JP2023072837A - 暗号処理装置、暗号処理方法、及び暗号処理プログラム - Google Patents

Abstract

【課題】Integer-wise型TFHEのセキュリティを確保する。
【解決手段】暗号文を処理する暗号処理装置であって、暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の演算に係る準同型演算を行う演算部と、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部と、を備え、演算部による準同型演算の結果に対して、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う。
【選択図】図２

Description

本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。

準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。

LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。

TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid

Integer-wiseでの四則演算が可能な準同型暗号としてTFHEを利用することができれば、1ビットずつ計算するよりも効率的に処理を行うことができる。
しかし、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいという問題があった。
本発明は、一側面として、暗号文に格納する平文（整数）の値を出来るだけ大きくしながらもInteger-wise型TFHEのセキュリティを確保することを目的とする。

本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、係数の数を増加した暗号文を入力とし、前記算出部によって、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う、暗号処理装置を特徴とする。

本発明によれば、一側面として、Integer-wise型TFHEのセキュリティを確保することが出来る。

本実施形態の暗号処理装置の機能構成を説明する図である。 図１の機能構成に基づく暗号処理装置の演算プロセスを詳しく説明する図である。 図１の機能構成に基づく暗号処理装置の演算プロセスを詳しく説明する図である。 TLWE暗号が平文として有する円周群を説明するイメージ図である。 ２値Gate Bootstrappingの動作イメージ図である。 Integer-wise型に適用したTFHEを説明する図である。 平面上の任意の点の位置を説明する図である。 単位円と円周群の対応関係を示す図である。 本実施形態の極座標変換処理を説明するフローチャートである。 本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。 コンピュータ装置の一実施例を示すブロック図である。

以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。

図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第１Bootstrapping部（第１算出部）２１と、第２Bootstrapping部（第２算出部）２２と、出力部１８と、を備えている。

受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１演算部１２は、距離ｒの算出（後述）に係る第１準同型演算を行う。
第１Bootstrapping部２１は、距離ｒの算出に係る第１～第３Gate Bootstrapping処理を行って、新たな暗号文を出力する。
第２演算部１３は、偏角θの算出（後述）に係る第２～第６準同型演算を行う。
第２Bootstrapping部２２は、偏角θの算出に係る第４～第６Gate Bootstrapping処理を行って、新たな暗号文を出力する。
第１演算部１２、第２演算部１３は、極座標変換のための準同型演算をソフトウェアで実現する演算処理部である。第１Bootstrapping部２１、第２Bootstrapping部２２は、極座標変換のためのGate Bootstrappingをソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第１Bootstrapping部２１、第２Bootstrapping部２２の少なくとも一つが、ハードウェアで実現されてもよい。

出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。

図２、図３は、図１の機能構成に基づく暗号処理装置の演算プロセスを詳しく説明する図である。
図２は、点Ｐのｘ座標値、ｙ座標値の暗号文ｃｘ、ｃｙから、点Ｐの原点からの距離ｒの暗号文ｃｒを演算する演算プロセスを示している。
図３は、点Ｐのｘ座標値、ｙ座標値の暗号文ｃｘ、ｃｙから、点Ｐの偏角θの暗号文ｃθを演算する演算プロセスを示している。
図２、図３の説明において、暗号処理装置１に入力される暗号文ｃｘ、ｃｙ、出力される暗号文ｃｒ、ｃθは、いずれも非特許文献１の上記論文（以下、上記論文として参照される）に示されるTLWE暗号文である。
図２、図３に示す構成では、上記論文で提示されたTFHEのGate Bootstrappingを使用する。Gate Bootstrappingについては下記に詳述する。

図２において、暗号処理装置１は、暗号文ｃｘを第１Bootstrapping部２１に入力して第１Gate Bootstrappingを行う。第１Bootstrappingの出力はｘ^２の暗号文である。
また情報処理装置１は、暗号文ｃｙを第２Bootstrapping部２２に入力して第２Gate Bootstrappingを行う。第２Bootstrappingの出力はｙ^２の暗号文である。
暗号処理装置１は、ｘ^２の暗号文、ｙ^２の暗号文を第１演算部１２に入力して第１準同型演算を行い、その出力を第１Bootstrapping部２１に入力し、第３Gate Bootstrappingを行ってｒ＝√（ｘ^２＋ｙ^２）の暗号文ｃｒを出力する。

図３において、暗号処理装置１は、暗号文ｃｘ、暗号文ｃｙを第２演算部１３に入力し、ｃｘ－ｃｙの第２準同型演算を行い、その出力を第２Bootstrapping部２２に入力し、第４Gate Bootstrappingを行って暗号文ｃｃを出力する。
暗号処理装置１は、第２演算部１３に、暗号文ｃｃ、暗号文ｃｘ、暗号文ｃｙを入力し、ｃｃ×（ｃｘ－ｃｙ）＋ｃｙの第３準同型演算を行い、暗号文ｃｌを得る。
第２演算部１３は、ｃｘ－ｃｙの準同型減算とｃｙを準同型加算する演算を行い、二値の暗号文ｃｃと整数の暗号文となるｃｘ－ｃｙの演算結果との乗算は、下記に説明する方法によって別途バイナリ演算部が実行することが出来る。
また、暗号処理装置１は、第２演算部１３に暗号文ｃｃ、暗号文ｃｘ、暗号文ｃｙを入力し、（（０，１／２ｔ）－ｃｃ）×（ｃｘ－ｃｙ）＋ｃｙ、又はｃｘ＋ｃｙ－ｃｌの第４準同型演算を行い、暗号文ｃｓを得る。
なお、二値の暗号文となる（０，１／２ｔ）－ｃｃの演算結果と整数の暗号文となるｃｘ－ｃｙの演算結果との乗算は、下記に説明する方法によって別途バイナリ演算部が実行することが出来る。
暗号処理装置１は、第２演算部１３、第２Bootstrapping部２２により、第５準同型演算、第５Gate Bootstrappingを含む暗号文ｃｓ／暗号文ｃｌ（TLWE暗号文同士の除算）を行い、ｘとｙの比ｄの暗号文ｃｄを出力する。
暗号処理装置１は、暗号文ｃｄを第２Bootstrapping部２２に入力し、比ｄのアークタンジェントを求める第６Gate Bootstrappingを行って暗号文ｃｕを出力する。
暗号処理装置１は、第２演算部１３に暗号文ｃｕ、ｃｃを入力し、（０，１／４）－ｃｕ＋ｃｃ×（２ｃｕ－（０，１／４））の第６準同型演算を行い、偏角θの暗号文ｃθを得る。
第２演算部１３は、二値の暗号文ｃｃと整数の暗号文である２ｃｕ－（０，１／４）の演算結果との乗算は、下記に説明する方法によって別途バイナリ演算部が実行することが出来る。

TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。

TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。

図４は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。

［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φ_ｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。

このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φ_ｓに入力すると、
φ_ｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φ_ｓ（[ａ]，ｂ）＋φ_ｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。

なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φ_ｓにかけると、φ_ｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。

TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａ_ｎｘ^ｎ＋ａ_ｎ－１ｘ^ｎ－１＋…＋ａ_０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。

TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘ^ｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘ^ｎ＋１）と表す。

多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ^２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。

さらにＸを掛け続けると、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ＋μ
－μＸ^ｎ－１－μＸ^ｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。

[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘ^ｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。

０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓ_ｎ－１Ｘ^ｎ－１＋ｓ_ｎ－２Ｘ^ｎ－２＋・・・ｓ_１Ｘ＋ｓ_０
ｎ個の乱数ｅ_ｉを、平均値が平文μ_ｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝e_ｎ－１Ｘ^ｎ－１＋ｅ_ｎ－２Ｘ^ｎ－２＋・・・ｅ_１Ｘ＋ｅ_０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘ^ｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φ_ｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘ^ｎ＋１）として、φ_ｓがＴ［Ｘ］／（Ｘ^ｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。

[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２^２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ^－１＝０．２５のべき乗の和の形に分解する。

円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ^２＋２）＋０．２５^２×２Ｘ＋０．２５^３×０，０．２５×（Ｘ^２＋２Ｘ＋１）９＋０．２５Ｘ^２×２＋０．２５^３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ^２＋２，２Ｘ，０，Ｘ^２＋２Ｘ＋１，２，０]
というベクトルになる。

ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、

という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。

TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。

この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。

Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφ_ｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、

とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。

TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（ε_ａ（Ｘ），ε_ｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ

となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））を代入すると、

となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。

TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ_１は、Ｚ_ｊを何倍かして足したものなので、平文φ_ｓ’（ｃ_１）の期待値は０となる。
また復号したφ_ｓ’（ｃ_３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。

そうするとφ_ｓ’（BKｉ×ｄ）＝φ_ｓ’（ｓ_ｉ×ｄ）となるが、ｓ_ｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓ_ｉが０と１の何れであるかを判別することができない。
２つの平文μ_０、μ_１に対応するTRLWE暗号文ｄ_０、ｄ_１があるとして、ｄ＝ｄ_１－ｄ_０と代入して、最後にｄ_０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫ_ｉ，ｄ_０，ｄ_１）＝ＢＫｉ×（ｄ_１－ｄ_０）＋ｄ_０＝Ｄｅｃ（ｄ_１－ｄ_０）・ＢＫ_ｉ＋ｄ_０
ＣＭｕｘ関数は、ｓ_ｉが０であると平文μ_０の暗号文を復号することなく出力し、ｓ_ｉが１であると平文μ_１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ_０もしくは平文μ_１の暗号文を計算することができるが、どちらを選択したかは分からない。

TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。

図５は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図４の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。

(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ^{－φｓ（ｃ’）}を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸ^ｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘ^ｎ／２
を用意する。

平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φ_ｓ（ｃ’）≒２ｎ×φ_ｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ_０＝Ｘ^－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ^－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫ_ｉを用いて、順番にＡ_ｉ＝ＣＭｕｘ（ＢＫ_ｉ，Ａ_ｉ－１，Ｘ^ａ’ｉＡ_ｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。

そうすると、ｓ_ｉが０の時は、平文はそのまま変わらず、ｓ_ｉが１の時は、Ｘ^ａ’ｉが順番に乗算されていく。
従って、

と繰り返すと、

となる。
ここで、

は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、

となる。ここでφ_ｓ’（Ａ_ｎ）は、多項式Ｔ（Ｘ）にＸ^－１をμ１’回乗算した多項式の暗号文である。
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。

(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）を見ると、下位の項から数えてｎ／２－φ_ｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）の定数項だけを見ると、φ_ｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφ_ｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎから、これを復号することなく平文多項式φ_ｓ’（Ａ_ｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。

TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、

と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を

とおいて、

と展開することができる。

これに対して下記の演算を行い、

を得る。
「多項式環の剰余環」であるので（Ｘ^ｎ＋１）で割った余りを求めると、

が得られる。

さらに、

とおくと、

となり、

から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、

が得られる。

とおくと、

のように、TLWE暗号の復号関数に変形することができる。

つまり、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を

として取り出すと、元のTRLWE暗号文Ａ_ｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ_１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。

(3)キースイッチング
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、

と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、

となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、

の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。

（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、

である。
ｓ’_ｉは、ｊに対して定数なのでくくりだして

とし、上記で固定小数に分解したときの式を代入する。

その結果、

となって鍵の切り替えが成功したことになる。

ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φ_ｓ（ｃ）が±１／４の範囲なら平文φ_ｓ（ｃｘ）は０に、φ_ｓ（ｃ）が１／２±１／４の範囲なら、平文φ_ｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。

Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。

上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし、図４で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに除算が可能となる。除算が可能となることで、TFHEをInteger-wise型での四則演算が可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。

図６は、Integer-wise型に適用したTFHEを説明する図である。
図６に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図６に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合に、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、－０／ｔ、４／ｔ、３／ｔ、２／ｔ、１／ｔ、０／ｔの区間に割り当てられている。
図５に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点は後に説明する。

以下では、Integer-wise型TFHEによる四則演算を用いた演算処理の例を説明する。
本実施形態の暗号処理装置１は、Integer-wise型TFHE（TLWE暗号文）による２変数（ｘ座標値、ｙ座標値）を用いた直交座標（座標平面）で表されている任意の点の座標を、極座標（原点からの距離、偏角）に変換する。なお、以下では直交座標を極座標に変換することを単に「極座標変換」と記載する場合がある。
暗号化された直交座標値を、復号せず、暗号化された極座標値に変換するためには、下記に説明するようにInteger-wise型TFHEによる四則演算が必要である。
以下では、極座標変換の演算方法を説明するとともに、Integer-wise型TFHEによって四則演算の実現する方法を説明する。

図７は、平面上の点の位置を説明する図である。
点Ｐの位置は図７（ａ）に示すように直交座標又は極座標で表すことが出来る。
直交座標は平面上の点Ｐの位置を、ｘ座標値、ｙ座標値で表す方法であり、（ｘ，ｙ）の形で表す。極座標は点Ｐの位置を、原点Ｏからの距離ｒと偏角θを用いて表す方法であり、（r，θ）の形で表す。偏角θは、原点Ｏを通る基準となる半直線（例えばｘ軸の正の向き）から反時計周りに測った回転角の角度である。
暗号処理装置１は、Integer-wise型TFHEによる四則演算を用いて極座標変換を行う。特に、Integer-wise型TFHEで暗号化されている点Ｐの直交座標（ｘ座標値、ｙ座標値）が暗号化されているとき、これを暗号化したまま極座標に変換する。
平面上の点Ｐの位置に類似して、図７（ｂ）に示すように、複素数は、複素平面（ガウス平面）上の実部＋虚部（ｘ，ｙ）の形式又は極座標（r，θ）で表すことが出来る。本実施形態の極座標変換の方法は、複素数を複素平面に変換することに適用することが出来る。
複素数の計算では、複素数をガウス平面上の点とみなし、複素数同士の乗算をガウス平面上での回転及び拡縮に帰着させることにより、演算を高速化することが出来ることは周知のとおりである。
本実施形態の方法によって実部＋虚部形式の複素数を暗号化したまま極座標に変換できることは非常に有用である。

交座標から極座標へ変換するためには、以下の２演算を行うのが通常である。
（演算１）点Ｐの原点Ｏからの距離ｒを計算する。
（演算２）点Ｐのｘ座標値、ｙ座標値の比からアークタンジェント（ＡＴＡＮ）を計算して偏角θを得る。

以下では、直交座標を暗号化したまま極座標に変換するために、上記（演算１）、（演算２）を暗号文に対して行う方法を詳細に説明する。
図７から明らかなように、（演算１）により距離ｒを計算するために、√（ｘ^２＋ｙ^２）を演算する。このとき２乗の計算と根号の計算が必要となる。暗号処理装置１は、２乗の計算と根号の計算を、一変数関数の演算によって行う。
また暗号処理装置１は、（演算２）でｘ座標値、ｙ座標値の比を求める計算を行うとき、２変数（ｘ座標値、ｙ座標値）を、それらの大小で入れ替える。暗号処理装置１は２変数の比を０から１の範囲に制限して偏角θを単位円上の０°～４５°の範囲に限定し、２変数の比の計算を一変数関数の演算によって行う。
一変数関数とは、２つの変数を有し、一方の変数の値が決まるともう一方の変数の値が決まる関数である。
本実施形態の一変数関数は、２変数（ｘ座標値、ｙ座標値）の比を計算するものであり、ｘ座標値が決まるとｙ座標値が決まり、逆にｙ座標値が決まるｘ座標値が決まる。
下記にも説明するが、ｘ＝ｙ（２変数の比が１）のとき、点Ｐは単位円上において、中心（原点）Ｏを基点とした４５°の線分Ｔ上にある。
ｘ＞ｙの場合は、偏角θは単位円において、ｘ軸と線分Ｔの間の４５°の範囲にある。
ｘ＜ｙの場合は、偏角θは単位円において、線分Ｔとｙ軸の間の４５°の範囲にある。
２変数の比率をａ（０＜ａ≦１）としたとき、２変数は、ｘとｙの大小に応じてｙ＝ａｘ（ｙ＞ｘ）、あるいはｘ＝ａｙ（ｙ＜ｘ）で表される。暗号処理装置１は、一変数関数の計算によって２変数の比ａを算出する。
暗号化されたｘ座標値、ｙ座標値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。

図６に示すように、暗号処理装置１は、円周群{Ｔ}の値域０～１を分割する個数ｔを設定する。ｘ座標値、ｙ座標値の２乗を計算することに関係して、√ｔ－１が、１つのTLWE暗号文にｘ座標値またはｙ座標値として記録できる整数の最大値である。ｔ－１がｘ座標値とｙ座標値の比の解像度であり、極座標変換時の演算精度となる。π／（２ｔ）が偏角θの解像度である。

また暗号処理装置１は、TFHEのシステムパラメータを設定する。
手順は上記論文と変わらないが、TRLWE暗号の多項式（テストベクタとしての多項式Ｆ（Ｘ））の次数ｎは２ｔの倍数が好ましい。またGate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（１６ｔ）未満となるようにシステムパラメータを設定する。

図２、図３を用いて、極座標変換の手順を説明する。
点Ｐのｘ座標値のTLWE暗号文ｃｘと、点Ｐのｙ座標値のTLWE暗号文ｃｙとがあるとする。TLWE暗号文ｃｘ、TLWE暗号文ｃｙは、秘密鍵がなければ知ることのできない点Ｐのｘ座標値の整数ｘ、点Ｐのｙ座標値の整数ｙに夫々対応する。
TLWE暗号文ｃｘは実数ｘ／（２ｔ）を平文として有する。
TLWE暗号文ｃｙは実数ｙ／（２ｔ）を平文として有する。

［原点Ｏからの距離ｒの演算］
暗号処理装置１（第１Bootstrapping部２１）は、（演算１）に対応して、整数ｘの２乗の値を計算する演算を行う。暗号処理装置１は、テストベクタ多項式Ｔ１（Ｘ）

を用いて、TLWE暗号文ｃｘに対する第１Gate Bootstrappingを行う。
暗号処理装置１（第１Bootstrapping部２１）は、整数ｙの２乗の値を計算する演算を行う。暗号処理装置１は、上記と同じテストベクタ多項式Ｔ１（Ｘ）

を用いて、TLWE暗号文ｃｙに対して第２Gate Bootstrappingを行う。
テストベクタ多項式Ｔ１（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、ｘの２乗又はｙの２乗を得る関数（ｉ^２）の結果を係数として設定している。
暗号処理装置１は、TLWE暗号文ｃｘ、ｃｙを夫々第１、第２Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ１を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行う。これにより、暗号処理装置１はｘ^２に対応するTLWE暗号文、ｙ^２に対応するTLWE暗号文を得る。
すなわち暗号処理装置１は、テストベクタ多項式Ｔ１（Ｘ）を用いたGate Bootstrappingと同時に、ｘ^２に対応するTLWE暗号文、ｙ^２に対応するTLWE暗号文を得る一変数関数の演算を行っている。

次に暗号処理装置１（第１演算部１２）は、第１Gate Bootstrapping、第２Gate Bootstrappingによって夫々出力されたｘ^２の暗号文とｙ^２の暗号文との第１準同型演算を行い、ｘ^２＋ｙ^２に対応する新たなTLWE暗号文を算出する。第１演算部１２が算出したTLWE暗号文は、平文として、

を有する。

次に暗号処理装置１（第１Bootstrapping部２１）は、ｘ^２＋ｙ^２に対応するTLWE暗号文に対して、テストベクタ多項式Ｔ２（Ｘ）

を用いて第３Gate Bootstrappingを行う。
テストベクタ多項式Ｔ２（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、ｘ^２＋ｙ^２の平方根を得る関数（√i）の結果を係数として設定している。ｘ^２＋ｙ^２の平方根は、点Ｐの原点Ｏからの距離ｒである。
すなわち暗号処理装置１はｘ^２＋ｙ^２の暗号文を第３Gate Bootstrappingの入力とし、テストベクタ多項式Ｔ２を用いてBlindRotateを行い、さらにSampleExtract、キースイッチングを行う。
これにより、暗号処理装置１は、ｒ＝√（ｘ^２＋ｙ^２）に対応し、平文として、√（ｘ^２＋ｙ^２）／２ｔ
を有するTLWE暗号文ｃｒを得る。
暗号処理装置１は、テストベクタ多項式Ｔ２（Ｘ）を用いた第３Gate Bootstrappingと同時に、ｒ＝√（ｘ^２＋ｙ^２）に対応するTLWE暗号文ｃｒを得る一変数関数の演算を行う。
以上の処理によって（演算１）に関連して距離ｒの暗号文が得られた。

［偏角θの演算］
暗号処理装置１は、（演算２）に対応して、整数ｘと整数ｙの比ｄを０～１までに制限して得るために、以下の手順で計算を行う。
暗号文ｃｘ、ｃｙを復号しない限り整数ｘと整数ｙの平文は分からない。暗号処理装置１は、実際には、整数ｘと整数ｙのうち大きい方の値ｌの暗号文ｃｌと、整数ｘと整数ｙのうち小さい方の値ｓの暗号文ｃｓと、を用いて、暗号文ｃｓ÷暗号文ｃｌ（ｃｓをｃｌで割る除算）に相当する演算を行い、暗号文ｃｄを算出する。
暗号処理装置１（第２演算部１３）は、TLWE暗号文ｃｘ、TLWE暗号文ｃｙに対して第２準同型演算ｃｘ－ｃｙを行う。
暗号処理装置１（第２Bootstrapping部２２）は、第２準同型演算の計算結果に対して第４Gate Bootstrappingを行い、新たなTLWE暗号文ｃｃを出力する。TLWE暗号文ｃｃは、ｃｘ－ｃｙの正負に応じて、平文の値が１／ｔ又は０（誤差含む）となる暗号文である。
第４Gate Bootstrappingでは、上記論文通りにSampleExtract及びキースイッチングを行うと、ｘ≧ｙ（ｘ－ｙが０又は正）の場合は１／（２ｔ）が得られ、ｘ＜ｙ（ｘ－ｙが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｘ－ｙの正負に対応するTLWE暗号文ｃｃを得る。
TLWE暗号文ｃｃは、平文として０又は１／ｔの２値を有し、ｘ≧ｙ（ｘ－ｙが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｘ＜ｙ（ｘ－ｙが負）の場合、平文として０（シンボル０）を有する。
暗号処理装置１（第２演算部１３）は、第３準同型演算ｃｃ×（ｃｘ－ｃｙ）＋ｃｙの演算を行い、ｘ座標値とｙ座標値のうち大きい方の値に対応するTLWE暗号文ｃｌを得る。
暗号処理装置１（第２演算部１３）は、第４準同型演算（（０，１／ｔ）－ｃｃ）×（ｃｘ－ｃｙ）＋ｃｙの演算を行い、ｘ座標値とｙ座標値のうち小さい方の値に対応するTLWE暗号文ｃｓを得る。
二進数の暗号文ｃｃと整数の暗号文（ｃｘ－ｃｙ）の乗算は、下記に説明するバイナリ乗算部による別途の処理によって行うことが出来る。
TLWE暗号文ｃｓは、ｃｘ＋ｃｙ－ｃｌによって求めることも出来る。

暗号処理装置１（第２演算部１３）は、TLWE暗号文ｃｄ、変数ｉを初期化し、ｃｄ＝（０，１／（２ｔ））、ｉ＝１とする。（０，１／（２ｔ））は、１／（２ｔ）を平文として有する自明な暗号文である。なお、ここで１／（２ｔ）は円周群を分割したスライスの中央を設定するためのオフセットであり、実装によって異なる値でもよい。
（１）暗号処理装置１（第２演算部１３）は、暗号文ｃｓ、暗号文ｃｌについて第５準同型演算ｃｓ－ｃｌを計算する。
（２）暗号処理装置１（第２Bootstrapping部２２）は、第２演算部１３の計算結果に対して第５Gate Bootstrappingを行い、ｃｓ－ｃｌの正負に応じて１／ｔ又は０となる新たな暗号文ｃｔを算出する。
第５Gate Bootstrappingでは、上記論文通りにSampleExtract及びキースイッチングを行うと、ｓ≧ｌ（ｓ－ｌが０又は正）の場合は１／（２ｔ）が得られ、ｓ＜ｌ（ｓ－ｌが負）の場合は－１／（２ｔ）が得られる。
これに自明な暗号文（０，１／（２ｔ））を加算して、暗号処理装置１は、ｓ－ｌの正負に対応するTLWE暗号文ｃｔを得る。
TLWE暗号文ｃｔは、平文として０又は１／ｔの２値を有し、ｓ≧ｌ（ｓ－ｌが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｓ＜ｌ（ｓ－ｌが負）の場合、平文として０（シンボル０）を有する。
（３）暗号処理装置１（第２演算部１３）は、ｃｓ＝ｃｓ－ｃｔ×ｃｌを演算する。
整数の暗号文ｃｌと二進数の暗号文ｃｔの乗算（ｃｌ×ｃｔ）は、下記に説明するバイナリ乗算部による別途の処理によって行うことが出来る。
（４）暗号処理装置１（第２演算部１３）は、ｃｄ＝ｃｄ×２＋ｃｔを演算する。
（５）暗号処理装置１（第２演算部１３）は、暗号文ｃｓを整数のスカラ倍で２倍する
（６）暗号処理装置１（第２演算部１３）は、ｉ＝ｉ＋１を演算する。
（１）～（６）の処理をｍ＝ｌｏｇ＿２（ｔ）回繰り返すと、暗号文ｃｄには上位ビットから順に値が格納され、ｘ座標値とｙ座標値の比ｄに対応するTLWE暗号文ｃｄが得られる。

より詳しく説明する。TLWE暗号文ｃｔは、平文として０又は１／ｔの２値を有し、ｃｓ≧ｃｌ（ｃｓ－ｃｌが０又は正）の場合、平文として１／ｔ（シンボル１）を有し、ｃｌ＜ｃｓ（ｃｓ－ｃｌが負）の場合、平文として０（シンボル０）を有する。
整数の暗号文ｃｌと二進数の暗号文ｃｔとの乗算は、下記に説明する方法によってバイナリ演算部によって行うことができ、暗号文ｃｔがシンボル１の場合には、ｃｔ×ｃｌの結果、暗号文ｃｌがそのまま得られ、暗号文ｃｔがシンボル０の場合は、ｃｔ×ｃｌの結果０が得られる。
よって、上記（１）のｃｓ－ｃｌに基づいて（２）で暗号文ｃｔを計算し、（３）でｃｓ＝ｃｓ－ｃｔ×ｃｌを計算した結果、ｃｓ≧ｃｌである（ｃｔがシンボル１である）場合は、ｃｓ＝ｃｓ－ｃｔ×ｃｌ（ｃｓからｃｔ×ｃｌが減算され続ける）、それとともにｃｄ＝ｃｄ×２＋ｃｔとなって暗号文ｃｄが倍になりながら、適宜下位ビットを立てていく。
このような新たな暗号文ｃｔ、新たな暗号文ｃｓ、新たな暗号文ｃｄの算出を、ｍ＝ｌｏｇ＿２（ｔ）回繰り返した結果得られるTLWE暗号文ｃｄは、平文として、

を有する。これは、ｘ座標値とｙ座標値のうち小さい方の値と大きい方の値の比であるｓ／ｌに対応する。

平文に関しては、被除数から除数を可能な限り減算をし続けた回数を除算の結果として求め得ることが出来る。しかし暗号文に関しては、減算の結果も暗号化されているため、被除数から除数を減算し続けて減算が出来なくなったか否か判定をすることができず、減算が出来なくなったときに減算をやめるという分岐処理も出来ない。
本実施形態では、上記したように、ｃｓ－ｃｌの演算結果に基づいてｃｓ－ｃｌの正負を判定する二進数のTLWE暗号文ｃｔを出力する。
上記したが、ｃｓ≧ｃｌである間は、暗号文ｃｔはシンボル１であり、減算の繰り返し毎にｃｓからｃｌが減算されていく。減算を続けていくことでｃｓ＜ｃｌとなると暗号文ｃｃはシンボル０となり、繰り返し毎にｃｓからｃｌが減算されなくなる。暗号文ｃｔの値は復号しない限りは分からないため、ｃｓ≧ｃｌであるか、ｃｌ＜ｃｓであるか判別が出来ない。
それに対して、暗号処理装置１は、（１）～（６）をｍ＝ｌｏｇ＿２（ｔ）だけ繰り返す。１つのTLWE暗号文に記録できる整数の最大値は√ｔ－１であったが、暗号文が取り得る整数値の個数はｍ＝ｌｏｇ＿２（ｔ）であり、ｍは２をｍ乗するとｔになる値である。

暗号処理装置１は、暗号文ｃｔを算出する度に暗号文ｃｄに加算する。上記のように、ｃｓ≧ｃｌである間は、暗号文ｃｔはシンボル１であり、ｃｓ＜ｃｌのときにはシンボル０である。
ｃｓ≧ｃｌである間でのシンボル１だけが加算され、シンボル０は実質的に加算されず、かつ毎周倍になっていくので、ｃｔをｌｏｇ＿２（ｔ）回分加算することで、ｃｓ≧ｃｌである間にｃｓからｃｌを引いた回数（除算結果）が得られる。
この方法によれば、暗号化したままでは知ることが出来ないｃｓ－ｃｌの減算が出来るか否かの判定や分岐をすることなく、ｌｏｇ＿２（ｔ）回分、規定の処理を繰り返すことのみで、暗号分同士の除算を行うことが出来る。

暗号処理装置１（第２Bootstrapping部２２）は、テストベクタ多項式Ｔ３

を用いて、第６Gate Bootstrappingを行う。
テストベクタ多項式Ｔ３（Ｘ）は、上記で説明した一変数関数を演算する方法を適用し、ｘ座標値とｙ座標値の比ｄのアークタンジェントｔａｎ^-1ｙ／ｘを得る関数（ｔ×ｔａｎ^－１（i／ｔ））の結果を係数として設定している。
暗号処理装置１（第２Bootstrapping部２２）は、暗号文ｃｄをGate Bootstrappingの入力とし、テストベクタ多項式Ｔ３を用いてBlindRotateを行い、さらに暗号処理装置１（第２Bootstrapping部２２）は、SampleExtract、キースイッチングを行う。
これにより、暗号処理装置１は、ｔ×ｔａｎ^－１（ｄ）に対応し、平文として、

を有するTLWE暗号文ｃｕを得ることが出来る。
暗号処理装置１は、テストベクタ多項式Ｔ３（Ｘ）を用いたGate Bootstrappingと同時に、ｔ×ｔａｎ^－１（i／ｔ）に対応するTLWE暗号文ｃｕを得る一変数関数の演算を行う。

図８は、単位円と円周群の対応関係を示す図であり、（ａ）は単位円を示し、（ｂ）は円周群を示している。
ｘ＞ｙの場合、TLWE暗号文ｃｕは、単位円上の点（ａ，ｂ）のｘ軸からの反時計回りの回転角（偏角）の０°～４５°を、円周群{Ｔ}の０～１／８の区間にマッピングしたものである。
ｙ＜ｘの場合、TLWE暗号文ｃｕは、単位円上の点（ａ，ｂ）のｙ軸からの時計回りの回転角（偏角）の０°～４５°を、円周群{Ｔ}の１／４～１／８の区間にマッピングしたものである。
ｘ＜ｙであるかｘ＞ｙであるか、すなわちｘ－ｙの正負は暗号文ｃｃに現れている。暗号処理装置１（第２演算部１３）は、TLWE暗号文ｃｕ、TLWE暗号文ｃｃについて、第６準同型演算ｃθ＝（０，１／４）－ｃｕ＋ｃｃ×（２ｃｕ－（０，１／４））を計算する。
TLWE暗号文ｃθは、０～３６０°の回転角を円周群{Ｔ}の値域０～１に対応させた回転角（偏角）θの暗号文である。第６準同型演算を演算することで、回転角（偏角）θの暗号文ｃθを算出することが出来る。
以上説明した処理によって、直交座標で表されていた座標平面上の点Ｐについて、原点からの距離ｒと偏角θの暗号文が得られ、暗号化したまま直交座標の極座標への変換が完了した。

なお、以上ではｘ座標値、ｙ座標値によって表される直交座標を極座標に変換する方法を説明したが、複素数の実部をTLWE暗号文ｃｘとおき、虚部をTLWE暗号文ｃｙとおいて同様の処理を行うことで、複素数をガウス平面上の点に変換することが出来る。
本実施形態では、TFHEをBit-wise型ではなくInteger-wise型での四則演算が可能な準同型暗号として利用することができ、1ビットずつ計算するよりも効率的に処理を行うことができる。
また、複素数を扱う計算を行う際に、複素数をガウス平面上の点とみなし、複素数同士の乗算をガウス平面上での回転及び拡縮に帰着させることにより、演算の高速化を期待することができる。

図９は、本実施形態の極座標変換処理を説明するフローチャートである。
暗号処理装置１（第１Bootstrapping部２１）は、ステップＳ１０１において、ｘ座標値の整数ｘのTLWE暗号文ｃｘを入力とした第１Gate Bootstrappingを行う。
暗号処理装置１（第１Bootstrapping部２１）は、ステップＳ１０２において、ｙ座標値の整数ｙのTLWE暗号文ｃｙを入力とした第２Gate Bootstrappingを行う。
暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、ステップＳ１０１、ステップＳ１０２のGate Bootstrappingで夫々算出したTLWE暗号文同士のｘ^２＋ｙ^２に対応する第１準同型演算を行う。
暗号処理装置１（第１Bootstrapping部２１）は、ステップＳ１０４において、ステップＳ１０３で得た暗号文に対して第３Gate Bootstrappingを行い、ｒ＝√（ｘ^２＋ｙ^２）の暗号文ｃｒを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０５において、第２準同型演算ｃｙ－ｃｙを行う。
暗号処理装置１（第２Bootstrapping部２２）は、ステップＳ１０６において、TLWE暗号文ｃｌを入力としたGate Bootstrappingを行い、TLWE暗号文ｃｃを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０７において、第３準同型演算ｃｃ×（ｃｘ－ｃｙ）＋ｃｙを行い、TLWE暗号文ｃｌを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１０８において、第４準同型演算（（０，１／（２ｔ））－ｃｃ×（ｃｘ－ｃｙ）＋ｃｙ、またはｃｘ＋ｃｙ－ｃｌを行い、TLWE暗号文ｃｓを得る。
暗号処理装置１は、ステップＳ１０９において、TLWE暗号文ｃｄの初期値を平文として１／（２ｔ）を有する自明な暗号文（０，１／（２ｔ））とおき、変数ｉに１を代入して初期化する。
暗号処理装置１は、ステップＳ１１０～ステップＳ１１６のループ処理によって、TLWE暗号文ｃｓを被除数、TLWE暗号文ｃｌを除数とした除算処理を行う。
まず暗号処理装置１（第２演算部１３）は、ステップＳ１１０において、準同型演算ｃｓ－ｃｌを行う。
暗号処理装置１（第２Bootstrapping部２２）は、ステップＳ１１１において、ステップＳ１１０の演算結果を入力とした第５Gate Bootstrappingを行い、新たなTLWE暗号文ｃｔを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１１２において、準同型演算ｃｓ＝ｃｓ－ｃｔ×ｃｌを行う。
暗号処理装置１（第２演算部１３）は、ステップＳ１１３において、準同型演算ｃｄ＝ｃｄ×２＋ｃｔを行う。
暗号処理装置１（第２演算部１３）は、ステップＳ１１４において、準同型演算ｃｓ＝ｃｓ×２を行う。
暗号処理装置１は、ステップＳ１１５において、変数ｉに１を加算してインクリメントする。
暗号処理装置１は、ステップＳ１１６において、変数ｉの値がｌｏｇ２（ｔ）となったかを判定する。
暗号処理装置１は、変数ｉの値がｌｏｇ＿２（ｔ）となったと判定した場合（ステップＳ１１６でＹｅｓ）、そのときのTLWE暗号文ｃｄを除算結果とする。
暗号処理装置１は、ステップＳ１１７において、TLWE暗号文ｃｄを入力とした第６Gate Bootstrappingを行い、新たなTLWE暗号文ｃｕを得る。
暗号処理装置１は、ステップＳ１１８において、準同型演算（（０，１／４）－ｃｕ＋ｃｃ×（２ｃｕ－（０，１／４）））を行い、偏角θのTLWE暗号文ｃθを得る。
以上の処理によって、点Ｐの原点からの距離ｒの暗号文ｃｒと、点Ｐの偏角θの暗号文ｃθが得られ、点Ｐの直交座標（ｘ，ｙ）を極座標（ｒ、θ）に変換することが出来た。

［整数と二進数の暗号文の乗算（バイナリ乗算）］
バイナリ乗算部による整数の暗号文ｃｙと二進数の暗号文ｃｃとの乗算は、例えば以下のように行うことが出来る。
図５に示したように本実施形態では、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割しており、暗号文ｃｙは０～（ｔ／２）－１の暗号文である。
上記では、暗号文ｃｃは、平文が１／ｔのとき二進数のシンボル１であり、平文が０のとき二進数でシンボル０であると説明した。
なお、暗号文ｃｃをｔ／２倍し、自明な暗号文（０，１／２）を加算することで、シンボルを反転した暗号文ｃｃ’を得ることが出来る。説明のために特に記載するが、暗号文ｃｃ’の算出は必ずしも必要な処理ではなく、暗号文ｃｃのままバイナリ乗算を行うことも出来る。シンボル０、１に対応する二値を取り得るという点で暗号文ｃｃ’と暗号文ｃｃは同義の暗号文である。
暗号文ｃｃは、平文が１／ｔのとき、ｔ／２倍をした上で（０，１／２）を加算すると、（１／ｔ）×（ｔ／２）＋１／２＝１／２＋１／２＝１（０）となる。
暗号文ｃｃは、平文が０のとき、ｔ／２倍をした上で（０，１／２）を加算すると、０×（ｔ／２）＋１／２＝０＋１／２＝１／２となる。
このようにして得た暗号文ｃｃ’は、平文が０のときにシンボル１となり、平文が１／２のときにシンボル０となる。
下記では、平文として整数０又は整数ｔ／２を有する暗号文に暗号文ｃｃ’を対応付けて説明する。ｔは偶数である。
上記に算出した暗号文ｃｃ’の平文０を整数０に対応づけ、暗号文ｃｃ’の平文１／２を下記の整数ｔ／２に対応づける。
平文が整数０のとき二進数のシンボル１であり、平文が整数ｔ／２のとき二進数のシンボル０である暗号文ｃｃ’として暗号文ｃｃを説明する。
整数の暗号文ｃｙと二進数の暗号文ｃｃ’の乗算を行うために、Gate Bootstrappingの要素として、２つの一変数関数Ｆ_idとＦ_halfを用いる。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにせず関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。
一変数関数Ｆ_idは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、同じ整数０～（ｔ／２）－１の暗号文を出力する。
BlindRotateと同時に一変数関数ｆ_idを実行するためのテストベクタＴ_id（Ｘ）は、０次からｎ－１次の各次数の係数として、

を設定する。
一変数関数ｆ_halfは、整数０～（ｔ／２）－１の暗号文ｃｙの入力に対して、平文整数の値が偶数であれば、ｃｙ／２を算出し、それ以外では－（ｃｙ＋１）／２－（（ｔ／２）－１）／２を算出する関数である。
BlindRotateと同時に一変数関数ｆ_halfを実行するためのテストベクタＴ_half（Ｘ）は、０次からｎ－１次の各次数の係数として、

を設定する。
まず暗号処理装置１は、二値の暗号文であるTLWE暗号文ｃｃ’と、整数の暗号文であるTLWE暗号文ｃｙと、の準同型演算を行う。
暗号処理装置１は、準同型演算の結果を入力として、上記テストベクタ多項式Ｔ_id（Ｘ）を用いてGate Bootstrappingを行い、一時暗号文ｃ_ｔｍｐを得る。
TLWE暗号文ｃｃ’がｔ／２（暗号文ｃｃの平文０に対応、シンボル０）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔ＋１／２の暗号文であり、TLWE暗号文ｃｙの平文は、原点に対して対称な位置に回転する。テストベクタ多項式Ｔ_id（Ｘ）を用いたGate Bootstrappingのあとの暗号文ｃ_ｔｍｐの平文は、左右対称の位置に移動する。暗号文ｃ_ｔｍｐは暗号文ｃｙの符号を反転させた暗号文である。
TLWE暗号文ｃｃ’が０（暗号文ｃｃの平文１／ｔに対応、シンボル１）の暗号文である場合、ｃｃ’＋ｃｙの結果はｙ／ｔの暗号文であり、Bootstrappingのあとの暗号文ｃ_ｔｍｐは暗号文ｃｙの平文と同じ平文のままである。
そこで暗号処理装置１は暗号文ｃｙ＋暗号文ｃ_ｔｍｐの準同型演算を行う。
TLWE暗号文ｃｃ’が０（シンボル１）の暗号文である場合、暗号文ｃｙ＋暗号文ｃ_ｔｍｐの準同型演算結果は、暗号文ｃｙ＋暗号文ｃｙである。
TLWE暗号文ｃｃ’がｔ／２（シンボル０）の暗号文である場合、暗号文ｃｙ＋暗号文ｃ_ｔｍｐの準同型演算結果は、平文が０となる暗号文ｃ_０である。
暗号処理装置１は、準同型加算の結果を入力として、上記テストベクタ多項式Ｔ_half（Ｘ）を用いてGate Bootstrappingを行う。Gate Bootstrappingの結果、暗号文ｃｙ＋暗号文ｃｙは暗号文ｃｙに変換され、暗号文ｃ_０は暗号文ｃ_０のままである。
整数の暗号文ｃｙに乗算するTLWE暗号文ｃｃ’が０の暗号文である場合に、Gate Bootstrappingにおいて暗号文ｃｙが得られ、TLWE暗号文ｃｃ’がｔ／２の暗号文である場合に暗号文ｃ_０が得られる。
以上のようにすることで、暗号処理装置１は、整数の暗号文ｃｙと二進数の暗号文ｃｃ’との乗算を行うことが出来る。
なお、上記したように暗号文ｃｃで利用する円周群上の値が異なるため、Gate Bootstrappingで得られた値を２ｔ倍することにより調整を行う必要がある。ここで２ｔは整数であるため、円周群上で乗算が定義されている。
暗号処理装置１は、整数の暗号文ｃｙに替えてｃｘ－ｃｙや２ｃｕと二進数の暗号文ｃｃとの乗算を行うことが出来る。
暗号処理装置１は、整数の暗号文ｃｌに対する二進数の暗号文ｃｔとの乗算を、上記した整数の暗号文ｃｙに対する二進数の暗号文ｃｃの乗算と同様の方法で行うことが出来る。

図１０は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、図１０（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１０（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１０（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１０（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。
図１０では、入力となるTLWE暗号文に準同型演算を行った結果に対してGate Bootstrappingを行っている。ただし、本実施形態の場合、図２で説明したように、入力となるTLWE暗号文に直接Gate Bootstrappingを行う場合もある。その場合、Gate Bootstrapping前の準同型演算は必ずしも必要ではない。

LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群｛T｝における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。

平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、キースイッチングをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。

また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。

計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。

［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。

暗号処理装置１０は、第１演算部１２、第２演算部１３、第１Bootstrapping部２１、第２Bootstrapping部２２の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。

このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。

またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。

図１１は、コンピュータ装置の一実施例を示すブロック図である。
図１１を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。

制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２における制御部１０として機能する。

記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２における記憶部２０として機能する。

暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第１Bootstrapping処理、第２Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。

読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。

通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。

表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。

１ 暗号処理装置、１０ 制御部、１１ 受付部、１２ 第１演算部、１３ 第２演算部、２１ 第１Bootstrapping部、２２ 第２Bootstrapping部、１８ 出力部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク

本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の演算に係る準同型演算を行い、暗号文に対して所定の多項式を用いて新たな暗号文を算出し、前記所定の演算は、平面上の点の座標を直交座標から極座標に変換するための演算であり、
前記点のｘ座標値に対応する第１暗号文に第１の多項式を用い、ｘ座標値の２乗に対応する新たな暗号文を算出し、前記点のｙ座標値に対応する第２暗号文に第２の多項式を用い、ｙ座標値の２乗に対応する新たな暗号文を算出し、前記ｘ座標値の２乗に対応する新たな暗号文と前記ｙ座標値の２乗に対応する新たな暗号文とを準同型演算して算出した暗号文に所定の多項式を用い、前記点の原点からの距離に対応する暗号文を算出する、ことを特徴とする。
また本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、暗号文に対して所定の演算に係る準同型演算を行い、暗号文に対して所定の多項式を用いて新たな暗号文を算出し、前記所定の演算は、平面上の点の座標を直交座標から極座標に変換するための演算であり、前記点のｘ座標値に対応する第１暗号文と前記点のｙ座標値に対応する第２暗号文とを準同型演算して算出した新たな暗号文に対し所定の多項式を用いて算出した暗号文と、前記第１暗号文と前記第２暗号文と、に基づいて、ｘ座標値及びｙ座標値のうち大きい方に対応する第３暗号文と、小さい方に対応する第４暗号文と、を算出し、前記第３暗号文から前記第４暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第５暗号文を算出し、前記一の暗号文としての前記第３暗号文から、前記他の暗号文としての、前記第４暗号文と前記第５暗号文との準同型乗算結果の暗号文を準同型減算する減算処理を行い、前記減算処理の演算結果を新たな前記第３暗号文として新たな前記第５暗号文を算出し、新たな前記第３暗号文と、前記第４暗号文と新たな前記第５暗号文とを用いた前記減算処理を繰り返し実行し、初期値に対して前記第５暗号文を前記減算処理と同じ回数繰り返し加算することによりｘ座標値とｙ座標値の比に対応する暗号文を算出し、当該暗号文に対して所定の多項式を用い、前記点の偏角に対応する新たな暗号文を算出する、ことを特徴とする。

Claims (7)

1. 暗号文を処理する暗号処理装置であって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、
   係数の数を増加した暗号文を入力とし、前記算出部によって、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う、
   ことを特徴とする暗号処理装置。
2. 暗号文に対して所定の演算に係る準同型演算を行う演算部をさらに備え、
   前記所定の演算は、平面上の点の座標を直交座標から極座標に変換するための演算であり、
   前記点のｘ座標値に対応する第１暗号文に所定の多項式を用い、ｘ座標値の２乗に対応する新たな暗号文を算出し、
   前記点のｙ座標値に対応する第２暗号文に所定の多項式を用い、ｙ座標値の２乗に対応する新たな暗号文を算出し、
   ｘ座標値の２乗に対応する新たな暗号文とｙ座標値の２乗に対応する新たな暗号文とを準同型演算して算出した暗号文に所定の多項式を用い、前記点の原点からの距離に対応する暗号文を算出する、
   ことを特徴とする請求項１に記載の暗号処理装置。
3. 暗号文に対して所定の演算に係る準同型演算を行う演算部をさらに備え、
   前記所定の演算は、平面上の点の座標を直交座標から極座標に変換するための演算であり、
   前記点のｘ座標値に対応する第１暗号文と前記点のｙ座標値に対応する第２暗号文とを準同型演算して算出した新たな暗号文に対し所定の多項式を用いて算出した暗号文と、前記第１暗号文と前記第２暗号文と、に基づいて、ｘ座標値及びｙ座標値のうち大きい方に対応する第３暗号文と、小さい方に対応する第４暗号文と、を算出し、
   前記第３暗号文から前記第４暗号文を準同型減算した減算結果に基づいて、前記減算結果の正負を判定する二値の第５暗号文を算出し、
   前記一の暗号文としての前記第３暗号文から、前記他の暗号文としての、前記第４暗号文と前記第５暗号文との準同型乗算結果の暗号文を準同型減算する前記減算処理を行い、
   前記減算処理の演算結果を新たな前記第３暗号文として新たな前記第５暗号文を算出し、新たな前記第３暗号文と、前記第４暗号文と新たな前記第５暗号文とを用いた前記減算処理を繰り返し実行し、
   初期値に対して前記第５暗号文を前記減算処理と同じ回数繰り返し加算することによりｘ座標値とｙ座標値の比に対応する暗号文を算出し、当該暗号文に対して所定の多項式を用い、前記点の偏角に対応する新たな暗号文を算出する、
   ことを特徴とする請求項１に記載の暗号処理装置。
4. 前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
   請求項１乃至３の何れか一項に記載の暗号処理装置。
5. 前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
   請求項１乃至４の何れか一項に記載の暗号処理装置。
6. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
   係数の数を増加した暗号文を入力とし、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う、
   ことを特徴とする暗号処理方法。
7. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   暗号文に対して所定の多項式を用いて新たな暗号文を算出し、
   係数の数を増加した暗号文を入力とし、所定の多項式を用いて新たな暗号文を算出するまえに暗号文の係数の数を削減する処理を行う、
   ことを特徴とする暗号処理プログラム。

Images