JP7597400B2 - 暗号処理装置、暗号処理方法、及び暗号処理プログラム - Google Patents

Description

本発明は、暗号文を処理する暗号処理装置、暗号処理方法、及び暗号処理プログラムに関する。

準同型暗号（Homomorphic Encryption）は、暗号化したデータを復号せず、暗号化したままデータ処理を行うことが出来る暗号方式である。
平文同士での加算に対応する暗号文同士の演算が存在する暗号が加法準同型暗号であり、平文同士での乗算に対応する暗号文同士の演算が存在する暗号が乗法準同型暗号である。
有限巡回群を整数に見立てて、加法演算（加算、減算）のみを行う加法準同型暗号と、乗法演算（乗算）のみを行う乗法準同型暗号とが以前から知られていた。
有限巡回群は、加算を繰り返せば整数倍が出来るので、平文の整数倍ができ、乗算を繰り返せば平文のべき乗計算をすることも出来る。
また、加法演算と乗法演算の両方を暗号化したまま処理する完全準同型暗号（Fully Homomorphic Encryption，FHE）がある。
完全準同型暗号の一つとして、暗号化時に復号には問題のない程度の小さな誤差を平文に加えることで構成される、LWE（Learning with Errors）問題に基づく完全準同型暗号が知られている。

LWE問題に基づく完全準同型暗号では、演算を行うとともに誤差が蓄積していくので、誤差が大きくなりすぎて復号ができなくなる前に、暗号化したまま誤差成分を縮小するbootstrappingが実行される。
bootstrappingの計算時間は、完全準同型暗号に含まれる計算時間の大部分を占める。また、bootstrappingでは膨大なデータを扱うため、その計算量は膨大である。したがって、完全準同型暗号の演算においては、実用的な時間内で演算結果を得ることができないことがある。
この問題を劇的に改善した手法が、非特許文献１（以下の説明において、上記論文として参照される）に示されるTFHE（Fast Fully Homomorphic Encryption over the Torus）である。

TFHE:Fast Fully Homomorphic Encryption over the Torus. Journal of Cryptology, 33:34-91, 2020, I.Chillotti, N.Gama, M.Georgieva, and M.Izabachene

ところで、準同型暗号には、平文として２値を持ち論理演算をベースとするBit-wise型の準同型暗号と、平文として整数を丸ごと１暗号文とするInteger-wise型の準同型暗号と、があり非特許文献１に示されるTFHEはBit-wise型である。
Bit-wise型の準同型暗号において、１つの暗号文は１ｂｉｔの情報しか持ち得ないため、例えば３２ｂｉｔの整数を扱おうとすると３２個の暗号文を処理する必要がある。
整数同士の加算や減算、乗算や比較は様々なデータ処理で多用される。１ｂｉｔの情報を持つ暗号文を用いる場合、論理回路を設計するイメージで演算を行うが、３２ｂｉｔの整数の加算・減算の場合は１個の半加算器と、３１個の全加算器を用いる。乗算の場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
従って、完全準同型暗号の処理時間を低減し、さらに効率化を図るためには、bootstrappingを含む全加算器の演算を高速化する必要がある。
本発明はこのような事情を鑑みてなされたものであり、一側面として、完全準同型暗号に必要な全加算器の演算を高速化し、完全準同型暗号の処理時間を低減することを目的とする。

本発明は、暗号文を処理する暗号処理装置であって、前記暗号処理装置は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま処理する完全準同型暗号の演算をする暗号処理装置であり、３つ以上の暗号文に対して所定の演算に係る準同型演算を行う演算部と、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出する算出部と、を備え、前記３つ以上の暗号文は、０または前記所定値の１／４に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第３暗号文とであり、前記演算部は、前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／８の第４暗号文を暗号化したまま減算した第５暗号文を求め、前記算出部は、前記第５暗号文に応じて第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、前記演算部は、前記第５暗号文と、前記第５暗号文と、前記所定値の１／４の第８暗号文とを暗号化したまま加算した第９暗号文を求め、前記算出部は、前記第９暗号文に応じて前記第１多項式の係数を巡回した第３多項式の第１０暗号文を求め、前記第１０暗号文から前記第９暗号文に対応する平文が得られる、前記第３多項式の係数の第１１暗号文を抽出する、暗号処理装置を特徴とする。
また本発明は、暗号文を処理する暗号処理装置であって、前記暗号処理装置は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま処理する完全準同型暗号の演算をする暗号処理装置であり、３つ以上の暗号文に対して所定の演算に係る準同型演算を行う演算部と、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出する算出部と、を備え、前記３つ以上の暗号文は、０または前記所定値の１／８に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第３暗号文とであり、前記演算部は、前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／１６の第４暗号文を暗号化したまま加算した第５暗号文を求め、前記算出部は、前記第５暗号文に応じて前記第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する桁上げの出力の平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、前記算出部は、前記第５暗号文に応じて第３多項式の係数を巡回した第４多項式の第８暗号文を求め、前記第８暗号文から前記第５暗号文に対応する和の出力の平文が得られる、前記第４多項式の係数の第９暗号文を抽出する、暗号処理装置を特徴とする。

本発明によれば、一側面として、全加算器の演算を高速化して完全準同型暗号の処理時間を低減することが出来る。

最小の論理演算素子数による全加算器回路の構成を説明する図である。 本実施形態の暗号処理装置の機能構成を説明する図である。 図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図（その１）である。 図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図（その２）である。 TLWE暗号が平文として有する円周群を説明するイメージ図である。 ２値Gate Bootstrappingの動作イメージ図である。 暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャート（その１）である。 暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャート（その２）である。 ＡＯＩゲートの構成を例示する図である。 ＯＡＩゲートの構成を例示する図である。 ＡＯＩゲート、ＯＡＩゲートを実現する暗号処理装置の機能構成を説明する図である。 図１１の機能構成に基づくＡＯＩゲート、ＯＡＩゲートの演算プロセスを詳しく説明する図である。 暗号処理装置が実行するＡＯＩゲート、ＯＡＩゲートの演算処理の流れを説明するフローチャートである。 本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。 コンピュータ装置の一実施例を示すブロック図である。

以下に、図面を参照して本発明の実施の形態を詳細に説明する。
なお、以下の説明において、[]で囲まれた英数字はそれがベクトルであることを示す。{}で囲まれた英数字はそれが集合であることを示す。
また、本明細書において、「論理演算」と記す場合は２値もしくは多値の論理演算のことを指すものとする。

本実施形態の暗号処理装置は、完全準同型暗号を用いて全加算器の演算を行う。
暗号処理装置に含まれる、全加算器を構成するＡＮＤ回路部、ＸＯＲ回路部の夫々において、Bit-wise型の準同型暗号に対するＡＮＤを得るための演算、ＸＯＲを得るための演算を行うことが知られている。
しかし、完全準同型暗号とするためには、ＡＮＤを得るための演算、ＸＯＲを得るための演算のあとで、下記に説明するGate Bootstrappingと呼ばれる誤差を削減する処理が必要である。
このGate Bootstrappingの処理に時間を要していたが、本実施形態の暗号処理装置は、平文に付加する誤差範囲を小さくして２値多入力の論理演算（準同型演算）を可能とすることで、全加算器を構成する準同型演算の回数を削減する。
これにより、本実施形態の暗号処理装置は、各準同型演算の後段で行われるGate Bootstrappingの回数を減らし、全加算器の演算を高速化することが出来る。

図１は、最小の論理演算素子数による全加算器回路を例示する図である。
図１は、論理演算素子によるハードウェア回路で全加算器を説明しているが、全加算器をソフトウェアで実装したＣＰＵが実行する全加算器プログラムであると考えてもよい。
Bit-wise型の準同型暗号の処理をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
それは、図２以降で説明する本実施形態の暗号処理装置についても同様である。
全加算器回路５０は、２つの半加算器５１、５２と１つのＯＲ回路部（ＯＲを得るための演算処理部）５３から構成される。
第１半加算器５１は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５１ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５１Ｂを備える。
第２半加算器５２は、ＡＮＤ回路部（ＡＮＤを得るための演算処理部）５２ＡとＸＯＲ回路部（ＸＯＲを得るための演算処理部）５２Ｂを備える。
加算される入力Ａと入力Ｂが第１半加算器５１のＡＮＤ回路部５１ＡとＸＯＲ回路部５１Ｂに入力される。
第１半加算器５１のＡＮＤ回路部５１Ａの出力と、第２半加算器５２のＡＮＤ回路部５２Ａの出力と、が後段のＯＲ回路部５３に入力され、ＯＲ回路部５３からは桁上げ出力Ｃ_０（Carry out）が出力される。
第１半加算器５１のＸＯＲ回路部５１Ｂからの出力と、桁上げ入力Ｃ_ｉ（Carry in）が第２半加算器５２のＡＮＤ回路部５２ＡとＸＯＲ回路部５２Ｂに入力される。
第２半加算器５２のＸＯＲ回路部５２Ｂからは、全加算器回路５０の出力Ｓ（Sum）が出力される。

図１に示すように、全加算器５０は、２つのＡＮＤ回路部と２つのＸＯＲ回路部とＯＲ回路部を備えており、全部で５つの論理演算素子（論理演算素子に対応する処理部）を備えている。
従って、１つの全加算器の演算につき、論理演算素子５つ分の演算時間が必要である。上記論文に示されるTFHEの場合、１つの論理演算素子の演算には約１６ｍｓの演算時間を要し、論理演算素子を５つ備える全加算器５０全体では、約８０ｍｓの演算時間を要する。TFHEによる完全準同型暗号の演算に用いる場合、５つの論理演算素子の前段部の演算（準同型演算）の後段で、夫々Gate Bootstrappingを行う必要がある。なお、準同型論理演算の処理時間のほぼ全てをGate Bootstrappingが占めている。
従って、図１の全加算器回路５０による完全準同型暗号の演算にはGate Bootstrapping５回分の演算時間を要するとみなしても構わない。
なお、半加算器５１、半加算器５２を構成するＡＮＤ回路部とＸＯＲ回路部の演算には依存関係がないため、全加算器をソフトウェアで構成する場合には、マルチスレッドなどの手法で並列演算を行うことが出来る。
並列演算によって、半加算器の演算を１つの論理演算素子分の演算時間で行うことが出来る。
従って、図１に示す１つの全加算器の演算を３つの論理演算素子分の演算時間で演算を実行することが出来る。ただし、この場合でも１つの全加算器の演算に４８ｍｓの演算時間を要する。これは、Gate Bootstrapping ３回分の演算時間とほぼ同じである。

TFHEは、ＡＮＤ回路部とＸＯＲ回路部などの論理ゲートをベースとするBit-wise型暗号である。
全加算器を使用することで、整数の加減乗除（四則演算）の全てと比較演算に対応することが出来る。
しかしながら、Bit-wise型暗号は、１つの暗号文は１ｂｉｔの情報しか持ち得ない。
整数同士の加算、減算、乗算、除算や比較（比較は減算結果の正負と等価である）は様々なデータ処理で多用されるが、扱われるデータは、ビット長が大きいものが通常である。
例えば、３２ｂｉｔの整数を扱おうとすると、３２個の暗号文を処理する必要がある。

Bit-wise型の完全準同型暗号について３２ｂｉｔの整数の加算・減算を行う場合は、１個の半加算器と、３１個の全加算器を用いる。また、乗算を行う場合は、約３２の２乗（１０２４）個近くの全加算器を用いる。
完全準同型暗号の演算（四則演算と比較）をさらに実用的なものにするためには、完全準同型暗号の演算に多用される全加算器の演算をより高速化することが重要となる。
下記に説明するように、本実施形態の暗号処理装置は、特に、完全準同型暗号の演算に用いる全加算器において、平文に付加する誤差範囲を小さくして２値多入力の論理演算（準同型演算）を可能とすることで準同型演算の回数を減らす。
その結果、本実施形態の暗号処理装置は、準同型演算の後段の、長い演算時間を要するGate Bootstrappingの回数を減らし、完全準同型暗号の処理時間を大幅に低減することが出来る。

図２は、本実施形態の暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第１演算部１２と、第２演算部１３と、第３演算部１４と、第１Bootstrapping部（第１算出部）１５と、第２Bootstrapping部（第２算出部）１６と、第３Bootstrapping部（第３算出部）１７と、出力部１８と、を備えている。
なお、第１演算部１２、第２演算部１３、第１算出部１５、第２算出部１６は後述する［実施例１］、［実施例２］に関連し、第３演算部１４、第３算出部１７は、後述する［実施例３］、［実施例４］に関連する。
受付部１１は、通信部２５や入力部２６を介した、演算の対象となる暗号文の入力を受け付ける。
後述の実施例１、２に関して、第１演算部１２は、受付部１１が受け付けた２値３入力の暗号文に対して、第１準同型演算を行う。
第２演算部１３は、第１演算部１２から出力された暗号文同士に対して第２準同型演算を行う。
後述の［実施例３］に関して第３演算部１４は、受付部１１が受け付けた２値３入力の暗号文に対して、第３準同型演算を行う。
第１演算部１２、第２演算部１３、及び第３演算部１４は、図１で説明した論理ゲート（ＡＮＤ回路部、ＸＯＲ回路部）による全加算器の演算（準同型演算）をソフトウェアで実現する演算処理部である。なお、第１演算部１２、第２演算部１３、及び第３演算部１４の少なくとも一つが、ハードウェアで実現されてもよい。

実施例１、２に関して、第１Bootstrapping部１５は、第１演算部１２の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、桁上げ出力Ｃ_Ｏとして２値を取り得る新たな暗号文を出力する。
第２Bootstrapping部１６は、第２演算部１３の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、出力Ｓとして２値を取り得る新たな暗号文を出力する。
［実施例３］に関して、第３Bootstrapping部１７は、第３演算部１４の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、出力Ｓ、桁上げ出力Ｃ_Ｏを夫々示す新たな暗号文を出力する。

出力部１８は、最終的な演算結果を暗号処理装置１の外部、あるいは、暗号処理装置１で実行される別の処理プロセスに対して出力する。
記憶部２０は、入力暗号文や、全加算器の演算で用いられる一時ファイルや一時データ、出力暗号文を格納することが出来る。
また、記憶部２０には、暗号化された暗号化データベース６０を格納することが出来る。
通信部２５は、暗号処理装置１をネットワークに接続し、外部装置との通信を可能にする。
記憶部２０に暗号化された暗号化データベース６０を格納し、通信部２５を備えることにより、暗号処理装置１は、データベースサーバとして機能することが出来る。この場合、暗号処理装置１は、外部装置としての端末装置から、暗号化されたクエリを受け付け、暗号化された暗号化データベース６０に対する検索を行い、暗号化された検索結果を端末装置に応答することが出来る。
入力部２６は暗号処理装置１に対して演算処理対象の暗号文を入力する。

図３は、実施例１、２に関して、図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図である。
図３の説明において、暗号処理装置１に入力される暗号文ｃａ、ｃｂ、ｃｃは、いずれも上記論文に示されるTLWE暗号文である。
下記に詳しく説明するが、TLWE暗号は、０又はμ（非０）の値を平文として有するBit-wise型の完全準同型暗号である。
論理ゲートを用いた論理演算によって様々な演算を行うことができる。
また後述するように、TLWE暗号文は、二進数のシンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能である。

図３に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを使用する。
上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
実施例１、２において、入力された暗号文ｃａ、ｃｂ、ｃｃを第１演算部１２に入力して準同型演算を行い、その演算結果（暗号文ｃｔ＝暗号文ｃａ＋ｃｂ＋ｃｃ）を２値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
第１Bootstrapping部１５の出力は、平文として２値（０，μ）の何れかを取り得る桁上げ出力Ｃ_Ｏの暗号文ｃｙである。
暗号文ｃｔ＝暗号文ｃａ＋ｃｂ＋ｃｃを第２演算部１３に入力し、ｃｔ同士で準同型演算を行い、その出力を第２算出部１６に入力し、２値Gate Bootstrappingが行われて出力Ｓの暗号文ｃｚが出力される。
第１演算部１２による準同型演算、第２演算部１３による準同型演算に要する時間は微々たるものである。
Gate Bootstrappingは、準同型演算を用いて全加算器を処理するとき、ほとんど全ての処理時間を消費している。

図１に示す全加算器回路５０のように、２値Gate Bootstrappingを用いて全加算器の演算を行う場合、ＡＮＤ回路部５１Ａ、５２Ａ、ＸＯＲ回路部５１Ｂ、５２Ｂ、ＯＲ回路部５３の後段で夫々１回、全体で５回Gate Bootstrappingを実行する必要がある。
それに対して、実施例１、２の暗号処理装置１では、全加算器の演算において、第１演算部１２に２値の暗号文を３つ入力し、Gate Bootstrappingを改良することにより、準同型演算処理の回数を全体で２回に減らしている。
その結果、暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrappingの回数を全体で２回に減らすることが出来る。したがって、図１に示す全加算器回路５０と比較して、暗号処理装置１は、計算処理時間を約６０％削減することが出来る。

さらに、暗号処理装置１は、第１Bootstrapping部１５の処理と、第２Bootstrapping部１６の処理とを、夫々マルチスレッド処理によって並列に実行してもよい。この場合には、暗号処理装置１は、全加算器の演算で処理時間の大半を占めるBootstrappingの段数を１段階にすることができる。これに対して、図１に示す全加算器回路５０は、ＡＮＤ回路部５１Ａ及びＸＯＲ回路部５１Ｂと、ＡＮＤ回路部５２Ａ及びＸＯＲ回路部５２Ｂとを夫々並列に実行することができるが、全体としてのBootstrappingの段数は３段階である。したがって、並列処理を用いた場合でも、図１に示す全加算器回路５０と比較して、暗号処理装置１は、計算処理時間を約６６％削減することが出来る。
以上のように、完全準同型暗号に関する全加算器の演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、全加算器の演算を著しく高速化することが出来る。

TFHEで説明されるGate Bootstrappingについて詳述する。
Gate Bootstrappingは、膨大なデータ量や演算時間のために実用的とは言えなかった完全準同型暗号を実用的にするための手法である。
上記論文のTFHEでは、LWE（Learning with Errors）暗号を円周群上で構成したTLWE暗号と呼ばれる暗号を用い、演算時の誤差を小さくしながら高速かつ小さなデータサイズでTLWE暗号文同士の各種準同型論理演算（ひいては加算・乗算などの任意の演算）を実現する。

TFHEにおけるGate Bootstrappingの入力は、秘密鍵で暗号化されたTLWE暗号文である。
TFHEでは、TLWE暗号文を基本として完全準同型暗号（FHE)を実現する。
TLWE暗号は、格子暗号の一種であるLWE暗号の特殊な場合（LWE暗号を円周群上で定義したもの）である。
TLWE暗号は加法準同型であり、TLWE暗号化された平文同士の加法演算を、暗号文を復号することなく行うことができることが知られている。

図５は、TLWE暗号が平文として有する円周群を説明するイメージ図である。
TLWE暗号は、０から実数の精度で進み１になると０に戻る、図５に示す円周群{Ｔ}の点０、又は円周群{Ｔ}上の０以外（非０）の任意の点に対応する実数μを平文として有する。TLWE暗号自体は円周群上の任意の点を平文とし、０近辺（誤差含む）とμ近辺（誤差含む）を平文として使用する。
円周群{Ｔ}上の点は、本明細書において「要素」ともいう。
TFHEを扱う暗号処理装置は、このようなTLWE暗号文同士の演算として加法演算など一般的な準同型演算を実行し、その演算結果の誤差をGate Bootstrappingによって適切な範囲内に収めることによって、再度（後段での）論理演算が可能な完全準同型暗号（FHE)を実現する。

［TLWE暗号］
TLWE暗号を説明する。
円周群{Ｔ}上の要素として、一様分布な乱数をＮ個集めたベクトル[ａ]を用意する。また、０，１の２値をＮ個集めた秘密鍵[ｓ]を用意する。
平均値が平文μであり、分散が事前に定めたαとなるようなガウス分布（正規分布）の乱数をｅとしたときに、（[ａ]，[ｓ]・[ａ]＋ｅ）の組がTLWE暗号文の一例となる。
同一の平文μに対して無限個のTLWE暗号文を生成した時のeの平均値が平文μであり、μは誤差なしの平文、ｅは誤差付きの平文である。
なお、「・」は、ベクトルの内積を表す。以降についても同様である。
上記[ｓ]・[ａ]＋ｅをｂとおくと、TLWE暗号文は（[ａ]，ｂ）と表すことができる。
φ_ｓ（（[ａ]，ｂ））＝ｂ－[ｓ]・[ａ]＝ｅは、TLWE暗号文を復号する関数である。TLWE暗号は平文に秘密鍵ベクトルと乱数ベクトルの内積と誤差を付加して暗号化するため、秘密鍵ベクトルと乱数ベクトルの内積を算出することで、TLWE暗号を誤差付きで復号することができる。この時、秘密鍵ベクトルが未知の場合は、内積となる成分が算出できないため、復号することができない。

このTLWE暗号は加法準同型であり、TLWE暗号文の平文同士の加法演算を、暗号文を復号することなく行うことができる。
２つのTLWE暗号文（[ａ]，ｂ）、（[ａ’]，ｂ’）をそのまま足して、（[ａ]＋[ａ’]，ｂ＋ｂ’）としたものを、上記の復号関数φ_ｓに入力すると、
φ_ｓ（（[ａ]＋[ａ’]，ｂ＋ｂ’））＝（ｂ＋ｂ’）－[ｓ]・（[ａ]＋[ａ’]）＝（ｂ－[ｓ]・[ａ]）＋（ｂ’－[ｓ]・[ａ’]）＝φ_ｓ（[ａ]，ｂ）＋φ_ｓ（[ａ’]，ｂ’）
となり、２つの平文の和が得られる。これにより、TLWE暗号文が「加法準同型暗号」であることがわかる。
上記論文のTFHEでは「平文に誤差を付加したTLWE暗号文に対して加法演算を行い、Gate Bootstrappingで誤差を削減する」ことを繰り返していくことで、様々な演算を実現する。

なお、下記において、（[０]，μ）などの「自明な暗号文（trivial）」は、あらゆる秘密鍵で復号が可能なTLWE暗号文であり、すなわち、どのような秘密鍵を用いても同じ平文を復号できる暗号文である。
（[０]，μ）において、[０]は、ゼロベクトルを表す。
「自明な暗号文」は、TLWE暗号文として扱えるが、実質的に平文がそのまま入っている状態と言える。
TLWE暗号文（[０]，μ）は、復号関数φ_ｓにかけると、φ_ｓ（（[０]，μ））＝μ－[ｓ]・０＝μとなり、秘密鍵[ｓ]がゼロベクトル[０]と掛け合わされて消えるため、容易に平文μが得られる。このような暗号文は、平文μに対して自明な暗号文に他ならない。

TFHEのGate Bootstrappingで用いる有限巡回群を説明する。
Gate Bootstrappingでは、多項式環の剰余環を、有限巡回群として用いる。
多項式環の剰余環が有限巡回群であることを説明する。
ｎ次の多項式は、一般にａ_ｎｘ^ｎ＋ａ_ｎ－１ｘ^ｎ－１＋…＋ａ_０と表される。
これらの全ての集合は、多項式同士の和ｆ（ｘ）＋ｇ（ｘ）に対して可換群をなす。
また、多項式同士の積ｆ（ｘ）ｇ（ｘ）は、逆元が存在するとは限らないことを除き、可換群と同様の性質を持つ。そのようなものをモノイドと呼ぶ。
多項式同士の和と積に対しては、下記のように分配法則が成り立つ
ｆ（ｘ）｛ｇ（ｘ）＋ｇ’（ｘ）｝＝ｆ（ｘ）ｇ（ｘ）＋ｆ（ｘ）ｇ’（ｘ）
従って、多項式を要素として多項式同士の和・積を定義すると「環」をなし、これを多項式環と呼ぶ。

TFHEでは、円周群{Ｔ}を係数とする多項式環を用い、このような多項式環をＴ［Ｘ］と表記する。
多項式環である多項式Ｔ（Ｘ）をＴ［Ｘ］（Ｘ^ｎ＋１）＋Ｔ［Ｘ］のかたちに分解し、剰余部分だけを取り出して集めると、これもまた「環」であるため多項式環の剰余環が得られる。
TFHEでは、多項式環の剰余環をＴ［Ｘ］／（Ｘ^ｎ＋１）と表す。

多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）として、任意の係数μ（μ∈Ｔ）を用いて、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μ
を取り出す。
多項式環の剰余環の要素Ｆ（Ｘ）にＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ－μとなって、一番上の項の係数がプラスからマイナスに反転して定数項として現れる。
さらにＸを掛けると、μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ^２－μＸ－μのように、もう一度同じことが起きる（一番上の項の係数がプラスからマイナスに反転して定数項として現れる）。
これを全部でｎ回繰り返すと、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ－μとなって全ての項の係数がマイナスとなる。

さらにＸを掛け続けると、
－μＸ^ｎ－１－μＸ^ｎ－２・・・－μＸ＋μ
－μＸ^ｎ－１－μＸ^ｎ－２・・・＋μＸ＋μ
と一番上の項の係数がマイナスからプラスに反転して定数項として現れていき、全部で２ｎ回繰り返すと、元の多項式環の剰余環の要素Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μに戻る。このように、最上位の係数（μ）が最下位の定数項に符号反転して（－μ）現れて、全体的に項が１つ、ずれている。
すなわち、多項式Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋・・・＋μＸ＋μは、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）という環のなかで位数２ｎの有限巡回群になっている。
TFHEにおいて、暗号処理装置は、このような多項式環の剰余環に基づく多項式Ｆ（Ｘ）が有する性質を利用して完全準同型暗号を実現する。

[TRLWE暗号]
Gate Bootstrappingでは、TLWE暗号の他にTRLWE暗号と呼ばれる暗号を利用する。
TRLWE暗号について説明する。
TRLWE暗号のＲは環を意味し、TRLWE暗号は環で構成したLWE暗号である。TLWE暗号がそうであるように、TRLWEもまた加法準同型暗号である。
TRLWE暗号における環は、上記した多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）である。
TRLWE暗号を得るに当たり、多項式環の剰余環Ｔ［Ｘ］／（Ｘ^ｎ＋１）の要素（元）をランダムに選択する。
実際には、ｎ－１次多項式の係数ｎ個を、円周群{Ｔ}から一様分布な乱数で選出する。
多項式の次数がｎ－１であれば、Ｘ^ｎ＋１で割れることがなく、剰余を考える必要がないため、次数がｎ－１の多項式を多項式ａ（Ｘ）とする。

０，１の２値からランダムにｎ個を集めて、下記の秘密鍵となる多項式ｓ（Ｘ）を組み立てる。
ｓ（Ｘ）＝ｓ_ｎ－１Ｘ^ｎ－１＋ｓ_ｎ－２Ｘ^ｎ－２＋・・・ｓ_１Ｘ＋ｓ_０
ｎ個の乱数ｅ_ｉを、平均値が平文μ_ｉになり分散がαとなるガウス分布（正規分布）の乱数とし、これらから下記の多項式ｅ（Ｘ）を組み立てる。
ｅ（Ｘ）＝e_ｎ－１Ｘ^ｎ－１＋ｅ_ｎ－２Ｘ^ｎ－２＋・・・ｅ_１Ｘ＋ｅ_０
ｓ（Ｘ）・ａ（Ｘ）＋ｅ（Ｘ）を、ｆ（Ｘ）（Ｘ^ｎ＋１）＋ｂ（Ｘ）と分解して、ｂ（Ｘ）を得る。
その結果、TRLWE暗号文として、（ａ（Ｘ），ｂ（Ｘ））が得られる。
TRLWE暗号は、TLWE暗号と同様に乱数を用いて暗号化を行うため、同一の秘密鍵、平文に対して、無数の暗号文が対応しうる。
また、TRLWE暗号は、TLWE暗号と同様に、φ_ｓ（（ａ（Ｘ），ｂ（Ｘ））＝ｂ（Ｘ）－ｓ（Ｘ）・ａ（Ｘ）＋ｇ（Ｘ）（Ｘ^ｎ＋１）として、φ_ｓがＴ［Ｘ］／（Ｘ^ｎ＋１）の元となるようにｇ（Ｘ）を定めたものが、復号関数として機能する。

[Gadget Decomposition]
Gadget Decompositionについて説明する。
TRLWE暗号文で用いている多項式の係数は、図５の円周群{Ｔ}の要素である０以上１未満の実数であり小数部分のみを有する。
これを二進数表記で何ビットずつかに分解する操作を、上記論文のTFHEではGadget Decomposition（Dec）と定義している。
例えば、TRLWE暗号文の多項式Ｆ（Ｘ）の次数ｎがｎ＝２として、分割の１単位をＢｇ＝２^２で、ｌ＝３要素に分解する。このとき、各要素は－Ｂｇ／２からＢｇ／２の間に入るようにする。
TRLWE暗号文は、上記の（ａ（Ｘ），ｂ（Ｘ））のように、２つの多項式の組み合わせである。従って、TRLWE暗号文ｄを、多項式環の剰余環の元となる多項式を要素とする２次元のベクトルと見なして、例えば、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５]
と書くことができる。そのため、以下では各要素をＢｇ^－１＝０．２５のべき乗の和の形に分解する。

円周群{Ｔ}上では、０．７５＝－０．２５であるので、
ｄ＝［０．７５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．３７５］
＝［－０．２５Ｘ^２＋０．１２５Ｘ＋０．５，０．２５Ｘ^２＋０．５Ｘ＋０．２５＋０．１２５］
＝［０．２５×（－Ｘ^２＋２）＋０．２５^２×２Ｘ＋０．２５^３×０，０．２５×（Ｘ^２＋２Ｘ＋１）９＋０．２５Ｘ^２×２＋０．２５^３×０］
と分解できる。
従って、Gadget Decompositionを行うと、
Ｄｅｃ（ｄ）＝［－Ｘ^２＋２，２Ｘ，０，Ｘ^２＋２Ｘ＋１，２，０]
というベクトルになる。

ベクトルから暗号文に逆変換する作用素Ｈも定義する。
上記の例に基づいて説明すると、

という行列が、逆変換の作用素Ｈとなる。Ｄｅｃ（ｄ）・Ｈを演算することで、TRLWE暗号文ｄ’が得られる。下位ビットは四捨五入をしてまるめられている。

TRLWE暗号文ｄに対して、||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作が、Gadget Decompositionであるとも言える。ここで｜｜はベクトルのノルム（長さ）である。
ｅ（Ｘ）の係数全てが平均値０となり、分散はαとなる多項式でできた暗号文Ｚｉ＝（ａ（Ｘ），ｂ（Ｘ））を２ｌ（エル）個生成する。
そして、平文μを以下のように暗号化し、以下の暗号文ｋを得る。

この暗号文ｋをTRGSW暗号文ＢＫとして定義する。
TRGSW暗号文ＢＫは、下記に用いるBootstrapping Keyを構成する。

Bootstrapping Keyを説明する。
Bootstrapping Keyは、Gate Bootstrappingに用いるために、秘密鍵を暗号化しておくために利用する。
TLWE暗号文に用いる秘密鍵[ｓ]（Ｎ次）とは別に、Gate Bootstrappingに使うために、秘密鍵[ｓ]を暗号化するための秘密鍵[ｓ’]の各要素を０か１の２値で選択する。
秘密鍵[ｓ’]の次数は、TRLWE暗号で使用する多項式の次数ｎとそろえる必要がある。
秘密鍵[ｓ]の要素ごとにTRGSW暗号文ＢＫを作成する。
秘密鍵[ｓ’]で復号するとφ_ｓ’（Zｊ）＝０となるTRLWE暗号文Ｚｊを２ｌ（エル）個作成する。
そして、上記したTRGSW暗号文の構成どおり、

とする。
このTRGSW暗号文を、秘密鍵[s]の次数と同じＮ個用意したセットを、Bootstrapping Keyと呼ぶ。

TRGSW暗号文ＢＫｉとTRLWE暗号文ｄの外積を、
ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ
と定義する。
Gadget Decompositionは、TRLWE暗号文ｄに対して||ｄ－[ｖ]・Ｈ||が最小値となる[ｖ]を得る操作であった。
従って、[ｖ]＝Ｄｅｃ（ｄ）と誤差（ε_ａ（Ｘ），ε_ｂ（Ｘ））を用いて、
[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））と書ける。
その結果、ＢＫｉ×ｄ＝Ｄｅｃ（ｄ）・ＢＫｉ

となる。
左半分は内積を計算し、右半分には[ｖ]・Ｈ＝ｄ＋（ε_ａ（Ｘ），ε_ｂ（Ｘ））を代入すると、

となり、下記の３つの暗号文ｃ１、ｃ２、ｃ３の和の計算と同じとなる。

TRLWE暗号は加法準同型暗号であるため、暗号文同士の和をとると平文同士の和をとったことと同じである。
Ｃ_１は、Ｚ_ｊを何倍かして足したものなので、平文φ_ｓ’（ｃ_１）の期待値は０となる。
また復号したφ_ｓ’（ｃ_３）は、平文の絶対値の大きさをシステムパラメータで制約することができるので、この後の演算も含めて十分小さくなるように設定する。

そうするとφ_ｓ’（BKｉ×ｄ）＝φ_ｓ’（ｓ_ｉ×ｄ）となるが、ｓ_ｉが０であっても１であっても計算結果は上記３つの暗号文ｃ１、ｃ２、ｃ３の和になる。単純な比較でｓ_ｉが０と１の何れであるかを判別することができない。
２つの平文μ_０、μ_１に対応するTRLWE暗号文ｄ_０、ｄ_１があるとして、ｄ＝ｄ_１－ｄ_０と代入して、最後にｄ_０を加算すると、下記のようなＣＭｕｘ関数が完成する。
ＣＭｕｘ（ＢＫ_ｉ，ｄ_０，ｄ_１）＝ＢＫｉ×（ｄ_１－ｄ_０）＋ｄ_０＝Ｄｅｃ（ｄ_１－ｄ_０）・ＢＫ_ｉ＋ｄ_０
ＣＭｕｘ関数は、ｓ_ｉが０であると平文μ_０の暗号文を復号することなく出力し、ｓ_ｉが１であると平文μ_１の暗号文を復号することなく出力する。
ＣＭｕｘ関数は、平文μ_０もしくは平文μ_１の暗号文を計算することができるが、どちらを選択したかは分からない。

TFHEの２値Gate Bootstrappingは、上記に説明した様々な情報を用いて行われる。
２値Gate Bootstrappingは、以下に説明する３つのステップ、(1)BlindRotate、(2)SampleExtract、(3)キースイッチングから構成される。

図６は、２値Gate Bootstrappingの動作イメージ図である。
２値Gate Bootstrappingは、下記に説明する３つのステップによってTLWE暗号文同士の準同型演算結果が有する平文に対する誤差の削減を行う。
以下の説明で、特に説明をしない場合、平文とは、TLWE暗号文同士で演算した結果の平文同士の演算結果を意味するものとする。
図５の円周群{Ｔ}における０～０．２５（１／４）、０．７５（３／４）～１の区間の平文を０のTLWE暗号文に変換し、０．２５（１／４）～０．７５（３／４）の区間の平文を０．２５（１／４）の暗号文に変換する。
この変換の際、平文に付加される誤差は±１／１６の範囲のいずれかである。

(1)BlindRotate
Gate Bootstrappingの最初のステップとしてBlindRotateが行われる。
BlindRotateは、TRLWE暗号文を作成する工程である。
BlindRotateでは、多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））から、Ｘ^{－φｓ（ｃ’）}を乗算したTRLWE暗号文を復号することなく得る。０は、０次の多項式０を示す。
ここでφｓ（ｃ’）は、下記のLWE暗号文ｃ’を復号関数にかけた平文である。
BlindRotateでは、上記した有限巡回群をなす、テストベクタとしての下記の多項式Ｆ（Ｘ）
Ｆ（Ｘ）＝μＸ^ｎ－１＋μＸ^ｎ－２＋…μＸ＋μ
ただし、μ＝１／８
にＸ^ｎ／２を掛けて得た下記の多項式Ｔ（Ｘ）
Ｔ（Ｘ）＝Ｆ（Ｘ）・Ｘ^ｎ／２
を用意する。

平文μ１を秘密鍵[ｓ]で暗号化したTLWE暗号文ｃがあるとする。
このTLWE暗号文ｃ＝（[ａ]，ｂ）の各要素を２ｎ倍して四捨五入したLWE暗号文ｃ’＝（[ａ’]，ｂ’）を得る。
LWE暗号文ｃ’＝（[ａ’]，ｂ’）を復号すると、μ１’＝φ_ｓ（ｃ’）≒２ｎ×φ_ｓ（ｃ）＝２ｎμ１となる。ｎが大きくなるほど相対的に誤差は小さくなる。
多項式Ｔ（Ｘ）を平文とする自明なTRLWE暗号文（０，Ｔ（Ｘ））を用意して、
Ａ_０＝Ｘ^－ｂ’×（０，Ｔ（Ｘ））＝（０，Ｘ^－ｂ’×Ｔ（Ｘ））とする。０は、０次の多項式０を示す。この時、ｂ’は整数であるため、累乗が自然に定義できる。
以降、上記に説明したBootstrapping KeyであるＢＫ_ｉを用いて、順番にＡ_ｉ＝ＣＭｕｘ（ＢＫ_ｉ，Ａ_ｉ－１，Ｘ^ａ’ｉＡ_ｉ－１）を計算する。ここでも、ａ’ｉが整数になっているため、Ｘの累乗が自然に定義できる。

そうすると、ｓ_ｉが０の時は、平文はそのまま変わらず、ｓ_ｉが１の時は、Ｘ^ａ’ｉが順番に乗算されていく。
従って、

と繰り返すと、

となる。
ここで、

は、復号関数φｓ（ｃ’）の符号を反転したものに等しいので、

となる。ここでφ_ｓ’（Ａ_ｎ）は、多項式Ｔ（Ｘ）にＸ^－１をμ１’回乗算した多項式の暗号文である。
BlindRotateに係るTLWE暗号文ｃの平文μ１に対応して、多項式Ｔ（Ｘ）にＸをかける回数μ１’（＝２ｎμ１）に応じたユニークな値（ｎ個の係数とその符号反転で最大２ｎ個）が得られるので、一種のルックアップテーブル（Look UP Table）とみなすことが出来る。

(2)SampleExtract
(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）を見ると、下位の項から数えてｎ／２－φ_ｓ（ｃ’）個分の項は係数が－μとなり、負になった場合、逆に上の項から順に係数が－μとなる。
TRLWE暗号文Ａ_ｎを復号して得られる平文多項式φ_ｓ’（Ａ_ｎ）の定数項だけを見ると、φ_ｓ（ｃ’）がｎ／２以上３ｎ／２未満、すなわちφ_ｓ（ｃ）が１／２±１／４の場合、定数項はμとなる。それ以外、すなわちφｓ（ｃ）が±１／４の場合、定数項は－μとなる。
SampleExtractは、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎから、これを復号することなく平文多項式φ_ｓ’（Ａ_ｎ）の定数項の係数だけを取り出して、その結果、TLWE暗号文ｃｓを得るための処理である。

TLWE暗号文ｃｓを得るための処理を説明する。
全てのTRLWE暗号文は、次数をｎとして、

と多項式をおいて、（Ａ（Ｘ），Ｂ（Ｘ））と表現することができる。
これを秘密鍵[ｓ’]で復号したとき、秘密鍵の多項式を

とおいて、

と展開することができる。

これに対して下記の演算を行い、

を得る。
「多項式環の剰余環」であるので（Ｘ^ｎ＋１）で割った余りを求めると、

が得られる。

さらに、

とおくと、

となり、

から、平文多項式の各項の係数が求まる。
そのうち必要なのは定数項の係数であるので、ｊ＝０の場合の係数を取り出すと、

が得られる。

とおくと、

のように、TLWE暗号の復号関数に変形することができる。

つまり、(1)のBlindRotateで得たTRLWE暗号文Ａ_ｎ＝（Ａ（Ｘ），Ｂ（Ｘ））から、係数を

として取り出すと、元のTRLWE暗号文Ａ_ｎに対応する平文多項式の定数項と同じ値を平文とする、新しいTLWE暗号（［ａ”］，ｂ_１）が得られた。この新しいTLWE暗号文がSampleExtractの出力であり、平文として－μ又はμの２種類を有する。
得られたTLWE暗号文に対して、平文がμとなる自明な暗号文（[０]，μ）を加えたTLWE暗号文ｃｓ＝（［ａ”］，ｂ１）＋（[０]，μ）を得る。
具体的には、テストベクタとしての多項式Ｆ（Ｘ）ではμ＝１／８であるので、この段階では、－１／８、１／８の暗号文が得られている。
これに、平文がμ＝１／８となる自明なTLWE暗号文（[０]，１／８）を加えると、
－１／８＋１／８＝０
１／８＋１／８＝１／４
から、０、１／４の２値のうちいずれかの値を平文として持つ新たなTLWE暗号文ｃｓが得られた。

(3)キースイッチング
(2)のSampleExtractで得られたTLWE暗号文ｃｓは、秘密鍵[ｓ]ではなく、秘密鍵[ｓ']で暗号化されている
従って、TLWE暗号文ｃｓを復号することなく、TLWE暗号文ｃｓの鍵を秘密鍵[ｓ]に差し替え、秘密鍵[ｓ]で暗号化された状態に戻す必要がある。
そのためキースイッチングの手法を説明する。
NAND演算に用いるTLWE暗号文の秘密鍵[ｓ]はＮ次のベクトルであった。
これを用い、Bootstrapping Keyを作成したときのｎ次のベクトルの秘密鍵[ｓ’]を暗号化する。
すなわち、

と、円周群{Ｔ}の要素、０から１の実数を二進数で表現したときの各桁にずらした値として暗号化する。秘密鍵は[ｓ]である。「桁数」ｔはシステムパラメータである。
秘密鍵[ｓ]で復号すると、

となる。これが「キースイッチングキー」である。
上記したように(2)で得られたTLWE暗号文ｃｓ＝（［ａ］，ｂ）は秘密鍵[ｓ’]で暗号化された０又は１／４の値である。[ａ]の要素数は、秘密鍵[ｓ’]と同じくｎ個である。
これを一つずつ、夫々ｔビットの固定小数に変換すると、

の形式で書くことができる。
この段階で誤差が増えるが、システムパラメータで絶対値の最大値を制約することができる。
キースイッチング本体の処理として、以下のTLWE暗号文ｃｘを計算する。

（[０]，ｂ）の項は自明な暗号文なので、復号するとｂであり、TLWE暗号文ｃｘを復号した結果を計算すると、

である。
ｓ’_ｉは、ｊに対して定数なのでくくりだして

とし、上記で固定小数に分解したときの式を代入する。

その結果、

となって鍵の切り替えが成功したことになる。

ここで得られたTLWE暗号文ｃｘは、Gate Bootstrappingの入力としたTLWE暗号文cと同じ秘密鍵[ｓ]で暗号化されている。
キースイッチングの処理を行うことにより、秘密鍵[ｓ]で暗号化されたTLWE暗号文に戻っており、φ_ｓ（ｃ）が±１／４の範囲なら平文φ_ｓ（ｃｘ）は０に、φ_ｓ（ｃ）が１／２±１／４の範囲なら、平文φ_ｓ（ｃｘ）は１／４になっている。
以上の処理により、Gate Bootstrappingの結果として、０、１／４の２値のうちのいずれかであって誤差が±１／１６以内のいずれかになるTLWE暗号文が得られた。
誤差の最大値は、入力となるTLWE暗号文ｃに依存せず、システムパラメータによって固定された値となる。
従って、誤差の最大値が入力となるTLWE暗号文と同じ±１／１６以内のいずれかの値となるように、システムパラメータを設定する。
これにより、何度でもNAND演算ができるようになり、加算、乗算をはじめとしてあらゆる演算が可能となる。

Gate Bootstrappingから出力されるTLWE暗号の「平文」に乗っている誤差は、TLWE暗号文の整数化で加わる誤差、ＣＭｕｘで加わる誤差、キースイッチングで固定小数化した時の誤差等である。これらの誤差は全てシステムパラメータで制約でき、全てを考慮した誤差が±１／１６となるようにシステムパラメータを調整することができる。
以上が、TFHEのGate Bootstrappingの処理である。

本実施形態では、誤差の分散範囲を±１／１６から±１／２４へと縮小するように、上記論文で提示されたTFHEのシステムパラメータを改良する。
本実施形態によれば、２値の３入力を1つの準同型加算で処理することができる。つまり、平文として２値を取り得る暗号文を３つ入力して準同型演算を行うことができる。準同型加算結果に対してGate Bootstrappingを行うことで、準同型演算とともに３入力の論理素子を構成することができる。
和の下位ビットと、上位ビット（桁上げ）と、を夫々得る２つの論理素子を作成できる。全加算器の演算時間のほぼ全てを占めるGate Bootstrappingの回数を５回から２回に削減することが出来る。２つの３入力論理素子は互いに依存関係がないため２つの演算を並列に処理することができる。

［実施例１］
図３に基づいて説明する。
全加算器の入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。
これらの暗号文は、夫々特別に設定したシステムパラメータによるTLWE暗号文であり、Gate Bootstrappingにより生成された又は新規に暗号化されたものである。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、何れも平文として０又は１／４を有し、平文に付加される誤差は±１／２４の範囲に含まれる。
２値３入力とすることで誤差範囲が重なる可能性があり、平文に付加される誤差を上記論文の±１／１６よりも小さく±１／２４以内としている。
ただし後述するように、誤差が重なることによる問題が許容できる場合はその限りではなく、誤差として実施例の±１／２４や上記論文の±１／１６を採用してもよい。
暗号処理装置１は、ｃａ＋ｃｂ＋ｃｃ－（０，１／８）を計算し、演算結果としてTLWE暗号文ｃｔを得る。（０，１／８）は平文が１／８となる自明な暗号文である。

ｃａ＋ｃｂ＋ｃｃ－（０，１／８）の演算結果は、以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋０＝０）
⇒０＋０＋０－１／８＝－１／８（７／８）
ｃａが０、ｃｂが０、ｃｃが１／４（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋１＝１）
⇒０＋０＋１／４－１／８＝１／８
ｃａが０、ｃｂが１／４、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋０＝１）
⇒０＋１／４＋０－１／８＝１／８
ｃａが０、ｃｂが１／４、ｃｃが１／４（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋１＝２）
⇒０＋１／４＋１／４－１／８＝３／８
ｃａが１／４、ｃｂが０、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋０＋０＝１）
⇒１／４＋０＋０－１／８＝１／８
ｃａが１／４、ｃｂが０、ｃｃが１／４（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋０＋１＝２）
⇒１／４＋０＋１／４－１／８＝３／８
ｃａが１／４、ｃｂが１／４、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋１＋０＝２）
⇒１／４＋１／４＋０－１／８＝３／８
ｃａが１／４、ｃｂが１／４、ｃｃが１／４（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋１＋１＝３）
⇒１／４＋１／４＋１／４－１／８＝５／８

TLWE暗号文ｃｔは、平文として１／８、３／８、５／８、７／８の４つのいずれかを有し、平文に付加される誤差は±１／８の範囲に含まれる。
これはTLWE暗号文ｃａ、ｃｂ、ｃｃの誤差±１／２４を３つ足しているためである。

次に暗号処理装置１は、TLWE暗号文ｃｔに対して上記論文どおりのGate Bootstrappingを行う。
その結果、ｃａ＋ｃｂ＋ｃｃが二進数のシンボル０又は１の場合に平文が０となり、ｃａ＋ｃｂ＋ｃｃが二進数のシンボルで２又は３の場合に平文が１／４となるTLWE暗号文ｃｙが得られる。TLWE暗号文ｃｙにおいて、平文に付加される誤差は±１／２４の範囲に含まれる。これを全加算器の和の上位ビット（桁上げ出力）とする。

次に暗号処理装置１は、暗号文ｃｔ同士の準同型加算を行う。暗号処理装置１は、ｃｔ＋ｃｔ＋（０，１／４）の演算を行い、上記論文どおりのGate Bootstrappingを行う。ｃｔ＋ｃｔの演算結果は、平文として０又は１／２を取り、平文に付加される誤差は±１／４の範囲に含まれる暗号文ｃｚである。
演算結果は、以下の通りである。
ｃａが０、ｃｂが０、ｃｃが０
⇒－１／８＋（－１／８）＋１／４＝０
ｃａが０、ｃｂが０、ｃｃが１／４
⇒１／８＋１／８＋１／４＝４／８＝１／２
ｃａが０、ｃｂが１／４、ｃｃが０
⇒１／８＋１／８＋１／４＝４／８＝１／２
ｃａが０、ｃｂが１／４、ｃｃが１／４
⇒３／８＋３／８＋１／４＝８／８＝１（０）
ｃａが１／４、ｃｂが０、ｃｃが０
⇒１／８＋１／８＋１／４＝４／８＝１／２
ｃａが１／４、ｃｂが０、ｃｃが１／４
⇒３／８＋３／８＋１／４＝８／８＝１（０）
ｃａが１／４、ｃｂが１／４、ｃｃが０
⇒３／８＋３／８＋１／４＝８／８＝１（０）
ｃａが１／４、ｃｂが１／４、ｃｃが１／４
⇒５／８＋５／８＋１／４＝１２／８＝３／２（１／２）

Gate Bootstrappingの結果は、ｃａ＋ｃｂ＋ｃｃが二進数のシンボルで０又は２の時に平文が０となり、ｃａ＋ｃｂ＋ｃｃがシンボル１又は３の時に平文が１／２となるTLWE暗号文ｃｚが得られる。暗号文ｃｚにおいて平文に付加される誤差は±１／２４の範囲に含まれる。これを全加算器における和の下位ビットとする。
このように構成したことにより、暗号処理装置１は、論理素子の演算でほぼ全ての計算時間を消費しているGate Bootstrappingの回数を２回に減らすことができる。実験の結果、計算時間は２２．４ｍｓであった。
Gate Bootstrappingを５回行った場合の５５．５ｍｓと比べて６０％の計算時間を短縮できたことが確認できた。また２つのGate Bootstrapping処理には依存関係がない。従って、マルチスレッドなどの手法で並列化することで１段階分の処理時間で２つのGate Bootstrapping処理を行うことができる。

［実施例２］
平文に付加する誤差範囲を縮小することで、３入力２値論理演算（平文として２値を有する暗号文を３つ入力として演算を行う）を行う点で上記と同様である。
上記の例（実施例１）では、下位ビットの算出に円周群{Ｔ}の全体（０～１）を用いていたためテストベクタは上記論文に記載のとおりであった。
［実施例２］では、下位ビットの算出に円周群{Ｔ}の下半分（０～０．５）のみを用いて、テストベクタを特殊なものとしている。
円周群{Ｔ}の下半分（０～０．５）しか使わないのは、円周群{Ｔ}に対応するテストベクタの中で正負の反転した値が出てこないからである。テストベクタの０次からｎ次までが暗号文一対一対応する利点がある。
なお、円周群{Ｔ}の下半分（０～０．５）しか使わない場合には誤差が重ならないようにするためには下記のように平文の誤差の分散範囲を小さく（±１／４８）する必要がある。ただし後述するように、誤差が重なることによる問題が許容できる場合はその限りではなく、誤差の分散範囲として実施例の±１／２４や、上記論文の±１／１６を採用してもよい。

全加算器の入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。
これらの暗号文は、夫々特別に設定したシステムパラメータによるTLWE暗号文であり、Gate Bootstrappingにより生成された又は新規に暗号化されたものである。
TLWE暗号文ｃａ、ｃｂ、ｃｃは何れも平文として０又は１／８を有し、平文に付加される誤差は±１／４８の範囲に含まれる。TLWE暗号文ｃａ、ｃｂ、ｃｃは、夫々０が二進数のシンボル０に対応し、１／８がシンボル１に対応する。
暗号処理装置１は、ｃａ＋ｃｂ＋ｃｃ＋（０，１／１６）を計算し、演算結果としてTLWE暗号文ｃｔを得る（０，１／１６）は平文が１／１６となる自明な暗号文である。

なお、ｃａ＋ｃｂ＋ｃｃは、二進数のシンボルで以下のように表される。
ｃａが０、ｃｂが０、ｃｃが０⇒０＋０＋０＝０
ｃａが０、ｃｂが０、ｃｃが１／８⇒０＋０＋１＝１
ｃａが０、ｃｂが１／８、ｃｃが０⇒０＋１＋０＝１
ｃａが０、ｃｂが１／８、ｃｃが１／８⇒０＋１＋１＝２
ｃａが１／８、ｃｂが０、ｃｃが０⇒１＋０＋０＝１
ｃａが１／８、ｃｂが０、ｃｃが１／８⇒１＋０＋１＝２
ｃａが１／８、ｃｂが１／８、ｃｃが０⇒１＋１＋０＝２
ｃａが１／８、ｃｂが１／８、ｃｃが１／８⇒１＋１＋１＝３
これは以下の説明でも同じである。

ｃａ＋ｃｂ＋ｃｃ＋（０，１／１６）の演算結果は以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０
⇒０＋０＋０＋１／１６＝１／１６
ｃａが０、ｃｂが０、ｃｃが１／８
⇒０＋０＋１／８＋１／１６＝３／１６
ｃａが０、ｃｂが１／８、ｃｃが０
⇒０＋１／８＋０＋１／１６＝３／１６
ｃａが０、ｃｂが１／８、ｃｃが１／８
⇒０＋１／８＋１／８＋１／１６＝５／１６
ｃａが１／８、ｃｂが０、ｃｃが０
⇒１／８＋０＋０＋１／１６＝３／１６
ｃａが１／８、ｃｂが０、ｃｃが１／８
⇒１／８＋０＋１／８＋１／１６＝５／１６
ｃａが１／８、ｃｂが１／８、ｃｃが０
⇒１／８＋０＋１／８＋１／１６＝５／１６
ｃａが１／８、ｃｂが１／８、ｃｃが１／８
⇒１／８＋１／８＋１／８＋１／１６＝７／１６
TLWE暗号文ｃｔは、平文として１／１６、３／１６、５／１６、７／１６の４つのうちいずれかを有し、平文に付加される誤差は±１／１６の範囲に含まれる。
これはTLWE暗号文ｃａ、ｃｂ、ｃｃの誤差±１／４８を３つ足しているためである。

次に暗号処理装置１は、TLWE暗号文ｃｔに対して上記論文どおりのGate Bootstrappingを行う。ただし、上記論文ではBlindRotateで用いるテストベクタの係数がμ＝１／８であったのに対し、μ＝１／１６とする。
その結果、ｃａ＋ｃｂ＋ｃｃがシンボル０又は１の場合に平文が０であり、ｃａ＋ｃｂ＋ｃｃがシンボル２又は３の場合に平文が１／８であるTLWE暗号文ｃｙが得られる。平文に付加される誤差は±１／４８の範囲内に含まれる。これを全加算器の桁上げ出力とする。

次に暗号処理装置１はTLWE暗号文ｃｔに対してGate Bootstrappingを行う。
上記論文では、BlindRotateのテストベクタとして、

ただし、μ＝１／８
にＸ^ｎ／２を乗じたものを用いている。
これに替えて、暗号処理装置１は、テストベクタとして、

ただし、μ_１＝μ_３＝１／１６、μ_２＝μ_４＝－１／１６
を用いる。

SampleExtract直後の段階で、平文として－１／１６、１／１６の２種類を取り得るTLWE暗号文が得られる。
これ以降は上記論文同様に（０，１／１６）を足し、キースイッチングを行うことで、ｃａ＋ｃｂ＋ｃｃがシンボル０又は２の時に平文が０となり、ｃａ＋ｃｂ＋ｃｃがシンボル１又は３の時に１／８が平文となるTLWE暗号文ｃｚが得られる。平文に付加される誤差は±１／４８の範囲内に含まれる。これを和の下位ビット出力とする。
このように構成したことにより、暗号処理装置１は、論理素子の演算でほとんど全ての計算時間を消費しているGate Bootstrappingの回数を２回に減らすことができる。実験の結果、計算時間は２２．４ｍｓであった。
Gate Bootstrappingを５回行った場合の５５．５ｍｓと比べて６０％の計算時間を短縮できたことが確認できた。
また、２つのGate Bootstrapping処理には依存関係がない。従って、マルチスレッドなどの手法で並列化することで１段階分の処理時間で２つのGate Bootstrapping処理を行うことができる。

［実施例３］
図４は、［実施例３］に関して、図２の機能構成に基づく全加算器の演算プロセスを詳しく説明する図である。
［実施例３］は、実施例１、２で説明した２値３入力の準同型演算を基本とし、さらにGate Bootstrappingの回数を１回にまで削減する。
図４に示すように、［実施例３］の暗号処理装置１は入力された暗号文ｃａ、ｃｂ、ｃｃを第３演算部１２に入力して準同型演算を行い、その演算結果（暗号部ｃｔ＝暗号文ｃａ＋ｃｂ＋ｃｃ）を２値Gate Bootstrappingを行う第３Bootstrapping部１７に入力する。
第３Bootstrapping部１７の出力は、平文として２値（０，μ）の何れかを取り得る桁上げ出力Ｃ_Ｏの暗号文ｃｙ、出力Ｓの暗号文ｃｚである。
第３演算部１４による準同型演算に要する時間は微々たるものである。
Gate Bootstrappingは、準同型演算を用いて全加算器を処理するとき、ほとんど全ての処理時間を消費している。

［実施例３］の暗号処理装置１は、［実施例１］、［実施例２］の場合と同様に第３演算部１２に２値の暗号文を３つ入力し、Gate Bootstrappingを改良することにより、準同型演算処理の回数を全体で１回に減らしている。
その結果、暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrappingの回数を全体で１回に減らすることが出来る。
完全準同型暗号に関する全加算器の演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、全加算器の演算を著しく高速化することが出来る。

暗号処理装置１は、上記論文のシステムパラメータを改良することにより、誤差の分散範囲を±１／１６から、±１／３６又は±１／４８へと縮小する。
BlindRotateのテストベクタの上位係数を０とし、準同型演算の結果に対して２種類の多項式を乗算することで、一度のBlindRotateの結果に対して、夫々和の下位ビットと上位ビット（桁上げ）を得る論理素子を作成できる。これにより、全加算器の演算時間のほぼ全てを占めるGate Bootstrapping、さらにその大半を占めるBlindRotateの回数を５回から１回に削減することが出来る。

なお、２値の平文を円周群{Ｔ}上にどのように配置するかによって構成方法が異なる。本明細書では、円周群{Ｔ}上の０と１／６を用いる方法を［６分割版］、０と１／８を用いる方法を［８分割版］と記載する。
［６分割版］は上記［実施例１］に対応し、平文に付加する誤差が±１／３６の範囲内となるようにシステムパラメータが設定されている。
［８分割版］は上記［実施例２］に対応し、平文に付加する誤差が±１／４８の範囲内となるようにシステムパラメータが設定されている。
［６分割版］は、円周群{Ｔ}の０～１、なかでも０～０．５＋１／６の範囲を使い、［８分割版］は円周群{Ｔ}の右半分（０～０．５）を使っている。

全加算器の入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。また、以降［６分割版］ではｐ＝１／６、［８分割版］ではｐ＝１／８とする。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、何れも平文として０又はｐを有し、［６分割版］では平文に付加される誤差は±１／３６の範囲に含まれ、［８分割版］では±１／４８の範囲に含まれる。

まず暗号処理装置１（第３演算部１２）は、ｃａ＋ｃｂ＋ｃｃ＋（０，ｐ／２）を計算する。（０，ｐ／２）は、平文がｐ／２となる自明なTLWE暗号文である。
ｃａ＋ｃｂ＋ｃｃ＋（０，ｐ／２）の演算結果は以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０
⇒０＋０＋０＋ｐ／２＝ｐ／２
ｃａが０、ｃｂが０、ｃｃがｐ
⇒０＋０＋ｐ＋ｐ／２＝３ｐ／２
ｃａが０、ｃｂがｐ、ｃｃが０
⇒０＋ｐ＋０＋ｐ／２＝３ｐ／２
ｃａが０、ｃｂがｐ、ｃｃがｐ
⇒０＋ｐ＋ｐ＋ｐ／２＝５ｐ／２
ｃａがｐ、ｃｂが０、ｃｃが０
⇒ｐ＋０＋０＋ｐ／２＝３ｐ／２
ｃａがｐ、ｃｂが０、ｃｃがｐ
⇒ｐ＋０＋ｐ＋ｐ／２＝５ｐ／２
ｃａがｐ、ｃｂがｐ、ｃｃが０
⇒ｐ＋ｐ＋０＋ｐ／２＝５ｐ／２
ｃａがｐ、ｃｂがｐ、ｃｃがｐ
⇒ｐ＋ｐ＋ｐ＋ｐ／２＝７ｐ／２
平文として、ｐ／２、３ｐ／２、５ｐ／２、７ｐ／２の４つのいずれかを有し、平文に付加される誤差が±１／１２又は±１／１６の範囲内に含まれるTLWE暗号文ｃｔが得られる。

暗号処理装置１（第３Bootstrapping部１７）は、TLWE暗号文ｃｔに対して、上記論文に沿ったGate Bootstrapping処理を行う。
Gate Bootstrappingにおいて、暗号処理装置１は、以下の多項式をテストベクタとしたBlindRotateを行う。

ただし、μ＝ｐ／２
このテストベクタは、円周群{Ｔ}を分割した一区間だけ値をもつ多項式である。
BlindRotateの結果、暗号処理装置１（第３Bootstrapping部１７）は、TRLWE暗号文ｃｒ＝（ａ（Ｘ），ｂ（Ｘ））を得る。
次に暗号処理装置１は、TRLWE暗号文ｃｒに対して、上記論文には存在しない多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）の乗算を行う。
ｆｃ（Ｘ）、ｆｘ（Ｘ）は、
［６分割版］では

とし、
［８分割版］では

とする。

暗号処理装置１はTRLWE暗号文ｃｒに多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）を夫々乗算した結果、TRLWE暗号文ｃｃｏ、TRLWE暗号文ｃｓを得る。
TRLWE暗号文ｃｃｏは全加算器の桁上げに対応するTRLWE暗号文、TRLWE暗号文ｃｓは全加算器の和の出力に対応するTRLWE暗号文である。
TRLWE暗号文ｃｒ＝（ａ（Ｘ），ｂ（Ｘ））に多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）を夫々乗算して得られるｃｃｏ、ｃｓは、
ｃｃｏ＝（ａ（Ｘ）・ｆｃ（Ｘ），ｂ（Ｘ）・ｆｃ（Ｘ））
ｃｓ＝（ａ（Ｘ）・ｆｓ（Ｘ），ｂ（Ｘ）・ｆｓ（Ｘ））
として計算される。

TRLWE暗号文ｃｒを復号した平文多項式は、

である。
従って、TRLWE暗号文ｃｃｏを復号すると、

となり、TRLWE暗号文ｃｒを復号した平文多項式は多項式ｆｃ（Ｘ）を乗じたものとなる。
和の出力に対応するTRLWE暗号文ｃｓについても同様で、これを復号すると、

となり、TRLWE暗号文ｃｒを復号した平文多項式は多項式ｆｓ（Ｘ）を乗じたものとなる。

そして、BlindRotateは、テストベクタ多項式Ｔ（Ｘ）に、２ｎ×ｃｔのTLWE暗号文の平文ｐｔ＝φ_ｓ（２ｎ×ｃｔ）を計算することなく、Ｔ（Ｘ）・Ｘ^－ｐｔを平文多項式とするTRLWE暗号文を得る操作であった。
よって、TRLWE暗号文ｃｃｏを復号した平文多項式は、

であり、テストベクタ多項式をＴ（Ｘ）・ｆｃ（Ｘ）としたものと同じである。
同様に、ｃｓを復号した平文多項式は、

であり、テストベクタ多項式をＴ（Ｘ）・ｆｓ（Ｘ）としたものと同じである。
［６分割版］の多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）は、テストベクタに乗算することで円周群{Ｔ}の０～０．５＋１／６の範囲を使うテストベクタ多項式を得ることが出来る式である。
［８分割版］の多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）は、テストベクタに乗算することで円周群{Ｔ}の右半分（０～０．５）を使うためのテストベクタ多項式を得ることが出来る式である。

暗号処理装置１は、桁上げ出力を得るためのテストベクタ多項式（Ｔ（Ｘ）・ｆｃ（Ｘ））と、和を得るためのテストベクタ多項式（Ｔ（Ｘ）・ｆｓ（Ｘ））と、を夫々因数分解して、その結果得られる共通の多項式Ｔ（Ｘ）に対してBlindRotateする。
そして暗号処理装置１は、BlindRotateの結果に対して、夫々残りを両テストベクタ多項式の残りの部分、ｆｃ（Ｘ）、ｆｓ（Ｘ）をかける。
これにより、桁上げ出力を得るためのテストベクタ多項式と、和の出力を得るためのテストベクタ多項式に対して夫々BlindRotateを行うことなく、一度に両方の計算結果が得られる。
BlindRotate１回で二種類の多項式に対して、BlindRotateした結果が得られる。
Gate Bootstrappingの処理時間の大半はBlindRotateで占められているため、実質的にGate Bootstrapping２回を１回の時間で行っていることと同等となる。

次に暗号処理装置１は、上記論文のGate Bootstrappingと同様に、SampleExtractとキースイッチングを、ｃｃｏおよびｃｓに対して夫々行う。これらの処理は、Gate Bootstrappingの処理時間のうちごくわずかしか消費しないため、計算時間への影響は軽微である。
上記のように構成したので、論理素子の演算でほとんど全ての計算時間を消費しているBlindRotateの回数を５回から１回に減らすことができる。
実験によれば、［実施例３］の構成の計算時間は１１．４ｍｓであり、Gate Bootstrappingを５回実行する場合の５５．５ｍｓと比べて、約５倍の早さとなっていることが確認できた。

［実施例４］
［実施例３］の変形例として、TLWE暗号文ｃｔに対するGate Bootstrapping処理においてBlindRotateを１回で済ませる処理を以下のように行ってもよい。
暗号処理装置１は、テストベクタ多項式における偶数次数、奇数次数に異なる係数を配置し且つTLWE暗号文の係数を偶数に揃える。これにより、暗号処理装置１は、下記に説明するように、１回のBlindRotateによって複数のルックアップテーブルの参照を行う。その結果、暗号処理装置１は、その後のSampleExtractによって全加算器の和（出力Ｓ）を平文として有する暗号文ｃｚと、全加算器の桁上げ出力Ｃｏを平文として有する暗号文ｃｙを得るための複数種類の演算結果を得ることが出来る。
暗号処理装置１は、準同型演算結果のTLWE暗号文を構成する要素（複数の値）を整数とする計算を行う。この整数は２で割った余り（mod ２の値）が全て同じであり、テストベクタ多項式は２つ毎（偶数毎、奇数毎に）に同じ係数を有することで、複数種類の演算結果を得ることが出来る。

全加算器の入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。
［実施例３］と同様に、TLWE暗号文ｃａ、ｃｂ、ｃｃは、何れも平文として０又はｐを有し、［６分割版］ではｐ＝１／６、［８分割版］ではｐ＝１／８とする。平文に付加される誤差は、［６分割版］では±１／３６の範囲に含まれ、［８分割版］では±１／４８の範囲に含まれる。
２値の平文として、円周群{Ｔ}上の０と１／６を用いる方法が［６分割版］であり、０と１／８を用いる方法が［８分割版］である。

暗号処理装置１（第３演算部１２）が、ｃａ＋ｃｂ＋ｃｃ＋（０，ｐ／２）を計算し、平文として、ｐ／２、３ｐ／２、５ｐ／２、７ｐ／２の４つのいずれかを有し、平文に付加される誤差が±１／１２又は±１／１６の範囲内に含まれるTLWE暗号文ｃｔを得るまでは［実施例３］と同じである。
［実施例４］の最初のステップとして、暗号処理装置１（第３演算部１２）は、TLWE暗号文ｃｔをｎ倍して四捨五入し、その結果をさらに２倍してLWE暗号文ｃｔ１を算出する。上記論文ではTLWE暗号文を２ｎ倍してから四捨五入していたが、本実施形態はこの点で異なる。
２倍をしたLWE暗号文ｃｔ１の全係数は偶数であり、LWE暗号文ｃｔ１を復号した対応する平文ｐ’＝φ_ｓ（ｃｔ１）＝［ｓ］・［ａ］－ｂ（ｂ－［ｓ］・［ａ］）が偶数となることが保証される。上記論文について説明したように平文ｐ’＝φ_ｓ（ｃｔ１）こそがテストベクタ多項式Ｔ（Ｘ）にＸをかける回数であるので、BlindRotateにおける回転数（Ｘをかける回数）は偶数回である。

次に、暗号処理装置１（第３Bootstrapping部１７）は、以下の多項式
ｆｔ（Ｘ）＝μＸ^{２ｎｐ－２}＋μＸ^{２ｎｐ－４}＋…＋μＸ^２＋μ
ただし、μ＝ｐ／２
を用いてテストベクタを構成し、LWE暗号文ｃｔ１に対して、上記論文に沿ったGate Bootstrapping処理を行う。テストベクタの構成方法を以下に述べる。
平文の円周群{Ｔ}の０～１がテストベクタの０次～２ｎ次の項に対応しているため、テストベクタｆｔ（Ｘ）をBlindRotateとしたTRLWE暗号文の平文多項式の定数項は、TLWE暗号文ｃｔが０～ｐの区間の場合にのみｐ／２となり、それ以外の場合は０となる。また、テストベクタｆｔ（Ｘ）をBlindRotateとTRLWE暗号文の平文多項式には偶数次数のみが存在する。
［実施例４］では、このテストベクタｆｔ（Ｘ）に、
［６分割版］では

［８分割版］では

の多項式を用いたｆｔ（Ｘ）｛ｆｃ（Ｘ）Ｘ＋ｆｓ（Ｘ）｝をBlindRotateのテストベクタ多項式Ｔ（Ｘ）とする。
［実施例３］でも説明したように、［６分割版］の多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）は、テストベクタｆｔ（Ｘ）に乗算することで円周群{Ｔ}の０～０．５＋１／６の範囲を使うテストベクタ多項式を得ることが出来る式である。また［８分割版］の多項式ｆｃ（Ｘ）、ｆｓ（Ｘ）は、テストベクタｆｔ（Ｘ）に乗算することで円周群{Ｔ}の右半分（０～０．５）を使うためのテストベクタ多項式を得ることが出来る式である。

例えば［６分割版］の場合、
ｆｃ（Ｘ）Ｘ＋ｆｓ（Ｘ）
＝（Ｘ^４ｎｐ－Ｘ^２ｎｐ－１）Ｘ＋（－Ｘ^４ｎｐ＋Ｘ^２ｎｐ－１）
＝（Ｘ^{４ｎｐ＋１}－Ｘ^{２ｎｐ＋１}－Ｘ）＋（－Ｘ^４ｎｐ＋Ｘ^２ｎｐ－１）
＝Ｘ^{４ｎｐ＋１}－Ｘ^４ｎｐ－Ｘ^{２ｎｐ＋１}＋Ｘ^２ｎｐ－Ｘ－１
である。
テストベクタ多項式Ｔ（Ｘ）は、
Ｔ（Ｘ）＝ｆｔ（Ｘ）｛ｆｃ（Ｘ）Ｘ＋ｆｓ（Ｘ）｝
＝（μＸ^{２ｎｐ－２}＋μＸ^{２ｎｐ－４}＋…＋μＸ^２＋μ）×（Ｘ^{４ｎｐ＋１}－Ｘ^４ｎｐ－Ｘ^{２ｎｐ＋１}＋Ｘ^２ｎｐ－Ｘ－１）
＝μＸ^{６ｎｐ－１}－μＸ^{６ｎｐ－２}－μＸ^{４ｎｐ－１}＋μＸ^{４ｎｐ－２}－μＸ^{２ｎｐ－１}－μＸ^{２ｎｐ－２}
＋μＸ^{６ｎｐ－３}－μＸ^{６ｎｐ－４}－μＸ^{４ｎｐ－３}＋μＸ^{４ｎｐ－４}－μＸ^{２ｎｐ－３}－μＸ^{２ｎｐ－４}
…＋μＸ^{４ｎｐ＋３}－μＸ^{４ｎｐ＋２}－μＸ^{２ｎｐ＋３}＋μＸ^{２ｎｐ＋２}－μＸ^３－μＸ^２
＋μＸ^{４ｎｐ＋１}－μＸ^４ｎｐ－μＸ^{２ｎｐ＋１}＋μＸ^２ｎｐ－μＸ－μ
＝μＸ^{６ｎｐ－１}－μＸ^{６ｎｐ－２}＋μＸ^{６ｎｐ－３}－μＸ^{６ｎｐ－４}…＋μＸ^{４ｎｐ＋３}－μＸ^{４ｎｐ＋２}＋μＸ^{４ｎｐ＋１}－μＸ^４ｎｐ－μＸ^{４ｎｐ－１}＋μＸ^{４ｎｐ－２}－μＸ^{４ｎｐ－３}＋μＸ^{４ｎｐ－４}－μＸ^{２ｎｐ＋３}＋μＸ^{２ｎｐ＋２}－μＸ^{２ｎｐ＋１}＋μＸ^２ｎｐ－μＸ^{２ｎｐ－１}－μＸ^{２ｎｐ－２}－μＸ^{２ｎｐ－３}－μＸ^{２ｎｐ－４}－μＸ^３－μＸ^２－μＸ－μ

暗号処理装置１は、このようなテストベクタ多項式Ｔ（Ｘ）を用いてBlindRotateを行った結果に０と１の次数でSampleExtractを行う。
上記の処理によってTLWE暗号文ｃｔの係数を偶数に揃えた結果、BlindRotateで回転させる（テストベクタ多項式にＸをかける）回数は偶数回である。
従って、BlindRotate前後で、テストベクタ多項式Ｔ（Ｘ）における係数と次数の偶奇との関係は保存される。BlindRotate後の次数０にはBlindRotate前のテストベクタ多項式Ｔ（Ｘ）における偶数次数の項の係数が現れ、BlindRotate後の次数１にはBlindRotate前のテストベクタ多項式Ｔ（Ｘ）における奇数次数の項の係数が現れる。このとき、係数の符号は反転している。
BlindRotate後のテストベクタ多項式Ｔ（Ｘ）において、次数０でSampleExtractを行った結果得られる暗号文ｃｚは、全加算器の和（出力Ｓ）を平文として有し、次数１でSampleExtractを行った結果得られる暗号文ｃｙは、全加算器の桁上げ出力Ｃｏを平文として有する。

なお上記のテストベクタ多項式Ｔ（Ｘ）の次数４ｎｐ（偶数）と次数４ｎｐ－１（奇数）は係数が両方ともマイナスとなっているが、テストベクタ多項式Ｔ（Ｘ）の最も大きな次数は奇数であり、BlindRotateで偶数回回転させたときに、次数０と次数１に、偶数次数の項と奇数次数の項の同じ係数が現れる、ということはない。すなわちBlindRotateの結果、次数０、次数１がともに、符号が反転したプラスの値となることはない。
以上の処理によれば、桁上げ出力Ｃｏを得るテストベクタ多項式と、和の出力Ｓとなるテストベクタを得るテストベクタ多項式に対して夫々BlindRotateを行う必要はない。一のテストベクタ多項式に対する１回のBlindRotateの結果に対して、０と１の次数で２回のSampleExtractを行うことより全加算器の２つの値に対応する暗号文を得ることが出来る。
Gate Bootstrappingの処理時間の大半はBlindRotateで占められているため、実質的にGate Bootstrapping２回を１回の時間で行っていることと同等となる。

次に暗号処理装置１は、上記論文のGate Bootstrappingと同様にキースイッチングを行う。これらの処理は、Gate Bootstrappingの処理時間のうちごくわずかしか消費しないため、計算時間への影響は軽微である。
上記のように構成したので、論理素子の演算でほとんど全ての計算時間を消費しているBlindRotateの回数を５回から１回に減らすことができる。

図７は、暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャート（その１）である。
上記したように、２値の暗号文を論文通りにGate Bootstrappingする場合、円周群{Ｔ}における０～１／４、３／４～１の区間の平文を０のTLWE暗号文に変換する。また、円周群{Ｔ}における１／４～３／４の区間の平文を１／４のTLWE暗号文に変換する。実施例１、２では、この変換の際、平文に付加される誤差は、本実施形態の場合、±１／２４や±１／４８の範囲のいずれかの値である。
上記した円周群{Ｔ}の範囲を、０、１などの（多値）論理演算で用いるシンボルを対応づける。

円周群{Ｔ}上の範囲（誤差を含む）が暗号文における平文のシンボルに対応している。
暗号文は、（［ａ］，ｂ）の形式を有するベクトルであり、ベクトルの要素は円周群上の点である。平文もまた、円周群{Ｔ}上の点である。
論理演算で用いるシンボルは、円周群{Ｔ}上の範囲と対応付いており、ある暗号文に対する平文は、その範囲内の何れか１点を指している。平文が、その範囲内のどの点を指しているかは、秘密鍵なしでは、特定することが難しい。これによってTLWE暗号文の強度が担保されている。範囲を０として円周群上の点とシンボルを対応づけると、複数の暗号文を集めて連立方程式として平文を導出可能でありTLWE暗号文は暗号として機能しなくなる。

実施例１、２に対応して、暗号処理装置１（受付部１１）は、ステップＳ１０１において、演算対象の暗号文が入力されたか否かを受け付けたかを判定する。
暗号文が入力されたと判定した場合（ステップＳ１０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ１０２において、暗号文を受けつけ、記憶部２０に格納する。
次に、暗号処理装置１（第１演算部１２）は、ステップＳ１０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
暗号処理装置１（第１算出部１５）は、ステップＳ１０４において、演算結果に対してGate Bootstrappingを行い、平文として２値を有する全加算器の桁上げ出力の暗号文を算出し、記憶部２０に格納する。
第１演算部１２、第１算出部１５による処理では以下の演算が行われる。
この演算は、平文として２値を有する３つの暗号文ｃａ、ｃｂ、ｃｃの入力を受け付け、ｃａ＋ｃｂ＋ｃｃ－１／８からTLWE暗号文ｃｔを算出し、これをGate Bootstrappingして桁上げ出力Ｃｏの暗号文ｃｙを得る。

例えば、入力される３つの暗号文が二進数のシンボル０又は１、つまり区間０±１／２４又は１／４±１／２４で、第１演算部１２がステップＳ１０３の演算を行うとき、以下の演算によって暗号文ｃｔを得る。
ｃａが０、ｃｂが０、ｃｃが０
⇒０±１／２４＋０±１／２４＋０±１／２４－１／８＝－１／８±１／８
ｃａが０、ｃｂが０、ｃｃが１
⇒０±１／２４＋０±１／２４＋１／４±１／２４－１／８＝１／８±１／８
ｃａが０、ｃｂが１、ｃｃが０
⇒０±１／２４＋１／４±１／２４＋０±１／２４－１／８＝１／８±１／８
ｃａが０、ｃｂが１、ｃｃが１／４
⇒０±１／２４＋１／４±１／２４＋１／４±１／２４－１／８＝３／８±１／８
ｃａが１、ｃｂが０、ｃｃが０
⇒１／４±１／２４＋０±１／２４＋０±１／２４－１／８＝１／８±１／８
ｃａが１／４、ｃｂが０、ｃｃが１
⇒１／４±１／２４＋０±１／２４＋１／４±１／２４－１／８＝３／８±１／８
ｃａが１、ｃｂが１、ｃｃが０
⇒１／４±１／２４＋０±１／２４＋１／４±１／２４－１／８＝３／８±１／８
ｃａが１、ｃｂが１、ｃｃが１
⇒１／４±１／２４＋１／４±１／２４＋１／４±１／２４－１／８＝５／８±１／８
得られた暗号文ｃｔは、平文として１／８、３／８、５／８、７／８の４つのいずれかを有し、平文に付加される誤差は±１／８の範囲に含まれる。
ステップＳ１０４の処理として第１算出部１５がTLWE暗号文ｃｔに対してGate Bootstrappingを行うと、平文として０又は１／４を有し、平文に付加される誤差は±１／２４の範囲内に含まれる暗号文ｃｙの出力が得られる。これを全加算器の和の上位ビット（桁上げ出力Ｃｏ）とする。

暗号処理装置１（第２演算部１３）は、ステップＳ１０５において、ステップＳ１０３で得た一時暗号文ｃｔ同士の準同型演算を行い、演算結果を記憶部２０に格納する。
暗号処理装置１（第２算出部１６）は、ステップＳ１０６において、ステップＳ１０５の演算結果に対して２値Gate Bootstrappingを行って出力暗号文ｃｚを算出し、記憶部２０に格納する。
第２演算部１３、第２算出部１６による処理の結果、以下の演算が行われる。
この演算は、平文として２値を有する暗号文ｃｔの入力を受け付け、暗号文ｃｔ同士を加算して平文として２値を有する出力暗号文ｃｚを得るものである。
第２演算部１３がステップＳ１０５の演算を行うとき以下の演算を行う。
ｃａが０、ｃｂが０、ｃｃが０
⇒－１／８±１／８＋（－１／８±１／８）＋１／４＝０±１／４
ｃａが０、ｃｂが０、ｃｃが１／４
⇒１／８±１／８＋１／８±１／８＋１／４＝４／８＝１／２±１／４
ｃａが０、ｃｂが１／４、ｃｃが０
⇒１／８±１／８＋１／８±１／８＋１／４＝４／８＝１／２±１／４
ｃａが０、ｃｂが１／４、ｃｃが１／４
⇒３／８±１／８＋３／８±１／８＋１／４＝８／８＝１（０）±１／４
ｃａが１／４、ｃｂが０、ｃｃが０
⇒１／８±１／８＋１／８±１／８＋１／４＝４／８＝１／２±１／４
ｃａが１／４、ｃｂが０、ｃｃが１／４
⇒３／８±１／８＋３／８±１／８＋１／４＝８／８＝１（０）±１／４
ｃａが１／４、ｃｂが１／４、ｃｃが０
⇒３／８±１／８＋３／８±１／８＋１／４＝＝８／８＝１（０）±１／４
ｃａが１／４、ｃｂが１／４、ｃｃが１／４
⇒５／８±１／８＋５／８±１／８＋１／４＝１２／８＝３／２（１／２）±１／４
ステップＳ１０６の処理として第２算出部１６がGate Bootstrappingを行うと、平文として０又は１／４を有し、平文に付加される誤差は±１／２４の範囲内に含まれる暗号文ｃｚが得られる。これを全加算器の和の下位ビット（出力Ｓ）とする。
ステップＳ１０４の２値Gate Bootstrappingと、ステップＳ１０６の２値Gate Bootstrappingと、はマルチスレッド処理によって、並列で実行することが出来る。

図８は、暗号処理装置が実行する全加算器の演算処理の流れを説明するフローチャート（その２）である。
以下の説明は、［８分割版］の［実施例３］、［実施例４］に対応する。
暗号処理装置１（受付部１１）は、ステップＳ１０１において、演算対象の暗号文が入力されたか否かを受け付けたかを判定する。
暗号文が入力されたと判定した場合（ステップＳ２０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ２０２において、暗号文を受けつけ記憶部２０に格納する。
次に、暗号処理装置１（第３演算部１４）は、ステップＳ２０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
暗号処理装置１（第３算出部１７）は、ステップＳ２０４において、演算結果に対してGate Bootstrappingを行い、平文として２値を有する全加算器の桁上げ出力Ｃｏの暗号文を算出し、記憶部２０に格納する。
第３演算部１４、第３算出部１７による処理では以下の演算が行われる。
この演算は、平文として２値を有する３つの暗号文ｃａ、ｃｂ、ｃｃの入力を受け付け、ｃａ＋ｃｂ＋ｃｃ＋１／１６からTLWE暗号文ｃｔを算出し、これをGate Bootstrappingして、全加算器の桁上げ出力Ｃｏの暗号文（上位ビット）ｃｙと全加算器の出力Ｓの暗号文ｃｚを得るものである。

例えば、入力される３つの暗号文が二進数のシンボル０又は１、つまり区間０±１／４８または１／８±１／４８で、第３演算部１４がステップＳ１０３の演算を行うとき以下の演算を行う。
ｃａが０、ｃｂが０、ｃｃが０
⇒０±１／４８＋０±１／４８＋０±１／４８＋１／１６＝１／１６±１／１６
ｃａが０、ｃｂが０、ｃｃが１
⇒０±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝３／１６±１／１６
ｃａが０、ｃｂが１、ｃｃが０
⇒０±１／４８＋１／８±１／４８＋０±１／４８＋１／１６＝３／１６±１／１６
ｃａが０、ｃｂが１、ｃｃが１／４
⇒０±１／４８＋１／８±１／４８＋１／８±１／４８＋１／１６＝３／１６±１／１６
ｃａが１、ｃｂが０、ｃｃが０
⇒１／８±１／４８＋０±１／４８＋０±１／４８＋１／１６＝３／１６±１／１６
ｃａが１／４、ｃｂが０、ｃｃが１
⇒１／８±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝５／１６±１／１６
ｃａが１、ｃｂが１、ｃｃが０
⇒１／８±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝５／１６±１／１６
ｃａが１、ｃｂが１、ｃｃが１
⇒１／８±１／４８＋１／８±１／４８＋１／８±１／４８＋１／１６＝７／１６±１／１６
得られた暗号文ｃｔは、平文として１／１６、３／１６、５／１６、７／１６の４つのいずれかを有し、平文に付加される誤差は±１／１６の範囲に含まれる。
ステップＳ２０４の処理として第３算出部１７がGate Bootstrappingを行うと、平文として０又は１／８を有し、平文に付加される誤差が±１／４８の範囲内に含まれる暗号文ｃｙ、ｃｚの出力が得られる。これらを夫々全加算器の和の下位ビット（出力Ｓ）、全加算器の和の上位ビット（桁上げ出力Ｃｏ）とする。

［変形例］
上記の［実施例３］の［６分割版］では、［実施例１］に対応して、平文の値を０、１／６とし、平文に付加される誤差が±１／３６の範囲内となるようにパラメータを変更してGate Bootstrappingの回数をさらに１回に削減した。
［実施例３］の［６分割版］と同じパラメータを用い平文に付加される誤差を±１／３６の範囲内とし、平文として０又は１／６の２値を有し、２つの異なるテストベクタ多項式で２回のGate Bootstrappingを行うことによっても、全加算器の和の暗号文ｃｚと、桁上げ出力の暗号文ｃｙを得ることが出来る。
この［変形例］では、暗号処理装置１は、ｃａ＋ｃｂ＋ｃｃ＋１／１２を計算し、計算結果としてTLWE暗号文ｃｔ’を得る。
上記のように、［実施例１］では、TLWE暗号文ｃｔに対して、上記論文通りのGate Bootstrappingを行って繰り上げ出力Ｃｏの暗号文ｃｙを計算し、TLWE暗号文ｃｔ同士の準同型演算（ｃｔ＋ｃｔ）に対して上記論文通りのGate Bootstrappingを行って出力Ｓの暗号文ｃｚを演算していた。

それに対して［変形例］では、TLWE暗号文ｃｔ’に対して２つの異なるテストベクタ多項式ＴＡ、ＴＢを用いてGate Bootstrappingを行って、暗号文ｃｙ、暗号文ｃｚを得る。
繰り上げ出力Ｃｏの暗号文ｃｙを得るためテストベクタ多項式ＴＡは、
μ１Ｘ^ｎ－１＋…＋μ１Ｘ^２ｎ／３＋μ２Ｘ^{２ｎ／３－１}＋…＋μ２Ｘ^０
ただし、μ１＝１／１２、μ２＝－１／１２
とする。
出力Ｓの暗号文ｃｚを得るためのテストベクタ多項式ＴＢは、
μ１Ｘ^ｎ－１＋…＋μ１Ｘ^２ｎ／３＋μ２Ｘ^{２ｎ／３－１}＋…＋μ２Ｘ^ｎ／３＋μ１Ｘ^{ｎ／３－１}＋…＋μ１Ｘ^０
ただし、μ１＝－１／１２、μ２＝１／１２
とする。
なおTLWE暗号文ｃｔ’同士の準同型演算（ｃｔ’＋ｃｔ’）を行わず、TLWE暗号文ｃｔ’に対してテストベクタ多項式ＴＢを用いたGate Bootstrappingを行って暗号文ｃｚを得ることが出来る。

入力される３つの暗号文が二進数のシンボル０又は１、つまり区間０±１／３６又は１／６±１／３６であるとき、第１演算部１２によるｃａ＋ｃｂ＋ｃｃ＋１／１２の演算結果は、以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋０＝０）
⇒０＋０＋０＋１／１２＝１／１２
ｃａが０、ｃｂが０、ｃｃが１／６（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋１＝１）
⇒０＋０＋１／６＋１／１２＝１／４（３／１２）
ｃａが０、ｃｂが１／６、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋０＝１）
⇒０＋１／６＋０＋１／１２＝１／４（３／１２）
ｃａが０、ｃｂが１／６、ｃｃが１／６（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋１＝２）
⇒０＋１／６＋１／６＋１／１２＝５／１２
ｃａが１／６、ｃｂが０、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋０＋０＝１）
⇒１／６＋０＋０＋１／１２＝１／４（３／１２）
ｃａが１／６、ｃｂが０、ｃｃが１／６（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋０＋１＝２）
⇒１／６＋０＋１／６＋１／１２＝５／１２
ｃａが１／６、ｃｂが１／６、ｃｃが０（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋１＋０＝２）
⇒１／６＋１／６＋０＋１／１２＝５／１２
ｃａが１／６、ｃｂが１／６、ｃｃが１／６（ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで１＋１＋１＝３）
⇒１／６＋１／６＋１／６＋１／１２＝７／１２
演算結果となる暗号文は平文として１／１２、１／４、５／１２、７／１２を有する。

第１Bootstrapping部１５によるGate Bootstrappingでは、ｃａ、ｃｂ、ｃｃが全て二進数のシンボルで１の場合にのみ、ｃａ＋ｃｂ＋ｃｃ＝３から二進数のシンボルで３になり、このときｃａ＋ｃｂ＋ｃｃの計算結果は左半面（円周群{Ｔ}の上半分）に対応する。
円周群{Ｔ}の上半分（０．５～１）では、テストベクタ多項式における下位の項Ｘ^{ｎ／３－１}～…Ｘ^０は係数の符号がマイナスに転じている。
従って、テストベクタ多項式ＴＡのμ２Ｘ^{２ｎ／３－１}～μ２Ｘ^０における下位のμ２Ｘ^{ｎ／３－１}～μ２Ｘ^０はμ２＝－１／１２に－１を乗算した１／１２となっている。このときの係数の値にさらに（０，１／１２）を加算して、繰り上げ出力Ｃｏの暗号文ｃｙの平文として１／６を得る。（０，１／１２）は平文が１／１２となる自明な暗号文である。
またテストベクタ多項式ＴＢにおける下位の項μ１Ｘ^{ｎ／３－１}～μ１Ｘ^０における係数は、μ１＝－１／１２に－１を乗算した１／１２となっている。このときの係数の値にさらに（０，１／１２）を加算して、全加算器の和（出力Ｓ）の暗号文ｃｚの平文として１／６を得る。
得られた暗号文ｃｙ、暗号文ｃｚは何れも平文として０又は１／６を有しており、正しく桁上げ出力Ｃｏと全加算器の和（出力Ｓ）が計算されたことが分かる。

［ＡＯＩ２１、ＯＡＩ２１ゲートへの適用］
上記に説明した全加算器に関する［変形例］と同様の手法をＡＯＩ２１ゲート、ＯＡＩ２１に適用して高速化することもできる。
ＡＯＩ２１ゲートは、ＡＮＤ－ＯＲ－ＩＮＶＥＲＴ２－１ゲートの略であり、入力Ａ、Ｂ、Ｃに対して、Ｄ１＝ＮＯＴ（ＯＲ（Ａ，ＡＮＤ（Ｂ，Ｃ）））を出力する。以下の説明では、ＡＯＩ２１ゲートを単にＡＯＩゲートと記載する。

図９は、ＡＯＩゲートの構成を例示する図である。
図９は、論理演算素子によるハードウェア回路でＡＯＩゲートを説明しているが、ＡＯＩゲートをソフトウェアで実装したＣＰＵが実行するＡＯＩゲートプログラムであると考えてもよい。
Bit-wise型の準同型暗号の処理をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
ＡＯＩゲート６０は、１つのＡＮＤ回路部（ＡＮＤを得るための演算処理部）６１と、１つのＯＲ回路部（ＯＲを得るための演算処理部）６２と、を備える。
ＡＮＤ回路部６１とＯＲ回路部６２は夫々暗号文同士の準同型演算を行う演算部と、演算結果の誤差を減少させるGate Bootstrappingを行う算出部と、を備えている。
入力Ｂと入力ＣがＡＮＤ回路部６１に入力され、ＡＮＤ回路部６１の出力と入力Ａと、が後段のＯＲ回路部６２に入力され、ＯＲ回路部６２からはＡＯＩ出力Ｄ１が出力される。
ＡＯＩゲートは、以下の真偽値を有する。

一方、ＯＡＩ２１ゲートは、ＯＲ－ＡＮＤ－ＩＮＶＥＲＴ２－１ゲートの略であり、入力Ａ、Ｂ、Ｃに対してＤ２＝ＮＯＴ（ＯＲ（Ａ，ＡＮＤ（Ｂ，Ｃ）））を出力する。以下の説明では、ＯＡＩ２１ゲートを単にＯＡＩゲートと記載する。
図１０は、ＯＡＩゲートの構成を例示する図である。
図１０は、論理演算素子によるハードウェア回路でＯＡＩゲートを説明しているが、ＯＡＩゲートをソフトウェアで実装したＣＰＵが実行するＯＡＩゲートプログラムであると考えてもよい。
Bit-wise型の準同型暗号の処理をソフトウェアで実装するとき、暗号文に対して論理回路（論理ゲート）を設計するイメージで演算を行う。
ＯＡＩゲート７０は、１つのＯＲ回路部（ＯＲを得るための演算処理部）７１と、１つのＡＮＤ回路部（ＡＮＤを得るための演算処理部）７２と、を備える。
ＯＲ回路部７１とＡＮＤ回路部７２は夫々暗号文同士の準同型演算を行う演算部と、演算結果の誤差を減少させるGate Bootstrappingを行う算出部と、を備えている。
入力Ｂと入力ＣがＯＲ回路部７１に入力され、ＯＲ回路部７１の出力と入力Ａと、が後段のＡＮＤ回路部７２に入力され、ＡＮＤ回路部７２からはＯＡＩ出力Ｄ２が出力される。
ＯＡＩゲートは、以下の真偽値を有する。

図１１は、ＡＯＩゲート、ＯＡＩゲートを実現する暗号処理装置の機能構成を説明する図である。
暗号処理装置１は、制御部１０と、記憶部２０と、通信部２５と、入力部２６と、を備える。
制御部１０は、受付部１１と、第４演算部３１と、第４Bootstrapping部（第４算出部）３２と、出力部１８と、を備えている。
第４演算部３１と、第４Bootstrapping部（第４算出部）３２以外の構成は、図２と同じであるため説明を省略する。
第４演算部３１は、受付部１１が受け付けた２値３入力の暗号文に対して、第４準同型演算を行う。
第４演算部３１は、図９、図１０で説明した論理ゲート（ＡＮＤ回路部、ＸＯＲ回路部、ＮＯＴ回路部）によるＡＯＩゲート、ＯＡＩゲートの演算（準同型演算）をソフトウェアで実現する演算処理部である。第４演算部３１は、ハードウェアで実現されてもよい。

第４Bootstrapping部３２は、第４演算部３１の演算結果に対して下記に説明する２値Gate Bootstrapping処理を行い、ＡＯＩゲート、ＯＡＩゲートの出力Ｄ１、Ｄ２として２値を取り得る新たな暗号文を出力する。

図１２は、図１１の機能構成に基づくＡＯＩゲート、ＯＡＩゲートの演算プロセスを詳しく説明する図である。
図１２の説明において、暗号処理装置１に入力される暗号文ｃａ、ｃｂ、ｃｃは、いずれも上記論文に示されるTLWE暗号文である。
下記に詳しく説明するが、TLWE暗号は、０又はμ（非０）の値を平文として有するBit-wise型の完全準同型暗号である。
論理ゲートを用いた論理演算によって様々な演算を行うことができる。
また後述するように、TLWE暗号文は、二進数のシンボル０又は１に対応する所定の値に所定の分散を持つ誤差を与えた値を平文として２値を有し、復号することなく論理演算が可能である。

図１２に示す構成では、非特許文献１の論文（上記論文）で提示された（２値）Gate Bootstrappingを使用する。
上記論文で提示されているTFHEのGate Bootstrappingについては下記に詳述する。
入力された暗号文ｃａ、ｃｂ、ｃｃを第４演算部３１に入力して準同型演算を行い、その演算結果（暗号文ｃｔ＝暗号文ｃａ×２＋ｃｂ＋ｃｃ）を２値Gate Bootstrappingを行う第１Bootstrapping部１５に入力する。
第１Bootstrapping部１５の出力は、平文として２値（０，μ）の何れかを取り得る、
ＡＯＩゲートの出力Ｄ１の暗号文ｄｃ１、又はＯＡＩゲートの出力Ｄ２の暗号文ｄｃ２である。

＜ＡＯＩ２１ゲートの演算処理＞
ＡＯＩ２１ゲートの入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。
これらの暗号文は、夫々特別に設定したシステムパラメータによるTLWE暗号文であり、Gate Bootstrappingにより生成された又は新規に暗号化されたものである。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、何れも平文として０又は１／６を有し、平文に付加される誤差は±１／４８の範囲に含まれる。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、夫々０が二進数のシンボル０に対応し、１／６がシンボル１に対応する。

まず暗号処理装置１（第４演算部３１）は、２×ｃａ＋ｃｂ＋ｃｃ＋（０，１／１２）を計算する。（０，１／１２）は、平文が１／１２となる自明なTLWE暗号文である。
２×ｃａ＋ｃｂ＋ｃｃ＋（０，１／１２）の演算結果は以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋０＝０）
⇒２×０＋０＋０＋１／１２＝１／１２
ｃａが０、ｃｂが０、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋１＝１）
⇒２×０＋０＋１／６＋１／１２＝３／１２
ｃａが０、ｃｂが１／６、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋０＝１）
⇒２×０＋１／６＋０＋１／１２＝３／１２
ｃａが０、ｃｂが１／６、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋１＝２）
⇒２×０＋１／６＋１／６＋１／１２＝５／１２
ｃａが１／６、ｃｂが０、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋０＋０＝２）
⇒２×１／６＋０＋０＋１／１２＝５／１２
ｃａが１／６、ｃｂが０、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋０＋１＝３）
⇒２×１／６＋０＋１／６＋１／１２＝７／１２
ｃａが１／６、ｃｂが１／６、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋１＋０＝３）
⇒２×１／６＋１／６＋０＋１／１２＝７／１２
ｃａが１／６、ｃｂが１／６、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋１＋１＝４）
⇒２×１／６＋１／６＋１／６＋１／１２＝９／１２
平文として、１／１２、３／１２、５／１２、７／１２、９／１２の５つのいずれかを有し、平文に付加される誤差が±１／１６の範囲内に含まれるTLWE暗号文ｃｔが得られる。

暗号処理装置１（第３Bootstrapping部１７）は、TLWE暗号文ｃｔに対して、上記論文に沿ったGate Bootstrapping処理を行う。
ただし、Gate Bootstrappingにおいて、暗号処理装置１は、以下の多項式をテストベクタとしたBlindRotateを行う。
Ｔｘ＝μ１Ｘ^{（ｎ－１）}＋μ１Ｘ^{（ｎ－２）}＋…＋μ１Ｘ^{（２／３ｎ）}＋μ２Ｘ^{（２／３ｎ－１）}＋…μ２
ただし、μ１＝－１／１２、μ２＝１／１２
SampleExtract直後の段階で得られるTLWE暗号文は、
ｃａが０、ｃｂが０、ｃｃが０⇒１／１２
ｃａが０、ｃｂが０、ｃｃが１／６⇒１／１２
ｃａが０、ｃｂが１／６、ｃｃが０⇒１／１２
ｃａが０、ｃｂが１／６、ｃｃが１／６⇒－１／１２
ｃａが１／６、ｃｂが０、ｃｃが０⇒－１／１２
ｃａが１／６、ｃｂが０、ｃｃが１／６⇒－１／１２
ｃａが１／６、ｃｂが１／６、ｃｃが０⇒－１／１２
ｃａが１／６、ｃｂが１／６、ｃｃが１／６⇒－１／１２
から平文として１／１２又は－１／１２を有する。
これに（０，１／１２）を加えてキースイッチングを行うと、平文として０又は１／６を有するTLWE暗号文ｃｙが得られる。夫々０が二進数のシンボル０に対応し、１／６がシンボル１に対応する。
以下は、入力された暗号文に応じたTLWE暗号文ｃｙが取り得るシンボルを示す真理値表である。

上記したＡＯＩ２１ゲートと同じ演算結果となっており、正しくＡＯＩ２１ゲートの演算が出来たことが分かる。

＜ＯＡＩ２１ゲートの演算処理＞
ＯＡＩ２１ゲートの入力Ａ、Ｂ、Ｃに夫々対応するTLWE暗号文ｃａ、ｃｂ、ｃｃがあるとする。
これらの暗号文は、夫々特別に設定したシステムパラメータによるTLWE暗号文であり、Gate Bootstrappingにより生成された又は新規に暗号化されたものである。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、何れも平文として０又は１／６を有し、平文に付加される誤差は±１／４８の範囲に含まれる。
TLWE暗号文ｃａ、ｃｂ、ｃｃは、夫々０が二進数のシンボル０に対応し、１／６がシンボル１に対応する。

まず暗号処理装置１（第４演算部３１）は、２×ｃａ＋ｃｂ＋ｃｃ＋（０，１／１２）を計算する。（０，１／１２）は、平文が１／１２となる自明なTLWE暗号文である。
２×ｃａ＋ｃｂ＋ｃｃ＋（０，１／１２）の演算結果は以下のとおりである。
ｃａが０、ｃｂが０、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋０＝０）
⇒２×０＋０＋０＋１／１２＝１／１２
ｃａが０、ｃｂが０、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋０＋１＝１）
⇒２×０＋０＋１／６＋１／１２＝３／１２
ｃａが０、ｃｂが１／６、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋０＝１）
⇒２×０＋１／６＋０＋１／１２＝３／１２
ｃａが０、ｃｂが１／６、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで０＋１＋１＝２）
⇒２×０＋１／６＋１／６＋１／１２＝５／１２
ｃａが１／６、ｃｂが０、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋０＋０＝２）
⇒２×１／６＋０＋０＋１／１２＝５／１２
ｃａが１／６、ｃｂが０、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋０＋１＝３）
⇒２×１／６＋０＋１／６＋１／１２＝７／１２
ｃａが１／６、ｃｂが１／６、ｃｃが０（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋１＋０＝３）
⇒２×１／６＋１／６＋０＋１／１２＝７／１２
ｃａが１／６、ｃｂが１／６、ｃｃが１／６（２×ｃａ＋ｃｂ＋ｃｃは二進数のシンボルで２＋１＋１＝４）
⇒２×１／６＋１／６＋１／６＋１／１２＝９／１２
平文として、１／１２、３／１２、５／１２、７／１２、９／１２の５つのいずれかを有し、平文に付加される誤差が±１／１６の範囲内に含まれるTLWE暗号文ｃｔが得られる。

暗号処理装置１（第３Bootstrapping部１７）は、TLWE暗号文ｃｔに対して、上記論文に沿ったGate Bootstrapping処理を行う。
ただし、Gate Bootstrappingにおいて、暗号処理装置１は、以下の多項式をテストベクタとしたBlindRotateを行う。
Ｔｘ＝μＸ^{（ｎ－１）}＋…＋μ
ただし、μ＝１／１２
SampleExtract直後の段階で得られるTLWE暗号文は、
ｃａが０、ｃｂが０、ｃｃが０⇒１／１２
ｃａが０、ｃｂが０、ｃｃが１／６⇒１／１２
ｃａが０、ｃｂが１／６、ｃｃが０⇒１／１２
ｃａが０、ｃｂが１／６、ｃｃが１／６⇒１／１２
ｃａが１／６、ｃｂが０、ｃｃが０⇒１／１２
ｃａが１／６、ｃｂが０、ｃｃが１／６⇒－１／１２
ｃａが１／６、ｃｂが１／６、ｃｃが０⇒－１／１２
ｃａが１／６、ｃｂが１／６、ｃｃが１／６⇒－１／１２
から平文として１／１２又は－１／１２を有する。
これに（０，１／１２）を加えてキースイッチングを行うと、平文として０又は１／６を有するTLWE暗号文ｃｙが得られる。夫々０が二進数のシンボル０に対応し、１／６がシンボル１に対応する。
以下は、入力された暗号文に応じたTLWE暗号文ｃｙが取り得るシンボルを示す真理値表である。

上記したＯＡＩ２１ゲートと同じ演算結果となっており、正しくＯＡＩ２１ゲートの演算が出来たことが分かる。

図９に示すＡＯＩゲートのように、２値Gate Bootstrappingを用いてＡＯＩゲートの演算を行う場合、ＡＮＤ回路部６１、ＯＲ回路部６２の後段で夫々１回、全体で２回Gate Bootstrappingを実行する必要がある。
図１０に示すＯＡＩゲートのように、２値Gate Bootstrappingを用いてＯＡＩゲートの演算を行う場合、ＡＮＤ回路部７１、ＯＲ回路部７２の後段で夫々１回、全体で２回Gate Bootstrappingを実行する必要がある。
それに対して、本実施形態の暗号処理装置１では、ＡＯＩゲート、ＯＡＩゲートの演算において、第４演算部３１に２値の暗号文を３つ入力し、Gate Bootstrappingを改良することにより、準同型演算処理の回数を全体で１回に減らしている。
その結果、暗号処理装置１では、準同型演算処理のほぼ全てを占めるGate Bootstrappingの回数を全体で１回に減らすることが出来る。したがって、図９、図１０に示すＡＯＩゲート、ＯＡＩゲートと比較して、暗号処理装置１は、計算処理時間を約５０％削減することが出来る。
以上のように、完全準同型暗号に関するＡＯＩゲート、ＯＡＩゲートの演算時間のほぼ全てをGate Bootstrappingが占めるので、暗号処理装置１は、Gate Bootstrappingの回数を削減することによって、ＡＯＩゲート、ＯＡＩゲートの演算を著しく高速化することが出来る。

図１３は、暗号処理装置が実行するＡＯＩゲート、ＯＡＩゲートの演算処理の流れを説明するフローチャートである。
暗号処理装置１（受付部１１）は、ステップＳ３０１において、演算対象の暗号文が入力されたか否かを受け付けたかを判定する。
暗号文が入力されたと判定した場合（ステップＳ３０１でＹｅｓ）、暗号処理装置１（受付部１１）は、ステップＳ３０２において、暗号文を受けつけ記憶部２０に格納する。
次に、暗号処理装置１（第４演算部３１）は、ステップＳ３０３において、暗号文を用いて準同型演算を行い、演算結果を記憶部２０に格納する。
暗号処理装置１（第４算出部３２）は、ステップＳ３０４において、演算結果に対してGate Bootstrappingを行い、平文として２値を有するＡＯＩゲート、ＯＡＩゲートの出力Ｄ１、Ｄ２の暗号文ｄｃ１、ｄｃ２を算出し、記憶部２０に格納する。
第４演算部３１、第４算出部３２による処理では以下の演算が行われる。
この演算は、平文として２値を有する３つの暗号文ｃａ、ｃｂ、ｃｃの入力を受け付け、２×ｃａ＋ｃｂ＋ｃｃ＋１／１６からTLWE暗号文ｃｔを算出し、これをGate Bootstrappingして、ＡＯＩゲート、ＯＡＩゲートの出力Ｄ１、Ｄ２の暗号文ｄｃ１、ｄｃ２を得るものである。

例えば、入力される３つの暗号文が二進数のシンボル０又は１、つまり区間０±１／４８または１／６±１／４８で、第４演算部３１がステップＳ１０３の演算を行うとき以下の演算を行う。
ｃａが０、ｃｂが０、ｃｃが０
⇒２×０±１／４８＋０±１／４８＋０±１／４８＋１／１６＝１／１６±１／１６
ｃａが０、ｃｂが０、ｃｃが１
⇒２×０±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝３／１６±１／１６
ｃａが０、ｃｂが１、ｃｃが０
⇒２×０±１／４８＋１／８±１／４８＋０±１／４８＋１／１６＝３／１６±１／１６
ｃａが０、ｃｂが１、ｃｃが１／４
⇒２×０±１／４８＋１／８±１／４８＋１／８±１／４８＋１／１６＝５／１６±１／１６
ｃａが１、ｃｂが０、ｃｃが０
⇒２×１／８±１／４８＋０±１／４８＋０±１／４８＋１／１６＝５／１６±１／１６
ｃａが１／４、ｃｂが０、ｃｃが１
⇒２×１／８±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝７／１６±１／１６
ｃａが１、ｃｂが１、ｃｃが０
⇒２×１／８±１／４８＋０±１／４８＋１／８±１／４８＋１／１６＝７／１６±１／１６
ｃａが１、ｃｂが１、ｃｃが１
⇒２×１／８±１／４８＋１／８±１／４８＋１／８±１／４８＋１／１６＝９／１６±１／１６
得られた暗号文ｃｔは、平文として１／１６、３／１６、５／１６、７／１６、９／１６の５つのいずれかを有し、平文に付加される誤差は±１／１６の範囲に含まれる。
ステップＳ２０４の処理として第４算出部３２がGate Bootstrappingを行うと、平文として０又は１／８を有し、平文に付加される誤差が±１／４８の範囲内に含まれる暗号文ｄｃ１又はｄｃ２の出力が得られる。これらを夫々ＡＯＩゲートの出力Ｄ１又はＯＡＩゲートの出力Ｄ２とする。

以上説明をしたように、TLWE暗号文の平文に付加する誤差範囲を小さくすることによって、準同型演算の回数を削減することができ、準同型演算後のGate Bootstrappingの回数も１回にまで削減することが出来る。
本明細書において主に説明している全加算器の高速化のみならず、平文に付加する誤差範囲を小さくすること適用することで上記のＡＯＩゲートやＯＡＩゲートの演算も著しく高速化することができ、これらを用いたＣＭＯＳ回路のシミュレーションも高速化することが出来る。

図１４は、本実施形態のGate Bootstrappingに入出力される暗号文を示す図である。
上記の説明では、図１９（ａ）に示すように、BlindRotate、SampleExtract、キースイッチングの順番でGate Bootstrappingを行うように説明をしていた。
それに限らず、図１４（ｂ）に示すように、Gate Bootstrappingにおいてキースイッチングを最初に実行し、その後で、BlindRotateとSampleExtractを行うことが出来る。
TLWE暗号文にはセキュリティ強度に応じたレベルの概念がある。
図１４（ａ）のGate Bootstrappingでは入出力となるTLWE暗号文はLEVEL0である。LEVEL0のTLWE暗号文に対してBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractによって得られるTLWE暗号文はLEVEL1となるが、キースイッチングの結果、LEVEL0のTLWE暗号文が出力される。
それに対して図１４（ｂ）に示す方法では、Gate Bootstrappingの入出力となるTLWE暗号文をLEVEL1とし、最初にキースイッチングを行ってLEVEL0に下げた状態でBlindRotateを行い、その出力のTRLWE暗号文に対するSampleExtractを行うとLEVEL1のTLWE暗号文が出力される。

LEVEL0の暗号文は、Ｎ次の秘密鍵［ｓ］で暗号化された円周群{Ｔ}上の要素のＮ次のベクトル［ａ］よりなっている。一方、SampleExtractの結果得られるLEVEL1の暗号文は、ｎ次の秘密鍵［ｓ’］で暗号化された円周群{Ｔ}上の要素のｎ次のベクトル［ａ'］よりなっている。
LEVEL0の暗号文は、LWE問題の難易度となる係数の数（ベクトルの次数）がLEVEL1の暗号文よりも少ないので、LEVEL1と比較して準同型加算の計算量が少ない。
一方でLEVEL0の暗号文は、上記の実施例のように２値３入力の準同型演算を可能とするために平文に付加する許容誤差を小さくすると、セキュリティ強度が下がりやすい問題がある。LWE系暗号は、平文に付加する誤差によって安全性が担保されるからである。
TLWE暗号は、平文に付加する誤差が大きいほど、係数の数（ベクトルの次数）が多いほど計算（解読）が難しい。
裏を返すと、TLWE暗号は、平文に付加する誤差が小さいほど、係数の数（ベクトルの次数）が少ないほど、計算（解読）が容易となるのである。
誤差を小さくする場合には暗号文の係数の数（ベクトルの次数）を上げてセキュリティを確保する必要がある。

実施例では、平文に付加する誤差を±１／２４などと小さくすることによって２値３入力の準同型演算によってBlindRotateの回数を減らし、MUX演算を高速化する。平文に付加する誤差を小さくすることで計算（解読）が容易となった暗号文のセキュリティを確保するために、キースイッチングをGate Bootstrappingの先頭に移動し、係数の数（ベクトルの次数）が多く誤差の範囲を小さくしやすいLEVEL1の暗号文をGate Bootstrappingの入出力とすることが望ましい。そして、Gate Bootstrappingの先頭でLEVEL0に変換してから、最後にLEVEL0に戻さないようにする。
BlindRotateの所要時間は、入力となるTLWE暗号文の係数の数（ベクトルの次数）に比例する。よって、LEVEL1の暗号文を入力とした場合は、LEVEL0の暗号文を入力とした場合よりも、係数の数（ベクトルの次数）に比例してBlindRotateの所要時間が長くなる。
暗号文のセキュリティを確保するためにLEVEL1の暗号文をGate Bootstrappingの入力としても、キースイッチングで変換したLEVEL0のTLWE暗号文を入力としてBlindRotateを行うことで、所要時間の増加を避けることが出来る。
Gate Bootstrappingの入出力をLEVEL1のTLWE暗号文とする方法は、実施例のような２値３入力の準同型演算を行う場合に限らず、２値２入力の準同型演算の場合にも適用可能である。LEVEL0に戻さないことで、次段でのTLWE暗号文の計算でも同様に、安全に多値入力を行って高速に処理を行うことが出来る。

また、平文に付加する誤差を±１／２４などにすることには、上記のセキュリティ強度の以外に復号時エラーの問題もある。
本実施形態の構成では、Gate Bootstrappingの処理時間の大半を占めるBlindRotateを１回で済ますことができるが、誤差範囲をより小さくとる必要があるため、セキュリティ強度が低下したり、復号エラー率が上がったりする問題もある。
TFHE含めLWE系の準同型暗号では平文に付加する誤差は正規分布で分布しており、厳密に「誤差の範囲」を設定することはできない。
０付近に集中することに変わりはないが、原理的には、誤差を指定範囲により多く集中させることが出来るのみである。
例えば、平文に付加する誤差を±１／２４以内と設定しても、その範囲外の誤差が付加される可能性が数パーセント存在する。
設定した範囲から誤差がはみ出した場合、その平文は別の平文として解釈されるため、予期せぬ計算結果が得られる可能性がある。
計算自体ができなくなるのではなく異なる結果が得られるのみである。異なる計算結果が得られる確率をどの程度許容できるかは、準同型暗号を応用するアプリケーション次第である。

本実施形態では、平文に付加する誤差を±１／２４と設定するようにシステムパラメータを変更することで、計算にエラーが発生する確率を抑える、BlindRotateの数を減らして計算を高速化する、セキュリティを高く保つ、という３つの目標をバランスよく解決することが出来る。
これらのバランスが最もとれるように、誤差範囲の重なりが一定値内に収まるように誤差となるようにシステムパラメータを設定することが必要である。

なお、本実施形態を適用するシステムや装置に応じて、特に重視する条件を満たすように誤差を設定してもよい。
演算の高速化を重視する場合には、平文に付加する誤差を±１／３２の範囲内に設定することで２値４入力などの準同型演算も可能となる。
異なる計算結果が得られる可能性をある程度許容できるアプリケーションであれば、誤差範囲が重なる可能性はある程度許容しつつ、２値３入力として計算を高速化しながら、誤差を±１／１６以内と大きくとってセキュリティを保つことも出来る。
例えば、平文に付加する誤差を±１／１６以内と設定してある上記論文のパラメータを用いても、原理上、２値３入力の準同型演算で全加算器を高速化する本実施形態の構成は可能である。設定範囲から誤差がはみ出し、異なる計算結果が得られる確率が上がるのみである。

［応用例］
暗号処理装置１が行う全加算器の高速化は、以下のように応用することが出来る。
例えば、フィールドやレコードがTLWE暗号で暗号化されているデータベースから、特定のフィールドが一定の範囲内のものを集約したい場合（例えば、３０～３９歳の平均年収を求めたい場合など）を考える。
このとき、暗号処理装置１は暗号化されたデータベースを管理するデータベースサーバであり、ネットワーク等を介して接続された端末装置から、TLWE暗号で暗号化されたクエリを受け付け、クエリに対する応答を、TLWE暗号で暗号化した状態で端末装置に返却する。
暗号化されたデータベースではインデックスを作成することができないため、データベース全体に対する比較と集約が必要である。

暗号処理装置１０は、全加算器を実現する第１演算部１２、第２演算部１３、第３演算部１４、第１Bootstrapping部１５、第２Bootstrapping部１６、第３Bootstrapping部１７の機能によって、暗号化されたデータベースの全てのレコードをクエリと比較する比較演算を行う。
比較演算は、レコードとクエリの暗号文同士で減算を行うことであり、減算結果の正負が比較演算の等価となる。
暗号処理装置１はさらに、比較演算でクエリと一致したレコードに対する集約演算を行うことが出来る。
集約演算において、暗号処理装置１は、比較演算でクエリと一致したレコードを加算して合計を演算し、さらに除算を用いて平均値を求める。
このように、暗号化されたデータベースに対するクエリの処理には、暗号文を構成する整数同士の加算、減算、乗算、除算などの四則演算、や比較（比較は減算結果の正負と等価である）を行う必要がある。そして、処理には全加算器演算が多用されることが考えられる。そして、扱う整数のビット長が大きくなれば必要となる全加算器の数も増加する。
全加算器の演算を、上記に説明した論理演算の回数ひいてはGate Bootstrappingの回数を減らして高速化すことによって、クエリの実行時間を著しく低減することが可能となる。
四則演算とは、入力された暗号文を用いた順列を二進数で表記した際の各ビットの暗号文とみなした暗号化された数値同士に対して準同型な四則演算である。

このようなデータベースの集約に限らず、整数同士の四則演算や比較は、暗号文を用いた様々なデータ処理で多用される。
他の例として、ファジー認証やファジー検索が挙げられる。
ファジー認証は、例えば生体認証データを使った生体認証であり、生涯不変の生体認証データは暗号化して秘匿するのが絶対条件である。
ファジー認証は、認証要求として提示された生体認証データとデータベースに登録された生体認証データとの対応に基づいて認証をするものであるが、両者の完全な一致ではなく、閾値付きで一致するか否かを判定する。
ファジー検索は、クエリとレコードが完全に一致しなくても、クエリに近しいデータをデータベースから検索結果として提示する、曖昧な検索方法である。
ファジー認証やファジー検索では、上記の暗号化されたデータベースにおける比較演算・集約演算と同様に、暗号化されたデータベースとクエリとの比較を行い、その際には、準同型暗号により暗号化されたデータで比較演算を行う必要がある。
特にファジー認証やファジー検索では、整数同士の加算、減算、乗算、除算や比較は処理時間の大半を占めるため、それらに用いられる全加算器の演算を高速化することによって処理時間の短縮に大きな効果を奏し得る。

またファジー認証やファジー検索において比較を行う際、ユークリッド距離が用いられることが多い。ユークリッド距離を演算する際には２乗の演算が必要となる。従って、Bit-wise型の準同型暗号では、乗算を行う際にデータのビット長に対して、Ｏ（Ｎ^２）の全加算器を演算しなければならない。また単純な減算による比較演算でも、Ｏ（Ｎ）の全加算器を演算する必要がある。そのため、全加算器の演算を高速化することによって、ファジー認証やファジー検索に要する処理時間を大幅に低減することが出来る。

図１５は、コンピュータ装置の一実施例を示すブロック図である。
図１５を参照して、コンピュータ装置１００の構成について説明する。
コンピュータ装置１００は、例えば、各種情報を処理する暗号処理装置である。そして、コンピュータ装置１００は、制御回路１０１と、記憶装置１０２と、読書装置１０３と、記録媒体１０４と、通信インターフェイス１０５と、入出力インターフェイス１０６と、入力装置１０７と、表示装置１０８とを含む。また、通信インターフェイス１０５は、ネットワーク２００と接続される。そして各構成要素は、バス１１０により接続される。
暗号処理装置１は、コンピュータ装置１００に記載の構成要素の一部又は全てを適宜選択して構成することができる。

制御回路１０１は、コンピュータ装置１００全体の制御をする。制御回路１０１は、例えば、Central Processing Unit（ＣＰＵ）、Field Programmable Gate Array（ＦＰＧＡ）、Application Specific Integrated Circuit（ＡＳＩＣ）及びProgrammable Logic Device（ＰＬＤ）などのプロセッサである。制御回路１０１は、例えば、図２、図１１における制御部１０として機能する。

記憶装置１０２は、各種データを記憶する。そして、記憶装置１０２は、例えば、Read Only Memory（ＲＯＭ）及びRandom Access Memory（ＲＡＭ）などのメモリや、Hard Disk（ＨＤＤ）、Solid State Drive（ＳＳＤ）などである。記憶装置１０２は、制御回路１０１を、図２における制御部１０として機能させる情報処理プログラムを記憶してもよい。記憶装置１０２は、例えば、図２、図１１における記憶部２０として機能する。

暗号処理装置１は、情報処理を行うとき、記憶装置１０２に記憶されたプログラムをＲＡＭに読み出す。
暗号処理装置１は、ＲＡＭに読み出されたプログラムを制御回路１０１で実行することにより、受付処理、第１演算処理、第２演算処理、第３演算処理、第４演算処理、第１Bootstrapping処理、第２Bootstrapping処理、第３Bootstrapping処理、第４Bootstrapping処理、出力処理のいずれか１以上を含む処理を実行する。
なおプログラムは、制御回路１０１が通信インターフェイス１０５を介してアクセス可能であれば、ネットワーク２００上のサーバが有する記憶装置に記憶されていても良い。

読書装置１０３は、制御回路１０１に制御され、着脱可能な記録媒体１０４のデータのリード／ライトを行なう。
記録媒体１０４は、各種データを保存する。記録媒体１０４は、例えば、情報処理プログラムを記憶する。記録媒体１０４は、例えば、Secure Digital（ＳＤ）メモリーカード、Floppy Disk（ＦＤ）、Compact Disc（ＣＤ）、Digital Versatile Disk（ＤＶＤ）、Blu-ray（登録商標） Disk（ＢＤ）、及びフラッシュメモリなどの不揮発性メモリ（非一時的記録媒体）である。

通信インターフェイス１０５は、ネットワーク２００を介してコンピュータ装置１００と他の装置とを通信可能に接続する。通信インターフェイス１０５は、例えば、図２において、通信部２５として機能する。
入出力インターフェイス１０６は、例えば、各種入力装置と着脱可能に接続するインターフェイスである。入出力インターフェイス１０６と接続される入力装置１０７には、例えば、キーボード、及びマウスなどがある。入出力インターフェイス１０６は、接続された各種入力装置とコンピュータ装置１００とを通信可能に接続する。そして、入出力インターフェイス１０６は、接続された各種入力装置から入力された信号を、バス１１０を介して制御回路１０１に出力する。また、入出力インターフェイス１０６は、制御回路１０１から出力された信号を、バス１１０を介して入出力装置に出力する。入出力インターフェイス１０６は、例えば、図２において、入力部２６として機能する。

表示装置１０８は、各種情報を表示する。ネットワーク２００は、例えば、ＬＡＮ、無線通信、Ｐ２Ｐネットワーク、又はインターネットなどであり、コンピュータ装置１００と他の装置を通信接続する。
なお、本実施形態は、以上に述べた実施形態に限定されるものではなく、本実施形態の要旨を逸脱しない範囲内で種々の構成又は実施形態を取ることができる。

１ 暗号処理装置、１０ 制御部、１１ 受付部、１２ 第１演算部、１３ 第２演算部、１４ 第３演算部、１５ 第１Bootstrap部（算出部）、１６ 第２Bootstrap部（算出部）、１７ 第３Bootstrap部（算出部）、１８ 出力部、２０ 記憶部、２５ 通信部、２６ 入力部、１００ コンピュータ装置、１０１ 制御回路、１０２ 記憶装置、１０３ 読書装置、１０４ 記録媒体、１０５ 通信インターフェイス、１０６ 入出力インターフェイス、１０７ 入力装置、１０８ 表示装置、１１０ バス、２００ ネットワーク

Claims (11)

1. 暗号文を処理する暗号処理装置であって、
   前記暗号処理装置は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま処理する完全準同型暗号の演算をする暗号処理装置であり、３つ以上の暗号文に対して所定の演算に係る準同型演算を行う演算部と、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出する算出部と、を備え、
   前記３つ以上の暗号文は、０または前記所定値の１／４に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第３暗号文とであり、
   前記演算部は、前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／８の第４暗号文を暗号化したまま減算した第５暗号文を求め、
   前記算出部は、前記第５暗号文に応じて第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
   前記演算部は、前記第５暗号文と、前記第５暗号文と、前記所定値の１／４の第８暗号文とを暗号化したまま加算した第９暗号文を求め、
   前記算出部は、前記第９暗号文に応じて前記第１多項式の係数を巡回した第３多項式の第１０暗号文を求め、前記第１０暗号文から前記第９暗号文に対応する平文が得られる、前記第３多項式の係数の第１１暗号文を抽出する、
   ことを特徴とする暗号処理装置。
2. 前記第７暗号文は、桁上げの出力に対応する暗号文であり、
   前記第１１暗号文は、和の出力に対応する暗号文であり、
   前記算出部は、
   前記第５暗号文の平文が０から前記所定値の１／４及び前記所定値の３／４から前記所定値のとき、０に誤差を付与した平文に対応する前記第７暗号文を抽出し、前記第５暗号文の平文が前記所定値の１／４から前記所定値の３／４のとき、前記所定値の１／４に誤差を付与した平文に対応する前記第７暗号文を抽出し、
   前記第９暗号文の平文が０から前記所定値の１／４及び前記所定値の３／４から前記所定値のとき、０に誤差を付与した平文に対応する前記第１１暗号文を抽出し、前記第９暗号文の平文が前記所定値の１／４から前記所定値の３／４のとき、前記所定値の１／２に誤差を付与した平文に対応する前記第１１暗号文を抽出する、
   ことを特徴とする請求項１に記載の暗号処理装置。
3. 前記誤差は、
   前記所定値の１／２４未満の値である
   ことを特徴とする請求項１または２に記載の暗号処理装置。
4. 前記誤差は、
   前記暗号処理装置を応用するアプリケーションにおいて許容される、異なる計算結果が得られる確率に応じた、前記所定値の１／２４以上の値である
   ことを特徴とする請求項１または２に記載の暗号処理装置。
5. 暗号文を処理する暗号処理装置であって、
   前記暗号処理装置は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま処理する完全準同型暗号の演算をする暗号処理装置であり、３つ以上の暗号文に対して所定の演算に係る準同型演算を行う演算部と、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出する算出部と、を備え、
   前記３つ以上の暗号文は、０または前記所定値の１／８に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第３暗号文とであり、
   前記演算部は、前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／１６の第４暗号文を暗号化したまま加算した第５暗号文を求め、
   前記算出部は、前記第５暗号文に応じて前記第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する桁上げの出力の平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
   前記算出部は、前記第５暗号文に応じて第３多項式の係数を巡回した第４多項式の第８暗号文を求め、前記第８暗号文から前記第５暗号文に対応する和の出力の平文が得られる、前記第４多項式の係数の第９暗号文を抽出する、
   ことを特徴とする請求項１に記載の暗号処理装置。
6. 前記誤差は、
   前記所定値の１／４８未満の値である
   ことを特徴とする請求項５に記載の暗号処理装置。
7. 前記誤差は、
   前記暗号処理装置を応用するアプリケーションにおいて許容される、異なる計算結果が得られる確率に応じた、前記所定値の１／４８以上の値である
   ことを特徴とする請求項５に記載の暗号処理装置。
8. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
   前記暗号文は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま演算が可能な完全準同型暗号文であり、
   前記プロセッサは、
   ３つ以上の暗号文に対して所定の演算に係る準同型演算を行い、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出し、
   前記３つ以上の暗号文は、０または前記所定値の１／４に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第３暗号文とであり、
   前記プロセッサは、
   前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／８の第４暗号文を暗号化したまま減算した第５暗号文を求め、
   前記第５暗号文に応じて第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
   前記第５暗号文と、前記第５暗号文と、前記所定値の１／４の第８暗号文とを暗号化したまま加算した第９暗号文を求め、
   前記第９暗号文に応じて前記第１多項式の係数を巡回した第３多項式の第１０暗号文を求め、前記第１０暗号文から前記第９暗号文に対応する平文が得られる、前記第３多項式の係数の第１１暗号文を抽出する、
   ことを特徴とする暗号処理方法。
9. プロセッサによって実行される、暗号文を処理する暗号処理方法であって、
   前記暗号文は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま演算が可能な完全準同型暗号文であり、
   前記プロセッサは、
   ３つ以上の暗号文に対して所定の演算に係る準同型演算を行い、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出し、
   前記３つ以上の暗号文は、０または前記所定値の１／８に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第３暗号文とであり、
   前記プロセッサは、
   前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／１６の第４暗号文を暗号化したまま加算した第５暗号文を求め、
   前記第５暗号文に応じて前記第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する桁上げの出力の平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
   前記第５暗号文に応じて第３多項式の係数を巡回した第４多項式の第８暗号文を求め、前記第８暗号文から前記第５暗号文に対応する和の出力の平文が得られる、前記第４多項式の係数の第９暗号文を抽出する、
   ことを特徴とする暗号処理方法。
10. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    前記暗号文は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま演算が可能な完全準同型暗号文であり、
    前記プロセッサは、
    ３つ以上の暗号文に対して所定の演算に係る準同型演算を行い、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出し、
    前記３つ以上の暗号文は、０または前記所定値の１／４に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／４に誤差を付与した平文に対応する第３暗号文とであり、
    前記プロセッサは、
    前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／８の第４暗号文を暗号化したまま減算した第５暗号文を求め、
    前記第５暗号文に応じて第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
    前記第５暗号文と、前記第５暗号文と、前記所定値の１／４の第８暗号文とを暗号化したまま加算した第９暗号文を求め、
    前記第９暗号文に応じて前記第１多項式の係数を巡回した第３多項式の第１０暗号文を求め、前記第１０暗号文から前記第９暗号文に対応する平文が得られる、前記第３多項式の係数の第１１暗号文を抽出する、
    ことを特徴とする暗号処理プログラム。
11. 暗号文を処理する暗号処理方法をプロセッサに実行させる暗号処理プログラムであって、
    前記暗号文は、０から所定値までの値を巡回する巡回群上の値を暗号化したまま演算が可能な完全準同型暗号文であり、
    前記プロセッサは、
    ３つ以上の暗号文に対して所定の演算に係る準同型演算を行い、前記準同型演算の結果となる暗号文に対して第１多項式を用いることにより、新たな暗号文を算出し、
    前記３つ以上の暗号文は、０または前記所定値の１／８に誤差を付与した平文に対応する第１暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第２暗号文と、０または前記所定値の１／８に誤差を付与した平文に対応する第３暗号文とであり、
    前記プロセッサは、
    前記第１暗号文と前記第２暗号文と前記第３暗号文とを暗号化したまま加算して、前記所定値の１／１６の第４暗号文を暗号化したまま加算した第５暗号文を求め、
    前記第５暗号文に応じて前記第１多項式の係数を巡回した第２多項式の第６暗号文を求め、前記第６暗号文から前記第５暗号文に対応する桁上げの出力の平文が得られる、前記第２多項式の係数の第７暗号文を抽出し、
    前記第５暗号文に応じて第３多項式の係数を巡回した第４多項式の第８暗号文を求め、前記第８暗号文から前記第５暗号文に対応する和の出力の平文が得られる、前記第４多項式の係数の第９暗号文を抽出する、
    ことを特徴とする暗号処理プログラム。

Images