特表 2024-507952 暗号化されたスカラー乗算

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-02-21

(54)【発明の名称】暗号化されたスカラー乗算

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240214BHJP

【ＦＩ】

G09C1/00 620Z

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2023552030

(86)(22)【出願日】2022-02-15

(85)【翻訳文提出日】2023-10-25

(86)【国際出願番号】 EP2022053685

(87)【国際公開番号】W WO2022179891

(87)【国際公開日】2022-09-01

(31)【優先権主張番号】21290010.4

(32)【優先日】2021-02-26

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＶＥＲＩＬＯＧ

２．イーサネット

(71)【出願人】

【識別番号】523168881

【氏名又は名称】ザマ・エス・ア・エス

(74)【代理人】

【識別番号】110001173

【氏名又は名称】弁理士法人川口國際特許事務所

(72)【発明者】

【氏名】ジョワ，マルク

(57)【要約】

いくつかの実施形態は、暗号化された値をスカラーにより準同型乗算するための係数のセットを決定する、コンピュータにより実装される方法（５００）を対象とする。暗号化された値は、偶数の基数のそれぞれの累乗により乗算された値を暗号化する複数のそれぞれの値の暗号文によって表される。スカラー乗算は、係数のセットに従って、複数のそれぞれの値の暗号文の線形結合として行われる。係数のセットは、基数に関するスカラーの基数分解の桁として決定される。決定された桁は、マイナスの基数の半分、含んでいる、とプラスの基数の半分、含んでいる、の間にある。後続の２桁が絶対値において両方とも基数の半分に等しいことがないことが保証される。

【特許請求の範囲】

【請求項1】

暗号化乗算ユニットにより使用するための係数のセットを決定する、コンピュータにより実装される方法（５００、５００’）であって、暗号化乗算ユニットは、暗号化された値をスカラーにより準同型的に乗算するように構成され、暗号化された値が、複数のそれぞれの値の暗号文により表され、それぞれの値の暗号文が、基数のそれぞれの累乗により乗算された値を暗号化するノイジーな準同型暗号文であり、暗号化乗算ユニットが、係数のセットに従って、複数のそれぞれの値の暗号文の線形結合を準同型的に計算するように構成され、方法が、
－ スカラーおよび基数を取得すること（５１０）であって、基数が偶数である、こと（５１０）、
－ 係数のセットを、基数に関するスカラーの基数分解の桁として決定すること（５２０）であって、決定された桁が、マイナスの基数の半分、含んでいる、とプラスの基数の半分、含んでいる、の間にあり、前記決定することが、後続の２桁が両方とも絶対値において基数の半分に等しくはないことを保証すること（５２１）を含む、こと（５２０）、
－ 暗号化された値をスカラーにより準同型的に乗算するために、暗号化乗算ユニットに係数のセットを提供すること（５３０）
を含む、方法（５００、５００’）。

【請求項2】

基数分解の少なくとも１つの桁を基数の半分に設定し、基数分解の少なくとも１つのさらなる桁をマイナスの基数の半分に設定することを含む、請求項１に記載の方法（５００、５００’）。

【請求項3】

前記保証することが、選択が後続の桁が絶対値において基数の半分に等しいことをもたらすかどうかを決定することに基づいて、プラスの基数の半分とマイナスの基数の半分の中から基数分解の桁を選択することを含む、請求項１または２に記載の方法（５００、５００’）。

【請求項4】

絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることを保証することを含む、請求項１から３のいずれか一項に記載の方法（５００、５００’）。

【請求項5】

現在のスカラーから基数分解の桁を決定することと、現在のスカラーと桁から次のスカラーを決定することと、次のスカラーの基数分解を決定することとを含む、請求項１から４のいずれか一項に記載の方法（５００、５００’）。

【請求項6】

プラスの基数とマイナスの基数の半分の中から桁を選択することを含み、前記選択することが、
－ マイナスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しいことをもたらす場合、プラスの基数の半分を選択すること、
－ プラスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しいことをもたらす場合、マイナスの基数の半分を選択すること
を含む、請求項５に記載の方法（５００、５００’）。

【請求項7】

プラスの基数とマイナスの基数の半分の中から桁を選択することを含み、前記選択することが、次のスカラーが基数を法とする基数の半分よりも小さいことをもたらす場合はプラスの基数の半分を選択し、それ以外の場合はマイナスの基数の半分を選択することを含む、請求項５または６に記載の方法（５００、５００’）。

【請求項8】

値の暗号文がＬｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ（ＬＷＥ）タイプの暗号文である、請求項１から７のいずれか一項に記載の方法（５００、５００’）。

【請求項9】

基数が２の累乗、好ましくは少なくとも４、より好ましくは少なくとも８である、請求項１から８のいずれか一項に記載の方法（５００、５００’）。

【請求項10】

暗号化乗算ユニットによって、係数のセットに従って複数のそれぞれの値の暗号文の線形結合を準同型的に計算することにより、暗号化された値をスカラーにより準同型的に乗算すること（５４０）をさらに含む、請求項１から９のいずれか一項に記載の方法（５００’）。

【請求項11】

線形結合を準同型的に計算することが、複数のそれぞれの値の暗号文を、係数のセットからのそれぞれの係数により乗算することを含み、前記乗算が、少なくとも部分的に並行して行われる、請求項１０に記載の方法（５００、５００’）。

【請求項12】

ソース暗号化キーからターゲット暗号化キーへのノイジーな準同型暗号文のキー切り替えのための、コンピュータにより実装されるキー切り替え方法（６００）であって、方法が、
－ それぞれの暗号化されたキー切り替え値を含むキー切り替え情報を取得すること（６１０）であって、暗号化されたキー切り替え値が、複数のそれぞれのキー切り替え値の暗号文によって表され、それぞれのキー切り替え値の暗号文が、ターゲット暗号化キーの下で基数のそれぞれの累乗により乗算されたキー切り替え値を暗号化するノイジーな準同型暗号文である、こと（６１０）、
－ ソース暗号文を取得すること（６２０）であって、ソース暗号文が、ソース暗号化キーの下でソース暗号化された値を暗号化するノイジーな準同型暗号化である、こと（６２０）、
－ ソース暗号文から、それぞれの暗号化されたキー切り替え値のそれぞれの係数を決定すること（６３０）、
－ ターゲット暗号化キーの下でソース暗号化された値を暗号化するターゲット暗号文を計算すること（６４０）であって、それぞれの暗号化されたキー切り替え値を、請求項１０または１１の方法に従ってそれぞれの係数により準同型的に乗算すること（５００’）を含む、こと（６４０）
を含む、方法（６００）。

【請求項13】

計算を準同型実行可能ファイルにコンパイルする、コンピュータにより実装される方法（７００）であって、準同型実行可能ファイルが、暗号化計算エンジンによって実行可能であり、暗号化計算エンジンにノイジーな準同型暗号文上で計算を行わせ、計算が、値をスカラーにより乗算することを含み、方法が、
－ 請求項１から９のいずれか一項に記載の方法（５００）に従って、暗号化された値として値をスカラーにより準同型的に乗算するのに使用するための係数を決定することと、
－ 準同型実行可能ファイルに、暗号化された値をスカラーにより準同型的に乗算するための１つ以上の命令を含めること（７２０）であって、１つ以上の命令が、決定された係数を含む、こと（７２０）と
を含む、方法（７００）。

【請求項14】

暗号化乗算ユニット（１２１、４２２、４２３）により使用するための係数のセットを決定するためのデバイス（１１０、２００、２０１、４００、４０１）であって、暗号化乗算ユニットが、暗号化された値をスカラーにより準同型的に乗算するように構成され、暗号化された値が、複数のそれぞれの値の暗号文により表され、それぞれの値の暗号文が、基数のそれぞれの累乗により乗算された値を暗号化するノイジーな準同型暗号文であり、暗号化乗算ユニットが、係数のセットに従って、複数のそれぞれの値の暗号文の線形結合を準同型的に計算するように構成され、デバイスが、
－ スカラーおよび基数を記憶するためのストレージ（１４０）であって、基数が偶数である、ストレージ（１４０）、
－ 係数のセットを、基数に関するスカラーの基数分解の桁として決定するように構成されたプロセッサシステム（１３０）であって、決定された桁が、マイナスの基数の半分、含んでいる、とプラスの基数の半分、含んでいる、の間にあり、前記決定することが、後続の２桁が両方とも絶対値において基数の半分に等しくはないことを保証することを含んでおり、および、暗号化された値をスカラーにより準同型的に乗算するために、暗号化乗算ユニットに係数のセットを提供するように構成されたプロセッサシステム（１３０）
を含む、デバイス（１１０、２００、２０１、４００、４０１）。

【請求項15】

－ プロセッサシステムによって実行されると、プロセッサシステムに、請求項１から１３のいずれか一項に記載の方法を行わせる命令、
－ 請求項１３に記載のコンピュータにより実装される方法に従って計算がコンパイルされる準同型実行可能ファイル
のうちの１つ以上を表すデータ（１０２０）を含む、一時的なまたは非一時的なコンピュータ可読媒体（１０００）。

【発明の詳細な説明】

【技術分野】

【0001】

本開示の主題は、暗号化された乗算によって使用するための係数のセットを決定する、コンピュータにより実装される方法；キーの切り替え（ｋｅｙ ｓｗｉｔｃｈｉｎｇ）および計算のコンパイルのためのそのような方法の使用；係数のセットを決定するためのデバイス、およびコンピュータ可読媒体に関する。

【背景技術】

【0002】

準同型暗号により、暗号化されたデータに対して、復号できない状態で、回路の評価などの計算を行える。例えば、入力データおよび計算結果は、暗号化された形式で受信および返され得る。中間データ、例えば、計算の内部状態も、暗号化された形式であり得る。

【0003】

計算結果は暗号化された形式で返されるが、復号されると、暗号化されていないデータに対して演算が行われた場合と同じ出力になる。準同型暗号化は、プライバシー保護のアウトソーシングストレージと計算に使用できる。これにより、すべてが暗号化されている間に、データを暗号化してクラウド環境にアウトソーシングし、処理および／または記憶を行うことができる。

【0004】

例えば、準同型暗号は、プライバシー規制によりプレーンデータの共有が困難になる可能性のあるものの暗号化された医療データの計算は許容され得るヘルスケアなどの分野に適用できる。例えば、医療データを分類するために、例えば、開発された医療モデルは、暗号化された形式で第三者、例えば病院から医療データを受信するように構成され得る。医療モデルは、例えば、医療データを、例えば、正常または異常として分類するか、または何らかの特定の医療症候群、疾患、または他の障害を有するとして分類することができる。準同型暗号化を使用すると、医療モデルは暗号化された形式で受信される医療データに適用できる。これは、医療モデルを提供する当事者が、暗号化された医療データに対応するプレーン医療データにアクセスできないことを意味する。サービスのユーザは、医療モデル用途の結果を復号できる。

【0005】

人気のあるさまざまな準同型暗号化スキームはノイズを利用している。例えば、データアイテムの暗号化は、データアイテムを、いくつかのノイズが付加されるキー依存格子内の点にマッピングすることを含み得る。

【0006】

データアイテムが暗号化されたばかりのとき、ノイズは低く、暗号化はフレッシュである。例えば、ノイズの量が非常に少ないため、データアイテムが復号される場合、ノイズは、例えば丸めることによって、復号プロセスのある時点で除去できる。一方、ノイズは、システムへの攻撃を十分に困難にするのに十分な高さである必要がある。例えば、ノイズが仮定上存在しない場合、多くの準同型暗号化スキームは、線形代数、または他の効率的なアルゴリズム、例えば格子ベースのアルゴリズムで攻撃される可能性がある。データアイテムが暗号化されると、準同型演算を依然行えるが、攻撃が困難であるように選定されたノイズが付加される。ほとんどの準同型演算は、暗号化された準同型的に暗号化されたデータアイテムに固有のノイズを増加させる。多くのこのような演算が行われると、ノイズは、もはや一意の復号が不可能であるレベルに達し得る。その時点で、スキームは破綻する。

【0007】

一般的に言えば、この現象に対処するために、当技術では２つのアプローチが開発されてきた。１つ目は、レベル化された（ｌｅｖｅｌｌｅｄ）準同型暗号化である。レベル化された準同型暗号化は、いくつかの演算を次々に行える。レベル化された準同型暗号化は、そのようないくつかの演算の最後の予想されるまたは最悪の場合のノイズが、正確な復号に必要な境界を下回るように、またはいずれの場合でも復号されたプレーンテキストへの限定的な逸脱のみが発生するように設計されている。したがって、行える演算の数には制限がある。

【0008】

もう１つのアプローチは、いわゆるブートストラッピング演算である。ブートストラップ演算は、準同型暗号化が暗号化されたドメインにおいて復号アルゴリズムを準同型的に評価するのに十分な強度がある場合に可能であり、そのような準同型暗号化はブートストラップ可能な準同型暗号化とも呼ばれる。レベル化された準同型暗号化スキームは、ブートストラップ演算を行うことにより、レベル化されていない準同型暗号化スキームに変換できる。ブートストラッピング演算は、暗号化されたデータアイテムのノイズを低減する。ブートストラッピング演算により、暗号文のノイズを固定量まで低減することができる。ブートストラップ演算は、暗号化されたデータアイテムに対して行えるよりも演算の数を増加させるか、制限を完全に除去する。演算が行われ、暗号文の予想されるまたは最悪の場合のノイズが、一意の復号がもはや不可能であるレベルに近づいた場合、ブートストラッピングを使用してノイズを低減する。ブートストラッピングは通常、計算コストがかかる；そのため、それがなされる回数を低減すると有利である。

【0009】

準同型暗号化スキームにおける準同型演算により発生する暗号文のノイズ増加を低減する必要がある。レベル化された準同型暗号化を使用するとき、準同型演算によるノイズの増加により、暗号文でさらにどんな演算が行えるかが制限される。レベル化されていない準同型暗号化を使用する場合、ノイズの増加により、ブートストラッピング演算が必要になる前にさらにどんな演算が行えるかが制限される。どちらの場合も、特定の確率または程度の復号エラーが許される場合、この確率と復号エラーのサイズは、ノイズの増加とともに増加する。

【0010】

スカラー乗算によるノイズの増加、例えば、暗号化された値の、知られている整数による乗算によるイズの増加を低減することが特に重要である。これは、例えば、暗号化された入力にニューラルネットワークを適用するなど、準同型計算の一般的な演算である。さらに、スカラー乗算は、キーの切り替えにおいて、例えば、ソース暗号化キーの下の準同型暗号化をターゲット暗号化キーの下で準同型暗号化に変換することにおいて、重要な演算である。キーの切り替えは、ブートストラッピングの一部として行われることがよくある。

【0011】

キー切り替えのコンテキストでは、Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅによる「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ、３３（１）：３４－９１、２０２０（参照により本明細書に組み込まれる）は、スカラー値の基数分解、この場合は基数２のバイナリ分解に基づいて、キービットの暗号化をスカラー値により乗算することを開示している。スカラー値は、基数の累乗の線形結合として書かれる。暗号化されたキービットは、キービットを暗号化するそれぞれの暗号文を基数のそれぞれの累乗で乗算したものにより表される。スカラー値により乗算されたキービットの暗号化は、係数のセットに従ってそれぞれの暗号文の線形結合を準同型的に計算することによって取得される。したがって、単一の大きなスカラー値を用いる乗算は、より小さなスカラーを用いるそれぞれの乗算によって効果的に置き換えられる。このより大きな基数を用いたキー切り替え技術の適応は、Ｉ．Ｃｈｉｌｌｏｔｔｉらによる「Ｐｒｏｇｒａｍｍａｂｌｅ Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｅｎａｂｌｅｓ Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｉｎｆｅｒｅｎｃｅ ｏｆ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ」（参照により本明細書に組み込まれ、ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０２１／０９１／２０２１０１２７：１３３４０６で入手可能）で提供されている。

【先行技術文献】

【非特許文献】

【0012】

【非特許文献1】Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ、３３（１）：３４－９１、２０２０

【非特許文献2】Ｉ．Ｃｈｉｌｌｏｔｔｉら、「Ｐｒｏｇｒａｍｍａｂｌｅ Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｅｎａｂｌｅｓ Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｉｎｆｅｒｅｎｃｅ ｏｆ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ」（ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０２１／０９１／２０２１０１２７：１３３４０６）

【発明の概要】

【課題を解決するための手段】

【0013】

本発明の一態様によれば、暗号化乗算ユニットによって使用するための係数のセットを決定する、コンピュータにより実装される方法が提供され、請求項によって定義される。対応するデバイスも提供される。

【0014】

発明者は、暗号化された値をスカラーにより乗算するために用いられる基数分解を改善することにより、スカラー乗算によるノイズ増加を低減できると気付いた。典型的には、基数Ｂを用いて基数分解を決定するとき、桁はサイズＢの区間から選択される。奇数Ｂの場合、例えば、区間［－（Ｂ－１）／２，（Ｂ－１）／２］を使用することができる。偶数Ｂの場合、例えば、マイナスの基数の半分を含むか、またはプラスの基数の半分を含む区間［－Ｂ／２，Ｂ／２［または］－Ｂ／２＋１，Ｂ／２］が、使用され得る。例えば、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」は、いわゆるガジェット分解を決定するために、基数Ｂ_ｇを用いる基数分解を使用する；この場合、区間［－Ｂ／２，Ｂ／２［が使用され、すなわち、マイナスの基数の半分を含むが、プラスの基数の半分は含まない。キー切り替えのために、この論文は、バイナリ分解、すなわち基数２を用いた基数分解と、区間［０，１］すなわち、基数の半分を含むが、マイナスの基数の半分を含まない区間からの桁を使用する。

【0015】

驚くべきことに、発明者は、偶数の基数であっても、同じ基数分解でプラスの基数の半分とマイナスの基数の半分の両方を使用するのを可能とすることが有益であることに気付いた。これにより、準同型スカラー乗算におけるノイズをさらに低減する基数分解を取得することが可能となる。具体的には、発明者は、後続の２桁が両方とも絶対値において基数の半分と等しくないことが保証されるように、基数分解を決定することを想定した。スカラー乗算でこのような基数分解の桁を使用すると、あまりノイジーではない暗号文がもたらされため、ノイズが大きくなりすぎたり、および／またはブートストラッピングが必要になる前に、より多くの準同型計算を行える。逆に、ブートストラッピングの前またはブートストラッピングなしで行われる、所望の演算の数を考えると、ノイズが少ないということは、暗号システムがより小さなパラメータ、例えばより小さなモジュラスで初期化され得、改善された性能につながることを意味する。

【0016】

提供された基数分解は、一般に絶対値においてより小さい桁をもたらすため、有益であり、例えば、桁の二乗和はより小さくなり得る。一般に、絶対値において基数分解の桁が大きいほど、ノイズの増加が大きくなり、それらによる乗算がもたらされる。その意味で、絶対値において基数の半分に等しい桁を有することは、その桁にとって最悪の場合の状況を表す。しかし、これは常に回避できるとは限らず、例えば、スカラー値が基数を法とする基数の半分に等しい場合、基数分解の最下位桁はプラスまたはマイナスの基数の半分に等しい必要がある。

【0017】

２つの連続する桁については状況が違う。両方の桁が絶対値において基数の半分に等しい桁の対を見ることは、最悪の場合の状況を表す。しかし、区間［－Ｂ／２，Ｂ／２［を使用するとき、つまり、基数の半分が可能であり、プラスの基数の半分が不可能な場合、これを回避することはできない。また、区間］－Ｂ／２，Ｂ／２］を使用するとき、つまり、プラスの基数の半分は可能だが、マイナスの基数の半分が不可能なときも回避できない。しかし、驚くべきことに、発明者は、マイナスの基数の半分とプラスの基数の半分の両方が可能な場合、基数分解の後続の２桁が両方とも絶対値において基数の半分と決して等しくならないことを保証することが可能であることに気付いた。これを保証することで、ノイズの少ないスカラー乗算が達成される。

【0018】

いくつかの実施形態では、係数のセットを決定することは、基数分解の少なくとも１つの桁を基数の半分に設定し、基数分解の少なくとも１つのさらなる桁をマイナスの基数の半分に設定することを含み得る。つまり、少なくとも、基数分解手順が適用されるいくつかのスカラー入力では、プラスの基数の半分とマイナスの基数の半分の両方を含む基数分解を返すことがある。他のスカラー入力の場合、マイナスの基数の半分のみ含む、プラスの基数の半分のみ含む、またはどちらも含まない基数分解を決定できる。可能な入力について考慮すると、同じ基数分解でプラスの基数の半分とマイナスの基数の半分の両方を平均して使用できるため、ノイズの少ないスカラー乗算がもたらされる。

【0019】

いくつかの実施形態では、基数分解の桁は、選択が後続の桁が基数の半分に絶対値において等しいことをもたらすかどうかを決定することに基づいて、プラスの基数の半分およびマイナスの基数の半分の中から選択することができる。発明者は、一方の選定が後続の桁が絶対値において基数の半分に等しいことをもたらす場合、もう一方の選定は、後続の桁の絶対値において基数の半分に等しいことをもたらさないことを発見した。したがって、絶対値において基数の半分に等しい連続する桁が生じないことをローカル的に保証することができる。プラスまたはマイナスの基数の半分を使用するかどうかの決定は、基数分解を繰り返し決定しながら、または例えば以前になされた基数分解を補正しながらなされることができる。

【0020】

いくつかの実施形態では、絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることをさらに保証することができる。ここで、桁は最下位からより上位へと順序付けされていると見なされる；したがって、その桁に続く次の桁は、次のより上位の桁であり、例えば、基数の１乗高い係数である。ゼロは、同じ符号を有する桁と見なされる。この条件を言い表わす別の方法は、桁と次の桁の積がゼロ以上であるということである。この選定は、ノイズを低減するのにさらに役立つ。正の次の桁が後に続くプラスの基数の半分を使用して、その次の桁に１を加えたものが後に続くマイナスの基数の半分と同じスカラーを表すことができる。次の桁が絶対値においてより小さいため、最初の選定が好ましい。同様に、負の次の桁が後に続くマイナスの基数の半分か、次の桁から１を引いたものが後に続くプラスの基数の半分を使用することもでき、最初の選択肢の方が次の桁についてより小さい絶対値を有する。

【0021】

本明細書に説明される基数分解を決定することができるさまざまな方法がある。１つの方法は、基数分解を繰り返し構築することである。いくつかの実施形態では、基数分解は、現在のスカラーから桁を決定することと；現在のスカラーと桁から次のスカラーを決定することと；次のスカラーの基数分解を決定することとによって決定され得る。これにより、後続の２桁の両方が、絶対値において基数の半分に等しくないという条件を特に効率的に実施したり、および／または、次の桁の符号が前のものと同じという条件を、後者が絶対値において基数の半分であるときに実施したりできる。例えば、基数分解は、現在のスカラーをスカラーに初期化し、現在のスカラーから基数分解の桁を繰り返し決定し；現在のスカラーと桁から次のスカラーを決定し；現在のスカラーを次のスカラーに更新ことによって、繰り返し決定できる。

【0022】

現在のスカラーから桁を決定するとき、例えば、現在のスカラーが基数を法とする基数の半分に等しいとき、桁はプラスの基数の半分とマイナスの基数の半分の中から選択することができる。

【0023】

いくつかの実施形態では、この選択することは、マイナスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しくなることをもたらす場合、プラスの基数の半分を選択することと、プラスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しくなることをもたらす場合は、マイナスの基数の半分を選択することとを含んでもよい。このようにして、後続の２桁が絶対値において両方とも基数の半分に等しくないことが保証され得、有利な基数分解につながる。

【0024】

いくつかの実施形態では、この選択することは、次のスカラーが基数を法とする基数の半分よりも小さいことをもたらす場合、プラスの基数の半分を選択し、それ以外の場合はマイナスの基数の半分を選択することを含み得る。これは、後続の２桁が絶対値において基数の半分に等しいことがないことを保証するだけでなく、次の桁が桁と同じ符号を有することも保証する。

【0025】

しかし、この方法で基数分解を繰り返し決定する必要はない。例えば、例えば、［－Ｂ／２，Ｂ／２［からの桁のみを用いる、知られている技術を使用して決定された基数分解を行い、この基数分解を補正して、後続の２桁の絶対値において両方とも基数の半分に等しくないこと、および／または、次の桁の符号が前の桁と、後者が絶対値において基数の半分であるときに、同じであることを保証することも可能である。本明細書では、さまざまな例および代替案が説明される。

【0026】

いくつかの実施形態では、値の暗号文は、ＬＷＥタイプの暗号文であり、例えば、Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ（ＬＷＥ）、Ｇｅｎｅｒａｌｉｚｅｄ Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ（ＧＬＷＥ）、Ｒｉｎｇ－ＬＷＥ、Ｍｏｄｕｌｅ－ＬＷＥなどの、エラーを伴う学習タイプの問題（ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ－ｔｙｐｅ ｐｒｏｂｌｅｍ）の暗号強度の仮定（ｈａｒｄｎｅｓｓ ａｓｓｕｍｐｔｉｏｎ）に基づいている。値の暗号文は、Ａｐｐｒｏｘ－ＧＣＤ問題またはＮＴＲＵ問題に基づくこともできる。これらの種類の仮定に基づく暗号システムには、通常、ノイジーな暗号文があり、上述の関連するノイズの問題を伴う。より一般的には、使用される暗号文は、ノイジーな準同型暗号文をランダムスカラーにより準同型乗算すると、ランダムスカラーの分散にランダムスカラーの期待値の２乗を加えた分だけ、ノイジーな準同型暗号文のノイズ分散が増加するという特性を満たすことができる。本明細書で提供される技術は、このタイプのノイズ増加も伴う暗号文に特に最適である。

【0027】

提供される技術は、ノイジーではない準同型暗号文をスカラーにより乗算する、例えばＰａｉｌｌｉｅｒ暗号文などのために適用することもできる。このような場合、ノイズは問題にならないが、決定された係数は一般により小さいため、提供される技術により、より効率的なスカラー乗算が可能になる。

【0028】

いくつかの実施形態では、基数は２の累乗である。基数分解を計算するための演算は、この場合、特に効率的に行うことができ、例えば、基数による除算はビットシフトに対応し、剰余は数値の最下位ビットに対応する。しかし、他の実施形態では、基数は２の累乗ではない。発明者が気付いたように、提供された技術はそのような場合にも機能する。

【0029】

いくつかの実施形態では、基数は、少なくとも４、少なくとも８、または少なくとも１６、例えば、少なくとも４、少なくとも８、または少なくとも１６の２の累乗である。基数が大きいほど、本明細書で説明するように基数分解を決定することによって達成されるゲインは大きくなる。この詳細な例は、本明細書の他の場所で提供されている。

【0030】

いくつかの実施形態では、決定された基数分解に基づいて、スカラーによる暗号化された値の準同型スカラー乗算は、係数のセットに従って複数のそれぞれの値の暗号文の線形結合を準同型的に計算することによって遂行され得る。したがって、スカラー乗算はノイズの少ない状態で遂行される。しかし、本明細書で提供される他の例によって示されるように、基数分解が、準同型スカラー乗算と同じ瞬間または同じデバイスによって決定される必要はない。

【0031】

いくつかの実施形態では、暗号化された値は、多項式により準同型的に乗算され得る。このような場合、多項式のそれぞれのスカラー係数の基数分解を決定することができ、それぞれの係数のこれらの分解を準同型乗算に使用できる。特に、多項式によるそのような準同型乗算は、少なくとも、暗号化された値の多項式の定数係数による準同型乗算を含み得、例えば、準同型乗算は、それぞれの係数によるそれぞれの準同型乗算を行うことによって行われ得る。例えば、多項式による準同型乗算は、例えば、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」のＴＲＬＷＥ暗号文およびその変形へのキー切り替えのための、キー切り替えの一部であり得る。

【0032】

いくつかの実施形態では、線形結合は、複数のそれぞれの値の暗号文を係数のセットからのそれぞれの係数により乗算することによって準同型的に計算され得る。これらの乗算は、少なくとも部分的に並行して行うことができる。したがって、基数分解を使用することは、ノイズ発展の観点からだけでなく、計算の並列化可能性を高めるためにも有益である。例えば、乗算は、少なくとも部分的には、専用の処理ユニット、好ましくはＧＰＵまたはＦＰＧＡによって行われ得る。

【0033】

本発明のさらなる態様は、ノイジーな準同型暗号文のためのキー切り替え法における決定された基数分解の使用に関する。キー切り替え方法は、例えば、ノイジーな準同型暗号文をブートストラッピングした後で使用することができる。ソース暗号文と同じ値を異なるキーの下で暗号化するターゲット暗号文を計算するために、それぞれの暗号化されたキー切り替え値が、ソース暗号文から決定されたそれぞれの係数により準同型的に乗算される。準同型スカラー乗算は、本明細書で説明するように計算された基数分解を使用する。したがって、ターゲット暗号文はノイズの少ない状態で取得される。結果として、例えば、次のブートストラッピングの前に、より多くのおよび／または追加のタイプの演算をターゲット暗号文に適用することができる。

【0034】

本発明のさらなる態様は、暗号化計算エンジンによって実行され、例えば処理され、暗号化計算エンジンにノイジーな準同型暗号文に対して計算を行わせる準同型実行可能ファイルに計算をコンパイルすることに関する。そのような計算は、値をスカラーにより乗算することを含み得る。計算を準同型実行可能ファイルにコンパイルする一環として、スカラーの基数分解は、本明細書に説明されるように決定され得る。コンパイリングは、準同型実行可能ファイルの暗号化された値をスカラーにより乗算する準同型スカラーの１つ以上の命令を含めることを含み得、命令は、決定された係数を含む。したがって、決定された表現の使用は、計算にハード符号化され得る。これにより、改善された基数分解により、改善されたノイズ発展特性を計算が利用することができる。さらに、改善された基数分解が使用されることがコンパイル時にすでにわかっているため、コンパイラは、スカラー乗算によるノイズの増加を決定できるため、例えば、この決定されたノイズの増加に基づいて、ブートストラッピングを行うための計算の最適な瞬間を決定したり、その他の方法で計算を最適化したりできる。

【0035】

基数分解、および準同型スカラー乗算、キー切り替え、およびそれを使用したコンパイリングは、幅広い実用的な用途に適用できる。このような実用的な用途は、プレーンデータにアクセスすることのない、ソフトウェアプログラムの暗号化された評価を含む。例えば、医療データに実際にアクセスすることなく、前記医療データに関する医療診断ソフトウェアを評価することができる。

【0036】

医療データは医療画像を含み得る。医療画像は、例えば、多次元画像データ、例えば、２次元（２Ｄ）、３次元（３Ｄ）または４次元（４Ｄ）画像を含み得、これは、標準Ｘ線イメージング、コンピュータ断層撮影（ＣＴ）、磁気共鳴イメージング（ＭＲＩ）、超音波（ＵＳ）、陽電子放出断層撮影（ＰＥＴ）、単一光子放射コンピュータ断層撮影（ＳＰＥＣＴ）、および核医学（ＮＭ）などのさまざまな獲得モダリティによって獲得されるが、これらに限定されない。

【0037】

この方法の実施形態は、コンピュータにより実装される方法として、または専用ハードウェアで、またはその両方の組み合わせで、コンピュータ上に実装することができる。この方法の実施形態のための実行可能コードは、コンピュータプログラム製品に記憶され得る。コンピュータプログラム製品の例には、メモリデバイス、光ストレージデバイス、集積回路、サーバ、オンラインソフトウェアなどが含まれる。好ましくは、コンピュータプログラム製品は、前記プログラム製品がコンピュータ上で実行されたときに方法の実施形態を行うために、コンピュータ可読媒体に記憶された非一時的なプログラムコードを含む。代わりに、またはさらに、コンピュータ可読媒体は、本明細書に説明されるようにコンパイルされたノイジーな準同型暗号文に対して計算を行うための準同型実行可能ファイルを記憶することができる。

【0038】

一実施形態では、コンピュータプログラムは、コンピュータプログラムがコンピュータ上で実行されたときに、方法の実施形態のステップの全部または一部を行うように適合されたコンピュータプログラムコードを含む。好ましくは、コンピュータプログラムは、コンピュータ可読媒体上に具現化される。

【0039】

さらなる詳細、態様、および実施形態は、図面を参照して、例としてのみ説明される。図中の要素は、単純さと明瞭さのために図示されており、必ずしも縮尺どおりに描かれているわけではない。図において、すでに説明した要素に対応する要素は、同じ参照番号を有し得る。

【図面の簡単な説明】

【0040】

【図1a】係数のセットを決定するためのデバイスの実施形態の例を概略的に示す図である。

【図1b】準同型計算システムの実施形態の例を概略的に示す図である。

【図1c】準同型計算システムの実施形態の例を概略的に示す図である。

【図2a】係数決定デバイスの実施形態の例を概略的に示す図である。

【図2b】係数決定デバイスの実施形態の例を概略的に示す図である。

【図3a】現在のスカラーから基数合成の桁を決定する方法の実施形態の例を概略的に示す図である。

【図3b】現在のスカラーから基数合成の桁を決定する方法の実施形態の例を概略的に示す図である。

【図4a】準同型スカラー乗算を行うためのデバイスの実施形態の例を概略的に示す図である。

【図4b】準同型暗号文のキー切り替えを行うためのデバイスの実施形態の例を概略的に示す図である。

【図5a】暗号化乗算ユニットによって使用するための係数のセットを決定する方法の実施形態の例を概略的に示す図である。

【図5b】暗号化された値の準同型スカラー乗算を行う方法の実施形態の例を概略的に示す図である。

【図6】キー切り替え方法の実施形態の例を概略的に示す図である。

【図7】計算を準同型実行可能ファイルにコンパイルする方法の実施形態の例を概略的に示す図である。

【図8a】一実施形態によるコンピュータプログラムを含む書き込み可能な部分を有するコンピュータ可読媒体を概略的に示す図である。

【図8b】一実施形態によるプロセッサシステムの表現を概略的に示す図である。

【発明を実施するための形態】

【0041】

参照符号リスト
以下の参照および略語のリストは、図面の解釈を容易にするために提供されており、請求項を限定するものと解釈してはならない。
１００、１０１ 暗号化計算システム
１１０ 係数決定デバイス
１２０ 準同型計算デバイス
１２１ 暗号化乗算ユニット
１３０ プロセッサシステム
１４０ ストレージ
１５０ 通信インターフェース
１６０ データプロバイダシステム
２００、２０１ 係数決定デバイス
２２１ 除算ユニット
２２２ 桁決定ユニット
２２３ 基数分解ユニット
２２４ 分解補正ユニット
２３０ スカラー
２３１ 現在のスカラー
２３２ 基数を法とする現在のスカラー
２３３ 基数による除算の商
２３６、２４０、２５０ 基数分解
２３７－２３９、２４１－２４６、２５１－２５６ 桁
３１０ 基数を法とする現在のスカラーが基数の半分より小さい場合
３１５ 桁を基数を法とする現在のスカラーに設定すること
３２０ 基数を法とする現在のスカラーが基数の半分より大きい場合
３２５ 基数を法とする現在のスカラーから基数を引いたものに桁を設定すること
３３０ マイナスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しいことをもたらす場合
３３１ プラスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分よりも小さいことをもたらす場合
３３５ プラスの基数の半分を選択すること
３４０ プラスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しいことをもたらす場合
３４５ マイナスの基数の半分を選択すること
４００ 準同型スカラー乗算デバイス
４２１ 基数分解ユニット
４２２ 暗号化乗算ユニット
４２３ 係数計算ユニット
４２４ ターゲット暗号文計算ユニット
４３０ 基数分解
４３１－４３３ 桁
４３９ スカラー
４４０ 暗号化された値
４４１－４４３ 値の暗号文
４５０ 暗号化された値とスカラーの積の暗号化
４６０ ソース暗号文
４６１－４６３ 暗号化されたキー切り替え値の係数
４７０ 係数の基数分解
４８０ 暗号化されたキー切り替え値
４９０ ターゲット暗号文
５００ 係数を決定する
５００’ スカラーによる準同型乗算を行うこと
５１０ スカラー、基数を取得すること
５２０ 係数を決定すること
５３０ 係数を提供すること
５４０ 線形結合を準同型的に計算すること
６００ キー切り替えを行うこと
６１０ キー切り替え情報を取得すること
６２０ ソース暗号文を取得すること
６３０ 係数を決定すること
６４０ ターゲット暗号文を計算すること
７００ 計算をコンパイルすること
７２０ 命令を含めること
１０００ コンピュータ可読媒体
１０１０ 書き込み可能な部分
１０２０ コンピュータプログラム
１１１０ 集積回路
１１２０ 処理ユニット
１１２２ メモリ
１１２４ 専用の集積回路
１１２６ 通信要素
１１３０ 相互接続
１１４０ プロセッサシステム

【0042】

現在開示されている主題は多くの異なる形態で実施することができるが、本明細書では１つ以上の特定の実施形態が図面に示され、詳細に説明され、本開示は、現在開示されている主題の原理の例示として見なされるべきであり、図示および説明される特定の実施形態に限定することを意図するものではないことを理解されたい。

【0043】

以下では、理解のために、実施形態の要素が動作において説明されている。しかし、それぞれの要素は、それらによって行われるように説明されている機能を行うように構成されていることは明らかであろう。

【0044】

さらに、現在開示されている主題は、実施形態のみに限定されず、本明細書に説明される、または相互に異なる従属請求項に記載されている特徴の他のすべての組み合わせも含む。

【0045】

さまざまな実施形態は、所与の基数に関するスカラーの基数分解を決定することに関する。説明目的のために、偶数の基数を持たない、および／またはプラスの基数の半分とマイナスの基数の半分の両方を桁として使用することを可能としないいくつかの基数分解についてここで論じる。

【0046】

Ｂを整数＞１とする。正の整数ｋ＜Ｂ^ｎは、０≦ｋ_ｉ＜Ｂを用いて

【数1】

として一意に表現できる。この場合、整数Ｂは基数と呼ばれ、整数ｋ_ｉは桁と呼ばれる。基数Ｂの下のｋの表現は、ｋの表現としてｋ＝（ｋ_ｎ－１，…，ｋ_０）_Ｂと示すことができる。

【0047】

桁セットを｛－（Ｂ－１），…，Ｂ－１｝に拡張することも可能である。このような場合、整数ｋは
ｋ＝－Ｂ＜ｋ’_ｉ＜Ｂを用いてΣ_ｉｋ’_ｉＢ^ｉ
という形式で書かれ得る。このような基数分解は、ｋの修正された基数Ｂ形式と呼ばれることもある。修正された基数Ｂ形式は一意ではない。例えば、（２，２）_４＝（１，－２，２）_４は１０に対する２つの修正された基数４形式である。例えば、整数は、任意の整数０≦Ｂ_０＜Ｂに対して、セット｛－Ｂ_０，…，Ｂ－１－Ｂ_０｝の桁で再符号化できる。

【0048】

基数Ｂが奇数で、

【数2】

の場合、バランスの取れた修正された基数Ｂ形式としても知られる基数分解を取得できる。この場合、Ｂ_０＝Ｂ－１－Ｂ_０となる。この場合、例えば次のアルゴリズムを使用して基数分解を決定することができる：

【0049】

【表1】

【0050】

上記のアルゴリズムの変形を使用して、偶数の基数Ｂ≧４の基数分解を取得できる。これにより、修正された基数Ｂ表現がもたらされるが、バランスが取れていない。そのようにして取得された桁ｋ’_ｉは、セット

【数3】

に属する。マイナスの基数の半分だけが桁として使用されるが、プラスの桁の半分は使用されない。いくつかの入力では、アルゴリズムは、後続の２桁が両方ともマイナスの基数の半分に等しい基数分解を返す。例えば、入力ｋ＝２２でアルゴリズムは（１，－２，－２，－２）_４を返す。

【0051】

【表2】

【0052】

図１ａは、暗号化乗算ユニットによって使用するための係数のセットを決定するためのデバイス１１０の実施形態の例を概略的に示す。

【0053】

暗号化乗算ユニットは、暗号化された値をスカラーにより準同型的に乗算するように構成できる。暗号化された値は、複数のそれぞれの値の暗号文により表すことができる。それぞれの値の暗号文は、基数のそれぞれの累乗により乗算された値を暗号化するノイジーな準同型暗号文であり得る。暗号化乗算ユニットは、係数のセットからの対応する係数に従って、複数のそれぞれの値の暗号文の線形結合を準同型的に計算するように構成され得る。暗号化乗算ユニットは、デバイス１１０自体に含まれ得る。例えば、デバイスのプロセッサシステムによって実装され得る。この場合、デバイス１１０は、準同型スカラー乗算を遂行するように構成され得る。デバイス１１０は、暗号化された値をスカラーにより準同型的に乗算するためのデバイス、例えば、キー切り替えデバイスであり得る。

【0054】

デバイス１１０が、準同型スカラー乗算自体を行わずに、そのような準同型スカラー乗算に適した係数のセットを決定することも可能である。したがって、暗号化乗算ユニットはまた、デバイス１１０の外部であってもよい。例えば、デバイス１１０は、計算を準同型実行可能ファイルにコンパイルするためのコンパイルデバイスであり得、例えば、それは、後でデバイス１１０または別のデバイスによって実行されることができる。

【0055】

デバイス１１０は、プロセッサシステム１３０、ストレージ１４０、および通信インターフェース１５０を含み得る。ストレージ１４０は、ローカルストレージ、例えば、ローカルハードドライブまたは電子メモリを含み得る。ストレージ１４０は、非ローカルストレージ、例えばクラウドストレージを含み得る。後者の場合、ストレージ１４０は、非ローカルストレージへのストレージインターフェースを含み得る。例えば、ストレージ１４０は、スカラーおよび基数を記憶するためのものであり得る。基数は偶数であり得る。ストレージ１４０は、他の場所でも論じられているように、暗号化された値を表す値の暗号文のセットなどの追加情報を記憶することができる。

【0056】

デバイス１１０は、コンピュータネットワークを介して、内部的に、他のデバイス、外部ストレージ、入力デバイス、出力デバイス、および／または１つ以上のセンサーと通信することができる。コンピュータネットワークは、インターネット、イントラネット、ＬＡＮ、ＷＬＡＮなどであり得る。コンピュータネットワークはインターネットであり得る。デバイスは、必要に応じて他のデバイスと通信するように構成された接続インターフェース１５０を任意選択で備え得る。例えば、接続インターフェースは、コネクタ、例えば、有線コネクタ、例えば、イーサネットコネクタ、光コネクタなど、または無線コネクタ、例えば、アンテナ、例えば、Ｗｉ－Ｆｉ、４Ｇもしくは５Ｇアンテナを含み得る。通信、例えば内部通信は、他の通信プロトコルまたは媒体、例えば内部データバスを使用してもよい。

【0057】

デバイス１１０では、通信インターフェース１５０を使用して、デジタルデータを送るまたは受信することができる。例えば、デバイス１１０は、例えばデータプロバイダデバイスから、暗号化された値を表す値の暗号文のセットを受信するように構成され得る。デバイス１１０は、スカラーによる暗号化された値の準同型スカラー乗算を行うことができる。デバイス１１０は、準同型スカラー乗算の結果、またはそれに基づく計算結果を、別のデバイス、例えばデータプロバイダデバイスまたは別のデバイスに送信することができる。別の例として、デバイス１１０は、コンパイルされる計算の記述を受信することができ、および／または、例えば、コンパイレーションＷｅｂサービスなどを提供することによって、この計算をコンパイルすることによって得られる準同型実行可能ファイルを送信することができる。

【0058】

デバイス１１０の実行は、プロセッサシステム１３０、例えば、１つ以上のプロセッサ回路、例えばマイクロプロセッサで実装することができ、その例は本明細書に示されている。デバイス１１０は、異なる場所にわたって分散され得る複数のプロセッサを含み得る。例えば、デバイス１１０は、クラウド計算を使用することができる。

【0059】

プロセッサシステム１３０は、係数のセットを、基数に関するスカラーの基数分解の桁として決定するように構成され得る。決定された桁は、マイナスの基数の半分、含んでいる、と、プラスの基数の半分、含んでいる、の間にあり得る。決定することは、後続の２桁が両方とも絶対値において基数の半分に等しくはないことを保証することを含むことができる。

【0060】

例えば、スカラーは、多項式の係数であり得、それを用いて暗号化された値が乗算される。例えば、プロセッサシステム１３０は、多項式のそれぞれのスカラー係数の、それぞれの係数のセットを決定するように構成され得る。これらの係数のセットは、例えば、それぞれの多項式の係数として出力されることができ、それらを用いて値の暗号文が乗算される。

【0061】

係数のセットは、複数の係数、例えば、少なくとも５個または少なくとも１０個を含むことができる。プロセッサシステム１３０は、所与の最大サイズの係数のセットを決定するように構成され得、したがって、所与のサイズまでのスカラーのみをサポートするか、または任意のサイズのスカラーを可能にするように構成することもできる。

【0062】

プロセッサシステム１３０は、暗号化された値をスカラーにより準同型的に乗算するために、暗号化乗算ユニットに係数のセットを提供するようにさらに構成することができる。これは多くのさまざまな方法でなされることができる。暗号化乗算ユニットは、デバイス１１０自体に含まれ得、例えば、プロセッサシステム１３０によって実装され得る。この場合、係数のセットは、バスを介して、内部通信を介して、ＡＰＩコールを介して、ストレージを介してなど提供され得る。

【0063】

係数のセットは、例えば、暗号化計算エンジンによる実行のための準同型実行可能ファイルの形式で、外部の暗号化乗算ユニットに提供することもできる。係数のセットは、暗号化乗算ユニットが何らかの方法で利用できるようにすることにより、例えば、そのような準同型実行可能ファイルの一部として、暗号化乗算ユニットが利用できるようにすることができる。例えば、係数のセットは、暗号化乗算ユニットを含むデバイスまたはシステムに送られ得る；または、係数のセットは、暗号化乗算ユニットを含むシステムまたはデバイスによってアクセス可能なストレージに置くことができる。

【0064】

例えば、デバイス１１０は、計算を準同型実行可能ファイルにコンパイルするコンパイラデバイスであってもよく、この場合、デバイスは、準同型実行可能ファイルに係数のセットを含めることによって、係数のセットを暗号化乗算ユニットに提供することができ、準同型実行可能ファイルは、次いでそのような暗号化乗算ユニットを含む任意の適切な暗号化計算エンジンによって実行され得る。

【0065】

図のいくつかは、プロセッサシステムの機能ユニットであり得る機能ユニットを示している。例えば、図は、プロセッサシステムの可能な機能的機構の青写真として使用することができる。プロセッサ回路は、ほとんどの図において、ユニットから分離して示されていない。例えば、図２ａ、２ｂ、４ａ、４ｂ（以下を参照）に示される機能ユニットは、デバイス１１０などのデバイスにおいて、例えばデバイス１１０の電子メモリに記憶され、デバイス１１０のマイクロプロセッサによって実行可能であるコンピュータ命令に全体的または部分的に実装され得る。ハイブリッド実施形態では、機能ユニットは、ハードウェアに、例えば、コプロセッサ、例えば、算術および／または暗号コプロセッサとして部分的に実装され、デバイス１１０上で記憶および実行されるソフトウェアに部分的に実装される。

【0066】

いくつかの実施形態では、デバイス１１０は、係数のセットに従って、複数のそれぞれの値の暗号文の線形結合を準同型的に計算することによって、暗号化された値をスカラーにより準同型的に乗算するように構成され得る。線形結合の計算には、係数のセットからのそれぞれの係数によりそれぞれの値の暗号文を準同型的に乗算することが含まれ得る。乗算は、少なくとも部分的に並行して行われてもよい。例えば、プロセッサシステム１３０は、例えば、テンソル、行列、ベクトル、スカラーなどに対する基本演算など、準同型スカラー乗算またはそれらの準同型スカラー乗算のサブ演算を行うために、ＧＰＵまたはＦＰＧＡなどの専用処理ユニット（図示せず）を備え得る。

【0067】

例えば、デバイス１１０は、準同型暗号化暗号を使用して計算を行うためのデバイスであり得る。例えば、デバイス１１０は、データが暗号化された形式で、例えばデータプロバイダから受信されても、前記データに対して計算を行うために使用され得る。

【0068】

行われる計算は、スカラー乗算を含み得、例えば、計算におけるスカラーによる値の乗算に対応する、暗号化された値のスカラーによる乗算を行うことができる。代わりに、またはさらに、スカラー乗算は、キー切り替え演算の一部として行われ得、キー切り替え演算においては、ソース暗号化キーの下のソース暗号文が、同じ値を別のターゲット暗号化キーの下で暗号化するターゲット暗号文に変換される。したがって、このようなスカラー乗算は、計算のスカラー乗算には対応しないが、計算を暗号化の下で行えるように実装され、例えば、ブートストラッピング演算の一部として、またはブートストラッピング演算の後に行うことができる。

【0069】

例えば、ストレージ１４０は、暗号化されたデータアイテム、例えば、１つ以上のデータプロバイダから受信されるか、または計算の中間結果または最終結果、例えば出力として生成される暗号化されたデータアイテムを記憶することができる。通常、デバイス１１０の計算が行われるデータアイテムのほとんどまたはすべては、デバイス１１０に知られていないキー（複数可）で暗号化される。－つまり、デバイス１１０は、例えばストレージ１４０に記憶されているような、暗号化されたデータアイテムに対応するプレーンデータアイテムを取得するように構成されていない可能性がある。暗号化／復号キーは暗号化された形式で利用できる場合があるが、プレーン形式の復号キーはデバイス１１０にとって秘密である。例えば、プロセッサシステムは、準同型暗号化演算のシーケンスを行うように構成され得、これは、加算および乗算などの暗号化された値に対する算術演算を含み得るが、暗号化された多項式に対する算術演算も含み得る。準同型演算には、キー切り替え、ブートストラップなどの演算も含まれ得る。

【0070】

図１ｂは、暗号化計算システム１００の実施形態の例を概略的に示す。システム１００は、準同型暗号化、例えば完全準同型暗号化を使用して計算を行うように構成される。この例では、スカラー乗算を行うデバイスは、係数のセットを計算することもできる。

【0071】

この例では、システム１００は、データプロバイダデバイス１６０および暗号化計算デバイス１１０を含む。デバイス１１０は、データプロバイダ１６０から暗号化されたデータアイテムを受信するように構成され得る。少なくともいくつかのデータアイテムは暗号化された形式で受信され得る。いくつかのデータアイテムはプレーン形式で受信され得る。計算は、受信したデータアイテムに対して実行され、場合によっては記憶されたデータアイテムに対しても実行される。興味深いことに、計算は、データを復号することなく、例えば、暗号化されたデータアイテムをプレーンフォーマットのデータに変換することなく、暗号化されたデータに対して行われ得る。

【0072】

この例におけるデバイス１１０は、図１ａのデバイス１１０に基づくことができ、例えば、図１ａのプロセッサシステム１３０、ストレージ１４０、および／または通信インターフェース１５０を備えることができる。この例では、デバイス１１０は、例えば、デバイスのプロセッサシステムによって実装される暗号化乗算ユニット１２１を備える。暗号化された計算を行う一環として、暗号化乗算ユニット１２１は、スカラーによって暗号化された値の準同型暗号化を行うことができる。暗号化された値は、値の暗号文により表すことができる。スカラーによる乗算を行うために、デバイス１１０は、他の場所でも説明されているように、スカラーの基数分解の桁として係数のセットを決定することができる。したがって、あまりノイジーではないスカラー乗算が実現される。

【0073】

例えば、値の暗号文は、データプロバイダデバイス１６０によって提供され得るか、またはデータプロバイダデバイス１６０によって提供される暗号化された値から導出され得る。値の暗号文は、キー切り替えを行うためのキー切り替え値の暗号文であり得る。これらは、例えば、データプロバイダデバイス、別のデバイス、またはストレージから取得することができる。

【0074】

この図には示されていないが、暗号化計算システム１００は、複数の暗号化計算デバイス、例えば、３つまたは３つを超えるものを含み得る。暗号化された計算は、複数の暗号化計算デバイス間で分散されてもよい。暗号化計算デバイスは、中間の計算結果、通常は暗号化されたものを相互に交換し得る。各暗号化乗算デバイスは、暗号化計算デバイス１１０のように実装することができ、係数のセットを決定し、係数を使用して暗号化された値をスカラーにより準同型乗算することによってスカラー乗算を行うことができる。

【0075】

図１ｃは、暗号化計算システム１０１の実施形態の例を概略的に示す。システム１００は、準同型暗号化、例えば完全準同型暗号化を使用して計算を行うように構成される。図１ｃの例は、図１ｂの例に基づいており、その図に関して論じられたさまざまな考察がここでも適用される。図１ｂのデータプロバイダデバイス１６０に基づいて、データプロバイダデバイス１６０が示されている。図１ｂの暗号化計算デバイス１１０に基づいて、暗号化計算デバイス１２０が示されている。図１ｂのように、暗号化計算デバイスは、例えば、暗号化計算デバイス１２０のプロセッサシステムによって実装される、暗号化乗算ユニット１２１を備え得る。

【0076】

暗号化計算デバイス１２０は、図１ｂのように、暗号化乗算ユニット１２１を使用して、暗号化された値のスカラー乗算を含む暗号化された計算を行うことができる。この例では、スカラー乗算を行うための係数のセットは、暗号化計算デバイス１２０によって決定されず、代わりにコンパイラデバイス１１０によって決定される。コンパイラデバイスは、図１ａのデバイス１１０に基づくことができ、例えば、図１ａに関して説明されるプロセッサシステム１３０、ストレージ１４０、および／または通信ユニット１５０を含むことができる。

【0077】

コンパイラデバイス１１０は、計算を準同型実行可能ファイルにコンパイルすることができる。準同型実行可能ファイルは、暗号化計算デバイス１２０の暗号化計算エンジンによる実行可能ファイルの命令のセットの観点からの計算の表現であり得る。例えば、準同型表現は、スカラー乗算、加算、ブートストラッピング演算などの基本命令のセットの観点から計算を表すことができる。暗号化計算デバイス１２０による準同型実行可能ファイルの実行は、ノイジーな準同型暗号文に対して行われる計算をもたらし得る。それ自体が知られている準同型実行可能ファイルのさまざまな表現を使用することができ、例えば、ブール回路、算術回路、データフローグラフ、または実行可能バイトコードを使用することができる。

【0078】

計算は、スカラーによる、値の１つ以上の乗算を含むことができる。そのような乗算のために、コンパイラデバイス１１０は、本明細書に説明されるような係数のセットを決定することができる。コンパイラデバイス１１０は、準同型実行可能ファイルに、暗号化された値をスカラーにより準同型的に乗算するための１つ以上の命令、例えば、暗号化計算エンジンに準同型スカラー乗算を行わせる１つ以上の命令を含めることができる。命令は、決定された係数を含み得る。その結果、暗号化計算デバイス１２０は、より少ないノイズでスカラー乗算を計算することができる。

【0079】

図１ｂおよび１ｃを参照すると、準同型暗号化スキームは、多くの設定に適用することができる。例えば、１つ以上の暗号化計算デバイス１１０、１２０は、クラウドプロバイダによって動作され得る。クラウドプロバイダは、そのクライアントに計算およびストレージサービスを提供し得る。準同型暗号化を利用することにより、図１ｂまたは図１ｃのデータプロバイダ１６０、例えばクラウドプロバイダのクライアントは、暗号化された形式でかれらのデータを送ることができる。クラウドプロバイダは、依然必要な計算および／または必要なストレージを行えるが、対応するプレーンデータを知ることはできない。例えば、データプロバイダ１６０は、使用される特定の準同型暗号化システムに対応するタイプの暗号化キーを使用して、データアイテムを暗号化することができる。計算結果がデータプロバイダ１６０によって暗号化計算デバイス１１０、１２０から受信されると、対応する復号キーを使用して、暗号化されたデータアイテムを復号することができる。暗号化キーと復号キーは同じ場合があり、通常は同じである。

【0080】

例えば、暗号化計算システム１００、１０１は、暗号化計算デバイスがプレーンデータアイテムにアクセスすることなく、機械学習モデル、例えば画像分類器、例えば医療モデルをトレーニングするように構成されることができる。例えば、おそらくはブートストラッピングがなくても、入力データに対して線形回帰が行われ得る。例えば、おそらくはバックプロパゲーションが、ブートストラッピングを使用して、入力データに対して行われ得る。結果のモデルパラメータは、復号キーを所有しているエンティティに返され得る。これにより、医療データの複数のプロバイダがデータをクラウドプロバイダに送ることにより、データをプールできる。クラウドプロバイダは、次いで、プレーンデータに決してアクセスすることなく、モデルパラメータを返す。暗号化キーは、復号キーと等しい場合がある。

【0081】

モデルがトレーニングされた後、暗号化計算システム１００、１０１を使用して、例えば医療データで使用するためのモデルを提供することができる。これは、プレーンモデルパラメータまたは暗号化されたモデルパラメータを使用してなされ得る。どちらの場合も、暗号化されたデータ、例えば、暗号化された入力、中間データ、出力データ、を使用してなされ得る。プレーンモデルパラメータを使用する方が通常はるかに効率的である。どちらの場合も、システムの効果は、コンピュータがプレーンデータアイテムを知らずに、計算が行われることであり、例えば、画像分類、例えば医療画像分類である。例えば、マンモグラムががんに対して評価される場合があるが、画像が暗号化計算デバイス１１０、１２０においてプレーンであることは決してなく、また、暗号化計算デバイス１１０、１２０、またはそのようなデバイスの連携なしで、がんの評価の結果が何であるかがわかる。プライバシーの観点からは、暗号化されたプライバシーにセンシティブなデータに対してプレーンモデルを演算することは許容できる可能性があるが、プレーンなプライバシーにセンシティブなデータに対して演算することは許容できない可能性がある。

【0082】

他の用途には、データベースサービスが含まれ、例えば、暗号化されたデータベースで暗号化されたデータを検索する；例えば、計算は、入力アイテムとデータベースアイテムの比較であり得る。例えば、複数の計算を組み合わせて、インデックスに一致するデータベースインデックスを作り出すことができる。例えば、データベースはゲノムデータベースであり得、そして入力は遺伝子配列であり得る。例えば、システム１００、１０１は、デバイスの保護された制御に使用され得る。例えば、デバイスは、発電所などの大きなデバイスでさえ、センサー値を暗号化計算デバイス１１０、１２０に送り、引き換えに暗号化された制御信号を受信することができる。制御信号はセンサー信号から計算される。システムの攻撃者は、１つ以上の暗号化計算デバイス１１０、１２０へ行く、またはそれらから来る、データの内容を決定でき、あるいは、これらのデバイスの中間データにアクセスすることさえできるが、データは暗号化されているため、それは彼の役に立たない。システム１００、１０１のすべての暗号化計算デバイス１１０、１２０を完全に解読しても、復号キーがこれらのデバイスに知られていないため、データは明らかにならない。制御信号の計算には、線形代数、平均、行列乗算、多項式評価などの数学的演算が含まれ得、これらはすべて、準同型暗号化演算で実行できる。

【0083】

例えば、暗号化されたデータアイテムのプールは、暗号化計算システムにおいて維持され得る；これらのうちのいくつかは受信され得、いくつかは、例えば中間結果などの暗号化された計算の結果であり得る。例えば、暗号化計算デバイス１１０、１２０は、プール内の１つ、２つ、またはそれより多くの暗号化されたデータアイテム、例えば、入力および／または中間および／または出力値のコレクションに準同型暗号化演算を適用するように構成され得る。結果は、プールに記憶され得る新しい暗号化されたデータアイテムであり得る。プールは、暗号化計算システムのストレージに記憶できる。これは、ローカルストレージまたは分散ストレージの場合がある。後者の場合、１つ以上の暗号化されたデータアイテムがプール内で複数回表されることがある。暗号化されたデータアイテムは、例えば、それらの値が他の場所で必要とされる場合、ある計算デバイスから別の計算デバイスに送られ得る。プールは、例えばレジスタファイル、配列、さまざまなデータ構造など、さまざまな方法で実装することができる。

【0084】

暗号文は通常、ノイジーな準同型暗号文であり、例えば、暗号化にはノイズの付加ステップが含まれ得る。ノイズ量は、準同型演算が適用されると変化し得る。復号には、ノイズが制限されたままである限り、正しいプレーンテキストまたはほぼ正しいプレーンテキストを返すことが保証されているノイズ除去ステップが含まれ得る。例えば、背景で言及されたトーラス上のＦＨＥシステムのような、例えば、Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ（ＬＷＥ）問題に基づく準同型暗号化スキームでは、暗号化キーは、ｎ桁の文字列ｓ_ｉ、例えばビットであり得；暗号文は、タプル（ａ_１，…，ａ_ｎ，ｂ）であり得、ここで

【数4】

である。後者では、＋と・はそれぞれトーラス要素の加算、および整数とトーラス要素の間の積を表し、ａ_ｉはｎ個の数、μはプレーンデータアイテム、ｅはノイズ、例えば確率分布、例えばガウス分布から取り出されるノイズである。

【0085】

このスキームは、多項式に基づくものを含む他の数学的構造にも自然に拡張される。したがって、数ｓ_ｉ、ａ_ｉ、ｂ、ｕ、ｅは、異なる数学的構造から取られ得る。すべての暗号化されたデータアイテムが同じキーの下で暗号化される必要はなく、実際には異なるキーでの再暗号化は、可能な準同型暗号化演算である。あるキーから別のキーに変換するために、いわゆるキー切り替え手順を使用でき、これは、いわゆるキー切り替えキーを使用できる。キー切り替えキーは、第１ののキーの下で暗号化された要素を、どちらのキーも明らかにせずに第２のキーの下でいかにして再暗号化するかの情報を提供した。

【0086】

暗号化されたデータアイテムは、あらゆる種類のデータを表し得る。例えば、暗号化されたデータアイテムは、平均化が必要な数値や、線形回帰などに使用される数値を表し得る。例えば、暗号化されたデータアイテムは画像を表し得る。例えば、画像の各ピクセルは、１つ以上の暗号化されたデータアイテムに対応することができる。例えば、グレースケールピクセルはグレーレベルによって表され得、それは次に単一の暗号化されたデータアイテムによって表され得る。例えば、２５６のグレーレベルを単一の暗号化されたデータアイテムにエンコードできる。例えば、カラーピクセルは、複数のカラーレベル、例えばＲＧＢレベルとして表すことができ、ＲＧＢレベルは、次に暗号化されたデータアイテムのタプルによって表すことができる。例えば、３つの２５６レベルの色を３つの暗号化されたデータアイテムにエンコードできる。あるタイプのデータを表すために使用される暗号化されたデータアイテムの数は、準同型暗号化スキームの容量に依存する。例えば、より制限的な準同型暗号化スキームは、暗号化されたデータアイテムごとに１ビットしかエンコードできない場合がある。その場合、１つのカラーピクセルで、２４個の暗号化されたデータアイテムが必要になり得る。

【0087】

復号キーへのアクセスなしでは、ノイズの大きさを正確に言うことができない場合があるが、例えば、初期のノイズレベルはフレッシュな暗号化に対して知られており、さまざまな演算でのノイズの増加が知られているため、通常はノイズを制限することができる。ノイズの増加は、演算のタイプ、例えば加算に対して乗算、および、あるとして、その他のパラメータに依存し得る。例えば、準同型暗号化演算は、スカラー乗算：知られている、例えば、プレーン、値との乗算であり得る。例えば、大きい値を用いる乗算は、小さい数値を用いる乗算するよりもノイズを増加させ得る。行われる演算が与えられた場合に、増加するノイズの正確な量は、数学的に計算することも、経験的に推定することもできる。いくつかの演算ではかなりの量のノイズが付加され得るが、他の演算ではノイズが付加されない場合があり、例えば、プレーン定数の加算などである。

【0088】

準同型暗号化演算のセットは、計算のために定義され得る。例えば、準同型暗号化演算から、例えば図１ｃのコンパイラデバイス１１０によって、一緒に計算を実装するネットワークまたは演算回路を構築することができる。例えば、演算はブール演算を含み得、演算は、少なくとも１つのスカラー乗算を含み得る。しかし、これは本明細書の技術を適用するのに必要なわけではなく、例えば、スカラー乗算はキー切り替えの一部として適用されてもよく、この場合、行われる計算はスカラー乗算も含む必要がなく、またはこの場合、そのようなスカラー乗算は、提供される技術に従って実装される必要がない。準同型暗号化演算を組み合わせる方法、例えば、どの演算がプール内のどのオペランドに適用されるかによって、行われている計算が決定される。例えば、計算は、それらが行われる暗号化されたデータアイテムに関するインディケーションとともに、行われる準同型暗号化演算のリストとして表され得る。

【0089】

演算が行われると、新しい計算された（フレッシュでない）暗号化されたデータアイテムに関連するノイズが大きくなる可能性がある。これは、ノイズが復号に必要な制限内にとどまる限り問題ではない。さらに演算を行う場合は、ブートストラッピング演算を行える。しかし、ブートストラッピングの前に、またはブートストラッピングがまったく必要でなくても、行える演算の数を増加させるために、準同型演算および／またはブートストラッピング自体によるノイズの増加を制限することが望ましい。

【0090】

具体的には、Ｅｎｃで準同型暗号化スキームを示すとする。さまざまな設定で、スカラーｋとノイジーな準同型暗号文Ｅｎｃ（ｘ）についてｃ←ｋ・Ｅｎｃ（ｘ）を評価する必要があり得る。ｃ←ｋ・Ｅｎｃ（ｘ）を直接計算することは可能であり得るが、これにより暗号文のノイズの大幅な増加をもたらし得る。

【0091】

暗号化された値ｘが値の暗号文のセットにより表される場合、より小さいノイズ増加が達成され得、例えば、Ｅｎｃ（Ｂ^ｉｘ）、０≦ｉ≦ｎは、値ｘが基数Ｂのそれぞれの累乗Ｂ^ｉにより乗算された、それぞれの暗号化であり、例えば、データプロバイダまたは他の当事者によって事前計算される。例えば、

【数5】

のように、暗号化された値は、係数のセットに従ってそれぞれの値の暗号文の線形結合を計算することによってスカラーにより乗算でき、ここで、例えば、

【数6】

のように、スカラーは、対応する基数の累乗の線形結合に等しくなる。

【0092】

さまざまな準同型暗号化スキームは、ノイジーな準同型暗号文をランダムスカラーにより乗算すると、ランダムスカラーの分散にランダムスカラーの期待値の２乗を加えた分だけノイジーな準同型暗号文のノイズ分散が乗算的に増加するという特性を満たす。これが当てはまる準同型暗号化スキームは数多くあり、例えばＬＷＥ、ＧＬＷＥ、Ｒｉｎｇ－ＬＷＥ、Ｍｏｄｕｌｅ－ＬＷＥ、または類似のタイプの強度の仮定に基づくＬＷＥタイプの暗号文；またはＡｐｐｒｏｘ－ＧＣＤやＮＴＲＵの問題に基づく暗号文などがある。

【0093】

変数Ｘについて、

【数7】

とＶａｒ（Ｘ）をそれぞれその期待値と分散を示すものとする。例えば、ノイズが中心にあり、その分散がＥｎｃ（ｘ）とＥｎｃ（Ｂ^ｉｘ）の同じ閾値σ^２によって制限されていると仮定すると、ｃ←ｋ・Ｅｎｃ（ｘ）に存在するノイズは、

【数8】

によって制限される分散を有し得る。スカラー乗算を線形結合として計算すること

【数9】

は、分散が

【数10】

で制限されるノイズをもたらす可能性がある。定義により、分散Ｖａｒ（ｋ’_ｉ）は

【数11】

を満たし、これは

【数12】

に展開できる。したがって、上記のノイズ分散は、線形結合を計算することによって暗号化されたスカラー乗算に制限され、

【数13】

は

【数14】

と等価的に書くことができる。したがって、この後者の境界を低減することが望まれる。

【0094】

一見、ノイズを低減するという観点からは、基数Ｂが偶数である場合、与えられた基数を用いる基数分解がマイナスの基数の半分、プラスの基数の半分、またはその両方に等しい係数を使用するかどうかに違いはないようである。いずれの場合も、ノイズへの寄与ｋ’_ｉ ^２は同じである。しかし、興味深いことに、発明者は、プラスの基数の半分、またはマイナスの基数の半分のみを可能にすると、他の桁に対しても次善の選定をもたらし、したがってノイズ低減の観点から次善の基数分解をもたらすことに気付いた。例えば、Ｂ＝４を用いてｋ＝２２に適用すると、マイナスの基数の半分しか使用しないと、基数分解（１，－２，－２，－２）_４がもたらされるが、（１，１，２）_４の方がよい。同様に、プラスの基数の半分のみを使用する場合、他のスカラーは次善の基数分解につながる。

【0095】

したがって、発明者は、

【数15】

と

【数16】

の両方を含むように桁セットを増強することを想定した:したがって、スカラーｋは、

【数17】

内の桁で分解され得る。少なくともいくつかのスカラーについては、基数分解の少なくとも１つの桁をマイナスの基数の半分に設定し、基数分解の少なくとも１つの桁をマイナスの基数の半分に設定してもよい。

【0096】

興味深いことに、マイナスの基数の半分とプラスの基数の半分の両方を使用することにより、後続の２桁が絶対値において基数の半分と等しくならないように保証することができる。これを保証することは、一般にノイズ低減、したがってあまりノイジーではない準同型スカラー乗算をもたらす。任意選択で、絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることも保証できる。また、この要件自体は、ノイズの低減をもたらすため、有益である。これは、後続の桁が絶対値において基数の半分と等しくないように保証することと組み合わせると特に有益である。ノイズ低減の観点では、両方の特性を満たす基数分解が最適であると考えられる。

【0097】

上記特性を満たす基数分解は、バランスの取れた非隣接形式であると称することができる。特に、数学的には、偶数の基数Ｂが与えられると、整数ｋの修正された基数Ｂ表現（ｋ’_ｎ，…，ｋ’_２，ｋ’_１，ｋ’_０）は、すべてのｉについて、
１．

【数18】

；
２．

【数19】

；および
３．

【数20】

のとき、

【数21】

である場合のみ、バランスの取れた非隣接形式（ＢＮＡＦ）であるとして定義できる。
上記の特性の一部またはすべてを満たす基数分解を決定するさまざまな詳細な例を以下に説明する。

【0098】

図２ａは、例えば、図１ａ－ｃのいずれかのうちのデバイス１１０に基づく係数決定デバイス２００の実施形態の例を概略的に示す。デバイス２００は、暗号化乗算ユニットによって使用するための係数のセットを、偶数の基数に関する基数分解の桁として決定することができる。

【0099】

この図のデバイス２００は、最下位から最上位へと、反復的な方法で係数のセットを決定することができる。現在のスカラーＫ、２３１が与えられると、デバイス２００は、基数分解２３６の現在の桁ｋ_ｉ、２３８を決定する。現在のスカラー２３１および桁２３８に基づいて、次に基数分解が決定される次のスカラーが決定される。例えば、現在のスカラーＫを次のスカラーに更新し、その後、手順を繰り返すことができる。分解するスカラーに対して現在のスカラー２３１を初期化し、現在の桁２３７、２３８、２３９などを繰り返し決定することにより、スカラーの基数分解２３６を取得することができる。

【0100】

現在のスカラーＫ２３１から現在の桁２３８を決定するために、係数決定デバイス２００は、基数を法とする現在のスカラーの値Ｋ ｍｏｄ Ｂ、２３２、言い換えれば、基数による除算の剰余を計算するように構成された除算ユニット２２１を利用することができる。この例では、剰余２３２は、例えば区間［０，Ｂ－１］内の値０≦Ｋ ｍｏｄ Ｂ＜Ｂとして表されるが、同じサイズの他の区間、例えば、

【数22】

、［－１，Ｂ－２］等も同様に使用できる。

【0101】

値２３２の計算とは別に、除算ユニット２２１は、現在のスカラー２３１から剰余２３２を引いたものを、基数により割った商２３３、例えば、Ｋ’＝（Ｋ－（Ｋ ｍｏｄ Ｂ））／Ｂを計算することもできる。商２３３は、次のスカラー、例えば、次の反復における基数分解を決定するための残りの値を表すことができる。

【0102】

基数が２の累乗である場合、除算ユニット２２１は特に効率的に実装することができ、例えば、値２３２は現在のスカラーＫの最下位ビットに対応し得、値２３３は最上位ビットに対応し得る。

【0103】

桁決定ユニット２２２は、剰余２３２および商２３３から現在の桁２３８を決定するように構成され得る。

【0104】

桁決定ユニットが剰余Ｋ ｍｏｄ Ｂおよび商２３３から現在の桁ｋ_ｉを決定するために適用することができる方法の２つの実施形態の例が、それぞれ図３ａと３ｂに示されている。

【0105】

剰余Ｋ ｍｏｄ Ｂが基数の半分に等しくない場合、現在の桁ｋ_ｉに対して可能な選定は一般に１つだけである。剰余Ｋ ｍｏｄ Ｂが基数の半分よりも小さい場合、図３ａおよび３ｂのステップ３１０、３１５によって示されるように、現在の桁は剰余自体に設定され得る。次に、次のスカラーを商Ｋ’に設定できる。剰余Ｋ ｍｏｄ Ｂが基数の半分より大きい場合、図３ａおよび３ｂのステップ３２０、３２５に示すように、現在の桁を剰余から基数を引いたものに設定することができる。次に、次のスカラーを商に１を加えた値に設定できる。

【0106】

剰余Ｋ ｍｏｄ Ｂが基数の半分に等しい場合、桁ｋ_ｉはプラスの基数の半分とマイナスの基数の半分の中から選択できる。興味深いことに、少なくともいくつかの場合ではプラスの基数の半分が使用され、少なくともいくつかの他の場合ではマイナスの基数の半分が使用されることをもたらす決定基準が使用される。特に、桁ｋ_ｉは、この選択が、後続の桁が絶対値において基数の半分に等しいことをもたらすかどうかを決定することに基づいて選択され得る。そうではない場合が保証され得、有益なノイズ特性を有する基数分解につながる。

【0107】

特に、図３ａに示すように、マイナスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分に等しくなることをもたらす場合、プラスの基数の半分を選択することができる、３３５。これは、基数を法とする商Ｋ’がＢ／２－１に等しい場合、３３０、であり得る：この場合、マイナスの基数の半分を選択することは、次のスカラーが商に１を加えた値になり、基数を法とするＢ／２に等しくなることをもたらす。

【0108】

同様に、プラスの基数の半分を選択することが、次のスカラーが基数を法とする基数の半分と等しいことをもたらす場合、３４０、マイナスの基数の半分を選択することができる３４５。これは、基数を法とする商Ｋ’がＢ／２に等しい場合、３４０であり得る：この場合、プラスの基数の半分を選択することは、次のスカラーが商と等しくなり、基数を法とするＢ／２に等しくなることをもたらす。

【0109】

一般に、マイナスの基数の半分を選択することもプラスの基数の半分を選択することもしないことが、次のスカラーが基数を法とする基数の半分に等しくなることをもたらす場合、Ｂ／２に等しい後続の桁を回避するという観点からは、どちらの選定も可能である。図３ａはこれを規定していないが、例えば、そのような場合には、常にＢ／２を選択するか、または常に－Ｂ／２を選択することが可能である。

【0110】

特に有益な選定は、絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることを保証することである。これを図３ｂに示す。この図に示すように、次のスカラーが基数を法とする基数の半分よりも小さいことをもたらす場合、特に基数を法とする商が基数の半分よりも小さい場合、３３１、プラスの基数の半分を選択することができる、３３５。それ以外の場合は、マイナスの基数の半分を選択できる、３４５。この決定手順は、バランスの取れた非隣接形式をもたらし得る。図３ｂの決定３３１は、図３ａの決定３３０および３４０と同じ桁の選択をもたらすことに留意されたい；その意味で、図３ｂの決定手順は、図３ａの決定手順のより具体的なバージョンである。

【0111】

基数分解を決定するためのアルゴリズムの詳細な例がここに示されている。このアルゴリズムは、図３ｂの決定手順を実装し、バランスの取れた非隣接形式をもたらす。

【0112】

【表3】

【0113】

このアルゴリズムは、最下位から最上位まで、例えば右から左までの桁を処理する。現在のスカラーを表し、ｋに初期化される一時レジスタＫを使用する。連続する桁ｋ’_ｉは、Ｂを法とするＫの絶対値最小の剰余、すなわちｋ’_ｉ≡Ｋ（ｍｏｄ Ｂ）および

【数23】

によって与えられる。

【0114】

【数24】

なので、

【数25】

の場合は特別な処理が必要である。桁

【数26】

および

【数27】

は同じ大きさである。２つの間の選定は、次の観察：

【数28】

に依存する。

【0115】

【数29】

の場合、ｋ’_ｉは

【数30】

；そうでない場合、ｋ’_ｉは

【数31】

に設定される。後者の場合、

【数32】

であることに留意されたい。

【0116】

すべての場合において、

【数33】

ならば

【数34】

であることに留意されたい。

【0117】

【数35】

の場合、ｋ’_ｉ＋１≧０であり、

【数36】

の場合、ｋ’_ｉ＋１≦０であることも観察できる。したがって、アルゴリズムはバランスの取れた非隣接形式を決定する。

【0118】

アルゴリズムは、入力ｋ＝０に（０）を返すことにより、ｋ＝０の場合をカバーするように容易に拡張できることに留意されたい。

【0119】

図３ｂまたは上で提供されたアルゴリズムに従って決定された基数分解を使用することのノイズ特性の詳細な分析が与えられる。この解析はアルゴリズムの表記の観点から与えられるが、他のＢＮＡＦ形式の基数分解にも、偶数の基数で適用されると考えられる。

【0120】

上記において、アルゴリズムは、ｋ’_ｉ＝Ｋ ｍｏｄ Ｂならば、

【数37】

である。したがって、各反復におけるｋ’_ｉの出力値は、Ｋ ｍｏｄ Ｂおよび

【数38】

の現在の値によって完全に決定することができる。したがって、各可能なケースを記述するには、一対の桁（ｅ，ｄ）で十分である。

【0121】

いくつかの表記がここで導入される。反復ｉでループに入るＫの連続する値を追跡する量Ｋ_ｉを定義し、Ｋ_ｉ ｍｏｄ Ｂ^２＝ｅ_ｉＢ＋ｄ_ｉであるように、Ｋ_ｉ ｍｏｄ Ｂ^２を０≦ｄ_ｉ，ｅ_ｉ＜Ｂの対（ｅ_ｉ，ｄ_ｉ）として表す。構築により、

【数39】

を有する。Ｋ_ｉ ｍｏｄ Ｂ^２＝（ｅ_ｉ，ｄ_ｉ）の値に応じて、考慮すべきさまざまなケースがある。これについては、対（ｅ_ｉ，ｄ_ｉ）に従って出力桁ｋ’_ｉを示す次の表で詳しく説明する。

【0122】

【表4】

【0123】

最後の列では、（ｅ_ｉ，ｄ_ｉ）の知識はｄ_ｉ＋１のみを取得できることに注意されたい。

【数40】

を有する。
また、ｋを形成する基数Ｂの桁が｛０，…，Ｂ－１｝上で一様にランダムである場合、ｅ_ｉ＋１もそうであることに注意されたい；言い換えると、

【数41】

の確率で、ｅ_ｉ＋１は｛０，…，Ｂ－１｝内の任意の値を取ることができる。

【0124】

対応するマルコフ行列Ｐは、要素（ｉ，ｊ）は、ケースｉからケースｊ（１≦ｉ，ｊ≦４）に移行する確率を示し

【数42】

により与えられる。

【0125】

同伴定常確率ベクトル

【数43】

は、Σ_{１≦ｊ≦４}π_ｊ＝１に従い、

【数44】

を満たす。

【数45】

を見出す。各桁の発生確率は、以下のように決定することができる。Ｂ≧２を偶数の整数とする。すると、上記のアルゴリズムによる一様にランダムなＢＮＡＦ形式からの桁

【数46】

は、次の分布

【数47】

に従う。

【0126】

これは次のように実現され得る。桁ｄ_ｉ＝０を除くと、表のケース１とケース２は対称である。したがって、π_１＝Ｐｒ［ｋ’_ｉ＝０］＋π_４を推定し、したがって

【数48】

である。表から、

【数49】

と

【数50】

も得られる。残りのケース（すなわち、

【数51】

）については、表（０を除く）のケース１と２から、すべての桁が等確率であり、したがって

【数52】

であることを推測する。

【0127】

結果として、以下が導き出され得る。Ｂ≧２を偶数の整数とする。すると、上記のアルゴリズムによる一様にランダムなＢＮＡＦ形式の桁ｋ’_ｉが

【数53】

を満たす。

【0128】

これは、恒等式

【数54】

を使用して実現できる。その定義から、

【数55】

であるため、分散は

【数56】

により与えられる。

【0129】

上記の分析は、基数分解が準同型暗号化スキームでより良いノイズ制御を提供することを示している。さまざまな準同型暗号化スキームでは、

【数57】

の値を低減することは、ノイズ制御の観点で有益である。上記の分析は、本明細書で説明されるＢＮＡＦ基数分解について：

【数58】

を意味する。マイナスの基数の半分を桁として使用し、プラスの基数の半分を使用しない基数分解の場合

【数59】

と決定できる。この再符号化では、各桁ｋ’_ｉは等確率であり、例えば、発生確率は

【数60】

である。したがって、

【数61】

および

【数62】

である。したがって、本明細書に説明されるＢＮＡＦ基数分解は

【数63】

の改善を達成する。

【0130】

次の表は、いくつかの基数Ｂに対して、差

【数64】

を示している。

【0131】

【表5】

【0132】

提供される技術の利点は、より大きな基数、例えば、最大４、少なくとも８、または少なくとも１６の基数に対して特に大きいことが観察され得る。これは、２の累乗ではない基数にも当てはまる。

【0133】

また、例えば、複数のスカラー乗算の結果を足し合わせる場合など、複数のスカラー乗算が行われる場合、増幅効果が達成されることにも留意されたい。例えば、キー切り替えでは、スカラー乗算の数が多く、基数分解の精度を表すレベルの数と暗号文の大きさ（ｄｉｍｅｎｓｉｏｎ）の両方でスケールする（例えば、少なくとも１２８、少なくとも２５６、または少なくとも１０２４、例えば、１２８ビットセキュリティレベルでは１０^３≒２^１０）、したがって、提供された技術を使用すると、特にパラメータが大きい場合のキー切り替えに特に有益である。

【0134】

図２ｂは、例えば、図１ａ－１ｃのいずれかのうちのデバイス１１０に基づく係数決定デバイス２０１の実施形態の例を概略的に示す。デバイス２０１は、暗号化乗算ユニットによって使用するための係数のセットを、偶数の基数に関する基数分解２５０の桁として決定することができる。

【0135】

基数分解２５０は、後続の２桁が両方とも絶対値において基数の半分に等しくないことを保証するような方法で決定することができる。この目的のために、デバイス２０１は、最初に、この保証を提供しない基数分解２４０を決定し、次に、基数分解２４０を補正して、基数分解２５０を取得することができる。

【0136】

特に、図に示されているのは、基数分解が決定されるスカラーＫ、２３０である。また、スカラー２３０の基数分解２４０を決定する基数分解ユニット２２３も示されている。基数分解２４０の桁２４１－２４６は、マイナスの基数の半分、含んでいる、とプラスの基数の半分、含んでいる、との間にあり得る。場合によっては、ユニット２２３は、必要に応じてマイナスの基数の半分を使用し得るが、プラスの基数の半分を使用することはない。例えば、基数分解ユニット２２３は、本明細書の他の箇所で論じられるアルゴリズム「符号付き桁基数Ｂ再符号化（Ｂ≧４偶数、マイナスの基数の半分のみ使用）」を適用することができる。他の場合、ユニット２２３は、必要に応じてプラスの基数の半分を使用できるが、マイナスの基数の半分を使用することは決してない。ユニット２２３は、マイナスの基数の半分とプラスの基数の半分の両方を使用して基数分解を出力できることも可能である。

【0137】

しかし、基数分解ユニット２２３は、後続の２桁が両方とも絶対値において基数の半分に等しくないことを保証するように構成されていない。したがって、少なくともいくつかのスカラーＫについて、基数分解ユニット２２３は、後続の２つの桁が絶対値において基数の半分に等しい基数分解を出力することができる。

【0138】

分解補正ユニット２２４を使用して、基数分解２４０を補正することにより、基数分解２５０を決定し、後続の２桁が両方とも絶対値において基数の半分に等しくないことを保証してもよい。基数分解２５０の桁２５１－２５６は、依然として、マイナスの基数の半分、含んでいる、およびプラスの基数の半分の間に存在し得る。少なくともいくつかのスカラー２３０については、桁２５１－２５６のうちの少なくとも１つは、プラスの基数の半分に設定することができ、桁２５１－２５６のうちの少なくとも１つは、マイナスの基数の半分に設定することができる。

【0139】

ユニット２２４が補正を行うことができる一つの方法は、基数分解２４０の桁２４１－２４６を、最下位から最上位に、例えば、図の左から右に反復することによるものである。基数分解２４０の現在の桁が、マイナスの桁の半分またはプラスの桁の半分のいずれにも等しくない場合、それは、補正された基数分解２５０において変更されないままにされ得る。

【0140】

現在の桁が、基数分解２４０のマイナスの桁の半分またはプラスの桁の半分に等しい場合、選択が、後続の桁が絶対値において基数の半分に等しいことをもたらすかどうかの決定に基づいて、プラスの基数の半分とマイナスの基数の半分の中から基数分解２５０のこの桁を選択してもよい。例えば、現在の桁をマイナスの基数の半分からプラスの基数の半分に切り替えると、後続の桁が１つ減少し得、現在の桁をプラスの基数の半分からマイナスの基数の半分に切り替えると、後続の桁が１つ減少し得る。一方、切り替えがなされない場合、後続の桁は、基数分解２５０において、基数分解２４０においてと同じであり得る。したがって、プラスまたはマイナスの基数の半分から現在の桁を選択することにより、次の桁もプラスまたはマイナスの基数の半分に等しいことを回避できる。

【0141】

特定の場合が図に示されている。この例では、元の基数分解２４０は、それぞれがマイナスの基数の半分に等しい複数の後続の桁２４２、２４３、２４４を含み、マイナスの基数の半分に等しくない桁２４５が後に続く。最下位から最上位まで繰り返すとき、桁２４２が最初に検出され得る。桁２４２、２４３は両方ともマイナスの基数の半分に等しいので、桁２４２は、プラスの基数の半分に等しい桁２５２に切り替えられ得る。この場合、後続の桁２４３は、すでにマイナスの桁の半分に等しいため、１つ低減することはできない。この場合、後続の桁２４３は、代わりに基数の半分から１を引いたものに等しい桁２５３に設定できる。この例の次の桁２４４も、すでにマイナスの基数の半分に等しいため、１つ低減することはできず、したがって、同様に基数の半分から１を引いたものに等しい桁２５４に設定される。この例の桁２４５は、マイナスの基数の半分に等しくないため、桁２５５を取得するために１つ低減することができる。

【0142】

より一般的には、マイナスの桁の半分に等しくない桁２４５が続く、すべてマイナスの桁の半分に等しい１つ以上の連続する桁のシーケンス２４２－２４４はプラスの基数の半分に等しい桁２５２で始まるシーケンスに補正することができ；その後に、プラスの基数の半分から１を引いたものに等しい０個以上の桁２５３－２５４が続き；その後に、対応する元の桁２４５から１を引いたものに等しい桁２５５が続く。これは、形式（ｂ，－Ｂ／２，…，－Ｂ／２，－Ｂ／２）と（ｂ－１，Ｂ／２－１，…，Ｂ／２－１，Ｂ／２）が同等であるという事実に基づいて実現できる。ここで、ｂは－Ｂ／２と等しくない。

【0143】

元の基数分解２４０が、例えば、マイナスの基数の半分に等しい桁の代わりに、プラスの基数の半分に等しい桁を使用する場合も同じ原理が適用される。

【0144】

したがって、分解補正ユニット２２４は、後続の２桁が両方とも絶対値において基数の半分に等しくないことを保証することができる。興味深いことに、分解補正ユニット２２４は、さらに、絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることを保証することができる。この目的のために、分解ユニット２２４は、選択が、後続の桁が絶対値において基数の半分に等しいことをもたらすかどうかの決定だけでなく、次の桁がその桁と同じ符号を有することをもたらすかどうかにも基づいて、プラスの基数の半分とマイナスの基数の半分の中から基数分解の桁を選択してもよい。したがって、ＢＮＡＦ形式の基数分解が取得され得る。

【0145】

これは、次のアルゴリズムの例で詳細に説明されている。このアルゴリズムは、プラスの基数の半分を使用しない修正された基数Ｂ形式を入力に取り込み、セット

【数65】

内の桁を用いる別の修正された基数Ｂ形式を作り出す。

【0146】

【表6】

【0147】

興味深いことに、例えば、後続の２つの桁が両方とも絶対値において基数の半分に等しくないことを保証することにより、および／または絶対値において基数の半分に等しい桁が、その桁と同じ符号を有する次の桁によって続かれることを保証することにより、入力表現をＢＮＡＦに変えることが準同型スカラー乗算のノイズ発展の観点から分解を改善することが、このアルゴリズムから観察され得る。興味深いことに、場合によっては、結果の表現も短くなり得、例えばｋ’_ｎ＝０になり、これにより、準同型スカラー乗算を行うことがより効率的になる可能性がある。

【0148】

図４ａは、準同型スカラー乗算を行うためのデバイス４００の実施形態の例を概略的に示す。デバイス４００は、例えば、図１ａまたは図１ｂのデバイス１１０、または図１ｃのデバイス１２０に基づくことができる。

【0149】

デバイスは、暗号化された値４４０、および暗号化された値が乗算されるスカラーｋ、４３９を取得することができる。暗号化される値は、スカラーにより準同型的に乗算できる任意の値にすることができ、例えば、実数；トーラス上の実数［０，１）；多項式；整数、等である。スカラーは整数である。

【0150】

例えば、値はモジュラー整数である。例えば、暗号化された値が（離散化された）トーラス上にあるとき、スカラーはモジュラー整数として見ることができる（例えば、「Ｐｒｏｇｒａｍｍａｂｌｅ Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｅｎａｂｌｅｓ Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｉｎｆｅｒｅｎｃｅ ｏｆ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ」を参照）。数学的には、実トーラス［０，１）は商

【数66】

として書くことができ、任意の正の整数ｑに対して、商

【数67】

は位数ｑの

【数68】

の加法部分群である；したがって、離散化されたトーラス

【数69】

の任意の要素ｔについて、ｋまたは（ｋ ｍｏｄ ｑ）によるｔのスカラー乗算は同じ値をもたらす。

【0151】

スカラーは正または負の値になり、例えば、基数以上、もしくは基数の２乗以上の正の値、またはマイナス基数以下、もしくはマイナス基数の２乗以下の負の値である。「スカラー」という用語は、本明細書では、プレーン、例えば暗号化されていない値を意味するとして使用される。したがって、デバイス４００は、暗号化されていない形式でスカラー４３９にアクセスできるが、スカラーが乗算される値４４０にはアクセスできない。スカラーは、例えば、暗号化された値４４０が乗算される多項式の係数であり得る。値４４０をプレーンにおいて知らない（またはいずれにせよ使用しない）にもかかわらず、デバイス４００は、スカラー４３９により乗算された値の暗号化４９０を依然として計算することができる。

【0152】

デバイス４００は、例えば、図２ａまたは図２ｂの技術を使用して、本明細書に説明される基数分解としてスカラー乗算の係数４３０のセットを決定するように構成された基数分解ユニット４２１を備え得る。しかし、デバイス４００が基数分解ユニット４２１を含む必要はない：デバイス４００は、例えば、ノイジーな準同型暗号文で計算を行うための準同型実行可能ファイルに含まれるように、別の方法で係数４３０のセットを取得することも可能である。

【0153】

準同型スカラー乗算を行うために、デバイス４００は、暗号化乗算ユニット４２２を含み得る。暗号化乗算ユニット４２２は、係数４３０のセットに基づいて、暗号化された値４４０をスカラー４３９により準同型的に乗算するように構成され得、したがって、暗号化された値とスカラーの積の暗号化４５０を取得する。暗号化された値４４０は、複数のそれぞれの値の暗号文４４１－４４３によって表すことができる。それぞれの値の暗号文４４１、４４２、４４３は、基数のそれぞれの累乗Ｂ^ｉにより乗算された値ｘを暗号化するノイジーな準同型暗号文であり得る。通常、すべての暗号文４４１－４４３は、対称キーまたは非対称キーであり得る同じキーの下での暗号化である。例えば、暗号化はＬＷＥタイプの暗号文、またはＡｐｐｒｏｘ－ＧＣＤやＮＴＲＵに基づく暗号文とすることができる。

【0154】

例えば、デバイス４００は、別の当事者から、例えば、計算をアウトソーシングする当事者またはキー切り替え材料を提供する当事者から値の暗号文４４１－４４３を受信するように構成され得る。デバイス４００はまた、値の暗号文４４１－４４３自体を計算することができる。例えば、暗号化された値ｘのそれぞれのスカラーとの繰り返し乗算が必要な場合、デバイス４００は、暗号化された値のそれぞれの値の暗号化Ｅｎｃ（Ｂ^ｉｘ）を１回計算し、それぞれのスカラー乗算でそれらを再利用することができる。そのような場合、スカラー乗算からもたらされるノイズの量を低減するために、デバイス４００は、スカラー乗算を行う前に、それぞれの値の暗号化４４１－４４３に対してブートストラッピングを行うことが好ましい。

【0155】

暗号化乗算ユニット４２２は、例えば、

【数70】

のように、係数のセットのそれぞれの係数４３１－４３３に従って、複数のそれぞれの値暗号文４４１－４４３の線形結合を準同型的に計算するように構成され得る。興味深いことに、暗号化乗算ユニット４２２は、準同型暗号文の復号キーを必要とせずにこの計算を行うことができる。このような線形結合を暗号化下で計算することは、それ自体が知られている。例えば、値の暗号文４４１－４４３の係数４３１－４３３による乗算は、繰り返し加算または他の知られている方法で実装することができる。

【0156】

線形結合の計算は、それぞれの値の暗号文４４１－４４３を、係数のセットからのそれぞれの係数４３１－４３３により乗算すること、例えば、ｋ_ｉ・Ｅｎｃ（Ｂ^ｉｘ）の計算を含み得る。興味深いことに、これらのそれぞれの乗算は、少なくとも部分的に並行して、例えば、ＧＰＵまたはＦＰＧＡなどの専用の処理ユニットを使用して、それらの一部である乗算または演算を行うように行われ得る。このように、大きな乗算を、より小さい数によるそれぞれのスカラー乗算に分割することにより、並列化性、およびしたがって性能が改善され、専用の処理ユニットをより良好に使用できる。

【0157】

この図の例は、多項式ｋ＋ｋ’ｘ＋…による暗号化された値の準同型乗算に容易に拡張できる。このような準同型乗算は、多項式のそれぞれの係数ｋ，ｋ’，…の基数分解に基づいて実装できる。例えば、スカラー４３９は、多項式の定数係数ｋを表すことができ、そして、多項式の追加の係数ｋ’，…を用いて拡張することができる。定数係数ｋの基数分解の桁ｋ_ｉ、４３１－４３３は、それぞれの係数ｋ，ｋ’，…の桁を含む多項式ｋ_ｉ＋ｋ_ｉ’ｘ＋…に拡張できる。したがって、多項式４３１－４３３は、本明細書に説明されるように、多項式のそれぞれの係数の基数分解を決定することによって決定され得る。準同型乗算は、値の暗号文４４１－４４３をそれぞれの多項式４３１－４３３により準同型乗算することによって行うことができる。したがって、この場合、暗号化された値の定数係数ｋによる準同型乗算、および多項式の他の係数ｋ’による準同型乗算は、多項式による暗号化された値の準同型乗算のサブ演算である。

【0158】

図４ｂは、ノイジーな準同型暗号文のキー切り替えを行うためのデバイス４０１の実施形態の例を概略的に示す。デバイス４０１は、例えば、図１ａまたは図１ｂのデバイス１１０に基づくことができる。

【0159】

デバイス４０１は、ソース暗号文４６０を取得するように構成され得る。ソース暗号文４６０は、ソース暗号化キーの下でソース暗号化された値を暗号化するノイジーな準同型暗号化であり得る。デバイス４０１は、同じソース暗号化された値を、異なるターゲット暗号化キーの下で暗号化するターゲット暗号文４９０を決定することができる。異なるキーの下で同じ値の暗号化をこのように決定することは、キー切り替えとも呼ばれる。本明細書で提供される技術を使用することにより、ターゲット暗号文４９０をより少ないノイズで取得することができる。

【0160】

具体例として、提供された技術は、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」のアルゴリズム２で提供されるキー切り替え技術で使用できる。特に、この技術は、ＴＬＷＥからＴＬＷＥへのキー切り替えを行うために使用でき、例えば、論文のアルゴリズム２のＮ＝１である。

【0161】

キー切り替えは、暗号化の下で、１つ以上のキー切り替え値の線形結合の計算に基づいて行える。デバイス４０１は、暗号化された形式でこれらのそれぞれのキー切り替え値を含むキー切り替え情報４８０を取得することができる。それぞれのキー切り替え値の暗号文は、キー切り替え値を暗号化するノイジーな準同型暗号文であり得、キー桁とも呼ばれ、ターゲット暗号化キーの下で基数のそれぞれの累乗により乗算される。キー切り替え値の暗号文は、キー切り替えキーとも呼ばれる。「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」では、キー切り替えキーはＫＳ_ｉ，ｊと示されている。

【0162】

デバイス４０１は、ソース暗号文から、それぞれの暗号化されたキー切り替え値４８０のそれぞれの係数ａ’_ｉ４６１－４６３を決定することができる係数計算ユニット４２３を備えることができる。これがなされる方法は、適用される正確なキー切り替え手順に依存する。デバイス４０１は、基数分解ユニット４２１をさらに含み得る。基数分解ユニット４２１は、本明細書に説明されるように、それぞれの係数ａ’_ｉに対応する係数ａ’_ｉ，１，…，ａ’_ｉ，ｔのそれぞれのセットを決定することができる。係数のセットは、暗号化されたキー切り替え値を係数４６１－４６３により乗算するために使用され得る。したがって、係数計算ユニット４２３および基数分解ユニット４２１は、一緒になって、キー切り替え値の暗号文

【数71】

と乗算されるべきそれぞれの係数ａ’_ｉ，ｊを決定することができる。

【0163】

例えば、論文「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」では、係数

【数72】

が決定され、キー切り替えキーＫＳ_ｉ，ｊと乗算される。これらの係数は

【数73】

のビット分解

【数74】

として決定される。ＴＬＷＥからＴＬＷＥへのキー切り替えの場合、係数

【数75】

はビットである。この係数の計算は、本明細書で説明するように、基数分解ユニット４２１に係数ａ’_ｉ，ｊを

【数76】

の基数２の基数分解として計算させることにより、提供された技術を使用して改善することができ、＋１だけでなく－１も係数として可能である。この技術は、

【数77】

が任意の基数Ｂ＞２に対して

【数78】

として分解されるより高い基数にも適用できる。

【0164】

デバイス４０１は、例えば、本明細書に説明される暗号化乗算ユニットを使用して、本明細書に説明されるそれぞれの暗号化されたキー切り替え値４８０をそれぞれの係数４７０により準同型的に乗算することを含む、ターゲット暗号文４９０を計算するターゲット暗号文計算ユニット４２４をさらに備え得る。例えば、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」のキー切り替え手順では、ターゲット暗号文４９０は、元のアルゴリズムの係数

【数79】

の代わりに係数ａ’_ｉ，ｊを使用して、

【数80】

として計算される。

【0165】

他のさまざまなキー切り替え技術は、提供される技術を使用して同様に改善され得る。特に、キー切り替えには、多項式によりキー切り替え値において乗算することが含まれ得る。これには、この図で説明されているように行えるサブ演算として、キー切り替え値をスカラー、例えば多項式の定数係数により乗算することが含まれ得る。例えば、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」のキー切り替え技術は、ＴＬＷＥからＴＲＬＷＥへのキー切り替えに使用でき、そこでは係数

【数81】

は多項式である。この図の例は、このキー切り替え手順を改善するために容易に一般化することができ、例えば、基数分解は、多項式の係数のそれぞれについて本明細書で説明されているように決定でき、これらの基数分解は、多項式による乗算を行うために使用できる。

【0166】

多項式の代わりに、または多項式を使用することに加えて、２より高い基数もキー切り替えに使用できる。このような場合、それぞれのキー切り替え値が乗算されるそれぞれの係数について、基数が２より高い基数分解を決定できる。例えば、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」のキー切り替えをより高い基数に応用したものは、「Ｐｒｏｇｒａｍｍａｂｌｅ Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｅｎａｂｌｅｓ Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｉｎｆｅｒｅｎｃｅ ｏｆ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ」で説明される。提供された技術は、そのキー切り替え手順で使用される基数分解を改善するためにも使用できる。

【0167】

図５ａは、暗号化乗算ユニットによって使用するための係数のセットを決定する方法５００の実施形態の例を概略的に示す。暗号化乗算ユニットは、暗号化された値をスカラーにより準同型的に乗算するように構成され得る。暗号化された値は、複数のそれぞれの値の暗号文により表すことができる。それぞれの値の暗号文は、基数のそれぞれの累乗により乗算された値を暗号化するノイジーな準同型暗号文である。暗号化乗算ユニットは、係数のセットに従って、複数のそれぞれの値の暗号文の線形結合を準同型的に計算するように構成され得る。暗号化された乗算自体は、方法５００の一部ではない。

【0168】

方法５００は、スカラーおよび基数を取得すること５１０を含むことができる。基数は偶数であり得る。

【0169】

方法５００は、係数のセットを、基数に関するスカラーの基数分解の桁として決定すること５２０を含み得る。決定された桁は、マイナスの基数の半分、含んでいる、と、プラスの基数の半分、含んでいる、の間にあり得る。決定すること５２０は、後続の２つの桁が両方とも絶対値において基数の半分に等しくないことを保証すること５２１を含み得る。

【0170】

方法５００は、暗号化された値をスカラーにより準同型的に乗算するために、暗号化乗算ユニットに係数のセットを提供すること５３０を含み得る。

【0171】

図５ｂは、暗号化された値の準同型スカラー乗算を行う方法５００’の実施形態の例を概略的に示す。方法５００’は、暗号化乗算ユニットにより、係数のセットに従って複数のそれぞれの値の暗号文の線形結合を準同型的に計算することによって、暗号化された値をスカラーにより準同型的に乗算すること５４０をさらに含むことを除き、図５ａの方法５００と同じである。

【0172】

図６は、ノイジーな準同型暗号文のためのキー切り替え方法６００の実施形態の例を概略的に示す。

【0173】

方法６００は、それぞれの暗号化されたキー切り替え値、例えばキー桁を含むキー切り替え情報を取得すること６１０を含み得る。暗号化されたキー切り替え値は、複数のそれぞれのキー切り替え値の暗号文によって表すことができる。それぞれのキー切り替え値の暗号文は、キー切り替え値、例えば、ターゲット暗号化キーの下での基数のそれぞれの累乗により乗算されたキー桁を暗号化する、ノイジーな準同型暗号文であり得る。

【0174】

方法６００は、ソース暗号文を取得すること６２０を含み得る。ソース暗号文は、ソース暗号化キーの下でソース暗号化された値を暗号化するノイジーな準同型暗号化であり得る。

【0175】

方法６００は、ソース暗号文から、それぞれの暗号化されたキー切り替え値のそれぞれ係数を決定すること６３０を含み得る。

【0176】

方法６００は、ターゲット暗号化キーの下でソース暗号化された値を暗号化するターゲット暗号文を計算すること６４０を含むことができる。計算すること６４０は、本明細書に説明される方法、例えば、図５ｂの方法５００’に従って、それぞれの暗号化されたキー切り替え値をそれぞれの係数により準同型的に乗算すること５００’を含み得る。

【0177】

図７は、計算を準同型実行可能ファイルにコンパイルする方法７００の実施形態の例を概略的に示す。準同型実行可能ファイルは、暗号化計算エンジンによって実行可能であり得る。準同型実行可能ファイルは、暗号化計算エンジンにノイジーな準同型暗号文上で計算を行わせ得る。計算は、値をスカラーにより乗算することを含み得る。

【0178】

方法７００は、本明細書に説明される方法、例えば図５ａの方法５００に従って、暗号化された値としての値をスカラーにより準同型的に乗算する際に使用する係数を決定すること５００を含んでもよい。

【0179】

方法７００は、暗号化された値をスカラーにより準同型スカラー乗算するための１つ以上の命令を準同型実行可能ファイルに含めること７２０を含むことができる。１つ以上の命令は、決定された係数を含み得る。

【0180】

当業者には明らかであろうように、方法５００、５００’、６００、７００を実行する多くの異なる方法が可能である。例えば、ステップの順序は示されている順序で行うことができるが、ステップの順序を変えることができるか、またはいくつかのステップを並行して実行することができる。さらに、ステップの間に他の方法ステップを挿入することができる。挿入されたステップは、本明細書に説明されるような方法の改良を表すことができ、または方法とは無関係であり得る。例えば、いくつかのステップは、少なくとも部分的に、並行して実行され得る。さらに、所与のステップは、次のステップが開始される前に完全に終了していない可能性がある。

【0181】

方法の実施形態は、プロセッサシステムに方法５００、５００’、６００、または７００を行わせるための命令を含むソフトウェアを使用して実行することができる。ソフトウェアは、システムの特定のサブエンティティによってとられるステップのみを含むことができる。ソフトウェアは、ハードディスク、フロッピー、メモリ、光ディスクなどの適切なストレージ媒体に記憶することができる。ソフトウェアは、有線、無線、またはデータネットワーク、例えば、インターネット、を信号として送られ得る。ソフトウェアは、ダウンロードおよび／またはサーバでのリモート使用のために利用可能にすることができる。本方法の実施形態は、プログラマブルロジック、例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を構成するように構成されたビットストリームを使用して実行されて、本方法を行うことができる。

【0182】

現在開示されている主題はまた、現在開示されている主題を実施するように適合されたコンピュータプログラム、特にキャリア上またはキャリア内のコンピュータプログラムにも及ぶことが理解されよう。プログラムは、ソースコード、オブジェクトコード、コード中間ソース、および部分的にコンパイルされた形式などのオブジェクトコードの形式、または方法の実施形態の実装での使用に適した他の形式であり得る。コンピュータプログラム製品に関する実施形態は、記載された方法のうちの少なくとも１つの処理ステップのそれぞれに対応するコンピュータ実行可能命令を含む。これらの命令は、サブルーチンに細分され、および／または静的もしくは動的にリンクされ得る１つ以上のファイルに記憶され得る。コンピュータプログラム製品に関する別の実施形態は、記載されたシステムおよび／または製品のうちの少なくとも１つのデバイス、ユニット、および／または部品のそれぞれに対応するコンピュータ実行可能命令を含む。

【0183】

通常、本明細書、例えば図１ａ－１ｃに説明されるデバイスは、システムに記憶された適切なソフトウェアを実行する１つ以上のマイクロプロセッサを備える；例えば、そのソフトウェアは、対応するメモリ、例えば、ＲＡＭなどの揮発性メモリまたはフラッシュなどの不揮発性メモリにダウンロードおよび／または記憶されてよい。あるいは、システムは、全体的または部分的に、例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）として、プログラマブルロジックで実装することができる。システムは、全体的または部分的に、いわゆる特定用途向け集積回路（ＡＳＩＣ）、例えば、それらの特定の用途のためにカスタマイズされた集積回路（ＩＣ）として実装され得る。例えば、回路は、例えば、Ｖｅｒｉｌｏｇ、ＶＨＤＬなどのハードウェア記述言語を使用して、ＣＭＯＳで実装され得る。特に、システムは、暗号プリミティブの評価のための回路を含み得る。

【0184】

プロセッサ回路は、例えば、複数のサブプロセッサ回路として、分散された様式で実装することができる。ストレージは、複数の分散されたサブストレージに分散できる。メモリの一部または全部は、電子メモリ、磁気メモリなどであり得る。例えば、ストレージは揮発性部分と不揮発性部分とを有することができる。ストレージの一部は読み出し専用にすることができる。

【0185】

図８ａは、書き込み可能な部分１０１０を有するコンピュータ可読媒体１０００と、やはり書き込み可能な部分を有するコンピュータ可読媒体１００１とを示している。コンピュータ可読媒体１０００は、光学的可読媒体の形態で示されている。コンピュータ可読媒体１００１は、電子メモリ、この場合はメモリカードの形態で示されている。コンピュータ可読媒体１０００および１００１は、データ１０２０を記憶することができ、データは、プロセッサシステムによって実行されると、プロセッサシステムに実施形態によるブラインドローテーション（ｂｌｉｎｄ ｒｏｔａｔｉｏｎ）方法の実施形態を行わせる命令を示すことができる。代わりに、またはさらに、データは、本明細書に説明されるように計算がコンパイルされる準同型実行可能ファイルを表すことができる。

【0186】

データ１０２０は、物理的マークとして、またはコンピュータ可読媒体１０００の磁化によって、コンピュータ可読媒体１０００上に具現化され得る。しかし、他の任意の適切な実施形態も考えられる。さらに、コンピュータ可読媒体１０００はここでは光ディスクとして示されているが、コンピュータ可読媒体１０００は、ハードディスク、ソリッドステートメモリ、フラッシュメモリなどの任意の適切なコンピュータ可読媒体であってもよく、記録不可能であっても記録可能であってもよいことが理解されるであろう。コンピュータプログラム１０２０は、プロセッサシステムに係数を決定する前記方法を行わせるための命令を含む。

【0187】

図８ｂは、係数のセットを決定するためのデバイスの一実施形態によるプロセッサシステム１１４０の概略図を示す。プロセッサシステムは、１つ以上の集積回路１１１０を備える。１つ以上の集積回路１１１０のアーキテクチャは、図６ｂに概略的に示されている。回路１１１０は、コンピュータプログラム構成要素を実行して、実施形態による方法を実行するため、および／またはそのモジュールもしくはユニットを実装するための処理ユニット１１２０、例えばＣＰＵを備える。回路１１１０は、プログラミングコード、データなどを記憶するためのメモリ１１２２を備える。メモリ１１２２の一部は、読み出し専用であり得る。回路１１１０は、通信素子１１２６、例えばアンテナ、コネクタ、またはその両方などを備え得る。回路１１１０は、方法で定義された処理の一部または全部を行うための専用の集積回路１１２４を備え得る。プロセッサ１１２０、メモリ１１２２、専用ＩＣ１１２４、および通信素子１１２６は、相互接続１１３０、例えばバスを介して相互に接続することができる。プロセッサシステム１１１０は、それぞれアンテナおよび／またはコネクタを使用して、接触および／または非接触通信のために構成されることができる。

【0188】

例えば、一実施形態では、プロセッサシステム１１４０、例えば、係数のセットを決定するためのデバイスは、プロセッサ回路およびメモリ回路を備え得、プロセッサは、メモリ回路に記憶されたソフトウェアを実行するように構成される。例えば、プロセッサ回路は、Ｉｎｔｅｌ Ｃｏｒｅｉ７プロセッサ、ＡＲＭ Ｃｏｒｔｅｘ－Ｒ８などであり得る。一実施形態では、プロセッサ回路はＡＲＭ Ｃｏｒｔｅｘ Ｍ０であり得る。メモリ回路は、ＲＯＭ回路、または不揮発性メモリ、例えばフラッシュメモリであり得る。メモリ回路は、揮発性メモリ、例えばＳＲＡＭメモリであり得る。後者の場合、デバイスは、ソフトウェアを提供するように構成された不揮発性ソフトウェアインターフェース、例えば、ハードドライブ、ネットワークインターフェースなどを備え得る。

【0189】

デバイス１１１０は、説明された各構成要素の１つを含むものとして示されているが、さまざまな構成要素が、さまざまな実施形態において複製され得る。例えば、プロセッサ１１２０は、複数のマイクロプロセッサを含み得、複数のマイクロプロセッサは、本明細書に説明される方法を独立して実行するように構成されるか、または複数のプロセッサが本明細書に説明される機能を達成するために協力するように本明細書に説明される方法のステップまたはサブルーチンを行うように構成される。さらに、デバイス１１１０がクラウド計算システムに実装されている場合、さまざまなハードウェア構成要素は、別個の物理システムに属し得る。例えば、プロセッサ１１２０は、第１のサーバに第１のプロセッサを含み、第２のサーバに第２のプロセッサを含み得る。

【0190】

上記の実施形態は、現在開示されている主題を限定するのではなく、例示しており、当業者は多くの代替実施形態を設計することができることに留意されたい。

【0191】

請求項では、括弧の間に配置された参照符号は、請求項を限定するものと解釈されないものとする。動詞「含む」とその活用の使用は、請求項に規定されているもの以外の要素またはステップの存在を排除するものではない。要素に先行する冠詞「１つの（ａ）」または「１つの（ａｎ）」は、そのような複数の要素の存在を排除するものではない。要素のリストに先行するときの「のうちの少なくとも１つ」などの表現は、リストからの要素のすべてまたは任意のサブセットの選択を表す。例えば、「Ａ、Ｂ、およびＣのうちの少なくとも１つ」という表現は、Ａのみ、Ｂのみ、Ｃのみ、ＡとＢの両方、ＡとＣの両方、ＢとＣの両方、またはＡ、Ｂ、およびＣのすべてを含むものとして理解されるべきである。現在開示されている主題は、いくつかの異なる要素を含むハードウェアによって、および適切にプログラムされたコンピュータによって実装され得る。いくつかの部分を列挙するデバイス請求項では、これらの部分のいくつかは、ハードウェアの１つの同じアイテムによって具現化され得る。特定の手段が相互に異なる従属請求項に記載されているという事実だけでは、これらの手段の組み合わせが有利に使用され得ないことを示さない。

【0192】

請求項において、括弧内の参照は、例示的な実施形態の図面における参照符号または実施形態の式を指し、したがって、請求項の明瞭度を増加させる。これらの参照は、請求項を限定するものと解釈してはならない。

【図1a】

【図1b】

【図1c】

【図2a】

【図2b】

【図3a】

【図3b】

【図4a】

【図4b】

【図5a】

【図5b】

【図6】

【図7】

【図8a】

【図8b】

【国際調査報告】