特開 2022-12628 演算装置及び演算方法

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公開特許公報(A)

(11)【公開番号】P2022012628

(43)【公開日】2022-01-17

(54)【発明の名称】演算装置及び演算方法

(51)【国際特許分類】

   H04L 9/10 20060101AFI20220107BHJP

   G06F 21/55 20130101ALI20220107BHJP

【ＦＩ】

H04L9/00 621A

G06F21/55 380

【審査請求】未請求

【請求項の数】8

【出願形態】ＯＬ

(21)【出願番号】P 2020114597

(22)【出願日】2020-07-02

【新規性喪失の例外の表示】特許法第３０条第２項適用申請有り 公開の事実１：令和 １年１２月 ６日、ハードウェアセキュリティフォーラム２０１９にて発表 公開の事実２－１：令和 ２年 １月２１日、２０２０年暗号と情報セキュリティシンポジウム予稿集に掲載 公開の事実２－２：令和 ２年 １月３０日、２０２０年暗号と情報セキュリティシンポジウムにて発表

【国等の委託研究の成果に係る記載事項】（出願人による申告）令和元年度、国立研究開発法人科学技術振興機構、未来社会創造事業「エッジＡＩのハードウェアセキュリティに関する各種攻撃手法の網羅的抽出と対策手法の研究」委託研究、産業技術力強化法第１７条の適用を受ける特許出願

(71)【出願人】

【識別番号】593006630

【氏名又は名称】学校法人立命館

(74)【代理人】

【識別番号】100111567

【弁理士】

【氏名又は名称】坂本 寛

(72)【発明者】

【氏名】藤野 毅

(72)【発明者】

【氏名】大倉 俊介

(72)【発明者】

【氏名】吉田 康太

(57)【要約】      （修正有）

【課題】サイドチャネル攻撃耐性を確保する演算装置び演算方法を提供する。
【解決手段】演算装置は、単位演算を繰り返すことを含む演算処理を実行する処理エレメントＰＥを備える。処理エレメントＰＥは、レジスタｃ_ｒｅｇと、第１入力データａと第２入力データｂとを乗算するよう構成された乗算器５０１と、第１入力データと第２入力データの乗算結果と、レジスタに保存された値と、を加算した結果をレジスタｃ_ｒｅｇに保存するよう構成された加算器５０２と、を備える。演算処理は、レジスタｃ_ｒｅｇに保存された値と乱数とを加算した値をレジスタｃ_ｒｅｇに保存する第１処理を実行し、第１処理の後に少なくとも１回の単位演算を実行した後に、レジスタｃ_ｒｅｇに保存された値から乱数を減算した値をレジスタｃ_ｒｅｇに保存する第２処理を実行することを含む。
【選択図】図５

【特許請求の範囲】

【請求項1】

単位演算を繰り返すことを含む演算処理を実行する少なくとも１個の処理エレメントを備え、
少なくとも１個の処理エレメントそれぞれは、
レジスタと、
第１入力データと第２入力データとを乗算するよう構成された乗算器と、
前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を加算した結果を前記レジスタに保存するよう構成された加算器と、
を備え、
前記単位演算は、
前記第１入力データと前記第２入力データとを前記乗算器によって乗算すること、及び、
前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を前記加算器によって加算すること、
を含み、
前記演算処理は、
前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、
前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行することを含む、
演算装置。

【請求項2】

前記第１処理において、前記レジスタに保存された前記値と前記乱数とを加算することは、前記加算器によって行われる
請求項１に記載の演算装置。

【請求項3】

前記第２処理において、前記レジスタに保存された前記値から前記乱数を減算することは、前記レジスタに保存された前記値と、前記乱数を符号反転した値と、を前記加算器によって加算することによって行われる
請求項１又は２に記載の演算装置。

【請求項4】

前記乱数は、第１乱数と第２乱数とを前記乗算器によって乗算することによって得られる
請求項１から請求項３のいずれか１項に記載の演算装置。

【請求項5】

前記第１処理は、前記単位演算の繰り返しの開始前に行われ、
前記第２処理は、前記単位演算の繰り返し終了後に行われる
請求項１から請求項４のいずれか１項に記載の演算装置。

【請求項6】

前記少なくとも１個の処理エレメントは、複数の処理エレメントであり、
前記複数の処理エレメントは、シストリックアレイを構成している
請求項１から請求項５のいずれか１項に記載の演算装置。

【請求項7】

前記第１入力データは、ニューラルネットワークへの入力データであり、
前記第２入力データは、前記ニューラルネットワークの重みパラメータである
請求項１から請求項６のいずれか１項に記載の演算装置。

【請求項8】

複数の単位演算を繰り返すことを含む演算方法であって、
前記単位演算は、第１入力データと第２入力データとを乗算すること、及び、前記第１入力データと前記第２入力データの乗算結果とレジスタに保存された値とを加算すること、を含み、
前記演算方法は、
前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、
前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行する
ことを含む、
演算方法。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、演算装置及び演算方法に関する。

【背景技術】

【0002】

特許文献１は、ニューラルネットワーク計算を実行するための回路を開示している。特許文献１に開示された回路は、行列計算ユニットを備える。行列計算ユニットは、複数のセルを含む二次元シストリックアレイとして構成されている。

【先行技術文献】

【特許文献】

【0003】

【特許文献1】米国特許出願公開第２００６／０３４２８９号明細書

【非特許文献】

【0004】

【非特許文献1】吉田康太ら，"シストリックアレイ構造を持つDNN推論回路に対する相関電力解析を用いたDNNモデルのリバースエンジニアリング攻撃", 暗号と情報セキュリティシンポジウム(ＳＣＩＳ), ３Ｄ２－４，２０２０

【発明の概要】

【0005】

ニューラルネットワークのような人工知能を、車両又は電子機器などに組み込まれるエッジデバイスとして構成したエッジＡＩが注目されている。エッジＡＩデバイスは、攻撃者の手元に存在するため、学習モデルの搾取が懸念される。学習モデルの構築には多大な費用と時間を要することがあり、学習モデルは重要な資産である。

【0006】

攻撃を防止するために、学習モデルのパラメータを暗号化して保存することが考えられる。しかし、パラメータを暗号化しても、ニューラルネットワーク演算の実行時に発生する漏洩電磁波などのサイドチャネル情報を利用した攻撃がなされると、学習モデルが搾取されるおそれがある（非特許文献１参照）。

【0007】

したがって、ニューラルネットワーク演算などの演算において、サイドチャネル攻撃耐性の確保が望まれる。

【0008】

本開示のある側面は、演算装置である。開示の演算装置は、単位演算を繰り返すことを含む演算処理を実行する少なくとも１個の処理エレメントを備え、少なくとも１個の処理エレメントそれぞれは、レジスタと、第１入力データと第２入力データとを乗算するよう構成された乗算器と、前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を加算した結果を前記レジスタに保存するよう構成された加算器と、を備え、前記単位演算は、前記第１入力データと前記第２入力データとを前記乗算器によって乗算すること、及び、前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を前記加算器によって加算すること、を含み、前記演算処理は、前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行することを含む。

【0009】

本開示の他の側面は、演算方法である。開示の演算方法は、複数の単位演算を繰り返すことを含む演算方法であって、前記単位演算は、第１入力データと第２入力データとを乗算すること、及び、前記第１入力データと前記第２入力データの乗算結果とレジスタに保存された値とを加算すること、を含み、前記演算方法は、前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行することを含む。

【0010】

更なる詳細は、後述の実施形態として説明される。

【図面の簡単な説明】

【0011】

【図1】図１は、実施形態に係るセンサシステムのハードウエア構成図である。

【図2】図２は、実施形態に係る演算装置のハードウエア 構成図である。

【図3】図３は、ニューロンの概略図である。

【図4】図４は、複数の処理エレメントからなるシストリックアレイの構成図である。

【図5】図５は、処理エレメントの内部回路図である。

【図6】図６は、処理エレメントの演算（参考例）の説明図である。

【図7】図７は、処理エレメントの演算（実施例）の説明図である。

【図8】図８は、実施形態に係るシストリックアレイへのデータフロー図である。

【図9】図９は、行列積の説明図である。

【図10】図１０は、演算装置の処理手順を示すフローチャートである。

【発明を実施するための形態】

【0012】

＜１．演算装置及び演算方法の概要＞

【0013】

（１）実施形態に係る演算装置は、単位演算を繰り返すことを含む演算処理を実行する少なくとも１個の処理エレメントを備える。少なくとも１個の処理エレメントそれぞれは、レジスタと、第１入力データと第２入力データとを乗算するよう構成された乗算器と、前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を加算した結果を前記レジスタに保存するよう構成された加算器と、を備える。

【0014】

前記単位演算は、前記第１入力データと前記第２入力データとを前記乗算器によって乗算すること、及び、前記第１入力データと前記第２入力データの乗算結果と、前記レジスタに保存された値と、を前記加算器によって加算すること、を含む。

【0015】

前記演算処理は、前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行することを含む。

【0016】

実施形態に係る演算装置によれば、乱数によって、レジスタの値が予測困難になるため、サイドチャネル攻撃耐性が確保される。

【0017】

（２）前記第１処理において、前記レジスタに保存された前記値と前記乱数とを加算することは、前記加算器によって行われるのが好ましい。この場合、レジスタに保存された前記値と前記乱数とを加算するための追加のハードウエアが不要になる。

【0018】

（３）前記第２処理において、前記レジスタに保存された前記値から前記乱数を減算することは、前記レジスタに保存された前記値と、前記乱数を符号反転した値と、を前記加算器によって加算することによって行われるのが好ましい。この場合、前記レジスタに保存された前記値から前記乱数を減算するための追加のハードウエアが不要になる。

【0019】

（４）前記乱数は、第１乱数と第２乱数とを前記乗算器によって乗算することによって得られるのが好ましい。第１乱数と第２乱数の乗算によって、乱数の値の範囲を広くすることができる。

【0020】

（５）前記第１処理は、前記単位演算の繰り返しの開始前に行われ、前記第２処理は、前記単位演算の繰り返し終了後に行われるのが好ましい。この場合、サイドチャネル攻撃に対する保護がより充実する。

【0021】

（６）前記少なくとも１個の処理エレメントは、複数の処理エレメントであり、前記複数の処理エレメントは、シストリックアレイを構成しているのが好ましい。

【0022】

（７）前記第１入力データは、ニューラルネットワークへの入力データであり、前記第２入力データは、前記ニューラルネットワークの重みパラメータであるのが好ましい。

【0023】

（８）実施形態に係る演算方法は、複数の単位演算を繰り返すことを含む。前記単位演算は、第１入力データと第２入力データとを乗算すること、及び、前記第１入力データと前記第２入力データの乗算結果とレジスタに保存された値とを加算すること、を含む。前記演算方法は、前記レジスタに保存された値と乱数とを加算した値を前記レジスタに保存する第１処理を実行し、前記第１処理の後に少なくとも１回の前記単位演算を実行した後に、前記レジスタに保存された値から前記乱数を減算した値を前記レジスタに保存する第２処理を実行することを含む。

【0024】

＜２．演算装置及び演算方法の例＞

【0025】

図１は、センサシステム１０を示している。実施形態に係るセンサシステム１０は、エッジＡＩデバイスである。センサシステム１０は、例えば、センサ３００と、センサ３００から出力されたセンサデータに対して、学習済みモデルによって、センサデータの識別などの推論処理を実行する回路１００，２００を備える。センサ３００は、例えば、イメージセンサであるが、センサの種類は特に限定されない。センサシステム１０は、例えば、車載カメラとして用いられ、イメージセンサによって撮像された物体の識別結果を出力する。

【0026】

センサシステム１０が備える回路１００，２００は、ディープニューラルネットワーク（ＤＮＮ）などのニューラルネットワークのための演算を行う演算装置１００を有する。

【0027】

また、センサシステム１０が備える回路１００，２００は、処理回路２００を有する。処理回路２００は、センサ３００に接続される外部インターフェース２１０を備える。外部インターフェース２１０は、センサ３００から取得したセンサデータをホストＣＰＵ２２０に渡す。ホストＣＰＵ２２０は、センサ３００からセンサデータを受け取り、第１入力データとしてセンサデータを、バス２３０を介して、演算装置１００に渡す。ホストＣＰＵ２２０は、演算の指令を演算装置１００に送信することで、演算装置１００の動作を制御する。

【0028】

処理回路２００は、学習モデルの重みパラメータを保存するパラメータストレージ２４０を備える。重みパラメータは、学習済みモデルを構成する。学習済みモデルは、例えば、ＤＮＮモデルである。なお、以下では、重みパラメータを単に「重み」という。パラメータストレージ２４０は、例えば、不揮発性メモリによって構成される。パラメータストレージ２４０に保存される重みは、暗号化されている。

【0029】

暗号化された重みは、バス２３０を介して、演算装置１００に渡される。暗号化された重みは、演算装置１００の暗号化／復号器１０１において復号され、第２入力データとして、演算装置１００における演算に用いられる。

【0030】

処理回路２００は、演算装置１００による中間演算結果を保存するためのオフチップメモリ２５０を備える。オフチップメモリ２５０は、例えば、ランダムアクセスメモリによって構成される。演算装置１００の中間演算結果は、演算装置１００の暗号化／復号器１０１において暗号化され、バス２３０を介して、オフチップメモリ２５０に保存される。演算装置１００は、オフチップメモリ２５０から、暗号化された中間演算結果を取得し、復号して、演算に用いることができる。

【0031】

図２は、実施形態に係る演算装置１００の一例を示している。演算装置１００は、行列計算ユニット１１０を備える。行列計算ユニット１１０は、複数のレイヤーを有するニューラルネットワークのための行列計算を行う。ニューラルネットワークによる推論において、行列計算は、全計算コストの大部分を占める。実施形態の行列計算ユニット１１０は、ニューラルネットワークアクセラレータチップとして構成され、行列計算（ドット積）を高速化するよう構成されたハードウエア回路である。ニューラルネットワークは、例えば、多層パーセプトロンであり、ノードとなるニューロン４００（図３参照）を有する。

【0032】

図３中の式（１）に示すように、（隠れ層に含まれる）ニューロン４００の出力ｈは、入力ｘ_０、ｘ_１、・・・ｘ_ｎと重みｗ_０、ｗ_１、・・・、ｗ_ｎとの積の総和にバイアスｂを加算したものに、活性化関数ｆを適用したものである。なお、多層パーセプトロンは、ニューロンを層状に結合させたものであって、層と層との間に全結合を有する。

【0033】

ニューラルネットワーク演算の基本は、入力ｘ_０、ｘ_１、・・・、ｘ_ｎからなる入力ベクトルと、重みｗ_０、ｗ_１、・・・、ｗ_ｎからなる重みベクトルの行列積として表現される。前述の行列計算ユニット１１０は、ニューラルネットワーク演算における行列計算を実行する。

【0034】

実施形態に係る演算装置１００は、ベクトル計算ユニット１２０を備える。ベクトル計算ユニットは、行列計算ユニット１１０で計算可能なサイズよりも大きなサイズの行列の計算を可能にするため、行列計算ユニット１１０での中間演算結果を用いて、より大きなサイズの行列の計算結果を生成する。

【0035】

実施形態に係る演算装置１００は、行列計算ユニット１１０に与えられる第１入力データが格納される第１入力データバッファ１３０と、行列計算ユニット１１０に与えられる第２入力データが格納される第２入力データバッファ１４０と、を備える。図２において、第２入力データバッファ１４０は、重みバッファ１４０として示されている。第１入力データは、前述のように、例えば、センサ３００から取得されるセンサデータである。第２入力データは、前述のように、例えば、ニューラルネットワークにおける重みである。重みは、パラメータストレージ２４０から取得される。

【0036】

実施形態に係る演算装置１００は、第１入力データ及び第２入力データを演算装置１００外部から取得することを可能にするため、ホストインターフェース１６０と、ダイレクトメモリアクセスエンジン１７０と、を備える。また、実施形態に係る演算装置１００は、行列計算ユニット１１０の演算を制御するシーケンサ１８０を備える。シーケンサ１８０は、第１入力データバッファ１３０から行列計算ユニット１１０に与えられる第１入力データのデータフローを制御する。また、シーケンサ１８０は、第２入力データバッファ１４０から行列計算ユニット１１０に与えられる第２入力データのデータフローを制御する。さらに、シーケンサ１８０は、ベクトル計算ユニット１２０の演算を制御する。

【0037】

実施形態に係る演算装置１００は、乱数生成器１５０を備える。乱数生成器１５０が生成する乱数は、真正乱数が好ましいが、疑似乱数であってもよい。乱数生成器１５０が生成した乱数は、第１入力データバッファ１３０と第２入力データバッファに与えられる。つまり、第１入力データバッファ１３０には、第１入力データと乱数とが格納され、第２入力データバッファ１４０には、第２入力データ（重み）と乱数とが格納される。実施形態において、第１入力データのデータフロー及び第２データのデータフローには、乱数が含まれる。この点については後述する。

【0038】

図４は、実施形態に係る行列計算ユニット１１０を示している。実施形態の行列計算ユニット１１０は、シストリックアレイ（Ｓｙｓｔｏｌｉｃ ａｒｒａｙ）として構成されている。図４に示す行列計算ユニット１１０は、シストリックアレイの一種であるＷａｖｅｆｒｏｎｔ ａｒｒａｙを示している。Ｗａｖｅｆｒｏｎｔ ａｒｒａｙは、ドット積を高速に計算できる。なお、行列のドット積は、図４の式（２）に示す演算であり、第１入力データａの行列と第２入力データｂの行列との行列積の演算により求められる。

【0039】

図４に示す行列計算ユニット１１０は、二次元に配列された複数の処理エレメント（Ｐｒｏｃｅｓｓｉｎｇ Ｅｌｅｍｅｎｔ）を備える。複数の処理エレメントＰＥは、前述のシストリックアレイを構成している。

【0040】

図４において、行列計算ユニット１１０は、３×３＝９個の処理エレメントＰＥを備える。図４において、処理エレメントＰＥ_１１は、行列ドット積の要素ｃ_１１を求める演算処理を実行する。処理エレメントＰＥ_１２は、行列ドット積の要素ｃ_１２を求める演算処理を実行する。処理エレメントＰＥ_１３は、行列ドット積の要素ｃ_１３を求める演算処理を実行する。処理エレメントＰＥ_２１は、行列ドット積の要素ｃ_２１を求める演算処理を実行する。処理エレメントＰＥ_２２は、行列ドット積の要素ｃ_２２を求める演算処理を実行する。処理エレメントＰＥ_２３は、行列ドット積の要素ｃ_２３を求める演算処理を実行する。処理エレメントＰＥ_３１は、行列ドット積の要素ｃ_３１を求める演算処理を実行する。処理エレメントＰＥ_３２は、行列ドット積の要素ｃ_３２を求める演算処理を実行する。処理エレメントＰＥ_３３は、行列ドット積の要素ｃ_３３を求める演算処理を実行する。

【0041】

複数の処理エレメントＰＥは、それぞれ、同じ構造を有する。図５は、処理エレメントＰＥの内部構造を示す。処理エレメントＰＥは、クロック毎に第１入力データａと第２入力データｂとを受け取る。処理エレメントＰＥは、乗算器５０１と加算器５０２と、を備える。また、処理エレメントＰＥは、レジスタａ_ｒｅｇ、レジスタｂ_ｒｅｇ、及びレジスタｃ_ｒｅｇを備える。

【0042】

乗算器５０１は、処理エレメントＰＥが受け取った第１入力データａと第２入力データｂとを乗算するよう構成されている。乗算器５０１は、第１入力データａと第２入力データｂの乗算結果ａ×ｂを、加算器５０２へ出力する。加算器５０２は、乗算結果ａ×ｂと、レジスタｃ_ｒｅｇに保存された値と、を加算するよう構成されている。加算器５０２は、乗算結果ａ×ｂと、レジスタｃ_ｒｅｇに保存された値と、の加算結果を、レジスタｃ_ｒｅｇに保存する。加算器５０２によって加算される“レジスタｃ_ｒｅｇに保存された値”は、一つ前の時刻（クロック）における加算器５０２の加算結果である。レジスタｃ_ｒｅｇに保存された値は、処理エレメントＰＥの出力データｃとして、出力される。レジスタｃ_ｒｅｇに保存された値ｃは、第１入力データａ及び第２入力データｂを受け取った時刻（クロック）の次の時刻（クロック）において、処理エレメントＰＥから出力される。

【0043】

レジスタａ_ｒｅｇは、処理エレメントＰＥが受け取った第１入力データａを保存する。レジスタａ_ｒｅｇに保存された第１入力データａは、第１入力データａを受け取った時刻（クロック）の次の時刻（クロック）において、処理エレメントＰＥから出力され、隣の処理エレメントＰＥに与えられる。例えば、図４の処理エレメントＰＥ_１１から出力された第１入力データａは、右隣の処理エレメントＰＥ_１２に与えられる。

【0044】

レジスタｂ_ｒｅｇは、処理エレメントＰＥが受け取った第２入力データｂを保存する。レジスタｂ_ｒｅｇに保存された第２入力データｂは、第２入力データｂを受け取った時刻（クロック）の次の時刻（クロック）において、処理エレメントＰＥから出力され、隣の処理エレメントＰＥに与えられる。例えば、図５の処理エレメントＰＥ_１１から出力された第２入力データｂは、下隣の処理エレメントＰＥ_２１に与えられる。

【0045】

図４に戻り、行列計算ユニット１１０へ与えられる一般的なデータフローを説明する。まず、ある時刻（クロック）において、処理エレメントＰＥ_１１には第１入力データａ_１１が与えられ、その後、クロック毎に、第１入力データａ_１２、第１入力データａ_１３の順で与えられる。

【0046】

処理エレメントＰＥ_２１には、処理エレメントＰＥ_１１に第１入力データａ_１２が与えられるのと同じ時刻（クロック）において、第１入力データａ_２１が与えられ、その後、クロック毎に、第１入力データａ_２２、第１入力データａ_２３の順で与えられる。

【0047】

処理エレメントＰＥ_３１には、処理エレメントＰＥ_２１に第１入力データａ_２２が与えられるのと同じ時刻（クロック）において、第１入力データａ_３１が与えられ、その後、クロック毎に、第１入力データａ_３２、第１入力データａ_３３の順で与えられる。

【0048】

また、処理エレメントＰＥ_１１には、処理エレメントＰＥ_１１に第１入力データａ_１１が与えられるのと同じ時刻（クロック）において、第２入力データｂ_１１が与えられ、その後、クロック毎に、第２入力データｂ_２１、第２入力データｂ_３１の順で与えられる。

【0049】

処理エレメントＰＥ_１２には、処理エレメントＰＥ_１１に第２入力データｂ_２１が与えられるのと同じ時刻（クロック）において、第２入力データｂ_１２が与えられ、その後、クロック毎に、第２入力データｂ_２２、第２入力データｂ_３２の順で与えられる。

【0050】

処理エレメントＰＥ_１３には、処理エレメントＰＥ_１２に第２入力データｂ_２２が与えられるのと同じ時刻（クロック）において、第２入力データｂ_１３が与えられ、その後、クロック毎に、第２入力データｂ_２３、第２入力データｂ_３３の順で与えられる。

【0051】

図４に示す行列計算ユニット１１０では、図４の式（２）に示す行列のドット積の計算を７クロックで完了することができる。

【0052】

前述のように、第１入力データａは、例えば、センサデータなどのニューラルネットワークへの入力データであり、第２入力データｂは、ニューラルネットワークの重みである。ニューラルネットワークの重みは、パラメータストレージ２４０においては、暗号化により保護されているが、行列計算ユニット１１０での計算の際には、復号されて平文に戻っている。この場合、行列計算の実行時に発生する漏洩電磁波などのサイドチャネル情報を利用した攻撃がなされると、学習モデルが搾取されるおそれがある（非特許文献１参照）。

【0053】

ここで、回路からの漏洩電磁波による情報漏洩は、回路の内部動作と、その時の回路の消費電力に相関があると情報が洩れる（相関電力解析）。そして、ニューラルネットワークの重みは、処理エレメントＰＥのレジスタ（フリップフロップ）においては、レジスタに保存された値ｒｅｇがある時刻（クロック）ｔにおける値ｒｅｇ^ｔから、次の時刻（クロック）ｔ＋１における値ｒｅｇ_ｔ＋１に遷移する場合、レジスタは、そのハミング距離ＨＤ（ｒｅｇ^ｔ，ｒｅｇ_ｔ＋１）に応じて電力を消費する。

【0054】

このことを利用すると、攻撃者は、相関電力解析を利用したサイドチャネル攻撃によって、ニューラルネットワークの重みを搾取することができる（詳細は、非特許文献１参照）。

【0055】

ここでは、攻撃者は、演算装置１００に対して任意の第１入力データを与えることができるものとする。また、攻撃者は、行列計算ユニット１１０のアーキテクチャ及びニューラルネットワークのアーキテクチャを知っているものとする。

【0056】

この場合、攻撃者は、各処理エレメントＰＥのレジスタｃ_ｒｅｇからの漏洩電磁波を観測することで、レジスタｃ_ｒｅｇに保存された値を計算により求めることができる。そして、攻撃者は、レジスタｃ_ｒｅｇに保存された値から、未知数である重みを求めることができる。

【0057】

以下、一つの処理エレメントＰＥ_１１に着目して、未知数である重みｂ（第２入力データ）を求めることが可能であることを説明する。図６に示すように、処理エレメントＰＥ_１１の出力ｃ_１１は、図６の式（３）のように計算される。図６には、出力ｃ_１１が保存されるレジスタｃ_ｒｅｇの値の遷移も示されている。図６に示すように、時刻ｔ＝０（初期時刻）において、レジスタｃ_ｒｅｇの値ｃ_１１ ^ｔは０（初期値）をとる。時刻ｔ＝０（初期時刻）において、レジスタｃ_ｒｅｇの値ｃ_１１ ^ｔが０（初期値）をとることは、攻撃者にとって既知であるとする。

【0058】

次の時刻ｔ＝１において、処理エレメントＰＥ_１１に第１入力データａ_１１と第２入力データｂ_１１とが与えられる。この時刻ｔ＝１においては、第１入力データａ_１１と第２入力データｂ_１１とが乗算器５０１により乗算されるとともに、その加算結果ａ_１１×ｂ_１１と現在のレジスタｃ_ｒｅｇの値（０：初期値）とが加算器５０２によって加算される。加算結果は、次の時刻ｔ＝２におけるレジスタｃ_ｒｅｇ ^ｔの値になる。

【0059】

ここで、処理エレメントＰＥにおいて、各時刻ｔにおいて実行される演算を単位演算という。実施形態において、単位演算は、乗算器５０１による乗算と、加算器５０２による加算と、を含む。つまり、時刻ｔ＝１においては、単位演算が実行される。

【0060】

単位演算は、必要な回数（図６では３回）繰り返される。時刻ｔ＝２において、処理エレメントＰＥ_１１には、第１入力データａ_１２と第２入力データｂ_２１とが与えられる。この時刻ｔ＝２においては、単位演算の実行により、第１入力データａ_１２と第２入力データｂ_２１とが乗算器５０１により乗算されるとともに、その加算結果ａ_１２×ｂ_２１と現在のレジスタｃ_ｒｅｇの値とが加算器５０２によって加算される。加算結果は、次の時刻ｔ＝３におけるレジスタｃ_ｒｅｇ ^ｔの値になる。

【0061】

時刻ｔ＝３において、処理エレメントＰＥ_１１には、第１入力データａ_１３と第２入力データｂ_３１とが与えられる。この時刻ｔ＝３においては、単位演算の実行により、第１入力データａ_１３と第２入力データｂ_３１とが乗算器５０１により乗算されるとともに、その加算結果ａ_１３×ｂ_３１と現在のレジスタｃ_ｒｅｇの値とが加算器５０２によって加算される。加算結果は、処理エレメントＰＥ１１の出力ｃ_１１になる。

【0062】

図６に示すｃ_１１の遷移において、第１入力データａ_１１、第１入力データａ_１２、第１入力データａ_１３は、攻撃者により与えられるものであるから、攻撃者にとって既知である。また、レジスタｃ_ｒｅｇの値の遷移の仕方（レジスタｃ_ｒｅｇの動作）は、レジスタｃ_ｒｅｇからの漏洩電磁波によって推定可能であるため、レジスタｃ_ｒｅｇの初期値が攻撃者にとって既知であると、各時刻ｔのレジスタｃ_ｒｅｇの遷移後の値を計算することができる。

【0063】

そうすると、図６に示すｃ_１１の遷移として示される式において、未知数は第２入力データｂ_１１，ｂ_２１，ｂ_３１だけであり、各時刻ｔにおいて未知数は、１つである。したがって、未知数である第２入力データｂ_１１，ｂ_２１，ｂ_３１は、他の値ａ_１１，ａ_１２，ａ_１３，ｃ_ｒｅｇ ^ｔ，ｃ_ｒｅｇ ^ｔ＋１から求めることができる。

【0064】

このように、攻撃者は、レジスタｃ_ｒｅｇの初期値が既知であり、処理エレメントＰＥのレジスタｃ_ｒｅｇの遷移の仕方が推測可能であることを利用して、攻撃を行う。そこで、そこで、本実施形態では、攻撃対策として、レジスタｃ_ｒｅｇを、攻撃者が知り得ない乱数で初期化し、遷移後の値を予想できないようにする。

【0065】

例えば、図７に示すように、処理エレメントＰＥ_１１の出力ｃ_１１を求める演算処理においては、時刻ｔ＝１において、乱数Ｒ_１×Ｒ_４をレジスタｃ_ｒｅｇにセットする（第１処理の実行）。そして、その後の時刻ｔ＝２～４において、図６と同様に計３回の単位演算を繰り返し実行する。その後の時刻ｔ＝５において、レジスタｃ_ｒｅｇから乱数Ｒ_１×Ｒ_４を減算する（第２処理の実行）。

【0066】

図７に示す式（４）は、乱数Ｒ_１×Ｒ_４の加算及び減算が含まれている以外は、図６に示す式（３）と同じである。そして、乱数Ｒ_１×Ｒ_４を加算しても、最後にその乱数Ｒ_１×Ｒ_４を減算するため、処理エレメントＰＥ_１１の出力ｃ_１１は、乱数Ｒ_１×Ｒ_４の影響を受けない。したがって、図７に示す式（４）は、図６に示す式（３）と等価である。しかし、図７の場合、時刻ｔ＝１において、レジスタｃ_ｒｅｇには、攻撃者が知り得ない乱数Ｒ_１×Ｒ_４がセットされているため、攻撃者は、処理エレメントＰＥのレジスタｃ_ｒｅｇの遷移の仕方を推測できても、レジスタｃ_ｒｅｇの遷移前の値が不明である。この結果、攻撃者が、各時刻ｔ＝２，３，４，５における遷移後の、レジスタｃ_ｒｅｇの値を予想するのが困難になる。レジスタｃ_ｒｅｇの値を予想できないことで、ニューラルネットワークの重みを示す第２入力データの値を求めることも困難になる。

【0067】

本実施形態のように、レジスタｃ_ｒｅｇに乱数をセットすることで、その後のレジスタｃ_ｒｅｇの値が予測困難になる。本実施形態においては、前述のように、レジスタｃ_ｒｅｇに乱数をセットする第１処理は、単位演算の繰り返しの開始前に行われ、乱数を減算する第２処理は単位演算の繰り返し終了後に行われる。これにより、レジスタｃ_ｒｅｇの全ての時刻における値を予測困難にできる。ただし、第１処理と第２処理の実行タイミングはこれらに限られない。例えば、少なくとも１回の単位演算を行った後に、レジスタｃ_ｒｅｇの値に乱数を加算してもよい。また、レジスタｃ_ｒｅｇの値から乱数を減算した後に、少なくとも１回の単位演算を実行してもよい。

【0068】

なお、図７では、乱数Ｒ_１×Ｒ_４は、二つの乱数Ｒ_１，Ｒ_４の乗算値として与えられる。乱数が乗算値であることで、乱数の値の範囲を大きくすることができる。例えば、乱数Ｒ１，Ｒ４がそれぞれ８ビットである場合、乗算値である乱数Ｒ_１×Ｒ_４は１６ビットの値になる。乱数は、ビット数が大きいほど、推測が困難になる。乗算値である乱数Ｒ_１×Ｒ_４は、乱数生成器１５０によって生成した第１乱数Ｒ_１と第２乱数Ｒ_４とを、処理エレメントＰＥの乗算器５０１によって乗算することで得られる。

【0069】

本実施形態において、レジスタｃ_ｒｅｇに乱数をセットする第１処理は、乗算器５０１によって乱数Ｒ_１×Ｒ_４を求め、乗算器５０１から出力された乱数Ｒ_１×Ｒ_４を、レジスタｃ_ｒｅｇの値（初期値：０）に加算し、加算結果（Ｒ_１×Ｒ_４＋ｃ_ｒｅｇ）をレジスタｃ_ｒｅｇに保存することによって行われる。このように、本実施形態では、第１処理は、処理エレメントＰＥにおいて実行される単位演算と同じ処理である。したがって、第１処理の実行に処理エレメントＰＥを利用できる。この結果、第１処理の実行のために、演算装置１００に別のハードウエアを設ける必要がない。

【0070】

また、本実施形態において、レジスタｃ_ｒｅｇから乱数を減算する第２処理は、乱数Ｒ_１，－Ｒ_４から、前述の乱数Ｒ_１×Ｒ_４を符号反転した値－Ｒ_１×Ｒ_４を乗算器５０１によって求め、乗算器５０１から出力された符号反転値－Ｒ_１×Ｒ_４を、レジスタｃ_ｒｅｇの値に加算し、加算結果（－Ｒ_１×Ｒ_４＋ｃ_ｒｅｇ）をレジスタｃ_ｒｅｇに保存することによって行われる。このように、本実施形態では、第２処理は、処理エレメントＰＥにおいて実行される単位演算と同じ処理である。したがって、第２処理の実行に処理エレメントＰＥを利用できる。この結果、第２処理の実行のために、演算装置１００に別のハードウエアを設ける必要がない。

【0071】

図８は、実施形態に係る行列計算ユニット１１０に与えられる第１データフロー及び第２データフローを示している。第１データフローは、第１入力データａの先頭と末尾に乱数を付加して構成されている。例えば、処理エレメントＰＥ_１１に与えられる第１データフローは、処理エレメントＰＥ_１１に与えられる順に、乱数Ｒ_１，第１入力データａ_１１，第１入力データａ_１２，第１入力データａ_１３，乱数Ｒ_１を有している。処理エレメントＰＥ_２１に与えられる第１データフローは、処理エレメントＰＥ_２１に与えられる順に、乱数Ｒ_２，第１入力データａ_２１，第１入力データａ_２２，第１入力データａ_２３，乱数Ｒ_２を有している。処理エレメントＰＥ_３１に与えられる第１データフローは、処理エレメントＰＥ_３１に与えられる順に、乱数Ｒ_３，第１入力データａ_３１，第１入力データａ_３２，第１入力データａ_３３，乱数Ｒ_３を有している。

【0072】

第２データフローは、第２入力データｂの先頭と末尾に乱数を付加して構成されている。例えば、処理エレメントＰＥ_１１に与えられる第２データフローは、処理エレメントＰＥ_１１に与えられる順に、乱数Ｒ_４，第２入力データｂ_１１，第２入力データｂ_２１，第２入力データｂ_３１，乱数－Ｒ_４を有している。処理エレメントＰＥ_１２に与えられる第２データフローは、処理エレメントＰＥ_１２に与えられる順に、乱数Ｒ_５，第２入力データｂ_１２，第２入力データｂ_２２，第２入力データｂ_３２，乱数－Ｒ_５を有している。処理エレメントＰＥ_１３に与えられる第２データフローは、処理エレメントＰＥ_１３に与えられる順に、乱数Ｒ_６，第２入力データｂ_１３，第２入力データｂ_２３，第２入力データｂ_３３，乱数－Ｒ_６を有している。

【0073】

本実施形態においては、図８に示すように、行列計算ユニット１１０に与えられる第１データフロー及び第２データフローに乱数を加えるだけで、行列計算ユニット１１０のハードウエア構成を変更することなく、第１処理及び第２処理を実行できる。

【0074】

図４に示すデータフローの場合、図９に示す従来の行列演算６０１が行われるのに対して、図８に示すデータフローの場合、図９に示すように乱数の加算（第１処理）及び減算（第２処理）を含む行列演算６０２が行われる。二つの行列演算６０１，６０２は等価である。行列演算６０２は、攻撃耐性を持つため、入力データｂ（ニューラルネットワークの重みなど）の漏洩を防止できる。

【0075】

図１０は、実施形態に係る演算装置１００による演算処理の手順を示す。図１０に示す演算手順は演算装置１００が備えるシーケンサ１８０（図２参照）によって制御される。

【0076】

まず、シーケンサ１８０は、演算装置１００外部から、センサデータなどの入力データａ（第１入力データ）と、重みｂ（第２入力データ）とを、取得する（ステップＳ１１）。取得した第１入力データａは、入力データバッファ１３０に格納される。取得した第２入力データｂは、重みバッファ１４０に格納される。さらに、シーケンサは、乱数生成器１５０によって生成した乱数Ｒ_１，Ｒ_２，Ｒ_３を入力データバッファ１３０に格納させ、同じく乱数生成器１５０によって生成した，Ｒ_４，Ｒ_５，Ｒ_６を重みバッファ１４０に格納させる（ステップＳ１２）。

【0077】

続いて、シーケンサ１８０は、図８に示すような第１データフロー及び第２データフローをスケジュールする（ステップＳ１３）。第１データフローは、第１入力データａと乱数とからなる。第２データフローは、重みｂと乱数とからなる。

【0078】

そして、シーケンサ１８０は、シストリックアレイを構成する複数の処理エレメントＰＥそれぞれに単位演算を順次実行させ、処理エレメントの出力ｃとなる累積値を生成させる（ステップＳ１４）。処理エレメントＰＥで実行させる単位演算には、第１処理（乱数の加算）及び第２処理（乱数の減算）が含まれる

【0079】

そして、演算装置１００は、累積値（出力ｃ）から、ニューラルネットワークを構成する各ニューロン４００の出力値ｈを生成する。

【0080】

以上によって、ニューラルネットワークのための行列演算処理が完了する。

【0081】

本実施形態によれば、レジスタｃ_ｒｅｇの値の遷移がランダム化されるため、ニューラルネットワークのモデルパラメータ（重み）の保護を図ることができる。また、本実施形態によれば、従来の行列計算ユニット１１０をほとんど変更することなく、モデルパラメータ（重み）の保護を図ることができる。

【0082】

本実施形態によれば、図９に示すように、行列積のサイズが乱数の分ほど大きくなるが、演算処理時間のオーバヘッドは非常に小さく、低コストでモデルパラメータ（重み）の保護を図ることができる。

【0083】

＜３．付記＞
本発明は、上記実施形態に限定されるものではなく、様々な変形が可能である。

【符号の説明】

【0084】

１０ ：センサシステム
１００ ：演算装置
１０１ ：復号器
１１０ ：行列計算ユニット
１２０ ：ベクトル計算ユニット
１３０ ：第１入力データバッファ
１４０ ：第２入力データバッファ
１５０ ：乱数生成器
１６０ ：ホストインターフェース
１７０ ：ダイレクトメモリアクセスエンジン
１８０ ：シーケンサ
２００ ：処理回路
２１０ ：外部インターフェース
２２０ ：ホストＣＰＵ
２３０ ：バス
２４０ ：パラメータストレージ
２５０ ：オフチップメモリ
３００ ：センサ
４００ ：ニューロン
５０１ ：乗算器
５０２ ：加算器
６０１ ：行列演算
６０２ ：行列演算
ＰＥ ：処理エレメント
ｃ_ｒｅｇ ：レジスタ

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】