一种隐私信息检索协议制定方法、存储介质及装置与流程

1.本发明涉及隐私信息检索技术领域，具体是一种隐私信息检索协议制定方法、存储介质及装置。


背景技术：

2.隐私信息检索(private information retrieval-pir)是许多隐私保护系统的关键组成部分，其目标是：客户端能够成功地从数据库中检索自己需要的数据，同时保证数据库服务端不知道客户端检索了哪些数据。实际中有很多具体应用场景，例如：病患想通过医药系统查询某种疾病的治疗药物，但又不希望会泄露“疾病名称”等信息；专利申请过程，用户想要查询某专利是否已经存在，就必须首先向相关数据库提交自己申请的域名或专利信息，而这些信息均涉及用户的隐私；证券市场中，某用户想查询某个股票信息，但又不想泄露自己感兴趣的是哪支股票；等等。
3.pir协议可以分为两类：信息论安全的隐私信息检索协议(information-theoretic pir)、计算安全的隐私信息检索协议(computional pir)；前者需要多台服务器来构建协议，需要保证一定数量的服务器之间不能合谋，因此实用性很差，但此类协议能够保证绝对安全，即：在假设攻击者的计算能力无限条件下仍能保证用户的隐私；后者基于数学困难问题和密码方案构建协议，只需要一台服务器，但此类协议效率比较低，且只能保证相对安全，即：在假设攻击者的计算能力为多项式时间的条件下才能保证用户的隐私。
4.在实际应用中，用户和研究者更加关心的是如何在保证安全性的同时尽可能的提高检索效率。然而，对于隐私信息检索协议，有五个主要因素影响检索的效率：(1)客户端生成查询密文的计算时间；(2)发送查询密文给服务端所需的通信时间；(3)服务端生成响应密文的计算时间；(4)发送响应密文给客户端所需的通信时间；(5)客户端解密解码响应密文的计算时间。本发明的主要目标就是提出一种高效实用的基于同态加密算法的隐私信息检索协议。
5.隐私信息检索由chor等人在1995年首次提出，主要提出两个问题：第一，在服务端无法获得关于用户需求的前提下，客户端是否仍可以从服务端得到自己需要检索的数据？第二，这种方式是否比让客户端下载整个数据库更高效吗？之后，经过国内外学者多年研究，提出了很多隐私信息检索协议，可以对以上两个问题给出肯定回答。其中值得关注的是，很多computional pir的效率都低于客户端直接下载整个数据库后本地检索的效率，直到基于格密码的computional pir的出现；近年来最高效的computional pir均是基于全同态密码方案构建的单服务器隐私信息检索协议。
6.xpir(可参见《c.aguilar-melchor,j.barrier,l.fousse,and m.-o.killijian.xpir:private information retrieval for everyone.in proceedings of the privacy enhancing technologies symposium(pets),july 2016.》)是目前在实践中计算效率较高的单服务器隐私信息检索协议，其关键思想是：基于格密码系统执行加密和同态运算，客户端发送给服务端的查询由个密文多项式组成，故服务端涉及的所有的运算
均在多项式上完成，方案基于中国剩余定理crt和ntt技术来并行化处理多项式之间的计算，从而达到提高计算效率的目的；然而，大规模的查询仍带来了很大的通信成本。
7.sealpir(可参见《sebastian angel,hao chen,kim laine,and srinath t.v.setty.2018.pir with compressed queries and amortized query processing.in 2018ieee symposium on security and privacy.ieee computer society,san francisco,california,usa,962
–
979.》)对xpir协议改进，介绍了一种提高pir协议通信成本的方法，为了减小查询阶段的网络花销，客户端生成的询问仅由一个密文多项式构成，大大缩减了通信成本；但是服务端为了生成响应密文，引入了基于完全二叉树扩展查询密文的操作，这一阶段带来了大量的密文同态运算，导致计算成本大大增加。


技术实现要素：

8.为克服现有技术的不足，本发明提供了一种基于同态加密算法的隐私信息检索协议制定方法、存储介质及装置，解决现有技术存在的难以同时在较小的通信成本和较小的计算成本下实现高效检索等问题。
9.本发明解决上述问题所采用的技术方案是：
10.一种基于同态加密算法的隐私信息检索协议设计方法，包括以下步骤：
11.s1，客户端和服务端初始化系统参数，并分别对同态加密算法和数据库执行预处理；
12.s2，客户端和服务端的查询和响应交互：首先，客户端向服务端发送“期待检索数据位置i0的密文形式”作为请求，请求获得数据库中待检索位置的密文数据；其次，服务端基于请求和拥有的数据库信息做出响应；最后，客户端对响应密文进行解密，得到待检索数据。
13.作为一种优选的技术方案，步骤s1包括以下步骤：
14.s11，由客户端和服务端共同定义系统参数；
15.s12，由客户端构建bfv同态加密算法，并对算法执行参数初始化设置；
16.s13，由服务端对数据库执行预处理设置，定义：数据库db＝{qi|i∈id}，其中，qi表示数据库中的第i个位置存储的明文数据，id＝{0,1,...,n-1}表示所有数据位置下标的集合，n表示数据库db中存储数据的总数量。
17.作为一种优选的技术方案，步骤s11包括以下步骤：
18.s111，客户端和服务端共同定义基于rlwe的密码算法参数设置：安全参数为λ；t表示明文多项式的模数,t＞1且r为整数；q＝δ
·
r+r
t
(q)表示密文多项式的模数，其中，r
t
(q)＝q mod t为余数项，参数n＝n(λ)为多项式的阶数，且n≥n；r＝z[x]/(xn+1)表示整数多项式环，rq＝zq[x]/(xn+1)表示系数模q的整数多项式环，r
t
＝z
t
[x]/(xn+1)表示系数模t的整数多项式环；
[0019]
s112，客户端和服务端共同定义基于lwe密码算法参数设置：安全参数为λ，n表示向量的维数，且n≥n；q为整数且表示密文向量的模数；zq表示模q的整数，z
qn
表示每个元素均模q的n维整数向量；
[0020]
s113，客户端和服务端共同定义两个函数：和g-1
：且这两个函
数满足都有g
·
g-1
(a)＝a，其中，表示d维的系数模q的整数多项式环。
[0021]
作为一种优选的技术方案，步骤s12包括以下步骤：
[0022]
s121，客户端基于decision-rlwe，构建bfv同态加密算法，生成密钥
[0023]
其中，s和s
′
为在rq上选取的两个随机多项式，设s＝s0+s1x+s2x2+...+s
n-1
x
n-1
，s
′
＝s0′
+s1′
x+s2′
x2+...+s
n-1
′
x
n-1
，且{si，si′
∈zq|i＝{0，1，...，n-1}}表示多项式s和s
′
的系数；提取多项式的系数得到两个向量和和
[0024]
s122，客户端生成n个切换密钥，第i个切换密钥表示为evki，evki由k0和k1两部分组成，即：(evki＝[k0|k1]，i∈{0，1，...，n-1})，且k0和k1的公式为：之后，客户端将这n个切换密钥传输给服务端，支撑服务端后续计算；
[0025]
其中，k1表示在中均匀随机选取的多项式，ei表示χd上随机选取的误差多项式，χd表示d维的χ，χ表示定义在r上的误差分布，u(
·
)表示均匀分布，si表示由多项式s的系数变换位置和符号而产生的新的多项式，具体公式为：
[0026][0027]
提取以上多项式s0，s1，s2，...，s
n-1
的系数，得到对应的向量
[0028][0029]
作为一种优选的技术方案，步骤s2包括以下步骤：
[0030]
s21，客户端基于多项式乘法特性和bfv同态加密算法生成查询密文ct
query
；
[0031]
s22，客户端将查询密文ct
query
发送给服务端；
[0032]
s23，服务端基于lwe-lwe密文切换技术进行密文扩展得到之后计算生成反馈信息ct
respond
；
[0033]
s24，服务端将反馈信息ct
respond
发送给客户端；
[0034]
s25，客户端执行解密算法dec(ct
respond
，sk)，得到当期待检索数据位置序号为i0时，对应的检索数据
[0035]
具体为：
[0036]
针对反馈信息ct
respond
执行解密解码操作，取多项式s
′
的系数构成向量通过如下公式计算：
[0037][0038]
其中，i∈{0，1，...，n-1}表示数据库中每个数据的位置序号，qi表示数据库中的第i个位置存储的明文数据，cti″′
为ct
respond
展开式中的一项且表示一个lwe密文，mi∈{0，1}表示明文多项式m中的第i个系数。
[0039]
作为一种优选的技术方案，步骤s21包括以下步骤：
[0040]
s211，客户端执行编码算法encode(i0)
→
m：对待检索数据的位置序号i0进行编码，生成明文多项式m∈r
t
：
[0041][0042]
s212，客户端执行加密算法enc(m，sk)
→
ct
query
：基于bfv同态加密算法，利用密钥sk对明文多项式m加密，生成一个rlwe密文sk对明文多项式m加密，生成一个rlwe密文且c0和c1的公式如下：
[0043][0044]
其中，rlwe密文指基于decision-rlwe困难性问题的同态加密算法生成的密文，表示2维rq多项式，a为rq中随机选取的多项式，定义a＝a0+a1x+a2x2+...+a
n-1
x
n-1
；e为均匀分布χ中随机选取的多项式，定义e＝e0+e1x+e2x2+...+e
n-1
x
n-1
；基于多项式乘法特性有定义定义表示多项式c0的系数；s
i-j
和s
n+i-j
表示密钥多项式s的系数。
[0045]
作为一种优选的技术方案，步骤s23包括以下步骤：
[0046]
s231，服务端执行密文扩展算法服务端将收到的单个密文ct
query
扩展为由n个基于decision-lwe的密文(简称“lwe密文”){ct0″′
，ct1″′
，...，ct
n-1
″′
}组成的向量即即且满足第i0个密文为enc(1)，其余密文为enc(0)；
[0047]
s232，服务端执行反馈信息生成算法s232，服务端执行反馈信息生成算法对于数据库db：{qi|i∈{0，1，...，n-1}}，补充令{qn＝0，q
n+1
＝0，...，q
n-1
＝0}；计算反馈信息
[0048]
作为一种优选的技术方案，步骤s231包括以下步骤：
[0049]
s2311，服务端构建n个对应不同密钥的lwe密文：基于查询密文ct
query
＝(c0，c1)，提取多项式c0的系数b0，b1，...，b
n-1
，提取多项式c1的系数a0，a1，...，a
n-1
，并设向量重构生成n个基于lwe的密文
[0050][0051]
其中，以上
→
表示密文{ct0，ct1，...，ct
n-1
}对应的密钥分别为
[0052]
s2312，服务端生成n个对应不同密钥的rlwe密文：基于以上n个lwe密文{ct0，ct1，...，ct
n-1
}，提取第i个密文向量cti的每个元素令{bi＝bi(0)|i∈{0，1，...，n-1}，bi∈rq}，其中，表示向量的第j个元素；重构生成n个基于rlwe的密文
[0053][0054]
其中，以上
→
表示密文{ct0′
，ct1′
，...，ct
n-1
′
}对应的密钥分别为{(1，s0)，(1，s1)，...，(1，s
n-1
)}；
[0055]
s2313，服务端生成n个对应相同密钥的rlwe密文：基于以上n个对应不同密钥的rlwe密文{ct0′
，ct1′
，...，ct
n-1
′
}和n个切换密钥{evk0，evk
12
，...，evk
n-1
}，执行密文转换算法cipswitch(cti′
，evki)
→
cti″
，生成n个对应相同密钥的基于rlwe的密文，生成n个对应相同密钥的基于rlwe的密文
[0056][0057]
其中，以上
→
表示密文{ct0″
，ct1″
，...，ct
n-1
″
}对应的密钥均为(1，s
′
)；
[0058]
s2314，服务端生成n个对应相同密钥的lwe密文：基于以上n个对应相同密钥的rlwe密文{ct0″
，ct1″
，...，ct
n-1
″
|cti″
＝(bi′
，a
′
)}，提取多项式bi′
的常数项，令bi′
＝bi′
(0)；提取多项式a
′
的系数{a0′
，a1′
，...，a
n-1
′
}，令生成n个对应相同密钥的lwe密文应相同密钥的lwe密文
[0059][0060]
其中，以上
→
表示密文{ct0″′
，ct1″′
，...，ct
n-1
″′
}对应的密钥均为
[0061]
一种基于同态加密算法的隐私信息检索协议存储介质，存储有根据所述的一种基于同态加密算法的隐私信息检索协议制定方法制定的隐私信息检索协议。
[0062]
一种基于同态加密算法的隐私信息检索协议装置，包括所述的一种基于同态加密算法的隐私信息检索协议存储介质。
[0063]
本发明相比于现有技术，具有以下有益效果：
[0064]
(1)本发明基于对称型同态加密方案，故用户端预处理构建同态加密方案的效率更高；
[0065]
(2)相较xpir的查询是n个密文多项式向量，本发明和sealpir的查询是单个密文多项式，故本发明协议中用户端计算查询信息的时间缩短n倍，且“用户端
→
服务端”提交查询的通信时间也缩短n倍；
[0066]
(3)相较sealpir服务端的expand阶段引入了2m次同态密文加法、m次明密文同态乘法和2m次密文切换，本发明expand阶段没有引入同态运算，只涉及n次密文切换，因此本发明服务端计算反馈信息的效率更高。
附图说明
[0067]
图1为本发明服务端和客户端交互流程图。
具体实施方式
[0068]
下面结合实施例及附图，对本发明作进一步的详细说明，但本发明的实施方式不限于此。
[0069]
实施例
[0070]
如图1所示，本发明涉及数据检索隐私增强技术领域，特别涉及一种基于同态加密算法的隐私信息检索协议，主要解决“如何实现pir协议中网络通信成本和计算成本的一种新均衡”，可以应用于数据库安全查询，如：医药数据库、专利数据库等对检索隐私有较高要求的场合。
[0071]
本发明设计了一个新的基于同态加密算法的隐私信息检索协议，实现了网络通信成本和计算成本的一种新均衡，其性能要优于xpir和sealpir。具体地：在缩减查询阶段通信成本的同时，采用另一种巧妙的方法完成服务端扩展密文的操作，这一过程不会引入任何密文同态运算，从而大大减小服务端生成响应的计算成本；此外，本发明利用对称bfv方案代替不对称bfv方案，这对于提高用户端预处理、加解密阶段效率也有明显的效果。本发明可以应用于数据库安全查询等实际场景中。
[0072]
本发明提供一种基于同态加密算法的隐私信息检索协议，该协议是计算安全的隐私信息检索协议，是一种可行的基于单服务端隐私保护技术。
[0073]
首先，对后续用到的格密码困难假设定义如下：
[0074]
定义1(decision-rlwe)：对于安全参数λ，设q≥2为整数，n＝n(λ)为多项式阶数，r＝z[x]/(xn+1)为整数多项式环，rq＝zq[x]/(xn+1)为系数模q的整数多项式环，χ＝χ(λ)∈r为噪声均匀分布；分布随机选择s
←rq
，a
←rq
，e
←
χ作为输入，输出decision-rlwe的困难性假设是：分布和均匀分布不可区分。
[0075]
定义2(decision-lwe)：对于安全参数λ，定义z
qn
为每个元素均模q的n维整数向量；χ
′
＝χ
′
(λ)为噪声均匀分布；分布随机选择随机选择e
←
χ
′
作为输入，输出decision-lwe的困难性假设是：分布和均匀分布u(zqn+1)不可区分。
[0076]
本发明是基于以下技术方案实现的：
[0077]
本发明提供一种均衡通信成本和计算成本的隐私信息检索方法，涉及一个客户端和单个服务端之间的交互，包括以下两个大的阶段：
[0078]
第一阶段：客户端和服务端初始化系统参数，并分别对同态加密算法和数据库执行预处理；
[0079]
第二阶段：客户端和服务端的查询和响应交互：首先，客户端向服务端发送“期待检索数据位置i0的密文形式”作为请求，请求获得数据库中待检索位置的密文数据；其次，服务端基于请求和拥有的数据库信息做出响应；最后，客户端对响应密文进行解密，得到待检索数据。
[0080]
进一步的，下面对两个阶段进行详细描述：
[0081]
《第一阶段》：流程具体如下：
[0082]
步骤一：由客户端和服务端共同定义系统参数，具体如下：
[0083]
(1)定义基于rlwe的密码算法参数：安全参数为λ，t＞1为整数且表示明文多项式的模数，q＝δ
·
t+r
t
(q)表示密文多项式的模数；其中，r
t
(q)＝q mod t为余数项，参数
n＝n(λ)为多项式的阶数，且n≥n；r＝z[x]/(xn+1)表示整数多项式环，rq＝zq[x]/(xn+1)表示系数模q的整数多项式环，r
t
＝z
t
[x]/(xn+1)表示系数模t的整数多项式环；
[0084]
(2)定义基于lwe的密码算法参数：安全参数为λ，n表示向量的维数，且n≥n，q为整数且表示密文向量的模数，zq表示模q的整数，z
qn
表示每个元素均模q的n维整数向量；
[0085]
(3)定义两个函数：和且这两个函数满足都有g
·
g-1
(a)＝a，其中，表示d维的系数模q的整数多项式环。
[0086]
步骤二：由客户端构建bfv同态加密算法，并对算法执行参数初始化设置，具体如下：
[0087]
(1)生成私钥sk：
[0088][0089]
其中，s和s
′
为在rq上选取的两个随机多项式，设s＝s0+s1x+s2x2+...+s
n-1
x
n-1
，s
′
＝s0′
+s1′
x+s2′
x2+...+s
n-1
′
x
n-1
，且{si，si′
∈zq|i＝{0，1，...，n-1}}表示多项式s和s
′
的系数；提取多项式的系数得到两个向量和和
[0090]
(2)生成n个切换密钥，第i个切换密钥表示为evki，evki由k0和k1两部分组成，即：(evki＝[k0|k1]，i∈{0，1，...，n-1})，且k0和k1的公式为：之后，客户端将这n个切换密钥传输给服务端，支撑服务端后续计算；
[0091]
其中，k1表示在中均匀随机选取的多项式，ei表示χd上随机选取的误差多项式，χd表示d维的χ，χ表示定义在r上的误差分布，u(
·
)表示均匀分布，si表示由多项式s的系数变换位置和符号而产生的新的多项式，具体公式为：
[0092][0093]
提取以上多项式s0，s1，s2，...，s
n-1
的系数，得到对应的向量
[0094][0095]
注：evki·
(1，s
′
)＝si·
g+ei(mod q)；
[0096]
步骤三：由服务端对数据库执行预处理设置，定义：数据库db＝{qi|i∈id}，其中，
qi表示数据库中的第i个位置存储的明文数据，id＝{0，1，...，n-1}表示所有数据位置下标的集合，n表示数据库db中存储数据的总数量。
[0097]
《第二阶段》：流程具体如下：
[0098]
步骤一：基于bfv同态加密算法和多项式乘法特性，客户端生成查询密文ct
query
，具体步骤如下：
[0099]
(1)执行编码算法encode(i0)
→
m：对待检索数据的位置序号i0进行编码，生成明文多项式m∈r
t
：
[0100][0101]
(2)执行加密算法enc(m，sk)
→
ct
query
：基于bfv同态加密算法，利用密钥sk对明文多项式m加密，生成一个基于rlwe的密文(简称“rlwe密文”)且c0和c1的公式如下：
[0102][0103]
其中，表示2维rq多项式，a为rq中随机选取的多项式，定义a＝a0+a1x+a2x2+...+a
n-1
x
n-1
；e为均匀分布χ中随机选取的多项式，定义e＝e0+e1x+e2x2+...+e
n-1
x
n-1
；基于多项式乘法特性有定义定义表示多项式c0的系数；s
i-j
和s
n+i-j
表示密钥多项式s的系数。
[0104]
步骤二：客户端将查询密文ct
query
发送给服务端；
[0105]
步骤三：服务端基于lwe-lwe密文切换技术进行密文扩展得到之后计算生成反馈信息ct
respond
：
[0106]
(1)执行密文扩展算法服务端将收到的单个密文ct
query
扩展为由n个“lwe密文”{ctx
″′
，ct1″′
，...，ct
n-1
″′
}组成的向量即且满足第i0个密文为enc(1)，其余密文为enc(0)；具体步骤如下：
[0107]
①
构建“n个对应不同密钥的lwe密文”：基于查询密文ct
query
＝(c0，c1)，提取多项式c0的系数b0，b1，...，b
n-1
，提取多项式c1的系数a0，a1，...，a
n-1
，并设向量重构生成n个基于lwe的密文
[0108][0109]
其中，以上
→
表示密文{ct0，ct1，...，ct
n-1
}对应的密钥分别为验证可知：验证可知：
[0110]
②
生成“n个对应不同密钥的rlwe密文”：基于以上n个lwe密文{ct0，ct1，...，ct
n-1
}，提取第i个密文向量cti的每个元素令{bi＝bi(0)|i∈{0，1，...，n-1}，bi∈rq}，其中，表示向量的第j个元素；重构生成n个基于rlwe的密文
[0111][0112]
其中，以上
→
表示密文{ct0′
，ct1′
，...，ct
n-1
′
}对应的密钥分别为{(1，s0)，(1，s1)，...，(1，s
n-1
)}；验证可知：)}；验证可知：
[0113]
③
生成“n个对应相同密钥的rlwe密文”：基于以上n个对应不同密钥的rlwe密文{ct0′
，ct1′
，...，ct
n-1
′
}和n个切换密钥{evk0，evk1，...，evk
n-1
}，执行密文转换算法cipswitch(cti′
，evki)
→
cti″
，生成n个对应相同密钥的基于rlwe的密文，生成n个对应相同密钥的基于rlwe的密文
[0114][0115]
其中，以上
→
表示密文{ct0″
，ct1″
，...，ct
n-1
″
}对应的密钥均为(1，s
′
)；验证可知：
[0116]
＜cti″
，(1，s
′
)＞[0]＝bi+g-1
(a)
·
evki·
(1，s
′
)(mod q)[0]
[0117]
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
＝bi+＜g-1
(a)，si·
g+ei＞(mod q)[0]
[0118]
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
＝＜cti′
，(1，si)＞+e
ksi
(mod q)[0]
[0119]
ꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀꢀ
＝ei+e
ksi
+δ
·
mi[0120]
其中，e
ksi
＝＜g-1
(a)，ei＞∈r，i＝{0，1，...，n-1}表示密文切换过程中引入的误差。
[0121]
④
生成“n个对应相同密钥的lwe密文”：基于以上n个对应相同密钥的rlwe密文{ct0″
，ct1″
，...，ct
n-1
″
|cti″
＝(bi′
，a
′
)}，提取多项式bi′
的常数项，令bi′
＝bi′
(0)；提取多项式a
′
的系数{a0′
，a1′
，...，a
n-1
′
}，令生成n个对应相同密钥的lwe密文的lwe密文
[0122][0123]
其中，以上
→
表示密文{ct0″′
，ct1″′
，...，ct
n-1
″′
}对应的密钥均为
[0124]
综上四个步骤，验证可知：当i＝{0，1，...，n-1}时，有1}时，有
[0125]
(2)执行反馈信息生成算法对于数据库db：{qi|i∈{0，1，...，n-1}}，补充令{qn＝0，q
n+1
＝0，...，q
n-1
＝0}；计算反馈信息＝0}；计算反馈信息
[0126]
步骤四：服务端将反馈信息ct
respond
发送给客户端；
[0127]
步骤五：客户端执行解密算法dec(ct
respond
，sk)，得到当期待检索数据位置序号为i0时，对应的检索数据具体为：针对反馈信息ct
respond
执行解密解码操作，取多项式s
′
的系数构成向量通过如下公式计算：
[0128][0129]
其中，i∈{0，1，...，n-1}表示数据库中每个数据的位置序号，qi表示数据库中的第i个位置存储的明文数据，cti″′
为ct
respond
展开式中的一项且表示一个“lwe密文”，mi∈{0，1}表示明文多项式m中的第i个系数。
[0130]
对本发明的通信成本和计算成本进行分析，与其他两个典型方案xpir、sealpir进
行量化对比，如下表：
[0131][0132][0133]
根据以上量化分析：首先，本发明基于对称同态加密方案，故用户端预处理构建同态加密方案的效率更高；其次，相较xpir的查询是n个密文多项式向量，本发明和sealpir的查询是单个密文多项式，故本发明协议中用户端计算查询信息的时间缩短n倍，且“用户端
→
服务端”提交查询的通信时间也缩短n倍；再者，相较sealpir服务端的expand阶段引入了2m次同态密文加法、m次明密文同态乘法和2m次密文切换，本发明expand阶段没有引入同态运算，只涉及n次密文切换，因此本发明服务端计算反馈信息的效率更高。
[0134]
如上所述，可较好地实现本发明。
[0135]
本说明书中所有实施例公开的所有特征，或隐含公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合和/或扩展、替换。
[0136]
以上所述，仅是本发明的较佳实施例而已，并非对本发明作任何形式上的限制，依据本发明的技术实质，在本发明的精神和原则之内，对以上实施例所作的任何简单的修改、等同替换与改进等，均仍属于本发明技术方案的保护范围之内。