１８）は、TLWE暗号文ｃｃに対して多項式Ｆ１’ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、TLWE暗号文ｃｄを算出する。
【0122】
（ｂ－２）において、ステップＳ２１１において、暗号処理装置１（第３算出部１７）は、入力を受け付けた、対象となるTLWE暗号文ｃａに対して多項式Ｆ１’ａｂｓ（Ｘ）をテストベクタとして用いた第３Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ２１２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２１３において、暗号処理装置１（第４算出部１８）は、TLWE暗号文ｃｃに対して多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、TLWE暗号文ｃｄを算出する。
ステップＳ２１２において、暗号処理装置１（第２演算部１３）は、暗号文ｃｂに対してｃｂ＋（０，１／４）の準同型演算を行い、TLWE暗号文ｃｃを算出する。
ステップＳ２１３において、暗号処理装置１（第４算出部１８）は、TLWE暗号文ｃｃに対して多項式Ｆ１ｆ（Ｘ）をテストベクタとして用いた第４Bootstrappingを行い、TLWE暗号文ｃｄを算出する。
【0123】
図２０は、第２実施例（奇数分割）に係る処理を説明するフローチャートである。
図２０（ａ）は、奇関数の演算を行う処理を説明する。
ステップＳ３０１において、暗号処理装置１（第５算出部４１）は、入力を受け付けた、対象となるTLWE暗号文ｃａに対して多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ３０２において、暗号処理装置１（第６算出部４２）は、暗号文ｃｂに対して多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いた第６Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
図２０（ｂ）は、偶関数の演算を行う処理を説明する。
ステップＳ４０１において、暗号処理装置１（第７算出部４３）は、入力を受け付けた、対象となるTLWE暗号文ｃａに対して多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingを行い、TLWE暗号文ｃｂを算出する。ステップＳ４０２において、暗号処理装置１（第８算出部４４）は、暗号文ｃｂに対して多項式Ｆ２’ｆ（Ｘ）をテストベクタとして用いた第８Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
図２０（ａ）は、奇関数の演算を行う処理を説明する。
ステップＳ３０１において、暗号処理装置１（第５算出部４１）は、入力を受け付けた、対象となるTLWE暗号文ｃａに対して多項式Ｆ２ｉｄ（Ｘ）をテストベクタとして用いた第５Bootstrappingを行い、TLWE暗号文ｃｂを算出する。
ステップＳ３０２において、暗号処理装置１（第６算出部４２）は、暗号文ｃｂに対して多項式Ｆ２ｆ（Ｘ）をテストベクタとして用いた第６Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
図２０（ｂ）は、偶関数の演算を行う処理を説明する。
ステップＳ４０１において、暗号処理装置１（第７算出部４３）は、入力を受け付けた、対象となるTLWE暗号文ｃａに対して多項式Ｆ２ａｂｓ（Ｘ）をテストベクタとして用いた第７Bootstrappingを行い、TLWE暗号文ｃｂを算出する。ステップＳ４０２において、暗号処理装置１（第８算出部４４）は、暗号文ｃｂに対して多項式Ｆ２’ｆ（Ｘ）をテストベクタとして用いた第８Bootstrappingを行い、TLWE暗号文ｃｃを算出する。
【0124】
図２１は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、特に第１Bootstrappingなど、図２１（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図２１（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図２１（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図２１（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
上記の説明では、特に第１Bootstrappingなど、図２１（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図２１（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図２１（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図２１（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
【0125】
LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。
【0126】
平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
【0127】
また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。
【0128】
計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
【0129】
暗号処理装置１０は、第１演算部１２、第２演算部１３、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８の機能によって（第１実施例）偶数分割での偶関数、奇関数の計算を行う。
暗号処理装置１０は、第５Bootstrapping部４１、第６Bootstrapping部４２、第７Bootstrapping部４３、第８Bootstrapping部４４の機能によって（第２実施例）、奇数分割での偶関数、奇関数の計算を行う。
暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。その中には、一変数関数でありかつ偶関数や奇関数であるものも含まれる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算することになるが、これは偶関数である。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算することになり、これは奇関数である。また、偶関数や奇関数を計算することによって計算できる任意の一変数関数も、ファジー認証やファジー検索、暗号化されたデータベースに対するクエリを実行する際に必要である。
文章の類似性を評価するため等に用いられ、２つのベクトルの内積を夫々のノルムで割ることが求められるコサイン類似度の算出においても、任意の一変数関数を暗号化したまま計算できることは有用である。
暗号処理装置１０は、第５Bootstrapping部４１、第６Bootstrapping部４２、第７Bootstrapping部４３、第８Bootstrapping部４４の機能によって（第２実施例）、奇数分割での偶関数、奇関数の計算を行う。
暗号処理装置１が行う処理は、以下のように応用することが出来る。
具体的な応用例として、生体認証（生涯不変のデータなので秘匿するのは絶対条件。閾値付きで一致するか否かを判定する）のようなファジー認証や、曖昧な、近しいデータをデータベースから検索するファジー検索や、暗号化されたデータベースからのクエリ集計などが挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、生体情報は正確に測定しても厳密に同じ値を取得できるわけではないため、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、暗号化されたデータベースに対するクエリを実行する際に、準同型暗号により暗号化されたデータで様々な演算が必要になる。その中には、一変数関数でありかつ偶関数や奇関数であるものも含まれる。例えば、ファジー認証で登録されているフィンガープリントとの一致度を計算するために、ユークリッド距離を利用する場合、ｘ２を計算することになるが、これは偶関数である。また、ベクトルの正規化などでスケールを変換する場合は、スケールの乗算つまり１次多項式を計算することになり、これは奇関数である。また、偶関数や奇関数を計算することによって計算できる任意の一変数関数も、ファジー認証やファジー検索、暗号化されたデータベースに対するクエリを実行する際に必要である。
文章の類似性を評価するため等に用いられ、２つのベクトルの内積を夫々のノルムで割ることが求められるコサイン類似度の算出においても、任意の一変数関数を暗号化したまま計算できることは有用である。
【0130】
図２２は、コンピュータ装置の一実施例を示すブロック図である。
図２２を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
図２２を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
【0131】
制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１における制御部１０として機能する。
【0132】
記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１における制御部１０として機能させる情報処理（暗号処理）プログラムを記憶してもよい。記憶装置１０２は、例えば、図１における記憶部２０として機能する。
【0133】
暗号処理装置１は、情報処理（暗号処理）を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
偶数分割の奇関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
偶数分割の偶関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
奇数分割の奇関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第５Bootstrapping処理、第６Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
奇数分割の偶関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第７Bootstrapping処理、第８Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
偶数分割の奇関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
偶数分割の偶関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第２演算処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
奇数分割の奇関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第５Bootstrapping処理、第６Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
奇数分割の偶関数の演算を行う場合、暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第７Bootstrapping処理、第８Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
【0134】
読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理（暗号処理）プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理（暗号処理）プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
【0135】
通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。
【0136】
表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
【符号の説明】
【0137】
１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【図18】
【図19】
【図20】
【図21】
【図22】