知財求人 - 知財ポータルサイト「IP Force」
特開2024-175248推論検証システム、推論検証方法、及び推論検証プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024175248
(43)【公開日】2024-12-18
(54)【発明の名称】推論検証システム、推論検証方法、及び推論検証プログラム
(51)【国際特許分類】
H04L 9/30 20060101AFI20241211BHJP
G06N 3/0464 20230101ALI20241211BHJP
H04L 9/32 20060101ALI20241211BHJP
G06N 5/045 20230101ALI20241211BHJP
【ＦＩ】
H04L9/30 Z
G06N3/0464
H04L9/32 200C
G06N5/045
【審査請求】未請求
【請求項の数】6
【出願形態】ＯＬ
(21)【出願番号】P 2023092866
(22)【出願日】2023-06-06
(71)【出願人】
【識別番号】000006013
【氏名又は名称】三菱電機株式会社
(74)【代理人】
【識別番号】110002491
【氏名又は名称】弁理士法人クロスボーダー特許事務所
(72)【発明者】
【氏名】安田 聖
(72)【発明者】
【氏名】小関 義博
(72)【発明者】
【氏名】廣政 良
(72)【発明者】
【氏名】西田 悠太郎
(72)【発明者】
【氏名】坂井 祐介
(72)【発明者】
【氏名】花岡 悟一郎
(72)【発明者】
【氏名】松田 隆宏
(72)【発明者】
【氏名】アッタラパドゥン ナッタポン
(72)【発明者】
【氏名】シュルツ ヤコブ クロイス ナカムラ
(57)【要約】
【課題】ゼロ知識証明技術によりＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を検証する技術において、入力データに関するプライバシーを保護したい。
【解決手段】推論検証システム１００は、ＣＮＮモデルに対する入力データと、ＣＮＮモデルの重みパラメータとの各々について、論理回路で表現されたＣＮＮモデルと、秘匿化された各データとを用いて、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明を生成し、共通パラメータと、生成した証明とを用いて、入力データ及び重みパラメータを用いて推論処理が適切に実行されたことを証明する証明を生成する。
【選択図】図１
【解決手段】推論検証システム１００は、ＣＮＮモデルに対する入力データと、ＣＮＮモデルの重みパラメータとの各々について、論理回路で表現されたＣＮＮモデルと、秘匿化された各データとを用いて、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明を生成し、共通パラメータと、生成した証明とを用いて、入力データ及び重みパラメータを用いて推論処理が適切に実行されたことを証明する証明を生成する。
【選択図】図１
【特許請求の範囲】
【請求項1】
論理回路で表現されたＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）モデルと、前記ＣＮＮモデルに対する入力データを、秘匿手法を用いて秘匿化することによって生成された第１秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第１証明群を生成し、共通パラメータと、前記第１証明群とを用いて、前記入力データを用いて推論処理が実行されたことを証明する第１証明を生成する証明生成部
を備えるユーザ用演算装置と、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成部
を備える提供者用演算装置と
を備える推論検証システムであって、
前記ユーザ用演算装置の前記証明生成部は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成部は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証システム。
を備えるユーザ用演算装置と、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成部
を備える提供者用演算装置と
を備える推論検証システムであって、
前記ユーザ用演算装置の前記証明生成部は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成部は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証システム。
【請求項2】
ｇ，ｈ∈Ｇは群Ｇに含まれている要素ｇ及び要素ｈを表すものとし、ｖ∈Ｇ＾ｍは群Ｇに含まれているｍ個の要素から成るベクトル（ｖ１，…，ｖｍ）を表すものとし、群Ｚ＿ｐは素数ｐに対して｛１，…，ｐ｝から構成される乗法群を表すものとしたとき、前記秘匿手法において、
値ｘを前記ユーザ用演算装置が所持しており、値ｙを前記提供者用演算装置が所持しているものとし、前記秘匿手法によって秘匿化された前記値ｘを［ｘ］と表記し、前記秘匿手法によって秘匿化された前記値ｙを［ｙ］と表記したとき、前記［ｘ］及び前記［ｙ］について、
Ａｄｄ（［ｘ］，［ｙ］）：ｚ（＝ｘ＋ｙ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
ＳＭｕｌｔ（ａ，［ｘ］）：ｚ（＝ａｘ、ａはある数）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ｍｕｌｔ（［ｘ］，［ｙ］）：ｚ（＝ｘｙ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ｒａｎｄ（）：ランダムな値ｚ（∈Ｚ＿ｐ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
ＥＱ（［ｘ］，［ｙ］）：ｘ＝ｙである場合にｚ＝１となるｚを前記秘匿手法によって秘匿化した［ｚ］を出力する関数と、
Ｏｕｔｐｕｔ（［ｘ］）：値ｘを各装置に出力する関数と
が成立し、
前記ユーザ用演算装置と前記提供者用演算装置とが合わせてｍ個の入力（ｘ１，…，ｘｍ）を所持しており、かつ、前記ｍ個の入力を前記秘匿手法によって秘匿化した各値が［ｘ１］，…，［ｘｍ］であるとき、群Ｇに含まれているｍ個の要素から成るｖｅｃ（ｇ）＝（ｇ１，…，ｇｍ）に対して、
Ｃｏｍ（［ｘ１］，…，［ｘｍ］，ｖｅｃ（ｇ））：ｚ（＝ｇ１＾（ｘ１）…ｇｍ＾（ｘｍ））を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ａｒｇｍａｘ（［ｘ１］，…，［ｘｍ］）：ｘ１，…，ｘｍの中で最大となるｘｉ（ｉ∈｛１，…，ｍ｝）のインデックスｉを前記秘匿手法によって秘匿化した［ｉ］を計算する関数と
が成立する請求項１に記載の推論検証システム。
値ｘを前記ユーザ用演算装置が所持しており、値ｙを前記提供者用演算装置が所持しているものとし、前記秘匿手法によって秘匿化された前記値ｘを［ｘ］と表記し、前記秘匿手法によって秘匿化された前記値ｙを［ｙ］と表記したとき、前記［ｘ］及び前記［ｙ］について、
Ａｄｄ（［ｘ］，［ｙ］）：ｚ（＝ｘ＋ｙ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
ＳＭｕｌｔ（ａ，［ｘ］）：ｚ（＝ａｘ、ａはある数）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ｍｕｌｔ（［ｘ］，［ｙ］）：ｚ（＝ｘｙ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ｒａｎｄ（）：ランダムな値ｚ（∈Ｚ＿ｐ）を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
ＥＱ（［ｘ］，［ｙ］）：ｘ＝ｙである場合にｚ＝１となるｚを前記秘匿手法によって秘匿化した［ｚ］を出力する関数と、
Ｏｕｔｐｕｔ（［ｘ］）：値ｘを各装置に出力する関数と
が成立し、
前記ユーザ用演算装置と前記提供者用演算装置とが合わせてｍ個の入力（ｘ１，…，ｘｍ）を所持しており、かつ、前記ｍ個の入力を前記秘匿手法によって秘匿化した各値が［ｘ１］，…，［ｘｍ］であるとき、群Ｇに含まれているｍ個の要素から成るｖｅｃ（ｇ）＝（ｇ１，…，ｇｍ）に対して、
Ｃｏｍ（［ｘ１］，…，［ｘｍ］，ｖｅｃ（ｇ））：ｚ（＝ｇ１＾（ｘ１）…ｇｍ＾（ｘｍ））を前記秘匿手法によって秘匿化した［ｚ］を計算する関数と、
Ａｒｇｍａｘ（［ｘ１］，…，［ｘｍ］）：ｘ１，…，ｘｍの中で最大となるｘｉ（ｉ∈｛１，…，ｍ｝）のインデックスｉを前記秘匿手法によって秘匿化した［ｉ］を計算する関数と
が成立する請求項１に記載の推論検証システム。
【請求項3】
Ｍ∈Ｇ＾（ｍ×ｎ）は群Ｇに含まれている要素から成るｍ×ｎ要素の行列を表すものとしたとき、
前記第１証明群及び前記第２証明群の各々は、ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ）とし、ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ）とし、ａ＿Ｌ，ａ＿Ｒ，ａ＿Ｏ∈Ｚ＿ｐ＾ｎとし、［ａ＿Ｌ］と［ａ＿Ｒ］と［ａ＿Ｏ］とをそれぞれａ＿Ｌとａ＿Ｒとａ＿Ｏとを前記秘匿手法によって秘匿化した値としたとき、ＷＬと、ＷＲと、ＷＯと、ＷＶと、［ａ＿Ｌ］と、［ａ＿Ｒ］と、［ａ＿Ｏ］とから成り、
前記共通パラメータは、ｇ，ｈ∈Ｇとし、ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍとしたとき、ｇと、ｈと、ｖｅｃ（ｇ）と、ｖｅｃ（ｈ）とから成る請求項２に記載の推論検証システム。
前記第１証明群及び前記第２証明群の各々は、ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ）とし、ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ）とし、ａ＿Ｌ，ａ＿Ｒ，ａ＿Ｏ∈Ｚ＿ｐ＾ｎとし、［ａ＿Ｌ］と［ａ＿Ｒ］と［ａ＿Ｏ］とをそれぞれａ＿Ｌとａ＿Ｒとａ＿Ｏとを前記秘匿手法によって秘匿化した値としたとき、ＷＬと、ＷＲと、ＷＯと、ＷＶと、［ａ＿Ｌ］と、［ａ＿Ｒ］と、［ａ＿Ｏ］とから成り、
前記共通パラメータは、ｇ，ｈ∈Ｇとし、ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍとしたとき、ｇと、ｈと、ｖｅｃ（ｇ）と、ｖｅｃ（ｈ）とから成る請求項２に記載の推論検証システム。
【請求項4】
前記推論検証システムは、さらに、
前記第１証明と前記第２証明とを用いて、推論処理において前記重みパラメータと前記入力データとが用いられたか否かを検証する検証部
を備える検証装置
を備える請求項１から３のいずれか１項に記載の推論検証システム。
前記第１証明と前記第２証明とを用いて、推論処理において前記重みパラメータと前記入力データとが用いられたか否かを検証する検証部
を備える検証装置
を備える請求項１から３のいずれか１項に記載の推論検証システム。
【請求項5】
コンピュータであるユーザ用演算装置が、論理回路で表現されたＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）モデルと、前記ＣＮＮモデルに対する入力データを、秘匿手法を用いて秘匿化することによって生成された第１秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第１証明群を生成し、共通パラメータと、前記第１証明群とを用いて、前記入力データを用いて推論処理が実行されたことを証明する第１証明を生成し、
コンピュータである提供者用演算装置が、論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する推論検証方法であって、
前記ユーザ用演算装置は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証方法。
コンピュータである提供者用演算装置が、論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する推論検証方法であって、
前記ユーザ用演算装置は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証方法。
【請求項6】
論理回路で表現されたＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）モデルと、前記ＣＮＮモデルに対する入力データを、秘匿手法を用いて秘匿化することによって生成された第１秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第１証明群を生成し、共通パラメータと、前記第１証明群とを用いて、前記入力データを用いて推論処理が実行されたことを証明する第１証明を生成する証明生成処理
をコンピュータであるユーザ用演算装置に実行させ、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成処理
をコンピュータである提供者用演算装置に実行させる推論検証プログラムであって、
前記ユーザ用演算装置の前記証明生成処理において、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成処理において、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証プログラム。
をコンピュータであるユーザ用演算装置に実行させ、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成処理
をコンピュータである提供者用演算装置に実行させる推論検証プログラムであって、
前記ユーザ用演算装置の前記証明生成処理において、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成処理において、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する推論検証プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、推論検証システム、推論検証方法、及び推論検証プログラムに関する。
【背景技術】
【0002】
ニューラルネットワークによるＡＩ（Ａｒｔｉｆｉｃｉａｌ Ｉｎｔｅｌｌｉｇｅｎｃｅ）推論技術は、データの分類などの機械学習タスクにおいて大きな成功を収めている。ニューラルネットワークによるデータ分析を行うためには、事前に大量の学習データを用いて、推論モデルの学習を行う必要がある。このとき、学習データを用意することの困難さと、計算資源の制約などの理由から、ユーザがユーザ自身の環境において推論モデルを構築することが困難である場合がある。
このような困難があることから、近年ではクラウドシステムにおいてニューラルネットワークによるデータ分析を提供するサービスであるＭＬａａＳ（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ ａｓ ａ Ｓｅｒｖｉｃｅ）がある。ＭＬａａＳにおいて、ユーザは、推論モデルの構築にコストを費やす必要がなく、また、分析したいデータをクラウドシステムにアップロードすることにより、提供されている推論モデルを用いた推論を実行することができる。
このような困難があることから、近年ではクラウドシステムにおいてニューラルネットワークによるデータ分析を提供するサービスであるＭＬａａＳ（Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ ａｓ ａ Ｓｅｒｖｉｃｅ）がある。ＭＬａａＳにおいて、ユーザは、推論モデルの構築にコストを費やす必要がなく、また、分析したいデータをクラウドシステムにアップロードすることにより、提供されている推論モデルを用いた推論を実行することができる。
【0003】
ＭＬａａＳにおいて、分類対象であるデータ（入力データ）の所有者と推論モデルの所有者（推論サービス提供者）とが異なる場合に、入力データと推論モデルとを用いて推論処理が適切に実行されたことを第三者に証明する必要があるケースが考えられる。
具体例として、入力データの所有者として患者、推論モデルの所有者として医者、第三者として保険会社を想定したとき、入力データから推論モデルを用いて生成した診断結果が適切であることを保険会社に証明するケースが考えられる。最も簡単な解決策は、入力データと推論モデルとを保険会社に公開し、計算処理を再現することである。しかしながら、個人のプライバシーに関わる情報が含まれている可能性がある入力データと、知的財産となりうる推論モデルとをそのまま開示することは難しいという課題がある。
非特許文献１は、このような課題に対する解決方法を開示している。
具体例として、入力データの所有者として患者、推論モデルの所有者として医者、第三者として保険会社を想定したとき、入力データから推論モデルを用いて生成した診断結果が適切であることを保険会社に証明するケースが考えられる。最も簡単な解決策は、入力データと推論モデルとを保険会社に公開し、計算処理を再現することである。しかしながら、個人のプライバシーに関わる情報が含まれている可能性がある入力データと、知的財産となりうる推論モデルとをそのまま開示することは難しいという課題がある。
非特許文献１は、このような課題に対する解決方法を開示している。
【先行技術文献】
【非特許文献】
【0004】
【非特許文献1】Ｓ．Ｌｅｅ，Ｈ．Ｋｏ，Ｊ．Ｋｉｍ， ａｎｄ Ｈ．Ｏｈ、“ｖＣＮＮ：Ｖｅｒｉｆｉａｂｌｅ Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ ｂａｓｅｄ ｏｎ ｚｋ－ＳＮＡＲＫｓ”，ｈｔｔｐｓ：／／ｅｐｒｉｎｔ．ｉａｃｒ．ｏｒｇ／２０２０／５８４，２０２０．
【発明の概要】
【発明が解決しようとする課題】
【0005】
非特許文献１が開示している方法では、ゼロ知識証明技術を用いることにより、推論サービス提供者と入力データの所有者とが協力して、入力データと推論モデルとを用いた推論処理が実際に実行されたことを証明することができる。これにより、推論サービス提供者は、推論結果が入力データと推論モデルとを用いた分析処理によって得られた結果であることを第三者に対して証明することができる。
【0006】
ここで、非特許文献１が開示している方法において、入力データの所有者は、推論サービス提供者に対して入力データを平文の状態で渡す必要がある。そのため、入力データの所有者のプライバシーに関わる情報などに対して当該方法を適用した場合、入力データの所有者にとって不利益が生じる可能性がある。
本開示は、ゼロ知識証明技術によりＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を検証する技術において、入力データと推論モデルとのどちらも秘匿化した状態で、入力データと推論モデルとを用いた推論処理が適切に実行されたことを示す証明を生成する手法を提案することを目的とする。本開示を利用することにより、入力データに関するプライバシーを保護することができる。
本開示は、ゼロ知識証明技術によりＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を検証する技術において、入力データと推論モデルとのどちらも秘匿化した状態で、入力データと推論モデルとを用いた推論処理が適切に実行されたことを示す証明を生成する手法を提案することを目的とする。本開示を利用することにより、入力データに関するプライバシーを保護することができる。
【課題を解決するための手段】
【0007】
本開示に係る推論検証システムは、
論理回路で表現されたＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）モデルと、前記ＣＮＮモデルに対する入力データを、秘匿手法を用いて秘匿化することによって生成された第１秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第１証明群を生成し、共通パラメータと、前記第１証明群とを用いて、前記入力データを用いて推論処理が実行されたことを証明する第１証明を生成する証明生成部
を備えるユーザ用演算装置と、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成部
を備える提供者用演算装置と
を備える推論検証システムであって、
前記ユーザ用演算装置の前記証明生成部は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成部は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する。
論理回路で表現されたＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）モデルと、前記ＣＮＮモデルに対する入力データを、秘匿手法を用いて秘匿化することによって生成された第１秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第１証明群を生成し、共通パラメータと、前記第１証明群とを用いて、前記入力データを用いて推論処理が実行されたことを証明する第１証明を生成する証明生成部
を備えるユーザ用演算装置と、
論理回路で表現された前記ＣＮＮモデルと、前記ＣＮＮモデルの重みパラメータを、前記秘匿手法を用いて秘匿化することによって生成された第２秘匿化データとを用いて、前記ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明として第２証明群を生成し、前記共通パラメータと、前記第２証明群とを用いて、前記重みパラメータを用いて推論処理が実行されたことを証明する第２証明を生成する証明生成部
を備える提供者用演算装置と
を備える推論検証システムであって、
前記ユーザ用演算装置の前記証明生成部は、前記第１証明群を生成する際に前記ユーザ用演算装置が前記提供者用演算装置から取得したデータを使用し、
前記提供者用演算装置の前記証明生成部は、前記第２証明群を生成する際に前記提供者用演算装置が前記ユーザ用演算装置から取得したデータを使用する。
【発明の効果】
【0008】
本開示によれば、ＣＮＮモデルに対する入力データは秘匿化され、ＣＮＮモデルの重みパラメータは秘匿化される。また、秘匿化された各データを用いて、ゼロ知識証明技術によりＣＮＮを検証するための証明が生成される。従って、本開示によれば、ゼロ知識証明技術によりＣＮＮを検証する技術において、入力データと推論モデルとのどちらも秘匿化した状態で、入力データと推論モデルとを用いた推論処理が適切に実行されたことを示す証明を生成することができる。
【図面の簡単な説明】
【0009】
【図1】実施の形態１に係る推論検証システム１００の構成例を示す図。
【図2】実施の形態１に係る共通パラメータ生成装置２００の構成例を示す図。
【図3】実施の形態１に係るユーザ用演算装置３００の構成例を示す図。
【図4】実施の形態１に係る提供者用演算装置４００の構成例を示す図。
【図5】実施の形態１に係る検証装置５００の構成例を示す図。
【図6】実施の形態１に係るコンピュータ１０のハードウェア構成例を示す図。
【図7】実施の形態１に係る共通パラメータ生成装置２００の動作を示すフローチャート。
【図8】実施の形態１に係るユーザ用演算装置３００の動作を示すフローチャート。
【図9】実施の形態１に係る提供者用演算装置４００の動作を示すフローチャート。
【図10】実施の形態１に係る検証装置５００の動作を示すフローチャート。
【図11】実施の形態１の変形例に係るコンピュータ１０のハードウェア構成例を示す図。
【発明を実施するための形態】
【0010】
実施の形態の説明及び図面において、同じ要素及び対応する要素には同じ符号を付している。同じ符号が付された要素の説明は、適宜に省略又は簡略化する。図中の矢印は、データ若しくは信号の流れ、又は処理の流れを主に示している。また、「部」を、「回路」、「装置」、「機器」、「ステップ」、「工程」、「手順」、「処理」又は「サーキットリー」に適宜読み替えてもよい。
【0011】
実施の形態１．
以下、本実施の形態について、図面を参照しながら詳細に説明する。
以下、本実施の形態について、図面を参照しながら詳細に説明する。
【0012】
＊＊＊構成の説明＊＊＊
図１は、本実施の形態における、推論検証システム１００のシステム構成例を示している。図１に示すように、推論検証システム１００は、共通パラメータ生成装置２００と、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００とを備える。推論検証システム１００は、ゼロ知識証明技術によりＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ
Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を検証するシステムである。ゼロ知識証明技術は、Ｂｕｌｌｅｔｐｒｏｏｆとも呼ばれる暗号技術である。
インターネット１０１は、共通パラメータ生成装置２００と、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００とを相互に通信可能に接続する通信路である。なお、インターネット１０１はネットワークの一例である。インターネット１０１の代わりに他の種類のネットワークが用いられてもよい。
図１は、本実施の形態における、推論検証システム１００のシステム構成例を示している。図１に示すように、推論検証システム１００は、共通パラメータ生成装置２００と、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００とを備える。推論検証システム１００は、ゼロ知識証明技術によりＣＮＮ（Ｃｏｎｖｏｌｕｔｉｏｎａｌ
Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋ）を検証するシステムである。ゼロ知識証明技術は、Ｂｕｌｌｅｔｐｒｏｏｆとも呼ばれる暗号技術である。
インターネット１０１は、共通パラメータ生成装置２００と、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００とを相互に通信可能に接続する通信路である。なお、インターネット１０１はネットワークの一例である。インターネット１０１の代わりに他の種類のネットワークが用いられてもよい。
【0013】
共通パラメータ生成装置２００は、具体例としてＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）である。共通パラメータ生成装置２００は、推論検証システム１００において用いられる共通のパラメータを生成し、インターネット１０１を介して、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００との各々へ、生成した共通パラメータを送信するコンピュータである。
【0014】
ユーザ用演算装置３００は、具体例としてＰＣである。ユーザ用演算装置３００は、入力データを秘匿化する処理を実行し、また、提供者用演算装置４００と協力して証明を生成するコンピュータである。
【0015】
提供者用演算装置４００は、具体例としてＰＣである。提供者用演算装置４００は、推論モデルの重みパラメータを秘匿化する処理を実行し、また、ユーザ用演算装置３００と協力して証明を生成するコンピュータである。推論モデルは、学習モデル又は機械学習モデルとも呼ばれる。提供者用演算装置４００はサービス提供者用演算装置とも呼ばれる。
【0016】
検証装置５００は、具体例としてＰＣである。検証装置５００は、ユーザ用演算装置３００と提供者用演算装置４００との各々から証明を受信し、受信した証明を検証した結果として、証明の真偽を示すデータを出力する。
【0017】
以下、推論検証システム１００が備える各装置の構成例について説明する。
図２は、共通パラメータ生成装置２００の構成例を示すブロック図である。
図２に示すように、共通パラメータ生成装置２００は、共通パラメータ生成部２０１と、出力部２０２とを備える。なお、図示していないが、共通パラメータ生成装置２００は、共通パラメータ生成装置２００が備える各部において使用されるデータを記憶する記録媒体を有する。
図２は、共通パラメータ生成装置２００の構成例を示すブロック図である。
図２に示すように、共通パラメータ生成装置２００は、共通パラメータ生成部２０１と、出力部２０２とを備える。なお、図示していないが、共通パラメータ生成装置２００は、共通パラメータ生成装置２００が備える各部において使用されるデータを記憶する記録媒体を有する。
【0018】
共通パラメータ生成部２０１は、推論検証システム１００において用いられる共通パラメータｐｐを生成し、生成した共通パラメータｐｐを出力部２０２へ送信する。なお、図示していないが、共通パラメータｐｐを生成するために、共通パラメータ生成部２０１は乱数生成機能などを有してもよい。
【0019】
出力部２０２は、共通パラメータ生成部２０１によって生成された共通パラメータｐｐを、ユーザ用演算装置３００と、提供者用演算装置４００と、検証装置５００との各々へ送信する。
【0020】
図３は、ユーザ用演算装置３００の構成例を示すブロック図である。
図３に示すように、ユーザ用演算装置３００は、入力部３０１と、データ秘匿部３０２と、証明生成部３０３と、出力部３０４とを備える。なお、図示していないが、ユーザ用演算装置３００は、ユーザ用演算装置３００が備える各部において使用されるデータを記憶する記録媒体を有する。
図３に示すように、ユーザ用演算装置３００は、入力部３０１と、データ秘匿部３０２と、証明生成部３０３と、出力部３０４とを備える。なお、図示していないが、ユーザ用演算装置３００は、ユーザ用演算装置３００が備える各部において使用されるデータを記憶する記録媒体を有する。
【0021】
入力部３０１は、共通パラメータ生成装置２００から共通パラメータｐｐを受信する。また、入力部３０１は、推論に用いる画像などを示す入力データを入力する。
【0022】
データ秘匿部３０２は、入力部３０１によって入力された入力データに対して秘匿化処理を行うことにより秘匿化データを生成する。
【0023】
証明生成部３０３は、データ秘匿部３０２によって生成された秘匿化データを利用し、提供者用演算装置４００と協力して証明Ｐを生成する。
具体的には、証明生成部３０３は、論理回路で表現されたＣＮＮモデルと、第１秘匿化データとを用いて第１証明群を生成し、共通パラメータｐｐと、第１証明群とを用いて第１証明を生成する。証明生成部３０３は、第１証明群を生成する際にユーザ用演算装置３００が提供者用演算装置４００から取得したデータを使用する。第１秘匿化データは、ＣＮＮモデルに対する入力データを、秘匿手法Ｅｎｃを用いて秘匿化することによって生成されたデータである。第１証明群は、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明から成る。第１証明は、入力データを用いて推論処理が実行されたことを証明することに用いられる。
具体的には、証明生成部３０３は、論理回路で表現されたＣＮＮモデルと、第１秘匿化データとを用いて第１証明群を生成し、共通パラメータｐｐと、第１証明群とを用いて第１証明を生成する。証明生成部３０３は、第１証明群を生成する際にユーザ用演算装置３００が提供者用演算装置４００から取得したデータを使用する。第１秘匿化データは、ＣＮＮモデルに対する入力データを、秘匿手法Ｅｎｃを用いて秘匿化することによって生成されたデータである。第１証明群は、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ）とＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明から成る。第１証明は、入力データを用いて推論処理が実行されたことを証明することに用いられる。
【0024】
出力部３０４は、証明生成部３０３によって生成された証明Ｐを出力する。
【0025】
図４は、提供者用演算装置４００の構成例を示すブロック図である。
図４に示すように、提供者用演算装置４００は、入力部４０１と、データ秘匿部４０２と、証明生成部４０３と、出力部４０４とを備える。なお、図示していないが、提供者用演算装置４００は、提供者用演算装置４００が備える各部において使用されるデータを記憶する記録媒体を有する。
図４に示すように、提供者用演算装置４００は、入力部４０１と、データ秘匿部４０２と、証明生成部４０３と、出力部４０４とを備える。なお、図示していないが、提供者用演算装置４００は、提供者用演算装置４００が備える各部において使用されるデータを記憶する記録媒体を有する。
【0026】
入力部４０１は、共通パラメータ生成装置２００から共通パラメータｐｐを受信する。また、入力部４０１は、推論に用いるＣＮＮモデルのパラメータを入力データとして入力する。
【0027】
データ秘匿部４０２は、入力部４０１によって入力された入力データに対して秘匿化処理を行うことにより秘匿化データを生成する。
【0028】
証明生成部４０３は、データ秘匿部４０２によって生成された秘匿化データを利用し、ユーザ用演算装置３００と協力して証明Ｐを生成する。
具体的には、証明生成部４０３は、論理回路で表現されたＣＮＮモデルと、第２秘匿化データとを用いて第２証明群を生成し、共通パラメータｐｐと、第２証明群とを用いて第２証明を生成する。証明生成部４０３は、第２証明群を生成する際に提供者用演算装置４００がユーザ用演算装置３００から取得したデータを使用する。第２秘匿化データは、ＣＮＮモデルの重みパラメータを、秘匿手法Ｅｎｃを用いて秘匿化することによって生成されたデータである。第２証明群は、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明から成る。第２証明は、重みパラメータを用いて推論処理が実行されたことを証明することに用いられる。
具体的には、証明生成部４０３は、論理回路で表現されたＣＮＮモデルと、第２秘匿化データとを用いて第２証明群を生成し、共通パラメータｐｐと、第２証明群とを用いて第２証明を生成する。証明生成部４０３は、第２証明群を生成する際に提供者用演算装置４００がユーザ用演算装置３００から取得したデータを使用する。第２秘匿化データは、ＣＮＮモデルの重みパラメータを、秘匿手法Ｅｎｃを用いて秘匿化することによって生成されたデータである。第２証明群は、ＣＮＮモデルにおけるＩｎｎｅｒ ＰｒｏｄｕｃｔとＲｅＬＵとＭａｘ Ｐｏｏｌｉｎｇとの各々に対する証明から成る。第２証明は、重みパラメータを用いて推論処理が実行されたことを証明することに用いられる。
【0029】
出力部４０４は、証明生成部４０３によって生成された証明Ｐを出力する。
【0030】
図５は、検証装置５００の構成例を示すブロック図である。
図５に示すように、検証装置５００は、入力部５０１と、検証部５０２と、出力部５０３とを備える。なお、図示していないが、検証装置５００は、検証装置５００が備える各部において使用されるデータを記憶する記録媒体を有する。
図５に示すように、検証装置５００は、入力部５０１と、検証部５０２と、出力部５０３とを備える。なお、図示していないが、検証装置５００は、検証装置５００が備える各部において使用されるデータを記憶する記録媒体を有する。
【0031】
入力部５０１は、共通パラメータ生成装置２００から共通パラメータｐｐを入力する。また、入力部５０１は、ユーザ用演算装置３００と提供者用演算装置４００との各々から証明Ｐを入力する。
【0032】
検証部５０２は、入力部５０１によって入力された証明Ｐを検証する。具体的には、検証部５０２は、第１証明と第２証明とを用いて、推論処理において重みパラメータと入力データとが用いられたか否かを検証する。
【0033】
出力部５０３は、検証部５０２の検証結果に応じて、検証結果を示すデータを出力する。
【0034】
図６は、推論検証システム１００が備える各装置のハードウェア資源の一例を示す図である。各装置は、具体例としてコンピュータ１０から成る。コンピュータ１０は一般的なＰＣ（Ｐｅｒｓｏｎａｌ Ｃｏｍｐｕｔｅｒ）であってもよい。各装置は複数のコンピュータ１０から成ってもよい。
コンピュータ１０は、プロセッサ１１を備えている。
コンピュータ１０は、プロセッサ１１を備えている。
【0035】
プロセッサ１１は、バス１２を介してＲＯＭ（Ｒｅａｄ Ｏｎｌｙ Ｍｅｍｏｒｙ）１３、ＲＡＭ（Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）１４と、通信ボード１５と、ディスプレイ１６（表示装置）と、キーボード１７と、マウス１８と、ドライブ１９と、磁気ディスク装置２０などのハードウェアデバイスと接続され、これらのハードウェアデバイスを制御する。
プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。コンピュータ１０は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサはプロセッサ１１の役割を分担する。
プロセッサ１１は、具体例として、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、又はＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。コンピュータ１０は、プロセッサ１１を代替する複数のプロセッサを備えてもよい。複数のプロセッサはプロセッサ１１の役割を分担する。
【0036】
ドライブ１９は、ＦＤ（Ｆｌｅｘｉｂｌｅ Ｄｉｓｋ）、ＣＤ（Ｃｏｍｐａｃｔ Ｄｉｓｃ）、又はＤＶＤ（Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｃ）などの記憶媒体を読み書きする装置である。
ＲＯＭ１３と、ＲＡＭ１４と、磁気ディスク装置２０と、ドライブ１９との各々は記憶装置の一例である。
キーボード１７と、マウス１８と、通信ボード１５との各々は入力装置の一例である。
ディスプレイ１６と、通信ボード１５との各々は出力装置の一例である。
通信ボード１５は、有線又は無線で、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネット、又は電話回線などの通信網に接続している。
磁気ディスク装置２０には、ＯＳ（オペレーティングシステム）２１と、プログラム群２２と、ファイル群２３との各々が記憶されている。
ＲＯＭ１３と、ＲＡＭ１４と、磁気ディスク装置２０と、ドライブ１９との各々は記憶装置の一例である。
キーボード１７と、マウス１８と、通信ボード１５との各々は入力装置の一例である。
ディスプレイ１６と、通信ボード１５との各々は出力装置の一例である。
通信ボード１５は、有線又は無線で、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）、インターネット、又は電話回線などの通信網に接続している。
磁気ディスク装置２０には、ＯＳ（オペレーティングシステム）２１と、プログラム群２２と、ファイル群２３との各々が記憶されている。
【0037】
プログラム群２２には、本実施の形態において「～部」として説明する機能を実行するプログラムが含まれる。各プログラム（具体例として、証明作成プログラム又は検証結果生成プログラム）は、プロセッサ１１により読み出されて実行される。即ち、各プログラムは、「～部」としてコンピュータ１０を機能させるものであり、また、「～部」の手順又は方法をコンピュータに実行させるものである。
【0038】
ファイル群２３には、本実施の形態において説明する「～部」で使用される各種データ（入力データと、出力データと、判定結果と、計算結果と、処理結果など）が含まれる。
【0039】
推論検証システム１００が備える各装置の動作を実現するプログラムを総称して「推論検証プログラム」と呼ぶ。推論検証プログラムは、コンピュータが読み取り可能な不揮発性の記録媒体に記録されていてもよい。不揮発性の記録媒体は、具体例として、光ディスク又はフラッシュメモリである。推論検証プログラムは、プログラムプロダクトとして提供されてもよい。
【0040】
＊＊＊動作の説明＊＊＊
以下、本実施の形態における各装置の計算方法に相当する、推論検証システム１００の動作について説明する。推論検証システム１００が備える各装置の動作手順は推論検証方法に相当する。
以下の説明における記法と定義について説明する。
ｇ，ｈ∈Ｇは、ある群Ｇに含まれている要素ｇ及び要素ｈを表す。
ｖ∈Ｇ＾ｍは、ある群Ｇに含まれているｍ個の要素から成るベクトル（ｖ１，…，ｖｍ）を表す。
Ｍ∈Ｇ＾（ｍ×ｎ）は、ある群Ｇに含まれている要素から成るｍ×ｎ要素の行列を表す。
群Ｚ＿ｐは、素数ｐに対して｛１，…，ｐ｝から構成される乗法群を表す。
以下、本実施の形態における各装置の計算方法に相当する、推論検証システム１００の動作について説明する。推論検証システム１００が備える各装置の動作手順は推論検証方法に相当する。
以下の説明における記法と定義について説明する。
ｇ，ｈ∈Ｇは、ある群Ｇに含まれている要素ｇ及び要素ｈを表す。
ｖ∈Ｇ＾ｍは、ある群Ｇに含まれているｍ個の要素から成るベクトル（ｖ１，…，ｖｍ）を表す。
Ｍ∈Ｇ＾（ｍ×ｎ）は、ある群Ｇに含まれている要素から成るｍ×ｎ要素の行列を表す。
群Ｚ＿ｐは、素数ｐに対して｛１，…，ｐ｝から構成される乗法群を表す。
【0041】
以下、推論検証システム１００において利用する、各種計算方法について説明する。
はじめに、ユーザ用演算装置３００と提供者用演算装置４００との２装置間におけるデータ秘匿方法について説明する。推論検証システム１００では、以下の性質を持つ秘匿手法Ｅｎｃを利用する。
はじめに、ユーザ用演算装置３００と提供者用演算装置４００との２装置間におけるデータ秘匿方法について説明する。推論検証システム１００では、以下の性質を持つ秘匿手法Ｅｎｃを利用する。
【0042】
ある値ｘをユーザ用演算装置３００が所持しており、ある値ｙを提供者用演算装置４００が所持しているものとする。このとき、秘匿手法Ｅｎｃによって秘匿化された値ｘを［ｘ］と表記し、秘匿手法Ｅｎｃによって秘匿化された値ｙを［ｙ］と表記する。この［ｘ］及び［ｙ］について次の関数が成立する。［ｚ］はｚを秘匿手法Ｅｎｃによって秘匿化した値である。なお、以下の各関数を実行する際に、ユーザ用演算装置３００とサービス提供者用演算装置４００とは相互に通信しながら計算を行う。
・Ａｄｄ（［ｘ］，［ｙ］）：ｚ（＝ｘ＋ｙ）に対応する［ｚ］を計算する関数。
・ＳＭｕｌｔ（ａ，［ｘ］）：ｚ（＝ａｘ、ａはある数）に対応する［ｚ］を計算する関数。
・Ｍｕｌｔ（［ｘ］，［ｙ］）：ｚ（＝ｘｙ）に対応する［ｚ］を計算する関数。
・Ｒａｎｄ（）：ランダムな値ｚ（∈Ｚ＿ｐ）に対応する［ｚ］を計算する関数。
・ＥＱ（［ｘ］，［ｙ］）：ｘ＝ｙである場合にｚ＝１となるｚに対応する［ｚ］を出力する関数。
・Ｏｕｔｐｕｔ（［ｘ］）：値ｘを各装置に出力する関数。
・Ａｄｄ（［ｘ］，［ｙ］）：ｚ（＝ｘ＋ｙ）に対応する［ｚ］を計算する関数。
・ＳＭｕｌｔ（ａ，［ｘ］）：ｚ（＝ａｘ、ａはある数）に対応する［ｚ］を計算する関数。
・Ｍｕｌｔ（［ｘ］，［ｙ］）：ｚ（＝ｘｙ）に対応する［ｚ］を計算する関数。
・Ｒａｎｄ（）：ランダムな値ｚ（∈Ｚ＿ｐ）に対応する［ｚ］を計算する関数。
・ＥＱ（［ｘ］，［ｙ］）：ｘ＝ｙである場合にｚ＝１となるｚに対応する［ｚ］を出力する関数。
・Ｏｕｔｐｕｔ（［ｘ］）：値ｘを各装置に出力する関数。
【0043】
また、ユーザ用演算装置３００と提供者用演算装置４００とが合わせてｍ個の入力（ｘ１，…，ｘｍ）を所持しており、かつ、ｍ個の入力を秘匿手法Ｅｎｃによって秘匿化した各値が［ｘ１］，…，［ｘｍ］であるとき、ある群Ｇに含まれているｍ個の要素から成るｖｅｃ（ｇ）＝（ｇ１，…，ｇｍ）に対して次の関数が成立する。
・Ｃｏｍ（［ｘ１］，…，［ｘｍ］，ｖｅｃ（ｇ）＝（ｇ１，…，ｇｍ））：ｚ（＝ｇ１＾（ｘ１）…ｇｍ＾（ｘｍ））に対応する［ｚ］を計算する関数。
・Ａｒｇｍａｘ（［ｘ１］，…，［ｘｍ］）：ｘ１，…，ｘｍの中で最大となるｘｉ（ｉ∈｛１，…，ｍ｝）のインデックスｉに対応する［ｉ］を計算する関数。［ｉ］はｉを秘匿手法Ｅｎｃによって秘匿化した値である。
上記のような性質を持つ秘匿手法Ｅｎｃとして、具体例として［参考文献１］に示すＳＰＤＺ ｐｒｏｔｏｃｏｌがある。
・Ｃｏｍ（［ｘ１］，…，［ｘｍ］，ｖｅｃ（ｇ）＝（ｇ１，…，ｇｍ））：ｚ（＝ｇ１＾（ｘ１）…ｇｍ＾（ｘｍ））に対応する［ｚ］を計算する関数。
・Ａｒｇｍａｘ（［ｘ１］，…，［ｘｍ］）：ｘ１，…，ｘｍの中で最大となるｘｉ（ｉ∈｛１，…，ｍ｝）のインデックスｉに対応する［ｉ］を計算する関数。［ｉ］はｉを秘匿手法Ｅｎｃによって秘匿化した値である。
上記のような性質を持つ秘匿手法Ｅｎｃとして、具体例として［参考文献１］に示すＳＰＤＺ ｐｒｏｔｏｃｏｌがある。
【0044】
［参考文献１］
Ｉ．Ｄａｍｇａｒｄ ｅｔ ａｌ．、“Ｍｕｌｔｉｐａｒｔｙ Ｃｏｍｐｕｔａｔｉｏｎ ｆｒｏｍ Ｓｏｍｅｗｈａｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ．”、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＣＲＹＰＴＯ ２０１２、Ｓｐｒｉｎｇｅｒ、２０１２、ｐｐ．６４３－６６２
Ｉ．Ｄａｍｇａｒｄ ｅｔ ａｌ．、“Ｍｕｌｔｉｐａｒｔｙ Ｃｏｍｐｕｔａｔｉｏｎ ｆｒｏｍ Ｓｏｍｅｗｈａｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ．”、Ａｄｖａｎｃｅｓ ｉｎ Ｃｒｙｐｔｏｌｏｇｙ ＣＲＹＰＴＯ ２０１２、Ｓｐｒｉｎｇｅｒ、２０１２、ｐｐ．６４３－６６２
【0045】
次に、上記の秘匿手法Ｅｎｃを用いて、ＪｏｉｎｔＰｒｏｖｅＩＰと呼ばれるプロトコルを構成する。ＪｏｉｎｔＰｒｏｖｅＩＰの具体的な計算方法は以下の通りである。
ＪｏｉｎｔＰｒｏｖｅＩＰは入力として以下を受け取る。
・ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｎ，Ｐ∈Ｇ，及びｃ∈Ｚ＿ｐ
・［ａ］，［ｂ］∈Ｚ＿ｐ＾ｎ
ＪｏｉｎｔＰｒｏｖｅＩＰは入力として以下を受け取る。
・ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｎ，Ｐ∈Ｇ，及びｃ∈Ｚ＿ｐ
・［ａ］，［ｂ］∈Ｚ＿ｐ＾ｎ
【0046】
ＪｏｉｎｔＰｒｏｖｅＩＰは次のステップに従って順に計算する。
（１）Ｈをハッシュ関数として、以下を計算する。
（ｘ，ｕ０）＝Ｈ（ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ，ｃ）
（１）Ｈをハッシュ関数として、以下を計算する。
（ｘ，ｕ０）＝Ｈ（ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ，ｃ）
【0047】
（２）ｇ（ｎ）＝ｖｅｃ（ｇ）、ｈ（ｎ）＝ｖｅｃ（ｈ）、ｕ＝ｕ０＾ｘ、Ｐ（ｎ）＝Ｐ・ｕ０＾（ｘｃ）、ａ（ｎ）＝ａ、ｂ（ｎ）＝ｂとする。
【0048】
（３）以下の計算をｍ＝ｎ，ｎ／２，ｎ／２＾２，…，２について繰り返す。
【0049】
（ａ）Ｍｕｌｔ関数とＡｄｄ関数とを利用して、以下を計算する。ここで、＜ａ，ｂ＞はａとｂの内積を表し、ａ（ｍ）＿［：ｍ／２］はベクトルａ（ｍ）の前半半分の要素を表し、ａ（ｍ）＿［ｍ／２：］はベクトルａ（ｍ）の後半半分の要素を表す。
・［ｃＬ（ｍ）］＝［＜ａ（ｍ）＿［：ｍ／２］，ｂ（ｍ）＿［ｍ／２：］＞］
・［ｃＲ（ｍ）］＝［＜ａ（ｍ）＿［ｍ／２：］，ｂ（ｍ）＿［：ｍ／２］＞］
・［ｃＬ（ｍ）］＝［＜ａ（ｍ）＿［：ｍ／２］，ｂ（ｍ）＿［ｍ／２：］＞］
・［ｃＲ（ｍ）］＝［＜ａ（ｍ）＿［ｍ／２：］，ｂ（ｍ）＿［：ｍ／２］＞］
【0050】
（ｂ）Ｃｏｍ関数を利用して、以下を計算する。
・Ｌ（ｍ）＝（ｇ（ｍ）＿［ｍ／２：］）＾ａ（ｍ）＿［：ｍ／２］・（ｈ（ｍ）＿［：ｍ／２］）＾（ｂ（ｍ）＿［ｍ／２：］・ｕ＾ｃＬ（ｍ））
・Ｒ（ｍ）＝（ｇ（ｍ）＿［：ｍ／２］）＾ａ（ｍ）＿［ｍ／２：］・（ｈ（ｍ）＿［ｍ／２：］）＾（ｂ（ｍ）＿［：ｍ／２］・ｕ＾ｃＲ（ｍ））
・Ｌ（ｍ）＝（ｇ（ｍ）＿［ｍ／２：］）＾ａ（ｍ）＿［：ｍ／２］・（ｈ（ｍ）＿［：ｍ／２］）＾（ｂ（ｍ）＿［ｍ／２：］・ｕ＾ｃＬ（ｍ））
・Ｒ（ｍ）＝（ｇ（ｍ）＿［：ｍ／２］）＾ａ（ｍ）＿［ｍ／２：］・（ｈ（ｍ）＿［ｍ／２：］）＾（ｂ（ｍ）＿［：ｍ／２］・ｕ＾ｃＲ（ｍ））
【0051】
（ｃ）Ｈをハッシュ関数として、以下を計算する。
ｘ（ｍ）＝Ｈ（ｇ（ｎ），ｈ（ｎ），ｕ，Ｐ（ｎ），Ｌ（ｎ），Ｒ（ｎ），
ｇ（ｎ／２），ｈ（ｎ／２），ｕ，Ｐ（ｎ／２），Ｌ（ｎ／２），Ｒ（ｎ／２），
…，
ｇ（ｍ），ｈ（ｍ），ｕ，Ｐ（ｍ），Ｌ（ｍ），Ｒ（ｍ））
ｘ（ｍ）＝Ｈ（ｇ（ｎ），ｈ（ｎ），ｕ，Ｐ（ｎ），Ｌ（ｎ），Ｒ（ｎ），
ｇ（ｎ／２），ｈ（ｎ／２），ｕ，Ｐ（ｎ／２），Ｌ（ｎ／２），Ｒ（ｎ／２），
…，
ｇ（ｍ），ｈ（ｍ），ｕ，Ｐ（ｍ），Ｌ（ｍ），Ｒ（ｍ））
【0052】
（ｄ）以下を計算する。
・ｇ（ｍ／２）＝（ｇ（ｍ）＿［：ｍ／２］）＾（ｘ（ｍ）＾（－１））・（ｇ（ｍ）＿［ｍ／２：］）＾ｘ（ｍ）
・ｈ（ｍ／２）＝（ｈ（ｍ）＿［：ｍ／２］）＾ｘ（ｍ）・（ｈ（ｍ）＿［ｍ／２：］）＾（ｘ（ｍ）＾（－１））
・Ｐ（ｍ／２）＝（Ｌ（ｍ））＾（ｘ（ｍ））＾２・Ｐ（ｍ）・（Ｒ（ｍ））＾（ｘ（ｍ））＾（－２）
・ｇ（ｍ／２）＝（ｇ（ｍ）＿［：ｍ／２］）＾（ｘ（ｍ）＾（－１））・（ｇ（ｍ）＿［ｍ／２：］）＾ｘ（ｍ）
・ｈ（ｍ／２）＝（ｈ（ｍ）＿［：ｍ／２］）＾ｘ（ｍ）・（ｈ（ｍ）＿［ｍ／２：］）＾（ｘ（ｍ）＾（－１））
・Ｐ（ｍ／２）＝（Ｌ（ｍ））＾（ｘ（ｍ））＾２・Ｐ（ｍ）・（Ｒ（ｍ））＾（ｘ（ｍ））＾（－２）
【0053】
（ｅ）ＳＭｕｌｔ関数とＡｄｄ関数とを利用して、以下を計算する。
・［ａ（ｍ／２）］＝［ａ（ｍ）＿［：ｍ／２］］・ｘ（ｍ）＋［ａ（ｍ）＿［ｍ／２：］］・（ｘ（ｍ））＾（－１）
・［ｂ（ｍ／２）］＝［ｂ（ｍ）＿［：ｍ／２］］・ｘ（ｍ）＾（－１）＋［ｂ（ｍ）＿［ｍ／２：］］・（ｘ（ｍ））
・［ａ（ｍ／２）］＝［ａ（ｍ）＿［：ｍ／２］］・ｘ（ｍ）＋［ａ（ｍ）＿［ｍ／２：］］・（ｘ（ｍ））＾（－１）
・［ｂ（ｍ／２）］＝［ｂ（ｍ）＿［：ｍ／２］］・ｘ（ｍ）＾（－１）＋［ｂ（ｍ）＿［ｍ／２：］］・（ｘ（ｍ））
【0054】
（４）Ｏｕｔｐｕｔ関数を利用して、ａ（１）及びｂ（１）を出力する。
【0055】
次に、ＪｏｉｎｔＰｒｏｖｅＩＰプロトコルは以下を出力する。
証明Π＿ｉｐ＝（Ｌ（ｎ），Ｒ（ｎ），Ｌ（ｎ／２），Ｒ（ｎ／２），…，Ｌ（２），Ｒ（２），ａ（１），ｂ（１））
証明Π＿ｉｐ＝（Ｌ（ｎ），Ｒ（ｎ），Ｌ（ｎ／２），Ｒ（ｎ／２），…，Ｌ（２），Ｒ（２），ａ（１），ｂ（１））
【0056】
次に、ＪｏｉｎｔＰｒｏｖｅＩＰを内部で利用するプロトコルであって、ＪｏｉｎｔＰｒｏｖｅＡＣと呼ばれるプロトコルを構成する。
ＪｏｉｎｔＰｒｏｖｅＡＣは入力として以下を受け取る。なお、共通パラメータｐｐは、具体例として、下記のｇとｈとｖｅｃ（ｇ）とｖｅｃ（ｈ）とから成る。
・ｐｐ＝（ｇ，ｈ，ｖｅｃ（ｇ），ｖｅｃ（ｈ））：ｇ，ｈ∈Ｇ，ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍ
・ｓｔｍｔ＝（Ｖ，ＷＬ，ＷＲ，ＷＯ，ＷＶ，ｃ）：Ｖ∈Ｇ＾ｍ，ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ），ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ），ｃ∈Ｚ＿ｐ＾Ｑ
・［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，［ｖ１］，…，［ｖｍ］，［γ１］，…，及び［γｍ］：ａ＿Ｌ，ａ＿Ｒ，ａ＿Ｏ∈Ｚ＿ｐ＾ｎ，ｖｉ，γｉ∈Ｚ＿ｐ，ｉ＝１，…ｍ
ＪｏｉｎｔＰｒｏｖｅＡＣは入力として以下を受け取る。なお、共通パラメータｐｐは、具体例として、下記のｇとｈとｖｅｃ（ｇ）とｖｅｃ（ｈ）とから成る。
・ｐｐ＝（ｇ，ｈ，ｖｅｃ（ｇ），ｖｅｃ（ｈ））：ｇ，ｈ∈Ｇ，ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍ
・ｓｔｍｔ＝（Ｖ，ＷＬ，ＷＲ，ＷＯ，ＷＶ，ｃ）：Ｖ∈Ｇ＾ｍ，ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ），ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ），ｃ∈Ｚ＿ｐ＾Ｑ
・［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，［ｖ１］，…，［ｖｍ］，［γ１］，…，及び［γｍ］：ａ＿Ｌ，ａ＿Ｒ，ａ＿Ｏ∈Ｚ＿ｐ＾ｎ，ｖｉ，γｉ∈Ｚ＿ｐ，ｉ＝１，…ｍ
【0057】
ＪｏｉｎｔＰｒｏｖｅＡＣは次のステップに従って順に計算する。
（１）Ｒａｎｄ関数を利用して、［α］，［β］，［ρ］，［ｓＬ］，及び［ｓＲ］を計算する。ただし、α，β，ρ∈Ｚ＿ｐ，ｓＬ，ｓＲ∈Ｚ＿ｐ＾ｎである。
（１）Ｒａｎｄ関数を利用して、［α］，［β］，［ρ］，［ｓＬ］，及び［ｓＲ］を計算する。ただし、α，β，ρ∈Ｚ＿ｐ，ｓＬ，ｓＲ∈Ｚ＿ｐ＾ｎである。
【0058】
（２）Ｃｏｍ関数を利用して、以下を計算する。
・ＡＩ＝ｈ＾α・ｇ＾ａ＿Ｌ・ｈ＾ａ＿Ｒ
・ＡＯ＝ｈ＾β・ｇ＾ａ＿Ｏ
・Ｓ＝ｈ＾ρ・ｇ＾ｓＬ・ｈ＾ｓＲ
・ＡＩ＝ｈ＾α・ｇ＾ａ＿Ｌ・ｈ＾ａ＿Ｒ
・ＡＯ＝ｈ＾β・ｇ＾ａ＿Ｏ
・Ｓ＝ｈ＾ρ・ｇ＾ｓＬ・ｈ＾ｓＲ
【0059】
（３）Ｈをハッシュ関数として以下を計算する。
（ｙ，ｚ）＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ）
（ｙ，ｚ）＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ）
【0060】
（４）以下を計算する。
・ｙ（ｎ）＝（１，ｙ，ｙ＾２，…，ｙ＾（ｎ－１））
・ｚ（Ｑ＋１）＿［１：］＝（ｚ，ｚ＾２，ｚ＾３，…，ｚ＾Ｑ）
・ｙ（ｎ）＝（１，ｙ，ｙ＾２，…，ｙ＾（ｎ－１））
・ｚ（Ｑ＋１）＿［１：］＝（ｚ，ｚ＾２，ｚ＾３，…，ｚ＾Ｑ）
【0061】
（５）ＳＭｕｌｔ関数とＡｄｄ関数を利用して以下を計算する。ここで、ａ〇ｂはａとｂの要素ごとの積を表す。
・［ｌ］（Ｘ）＝［ａ＿Ｌ］・Ｘ＋［ａ＿Ｏ］・Ｘ＾２＋ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ）・Ｘ＋［ｓＬ］・Ｘ＾３
・［ｒ］（Ｘ）＝ｙ（ｎ）〇［ａ＿Ｒ］・Ｘ－ｙ（ｎ）＋ｚ（Ｑ＋１）＿［１：］・（ＷＬ・Ｘ＋ＷＯ）＋ｙ（ｎ）〇［ｓＲ］・Ｘ＾３
・［ｌ］（Ｘ）＝［ａ＿Ｌ］・Ｘ＋［ａ＿Ｏ］・Ｘ＾２＋ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ）・Ｘ＋［ｓＬ］・Ｘ＾３
・［ｒ］（Ｘ）＝ｙ（ｎ）〇［ａ＿Ｒ］・Ｘ－ｙ（ｎ）＋ｚ（Ｑ＋１）＿［１：］・（ＷＬ・Ｘ＋ＷＯ）＋ｙ（ｎ）〇［ｓＲ］・Ｘ＾３
【0062】
（６）Ｍｕｌｔ関数とＡｄｄ関数を利用して、以下を計算する。
・＜［ｌ］（Ｘ），［ｒ］（Ｘ）＞を計算し、Ｘ＾ｉの係数をｔｉとする（ｉ＝１，２，…，６）。
・＜［ｌ］（Ｘ），［ｒ］（Ｘ）＞を計算し、Ｘ＾ｉの係数をｔｉとする（ｉ＝１，２，…，６）。
【0063】
（７）Ｒａｎｄ関数を利用して［τｉ］（ｉ＝１，３，４，５，６）を計算する。
【0064】
（８）Ｃｏｍ関数を利用して以下を計算する。
・Ｔｉ＝ｇ＾τｉ・ｈ＾τｉ（ｉ＝１，３，４，５，６）
・Ｔｉ＝ｇ＾τｉ・ｈ＾τｉ（ｉ＝１，３，４，５，６）
【0065】
（９）Ｈをハッシュ関数として以下を計算する。
・ｘ＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６）
・ｘ＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６）
【0066】
（１０）ＳＭｕｌｔ関数とＡｄｄ関数とを利用して以下を計算する。
・［ｌ］＝［ｌ］（ｘ）
・［ｒ］＝［ｒ］（ｘ）
・［ｌ］＝［ｌ］（ｘ）
・［ｒ］＝［ｒ］（ｘ）
【0067】
（１１）Ｍｕｌｔ関数とＡｄｄ関数を利用して以下を計算する。
・［ｔ］＝＜［ｌ］，［ｒ］＞
・［ｔ］＝＜［ｌ］，［ｒ］＞
【0068】
（１２）ＳＭｕｌｔ関数とＡｄｄ関数とを利用して以下を計算する。
・［τｘ］＝Σ＿（ｉ＝１，３，４，５，６）［ｔｉ］・ｘ＾ｉ＋ｘ＾２・＜ｚ（Ｑ＋１）＿［１：］，ＷＶ・［γ］＞
・［μ］＝［α］・ｘ＋［β］・ｘ＾２＋［ρ］・ｘ＾３
・［τｘ］＝Σ＿（ｉ＝１，３，４，５，６）［ｔｉ］・ｘ＾ｉ＋ｘ＾２・＜ｚ（Ｑ＋１）＿［１：］，ＷＶ・［γ］＞
・［μ］＝［α］・ｘ＋［β］・ｘ＾２＋［ρ］・ｘ＾３
【0069】
（１３）Ｏｕｔｐｕｔ関数を利用して、τｘ，μ，及びｔを出力する。
【0070】
（１４）以下を計算する。
・ｈ’＿ｉ＝（ｈ＿ｉ）＾（ｙ＾（－ｉ＋１））（ｉ＝（１，２，…，ｎ）、ｈ＿ｉはｖｅｃ（ｈ）のｉ番目の要素を示す。）
・ＷＬ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＬ）
・ＷＲ＝ｖｅｃ（ｇ）＾（ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ））
・ＷＯ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＯ）
・Ｐ＝ＡＩ＾ｘ・ＡＯ＾（ｘ＾２）・（ｈ’）＾（－ｙ（ｎ））・（ＷＬ）＾ｘ・ＷＯ・Ｓ＾（ｘ＾３）
・ｈ’＿ｉ＝（ｈ＿ｉ）＾（ｙ＾（－ｉ＋１））（ｉ＝（１，２，…，ｎ）、ｈ＿ｉはｖｅｃ（ｈ）のｉ番目の要素を示す。）
・ＷＬ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＬ）
・ＷＲ＝ｖｅｃ（ｇ）＾（ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ））
・ＷＯ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＯ）
・Ｐ＝ＡＩ＾ｘ・ＡＯ＾（ｘ＾２）・（ｈ’）＾（－ｙ（ｎ））・（ＷＬ）＾ｘ・ＷＯ・Ｓ＾（ｘ＾３）
【0071】
（１５）ＪｏｉｎｔＰｒｏｖｅＩＰプロトコルを以下の入力に対して動作させ、出力としてΠ＿ｉｐを受け取る。
・ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ・ｈ＾（－μ），及びｔ
・［ｌ］，［ｒ］
・ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ・ｈ＾（－μ），及びｔ
・［ｌ］，［ｒ］
【0072】
次に、ＪｏｉｎｔＰｒｏｖｅＡＣは以下を出力する。
Π＿ａｃ＝（ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６，τｘ，μ，ｔ，Π＿ｉｐ）
Π＿ａｃ＝（ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６，τｘ，μ，ｔ，Π＿ｉｐ）
【0073】
上記のＪｏｉｎｔＰｒｏｖｅＡＣを利用することにより、ＣＮＮにおいて用いられる計算（Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ，ＲｅＬＵ（Ｒｅｃｔｉｆｉｅｄ Ｌｉｎｅａｒ Ｕｎｉｔ），Ｍａｘ Ｐｏｏｌｉｎｇ）に対する証明を生成することができる。
以下、Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ，ＲｅＬＵ，及びＭａｘ Ｐｏｏｌｉｎｇに対する証明生成方法を順に説明する。
なお、ＪｏｉｎｔＰｒｏｖｅＡＣとは、論理回路で表現された計算に対する証明を生成するプロトコルである。そこで、ｉ番目の論理ゲートに対する各入力を（ｉ，Ｌ），（ｉ，Ｒ）と表現し、ｉ番目の論理ゲートにおける出力を（ｉ，Ｏ）と表現することとする。このように表現されたＣＮＮモデルは、論理回路で表現されたＣＮＮモデルに当たる。以下のプロトコルを用いて生成されたＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，及び［ａ＿Ｏ］を入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより、証明を生成することができる。第１証明群及び第２証明群の各々は、具体例として、ＷＬと、ＷＲと、ＷＯと、ＷＶと、［ａ＿Ｌ］と、［ａ＿Ｒ］と、［ａ＿Ｏ］とから成る。
以下、Ｉｎｎｅｒ Ｐｒｏｄｕｃｔ，ＲｅＬＵ，及びＭａｘ Ｐｏｏｌｉｎｇに対する証明生成方法を順に説明する。
なお、ＪｏｉｎｔＰｒｏｖｅＡＣとは、論理回路で表現された計算に対する証明を生成するプロトコルである。そこで、ｉ番目の論理ゲートに対する各入力を（ｉ，Ｌ），（ｉ，Ｒ）と表現し、ｉ番目の論理ゲートにおける出力を（ｉ，Ｏ）と表現することとする。このように表現されたＣＮＮモデルは、論理回路で表現されたＣＮＮモデルに当たる。以下のプロトコルを用いて生成されたＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，及び［ａ＿Ｏ］を入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより、証明を生成することができる。第１証明群及び第２証明群の各々は、具体例として、ＷＬと、ＷＲと、ＷＯと、ＷＶと、［ａ＿Ｌ］と、［ａ＿Ｒ］と、［ａ＿Ｏ］とから成る。
【0074】
Ｉｎｎｅｒ Ｐｒｏｄｕｃｔに対する証明を生成するプロトコルＰｒｏｖｅＩＰは以下のように動作する。
ＰｒｏｖｅＩＰは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ１，ｕ１），…，（ｉｍ，ｕｍ），（ｊ１，ｖ１），…，（ｊｍ，ｖｍ），及び（ｋ，ｗ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・［ａ＿Ｌ］（＝（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］）），［ａ＿Ｒ］（＝（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］）），［ａ＿Ｏ］（＝（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］））
ＰｒｏｖｅＩＰは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ１，ｕ１），…，（ｉｍ，ｕｍ），（ｊ１，ｖ１），…，（ｊｍ，ｖｍ），及び（ｋ，ｗ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・［ａ＿Ｌ］（＝（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］）），［ａ＿Ｒ］（＝（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］）），［ａ＿Ｏ］（＝（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］））
【0075】
ＰｒｏｖｅＩＰは以下の次のステップに従って計算する。
（１）Ｍｕｌｔ関数を利用して、以下を計算する。
・［ｘｋ］＝［ａ＿ｕｋ［ｉｋ］・ａ＿ｖｋ［ｊｋ］］（ｋ＝１，…，ｍ、ｕｋ及びｖｋの各々は｛Ｌ，Ｒ，Ｏ｝のいずれかであり、ａ＿ｕｋ［ｉｋ］はａ＿ｕｋのｉｋ番目の要素を示し、ａ＿ｖｋ［ｊｋ］はａ＿ｖｋのｊｋ番目の要素を示す。）
（１）Ｍｕｌｔ関数を利用して、以下を計算する。
・［ｘｋ］＝［ａ＿ｕｋ［ｉｋ］・ａ＿ｖｋ［ｊｋ］］（ｋ＝１，…，ｍ、ｕｋ及びｖｋの各々は｛Ｌ，Ｒ，Ｏ｝のいずれかであり、ａ＿ｕｋ［ｉｋ］はａ＿ｕｋのｉｋ番目の要素を示し、ａ＿ｖｋ［ｊｋ］はａ＿ｖｋのｊｋ番目の要素を示す。）
【0076】
（２）Ａｄｄ関数を利用して以下を計算する。
・［ｙ］＝［ｘ１＋…＋ｘｍ＋ａ＿ｗ［ｋ］］
・［ｙ］＝［ｘ１＋…＋ｘｍ＋ａ＿ｗ［ｋ］］
【0077】
（３）ａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏの各々を以下のように拡張する。
・［ａ＿Ｌ［ｎ＋ｋ］］＝［ａ＿ｕｋ［ｉｋ］］（ｋ＝１，…，ｍ）
・［ａ＿Ｒ［ｎ＋ｋ］］＝［ａ＿ｖｋ［ｊｋ］］（ｋ＝１，…，ｍ）
・［ａ＿Ｏ［ｎ＋ｋ］］＝［ｘｍ］（ｋ＝１，…，ｍ）
・［ａ＿Ｌ［ｎ＋ｍ＋１］］＝［ｙ］
・［ａ＿Ｒ［ｎ＋ｍ＋１］］＝［１］
・［ａ＿Ｏ［ｎ＋ｍ＋１］］＝［ｙ］
・［ａ＿Ｌ［ｎ＋ｋ］］＝［ａ＿ｕｋ［ｉｋ］］（ｋ＝１，…，ｍ）
・［ａ＿Ｒ［ｎ＋ｋ］］＝［ａ＿ｖｋ［ｊｋ］］（ｋ＝１，…，ｍ）
・［ａ＿Ｏ［ｎ＋ｋ］］＝［ｘｍ］（ｋ＝１，…，ｍ）
・［ａ＿Ｌ［ｎ＋ｍ＋１］］＝［ｙ］
・［ａ＿Ｒ［ｎ＋ｍ＋１］］＝［１］
・［ａ＿Ｏ［ｎ＋ｍ＋１］］＝［ｙ］
【0078】
（４）拡張したａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏの各々に対して以下の計算を行う。
・ａ＿Ｌ［ｎ＋ｋ］＝ａ＿ｕｋ［ｉｋ］（ｋ＝１，…，ｍ）
・ａ＿Ｒ［ｎ＋ｋ］＝ａ＿ｖｋ［ｊｋ］（ｋ＝１，…，ｍ）
・ａ＿Ｌ［ｎ＋ｍ＋１］＝ａ＿Ｏ［ｎ＋１］＋…＋ａ＿Ｏ［ｎ＋ｍ］＋ａ＿ｗ［ｋ］
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
・ａ＿Ｌ［ｎ＋ｋ］＝ａ＿ｕｋ［ｉｋ］（ｋ＝１，…，ｍ）
・ａ＿Ｒ［ｎ＋ｋ］＝ａ＿ｖｋ［ｊｋ］（ｋ＝１，…，ｍ）
・ａ＿Ｌ［ｎ＋ｍ＋１］＝ａ＿Ｏ［ｎ＋１］＋…＋ａ＿Ｏ［ｎ＋ｍ］＋ａ＿ｗ［ｋ］
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
【0079】
次に、ＰｒｏｖｅＩＰは以下を出力する。
・［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，ＷＬ，ＷＲ，ＷＯ，及びｃ
・［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，ＷＬ，ＷＲ，ＷＯ，及びｃ
【0080】
次に、ＰｒｏｖｅＲｅＬＵの説明において用いるサブプロトコルであるＰｒｏｖｅＲａｎｇｅについて説明する。
ＰｒｏｖｅＲａｎｇｅは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
ＰｒｏｖｅＲａｎｇｅは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
【0081】
ＰｒｏｖｅＲａｎｇｅは以下の次のステップに従って計算する。
（１）Ａｄｄ関数を利用して以下を計算する。
［ｘ］＝［ａ＿ｕ［ｉ］＋２＾ｍ］
（１）Ａｄｄ関数を利用して以下を計算する。
［ｘ］＝［ａ＿ｕ［ｉ］＋２＾ｍ］
【0082】
（２）ｘをビット分解した値を［ｘ０］，…，［ｘｍ］とする。
【0083】
（３）ａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏの各々を次のように拡張する。
・ａ＿Ｌ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｌ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
【0084】
（４）拡張したａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏに対して以下の計算を行う。
・ａ＿Ｌ［ｎ＋１＋ｉ］＝ａ＿Ｒ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｉ］＝ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿ｕ［ｉ］＋２＾ｍ＝Σ２＾ｉ・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃを拡張する。
・ａ＿Ｌ［ｎ＋１＋ｉ］＝ａ＿Ｒ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｉ］＝ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿ｕ［ｉ］＋２＾ｍ＝Σ２＾ｉ・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃを拡張する。
【0085】
ＲｅＬＵに対する証明を生成するプロトコルＰｒｏｖｅＲｅＬＵは以下のように動作する。
ＰｒｏｖｅＲｅＬＵは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
ＰｒｏｖｅＲｅＬＵは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
【0086】
ＰｒｏｖｅＲｅＬＵは以下の次のステップに従って計算する。
（１）ＰｒｏｖｅＲａｎｇｅプロトコルを動作させ、以下の出力を得る。
・［ａ＿Ｌ］＝（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］，［ａ＿Ｌ［ｎ＋１＋０］］，…，［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］）
・［ａ＿Ｒ］＝（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］，［ａ＿Ｒ［ｎ＋１＋０］］，…，［ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ］］）
・［ａ＿Ｏ］＝（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］，［ａ＿Ｏ［ｎ＋１＋０］］，…，［ａ＿Ｏ［ｎ＋１＋２ｌ＋２ｄ］］）
（１）ＰｒｏｖｅＲａｎｇｅプロトコルを動作させ、以下の出力を得る。
・［ａ＿Ｌ］＝（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］，［ａ＿Ｌ［ｎ＋１＋０］］，…，［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］）
・［ａ＿Ｒ］＝（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］，［ａ＿Ｒ［ｎ＋１＋０］］，…，［ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ］］）
・［ａ＿Ｏ］＝（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］，［ａ＿Ｏ［ｎ＋１＋０］］，…，［ａ＿Ｏ［ｎ＋１＋２ｌ＋２ｄ］］）
【0087】
（２）ＳＭｕｌｔ関数、Ａｄｄ関数、及びＭｕｌｔ関数を利用して以下を計算する。
・［ｙ］＝［Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
・［ｙ’］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］・Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
・［ｙ］＝［Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
・［ｙ’］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］・Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
【0088】
（３）ａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏの各々を以下のように拡張する。
・ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］
・ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ｙ］
・ａ＿Ｏ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ｙ’］
・ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］
・ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ｙ］
・ａ＿Ｏ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ｙ’］
【0089】
（４）拡張したａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏに対して以下の計算を行う。
・ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］
・ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ＋１］＝Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
上記の２式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
・ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ＋１］＝［ａ＿Ｌ［ｎ＋１＋２ｌ＋２ｄ］］
・ａ＿Ｒ［ｎ＋１＋２ｌ＋２ｄ＋１］＝Σ２＾（ｉ－ｄ）・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝ｄ，…，２ｌ＋２ｄ－１）
上記の２式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
【0090】
次に、ＰｒｏｖｅＭａｘＰｏｏｌの説明において用いるサブプロトコルであるＰｒｏｖｅＲａｎｇｅＰｏｓｉｔｉｖｅについて説明する。
ＰｒｏｖｅＲａｎｇｅＰｏｓｉｔｉｖｅは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
ＰｒｏｖｅＲａｎｇｅＰｏｓｉｔｉｖｅは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ，ｕ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
【0091】
ＰｒｏｖｅＲａｎｇｅＰｏｓｉｔｉｖｅは以下の次のステップに従って計算する。
（１）ビット分解した値を［ｘ０］，…，［ｘｍ］とする。
（１）ビット分解した値を［ｘ０］，…，［ｘｍ］とする。
【0092】
（２）ａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏを次のように拡張する。
・ａ＿Ｌ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｌ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｊ］＝［ｘｊ］（ｊ＝０，…，ｍ）
【0093】
（３）拡張したａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏの各々に対して以下の計算を行う。
・ａ＿Ｌ［ｎ＋１＋ｉ］＝ａ＿Ｒ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｉ］＝ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿ｕ［ｉ］＋２＾ｍ＝Σ２＾ｉ・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
・ａ＿Ｌ［ｎ＋１＋ｉ］＝ａ＿Ｒ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋１＋ｉ］＝ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
・ａ＿ｕ［ｉ］＋２＾ｍ＝Σ２＾ｉ・ａ＿Ｌ［ｎ＋１＋ｉ］（ｉ＝０，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃの各々を拡張する。
【0094】
Ｍａｘ Ｐｏｏｌｉｎｇに対する証明を生成するプロトコルＰｒｏｖｅＭａｘＰｏｏｌは以下のように動作する。
ＰｒｏｖｅＭａｘＰｏｏｌは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ１，ｕ１），…，（ｉｍ，ｕｍ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
ＰｒｏｖｅＭａｘＰｏｏｌは以下を入力として受け取る。
・ＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃ
・論理ゲートのインデックス（ｉ１，ｕ１），…，（ｉｍ，ｕｍ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝
・（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］），（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］），（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）
【0095】
ＰｒｏｖｅＭａｘＰｏｏｌは以下の次のステップに従って計算する。
（１）Ａｒｇｍａｘ関数を利用して、［ａ＿ｕｊ［ｉ＿ｊ］］（ｊ＝１，…，ｍ）のうち最大値のインデックス［ｉ＊］を計算する。
（１）Ａｒｇｍａｘ関数を利用して、［ａ＿ｕｊ［ｉ＿ｊ］］（ｊ＝１，…，ｍ）のうち最大値のインデックス［ｉ＊］を計算する。
【0096】
（２）ＥＱ関数を利用して、［ｚｉ］＝ＥＱ（［ｉ＊］，［ｊ］）（ｊ＝１，…，ｍ）を計算する。
【0097】
（３）Ｍｕｌｔ関数を利用して、［ｚ’ｊ］＝［ａ＿ｕｊ［ｉｊ］・ｚｊ］（ｊ＝１，…，ｍ）を計算する。
【0098】
（４）Ａｄｄ関数を利用して、［ｚ＊］＝［ａ＿ｕ１［ｉ１］ｚ’１＋…＋ａ＿ｕｍ［ｉｍ］ｚ’ｍ］を計算する。
【0099】
（５）Ａｄｄ関数を利用して、［ｚ’’ｊ］＝［ａ＿ｕｉ＊［ｉｉ＊］－ａ＿ｕｊ［ｉｊ］］（ｊ＝１，…，ｍ）を計算する。
【0100】
（６）ａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏを以下のように拡張する。
・ａ＿Ｌ［ｎ＋ｊ］＝［ａ＿ｕｊ［ｉｊ］］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋ｊ］＝［ｚｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋ｊ］＝［ｚ’ｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｌ［ｎ＋ｍ＋１］＝［ｚ＊］
・ａ＿Ｒ［ｎ＋ｍ＋１］＝［１］
・ａ＿Ｏ［ｎ＋ｍ＋１］＝［ｚ＊］
・ａ＿Ｌ［ｎ＋ｍ＋１＋ｊ］＝［ｚ’’ｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋ｍ＋１＋ｊ］＝［１］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋ｍ＋１＋ｊ］＝［ｚ’’ｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｌ［ｎ＋ｊ］＝［ａ＿ｕｊ［ｉｊ］］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋ｊ］＝［ｚｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋ｊ］＝［ｚ’ｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｌ［ｎ＋ｍ＋１］＝［ｚ＊］
・ａ＿Ｒ［ｎ＋ｍ＋１］＝［１］
・ａ＿Ｏ［ｎ＋ｍ＋１］＝［ｚ＊］
・ａ＿Ｌ［ｎ＋ｍ＋１＋ｊ］＝［ｚ’’ｊ］（ｊ＝０，…，ｍ）
・ａ＿Ｒ［ｎ＋ｍ＋１＋ｊ］＝［１］（ｊ＝０，…，ｍ）
・ａ＿Ｏ［ｎ＋ｍ＋１＋ｊ］＝［ｚ’’ｊ］（ｊ＝０，…，ｍ）
【0101】
（７）拡張したａ＿Ｌ，ａ＿Ｒ，及びａ＿Ｏに対して以下の計算を行う。
・ａ＿Ｌ［ｎ＋１］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕ１［ｉ１］
・ａ＿Ｌ［ｎ＋ｊ］＝ａ＿Ｏ［ｎ＋ｊ－１］（ｊ＝２，…，ｍ－１）
・ａ＿Ｒ［ｎ＋ｊ］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕ（ｊ＋１）［ｉｊ＋１］（ｊ＝１，…，ｍ－１）
・ａ＿Ｏ［ｎ＋ｍ－１］＝０
・ａ＿Ｌ［ｎ＋ｍ＋ｊ］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕｊ［ｉｊ］（ｊ＝１，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃを拡張する。
・ａ＿Ｌ［ｎ＋１］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕ１［ｉ１］
・ａ＿Ｌ［ｎ＋ｊ］＝ａ＿Ｏ［ｎ＋ｊ－１］（ｊ＝２，…，ｍ－１）
・ａ＿Ｒ［ｎ＋ｊ］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕ（ｊ＋１）［ｉｊ＋１］（ｊ＝１，…，ｍ－１）
・ａ＿Ｏ［ｎ＋ｍ－１］＝０
・ａ＿Ｌ［ｎ＋ｍ＋ｊ］＝ａ＿Ｌ［ｎ＋ｍ］－ａ＿ｕｊ［ｉｊ］（ｊ＝１，…，ｍ）
上記の３式を満たし、かつ、
・ＷＬ・ａ＿Ｌ＋ＷＲ・ａ＿Ｒ＋ＷＯ・ａ＿Ｏ＝ＷＶｖ＋ｃ
を満たすようにＷＬ，ＷＲ，ＷＯ，ＷＶ，及びｃを拡張する。
【0102】
（８）ｊ＝１，…，ｍに対してＰｒｏｖｅＲａｎｇｅＰｏｓｉｔｉｖｅプロトコルを動作させることにより、ＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを出力として得る。
【0103】
次に、生成された証明に対する検証プロトコルであるＶｅｒｉｆｙＡＣの動作を説明する。
はじめに、ＶｅｒｉｆｙＡＣの内部で利用するプロトコルであるＶｅｒｉｆｙＩＰについて説明する。
ＶｅｒｉｆｙＩＰは、以下を入力として受け取る。
・ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｎ，Ｐ∈Ｇ，及びｃ∈Ｚ＿ｐ
・Π＿ｉｐ＝（Ｌ（ｎ），Ｒ（ｎ），Ｌ（ｎ／２），Ｒ（ｎ／２），…，Ｌ（２），Ｒ（２），ａ（１），ｂ（１））
はじめに、ＶｅｒｉｆｙＡＣの内部で利用するプロトコルであるＶｅｒｉｆｙＩＰについて説明する。
ＶｅｒｉｆｙＩＰは、以下を入力として受け取る。
・ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｎ，Ｐ∈Ｇ，及びｃ∈Ｚ＿ｐ
・Π＿ｉｐ＝（Ｌ（ｎ），Ｒ（ｎ），Ｌ（ｎ／２），Ｒ（ｎ／２），…，Ｌ（２），Ｒ（２），ａ（１），ｂ（１））
【0104】
ＶｅｒｉｆｙＩＰは以下の次のステップに従って計算する。
（１）Ｈをハッシュ関数として以下を計算する。
（ｘ，ｕ０）＝Ｈ（ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ，ｃ）
（１）Ｈをハッシュ関数として以下を計算する。
（ｘ，ｕ０）＝Ｈ（ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ，ｃ）
【0105】
（２）ｇ（ｎ）＝ｖｅｃ（ｇ），ｈ（ｎ）＝ｖｅｃ（ｈ），ｕ＝ｕ０＾ｘ，Ｐ（ｎ）＝Ｐ・ｕ０＾（ｘｃ），ａ（ｎ）＝ａ，ｂ（ｎ）＝ｂとする。
【0106】
（３）以下の計算をｍ＝ｎ，ｎ／２，ｎ／２＾２，…，２について繰り返す。
（ａ）Ｈをハッシュ関数として以下を計算する。
ｘ（ｍ）＝Ｈ（ｇ（ｎ），ｈ（ｎ），ｕ，Ｐ（ｎ），Ｌ（ｎ），Ｒ（ｎ），
ｇ（ｎ／２），ｈ（ｎ／２），ｕ，Ｐ（ｎ／２），Ｌ（ｎ／２），Ｒ（ｎ／２），
…，
ｇ（ｍ），ｈ（ｍ），ｕ，Ｐ（ｍ），Ｌ（ｍ），Ｒ（ｍ））
（ｂ）以下を計算する。
・ｇ（ｍ／２）＝（ｇ（ｍ）＿［：ｍ／２］）＾（ｘ（ｍ）＾（－１））・（ｇ（ｍ）＿［ｍ／２：］）＾ｘ（ｍ）
・ｈ（ｍ／２）＝（ｈ（ｍ）＿［：ｍ／２］）＾ｘ（ｍ）・（ｈ（ｍ）＿［ｍ／２：］）＾（ｘ（ｍ）＾（－１））
・Ｐ（ｍ／２）＝（Ｌ（ｍ））＾（ｘ（ｍ））＾２・Ｐ（ｍ）・（Ｒ（ｍ））＾（ｘ（ｍ））＾（－２）
（ａ）Ｈをハッシュ関数として以下を計算する。
ｘ（ｍ）＝Ｈ（ｇ（ｎ），ｈ（ｎ），ｕ，Ｐ（ｎ），Ｌ（ｎ），Ｒ（ｎ），
ｇ（ｎ／２），ｈ（ｎ／２），ｕ，Ｐ（ｎ／２），Ｌ（ｎ／２），Ｒ（ｎ／２），
…，
ｇ（ｍ），ｈ（ｍ），ｕ，Ｐ（ｍ），Ｌ（ｍ），Ｒ（ｍ））
（ｂ）以下を計算する。
・ｇ（ｍ／２）＝（ｇ（ｍ）＿［：ｍ／２］）＾（ｘ（ｍ）＾（－１））・（ｇ（ｍ）＿［ｍ／２：］）＾ｘ（ｍ）
・ｈ（ｍ／２）＝（ｈ（ｍ）＿［：ｍ／２］）＾ｘ（ｍ）・（ｈ（ｍ）＿［ｍ／２：］）＾（ｘ（ｍ）＾（－１））
・Ｐ（ｍ／２）＝（Ｌ（ｍ））＾（ｘ（ｍ））＾２・Ｐ（ｍ）・（Ｒ（ｍ））＾（ｘ（ｍ））＾（－２）
【0107】
（４）Ｐ（１）＝（ｇ（１））＾（ａ（１））・（ｈ（１）＾（ｂ（１）））・ｕ＾（ａ（１）・ｂ（１））である場合に検証成立として１を出力し、そうでない場合に検証不成立として０を出力する。
【0108】
ＶｅｒｉｆｙＡＣは以下のように動作する。
ＶｅｒｉｆｙＡＣは、以下を入力として受け取る。
・ｐｐ＝（ｇ，ｈ，ｖｅｃ（ｇ），ｖｅｃ（ｈ））：ｇ，ｈ∈Ｇ，ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍ
・ｓｔｍｔ＝（Ｖ，ＷＬ，ＷＲ，ＷＯ，ＷＶ，ｃ）：Ｖ∈Ｇ＾ｍ，ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ），ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ），ａｎｄ ｃ∈Ｚ＿ｐ＾Ｑ
・Π＿ａｃ＝（ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６，τｘ，μ，ｔ，Π＿ｉｐ）
ＶｅｒｉｆｙＡＣは、以下を入力として受け取る。
・ｐｐ＝（ｇ，ｈ，ｖｅｃ（ｇ），ｖｅｃ（ｈ））：ｇ，ｈ∈Ｇ，ｖｅｃ（ｇ），ｖｅｃ（ｈ）∈Ｇ＾ｍ
・ｓｔｍｔ＝（Ｖ，ＷＬ，ＷＲ，ＷＯ，ＷＶ，ｃ）：Ｖ∈Ｇ＾ｍ，ＷＬ，ＷＲ，ＷＯ∈Ｚ＿ｐ＾（Ｑ×ｎ），ＷＶ∈Ｚ＿ｐ＾（Ｑ×ｎ），ａｎｄ ｃ∈Ｚ＿ｐ＾Ｑ
・Π＿ａｃ＝（ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６，τｘ，μ，ｔ，Π＿ｉｐ）
【0109】
ＶｅｒｉｆｙＡＣは以下の次のステップに従って計算する。
（１）Ｈをハッシュ関数として以下を計算する。
（ｙ，ｚ）＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ）
（１）Ｈをハッシュ関数として以下を計算する。
（ｙ，ｚ）＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ）
【0110】
（２）以下を計算する。
・ｙ（ｎ）＝（１，ｙ，ｙ＾２，…，ｙ＾（ｎ－１））
・ｚ（Ｑ＋１）＿［１：］＝（ｚ，ｚ＾２，ｚ＾３，…，ｚ＾Ｑ）
・ｙ（ｎ）＝（１，ｙ，ｙ＾２，…，ｙ＾（ｎ－１））
・ｚ（Ｑ＋１）＿［１：］＝（ｚ，ｚ＾２，ｚ＾３，…，ｚ＾Ｑ）
【0111】
（３）Ｈをハッシュ関数として以下を計算する。
・ｘ＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６）
・ｘ＝Ｈ（ｐｐ，ｓｔｍｔ，ＡＩ，ＡＯ，Ｓ，Ｔ１，Ｔ３，Ｔ４，Ｔ５，Ｔ６）
【0112】
（４）δ＝＜ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ），ｚ（Ｑ＋１）＿［１：］・ＷＬ＞を計算する。
【0113】
（５）以下を計算する。
・ｈ’＿ｉ＝（ｈ＿ｉ）＾（ｙ＾（－ｉ＋１））（ｉ＝１，２，…，ｎ）
・ＷＬ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＬ）
・ＷＲ＝ｖｅｃ（ｇ）＾（ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ））
・ＷＯ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＯ）
・Ｐ＝ＡＩ＾ｘ・ＡＯ＾（ｘ＾２）・（ｈ’）＾（－ｙ（ｎ））・（ＷＬ）＾ｘ・ＷＯ・Ｓ＾（ｘ＾３）
・ｈ’＿ｉ＝（ｈ＿ｉ）＾（ｙ＾（－ｉ＋１））（ｉ＝１，２，…，ｎ）
・ＷＬ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＬ）
・ＷＲ＝ｖｅｃ（ｇ）＾（ｙ（－ｎ）〇（ｚ（Ｑ＋１）＿［１：］・ＷＲ））
・ＷＯ＝（ｈ’）＾（ｚ（Ｑ＋１）＿［１：］・ＷＯ）
・Ｐ＝ＡＩ＾ｘ・ＡＯ＾（ｘ＾２）・（ｈ’）＾（－ｙ（ｎ））・（ＷＬ）＾ｘ・ＷＯ・Ｓ＾（ｘ＾３）
【0114】
（６）以下の２つが成立する場合にＶｅｒｉｆｙＡＣは検証成立として１を出力し、そうでない場合に検証不成立として０を出力する。
・ｇ＾ｔ・ｈ＾τｘ＝ｇ＾（ｇ＾（δ＋＜ｚ（Ｑ＋１）＿［１：］，ｃ＞）・Ｖ＾（ｘ＾２・ｚ（Ｑ＋１）＿［１：］・ＷＶ）・Ｔ１＾ｘ・Ｔ３＾（ｘ＾３）・Ｔ４＾（ｘ＾４）・Ｔ５＾（ｘ＾５）・Ｔ６＾（ｘ＾６）
・ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ・ｈ＾（－μ），ｔ，及びΠ＿ｉｐについて、ＶｅｒｉｆｙＩＰを動作させることにより１が出力される。
・ｇ＾ｔ・ｈ＾τｘ＝ｇ＾（ｇ＾（δ＋＜ｚ（Ｑ＋１）＿［１：］，ｃ＞）・Ｖ＾（ｘ＾２・ｚ（Ｑ＋１）＿［１：］・ＷＶ）・Ｔ１＾ｘ・Ｔ３＾（ｘ＾３）・Ｔ４＾（ｘ＾４）・Ｔ５＾（ｘ＾５）・Ｔ６＾（ｘ＾６）
・ｖｅｃ（ｇ），ｖｅｃ（ｈ），Ｐ・ｈ＾（－μ），ｔ，及びΠ＿ｉｐについて、ＶｅｒｉｆｙＩＰを動作させることにより１が出力される。
【0115】
以下、説明したプロトコルを用いた推論検証システム１００の動作のフローを説明する。フローチャートなどに基づいて説明する本実施の形態の処理は、プロセッサ１１と、記憶装置と、入力装置と、出力装置などのハードウェアを用いて実行される。
図７は、共通パラメータ生成装置２００の動作の一例を示すフローチャートである。図７を用いて共通パラメータ生成装置２００の動作を説明する。
図７は、共通パラメータ生成装置２００の動作の一例を示すフローチャートである。図７を用いて共通パラメータ生成装置２００の動作を説明する。
【0116】
（ステップＳ２０１）
共通パラメータ生成部２０１は、公開パラメータｐｐを生成する。
共通パラメータ生成部２０１は、公開パラメータｐｐを生成する。
【0117】
（ステップＳ２０２）
出力部２０２は、共通パラメータ生成部２０１によって生成された公開パラメータｐｐを各装置へ送信する。
出力部２０２は、共通パラメータ生成部２０１によって生成された公開パラメータｐｐを各装置へ送信する。
【0118】
【0119】
（ステップＳ３０１）
入力部３０１は、入力データを受け取る。ここで、入力データはＣＮＮへの入力となる画像などを示すデータである。
入力部３０１は、入力データを受け取る。ここで、入力データはＣＮＮへの入力となる画像などを示すデータである。
【0120】
（ステップＳ３０２）
データ秘匿部３０２は、秘匿手法Ｅｎｃを利用して、入力部３０１が受け取った入力データを秘匿化することにより秘匿化データを生成する。当該秘匿化データは第１秘匿化データに当たる。
データ秘匿部３０２は、秘匿手法Ｅｎｃを利用して、入力部３０１が受け取った入力データを秘匿化することにより秘匿化データを生成する。当該秘匿化データは第１秘匿化データに当たる。
【0121】
（ステップＳ３０３）
証明生成部３０３は、証明を生成する対象であるＣＮＮを計算する手順を、論理回路を用いて表現する。「論理回路」を「論理ゲート」と読み替えてもよい。
証明生成部３０３は、証明を生成する対象であるＣＮＮを計算する手順を、論理回路を用いて表現する。「論理回路」を「論理ゲート」と読み替えてもよい。
【0122】
（ステップＳ３０４）
証明生成部３０３は、ステップＳ３０３において生成した論理回路の表現と、ステップＳ３０２において生成した秘匿化データとを用いてＰｒｏｖｅＩＰ，ＰｒｏｖｅＲｅＬＵ，及びＰｒｏｖｅＭａｘＰｏｏｌを適切な順序で実行することにより、ＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを生成する。
ここで、論理回路の表現は、前述の論理ゲートのインデックスである（ｉ１，ｕ１），…，（ｉｍ，ｕｍ）と（ｊ１，ｖ１），…，（ｊｍ，ｖｍ）と（ｋ，ｗ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝から成る。秘匿化データは、前述の（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］）と（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］）と（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）とから成る。
証明生成部３０３は、ステップＳ３０３において生成した論理回路の表現と、ステップＳ３０２において生成した秘匿化データとを用いてＰｒｏｖｅＩＰ，ＰｒｏｖｅＲｅＬＵ，及びＰｒｏｖｅＭａｘＰｏｏｌを適切な順序で実行することにより、ＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを生成する。
ここで、論理回路の表現は、前述の論理ゲートのインデックスである（ｉ１，ｕ１），…，（ｉｍ，ｕｍ）と（ｊ１，ｖ１），…，（ｊｍ，ｖｍ）と（ｋ，ｗ）∈｛１，…，ｎ｝×｛Ｌ，Ｒ，Ｏ｝から成る。秘匿化データは、前述の（［ａ＿Ｌ［１］］，…，［ａ＿Ｌ［ｎ］］）と（［ａ＿Ｒ［１］］，…，［ａ＿Ｒ［ｎ］］）と（［ａ＿Ｏ［１］］，…，［ａ＿Ｏ［ｎ］］）とから成る。
【0123】
（ステップＳ３０５）
証明生成部３０３は、ステップＳ３０４において生成したＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより証明Πを生成する。当該証明Πは第１証明に当たる。
証明生成部３０３は、ステップＳ３０４において生成したＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより証明Πを生成する。当該証明Πは第１証明に当たる。
【0124】
（ステップＳ３０６）
出力部３０４は、証明生成部３０３によって生成された証明Πを検証装置５００に送信する。
出力部３０４は、証明生成部３０３によって生成された証明Πを検証装置５００に送信する。
【0125】
【0126】
（ステップＳ４０１）
入力部４０１は、入力データを受け取る。ここで、入力データはＣＮＮの各層における重みパラメータを示すデータである。
入力部４０１は、入力データを受け取る。ここで、入力データはＣＮＮの各層における重みパラメータを示すデータである。
【0127】
（ステップＳ４０２）
データ秘匿部４０２は、秘匿手法Ｅｎｃを利用して、入力部４０１が受け取った入力データを秘匿化することにより秘匿化データを生成する。当該秘匿化データは第２秘匿化データに当たる。
データ秘匿部４０２は、秘匿手法Ｅｎｃを利用して、入力部４０１が受け取った入力データを秘匿化することにより秘匿化データを生成する。当該秘匿化データは第２秘匿化データに当たる。
【0128】
（ステップＳ４０３）
証明生成部４０３は、証明を生成する対象であるＣＮＮを計算する手順を、論理回路を用いて表現する。
証明生成部４０３は、証明を生成する対象であるＣＮＮを計算する手順を、論理回路を用いて表現する。
【0129】
（ステップＳ４０４）
証明生成部４０３は、ステップＳ４０３において生成した論理回路の表現と、ステップＳ４０２において生成した秘匿化データとを用いてＰｒｏｖｅＩＰ，ＰｒｏｖｅＲｅＬＵ，及びＰｒｏｖｅＭａｘＰｏｏｌを適切な順序で実行することにより、ＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを生成する。本ステップはステップＳ３０４と同様である。
証明生成部４０３は、ステップＳ４０３において生成した論理回路の表現と、ステップＳ４０２において生成した秘匿化データとを用いてＰｒｏｖｅＩＰ，ＰｒｏｖｅＲｅＬＵ，及びＰｒｏｖｅＭａｘＰｏｏｌを適切な順序で実行することにより、ＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを生成する。本ステップはステップＳ３０４と同様である。
【0130】
（ステップＳ４０５）
証明生成部４０３は、ステップＳ４０４において生成したＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより証明Πを生成する。当該証明Πは第２証明に当たる。
証明生成部４０３は、ステップＳ４０４において生成したＷＬ，ＷＲ，ＷＯ，ＷＶ，［ａ＿Ｌ］，［ａ＿Ｒ］，［ａ＿Ｏ］，及びｃを入力としてＪｏｉｎｔＰｒｏｖｅＡＣを動作させることにより証明Πを生成する。当該証明Πは第２証明に当たる。
【0131】
（ステップＳ４０６）
出力部４０４は、証明生成部４０３によって生成された証明Πを検証装置５００に送信する。
出力部４０４は、証明生成部４０３によって生成された証明Πを検証装置５００に送信する。
【0132】
【0133】
（ステップＳ５０１）
入力部５０１は、証明Πを受信する。
入力部５０１は、証明Πを受信する。
【0134】
（ステップＳ５０２）
検証部５０２は、入力部５０１が受信した証明Πに対してＰｒｏｖｅＡＣを動作させて証明を検証することにより、証明Πに対応する検証結果を得る。
検証部５０２は、入力部５０１が受信した証明Πに対してＰｒｏｖｅＡＣを動作させて証明を検証することにより、証明Πに対応する検証結果を得る。
【0135】
（ステップＳ５０３）
出力部５０３は、検証部５０２が得た証明の検証結果を示すデータを出力する。
出力部５０３は、検証部５０２が得た証明の検証結果を示すデータを出力する。
【0136】
＊＊＊実施の形態１の効果の説明＊＊＊
本実施の形態によれば、ゼロ知識証明技術によりＣＮＮを検証する技術において、入力データと推論モデルとのどちらも秘匿化した状態で、入力データと推論モデルとを用いた推論処理が適切に実行されたことを示す証明を生成することができる。そのため、本実施の形態によれば、入力データと推論モデルとの各々に関するプライバシーが十分に保護される。
さらに、本実施の形態によれば、第三者に対して、推論結果が入力データと推論モデルとを用いた分析処理によって適切に得られた結果であることを証明することができる。
本実施の形態によれば、ゼロ知識証明技術によりＣＮＮを検証する技術において、入力データと推論モデルとのどちらも秘匿化した状態で、入力データと推論モデルとを用いた推論処理が適切に実行されたことを示す証明を生成することができる。そのため、本実施の形態によれば、入力データと推論モデルとの各々に関するプライバシーが十分に保護される。
さらに、本実施の形態によれば、第三者に対して、推論結果が入力データと推論モデルとを用いた分析処理によって適切に得られた結果であることを証明することができる。
【0137】
＊＊＊他の構成＊＊＊
＜変形例１＞
図１１は、本変形例に係るコンピュータ１０のハードウェア構成例を示している。
コンピュータ１０は、プロセッサ１１、プロセッサ１１とＲＯＭ１３、プロセッサ１１とＲＡＭ１４、あるいはプロセッサ１１とＲＯＭ１３とＲＡＭ１４とに代えて、処理回路３０を備える。
処理回路３０は、コンピュータ１０が備える各部の少なくとも一部を実現するハードウェアである。
処理回路３０は、専用のハードウェアであってもよく、また、ＲＡＭ１４に格納されるプログラムを実行するプロセッサであってもよい。
＜変形例１＞
図１１は、本変形例に係るコンピュータ１０のハードウェア構成例を示している。
コンピュータ１０は、プロセッサ１１、プロセッサ１１とＲＯＭ１３、プロセッサ１１とＲＡＭ１４、あるいはプロセッサ１１とＲＯＭ１３とＲＡＭ１４とに代えて、処理回路３０を備える。
処理回路３０は、コンピュータ１０が備える各部の少なくとも一部を実現するハードウェアである。
処理回路３０は、専用のハードウェアであってもよく、また、ＲＡＭ１４に格納されるプログラムを実行するプロセッサであってもよい。
【0138】
処理回路３０が専用のハードウェアである場合、処理回路３０は、具体例として、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）又はこれらの組み合わせである。
コンピュータ１０は、処理回路３０を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路３０の役割を分担する。
コンピュータ１０は、処理回路３０を代替する複数の処理回路を備えてもよい。複数の処理回路は、処理回路３０の役割を分担する。
【0139】
コンピュータ１０において、一部の機能が専用のハードウェアによって実現されて、残りの機能がソフトウェア又はファームウェアによって実現されてもよい。
【0140】
処理回路３０は、具体例として、ハードウェア、ソフトウェア、ファームウェア、又はこれらの組み合わせにより実現される。
プロセッサ１１とＲＯＭ１３とＲＡＭ１４と処理回路３０とを、総称して「プロセッシングサーキットリー」という。つまり、コンピュータ１０の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
プロセッサ１１とＲＯＭ１３とＲＡＭ１４と処理回路３０とを、総称して「プロセッシングサーキットリー」という。つまり、コンピュータ１０の各機能構成要素の機能は、プロセッシングサーキットリーにより実現される。
【0141】
＊＊＊他の実施の形態＊＊＊
実施の形態１について説明したが、本実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、本実施の形態を部分的に実施しても構わない。その他、本実施の形態は、必要に応じて種々の変更がなされても構わず、全体としてあるいは部分的に、どのように組み合わせて実施されても構わない。
なお、前述した実施の形態は、本質的に好ましい例示であって、本開示と、その適用物と、用途の範囲とを制限することを意図するものではない。フローチャートなどを用いて説明した手順は適宜変更されてもよい。
実施の形態１について説明したが、本実施の形態のうち、複数の部分を組み合わせて実施しても構わない。あるいは、本実施の形態を部分的に実施しても構わない。その他、本実施の形態は、必要に応じて種々の変更がなされても構わず、全体としてあるいは部分的に、どのように組み合わせて実施されても構わない。
なお、前述した実施の形態は、本質的に好ましい例示であって、本開示と、その適用物と、用途の範囲とを制限することを意図するものではない。フローチャートなどを用いて説明した手順は適宜変更されてもよい。
【符号の説明】
【0142】
１０ コンピュータ、１１ プロセッサ、１２ バス、１３ ＲＯＭ、１４ ＲＡＭ、１５ 通信ボード、１６ ディスプレイ、１７ キーボード、１８ マウス、１９ ドライブ、２０ 磁気ディスク装置、２１ ＯＳ、２２ プログラム群、２３ ファイル群、３０ 処理回路、１００ 推論検証システム、１０１ インターネット、２００ 共通パラメータ生成装置、２０１ 共通パラメータ生成部、２０２ 出力部、３００ ユーザ用演算装置、３０１ 入力部、３０２ データ秘匿部、３０３ 証明生成部、３０４ 出力部、４００ 提供者用演算装置、４０１ 入力部、４０２ データ秘匿部、４０３ 証明生成部、４０４ 出力部、５００ 検証装置、５０１ 入力部、５０２ 検証部、５０３
出力部。
出力部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】