ホーム > 特許ランキング > 国立大学法人東北大学
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-10-29
(45)【発行日】2024-11-07
(54)【発明の名称】秘匿計算装置、秘匿計算方法及びプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241030BHJP
G06F 21/71 20130101ALI20241030BHJP
【ＦＩ】
G09C1/00 650Z
G06F21/71
【請求項の数】
11
(21)【出願番号】P 2021567179
(86)(22)【出願日】2020-12-08
(86)【国際出願番号】 JP2020045643
(87)【国際公開番号】W WO2021131667
(87)【国際公開日】2021-07-01
【審査請求日】2023-09-19
(31)【優先権主張番号】P 2019232752
(32)【優先日】2019-12-24
(33)【優先権主張国・地域又は機関】JP
【国等の委託研究の成果に係る記載事項】（出願人による申告）令和元年度、国立研究開発法人科学技術振興機構、戦略的創造研究推進事業「耐量子計算機性秘匿計算に基づくセキュア情報処理基盤」委託研究、産業技術力強化法第１７条の適用を受ける特許出願
(73)【特許権者】
【識別番号】504157024
【氏名又は名称】国立大学法人東北大学
(74)【代理人】
【識別番号】100106909
【弁理士】
【氏名又は名称】棚井 澄雄
(74)【代理人】
【識別番号】100188558
【弁理士】
【氏名又は名称】飯田 雅人
(74)【代理人】
【識別番号】100141139
【弁理士】
【氏名又は名称】及川 周
(72)【発明者】
【氏名】上野 嶺
(72)【発明者】
【氏名】本間 尚文
【審査官】中里 裕正
(56)【参考文献】
【文献】米国特許出願公開第２０１７／０１３４１５７（ＵＳ，Ａ１）
【文献】MARTINS, P. and SOUSA, L.，A Stochastic Number Representation for Fully Homomorphic Cryptography，2017 IEEE International Workshop on Signal Processing Systems (SiPS)，2017年10月，pp.1-6
【文献】LIU, D.，Practical Fully Homomorphic Encryption without Noise Reduction，Cryptology ePrint Archive，Paper 2015/468，[online]，2015年05月18日，pp.1-18，<URL:https://eprint.iacr.org/2015/468>
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
Ｇ０９Ｃ １／００
Ｇ０６Ｆ ２１／７１
ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）
ＩＥＥＥ Ｘｐｌｏｒｅ
(57)【特許請求の範囲】
【請求項1】
確率計算のための所定の表現形式で表された平文が準同型暗号の方式で暗号化された暗号化データに対し秘匿計算を実行する秘匿計算部、を備え、
前記秘匿計算は、和を取得する処理と積を取得する処理とを含み、
前記秘匿計算部は、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの和である和の取得において、前記和を表すビット列の各桁の値を、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する、
秘匿計算装置。
【請求項2】
各桁の値が所定の確率分布に基づいて決定された２値のいずれか一方の値であるビット列をランダムビット列として、前記ランダムビット列を生成するランダムビット列生成部、を備え、
前記秘匿計算部は、和の取得に際して前記ランダムビット列を用い、前記第１暗号化データと前記第２暗号化データとの和である和の取得においては、前記和を表すビット列の各桁の値を、前記ランダムビット列の対応する桁の値に基づき、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する、
請求項１に記載の秘匿計算装置。
【請求項3】
前記所定の表現形式で表されるビット列は、ユニポーラ符号で表されるベルヌーイ列である、請求項２に記載の秘匿計算装置。
【請求項4】
前記所定の表現形式で表されるビット列は、バイポーラ符号で表されるベルヌーイ列である、請求項２に記載の秘匿計算装置。
【請求項5】
前記所定の表現形式で表されるビット列は、インバーティッドバイポーラ符号で表されるベルヌーイ列である、請求項２に記載の秘匿計算装置。
【請求項6】
前記秘匿計算部は、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの積である積の取得において、前記積を表すビット列の各桁の値を、前記第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と前記第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とを入力とする２入力の論理演算であって前記表現形式に応じた論理演算によって取得する、請求項２から５のいずれか一項に記載の秘匿計算装置。
【請求項7】
前記表現形式が、ユニポーラ符号である場合、前記表現形式に応じた論理演算は、論理積である、請求項６に記載の秘匿計算装置。
【請求項8】
前記表現形式が、バイポーラ符号である場合、前記表現形式に応じた論理演算は、排他的論理和の否定である、請求項６に記載の秘匿計算装置。
【請求項9】
前記秘匿計算部は、前記第１暗号化データと前記第２暗号化データとの和である和の取得においては、前記第１暗号化データを表すビット列と前記第２暗号化データを表すビット列とを連結し、連結の結果を和として取得し、前記第１暗号化データと前記第２暗号化データとは、前記平文の複数ビットが１つの暗号に暗号化された結果である、
請求項１に記載の秘匿計算装置。
【請求項10】
コンピュータにおいて確率計算のための所定の表現形式で表された平文が準同型暗号の方式で暗号化された暗号化データに対し秘匿計算を実行する秘匿計算ステップ、を有し、
前記秘匿計算は、和を取得する処理と積を取得する処理とを含み、
前記秘匿計算ステップは、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの和である和の取得において、前記和を表すビット列の各桁の値を、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する、
秘匿計算方法。
【請求項11】
請求項１から９のいずれか一項に記載の秘匿計算装置としてコンピュータを機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、秘匿計算装置、秘匿計算方法及びプログラムに関する。
本願は、２０１９年１２月２４日に、日本に出願された特願２０１９－２３２７５２号に基づき優先権を主張し、その内容をここに援用する。
本願は、２０１９年１２月２４日に、日本に出願された特願２０１９－２３２７５２号に基づき優先権を主張し、その内容をここに援用する。
【背景技術】
【0002】
近年、クラウドコンピューティングが盛んである。クラウドコンピューティングでは、データがインターネット上に保存されるため、ユーザはインターネットに接続できる環境にあれば場所が固定されることなく計算を実行できるという利点がある。一方、クラウドコンピューティングでは、データがインターネット上に保存されるため、データの漏洩等のセキュリティ上のリスクがある。
【0003】
そこで、セキュリティ上のリスクの軽減のため、秘匿計算が用いられる場合がある。秘匿計算は、暗号化されたデータを復号化することなく計算させる技術である。秘匿計算の暗号方式の一つとして準同型暗号と呼称される暗号を用いた方式がある。準同型暗号には、大別して単演算準同型暗号と、制限付き準同型暗号と、完全準同型暗号との３つの暗号方式がある（特許文献１）。単演算準同型暗号は、データが暗号化されたままで和を取得する加算の処理と積を取得する乗算の処理とのいずれか一方のみを行うことができる暗号方式である。制限付き演算準同型暗号は、データが暗号化されたままで加算の処理と乗算の処理とを行うことができるものの演算回数に制限がある暗号方式である。完全準同型暗号は、データが暗号化されたままで加算の処理と乗算の処理とを行うことができ、演算回数に制限がない暗号方式である。加算の処理と乗算の処理とを演算回数に制限なく実行できればあらゆる計算を行うことができるので、単演算準同型暗号及び制限付き演算準同型暗号よりは完全準同型暗号によって秘匿計算が実行されることが望ましい。
【0004】
そこで、完全準同型暗号による秘密演算を行うための技術として、従来、ブートストラップが用いられる。ブートストラップは、制限付き演算準同型暗号における演算回数の制限をなくすための技術である。より具体的には、制限付き演算準同型暗号で暗号化された情報に対して加算を実行するたびに大きくなるノイズをあるレベルまで削減する技術である。ノイズとは、暗号化の際に挿入されるランダムな要素である。ランダムな要素も加算の処理によって増大する。制限付き演算準同型暗号では、ノイズが所定の閾値を超えると復号化ができなくなるため演算回数に制限がある。この閾値直前まで増大したノイズをある一定のレベルまで削減する技術がブートストラップである。
【先行技術文献】
【非特許文献】
【0005】
【文献】Craig Gentry “A FULLY HOMOMORPHIC ENCRYPTION SCHEME”, A DISSERTATION SUBMITTED TO THE DEPARTMENT OF COMPUTER SCIENCE AND THE COMMITTEE ON GRADUATE STUDIES OF STANFORD UNIVERSITY IN PARTIAL FULFILLMENT OF THE REQUIREMENTS FOR THE DEGREE OF DOCTOR OF PHILOSOPHY, 2009
【発明の概要】
【発明が解決しようとする課題】
【0006】
しかしながら、ブートストラップは演算量が極めて大きく、完全準同型暗号による秘匿計算で要する演算時間はブートストラップによって律速される場合があった。例えば、２００９年頃では、暗号化、乗算、復号化の処理に要する時間がミリ秒程度である中、ブートストラップに要する時間が３０分程度である場合があった。近年は、ブートストラップに要する時間が２００９年時点の時間よりは短縮されているもののブートストラップは依然として演算時間を律速する要因である。このように、従来、和を取得する処理と積を取得する処理とを含む秘匿計算は、復号化されたデータに対して実行される計算に比べて大幅に演算量が増大するという問題があった。
【0007】
上記事情に鑑み、本発明は、和を取得する処理と積を取得する処理とを含む秘匿計算において発生する演算量の増大を抑制する技術を提供することを目的としている。
【課題を解決するための手段】
【0008】
本発明の一態様は、確率計算のための所定の表現形式で表された平文が準同型暗号の方式で暗号化された暗号化データに対し秘匿計算を実行する秘匿計算部、を備え、前記秘匿計算は、和を取得する処理と積を取得する処理とを含み、前記秘匿計算部は、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの和である和の取得において、前記和を表すビット列の各桁の値を、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する、秘匿計算装置である。
【0009】
本発明の一態様は、上記の秘匿計算装置であって、桁の値が所定の確率分布に基づいて決定された２値のいずれか一方の値であるビット列をランダムビット列として、前記ランダムビット列を生成するランダムビット列生成部、を備え、前記秘匿計算部は、和の取得に際して前記ランダムビット列を用い、前記第１暗号化データと前記第２暗号化データとの和である和の取得においては、前記和を表すビット列の各桁の値を、前記ランダムビット列の対応する桁の値に基づき、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する。
【0010】
本発明の一態様は、上記の秘匿計算装置であって、前記所定の表現形式で表されるビット列は、ユニポーラ符号で表されるベルヌーイ列である。
【0011】
本発明の一態様は、上記の秘匿計算装置であって、前記所定の表現形式で表されるビット列は、バイポーラ符号で表されるベルヌーイ列である。
【0012】
本発明の一態様は、上記の秘匿計算装置であって、前記所定の表現形式で表されるビット列は、インバーティッドバイポーラ符号で表されるベルヌーイ列である。
【0013】
本発明の一態様は、上記の秘匿計算装置であって、前記秘匿計算部は、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの積である積の取得において、前記積を表すビット列の各桁の値を、前記第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と前記第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とを入力とする２入力の論理演算であって前記表現形式に応じた論理演算によって取得する。
【0014】
本発明の一態様は、上記の秘匿計算装置であって、前記表現形式が、ユニポーラ符号である場合、前記表現形式に応じた論理演算は、論理積である。
【0015】
本発明の一態様は、上記の秘匿計算装置であって、前記表現形式が、バイポーラ符号である場合、前記表現形式に応じた論理演算は、排他的論理和の否定である。
【0016】
本発明の一態様は、上記の秘匿計算装置であって、前記秘匿計算部は、前記第１暗号化データと前記第２暗号化データとの和である和の取得においては、前記第１暗号化データを表すビット列と前記第２暗号化データを表すビット列とを連結し、連結の結果を和として取得し、前記第１暗号化データと前記第２暗号化データとは、前記平文の複数ビットが１つの暗号に暗号化された結果である。
【0017】
本発明の一態様は、確率計算のための所定の表現形式で表された平文が準同型暗号の方式で暗号化された暗号化データに対し秘匿計算を実行する秘匿計算ステップ、を有し、前記秘匿計算は、和を取得する処理と積を取得する処理とを含み、前記秘匿計算ステップは、第１の前記暗号化データである第１暗号化データと第２の前記暗号化データである第２暗号化データとの和である和の取得において、前記和を表すビット列の各桁の値を、第１暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値と、第２暗号化データを表すビット列であり前記表現形式で表されるビット列の対応する桁の値とのいずれか一方の値に決定する、秘匿計算方法である。
【0018】
本発明の一態様は、上記の秘匿計算装置としてコンピュータを機能させるためのプログラムである。
【発明の効果】
【0019】
本発明により、和を取得する処理と積を取得する処理とを含む秘匿計算において発生する演算量の増大を抑制することが可能となる。
【図面の簡単な説明】
【0020】
【図1】実施形態の秘匿計算システム１００の機能構成の一例を示す図。
【図2】実施形態における端末装置１のハードウェア構成の一例を示す図。
【図3】実施形態における端末装置１が備える制御部１１の機能構成の一例を示す図。
【図4】実施形態における秘匿計算装置２のハードウェア構成の一例を示す図。
【図5】実施形態における秘匿計算装置２が備える制御部２１の機能構成の一例を示す図。
【図6】実施形態における確率秘匿積取得処理を、表現形式がユニポーラである場合を例に説明する説明図。
【図7】実施形態における確率秘匿積取得処理を、表現形式がバイポーラである場合を例に説明する説明図。
【図8】実施形態における秘匿和取得処理を説明する説明図。
【図9】実施形態の秘匿計算システム１００で実行される処理の流れの一例を示すフローチャート。
【図10】実施形態の秘匿計算システム１００の性能評価の実験結果の一例を示す図。
【発明を実施するための形態】
【0021】
（実施形態）
図１は、実施形態の秘匿計算システム１００の機能構成の一例を示す図である。
図１は、実施形態の秘匿計算システム１００の機能構成の一例を示す図である。
【0022】
秘匿計算システム１００は、確率計算のための所定の表現形式で表された平文（以下「確率表現平文」という。）を準同型暗号の方式で暗号化する。秘匿計算システム１００は、準同型暗号の方式で暗号化された確率表現平文（以下「暗号化データ」という。）に対して秘匿計算を実行する。
【0023】
確率計算のための表現形式とは、確率計算表現条件を満たす所定の桁数のビット列（以下「確率表現ビット列」という。）によって対象のデータを表すデータの形式である。確率計算表現条件は、ビット列が絶対値が１以下の値を示すビット列であるという条件を含む。確率計算表現条件は、各ビットが０又は１のいずれか一方の値を有するビット列であるという条件を含む。確率計算表現条件は、ビット列が示す値はビット列中の０又は１の予め定められた一方の値の出現頻度を表すビット列であるという条件を含む。
【0024】
確率表現ビット列は、例えばユニポーラ符号で表されるベルヌーイ列や、バイポーラ符号で表されるベルヌーイ列や、インバーティッドバイポーラ符号で表されるベルヌーイ列である。
【0025】
ユニポーラ符号で表されるベルヌーイ列は、各ビットが０又は１のいずれか一方の値を有するビット列であり、ビット列中の０又は１の予め定められた一方の値の出現頻度を０以上１以下の実数で示すビット列である。ユニポーラ符号で表されるベルヌーイ列は、ビット列中の０又は１の予め定められた一方の値の出現頻度が高いほど、大きい値を示す。
【0026】
バイポーラ符号で表されるベルヌーイ列は、各ビットが０又は１のいずれか一方の値を有するビット列であり、ビット列中の０又は１の予め定められた一方の値の出現頻度を（－１）以上１以下の実数で示すビット列である。バイポーラ符号で表されるベルヌーイ列は、ビット列中の０又は１の予め定められた一方の値の出現頻度が高いほど、大きい値を示す。
【0027】
インバーティッドバイポーラ符号で表されるベルヌーイ列は、各ビットが０又は１のいずれか一方の値を有するビット列であり、ビット列中の０又は１の予め定められた一方の値の出現頻度を（－１）以上１以下の実数で示すビット列である。インバーティッドバイポーラ符号で表されるベルヌーイ列は、バイポーラ符号で表されるベルヌーイ列と異なり、ビット列中の０又は１の予め定められた一方の値の出現頻度が高いほど小さい値を示す。
【0028】
準同型暗号の方式は、加算だけが定義された準同型暗号の方式であってもよいし、乗算だけが定義された準同型暗号の方式であってもよいし、加算と乗算とが定義された準同型暗号の方式であってもよい。準同型暗号の方式は、例えばｉｄｅａｌ格子ベースであってもよいし、整数上完全準同型暗号であってもよいし、Ｒｉｎｇ－ＬＷＥベースであってもよいし、ＲＳＡ暗号方式であってもよいし、Ｐａｉｌｌｅｒ暗号方式であってもよいし、岡本－内山暗号であってもよい。準同型暗号の方式は、例えばＧｏｌｄｗａｓｓｅｒ－Ｍｉｃａｌｉ暗号であってもよいし、ＥｌＧａｍａ暗号であってもよい。準同型暗号の方式は、楕円ＥｌＧａｍａ暗号（ＥＣ ＥｌＧａｍａ暗号）であってもよいし、Ｌｉｆｔｅｄ ＥｌＧａｍａ暗号であってもよいし、Ｌｉｆｔｅｄ ＥＣ ＥｌＧａｍａ暗号であってもよい。
【0029】
秘匿計算システム１００は、端末装置１及び秘匿計算装置２を備える。
端末装置１は、平文に対して表現変換処理を実行する。表現変換処理は、平文のデータの形式を確率計算のための所定の表現形式に変換する処理である。表現変換処理によって、平文は確率表現平文に変換される。表現変換処理が実行される前の平文は、Ｎ進法（Ｎは整数）で表される。表現変換処理が実行される前の平文は、例えば２進法で表される。
端末装置１は、平文に対して表現変換処理を実行する。表現変換処理は、平文のデータの形式を確率計算のための所定の表現形式に変換する処理である。表現変換処理によって、平文は確率表現平文に変換される。表現変換処理が実行される前の平文は、Ｎ進法（Ｎは整数）で表される。表現変換処理が実行される前の平文は、例えば２進法で表される。
【0030】
説明の簡単のため、以下、表現変換処理によって平文がユニポーラ符号で表されるベルヌーイ列に変換される場合、表現形式がユニポーラである、という。また、以下、表現変換処理によって平文がバイポーラ符号で表されるベルヌーイ列に変換される場合、表現形式がバイポーラである、という。また、以下、表現変換処理によって平文がインバーティッドバイポーラ符号で表されるベルヌーイ列に変換される場合、表現形式がインバーティッドバイポーラである、という。
【0031】
端末装置１は、暗号化処理を実行する。暗号化処理は、準同型暗号の方式でデータを暗号化するための所定の鍵（以下「暗号鍵」という。）を用いて確率表現平文を暗号化する処理である。確率表現平文の暗号化によって確率表現平文は暗号化データに変換される。端末装置１は、暗号化データを、ネットワーク９を介して秘匿計算装置２に送信する。
【0032】
端末装置１は、ネットワーク９を介し、秘匿計算装置２の計算結果であって準同型暗号の方式で暗号化されたデータを取得する。端末装置１は、復号化処理を実行する。復号化処理は、暗号鍵の対となる符号化のための鍵（以下「復号鍵」という。）を用いて秘匿計算の結果を示す暗号化データを復号する処理である。
【0033】
秘匿計算装置２は、ネットワーク９を介して端末装置１が送信した暗号化データを受信する。秘匿計算装置２は、暗号化データに対して和を取得する処理と積を取得する処理とを含む所定の秘匿計算（以下「対象秘匿計算」という。）を行う。対象秘匿計算は、確率表現平文が暗号化されたままで実行される計算であって、和を取得する処理と積を取得する処理とを含む計算であればどのような計算であってもよい。対象秘匿計算は、例えば暗号化データを入力データとする機械学習であって、確率表現平文を暗号化したまま所定の機械学習モデルを学習させる機械学習や機械学習における推論である。秘匿計算装置２は、対象秘匿計算の実行結果を端末装置１に送信する。
【0034】
図２は、実施形態における端末装置１のハードウェア構成の一例を示す図である。
端末装置１は、バスで接続されたＣＰＵ（Central Processing Unit）等のプロセッサ９１とメモリ９２とを備える制御部１１を備え、プログラムを実行する。端末装置１は、プログラムの実行によって制御部１１、通信部１２、記憶部１３、入力部１４及び出力部１５を備える装置として機能する。
端末装置１は、バスで接続されたＣＰＵ（Central Processing Unit）等のプロセッサ９１とメモリ９２とを備える制御部１１を備え、プログラムを実行する。端末装置１は、プログラムの実行によって制御部１１、通信部１２、記憶部１３、入力部１４及び出力部１５を備える装置として機能する。
【0035】
制御部１１は、自装置（端末装置１）が備える各機能部の動作を制御する。制御部１１は、例えば表現変換処理を実行する。制御部１１は、例えば暗号化処理を実行する。制御部１１は、例えば復号化処理を実行する。
【0036】
通信部１２は、自装置をネットワーク９に接続するための通信インタフェースを含んで構成される。通信部１２は、ネットワーク９を介して、秘匿計算装置２と通信する。通信部１２は、例えば秘匿計算装置２との通信によって、秘匿計算装置２との間で暗号化データの送受信を行う。通信部１２は、例えば秘匿計算装置２との通信によって秘匿計算装置２に対して、暗号化データを送信する。通信部１２は、例えば秘匿計算装置２との通信によって対象秘匿計算が行われた後の暗号化データを受信する。通信部１２は、ネットワーク９を介して平文を送信する外部装置と通信をすることで、平文を送信する外部装置が送信した平文を取得してもよい。
【0037】
記憶部１３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。記憶部１３は、例えば表現変換処理を実行するプログラムを記憶する。記憶部１３は、例えば暗号化処理を実行するプログラムを記憶する。記憶部１３は、例えば復号化処理を実行するプログラムを記憶する。記憶部１３は、例えば暗号鍵を記憶する。記憶部１３は、例えば復号鍵を記憶する。記憶部２３は、例えば暗号化データを記憶する。
【0038】
入力部１４は、マウスやキーボード、タッチパネル等の入力装置を含んで構成される。入力部１４は、これらの入力装置を自装置に接続するインタフェースとして構成されてもよい。入力部１４は、例えば平文の入力を受け付ける。
【0039】
出力部１５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイ、有機ＥＬ（Electro-Luminescence）ディスプレイ等の表示装置を含んで構成される。出力部１５は、これらの表示装置を自装置に接続するインタフェースとして構成されてもよい。出力部１５は、例えば平文等の入力部１４に入力された情報を表示する。
【0040】
図３は、実施形態における端末装置１が備える制御部１１の機能構成の一例を示す図である。
制御部１１は、平文取得部１１０、表現変換部１２０、暗号化部１３０、復号化部１４０、通信制御部１５０、出力制御部１６０及び表現逆変換部１７０を備える。
制御部１１は、平文取得部１１０、表現変換部１２０、暗号化部１３０、復号化部１４０、通信制御部１５０、出力制御部１６０及び表現逆変換部１７０を備える。
【0041】
平文取得部１１０は、入力部１４又は通信部１２を介して平文を取得する。以下、説明の簡単のため平文が入力部１４に入力される場合を例に秘匿計算システム１００を説明する。
表現変換部１２０は、平文に対して表現変換処理を実行する。表現変換処理の実行によって、平文は確率表現平文に変換される。
表現変換部１２０は、平文に対して表現変換処理を実行する。表現変換処理の実行によって、平文は確率表現平文に変換される。
【0042】
暗号化部１３０は、確率表現平文に対して暗号化処理を実行する。暗号化処理の実行によって、確率表現平文は、暗号化データに変換される。
復号化部１４０は、暗号化データを復号する。復号化されたデータは、確率計算のための所定の表現形式で表された平文である。
復号化部１４０は、暗号化データを復号する。復号化されたデータは、確率計算のための所定の表現形式で表された平文である。
【0043】
通信制御部１５０は、通信部１２の動作を制御する。通信制御部１５０は、通信部１２の動作を制御することで、通信部１２を介して通信先と暗号化データの送受信を行う。
【0044】
出力制御部１６０は、出力部１５の動作を制御する。出力制御部１６０は、出力部１５の動作を制御することで、例えば入力部１４に入力された内容を表示する。
【0045】
表現逆変換部１７０は、復号化部１４０によって復号化されたデータをＮ進法の表現で表される平文に変換する。
【0046】
図４は、実施形態における秘匿計算装置２のハードウェア構成の一例を示す図である。 秘匿計算装置２は、バスで接続されたＣＰＵ（Central Processing Unit）等のプロセッサ９３とメモリ９４とを備える制御部２１を備え、プログラムを実行する。秘匿計算装置２は、プログラムの実行によって制御部２１、通信部２２、記憶部２３、入力部２４及び出力部２５を備える装置として機能する。
【0047】
制御部２１は、自装置（秘匿計算装置２）が備える各機能部の動作を制御する。制御部２１は、例えば対象秘匿計算を実行する。
【0048】
通信部２２は、自装置をネットワーク９に接続するための通信インタフェースを含んで構成される。通信部２２は、ネットワーク９を介して、端末装置１と通信する。通信部２２は、例えば端末装置１との通信によって端末装置１が送信した暗号化データを受信する。また、通信部２２は、例えば端末装置１との通信によって端末装置１に対して、対象秘匿計算が行われた後の暗号化データを送信する。
【0049】
記憶部２３は、磁気ハードディスク装置や半導体記憶装置などの記憶装置を用いて構成される。記憶部２３は、例えば対象秘匿計算のプログラムを記憶する。対象秘匿計算のプログラムは、予め準同型暗号の方式によって暗号化されたプログラムである。そのため、対象秘匿計算における数式の係数等を表す対象秘匿計算における値は、暗号化データである。記憶部２３は、例えば受信した暗号化データを記憶する。記憶部２３は、例えば対象秘匿計算の演算途中の暗号化データを記憶する。記憶部２３は、例えば対象秘匿計算が行われた後の暗号化データを記憶する。
【0050】
入力部２４は、マウスやキーボード、タッチパネル等の入力装置を含んで構成される。入力部２４は、これらの入力装置を自装置に接続するインタフェースとして構成されてもよい。入力部２４は、例えば対象秘匿計算のプログラムの入力を受け付ける。
【0051】
出力部２５は、ＣＲＴ（Cathode Ray Tube）ディスプレイや液晶ディスプレイ、有機ＥＬ（Electro-Luminescence）ディスプレイ等の表示装置を含んで構成される。出力部２５は、これらの表示装置を自装置に接続するインタフェースとして構成されてもよい。出力部２５は、例えば入力部２４に入力された情報を表示する。
【0052】
図５は、実施形態における秘匿計算装置２が備える制御部２１の機能構成の一例を示す図である。
制御部２１は、暗号化データ取得部２１０、ランダムビット列生成部２２０、秘匿計算部２３０、通信制御部２４０及び出力制御部２５０を備える。
暗号化データ取得部２１０は、通信部２２を介して端末装置１が送信した暗号化データを取得する。
制御部２１は、暗号化データ取得部２１０、ランダムビット列生成部２２０、秘匿計算部２３０、通信制御部２４０及び出力制御部２５０を備える。
暗号化データ取得部２１０は、通信部２２を介して端末装置１が送信した暗号化データを取得する。
【0053】
ランダムビット列生成部２２０は、ランダムビット列Ｒを生成する。ランダムビット列Ｒは、各桁の値が０又は１等の２値のいずれか一方の値であるビット列であり、各桁が有する値は所定の確率分布に基づいて決定された値であるビット列である。例えばランダムビット列Ｒに含まれるビットの値は、５０％の確率で１であり、５０％の確率で０である。このような場合、所定の確率分布は、１が出現する確率が５０％であり０が出現する確率が５０％である確率分布である。
【0054】
０と１とが出現する確率は必ずしも、同一でなくてもよい。例えば４０％の確率で１であり、６０％の確率で０であってもよい。このような場合、所定の確率分布は、１が出現する確率が４０％であり０が出現する確率が６０％である確率分布である。以下、説明の簡単のため、ランダムビット列Ｒの各ビットが示す値が０又は１の２値のいずれか一方である場合であって、ビットの値が５０％の確率で１である５０％の確率で０である場合を例に制御部２１を説明する。ランダムビット列生成部２２０が生成したランダムビット列Ｒは秘匿計算部２３０に入力される。
【0055】
秘匿計算部２３０は、暗号化データに対しランダムビット列Ｒを用いて対象秘匿計算を実行する。秘匿計算部２３０は、対象秘匿計算における乗算の処理として、秘匿積取得処理を実行する。秘匿積取得処理は、暗号化データを暗号化したまま２つの暗号化データが示す値の積を示す値（以下「積Ｍ」という。）を取得する処理である。秘匿積取得処理は、例えば確率的数値表現上で、２つの暗号化データが示す値の積を示す値を取得する処理である。暗号化データを生成する際の準同型暗号の方式が予め乗算もしくは加算，もしくはその両方が定義された準同型暗号の方式である場合には、秘匿積取得処理は、予め準同型暗号に対して定義された乗算もしくは加算の方法で積を取得してもよい。以下、２つの暗号化データを第１入力値Ａと第２入力値Ｂとして確率的数値表現上で積Ｍを取得する秘匿積取得処理（以下「確率秘匿積取得処理」という。）をより詳細に説明する。なお、第１入力値Ａを表すビット列の桁数と、第２入力ビット列Ｂを表すビット列の桁数と、積Ｍを表すビット列の桁数とは、同一である。
【0056】
確率秘匿積取得処理は、積Ｍを表すビット列の各桁の値が、第１入力値Ａを表すビット列の対応する桁の値と第２入力値Ｂを表すビット列の対応する桁の値とに基づいて決定される処理である。具体的には、確率秘匿積取得処理において出力される値であって積Ｍを表すビット列の各桁の値は、第１入力値Ａを表すビット列の対応する桁の値と第２入力値Ｂを表すビット列の対応する桁の値とを入力とする２入力の所定の論理演算の結果である。確率秘匿積取得処理は、確率計算のための所定の表現形式に応じた処理である。例えば表現形式がユニポーラ符号である場合、２入力の論理演算は、論理積である。例えば表現形式がバイポーラ符号である場合、２入力の論理演算は、排他的論理和の否定である。
【0057】
図６は、実施形態における確率秘匿積取得処理を、表現形式がユニポーラである場合を例に説明する説明図である。
図６は、２つの暗号化データとして第１入力値Ａと第２入力値Ｂとが入力された場合に、ＡＮＤゲートによって表される処理を用いて積Ｍが取得されることを示す。具体的には、確率秘匿積取得処理では、表現形式がユニポーラである場合、積ビット列ＭＬの各桁の値は、第１入力ビット列ＡＬの対応する桁の値と第２入力ビット列ＢＬの対応する桁の値との論理積である。図６の積ビット列ＭＬは、積Ｍを表す表現形式がユニポーラのビット列である。図６の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がユニポーラのビット列である。図６の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がユニポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ及び積ビット列ＭＬの桁数は、同一である。
図６は、２つの暗号化データとして第１入力値Ａと第２入力値Ｂとが入力された場合に、ＡＮＤゲートによって表される処理を用いて積Ｍが取得されることを示す。具体的には、確率秘匿積取得処理では、表現形式がユニポーラである場合、積ビット列ＭＬの各桁の値は、第１入力ビット列ＡＬの対応する桁の値と第２入力ビット列ＢＬの対応する桁の値との論理積である。図６の積ビット列ＭＬは、積Ｍを表す表現形式がユニポーラのビット列である。図６の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がユニポーラのビット列である。図６の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がユニポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ及び積ビット列ＭＬの桁数は、同一である。
【0058】
図６において、第１入力値Ａは、具体的には（１／２）である。図６において、第１入力値Ａを表すユニポーラ表現形式のビット列である第１入力ビット列ＡＬは、具体的には、１桁目が０、２桁目が０、３桁目が１、４桁目が１の４桁のビット列である。
【0059】
図６において、第２入力値Ｂは、具体的には（１／２）である。図６において、第２入力値Ｂを表すユニポーラ表現形式のビット列である第２入力ビット列ＢＬは、具体的には、１桁目が０、２桁目が１、３桁目が１、４桁目が０の４桁のビット列である。
【0060】
図６において、積Ｍは、具体的には（１／４）である。図６において、積Ｍを表すユニポーラ表現形式のビット列である積ビット列ＭＬは、具体的には、１桁目が０、２桁目が０、３桁目が１、４桁目が０の４桁のビット列である。
【0061】
図６における確率秘匿積取得処理を具体的に説明する。図６では、例えば積ビット列ＭＬの１桁目の値ＶＭ１は、第１入力ビット列ＡＬの１桁目の値ＶＡ１と第１入力ビット列ＢＬの１桁目の値ＶＢ１との論理積である。図６では、例えば積ビット列ＭＬの３桁目の値ＶＭ３は、第１入力ビット列ＡＬの３桁目の値ＶＡ３と第１入力ビット列ＢＬの３桁目の値ＶＢ３との論理積である。
【0062】
図７は、実施形態における確率秘匿積取得処理を、表現形式がバイポーラである場合を例に説明する説明図である。
図７は、２つの暗号化データとして第１入力値Ａと第２入力値Ｂとが入力された場合に、ＸＮＯＲゲートによって表される処理を用いて積Ｍが取得されることを示す。具体的には、確率秘匿積取得処理では、表現形式がバイポーラである場合、積ビット列ＭＬの各桁の値は、第１入力ビット列ＡＬの対応する桁の値と第２入力ビット列ＢＬの対応する桁の値との排他的論理和の否定である。図７の積ビット列ＭＬは、積Ｍを表す表現形式がバイポーラのビット列である。図７の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がバイポーラのビット列である。図７の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がバイポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ及び積ビット列ＭＬの桁数は、同一である。
図７は、２つの暗号化データとして第１入力値Ａと第２入力値Ｂとが入力された場合に、ＸＮＯＲゲートによって表される処理を用いて積Ｍが取得されることを示す。具体的には、確率秘匿積取得処理では、表現形式がバイポーラである場合、積ビット列ＭＬの各桁の値は、第１入力ビット列ＡＬの対応する桁の値と第２入力ビット列ＢＬの対応する桁の値との排他的論理和の否定である。図７の積ビット列ＭＬは、積Ｍを表す表現形式がバイポーラのビット列である。図７の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がバイポーラのビット列である。図７の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がバイポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ及び積ビット列ＭＬの桁数は、同一である。
【0063】
図７において、第１入力値Ａは、具体的には１である。図７において、第１入力値Ａを表すバイポーラ表現形式のビット列である第１入力ビット列ＡＬは、具体的には、１桁目が１、２桁目が１、３桁目が１、４桁目が１の４桁のビット列である。
【0064】
図７において、第２入力値Ｂは、具体的には（－１／２）である。図７において、第２入力値Ｂを表すバイポーラ表現形式のビット列である第２入力ビット列ＢＬは、具体的には、１桁目が０、２桁目が０、３桁目が１、４桁目が０の４桁のビット列である。
【0065】
図７において、積Ｍは、具体的には（－１／２）である。図７において、積Ｍを表すバイポーラ表現形式のビット列である積ビット列ＭＬは、具体的には、１桁目が０、２桁目が０、３桁目が１、４桁目が０の４桁のビット列である。
【0066】
図７における確率秘匿積取得処理を具体的に説明する。図７では、例えば積ビット列ＭＬの１桁目の値ＶＭ１は、第１入力ビット列ＡＬの１桁目の値ＶＡ１と第１入力ビット列ＢＬの１桁目の値ＶＢ１との排他的論理和の否定である。図７では、例えば積ビット列ＭＬの３桁目の値ＶＭ３は、第１入力ビット列ＡＬの３桁目の値ＶＡ３と第１入力ビット列ＢＬの３桁目の値ＶＢ３との排他的論理和の否定である。
ここまでで秘匿計算部２３０が実行する秘匿計算で積が取得される処理の説明を終了する。
ここまでで秘匿計算部２３０が実行する秘匿計算で積が取得される処理の説明を終了する。
【0067】
秘匿計算部２３０は、対象秘匿計算における加算の処理として、Ｎ進法における加算の処理に代えて以下に示す秘匿和取得処理を実行する。秘匿和取得処理は、被使用暗号化方式に依存しない。
【0068】
秘匿和取得処理は、確率的数値表現上で、２つの暗号化データの和を示す値（以下「和Ｓ」という。）を取得する処理である。秘匿和取得処理において２つの暗号化データと和Ｓとは、２値のビットのビット列で表現される。秘匿和取得処理においては、ランダムビット列Ｒが用いられる。以下、説明の簡単のため秘匿和取得処理において入力される２つの暗号化データが第１入力値Ａと第２入力値Ｂとである場合を例に、秘匿和取得処理を説明する。
【0069】
秘匿和取得処理において、第１入力値Ａを表すビット列の桁数と、第２入力値Ｂを表すビット列の桁数と、和Ｓを表すビット列の桁数とは、同一である。秘匿和取得処理において、ランダムビット列Ｒの桁数は、第１入力値Ａを表すビット列の桁数と、第２入力値Ｂを表すビット列の桁数と、和Ｓを表すビット列の桁数以上である。
【0070】
秘匿和取得処理においてランダムビット列Ｒのビットの値は、第１入力値Ａを表すビット列と第２入力値Ｂを表すビット列とのいずれか一方のビット列を示す。秘匿和取得処理におけるランダムビット列Ｒの各桁の値は、より詳細には以下のことを示す。すなわち、第１入力値Ａを表すビット列の対応する桁の値を和Ｓの対応する桁の値の取得のために用いることと、第２入力値Ｂを表すビット列の対応する桁の値を和Ｓの対応する桁の値の取得のために用いることとのいずれか一方を示す。
【0071】
例えばランダムビット列のビットの値は、１が、第１入力値Ａを表すビット列の対応する値が和Ｓの対応する桁の値の取得のために用いられることを示す。例えばランダムビット列のビットの値は、０が、第２入力値Ｂを表すビット列の対応する値が和Ｓの対応する桁の値の取得のために用いられることを示す。
【0072】
以下、説明の簡単のため、ランダムビット列Ｒのビットの値は、１が第１入力値Ａ指示数であり、０が第２入力値Ｂ指示数である場合を例に秘匿和取得処理を説明する。１が第１入力値Ａ指示数であるとは、第１入力値Ａを表すビット列の対応する値が和Ｓの対応する桁の値の取得のために用いられることを示す値が１であることを意味する。０が第２入力値Ｂ指示数であるとは、第２入力値Ｂを表すビット列の対応する値が和Ｓの対応する桁の値の取得のために用いられることを示す値が０であることを意味する。
【0073】
秘匿和取得処理においては、和Ｓを表すビット列の各桁の値が、第１入力値Ａを表すビット列の対応する桁の値と、第２入力値Ｂを表すビット列の対応する桁の値と、ランダムビット列Ｒの対応する桁の値とに基づいて決定される。具体的には、秘匿和取得処理においては、和Ｓを表すビット列の各桁の値は、第１入力値Ａを表すビット列の対応する桁の値と第２入力値Ｂを表すビット列の対応する桁の値とのうち、ランダムビット列Ｒの対応する桁の値が示すビット列に桁の値に決定される。
【0074】
そのため、秘匿和取得処理の結果として取得される和ビット列ＳＬの各桁の値は、第１入力値Ａを表すビット列の対応する桁の値と第２入力値Ｂの対応する桁の値とのうち、ランダムビット列Ｒの対応する桁の値に基づき決定されたいずれか一方の値である。和ビット列ＳＬは、和Ｓを表すビット列である。
【0075】
図８は、実施形態における秘匿和取得処理を説明する説明図である。
図８の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がバイポーラのビット列である。図６の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がバイポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ、和ビット列ＳＬ及びランダムビット列Ｒの桁数は、同一である。
図８の第１入力ビット列ＡＬは、第１入力値Ａを表す表現形式がバイポーラのビット列である。図６の第２入力ビット列ＢＬは、第２入力値Ｂを表す表現形式がバイポーラのビット列である。第１入力ビット列ＡＬ、第２入力ビット列ＢＬ、和ビット列ＳＬ及びランダムビット列Ｒの桁数は、同一である。
【0076】
図８において、第１入力値Ａは、具体的には（１／２）である。図８において、第１入力値Ａを表すバイポーラ表現形式のビット列である第１入力ビット列ＡＬは、具体的には、１桁目が１、２桁目が０、３桁目が１、４桁目が１の４桁のビット列である。
【0077】
図８において、第２入力値Ｂは、具体的には（－１／２）である。図８において、第２入力値Ｂを表すバイポーラ表現形式のビット列である第２入力ビット列ＢＬは、具体的には、１桁目が０、２桁目が０、３桁目が１、４桁目が０の４桁のビット列である。
【0078】
図８において、和Ｓは、具体的には０である。図８において、和Ｓを表すバイポーラ表現形式のビット列である和ビット列ＳＬは、具体的には、１桁目が０、２桁目が１、３桁目が０、４桁目が０の４桁のビット列である。
【0079】
図８においてランダムビット列Ｒは、１桁目が１、２桁目が０、３桁目が１、４桁目が０の４桁のビット列である。なお、この場合、ランダムビット列Ｒの表す値は（１／２）である。
【0080】
図８における秘匿和取得処理を具体的に説明する。図８では、例えば和ビット列ＳＬの１桁目の値ＶＳ１は、ランダムビット列の１桁目の値ＶＲ１が表す値が１であるので、第１入力ビット列ＡＬの１桁目の値ＶＡ１の値である。図８では、例えば和ビット列ＳＬの４桁目の値ＶＳ４は、ランダムビット列の４桁目の値ＶＲ４が表す値が０であるので、第２入力ビット列ＢＬの４桁目の値ＶＢ４の値である。
【0081】
図５の説明に戻る。通信制御部２４０は、通信部２２の動作を制御する。通信制御部２４０は、通信部２２の動作を制御することで、通信部２２を介して通信先と暗号化データの送受信を行う。通信制御部２４０は、例えば秘匿計算部２３０における秘匿計算の結果の暗号化されたデータを、通信部２２を介して、端末装置１に送信する。
【0082】
出力制御部２５０は、出力部２５の動作を制御して、秘匿計算部２３０における秘匿計算の結果の暗号化されたデータを出力してもよい。
【0083】
図９は、実施形態の秘匿計算システム１００で実行される処理の流れの一例を示すフローチャートである。
【0084】
入力部１４を介して端末装置１に平文が入力される（ステップＳ１０１）。次に、平文取得部１１０が、ステップＳ１０１で入力された平文を取得する（ステップＳ１０２）。次に、表現変換部１２０が、平文取得部１１０が取得した平文に対して表現変換処理を実行する（ステップＳ１０３）。表現変換処理の実行によって、平文は確率表現平文に変換される。ステップＳ１０３の次に、暗号化部１３０が確率表現平文を暗号化して暗号化データに変換する（ステップＳ１０４）。次に、通信制御部１５０が、通信部１２を介して暗号化データを秘匿計算装置２に送信する（ステップＳ１０５）。
【0085】
次に、暗号化データ取得部２１０が、通信部２２を介して、端末装置１が送信した暗号化データを取得する（ステップＳ１０６）。次に、秘匿計算部２３０が、秘匿計算を実行する（ステップＳ１０７）。ステップＳ１０７では、対象秘匿計算に応じて、秘匿積取得処理又は秘匿和取得処理が実行される。秘匿計算における秘匿和取得処理の実行時には、まずランダムビット列生成部２２０がランダムビット列Ｒを生成する。
【0086】
次に、生成されたランダムビット列Ｒを用いて、秘匿和取得処理が実行される。ステップＳ１０７の次に、通信制御部２４０が、秘匿計算の計算結果を示す暗号化データを、通信部２２を介して端末装置１に送信する（ステップＳ１０８）。次に、復号化部１４０が通信部１２を介して、秘匿計算の計算結果を示す暗号化データを取得し、復号化する（ステップＳ１０９）。次に、表現逆変換部１７０が復号化されたデータを平文に変換する（ステップＳ１１０）。
【0087】
このように構成された秘匿計算システム１００は、準同型暗号の方式によって暗号化されたデータに対する秘匿計算において、ランダムビット列Ｒを用いて正又は負の２つの値の和を取得する。より具体的には、和Ｓの取得に際して、和Ｓを表すビット列の各桁の値を以下の処理を実行することで取得する。秘匿計算システム１００は、第１入力値Ａを表すビット列であり確率計算における所定の表現形式で表されるビット列の対応する桁の値と、第２入力値Ｂを表すビット列であり確率計算における所定の表現形式で表されるビット列の対応する桁の値とのいずれか一方の値をランダムビット列Ｒに基づいて決定する。決定した値が和Ｓを表すビット列の対応する桁の値である。このように、秘匿計算システム１００は、加算を実行するのではなく、和を表す値を選択することで和Ｓを取得する。
【0088】
ところで、制限付き準同型暗号および完全準同型暗号では、暗号化に際してデータにランダムな要素が追加される。準同型暗号における正又は負の２つの値の和を取得する処理と積を取得する処理が、Ｎ進法の加算で行われる場合には、追加されたランダムな値（以下「ノイズ」という。）が和を取得する処理の実行と積を取得する処理の実行のたびに増大してしまう。一方、秘匿計算システム１００では、正又は負の２つの値の和もしくは積を取得する処理においてＮ進法の加算もしくは乗算を実行するのではなく、値を表すビット列のビットの選択によって和の値もしくは積の値を取得する。このため、秘匿計算システム１００では、和を取得する処理が実行された場合であっても、ノイズが増大することはない。より正確には、秘匿計算システム１００ではノイズがそもそも発生しない。このように秘匿計算システム１００ではノイズが増大しないため、秘匿計算システム１００ではブートストラップの処理が不要である。
【0089】
また、秘匿計算システム１００では、積を取得する処理と和を取得する処理とを実行することができる。積を取得する処理は乗算に相当する。和を取得する処理は加算に相当する。そのため、秘匿計算システム１００は、和を取得する処理と積を取得する処理とを含む秘匿計算の実行が可能であり、なおかつ、秘匿計算において発生する演算量の増大を抑制することができる。
【0090】
なお、秘匿計算システム１００によって演算量の増大が抑制されるのは、上述したようにブートストラップの処理が不要なためである。そのため、秘匿計算システム１００において実行される秘匿計算の方法は、ＨＥＡＡＮ（Homomoriphic Encryption for Arithmetic of Approximate Numbbers）とは異なる方法である。ＨＥＡＡＮは、値を近似する手法である。
【0091】
（実験結果）
秘匿計算システム１００では、上述したようにブートストラップの処理が不要である。そのため、秘匿計算システム１００は、秘匿計算における演算量を表す指標である鍵長を、ブートストラップを用いる完全準同型暗号における鍵長の１０＾（－５）から１０＾（－６）倍まで小さくすることができる。このことが以下に説明する実験結果で示されている。
秘匿計算システム１００では、上述したようにブートストラップの処理が不要である。そのため、秘匿計算システム１００は、秘匿計算における演算量を表す指標である鍵長を、ブートストラップを用いる完全準同型暗号における鍵長の１０＾（－５）から１０＾（－６）倍まで小さくすることができる。このことが以下に説明する実験結果で示されている。
【0092】
＜実験結果＞
秘匿計算システム１００の秘匿計算に関する性能と、他の秘匿計算の方法の秘匿計算に関する性能とを実験結果を用いて説明する。秘匿計算に関する性能は、例えば鍵長である。 実験において秘匿計算システム１００は、ＥＣ ＥｌＧａｍａｌ暗号の暗号方式の元でＩＢＰ（Ｉｎｖｅｒｔｅｄ Ｂｉｐｏｌａｒ）符号を用いて秘匿計算を行った。
秘匿計算システム１００の秘匿計算に関する性能と、他の秘匿計算の方法の秘匿計算に関する性能とを実験結果を用いて説明する。秘匿計算に関する性能は、例えば鍵長である。 実験において秘匿計算システム１００は、ＥＣ ＥｌＧａｍａｌ暗号の暗号方式の元でＩＢＰ（Ｉｎｖｅｒｔｅｄ Ｂｉｐｏｌａｒ）符号を用いて秘匿計算を行った。
【0093】
他の秘匿計算の方法による秘匿計算の１つは、ＥＣ ＥｌＧａｍａｌの暗号方式による加算型準同型暗号（Ａｄｄｉｔｉｖｅ ＨＥ）の方式で暗号化されたデータに対する秘匿計算である。他の秘匿計算の方法による秘匿計算の１つは、Ｒｉｎｇ－ＬＷＥベース暗号の暗号方式による制限付き準同型暗号（ＳＨＥ）の方式で暗号化されたデータに対する秘匿計算である。他の秘匿計算の方法による秘匿計算の１つは、完全準同型暗号（ＴＦＨＥ：Ｔｏｒｕｓ－ｂａｓｅｄ Ｆｕｌｌｙ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ）の方式で暗号化されたデータに対する秘匿計算である。秘匿計算に関する性能は、例えば鍵長である。
【0094】
ＳＨＥは、パラメータに応じて乗算可能な回数の上限が予め定められた暗号方式である。ＳＨＥのパラメータとは、例えば平文空間のサイズである。ＳＨＥのパラメータとは、暗号文空間のサイズであってもよいし、多項式の次数であってもよい。
【0095】
図１０は、実施形態の秘匿計算システム１００の秘匿計算に関する性能評価の実験結果の一例を示す図である。図１０は、秘匿計算に関する性能としてＮｕｍｂｅｒ ｏｆ Ｍｕｌｔ．と鍵長とを示す。Ｎｕｍｂｅｒ ｏｆ Ｍｕｌｔ．は、被使用ＳＨＥパラメータが用いられたＳＨＥで実行可能な乗算回数の上限を表す。被使用ＳＨＥパラメータは以下、実験に用いたＳＨＥのパラメータである。Ｎ／Ａは、乗算が実行できないことを意味する。
【0096】
図１０は、ＥＣ ＥｌＧａｍａｌの暗号方式による加算型準同型暗号（Ａｄｄｉｔｉｖｅ ＨＥ）の方式で暗号化されたデータに対する秘匿計算（以下「ＡＨＥ計算」という。）の性能を示す。図１０に示すＡＨＥ計算の結果は、参考文献１に記載の結果である。参考文献１によれば、図１０に示すように、ＡＨＥ計算におけるＮｕｍｂｅｒ ｏｆ Ｍｕｌｔ．がＮ／Ａであり、ＡＨＥ計算における鍵長が２５６ビットである。
【0097】
参考文献１：Ilaria Chillotti, Nicolas Gama, Maria Georgieva, and Malika Izabachene, “TFHE: Fast Fully Homomorphic Encryption Over the Torus”, Journal of Cryptology, ２５、Ａｐｒｉｌ、２０１９
【0098】
図１０は、Ｒｉｎｇ－ＬＷＥベース暗号の暗号方式による制限付き準同型暗号（ＳＨＥ）の方式で暗号化されたデータに対する秘匿計算（以下「ＳＨＥ計算」という。）の性能を示す。図１０に示すＳＨＥ計算の結果は、参考文献１に記載の結果である。参考文献１によれば、図１０に示すように、ＳＨＥ計算におけるＮｕｍｂｅｒ ｏｆ Ｍｕｌｔ．は１以上１５未満である。参考文献１によれば、図１０に示すように、ＳＨＥ計算における最短の鍵長は２０キロビットであり最長の鍵長は１３メガビットである。参考文献１によれば、図１０に示す結果は、Ｔａｂ．１のｔ＝２の場合に相当するＳＨＥ計算の結果である。Ｔａｂ．１のｔ＝２の場合に相当するとは、平文０又は１のいずれか一方で与えられる場合に相当するという意味である。
【0099】
図１０は、完全準同型暗号（ＴＦＨＥ）の方式で暗号化されたデータに対する秘匿計算（以下「ＴＦＨＥ計算」という。）の性能を示す。図１０に示すＴＦＨＥ計算の結果は、参考文献１に記載の結果である。参考文献１によれば、図１０に示すように、ＴＦＨＥ計算におけるＮｕｍｂｅｒ ｏｆ Ｍｕｌｔ．は無限であり、鍵長は１６メガビットである。参考文献１によれば、図１０に示すように、ＴＦＨＥ計算では、各ビットに対するブートストラップの処理に１３ミリ秒の時間を要した。
【0100】
図１０は、秘匿計算システム１００によって秘匿計算を実行する実験（以下「秘匿計算性能評価実験」という。）の結果得られた秘匿計算システム１００が実行する秘匿計算に関する性能（以下「秘匿計算性能」という。）を示す。図１０において、秘匿計算性能評価実験の結果得られた秘匿計算性能は囲いＤ１０１に示されている。図１０は、秘匿計算性能評価実験の結果得られた秘匿計算性能についてＮｕｍｂｅｒ ｏｆ Ｍｕｌｔ．が無限であり、鍵長が２５６ビットであったことを示す。図１０は、秘匿計算性能評価実験では、平文の復号化に際して確率計算によって発生するノイズが含まれていたことを示す。
【0101】
（変形例）
端末装置１及び秘匿計算装置２は、ネットワークを介して通信可能に接続された複数台の情報処理装置を用いて実装されてもよい。この場合、端末装置１及び秘匿計算装置２が備える各機能部は、複数の情報処理装置に分散して実装されてもよい。例えばランダムビット列生成部２２０と、暗号化データ取得部２１０、秘匿計算部２３０及び出力制御部２５０とはそれぞれ異なる情報処理装置に実装されてもよい。
端末装置１及び秘匿計算装置２は、ネットワークを介して通信可能に接続された複数台の情報処理装置を用いて実装されてもよい。この場合、端末装置１及び秘匿計算装置２が備える各機能部は、複数の情報処理装置に分散して実装されてもよい。例えばランダムビット列生成部２２０と、暗号化データ取得部２１０、秘匿計算部２３０及び出力制御部２５０とはそれぞれ異なる情報処理装置に実装されてもよい。
【0102】
端末装置１と秘匿計算装置２とは、必ずしも異なる装置として実装される必要は無い。例えば端末装置１と秘匿計算装置２とは両者の機能を併せ持つ１つの装置として実装されてもよい。
【0103】
なお、端末装置１及び秘匿計算装置２の各機能の全て又は一部は、ＡＳＩＣ（Application Specific Integrated Circuit）やＰＬＤ（Programmable Logic Device）やＦＰＧＡ（Field Programmable Gate Array）等のハードウェアを用いて実現されてもよい。プログラムは、コンピュータ読み取り可能な記録媒体に記録されてもよい。コンピュータ読み取り可能な記録媒体とは、例えばフレキシブルディスク、光磁気ディスク、ＲＯＭ、ＣＤ－ＲＯＭ等の可搬媒体、コンピュータシステムに内蔵されるハードディスク等の記憶装置である。プログラムは、電気通信回線を介して送信されてもよい。
【0104】
なお、図８における第１入力値Ａは、第１暗号化データの一例である。図８における第２入力値Ｂは、第２暗号化データの一例である。なお、確率的数値表現上で積を示す値を取得するとは、確率的数値表現における積を取得することを意味する。なお、確率的数値表現上で和を示す値を取得するとは、確率的数値表現における和を取得することを意味する。
【0105】
なお、暗号化部１３０は、表現変換部１２０によって得られた確率表現平文に対する暗号化に際して、必ずしも確率表現平文の各ビットを個別に１つの暗号に暗号化する必要は無い。暗号化部１３０は、複数ビットをまとめて１つの暗号に暗号化してもよい。
【0106】
確率表現平文の複数ビットをまとめて１つの暗号に暗号化するとは、例えば確率表現平文のＵビット（Ｕは２以上の整数）をＵ次元ベクトルと見なし、Ｕ次元ベクトルを１つの暗号に暗号化することである。なお、ＵビットをＵ次元ベクトルと見なすとは、Ｕビットを１つの情報として情報処理の対象に用いることを意味する。なお、確率表現平文の複数ビットをまとめて１つの暗号に暗号化するとは、例えば確率表現平文のＵビットをＵ次の多項式と見なし、Ｕ次元の多項式を１つの暗号に暗号化してもよい。なお、ＵビットをＵ次元の多項式と見なすとは、Ｕビットを１つの情報として情報処理の対象に用いることを意味する。
【0107】
このようにＵビットをまとめて１つの暗号に暗号化する場合、暗号化部１３０が暗号化に要する演算量は、確率表現平文の各ビットを個別に１つの暗号に暗号化する場合の演算量の１／Ｎである。そのため、確率表現平文の複数ビットをまとめて１つの暗号に暗号化することで、暗号化に要する演算量が削減される。
【0108】
またこのようにＵビットがまとめて１つの暗号に暗号化される場合、秘匿計算部２３０における計算量も１／Ｎである。そのため、確率表現平文の複数ビットをまとめて１つの暗号に暗号化することで、秘匿計算に要する演算量が削減される。
【0109】
以下、確率表現平文の複数ビットをまとめて１つの暗号に暗号化する処理を、パッキング処理という。パッキング処理によって生成された暗号化データに対する和を取得する処理は、図８に示す処理に代えて以下に説明する連結型ストカスティック加算が実行される。
【0110】
＜連結型ストカスティック加算＞
秘匿計算部２３０においては、連結型ストカスティック加算が実行されてもよい。連結ストカスティック加算は、確率的数値表現上で２つの暗号化データの和を示す値である和Ｓを取得する処理であるものの、図８に示す処理と異なりランダムビット列Ｒを用いない処理である。
秘匿計算部２３０においては、連結型ストカスティック加算が実行されてもよい。連結ストカスティック加算は、確率的数値表現上で２つの暗号化データの和を示す値である和Ｓを取得する処理であるものの、図８に示す処理と異なりランダムビット列Ｒを用いない処理である。
【0111】
連結ストカスティック加算では、Ｖビットの暗号化データとＷビットの暗号化データとの和を示す値を取得する際に、Ｖビットの暗号化データとＷビットの暗号化データとを連結する処理（以下「連結処理」という。）が実行される。連結処理は、具体的にはＶビットの暗号化データとＷビットの暗号化データとを連結し、（Ｖ＋Ｗ）ビットのデータを生成する処理である。
【0112】
連結処理は、例えば“１０１１”という暗号化データと“０１０１”という暗号化データとを連結する場合、“１０１１”という暗号化データと“０１０１”という暗号化データとを用いて“１０１１０１０１”という８ビットのデータを生成する処理である。
【0113】
連結処理は、例えば“０１００”という暗号化データと“１１１１”という暗号化データとを連結する場合、“０１００”という暗号化データと“１１１１”という暗号化データとを用いて“０１００１１１１”という８ビットのデータを生成する処理である。
【0114】
このように連結処理は、和の対象となる２つの暗号化データについて、一方の暗号化データを表すビット列の末尾に、他方の暗号化データを表すビット列を繋げる処理である。
【0115】
連結型ストカスティック加算では、連結処理によって生成されたデータが和Ｓである。そのため、秘匿計算部２３０は、連結の結果を和として取得する。
【0116】
確率的数値表現が表す各データは、０又は１の出現確率を表す情報ともみなせる。そのため、例えば４ビットの情報Ｑと４ビットの情報Ｐとを連結する連結処理が実行される場合、実行結果のデータにおける０と１との各出現確率は、情報Ｑにおける出現確率と情報Ｐにおける出現確率との平均である。平均は分子が和の取得の処理に相当するため、連結処理は、２つのデータの和を取得する処理に相当する。
【0117】
なお、秘匿計算部２３０において連結型ストカスティック加算が実行される場合、積を取得する処理は積を取得可能であればどのような処理であってもよく、例えば確率秘匿積取得処理である。
【0118】
なお連結型ストカスティック加算で用いられる暗号化データはパッキング処理によって生成されたデータであるので、平文の複数ビットが１つの暗号に暗号化された結果である。
【0119】
なお、第１パッキングデータと第２パッキングデータとの和を取得する連結型ストカスティック加算の処理は、和を表すビット列の各桁の値を第１パッキングビット列の対応する桁の値と第２パッキングビット列の対応する桁の値とのいずれか一方の値に決定する処理の一例である。第１パッキングデータは、パッキング処理によって生成された暗号化データである。したがって第１暗号化データの一例である。第２パッキングデータは、パッキング処理によって生成された暗号化データである。したがって第２暗号化データの一例である。第１パッキングビット列は、第１パッキングデータを表すビット列であり確率的数値表現の表現形式で表されるビット列である。第２パッキングビット列は、第２パッキングデータを表すビット列であり確率的数値表現の表現形式で表されるビット列である。
【0120】
以上、この発明の実施形態について図面を参照して詳述してきたが、具体的な構成はこの実施形態に限られるものではなく、この発明の要旨を逸脱しない範囲の設計等も含まれる。
【符号の説明】
【0121】
１…端末装置、 ２…秘匿計算装置、 ９…ネットワーク、 １００…秘匿計算システム、 １１…制御部、 １２…通信部、 １３…記憶部、 １４…入力部、 １５…出力部、 ９１…プロセッサ、 ９２…メモリ、 １１０…平文取得部、 １２０…表現変換部、 １３０…暗号化部、 １４０…復号化部、 １５０…通信制御部、 １６０…出力制御部、 １７０…表現逆変換部、 ２１…制御部、 ２２…通信部、 ２３…記憶部、 ２４…入力部、 ２５…出力部、 ９３…プロセッサ、 ９４…メモリ、 ２１０…暗号化データ取得部、 ２２０…ランダムビット列生成部、 ２３０…秘匿計算部、 ２４０…通信制御部、 ２５０…出力制御部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】