JP2024063125A

JP2024063125A - プライベート情報検索に応用される準同型暗号化方法

Info

Publication number: JP2024063125A
Application number: JP2024029851A
Authority: JP
Inventors: ジェントリー、クレイグ、ブロードウェル; ハレヴィ、シャイ
Original assignee: International Business Machines Corp
Current assignee: International Business Machines Corp
Priority date: 2019-06-18
Filing date: 2024-02-29
Publication date: 2024-05-10
Also published as: BR112021025744A2; JP7486529B2; MX2021014837A; EP3984160B1; US11502821B2; US10972252B2; US10985904B2; WO2020254248A1; US20200403772A1; IL288975B2; US11394526B2; US20210111864A1; CN113906712A; CA3143362A1; AU2020294855B2; JP2022537531A; EP3984160C0; EP3984160A1; US20200403781A1; AU2020294855A1

Abstract

【課題】プライベート情報検索に応用される準同型暗号化方法を提供する。【解決手段】暗号化された通信方法は、クライアントが、公開鍵（ｐｋ）をサーバに送信し、サーバが公開鍵を受信する。クライアントは、特に、ガジェット行列又はその変形の使用を含んでいる（Ｆ）ＨＥ暗号化方式７０の鍵を使用して、データを暗号化する。クライアントが、暗号化データをサーバに送信し、サーバが暗号化データを受信する。サーバは、このデータを暗号文としてデータベース２８に格納する。方法はさらに、クライアントが、暗号化された要求及びサーバに格納されている情報に関する照会を生成し、要求及び照会が、（Ｆ）ＨＥ方式によって暗号化される。照会は回路として実現され、クライアントが要求及び照会をサーバに送信し、サーバがそれらの要求及び照会を受信する。【選択図】図１

Description

本発明は、一般に、準同型暗号化（ＨＥ：homomorphic encryption）に関連しており、より詳細には、プライベート情報検索（ＰＩＲ：private information retrieval）に応用される圧縮可能な準同型暗号化および完全準同型暗号化（ＦＨＥ：fully homomorphic encryption）に関連している。

準同型暗号化は、暗号文（暗号化された平文）に対する計算を可能にする暗号化の形態であり、復号されたときに、動作が平文に対して実行されたかのような動作の結果に一致する、暗号化された結果を生成する。それらの動作は、通常、回路によって定義されていると見なされる。さまざまな種類のＨＥが存在するが、完全準同型暗号化（ＦＨＥ）のみが、無制限の深さの任意の回路の評価を可能にする。

ＦＨＥ（およびある程度、他の種類のＨＥ）は、サービス・プロバイダが、結果または結果を導き出すために使用された格納された情報を復号することができずに、暗号化データに対して動作を実行し、ユーザからの照会に対して暗号化された結果を決定できるようにする。これには、特に、医療などの匿名性が重要である領域において、幅広い応用が存在する。

したがって、ＦＨＥの１つの応用は、プライベート情報検索（ＰＩＲ）である。ＰＩＲは、ユーザが、どの項目が取り出されているかを明らかにすることなく、ユーザの個人情報の項目を、（例えば、健康管理情報を含む）データベースを保有しているサーバから取り出すことを可能にする。ＰＩＲを実現するための１つの（例えば、自明な）方法は、サーバがデータベースのコピー全体をユーザに送信することである。この方法は、最新の通信システムを使用し、妥当な大きさのデータベースのための膨大な量のデータを必要とする。

ＦＨＥは、ユーザの照会が暗号化されており、サービス・プロバイダが、結果の内容またはどの項目が取り出されたかを知ることがないため、ＰＩＲに役立つ。しかし、現在のＦＨＥ技術は、計算コストが高く、妥当な大きさのデータベースには非実用的である。

一実施形態例では、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベース内のデータを使用して決定される特定の情報に対する要求を受信することを含む方法が開示され、第１のコンピュータ・システムが、暗号化データまたは暗号化された要求を復号するための復号鍵を持っておらず、少なくともデータの一部が暗号化されているか、または要求が暗号化されている。この方法は、第１のコンピュータ・システムによって、圧縮可能な準同型暗号化動作をデータベース内のデータに対して実行し、データベース内の特定の情報に対応する１つまたは複数の圧縮された暗号文を決定することを含み、圧縮可能な準同型暗号化動作は、第１の非圧縮準同型暗号方式（uncompressed homomorphic encryption scheme）および第２の圧縮準同型暗号方式（compressed homomorphic encryption scheme）を使用する。

圧縮可能な準同型暗号化動作を実行することは、第１の準同型暗号方式をデータに対して使用して、他の複数の暗号文を作成することと、第２の準同型暗号方式を他の複数の暗号文に対して使用して、他の複数の暗号文を、圧縮されたより少ない暗号文に圧縮することとを含み、第１および第２の準同型暗号方式は、両方とも同じ秘密鍵を使用する。この方法は、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することをさらに含み、この応答は、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む。

例示的な装置は、１つまたは複数のプロセッサと、コンピュータ・プログラム・コードを含む１つまたは複数のメモリとを含む。１つまたは複数のメモリおよびコンピュータ・プログラム・コードは、１つまたは複数のプロセッサと共に、装置に、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベース内のデータを使用して決定される特定の情報に対する要求を受信することであって、第１のコンピュータ・システムが、暗号化データまたは暗号化された要求を復号するための復号鍵を持っておらず、少なくともデータの一部が暗号化されているか、または要求が暗号化されている、受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号化動作をデータベース内のデータに対して実行し、データベース内の特定の情報に対応する１つまたは複数の圧縮された暗号文を決定することであって、圧縮可能な準同型暗号化動作が、第１の非圧縮準同型暗号方式および第２の圧縮準同型暗号方式を使用し、圧縮可能な準同型暗号化動作を実行することが、第１の準同型暗号方式をデータに対して使用して、他の複数の暗号文を作成することと、第２の準同型暗号方式を他の複数の暗号文に対して使用して、他の複数の暗号文を、圧縮されたより少ない暗号文に圧縮することとを含み、第１および第２の準同型暗号方式が、両方とも同じ秘密鍵を使用する、決定することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、送信することとを含む動作を実行させるように構成される。

さらに別の実施形態例は、プログラム命令が具現化されているコンピュータ可読ストレージ媒体を備えているコンピュータ・プログラム製品であり、これらのプログラム命令は、デバイスに、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベース内のデータを使用して決定される特定の情報に対する要求を受信することであって、第１のコンピュータ・システムが、暗号化データまたは暗号化された要求を復号するための復号鍵を持っておらず、少なくともデータの一部が暗号化されているか、または要求が暗号化されている、受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号化動作をデータベース内のデータに対して実行し、データベース内の特定の情報に対応する１つまたは複数の圧縮された暗号文を決定することであって、圧縮可能な準同型暗号化動作が、第１の非圧縮準同型暗号方式および第２の圧縮準同型暗号方式を使用し、圧縮可能な準同型暗号化動作を実行することが、第１の準同型暗号方式をデータに対して使用して、他の複数の暗号文を作成することと、第２の準同型暗号方式を他の複数の暗号文に対して使用して、他の複数の暗号文を、圧縮されたより少ない暗号文に圧縮することとを含み、第１および第２の準同型暗号方式が、両方とも同じ秘密鍵を使用する、決定することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、送信することとを含む動作を実行させるように、デバイスによって実行可能である。

別の実施形態例では、方法は、第１のコンピュータ・システムに送信するために、第２のコンピュータ・システムで実行される、平文を暗号化して暗号化データを作成することと、第１のシステムが、暗号化データを復号するための復号鍵を持っておらず、暗号化データを第２のコンピュータ・システムから第１のコンピュータ・システムに送信することとを含む。この方法は、第２のコンピュータ・システムによって、暗号化データを使用して決定される特定の情報に対する要求を送信することも含む。この方法は、第２のコンピュータ・システムで、第１のコンピュータ・システムから、要求に対する応答を受信することを含み、この応答は、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む。この方法は、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することをさらに含む。

例示的な装置は、１つまたは複数のプロセッサと、コンピュータ・プログラム・コードを含む１つまたは複数のメモリとを含む。１つまたは複数のメモリおよびコンピュータ・プログラム・コードは、１つまたは複数のプロセッサと共に、装置に、第１のコンピュータ・システムに送信するために、第２のコンピュータ・システムで実行される、平文を暗号化して暗号化データを作成することと、第１のシステムが、暗号化データを復号するための復号鍵を持っておらず、暗号化データを第２のコンピュータ・システムから第１のコンピュータ・システムに送信することと、第２のコンピュータ・システムによって、暗号化データを使用して決定される特定の情報に対する要求を送信することと、第２のコンピュータ・システムで、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む動作を実行させるように構成される。

さらに追加の実施形態例では、コンピュータ・プログラム製品が、プログラム命令が具現化されているコンピュータ可読ストレージ媒体を備えており、これらのプログラム命令は、デバイスに、第１のコンピュータ・システムに送信するために、第２のコンピュータ・システムで実行される、平文を暗号化して暗号化データを作成することと、第１のシステムが、暗号化データを復号するための復号鍵を持っておらず、暗号化データを第２のコンピュータ・システムから第１のコンピュータ・システムに送信することと、第２のコンピュータ・システムによって、暗号化データを使用して決定される特定の情報に対する要求を送信することと、第２のコンピュータ・システムで、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む動作を実行させるように、デバイスによって実行可能である。

追加の実施形態例は、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベースから選択されたエントリに対する要求を受信することを含む方法である。この方法は、第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、データベース内の選択されたエントリに対応する暗号化された回答を計算することを含み、圧縮可能な準同型暗号方式は、対応する平文の回答よりもあまり長くない暗号化された回答を生成し、その暗号化された回答の計算は、データベース内のバイトごとに数サイクルを必要とする。この方法は、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することも含み、この応答は、要求されている選択されたエントリに対応する暗号化された回答を含む。

例示的な装置は、１つまたは複数のプロセッサと、コンピュータ・プログラム・コードを含む１つまたは複数のメモリとを含む。１つまたは複数のメモリおよびコンピュータ・プログラム・コードは、１つまたは複数のプロセッサと共に、装置に、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベースから選択されたエントリに対する要求を受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、データベース内の選択されたエントリに対応する暗号化された回答を計算することであって、圧縮可能な準同型暗号方式が、対応する平文の回答よりもあまり長くない暗号化された回答を生成し、その暗号化された回答の計算が、データベース内のバイトごとに数サイクルを必要とする、計算することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求されている選択されたエントリに対応する暗号化された回答を含む、送信することとを含む動作を実行させるように構成される。

追加の実施形態例は、プログラム命令が具現化されているコンピュータ可読ストレージ媒体を備えているコンピュータ・プログラム製品であり、これらのプログラム命令は、デバイスに、第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベースから選択されたエントリに対する要求を受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、データベース内の選択されたエントリに対応する暗号化された回答を計算することであって、圧縮可能な準同型暗号方式が、対応する平文の回答よりもあまり長くない暗号化された回答を生成し、その暗号化された回答の計算が、データベース内のバイトごとに数サイクルを必要とする、計算することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求されている選択されたエントリに対応する暗号化された回答を含む、送信することとを含む動作を実行させるように、デバイスによって実行可能である。

一実施形態例では、第２のコンピュータ・システムによって第１のコンピュータ・システムに送信され、第１のコンピュータ・システムによってデータベースに格納される、エントリのインデックスｉを暗号化することを含む方法が開示され、インデックスｉは、Ｎ_Ｄ個の基数の混合基数で表され、データベースはＮ_Ｄ個の基数も含む。この方法は、第２のコンピュータ・システムによって、暗号化されたインデックスを使用する第１のコンピュータ・システムからの項目の検索を要求することを含む。この方法は、第２のコンピュータ・システムによって、第１のコンピュータ・システムから、要求に対する応答を受信することを含み、この応答は、暗号化されたインデックスを使用して要求されたデータベース内のエントリに対応する、１つまたは複数の圧縮された暗号文を含んでいる暗号化された回答を含む。この方法は、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することも含む。

例示的な装置は、１つまたは複数のプロセッサと、コンピュータ・プログラム・コードを含む１つまたは複数のメモリとを含む。１つまたは複数のメモリおよびコンピュータ・プログラム・コードは、１つまたは複数のプロセッサと共に、装置に、第２のコンピュータ・システムによって第１のコンピュータ・システムに送信され、第１のコンピュータ・システムによってデータベースに格納される、エントリのインデックスｉを暗号化することであって、インデックスｉが、Ｎ_Ｄ個の基数の混合基数で表され、データベースがＮ_Ｄ個の基数も含む、暗号化することと、第２のコンピュータ・システムによって、暗号化されたインデックスを使用する第１のコンピュータ・システムからの項目の検索を要求することと、第２のコンピュータ・システムによって、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、暗号化されたインデックスを使用して要求されたデータベース内のエントリに対応する、１つまたは複数の圧縮された暗号文を含んでいる暗号化された回答を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む動作を実行させるように構成される。

さらに別の実施形態例は、プログラム命令が具現化されているコンピュータ可読ストレージ媒体を備えているコンピュータ・プログラム製品であり、これらのプログラム命令は、デバイスに、第２のコンピュータ・システムによって第１のコンピュータ・システムに送信され、第１のコンピュータ・システムによってデータベースに格納される、エントリのインデックスｉを暗号化することであって、インデックスｉが、Ｎ_Ｄ個の基数の混合基数で表され、データベースがＮ_Ｄ個の基数も含む、暗号化することと、第２のコンピュータ・システムによって、暗号化されたインデックスを使用する第１のコンピュータ・システムからの項目の検索を要求することと、第２のコンピュータ・システムによって、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、暗号化されたインデックスを使用して要求されたデータベース内のエントリに対応する、１つまたは複数の圧縮された暗号文を含んでいる暗号化された回答を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む動作を実行させるように、デバイスによって実行可能である。

例示的な実施形態例において圧縮可能な（Ｆ）ＨＥを使用するユーザとサーバの間の暗号化された通信のための例示的な方法のフローチャートである。図１の複数のデバイスにおいて使用されてよい、例示的なコンピュータ・システムのブロック図である。１つの例示的な構造における行列の図である。ＰＩＲに応用されて圧縮可能な（Ｆ）ＨＥを使用する例示的な方法のフローチャートである。ＰＩＲに応用されて圧縮可能な（Ｆ）ＨＥを使用する例示的な方法の続きのフローチャートである。

本明細書または図面あるいはその両方において見られることがある略語が、次のように定義される。

ＡＥＳ高度暗号化標準

ＡＥＳ－ＣＴＲＡＥＳカウンタ・モード

ＣＲＴ中国剰余定理

ｃｔｘｔ暗号文

ＦＦＴ高速フーリエ変換

ＨＥ準同型暗号化

ＦＨＥ完全準同型暗号化

（Ｆ）ＨＥＨＥまたはＦＨＥ

ＧＳＷ（Ｃｒａｉｇ）Ｇｅｎｔｒｙ、（Ａｍｉｔ）Ｓａｈａｉ、および（Ｂｒｅｎｔ）Ｗａｔｅｒｓ

ＬＷＥエラーを伴う学習

ＭＰＣマルチパーティ計算

ＰＫＥ公開鍵暗号

ＰＩＲプライベート情報検索

ＲＬＷＥ環ＬＷＥ

（Ｒ）ＬＷＥＬＷＥまたはＲＬＷＥ

「例示的」という単語は、本明細書では「例、事例、または実例としての役割を果たす」ことを意味するために使用される。「例示的」として本明細書に記載された実施形態は、必ずしも他の実施形態よりも好ましいか、または有利であると解釈されるべきではない。この「発明を実施するための形態」において説明される実施形態のすべては、特許請求の範囲によって定義された本発明の範囲を制限するためではなく、当業者が本発明を実行または使用することができるようにするために提供された実施形態例である。

準同型暗号化（ＨＥ）は、多くの場合、通信および計算の両方において非実用的と見なされる。本明細書では、ほぼ最適な比率（任意のε＞０に対して１－ε）を有する（例えば、環）ＬＷＥに基づく加法準同型暗号方式が提供される。さらに、多くのＧｅｎｔｒｙ－Ｓａｈａｉ－Ｗａｔｅｒｓ（ＧＳＷ）暗号文（例えば、準同型評価から取得されていることがある暗号文）を（より少ない）高率の暗号文に圧縮する方法が説明される。

実施形態例において、例示的な高率のＨＥ方式を使用して、計算オーバーヘッドが非常に低い、比率（４／９）の単一サーバのプライベート情報検索（ＰＩＲ）方式が構築される。単一サーバのＰＩＲは、本質的に、データベースのビットごとに少なくとも１つの動作を実行するためのサーバを必要とする。１つの例示的なＰＩＲ方式における計算は、この固有の下限よりそれほど悪くなく、おそらくデータベース全体のＡＥＳ暗号化（つまり、データベースのバイトごとの約１．５回のｍｏｄ－ｑ乗算、ｑは長さ約５０～６０ビットの数）より少ない。漸近的に、この例示的なＰＩＲ方式の計算オーバーヘッドは

であり、λはセキュリティ・パラメータであり、Ｎはデータベース・ファイルの数であり、十分に大きいと仮定される。

（完全）準同型暗号化（（Ｆ）ＨＥ）の帯域幅効率はどの程度であろうか。帯域幅においてほとんど損失を伴わずにメッセージを暗号化するのは容易であるが、同じことが、通常、準同型暗号化には当てはまらない。現在のＨＥ方式において評価された暗号文は、少なくとも有意な定数因子、および多くの場合はさらに多くの因子によって、それらのＨＥ方式が暗号化する平文よりも大幅に大きくなる傾向がある。

ＦＨＥの帯域幅限界における基礎的な理論的興味を越えて、高い比率を有する準同型方式には、複数の応用がある。おそらく、帯域幅が最も重要であるプライベート情報検索（ＰＩＲ）の場合が、最も明らかである。明らかに、ＨＥを使用してＰＩＲを実装することができるが、これまでの最良のＰＩＲの実装（［１、５］など）でさえ、主に現在のＨＥ方式の大きい膨張係数のために、大きいデータベースをサポートできるようになることからは、まだかなり遠い。Ｂａｄｒｉｎａｒａｙａｎａｎ他［９］の研究において別の応用を見ることができ、Ｂａｄｒｉｎａｒａｙａｎａｎは、１／２よりも良い比率を有する圧縮可能な（加法）準同型暗号化を、高率の紛失通信に使用することができ、さらに、秘密計算との関連において、さまざまな目的に使用することができるということを示した。この研究の前の高率の準同型暗号化の唯一の事例は、Ｄａｍｇａｒｄ－Ｊｕｒｉｋの暗号システム［３１］だったが、この暗号システムは、（ａ）加法準同型のみであり、（ｂ）かなり高コストであり、（ｃ）量子コンピュータに対して安全でない。

本文書では、最初の圧縮可能な完全準同型暗号方式が考案されるように、この状況が改善され、この方式をどのように使用して効率的なＰＩＲを得るかが示される。つまり、一実施形態例では、（Ｆ）ＨＥ方式が説明され、この（Ｆ）ＨＥ方式の評価された暗号文は、依然として復号可能でありながら、この方式が暗号化する平文とほぼ同じサイズになるまでパブリックに圧縮される。例示的な圧縮可能な方式は、（特に、ＧＳＷ暗号システム［４３］の下で）準同型評価の最終結果を受け取り、行列暗号化行列暗号文（matrix-encrypting matrix-ciphertexts）に詰め込むことができ、この暗号文の合計サイズに対する平文の合計サイズの比率は、任意のεに対して１－εになることができる（平文の合計が、１／ε^３に比例して十分に大きいと仮定する）。圧縮された暗号文は、もはやＧＳＷ暗号文ではない。しかし、これらの暗号文は、すべて圧縮されたまま、加法準同型、および小さいスカラーの暗号化による左側での乗算を可能にするほど十分な構造をまだ有している（これらの動作が暗号文の「ノイズ」を若干増やすということに注意する）。ＧＳＷと同様に、例示的な方式のセキュリティは、エラーを伴う学習の仮定［７１］または環の変形［６２］（および例えば、完全準同型暗号化の場合の循環セキュリティの仮定）に基づく。

圧縮可能な完全準同型暗号化が、エンドツーエンドの高率のＦＨＥを容易に生み出すということに注意する。新たに暗号化された暗号文は、暗号化中に直ちに圧縮され、その後、処理の前にブートストラッピングを使用して「復元」され、最後に、復号の前に再び圧縮される。その結果、この方式は、どの時点でも暗号文を圧縮しており、それらの暗号文は、処理されている間だけ、一時的に展開される。例えばＡＥＳ－ＣＴＲを使用して新しい暗号化が生成され、ＦＨＥに従って暗号化されたＡＥＳキーが送信される、ハイブリッド暗号化を使用することもできるということにも注意する。

ＰＩＲに関して、通信オーバーヘッドが少ない単一サーバのプライベート情報検索方式を生み出すと同時に、計算効率の良い、基本的な方式に対する多くの例示的な最適化が以下で説明される。漸近的に、計算オーバーヘッドはＯ（ｌｏｇｌｏｇλ＋ｌｏｇｌｏｇｌｏｇＮ）であり、λはセキュリティ・パラメータであり、Ｎはデータベース・ファイルの数であり、十分に大きいと仮定される。

この例示的なＰＩＲ方式が、理論的に効率が良いだけでなく、実際に高速でもあると推定される理由が、詳細に説明される。特に、比率４／９の単一サーバのＰＩＲ方式を得ることができ、この方式では、サーバの償却作業（amortized work）は、データベース内のすべてのバイトについて、１．５回の単精度モジュラー乗算（single-precision modular multiplication）のみである。比較のために、データベース全体を送信する自明なＰＩＲの解決策は、（通信セキュリティのために）少なくともデータベース全体を暗号化する必要があり、したがって、データベースの１６バイトごとのＡＥＳブロック暗号化のコストを招き、この作業は、本明細書における例示的な方式が実行する作業よりも確実に多い。したがって、Ｓｉｏｎ－Ｃａｒｂｕｎａｒ［７７］とは反対に、ＰＩＲは、通信に関してだけでなく、計算に関しても、最終的に、自明な解決策よりも効率的である。

（Ｒ）ＬＷＥに基づく準同型暗号化を非実用的と考えることに慣れている人は、本明細書におけるＰＩＲ方式の少ない計算オーバーヘッドを信じ難いと感じるかもしれない。しかし、ＲＬＷＥに基づくＨＥ（特に、本明細書に記載された例示的な適応を伴うＧＳＷ方式）は、いくつかの理由で、ＰＩＲ設定において間違いなく異彩を放つ。第一に、ＧＳＷ暗号文内のノイズは、左から乗じられたメッセージが｛０，１｝である場合の程度で、付加的に増加するだけである（受信側のＧＳＷ暗号文が、対象のインデックスのビットを暗号化する）。さらに、明らかに、Ｎ個のファイルを含むデータベースに対してΩ（Ｎ）回の暗号文動作を実行する必要があるとしても、ノイズがｌｏｇＮに比例してしか増加しないということを保証することができる（そのため、ビット・サイズはｌｏｇｌｏｇＮと共にしか増加しない）。小さいノイズの増加は、例示的なＰＩＲ方式が、基本的なＲＬＷＥに基づくＰＫＥ方式において使用されるＲＬＷＥモジュラスｑよりあまり大きくない、小さいＲＬＷＥモジュラスｑを使用できるようにする。第三に、単一サーバのＰＩＲ［５８、７９］のための古典的方法の再帰的／階層的性質を利用して、ＲＬＷＥに基づく準同型評価のより高コストのステップ、すなわち多項式ＦＦＴ（およびあまり重要でない、ＣＲＴ持ち上げ（CRT lifting））を隠蔽することができる。ＰＩＲのための古典的な階層的方法では、支配的な計算ステップは、実施形態例では有効なデータベース・サイズがＮ＝Ｎ_１×…×Ｎ_ｄからＮ／Ｎ_１に投影される、最初のステップである。この最初のステップの効率を最大にするために、データベースの多項式が、評価表現にすでに含まれるように、前処理されてもよく、それによって、多項式ＦＦＴを回避し、ｍｏｄ－ｑ乗算の小さい定数を使用して、データベースの各（ｌｏｇｑ）ビット・ブロックを暗号化された照会に「吸収」できるようにする。最初のステップでは、例えば、サーバが、ＦＦＴを含めて、クライアントのｌｏｇＮ_１個の暗号文からＮ_１個の暗号文を生成するが、Ｎ_１＝Ｎである場合、それらの償却コストはわずかである。したがって、最初のステップの計算オーバーヘッドは、結局、整数モジュロｑの乗算のオーバーヘッドのみになり、ｑは極めて小さくなることができる。乗算モジュロｑは、ｑを素数の積にし、ＣＲＴ表現を使用することによって、漸近的により高速に行われることができ、素因数を法とする乗算（multiplication modulo the prime divisors）は、テーブル検索を使用してさらに加速されることができる。ＰＩＲの最初のステップの後に、ＧＳＷに似た準同型評価が、多項式の係数と評価表現の間の変換を必要とするが、これは、

が選択された場合、有効なデータベースがすでに非常に小さい（最大でＮ／Ｎ_１）ため、この例示的なＰＩＲ方式のオーバーヘッドに大きな影響を与えない。

暗号文の圧縮に関しては、暗号文の圧縮は、公開鍵設定において（およびときには、対称鍵との関連においても（例えば、［５７］））明白な要請を常に有している。おそらく最も良く知られている暗号文圧縮技術はハイブリッド暗号化であり、ハイブリッド暗号化では、（長い）メッセージが対称暗号化方式に従って暗号化され、対称復号鍵のみが公開鍵方式に従って暗号化される。暗号文の圧縮の他の例は、楕円曲線の点のｘ座標のみを使用すること［１１、３４］、および因子ｎに基づくセキュリティでラビン暗号文（Rabin ciphertexts）を（２／３）ｌｏｇｎビットに圧縮することである（メッセージが、２／３ｌｏｇｎビット未満のエントロピーを含むということを仮定する）［４４］。

Ｒｉｖｅｓｔ、Ａｄｌｅｍａｎ、およびＤｅｒｔｏｕｚｏｓ［７３］は、公開鍵暗号の発明［３２、７２］のすぐ後に、準同型暗号化の概念を提案した。Ｇｅｎｔｒｙ［４５］は、最初のもっともらしくセキュアな（暗号化されたままのデータに対する任意の計算を可能にする）完全準同型暗号（ＦＧＥ）方式を構築した。現在、非常に良い性能およびセキュリティを保証するＦＨＥ方式が存在している［８０、７８、４２、１６、２７、１５、１８、３９、３８、４０、６１、２１、１２、６３、１４、３７、４３、３、４、５０、４８、６８、７４、２６、１７、４９、３３、３６、２３、６、８１、８２、２８、５４、４６、２４、１９、１０、２２、６５、２０、５６、２９］。

ＦＨＥおよびその他の（Ｒ）ＬＷＥに基づく暗号システムの比率の改善に関する多くの研究も存在している。いくつかの重要な例は、次元縮小およびモジュラス減少［１６、１５］であり、これらは、暗号文を、より小さいモジュラスによって減らされた係数を含むより低い次元のベクトルに変換して、暗号文をより小さくし、復号の複雑さを低減することもできる（この方向でのその他の研究については、［７５］を参照）。別の重要な方向は、各暗号文が、平文の要素の１つではなく配列を暗号化する、「暗号文圧縮」［７０、７８、１５、１４］である。実際には、比率だけでなく、ＦＨＥ計算全体のオーバーヘッドが、ときにはセキュリティ・パラメータの多重対数関数のみに、削減される［３９］。また、一部のＦＨＥ方式は、平文を行列にすることもできる［７０、１４、５２、３５］。

ＨＥとの関連において、ハイブリッド暗号化に関する研究も存在し［４５、４１、６６］、ＡＥＳに従って暗号化されたデータが、ＨＥ方式に従ってＡＥＳ鍵の暗号化を使用して準同型に復号されることができ、その後、データが、暗号化されたまま操作されることができる。しかし、（知られている限りでは）他の方向は不可能である。秘密鍵を使用せずに同じメッセージのＨＥ暗号文をＡＥＳ暗号文に変換する方法は存在しない。以前の一部の研究は、整数に基づくＨＥに関するｖａｎＤｉｊｋ他の研究［８０］、属性に基づく暗号化に関するＨｏｈｅｎｂｅｒｇｅｒ他の研究［４７］などの、「評価後」の暗号文圧縮技術を含んでいた。しかし、それらで達成された比率はまだ低く、実際には、本研究より前の方式は、比率１／２の壁を破ることができなかった（したがって、例えば、ＬＷＥに基づく方式は、Ｂａｄｒｉｎａｒａｙａｎａｎ他［９］の高率のＯＴの応用に使用できなかった）。

ｖａｎＤｉｊｋ他［８０］の方式に関しては、その論文において特に説明されているように、その方式は、暗号文ごとに１ビットしか暗号化しない。そのため、暗号文がＲＳＡモジュラスと同程度にしか大きくなく、例えば１０２４ビットである場合、暗号文は平文よりも１０２４倍長くなる。一般に、十分に良いセキュリティを得るには、暗号文が１００ビットを超える必要があるため、暗号文ごとに１ビットのみを安全に暗号化する任意の方式は、１／１００未満の比率を有することになる。

さらに詳細な説明は、次の通りである。ｖａｎＤｉｊｋ他の方式は、一度に１ビットより多くのビットを暗号化するように微調整されるが、非常に良い比率を得る方法については、まだ明確ではない。これを理解するには、ｖａｎＤｉｊｋに関する背景が、さらに少し必要である。秘密鍵は、任意の大きい整数ｐであり、数ｘモジュロｎ（すなわち、｛０，１，．．．，ｎ－１｝内の数）を暗号化する暗号文は、ｃ＝ｑ_１＊ｐ＋ｑ_２＊ｎ＋ｘの形態を有し、数ｑ_２およびｎは、ｑ_２＊ｎ＋ｘの大きさがｐよりはるかに小さくなるように選択される。復号はｘ＝（ｃｍｏｄｐ）ｍｏｄｎであり、（ｃｍｏｄｐ）は値を範囲｛０，．．．，ｐ－１｝に減らし、ｍｏｄｎはその結果を｛０，．．．，ｎ－１｝に減らす。暗号文ｃは、通常、ｐよりさらに多いビット数であり、ｐは、通常、平文よりさらに多いビット数であり、｛０，．．．，ｎ－１｝内の数である。

暗号文圧縮技術は、乗法群モジュロＮが位数Ｍ（＜Ｎ）を有するように、ｇ^ｃｍｏｄＮを計算し、Ｍはｐによって割り切れる。基本的に、ｇ^ｃを受け取って、（ｃｍｏｄｐ）の値を維持し、ｐに関する他の情報を捨てる。そのため、初期のｃがｐよりさらに多いビット数であるという問題が、ある程度軽減される。

しかし、ｐは、まだｎよりさらに多いビット数である必要があり（平文空間）、上記の数Ｎは、ｐより大幅に多いビット数である必要がある（ただし、Ｎは元のｃと同じビット数である必要はない）。ｐがｎよりさらに多いビット数である必要がある理由は、準同型演算がノイズの大きさを増やすという、通常の準同型暗号化の問題であり、ここでノイズの大きさは、（ｃｍｏｄｐ）の大きさになる。１回の乗算がこの大きさにおけるビット数を２倍にしても、この大きさはまだｐより小さく、正しい復号を可能にする。これは、ｎがｐより何倍も少ないビット数であるということを意味する。数Ｎは、ｐのビット数の少なくとも４倍のビット数である必要があり、そうでない場合、Ｎを因数分解し、システムを壊す可能性がある。数モジュロＮである圧縮された暗号文全体は、ｍｏｄ－ｎの平文空間よりさらに多いビット数を含む。したがって、ｖａｎＤｉｊｋ方式は、いずれにせよ、本明細書に記載された可能性のある比率に近い比率を提供しない。

１／２より良い比率で知られている準同型特性を有する従来の唯一の暗号システムは、ＤａｍｇａｒｄおよびＪｕｒｉｋ［３１］による。ＤａｍｇａｒｄおよびＪｕｒｉｋは、加法準同型を有する比率（１－ｏ（１））の暗号化を可能にするＰａｉｌｌｉｅｒの暗号システム［６９］の拡張について説明した。具体的には、ＲＳＡモジュラスＮおよび任意の指数ｓ≧１の場合に、ｍｏｄ－Ｎ^ｓの平文が、ｍｏｄ－Ｎ^ｓ＋１の暗号文内で暗号化され得る。

プライベート情報検索（ＰＩＲ）に関しては、ＰＩＲは、Ｃｈｏｒ他［２５］の研究において導入された。この設定では、クライアントは、通信全体がＮにおいて劣線形の状態で、対象のインデックスｉ∈［Ｎ］をサーバから隠蔽したまま、Ｎ番目のビット（またはファイル）をデータベースから取得することができる（この劣線形の通信要件は、サーバがデータベース全体をクライアントに送信するという自明なプロトコルを除外する）。Ｃｈｏｒ他は、複数のサーバを含む構造を提供し、後にＫｕｓｈｉｌｅｖｉｔｚおよびＯｓｔｒｏｖｓｋｙ［５８］は、計算の仮定の下で単一のサーバを使用してもＰＩＲが可能であるということを示した。ＫｕｓｈｉｌｅｖｉｔｚおよびＯｓｔｒｏｖｓｋｙは、Ｎ＝Ｎ_１×…Ｎ_ｄビットのデータベースの場合の再帰的ＰＩＲ構造について説明した。その最初のステップでは、ＰＩＲ方式をデータベースのＮ／Ｎ_１個のＮ_１要素のスライスに並列に適用し、次に、ＰＩＲをＮ／Ｎ_１個のＰＩＲ応答の「新しいデータベース」に適用する、などとなる。Ｓｔｅｒｎ［７９］は、他の加法準同型暗号方式を使用して、この構造を改良した。Ｋｉａｙｉａｓ他［５５］（［６０］も参照）は、Ｄａｍｇａｒｄ－Ｊｕｒｉｋ［３１］に基づいて、比率（１－ｏ（１））を有する最初の単一サーバのＰＩＲ方式を提供した。［５５、１、６０］において述べられているように、数千個の動画の中からギガビットの動画ファイルをストリーミングすることを考えると、個々のファイルが非常に大規模であることがあるため、比率を最大化することは、ＰＩＲの最新の応用によって極めて重要である。しかし、Ｄａｍｇａｒｄ－Ｊｕｒｉｋは、計算コストが非常に高いため、大規模なＰＩＲに実際に使用することができない［７７、６７］。最低限、Ｄａｍｇａｒｄ－Ｊｕｒｉｋを使用するＰＩＲは、データベースの１ビットごとにｍｏｄ－Ｎ乗算を計算するためのサーバを必要とし、Ｎは２０４８以上のビット数である。ネストされた復号も、かなり高コストである。論文［５５、６０］は、比率が最適なＰＩＲ方式の計算コストを低くするために、Ｄａｍｇａｒｄ－Ｊｕｒｉｋを置き換える基礎になる暗号化方式を明示的に提唱している。例示的なＧＳＷの行列に基づくバージョンは、ＰＩＲのためのＤａｍｇａｒｄ－Ｊｕｒｉｋの方法におけるように、平文が、次のレベルで再帰的に暗号文になる、ネストを可能にするということに注意するべきである。そのため、本明細書における例示的な方式は、それらの方式の効率を改善するための置き換えとして使用され得る。しかし、ネストを回避し、ＧＳＷの自然な準同型を使用することが、さらにいっそう効率的であるということが分かった。

単一サーバのＰＩＲプロトコルでは、サーバの計算が少なくともＮにならなければならず、そうでない場合、サーバは、サーバが応答を構築している間に触れなかったビットが、照会に無関係だったということを知る（それによって、プライバシーを破る）。ＰＩＲのこの「問題」は、複数サーバのプロトコルの場合でも非常に根本的であるため、Ｂｏｙｌｅ他［１３］は、「ＰＩＲの困難さ（PIR hardness）」が、マルチパーティ計算（ＭＰＣ）問題を、（そのようなプロトコルが、劣線形計算を伴うＰＩＲを意味するため）劣線形計算を伴うプロトコルを含むことができる問題と、そうでない問題とに分割するための有用な方法であるということを発見した。多くのＭＰＣ問題がＰＩＲ困難であるということを前提にして、ＰＩＲの計算オーバーヘッドを最小限に抑えることが極めて重要になる。計算に関して最先端のＰＩＲ方式は、Ａｇｕｉｌａｒ－Ｍｅｌｃｈｏｒ他［１］によるＸＰＩＲであり、この方式は、Ａｎｇｅｌ他［５］のＳｅａｌＰＩＲの研究においてさらに最適化された。この方式は、ＲＬＷＥに基づき、データベースを評価表現に前処理することを含む、多くの賢明な最適化を特徴とするが、再帰の深さと共に、比率が指数関数的に減少し（各レベルで５倍以上減少し）、少なすぎるレベルで、クライアントの作業が大きくなる。実際、Ａｎｇｅｌ他は、自分たちの最適化でも、「大きいデータベースをサポートすることは、まだ達成されていない」と述べた。

本明細書における例示的な圧縮可能な方式は、高いレベルで、２つの暗号システムを結合する。１つは、ＧＳＷ［４３］のわずかな変形である低率の（圧縮されない）ＦＨＥ方式であり、もう１つは、Ｈｉｒｏｍａｓａ他［５２］の行列準同型暗号化（matrix homomorphic encryption）に多少類似する、行列のための新しい高率の（圧縮された）加法準同型方式である。これら２つの暗号システムが、同じ秘密鍵を共有し、多くのＧＳＷ暗号文を単一の圧縮された暗号文に詰め込むことができるようにするという意味で「上手く連携する」ことが、本明細書における例示的な方式を圧縮可能にする。

低率の方式は、ＧＳＷとほぼ同じであるが、［７０］において行われているように、ベクトルではなく行列が鍵として使用されるという点が異なる。すなわち、例示的な秘密鍵は、Ｓ＝［Ｓ’｜Ｉ］の形態の行列であり、公開鍵は、Ｓ×Ｐ＝Ｅ（ｍｏｄｑ）を満たす疑似ランダム行列Ｐであり、ｑはＬＷＥモジュラスであり、Ｅは低ノルム行列（low norm matrix）である。ＧＳＷと全く同じように、低率の暗号システムは小さいスカラー（通常は、単にビットσ∈｛０，１｝）を暗号化し、暗号文は行列Ｃであり、復号の不変式はＳＣ＝σＳＧ＋Ｅ（ｍｏｄｑ）である（ＧはＭｉｃｃｉａｎｃｉｏ－Ｐｅｉｋｅｒｔのガジェット行列（gadget matrix）［６４］であり、Ｅは低ノルム行列である）。

本明細書における例示的な高率の方式は、単一の暗号文行列において行列全体モジュロｑを暗号化し、単一の暗号文行列の次元は、平文行列よりわずかに大きいだけである。導入される新しい技術的材料は、ＩＩと呼ばれる異なるガジェット行列である。ＧＳＷにおけるＧガジェット行列と同様に、この例示的なＩＩは、冗長性を暗号文に追加し、Ｈは、復号時のノイズの除去を可能にする「パブリック・トラップドア（public trapdoor）」を有する。Ｈがほぼ正方形の行列であり、したがって、ほとんど拡張を伴わず、高率の暗号文を可能にするという点が異なる。さらに詳細には、Ｇはｎ×ｍの次元を有し、ｍ＝ｎｌｏｇｑである。例えば、ｑ＝２^６０である場合、ｍはｎより６０倍大きい。一方、Ｈは通常、行よりも１つだけ多い列を含む。ほぼ四角形のＨがあまり冗長性を追加することができず、したがって、高品質のトラップドアを有することができないということに、注意するべきである。このようにして、少量のノイズのみを除去できる低品質のトラップドアで済ませるということが行われる。

例示的な方式での平文から暗号文への次元におけるわずかな増加は、２つのステップで導入される。最初に、ＳＭ’＝Ｍを得るために

を設定して、いくつかの追加のゼロ行で平文行列Ｍを「埋める」ために、特殊な形態の秘密鍵が使用される（Ｈｉｒｏｍａｓａ他は、［５２］において、同じ特殊な形態を同じ目的に使用した）。次に、この行列の右側にガジェット行列Ｈを掛けることによって、冗長性がＭ’に追加され、復号中の少量のノイズの除去を可能にする。知られているように、加算および特に暗号文に対する乗算などの、準同型演算の場合、ノイズが増加する。圧縮された暗号文の復号の不変式は、ＳＣ＝Ｍ’Ｈ＋Ｅ（ｍｏｄｑ）である。高率の圧縮された暗号文を取得するために、実施形態例は、平文から暗号文への次元における増加ができるだけ小さくなることを保証する。ｎ_０×ｎ_０平文行列Ｍでは、ＬＷＥシークレット（LWE secret）（ｋによって示される）の次元と同じ数のゼロ行を追加する必要がある。ｎ_１＝ｎ_０＋ｋと表すと、埋められた行列Ｍ’は次元ｎ_１×ｎ_０を有する。次元ｎ_０×ｎ_２のやや四角形のガジェット行列Ｈを右側に掛けることによって、冗長性がさらに追加される。暗号文の最終的な次元がｎ_１×ｎ_２であるため、圧縮された暗号文の情報の比率は、

である。

ここで、サイズ

のモジュラスｑを使用して、任意の望ましいε＞０に対して

を得ることができるように、種々のパラメータを調整する方法が示される。これは、多項式のギャップでのＬＷＥの困難さを仮定して、任意の定数ε＞０をサポートすることができ、または半指数関数のギャップでのＬＷＥの困難さを仮定する場合は、多項式的に小さいεをサポートすることもできるということを意味する。以下で、さらに詳細が示される。

新しいガジェット行列Ｈを使用する代わりに、十分に大きい整数ｆ（例えば、ｆ＞１）に対して復号の不変式ＳＣ＝ｆ・Ｍ’＋Ｅ（ｍｏｄｑ）を使用して冗長性が暗号文に追加されるということが、述べられる。この変形（以下で説明される）は、Ｈを使用する変形と同じ漸近的挙動を有し、具体的な効率は多少悪いように見えるが、まだ使用可能である。

追加の概要として、圧縮可能なＦＨＥを説明するときに以下で説明されるプロセスは、一般に（１）データを低率の（圧縮されない）暗号文で暗号化して、暗号化データに対して何かを計算し、次に（２）その結果を高率の（圧縮された）暗号文に圧縮し、最後に（３）結果を復号して回復することである。以下で圧縮された（Ｆ）ＨＥ方式について説明するときに、「冗長性を平文に追加する」というような語句が使用され、この語句が、例えば、おそらく平文を高率の暗号文に直接暗号化することにおけるように、平文が任意の方法で処理されているというようなことを述べているということに、注意する。平文を圧縮された暗号文に直接暗号化できるというのは真実であるが（以下では、その実行方法も説明される）、以下の説明における要旨は、異なる技術を使用する。特に、２つの式ＳＣ＝Ｍ’Ｈ＋Ｅ（ｍｏｄｑ）（上記および下記で、第１の変形として説明されている）およびＳＣ＝ｆ・Ｍ’＋Ｅ（ｍｏｄｑ）（上記で、別の変形として説明されている）が、復号プロセスを表す。最初に、暗号文Ｃに秘密鍵Ｓを掛けることによって、Ｍ’Ｈ＋Ｅ（ｍｏｄｑ）またはｆ・Ｍ’＋Ｅ（ｍｏｄｑ）のいずれかを得る。項Ｅは、取り除く必要のあるノイズであり、そのために、Ｍ’Ｈ（またはｆ・Ｍ’）が何らかの冗長性を有しているという事実を使用することができる。そのため、以下の要旨は、前述したプロセス（１）～（３）を使用し、さきほど説明した復号プロセスも組み込む。

ここまでのアイデアは、漸近的に効率的な方式を得るために十分であり、以下で説明される。ただし、実用的効率を得るために、さらに多くの具体的な方法が使用され得る。具体的には、実施形態例は、ＬＷＥではなくＲＬＷＥを基礎になる方式に使用し、ＦＦＴを軽減するようにデータベースを前処理し、モジュラス切り替え技術を適用して、より良いノイズ管理を得ることができ、これらの方法がすべて以下で説明される。ただし、これらのアイデアのいずれかを提示する前に、例示的な方法およびシステムの概要が本文書の次の部分で提供され、その後、追加の背景が説明される。

図１を参照すると、この図は、例示的な実施形態例において圧縮可能な（Ｆ）ＨＥ方式を使用するクライアントとサーバの間の暗号化された通信のための例示的な方法のフローチャートである。この方法は、ＰＩＲを含んでいないが、ＰＩＲの基本的なブロックが含まれている。ＰＩＲは後で説明される。クライアント１１０によって（例えば、ユーザの制御下で）実行される動作が左側に示されており、サーバ１７０によって（例えば、サービス・プロバイダの動作の一部として）実行される動作が右側に示されている。

下でさらに詳細に説明されているように、次の手順を含んでいる圧縮可能な（Ｆ）ＨＥ方式７０が存在しており、これらの手順が下でさらに詳細に説明される：キー生成プロシージャであるＫｅｙＧｅｎ、平文の準同型暗号化を実行するＥｎｃｒｙｐｔ、回路を暗号文に対して使用して準同型評価を実行するＥｖａｌｕａｔｅ、準同型評価を実行された暗号文を圧縮するＣｏｍｐｒｅｓｓ、および圧縮された暗号文の復号を実行するＤｅｃｒｙｐｔ。この方式は、下で説明されているように図１の複数の位置で使用され得る。

ブロック１０で、クライアント１１０が公開鍵（ｐｋ）をサーバ１７０に送信し、ブロック２０で、サーバ１７０が公開鍵を受信する。ブロック３０で、クライアント１１０が、下で説明されているように、特に、ガジェット行列またはその変形の使用を含んでいる（Ｆ）ＨＥ暗号化方式７０の（例えば、公開または秘密）鍵を使用して、データを暗号化する。ブロック４０で、クライアント１１０が、暗号化データを（例えば、暗号文として）サーバに送信し、ブロック５０で、サーバが暗号化データを受信する。サーバ１７０は、このデータを暗号文としてデータベース２０に格納する。一部の実施形態では、データベース２８が、暗号文のみの代わりに、平文と暗号文の混合（または平文のみ）を含んでよいということにも注意する。データベース２８内の平文に関しては、下で説明されているように、暗号化された照会が使用されてよく、平文のみのデータベースも使用され得る。

ある時点で、クライアントが、例えば暗号化された要求およびサーバに格納されている情報に関する照会を生成し（ブロック５５を参照）、これらの要求および照会が、（Ｆ）ＨＥ方式７０によって暗号化され得る。照会は、回路として実現され得る。ブロック５５は、クライアント１１０が要求および照会（例えば、回路）をサーバ１７０に送信することを示しており、ブロック６０で、サーバ１７０がそれらの要求および照会を受信する。原則として、暗号化データに対して評価される回路は、任意の場所から取得することもできる。例えば、ＦＨＥの１つのシナリオは、クライアントが、財務データを暗号化して、暗号化データをオンライン税務書類作成会社に送信し（この会社が、暗号化データをデータベース２８に格納する）、その後クライアントが、納税義務の評価を要求することである。この場合、要求は、単に納税評価を実行するよう会社に伝え、暗号化されなくてよい。この会社（サーバ１７０を使用している）は、独自の納税申告用紙ソフトウェアを（例えば、回路として）暗号化された財務データに適用して、納税義務の評価を取得する。このシナリオでは、回路はクライアントから取得されない。

別の（代替または追加の）選択肢は、このフローの開始部分が、クライアント１１０とサーバ１７０の間に必ずしも直接存在しないことである。例えば、さまざまな（例えば、ランダムな）１人または複数の関係者が、クライアントの公開鍵に従ってデータを暗号化し、この情報が最終的にサーバで（クライアントの公開鍵ｐｋと一緒に）データベース２８内に収集されるということが、当てはまることがある。後で、クライアント１１０は、例えば、「あるキーワードを含んでいる、私の鍵に従ってあなたが暗号化したすべてのファイルを私に送信する」という（回路を使用する）効果に対する要求を生成して、サーバに送信してよく（ブロック５５）、サーバは、この要求に応答することができる。実際には、（必要なのは、クライアント１１０およびサーバ１７０が、使用される鍵に同意することだけであるため）この協調は自動的に発生する。

ブロック６５で、サーバ１７０が、データベース２８に格納された暗号文の（例えば、一部分において回路によって定義された）計算を実行する。この時点で、サーバ１７０は、照会に対する回答を暗号文として生成している。標準的な（Ｆ）ＨＥのシナリオでは、結果として得られる暗号文がかなり大きくなる可能性がある。しかし、本明細書では（Ｆ）ＨＥ暗号化方式７０を使用して暗号文を圧縮することによって、暗号文のサイズを大幅に縮小する。したがって、ブロック６５は、サーバが暗号文を圧縮して圧縮された暗号文を作成することを含む。

ブロック７０で、サーバ１７０が、要求および照会に対応する圧縮された暗号文を含んでいるメッセージを形成する。サーバは、照会に対する回答の圧縮された暗号文を含んでいる１つのメッセージ（または複数のメッセージ）も送信する。ブロック８０で、クライアント１１０が、圧縮された暗号文７０のメッセージを受信し、ブロック９０で、例えば（Ｆ）ＨＥ暗号化方式７０を使用して、圧縮された暗号文７０を復号して平文を得る。クライアント１１０は、周知のように、平文を使用する１つまたは複数の動作を実行してよい。

本明細書における方式に関わるコンピュータ・システムはクライアント１１０およびサーバ１７０と呼ばれるが、これらのコンピュータ・システム間にクライアント／サーバ関係が存在する必要はない。例えば、代わりにピアツーピア関係が存在することができる。

図２を参照すると、この図は、図１の複数のデバイスにおいて使用されてよい、例示的なコンピュータ・システムのブロック図である。コンピュータ・システム２１０は、１つまたは複数のバス２２７を介して相互接続された、１つまたは複数のプロセッサ２２０、１つまたは複数のメモリ２２５、１つまたは複数のトランシーバ２３０、１つまたは複数のネットワーク（Ｎ／Ｗ：network）インターフェイス（Ｉ／Ｆ：interfaces）２４５、およびユーザ・インターフェイス回路２６５を含む。１つまたは複数のトランシーバ２３０の各々は、受信器Ｒｘ２３２および送電器Ｔｘ２３３を含む。ユーザ２０１は、ユーザ・インターフェイス要素２０５と情報をやりとりしてよい。トランシーバは、ワイヤレス・フィディリティ（Ｗｉ－Ｆｉ：wireless fidelity）、Ｂｌｕｅｔｏｏｔｈ、近距離無線通信（ＮＦＣ：nearfield communication）、または４Ｇ（第４世代：fourth generation）もしくは５Ｇ（第５世代：fifth generation）などのセルラー・プロトコル、あるいはその組み合わせなどの、任意の適用可能なプロトコルを使用してよい。１つまたは複数のバス２２７は、アドレス・バス、データ・バス、または制御バス、あるいはその組み合わせであってよく、マザーボードまたは集積回路上の一連の配線、光ファイバ、またはその他の光通信機器などの、任意の相互接続メカニズムを含んでよい。１つまたは複数のトランシーバ２３０は、１つまたは複数のアンテナ２２８に接続される。１つまたは複数のメモリ２２５は、コンピュータ・プログラム・コード２２３を含む。

コンピュータ・システム２１０は、部品２４０－１または２４０－２あるいはその両方のうちの１つまたは両方を含む制御モジュール２４０を含む。制御モジュール２４０は、コンピュータ・システム２１０に、本明細書において個別のデバイスによって実行される前述した動作を実行させる。制御モジュール２４０は、複数の方法で実装され得る。制御モジュール２４０は、１つまたは複数のプロセッサ２２０の一部として実装されるなど、ハードウェアにおいて制御モジュール２４０－１として実装され得る。制御モジュール２４０－１は、集積回路として実装されるか、またはプログラマブル・ゲート・アレイなどのその他のハードウェアによって実装されてもよい。別の例では、制御モジュール２４０は、コンピュータ・プログラム・コード２２３として実装され、１つまたは複数のプロセッサ２２０によって実行される、制御モジュール２４０－２として実装され得る。例えば、１つまたは複数のメモリ２２５およびコンピュータ・プログラム・コード２２３は、１つまたは複数のプロセッサ２２０と共に、ユーザ・コンピュータ・システム２１０に、本明細書において説明されている動作のうちの１つまたは複数を実行させるように、構成され得る。ユーザ・コンピュータ・システム２１０に示されているデバイスに限定されず、その他の異なるデバイスまたはより少ないデバイスが使用され得るということにも、注意するべきである。例えば、代わりに１つまたは複数のトランシーバ２３０を介した無線ネットワークのみが使用される場合、有線Ｎ／ＷＩＦ２２５が不要になることがある。

実装されることもあれば、実装されないこともあるユーザ・インターフェイス回路２６５は、実装された場合、１つまたは複数のユーザ・インターフェイス要素２０５と通信し、ユーザ・インターフェイス要素２０５は、ユーザ・コンピュータ・システム２１０と一体で形成されてよく、またはユーザ・コンピュータ・システム２１０の外部で、ただしユーザ・コンピュータ・システム２１０に結合されて形成されてよく、あるいはその両方であってよい。ユーザ・インターフェイス要素２０５は、１つまたは複数のカメラ、１つまたは複数の音声デバイス（マイクロホン、スピーカなど）、１つまたは複数のセンサ（ＧＰＳセンサ、指紋センサ、方位センサなど）、１つまたは複数のディスプレイ、または１つまたは複数のキーボード、あるいはその組み合わせのうちの１つまたは複数を含む。このリストは網羅的でも限定的でもなく、その他の要素、異なる要素、またはより少ない要素が使用され得る。ユーザ２０１（例えば、クライアント１１０を使用している）は、ユーザ・インターフェイス要素２０５と情報をやりとりし、対応するコンピュータ・システム２１０に、動作を実行させることができる。例えば、クライアント１１０は、一部分においてユーザ２０１の制御下にあって、例えば銀行に対して情報を要求することができ、この銀行は、場合によっては対応するユーザ２０１と情報をやりとりせずに、サーバ１７０を制御する。

図２のさまざまなデバイスの例示的な実装に関して、制御モジュール２４０は、対応するデバイスのコンピュータ・システム２１０のために、クライアント１１０内の（完全）準同型暗号化および通信（および例えばＰＩＲ）アプリケーション１１２、またはサーバ１７０内の（完全）準同型暗号化および通信（および例えばＰＩＲ）アプリケーション１７２のうちの１つとして実装され得る。

さらに、コンピュータ・システム２１０は、例えばサーバ１７０に割り当てられるリソースとして、クラウド内に存在し、プロセッサ２２０およびメモリ２２５から形成され得る。コンピュータ・システム２１０は、例えばクライアント１１０のユーザ２０１のための、スマートフォン、タブレット、またはパーソナル・コンピュータなどのデバイスであることができる。

これで例示的な方法およびシステムの概要について説明したので、ここで追加の背景について説明する。（環）エラーを伴う学習（ＬＷＥ）に関して、ＧＳＷ暗号システム［４３］のセキュリティは、（環）エラーを伴う学習（Ｒ）ＬＷＥ決定問題の困難さに基づく［７１、６２］。ＬＷＥは整数Ｒ＝Ｚの環を使用するが、ＲＬＷＥは、通常、円分体の整数Ｒの環を使用する。モジュラスｑ、次元ｋ、およびＲ上のノイズ分布χの場合のこの問題の「はい」の事例は、値

と共に多くの均一な

から成り、

は固定された秘密のベクトルであり、ｅ_ｉ←χである。「いいえ」の事例では、

およびｂ_ｉが両方とも均一である。（Ｒ）ＬＷＥ決定の仮定は、２つの分布が計算的に区別できない（すなわち、「はい」の事例が疑似ランダムである）ということである。通常、χは、あるサイズの場合にＰｅ_ｉＰ_∞＜αがαを制限するように、セキュリティ・パラメータλにおいて圧倒的な確率で存在する。セキュリティ・パラメータは、環のサイズまたは次元ｋあるいはその両方、および比率α／ｑの下限も制限する。ＲＬＷＥに基づく方式は、より効率的であるが、本文書のこの部分の残りの部分では、ＬＷＥが参照される。

秘密の行列を含むＬＷＥに関しては、ＬＷＥの事例は、（さらに一般的には）秘密の行列Ｓ’に関連付けられ、ハイブリッド論法によって、ＬＷＥの行列バージョンを解読することが、従来のＬＷＥを解読するのと同程度に困難であるということを証明することができる。ＬＷＥの行列バージョンでは、「はい」の事例が、均一な行列ＡおよびＢ＝Ｓ’Ａ＋Ｅから成る。これらの行列に次元を与えよう。Ｓ’はｎ_０×ｋ、Ａはｋ×ｍ、ＢおよびＥはｎ_０×ｍである。１つの例示的な構造におけるこれらの行列の図について、図３を参照する。ｎ_１＝ｎ_０＋ｋを設定する。Ｂの上部に－Ａを含む行列になるように、

およびＰを設定する。次に、ＳＰ＝Ｅｍｏｄｑとする。ＬＷＥの仮定（行列バージョン）では、このＰが疑似ランダムであると仮定する。（行列用に一般化された）ＧＳＷでは、Ｐが公開鍵に設定される。

図３に関して、ある小さいε＞０に対して、ｎ_１＝ｎ_０＋ｋ≒ｎ_２＝ｎ_０（１＋ε／２）およびｍ＝ｎ_１ｌｏｇｑが存在する。そのため、ｎ_０≒２ｋ／εである。そのため、ガジェット行列Ｈを使用するエラーＥを伴う暗号文の正しい復号のために、ＰＥＰ_∞＜ｑ^ε／２が必要である。

が「非常に冗長な」スカラーであり、

が「やや冗長な」行列であり、Ｃ＝σＧ＋Ｒ^＊ｍｏｄｑがＧＳＷ暗号文（ｃｔｘｔ）であり、Ｃ^＊＝Ｍ^＊＋Ｒ^＊ｍｏｄｑが圧縮された暗号文（ｃｔｘｔ）であるということにも注意する。

ガジェット行列に関して、ＧＳＷは、四角形のガジェット行列［６４］

を使用して、冗長性を暗号文に追加する（これは、準同型乗算および復号の両方に使用される）。多くの場合、Ｇは

に設定され、

はベクトル（

）である。すなわち、

およびＧの行が、ベクトル

のシフトから成る。文献において一般なように、Ｇ・（Ｇ^－１（Ｃ））＝Ｃとなるような小さい係数を含む行列を示すために、表記Ｇ^－１（Ｃ）が使用される。Ｇが

を使用する場合、｛０，１｝内の係数を含む適切なＧ^－１（Ｃ）を効率的に見つけることができる。｛０，１｝内のエントリを含み、Ｒ上の最大階数である標準的なＧ^－１（０）が存在する。Ｇ^－１（Ｃ）を計算することは、まずＧ・Ｙ＝ＣとなるようなＹを見つけ、次に、Ｙに近く、Ｇ^－１（０）内のベクトルによって生成された格子内にあるＹ’を引くことによって、Ｙを小さくすることであると考えることができる。さらに一般的には、

を使用すると、Ｇ^－１（Ｃ）は［±Ｂ／２］内の係数を含む。Ｃが次元ｎ_１×ｃを有する場合、Ｇ^－１（Ｃ）は次元ｍ×ｃを有する。

ＧＳＷの暗号化および復号の場合、スカラー行列

を暗号化するために、暗号化器は

を設定し、小さいノルムを有するＲの要素であるエントリを含むランダムなｍ×ｍ行列Ｘを選択し、

を出力する。復号するために、次の計算を行う。

Ｓ・Ｃ＝Ｓ・Ｍ’・Ｇ＋Ｓ・Ｐ・Ｘ＝Ｍ・Ｓ・Ｇ＋Ｅ’

Ｅ’＝Ｅ・Ｘは小さい係数を含む。Ｅ’が適切なβによって制限された係数を含むと仮定すると、Ｅ’・Ｇ^－１（０）は、モジュロｑを包むことができないほど小さいエントリを含み、（Ｇ^－１（０）が最大階数であり、Ｒに関連付けられた分数体上で可逆的であるため）復号器がＥ’を回復できるようにし、したがってＭ・Ｓ・Ｇを回復できるようにする。Ｓ・Ｇが階数ｎ_０を有する（実際には、部分行列として

を含む）ため、復号器はＭおよびσを取得することができる。βによって制限されたＥに対してＳ・Ｃ＝Ｍ・Ｓ・Ｇ＋Ｅである場合、ＣがＭをＧＳＷ暗号化する（GSW-encrypts）と言われる。

Ｍがスカラー行列でない場合、ＭのＧＳＷ暗号化を取得する方法は不明確である。前と同様に、暗号文の候補がＣ＝Ｍ’・Ｇ＋Ｐ・Ｘである場合、Ｍ’はＳ・Ｍ’＝Ｍ・Ｓを満たす必要がある。Ｍがスカラー行列である場合、そのようなＭ’を見つけるのは簡単である。Ｍは、同じスカラーを含むスカラー行列であるが、次元がより大きい。しかし、Ｍがスカラー行列でない場合、そのようなＭ’を見つけるには、Ｓを知る必要があると思われる。Ｈｉｒｏｍａｓａ他［５２］は、ＬＷＥ、および秘密鍵の暗号化が行列暗号化ステップに必要であるという循環セキュリティの仮定を仮定して、非スカラー行列を暗号化するＧＳＷのバージョンを取得する方法を示している。一実施形態例では、暗号化ステップのために（循環暗号化を含まない）ＬＷＥに依存し、そのためＧＳＷ暗号文はスカラーのみを暗号化する。

ＧＳＷでの準同型演算に関して、Ｍ_１およびＭ_２をそれぞれＧＳＷ暗号化するＣ_１およびＣ_２が存在すると仮定する。次に、エラーの合計がβによって制限されたままであるということを条件として、明らかにＣ_１＋Ｃ_２がＭ_１＋Ｍ_２をＧＳＷ暗号化する。乗算のために、Ｃ^Ｘ＝Ｃ_１・Ｇ^－１（Ｃ_２）ｍｏｄｑを設定する。結果は、次のようになる。

Ｓ・Ｃ^Ｘ＝（Ｍ_１・Ｓ・Ｇ＋Ｅ_１）・Ｇ^－１（Ｃ_２）＝Ｍ_１・Ｍ_２・Ｓ・Ｇ＋Ｍ_１・Ｅ_２＋Ｅ_１・Ｇ^－１（Ｃ_２）

したがって、新しいエラーＥ’＝Ｍ_１・Ｅ_２＋Ｅ_１・Ｇ^－１（Ｃ_２）がβによって制限されたままであるということを条件として、Ｃ^ＸがＭ_１・Ｍ_２をＧＳＷ暗号化する。新しいエラーでは、Ｇ^－１（Ｃ_２）が小さい係数を含んでいるため、項Ｅ_１・Ｇ^－１（Ｃ_２）は、元のエラーＥ_１よりわずかに大きいだけである。項Ｍ_１・Ｅ_２を小さく保つために、２つの方針がある。第一に、Ｍ_１が小さいスカラー（例えば、０または１）に対応する場合、この項はＣ_２内の元のエラーと同程度に小さくなる。第二に、Ｅ_２＝０である場合、この項は現れることもない。例えば、定数σ_２∈Ｒ_ｑによる準同型乗算を実行したい場合、Ｃ_２＝σ_２・Ｇ（Ｐ・Ｘを含まない）を設定し、上記のようにＣ^Ｘを計算するだけでよい。Ｃ_１内の平文にσ_２が掛けられ、新しいエラーは、σ_１にもσ_２にも依存せず、したがって、Ｒ_ｑ内で任意になることができる。

ＧＳＷ暗号文の部分圧縮に関して、ＧＳＷは、（ノイズをあまり増やさずに）Ｒ内のより大きいスカラーを暗号化して、多くのビット暗号文が単一の暗号文に圧縮されるという意味では、暗号文の部分圧縮をすでにサポートしている（相対的に言って、結果として得られる圧縮された暗号文は、本明細書において実現される圧縮された暗号文よりもはるかに大きい）。簡単な例として、ＬＷＥに基づくＧＳＷ（Ｒ＝Ｚ）の場合について考え、Ｃ_ｎ、．．．、Ｃ_ｌ－１を、ビットσ_ｎ、．．．、σ_ｌ－１を暗号化するＧＳＷ暗号文とする。圧縮するために、単に

を設定する。すなわち、（ノイズを大幅に増やさない）前述した定数による乗算手順を使用して、Ｃ_ｉ’にスカラー２^ｉを掛け、その結果が加算される。明らかにＣは、スカラーｘ＝Σ_ｉ２^ｉσ_ｉｍｏｄｑを暗号化する。ｌ＜ｌｏｇｑである限り、復号した後に、ｘの2進表現からビットσ_ｉを読み取ることができる。

これは、スカラーｘ∈Ｒを２進数でｘ＝Σ_ｉσ_ｉｒ_ｉとしてエンコードし（ｒ_ｉ∈Ｒをｘから独立した固定された基底として、σ_ｉを「ｘのビット」として使用する）、復号時にｘからσ_ｉを回復できる限り、他の環Ｒに一般化される。例えば、Ｒ＝Ｚ_ｑ［Ｘ］／Ｆ（Ｘ）の場合、

およびｋ＝０、１、．．．ｄｅｇ（Ｆ）－１について、基底要素２^ｊＸ^ｋを使用することができる。

ただし、これは単にＧＳＷ暗号文を部分的に圧縮し、平文／暗号文の比率が最大で１／ｎ_１ｍのままであるということに注意する。ノイズを小さく保つために、ＧＳＷ暗号文は通常、ビットを暗号化する。大まかに言うと、ある上限Ｌの場合、ｌ＜ＬのＧＳＷ暗号文Ｃ_０、．．．、Ｃ_ｌ－１を圧縮することができ、これらのＧＳＷ暗号文はビットσ_０、．．．、σ_ｌ－１を単一の暗号文Ｃに暗号化し、単一の暗号文Ｃは、（σ_０，．．．，σ_ｌ－１，０，．．．，０）∈｛０，１｝^Ｌである２進表現を有するσ∈Ｒ_ｑを暗号化する。この２進表現の場合、ρ（σ_１，．．．，σ_Ｌ）＝Σσ_ｉ・ｒ_ｉによって与えられたマップρ：｛０，１｝^Ｌ→Ｒ_ｑが単射になり、ρの原像を効率的に計算できるように、要素ｒ_１、．．．、ｒ_Ｌ∈Ｒ_ｑが存在する必要がある。例えば、Ｒ＝Ｚである場合、ｒ_ｉを、単に

になるように設定できる（Ｒが多項式環である場合、２進表現はやや複雑になる）。圧縮するために、単にＣ＝Σ_ｉＣ_ｉ・Ｇ^－１（ｒ_ｉ・Ｇ）ｍｏｄｑを設定する。言い換えると、（ノイズを大幅に増やさない）前述した定数による乗算手順を使用して、Ｃ_ｉの平文にｒ_ｉを掛け、その結果を加算してよい。復号は、暗号化されたＲ_ｑの要素を回復し、その後、その（一意の）２進表現を抽出することによって機能する。ただし、これは単にＧＳＷ暗号文を部分的に圧縮し、平文／暗号文の比率は最大で１／ｎ_１ｍのままである。

圧縮可能な準同型暗号化に関して、この主題は、圧縮可能な（完全）準同型暗号化の概念を定義することから始めた。次に、ＬＷＥ（およびＦＨＥを得る場合は循環セキュリティ）に基づいてその概念を実現する方法について説明する。

定義に関して、圧縮可能な（Ｆ）ＨＥは、標準的な（Ｆ）ＨＥに非常に似ているが、復号が第１の圧縮およびその後の「圧縮された復号」に分かれるということを主張する点が異なっている。本明細書では、ビットに対する１ホップの完全準同型暗号化の単純な事例のみに関する定義が提示されるが、同じ種類の定義が、複数のホップ、異なる平文空間、または部分的準同型、あるいはその組み合わせにも同様に当てはまる（これらすべての変形の詳細な取り扱いについては、［５１］を参照）。

定義１．圧縮可能な完全準同型暗号方式（例えば、図１の方式２５）は、次の５つのプロシージャ（ＫｅｎＧｅｎ、Ｅｎｃｒｙｐｔ、Ｅｖａｌｕａｔｅ、Ｃｏｍｐｒｅｓｓ、Ｄｅｃｒｙｐｔ）を含む。

（１）

。セキュリティ・パラメータλを受け取り、秘密鍵／公開鍵の対を出力する。

（２）

。公開鍵および平文のビットを前提として、低率の暗号文を出力する。

（３）

。公開鍵ｐｋ、回路Π、低率の暗号文

のベクトルを、Πの入力ビットごとに１つ受け取り、低率の暗号文

の別のベクトルを、Πの出力ビットごとに１つ出力する。

（４）

。公開鍵ｐｋおよび低率の暗号文

のベクトルを受け取り、１つまたは複数の圧縮された暗号文

を出力する。

（５）

。秘密鍵および圧縮された暗号文に関して、平文のビットの列を出力する。

プロシージャＤｅｃｒｙｐｔは、各ベクトルを別々に復号することによって、圧縮された暗号文のベクトルに拡張される。この方式は、すべての回路Πおよび平文のビット

について、Πの入力ビットごとに１つである場合に、正しい。次の方程式（１）を参照する。

Ｄｅｃｒｙｐｔの出力がΠの出力の長さよりも長くなる可能性があるため、プレフィックスが許容されるということに注意する。

十分に長い出力を伴うすべての回路Π、平文のビット

、および方程式１におけるような低率の暗号文

について、

となる場合、この方式は比率α（λ）∈（０，１）を有する。

ガジェット行列Ｈに関して、例示的な構造の１つの変形における新しい技術的構成要素は、「ほぼ正方形の」ガジェット行列である。まず、ＧＳＷにおいて使用されている通常のＭｉｃｃｉａｎｃｉｏ－Ｐｅｉｋｅｒｔのガジェット行［６４］

によって高い比率を得ることができない理由について考える。（前述したように、［５２］と同様に）

の暗号化が、

についてＣ＝Ｍ’・Ｇ＋Ｐ・Ｘの形態を有する場合、単にＣがＭの列数のｍ／ｎ_０倍の列を含んでいるため、比率は最大でｎ_０／ｍになることができる。この比率は、通常のＧの場合の１／ｌｏｇｑ未満である。

当然ながら、Ｂ＞２について

の場合に、

を使用することができ、Ｇ^－１（Ｃ）はまだ、最大でＢ／２の大きさの係数を含む。しかしこれは、単に自明でない

が少なくとも２の次元を有さなければならないため、（

の場合に）よくても比率１／２の方式を生むことしかできない。１に近い比率を達成するために、Ｇを「ほぼ正方形の」行列に置き換えることができる。Ｇが必要とする特性は、以下が成り立つような既知の行列Ｆ＝Ｇ^－１（０）∈Ｒ^ｍ×ｍが存在することである。

１．Ｆが小さいエントリ（＝ｑ）を含む

２．Ｇ・Ｆ＝０ｍｏｄｑ

３．ＦがＲ上の最大階数である（ただし当然ながら、Ｇのカーネルであるため、Ｒ_ｑ上ではない）

そのようなＦを前提として、Ｇ^－１（Ｃ）内のエントリがＦの係数よりあまり大きくならないように、任意の暗号文

についてＧ^－１（Ｃ）を容易に計算することができる。

例示的な設定では、新しいガジェット行列（混乱を避けるために、ＧではなくＨと呼ばれる）が（「ほぼ正方形」になるように）ほぼ最大の階数モジュロｑを有するのが望ましく、そのためＦ＝Ｈ^－１（０）が非常に低い階数モジュロｑを有するのが望ましい。Ｒ上の最大階数を有するが、非常に低い階数モジュロｑを有する低ノルム行列Ｆが存在するようになった後に、Ｈが単にＦのｍｏｄ－ｑカーネルの基底として設定される。

簡潔にするために、ある整数ｐ、ｔについてｑ＝ｐ^ｔ－１が存在すると仮定する。次のように、実数上の最大階数を有するが、階数１モジュロｑを有する「やや小さい」係数を含む行列Ｆ’が生成され得る。

Ｆ’のエントリが最大で（ｑ＋１）／ｐ≒ｑ^{１－１／ｔ}のサイズを有し、さらにすべてのベクトル

について次式が存在するということに注意する。

さらに、この制限は、特に

の場合に、かなり厳しくなる。

このＦ’は、実施形態例において、ｒ×ｒ単位行列

とのＦ’のテンソル積を計算することによって、（任意のｒについて）実数上の階数ｒ・ｔを有するが、階数ｒモジュロｑを有する行列Ｆを生成するために使用され得る。これは、ｌ_∞のノルムに関する上記と正確に同じ制限を生み出す。ガジェット行列Ｈは、Ｆモジュロｑのゼロ空間に広がる行を含むｒ（ｔ－１）×ｒｔ行列である（任意のそのような行列が役立つ）。したがって、この例示的な方式の場合、

を設定する。

以下の圧縮された暗号文の復号では、「やや小さい」Ｆ＝Ｈ^－１（０）が使用される。具体的には、

での行列Ｚ＝ＭＨ＋Ｅ（ｍｏｄｑ）を前提として、最初にこの行列にＦモジュロｑを掛け、（ＨＦ＝０（ｍｏｄｑ）であるため）ＺＦ＝（ＭＨ＋Ｅ）Ｆ＝ＥＦ（ｍｏｄｑ）を得る。ただし、

であり、したがって、整数上で（ＺＦｍｏｄｑ）＝ＥＦである。ここで、Ｆが実数上の最大階数を有するという事実を利用して、Ｅ：＝（ＺＦｍｏｄｑ）× Ｆ^－１を回復する。次に、Ｚ－Ｅ＝ＭＨ（ｍｏｄｑ）を計算し、Ｈが階数ｎ_０モジュロｑを有しているため、ＭＨからＭを回復することができる。したがって、圧縮された暗号文を復号する際の正しさを保証するために、圧縮された暗号文におけるノイズの大きさに対する制限

を使用するのは、十分である。

制限ｑ＝ｐ’－１は、実際は不要であり、多くの変形が可能である。次のかなりおおざっぱ方法は、発生する可能性がある任意のｑに有効である。

の場合に、ベクトル

モジュロｑの倍数の格子Ｌについて考える。

の場合に、ｉ∈［ｔ］について、Ｆ’の行がＬベクトル

であるとする。明らかにＦ’は、階数１モジュロｑを有する（Ｆ’が整数上の最大階数であるという証明は省略される）。本明細書では、Ｆ’のすべてのエントリが小さいということが請求される。ｉ∈［ｔ］、ｊ∈｛０，．．．，ｔ－１｝について

である、

のｊ番目の係数について考える。ｉ＞ｊの場合、

の大きさが、ｑ／ａ^ｉ－ｊ＋ａ^ｊ≦ｑ／ａ＋ａ^ｔ－１≦２ａ^ｔ－１によって制限される。ｊ≧ｉの場合、

が［ｑ，ｑ＋ａ^ｉ］内の整数であり、したがって最大でａ^ｉモジュロｑであるということを観察する。したがって、

は最大でａ^ｊ≦ａ^ｔ－１モジュロｑである。ｑ≧ｔ^ｔである限り、ａ^ｔ－１≦（ｑ^１／ｔ・（１＋１／ｔ））^ｔ－１＜ｑ^{（ｔ－１）／ｔ}・ｅが存在する。すなわち、ＰＦ’Ｐ_∞が、ｑ＝ｐ^ｔ－１が使用された場合とほぼ同じ程度に小さくなる。上で示したように、いずれにせよｑはβ^ｔを超える必要があり、βは、暗号文のノイズに対する制限であり、そのためｑ＞ｔ^ｔという条件は、すでに満たされている可能性がある。

相互に相対的な素数ｐ_ｉについてｑ＝ｐ_１…ｐ_ｔである場合、ベクトル

モジュロｑの倍数の格子ＬからＦ’を取得することができる。具体的には、Ｆ’のｉ番目の行を（０，．．．，０，ｑ／ｐ_ｉ，０，．．．，０）とする。このＦ’は明らかに最大階数であり、ｐ_ｉがほぼ同じサイズである場合、ｑ^{（ｔ－１）／ｔ}に相当するエントリを含む。

ここで、高率のＨＥ方式および圧縮技術などの、例示的な圧縮可能な準同型暗号方式を含む異なる手順について詳細に述べる。

鍵生成の場合、秘密鍵／公開鍵の対を生成するために、２つの均一にランダムな行列

および

、ならびに小さい行列

を選択し、疑似ランダム行列

を計算することができる。

秘密鍵は行列

であり、公開鍵は

であり、Ｓ×Ｐ＝Ｓ’×（－Ａ）＋Ｉ×Ｂ＝Ｅ（ｍｏｄｑ）となる。

暗号化、復号、および評価に関して、小さいスカラーの暗号化および復号、ならびに暗号化および復号に対する回路の評価が、正確に元のＧＳＷ方式におけるように、実行され得る。つまり、小さいエントリを含む行列Ｘ∈Ｒ^ｍ×ｍを選択し、次に、暗号文Ｃ：＝σＧ＋ＰＸ（ｍｏｄｑ）を出力することによって、スカラーσ∈Ｒが暗号化される。

復号の不変式は、Ｅ＝ｑで、ＳＣ＝σＳＧ＋Ｅ（ｍｏｄｑ）になる。復号するには、Ｚ：＝Ｓ×Ｃｍｏｄｑを設定し、次に、トラップドアをＧに使用して小さいノイズＥを除去し、σを見つける。

評価も、ＧＳＷにおけるのと同じであり、加算が、暗号文行列モジュロｑを単に加算することによって実装され、乗算が、Ｃ^Ｘ：＝Ｃ_１×Ｇ^－１（Ｃ_２）ｍｏｄｑとして実装される。これらの動作が（暗号化されたスカラーが小さい限り）復号の不変式を維持することを示すことは、やはり、正確にＧＳＷにおけるように行われる。

圧縮された復号に関して、圧縮された暗号文が、平文行列

を暗号化する行列

であるということを想起されたい。圧縮された暗号文の復号の不変式は、低ノルム行列

の場合、ＳＣ＝ＭＨ＋Ｅ（ｍｏｄｑ）であり、Ｈは、前述したほぼ正方形のガジェット行列である。ＰＥＰ_∞＜βである限り、トラップドアＦ＝Ｈ^－１（０）を使用して小さいノイズＥを除去し、行列Ｍを回復することによって、復号を完了することができる。

圧縮に関して、ここで、多くのＧＳＷビット暗号を単一の圧縮された暗号文に詰め込む方法が示される。便宜上、前述した部分圧縮技術を使用して（多くの）ＧＳＷ暗号文を圧縮しており、これらのＧＳＷ暗号文が、ビットを（より少ない）暗号文に暗号化し、これらの暗号文がＲ_ｑの要素を暗号化するということが仮定される。しかし、圧縮全体が２つのステップではなく１つのステップで実行された場合、最終的な圧縮された暗号文のノイズ・レベルがさらに低くなるということに注意する。元のＧＳＷ暗号文が、例示的な圧縮されたＨＥ方式に適した鍵Ｓに従っているということも仮定される。そうでない場合、「鍵の切り替え」を行って、そのようにすることができる。鍵の切り替え［１６、１５、３９］は、準同型復号を介して、ある鍵に従っているメッセージから、別の鍵に従っているメッセージに変換するが、ノイズ・レベルを減らさず、ブートストラッピングよりはるかに計算コストが低い「線形の」方法で、これを行う。

Ｒ_ｑの要素σ_ｕ，ｖをそれぞれ暗号化する、

個のＧＳＷ暗号文

、ｕ，ｖ∈［ｎ_０］について考える。すなわち、Ｓ×Ｃ_ｕ，ｖ＝σ_ｕ，ｖ・ＳＧ＋Ｅ_ｕ，ｖ（ｍｏｄｑ）となる。

これらの暗号文をすべて単一の圧縮された暗号文に詰め込むために、Ｔ_ｕ，ｖによって、エントリ（ｕ，ｖ）に１、それ以外に０を含む正方形のｎ_０×ｎ_０シングルトン行列、すなわち

を示す（

、

は、それぞれ位置ｕ、ｖに１を含む次元ｎ_０の単位ベクトルである）。さらに、Ｔ’_ｕ，ｖによって、上部にｋ個のゼロ行が埋め込まれたバージョンのＴ_ｕ，ｖも示す。

次式を計算することによって、Ｃ_ｕ，ｖが圧縮される。

まず、Ｔ’_ｕ，ｖ×Ｈがｎ_１×ｎ_２行列であり、したがって、Ｇ^－１（Ｔ’_ｕ，ｖ×Ｈ）がｍ×ｎ_２行列であり、Ｃ_ｕ，ｖがｎ_１×ｍ行列であるため、必要に応じて

であるということに注意する。次式を観察することができる。

ここで、

である（Ｓ＝［Ｓ’｜Ｉ］および

であり、したがってＳＴ’＝Ｓ’×０＋Ｉ×Ｔ＝Ｔであるため、この等式（＊）は有効である）。

上記の圧縮された復号が行列Ｍを回復し、その後、Ｍのエントリであるσ_ｕ，ｖを読み取ることができるということに注意する。

基本的な圧縮可能なＨＥインターフェイスに加えて、例示的な方式は、ＰＩＲアプリケーションにおいて役立つ複数のその他の動作もサポートする。以下では、それらの動作について説明する。

手順（ｉ）（圧縮された暗号文の暗号化）として示された手順に関しては、小さいエントリを含むランダムな

を選択し、疑似ランダムなＸ’：＝ＰＸｍｏｄｑおよびやや冗長な平文

を計算し、暗号文Ｃ＝Ｍ^＊＋Ｘ’ｍｏｄｑを出力することによって、圧縮された暗号文において行列

を直接暗号化することができる。

手順（ｉｉ）（圧縮された暗号文の加法準同型）として示された手順に関しては、圧縮された暗号文が加算され、小さいスカラーによって乗算されるということは明らかである。実際、Ｍ_１、Ｍ_２がＲ_ｑ上の行列であり、σが小さいスカラーである場合、およびｉ＝１、２についてＳＣ_ｉ＝Ｍ_ｉＨ＋Ｅ_ｉが存在する場合、Ｓ（Ｃ_１＋Ｃ_２）＝（Ｍ_１＋Ｍ_２）Ｈ＋（Ｅ_１＋Ｅ_２）およびＳ×σＣ_１＝σＭ_１Ｈ＋σＥ_１となる。（Ｅ_１＋Ｅ_２）およびσＥ_１が、βより小さいｌ_∞のノルムを有する限り、結果は、それぞれＭ_１＋Ｍ_２ｍｏｄｑおよびσＭ_１ｍｏｄｑの有効な圧縮された暗号文である。

手順（ｉｉｉ）（圧縮された暗号文によるＧＳＷ暗号文の乗算）として示された手順に関しては、より小さいスカラーσを暗号化するＧＳＷ暗号文Ｃに、Ｒ_ｑ上の行列Ｍを暗号化する圧縮された暗号文

を掛けて、行列σＭｍｏｄｑを暗号化する圧縮された暗号文Ｃ”を取得することもできる。これは、Ｃ”：＝Ｃ×Ｇ^－１（Ｃ’）ｍｏｄｑを設定することによって行われる（Ｃ’がｎ_１個の行を含んでいるため、Ｇ^－１（Ｃ’）は明確に定義されるということに注意する）。正確さのために、Ｒ_ｑ上のＳＣ＝σＳＧ｜ＥおよびＲ_ｑ上のＳＣ’＝ＭＨ｜Ｅ’が存在することを想起すると、次にようになる。

これは、ノイズＥ”＝σＥ’＋ＥＧ^－１（Ｃ’）がまだ制限βより小さい限り、σＭｍｏｄｑの有効な圧縮された暗号化である。

手順（ｉｖ）（平文行列によるＧＳＷ暗号文の乗算）として示された手順に関しては、ＧＳＷ暗号文の右に圧縮された暗号文を掛け、それらの右に平文行列を掛ける、同じ技術である。実際、

が平文行列であり、Ｍ’が、その埋め込まれたバージョン

である場合、やや冗長な行列Ｍ^＊＝Ｍ’×Ｈは、ノイズのない暗号文であると見なされることができ（Ｓ×Ｍ^＊＝ＭＨに注意する）、したがって上記のように、ＧＳＷ暗号文によって乗算されることができる。唯一の違いは、この場合、大きいスカラーを暗号化するＧＳＷ暗号文も使用できることである。「ノイズのない暗号文」Ｍ^＊はＥ’＝０を含み、したがってσがいかに大きくても、上記の項目σＥ’は、得られたノイズの項に現れない。

その他の多数の可能な最適化および変形が、以下で例示的なＰＩＲアプリケーションを説明するときに、説明される。１つの例示的な主要な最適化は、より大きいノイズを処理するためのモジュラス切り替え技術の使用である。

パラメータを設定することに関して、セキュリティ・パラメータに応じて、行列の次元ｎ_０，ｎ_１，ｎ_２、ならびにノイズ制限αおよびβを含む、さまざまなパラメータの設定方法を示すことが、まだ行われていない。ブートストラッピングなしで、ＧＳＷのやや準同型の変形が使用される場合、評価された暗号文内のノイズを制限するパラメータβは、計算されるのが望ましい関数によって決まる。例示的なＰＩＲアプリケーションに関して、（完全に指定された定数を含む）１つのそのような具体的な例が、以下に示される。ここでは、ＧＳＷをブートストラッピングと共に完全準同型方式として使用する場合のパラメータの漸近解析が示される。つまり、暗号化データに対して、（ＧＳＷＦＨＥ方式を使用して）長い出力を伴う任意の関数を評価したいと思い、結果として得られた暗号化されたビットを、復号可能なままである圧縮された暗号文に詰め込む。

実施形態例は、圧縮された暗号文が、所定の選択のある小さいεについて１－εの比率を有するということを保証する。これは、

が必要であるため、ｎ_１，ｎ_２の両方を少なくとも

になるように設定することが十分であるということを意味する。

をほぼ正方形のガジェット行列Ｈに使用することは、復号を可能にするために、ノイズを

未満に保つべきであるということを意味する。

［４３、１７］に従って、新しい暗号文のサイズαのノイズおよび次元ｎ_１×ｍの暗号文行列と共にＧＳＷを使用する場合、任意の計算が実行されてよく、その後、実行された結果をブートストラップし、ブートストラッピング後のノイズがａｍ^２未満によって制限される。上記の技術およびさらに方程式（３）の圧縮を使用して、部分圧縮を１つのステップに統一すると、すべてＰＥ_{ｕ，ｖ，ｗ}Ｐ_∞＜ａｍ２を満たしている

個のエラー行列Ｅ_{ｕ，ｖ，ｗ}が得られる。したがって、圧縮後のエラーの項はΣ_{ｕ，ｖ，ｗ}Ｅ_{ｕ，ｖ，ｗ}Ｇ^－１（何か）であり、そのサイズは

によって制限される。したがって、制限

を使用する方式の事例を示すことは、十分である。β＜ｑ^ε／２／２が必要であるため、次の正当性制約が決定される。

α≦ｐｏｌｙ（ｋ／ε）を設定し、これはｑ＝（ｋ／ε）^{θ（１／ε）}が必要であるということを意味している。したがって、この方式のセキュリティは、ギャップｋ^{θ（１／ε）}を含むＬＷＥの困難さに依存し、特に、εが定数である場合、多項式のギャップを含むＬＷＥに依存してよい。

ノイズの増加を遅らせるために適用できる多くの技術が存在するということに注意する。これらの技術（例えば、モジュラス切り替え）の多くが、例示的なＰＩＲアプリケーションとの関連において以下で説明される。これらの技術は、漸近的挙動を変更せずに（ｑ＝（ｋ／ε）^{θ（１／ε）}を常に必要とする可能性がある）、指数の定数を大幅に改善することができる。

ガジェット行列Ｈを含まない変形に関して、ここでは、変形がガジェット行列Ｈを使用しないが、メッセージがノイズより大きくなるようにメッセージの拡大に依存するという点において、Ｒｅｇｅｖの暗号化により類似する、例示的な方式の変形が説明される。具体的には、この方式は、暗号文モジュラスより小さい平文モジュラス（ｐ＜ｑ）を特徴とする。圧縮された暗号文は、平文ベクトル

を暗号化するベクトル

であり、復号の不変式は、低ノルムのベクトル

の場合に

になる。制約β＝ｑ／２ｐが存在し、

である限り、（Ｒｅｇｅｖの暗号化と同様に）

によって平文を回復することができる。

圧縮された暗号文の比率は、

である。前と同様に、小さいエラー

を保証し、ｐ≒ｑ^{１－１／２ε}を設定することができる。これによって

が得られ、ｎ_１＜ｎ_０（１－ε／２）と共に比率１－εをもたらす。

ＧＳＷ暗号文を圧縮することは、上記に似ているが、ビット暗号をスカラー暗号に部分的に圧縮するときに、

によってサイズを変更するべきであるという点が異なる。すなわち、ビットｂ_０，．．．，ｂ_ｌを暗号化する

ＧＳＷ暗号文を前提として、上で提示された技術は、それらの暗号文を、

を暗号化する単一のＧＳＷ暗号文に部分的に圧縮するために使用され得る。これによって、あるσ∈Ｚ_ｐについての形態

のスカラーを暗号化するＧＳＷ暗号文を生成する。σ_ｉを暗号化するｎ_０個のそのような暗号文Ｃｉを前提として、これらの暗号文は、

を設定することによって圧縮され、

は、ｋ個の０が先頭に追加されたｉ番目の単位ベクトルである（すなわち、

である）。その結果は、ベクトル［σ_ｉ］_ｉの圧縮された暗号化である。

この変形も、圧縮された暗号文の加法準同型、およびＧＳＷ暗号文の右に圧縮された暗号文を掛ける能力を享受している（積を暗号化して圧縮された暗号文を生成している）ことを確認するのは簡単である。

これで、暗号文の（Ｆ）ＨＥ圧縮の一般的な方式が説明されたので、プライベート情報検索（ＰＩＲ）へのこれらの方式の応用が説明される。ＰＩＲは、クライアントに、どのエントリが取り出されたかをサーバが学習することなく、サーバによって保持されているデータベースからエントリを取り出させる。単純な解決策は、サーバにデータベース全体をクライアントに送信させ、Ｃｈｏｒ他［２５］は、より帯域幅効率が高い解決策の研究を開始した。ＰＩＲプロトコルは、（安全でない解決策と比較して）帯域幅のオーバーヘッドを減らすための方法を提供する。データベース内のエントリの数Ｎにおいて帯域幅のオーバーヘッドを劣線形にする。

準同型暗号化がその目的に使用されるということは良く知られている。クライアントは、必要なエントリのインデックスを暗号化することができ、サーバは、暗号化されたエントリを返すテーブル検索機能の準同型評価を実行することができる。この解決策は、サーバに単一の暗号化されたエントリを返させるため、帯域幅のオーバーヘッドが、エントリの数とは無関係に、ほとんど準同型方式の平文と暗号文の比率のみになる。しかし、（各動画が数ギガバイトの長さになる動画データベースにおけるように）エントリ自体が大きい場合、このＮと無関係なオーバーヘッドでさえ、コストが非常に高くなる可能性がある。詳細な説明については、［５５、１、６０］を参照する。明らかに、圧縮可能なＨＥ方式が存在する場合、この方式を使用して帯域幅のオーバーヘッドを任意に１に近づけることができる。

任意に１に近い平文から暗号文への膨張率をサポートするＤａｍｇａｒｄ－Ｊｕｒｉｋの暗号化方式［３１］を使用する、大きいエントリのための最初の単一サーバ、比率１のＰＩＲ方式が、Ｋｉａｙｉａｓ他［５５］によって説明された。しかし、Ｄａｍｇａｒｄ－Ｊｕｒｉｋは、加法準同型のみであるため、その解決策は、はるかに複雑になり、Ｉｓｈａｉ－Ｐａｓｋｉｎの分岐プログラムの準同型構造［５３］（内部でＤａｍｇａｒｄ－Ｊｕｒｉｋを使用する）に依存している。したがって、例示的な圧縮可能なＨＥ方式は、Ｄａｍｇａｒｄ－ＪｕｒｉｋのＮ番目の剰余性の困難さの仮定に依存する代わりに、（耐量子安全性）ＬＷＥの困難さに依存する比率１のＰＩＲを得るための新しい手段を提供する。帯域幅以外に、現実的なＰＩＲシステムは、計算効率も心配しなければならない。ＰＩＲ方式は、照会ごとにデータベース内のすべてのビットを処理しなければならず、ほとんどの単一サーバのＰＩＲ方式は、かなり高コストの処理を各ビットに適用する。特に、［５５］の最適な比率の方式は、最小限、ビット・モジュロＲＳＡモジュラス（少なくとも２０４８ビット）ごとに１回の乗算を適用しなければならない。このことが、ＳｉｏｎおよびＣａｒｂｕｎａｒの研究［７７］によって強調されており、この研究は、「最近の現実のハードウェア上の、自明でない単一サーバのＰＩＲプロトコルのデプロイメントは、データベース全体を自明に転送することよりも、時間効率が数桁低かった」という結論を（２００７年に）下した。データベース全体を送信することが、計算を含まないわけではないということに注意する。この送信は、通信セキュリティの目的で、少なくともデータベース全体を暗号化することを含んでいた。それにもかかわらず、Ｓｉｏｎ－Ｃａｒｂｕｎａｒの研究の後の１０年間にわたって、本研究の前に、計算に関して自明な方式と競争できる単一サーバのＰＩＲ方式は存在しなかった。以下では、帯域幅効率が高いだけでなく、データベース全体のＡＥＳ暗号化より性能も優れている構造を生成する、例示的な方式に関する一連の最適化が説明される。

例示的な最適化されたＰＩＲ方式に向かって進むことに関して、開始点は基本的な階層的ＰＩＲであり、Ｎ個のデータベース・エントリが、次元Ｎ＝Ｎ_１×…×Ｎ_Ｄの超立方体に配置され、この方式は次数ｄの準同型を使用する。

（１）クライアントのインデックスｉ∈［Ｎ］が、基底Ｎ_１，．．．，Ｎ_Ｄの混合基数で表され、すなわち、

となるように（ｉ_１，．．．，ｉ_Ｄ）として表される。クライアントのメッセージが処理されて、すべてのｉ_ｊの暗号化された単項表現を取得する。すなわち、次元ｊごとに、暗号化されたビットの次元Ｎ_ｊのベクトルを取得し、このベクトル内のｉ_ｊ番目のビットは１であり、その他すべてのビットは０である。

（２）第１の次元を処理し、各超行（hyper-row）ｕ∈［Ｎ_１］に、第１のベクトルからのｕ番目の暗号化されたビットを掛け、ｉ_１番目の超行を除くすべてをゼロにする。ｉ番目の超行（例えば、第１の次元内にある）が、単に、第１のインデックスがｉである超立方体のスライスであるということに注意する。すなわち、形態（ｉ，＊，＊， …，＊）のインデックスを持つ超立方体内のすべてのエントリである（＊は何でもよい）。同様に、第２の次元内のｉ番目の超行は、形態（＊，ｉ，＊， …，＊）のインデックスを持つすべてのエントリである。次に、結果として得られた暗号化された超行をすべて加算し、このようにして、データベースのｉ_１番目の超行のみから成る次元Ｎ／Ｎ_１＝Ｎ_２×．．．Ｎ_Ｄのより小さい超立方体を得る。

（３）同様の方法が引き続き使用され、選択されたエントリｉのみから成るゼロ次元の超立方体が残されるまで、１つずつ他の次元を折り畳む。

データベースのサイズをＮからＮ／Ｎ_１に縮小する１番目のステップ（ステップ（１））は、このステップが最も多くのデータを処理するため、通常、最も高コストであるということに注意する。一方、そのステップが、（それに続くステップにおいて必要とされる平文による平文の乗算に対して）平文による暗号文の乗算のみを必要とするため、このステップは、他のステップよりも良く最適化できることがある。

これで、計算効率も良い高率のＰＩＲ方式をもたらす、例示的な最終的構造を得るための一連の導出および最適化が説明された。この構造は、帯域幅と計算の間のトレードオフを特徴とする。以下では、比率４／９を有する変形が説明される。

環ＬＷＥを使用することに関して、通常のＬＷＥ方式のように、環（またはモジュール）の変形に切り替えることによって、性能を改善することができ、ＬＷＥシークレットが、大きい拡大体上で低い次元を有している。大きい行列を操作することを必要とする代わりに、これらの変形は、同じ大きい拡大体上の低次元の行列を操作し、これらの低次元の行列は、表すために必要なビット数が少なく、（ＦＦＴを使用して）より高速に操作され得る。同等のセキュリティを得るために、基本的なＬＷＥ方式が次元ｋのＬＷＥシークレットを必要とする場合、新しい方式は、ｋ’ｄ≧ｋとなるように、次数ｄの拡大体上で次元ｋ’のシークレットを有する（環ＬＷＥの場合、ｋ’＝１およびｄ＝ｋが存在する）。この方式の種々の行列は、拡大体の要素から成り、それらの次元は、（それぞれ、ｎ_ｉ、ｍの代わりに）ｎ’_ｉ＝ｎ_ｉ／ｄおよびｍ’＝ｍ／ｄである。以下では、ＲＬＷＥの文脈においてより小さい値を強調するために、表記ｎ’_１およびｍ’が使用される。

ＦＦＴを軽減することに関して、使用され得る、（大きいデータベースの場合に）例示的なＰＲ方式をより効率的にする１つの最適化は、処理中のＦＦＴの数を最小限に抑えるようにデータベースを前処理することである。本方式の環ＬＷＥの変形における動作は、要素が評価（ＣＲＴ）基底で表されたときに最も効率的になる、基礎になる体上の行列乗算、および係数（デコーディング）基底での表現を必要とするＧ^－１（・）の適用を含む。これら２つの間の変換は、ＦＦＴを使用して準線形時間で実行されるが、まだ間違いなく、実装において使用される最も高コストの動作である（例示的な標準的サイズの場合、これらの表現間で要素を変換することは、ＣＲＴ基底で表された２つの要素を乗算することよりも、おそらく１０～２０倍遅い）。

ＸＰＩＲの研究［１］におけるように、データベースを前処理し、そのすべてをＣＲＴ表現に入れることによって、ＦＦＴの数を大幅に減らすことができる。このようにして、ｉ_ｊの暗号化された単項表現を取得するためにクライアントのメッセージが処理されるとき（これは、データベース内のエントリのサイズとは無関係である）、およびその後、第１の次元が折り畳まれた後に再度にのみ、ＦＦＴを計算することが必要である（そのため、ＦＦＴは、Ｎ／Ｎ_１個のデータベース・エントリを暗号化する圧縮された暗号文のみに適用される）。

Ｎ_１を（ＦＦＴのオーバーヘッドと相対的に）十分に大きく設定した場合、第１の次元を折り畳んだ後に、ＦＦＴが償却され、わずかになる。一方、初期のＦＦＴ（そのうちの１つは、およそｎ’_１・ｍ’・Ｎ_１を含む）もわずかになるように、Ｎ_１を（Ｎ／Ｎ_１およびエントリの長さＬと相対的に）十分に小さく設定する必要がある。

以下の説明では、Ｎ_１＝２^８でのさまざまなパラメータが示され、良好なトレードオフを提供しているように見える。他のＮ_ｉについては、それらを大きくする理由が（ほとんど）ないため、Ｎ_２＝Ｎ_３＝…＝Ｎ_Ｄ＝４を使用してよい。以下の構造では、使用できるそのような小さいＮ_ｉの数に対する制限が（ほとんど）ないということに注意する。以下の例示的な構造は、Ｎ＝２^２０個のエントリを含むデータベースに関して示されているが、この構造は、はるかに大きいデータベースを処理することができる（無限大まで、および少なくとも

個のエントリを超えて、同じパラメータが機能する）。

クライアント側の暗号化に関して、ＰＩＲ方式との関連において、暗号化器は、復号鍵を持っているクライアントである。したがって、クライアントは、暗号文ごとに新しい疑似ランダムな公開鍵Ｐ_ｉを選択し、Ｃ_ｉ：＝σ_ｉＧ＋Ｐ_ｉｍｏｄｑを設定することによって、秘密鍵を使用して暗号文を作成することができる。これによって、わずかに小さいノイズの暗号文、すなわち（公開鍵によって暗号化された暗号文から取得するＥ×Ｘ_ｉとは対照的に）単に低ノルムのＥ_ｉが得られる。

例示的なＰＩＲ構造は小さい次元Ｎ_２＝Ｎ_３＝…＝４を使用しているため、クライアントは、これらの次元の暗号化された単項ベクトルを直接送信してよい。すなわち、

が１を暗号化し、その他が０を暗号化するように、各ｊ＝２，３，．．．について、クライアントは４つの暗号文Ｃ_ｊ，０，．．．，Ｃ_ｊ，３を送信する。

しかし、第１の次元の場合、大きいＮ_１＝２^８が存在するため、クライアントがｉ_１のビットの暗号を送信し、この次元の暗号化された単項ベクトルを計算するためにＧＳＷ準同型が使用される。したがってクライアントは、全部でｌｏｇＮ_１＋（Ｎ_２＋Ｎ_３＋…Ｎ_Ｄ）個の暗号化されたビットを送信し、例示的な示されたサイズでは、これは８＋４×６＝３２個の暗号化されたビットに達する。

複数のＧ行列に関して、例示的な方式での累積ノイズは、形態Ｅ×Ｇ^－１（何か）の多くの項を含むが、それらのすべてが等しく作成されるわけではない。特に、第１の（大きい）次元Ｎ_１を折り畳むときに、ＧＳＷ暗号文が評価され、それらのＧＳＷ暗号文のノイズは、それ自体、そのようなノイズの合計である。これらのＧＳＷ暗号文に平文行列を掛けた場合、より大きいＥ×Ｇ^－１（何か）×Ｇ１（何か）を得る。一方、他の（小さい）次元の場合、これらの次元に新しい暗号文が掛けられるため、はるかに小さいノイズが達成される。この不均衡は、リソースの浪費につながる。

さらに、クライアントのビットの初期処理中のＧ^－１（何か）による乗算が、少量のデータのみに適用される。しかし、ＧＳＷ行列と平文データの間の乗算は、データベース内のすべてのデータに触れる。したがって、後者は非常に高コストであり、含まれる行列の次元をできるだけ多く削減することは、有益である。

これらのリソースのすべてについて、計算の異なる部分で、異なるＧ行列を使用する方が良い。特に、クライアントのビットを最初に処理するときに、（Ｇ^－１（０）のより小さいノルムを有する）非常に幅広かつ短いＧ行列が使用されてよく、その後、より正方形／高ノルムのＧ行列が使用され得る。

モジュラス切り替えに関しては、注意深いバランスのＧ行列を使用しても、例示的な圧縮された方式とって望ましい程度にノイズを小さくすることはできない。したがって、［１６、１５］のモジュラス切り替え技術が使用され得る。すなわち、大きいモジュラスＱに対する計算が実行され、その後、最終結果をクライアントに送信する前に、より小さいモジュラスｑに切り替えられ、それによって、おおよそｑ／Ｑによって、ノイズの大きさを変更する。

例示的な初期ノイズ解析は、ＧＳＷＧ行列が非常に幅広かつ短くなるように設定されている場合、幅広かつ短い行列を使用することによって、計算全体を通じてノイズを非常に小さく保ったため、おおよそ６４ビットのモジュラスｑを使用できるということを示した。しかしこれは、サーバでの帯域幅、計算、およびストレージにおける大きい増加を伴った。例えば、サーバは、平文行列Ｍ自体より３２倍を超えて大きいすべての平文行列Ｇ^－１（Ｍ’）を、ＣＲＴ基底に格納する必要がある（また、その場合に１／３より良い比率の達成を可能にするパラメータは見つけられなかった）。

より良い選択肢は、少なくとも最初に、大幅に大きいモジュラスを使用し、その後、モジュラス切り替えを使用してモジュラスを６４ビット（または場合によっては、さらに小さいビット）に縮小することである。これによって、ノイズに対するシステムの耐性を高くし、パラメータの多くを改善する。例えば、Ｑ≒ｑ^２５を使用することによって、実際のデータのＧ行列を単位行列に置き換えることもできる。２倍の次元のＬＷＥシークレットを使用し、２倍を超えて大きい数値を書き込む必要があることを意味する場合でも、単位行列を使用することはまだ、大きい定数係数を省くことになる。さらに、単位行列の使用は、より正方形の行列Ｈ（例えば、２×３）を使用させ、それによって、より高い比率を得る。

モジュラス切り替えを使用するには、秘密鍵が、均一に選択されるのではなく、エラー分布から選択される必要があるということに注意する（また、モジュラス切り替えを実装できる方法において、ビットの一部に対して、σ自体ではなく、ｑ’・σが暗号化される（Ｑ＝ｑ’・ｑ））。

ここで、詳細なＰＩＲ方式の例が提示される。この例は一部分において図４と共に提示され、図４は、ＰＩＲに応用されて圧縮可能な（Ｆ）ＨＥを使用する例示的な方法のフローチャートである。この例では、例示的な構造が、インデックス２^１３および次元２^１２の円分環、すなわち、

に分類される。新しいＧＳＷ暗号文の暗号文モジュラスは、ｑ≒２^４６およびｑ’≒２^６０での複合Ｑ＝ｑ・ｑ’である（ｑおよびｑ’は、両方とも原始的な２^１２番目の原始根を含み、したがってＦＦＴモジュロｑ・ｑ’を実行するのが容易である）。環モジュロの下で、これら３つのモジュラスが、Ｒ_Ｑ、Ｒ_ｑ、Ｒ_ｑ’によって示される。

この例では、Ｒ_Ｑ上の環ＬＷＥが使用され、特に、ＬＷＥシークレットは、エラー分布から選択されたＲ_Ｑ内のスカラーである［７］（最大１１１ビットのサイズのモジュラスＱと共にこの円分環を使用して、１２８ビットのセキュリティ・レベルを生み出している、［２］の表１を参照）。

この例における例示的な構造での種々の行列の場合、次元ｋ’＝１、ｎ’_０＝２、およびｎ’_１＝ｎ’_２＝３が使用され、平文の要素がＲ_ｑから選択される。したがって、

の比率を達成することができる。しかし、処理中に、ほとんどの暗号文は、より大きいＱ＝ｑ・ｑ’のモジュロになり、これらがｑに切り替えられたモジュロになるのは、クライアントへの送信前のみである。上で説明された構造は、２×３行列Ｈと共に使用される。

図４は、クライアント１１０によって実行される可能性のある動作を左側に示し、サーバ１７０によって実行される動作を右側に示している。図４では、設定するための図１の協調動作およびこの例の圧縮可能な（Ｆ）ＨＥ方式の使用が示されていない。しかし、実行される１つの設定動作がブロック４０５によって示されており、サーバ１７０が、ユーザの個人情報の平文のインデックスが作成された（例えば、階層的）データベースを構築し、例えば、Ｎ個のデータベース・エントリが、（例えば、Ｎ_Ｄ個の基数を含む）Ｎ次元の超立方体内にある。このデータベース２８－１は、クライアント１１０によって、またはその他のプロバイダによって提供されたユーザ２０１の個人情報を使用して構築され得る。以下の例は、データベース２８－１内の平文を使用するが、データベース２８－１は、（平文の代わりに）ユーザ２０１からの暗号文を格納してよい。

１つの例では、ブロック４０６で、サーバ１７０が、ユーザ２０１に関連付けられた平文のサイズＮのデータベースを構築し、ブロック４０８で、サーバ１７０が、サイズＮのデータベースを超立方体データベースに分割する。さらに詳細には、サイズＮのデータベースが、次元Ｎ＝２５６×４×４×．．．×４の超立方体に分割される。エントリｉ∈［Ｎ］を取り出そうとしているクライアントは、最初に、すべてのｊ＞１について、ｉ_ｉ∈［２５６］およびｉ_ｊ∈［４］で、ｉを（ｉ_１，ｉ_２，．．．ｉ_Ｄ）として表す。ブロック４１５で、クライアント１１０が、クライアントが必要とするデータベース・エントリのインデックスｉ（例えば、Ｎ_Ｄ個の基数の混合基数で表されたインデックスｉ）を暗号化する。この暗号化にはＥｎｃｒｙｐｔプロシージャを使用する。さらに詳細には、σ_１，０，．．．σ_１，７をｉ_１のビットとし、次にクライアント１１０は、スカラーｑ’・σ_１，０およびσ_１，１，．．．，σ_１，７をＧＳＷ暗号文内で暗号化する（モジュロＱ）。ｊ＝２，．．．，Ｄについて、クライアントは、ＧＳＷ暗号文を使用して、位置ｉ_ｊでは１であり、それ以外の位置では０である、単位ベクトル

のビットを暗号化する。この例では、３つの異なるガジェット行列が、これらのＧＳＷ暗号文に使用される。

（ａ）ｉ_１のＬＳＢ（ＧＳＷを使用して乗算される右端のビット）の場合、ガジェット行列Ｇがすべて除去され、単位元のみが使用されるが、ビットσ_１，０にｑ’を掛ける。すなわち、

となるように、

が存在する。

（ｂ）ｉ_１の他のビットの場合、幅広かつ短い

が使用され、

である。各ビットσ_１，ｔが、ＳＣ_１，ｔ＝σ_１，ｔＳＧ_１＋Ｅ（ｍｏｄＱ）となるように、

によって暗号化される。

（ｃ）他のｉ_ｊ（ｊ＞１）の単項表現をエンコードするビットの場合、やや四角形（３×６）の行列

が使用され、

である。

ブロック４２０で、クライアント１１０が、これらすべての暗号文を、暗号化されたインデックスを使用するサーバからの項目の検索要求の一部として、サーバに送信する。ｉ_１のビットの暗号化は、ＬＳＢを暗号化するための９つの要素および他の７ビットを暗号化するための７・３・１５９＝３３８１個の要素から成る。ブロック４２５で、サーバが要求を受信する。ブロック４３０で、サーバ１７０が、クライアントのメッセージを処理して、（例えば、Ｄ個の）インデックス要素（例えば、（ｉ_１，．．．ｉ_Ｄ））の単項表現を取得する。この処理には、上で説明された手順（ｉｉｉ）圧縮された暗号文によるＧＳＷ暗号文の乗算を使用してよいということに、注意する。例えば、要求は、ＧＳＷ照会暗号文の形態であってよい。さらに詳細には、他のインデックスｉ_ｊごとに、４・３・６＝７２個の要素が、ｉ_ｊの単項表現を暗号化するために使用される。Ｎ－２^２０個のデータベース・エントリを含むこの数値的例では、さらに６つのｉ_ｊが存在するため、クライアントが送信する環の要素の数は、９＋３３８１＋６・７２＝３８２２になる。各要素は、指定するために１０６・２^１２ビットを必要とし、したがって、クライアントによって送信されるビットの総数は、１０６・２^１２・３８２２≒２^３０．６（大量の１９８ＭＢ）になる。クライアントの照会のサイズが問題になる応用の場合、パラメータを微調整することができる（例えば、比率において２の係数を諦め、クライアントの照会のサイズにおいて２～４倍の改善を得る）。さらに良いことに、比率に関して妥協せずにクライアントの照会のサイズにおける極めて大きい削減を得るために、本設定では、ＳｅａｌＰＩＲの研究［５］における照会拡張技術も適用され得る。

ここで、ブロック４３０の前にデータベース２８－１が前処理されているということを仮定していることに注意する。すなわち、ブロック４１０で、サーバが、各エントリをＲ_ｑ上の２×２の平文行列に分割することによって、データベースを前処理する（ｑ≒２^４６であることを想起されたい）。したがって、各行列は３・２・４６・２^１２＝２^{２０．１１}ビット（おおよそ１３８ＫＢ）を保持する。サーバは、これらの行列内の各エントリを、ＣＲＴ表現モジュロＱでエンコードする（ブロック４１０）。データベース２８－１が平文を含む場合、この後の追加のプロセスが、上で説明された手順（ｉｖ）平文行列によるＧＳＷ暗号文の乗算を使用してよいということに注意する。ＣＲＴ表現モジュロＱの結果は、平文である。この例は、平文（または一部平文）のデータベース２８－１を使用しているが、データベースは暗号化されることもでき、その後、上で説明された手順（ｉｉｉ）圧縮された暗号文によるＧＳＷ暗号文の乗算が使用されることができるということにも注意する。平文行列内のエントリは小さい（［±２^４５］以内）が、それらのＣＲＴ表現モジュロＱは小さくない。したがって、この表現は、サーバでのストレージ要件における１０６／４６≒２．３倍の膨張を伴う。以下で、単一のデータベース・エントリをエンコードするために必要な行列の数になるように、Ｌが設定される（単一のＪＰＥＧ画像は、Ｌ≒３を含み、４ＧＢの動画は、約２９Ｋ個の行列でエンコードされる）。

クライアントの暗号文を前提として、ブロック４３５で、サーバが、第１の次元について、ＧＳＷ評価を使用して単位ベクトル

のＧＳＷ暗号化を計算してよい（これは、Ｎ_１＝２５６回未満のＧＳＷ乗算を使用して実行される）。このプロセスは、上で説明された手順（ｉｖ）平文行列によるＧＳＷ暗号文の乗算を使用してもよい。ｒ＝１，２，．．，２５６について、サーバは、（１）このベクトル内のｒ番目の暗号文に、超立方体のｒ番目の超行内のすべてのエントリのすべての平文行列を掛けることによって、および（２）第１の超立方体の次元にわたってすべてを加算することによって、この次元を折り畳む。この加算が、上で説明された手順（ｉｉ）圧縮された暗号文の加法準同型を使用してよいということに注意する。この結果は、（次元Ｎ_２×…×Ｎ_Ｄの）単一の暗号化された超行であり、その各エントリは、Ｌ個の圧縮された暗号文から成る。

次にサーバは、順々に小さい次元の折り畳みを続行する（ブロック４４０）。サイズ４の次元ごとに、サーバは、４つのＧＳＷ暗号化されたビットに、４つの超列（hyper-columns）内のすべての圧縮された暗号文をそれぞれ掛け、その後、現在の次元にわたって結果を加算し、暗号文の数において４回の折り畳みの削減を得る。これは、Ｌ個の圧縮された暗号文モジュロＱの単一のエントリのみがサーバに残されるまで、継続する。

最後に、サーバが、各暗号文Ｃを

に置き換えてモジュラス切り替えを実行し（ブロック４４５）、結果として得られた暗号文を、復号のためにクライアントに送信する。暗号文ＣがＳＣ＝ｑ’ＭＨ＋Ｅ（ｍｏｄｑ’ｑ）を満たしていることに注意する。

によって丸め誤差を示すと、新しい暗号文は

を含む。
エラー分布および

から鍵Ｓが選択されたため、追加されるノイズは小さく、結果は有効な暗号文になる（詳細については下記を参照）。

ブロック４５０で、サーバ１７０が、要求に対する暗号化された回答である選択されたエントリをユーザに送信し、ブロック４５５で、クライアント１１０が、暗号化された回答を受信する。ブロック４６０で、クライアント１１０が、暗号化された回答を平文に復号し、したがって、要求されたエントリを明らかにする。ブロック４６５で、クライアント１１０が、平文を使用して１つまたは複数の動作を実行する。例えば、ユーザ２０１が当座預金口座の残高を要求した場合、ユーザ２０１は、例として、おそらくさらに現金を当座預金口座に追加するか、または当座預金口座を使用してクレジット・カードを支払う。

ノイズ解析に関して、第１の次元について、ＧＳＷ評価を使用して暗号化された単項ベクトルを計算する必要があり、そのベクトル内の各暗号文は、ｌｏｇＮ_１＝８個の暗号文の積である。したがって、これらの各評価された暗号文のノイズは、Ｅ_ｕを暗号化中にサンプリングされたエラー行列のうちの１つとして、おおよそ形態

を有する。これらにデータベースの平文行列を掛けて、圧縮された暗号化を方程式（４）として得て、Ｎ_１サイズの次元にわたってすべての暗号文が加算された後に、次の形態のノイズの項が決定される。

（２^４５未満に制限されたエントリを含む平文行列によって、ただしＧ^－１を含まずに、右側の乗算が実行されるということに注意する。）漸近的に、具体的な性能を最適化する、平文を導入する本明細書において使用される非従来型の方法を無視すると、このステップからのノイズが、Ｎ_１と共に線形に増加するということに注意する。セキュリティ・パラメータλについてＮ_１＝Ｏ（ｌｏｇＮ＋λ）を設定した場合、このステップおよび残りのステップからのノイズがＯ（ｌｏｇＮ＋λ）によって制限され、そのためｑが、これらの量の定数次数の多項式によって制限され得る。ｍｏｄ－ｑ乗算の複雑さが

であるということを前提として、この例示的なＰＩＲ方式の漸近的オーバーヘッドは

になる。

Ｅ_ｕのエントリは、分散８（Ａｒｏｒａ－Ｇｅの攻撃［８］を防ぐには十分である）の分布から選択され得る。Ｇ^－１（・）のエントリは、［±２］の範囲内であり（ｍ_１＝ｎ_１ｌｏｇ_１（Ｑ）が存在するため）、そのため

による乗算は、２^２・ｍ’_１・２^１２＜２^２１．４倍未満に分散を増やす。同様に、（［±２^４５］の範囲内のエントリの）平文行列による乗算は、２^２．４５・ｎ_１・２^１２＜２^{１０３．６}倍に分散を増やす。したがって、各ノイズ座標の分散は、２^８・７・８・２^２１．４・２^{１０３．６}＜２^{８＋３＋３＋２１．４＋１０３．６}＝２^１３９によって制限される。各ノイズ座標が、類似する加重によるＥ_ｕのエントリの加重和であるため、ノイズ座標を通常のランダム変数として扱うのは理にかなっている。このエラーのサイズに対する十分に高い確率制限は、（例えば）確率

に対応する標準偏差１６である。すなわち、第１の次元を折り畳んだ後に、すべての圧縮された暗号文は、高い確率で

を含む。

さらに多くの次元を引き続き折り畳むときに、今回はＧ_２を使用して方程式（４）を使用し、（ＧＳＷ暗号文である）それらの次元の暗号化された単項ベクトルに、（圧縮された暗号文である）前の次元の結果を再び掛ける。これらの次元内のＧＳＷ暗号文が未加工であり、したがって、それらのノイズの項が、単に暗号化中に選択された行列Ｅであるということに注意する。したがって、この次元内のＮ_ｊ個のノイズの項の各々は、これらのＥ行列のうちの１つについて、

の形態である。さらに、各次元内の４つの項のうちの１つのみが、暗号化されたビットσ＝１を含み、他の項がσ＝０を含む。したがって、項σ・ｐｒｅｖｉｏｕｓＮｏｉｓｅは、ｊ番目の次元を折り畳んだ後に、得られたノイズの項に１回だけ現れる。したがって、各小さい次元ｊ≧２を折り畳むことは、単に形態Ｅ×Ｇ^－１（何か）の４つのノイズの項を前の次元からのノイズに追加する。

Ｇ_２が

を含んでいるため、

内の各エントリは、間隔［±２^５２］内であり、Ｇ_２を掛けることは、分散を（２^５２）^２・ｍ’_２・２^１２＝３・２^１１７倍未満に増やす（ｍ’_２＝６であることを想起されたい）。これらの項の４（Ｄ－１）＝２４で、追加されたノイズの項における各座標の分散が、２４・８・３・２^１１７＝９・２^１２３によって制限される。したがって、すべての小さい超立方体の次元のため、追加されたノイズのサイズに対する高確率の制限

を使用することができる。

これまでの解析は、モジュラス切り替え動作の前に、ノイズが２^７３．５＋２^６７．１未満の大きさに制限されるということを意味している。モジュラス切り替えにおける丸め誤差に起因して追加されるノイズの項は

であり、この式での各ノイズ座標の分散は８・ｎ’_１・２^１２／２＝３・２^１５である。したがって、この最後のノイズの項の大きさに対する高確率の制限

が存在する。したがって、クライアントに返される暗号文内の合計ノイズは、次式によって制限される。

ほぼ正方形のガジェット行列Ｈが

と共に使用されるということであったので、ノイズは実際に、必要に応じて（ｐ－１）／２未満に制限され、したがって、クライアントに返される暗号文は、圧倒的な確率で正しく復号される。

複雑性解析に関しては、照会の処理中のサーバの作業は、主にＲ_Ｑの乗算およびＦＦＴから成る（加算、およびＦＦＴが実行された後のＧ^－１（）の適用などのその他の動作は、比較して、ほとんど時間がかからない）。

次元２^１２の円分環では、各ＦＦＴの動作は、評価表現における環乗算演算よりも約１０～２０倍遅い。しかし、データベース・エントリのサイズＬのＮ／Ｎ_１倍が十分に大きい場合、乗算の数がＦＦＴの数を２０倍を超えて小さくするということを理解するのは簡単である。実際、ＦＦＴは、（ＬおよびＮ／Ｎ_１とは無関係である）クライアントによって送信されたインデックスｉ_ｉのビットが処理される初期段階において、および（データのＮ／Ｎ_１≒０．２５％のみに適用される）第１の次元の折り畳みの後にのみ実行される。例示的な設定では、Ｌ・Ｎ／Ｎ_１が数千を超えると、乗算の時間がＦＦＴの時間を超えるはずである。この例のＮ／Ｎ_１＝４０００では、各エントリ内で単一のＪＰＥＧ画像を保持することでさえ、ＦＦＴの処理が時間全体のうちの５０％未満を占めるということをすでに意味する。Ｌ＝２９Ｋである動画の場合、ＦＦＴの時間は全くわずかである。

ここで、乗算にかかる時間を、データベース・サイズの関数として評価することができる。大きいＬ・Ｎ／Ｎ_１の場合、第１の超立方体の次元を折り畳みながら、ＧＳＷ暗号文に、データベースをエンコードしている平文行列を掛けるときに、間違いなく最大の数の乗算が実行される。これらの乗算は、形態Ｃ’：＝Ｃ×Ｍ’Ｈｍｏｄｑ’ｑを有し、Ｃ’は次元ｎ_１×ｎ_１のハイブリッド暗号文であり、Ｍ’Ｈは次元ｎ_１×ｎ_２の冗長な平文行列である（ｎ_１＝ｎ_２＝３）。最適化なしで単純に処理すると、これらの行列乗算（２倍の大きさのモジュラスｑ’・ｑのモジュロ）の各々に、３^３＝２７回の環乗算が必要になる。（ＣＲＴ表現での要素に対する）各環乗算は、２^１２回の２倍の大きさのモジュラー整数乗算（modular integer multiplication）から成るため、そのような各行列乗算は、合計で２・２７・２^１２≒２^{１７．７５}回のモジュラー乗算を必要とする。この作業のために、約２^{１７．１１}バイトを含んでいる単一の平文行列が処理され、そのため償却作業は、データベースのバイトごとに約１．５６回のモジュラー乗算である（Ｌａｄｅｒｍａｎの方法を使用すると、２３回の乗算のみを使用して３×３行列を乗算することができ［５９］、そのため償却作業は、バイトごとに１．３３回のモジュラー乗算のみになる）。Ｌが大きい場合、他の作業がこの数を大幅に変更しないはずであるということを考慮すると、これらの乗算は、実行時間のうちの少なくとも９０％を占める可能性が高い。

バイトごとの１回（または２回）のモジュラー乗算は、同じデータのＡＥＳ暗号化よりも大幅に速いはずである。例えば、ハードウェアに支援されないＡＥＳのソフトウェアの実装は、バイトごとに２５サイクル以上と推定される［７６、３０］。同じＧＳＷ行列に非常に多くの平文行列を掛けるという事実を利用して、モジュラー乗算を前処理できることがあり、これによって性能が、ＣＰＵでのハードウェアの支援に基づくＡＥＳの実装にも負けないほど高くなるはずである。

大きいデータベースの場合、前述した方法は、大量の通信の節約を考慮しなくても、データベース全体を送信する単純な方法よりも計算速度が速いはずである。この速度が、帯域幅の大きな節約をまだ提供しながら達成されたということが強調される。実際、この解決策の比率は０．４４であるため、プライバシーを獲得するために、帯域幅において２．２５倍支払う。

参考文献の引用が、角括弧内の番号として配置されていることに注意する（例えば「［１］」は、参照番号１を意味する）。それらの参考文献は、以下に関連付けられる。

［１］Carlos Aguilar-Melchor, Joris Barrier,Laurent Fousse, and Marc-Olivier Killijian. Xpir: Private information retrieval for everyone. Proceedings on Privacy Enhancing Technologies, 2016(2):155-174, 2016.

［２］Martin Albrecht, Melissa Chase, HaoChen, Jintai Ding, Shafi Goldwasser, Sergey Gorbunov, Shai Halevi, Jeffrey Hoffstein, Kim Laine, Kristin Lauter, Satya Lokam, Daniele Micciancio, Dustin Moody Travis Morrison, Amit Sahai, and Vinod Vaikuntanathan. Homomorphic encryption standard. Availabale at http://homomorphicencryption.org/, accessed February 2019, November 2018.

［３］Jacob Alperin-Sheriff and ChrisPeikert. Practical bootstrapping in quasilinear time. In Ran Canetti and Juan A. Garay, editors, Advances in Cryptology - CRYPTO’13, volume 8042 of Lecture Notes in Computer Science, pages1-20.Springer, 2013.

［４］Jacob Alperin-Sheriff and Chris Peikert. Faster bootstrapping with polynomial error. In Juan A. Garayand Rosario Gennaro, editors, Advances in Cryptology - CRYPTO 2014, Part I,pages 297-314.Springer, 2014.

［５］Sebastian Angel, Hao Chen, Kim Laine,and Srinath Setty. Pir with compressed queries and amortized query processing. In 2018 IEEE Symposium on Security and Privacy (SP), pages 962-979.IEEE, 2018.

［６］Yoshinori AONO, Takuya HAYASHI, Le Trieu PHONG, and Lihua WANG. Privacy-preserving logistic regression with distributed data sources via homomorphic encryption. IEICE Transactions on Information and Systems, E99.D(8):2079-2089, 2016.

［７］Benny Applebaum, David Cash, Chris Peikert, and Amit Sahai. Fast cryptographic primitives and circular-secure encryption based on hard learning problems. In Advances in Cryptology- CRYPTO 2009, 29th Annual International Cryptology Conference, Santa Barbara, CA,USA, August 16-20, 2009.Proceedings, pages 595-618, 2009.

［８］Sanjeev Arora and Rong Ge. New algorithms for learning in presenceof errors. In ICALP (1), volume6755 of Lecture Notes in Computer Science, pages 403-415.Springer, 2011.

［９］Saikrishna Badrinarayanan, Sanjam Garg,Yuval Ishai, Amit Sahai, and Akshay Wadia.Two-message witness indistinguishability and secure computation in the plain model from new assumptions.In International Conference on the Theory and Application of Cryptology and Information Security, pages 275-303.Springer, 2017.

［１０］Daniel Benarroch, Zvika Brakerski, and Tancrede Lepoint. FHE over theintegers: Decomposed and batched in the post-quantum regime. In Public Key Cryptography (2), volume10175 of Lecture Notes in Computer Science, pages 271-301.Springer, 2017.

［１１］Elliptic curve point multiplication,en.wikipedia.org/wiki/Elliptic_curve_point_multiplication, downloaded on6/13/19.

［１２］Dan Boneh, Craig Gentry, Shai Halevi,Frank Wang, and David J. Wu.Private database queries using somewhat homomorphic encryption. In ACNS, volume 7954 of Lecture Notes in Computer Science, pages 102-118.Springer, 2013.

［１３］Elette Boyle, Yuval Ishai, andAntigoni Polychroniadou. Limits ofpractical sublinear secure computation.In Annual International Cryptology Conference, pages 302-332.Springer,2018.

［１４］Zvika Brakerski, Craig Gentry, andShai Halevi. Packed ciphertexts inLWE-based homomorphic encryption.In Kaoru Kurosawa and Goichiro Hanaoka, editors, Public Key Cryptography, volume 7778 of Lecture Notes in Computer Science, pages1-13.Springer, 2013.

［１５］Zvika Brakerski, Craig Gentry, and Vinod Vaikuntanathan. Fully homomorphic encryption without bootstrapping. In Innovations in Theoretical Computer Science (ITCS’12), 2012. Available at http://eprint.iacr.org/2011/277.

［１６］Zvika Brakerski and Vinod Vaikuntanathan. Efficient fully homomorphic encryption from (standard) lwe. SIAM Journal on Computing, 43(2):831-871,2014.

［１７］Zvika Brakerski and Vinod Vaikuntanathan. Lattice-based FHE as secure as PKE. In Moni Naor,editor, Innovations in Theoretical Computer Science, ITCS’14, pages 1-12.ACM, 2014.

［１８］Zvika Brakerski. Fully homomorphic encryption without modulus switching from classical gapsvp.In Reihaneh Safavi-Naini and Ran Canetti, editors, CRYPTO, volume 7417of Lecture Notes in Computer Science, pages 868-886.Springer, 2012.

［１９］Hao Chen, Kim Laine, and Rachel Player. Simple encrypted arithmetic library - SEAL v2.1. In Financial Cryptography Workshops, volume 10323 of Lecture Notes in Computer Science,pages 3-18.Springer, 2017.

［２０］Jingwei Chen, Yong Feng, Yang Liu, and Wenyuan Wu. Faster binary arithmetic operations on encrypted integers. In WCSE’17, Proceedings of 2017 the 7th International Workshop on Computer Science and Engineering, 2017.

［２１］Jung Hee Cheon, Jean-Sebastien Coron,Jinsu Kim, Moon Sung Lee, Tancrede Lepoint, Mehdi Tibouchi, and Aaram Yun. Batch fully homomorphic encryption overthe integers. In Advances in Cryptology- EUROCRYPT 2013, 32nd Annual International Conference on the Theory and Applications of Cryptographic Techniques, Athens, Greece, May 26-30,2013.Proceedings, pages 315-335, 2013.

［２２］Jung Hee Cheon, Andrey Kim, Miran Kim,and Yong Soo Song. Homomorphic encryption for arithmetic of approximate numbers. In ASIACRYPT (1), volume 10624 ofLecture Notes in Computer Science, pages 409-437.Springer, 2017.

［２３］Jung Hee Cheon, Miran Kim, and Myungsun Kim. Search-and-compute onencrypted data. In International Conference on Financial Cryptography and Data Security, pages 142-159.Springer,2015.

［２４］Ilaria Chillotti, Nicolas Gama, Mariya Georgieva, and Malika Izabachene.Improving TFHE: faster packed homomorphic operations and efficient circuit bootstrapping. In ASIACRYPT(1), volume 10624 of Lecture Notes in Computer Science, pages 377-408.Springer,2017.

［２５］Benny Chor, Oded Goldreich, Eyal Kushilevitz, and Madhu Sudan.Private information retrieval.Journal of the ACM (JACM) JACM, Volume 45 Issue 6, Nov. 1998, Pages 965-981.

［２６］Jean-Sebastien Coron, Tancrede Lepoint, and Mehdi Tibouchi.Scale-invariant fully homomorphic encryption over the integers. In Public-Key Cryptography - PKC’14, volume 8383 of Lecture Notes in Computer Science, pages 311-328.Springer, 2014.

［２７］Jean-Sebastien Coron, David Naccache,and Mehdi Tibouchi. Public key compression and modulus switching for fully homomorphic encryption over the integers. In Advances in Cryptology- EUROCRYPT 2012 - 31st Annual International Conference on the Theory and Applications of Cryptographic Techniques, Cambridge, UK, April 15-19,2012.Proceedings, pages 446-464, 2012.

［２８］Anamaria Costache, Nigel P. Smart,Srinivas Vivek, and Adrian Waller.Fixed-point arithmetic in SHE schemes. In SAC, volume 10532 of Lecture Notes in Computer Science, pages 401-422.Springer, 2016.

［２９］Jack L.H.Crawford, Craig Gentry, Shai Halevi, Daniel Platt, and Victor Shoup.Doing real work with fhe: The case of logistic regression. Cryptology ePrint Archive, Report 2018/202, 2018. https://eprint.iacr.org/2018/202.

［３０］Crypto++ 5.6.0, pentium 4 benchmarks.https://www.cryptopp.com/benchmarks-p4.html, accessed February 2019,2009.

［３１］Ivan Damgard and Mads Jurik. A generalisation, a simplification and some applications of paillier’s probabilistic public-key system. In International Workshop on Public Key Cryptography, pages 119-136.Springer, 2001.

［３２］Whitfield Diffie and Martin Hellman. New directions in cryptography. IEEE transactions on Information Theory, 22(6):644-654, 1976.

［３３］Leo Ducas and Daniele Micciancio. FHEW: bootstrapping homomorphic encryption in less than a second.In EUROCRYPT (1), volume 9056 of Lecture Notes in Computer Science,pages 617-640.Springer, 2015.

［３４］Steven D Galbraith and Xibin Lin. Computing pairings using x-coordinates only. Designs, Codes and Cryptography, 50(3):305-324, 2009.

［３５］Nicholas Genise, Craig Gentry, Shai Halevi, Baiyu Li, and Daniele Micciancio.Homomorphic encryption for finite automata. Cryptology ePrint Archive, Report 2019/176, 2019. https://eprint.iacr.org/2019/176.

［３６］Craig Gentry, Shai Halevi, Charanjit S. Jutla, and Mariana Raykova.Private database access with he-over-oram architecture. In ACNS, volume 9092 of Lecture Notes in Computer Science, pages 172-191.Springer, 2015.

［３７］Craig Gentry, Shai Halevi, Chris Peikert, and Nigel P. Smart. Field switching in BGV-style homomorphic encryption. Journal of Computer Security,21(5):663-684, 2013.

［３８］Craig Gentry, Shai Halevi, and Nigel P. Smart. Better bootstrapping in fully homomorphic encryption. In Public Key Cryptography - PKC 2012, volume 7293 of Lecture Notes in Computer Science, pages 1-16.Springer, 2012.

［３９］Craig Gentry, Shai Halevi, and Nigel Smart. Fully homomorphic encryption with polylog overhead. In "Advances in Cryptology - EUROCRYPT 2012", volume 7237 of Lecture Notes in Computer Science, pages 465-482.Springer, 2012. Full version at http://eprint.iacr.org/2011/566.

［４０］Craig Gentry, Shai Halevi, and Nigel Smart. Homomorphic evaluation ofthe AES circuit. In "Advancesin Cryptology - CRYPTO 2012", volume 7417 of Lecture Notes in Computer Science, pages 850-867.Springer, 2012.Full version at http://eprint.iacr.org/2012/099.

［４１］Craig Gentry and Shai Halevi. Fully homomorphic encryption without squashing using depth-3 arithmetic circuits. In Foundations of Computer Science(FOCS), 2011 IEEE 52nd Annual Symposium on, pages 107-109.IEEE, 2011.

［４２］Craig Gentry and Shai Halevi. Implementing gentry’s fully-homomorphic encryption scheme. In Advances in Cryptology - EUROCRYPT’11, volume6632 of Lecture Notes in ComputerScience, pages 129-148.Springer, 2011.

［４３］Craig Gentry, Amit Sahai, and Brent Waters. Homomorphic encryption from learning with errors: Conceptually-simpler, asymptotically-faster,attribute-based. In Ran Canetti and Juan A. Garay, editors, Advances in Cryptology - CRYPTO 2013, Part I, pages75-92.Springer, 2013.

［４４］Craig Gentry. How to compress rabin ciphertexts and signatures (and more). In Annual International Cryptology Conference, pages 179-200.Springer, 2004.

［４５］Craig Gentry. Fully homomorphic encryption using ideal lattices. In Proceedings of the41st ACM Symposium on Theory of Computing - STOC 2009, pages 169-178.ACM, 2009.

［４６］Ran Gilad-Bachrach, Nathan Dowlin, KimLaine, Kristin E. Lauter, Michael Naehrig, and John Wernsing. Cryptonets: Applying neural networks to encrypted data with high throughput and accuracy. In ICML, volume 48 of JMLR Workshop and Conference Proceedings, pages 201-210.JMLR.org, 2016.

［４７］Matthew Green, Susan Hohenberger, and Brent Waters. Outsourcing thedecryption of ABE ciphertexts. In20th USENIX Security Symposium, San Francisco, CA, USA, August 8-12, 2011,Proceedings.USENIX Association, 2011.

［４８］Shai Halevi and Victor Shoup. Algorithms in HElib. In CRYPTO (1), volume 8616 of LectureNotes in Computer Science, pages 554-571.Springer, 2014.

［４９］Shai Halevi and Victor Shoup. Bootstrapping for HElib. In EUROCRYPT (1), volume 9056 of Lecture Notes in Computer Science, pages 641-670.Springer, 2015.

［５０］Shai Halevi and Victor Shoup. HElib - An Implementation of homomorphic encryption. https://github.com/shaih/HElib/, AccessedSeptember 2014.

［５１］Shai Halevi. Homomorphic encryption. In Tutorials on the Foundations of Cryptography, pages 219-276.Springer International Publishing, 2017.

［５２］Ryo Hiromasa, Masayuki Abe, and Tatsuaki Okamoto. Packing messages and optimizing bootstrapping in gsw-fhe. IEICE TRANSACTIONS on Fundamentals of Electronics, Communications and Computer Sciences, 99(1):73-82, 2016.

［５３］Yuval Ishai and Anat Paskin. Evaluating branching programs on encrypted data. In Theory of Cryptography Conference, pages 575-594.Springer, 2007.

［５４］Alhassan Khedr, P. Glenn Gulak, and Vinod Vaikuntanathan. SHIELD:scalable homomorphic implementation of encrypted data-classifiers. IEEE Trans.Computers, 65(9):2848-2858,2016.

［５５］Aggelos Kiayias, Nikos Leonardos,Helger Lipmaa, Kateryna Pavlyk, and Qiang Tang. Optimal rate private information retrieval from homomorphic encryption.Proceedings on Privacy Enhancing Technologies, 2015(2):222-243, 2015.

［５６］Miran Kim, Yongsoo Song, Shuang Wang,Yuhou Xia, and Xiaoqian Jiang.Secure logistic regression based on homomorphic encryption. Cryptology ePrint Archive, Report 2018/074,2018. https://eprint.iacr.org/2018/074.

［５７］Demijan Klinc, Carmit Hazay, Ashish Jagmohan, Hugo Krawczyk, and Tal Rabin.On compression of data encrypted with block ciphers. arXiv:1009.1759 [cs.IT].

［５８］Eyal Kushilevitz and Rafail Ostrovsky. Replication is not needed: Single database, computationally-private information retrieval. In Foundations of Computer Science,1997.Proceedings., 38th Annual Symposium on, pages 364-373.IEEE, 1997.

［５９］Julian D. Laderman. A noncommutative algorithm formultiplying 3x3 matrices using 23 multiplications. Bull.Amer.Math.Soc., 82(1):126-128, 011976.

［６０］Helger Lipmaa and Kateryna Pavlyk. A simpler rate-optimal cpirprotocol. In International Conference on Financial Cryptography and Data Security, pages 621-638.Springer, 2017.

［６１］Adriana Lopez-Alt, Eran Tromer, and Vinod Vaikuntanathan. On-the-flymultiparty computation on the cloud via multikey fully homomorphic encryption. In STOC, pages 1219-1234, 2012.

［６２］Vadim Lyubashevsky, Chris Peikert, and Oded Regev. On ideal lattices andlearning with errors over rings.J. ACM, 60(6):43, 2013.Early version in EUROCRYPT 2010.

［６３］Vadim Lyubashevsky, Chris Peikert, and Oded Regev. A toolkit for ring-LWE cryptography. In Thomas Johansson and Phong Q. Nguyen, editors, Advances in Cryptology - EUROCRYPT 2013, pages35-54.Springer, 2013.

［６４］Daniele Micciancio and ChrisPeikert. Trapdoors for lattices:Simpler, tighter, faster, smaller.In EUROCRYPT, volume 7237 ofLecture Notes in Computer Science, pages 700-718.Springer, 2012.

［６５］Payman Mohassel and Yupeng Zhang. Secureml: A system for scalableprivacy-preserving machine learning.In 2017 IEEE Symposium on Security and Privacy, SP 2017, San Jose, CA,USA, May 22-26, 2017, pages 19-38.IEEE Computer Society, 2017.

［６６］Michael Naehrig, Kristin Lauter, and Vinod Vaikuntanathan. Can homomorphic encryption be practical? In Proceedings of the 3rd ACM workshop on Cloud computing security workshop, pages 113-124.ACM, 2011.

［６７］Femi Olumofin and Ian Goldberg. Revisiting the computational practicality of private information retrieval. In International Conference on Financial Cryptography and Data Security, pages 158-172.Springer, 2011.

［６８］Emmanuela Orsini, Joop van de Pol, and Nigel P. Smart. Bootstrapping BGV ciphertexts with a wider choice of p and q. Cryptology ePrint Archive, Report 2014/408, 2014. http://eprint.iacr.org/.

［６９］Pascal Paillier. Public-key cryptosystems based on composite degree residuosity classes.In International Conference on the Theory and Applications of Cryptographic Techniques, pages 223-238.Springer, 1999.

［７０］Chris Peikert, Vinod Vaikuntanathan,and Brent Waters. A framework for efficient and composable oblivious transfer. In Advances in Cryptology - CRYPTO 2008,volume 5157 of Lecture Notes in Computer Science, pages 554-571.Springer, 2008.

［７１］Oded Regev. On lattices, learning with errors,random linear codes, and cryptography. J. ACM, 56(6):34:1-34:40, 2009.

［７２］Ronald L Rivest, Adi Shamir, and Leonard Adleman. A method for obtaining digital signatures and public-key cryptosystems. Communications of the ACM, 21(2):120-126,1978.

［７３］R. Rivest, L. Adleman, and M.Dertouzos. On data banks and privacy homomorphisms. In Foundations of Secure Computation, pages 169-177.Academic Press, 1978.

［７４］Kurt Rohloff and David B.Cousins. A scalable implementation of fully homomorphic encryption built on NTRU. 2nd Workshop on Applied Homomorphic Cryptography and Encrypted Computing, WAHC’14,2014. Available athttps://www.dcsec.uni-hannover.de/fileadmin/ful/mitarbeiter/brenner/wahc14_RC.pdf,accessed September 2014.

［７５］Markku-Juhani Olavi Saarinen. Ring-lwe ciphertext compression and error correction: Tools for lightweight post-quantum cryptography. In Proceedings of the 3rd ACM International Workshop on IoT Privacy, Trust, and Security, pages 15-22.ACM, 2017.

［７６］Patrick Schmid and Achim Roos. "aes-ni performance analyzed;limited to 32nm core i5 cpus". https://www.tomshardware.com/reviews/clarkdale-aes-ni-encryption,2538.html,accessed February 2019, 2010.

［７７］Radu Sion and Bogdan Carbunar. On the practicality of private information retrieval. In Proceedings of the Network and Distributed System Security Symposium, NDSS2007, San Diego, California, USA, 28th February - 2nd March 2007, 2007.

［７８］Nigel P. Smart and Frederik Vercauteren. Fully homomorphic SIMD operations. Des.Codes Cryptography,71(1):57-81, 2014. Early verion athttp://eprint.iacr.org/2011/133.

［７９］Julien P Stern. A new and efficient all-or-nothing disclosure of secrets protocol. InInternational Conference on the Theory and Application of Cryptology andInformation Security, pages 357-371.Springer, 1998.

［８０］Marten van Dijk, Craig Gentry, Shai Halevi, and Vinod Vaikuntanathan.Fully homomorphic encryption over the integers. In Advances in Cryptology - EUROCRYPT 2010, 29th Annual International Conference on the Theory and Applications of Cryptographic Techniques, French Riviera, May 30 - June 3, 2010.Proceedings,pages 24-43, 2010.

［８１］Shuang Wang, Yuchen Zhang, Wenrui Dai,Kristin Lauter, Miran Kim, Yuzhe Tang, Hongkai Xiong, and Xiaoqian Jiang. Healer: homomorphic computation of exactlogistic regression for secure rare disease variants analysis in gwas. Bioinformatics, 32(2):211-218,2016.

［８２］Chen Xu, Jingwei Chen, Wenyuan Wu, and Yong Feng. Homomorphically encrypted arithmetic operations over the integer ring. In Feng Bao, Liqun Chen, Robert H. Deng,and Guojun Wang, editors, Information Security Practice and Experience, pages 167-181, Cham, 2016.Springer International Publishing. https://ia.cr/2017/387.

本発明は、システム、方法、またはコンピュータ・プログラム製品、あるいはその組み合わせであってよい。コンピュータ・プログラム製品は、プロセッサに本発明の態様を実行させるためのコンピュータ可読プログラム命令を含むコンピュータ可読ストレージ媒体を含んでよい。

コンピュータ可読ストレージ媒体は、命令実行デバイスによって使用するための命令を保持および格納できる有形のデバイスであることができる。コンピュータ可読ストレージ媒体は、例えば、電子ストレージ・デバイス、磁気ストレージ・デバイス、光ストレージ・デバイス、電磁ストレージ・デバイス、半導体ストレージ・デバイス、またはこれらの任意の適切な組み合わせであってよいが、これらに限定されない。コンピュータ可読ストレージ媒体のさらに具体的な例の非網羅的リストは、ポータブル・フロッピー（Ｒ）・ディスク、ハード・ディスク、ランダム・アクセス・メモリ（ＲＡＭ：random access memory）、読み取り専用メモリ（ＲＯＭ：read-only memory）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：erasable programmable read-only memoryまたはフラッシュ・メモリ）、スタティック・ランダム・アクセス・メモリ（ＳＲＡＭ：static random access memory）、ポータブル・コンパクト・ディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：compact disc read-only memory）、デジタルバーサタイルディスク（ＤＶＤ：digital versatile disk）、メモリ・スティック、フロッピー（Ｒ）・ディスク、パンチカードまたは命令が記録されている溝の中の***構造などの機械的にエンコードされるデバイス、およびこれらの任意の適切な組み合わせを含む。本明細書において使用されるとき、コンピュータ可読ストレージ媒体は、それ自体が、電波またはその他の自由に伝搬する電磁波、導波管またはその他の送信媒体を伝搬する電磁波（例えば、光ファイバ・ケーブルを通過する光パルス）、あるいはワイヤを介して送信される電気信号などの一過性の信号であると解釈されるべきではない。

本明細書に記載されたコンピュータ可読プログラム命令は、コンピュータ可読ストレージ媒体から各コンピューティング・デバイス／処理デバイスへ、またはネットワーク（例えば、インターネット、ローカル・エリア・ネットワーク、広域ネットワーク、または無線ネットワーク、あるいはその組み合わせ）を介して外部コンピュータまたは外部ストレージ・デバイスへダウンロードされ得る。このネットワークは、銅伝送ケーブル、光伝送ファイバ、無線送信、ルータ、ファイアウォール、スイッチ、ゲートウェイ・コンピュータ、またはエッジ・サーバ、あるいはその組み合わせを備えてよい。各コンピューティング・デバイス／処理デバイス内のネットワーク・アダプタ・カードまたはネットワーク・インターフェイスは、コンピュータ可読プログラム命令をネットワークから受信し、それらのコンピュータ可読プログラム命令を各コンピューティング・デバイス／処理デバイス内のコンピュータ可読ストレージ媒体に格納するために転送する。

本発明の動作を実行するためのコンピュータ可読プログラム命令は、アセンブラ命令、命令セット・アーキテクチャ（ＩＳＡ：instruction-set-architecture）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、あるいは、Ｓｍａｌｌｔａｌｋ、Ｃ＋＋などのオブジェクト指向プログラミング言語、および「Ｃ」プログラミング言語または同様のプログラミング言語などの従来の手続き型プログラミング言語を含む１つまたは複数のプログラミング言語の任意の組み合わせで記述されたソース・コードまたはオブジェクト・コードであってよい。コンピュータ可読プログラム命令は、ユーザのコンピュータ上で全体的に実行すること、ユーザのコンピュータ上でスタンドアロン・ソフトウェア・パッケージとして部分的に実行すること、ユーザのコンピュータ上およびリモート・コンピュータ上でそれぞれ部分的に実行すること、あるいはリモート・コンピュータ上またはサーバ上で全体的に実行することができる。後者のシナリオでは、リモート・コンピュータは、ローカル・エリア・ネットワーク（ＬＡＮ：local area network）または広域ネットワーク（ＷＡＮ：wide area network）を含む任意の種類のネットワークを介してユーザのコンピュータに接続されてよく、または接続は、（例えば、インターネット・サービス・プロバイダを使用してインターネットを介して）外部コンピュータに対して行われてよい。一部の実施形態では、本発明の態様を実行するために、例えばプログラマブルロジック回路、フィールドプログラマブル・ゲート・アレイ（ＦＰＧＡ：field-programmable gate arrays）、またはプログラマブル・ロジック・アレイ（ＰＬＡ：programmable logic arrays）を含む電子回路は、コンピュータ可読プログラム命令の状態情報を利用することによって、電子回路をカスタマイズするためのコンピュータ可読プログラム命令を実行してよい。

本発明の態様は、本明細書において、本発明の実施形態に従って、方法、装置（システム）、およびコンピュータ・プログラム製品のフローチャート図またはブロック図あるいはその両方を参照して説明される。フローチャート図またはブロック図あるいはその両方の各ブロック、ならびにフローチャート図またはブロック図あるいはその両方に含まれるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装されるということが理解されるであろう。

これらのコンピュータ可読プログラム命令は、コンピュータまたはその他のプログラム可能なデータ処理装置のプロセッサを介して実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施する手段を作り出すべく、汎用コンピュータ、専用コンピュータ、または他のプログラム可能なデータ処理装置のプロセッサに提供されてマシンを作り出すものであってよい。これらのコンピュータ可読プログラム命令は、命令が格納されたコンピュータ可読ストレージ媒体がフローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作の態様を実施する命令を含む製品を備えるように、コンピュータ可読ストレージ媒体に格納され、コンピュータ、プログラム可能なデータ処理装置、または他のデバイス、あるいはその組み合わせに特定の方式で機能するように指示できるものであってもよい。

コンピュータ可読プログラム命令は、コンピュータ上、その他のプログラム可能な装置上、またはその他のデバイス上で実行される命令が、フローチャートまたはブロック図あるいはその両方のブロックに指定される機能／動作を実施するように、コンピュータ、その他のプログラム可能なデータ処理装置、またはその他のデバイスに読み込まれてもよく、それによって、一連の動作可能なステップを、コンピュータ上、その他のプログラム可能な装置上、またはコンピュータ実装プロセスを生成するその他のデバイス上で実行させる。

図内のフローチャートおよびブロック図は、本発明の種々の実施形態に従って、システム、方法、およびコンピュータ・プログラム製品の可能な実装のアーキテクチャ、機能、および動作を示す。これに関連して、フローチャートまたはブロック図内の各ブロックは、規定された論理機能を実装するための１つまたは複数の実行可能な命令を備える、命令のモジュール、セグメント、または部分を表してよい。一部の代替の実装では、ブロックに示された機能は、図に示された順序とは異なる順序で発生してよい。例えば、連続して示された２つのブロックは、実際には、含まれている機能に応じて、実質的に同時に実行されるか、または場合によっては逆の順序で実行され得る。ブロック図またはフローチャート図あるいはその両方の各ブロック、ならびにブロック図またはフローチャート図あるいはその両方に含まれるブロックの組み合わせは、規定された機能または動作を実行するか、または専用ハードウェアとコンピュータ命令の組み合わせを実行する専用ハードウェアベースのシステムによって実装されるということにも注意する。

本発明は、好ましい実施形態に従って、以下の各項によって要約される。
１．第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベース内のデータを使用して決定される特定の情報に対する要求を受信することであって、第１のコンピュータ・システムが、暗号化データまたは暗号化された要求を復号するための復号鍵を持っておらず、少なくともデータの一部が暗号化されているか、または要求が暗号化されている、受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号化動作をデータベース内のデータに対して実行し、データベース内の特定の情報に対応する１つまたは複数の圧縮された暗号文を決定することであって、圧縮可能な準同型暗号化動作が、第１の非圧縮準同型暗号方式および第２の圧縮準同型暗号方式を使用し、圧縮可能な準同型暗号化動作を実行することが、第１の準同型暗号方式をデータに対して使用して、他の複数の暗号文を作成することと、第２の準同型暗号方式を他の複数の暗号文に対して使用して、他の複数の暗号文を、圧縮されたより少ない暗号文に圧縮することとを含み、第１および第２の準同型暗号方式が、両方とも同じ秘密鍵を使用する、決定することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、送信することとを含む、方法。
２．第２の圧縮された準同型暗号方式を使用することによって、圧縮された暗号文のサイズを、圧縮された暗号文が対応する暗号化されていないデータのサイズに任意に近づけることができる、第１項に記載の方法。
３．第２の準同型暗号方式が構成されているため、圧縮された暗号文のサイズを、圧縮された暗号文が対応する平文のサイズに任意に近づけることができ、任意の選択されたεについて、圧縮された暗号文のサイズが対応する平文のサイズの（１＋ε）倍である第２の準同型暗号方式の事例が存在する、第２項に記載の方法。
４．第１のコンピュータ・システムによって、データに対して圧縮可能な準同型暗号化動作を実行することが、整数Ｒの環内のスカラーを表す多くのビット暗号文を含んでいるデータに対して部分圧縮を実行して、多くのビット暗号文を、整数Ｒの環内のより大きいスカラーを暗号化する単一の暗号文に圧縮することをさらに含む、第１項に記載の方法。
５．複数の準同型暗号文に対して第２の準同型暗号方式を使用して、複数の準同型暗号文を単一の圧縮された暗号文に圧縮することが、

を計算することによって、暗号文Ｃ_ｕ，ｖを圧縮することをさらに含み、

個の暗号文

、ｕ，ｖ∈［ｎ_０］が存在し、ｎ_０およびｎ_１が次元であり、ｑがエラーを伴う学習（ＬＷＥ）モジュラスであり、Ｇが四角形のガジェット行列であり、Ｈがほぼ正方形のガジェット行列

であり、Ｔ_ｕ，ｖが、エントリ（ｕ，ｖ）に１を含み、他のエントリに０を含む、正方形のｎ_０×ｎ_０シングルトン行列（すなわち、

）であり、

、

が、それぞれ位置ｕ，ｖに１を含む次元ｎ_０の単位ベクトルであり、

である、第１項に記載の方法。
６．第１のコンピュータ・システムによって、データに対して圧縮可能な準同型暗号化動作を実行することが、ビットｂ_０，．．．，ｂ_１を暗号化する

個のＧｅｎｔｒｙ、Ｓａｈａｉ、およびＷａｔｅｒｓ（ＧＳＷ）暗号文を前提として、ＧＳＷ暗号文を、

を暗号化する単一のＧＳＷ暗号文に部分的に圧縮することと、あるσ∈Ｚ_ｐについて形態

のスカラーを暗号化する単一のＧＳＷ暗号文を生成することであって、Ｚが整数のセットである、生成することと、σ_ｉを暗号化するｎ_０個のそのような暗号文Ｃ_ｉを前提として、

を設定することによって暗号文Ｃ_ｉを圧縮することであって、

が、ｋ個の０が先頭に追加されたｉ番目の単位ベクトルであり、Ｇが四角形のガジェット行列であり、ｋが秘密鍵の長さであり、ベクトル［σ_ｉ］_ｉの圧縮された暗号化をもたらす、圧縮することとをさらに含む、第１項に記載の方法。
７．第１のコンピュータ・システムに送信するために、第２のコンピュータ・システムで実行される、平文を暗号化して暗号化データを作成することと、第１のシステムが、暗号化データを復号するための復号鍵を持っておらず、暗号化データを第２のコンピュータ・システムから第１のコンピュータ・システムに送信することと、第２のコンピュータ・システムによって、暗号化データを使用して決定される特定の情報に対する要求を送信することと、第２のコンピュータ・システムで、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、要求された特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む、方法。
８．復号することが、秘密鍵を使用して、１つまたは複数の圧縮された暗号文を含んでいる応答を復号して、１つまたは複数の圧縮された暗号文に対応する平文および追加のノイズの冗長なエンコーディングを含んでいる行列を取得することと、エンコーディングの冗長性を使用して、ノイズを除去し、１つまたは複数の圧縮された暗号文に対応する平文を回復することとを含む、第７項に記載の方法。
９．平文の冗長なエンコーディングが、ほぼ正方形のガジェット行列が掛けられた平文を含んでいる行列を含む、第８項に記載の方法。
１０．ほぼ正方形のガジェット行列Ｈについて、別の行列Ｆが存在し、Ｆが最大階数およびｑよりはるかに小さいエントリを含み、ｑがエラーを伴う学習モジュラスであり、Ｈ×Ｆ＝０ｍｏｄｑであり、行列Ｆのエントリが、エントリに暗号文からのノイズを掛けた後に結果がｑよりまだ小さくなるように、十分に小さい、第９項に記載の方法。
１１．秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、平文を含んでいる行列が行列

であり、Ｍが平文であり、ＳＭ’＝Ｍとなるようにする、第９項に記載の方法。
１２．平文がｎ_０×ｎ_０行列Ｍであり、行列Ｍ’が、エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、次元がｋによって示され、ｎ_１＝ｎ_０＋ｋと表すと、埋められた行列Ｍ’が次元ｎ_１×ｎ_０を有する、第１１項に記載の方法。
１３．Ｍ’の右に次元ｎ_０×ｎ_２のガジェット行列Ｈを掛けることを含んでいる冗長なエンコーディングが、ｎ_１×ｎ_２の暗号文の行列の最終的な次元をもたらす、第１２項に記載の方法。
１４．平文の冗長なエンコーディングが、１より大きい整数が掛けられた平文を含んでいる行列を含む、第８項に記載の方法。
１５．秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、平文を含んでいる行列が行列

であり、Ｍが平文であり、ＳＭ’＝Ｍとなるようにする、第１４項に記載の方法。
１６．平文がｎ_０×ｎ_０行列Ｍであり、行列Ｍ’が、エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、次元がｋによって示され、ｎ_１＝ｎ_０＋ｋと表すと、埋められた行列Ｍ’が次元ｎ_１×ｎ_０を有する、第１５項に記載の方法。
１７．第１のコンピュータ・システムで、第２のコンピュータ・システムから、第１のコンピュータ・システム上のデータベースから選択されたエントリに対する要求を受信することと、第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、データベース内の選択されたエントリに対応する暗号化された回答を計算することであって、圧縮可能な準同型暗号方式が、対応する平文の回答よりもあまり長くない暗号化された回答を生成し、その暗号化された回答の計算が、データベース内のバイトごとに数サイクルを必要とする、計算することと、第１のコンピュータ・システムによって、第２のコンピュータ・システムに、要求に対する応答を送信することであって、この応答が、要求されている選択されたエントリに対応する暗号化された回答を含む、送信することとを含む、方法。
１８．対応するＮ次元内のＮ個のデータベース・エントリへのインデックスがデータベースに作成され、要求が、データベース内のインデックスｉを有している選択されたエントリに対応し、第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、暗号化された回答を計算することが、要求を処理して、インデックス要素（ｉ_１，ｉ_２，．．．，ｉ_Ｄ）を含んでいるインデックス要素の単項表現を取得することと、Ｎ次元のうちの第１の次元について、各超行ｒに、ｉ_１番目の次元に対応する第１のベクトルからの超行に対応するｒ番目の暗号化されたビットを掛け、この乗算がｉ_１番目の超行を除くすべてをゼロにすることによって、および結果として得られた暗号化された超行をすべて加算して、より小さい数の次元のより小さいデータベースを取得することによって、第１の次元を折り畳むことと、インデックスｉに対応する選択されたエントリのみを含んでいるゼロ次元の超立方体が残されるまで、１つずつ他の次元を折り畳み続けることとをさらに含み、送信することが、インデックスｉに対応するエントリを送信することを含む、第１７項に記載の方法。
１９．第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、暗号化された回答を計算することが、折り畳みの前に、データベースをより小さい行列に分割し、これらのより小さい行列を中国剰余定理（ＣＲＴ）表現でエンコードすることによって、データベースを前処理することをさらに含む、第１８項に記載の方法。
２０．より小さい行列を中国剰余定理（ＣＲＴ）表現でエンコードした後に、エンコードされたより小さい行列の左に暗号文行列を掛ける、第１９項に記載の方法。
２１．暗号文行列Ｃが、小さいスカラーσを暗号化しており、平文行列Ｍの左に暗号文Ｃを掛けることの結果が、行列σＭｍｏｄｑを暗号化する圧縮された暗号文であり、ｑがエラーを伴う学習（ＬＷＥ）モジュラスである、第２０項に記載の方法。
２２．第１のコンピュータ・システムによって、圧縮可能な準同型暗号方式をデータベース内のデータに対して実行して、暗号化された回答を計算することが、すべての折り畳みが実行された後の、送信の前に、モジュラス切り替えを実行し、選択されたエントリ内の各暗号文を、異なるモジュラスを含んでいる暗号文に変換することをさらに含む、第１８項に記載の方法。
２３．加算することが、圧縮された暗号文に対して加法準同型を使用し、圧縮された暗号文が加算され、小さいスカラーによって乗算される、第１８項に記載の方法。
２４．乗算することが、暗号文を含んでいる行列の右に平文行列を掛けることをさらに含む、第１８項に記載の方法。
２５．第２のコンピュータ・システムによって第１のコンピュータ・システムに送信され、第１のコンピュータ・システムによってデータベースに格納される、エントリのインデックスｉを暗号化することであって、インデックスｉが、Ｎ_Ｄ個の基数の混合基数で表され、データベースもＮ_Ｄ個の基数を含む、暗号化することと、第２のコンピュータ・システムによって、暗号化されたインデックスを使用する第１のコンピュータ・システムからの項目の検索を要求することと、第２のコンピュータ・システムによって、第１のコンピュータ・システムから、要求に対する応答を受信することであって、この応答が、暗号化されたインデックスを使用して要求されたデータベース内のエントリに対応する、１つまたは複数の圧縮された暗号文を含んでいる暗号化された回答を含む、受信することと、第２のコンピュータ・システムによって、１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む、方法。
２６．Ｎ_Ｄ個の基数の混合基数がインデックス要素（ｉ_１，ｉ_２，．．．，ｉ_Ｄ）を含み、データベースがＮ次元を有し、Ｎ＝Ａ×Ｂ×Ｂ×．．．×Ｂであり、すべてのｊ＞１についてｉ_ｉ∈［Ａ］およびｉ_ｊ∈［Ｂ］であり、インデックスｉを暗号化することが、スカラーｑ’・σ_１，０およびσ_１，０，．．．σ_１，７を暗号化することであって、σ_１，１，．．．σ_１，７がｉ_１のビットである、暗号化することと、ｊ＝２，．．．，Ｄについて、暗号文を暗号化して、位置ｉ_ｊでは１であり、それ以外の位置では０である、単位ベクトル

のビットを暗号化することとを含み、暗号文の暗号文モジュラスが、ｑ≒２^４６およびｑ’≒２^６０での複合Ｑ＝ｑ・ｑ’である、第２５項に記載の方法。
２７．インデックスｉを暗号化することが、ｉ_１の最下位ビットσ_１，０には、単位元を使用して最下位ビットを乗算し、ビットσ_１，０にはｑ’も掛けることと、
ｉ_１の他のビットには、幅広かつ短いガジェット行列を使用して他のビットを乗算することと、ｊ＞１の他のｉ_ｊの単項表現をエンコードするビットには、やや四角形のガジェット行列を使用して、単項表現をエンコードするビットを乗算することとを含む、第２６項に記載の方法。
２８．復号することが、秘密鍵を使用して、１つまたは複数の圧縮された暗号文を含んでいる応答を復号して、１つまたは複数の圧縮された暗号文に対応する平文および追加のノイズの冗長なエンコーディングを含んでいる行列を取得することと、エンコーディングの冗長性を使用して、ノイズを除去し、１つまたは複数の圧縮された暗号文に対応する平文を回復することとを含む、第２５項に記載の方法。
２９．平文の冗長なエンコーディングが、ほぼ正方形のガジェット行列が掛けられた平文を含んでいる行列を含む、第３０項に記載の方法。
３０．ほぼ正方形のガジェット行列Ｈについて、別の行列Ｆが存在し、Ｆが最大階数およびｑよりはるかに小さいエントリを含み、ｑがエラーを伴う学習モジュラスであり、Ｈ×Ｆ＝０ｍｏｄｑであり、行列Ｆのエントリが、エントリに暗号文からのノイズを掛けた後に結果がｑよりまだ小さくなるように、十分に小さい、第２９項に記載の方法。
３１．秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、平文を含んでいる行列が行列

であり、Ｍが平文であり、ＳＭ’＝Ｍとなるようにする、第２９項に記載の方法。
３２．平文がｎ_０×ｎ_０行列Ｍであり、行列Ｍ’が、エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、次元がｋによって示され、ｎ_１＝ｎ_０＋ｋと表すと、埋められた行列Ｍ’が次元ｎ_１×ｎ_０を有する、第３１項に記載の方法。
３３．Ｍ’の右に次元ｎ_０×ｎ_２のガジェット行列Ｈを掛けることを含んでいる冗長なエンコーディングが、ｎ_１×ｎ_２の暗号文の行列の最終的な次元をもたらす、第３２項に記載の方法。
３４．平文の冗長なエンコーディングが、１より大きい正数が掛けられた平文を含んでいる行列を含む、第３０項に記載の方法。
３５．秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、平文を含んでいる行列が行列

であり、Ｍが平文であり、ＳＭ’＝Ｍとなるようにする、第３４項に記載の方法。
３６．平文がｎ_０×ｎ_０行列Ｍであり、行列Ｍ’が、エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、次元がｋによって示され、ｎ_１＝ｎ_０＋ｋと表すと、埋められた行列Ｍ’が次元ｎ_１×ｎ_０を有する、第３５項に記載の方法。

Claims

第１のコンピュータ・システムに送信するために、第２のコンピュータ・システムで実行される、平文を暗号化して暗号化データを作成することと、
前記第１のシステムが、前記暗号化データを復号するための復号鍵を持っておらず、前記暗号化データを前記第２のコンピュータ・システムから前記第１のコンピュータ・システムに送信することと、
前記第２のコンピュータ・システムによって、前記暗号化データを使用して決定され得る特定の情報に対する要求を送信することと、
前記第２のコンピュータ・システムで、前記第１のコンピュータ・システムから、前記要求に対する応答を受信することであって、前記応答が、要求された前記特定の情報に対応する１つまたは複数の圧縮された暗号文を含む、前記受信することと、
前記第２のコンピュータ・システムによって、前記１つまたは複数の圧縮された暗号文を対応する平文に復号することとを含む、方法。
前記復号することが、秘密鍵を使用して、前記１つまたは複数の圧縮された暗号文を含んでいる前記応答を復号して、前記１つまたは複数の圧縮された暗号文に対応する前記平文および追加のノイズの冗長なエンコーディングを含んでいる行列を取得することと、前記エンコーディングの冗長性を使用して、前記ノイズを除去し、前記１つまたは複数の圧縮された暗号文に対応する前記平文を回復することとを含む、請求項１に記載の方法。
前記平文の前記冗長なエンコーディングが、ほぼ正方形のガジェット行列が掛けられた前記平文を含んでいる行列を含む、請求項２に記載の方法。
前記ほぼ正方形のガジェット行列Ｈについて、別の行列Ｆが存在し、Ｆが最大階数およびｑよりはるかに小さいエントリを含み、ｑがエラーを伴う学習モジュラスであり、Ｈ×Ｆ＝０ｍｏｄｑであり、行列Ｆの前記エントリが、前記エントリに暗号文からのノイズを掛けた後に結果がｑよりまだ小さくなるように、十分に小さい、請求項３に記載の方法。
前記秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、
前記平文を含んでいる前記行列が行列

であり、Ｍが前記平文であり、ＳＭ’＝Ｍとなるようにする、請求項３に記載の方法。
前記平文がｎ０×ｎ０行列Ｍであり、前記行列Ｍ’が、前記エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、前記次元がｋによって示され、ｎ１＝ｎ０＋ｋと表すと、埋められた前記行列Ｍ’が次元ｎ１×ｎ０を有する、請求項５に記載の方法。
Ｍ’の右に次元ｎ０×ｎ２のガジェット行列Ｈを掛けることを含んでいる前記冗長なエンコーディングが、ｎ１×ｎ２の暗号文の行列の最終的な次元をもたらす、請求項６に記載の方法。
前記平文の前記冗長なエンコーディングが、１より大きい整数が掛けられた前記平文を含んでいる行列を含む、請求項２に記載の方法。
前記秘密鍵が形態Ｓ＝［Ｓ’｜Ｉ］の行列であり、Ｓ’がエラーを伴う学習（ＬＷＥ）シークレットであり、
前記平文を含んでいる前記行列が行列

であり、Ｍが前記平文であり、ＳＭ’＝Ｍとなるようにする、請求項８に記載の方法。
前記平文がｎ０×ｎ０行列Ｍであり、前記行列Ｍ’が、前記エラーを伴う学習（ＬＷＥ）シークレットの次元と同じ数のゼロ行を追加することによってＭから取得され、前記次元がｋによって示され、ｎ１＝ｎ０＋ｋと表すと、埋められた前記行列Ｍ’が次元ｎ１×ｎ０を有する、請求項９に記載の方法。