WO2022044464A1 - 暗号処理装置、暗号処理方法、及び暗号処理プログラム - Google Patents

暗号処理装置、暗号処理方法、及び暗号処理プログラム Download PDF

Info

Publication number
WO2022044464A1
WO2022044464A1 PCT/JP2021/020522 JP2021020522W WO2022044464A1 WO 2022044464 A1 WO2022044464 A1 WO 2022044464A1 JP 2021020522 W JP2021020522 W JP 2021020522W WO 2022044464 A1 WO2022044464 A1 WO 2022044464A1
Authority
WO
WIPO (PCT)
Prior art keywords
ciphertext
plaintext
encryption
values
tlwe
Prior art date
Application number
PCT/JP2021/020522
Other languages
English (en)
French (fr)
Inventor
優佑 星月
Original Assignee
株式会社アクセル
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Priority claimed from JP2021069047A external-priority patent/JP7069460B2/ja
Application filed by 株式会社アクセル filed Critical 株式会社アクセル
Priority to US18/043,007 priority Critical patent/US20240039693A1/en
Publication of WO2022044464A1 publication Critical patent/WO2022044464A1/ja

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/008—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols involving homomorphic encryption
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/06—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols the encryption apparatus using shift registers or memories for block-wise or stream coding, e.g. DES systems or RC4; Hash functions; Pseudorandom sequence generators
    • H04L9/0618—Block ciphers, i.e. encrypting groups of characters of a plain text message using fixed encryption transformation
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/30—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy
    • H04L9/3093—Public key, i.e. encryption algorithm being computationally infeasible to invert or user's encryption keys not requiring secrecy involving Lattices or polynomial equations, e.g. NTRU scheme

Definitions

  • the present invention relates to an encryption processing device for processing ciphertext, an encryption processing method, and an encryption processing program.
  • Homomorphic Encryption is an encryption method that can process encrypted data without decrypting it.
  • Cryptography that has operations between ciphers that correspond to additions between plain sentences is an additive homomorphic encryption
  • cryptography that has operations between ciphers that correspond to multiplication between plain sentences is a multiplication homomorphic encryption.
  • Additive homomorphic encryption and multiplicative homomorphic encryption that perform only additive operations (addition, subtraction) and multiplication operations (multiplication) by regarding the finite cyclic group as an integer have been known for a long time. Since the finite cyclic group can be multiplied by an integer by repeating addition, it is possible to multiply by an integer of "plaintext", and by repeating multiplication, it is possible to perform a power calculation of "plaintext”.
  • Fully Homomorphic Encryption processes both additive operations (addition, subtraction) and multiplication operations (multiplication) while they are encrypted.
  • Fully homomorphic encryption uses somewhat homomorphic encryption, which can be added, subtracted, and multiplied multiple times, for example, based on the LWE problem.
  • somewhat homomorphic encryption consists of adding a small error to the plaintext that is not a problem for decryption at the time of encryption. Note that somewhat homomorphic encryption is not limited to LWE encryption.
  • homomorphic encryption includes Bit-wise type homomorphic encryption that has two values as plaintext and is based on logical operation, and Integer-wise type homomorphic encryption that uses a whole integer as plaintext as one ciphertext.
  • the TFHE shown in Non-Patent Document 1 is a Bit-wise type.
  • Bit-wise type homomorphic encryption one ciphertext can have only 1-bit information, so for example, when dealing with a 32-bit integer, it is necessary to process 32 ciphertexts. Addition and subtraction, multiplication and comparison between integers are often used in various data processing.
  • the calculation is performed with the image of designing a logic circuit, but in the case of addition / subtraction of a 32 bit integer, one half adder and 31 full adders are used. For multiplication, use nearly 32 squared (1024) full adders. Therefore, in order to reduce the processing time of fully homomorphic encryption and further improve efficiency, it is necessary to speed up the operation of the full adder including bootstrapping.
  • the present invention has been made in view of such circumstances, and one aspect of the present invention is to speed up the operation of the full adder required for fully homomorphic encryption and reduce the processing time of fully homomorphic encryption. do.
  • the present invention is a cryptographic processing apparatus that processes a ciphertext
  • the ciphertext is a completely homomorphic encryption text that has binary values as a plain text and can perform a logical operation without decrypting the ciphertext.
  • the number of calculation processes required for the operation is increased by using the multi-valued logical operation that outputs a temporary ciphertext based on the ciphertext having multiple values more than binary as a plain sentence. It features a cryptographic processing device that reduces.
  • the cryptographic processing apparatus of this embodiment performs an operation of fully homomorphic encryption by using a full adder.
  • Homomorphic encryption is a homomorphic encryption that allows addition, subtraction, and multiplication operations (while still encrypted).
  • the AND circuit unit and the XOR circuit unit that make up the full adder included in the encryption processing device it is possible to perform an operation for obtaining an AND for a Bit-wise type homomorphic encryption and an operation for obtaining an XOR.
  • the cryptographic processing apparatus of the present embodiment constitutes a homomorphic adder by increasing the types of values that can be taken by the temporary ciphertext after Gate Bootstrapping. Reduce the number of homomorphic operations. As a result, the cryptographic processing apparatus of the present embodiment can reduce the number of Gate Bootstrapping performed in the subsequent stage of each homomorphic operation and speed up the operation of the full adder.
  • FIG. 1 is a diagram illustrating a full adder circuit with a minimum number of logical operation elements.
  • FIG. 1 describes a full adder in a hardware circuit using logical operation elements, it may be considered as a full adder program executed by a CPU in which the full adder is mounted by software.
  • the full adder is implemented by software, the operation is performed with the image of designing a logic circuit (logic gate) for the ciphertext.
  • the full adder circuit 50 is composed of two half adders 51 and 52 and one OR circuit unit (arithmetic processing unit for obtaining OR) 53.
  • the first half adder 51 includes an AND circuit unit (calculation processing unit for obtaining AND) 51A and an XOR circuit unit (calculation processing unit for obtaining XOR) 51B.
  • the second half adder 52 includes an AND circuit unit 52 (arithmetic processing unit for obtaining AND) A and an XOR circuit unit (calculation processing unit for obtaining XOR) 52B.
  • the input A and the input B to be added are input to the AND circuit unit 51A and the XOR circuit unit 51B of the first half adder 51.
  • the output of the AND circuit unit 51A of the first half adder 51 and the output of the AND circuit unit 52A of the second half adder 52 are input to the subsequent OR circuit unit 53, and are carried out from the OR circuit unit 53.
  • C 0 (Carry out) is output.
  • the output from the XOR circuit unit 51B of the first half adder 51 and the carry input Ci (Carry in) are input to the AND circuit unit 52A and the XOR circuit unit 52B of the second half adder 52.
  • the output S (Sum) of the full adder circuit 50 is output from the XOR circuit unit 52B of the second half adder 52.
  • the full adder 50 includes two AND circuit units, two XOR circuit units, and an OR circuit unit, and has a total of five logical operation elements (processing units corresponding to the logical operation elements). It is equipped with. Therefore, the operation time of five logical operation elements is required for the operation of one full adder. In the case of TFHE shown in the above paper, it takes about 16 ms to calculate one logical operation element, and about 80 ms is required for the entire adder 50 including five logical operation elements. When used for the operation of fully homomorphic encryption by TFHE, it is necessary to perform Gate Boot stripping in the subsequent stage of the operation (quasi-homomorphic operation) in the front stage of the five logical operation elements.
  • Gate Bootstrapping occupies almost all the processing time of homomorphic logical operations. Therefore, it may be considered that the calculation of the fully homomorphic encryption by the full adder circuit 50 in FIG. 1 requires the calculation time for 5 times of Gate Bootstrapping. Since there is no dependency between the operations of the AND circuit section and the XOR circuit section that make up the half adder 51 and the half adder 52, when the full adder is configured by software, it is paralleled by a method such as multithreading. You can perform operations. By parallel operation, the operation of the half adder can be performed in the operation time for one logical operation element. Therefore, the operation of one full adder shown in FIG. 1 can be executed in the operation time of three logical operation elements. However, even in this case, it takes 48 ms to calculate one full adder. This is almost the same as the calculation time for three Gate Bootstrapping operations.
  • TFHE is a Bit-wise type cipher based on a logic gate such as an AND circuit unit and an XOR circuit unit.
  • a full adder By using a full adder, it is possible to support all of the addition, subtraction, multiplication and division of integers (four arithmetic operations) and comparison operations.
  • Bit-wise type encryption one ciphertext can have only 1 bit of information.
  • Addition, subtraction, multiplication, division and comparison between integers are often used in various data processing, but the data handled is usually one with a large bit length. For example, if you want to handle a 32-bit integer, you need to process 32 ciphertexts.
  • the cryptographic processing apparatus of the present embodiment is improved so that Gate Bootstrapping performed for each calculation can output multiple values, especially in the full adder used for the calculation of fully homomorphic encryption. Reduce the number of homomorphic operations. As a result, the cryptographic processing apparatus of the present embodiment can reduce the number of times of Gate Bootstrapping, which requires a long calculation time, in the subsequent stage of the homomorphic encryption, and can significantly reduce the processing time of the fully homomorphic encryption.
  • FIG. 2 is a diagram illustrating a functional configuration of the encryption processing device of the present embodiment.
  • the encryption processing device 1 includes a control unit 10, a storage unit 20, a communication unit 25, and an input unit 26.
  • the control unit 10 includes a reception unit 11, a first calculation unit 12, a second calculation unit 13, a third calculation unit 14, a first Bootstrapping unit (first calculation unit) 15, and a second Bootstrapping unit (second calculation). Section 16), a third Bootstrapping section (third calculation section) 17, and an output section 18.
  • the reception unit 11 receives the input of the ciphertext to be calculated via the communication unit 25 and the input unit 26.
  • the first calculation unit 12 performs the first homomorphic operation on the input cipher received by the reception unit 11.
  • the second calculation unit 13 performs a second homomorphic operation on the temporary ciphertext and the carry input ciphertext output from the first Bootstrapping unit 15.
  • the third calculation unit 14 performs a third homomorphic operation on the temporary ciphertext and the carry input ciphertext output from the first Bootstrapping unit 15.
  • the first calculation unit 12, the second calculation unit 13, and the third calculation unit 14 perform the calculation (quasi-same type calculation) of the full adder by the logic gate (AND circuit unit, XOR circuit unit) described in FIG. 1 by software. It is an arithmetic processing unit to be realized. At least one of the first calculation unit 12, the second calculation unit 13, and the third calculation unit 14 may be realized by hardware.
  • the first Bootstrapping unit 15 performs the three-value Gate Bootstrapping process described below on the calculation result of the first calculation unit 12, and outputs a temporary ciphertext that can take the three values.
  • the second Bootstrapping unit 16 performs the binary Gate Bootstrapping process described below on the calculation result of the second calculation unit 13, and outputs the carry output CO as a new ciphertext that can take the binary value.
  • the third Bootstrapping unit 17 performs the binary Gate Bootstrapping process described below on the calculation result of the third calculation unit 14, and outputs the output S as a new ciphertext that can take the binary value.
  • the output unit 18 outputs the final calculation result to the outside of the encryption processing device 1 or to another processing process executed by the encryption processing device 1.
  • the storage unit 20 can store an input ciphertext, a temporary file, temporary data, and an output ciphertext used in the calculation of the full adder. Further, the encrypted database 60 can be stored in the storage unit 20.
  • the communication unit 25 connects the encryption processing device 1 to the network and enables communication with an external device. By storing the encrypted database 60 in the storage unit 20 and including the communication unit 25, the encryption processing device 1 can function as a database server. In this case, the encryption processing device 1 receives an encrypted query from the terminal device as an external device, searches the encrypted encrypted database 60, and responds to the terminal device with the encrypted search result. Can be done.
  • the input unit 26 inputs the ciphertext to be arithmetically processed to the encryption processing device 1.
  • FIG. 3 is a diagram illustrating in detail the arithmetic process of the full adder based on the functional configuration of FIG.
  • the ciphertexts ca, cb, and cc input to the encryption processing device 1 are all TLWE ciphertexts shown in the above paper.
  • the TLWE encryption is a Bit-wise type fully homomorphic encryption having a value of 0 or ⁇ (non-zero) as plaintext.
  • Various operations can be performed by logical operations using logic gates.
  • the encryption processing device 1 reduces the number of logical operations (quasi-homomorphic operations) by temporarily using a ciphertext that can take multiple values (for example, three values) as plaintext, and greatly increases the processing time of fully homomorphic encryption. Can be reduced to.
  • the three types of values that can be taken by the temporary code statement are temporary values for the entire adder, but they are values used in the logical operation (multi-value logical operation) of each logical gate and are included in the logical operation. Not a temporary value.
  • a ternary Gate Bootstrapping is used, which is an improvement of the (binary) Gate Bootstrapping presented in the paper of Non-Patent Document 1 (the above-mentioned paper) and enables a ternary output.
  • the TFHE Gate Bootstrapping presented in the above paper is described in detail below.
  • the input ciphertexts ca and cb are input to the first arithmetic unit 12 to perform a homomorphic operation, and the operation result (ciphertext ca + cb) is input to the first Bootstrapping unit 15 to perform trivalent Gate Bootstrapping.
  • the output of binary Gate Bootstrapping in the above paper is a ciphertext that can take either binary (0, ⁇ ) as plaintext.
  • the output of the three-value Gate Bootstrapping of the present embodiment is a temporary ciphertext ct that can take any one of the three values (0, ⁇ 1 , ⁇ 2 ) as a plaintext.
  • the temporary ciphertext ct which is the output of the three-value Gate Bootstrapping, is input to the second calculation unit 13 and the third calculation unit 14 in order to match with the ciphertext cc of the carry input Ci .
  • the output of the second calculation unit 13 is input to the second Bootstrapping unit 16, binary Gate Bootstrapping is performed, and the ciphertext cy of the carry output CO is output.
  • the output of the third calculation unit 14 is input to the third Bootstrapping unit 17, binary Gate Bootstrapping is performed, and the ciphertext cz of the output S is output.
  • the time required for the homomorphic operation by the second arithmetic unit 13 and the homomorphic arithmetic by the third arithmetic unit 14 is insignificant. Gate Bootstrapping consumes almost all processing time when processing a full adder using homomorphic operations.
  • the AND circuit section 51A, 52A, the XOR circuit section 51B, 52B, and the OR circuit section 53 are used in the subsequent stage. It is necessary to execute Gate Bootstrapping once for each and 5 times in total.
  • the encryption processing device 1 the number of homomorphic arithmetic processing is reduced to 3 in total by using the ternary Gate Bootstrapping by the first Bootstrapping unit 15 for the arithmetic of the full adder.
  • the number of times of Gate Bootstrapping which occupies almost all of the homomorphic arithmetic processing, can be reduced to 3 times in total.
  • the cryptographic processing apparatus 1 can reduce the calculation processing time by about 40% as compared with the full adder circuit 50 shown in FIG. Further, the encryption processing device 1 may execute the processing of the second calculation unit 13 and the second Bootstrapping unit 16 and the processing of the third calculation unit 14 and the third Bootstrapping unit 17 in parallel by multithread processing, respectively. In this case, the encryption processing device 1 can set the number of Bootstrapping stages, which occupy most of the processing time in the calculation of the full adder, to two stages. On the other hand, in the full adder circuit 50 shown in FIG.
  • the AND circuit unit 51A and the XOR circuit unit 51B and the AND circuit unit 52A and the XOR circuit unit 52B can be executed in parallel, respectively, but as a whole, the AND circuit unit 51A and the XOR circuit unit 52B can be executed in parallel.
  • the number of Bootstrapping stages is three. Therefore, even when parallel processing is used, the cryptographic processing device 1 can reduce the calculation processing time by about 33% as compared with the full adder circuit 50 shown in FIG. As described above, since Gate Bootstrapping occupies almost all of the calculation time of the full adder for fully homomorphic encryption, the cryptographic processing device 1 reduces the number of Gate Bootstrappings to significantly speed up the calculation of the full adder. Can be transformed into.
  • Gate Bootstrapping is a method for making fully homomorphic encryption practical, which was not practical due to the huge amount of data and calculation time.
  • the LWE (Learning with Errors) cipher is composed on the circumference group, and the cipher called "TLWE cipher" is used. It realizes various quasi-identical logical operations (and thus arbitrary operations such as addition and multiplication).
  • the Gate Bootstrapping input in TFHE is a TLWE ciphertext encrypted with a private key.
  • TFHE realizes fully homomorphic encryption (FHE) based on TLWE ciphertext.
  • the TLWE cipher is a variant of the LWE cipher (LWE cipher defined on a circle group), which is a type of lattice-based cryptography.
  • the TLWE cipher is an additive homomorphism, and it is known that an additive operation between TLWE-encrypted plaintexts can be performed without decrypting the ciphertext.
  • FIG. 4 is an image diagram illustrating a circle group that the TLWE cipher has as plain text.
  • the TLWE cipher advances from 0 with real accuracy and returns to 0 when it reaches 1, any non-zero (non-zero) point 0 on the circle group ⁇ T ⁇ shown in FIG. It has a real number ⁇ corresponding to a point as a plain sentence.
  • the TLWE cipher itself uses any point on the circle group as plaintext, and uses near 0 (including error) and around ⁇ (including error) as plaintext. Points on the circle group ⁇ T ⁇ are also referred to herein as "elements”.
  • the cryptographic processing device that handles TFHE executes general homomorphic operations such as additive operations as operations between such TLWE cryptographic statements, and the error of the operation result is kept within an appropriate range by Gate Bootstrapping again. Realizes fully homomorphic encryption (FHE) that allows logical operations (at the latter stage).
  • FHE fully homomorphic encryption
  • TLWE encryption Explain the TLWE cipher.
  • a vector [a] obtained by collecting N uniformly distributed random numbers is prepared.
  • a secret key [s] that collects N binary values of 0 and 1.
  • e is a random number with a Gaussian distribution (normal distribution) such that the mean value is plaintext ⁇ and the variance is ⁇ predetermined.
  • the average value of e when an infinite number of TLWE ciphertexts are generated for the same plaintext ⁇ is plaintext ⁇
  • ⁇ is plaintext without error
  • e plaintext with error.
  • ⁇ represents the inner product of the vector.
  • the TLWE ciphertext can be expressed as ([a], b).
  • This TLWE cipher is an additive homomorphism, and can perform an additive operation between plaintexts of a TLWE ciphertext without decrypting the ciphertext.
  • the above decryption function ⁇ is obtained by adding the two TLWE ciphertexts ([a], b) and ([a'], b') as they are to obtain ([a] + [a'], b + b').
  • the "trivial” such as ([0], ⁇ ) is a TLWE ciphertext that can be decrypted with any private key, that is, no matter what private key is used. It is a ciphertext that can decrypt the same plaintext. In ([0], ⁇ ), [0] represents a zero vector.
  • the "trivial ciphertext” can be treated as a TLWE ciphertext, but it can be said that the plaintext is practically contained as it is.
  • the "finite cyclic group" used in TFHE's Gate Bootstrapping will be described.
  • Gate Bootstrapping "remainder ring of polynomial ring” is used as a finite cyclic group.
  • the "quotient ring of a polynomial ring” is a finite cyclic group.
  • a polynomial of degree n is generally expressed as an n x n + an n-1 x n-1 + ... + a 0 . All these sets form a commutative group for the sum f (x) + g (x) of the polynomials.
  • the product f (x) g (x) of polynomials has the same properties as the commutative group, except that the inverse element does not always exist. Such things are called monoids.
  • TFHE a polynomial ring whose coefficient is a circle group ⁇ T ⁇ , which is a finite cyclic group, is used, and such a polynomial ring is expressed as T [X].
  • T (X) which is a polynomial ring
  • T [X] (X n +1) + T [X]
  • Remainder ring is obtained.
  • Polynomial F (X) ⁇ X n-1 + ⁇ X n- , using an arbitrary coefficient ⁇ ( ⁇ ⁇ T) as an element (element) of "remainder ring of polynomial ring" T [X] / (X n +1) 2 + ... + ⁇ X + ⁇ Take out. Multiplying the element F (X) of the quotient ring of the polynomial ring gives ⁇ X n-1 + ⁇ X n-2 + ... + ⁇ X- ⁇ , and the coefficient of the top term is inverted from plus to minus. Appears as a constant term. When X is further multiplied, the same thing happens again, such as ⁇ X n-1 + ⁇ X n-2 + ...
  • the polynomial F (X) ⁇ X n-1 + ⁇ X n-2 + ... + ⁇ X + ⁇ is a finite order of 2n in the ring “remainder ring of polynomial ring” T [X] / (X n +1). It is a cyclic group.
  • the cryptographic processing device realizes fully homomorphic encryption by utilizing the property of the polynomial F (X) based on such "remainder ring of polynomial ring".
  • TRLWE encryption Gate Bootstrapping uses a cipher called "TRLWE cipher" in addition to the TLWE cipher. Describes the TRLWE cipher.
  • the "R” in the TRLWE cipher means "ring”, and the TRLWE cipher is an LWE cipher composed of "rings”. Like the TLWE cipher, the TRLWE is an additive homomorphic encryption.
  • the "ring” in the TRLWE cipher is the above-mentioned "remainder ring of polynomial ring" T [X] / (X n + 1).
  • the elements (elements) of the "remainder ring of the polynomial ring" T [X] / (X n +1) are randomly selected.
  • n coefficients of the n-1 degree polynomial are selected from the circle group ⁇ T ⁇ with uniformly distributed random numbers. If the degree of the polynomial is n-1, it is not divided by X n + 1 and it is not necessary to consider the remainder. Therefore, the polynomial having the degree n-1 is defined as the polynomial a (X).
  • s (X) s n-1 X n-1 + s n-2 X n-2 + ... s 1 X + s 0
  • n random numbers e i are used as random numbers with a Gaussian distribution (normal distribution) whose mean value is plaintext ⁇ i and whose variance is ⁇ , and the following polynomial e (X) is constructed from these.
  • e (X) e n-1 X n-1 + en -2 X n-2 + ...
  • g (X) is defined so that ⁇ s is the source of T [X] / (X n + 1), which functions as a decoding function.
  • Gadget Decomposition Explain Gadget Decomposition.
  • the coefficient of the polynomial used in the TRLWE ciphertext is a real number of 0 or more and less than 1 which is an element of the circle group ⁇ T ⁇ in FIG. 4, and has only a fractional part.
  • the operation of decomposing this into several bits in binary notation is defined as Gadget Decomposition (Dec) in TFHE of the above paper.
  • Dec Gadget Decomposition
  • the Bootstrapping Key is used to encrypt the private key for use in Gate Bootstrapping.
  • each element of the secret key [s'] for encrypting the secret key [s] is set to 0 or 1 for use in Gate Bootstrapping. Select with two values.
  • the degree of the private key [s'] must be the same as the degree n of the polynomial used in the TRLWE cipher. Create a TRGSW ciphertext BK for each element of the private key [s].
  • the CMux function outputs the ciphertext of plaintext ⁇ 0 without decrypting it, and when si is 1, it outputs the ciphertext of plaintext ⁇ 1 without decrypting it.
  • the CMux function can calculate the ciphertext of plaintext ⁇ 0 or plaintext ⁇ 1 , but it is unknown which one is selected.
  • Binary Gate Bootstrapping of TFHE is performed using the various information described above.
  • Binary Gate Bootstrapping consists of the following three steps: (1) BlindRotate, (2) SampleExtract, and (3) key switching.
  • FIG. 5 is an operation image diagram of binary Gate Bootstrapping.
  • the binary Gate Bootstrapping reduces the error in the plaintext of the homomorphic operation result between the TLWE ciphertexts by the three steps described below.
  • "plaintext" means the calculation result of plaintext as a result of calculation between TLWE ciphertexts.
  • the plain text in the section from 0 to 0.25 (1/4) and 0.75 (3/4) to 1 in the circumference group ⁇ T ⁇ in FIG. 4 is converted into a TLWE cipher text of 0, and 0.25 (1).
  • the plain text in the section from / 4) to 0.75 (3/4) is converted into the encrypted text of 0.25 (1/4). During this conversion, the error added to the plaintext is in the range of ⁇ 1/16.
  • Blind Rotate Blind Rotate is the first step in Gate Bootstrapping.
  • BlindRotate is the process of creating a TRLWE ciphertext.
  • a trivial TRLWE ciphertext (0, T (X)) having a polynomial T (X) as a plaintext is obtained without decrypting a TRLWE ciphertext multiplied by X ⁇ s (c') .
  • "0" indicates a polynomial 0 of degree 0.
  • ⁇ s (c') is a plaintext obtained by applying the following LWE ciphertext c'to a decryption function.
  • 0 indicates a polynomial 0 of degree 0.
  • BK i which is the Bootstrapping Key described above
  • a i CMux (BK i , A i-1 , X a'i A i-1 ) is calculated in order. Again, since a'i is an integer, the power of X can be defined naturally.
  • the new TLWE cipher ([a "], b 1 ) was obtained with the same value as the constant term of the plaintext polynomial corresponding to the original TRLWE ciphertext An.
  • the TLWE ciphertext cs ([a "], b1) + ([0], ⁇ ), which is obtained by adding the obvious ciphertext ([0], ⁇ ) in which the plaintext is ⁇ to the obtained TLWE ciphertext. Is the output of Sample Extract.
  • the TLWE ciphertext cs obtained by Sample Extract in (2) is encrypted with the private key [s'] instead of the private key [s]. Therefore, it is necessary to replace the key of the TLWE ciphertext cs with the private key [s] and return to the encrypted state with the private key [s] without decrypting the TLWE ciphertext cs. Therefore, the key switching method will be described.
  • the secret key [s] of the TLWE ciphertext used for NAND operation was an Nth-order vector. Using this, the secret key [s'] of the nth-order vector when the Bootstrapping Key is created is encrypted.
  • the element of the circle group ⁇ T ⁇ the real number from 0 to 1 is encrypted as a value shifted to each digit when expressed in binary.
  • the private key is [s].
  • Numberer of digits t is a system parameter. When decrypted with the private key [s], Will be. This is the "key switching key”.
  • the number of elements of [a] is n as in the secret key [s']. If you convert this one by one to a fixed decimal number of t bits, Can be written in the format of.
  • TLWE ciphertext cx is calculated as the processing of the key switching body. Since the term ([0], b) is a trivial ciphertext, it is b when decrypted, and when the result of decrypting the TLWE ciphertext cx is calculated, Is. Since s'i is a constant with respect to j, squeeze it out. And substitute the formula when decomposed into fixed decimals above. as a result, It means that the key switching was successful.
  • the TLWE ciphertext cx obtained here is encrypted with the same private key [s] as the TLWE ciphertext c used as the input of Gate Bootstrapping.
  • the TLWE ciphertext encrypted with the private key [s] is returned, and if ⁇ s (c) is in the range of ⁇ 1/4, the plaintext ⁇ s (cx) becomes 0. If ⁇ s (c) is in the range of 1/2 ⁇ 1/4, the plaintext ⁇ s (cx) is 1/4.
  • the maximum value of the error does not depend on the input TLWE ciphertext c and is a value fixed by the system parameter. Therefore, the system parameters are set so that the maximum value of the error is within ⁇ 1/16, which is the same as the input TLWE ciphertext. This makes it possible to perform NAND operations as many times as necessary, and all operations including addition and multiplication are possible.
  • the error on the "plaintext" of the TLWE cipher output output from Gate Bootstrapping is the error added by integerizing the TLWE ciphertext, the error added by CMux, the error when it is converted to a fixed decimal by key switching, and the like. All of these errors can be constrained by the system parameters, and the system parameters can be adjusted so that the error considering all of them is ⁇ 1/16.
  • the above is the process of TFHE Gate Bootstrapping.
  • the number of Gate Bootstrapping is reduced by improving the binary Gate Bootstrapping in TFHE as described above and using the three-value Gate Bootstrapping for the calculation of the full adder.
  • the cryptographic processing device 1 is, in particular, in a full adder used for a fully homomorphic encryption operation, a cipher sentence in which Gate Bootstrapping performed for each homomorphic operation can take a multi-value (for example, three values) as a plain sentence.
  • the number of logical operations (homomorphic operations) itself can be reduced by improving the output.
  • the encryption processing device 1 can reduce the number of times of Gate Bootstrapping, which requires a long operation time, which is performed after the logical operation (homomorphic operation), and can significantly reduce the processing time of the completely homomorphic encryption. It reduces the number of logical operations (homomorphic operations) and significantly reduces the processing time of fully homomorphic encryption.
  • the trivalent Gate Bootstrapping of the present embodiment will be described in detail with reference to FIGS. 2 and 3.
  • TLWE ciphertexts ca, cb, and cc corresponding to plaintexts A, B, and C into the configuration of the full adder shown in FIG.
  • the TLWE ciphertexts ca, cb, and cc are additive homomorphic encryptions, and the sum of plaintexts can be calculated by calculating the sum of the ciphertexts.
  • These TLWE ciphertexts ca, cb, and cc are each generated by the binary Gate Bootstrapping described above, or are newly encrypted.
  • the plaintexts A, B, and C of the TLWE ciphertexts ca, cb, and cc are, for example, 0 or 1/4 in the circle group ⁇ T ⁇ in FIG. 4, and the error is included in ⁇ 1/16.
  • the first calculation unit 12 first calculates ca + cb + ([0], 1/8). As described above, ([0], 1/8) is a trivial TLWE ciphertext in which the same plaintext 1/8 can be obtained by the decryption function regardless of which secret key is used.
  • the error added to the plaintext is within ⁇ 1/8. This is because two errors of ca and cb ⁇ 1/16 are added.
  • FIG. 6 is an operation image diagram of trivalent Gate Bootstrapping.
  • the ternary Gate Bootstrapping can take a ternary value as a plaintext based on the circle group ⁇ T ⁇ of FIG. 4 (mapped on the circle group ⁇ T ⁇ ) TLWE ciphertext (described later).
  • Temporary ciphertext ct can be obtained.
  • the above 1/8 ⁇ 1/8 is 0 to 0.25 (1/4), and from this range in the circle group ⁇ T ⁇ , a TLWE ciphertext whose plaintext is "0" is obtained.
  • the plaintext of the non-zero ciphertext is set to 1/4 so that the TLWE ciphertext ct based on ca + cb can take the three values in the circumference group ⁇ T ⁇ as the plaintext.
  • the error of each of the TLWE ciphertext ca and the TLWE ciphertext cb is ⁇ 1/16, and the error of the ca + cb with respect to the plaintext is ⁇ 1/8.
  • Cryptographic processing apparatus 1 performs Blind Rotate as the first step of trivalent Gate Bootstrapping.
  • F (X) ⁇ X n-1 + ⁇ X n-2 ... + ⁇ X + ⁇
  • the encryption processing device 1 is used as a test vector in Blind Rotate of trivalent Gate Bootstrapping.
  • T1 (X) ⁇ 1 X n-1 + ⁇ 1 X n-2 + ... ⁇ 1 X (n / 2) + ⁇ 2 X (n / 2) -1 + ... ⁇ 2 X + ⁇ 2
  • ⁇ 1 1/2
  • ⁇ 2 1/4 Is used.
  • the coefficients ⁇ 1 and ⁇ 2 of the test vector polynomial T1 (X) are the values on the circle group ⁇ T ⁇ that can be taken by the plaintext of the TLWE ciphertext output by the ternary Gate Bootstrapping of the present embodiment, respectively.
  • the cryptographic processing apparatus 1 uses the test vector polynomial T1 (X) to perform Blind Rotate in the same manner as in the above paper to obtain a TRLWE ciphertext.
  • the polynomial T1 (X) by multiplying the polynomial T1 (X) by X, ⁇ 1 X n-1 + ⁇ 1 X n-2 + ...
  • the cryptographic processing apparatus 1 obtains the TRLWE ciphertext d having three kinds of values of 1/4, 1/2, and 3/4 as the constant terms of the plaintext polynomial in BlindRotate, and Sample Extract for the TRLWE ciphertext d. I do.
  • a trivial TLWE ciphertext [0], 1/8) whose plaintext is 1/8 is further added to the TLWE ciphertext obtained after the SampleExtract.
  • the encryption processing device 1 is self-evident that the plaintext is -1/4 for the TLWE ciphertext having three kinds of values of 1/4, 1/2, and 3/4 obtained in the middle. Add the TLWE ciphertext ([0], -1/4).
  • the encryption processing device 1 has three values of 0, 1/4, and 1/2 as plaintext as the output of the three-value Gate Bootstrapping, and the error added to the plaintext is included in the range of ⁇ 1/16.
  • an error of ⁇ 1/8 was added to the plaintext sum (a + b).
  • the ternary Gate Bootstrapping the error added to the plaintext in the new TLWE ciphertext ct is reduced to ⁇ 1/16, that is, the error in the same range as the original TLWE ciphertext ca and cb. I understand.
  • the TLWE ciphertext ct can be used again for logical operations.
  • the encryption processing apparatus 1 adds the carry input TLWE ciphertext cc to the TLWE ciphertext ct obtained as a result of the trivalent Gate Bootstrapping.
  • the second calculation unit 13 calculates ct + cc + ([0], -1/8), and the third calculation unit 14 calculates 2 ⁇ (ct + cc).
  • the second calculation unit 16 and the third calculation unit 17 are described in the above paper with respect to the output of the second calculation unit 13 and the output of the third calculation unit 14 (both are TLWE ciphers that can take binary values).
  • the number of Gate Bootstrapping which consumes almost all the operation time in the operation of the logical operation element, can be reduced to three times. If the full adder is implemented only by the binary Gate Bootstrapping in the above paper without performing the binary Gate Bootstrapping, it is necessary to execute the binary Gate Bootstrapping five times. In comparison, it was confirmed by experiments that the calculation time can be shortened by 40% by the method of this embodiment. In addition, since the latter two binary Gate Bootstrappings that process the carry output and the SUM output are not dependent on each other, by parallelizing them by multithread processing etc., the processing time for two Gate Bootstrappings is performed for the entire adder. Can be.
  • FIG. 7 is a flowchart illustrating a flow of arithmetic processing of the full adder executed by the cryptographic processing apparatus.
  • the plaintext in the section of 0 to 1/4, 3/4 to 1 in the circle group ⁇ T ⁇ is converted into a 0 TLWE ciphertext.
  • the plaintext in the section of 1/4 to 3/4 in the circle group ⁇ T ⁇ is converted into a 1/4 TLWE ciphertext.
  • the error added to the plaintext during this conversion is any value in the range of ⁇ 1/16.
  • the range of the circle group ⁇ T ⁇ described above is associated with a symbol used in (multi-valued) logical operations such as 0 and 1. That is, Will be.
  • the plaintext in the section from 0 to 1/4 in the circle group ⁇ T ⁇ is converted into a 0 TLWE ciphertext.
  • the plaintext in the section of 1/4 to 1/2 and 3/4 to 1 in the circle group ⁇ T ⁇ is converted into 1/4 TLWE ciphertext.
  • the plaintext in the section of 1/2 to 3/4 in the circle group ⁇ T ⁇ is converted into the TLWE ciphertext of 1/2.
  • the error added to the plaintext during this conversion is any value in the range of ⁇ 1/16.
  • the range of the circle group ⁇ T ⁇ described above is associated with symbols 0, 1, and 2 used in the (multi-valued) logical operation.
  • the range (including error) on the circle group ⁇ T ⁇ corresponds to either the binary or trivalent plaintext in the ciphertext.
  • the ciphertext is a vector having the form ([a], b), and the element of the vector is a point on the circle group.
  • Plaintext is also a point on the circle group ⁇ T ⁇ . Symbols 0, 1 and 2 used in the multi-valued logic operation correspond to a range on the circle group ⁇ T ⁇ , and the plaintext for a certain ciphertext points to any one point in the range. It is difficult to identify which point in the plaintext the plaintext refers to without the private key. This guarantees the strength of the TLWE ciphertext.
  • a plurality of ciphertexts can be collected and a plaintext can be derived as a simultaneous equation, and the strength of the TLWE ciphertext is reduced.
  • the encryption processing device 1 determines in step S101 whether or not the ciphertext to be calculated has been input. When it is determined that the ciphertext has been input (Yes in step S101), the encryption processing device 1 (reception unit 11) receives the ciphertext and stores it in the storage unit 20 in step S102. Next, the encryption processing device 1 (first calculation unit 12) performs a homomorphic calculation using the ciphertext in step S103, and stores the calculation result in the storage unit 20. In step S104, the encryption processing device 1 (first calculation unit 15) performs tri-valued Gate Bootstrapping on the calculation result, calculates a temporary ciphertext having multiple values (three values) as plaintext, and stores it in the storage unit 20. Store.
  • step S105 the encryption processing device 1 (second calculation unit 13) performs a homomorphic calculation of the temporary ciphertext ct and the carry input cc, and stores the calculation result in the storage unit 20.
  • step S106 the encryption processing device 1 (second calculation unit 16) performs binary Gate Bootstrapping on the calculation result of step S105 to calculate the carry output cy, and stores it in the storage unit 20.
  • the calculation as shown in the following truth table is performed.
  • This operation accepts the input of the ciphertext ct having three values as plain text and the input of the ciphertext cc having two values as plain text, and outputs the output ciphertext cy having two values as plain text from the ciphertext ct and the ciphertext cc. What you get.
  • the ciphertext cc is symbol 0 or 1, that is, section 0 ⁇ 1/16 or 1/4 ⁇ 1/16
  • the ciphertext ct is symbol 0, 1 or 2, that is, section 0 ⁇ 1/16, 1 /.
  • step S107 the encryption processing device 1 (third calculation unit 14) performs a homomorphic operation using a temporary ciphertext, a carry input, and a ciphertext.
  • step S108 the encryption processing device 1 (third calculation unit 17) performs binary Gate Bootstrapping on the calculation result of step S105, calculates the output ciphertext cz, and stores it in the storage unit 20.
  • the calculation as shown in the following truth table is performed in plain text. This operation accepts the input of the ciphertext ct having three values and the input of the ciphertext cc having two values, and obtains the output of the ciphertext cz having two values.
  • the ciphertext cc is symbol 0 or 1, that is, section 0 ⁇ 1/16 or 1/4 ⁇ 1/16
  • the ciphertext ct is symbol 0, 1 or 2, that is, section 0 ⁇ 1/16, 1/4.
  • ⁇ 1/16 or 1/2 ⁇ 1/16 the following operation is performed as a homomorphic operation.
  • the speedup of the full adder performed by the encryption processing device 1 can be applied as follows. For example, suppose you want to aggregate fields and records within a certain range from a database encrypted with TLWE encryption (for example, you want to find the average annual income for 30-39 years old). At this time, the encryption processing device 1 is a database server that manages an encrypted database, receives a query encrypted with TLWE encryption from a terminal device connected via a network or the like, and receives a response to the query by TLWE. Return it to the terminal device in a encrypted state. Encrypted databases cannot be indexed, so comparisons and aggregations for the entire database are required.
  • the encryption processing device 10 is encrypted by the functions of the first calculation unit 12, the second calculation unit 13, the third calculation unit 14, the first Bootstrapping unit 15, the second Bootstrapping unit 16, and the third Bootstrapping unit 17 that realize the full adder. Performs a comparison operation that compares all the records in the database with the query.
  • the comparison operation is to perform subtraction between the ciphertexts of the record and the query, and the positive and negative of the subtraction result are equivalent to the comparison operation.
  • the cryptographic processing device 1 can further perform an aggregation operation on records that match the query in the comparison operation. In the aggregation operation, the cryptographic processing device 1 adds the records that match the query in the comparison operation, calculates the total, and further obtains the average value by using division.
  • the four-rule operation is a homomorphic four-rule operation for encrypted numerical values regarded as the ciphertext of each bit when the sequence using the input ciphertext is expressed in binary.
  • Fuzzy authentication is, for example, biometric authentication using biometric authentication data, and it is an absolute requirement that biometric authentication data that does not change for a lifetime is encrypted and concealed. Fuzzy authentication authenticates based on the correspondence between the biometric data presented as an authentication request and the biometric data registered in the database. Judge whether or not. Fuzzy search is an ambiguous search method that presents data close to a query as search results from a database even if the query and record do not exactly match.
  • the encrypted database is compared with the query in the same way as the comparison operation / aggregation operation in the above encrypted database, and at that time, it is encrypted by homomorphic encryption. It is necessary to perform a comparison operation on the data.
  • addition, subtraction, multiplication, division and comparison between integers occupy most of the processing time, so speeding up the calculation of all adders used for them greatly reduces the processing time. Can be effective.
  • Euclidean distance is often used when making comparisons in fuzzy authentication and fuzzy search.
  • a square calculation is required. Therefore, in the Bit-wise type homomorphic encryption, it is necessary to calculate the total adder of O (N 2 ) with respect to the bit length of the data when performing multiplication. It is also necessary to calculate the full adder of O (N) even in the comparison operation by simple subtraction. Therefore, by speeding up the calculation of the full adder, the processing time required for fuzzy authentication and fuzzy search can be significantly reduced.
  • FIG. 8 is a block diagram showing an embodiment of a computer device.
  • the configuration of the computer device 100 will be described with reference to FIG.
  • the computer device 100 is, for example, an encryption processing device that processes various types of information.
  • the computer device 100 includes a control circuit 101, a storage device 102, a reading device 103, a recording medium 104, a communication interface 105, an input / output interface 106, an input device 107, and a display device 108. Further, the communication interface 105 is connected to the network 200. Then, each component is connected by a bus 110.
  • the encryption processing device 1 can be configured by appropriately selecting a part or all of the components described in the computer device 100.
  • the control circuit 101 controls the entire computer device 100.
  • the control circuit 101 is, for example, a processor such as a Central Processing Unit (CPU), a Field Programmable Gate Array (FPGA), an Application Specific Integrated Circuit (ASIC), and a Programmable Logic Device (PLD).
  • the control circuit 101 functions as, for example, the control unit 10 in FIG.
  • the storage device 102 stores various data.
  • the storage device 102 is, for example, a memory such as ReadOnlyMemory (ROM) and RandomAccessMemory (RAM), a HardDisk (HD), or the like.
  • the storage device 102 may store an information processing program that causes the control circuit 101 to function as the control unit 10 in FIG.
  • the storage device 102 functions as, for example, the storage unit 20 in FIG.
  • the encryption processing device 1 When performing information processing, the encryption processing device 1 reads the program stored in the storage device 102 into the RAM. The encryption processing device 1 executes the program read into the RAM by the control circuit 101, so that the reception processing, the first arithmetic processing, the second arithmetic processing, the third arithmetic processing, the first Bootstrapping processing, the second Bootstrapping processing, and the first 3 Execute a process including one or more of Bootstrapping process and output process.
  • the program may be stored in the storage device of the server on the network 200 as long as the control circuit 101 can be accessed via the communication interface 105.
  • the reading device 103 is controlled by the control circuit 101 to read / write data on the detachable recording medium 104.
  • the recording medium 104 stores various data.
  • the recording medium 104 stores, for example, an information processing program.
  • the recording medium 104 includes, for example, a Secure Digital (SD) memory card, a Floppy Disk (FD), a Compact Disc (CD), a Digital Versatile Disk (DVD), a Blu-ray (registered trademark) Disk (BD), a flash memory, and the like.
  • SD Secure Digital
  • FD Floppy Disk
  • CD Compact Disc
  • DVD Digital Versatile Disk
  • BD Blu-ray (registered trademark) Disk
  • flash memory and the like.
  • Non-volatile memory non-temporary recording medium.
  • the communication interface 105 communicably connects the computer device 100 and other devices via the network 200.
  • the communication interface 105 functions as the communication unit 25, for example, in FIG.
  • the input / output interface 106 is, for example, an interface that is detachably connected to various input devices.
  • the input device 107 connected to the input / output interface 106 includes, for example, a keyboard and a mouse.
  • the input / output interface 106 connects various connected input devices to the computer device 100 in a communicable manner. Then, the input / output interface 106 outputs the signals input from the various connected input devices to the control circuit 101 via the bus 110. Further, the input / output interface 106 outputs the signal output from the control circuit 101 to the input / output device via the bus 110.
  • the input / output interface 106 functions as an input unit 26 in FIG. 2, for example.
  • the display device 108 displays various information.
  • the network 200 is, for example, a LAN, wireless communication, a P2P network, the Internet, or the like, and communicates and connects a computer device 100 with another device. It should be noted that the present embodiment is not limited to the embodiments described above, and various configurations or embodiments can be taken within a range that does not deviate from the gist of the present embodiment.
  • 1 Cryptographic processing device 10 Control unit, 11 Reception unit, 12 1st calculation unit, 13 2nd calculation unit, 14 3rd calculation unit, 15 1st Bootstrap unit (calculation unit), 16 2nd Bootstrap unit (calculation unit), 17 3rd Bootstrap unit (calculation unit), 18 output unit, 20 storage unit, 25 communication unit, 26 input unit, 100 computer device, 101 control circuit, 102 storage device, 103 reading device, 104 recording medium, 105 communication interface, 106 input Output interface, 107 input device, 108 display device, 110 bus, 200 network

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Algebra (AREA)
  • Mathematical Analysis (AREA)
  • Mathematical Optimization (AREA)
  • Mathematical Physics (AREA)
  • Pure & Applied Mathematics (AREA)
  • Computing Systems (AREA)
  • Complex Calculations (AREA)

Abstract

完全準同型暗号を実現する全加算器の演算を高速化する。暗号処理装置が処理する暗号文は、２種類の値を平文として有し、復号することなく論理演算を行うことにより種々の演算が可能な完全準同型暗号文であり、受付部が受け付けた暗号文に対して論理演算を行う演算部と、演算部による演算結果を出力する出力部と、を備え、演算部は、暗号文として、一時的に平文として多値を取りうる特定暗号文を用いることにより論理演算（準同型演算）の回数を削減する。

Description

暗号処理装置、暗号処理方法、及び暗号処理プログラム
　本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。
　準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
　平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
　有限巡回群を整数に見立てて、加法演算（加算、減算）、乗法演算（乗算）のみを行う加法準同型暗号、乗法準同型暗号が以前から知られていた。
　有限巡回群は、加算を繰り返せば整数倍が出来るので、「平文の」整数倍ができ、乗算を繰り返せば「平文の」のべき乗計算をすることも出来る。
　また、加法演算（加算、減算）と乗法演算（乗算）の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
　現在知られている完全準同型暗号では、複数回の加減算、乗算が可能な、例えばLWE問題に基づくsomewhat準同型暗号を用いる。LWE問題に基づく場合、somewhat準同型暗号は、暗号化時に復号には問題ない程度の小さな誤差を平文に加えることで構成される。なお、somewhat準同型暗号はLWE暗号に限定されない。
　LWE問題に基づくsomewhat準同型暗号では演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingを行う。
　このようなbootstrappingは膨大なデータ量が必要となったり計算量が膨大となったりし、実用的な意味で完全準同型暗号が実現できていたとは言えなかった。
　この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。
TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene
　ところで、準同型暗号には、平文として２値を持ち論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり非特許文献１に示されるTFHEはBit-wise型である。
　Bit-wise型の準同型暗号において、１つの暗号文は１ｂｉｔの情報しか持ち得ないため、例えば３２ｂｉｔの整数を扱おうとすると３２個の暗号文を処理する必要がある。
　整数同士の加算や減算、乗算や比較は様々なデータ処理で多用される。１ｂｉｔの情報を持つ暗号文を用いる場合、論理回路を設計するイメージで演算を行うが、３２ｂｉｔの整数の加算・減算の場合は１個の半加算器と、３１個の全加算器を用いる。乗算の場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
　従って、完全準同型暗号の処理時間を低減し、さらに効率化を図るためには、bootstrappingを含む全加算器の演算を高速化する必要がある。
　本発明はこのような事情を鑑みてなされたものであり、一側面として、完全準同型暗号に必要な全加算器の演算を高速化し、完全準同型暗号の処理時間を低減することを目的とする。
　本発明は、暗号文を処理する暗号処理装置であって、前記暗号文は、平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、前記暗号文を用いた所定の演算において、平文として２値よりも多い多値を有する前記暗号文に基づいた一時暗号文を出力とする多値論理演算を使用することにより前記演算に必要な計算処理の回数を削減する、暗号処理装置を特徴とする。
　本発明によれば、一側面として、全加算器の演算を高速化して完全準同型暗号の処理時間を低減することが出来る。
最小の論理演算素子数による全加算器回路の構成を説明する図である。 本実施形態の暗号処理装置の機能構成を説明する図である。 図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図である TLWE暗号が平文として有する円周群を説明するイメージ図である。 ２値Gate Bootstrappingの動作イメージ図である。 ３値Gate Bootstrappingの動作イメージ図である。 暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャートである。 コンピュータ装置の一実施例を示すブロック図である。
　以下に、図面を参照して本発明の実施の形態を詳細に説明する。
　なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
　また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。
　本実施形態の暗号処理装置は、全加算器を用いて完全準同型暗号の演算を行う。完全準同型暗号は、準同型で（暗号化したまま）加算、減算、乗算の演算が可能な暗号である。
　暗号処理装置に含まれる、全加算器を構成するＡＮＤ回路部、ＸＯＲ回路部の夫々において、Bit-wise型の準同型暗号に対するＡＮＤを得るための演算、ＸＯＲを得るための演算を行うことが知られている。
　しかし、完全準同型暗号とするためには、ＡＮＤを得るための演算、ＸＯＲを得るための演算のあとで、下記に説明するGate Bootstrappingと呼ばれる誤差を削減する処理が必要である。
　このGate Bootstrappingの処理に時間を要していたが、本実施形態の暗号処理装置は、Gate Bootstrapping後の一時的な暗号文が取り得る値の種類を増やすことで、全加算器を構成する準同型演算の回数を削減する。
　これにより、本実施形態の暗号処理装置は、各準同型演算の後段で行われるGate Bootstrappingの回数を減らし、全加算器の演算を高速化することが出来る。
　図１は、最小の論理演算素子数による全加算器回路を例示する図である。
　図１は、論理演算素子によるハードウェア回路で全加算器を説明しているが、全加算器をソフトウェアで実装したＣＰＵが実行する全加算器プログラムであると考えてもよい。
　全加算器をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
　それは、図２以降で説明する本実施形態の暗号処理装置についても同様である。
　全加算器回路５０は、２つの半加算器５１、５２と１つのＯＲ回路部（ＯＲを得るための演算処理部）５３から構成される。
　第１半加算器５１は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５１ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５１Ｂを備える。
　第２半加算器５２は、ＡＮＤ回路部５２（ＡＮＤを得るための演算処理部）ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５２Ｂを備える。
　加算される入力Ａと入力Ｂが第１半加算器５１のＡＮＤ回路部５１ＡとＸＯＲ回路部５１Ｂに入力される。
　第１半加算器５１のＡＮＤ回路部５１Ａの出力と、第２半加算器５２のＡＮＤ回路部５２Ａの出力と、が後段のＯＲ回路部５３に入力され、ＯＲ回路部５３からは桁上げ出力Ｃ０（Carry out）が出力される。
　第１半加算器５１のＸＯＲ回路部５１Ｂからの出力と、桁上げ入力Ｃｉ（Carry in）が第２半加算器５２のＡＮＤ回路部５２ＡとＸＯＲ回路部５２Ｂに入力される。
　第２半加算器５２のＸＯＲ回路部５２Ｂからは、全加算器回路５０の出力Ｓ（Sum）が出力される。
　図１に示すように、全加算器５０は、２つのＡＮＤ回路部と２つのＸＯＲ回路部とＯＲ回路部を備えており、全部で５つの論理演算素子（論理演算素子に対応する処理部）を備えている。
　従って、１つの全加算器の演算につき、論理演算素子５つ分の演算時間が必要である。上記論文に示されるTFHEの場合、１つの論理演算素子の演算には約１６ｍｓの演算時間を要し、論理演算素子を５つ備える全加算器５０全体では、約８０ｍｓの演算時間を要する。TFHEによる完全準同型暗号の演算に用いる場合、５つの論理演算素子の前段部の演算（準同型演算）の後段で、夫々Gate Bootstrappingを行う必要がある。なお、準同型論理演算の処理時間のほぼすべてをGate Bootstrappingが占めている。
　従って、図１の全加算器回路５０による完全準同型暗号の演算にはGate Bootstrapping５回分の演算時間を要するとみなしても構わない。
　なお、半加算器５１、半加算器５２を構成するＡＮＤ回路部とＸＯＲ回路部の演算には依存関係がないため、全加算器をソフトウェアで構成する場合には、マルチスレッドなどの手法で並列演算を行うことが出来る。
　並列演算によって、半加算器の演算を１つの論理演算素子分の演算時間で行うことが出来る。
　従って、図１に示す１つの全加算器の演算を３つの論理演算素子分の演算時間で演算を実行することが出来る。ただし、この場合でも１つの全加算器の演算に４８ｍｓの演算時間を要する。これは、Gate Bootstrapping ３回分の演算時間とほぼ同じである。
　TFHEは、ＡＮＤ回路部とＸＯＲ回路部などの論理ゲートをベースとするBit-wise型暗号である。
　全加算器を使用することで、整数の加減乗除（四則演算）の全てと比較演算に対応することが出来る。
　しかしながら、Bit-wise型暗号は、１つの暗号文は１ｂｉｔの情報しか持ち得ない。
　整数同士の加算、減算、乗算、除算や比較（比較は減算結果の正負と等価である）は様々なデータ処理で多用されるが、扱われるデータは、ビット長が大きいものが通常である。
　例えば、３２ｂｉｔの整数を扱おうとすると、３２個の暗号文を処理する必要がある。
　Bit-wise型の完全準同型暗号について３２ｂｉｔの整数の加算・減算を行う場合は、１個の半加算器と、３１個の全加算器を用いる。また、乗算を行う場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
　完全準同型暗号の演算（四則演算と比較）をさらに実用的なものにするためには、完全準同型暗号の演算に多用される全加算器の演算をより高速化することが重要となる。
　下記に説明するように、本実施形態の暗号処理装置は、特に、完全準同型暗号の演算に用いる全加算器において、演算毎に行うGate Bootstrappingが多値を出力可能なように改良することで準同型演算の回数を減らす。
　その結果、本実施形態の暗号処理装置は、準同型演算の後段の、長い演算時間を要するGate Bootstrappingの回数を減らし、完全準同型暗号の処理時間を大幅に低減することが出来る。
　図２は、本実施形態の暗号処理装置の機能構成を説明する図である。
　暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
　制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第１Bootstrapping部（第１算出部）１５と、第２Bootstrapping部（第２算出部）１６と、第３Bootstrapping部（第３算出部）１７と、出力部１８と、を備えている。
　受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。
　第１演算部１２は、受付部１１が受け付けた入力暗号に対して、第１準同型演算を行う。
　第２演算部１３は、第１Bootstrapping部１５から出力される後述する一時暗号文と桁上げ入力の暗号文とに対して、第２準同型演算を行う。
　第３演算部１４は、第１Bootstrapping部１５から出力される後述する一時暗号文と桁上げ入力の暗号文とに対して、第３準同型演算を行う。
　第１演算部１２、第２演算部１３、及び第３演算部１４は、図１で説明した論理ゲート（ＡＮＤ回路部、ＸＯＲ回路部）による全加算器の演算（準同型演算）をソフトウェアで実現する演算処理部である。なお、第１演算部１２、第２演算部１３、及び第３演算部１４の少なくとも一つが、ハードウェアで実現されてもよい。
　第１Bootstrapping部１５は、第１演算部１２の演算結果に対して下記に説明する３値Gate Bootstrapping処理を行い、３値を取り得る一時暗号文を出力する。
　第２Bootstrapping部１６は、第２演算部１３の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、２値を取り得る新たな暗号文として桁上げ出力ＣＯを出力する。
　第３Bootstrapping部１７は、第３演算部１４の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、２値を取り得る新たな暗号文として出力Ｓを出力する。
　出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
　記憶部２０は、入力暗号文や、全加算器の演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
　また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
　通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
　記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
　入力部２６は、暗号処理装置１に対して、演算処理対象の暗号文を入力する。
　図３は、図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図である。
　図３の説明において、暗号処理装置１に入力される暗号文ｃａ、ｃｂ、ｃｃは、いずれも上記論文に示されるTLWE暗号文である。
　下記に詳しく説明するが、TLWE暗号は、０又はμ（非０）の値を平文として有するBit-wise型の完全準同型暗号である。
　論理ゲートを用いた論理演算によって様々な演算を行うことができる。
　暗号処理装置１は、一時的に平文として多値（例えば３値）を取りうる暗号文を用いることにより、論理演算（準同型演算）の回数を削減し、完全準同型暗号の処理時間を大幅に低減することが出来る。
　一時暗号文が取り得る３種類の値は、全加算器全体では一時的な値であるが、各論理ゲートの論理演算（多値論理演算）で用いられる値であって論理演算の中での一時的な値ではない。
　図３に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを改良して３値の出力を可能とした３値Gate Bootstrappingを使用する。
　上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
　入力された暗号文ｃａ、ｃｂを第１演算部１２に入力して準同型演算を行い、その演算結果（暗号文ｃａ＋ｃｂ）を３値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
　上記論文の２値Gate Bootstrappingの出力は、平文として２値（０，μ）の何れかを取り得る暗号文である。それに対して、本実施形態の３値Gate Bootstrappingの出力は平文として３値（０，μ１，μ２）の何れかを取り得る一時暗号文ｃｔである。
　３値Gate Bootstrappingの出力である一時暗号文ｃｔは、桁上げ入力Ｃｉの暗号文ｃｃと合わせるために、第２演算部１３、第３演算部１４に入力される。
　第２演算部１３の出力が第２Bootstrapping部１６に入力されて２値Gate Bootstrappingが行われ、桁上げ出力ＣＯの暗号文ｃｙが出力される。
　第３演算部１４の出力が第３Bootstrapping部１７に対して入力されて２値Gate Bootstrappingが行われ、出力Ｓの暗号文ｃｚが出力される。
　第２演算部１３による準同型演算、第３演算部１４による準同型演算に要する時間は微々たるものである。
　Gate Bootstrappingは、準同型演算を用いて全加算器を処理するとき、ほとんど全ての処理時間を消費している。
　図１に示す全加算器回路５０のように、２値Gate Bootstrappingを用いて全加算器の演算を行う場合、ＡＮＤ回路部５１Ａ、５２Ａ、ＸＯＲ回路部５１Ｂ、５２Ｂ、ＯＲ回路部５３の後段で夫々１回、全体で５回Gate Bootstrappingを実行する必要がある。
　それに対して、暗号処理装置１では、第１Bootstrapping部１５による３値Gate Bootstrappingを全加算器の演算に用いることにより、準同型演算処理の回数を全体で３回に減らしている。
　その結果、暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrappingの回数を全体で３回に減らすることが出来る。したがって、図１に示す全加算器回路５０と比較して、暗号処理装置１は、計算処理時間を約４０％削減することが出来る。
　さらに、暗号処理装置１は、第２演算部１３及び第２Bootstrapping部１６の処理と、第３演算部１４及び第３Bootstrapping部１７の処理とを、それぞれマルチスレッド処理によって並列に実行してもよい。この場合には、暗号処理装置１は、全加算器の演算で処理時間の大半を占めるBootstrappingの段数を２段階にすることができる。これに対して、図１に示す全加算器回路５０は、ＡＮＤ回路部５１Ａ及びＸＯＲ回路部５１Ｂと、ＡＮＤ回路部５２Ａ及びＸＯＲ回路部５２Ｂとをそれぞれ並列に実行することができるが、全体としてのBootstrappingの段数は３段階である。したがって、並列処理を用いた場合でも、図１に示す全加算器回路５０と比較して、暗号処理装置１は、計算処理時間を約３３％削減することが出来る。
　以上のように、完全準同型暗号に関する全加算器の演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、全加算器の演算を著しく高速化することが出来る。
　TFHEで説明されるGate Bootstrappingについて詳述する。
　Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
　上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成した「TLWE暗号」と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。
　TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
　TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
　TLWE暗号は、格子暗号の一種であるLWE暗号の変形（LWE暗号を円周群上で定義したもの）である。
　TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。
　図４は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
　TLWE暗号は、０から実数の精度で進み１になると０に戻る、図４に示す円周群{Ｔ}の点０、又は円周群{Ｔ}上の０以外（非０）の任意の点に対応する実数μを平文として有する。TLWE暗号自体は円周群上の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
　円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
　TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。
［TLWE暗号］
　TLWE暗号を説明する。
　円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
　平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
　同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
　なお、「・」は、ベクトルの内積を表す。以降についても同様である。
　上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
　φｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。
　このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
　２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φｓに入力すると、
φｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φｓ（[ａ]，ｂ）＋φｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
　上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。
　なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
　（[０]，μ）において、[０]は、ゼロベクトルを表す。
　「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
　TLWE暗号文（[０]，μ）は、復号関数φｓにかけると、φｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。
　TFHEのGate Bootstrappingで用いる「有限巡回群」を説明する。
　Gate Bootstrappingでは、「多項式環の剰余環」を、有限巡回群として用いる。
　「多項式環の剰余環」が有限巡回群であることを説明する。
　ｎ次の多項式は、一般にａｎｘｎ＋ａｎ－１ｘｎ－１＋…＋ａ０と表される。
　これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
　また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
　多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
　従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。
　TFHEでは、有限巡回群である円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
　多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため「多項式環の剰余環」が得られる。
　TFHEでは、「多項式環の剰余環」をＴ［Ｘ］／（Ｘｎ＋１）と表す。
　「多項式環の剰余環」Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μ
を取り出す。
　多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
　さらにＸを掛けると、μＸｎ－１＋μＸｎ－２＋・・・＋μＸ２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
　これを全部でｎ回繰り返すと、
－μＸｎ－１－μＸｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。
　さらにＸを掛け続けると、
－μＸｎ－１－μＸｎ－２・・・－μＸ＋μ
－μＸｎ－１－μＸｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
　すなわち、多項式Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋・・・＋μＸ＋μは、「多項式環の剰余環」Ｔ［Ｘ］／（Ｘｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
　TFHEにおいて、暗号処理装置は、このような「多項式環の剰余環」に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。
[TRLWE暗号]
　Gate Bootstrappingでは、TLWE暗号の他に「TRLWE暗号」と呼ばれる暗号を利用する。
　TRLWE暗号について説明する。
　TRLWE暗号の「Ｒ」は「環」を意味し、TRLWE暗号は「環」で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
　TRLWE暗号における「環」は、上記した「多項式環の剰余環」Ｔ［Ｘ］／（Ｘｎ＋１）である。
　TRLWE暗号を得るに当たり、「多項式環の剰余環」Ｔ［Ｘ］／（Ｘｎ＋１）の要素（元）をランダムに選択する。
　実際には、ｎ－１次多項式の係数ｎ個を、円周群｛Ｔ｝から一様分布な乱数で選出する。
　多項式の次数がｎ－１であれば、Ｘｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。
　０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓｎ－１Ｘｎ－１＋ｓｎ－２Ｘｎ－２＋・・・ｓ１Ｘ＋ｓ０
　ｎ個の乱数ｅｉを、平均値が平文μｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝eｎ－１Ｘｎ－１＋ｅｎ－２Ｘｎ－２＋・・・ｅ１Ｘ＋ｅ０
　ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
　その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
　TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
　また、TRLWE暗号は、TLWE暗号と同様に、φｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘｎ＋１）として、φｓがＴ［Ｘ］／（Ｘｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。
[Gadget Decomposition]
　Gadget Decompositionについて説明する。
　TRLWE暗号文で用いている多項式の係数は、図４の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
　これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
　例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
　TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ－１＝０．２５のべき乗の和の形に分解する。
　円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ２＋０．１２５Ｘ＋０．５，０．２５Ｘ２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ２＋２）＋０．２５２×２Ｘ＋０．２５３×０，０．２５×（Ｘ２＋２Ｘ＋１）９＋０．２５Ｘ２×２＋０．２５３×０］
と分解できる。
　従って、Gadget Decompositionを行うと、
　Ｄｅｃ（ｄ）＝［－Ｘ２＋２，２Ｘ，０，Ｘ２＋２Ｘ＋１，２，０]
というベクトルになる。
　ベクトルから暗号文に逆変換する作用素Ｈも定義する。
　上記の例に基づいて説明すると、
Figure JPOXMLDOC01-appb-I000001
　という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。
　TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
　ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
　そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。
Figure JPOXMLDOC01-appb-I000002
　この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
　TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。
　Bootstrapping Keyを説明する。
　Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
　TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
　秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
　秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
　秘密鍵[ｓ’]で復号するとφｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
　そして、上記したTRGSW暗号文の構成どおり、
Figure JPOXMLDOC01-appb-I000003
とする。
　このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。
　TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
　Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
　従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（εａ（Ｘ），εｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））と書ける。
　その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
Figure JPOXMLDOC01-appb-I000004
となる。
　左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（εａ（Ｘ），εｂ（Ｘ））を代入すると、

Figure JPOXMLDOC01-appb-I000005
となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。
Figure JPOXMLDOC01-appb-I000006
　TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
　Ｃ１は、Ｚｊを何倍かして足したものなので、平文φｓ’（ｃ１）の期待値は０となる。
　また復号したφｓ’（ｃ３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。
　そうするとφｓ’（BKｉ×ｄ）＝φｓ’（ｓｉ×ｄ）となるが、ｓｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓｉが０と１の何れであるかを判別することができない。
　２つの平文μ０、μ１に対応するTRLWE暗号文ｄ０、ｄ１があるとして、ｄ＝ｄ１－ｄ０と代入して、最後にｄ０を加算すると、下記のようなＣＭｕｘ関数が完成する。
　ＣＭｕｘ（ＢＫｉ，ｄ０，ｄ１）＝ＢＫｉ×（ｄ１－ｄ０）＋ｄ０＝Ｄｅｃ（ｄ１－ｄ０）・ＢＫｉ＋ｄ０
　ＣＭｕｘ関数は、ｓｉが０であると平文μ０の暗号文を復号することなく出力し、ｓｉが１であると平文μ１の暗号文を復号することなく出力する。
　ＣＭｕｘ関数は、平文μ０もしくは平文μ１の暗号文を計算することができるが、どちらを選択したかは分からない。
　TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
　２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。
　図５は、２値Gate Bootstrappingの動作イメージ図である。
　２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
　以下の説明で、特に説明をしない場合、「平文」とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
　図４の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
　この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。
(1)BlindRotate
　Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
　BlindRotateは、TRLWE暗号文を作成する工程である。
　BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ－φｓ（ｃ’）を乗算したTRLWE暗号文を復号することなく得る。「０」は、０次の多項式０を示す。
　ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
　BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘｎ／２
を用意する。
　平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
　このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
　LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φｓ（ｃ’）≒２Ｎ×φｓ（ｃ）＝２Ｎμ１となる。Ｎが大きくなるほど相対的に誤差は小さくなる。
　多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ０＝Ｘ－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
　以降、上記に説明したBootstrapping KeyであるＢＫｉを用いて、順番にＡｉ＝ＣＭｕｘ（ＢＫｉ，Ａｉ－１，Ｘａ’ｉＡｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。
　そうすると、ｓｉが０の時は、平文はそのまま変わらず、ｓｉが１の時は、Ｘａ’ｉが順番に乗算されていく。
　従って、
Figure JPOXMLDOC01-appb-I000007
と繰り返すと、
Figure JPOXMLDOC01-appb-I000008
となる。
　ここで、
Figure JPOXMLDOC01-appb-I000009
は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、
Figure JPOXMLDOC01-appb-I000010
となる。ここでφｓ’（Ａｎ）は、多項式Ｔ（Ｘ）にＸ－１をμ１’回乗算した多項式の暗号文である。
(2)SampleExtract
　(1)のBlindRotateで得たTRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）を見ると、下位の項から数えてｎ／２－φｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
　TRLWE暗号文Ａｎを復号して得られる平文多項式φｓ’（Ａｎ）の定数項だけを見ると、φｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
　SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａｎから、これを復号することなく平文多項式φｓ’（Ａｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。
　TLWE暗号文ｃｓを得るための処理を説明する。
　全てのTRLWE暗号文は、次数をｎとして、
Figure JPOXMLDOC01-appb-I000011
と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
　これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を
Figure JPOXMLDOC01-appb-I000012
とおいて、
Figure JPOXMLDOC01-appb-I000013
と展開することができる。
　これに対して下記の演算を行い、

Figure JPOXMLDOC01-appb-I000014

を得る。
　「多項式環の剰余環」であるので（Ｘｎ＋１）で割った余りを求めると、
Figure JPOXMLDOC01-appb-I000015
が得られる。
　さらに、
Figure JPOXMLDOC01-appb-I000016
とおくと、
Figure JPOXMLDOC01-appb-I000017
となり、
Figure JPOXMLDOC01-appb-I000018
から、平文多項式の各項の係数が求まる。
　そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、
Figure JPOXMLDOC01-appb-I000019
が得られる。
Figure JPOXMLDOC01-appb-I000020
とおくと、
Figure JPOXMLDOC01-appb-I000021
のように、TLWE暗号の復号関数に変形することができる。
　つまり、(1)のBlindRotateで得たTRLWE暗号文Ａｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を
Figure JPOXMLDOC01-appb-I000022
として取り出すと、元のTRLWE暗号文Ａｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ１）が得られた。この新しいTLWE暗号文は、平文として－μ又はμの２種類を有する。
　得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）がSampleExtractの出力である。
　具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
　これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。以上の操作を、TFHEではSampleExtractと呼ぶ。
(3)キースイッチング
　(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている。
　従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
　そのためキースイッチングの手法を説明する。
　NAND演算に用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
　これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
　すなわち、
Figure JPOXMLDOC01-appb-I000023
と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
　秘密鍵[ｓ]で復号すると、
Figure JPOXMLDOC01-appb-I000024
となる。これが「キースイッチングキー」である。
　上記したように(2)で得られたTLWE暗号文ｃｓ＝（[ａ]、ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
　これを一つずつ、夫々ｔビットの固定小数に変換すると、
Figure JPOXMLDOC01-appb-I000025
の形式で書くことができる。
　この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
　キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。
Figure JPOXMLDOC01-appb-I000026
　（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、
Figure JPOXMLDOC01-appb-I000027
である。
　ｓ’ｉは、ｊに対して定数なのでくくりだして
Figure JPOXMLDOC01-appb-I000028
とし、上記で固定小数に分解したときの式を代入する。
Figure JPOXMLDOC01-appb-I000029
　その結果、
Figure JPOXMLDOC01-appb-I000030
となって鍵の切り替えが成功したことになる。
　ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
　キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φｓ（ｃ）が±１／４の範囲なら平文φｓ（ｃｘ）は０に、φｓ（ｃ）が１／２±１／４の範囲なら、平文φｓ（ｃｘ）は１／４になっている。
　以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
　誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
　従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
　これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。
　Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
　以上が、TFHEのGate Bootstrappingの処理である。
　本実施形態では、上記のようなTFHEにおける２値のGate Bootstrappingを改良し、３値Gate Bootstrappingを全加算器の演算に用いることにより、Gate Bootstrappingの回数を削減する。
　具体的には、暗号処理装置１は、特に、完全準同型暗号の演算に用いる全加算器において、準同型演算毎に行うGate Bootstrappingが平文として多値（例えば３値）を取りうる暗号文を出力可能に改良することで論理演算（準同型演算）の回数自体を減らす。
　その結果、暗号処理装置１は、論理演算（準同型演算）の後段で行われる、長い演算時間を要するGate Bootstrappingの回数を減らし、完全準同型暗号の処理時間を大幅に低減することが出来る。
　論理演算（準同型演算）の回数を削減し、完全準同型暗号の処理時間を大幅に低減するものである。
　図２、図３を参照して、本実施形態の３値Gate Bootstrappingを詳しく説明する。
　図３に示す全加算器の構成に、平文Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃを入力することを考える。
　上記したように、TLWE暗号文ｃａ、ｃｂ、ｃｃは加法準同型暗号であり、暗号文の和を演算することで平文同士の和を演算することが出来る。
　これらのTLWE暗号文ｃａ、ｃｂ、ｃｃは夫々上記に説明した２値Gate Bootstrappingにより生成されたものであり、あるいは新規に暗号化されたものである。
　TLWE暗号文ｃａ、ｃｂ、ｃｃの平文Ａ、Ｂ、Ｃは、例えば図４の円周群{Ｔ}における０、１／４の何れかあり、誤差は±１／１６の中に含まれるものとする。
　第１演算部１２が、まずｃａ＋ｃｂ＋（[０]，１／８）を演算する。上記に説明したように、（[０]，１／８）は、どの秘密鍵を用いても復号関数により同じ平文１／８が得られる自明なTLWE暗号文である。
　演算結果は、
０＋０＋１／８＝１／８
０＋１／４＋１／８＝３／８
１／４＋１／４＋１／８＝５／８
から、１／８、３／８、５／８の３つの何れかとなり、これら３つの何れかの平文に対する暗号文が得られる。
　平文に付加される誤差は±１／８以内である。これはｃａ、ｃｂの誤差±１／１６を２つ足しているためである。
　第１演算部１２の演算結果に対して、第１Bootstrapping部１４が、３値Gate Bootstrappingを実行する。
　図６は、３値Gate Bootstrappingの動作イメージ図である。
　図６に示すように、３値Gate Bootstrappingは、図４の円周群{Ｔ}に基づいて平文として３値を取り得る（円周群{Ｔ}上にマッピングした）TLWE暗号文（後述する一時暗号文ｃｔ）を得ることが出来る。
　上記の１／８±１／８は、０～０．２５（１／４）であり、円周群{Ｔ}におけるこの範囲からは、平文が「０」であるTLWE暗号文を得る。
　また、３／８±１／８は、０．２５（１／４）～０．５（１／２）であり、円周群{Ｔ}におけるこの範囲からは、平文が「１／４」であるTLWE暗号文を得る。
　また、５／８±１／８は、０．５（１／２）～０．７５（３／４）であり、円周群{Ｔ}におけるこの範囲からは、平文が「１／２」であるTLWE暗号文を得る。
　本実施形態では、３値Gate Bootstrappingの結果、ｃａ＋ｃｂに基づくTLWE暗号文ｃｔが平文として円周群{Ｔ}における３値を取り得るように、非０の暗号文の平文を１／４とし、TLWE暗号文ｃａ、TLWE暗号文ｃｂの夫々の誤差を±１／１６とし、ｃａ＋ｃｂにおける平文に対する誤差を、±１／８としている。
　なお、３値Bootstrappingでは、２値Gate Bootstrappingと同様に、Bootstrappingに先立つ暗号文同士の加算、BlindRotate、SampleExtract キースイッチングを行う。
　暗号文同士の加算の段階で、適当な平文に対応する自明な暗号文を足し引きすること、BlindRotateの前にテストベクタにＸの何乗かをかけること、SampleExtractで抽出するサンプルの位置を変えること、は非自明に本質的に同一の処理である。
　すなわち、ｃａ＋ｃｂの演算結果に自明な暗号文（[０]，１／８）を足すこと、テストベクタにＸ－ｎ／４を掛けること、SampleExtractでｎ／２の位置の値を抽出して正負を反転させること、からはいずれも同じ結果が得られる。
　暗号処理装置１は、３値Gate Bootstrappingの最初のステップとしてBlindRotateを行う。
　上記論文では、BlindRotateにおけるテストベクタとして、
Ｆ（Ｘ）＝μＸｎ－１＋μＸｎ－２・・・＋μＸ＋μ
ただし、μ＝１／８
が用いられていた。
　それに対して、暗号処理装置１は、３値Gate BootstrappingのBlindRotateにおけるテストベクタとして、
Ｔ１（Ｘ）＝μ１Ｘｎ－１＋μ１Ｘｎ－２＋…μ１Ｘ（ｎ／２）＋μ２Ｘ（ｎ／２）－１＋…μ２Ｘ＋μ２
ただし、μ１＝１／２、μ２＝１／４
を用いる。
　このテストベクタ多項式Ｔ１（Ｘ）は、高次部分と低次部分で異なる値の係数を有している。
　高次部分では係数をμ１＝１／２とし、低次部分では係数をμ２＝１／４としている。
　テストベクタ多項式Ｔ１（Ｘ）の係数μ１、μ２は夫々、本実施形態の３値Gate Bootstrappingが出力するTLWE暗号文の平文がとり得る円周群{Ｔ}上の値である。
　暗号処理装置１は、テストベクタ多項式Ｔ１（Ｘ）を用いて、上記論文と同様にBlindRotateを行ってTRLWE暗号文を得る。
　BlindRotateにおいて、円周群{Ｔ}における０～０．２５の範囲では、TLWE暗号文ｃａ＋ｃｂに２ｎをかけてTLWE暗号文（ｃａ＋ｃｂ）’を得るときに、０×２ｎ＝０、０．２５×２ｎ＝ｎ／２となる。
　なお、テストベクタとなる多項式について上記に説明したように、多項式Ｔ１（Ｘ）にＸを掛けることで、μ１Ｘｎ－１＋μ１Ｘｎ－２＋…μ１Ｘ（ｎ／２）＋μ２Ｘ（ｎ／２）－１＋…μ２Ｘ－μ２となって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
　さらにＸを掛けると、μ１Ｘｎ－１＋μ１Ｘｎ－２＋…μ１Ｘ（ｎ／２）＋μ２Ｘ（ｎ／２）－１＋…＋μ２Ｘ２－μ２Ｘ－μ２のように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
　これを全部でｎ回繰り返すと、
－μ１Ｘ（ｎ－１）～－μ１Ｘ（ｎ／２）－μ２Ｘ（ｎ／２－１）～－μ２
となって全ての項の係数がマイナスとなる。
　さらにＸを掛け続けると、
－μ１Ｘ（ｎ－１）…－μ１Ｘ（ｎ／２）－μ２Ｘ（ｎ／２－１）…－μ２Ｘ＋μ１
－μ１Ｘ（ｎ－１）…－μ１Ｘ（ｎ／２）－μ２Ｘ（ｎ／２－１）…＋μ２Ｘ＋μ１
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式Ｔ１（Ｘ）＝μ１Ｘｎ－１＋μ１Ｘｎ－２＋…μ１Ｘ（ｎ／２）＋μ２Ｘ（ｎ／２）－１＋…μ２Ｘ＋μ２に戻る。
　すなわち、円周群｛Ｔ｝の一周（０→１）が０→２ｎに変換され、０→０．２５が０→ｎ／２の区間に対応する。
　よって、対応するSampleExtractにおいて、TRLWE暗号文の平文多項式の定数項は、上記テストベクタの次数が低い下側のμ２Ｘ（ｎ／２）－１＋…μ２Ｘ＋μ２の係数μ２＝１／４となる。
　BlindRotateにおいて、円周群{Ｔ}における０．２５～０．５の範囲では、TLWE暗号文ｃａ＋ｃｂに２ｎをかけて暗号文（ｃａ＋ｃｂ）’を得るときに、０．２５×２ｎ＝ｎ／２、０．５×２ｎ＝ｎから、（ｃａ＋ｃｂ）’の平文は、ｎ／２からｎの間に入る。
　よって、対応するSampleExtractにおいて、TRLWE暗号文の平文多項式の定数項は、上記テストベクタの次数が高い上側のμ１Ｘｎ－１＋μ１Ｘｎ－２＋…μ１Ｘ（ｎ／２）の係数μ１＝１／２となる。
　さらに進んで、BlindRotateにおいて、円周群{Ｔ}における０．５～０．７５の範囲では、TLWE暗号文ｃａ＋ｃｂに２ｎをかけてTLWE暗号文（ｃａ＋ｃｂ）’を得るときに、０．５×２ｎ＝ｎ、０．７５×２ｎ＝３ｎ／２から、（ｃａ＋ｃｂ）’の平文は、の平文はｎから３ｎ／２の間に入る。
　テストベクタにＸをかけることで、係数がローテートしていき、円周群{Ｔ}上において０．５から１の間は係数が負である。
　対応するSampleExtractにおいて、TRLWE暗号文の平文多項式の定数項は、上記テストベクタの次数が低い下側のμ２Ｘ（ｎ／２）－１＋…μ２Ｘ＋μ２の係数μ２＝１／４をマイナスにした－１／４となる。－１／４は、円周群｛Ｔ｝上では３／４と同じであるので、３／４がTRLWE暗号文ｄの定数項となる。
　このように、暗号処理装置１は、BlindRotateにおいて１／４、１／２、３／４の３種類の値を平文多項式の定数項として持つTRLWE暗号文ｄを得て、TRLWE暗号文ｄに対するSampleExtractを行う。
　上記論文のSampleExtractでは、SampleExtractの後に得られたTLWE暗号文に対して、平文が１／８となる自明なTLWE暗号文（[０]，１／８）をさらに加える。
　それに対して、暗号処理装置１は、中途で得られた１／４、１／２、３／４の３種類の値を持つTLWE暗号文に対して、平文が－１／４となる自明なTLWE暗号文（[０]，－１／４）を加える。
　その演算の結果、図６に示すように、
１／４＋（－１／４）＝０
１／２＋（－１／４）＝１／４
３／４＋（－１／４）＝１／２
から、平文として、０、１／４、１／２の３値の何れかを有するTLWE暗号文が得られた。
　暗号処理装置１は、このようにして得られたTLWE暗号文に対して、上記論文と同様のキースイッチングを行う。
　その結果、暗号処理装置１は、３値Gate Bootstrappingの出力として、平文として０、１／４、１／２の３値を有し、平文に付加される誤差が±１／１６の範囲に含まれる一時的な（一時的に利用する）TLWE暗号文ｃｔを得る。
　３値Gate Bootstrappingの前に行ったTLWE暗号ｃａ＋ｃｂの演算結果では、平文の和（ａ＋ｂ）に対して、±１／８の誤差が付加されていた。
　３値Gate Bootstrappingの結果として、新たなTLWE暗号文ｃｔにおいて平文に付加されている誤差は±１／１６に、すなわち、当初のTLWE暗号文ｃａ、ｃｂと同じ範囲の誤差にまで削減されたことが分かる。
　誤差が削減されることで、TLWE暗号文ｃｔは再度論理演算に用いることが出来る。
　全加算記の処理として、暗号処理装置１は、３値Gate Bootstrappingの結果得られたTLWE暗号文ｃｔに対して、桁上げ入力のTLWE暗号文ｃｃを加算する。
　第２演算部１３が、ｃｔ＋ｃｃ＋（[０]，－１／８）を演算し、第３演算部１４が、２×（ｃｔ＋ｃｃ）を演算する。
　第２演算部１３の出力と第３演算部１４の出力（いずれも、２値を取り得るTLWE暗号）に対して、夫々、第２算出部１６、第３算出部１７が上記論文に記載されている２値Gate Bootstrappingを行うことで、全加算器の桁上げ出力ＣＯと出力ＳとしてのTLWE暗号文ｃｙ、ｃｚがさらに得られる。
　以上のように構成したので、本実施形態によれば、論理演算素子の演算でほとんどすべての演算時間を消費しているGate Bootstrappingの回数を３回に減らすことができた。
　３値Gate Bootstrappingを行わずに上記論文の２値Gate Bootstrappingだけで全加算器を実装する場合には２値Gate Bootstrappingを５回実行する必要がある。それに比べて、本実施形態の手法では演算時間を４０％短縮できることが実験によって確認できた。
　また、桁上げ出力とＳＵＭ出力を夫々処理する後半２つの２値Gate Bootstrappingは互いに依存関係がないため、マルチスレッド処理などにより並列化することで、全加算器全体で、Gate Bootstrapping２回分の処理時間とすることが出来る。
　後半２つの２値Gate Bootstrappingを並列化することで、それをせずGate Bootstrappingを３回実行する場合と比べて演算時間をさらに３３％短縮できることが見込める。
　図１に示した方法をマルチスレッド化した場合にも、全加算器全体で、Gate Bootstrapping３回分の処理時間とすることが出来る。それと比べても、マルチスレッド化した本実施形態の手法によれば演算時間を３３％短縮できることが見込める。
　図７は、暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャートである。
　上記したように、２値の暗号文の場合、円周群｛Ｔ｝における０～１／４、３／４～１の区間の平文を０のTLWE暗号文に変換する。また、円周群｛Ｔ｝における１／４～３／４の区間の平文を１／４のTLWE暗号文に変換する。この変換の際、平文に付加される誤差は、±１／１６の範囲のいずれかの値である。
　上記した円周群｛Ｔ｝の範囲を、０、１などの（多値）論理演算で用いるシンボルを対応づける。
　すなわち、
Figure JPOXMLDOC01-appb-I000031

となる。
　３値の暗号文の場合、円周群｛Ｔ｝における０～１／４の区間の平文を０のTLWE暗号文に変換する。円周群｛Ｔ｝における１／４～１／２、３／４～１の区間の平文を１／４のTLWE暗号文に変換する。円周群｛Ｔ｝における１／２～３／４の区間の平文を１／２のTLWE暗号文に変換する。この変換の際、平文に付加される誤差は、±１／１６の範囲のいずれかの値でである。
　上記した円周群｛Ｔ｝の範囲を、（多値）論理演算で用いるシンボル０、１、２を対応づける。
Figure JPOXMLDOC01-appb-I000032
　円周群｛Ｔ｝上の範囲（誤差を含む）が、暗号文における２値又は３値の平文の何れかに値に対応している。
　暗号文は、（［ａ］、ｂ）の形式を有するベクトルであり、ベクトルの要素は円周群上の点である。平文もまた、円周群｛Ｔ｝上の点である。
　多値論理演算で用いるシンボル０、１、２は、円周群｛Ｔ｝上の範囲と対応付いており、ある暗号文に対する平文は、その範囲内の何れか１点を指している。平文が、その範囲内のどの点を指しているかは、秘密鍵なしでは、特定することが難しい。これによってTLWE暗号文の強度が担保されている。範囲を０として円周群上の点とシンボルを対応づけると、複数の暗号文を集めて連立方程式として平文を導出可能であり、TLWE暗号文の強度は低下してしまう。
　暗号処理装置１（受付部１１）は、ステップＳ１０１において、演算対象の暗号文が入力されたか否かを受け付けたかを判定する。
　暗号文が入力されたと判定した場合（ステップＳ１０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ１０２において、暗号文を受けつけ、記憶部２０に格納する。
　次に、暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
　暗号処理装置１（第１算出部１５）は、ステップＳ１０４において、演算結果に対して３値Gate Bootstrappingを行い、平文として多値（３値）を有する一時暗号文を算出し、記憶部２０に格納する。
　第１演算部１２、第１算出部１５による処理の結果、以下の真理値表に示すような演算が行われる。
　この演算は、平文として２値を有する２つの暗号文ｃａ、ｃｂの入力を受け付け、暗号文ｃａ＋暗号文ｃｂから平文として３値を有する一時暗号文ｃｔの出力を得るものである。
Figure JPOXMLDOC01-appb-I000033
　例えば、入力される２つの暗号文がシンボル０又は１、つまり区間０±１／１６又は１／４±１／１６で、ステップＳ１０３の演算を行うとき以下の演算を行う。
ｃａが０、ｃｂが０の場合：０±１／１６＋０±１／１６＋１／８＝１／８±１／８
ｃａが０、ｃｂが１の場合：０±１／１６＋１／４±１／１６＋１／８＝３／８±１／８
ｃａが１、ｃｂが０の場合：１／４±１／１６＋０±１／１６＋１／８＝３／８±１／８
ｃａが１、ｃｂが１の場合：１／４±１／１６＋１／４±１／１６＋１／８＝５／８±１／８
　さらに３値Gate Bootstrapping（図６）を行うと、一時暗号文ｃｔの出力は、
ｃａが０、ｃｂが０の場合：１／８±１／８→０±１／１６＝０
ｃａが０、ｃｂが１の場合：３／８±１／８→１／４±１／１６⇒１
ｃａが１、ｃｂが０の場合：３／８±１／８→１／４±１／１６⇒１
ｃａが１、ｃｂが１の場合：５／８±１／８→１／２±１／１６⇒２
となる。
　暗号処理装置１（第２演算部１３）は、ステップＳ１０５において、一時暗号文ｃｔと桁上げ入力ｃｃとの準同型演算を行い、演算結果を記憶部２０に格納する。
　暗号処理装置１（第２算出部１６）は、ステップＳ１０６において、ステップＳ１０５の演算結果に対して２値Gate Bootstrappingを行って桁上げ出力ｃｙを算出し、記憶部２０に格納する。
　第２演算部１３、第２算出部１６による処理の結果、以下の真理値表に示すような演算が行われる。
　この演算は、平文として３値を有する暗号文ｃｔの入力と、平文として２値を有する暗号文ｃｃの入力を受け付け、暗号文ｃｔと暗号文ｃｃから平文として２値を有する出力暗号文ｃｙを得るものである。
Figure JPOXMLDOC01-appb-I000034
　例えば、暗号文ｃｃがシンボル０又は１、つまり区間０±１／１６又は１／４±１／１６であり、暗号文ｃｔがシンボル０、１又は２、つまり区間０±１／１６、１／４±１／１６、１／２±１／１６のとき準同型演算として以下の演算を行う。
ｃｔが０、ｃｃが０の場合：
０±１／１６＋０±１／１６－１／８＝－１／８±１／８
ｃｔが０、ｃｃが１の場合：
０±１／１６＋１／４±１／１６－１／８＝１／８±１／８
ｃｔが１、ｃｃが０の場合：
１／４±１／１６＋０±１／１６－１／８＝１／８±１／８
ｃｔが１、ｃｃが１の場合：
１／４±１／１６＋１／４±１／１６－１／８＝３／８±１／８
ｃｔが２、ｃｃが０の場合：
１／２±１／１６＋０±１／１６－１／８＝３／８±１／８
ｃｔが２、ｃｃが１の場合：
１／２±１／１６＋１／４±１／１６－１／８＝５／８±１／８
　さらに２値Gate Bootstrapping（図５）を行うと、出力暗号文ｃｙの出力は、
ｃｔが０、ｃｃが０の場合：－１／８±１／８⇒０
ｃｔが０、ｃｃが１の場合：１／８±１／８⇒０
ｃｔが１、ｃｃが０の場合：１／８±１／８⇒０
ｃｔが１、ｃｃが１の場合：３／８±１／８⇒１
ｃｔが２、ｃｃが０の場合：３／８±１／８⇒１
ｃｔが２、ｃｃが１の場合：５／８±１／８⇒１
となる。
　暗号処理装置１（第３演算部１４）は、ステップＳ１０７において、一時暗号文と桁上げ入力と暗号文を用いた準同型演算を行う。
　暗号処理装置１（第３算出部１７）は、ステップＳ１０８において、ステップＳ１０５の演算結果に対して２値Gate Bootstrappingを行って、出力暗号文ｃｚを算出し、記憶部２０に格納する。
　第３演算部１４、第３算出部１７による処理の結果、平文において、以下の真理値表に示すような演算が行われる。
　この演算は、３値を有する暗号文ｃｔの入力と、２値を有する暗号文ｃｃの入力を受け付け、２値を有する暗号文ｃｚの出力を得るものである。
Figure JPOXMLDOC01-appb-I000035
　例えば暗号文ｃｃがシンボル０又は１、つまり区間０±１／１６又は１／４±１／１６であり、暗号文ｃｔがシンボル０、１又は２、つまり区間０±１／１６、１／４±１／１６又は１／２±１／１６のとき、準同型演算として以下の演算を行う。
ｃｔが０、ｃｃが０の場合：
２×（０±１／１６＋０±１／１６）＝０±１／４
ｃｔが０、ｃｃが１の場合：
２×（０±１／１６＋１／４±１／１６）＝１／２±１／４
ｃｔが１、ｃｃが０の場合：
２×（１／４±１／１６＋０±１／１６）＝１／２±１／４
ｃｔが１、ｃｃが１の場合：
２×（１／４±１／１６＋１／４±１／１６）＝０±１／４
ｃｔが２、ｃｃが０の場合：
２×（１／２±１／１６＋０±１／１６）＝０±１／４
ｃｔが２、ｃｃが１の場合：
２×（１／２±１／１６＋１／４±１／１６）＝１／２±１／４
　さらに２値Gate Bootstrapping（図５）を行うと、出力暗号文ｃｚの出力は、
ｃｔが０、ｃｃが０の場合：０±１／４⇒０
ｃｔが０、ｃｃが１の場合：１／２±１／４⇒１
ｃｔが１、ｃｃが０の場合：１／２±１／４⇒１
ｃｔが１、ｃｃが１の場合：０±１／４⇒０
ｃｔが２、ｃｃが０の場合：０±１／４⇒０
ｃｔが２、ｃｃが１の場合：１／２±１／４⇒１
となる。
　ステップＳ１０６の２値Gate Bootstrappingと、ステップＳ１０８の２値Gate Bootstrappingと、はマルチスレッド処理によって、並列で実行することが出来る。
　一例として、２つのＴＬＷＥ暗号文ｘ１、ｘ２に対してＯＲを得るための演算（準同型ＯＲ）を行う場合、ＨｏｍＯＲ（ｘ１，ｘ２）＝Ｂｏｏｔｓｔｒａｐｐｉｎｇ（（０，１／８）＋ｘ１＋ｘ２）を実行する。
　実際にシンボル０と０のＯＲを得るための演算を例示する。
　暗号文には乱数を使い、平文に誤差が付加されるので、
Ｄｅｃｏｄｅ（ｘ１）＝０＋１／１００、Ｄｅｃｏｄｅ（ｘ２）＝０－１／５０
となる。
　加算の準同型演算をすると、
Ｄｅｃｏｄｅ（ｘ１＋ｘ２＋（０，１／８））＝１／８－１／１００
となる。この時、後半の誤差成分は暗号化するたびに異なる値となる。
　２値Gate Bootstrappingを行うと、
Ｄｅｃｏｄｅ（ｇａｔｅ＿ｂｏｏｔｓｔｒａｐｐｉｎｇ（ｘ１＋ｘ２＋（０，１／８））＝０＋１／１８０
である。
　２値Gate Bootstrappingで、０±１／１６のどこかになるので、０－０．１２５もしくは０．８７５－１の区間となる。このときの誤差は、元々の誤差やシステムパラメータに依存する。
　０±１／１８０は、シンボル０の範囲０±１／１６の範囲内なので、シンボル０となる。
［応用例］
　暗号処理装置１が行う全加算器の高速化は、以下のように応用することが出来る。
　例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
　このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
　暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。
　暗号処理装置１０は、全加算器を実現する第１演算部１２、第２演算部１３、第３演算部１４、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
　比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
　暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
　集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
　このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
　全加算器の演算を上記に説明した３値Gate Bootstrappingによって高速化することによってクエリの実行時間を著しく低減することが可能となる。
　四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。
　このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
　他の例として、ファジー認証やファジー検索が挙げられる。
　ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
　ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
　ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
　ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
　特にファジー認証やファジー検索では、整数同士の加算、減算、乗算、除算や比較は処理時間の大半を占めるため、それらに用いられる全加算器の演算を高速化することによって処理時間の短縮に大きな効果を奏し得る。
　またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。そのため、全加算器の演算を高速化することによって、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。
　図８は、コンピュータ装置の一実施例を示すブロック図である。
　図８を参照して、コンピュータ装置１００の構成について説明する。
　コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして、各構成要素は、バス１１０により接続される。
　暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。
　制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２における制御部１０として機能する。
　記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２における記憶部２０として機能する。
　暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
　暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
　なお、プログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。
　読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
　記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。
　通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
　入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。
　表示装置１０８は、各種情報を表示する。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
　なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。
１　暗号処理装置、１０　制御部、１１　受付部、１２　第１演算部、１３　第２演算部、１４　第３演算部、１５　第１Bootstrap部（算出部）、１６　第２Bootstrap部（算出部）、１７　第３Bootstrap部（算出部）、１８　出力部、２０　記憶部、２５　通信部、２６　入力部、１００　コンピュータ装置、１０１　制御回路、１０２　記憶装置、１０３　読書装置、１０４　記録媒体、１０５　通信インターフェイス、１０６　入出力インターフェイス、１０７　入力装置、１０８　表示装置、１１０　バス、２００　ネットワーク

Claims (9)

  1. 　暗号文を処理する暗号処理装置であって、
    　前記暗号文は、平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
    　前記暗号文を用いた所定の演算において、平文として２値よりも多い多値を有する前記暗号文に基づいた一時暗号文を出力とする多値論理演算を使用することにより前記演算に必要な計算処理の回数を削減する、
    ことを特徴とする暗号処理装置。
  2. 　請求項１に記載の暗号処理装置において、
    　入力された前記暗号文に対して、前記所定の演算に係る準同型演算を行う第１演算部と、
    　前記第１演算部による準同型演算の結果から、前記一時暗号文を第１多項式に基づいて算出する第１算出部と、
    　前記一時暗号文に対して、前記所定の演算に係る準同型演算を行う第２演算部と、
    　前記第２演算部による準同型演算結果から、平文として２値を有する出力暗号文を第２多項式に基づいて算出する第２算出部と、
    を備える、
    ことを特徴とする暗号処理装置。
  3. 　請求項１に記載の暗号処理装置において、
    　前記一時暗号文は、平文として３値を取り得ることを特徴とする暗号処理装置。
  4. 　請求項２又は３に記載の暗号処理装置において、
    　前記所定の演算は全加算器の演算であり、前記一時暗号文を用いることにより前記全加算器の演算を高速化する、
    ことを特徴とする暗号処理装置。
  5. 　請求項４に記載の暗号処理装置において、
    　前記所定の演算として前記全加算器の演算を行うことにより、入力された前記暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算を行う、
    ことを特徴とする暗号処理装置。
  6. 　請求項４に記載の暗号処理装置において、
    　前記所定の演算として前記全加算器の演算を行うことにより、入力された前記暗号文を用いたファジー認証又はファジー検索に係る処理を行う、
    ことを特徴とする暗号処理装置。
  7. 　請求項４に記載の暗号処理装置において、
    　前記所定の演算として前記全加算器の演算を行うことによって、入力された前記暗号文に基づく暗号化データベースに対するクエリを処理する、
    ことを特徴とする暗号処理装置。
  8. 　プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
    　前記暗号文は、平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
    　前記暗号文を用いた所定の演算において、平文として２値よりも多い多値を有する前記暗号文に基づいた一時暗号文を出力とする多値論理演算を使用することにより前記演算に必要な計算処理の回数を削減する、
    ことを特徴とする暗号処理方法。
  9. 　暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    　前記暗号文は、平文として２値を有し、復号することなく論理演算が可能な完全準同型暗号文であり、
    　前記暗号文を用いた所定の演算において、平文として２値よりも多い多値を有する前記暗号文に基づいた一時暗号文を出力とする多値論理演算を使用することにより前記演算に必要な計算処理の回数を削減する、
    ことを特徴とする暗号処理プログラム。
PCT/JP2021/020522 2020-08-31 2021-05-28 暗号処理装置、暗号処理方法、及び暗号処理プログラム WO2022044464A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
US18/043,007 US20240039693A1 (en) 2020-08-31 2021-05-28 Encryption processing device, encryption processing method, and encryption processing program

Applications Claiming Priority (4)

Application Number Priority Date Filing Date Title
JP2020-146192 2020-08-31
JP2020146192 2020-08-31
JP2021-069047 2021-04-15
JP2021069047A JP7069460B2 (ja) 2020-08-31 2021-04-15 暗号処理装置、暗号処理方法、及び暗号処理プログラム

Publications (1)

Publication Number Publication Date
WO2022044464A1 true WO2022044464A1 (ja) 2022-03-03

Family

ID=80353007

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2021/020522 WO2022044464A1 (ja) 2020-08-31 2021-05-28 暗号処理装置、暗号処理方法、及び暗号処理プログラム

Country Status (2)

Country Link
US (1) US20240039693A1 (ja)
WO (1) WO2022044464A1 (ja)

Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107864033A (zh) * 2017-05-16 2018-03-30 中国人民武装警察部队工程大学 一种自举型对称全同态加密方法

Patent Citations (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN107864033A (zh) * 2017-05-16 2018-03-30 中国人民武装警察部队工程大学 一种自举型对称全同态加密方法

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
SUGIYAMA, SHOTARO ET AL.: "Algorithm and Architecture Design for Fully Homomorphic Encryption Hardware", IEICE TECHNICAL REPORT, vol. 119, no. 443, 26 February 2020 (2020-02-26), pages 285 - 290, ISSN: 0913- 5685 *

Also Published As

Publication number Publication date
US20240039693A1 (en) 2024-02-01

Similar Documents

Publication Publication Date Title
Aguilar Melchor et al. A comparison of the homomorphic encryption libraries HElib, SEAL and FV-NFLlib
Maximov et al. Fast computation of large distributions and its cryptographic applications
JP7069460B2 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
WO2019087317A1 (ja) 秘密計算装置、システム、方法、プログラム
US20240022395A1 (en) Encryption processing device and encryption processing method
WO2023074133A1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
WO2023067928A1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
Chattopadhyay et al. Non-malleable codes, extractors and secret sharing for interleaved tampering and composition of tampering
WO2022044464A1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
JP7185346B1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
JP7261502B2 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
WO2022270080A1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
EP4087177A1 (en) Blind rotation for use in fully homomorphic encryption
Babenko et al. Euclidean division method for the homomorphic scheme ckks
JP7187076B1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
JP7228287B1 (ja) 暗号処理装置、暗号処理方法、及び暗号処理プログラム
Bombar et al. Pseudorandomness of Decoding, Revisited: Adapting OHCP to Code-Based Cryptography
JP2021083039A (ja) 秘匿演算装置、秘匿演算方法及び秘匿演算プログラム
JP2024012928A (ja) 暗号処理装置、暗号処理方法、暗号処理プログラム
KR102522393B1 (ko) 동형암호로 암호화된 데이터 연산 방법
JP2024013184A (ja) 暗号処理装置、暗号処理方法、暗号処理プログラム
WO2023281694A1 (ja) 秘密計算システム、装置、方法及びプログラム
Golimblevskaia et al. Survey software implementations of homomorphic encryption methods
Ishchukova et al. Linear and Differential Analysis of Simplified Kuznyechik Cipher
WO2023281693A1 (ja) 秘密計算システム、装置、方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 21860895

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 18043007

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 21860895

Country of ref document: EP

Kind code of ref document: A1