JP2021179603A - 準同型暗号基盤の暗号文処理方法及び装置 - Google Patents

Abstract

【課題】準同型暗号基盤の暗号文処理方法及び装置を提供する。【解決手段】開示された準同型暗号基盤の暗号文処理方法は、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式をモジュラス減少から抽出された複数のサンプルに基づいて決定するステップ、及び近似多項式に基づいて、暗号文にブートストラップを行うステップを含む。【選択図】図３

Description

以下の実施形態は、準同型暗号基盤の暗号文処理方法及び装置に関する。

完全準同型暗号化（ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ）は、暗号化されたデータを用いた任意の論理的な演算又は数学的な演算を可能にする暗号化方式である。完全準同型暗号化方式は、データ処理でセキュリティ維持する。完全準同型暗号化は、クライアントがプライバシーを守りながら多くのサービスを受けることを可能にする。

本発明の目的は、準同型暗号基盤の暗号文処理方法及び装置を提供することにある。

一実施形態に係る準同型暗号基盤の暗号文処理方法は、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式を前記モジュラス減少から抽出された複数のサンプルに基づいて決定するステップと、前記近似多項式に基づいて、前記暗号文にブートストラップを行うステップとを含む。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記近似多項式を決定するステップは、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が予め決定された閾値よりも小さくなるように前記近似多項式の係数を決定することができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記近似多項式を決定するステップは、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が予め決定された閾値よりも小さいか否かを判断し、前記現在差が予め決定された閾値と同一であるか大きい場合、前記現在差と以前ステップで決定された差間の比較に基づいて、前記複数のサンプルの個数又は前記近似多項式の次数を増加させることができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記近似多項式を決定するステップは、前記現在差と以前ステップで決定された差間の類似度が予め決定された閾値類似度よりも小さければ、前記複数のサンプルの個数を増加させ、
前記類似度が予め決定された閾値類似度と同一であるか大きければ、前記近似多項式の次数を増加させることができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の差は、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間のＬ２−ｎｏｒｍに基づいて決定されることができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記近似多項式を決定するステップは、奇数次数項から構成された前記近似多項式を決定することができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記近似多項式を決定するステップは、チェビシェフ（Ｃｈｅｂｙｓｈｅｖ）多項式を基礎とした前記近似多項式を決定することができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記複数のサンプルは、前記モジュラス減少に対応する関数のうち基準点を中心に対称形態を有する区分的連続区間から抽出されることができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記複数のサンプルは、前記区分的連続区間で前記基準点によって分かれた一部から抽出されることができる。

一実施形態に係る準同型暗号基盤の暗号文処理方法において、前記暗号文にブートストラップを行うステップは、前記近似多項式を用いて前記モジュラス減少を準同型的に評価することで前記暗号文に前記ブートストラップを行うことができる。

一実施形態に係る準同型暗号基盤暗号文処理装置は、１つ以上のプロセッサを含み、前記１つ以上のプロセッサは、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式を、前記モジュラス減少から抽出された複数のサンプルに基づいて決定し、前記近似多項式に基づいて前記暗号文にブートストラップを行う。

一実施形態に係る方法は、モジュラス減少から抽出されたサンプルの初期個数に基づいて、暗号文をブトストラップピングするためのモジュラス減少に対応する初期近似多項式を決定するステップと、前記初期近似多項式とモジュラス減少関数との間の誤差を算出するステップと、前記誤差に基づいて前記サンプルの初期個数及び前記初期近似多項式の次数のうち１つを増加させるステップと、前記サンプルの増加された個数又は前記初期近似多項式の増加された次数に基づいて、アップデートされた近似多項式を決定するステップと、前記アップデートされた近似多項式を用いて、前記モジュラス減少を準同型的に評価するステップとを含む。

一実施形態に係る方法において、前記誤差を算出するステップは、前記モジュラス減少から抽出された前記サンプルの初期個数と前記初期近似多項式の値との間の差が閾値以上であることを決定するステップを含むことができる。

本発明によると、準同型暗号基盤の暗号文処理方法及び装置を提供することができる。

一実施形態によって準同型暗号に基づいて暗号化された暗号文を処理するユーザ端末とサーバーの動作を説明するための図である。 一実施形態に係るスケーリングされたモジュラス減少関数を例示的に示した図である。 一実施形態に係る近似多項式を決定する過程を説明するための図である。 一実施形態により決定された近似多項式を用いたブートストラップを説明するための図である。 一実施形態に係る暗号文処理方法を示した図である。 一実施形態に係る暗号文処理装置を示した図である。

実施形態に対する特定な構造的又は機能的な説明は単なる例示のための目的として開示されたものとして、様々な形態に変更される。したがって、実施形態は特定な開示形態に限定されるものではなく、本明細書の範囲は技術的な思想に含まれる変更、均等物ないし代替物を含む。

第１又は第２などの用語を複数の構成要素を説明するために用いることがあるが、このような用語は１つの構成要素を他の構成要素から区別する目的としてのみ解釈されなければならない。例えば、第１構成要素は第２構成要素と命名することができ、同様に第２構成要素は第１構成要素にも命名することができる。

単数の表現は、文脈上、明白に異なる意味をもたない限り複数の表現を含む。本明細書において、「含む」又は「有する」等の用語は明細書上に記載した特徴、数字、ステップ、動作、構成要素、部品又はこれらを組み合わせたものが存在することを示すものであって、１つ又はそれ以上の他の特徴や数字、ステップ、動作、構成要素、部品、又はこれを組み合わせたものなどの存在又は付加の可能性を予め排除しないものとして理解しなければならない。

異なるように定義さがれない限り、技術的であるか又は科学的な用語を含むここで用いる全ての用語は、本実施形態が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有する。一般的に用いられる予め定義された用語は、関連技術の文脈上で有する意味と一致する意味を有するものと解釈すべきであって、本明細書で明白に定義しない限り、理想的又は過度に形式的な意味として解釈されることはない。

以下、実施形態を添付の図面を参照しながら詳説する。実施形態の説明において関連する公知技術に対する具体的な説明が本発明の要旨を不要に曖昧にすると判断される場合、その詳細な説明は省略する。

図１は、一実施形態によって準同型暗号に基づいて暗号化された暗号文を処理するユーザ端末とサーバーの動作を説明するための図である。

図１を参照すると、ユーザ端末１１０とサーバー１２０が示されている。ユーザ端末１１０はユーザによって制御される装置であって、例えば、スマートフォン、タブレット、ラップトップ、パーソナルコンピュータなどの様々なコンピュータ装置、スマートウォッチ、スマートメガネなどの様々なウェアラブル器機、スマートスピーカ、スマートＴＶ、スマート冷蔵庫などの様々な家電装置、スマート自動車、スマートキオスク、ＩｏＴ（Ｉｎｔｅｒｎｅｔ ｏｆ Ｔｈｉｎｇｓ）器機、ドローン、ロボットなどを含んでもよい。ユーザ端末１１０は、格納されているデータを準同型暗号に基づいて暗号化し、サーバー１２０に送信することができる。ユーザ端末１１０は、サーバー１２０で提供する様々なサービス利用などのためにデータをサーバー１２０へ送信することができるが、ここで、送信されるデータは、情報保護のために暗号化されたデータであってもよい。サーバー１２０で暗号化されたデータに対する処理のためにユーザ端末１１０は、準同型暗号に基づいてデータを暗号化することができる。

準同型暗号は、復号化することなく暗号化されたデータに対する演算を許容する暗号化方式である。準同型暗号は、復号化することなく暗号化されたデータを処理できるため、プライバシーの求められるデータが多いアプリケーションに適する。例えば、準同型暗号は、ＣＫＫＳ（Ｃｈｅｏｎ−Ｋｉｍ−Ｋｉｍ−Ｓｏｎｇ）方式であってもよく、これに対する詳しい説明は後述する。本明細書において、暗号化されないデータは、プレーンテキスト（ｐｌａｉｎｔｅｘｔ）であって、暗号化されたデータは暗号文（ｃｉｐｈｅｒｔｅｘｔ）に表現されてもよい。

準同型暗号にはノイズが含まれており、暗号文に対する演算が行われることでノイズレベルが増加し得る。ノイズがデータを圧倒（ｏｖｅｒｗｈｅｌｍｉｎｇ）することを防止するために、ノイズ処理、言い換えれば、ノイズをリフレッシュするブートストラップが行われることができる。ブートストラップを介して回路深度（ｃｉｒｃｕｉｔ ｄｅｐｔｈ）に関係なく、パラメータ大きさと算出オーバーヘッドが固定され得る。

準同型暗号で暗号化された暗号文には、ブートストラップなしに可能な演算の最大回数が存在し、これはレベルｌ（０＜ｌ≦Ｌ）で表現されてもよい。ブートストラップは、演算がこれ以上行われないレベル０の暗号文をリフレッシュし、同一メッセージを有するレベルＬの暗号文を生成する過程である。

サーバー１２０は、ブートストラップを介して暗号文に対して様々な演算を行うことができ、ここで、暗号文に対する復号化が求められないため個人情報保護が侵害されない。実施形態によって、サーバー１２０で演算された暗号文は、再度ユーザ端末１１０に送信され、ユーザ端末１１０は、該当暗号文を復号化したデータをユーザに提供したり、後続動作に利用してもよい。

ブートストラップでは、モジュラス減少の準同型評価（ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ）が重要である。算術演算のみが準同型として評価されることがあるが、モジュラス減少は算術演算ではないため、モジュラス減少のための多項式近似が求められる。本明細書において、準同型評価は、準同型値の算出又は準同型の実行に表現されてもよい。

本明細書において、モジュラス減少のための近似多項式を求める問題は、最適解を直接算出できるＬ２−ｎｏｒｍ最小化問題に切り替えてもよい。したがって、三角関数（例えば、正弦関数など）を用いた多項式近似による限界を容易に克服することができる。モジュラス減少の近似多項式を求めるために、離散化最適化方法（ｄｉｓｃｒｅｔｉｚｅｄ ｏｐｔｉｍｉｚａｔｉｏｎ ｍｅｔｈｏｄ）を適用してもよい。修正された離散化問題を解決することで、モジュラス減少に対する近似多項式の次数を減らしながらも低い誤差を有することができる。また、ブートストラップのレベル損失を減少することができ、キャスト問題（ｃａｓｔ ｐｒｏｂｌｅｍ）に対する解を繰り返すことなく効率的な方式で決定きる。

図２は、一実施形態に係るスケーリングされたモジュラス減少関数を例示的に示した図である。

本明細書において、ベクトルはｘのように太字で表示し、ベクトルは列ベクトルである。行列は、Ａのように太字の大文字に表示されてもよい。２つのベクトルの内積は＜・，・＞又は簡単に・で表示されてもよい。行列乗算は・で表示されてもよいし、あるいは不要な場合に省略されてもよい。ベクトルのＬｐ−ｎｏｒｍは、

で表示されてもよい。ここで、ｘ［ｉ］はベクトルｘのｉ番目のエレメントを示す。同様に、Ａ［ｉ、ｊ］はｉ行目とｊ列目にある行列Ａのエレメントを示す。

ｘ←Ｄ
は、分布Ｄによるサンプリングｘを示す。分布の代わりに集合（ｓｅｔ）を使用する場合、ｘは、集合エレメントのうちランダムに均一にサンプリングされたことを示す。

チェビシェフ補間
チェビシェフ補間（Ｃｈｅｂｙｓｈｅｖ ｉｎｔｅｒｐｏｌａｔｉｏｎ）は、チェビシェフ多項式を補間多項式の基礎（ｂａｓｉｓ）とする多項式補間法である。第１種のチェビシェフ多項式は、つまり、チェビシェフ多項式は、再帰関係（ｒｅｃｕｒｓｉｖｅ ｒｅｌａｔｉｏｎ）によって次のように表現されることができる。

次数ｎのチェビシェフ多項式は区間［−１、１］にｎ個の異なる根（ｄｉｓｔｉｎｃｔ ｒｏｏｔ）を有し、全ての極限値も［−１、１］に存在してもよい。また、

はｎ次数のモニック多項式（ｍｏｎｉｃ ｐｏｌｙｎｏｍｉａｌｓ）のうち、最大絶対値（ｍａｘｉｍａｌ ａｂｓｏｌｕｔｅ ｖａｌｕｅ）が最小であり、絶対値が１／（２^ｎ−１）である多項式であってもよい。

チェビシェフ補間において、ｎ次多項式ｐ_ｎ（ｘ）は、次のような形式のチェビシェフ多項式の和として表現されてもよい。

ｐ_ｎ（ｘ）は、ｎ＋１ポイント｛ｘ_０、ｘ_１、．．．、ｘ_ｎ｝を補間することで、ｆ（ｘ）に対する近似多項式であってもよい。

ポイント｛ｘ_０、ｘ_１、．．．、ｘ_ｎ｝の選択は、近似値を正しく求めるために重要である。

ＣＫＫＳ方式
正の定数Ｍに対して、Φ_Ｍ（Ｘ）をＮ次のＭ番目の循環多項式（ｃｙｃｌｏｔｏｍｉｃ ｐｏｌｙｎｏｍｉａｌ）と言う。ここで、Ｍは２の累乗、Ｍ＝２Ｎ、Φ_Ｍ（Ｘ）＝Ｘ^Ｎ＋１であってもよい。

ＣＫＫＳ方式及びＲＮＳ（ｒｅｓｉｄｕａｌ ｎｕｍｂｅｒ ｓｙｓｔｅｍ）変形は、エラーのある実数データ（ｒｅａｌ ｎｕｍｂｅｒ ｄａｔａ）に対する準同型演算を提供することができる。これは、カノニカル埋め込み（ｃａｎｏｎｉｃａｌ ｅｍｂｅｄｄｉｎｇ）とその逆によって行われることができる。

Ｅｃｄ（ｚ；Δ）．（Ｎ／２）次元ベクトルｚに対する符号化は、次をリターンすることができる。

Ｄｃｄ（ｍ；Δ）．入力多項式ｍ（Ｘ）∈Ｒに対して、インデックスｊのエントリーがｊ∈Ｔに対して

ａ∈Ｒに対するσ（ａ）のＬ−ｉｎｆｉｎｉｔｙ ｎｏｒｍは

に表示されるａのカノニカル埋め込みｎｏｒｍに称されてもよい。

次のように３種類の分布が定義されてもよい。実数γ＞０である場合、

エントリーは分散γ^２の離散ガウス分布（ｄｉｓｃｒｅｔｅ Ｇａｕｓｓｉａｎ ｄｉｓｔｒｉｂｕｔｉｏｎ）に独立的にサンプリングされることができる。

０＜ｌ≦Ｌに対してレベルｌの暗号文があると仮定する。ここで、レベルｌは、ブートストラップの前に可能な最大乗算数を示す。説明の便宜のために、ベースｐ＞０とモジュラスｑを固定し、ｑ_ｌ＝ｐ^ｌ・ｑにする。ベース定数ｐは、スケーリングのベースΔであってもよい。

ＣＫＫＳ方式は、次のようなキー生成、暗号化、復号化、及び対応する準同型演算に定義される。

ＫｅｙＧｅｎ（１^λ）．セキュリティパラメータλが与えられれば、２の累乗であるＭ、定数ｈ、定数Ｐ、実数値γ及びＱ≧ｑ_Ｌとなる最大暗号文モジュラスＱが決定され、下記のようにサンプルが行われる。

上述した演算以外にも、複雑な共役及び回転のような様々な演算を提供するためにキースイッチング方式を用いてもよい。

ここで、支援される基本演算は、ＣＫＫＳのｆｕｌｌ−ＲＮＳ変形にも類似に適用されてもよい。したがって、本明細書で説明する方案は、ＣＫＫＳ方式と様々な変形に全て適用されてもよい。

ＣＫＫＳ方式におけるブートストラップ
ＣＫＫＳ方式でブートストラップは、ＭｏｄＲａｉｓｅ（Ｍｏｄｕｌｕｓ Ｒａｉｓｉｎｇ）、ＣｏｅｆｆＴｏＳｌｏｔ（Ｐｕｔｔｉｎｇ Ｐｏｌｙｎｏｍｉａｌ Ｃｏｅｆｆｉｃｉｅｎｔｓ ｉｎ Ｐｌａｉｎｔｅｘｔ Ｓｌｏｔｓ）、ＥｖａｌＭｏｄ（Ｅｖａｌｕａｔｉｏｎ ｏｆ ｔｈｅ Ａｐｐｒｏｘｉｍａｔｅｄ Ｍｏｄｕｌｕｓ Ｒｅｄｕｃｔｉｏｎ）、及びＳｌｏｔＴｏＣｏｅｆｆ（Ｓｗｉｔｃｈｉｎｇ Ｂａｃｋ ｔｏ ｔｈｅ Ｃｏｅｆｆｉｃｉｅｎｔ Ｒｅｐｒｅｓｅｎｔａｔｉｏｎ）の４つのステップを含んでもよい。

ＭｏｄＲａｉｓｅは、暗号文のモジュラスをさらに大きい値に変更する過程である。ｃｔをｍ（Ｘ）＝［＜ｃｔ，ｓｋ＞］_ｑを満足する暗号文であると仮定する。

次の過程は、ｔ（Ｘ）係数の残り、言い換えれば、ｔをｑに割った残り［ｔ］ｑを準同型に算出することができる。モジュラス減少は算術演算ではないため、これを近似する多項式を求めることが重要である。メッセージの大きさが制御され得るため、小さいεに対してｍ＜ε・ｑを保障することができる。

ＣｏｅｆｆＴｏＳｌｏｔと係わって、近似準同型演算は、プレーンテキストスロット（ｐｌａｉｎｔｅｘｔ ｓｌｏｔ）で行われてもよい。従って、ｔ（Ｘ）を扱うためには、プレーンテキストスロットに多項式係数を入れる。ＣｏｅｆｆＴｏＳｌｏｔのステップで、Ｅｃｄは行列乗算、単一根（ｒｏｏｔｓ ｏｆ ｕｎｉｔｙ）の関係を用いたＦＦＴに類似の演算、又は、これらのハイブリッド方法を用いて準同型的に行われることができる。そして、

ＥｖａｌＭｏｄの過程で、各スロットのエレメントは、単一命令多重データ（ｓｉｎｇｌｅ ｉｎｓｔｒｕｃｔｉｏｎ ｍｕｌｔｉｐｌｅ ｄａｔａ）の観点で考慮されることができる。言い換えれば、ｔ＝ｑＩ＋ｍはスロット内のエレメントを示す。ＥｖａｌＭｏｄステップでは、［ｔ］_ｑに対する近似評価を行う。

ＳｌｏｔＴｏＣｏｅｆｆは、ＣｏｅｆｆＴｏＳｌｏｔの逆演算であってもよい。

モジュラス減少に対応する近似多項式
上記で説明したように、ＣＫＫＳ方式のブートストラップでモジュラス減少の準同型評価が重要である。

図２に示すグラフのように、モジュラス減少関数を１／ｑにスケーリングし、［ｔ］ｑをｔ−ｋ（ｔ∈Ｉ_ｋ）で定義することができる。ここで、Ｉ_ｋ＝［ｋ−ε，ｋ＋ε］であり、ｋは｜ｋ｜＜Ｋである定数である。また、εは、メッセージ多項式の最大係数と暗号文モジュラスとの間の割合、言い換えれば、｜ｍ｜／ｑ＜εを示す。［ｔ］ｑのドメインは、

Ｌ２−ｎｏｒｍ最適化を用いた近似多項式
以下、ｓｉｎｅ関数又はｃｏｓｉｎｅ関数のような中間近似を利用せず、［ｔ］_ｑの近似多項式ｐ_ｏ（ｔ）を直接求める方法について説明する。提案された方法は、最小二乗推定（ｌｅａｓｔ−ｓｑｕａｒｅｓ ｅｓｔｉｍａｔｉｏｎ）又はＬ２−ｎｏｒｍ最適化を使用することができる。目標は、

を最小化させる係数ｃ＝（ｃ_０、ｃ_１、．．．、ｃ_ｎ）の集合を求めることにある。ここで、ｎ次多項式は、

で定義される。このような多項式をミニマックス多項式と称する。ｐ（ｔ）はｃとＴ＝（１、ｔ^１、．．．、ｔ^ｎ）の内積と同一である。

ここで、ｔ_ｉ’は各Ｉ_ｋでδ＜＜ε内の区間で均一にサンプリングされたものであり、例えば、ｋ−ε，ｋ−ε＋δ，．．．，ｋ＋ε−δ，ｋ＋εであってもよい。Ｉ_ｋには（２ε／δ＋１）サンプルが存在し、従って、総サンプルの個数は

であってもよい。ｔ_ｉのＮ_ｔｏｔサンプルを用いて、ｔ_ｉ次数のベクトル、言い換えれば、１≦ｉ≦Ｎ_ｔｏｔに対するＴ_ｉ＝（１、ｔ_ｉ、ｔ^２ _ｉ、．．．、ｔ^ｎ _ｉ）が決定され得る。

言い換えれば、図２に示されたモジュラス減少関数の区分的連続（ｐｉｅｃｅｗｉｓｅ ｃｏｎｔｉｎｕｏｕｓ）区間Ｉ_ｋ＝［ｋ−ε，ｋ＋ε］それぞれで（２ε／δ＋１）のサンプルが抽出されてもよい。後で説明するが、モジュラス減少関数で区分的連続区間Ｉ_ｋ＝［ｋ−ε，ｋ＋ε］それぞれは、基準点（例えば、−２、−１、０、１、２など）を中心に対称形態を有し、このような特性を利用すれば、区分的連続区間Ｉ_ｋ＝［ｋ−ε，ｋ＋ε］それぞれで基準点によって区分された一部（例えば、０よりも大きいモジュラス減少関数値を有する一部、又は０よりも小さなモジュラス減少関数値を有する一部）から抽出されたサンプルのみを用いて、近似多項式を決定することもできる。

最小化する目的関数（ｏｂｊｅｃｔ ｆｕｎｃｔｉｏｎ）は、次のように与えられる。

ここで、ＴはＴ［ｉ，ｊ］＝ｔ^ｊ _ｉであるＮ_ｔｏｔ×（ｎ＋１）行列であり、ｙはｙ［ｉ］＝［ｔ_ｉ］_ｑであるベクトルである。Ｌ−ｉｎｆｉｎｉｔｙ ｎｏｒｍの代わり、先の目的関数がＬ２−ｎｏｒｍを用いた損失関数に代替される。すると、Ｌ２−ｎｏｒｍを最小化するための最適解が効率よく算出されることができる。Ｌ_ｃが係数ｃを有するＬ２−ｎｏｒｍを示す。そして、次を最小化するｃを求めることができる。

残念ながら、多項式の次数ｎが高くなるにつれて、Ｔのエントリーが極めて大きいか、０に近い小さな値を有することがある。

従って、パワー基礎（ｐｏｗｅｒ ｂａｓｉｓ）の代わりに、多項式に基づいてチェビシェフ多項式が使用されてもよい。

したがって、Ｔのエントリーは０周辺の小さな値であるか、極めて大きい値よりも［−１、１］によく分布されている。

そして、最適係数ベクトルｃ^＊は次のとおりである。

損失が凸関数（ｃｏｎｖｅｘ ｆｕｎｃｔｉｏｎ）であるため、最適解（ｏｐｔｉｍｕｍ ｓｏｌｕｔｉｏｎ）ｃ^＊は勾配０にある。損失関数Ｌ_ｃの勾配は次のとおりである。

勾配を０に設定すれば、次のように最適係数が生成される。

要約すると、モジュラス減少関数は次のように近似されることができる。

１）サンプルの最大誤差と近似誤差
近似誤差は、サンプリングされたポイントの最大誤差と

の積によって制限されてもよい。ｔ∈Ｉ_ｋの場合、近似誤差が次の絶対値に定義されることができる。

不連続ポイント（ｄｉｓｃｒｅｔｅ ｐｏｉｎｔｓ）ｔ_ｉ’ｓに対する｜Ｅ（ｔ_ｉ）｜が最適化されてもよい。

小さな区間［ｔ_ｉ，ｔ_ｉ＋δ）内のｔに対する｜Ｅ（ｔ）｜を考慮することができる。すると、
｜Ｅ（ｔ）｜≦｜Ｅ（ｔ_ｉ）｜＋｜Ｅ（ｔ）−Ｅ（ｔ_ｉ）｜が決定され、｜Ｅ（ｔ）−Ｅ（ｔ_ｉ）｜は次のように制限されてもよい。

従って、下記の数式が導出される。

要約すると、ファインサンプリング（ｆｉｎｅ ｓａｍｐｌｉｎｇ）を利用すれば、サンプリングされたポイントの最大誤差が近似誤差のグローバル最大（ｇｌｏｂａｌ ｍａｘｉｍｕｍ）に近い。また、目的関数のドメインは、ＣＫＫＳ方式でエラーのある実数であるため、サンプリングされた値を処理することが合理的である。

２）Ｌ−ｉｎｆｉｎｉｔｙ Ｎｏｒｍの代わりにＬ２−ｎｏｒｍ
次のように、Ｌ２−ｎｏｒｍにＬ−ｉｎｆｉｎｉｔｙ ｎｏｒｍを制限することができる。

従って、Ｌ２−ｎｏｒｍを最小化すれば、Ｌ−ｉｎｆｉｎｉｔｙ ｎｏｒｍが減少する。厳しい制限ではないため、さらに高いｎｏｒｍを用いて最適化する余地があり得るが、Ｌ２−ｎｏｒｍの解が明確かつ簡単に算出されることができる。モジュラス減少関数のミニマックス多項式を求めることが難しい一方、Ｌ２−ｎｏｒｍの最適化問題を介して繰り返すことなく、極めて効率的な方式でミニマックス多項式の最適に近い解を求めることができる。

３）ｃ ^＊ を求める時間複雑度（Ｔｉｍｅ Ｃｏｍｐｌｅｘｉｔｙ）
Ｎ_ｔｏｔ＞ｎを考慮すれば、行列反転（Ｔ^ＴＴ）^−１が支配的な算出（ｄｏｍｉｎａｎｔ ｃｏｍｐｕｔａｔｉｏｎ）であってもよい。したがって、Ｃｏｐｐｅｒｓｍｉｔｈ Ｗｉｎｏｇｒａｄ ａｌｇｏｒｉｔｈｍを使用するとき、時間複雑度はＯ（Ｎ_ｔｏｔ ^２．３７）である。これはｃ^＊が予め算出され、後で説明するｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍ又はＰａｔｅｒｓｏｎ−Ｓｔｏｃｋｍｅｙｅｒ ａｌｇｏｒｉｔｈｍに対する係数に格納されているため、許容されることができる。

近似多項式の効率的な準同型評価
近似多項式は、チェビシェフ多項式に基づいて最適化することができる。したがって、提案された多項式の効率的な準同型評価のために、ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍと、ｍｏｄｉｆｉｅｄ Ｐａｔｅｒｓｏｎ−Ｓｔｏｃｋｍｅｙｅｒ ａｌｇｏｒｉｔｈｍが適用され得る。ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍを利用すると、ｍの深さを消耗しながら、最大２^ｌ＋２^ｍ−ｌ＋ｍ−ｌ−３非スカラー（ｎｏｎｓｃａｌａｒ）乗算でｐ_ｏ（ｔ）を準同型的に評価することができる。ここで、２^ｍは、ｎ次よりも大きくてもよい。

ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍを介してチェビシェフ多項式が評価されれば、Ｔ_２ｎ＝２Ｔ_ｎ ^２−Ｔ_０及びＴ_２ｎ＋１＝２Ｔ_ｎＴ_ｎ＋１−Ｔ_１が利用され、２の乗算が足し算に代替される。したがって、１つのビスカラーの乗算と２つの足し算が必要である。

ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍの ｂａｂｙ−ｓｔｅｐでは、２^ｌ−１の次多項式が評価され、最大２^ｍ／２^ｌの多項式が存在し得る。しかし、２^ｍ＞ｎ＋１であれば、係数が全て０である多項式が存在し得る。これを無視すると、ｂａｂｙ−ｓｔｅｐで次数が最大２^ｌ−１である

言い換えれば、２^ｍとｎ＋１が互いに異なるため、ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍには

したがって、このような０多項式が無視され、再帰構造（ｒｅｃｕｒｓｉｖｅ ｓｔｒｕｃｔｕｒｅ）では、ｇｉａｎｔ−ｓｔｅｐで正確に

ここで、Ｎ（ｋ），ｋ≧２^ｌはｇｉａｎｔ−ｓｔｅｐで非スカラー乗算の個数であり、ｋ＜２^ｌに対してＮ（ｋ）＝０である。

奇数関数の特性
近似多項式の次数が２_ｎ−１と２ｎであるとき、最大近似誤差が互いに類似し、これは近似目標であるモジュラス減少関数［ｔ］_ｑが奇数関数（ｏｄｄ ｆｕｎｃｔｉｏｎ）であるためである。次の命題（ｐｒｏｐｏｓｉｔｉｏｎ）は、奇数関数に対するミニマックス多項式が奇数関数であることを示す。

命題：もし、ｆ（ｔ）が奇数関数であれば、ｎ次多項式のうち最上の近似度の最も近似度奇数
Ｐ_ｍが最大ｍ次数の多項式関数の部分空間（ｓｕｂｓｐａｃｅ）を示し、ｆ_ｍ（ｔ）がｓｕｐｒｅｍｅ ｎｏｒｍでｆ（ｔ）に最も近いＰ_ｍの固有エレメントを示す。

が定義される。すると、ｆ（ｔ）のドメインで全てのｕに対して次の数式が成立される。

提案された方法の多項式係数において、偶数項の係数はｐ_ｏ（ｔ）で０に近い極めて小さな値を有してもよい。これは、モジュラス減少関数が奇数関数であるため、提案された方法がミニマックス多項式の近くで多項式を求めるということに対する証拠になる。偶数項は、近似多項式を求めるのにハンディキャップになり得る。従って、奇数次数のチェビシェフ多項式のみを用いて近似すれば、より正確な近似多項式を生成することができる。

奇数関数の特性を活用することが提案された方法の長所の１つである。奇数関数が原点に対して対称という事実を用いて、値が０よりも大きいサンプル（又は、値が０よりも小さなサンプル）にのみＬ２−ｎｏｒｍの最小化を解くことができる。したがって、行列Ｔの行及び列の個数がそれぞれ半分に減少し得る。結果的に、行列反転の時間複雑度は約１／８に減少される。また、偶数次数項に対する一部の演算が準同型評価中に無視されてもよい。

ブートストラップによるレベルの減少
提案された方法を使用すれば、ブートストラップのうちレベル損失を減少させるために最も適したパラメータを選択することができれる。前述したように、提案された方法は、上記した最上の方法よりも相対的に大きい場合にさらに正確な近似多項式を求めることができる。以下では、このような特性に基づいてパラメータがどのように選択されるかについて説明する。

ノイズ推定のために、次のレンマ（ｌｅｍｍａｓ）を用いてもよい。

スロットで値の精密度を保持するため、ＣｏｅｆｆＴｏＳｌｏｔステップにおいて充分に大きいスケーリング因子Δ_ｂｓ＝Ｏ（ｑ）を乗算することができる。Δ_ｂｓは、メッセージΔのスケーリング因子と異なってもよい。上記のレンマ３から、充分に大きいＰが選択されるとき、ＣｏｅｆｆＴｏＳｌｏｔステップにおける全てのエラーはＯ（Ｂ_ｒｓ）であってもよい。

ＥｖａｌＭｏｄステップにおいて、対応するプレーンテキストスロットの各コンポネントは｜ｅ_ｊ｜≦Ｏ（Ｂ_ｒｓ）のような小さいエラーｅ_ｊに対するｔ_ｊ＋ｅ_ｊを含んでもよい。近似多項式ｐ_ｏ（ｔ_ｊ）はスケーリング因子Δ^ｂｓに評価されるため、近似実数は次の通りである。

ＥｖａｌＭｏｄステップのエラーをＯ（Ｂ_ｒｓ）に制限する場合に、次が保障されなければならない。

ＥｖａｌＭｏｄステップのエラーがＯ（Ｂ_ｒｓ）に制限されれば、ＳｌｏｔＴｏＣｏｅｆｆステップ以後のエラーがＯ（√Ｎ・Ｂ_ｒｓ）に制限されてもよい。

上記のレンマ２で、ブートストラップのエラーはメッセージΔのスケーリング因子に独立的であり、Ｏ（Ｎ√ｈ）に制限されてもよい。したがって、プレーンテキストの精密度はｌｏｇΔに比例し、ここでΔは｜ｍ｜を決定することができる。前に説明した方法により、ブートストラップのレベル損失は略Ｏ（ｍ^３／２）ではないＯ（ｍ）に比例する。これは、提案された方法の長所の１つであり、既存方法の限界を克服することができ、さらに正確な算出が求められるときにさらに多い効果を得ることができる。

スロット数のような様々な因子がプレーンテキストの精密度に影響を与える。したがって、プレーンテキストの精密度は数値的な方法を用いて取得され、パラメータを決定するために利用される。提案された方法を利用すれば、相対的に小さいｑが用いられるため、場合に応じてブートストラップ後にさらに多くのレベルが残る場合がある。

上記の説明を介して、ブートストラップのためのモジュラス減少関数の近似多項式を決定することができる。モジュラス減少のための近似多項式を求める問題は、サイン関数のような中間関数なくても直接求めることのできるＬ２−ｎｏｒｍの最小化問題に置換され得る。

提案された方法の近似誤差はサイン関数の影響を受けないため、モジュラス減少を高い正確度で近似することができる。チェビシェフ多項式を基礎として次数が低い多項式であっても、より低い近似誤差を達成することができる。また、提案された多項式は、ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍとＰａｔｅｒｓｏｎ−Ｓｔｏｃｋｍｅｙｅｒ ａｌｇｏｒｉｔｈｍを活用してもよい。ｂａｂｙ−ｓｔｅｐ ｇｉａｎｔ−ｓｔｅｐ ａｌｇｏｒｉｔｈｍに必要な非スカラー乗算、スカラー乗算、及び足し算の個数に基づいて、提案された多項式が準同型近似モジュラス減少のために必要な演算数を減少させることが確認される。

提案された方法は、特に、大きいスケーリング因子を選択した場合に、さらに少ないエラーでブートストラップを提供することができる。したがって、パラメータ選択の幅が拡張され得る。最も重要なことは、提案された方法は、正確な近似が必要なアプリケーションに不可欠である。逆に、提案された方法は、このような下限がないことから、より良いパラメータを選択することができる。その結果、ブートストラップは提案された方法を使用する時、より少ないレベルを消費することができる。

図３は、一実施形態に係る近似多項式を決定する過程を説明するための図である。

ステップＳ３０１において、サンプル個数Ｎ、近似多項式の次数ｎ、目標誤差ｅ_{ｔａｒｇｅｔ}が決定される。例えば、サンプル個数Ｎは１６に決定されてもよい。但し、実施形態がこれに制限されることなく、初期サンプルの数は状況に応じて多様に設定される。

ステップＳ３０２において、各区間Ｉ_ｋごとにＮ個のサンプルｔ_１、．．．、ｔ_{Ｎ（２Ｋ−１）}が抽出される。ここで、Ｉｋ＝［ｋ−ε，ｋ＋ε］であってもよい。

ステップＳ３０３において、チェビシェフ多項式を基礎とする近似多項式Ｔと、モジュラス減少に対応する関数値Ｙが決定される。ここで、

であり、Ｔ（・）は第１種のｉ次数チェビシェフ多項式を示す。

ステップＳ３０４において、各サンプルに対してモジュラス減少関数値［ｔ_ｉ］_ｑとｎ次の多項式値

の差のＬ２−ｎｏｒｍを最小化する最適係数ベクトルｃ^＊が決定されることができる。

ステップＳ３０５において、決定された最適係数ベクトルｃ^＊を用いて近似多項式ｐ_ｎ（ｔ）が決定される。

ステップＳ３０６において、決定された近似多項式ｐ_ｎ（ｔ）とモジュラス減少関数［ｔ］_ｑ間の誤差ｅｒｒｏｒが算出される。

ステップＳ３０７において、算出された誤差ｅｒｒｏｒが目標誤差ｅ_{ｔａｒｇｅｔ}よりも小さいか否かが判断される。もし、算出された誤差ｅｒｒｏｒが目標誤差ｅ_{ｔａｒｇｅｔ}よりも大きいか又は同一でれば、ステップＳ３０８を引き続き実行する。

ステップＳ３０８において、算出された誤差ｅｒｒｏｒが以前ステップで算出された誤差間の類似度が予め決定された閾値類似度よりも小さいか否かが判断される。もし、類似度が予め決定された閾値類似度よりも小さければ、言い換えれば、以前ステップで算出された誤差よりも現在ステップで算出された誤差ｅｒｒｏｒが減少して互いに類似しない場合は、ステップＳ３０９が続いて実行され、サンプル個数Ｎが増加される。反対に、類似度が予め決定された閾値類似度よりも大きいか同一である場合、言い換えれば、現在ステップで算出された誤差ｅｒｒｏｒが以前ステップで算出された誤差と類似すれば、ステップＳ３１０が続いて実行されて近似多項式の次数ｎが増加される。このように、サンプル個数が少なければ、近似多項式がモジュラス減少関数を円滑に近似されないことがあり、サンプル個数Ｎを増加させる必要がある。サンプル個数を増加させても誤差が大きく改善されなければ、近似多項式の次数が足りないことであるため、次数ｎを増加させることができる。前述で説明した説明のように、近似多項式は奇数次数項から構成されるため、次数ｎが２位増加される。

ステップＳ３０７で算出された誤差ｅｒｒｏｒが目標誤差ｅ_{ｔａｒｇｅｔ}よりも小さいと判断されれば、ステップＳ３１１が続いて実行され、近似多項式ｐ_ｎ（ｔ）が最終決定されて返還される。

上記の方式により求めた係数として表現される近似多項式は、ベビーステップジャイアントステップアルゴリズムや、Ｐａｔｅｒｓｏｎ−Ｓｔｏｃｋｍｅｙｅｒアルゴリズムなどの演算の回数と深さを減らすための演算を含む様々な方法によって完全準同型暗号のブートストラップに活用されることができる。

実施形態によって、演算を容易にするために、一部次数のチェビセプ多項式のみを近似多項式に使用してもよい。また、チェビセプ多項式以外にルジャンドル多項式又はｘのｐｏｗｅｒが基礎として使用されてもよい。

図４は、一実施形態により決定された近似多項式を用いたブートストラップを説明するための図である。

ステップＳ４１０において、ブートストラップ過程のうち、モジュラス演算の必要な暗号文が識別される。ステップＳ４２０において、図３で決定したモジュラス減少関数に対する近似多項式ｐ（ｔ）が準同型的に評価され、ステップＳ４３０において、モジュラス演算の近似結果物が取得される。

図５は、一実施形態に係る暗号文処理方法を示した図である。

図５を参照すると、一実施形態に係る暗号文処理装置に備えられたプロセッサで行われる暗号文処理方法が示されている。

ステップＳ５１０において、暗号文処理装置は、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式をモジュラス減少から抽出された複数のサンプルに基づいて決定する。暗号文処理装置は、複数のサンプルと近似多項式の値の間の差が予め決定された閾値よりも小さくなるよう、近似多項式の係数を決定することができる。

暗号文処理装置は、複数のサンプルと近似多項式の値の間の差が予め決定された閾値よりも小さいか否かを判断し、差が予め決定された閾値と同一であるか大きい場合、差と以前ステップで決定された差との間の比較に基づいて、複数のサンプルの個数又は近似多項式の次数を増加させることができる。例えば、暗号文処理装置は、差と以前ステップで決定された差との間の類似度が予め決定された閾値類似度よりも小さければ、複数のサンプルの個数を増加させ、類似度が予め決定された閾値類似度と同一であるか大きければ、近似多項式の次数を増加させることができる。複数のサンプルと近似多項式の値の間の差は、複数のサンプルと近似多項式の値の間Ｌ２−ｎｏｒｍに基づいて決定されることができる。

暗号文処理装置は、奇数次数項から構成された近似多項式を決定してもよい。暗号文処理装置は、チェビシェフ（Ｃｈｅｂｙｓｈｅｖ）多項式を基礎とした近似多項式を決定することができる。

ステップＳ５２０において、暗号文処理装置は近似多項式に基づいて、暗号文にブートストラップを行う。暗号文処理装置は、近似多項式を用いてモジュラス減少を準同型的に評価することにより、暗号文にブートストラップを行うことができる。

図５に示された各ステップには、図１〜図４を参照して前述した事項がそのまま適用されるため、より詳細な説明は略する。

図６は、一実施形態に係る暗号文処理装置を示した図である。

図６を参照すると、一実施形態に係る暗号文処理装置６００は、メモリ６１０及びプロセッサ６２０を含む。メモリ６１０及びプロセッサ６２０は、バス６３０などを介して互いに通信することができる。

メモリ６１０は、コンピュータで読み出し可能な命令語を含んでもよい。プロセッサ６２０は、メモリ６１０に格納されている命令語がプロセッサ６２０で実行されることで前述した動作を行う。メモリ６１０は、揮発性メモリ又は不揮発性メモリであってもよい。

プロセッサ６２０は、命令語、あるいはプログラムを行うが、暗号文処理装置６００を制御する装置として、例えば、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＧＰＵ（Ｇｒａｐｈｉｃ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などを含んでもよい。プロセッサ６２０は、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式をモジュラス減少から抽出された複数のサンプルに基づいて決定し、近似多項式に基づいて暗号文にブートストラップを行う。

暗号文処理装置６００は、完全準同型暗号のうち実数（ｒｅａｌ ｎｕｍｂｅｒ）又は複素数（ｃｏｍｐｌｅｘ ｎｕｍｂｅｒ）からなるプレーンテキストが暗号化された暗号文のブートストラップ過程において使用されてもよい。暗号文処理装置６００で決定される近似多項式の次数を低くする場合、演算の回数が減少するため、暗号文処理動作に求められるリソースを効率よく減らすことができる。

また、暗号文処理装置６００は、クラウドコンピュータ、情報保護マシンラーニング、その他に、準同型暗号応用分野全体、ネットワークセキュリティ、システム（端末）セキュリティ、暗号／認証、セキュリティ管理、コンテンツ／情報流出防止セキュリティ、認証サービスなどの暗号／セキュリティ技術分野などに適用され得る。

その他に、暗号文処理装置６００については上述した動作を処理することができる。

以上述した実施形態は、ハードウェア構成要素、ソフトウェア構成要素、又はハードウェア構成要素及びソフトウェア構成要素の組み合せで具現される。例えば、本実施形態で説明した装置及び構成要素は、例えば、プロセッサ、コントローラ、ＡＬＵ（ａｒｉｔｈｍｅｔｉｃ ｌｏｇｉｃ ｕｎｉｔ）、デジタル信号プロセッサ（ｄｉｇｉｔａｌ ｓｉｇｎａｌ ｐｒｏｃｅｓｓｏｒ）、マイクロコンピュータ、ＦＰＡ（ｆｉｅｌｄ ｐｒｏｇｒａｍｍａｂｌｅ ａｒｒａｙ）、ＰＬＵ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ｕｎｉｔ）、マイクロプロセッサー、又は命令（ｉｎｓｔｒｕｃｔｉｏｎ）を実行して応答する異なる装置のように、１つ以上の汎用コンピュータ又は特殊目的コンピュータを用いて具現される。

ソフトウェアは、コンピュータプログラム、コード、命令、又はそのうちの一つ以上の組合せを含み、希望の通りに動作するよう処理装置を構成し、独立的又は結合的に処理装置を命令することができる。ソフトウェア及び／又はデータは、処理装置によって解釈され、処理装置に命令又はデータを提供するために、いずれかの類型の機械、構成要素、物理的装置、仮想装置、コンピュータ格納媒体又は装置、又は送信される信号波に永久的又は一時的に具体化することができる。ソフトウェアはネットワークに連結されたコンピュータシステム上に分散され、分散した方法で格納され、実行され得る。ソフトウェア及びデータは一つ以上のコンピュータで読出し可能な記録媒体に格納され得る。

本実施形態による方法は、様々なコンピュータ手段を介して実施されるプログラム命令の形態で具現され、コンピュータ読み取り可能な記録媒体に記録される。記録媒体は、プログラム命令、データファイル、データ構造などを単独又は組み合せて含む。記録媒体及びプログラム命令は、本発明の目的のために特別に設計して構成されたものでもよく、コンピュータソフトウェア分野の技術を有する当業者にとって公知のものであり使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例として、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープのような磁気媒体、ＣＤ−ＲＯＭ、ＤＶＤのような光記録媒体、フロプティカルディスクのような磁気−光媒体、及びＲＯＭ、ＲＡＭ、フラッシュメモリなどのようなプログラム命令を保存して実行するように特別に構成されたハードウェア装置を含む。プログラム命令の例としては、コンパイラによって生成されるような機械語コードだけでなく、インタプリタなどを用いてコンピュータによって実行される高級言語コードを含む。ハードウェア装置は、本発明に示す動作を実行するために１つ以上のソフトウェアモジュールとして作動するように構成してもよく、その逆も同様である。

上述したように実施形態をたとえ限定された図面によって説明したが、当技術分野で通常の知識を有する者であれば、上記の説明に基づいて様々な技術的な修正及び変形を適用することができる。例えば、説明された技術が説明された方法と異なる順で実行されるし、及び／又は説明されたシステム、構造、装置、回路などの構成要素が説明された方法と異なる形態で結合又は組み合わせられてもよいし、他の構成要素又は均等物によって置き換え又は置換されたとしても適切な結果を達成することができる。

Claims (22)

1. 準同型暗号基盤の暗号文処理方法において、
   暗号文のブートストラップのためのモジュラス減少に対応する近似多項式を前記モジュラス減少から抽出された複数のサンプルに基づいて決定するステップと、
   前記近似多項式に基づいて、前記暗号文にブートストラップを行うステップと、
   を含む、暗号文処理方法。
2. 前記近似多項式を決定するステップは、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が予め決定された閾値よりも小さくなるように前記近似多項式の係数を決定する、請求項１に記載の暗号文処理方法。
3. 前記近似多項式を決定するステップは、
   前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が予め決定された閾値よりも小さいか否かを判断し、
   前記現在差が予め決定された閾値と同一であるか大きい場合、前記現在差と以前ステップで決定された差間の比較に基づいて、前記複数のサンプルの個数又は前記近似多項式の次数を増加させる、請求項２に記載の暗号文処理方法。
4. 前記近似多項式を決定するステップは、
   前記現在差と以前ステップで決定された差間の類似度が予め決定された閾値類似度よりも小さければ、前記複数のサンプルの個数を増加させ、
   前記類似度が予め決定された閾値類似度と同一であるか大きければ、前記近似多項式の次数を増加させる、請求項３に記載の暗号文処理方法。
5. 前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の差は、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間のＬ２−ｎｏｒｍに基づいて決定される、請求項２に記載の暗号文処理方法。
6. 前記近似多項式を決定するステップは、奇数次数項から構成された前記近似多項式を決定する、請求項１−５のうちの何れか１項に記載の暗号文処理方法。
7. 前記近似多項式を決定するステップは、チェビシェフ（Ｃｈｅｂｙｓｈｅｖ）多項式を基礎とした前記近似多項式を決定する、請求項１−５のうちの何れか１項に記載の暗号文処理方法。
8. 前記複数のサンプルは、前記モジュラス減少に対応する関数のうち基準点を中心に対称形態を有する区分的連続区間から抽出される、請求項１−７のうちの何れか１項に記載の暗号文処理方法。
9. 前記複数のサンプルは、前記区分的連続区間で前記基準点によって分かれた一部から抽出される、請求項８に記載の暗号文処理方法。
10. 前記暗号文にブートストラップを行うステップは、前記近似多項式を用いて前記モジュラス減少を準同型的に評価することで前記暗号文に前記ブートストラップを行う、請求項１に記載の暗号文処理方法。
11. 請求項１ないし請求項１０のいずれか一項に記載の方法を実行させるためのプログラムが記録されたコンピュータで読み出し可能な格納媒体。
12. 準同型暗号基盤暗号文処理装置において、
    １つ以上のプロセッサを含み、
    前記１つ以上のプロセッサは、暗号文のブートストラップのためのモジュラス減少に対応する近似多項式を、前記モジュラス減少から抽出された複数のサンプルに基づいて決定し、
    前記近似多項式に基づいて前記暗号文にブートストラップを行う、暗号文処理装置。
13. 前記１つ以上のプロセッサは、前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が予め決定された閾値よりも小さくなるように前記近似多項式の係数を決定する、請求項１２に記載の暗号文処理装置。
14. 前記１つ以上のプロセッサは、
    前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の現在差が、予め決定された閾値よりも小さいか否かを判断し、
    前記現在差が予め決定された閾値と同一であるか大きい場合、前記現在差と以前ステップで決定された差との間の比較に基づいて、前記複数のサンプルの個数又は前記近似多項式の次数を増加させる、請求項１３に記載の暗号文処理装置。
15. 前記１つ以上のプロセッサは、
    前記現在差と以前ステップで決定された差との間の類似度が、予め決定された閾値類似度よりも小さければ、前記複数のサンプルの個数を増加させ、
    前記類似度が予め決定された閾値類似度と同一であるか大きければ、前記近似多項式の次数を増加させる、請求項１４に記載の暗号文処理装置。
16. 前記モジュラス減少から抽出された前記複数のサンプルと前記近似多項式の値との間の差は、前記複数のサンプルと前記近似多項式の値との間のＬ２−ｎｏｒｍに基づいて決定される、請求項１３に記載の暗号文処理装置。
17. 前記１つ以上のプロセッサは、奇数次数項から構成された前記近似多項式を決定する、請求項１２−１６のうちの何れか１項に記載の暗号文処理装置。
18. 前記１つ以上のプロセッサは、チェビシェフ多項式を基礎とした前記近似多項式を決定する、請求項１２−１６のうちの何れか１項に記載の暗号文処理装置。
19. 前記複数のサンプルは、前記モジュラス減少に対応する関数のうち、基準点を中心に対称形態を有する区分的連続区間から抽出される、請求項１２−１８のうちの何れか１項に記載の暗号文処理装置。
20. 前記複数のサンプルは、前記区分的連続区間で前記基準点によって分かれた一部から抽出される、請求項１９に記載の暗号文処理装置。
21. モジュラス減少から抽出されたサンプルの初期個数に基づいて、暗号文をブトストラップピングするためのモジュラス減少に対応する初期近似多項式を決定するステップと、
    前記初期近似多項式とモジュラス減少関数との間の誤差を算出するステップと、
    前記誤差に基づいて前記サンプルの初期個数及び前記初期近似多項式の次数のうち１つを増加させるステップと、
    前記サンプルの増加された個数又は前記初期近似多項式の増加された次数に基づいて、アップデートされた近似多項式を決定するステップと、
    前記アップデートされた近似多項式を用いて、前記モジュラス減少を準同型的に評価するステップと、
    を含む方法。
22. 前記誤差を算出するステップは、前記モジュラス減少から抽出された前記サンプルの初期個数と前記初期近似多項式の値との間の差が閾値以上であることを決定するステップを含む、請求項２１に記載の方法。

Images