JP2021113956A - 秘匿演算装置、秘匿演算方法及び秘匿演算プログラム - Google Patents

Abstract

【課題】完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算を実行できる秘匿演算装置を提供すること。【解決手段】秘匿演算装置１は、多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部１１と、Ｂを奇数としたとき、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す値である０又はＢを加算した後、１変数関数として恒等写像の演算を設定して、第１演算結果を取得する第１演算部１２と、入力整数に第１演算結果を加算した後、１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する第２演算部１３と、第２演算結果を、入力整数と入力２進数との乗算結果として出力する出力部１４と、を備える。【選択図】図６

Description

本発明は、完全準同型暗号上での秘匿演算装置、秘匿演算方法及び秘匿演算プログラムに関する。

従来、暗号文上での秘匿演算の手法が様々提案されている。非特許文献１では、完全準同型方式であるＴＦＨＥが提案されたが、この方式では、平文はビット値に限られていた。非特許文献２では、整数の平文を扱うことができ（以下、Ｉｎｔｅｇｅｒ−ｗｉｓｅという）、かつ、完全準同型暗号に必要なブートストラッピングと呼ばれるノイズ除去処理と同時に符号関数を実行する方式が提案されている。

Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ， Ｎｉｃｏｌａｓ Ｇａｍａ， Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ， ａｎｄ Ｍａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ． Ｆａｓｔｅｒ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ： Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｉｎ ｌｅｓｓ ｔｈａｎ ０．１ ｓｅｃｏｎｄｓ． Ｉｎ Ｊｕｎｇ Ｈｅｅ Ｃｈｅｏｎ ａｎｄ Ｔｓｕｙｏｓｈｉ Ｔａｋａｇｉ， ｅｄｉｔｏｒｓ， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＡＳＩＡＣＲＹＰＴ ２０１６， ｐａｇｅｓ ３−３３， ２０１６． Ｆｌｏｒｉａｎ Ｂｏｕｒｓｅ， Ｍｉｃｈｅｌｅ Ｍｉｎｅｌｌｉ， Ｍａｔｔｈｉａｓ Ｍｉｎｉｈｏｌｄ， ａｎｄ Ｐａｓｃａｌ Ｐａｉｌｌｉｅｒ． Ｆａｓｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｄｉｓｃｒｅｔｉｚｅｄ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ． Ｉｎ Ｈｏｖａｖ Ｓｈａｃｈａｍ ａｎｄ Ａｌｅｘａｎｄｒａ Ｂｏｌｄｙｒｅｖａ， ｅｄｉｔｏｒｓ， Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ − ＣＲＹＰＴＯ ２０１８， ｐａｇｅｓ ４８３−５１２． Ｓｐｒｉｎｇｅｒ， ２０１８．

非特許文献２では、ＴＦＨＥにおいて整数の暗号文を扱うことを可能にしたが、整数の暗号文同士の準同型加算、及び整数の暗号文に対するブートストラッピングと同時の符号関数演算のみが実行可能であり、秘匿演算が可能な演算の種類が不足していた。

本発明は、完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算を実行できる秘匿演算装置、秘匿演算方法及び秘匿演算プログラムを提供することを目的とする。

本発明に係る秘匿演算装置は、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部と、Ｂを奇数としたとき、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として恒等写像の演算を設定して、第１演算結果を取得する第１演算部と、前記入力整数に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する第２演算部と、前記第２演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力部と、を備える。

本発明に係る秘匿演算方法は、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部を備えたコンピュータが、Ｂを奇数としたとき、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として恒等写像の演算を設定して、第１演算結果を取得する第１演算ステップと、前記入力整数に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する第２演算ステップと、前記第２演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力ステップと、を実行する。

本発明に係る秘匿演算プログラムは、前記秘匿演算装置としてコンピュータを機能させるためのものである。

本発明によれば、完全準同型暗号方式により、ブートストラッピングと同時に整数と２進数との乗算が実行される。

実施形態における秘匿演算装置のうち、１変数関数演算を実現するための機能構成を示すブロック図である。 実施形態における１変数関数の秘匿演算方法を実行するためのアルゴリズムを示す図である。 実施形態における平文空間のスライスを例示する図である。 実施形態における１変数関数の値の設定方法を示す図である。 実施形態における秘匿演算方法に用いる鍵変換処理のアルゴリズムを示す図である。 実施形態における秘匿演算装置の機能構成を示すブロック図である。 実施形態における整数と２進数との乗算のアルゴリズムを示す図である。 実施形態における乗算を構成する各ステップに伴う平文空間上での値の変化を示す図である。

以下、本発明の実施形態の一例について説明する。
本実施形態では、まず、完全準同型暗号で必要なブートストラッピングと同時に実現されるＩｎｔｅｇｅｒ−ｗｉｓｅの任意の１変数関数（写像）の演算方式を説明し、次に、この１変数関数演算を用いて実現される整数と２進数との秘匿乗算の方式を説明する。

完全準同型暗号は、Ｓｏｍｅｗｈａｔ型準同型暗号にブートストラッピングを組み合わせて構成される。ここで、Ｓｏｍｅｗｈａｔ型準同型暗号とは、演算を重ねることによって暗号文上のノイズが大きくなり、ある程度の大きさになると復号が不可能になる方式である。完全準同型暗号は、Ｓｏｍｅｗｈａｔ型準同型暗号にブートストラッピングと呼ばれるノイズ除去処理を行うことで無制限に演算が実行できるようにしたものである。

［１変数関数演算］
図１は、本実施形態における秘匿演算装置１のうち、１変数関数演算を実現するための機能構成を示すブロック図である。
秘匿演算装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、秘匿演算装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を秘匿演算装置１として機能させるための各種プログラム（秘匿演算プログラム）、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスクドライブ（ＨＤＤ）等であってよい。

制御部１０は、入力部１１１と、サンプル変換部１１２と、多項式定義部１１３と、多項式更新部１１４と、定数項抽出部１１５と、鍵変換部１１６とを備える。

入力部１１１は、ブートストラッピングを実施する後述のアルゴリズムに対して、任意の１変数関数（写像）を定義するための値、及びこの関数への入力値を、パラメータとして受け付ける。

サンプル変換部１１２は、入力値のトーラス上のＬＷＥサンプルを、整数空間上のサンプルへ変換する。

多項式定義部１１３は、サンプル変換部１１２により整数空間に割り当てられた入力値に対する関数値のトーラス上の値を、この整数空間の値をマイナスの次数とする項の係数とした多項式（後述のベクトルｔｅｓｔｖ）を定義する。

多項式更新部１１４は、ＬＷＥ暗号文の第１の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する。

定数項抽出部１１５は、多項式更新部１１４により更新された多項式の定数項のＬＷＥ暗号文を抽出することにより、関数値の第２の秘密鍵によるＬＷＥ暗号文を取得する。

鍵変換部１１６は、定数項抽出部１１５により取得した第２の秘密鍵によるＬＷＥ暗号文を、第１の秘密鍵によるＬＷＥ暗号文に変換する。

次に、秘匿演算装置１により実行される秘匿演算方法について、アルゴリズムの詳細を説明する。

［定義］
本実施形態の秘匿演算方法における各種の定義は、非特許文献１及び２に従うが、次のように説明を補足する。
長さｎのベクトルｘのｉ番目の要素をｘ_ｉと表記する（ｘ＝（ｘ_１，…，ｘ_ｎ））。
各種の空間等を次のように表記する。
・整数空間：Ｚ，実数空間：Ｒ
・トーラスＴ＝Ｒ／Ｚ
・多項式：
Ｒ［Ｘ］： 係数∈Ｒである、任意次数の多項式の集合
Ｔ_Ｎ［Ｘ］：＝Ｒ［Ｘ］／（Ｘ^Ｎ＋１）： 係数∈ＴであるＮ（例えば、１０２４）次の多項式の集合
また、ｘ←^Ｕχは、集合χから一様にランダムにｘをサンプルすることを意味する。

ＴＬＷＥ暗号及びＴＧＳＷ暗号は、非特許文献１において定義され、それぞれＬＷＥ暗号及びＧＳＷ暗号を拡張したものである。
ＴＬＷＥ暗号について、秘密ベクトルｓ、平文ｍ、ノイズｅのＬＷＥサンプル（ａ，ｂ）∈ＬＷＥ_ｓ（ｍ）は、

を満たす。ここで、ノイズｅは、一般的にガウス分布に従い、パラメータα（エラー率、ｂＴ上においてはノイズの標準偏差となる）を持つ。

ブートストラッピング・キーＢＫ_{ｓ→ｓ”，α}＝（ＢＫ_１，…，ＢＫ_ｎ）について、各ＢＫ_ｉは、秘密鍵ｓ”による、平文がＴＬＷＥ暗号文の秘密鍵ｓ_ｉのＴＧＳＷ暗号文である。ここで、ＴＧＳＷ暗号文は、ＴＬＷＥ暗号文と準同型演算が可能であり、

となる。
この「秘密鍵の暗号文」ＢＫ_ｉを用いることで、暗号文上の準同型演算により復号に当たる演算を行える。これにより、ブートストラッピングでは、入力の平文と同じ平文を持ち、かつ、ノイズの大きさが初期化された暗号文が生成される。

［平文空間の設定］
前述の非特許文献１の手法では、暗号文の平文空間がビット値に限られていた。本実施形態では、この手法を、非特許文献２のように整数値も扱えるように拡張する。

Ｂを自然数とし、ｍ_ｉｎ∈｛０，…，Ｂ−１｝を平文とする。このとき、ＬＷＥ暗号文の構成は次のようになる。

平文ｍ_ｉｎは、暗号文においては、ｍ_ｉｎ／２Ｂ∈Ｔの値に変換されている。ここで、ノイズｅが、

を満たす条件の下、復号において、２Ｂ倍しｒｏｕｎｄすることで元の値に戻る。なぜならば、

であるが、式（１）を満たす時、｜２Ｂｅ｜＜１／２となり、「（ｂ−＜ｓ，ａ＞）・２Ｂ」＝ｍ_ｉｎが得られるからである。
また、秘密鍵ｓによる、平文ｍのＬＷＥ暗号文Ｅｎｃ（ｓ，ｍ）＝（ａ，ｂ）を、ＬＷＥ_ｓ（ｍ）とも表記する。

［１変数関数アルゴリズム］
図２は、本実施形態における１変数関数の秘匿演算方法を実行するためのアルゴリズムを示す図である。
このアルゴリズムにより、ブートストラッピングと同時に任意の１変数関数ｆ：｛０，…，Ｂ−１｝→｛０，…，Ｂ−１｝が実行される。

まず、入力部１１１は、ｍ_ｉｎ∈｛０，…，Ｂ−１｝を平文とする、トーラスＴ＝Ｒ／Ｚ上のＬＷＥサンプル（ａ，ｂ）∈ＬＷＥ_ｓ（ｍ_ｉｎ）の他、前述のブートストラッピング・キーＢＫ_{ｓ→ｓ”，α}、キースイッチ・キーＫＳ_{ｓ’→ｓ，γ}、及び後述のベクトルｔｅｓｔｖ∈Ｔ_Ｎ［Ｘ］の係数｛μ_０，…，μ_Ｎ−１｝を入力として受け付ける。

ここで、ｍ_ｉｎの平文空間上で取り得る値の範囲φ（ｍ_ｉｎ）に対して、

は、φ（ｍ_ｉｎ）に応じて、特定範囲のμ_ｉが定数項として表れる。

また、

となっている。ｅ_ＡＣＣは、ループ処理で生じるｒｏｕｎｄｉｎｇノイズ（丸め誤差）の和である。実装においては、トーラス上のＬＷＥサンプル（ａ，ｂ）∈Ｔ^ｎ×Ｔのａ，ｂは（１／２Ｎ）の倍数を用いるため、この丸め誤差は０となり無視できる（ξ_ｉ＝０，ｉ＝０，…，ｎ）。
以下では、ｅ_ＡＣＣ＝０とする。よって、ｍ_ｉｎの平文空間上で取り得る値の範囲φ（ｍ_ｉｎ）は、

となる。

ｍ_ｉｎ＝０のとき、φ（０）＝２Ｎｅであり、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_０が、μ：＝ｆ（０）／２Ｂ∈Ｔと予め設定される。
なお、Ｔ_Ｎ［Ｘ］：＝Ｒ［Ｘ］／（Ｘ^Ｎ＋１）であり、Ｘ^Ｎ＋１≡０、Ｘ^Ｎ≡−１であることから、Ｘ^−ｉ≡−Ｘ^Ｎ−ｉ、Ｘ^ｉ≡−Ｘ^{−（Ｎ−ｉ）}である。

ｍ_ｉｎ∈｛１，…，Ｂ−１｝のとき、φ（ｍ_ｉｎ）＝２Ｎ（ｅ＋ｍ_ｉｎ／２Ｂ）であり、式（１）から、

であるから、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_ｍ＿ｉｎが、μ：＝ｆ（ｍ_ｉｎ）／２Ｂ∈Ｔと予め設定される。

なお、ｍ_ｉｎ∈｛１，…，Ｂ−１｝に代えて、ｍ_ｉｎ∈｛−（Ｂ−１），…，−１｝を入力とする場合には、

であるから、同様に、

となる。したがって、

の定数項となりうる係数は、

である。これらの係数μ∈Ｍ_ｍ＿ｉｎが、μ：＝ｆ（ｍ_ｉｎ）／２Ｂ∈Ｔと予め設定される。

図３は、本実施形態における平文空間のスライスを例示する図である。
平文は、最初はトーラスＴ上の値（０〜１の実数）だが、ブートストラッピングのアルゴリズム（図２）中で２Ｎ倍され、Ｚ_２Ｎ上の値となる。図３では、Ｚ_２Ｎ上での平文空間のスライス（区切り）を示している。

スライスは、ＬＷＥ暗号文の持つノイズの取り得る幅であり、この幅が重ならないように定義されることで平文を配置することができる。
ここでは、平文の値の範囲をＢ＝８とした場合を示しており、０〜２Ｎが２Ｂ個のスライスに分割されている。
すなわち、各スライスの幅はＮ／Ｂであり、例えば、平文「３」は、３Ｎ／Ｂを中心に、±Ｎ／２Ｂの範囲に割り当てられる。

図４は、本実施形態における１変数関数の値の設定方法を示す図である。
円周上の位置は、前述のベクトルｔｅｓｔｖ∈Ｔ_Ｎ［Ｘ］におけるマイナスの次数に対応し、各スライスに、写像ｆ（ｍ_ｉｎ）が割り当てられる。そして、ｔｅｓｔｖの各次数の係数μ_ｉ（０≦ｉ≦Ｎ−１）∈Ｔとして、前述のようにｆ（ｍ_ｉｎ）／２Ｂが予め設定される。
なお、前述のｔｅｓｔｖの式変形に見られるように、Ｘ^−ｉ≡−Ｘ^Ｎ−ｉ、Ｘ^ｉ≡−Ｘ^{−（Ｎ−ｉ）}であることから、円周上の対称位置には反対符号の値が設定される。

図２に戻り、ステップ１において、サンプル変換部１１２は、トーラスＴ＝Ｒ／Ｚ上のＬＷＥサンプル（ａ，ｂ）∈Ｔ^ｎ×Ｔを２Ｎ倍してｒｏｕｎｄすることにより、整数上のサンプル（ａ￣，ｂ￣）∈Ｚ_２Ｎ ^ｎ×Ｚ_２Ｎへ変換する。

ステップ２において、多項式定義部１１３は、多項式ｔｅｓｔｖ：＝μ_０＋μ_１Ｘ^−１＋…＋μ_Ｎ−１Ｘ^{−（Ｎ−１）}∈Ｔ_Ｎ［Ｘ］を定義する。

ステップ３において、多項式更新部１１４は、中間生成物として、多項式Ｘ^ｂ￣・（０，ｔｅｓｔｖ）∈Ｔ_Ｎ［Ｘ］×Ｔ_Ｎ［Ｘ］を暗号化したＴＬＷＥ暗号文であるＡＣＣを算出する。

ステップ４〜６のループ処理において、多項式更新部１１４は、準同型演算により多項式のＴＬＷＥ暗号文ＡＣＣを更新する。
ここで、各ＢＫ_ｉは、秘密鍵ｓ”による、平文がＴＬＷＥ暗号文の秘密鍵ｓ_ｉのＴＧＳＷ暗号文である。前述のように、ＴＧＳＷ暗号文は、ＴＬＷＥ暗号文と準同型演算が可能なので、多項式更新部１１４は、ＴＧＳＷ暗号文とＴＬＷＥ暗号文であるＡＣＣとの準同型演算により、

のＴＬＷＥ暗号文にＡＣＣを更新する。
よって、ループ処理を終えた時点で、ＡＣＣは、

のＴＬＷＥ暗号文となる。

ステップ７において、定数項抽出部１１５は、多項式のＴＬＷＥ暗号文ＡＣＣから定数項、すなわちｔｅｓｔｖの係数として設定されたｆ（ｍ_ｉｎ）／２ＢのＬＷＥ暗号文を抽出する。

ステップ８において、鍵変換部１１６は、キースイッチ・キーＫＳ_{ｓ’→ｓ，γ}を用いたＫｅｙＳｗｉｔｃｈの操作により、秘密鍵ｓ’によるＬＷＥ暗号文であるｕを、秘密鍵ｓによるＬＷＥ暗号文に変換する。

図５は、本実施形態における秘匿演算方法に用いる鍵変換処理のアルゴリズムを示す図である。
なお、この鍵変換処理（ＫｅｙＳｗｉｔｃｈ）は、非特許文献１に示されているものと同一である。

このようにして、秘匿演算装置１は、ブートストラッピングと同時に任意の１変数関数ｆを実行し、入力されたｍ_ｉｎの暗号文Ｃ_ｍ＿ｉｎに対して、ｆ（ｍ_ｉｎ）の暗号文Ｃ_{ｆ（ｍ＿ｉｎ）}を出力する。

［整数と２進数との秘匿乗算］
図６は、本実施形態における秘匿演算装置１の機能構成を示すブロック図である。
制御部１０は、前述の入力部１１１と、サンプル変換部１１２と、多項式定義部１１３と、多項式更新部１１４と、定数項抽出部１１５と、鍵変換部１１６とを備えたブートストラップ処理部１１に加えて、第１演算部１２と、第２演算部１３と、出力部１４とを備える。

ブートストラップ処理部１１は、前述した通り、ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、この多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力する。

第１演算部１２は、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す０又はＢ（若しくは−Ｂ）を加算した後、ブートストラップ処理部１１に対して、１変数関数として、整数をそのまま返す演算を設定して、第１演算結果を取得する。
ここで、平文空間｛−（Ｂ−１），…，０，…，Ｂ−１｝を決める整数Ｂは、奇数とする。

第２演算部１３は、入力整数に第１演算結果を加算した後、ブートストラップ処理部１１に対して、１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する。

出力部１４は、第３演算結果を、入力整数と入力２進数との乗算結果として出力する。

図７は、本実施形態における整数と２進数との乗算のアルゴリズムを示す図である。
ここでは、整数ｍ_ｉｎｔ∈｛０，…，Ｂ−１｝の暗号文Ｃ_{ｍ＿ｉｎｔ}と、２進数ｍ_ｂｉｎ∈｛−Ｂ，０，Ｂ｝の暗号文Ｃ_{ｍ＿ｂｉｎ}とを入力とし、ｍ_ｂｉｎ＝０のときＣ_{ｍ＿ｉｎｔ}が、ｍ_ｂｉｎ＝−Ｂ又はＢのときＣ_０が、乗算ＭｕｌｔｂｙＢｉｎ（Ｃ_{ｍ＿ｉｎｔ}，Ｃ_{ｍ＿ｂｉｎ}）の結果（暗号文Ｃ_{ｍ＿ｏｕｔ}）として出力される。
なお、ｍ_ｂｉｎ＝０は、２進数の１（ｔｒｕｅ）を表し、ｍ_ｂｉｎ＝−Ｂ又はＢは、２進数の０（ｆａｌｓｅ）を表す。

ステップ１において、第１演算部１２は、１変数関数ｆ_{ｉｄ＿ｉｎｔ}（恒等写像）の実行を伴うブートストラッピングによって、暗号文Ｃ_ｔｍｐ＝Ｂｏｏｔｓｔｒａｐ（Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_{ｍ＿ｂｉｎ}，ｆ_{ｉｄ＿ｉｎｔ}）を算出する。

ここで、ｆ_{ｉｄ＿ｉｎｔ}：｛０，…，Ｂ−１｝→｛０，…，Ｂ−１｝、すなわちｆ_{ｉｄ＿ｉｎｔ}（ｘ）：＝ｘの演算は、ｔｅｓｔｖの係数μ_０，…，μ_Ｎ−１∈Ｔを、次のように定義することで実現される。

ステップ２において、第２演算部１３は、１変数関数ｆ_{ｍｕｌｔｂｉｎ}の実行を伴うブートストラッピングによって、暗号文Ｃ_{ｍ＿ｏｕｔ}＝Ｂｏｏｔｓｔｒａｐ（Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_{ｍ＿ｔｍｐ}，ｆ_{ｍｕｌｔｂｉｎ}）を算出する。

ここで、ｆ_{ｍｕｌｔｂｉｎ}は、

であり、この演算は、ｔｅｓｔｖの係数μ_０，…，μ_Ｎ−１∈Ｔを、次のように定義することで実現される。

図８は、本実施形態における乗算を構成する各ステップに伴う平文空間上での値の変化を示す図である。
例えば、入力された整数ｍ_ｉｎｔ＝１は、Ｎ／Ｂを含むスライスに割り当てられており、ｍ_ｂｉｎ∈｛−Ｂ，０，Ｂ｝を加算すると、結果は、ｍ_ｂｉｎ＝０（ｔｒｕｅ）の場合は同じスライスに、ｍ_ｂｉｎ＝−Ｂ又はＢ（ｆａｌｓｅ）の場合は（Ｎ／Ｂ）＋Ｎを含むスライスに位置する。この演算結果に対してｆ_{ｉｄ＿ｉｎｔ}の演算を行うブートストラッピングによって、演算結果ｔｍｐは、ｍ_ｂｉｎ＝０の場合はｆ（１）の結果の位置、すなわちＮ／Ｂを含むスライスに、ｍ_ｂｉｎ＝−Ｂ又はＢの場合はｆ（１）の結果のマイナスの位置、すなわち−Ｎ／Ｂを含むスライスに位置する。

このように、前述のアルゴリズム（図７）のステップ１では、Ｃ_{ｍ＿ｂｉｎ}が−Ｂ又はＢの暗号文であった場合、図８のようにＣ_{ｍ＿ｉｎｔ}の位相は原点対称の位置に移動し、その後、ｆ_{ｉｄ＿ｉｎｔ}の演算を伴うブートストラッピングにより、暗号文の位相はｘ軸対象の位置に移動する。つまり、Ｃ_ｔｍｐは、正負が反転し、Ｃ_ｔｍｐ＝Ｃ_{−ｍ＿ｉｎｔ}となる。
また、Ｃ_{ｍ＿ｂｉｎ}が０の暗号文であった場合、０を足すだけなので、Ｃ_ｔｍｐは変わらず、Ｃ_ｔｍｐ＝Ｃ_{ｍ＿ｉｎｔ}となる。

次に、ｍ_ｉｎｔにｔｍｐを加算すると、ｍ_ｂｉｎ＝０の場合は同じ値を足すので２倍され、結果は元の２Ｎ／Ｂを含むスライスに位置する。一方、ｍ_ｂｉｎ＝−Ｂ又はＢの場合はプラスとマイナスの同じ値を足すので、結果は０を含むスライスに位置する。この演算結果に対してｆ_{ｍｕｌｔｂｉｎ}の演算を行うブートストラッピングによって値は半分になり、演算結果ｍ_ｏｕｔは、ｍ_ｂｉｎ＝０の場合はＮ／Ｂを含むスライスに、ｍ_ｂｉｎ＝−Ｂ又はＢの場合は０を含むスライスに位置する。

このように、前述のアルゴリズム（図７）のステップ２では、Ｃ_{ｍ＿ｂｉｎ}が−Ｂ又はＢの暗号文であった場合、Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_ｔｍｐ＝Ｃ_０となり、Ｃ_{ｍ＿ｂｉｎ}が０の暗号文であった場合、Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_ｔｍｐ＝Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_{ｍ＿ｉｎｔ}となる。
そして、ｆ_{ｍｕｌｔｂｉｎ}の演算を伴うブートストラッピングによって、Ｃ_{ｍ＿ｉｎｔ}＋Ｃ_{ｍ＿ｉｎｔ}はＣ_{ｍ＿ｉｎｔ}へと半分にされ、Ｃ_０はそのままＣ_０となる。

この結果、ｍ_ｂｉｎ＝０（ｔｒｕｅ）の場合、元のｍ_ｉｎｔが暗号文で出力され、ｍ_ｂｉｎ＝−Ｂ又はＢ（ｆａｌｓｅ）の場合、０が暗号文で出力される。

ここで、値を半分にするｆ_{ｍｕｌｔｂｉｎ}の演算を、Ｂ＝５の場合を例に説明する。
ｍ_ｉｎｔがＢ／２未満の値、例えばｍ_ｉｎｔ＝１に対しては、ｍ_ｉｎｔ＋ｍ_ｉｎｔ＝２であるので、「２」のスライスの演算結果を「１」とする。同様に、ｍ_ｉｎｔ＝２に対しては、「４」のスライスの演算結果を「２」とする。

ｍ_ｉｎｔがＢ／２より大きい値、例えばｍ_ｉｎｔ＝３に対しては、ｍ_ｉｎｔ＋ｍ_ｉｎｔ＝６であるので、「−１」のスライスの演算結果を「３」とする。これはつまり、「−１」のスライスの原点対称の位置にある「１」のスライスの演算結果を「−３」と設定することと同じである。同様に、ｍ_ｉｎｔ＝４に対しては、「−３」のスライスの演算結果を「４」に、つまり、「３」のスライスの演算結果を「−４」とする。

すなわち、１，２，３，４のスライスの演算結果を順に｛−３，１，−４，２｝とすればよい。これを数式表現すると、前述の式（１）となる。
ここで、Ｂが奇数であることから、ｍ_ｉｎｔ＋ｔｍｐの値は、ｍ_ｉｎｔがＢ／２未満のときＢ未満の偶数に、ｍ_ｉｎｔがＢ／２より大きいときマイナスの奇数となる。したがって、０〜Ｂ−１のスライスに対して演算結果を設定することで値を半分にするｆ_{ｍｕｌｔｂｉｎ}の演算が実現される。

本実施形態によれば、秘匿演算装置１は、ブートストラッピングと同時に１変数関数を実行する処理を用いて、入力整数に入力２進数を加算した後に関数ｆ_{ｉｄ＿ｉｎｔ}を実行する第１演算、入力整数に第１演算の結果を加算した後に関数ｆ_{ｍｕｌｔｂｉｎ}を実行する第２演算を順に実行する。
これにより、秘匿演算装置１は、完全準同型暗号方式により、入力整数と入力２進数との乗算をブートストラッピングと同時に実行できる。

また、本発明者は、特願２０１９−２１１４２６号明細書において、１変数関数を実現するブートストラッピング処理を３回実行することで、入力整数と入力２進数との乗算を実現する手法を提案した。
これに対して、本実施形態では、ブートストラッピング処理の回数が２回に削減され、処理効率が向上した。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

秘匿演算装置１による秘匿演算方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 秘匿演算装置
１０ 制御部
１１ ブートストラップ処理部
１２ 第１演算部
１３ 第２演算部
１４ 出力部
２０ 記憶部
１１１ 入力部
１１２ サンプル変換部
１１３ 多項式定義部
１１４ 多項式更新部
１１５ 定数項抽出部
１１６ 鍵変換部

Claims (3)

1. ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部と、
   Ｂを奇数としたとき、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として恒等写像の演算を設定して、第１演算結果を取得する第１演算部と、
   前記入力整数に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する第２演算部と、
   前記第２演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力部と、を備える秘匿演算装置。
2. ＬＷＥ暗号文の秘密鍵を平文とした暗号文であるブートストラッピング・キーを用いた準同型演算により、多項式のＬＷＥ暗号文を更新してノイズを初期化する際に、当該多項式の係数に設定されたトーラス上の値を用いて１変数関数の演算結果を出力するブートストラップ処理部を備えたコンピュータが、
   Ｂを奇数としたとき、０以上Ｂ未満の入力整数に、入力２進数の１又は０を表す値である０又はＢを加算した後、前記ブートストラップ処理部に対して、前記１変数関数として恒等写像の演算を設定して、第１演算結果を取得する第１演算ステップと、
   前記入力整数に前記第１演算結果を加算した後、前記ブートストラップ処理部に対して、前記１変数関数として、偶数を２分の１にし、奇数ｘを−（ｘ＋Ｂ）／２にする演算を設定して、第２演算結果を取得する第２演算ステップと、
   前記第２演算結果を、前記入力整数と前記入力２進数との乗算結果として出力する出力ステップと、を実行する秘匿演算方法。
3. 請求項１に記載の秘匿演算装置としてコンピュータを機能させるための秘匿演算プログラム。

Images