JP2024012928A - 暗号処理装置、暗号処理方法、暗号処理プログラム - Google Patents

Abstract

【課題】Integer-wise型TFHEの四則演算を実現する。
【解決手段】暗号文を処理する暗号処理装置であって、暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、所定の演算は、被除数である第１暗号文ｃａと除数である第２暗号文ｃｂとの除算であり、第２暗号文ｃｂに対して第１の多項式を用いることにより、除数の逆数に対応する第３暗号文を算出し、第１暗号文ｃａと第３暗号文とに基づく乗算を行い、乗算結果の暗号文に対して所定の多項式を用いることにより、除算結果に対応する第４暗号文ｃｚを算出する。
【選択図】図３

Description

本発明は、暗号文を処理する暗号処理装置、暗号処理方法、暗号処理プログラムに関する。

準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。

LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。
Integer-wiseでの四則演算が可能な準同型暗号としてTFHEを利用することができれば、1ビットずつ計算するよりも効率的に処理を行うことができる。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
除算に関しては、任意の２変数関数の評価技法を用いて暗号文同士の除算を行う手法（非特許文献２）や、Tree PBSと呼ばれる手法でルックアップテーブルの評価を行って暗号文同士の除算を行う手法（非特許文献３）が提案されている。

TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid Improved Programmable Bootstrapping with Larger Precision and Efficient Arithmetic Circuits for TFHE, 2021, I.Chillotti, D.Ligier, J.B. Orfila, and S. Tap

非特許文献２に開示の手法では、一つの暗号文に含まれる平文の種類の二乗回のBlindRotateが必要であり、膨大な計算量によって計算に時間を要するという問題がある。また非特許文献３に開示の手法では比較的高速に除算を計算することが出来るが、さらなる高速化が必要である。
本発明は、一側面として、暗号文同士のより高速な除算を可能とし、Integer-wise型TFHEの四則演算をより完全に実現することを目的とする。

本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、前記所定の演算は、被除数である第１暗号文と除数である第２暗号文との除算であり、前記第２暗号文に対して第１の多項式を用いることにより、前記除数の逆数に対応する第３暗号文を算出し、前記第１暗号文と前記第３暗号文とに基づく乗算を行い、乗算結果として、前記第１暗号文と前記第２暗号文との除算結果に対応する第４暗号文を算出する、暗号処理装置を特徴とする。

本発明によれば、一側面として、Integer-wise型TFHEの四則演算をより完全に実現することが出来る。

本実施形態の暗号処理装置の機能構成を説明する図である。 乗算部の機能構成を説明する図である。 図１の機能構成に基づく演算プロセスを説明する図である。 図２の機能構成に基づく乗算の演算プロセスを詳しく説明する図である。 TLWE暗号が平文として有する円周群を説明するイメージ図である。 ２値Gate Bootstrappingの動作イメージ図である。 Integer-wise型に適用したTFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 ３ｂｉｔの暗号文の除算を高速化する暗号処理装置の機能構成を説明する図である。 図１０の機能構成に基づく演算プロセスを説明する図である。 ４ｂｉｔの暗号文の除算を高速化する暗号処理装置の機能構成を説明する図である。 図１２の機能構成に基づく演算プロセスを説明する図である。 除算処理を説明するフローチャートである。 乗算処理を説明するフローチャートである。 本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。 コンピュータ装置の一実施例を示すブロック図である。

以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。

図１は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１Bootstrapping部（算出部）１２と、第２Bootstrapping部（算出部）１３と、乗算部１４と、出力部１６と、を備えている。

受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１Bootstrapping部１２は、受付部１１が受け付けた入力暗号文に対して、第１Gate Bootstrappingを行う。
第２Bootstrapping部１３は、受付部１１が受け付けた入力暗号文に対して、第２Gate Bootstrappingを行う。
乗算部１４は、被乗数の暗号文に対して除数の逆数の暗号文を乗算することにより除算の演算を行う。

出力部１６は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。

図２は、図１における乗算部の機能構成を説明する図である。
乗算部１４は、第１演算部３０と、第２演算部３１と、第３演算部３２と、第４演算部３３と、第３Bootstrapping部（算出部）３４と、第４Bootstrapping（算出部）３５と、第５Bootstrapping部（算出部）３６と、鍵交換部３８、を備えている。

第１演算部３０は、第３Bootstrapping部３４から出力される暗号文に対して、第１準同型演算を行う。
第２演算部３１は、第１演算部３０から出力される暗号文に対して、第２準同型演算を行う。
第３演算部３２は、第４Bootstrapping部３５による処理の途中で出力される暗号文に対して、第３準同型演算を行う。
第４演算部３３は、第５Bootstrapping部３６による処理の途中で出力される暗号文に対して、第４準同型演算を行う。
第３Bootstrapping部３４は、鍵交換部３８から出力された暗号文と入力暗号文に対して第３Bootstrappingを行う。
第４Bootstrapping部３５は、第２演算部３１から出力される暗号文に対して第４Bootstrappingを行う。
第５Bootstrapping部３６は、第４Bootstrapping部３５から出力される暗号文に対して第５Bootstrappingを行う。
鍵交換部３８は、入力された暗号文の秘密鍵を交換する後述のPrivate Key Switchingを行う。なお、Private Key Switchingは、本質的には、乗数のTLWE暗号文から階段状の多項式を平文として有するTRLWE暗号文を得るために行うのであり、暗号文の秘密鍵を交換すること自体が目的ではない。階段状の多項式を平文（平文多項式）として有するTRLWE暗号文を得られれば、別の方法を用いてもよい。

図１、図２において、第１演算部３０、第２演算部３１、第３演算部３２、第４演算部３３は、下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１２、第２Bootstrapping部１３、第３Bootstrapping部３４、第４Bootstrapping部３５、第５Bootstrapping部３６は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
鍵交換部３８は、Private Key Switchingをソフトウェアで実現する演算処理部である。
第１演算部３０、第２演算部３１、第３演算部３２、第４演算部３３、第１Bootstrapping部１２、第２Bootstrapping部１３、第３Bootstrapping部３４、第４Bootstrapping部３５、第５Bootstrapping部３６、鍵交換部３８の少なくとも一つが、ハードウェアで実現されてもよい。

図３は、図１の機能構成に基づく演算プロセスを説明する図である。
図３及び後述の図４に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
以下の説明で、TLWE暗号文ｃａは、非除数となる平文整数aの暗号文であり、TLWE暗号文ｃｂは除数となる平文整数ｂの暗号文である。
図３（ａ）において、暗号処理装置１は、TLWE暗号文ｃｂを第１Bootstrapping部１２に入力して第１Bootstrappingを行い、TLWE暗号文ｃｆを得る。
図３（ｂ）において、暗号処理装置１は、TLWE暗号文ｃｂを第２Bootstrapping部１３に入力して第２Bootstrappingを行い、TLWE暗号文ｃｇを得る。
図３（ｃ）において、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｇを乗算部１４に入力して乗算処理を行い、TLWE暗号文ｃｈを得る。
図３（ｄ）において、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｆを乗算部１４に入力して乗算処理を行い、TLWE暗号文ｃｈと１との準同型演算を行い、除算結果のTLWE暗号文ｃｚを得る。

図４は、図２の機能構成に基づく乗算の演算プロセスを詳しく説明する図である。
暗号処理装置１は、乗数としてのTLWE暗号文ｃＢを鍵交換部３８に入力し、キースイッチングキーＫＳを用いて、暗号文ｃＢに対してPrivate Key Switchingを行い、階段状の多項式を平文として有するTRLWE暗号文ｃｃを得る。
暗号処理装置１は、TRLWE暗号文ｃｃを第３Bootstrapping部３４に入力して第３Bootstrappingを行い、TLWE暗号文ｃｃ’を得る。詳しくは、第３Bootstrapping部３４が階段状の多項式を平文として有するTRLWE暗号文ｃｃとTLWE暗号文ｃａを用いてBlindRotate、さらにSampleExtractを行い暗号文ｃｃ’を得る。

Private Key Switchingを行う処理を鍵交換部３８が実行するように説明しているが、Private Key Switchingを第３Bootstrappingの一部と考えることも出来る。その場合、第３Bootstrapping部３４がPrivate Key Switchingを実行し、暗号処理装置１は鍵交換部３８を有さずともよい。
得られた暗号文ｃｃ’は、平文ａと平文Ｂの乗算結果ａＢに対応する暗号文である。しかし暗号文ｃｃ’の平文は、後述するように分母がｔ^２であるため、次以降の乗算に用いることが出来ない。従って、暗号処理装置１は、平文の分母をｔとするための処理を引き続き行う。

暗号処理装置１は、暗号文ｃｃ’を第１演算部３０に入力して誤差調整値の暗号文Ｙを準同型加算して新たな暗号文ｃｃ’とする演算を行う。誤差調整値の加算が必要ない場合は０を加算する。
暗号処理装置１は、暗号文ｃｃ’を第２演算部３１に入力して暗号文ｃｃ’をｔ倍する演算を行う。暗号処理装置１は、ｔ倍した暗号文ｃｃ’を第４Bootstrapping部３５に入力して第４Bootstrappingを行い、暗号文ｃｌを得る。詳しくは、第４Bootstrapping部３５は、ｔ倍した暗号文ｃｃ’に対してBlindRotate、SampleExtractを行い、暗号文ｃｄを得る。暗号処理装置１は、暗号文ｃｄを第３演算部３２に入力して、ｔ倍した暗号文ｃｃ’に暗号文ｃｄを加算する演算ｃｃ’×ｔ＋ｃｄ－（０，１／４）を行う。その結果に対して、暗号処理装置１（第４Bootstrapping部３５）は、Public Key Switchingを行い、乗算結果の下位ビットに対応するTLWE暗号文ｃｌを得る。

乗算結果の上位ビットを得るために、暗号処理装置１は、乗算結果の下位ビットに対応する暗号文ｃｌを第５Bootstrapping部３６に入力して第５Bootstrappingを行い、TLWE暗号文ｃｕ’を得る。詳しくは、第５Bootstrapping部３６は、暗号文ｃｌに対して、BlindRotate、SampleExtractを行い、暗号文ｃｌ’を得る。暗号処理装置１は、暗号文ｃｌ’と暗号文ｃｃ’を第４演算部３３に入力し、ｃｃ’からｃｌ’を減算する演算ｃｃ’－ｃｌ’を行う。暗号処理装置１（第５Bootstrapping部３６）は、第３演算部１４の演算結果に対してPublic Key Switchingを行い、乗算結果の上位ビットに対応するTLWE暗号文ｃｕ’を得る。

乗算結果の上位ビット、あるいは下位ビットとは、乗算結果を二進数で表したときの下位の所定数ビットと残りのビットである。なお、これはｔを２のべき数にした場合の表現であり、異なる値の場合でも表現が変わるのみで、本質的に意味するものは変わらない。

TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。

TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。

図５は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
Ｘの指数部の値が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ^－１を乗算することはＸを乗算することの逆演算であるため、Ｘ^－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ^－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ^－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。

［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φ_ｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。

このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φ_ｓに入力すると、
φ_ｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φ_ｓ（[ａ]，ｂ）＋φ_ｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。

なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φ_ｓにかけると、φ_ｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。

TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａ_ｎｘ^ｎ＋ａ_ｎ－１ｘ^ｎ－１＋…＋ａ_０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。

TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘ^ｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘ^ｎ＋１）と表す。

多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ^２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。

さらにＸを掛け続けると、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ＋μ
－μＸ^ｎ－１－μＸ^ｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの値が正負何れもであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。

[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘ^ｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。

０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓ_ｎ－１Ｘ^ｎ－１＋ｓ_ｎ－２Ｘ^ｎ－２＋・・・ｓ_１Ｘ＋ｓ_０
ｎ個の乱数ｅ_ｉを、平均値が平文μ_ｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝e_ｎ－１Ｘ^ｎ－１＋ｅ_ｎ－２Ｘ^ｎ－２＋・・・ｅ_１Ｘ＋ｅ_０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘ^ｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φ_ｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘ^ｎ＋１）として、φ_ｓがＴ［Ｘ］／（Ｘ^ｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘ^ｎ＋１）が復号関数として機能する。ｍｏdは除算の余りを意味する。

[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２^２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ^－１＝０．２５のべき乗の和の形に分解する。

円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ^２＋２）＋０．２５^２×２Ｘ＋０．２５^３×０，０．２５×（Ｘ^２＋２Ｘ＋１）＋０．２５^２×２＋０．２５^３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ^２＋２，２Ｘ，０，Ｘ^２＋２Ｘ＋１，２，０]
というベクトルになる。

ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、

という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。

TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。

この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。

Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφ_ｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、

とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。

TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（ε_ａ（Ｘ），ε_ｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ

となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））を代入すると、

となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。

TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ_１は、Ｚ_ｊを何倍かして足したものなので、平文φ_ｓ’（ｃ_１）の期待値は０となる。
また復号したφ_ｓ’（ｃ_３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。

そうするとφ_ｓ’（BKｉ×ｄ）＝φ_ｓ’（ｓ_ｉ×ｄ）となるが、ｓ_ｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓ_ｉが０と１の何れであるかを判別することができない。
２つの平文μ_０、μ_１に対応するTRLWE暗号文ｄ_０、ｄ_１があるとして、ｄ＝ｄ_１－ｄ_０と代入して、最後にｄ_０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫ_ｉ，ｄ_０，ｄ_１）＝ＢＫｉ×（ｄ_１－ｄ_０）＋ｄ_０＝Ｄｅｃ（ｄ_１－ｄ_０）・ＢＫ_ｉ＋ｄ_０
ＣＭｕｘ関数は、ｓ_ｉが０であると平文μ_０の暗号文を復号することなく出力し、ｓ_ｉが１であると平文μ_１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ_０もしくは平文μ_１の暗号文を計算することができるが、どちらを選択したかは分からない。

TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。

図６は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図５の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。

(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ^{－φｓ（ｃ’）}を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸ^ｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘ^ｎ／２
を用意する。

平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φ_ｓ（ｃ’）≒２ｎ×φ_ｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ_０＝Ｘ^－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ^－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫ_ｉを用いて、順番にＡ_ｉ＝ＣＭｕｘ（ＢＫ_ｉ，Ａ_ｉ－１，Ｘ^ａ’ｉＡ_ｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。

そうすると、ｓ_ｉが０の時は、平文はそのまま変わらず、ｓ_ｉが１の時は、Ｘ^ａ’ｉが順番に乗算されていく。
従って、

と繰り返すと、

となる。
ここで、

は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、

となる。ここでφ_ｓ’（Ａ_ｎ）は、多項式Ｔ（Ｘ）にＸ^－１をμ１’回乗算した多項式の暗号文である。
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。

(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）を見ると、下位の項から数えてｎ／２－φ_ｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）の定数項だけを見ると、φ_ｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφ_ｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎから、これを復号することなく平文多項式φ_ｓ’（Ａ_ｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。

TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、

と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を

とおいて、

と展開することができる。

これに対して下記の演算を行い、

を得る。
「多項式環の剰余環」であるので（Ｘ^ｎ＋１）で割った余りを求めると、

が得られる。

さらに、

とおくと、

となり、

から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、

が得られる。

とおくと、

のように、TLWE暗号の復号関数に変形することができる。

つまり、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を

として取り出すと、元のTRLWE暗号文Ａ_ｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ_１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。

(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、

と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、

となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、

の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。

（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、

である。
ｓ’_ｉは、ｊに対して定数なのでくくりだして

とし、上記で固定小数に分解したときの式を代入する。

その結果、

となって鍵の切り替えが成功したことになる。

ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φ_ｓ（ｃ）が±１／４の範囲なら平文φ_ｓ（ｃｘ）は０に、φ_ｓ（ｃ）が１／２±１／４の範囲なら、平文φ_ｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。

Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。

上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。

図７は、Integer-wise型に適用したTFHEを説明する図である。
図７に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図７に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。
この場合、これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔの区間に割り当てられている。
このようにすることで、１／２が含まれる領域から反時計回りに連続して整数を割り当てることが出来る。

図７に示すように、円周群{Ｔ}上の０（１）は、－１／２ｔ～１／２ｔの領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／２ｔに基づいたオフセットを、図７の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
なお、本質的に変わることはないが、下記に説明する実施形態では、図７の説明とは円周群の分割数ｔの意味が異なっている。

図８、図９は、本実施形態のInteger-wise型TFHEを説明する図である。
図８に示すように、本実施形態の除数、被除数夫々の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図５の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図８（ｂ）に示している。図８（ａ）は、図８（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付与した図８（ａ）の状態に準拠するものとする。

図８（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス内にある。オフセットを付加することによって、図８（ａ）に示すように、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。
図８（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／４ｔの誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／４ｔとなり、±１／４ｔの誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図８（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。図７についても同様である。

図８の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応している。
整数値は、円周群{Ｔ}の０～１（－１／２～２／１）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／４ｔのオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。

図８（ａ）に示すように、２ｔ＝１６（ｔ＝８）として円周群の値域を１６個に分割する場合には、円周群{Ｔ}の右半面で０から７（＝ｔ－１）の整数を表現し、左半面で－８（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－８、－７、－６、－５、－４、－３、－２、－１、０、１、２、３、４、５、６、７の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝１６個に区切った、－８／（２ｔ）、－７／（２ｔ）、－６／（２ｔ）、－５／（２ｔ）、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）、４／（２ｔ）、５／（２ｔ）、６／（２ｔ）、７／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。

暗号処理装置１は、TFHEのシステムパラメータを設定する。このとき、暗号処理装置１は、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（８ｔ^２）未満となるようにシステムパラメータを設定する。
被除数（割られる数）のTLWE暗号文ｃａと、除数（割る数）のTLWE暗号文ｃｂがあるとする。
乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、図８（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を正の整数である平文に対応させる。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃａ、ｃｂの平文がａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。

図８（ａ）について説明したように、TLWE暗号文ｃａ、TLWE暗号文ｃｂにおいても、ａ／（２ｔ）＋１／（４ｔ）、ｂ／（２ｔ）＋１／（４ｔ）と平文にオフセットを付加している。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。

図８（ａ）において、０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。

以下に、図２及び図４を参照して、暗号文同士の除算を行う方法を説明する。除算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算がより完全なかたちで可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。
下記に説明する本実施形態の方法では、基本的に被除数に除数の逆数を乗じ、下位ビットを切り捨てることによって除算を行う（商を求める）。
暗号処理装置１は暗号文同士の除算の過程において下位ビットの切り捨てを伴う特定の乗算を行うため、除算方法の説明に先立って、特定の乗算方法を説明する。

特定の乗算方法において、暗号処理装置１は、階段状の多項式を用いたBlindRotateを実行すると同時にInteger-wise暗号文同士の乗算を行う。BlindRotateのための階段状の多項式を得るために、本実施形態では、一例として、上記論文（非特許文献１）に記載のPrivate Key Switchingを使用する。まず、Private Ky Switchingについて説明する。
Private Key Switchingに用いるキースイッチングキーを、Public Key Switchingに用いるキースイッチングキーＫＳと区別してキースイッチングキーＫＳ１と記載する。
キースイッチングキーＫＳ１を用いた Private Key Switching の実行結果は、f(c)=TRLWE_Enc(f’(TLWE_Dec(c))として定義し得る。
すなわち、暗号処理装置１がTLWE暗号文ｃを復号して得た平文に関数ｆ’を適用し、TRLWE暗号化する処理を行うことにより得られる暗号文を、復号することなく算出することができる関数ｆが、キースイッチングキーＫＳ１を用いて行う Private Key Switchingである。キースイッチングキーＫＳ１を用いることでTLWE暗号文からTRLWE暗号文を得ることが出来る。
キースイッチングキーＫＳ１を作成する者は、秘密鍵［ｓ］及び［ｓ’］を知っているため、以下のキースイッチングキーＫＳ１を生成することが出来る。

Private Key Switchingを行う者、例えば暗号処理装置１は、秘密鍵［ｓ］および［ｓ’］を知らなくても、キースイッチングキーＫＳ１を用いて、TLWE暗号文c（[ａ]，ｂ）から以下の計算を行うことが出来る。
また、キースイッチングキーＫＳ１は、本質的にTRLWE暗号文の集合であるため、キースイッチングキーＫＳ１から秘密鍵［ｓ］および［ｓ’］を得ることはできない。

暗号処理装置１は、上記のPublic Key Switchingの場合と類似して、TLWE暗号文の要素を、

と夫々分解する。
ａ_ｉ，ｊおよびｂ_ｊは、ａ_ｉもしくはｂを２進数で表現した時の各桁の値であり０又は１の値を取り得る。
その後、暗号処理装置１は、

を演算する。
これが、秘密鍵無しで何を計算したことになるか確認するため、式を変形すると、

となる。
以上の演算結果から、最初のTLWE暗号文cを復号することなく、TLWE暗号文の平文をf’に代入したTRLWE暗号文ｃ’が得られている。関数ｆ’は、暗号化処理・復号処理と、関数ｆ’の評価処理の順序を入れ替えても問題ない関数である必要がある。
本実施形態では、ｆ’（ｘ）として、以下の階段状の多項式を得る関数を設定し、キースイッチングキーＫＳ１を事前に計算する。

暗号処理装置１は、このPrivate Key Switchingを用いて、乗数のTLWE暗号文から階段状の多項式を平文として有するTRLWE暗号文を生成する。そして、暗号処理装置１は、得られたTRLWE暗号文に対して、被乗数のTLWE暗号文によるBlindRotateを行うことによって乗算を実現する。
乗算処理を行うための（１）～（６）の処理を説明する。
なお、下記の説明において、TLWE暗号文ｃＢは、本実施形態の第１実施例、第２実施例、第３実施例で行われる乗算において被乗数のTLWE暗号文ｃａに対して乗ぜられるTLWE暗号文ｃｇ、ｃｆ、ｃｓ、ｃｐに対応する。各実施例において、TLWE暗号文ｃｇ、ｃｆ、ｃｓ、ｃｐは、適宜TLWE暗号文ｃＢと読み替えられる。TLWE暗号文ｃｇ、ｃｆ、ｃｓ、ｃｐの平文ｇ、ｆ、ｓ、ｐも平文Ｂと読み替えられる。
また、乗算過程で得られる暗号文ｃｃ、ｃｃ’、ｃｄ、ｃｌ、ｃｕ、ｃｕ’などは、同じ符号が付されていても、乗数となるTLWE暗号文ｃｇ、ｃｆ、ｃｓ、ｃｐによって異なる値を有する暗号文である。

（１）暗号文ｃＢは、円周群の右半面（０～０．５）をｔ＝８分割した暗号文であり、ｔ＝８分割した円周群の右半面に０～（ｔ－１）までの整数を対応させている。円周群全体としては２ｔ分割である。
一方、暗号文ｃＢ’は、平文に対応付けている整数の値自体は暗号文ｃＢの平文Ｂと変わっていないが、暗号文ｃＢの分割数を変換した暗号文である。
暗号文ｃＢ’は、ｔ^２＝６４分割した円周群の右半面（０～０．５）のさらに下半面に０～（ｔ－１）までの整数を対応させている。円周群全体としては２ｔ^２個に分割していることになる。
テストベクタ多項式Ｔ（Ｘ）

を用いて、TLWE暗号文ｃＢに対するBlindRotateを行うことで、TLWE暗号文ｃＢ’（LEVEL1）を得るという方法もある。

それに対して、本実施形態では、円周群上の１／（２ｔ^２）のスケールで整数を対応づけて格納したルックアップテーブルを用意しておく。このようなルックアップテーブルを参照することでTLWE暗号文ｃＢ’を得るために、暗号文ｃＢに対するBootstrappingを省略することが出来る。
乗算に要するBootstrappingの回数は、後述するPrivate Key Switchingで得られた暗号文ｃｃに対する１回（第３bootstrapping）と、上下ビットの分解のための２回（第４bootstrapping、第５bootstrapping）との計３回とすることが出来る。

暗号処理装置１（鍵交換部３８）は、暗号文ｃＢ’に対してキースイッチングキーＫＳを用いてPrivate Key Switchingを行い、TRLWE暗号文ｃｃを得る。暗号文ｃｃの秘密鍵は［ｓ’］である。
TRLWE暗号文ｃｃを秘密鍵［ｓ’］で復号した結果は、以下の通りであり、

暗号文ｃｃの平文は、平文多項式

であり、円周群の右半面をｔ分割（０、１、２、３…）して、暗号文ｃＢの平文の値ずつ階段状に係数が増加する多項式という結果が得られている。暗号文ｃＢが平文として３の値を有していたとき、Private Key Switchingの結果、円周群の右半面と対応する次数の項の係数には、暗号文ｃＢの平文（３）の倍数である０、３、６、９、１２と並んだ平文多項式が得られる。

（２）暗号処理装置１（第３Bootstrapping部３４）は、第３Bootstrappingとして、TRLWE暗号文ｃｃ（LEVEL1）を、TLWE暗号文ｃａ（LEVEL0）を用いてBlindRotateし、SampleExtractを行って暗号文ｃｃ’（LEVEL1）を得る。暗号文ｃｃ’の秘密鍵は［ｓ’］である。
TLWE暗号文ｃａを２ｎ倍したTLWE暗号文ｃａ’は｛ａ／（２ｔ）｝×２ｎから、平文としてａｎ／ｔを有する。
従って、φ_ｓ’（ｃｃ）の平文多項式のうち、指数がａｎ／ｔ＋ｎ／（２ｔ）近傍である項が、定数項として得られる。
つまり、φ_ｓ’（ｃｃ’）＝ａＢ／（２ｔ^２）となり、暗号文ｃｃ’は、平文としてａＢ／（２ｔ^２）を有する。平文ａと平文Ｂの積が得られており、暗号文ｃｃ’は平文ａと平文Ｂの積に対応する暗号文である。

図９に示す途中で得られる乗算結果の暗号文ｃｃ’は、ｔ＝８の例では０～１の値域全体を２ｔ^２＝１２８個に分割し、暗号文は－６４、－６３・・・、－４、－３、－２、－１、０、１、２、３、４・・・６２、６３の整数を表現することが出来る。
円周群の右半面ではｔ^２＝６４個の整数、０、１、２、３、４、５、６、７・・・６３を表現することが出来る。これらの整数値は、円周群の０～１の値域全体を２ｔ^２個に区切った１／２ｔ^２ずつの区間に割り当てられる。
乗算結果に対応する暗号文では、円周群の右半面をｔ^２個に分割し、円周群全体では、２ｔ^２個に分割している。
ｔ＝８の場合、円周群の右半面をｔ^２＝６４分割し、０～６３の整数を表現することが出来る。円周群全体では２ｔ^２＝１２８分割である。

ｔ＝８の場合、２^３＝８から、乗数、被乗数のTLWE暗号文ｃａ、ｃＢは、円周群（右半面）に３ビットの整数を記録する。３ビットの整数同士の乗算結果は６ビットの整数であり、これを記録するTLWE暗号文は、円周群（右半面）を２^６＝６４分割すなわちｔ^２個に分割する。
このように、乗算結果の暗号文は、乗数、被乗数の暗号文とは円周群の分割数が異なっている。
そして、本実施形態では、乗算結果から商に該当する部分のみが必要であるので、暗号処理装置１は、暗号文の乗算前後で円周群の分割数を合わせるための、除算結果の商を得るための変換を行う。
暗号処理装置１は、例えば６ビット（２ｔ^２分割）となっている乗算結果から、下位３ビット（２ｔ分割）、上位３ビット（２ｔ分割）を抽出し、乗算前と同じ２ｔ分割の暗号文を得る。上位３ビットが商である。

例えばｔ＝８の場合、０～６３（８^２＝６４）を、ノコギリ型の多項式（係数が０１２３～６７０１２…）と階段型の多項式（係数が００００１１１１２２２２…）とによって夫々Bootstrappingをしても乗算結果をｔで割った商と剰余を求めることは出来る。しかしながら、TFHEで用いられるベクトルの次数Ｎは６３５、多項式の次数ｎは１０２４が最適であるとされているため、BlindRotateの直前にTLWE暗号文の係数６３５個を２ｎ倍する段階で、四捨五入の誤差が６３５個分累積する。また多項式の次数ｎを０～０．５の区間の分割数にあわせて分割した区間が整数１つに対応する区間であるが、６４分割だと１６の幅しかないため±８の誤差しか許されない。これでは計算エラー率が高すぎるという問題がある。

多項式の次数ｎを増やす、あるいはベクトルの次数Ｎを小さくするという選択肢もあるが、そうした場合、暗号の強度や計算速度が犠牲になる。多項式の次数を増やすと、ＣＭｕｘで行う乗算の計算量がＯ（ｎ^２）で増える一方、ベクトルの次数を小さくすると解析の際の自由度が下がり、暗号として容易に解けるようになる。
従って本実施形態では、以下に示す方法によってエラー率を十分に抑えつつ、平文の分母が２ｔ^２からの平文の分母が２ｔである暗号文（商の暗号文、剰余の暗号文）の計算を行う。

（３）暗号処理装置１（第２演算部３１）は、暗号文ｃｃ’を平文の分母がｔである暗号文に変換する。まずは暗号文ｃｃ’をｔ倍する。暗号文ｃｃ’のｔ倍は整数倍であり、上記に説明したように暗号文の整数倍は円周群上に定義されている。従って、暗号文ｃｃ’のｔ倍は従来知られる方法から得られる。ｔ倍した暗号文ｃｃ’の平文はａＢ／（２ｔ^２）×ｔ＝ａＢ／２ｔとなり分母がｔになる。

暗号処理装置１（第４Bootstrapping部３５）は、ｔ倍した暗号文ｃｃ’に対して、係数μ＝１／４としたテストベクタ多項式によってBlindRotate、さらにSampleExtractを行い、TLWE暗号文ｃｄ（秘密鍵は［ｓ’］）を得る。この時点では、Public Key Switchingを行っていないため、TLWE暗号文ｃｄの秘密鍵は［ｓ’］である。
ｔ^２分割された状態のTLWE暗号文ｃｃ’にBlindRotateを単純に行うと、四捨五入の誤差によって暗号文が壊れてしまうため、上記に説明したように暗号文ｃｃ’をｔ倍している。
ｔ^２分割されたTLWE暗号文ｃｃ’をt倍し、t分割の暗号文とみなして処理を行うことで、整数シンボルに対応する値の円周群上の幅が、図９の１／２ｔ^２の範囲から図６（ａ）の１／２ｔにｔ倍広がっている。
よって、円周群上の平文同士の間隔（誤差範囲）を十分に広くすることができ、四捨五入による誤差を許容可能な範囲に抑え、BlindRotate時のエラー率を十分に下げることができる。
なお暗号文ｃｃ’をｔ倍した結果、円周群上の０～０．５（右半面）の区間を用いていた平文が、TLWE暗号文ｃｄでは０．５～１の区間にも分布することになる。TLWE暗号文ｃｄは、円周群上の０～０．５（右半面）の区間では平文として１／４を有し、０．５～１（左半面）の区間では平文として－１／４を有する。

（４）暗号処理装置１（第３演算部３２）は、ｃｃ’×ｔ＋ｃｄ－（０，１／４）を計算する。暗号処理装置１（第４Bootstrapping部３５）は、計算結果に対してPublic Key Switchingを行い、秘密鍵を［ｓ］としたTLWE暗号文ｃｌを得る。これにより、乗算結果の下位ビットが得られる。
TLWE暗号文ｃｌは、復号するとφ_ｓ（ｃｌ）＝（ａＢ ｍｏｄ ｔ）／（２ｔ）＋１／（４ｔ）となる暗号文である。

剰余が常に正であると考えると、暗号文ｃｃ’の平文が負であっても、暗号文ｃｌの平文は正になる。商まで計算すると、ｔ×商＋剰余＝ａｂが正負問わず成立するため、数学的に矛盾はない。乗算結果が１変数に格納されている状態から、コンピュータで除算剰余算命令を用いて求める場合、言語処理系やＣＰＵアーキテクチャによって様々だが、tを２のべき数としてシフト演算とＡＮＤ演算で分解する、つまり２進数表記にして単純にビットを分けるという処理とは完全に一致する結果となる。
ｔ倍したTLWE暗号文で計算しているため、整数シンボル１つに対応する値の幅がｔ倍に広がっており、相対的に四捨五入による誤差を許容できるようになっている。また、加算乗算を秘密鍵［s’］によるTLWE暗号文で行うことにより、比較的大きな誤差を付与するPublic Key Switchingの影響を小さくすることができる。

乗算結果の上位ビットを得るために、以下の演算を行う。
（５）情報処理装置１（第５Bootstrapping部３６）は、下位ビットのTLWE暗号文ｃｌに対して、下記のテストベクタ多項式

を用いてBlindRotate、SampleExtractを行い、TLWE暗号文ｃｌ’（LEVEL1）を得る。TLWE暗号文ｃｌ’は、秘密鍵が［ｓ’］である。
TLWE暗号文ｃｌ’は、平文の分母が１／２ｔ^２の暗号文であって、乗算結果の下位ビット（ａＢ ｍｏｄ ｔ）を、０～１／（２ｔ）の区間を使用して保持する暗号文である。剰余は負の数ではないとの前提であるため、円周群の右半面のみを使っているものと考えられる。

（６）暗号処理装置１（第４演算部３３）は、ｃｕ＝ｃｃ’－ｃｌ’＋（０，１／４ｔ）を計算して暗号文ｃｕを得る。
暗号文ｃｕに対してPublic Key Switchingを行い、秘密鍵を［ｓ’］から［s］に戻して暗号文ｃｕ’を得る。つまり、ａＢ／２ｔ^２から（ａＢ ｍｏｄ ｔ）／２ｔ^２を引くことで分子をｔの倍数とし、分子と分母をｔで約分する。
すると、

が得られる。
この時、暗号文ｃｃ’、暗号文ｃｌ’の平文に付加される誤差成分は正規分布に従っているため、再生性によって暗号文ｃｕの平文に付加される誤差も正規分布に従う。よって、暗号文ｃｕ’はそのまま次の演算に使用することができる。
つまり、右半面を６４分割した暗号文から、８の剰余となる暗号文を引くことで、必ず８の倍数を平文とする暗号文となる。つまり８個置きにブロックを使用している。これを、右半面を８分割した暗号文を比較すると、分割の仕方が同じで、与えられている誤差の分散が異なるのみであるとみなすことができるため、暗号文ｃｕは実質右半面を８分割した暗号文として扱うことができる。
なぜならば暗号文ｃｃ’、暗号文ｃｌ’において平文に付加される誤差成分は正規分布に従っている。暗号文ｃｃ’－暗号文ｃｌ’で得られる暗号文ｃｕにおいて平文に付加される誤差も、再生性と呼ばれる性質によって正規分布に従う。よって、乗算の上位桁（ビット）の暗号文ｃｕ’はBootstrappingを行うことなく、そのまま次の演算に使用することができる。
暗号文ｃｕ’も暗号文ｃｌも、最後にPublic Key Switchingで秘密鍵を［ｓ］に戻したLEVEL0になっている。この処理をなくして、事前処理の時に暗号文ｃａ、暗号文ｃｂそれぞれに対してPublic Key Switchingを行うことで、LEVEL1を入出力とすることができる。

＜第１実施例＞
図１乃至図４を参照して、第１実施例として被除数としての整数ａのTLWE暗号文ｃａと除数としての整数ｂの暗号文ｃｂとの除算方法を説明する。この第１実施例は、図３の構成に対応する。
図８で説明したように、TLWE暗号文が含み得る整数の最大値はｔ－１であり、被除数ａは０からｔ－１までの値を取り得、除数ｂは１からｔ－１までの値を取り得る。除数は０を取り得ない。
暗号処理装置１は、被除数の暗号文に対して除数の逆数の暗号文の乗算を行い、乗算結果から上位ビットのみを残して除算結果（商）を得ることにより、暗号文の除算を行う。
被除数ａと除数ｂの除算結果（商）ｚは、

によって求められる。図８で説明したように、TLWE暗号文で表現できる除算結果ｚは、最大値がｔ－１の整数である。
ｚを求める式は、右辺

を上記の整数の最大値（ｔ－１）を用いて変形し、

（式１）

と表すことが出来る。

ここで、（式１）における除数ｂについての関数

の夫々を

とおく。
暗号文の分割数であるｔの値はシステムパラメータで決定されており、関数ｆ（ｘ）及びｇ（ｘ）の引数である除数ｂは、０～ｔ－１の間の限られた数の整数（ｔが８の場合、０、１、３、４、５、６、７）である。ただし、除数は０を取り得ないため、実際には除数ｂの値は０を除外する。
暗号処理装置１は、ｘの値（除数ｂの値）が１からｔ－１までの夫々の場合における

を予め計算し、下記のように夫々の計算結果をｘの値に関連付けたテーブルを作成する。
〈テーブル１〉

〈テーブル２〉

ｆ（ｘ）の計算結果fは除数ｂの逆数に対応し、ｇ（ｘ）の計算結果gは、除算結果に対する誤差調整値に対応する。
（式１）は、上記ｆ（ｘ）、ｇ（ｘ）を用いて、
（式２）

と変形することができる。

ｔ^２－１までの整数を保持できる乗算途中の暗号文ｃｃ’に対しては、準同型加算を行うことができる。従って、図４に従った暗号文ｃａと暗号文ｃｂとの乗算結果の上位ビットの暗号文ｃｕ’を数式で書くと、以下の関数ｍ、

を評価したものとなる。
関数ｍを利用すると、上記の（式２）は、
（式３）
ｚ＝ｍ（ａ，ｆ（ｂ），ｍ（ａ，ｇ（ｂ），０）＋１）
と表すことが出来る。
上記のように、ｆ（ｂ）、ｇ（ｂ）の値は、除数ｂの値に対応付けてテーブル化されている。暗号処理装置１は、これらのテーブルに基づいて作成したテストベクタを用いてGate Bootstrappingを行い、商ｚを求める除算を実行する。

具体的に、暗号処理装置１は、図３（ａ）に示すように、TLWE暗号文ｃｂを第１Bootstrapping部１２に入力して、上記＜テーブル１＞から作られるテストベクタによる第１Bootstrappingを行い、除数ｂの逆数ｆを平文として有する暗号文ｃｆを得る。
また暗号処理装置１は、図３（ｂ）に示すように、TLWE暗号文ｃｂを第２Bootstrapping部１３に入力して、関数ｇ（ｂ）についての上記＜テーブル２＞から作られるテストベクタによる第２Bootstrappingを行い、誤差調整値ｇを平文として有する暗号文ｃｇを得る。
上記の結果、（式３）は、
ｚ＝ｍ（ａ，ｆ，ｍ（ａ，ｇ，０）＋１）
と表せる。
暗号処理装置１は、ここまででTLWE暗号文ｃｂについてBlindRotateを２回行っている。

次に暗号処理装置１は、（式３）の関数ｍ（ａ，ｇ，０）を計算する。

から、暗号処理装置１は、図３（ｃ）に示すように、

を計算する。暗号処理装置１は、図４に従って、暗号文ｃａと暗号文ｃｇとの乗算を行う。暗号処理装置１は、暗号文ｃｃ’に０を準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが誤差調整値ｈを平文として有する暗号文ｃｈである。
暗号処理装置１は、暗号文ｃｈの演算にBlindRotateを３回行う。

上記の結果、（式３）は、
（式３’）
ｚ＝ｍ（ａ，ｆ，ｈ＋１）
となる。

から、図３（ｄ）に示すように、暗号処理装置１は、

を計算する。
暗号処理装置１は、図４に従って、暗号文ｃａと暗号文ｃｆとの乗算を行う。暗号処理装置１は、暗号文ｃｃ’に暗号文ｃｈと１を準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが、除算結果（商）ｚを平文として有する暗号文ｃｚである。
暗号処理装置１は、暗号文ｃｚの演算にBlindRotateを３回行う。
この方法によれば、暗号処理装置１は、３ｂｉｔ、４ｂｉｔ、５ｂｉｔのInteger-wise暗号文の場合で、計８回のBlindRotateで除算を実行することが出来た。所要時間は概ね３６５ｍｓ程度である。上述のTree PBS（非特許文献３）によるテーブルルックアップを行う場合の７１９ｍｓと比較して、大幅な高速化を実現できた。
下位ビットを切り捨てる乗算を利用し（乗算の後に上位下位ビットに分解することをシフト演算として活用し）、且つ乗算処理を２回行うことで、ｎｂｉｔ（上記の説明では３ビット）幅の平文に対して２ｎｂｉｔ（上記の説明では６ビット）幅の精度で逆数乗算を行っている。これにより、整数精度で正確に一致する除算結果が得られる。

＜第２実施例（３ｂｉｔ）＞
図１０は、特に３ｂｉｔの暗号文の除算を高速化する暗号処理装置の機能構成を説明する図である。
図１と同じ構成には同じ符号を付して説明は省略している。
図１０に示す暗号処理装置の制御部１０は、受付部１１と、第７Bootstrapping部４１と、第８Bootstrapping４２と、乗算部１４と、出力部１６と、を備えている。

図１１は、図１０の機能構成に基づく演算プロセスを説明する図である。
図１１（ａ）に示すように、暗号処理装置１は、TLWE暗号文ｃｂを第７Bootstrapping部４１に入力して第７Bootstrappingを行い、除数ｂの逆数ｓを平文として有するTLWE暗号文ｃｓを得る。第７Bootstrappingは、後述のテーブルから作られるテストベクタを用いて行う。
図１１（ｂ）に示すように、暗号処理装置１は、TLWE暗号文ｃｂを第８Bootstrapping部４２に入力して第８Bootstrappingを行い、除数ｂの誤差調整値ｗを平文として有するTLWE暗号文ｃｗを得る。第８Bootstrappingは、後述のテーブルから作られるテストベクタを用いて行う。
図１１（ｃ）に示すように、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｓを乗算部１４に入力して乗算を行う。暗号処理装置１は、暗号文ｃｃ’に誤差調整値の暗号文ｃｗを準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが除算結果（商）ｚを平文として有するTLWE暗号文ｃｚである。

図２、図４、図１０、図１１を用いて第２実施例を詳しく説明する。
図８で説明したように、TLWE暗号文が含み得る整数の最大値はｔ－１である。被除数ａは０からｔ－１までの値を取り得、除数ｂは１からｔ－１までの値を取り得る（除数は０を取り得ない）。
ここでｔ＝８であり、被除数は３ｂｉｔで表現可能な０～７の整数である。除数は０を取り得ないため、実際には除数ｂの値は０を除外する。除数ｂは１～７の整数である。
上記の

から、商ｚを表す数式を、
（式４）
ｚ＝ｍ（ａ，ｓ［ｂ］，ｗ［ｂ］）
とおく。
ｓ［ｂ］、ｗ［ｂ］は、除数ｂが１～７の何れかの整数である場合の逆数ｓと誤差調整値ｗとを予め演算して、除数ｂの値と関連付けたテーブルである。この３ビットの場合、誤差調整値は、ｗ［ｂ］のテーブルで表しうる。除数ｂのみによって誤差調整値を決定しても、整数精度で演算を行うことができるのである。
＜テーブルｓ［ｂ］＞

＜テーブルｗ［ｂ］＞

第２実施例において、暗号処理装置１は、これらのテーブルｓ［ｂ］、ｗ［ｂ］を用いて除算を行う。
非特許文献３のTree PBSとは異なり、３ビットの除算を行うときに、６ビットのテーブルを用意するのではなく、３ビットのテーブルを２個用意するようにしたことで、テーブルの容量を削減し、且つBlindRotateの回数を削減することが出来る。

具体的に、暗号処理装置１は、図１１（ａ）に示すように、TLWE暗号文ｃｂに対してテーブルｓ［ｂ］から作られるテストベクタＴ_ｓ（Ｘ）による第７Bootstrappingを行い、除数ｂの逆数ｓを平文として有するTLWE暗号文ｃｓを得る。ｓ／ｔは、除数ｂの逆数に近似した値である。
次に暗号処理装置１は、図１１（ｂ）に示すように、テーブルｗ[b]から作られるテストベクタＴ_ｗ（Ｘ）による第８Bootstrappingを行い、除数bの逆数を乗算することによる誤差調整値ｗに対応するTLWE暗号文ｃｗを得る。
その結果、（式４）は、
ｚ＝ｍ（ａ，ｓ，ｗ）
と表せる。
ここまでで、暗号処理装置１は、TLWE暗号文ｃｂに対するBlindRotateを２回行っている。
（３）

から、暗号処理装置１は、

を計算し、商ｚを得ることが出来る。
暗号処理装置１は、図４に従って、TLWE暗号文ｃａとTLWE暗号文ｃｓとの乗算を行う。暗号処理装置１は、暗号文ｃｃ’にTLWE暗号文ｃｗを準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが除算結果（商）ｚを平文として有するTLWE暗号文ｃｚである。

ａｓ＋ｗの形で正確に除算結果が得られたので、これを利用することが出来る。
暗号処理装置１は、TLWE暗号文ｃｚの演算にBlindRotateを３回行う。
以上により、BlindRotateを計５回行い所要時間は概ね２２７ｍｓ程度となっている。除数、被除数が３ｂｉｔの整数である場合に限定されるが、１回の除算の所要時間を第１実施例に比べてもさらに削減することが出来た。

＜第３実施例（４ｂｉｔ）＞
図１２は、特に４ｂｉｔの暗号文の除算を高速化する暗号処理装置の機能構成を説明する図である。
図１と同じ構成には同じ符号を付して説明を省略する。
暗号処理装置１の制御部１０は、受付部１１と、第９Bootstrapping部５１と、第１０Bootstrapping部５２と、第１１Bootstrapping部５３と、第１２Bootstrapping部５４と、第５演算部５５と、乗算部１４と、出力部１６と、を備えている。

図１３は、図１２の機能構成に基づく演算プロセスを説明する図である。
図１３（ａ）に示すように、暗号処理装置１は、TLWE暗号文ｃａを第９Bootstrapping部５１に入力して第９Bootstrappingを行い、平文としてａ’’を有するTLWE暗号文ｃａ’’を得る。
図１３（ｂ）に示すように、暗号処理装置１は、TLWE暗号文ｃａ’’とTLWE暗号文ｃｂを第５演算部５５に入力して準同型演算を行い、平文としてｂ’を有するTLWE暗号文ｃｂ’を得る。
図１３（ｃ）に示すように、暗号処理装置１は、TLWE暗号文ｃｂ’を第１０Bootstrapping部５２に入力し、後述のテーブルから作られるテストベクタを用いて第１０Bootstrappingを行い、その結果に対してTLWE暗号文ｃａ’’を乗算して、平文としてｐを有するTLWE暗号文ｃｐを得る。
図１３（ｄ）に示すように、暗号処理装置１は、TLWE暗号文ｃｂを第１１Bootstrapping部５３に入力し、後述のテーブルから作られるテストベクタを用いて第１１Bootstrappingを行い、平文としてｑを有するTLWE暗号文ｃｑを得る。
図１３（ｅ）に示すように、暗号処理装置１は、TLWE暗号文ｃｂを第１２Bootstrapping部５４に入力し、後述のテーブルから作られるテストベクタを用いて第７Bootstrappingを行い、平文としてｒを有するTLWE暗号文ｃｒを得る。
図１３（ｆ）に示すように、暗号処理装置１は、TLWE暗号文ｃａとTLWE暗号文ｃｓを乗算部１４に入力して乗算を行う。暗号処理装置１は、暗号文ｃｃ’に、誤差調整値としてのTLWE暗号文ｃｐとTLWE暗号文ｃｒの準同型演算結果を準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが除算結果（商）ｚを平文として有するTLWE暗号文ｃｚである。

図２、図４、図１２、図１３を用いて第３実施例を詳しく説明する。
図８で説明したように、TLWE暗号文が含み得る整数の最大値はｔ－１である。被除数ａは０からｔ－１までの値を取り得るが、除数は０を取り得ないため、実際には除数ｂの値は０を除外する。除数ｂは１からｔ－１までの値を取り得る。
ここでｔ＝１６であり、被除数ａは４ｂｉｔで表現可能な０～１５の範囲の整数である。除数ｂは１～１５の範囲の整数である。
第２実施例と同じ手順では、誤差が大きく完全一致するテーブルを作ることはできない。暗号処理装置１は、
テーブルｔ［ａ］＝［１，１，１，１，１，１，１，１，－１，－１，－１，－１，－１，－１，－１，－１］
に基づくテストベクタを用いてTLWE暗号文ｃａに対してGate Bootstrappingを行い、被除数ａが８以下の場合は平文ａ’’が－１となり、そうでない場合は平文ａ’’が１となるTLWE暗号文ｃａ’’を用意する。
暗号処理装置１は、（式３）を
（式５）
ｚ＝ｍ（ａ，ｐ［ｂ］，ａ’’×ｑ［ｂ’］＋ｒ［ｂ］＋１）
と変形する。
（式５）において、ｐ［ｂ］、ｑ［ｂ］、ｒ［ｂ］は、除数ｂが０～１５の夫々の場合におけるｐ、ｑ、ｒを予め演算して除数ｂの値と関連付けたテーブルである。
＜テーブルｔ［ａ］＞

＜テーブルｐ［ｂ］＞

＜テーブルｑ［ｂ’］＞

＜テーブルｒ［ｂ］＞

第３実施例において、暗号処理装置１は、これらのテーブルｐ［ｂ］、ｑ［ｂ’］、ｒ［ｂ］を用いて除算を行う。
４ビットの除算を行うときに、８ビットのテーブルを用意するのではなく、４ビットのテーブルを３個用意するようにしたことで、テーブルの容量を削減し、BlindRotateの回数を削減することが出来る。

具体的に、暗号処理装置１は、TLWE暗号文ｃａに対して、上記のテーブルｔ［ａ］に基づくテストベクタＴ_ａ（Ｘ）による第９Gate Bootstrappingを行い、TLWE暗号文ｃａ’’を得る。
TLWE暗号文ｃａ’’は、被除数ａが８以下の場合に平文ａ’’として－１を有し、そうでない場合は平文ａ’として１を有する暗号文である。
暗号処理装置１は、ｂ＋ａ’’×８－４に対応する準同型演算を行い、TLWE暗号文ｃｂ’を得る。ａ’’×８は円周群上で１／４又は－１／４となり、これを１／４周回転させてｂに足した値を平文として有するのがTLWE暗号文ｃｂ’である。TLWE暗号文ｃｂ’において、被除数ａが８以下の場合には平文ｂ’が円周群上の右半面に留まり、被除数ａが９以上の場合には、平文ｂ’が左半面に半周回転する。

暗号処理装置１は、暗号文ｃｂ’に対してテーブルｑ［ｂ］から作られるテストベクタＴ_ｑ（Ｘ）による第１１Bootstrappingを行うことにより、TLWE暗号文ｃａ’’（平文ａ’’が－１又は１）を乗算した、誤差調整値ｑを平文として有するTLWE暗号文ｃｑを得る。
本実施形態の特徴として、第１１Bootstrappingにおいて暗号文ｃｂに０又は１／２を加算した暗号文ｃｂ’を用いてBlindRotateを行う。これにより、BlindRotateと同時にTLWE暗号文ｃａ’’（平文ａ’’が－１又は１）の乗算を行うことができる。
テーブルルックアップを行う第１１Bootstrapping後に暗号文ｃａ’’を乗算する方法では、BlindRotateがさらに必要になる。
その場合、暗号文ｃｑの平文が円周群の左半分に位置することを考慮してTLWE暗号文ｃａ’’（平文ａ’’が－１又は１）を乗ずる必要がある。
上記の手法によれば、その乗算を第１１Bootstrapping後に行うことなく第１１Bootstrappingにまとめ、BlindRotateの回数を減らして演算を高速化することが出来る。

暗号処理装置１は、ｐ［ｂ］から作られるテストベクタＴ_ｐ（Ｘ）による第１０Bootstrappingを行い、除数ｂの逆数に対応するｐを平文として有するTLWE暗号文ｃｐを得る。

暗号処理装置１は、テーブルｒ［ｂ］から作られるテストベクタＴ_ｒ（Ｘ）による第１２Bootstrappingを行い、誤差調整値ｒを平文として有するTLWE暗号文ｃｒを得る。
その結果、（式５）は、ｚ＝ｍ（ａ，ｐ，ｑ＋ｒ＋１）と表せる。

から

を計算して商ｚを得ることが出来る。
暗号処理装置１は、図４に従って、TLWE暗号文ｃａとTLWE暗号文ｃｐの乗算を行う。暗号処理装置１は、暗号文ｃｃ’にTLWE暗号文ｃｐとTLWE暗号文ｃｒと１とを準同型加算し、その結果の上位ビットの暗号文ｃｕ’を得る。これが、除算結果ｚを平文として有するTLWE暗号文ｃｚである。ここで１を加える代わりに、テーブルｒの値を夫々１ずつ増やしてもよい。
暗号処理装置１は、暗号文ｃｚの演算でBlindRotateを３回行う。
暗号処理装置１はBlindRotateを計７回行い、所要時間は概ね３００ｍｓ程度となっている。
除数、被除数が４ｂｉｔの整数である場合に限定されるが、１回の除算の所要時間を第１実施例に比べて削減することが出来た。

Tree PBSと呼ばれる手法でも、ルックアップテーブル（ＬＵＴ）の評価を行うことできた。しかしTree PBSでは、例えば、３ビットの暗号文の除算を行う場合には、３ビット（８ワード）のテーブルが８つ必要であった。その結果、９回のBlindRotateが必要であり、除算１回につき７１９ｍｓほど必要であった。８つのテーブルそれぞれをｂでルックアップして、その結果から、２段階目として１つのテーブルを作成してａでルックアップする。２段階目のテーブルを作成する時間と、全部の９回のテーブルルックアップを行うための時間が必要である。
本実施形態の方法では、テーブルのビット数を減らし、BlindRotateの回数を減らし、下位ビットの逆数乗算を行うことにより、従来よりも大幅に所要時間を削減することが出来た。

なお、被除数と除数の乗算結果から、除算の剰余を取得することも出来る。乗算結果の暗号文ｃｃ’を用いて、暗号文ｃからｃｃ’を準同型減算して、下位ビットのみを取り出す処理を行う。その手順を数式で書くと、
ｍ’（ａ、ｂ、ｃ）＝（ｃ－ａ×ｂ）ｍｏｄ ｔ
の関数を評価したものとみなすことが出来る。
第１乃至第３実施例の乗算結果ｚの暗号文ｃｚと、被除数ａの暗号文ｃａと、除数ｂの暗号文ｃｂを用いて、ｍ’（ｚ、ｂ、ａ）を計算することによって、剰余を得ることが出来る。
暗号処理装置１は、図４に従って、TLWE暗号文ｃｚとTLWE暗号文ｃｂの乗算を行い、乗算結果の暗号文ｃｃ’をTLWE暗号文ｃａから準同型減算し、その結果の下位ビットを剰余の暗号文として得る。

図１４は、本実施形態の除算処理を説明するフローチャートである。
図１４（ａ）は、第１実施例に係る除算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ１１において、除数のTLWE暗号文ｃｂに対して第１Bootstrappingを実行し、除数の逆数のTLWE暗号文ｃｆを得る。
暗号処理装置１は、ステップＳ１２において、除数のTLWE暗号文ｃｂに対して第２Bootstrappingを実行し、誤差調整値の暗号文ｃｇを得る。
暗号処理装置１は、ステップＳ１３において、被除数のTLWE暗号文ｃａとTLWE暗号文ｃｇの乗算処理を実行し、誤差のTLWE暗号文ｃｈを得る。
暗号処理装置１は、ステップＳ１４において、TLWE暗号文ｃａとTLWE暗号文ｃｆの乗算処理（下位ビット切り捨て）を行い、除算結果を得る。

図１４（ｂ）は、第２実施例に係る除算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ２１において、除数のTLWE暗号文ｃｂに対して第７Bootstrappingを実行し、除数の逆数のTLWE暗号文ｃｓを得る。
暗号処理装置１は、ステップＳ２２において、第８Bootstrappingを実行し、誤差調整値のTLWE暗号文ｃｗを得る。
暗号処理装置１は、ステップＳ２３において、TLWE暗号文ｃａとステップＳ２１で得た除数の逆数の暗号文ｃｓとの乗算処理を実行し、除算結果を得る。

図１４（ｃ）は、第３実施例に係る除算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ３１において、被除数のTLWE暗号文ｃａに対して第９Bootstrappingを実行し、TLWE暗号文ｃａ’’を得る。
暗号処理装置１は、ステップＳ３２において、除数のTLWE暗号文ｃｂとTLWE暗号文ｃａ’’との準同型演算を行い、TLWE暗号文ｃｂ’を得る。準同型演算では、TLWE暗号文ｃａ’’をスカラ倍（８倍）した結果にTLWE暗号文ｃｂを準同型加算し、４を減算する。
暗号処理装置１は、ステップＳ３３において、TLWE暗号文ｃｂ’に対して第１０Bootstrappingを実行し、TLWE暗号文ｃｐを得る。
暗号処理装置１は、ステップＳ３４において、TLWE暗号文ｃｂに対して第１１Bootstrappingを実行し、TLWE暗号文ｃｑを得る。
暗号処理装置１は、ステップＳ３５において、TLWE暗号文ｃｂに対して第１２Bootstrappingを実行し、TLWE暗号文ｃｒを得る。
暗号処理装置１は、ステップＳ３６において、TLWE暗号文ｃａとTLWE暗号文ｃｐとの乗算処理を行い、除算結果を得る。

図１５は、乗算処理を説明するフローチャートである。
暗号処理装置１は、ステップＳ１０１において、乗数のTLWE暗号文ｃＢに対してPrivate Key Switchingを行い、TRLWE暗号文ｃｃを得る。
暗号処理装置１は、ステップＳ１０２において、TRLWE暗号文ｃｃに対してTLWE暗号文ｃａを用いてBlindRotateを行い、ステップＳ１０３において、SampleExtractを行い、暗号文ｃｃ’を得る。
暗号処理装置１は、ステップＳ１０４において、ｃｃ’に誤算調整値となる暗号文Ｙを準同型加算して新たな暗号文ｃｃ’を得て、ステップＳ１０５でｃｃ’×ｔを行う。
暗号処理装置１は、ｔ倍後の暗号文ｃｃ’に対して、ステップＳ１０６でBlindRotate、ステップＳ１０７でSampleExtractを行って暗号文ｃｄを得る。
暗号処理装置１は、ステップＳ１０８において、ｃｃ’×ｔ＋ｃｄ（０，１／４）を行い、ステップＳ１０９においてPublic Key Switchingを行って暗号文ｃｕ’を得る。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の下位ビット（３ビット）を得ることが出来た。
さらに、暗号処理装置１は、ステップＳ１１０において、暗号文ｃｌに対して、TLWE暗号文ｃａを用いてBlindRotateを行い、ステップＳ１１１においてSampleExtractを行って暗号文ｃｌ’を得る。
暗号処理装置１は、ステップＳ１１２において、ｃｃ’－ｃｌ’を行い、暗号文ｃｕを得る。
暗号処理装置１は、ステップＳ１１３において、暗号文ｃｕに対してPublic Key Switchingを行って暗号文ｃｕ’を得る。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の上位ビットを得ることが出来た。

図１６は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、特に第１Bootstrappingなど、図１６（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１６（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１６（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１６（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。

LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。

平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。

また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。

計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースでは平均値を求めたい場合などで、除算が必要である。

暗号処理装置１０は、第１演算部１２、第２演算部１３、第３演算部１４、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７、第４Bootstrapping部１８、鍵交換部３８の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。
特に、重み付け平均値を求める場合には、レコードと重み付け係数との乗算値をレコード数で割る際などに除算が必要となる。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。

このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。また、センサ値や評価値のノーマライズのために平均を求める必要があり、この際にはセンサ値や評価値の加算値を値の数で割る除算を行う。

またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ^２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。

図１７は、コンピュータ装置の一実施例を示すブロック図である。
図１７を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。

制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１における制御部１０として機能する。

記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図１における記憶部２０として機能する。

暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１（第１実施例）は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１Bootstrapping処理、第２Bootstrapping処理、乗算処理（第１演算処理、第２演算処理、第３演算処理、第４演算処理、第３Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、鍵交換処理）、出力処理のいずれか１以上を含む処理を実行する。
また暗号処理装置１（第２実施例）は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第７Bootstrapping処理、第８Bootstrapping処理、乗算処理（第１演算処理、第２演算処理、第３演算処理、第４演算処理、第３Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、鍵交換処理）、出力処理のいずれか１以上を含む処理を実行する。
また暗号処理装置１（第３実施例）は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第５演算処理、第９Bootstrapping処理、第１０Bootstrapping処理、第１１Bootstrapping処理、第１２Bootstrapping処理、乗算処理（第１演算処理、第２演算処理、第３演算処理、第４演算処理、第３Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、鍵交換処理）、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。

読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。

通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。

表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。

１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク

Claims (11)

1. 暗号文を処理する暗号処理装置であって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   前記所定の演算は、被除数である第１暗号文と除数である第２暗号文との除算であり、
   前記第２暗号文に対して第１の多項式を用いることにより、前記除数の逆数に対応する第３暗号文を算出し、
   前記第１暗号文と前記第３暗号文とに基づく乗算を行い、乗算結果として、前記第１暗号文と前記第２暗号文との除算結果に対応する第４暗号文を算出する、
   ことを特徴とする暗号処理装置。
2. 請求項１に記載の暗号処理装置において、
   前記第２暗号文に対して第２の多項式を用いることにより、前記乗算による誤差を調整する値に対応する第５暗号文を算出し、
   前記第４暗号文を算出するときに、前記第１暗号文と前記第３暗号文とに基づく乗算結果の暗号文に対して前記第５暗号文を準同型演算した演算結果を出力する、
   ことを特徴とする暗号処理装置。
3. 請求項２に記載の暗号処理装置において、
   第３の多項式を用いて前記被除数の値に応じて二値を有する暗号文を算出し、当該暗号文を前記第２暗号文に乗じた第２暗号文に対して、前記第２の多項式を用いる、
   ことを特徴とする暗号処理装置。
4. 請求項２に記載の暗号処理装置において、
   前記第２暗号文に対して所定の加算を行ったあとで前記第２の多項式を用いることにより、前記第２の多項式を用いると同時に前記第２暗号文に対する前記二値を有する暗号文の乗算を行う
   ことを特徴とする暗号処理装置。
5. 請求項１に記載の暗号処理装置において、
   前記第１の多項式は、予め算出した除数である前記第２暗号文の平文の逆数を用いて作成される、
   ことを特徴とする情報処理装置。
6. 請求項１に記載の暗号処理装置において、
   前記第３暗号文に基づいて、階段状の多項式を平文に持つ第６暗号文を生成し、前記第６暗号文と被除数である第１暗号文とに基づく所定の演算を行うことにより、前記第１暗号文と前記第３暗号文との乗算を行う、
   ことを特徴とする暗号処理装置。
7. 請求項１に記載の暗号処理装置において、
   暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
   ことを特徴とする暗号処理装置。
8. 請求項１に記載の暗号処理装置において、
   前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
   ことを特徴とする暗号処理装置。
9. 請求項１に記載の暗号処理装置において、
   前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
   ことを特徴とする暗号処理装置。
10. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    前記所定の演算は、被除数である第１暗号文と除数である第２暗号文との除算であり、
    前記第２暗号文に対して第１の多項式を用いることにより、前記除数の逆数に対応する第３暗号文を算出し、
    前記第１暗号文と前記第３暗号文とに基づく乗算を行い、乗算結果として、前記第１暗号文と前記第２暗号文との除算結果に対応する第４暗号文を算出する、
    ことを特徴とする暗号処理方法。
11. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    前記所定の演算は、被除数である第１暗号文と除数である第２暗号文との除算であり、
    前記第２暗号文に対して第１の多項式を用いることにより、前記除数の逆数に対応する第３暗号文を算出し、
    前記第１暗号文と前記第３暗号文とに基づく乗算を行い、乗算結果として、前記第１暗号文と前記第２暗号文との除算結果に対応する第４暗号文を算出する、
    ことを特徴とする暗号処理プログラム。

Images