特表 2024-546472 ブラインド回転を含む暗号化計算

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-12-24

(54)【発明の名称】ブラインド回転を含む暗号化計算

(51)【国際特許分類】

   G09C 1/00 20060101AFI20241217BHJP

【ＦＩ】

G09C1/00 620Z

【審査請求】有

【予備審査請求】未請求

(21)【出願番号】P 2024534003

(86)(22)【出願日】2022-11-24

(85)【翻訳文提出日】2024-08-05

(86)【国際出願番号】 EP2022083120

(87)【国際公開番号】W WO2023104531

(87)【国際公開日】2023-06-15

(31)【優先権主張番号】21290080.7

(32)【優先日】2021-12-07

(33)【優先権主張国・地域又は機関】EP

(31)【優先権主張番号】22315182.0

(32)【優先日】2022-08-11

(33)【優先権主張国・地域又は機関】EP

(81)【指定国・地域】

【公序良俗違反の表示】

（特許庁注：以下のものは登録商標）

１．ＶＥＲＩＬＯＧ

(71)【出願人】

【識別番号】523168881

【氏名又は名称】ザマ・エス・ア・エス

(74)【代理人】

【識別番号】110001173

【氏名又は名称】弁理士法人川口國際特許事務所

(72)【発明者】

【氏名】ジョワ，マルク・フランソワ

(72)【発明者】

【氏名】バルター，ミヒャエル

(57)【要約】

いくつかの実施形態は、暗号法的暗号化計算方法（４００）を目的とする。方法は、テスト多項式に従って暗号文のブラインド回転を行うことを伴う。ブラインド回転は、テスト多項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするブートストラッピング単項式との暗号化された多項式積を生じ、ブートストラッピング単項式は、平文値を指数として表す。商多項式ｐ（Ｘ）は、モジュラスｑを法とする数論変換を可能にするＮＴＴ多項式Ｘ^Ｍ－１を割り切り、例えば、ｑは２の累乗であり、ｐ（Ｘ）＝Ｘ^Ｎ＋Ｘ^Ｎ／２＋１である。ブラインド回転は、ＮＴＴを使用することによってより効率的になり、テスト多項式は、多項式積がそれぞれの平文値に対する所望の出力値を固定係数として有するようにプログラムされるように定義される。

【特許請求の範囲】

【請求項1】

暗号法的暗号化計算方法（４００）であって、
－ 平文値を暗号化する暗号文を取得すること（４１０）と、
－ テスト多項式に従って暗号文のブラインド回転を行うこと（４２０）であって、ブラインド回転が、テスト多項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするブートストラッピング単項式との暗号化された多項式積を生じ、ブートストラッピング単項式が平文値を指数として表す、こと（４２０）と、
を含み、
商多項式（ｐ（Ｘ））が、モジュラス（ｑ）を法とする数論変換を可能にするＮＴＴ多項式（Ｘ^Ｍ－１）を割り切り、ブラインド回転を行うことが、数論変換を使用して多項式乗算を行うこと（４２５）を含み、テスト多項式が、多項式積が平文値に対する所望の出力値を固定係数として有するように定義される、方法（４００）。

【請求項2】

暗号文が、ＬＷＥ型暗号文である、請求項１に記載の方法（４００）。

【請求項3】

暗号文が、ＮＴＲＵ型暗号文からの変換によって取得される、請求項２に記載の方法（４００）。

【請求項4】

暗号文が、ＮＴＲＵ型暗号文である、請求項１に記載の方法（４００）。

【請求項5】

入力暗号文を取得することと、暗号文を取得するために入力暗号文に対してモジュラススイッチングを行うことと、ブラインド回転を行うことと、固定係数の暗号化を計算された暗号化された多項式積から抽出するためにサンプル抽出を行うこととによって、プログラマブルブートストラッピングを行うことを含む、請求項１から４のいずれか一項に記載の方法（４００）。

【請求項6】

ブラインド回転を行うことが、ブートストラッピング鍵に含まれるガジェット暗号文との暗号文の外部積を計算することを含み、外部積を計算する多項式乗算が数論変換を使用して行われる、請求項１から５のいずれか一項に記載の方法（４００）。

【請求項7】

商多項式が、Ｘ^Ｎ＋１に等しくない、請求項１から６のいずれか一項に記載の方法（４００）。

【請求項8】

商多項式の次数（Ｎ）が、ＮＴＴ多項式の次数（Ｍ）の半分より厳密に大きい、請求項１から７のいずれか一項に記載の方法（４００）。

【請求項9】

モジュラス（ｑ）が、２の累乗である、請求項１から８のいずれか一項に記載の方法（４００）。

【請求項10】

モジュラス（ｑ）が素数であり、ＮＴＴ多項式の次数（Ｍ）がモジュラスから１を引いた値を割り切る、請求項１から８のいずれか一項に記載の方法（４００）。

【請求項11】

モジュラスが、１０・３^１８＋１または４・３^３９＋１に等しい、請求項１０に記載の方法（４００）。

【請求項12】

商多項式が、Ｘ^Ｎ＋Ｘ^Ｎ／２＋１またはＸ^Ｎ－Ｘ^Ｎ／２＋１に等しい、請求項１から１１のいずれか一項に記載の方法（４００）。

【請求項13】

ＮＴＴ多項式の次数が３の累乗であり、商多項式の次数がＮＴＴ多項式の次数の３分の２である、請求項１から１２のいずれか一項に記載の方法（４００）。

【請求項14】

固定係数が、定数係数または主係数である、請求項１から１３のいずれか一項に記載の方法（４００）。

【請求項15】

請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式を決定する方法（５００）であって、暗号化計算方法が、ブートストラッピング単項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするテスト多項式との多項式積を計算することであって、商多項式（ｐ（Ｘ））が、ＮＴＴ多項式を割り切る、ことを含み、方法が、
－ それぞれの平文値に対する所望の出力値を定義するルックアップテーブルを取得すること（５１０）と、
－ モジュラス、商多項式、およびＮＴＴ多項式を取得すること（５２０）と、
－ 多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算すること（５３０）と
を含む、方法（５００）。

【請求項16】

暗号化計算デバイス（１１０、１１２）であって、
－ 平文値を暗号化した暗号文を記憶するためのストレージ（１４０）、
－ テスト多項式に従って暗号文のブラインド回転を行うように構成されるプロセッササブシステム（１３０）であって、ブラインド回転が、テスト多項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするブートストラッピング単項式との暗号化された多項式積を生じ、ブートストラッピング単項式が平文値を指数として表す、プロセッササブシステム（１３０）
を備え、
商多項式（ｐ（Ｘ））が、モジュラス（ｑ）を法とする数論変換を可能にするＮＴＴ多項式（Ｘ^Ｍ－１）を割り切り、ブラインド回転を行うことが、数論変換を使用して多項式乗算を行うことを含み、テスト多項式が、多項式積が平文値に対する所望の出力値を固定係数として有するように定義される、暗号化計算デバイス（１１０、１１２）。

【請求項17】

請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式を決定するためのデバイス（１１１、１１２、１１３、１１９）であって、暗号化計算方法が、ブートストラッピング単項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするテスト多項式との多項式積を計算することであって、商多項式（ｐ（Ｘ））がＮＴＴ多項式を割り切る、ことを含み、デバイスが、
－ それぞれの平文値に対する所望の出力値を定義するルックアップテーブルを記憶するストレージ（１４９）、
－ プロセッササブシステム（１３９）であって、
－ モジュラス、商多項式、およびＮＴＴ多項式を取得し、
－ 多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算する
ように構成される、プロセッササブシステム（１３９）
を備える、デバイス（１１１、１１２、１１３、１１９）。

【請求項18】

一時的または非一時的コンピュータ可読記憶媒体（１０００）であって、
－ プロセッサシステムによって実行されると、プロセッサシステムに請求項１から１４のいずれか一項に記載の方法を行わせる、および／または請求項１５に記載の方法を行わせる命令、および／または、
－ 請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式
を表すデータを含む、一時的または非一時的コンピュータ可読記憶媒体（１０００）。

【発明の詳細な説明】

【技術分野】

【0001】

本開示の主題は、暗号法的暗号化計算方法、テスト多項式を決定する方法、対応するデバイス、およびコンピュータ可読媒体に関する。

【背景技術】

【0002】

準同型暗号法は、暗号化計算：ある当事者によって暗号化されたデータで、その当事者が復号できないデータに対して行われる計算、例えば回路評価を行うことを可能にする。例えば、入力データおよび計算結果は、暗号化された形式で受信され返され得る。中間データ、例えば計算の内部状態も、暗号化された形式であり得る。

【0003】

計算結果が暗号化された形式で返されるにもかかわらず、復号時の出力は、演算が暗号化されていないデータに対して行われた場合と同じかまたは非常に近いことが期待される。準同型暗号化は、プライバシー保護するアウトソーシング型のストレージおよび計算に使用され得る。これは、データが暗号化され、暗号化されている間は全て、処理および／またはストレージについてクラウド環境にアウトソーシングされることを可能にする。

【0004】

例えば、準同型暗号法は、プライバシー規定がプレーンデータを共有することを困難にする場合があるヘルスケアなどの分野で適用されることがあるが、暗号化された医療データに対する計算は許容され得る。例えば、医療データを例えば分類するために展開される医療モデルは、第三者、例えば病院から、医療データを暗号化された形式で受信するように構成され得る。医療モデルは、例えば、正常もしくは異常として、または何らかの特定の医療症候群、疾患、もしくはその他の障害を有するとして、例えば医療データを分類し得る。準同型暗号化を使用すると、医療モデルは、暗号化された形式で受信された医療データに適用され得る。これは、医療モデルを提供する当事者が、暗号化された医療データに対応するプレーンな医療データにアクセスできないことを意味する。サービスのユーザは、医療モデル適用の結果を復号し得る。

【0005】

特に、少なくとも原理的に、暗号化されたデータに対して任意の関数を計算するために使用され得る準同型暗号法技術が存在する。そのような技術は、「完全準同型暗号化」（ＦＨＥ）技術と呼ばれる。

【0006】

ＦＨＥの知られている実装形態は、セキュリティの理由からノイジーな暗号文を使用する。例えば、データアイテムの暗号化は、鍵依存格子内の点にデータアイテムをマッピングすることを含んでもよく、その点にノイズが追加される。特に、ＦＨＥの多くの知られている実装形態は、ＬＷＥ型暗号文を使用しており、そのセキュリティは、エラーを伴う学習（Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ）問題の暗号の強度に依存する。そのようなＬＷＥ型暗号文は、１つ以上のマスク値（例えば、あるモジュラス（ｍｏｄｕｌｕｓ）ｑを法とする値、またはトーラス要素）に加えて、マスク値から導出され暗号鍵を使用して平文（ｐｌａｉｎｔｅｘｔ）から導出され、ノイズを含むボディ（ｂｏｄｙ）値を含み得る。この変形がＧＬＷＥ型暗号文であり、スカラー値の代わりに多項式を暗号化して使用する。ＦＨＥの他の知られている実装形態は、ＮＴＲＵ型暗号文を使用しており、それには同じ考察の大部分が当てはまる。

【0007】

データアイテムが暗号化されたばかりのとき、ノイズは低く、暗号化はフレッシュである。例えば、データアイテムが復号される場合に、復号プロセスのある時点でのノイズは、例えば丸めることによって除去され得るほど量が少ない。一方、ノイズは、システムに対する攻撃を十分困難にするほど高くあるべきである。例えば、仮にノイズがない場合、多くの準同型暗号化方式は、線形代数、または他の効率的アルゴリズム、例えば格子簡約（ｌａｔｔｉｃｅ ｒｅｄｕｃｔｉｏｎ）アルゴリズムで攻撃される場合がある。データアイテムが暗号化されるとき、準同型演算がやはり行われることができ、復号が依然として可能である一方で、攻撃が困難であるように選択されたノイズが追加される。

【0008】

大抵の準同型演算は、準同型暗号化されたデータアイテムに固有のノイズを増加させる。多くのそのような演算が行われるとき、ノイズが、一意な復号がもはや可能でなくなるようなレベルに達することがある。一般に、準同型暗号化された値のノイズを低減させるために、ブートストラッピングと呼ばれる技術を使用することが知られている。ブートストラッピングは、ブートストラッピング鍵と呼ばれる公開鍵を使用し得る。必要な場合にブートストラッピングを使用してノイズを低減させることによって、原理的には任意の所望の数の準同型演算を計算することが可能である。

【0009】

特定のクラスの完全準同型暗号化方式が、ＴＦＨＥに類似の準同型暗号化方式である。そのような方式が、Ｉ．Ｃｈｉｌｌｏｔｔｉら、「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ ｅｆｆｉｃｉｅｎｔ ｈｏｍｏｍｏｒｐｈｉｃ ｉｎｆｅｒｅｎｃｅ ｏｆ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」、Ｃｙｂｅｒ Ｓｅｃｕｒｉｔｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ（ＣＳＣＭＬ ２０２１）、ｖｏｌ．１２７１６ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ、１－１９頁、Ｓｐｒｉｎｇｅｒ、２０２１年（引用により本明細書に組み込まれる）に記載されている。ＴＦＨＥに類似の方式は、ブートストラッピングのための比較的非常に効率的な技術をサポートすることによって、他のＦＨＥ方式とは差別化され；加えて、それらは同時にブートストラップ演算中に関数を評価することを可能にし、これはプログラマブルブートストラッピング（ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ）と呼ばれる。通常の（ｒｅｇｕｌａｒ）ブートストラッピングは、恒等関数を用いたプログラマブルブートストラッピングに対応する。

【0010】

このプログラマブルブートストラッピング技術は、いわゆるブラインド回転（ｂｌｉｎｄ ｒｏｔａｔｉｏｎ）を行うことによって、暗号文（例えば、ＬＷＥ型暗号文）中のノイズを低減させ得る。ブラインド回転は、その係数

【数1】

のそれぞれが、スケールされた平文値ｉに対応する所望の出力値を符号化するように定義されたテスト多項式

【数2】

を使用し得る。ブラインド回転は、暗号化されたブートストラッピング単項式（例えば、ＧＬＷＥ暗号化された）の指数の復号（例えば、ＬＷＥ復号）を準同型的に評価することを含んでもよく、テスト多項式

【数3】

とブートストラッピング単項式

【数4】

との暗号化された（例えば、ＧＬＷＥ暗号化された）多項式積

【数5】

を結果として生じる。結果として得られた多項式積は、モジュラスｑ＝２^Ωおよび多項式Ｘ^Ｎ＋１を法として定義された暗号文として暗号化される。ここで、Ｎは、２の累乗である。スケールされた平文値の最上位ビットが０に設定されることが保証され得る。この場合、多項式積

【数6】

は、その定数係数として

【数7】

に対する所望の出力値を有する。これは、暗号化が商多項式Ｘ^Ｎ＋１を法として定義されるためである。即ち、商多項式Ｘ^Ｎ＋１のこの特定の選択により、恒等式Ｘ^ｋ＝－Ｘ^ｋ＋Ｎが成り立ち、それによって

【数8】

である。係数は、その後所望の出力値の暗号化を取得するために抽出され得る。

【0011】

興味深いことに、ブラインド回転の出力は、入力暗号文中のノイズとは無関係のある量のノイズを有する。したがって、ブラインド回転を含むプログラマブルブートストラッピングを行うことによって、可能な限り同時に関数を入力暗号文に適用しながら、入力暗号文中のノイズが固定量まで低減され得る。適切なときにプログラマブルブートストラッピングを行うことによって、乗算の複雑度が無制限の暗号化計算を行うことが可能である。

【0012】

知られているプログラマブルブートストラッピング、および特にそのブラインド回転には、いくつかの制限がある。第１に、ブラインド回転は、典型的には、スケールされた平文値の最上位ビットが０に設定されていることを必要とし、言い換えると、値がプログラムされ得る平文の比率は、１／２でしかない。第２に、知られているブラインド回転は、モジュラスｑ＝２^Ωおよび多項式Ｘ^Ｎ＋１を法とする多数の多項式乗算を計算することを必要とし、ここでＮは２の累乗である。そのような多項式乗算は、計算コストが高く、ブラインド回転を行うこと、したがってプログラマブルブートストラッピングを行うことは、やはり比較的計算コストが高くなる。

【先行技術文献】

【特許文献】

【0013】

【特許文献1】欧州特許出願公開第２１２９００２５号明細書

【非特許文献】

【0014】

【非特許文献1】Ｉ．Ｃｈｉｌｌｏｔｔｉら、「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ ｅｆｆｉｃｉｅｎｔ ｈｏｍｏｍｏｒｐｈｉｃ ｉｎｆｅｒｅｎｃｅ ｏｆ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」、Ｃｙｂｅｒ Ｓｅｃｕｒｉｔｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ（ＣＳＣＭＬ ２０２１）、ｖｏｌ．１２７１６ ｏｆ Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ、１－１９頁、Ｓｐｒｉｎｇｅｒ、２０２１年

【非特許文献2】Ｊ．ｖｏｎ ｚｕｒ ＧａｔｈｅｎおよびＪ．Ｇｅｒｈａｒｄ、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」、Ｃａｍｂｒｉｄｇｅ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ、第３版、２０１３年、第８章

【非特許文献3】Ｄ．Ｊ．Ｂｅｒｎｓｔｅｉｎ、「Ｍｕｌｔｉｄｉｇｉｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｆｏｒ ｍａｔｈｅｍａｔｉｃｉａｎｓ」、Ｕｎｐｕｂｌｉｓｈｅｄ ｍａｎｕｓｃｒｉｐｔ、ｈｔｔｐｓ：／／ｃｒ．ｙｐ．ｔｏ／ｐａｐｅｒｓ．ｈｔｍｌ＃ｍ３において入手可能、２００１年８月

【非特許文献4】Ｃ．Ｂｏｎｔｅら、「ＦＩＮＡＬ：Ｆａｓｔｅｒ ＦＨＥ ｉｎｓｔａｎｔｉａｔｅｄ ｗｉｔｈ ＮＴＲＵ ａｎｄ ＬＷＥ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０７４

【非特許文献5】Ｋ．Ｋｌｕｃｚｎｉａｋ、「ＮＴＲＵ－ν－ｕｍ：Ｓｅｃｕｒｅ Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ＮＴＲＵ ｗｉｔｈ Ｓｍａｌｌ Ｍｏｄｕｌｕｓ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０８９

【非特許文献6】Ｒ．Ｒｏｔｈｂｌｕｍ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ：Ｆｒｏｍ ｐｒｉｖａｔｅ－ｋｅｙ ｔｏ ｐｕｂｌｉｃ－ｋｅｙ」、Ｔｈｅｏｒｙ ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＴＣＣ ２０１１）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅのｖｏｌ．６５９７、２１９－２３４頁、Ｓｐｒｉｎｇｅｒ、２０１１年

【非特許文献7】Ｍ．Ａｌｂｒｅｃｈｔら、「Ｏｎ ｔｈｅ ｃｏｎｃｒｅｔｅ ｈａｒｄｎｅｓｓ ｏｆ Ｌｅａｒｎｉｎｇ ｗｉｔｈ Ｅｒｒｏｒｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｍａｔｈｅｍａｔｉｃａｌ Ｃｒｙｐｔｏｌｏｇｙ、９（３）：１６９－２０３頁、２０１５年

【非特許文献8】Ｉ．Ｃｈｉｌｌｏｔｔｉら、「ＣＯＮＣＲＥＴＥ：Ｃｏｎｃｒｅｔｅ Ｏｐｅｒａｔｅｓ ｏＮ Ｃｉｐｈｅｒｔｅｘｔｓ Ｒａｐｉｄｌｙ ｂｙ Ｅｘｔｅｎｄｉｎｇ ＴｆｈＥ」（ｈｔｔｐｓ：／／ｈｏｍｏｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎ．ｏｒｇ／ｗｐ－ｃｏｎｔｅｎｔ／ｕｐｌｏａｄｓ／２０２０／１２／ｗａｈｃ２０＿ｄｅｍｏ＿ｄａｍｉｅｎ．ｐｄｆにおいて入手可能）

【非特許文献9】Ｈ．Ｎｕｓｓｂａｕｍｅｒ、「Ｆａｓｔ ｐｏｌｙｎｏｍｉａｌ ｔｒａｎｓｆｏｒｍ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｄｉｇｉｔａｌ ｃｏｎｖｏｌｕｔｉｏｎ」、ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ａｃｏｕｓｔｉｃｓ，Ｓｐｅｅｃｈ，ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、２８（２）：２０５－２１５頁、１９８０年

【発明の概要】

【課題を解決するための手段】

【0015】

発明の一態様によれば、特許請求の範囲によって定義されるように、暗号法的暗号化計算方法が提供される。発明のさらなる態様によれば、特許請求の範囲によって定義されるように、そのような暗号化計算方法において使用するためのテスト多項式を決定する方法が提供される。さらなる態様によれば、特許請求の範囲によって定義されるように、これらのコンピュータ実装される方法に対応するデバイスが提供される。別の態様によれば、特許請求の範囲によって定義されるように、コンピュータ可読媒体が提供される。

【0016】

暗号化計算は、例えばプログラマブルブートストラッピングの一部として、暗号文、例えばＬＷＥ型暗号文のブラインド回転を行うことを含み得る。暗号文は、ある平文

【数9】

、例えば元の平文

【数10】

のスケーリングを暗号化し得る。ブラインド回転は、多項式環において、テスト多項式

【数11】

と、平文値を指数として表すブートストラッピング単項式、例えば

【数12】

との暗号化された多項式積、例えば

【数13】

を計算し得る。

【0017】

ブラインド回転は、多項式環におけるいくつかの多項式積を計算することを含み得る。先行技術では、この多項式環は、モジュラスｑおよび商多項式Ｘ^Ｎ＋１を法とする環

【数14】

であり、ここで、ｑおよびＮは、いずれも２の累乗である。発明者は、多項式積はブラインド回転の主要部分であるため、ブラインド回転において多項式積を計算するためにより効率的な技術を使用することが有益であることを認識した。

【0018】

多項式環において効率的な乗算を行うためのそれ自体知られている技術が、数論変換（ｎｕｍｂｅｒ－ｔｈｅｏｒｅｔｉｃ ｔｒａｎｓｆｏｒｍ）（ＮＴＴ）である。ＮＴＴを使用して多項式乗算を行うために、多項式は、ＮＴＴのいわゆるフーリエドメイン表現で表され得る。典型的には、多項式のフーリエドメイン表現は、いくつかのそれぞれの評価点における多項式のいくつかのそれぞれの評価を含む。フーリエドメイン表現のときに、多項式は、例えば評価の点ごとの乗算によって、効率的に乗算され得る。さらに、ＮＴＴを使用すると、多項式のフーリエドメイン表現をその係数表現から（数論変換自体を適用することによって）効率的に計算すること、および係数表現をフーリエドメイン表現から（逆数論変換を使用して）効率的に計算することが可能である。様々な数論変換は、それ自体知られており、例えば、Ｊ．ｖｏｎ ｚｕｒ ＧａｔｈｅｎおよびＪ．Ｇｅｒｈａｒｄ、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」、Ｃａｍｂｒｉｄｇｅ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ、第３版、２０１３年、第８章（ＤＦＴの説明に関する限り、引用により本明細書に組み込まれる）に開示された（その標準形で、ｎ｜ｑ－１である商多項式Ｘ^ｎ－１および素数冪モジュラスｑについて定義された）離散フーリエ変換や、例えば、Ｄ．Ｊ．Ｂｅｒｎｓｔｅｉｎ、「Ｍｕｌｔｉｄｉｇｉｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｆｏｒ ｍａｔｈｅｍａｔｉｃｉａｎｓ」、Ｕｎｐｕｂｌｉｓｈｅｄ ｍａｎｕｓｃｒｉｐｔ、ｈｔｔｐｓ：／／ｃｒ．ｙｐ．ｔｏ／ｐａｐｅｒｓ．ｈｔｍｌ＃ｍ３において入手可能、２００１年８月（ショーンハーゲ（Ｓｃｈｏｎｈａｇｅ）およびヌスバウマー（Ｎｕｓｓｂａｕｍｅｒ）のアルゴリズムの説明に関する限り、引用により本明細書に組み込まれる）に開示されたショーンハーゲのアルゴリズムおよびヌスバウマーのアルゴリズムを含む。

【0019】

このように、「数論変換を使用して」多項式乗算を行うことは、一般に、任意選択で、ＮＴＴおよび／またはその逆を使用して、このフーリエドメイン表現から多項式に、および多項式からフーリエドメイン表現に変換する。ことと組み合わせて、数論変換のフーリエドメインにおける多項式乗算を行うことを指してもよい。

【0020】

残念ながら、先行技術のブラインド回転自体は、数論変換を適用することではより効率的にはならない。効率性の理由から、先行技術は、モジュラスｑ＝２^Ω、例えば、ｑ＝２^３２またはｑ＝２^６４を使用する。同時に、商多項式Ｘ^Ｎ＋１が使用され、何故ならこれは、Ｘ^ｋ＝－Ｘ^ｋ＋Ｎの関係が多項式環において成り立つことを意味するからであり、これは、先行技術のブラインド回転を機能させるのに必要である。しかしながら、これらのパラメータでは、数論変換を適用することは不可能であり、何故ならこれは、Ｘ^Ｎ＋１は、多項式Ｘ^Ｍ－１を割り切ることを必要とするからであり、ここでＭはｑと互いに素である。先行技術で使用されるパラメータでは、Ｎおよびｑの両方が２の累乗であるため、Ｎの倍数はｑと互いに素になることができない。

【0021】

さらに、先行技術を使用すると、使用される多項式環のパラメータを単に変更することでは数論変換によって提供される改善された性能から完全に恩恵を受けることができない。上述の通り、Ｘ^ｋ＝－Ｘ^ｋ＋Ｎの関係から商多項式Ｘ^Ｎ＋１が必要とされる。モジュラスｑ＝２^Ωは、効率的なモジュラ演算を可能にする。

【0022】

興味深いことに発明者は、数論変換と両立し得るブラインド回転を行う方法を発見した。発明者は、テスト多項式との乗算を機能させるためにＸ^ｋ＝－Ｘ^ｋ＋Ｎの関係に依存する必要は必ずしもないことに気付いた。その代わりに、あるモジュラスおよびある商多項式が与えられると、テスト多項式とある平文値のためのブートストラッピング単項式との乗算が、その平文値に対する所望の出力値を固定係数として有するように、テスト多項式を定義することが可能である。そのような場合、先行技術においてそうであったように、テスト多項式の各係数がそれぞれの所望の出力値に対応することはもはやなく、例えば、テスト多項式は、

【数15】

と異なる。それでも、ブラインド回転においてそのようなテスト多項式を使用することによって暗号化された多項式を得ることができ、その多項式から固定係数を抽出することにより所望の出力値が抽出され得る。

【0023】

この改善されたテスト多項式を使用することによって、数論変換が適用される多項式環においてブラインド回転を行うことが可能となる。具体的には、多項式環は、例えば２の累乗であり得るモジュラスｑによって、および例えばＸ^Ｎ＋１とは異なる商多項式ｐ（Ｘ）によって、定義され得る。ここで、商多項式は、ＮＴＴ多項式、即ち、モジュラスｑを法とする数論変換を可能にする多項式を割り切り得る。典型的には、これは、ＮＴＴ多項式がＸ^Ｍ－１に等しく、Ｍがｑと互いに素であることを意味する。そのようなモジュラスおよびそのような商多項式が与えられると、商多項式を法とする多項式乗算は、数論変換のフーリエドメインにおける多項式乗算として、例えばＮＴＴ多項式を法とする多項式乗算として実施され得る。実際に、ＮＴＴ多項式を法とする多項式乗算を計算すること、および商多項式を法とする結果を低減させることは、商多項式を法とする乗算を行うことと同じ結果を与え、例えば、ａ（Ｘ）ｂ（Ｘ） ｍｏｄ ｐ（Ｘ）＝（ａ（Ｘ）ｂ（Ｘ） ｍｏｄ （Ｘ^Ｍ－１）） ｍｏｄ ｐ（Ｘ）であり得る。

【0024】

したがって、ブラインド回転は、モジュラスｑを法とし、およびＮＴＴ多項式を割り切る商多項式ｐ（Ｘ）を法として行われてもよく、それに応じて、ブラインド回転の多項式乗算は、数論変換を使用して実施され得る。このようにして、ブラインド回転の効率性が、知られているブラインド回転と比較して改善される。さらに、モジュラスおよび商多項式を法とする多項式乗算が、暗号化計算の他の演算、例えば、プログラマブルブートストラッピングの一部として任意選択で行われ得るキースイッチングにおいても同様に発生し得るため、これらの他の演算も数論変換を使用することができ、それによって、より効率的にされ得る。

【0025】

実施形態では、モジュラスは２の累乗であり、例えば、モジュラスは、２^３２、２^６４、または２^１２８に等しくてもよい。よって、計算は、環

【数16】

上で行われてもよく、ここでｑは２の累乗である。そのようなモジュラスは、例えば、ＣＰＵのネイティブ命令を使用して、モジュラ演算（例えば、加算および／または乗算）が特に効率的に実施されることを可能にし得る。２の累乗モジュラスは、モジュラスの特定の例であり、それに対して、商多項式Ｘ^Ｎ＋１を法とする知られているブラインド回転は、数論変換を用いて実施できない。これは、Ｘ^Ｍ－１＝（Ｘ^Ｎ＋１）（Ｘ^Ｎ－１）の次数は偶数であり、よってｑと互いに素ではないためである。異なる商多項式、例えばＸ^Ｎ＋Ｘ^Ｎ／２＋１を本明細書で説明されたテスト多項式と組み合わせて使用することによって、興味深いことに、ＮＴＴはそのようなｑと共に使用され得る。

【0026】

実施形態では、ＮＴＴ多項式は、整数ＭについてのＸ^Ｍ－１に等しい。Ｍは、２の累乗であってもよく、または、例えば２の累乗および／もしくは３の累乗の積であってもよい。そのようなＭの値に対して、効率的な数論変換が知られている。商多項式ｐ（Ｘ）は、Ｘ^Ｎ＋１、Ｎ＝Ｍ／２に等しくない場合がある。この場合、Ｘ^ｋ＝－Ｘ^ｋ＋Ｎの関係は成り立たないが、有利なことに、本明細書で説明されるテスト多項式を使用することによって、依然としてＮＴＴが使用されることが可能である。例えば、商多項式ｐ（Ｘ）は、Ｘ^Ｎ＋１に等しくない円分多項式であってもよいが、円分多項式に等しくない商多項式を使用することも可能である。

【0027】

実施形態では、商多項式の次数Ｎは、ＮＴＴ多項式の次数Ｍの半分より厳密に大きい。例えば、商多項式は、Ｘ^Ｎ＋Ｘ^Ｎ／２＋１またはＸ^Ｎ－Ｘ^Ｎ／２＋１に等しくてもよく、ＮＴＴ多項式は、Ｍ＝３Ｎ／２の場合のＸ^Ｍ－１に等しい。これは、それによってブラインド回転、結果として、ブラインド回転がその一部であり得るプログラマブルブートストラッピングも、より広範囲の平文値に対して機能することを可能にするので、特に有利である。

【0028】

具体的には、ブラインド回転が適用される暗号文は、典型的には、ＮＴＴ多項式の次数Ｍを法として定義され、例えば、平文は、Ｍ個の可能な値をとり得る。例えば、暗号文は、入力暗号文がＮＴＴ多項式の次数Ｍにスケールされるブラインド回転によって取得され得る。ブラインド回転は、これらのＭ個の可能な値の中からＮについての所望の出力値を提供することが可能であり得る。これは、何故なら、ブラインド回転が商多項式を法とする多項式乗算に基づいており、商多項式は次数Ｎを有するからである。例えば、先行技術では、Ｍ＝２Ｎで、ブラインド回転は、典型的には、入力平文の最上位ビットが設定されていないことを仮定する。

【0029】

Ｍ／２より厳密に大きい次数Ｎを選択することによって、２分の１より大きな平文の割合がブラインド回転によってプログラムされ得る。例えば、商多項式Ｘ^Ｎ±Ｘ^Ｎ／２＋１（例えば、Ｎは、２×（３の累乗）または４×（３の累乗）である）は、プログラマブル暗号文の割合を２分の１から３分の２まで増加することを可能にする。したがって、ブラインド回転およびプログラマブルブートストラッピングは、より広範囲の入力暗号文に対して機能し得る。例えば、暗号化計算において入力平文の最上位ビットが設定されていないことを保証するために必要な追加の演算が回避されてもよく、それによって、暗号化計算がより効率的になる。

【0030】

実施形態では、ＮＴＴ多項式の次数は、２の累乗および／または３の累乗の積である。このような場合、数論変換は特に効率的であり、数論変換を使用するのは特に有利になる。例えば、ＮＴＴ多項式の次数は、２の累乗であり得る。これは特に効率的である。ＮＴＴ多項式の次数は、３の累乗でもあってもよく、これは、商多項式ｐ（Ｘ）の次数がＮＴＴ多項式の次数の３分の２に設定され、例えば、ｐ（Ｘ）＝Ｘ^Ｎ＋Ｘ^Ｎ／２＋１がＮＴＴ多項式Ｘ^３Ｎ／２－１を割り切り、大きな割合の平文値がプログラムされることを可能にし得るので有利である。

【0031】

実施形態では、モジュラスｑが素数であり、ＮＴＴ多項式の次数Ｍは、モジュラスから１を引いた値を割り切る。この場合、ｑを法とする整数の体は、１の原始Ｍ乗根を含み、離散フーリエ変換などの特に効率的なＮＴＴ技術が使用されることを可能にする。モジュラスｑに応じて、モジュラ演算も効率的に実施され得、例えば、２^３１＜ｑ＝１０・３^１８＋１＜２^３２または２^６３＜ｑ＝４・３^３９＋１＜２^６４を法とする計算は、３２ビット、６４ビット、および／または１２８ビット演算を比較的効率的に使用して実施されてもよく、それらは共通データ型に合致するので都合がよい。

【0032】

実施形態では、商多項式は、Ｘ^Ｎ＋Ｘ^Ｎ／２＋１またはＸ^Ｎ－Ｘ^Ｎ／２＋１に等しい。他の箇所でも説明するように、この商多項式の選択は、比較的大きな割合の平文値がプログラムされることを可能にするので、有利である。さらに、商多項式のこの選択について、所望の出力値の所与のセットについてのテスト多項式を特に効率的に決定することが可能である。特に、本明細書で説明されるように、テスト多項式の各係数は、多くとも２つの所望の出力値から、特に、２つの所望の出力値が打ち消される可能性がある合計として、計算され得る。さらに、興味深いことに、所望の出力値が、任意の固定係数において効率的にプログラムされ得、例えば、係数が、主係数および定数係数とは異なり得る。これは、係数を抽出する前にブラインド回転の結果として生じる暗号化された多項式にさらなる演算が適用される、暗号化計算のさらなる演算に有益であり得る。

【0033】

テスト多項式は、それぞれの平文値に対する所望の出力値を定義するルックアップテーブルに基づいて決定され得る。発明者は、モジュラス、商多項式ｐ（Ｘ）、およびＮＴＴ多項式が与えられると、一般に、所与のルックアップテーブルに適したテスト多項式を決定することが可能であることに気付いた。特に、発明者は、ＭについてのＸ^Ｍ－１を割り切る商多項式ｐ（Ｘ）について、多項式Ｘの逆Ｘ^－１がＲ［Ｘ］／（ｐ（Ｘ））に存在し、Ｒにおける係数を有する次数＜Ｎの多項式として表され得ることに気付いた。これは、所与の多項式

【数17】

について、Ｒ［Ｘ］／（ｐ（Ｘ））の要素として以下の関係：

【数18】

を導出することを可能にする。ここでν_Ｎ＝０である。事実上、テスト多項式ν（Ｘ）を単項式Ｘ^－１と乗算することは、ν（Ｘ）の定数項のスケールされたバージョンを他の係数に加算することおよびシフトすることに対応し得る。この関係に基づいて、ブラインド回転の一部である、テスト多項式と平文値を表す単項式との暗号化された多項式積の表現を取得することが可能である。そのような表現が取得され得るという事実から、それぞれの平文値に対する所望の出力値を有するテスト多項式を決定することが可能であるということになる。特に、固定係数が定数係数または主係数である場合について、および商多項式がＸ^Ｎ＋Ｘ^Ｎ／２＋１またはＸ^Ｎ－Ｘ^Ｎ／２＋１に等しい場合について、詳細な例が本明細書において与えられる。これらの場合、テスト多項式が特に効率的に計算され得る。

【0034】

実施形態では、固定係数は、定数係数または主係数である。この場合、それぞれの所望の出力値からテスト多項式のそれぞれの係数を計算することによって、所与のルックアップテーブルに対して特に効率的にテスト多項式を決定することが可能であり、例えば、テスト多項式の係数は、

【数19】

または

【数20】

およびν_Ｎ－１＝Ｋ_０として計算されてもよく、ここで、ν_ｉは、平文値ｉについての係数であり、ｐ_ｋは、商多項式のｋ番目の係数であり、Ｋ_ｊは、平文値ｊについての所望の出力値である。

【0035】

実施形態では、ブラインド回転が適用される暗号文は、ＬＷＥ型暗号文であり得る。例えば、ブラインド回転は、（例えば、ＮＴＲＵ型暗号文を含まない）ＬＷＥ型暗号文に対して実行されている暗号化計算の一部であり得る。または、ＬＷＥ型暗号文は、例えば、ＮＴＲＵ型暗号文に対して実行される暗号化計算の一部として、ＮＴＲＵ型暗号文からの変換によって取得されてもよい。ＬＷＥへの変換なしで、ブラインド回転をＮＴＲＵ型暗号文に直接適用することも可能である。さらに一般的には、暗号文は、セキュリティが格子問題の暗号の強度に依存する格子型暗号文であってもよく、ＬＷＥおよびＮＴＲＵは、その例のうちの２つである。

【0036】

実施形態では、ブラインド回転を行うことは、ガジェット暗号文との暗号文の１つ以上の外部積（ｅｘｔｅｒｎａｌ ｐｒｏｄｕｃｔ）を計算することを含み得る。そのようなガジェット暗号文は、ガジェット行列に基づいて定義される複数の構成暗号文を含み得る。ＬＷＥ／ＧＬＷＥの設定では、ガジェット暗号文は、ＧＧＳＷ型暗号文であってもよい。ＮＴＲＵの設定では、ガジェット暗号化は、ＮＧＳ暗号化またはガジェットＮＴＲＵとも呼ばれる。ガジェット暗号文は、ブートストラッピング鍵に含まれてもよく、例えば、ブラインド回転が適用される暗号文を復号する復号鍵のビットなどの数字（ｄｉｇｉｔ）を表し得る。そのような外部積の計算は、典型的には、モジュラスおよび商多項式を法とする著しい量の多項式乗算を伴う。提供される技術を使用することによって、これらの多項式乗算は、数論変換を使用して実行されてもよく、それによって、著しい効率改善につながる。

【0037】

実施形態では、暗号化計算方法は、プログラマブルブートストラッピングを行うことを含み得る。モジュラススイッチングは、さらなる暗号文、例えば、ＬＷＥ型暗号文を取得するために入力暗号文に適用され得る。このことは、それ自体知られているように、入力暗号文をＮＴＴ多項式の次数にスケールすることを伴い得る。ブラインド回転は、このさらなる暗号文に対して行われ得る。ブラインド回転の後にサンプル抽出が行われてもよく、サンプル抽出において、ブラインド回転によって計算された多項式積から固定係数の暗号化が抽出される。サンプル抽出の後に任意選択でキースイッチングが行われてもよい。特に、暗号化計算方法は、「ＴＦＨＥに類似の」暗号化計算方法であってもよく、プログラマブルブートストラッピングは、そのコア演算である。これが伴うブラインド回転を改善することが、この設定での重要な効率性改善をもたらす。

【0038】

一般に、追加の演算がプログラマブルブートストラッピングの各ステップの間において可能であり、それらの演算は、例えば、いくつかのモジュラススイッチングされた暗号文が共に加算され得ること；いくつかのブラインド回転の出力がサンプル抽出を行う前に加えられ得ること；などである。様々なそのような演算は、例えば、商多項式を法とする、またはＮＴＴ多項式を割り切る他の多項式を法とする多項式乗算を含み得る。特に、ブラインド回転の出力は、サンプル抽出を行う前に追加の多項式乗算が適用され得る商多項式を法とする多項式を含み得る。そのような場合、本明細書で説明したようなブラインド回転を使用することは、ＮＴＴがそのような追加の多項式乗算に対して使用されることも可能にし、プログラマブルブートストラッピングの効率性をさらに改善する。

【0039】

実施形態では、数論変換を使用してブラインド回転を行うとき、係数表現ではなく数論変換のフーリエドメイン表現で取得される、ブートストラッピング鍵の多項式が使用され得る。そのとき、ブラインド回転は、ブートストラッピング鍵のこれらの多項式を係数表現からフーリエドメイン表現へ変換することを含まない。例えば、多項式は、別の関係者から受信されてもよく、またはフーリエドメイン表現のストレージからアクセスされてもよい。変換は事前に行われ得るので、これによってブラインド回転が特に効率的になる。ブートストラッピング鍵は、典型的には一度生成されてその後何度も使用されるので、ブートストラッピング鍵のフーリエドメイン表現を決定することは、ブートストラッピング鍵を使用するときよりもブートストラッピング鍵を生成するときに決定するのがはるかにより効率的である。

【0040】

暗号化計算は、「ＴＦＨＥに類似の」暗号化計算であってもよい。このようなＴＦＨＥに類似の暗号化計算は、プログラマブルブートストラッピング演算の使用によって特徴付けられ、暗号化された多項式積は、平文値を指数として表すブートストラッピング単項式およびテスト多項式から計算される。言い換えると、プログラマブルブートストラッピングは、暗号化単項式の指数における暗号文の復号を評価することを伴い得る。この評価は、例えば、ＧＧＳＷ型暗号文、ＮＧＳ暗号文、またはガジェットＮＴＲＵ暗号文などのブートストラッピング鍵のガジェット暗号文との外部積を使用して計算され得る。そのようなガジェット暗号文は、複数の構成暗号文（例えば、ＧＧＳＷの場合のＧＬＷＥに類似の暗号文）を含んでもよく、外部積の計算は、ガジェット暗号文のそれぞれの構成暗号文とそれぞれの多項式とを乗算することを伴ってもよい。このプログラマブルブートストラッピングは、本明細書で説明するように、受け入れられる入力平文に関して、より効率的および／またはよりフレキシブルに行われる。

【0041】

暗号化されたデータに対する計算改善のために提供される技術は、幅広い実践的用途に適用され得る。そのような実践的用途は、プレーンデータにアクセスできることなしでの、ソフトウェアプログラムの暗号化された評価を含む。例えば、前記の医療データに実際にアクセスできなくても、医療データに対して医療診断ソフトウェアを評価し得る。医療データは医療画像を含み得る。医療画像は、標準Ｘ線撮像、コンピュータ断層撮影（ＣＴ）、磁気共鳴画像化（ＭＲＩ）、超音波（ＵＳ）、ポジトロン放出断層撮影（ＰＥＴ）、単一光子放射断層撮影（ＳＰＥＣＴ）、および核医学（ＮＭ）など、これらに限定されない様々な取得モダリティによって取得された例えば多次元画像データ、例えば、２次元（２Ｄ）、３次元（３Ｄ）、または４次元（４Ｄ）画像を含み得る。

【0042】

実施形態では、提供される技術が、暗号化された入力に対してニューラルネットワークを評価するために使用され得る。ニューラルネットワークを評価する関係者は、例えば、重みおよびバイアスなどのニューラルネットワークの訓練済みパラメータへの平文アクセスができるかもしれないし、またはできないかもしれない。一般に、本明細書で提供される技術、例えば、改善された多項式乗算、プログラマブルブートストッラッピング、および外部積は、ニューラルネットワークの評価の効率を改善し、および／または使用された暗号文もしくは鍵材料についてのストレージおよび伝送要件を低減させる。

【0043】

方法の実施形態は、コンピュータ実装される方法として、または専用ハードウェアにおいて、またはその両方の組合せで、コンピュータ上で実施され得る。方法の実施形態のための実行可能コードは、コンピュータプログラム製品上に記憶され得る。コンピュータプログラム製品の例は、メモリデバイス、光学ストレージデバイス、集積回路、サーバ、オフラインソフトウェアなどを含む。好ましくは、コンピュータプログラム製品は、前記プログラム製品がコンピュータ上で実行されるときに方法の実施形態を行うためにコンピュータ可読媒体に記憶された非一時的プログラムコードを含む。

【0044】

実施形態では、コンピュータプログラムは、コンピュータプログラムがコンピュータ上で実行されるときに方法の実施形態のステップの全てまたは一部を行うように構成されたコンピュータプログラムコードを含む。好ましくは、コンピュータプログラムは、コンピュータ可読媒体上で具現化される。

【0045】

さらなる詳細、態様、および実施形態が、単なる例として図面を参照して説明される。図面中の要素は、簡潔で明確にするために例示され、必ずしも縮尺通りに描かれていない。図面では、既に説明された要素に対応する要素は、同一の参照番号を有し得る。

【図面の簡単な説明】

【0046】

【図1a】暗号化計算デバイスの実施形態の例を概略的に示す図である。

【図1b】暗号化計算において使用するテスト多項式を決定するためのデバイスの実施形態の例を概略的に示す図である。

【図1c】暗号化計算システムの実施形態の例を概略的に示す図である。

【図2】プログラマブルブートストラッピングユニットの実施形態の例を概略的に示す図である。

【図3】累算ユニットの実施形態の例を概略的に示す図である。

【図4】暗号化計算方法の実施形態の例を概略的に示す図である。

【図5】暗号化計算において使用するテスト多項式を決定する方法の実施形態の例を概略的に示す図である。

【図6】実施形態による、コンピュータプログラムを含む書き込み可能部分を有するコンピュータ可読媒体を概略的に示す図である。

【図7】実施形態による、プロセッサシステムの表現を概略的に示す図である。

【発明を実施するための形態】

【0047】

本開示の主題は、多くの異なる形式の実施形態が可能であるが、本開示が、本開示の主題の原理の例示と見なされるべきであり、図示および説明される特定の実施形態にそれを限定することを意図するものではない、という理解の下で、１つ以上の特定の実施形態について図面に示され本明細書に詳細に説明されている。

【0048】

以下では、理解のために、実施形態の要素が動作で説明されている。しかしながら、それぞれの要素が、それらによって行われると説明されている機能を行うように構成されることは明らかである。

【0049】

さらに、本開示の主題は、実施形態のみに限定されないが、本明細書で説明された、または相互に異なる従属項に列挙された特徴のあらゆる他の組合せも含む。

【0050】

一般に、様々な実施形態は、ＬＷＥ（誤りを伴う学習：Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ）型暗号文に関する。特に、プログラマブルブートストラッピングは、入力として平文値を暗号化するＬＷＥ型入力暗号文を取得し、平文に対する所望の出力値を暗号化するＬＷＥ型出力暗号文を出力し得る。ＬＷＥ型暗号文は、１つ以上のマスク値と、マスク値および平文値から導出されるボディ値とを含み得る。

【0051】

ＬＷＥ型入力および出力暗号文は、モジュラスｑを法として定義され得る。「Ｐｒｏｇｒａｍｍａｂｌｅ Ｂｏｏｔｓｔｒａｐｐｉｎｇ Ｅｎａｂｌｅｓ Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｉｎｆｅｒｅｎｃｅ ｏｆ Ｄｅｅｐ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ」に開示されているように、ＬＷＥ型暗号文の値は、離散化されたトーラス

【数21】

の要素、または等価的に、ｑを法とする整数と見なされ得る。具体例として、秘密鍵

【数22】

の下で、平文値

【数23】

を暗号化したＬＷＥ型暗号文

【数24】

は、ランダムなマスク値

【数25】

および、ランダムノイズ値ｅについてのμ^＊＝μ＋ｅを伴うボディ値

【数26】

として計算され得る。上記の例では、

【数27】

は、２進数セット

【数28】

を示す。他の変形が存在し、例えば、秘密鍵は、必ずしもビットを含む必要はない。例えば、欧州特許出願ＥＰ２１２９００２５（引用により本明細書に組み込まれる）を参照されたい。

【0052】

本明細書で説明されるブラインド回転が適用されるＬＷＥ型暗号文は、典型的には、ブラインド回転で使用されるＮＴＴ多項式の次数に等しいモジュラスＭを法として定義されることに留意されたい。例えば、この暗号文は、モジュラススイッチングを行って、さらなるモジュラスｑ（例えば、ブラインド回転で使用される多項式の係数のモジュラスに対応する）を法とするＬＷＥ型入力暗号文をこのモジュラスＭにスケールすることによって取得され得る。

【0053】

様々な実施形態は、ＧＬＷＥ（Ｇｅｎｅｒａｌｉｚｅｄ Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒ）型暗号文にも関する。ＧＬＷＥ型暗号文は、１つ以上のマスク多項式と、マスク多項式および平文多項式から導出されるボディ多項式とを含み得る。ＧＬＷＥ型暗号文は、モジュラスｑおよび、例えば１より大きな次数の商多項式ｐ（Ｘ）を法として定義され得る。例えば、

【数29】

とする。秘密鍵

【数30】

について、平文

【数31】

を暗号化したＧＬＷＥ型暗号文

【数32】

は、マスク多項式

【数33】

、および、ランダムノイズ多項式ｅについてのμ^＊＝μ＋ｅを伴うボディ多項式

【数34】

として計算され得る。ＬＷＥ型暗号文は、（Ｎ，ｋ）＝（１，ｎ）の場合のＧＬＷＥ型暗号文の例である。ＧＬＷＥ型暗号文の別の例は、ＲｉｎｇＬＷＥ（Ｒｉｎｇ Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓ）（ＲＬＷＥ）型暗号文である。ＲＬＷＥ型暗号文は、１つのマスク多項式のみを含む。

【0054】

ＬＷＥ／ＧＬＷＥ型暗号文を使用する代わりに、異なる格子暗号化を使用することも可能である。例えば、ブラインド回転が適用される暗号文、および／またはそれから生じる暗号化された多項式積はＮＴＲＵ暗号文であってもよい。例えば、メッセージμのＮＴＲＵ暗号化は、ノイズ多項式ｇとプライベート鍵多項式ｆとの商をメッセージに加えることによって定義されてもよく、例えば、

【数35】

は、可逆多項式（典型的には小さな係数を有する）であってもよく；ＮＴＲＵ暗号化は、

【数36】

によって与えられ得るか、またはｇ＝ｅ_１＋ｆ・ｅ_２と書くと、ｃ＝ｅ_１／ｆ＋μ＋ｅ_２によって与えられ得る。特に、ＮＴＲＵ暗号文は、単一の多項式のみを含み得る。そのような暗号文のセキュリティは、ＮＴＲＵ仮定（ＮＴＲＵ ａｓｓｕｍｐｔｉｏｎ）に基づき得る。

【0055】

特に、ＮＴＲＵは、テスト多項式とブートストラッピング単項式とのＮＴＲＵ暗号化された多項式積を生じるブラインド回転を使用することによって、および／またはブラインド回転を入力としてのＮＴＲＵ暗号文に適用することによって、提供される技術と組み合わせて使用され得る。適当なＮＴＲＵ暗号化の例は、Ｃ．Ｂｏｎｔｅら、「ＦＩＮＡＬ：Ｆａｓｔｅｒ ＦＨＥ ｉｎｓｔａｎｔｉａｔｅｄ ｗｉｔｈ ＮＴＲＵ ａｎｄ ＬＷＥ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０７４；およびＫ．Ｋｌｕｃｚｎｉａｋ、「ＮＴＲＵ－ν－ｕｍ：Ｓｅｃｕｒｅ Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ＮＴＲＵ ｗｉｔｈ Ｓｍａｌｌ Ｍｏｄｕｌｕｓ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０８９に定義されている。

【0056】

様々な実施形態は、ガジェット暗号文にも関連する。一般に、ガジェット暗号文は、平文に基づいてそれぞれの値を暗号化する複数の構成暗号文（ｃｏｎｓｔｉｔｕｅｎｔ ｃｉｐｈｅｒｔｅｘｔ）を含む暗号文として定義されてもよく、それは、ガジェット行列に基づいて定義され得る。ＬＷＥ／ＧＬＷＥの場合、ガジェット暗号文は、例えば、参考文献「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ．．．」（ＧＧＳＷの説明に関する限り、本明細書に組み込まれる）において定義されるように、ＧＧＳＷ型暗号文であってもよい。ＮＴＲＵ設定では、Ｃ．Ｂｏｎｔｅら、「ＦＩＮＡＬ：Ｆａｓｔｅｒ ＦＨＥ ｉｎｓｔａｎｔｉａｔｅｄ ｗｉｔｈ ＮＴＲＵ ａｎｄ ＬＷＥ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０７４（ＮＧＳの定義に関する限り、引用により本明細書に組み込まれる）のＮＧＳ暗号化、またはＫ．Ｋｌｕｃｚｎｉａｋ、「ＮＴＲＵ－ν－ｕｍ：Ｓｅｃｕｒｅ Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ＮＴＲＵ ｗｉｔｈ Ｓｍａｌｌ Ｍｏｄｕｌｕｓ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０８９（ガジェットＮＴＲＵの定義に関する限り、引用により本明細書に組み込まれる）のガジェットＮＴＲＵ暗号化などのガジェット暗号化が、例えば使用され得る。

【0057】

上記の例は、対称暗号化方式（例えば、１つの秘密鍵が暗号化および復号の両方に使用される）にしたがう（Ｇ）ＬＷＥ／ＮＴＲＵ／．．．暗号文について説明するが、使用される暗号文が非対称暗号化方式（例えば、異なる公開鍵およびプライベート鍵がそれぞれ暗号化および復号に使用される）にしたがうものであることも可能である。例えば、上記秘密鍵は、プライベート鍵として使用されてもよく、公開鍵はゼロの１つ以上の暗号化を含む。例えば、Ｒ．Ｒｏｔｈｂｌｕｍ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ：Ｆｒｏｍ ｐｒｉｖａｔｅ－ｋｅｙ ｔｏ ｐｕｂｌｉｃ－ｋｅｙ」、Ｔｈｅｏｒｙ ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ（ＴＣＣ ２０１１）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅのｖｏｌ．６５９７、２１９－２３４頁、Ｓｐｒｉｎｇｅｒ、２０１１年（引用により本明細書に組み込まれる）を参照されたい。

【0058】

様々な実施形態は、数論変換を使用して、モジュラスｑおよびＮＴＴ多項式を割り切る商多項式ｐ（Ｘ）を法とする多項式乗算を行う。典型的には、ＮＴＴ多項式はＸ^Ｍ－１に等しく、商多項式はＮＴＴ多項式を割り切り、例えば、等しいものにより割り切るのは自明であり、即ち厳密に割り切る。モジュラスｑは、Ｍが

【数37】

における単元（ｕｎｉｔ）であるように、好ましくは、

【数38】

が位数（ｏｒｄｅｒ）Ｍの１の原始冪根（ｐｒｉｍｉｔｉｖｅ ｒｏｏｔ ｏｆ ｕｎｉｔｙ）を含むように、選択され得る。そのような場合、数論ドメインのフーリエドメインにおける多項式乗算は、例えば、１の原始冪根の累乗における被乗数の評価の点ごとの乗算として特に効率的に実施され得る。これについての技術は、例えば、Ｊ．ｖｏｎ ｚｕｒ ＧａｔｈｅｎおよびＪ．Ｇｅｒｈａｒｄ、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」、Ｃａｍｂｒｉｄｇｅ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ、第３版、２０１３年から、それ自体知られている。「１の原始冪根」という用語は、この参考文献に定義されるように、本明細書全体を通して使用される。

【0059】

例えば、商多項式は、Ｘ^Ｍ－１を割り切る任意の商多項式ｐ（Ｘ）であってもよく、多項式のフーリエ表現は、１の原始Ｍ乗根の累乗のセットにおける多項式の評価のセットとして定義されてもよい。フーリエ表現は、１の原始Ｍ乗根のそれぞれの累乗における評価の点ごとの乗算によって乗算されてもよい。係数表現と多項式のフーリエドメイン表現との間の効率的な変換のために、Ｍが２の１以上の累乗および／または３の１以上の累乗を含む場合、例えばＭが２の累乗またはＭが３の累乗である場合、有利である。

【0060】

多項式のフーリエ表現は、１の冪根の累乗のそれぞれにおける評価を含み得るが、これは必須ではない。様々な場合に、累乗のサブセットを使用することで十分であり、それがより効率的なフーリエドメイン表現につながる。これは、特に、商多項式が（Ｘ^Ｍ－１）／（Ｘ^ｄ－１）に等しい場合であり、ここで、Ｍ＝ｈｄおよびｄ＝Ｍ－Ｎ（およびしたがって、Ｎ＝Ｍ－ｄ＝（ｈ－１）ｄ）である。例えば、商多項式は、ｈ＝２の場合に（Ｘ^２ｄ－１）／（Ｘ^ｄ－１）＝（Ｘ^ｄ＋１）＝（Ｘ^Ｎ＋１）、またはｈ＝３の場合に（Ｘ^３ｄ－１）／（Ｘ^ｄ－１）＝（Ｘ^２ｄ＋Ｘ^ｄ＋１）＝（Ｘ^Ｎ＋Ｘ^Ｎ／２＋１）であってもよい。そのような場合に、多項式のフーリエドメイン表現は、１の原始Ｍ乗根ωの累乗のサブセット、例えば、ｈ＝２の場合に累乗ω、ω^３、．．．、ω^２ｄ－１、ｈ＝３の場合に累乗（ω，ω^２）、（ω^４，ω^５）、．．．、（ω^３ｄ－２，ω^３ｄ－１）のみの中の多項式の評価として定義され得る。多項式を乗算するためには、この１の冪根の累乗のサブセットに対する評価のみで十分であり、それが、より効率的な多項式乗算につながる。それでもなお、効率的な数論変換および逆が可能である。

【0061】

説明される技術は、ブートストラッピング鍵を使用するブラインド回転に関する。そのようなブラインド回転をサポートする暗号化計算技術は、「ＴＦＨＥに類似の」準同型暗号化方式と呼ばれ得る。

【0062】

ＴＦＨＥに類似の方式でのプログラマブルブートストラッピング演算は、それらを広範囲の用途に対する魅力的な選択にする。ブートストラッピングは、多くの他のＦＨＥ方式に比べて比較的効率的であるため、例えば、少なくとも１０、少なくとも５０、または少なくとも１００の乗算の深さを有する比較的複雑な計算を行うのにさらに適している。特に、ＴＦＨＥに類似の方式の暗号パラメータは、準同型演算の量およびそれらの回路の深さとは無関係に、必要とされる精度および結果として生じる計算コストに基づいて選択され得る。他のＦＨＥ方式では、対照的に、ブートストラッピングは非常に非効率的であり得るため、実際には、これらの方式が典型的にはレベル化（ｌｅｖｅｌｌｅｄ）された方法で適用され、このことは、ブートストラッピングの必要なしに行われ得るようにそれらの方式のパラメータが所与の計算に応じて選択されることを意味する。しかしながら、そのようなレベル化された手法はより複雑な計算には適していないため、そのような場合には、ＴＦＨＥに類似の方式が特に有益である。

【0063】

例えば、ＴＦＨＥに類似の暗号化方式のブートストラッピング鍵は、例えば、ＬＷＥ秘密鍵の鍵の数字を暗号化するｎ個のガジェット暗号文、例えばＧＧＳＷ型、を含んでもよく、典型的には、ｎは、多くとも１０００または多くとも６４０、例えば、ｎ＝６３０である。ガジェット暗号文は、例えば、ｌ＝３個の暗号文を含んでもよく、それぞれが、ｋ＝１個のマスク多項式（例えば、ＲＬＷＥが使用されてもよい）およびＧＬＷＥの場合に１つのボディ多項式を含む。さらなる例としてのパラメータが、全体を通して説明されている。一般に、ＧＬＷＥベースの暗号文のセキュリティは、秘密鍵の配布および３つの主なパラメータ：ｎ＝ｋＮに基づき、Ｎは、商多項式の次数であり、ｋは、暗号文のランダムマスク多項式の数であり、ｎは、秘密鍵の長さであり；ｑはモジュラスであり；σは、ノイズの統計パラメータ、例えば、その標準偏差である。これらのパラメータが与えられると、提供されるセキュリティの度合いを推定する方法は、それ自体知られており、例えば、Ｍ．Ａｌｂｒｅｃｈｔら、「Ｏｎ ｔｈｅ ｃｏｎｃｒｅｔｅ ｈａｒｄｎｅｓｓ ｏｆ Ｌｅａｒｎｉｎｇ ｗｉｔｈ Ｅｒｒｏｒｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｍａｔｈｅｍａｔｉｃａｌ Ｃｒｙｐｔｏｌｏｇｙ、９（３）：１６９－２０３頁、２０１５年（引用により本明細書に組み込まれる）を参照されたい。同様に、典型的には単一多項式から作られたＮＴＲＵベースの暗号文の場合、セキュリティは、秘密鍵の配布と、２つの主なパラメータ：商多項式の次数Ｎ、およびノイズの統計パラメータσに基づく。

【0064】

本明細書の実施形態では、使用されるＴＦＨＥに類似の（例えば、ＬＷＥ／ＧＬＷＥ）暗号文のパラメータが所望のセキュリティレベルに基づいて選択されてもよく、および暗号文の線形結合および／またはプログラマブルブートストラッピングの適用などの演算の所望の精度、即ち、これらの演算を適用することから生じるノイズレベルに基づいて選択されてもよい。興味深いことに、ＴＦＨＥ設定では、セキュリティパラメータは、計算の複雑度とは無関係に、例えば、計算の乗算の深さとは無関係に選択され得る。これは、ＴＦＨＥに非類似の方式の場合には同様ではなく、その場合に、セキュリティパラメータは、典型的には、ブートストラッピングを制限または除外するように選択される。

【0065】

特に、本明細書のＴＦＨＥ設定において使用されるＬＷＥベースの暗号文および／またはＧＬＷＥベースの暗号文は、比較的小さな、例えば、多くとも３２ビット、多くとも６４ビット、または多くとも１２８ビットのモジュラスを使用し得る。このモジュラスは、典型的には、実行されるべき計算とは無関係に選択され、例えば、所望の精度および／または効率性に応じて選択される。パラメータＮ、ｋ、および／またはσは、所望のセキュリティレベルを達成するように選択されてもよく、典型的には実行されるべき計算からも無関係であってもよい。例えば、Ｎは、少なくとも５１２、および／または多くとも２０４８もしくは４０９６、例えば１０２４に設定されてもよい。例えば、実施形態では、ＲＬＷＥは、Ｎが少なくとも５１２、および／または多くとも２０４８もしくは４０９６、例えば１０２４、ｋ＝１で使用される。そのようなＮの値は、ＴＦＨＥに非類似の方式では通常は使用されず、そのような値は、行われ得る計算を厳密に制限する；その代わりに、ＴＦＨＥに非類似の方式では、ｑおよびＮは、典型的には両方とも、ｑがかなり大きくなり得るように所望のセキュリティレベルに基づいて選択される。

【0066】

図１ａは、暗号化計算デバイス１１０の実施形態の例を概略的に示す。

【0067】

デバイス１１０は、プロセッサシステム１３０、ストレージ１４０、および通信インターフェース１５０を含み得る。ストレージ１４０は、ローカルストレージ、例えば、ローカルハードドライブまたは電子メモリを含み得る。ストレージ１４０は、非ローカルストレージ、例えば、クラウドストレージを含み得る。後者の場合、ストレージ１４０は、非ローカルストレージへのストレージインターフェースを含み得る。例えば、ストレージ１４０は、プログラマブルブートストラッピングまたはブラインド回転を行うＬＷＥ型暗号文を記憶するためのものであってもよい。

【0068】

ストレージ１４０は、さらに、ブラインド回転において使用するブートストラッピング鍵を記憶するためのものであってもよい。ブラインド回転は、ブートストラッピング鍵を使用して、ブートストラッピング多項式の指数においてＬＷＥ復号を行い得る。ブートストラッピング鍵は、ブラインド回転において使用される数論変換のフーリエドメイン表現で記憶されてもよく、それによって効率性が改善される。

【0069】

ＬＷＥの代替として、例えば、ＮＴＲＵも使用されてもよい。

【0070】

デバイス１１０は、他のデバイス、外部ストレージ、入力デバイス、出力デバイス、および／または１つ以上のセンサとコンピュータネットワークを介して内部で通信し得る。コンピュータネットワークは、インターネット、イントラネット、ＬＡＮ、ＷＬＡＮなどであってもよい。コンピュータネットワークは、インターネットであってもよい。デバイスは、任意選択で、接続インターフェース１５０を含んでもよく、接続インターフェース１５０は、必要に応じて他のデバイスと通信するように構成される。例えば、接続インターフェースは、コネクタ、例えばイーサネットコネクタ、光学コネクタなどの例えば有線コネクタ、または、例えば、Ｗｉ－Ｆｉ、４Ｇもしくは５Ｇアンテナといったアンテナなどの無線コネクタを含み得る。通信、例えば内部通信は、他の通信プロトコルまたは媒体、例えば、内部データバスを使用し得る。

【0071】

デバイス１１０において、通信インターフェース１５０は、デジタルデータを送信または受信するために使用され得る。例えば、デバイス１１０は、ＬＷＥ型暗号文を表すデータ、例えば、ブラインド回転もしくはプログラマブルブートストラッピングへの入力またはその出力を、受信または送信するように構成され得る。通信インターフェース１５０は、さらに、ブートストラッピング鍵を表すデータを受信するために使用され得る。ブートストラッピング鍵は、ブラインド回転において使用されるＮＴＴのフーリエドメイン表現で受信され得る。

【0072】

デバイス１１０の実行は、プロセッサシステム１３０、例えば、マイクロプロセッサなどの例えば１つ以上のプロセッサ回路において実施されてもよく、それらの例が本明細書に示されている。デバイス１１０は、異なる場所に分散され得る複数のプロセッサを含み得る。例えば、デバイス１１０は、クラウドコンピューティングを使用し得る。

【0073】

プロセッサシステム１３０は、例えば、暗号化計算を行うことによってＬＷＥ型暗号文を受信するため、またはＬＷＥ型暗号文を計算するために、平文値を暗号化するＬＷＥ型暗号文を取得するように構成され得る。プロセッサシステム１３０は、テスト多項式に従って、ＬＷＥ型暗号文のブラインド回転を行うように構成され得る。ブラインド回転の結果として、テスト多項式と、モジュラスを法とし、および商多項式を法とするブートストラッピング単項式との暗号化された多項式積を生じ得る。ブートストラッピング単項式は、平文値を指数として表し得る。商多項式は、モジュラスを法とする数論変換を可能にするＮＴＴ多項式を割り切り得る。プロセッササブシステム１３０は、数論変換を使用してブラインド回転の多項式乗算を行うように構成され得る。テスト多項式は、多項式積が平文値についての所望の出力値を固定係数として有するように定義され得る。プロセッサシステム１３０は、例えば、暗号化計算で使用するために、計算された暗号化された多項式積を出力するようにさらに構成され得る。例えば、プロセッサシステム１３０は、計算された暗号化された多項式積に基づいて、暗号化計算の出力を表すＬＷＥ暗号化を計算し、例えば、ストレージ１３０上にそれを記憶すること、および／または通信インターフェース１５０を介して別の関係者にそれを送信することによって、ＬＷＥ暗号化を出力し得る。

【0074】

ＬＷＥの代替として、例えば、ＮＴＲＵも使用され得る。

【0075】

図のいくつかが、プロセッサシステムの機能ユニットであり得る機能ユニットを示す。例えば、図は、プロセッサシステムの可能な機能編成の設計図として使用され得る。プロセッサ回路は、大抵の図においてユニットと別々に示されていない。例えば、図２および図３に示される機能ユニット（以下参照）は、デバイス１１０などのデバイス、例えばデバイス１１０の電子メモリに記憶され、デバイス１１０のマイクロプロセッサによって実行可能であるコンピュータ命令で全体的または部分的に実装され得る。ハイブリッド実施形態では、機能ユニットは、ハードウェアにおいて部分的に、例えばコプロセッサとして、例えば演算および／または暗号化コプロセッサとして、デバイス１１０上に記憶および実行されるソフトウェアにおいて部分的に実装される。

【0076】

例えば、デバイス１１０は、暗号化計算を行うためのデバイスであってもよい。暗号化計算は、準同型暗号化暗号法を使用し得る。例えば、デバイス１１０は、暗号化計算を行うために使用されてもよく、例えば、デバイスは、前記データが暗号化形式で、例えばデータプロバイダから受信されているにもかかわらず、およびデバイス１１０がデータを復号できないにもかかわらず、計算を行い得る。計算は、例えばプログラマブルブートストラッピングの一部として、本明細書に記載されたブラインド回転を伴い得る。

【0077】

例えば、ストレージ１４０は、例えば、１つ以上のデータプロバイダから受信され、あるいは計算の中間結果または終了結果、例えば出力として生成される暗号化されたデータアイテムを記憶し得る。典型的には、デバイス１１０の計算が行われる大部分または全てのデータアイテムが、デバイス１１０に知られていない鍵で暗号化される。即ち、デバイス１１０は、例えばストレージ１４０に記憶されたものなどの暗号化されたデータアイテムに対応するプレーンデータアイテムを取得するように構成されなくてもよい。プレーン形式の復号鍵は、デバイス１１０には秘密であるが、暗号化／復号鍵は暗号化形式で利用可能であり得る。例えば、プロセッサシステムは、準同型暗号化演算のシーケンスを行うように構成され得る。準同型暗号化演算は、暗号化された値に対する加算および乗算などの算術演算を含んでもよく、例えば、それぞれのプログラマブルブートストラッピング演算の一部として、１つ以上のブラインド回転をさらに含んでもよい。

【0078】

図１ｂは、暗号化計算において使用するテスト多項式、例えば図１ａのデバイス１１０が使用するテスト多項式を決定するためのデバイス１１９の実施形態の例を概略的に示す。暗号化計算は、ブートストラッピング単項式とモジュラスを法としおよび商多項式を法とするテスト多項式との多項式積を計算することを含んでもよく、商多項式はＮＴＴ多項式を割り切る。デバイス１１９は暗号化計算自体を行ってもよく、例えば、図１ａのデバイス１１０は図１ｂのデバイス１１９と組み合わされてもよい。

【0079】

デバイス１１０は、プロセッサシステム１３９、ストレージ１４９、および通信インターフェース１５９を含み得る。プロセッサシステム１３９、ストレージ１４９、および通信インターフェース１５９は、図１ａのそれぞれのコンポーネントについて説明したように実装され得る。ストレージ１４９は、それぞれの平文値に対する所望の出力値を定義するルックアップテーブルを記憶するためのものであってもよい。ルックアップテーブルは、例えば、それぞれの出力値、入力値のそれぞれの対、または入力を出力にマッピングする関数の別の表現、例えば、シンボル表現または実行可能な表現を記憶することによって記憶され得る。

【0080】

通信インターフェース１５９は、ルックアップテーブル、および／またはモジュラス、商多項式およびＮＴＴ多項式などの１つ以上のシステムパラメータを受信するために使用され得る。通信インターフェース１５９は、計算されたテスト多項式を送信するために使用され得る。

【0081】

プロセッサシステム１３９は、モジュラス、商多項式、およびＮＴＴ多項式を取得するように構成され得る。プロセッサシステム１３９は、多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算するようにさらに構成され得る。

【0082】

図１ｃは、暗号化計算システム１００の実施形態の例を概略的に示す。システム１００は、準同型暗号化、例えば、完全準同型暗号化を使用して暗号化計算を行うように構成される。

【0083】

この例のシステム１００は、鍵生成デバイス１１１、データプロバイダデバイス１１３、および暗号化コンピューティングデバイス１１２を含む。鍵生成デバイス１１１およびデータプロバイダデバイス１１３は、単一デバイスに組み合わされてもよい。デバイス１１２は、データプロバイダ１１３から暗号化されたデータアイテムを受信するように構成され得る。少なくとも１つ以上のデータアイテムが、暗号化形式で受信され得る。１つ以上のさらなるデータアイテムが、プレーンフォーマットで受信され得る。計算は、受信されたデータアイテムに対して、記憶されたデータアイテムに対してもおそらく実行される。興味深いことに、計算は暗号化されたデータに対して行われ得るが、そのデータを復号することなく、例えば、暗号化されたデータアイテムをプレーンフォーマットのデータに変換することなく行われ得る。

【0084】

この例のデバイス１１２は、図１ａのデバイス１１０に基づいてもよく、例えば、図１ａのプロセッサシステム１３０、ストレージ１４０、および／または通信インターフェース１５０を含んでもよい。各デバイス１１１、１１２、１１３は、図１ｂのデバイス１１９に基づいてもよく、例えば、図１ｂのプロセッサシステム１３９、ストレージ１４９、および／または通信インターフェース１５９をそれぞれ含んでもよい。

【0085】

この例では、デバイス１１１は、例えば、デバイス１１１のプロセッサシステムによって実装される鍵生成ユニット１３１を含む。鍵生成ユニット１３１は、暗号化コンピューティングデバイス１１２によって使用するブートストラッピング鍵１５１を生成するように構成される。ブートストラッピング鍵は、本明細書で説明されるように、ブラインド回転を行うことを可能にし得る。デバイス１１１は、ブートストラッピング鍵１５１をデバイス１１２に提供してもよく、例えば、コンピュータネットワーク１５０を介してそれを送信し、共有ストレージにアップロードするなどしてもよい。デバイス１１１は、数論変換のフーリエドメイン表現でブートストラッピング鍵の多項式を提供し得る。

【0086】

この例では、デバイス１１２は、例えば、デバイス１１２のプロセッサシステムによって実装された暗号化計算ユニット１３２を含む。暗号化計算ユニット１３２は、暗号化計算を実行するように構成され得る。暗号化計算は、例えば、図１ａのデバイス１１０について説明されるように、例えばＬＷＥ型暗号文のブラインド回転を伴い得る。ブラインド回転を行うために、暗号化計算ユニット１３２は、デバイス１１１から例えば、ネットワーク１５０を介して受信するか、または共有ストレージから取得したブートストラッピング鍵１５１を使用し得る。ブラインド回転は、テスト多項式を使用し得る。テスト多項式は、例えば、図１ｂのデバイス１１９について説明されるように、デバイス１１１、デバイス１１２、またはデバイス１１３によってルックアップテーブルから決定され得る。暗号化計算は、それ自体知られているように、多くの他の演算を含んでもよく、例えば、デバイス１１２は、演算回路を評価するように構成されてもよく、暗号化されたデータに対してニューラルネットワークを評価するように構成されてもよいなどである。

【0087】

この図には示されていないが、暗号化計算システム１００は、例えば、２つ、３つ、または３つより多い複数の暗号化コンピューティングデバイスを含み得る。暗号化計算は、複数の暗号化コンピューティングデバイスの間に分散され得る。暗号化コンピューティングデバイスは、典型的には暗号化された中間計算結果を互いに交換し得る。各暗号化乗算デバイスは、暗号化コンピューティングデバイス１１２のように実装されてもよく、本明細書で説明されるように多項式によって暗号文の乗算を行ってもよい。

【0088】

準同型暗号化方式が、多くの設定で適用され得る。例えば、暗号化コンピューティングデバイス１１２は、クラウドプロバイダによって動作され得る。クラウドプロバイダは、計算サービスおよびストレージサービスをそのクライアントに供給し得る。準同型暗号化を採用することによって、データプロバイダデバイス１１３、例えば、クラウドプロバイダのクライアントは、データを暗号化形式で送信し得る。クラウドプロバイダは、依然として必要な計算および／または必要なストレージを行い得るが、プレーンデータに対応するものを知ることができない。例えば、データプロバイダデバイス１１３は、データアイテムを暗号化するために使用される特定の準同型暗号化システムに対応する種類の暗号鍵を使用してもよい。計算結果が暗号化コンピューティングデバイス１１２からデータプロバイダ１１３によって受信されるとき、対応する復号鍵は、暗号化されたデータアイテムを復号するために使用され得る。暗号鍵および復号鍵は、同じであってもよく、典型的には同じである。

【0089】

例えば、暗号化計算システム１００は、暗号化コンピューティングデバイスがプレーンデータアイテムにアクセスできなくても、例えば画像分類器などの機械学習モデル、例えば医療モデルを訓練するように構成されてもよい。例えば、線形回帰は、おそらくブートストラッピングなしでも、入力データに対して行われ得る。例えば、バックプロパゲーションは、おそらくブートストラッピングと共に、入力データに対して行われ得る。結果となるモデルパラメータは、復号鍵を所有するエンティティに返され得る。これは、データをクラウドプロバイダに送信することによって、医療データの複数のプロバイダがかれらのデータをプールすることを可能にする。クラウドプロバイダは、次いで、プレーンデータにアクセスできなくてもモデルパラメータを返す。暗号鍵は、復号鍵と等しくてもよい。

【0090】

モデルが訓練された後、暗号化計算システム１００は、例えば医療データで使用するためのモデルを提供するために使用され得る。これは、プレーンモデルパラメータまたは暗号化モデルパラメータを用いて行われ、両方の場合に、暗号化されたデータ、例えば、暗号化された入力、中間データおよび出力データを用いて行われ得る。プレーンモデルパラメータを使用することは、通常、はるかにより効率的である。両方の場合に、システムの効果は、コンピュータがプレーンデータアイテムを知らなくても、例えば画像分類、例えば医療画像分類などの計算が行われることである。例えば、マンモグラムは、画像が暗号化コンピューティングデバイス１１２においてプレーンですらなくても、および任意の暗号化コンピューティングデバイス１１２またはそのようなデバイスの連携が癌評価の結果が何であるかを知らなくても、癌について評価されてもよい。プライバシーの観点から、暗号化されたプライバシーセンシティブなデータに対してプレーンモデルを演算することが許容され得るが、プレーンなプライバシーセンシティブなデータに対して演算することは許容されなくてもよい。

【0091】

他の用途は、例えば、暗号化データベース内の暗号化されたデータを検索するデータベースサービスを伴い；例えば、計算は、入力アイテムとデータベースアイテムとの間の比較であってもよい。例えば、複数の計算は、インデックスに合致するデータベースインデックスを作り出すために組み合わされてもよい。例えば、データベースはゲノムデータベースであってもよく、入力は遺伝子配列であってもよい。例えば、システム１００は、デバイスの保護された制御に使用され得る。例えば、デバイスは、電力プラントなどの大規模デバイスでさえ、センサ値を暗号化コンピューティングデバイス１１２に送信し、返ってきた暗号化制御信号を受信し得る。制御信号は、センサ信号から計算される。システムの攻撃者は、１つ以上の暗号化計算デバイス１１２に入るデータのコンテンツおよび１つ以上の暗号化計算デバイス１１２から来るデータのコンテンツを決定することが可能であり得、これらのデバイスの中間データにアクセスすることすら可能であり得るが、データが暗号化されているため、それは攻撃者の助けとならない。復号鍵がこれらのデバイスには知られていないため、システム１００の全ての暗号化コンピューティングデバイス１１２の完全に壊れてもデータは明らかにならない。制御信号を計算することは、線形代数、平均、行列乗算、多項式評価などの数学的演算を伴い得る。その全てが、準同型暗号化演算と共に実行することが可能である。

【0092】

例えば、暗号化されたデータアイテムのプールは、暗号化計算システム内に維持されてもよく；これらのサブセットが受信されてもよく、別のサブセットは、暗号化された計算の結果、例えば中間結果であってもよい。例えば、暗号化コンピューティングデバイス１１２は、例えば、入力値および／または中間値および／または出力値のコレクションであるプール内の１つ、２つ、またはそれ以上の暗号化されたデータアイテムに準同型暗号化演算を適用するように構成されてもよい。結果は、プールに記憶され得る新たな暗号化されたデータアイテムであってもよい。プールは、暗号化計算システムのストレージに記憶され得る。これは、ローカルストレージまたは分散ストレージであってもよい。後者の場合、１つ以上の暗号化されたデータアイテムが、プール内で複数回表されることが起こり得る。暗号化されたデータアイテムは、例えば、それらの値がどこかで必要とされる場合に１つのコンピューティングデバイスから別のコンピューティングデバイスへ送信され得る。プールは、例えば、レジスタファイル、アレイ、様々なデータ構造などとして、様々な方法で実装され得る。

【0093】

暗号化されたデータアイテムは、全ての種類のデータを表し得る。例えば、暗号化されたデータアイテムは、平均される必要がある数を表してもよく、または、線形回帰などに使用される。例えば、暗号化されたデータアイテムは、画像を表し得る。例えば、画像の各画素が、１つ以上の暗号化されたデータアイテムに対応し得る。例えば、グレースケール画素は、グレーレベルによって表されてもよく、それは次に単一の暗号化されたデータアイテムによって表されてもよい。例えば、２５６個のグレーレベルが、単一の暗号化されたデータアイテムで符号化されてもよい。例えば、カラー画素は、複数のカラーレベル、例えばＲＧＢレベルとして表されてもよく、それは次に暗号化されたデータアイテムのタプルによって表されてもよい。例えば、３つの２５６レベルのカラーは、３つの暗号化されたデータアイテムで符号化されてもよい。何らかの種類のデータを表すために何個の暗号化されたデータアイテムが使用されるかは、準同型暗号化方式の能力に依存する。例えば、より制限的な準同型暗号化方式は、暗号化されたデータアイテムにつき１ビットしか符号化できない場合がある。その場合、１つのカラー画素は、２４個の暗号化されたデータアイテムを必要とし得る。

【0094】

準同型暗号化演算のセットが、計算に対して定義されてもよい。例えば、準同型暗号化演算から、例えば、外部コンパイラデバイスまたは計算デバイス自体によって計算を共に実施する演算のネットワークまたは回路が構築され得る。例えば、演算は、ブール演算を含み得る。準同型暗号化演算が組み合わされる方法、例えば、どの演算がプール内のどのオペランドに適用されるかが、行われている計算を決定する。例えば、計算は、演算が行われるべきなのはどの暗号化されたデータアイテムについてのインディケーションと共に、演算が行われるべき準同型暗号化演算のリストとして表され得る。ネットワークまたは回路が、ブラインド回転および／またはプログラマブルブートストラッピングをいつ実行すべきかを暗号化計算デバイス１１２に示してもよく、テスト多項式、またはテスト多項式が本明細書で説明されるようにそこから計算され得るルックアップテーブルを含んでもよい。

【0095】

図２は、プログラマブルブートストラッピングユニット２００の実施形態の例を概略的に示す。

【0096】

ｎ個のマスク値

【数39】

およびボディ値

【数40】

を含むＬＷＥ型入力暗号文２１０が、図面に示されている。値は、モジュラスｑを法として定義される。入力暗号文２１０は、

【数41】

として示され得る。いくつかの場合に、入力ＬＷＥ暗号文は、ＮＴＲＵ暗号文から変換することによって取得され得る。他の場合には、そのような変換は行われなくてもよく、例えば、入力ＬＷＥ暗号文は、いかなるＮＴＲＵ暗号化もこの計算で使用されることなく、プログラマブルブートストラッピングのＬＷＥ暗号化出力に基づいて計算され得る。

【0097】

さらに、モジュラススイッチングユニット２２０が示されている。モジュラススイッチングユニットは、ＬＷＥ型暗号文２１１を取得するために入力暗号文２１０に対してモジュラススイッチングを行うように構成され得る。これは、入力暗号文２１０のそれぞれの値を、例えば、因数Ｍ／ｑでスケールして次いで丸めることによって、後述するＮＴＴ多項式の次数Ｍにスケールすることを含み得る。モジュラススイッチングは、参考文献「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ．．．」に開示されるように実装されてもよい。具体例として、モジュラススイッチングは、スケールされた平文値

【数42】

の暗号化を計算し得、ここで、

【数43】

である。

【0098】

初期化ユニット２４０および累算ユニット２６０も示されている。ユニット２４０および２６０は、共にＬＷＥ型暗号文２１１のブラインド回転を行うように構成され得る。ユニット２４０および２６０は、モジュラスｑを法とし、商多項式ｐ（Ｘ）を法とするＧＬＷＥ暗号化を使用し得る。典型的には、モジュラスｑは、ＬＷＥ型入力暗号文のものと同一であるが、原理的にはこれは必須ではない。興味深いことに、商多項式ｐ（Ｘ）は、モジュラスｑを法とする数論変換を可能にするＮＴＴ多項式、例えば、Ｘ^Ｍ－１を割り切り得る。特に、ｑは、２の累乗であってもよく、その場合、Ｘ^Ｎ＋１とは異なる商多項式が使用されてもよい。さらなる例が、以下で与えられる。

【0099】

ブラインド回転は、ブートストラッピング鍵２７０を使用し得る。ブートストラッピング鍵２７０は、ＬＷＥ型暗号文２１１のブラインド回転を行うことを可能にし得る。

【0100】

ブラインド回転は、さらに、テスト多項式ν２３０を使用し得る。商多項式は、先行技術において使用されるように、Ｘ^Ｎ＋１に等しくなくてもよく、その結果、それぞれの所望の出力値をそのそれぞれの係数として有するテスト多項式を使用することはもはや可能ではない。しかしながら、興味深いことに、テスト多項式は、モジュラスｑおよび商多項式ｐ（Ｘ）を法とする多項式積

【数44】

が、それぞれの平文値についての所望の出力値を固定係数として有するように定義され得る。特に、テスト多項式ν２３０は、

【数45】

がドリフトに至るまで、選択された関数ｆに対してｆ（μ）を符号化するようにルックアップテーブルとしてプログラムされ得る。

【0101】

ブラインド回転は、入力暗号文

【数46】

のスケールされたバージョン２１１を、ブートストラッピング単項式

【数47】

と、モジュラスｑを法としおよび商多項式ｐ（Ｘ）を法とするテスト多項式ν２３０との暗号化された多項式積２５０に変換し得る。例えば、出力は、多項式積

【数48】

を鍵

【数49】

の下で暗号化するＧＬＷＥ型暗号化

【数50】

であってもよく、ここで

【数51】

が、暗号文２１０の平文μ^＊＝μ＋ｅの離散化値であり、νはテスト多項式２３０である。

【0102】

図に示されるように、ブラインド回転は、入力暗号文に対して復号鍵のそれぞれのビットを暗号化するブートストラッピング鍵２７０のＧＧＳＷ暗号化ＧＧＳＷ（ｓ_ｉ）に関して、それぞれの累算演算２６０のシーケンスを行うことによって計算されてもよい。累算演算は、ブートストラッピング鍵のビットが設定されているかどうかに応じて、ＬＷＥ型暗号文２１１の現在のランダムマスク値を現在のＧＬＷＥ暗号化２５０に選択的に加算し得る。

【0103】

特に、ブラインド回転は、以下のように実施され得る。

【0104】

【表1】

【0105】

このアルゴリズムは、実際には、鍵ｓ’の下で

【数52】

のＧＬＷＥ暗号化２５０を生じる結果となることに留意されたい。この例は、ｎ個のブートストラッピング鍵２７０を使用し、１≦ｊ≦ｎに対してｂｓｋ［ｊ］←ＧＧＳＷ_ｓ’（ｓ_ｊ）である。

【0106】

この例では、

【数53】

の暗号化にＧＬＷＥ暗号化を最初に設定する初期化２４０が使用される。しかしながら、別の段階、例えば累算演算２６０を行った後に、値

【数54】

をＧＬＷＥ暗号化に加算することも可能である。

【0107】

図３に関しても説明されるように、累算ユニット２６０は、ＧＧＳＷ型暗号文２７０とのＧＬＷＥ型暗号文２５０の外部積を計算してもよく、外部積を計算することは、多項式乗算を行うことを含む。図に示されるように、これらの多項式乗算は、数論変換を使用して多項式乗算を行うモジュラ乗算ユニット２６１を使用して多項式乗算を計算することによって、より効率的に行われ得る。

【0108】

この例は、秘密鍵のビットのＧＧＳＷ暗号化を含むブートストラッピング鍵２７０に関する一連の累算演算２６０を使用し、累算演算は外部積を使用する。提供される技術は、ブラインド回転の他の変形に容易に一般化される。一般に、ブートストラッピング鍵のＧＧＳＷ暗号化との外部積を計算することを含む任意のブラインド回転は改善されることが可能であり、それは例えば、ブートストラッピング鍵２７０が欧州特許出願ＥＰ２１２９００２５（引用により本明細書に組み込まれる）に開示の非２進数を含むブラインド回転、または複数の鍵数字を同時に処理するブラインド回転などである。そのような場合にも、数論変換を使用するユニット１６２によりブラインド回転の多項式乗算を行うことによって、性能が改善され得る。より一般的には、ブラインド回転の一部として行われる任意の多項式乗算が、数論変換を使用することによってより効率的になり得る。

【0109】

さらに、サンプル抽出ユニット２８０が示されている。サンプル抽出ユニット２８０は、固定係数として所望の出力値を有するＧＬＷＥ暗号化された多項式積２５０を入力としてとるように構成されてもよく、サンプル抽出を行って、暗号化２５０からこの固定係数のＬＷＥ暗号化２９０を抽出するように構成されてもよい。例えば、サンプル抽出は、参考文献「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ ．．．」から知られている通りであってもよい。

【0110】

ここで、テスト多項式２３０νが、暗号化された多項式積２５０が係数として所望の出力値を有するように定義される方法に戻る。興味深いことに、発明者は、ＮＴＴ多項式Ｘ^Ｍ－１を割り切る任意の商多項式ｐ（Ｘ）についてこの性質を有するようにテスト多項式を「プログラム」することが可能であることに気付いた。

【0111】

特に、テスト多項式ν∈Ｒ［Ｘ］／（ｐ（Ｘ））２３０は、

【数55】

が暗号文２１１の平文

【数56】

についての所望の出力値を符号化し、したがってμが暗号文２１０の平文である場合、選択された関数ｆについてのｆ（μ）をドリフトまで符号化するように定義され得る。例えば、値ｆ（μ）は、

【数57】

の定数係数として符号化され得る。この場合、テスト多項式２３０は、Ｘ^－ｔν（Ｘ）の定数項が、それぞれの所望の出力値の任意のベクトルＫ＝（Ｋ_０，．．．，Ｋ_Ｎ－１）∈Ｒ^Ｎに対する全てのｔ∈｛０，．．．，Ｎ－１｝に対してＫ_ｔに等しくなるように、全てのｉ＜Ｎについてν２３０のうちの係数ν_ｉを計算することによって決定され得る。

【0112】

以下では、次の表記法が使用される。Ｒは、１を有する環であるとする。Ｒ上で定義され、ｐ（Ｘ）が、ある所与のＭについてＮＴＴ多項式Ｘ^Ｍ－１を割り切るような、モニックな次数Ｎの商多項式
ｐ（ｘ）＝Ｘ^Ｎ＋ｐ_Ｎ－１Ｘ^Ｎ－１＋ｐ_Ｎ－２Ｘ^Ｎ－２＋・・・＋ｐ_０
を考える。便宜上、

【数58】

であるようにｐ_Ｎ＝１とする。ν（Ｘ）の次数ｉの係数（ν（Ｘ））_ｉ＝ν_ｉで示されるＲ［Ｘ］／（ｐ（Ｘ））の多項式

【数59】

に対して（特に、（ν（Ｘ））_０＝ν_０は、定数項を示す）、便宜上、ν_Ｎ＝０である。

【0113】

発明者は、商多項式ｐ（Ｘ）がＭについてのＮＴＴ多項式Ｘ^Ｍ－１を割り切る場合に、Ｘ^－１がＲ［Ｘ］／（ｐ（Ｘ））に存在するという認識に基づいて、テスト多項式νを計算することができた。具体的には、Ｘ^－１は、Ｒにおける係数を有する、次数＜Ｎの多項式として表され得る。これは、今度は、所与の多項式

【数60】

について、Ｘ^－１ν（Ｘ）；即ち、Ｒ［Ｘ］／（ｐ（Ｘ））の要素として

【数61】

についての式を取得することを可能にする。

【0114】

特に、Ｒ［Ｘ］／（ｐ（Ｘ））において、

【数62】

が成り立ち、今度は

【数63】

が成り立つことに留意されたい。

【0115】

これは、ｐ_０がＲにおいて可逆であることを仮定する。これは、商多項式ｐ（Ｘ）がＮＴＴ多項式Ｘ^Ｍ－１を割り切るという事実によって示される。実際に、多項式

【数64】

に対してＸ^Ｍ－１＝ｐ（Ｘ）・ｑ（Ｘ）と書くと、ｐ_０ｑ_０＝－１、または等価的には、ｐ_０（－ｑ_０）＝１が成り立ち；ゆえに、ｐ_０の逆が存在し、－ｑ_０で与えられる。

【0116】

多項式

【数65】

が与えられると、

【数66】

であることが検証され得る。
ここで、最後の不等式が、定義ν_Ｎ＝０により成り立つ。したがって、以下：

【数67】

が成り立つ。

【0117】

したがって、事実上、Ｘ^－１との乗算は、ν（Ｘ）の定数項のスケールされたバージョンを他の係数に加算することになってもよく、スケールすることは、係数のインデックスおよびシフトに依存する。

【0118】

関係（＊）に基づいて、テスト多項式２３０が計算され得る。いくつかの例が与えられる。好ましい実施形態は、値のセットをＸ^－ｔν（Ｘ）の定数または主係数のいずれかに埋め込むことを含む。これらの例では、発明者は、決定に特に効率的であるテスト多項式についての表現を導出することが可能であった。

【0119】

テスト多項式の例１：固定係数が定数係数である
Ｎ個の所望の出力値

【数68】

を有するルックアップテーブルＴが与えられると、テスト多項式ν（Ｘ）２３０は、Ｘ^－ｔν（Ｘ）の定数項がＫ_ｔ＝Ｔ［ｔ］であるように決定される。この場合、

【数69】

のそれぞれの係数が、それぞれの所望の出力値、例えば、任意の

【数70】

についての：

【数71】

から計算され得る。全てのｔ∈｛０，．．．，Ｎ－１｝について、（Ｘ^－ｔν（Ｘ））_０＝Ｋ_ｔであることが検証され得る。

【0120】

例えば、テスト多項式を計算するために以下のアルゴリズムが使用され得る：

【0121】

【表2】

【0122】

テスト多項式の例２：固定係数が主係数である
Ｎ個の所望の出力値

【数72】

を有するルックアップテーブルＴが与えられると、テスト多項式ν（Ｘ）２３０は、Ｘ^－ｔν（Ｘ）の主係数がＫ_ｔ＝Ｔ［ｔ］であるように決定される。この場合、テスト多項式

【数73】

のそれぞれの係数が、それぞれの所望の出力値の合計、例えば、任意の

【数74】

についての：

【数75】

として決定され得る。全てのｔ∈｛０，．．．，Ｎ－１｝について（Ｘ^－ｔν（Ｘ））_Ｎ－１＝Ｋ_ｔであることが検証され得る。

【0123】

例えば、テスト多項式を計算するために以下のアルゴリズムが使用され得る：

【0124】

【表3】

【0125】

テスト多項式の例３：商多項式が、Ｘ ^Ｎ ±Ｘ ^Ｎ／２ ＋１である
この例では、商多項式ｐ（Ｘ）が、偶数Ｎおよびε∈｛－１，１｝についての形式ｐ（Ｘ）＝Ｘ^Ｎ＋εＸ^Ｎ／２＋１の三項式である。特に、これは、全てのｉ∈｛０，．．．，Ｎ｝＼｛０，Ｎ／２，Ｎ｝について、ｐ_０＝ｐ_Ｎ＝１、ｐ_Ｎ／２＝±１、およびｐ_ｉ＝０であることを意味する。この商多項式の選択について、テスト多項式は、多くとも２つのそれぞれの所望の出力値の合計としてそれぞれの係数を決定することによって、例えば、Ｋ_ｔ＝（Ｘ^－ｔν（Ｘ））_ｓであるように任意の固定係数ｓに対して効率的にプログラムされ得る。

【0126】

例えば、ｓ＜Ｎ／２の場合に、係数は、以下のように計算され得る：

【数76】

この場合、全てのｔ∈｛０，．．．，Ｎ－１｝について、（Ｘ^－ｔν（Ｘ））_ｓ＝Ｋ_ｔであることが検証され得る。

【0127】

上記の関係式は、以下のように導き出され得る。関係（＊）は、この場合に対して：

【数77】

として特殊化され得る。このことから：

【数78】

であることが、導き出され得る。（Ｘ^－ｔν（Ｘ））_ｓについての以下の表現が導き出され得る。

【数79】

について：
（Ｘ^－ｔν（Ｘ））_ｓ＝（ν（Ｘ））_ｔ＋ｓ
である。

【0128】

【数80】

について、この場合は、上の場合に変形することによって処理され得る：
（Ｘ^－ｔν（Ｘ））_ｓ＝（Ｘ^{－（Ｎ／２－ｓ－１）}Ｘ^{－（ｔ－Ｎ／２＋ｓ＋１）}ν（Ｘ））_ｓ
＝（Ｘ^{－（ｔ－Ｎ／２＋ｓ＋１）}ν（Ｘ））_{Ｎ／２－１}
＝（Ｘ^{－（ｔ－Ｎ／２＋ｓ）}ν（Ｘ））_Ｎ／２－ε（Ｘ^{－（ｔ－Ｎ／２＋ｓ）}ν（Ｘ））_０
＝（ν（Ｘ））_ｔ＋ｓ－ε（ν（Ｘ））_{ｔ＋ｓ－Ｎ／２}
最後に、Ｎ－ｓ≦ｔ＜Ｎについて、ここでも前の場合に変形することによって、
（Ｘ^－ｔν（Ｘ））_ｓ＝（Ｘ^{－（Ｎ－ｓ－１）}Ｘ^{－（ｔ－Ｎ＋ｓ＋１）}ν（Ｘ））_ｓ
＝（Ｘ^{－（ｔ－Ｎ＋ｓ＋１）}ν（Ｘ））_Ｎ－１－ε（Ｘ^{－（ｔ－Ｎ＋ｓ＋１）}ν（Ｘ））_{Ｎ／２－１}
＝－（Ｘ^{－（ｔ－Ｎ＋ｓ）}ν（Ｘ））_０－ε（（Ｘ^{－（ｔ－Ｎ＋ｓ）}ν（Ｘ））_Ｎ／２
－ε（Ｘ^{－（ｔ－Ｎ＋ｓ）}ν（Ｘ））_０）
＝－ε（Ｘ^{－（ｔ－Ｎ＋ｓ）}ν（Ｘ））_Ｎ／２
＝－ε（ν（Ｘ））_{ｔ＋ｓ－Ｎ／２}
ここで、ε^２＝１が用いられる：したがって、

【数81】

である。

【0129】

解は、次のように検証され得る：
０≦ｔ＜Ｎ／２－ｓの場合：これは、

【数82】

および、したがって、
（Ｘ^－ｔν（Ｘ））_ｓ＝（ν（Ｘ））_ｓ＋ｔ＝Ｋ_{（ｓ＋ｔ）－ｓ}＝Ｋ_ｔ
を示す。

【0130】

Ｎ／２－ｓ≦ｔ＜Ｎ／２の場合：これは、上記の（Ｘ^－ｔν（Ｘ））_ｓの第２の場合に対応する。よって：
（Ｘ^－ｔν（Ｘ））_ｓ＝（ν（Ｘ））_ｔ＋ｓ－ε（ν（Ｘ））_{ｔ＋ｓ－Ｎ／２}
である。条件は、

【数83】

および

【数84】

よって、
（Ｘ^－ｔν（Ｘ））_ｓ＝－εＫ_{Ｎ／２＋ｔ}－ε（－Ｋ_{Ｎ／２＋ｔ}－εＫ_ｔ）＝Ｋ_ｔ
を示す。

【0131】

【数85】

の場合：この場合も、これは、上記の第２の場合に対応するが、今回は、

【数86】

および

【数87】

であり、これは、
（Ｘ^－ｔν（Ｘ））_ｓ＝εＫ_{ｔ－Ｎ／２}＋Ｋ_ｔ－εＫ_{ｔ－Ｎ／２}＝Ｋ_ｔ
をもたらす。

【0132】

Ｎ－ｓ≦ｔ＜Ｎの場合：この場合

【数88】

であり、よって
（Ｘ^－ｔν（Ｘ））_ｓ＝－ε（ν（Ｘ））_{ｔ＋ｓ－Ｎ／２}＝ε^２Ｋ_{Ｎ／２＋（ｔ＋ｓ－Ｎ／２－ｓ）}＝Ｋ_ｔ
である。

【0133】

別の例として、ｓ≧Ｎ／２の場合に、係数は、以下のように計算され得る：

【数89】

この場合も、全てのｔ∈｛０，．．．，Ｎ－１｝について、（Ｘ^－ｔν（Ｘ））_ｓ＝Ｋ_ｔであることが検証され得る。

【0134】

例えば、テスト多項式２３０を決定するために以下のアルゴリズムが使用され得る：

【0135】

【表4】

【0136】

テスト多項式の例４：他の商多項式／係数
一般に、他の商多項式のためのテスト多項式を決定するために、例３の手法の後、ｔの値ごとに（（Ｘ^－ｔν（Ｘ）））_ｓについての明示式を書き出すこと、および結果となる系を解くことが行われ得る。この手法は、例えば、多くとも３個、多くとも５個、または多くとも１０個の非ゼロ係数を有する疎な多項式に好適である。

【0137】

テスト多項式を決定する別の方法が、Ｒ［Ｘ］／（ｐ（Ｘ））におけるＸ^－１による多項式ν（Ｘ）の乗算をν（ｘ）の係数ベクトルとの行列乗算として見ることである。このことは、それ自体は知られている技術を使用して解くことが可能であり、解がテスト多項式の係数に対応するＮ個の線形方程式およびＮ個の変数の系を生じる結果となる。多くの場合の系が解くことができ；そうでない場合、例えば、テスト多項式を決定するために、次の固定係数が選択され得る。

【0138】

モジュラス／商多項式／ＮＴＴ多項式の例
以下では、モジュラス、商多項式、およびＮＴＴ多項式についてのいくつかの特に有利な選択について説明されて、数論変換を用いた効率的な多項式乗算を可能にする。

【0139】

一般に、以下の例は、整数ｑの異なる値についての環

【数90】

上の多項式を考える。ＮＴＴ多項式の次数Ｍは、３の累乗であるように選択され得る。商多項式は、商多項式としてＭ次円分多項式ｐ（Ｘ）＝Ｘ^Ｎ＋Ｘ^Ｎ／２＋１に設定され得る。

【0140】

十分な暗号セキュリティを効率的な計算と組み合わせる１つの特に良い選択が、Ｍ＝３^７＝２１８７、およびＮ＝２・３^６＝１４５８である。Ｎ／Ｍ＝２／３＞１／２であり、それによって、この例が、ブラインド回転が入力平文値の半分以上を処理することが可能であるという利点に恵まれることに留意されたい。

【0141】

具体的には、上述したように、この商多項式および所望の出力値Ｋ＝（Ｋ_０，．．．，Ｋ_Ｎ－１）∈Ｒ^Ｎの所与のルックアップテーブルについて、Ｋの値が、固定係数としてＸ^－ｔν（Ｘ）の定数係数でプログラムされ得る。この場合、テスト多項式

【数91】

の係数は：

【数92】

と決定され得る。

【0142】

素数のモジュラス
例えば、数論変換として、例えば、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」に記載されているように、および本明細書の他の箇所でもより詳細に説明されるように、通常の数論変換が使用されてもよい。この数論変換は、離散フーリエ変換としても知られている。これは、モジュラスおよび商多項式を法とする環

【数93】

における多項式を直接乗算することを可能にする。通常の数論変換は、モジュラスｑが

【数94】

が１の原始Ｍ乗根を含むように選択される場合に適用され得る。これを保証する方法の１つは、Ｍがｑ－１を割り切るようにｑを素数であるように設定することによる。以下は、共通データ型に合致するサイズ３２ビットおよび６４ビットのそのような素数の２つの例である：
・ ２^３１＜ｑ＝１０・３^１８＋１≦２^３２、および
・ ２^６３＜ｑ＝４・３^３９＋１＜２^６４
ＮＴＴを適用するための対応する１のＭ乗根が、それ自体知られているように、取得され得る。例えば、ｑ＝１０・３^１８＋１の場合に

【数95】

、ｑ＝４・３^３９＋１の場合に

【数96】

をとり得る。これらは両方とも、それぞれ１の３^７根である。

【0143】

２の累乗のモジュラス
他の箇所でも説明されるように、２の累乗のモジュラスを選択することが非常に有益であることが多い。一般的な選択は、ｑ＝２^３２またはｑ＝２^６４である。Ｍが３の累乗であるように選択される場合、Ｍおよびｑが互いに素である。

【数97】

は、１の原始Ｍ乗根を含まないため、通常のＮＴＴは、この場合に数論変換として直接適用されることができない（具体的には、このために、Ｍが

【数98】

の単元のグループの位数を割り切る必要があるため、

【数99】

は、位数Ｍの要素を含むことができない。それは、ｑが２の累乗である場合にｑ／２である）。しかしながら、他の数論変換は、この設定で適用され得る。例えば、ショーンハーゲのアルゴリズムまたはヌスバウマーのアルゴリズムが使用され得る。同じことが、Ｍが

【数100】

における単元であるようなＭの他の選択にも当てはまる。

【0144】

図３は、例えば、図２のブラインド回転において使用するための、累算器ユニット３６０の実施形態の例を概略的に示す。

【0145】

累算器ユニット３６０は、ブートストラッピング鍵のＧＧＳＷ暗号化された現在のビット３７１が設定されているかどうかに応じて、ＬＷＥ型暗号文の現在のランダムマスク値３１１を現在のＧＬＷＥ暗号化３５０に選択的に加算する累算演算を行うように構成され得る。

【0146】

累算器ユニット３６０は、ブートストラッピング鍵の現在のビット３７１が設定されているかどうかに依存して、現在のＧＬＷＥ暗号化３５０、または現在のランダムマスク値３１１を表す単項式によって乗算された現在のＧＬＷＥ暗号化のいずれかを忘却的に（ｏｂｌｉｖｉｏｕｓｌｙ）選択するように構成され得る。第１のまたは第２のＧＬＷＥ暗号文を忘却的に選択するそのような演算は、制御されたセレクタゲートまたは制御されたマルチプレクサ演算ＣＭｕｘとしても知られている。一般に、ビットｂ∈｛０，１｝を暗号化するＧＧＳＷ暗号文Ｃおよび２つのＧＬＷＥ暗号文ｃ_０およびｃ_１が与えられると、ＣＭｕｘ演算は、ｃ_ｂと同一の平文を暗号化する暗号文を出力し得る。

【数101】

ここで、

【数102】

は、暗号文の外部積を示す。「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ ｅｆｆｉｃｉｅｎｔ ｈｏｍｏｍｏｒｐｈｉｃ ｉｎｆｅｒｅｎｃｅ ｏｆ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」に、詳細な例が与えられている。この場合、累算器ユニットは、

【数103】

を計算してもよく、ここで、ＡＣＣは、現在のＧＬＷＥ暗号化３５０であり、

【数104】

は、現在のランダムマスク値３１１であり、ｂｓｋ［ｊ］は、ＧＧＳＷ暗号化された現在のビット３７１である。

【0147】

２つのＧＬＷＥ暗号化間で忘却的な選択を行うために、累算器ユニット３６０は、ビット３７１が設定されている場合の所望の出力とビット３７１が設定されていない場合の所望の出力との間のＧＬＷＥ暗号化された差３６３を計算し得る。差３６３は、多項式乗算ＭｏｄＭｕｌ３６２を計算することによって行われ得る。多項式乗算は、現在のＧＬＷＥ暗号化ＡＣＣ３５０を、現在のランダムマスク値３１１から導出される多項式、例えば

【数105】

３１２と乗算してもよく、例えば上記の表記を使用して、

【数106】

が計算され得る。多項式乗算３６２は、典型的には、数論変換のフーリエドメイン表現ではなく、多項式の係数ドメイン表現で行われる。

【0148】

暗号化された差３６３が与えられると、累算器ユニット３６０は、ＧＧＳＷ暗号化されたビット３７１との差の外部積を計算し得る。これは、暗号化されたビット３７１がゼロである場合にゼロを暗号化しビットが１である場合に差３６３を暗号化するＧＬＷＥ暗号化３６８をもたらし得る。

【0149】

それ自体知られているように、ＧＬＷＥ暗号化３６３とＧＧＳＷ暗号化３７１とのそのような外部積を行うことは、複数のそれぞれの多項式積を計算することを含み得る。一般に、所与の平文のＧＧＳＷ暗号化３７１は、平文に依存する値の複数のそれぞれのＧＬＷＥ暗号化を含み得る。例として、「Ｐｒｏｇｒａｍｍａｂｌｅ ｂｏｏｔｓｔｒａｐｐｉｎｇ ｅｎａｂｌｅｓ ｅｆｆｉｃｉｅｎｔ ｈｏｍｏｍｏｒｐｈｉｃ ｉｎｆｅｒｅｎｃｅ ｏｆ ｄｅｅｐ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」に記載されているＧＧＳＷ暗号化

【数107】

は、それぞれの値ｈ（ｒ）についてのそれぞれのＧＬＷＥ型暗号化

【数108】

を含むように考慮されてもよく、Ｉ．Ｃｈｉｌｌｏｔｔｉら、「ＣＯＮＣＲＥＴＥ：Ｃｏｎｃｒｅｔｅ Ｏｐｅｒａｔｅｓ ｏＮ Ｃｉｐｈｅｒｔｅｘｔｓ Ｒａｐｉｄｌｙ ｂｙ Ｅｘｔｅｎｄｉｎｇ ＴｆｈＥ」（ｈｔｔｐｓ：／／ｈｏｍｏｍｏｒｐｈｉｃｅｎｃｒｙｐｔｉｏｎ．ｏｒｇ／ｗｐ－ｃｏｎｔｅｎｔ／ｕｐｌｏａｄｓ／２０２０／１２／ｗａｈｃ２０＿ｄｅｍｏ＿ｄａｍｉｅｎ．ｐｄｆにおいて入手可能であり、引用により本明細書に組み込まれる）において与えられるＴＧＧＳＷ暗号化の定義も参照されたい。

【0150】

特に、外部積を計算することは、それ自体知られているように、ＧＬＷＥ暗号化３６３のガジェット分解ＧＤｅｃ３６４を計算することを含み得る。ガジェット分解は、ＧＬＷＥ暗号化３６３に基づいて定義された多項式のベクトル３６５をもたらし得る。ガジェット分解は、典型的には、係数表現の多項式に対して計算される。外部積は、ガジェット分解ベクトル３６５を、多項式の行列と見なされるＧＧＳＷ暗号化３７１と乗算することによって計算され得る。行列乗算は、本明細書で説明するように、モジュラスｑおよび商多項式ｑ（ｘ）を法として計算されてもよく、したがって、ＧＬＷＥ暗号化３６３に基づくそれぞれの多項式とＧＧＳＷ暗号化３７１の多項式との多項式乗算を含み得る。

【0151】

興味深いことに、これらの多項式乗算は、数論変換を使用して効率的に行われ得る。このために、ガジェット分解３６５は、典型的には係数表現で計算３６４され、数論変換ＮＴＴ３２０を適用することによってフーリエドメイン表現に変換され得る。結果は、フーリエドメイン表現のガジェット分解３６６であり、図面において破線で示されている。ガジェット分解３６６は、次いで、フーリエドメイン多項式乗算ＦＦＴＭｕｌ３３０を適用することによって、フーリエドメイン表現でも、ＧＧＳＷ暗号化３７１と乗算され得る。この乗算３３０は、他の箇所でもより詳細に説明されるように、評価点のセット内のそれぞれの多項式の評価を点ごとに乗算することを含み得る。結果は、フーリエドメイン表現の、外部積から得られるＧＬＷＥ暗号化３６７であってもよい。数論変換の逆のＩＮＴＴ３４０を使用してフーリエドメイン表現３６７を変換することによって、ＧＬＷＥ暗号化は、係数表現３６８で取得され得る。

【0152】

図に示されるように、ＧＧＳＷ暗号化３７１は、フーリエドメイン表現された形式で取得されてもよく、例えば、フーリエドメイン表現で別の関係者またはストレージから受信され得る。しかし、累算３６０の一部としてＮＴＴ３２０を適用することによって、フーリエドメイン表現された形式に変換することも可能である。

【0153】

フーリエドメイン表現に変換すること３２０およびフーリエドメイン表現から変換すること３４０、ならびにフーリエドメインで多項式乗算３３０を行うことの詳細な例が、ここで与えられる。この例は、離散フーリエ変換を示し、「通常の」または「標準」数論変換とも呼ばれることもある。

【0154】

この例では、Ｒが１を有する環であるとする。また、ωを、Ｍ＞１の整数に対する１の原始Ｍ乗根とする。ＮＴＴ多項式Ｘ^Ｍ－１を法とする２つの多項式ｆ、ｇ∈Ｒ［Ｘ］／（Ｘ^Ｍ－１）を乗算する方法が説明される。これは、例えば「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」の第８章からそれ自体知られている。

【0155】

多項式、次数＜Ｍのｆ：＝ｆ（Ｘ）＝ｆ_０＋ｆ_１Ｘ＋・・・＋ｆ_Ｍ－１Ｘ^Ｍ－１∈Ｒ［Ｘ］が、係数ベクトル、例えば、（ｆ_０，ｆ_１，．．．，ｆ_Ｍ－１）∈Ｒ^Ｍとして係数形式で表され得る。多項式ｆ（Ｒ^Ｍのベクトルとして見られる）の離散フーリエ変換は、ωのそれぞれの累乗におけるｆの評価を含み得る。例えば：

【数109】

である。

【0156】

次数＜Ｍの２つの多項式ｆ、ｇ∈Ｒ［Ｘ］について、
ＤＦＴ_ω（ｆ＊ｇ）＝ＤＦＴ_ω（ｆ）・ＤＦＴ_ω（ｇ）
が成り立つ。ここで、＊は、多項式畳み込みを示し、・は、ベクトルの点ごとの乗算を示す。

【0157】

次数＜Ｍの多項式ｆ、ｇ∈Ｒ［Ｘ］／（Ｘ^Ｍ－１）が与えられると、Ｘ^Ｍ－１を法とする乗算は畳み込み（例えば、ｆｇ≡ｆ＊ｇ（ｍｏｄＸ^Ｍ－１））であるので、多項式積ｈ：＝ｆｇ∈Ｒ［Ｘ］／（Ｘ^Ｍ－１）は、この例では、ＤＦＴ３２０、点ごとの乗算３３０、および逆ＤＦＴ３４０を適用することによって取得され得る：
ｈ＝ＤＦＴ_ω ^－１（ＤＦＴ_ω（ｆ）・ＤＦＴ_ω（ｇ））
ここでＤＦＴ_ω ^－１は、逆離散フーリエ変換を示す。興味深いことに、次数＜Ｍの任意の多項式ｈ∈Ｒ［Ｘ］について、

【数110】

が成り立つ。

【0158】

一般に、ＮＴＴ多項式Ｘ^Ｍ－１を割り切る商多項式ｑ（Ｘ）が与えられると、商多項式を法とする多項式積は、ｈ（Ｘ）ｍｏｄ ｑ（Ｘ）を計算することによって取得され得る。

【0159】

いくつかの商多項式ｑ（Ｘ）について、例えば、ＮＴＴ多項式の次数ではなくｑ（Ｘ）の次数に等しい要素の数を用いたフーリエドメイン表現に基づいて、ＮＴＴベースの多項式乗算を特に効率的に行うことが可能である。そのような場合に、フーリエドメイン表現は、１の原始Ｍ乗根の累乗のセットのサブセットのみを含み得る。

【0160】

例えば、ｆ、ｇ∈Ｒ［Ｘ］／（Ｘ^Ｎ＋Ｘ^Ｎ／２＋１）が与えられると、ｆ_ｊ∈Ｒで

【数111】

であり、およびｇ_ｊ∈Ｒで

【数112】

と書く。ｉ∈｛１，２｝に対して、ｆ_ｉ ^＊（Ｘ）＝ｆ（ω^ｉＸ）およびｇ_ｉ ^＊（Ｘ）＝ｇ（ω^ｉＸ）と定義する。ω^Ｍ－１＝（ω^Ｎ／２－１）（ω^Ｎ＋ω^Ｎ／２＋１）＝０であることに留意すると、ωが、１の原始（３Ｎ／２）乗根であるため、ω^Ｎ＋ω^Ｎ／２＋１＝０ということになり、多項式Ｘ^Ｎ＋Ｘ^Ｎ／２＋１は、Ｘ^Ｎ＋Ｘ^Ｎ／２＋１＝（Ｘ^Ｎ／２－ω^Ｎ／２）（Ｘ^Ｎ／２－ω^Ｎ）＝（（ω^２Ｘ）^Ｎ／２－１）（（ωＸ）^Ｎ／２－１）と表され得る。ゆえに：

【数113】

および

【数114】

であることが分かり得る。

【0161】

同様に、

【数115】

であり、ここで

【数116】

、および

【数117】

であり、ここで

【数118】

が成り立つ。

【0162】

η：＝ω^３とし、それは、１の原始（Ｎ／２）乗根である。ｉ∈｛１，２｝に対し、ｈ_ｉ ^＊：＝ｆ_ｉ ^＊ｇ_ｉ ^＊ ｍｏｄ （Ｘ^Ｎ／２－１）は、
ｈ_ｉ ^＊＝ＤＦＴ_η ^－１（ＤＦＴ_η（ｆ_ｉ ^＊）・ＤＦＴ_η（ｇ_ｉ ^＊））
と計算され得る。多項式ｈ_ｉ：＝ｆ_ｉｇ_ｉ ｍｏｄ （（ω^３－ｉＸ）^Ｎ／２－１）は、ｉ∈｛１，２｝について、

【数119】

であり、ｈ_ｉ，ｊ＝ｈ_ｉ，ｊ ^＊（ω^ｉ）^－ｊ∈Ｒ
として回復され得る。中国の剰余定理を適用することで

【数120】

として積多項式ｈ：＝ｆｇ∈Ｒ［Ｘ］／（Ｘ^Ｎ＋Ｘ^Ｎ／２＋１）をもたらし得る。

【0163】

したがって、この場合、数論変換演算３２０は、

【数121】

として実施されてもよく、入力としてＲ［Ｘ］／（Ｘ^Ｎ＋Ｘ^Ｎ／２＋１）の多項式３６５をとり、そのフーリエ表現３６６を返す。例えば、ｆ∈Ｒ［Ｘ］／（Ｘ^Ｎ＋Ｘ^Ｎ／２＋１）が与えられると、フーリエ表現は、

【数122】

と計算され得る。ここで、η＝ω^３であり、または等価的に、

【数123】

である。逆演算３４０は、

【数124】

と記載されてもよく、乗算３３０は、ＤＦＴ_η（ｆ_ｉ ^＊）・ＤＦＴ_η（ｇ_ｉ ^＊）、ｉ＝１、２として実施される。

【0164】

上記の例では、１の原始Ｍ乗根が使用され、ＭがＮＴＴ多項式の次数であった。Ｍが

【数125】

内の単元であるという唯一の条件下で数論変換を実施することも可能である。例えば、数論変換は、ショーンハーゲのアルゴリズムを使用して実施することができるが、例えば、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」のアルゴリズム８．３０を参照、またはヌスバウマーのアルゴリズムを使用して実施することができるが、例えば、「Ｍｏｄｅｒｎ Ｃｏｍｐｕｔｅｒ Ａｌｇｅｂｒａ」の演習４．６．４．５９を参照のこと。数論変換のさらなる実装形態は、例えば、Ｄ．Ｂｅｒｎｓｔｅｉｎ、「Ｍｕｌｔｉｄｉｇｉｔ ｍｕｌｔｉｐｌｉｃａｔｉｏｎ ｆｏｒ ｍａｔｈｅｍａｔｉｃｉａｎｓ」、Ｕｎｐｕｂｌｉｓｈｅｄ ｍａｎｕｓｃｒｉｐｔ、ｈｔｔｐｓ：／／ｃｒ．ｙｐ．ｔｏ／ｐａｐｅｒｓ．ｈｔｍｌ＃ｍ３において入手可能、２００１年８月（引用により本明細書に組み込まれる）、およびＨ．Ｎｕｓｓｂａｕｍｅｒ、「Ｆａｓｔ ｐｏｌｙｎｏｍｉａｌ ｔｒａｎｓｆｏｒｍ ａｌｇｏｒｉｔｈｍｓ ｆｏｒ ｄｉｇｉｔａｌ ｃｏｎｖｏｌｕｔｉｏｎ」、ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ａｃｏｕｓｔｉｃｓ，Ｓｐｅｅｃｈ，ａｎｄ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｉｎｇ、２８（２）：２０５－２１５頁、１９８０年（引用により本明細書に組み込まれる）に、開示されている。

【0165】

ＧＬＷＥ暗号化３６８は、累算器ユニットの出力、例えば

【数126】

または等価的に、

【数127】

を表すＧＬＷＥ暗号化３５０’を取得するために、現在のＧＬＷＥ暗号化３５０に加算３６９で準同型的に加算され得る。

【0166】

上記技術の変形が可能であり、例えば、暗号鍵３７１のゼロおよび１の役割は、差３６３およびＧＬＷＥ暗号化３６８に加算された値に適切に適応することによって逆にされ得る；加算３６９はフーリエドメインにおいて行われ得る；などである。また、そのような他の場合、一般に、累算器ユニット３６０は、ブートストラッピング鍵のＧＧＳＷ型暗号文とのＧＬＷＥ型暗号文の外部積を計算し得る。それは、上述したその多項式乗算に数論変換を使用することによって、より効率的になり得る。

【0167】

図２および図３の例では、提案される技術は、（Ｇ）ＬＷＥ暗号化およびそのガジェット変形ＧＧＳＷに基づいて説明される。特に、上記説明では、ブラインド回転が適用される暗号文２１１は、ＬＷＥ暗号文であり、ブラインド回転の暗号化された多項式積２５０が、ＧＬＷＥ暗号化であり、累算器が、ブートストラッピング鍵のＧＧＳＷ暗号化を使用して実施される。

【0168】

しかしながら、ＬＷＥを使用する必要は必ずしもなく、特に、入力暗号文２１１および／または暗号化された多項式積２５０にＮＴＲＵ型暗号化を使用することが可能である。後者の場合、ブートストラッピング鍵は、ガジェットＮＴＲＵ暗号化を含み得る。より概略的には、提供される技術は、テスト多項式とＸ^Ｍ＋１とは異なる商多項式を法とするブートストラッピング多項式との暗号化された多項式積が得られる任意のブラインド回転、例えば、任意の累算器ベースのブラインド回転に適用され得る。

【0169】

特に、暗号化された多項式積２５０にＮＴＲＵを使用することに関して、説明される「ブラインド回転」アルゴリズム自体が抽象累算器ＡＣＣを利用することに留意されたい。上述したように、この累算器がＧＬＷＥに基づいて実施されてもよいが、これは必須ではない。他の種類の累算器が、例えば、ＮＴＲＵに基づいて可能である。ＮＴＲＵ暗号文に基づいて、ＧＧＳＷ暗号化に類似のガジェット暗号化が定義されてもよく、それを用いて、外部積が定義され得る。詳細な例が、Ｃ．Ｂｏｎｔｅら、「ＦＩＮＡＬ：Ｆａｓｔｅｒ ＦＨＥ ｉｎｓｔａｎｔｉａｔｅｄ ｗｉｔｈ ＮＴＲＵ ａｎｄ ＬＷＥ」、ｈｔｔｐｓ：／／ｉａ．ｃｒ／２０２２／０７４において見つけられ得る。したがって、累算器は、ＮＴＲＵに基づいて実施されてもよく、その値は、例えば、

【数128】

内の要素を含んでもよく、ＣＭｕｘは、図３に関して説明されるように定義され得る。

【0170】

例として、この種類のＮＴＲＵベース累算器を使用してμを暗号化するＬＷＥ暗号文ｃにブラインド回転を適用することは、ブートストラッピング単項式

【数129】

およびテスト多項式νの暗号化された多項式積

【数130】

を生じ得る。この場合、暗号化された多項式は、形式

【数131】

のＮＴＲＵ暗号文であってもよい。適当なキースイッチング鍵を使用すると、

【数132】

の定数項を暗号化するＬＷＥ暗号文は、任意選択で、参考文献「ＦＩＮＡＬ」で説明されるように、この暗号化された多項式から抽出され得る。

【0171】

暗号化された多項式の代わりに、または暗号化された多項式に加えて、入力暗号文２１１もＬＷＥ型暗号文である必要がない。特に、ブラインド回転は、参考文献「ＦＩＮＡＬ」で説明されるように、ＮＴＲＵ型暗号文に適用され得る。参考文献「ＦＩＮＡＬ」で説明されるように、入力ＬＷＥ暗号文２１１をＮＴＲＵ暗号文から変換することによって取得することも可能である。

【0172】

そのような場合にも、暗号化された多項式積

【数133】

が固定係数で所望の出力値を含むように、テスト多項式νを定義することが望ましい。ＮＴＲＵの場合にも、提供される技術は、使用されるＸ^Ｍ＋１とは異なる商多項式の様々な選択について、テスト多項式が定義されることを可能にする。

【0173】

図４は、暗号化計算方法４００の実施形態の例を概略的に示す。暗号化計算方法４００は、コンピュータ実装され得る。

【0174】

方法４００は、平文値を暗号化する、例えばＬＷＥ型の暗号文を取得すること４１０を含み得る。

【0175】

方法４００は、テスト多項式に従って暗号文のブラインド回転を行うこと４２０をさらに含み得る。ブラインド回転は、テスト多項式とモジュラスｑを法としおよび商多項式ｐ（Ｘ）を法とするブートストラッピング単項式との暗号化された多項式積を生じ得る。ブートストラッピング単項式は、平文値を指数として表し得る。商多項式ｐ（Ｘ）は、モジュラスｑを法とする数論変換を可能にするＮＴＴ多項式、例えばＸ^Ｍ－１を割り切り得る。ブラインド回転を行うことは、数論変換を使用して多項式乗算を行うこと４２５を含み得る。テスト多項式は、多項式積が平文値についての所望の出力値を固定係数として有するように定義され得る。

【0176】

図５は、テスト多項式を決定する方法５００の実施形態の例を概略的に示す。方法５００は、コンピュータ実装され得る。

【0177】

テスト多項式は、本明細書で説明されるように、暗号化計算において使用するためのものであり得る。暗号化計算方法は、ブートストラッピング単項式とモジュラスｑを法としおよび商多項式ｐ（Ｘ）を法とするテスト多項式との多項式積を計算することを含み得る。商多項式ｐ（Ｘ）は、ＮＴＴ多項式を割り切り得る。

【0178】

方法５００は、それぞれの平文値についての所望の出力値を定義するルックアップテーブルを取得すること５１０を含み得る。方法５００は、モジュラス、商多項式、およびＮＴＴ多項式を取得すること５２０を含み得る。方法５００は、多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算すること５３０を含み得る。

【0179】

当業者に明らかとなるように、方法４００、５００を実行する多くの異なる方法が可能である。例えば、ステップの順序が示された順序で行われてもよいが、ステップの順序が変化してもよく、またはいくつかのステップが並列で実行されてもよい。さらに、ステップ間において、他の方法ステップが挿入されてもよい。挿入されたステップは、本明細書で説明されるような方法の改良を表してもよく、または方法に関連しなくてもよい。例えば、少なくとも部分的に、並列していくつかのステップが実行されてもよい。さらに、所与のステップは、次のステップが開始される前に完全に終了していなくてもよい。方法４００、５００を組み合わせることも可能であり、例えば、テスト多項式を使用して暗号化計算を行う方法４００は、方法５００によるテスト多項式の計算の後に行われてもよい。

【0180】

方法の実施形態は、ソフトウェアを使用して行われてもよく、ソフトウェアは、プロセッサシステムに方法４００または５００を行わせる命令を含む。ソフトウェアは、システムの特定のサブエンティティによって行われるそれらのステップのみを含み得る。ソフトウェアは、ハードディスク、フロッピー、メモリ、光ディスクなどの適当なストレージ媒体に記憶され得る。ソフトウェアは、有線、またはワイヤレスに沿った信号として送信されることが可能であり、またはデータネットワーク、例えばインターネットを使用して送信されることが可能である。ソフトウェアは、ダウンロードおよび／またはサーバ上でのリモート利用に利用可能にされ得る。方法の実施形態は、方法を行うために、プログラマブルロジック、例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）を構成するように構成されたビットストリームを使用して実行され得る。

【0181】

本開示の主題も、特に本開示の主題を実践するように構成されたコンピュータプログラム、特に、搬送波上または搬送波中のコンピュータプログラムに拡大すると理解されたい。プログラムは、ソースコード、オブジェクトコード、コード中間ソース、および部分的にコンパイルされた形式などのオブジェクトコードの形式、または方法の実施形態の実装形態における使用に適した任意の他の形式であってもよい。コンピュータプログラム製品に関連する実施形態は、記述した方法の少なくとも１つの処理ステップのそれぞれに対応するコンピュータ実行可能命令を含む。これらの命令は、サブルーチンに細分化されてもよく、および／または静的もしくは動的にリンクされ得る１つ以上のファイル内に記憶されてもよい。コンピュータプログラム製品に関連する別の実施形態は、記述したシステムおよび／または製品の少なくとも１つのデバイス、ユニット、および／または部品のそれぞれに対応するコンピュータ実行可能命令を含む。

【0182】

典型的には、本明細書、例えば、図１ａ－１ｃに記載されたデバイスは、システムに記憶された適当なソフトウェアを実行する１つ以上のマイクロプロセッサを含む。例えば、そのソフトウェアが、対応するメモリ、例えば、ＲＡＭなどの揮発性メモリまたはフラッシュなどの不揮発性メモリにダウンロードおよび／または記憶されていてもよい。代替として、システムは、全体的または部分的に、プログラマブルロジック、例えばフィールドプログラマブルゲートアレイ（ＦＰＧＡ）において実装され得る。システムは、全体的または部分的に、いわゆる特定用途向け集積回路（ＡＳＩＣ）、例えば、それらの特定の用途のためにカスタマイズされた集積回路（ＩＣ）として実装され得る。例えば、回路は、例えば、Ｖｅｒｉｌｏｇ、ＶＨＤＬなどのハードウェア記述言語を使用してＣＭＯＳで実装され得る。特に、システムは、暗号プリミティブの評価のための回路を含み得る。

【0183】

プロセッサ回路は、分散様式で、例えば、複数のサブプロセッサ回路として実装され得る。ストレージは、複数の分散サブストレージにわたって分散され得る。メモリの一部または全てが、電子メモリ、磁気メモリなどであってもよい。例えば、ストレージは、揮発性および不揮発性部分を有し得る。ストレージの一部が、読み取り専用であってもよい。

【0184】

図６は、書き込み可能部分１０１０を有するコンピュータ可読媒体１０００を示す。コンピュータ可読媒体１０００は、光学読み取り可能媒体の形式で示されている。コンピュータ可読媒体１０００は、データ１０２０を記憶してもよく、データは、プロセッサシステムによって実行されると、実施形態に従って、プロセッサシステムに暗号化計算方法を行う方法および／またはテスト多項式を決定する方法の実施形態を行わせる命令を示し得る。

【0185】

代わりに、または加えて、データ１０２０は、実施形態による暗号化計算方法において使用するテスト多項式を表し得る。テスト多項式は、実施形態により前もって決定されてもよい。

【0186】

データ１０２０は、物理的マークとして、またはコンピュータ可読媒体１０００の磁化によって、コンピュータ可読媒体１０００上に具現化され得る。しかしながら、任意の他の適当な実施形態も考えられる。さらに、コンピュータ可読媒体１０００はここでは光ディスクとして示されているが、コンピュータ可読媒体１０００は、ハードディスク、ソリッドステートメモリ、フラッシュメモリなどの任意の適当なコンピュータ可読媒体であってもよく、記録不可能であっても記録可能であってもよいことを理解されたい。コンピュータプログラム１０２０は、プロセッサシステムに、暗号化された値、例えばＬＷＥ暗号化された値に対して計算を行う前記方法、またはテスト多項式を決定する前記方法を行わせる命令を含む。

【0187】

図７は、暗号化計算を行うため、またはテスト多項式を決定するためのデバイスの実施形態によるプロセッサシステム１１４０の概略的表現を示す。プロセッサシステムは、１つ以上の集積回路１１１０を含む。１つ以上の集積回路１１１０のアーキテクチャは、図に概略的に示されている。回路１１１０は、コンピュータプログラム構成要素を実行して、実施形態による方法を実行するため、および／またはそのモジュールもしくはユニットを実装するための処理ユニット１１２０、例えばＣＰＵを含む。回路１１１０は、プログラミングコード、データなどを記憶するためのメモリ１１２２を含む。メモリ１１２２の一部は、読み出し専用であり得る。回路１１１０は、通信要素１１２６、例えばアンテナ、コネクタ、またはその両方などを含み得る。回路１１１０は、方法で定義された処理の一部または全部を行うための専用の集積回路１１２４を含み得る。プロセッサ１１２０、メモリ１１２２、専用ＩＣ１１２４、および通信要素１１２６は、相互接続１１３０、例えばバスを介して相互に接続され得る。プロセッサシステム１１１０は、アンテナおよび／またはコネクタを使用して、それぞれ接触および／または非接触通信のために構成され得る。

【0188】

例えば、実施形態では、プロセッサシステム１１４０、例えば暗号化計算を行うまたはテスト多項式を決定するためのデバイスは、プロセッサ回路およびメモリ回路を含んでもよく、プロセッサは、メモリ回路に記憶されたソフトウェアを実行するように構成される。例えば、プロセッサ回路は、Ｉｎｔｅｌ Ｃｏｒｅ ｉ７プロセッサ、ＡＲＭ Ｃｏｒｔｅｘ－Ｒ８などであってもよい。実施形態では、プロセッサ回路はＡＲＭ Ｃｏｒｔｅｘ Ｍ０であってもよい。メモリ回路は、ＲＯＭ回路、または不揮発性メモリ、例えばフラッシュメモリであってもよい。メモリ回路は、揮発性メモリ、例えばＳＲＡＭメモリであってもよい。後者の場合、デバイスは、ソフトウェアを提供するように構成された不揮発性ソフトウェアインターフェース、例えば、ハードドライブ、ネットワークインターフェースなどを含んでもよい。

【0189】

デバイス１１１０は、説明された各構成要素の１つを含むものとして示されているが、様々な構成要素が、様々な実施形態において複製され得る。例えば、プロセッサ１１２０は、本明細書で説明される方法を独立して実行するように構成されるか、または複数のプロセッサが本明細書で説明される機能を達成するために協調するように本明細書で説明される方法のステップまたはサブルーチンを行うように構成される複数のマイクロプロセッサを含んでもよい。さらに、デバイス１１１０がクラウドコンピューティングシステムにおいて実施されている場合、様々なハードウェア構成要素が、別個の物理システムに属し得る。例えば、プロセッサ１１２０は、第１のサーバ内の第１のプロセッサおよび第２のサーバ内の第２のプロセッサを含み得る。

【0190】

上述した実施形態は、本開示の主題を限定するのではなく例示し、当業者は多くの代替実施形態を設計することができることに留意されたい。

【0191】

請求項では、括弧の間に配置されたいかなる参照符号も、請求項を限定するものと解釈されないものとする。動詞「備える」およびその活用の使用は、請求項に規定されているもの以外の要素またはステップの存在を排除するものではない。要素に先行する冠詞「１つの（ａ）」または「１つの（ａｎ）」は、複数のそのような要素の存在を排除するものではない。要素のリストに先行するときの「のうちの少なくとも１つ」などの表現は、リストからの要素の全てまたは任意のサブセットの選択を表す。例えば、「Ａ、Ｂ、およびＣのうちの少なくとも１つ」という表現は、Ａのみ、Ｂのみ、Ｃのみ、ＡとＢの両方、ＡとＣの両方、ＢとＣの両方、またはＡ、Ｂ、およびＣの全てを含むものとして理解されるべきである。本開示の主題は、いくつかの別個の要素を含むハードウェアによって、および適当にプログラムされたコンピュータによって実装され得る。いくつかの部分を列挙するデバイス請求項では、これらの部分のいくつかは、ハードウェアの１つの同じアイテムによって具現化され得る。ある手段が相互に異なる従属請求項に列挙されているという事実だけでは、これらの手段の組合せが有利に使用され得ないことを示していない。

【0192】

請求項において、括弧内の参照は、例示的な実施形態の図面における参照符号または実施形態の式を指し、したがって、請求項の明瞭度を増加させる。これらの参照は、請求項を限定するものと解釈してはならない。

【図1a】

【図1b】

【図1c】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【手続補正書】

【提出日】2024-08-05

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

暗号法的暗号化計算方法（４００）であって、
－ 平文値を暗号化する暗号文を取得すること（４１０）と、
－ テスト多項式に従って暗号文のブラインド回転を行うこと（４２０）であって、ブラインド回転が、テスト多項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするブートストラッピング単項式との暗号化された多項式積を生じ、ブートストラッピング単項式が平文値を指数として表す、こと（４２０）と、
を含み、
商多項式（ｐ（Ｘ））が、モジュラス（ｑ）を法とする数論変換を可能にするＮＴＴ多項式（Ｘ^Ｍ－１）を割り切り、ブラインド回転を行うことが、数論変換を使用して多項式乗算を行うこと（４２５）を含み、テスト多項式が、多項式積が平文値に対する所望の出力値を固定係数として有するように定義される、方法（４００）。

【請求項2】

暗号文が、ＬＷＥ型暗号文である、請求項１に記載の方法（４００）。

【請求項3】

暗号文が、ＮＴＲＵ型暗号文からの変換によって取得される、請求項２に記載の方法（４００）。

【請求項4】

暗号文が、ＮＴＲＵ型暗号文である、請求項１に記載の方法（４００）。

【請求項5】

入力暗号文を取得することと、暗号文を取得するために入力暗号文に対してモジュラススイッチングを行うことと、ブラインド回転を行うことと、固定係数の暗号化を計算された暗号化された多項式積から抽出するためにサンプル抽出を行うこととによって、プログラマブルブートストラッピングを行うことを含む、請求項１に記載の方法（４００）。

【請求項6】

ブラインド回転を行うことが、ブートストラッピング鍵に含まれるガジェット暗号文との暗号文の外部積を計算することを含み、外部積を計算する多項式乗算が数論変換を使用して行われる、請求項１に記載の方法（４００）。

【請求項7】

商多項式が、Ｘ^Ｎ＋１に等しくない、請求項１に記載の方法（４００）。

【請求項8】

商多項式の次数（Ｎ）が、ＮＴＴ多項式の次数（Ｍ）の半分より厳密に大きい、請求項１に記載の方法（４００）。

【請求項9】

モジュラス（ｑ）が、２の累乗である、請求項１に記載の方法（４００）。

【請求項10】

モジュラス（ｑ）が素数であり、ＮＴＴ多項式の次数（Ｍ）がモジュラスから１を引いた値を割り切る、請求項１に記載の方法（４００）。

【請求項11】

モジュラスが、１０・３^１８＋１または４・３^３９＋１に等しい、請求項１０に記載の方法（４００）。

【請求項12】

商多項式が、Ｘ^Ｎ＋Ｘ^Ｎ／２＋１またはＸ^Ｎ－Ｘ^Ｎ／２＋１に等しい、請求項１に記載の方法（４００）。

【請求項13】

ＮＴＴ多項式の次数が３の累乗であり、商多項式の次数がＮＴＴ多項式の次数の３分の２である、請求項１に記載の方法（４００）。

【請求項14】

固定係数が、定数係数または主係数である、請求項１に記載の方法（４００）。

【請求項15】

請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式を決定する方法（５００）であって、暗号化計算方法が、ブートストラッピング単項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするテスト多項式との多項式積を計算することであって、商多項式（ｐ（Ｘ））が、ＮＴＴ多項式を割り切る、ことを含み、方法が、
－ それぞれの平文値に対する所望の出力値を定義するルックアップテーブルを取得すること（５１０）と、
－ モジュラス、商多項式、およびＮＴＴ多項式を取得すること（５２０）と、
－ 多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算すること（５３０）と
を含む、方法（５００）。

【請求項16】

暗号化計算デバイス（１１０、１１２）であって、
－ 平文値を暗号化した暗号文を記憶するためのストレージ（１４０）、
－ テスト多項式に従って暗号文のブラインド回転を行うように構成されるプロセッササブシステム（１３０）であって、ブラインド回転が、テスト多項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするブートストラッピング単項式との暗号化された多項式積を生じ、ブートストラッピング単項式が平文値を指数として表す、プロセッササブシステム（１３０）
を備え、
商多項式（ｐ（Ｘ））が、モジュラス（ｑ）を法とする数論変換を可能にするＮＴＴ多項式（Ｘ^Ｍ－１）を割り切り、ブラインド回転を行うことが、数論変換を使用して多項式乗算を行うことを含み、テスト多項式が、多項式積が平文値に対する所望の出力値を固定係数として有するように定義される、暗号化計算デバイス（１１０、１１２）。

【請求項17】

請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式を決定するためのデバイス（１１１、１１２、１１３、１１９）であって、暗号化計算方法が、ブートストラッピング単項式とモジュラス（ｑ）を法としおよび商多項式（ｐ（Ｘ））を法とするテスト多項式との多項式積を計算することであって、商多項式（ｐ（Ｘ））がＮＴＴ多項式を割り切る、ことを含み、デバイスが、
－ それぞれの平文値に対する所望の出力値を定義するルックアップテーブルを記憶するストレージ（１４９）、
－ プロセッササブシステム（１３９）であって、
－ モジュラス、商多項式、およびＮＴＴ多項式を取得し、
－ 多項式積がそれぞれの所望の出力値をそれぞれの平文値に対する固定係数として有するように、テスト多項式を計算する
ように構成される、プロセッササブシステム（１３９）
を備える、デバイス（１１１、１１２、１１３、１１９）。

【請求項18】

一時的または非一時的コンピュータ可読記憶媒体（１０００）であって、
－ プロセッサシステムによって実行されると、プロセッサシステムに請求項１から１４のいずれか一項に記載の方法を行わせる、および／または請求項１５に記載の方法を行わせる命令、および／または、
－ 請求項１から１４のいずれか一項に記載の暗号化計算方法において使用するテスト多項式
を表すデータを含む、一時的または非一時的コンピュータ可読記憶媒体（１０００）。

【国際調査報告】