JP2021083039A - 秘匿演算装置、秘匿演算方法及び秘匿演算プログラム - Google Patents

Abstract

【課題】完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算を実行できる秘匿演算装置を提供する。【解決手段】秘匿演算装置において、制御部１０は、ブートストラップ処理部１１、第１〜第３演算部及び出力部を備える。ブートストラップ処理部は、多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力する。第１演算部は、１変数関数として０以上Ｂ未満の入力整数を２分の１にする演算を設定して第１演算結果を取得する。第２演算部は、第１演算結果に入力２進数の１又は０を表す値である０又はＢを加算後、１変数関数としてトーラス上の値をそのまま返す演算を設定して第２演算結果を取得する。第３演算部は、第２演算結果に第１演算結果を加算後、１変数関数として整数をそのまま返す演算を設定して第３演算結果を取得する。出力部は、第３演算結果を入力整数と入力２進数との乗算結果として出力する。【選択図】図６

Description

本発明は、完全準同型暗号上での秘匿演算装置、秘匿演算方法及び秘匿演算プログラムに関する。

従来、暗号文上での秘匿演算の手法が様々提案されている。非特許文献１では、完全準同型方式であるＴＦＨＥが提案されたが、この方式では、平文はビット値に限られていた。非特許文献２では、整数の平文を扱うことができ（以下、Ｉｎｔｅｇｅｒ−ｗｉｓｅという）、かつ、完全準同型暗号に必要なブートストラッピングと呼ばれるノイズ除去処理と同時に符号関数を実行する方式が提案されている。

Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ， Ｎｉｃｏｌａｓ Ｇａｍａ， Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ， ａｎｄ Ｍａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ． Ｆａｓｔｅｒ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ： Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｉｎ ｌｅｓｓ ｔｈａｎ ０．１ ｓｅｃｏｎｄｓ． Ｉｎ Ｊｕｎｇ Ｈｅｅ Ｃｈｅｏｎ ａｎｄ Ｔｓｕｙｏｓｈｉ Ｔａｋａｇｉ， ｅｄｉｔｏｒｓ， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＡＳＩＡＣＲＹＰＴ ２０１６， ｐａｇｅｓ ３−３３， ２０１６． Ｆｌｏｒｉａｎ Ｂｏｕｒｓｅ， Ｍｉｃｈｅｌｅ Ｍｉｎｅｌｌｉ， Ｍａｔｔｈｉａｓ Ｍｉｎｉｈｏｌｄ， ａｎｄ Ｐａｓｃａｌ Ｐａｉｌｌｉｅｒ． Ｆａｓｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｄｉｓｃｒｅｔｉｚｅｄ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ． Ｉｎ Ｈｏｖａｖ Ｓｈａｃｈａｍ ａｎｄ Ａｌｅｘａｎｄｒａ Ｂｏｌｄｙｒｅｖａ， ｅｄｉｔｏｒｓ， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＣＲＹＰＴＯ ２０１８， ｐａｇｅｓ ４８３−５１２． Ｓｐｒｉｎｇｅｒ， ２０１８．

非特許文献２では、ＴＦＨＥにおいて整数の暗号文を扱うことを可能にしたが、整数の暗号文同士の準同型加算、及び整数の暗号文に対するブートストラッピングと同時の符号関数演算のみが実行可能であり、秘匿演算が可能な演算の種類が不足していた。

本発明は、完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算を実行できる秘匿演算装置、秘匿演算方法及び秘匿演算プログラムを提供することを目的とする。

本発明に係る秘匿演算装置は、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部と、前記ブートストラップ処理部に対して、前記１変数関数として、０以上Ｂ未満の入力整数を２分の１にする演算を設定して、第１演算結果を取得する第１演算部と、前記第１演算結果に入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、トーラス上の値をそのまま返す演算を設定して、第２演算結果を取得する第２演算部と、前記第２演算結果に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、整数をそのまま返す演算を設定して、第３演算結果を取得する第３演算部と、前記第３演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力部と、を備える。

本発明に係る秘匿演算方法は、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部を備えたコンピュータが、前記ブートストラップ処理部に対して、前記１変数関数として、０以上Ｂ未満の入力整数を２分の１にする演算を設定して、第１演算結果を取得する第１演算ステップと、前記第１演算結果に入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、トーラス上の値をそのまま返す演算を設定して、第２演算結果を取得する第２演算ステップと、前記第２演算結果に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、整数をそのまま返す演算を設定して、第３演算結果を取得する第３演算ステップと、前記第３演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力ステップと、を実行する。

本発明に係る秘匿演算プログラムは、前記秘匿演算装置としてコンピュータを機能させるためのものである。

本発明によれば、完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算が実行される。

第１実施形態における秘匿演算装置の機能構成を示すブロック図である。 第１実施形態における秘匿演算方法を実行するためのアルゴリズムを示す図である。 第１実施形態における平文空間のｓｌｉｃｅを例示する図である。 第１実施形態における１変数関数の値の設定方法を示す図である。 第１実施形態における秘匿演算方法に用いる鍵変換処理のアルゴリズムを示す図である。 第２実施形態における秘匿演算装置の機能構成を示すブロック図である。 第２実施形態における整数と２進数との乗算のアルゴリズムを示す図である。 第２実施形態における乗算を構成する各ステップに伴う平文空間上での値の変化を示す図である。

［第１実施形態］
以下、本発明の第１実施形態について説明する。
本実施形態における秘匿演算装置は、完全準同型暗号で必要なブートストラッピングと同時にＩｎｔｅｇｅｒ−ｗｉｓｅの任意の１変数関数（写像）の演算を実現する。
完全準同型暗号は、Ｓｏｍｅｗｈａｔ型準同型暗号にブートストラッピングを組み合わせて構成される。ここで、Ｓｏｍｅｗｈａｔ型準同型暗号とは、演算を重ねることによって暗号文上のノイズが大きくなり、ある程度の大きさになると復号が不可能になる方式である。完全準同型暗号は、Ｓｏｍｅｗｈａｔ型準同型暗号にブートストラッピングと呼ばれるノイズ除去処理を行うことで無制限に演算が実行できるようにしたものである。

図１は、本実施形態における秘匿演算装置１の機能構成を示すブロック図である。
秘匿演算装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、秘匿演算装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を秘匿演算装置１として機能させるための各種プログラム（秘匿演算プログラム）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。

制御部１０は、入力部１１１と、サンプル変換部１１２と、多項式定義部１１３と、多項式更新部１１４と、定数項抽出部１１５と、鍵変換部１１６とを備える。

入力部１１１は、ブートストラッピングを実施する後述のアルゴリズムに対して、任意の１変数関数（写像）を定義するための値、及びこの関数への入力値を、パラメータとして受け付ける。

サンプル変換部１１２は、入力値のトーラス上のＬＷＥサンプルを、整数空間上のサンプルへ変換する。

多項式定義部１１３は、サンプル変換部１１２により整数空間に割り当てられた入力値に対する関数値のトーラス上の値を、この整数空間の値をマイナスの次数とする項の係数とした多項式（後述のベクトルｔｅｓｔｖ）を定義する。

多項式更新部１１４は、ＬＷＥ暗号文の第１の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する。

定数項抽出部１１５は、多項式更新部１１４により更新された多項式の定数項のＬＷＥ暗号文を抽出することにより、関数値の第２の秘密鍵によるＬＷＥ暗号文を取得する。

鍵変換部１１６は、定数項抽出部１１５により取得した第２の秘密鍵によるＬＷＥ暗号文を、第１の秘密鍵によるＬＷＥ暗号文に変換する。

次に、秘匿演算装置１により実行される秘匿演算方法について、アルゴリズムの詳細を説明する。

［定義］
本実施形態の秘匿演算方法における各種の定義は、非特許文献１及び２に従うが、次のように説明を補足する。
長さｎのベクトルｘのｉ番目の要素をｘ_ｉと表記する（ｘ＝（ｘ_１，…，ｘ_ｎ））。
各種の空間等を次のように表記する。
・整数空間：Ｚ，実数空間：Ｒ
・トーラスＴ＝Ｒ／Ｚ
・多項式：
Ｒ［Ｘ］： 係数∈Ｒである、任意次数の多項式の集合
Ｔ_Ｎ［Ｘ］：＝Ｒ［Ｘ］／（Ｘ^Ｎ＋１）： 係数∈ＴであるＮ（例えば、１０２４）次の多項式の集合
また、ｘ←^Ｕχは、集合χから一様にランダムにｘをサンプルすることを意味する。

ＴＬＷＥ暗号及びＴＧＳＷ暗号は、非特許文献１において定義され、それぞれＬＷＥ暗号及びＧＳＷ暗号を拡張したものである。
ＴＬＷＥ暗号について、秘密ベクトルｓ、平文ｍ、ノイズｅのＬＷＥサンプル（ａ，ｂ）∈ＬＷＥ_ｓ（ｍ）は、

を満たす。ここで、ノイズｅは、一般的にガウス分布に従い、パラメータα（エラー率、ｂＴ上においてはノイズの標準偏差となる）を持つ。

ブートストラッピング・キーＢＫ_{ｓ→ｓ”，α}＝（ＢＫ_１，…，ＢＫ_ｎ）について、各ＢＫ_ｉは、秘密鍵ｓ”による、平文がＴＬＷＥ暗号文の秘密鍵ｓ_ｉのＴＧＳＷ暗号文である。ここで、ＴＧＳＷ暗号文は、ＴＬＷＥ暗号文と準同型演算が可能であり、

となる。
この「秘密鍵の暗号文」ＢＫ_ｉを用いることで、暗号文上の準同型演算により復号に当たる演算を行える。これにより、ブートストラッピングでは、入力の平文と同じ平文を持ち、かつ、ノイズの大きさが初期化された暗号文が生成される。

［平文空間の設定］
前述の非特許文献１の手法では、暗号文の平文空間がビット値に限られていた。本実施形態では、この手法を、非特許文献２のように整数値も扱えるように拡張する。

Ｂを自然数とし、ｍ_ｉｎ∈｛０，…，Ｂ−１｝を平文とする。このとき、ＬＷＥ暗号文の構成は次のようになる。

平文ｍ_ｉｎは、暗号文においては、ｍ_ｉｎ／２Ｂ∈Ｔの値に変換されている。ここで、ノイズｅが、

を満たす条件の下、復号において、２Ｂ倍しｒｏｕｎｄすることで元の値に戻る。なぜならば、

であるが、式（１）を満たす時、｜２Ｂｅ｜＜１／２となり、「（ｂ−＜ｓ，ａ＞）・２Ｂ」＝ｍ_ｉｎが得られるからである。
また、秘密鍵ｓによる、平文ｍのＬＷＥ暗号文Ｅｎｃ（ｓ，ｍ）＝（ａ，ｂ）を、ＬＷＥ_ｓ（ｍ）とも表記する。

［１変数関数アルゴリズム］
図２は、本実施形態における秘匿演算方法を実行するためのアルゴリズムを示す図である。
このアルゴリズムにより、ブートストラッピングと同時に任意の１変数関数ｆ：｛０，…，Ｂ−１｝→｛０，…，Ｂ−１｝が実行される。

まず、入力部１１１は、ｍ_ｉｎ∈｛０，…，Ｂ−１｝を平文とする、トーラスＴ＝Ｒ／Ｚ上のＬＷＥサンプル（ａ，ｂ）∈ＬＷＥ_ｓ（ｍ_ｉｎ）の他、前述のブートストラッピング・キーＢＫ_{ｓ→ｓ”，α}、キースイッチ・キーＫＳ_{ｓ’→ｓ，γ}、及び後述のベクトルｔｅｓｔｖ∈Ｔ_Ｎ［Ｘ］の係数｛μ_０，…，μ_Ｎ−１｝を入力として受け付ける。

ここで、ｍ_ｉｎの平文空間上で取り得る値の範囲φ（ｍ_ｉｎ）に対して、

は、φ（ｍ_ｉｎ）に応じて、特定範囲のμ_ｉが定数項として表れる。

また、

となっている。ｅ_ＡＣＣは、ループ処理で生じるｒｏｕｎｄｉｎｇノイズ（丸め誤差）の和である。実装においては、トーラス上のＬＷＥサンプル（ａ，ｂ）∈Ｔ^ｎ×Ｔのａ，ｂは（１／２Ｎ）の倍数を用いるため、この丸め誤差は０となり無視できる（ξ_ｉ＝０，ｉ＝０，…，ｎ）。
以下では、ｅ_ＡＣＣ＝０とする。よって、ｍ_ｉｎの平文空間上で取り得る値の範囲φ（ｍ_ｉｎ）は、

となる。

ｍ_ｉｎ＝０のとき、φ（０）＝２Ｎｅであり、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_０が、μ：＝ｆ（０）／２Ｂ∈Ｔと予め設定される。
なお、Ｔ_Ｎ［Ｘ］：＝Ｒ［Ｘ］／（Ｘ^Ｎ＋１）であり、Ｘ^Ｎ＋１≡０、Ｘ^Ｎ≡−１であることから、Ｘ^−ｉ≡−Ｘ^Ｎ−ｉ、Ｘ^ｉ≡−Ｘ^{−（Ｎ−ｉ）}である。

ｍ_ｉｎ∈｛１，…，Ｂ−１｝のとき、φ（ｍ_ｉｎ）＝２Ｎ（ｅ＋ｍ_ｉｎ／２Ｂ）であり、式（１）から、

であるから、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_ｍ＿ｉｎが、μ：＝ｆ（ｍ_ｉｎ）／２Ｂ∈Ｔと予め設定される。

なお、ｍ_ｉｎ∈｛１，…，Ｂ−１｝に代えて、ｍ_ｉｎ∈｛−（Ｂ−１），…，−１｝を入力とする場合には、

であるから、同様に、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_ｍ＿ｉｎが、μ：＝ｆ（ｍ_ｉｎ）／２Ｂ∈Ｔと予め設定される。

図３は、本実施形態における平文空間のｓｌｉｃｅを例示する図である。
平文は、最初はトーラスＴ上の値（０〜１の実数）だが、ブートストラッピングのアルゴリズム（図２）中で２Ｎ倍され、Ｚ_２Ｎ上の値となる。図３では、Ｚ_２Ｎ上での平文空間のｓｌｉｃｅ（区切り）を示している。

ｓｌｉｃｅは、ＬＷＥ暗号文の持つノイズの取り得る幅であり、この幅が重ならないように定義されることで平文を配置することができる。
ここでは、平文の値の範囲をＢ＝８とした場合を示しており、０〜２Ｎが２Ｂ個のｓｌｉｃｅに分割されている。
すなわち、各ｓｌｉｃｅの幅はＮ／Ｂであり、例えば、平文「３」は、３Ｎ／Ｂを中心に、±Ｎ／２Ｂの範囲に割り当てられる。

図４は、本実施形態における１変数関数の値の設定方法を示す図である。
円周上の位置は、前述のベクトルｔｅｓｔｖ∈Ｔ_Ｎ［Ｘ］におけるマイナスの次数に対応し、各ｓｌｉｃｅに、写像ｆ（ｍ_ｉｎ）が割り当てられる。そして、ｔｅｓｔｖの各次数の係数μ_ｉ（０≦ｉ≦Ｎ−１）∈Ｔとして、前述のようにｆ（ｍ_ｉｎ）／２Ｂが予め設定される。
なお、前述のｔｅｓｔｖの式変形に見られるように、Ｘ^−ｉ≡−Ｘ^Ｎ−ｉ、Ｘ^ｉ≡−Ｘ^{−（Ｎ−ｉ）}であることから、円周上の対称位置には反対符号の値が設定される。

図２に戻り、ステップ１において、サンプル変換部１１２は、トーラスＴ＝Ｒ／Ｚ上のＬＷＥサンプル（ａ，ｂ）∈Ｔ^ｎ×Ｔを２Ｎ倍してｒｏｕｎｄすることにより、整数上のサンプル（ａ￣，ｂ￣）∈Ｚ_２Ｎ ^ｎ×Ｚ_２Ｎへ変換する。

ステップ２において、多項式定義部１１３は、多項式ｔｅｓｔｖ：＝μ_０＋μ_１Ｘ^−１＋…＋μ_Ｎ−１Ｘ^{−（Ｎ−１）}∈Ｔ_Ｎ［Ｘ］を定義する。

ステップ３において、多項式更新部１１４は、中間生成物として、多項式Ｘ^ｂ￣・（０，ｔｅｓｔｖ）∈Ｔ_Ｎ［Ｘ］×Ｔ_Ｎ［Ｘ］を暗号化したＴＬＷＥ暗号文であるＡＣＣを算出する。

ステップ４〜６のループ処理において、多項式更新部１１４は、準同型演算により多項式のＴＬＷＥ暗号文ＡＣＣを更新する。
ここで、各ＢＫ_ｉは、秘密鍵ｓ”による、平文がＴＬＷＥ暗号文の秘密鍵ｓ_ｉのＴＧＳＷ暗号文である。前述のように、ＴＧＳＷ暗号文は、ＴＬＷＥ暗号文と準同型演算が可能なので、多項式更新部１１４は、ＴＧＳＷ暗号文とＴＬＷＥ暗号文であるＡＣＣとの準同型演算により、

のＴＬＷＥ暗号文にＡＣＣを更新する。
よって、ループ処理を終えた時点で、ＡＣＣは、

のＴＬＷＥ暗号文となる。

ステップ７において、定数項抽出部１１５は、多項式のＴＬＷＥ暗号文ＡＣＣから定数項、すなわちｔｅｓｔｖの係数として設定されたｆ（ｍ_ｉｎ）／２ＢのＬＷＥ暗号文を抽出する。

ステップ８において、鍵変換部１１６は、キースイッチ・キーＫＳ_{ｓ’→ｓ，γ}を用いたＫｅｙＳｗｉｔｃｈの操作により、秘密鍵ｓ’によるＬＷＥ暗号文であるｕを、秘密鍵ｓによるＬＷＥ暗号文に変換する。

図５は、本実施形態における秘匿演算方法に用いる鍵変換処理のアルゴリズムを示す図である。
なお、この鍵変換処理（ＫｅｙＳｗｉｔｃｈ）は、非特許文献１に示されているものと同一である。

このようにして、秘匿演算装置１は、ブートストラッピングと同時に任意の１変数関数ｆを実行し、入力されたｍ_ｉｎの暗号文Ｃ_ｍ＿ｉｎに対して、ｆ（ｍ_ｉｎ）の暗号文Ｃ_{ｆ（ｍ＿ｉｎ）}を出力する。

本実施形態によれば、秘匿演算装置１は、完全準同型暗号方式におけるブートストラッピングの演算の中で、ｔｅｓｔｖ（多項式）の係数を関数値に合わせて定義することにより、ブートストラッピングと同時に、Ｉｎｔｅｇｅｒ−ｗｉｓｅ型の任意の１変数関数が実行される。

従来は、暗号文上での加算及び符号関数のみが実行可能であったため、任意の写像を実施するには多数の演算とブートストラッピング処理が必要であったが、本実施形態では、一回のブートストラッピング処理のみで任意の写像を実行可能であり、演算が高速化される。なお、このブートストラッピング処理のコストは、非特許文献２における符号関数の処理と同等である。

［第２実施形態］
以下、本発明の第２実施形態について説明する。
本実施形態において、秘匿演算装置１は、前述のブートストラッピングと同時に実行される１変数関数を用いて、整数と２進数との秘匿乗算を実行する。

図６は、本実施形態における秘匿演算装置１の機能構成を示すブロック図である。
制御部１０は、第１実施形態における入力部１１１と、サンプル変換部１１２と、多項式定義部１１３と、多項式更新部１１４と、定数項抽出部１１５と、鍵変換部１１６とを備えたブートストラップ処理部１１に加えて、第１演算部１２と、第２演算部１３と、第３演算部１４と、出力部１５とを備える。

ブートストラップ処理部１１は、第１実施形態において説明した通り、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、この多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力する。

第１演算部１２は、ブートストラップ処理部１１に対して、１変数関数として、０以上Ｂ未満の入力整数を２分の１にする演算を設定して、第１演算結果を取得する。

第２演算部１３は、第１演算結果に入力２進数の１又は０を表す０又はＢを加算した後、ブートストラップ処理部１１に対して、１変数関数として、トーラス上の値をそのまま返す演算を設定して、第２演算結果を取得する。

第３演算部１４は、第２演算結果に第１演算結果を加算した後、ブートストラップ処理部１１に対して、１変数関数として、整数をそのまま返す演算を設定して、第３演算結果を取得する。
出力部１５は、第３演算結果を、入力整数と入力２進数との乗算結果として出力する。

［整数と２進数との乗算アルゴリズム］
図７は、本実施形態における整数と２進数との乗算のアルゴリズムを示す図である。
ここでは、整数ｍ_ｉｎｔ∈｛０，…，Ｂ−１｝の暗号文Ｃ_{ｍ＿ｉｎｔ}と、２進数ｍ_ｂｉｎ∈｛０、Ｂ｝の暗号文Ｃ_{ｍ＿ｂｉｎ}とを入力とし、ｍ_ｂｉｎ＝０のときＣ_{ｍ＿ｉｎｔ}が、ｍ_ｂｉｎ＝ＢのときＣ_０が、暗号文Ｃ_{ｍ＿ｏｕｔ}が乗算ＭｕｌｔｂｙＢｉｎ（Ｃ_{ｍ＿ｉｎｔ}，Ｃ_{ｍ＿ｂｉｎ}）の結果として出力される。
なお、ｍ_ｂｉｎ＝０は、２進数の「１」を表し、ｍ_ｂｉｎ＝Ｂは、２進数の「０」を表す。

ステップ１において、第１演算部１２は、１変数関数ｆ_ｈａｌｆの実行を伴うブートストラッピングによって、暗号文Ｃ_{ｍ＿ｉｎｔ／２}＝Ｂｏｏｔｓｔｒａｐ（Ｃ_{ｍ＿ｉｎｔ}，ｆ_ｈａｌｆ）を算出する。

ここで、ｆ_ｈａｌｆ：｛０，１，…，Ｂ−１｝→｛０，１／２，…，（Ｂ−１）／２｝、すなわちｆ_ｈａｌｆ（ｘ）：＝ｘ／２の演算は、ｔｅｓｔｖの係数μ_０，…，μ_Ｎ−１を、次のように定義することで実現される。

ステップ２において、第２演算部１３は、１変数関数ｆ_{ｉｄ＿ｔｏｒｕｓ}の実行を伴うブートストラッピングによって、暗号文Ｃ_ｔｍｐ＝Ｂｏｏｔｓｔｒａｐ（Ｃ_{ｍ＿ｉｎｔ／２}＋Ｃ_{ｍ＿ｂｉｎ}，ｆ_{ｉｄ＿ｔｏｒｕｓ}）を算出する。

ここで、ｆ_{ｉｄ＿ｔｏｒｕｓ}：｛０，…，Ｎ−１｝→｛０，…，Ｎ−１｝、すなわちｆ_{ｉｄ＿ｔｏｒｕｓ}（ｘ）：＝ｘの演算は、ｔｅｓｔｖの係数μ_０，…，μ_Ｎ−１を、次のように定義することで実現される。

ステップ３において、第３演算部１４は、１変数関数ｆ_{ｉｄ＿ｉｎｔ}の実行を伴うブートストラッピングによって、暗号文Ｃ_ｔｍｐ＝Ｂｏｏｔｓｔｒａｐ（Ｃ_ｔｍｐ＋Ｃ_{ｍ＿ｉｎｔ／２}，ｆ_{ｉｄ＿ｉｎｔ}）を算出する。

ここで、ｆ_{ｉｄ＿ｉｎｔ}：｛０，…，Ｂ−１｝→｛０，…，Ｂ−１｝、すなわちｆ_{ｉｄ＿ｉｎｔ}（ｘ）：＝ｘの演算は、ｔｅｓｔｖの係数μ_０，…，μ_Ｎ−１を、次のように定義することで実現される。

図８は、本実施形態における乗算を構成する各ステップに伴う平文空間上での値の変化を示す図である。
例えば、入力された整数ｍ_ｉｎｔ＝２は、２Ｎ／Ｂを含むｓｌｉｃｅに割り当てられており、ｆ_ｈａｌｆの演算を行うブートストラッピングによって、演算結果ｍ_{ｉｎｔ／２}は、Ｎ／Ｂを含むｓｌｉｃｅに位置する。

次に、ｍ_{ｉｎｔ／２}にｍ_ｂｉｎ∈｛０，Ｂ｝を加算すると、結果は、ｍ_ｂｉｎ＝０の場合は同じｓｌｉｃｅに、ｍ_ｂｉｎ＝Ｂの場合は（Ｎ／Ｂ）＋Ｎを含むｓｌｉｃｅに位置する。この加算結果に対してｆ_{ｉｄ＿ｔｏｒｕｓ}の演算を行うブートストラッピングによって、演算結果ｔｍｐは、ｍ_ｂｉｎ＝０の場合はｆ（１）の結果の位置、すなわちＮ／Ｂを含むｓｌｉｃｅに、ｍ_ｂｉｎ＝Ｂの場合はｆ（１）の結果のマイナスの位置、すなわち−Ｎ／Ｂを含むｓｌｉｃｅに位置する。

続いて、ｔｍｐにｍ_{ｉｎｔ／２}を加算すると、ｍ_ｂｉｎ＝０の場合は同じ値を足すので２倍され、結果は元の２Ｎ／Ｂを含むｓｌｉｃｅに位置する。一方、ｍ_ｂｉｎ＝Ｂの場合はプラスとマイナスの同じ値を足すので、結果は０を含むｓｌｉｃｅに位置する。

この結果、ｍ_ｂｉｎ＝０（２進数の１に相当）の場合、元のｍ_ｉｎｔが暗号文で出力され、ｍ_ｂｉｎ＝Ｂ（２進数の０に相当）の場合、０が暗号文で出力される。

本実施形態によれば、秘匿演算装置１は、ブートストラッピングと同時に1変数関数を実行する処理を用いて、入力整数を２分の１にする第１演算、第１演算の結果に入力２進数を加算した後にトーラス上の値をそのまま返す第２演算、第２演算の結果に第１演算の結果を加算した後に整数をそのまま返す演算を順に実行する。
これにより、秘匿演算装置１は、完全準同型暗号方式により、入力整数と入力２進数との乗算をブートストラッピングと同時に実行できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

秘匿演算装置１による秘匿演算方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 秘匿演算装置
１０ 制御部
１１ ブートストラップ処理部
１２ 第１演算部
１３ 第２演算部
１４ 第３演算部
１５ 出力部
２０ 記憶部
１１１ 入力部
１１２ サンプル変換部
１１３ 多項式定義部
１１４ 多項式更新部
１１５ 定数項抽出部
１１６ 鍵変換部

Claims (3)

1. ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部と、
   前記ブートストラップ処理部に対して、前記１変数関数として、０以上Ｂ未満の入力整数を２分の１にする演算を設定して、第１演算結果を取得する第１演算部と、
   前記第１演算結果に入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、トーラス上の値をそのまま返す演算を設定して、第２演算結果を取得する第２演算部と、
   前記第２演算結果に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、整数をそのまま返す演算を設定して、第３演算結果を取得する第３演算部と、
   前記第３演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力部と、を備える秘匿演算装置。
2. ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部を備えたコンピュータが、
   前記ブートストラップ処理部に対して、前記１変数関数として、０以上Ｂ未満の入力整数を２分の１にする演算を設定して、第１演算結果を取得する第１演算ステップと、
   前記第１演算結果に入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、トーラス上の値をそのまま返す演算を設定して、第２演算結果を取得する第２演算ステップと、
   前記第２演算結果に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、整数をそのまま返す演算を設定して、第３演算結果を取得する第３演算ステップと、
   前記第３演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力ステップと、を実行する秘匿演算方法。
3. 請求項１に記載の秘匿演算装置としてコンピュータを機能させるための秘匿演算プログラム。

Images