JP2024013184A - 暗号処理装置、暗号処理方法、暗号処理プログラム - Google Patents

Abstract

【課題】Integer-wise型TFHEの四則演算を実現する。
【解決手段】暗号文を処理する暗号処理装置であって、暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、乗数である第１暗号文ｃｂに対して所定の多項式を用いることにより新たな第１暗号文ｃｂ’を算出し、新たな第１暗号文ｃｂ’よりも次数が高い高次暗号文を生成ｃｃし、高次暗号文ｃｃと、被乗数である第２暗号文ｃａと、に対して所定の多項式を用いることにより、第１暗号文と第２暗号文との乗算結果に対応する第３暗号文ｃｃ’を得る。
【選択図】図２

Description

本発明は、暗号処理装置、暗号処理方法、暗号処理プログラムに関する。

準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文による整数倍ができ、乗算を繰り返せば平文によるべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する環準同型暗号および、加法と乗法を含む全ての演算が可能な完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。

LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号で演算を行う際に必要となる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことが問題であった。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
準同型暗号には、平文として二値を有し論理演算をベースとして利用するBit-wise型の準同型暗号と、平文として整数を丸ごと一暗号文とするInteger-wise型の準同型暗号と、があり、非特許文献１に示されるTFHEはBit-wise型である。
なおTFHEの平文は円周群に対応づけられた０～１の実数である。よって、円周群の値域０～１を区切った区間を順番に整数と対応付けることにより、整数を平文として有するInteger-wise型の準同型暗号として応用することが出来る（非特許文献２参照）。

TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene Integerwise Functional Bootstrapping on TFHE, 2020, Hiroki Okada, Shinsaku Kiyomoto, and Carlos Cid

Integer-wiseでの四則演算が可能な準同型暗号としてTFHEを利用することができれば、１ビットずつ計算するよりも効率的に処理を行うことができる。
なおTFHEで用いるTLWE暗号文は、円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。一方、乗算に関しては、円周群はＺ－加群であるため整数と円周群（暗号文）の乗算は定義されているものの、円周群同士の乗法演算が定義されていないため自明とは言えない。
本発明は、一側面として、暗号文同士の乗算を可能とし、Integer-wise型TFHEの四則演算をより完全に実現することを目的とする。

本発明は、一側面として、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と被乗数である第２暗号文とに基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と前記第２暗号文との平文同士の乗算結果に対応する暗号文を算出する、暗号処理装置を特徴とする。
また本発明は、一側面として、暗号文を処理する暗号処理装置であって、前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と、被乗数である第２暗号文と、前記第１暗号文と前記第２暗号文の乗算結果に加算する第５暗号文と、に基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と、前記第２暗号文と、前記第５暗号文と、の平文同士の融合積和演算の結果に対応する暗号文を算出する、暗号処理装置を特徴とする。

本発明によれば、一側面として、Integer-wise型TFHEの四則演算をより完全に実現することが出来る。

本実施形態の第１実施例に係る暗号処理装置の機能構成を説明する図である。 図１の機能構成に基づく演算プロセスを詳しく説明する図である。 TLWE暗号が平文として有する円周群を説明するイメージ図である。 ２値Gate Bootstrappingの動作イメージ図である。 Integer-wise型に応用したTFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 本実施形態のInteger-wise型TFHEを説明する図である。 本実施形態の乗算処理を説明するフローチャートである。 本実施形態の乗算処理を説明するフローチャートである。 本実施形態の第２実施例に係る暗号処理装置の機能構成を説明する図である。 図１２の機能構成に基づく演算プロセスを説明する図である。 本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。 コンピュータ装置の一実施例を示すブロック図である。

以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の演算のことを指すものとする。

［第１実施例］
図１は、本実施形態の第１実施例に係る暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第４演算部１５と、第１Bootstrapping部（算出部）１６と、第２Bootstrapping部（算出部）１７と、第３Bootstrapping部（算出部）１８と、第４Bootstrapping（算出部）１９と、鍵交換部３０と、出力部３５と、を備えている。また制御部１０は、事前処理部として機能する第５Bootstrapping部（算出部）２１と、第６Bootstrapping（算出部）２２と、を備えている。
暗号処理装置１は、暗号文を構成する円周群の全体（全面）を使って、Integer-wise型のTLWE暗号文同士の符号付き乗算を行う。符号付き乗算は、マイナスの符号を有する負の整数を使った乗算である。
また暗号処理装置１は、より簡便な乗算手法として、円周群の半面（右半面）を使って、正の整数の暗号文同士乗算も行うことが出来る。これについては、［第２実施例］として後に説明する。［第２実施例］では、事前処理部としての第５Bootstrapping部２１及び第６Bootstrapping部２２と、第４演算部１５は必要ない。

受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。あるいは、受付部１１は、暗号処理装置１が実行する他のプロセスから暗号文の入力を受け付ける。
第１演算部１２は、後述の第４演算部１５から出力される暗号文に対して第１準同型演算を行う。
第２演算部１３は、第３Bootstrapping部１８による処理の途中で出力される暗号文に対して、第２準同型演算を行う。
第３演算部１４は、第４Bootstrapping部１９による処理の途中で出力される暗号文に対して、第３準同型演算を行う。
第４演算部１５は、第２Bootstrapping部１７から出力される暗号文に対して、第４準同型演算を行う。

第１Bootstrapping部１６は、第５Bootstrapping部２１による事前処理後の暗号文に対して、第１Gate Bootstrappingを行う。
第２Bootstrapping部１７は、鍵交換部３０から出力された鍵交換後の暗号文と第６Bootstrapping部２１による事前処理後の暗号文に対して第２Gate Bootstrappingを行う。
第３Bootstrapping部１８は、第１演算部１２から出力される暗号文に対して第３Gate Bootstrappingを行う。
第４Bootstrapping部１９は、第３Bootstrapping部１８から出力される暗号文に対して第４Gate Bootstrappingを行う。
第５Bootstrapping部２１は、入力暗号文に対して事前処理としての第５Gate Bootstrappingを行う。
第６Bootstrapping部２２は、入力暗号文に対して事前処理としての第６Gate Bootstrappingを行う。
鍵交換部３０は、第１Bootstrapping１５から出力された暗号文の秘密鍵を交換する後述のPrivate Key Switchingを行う。Private Key Switchingは、本質的には、乗数のTLWE暗号文から階段状の多項式を平文として有するTRLWE暗号文を得るために行うのであり、暗号文の秘密鍵を交換すること自体が目的ではない。階段状の多項式を平文（平文多項式）として有するTRLWE暗号文を得られれば、別の方法を用いてもよい。

第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５は下記に説明する準同型演算をソフトウェアで実現する演算処理部である。
第１Bootstrapping部１６、第２Bootstrapping部１７、第３Bootstrapping部１８、第４Bootstrapping部１９は、下記に説明するGate Bootstrapping処理をソフトウェアで実現する演算処理部である。
鍵交換部３０は、Private Key Switchingをソフトウェアで実現する演算処理部である。
第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第１Bootstrapping部１６、第２Bootstrapping部１７、第３Bootstrapping部１８、第４Bootstrapping部１９、鍵交換部３０、出力部３５の少なくとも一つが、ハードウェアで実現されてもよい。

出力部３５は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、暗号文に対する演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。
この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文や、暗号化データベース６０に対するクエリを入力する。

図２は、図１の機能構成に基づく演算プロセスを詳しく説明する図である。
図２に示す構成では、上記論文で提示されたGate Bootstrappingを使用する。上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
上記したように、暗号処理装置１は、Integer-wise型のTLWE暗号文同士の乗算を行う。ここで、TLWE暗号文ｃａは、被乗数となる平文整数ａの暗号文であり、TLWE暗号文ｃｂは、乗数となる平文整数ｂの暗号文である。
図２（ａ）において、暗号処理装置１は、乗算処理に先立つ事前処理として、TLWE暗号文ｃｂを第５Bootstrapping部２１に入力して第５Gate Bootstrappingを行い、新たなTLWE暗号文ｃｂ１を得る。
また暗号処理装置１は、事前処理として、暗号処理装置１は、TLWE暗号文ｃａを第６Bootstrapping部２２に入力して第６Gate Bootstrappingを行い、新たなTLWE暗号文ｃａ１を得る。
暗号処理装置１は、第５Bootstrapping後の新たなTLWE暗号文ｃｂ１を第１Bootstrapping部１６に入力して第１Bootstrappingを行い、TLWE暗号文ｃｂ’を得る。第１Bootstrappingは、TLWE暗号文ｃｂ１における円周群を２ｔ分割から乗算結果の暗号文としての２ｔ^２分割に変換するための処理である。
さらに暗号処理装置１は、TLWE暗号文ｃｂ’を、鍵交換部３０に入力し、キースイッチングキーＫＳ１を用いて、TLWE暗号文ｃｂ’に対してPrivate Key Switchingを行い、平文として階段状の多項式（平文多項式）を有するTRLWE暗号文ｃｃを得る。
さらに暗号処理装置１は、TRLWE暗号文ｃｃを第２Bootstrapping部１７に入力し、TRLWE暗号文ｃｃとTLWE暗号文ｃａ１を入力として第２Bootstrapping（BlindRotate、SampleExtract）を行い、TLWE暗号文ｃｃ１を得る。
ここでPrivate Key Switchingを鍵交換部３０が実行するように説明しているが、Private Key Switchingを第２Bootstrappingの一部と考えることも出来る。その場合、第２Bootstrapping部１７がPrivate Key Switchingを実行し、暗号処理装置１は鍵交換部３０を有さずともよい。

暗号処理装置１は、TLWE暗号文ｃｃ１を第４演算部１５に入力し、ｃｃ１－ｃｂ’からTLWE暗号文ｃｃ’を得る第４準同型演算を行う。
得られたTLWE暗号文ｃｃ’は、平文整数ａと平文整数ｂの乗算結果ａｂに対応する暗号文である。しかしTLWE暗号文ｃｃ’の平文は、後述するように分母が２ｔ^２であるため、平文の分母が２ｔである暗号文との次以降の乗算に用いることが出来ない。従って、暗号処理装置１は、平文の分母を２ｔとするための処理を引き続き行う。

暗号処理装置１は、TLWE暗号文ｃｃ’を第１演算部１２に入力してTLWE暗号文ｃｃ’をｔ倍する演算を行う。暗号処理装置１は、ｔ倍したTLWE暗号文ｃｃ’を第３Bootstrapping部１８に入力して第３Bootstrappingを行い、TLWE暗号文ｃｌを得る。詳しくは、第３Bootstrapping部１８は、ｔ倍したTLWE暗号文ｃｃ’に対してBlindRotate、SampleExtractを行い、TLWE暗号文ｃｄを得る。暗号処理装置１は、TLWE暗号文ｃｄを第２演算部１３に入力して、ｔ倍したTLWE暗号文ｃｃ’にTLWE暗号文ｃｄを加算する演算ｃｃ’×ｔ＋ｃｄ－（０，１／４）を行う。その結果に対して、暗号処理装置１（第３Bootstrapping部１８）は、Public Key Switchingを行い、乗算結果の下位ビットに対応するTLWE暗号文ｃｌを得る。

必要に応じて乗算結果の上位ビットを得るために、図２（ｂ）において、暗号処理装置１は、乗算結果の下位ビットに対応する暗号文ｃｌを第４Bootstrapping部１９に入力して第４Bootstrappingを行い、TLWE暗号文ｃｌ’を得る。詳しくは、第４Bootstrapping部１９は、TLWE暗号文ｃｌに対して、BlindRotate、SampleExtractを行い、TLWE暗号文ｃｌ’を得る。暗号処理装置１は、TLWE暗号文ｃｌ’とTLWE暗号文ｃｃ’を第３演算部１４に入力し、ｃｃ’からｃｌ’を減算してTLWE暗号文ｃｕを算出する演算ｃｃ’－ｃｌ’を行う。暗号処理装置１（第４Bootstrapping部１９）は、第３演算部１４の演算結果であるTLWE暗号文ｃｕに対してPublic Key Switchingを行い、乗算結果の上位ビットに対応するTLWE暗号文ｃｕ’を得る。
なお、乗算結果の下位ビット、上位ビットとは、乗算結果を二進数で表したときの下位の所定数ビットと残りのビットである。これはｔを２のべき数にした場合の表現であり、異なる値の場合でも表現が変わるのみで本質的に意味するものは変わらない。

後述するが、事前処理における第５Bootstrapping、第６Bootstrappingに用いる多項式では、円周群{Ｔ}上で正負の値が連続して並ぶ新たなTLWE暗号文ｃａ、ｃｂが得られるように、多項式の各項に１／２（円周群を分割したスライスの１／２）のオフセットを付加する調整を施している。キースイッチングキーＫＳ１の階段状の平文多項式の各項にも、スライスの１／２（０．５）分のオフセットを付加する調整を施している。
これにより、乗算結果に対応する暗号文では、円周群{Ｔ}上で正負の値が連続して並び、オフセットを付加しない場合よりも多くの情報を格納することが出来る。
下記に説明するが、乗算結果の暗号文は円周群を２ｔ^２分割するものである。非整数である１／２（０．５）のオフセットを表現できるように、第１Bootstrappingでは、計算途中に用いられるTLWE暗号文ｃｂ’をTLWE暗号文ｃｂの２ｔ分割から、２ｔ^２の倍の４ｔ^２分割とする処理を行う。

TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。

TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。

図３は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図３に示す円周群{Ｔ}の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。

［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個並べたベクトル[ａ]を用意する。また、０，１の２値からランダムにＮ個並べた秘密鍵ベクトル[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φ_ｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。

このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φ_ｓに入力すると、
φ_ｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φ_ｓ（[ａ]，ｂ）＋φ_ｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。

なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φ_ｓにかけると、φ_ｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。

TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環が持つ、有限巡回群としての性質を用いる。
多項式環の剰余環の中に有限巡回群があることを説明する。
ｎ次の多項式は、一般にａ_ｎｘ^ｎ＋ａ_ｎ－１ｘ^ｎ－１＋…＋ａ_０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。

TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘ^ｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、２番目の項（剰余部分）だけを取り出して集めると、これもまた「環」の性質を持つため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘ^ｎ＋１）と表す。

多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、
多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。なぜならば、次数がｎ－２以下の項はＸを乗じた後もＸ^ｎ＋１で割ることができないが、最高次数の項だけはμＸ^ｎ＝μ（Ｘ^ｎ＋１）－μと割ることができるためである。Ｘ^ｎ＋１で割った余りで考えているため、右辺で剰余となっている－μのみが残ることとなる。
さらにＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ^２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。

さらにＸを掛け続けると、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ＋μ
－μＸ^ｎ－１－μＸ^ｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
Ｘの指数部が正負の何れであっても、多項式環の剰余環の要素Ｆ（Ｘ）にＸをｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
また、Ｘ^－１を乗算することはＸを乗算することの逆演算であるため、Ｘ^－１をかけ続けるとＸをかけた場合と反対の変化が起き、Ｘ^－１をｎ回かけると全ての項が反転し、２ｎ回かけると元に戻る。
以上より、多項式環の剰余環の要素Ｆ（Ｘ）に、ＸもしくはＸ^－１をｎ回繰り返して掛けると全ての項の符号が反転し、２ｎ回繰り返して掛けると全ての項の符号が元に戻る。
この巡回群においては、どちらの方向に回すこともできる、という点に着目して、便宜上、－ｎ回繰り返してかける、－２ｎ回繰り返してかけるという表現を用いることもある。なお、これはあくまで理論を説明する際の便宜的な表現であり、本発明を実施する際には、例えばＸ^ａを－ｂ回かける場合にＸ^－ａをｂ回かけても、Ｘ^２ｎ－ａをｂ回かけても良く、結果的に同じことができれば他の変形を行っても良い。

[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘ^ｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。

０，１の２値からランダムにｎ個を選択して、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓ_ｎ－１Ｘ^ｎ－１＋ｓ_ｎ－２Ｘ^ｎ－２＋・・・ｓ_１Ｘ＋ｓ_０
ｎ個の乱数ｅ_ｉを、平均値が平文μ_ｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝e_ｎ－１Ｘ^ｎ－１＋ｅ_ｎ－２Ｘ^ｎ－２＋・・・ｅ_１Ｘ＋ｅ_０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘ^ｎ＋１）＋ｂ（Ｘ）の形に分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φ_ｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘ^ｎ＋１）として、φ_ｓがＴ［Ｘ］／（Ｘ^ｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。換言すると、（ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ））ｍｏｄ（Ｘ^ｎ＋１）が復号関数として機能する。ｍｏｄは除算の余りを意味する。

[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図３の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２^２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ^－１＝０．２５のべき乗の和の形に分解する。

円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ^２＋２）＋０．２５^２×２Ｘ＋０．２５^３×０，０．２５×（Ｘ^２＋２Ｘ＋１）＋０．２５^２×２＋０．２５^３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ^２＋２，２Ｘ，０，Ｘ^２＋２Ｘ＋１，２，０]
というベクトルになる。

ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、

という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄが得られる。下位ビットは四捨五入をしてまるめられている。

TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが、平均値は０となり分散はαとなる乱数により生成された多項式により算出した、TRLWE暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。

この暗号文ｋとして表せる暗号文をTRGSW暗号文と呼ぶこととする。
TRGSW暗号文は、下記に用いるBootstrapping Keyを構成する。

Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化する方法として利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文を作成する。
秘密鍵[ｓ’]で復号するとφ_ｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、

とする。
このTRGSW暗号文を、秘密鍵[s]のそれぞれの要素ごとに異なるＺｊを用いて構成したセットを、Bootstrapping Key（ＢＫ）と呼ぶ。つまり、ＢＫはＮ個のTRGSW暗号文のセットである。

TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（ε_ａ（Ｘ），ε_ｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ

となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））を代入すると、

となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。

TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ_１は、Ｚ_ｊを何倍かして足したものなので、平文多項式φ_ｓ’（ｃ_１）のそれぞれの係数の期待値は全て０となる。
また復号したφ_ｓ’（ｃ_３）は、平文多項式のそれぞれの係数の絶対値の大きさをシステムパラメータで調整することができるので、この後の演算も含めて十分小さくなるように設定する。

そうするとφ_ｓ’（BKｉ×ｄ）＝φ_ｓ’（ｓ_ｉ×ｄ）となるが、ｓ_ｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓ_ｉが０と１の何れであるかを判別することができない。
２つの平文多項式μ_０、μ_１に対応するTRLWE暗号文ｄ_０、ｄ_１があるとして、ｄ＝ｄ_１－ｄ_０と代入して、最後にｄ_０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫ_ｉ，ｄ_０，ｄ_１）＝ＢＫｉ×（ｄ_１－ｄ_０）＋ｄ_０＝Ｄｅｃ（ｄ_１－ｄ_０）・ＢＫ_ｉ＋ｄ_０
ＣＭｕｘ関数は、ｓ_ｉが０であると平文多項式μ_０のTRLWE暗号文を復号することなく出力し、ｓ_ｉが１であると平文多項式μ_１のTRLWE暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文多項式がμ_０もしくは平文μ_１となるTRLWE暗号文を計算することができるが、その結果を見てもどちらを選択したかは復号することなしには分からない。

TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)Public Key Switchingから構成される。

図４は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図３の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。

(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ^{－φｓ（ｃ’）}を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸ^ｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘ^ｎ／２
を用意する。

平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φ_ｓ（ｃ’）≒２ｎ×φ_ｓ（ｃ）＝２ｎμ１となる。四捨五入の誤差が発生しうるため、完全に一致するとは限らないが、ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ_０＝Ｘ^－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ^－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。実際にはTRLWE暗号文の多項式の各項の係数を所定の個数だけ巡回させれば済む。
以降、上記に説明したBootstrapping KeyであるＢＫ_ｉを用いて、順番にＡ_ｉ＝ＣＭｕｘ（ＢＫ_ｉ，Ａ_ｉ－１，Ｘ^ａ’ｉＡ_ｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。同様にＸの累乗を計算する訳ではなくTRLWE暗号文Ａ_ｉ－１の要素である多項式の各項の係数を所定の個数だけ巡回させれば済む。

そうすると、ｓ_ｉが０の時は、平文はそのまま変わらず、ｓ_ｉが１の時は、Ｘ^ａ’ｉが順番に乗算されていく。
従って、

と繰り返すと、

となる。
ここで、

は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、

となる。ここでφ_ｓ’（Ａ_ｎ）は、多項式Ｔ（Ｘ）にＸ^－１をμ１’回乗算した多項式であり、Ａ_ｎはその暗号文である。
この時点で、最初に設定したTLWE暗号文ｃの誤差付き平文ｅの誤差成分は多項式Ｔ（Ｘ）を回転する量として表れており、各項の係数の値の大小としては表れていないことを明記しておく。TFHEでは本質的にこの仕組みにより誤差を縮小している。
また、BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸ^－１をかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が平文多項式の定数項の係数として得られるので、これは、一種のルックアップテーブル（Look Up Table）とみなすことが出来る。

(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）を見ると、下位の項から数えてｎ／２－φ_ｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）の定数項だけを見ると、φ_ｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφ_ｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎから、これを復号することなく平文多項式φ_ｓ’（Ａ_ｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
前述の通り、最初の入力であるTLWE暗号文ｃに付加されている誤差や、四捨五入により加わった誤差は、この定数項の平文μと－μが切り替わる境界の位置にのみ影響を及ぼし、定数項の係数の大小への影響は無視できる程度に小さい。つまり、入力の誤差を排除しているものと解釈できる。また、ここで定数項の平文の値が変化する境界が移動しても問題ない幅が、正しくBootstrappingの処理を行うことができる誤差の限界であり、後述のトレードオフが発生する仕組みとなる。

TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、

と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を

とおいて、

と展開することができる。

これに対して下記の演算を行い、

を得る。
「多項式環の剰余環」であるので（Ｘ^ｎ＋１）で割った余りを求めると、

が得られる。

さらに、

とおくと、

となり、

から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、

が得られる。

とおくと、

のように、TLWE暗号の復号関数に変形することができる。

つまり、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を

として取り出すと、元のTRLWE暗号文Ａ_ｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ_１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。

(3)Public Key Switching
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている。
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためPublic Key Switchingの手法を説明する。
TFHEで用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、

と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、

となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、

の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
Public Key Switching本体の処理として、以下のTLWE暗号文ｃｘを計算する。

（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、

である。
ｓ’_ｉは、ｊに対して定数なのでくくりだして

とし、上記で固定小数に分解したときの式を代入する。

その結果、

となって鍵の切り替えが成功したことになる。

ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
Public Key Switchingの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φ_ｓ（ｃ）が±１／４の範囲なら平文φ_ｓ（ｃｘ）は０に、φ_ｓ（ｃ）が１／２±１／４の範囲なら、平文φ_ｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになる。ここで、NAND演算は論理演算の分野においてそれ単体で完備性を備える演算である。すなわち、NAND演算さえ実現できれば、その組み合わせにより全ての論理演算が可能である。そのため、任意の数値を２進数で表現することにより、加算、乗算をはじめとしてあらゆる演算が可能となる。

Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の四捨五入で加わる誤差、ＣＭｕｘで加わる誤差、Public Key Switchingで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。

上記したように、TFHEは０もしくは非０を平文として持ち、論理演算を行うBit-wise型の準同型暗号である。ただし図３で説明したように平文は円周群{Ｔ}に対応づけられた０～１の実数である。従って、円周群{Ｔ}を区切った区間を順番に整数と対応付けることにより、整数を平文として持つInteger-wise型の準同型暗号として応用することが出来る。
TFHEで用いるTLWE暗号文は円周群の平文に対して加法準同型であることが上記論文によって示されており、加算（減算）の演算ができることは自明である。
以下に説明する方法で、さらに乗算が可能となる。乗算が可能となることで、すでに公知である加算と一部の乗算と併せてTFHEをInteger-wise型での四則演算がより完全なかたちで可能な準同型暗号として利用することができる。Bit-wise型のTFHEによって１ビットずつ計算するよりも効率的に処理を行うことができる。

図５は、Integer-wise型に応用したTFHEを説明する図である。
図５に示すように、円周群{Ｔ}に対応づけた０～１の値域をｔ個に分割する。TLWE暗号文において、平文が取り得る値は、値域０～１を分割したｔ個の値－（ｔ／２）から（ｔ／２）－１であり、（ｔ／２）－１が１つのTLWE暗号文に記録できる整数の最大値である。
図５に例示するように、ｔ＝１０として０～１の値域を１０個に分割する場合には、暗号文は－５、－４、－３、－２、－１、０、１、２、３、４の整数を表現することが出来る。これらの整数値は、円周群{Ｔ}の０～１の値域をｔ＝１０個に区切った、－５／ｔ、－４／ｔ、－３／ｔ、－２／ｔ、－１／ｔ、０／ｔ、１／ｔ、２／ｔ、３／ｔ、４／ｔを中心とする区間に割り当てられる。このようにすることで、図５に示すように、１／２を中心とする、整数で表現した際の最小値となる領域から反時計回りに連続して整数を割り当てることが出来る。

図５に示すように、円周群{Ｔ}上の０（１）は、－１／（２ｔ）～１／（２ｔ）の領域の範囲内にある。円周群{Ｔ}上における暗号文の平文は、必要に応じて例えば１／（２ｔ）に基づいたオフセットを、図５の状態に加算あるいは減算して領域内の位置（円周群{Ｔ}上の位置）を調整することが出来る。
本質的に変わることはないが、下記に説明する実施形態では、図５の説明とは円周群の分割数ｔの意味が異なっている。

図６乃至図９は、本実施形態におけるInteger-wise型TFHEを説明する図である。
図６に示すように、本実施形態の乗数、被乗数夫々の暗号文は、円周群{Ｔ}の値域全体（０～１）を２ｔ個に分割している。
なお、図６乃至図９では、円周群｛Ｔ｝の値域０～１を－０．５～０．５とする場合がある。
ｔの値を大きくして円周群{Ｔ}を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできるが、細かく分割しすぎると平文に付加する誤差範囲が小さくなりすぎ、暗号の強度が低下するという問題がある。この点については後に説明する。
円周群{Ｔ}を分割した１／（２ｔ）の区間毎に、整数値が割り当てられTLWE暗号文が取り得る平文整数の値は－ｔからｔ－１である。ｔ－１が１つのTLWE暗号文に記録できる整数の最大値であり、－ｔが１つのTLWE暗号文に記録できる整数の最小値である。
図５の場合と同様に平文に対してオフセットを付加していない（平文に対するオフセットが０）状態を図６（ｂ）に示している。図６（ａ）は、図６（ｂ）に示す暗号文の平文に対して、例えば＋１／（４ｔ）のオフセットを付加した状態を示している。オフセットを付加することによって、円周群{Ｔ}のスライス割りを変更することが出来る。
なお、下記の説明では、円周群の右半面、左半面とは、オフセットを１／（４ｔ）だけ付加した図６（ａ）の状態に準拠するものとする。

図６（ｂ）に示すオフセット未付加の状態では、円周群{Ｔ}上の０（１）が－１／（４ｔ）～１／（４ｔ）のスライス内にある。
図６（ａ）に示すようにオフセットを付加することによって、円周群{Ｔ}上の０から始まるスライス（０／２ｔ）に整数０を対応付けることが出来る。他のスライスはＸ／２ｔ（Ｘは平文整数）から始まる。これにより円周群上の０は、bootstrappingを用いた処理を行う際に使用するテストベクタ多項式の次数０の項を参照するよう対応しているため、このようにオフセットを付ける方が、係数の並び順が自然で見やすくなる利点があるが、これは原理的に必須である要件ではないため、テストベクタや前処理、後処理などで適切な調整を行うことにより、異なるオフセットを採用することもできる。
図６（ａ）において、オフセットを付加された平文は、各スライス（例えば、３／（２ｔ）から始まるスライス）の中央に、±１／（４ｔ）の誤差範囲内で位置する。このとき、正規分布の平均が例えば３／（２ｔ）＋１／（４ｔ）となり、ほとんどの場合に±１／（４ｔ）の誤差範囲内に分布することで、３／（２ｔ）から始まるスライスの中央に平文が分布する。
オフセットを付加した平文は、図６（ａ）において、３／（２ｔ）のスライスにのみ図示しているが、あくまで例示であり、全てのスライスに始点となる値にオフセットを付した平文が存在する。図７についても同様である。

図６の暗号文は、円周群{Ｔ}の右半面をｔ個に分割し、左半面をｔ個に分割している。円周群{Ｔ}の右半面は０及び正の平文整数（０～ｔ－１）に対応し、左半面は負の平文整数（－１～－ｔ）に対応している。１ブロック（スライス）の幅は１／（２ｔ）である。
整数値は、円周群{Ｔ}の０～１（－１／２～１／２）の値域を２ｔ個に区切った、夫々－ｔ／（２ｔ）～（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。
非負の整数は、右半面の０／（２ｔ）、１／（２ｔ）、…、（ｔ－３）／（２ｔ）、（ｔ－２）／（２ｔ）、（ｔ－１）／（２ｔ）から始まるスライスに割り当てられる。負の整数は、左半面の－ｔ／（２ｔ）、－（ｔ－１）／（２ｔ）、－（ｔ－２）／（２ｔ）…、－１／（２ｔ）から始まるスライスに割り当てられる。
これらのスライスは、夫々始点となる値に＋１／（４ｔ）のオフセットを付加した値を中心とするスライスである。１／（４ｔ）のオフセットは、１／（２ｔ）のスライス幅の半分に相当する。１／（４ｔ）のオフセットを整数表現に含めて表すと、便宜上＋０．５のオフセットと表現することが出来る。

図６（ａ）に示すように、２ｔ＝１６（ｔ＝８）として円周群の値域を１６個に分割する場合には、円周群{Ｔ}の右半面で０から７（＝ｔ－１）の整数を表現し、左半面で－８（＝－ｔ）から－１の整数を表現することが出来る。すなわち、暗号文全体は－８、－７、－６、－５、－４、－３、－２、－１、０、１、２、３、４、５、６、７の整数を表現することが出来る。
これらの整数値は、円周群{Ｔ}の値域を２ｔ＝１６個に区切った、－８／（２ｔ）、－７／（２ｔ）、－６／（２ｔ）、－５／（２ｔ）、－４／（２ｔ）、－３／（２ｔ）、－２／（２ｔ）、－１／（２ｔ）、０／（２ｔ）、１／（２ｔ）、２／（２ｔ）、３／（２ｔ）、４／（２ｔ）、５／（２ｔ）、６／（２ｔ）、７／（２ｔ）から始まる区間に割り当てられる。１／２から始まる領域から反時計回りに連続して整数を割り当てている。
なお、上記の０．５のオフセットを考慮すると、右半面の例えば１／（２ｔ）から始まるスライスは、１．５／（２ｔ）を中心とするスライスであるし、左半面の例えば－８／（２ｔ）から始まるスライスは、－７．５／（２ｔ）を中心としたスライスである。オフセットを含んで表現される整数は、上から反時計回りに－７．５、－６．５、－５．５、－４．５、－３．５、－２．５、－１．５、－０．５、０．５、１．５、２．５、３．５、４．５、５．５、６．５、７．５である。

暗号処理装置１は、Integer-wise型のTLWE暗号文同士の乗算を以下の方法により実現する。
暗号処理装置１は、階段状の多項式を用いたBlindRotateを実行すると同時にInteger-wise暗号文同士の乗算を行う。
本実施形態では、乗数の暗号文から階段状の多項式を得るために、一例として上記論文（非特許文献１）に記載のPrivate Key Switchingを使用する。まず、Private Key Switchingについて説明する。
Private Key Switchingに用いるキースイッチングキーを、Public Key Switchingに用いるキースイッチングキーＫＳと区別してキースイッチングキーＫＳ１と記載する。
キースイッチングキーＫＳ１を用いた Private Key Switching の実行結果は、f(c)=TRLWE_Enc(f’(TLWE_Dec(c))として定義し得る。
すなわち、暗号処理装置１がTLWE暗号文ｃを復号して得た平文に関数ｆ’を適用し、TRLWE暗号化する処理を行うことにより得られる暗号文を、復号することなく算出することができる関数ｆが、キースイッチングキーＫＳ１を用いて行う Private Key Switchingである。キースイッチングキーＫＳ１を用いることでTLWE暗号文からTRLWE暗号文を得ることが出来る。
キースイッチングキーＫＳ１を作成する者は、秘密鍵［ｓ］及び［ｓ’］を知っているため、以下のキースイッチングキーＫＳ１を生成することが出来る。

Private Key Switchingを行う者、例えば暗号処理装置１は、秘密鍵［ｓ］および［ｓ’］を知らなくても、キースイッチングキーＫＳ１を用いて、TLWE暗号文c（[ａ]，ｂ）から以下の計算を行うことが出来る。
また、キースイッチングキーＫＳ１は、本質的にTRLWE暗号文の集合であるため、キースイッチングキーＫＳ１から秘密鍵［ｓ］および［ｓ’］を得ることはできない。

暗号処理装置１は、上記のPublic Key Switchingの場合と類似して、TLWE暗号文の要素を、

と夫々分解する。
ａ_ｉ，ｊおよびｂ_ｊは、ａ_ｉもしくはｂを２進数で表現した時の各桁の値であり０又は１の値を取り得る。
その後、暗号処理装置１は、

を演算する。
これが、秘密鍵無しで何を計算したことになるか確認するため、式を変形すると、

となる。
以上の演算結果から、最初のTLWE暗号文cを復号することなく、TLWE暗号文の平文をf’に代入した結果を平文とするTRLWE暗号文ｃ’が得られている。関数ｆ’は、暗号化処理・復号処理と、関数ｆ’の評価処理の順序を入れ替えても問題ない関数である必要がある。TLWE暗号文を復号することなく、任意の関数の評価結果の暗号文を得るという点においては、BootstrappingやPublic Key Switchingでも同様のことが可能である。
本実施形態では、ｆ’（ｘ）として、以下の階段状の多項式を得る関数を設定し、キースイッチングキーＫＳ１を事前に計算する。

暗号文の乗算方法の説明に戻る。
暗号処理装置１は、TFHEのシステムパラメータを設定する。このとき、暗号処理装置１は、Gate Bootstrapping後に得られる暗号文において、平文に付加される誤差の範囲が±１／（８ｔ^２）未満となるようにシステムパラメータを設定する。
被乗数（掛けられる数）のTLWE暗号文ｃａと、乗数（掛ける数）のTLWE暗号文ｃｂがあるとする。
乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、図６（ａ）に示す構成のTLWE暗号文であり、右半面をｔ個に分割し、円周群{Ｔ}全体を２ｔ個に分割している。
本実施形態では、TLWE暗号文ｃａとTLWE暗号文ｃｂの夫々において、円周群{Ｔ}の右半面を非負の整数である平文に対応させ、左半面を負の整数である平文に対応させる。
TLWE暗号文ｃａは、秘密鍵がなければ知り得ない整数ａに対応する実数ａ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃｂは、秘密鍵がなければ知り得ない整数ｂに対応する実数ｂ／（２ｔ）＋１／（４ｔ）を平文として有する。
TLWE暗号文ｃａ、ｃｂの平文がａ／（２ｔ）、ｂ／（２ｔ）であるのは、円周群全体を２ｔ個に分割していることに基づく。上記に説明したように、平文に付加している＋１／（４ｔ）のオフセットは、円周群の０から始まるスライスを整数０と対応付けながら平文をスライスの中央に位置させる。
乗算は可換であるため、乗数と被乗数、すなわち平文整数ａとｂ、TLWE暗号文ｃａとTLWEｃｂは相互に入れ替えることが出来る。

図６（ａ）について説明したように、TLWE暗号文ｃａ、TLWE暗号文ｃｂにおいても、ａ／（２ｔ）＋１／（４ｔ）と平文にオフセットを付加している。
平文にオフセットを追加した暗号文同士を乗算した結果、オフセット同士が掛け合わされた値に相当するオフセットが乗算結果の平文に追加される。このオフセットの成分は後の演算で消えるため演算結果（乗算結果）に影響はない。
オフセットの値１／（４ｔ）は例でありこれに限定されるものではないが、オフセットの値に応じて、多項式やパラメータを調整する必要がある。

図６（ａ）において、負の数を扱う円周群{Ｔ}の左半面では、上から反時計回りに、－ｔ／（２ｔ）から始まるスライス～－１／（２ｔ）から始まるスライスを用いて整数－ｔ～－１を表現する。
０と正の数（非負の数）を扱う円周群{Ｔ}の右半面では、下から反時計回りに、０／（２ｔ）から始まるスライス～ｔ－１／（２ｔ）から始まるスライスを用いて、整数０～ｔ－１を表現する。

［事前処理］
暗号処理装置１は、暗号文の乗算に先立って、被乗数のTLWE暗号文ｃａ、乗数のTLWE暗号文ｃｂの夫々について、負の数を扱う円周群{Ｔ}の左半面の値を上下反転させる下記の事前処理を行う。
図７は、事前処理後のTLWE暗号文ｃａ１、TLWE暗号文ｃｂ１に対応する円周群を示している。
事前処理において、暗号処理装置１は、TLWE暗号文ｃａ、TLWE暗号文ｃｂの夫々に対して、階段状となる、１変数多項式の関数（一変数関数）ｆ_ｉｄ

を用いて第５Gate Bootstrapping、第６Gate Bootstrappingを行う。
Gate Bootstrappingは、BlindRotate、SampleExtract、Public Key Switchingを含む。
暗号化された整数値に対する一変数関数を演算するには、上記論文（非特許文献１）のGate Bootstrappingを拡張した手法を用いることが出来る。この手法は、論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」に記載されている。開示されている手法では、テストベクタの係数を一定の定数μにするのではなく、関数の結果を設定することで、TLWE暗号文の値によって異なる結果を得る。

一変数関数ｆ_ｉｄは、非負の整数０～ｔ－１の暗号文の入力に対しては、同じ非負の整数０～ｔ－１の暗号文を出力するとともに、平文に対して０．５のオフセットを付加する。一変数関数ｆ_ｉｄは、負の整数－ｔ～－１の暗号文の入力に対しては、整数－１～－ｔの暗号文を出力するとともに、平文整数に対して０．５のオフセットを付加する。
図６に示したように、TLWE暗号文ｃａ、TLWE暗号文ｃｂにおいて、１つの整数が対応するスライスの幅は１／（２ｔ）であり、平文整数に０．５のオフセットを付加することは、平文の実数ａ／（２ｔ）等に１／（４ｔ）のオフセットを追加することである。平文に対する＋１／（４ｔ）のオフセット部分に整数表現に含めて表したものを＋０．５と表現している。

図６（ａ）において円周群{Ｔ}の右半面に平文があった場合、一変数関数ｆ_ｉｄを用いた上記事前処理の結果、新たなTLWE暗号文ｃａ１、TLWE暗号文ｃｂ１の平文整数は、図７に示すように円周群{Ｔ}の同じスライス（領域）内に留まる。一方、円周群{Ｔ}の左半面に平文がある場合は、上記事前処理の結果、新たなTLWE暗号文ｃａ１、TLWE暗号文ｃｂ１の平文整数は、図７に示すように円周群{Ｔ}における「上下」が反転する。
すなわち、図７における右半面は、下から反時計周りに０／（２ｔ）から７／（２ｔ）のスライスに０からｔ－１の整数が割り当てられ、図６（ａ）の場合と平文整数の並びが変わっていない。
一方、左半面は、上から半時計回りに、－ｔ／（２ｔ）から－１／（２ｔ）のスライスに－１～－ｔの整数が割り当てられ、図６（ａ）の場合から並びが逆転している。
事前処理後の図７において、整数としては、円周群{Ｔ}の上から、－１、－２、－３、－４、－５、－６、－７、－８、０、１、２、３、４、５、６、７である。円周群{Ｔ}で正負の値が連続して並んでいる。

図６（ａ）において、例えばTLWE暗号文ｃａが－１の暗号文であった場合、平文は円周群{Ｔ}上の－１／（２ｔ）～０の区間にあった。
上記事前処理の結果、TLWE暗号文ｃａ１では、一変数関数ｆ_ｉｄの最上位のブロックの項が符号反転して最下位に現れる。従って、図７において、TLWE暗号文ｃａ１の平文は、円周群{Ｔ}上の値として－１／２＋１／（４ｔ）である。この平文は図６（ａ）では整数－ｔ（＝－８）に対応していたが、事前処理後、図７では平文整数として－１が割り当てられる。
図６（ａ）において、例えばTLWE暗号文ｃａが－ｔの暗号文である場合、平文は円周群{Ｔ}上の－ｔ／（２ｔ）＋１／（４ｔ）前後に分布している（－１／２より少し大きい値である）ことから、平文は円周群{Ｔ}上の最も－１／２に近い区間にある。
上記事前処理の結果、TLWE暗号文ｃａ１では、一変数関数ｆ_ｉｄの最下位のブロックの項が符号反転して現れる。従って、図７において、TLWE暗号文ｃａ１の平文は、円周群{Ｔ}上の値として、－１／（２ｔ）＋１／（４ｔ）である。この平文は図６（ａ）では整数－１に対応していたが、事前処理後、図７では平文整数として－ｔ（＝－８）が割り当てられる。

一般化すると、平文が非負の数であるTLWE暗号文ｃａの平文は、事前処理後のTLWE暗号文ｃａ１ではａ／（２ｔ）＋１／（４ｔ）となり、平文整数としてはａのままである。
それに対して、平文が負の数であるTLWE暗号文ｃａの平文は、事前処理後のTLWE暗号文ｃａ１では－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）である。
平文の分子だけを見た場合、平文整数ａが－１の場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－１）｝＝－ｔとなり、平文整数ａが－ｔの場合、－（ｔ＋１＋ａ）＝－｛ｔ＋１＋（－ｔ）｝＝－１となることからも分かる。TLWE暗号文ｃｂについても同様である。
このように、平文が非負の数である場合、事前処理によって、整数が割り当てられる平文が変化する。しかし、事前処理後の平文には事前処理前の整数が割り当てられる。従って、事前処理の結果、円周群における平文の並び自体は図６（ａ）と図７の間で変わらないが、負の数が割り当てられる左半面では、平文に割り当てられる平文整数の並びが逆転するのである。

ｔ＝８（２ｔ＝１６）である図７では、暗号文の平文に上記０．５のオフセットが加わっているため、スライスの中央に位置する平文は、上から左回り（反時計回り）に、－７．５／（２ｔ）、－６．５／（２ｔ）、－５．５／（２ｔ）、－４．５／（２ｔ）、－３．５／（２ｔ）、－２．５／（２ｔ）、－１．５／（２ｔ）、－０．５／（２ｔ）、０．５／（２ｔ）、１．５／（２ｔ）、２．５／（２ｔ）、３．５／（２ｔ）、４．５／（２ｔ）、５．５／（２ｔ）、６．５／（２ｔ）、７．５／（２ｔ）である。
これらのスライスに、円周群{Ｔ}の上から、反時計回りに－１、－２、－３、－４、－５、－６、－７、－８、０、１、２、３、４、５、６、７が割り当てられている。０．５のオフセットを含んで表現する整数は、円周群{Ｔ}の上から、－０．５、－１．５、－２．５、－３．５、－４．５、－５．５、－６．５、－７，５、０．５、１．５、２．５、３．５、４．５、５．５、６．５、７．５となる。
分割数が２ｔのままでは平文の分子が整数とならないため、特に乗数となるTLWE暗号文ｃｂに関しては、分割数を２倍の４ｔとする。その場合の平文は、－１５／（４ｔ）、－１３／（４ｔ）、－１１／（４ｔ）、－９／（４ｔ）、－７／（４ｔ）、－５／（４ｔ）、－３／（４ｔ）、－１／（４ｔ）、１／（４ｔ）、３／（４ｔ）、５／（４ｔ）、７／（４ｔ）、９／（４ｔ）、１１／（４ｔ）、１３／（４ｔ）、１５／（４ｔ）である。

暗号処理装置１は、これ以降Gate Bootstrapping後（事前処理後）の新たなTLWE暗号文ｃａ１、TLWE暗号文ｃｂ１を使用する。

（１）上記の事前処理の後、暗号処理装置１（第１Bootstrapping部１６）は、第１Bootstrappingとして、テストベクタ多項式Ｔ（Ｘ）

を用いて、乗数のTLWE暗号文ｃｂ１に対してBlindRotateを行い、さらに自明な暗号文（０，１／８ｔ^２）を減算してTLWE暗号文ｃｂ’（LEVEL1）を得る。
事前処理後の新たなTLWE暗号文ｃｂ１は、図７に示したように２ｔ分割であった。第１Bootstrappingは、BlindRotateによって、円周群を４ｔ^２分割して平文の分母を４ｔ^２にするために行う。
後述するように、本実施形態では、乗算の計算途中において、円周群{Ｔ}全体を２ｔ個に分割した暗号文同士の乗算結果を１つのTLWE暗号文ｃｃ１に記録する。TLWE暗号文ｃｃ１は円周群全体を４ｔ^２個に分割している。これは乗算結果のTLWE暗号文ｃｃ’の分割数（２ｔ^２）の２倍である。
TLWE暗号文ｃｂ’の分割数を４ｔ^２個とすることで、後述するようにTLWE暗号文ｃｃ１からTLWE暗号文ｃｂ’を減算して乗算結果のTLWE暗号文ｃｃ’を得る際に、スケール変更の必要がなくなる。
これはキースイッチングキーＫＳ１を組み立てる際の多項式ｆ’（Ｘ）の係数部分を２ｉ＋１のように２倍のスケールにして、＋０．５のオフセットの加算を＋１と整数にしたものを打ち消す効果もある。

図７ではTLWE暗号文ｃｂ１は、－ｔ～ｔ－１の平文整数を－０．５～０．５に対応させた円周群{Ｔ}全体を使って表現していたが、BlindRotateの結果、図８に示すTLWE暗号文ｃｂ’は、０周辺の概ね－１／（４ｔ）～１／（４ｔ）の範囲を使う。
具体的にはｔ＝８の場合、事前処理後の図７のTLWE暗号文ｃｂ１では円周群{Ｔ}を２ｔ＝１６分割していたところ、図８のTLWE暗号文ｃｂ’では４ｔ^２＝２５６分割している。従って、TLWE暗号文ｃｂで円周群{Ｔ}全体を使って表現していた平文は、TLWE暗号文ｃｂ’の円周群における１／１６の範囲で表現される。
この範囲は、TLWE暗号文ｃｂの円周群における一つのスライスと同等の０周辺の概ね－１／（４ｔ）～１／（４ｔ）の範囲に相当する。
図８において、１／（４ｔ）～０．５、０．５～－１／（４ｔ）の区間は未使用（割り当てなし）である。そして、０周辺を４ｔ^２＝２５６分割の細やかさで－t／４ｔ^２～（ｔ－１）／４ｔ^２を割り当てる。これらは、整数としては、整数－８、－７、－６、－５、－４、－３、－２、－１、０、１、２、３、４、５、６、７に対応する。

平文整数ｂが負の整数だった場合は、図７では、上記の事前処理によって－１～－ｔ（左半面）が図６（ａ）の状態から上下反転している。
事前処理後のTLWE暗号文ｃｂ１に対して（１）の円周群を４ｔ^２分割して平文の分母を４ｔ^２にするためのBootstrappingを行うと、Bootstrapping後のTLWE暗号文ｃｂ’の平文は、平文整数ｂの正負に関わらず、ｂ／（４ｔ^２）となる。
事前処理前の平文ｂが負の場合、ｂが－１の時は、事前処理後の平文ｂが－ｔとなり、第１Bootstrappingの結果、最下位のブロックが符号反転して－１／（８ｔ^２）となる。その後、自明な暗号文（０，１／８ｔ^２）を減算するため、－１／（４ｔ^２）＝ｂ／（４ｔ^２）となる。
一方、ｂ＝－ｔの場合、事前処理後は－１となり、第１Bootstrappingの結果、最上位ブロックが符号反転して－（ｔ－１）／（４ｔ^２）－１／（８ｔ^２）となる。その後、自明な暗号文（０，１／８ｔ^２）を減算すると－ｔ／（４ｔ^２）＝ｂ／（４ｔ^２）となる。

（１）の処理によりTLWE暗号文ｃｂ１から、円周群を４ｔ^２分割へと変換したTLWE暗号文ｃｂ’が得られた。
乗数の暗号文に関して、事前準備で上下が反転した負の数の平文整数は、（１）の第１Bootstrappingの結果、再び上下が反転している。負の数は、左半面の上から、－８、－７、－６、－５、－４、－３、－２、－１と割り当てられている。
また、テストベクタにはオフセット（１／８ｔ^２）を付けているが、第１Bootstrapping後に自明な暗号文（０，１／８ｔ^２）を準同型減算することで消える。従って、図８に示す暗号文ｃｂ’では、オフセットがない分割の仕方（０の±１／８ｔ^２の範囲に分布する）となっている。

（２）暗号処理装置１（鍵交換部３０）は、TLWE暗号文ｃｂ’に対して、事前に準備してあるキースイッチングキーＫＳ１によるPrivate Key Switchingを行い、階段状の多項式を平文として有するTRLWE暗号文ｃｃを得る。得られたTRLWE暗号文ｃｃの秘密鍵は［s’］である。
TRLWE暗号文ｃｃを秘密鍵［s’］で復号した結果は、

となる。従って、TRLWE暗号文ｃｃの平文は、階段状の平文多項式

であり、円周群の右半面をｔ分割（０、１、２、３…）、左半面をｔ分割（－１、－２、－３…）して、TLWE暗号文ｃｂの平文ｂの値ずつ階段状に係数が増加していく多項式という結果が得られている。
TLWE暗号文ｃｂが平文として３の値を有していたとき、Private Key Switchingの結果、円周群の右半面と対応する次数の項の係数には、TLWE暗号文ｃｂの平文（３）の倍数である０、３、６、９、１２にオフセットとして、ｂの半分の値１．５を加えた１．５、４．５、７．５、１０．５、１３．５と並んでいる平文多項式が得られる。
この多項式は上記のキースイッチングキーＫＳ１を得るための関数

に由来する。

事前処理におけるｆ_ｉｄにおいて平文に０．５のオフセットを加えていることに対応して、TRLWE暗号文ｃｃの平文多項式（キースイッチングキーＫＳ１）においても平文に０．５のオフセットを加えている。０．５（１／２）のオフセットは、キースイッチングキーＫＳ１における２ｉ＋１を２で割ったｉ＋（１／２）に由来する。より適切には、＋０．５のオフセットを含む係数部分ｉ＋（１／２）を２倍のスケールにし、オフセットの加算を＋１と整数にしている。
（１）で説明したようにTLWE暗号文ｃｂ’は、元のTLWE暗号文ｃｂ１の平文整数ｂの正負に関わらずｂ／（４ｔ^２）であるため、ｂが負である場合は、TLWE暗号文ｃｃの平文多項式はすべての項が負となっており、ｂが正である場合とは反対に、係数はｂずつ減少している。

（３）暗号処理装置１（第２Bootstrapping部１７）は、第２Bootstrappingを行う。暗号処理装置１は、TRLWE暗号文ｃｃ（LEVEL1）を、TLWE暗号文ｃａ（LEVEL0）を用いてBlindRotateし、SampleExtractを行ってTLWE暗号文ｃｃ１（LEVEL1）を得る。LEVEL1の暗号文であるTLWE暗号文ｃｃ１の秘密鍵は［ｓ’］である。
（ｉ）平文整数ａが負の整数ではない（０又は正である）場合、TLWE暗号文ｃａを２ｎ倍したTLWE暗号文ｃａ’は、φ_ｓ（ｃａ’）＝（ａｎ）／ｔ＋ｎ／（２ｔ）から、平文として（ａｎ）／ｔ＋ｎ／（２ｔ）を有する。
従って、φ_ｓ’（ｃｃ）の平文多項式のうち、指数が（ａｎ）／ｔ＋ｎ／（２ｔ）近傍の項が定数項として得られる。上記の平文多項式でｉ＝ａとなる項の係数である。
よって、φ_ｓ（ｃｃ１）＝（２ａ＋１）ｂ／（４ｔ^２）となり、TLWE暗号文ｃｃ１は、平文として（２ａ＋１）ｂ／（４ｔ^２）を有する。
TLWE暗号文ｃｃ１は平文整数ａと平文整数ｂの積に対応する暗号文であり、この段階で平文整数ａと平文整数ｂの積が得られている。

具体的には、第２Bootstrappingの結果、TLWE暗号文ｃｂ’の平文多項式に基づく３の倍数の整数に半分の１．５を加えた、１．５、４．５、７．５、１０．５、１３．５が並んでいるなか、ｃａの平文整数ａ＋１番目（ａは０を含むため）の値を得るため、ｃａの平文整数ａが２のときには、TLWE暗号文ｃｃ’として３番目の７．５の値を得る。実際に、（ａ＋０．５）×ｂの解として、２．５×３＝７．５の値が得られ、乗算が正しく行われている。ａに加えられている０．５のオフセットは、後程除去する。

（ｉｉ）平文整数ａが負の整数である場合は、事前処理の結果、TLWE暗号文ｃａの左半面のみ上下反転し、TLWE暗号文ｃａは、平文として、－（ｔ＋１＋ａ）／（２ｔ）＋１／（４ｔ）を有している。従って、事前処理後のTLWE暗号文ｃａ１を２ｎ倍したTLWE暗号文ｃａ’は、φ_ｓ（ｃａ’）＝｛－（ｔ＋１＋ａ）｝ｎ／ｔ＋ｎ／（２ｔ）＝－ｎ－｛（ａ＋１）｝ｎ／ｔ＋ｎ／（２ｔ）から、平文として、－ｎ－｛（ａ＋１）｝ｎ／ｔ＋ｎ／（２ｔ）を有する。
多項式の剰余群Ｔ（Ｘ）／（Ｘ^ｎ＋１）が有限巡回群である性質から、Ｘ^－１を－ｎ回乗算すると、すべての項が負の数になる。従って、BlindRotateでは、TLWE暗号文ｃｃ１の平文多項式の係数を全て正負反転させたうえで、φ_ｓ（ｃａ’）＋ｎ＝－｛（ａ＋１）｝ｎ／ｔ＋ｎ／（２ｔ）だけＸ^－１を乗ずると解釈できる。
つまり、BlindRotate後の平文多項式では、指数が｛－（ａ＋１）ｎ｝／ｔ＋ｎ／（２ｔ）近傍の項が定数項として得られる。つまり上記平文多項式でｉ＝－（ａ＋１）となる項の係数の負の数である。よって、φ_ｓ’（ｃｃ１）＝－｛－２（ａ＋１）＋１｝ｂ／（４ｔ^２）＝－（－２ａ－１）ｂ／（４ｔ^２）＝（２ａ＋１）ｂ／（４ｔ^２）となり、平文が正の整数であった場合と同じ式が得られる。上記のように、TLWE暗号文ｃｃ１は、平文整数ａと平文整数ｂの積に対応する暗号文である。

これが、キースイッチングキーＫＳ１の計算に用いたｆ’の多項式に、＋１／２の項を加えた効果である。
＋１／２の項を加えない場合、平文整数ａが正の整数であった場合はａｂ／（２ｔ^２）となり、負の整数（０を含む）であった場合には（ａ＋１）ｂ／（２ｔ^２）となる。ａ＝０の場合とａ＝－１（平文整数ａが負の整数）の場合とで同じ結果となるため、ａやｂを符号分離しないと元々どちらだったかの判断ができない。
TLWE暗号文ｃｂの事前処理と（１）の処理については、この２回のBootstrappingによって、ｇ（ｘ）＝１／（２ｔ）×ｘという１次関数を計算したことになる。
上記の論文「Bootstrapping in FHEW-like Cryptosystems, Daniele Micciancio and Yuriy Polyakov Duality Technologies February 23,2020」では、特定の条件を満たす任意の関数を評価する手法を紹介している。本実施形態では、TLWE暗号文ｃｂの事前処理と（１）のように２回のBootstrappingを用いることで、１次関数以外でも、特定の条件なしに任意の奇関数を正負両方の値域に対して評価することができる。

ここで、SampleExtractで定数項のTLWE暗号文（全体を４ｔ^２分割）を得ることができるので、１／２の項を消すために、TLWE暗号文ｃｃ１からTLWE暗号文ｃｂ’を引いて、TLWE暗号文ｃｃ’を得る。
ここで１／２を計算するために、予めTLWE暗号文ｃｂ’の計算時に半分の大きさにして、キースイッチングキーＫＳ１を倍の大きさとしてある。これによってキースイッチングキーＫＳ１の分子を整数にすることが出来る。
φ_ｓ’（ｃｃ’）＝φ_ｓ’（ｃｃ１）－ｃｂ’＝（２ａ＋１）ｂ／（４ｔ^２）－ｂ／（４ｔ^２）＝ａｂ／２ｔ^２から、TLWE暗号文ｃｃ’は、平文としてａｂ／２ｔ^２を有する。
これによって、ａとｂの積に対応するTLWE暗号文ｃｃ’（LEVEL1）が得られた。TLWE暗号文ｃｃ’は、図９に示すように、円周群{Ｔ}を２ｔ^２分割した暗号文である。

図９に示す乗算結果のTLWE暗号文ｃｃ’は、円周群{Ｔ}の左右の半面をｔ^２個に夫々分割し、円周群全体では、２ｔ^２個に分割している。
２ｔ^２－１が、途中で得られる乗算結果としてTLWE暗号文が持つことができる最大値である。
ｔ＝８の場合、円周群の右半面をｔ^２＝６４分割し、円周群{Ｔ}の右半面ではｔ^２＝６４個の整数、０、１、２、３、４、５、６、７・・・６３を表現することが出来る。円周群{Ｔ}の左半面ではｔ^２＝６４個の整数、－６４、－６３、－６２、…－１を表現することが出来る。
円周群{Ｔ}の値域０～１の全体を２ｔ^２＝１２８個に分割し、暗号文は－６４、－６３・・・、－４、－３、－２、－１、０、１、２、３、４・・・６２、６３の整数を表現することが出来る。

これらの整数値は、円周群の０～１の値域全体を２ｔ^２個に区切った１／２ｔ^２ずつの区間に割り当てられる。
ｔ＝８の場合、２^３＝８から、乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、円周群（右半面）に３ビットの整数を記録する。３ビットの整数同士の乗算結果は６ビットの整数であり、これを記録するTLWE暗号文は、円周群（右半面）を２^６＝６４分割すなわちｔ^２個に分割する。
ただし、乗算結果の暗号文は、乗数、被乗数の暗号文とは円周群の分割数が異なっている。TLWE暗号文ｃａ、ｃｂの平文の分母が２ｔであったのに対し、TLWE暗号文ｃｃ’の平文は分母が２ｔ^２である。乗算の前後で、暗号文における円周群の分割数が異なっている。
TLWE暗号文ｃｃ’を、TLWE暗号文ｃａ、ｃｂのような、平文の分母が２ｔである暗号文との乗算等に用いることはできない。

TLWE暗号文ｃｃ’を平文の分母が２ｔである暗号文に変換する（暗号文の乗算前後で円周群の分割数を合わせる）必要がある。そこで暗号処理装置１は、そのための変換を高速に行う。
この変換とは、例えば６ビット（ｔ^２分割）の乗算結果から、下位３ビット（ｔ分割）、上位３ビット（ｔ分割）を抽出し、乗算前と同じｔ分割の暗号文を得ることである。

TLWE暗号文ｃｃ’に乗算する暗号文の平文の分母を２ｔ^２としてもよいが、乗算を重ねるごとに円周群の分割数が増えていき、許容される誤差範囲が小さくなっていくため複雑な構成に用いる場合は好ましくない。一方で、このような構成をLeveled-FHEと呼び、例えば畳み込み（内積）演算一回で済む場合など、用途によってはこのまま利用しても構わない。
本実施形態では、暗号文の乗算前後で円周群の分割数を合わせるための変換を高速に行うために、例えば６ビット（２ｔ^２分割）となっている乗算結果から、下位３ビット（２ｔ分割）、上位３ビット（２ｔ分割）を抽出し、乗算前と同じ２ｔ分割の暗号文を得る。
また乗算結果はｔを容易に超えるため、乗算結果をｔで割った商と剰余とに分解する。商が上位３ビットであり、剰余が下位３ビットである。

例えばｔ＝８の場合、０～６３（８^２＝６４）を、ノコギリ型の多項式（係数が０１２３～６７０１２…）と階段型の多項式（係数が００００１１１１２２２２…）という階段型の多項式とによって夫々Bootstrappingをしても乗算結果をｔで割った商と剰余を求めることは出来る。しかしながら、TFHEで用いられるベクトルの次数Ｎは６３５、多項式の次数ｎは１０２４が最適であるとされているため、BlindRotateの直前にTLWE暗号文の係数６３５個を２ｎ倍する段階で、四捨五入の誤差が６３５個分累積する。また多項式の次数ｎを０～０．５の区間の分割数にあわせて分割した区間が整数１つに対応する区間であるが、６４分割だと１６の幅しかないため±８の誤差しか許されない。これでは計算エラー率が高すぎるという問題がある。

多項式の次数ｎを増やす、あるいはベクトルの次数Ｎを小さくするという選択肢もあるが、そうした場合、暗号の強度や計算速度が犠牲になる。多項式の次数を増やすと、ＣＭｕｘで行う乗算の計算量がＯ（ｎ^２）で増える一方、ベクトルの次数を小さくすると解析の際の自由度が下がり、暗号として容易に解けるようになる。
従って本実施形態では、以下に示す方法によってエラー率を十分に抑えつつ、平文の分母が２ｔ^２からの平文の分母が２ｔである暗号文（商の暗号文、剰余の暗号文）の計算を行う。

（４）暗号処理装置１（第３Bootstrapping部１８）は、TLWE暗号文ｃｃ’をｔ倍したうえでPublic Key Switchingを行ってLEVEL0に落とし、自明な暗号文（０，１／（４ｔ））を加算した後で、μ＝１／４のテストベクタ多項式でBlindRotateおよびSampleExtractを行う。
加算する（０，１／（４ｔ））は、０と－１の境界を円周群{Ｔ}上の０にするためのオフセットである。
TLWE暗号文ｃｃ’をｔ倍すると平文の分母が２ｔになるが、円周群{Ｔ}上で０～０．５の区間を乗算結果の下位ビットとして用いたいところである。なぜならば、下位ビットは常に正であるためである。しかし、実際にこの演算を行うと、０．５～１の区間にも分布する。
そのため、ｔ倍した結果平文が０～０．５の区間であれば１／４、０．５～１の区間であれば－１／４を平文として持つTLWE暗号文ｃｄ（LEVEL1）が得られる。LEVEL1の暗号文であるTLWE暗号文ｃｄは、秘密鍵が［ｓ’］である。

（５）暗号処理装置１（第２演算部１３）は、ｃｃ’×ｔ＋ｃｄ－（０，１／４）＋（０，１／（４ｔ））を計算する。
暗号処理装置１（第３Bootstrapping１８）は、計算結果に対してPublic Key Switchingを行い、秘密鍵を［ｓ］としたTLWE暗号文ｃｌ（LEVEL0）を得る。これにより、乗算結果の下位ビットが得られる。
TLWE暗号文ｃｌは、復号するとφ_ｓ（ｃｌ）＝（ａｂ ｍｏｄ ｔ）／（２ｔ）＋１／（４ｔ）となる暗号文である。
上位ビットが不要な場合はここで終了しても構わない。

剰余が常に正であると考えると、TLWE暗号文ｃｃ’の平文が負であっても、TLWE暗号文ｃｌの平文は正になる。商まで計算すると、ｔ×商＋剰余＝ａｂが正負問わず成立するため、数学的に矛盾はない。乗算結果が１変数に格納されている状態から、コンピュータで除算剰余算命令を用いて求める場合、言語処理系やＣＰＵアーキテクチャによって様々だが、tを２のべき数としてシフト演算とＡＮＤ演算で分解する、つまり２進数表記にして単純にビットを分けるという処理とは完全に一致する結果となる。
ｔ倍したTLWE暗号文で計算しているため、整数シンボル１つに対応する値の幅がｔ倍に広がっており、相対的に四捨五入による誤差を許容できるようになっている。また、加算乗算を秘密鍵［s’］によるTLWE暗号文で行うことにより、比較的大きな誤差を付加するPublic Key Switchingの影響を小さくすることができる。

乗算結果の上位ビットが必要な場合は、以下の演算を行う。
（６）情報処理装置１（第４Bootstrapping部１９）は、下位ビットのTLWE暗号文ｃｌに対して、下記のテストベクタ多項式

を用いてBlindRotate、SampleExtractを行い、TLWE暗号文ｃｌ’（LEVEL1）を得る。TLWE暗号文ｃｌ’は、秘密鍵が［ｓ’］である。
TLWE暗号文ｃｌ’は、平文の分母が１／２ｔ^２の暗号文であって、乗算結果の下位ビット（ａｂ ｍｏｄ ｔ）を、０～１／（２ｔ）の区間を使用して保持する暗号文である。剰余は負の数ではないとの前提であるため、円周群の右半面のみを使っているものと考えられるため、テストベクタ多項式にオフセットを加える工夫は、してもしなくても結果に影響はない。

（７）暗号処理装置１は、ｃｕ＝ｃｃ’－ｃｌ’＋（０，１／（４ｔ））を計算してTLWE暗号文ｃｕを得る。
TLWE暗号文ｃｕに対してPublic Key Switchingを行い、秘密鍵を［ｓ’］から［s］に戻してTLWE暗号文ｃｕ’を得る。つまり、ａｂ／２ｔ^２から（ａｂ ｍｏｄ ｔ）／２ｔ^２を引くことで分子をｔの倍数とし、分子と分母をｔで約分する。
すると、

が得られる。
この時、TLWE暗号文ｃｃ’、TLWE暗号文ｃｌ’の平文に付加される誤差成分は正規分布に従っているため、再生性によってTLWE暗号文ｃｕの平文に付加される誤差も正規分布に従う。よって、TLWE暗号文ｃｕ’はそのまま次の演算に使用することができる。
つまり、右半面を６４分割した暗号文から、８の剰余となる暗号文を引くことで、必ず８の倍数を平文とする暗号文となる。つまり８個置きにブロックを使用している。これを、右半面を８分割した暗号文を比較すると、分割の仕方が同じで、与えられている誤差の分散が異なるのみであるとみなすことができるため、TLWE暗号文ｃｕは実質右半面を８分割した暗号文として扱うことができる。
なぜならばTLWE暗号文ｃｃ’、TLWE暗号文ｃｌ’において平文に付加される誤差成分は正規分布に従っている。ｃｃ’－ｃｌ’で得られるTLWE暗号文ｃｕにおいて平文に付加される誤差も、再生性と呼ばれる性質によって正規分布に従う。よって、乗算の上位桁（ビット）のTLWE暗号文ｃｕ’はBootstrappingを行うことなく、そのまま次の演算に使用することができる。
TLWE暗号文ｃｕ’もTLWE暗号文ｃｌも、最後にPublic Key Switchingで秘密鍵を［ｓ］に戻したLEVEL0になっている。この処理をなくして、事前処理の時にTLWE暗号文ｃａ、TLWE暗号文ｃｂそれぞれに対してPublic Key Switchingを行うことで、LEVEL1を入出力とすることができる。
上記に説明したように、本実施形態では、円周群{Ｔ}の右半面を符号なし整数（０又は正の整数）として利用し、円周群{Ｔ}の左半面を符号付き整数（負の整数）として扱っている。TLWE暗号文の平文空間である円周群{Ｔ}を全面利用することにより、多くの（下記に説明する［第２実施例］より実質１ｂｉｔ分多い）情報を詰め込むことができるようになる。これにより、多倍長整数を構成する場合などで少ない暗号文を対象とすることで演算量を削減することが出来る。

ＣＭｕｘをループすることで、Private Key Switchingの代替とすることもできる。
暗号処理装置１は、被乗数のTLWE暗号文ｃｂ（事前処理後のTLWE暗号文ｃｂ１）をBlindRotateした後の結果をTRLWE暗号文ｃ_１とする。TRLWE暗号文ｃ_１は、多項式を平文に有する。
暗号処理装置１は、TLWE暗号文ｃａ（事前処理後のTLWE暗号文ｃａ１）の各係数を２ｔ倍して四捨五入してTLWE暗号文ｃａ’’を得る。２ｔ倍後に四捨五入していることで、TLWE暗号文ｃａ’’の要素はすべて整数である。
このとき、φ_ｓ（ｃａ’’）＝ａが成り立ち、従って、TLWE暗号文ｃａ’’の平文はTLWE暗号文ｃａの平文と同じａである。
TLWE暗号文ｃａ’’はｃａａ，ｃａｂから構成される。そして、ｃａａ、ｃａｂは、夫々TLWE暗号文（［ａ］，ｂ）を構成する上記の要素［ａ］、ｂに対応する。
暗号処理装置１は、Ａ_０＝ｃａｂ×ｃ_１とし、ｃａａ、ｃａｂをTRLWE暗号文ｃ_１に対する乗算を含む下記のＣＭｕｘの計算を繰り返し行う。ＢＫはBootstrapping Keyである。

このＣＭｕｘの計算は、上記論文について説明したBlindRotateを改造したものである（改造BlindRotate）。
ｃａａ_ｉ×ｃ_１＋ｃａｂ×ｃ_１と、ｃａｂ×ｃ_１という二つのTRLWE暗号文を、Bootstrapping Keyに基づくｓ_ｉの値（０又は１）に応じて何れか選択する。
ｓ_ｉが１の時は、Ａ_ｉとしてｃａａ_ｉ×ｃ_１＋ｃａｂ×ｃ_１が選択され、ｓ_ｉが０の時は、Ａ_ｉとしてｃａｂ×ｃ_１が選択される。
これをｎ回目までを繰り返す。これにより、元々のTLWE暗号文ｃａ’’が有していた要素と、Bootstrapping Keyにおける秘密鍵ベクトルに応じて、TLWE暗号文ｃａ’’と暗号文ｃ_１の平文多項式の乗算結果を平文に有する新たなTRLWE暗号文Ａ_ｎを得ることが出来る。
上記したようにTLWE暗号文ｃａ’’の要素ｃａａ，ｃａｂはすべて整数であるため、TRLWE暗号文ｃ_１の要素の係数である円周群に対してスカラ倍が計算可能である。また、係数は円周群同士なので加算も可能である。
以上の計算を行うと、

を計算したことになる。
すなわち、TLWE暗号文ｃａ’’を復号した整数（被除数）を乗数のTRLWE暗号文ｃ_１に乗算し、乗算結果の暗号文を得る。
この演算は、被乗数であるTLWE暗号文ｃａ’’の平文を暗号文ｃ_１の平文である多項式の係数に乗算することと等価な演算である。
暗号文Ａ_ｎの平文多項式の定数項は、ａｂ／２ｔ^２となっており、TLWE暗号文ｃｃ’と同じ暗号文を得ることが出来た。
以降は、上記の（４）以降の処理と同じであり、暗号処理装置１は、TLWE暗号文ｃｃ’からTLWE暗号文ｃｄを計算し、TLWE暗号文ｃｌ、ｃｌ’ｃｕ’を順次計算していく処理を行う。

図１０は、本実施形態の乗算処理を説明するフローチャートである。
暗号処理装置１（第６Bootstrapping部２２）は、ステップＳ１０１において、乗数のTLWE暗号文ｃａに対して、ｆ_ｉｄを用いた第６Bootstrappingを行い、新たなTLWE暗号文ｃａ１を得る。
暗号処理装置１（第５Bootstrapping部２１）は、ステップＳ１０２において、乗数のTLWE暗号文ｃｂに対してＦ_ｉｄを用いた第５Bootstrappingを行い、新たなTLWE暗号文ｃｂ１を得る。ステップＳ１０１、ステップＳ１０２は順不同である。
暗号処理装置１（第１Bootstrapping部１６）は、ステップＳ１０３において、乗数のTLWE暗号文ｃｂ１に対して第１Bootstrappingを行い、TLWE暗号文ｃｂ’を得る。
暗号処理装置１（鍵交換部３０）は、ステップＳ１０４において、TLWE暗号文ｃｂ’に対してPrivate Key Switchingを行い、TRLWE暗号文ｃｃを得る。
暗号処理装置１（第２Bootstrapping部１７）は、ステップＳ１０５において、TRLWE暗号文ｃｃに対してTLWE暗号文ｃａ１を用いてBlindRotateを行い、ステップＳ１０６において、SampleExtractを行い、TLWE暗号文ｃｃ１を得る。
暗号処理装置１（第４演算部１５）は、ステップＳ１０７において、ｃｃ１－ｃｂ’を行ってTLWE暗号文ｃｃ’を得る。
暗号処理装置１（第１演算部１２）は、ステップＳ１０８において、ｃｃ’×ｔを行う。
暗号処理装置１（第３Bootstrapping部１８）は、ｔ倍後のTLWE暗号文ｃｃ’に対してステップＳ１０９でBlindRotate、ステップＳ１１０でSampleExtractを行ってTLWE暗号文ｃｄを得る。
暗号処理装置１（第２演算部１３）は、ステップＳ１１１において、ｃｃ’×ｔ＋ｃｄ（０，１／４）を行い、暗号処理装置１（第３Bootstrapping部１８）は、ステップＳ１１２においてPublic Key Switchingを行ってTLWE暗号文ｃｌを得る。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の下位ビット（３ビット）を得ることが出来た。

図１１は、本実施形態の乗算処理を説明するフローチャートである。
暗号処理装置１（第４Bootstrapping部１９）は、ステップＳ２０１において、TLWE暗号文ｃｌに対して、TLWE暗号文ｃａを用いてBlindRotateを行い、ステップＳ２０２においてSampleExtractを行ってTLWE暗号文ｃｌ’を得る。
暗号処理装置１（第３演算部１４）は、ステップＳ２０３において、ｃｃ’－ｃｌ’を行い、TLWE暗号文ｃｕを得る。
暗号処理装置１（第４Bootstrapping部１９）は、ステップＳ２０４において、TLWE暗号文ｃｕに対してPublic Key Switchingを行ってTLWE暗号文ｃｕ’を得る。
以上の処理によって、Integer-wise型のTLWE暗号文同士の乗算結果の上位ビットを得ることが出来た。
＜第２実施例＞

以下に説明する［第２実施例］において、乗数、被乗数のTLWE暗号文ｃａ、ｃｂは、図６に示す平文を有する暗号文である。ただし、演算対象の暗号文は円周群{Ｔ}の右半面のみを使用する。以下の説明で行う乗算は、符号無し（正の整数）を平文として有する暗号文同士の乗算である。
平文として、正の整数のみを扱うことを前提とすれば、上記に説明した符号付きの乗算よりも少ない処理で高速に乗算を行うことが出来る。
［第２実施例］においても、本実施形態では、暗号処理装置１は、上記論文（非特許文献１）で提示されているPrivate Key Switchingを用いて、乗数のTLWE暗号文から階段状の多項式を平文として有するTRLWE暗号文を生成する。そして、暗号処理装置１は、得られたTRLWE暗号文に対して、被乗数のTLWE暗号文によるBlindRotateを行うことによって乗算を実現する。
なお、この［第２実施例］では、負の整数の平文のために円周群{Ｔ}の左半面を使用しないため、左半面の上下を反転させるための事前処理である一変数関数ｆ_ｉｄを用いたBootstrappingを行わない。そして、階段状の多項式（一変数関数ｆ_ｉｄ、キースイッチングキーＫＳ１において平文（多項式の係数）に０．５のオフセットを付加すること、最後に０．５を戻すことも行わない。

図１２は、本実施形態の第２実施例に基づく暗号処理装置の機能構成を説明する図である。
図１３は、図１２の機能構成に基づく演算プロセスを説明する図である。
図１２、図１３に示す［第２実施例］では、事前処理を行う第５算出部２１、第６算出部２２、第４演算部１５を有さない点、第２算出部が直接TLWE暗号文ｃｃ’を出力する点で、図１、図２とは異なる。
乗算処理を行うための（１）～（７）の処理を説明する。
（１）暗号処理装置１（第１Bootstrapping部１６）は、テストベクタ多項式

を用いてTLWE暗号文ｃｂに対してGate Bootstrappingを行い、TLWE暗号文ｃｂ’を得る。
このGate Bootstrappingの結果、暗号文の平文の分母が２ｔから２ｔ^２に変化しており、円周群の右半面をｔ＝８分割したTLWE暗号文ｃｂがｔ^２＝６４分割したTLWE暗号文ｃｂ’に変換されている。
TLWE暗号文ｃｂは、ｔ＝８分割した円周群の０～０．５（右半面）に０～（ｔ－１）までの整数を対応させた暗号文である。
この時点でTLWE暗号文ｃｂ’の平文の分子はTLWE暗号文ｃｂと変わっていないので、TLWE暗号文ｃｂ’は、ｔ^２＝６４分割した円周群の０～０．５（右半面）のさらに下半面に０～（ｔ－１）までの整数を対応させている。
TLWE暗号文ｃｂ、TLWE暗号文ｃｂ’の他のパラメータは後述する。後述するように、実際にはレベルの上下が関係してくるからである。

（２）暗号処理装置１（鍵交換部３０）は、TLWE暗号文ｃｂ’に対してキースイッチングキーＫＳ１を用いてPrivate Key Switchingを行い、TRLWE暗号文ｃｃを得る。暗号文ｃｃの秘密鍵は［ｓ’］である。
［第２実施例］では、ｆ’’（ｘ）として、以下の階段状の多項式を得る関数を設定し、キースイッチングキーＫＳ１を事前に計算する。

TRLWE暗号文ｃｃを秘密鍵［ｓ’］で復号した結果、

となる。
暗号文ｃｃの平文は、平文多項式

であり、円周群の右半面をｔ分割（０、１、２、３…）して、TLWE暗号文ｃｂの平文の値ずつ階段状に係数が増加していく多項式という結果が得られている。TLWE暗号文ｃｂが平文として３の値を有していたとき、Private Key Switchingの結果、円周群の右半面と対応する次数の項の係数には、暗号文ｃｂの平文（３）の倍数である０、３、６、９、１２と並んだ平文多項式が得られる。

（３）暗号処理装置１（第２Bootstrapping部）は、第２Bootstrappingとして、TRLWE暗号文ｃｃを、TLWE暗号文ｃａを用いてBlindRotateし、SampleExtractを行ってTLWE暗号文ｃｃ’を得る。暗号文ｃｃ’の秘密鍵は［ｓ’］である。
TLWE暗号文ｃａを２ｎ倍したTLWE暗号文ｃａ’は｛ａ／（２ｔ）｝×２ｎから、平文としてａｎ／ｔを有する。
従って、φ_ｓ’（ｃｃ’）の平文多項式のうち、指数がａｎ／ｔ＋ｎ／（２ｔ^２）近傍である項が、定数項として得られる。
つまり、φ_ｓ’（ｃｃ’）＝ａｂ／（２ｔ^２）となり、TLWE暗号文ｃｃ’は、平文としてａｂ／（２ｔ^２）を有する。平文整数ａと平文整数ｂの積が得られており、TLWE暗号文ｃｃ’は平文整数ａと平文整数ｂの積に対応する暗号文である。
具体的に、第２Bootstrappingの結果、TLWE暗号文ｃｂ’の平文多項式に基づく３の倍数の整数０、３、６、９、１２が並んでいるなか、TLWE暗号文ｃａの平文整数ａ＋１番目（ａは０を含むため）の値を得るため、TLWE暗号文ｃａの平文整数ａが２のときには、TLWE暗号文ｃｃ’として３番目の６の値を得る。実際に、ａ×ｂの解として、２×３＝６の値が得られ、乗算が正しく行われている。
以降、乗算結果の下位ビットのTLWE暗号文ｃｌ、上位ビットのTLWE暗号文ｃｕ’を算出するための処理は、上述の符号付き乗算の場合の（４）以降の処理と同じであるため、説明を省略する。ＣＭｕｘをループすることで、Private Key Switchingの代替とすることもできることも同じである。

［第２実施例］に係る処理の流れは、ステップＳ１０１、ステップＳ１０２の準備処理を行わず、ステップＳ１０７の減算処理に行わずにステップＳ１０６で暗号文ｃｃ’を直接算出することを除いて、図９のフローチャートと同じである。

［第３実施例］
暗号処理装置１はさらに、［第１実施例］、［第２実施例］で説明した整数ａを平文として有するTLWE暗号文ｃａと整数ｂを平文として有するTLWE暗号文ｃｂの乗算の過程で得られるTLWE暗号文ｃｃ’に対して、整数ｅを平文として有するTLWE暗号文ｃｅ、あるいは整数ｅを平文として有する自明な暗号文の準同型加算を行うことで、下記に説明するTLWE暗号文ｃａとTLWE暗号文ｃｂの乗算とほぼ同じ手順で整数ａ×ｂ＋ｅを平文として有する暗号文を算出することが出来る。

単純に、ａ×ｂに対応する暗号文の乗算を行った後でｅに対応する暗号文を加算すると、加算によって繰り上がり、繰り下がりが発生する場合がある。そのため、繰り上がり、繰り下がりを示す暗号文を算出するために平文ａ×ｂと平文ｅの比較結果に対するBlindRotateを複数回行う必要があり、そのために多大な計算時間が必要となる。
それに対して、［第３実施例］では、暗号文ｃａとｃｂの乗算処理の過程に平文ｅに対応する暗号文の加算を組み込むことで、第３Gate Bootstrapping、第４Gate Bootstrappingに加えて、繰り上がり、繰り下がりのためのBlindRotateを行う必要が無く、ＦＭＡ（Fused Multiply-Add）の演算を著しく高速化することが出来る。
整数ａ×ｂ＋ｅを算出するための手順は、TLWE暗号文ｃｅを途中で準同型加算する以外は、［第１実施例］、［第２実施例］で説明した乗算の手順と同じ手順であり、BlindRotateの回数も同じである。
下記の説明において、整数ａ×ｂ＋ｅの暗号文を算出するための方法を単に乗算方法として示す。また、準同型加算の代わりに準同型減算を組み込み、整数ａ×ｂ－ｅの暗号文を算出することも可能である。

ａ×ｂ＋ｅの形式の演算は、ＦＭＡ、融合積和演算として知られている。ＦＭＡは、例えば、生体認証などに応用しうるベクトル同士の内積（内積距離）の計算に利用しうる。
簡単な例として、３つの要素がそれぞれ暗号化された３次元ベクトル［ａ］＝（要素ａ_１の暗号文，要素ａ_２の暗号文，要素ａ_３の暗号文）と、３次元ベクトル［ｂ］＝（要素ｂ_１の暗号文，要素ｂ_２の暗号文，要素ｂ_３の暗号文）の内積［ａ］・［ｂ］を求めるときには、要素毎に乗算を行った結果を全て加算することが行われる。従って、暗号処理装置１は、ａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文＋ａ_３の暗号文・ｂ_３の暗号文、を計算する。
ＦＭＡを用いずに上記演算を行う場合、単純にａ_１の暗号文とｂ_１の暗号文の乗算結果、ａ_２の暗号文とｂ_２の暗号文の乗算結果、ａ_３の暗号文とｂ_３の暗号文の乗算結果をそれぞれ計算するところまでで乗算演算３回分のBlindRotateが必要となる。ここからさらに、各乗算結果を合計するために準同型加算を要素数（ベクトルの次数）－１回行う必要がある。ここで、特に各要素の値に制約がない場合、繰り上がりや繰り下がりを考慮する必要があるため、その判定のために追加のbootsteappingもしくはBlindRotateが必要となる。
つまり［第１実施例］、［第２実施例］で説明したBlindRotateの回数を３倍した数に、さらに繰り上がりや繰り下がりの処理に必要なBlindRotateの回数の２倍の数のBlindRotateを、内積の計算全体で行うことになる。

一方、ＦＭＡを用いる場合、ａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文＋ａ_３の暗号文・ｂ_３の暗号文の計算を以下のように行うことが出来る。
暗号処理装置１は、ａ_１の暗号文とｂ_１の暗号文の乗算結果の途中で得られるTLWE暗号文ｃｃ’を上記のTLWE暗号文ｃｅに対応付け、ａ_２の暗号文とｂ_２の暗号文の乗算を、上記のTLWE暗号文ｃａとTLWE暗号文ｃｂの乗算に対応付けることで、ａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文、の計算を乗算の手順の前半部分（TLWE暗号文ｃｃ’を求めるまで）を１回と、乗算の手順全体を１回で行うことが出来る。
さらに暗号処理装置１は、上記で求めたａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文の演算結果の暗号文を暗号文ｃｅに対応付け、ａ_３の暗号文とｂ_３の暗号文の乗算を、暗号文ｃａと暗号文ｃｂに対応付けることで、ａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文＋ａ_３の暗号文・ｂ_３の暗号文、の計算を乗算の手順１回で行うことが出来る。
ＦＭＡを用いたことで、ベクトル同士の内積に対応する計算を、乗算とほぼ等しい演算処理を全部で２回と、乗算の演算処理の前半部分を１回行うことで実行することが出来、これは乗算全体を３回行うよりも少ない計算量で済む。ＦＭＡを用いない場合は、乗算３回に加えてさらに繰り上がりや繰り下がりの処理が必要になることと比べると遥かに高速に処理できると言える。
ベクトルの要素が２つの場合や、３よりも多い場合も、同様に行うことが出来る。

また、誤差の許容範囲が許すのであれば、TLWE暗号文ｃｃ’に加えるTLWE暗号文の数を増やすことも考えられる。例えば、ａ_１の暗号文とｂ_１の暗号文の乗算の途中で得られるTLWE暗号文ｃｃ’をｃｅ１とする。同様にａ_２の暗号文とｂ_２の暗号文の乗算の途中で得られるTLWE暗号文ｃｃ’をｃｅ２とする。TLWE暗号文同士の準同型加算結果ｃｅ１＋ｃｅ２の演算結果の暗号文を暗号文ｃｅに対応付け、ａ_３の暗号文とｂ_３の暗号文の乗算を、暗号文ｃａと暗号文ｃｂに対応付けることで、ａ_１の暗号文・ｂ_１の暗号文＋ａ_２の暗号文・ｂ_２の暗号文＋ａ_３の暗号文・ｂ_３の暗号文、の計算を行うことができる。この場合は、乗算演算の前半部分を２回と、乗算演算の手順全体を１回で済んでいる。
下記にも説明するが、いずれの場合も、ａ×ｂ＋ｅに対応する準同型加算を、平文の分母が２ｔ^２である段階で行うことが望ましい。また整数ａ×ｂ－ｅの暗号文を算出する場合は、平文の分母が２ｔ^２である段階で準同型減算を行うことが望ましい。分母が２ｔ^２である段階では１つのTLWE暗号文に記憶できる整数の値域が－ｔ^２からｔ^２－１と広いため、準同型加算又は準同型減算を行うことによる繰り上がりや繰り下がりの発生を考慮する必要がないためである。

具体的に暗号処理装置１は、以下の処理によってＦＭＡを実現する。
暗号処理装置１は、図２、図１３の［第１実施例］、［第２実施例］に加えて、ａｂ／（２ｔ^２）を平文として有するTLWE暗号文ｃｃ’に対して、ｅ／２ｔ^２を平文として有する暗号文ｃｅ、あるいはｅ／２ｔ^２を平文として有する自明な暗号文（０，ｅ／２ｔ^２）を準同型加算し、新たなTLWE暗号文ｃｃ’を得る。新たなTLWE暗号文ｃｃ’は、平文として（ａｂ＋ｅ）／２ｔ^２を取り得る。
暗号処理装置１は、この新たな暗号文ｃｃ’に対して、［第１実施例］、［第２実施例］と同様に、第１演算部１２、第２演算部１３、第３Bootstrapping部１８による処理を行うことで、（ａｂ＋ｅ）／２ｔ^２を平文として有する、ａ×ｂ＋ｅの演算結果の下位ビットのTLWE暗号文ｃｌを算出する。TLWE暗号文ｃｌは、（ａｂ＋ｅ ｍｏｄ ｔ）／２ｔを平文として有する。
さらに、暗号処理装置１は、TLWE暗号文ｃｌに対して第４Bootstrapping部１９による処理を行い、（ａｂ＋ｅ ｍｏｄ ｔ）／２ｔ^２を平文として有するTLWE暗号文ｃｌ’を算出する。暗号処理装置１は、TLWE暗号文ｃｌ’を第３演算部１４に入力し、TLWE暗号文ｃｌ’とａｂ＋ｅに対応する新たなTLWE暗号文ｃｃ’との準同型減算を行ってTLWE暗号文ｃｕを得る。TLWE暗号文ｃｕは、｛（ａｂ＋ｅ）－（ａｂ＋ｅ ｍｏｄ ｔ）｝／２ｔ^２を平文として有し、暗号処理装置１は、TLWE暗号文ｃｕをPublic KeyswitchingすることによってTLWE暗号文ｃｕ’を得る。

［第１実施例］で説明した円周群の全面を使った符号付き乗算の場合、図２において、例えば第４演算部１５が、TLWE暗号文ｃｃ’に対して、TLWE暗号文ｃｅ又は自明な暗号文（０，ｅ／２ｔ^２）を準同型加算して新たなTLWE暗号文ｃｃ’を算出する。第４演算部１５が算出した新たなTLWE暗号文ｃｃ’に対して、第１演算部１２、第３Bootstrapping部１８、第２演算部１３による処理を行い、必要な場合、第４Bootstrapping部１９、第３演算部１４による処理をさらに行う。
あるいは、第４演算部１５がTLWE暗号文ｃｃ’を算出した後、第１演算部１２が、TLWE暗号文ｃｃ’に対して暗号文ｃｅ又は自明な暗号文（０，ｅ／２ｔ^２）を準同型加算して新たなTLWE暗号文ｃｃ’を算出したうえでこれをｔ倍し、その結果に対して第３Bootstrapping部１８、第２演算部１３による処理を行ってもよい。

［第２実施例］で説明した円周群の右半面だけを使った符号なし乗算の場合、図１３において、第２Bootstrapping部１７が、TLWE暗号文ｃｃ’を算出した後、例えば、第１演算部１２が、TLWE暗号文ｃｃ’に対してTLWE暗号文ｃｅ又は自明な暗号文（０，ｅ／２ｔ^２）を準同型加算して新たなTLWE暗号文ｃｃ’を算出したうえでこれをｔ倍し、その結果に対して第３Bootstrapping部１８、第２演算部１３による処理を行う。必要な場合、第４Bootstrapping部１９、第３演算部１４による処理をさらに行う。

いずれの場合でも、新たなTLWE暗号文ｃｃ’に対する整数ｅの暗号文の準同型加算又は準同型減算は、新たなTLWE暗号文ｃｃ’を第１演算部１２によってｔ倍して平文の分母を２ｔとする前に行うことが望ましい。平文同士の計算としては、例えばａｂ／２ｔ^２＋ｅ／２ｔ^２に対応する。平文の分母が２ｔ^２である段階では１つのTLWE暗号文に記憶できる整数の値域が－ｔ^２からｔ^２－１と広いため、準同型加減算を行うことによる繰り上がりや繰り下がりの発生を考慮する必要がない利点がある。
一方で、乗算処理の過程で準同型加算を行う場合であっても第１演算部１２でTLWE暗号文ｃｃ’をｔ倍した暗号文に対して整数ｅの暗号文を準同型加減算する場合には、平文同士の計算としては、ａｂ／２ｔ＋ｅ／２ｔとして行うことになる。この場合は、１つのTLWE暗号文に記憶できる整数の値域が－ｔからｔ－１と狭く準同型加減算による繰り上がりや繰り下がりの発生を考慮する必要があるため、その判定のために追加のbootsteappingもしくはBlindRotateが必要となる。

［第４実施例］
暗号処理装置１は、［第１実施例］の符号付き乗算、［第２実施例］の符号なし乗算、［第３実施例］のＦＭＡを応用し、カラツバ法と呼ばれる手法によって多倍長演算（乗算）を高速化することができる。
被乗数Ｘと乗数Ｙの積Ｚを求めるとき、被除数Ｘと乗数Ｙを、基数ｋに基づいて２分割して計算する場合は
Ｘ＝ｘ_１・ｋ＋ｘ_０
Ｙ＝ｙ_１・ｋ＋ｙ_０
と分割し、積Ｚは、
Ｚ＝ｚ_２・ｋ^２＋ｚ_１・ｋ＋ｚ_０
と表すことが出来る。

積Ｚを構成するｚ_２、ｚ_１、ｚ_０の暗号文を算出するために、
ｚ_２＝ｘ_１の暗号文×ｙ_１の暗号文
ｚ_０＝ｘ_０の暗号文×ｙ_０の暗号文
ｚ_１＝ｘ_１の暗号文×ｙ_０の暗号文＋ｘ_０の暗号文×ｙ_１の暗号文
の演算を行うため、カラツバ法を用いない場合は、全体で４回の乗算を行う必要がある。 これは２桁の整数を通常の筆算で計算するのと同じ計算方法である。
一般に乗算は、扱う桁数が増えるほど計算が複雑になるため、乗数と被乗数を２分割することにより、それぞれの乗算で扱う桁数が半分で済むというメリットがある。これを再帰的に繰り返すことで、直接乗算の計算が可能な桁数まで値を小さくすることができる。

それに対して、カラツバ法では、ｚ_２、ｚ_１、ｚ_０のうち特にｚ_１の暗号文を、
－（ｘ_１の暗号文－ｘ_０の暗号文）×（ｙ_１の暗号文－ｙ_０の暗号文）＋ｚ_２の暗号文＋ｚ_０の暗号文
として求める。
（ｘ_１の暗号文－ｘ_０の暗号文）と（ｙ_１の暗号文－ｙ_０の暗号文）は夫々暗号文同士の準同型減算結果である。平文ｘ_１と平文ｘ_０の値、平文ｙ_１と平文ｙ_０の値によっては、準同型減算結果は負の値となる場合がある。準同型減算結果が何れも正であっても、－（ｘ_１の暗号文－ｘ_０の暗号文）×（ｙ_１の暗号文－ｙ_０の暗号文）は符号付きの乗算を行う必要がある。
従って、（ｘ_１の暗号文－ｘ_０の暗号文）×（ｙ_１の暗号文－ｙ_０の暗号文）について、［実施例１］の円周群の全面を使った符号付き乗算を行う。平文ｘ_１－平文ｘ_０に対応する暗号文が暗号文ｃａ、平文ｙ_１－平文ｙ_０に対応する暗号文が暗号文ｃｂに対応する。
ｚ_２の暗号文＋ｚ_０の暗号文－（ｘ_１の暗号文－ｘ_０の暗号文）×（ｙ_１の暗号文－ｙ_０の暗号文）は、ｚ_２の暗号文＋ｚ_０の暗号文を上記TLWE暗号文ｃｅに対応付け、（ｘ_１の暗号文－ｘ_０の暗号文）×（ｙ_１の暗号文－ｙ_０の暗号文）を上記TLWE暗号文ｃａとTLWE暗号文ｃｂの乗算と対応付けるとＦＭＡと同じかたちであり、［第３実施例］と同様に、乗算の演算処理１回でｚ_１の暗号文を計算することが出来る。
なお、ｚ_２の暗号文＋ｚ_０の暗号文は、いずれも上位と下位に分解する前の、TLWE暗号文ｃｃ’として得られるTLWE暗号文を使用する必要がある。

図１４は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、特に第１Bootstrappingなど、図１４（ａ）に示すように、BlindRotate、SampleExtract、Public Key Switchingの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１４（ｂ）に示すように、Gate BootstrappingにおいてPublic Key Switchingを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１４（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、Public Key Switchingの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１４（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にPublic Key Switchingを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。

LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
特に、Integer-wise型に適用したTFHEの場合、TLWE暗号文に格納する平文（整数）の値が大きくなるほど、円周群{Ｔ}における０～１の値域を細かく分割する必要があり、後述する復号時エラーの問題もあって誤差を小さくする必要がある。その場合、セキュリティ強度が下がりやすいのは上記の通りであるため、誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。

平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、Public Key SwitchingをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。LEVEL0に戻さないことで、次段でも同様にTLWE暗号文の計算を安全に行うことが出来る。
BlindRotateの所要時間は、ＣＭｕｘの回数が次数と同じ回数であるため、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、Public Key Switchingで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。

また、平文に付加する誤差を小さくすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
上記したように、Integer-wise型に適用したTFHEでは、円周群{Ｔ}に対応づけた０～１の値域を２ｔ個に分割する。ｔの値を大きくして円周群を細かく分割するとTLWE暗号文に記録可能な整数値をより大きくできる。円周群を分割した個数ｔで格納できる値の最大値が決まるが、大きな値を格納しようとすると誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。

計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスが最もとれるよう、誤差範囲の重なりが一定値内に収まるようにシステムパラメータを設定することが必要である。
本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
［応用例］
暗号処理装置１が行う処理は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。

暗号処理装置１０は、第１演算部１２、第２演算部１３、第３演算部１４、第４演算部１５、第１Bootstrapping部１６、第２Bootstrapping部１７、第３Bootstrapping部１８、第４Bootstrapping部１９、第５Bootstrapping部２１、第６Bootstrapping部２２、鍵交換部３０の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。
特に、重み付け平均値を求める場合には、レコードと重み付け係数との乗算などが必要となる。そして、Bit-wise型の暗号文を用いる場合、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、クエリの実行時間を著しく低減することが可能となる。

このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。提示された生体認証データと登録された生体認証データの一致度として内積を求める場合に、乗算を行う必要がある。

またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ^２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。本実施形態の暗号処理装置１は、Bit-wise型の暗号文に対して全加算器を用いてビット単位で四則演算を行うのではなく、整数を平文として有するInteger-wise型の暗号文同士で四則演算や比較を行うことにより、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。

図１５は、コンピュータ装置の一実施例を示すブロック図である。
図１５を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。

制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図１における制御部１０として機能する。

記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図１における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図１における記憶部２０として機能する。

暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、第４Bootstrapping処理、第５Bootstrapping処理、第６Bootstrapping処理、鍵交換処理、出力処理のいずれか１以上を含む処理を実行する。
なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。

読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。

通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図１において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図１において、入力部２６として機能する。

表示装置１０８は、各種情報を表示する。表示装置１０８は、例えば、例えばＣＲＴ（Cathode Ray Tube）、ＬＣＤ（Liquid Crystal Display）、ＰＤＰ（Plasma Display Panel）、およびＯＥＬＤ（Organic Electroluminescence Display）などである。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。

１ 暗号処理装置、１０ 制御部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク

Claims (20)

1. 暗号文を処理する暗号処理装置であって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と被乗数である第２暗号文とに基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と前記第２暗号文との平文同士の乗算結果に対応する暗号文を算出する、
   ことを特徴とする暗号処理装置。
2. 暗号文を処理する暗号処理装置であって、
   前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
   乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と、被乗数である第２暗号文と、前記第１暗号文と前記第２暗号文の乗算結果に加算するための第５暗号文と、に基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と、前記第２暗号文と、前記第５暗号文と、の平文同士の融合積和演算の結果に対応する暗号文を算出する、
   ことを特徴とする暗号処理装置。
3. 請求項１に記載の暗号処理装置において、
   被乗数である前記第２暗号文に前記第３暗号文を用いることにより算出した暗号文に対して第１多項式を用いることにより、前記第４暗号文を算出する、
   ことを特徴とする暗号処理装置。
4. 請求項２に記載の暗号処理装置において、
   被乗数である前記第２暗号文に前記第３暗号文を用いることにより算出した暗号文に対して第１多項式を用いることにより算出した暗号文に前記第５暗号文を準同型加算することにより、前記第４暗号文を算出する、
   ことを特徴とする暗号処理装置。
5. 請求項１又は２に記載の暗号処理装置において、
   前記第１階段状多項式の係数に１／２のオフセットを加えたことを特徴とする暗号処理装置。
6. 請求項５に記載の暗号処理装置において、
   前記第１暗号文に対して、係数に１／２のオフセットを加えた第２階段状多項式を夫々用いることにより、前記第１暗号文から負の平文の並び順が反転した新たな第１暗号文を算出し、
   前記新たな第１暗号文に基づいて、前記第１階段状多項式を平文に持つ前記第３暗号文を算出する、
   ことを特徴とする暗号処理装置。
7. 請求項１に記載の暗号処理装置において、
   所定数倍した前記第４暗号文に対して所定の多項式を用いることにより算出した新たな暗号文と前記第４暗号文とを準同型演算した結果に基づいて第６暗号文を算出する、
   ことを特徴とする暗号処理装置。
8. 請求項４に記載の暗号処理装置において、
   前記乗算結果に前記第５暗号文を加算して算出した前記第４暗号文を所定数倍した暗号文に対して所定の多項式を用いることにより算出した新たな暗号文と前記第４暗号文とを準同型演算した結果に基づいて第６暗号文を算出する、
   ことを特徴とする暗号処理装置。
9. 請求項７又は８に記載の暗号処理装置において、
   前記第６暗号文は、乗算結果を前記所定数で割った剰余であり、前記所定数が２のべき数である場合、乗算結果の下位ビットである、
   ことを特徴とする暗号処理装置。
10. 請求項７又は８に記載の暗号処理装置において、
    前記第６暗号文に対して所定の多項式を用いることにより算出した新たな暗号文を前記第４暗号文から準同型演算した結果に基づいて第７暗号文を算出する、
    ことを特徴とする暗号処理装置。
11. 請求項１０に記載の暗号処理装置において、
    前記第７暗号文は、乗算結果を前記所定数で割った商であり、前記所定数が２のべき数である場合、乗算結果の上位ビットである、
    ことを特徴とする暗号処理装置。
12. 請求項１又は２に記載の暗号処理装置において、
    暗号文に対して所定の多項式を用いて新たな暗号文を算出する算出部を備え、前記算出部は、入力となる暗号文に対して、所定の多項式を用いて新たな暗号文を算出するまえに係数の数を削減する処理を行う、
    ことを特徴とする暗号処理装置。
13. 請求項１又は２に記載の暗号処理装置において、
    前記所定の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
    ことを特徴とする暗号処理装置。
14. 請求項１又は２に記載の暗号処理装置において、
    前記所定の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
    ことを特徴とする暗号処理装置。
15. 請求項１又は２に記載の暗号処理装置において、
    前記所定の演算を行うことによって、入力された前記暗号文に基づくカラツバ法の演算を行う、
    ことを特徴とする暗号処理装置。
16. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と被乗数である第２暗号文とに基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と前記第２暗号文との平文同士の乗算結果に対応する暗号文を算出する、
    ことを特徴とする暗号処理方法。
17. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と、被乗数である第２暗号文と、前記第１暗号文と前記第２暗号文の乗算結果に加算するための第５暗号文と、に基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と、前記第２暗号文と、前記第５暗号文と、の平文同士の融合積和演算の結果に対応する暗号文を算出する、
    ことを特徴とする暗号処理方法。
18. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と被乗数である第２暗号文とに基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と前記第２暗号文との平文同士の乗算結果に対応する暗号文を算出する、
    ことを特徴とする暗号処理プログラム。
19. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    乗数である第１暗号文に基づいて、第１階段状多項式を平文に持つ第３暗号文を生成し、前記第３暗号文と、被乗数である第２暗号文と、前記第１暗号文と前記第２暗号文の乗算結果に加算するための第５暗号文と、に基づく演算を行うことにより、演算結果の第４暗号文として、前記第１暗号文と、前記第２暗号文と、前記第５暗号文と、の平文同士の融合積和演算の結果に対応する暗号文を算出する、
    ことを特徴とする暗号処理プログラム。
20. 暗号文を処理する暗号処理装置であって、
    前記暗号文は、所定の値に所定の分散を持つ誤差を与えた値を、整数に対応付けた平文として有し、復号することなく整数同士の所定の演算が可能な完全準同型暗号文であり、
    乗数である第１暗号文に所定の多項式を用いることにより、多項式を平文に持つ第８暗号文を算出し、
    被乗数である第２暗号文に基づく暗号文の各要素を前記第８暗号文の各要素それぞれに乗算することにより、
    前記第１暗号文と前記第２暗号文との平文同士の乗算結果に対応する第４暗号文を算出する、
    ことを特徴とする暗号処理装置。

Images