JP2023525159A - 暗号化されたデータに対する単変数または多変数の実数値関数を評価するための暗号方法、システム、およびサービス - Google Patents

Abstract

本発明は、暗号化データに対する準同型処理をより広範で効率的に実行できるようにするために、暗号化データに対する単変数または多変数の実数値関数の評価を可能にする準同型暗号に基づく暗号方法およびその変形に関する。

Description

本発明は、事前に暗号化されたデータに適用される１つ以上の関数の準同型評価を改善することに関する。この技術分野は、最近の暗号研究に基づいており、機密性の制約が存在するすべての活動分野（これに限らず、プライバシー保護のもの、企業秘密のもの、または医療データのものなど）に多数の用途が含まれる可能性がある。

より詳細には、本発明は、１つ以上の関数の準同型評価に必要な計算を、１つ以上の特別にプログラムされたコンピュータシステムによって自動完了できるようにするための方法に関する。したがって、限られた記憶と計算時間の容量または、クラウドコンピューティング型のリモート処理の場合は、この型の評価を行う必要がある情報処理システムにより知られ得る伝送容量を考慮する必要がある。

以下に説明するように、準同型暗号化方法の開発は、特に、様々な計算段階を実行するために実装されるマシンリソースとサポートされる計算時間に関して、コンピュータの処理容量に関連し、文献によって提案された方式のほとんどに固有の技術的制約によって、これまで大きく妨げられてきた。

完全準同型暗号化方式（完全準同型暗号化、略してＦＨＥ）では、任意の参加者が暗号文の集合（平文ｘ_１，…，ｘ_ｐに対応）を、この参加者が平文自体にアクセスすることなく、平文の所与の関数ｆ（ｘ_１，…，ｘ_ｐ）に対応する暗号文に公に変換できる。このような方式を使用して、私生活に準拠したプロトコルを構築できることはよく知られている（プライバシー保護）：ユーザは暗号化されたデータをサーバーに記憶し、データ自体をサーバーに公開する必要なく、暗号化されたデータに対する演算を行うことを第三者に許可できる。

第１の完全準同型暗号化方式は、Ｇｅｎｔｒｙ（２００９年の第１の出願に基づいて２０１４年に米国登録特許第８６３０４２２号を取得した）によって２００９年にようやく初めて提案された；［Ｃｒａｉｇ Ｇｅｎｔｒｙ、「Ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｕｓｉｎｇ ｉｄｅａｌ ｌａｔｔｉｃｅｓ」、４１ｓｔ Ａｎｎｕａｌ ＡＣＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｐｕｔｉｎｇ、１６９－１７８頁、ＡＣＭ Ｐｒｅｓｓ、２００９年］も参照されたい。Ｇｅｎｔｒｙの構築は現在では使用されていないが、導入された機能の１つである「ブートストラッピング」、特にその実装の１つは、その後提案された方式で広く使用されている。ブートストラッピングは、暗号文のノイズを減らすために使用される技術である：実際、知られているすべてのＦＨＥ方式では、暗号文にはセキュリティ上の理由から必要な少量のランダムノイズが含まれている。ノイジーな暗号文に対して演算を実行すると、ノイズが増加する。所与の数の演算を評価した後、このノイズは非常に高くなり、計算結果を危険にさらす可能性がある。したがって、ブートストラッピングは準同型暗号化方式の構築の基本であるが、この技術は使用メモリまたは計算時間の点で非常に高価である。

Ｇｅｎｔｒｙの公開に続く研究は、準同型暗号化を実際に実行可能にするために、新しい方式を提供し、ブートストラッピングを改善することを目的としている。最も有名な構築はＤＧＨＶ［Ｍａｒｔｅｎ ｖａｎ Ｄｉｊｋ、Ｃｒａｉｇ Ｇｅｎｔｒｙ、Ｓｈａｉ Ｈａｌｅｖｉ、およびＶｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ、「Ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｉｎｔｅｇｅｒｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１０、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６１１０巻、２４－４３頁、Ｓｐｒｉｎｇｅｒ、２０１０年］、ＢＧＶ［Ｚｖｉｋａ Ｂｒａｋｅｒｓｋｉ、Ｃｒａｉｇ Ｇｅｎｔｒｙ、およびＶｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ、「（Ｌｅｖｅｌｌｅｄ） ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｂｏｏｔｓｔｒａｐｐｉｎｇ」、ＩＴＣＳ２０１２；３ｒｄ Ｉｎｎｏｖａｔｉｏｎｓ ｉｎ Ｔｈｅｏｒｅｔｉｃａｌ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ、３０９－３２５頁、ＡＣＭ Ｐｒｅｓｓ、２０１２年］、ＧＳＷ［Ｃｒａｉｇ Ｇｅｎｔｒｙ、Ｅｄｓ、Ａｍｉｔ Ｓａｈａｉ、Ｂｒｅｎｔ Ｗａｔｅｒｓ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ：Ｃｏｎｃｅｐｔｕａｌｌｙ ｓｉｍｐｌｅｒ， ａｓｙｍｐｔｏｔｉｃａｌｌｙ ｆａｓｔｅｒ， Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＲＹＰＴＯ２０１３、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第８０４２巻、７５－９２頁、Ｓｐｒｉｎｇｅｒ、２０１３年］およびその変形である。第１のＧｅｎｔｒｙの方式でのブートストラッピングの実行は実際には実行可能ではなかったが（計算を完了するには１回の寿命では不十分であった）、引き続いて提案された構築は、あまり実用的ではないが（各ブートストラッピングは数分続く）、この演算を実行可能にした。２０１５年にＤｕｃａｓとＭｉｃｃｉａｎｃｉｏによって、ＧＳＷ型の方式で実行される、より高速なブートストラッピングが提案された［Ｌｅｏ ＤｕｃａｓとＤａｎｉｅｌｅ Ｍｉｃｃｉａｎｃｉｏ、「ＦＨＥＷ：Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｉｎ ｌｅｓｓ ｔｈａｎ ａ ｓｅｃｏｎｄ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１５、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第９０５６巻、６１７－６４０頁、Ｓｐｒｉｎｇｅｒ、２０１５年］：ブートストラッピング演算は０．５秒強で実行される。２０１６年、Ｃｈｉｌｌｏｔｔｉ、Ｇａｍａ、Ｇｅｏｒｇｉａｖａ、およびＩｚａｂａｃｈｅｎｅは、ＴＦＨＥと呼ばれるＦＨＥ方式の新しい変形を提案した［ＩＩａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、「Ｆａｓｔｅｒ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ：Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｉｎ ｌｅｓｓ ｔｈａｎ ０．１ ｓｅｃｏｎｄｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＡＳＩＡＣＲＹＰＴ２０１６、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１００３１巻、３－３３頁、Ｓｐｒｉｎｇｅｒ、２０１６年］。彼らのブートストラッピング技術は、その後の研究の基礎となっている。Ｂｏｕｒｓｅらの研究に言及することができる［Ｆｌｏｒｉａｎ Ｂｏｕｒｓｅ、Ｍｉｃｈｅｌｅｓ Ｍｉｎｅｌｌｉ、Ｍａｔｔｈｉａｓ ＭｉｎｉｈｏｌｄおよびＰａｓｃａｌ Ｐａｉｌｌｉｅｒ、「Ｆａｓｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｄｉｓｃｒｅｔｉｓｅｄ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＲＹＰＴＯ２０１８、パートＩＩＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１０９９３巻、４８３－５１２頁、Ｓｐｒｉｎｇｅｒ、２０１８年］、Ｃａｒｐｏｖら［Ｓｅｒｇｉｕ Ｃａｒｐｏｖ、Ｍａｌｉｋａ ＩｚａｂａｃｈｅｎｅおよびＶｉｃｔｏｒ Ｍｏｌｌｉｍａｒｄ、「Ｎｅｗ ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ ｍｕｌｔｉ－ｖａｌｕｅ ｉｎｐｕｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ａｎｄ ａｐｐｌｉｃａｔｉｏｎｓ」、Ｔｏｐｉｃｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＴ－ＲＳＡ２０１９、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１１４０５巻、１０６－１２６頁、Ｓｐｒｉｎｇｅｒ、２０１９年］、Ｂｏｕｒａら［Ｃｈｒｉｓｔｉｎａ Ｂｏｕｒａ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＤｉｍｉｔａｒ Ｊｅｔｃｈｅｖ、「Ｓｉｍｕｌａｔｉｎｇ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｌｅａｒｎｉｎｇ ｐｒｅｄｉｃｔｉｏｎｓ」、Ｃｙｂｅｒ Ｓｅｃｕｒｉｔｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｍａｃｈｉｎｅ Ｌｅａｒｉｎｇ（ＣＳＣＭＬ２０１９）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１１５２７巻、２１２－２３０頁、Ｓｐｒｉｎｇｅｒ、２０１９年］およびＣｈｉｌｌｏｔｔｉら［Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ ＧｅｏｒｇｉｅｖａおよびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ、３１（１）、３４－９１頁、２０２０年］。ＴＦＨＥの性能は注目に値する。彼らは、この分野の研究の進歩と準同型暗号をより実用化することに貢献してきた。提案された新しい技術により、ブートストラッピングを数ミリ秒で計算できるようになった。

米国特許第８６３０４２２号明細書

Ｃｒａｉｇ Ｇｅｎｔｒｙ、「Ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｕｓｉｎｇ ｉｄｅａｌ ｌａｔｔｉｃｅｓ」、４１ｓｔ Ａｎｎｕａｌ ＡＣＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｐｕｔｉｎｇ、１６９－１７８頁、ＡＣＭ Ｐｒｅｓｓ、２００９年 Ｍａｒｔｅｎ ｖａｎ Ｄｉｊｋ、Ｃｒａｉｇ Ｇｅｎｔｒｙ、Ｓｈａｉ Ｈａｌｅｖｉ、およびＶｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ、「Ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｉｎｔｅｇｅｒｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１０、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６１１０巻、２４－４３頁、Ｓｐｒｉｎｇｅｒ、２０１０年 Ｚｖｉｋａ Ｂｒａｋｅｒｓｋｉ、Ｃｒａｉｇ Ｇｅｎｔｒｙ、およびＶｉｎｏｄ Ｖａｉｋｕｎｔａｎａｔｈａｎ、「（Ｌｅｖｅｌｌｅｄ） ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｗｉｔｈｏｕｔ ｂｏｏｔｓｔｒａｐｐｉｎｇ」、ＩＴＣＳ２０１２；３ｒｄ Ｉｎｎｏｖａｔｉｏｎｓ ｉｎ Ｔｈｅｏｒｅｔｉｃａｌ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ、３０９－３２５頁、ＡＣＭ Ｐｒｅｓｓ、２０１２年 Ｃｒａｉｇ Ｇｅｎｔｒｙ、Ｅｄｓ、Ａｍｉｔ Ｓａｈａｉ、およびＢｒｅｎｔ Ｗａｔｅｒｓ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｆｒｏｍ ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ：Ｃｏｎｃｅｐｔｕａｌｌｙ ｓｉｍｐｌｅｒ， ａｓｙｍｐｔｏｔｉｃａｌｌｙ ｆａｓｔｅｒ， Ａｔｔｒｉｂｕｔｅ－ｂａｓｅｄ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＲＹＰＴＯ２０１３、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第８０４２巻、７５－９２頁、Ｓｐｒｉｎｇｅｒ、２０１３年 Ｌｅｏ ＤｕｃａｓとＤａｎｉｅｌｅ Ｍｉｃｃｉａｎｃｉｏ、「ＦＨＥＷ：Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｉｎ ｌｅｓｓ ｔｈａｎ ａ ｓｅｃｏｎｄ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１５、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第９０５６巻、６１７－６４０頁、Ｓｐｒｉｎｇｅｒ、２０１５年 ＩＩａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、「Ｆａｓｔｅｒ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ：Ｂｏｏｔｓｔｒａｐｐｉｎｇ ｉｎ ｌｅｓｓ ｔｈａｎ ０．１ ｓｅｃｏｎｄｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＡＳＩＡＣＲＹＰＴ２０１６、パートＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１００３１巻、３－３３頁、Ｓｐｒｉｎｇｅｒ、２０１６年 Ｆｌｏｒｉａｎ Ｂｏｕｒｓｅ、Ｍｉｃｈｅｌｅｓ Ｍｉｎｅｌｌｉ、Ｍａｔｔｈｉａｓ ＭｉｎｉｈｏｌｄおよびＰａｓｃａｌ Ｐａｉｌｌｉｅｒ、「Ｆａｓｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｄｉｓｃｒｅｔｉｓｅｄ ｎｅｕｒａｌ ｎｅｔｗｏｒｋｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＲＹＰＴＯ２０１８、パートＩＩＩ、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１０９９３巻、４８３－５１２頁、Ｓｐｒｉｎｇｅｒ、２０１８年 Ｓｅｒｇｉｕ Ｃａｒｐｏｖ、Ｍａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、およびＶｉｃｔｏｒ Ｍｏｌｌｉｍａｒｄ、「Ｎｅｗ ｔｅｃｈｎｉｑｕｅｓ ｆｏｒ ｍｕｌｔｉ－ｖａｌｕｅ ｉｎｐｕｔ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ａｎｄ ａｐｐｌｉｃａｔｉｏｎｓ」、Ｔｏｐｉｃｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＣＴ－ＲＳＡ２０１９、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１１４０５巻、１０６－１２６頁、Ｓｐｒｉｎｇｅｒ、２０１９年 Ｃｈｒｉｓｔｉｎａ Ｂｏｕｒａ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＤｉｍｉｔａｒ Ｊｅｔｃｈｅｖ、「Ｓｉｍｕｌａｔｉｎｇ ｈｏｍｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ ｏｆ ｄｅｅｐ ｌｅａｒｎｉｎｇ ｐｒｅｄｉｃｔｉｏｎｓ」、Ｃｙｂｅｒ Ｓｅｃｕｒｉｔｙ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｍａｃｈｉｎｅ Ｌｅａｒｉｎｇ（ＣＳＣＭＬ２０１９）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第１１５２７巻、２１２－２３０頁、Ｓｐｒｉｎｇｅｒ、２０１９年 Ｉｌａｒｉａ Ｃｈｉｌｌｏｔｔｉ、Ｎｉｃｏｌａｓ Ｇａｍａ、Ｍａｒｉｙａ Ｇｅｏｒｇｉｅｖａ、およびＭａｌｉｋａ Ｉｚａｂａｃｈｅｎｅ、「ＴＦＨＥ：Ｆａｓｔ ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ ｏｖｅｒ ｔｈｅ ｔｏｒｕｓ」、Ｊｏｕｒｎａｌ ｏｆ Ｃｒｙｐｔｏｌｏｇｙ、３１（１）、３４－９１頁、２０２０年 Ａｒｅｙ Ｎ． Ｋｏｌｍｏｇｏｒｏｖ、「Ｏｎ ｔｈｅ ｒｅｐｒｅｓｅｎｔａｔｉｏｎ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｄｙｎａｍｉｃ ｖａｒｉａｂｌｅｓ ｂｙ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｏｎｅ ｖａｒｉａｂｌｅ ａｎｄ ａｄｄｉｔｉｏｎ」、Ｄｏｋｌ． Ａｋａｄ． Ｎａｕｋ ＳＳＳＲ、１１４、９５３－９５６頁、１９５７年 Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ｏｎ ｔｈｅ ｓｔｒｕｃｔｕｒｅ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｓｅｖｅｒａｌ ｖａｒｉａｂｌｅｓ」、Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ ｔｈｅ Ａｍｅｒｉｃａｎ Ｍａｔｈｅｍａｔｉｃａｌ Ｓｏｃｉｅｔｙ、１１５、３４０－３５５頁、１９６５年 Ｐｉｅｒｒｅ－Ｅｍｍａｎｕｅｌ Ｌｅｎｉ、Ｙｏｈａｎ Ｆｏｕｇｅｒｏｌｌｅ、およびＦｒｅｄｅｒｉｃ Ｔｒｕｃｈｅｔｅｔ、「Ｋｏｍｏｇｏｒｏｖ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｔｈｅｏｒｙ ａｎｄ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ ｔｏ ｔｈｅ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｏｆ ｍｕｌｔｉｖａｒｉａｔｅ ｆｕｎｃｔｉｏｎｓ」、ＭａｊｅｃＳＴＩＣ’０８、２００８年１０月２９－３１日、Ｍａｒｓｅｉｌｌｅ、Ｆｒａｎｃｅ、２００８年 Ｂ． Ｆ． ＬｏｇａｎとＬ． Ａ． Ｓｈｅｐｐ、「Ｏｐｔｉｍａｌ ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆ ａ ｆｕｎｃｔｉｏｎ ｆｒｏｍ ｉｔｓ ｐｒｏｊｅｃｔｉｏｎｓ」、Ｄｕｋｅ Ｍａｔｈｅｍａｔｉｃａｌ Ｊｏｕｒｎａｌ、４２（４）、６４５－６５９頁、１９７５年 Ａｌｌａｎ Ｐｉｎｋｕｓ、「Ａｐｐｒｏｘｉｍａｔｉｎｇ ｂｙ ｒｉｄｇｅ ｆｕｎｃｔｉｏｎｓ」、Ａ． Ｌｅ Ｍｅｈａｕｔｅ、Ｃ． Ｒａｂｕｔ、およびＬ． Ｌ． Ｓｃｈｕｍａｋｅｒ（Ｅｄｓ．）、Ｓｕｒｆａｃｅ Ｆｉｔｔｉｎｇ ａｎｄ Ｍｕｌｔｉｒｅｓｏｌｕｔｉｏｎ Ｍｅｔｈｏｄｓ、２７９－２９２頁、Ｖａｎｄｅｒｂｉｌｔ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ、１９９７年 Ｊｅｒｏｍｅ Ｈ． ＦｒｉｅｄｍａｎおよびＷｅｒｎｅｒ Ｓｔｕｅｔｚｌｅ、「Ｐｒｏｊｅｃｔｉｏｎ ｐｕｒｓｕｉｔ ｒｅｇｒｅｓｓｉｏｎ」、Ｊｏｕｒｎａｌ ｏｆ ｔｈｅ Ａｍｅｒｉｃａｎ Ｓｔａｔｉｓｔｉｃａｌ Ａｓｓｏｃｉａｔｉｏｎ、７６（３７６）、８１７－８２３頁、１９８１年 Ｄ． Ｓ． ＢｒｏｏｍｈｅａｄとＤａｖｉｄ Ｌｏｗｅ、「Ｍｕｌｔｉｖａｒｉａｂｌｅ ｆｕｎｃｔｉｏｎａｌ ｉｎｔｅｒｐｏｌａｔｉｏｎ ａｎｄ ａｄａｐｔｉｖｅ ｎｅｔｗｏｒｋｓ」、Ｃｏｍｐｌｅｘ Ｓｙｓｔｅｍｓ、２、３２１－３５５頁、１９８８年 Ｏｄｅｄ Ｒｅｇｅｖ、「Ｏｎ ｌａｔｔｉｃｅｓ， ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ， ｒａｎｄｏｍ ｌｉｎｅａｒ ｃｏｄｅｓ， ａｎｄ ｃｒｙｐｔｏｇｒａｐｈｙ」、３７ｔｈ Ａｎｎｕａｌ ＡＣＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｐｕｔｉｎｇ、８４－９３頁、ＡＣＭ Ｐｒｅｓｓ、２００５年 Ｄａｍｉｅｎ Ｓｔｅｈｌｅ、Ｒｏｎ Ｓｔｅｉｎｆｅｌｄ、Ｋｅｉｓｕｋｅ Ｔａｎａｋａ、およびＫｅｉｔａ Ｘａｇａｗａ「Ｅｆｆｉｃｉｅｎｔ ｐｕｂｌｉｃ ｋｅｙ ｅｎｃｒｙｐｔｉｏｎ ｂａｓｅｄ ｏｎ ｉｄｅａｌ ｌａｔｔｉｃｅｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＡＳＩＡＣＲＹＰＴ２００９、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第５９１２巻、６１７－６３５頁、Ｓｐｒｉｎｇｅｒ、２００９年 Ｖａｄｉｍ Ｌｙｕｂａｓｈｅｖｓｋｙ、Ｃｈｒｉｓ Ｐｅｉｋｅｒｔ、およびＯｄｅｄ Ｒｅｇｅｖ、「Ｏｎ ｉｄｅａｌ ｌａｔｔｉｃｅｓ ａｎｄ ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ ｏｖｅｒ ｒｉｎｇｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１０、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６１１０巻、１－２３頁、Ｓｐｒｉｎｇｅｒ、２０１０年 Ｒｏｎ Ｒｏｔｈｂｌｕｍ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ： Ｆｒｏｍ ｐｒｉｖａｔｅ－ｋｅｙ ｔｏ ｐｕｂｌｉｃ－ｋｅｙ」、Ｔｈｅｏｒｙ ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ （ＴＣＣ２０１１）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６５９７巻、２１９－２３４頁、Ｓｐｒｉｎｇｅｒ、２０１１年 Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ａ ｎｕｍｅｒｉｃａｌ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎｓ」、Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ、９（５）、７６５－７７２頁、１９９６年 Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ａ ｎｕｍｅｒｉｃａｌ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎｓ ＩＩ」、Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ、１０（３）、４４７－４５７頁、１９９７年 Ｊｕｅｒｇｅｎ ＢｒａｕｎおよびＭｉｃｈａｅｌ Ｇｒｉｅｂｅｌ、「Ｏｎ ａ ｃｏｎｓｔｒｕｃｔｉｖｅ ｐｒｏｏｆ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｔｈｅｏｒｅｍ」、Ｃｏｎｓｔｒｕｃｔｉｖｅ Ａｐｐｒｏｘｉｍａｔｉｏｎ、３０（３）、６５３－６７５頁、２００７年

達成した進歩にもかかわらず、暗号文の集合（平文ｘ_１，…，ｘ_ｐに対応）を、平文の所与の関数ｆ（ｘ_１，…，ｘ_ｐ）に対応する暗号文に公に変換することが可能な、知られている計算手順は、いくつかの例に限定されているか、非実用的なままである。実際、現在の主な一般的な手段は、ＡＮＤ、ＮＯＴ、ＯＲ、またはＸＯＲ型の論理ゲートで構成されるブール回路の形式でこの関数を表し、次に、関数ｆの入力（平文）を表すビットの暗号文を入力として、この回路を準同型に評価することにある。ブール回路の複雑さの尺度は、計算結果を取得するために計算する必要がある連続するＡＮＤゲートの最大数として定義される、その乗算の深さである。この計算中にノイズを制御し続けるためには、その進行中に規則的にブートストラッピング演算を行う必要がある。上に示したように、最新の技術を使用しても、これらのブートストラッピング演算には複雑な計算が含まれ、乗算の深さが大きいため、計算全体がさらに遅くなる。このアプローチは、バイナリ入力上で演算し、単純なブール回路を有する関数に対してのみ実行可能である。

一般に、評価される関数は、入力として１つ以上の実変数ｘ_１，…，ｘ_ｐを取る。実変数の集合で評価されるいくつかの関数ｆ_１，…，ｆ_ｑさえあり得る。したがって、暗号文の集合（平文ｘ_１，…，ｘ_ｐに対応）を、平文の複数の実数値関数ｆ_１，…，ｆ_ｑに対応する暗号文の集合に公に変換する前述の演算を迅速に、過度に大規模な計算手段を動員することなく実行できる方法を見つけることには、大きな技術的および経済的関心がある。実際、２００９年にＧｅｎｔｒｙによってなされた理論上の進歩は、この技術的問題に対する効果的な解決策がないため、現在まで実際の具体化は知られていない。本発明が応答を提供するのは、この問題に対するものである。

本願は、暗号文の集合（平文ｘ_１，…，ｘ_ｐに対応）を、平文の複数の関数ｆ_１，…，ｆ_ｑに対応する暗号文の集合に効果的で公に変換するように特別にプログラムされた少なくとも１つの情報処理システムによってデジタル形式で実行されることを意図した方法のセットについて説明する。この新しい方法は、多変数関数ｆ_１，…，ｆ_ｑを、多変数関数の総和と合成を組み合わせた形式に変換する。好ましくは、関数ｆ_１，…，ｆ_ｑの変換から得られる中間値が評価で再利用される。最後に、単変数関数のそれぞれは、ブール回路の形式での通常の表現によるではなく、表の形式で表現されることが好ましい。

注目すべきことに、実数で定義され実数値を有する任意の多変数関数がサポートされている。エントリは、基礎となる暗号化アルゴリズムのメッセージのネイティブ空間との互換性を確保するために、事前のエンコードを受ける。復号は、解読後に、考慮されている関数の像に出力で適用することもできる。

本発明が実装する技術は、独立してまたは組み合わせて考慮され、複雑さと必要な計算時間を大幅に削減しながら、暗号化されたデータに適用される複数の関数ｆ_１，…，ｆ_ｑの結果の評価を実行できるようになるので、本発明の技術的効果は、重要である。以下に説明するように、この軽量化は、特に事実（ｉ）評価される多変数関数は、いくつかの変数の関数に直接作用するのではなく、単変数関数に変換されること（ｉｉ）これらの関数は、個別の評価を実行するのではなく、中間計算の結果を共有するように分解できること、および（ｉｉｉ）結果の単変数関数は、ブール回路ではなく表で表されること、から生じる。

関数ｆがいくつかの変数ｘ_１，…，ｘ_ｐを有するとき、本発明による方法は、関数ｆを単変数関数の総和と合成の組み合わせとして変換することである。これらの２つの演算、単変数関数の総和と合成、により、アフィン変換または線形結合を表現できることに留意されたい。ニューラルネットワークとの類推により、「単変数関数のネットワーク」という表現は、多変数から単変数への変換が完了したときの表現を指すために使用され、単変数関数の総和と合成を組み合わせ、このネットワークは、複数の暗号化された値で準同型的に評価される。前記変換は、正確または近似であり得る；それにもかかわらず、正確な変換はエラーのない近似変換であることに留意されたい。実際には、こうして得られたネットワークは、同じ機能を実装するブール回路と比較して深さが浅いという特徴を有する。次に、関数ｆのこの新しい表現を使用して、暗号化された入力Ｅ（ｅｎｃｏｄｅ（ｘ_１）），…，Ｅ（ｅｎｃｏｄｅ（ｘ_ｐ））で関数ｆを評価し、ここで、Ｅは暗号化アルゴリズムおよびｅｎｃｏｄｅはエンコーディング関数を指し、これにより、型Ｅ（ｅｎｃｏｄｅ（ｚ_ｋ））の入力から開始して、いくつかの単変数関数ｇ_ｊの型Ｅ（ｅｎｃｏｄｅ（ｇ_ｊ（ｚ_ｋ）））の計算を終了でき、ここで、ｚ_ｋは中間結果である。これらの計算は、暗号化アルゴリズムの準同型の特性を利用する。

単変数関数の同じネットワークを数回再利用するとき、すべての計算段階をやり直す必要がないのは興味深いことである。したがって、本発明によれば、第１のステップは、単変数関数の前記ネットワークを事前計算することにある；その後、後続のステップで暗号化されたデータに対して準同型評価される。

任意の連続多変数関数を単変数関数の総和と合成として書くことができるという事実は、１９５７年にＫｏｌｍｏｇｏｒｏｖによって実証された［Ａｒｅｙ Ｎ． Ｋｏｌｍｏｇｏｒｏｖ、「Ｏｎ ｔｈｅ ｒｅｐｒｅｓｅｎｔａｔｉｏｎ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｄｙｎａｍｉｃ ｖａｒｉａｂｌｅｓ ｂｙ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｏｎｅ ｖａｒｉａｂｌｅ ａｎｄ ａｄｄｉｔｉｏｎ」、Ｄｏｋｌ． Ａｋａｄ． Ｎａｕｋ ＳＳＳＲ、１１４、９５３－９５６頁、１９５７年］。

この結果は長い間理論的なものに留まっていたが、アルゴリズムバージョンが、特にＳｐｒｅｃｈｅｒによって発見され、Ｓｐｒｅｃｈｅｒは、単変数関数を構築するための方法を明示的に記述するアルゴリズムを提案した［Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ｏｎ ｔｈｅ ｓｔｒｕｃｔｕｒｅ ｏｆ ｃｏｎｔｉｎｕｏｕｓ ｆｕｎｃｔｉｏｎｓ ｏｆ ｓｅｖｅｒａｌ ｖａｒｉａｂｌｅｓ」、Ｔｒａｎｓａｃｔｉｏｎｓ ｏｆ ｔｈｅ Ａｍｅｒｉｃａｎ Ｍａｔｈｅｍａｔｉｃａｌ Ｓｏｃｉｅｔｙ、１１５、３４０－３５５頁、１９６５年］。その詳細な説明は、例えば以下の記事で見つけることができる［Ｐｉｅｒｒｅ－Ｅｍｍａｎｕｅｌ Ｌｅｎｉ、Ｙｏｈａｎ Ｆｏｕｇｅｒｏｌｌｅ、およびＦｒｅｄｅｒｉｃ Ｔｒｕｃｈｅｔｅｔ、「Ｋｏｍｏｇｏｒｏｖ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｔｈｅｏｒｙ ａｎｄ ｉｔｓ ａｐｐｌｉｃａｔｉｏｎ ｔｏ ｔｈｅ ｄｅｃｏｍｐｏｓｉｔｉｏｎ ｏｆ ｍｕｌｔｉｖａｒｉａｔｅ ｆｕｎｃｔｉｏｎｓ」、ＭａｊｅｃＳＴＩＣ’０８、２００８年１０月２９－３１日、Ｍａｒｓｅｉｌｌｅ、Ｆｒａｎｃｅ、２００８年］。さらに、分解される関数の連続性の仮定は、後者の近似を考慮することによって緩和できることに留意されたい。

別の可能なアプローチは、英語の用語によると、リッジ関数と呼ばれる特定の多変数関数の総和によって多変数関数を近似することにある［Ｂ． Ｆ． ＬｏｇａｎとＬ． Ａ． Ｓｈｅｐｐ、「Ｏｐｔｉｍａｌ ｒｅｃｏｎｓｔｒｕｃｔｉｏｎ ｏｆ ａ ｆｕｎｃｔｉｏｎ ｆｒｏｍ ｉｔｓ ｐｒｏｊｅｃｔｉｏｎｓ」、Ｄｕｋｅ Ｍａｔｈｅｍａｔｉｃａｌ Ｊｏｕｒｎａｌ、４２（４）、６４５－６５９頁、１９７５年］。実数値の変数ベクトルｘ＝（ｘ_１，…，ｘ_ｐ）のリッジ関数は、この変数ベクトルの実数パラメータベクトルａ＝（ａ_１，…，ａ_ｐ）とのスカラー積に適用される関数である、つまり、型ｇ_ａ（ｘ）＝ｇ（ａ・ｘ）の関数であり、ｇは単変数である。前述のように、スカラー積または同等の線形結合は、単変数関数の総和と合成の組み合わせの特定のケースであり；リッジ関数の総和の形式での多変数関数の分解は、本発明による多変数から単変数への変換の実施形態を形成する。任意の多変数関数は、リッジ関数の数を増やすことができれば、リッジ関数の総和によって必要なだけ高い精度で近似できることが知られている［Ａｌｌａｎ Ｐｉｎｋｕｓ、「Ａｐｐｒｏｘｉｍａｔｉｎｇ ｂｙ ｒｉｄｇｅ ｆｕｎｃｔｉｏｎｓ」、Ａ． Ｌｅ Ｍｅｈａｕｔｅ、Ｃ． Ｒａｂｕｔ、およびＬ． Ｌ． Ｓｃｈｕｍａｋｅｒ（Ｅｄｓ．）、Ｓｕｒｆａｃｅ Ｆｉｔｔｉｎｇ ａｎｄ Ｍｕｌｔｉｒｅｓｏｌｕｔｉｏｎ Ｍｅｔｈｏｄｓ、２７９－２９２頁、Ｖａｎｄｅｒｂｉｌｔ Ｕｎｉｖｅｒｓｉｔｙ Ｐｒｅｓｓ、１９９７年］。これらの数学的結果は、射影追跡という名前で知られる統計的最適化方法を生み出した［Ｊｅｒｏｍｅ Ｈ． ＦｒｉｅｄｍａｎおよびＷｅｒｎｅｒ Ｓｔｕｅｔｚｌｅ、「Ｐｒｏｊｅｃｔｉｏｎ ｐｕｒｓｕｉｔ ｒｅｇｒｅｓｓｉｏｎ」、Ｊｏｕｒｎａｌ ｏｆ ｔｈｅ Ａｍｅｒｉｃａｎ Ｓｔａｔｉｓｔｉｃａｌ Ａｓｓｏｃｉａｔｉｏｎ、７６（３７６）、８１７－８２３頁、１９８１年］。

リッジ関数の代わりにｇ_ａ（ｘ）＝ｇ（｜｜ｘ－ａ｜｜）型のいわゆるラジアル関数を使用することも可能であり［Ｄ． Ｓ． ＢｒｏｏｍｈｅａｄとＤａｖｉｄ Ｌｏｗｅ、「Ｍｕｌｔｉｖａｒｉａｂｌｅ ｆｕｎｃｔｉｏｎａｌ ｉｎｔｅｒｐｏｌａｔｉｏｎ ａｎｄ ａｄａｐｔｉｖｅ ｎｅｔｗｏｒｋｓ」、Ｃｏｍｐｌｅｘ Ｓｙｓｔｅｍｓ、２、３２１－３５５頁、１９８８年］、基本関数の他のファミリを同様の近似品質（収束率）で使用できる。

場合によっては、コルモゴロフの定理またはそのアルゴリズムバージョンの１つ（Ｓｐｒｅｃｈｅｒのものなど）を経ずに、またはリッジ関数、ラジアル関数、もしくはそれらの変形を経ずに、正式な分解が可能である。例えば、関数ｇ（ｚ_１，ｚ_２）＝ｍａｘ（ｚ_１，ｚ_２）（特に、ニューラルネットワークで使用されるいわゆる「最大プーリング」レイヤーとして機能する）は、したがって、次のように分解できる：ｍａｘ（ｚ_１，ｚ_２）＝ｚ_２＋（ｚ_１－ｚ_２）^＋、ここで、

は単変数関数

に対応する。

関数ｆ，…，ｆ_ｑのデータが与えられた場合、これらのそれぞれが単変数関数のネットワークで表され、ついで暗号化されたデータで準同型に評価されることを意図しているとき、この評価は、これらの単変数関数の１つ以上のすべてまたは一部が再利用される場合に最適化された方法で行われ得る。したがって、前記ネットワークの単変数関数の集合で観察される冗長性のそれぞれについて、暗号化された値に対する単変数関数の準同型評価の手順のいくつかは、一度だけ行われる必要がある。この関数準同型評価は通常、オンザフライでなされ、処理速度に大きな負担がかかることを知っているため、中間値を共有すると、大幅な性能利得が生じる。

次の３種類の最適化が考えられる：

同じ関数、同じ引数
単変数関数の数が等しい場合、この最適化は、同じ引数に適用される同じ単変数関数を最大回数繰り返す単変数関数のネットワークを優先することにある。実際、単変数関数とそれが評価される入力が同じ場合はいつでも、この入力に対するこの単変数関数の準同型評価を再計算する必要はない。

異なる関数、同じ引数
この最適化は、同じ入力に対する２つ以上の単変数関数の準同型評価が基本的に単一の準同型評価を犠牲にして行うことができるとき、計算の大部分を共有できる実施形態を適用する。前述のＣＴ－ＲＳＡ ２０１９の記事では、多出力バージョンという名前で同様の状況が検討されている。そのような実施形態の例は、セクション「発明を実施するための形態」に示されている。多変数の場合、この状況は、例えば、分解の係数（ａ_ｉｋ）が固定されているときに、いくつかの多変数関数のリッジ関数またはラジアル関数の総和の形式での分解に現れる。

同じ関数、非ゼロの加算定数だけ異なる引数
計算を高速化できるもう１つの状況は、差が知られている引数に対して同じ単変数関数が評価されるときである。これは、例えば、コルモゴロフ型の分解、特にＳｐｒｅｃｈｅｒの近似アルゴリズムバージョンが使用される場合に発生する。この状況では、分解にはいわゆる「内部」単変数関数が含まれ；特に、「発明を実施するための形態」セクションの内部関数Ψへの適用を参照。後者の場合の追加コストは最小限である。

これらの最適化は、いくつかの関数ｆ_１，…，ｆ_ｑを評価する必要があるときに適用されるが、それらは、評価される関数が１つの場合（ｑ＝１）にも適用される。すべての場合において、削減した数の単変数関数を作成するだけでなく、その評価のコストを削減するため、同じ引数に対して異なる関数を優先するか、加算定数だけ異なる引数に対して同じ関数を優先することは興味深いことである。この性質は、単変数関数のネットワークが暗号化された入力で準同型に評価されるときに単変数関数のネットワークに固有のものである。

本発明による評価の対象となる関数が多変数であり、上記の第１のステップを経て形成されているか、または本来の単変数関数を処理することを意図しているかにかかわらず、本発明は、これらの単変数関数の準同型評価を実行することを提供し、有利な変形では、この目的のために表形式の表現を使用する。

単変数関数の準同型評価、またはより一般的には単変数関数の組み合わせの準同型評価は、準同型暗号化方式に基づいている。

２００５年にＲｅｇｅｖによって導入された［Ｏｄｅｄ Ｒｅｇｅｖ、「Ｏｎ ｌａｔｔｉｃｅｓ， ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ， ｒａｎｄｏｍ ｌｉｎｅａｒ ｃｏｄｅｓ， ａｎｄ ｃｒｙｐｔｏｇｒａｐｈｙ」、３７ｔｈ Ａｎｎｕａｌ ＡＣＭ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｔｈｅｏｒｙ ｏｆ Ｃｏｍｐｕｔｉｎｇ、８４－９３頁、ＡＣＭ Ｐｒｅｓｓ、２００５年］、ＬＷＥ（Ｌｅａｒｎｉｎｇ Ｗｉｔｈ Ｅｒｒｏｒｓの略）問題は、多数の代数構造での準同型暗号化方式の構築を可能にする。通常、暗号化方式には、暗号化アルゴリズムＥと解読アルゴリズムＤが含まれており、ｃ＝Ｅ（μ）が平文μの暗号化である場合、Ｄ（ｃ）は平文μを返す。ＬＷＥ問題とその変形から派生した暗号化アルゴリズムには、暗号文にノイズを導入するという特殊性がある。これは、暗号化アルゴリズムが定義され、暗号文の解読が最初の平文になる平文の空間を示すために、平文のネイティブ空間と呼ばれ、ノイズを考慮したものである。平文のネイティブ空間としてＭを有する暗号化アルゴリズムＥの場合、エンコーディング関数ｅｎｃｏｄｅは、任意の集合の要素を集合Ｍまたはその部分集合に持ち込む関数であることを思い出されたい；好ましくは、この関数は単射である。

Ｃｈｉｌｌｏｔｔｉら（ＡＳＩＡＣＲＹＰＴ２０１６）の前述の記事で詳述されているように、１を法とする実数のトーラス

に適用され、このような方式は次のように定義されている。正の整数ｎの場合、暗号化キーは｛０，１｝^ｎのベクトル（ｓ_１，…，ｓ_ｎ）であり；平文のネイティブ空間は

である。トーラスの要素μのＬＷＥ暗号文は、

のベクトルｃ＝（ａ_１，…，ａ_ｎ，ｂ）であり、ここで、１≦ｊ≦ｎに対して、ａ_ｊは

のランダム要素であり、ここで、

で、ｅは０を中心とした

上のランダムエラー分布による低ノイズである。暗号文ｃ＝（ａ_１，…，ａ_ｎ，ｂ）から始めて、キー（ｓ_１，…，ｓ_ｎ）の知識により、

を

の要素として見つけることができる。トーラスの２つの要素を追加できるが、それらの内積は定義されていないことを思い出されたい。「・」という表記は、トーラスの整数と要素の外部積を表す。

同じ記事で、著者は

に基づく方式についても説明しており、ここで、

と

はそれぞれ多項式環

および

である。厳密に正の整数Ｎおよびｋの場合、暗号化キーは、

で

のベクトル（ｓ_１，…，ｓ_ｋ）であり、ここで

；平文のネイティブ空間は

である。

の多項式μのＲＬＷＥ暗号文は、

のベクトルｃ＝（ａ_１，…，ａ_ｋ，ｂ）であり、ここで、１≦ｊ≦ｋに対して、ａ_ｊは

のランダム多項式であり、ここで、

（

で、つまり（Ｘ^Ｎ＋１，１）を法とする）で

にわたるランダムエラー分布による低ノイズｅを備える。暗号文ｃ＝（ａ_１，…，ａ_Ｋ，ｂ）から始めて、キー（ｓ_１，…，ｓｋ）の知識により、

（

で）を

の要素として見つけることができる。本明細書での「・」は、

の外部積を表す。ＲＬＷＥの「Ｒ」はリングという言葉を指す。ＬＷＥ問題のこれらの変形は、［Ｄａｍｉｅｎ Ｓｔｅｈｌｅ、Ｒｏｎ Ｓｔｅｉｎｆｅｌｄ、Ｋｅｉｓｕｋｅ Ｔａｎａｋａ、およびＫｅｉｔａ Ｘａｇａｗａ「Ｅｆｆｉｃｉｅｎｔ ｐｕｂｌｉｃ ｋｅｙ ｅｎｃｒｙｐｔｉｏｎ ｂａｓｅｄ ｏｎ ｉｄｅａｌ ｌａｔｔｉｃｅｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＡＳＩＡＣＲＹＰＴ２００９、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第５９１２巻、６１７－６３５頁、Ｓｐｒｉｎｇｅｒ、２００９年］および［Ｖａｄｉｍ Ｌｙｕｂａｓｈｅｖｓｋｙ、Ｃｈｒｉｓ Ｐｅｉｋｅｒｔ、およびＯｄｅｄ Ｒｅｇｅｖ、「Ｏｎ ｉｄｅａｌ ｌａｔｔｉｃｅｓ ａｎｄ ｌｅａｒｎｉｎｇ ｗｉｔｈ ｅｒｒｏｒｓ ｏｖｅｒ ｒｉｎｇｓ」、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ－ＥＵＲＯＣＲＹＰＴ２０１０、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６１１０巻、１－２３頁、Ｓｐｒｉｎｇｅｒ、２０１０年］で提案されている。

最後に、ＡＳＩＡＣＲＹＰＴ２０１６のこの同じ記事では、ＲＬＷＥ型の暗号文とＲＧＳＷ型の暗号文（Ｇｅｎｔｒｙ－Ｓａｈａｉ－Ｗａｔｅｒｓの略で、「Ｒ」はリングを表す）の間の外部積を紹介している。ＲＬＷＥ型の暗号化アルゴリズムがＲＧＳＷ型の暗号化アルゴリズムを生じさせることを思い出すべきである。前の段落の表記が使用される。整数ｌ≧１に対して、Ｚは

の（ｋ＋１）ｌ行とｋ＋１列の行列を表し、各行は多項式０のＲＬＷＥ型暗号化である。

の多項式σのＲＧＳＷ暗号文は、行列Ｃ＝Ｚ＋σ・Ｇによって与えられ、ここで、Ｇは、

で定義されたいわゆる「ガジェット」行列（（ｋ＋１）ｌ行とｋ＋１列を有する）であり、

で与えられ、ここで、ｇ＝（１／Ｂ，…，１／Ｂ^ｌ）およびＩ_ｋ＋１は、所与のベースＢ≧２のｋ＋１サイズ恒等行列である。このウィジェットには、

で示される変換が関連付けられているため

の多項式のすべてのベクトル（行）ｖでは、Ｇ^－１（ｖ）・Ｇ≒ｖを得、Ｇ^－１（ｖ）は小さい。ＲＧＳＷ型暗号文Ｃ（多項式

の）とＲＬＷＥ型暗号文ｃ（多項式

の）の外部積は、

で示され、

として定義される。このようにして得られた暗号文

は、多項式

のＲＬＷＥ型暗号文である。証明は前述のＡＳＩＡＣＲＹＰＴ２０１６の記事に記載されている。

示されているように、前述の方式は、いわゆる対称暗号化方式または秘密キー暗号化方式である。これは決して制限ではない、なぜなら、Ｒｏｔｈｂｌｕｍが［Ｒｏｎ Ｒｏｔｈｂｌｕｍ、「Ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ： Ｆｒｏｍ ｐｒｉｖａｔｅ－ｋｅｙ ｔｏ ｐｕｂｌｉｃ－ｋｅｙ」、Ｔｈｅｏｒｙ ｏｆ Ｃｒｙｐｔｏｇｒａｐｈｙ （ＴＣＣ２０１１）、Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅの第６５９７巻、２１９－２３４頁、Ｓｐｒｉｎｇｅｒ、２０１１年］で示すように、任意の加算的準同型の秘密キー暗号化方式は、公開キー暗号化方式に変換できるからである。

上記で思い出したように、ブートストラッピングとは、暗号文に存在する可能性のあるノイズを削減することを可能にする方法を指す。Ｇｅｎｔｒｙは彼の前述のＳＴＯＣ２００９創設記事で、それにより紹介された現在「再暗号化」と一般的に呼ばれている技術によるブートストラッピングを実装している。再暗号化は、暗号化された領域で解読アルゴリズムを準同型的に評価することにある。平文領域では、解読アルゴリズムは暗号文Ｃと秘密キーＫを入力として取り、対応する平文ｘを返す。暗号化された領域では、準同型暗号化アルゴリズムＥとエンコーディング関数ｅｎｃｏｄｅを使用して、前記解読アルゴリズムの評価は、Ｃの暗号化の暗号文とＫの暗号化の暗号文、Ｅ（ｅｎｃｏｄｅ（Ｃ））およびＥ（ｅｎｃｏｄｅ（Ｋ））を入力として取り、したがって、アルゴリズムＥの暗号化キーの下で、同じ平文の暗号化の新しい暗号文、Ｅ（ｅｎｃｏｄｅ（ｘ））を与える。したがって、準同型暗号化アルゴリズムＥの出力として暗号文が与えられると仮定しても、再暗号化技術がこの場合に終わることを可能にするため、制限を形成しない。

ＬＷＥ型の暗号化方式とそれらの変種の準同型の性質により、対応する暗号文上で演算することで平文を演算できる。評価される単変数関数ｆの定義の領域は、その定義の領域をカバーするいくつかの区間に離散化される。各区間は、値ｘ_ｉと関数ｆ（ｘ_ｉ）の対応する値によって表される。したがって、関数ｆは、（ｘ_ｉ，ｆ（ｘ_ｉ））の形式の一連のペアによって集計される。これらのペアは、関数の定義の領域内のｘの任意の値に対して、ｆ（ｘ）の暗号文、またはｘの暗号文から始まる近似値を準同型に計算するために実際に使用される。

本発明では、この準同型計算の中核にあるのは、ブートストラッピングとエンコーディングを組み合わせた新しい一般的な技術である。いくつかの実施形態は、「発明を実施するための形態」セクションに記載されている。

前述のＡＳＩＡＣＲＹＰＴ２０１６の記事で説明されている準同型アセスメント技術、および前述の後続の研究で紹介されている技術では、任意の定義領域で任意の関数の準同型評価を行うことはできない。まず、第１に、これらは単変数型の関数に厳密に制限されている。先行技術では、多変数の場合における対応は知られていない。さらに、単変数の場合、従来技術は、入力値または評価される関数に関する条件を仮定している。これらの制限の中で、例えば、バイナリ値（ビット）に制限された入力や、評価される関数の必要なネガサイクリックな性質（例えば、トーラスの「ｓｉｇｎ」関数によって検証される）に留意されたい。これらの特定のケースで終わることを可能にする入力値または出力値の一般的な処理は、任意の実数値を有する関数について従来技術に記載されていない。

逆に、本発明の実装は、出力におけるノイズの制御を可能にしながら（ブースティング）、関数の形式や定義の領域に関係なく、実数のＬＷＥ型暗号文である入力に実数値変数をもつ関数の準同型評価を可能にする。

第１の２つのステップを、模式的に複製した図である。 例として、ｐ＝２のケースを示した図である。 定義Ｄの領域で任意の精度を有し、像Ｉで実数値を有する実数値変数の単変数関数ｆについて示した図である。

本発明は、少なくとも１つの特別にプログラムされた情報処理システムによって、暗号化されたデータに対して、１つ以上の実数値変数を使用した１つ以上の関数ｆ_１，…，ｆ_ｑの評価をデジタル的に実行することを可能にし、各関数は実変数ｘ_１，…，ｘ_ｐの中から複数の実変数を入力として取る。

前記関数の少なくとも１つが入力として少なくとも２つの変数を取るとき、本発明による方法は、概略的に３つのステップを含む：
１．前記多変数関数のそれぞれを、単変数実数値関数の総和と合成で構成される単変数関数のネットワークに変換することである、いわゆる事前計算ステップ、
２．前記事前計算された単変数関数ネットワークにおいて、異なる型の冗長性を識別し、それらのすべてまたは一部を選択することである、いわゆる事前選択ステップ、
３．事前選択ステップで選択された冗長性が最適化された方法で評価される、単変数関数の事前計算されたネットワークのそれぞれの、いわゆる準同型評価のステップ。

第２のステップ（事前選択）に関しては、冗長性のすべてまたは一部の選択は、計算時間の観点での利益であろうと、また中間計算値を記憶するためのメモリリソースなどの可用性の理由であろうと、主に準同型評価のデジタル処理を最適化するという目的によってのみ導かれるわけではない。

「図１」は、第１の２つのステップを、この目的のためにプログラムされたコンピュータシステムによって本発明に従って実装されるように模式的に複製したものである。

したがって、本発明の実施形態の１つにおいて、１つ以上の多変数実数値関数ｆ_１，…，ｆ_ｑの評価であって、各関数は、変数ｘ_１，…，ｘ_ｐの中から複数の実数値変数を入力として取り、前記関数のうちの少なくとも１つは、少なくとも２つの変数を入力として取り、入力ｘ_ｉ、Ｅ（ｅｎｃｏｄｅ（ｘ_ｉ））のそれぞれの暗号化の暗号文を入力として取り、１≦ｉ≦ｐであり、それらのそれぞれの入力に適用されたｆ_１，…，ｆ_ｑの暗号化の複数の暗号文を返し、Ｅは準同型暗号化アルゴリズムであり、ｅｎｃｏｄｅは、Ｅの平文のネイティブ空間の要素を実数ｘ_ｉのそれぞれに関連付けるエンコーディング関数である、１つ以上の多変数実数値関数ｆ_１，…，ｆ_ｑの評価は：
１．前記多変数関数のそれぞれを、単変数実数値関数の総和と合成で構成される単変数関数のネットワークに変換することである事前計算ステップ、
２．事前計算された単変数関数の前記ネットワークにおいて、３つの型
ａ．同じ引数に適用される同じ単変数関数、
ｂ．同じ引数に適用される異なる単変数関数、
ｃ．非ゼロの加算定数だけ異なる引数に適用される同じ単変数関数、
のうちの１つの冗長性を識別し、その全部または一部を選択することである事前選択ステップ、
３．事前選択ステップで選択された冗長性が最適化された方法で評価される、単変数関数の事前計算されたネットワークのそれぞれの準同型評価のステップ
という特徴があり得る。

事前計算ステップに関しては、コルモゴロフの重ね合わせ定理の明示的なバージョンにより、次元ｐの恒等超立方体Ｉｐ＝［０，１］^ｐに定義された、任意の連続関数

は、単変数連続関数の総和と合成として書くことができることを確認できる：

と

ここで、変数の所与の数ｐで、λ_ｉとａは定数であり、Ψは連続関数である。言い換えると

例として、「図２」はｐ＝２のケースを示している。

関数Ψとξはいわゆる「内部」関数であり、所与のアリティのｆとは独立である。関数Ψは、Ｉ^ｐの実数ベクトル（ｘ_１，…，ｘ_ｐ）の任意の成分ｘ_ｉに［０，１］の値を関連付ける。関数ξにより、各ベクトル（ｘ_１，…，ｘ_ｐ）∈Ｉ^ｐに、区間［０，１］の数値

を関連付けることができ、次に、関数ｇ_ｋへの引数として機能し、総和によって関数ｆを再構築する。コルモゴロフの定理におけるｆの領域を超立方体Ｉ^ｐに制限することは、科学文献では通常、説明を簡単にするために行われていることに留意されたい。しかし、この定理は次元ｐを有する任意の平行六面体に相等性によって自然に拡張されることは明らかである。

Ｓｐｒｅｃｈｅｒは、それぞれ［Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ａ ｎｕｍｅｒｉｃａｌ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎｓ」、Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ、９（５）、７６５－７７２頁、１９９６年］および［Ｄａｖｉｄ Ａ． Ｓｐｒｅｃｈｅｒ、「Ａ ｎｕｍｅｒｉｃａｌ ｉｍｐｌｅｍｅｎｔａｔｉｏｎ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎｓ ＩＩ」、Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ、１０（３）、４４７－４５７頁、１９９７年］で内部関数と外部関数を決定するためのアルゴリズムを提案した。

ξを構築するためにＳｐｒｅｃｈｅｒによって最初に定義された関数Ψの代わりに（一部の入力値では不連続である）、［Ｊｕｒｇｅｎ ＢｒａｕｎおよびＭｉｃｈａｅｌ Ｇｒｉｅｂｅｌ、「Ｏｎ ａ ｃｏｎｓｔｒｕｃｔｉｖｅ ｐｒｏｏｆ ｏｆ Ｋｏｌｍｏｇｏｒｏｖ’ｓ ｓｕｐｅｒｐｏｓｉｔｉｏｎ ｔｈｅｏｒｅｍ」、Ｃｏｎｓｔｒｕｃｔｉｖｅ Ａｐｐｒｏｘｉｍａｔｉｏｎ、３０（３）、６５３－６７５頁、２００７年］で定義されている関数Ψを使用することができる。

内部関数Ψとξが固定されると、外部関数ｇ_ｋ（関数ｆに依存）を決定することが残っている。この目的のために、Ｓｐｒｅｃｈｅｒは、総和が外部関数ｇ_ｋに向かって収束するｒ関数

の構築－各ｋ、０≦ｋ≦２ｐに対して－を提案する。ｒ番目のステップの終わりに、ｆの近似の結果は次の形式：

で与えられ、ここで、ＫはＫ≧２ｐとなるようなパラメータである。したがって、このアルゴリズムは、コルモゴロフ分解定理の結果に対する近似結果を提供する。実際、ｒを非常に大きくし、

と仮定すると、関数ｆの次の近似表現が得られる：

、またはまだ

。

したがって、本発明の実施形態の１つにおいて、事前計算段階は、ｆ_１，…，ｆ_ｑの中からの少なくとも１つの関数ｆ_ｊについて、事前計算ステップの変換は、

で、ｔ≦ｐおよびｊ_１，…，ｊ_ｔ∈｛１，…，ｐ｝である形態で近似変換であり、ここで、Ψは実数で定義され実数値を有する単変数関数であり、

は実定数であり、ここで、ｇ_ｋは、実数で定義され実数値を有する単変数関数であり、前記関数ｇ_ｋは、所与のパラメータＫに対してｆ_ｊに応じて決定されることに特徴がある。

多変数関数ｆ（ｘ_１，…，ｘ_ｐ）を分解するための別の技術は、変換

に従って、いわゆるリッジ関数の総和で近似することにあり、ここで、係数ａ_ｉ，_ｋは実数であり、ｇ_ｋは実数で定義された実数値を有する単変数関数であり、前記関数ｇ_ｋおよび前記係数ａ_ｉ，_ｋは、所与のパラメータＫに対して、ｆ_ｊに応じて決定される。

それで、分解は、一般的なケースでは近似であり、最良の近似、または十分な品質の近似を識別することを目的としている。この近似は、射影追跡として統計的最適化に特化した文献に現れる。前述のように、注目すべき結果は、任意の関数ｆをこの方法で任意の高精度で近似できることである。しかし、実際には、ｆは正確な分解を許すことが一般的であり、つまり、その入力のすべてまたは一部についてリッジ関数の総和の形式で解析的に表現される。

関数ｆ_ｊが、ｔ≦ｐで｛ｘ_１，…，ｘ_ｐ｝のｔ個の変数の部分集合を入力として取るとき、これらの変数がｊ_１，…，ｊ_ｔ∈｛１，…，ｐ｝で

と示されている場合、前のリッジ分解が

と書かれ、

およびａ_ｋ＝（ａ_１，ｋ，…，ａ_ｔ，ｋ）を用いており、関数ｇ_ｋおよび係数ａ_ｉ，_ｋは所与のパラメータＫに対するｆ_ｊに応じて決定される。

したがって、本発明の実施形態の１つでは、事前計算段階を、ｆ_１，…，ｆ_ｑの中からの少なくとも１つの関数ｆ_ｊについて、事前計算ステップの変換は

の形式で近似変換であり、ｔ≦ｐおよびｊ_１，…，ｊ_ｔ∈｛１，…，ｐ｝であり、ここで、係数ａ_ｉ，_ｋは実数であり、ここで、ｇ_ｋは実数で定義された単変数関数であり、実数値を有し、前記関数ｇ_ｋおよび前記係数ａ_ｉ，_ｋは、所与のパラメータＫに対して、ｆ_ｊに応じて決定されることで特徴付けることができる。

同じ統計最適化ツールを使用した同様の分解技術は、リッジ関数ではなく、

に従うラジアル関数を使用して適用され、ｘ＝（ｘ_１，…，ｘ_ｐ），ａ_ｋ＝（ａ_１，ｋ，…，ａ_ｐ，ｋ）を用いており、ここで、ベクトルａ_ｋは係数ａ_ｉ，_ｋとして実数を有し、ここで、ｇ_ｋは実数で定義された単変数関数であり、実数値を有し、前記関数ｇ_ｋおよび前記係数ａ_ｉ，_ｋは、所与のパラメータＫおよび所与のノルム｜｜・｜｜に対して、ｆに応じて決定される。通常、ユークリッドノルムが使用される。

関数ｆ_ｊが入力として、ｔ≦ｐで｛ｘ_１，…，ｘ_ｐ｝のｔ個の変数の部分集合を取るとき、ｊ_１，…，ｊ_ｔ∈｛１，…，ｐ｝を用いてこれらの変数を

と表す場合、前の分解が、

と書かれ、

およびａ_ｋ＝（ａ_１，ｋ，…，ａ_ｔ，ｋ）を用いており、関数ｇ_ｋおよび係数ａ_ｉ，_ｋは所与のパラメータＫに対するｆ_ｊに応じて決定される。

したがって、本発明の実施形態の１つでは、事前計算段階を、ｆ_１、…、ｆ_ｑの中から少なくとも１つの関数ｆ_ｊについて、事前計算ステップの変換は、

の形式の近似変換であり、

、ａ_ｋ＝（ａ_１，ｋ，…，ａ_ｔ，ｋ），ｔ≦ｐおよびｊ_１，…，ｊ_ｔ∈｛１，…，ｐ｝であり、ここで、ベクトルａ_ｋは係数ａ_ｉ，_ｋとして実数を有し、ここで、ｇ_ｋは、実数で定義された単変数関数であり、実数値を有し、前記関数ｇ_ｋおよび前記係数ａ_ｉ，_ｋは、所与のパラメータＫおよび所与のノルム｜｜・｜｜に対して、ｆ_ｊに応じて決定されることで特徴付けることができる。

前述のＰｉｎｋｕｓの記事で示されているように、関数の分解の別の重要なクラスは、係数ａ_ｉ，_ｋが固定されているとき、関数ｇ_ｋは変数である。このクラスは、リッジ関数の形式とラジアル関数の形式の両方の分解に適用される。この問題を解決する方法として：フォンノイマンアルゴリズム、巡回座標アルゴリズム、シュヴァルツ領域分解法、ディリベルトストラウスアルゴリズムの名で、およびトモグラフィーに専門の文献に見られる変形など、いくつかの方法が知られており；これと同じＰｉｎｋｕｓの記事とその中の参考文献を参照。

したがって、本発明の特定の実施形態の１つでは、この事前計算段階は、係数ａ_ｉ，_ｋが固定されていることをさらに特徴とする。

場合によっては、事前計算ステップの変換は、多変数関数の等価形式表現によって正確に行われ得る。

ｇ多変数関数を考える。この関数ｇがｚ_１とｚ_２の最大値、ｇ（ｚ_１，ｚ_２）＝ｍａｘ（ｚ_１，ｚ_２）を計算する場合、形式的等価ｍａｘ（ｚ_１，ｚ_２）＝ｚ_２＋（ｚ_１－ｚ_２）^＋を使用でき、ここで

は単変数関数

に対応する。この形式的等価を使用すると、関数ｍａｘ（ｚ_１，ｚ_２）の他の形式的等価を簡単に取得できる。例として、（ｚ_１－ｚ_２）^＋を

と同等の方法で表現できるため、形式的等価ｍａｘ（ｚ_１，ｚ_２）＝（ｚ_１＋ｚ_２＋｜ｚ_１－ｚ_２｜）／２が得られ、ここで

は単変数関数「絶対値」であり、ここで

は単変数関数「２による除算」である。

一般に、３つ以上の変数ｚ_１，…，ｚ_ｍの場合、１≦ｉ≦ｍ－１を満たす任意のｉに対して、ｍａｘ（ｚ_１，…，ｚ_ｉ，ｚ_ｉ＋１，…，ｚ_ｍ）＝ｍａｘ（ｍａｘ（ｚ_１，…，ｚ_ｉ），ｍａｘ（ｚ_ｉ＋１，…，ｚ_ｍ））とすると、ｍａｘ（ｚ_１，…，ｚ_ｍ）は、したがって総和と関数｜・｜（絶対値）または（・）^＋の組み合わせとして繰り返し取得される。

したがって、本発明の実施形態の１つでは、事前計算段階を、この事前計算ステップの変換では、形式的等価ｍａｘ（ｚ_１，ｚ_２）＝ｚ_２＋（ｚ_１－ｚ_２）^＋を使用し、関数

を、単変数関数の総和と合成の組み合わせとして表現することで特徴付けることができる。

本発明の特定の実施形態では、この事前計算段階は、多変数関数が３つ以上の変数を含むとき、前記関数について、２つの変数に対する形式的等価の反復から形式的等価が得られることをさらに特徴とする。

同様に、「最小」関数ｇ（ｚ_１，ｚ_２）＝ｍｉｎ（ｚ_１，ｚ_２）の場合、形式的等価ｍｉｎ（ｚ_１，ｚ_２）＝ｚ_２＋（ｚ_１－ｚ_２）^－を使用でき、ここで

またはｍｉｎ（ｚ_１，ｚ_２）＝（ｚ_１＋ｚ_２－｜ｚ_１－ｚ_２｜）／２であり、これは

であるためであり、反復することにより、通常、ｍｉｎ（ｚ_１，…，ｚ_ｉ，ｚ_ｉ＋１，…，ｚ_ｍ）＝ｍｉｎ（ｍｉｎ（ｚ_１，…，ｚ_ｉ），ｍｉｎ（ｚ_ｉ＋１，…，ｚ_ｍ））を観察することによってｍ－変数関数ｍｉｎ（ｚ_１，…，ｚ_ｍ）を総和と単変数関数の組み合わせとして形式的に分解できる。

したがって、本発明の実施形態の１つでは、事前計算段階は、この事前計算ステップの変換では、形式的等価ｍｉｎ（ｚ_１，ｚ_２）＝ｚ_２＋（ｚ_１－ｚ_２）^－を使用し、関数

を、単変数関数の総和と合成の組み合わせとして表現することで特徴付けられ得る。

本発明の特定の実施形態では、この事前計算段階は、前記関数について、後者が３つ以上の変数を含むとき、２つの変数に対する形式的等価の反復から形式的等価が得られることをさらに特徴とする。

単変数関数の総和と合成の組み合わせに簡単に形式的に分解できるもう１つの非常に便利な多変数関数は、乗算である。第１の実施形態は、ｇ（ｚ_１，ｚ_２）＝ｚ_１×ｚ_２に対して、形式的等価ｚ_１×ｚ_２＝（ｚ_１＋ｚ_２）^２／４－（ｚ_１－ｚ_２）^２／４を使用することであり、単変数関数

を含む。もちろん、形式的等価を使用すると、他の形式的等価が得られる。したがって、例として、ｚ_１×ｚ_２＝（ｚ_１＋ｚ_２）^２／４－（ｚ_１－ｚ_２）^２／４を使用して、ｚ_１×ｚ_２＝（ｚ_１＋ｚ_２）^２／４－（ｚ_１－ｚ_２）^２／４＋（ｚ_１＋ｚ_２）^２／４－（ｚ_１＋ｚ_２）^２／４＝（ｚ_１＋ｚ_２）^２／２－（ｚ_１－ｚ_２）^２／４－（ｚ_１＋ｚ_２）^２／４＝（ｚ_１＋ｚ_２）^２／２－ｚ_１ ^２／２－ｚ_２ ^２／２が推定される；すなわち、形式的等価ｚ_１×ｚ_２＝（ｚ_１＋ｚ_２）^２／２－ｚ_１ ^２／２－ｚ_２ ^２／２であり、単変数関数

を含む。

したがって、本発明の実施形態の１つでは、事前計算段階は、この事前計算ステップの変換が形式的等価ｚ_１×ｚ_２＝（ｚ_１＋ｚ_２）^２／４－（ｚ_１－ｚ_２）^２／４を使用して、関数

を単変数関数の総和と合成の組み合わせとして表現することで特徴付けられ得る。

これらの実施形態は、１≦ｉ≦ｍ－１でｚ_１×…×ｚ_ｉ×ｚ_ｉ＋１×…×ｚ_ｍ＝（ｚ_１×…×ｚ_ｉ）×（ｚ_ｉ＋１×…×ｚ_ｍ）を観察することによってｍ≧３に対して、ｍ－変数関数に一般化される。

本発明の特定の実施形態では、この事前計算段階は、前記関数について、後者が３つ以上の変数を含むとき、２つの変数に対する形式的等価の反復から形式的等価が得られることをさらに特徴とする。

第２の実施形態は、単変数関数

および

を含むｇ（ｚ_１，ｚ_２）＝｜ｚ_１×ｚ_２｜＝｜ｚ_１｜×｜ｚ_２｜を｜ｚ_１×ｚ_２｜＝ｅｘｐ（ｌｎ｜ｚ_１｜＋ｌｎ｜ｚ_２｜）として分解することであり；または、任意の基数Ｂに対して、

などであり、なぜなら

であるからであり、ここで、ｅ＝ｅｘｐ（１）であり、単変数関数

および

を含む。ここでもやはり、これらの実施形態は、１≦ｉ≦ｍ－１でｚ_１×…×ｚ_ｉ×ｚ_ｉ＋１×…×ｚ_ｍ｜＝｜ｚ_１×…×ｚ_ｉ｜×｜ｚ_ｉ＋１×…×ｚ_ｍ｜を観察している間に、ｍ≧３に対して、ｍ－変数関数に一般化される。

したがって、本発明の実施形態の１つでは、事前計算段階は、この事前計算ステップの変換が、形式的等価｜ｚ_１×ｚ_２｜＝ｅｘｐ（ｌｎ｜ｚ_１｜＋ｌｎ｜ｚ_２｜）を使用し、単変数関数の総和と合成の組み合わせとして関数

を表すことで特徴付けられ得る。

本発明の特定の実施形態では、この事前計算段階は、前記関数について、後者が３つ以上の変数を含むとき、２つの変数に対する形式的等価の反復から形式的等価が得られることをさらに特徴とする。

前述のように、入力として与えられた多変数関数は、多変数関数のネットワークに変換される。そのようなネットワークは、変換が正確な場合でも、必ずしも一意であるとは限らない。

例として、上記のように、多変数関数ｍａｘ（ｘ_１，ｘ_２）、つまり、ｍａｘ（ｘ_１，ｘ_２）＝ｘ_２＋（ｘ_１－ｘ_２）^＋およびｍａｘ（ｘ_１，ｘ_２）＝（ｘ_１＋ｘ_２＋｜ｘ_１－ｘ_２｜）／２の少なくとも２つの分解を見てきた。具体的には、これらの変換のそれぞれは、次のように詳細に進行し得る。

１．ｍａｘ（ｘ_１，ｘ_２）＝ｘ_２＋（ｘ_１－ｘ_２）^＋
ｚ_１＝ｘ_１－ｘ_２と仮定し、ｇ_１（ｚ）＝ｚ^＋を定義する。
ｍａｘ（ｘ_１，ｘ_２）＝ｘ_２＋ｇ_１（ｚ_１）と書く。

２．ｍａｘ（ｘ_１，ｘ_２）＝（ｘ_１＋ｘ_２＋｜ｘ_１－ｘ_２｜）／２
ｚ_１＝ｘ_１－ｘ_２およびｚ_２＝ｘ_１＋ｘ_２と仮定する。
ｇ_１（ｚ）＝｜ｚ｜およびｇ_２（ｚ）＝ｚ／２を定義する。
ｚ_３＝ｚ_２＋ｇ_１（ｚ_１）でｍａｘ（ｘ_１，ｘ_２）＝ｇ_２（ｚ_３）と書く。

一般に、単変数関数のネットワークでは２種類の演算が観察される：単変数関数の総和と評価である。ネットワークの評価が暗号化された値に対して準同型で行われる場合、最もコストのかかる演算は単変数関数の評価であり、これは通常、ブートストラッピングステップが生じるためである。したがって、これらの単変数関数の評価演算を最小化する単変数関数のネットワークを作成することは興味深いことである。

したがって、前の例では、「最大」関数の第１の変換［ｍａｘ（ｘ_１，ｘ_２）＝ｘ_２＋（ｘ_１－ｘ_２）^＋］は、１つの単変数関数の評価、つまり関数ｇ_１（ｚ）＝ｚ^＋の評価のみが必要なため、より有利なようであることがわかる。実際には、第２の変換の第２の単変数関数は実際に評価される必要がないため、違いは目立たず；必要なのは２ｍａｘ（ｘ_１，ｘ_２）＝ｘ_１＋ｘ_２＋｜ｘ_１－ｘ_２｜を返すこと、または、この因子を出力の復号関数に統合することである。一般に、定数による乗算である単変数関数は、（ｉ）開始関数の倍数を計算することによって、または（ｉｉ）これらの関数が別の単変数関数の入力にある場合、合成によって定数を「吸収」することによって、無視することができる。例えば、多変数関数ｓｉｎ（ｍａｘ（ｘ_１，ｘ_２））は次のように書ける。

１．ｓｉｎ（ｍａｘ（ｘ_１，ｘ_２））＝ｓｉｎ（ｘ_２＋（ｘ_１－ｘ_２）^＋）
ｚ_１＝ｘ_１－ｘ_２と仮定し、ｇ_１（ｚ）＝ｚ^＋を定義する。
ｇ_２（ｚ）＝ｓｉｎ（ｚ）を定義する。

２．ｚ_２＝ｘ_２＋ｇ_１（ｚ_１）でｓｉｎ（ｍａｘ（ｘ_１，ｘ_２））＝ｇ_２（ｚ_２）を書く。
ｓｉｎ（ｍａｘ（ｘ_１，ｘ_２））＝ｓｉｎ（（ｘ_１＋ｘ_２＋｜ｘ_１－ｘ_２｜）／２）
ｚ_１＝ｘ_１－ｘ_２およびｚ_２＝ｘ_１＋ｘ_２と仮定する。
ｇ_１（ｚ）＝｜ｚ｜およびｇ_２（ｚ）＝ｓｉｎ（ｚ／２）を定義する。

３．ｚ_３＝ｚ_２＋ｇ_１（ｚ_１）でｓｉｎ（ｍａｘ（ｘ_１，ｘ_２））＝ｇ_２（ｚ_３）を書く。
（第２のケースでは、関数ｇ_２（ｚ）＝ｓｉｎ（ｚ／２）によって

による乗算が「吸収」される）。

型ｇ（ｚ）＝ｚ＋ａ（定数ａの加算）または型ｇ（ｚ）＝ａｚ（定数ａによる乗算）の単変数関数とは別に、他の状況では単変数関数の評価が高速になり得る。

は、事前計算ステップでのｆ_１，…，ｆ_ｑの変換の結果として生じる、それぞれの引数

を有する単変数関数の集合を示し、一部の単変数関数ｇ_ｋは、同じであり得る。

３種類の最適化が考慮される：

１）同じ関数、同じ引数：
ｇ_ｋ＝ｇ_ｋ’および

（型１）。この最適化は明らかである。これは、以前の計算の結果を再利用することにある。したがって、

が既に評価され、

であるようなｋ’＜ｋがある場合、

の値を再計算してはならない。

２）異なる関数、同じ引数：
ｇ_ｋ≠ｇ_ｋ’ および

（型２）。場合によっては、同じ引数に対する２つ以上の単変数関数の準同型評価のコストが、これらの関数を個別に考慮したコストの総和よりも小さくなり得る。通常、単一のブートストラッピングステップが必要である。この場合、型

の単変数関数を同数含む単変数関数の２つのネットワーク間で、多重度の許容範囲内で、最大の引数を共有するネットワークを優先することが有利である。

例は、この状況を非常によく示している。多変数関数ｆ（ｘ_１，ｘ_２）＝ｍａｘ（ｘ_１，ｘ_２）＋｜ｘ_１×ｘ_２｜の準同型評価を考える。ネットワークの２つの可能な実施形態は、
ａ．ｍａｘ（ｘ_１，ｘ_２）＋｜ｘ_１×ｘ_２｜＝ｘ_２＋（ｘ_１－ｘ_２）^＋＋ｅｘｐ（ｌｎ｜ｘ_１｜＋ｌｎ｜ｘ_２｜）
ｚ_１＝ｘ_１－ｘ_２と仮定し、ｇ_１（ｚ）＝ｚ^＋を定義する
ｇ_２（ｚ）＝ｌｎ｜ｚ｜およびｇ_３（ｚ）＝ｅｘｐ（ｚ）を定義する
ｚ_２＝ｇ_２（ｘ_１）＋ｇ_２（ｘ_２）を用いて、ｍａｘ（ｘ_１，ｘ_２）＋｜ｘ_１×ｘ_２｜＝ｘ_２＋ｇ_１（ｚ_１）＋ｇ_３（ｚ_２）を書く
ｂ．ｍａｘ（ｘ_１，ｘ_２）＋｜ｘ_１×ｘ_２｜＝ｘ_２＋（ｘ_１－ｘ_２）^＋＋｜（ｘ_１＋ｘ_２）^２／４－（ｘ_１－ｘ_２）^２／４｜
ｚ_１＝ｘ_１－ｘ_２と仮定し、ｇ_１（ｚ）＝ｚ^＋を定義する
ｚ_２＝ｘ_１＋ｘ_２と仮定し、ｇ_２（ｚ）＝ｚ^２／４およびｇ_３（ｚ）＝｜ｚ｜を定義する
ｚ_３＝ｇ_２（ｚ_２）－ｇ_２（ｚ_１）を用いて、ｍａｘ（ｘ_１，ｘ_２）＋｜ｘ_１×ｘ_２｜＝ｘ_２＋ｇ_１（ｚ_１）＋ｇ_３（ｚ_３）を書く。

上記の２つの実施形態は、４つの単変数関数評価を含む。しかし、第２の実施形態には同じ引数に２つの単変数関数が含まれており、つまりｇ_１（ｚ_１）とｇ_２（ｚ_１）が優先される。

同じ引数に対する単変数関数の共有は、同等の形式表現によって行われる変換に限定されない。これはデジタル変換にも当てはまる。

の平行六面体で定義された関数は、単変数関数のネットワークに変換できることを思い出されたい。特に、ｐ個の変数ｘ_１，…，ｘ_ｐを有する関数ｆの場合、Ｓｐｒｅｃｈｅｒのアルゴリズムにより、次の形式を有する関数ｆの近似を取得できる：

を用いて、

。

この構築では、いわゆる「内部」関数Ψおよびξは、定義の所与の領域について、ｆに依存しない。したがって、同じ領域で定義されたいくつかの多変数関数ｆ_１，…，ｆ_ｑが準同型評価された場合、関数Ψおよびξの準同型評価は、それらが同じ入力に適用されるときに再計算する必要はない。この状況は、例えば、分解の係数（ａ_ｉｋ）が固定されているときに、リッジ関数またはラジアル関数を使用したいくつかの多変数関数の分解にも現れる。

３）同じ関数、加算定数によって異なる引数：
知られている定数ａ_ｋ≠０に対して、ｇ_ｋ＝ｇ_ｋ’および

（型３）。計算の高速化を可能にする別の状況は、同じ単変数関数が加算定数だけ異なる引数に適用されるときである。

例えば、依然として、Ｓｐｒｅｃｈｅｒの構築では、上記のｆの準同型評価には、定数値だけ加算的に異なる変数、つまり１≦ｉ≦ｐでｋａが知られている場合のｘ_ｉ＋ｋａに関する同じ単変数関数Ψのいくつかの準同型評価が含まれる。この場合、１≦ｋ≦Ｋに対するΨ（ｘ_ｉ＋ｋａ）の暗号化の値は、Ψ（ｘ_ｉ）の暗号化から効率的に取得でき、一実施形態を以下に詳述する。

正式には、それらのそれぞれの引数、

を有するすべての単変数関数で、事前計算ステップでのｆ_１，…，ｆ_ｑの変換の結果、要素

が３つの条件のいずれかを満たすことを「冗長性」と呼ぶ。インデックスｋ’＜ｋに対して、
１．ｇ_ｋ＝ｇ_ｋ’および

２．ｇ_ｋ≠ｇ_ｋ’および

３．知られている定数ａ_ｋ≠０に対して、ｇ_ｋ＝ｇ_ｋ’および

。

「図３」に示すように、定義Ｄの領域で任意の精度を有し、像Ｉで実数値を有する任意の実数値変数の単変数関数ｆの場合、

、本発明による方法は、ＥおよびＥ’で示される２つの準同型暗号化アルゴリズムを使用する。その平文のネイティブ空間は、それぞれＭとＭ’で示される。方法は、関数ｆが評価される入力のいわゆる実際の精度を定量化する整数Ｎ≧１によってパラメータ化される。実際、関数ｆの定義Ｄの領域の入力は任意の精度を有することができるが、これらは最大でＮ個の選択された値によって内部的に表される。これは、関数ｆが最大Ｎ個の可能な値で表されるという直接的な結果をもたらす。この方法は、エンコーディング関数ｅｎｃｏｄｅおよびｅｎｃｏｄｅ’によってもパラメータ化され、ｅｎｃｏｄｅは、入力としてＤの要素を取り、それにＭの要素を関連付け、ｅｎｃｏｄｅ’は、入力としてＩの要素を取り、それにＭ’の要素を関連付ける。この方法は、いわゆる離散化関数ｄｉｓｃｒｅｔｉｓｅによってパラメータ化され、この関数は、入力としてＭの要素を取り、それに整数を関連付ける。エンコーディングｅｎｃｏｄｅと離散化ｄｉｓｃｒｅｔｉｓｅ関数は、エンコーディングｅｎｃｏｄｅとそれに続く離散化ｄｉｓｃｒｅｔｉｓｅ

、またはＳ＝｛０，…Ｎ－１｝の中から取得した最大Ｎ個のインデックスの集合による領域Ｄの像のようになる。最後に、方法は、平文のネイティブ空間の暗号化アルゴリズムＥ_Ｈを有する準同型暗号化方法により、パラメータ化され、Ｍ_Ｈは少なくともＮのカーディナリティ、ならびに、整数を入力として取り、Ｍ_Ｈの要素を返すエンコーディング関数ｅｎｃｏｄｅ_Ｈを有する。この場合、方法は以下のステップを含む：
・ 前記関数ｆの離散化と、この離散化された関数ｆに対応する表Ｔの構築が実行される事前計算ステップ。
詳細な方法では、関数の定義の領域ＤはＮ個の部分区間Ｒ_０、…、Ｒ_Ｎ－１に分解され、その和集合はＤに等しくなる。各インデックスｉ∈｛０，…，Ｎ－１｝に対して、代表的なｘ（ｉ）∈Ｒ_ｉが選択され、ｙ（ｉ）＝ｆ（ｘ（ｉ））が計算される。Ｎ個の成分Ｔ［０］，…，Ｔ［Ｎ－１］で構成される表Ｔが返される。０≦ｉ≦Ｎ－１の場合、Ｔ［ｉ］＝ｙ（ｉ）となる。
・ 表のいわゆる準同型評価のステップで、実数値ｘ∈Ｄの場合、ｘの暗号化の暗号文、Ｅ（ｅｎｃｏｄｅ（ｘ））が与えられ、関数ｅｎｃｏｄｅはｘをＭの要素としてエンコードし、暗号文Ｅ（ｅｎｃｏｄｅ（ｘ））は、ｘ∈Ｒ_ｉに対して、集合｛０，…，Ｎ－１｝内の

を用いたインデックスｉを期待値として有する整数

の暗号文

に変換される。暗号文

から、および表Ｔから開始して、暗号文

は、要素

に対して得られ、期待値として

を有し、

であり、

である。暗号文

は、ｆ（ｘ）の近似値を暗号化した暗号文として返される。

したがって、その実施形態の１つにおいて、本発明は、特別にプログラムされた情報処理システムによってデジタル的に行われる、定義Ｄの領域で任意の精度を有し、像Ｉで実数値を有する実数値変数ｘの単変数関数ｆの近似準同型評価をカバーし、入力としてｘの暗号化の暗号文、Ｅ（ｅｎｃｏｄｅ（ｘ））を取り、ｆ（ｘ）の近似値の暗号化暗号文、Ｅ’（ｅｎｃｏｄｅ’（ｙ））を返し、ｙ≒ｆ（ｘ）であり、ＥとＥ’は準同型暗号化アルゴリズムで、その平文のそれぞれのネイティブ空間はＭとＭ’であり、その評価は：
・ 評価される関数ｆの入力における変数の表現の実際の精度を定量化する整数Ｎ≧１、
・ 領域Ｄの要素を入力として取り、それにＭの要素を関連付けるエンコーディング関数ｅｎｃｏｄｅ、
・ 像Ｉの要素を入力として取り、それにＭ’の要素を関連付けるエンコーディング関数ｅｎｃｏｄｅ’、
・ Ｍの要素を入力として取り、それに整数で表されるインデックスを関連付ける離散化関数ｄｉｓｃｒｅｔｉｓｅ、
・ 暗号化アルゴリズムＥ_Ｈを有し、その平文のネイティブ空間Ｍ_Ｈは少なくともＮのカーディナリティを有する準同型暗号化方式、
・ 整数を入力として取り、Ｍ_Ｈの要素を返すエンコーディング関数ｅｎｃｏｄｅ_Ｈ
によってパラメータ化され、その結果、領域Ｄの像は、エンコーディングｅｎｃｏｄｅとそれに続く離散化ｄｉｓｃｒｅｔｉｓｅ、

、により、Ｓ＝｛０，…，Ｎ－１｝から選択された最大Ｎ個のインデックスの集合である。

これらのパラメータを使用して、単変数関数ｆの前記近似準同型評価には、特別にプログラムされた情報処理コンピュータシステムによる次の２つの連続するステップの実装が必要である：

１．前記単変数関数ｆに対応する表を事前計算するステップであって、
ａ．領域ＤをＮ個の選択された部分区間Ｒ_０，…，Ｒ_Ｎ－１に分解することであって、その和集合はＤである、こと、
ｂ．Ｓ＝｛０，…，Ｎ－１｝内の各インデックスｉに対して、部分区間Ｒ_ｉの代表的なｘ（ｉ）を決定し、値ｙ（ｉ）＝ｆ（ｘ（ｉ））を計算すること、
ｃ．０≦ｉ≦Ｎ－１に対してＴ［ｉ］＝ｙ（ｉ））であり、Ｎ個の成分Ｔ［０］，…，Ｔ［Ｎ－１］で構成される表Ｔを返すこと
であるステップ。

２．表の準同型評価のステップであって、
ａ．ｘ∈Ｒ_ｉに対して、集合Ｓ＝｛０，…，Ｎ－１｝内のインデックス

を期待値として有する整数

について、暗号文Ｅ（ｅｎｃｏｄｅ（ｘ））を暗号文

に変換すること、
ｂ．期待値として

を有する要素

に対して、暗号文

を取得し、暗号文

から、および表Ｔから開始すること、
ｃ．

を返すこと
であるステップ。

評価される関数ｆの定義Ｄの領域が実数区間［ｘ_ｍｉｎ，ｘ_ｍａｘ）のとき、ＤをカバーするＮ個の部分区間Ｒ_ｉ（０≦ｉ≦Ｎ－１に対して）を以下の半開区間として選択でき、

Ｄを規則的に分割する。区間Ｒ_ｉの代表的なｘ：＝ｘ（ｉ）にはいくつかの選択肢が可能である。例えば、各区間の中点を考慮することができ、これは

で与えられる（０≦ｉ≦Ｎ－１である）。もう１つの選択肢は、ｆ（ｘ（ｉ））が区間Ｒ_ｉにわたるｆ（ｘ）の平均値に近づくように、そうでなければ、各０≦ｉ≦Ｎ－１の区間Ｒ_ｉにわたるｘの所与の事前分布によって重み付けされた平均、または中央値に近づくように、Ｒ_ｉの値をｘ（ｉ）に対して選択することである。

したがって、本発明の実施形態の１つでは、単変数関数ｆの近似準同型評価は
・ 評価される関数ｆの定義の領域は、実数区間Ｄ＝［ｘ_ｍｉｎ，ｘ_ｍａｘ）で与えられる
・ 領域ＤをカバーするＮ個の区間Ｒ_ｉ（０≦ｉ≦Ｎ－１に対して）は、半開部分区間

であり、規則的な方法でＤを分割する
という点で特徴付けられる。

エンコーディング関数ｅｎｃｏｄｅ_ＨのアルゴリズムＥ_Ｈの選択は、Ｅ（ｅｎｃｏｄｅ（ｘ））を

に変換する際に支配的な役割を果たす。ｘ∈Ｄに対して、Ｓ＝｛０，…，Ｎ－１｝で

を得ることを思い出されたい。重要なケースは、Ｓの要素が、必ずしも部分群ではなく、加法群の部分集合の要素と見なされる場合である。この加法群は、整数Ｍ≧Ｎに対して

（Ｍを法とする加算で提供される整数｛０，…，Ｍ－１｝の集合）で示される。

したがって、本発明の実施形態の１つでは、単変数関数ｆの近似準同型評価は、集合Ｓが整数Ｍ≧Ｎに対する加法群

の部分集合であることをさらに特徴とする。

群

を表す方法はいくつかある。したがって、前述のＥＵＲＯＣＲＹＰＴ２０１５の記事のＤｕｃａｓとＭｉｃｃｉｐａｎｉｏは、

の要素を変数Ｘの指数として表し；

の要素ｉには要素Ｘ^ｉが関連付けられ、任意の０＜ｊ＜Ｍに対して、Ｘ^Ｍ＝Ｘ^０＝１およびＸ^ｊ≠１である。Ｘは単位のＭ乗の原始根と言われている。この表現により、加算表記から乗算表記への切り替えが可能になる；すべての要素

に対して、要素ｉ＋ｊ（ｍｏｄ Ｍ）が次の要素に関連付けられる。
Ｘ^ｉ＋ｊ＝Ｘ^ｉ・Ｘ^ｊ（ｍｏｄ（Ｘ^Ｍ－１））。

モジュロ乗算演算（Ｘ^Ｍ－１）は、加法群

と単位のＭ乗根の集合｛１，Ｘ，…，Ｘ^Ｍ－１｝との間に群同型を誘導する。Ｍが偶数のとき、関係Ｘ^Ｍ＝１はＸ^Ｍ／２＝－１を意味する。それで、

に対してＸ^ｉ＋ｊ＝Ｘ^ｉ・Ｘ^ｊ（ｍｏｄ（Ｘ^Ｍ／２＋１））を得、単位のＭ乗根の集合は｛±１，±Ｘ，…，±Ｘ^{（Ｍ／２）－１}｝である。

したがって、本発明の実施形態の１つにおいて、単変数関数ｆの近似準同型評価は、群

が、Ｘで表される単位の原始Ｍ乗根の累乗として乗算的に表されることをさらに特徴とし、その結果、

の要素ｉに要素Ｘ^ｉが関連付けられるようにし、単位のＭ乗根のすべて｛１，Ｘ，…，Ｘ^Ｍ－１｝で、（Ｘ^Ｍ－１）を法とする乗算について

と同型群を形成する。

準同型暗号化アルゴリズムＥがトーラス

に適用されるＬＷＥ型の暗号化アルゴリズムで与えられる場合、

を得、

の値を有するエンコーディング関数ｅｎｃｏｄｅに対してｘ∈Ｄを用いてμ＝ｅｎｃｏｄｅ（ｘ）と表す場合、Ｅ（ｅｎｃｏｄｅ（ｘ））＝（ａ_１，…，ａ_ｎ，ｂ）を得、

（１≦ｊ≦ｎに対して）および

で、ｅは

上の小さなランダムノイズである。

したがって、本発明の実施形態の１つにおいて、単変数関数ｆの近似準同型評価は、準同型暗号化アルゴリズムＥは、トーラス

に適用されるＬＷＥ型の暗号化アルゴリズムで与えられ、平文のネイティブ空間として

を有することをさらに特徴とする。

次に、離散化関数ｄｉｓｃｒｅｔｉｓｅは、トーラスの要素ｔに、Ｍを法とする積Ｍ×ｔの整数丸めを関連付ける関数として、整数Ｍ≧Ｎに対してパラメータ化され、ここで、Ｍ×ｔは

で計算され；数学的な形

，

で書かれる。

この離散化関数は、トーラスのベクトルに自然に拡張される。

のベクトルｃ＝（ａ_１，…，ａ_ｎ，ｂ）に適用すると、

で与えられる

のベクトル

が得られ、

（１≦ｊ≦ｎに対して）および

である。より詳細な方法で、

と

を定義すると、

を得、符号付き整数Δは丸めエラーを捕捉し、「ドリフト」と呼ばれる。ドリフトの期待値はゼロである。さらに、｜ｅ｜＜１／（２Ｍ）の場合、

である。

を用いて

を仮定し、

は期待値として整数

を有する。エンコーディング関数ｅｎｃｏｄｅは、その像がトーラスの部分区間

に含まれるようにパラメータ化される。このように、ｘ∈Ｄの場合、

および

である。確かに、

に対して、

であり、

であることが検証され、したがって、Ｎ≦Ｍであるので、

である。したがって、これらの関数ｄｉｓｃｒｅｔｉｓｅおよびｅｎｃｏｄｅについて、実際には

を得、つまり

は、インデックスの集合Ｓ＝｛０，…，Ｎ－１｝の部分集合である。

したがって、本発明の実施形態の１つでは、単変数関数ｆの近似準同型評価は、
・ エンコーディング関数ｅｎｃｏｄｅはトーラスの部分区間

に含まれる像を有し、
・ 離散化関数ｄｉｓｃｒｅｔｉｓｅは、トーラスの要素ｔをＭを法とする積Ｍ×ｔの整数丸めに適用し、ここで、Ｍ×ｔは

で計算され；数学的な形式では、

，

である
ことでさらに特徴付けられる。

評価される関数ｆの定義の領域が実数区間Ｄ＝［ｘ_ｍｉｎ，ｘ_ｍａｘ）であり、平文Ｍのネイティブ空間がトーラス

であるとき、エンコーディング関数ｅｎｃｏｄｅの可能な選択肢は

であることに留意されたい。それで、ｘ∈Ｄに対して

を得；

であることに留意されたい。

したがって、本発明の実施形態の１つにおいて、単変数関数ｆの近似準同型評価は、関数ｆの定義の領域が実数区間Ｄ＝［ｘ_ｍｉｎ，ｘ_ｍａｘ）であるとき、エンコーディング関数ｅｎｃｏｄｅは

であることをさらに特徴とする。

構築

は、Ｅ（ｅｎｃｏｄｅ（ｘ））から

への変換の第１の実施形態を生じさせる。集合Ｓの要素が

の整数として直接見られると仮定する。エンコーディング関数ｅｎｃｏｄｅ_Ｈとして、恒等関数、

を考える。前の表記法を用いて、

と、

を用いて、トーラス上のそのＬＷＥ暗号文ｃ＝（ａ_１，…，ａ_ｎ，ｂ）を表すと、

は

として定義され、１≦ｊ≦ｎに対して、

および

を用いている。

に留意されたい。この場合、Ｅ_Ｈは環

上のＬＷＥ型の暗号化アルゴリズムであることが観察され；暗号キーは（ｓ_１，…，ｓ_ｎ）∈｛０，１｝^ｎである。

したがって、本発明の実施形態の１つにおいて、単変数関数ｆの近似準同型評価は、準同型暗号化アルゴリズムＥ_ＨはＬＷＥ型の暗号化アルゴリズムであり、エンコーディング関数ｅｎｃｏｄｅ_Ｈは恒等関数であることをさらに特徴としている。

Ｅ（ｅｎｃｏｄｅ（ｘ））から

への変換の第２の実施形態は、単位のＭ乗根を考慮することによって得られ；これにより、乗算的に作業できる。より具体的には、Ｍを偶数とし、

の任意の多項式ｐ：＝ｐ（Ｘ）を固定とする。エンコーディング関数ｅｎｃｏｄｅ_Ｈは関数

，

であり、暗号化アルゴリズムＥ_Ｈは、

のＲＬＷＥ型の暗号化アルゴリズムである。ｅｎｃｏｄｅ_ＨとＥ_Ｈのこの選択の変換には、再暗号化技術が使用される。１≦ｊ≦ｎに対して、キー

の下で

をｓ_ｊのＲＧＳＷ型暗号文とする。

の

への変換は、次の手順で与えられる：
・ 変換公開キーｂｋ［１］，…，ｂｋ［ｎ］を取得する
・ １≦ｊ≦ｎに対して

および

を計算する
・

を初期化する
・ １からｎまでのｊに対して、

を評価する（

で）
・ 結果

としてｃ’_ｎを返す。

この場合、Ｅ_Ｈは

を法とするＲＬＷＥ型の暗号化アルゴリズムであることが観察され;暗号化キーは

である。実際、Ｃ_ｊに

のＲＧＳＷ型の暗号化をキー（ｓ’_１，…，ｓ’_ｋ）（１≦ｊ≦ｎに対して）の下に設定すると、数学的な形式

で、

を得る。

したがって、ＲＬＷＥ（ｍ）を、キー（ｓ’_１，…，ｓ’_ｋ）の下で

のＲＬＷＥ型の暗号化として表す場合、

を得、そして、帰納法によって、

を得る。

したがって、本発明の実施形態の１つにおいて、偶数の整数Ｍによってパラメータ化された単変数関数ｆの近似準同型評価は、準同型暗号化アルゴリズムＥ_Ｈが、ＲＬＷＥ型の暗号化アルゴリズムであり、

の任意の多項式ｐに対して、エンコーディング関数ｅｎｃｏｄｅ_Ｈは、関数

，

であることをさらに特徴とする。

前の２つの実施形態のいずれか１つに従って、

から表Ｔの準同型評価を行うことが可能である。どちらの場合も、Ｅはトーラス上のＬＷＥ型のアルゴリズムであり、Ｍは偶数で２Ｎに等しいと仮定する。

１．第１のケースは、エンコーディング関数ｅｎｃｏｄｅ_Ｈが

であり、アルゴリズムＥ_Ｈが

上のＬＷＥ型の暗号化アルゴリズムであると仮定する。この第１のケースでは、

を得る。第１のサブステップは：
・

で与えられる多項式

を形成し、０≦ｊ≦Ｎ－１に対してＴ’［ｊ］＝ｅｎｃｏｄｅ’（Ｔ［ｊ］）である
・ 変換公開キーｂｋ［１］，…，ｂｋ［ｎ］を取得する
・ 初期化する

・ １からｎの範囲のｊに対して、

を評価する。（

で）
・ ｄ’＝ｃ”_ｎと仮定する
・

を返す
ことにある。

２．第２のケースは、任意の多項式

に対して、エンコーディング関数

，

およびアルゴリズムＥ_Ｈは

のＲＬＷＥ型のエンコードアルゴリズムであることを仮定する。この第２のケースでは、任意の多項式

に対して

を得る。第１のサブステップは：
・

を用いるＰ・ｐ≒ｑが、０≦ｊ≦Ｎ－１に対してＴ’［ｊ］＝ｅｎｃｏｄｅ’（Ｔ［ｊ］）である
・

で与えられるように多項式

を選択する
・

を評価する
・ Ｐ（Ｘ）・ｐ（Ｘ）≒ｑ（Ｘ）で

を返す
ことにある。

特に、整数Ｌ＞１に対して、

の場合、選択

（ここで、Ｌによる乗算は

で計算される）は、Ｐ（Ｘ）・ｐ（Ｘ）≒Ｔ’［０］＋Ｔ’［１］Ｘ＋…＋Ｔ’［Ｎ－１］Ｘ^Ｎ－１を意味することに留意されたい。実際、この多項式ｐの選択では、

を得ることが観察されるが、０≦ｒ≦Ｎ－１に対して、

および

であることに留意されたい。Ｐ・ｐ≒ｑ；等値はゼロに等しい期待値を有する所与のドリフト内で検証されることに留意されたい。

両方の場合において、表Ｔの準同型評価のこの第１のサブステップの返しとして、期待される多項式

のＲＬＷＥ型暗号文ｄ’は、キー

の下で取得され、このキーは、秘密キー（ｓ_１，…，ｓ_ｎ）∈｛０，１｝^ｎのビットｓ_ｊを暗号化するＲＧＳＷ型の暗号文ｂｋ［ｊ］（１≦ｊ≦ｎ）を作成するために使用されるキーである。ｑ（Ｘ）の形式により、多項式

の定数項は

である。暗号文ｄ’の成分を

で示す。

表Ｔの準同型評価の第２のサブステップ（両方のケースに共通）は、前記ＲＬＷＥ暗号文から

のＬＷＥ型の暗号文を抽出する：
・ １≦ｊ≦ｋごとに、多項式

を

を用いて

と書く（０≦ｌ≦Ｎ－１に対して）
・ 多項式

を

を用いて

と書く（０≦ｌ≦Ｎ－１に対して）
・ トーラス上の要素ベクトル

を定義する、ここで

である
・ トーラス上の要素ベクトル

を返し、ここで、ｂ”＝（ｂ’）_０は多項式ｂ’の定数項である。

各１≦ｊ≦ｋに対して、多項式

を

で

と書く場合（０≦ｌ≦Ｎ－１に対して）、返されたベクトル（ａ”_１，…，ａ”_ｋＮ，ｂ”）は、キー（（ｓ’_１）_０，（ｓ’_１）_１，…，（ｓ’_１）_Ｎ－１，…，（ｓ’_ｋ）_０，（ｓ’_ｋ）_１，…，（ｓ’_ｋ）_Ｎ－１）∈｛０，１｝^ｋＮの下の

のトーラス上のＬＷＥ型の暗号文であることがわかる。これにより、暗号化アルゴリズムＥ’が定義され；したがって、

を得る。この場合、平文の対応するネイティブ空間は

である。したがって、

および

なので、実際にはｆ（ｘ）の近似値を有する暗号のＬＷＥ型暗号文が得られる。

この計算が完了すると、暗号文

を解読および復号して、ｆ（ｘ）の近似値を得ることができる。

したがって、本発明の実施形態の１つでは、２Ｎに等しい偶数の整数Ｍによってパラメータ化された単変数関数ｆの近似準同型評価は、トーラス上のＬＷＥ型暗号文

が、

において

を用いる多項式

を近似するＲＬＷＥ暗号文から抽出されることをさらに特徴とし、ここでＴ’［ｊ］＝ｅｎｃｏｄｅ’（Ｔ［ｊ］）、０≦ｊ≦Ｎ－１である。

評価される関数ｆの像Ｉが実数区間［ｙ_ｍｉｎ，ｙ_ｍａｘ）であり、ＬＷＥ型暗号化の平文Ｍ’のネイティブ空間がトーラス

である場合、エンコーディング関数ｅｎｃｏｄｅ’の可能な選択肢は

である。この場合、対応する復号関数は

で与えられる。

したがって、本発明の実施形態の１つでは、単変数関数ｆの近似準同型評価は、関数ｆの像が実数区間Ｉ＝［ｙ_ｍｉｎ，ｙ_ｍａｘ）であるとき、
・ 準同型暗号化アルゴリズムＥ’は、トーラス

に適用されるＬＷＥ型の暗号化アルゴリズムによって与えられ、平文のネイティブ空間として

を有し、
・ エンコーディング関数ｅｎｃｏｄｅ’は

，

であることで、さらに特徴付けられる。

暗号文を追加する際には、エンコーディングを考慮する必要がある。準同型エンコーディングアルゴリズムＥのエンコーディング関数をｅｎｃｏｄｅと記すと、μ_１＝ｅｎｃｏｄｅ（ｘ_１）およびμ_２＝ｅｎｃｏｄｅ（ｘ_２）を用いてＥ（μ_１＋μ_２）＝Ｅ（μ_１）＋Ｅ（μ_２）を得る。エンコーディング関数が準同型であれば、実際にはＥ（ｅｎｃｏｄｅ（ｘ_１＋ｘ_２））＝Ｅ（ｅｎｃｏｄｅ（ｘ_１））＋Ｅ（ｅｎｃｏｄｅ（ｘ_２））を得る。それ以外の場合、エンコーディング関数が加算に準拠していない場合、補正εをエンコーディング：ε＝ｅｎｃｏｄｅ（ｘ_１＋ｘ_２）－ｅｎｃｏｄｅ（ｘ_１）－ｅｎｃｏｄｅ（ｘ_２）に適用する必要があり、その結果、Ｅ（ｅｎｃｏｄｅ（ｘ_１＋ｘ_２））＝Ｅ（ｅｎｃｏｄｅ（ｘ_１））＋Ｅ（ｅｎｃｏｄｅ（ｘ_２））＋Ｅ（ε）となる。特に、エンコーディングが

で定義されている場合、補正は

となり、ｘ_ｍｉｎ＝０の場合はゼロになる。ＬＷＥ型の暗号化方式の場合、（０，…，０，ε）の形式のアップレットはεの有効な暗号文であることを思い出されたい。

もちろん、以前の考慮事項は像にも有効である。エンコーディング関数ｅｎｃｏｄｅ’を有する準同型暗号化アルゴリズムＥ’の場合、補正ε’＝ｅｎｃｏｄｅ’（ｆ（ｘ_１）＋ｆ（ｘ_２））－ｅｎｃｏｄｅ’（ｆ（ｘ_１））－ｅｎｃｏｄｅ’（ｆ（ｘ_２））に対してＥ’（ｅｎｃｏｄｅ’（ｆ（ｘ_１）＋ｆ（ｘ_２）））＝Ｅ’（ｅｎｃｏｄｅ’（ｆ（ｘ_１）））＋Ｅ’（ｅｎｃｏｄｅ’（ｆ（ｘ_２）））＋Ｅ’（ε’）を得る。特に、エンコーディングｅｎｃｏｄｅ’が加算に準拠する場合、補正ε’はゼロである。補正ε’は、エンコーディング

について、

になる。

もう１つの重要な特定のケースは、所与の定数Ａに対して入力ｘ_１およびｘ_２＝ｘ_１＋Ａで同じ単変数関数ｆを準同型に評価する必要があるときである。適用の典型的な例は、前述のＳｐｒｅｃｈｅｒの適用における内部関数Ψである。エンコーディング関数ｅｎｃｏｄｅを有する準同型暗号化アルゴリズムＥの場合、Ｅ（ｅｎｃｏｄｅ（ｘ_１））という事実を考えると、Ｅ（ｅｎｃｏｄｅ（ｘ_２））＝Ｅ（ｅｎｃｏｄｅ（ｘ_１＋Ａ））を推定し、次に、前述のようにＥ’（ｅｎｃｏｄｅ’（ｆ（ｘ_１）））およびＥ’（ｅｎｃｏｄｅ’（ｆ（ｘ_２）））を取得することができる。しかし、すべてのステップを繰り返す必要がある。Ｅがトーラス上のＬＷＥ型のアルゴリズムであり、Ｍ＝２Ｎである特定のケースでは、入力Ｅ（ｅｎｃｏｄｅ（ｘ_１））で、表Ｔの準同型評価の第１のサブステップの返しとして、期待される多項式

のＲＬＷＥ型暗号文ｄ’を取得することを見てきた、ここで、多項式ｑは関数ｆを集計し、ここで、ｘ_１が部分区間

に属している場合、

の期待値はｉ_１＝ｄｉｓｃｒｅｔｉｓｅ（ｅｎｃｏｄｅ（ｘ_１））である。例えば、離散化関数

（Ｍ＝２Ｎ）の場合、

を取得する。したがって、

である。この場合、期待される多項式

のＲＬＷＥ型暗号文は、

のようにより高速に取得できる。したがって、Ｅ’（ｅｎｃｏｄｅ’（ｆ（ｘ_２））^～）の値は、表Ｔの準同型評価の第２のサブステップによって推定される。

本発明はまた、上記の代替方法のいずれか１つによる準同型暗号評価方法を実装するように特別にプログラムされた情報処理システムをカバーする。

また、上記の代替方法のいずれか１つを実装し、この目的のためにプログラムされた情報処理システムによってロードおよび実装されるように特別に設計されたコンピュータプログラム製品もカバーする。

本発明の適用例
上記の発明は、いくつかのデータの機密性を保持するために非常に有利に使用することができ、データは、例えば、個人、健康、機密情報データ、またはより一般的には、その所有者が秘密を保ちたいが、第三者がデジタル処理を行えることを彼は望んでいるすべてのデータであるがこれに限定されない。１つ以上の第三者サービスプロバイダへの処理の非ローカル化は、いくつかの理由から興味深いものであり；非ローカル化することによりコストのかかる、または利用できないリソースを必要とする演算を行うことができ、また、非公開演算を行うこともできる。次に、前記デジタル処理演算を実行する責任を負う第三者は、実際には、処理の実際の内容とそれによって実装されるデジタル関数を伝えたくない場合がある。

そのような使用において、本発明は、特にクラウドコンピューティングサービスなどのリモートデジタルサービスの実装をカバーし、クラウドコンピューティングサービスにおいて暗号化されたデータに対するデジタル処理の適用を担当する第三者のサービスプロバイダが、それの側で、上記の第１の事前計算ステップを実行し、これは、暗号化されたデータを処理するために使用される関数ｆ_１，…，ｆ_ｑの中の各多変数関数ｆ_ｊに対して、単変数関数のネットワークを事前計算することにある。得られたすべての単変数関数（ｋ≧１の所与の

について、

）の中で、第三者は、第２のステップで単変数関数ｇ_ｋとそれぞれの引数

を事前選択し、３つの基準（ｉ）ｇ_ｋ＝ｇ_ｋ’および

、（ｉｉ）ｇ_ｋ≠ｇ_ｋ’および

、または（ｉｉｉ）知られている定数ａ_ｋ≠０に対して、ｇ_ｋ＝ｇ_ｋ’および

の１つを満たすｋ’＜ｋがあるようにし；これらの単変数関数は、必要に応じて最適化された方法で評価される。

次に、秘密データ（ｘ_１，…，ｘ_ｐ）の所有者は、準同型暗号化アルゴリズムＥにより暗号化を実行し、第三者に型データＥ（μ_１），…，Ｅ（μ_ｐ）を送信し、ここでμ_ｉは、エンコーディング関数によってエンコードされたｘ_ｉの値である。通常、アルゴリズムＥの選択は、サービスの第三者プロバイダによって課される。あるいは、データの所有者は、必ずしも準同型でなくても、彼の選択した暗号化アルゴリズムを使用でき、この場合、再暗号化の前のステップが第三者（または別のサービスプロバイダ）によって行われ、暗号化されたデータが所望の形式で取得される。

したがって、本発明の実施形態の１つにおいて、前述の準同型評価暗号方法は、入力暗号化データが、前記準同型暗号化アルゴリズムＥの暗号化の暗号文の形式で設定される、前の再暗号化ステップから導出されることを特徴とする。

第三者が暗号化された型データＥ（μ_ｉ）を取得すると、単変数関数のネットワークの準同型評価のステップで、これらの暗号文に基づいて、単変数関数のネットワークのそれぞれを一連の連続するステップで準同型評価し、暗号化アルゴリズムＥ’の下でそれらの入力（１≦ｊ≦ｑに対して）に適用されるｆ_ｊの暗号化の暗号文を取得する。

考慮された異なる関数ｆ_ｊについて、それらの入力値に対する暗号化の暗号化された結果を取得すると、関係する第三者は、これらすべての結果を機密データの所有者に送り返す。

機密データの所有者は、次に、それが保持する対応する解読キーに基づいて、復号後に、準同型暗号化された入力データ（ｘ_１，…，ｘ_ｐ）から始まる１つ以上の関数（ｆ_１，…，ｆ_ｑ）の結果の値を取得でき、第三者は前記データに対して１つ以上の関数の実装であるデジタル処理を実行しておらず、データの明確な内容を知ることができたわけではなく、逆に、データの所有者は実装された関数の詳細を知る必要があったわけでもない。

データの所有者とデジタル処理サービスプロバイダとして機能する第三者との間のこのようなタスクの共有は、リモートで、特にクラウドコンピューティング型のサービス全体で、データおよび関連する処理のセキュリティに影響を与えずに有利に実行できる。さらに、デジタル処理の様々なステップは、様々なサービスプロバイダの責任であり得る。

したがって、本発明の実施形態の１つにおいて、クラウドコンピューティング型のリモートサービスは、前述の準同型評価暗号方法のうちの１つ以上を実装し、ここでタスクは、データの所有者と、デジタル処理サービスプロバイダとして機能する第三者との間で共有される。

本発明の特定の実施形態では、秘密を保持したいデータｘ_１，…，ｘ_ｐの所有者と、前記データのデジタル処理の適用を担当する１つ以上の第三者が関与するこのリモートサービスは、
１．関係する第三者は、本発明に従って、単変数関数のネットワークを事前計算する第１のステップおよび第２の事前選択ステップを実行する
２．データの所有者は、準同型暗号化アルゴリズムＥによってｘ_１，…，ｘ_ｐの暗号化を実行し、第三者に型データＥ（μ_１），…，Ｅ（μ_ｐ）を送信し、ここで、μ_ｉはエンコーディング関数によるエンコードされたｘ_ｉの値である
３．関係する第三者が暗号化された型データＥ（μ_ｉ）を取得すると、関係する第三者は、これらの暗号文に基づいて一連の連続するステップで準同型的に単変数関数の前記ネットワークのそれぞれを評価し、暗号化アルゴリズムＥ’の下でそれらの入力（１≦ｊ≦ｑの場合）に適用されるｆ_ｊの暗号化の暗号文を取得する
４．考慮された異なる関数ｆ_ｊについて、それらの入力値に対する暗号化の暗号化された結果を取得すると、関係する第三者はこれらすべての結果をデータの所有者に送り返す
５．データの所有者は、それが保持する対応する解読キーに基づいて、復号後に、１つ以上の関数（ｆ_１，…，ｆ_ｑ）の結果の値を取得する
ことをさらに特徴とする。

この実施形態の変形は、上記の第２のステップ（２．）において：
・ データの所有者は、Ｅとは異なる暗号化アルゴリズムによってｘ_１，…，ｘ_ｐの暗号化を実行し、このように暗号化された前記データを送信する
・ 前記受信した暗号化データに対して、関係する第三者が再暗号化を行い、前記準同型暗号化アルゴリズムＥの下で暗号文Ｅ（μ_１），…，Ｅ（μ_ｐ）を取得し、ここで、μ_ｉは、エンコーディング関数によりエンコードされたｘ_ｉの値である
ことを特徴とする。

とりわけ、本発明によるリモートデジタルサービスの異なる用途について言及することができる。例えば、前述のＭａｊｅｃＳＴＩＣ’０８の記事で言及されているように、グレーレベル画像に適用されるコルモゴロフ型の分解－これは、２変数関数ｆ（ｘ，ｙ）＝Ｉ（ｘ，ｙ）と見なすことができ、ここでＩ（ｘ，ｙ）は、座標（ｘ，ｙ）のピクセルのグレー強度を与える－により、元の画像の近似画像を再構成できることが既に知られている。したがって、バウンディングボックスを定義する座標（ｘ_１，ｙ_１）および（ｘ_２，ｙ_２）の知識により、単純な方法でトリミング動作を行うことができる。２変数関数ｆ_１（ｘ，ｙ）＝Ｒ（ｘ，ｙ）、ｆ_２（ｘ，ｙ）＝Ｇ（ｘ，ｙ）、およびｆ_３（ｘ，ｙ）＝Ｂ（ｘ，ｙ）は、赤、緑、青のレベルをそれぞれ与えることを考慮しながら、カラー画像にも同様の処理が適用される。この処理型は暗号化されていないデータで知られているが、今や本発明では準同型暗号化を使用して実行することができる。したがって、本発明によれば、ユーザが、あるスポーツ活動中に規則的な区間（例えば１０秒ごと）で記録された彼のＧＰＳ座標と、移動の最遠の座標（バウンディングボックスを定義する）を暗号化された方法で送信する場合、地図製作プランの画像を所有するサービスプロバイダは、トリミングにより、活動に関連するプランの部分の暗号文を取得できる；さらに、受信したＧＰＳ座標の暗号化された画像に基づいて準同型に計算されたローカル速度を示すために、例えばカラーコードを使用して、まだ暗号化されている領域内で移動を表すことができる。好都合なことに、（第三者の）サービスプロバイダは、活動の正確な場所（それがサービス提供者のプランどおりである場合を除く）またはユーザのパフォーマンスについて何も知らない。さらに、第三者は地図の全体を開示しない。

本発明はまた、人工知能処理が、特に入力データに対する機械学習型の処理を行うことができるようにするために有利に使用することができ、入力データは暗号化されたままであり、入力データに対して特にニューラルネットワークを実装するサービスプロバイダが、前記暗号化されたデータから導出された値に１つ以上のアクティベーション関数を適用する。ニューラルネットワークの実装に関連する本発明のこの使用の例として、関数ｇ（ｚ_１，ｚ_２）＝ｍａｘ（ｚ_１，ｚ_２）の分解を参照でき、これは、特にニューラルネットワークで使用される前述の「最大プーリング」として機能し、ｚ_２＋（ｚ_１－ｚ_２）^＋になり、ここで

は単変数関数

に対応する。非常に人気のあるアクティベーション関数

および

，

も参照できる。

したがって、本発明の実施形態の１つでは、前述の暗号準同型評価方法の１つ以上を実装するリモートサービスは、ニューラルネットワークを実装するデジタル処理を意図する。

特徴としての発明の開示
本発明は、１つ以上のデジタル情報処理システムのデータ計算および処理能力の実装を通じて、暗号化されたデータに関する１つ以上の関数の評価を可能にする。場合によっては、この関数またはこれらの関数が単変数または多変数であり得る。したがって、その異なる変形において、本発明による方法は、両方の型の関数の評価を進めることを可能にする。

評価される関数が単変数型の場合、本発明は、その実装の１つにおいて、２つの準同型暗号化アルゴリズムの入力と出力のそれぞれでの実装と、請求項１に請求されるように、その後に得られた表の準同型評価のステップが続く、考慮された各関数の表を事前計算するステップとを提供する。

評価される関数が多変数型の場合、本発明はさらに、次の２つの予備ステップを実行することを提供する：第１の事前計算ステップ、それに続く第２の事前選択ステップ、その後、単変数関数準同型評価のための任意の知られている方法に従って、これら２つの予備ステップの実行の完了時に得られた単変数関数ネットワークに、前記単変数関数ネットワークの準同型評価の第３のステップを適用する。これが請求項１２の目的である。

Claims (16)

1. 定義Ｄの領域で任意の精度を有し、像Ｉで実数値を有する実数値変数ｘの単変数関数ｆの近似準同型評価を行うように特別にプログラムされた少なくとも１つの情報処理システムによってデジタル形式で実行される暗号方法であって、入力としてｘのエンコーディングの暗号文、Ｅ（ｅｎｃｏｄｅ（ｘ））を取り、ｆ（ｘ）の近似値のエンコーディングの暗号文、ｙ≒ｆ（ｘ）であるＥ’（ｅｎｃｏｄｅ’（ｙ））を返し、ＥとＥ’は準同型暗号化アルゴリズムであり、その平文のそれぞれのネイティブ空間はＭとＭ’であり、
   － 評価される関数ｆの入力における変数の表現の実際の精度を定量化する整数Ｎ≧１、
   － 領域Ｄの要素を入力として取り、それにＭの要素を関連付けるエンコーディング関数ｅｎｃｏｄｅ、
   － 像Ｉの要素を入力として取り、それにＭ’の要素を関連付けるエンコーディング関数ｅｎｃｏｄｅ’、
   － Ｍの要素を入力として取り、それに整数で表されるインデックスを関連付ける離散化関数ｄｉｓｃｒｅｔｉｓｅ、
   － その平文のネイティブ空間Ｍ_Ｈが少なくともＮのカーディナリティを有する、暗号化アルゴリズムＥ_Ｈを有する準同型暗号化方式、
   － 整数を入力として取り、Ｍ_Ｈの要素を返すエンコーディング関数ｅｎｃｏｄｅ_Ｈ
   によりパラメータ化され、
   その結果、エンコーディングｅｎｃｏｄｅとそれに続く離散化ｄｉｓｃｒｅｔｉｓｅによる領域Ｄの像、
   

   

   は、Ｓ＝｛０，…，Ｎ－１｝から選択された最大Ｎ個のインデックスの集合であり、
   － ａ．前記単変数関数ｆに対応する表を事前計算するステップであって、
   ○領域Ｄを、その和集合がＤを構成するＮ個の選択された部分区間Ｒ_０，…，Ｒ_Ｎ－１に分解すること、
   ○Ｓ＝｛０，…，Ｎ－１｝内の各インデックスｉに対して、部分区間Ｒ_ｉの代表的なｘ（ｉ）を決定し、値ｙ（ｉ）＝ｆ（ｘ（ｉ））を計算すること、
   ○０≦ｉ≦Ｎ－１に対して、Ｔ［ｉ］＝ｙ（ｉ）であるＮ個の成分Ｔ［０］，…，Ｔ［Ｎ－１］で構成される表Ｔを返すことである、ステップ、
   － ｂ．表の準同型評価のステップであって、
   ○ｘ∈Ｒ_ｉの場合、集合Ｓ＝｛０，…，Ｎ－１｝内のインデックス
   

   

   を期待値として有する整数
   

   

   に対して、暗号文Ｅ（ｅｎｃｏｄｅ（ｘ））を暗号文
   

   

   に変換すること、
   ○暗号文
   

   

   と表Ｔに基づいて、期待値として
   

   

   を有する要素
   

   

   に対して、暗号文
   

   

   を取得すること、
   ○
   

   

   を返すことである、ステップ
   を特徴とする、暗号方法。
2. － 評価される関数ｆの定義の領域が、実数区間Ｄ＝［ｘ_ｍｉｎ，ｘ_ｍａｘ）で与えられ、
   － 領域ＤをカバーするＮ個の区間Ｒ_ｉ（０≦ｉ≦Ｎ－１に対して）が、半開部分区間
   

   

   であり、規則的な方法でＤを分割することを特徴とする、請求項１に記載の暗号方法。
3. 集合Ｓが、整数Ｍ≧Ｎに対する加法群
   

   

   の部分集合であることを特徴とする、請求項１に記載の暗号方法。
4. 群
   

   

   が、Ｘで表される単位のＭ乗の原始根の累乗として乗算的に表され、
   

   

   の要素ｉに要素Ｘ^ｉが関連付けられるようにし、単位のＭ乗根のすべて｛１，Ｘ，…，Ｘ^Ｍ－１｝が、（Ｘ^Ｍ－１）を法とする乗算について
   

   

   と同形の群を形成することを特徴とする、請求項３に記載の暗号方法。
5. 準同型暗号化アルゴリズムＥが、トーラス
   

   

   に適用されるＬＷＥ型の暗号化アルゴリズムで与えられ、平文ネイティブ空間として
   

   

   を有することを特徴とする、請求項１から４のいずれか一項に記載の暗号方法。
6. 整数Ｍ≧Ｎによってパラメータ化され、
   － エンコーディング関数ｅｎｃｏｄｅがトーラスの部分区間
   

   

   に含まれるその像を有し、
   － 離散化関数ｄｉｓｃｒｅｔｉｓｅが、トーラスの要素ｔをＭを法とする積Ｍ×ｔの丸められた整数に適用し、Ｍ×ｔは
   

   

   で計算され、数学的な形式で：
   

   

   ,
   

   

   であることを特徴とする、請求項５に記載の暗号方法。
7. 関数ｆの定義の領域が実数区間Ｄ＝［ｘ_ｍｉｎ，ｘ_ｍａｘ）であるとき、エンコーディング関数ｅｎｃｏｄｅは、
   

   

   ，
   

   

   であることを特徴とする、請求項６に記載の暗号方法。
8. 準同型暗号化アルゴリズムＥ_ＨがＬＷＥ型暗号化アルゴリズムであり、エンコーディング関数ｅｎｃｏｄｅ_Ｈが恒等関数であることを特徴とする、請求項５に記載の暗号方法。
9. 偶数の整数Ｍによってパラメータ化され、準同型暗号化アルゴリズムＥ_ＨがＲＬＷＥ型の暗号化アルゴリズムであり、エンコーディング関数ｅｎｃｏｄｅ_Ｈが、
   

   

   の任意の多項式ｐに対して、関数
   

   

   ，
   

   

   であることを特徴とする、請求項５に記載の暗号方法。
10. ２Ｎに等しい偶数Ｍによってパラメータ化され、トーラス上のＬＷＥ型暗号文
    

    

    が、
    

    

    の
    

    

    を用い、Ｔ’［ｊ］＝ｅｎｃｏｄｅ’（Ｔ［ｊ］），０≦ｊ≦Ｎ－１である多項式
    

    

    に近づくＲＬＷＥ暗号文から抽出されることを特徴とする、請求項８または９に記載の暗号方法。
11. 関数ｆの像が実数区間Ｉ＝［ｙ_ｍｉｎ，ｙ_ｍａｘ）であるとき、
    － 準同型暗号化アルゴリズムＥ’が、トーラス
    

    

    に適用されるＬＷＥ型の暗号化アルゴリズムによって与えられ、平文のネイティブ空間として
    

    

    を有し、
    － エンコーディング関数ｅｎｃｏｄｅ’が
    

    

    ，
    

    

    であることを特徴とする、請求項１から４のいずれか一項に記載の暗号方法。
12. 前記近似準同型評価を受ける少なくとも１つの単変数関数は、以下の先行ステップ、
    － ａ．前記多変数関数のそれぞれを、単変数実数値関数の合成と総和からなる単変数関数のネットワークに変換することである事前計算ステップ、
    － ｂ．事前計算された単変数関数の前記ネットワークにおいて、３つの型：
    － 同じ引数に適用される同じ単変数関数、
    － 同じ引数に適用される異なる単変数関数、
    － 非ゼロの加算定数だけ異なる引数に適用され、その全部または一部を選択する同じ単変数関数
    のうちの１つの冗長性を識別することである事前選択ステップ、
    － ｃ．事前計算された単変数関数のネットワークのそれぞれの準同型評価のステップであって、これらの単変数関数の１つ以上のすべてまたは一部が再利用される場合、事前選択ステップで選択された冗長性が共有された方法で評価される、準同型評価のステップ
    を実装することにより、少なくとも１つの多変数関数の先行処理から導出されることを特徴とする、請求項１から１１のいずれか一項に記載の暗号方法。
13. 入力暗号化データが、前記準同型暗号化アルゴリズムＥの暗号化の暗号文の形式で設定されるように、前の再暗号化ステップから導出されることを特徴とする、請求項１から１１のいずれか一項に記載の暗号方法。
14. 請求項１から請求項１３のいずれか一項または複数項に記載の準同型評価暗号方法を実装するようにプログラムされていることを特徴とする、情報処理システム。
15. 請求項１４に記載の情報処理システムにロードされて実装されることを意図した、コンピュータプログラム。
16. タスクが、データ所有者と、デジタル処理サービスプロバイダとして機能する１つ以上の第三者との間で共有される、請求項１から１５のいずれか一項または複数項に記載の暗号方法を実装した、クラウドコンピューティング型リモートサービス。

Images