JP7656798B2 - 同型暗号を用いた暗号化方法及び装置 - Google Patents

Description

以下の実施形態は、同型暗号を用いた暗号化方法及び装置に関する。

完全同型暗号化（ｆｕｌｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ）は、暗号化されたデータを用いた任意の論理的演算又は数学的演算を可能にする暗号化方式である。完全同型暗号化方式は、データ処理でセキュリティーを保持可能にする。

しかし、従来における暗号化方式は、暗号化されたデータの処理が難しいため、顧客のプライバシーの保護が不十分であった。

完全同型暗号化は、顧客がプライバシーを守りながら多くのサービスを受けることを可能にする。

本発明の目的は、同型暗号を用いた暗号化方法及び装置を提供することにある。

プロセッサによって実行される同型暗号（ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ）を用いた暗号化方法において、一実施形態に係る暗号化方法は、データを暗号化することで暗号文を生成するステップと、前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、前記暗号文にブートストラップを行うステップとを含む。

前記行うステップは、前記モジュラーリダクションに対応する関数を近似することにより前記ブートストラップを行うステップを含むことができる。

前記モジュラーリダクションに対応する関数を近似することで前記ブートストラップを行うステップは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成するステップを含むことができる。

前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成するステップは、前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定するステップと、前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定するステップと、前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成するステップとを含むことができる。

前記決定するステップは、前記１つ以上の基準点を通過する区分的連続関数を決定するステップと、前記１つ以上の基準点で前記区分的連続関数との誤差の絶対値が予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップとを含むことができる。

前記区分的連続関数との誤差の絶対値が、予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップは、前記１つ以上の基準点に含まれた第１基準点における誤差と前記第１基準点と隣接する第２基準点の誤差の符号が異なり、絶対値が前記予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップを含むことができる。

前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成するステップは、前記任意の多項式と前記１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を決定するステップと、前記候補点のうち、前記次数に基づいた数のターゲット点を選択するステップと、前記ターゲット点に基づいて前記ターゲット近似多項式を生成するステップとを含むことができる。

前記ターゲット点を選択するステップは、前記候補点のうち、極大と極小が交互に示されるように前記ターゲット点を選択するステップを含むことができる。

前記ターゲット点を選択するステップは、前記誤差の絶対値の和が最大になるよう前記ターゲット点を選択するステップを含むことができる。

前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成するステップは、前記１つ以上の極点の絶対値の最大値と最小値の相対誤差が閾値よりも小さい場合の多項式を前記ターゲット近似多項式で生成するステップを含むことができる。

前記ターゲット近似多項式の基底は、チェビシェフ多項式の基底であってもよい。

同型暗号を用いた暗号化装置において、データを暗号化することで暗号文を生成し、前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、前記暗号文にブートストラップを行う１つ以上のプロセッサを含む。

前記暗号化装置は、前記１つ以上のプロセッサによって実行される命令を格納するメモリをさらに含み、前記１つ以上のプロセッサは、前記命令を実行して前記データを暗号化することで暗号文を生成し、前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで前記暗号文にブートストラップを行うことができる。

前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似することで前記ブートストラップを行うことができる。

前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成することができる。

前記１つ以上のプロセッサは、前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定し、前記１つ以上の基準点に基づいて任意の多項式を取得し、前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成することができる。

前記１つ以上のプロセッサは、前記１つ以上の基準点を通過する区分的連続関数を決定し、前記１つ以上の基準点で前記区分的連続関数との誤差の絶対値が、予め決定された値になる多項式を生成することで前記任意の多項式を決定することができる。

前記１つ以上のプロセッサは、前記１つ以上の基準点に含まれた第１基準点における誤差と前記第１基準点と隣接する第２基準点の誤差の符号が異なり、絶対値が前記予め決定された値になる多項式を生成することで前記任意の多項式を決定することができる。

前記１つ以上のプロセッサは、前記任意の多項式と前記１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を決定し、前記候補点のうち、前記次数に基づいた数のターゲット点を選択し、前記ターゲット点に基づいて前記ターゲット近似多項式を生成することができる。

前記１つ以上のプロセッサは、前記候補点のうち、極大と極小が交互に示されるように前記ターゲット点を選択することができる。

前記１つ以上のプロセッサは、前記誤差の絶対値の和が最大になるように前記ターゲット点を選択することができる。

前記１つ以上のプロセッサは、前記１つ以上の極点の絶対値の最大値と最小値の相対誤差が閾値よりも小さい場合の多項式を前記ターゲット近似多項式で生成することができる。

前記ターゲット近似多項式の基底は、チェビシェフ多項式の基底であってもよい。

同型暗号化を行う装置において、暗号化されたデータの暗号文に対応するモジュラスに対して、１つ以上のターゲット点の選択に基づいたモジュラーリダクションに対応する関数の近似を行うことで前記暗号化されたデータの暗号文をブートストラップし、前記モジュラーリダクションに対応する前記関数を近似するターゲット近似多項式を生成する１つ以上のプロセッサとを含む。

前記近似多項式は、チェビシェフ交互定理（Ｃｈｅｂｙｓｈｅｖ ａｌｔｅｒｎａｔｉｏｎ ｔｈｅｏｒｅｍ）を用いて生成されることができる。

前記１つ以上のプロセッサは、前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定し、前記１つ以上の基準点に基づいて任意の多項式を決定し、前記任意の多項式から選択された１つ以上の極点に基づいてターゲット近似多項式を生成することができる。

本発明によると、同型暗号を用いた暗号化方法及び装置を提供することができる。

一実施形態に係る暗号化装置の概略的なブロック図を示す。 図１に示された暗号化装置がターゲット近似多項式を生成するアルゴリズムの一例を示す。 図１に示された暗号化装置がターゲット近似多項式を生成するアルゴリズムの他の例を示す。 図１に示された暗号化装置がターゲット近似多項式を生成する動作のフローチャートを示す。 図１に示された暗号化装置が極点を探索する動作のフローチャートを示す。 図１に示された暗号化装置がターゲット点を選択するアルゴリズムの例を示す。 図１に示された暗号化装置がターゲット点を選択する動作のフローチャートを示す。 図１に示された暗号化装置の全体動作の順序を示す。

以下、添付の図面を参照して実施形態を詳細に説明する。しかし、実施形態には多様な変更が加えられることができ、特許出願の権利範囲がこの実施形態により制限されたり限定されることはない。実施形態に対するすべての変更、均等物ないし代替物が権利範囲に含まれるものとして理解されなければならない。

本明細書で用いる用語は、単に特定の実施形態を説明するために用いられるものであって、本発明を限定しようとする意図はない。単数の表現は、文脈上、明白に異なる意味をもたない限り複数の表現を含む。本明細書において、「含む」又は「有する」等の用語は明細書上に記載した特徴、数字、ステップ、動作、構成要素、部品、又はこれらを組み合わせたものが存在することを示すものであって、一つ又はそれ以上の他の特徴や数字、ステップ、動作、構成要素、部品、又はこれらを組み合わせたものなどの存在又は付加の可能性を予め排除しないものとして理解しなければならない。

異なるように定義さがれない限り、技術的であるか又は科学的な用語を含むここで用いる全ての用語は、本実施形態が属する技術分野で通常の知識を有する者によって一般的に理解されるものと同じ意味を有する。一般的に用いられる予め定義された用語は、関連技術の文脈上で有する意味と一致する意味を有するものと解釈すべきであって、本明細書で明白に定義しない限り、理想的又は過度に形式的な意味として解釈されることはない。

また、図面を参照して説明する際に、図面符号に拘わらず同じ構成要素は同じ参照符号を付与し、これに対する重複する説明は省略する。実施形態の説明において関連する公知技術に対する具体的な説明が本発明の要旨を不要に曖昧にすると判断される場合、その詳細な説明は省略する。

また、実施例の構成要素の説明において、第１，第２，Ａ，Ｂ，（ａ），（ｂ）などの用語を使用することができる。このような用語は、その構成要素を他の構成要素と区別するためのものであって、その用語によって該当の構成要素の本質や順番又は順序などが限定されることはない。いずれかの構成要素が他の構成要素に「連結」，「結合」又は「接続」されたと記載される場合、その構成要素はその他の構成要素に直接的に連結又は接続され得るが、各構成要素の間に更なる構成要素が「連結」，「結合」又は「接続」され得ると理解されなければならないのであろう。

いずれかの１つの実施形態に含まれている構成要素と、共通的な機能を含む構成要素は、他の実施形態において同じ名称を用いて説明することにする。反対となる記載がない以上、いずれか１つの実施形態に記載した説明は、他の実施形態にも適用されてもよく、重複する範囲で具体的な説明は省略することにする。

図１は、一実施形態に係る暗号化装置の概略的なブロック図を示す。

図１を参照すると、暗号化（ｅｎｃｒｙｐｔｉｏｎ）装置１０は、データの暗号化を行う。暗号化装置１０は、データの暗号化を介して暗号化されたデータを生成する。以下において、暗号化されたデータは、暗号文（ｃｉｐｈｅｒｔｅｘｔ）と称される。

暗号化装置１０は、同型暗号を用いて暗号化されたデータを復号化することなく、演算できる暗号技術を提供することができる。例えば、暗号化装置１０は、同型暗号を用いて暗号化された状態で演算した結果を復号化することで、平文（ｐｌａｉｎ ｔｅｘｔ）状態のデータを演算した結果と同じ結果が導き出される。暗号化装置１０は、任意の実数又は複素数に対する同型暗号演算を提供することができる。

暗号化装置１０は、同型暗号（ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ）に必要なブートストラップ（ｂｏｏｔｓｔｒａｐｐｉｎｇ）を行ってもよい。暗号化装置１０は、同型暗号に求められるモジュラーリダクション（ｍｏｄｕｌａｒ ｒｅｄｕｃｔｉｏｎ）に対応する関数を近似するためにターゲット近似多項式を生成する。

暗号化装置１０は、最適な最小最大近似多項式（ｏｐｔｉｍａｌ ｍｉｎｉｍａｘ ａｐｐｒｏｘｉｍａｔｅ ｐｏｌｙｎｏｍｉａｌ）の各次数に対して、最小最大近似誤差（ｍｉｎｉｍａｘ ａｐｐｒｏｘｉｍａｔｉｏｎ ｅｒｒｏｒ）を算出することができる。

暗号化装置１０は、最適近似多項式をターゲット近似多項式により探すことで、同型暗号方式の最小最大近似誤差の観点で優れた性能を提供することができる。

暗号化装置１０は、モジュラーリダクション関数を近似するための近似領域情報を用いて、モジュラーリダクション関数を近似するターゲット近似多項式を生成する。

暗号化装置１０は、プロセッサ１００及びメモリ２００を含む。

プロセッサ１００は、メモリ２００に格納されたデータを処理する。プロセッサ１００は、メモリ２００に格納されたコンピュータで読み出し可能なコード（例えば、ソフトウェア）及びプロセッサ１００によって誘発された命令（ｉｎｓｔｒｕｃｔｉｏｎ）を実行する。

「プロセッサ１００」は、目的とする動作を実行させるための物理的な構造を有する回路を有するハードウェアで具現されたデータ処理装置である。例えば、目的とする動作は、プログラムに含まれているコード又は命令を含んでもよい。

例えば、ハードウェアで具現されたデータ処理装置は、マイクロプロセッサ、中央処理装置、プロセッサコア、マルチコアプロセッサ、マルチプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）を含んでもよい。

プロセッサ１００は、データを暗号化することで暗号文を生成する。プロセッサ１００は、生成した暗号文に対応するモジュラスに対して、モジュラーリダクション（ｍｏｄｕｌａｒ ｒｅｄｕｃｔｉｏｎ）を行うことで暗号文にブートストラップを行ってもよい。

プロセッサ１００は、モジュラーリダクションに対応する関数を近似することによりブートストラップを行う。プロセッサ１００は、モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成する。

プロセッサ１００は、ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定することができる。

プロセッサ１００は、決定された１つ以上の基準点に基づいて任意の多項式を決定する。プロセッサ１００は、１つ以上の基準点を通過する区分的連続（ｐｉｅｃｅｗｉｓｅ ｃｏｎｔｉｎｕｏｕｓ）関数を決定する。プロセッサ１００は、１つ以上の基準点で区分的連続関数との誤差の絶対値が、予め決定された値になる多項式を生成することで、任意の多項式を決定することができる。

プロセッサ１００は、１つ以上の基準点に含まれた第１基準点における誤差と、第１基準点に隣接する第２基準点の誤差の符号が異なり、絶対値が予め決定された値になる多項式を生成することで、任意の多項式を決定することができる。

プロセッサ１００は、任意の多項式から選択された１つ以上の極点（ｅｘｔｒｅｍｕｍ ｐｏｉｎｔ）に基づいてターゲット近似多項式を生成する。具体的に、プロセッサ１００は、任意の多項式と１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を決定することができる。

プロセッサ１００は、決定した候補点のうち、ターゲット近似多項式の次数に基づいた数のターゲット点を選択する。プロセッサ１００は、候補点のうち、極大と極小が交互に示されるようにターゲット点を選択してもよい。プロセッサ１００は、任意の多項式と１つ以上の基準点を通過する区分的連続関数間の誤差の絶対値の和が最大になるようターゲット点を選択する。

プロセッサ１００は、選択したターゲット点に基づいてターゲット近似多項式を生成する。プロセッサ１００は、１つ以上の極点の絶対値の最大値と最小値の相対誤差が閾値よりも小さい場合の多項式を、ターゲット近似多項式で生成することができる。

ここで、ターゲット近似多項式の基底は、チェビシェフ（Ｃｈｅｂｙｓｈｅｖ）多項式の基底であってもよい。

メモリ２００は、プロセッサによって実行可能な命令（又は、プログラム）を格納する。例えば、命令は、プロセッサの動作及び／又はプロセッサの各構成の動作を実行するための命令を含んでもよい。

メモリ２００は、揮発性メモリ装置又は不揮発性メモリ装置に具現されてもよい。

揮発性メモリ装置は、ＤＲＡＭ（ｄｙｎａｍｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ＳＲＡＭ（ｓｔａｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、Ｔ－ＲＡＭ（ｔｈｙｒｉｓｔｏｒ ＲＡＭ）、Ｚ－ＲＡＭ（ｚｅｒｏ ｃａｐａｃｉｔｏｒ ＲＡＭ）、又はＴＴＲＡＭ（Ｔｗｉｎ Ｔｒａｎｓｉｓｔｏｒ ＲＡＭ）で具現される。

不揮発性メモリ装置は、ＥＥＰＲＯＭ（Ｅｌｅｃｔｒｉｃａｌｌｙ Ｅｒａｓａｂｌｅ Ｐｒｏｇｒａｍｍａｂｌｅ Ｒｅａｄ－Ｏｎｌｙ Ｍｅｍｏｒｙ）、フラッシュ（ｆｌａｓｈ）メモリ、ＭＲＡＭ（Ｍａｇｎｅｔｉｃ ＲＡＭ）、スピン伝達トルクＭＲＡＭ（Ｓｐｉｎ－Ｔｒａｎｓｆｅｒ Ｔｏｒｑｕｅ（ＳＴＴ）－ＭＲＡＭ）、Ｃｏｎｄｕｃｔｉｖｅ Ｂｒｉｄｇｉｎｇ ＲＡＭ（ＣＢＲＡＭ）、ＦｅＲＡＭ（Ｆｅｒｒｏｅｌｅｃｔｒｉｃ ＲＡＭ）、ＰＲＡＭ（Ｐｈａｓｅ ｃｈａｎｇｅ ＲＡＭ）、抵抗メモリ（Ｒｅｓｉｓｔｉｖｅ ＲＡＭ（ＲＲＡＭ））、ナノチューブＲＲＡＭ（Ｎａｎｏｔｕｂｅ ＲＲＡＭ）、ポリマーＲＡＭ（Ｐｏｌｙｍｅｒ ＲＡＭ（ＰｏＲＡＭ））、ナノ浮遊ゲートメモリ（Ｎａｎｏ Ｆｌｏａｔｉｎｇ Ｇａｔｅ Ｍｅｍｏｒｙ（ＮＦＧＭ））、ホログラフィックメモリ（ｈｏｌｏｇｒａｐｈｉｃ ｍｅｍｏｒｙ）、分子電子メモリ素子（Ｍｏｌｅｃｕｌａｒ Ｅｅｌｅｃｔｒｏｎｉｃ Ｍｅｍｏｒｙ Ｄｅｖｉｃｅ）、又は、絶縁抵抗変化メモリ（Ｉｎｓｕｌａｔｏｒ Ｒｅｓｉｓｔａｎｃｅ Ｃｈａｎｇｅ Ｍｅｍｏｒｙ）に具現することができる。

以下において、図２Ａ～図２Ｃを参照して暗号化装置１０が暗号化及びブートストラップを行う過程について詳細に説明する。以下、暗号化装置１０が行う暗号化動作の説明後も、ブートストラップ過程についてより詳細に説明する。

図２Ａ及び図２Ｂは、図１に示された暗号化装置がターゲット近似多項式を生成するアルゴリズムの例を示し、図２Ｃは、図１に示された暗号化装置がターゲット近似多項式を生成する動作のフローチャートを示す。

図２Ａ～図２Ｃを参照すると、プロセッサ１００は、データに対する暗号化を行ってもよい。

以下、プロセッサ１００の暗号化動作を説明するための表記について説明する。

以下、プロセッサが行う暗号化動作について説明する。

プロセッサ１００は、実数又は複素数の暗号化されたデータに対する数個の演算を支援する。暗号化装置１０は、主に実数を扱っているため、暗号化方式のセキュリティーを保障するノイズがデータの重要な要素の外部に受容されされてもよい。

数個の独立的なメッセージが暗号化前に基本埋め込み（ｃａｎｏｎｉｃａｌ ｅｍｂｅｄｄｉｎｇ）によって１つの多項式で符号化される。

暗号化装置１０はキーを生成することができる。与えられたセキュリティーパラメータλに対して、暗号化装置１０はＭの累乗、整数ｈ、整数Ｐ、正の実数α、フレッシュ暗号文モジュラス（ｆｒｅｓｈ ｃｉｐｈｅｒｔｅｘｔ ｍｏｄｕｌｕｓ）ｑ_Ｌ及び最大暗号文モジュラスとなるビッグ暗号文モジュラス（ｂｉｇ ｃｉｐｈｅｒｔｅｘｔ ｍｏｄｕｌｕｓ）Ｑを選択する。

フレッシュ暗号文は、演算が実行されていない暗号化されたデータ又は最初に暗号化されたデータを意味する。

プロセッサ１００は、パブリックキー（ｐｕｂｌｉｃ ｋｅｙ、ｐｋ）及びシークレットキー（ｓｅｃｒｅｔ ｋｅｙ、ｓｋ）を数式（２）のように設定することができる。

プロセッサ１００は、計算キー（ｅｖａｌｕａｔｉｏｎ ｋｅｙ）を数式（３）のように設定することができる。

それぞれの暗号文は、ブートストラップなしに乗算の最大回数を示すレベルｌ（エル）を有する。レベルｌの各暗号文に対するモジュラスｑｌはスケーリング因子がｐであり、ベースモジュラスがｑ_０であるとき、ｐ^ｌｑ_０の値を有することができる。

さらに、プロセッサ１００は、ブートストラップにおける同型線形変換に使用される複素共役（ｃｏｍｐｌｅｘ ｃｏｎｊｕｇａｔｉｏｎ）演算及び回転（ｒｏｔａｔｉｏｎ）演算を行ってもよい。

以下、暗号化装置１０が行うブートストラップの動作について説明する。

ブートストラップの目的は、乗算がこれ以上実行できないレベル０の暗号文をリフレッシュし、同じメッセージを有するレベルＬの暗号文を生成することにある。

暗号文は、暗号化されたデータを意味する。暗号文のレベルは、ブートストラップなしに可能な乗算の数を意味する。

ブートストラップは、４つの動作を含んでもよい。最初に、ブートストラップはモジュラス増加動作を含み、第２に、同型線形変換動作を含む。第３に、同型モジュラーリダクション動作を含み、第４に、同型線形変換動作を含む。

プロセッサ１００は、モジュラス増加を行ってもよい。モジュラス増加動作を説明するために、Ｒ^２ _ｑ０の代わりにＲ^２ _Ｑの元素としてレベル０の暗号文が使用されてもよい。

レベル０の暗号文は〈ｃｔ，ｓｋ〉≒ｍ ｍｏｄ ｑ_０の状態であってもよい。ここで、ｃｔは暗号文を意味し、ｓｋはシークレットキーを意味する。プロセッサ１００が暗号文を復号化（ｄｅｃｒｙｐｔ）するときには、いかなるＩ∈Ｒに対して〈ｃｔ，ｓｋ〉≒ｍ＋ｑ_０Ｉ ｍｏｄ Ｑの形態を有してもよい。

ここで、ｓｋの係数が小さい数を有しているため、Ｉの係数の絶対値は小さい数を有する。例えば、Ｉの係数の絶対値は１２よりも小さい値を有する。

プロセッサ１００は、レベル０の暗号文にブートストラップを行うことで〈ｃｔ’，ｓｋ〉≒ｍ ｍｏｄ ｑ_Ｌを満たすｃｔ’を作ることができる。そのため、プロセッサ１００は、同型線形変換及びモジュラーリダクション関数の同型計算を行うことができる。

以下では、プロセッサ１００の同型線形変換動作について説明する。モジュラス増加が実行された後、暗号文ｃｔはｍ＋ｑ_０Ｉを暗号化する暗号文として見なし得る。プロセッサ１００は、メッセージ多項式の係数にモジュラーリダクションを同型的に行う。

演算はスロットのためのものであり、メッセージ多項式の係数に対するものではないため、係数に意味のある演算を行うために、プロセッサ１００は、ｃｔをｍ＋ｑ_０Ｉの係数をそのスロット（ｓｌｏｔ）に暗号化する暗号文に変換することができる。

プロセッサ１００は、同型モジュラーリダクション関数の計算以後に変換された暗号文を以前の暗号文のスロットをそのメッセージの係数で暗号化する他の暗号文ｃｔ’に逆変換する。以下では、このような変換及び逆変換演算をそれぞれＣ_ＯＥＦＦＴｏＳ_ＬＯＴ及びＳ_ＬＯＴＴｏＣ_ＯＥＦＦと称する。

上述した２つの変換演算は、メッセージの符号化及び復号化の同型計算として見なし、Φ_Ｍ（ｘ）の根に対するヴァンデルモンド（Ｖａｎｄｅｒｍｏｎｔｅ）の行列の一部の変数による線形変換であってもよい。また、変換演算は、一般的な同型行列乗算又はＦＦＴ－類似（ｆａｓｔ Ｆｏｕｒｉｅｒ ｔｒａｎｓｆｏｒｍ－ｌｉｋｅ）演算によって実行されてもよい。

プロセッサ１００は、同型モジュラーリダクション（又は、モジュラーリダクション）動作を行ってもよい。具体的に、プロセッサ１００は、同型モジュラーリダクション関数を用いてモジュラーリダクション動作を行ってもよい。

Ｃ_ＯＥＦＦＴｏＳ_ＬＯＴ変換が行われた後、プロセッサ１００は、モジュラスｑ_０にて各スロット上にモジュラーリダクションを同型的に行うことができる。以下では、このような過程はＥ_ＶＡＬＭＯＤと称する。

プロセッサ１００はメッセージの範囲を、ｍ／ｑ_０を十分に小さくするよう制限することで、近似領域をｑ_０の倍数の近所に制限する。このような範囲の制限により、プロセッサ１００は、モジュラーリダクションをより効率よく行うことができる。

以下、図２Ａに示すアルゴリズムについて詳細に説明する。

プロセッサ１００は、図２Ａに示すアルゴリズム１を用いて区間［ａ，ｂ］上の任意の連続関数について最小最大近似多項式を探すことで、ターゲット近似多項式を生成することができる。プロセッサ１００は、チェビシェフ交互定理（Ｃｈｅｂｙｓｈｅｖ ａｌｔｅｒｎａｔｉｏｎ ｔｈｅｏｒｅｍ）を用いて、ｅｑｕｉｏｓｃｉｌｌａｔｉｏｎ条件が満たされるターゲット近似多項式を生成することができる。

プロセッサ１００は、ハール条件（Ｈａａｒ ｃｏｎｄｉｔｉｏｎ）を満たす基底関数｛ｇ_１，．．．，ｇ_ｎ｝を有するターゲット近似多項式を生成する。プロセッサ１００は、次数がｄであるターゲット近似多項式を生成するため、基底関数｛ｇ_１，．．．，ｇ_ｎ｝をパワー基底（ｐｏｗｅｒ ｂａｓｉｓ）{1,x,...,x^d}として選択する。ここで、ｎ＝ｄ＋１であってもよい。

プロセッサ１００は、最小最大近似多項式の極点に収斂する基準点の集合を初期化することができる。プロセッサ１００は、基準点の集合に対して最小最大多項式を取得する。基準点の集合は［ａ，ｂ］で有限な点の集合であるため、［ａ，ｂ］の閉部分集合であってもよく、基準点に集合に対してチェビシェフ交互定理が満たされる。

ｆ（ｘ）が［ａ，ｂ］上の連続関数であれば、基準点の集合上の最小最大近似多項式は、基底｛ｇ_１，．．．，ｇ_ｎ｝を有する一般化された多項式ｐ（ｘ）であり、任意のＥ値に対して数式（８）の条件を満たす。

プロセッサ１００は、数式（８）を用いて任意の多項式ｐ（ｘ）を取得する。数式（８）により、ｐ（ｘ）及びＥのｎ係数のｎ＋１の変数及びｎ＋１の方程式を有する線形方程式のシステムが形成され、線形方程式は、ハール条件により特異的でないため、プロセッサ１００は、数式（８）の条件を満たす多項式ｐ（ｘ）を決定することができる。

プロセッサ１００は、ｚ_０＝ａ，ｚ_ｎ＋１＝ｂ_ｉ＝１，２，．．．，ｎ、であるとき、ｘ_ｉとｘ_ｉ＋１との間でｐ（ｘ）－ｆ（ｘ）のｎ個の零点（ｚｅｒｏｓ）ｚ_ｉを取得し、それぞれの［ｚ_ｉ－１，ｚ_ｉ］でｐ（ｘ）－ｆ（ｘ）のｎ＋１個の極点であるｙ_１，．．．，ｙ_ｎ＋１を取得することができる。

プロセッサ１００は、ｐ（ｘ_ｉ）－ｆ（ｘ_ｉ）＜０であるとき、［ｚ_ｉ－１，ｚ_ｉ］でｐ（ｘ）－ｆ（ｘ）の最小点を選択し、ｐ（ｘ_ｉ）－ｆ（ｘ_ｉ）＞０であるとき、［ｚ_ｉ－１，ｚ_ｉ］でｐ（ｘ）－ｆ（ｘ）の最大点を選択することができる。

これを通じて、プロセッサ１００は、新しい極点の集合ｙ_１，．．．，ｙ_ｎ＋１を候補点として選択することができる。このような候補点がｅｑｕｉｏｓｃｉｌｌａｔｉｏｎ条件を満たせば、プロセッサ１００は、チェビシェフ交互定理から最小最大近似多項式を返還することで、ターゲット近似多項式を生成することができる。

また、プロセッサ１００は、基準点の集合を上述した過程を介して取得した新しい極点の集合であるｙ_１，．．．，ｙ_ｎ＋１に代替し、上述した多項式の生成過程を繰り返して行う。

図２Ａに示されたアルゴリズム１は、１つの区間の多重部分区間（ｍｕｌｔｉｐｌｅ ｓｕｂ－ｉｎｔｅｒｖａｌｓ）に拡張されてもよい。多重部分区間で拡張して適用される場合、図２Ａのステップ３とステップ４が変更される。

それぞれの繰り返しで、プロセッサ１００は、誤差関数ｐ－ｆの全ての地域極点を取得し、このような地域極点の絶対誤差値は、現在の基準点における絶対誤差値よりも大きくてもよい。

その後、プロセッサ１００は、取得した全ての地域極点のうち次の２つの条件が満たされるｎ＋１個の新しい極点を選択することができる。

１．誤差値は符号が交互に表示される。

２．新しい極点の集合は、全域極点（ｇｌｏｂａｌ ｅｘｔｒｅｍｅ ｐｏｉｎｔ）を含む。

上述した２つの条件は、最小最大一般化多項式の収斂を保障する。

図２Ｂ及び図２Ｃは、図２Ａに示すアルゴリズムを修正した多項式生成方法を示す。プロセッサ１００は、全ての地域極点のうち新しい極点を選択する方法を変更してもよい。

図２Ｂに示すアルゴリズムをフローチャートに示せば、図２Ｃの通りである。プロセッサ１００は、近似領域でｄ＋２個の点を設定する（Ｓ２１０）。ｄ＋２個の点は上記で説明した１つ以上の基準点を意味する。

プロセッサ１００は、ｄ＋２個の基準点に基づいて任意の多項式を取得することができる。例えば、プロセッサ１００は、数式（８）を満たす多項式ｐ（ｘ）とＥ値を探す（Ｓ２２０）。

プロセッサ１００は、ｐ（ｘ）－ｆ（ｘ）の局所極大点と局所極小点のうち、絶対値がＥよりも大きいか同じ点を取得する（Ｓ２３０）。ここで、Ｅ値は、上述した予め決定された値を意味し、取得された局所極大点と局所極小点は上記で説明した候補点を意味する。

プロセッサ１００は、取得した点のうち、極大と極小が交互に示されるようｄ＋２個の点を選択するが、ｐ（ｘ）－ｆ（ｘ）の絶対値の和が最大になるよう、ｄ＋２個の点を選択する（Ｓ２４０）。絶対値が和が最大になるｄ＋２個の点は上記で説明したターゲット点を意味する。絶対値の和が最大になるようにｄ＋２個の点を選択する過程については、図４Ａ、図４Ｂを参照して詳しく説明する。

プロセッサ１００は、選択したｄ＋２個のターゲット点のうち、絶対値の最大値と最小値の相対誤差がδよりも小さいかを判別する（Ｓ２５０）。δは、上記で説明した閾値を意味する。

プロセッサ１００は、ターゲット点に対応する絶対値の最大値及び最小値の相対誤差がδよりも小さい場合、任意の多項式ｐ（ｘ）をターゲット近似多項式で出力する（Ｓ２６０）。そうではない場合、プロセッサ１００は、Ｓ２２０ないしＳ２５０の過程を繰り返す。

以下では、図２Ｂ及び図２Ｃの動作をより詳しく説明する。

プロセッサ１００が近似しようとする関数は、数式（９）に表現される有限な数字の整数近所でのみ定義される正規化されたモジュラーリダクション（ｎｏｒｍａｌｉｚｅｄ ｍｏｄｕｌａｒ ｒｅｄｕｃｔｉｏｎ）関数である。

数式（９）は、ドメイン及び範囲に対してスケーリングされたモジュラーリダクション関数を示す。

プロセッサ１００は、同型計算（ｈｏｍｏｒｐｈｉｃ ｅｖａｌｕａｔｉｏｎ）を効率的に行うために、normod(x)を近似するためコサイン関数を倍角の公式（ｄｏｕｂｌｅ－ａｎｇｌｅ ｆｏｒｍｕｌａ）を用いて近似することができる。

倍角の公式をｌ（エル）回使用すれば、数式（１０）のコサイン関数が近似されなければならない。

数式（９）、（１０）の関数を含む区分的連続関数を近似するために、プロセッサ１００は、数式（１１）のように与えられる有限な複数の閉じた区間の和集合（ｕｎｉｏｎ）上に定義される一般的な区分的連続関数を仮定する。

ここで、全てのｉ＝１，．．．，ｔ－１に対して、ａ_ｉ＜ｂ_ｉ＜ａ_ｉ＋１＜ｂ_ｉ＋１であってもよい。

プロセッサ１００は、ｄ以下の次数を有する多項式で与えられた区分的連続関数を数式（１１）のＤ上に近似するため、複数の極点から新しいｄ＋２個の基準点を選択するための基準を設定することができる。

プロセッサ１００は［ａ，ｂ］上でハール条件が満たされる｛ｇ_１，．．．，ｇ_ｎ｝を多項式の基底にして、ターゲット近似多項式を生成することができる。プロセッサ１００は、各繰り返しで基準点の集合による最小最大近似多項式を取得することができ、次の繰り替えしで新しい基準点の集合を選択することができる。

プロセッサ１００が基準点の集合を用いて取得した任意の多項式を用いて算出した誤差関数の極点のうち、ｎ＋１個の点を選択する場合の数は極めて多いこともある。プロセッサ１００が行う暗号化過程において、多くの区間が考慮され得るため、候補極点の数が極めて多くてもよい。

プロセッサ１００は、繰り返しの数を最大に減らすために、各繰り返しで複数の候補点のうち、ｎ＋１個のターゲット点を選択してもよい。そのため、プロセッサ１００は、各繰り返しで生成する近似多項式を収斂させて最小最大近似多項式を生成することができる。

ｎ＋１個のターゲット点を選択する基準を設定するため、プロセッサ１００は数式（１２）の関数を定義する。

ここで、ｐ（ｘ）は各繰り返しで取得した任意の多項式を意味し、ｆ（ｘ）は近似される区分的連続関数を意味する。以下で便宜のためにμ_ｐ，ｆはμと称する。

プロセッサ１００は、ｐ（ｘ）－ｆ（ｘ）の全ての極点を取得して集合Ｂを生成する。Ｂは有限集合として、Ｂ＝｛ｘ_１，ｘ_２，．．．，ｘ_ｍ｝のように示すことができる。プロセッサ１００は、Ｂに属する１つの区間で一点を選択してもよい。

Ｂがｘ_１＜ｘ_２＜・・・＜ｘ_ｍのように昇べきの順で整列されていると仮定すれば、μの値は１又は－１であってもよい。極点の数はｍ≧ｎ＋１を満たす。

プロセッサ１００は、関数の集合Ｓを数式（１３）のように定義する。

ここで、ｎ＋１＝ｍである場合、集合Ｓは恒等関数（ｉｄｅｎｔｉｔｙ ｆｕｎｃｔｉｏｎ）のみを含んでもよい。

プロセッサ１００は、ｎ＋１個の極点を選択するために３種類の基準を設定することができる。

最初の条件として、プロセッサ１００は、地域極値（ｌｏｃａｌ ｅｘｔｒｅｍｅ ｖａｌｕｅ）条件を設定する。もし、Ｅが設定された基準点における絶対誤差であれば、数式（１４）の条件が設定されてもよい。

プロセッサ１００は、地域極値の条件を満たすためにｐ（ｘ）－ｆ（ｘ）の地域最大値が負数であるか、ｐ（ｘ）－ｆ（ｘ）の地域最小値が正数である場合にその極点を捨てることができる。

第２に、プロセッサ１００は、交互条件を設定する。言い換えれば、数式（１５）の条件が設定されてもよい。言い換えれば、隣接する２つの極点のうち１つの極点が地域最大値であれば、他の１つの極点は地域最小値であってもよい。

第３に、プロセッサ１００は、最大絶対和の条件（ｍａｘｉｍｕｍ ａｂｓｏｌｕｔｅ ｓｕｍ ｃｏｎｄｉｔｉｏｎ）を設定する。プロセッサ１００は、地域極値の条件及び交互条件が満たされるσのうち、数式（１６）の値を最大化するσを選択することができる。

現在の基準点であるｘ_１，・・・，ｘ_ｎ＋１における絶対誤差値は小最大近似誤差よりも小さく、繰り返し回数が増加するほど、最小最大近似誤差として収斂されることができる。

また、現在の基準点の絶対誤差値は、ｘ_１，・・・，ｘ_ｎ＋１で以前の繰り返しにおける近似多項式の絶対誤差値の加重平均であってもよい。

プロセッサ１００は、最大絶対和の条件を用いて現在の基準点の絶対誤差値が最小最大近似誤差として早く収斂するようにする。

地域極値の条件及び交互条件は、図２Ａ及び図２Ｂに示すアルゴリズムの全てに適用され、最大絶対和の条件は、図２Ｂに示すアルゴリズム２に適用される。プロセッサ１００は、最大絶対和の条件を適用させることで、最小最大近似多項式の収斂を加速化することができる。

プロセッサ１００は、図２Ｂに示すアルゴリズム２のステップ２、３及び４を下記のように効率よく行うことができる。プロセッサ１００は、連続関数ｆ（ｘ）に対する現在の基準点におけるパワー基底を有する近似多項式の係数を探すことができる。

言い換えれば、プロセッサ１００は、数式（１７）の係数ｃ_ｊ値を取得することでターゲット近似多項式を生成し得る。

ここで、Ｅは、線形方程式の任意の未知数であってもよい。近似多項式の基底の次数が増加するほど係数は減少する。プロセッサ１００は、高い次数の基底の係数に対してより高い正確度を設定しなければならない。

従って、プロセッサ１００は、ターゲット近似多項式の基底をチェビシェフ多項式の基底を用いることで正確度の問題を効率よく解決することができる。チェビシェフ基底を用いた多項式の係数は、ほとんど同じ次数（ｏｒｄｅｒ）を有するため、プロセッサ１００は、パワー基底の代わりにチェビシェフ基底を用いてターゲット近似多項式を生成することができる。

チェビシェフ多項式は、上述したハール条件を満たし、プロセッサ１００は、ｄ＋２個の基準点を用いて数式（１８）のｄ＋２個の線形方程式のシステムを解いてｃ_ｊ及びＥを算出することで、ターゲット近似多項式を取得することができる。

図３は、図１に示された暗号化装置が極点を探索する動作のフローチャートを示す。

図３を参照すると、プロセッサ１００は、基準点に基づいて任意の多項式を取得し、任意の多項式と基準点を通過する区分的連続関数間の誤差の極点を探索することができる。プロセッサ１００は、任意の多項式と基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか、又は同じ候補点を取得することができる。以下、プロセッサ１００が極点を探索して候補点を取得する過程について説明する。

プロセッサ１００は、任意の多項式と区分的連続関数間の誤差であるｐ（ｘ）－ｆ（ｘ）を小さいステップ（ｓｔｅｐ）でスキャンし、増加と減少が変わる極点を取得することができる。

一般に、小さいステップは、極点探索の正確度を増加させるが、スキャン時間が増加してもよい。具体的に、ｌ（エル）ビットの正確度で極点を取得するためには２^ｌに比例する時間が費やされる。

しかし、プロセッサ１００は、後述する探索動作によって２^ｌ時間の代わりにｌの線形時間（ｌｉｎｅａｒ ｔｉｍｅ）内に極点を探索することができる。

プロセッサ１００は、バイナリサーチ（ｂｉｎａｒｙ ｓｅａｒｃｈ）方式を用いて増加と減少が変わる極点の探索時間を低減することができる。

以下では、任意の多項式と区分的連続関数の誤差をｒ（ｘ）＝ｐ（ｘ）－ｆ（ｘ）のように示し、ｓｃはスキャンステップを示す。

数式（１９）の過程を介して、プロセッサ１００はＯ（ｌｏｇ（ｓｃ）＋ｌ）
ビットの正確度（ｐｒｅｃｉｓｉｏｎ）で極点を取得することができる。

以下、上述した極点探索を通した候補点の取得過程を詳しく説明する。プロセッサ１００は、近似領域のうち最も小さい点ｘを取得する（Ｓ３１０）。プロセッサ１００は、ｘが極大値である場合、ｒ（ｘ）がＥの絶対値よりも大きいか同一であるか、ｘが極小値である場合、ｒ（ｘ）がＥの絶対値に－１を乗算した値よりも小さいかを判断する（Ｓ３２０）。

ステップＳ３２０の条件が満たされる場合、プロセッサ１００は、ｘ_０を配列Ｂに追加する（Ｓ３２１）。ステップＳ３２０の条件が満たされない場合、プロセッサ１００は、ｘにｘ＋ｓｃを代入する（Ｓ３３０）。

その後、プロセッサ１００は、ｘが近似領域に含まれているかを判断する（Ｓ３４０）。Ｘが近似領域に含まれている場合、プロセッサ１００は、ｒ（ｘ）－ｒ（ｘ－ｓｃ）とｒ（ｘ＋ｓｃ）－ｒ（ｘ）の符号が異なるかを判断する（Ｓ３５０）。

ｘが近似領域に含まれていない場合、プロセッサ１００は、ｘに該当区間の最も大きい値を代入する（Ｓ３４１）。ここで、プロセッサ１００は、ｘが極大値である場合、ｒ（ｘ）がＥの絶対値よりも大きいか同一であるか、又は、ｘが極小値である場合、ｒ（ｘ）がＥの絶対値に－１を乗算した値よりも小さいかを判断する（Ｓ３４２）。

プロセッサ１００は、ステップＳ３４２の条件が満たされる場合、ｘ_０を配列Ｂに追加し（Ｓ３４３）、ステップＳ３４２の条件が満たされない場合、ｘが近似領域の最大値であるかを判断する（Ｓ３４４）。ここで、ｘが近似領域の最大値である場合、プロセッサ１００は動作を終了し、ｘが近似領域の最大値でない場合、ｘを次の区間の最も小さい値に代入する（Ｓ３４５）。

プロセッサ１００は、ｒ（ｘ）－ｒ（ｘ－ｓｃ）とｒ（ｘ＋ｓｃ）－ｒ（ｘ）の符号が同一である場合、ステップＳ３３０の動作を再び実行し、ｒ（ｘ）－ｒ（ｘ－ｓｃ）とｒ（ｘ＋ｓｃ）－ｒ（ｘ）の符号が異なる場合、ｌ（エル）に０を代入し、ｔにｓｃ／２を代入する（Ｓ３６０）。

プロセッサ１００は、ｒ（ｘ）－ｒ（ｘ－ｓｃ）の値が０よりも大きいかを判断する（Ｓ３７０）。プロセッサ１００は、ステップＳ３７０の条件が満たされる場合、ｘ－ｔ、ｘ、ｘ＋ｔのうち、ｒ（ｘ）値が大きいものを選択してｘに代入する（Ｓ３７１）。その後、プロセッサ１００は、ｌにｌ＋１を代入し、ｔにｔ／２を代入する（Ｓ３７２）。

プロセッサ１００は、ｌが正確度値であるかを比較する（Ｓ３７３，Ｓ３７４）。プロセッサ１００は、ｌが正確度値でない場合、ステップＳ３７１の過程を再び行ってもよい。プロセッサ１００は、ｌが正確度値である場合、ｘ－ｔ、ｘ、ｘ＋ｔのうち、ｒ（ｘ）値が小さいものを選択してｘに代入する（Ｓ３７５）。その後、プロセッサ１００は、ｌにｌ＋１を代入し、ｔにｔ／２を代入する（Ｓ３７６）。

プロセッサ１００は、Ｓ３７３、Ｓ３７４の条件が満たされる場合、ステップＳ３２０の動作を再び行ってもよい。最終的に、プロセッサ１００は、配列Ｂに属する極点を候補点として取得することができる。

ｓｃの値が十分に小さければ、｜ｒ（ｘ）｜はａ＞０であり、ｘ^＊の近くのｂに対してａ（ｘ－ｘ^＊）^２＋ｂと類似して動作することができる。このような、動作を通じてプロセッサ１００は、ｘ^＊の近所で｜ｘ_１－ｘ^＊｜＜｜ｘ_２－ｘ^＊｜である場合、｜ｒ（ｘ_１）｜＞｜ｒ（ｘ_２）｜を保障することができ、その逆も保障できる。

上述した極点探索を通した候補点の取得動作により、プロセッサ１００は、ｌのビット正確度を有する極点を２^ｌ時間の代わりに、ｌの線形時間（ｌｉｎｅａｒ ｔｉｍｅ）内に探索して候補点を取得することができる。

図４Ａは、図１に示された暗号化装置がターゲット点を選択するアルゴリズムの例を示し、図４Ｂは、図１に示された暗号化装置がターゲット点を選択する動作のフローチャートを示す。

図４Ａ及び図４Ｂを参照すると、プロセッサ１００は、図３に示す探索動作によって探した候補点のうち、ターゲット近似多項式の次数に基づいた数のターゲット点を選択する。

プロセッサ１００は、候補点のうち極大と極小が交互に示されるようにターゲット点を選択し、誤差の絶対値の和が最大になるようターゲット点を選択する。ターゲット点は、次の繰り返し（ｉｔｅｒａｔｉｏｎ）動作における新しい基準点になり得る。

以下では、ターゲット点を取得する過程について詳細に説明する。プロセッサ１００は、ターゲット点（又は、新しい基準点）を探すために上記で説明した地域極値の条件、交互条件、及び最大絶対和の条件が満たされる点をサイーブ（ｎａｉｖｅ）な方式で選択することができる。

ナイーブな選択方式は、交互条件が満たされる全てのｎ＋１個の点に対して絶対和を算出し、最大絶対和を有するｎ＋１個の点を選択してもよい。ナイーブな選択方式である場合、地域極点の数がｍである場合、（^ｍ _ｎ＋１）個の点を全て調査しなければならない。

プロセッサ１００は、図４Ａ及び図４Ｂに示す動作により、ナイーブな方式に比べてターゲット点を選択する時間を低減することができる。以下では、ターゲット点を効率よく選択する動作について説明する。

プロセッサ１００は、繰り返しの動作ごとに候補点のうち、一部の元素を除去することで、最終的にｎ＋１個のターゲット点を取得することができる。ｍ＞ｎ＋１である場合、ターゲット点に含まれていない点が少なくとも１つ存在し得る状態であってもよい。

図４Ａに示すアルゴリズムを介して、プロセッサ１００は、Ｏ（ｍｌｏｇｍ）時間内にターゲット点を選択する。言い換えれば、プロセッサ１００は、準線型（ｑｕａｓｉ－ｌｉｎｅａｒ）時間内にターゲット点を選択することができる。

順に整列した集合Ｂから元素が除去されるごとに、残っている元素は整列され、インデックスである昇順で再びラベル（ｒｅｌａｂｅｌｅｄ）されてもよい。

プロセッサ１００は、アルゴリズムの４ａで一部の極点を除去するために値を比較するとき、比較される値が同一であるか最も小さい元素が１つ以上の場合、このような元素をランダムに除去することができる。

図４Ｂに示すフローチャートは、図４Ａに示すアルゴリズムの動作の順序を示す。図４Ａ及び図４Ｂの動作により、プロセッサ１００は、ターゲット点を元素として有する配列Ｂを取得することができる。

プロセッサ１００は、ｉに１を代入する（Ｓ４１０）。プロセッサ１００は、ｘ_ｉとｘ_ｉ＋１の両方が極大であるか極小であるかを判断する（Ｓ４２０）。

ステップＳ４２０の条件を満たす場合、プロセッサ１００は、ｘ_ｉとｘ_ｉ＋１のうち｜ｒ（ｘ）｜値が小さい値は配列から除去し、配列の元素を再配列する（Ｓ４２１）。｜ｒ（ｘ）｜値は、上述した任意の多項式と区分的連続関数の誤差値を意味する。ステップＳ４２０の条件が満たされない場合、プロセッサ１００は、ｉにｉ＋１を代入する（Ｓ４２２）。

再配列した後、プロセッサ１００は、ｘ_ｉが配列Ｂで最も大きい点であるかを判断する（Ｓ４３０）。ｘ_ｉが最も大きい点ではない場合、プロセッサ１００は４２０の動作を再び行う。

ステップＳ４１０～ステップＳ４３０の動作は、図４Ａに示すアルゴリズム３のステップ１～７の動作に対応する。

ｘ_ｉが最も大きい点である場合、プロセッサ１００は、Ｂの元素の個数がｄ＋２個であるかを判断する（Ｓ４４０）。Ｂの元素の個数がｄ＋２個である場合、プロセッサ１００は、ターゲット点の選択動作を終了する。

Ｂの元素の個数がｄ＋２個でない場合、プロセッサ１００は、隣接する２点の｜ｒ（ｘ）｜値を加えた値の全てを配列Ｔに入れて整列する（Ｓ４５０）。言い換えれば、｜ｒ（ｘ_１）｜＋｜ｒ（ｘ_２）｜，｜ｒ（ｘ_２）｜＋｜ｒ（ｘ_３）｜，｜ｒ（ｘ_３）｜＋｜ｒ（ｘ_４）｜，・・・をＴに入れて整列することができる。

ステップＳ４４０～ステップＳ４５０の動作は、図４Ａに示すルゴリズムのステップ９～ステップＳ１０の動作に対応する。

プロセッサ１００は、Ｂの元素の個数がｄ＋３個であるかを判断する（Ｓ４６０）。Ｂの元素の個数がｄ＋３個である場合、プロセッサ１００はｘ_１、ｘ_ｄ＋３のうち｜ｒ（ｘ）｜値が小さい値を配列から捨て、配列の再配列を行って動作を終了する（Ｓ４６１）。

プロセッサ１００は、Ｂの元素の個数がｄ＋４個であるか判断する（Ｓ４７０）。Ｂの元素の個数がｄ＋４個である場合、プロセッサ１００はＴに｜ｒ_ｘ１｜＋｜ｒ_ｘｄ＋４｜を追加して再整列する（Ｓ４７１）。その後、プロセッサ１００は、Ｔで最も小さい値に該当する２点をＢから除去して再配列した後、動作を終了する（Ｓ４７２）。

プロセッサ１００は、Ｂの元素の個数がｄ＋４でない場合、Ｔで最も小さい値に該当する２点のうち、両端の２個の点のうち１つが含まれているかを判断する（Ｓ４８０）。ステップＳ４８０の条件が満たされる場合、プロセッサ１００は、両端２個の点のうちの１つをＢから捨てて再配列する（Ｓ４８１）。ステップＳ４８０の条件を満たされない場合、プロセッサ１００は、Ｔで最も小さい値に該当する２点を全てＢから捨てて再配列する（Ｓ４８２）。

その後、プロセッサ１００は、Ｔから捨てられた元素が含まれている値は捨て、新しく隣接になった２点の｜ｒ（ｘ）｜値を加えた値を追加して再整列した後、ステップＳ４６０の動作を再び行う（Ｓ４９０）。ステップＳ４６０～ステップＳ４９０の動作については、図４Ａに示すステップＳ１１～ステップＳ２３の動作に対応する。

図４Ａに示すアルゴリズムの最後の部分で極点Ｘ２が除去される場合について説明すると、
Ｔ＝｛｜ｒ（ｘ_１）｜＋｜ｒ（ｘ_２）｜，｜ｒ（ｘ_２）｜＋｜ｒ（ｘ_３）｜，｜ｒ（ｘ_３）｜＋｜ｒ（ｘ_４）｜，・・・｝
は、
Ｔ＝｛｜ｒ（ｘ_１）｜＋｜ｒ（ｘ_３）｜，｜ｒ（ｘ_３）｜＋｜ｒ（ｘ_４）｜，・・・｝
のように変更される。

図４Ａ及び図４Ｂに示すターゲット点を選択する動作により、プロセッサ１００は準線型時間内に候補点からターゲット点を選択することができる。

プロセッサ１００は、選択したターゲット点に基づいてモジュラーリダクション関数を最適に近似するターゲット近似多項式を生成することができる。言い換えれば、プロセッサ１００は、選択したターゲット点を経由するｄ次多項式をターゲット近似多項式により生成することができる。

図５は、図１に示された暗号化装置の全体動作の順序を示す。

プロセッサ１００は、同型暗号（ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ）を用いてデータに対する暗号化を行う。プロセッサ１００は、データを暗号化することで暗号文を生成する（Ｓ５１０）。

プロセッサ１００は、生成した暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、暗号文にブートストラップを行う（Ｓ５３０）。

プロセッサ１００は、モジュラーリダクションに対応する関数を近似することで、ブートストラップを行ってもよい。プロセッサ１００は、モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成する。

プロセッサ１００は、ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定する。プロセッサ１００は、決定された１つ以上の基準点に基づいて任意の多項式を取得する。

具体的に、プロセッサ１００は、１つ以上の基準点を通過する区分的連続関数を取得し、１つ以上の基準点で区分的連続関数との誤差の絶対値が予め決定された値になる多項式を生成することで、任意の多項式を取得することができる。

プロセッサ１００は、１つ以上の基準点に含まれた第１基準点における誤差と、第１基準点と隣接する第２基準点の誤差の符号が異なり、絶対値が予め決定された値になる多項式を生成することで、任意の多項式を取得することができる。

プロセッサ１００は、取得した任意の多項式から選択された１つ以上の極点に基づいてターゲット近似多項式を生成する。プロセッサ１００は、任意の多項式と１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を取得することができる。

プロセッサ１００は、取得した候補点のうち、ターゲット近似多項式の次数に基づいた数のターゲット点を選択する。具体的に、プロセッサ１００は、候補点のうち、極大と極小が交互に示されるようにターゲット点を選択してもよい。プロセッサ１００は、区分的連続関数の任意の多項式の誤差の絶対値の和が最大になるようにターゲット点を選択してもよい。

プロセッサ１００は、選択したターゲット点に基づいてターゲット近似多項式を生成する。プロセッサ１００は、１つ以上の極点の絶対値の最大値と最小値の相対誤差が、閾値よりも小さい場合の多項式をターゲット近似多項式により生成することができる。

ここで、ターゲット近似多項式の基底（ｂａｓｉｓ）は、チェビシェフ多項式の基底が使用され得る。

実施形態に係る方法は、様々なコンピュータ手段を介して実施されるプログラム命令の形態で具現され、コンピュータ読み取り可能な記録媒体に記録される。記録媒体は、プログラム命令、データファイル、データ構造などを単独又は組み合せて含む。記録媒体及びプログラム命令は、本発明の目的のために特別に設計して構成されたものでもよく、コンピュータソフトウェア分野の技術を有する当業者にとって公知のものであり使用可能なものであってもよい。コンピュータ読み取り可能な記録媒体の例として、ハードディスク、フロッピー（登録商標）ディスク及び磁気テープのような磁気媒体、ＣＤ－ＲＯＭ、ＤＶＤのような光記録媒体、フロプティカルディスクのような磁気－光媒体、及びＲＯＭ、ＲＡＭ、フラッシュメモリなどのようなプログラム命令を保存して実行するように特別に構成されたハードウェア装置を含む。プログラム命令の例としては、コンパイラによって生成されるような機械語コードだけでなく、インタプリタなどを用いてコンピュータによって実行される高級言語コードを含む。ハードウェア装置は、本発明に示す動作を実行するために１つ以上のソフトウェアモジュールとして作動するように構成してもよく、その逆も同様である。

ソフトウェアは、コンピュータプログラム、コード、命令、又はそのうちの一つ以上の組合せを含み、希望の通りに動作するよう処理装置を構成したり、独立的又は結合的に処理装置を命令することができる。ソフトウェア及び／又はデータは、処理装置によって解釈されたり処理装置に命令又はデータを提供するために、いずれかの類型の機械、構成要素、物理的装置、仮想装置、コンピュータ格納媒体又は装置、又は送信される信号波に永久的又は一時的に具体化することができる。ソフトウェアはネットワークに連結されたコンピュータシステム上に分散され、分散した方法で格納されたり実行され得る。ソフトウェア及びデータは一つ以上のコンピュータで読出し可能な記録媒体に格納され得る。

上述したように実施形態をたとえ限定された図面によって説明したが、当技術分野で通常の知識を有する者であれば、上記の説明に基づいて様々な技術的な修正及び変形を適用することができる。例えば、説明された技術が説明された方法と異なる順で実行されるし、及び／又は説明されたシステム、構造、装置、回路などの構成要素が説明された方法と異なる形態で結合又は組み合わせられてもよいし、他の構成要素又は均等物によって置き換え又は置換されたとしても適切な結果を達成することができる。

したがって、他の具現、他の実施形態、及び特許請求の範囲と均等なものも後述する請求範囲の範囲に属する。

Claims (20)

1. プロセッサによって実行される同型暗号を用いた暗号化方法において、
   データを暗号化することで暗号文を生成するステップと、
   前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、前記暗号文にブートストラップを行うステップと、
   を含み、前記行うステップは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成するステップを行うことにより前記ブートストラップを行うステップを含み、
   前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成するステップは、
   前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定するステップと、
   前記１つ以上の基準点に基づいて任意の多項式を取得するステップと、
   前記任意の多項式から選択された１つ以上の極点に基づいて決定される前記ターゲット点に基づき、前記ターゲット近似多項式を生成するステップと
   を含む、暗号化方法。
2. 前記決定するステップは、前記１つ以上の基準点を通過する区分的連続関数を決定するステップと、
   前記１つ以上の基準点で前記区分的連続関数との誤差の絶対値が予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップと、
   を含む、請求項１に記載の暗号化方法。
3. 前記区分的連続関数との誤差の絶対値が、予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップは、前記１つ以上の基準点に含まれた第１基準点における誤差と前記第１基準点と隣接する第２基準点の誤差の符号が異なり、絶対値が前記予め決定された値になる多項式を生成することで前記任意の多項式を決定するステップを含む、請求項２に記載の暗号化方法。
4. 前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成するステップは、
   前記任意の多項式と前記１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を決定するステップと、
   前記候補点のうち、前記次数に基づいた数のターゲット点を選択するステップと、
   前記ターゲット点に基づいて前記ターゲット近似多項式を生成するステップと、
   を含む、請求項１に記載の暗号化方法。
5. 前記ターゲット点を選択するステップは、前記候補点のうち、極大と極小が交互に示されるように前記ターゲット点を選択するステップを含む、請求項４に記載の暗号化方法。
6. 前記ターゲット点を選択するステップは、前記誤差の絶対値の和が最大になるよう前記ターゲット点を選択するステップを含む、請求項４に記載の暗号化方法。
7. 前記任意の多項式から選択された１つ以上の極点に基づいて前記ターゲット近似多項式を生成するステップは、前記１つ以上の極点の絶対値の最大値と最小値の相対誤差が閾値よりも小さい場合の多項式を前記ターゲット近似多項式で生成するステップを含む、請求項１に記載の暗号化方法。
8. 前記ターゲット近似多項式の基底は、チェビシェフ多項式の基底である、請求項１に記載の暗号化方法。
9. 請求項１～請求項８のいずれか一項に記載の暗号化方法を前記プロセッサに実行させるコンピュータプログラム。
10. 同型暗号を用いた暗号化装置において、
    データを暗号化することで暗号文を生成し、前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、前記暗号文にブートストラップを行う１つ以上のプロセッサを含み、
    前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成することで前記ブートストラップを行い、
    前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成する場合において、
    前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定し、
    前記１つ以上の基準点に基づいて任意の多項式を取得し、
    前記任意の多項式から選択された１つ以上の極点に基づいて決定される前記ターゲット点に基づき、前記ターゲット近似多項式を生成する、暗号化装置。
11. 前記１つ以上のプロセッサによって実行される命令を格納するメモリをさらに含み、
    前記１つ以上のプロセッサは、前記命令を実行して前記データを暗号化することで暗号文を生成し、前記暗号文に対応するモジュラスに対して１つ以上のターゲット点の選択に基づいたモジュラーリダクションを行うことで、前記暗号文にブートストラップを行う、請求項１０に記載の暗号化装置。
12. 前記１つ以上のプロセッサは、
    前記１つ以上の基準点を通過する区分的連続関数を決定し、
    前記１つ以上の基準点で前記区分的連続関数との誤差の絶対値が予め決定された値になる多項式を生成することで前記任意の多項式を決定する、請求項１０に記載の暗号化装置。
13. 前記１つ以上のプロセッサは、前記１つ以上の基準点に含まれた第１基準点における誤差と前記第１基準点と隣接する第２基準点の誤差の符号が異なり、絶対値が前記予め決定された値になる多項式を生成することで前記任意の多項式を決定する、請求項１２に記載の暗号化装置。
14. 前記１つ以上のプロセッサは、
    前記任意の多項式と前記１つ以上の基準点を通過する区分的連続関数間の誤差の極点のうち、絶対値が予め決定された値よりも大きいか同じ候補点を決定し、
    前記候補点のうち、前記次数に基づいた数のターゲット点を選択し、
    前記ターゲット点に基づいて前記ターゲット近似多項式を生成する、請求項１０に記載の暗号化装置。
15. 前記１つ以上のプロセッサは、前記候補点のうち、極大と極小が交互に示されるように前記ターゲット点を選択する、請求項１４に記載の暗号化装置。
16. 前記１つ以上のプロセッサは、前記誤差の絶対値の和が最大になるように前記ターゲット点を選択する、請求項１４に記載の暗号化装置。
17. 前記１つ以上のプロセッサは、前記１つ以上の極点の絶対値の最大値と最小値の相対誤差が閾値よりも小さい場合の多項式を前記ターゲット近似多項式で生成する、請求項１０に記載の暗号化装置。
18. 前記ターゲット近似多項式の基底は、チェビシェフ多項式の基底である、請求項１０に記載の暗号化装置。
19. 同型暗号化を行う装置において、
    暗号化されたデータの暗号文に対応するモジュラスに対して、１つ以上のターゲット点の選択に基づいたモジュラーリダクションに対応する関数の近似を行うことで前記暗号化されたデータの暗号文をブートストラップし、
    前記モジュラーリダクションに対応する前記関数を近似するターゲット近似多項式を生成する１つ以上のプロセッサを含み、
    前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成することで前記ブートストラップを行い、
    前記１つ以上のプロセッサは、前記モジュラーリダクションに対応する関数を近似するターゲット近似多項式を生成する場合において、
    前記ターゲット近似多項式の次数に基づいて１つ以上の基準点を決定し、
    前記１つ以上の基準点に基づいて任意の多項式を決定し、
    前記任意の多項式から選択された１つ以上の極点に基づいて決定される前記ターゲット点に基づき、前記ターゲット近似多項式を生成する、装置。
20. 前記ターゲット近似多項式は、チェビシェフ交互定理（Ｃｈｅｂｙｓｈｅｖ ａｌｔｅｒｎａｔｉｏｎ ｔｈｅｏｒｅｍ）を用いて生成される、請求項１９に記載の装置。