ホーム > 特許ランキング > ＥＡＧＬＹＳ株式会社
特開2023-66339暗号処理プログラム、暗号処理方法、暗号処理装置、暗号処理システム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2023066339
(43)【公開日】2023-05-15
(54)【発明の名称】暗号処理プログラム、暗号処理方法、暗号処理装置、暗号処理システム
(51)【国際特許分類】
G09C 1/00 20060101AFI20230508BHJP
【ＦＩ】
G09C1/00 620Z
【審査請求】有
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2021210018
(22)【出願日】2021-12-23
(11)【特許番号】
(45)【特許公報発行日】2022-07-15
(31)【優先権主張番号】P 2021176099
(32)【優先日】2021-10-28
(33)【優先権主張国・地域又は機関】JP
(71)【出願人】
【識別番号】518334141
【氏名又は名称】ＥＡＧＬＹＳ株式会社
(74)【代理人】
【識別番号】100210815
【弁理士】
【氏名又は名称】西田 聡子
(72)【発明者】
【氏名】丸山 祐丞
(72)【発明者】
【氏名】三原 健太郎
(72)【発明者】
【氏名】林 卓也
(57)【要約】
【課題】準同型暗号を利用した畳み込み演算において、効率的に演算すること。
【解決手段】制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、制御部が、第１の多次元データおよび第２の多次元データを記憶部に記憶させ、第１の多次元データに対応する第１の多項式を生成し、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、第２の多次元データに対応する第２の多項式を生成し、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、第３の暗号多項式を表す暗号情報を出力するステップを備え、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【選択図】図４
【解決手段】制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、制御部が、第１の多次元データおよび第２の多次元データを記憶部に記憶させ、第１の多次元データに対応する第１の多項式を生成し、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、第２の多次元データに対応する第２の多項式を生成し、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、第３の暗号多項式を表す暗号情報を出力するステップを備え、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【選択図】図４
【特許請求の範囲】
【請求項1】
制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理プログラム。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理プログラム。
【請求項2】
前記多項式は、剰余多項式環である、請求項１に記載の暗号処理プログラム。
【請求項3】
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有する、請求項２に記載の暗号処理プログラム。
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有する、請求項２に記載の暗号処理プログラム。
【請求項4】
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入する、請求項３に記載の暗号処理プログラム。
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入する、請求項３に記載の暗号処理プログラム。
【請求項5】
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行う、請求項４に記載の暗号処理プログラム。
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行う、請求項４に記載の暗号処理プログラム。
【請求項6】
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1) (ｗは前記第１の多次元データのサイズ)に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1) (ｋは前記第２の多次元データのサイズ)に対して、
で定義され、
ただし、Φは、ｍ≧ｗ2、およびｍ＝２n（ｎは自然数）を満たす整数ｍによって、
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である、請求項５に記載の暗号処理プログラム。
(ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1) (ｗは前記第１の多次元データのサイズ)に対して、
【数8】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1) (ｋは前記第２の多次元データのサイズ)に対して、
【数9】
ただし、Φは、ｍ≧ｗ2、およびｍ＝２n（ｎは自然数）を満たす整数ｍによって、
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である、請求項５に記載の暗号処理プログラム。
【請求項7】
前記第３の多項式は、
で定義され、
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行ｊ列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄij＝ｃiw+j
で定義される請求項６に記載の暗号処理プログラム。
【数10】
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行ｊ列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄij＝ｃiw+j
で定義される請求項６に記載の暗号処理プログラム。
【請求項8】
前記第１の多項式であるａ（ｘ）にｘのα乗を乗じ、前記第２の多項式であるｂ（ｘ）にｘのβ乗を乗じたとき（ただし、αおよびβは、－ｍ＜α≦ｍ、－ｍ＜β≦ｍ、を満たす整数）、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である前記ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ただし、ｚは、ｉｗ＋ｊ＋α＋β≧０ のとき ０，ｉｗ＋ｊ＋α＋β＜０ のとき １、
で定義される請求項７に記載の暗号処理プログラム。
【数11】
で定義される請求項７に記載の暗号処理プログラム。
【請求項9】
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1) （ｗは第１の多次元データのサイズ）に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1) （ｋは第２の多次元データのサイズ）に対して、
で定義され、
ただし、Φは、ｍ≧２ｗ2、およびｍ＝２n（ｎは自然数）を満たす次数ｍの剰余多項式環である、請求項４に記載の暗号処理プログラム。
(ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1) （ｗは第１の多次元データのサイズ）に対して、
【数12】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1) （ｋは第２の多次元データのサイズ）に対して、
【数13】
ただし、Φは、ｍ≧２ｗ2、およびｍ＝２n（ｎは自然数）を満たす次数ｍの剰余多項式環である、請求項４に記載の暗号処理プログラム。
【請求項10】
前記第３の多項式は、
で定義され、
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行j列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄij＝ｃwk-1+iw+j
で定義される請求項９に記載の暗号処理プログラム。
【数14】
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行j列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄij＝ｃwk-1+iw+j
で定義される請求項９に記載の暗号処理プログラム。
【請求項11】
制御部と、記憶部とを備えるコンピュータにおいて、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理方法。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理方法。
【請求項12】
制御部と、記憶部とを備える暗号処理装置であって、
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理装置。
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理装置。
【請求項13】
第１の多次元データを記憶する端末装置と、第２の多次元データを記憶するサーバ装置と、を備える暗号処理システムであって、
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理システム。
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する、暗号処理システム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、暗号処理プログラム、暗号処理方法、暗号処理装置、暗号処理システムに関する。
【背景技術】
【0002】
近年、ディープラーニングの発展により、画像や時系列データ、テキスト、インターネット上のつながり分析、嗜好性分析など、より複雑なデータの分析を高精度に行うことが可能となっている。
【0003】
他方、これらの分析手法の発展に伴い、分析に用いられるデータは多様化しており、クレジットカード情報、日々の室内の音声データ、医療画像、遺伝情報など個人プライバシーに直結した機微データが扱われており、プライバシー情報を秘匿したまま分析処理を行う秘密計算技術が注目を集めている。例えば、非特許文献１では、暗号文に演算処理を行うことが可能な準同型暗号を用いた技術が開示されている。
【先行技術文献】
【非特許文献】
【0004】
【非特許文献1】C. Gentry, “Fully Homomorphic Encryption Using Ideal Lattices”, STOC 2009, pp. 169-178, 2009.
【非特許文献2】JUNVEKAR, C., VAIKUNTANATHAN, V. and CHANDRAKASAN, A., “GAZELLE: A Low Latency Framework for Secure Neural Network Inference”, Cryptology ePrint Archive, [online], 2018年, Report 2018/073, pp.1-17, インターネット
【発明の概要】
【発明が解決しようとする課題】
【0005】
準同型暗号を用いて秘密計算を行う場合、配列型データを扱う畳み込み処理のような計算においては、パッキングと呼ばれる方法により多数の数字（ベクトル）を１つの多項式に入れ込み、内積計算をベースとする手法が、非特許文献２で提案されている。しかしながら、内積計算をベースとした当該手法では、畳み込み処理のために内積した上に複雑に足し合わせる処理が必要となるため、データ量や計算量が膨大になってしまう。
【0006】
そこで、本開示は、本開示は、上記課題を解決すべくなされたものであって、その目的は、準同型暗号を利用した畳み込み演算において、効率的に演算する技術を提供することである。
【課題を解決するための手段】
【0007】
上記目的を達成するため、本開示に係る暗号処理プログラムは、制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、制御部が、第１の多次元データおよび第２の多次元データを記憶部に記憶させるステップと、制御部が、記憶部から読み込んだ第１の多次元データに対応する第１の多項式を生成するステップと、制御部が、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、制御部が、記憶部から読み込んだ第２の多次元データに対応する第２の多項式を生成するステップと、制御部が、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、制御部が、第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、制御部が、第３の暗号多項式を表す暗号情報を出力するステップと、を備え、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【0008】
また、上記目的を達成するため、本開示に係る暗号処理方法は、制御部と、記憶部とを備えるコンピュータにおいて、制御部が、第１の多次元データおよび第２の多次元データを記憶部に記憶させ、制御部が、記憶部から読み込んだ第１の多次元データに対応する第１の多項式を生成し、制御部が、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、制御部が、記憶部から読み込んだ第２の多次元データに対応する第２の多項式を生成し、制御部が、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、制御部が、第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、制御部が、第３の暗号多項式を表す暗号情報を出力する方法であって、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【0009】
また、上記目的を達成するため、本開示に係る暗号処理装置は、制御部と、記憶部とを備え、制御部は、第１の多次元データおよび第２の多次元データを記憶部に記憶させ、記憶部から読み込んだ第１の多次元データに対応する第１の多項式を生成し、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、記憶部から読み込んだ第２の多次元データに対応する第２の多項式を生成し、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、第３の暗号多項式を表す暗号情報を出力し、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【0010】
また、上記目的を達成するため、本開示に係る暗号処理システムは、第１の多次元データを記憶する端末装置と、第２の多次元データを記憶するサーバ装置と、を備え、端末装置は、第１の多次元データに対応する第１の多項式を生成し、第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、第１の暗号多項式をサーバ装置に送信し、サーバ装置は、第２の多次元データに対応する第２の多項式を生成し、第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、端末装置から受信した第１の暗号多項式と第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、第３の暗号多項式を表す暗号情報を端末装置に送信し、第３の多項式の所定の項は、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数を有する。
【発明の効果】
【0011】
本開示によれば、準同型暗号を利用した畳み込み演算において、効率的に演算することができる。
【図面の簡単な説明】
【0012】
【図1】畳み込み演算の具体例を示す図である。
【図2】暗号処理装置１００の構成を示す全体図である。
【図3】暗号処理装置１００の機能的構成を示す図である。
【図4】暗号処理装置１００における処理の一例を示すフローチャートである。
【図5】第１の多次元データと第１の多項式の具体例を示す図である。
【図6】第２の多次元データの具体例を示す図である。
【図7】第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図8】第１の多次元データと第２の多次元データに複数のチャンネルがある場合の具体例を示す図である。
【図9】暗号処理装置２００の機能的構成を示す図である。
【図10】暗号処理装置２００における処理の一例を示すフローチャートである。
【図11】第２の多次元データの具体例を示す図である。
【図12】第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図13】第１の多項式と第２の多項式の係数の挿入を変形させた場合に、第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図14】第１の多項式と第２の多項式の係数の挿入を変形させた場合に、第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図15】第１の多項式と第２の多項式の係数の挿入を逆方向にした場合に、第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図16】第１の多項式と第２の多項式の係数の挿入を逆方向にした場合に、第１の多項式と第２の多項式に基づいて第３の多項式を算出する過程の具体例を示す図である。
【図17】暗号処理装置を複数のコンピュータに分けて処理させる場合の具体例を示す図である。
【発明を実施するための形態】
【0013】
以下、本開示の実施形態について図面を参照して説明する。実施形態を説明する全図において、共通の構成要素には同一の符号を付し、繰り返しの説明を省略する。なお、以下の実施形態は、特許請求の範囲に記載された本開示の内容を不当に限定するものではない。また、実施形態に示される構成要素のすべてが、本開示の必須の構成要素であるとは限らない。
【0014】
＜畳み込み演算と本発明の概要＞
図１は、畳み込み演算の具体例を示した図である。図１は、より具体的に言えば、３×３のサイズである第１のデータに２×２のサイズである第２のデータを適用して畳み込み演算して結果を算出する具体例である。なお、第１のデータは、第１の多次元データに相当し、例えば、画像データである。第２のデータは、第２の多次元データに相当し、例えばカーネルのデータである。
図１は、畳み込み演算の具体例を示した図である。図１は、より具体的に言えば、３×３のサイズである第１のデータに２×２のサイズである第２のデータを適用して畳み込み演算して結果を算出する具体例である。なお、第１のデータは、第１の多次元データに相当し、例えば、画像データである。第２のデータは、第２の多次元データに相当し、例えばカーネルのデータである。
【0015】
コンピュータは、画像データなどに代表される２次元のデータの畳み込み演算を、例えば、以下のように算出する。すなわち、コンピュータは、第１のデータの座標（０，０）の画素値であるデータａ00と、第２のデータの座標（０，０）の重みであるデータｂ00が重なるように、画像データの上にカーネルを重ね合わせる。なお、座標は、ストライド１のラスタ走査をするときの始点を（０，０）とし、（行方向，列方向）として表記する。次に、コンピュータは、第１のデータと第２のデータが重なった座標のデータ同士を掛け合わせた上で、各座標において掛け合わされた結果の値を足し合わせることで、畳み込み演算後の結果を取得する。例えば、ａ00の上に、ｂ00を重ね合わせた場合の畳み込み演算の結果は、
「ａ00ｂ00＋ａ01ｂ01＋ａ10ｂ10＋ａ11ｂ11」
となり、演算結果の座標（０，０）に対応する。
「ａ00ｂ00＋ａ01ｂ01＋ａ10ｂ10＋ａ11ｂ11」
となり、演算結果の座標（０，０）に対応する。
【0016】
次に、コンピュータは、カーネルをストライド１のラスタ走査をした順方向にずらした上で、畳み込み演算の結果を算出する。これを言い換えれば、コンピュータは、第１のデータの座標（０，１）の画素値であるデータａ01に、第２のデータの座標（０，０）の重みであるデータｂ00を重ね、畳み込み演算の結果を算出する。
【0017】
上記の処理を繰り返すが、コンピュータは、第１のデータである画像データの上に第２のデータであるカーネルのデータが完全に重ならないものは除外して処理する。つまり、第１のデータの座標（０，２）の画素値であるａ02に第２のデータの座標（０，０）の重みであるｂ00を重ねると、第２のデータの重みであるｂ01とｂ11の値が第１のデータである画像データと重ならなくなるため、コンピュータは、この重ね合わせは除外して処理する。そして、コンピュータは、第１のデータの座標（１，０）の画素値であるａ10に第２のデータの座標（０，０）の重みであるｂ00を重ねた上で、畳み込み演算の結果を算出し、処理を継続する。
【0018】
以上のように計算を行うと、コンピュータは、第１のデータである画像データのサイズをｗ、第２のデータであるカーネルのサイズをｋとしたときに、第２のデータの座標（０，０）の重みを、第１のデータの座標（０，０）から、座標（ｗ－ｋ、ｗ－ｋ）まで移動させたときに、第１のデータの画像データと第２のデータのカーネルデータを完全に重ね合わせることが可能であり、畳み込み演算結果を算出する。また、第１のデータである画像データのうち、行方向又は列方向の座標が（ｗ－ｋ＋１）以上のものは、第１のデータと第２のデータを完全に重ね合わせることができないため、計算処理から除外する。
【0019】
したがって、コンピュータは、第１のデータである画像データのサイズをｗ、第２のデータであるカーネルのサイズをｋとすると、（ｗ－ｋ＋１）のサイズの畳み込み演算後のデータを算出する。
【0020】
一般的に用いられるシステム（画像などを対象とした機械学習モデル等、計算方法等を含む）は、畳み込み演算結果を算出する際、得られたデータにさらにデータを付加して、画像データと同じサイズの畳み込み演算後の結果を算出するものもあるが、不足するデータの付加方法は、システムごとに定義されて一律ではない。したがって、コンピュータは、畳み込み演算結果を算出するとき、上記のような（ｗ－ｋ＋１）のサイズの畳み込み演算結果を算出することが重要である。
【0021】
詳細は後述するが、本発明の開示において、畳み込み演算を行う対象が二次元データであるとき、コンピュータは、多項式として剰余多項式環を用い、第１のデータである画像データの画素値を第１の多項式の係数として所定の順序で挿入し、第２のデータであるカーネルの重みを第２の多項式の係数として、第１の多項式に挿入した順序とは逆方向の順序に挿入する。その上で、コンピュータは、準同型暗号を利用して、第１の多項式と第２の多項式とを乗算した結果の第３の多項式の係数から、畳み込み演算の結果を取得することができる。したがって、本発明では、畳み込み演算のコアとなるデータを秘密計算下で効率的に算出することが可能となる。
【0022】
＜実施形態１＞
実施形態１では、準同型暗号を用い、２つの多次元データの畳み込み演算の結果を得るための方法の一例について示す。
実施形態１では、準同型暗号を用い、２つの多次元データの畳み込み演算の結果を得るための方法の一例について示す。
【0023】
（全体構成）
図２は、本実施形態の暗号処理装置１００の全体構成を示す図である。暗号処理装置１００は、汎用のコンピュータである。暗号処理装置１００は、例えば、据え置き型のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ラップトップＰＣ等により実現される。また、暗号処理装置１００は、スマートフォン、又はタブレット端末などの携行性を備えたコンピュータであってもよい。
図２は、本実施形態の暗号処理装置１００の全体構成を示す図である。暗号処理装置１００は、汎用のコンピュータである。暗号処理装置１００は、例えば、据え置き型のＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）、ラップトップＰＣ等により実現される。また、暗号処理装置１００は、スマートフォン、又はタブレット端末などの携行性を備えたコンピュータであってもよい。
【0024】
暗号処理装置１００は、プロセッサ１１と、メモリ１２と、ストレージ１３と、通信ＩＦ１４と、入出力ＩＦ１５と、を備える。
【0025】
プロセッサ１１は、プログラムに記述された命令セットを実行するためのハードウェアであり、演算装置、レジスタ、周辺回路などにより構成される。メモリ１２は、プログラム、および、プログラム等で処理されるデータ等を一時的に記憶するためのものであり、例えばＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）等の揮発性のメモリにより実現される。ストレージ１３は、データを保存するための記憶装置であり、例えばフラッシュメモリ、ＨＤＤ（Ｈａｒｄ Ｄｉｓｃ Ｄｒｉｖｅ）により実現される。通信ＩＦ１４は、暗号処理装置１００が外部の装置と通信するため、信号を送受信するためのインタフェースである。入出力ＩＦ１５は、ユーザからの入力を受け付けるための入力装置、および、ユーザに対し情報を提示するための出力装置とのインタフェースとして機能する。
【0026】
【0027】
暗号処理装置１００は、通信部１１０と、記憶部１２０と、制御部１３０と、を備える。
【0028】
通信部１１０は、暗号処理装置１００が他の装置と通信するための処理を行う。ここでいう他の装置とは、ネットワークで接続されたＰＣでもよいし、スマートフォン、タブレットなどの端末であってもよい。また、他の入出力装置、例えば、フラッシュメモリやＨＤＤなどによりデータの入出力を行う装置であってもよい。
【0029】
記憶部１２０は、例えば、ＲＡＭ等の揮発性のメモリ、フラッシュメモリ、ＨＤＤ等により構成され、暗号処理装置１００が使用するデータ、及びプログラムを記憶する。
【0030】
制御部１３０は、暗号処理装置１００のプロセッサが記憶部１２０に記憶されるプログラムを読み込み、プログラムに含まれる命令を実行することにより実現される。制御部１３０は、暗号処理装置１００の動作を制御する。具体的には、制御部１３０は、例えば、多次元データを記憶部１２０に記憶させるステップと、第１の多項式を生成するステップと、第１の暗号多項式を生成するステップと、第２の多項式を生成するステップと、第２の暗号多項式を生成するステップと、第３の暗号多項式を生成するステップと、暗号情報を出力するステップとしての機能を発揮する。
【0031】
（暗号処理装置１００が行う処理の流れ）
図４は、暗号処理装置１００の制御部１３０が行う処理の流れを示す図である。なお、処理の流れは一例であり、図４で示す順序に限られない。例えば、第２の多項式を第１の多項式よりも先に生成してもよいし、並列的に処理してもよい。
図４は、暗号処理装置１００の制御部１３０が行う処理の流れを示す図である。なお、処理の流れは一例であり、図４で示す順序に限られない。例えば、第２の多項式を第１の多項式よりも先に生成してもよいし、並列的に処理してもよい。
【0032】
ステップＳ１０１において、制御部１３０は、通信部１１０を介して、ネットワークに接続された他の装置から、又は、暗号処理装置１００に接続された入力装置から、第１の多次元データと第２の多次元データを取得し、記憶部１２０に記憶する。
【0033】
第１の多次元データは、例えば画像データ、音声データ、動画データなどであるが、これらに限られるものではない。
【0034】
第２の多次元データは、例えば、画像データ、音声データ、動画データなどを処理するためのフィルタやカーネルなどであるが、これらに限られるものではない。
【0035】
ステップＳ１０２において、制御部１３０は、記憶部１２０から第１の多次元データを取得し、第１の多次元データに対応する第１の多項式（後述）を生成する。
【0036】
制御部１３０は、例えば、第１の多次元データが画像データであるとき、画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、格子暗号に使われる剰余多項式環の係数として昇冪の順に挿入することで、第１の多次元データに対応する第１の多項式を生成する。すなわち、第１の多項式は画像データの各画素値に対応する係数を有する。なお、本明細書において「昇冪の順」とは、多項式において次数が低い方から高い方になるような順のことを意味する。また「降冪の順」とは、多項式において次数が高い方から低い方になるような順のことを意味する。
【0037】
制御部１３０は、第１の多次元データに対応する第１の多項式の生成を以下のように行う。
【0038】
制御部１３０は、第１の多次元データのサイズがｗ×ｗであり、第１の多次元データが（式１）で示されるとき、第１の多次元データに対応する第１の多項式を（式２）のように生成する。なお、第１の多項式において、画素値が係数として挿入されない項は、係数として０（ゼロ）を挿入する。
（式１） (ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1)
（式２）
ただし、Φは、ｍ≧２ｗ2、およびｍ＝２n（nは自然数）を満たす次数ｍの剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
（式１） (ａ00，ａ01，ａ02，…，ａij，…,ａw-1,w-1)
（式２）
【数1】
【0039】
ステップＳ１０３において、制御部１３０は、第１の多項式を準同型暗号により暗号化して、第１の暗号多項式を生成する。暗号化方法は、準同型性を有する一般的に用いられる方法であればよく、例えば格子暗号などを用いてよい。なお、準同型性を有する一般的に用いられる暗号化方法は、公知の技術であるため、説明を省略する。
【0040】
ステップＳ１０４において、制御部１３０は、記憶部１２０から第２の多次元データを取得し、第２の多次元データに対応する第２の多項式（後述）を生成する。
【0041】
制御部１３０は、第２の多次元データが２次元のカーネルであるとき、カーネルの所定の位置からストライド１のラスタ走査をして得られる重みを、剰余多項式環の係数として降冪の順に挿入することで、第２の多次元データに対応する第２の多項式を生成する。すなわち、第２の多項式はカーネルの各重みに対応する係数を有する。
【0042】
制御部１３０は、第２の多次元データに対応する第２の多項式の生成を以下のように行う。
【0043】
第１の多次元データが上記（式１）で表され、第２の多次元データのサイズをｋ×ｋとし、そのデータが（式３）で表されるとき、制御部１３０は、第２の多項式を（式４）のように生成する。なお、第２の多項式において、重みが挿入されない項は、係数として０（ゼロ）を挿入する。
（式３） (ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1)
（式４）
ただし、Φは、ｍ≧２ｗ2、およびｍ＝２n（nは自然数）を満たす次数ｍの剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
（式３） (ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,k-1)
（式４）
【数2】
【0044】
ステップＳ１０５において、制御部１３０は、第２の多項式を準同型暗号により暗号化して、第２の暗号多項式を生成する。暗号化方法には、準同型性を有する一般的に用いられる方法であればよく、例えば格子暗号などを用いてよい。なお、準同型性を有する一般的に用いられる暗号化方法は、公知の技術であるため、説明を省略する。
【0045】
ステップＳ１０６において、制御部１３０は、第１の暗号多項式と、第２の暗号多項式とに基づいて、第３の暗号多項式を生成する。第３の暗号多項式は、第３の多項式を、準同型暗号により暗号化した暗号結果に対応する暗号多項式である。
【0046】
第１の暗号多項式をＡ（ｘ）、第２の暗号多項式をＢ（ｘ）、第３の暗号多項式をＣ（ｘ）とすると、制御部１３０は、Ａ（ｘ）とＢ（ｘ）とを乗算してＣ（ｘ）を算出する。すなわち、Ｃ（ｘ）は（式５）のように表される。
（式５） Ｃ（ｘ）＝Ａ（ｘ）×Ｂ（ｘ）
（式５） Ｃ（ｘ）＝Ａ（ｘ）×Ｂ（ｘ）
【0047】
ステップＳ１０７において、制御部１３０は、第３の暗号多項式を表す暗号情報を出力する。
【0048】
制御部１３０が、ステップＳ１０７で出力した暗号情報は、復号すると、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果として利用することができる。
【0049】
暗号情報の復号は、暗号処理装置１００が行ってもよいし、暗号処理装置１００以外の装置が行ってもよい。例えば、制御部１３０が出力する暗号情報、すなわち第３の暗号多項式を受け取った情報処理装置は、暗号化に対応する復号方法を用いて暗号情報を復号し、第３の多項式を算出する。
【0050】
第３の多項式の係数には、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果に対応する係数が含まれているため、これらを取り出すことにより、畳み込み演算の結果を算出することができる。
【0051】
具体的には、第３の多項式c（ｘ）を（式６）で表すと、畳み込み演算の結果ｄは、（式７）によって算出することができる。
（式６）
ただし、Φは、次数ｍの剰余多項式環である。
（式７） ｄij＝ｃwk-1+iw+j
ただし、（式７）において、ｗは第１の多次元データのサイズ、ｋは第２の多次元データのサイズ、ｄijは、２次元データのi行ｊ列目の値を表す。
（式６）
【数3】
（式７） ｄij＝ｃwk-1+iw+j
ただし、（式７）において、ｗは第１の多次元データのサイズ、ｋは第２の多次元データのサイズ、ｄijは、２次元データのi行ｊ列目の値を表す。
【0052】
上記の処理により、コンピュータは、第１の多項式と第２の多項式とに基づいて第３の多項式を生成し、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果を算出することができる。
【0053】
（二次元データの処理における具体例）
図５～図７を参照して、第１の多次元データと第２の多次元データが二次元のデータであることを前提として、第１の多次元データに対し、第２の多次元データを適用する畳み込み演算の結果に対応する多項式の係数を取得する処理について具体的に説明する。
図５は、第１の多次元データと第１の多項式の具体例を示す図である。図５（ａ)は、例えば画像データなどの第１の多次元データを示し、図５（ｂ）は、第１の多次元データの各画素値を第１の多項式の係数に挿入して第１の多項式を生成する過程を示し、図５（ｃ）は、第１の多項式を示す。図５（ａ）において、画像データの座標（０，０）の画素値はａ00であり、画像データの座標（０，１）の画素値はａ01であり、画像データの座標（１，０）の画素値はａ10である。すなわち、座標（ｉ，ｊ）の画素値はａijである。
図５～図７を参照して、第１の多次元データと第２の多次元データが二次元のデータであることを前提として、第１の多次元データに対し、第２の多次元データを適用する畳み込み演算の結果に対応する多項式の係数を取得する処理について具体的に説明する。
図５は、第１の多次元データと第１の多項式の具体例を示す図である。図５（ａ)は、例えば画像データなどの第１の多次元データを示し、図５（ｂ）は、第１の多次元データの各画素値を第１の多項式の係数に挿入して第１の多項式を生成する過程を示し、図５（ｃ）は、第１の多項式を示す。図５（ａ）において、画像データの座標（０，０）の画素値はａ00であり、画像データの座標（０，１）の画素値はａ01であり、画像データの座標（１，０）の画素値はａ10である。すなわち、座標（ｉ，ｊ）の画素値はａijである。
【0054】
例えば、図５（ａ）に示すような２次元の画像データが第１の多次元データであるとき、制御部１３０は、上記（式２）で示される多項式を生成する。（式２）に従えば、図５（ｃ）に示す式が第１の多項式である。ただし、図５の説明においては、記載を簡単にするため、Φは省略する。
【0055】
ここで、（式２）で示される多項式を生成する手順は、以下のように考えることができる。なお、図５の例では、第１の多次元データのサイズｗは３であるため、以下では（式２）の条件を満たす最小のｍとして、２×３2＝１８以上であり、かつｍ＝２nを満たすｍ＝２5＝３２を剰余多項式環の次数として説明する。
【0056】
制御部１３０は、一つの方法として、例えば、座標（０，０）からストライド１のラスタ走査をして得られる画素値を、剰余多項式環の最も小さな次数（ｘ0）の項から昇冪の順に係数として挿入する。
【0057】
より具体的には、制御部１３０は、座標（０，０）を始点として、まずは同じ行０の中で列番号ｊが大きくなる順に画素値ａ0jをｘの次数の最も小さい項から昇冪の順に係数に挿入し、行ｉ内の画素値の挿入が終わった場合には、次の行（（ｉ＋１）行）に移動して、ｘの次数の小さい項から昇冪の順に画素値を係数として挿入していく。
【0058】
制御部１３０は、図５（ａ）に示す２次元の画像データは、図５（ｂ）に示すように、ａ00をｘ0の係数、ａ01をｘ1の係数、ａ02をｘ2の係数、ａ10をｘ3の係数、ａ11をｘ4の係数、ａ12をｘ5の係数、ａ20をｘ6の係数、ａ21をｘ7の係数、ａ22をｘ8の係数として挿入する。ここで、画素値が挿入されなかった多項式の項（ｘ9～ｘ31）には、係数として０を挿入する。
【0059】
このように、第１の多次元データに基づいて剰余多項式環の係数を挿入することで、第１の多項式、すなわち、図５（ｃ）に示す多項式を生成することができる。
【0060】
図６は、第２の多次元データと第２の多項式の具体例を示す図である。図６（ａ)は、例えばカーネルなどの第２の多次元データを示し、図６（ｂ）は、ゼロパディングにより拡張した第２の多次元データを示す。図６（ｃ）は、第２の多次元データの重みを第２の多項式の係数に挿入して第２の多項式を生成する過程を示し、図６（ｄ）は、第２の多項式を示す。図６（ａ）において、カーネルの座標（０，０）の重みはｂ00であり、カーネルの座標（０，１）の重みはｂ01である。また、カーネルの座標（１，０）の重みはｂ10であり、カーネルの座標（１，１）の重みはｂ11である。
【0061】
例えば、図６（ａ）に示すような２次元のカーネルのデータが第２の多次元データであるとき、制御部１３０は、上記（式４）で示される多項式を生成する。（式４）に従えば、図６（ｄ）に示す式が第２の多項式である。ただし、図６においては、記載を簡単にするため、Φは省略する。
【0062】
ここで、（式４）で示される多項式を生成する手順は、以下のように考えることができる。
【0063】
上述したように、制御部１３０は、第１の多次元データについて、ストライド１のラスタ走査をして得られる画素値を、多項式（剰余多項式環）の所定の次数の項から昇冪の順に係数として挿入した。制御部１３０は、第１の多項式および第２の多項式に基づいて生成される第３の多項式の係数から畳み込み演算の結果を取得できるように、第２の多次元データに対応する第２の多項式の係数への挿入方法を工夫する必要がある。
【0064】
そこで、本実施形態では、制御部１３０は、第２の多次元データについて、第２の多次元データを、少なくとも列サイズは、第１の多次元データと同じ大きさになるようにゼロパディングする。つまり、第２の多次元データを第１の多次元データと同じ大きさになるようにゼロパディングするか、第２の多次元データを第１の多次元データと列サイズにおいて同じ大きさになるようにゼロパディングする。そして、第１の多次元データについてストライド１のラスタ走査をして得られた値を多項式の係数として挿入した方向とは逆方向に、第２の多次元データについてストライド１のラスタ走査をして得られる値を係数として挿入する。すなわち、２次元データの所定の位置からストライド１のラスタ走査をして得られる値を、第１の多次元データでは多項式の係数として昇冪の順に挿入するのに対し、第２の多次元データでは、多項式の係数として降冪の順に挿入する。
【0065】
例えば、図５（ａ）の第１の多次元データは３×３の大きさであるが、図６（ａ）の第２の多次元データは２×２である。このとき、ゼロパディングの一例として、第２の多次元データを第１の多次元データと同じ大きさになるようにゼロパディングするとき、図６（ｂ）のように、制御部１３０は、第２の多次元データを第１の多次元データの大きさである３×３に拡張する。図６（ｂ）では、座標（０，０）の値、座標（０，１）の値、座標（０，２）の値、座標（１，２）の値、座標（２，２）の値をいずれも０としてゼロパディングを行い、図６（ａ）の第２の多次元データを拡張する。
【0066】
また、ゼロパディングの一例として、第２の多次元データの列サイズを第１の多次元データの列サイズと揃えてもよい。すなわち、制御部１３０は、第２の多次元データを、図６（ｂ）の点線で囲まれるような２×３の大きさに拡張する。つまり、座標（０，２）の値、座標（１，２）の値をいずれも０としてゼロパディングを行い、図６（ａ）の第２の多次元データを拡張する。
【0067】
そして、第１の多次元データについて、図５（ａ）のように、座標（０，０）を始点としてストライド１のラスタ走査の順方向に向かって画素値を、第１の多項式の所定の項から昇冪の順に係数として挿入するとき、図６（ｂ）の第２の多次元データ（サイズ３×３）の座標（０，０）を始点として、ストライド１のラスタ走査の順方向に向かって重みを、第２の多項式の所定の項から降冪の順に係数として挿入する。
【0068】
すなわち、制御部１３０は、座標（０，０）を始点として、まずは同じ行０の中で列番号ｊが大きくなる順に座標（０，ｊ）の値をｘの次数の所定の項（後述）から降冪の順に係数に挿入し、行０内の重みの挿入が終わった場合には、次の行（行１）に移動して、引き続き降冪の順に重みを係数として挿入していく。ここで、ゼロパディングにより拡張した第２の多次元データの各値を係数として挿入できるように、拡張した第２の多次元データのサイズ分（ｗ×ｗ）に相当する項数が少なくとも必要である。したがって、始点である座標（０，０）の値は、ｘの（ｗ×ｗ－１）乗の項（上記所定の項）に係数として挿入する。
【0069】
制御部１３０は、図６（ａ）に示す２次元のカーネルのデータについて、図６（ｂ）に示す拡張した２次元のカーネルのデータを座標（０，０）からストライド１のラスタ走査をし、ｘの８（＝３×３－１）乗の項から係数として、ストライド１のラスタ走査で得られた値を挿入していく。そうすると、図６（ｃ）に示すように、座標（０，０）の値（ゼロ）をｘ8の係数、座標（０，１）の値（ゼロ）をｘ7の係数、座標（０，２）の値（ゼロ）をｘ6の係数として挿入する。同様に、ｂ00をｘ5の係数、ｂ01をｘ4の係数、座標（１，２）の値（ゼロ）をｘ3の係数、座標（２，０）の値ｂ10をｘ2の係数、座標（２，１）の値ｂ11をｘ1の係数、座標（２，２）の値（ゼロ）をｘ0の係数として挿入する。ここで、値が挿入されなかった多項式の項（ｘ9～ｘ31）には、係数として０を挿入する。
【0070】
これは、言い換えれば、図６（ｂ）の拡張した２次元のカーネルのデータの座標（２，２）を始点として、ストライド１のラスタ走査の逆方向に向かって重み（値）を、第２の多項式の最も次数が小さい項から昇冪の順に係数として挿入することと同じことである。
【0071】
なお、第２の多次元データの列サイズ（ｋ）を、第１の多次元データの列サイズ（ｗ）と揃える場合は、ゼロパディングにより拡張した第２の多次元データの各値を係数として挿入できるように、拡張した第２の多次元データのサイズ分（ｗ×ｋ）に相当する項数が少なくとも必要である。したがって、ラスタ走査の始点である座標（０，０）の値は、ｘの（ｗ×ｋ－１）乗の項に係数として挿入する。具体的には、制御部１３０は、図６（ｂ）の点線で囲まれた２×３のカーネルのデータについて、座標（０，０）からストライド１のラスタ走査し、ｘの５（＝３×２－１）乗の項から係数として、ストライド１のラスタ走査で得られた値を挿入していく。そうすると、座標（０，０）の値ｂ00をｘ5の係数、座標（０，１）の値ｂ01をｘ4の係数、座標（０，２）の値（ゼロ）をｘ3の係数として挿入する。同様に、座標（１，０）の値ｂ10をｘ2の係数、座標（１，１）の値ｂ11をｘ1の係数、座標（１，２）の値（ゼロ）をｘ0の係数として挿入する。ここで、値が挿入されなかった多項式の項（ｘ6～ｘ31）には、係数として０を挿入する。
【0072】
これは、言い換えれば、拡張した（点線で囲まれた２×３の）２次元のカーネルのデータの座標（１，２）を始点として、ストライド１のラスタ走査の逆方向に向かって重み（値）を、第２の多項式の最も次数が小さい項から昇冪の順に係数として挿入することと同じことである。
【0073】
このように、制御部１３０は、第２の多次元データに基づいて剰余多項式環の係数を挿入することで、第２の多項式、すなわち、図６（ｄ）に示す多項式を生成することができる。
【0074】
図７は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。最上位の１行目には、剰余多項式環の項の次数を示している。２行目には、第１の多項式ａ（ｘ）において、剰余多項式環の項に挿入した係数の値を示している。３行目には、第２の多項式ｂ（ｘ）において、剰余多項式環の項に挿入した係数の値を示している。４行目以下は、ａ（ｘ）にｂ（ｘ）を乗じた結果、剰余多項式環の各項の係数として算出される値を示しており、３行目以下の値を全て足し合わせたものが、第３の多項式ｃ（ｘ）において、各項の係数の値となる。
【0075】
図７に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データ（ｗ×ｗ）に第２の多次元データ（ｋ×ｋ）を適用して畳み込み演算を行った結果に対応している。畳み込み結果の２次元データをＤとし、Ｄのｉ行ｊ列目のピクセルＤ（ｉ，ｊ）の値をdijと表記した際、dijは、ｃ（ｘ）のｘの(ｗ×ｋ－１＋ｉ×ｗ＋ｊ)乗の係数から取得することができる（式７参照）。図７の例では、制御部１３０は、ｃ（ｘ）のｘ5の係数、ｘ6の係数、ｘ8の係数、ｘ9の係数を取り出すことで、畳み込み演算の結果（それぞれ、Ｄ（０，０）、Ｄ（０，１）、Ｄ（１，０）、Ｄ（１，１）のピクセル値ｄ00，ｄ01，ｄ10，ｄ11に対応。）を取得することができる。
【0076】
（複数チャンネルへの拡張）
第１の多次元データは１チャンネルであることを前提に説明したが、第１の多次元データは、複数のチャンネルを有してもよい。例えば、画像データでは、色を含めて、Ｒチャンネル、Ｇチャンネル、Ｂチャンネルの３チャンネルが存在することが多い。
第１の多次元データは１チャンネルであることを前提に説明したが、第１の多次元データは、複数のチャンネルを有してもよい。例えば、画像データでは、色を含めて、Ｒチャンネル、Ｇチャンネル、Ｂチャンネルの３チャンネルが存在することが多い。
【0077】
加えて、第２の多次元データも、複数のチャンネルを有してもよい。例えば、第２の多次元データがカーネルである場合には、それぞれの特徴を抽出するために、複数のチャンネルのカーネルを用いることがある。
【0078】
上記のように、第１の多次元データと、第２の多次元データは、どちらも複数のチャンネルを有してよいが、畳み込み演算の結果として得られるチャンネル数は、第２の多次元データ数と同じチャンネル数となる。
【0079】
図８は、第１の多次元データと第２の多次元データに複数のチャンネルがある場合の処理の具体例を示す図である。第１の多次元データがｐチャンネルあり、第２の多次元データがｑチャンネルあるとき、畳み込み演算結果として得られるチャンネル数は、第１の多次元データの各チャンネルに第２の多次元データの各チャンネルを適用して畳み込み演算した結果に対して、第１の各チャンネルを足し合わせた結果を畳み込み演算結果とするため、第２のチャンネル数であるｑチャンネル分の出力を得る。
【0080】
（効果の説明）
本実施形態によれば、第１の多次元データに第２の多次元データを適用した畳み込み演算を、剰余多項式環を用いて計算することにより、暗号処理を用いたデータ処理においても、畳み込み演算の結果を算出することが可能となる。
本実施形態によれば、第１の多次元データに第２の多次元データを適用した畳み込み演算を、剰余多項式環を用いて計算することにより、暗号処理を用いたデータ処理においても、畳み込み演算の結果を算出することが可能となる。
【0081】
また、暗号化処理を用いて畳み込み演算を行う従来の手法と比較して、暗号化の回数や掛け算の回数を少なく効率的に計算結果を算出することが可能であり、これにより、メモリやＣＰＵの資源を節約し、高速に計算することが可能となる。従来の手法では、畳み込み演算結果の２次元データサイズ（ｗ－ｋ＋１）2回程度の暗号同士の乗算が必要だったのに対し、本手法では１回程度の乗算で計算できる。
【0082】
さらに、本実施形態による方法を用いると、上記（式４）の多項式環において、一定のサイズを確保すればよく、それ以上の制限を課することなく畳み込み演算の結果を算出することが可能である。
【0083】
＜実施形態２＞
実施形態２では、準同型暗号を用い、２つの多次元データの畳み込み演算の結果を得るための方法において、実施形態１とは異なる方法について示す。具体的には、実施形態２では、多項式として用いる剰余多項式環が実施形態１とは異なる。
実施形態２では、準同型暗号を用い、２つの多次元データの畳み込み演算の結果を得るための方法において、実施形態１とは異なる方法について示す。具体的には、実施形態２では、多項式として用いる剰余多項式環が実施形態１とは異なる。
【0084】
（全体構成）
本実施形態の暗号処理装置２００の全体構成は、実施形態１と同様であり、図１に示すとおりであるため、重複する説明を省略する。
本実施形態の暗号処理装置２００の全体構成は、実施形態１と同様であり、図１に示すとおりであるため、重複する説明を省略する。
【0085】
【0086】
暗号処理装置２００は、通信部１１０と、記憶部１２０と、制御部２３０とを備える。
【0087】
通信部１１０及び記憶部１２０の機能は、暗号処理装置１００と同様である。
【0088】
制御部２３０は、暗号処理装置２００のプロセッサが記憶部１２０に記憶されるプログラムを読み込み、プログラムに含まれる命令を実行することにより実現される。制御部２３０は、暗号処理装置２００の動作を制御する。具体的には、例えば、制御部２３０は、多次元データを記憶部１２０に記憶させるステップと、第１の多項式を生成するステップと、第１の暗号多項式を生成するステップと、第２の多項式を生成するステップと、第２の暗号多項式を生成するステップと、第３の暗号多項式を生成するステップと、暗号情報を出力するステップとしての機能を発揮する。
【0089】
（暗号処理装置２００が行う処理の流れ）
以下、暗号処理装置２００の制御部２３０における処理の流れについて説明する。
以下、暗号処理装置２００の制御部２３０における処理の流れについて説明する。
【0090】
図１０は、暗号処理装置２００の制御部２３０が行う処理の流れを示す図である。なお、処理の流れは一例であり、図１０で示す順序に限られない。例えば、第２の多項式を第１の多項式よりも先に生成してもよいし、並列的に処理してもよい。
【0091】
ステップＳ２０１において、制御部２３０は、通信部１１０を介して、ネットワークに接続された他の装置から、又は、暗号処理装置２００に接続された入力装置から、第１の多次元データと第２の多次元データを取得し、記憶部１２０に記憶する。これは、暗号処理装置１００のステップＳ１０１（図４参照）と同様である。
【0092】
ステップＳ２０２において、制御部２３０は、記憶部１２０から第１の多次元データを取得し、第１の多次元データに対応する第１の多項式を生成する。これは、暗号処理装置１００のステップＳ１０２と同様である。ただし、実施形態２では、剰余多項式環が後述する（式８）を満たすものを用いる。また、（式２）におけるΦは、ｍ≧ｗ2、およびｍ＝２n（nは自然数）を満たす次数ｍの剰余多項式環である。
【0093】
ステップＳ２０３において、制御部２３０は、第１の多項式を準同型暗号により暗号化して、第１の暗号多項式を生成する。暗号化方法には、準同型性を有する一般的に用いられる方法であればよく、例えば格子暗号などを用いてよい。なお、準同型性を有する一般的に用いられる暗号化方法は、公知の技術であるため、説明を省略する。なお、これは、暗号処理装置１００のステップＳ１０３（図４参照）と同様である。
【0094】
ステップＳ２０４において、制御部２３０は、記憶部１２０から第２の多次元データを取得し、第２の多次元データに対応する第２の多項式を生成する。
【0095】
制御部２３０は、第２の多次元データが２次元のカーネルであるとき、カーネルの各重みに対応する係数を多項式環の係数として挿入することで、第２の多次元データに対応する第２の多項式を生成する。
【0096】
制御部２３０は、第２の多次元データに対応する第２の多項式の生成を以下のように行うが、実施形態２では、（式８）で定義される剰余多項式環を用いるため、（式９）に示す式が成立する。
【0097】
剰余多項式環が（式８）を満たすとき、（式９）が成立する。
（式８） Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
ただし、ｍは、ｍ≧ｗ2、およびｍ＝２n（ｎは自然数）を満たす。
（式９）
（式８） Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
ただし、ｍは、ｍ≧ｗ2、およびｍ＝２n（ｎは自然数）を満たす。
（式９）
【数4】
【0098】
第１の多次元データが（式１）で、第２の多次元データが（式３）で表されるとき、制御部２３０は、第２の多次元データを第１の多次元データと同じサイズになるようにゼロパディングして拡張した第２の多次元データである（式１０）に対して、第２の多項式を（式１１）のように生成する。なお、第２の多項式において、重みが挿入されない項には、係数として０（ゼロ）を挿入する。
【0099】
（式１０） (ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂw-1,w-1)
（式１１）
ただし、Φは、ｍ≧ｗ2、およびｍ＝２n（nは自然数）を満たす整数ｍによって、
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
（式１１）
【数5】
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
【0100】
なお、第２の多次元データの列サイズを、第１の多次元データの列サイズにそろえる場合は以下のとおりである。第１の多次元データが（式１）で、第２の多次元データが（式３）で表されるとき、制御部２３０は、第２の多次元データの列サイズを第１の多次元データの列サイズと同じサイズになるようにゼロパディングして拡張した第２の多次元データ(ｂ00，ｂ01，ｂ02，…，ｂij，…,ｂk-1,w-1)に対して、第２の多項式を（式１２）のように生成する。なお、第２の多項式において、重みが挿入されない項には、係数として０（ゼロ）を挿入する。
（式１２）
ただし、Φは、ｍ≧ｗ2、およびｍ＝２n（nは自然数）を満たす整数ｍによって、
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
（式１２）
【数6】
Φm（ｘ）＝Ｚ［ｘ］/（ｘm＋１）
で定義される剰余多項式環である。なお、演算の効率化の観点では、ｍは、上記式を満たす最小の値を用いることが好ましい。
【0101】
ステップＳ２０５において、制御部２３０は、第２の多項式を暗号化して、第２の暗号多項式を生成する。これは、暗号処理装置１００におけるステップＳ１０５（図４参照）と同様である。
【0102】
ステップＳ２０６において、制御部２３０は、第１の暗号多項式と、第２の暗号多項式に基づいて、第３の暗号多項式を生成する。これは、暗号処理装置１００におけるステップＳ１０６（図４参照）と同様である。
【0103】
制御部２３０は、第１の暗号多項式をＡ（ｘ）、第２の暗号多項式をＢ（ｘ）としたとき、第３の暗号多項式をＣ（ｘ）として、Ａ（ｘ）とＢ（ｘ）の掛け合わせ、すなわち上記（式５）のようにしてＣ（ｘ）を算出する。
【0104】
ステップＳ２０７において、制御部２３０は、第３の暗号多項式を用いて、暗号情報を出力する。
【0105】
暗号処理装置２００の制御部２３０が生成する多項式環は、（式８）を満たすため、（式９）が成立する。したがって、例えば、ｘについて２nの次数の項は、ｘ0を（－１）倍した項と同じであり、ｘについて（２n＋１）の次数の項は、ｘ1を（－１）倍した項と同じである。制御部２３０は、（式９）を踏まえ、第３の暗号多項式を法多項式で除算する。すなわち、Ａ（ｘ）とＢ（ｘ）とを掛け合わせて、第３の暗号多項式Ｃ（ｘ）を生成するとき、次数が２n以上となるものは、２nで除算した上で、係数を（－１）倍する。
【0106】
制御部２３０がステップＳ２０７で出力した暗号情報は、復号すると、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果として利用することができる。
【0107】
暗号情報の復号は、暗号処理装置２００が行ってもよいし、暗号処理装置２００以外の装置が行ってもよい。例えば、制御部２３０が出力する暗号情報、すなわち第３の暗号多項式を受け取った情報処理装置は、暗号化に対応する復号方法を用いて暗号情報を復号し、第３の多項式を算出する。
【0108】
第３の多項式の係数には、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果が含まれているため、これらを取り出すことにより、畳み込み演算の結果を算出することができる。
【0109】
具体的には、第３の多項式ｃ（ｘ）を上記（式６）で表すと、畳み込み演算の結果ｄは、（式１３）によって算出することができる。ただし、（式６）において、剰余多項式環は、ｍ≧ｗ2、およびｍ＝２n（nは自然数）を満たす次数ｍを有する。
【0110】
（式１３） ｄij＝ｃiw+j
ただし、（式１３）において、ｗは第１の多次元データのサイズ、ｄijは、２次元データのi行ｊ列目の値を表す。
ただし、（式１３）において、ｗは第１の多次元データのサイズ、ｄijは、２次元データのi行ｊ列目の値を表す。
【0111】
なお、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果は、第１の多次元データがｗ×ｗ、第２の多次元データがｋ×ｋのサイズであるとき、（ｗ－ｋ＋１）×（ｗ－ｋ＋１）のサイズとなる。
【0112】
上記の処理により、コンピュータは、第１の多項式と第２の多項式とに基づいて第３の多項式を生成し、第１の多次元データに第２の多次元データを適用した畳み込み演算の結果を算出することができる。
【0113】
（二次元データの処理における具体例）
図５，１１および図１２を参照して、第１の多次元データと第２の多次元データが二次元のデータであることを前提として、具体例で実施形態２における畳み込み演算の結果に対応する多項式の係数を取得する処理について説明する。
図５，１１および図１２を参照して、第１の多次元データと第２の多次元データが二次元のデータであることを前提として、具体例で実施形態２における畳み込み演算の結果に対応する多項式の係数を取得する処理について説明する。
【0114】
第１の多次元データから第１の多項式を生成する過程は、剰余多項式環の次数が異なる以外は、実施形態１と同様である。実施形態２においては、上述したように剰余多項式環は、（式８）で定義される。そうすると、図５（ａ）で示す第１の多次元データ（サイズｗ＝３）について、（式８）の条件を満たす最小のｍは、ｗ2＝９以上であり、かつ、ｍ＝２nを満たすｍ＝２4＝１６となる。そして、剰余多項式環が（式８）を満たすとき、（式９）が成立するので、剰余多項式環の次数は１５（＝ｍ－１）となる。制御部２３０は、次数１５の剰余多項式環に対し、図５で示した流れにより、第１の多次元データの画素値を挿入して、図５（ｃ）に示す第１の多項式を生成する。
【0115】
図１１は、第２の多次元データと第２の多項式の具体例を示す図である。図１１（ａ)は、例えばカーネルなどの第２の多次元データを示し、図１１（ｂ）は、ゼロパディングにより拡張した第２の多次元データを示す。図１１（ｃ）は、第２の多次元データの重みを第２の多項式の係数に挿入して第２の多項式を生成する過程を示し、図１１（ｄ）は、第２の多項式を示す。図１１（ａ）において、カーネルの座標（０，０）の重みはｂ00であり、カーネルの座標（０，１）の重みはｂ01である。また、カーネルの座標（１，０）の重みはｂ10であり、カーネルの座標（１，１）の重みはｂ11である。
【0116】
例えば、第２の多次元データが図１１（ａ）のように示されるとき、制御部２３０は、一つの方法として、座標（０，０）からストライド１のラスタ走査をして得られる重みを、剰余多項式環の所定の次数の項から降冪の順に係数として挿入する。
【0117】
制御部２３０は、上述したように、第１の多次元データについて、ストライド１のラスタ走査をして得られる画素値を、多項式（剰余多項式環）の所定の次数の項から昇冪の順に係数として挿入する。制御部２３０は、第１の多項式および第２の多項式に基づいて生成される第３の多項式の係数から畳み込み演算の結果を取得できるように、第２の多次元データに対応する第２の多項式の係数への挿入方法を工夫する必要がある。これは実施形態１と同様である。
【0118】
そして、本実施形態においても、実施形態１と同様に、制御部２３０は、第２の多次元データについて、第２の多次元データの大きさを、第１の多次元データの大きさと同じ大きさになるようにゼロパディングし、第１の多次元データについてストライド１のラスタ走査をして得られた値を多項式の係数として挿入した方向とは逆方向に、第２の多次元データについてストライド１のラスタ走査をして得られる値を係数として挿入する。ここで、本実施形態では、（式８）で定義される剰余多項式環を用いているため、（式９）を満たすことから、多項式の係数の扱いが実施形態１と異なる。
【0119】
すなわち、本実施形態では、制御部２３０は、ゼロパディングにより拡張した第２の多次元データについて、座標（０，０）を始点としてストライド１のラスタ走査をして得られた値を第２の多項式の最も次数が小さい項（ｘ0）から降冪の順に係数として挿入するが、剰余多項式環が（式９）を満たすことから、降冪の順で、ｘ0の次の次数の項は、ｘの（２n－１）乗の次数（図５および図１１の例の場合、１５乗）の項となる。
【0120】
具体的には、図５（ａ）の第１の多次元データは３×３の大きさであるが、図１１（ａ）の第２の多次元データは２×２である。このとき、ゼロパディングの一例として、図１１（ｂ）のように、制御部２３０は、第２の多次元データを第１の多次元データの大きさである３×３に拡張する。図１１（ｂ）では、座標（０，２）の値、座標（１，２）の値、座標（２，０）の値、座標（２，１）の値、座標（２，２）の値をいずれも０としてゼロパディングを行い、図１１（ａ）の第２の多次元データを拡張する。
【0121】
そして、制御部２３０は、第２の多次元データの座標（０，０）を始点としてストライド１のラスタ走査により得られた値を、第２の多項式の最も次数が小さい項（ｘ0）から降冪の順に挿入していくと、ｘ0の係数にｂ00を挿入した後は、（式９）により、ｘ15の係数に－ｂ01を挿入することになる。そして、ｘ14の係数に０を、ｘ13の係数に－ｂ１０を、ｘ12の係数に－ｂ１１を挿入する。また、ｘ11の係数に座標（１，２）の値０（ゼロ）、ｘ10の係数に座標（２，０）の値０（ゼロ）、ｘ9の係数に座標（２，１）の値０（ゼロ）、ｘ8の係数に座標（２，２）の値０（ゼロ）を挿入する。ここで、重みが挿入されなかった多項式の項（ｘ1～ｘ7）には、係数として０を挿入する。
【0122】
なお、第２の多次元データについて、第２の多次元データの列サイズを、第１の多次元データの列サイズと同じ大きさになるようにゼロパディングする場合には以下のようになる。すなわち、制御部２３０は、第２の多次元データについて、第２の多次元データの列サイズを、第１の多次元データの列サイズと同じ大きさになるようにゼロパディングし、第１の多次元データについてラスタ走査して得られた値を多項式の係数として挿入した方向とは逆方向に、第２の多次元データについてラスタ走査して得られる値を係数として挿入する。ここで、本実施形態では、（式８）で定義される剰余多項式環を用いているため、（式９）を満たすことから、多項式の係数の扱いが実施形態１と異なる。
【0123】
すなわち、本実施形態では、制御部２３０は、ゼロパディングにより拡張した第２の多次元データについて、座標（０，０）を始点としてストライド１のラスタ走査をして得られた値を第２の多項式の最も次数が小さい項（ｘ0）から降冪の順に係数として挿入するが、剰余多項式環が（式９）を満たすことから、降冪の順で、ｘ0の次の次数の項は、ｘの（２n－１）乗の次数（図５および図１１の例の場合、１５乗）の項となる。
【0124】
具体的には、図５（ａ）の第１の多次元データは３×３の大きさであるが、図１１（ａ）の第２の多次元データは２×２である。このとき、ゼロパディングの一例として、図１１（ｂ）の点線で囲まれたデータのように、制御部２３０は、第２の多次元データの列サイズを第１の多次元データの列サイズにそろえ、２×３に拡張する。図１１（ｂ）では、座標（０，２）の値、座標（１，２）の値をいずれも０としてゼロパディングを行い、図１１（ａ）の第２の多次元データを拡張する。
【0125】
そして、制御部２３０は、第２の多次元データの座標（０，０）を始点としてストライド１のラスタ走査により得られた値を、第２の多項式の最も次数が小さい項（ｘ0）から降冪の順に挿入していくと、ｘ0の係数にｂ00を挿入した後は、（式９）により、ｘ15の係数に－ｂ01を挿入することになる。そして、ｘ14の係数に０を、ｘ13の係数に－ｂ10を、ｘ12の係数に－ｂ11を挿入する。また、ｘ11の係数に座標（１，２）の値０（ゼロ）を挿入する。ここで、重みが挿入されなかった多項式の項（ｘ1～ｘ10）には、係数として０を挿入する。
【0126】
このように、制御部２３０は、第２の多次元データに基づいて剰余多項式環（ただし、（式８）で定義される。）の係数を挿入することで、第２の多項式、すなわち、図１１（ｄ）に示す多項式を生成することができる。
【0127】
図１２は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。最上位の１行目には、剰余多項式環の項の次数を示している。２行目には、第１の多項式ａ（ｘ）において、剰余多項式環の項に挿入した係数の値を示している。３行目には、第２の多項式ｂ（ｘ）において、剰余多項式環の項に挿入した係数の値を示している。４行目以下は、ａ（ｘ）にｂ（ｘ）を乗じた結果、剰余多項式環の各項の次数として算出される値を示しており、３行目以下の値を全て足し合わせたものが、第３の多項式ｃ（ｘ）において、各項の係数の値となる。
【0128】
図１２に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データ（ｗ×ｗ）に第２の多次元データ（ｋ×ｋ）を適用して畳み込み演算を行った結果に対応している。畳み込み結果の２次元データをＤとし、Ｄのｉ行ｊ列目のピクセルＤ（ｉ，ｊ）の値をdijと表記した際、dijは、ｃ（ｘ）のｘの(ｉ×ｗ＋ｊ)乗の係数から取得することができる（式１３参照）。図１２の例では、制御部２３０は、ｃ（ｘ）のｘ0の係数、ｘ1の係数、ｘ3の係数、ｘ4の係数を取り出すことで、畳み込み演算の結果（それぞれ、Ｄ（０，０）、Ｄ（０，１）、Ｄ（１，０）、Ｄ（１，１）のピクセル値ｄ00，ｄ01，ｄ10，ｄ11に対応。）を取得することができる。
【0129】
（複数チャンネルへの拡張）
また、第１の多次元データ、第２の多次元データはそれぞれ、複数のチャンネルを有してもよく、最終的に畳み込み演算した結果は第２の多次元データのチャンネル数を出力することは暗号処理装置１００と同様である。
また、第１の多次元データ、第２の多次元データはそれぞれ、複数のチャンネルを有してもよく、最終的に畳み込み演算した結果は第２の多次元データのチャンネル数を出力することは暗号処理装置１００と同様である。
【0130】
（効果）
本実施形態によれば、第１の多次元データと第２の多次元データを暗号化した領域において畳み込み演算を行い、畳み込み演算結果である第３の多次元データを算出することが可能となる。
本実施形態によれば、第１の多次元データと第２の多次元データを暗号化した領域において畳み込み演算を行い、畳み込み演算結果である第３の多次元データを算出することが可能となる。
【0131】
また、暗号化領域において畳み込み演算を行う従来の手法と比較して、計算の回数を少なく効率的に計算結果を算出することが可能であり、これにより、メモリやＣＰＵの資源を節約し、高速に計算することが可能となる。
【0132】
さらに、実施形態１の方法と比較すると、第１、第２、第３それぞれの多項式の次元を軽減することが可能となる。
【0133】
＜本発明の開示における多項式への係数の挿入方法の変形例＞
本発明の開示では、第１の多次元データ（例えば画像データ）と第２の多次元データ（例えばカーネルのデータ）を剰余多項式環の係数に挿入して、畳み込み演算結果を算出するところに特徴を有する。
本発明の開示では、第１の多次元データ（例えば画像データ）と第２の多次元データ（例えばカーネルのデータ）を剰余多項式環の係数に挿入して、畳み込み演算結果を算出するところに特徴を有する。
【0134】
実施形態１における制御部１３０及び実施形態２における制御部２３０は、畳み込み演算結果が取得できるように、第１の多次元データと第２の多次元データを剰余多項式環の係数に挿入するが、このとき、畳み込み演算の性質を考慮して、第１の多次元データと第２の多次元データとは、逆向きに多項式環の係数に挿入する。すなわち、例えば、第１の多次元データを第１の多項式に昇冪の順に係数として挿入したとき、第２の多次元データを第２の多項式に降冪の順に係数として挿入する。例えば、第１の多次元データを第１の多項式に降冪の順に係数として挿入したとき、第２の多次元データを第２の多項式に昇冪の順に係数として挿入する。
【0135】
また、制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式の生成及び第２の多次元データに対応する第２の多項式の生成に際し、以下のような変形を行ってもよい。
【0136】
例えば、制御部１３０及び制御部２３０は、座標（０，０）を始点として、まずは同じ行０の中で列番号ｊが大きくなる順に座標（０，ｊ）の値を最も次数の小さい項（ｘ0）から、昇冪の順に画素値を第１の多項式の係数として挿入していく。このとき、第１の多項式の最も次数の小さい項（ｘ0）ではなく、第１の多項式の任意に選んだ項の次数（ｐを自然数としたとき、ｘp）を第１の次数とし、第１の次数の項からから昇冪の順に係数として挿入してもよい。
【0137】
ただし、実施形態１における制御部１３０は、第１の多項式について、第１の次数を、もっとも小さい０（ゼロ）からｐへ移動させた分、（式２）の多項式の次数がｐ増えるため、余計にメモリを消費することとなる。
【0138】
また、実施形態２における制御部２３０は、（式８）及び（式９）を満たすため、第１の多項式の項の次数が２のｎ乗以上となった場合には、２のｎ乗で除算した次数に対して、係数を（－１）倍した値を挿入してよい。
【0139】
制御部１３０及び制御部２３０は、第１の多次元データを、第１の多項式のｘのｐ乗の項から係数として挿入したとき、実施形態１では、（式７）で表されるｃlをｃl+pとした項から係数を取り出すことで、畳み込み演算の結果を取得することができる。実施形態２では、（式１３）で表されるｃlをｃl+pとした項から係数を取り出すことで、畳み込み演算の結果を取得することができる。
【0140】
制御部１３０及び制御部２３０は、第２の多次元データから第２の多項式を生成する際に、既に述べた方法に基づいて生成した第２の多項式ｂ（ｘ）に対して、ｘのｑ乗を乗じてもよい。
【0141】
ただし、実施形態１における制御部１３０は、第２の多項式について、第２の次数を、もっとも小さい０（ゼロ）からｑへ移動させた分、（式４）の多項式の次数がｑ増えるため、余計にメモリを消費することとなる。
【0142】
また、実施形態２における制御部２３０は、（式８）及び（式９）を満たすため、第２の多項式の項の次数が２のｎ乗以上となった場合には、２のｎ乗で除算した次数に対して、係数を（－１）倍した値を挿入してよい。
【0143】
制御部１３０及び制御部２３０は、第２の多次元データを、既に述べた方法と比較して、ｘのｑ乗を乗ずることで、第２の多次元データの係数への挿入をシフトさせたとき、実施形態１では、（式７）で表されるｃlをｃl+qとした項から係数を取り出すことで、畳み込み演算の結果を取得することができる。実施形態２では、（式１３）で表されるｃlをｃl+qとした項から係数を取り出すことで、畳み込み演算の結果を取得することができる。
【0144】
図１３は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。図１３は、図７の具体例に対して、第１の多項式ａ（ｘ）に対してｘ2を乗じて第１の多項式の係数をシフトさせ、第２の多項式ｂ（ｘ）に対してｘ1を乗じて第２の多項式の係数をシフトさせたものである。
【0145】
図１３に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データに第２の多次元データを適用して畳み込み演算を行った結果に対応している。図１３の例では、制御部１３０は、ｃ（ｘ）のｘ8の係数、ｘ9の係数、ｘ11の係数、ｘ12の係数を取り出すことで、畳み込み演算の結果を取得することができる。すなわち、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）をシフトさせた分（図１３の例では、１＋２＝３）だけ、図７で示すｃ（ｘ）から取り出す位置をシフトさせることで、畳み込み演算を行った結果を抽出することができる。
【0146】
なお、実施形態２における制御部２３０においても、同様に、第２の多項式の項にｘqを乗ずることで、第２の多項式の係数をシフトさせてもよい。ただし、第２の多項式は（式８）で定義される剰余多項式環を用いるため、制御部２３０は、第２の多項式の項の次数が２のｎ乗以上となった場合には、２のｎ乗で除算した次数に対して、係数を（－１）倍した値を挿入することになる。
【0147】
図１４は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。図１４は、図１２の具体例に対して、第１の多項式ａ（ｘ）に対してｘ2を乗じて第１の多項式の係数をシフトさせ、第２の多項式ｂ（ｘ）に対してｘ1で除することで第２の多項式の係数をシフトさせたものである。実施形態２（図１２の具体例）では、（式８）で定義される剰余多項式環を用いるため、制御部２３０は、多項式をｘqで除すること（すなわちｘ-qを乗ずること）で多項式の係数をシフトさせてもよい。
【0148】
図１４に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データに第２の多次元データを適用して畳み込み演算を行った結果に対応している。図１４の例では、制御部１３０は、ｃ（ｘ）のｘ1の係数、ｘ2の係数、ｘ4の係数、ｘ5の係数を取り出すことで、畳み込み演算の結果を取得することができる。すなわち、図１２で示す第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）をシフトさせた分だけ、図１２で示すｃ（ｘ）から取り出す位置をシフトさせることで、畳み込み演算を行った結果を抽出することができる。
【0149】
より一般的には、畳み込み演算の結果ｄは、実施形態２における第１の多項式、すなわち（式２）で示され、Φは、ｍ≧ｗ2、およびｍ＝２n（ｎは自然数）を満たす次数ｍの剰余多項式環との条件を満たす第１の多項式ａ（ｘ）に対してｘのα乗を乗じて第１の多項式の係数をシフトさせ、実施形態２で述べた（式１１）又は（式１２）で示される第２の多項式ｂ（ｘ）に対してｘのβ乗を乗じて第２の多項式の係数をシフトさせたとき、（式１４）によって算出することができる（ただし、αおよびβは、－ｍ＜α≦ｍ、－ｍ＜β≦ｍ、を満たす整数）。
【0150】
（式１４）
ただし、ｚは、ｉｗ＋ｊ＋α＋β≧０ のとき ０，ｉｗ＋ｊ＋α＋β＜０ のとき １。
【数7】
【0151】
加えて、制御部１３０及び制御部２３０は、第１の多次元データの大きさをｗとするとき、ストライド１のラスタ走査をするときの終点となる座標（ｗ－１，ｗ－１）の画素値から、ストライド１のラスタ走査の逆方向の走査により、第１の多項式の第１の次数の項から、昇冪の順に係数として挿入してもよい。
【0152】
この際、制御部１３０及び制御部２３０は、第２の多次元データに対応する第２の多項式を生成するために、既に説明した従来の方向とは逆方向に係数の挿入を行う。
【0153】
上記のように、第１の多次元データを第１の多項式の項の係数に挿入するときに変形した形で挿入を行う際、制御部１３０及び制御部２３０は、適宜調整して、第３の多項式から係数を取り出す。
【0154】
制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式の生成及び第２の多次元データに対応する第２の多項式の生成に際し、さらに、以下のような変形を行ってもよい。
【0155】
例えば、制御部１３０は、第１の多次元データのサイズがｗ×ｗであるとき、座標（ｗ－１，ｗ－１）を始点として、降冪の順に画素値を第１の多項式の係数として挿入してもよい。これは、既に説明した方法とは、逆方向に、第１の多項式の項に係数を挿入することに相当する。
【0156】
また、制御部１３０は、第１の多次元データを既に説明した方法とは逆方向に係数を挿入したとき、第２の多次元データを、座標（０，０）を始点として、昇冪の順に重みを第２の多項式の係数に挿入していく。これは、既に説明した方法とは、逆方向に、第２の多項式の項に係数を挿入することに相当する。このように、第１の多項式の係数へのデータの挿入方法と、第２の多項式の係数へのデータの挿入方法を逆向きにすることにより、第３の多項式の係数から、畳み込み演算の結果を算出が可能である。
【0157】
図１５は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。図１５は、実施形態１に係る図７の具体例に対して、第１の多項式及び第２の多項式を生成するときに、既に説明した方法とは逆方向に係数の挿入を行った具体例を示している。
【0158】
図１５に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データに第２の多次元データを適用して畳み込み演算を行った結果に対応している。図１５の例では、制御部１３０は、図７の例と逆方向に係数を取り出し、ｃ（ｘ）のｘ8の係数、ｘ7の係数、ｘ5の係数、ｘ4の係数を取り出すことで、畳み込み演算の結果を取得することができる。すなわち、第１の多次元データのサイズをｗ、第２の多次元データのサイズをｋ、畳み込み演算の結果（２次元データのｉ行ｊ列目の値、ただし０≦ｉ,ｊ≦ｋ－１）をｄijとしたとき、ｄijは、ｃ（ｘ）のｘの（ｗ2－１－ｉｗ－ｊ）乗の係数から取得することができる。
【0159】
また、例えば、制御部２３０は、第１の多次元データのサイズがｗ×ｗであるとき、座標（ｗ－１，ｗ－１）を始点として、降冪の順に画素値を第１の多項式の係数として挿入してもよい。これは、既に説明した方法とは逆方向に、第１の多項式の項に係数を挿入することに相当する。このとき、第２の多次元データのサイズをｋ×ｋとしたとき、第１の多項式の次数（ｗｋ－（ｗ－ｋ）－１）の項（ｘの（ｗｋ－（ｗ－ｋ）－１）乗）から、降冪の順に画素値を第１の多項式の係数として挿入し、次数が（－１）の項に係数を挿入する際には、（－１）倍した画素値をｘの（２n－１）乗の項に挿入する（ｎは、上記（式８）および（式９）における自然数）。
【0160】
また、制御部１３０は、第１の多次元データを既に説明した方法とは逆方向に係数を挿入したとき、第２の多次元データを、座標（０，０）を始点として、昇冪の順に重みを第２の多項式の係数に挿入していく。これは、既に説明した方法とは、逆方向に、第２の多項式の項に係数を挿入することに相当する。このように、第１の多項式の係数へのデータの挿入方法と、第２の多項式の係数へのデータの挿入方法を逆向きにすることにより、第３の多項式の係数から、畳み込み演算の結果を算出が可能である。
【0161】
図１６は、第１の多項式ａ（ｘ）と第２の多項式ｂ（ｘ）に基づいて第３の多項式ｃ（ｘ）を算出する過程の具体例を示す図である。図１６は、実施形態２に係る図１２の具体例に対して、第１の多項式及び第２の多項式を生成するときに、既に説明した方法とは逆方向に係数の挿入を行った具体例を示している。
【0162】
図１６に示すように、ｃ（ｘ）の所定の項の係数は、第１の多次元データに第２の多次元データを適用して畳み込み演算を行った結果に対応している。図１６の例では、制御部１３０は、図１２の例とは逆方向に係数を取り出し、ｃ（ｘ）のｘ4の係数、ｘ3の係数、ｘ1の係数、ｘ0の係数を取り出すことで、畳み込み演算の結果を取得することができる。すなわち、第１の多次元データのサイズをｗ、第２の多次元データのサイズをｋ、畳み込み演算の結果（２次元データのｉ行ｊ列目の値、ただし０≦ｉ,ｊ≦ｋ－１）をｄijとしたとき、ｄijは、ｃ（ｘ）のｘの（ｗｋ－ｉｗ－ｗ＋ｋ－1－ｊ）乗の係数から取得することができる。
【0163】
上記のように、制御部１３０及び制御部２３０は、第１の多次元データを第１の多項式に挿入し、第２の多次元データを第２の多項式の係数に挿入するとき、（１）それぞれの多項式に対してｘのｒ乗（ｒは自然数）の係数から挿入することが可能である。加えて、制御部１３０及び制御部２３０は、（２）第１の多次元データの第１の多項式の係数への挿入方法と、第２の多次元データの第２の多項式の係数への挿入方法を、既に説明した方法と逆方向に行うことも可能である。さらに、（３）これらの変形例を組み合わせることも可能である。このとき、制御部１３０及び制御部２３０は、第３の多項式からの係数の取り出すとき、適宜調整を行う。
【0164】
＜多次元データの複数処理への拡張＞
制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式を生成する際に、複数の多次元データを第１の多項式に含めてもよい。このとき、多項式の次元数は大きくなるが、第１の多項式と第２の多項式との掛け算の処理を１回行うことで、複数の多次元データに対する畳み込み演算の演算結果を得ることが可能となる。
制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式を生成する際に、複数の多次元データを第１の多項式に含めてもよい。このとき、多項式の次元数は大きくなるが、第１の多項式と第２の多項式との掛け算の処理を１回行うことで、複数の多次元データに対する畳み込み演算の演算結果を得ることが可能となる。
【0165】
＜多次元データの分割処理への拡張＞
制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式を生成する際に、１つの画像データを分割して第１の多項式を生成してもよい。
制御部１３０及び制御部２３０は、第１の多次元データに対応する第１の多項式を生成する際に、１つの画像データを分割して第１の多項式を生成してもよい。
【0166】
例えば、図５（ａ）に示すデータが第１の多次元データとして存在するとき、第１の多次元データについて、座標（０，０）から座標（１，２）までの値と、座標（１，０）から座標（２，２）までの値に分割して第１の多項式に係数として挿入し、畳み込み演算結果を算出してもよい。
【0167】
ただし、畳み込み演算の性質上、行の途中でデータを区切ると、正しい畳み込み演算結果が算出できないため、行の終わりまで第１の多次元データを第１の多項式の係数に挿入する必要がある。例えば、図５（ａ）の例では、座標（０，２）のａ02、座標（１，２）のａ12などで区切る必要がある。
【0168】
加えて、畳み込み演算の性質上、第２の多次元データのサイズをｋ×ｋとしたとき、第１の多次元データを分割した行から、さらに（ｋ－１）行分、第１の多次元データを第１の多項式に係数を挿入する必要がある。
【0169】
例えば、図５（ａ）の例では、座標（０，２）で区切った場合には、１つめの処理として、第１の多次元データを座標（１，２）のａ12の値まで多項式の係数に挿入する必要がある。また、座標（１，２）で区切った場合には、１つめの処理として、第１の多次元データを座標（２，２）のａ22の値まで多項式の係数に挿入する必要がある。
【0170】
上記のように、第１の多次元データを分割すると、少ないメモリのコンピュータにおいても、大きなサイズのデータを処理することが可能となる。
【0171】
＜ＣＮＮへの応用＞
本発明によれば、第１の多次元データを第２の多次元データに適用した畳み込み演算の結果を取得することが可能であるが、かかる演算結果を機械学習に用いることも可能である。具体的には、第３の暗号多項式を表す暗号情報を、ＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎｌａ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）の畳み込み層の次の層の入力データとして出力することも可能である。
本発明によれば、第１の多次元データを第２の多次元データに適用した畳み込み演算の結果を取得することが可能であるが、かかる演算結果を機械学習に用いることも可能である。具体的には、第３の暗号多項式を表す暗号情報を、ＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎｌａ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）の畳み込み層の次の層の入力データとして出力することも可能である。
【0172】
これにより、機械学習においても、暗号化した畳み込み演算の結果を効率的に利用することが可能となる。
【0173】
以上で実施形態の説明を終了するが、上記実施形態は一例に過ぎない。そのため、サーバ１０、２０の具体的な構成、処理内容等は上記実施形態で説明したものに限られない。
【0174】
図１７は、暗号処理装置を複数のコンピュータに分けて処理させる場合の具体例を示す図である。本開示に係る暗号処理装置は、例えば、２台のコンピュータに分けて処理することが想定される。具体的には、図１７に示すように、ユーザが操作する端末装置３００と、サービスを提供するサーバ装置４００に分けて処理を行う場面が想定される。
【0175】
例えば、ユーザが個人情報などを含む画像情報を処理したい場合、本開示に係る暗号処理システムを用いることで、画像情報を第１の多次元データとして、端末装置３００において暗号化し、第１の暗号多項式を生成して、サーバ装置４００に送信することができる。サーバ装置４００では、第２の多次元データとしてカーネルを暗号化し、第２の暗号多項式を生成する。サーバ装置４００では、第１の暗号多項式と第２の暗号多項式から、第３の暗号多項式を生成する。サーバ装置４００は、第３の暗号多項式を表す暗号情報を端末装置３００に送信する。端末装置３００では、暗号情報を復号して、第３の多項式を取得し、所定の係数を取り出すことで、第１の多次元データに第２の多次元データを適用して畳み込み演算を行った結果を取得することが可能となる。
【0176】
このとき、端末装置３００では、図４又は図１０のステップＳ１０１（ステップＳ２０１）に係る第１の多次元データを記憶する処理、ステップＳ１０２（ステップＳ２０２）に係る処理、ステップＳ１０３（ステップＳ２０３）に係る処理を、サーバ装置４００では、ステップＳ１０１（ステップＳ２０１）に係る第２の多次元データを記憶する処理、ステップＳ１０４（ステップＳ２０４）に係る処理、ステップＳ１０５（ステップＳ２０５）に係る処理、ステップＳ１０６（ステップＳ２０６）に係る処理、ステップＳ１０７（ステップＳ２０７）に係る処理を実行する。
【0177】
また、端末装置３００は、第３の暗号多項式を表す暗号情報を復号して第３の多項式を取得する。次いで、端末装置３００は、第３の多項式の所定の係数を取り出して、畳み込み演算の結果を取得する。
【0178】
上記のような構成とすることで、端末装置側からすれば、第１の多次元データをサーバ装置側に知られることなく、機密を保ったままサーバ装置側に処理の一部を実行させることが可能となる。サーバ装置側からすれば、第２の多次元データを端末装置側に知られることなく、機密を保ったまま、畳み込み演算の処理を行い、サービスの提供を行うことが可能となる。
【0179】
以上、本開示の好ましい実施形態について説明したが、上記実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものとする。
【符号の説明】
【0180】
１０，２０ サーバ、１１ プロセッサ、１２ メモリ、１３ ストレージ、１４ 通信ＩＦ、１５ 入出力ＩＦ、１００，２００ 暗号処理装置、１１０ 通信部、１２０ 記憶部、１３０，２３０ 制御部、３００ 端末装置、４００ サーバ装置。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】
【図14】
【図15】
【図16】
【図17】
【手続補正書】
【提出日】2022-06-03
【手続補正1】
【補正対象書類名】特許請求の範囲
【補正対象項目名】全文
【補正方法】変更
【補正の内容】
【特許請求の範囲】
【請求項1】
制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ００，ａ０１，ａ０２，…，ａｉｊ，…,ａｗ－１，ｗ－１) (ｗは前記第１の多次元データのサイズ)に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ００，ｂ０１，ｂ０２，…，ｂｉｊ，…,ｂｋ－１，ｋ－１) (ｋは前記第２の多次元データのサイズ)に対して、
で定義され、
ただし、Φは、ｍ≧ｗ２、およびｍ＝２ｎ（ｎは自然数）を満たす整数ｍによって、
Φｍ（ｘ）＝Ｚ［ｘ］/（ｘｍ＋１）
で定義される剰余多項式環である、暗号処理プログラム。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ００，ａ０１，ａ０２，…，ａｉｊ，…,ａｗ－１，ｗ－１) (ｗは前記第１の多次元データのサイズ)に対して、
【数8】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ００，ｂ０１，ｂ０２，…，ｂｉｊ，…,ｂｋ－１，ｋ－１) (ｋは前記第２の多次元データのサイズ)に対して、
【数9】
ただし、Φは、ｍ≧ｗ２、およびｍ＝２ｎ（ｎは自然数）を満たす整数ｍによって、
Φｍ（ｘ）＝Ｚ［ｘ］/（ｘｍ＋１）
で定義される剰余多項式環である、暗号処理プログラム。
【請求項2】
前記第３の多項式は、
で定義され、
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行ｊ列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄｉｊ＝ｃｉｗ＋ｊ
で定義される請求項１に記載の暗号処理プログラム。
【数10】
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行ｊ列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄｉｊ＝ｃｉｗ＋ｊ
で定義される請求項１に記載の暗号処理プログラム。
【請求項3】
前記第１の多項式であるａ（ｘ）にｘのα乗を乗じ、前記第２の多項式であるｂ（ｘ）にｘのβ乗を乗じたとき（ただし、αおよびβは、－ｍ＜α≦ｍ、－ｍ＜β≦ｍ、を満たす整数）、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である前記ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ただし、ｚは、ｉｗ＋ｊ＋α＋β≧０ のとき ０，ｉｗ＋ｊ＋α＋β＜０ のとき １、
で定義される請求項２に記載の暗号処理プログラム。
【数11】
で定義される請求項２に記載の暗号処理プログラム。
【請求項4】
制御部と、記憶部とを備えるコンピュータが実行するプログラムであって、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ００，ａ０１，ａ０２，…，ａｉｊ，…,ａｗ－１，ｗ－１) （ｗは第１の多次元データのサイズ）に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ００，ｂ０１，ｂ０２，…，ｂｉｊ，…,ｂｋ－１，ｋ－１) （ｋは第２の多次元データのサイズ）に対して、
で定義され、
ただし、Φは、ｍ≧２ｗ２、およびｍ＝２ｎ（ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理プログラム。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させるステップと、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成するステップと、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成するステップと、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成するステップと、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成するステップと、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成するステップと、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力するステップと、を備え、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ００，ａ０１，ａ０２，…，ａｉｊ，…,ａｗ－１，ｗ－１) （ｗは第１の多次元データのサイズ）に対して、
【数12】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ００，ｂ０１，ｂ０２，…，ｂｉｊ，…,ｂｋ－１，ｋ－１) （ｋは第２の多次元データのサイズ）に対して、
【数13】
ただし、Φは、ｍ≧２ｗ２、およびｍ＝２ｎ（ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理プログラム。
【請求項5】
前記第３の多項式は、
で定義され、
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行j列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄｉｊ＝ｃｗｋ－1＋ｉｗ＋ｊ
で定義される請求項４に記載の暗号処理プログラム。
【数14】
前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果である２次元データのi行j列目の値ｄijに対応する係数ｃは、前記第３の多項式の係数から、
ｄｉｊ＝ｃｗｋ－1＋ｉｗ＋ｊ
で定義される請求項４に記載の暗号処理プログラム。
【請求項6】
制御部と、記憶部とを備えるコンピュータにおいて、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第1の多次元データのサイズ)に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
で定義され、
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理方法。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第1の多次元データのサイズ)に対して、
【数15】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
【数16】
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理方法。
【請求項7】
制御部と、記憶部とを備えるコンピュータにおいて、
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
で定義され、
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理方法。
前記制御部が、第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記制御部が、前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記制御部が、前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記制御部が、前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記制御部が、前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記制御部が、前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記制御部が、前記第３の暗号多項式を表す暗号情報を出力する方法であって、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
【数17】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
【数18】
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理方法。
【請求項8】
制御部と、記憶部とを備える暗号処理装置であって、
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第１の多次元データのサイズ)に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
で定義され、
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理装置。
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第１の多次元データのサイズ)に対して、
【数19】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
【数20】
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理装置。
【請求項9】
制御部と、記憶部とを備える暗号処理装置であって、
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
で定義され、
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理方法。
前記制御部は、
第１の多次元データおよび第２の多次元データを前記記憶部に記憶させ、
前記記憶部から読み込んだ前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記記憶部から読み込んだ前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を出力し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
【数21】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
【数22】
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理方法。
【請求項10】
第１の多次元データを記憶する端末装置と、第２の多次元データを記憶するサーバ装置と、を備える暗号処理システムであって、
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第１の多次元データのサイズ)に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
で定義され、
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理システム。
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第３の暗号多項式を生成するステップにおいて、前記制御部は、
前記第１の暗号多項式と前記第２の暗号多項式との積を、所定の法多項式で除算する処理を行い、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) (ｗは前記第１の多次元データのサイズ)に対して、
【数23】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) (ｋは前記第２の多次元データのサイズ)に対して、
【数24】
ただし、Φは、ｍ≧ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす整数ｍによって、
Φ ｍ （ｘ）＝Ｚ［ｘ］/（ｘ ｍ ＋１）
で定義される剰余多項式環である、暗号処理システム。
【請求項11】
第１の多次元データを記憶する端末装置と、第２の多次元データを記憶するサーバ装置と、を備える暗号処理システムであって、
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
で定義され、
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
で定義され、
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理システム。
前記端末装置は、
前記第１の多次元データに対応する第１の多項式を生成し、
前記第１の多項式を準同型暗号により暗号化した第１の暗号多項式を生成し、
前記第１の暗号多項式を前記サーバ装置に送信し、
前記サーバ装置は、
前記第２の多次元データに対応する第２の多項式を生成し、
前記第２の多項式を準同型暗号により暗号化した第２の暗号多項式を生成し、
前記端末装置から受信した第１の暗号多項式と前記第２の暗号多項式とに基づいて、第３の多項式を準同型暗号により暗号化した暗号結果に対応する第３の暗号多項式を生成し、
前記第３の暗号多項式を表す暗号情報を前記端末装置に送信し、
前記第３の多項式の所定の項は、前記第１の多次元データに前記第２の多次元データを適用した畳み込み演算の結果に対応する係数を有し、
前記多項式は、剰余多項式環であり、
前記第１の多次元データは画像データであり、前記第１の多項式は当該画像データの各画素値に対応する係数を有し、
前記第２の多次元データはカーネルのデータであり、前記第２の多項式は当該カーネルの各重みに対応する係数を有し、
前記第１の多項式を生成するステップにおいて、前記制御部は、
前記画像データの所定の位置からストライド１のラスタ走査をして得られる画素値を、前記第１の多項式の第１の次数の項から昇冪の順に係数として挿入し、
前記第２の多項式を生成するステップにおいて、前記制御部は、
前記画像データと行および列が同じサイズになるように、又は列サイズのみ同じ大きさとなるようにゼロパディングされたカーネルにおいて、所定の位置からストライド１のラスタ走査をして得られる重みを、前記第２の多項式の第２の次数の項から降冪の順に係数として挿入し、
前記第１の多項式は、前記第１の多次元データである２次元データ
(ａ ００ ，ａ ０１ ，ａ ０２ ，…，ａ ｉｊ ，…,ａ ｗ－１，ｗ－１ ) （ｗは第１の多次元データのサイズ）に対して、
【数25】
前記第２の多項式は、前記第２の多次元データである２次元データ
(ｂ ００ ，ｂ ０１ ，ｂ ０２ ，…，ｂ ｉｊ ，…,ｂ ｋ－１，ｋ－１ ) （ｋは第２の多次元データのサイズ）に対して、
【数26】
ただし、Φは、ｍ≧２ｗ ２ 、およびｍ＝２ ｎ （ｎは自然数）を満たす次数ｍの剰余多項式環である、暗号処理システム。