知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】6643756
(24)【登録日】2020年1月9日
(45)【発行日】2020年2月12日
(54)【発明の名称】サーバ、サービス方法
(51)【国際特許分類】
G09C 1/00 20060101AFI20200130BHJP
【ＦＩ】
G09C1/00 650Z
G09C1/00 620Z
【請求項の数】6
【全頁数】17
(21)【出願番号】特願2015-227711(P2015-227711)
(22)【出願日】2015年11月20日
(65)【公開番号】特開2017-97102(P2017-97102A)
(43)【公開日】2017年6月1日
【審査請求日】2018年10月17日
(73)【特許権者】
【識別番号】301022471
【氏名又は名称】国立研究開発法人情報通信研究機構
(74)【代理人】
【識別番号】110001092
【氏名又は名称】特許業務法人サクラ国際特許事務所
(72)【発明者】
【氏名】王 立華
(72)【発明者】
【氏名】青野 良範
(72)【発明者】
【氏名】林 卓也
(72)【発明者】
【氏名】レ チュウ フォン
【審査官】
行田 悦資
(56)【参考文献】
【文献】
特開２０１５−１７７５０６（ＪＰ，Ａ）
【文献】
特開２０１５−０３１９３５（ＪＰ，Ａ）
【文献】
国際公開第２０１４／１１２５４８（ＷＯ，Ａ１）
【文献】
青野良範ほか，セキュリティアップデータブル準同型暗号を用いた秘匿データの線形回帰計算，２０１５年 暗号と情報セキュリティシンポジウム概要集，一般社団法人電子情報通信学会，２０１５年 １月２０日，p.1-7
(58)【調査した分野】（Int.Cl.，ＤＢ名）
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
次式：
ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
（ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数、
ｎは正の整数、
ｓは正の実数、
ｌは正の整数、
ｐは正の整数でｐとｑは互いに素、
ｑは正の整数、
Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
ＰはＰ＝ｐＲ−ＡＳによる（ただし、Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数））
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを複数記憶保持する手段と、
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに該情報を受け付ける手段と、
前記情報に基づいて、
ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、
ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、および
スカラーξ＝ｃ２ｃ２’Ｔを算出する手段と、
前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記クライアントに提供する手段と
を具備するサーバ。
ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
（ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数、
ｎは正の整数、
ｓは正の実数、
ｌは正の整数、
ｐは正の整数でｐとｑは互いに素、
ｑは正の整数、
Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
ＰはＰ＝ｐＲ−ＡＳによる（ただし、Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数））
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを複数記憶保持する手段と、
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに該情報を受け付ける手段と、
前記情報に基づいて、
ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、
ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、および
スカラーξ＝ｃ２ｃ２’Ｔを算出する手段と、
前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記クライアントに提供する手段と
を具備するサーバ。
【請求項2】
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’についての内積である第１の内積と、複数の前記暗号データのうちの２つの暗号データｃ”、ｃ”’に対応する２つの平文データｍ”、ｍ”’についての内積である第２の内積との和を求めるべき情報である第２の情報がもたらされたときに該第２の情報を受け付ける手段と、
前記第２の情報に基づいて、
ｎ行ｎ列の第２の正方行列ΣＷ１＝ｃ１’Ｔｃ１＋ｃ１”’Ｔｃ１”、
ｎ行ｌ列の第２の行列ΣＷ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’＋ｃ１”’Ｔｃ２”＋ｃ１”Ｔｃ２”’、および
第２のスカラーΣξ＝ｃ２ｃ２’Ｔ＋ｃ２”ｃ２”’Ｔを算出する手段と、
前記第２の正方行列ΣＷ１、前記第２の行列ΣＷ２、および前記第２のスカラーΣξを前記クライアントに提供する手段と
をさらに具備する請求項１記載のサーバ。
前記第２の情報に基づいて、
ｎ行ｎ列の第２の正方行列ΣＷ１＝ｃ１’Ｔｃ１＋ｃ１”’Ｔｃ１”、
ｎ行ｌ列の第２の行列ΣＷ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’＋ｃ１”’Ｔｃ２”＋ｃ１”Ｔｃ２”’、および
第２のスカラーΣξ＝ｃ２ｃ２’Ｔ＋ｃ２”ｃ２”’Ｔを算出する手段と、
前記第２の正方行列ΣＷ１、前記第２の行列ΣＷ２、および前記第２のスカラーΣξを前記クライアントに提供する手段と
をさらに具備する請求項１記載のサーバ。
【請求項3】
前記暗号データに対してセキュリティ更新を行うための鍵である、前記公開鍵との関係性を有する更新鍵、および該セキュリティ更新がされたあとの前記クライアントの公開鍵である新公開鍵が前記クライアントから送付されたときに該更新鍵および該新公開鍵を受け取る手段と、
前記暗号データに行う前記セキュリティ更新として、前記更新鍵および前記新公開鍵を用いて、前記暗号データを、前記新公開鍵により暗号化された形式を有しかつ準同型性を有するデータである更新暗号データに変換する手段と、
前記暗号データが前記更新暗号データに変換されたあと、前記暗号データを破棄して該暗号データを前記更新暗号データで置き換える手段と
をさらに具備する請求項１記載のサーバ。
前記暗号データに行う前記セキュリティ更新として、前記更新鍵および前記新公開鍵を用いて、前記暗号データを、前記新公開鍵により暗号化された形式を有しかつ準同型性を有するデータである更新暗号データに変換する手段と、
前記暗号データが前記更新暗号データに変換されたあと、前記暗号データを破棄して該暗号データを前記更新暗号データで置き換える手段と
をさらに具備する請求項１記載のサーバ。
【請求項4】
前記更新鍵が、前記公開鍵、該公開鍵に対応する秘密鍵、前記新公開鍵、および該新公開鍵に対応する新秘密鍵を用いて、次式：
Ｘ： ｎκ行ｎｎｅｗ列の行列で各要素は整数の集合（０，…，ｑ−１）から無作為に
サンプリングした整数
Ｙ＝−ＸＳｎｅｗ＋ｐＥ＋Ｐｏｗｅｒ２（Ｓ）
（ここで、κはκ＝ｃｅｉｌｉｎｇ（ｌｏｇ２ｑ）による、
ｎｎｅｗは、ｎより大の正の整数、
Ｓｎｅｗは、ｎｎｅｗ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
ｓｎｅｗは正の実数、
Ｅは、ｎκ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
Ｐｏｗｅｒ２（Ｓ）はｎκ行ｌ列の行列で、Ｂｉｔｓ（ｃ）・Ｐｏｗｅｒ２（Ｓ）＝ｃ・ＳとなるようにＳを変換する関数、
Ｂｉｔｓ（ｃ）は、成分数がｎで各成分がｑを法として表された整数であるベクトルｃについてその各成分をビット化し、成分数がｎκになったベクトル、
前記公開鍵が（Ａ，Ｐ，ｎ，ｓ）、前記秘密鍵がＳ、前記新公開鍵が（Ａｎｅｗ，Ｐｎｅｗ，ｎｎｅｗ，ｓｎｅｗ）、前記新秘密鍵がＳｎｅｗであり、
Ａｎｅｗは、ｎｎｅｗ行ｎｎｅｗ列の正方行列で各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
Ｐｎｅｗは、Ｐｎｅｗ＝ｐＲｎｅｗ−ＡｎｅｗＳｎｅｗによる（ただし、Ｒｎｅｗ、Ｓｎｅｗは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である））
により生成された鍵（Ｘ，Ｙ）であるとき、
前記更新暗号データが、次式：
Ｆ＝［Ｂｉｔｓ（ｃ１）Ｘ｜Ｂｉｔｓ（ｃ１）Ｙ＋ｃ２］
Ｅ（０）＝ｆ１［Ａｎｅｗ｜Ｐｎｅｗ］＋ｐ［ｆ２｜ｆ３］
（ここで、Ｂｉｔｓ（ｃ１）は、成分数がｎで各成分がｑを法として表された整数であるベクトルｃ１についてその各成分をビット化し、成分数がｎκになったベクトル、
ｆ１、ｆ２は、それぞれ、成分数がｎｎｅｗのベクトルで各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
ｆ３は、成分数がｌのベクトルで、各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である）
により生成された暗号データＦ＋Ｅ（０）である
請求項３記載のサーバ。
Ｘ： ｎκ行ｎｎｅｗ列の行列で各要素は整数の集合（０，…，ｑ−１）から無作為に
サンプリングした整数
Ｙ＝−ＸＳｎｅｗ＋ｐＥ＋Ｐｏｗｅｒ２（Ｓ）
（ここで、κはκ＝ｃｅｉｌｉｎｇ（ｌｏｇ２ｑ）による、
ｎｎｅｗは、ｎより大の正の整数、
Ｓｎｅｗは、ｎｎｅｗ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
ｓｎｅｗは正の実数、
Ｅは、ｎκ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
Ｐｏｗｅｒ２（Ｓ）はｎκ行ｌ列の行列で、Ｂｉｔｓ（ｃ）・Ｐｏｗｅｒ２（Ｓ）＝ｃ・ＳとなるようにＳを変換する関数、
Ｂｉｔｓ（ｃ）は、成分数がｎで各成分がｑを法として表された整数であるベクトルｃについてその各成分をビット化し、成分数がｎκになったベクトル、
前記公開鍵が（Ａ，Ｐ，ｎ，ｓ）、前記秘密鍵がＳ、前記新公開鍵が（Ａｎｅｗ，Ｐｎｅｗ，ｎｎｅｗ，ｓｎｅｗ）、前記新秘密鍵がＳｎｅｗであり、
Ａｎｅｗは、ｎｎｅｗ行ｎｎｅｗ列の正方行列で各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
Ｐｎｅｗは、Ｐｎｅｗ＝ｐＲｎｅｗ−ＡｎｅｗＳｎｅｗによる（ただし、Ｒｎｅｗ、Ｓｎｅｗは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である））
により生成された鍵（Ｘ，Ｙ）であるとき、
前記更新暗号データが、次式：
Ｆ＝［Ｂｉｔｓ（ｃ１）Ｘ｜Ｂｉｔｓ（ｃ１）Ｙ＋ｃ２］
Ｅ（０）＝ｆ１［Ａｎｅｗ｜Ｐｎｅｗ］＋ｐ［ｆ２｜ｆ３］
（ここで、Ｂｉｔｓ（ｃ１）は、成分数がｎで各成分がｑを法として表された整数であるベクトルｃ１についてその各成分をビット化し、成分数がｎκになったベクトル、
ｆ１、ｆ２は、それぞれ、成分数がｎｎｅｗのベクトルで各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数、
ｆ３は、成分数がｌのベクトルで、各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である）
により生成された暗号データＦ＋Ｅ（０）である
請求項３記載のサーバ。
【請求項5】
次式：
ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
（ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数、
ｎは正の整数、
ｓは正の実数、
ｌは正の整数、
ｐは正の整数でｐとｑは互いに素、
ｑは正の整数、
Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
ＰはＰ＝ｐＲ−ＡＳによる（ただし、Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数））
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを記憶保持部が複数記憶保持し、
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに通信インターフェース部が該情報を受け付け、
前記情報に基づいて、
ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、
ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、および
スカラーξ＝ｃ２ｃ２’Ｔを計算処理部が算出し、
前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記通信インターフェース部が前記クライアントに提供する
サーバを用いたサービス方法。
ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
（ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数、
ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数、
ｎは正の整数、
ｓは正の実数、
ｌは正の整数、
ｐは正の整数でｐとｑは互いに素、
ｑは正の整数、
Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数、
ＰはＰ＝ｐＲ−ＡＳによる（ただし、Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数））
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを記憶保持部が複数記憶保持し、
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに通信インターフェース部が該情報を受け付け、
前記情報に基づいて、
ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、
ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、および
スカラーξ＝ｃ２ｃ２’Ｔを計算処理部が算出し、
前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記通信インターフェース部が前記クライアントに提供する
サーバを用いたサービス方法。
【請求項6】
前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’についての内積である第１の内積と、複数の前記暗号データのうちの２つの暗号データｃ”、ｃ”’に対応する２つの平文データｍ”、ｍ”’についての内積である第２の内積との和を求めるべき情報である第２の情報がもたらされたときに前記通信インターフェース部が該第２の情報を受け付け、
前記第２の情報に基づいて、
ｎ行ｎ列の第２の正方行列ΣＷ１＝ｃ１’Ｔｃ１＋ｃ１”’Ｔｃ１”、
ｎ行ｌ列の第２の行列ΣＷ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’＋ｃ１”’Ｔｃ２”＋ｃ１”Ｔｃ２”’、および
第２のスカラーΣξ＝ｃ２ｃ２’Ｔ＋ｃ２”ｃ２”’Ｔを前記計算処理部が算出し、
前記第２の正方行列ΣＷ１、前記第２の行列ΣＷ２、および前記第２のスカラーΣξを前記通信インターフェース部が前記クライアントに提供する
請求項５記載のサービス方法。
前記第２の情報に基づいて、
ｎ行ｎ列の第２の正方行列ΣＷ１＝ｃ１’Ｔｃ１＋ｃ１”’Ｔｃ１”、
ｎ行ｌ列の第２の行列ΣＷ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’＋ｃ１”’Ｔｃ２”＋ｃ１”Ｔｃ２”’、および
第２のスカラーΣξ＝ｃ２ｃ２’Ｔ＋ｃ２”ｃ２”’Ｔを前記計算処理部が算出し、
前記第２の正方行列ΣＷ１、前記第２の行列ΣＷ２、および前記第２のスカラーΣξを前記通信インターフェース部が前記クライアントに提供する
請求項５記載のサービス方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、暗号化されたデータを記憶保持し、要求に応じて当該暗号データを用いて一定の計算処理を行い暗号で結果を提供するサーバおよびサービス方法に係り、特に、復号時のクライアントの処理負担軽減に資するサーバおよびサービス方法に関する。
【背景技術】
【0002】
クラウドサーバのように、クライアントに代わってデータを記憶保持するサービスが存在する。これを利用し、クライアントが開示している公開鍵で暗号化したデータを第三者がサーバにアップロードすると、クライアントはこのデータをクラウド管理者に内容秘匿のまま自身が解読（復号）可能な暗号データとしてサーバ上に置かれた状態で管理できる。例えばデータとして個人の医療検査結果など秘匿性の高いデータを扱う場合に都合がよい。
【0003】
また、クラウドサーバでは、クライアントのデータを記憶保持し、リソースが限られたクライアントからの要求に応じてこのデータを用いてクライアントに代わって計算処理を行いその結果をクライアントに提供するサービスが存在する（代理計算）。この場合、通常、データとして暗号データは扱えない。暗号データで計算処理を行うと当然、平文データでの処理結果と一般に一致しないためである。
【0004】
一方、暗号データでの計算処理が平文データでの処理結果と対応するような暗号データ（＝準同型性のある暗号データ）は、現在いくつか知られている。かかる暗号データを用いれば、サーバで一定の計算処理を行っても結果を同じ形式の暗号データで得ることができ、これをクライアントに提供できる。クライアントは対応する秘密鍵でこれを復号できる。つまり、準同型性のある暗号データを利用すれば、サーバ上で行うデータの計算処理に関しても、これをクラウド管理者に内容秘匿でクライアントが管理できる。
【0005】
しかしながら、準同型性が制限なくいかなる計算においても成立するという性質を有する暗号データは現状知られていない。例えば、加算のみ、１回の乗算のみなど、限定的な範囲でのみ準同型性を有しているのが通例である。したがって、クライアントがサーバのサービスを受ける場合には、目的とする結果を得るために、準同型性を利用できる計算を一度経由してその後にクライアントで後処理を行うというような手順が必要になる場合がある。このような手順は、クライアントの処理負担が大きくなることを意味する。
【先行技術文献】
【特許文献】
【0006】
【特許文献1】ＵＳ8,565,435特許明細書
【発明の概要】
【発明が解決しようとする課題】
【0007】
本発明は、暗号化されたデータを記憶保持し、要求に応じて当該暗号データを用いて一定の計算処理を行い暗号で結果を提供するサーバおよびサービス方法において、復号時のクライアントの処理負担を軽減することが可能なサーバおよびサービス方法に提供することを目的とする。
【課題を解決するための手段】
【0008】
本発明の一態様であるサーバは、次式：ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数。ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数。ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数。
ｎ、ｓ、ｌ、ｐ、Ａ、Ｐは以下による。
ｎは正の整数。ｓは正の実数。ｌは正の整数。ｐは正の整数でｐとｑは互いに素。ｑは正の整数。Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数。ＰはＰ＝ｐＲ−ＡＳによる。Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数。
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを複数記憶保持する手段と、前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに該情報を受け付ける手段と、前記情報に基づいて、ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、およびスカラーξ＝ｃ２ｃ２’ Ｔを算出する手段と、前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記クライアントに提供する手段とを具備する。
【0009】
このサーバが記憶保持する複数の暗号データｃ、ｃ’、…は、それらの平文データｍ、ｍ’、…との関係として、複数個（任意個）の加算、および１度のテンソル積ｍＴｍ’において準同型性を有している。しかしながら、内積ｍｍ’Ｔに関しては直接的な準同型性がない。クライアントが内積ｍｍ’Ｔを得たい場合には、可能性として、テンソル積ｍＴｍ’を利用する準同型演算の結果としてこれをクライアントに提供できる。このサーバでは、さらに、このようなテンソル積を利用せずに内積演算対応ができるように、クライアントから平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに、これに基づいて、ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、およびスカラーξ＝ｃ２ｃ２’ Ｔを算出し、これらをクライアントに提供する。
【0010】
クライアントにおける復号処理では、Ｗ１に、内積算出対応秘密鍵Ｓ＊（＝ＳＳＴ＝（γｉｊ）とする）を掛けてそのトレースを求め、Ｗ２に、秘密鍵Ｓの転置行列ＳＴ（＝（σｉｊ）とする）を掛けてそのトレースを求め、これらの結果の和にξを加え、最後にｐを法とする整数に直すと、目的の、ｍ、ｍ’の内積ｍ ｍ’Ｔが得られる。これらの復号処理で、掛け算は合計「ｎ（ｎ＋ｌ）」回、足し算は合計「ｎ（ｎ＋ｌ）＋１」回の演算量となり、テンソル積を利用する場合より、クライアントの処理負担は劇的に軽減される。
【0011】
また、別の態様であるサービス方法は、次式：ｃ１＝ｅ１Ａ＋ｐｅ２
ｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍ
ｃ＝（ｃ１，ｃ２）
ここで、ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数。ｅ３は、成分数がｌのベクトルで各成分は分散ｓ２の離散ガウス分布からサンプリングした整数。ｍはベクトル形式を有する平文データで、成分数がｌで各成分はｐを法として表された整数。
ｎ、ｓ、ｌ、ｐ、Ａ、Ｐは以下による。
ｎは正の整数。ｓは正の実数。ｌは正の整数。ｐは正の整数でｐとｑは互いに素。ｑは正の整数。Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数。ＰはＰ＝ｐＲ−ＡＳによる。Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数。
に従うように、クライアントの公開鍵（Ａ，Ｐ，ｎ，ｓ）で暗号化された、ベクトル形式を有する暗号データｃを複数記憶保持し、前記クライアントから、複数の前記暗号データのうちの２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときに該情報を受け付け、前記情報に基づいて、ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、およびスカラーξ＝ｃ２ｃ２’ Ｔを算出し、前記正方行列Ｗ１、前記行列Ｗ２、および前記スカラーξを前記クライアントに提供する。
【0012】
このサービス方法は、上記のサーバに対応する方法である。
【発明の効果】
【0013】
本発明によれば、暗号化されたデータを記憶保持し、要求に応じて当該暗号データを用いて一定の計算処理を行い暗号で結果を提供するサーバおよびサービス方法において、復号時のクライアントの処理負担を軽減することが可能になる。
【発明を実施するための形態】
【0015】
以上を踏まえ、以下では本発明の実施形態を図面を参照しながら説明する。図１は、一実施形態であるサーバおよびこれを含むシステムを示している。同図において、サーバ１０は例えばクラウドサーバであり、一方、クライアント３０はサーバ１０が提供するサービスを享受する機器である。ひとつのサーバ１０にクライアント３０は多数存在し得る（ほかのクライアントは不図示）。サーバ１０とクライアント３０とは管理主体が異なる前提で以下説明するが、データの暗号化により、第三者機器２０からは、見掛け上サーバ１０がクライアント３０の一部であるかのようになっている。
【0016】
すなわち、クライアント３０は、その管理するデータをサーバ１０上では暗号化された状態で記憶保持させている。この暗号化に必要な公開鍵はクライアント３０が開示している。したがって、クライアント３０が開示している公開鍵で第三者機器２０が暗号化したデータをサーバ１０にアップロードすると、クライアント３０はこのデータをクラウド管理者（サーバ１０の管理者）に内容秘匿のまま自身が秘密鍵で解読（復号）可能な暗号データとしてサーバ１０上に置かれた状態で管理できる。例えばデータとして個人の医療検査結果など秘匿性の高いデータを扱う場合に都合がよい。
【0017】
サーバ１０は、通信インターフェース１１、暗号データ記憶保持部１２、計算処理部（算出部）１３、セキュリティ更新処理部（変換部、置き換え部）１４を有する。クライアント３０は、パラメータ生成保持部３１、鍵生成部３２、鍵保持部３３、通信インターフェース３４、一般処理部３５（要求内容生成、その結果の復号を行う）、更新鍵生成部３６を有する。第三者機器２０は、処理部（暗号化部）２１、通信インターフェース２２を有する。
【0018】
以下、サーバ１０、クライアント３０、および第三者機器２０の各内部構成についてその機能を説明するが、理解の便宜のため一連の動作に沿って説明するので、必ずしも機器ごとにまとまった説明にならない点を断っておく。なお、図１中の一点鎖線で囲んだ部分は、暗号データのセキュリティをアップデートするためのオプション構成であり、セキュリティのアップデートが不要の場合は省略できる。以下、機能ブロック図として描いた図１を中心に参照して説明するが、適宜、説明図である図２ないし図１０を参照する。
【0019】
（公開鍵および秘密鍵の生成）公開鍵および秘密鍵の生成のため、まず、クライアント３０は、パラメータ生成保持部３１によりパラメータ（ｑ，ｌ，ｐ）を生成する。ｑは正の整数、ｌは正の整数、ｐは正の整数で、ｐとｑは互いに素（つまり最小公倍数が１）である。ｌは、平文ベクトルの成分数として設定された数である。平文ベクトルは、成分数がｌで各成分がｐを法として表された整数とする。以上図２を参照することができる。生成されたパラメータはパラメータ生成保持部３１に保持されるとともに、鍵生成部３２に渡される。なお、「ベクトル」は断りのない限り横ベクトルを意味する（以下でも同様）。
【0020】
鍵生成部３２は、パラメータ生成部３１から渡されたパラメータ（ｑ，ｌ，ｐ）に基づき公開鍵、秘密鍵、および内積算出対応秘密鍵を生成する。手順は以下であり図３を参照できる。まず、ｓを決めｎを決める。ｓは正の実数で、離散ガウス分布の標準偏差として設定する。ｎは正の整数でセキュリティ（安全性）に関連する数であり、ｑ、ｓ、ｎで暗号としての安全性が定まる。ちなみに、本実施形態で例えばｑ＝２１１４、ｓ＝８．０、ｎ＝２６６１とした場合には、８０ビットセキュリティの暗号が得られる。一般にＮビットセキュリティの暗号とは、２Ｎ回の解読計算で鍵（秘密鍵）が見つかる暗号である。
【0021】
次に、鍵生成部３２は、正規ランダム行列Ｒ、Ｓを生成する。すなわち、Ｒ、Ｓは、それぞれ、ｎ行ｌ列の行列で各要素は分散ｓ２の離散ガウス分布からサンプリングした整数である。加えて、鍵生成部３２は、一様ランダム行列Ａを生成する。すなわち、Ａは、ｎ行ｎ列の正方行列で、各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数である。
【0022】
さらに、鍵生成部３２はＰを計算する。計算式はＰ＝ｐＲ−ＡＳである。Ｐは、ｎ行ｌ列の行列で、各要素はｑを法として表された整数になる。以上の一連の手順により、公開鍵は（Ａ，Ｐ，ｎ，ｓ）として、秘密鍵はＳとして、内積算出対応秘密鍵はＳ＊（＝ＳＳＴ）として、それぞれ生成される。生成された各鍵は鍵保持部３３に渡され、そこで記憶保持される。秘密鍵Ｓおよび内積算出対応秘密鍵はＳ＊は、クライアント３０の外に流出しないように管理される一方、公開鍵（Ａ，Ｐ，ｎ，ｓ）は、第三者機器２０のため開示される。第三者機器２０は、例えば医療機関などの秘匿性のあるデータを取り扱う者が有する機器を想定することができる。
【0023】
（暗号化）図１に示すシステムでは、データの暗号化を公開鍵でクライアント３０が行い、その結果である暗号データをサーバ１０に送ってサーバ１０上に記憶保持させることができる。同様に、第三者機器２０がその有する、秘匿が必要な平文のデータをクライアント３０の公開鍵で暗号化し、その結果である暗号データをサーバ１０に送ってサーバ１０上に記憶保持させることもできる。暗号化の処理自体は両者とも変わらないが、後者の動作として以下説明する。手順は以下であり図４を参照できる。
【0024】
まず、第三者機器２０の処理部２１はノイズｅ１、ｅ２を生成する。ｅ１、ｅ２は、それぞれ、成分数がｎのベクトルで、各成分は分散ｓ２の離散ガウス分布からサンプリングした整数である。加えて、処理部２１はノイズｅ３を生成する。ｅ３は、成分数がｌのベクトルで、各成分は分散ｓ２の離散ガウス分布からサンプリングした整数である。
【0025】
次に、処理部２１はｃ１を計算する。計算式はｃ１＝ｅ１Ａ＋ｐｅ２である。ｃ１は、成分数がｎのベクトルで、各成分はｑを法として表された整数になる。加えて、処理部２１はｃ２を計算する。計算式はｃ２＝ｅ１Ｐ＋ｐｅ３＋ｍである。ｍは第三者機器２０において生成された平文ベクトルで、成分数がｌで各成分はｐを法として表された整数である。ｃ２は、成分数がｌのベクトルで各成分はｑを法として表された整数になる。
【0026】
以上の一連の手順により、暗号データｃはｃ＝（ｃ１，ｃ２）として生成される。なお、第三者機器２０は、以上の一連の手順で公開鍵（Ａ，Ｐ，ｎ，ｓ）が必要であるが、これ以外に少なくともパラメータ（ｌ，ｐ）が必要である。パラメータ（ｌ，ｐ）は第三者機器２０において前提として了解されているものとする。生成された暗号データは、処理部２１から通信インターフェース２２に渡され、通信インターフェース２２は、渡された暗号データを通信路を介してサーバ１０に向けて送る。
【0027】
サーバ１０は、第三者機器２０から送られてきた暗号データを通信インターフェース１１で受け取る。通信インターフェース１１で受け取られた暗号データは、通信インターフェース１１から暗号データ記憶保持部１２に渡される。暗号データ記憶保持部１２は、通信インターフェース１１から渡された暗号データを記憶保持する。この暗号データは、すなわち、サーバ１０の管理者に内容秘匿のままクライアント３０のみが復号可能な暗号データとしてサーバ１０上に置かれたデータになっている。
【0028】
（復号）図１に示すシステムで復号はもっぱらクライアント３０で行われる。これにより、サーバ１０の管理者に対するデータの秘匿性が保たれる。単に復号する場合の動作を以下説明する。暗号データ記憶保持部１２に記憶保持された暗号データをクライアント３０が復号して平文データに戻す場合には、クライアント３０は、その暗号データｃ＝（ｃ１，ｃ２）を提出することの要求をサーバ１０に対して行う。そのため、その旨の情報を一般処理部３５で生成する。この要求の旨の情報は、一般処理部３５から通信インターフェース３４に渡される。
【0029】
通信インターフェース３４に渡された要求の旨の情報は、通信インターフェース３４から通信路を介してサーバ１０に送られる。サーバ１０は、クライアント３０から送られてきた要求の旨の情報を通信インターフェース１１で受け取る。通信インターフェース１１で受け取られた要求の旨の情報は通信インターフェース１１から計算処理部１３に渡される。計算処理部１３は、渡された要求の内容に従い、暗号データ記憶処理部１２から該当の暗号データｃ＝（ｃ１，ｃ２）を取り出す。そして、計算処理部１３は、取り出した暗号データに対してこの場合特に処理を行わずに通信インターフェース１１に渡す。なお、一般には計算処理部１３が暗号データに対して一定の計算処理を行う場合もあるがその場合については後述する。
【0030】
通信インターフェース１１に渡された暗号データは、通信インターフェース１１から通信路を介してクライアント３０に送られる。クライアント３０は、サーバ１０から送られてきた暗号データを通信インターフェース３４で受け取る。通信インターフェース３４で受け取られた暗号データｃ＝（ｃ１，ｃ２）は通信インターフェース３４から一般処理部３５に渡される。
【0031】
一般処理部３５は、暗号データｃ＝（ｃ１，ｃ２）の復号動作として以下を行う。この点は図５を参照できる。まず、ｍバーを計算する。計算式は、ｍバー＝ｍ＝ｃ１Ｓ＋ｃ２である。Ｓは前述してあるように秘密鍵であり、鍵保持部３３に保持されている。次に平文ベクトルｍを計算する。計算式は、ｍ＝ｍバー ｍｏｄ ｐである。ｍは復号で得られた平文ベクトル（＝復号結果）になる。当然ながら、この復号は秘密鍵Ｓを保持しているクライアント３０以外では実行できない。秘密鍵はクライアント３０の外に流出しないように管理されている。
【0032】
以上により、サーバ１０が行うクライアント３０のためのデータの記憶保持というサービスの点で、サーバ管理者に対するデータの秘匿性が保たれることを説明した。
【0033】
（暗号データの性質）次に、上記で説明したように生成された暗号データに特有な性質について説明する。図２、図３、図４に示された手順で生成された暗号データには、一定の準同型性がある。そのひとつは加算の準同型性であり、一般に、ｃ＋ｃ’＝Ｅｎｃ（ｐｋ，ｍ＋ｍ’） が成り立っている。ここで「Ｅｎｃ」は、上記で説明した暗号化を平文データｍ＋ｍ’に対して公開鍵ｐｋで行うことの関数を意味し、具体的に公開鍵ｐｋ（ｐｕｂｌｉｃ ｋｅｙ）＝（Ａ，Ｐ，ｎ，ｓ）である。
【0034】
つまり、暗号データｃ、ｃ’とその対応する平文データｍ、ｍ’とで、暗号データで行った加算ｃ＋ｃ’の演算結果は、平文データで行った加算ｍ＋ｍ’の演算結果を暗号化したものに等しくなっている。この点は、図２〜図４を参照して追ってみれば確かめることができる。
【0035】
かかる暗号データであることから、サーバ１０で加算の演算処理を行うとその結果を、同じ形式で暗号化されたデータとしてクライアント３０に提供できる。クライアント３０は対応する秘密鍵Ｓでこれを復号できる。つまり、一定の準同型性のある暗号データを利用することにより、サーバ１０上で行うデータの一定の演算処理に関しても、これをサーバ管理者に内容秘匿でクライアント３０が管理できる。
【0036】
図２、図３、図４に示された手順で生成された暗号データには、もうひとつの準同型性が備わっている。すなわち、この暗号データは、一般にｃＴｃ’＝Ｅｎｃ（ｐｋ，ｍＴｍ’）が成り立っている。ここで、ｃＴ、ｍＴはそれぞれ、横ベクトルｃ、ｍを縦ベクトルに直したものである。つまり、暗号データｃ、ｃ’とその対応する平文データｍ、ｍ’とで、暗号データで行ったテンソル積ｃＴｃ’（＝ｎ＋ｌ行ｎ＋ｌ列の正方行列）の演算結果は、平文データで行ったテンソル積ｍＴｍ’の演算結果を暗号化したもの（＝ｎ＋ｌ行ｎ＋ｌ列の正方行列）に、要素ごとに等しくなっている。この点は、図２〜図４を参照して追ってみれば確かめることができる。
【0037】
よって、このような乗算の準同型性のある暗号データを利用することにより、サーバ１０上で行う積を求める演算処理に関しても、これをサーバ管理者に内容秘匿でクライアント３０が管理できる。クライアント３０はその演算結果を秘密鍵Ｓで復号できる。
【0038】
以上の点をまとめると、図２、図３、図４に示された手順で生成された暗号データは、２次形式の計算を行う処理についてサーバ１０で扱うことができることを意味する。サーバ１０でこのような処理を行うと、その結果はもとの公開鍵で暗号化された形式を有する、平文データで同様な処理を行った結果に対応したデータになる。したがって、クライアント３０に代わって計算処理をサーバ１０で行いその結果をクライアント３０に提供しクライアント３０はこれを秘密鍵で復号できる。すなわち、２次形式の計算処理に関して、これをサーバ管理者に内容秘匿でクライアント３０が管理できることになる。
【0039】
以上説明した準同型性と２次形式の計算との関係をもう一度説明したものが図６である。図６は以上の点から容易に理解できると思われるが簡単におさらいする。まず、図２〜図４によれば、平文ベクトルｍ、ｍ’とその暗号文ベクトルｃ、ｃ’とに関して以下が成り立つ。ｃ＋ｃ’＝Ｅｎｃ（ｐｋ，ｍ＋ｍ’） ・・・加算の準同型性
ｃＴｃ’＝Ｅｎｃ（ｐｋ，ｍＴｍ’） ・・・テンソル積の乗算の準同型性
【0040】
次に、例えば、平文データｘｉ、ｙｉの各暗号データＥｎｃ（ｐｋ，ｘｉ）、Ｅｎｃ（ｐｋ，ｙｉ）を用いた２次形式の計算：Ｎ
Σ ａｉ・Ｅｎｃ（ｐｋ，ｘｉ）・Ｅｎｃ（ｐｋ，ｙｉ） （ｉはデータ番号）
ｉ＝１
の結果は、次式、平文データを用いた２次形式の計算結果を暗号化したものに等しい。
Ｎ
Ｅｎｃ（ｐｋ，Σ ａｉ・ｘｉｙｉ）
ｉ＝１
【0041】
したがって、サーバ管理者に対して平文データｘｉ、ｙｉを秘匿したままサーバ１０で計算処理を行い、その後クライアント３０は復号でその計算結果を得ることができる。
【0042】
（内積演算に関して）上記では、暗号データにおけるテンソル積の乗算の準同型性について述べたが、これは、もちろん、平文ベクトルｍ、ｍ’の内積演算ｍ ｍ’Ｔの結果と、そのそれぞれの暗号文ベクトルｃ、ｃ’の内積演算ｃ ｃ’Ｔ の結果との準同型性を意味するものではない。クライアント３０が内積ｍｍ’Ｔを得たい場合には、可能性として、テンソル積ｍＴｍ’を利用する準同型演算の結果としてならばこれをクライアント３０に提供できる。この場合、端的には、平文ベクトルの各成分をそれぞれ別の平文として暗号化しそして復号する処理を行うことに相当し、クライアント３０での復号処理の効率は高くならない。
【0043】
そこで、このサーバ１０は、内積を得たい場合のクライアント３０の復号処理を効率化する内積演算対応機能を有している。この説明として図７を参照する。平文ベクトルｍ、ｍ’の内積ｍ ｍ’Ｔに関しては、ｑを法とする数（ｍ ｍ’Ｔ）バーとして、図７の中央のブロック内に示されている式の変形（主に行列のトレースに関する性質を利用）により、Ｔｒ（ｃ１’Ｔｃ１ＳＳＴ）＋Ｔｒ（（ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’）ＳＴ）＋ｃ２ｃ２’ Ｔ
と表すことができる。
【0044】
つまり、クライアント３０がｍ、ｍ’の内積ｍ ｍ’Ｔを得るには、ｃ１’Ｔｃ１（ｎ行ｎ列の行列；＝Ｗ１＝（αｉｊ）とする）、ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’（ｎ行ｌ列の行列；＝Ｗ２＝（βｉｊ）とする）、およびｃ２ｃ２’ Ｔ（スカラー；＝ξとする）を計算させることの要求をサーバ１０に送ればよい。その後のクライアント３０では、Ｗ１に、内積算出対応秘密鍵Ｓ＊（＝ＳＳＴ＝（γｉｊ）とする）を掛けてそのトレースを求め、Ｗ２に、秘密鍵Ｓの転置行列ＳＴ（＝（σｉｊ）とする）を掛けてそのトレースを求め、上記の結果の和にξを加え、最後にｐを法とする整数に直すと、目的の、ｍ、ｍ’の内積ｍ ｍ’Ｔが得られる。
【0045】
すなわち、サーバ１０は、クライアント３０から、２つの暗号データｃ、ｃ’に対応する２つの平文データｍ、ｍ’について内積を求めるべき情報がもたらされたときにこの情報を受け付け（通信インターフェース１１）、この情報に基づいて、ｎ行ｎ列の正方行列Ｗ１＝ｃ１’Ｔｃ１、ｎ行ｌ列の行列Ｗ２＝ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’、およびスカラーξ＝ｃ２ｃ２’ Ｔを算出する（計算処理部１３）。そしてサーバ１０は、正方行列Ｗ１、行列Ｗ２、およびスカラーξをクライアント３０に提供する（計算処理部１３から通信インターフェース１１を介してクライアント３０へ）。その後のクライアント３０での動作は上記のとおりである。
【0046】
クライアント３０における計算量に関しては、Ｔｒ（ｃ１’Ｔｃ１ＳＳＴ）＋Ｔｒ（（ｃ１’Ｔｃ２＋ｃ１Ｔｃ２’）ＳＴ）＋ｃ２ｃ２’ Ｔ
ｎ ｎ ｌ
＝ Σ （ Σ αｉｋγｋｉ ＋ Σ βｉｊσｊｉ）＋ξ
ｉ＝１ ｋ＝１ ｊ＝１
と表されるので、総計算量として、掛け算が合計「ｎ（ｎ＋ｌ）」回、足し算が合計「ｎ（ｎ＋ｌ）＋１」回で済むことが示されている。この総計算量によれば、テンソル積を利用する内積の計算の場合より、例えば、８０ビットセキュリティの場合、１２８ビットセキュリティの場合で、それぞれ３０倍以上復号処理の高速化が可能である。
【0047】
（内積の和の演算に関して）次に、内積の和の演算に関して図８を参照して説明する。図７に示した点によれば、平文ベクトルｍ１、ｍ１’の内積ｍ１ ｍ１’Ｔから、平文ベクトルｍｕ、ｍｕ’の内積ｍｕ ｍｕ’Ｔまでの和（１〜ｕ）をクライアント３０が必要とする場合には、それぞれの内積についてのＷ１、Ｗ２、ξをｕ組得てこれらをサーバ１０からクライアント３０に送らせるには及ばないことがわかる。換言すると、それぞれの内積についてのＷ１、Ｗ２、ξをサーバ１０が求め、そして、ΣＷ１、ΣＷ２、Σξ がクライアント３０に送られればよく（Σは１〜ｕまでの和をとる）、復号は、次式で達成される。すなわち、
（Ｔｒ（ΣＷ１ＳＳＴ）＋Ｔｒ（ΣＷ２ＳＴ）＋Σξ）ｍｏｄ ｐ
である。
【0048】
この式は、１つの内積を求めるため復号する場合の式と形式が同じであり、したがって、やはり、クライアント３０では、総計算量として、掛け算が合計「ｎ（ｎ＋ｌ）」回、足し算が合計「ｎ（ｎ＋ｌ）＋１」回で済むことが分かる。クライアント３０がベクトルデータの内積の和を必要とするアプリケーションは数多く考えられ、実施形態のサーバ１０によれば、このような場合にも非常に効率的な復号がクライアント３０において可能である。
【0049】
以上により、準同型性のある暗号データを利用し、サーバ１０上で行うデータの計算処理に関して、これをサーバ管理者に内容秘匿でクライアント３０が管理できる点を説明した。
【0050】
（更新鍵の生成）次に、暗号データ記憶保持部１２に記憶保持された暗号データについてそのセキュリティを更新する手順を説明する（これは図１中の一点鎖線で囲われた構成によってなされるオプションである）。セキュリティ更新が必要になる一般的理由は、暗号データは長期的視点で危殆化する可能性を有しているためである。暗号データのセキュリティを更新するには、一般に、一旦平文データに復号してから再度アップデートに対応した暗号化を行うか、平文データに復号せず直接に暗号データに対してセキュリティ更新の処理を行うかのいずれかになる。いずれも処理負担が軽いとは限られず、クライアント３０ではなくサーバ１０の側で処理を行う方が好ましいと考えられる。
【0051】
サーバ１０の側で暗号データのセキュリティ更新の処理を行うと、前者の場合では、その処理時にサーバ管理者に対するデータ内容の秘匿性がくずれる。よって、データの記憶保持、計算処理、セキュリティ更新という一連のサービスで一貫した秘匿性を保てず、サービスとして不備が含まれたものになってしまう。そこで、このサーバ１０は、準同型性を有する暗号データを扱ってなおかつ直接に暗号データにセキュリティ更新の処理ができるように構成されている。そして、セキュリティ更新の処理を行っても暗号データの準同型性が保たれる。
【0052】
セキュリティ更新のための動作はクライアント３０での更新鍵の生成から始まる。以下の手順は図９を参照することができる。まず、クライアント３０の鍵生成部３２は、公開鍵（Ａ，Ｐ，ｎ，ｓ）と同様に生成させた新公開鍵（Ａｎｅｗ，Ｐｎｅｗ，ｎｎｅｗ，ｓｎｅｗ）、および秘密鍵Ｓと同様に生成させた新秘密鍵Ｓｎｅｗを用意する。この動作は図３を参照できる。ｎｎｅｗは正の整数でｎより大（＝セキュリティの向上ため）である。新公開鍵および新秘密鍵は、鍵生成部３２から鍵保持部３３に渡されて保持され、さらに鍵保持部３３から更新鍵生成部３６に渡される。なお、公開鍵（Ａ，Ｐ，ｎ，ｓ）および秘密鍵Ｓも鍵保持部３３から更新鍵生成部３６に渡される。
【0053】
更新鍵生成部３６は、まず、κ＝ｃｅｉｌｉｎｇ（ｌｏｇ２ｑ）を計算する。ｃｅｉｌｉｎｇ（ ）は天井関数であり、括弧内の数をそれ以上の最小の整数に変換する関数である。次に、更新鍵生成部３６は、ランダム行列Ｘ、Ｅを生成する。すなわち、Ｘは、ｎκ行ｎｎｅｗ列の行列で各要素は整数の集合（０，…，ｑ−１）から無作為にサンプリングした整数である。Ｅは、ｎκ行ｌ列の行列で各要素は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である。
【0054】
さらに、更新鍵生成部３６はＹを計算する。計算式はＹ＝−ＸＳｎｅｗ＋ｐＥ＋Ｐｏｗｅｒ２（Ｓ）である。ここで、Ｐｏｗｅｒ２（Ｓ）はｎκ行ｌ列の行列で、Ｂｉｔｓ（ｃ）・Ｐｏｗｅｒ２（Ｓ）＝ｃ・ＳとなるようにＳを変換する関数である。さらにここで、Ｂｉｔｓ（ｃ）は、成分数がｎで各成分がｑを法として表された整数であるベクトルｃについてその各成分をビット化し、成分数がｎκになったベクトルである。Ｙは、ｎκ行ｌ列の行列で各要素はｑを法として表された整数になる。
【0055】
以上の一連の手順により、更新鍵生成部３６で更新鍵は（Ｘ，Ｙ）として生成される。この更新鍵は、公開鍵と一定の関係性を有するように生成されている。そして、この更新鍵、および鍵保持部３３に保持された新公開鍵は、それぞれ、更新鍵生成部３６、鍵保持部３３から通信インターフェース３４に渡される。通信インターフェース３４に渡された更新鍵および新公開鍵は、通信インターフェース３４から通信路を介してサーバ１０に送付される。
【0056】
サーバ１０は、クライアント３０から送付されてきた更新鍵および新公開鍵を通信インターフェース１１で受け取る。通信インターフェース１１で受け取られた更新鍵および新公開鍵は、通信インターフェース１１からセキュリティ更新処理部１４に渡される。セキュリティ更新処理部１４は、渡された更新鍵および新公開鍵を用いて、暗号データ記憶処理部１２に記憶保持された暗号データに対してセキュリティを更新する処理を行う（以下で説明する）。
【0057】
（セキュリティ更新）サーバ１０は、クライアント３０から送付されてきた更新鍵（Ｘ，Ｙ）および新公開鍵（Ａｎｅｗ，Ｐｎｅｗ，ｎｎｅｗ，ｓｎｅｗ）を用いて暗号データ記憶処理部１２に記憶保持された暗号データに対してセキュリティを更新する処理を行う。この動作はセキュリティ更新処理部１４による。セキュリティ更新処理部１４は、暗号データに行うセキュリティ更新として、更新鍵および新公開鍵を用いて、暗号データを、新公開鍵により暗号化された形式を有しかつもとの準同型性と同様の準同型性を有するデータである更新暗号データに変換する。手順は以下であり図１０を参照できる。
【0058】
まず、セキュリティ更新処理部１４は、ノイズｆ１、ｆ２を生成する。ｆ１、ｆ２は、それぞれ、成分数がｎｎｅｗのベクトルで、各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である。加えて、セキュリティ更新処理部１４は、ノイズｆ３を生成する。ｆ３は、成分数がｌのベクトルで、各成分は分散ｓｎｅｗ２の離散ガウス分布からサンプリングした整数である。
【0059】
次に、セキュリティ更新処理部１４は、Ｆを計算する。計算式はＦ＝［Ｂｉｔｓ（ｃ１）Ｘ ｜ Ｂｉｔｓ（ｃ１）Ｙ＋ｃ２］である。ここで記号「｜」は、行列の連結を意味する。Ｆは、成分数がｎｎｅｗ＋ｌのベクトルで、各成分はｑを法として表された整数になる。ｃ１、ｃ２については、暗号データ（ｃ１，ｃ２）を暗号データ記憶処理部１２から取り出して用いる。さらに、セキュリティ更新処理部１４は、ゼロの暗号データＥ（０）を計算する。計算式は、Ｅ（０）＝ｆ１［Ａｎｅｗ｜Ｐｎｅｗ］＋ｐ［ｆ２｜ｆ３］（図４参照）である。
【0060】
以上の一連の手順により、セキュリティ更新後の暗号データである更新暗号データｃｎｅｗ＝（ｃｎｅｗ１，ｃｎｅｗ２）は、Ｆ＋Ｅ（０）として算出される。もとの暗号データｃ＝（ｃ１，ｃ２）から変換され算出された更新暗号データｃｎｅｗ＝（ｃｎｅｗ１，ｃｎｅｗ２）は、セキュリティ更新処理部１４から暗号データ記憶保持部１２に渡される。セキュリティ更新処理部１４は、もとの暗号データを破棄して更新暗号データで置き換える。
【0061】
以上説明した、暗号データから更新暗号データへの変換は、暗号データとしてもとの準同型性が保たれたものになる。この点は、図９、図１０、および図２〜図４を参照して追ってみれば確かめることができる。よって、要求に応じて暗号データを用いて一定の計算処理を行い暗号で結果を提供するサーバ１０において、暗号データに対するセキュリティのアップデートが可能である。
【0062】
そして、このセキュリティ更新は、暗号データに対してサーバ１０の動作として行われるので、リソースが限られているクライアント３０の処理負担ならない。また、このセキュリティ更新は、暗号解読技術が進展して安全性が低下しても何度も繰り返すことができる。もとよりサーバ１０として、データの記憶保持、計算処理、セキュリティ更新という一連のサービスで、一貫して秘匿性が保たれているという大きな効果を有している。なお、セキュリティ更新がされたあとは、当然ながらクライアント３０は、これまでの公開鍵に代わり新公開鍵を開示し、その結果、その後第三者機器２０は、新公開鍵を用いて暗号化が必要な平文データを暗号化しこれをサーバ１０に送る（アップロードする）ことになる。
【0063】
以上、本発明の実施形態を説明したが、実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。この新規な実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。この実施形態やその変形は、発明の範囲や要旨に含まれるとともに、特許請求の範囲に記載された発明とその均等の範囲に含まれる。
【符号の説明】
【0064】
１０…サーバ、１１…通信インターフェース、１２…暗号データ記憶保持部、１３…計算処理部（算出部）、１４…セキュリティ更新処理部（変換部、置き換え部）、２０…第三者機器、２１…処理部（暗号化部）、２２…通信インターフェース、３０…クライアント、３１…パラメータ生成保持部、３２…鍵生成部、３３…鍵保持部、３４…通信インターフェース。３５…一般処理部（要求内容生成部、結果の復号部）、３６…更新鍵生成部。