特表 2024-517596 準同型暗号化システムにおけるインメモリ計算

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】公表特許公報(A)

(11)【公表番号】

(43)【公表日】2024-04-23

(54)【発明の名称】準同型暗号化システムにおけるインメモリ計算

(51)【国際特許分類】

   H04L 9/30 20060101AFI20240416BHJP

   G06N 3/065 20230101ALI20240416BHJP

【ＦＩ】

H04L9/30 Z

G06N3/065

【審査請求】未請求

【予備審査請求】未請求

(21)【出願番号】P 2023562611

(86)(22)【出願日】2022-05-08

(85)【翻訳文提出日】2023-10-11

(86)【国際出願番号】 IB2022054255

(87)【国際公開番号】W WO2022243781

(87)【国際公開日】2022-11-24

(31)【優先権主張番号】17/321,538

(32)【優先日】2021-05-17

(33)【優先権主張国・地域又は機関】US

(81)【指定国・地域】

(71)【出願人】

【識別番号】390009531

【氏名又は名称】インターナショナル・ビジネス・マシーンズ・コーポレーション

【氏名又は名称原語表記】ＩＮＴＥＲＮＡＴＩＯＮＡＬ ＢＵＳＩＮＥＳＳ ＭＡＣＨＩＮＥＳ ＣＯＲＰＯＲＡＴＩＯＮ

【住所又は居所原語表記】Ｎｅｗ Ｏｒｃｈａｒｄ Ｒｏａｄ， Ａｒｍｏｎｋ， Ｎｅｗ Ｙｏｒｋ １０５０４， Ｕｎｉｔｅｄ Ｓｔａｔｅｓ ｏｆ Ａｍｅｒｉｃａ

(74)【代理人】

【識別番号】100112690

【弁理士】

【氏名又は名称】太佐 種一

(74)【代理人】

【識別番号】100120710

【弁理士】

【氏名又は名称】片岡 忠彦

(74)【復代理人】

【識別番号】110000877

【氏名又は名称】弁理士法人ＲＹＵＫＡ国際特許事務所

(72)【発明者】

【氏名】サシダラン ラージャレクシュミ、ナンダクマール

(72)【発明者】

【氏名】エレフテリオウ、エヴァンゲロス スタブロス

(72)【発明者】

【氏名】ベルガマスキ、フラヴィオ エー．

(57)【要約】

一手法において、プロセスは、アレイのワード線及びビット線のそれぞれの対間に接続されたバイナリアナログメモリセルの少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納し、ここで：各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納され、行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される。暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、プロセスは、要素の多項式係数のセットを、ユニットのそれぞれのワード線にビット単位で供給して、それぞれのビット線におけるアナログ累算信号を得る。プロセスは、アナログ信号をデジタルに変換する。プロセスは、ステージのそれぞれにおいて多項式係数の連続ビットから得られたデジタル信号を処理して、暗号要素の計算結果を得る。

【特許請求の範囲】

【請求項1】

バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納する段階、ここで：
各マルチビット値のビットがワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットがビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給し、それぞれのビット線におけるアナログ累算信号を得る段階；
前記アナログ累算信号をデジタル信号に変換する段階；及び
前記１つ又は複数の計算ステージのそれぞれにおいて前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得る段階
を備える、コンピュータ実装方法。

【請求項2】

前記ワード線にビット単位で供給される前記多項式係数の各ビットについて、前記行列の列内に値を格納するセルに接続されたビット線のセットから得られた前記デジタル信号を、前記値の連続ビット位置に対応する連続ビットシフトで累算する段階；及び
前記多項式係数の前記連続ビットの前記デジタル信号を、前記多項式係数の連続ビット位置に対応する連続ビットシフトで累算する段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項3】

第１の暗号要素ｃ_１の前記計算結果は、多項式乗算ｃ_１ｃ_２の結果であり、ｃ_２は、第２の暗号要素であり、
前記第２の暗号要素ｃ_２の多項式係数を、前記行列の第１の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニットに格納する段階；
連続する計算ステージにおいて、要素ｃ_１の多項式係数を、ｃ_２の係数を格納するセルに接続されたワード線のセットに対して、ｃ_１の係数が前記ワード線のセット内のワード線にビット単位で供給されるまで徐々にシフトする段階；及び
前記計算ステージのそれぞれにおいて、ｃ_２の前記係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果を得る段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項4】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得る段階、ここで、ｐは、準同型暗号化システムの予め定められた素数である
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項5】

少なくとも１つのさらなる暗号要素ｃについて：
要素ｃの多項式係数を、前記行列のさらなる列内のそれぞれのマルチビット値として、前記ワード線のセットに接続されたセル内に格納する段階；及び
前記計算ステージのそれぞれにおいて、ｃの前記多項式係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、さらなる多項式乗算ｃ_１ｃのさらなる結果を得る段階
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項6】

前記第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり；
前記第１の暗号要素ｃ_１は、対応する公開鍵によって暗号化された暗号文（ｃ_０，ｃ_１）の要素であり；
ｃ_０は、別の暗号要素であり；
多項式乗算ｃ_１ｓの結果を得る段階の後、ｃ_１ｓ及びｃ_０の合計を計算して、前記暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得る段階をさらに備え、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である、請求項３に記載のコンピュータ実装方法。

【請求項7】

インメモリロジックアレイにおいて前記合計を計算する段階
をさらに備える、請求項６に記載のコンピュータ実装方法。

【請求項8】

ニューラルネットワークの推論モデルの暗号化された重みｗは、それぞれの暗号要素ｃ_ｗを有し、各要素ｃ_ｗの多項式係数は、前記行列の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニット内に格納され；
推論演算において重み付けされ、ニューラルネットワークを通じて伝播される暗号化されたデータ値ｄは、重みｗによってデータ値ｄを重み付けするために多項式乗算ｃ_ｄｃ_ｗを必要とするそれぞれの暗号要素ｃ_ｄを有し；
前記推論演算において各多項式乗算ｃ_ｄｃ_ｗを実行する段階、ここで、ｃ_ｄは、前記第１の暗号要素ｃ_１に対応し、ｃ_ｗは、前記第２の暗号要素ｃ_２に対応する；
暗号化されたデータ値が前記ニューラルネットワークを通じて伝播されるときに多項式乗算ｃ_ｄｃ_ｗの前記結果を処理して、前記推論モデルから暗号化された推論結果を得る段階
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項9】

前記ニューラルネットワークを通じた伝播のために複数の重みｗ_{ｊ＝１～Ｌ}によって重み付けされる暗号化されたデータ値ｄについて、対応する複数の多項式乗算

【数11】

を必要とし、各要素

【数12】

の前記係数は、前記要素

【数13】

に対するワード線の共通のセットに接続されたセル内の前記行列のそれぞれの列内に格納され；
多項式乗算

【数14】

の前記結果は、要素ｃ_ｄの前記係数をそのワード線のセットに対して、ｃ_ｄの係数が前記セット内のワード線にビット単位で供給されるまで徐々にシフトさせることによって得られる
請求項８に記載のコンピュータ実装方法。

【請求項10】

ｎ個の多項式係数をそれぞれ有する第１の暗号要素ｃ_１及び第２の暗号要素ｃ_２の多項式乗算ｃ_１ｃ_２を計算するために、ここで、マルチビット値の前記行列は、ｅ_ｉ，ｊ＝ｋ^ｉ×ｊ ｍｏｄｕｌｏ ｐによって与えられる、値ｅ_ｉ，ｊ、ｉ＝０～（ｎ－１）、ｊ＝０～（ｎ－１）を有する離散フーリエ変換行列Ｍ_１を含み、ここで、ｋ^Ｎ＝１ ｍｏｄｕｌｏ ｐ、Ｎ≧ｎであり、ｐは、準同型暗号化システムの予め定められた素数である、
Ｍ_１に対応する逆離散フーリエ変換行列Ｍ_２を、マルチビット値のさらなる行列として、前記アナログ乗累算ユニットのさらなるクロスバーアレイに格納する段階；
要素ｃ_１のｎ個の係数を、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給するとともに、前記係数の連続ビットから得られた前記デジタル信号を処理して、要素ｃ_１の前記係数の離散フーリエ変換Ｔ（ｃ_１）を得る段階；
要素ｃ_２のｎ個の係数を、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給するとともに、前記係数の連続ビットから得られた前記デジタル信号を処理して、要素ｃ_２の前記係数の離散フーリエ変換Ｔ（ｃ_２）を得る段階；
Ｔ（ｃ_１）及びＴ（ｃ_２）の対応するコンポーネントのコンポーネント単位の乗算を実行して、暗号要素ｃ_３の前記係数の別の離散フーリエ変換Ｔ（ｃ_３）を得る段階；及び
Ｔ（ｃ_３）の前記コンポーネントを、Ｍ_２に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給して、前記ビット線におけるアナログ累算信号を得て、前記アナログ累算信号をデジタル信号に変換し、前記コンポーネントの連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算の結果ｃ_３＝ｃ_１ｃ_２を得る段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項11】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得る段階をさらに備え、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である
請求項１０に記載のコンピュータ実装方法。

【請求項12】

インメモリロジックアレイを使用する前記計算に必要とされる暗号要素の（ｉ）加算、（ｉｉ）減算、（ｉｉｉ）スケーリング、及び（ｉｖ）コンポーネント単位の乗算からなる群から選択される演算を実行する段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項13】

前記バイナリアナログメモリセルは、アナログスタティックランダムアクセスメモリ（ＳＲＡＭ）セルを含む、請求項１に記載のコンピュータ実装方法。

【請求項14】

暗号要素がマルチビット係数を有する多項式によって表される準同型暗号化システムを備え、前記準同型暗号化システムは、バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニット、１つ又は複数のコンピュータ可読記憶媒体、及び実行のために前記１つ又は複数のコンピュータ可読記憶媒体上に集合的に格納されたプログラム命令を有し、前記プログラム命令は、
前記少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続されたバイナリアナログメモリセルの少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納するプログラム命令、ここで、
各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを、前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給して、それぞれのビット線におけるアナログ累算信号を得るプログラム命令；
前記アナログ累算信号をデジタル信号に変換するプログラム命令；及び
前記１つ又は複数の計算ステージのそれぞれにおいて、前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得るプログラム命令
を含む、コンピュータシステム。

【請求項15】

前記ワード線にビット単位で供給される前記多項式係数の各ビットについて、前記行列の列内に値を格納するセルに接続されたビット線のセットから得られた前記デジタル信号を、前記値の連続ビット位置に対応する連続ビットシフトで累算するプログラム命令；及び
前記多項式係数の前記連続ビットの前記デジタル信号を、前記多項式係数の連続ビット位置に対応する連続ビットシフトで累算するプログラム命令
をさらに備える、請求項１４に記載のコンピュータシステム。

【請求項16】

第１の暗号要素ｃ_１の前記計算結果は、多項式乗算ｃ_１ｃ_２の結果であり、ｃ_２は、第２の暗号要素であり、
前記第２の暗号要素ｃ_２の多項式係数を、前記行列の第１の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニットに格納するプログラム命令；
連続する計算ステージにおいて、要素ｃ_１の前記多項式係数を、ｃ_２の係数を格納するセルに接続されたワード線のセットに対して、ｃ_１の係数が前記ワード線のセット内のワード線にビット単位で供給されるまで徐々にシフトさせるプログラム命令；及び
前記計算ステージのそれぞれにおいて、ｃ_２の前記係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果を得るプログラム命令
をさらに備える、請求項１４に記載のコンピュータシステム。

【請求項17】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得るプログラム命令、ここで、ｐは、準同型暗号化システムの予め定められた素数である
をさらに備える、請求項１６に記載のコンピュータシステム。

【請求項18】

少なくとも１つのさらなる暗号要素ｃについて：
要素ｃの多項式係数を、前記行列のさらなる列内のそれぞれのマルチビット値として、前記ワード線のセットに接続されたセルに格納するプログラム命令；及び
前記計算ステージのそれぞれにおいて、ｃの前記多項式係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、さらなる多項式乗算ｃ_１ｃのさらなる結果を得るプログラム命令
をさらに備える、請求項１６に記載のコンピュータシステム。

【請求項19】

前記第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり；
前記第１の暗号要素ｃ_１は、対応する公開鍵によって暗号化された暗号文（ｃ_０，ｃ_１）の要素であり；
ｃ_０は、別の暗号要素であり；
多項式乗算ｃ_１ｓの結果を得た後、ｃ_１ｓ及びｃ_０の合計を計算して、前記暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得るプログラム命令、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である
をさらに備える、請求項１６に記載のコンピュータシステム。

【請求項20】

１つ又は複数のコンピュータ可読記憶媒体、及び前記１つ又は複数のコンピュータ可読記憶媒体上に集合的に格納されたプログラム命令を備え、前記プログラム命令は、
バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納するプログラム命令、ここで：
各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを、前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給して、それぞれのビット線におけるアナログ累算信号を得るプログラム命令；
前記アナログ累算信号をデジタル信号に変換するプログラム命令；及び
前記１つ又は複数の計算ステージのそれぞれにおいて前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得るプログラム命令
を含む、コンピュータプログラム製品。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、包括的には、準同型暗号化システムにおける計算の分野に関し、より詳細には、インメモリ計算アーキテクチャを使用して準同型暗号化システムにおける計算を実行する手法に関する。

【0002】

準同型暗号化は、暗号化されたデータに対する計算を可能にする。現在実行可能な準同型暗号化スキームは、基本的な暗号要素、例えば、暗号鍵、暗号文、暗号化されるメッセージデータ等の要素を表す多項式を使用する。これらの多項式は、通常、非常に大きな次数（例えば、１０２４）であり、多項式係数は、それぞれ多数（例えば、３００～８００）のビットによって表される。これらの要素に対する計算は、高精度で実行しなければならず、極度に計算集約的である。例えば、Ｏ（Ｎ^２）における次数Ｎの２つの多項式間の乗算の複雑性は非常に非効率である。この非効率性に対処するために、準同型暗号化アルゴリズムは、高速フーリエ変換（Ｆａｓｔ Ｆｏｕｒｉｅｒ Ｔｒａｎｓｆｏｒｍ：ＦＦＴ）を使用して、多項式乗算の複雑性をＯ（ＮｌｏｇＮ）まで低減している。しかしながら、これは、依然として計算に大きな制約を呈する。

【0003】

インメモリ計算は、メモリセルのアレイを利用して、計算メモリユニットにおいて特定の計算タスクをその場で実行する技法を指す。 "Ｃｏｍｐｕｔｉｎｇ－ｉｎ－Ｍｅｍｏｒｙ ｆｏｒ Ｐｅｒｆｏｒｍａｎｃｅ ａｎｄ Ｅｎｅｒｇｙ－Ｅｆｆｉｃｉｅｎｔ Ｈｏｍｏｍｏｒｐｈｉｃ Ｅｎｃｒｙｐｔｉｏｎ"，Ｒｅｉｓ ｅｔ ａｌ．，ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ ｏｎ Ｖｅｒｙ Ｌａｒｇｅ Ｓｃａｌｅ Ｉｎｔｅｇｒａｔｉｏｎ（ＶＬＳＩ） Ｓｙｓｔｅｍｓ，Ｖｏｌｕｍｅ ２８，Ｉｓｓｕｅ １１，Ｎｏｖ． ２０２０、及び"ＣｒｙｐｔｏＰＩＭ：Ｉｎ－Ｍｅｍｏｒｙ Ａｃｃｅｌｅｒａｔｉｏｎ ｆｏｒ Ｌａｔｔｉｃｅ－ｂａｓｅｄ Ｃｒｙｐｔｏｇｒａｐｈｉｃ Ｈａｒｄｗａｒｅ"，Ｎｅｊａｔｏｌｌａｈｉ ｅｔ ａｌ．，５７ｔｈ ＡＣＭ／ＩＥＥＥ Ｄｅｓｉｇｎ Ａｕｔｏｍａｔｉｏｎ Ｃｏｎｆｅｒｅｎｃｅ（ＤＡＣ），Ｊｕｌｙ ２０２０は、暗号計算のためのインメモリ計算ハードウェアを提案している。これらの提案は、バイナリロジックがメモリセルのアレイに組み込まれたインメモリロジックアレイを使用して、暗号計算のための特定の計算を実装する。これらのシステムは、処理速度の点でいくらかの改善をもたらすが、準同型暗号化システムにおいて計算を実装する改善された技法が非常に望まれている。

【発明の概要】

【0004】

本発明の第１の態様は、暗号要素がマルチビット係数を有する多項式によって表される準同型暗号化システムにおける計算の方法を提供する。本方法は、アレイのワード線及びビット線のそれぞれの対間に接続されたバイナリアナログメモリセルの少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納することを含む。各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納され、行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される。暗号要素に対する１つ又は複数の計算ステージのそれぞれにおいて、その要素の多項式係数のセットは、ユニットのそれぞれのワード線にビット単位で供給され、ビット線上のアナログ累算信号が得られる。本方法は、アナログ累算信号をデジタル信号に変換すること、及び、計算ステージのそれぞれにおいて係数の連続ビットから得られたデジタル信号を処理して、暗号要素に必要とされる計算結果を得ることをさらに含む。

【0005】

多項式係数がバイナリアナログセルのアレイにビット単位で供給される計算にアナログ乗累算ユニットを活用することにより、本発明を具現化する方法は、準同型暗号化システムに必要とされる高精度で暗号要素に対して非常に高速の計算をもたらす。上記参照のインメモリロジックアレイとは異なり、ビット単位のベクトル－行列乗算の結果は、アレイのビット線上に累算されるため、暗号計算の複雑性及び計算時間が著しく低減される。

【0006】

本発明の実施形態は、準同型暗号化システムにおける様々な計算の効率的な実装を提供する。一実施形態は、第１の暗号要素ｃ_１及び第２の暗号要素ｃ_２の間の多項式乗算ｃ_１ｃ_２の結果を計算する。この方法は、要素ｃ_２の多項式係数を、行列の列内のそれぞれのマルチビット値として、乗累算ユニットに格納することを含む。連続計算ステージにおいて、要素ｃ_１の係数は、ｃ_１の全ての係数がそのセット内の全てのワード線にビット単位で供給されるまで、ｃ_２の係数を格納するセルに接続されたワード線のセットに対して徐々にシフトされる。ステージのそれぞれにおいて、ｃ_２の係数を格納するセルに接続されたビット線のセットから、及びｃ_１の係数の連続ビットから得られたデジタル信号は、処理されて、多項式乗算ｃ_１ｃ_２の結果が得られる。ここでは、この結果は、通常、ｃ_１ｃ_２ ｍｏｄｕｌｏ ｐとして計算され、ここで、ｐは、準同型暗号化システムの予め定められた素数である。これにより、多項式暗号要素の乗算に特に効率的な技法が提供される。さらに、下記により詳細に説明されるように、複数の多項式乗算を乗累算ユニットにおいて並列して実行することができる。

【0007】

多項式乗算技法は、準同型復号に特に有利に適用することができる。ここで、第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり、第１の暗号要素ｃ_１は、対応する公開鍵で暗号化された暗号文（ｃ_０，ｃ_１）の要素であり、ここで、ｃ_０は、別の暗号要素である。この方法は、多項式乗算ｃ_１ｓの結果が得られた後、ｃ_１ｓ及び要素ｃ_０の合計を計算して、暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得ることを含む。秘密鍵ｓは、比較的静的であり、すなわち、システムの動作中に頻繁に変化せず、乗累算ユニットにこの要素を格納することにより、全ての入力暗号文の迅速な復号を可能にする。複数の暗号文を並列して復号することもでき、これにより、高効率の準同型復号エンジンが提供される。実施形態は、ハイブリッドシステムを利用することもでき、それにより、乗累算ユニットにおいて多項式乗算が実行され、合計ｃ_０＋ｃ_１ｓは、インメモリロジックアレイを使用して計算される。

【0008】

多項式乗算技法は、暗号化されたデータにおける準同型推論を実行するのに使用することもできる。ここで、ニューラルネットワーク推論モデルの暗号化された重みｗは、それぞれの暗号要素ｃ_ｗを含み、それぞれの要素ｃ_ｗの多項式係数は、行列の列におけるそれぞれのマルチビット値として乗累算ユニット内に格納される。推論演算において重み付けされ、ネットワークを通じて伝播される暗号化されたデータ値ｄは、データ値ｄを重みｗによって重み付けするのに多項式乗算ｃ_ｄｃ_ｗが必要となるそれぞれの暗号要素ｃ_ｄを含む。推論演算における各多項式乗算ｃ_ｄｃ_ｗは、上述のように実行することができ、ここで、ｃ_ｄは、第１の暗号要素ｃ_１に対応し、ｃ_ｗは、第２の暗号要素ｃ_２に対応する。全ての多項式乗算ｃ_ｄｃ_ｗの結果は、暗号化されたデータ値がネットワークを通じて伝播されるときに、モデルから暗号化された推論結果を得るために処理される。

【0009】

下記に詳述するさらなる実施形態は、アナログ乗累算ユニットを使用して暗号要素を乗算するために離散フーリエ変換に基づく技法を利用する。

【0010】

本発明の第２の態様は、暗号要素がマルチビット係数を有する多項式によって表される準同型暗号化システムの計算装置を提供する。本装置は、アレイのワード線及びビット線のそれぞれの対間に接続されたバイナリアナログメモリセルの少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニット、及び本発明の第１の態様に係る計算方法を実装するように適合された制御ロジックを備える。制御ロジックは、アナログ累算信号をデジタル信号に変換する（ｌｏｇ_２ｑ）ビットのアナログデジタルコンバータ回路部を備えることができ、ここで、ｑは、多項式係数が供給されるワード線の数である。

【0011】

本発明の実施形態は、添付図面を参照して、例示的かつ非限定的な例によって、より詳細に後述する。

【図面の簡単な説明】

【0012】

【図1】本発明の一実施形態に係る計算装置の概略図である。

【0013】

【図2】本発明の一実施形態に係る、図１の装置におけるマルチビット値の行列を格納するアナログメモリセルのアレイの構造を示す図である。

【0014】

【図3】本発明の一実施形態に係る、図１の装置によって暗号要素に対して実行される計算の段階を示す図である。

【0015】

【図4】本発明の一実施形態に係る、図２のアレイにおけるアナログメモリセルの一例を示す図である。

【0016】

【図5】本発明の一実施形態に係る、アレイのビット線上のアナログ累算信号から得られるデジタル信号の処理を示す図である。

【0017】

【図6】本発明の一実施形態に係る、アレイにおける行列の列からのデジタル信号の並列処理を示す図である。

【0018】

【図7】本発明の一実施形態に係る、暗号要素の２つのアレイに対して実行される計算を示す図である。

【0019】

【図8】本発明の一実施形態に係る、暗号要素の多項式乗算のマルチステージ計算を示す図である。

【0020】

【図9】本発明の一実施形態に係る、図８の計算の例示のステージを示す図である。

【0021】

【図10】本発明の一実施形態に係る、追加の計算のためのインメモリロジックアレイの構造を示す図である。

【0022】

【図11】本発明の一実施形態に係る、ニューラルネットワーク推論モデルにおけるネットワーク層の概略図である。

【0023】

【図12】本発明の一実施形態に係る、準同型推論演算の計算の実装を示す図である。

【0024】

【図13】本発明の一実施形態に係る暗号要素の多項式乗算を示す図である。

【発明を実施するための形態】

【0025】

本発明の実施形態は、多項式によって表される暗号要素に対して計算が実行される任意の準同型暗号化（ｈｏｍｏｍｏｒｐｈｉｃ ｅｎｃｒｙｐｔｉｏｎ：ＨＥｎｃ）システムにおいて利用され得る。暗号要素は、暗号鍵、暗号文、メッセージデータ等の要素等の、計算の実行が必要とされるＨＥｎｃスキームの任意の多項式要素であり得る。例えば、ＲＬＷＥ（Ｒｉｎｇ Ｌｅａｒｎｉｎｇ ｗｉｔｈ Ｅｒｒｏｒｓ：エラーを伴うリング学習）問題に基づくＨＥｎｃスキームにおいて、暗号要素は、有限多項式リングの要素である多項式によって表される。例えば、

【数1】

の形態のこれらの多項式は、非常に大きな次数（例えば、ｎ＝１０２４）であり、係数ａ_０、ａ_１等を有し、これらは、多数の（例えば、何百もの）ビットによって表される。これらのスキームは、暗号化されたデータに対して計算を実行することを可能にする準同型特性を活用する。例えば、メッセージｍ_１及びｍ_２が暗号化スキームによって暗号文Ｅ（ｍ_１）及びＥ（ｍ_２）として暗号化される場合、演算子＊についてＥ（ｍ_１）＊Ｅ（ｍ_２）＝Ｅ（ｍ_１＊ｍ_２）となる。

【0026】

図１は、ＨＥｎｃシステムにおいて計算を実行するために本発明の実施形態を具現化する計算装置１の概略ブロック図である。装置１は、バイナリアナログメモリセルのクロスバーアレイ３のセットを有するアナログ乗累算（ｍｕｌｔｉｐｌｙ－ａｃｃｕｍｕｌａｔｅ：ＭＡＣ）ユニット２を備える。ここではＭＡＣコントローラ４及びデジタルプロセッサ５によって実装される制御ロジックにより、クロスバーアレイ３の演算を制御して、マルチビット係数を有する多項式によって表される暗号要素に対する計算を実行する。デジタルプロセッサ５は、ここではシステムバス６を介して、アナログＭＡＣユニット２に作動的に結合される。デジタルプロセッサは、中央処理装置（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ：ＣＰＵ）７及びデジタルメモリ８を有する。デジタルメモリ８は、ＨＥｎｃシステムの暗号計算を制御する機能を実装するために、ＣＰＵ７によって実行可能なプログラム命令を有する１つ又は複数のプログラムモジュール９を格納する。装置１を利用するＨＥｎｃシステムに応じて、そのようなプログラムモジュールは、例えば、ＨＥｎｃスキームを介したデータの暗号化及び／又は復号のための暗号アルゴリズムの段階、及び／又は、ＨＥｎｃスキームに基づくアプリケーションにおける暗号要素に対する計算を実装することができ、これらの計算の少なくともいくつかの段階のためにＭＡＣユニット２を使用する。

【0027】

ＭＡＣコントローラ４は、クロスバーアレイ３への信号の印加を制御して、アレイのセル内にデータ値を格納し、アレイ内の計算のための信号を印加し、より詳細に後述するようにアレイによって出力された信号を処理するための制御回路部を提供する。図１には複数のクロスバーアレイ３が示されているが、概して、ＭＡＣユニット２は、１つ又は複数のクロスバーアレイを有することができる。

【0028】

図１は、装置１の例示的な実施形態を示しているが、デジタルプロセッサ５は、１つ又は複数のマイクロプロセッサによって実装され得る１つ又は複数のＣＰＵ（ＧＰＵ（ｇｒａｐｈｉｃｓ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔｓ：画像処理装置）を含む）を有することができる。メモリ８は、１つ又は複数のデータストレージエンティティを有することができ、メインメモリ、例えば、ＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ：ダイナミックランダムアクセスメモリ）及び／又はＣＰＵ７とは物理的に分離された他のストレージ、並びにキャッシュ及び／又はＣＰＵ７に対してローカルの他のメモリを含み得る。概して、デジタルプロセッサ５は、１つ又は複数の（汎用又は専用）コンピュータ／プログラマブルデータ処理装置によって実装することができ、デジタルプロセッサによって実行される処理動作の段階は、ハードウェア又はソフトウェア又はその組み合わせによって実装することができる。ＭＡＣコントローラ４は、ＭＡＣユニット２における制御動作を実行するために、ハードワイヤードロジック、及び／又はソフトウェア命令によって構成可能である１つ又は複数のプロセッサを有することができる。デジタルプロセッサ５は、いくつかの実施形態において、例えば、ＳｏＣ（Ｓｙｓｔｅｍ ｏｎ Ｃｈｉｐ：システムオンチップ）設計においてＭＡＣユニット２と統合することができる。

【0029】

いくつかの実施形態において、デジタルプロセッサ５及び／又はＭＡＣコントローラ４は、電子回路部、例えば、記載した機能を実装するためのプログラム命令を実行するプログラマブルロジック回路部、フィールドプログラマブルゲートアレイ（ｆｉｅｌｄ－ｐｒｏｇｒａｍｍａｂｌｅ ｇａｔｅ ａｒｒａｙ：ＦＰＧＡ）、又はプログラマブルロジックアレイ（ｐｒｏｇｒａｍｍａｂｌｅ ｌｏｇｉｃ ａｒｒａｙ：ＰＬＡ）を有することができる。プログラム命令／プログラムモジュールは、特定のタスクを実行する、又は、特定の抽象データ型を実装するルーチン、プログラム、オブジェクト、コンポーネント、ロジック、データ構造等を含んでよい。デジタルプロセッサ５及び／又はＭＡＣコントローラ４は、特定の機能を実装するために、専用ハードウェアベースシステム、例えばＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔｓ：特定用途向け集積回路）を有してもよい。

【0030】

システムバス６は、メモリバス又はメモリコントローラ、周辺バス、アクセラレーテッドグラフィックスポート、及び多様なバスアーキテクチャのいずれかを使用するプロセッサ又はローカルバスを含む、いくつかのタイプのバス構造のいずれか１つ又は複数を表す。限定ではなく例として、このようなアーキテクチャには、業界標準アーキテクチャ（ＩＳＡ）バス、マイクロチャネルアーキテクチャ（ＭＣＡ）バス、拡張ＩＳＡ（ＥＩＳＡ）バス、ビデオエレクトロニクススタンダードアソシエーション（ＶＥＳＡ）ローカルバス、及び周辺コンポーネント相互接続（ＰＣＩ）バスが含まれる。システムバス６は、いくつかの実施形態において、デジタルプロセッサ５を、個別のクロスバーアレイ又はアレイのサブセットを制御するＭＡＣコントローラ４のサブユニットに接続する通信ネットワークを表し得る。

【0031】

装置１において計算を実行するために、計算のためのマルチビット値の行列Ｍが、ＭＡＣユニット２の１つ又は複数のクロスバーアレイ３に格納される。図２は、クロスバーアレイ３の論理構造を示している。これは、図示のように、ワード線及びビット線のそれぞれの対間に接続されるバイナリアナログメモリセル１０のアレイを有する。各メモリセル１０は、複数のセル１０内に格納されたマルチビット値の１つのビットに対応する、バイナリ状態０又は１を格納するアナログメモリデバイスを有する。行列Ｍにおける各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納される。Ｍの列内のマルチビット値の対応するビットは、ビット線に沿って接続されたセル内に格納される。図示の例において、ｂビット値のｎ×ｍの行列Ｍが、単一のアレイ３のｎ個のワード線及びｍ×ｂ個のビット線間に接続されたセル１０内に格納される。Ｍの行におけるｍ個のｂビット値は、ワード線に沿って接続されたｂ個のセルのｍ個のセット内に格納される。列Ｍ内のｎ個のｂビット値の対応するビットは、ビット線に沿って接続されたセル内に格納される。計算のためにアレイ３に入力されたデジタル信号は、デジタルアナログコンバータ（ＤＡＣ）回路部１１によって、ワード線に印加されるアナログ信号に変換される。ビット線上で得られた結果として生じるアナログ信号は、さらなる処理のためにアナログデジタルコンバータ（ＡＤＣ）回路部１２によってデジタル信号に変換される。

【0032】

図２には複数の列を有する行列Ｍが示されているが、概して、計算のための行列Ｍは、マルチビット値の列をｍ≧１個有し得る。また、この例では行列は単一のアレイ３内に格納されるが、行列Ｍは、下記に説明されるように、複数のアレイ内に格納されてもよい。

【0033】

図３は、装置１における計算プロセスの基本段階を示している。段階１５は、上述したＭＡＣユニット２の１つ又は複数のアレイにおける計算のための行列Ｍの格納を表している。段階１６において、暗号要素の多項式係数のセットが、ユニットのそれぞれのワード線にビット単位で（すなわち、ビットごとに）供給される。入力係数の各ビットがワード線に供給されると、ＡＤＣ１２への入力においてビット線上でアナログ累算信号が得られる。特に、ワード線に供給される入力ビット値は、そのワード線に接続されたセル１０内に格納されたビット値で（アナログ領域において）効果的に乗算され、乗算結果１又は０にそれぞれ対応して、接続されたビット線上のそのセルから電流を提供するか又は電流を提供しない。所与のビット線上の全てのセルからの寄与により、そのビット線の出力においてアナログ累算信号が提供される。これは、ビット線上の全てのセルからの乗算結果の累算を表し、したがって、ワード線上の入力ビットのベクトルに、そのビット線に接続されたセル内に格納されたビットのベクトルを乗算した結果を表す。これは、全てのビット線に対して並列して行われ、それにより、ビット単位のベクトル－行列乗算が行われる。段階１７に示されているように、入力係数の連続ビットについて、全てのビット線上で得られるアナログ累算信号が、ＡＤＣ１２によってデジタル累算信号に変換される。段階１６及び１７は、下記にさらに説明されるように、計算の複数のステージのそれぞれについて繰り返され得る。段階１８において、（１つ又は複数の）計算ステージのそれぞれにおいて入力係数の連続ビットから得られた結果として生じるデジタル信号が、暗号要素に必要な計算結果を得るために処理される。この処理は、ＭＡＣコントローラ４及びデジタルプロセッサ５のうちの１つ又は組み合わせにおいて実行することができる。次いで、段階１９において、計算結果が、さらなる暗号計算に使用するために、ＭＡＣコントローラ４又はデジタルメモリ８内に格納され、及び／又は、暗号プロセスの最終計算結果としてデジタルプロセッサ５によって出力され得る。

【0034】

ＭＡＣユニット２のアナログメモリセル１０は、アナログ計算が電流又は電荷の使用にそれぞれ基づく、多様な抵抗又は電荷ベースのメモリデバイスのいずれかを有する、不揮発性又は永続的メモリセルによって実装することができる。例えば、電荷ベースのメモリデバイスの例として、ＤＲＡＭ、ＳＲＡＭ（Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ：ランダムアクセスメモリ）、及びフラッシュメモリデバイスが挙げられ、抵抗ベースのデバイスとして、ＰＣＭ（Ｐｈａｓｅ－Ｃｈａｎｇｅ Ｍｅｍｏｒｙ：相変化メモリ）、ＲＲＡＭ（登録商標）（Ｒｅｓｉｓｔｉｖｅ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ：抵抗変化型メモリ）、及びＳＴＴ－ＭＲＡＭ（Ｓｐｉｎ－Ｔｒａｎｓｆｅｒ Ｔｏｒｑｕｅ Ｍａｇｎｅｔｉｃ Ｒａｎｄｏｍ－Ａｃｃｅｓｓ Ｍｅｍｏｒｙ：スピン注入トルク磁気抵抗ランダムアクセスメモリ）が挙げられる。入力信号は、ワード線上に電圧として印加され、セルのタイプに応じて、ベクトル－行列乗算は、アレイの物理的構造を使用して、オームの法則又はクーロンの法則及びキルヒホッフの回路法則の組み合わせを介して行われる。結果は、ビット線ＡＤＣを通じて読み取られた正味のアナログ電流又は電圧から導出される。セル１０内に値を格納し、アレイ計算中にセルを駆動するＭＡＣ制御回路部は、アナログセルの特定の実装に従って既知の方法で実装することができる。

【0035】

装置１のいくつかの実施形態において、アナログセル１０は、アナログＳＲＡＭセルを含む。アナログＳＲＡＭセルの一例が、図４に示されている。アナログセル１０は、図示のコンデンサＣ及びスイッチｓ１、ｓ２、及びｓ３を含む回路部を介してワード線ＷＬ及びビット線ＢＬ間に接続された標準的なデジタルＳＲＡＭセル２０を有する。デジタルＳＲＡＭセル２０は、前述したマルチビット値の１つのビットを格納する。アレイ動作の第１の段階において、スイッチｓ１が閉鎖され、入力ビット値０又は１に対応する入力信号がワード線ＷＬに印加される。コンデンサＣは、入力ビットが１であるか０であるかに応じて、荷電されるか又は荷電されないままとなる。次いで、スイッチｓ２が閉鎖され、それにより、セル２０がビット値０を格納する場合、コンデンサＣは放電される。最後に、スイッチｓ３が閉鎖され、ビット線ＢＬに沿った全てのセルのコンデンサが短絡され、それにより、電荷共有によって、累算結果に対応するビット線上の最終電圧が生成される。

【0036】

行列Ｍの２つ以上の列における値がアレイ３内に格納される場合、デジタル累算信号は、列ごとに処理される。いくつかの実施形態において、ＭＡＣコントローラ４は、行列のそれぞれの列から得られるデジタル信号を処理する処理ロジックを有する。ワード線にビット単位で供給される係数の各ビットについて、この処理ロジックは、これらの値の連続ビット位置に対応する連続ビットシフトで、行列の列内に値を格納するセルに接続されたビット線のセットから得られるデジタル信号を累算する。係数の連続的な入力ビットに対する結果として生じるデジタル信号も、係数の連続ビット位置に対応する連続ビットシフトで累算される。図５は、簡略化された例に対するこの処理ロジックの実装及び動作を示している。

【0037】

図５の処理ロジックは、アレイ３の周辺におけるハードワイヤードデジタルロジック２５によって実装される。この単純な例において、入力暗号要素ｃ_１は、４つの２ビット係数を有する多項式係数ベクトル（０，１，３，２）によって表される。アレイの図示の部分は、４つの３ビット値を有するＭの列ベクトル（３，６，２，１）を格納する。ｃ_１の係数は、ＬＳＢ（Ｌｅａｓｔ Ｓｉｇｎｉｆｉｃａｎｔ Ｂｉｔ：最下位ビット）ファーストで、それぞれのワード線にビット単位で供給される。ＡＤＣ１２は、ｌｏｇ_２ｑビットＡＤＣであり、ここで、ｑは、係数が供給されるワード線の数であり、ここではｑ＝４である。各ビット線から結果として生じるデジタル信号は、入力係数のＬＳＢのベクトルを、そのビット線に接続されたセル内に格納されたビットのベクトルで乗算した結果を表す。これらの信号は、デジタルロジック２５に供給され、少なくとも、ロジックブロック２５の入力ＬＳＢセクションにおいて示されているように処理される。このセクションに入力されるデジタル信号は、アレイ内の値のビット位置のＭＳＢ（Ｍｏｓｔ Ｓｉｇｎｉｆｉｃａｎｔ Ｂｉｔ：最上位ビット）からＬＳＢの順に十進法で表された値（１，２，０）を有する。これらの信号は、示されているように、これらのビット位置に対応するビットシフトによってスケーリングされ、値（１×２^２，２×２^１，０×２^０）＝（４，４，０）が得られる。シフトされた信号は、累算され、十進法の値８のバイナリ信号が得られる。次いで、入力係数のＭＳＢがアレイに供給され、その結果は、少なくとも、ブロック２５の入力ＭＳＢセクションにおいて示されているものと同じロジックによって処理される。入力係数のＭＳＢ位置に対応する追加のビットシフトが、信号値（０，２，１）＝３（二進数１１）の合計に適用され、二進数１１０＝６が得られる。次いで、入力係数の双方のビットからの結果が加算され、必要に応じてドット積結果（０，１，３，２）・（３，６，２，１）＝１４が得られる。

【0038】

上記例は単純なものであるが、同じ原理を、実際の暗号要素の大きな多項式係数ベクトル、及び多数のビットを有する格納されたｂビット値に適用することができる。図６に示されているように、デジタルロジック２５は、アレイ３内の値の複数の列のそれぞれに関連付けることができ、ビット単位のベクトル－行列乗算を並列に実行することが可能である。

【0039】

ＭＡＣユニットにおいて処理される行列Ｍ又は係数ベクトルが単一のアレイのサイズよりも大きい場合、行列Ｍ又は係数ベクトルを複数のアレイにマッピングすることができ、これらのアレイからの乗算結果を組み合わせて、最終結果を生成することができる。図７は、２つのアレイＡ１及びＡ２に対して計算が実行される一例に関して、この技法を示している。いくつかの実施形態において、Ｍの行を複数のアレイにわたって分配することもできる。

【0040】

上記技法は、暗号計算のためのベクトル－行列乗算をＯ（１）の時間計算量で実行することを可能にする。ＡＤＣ１２における決定境界は、アレイ又はアナログメモリセルの非理想性からのオフセットに適応するように調節することができる。アナログＳＲＡＭセル１０を使用することで、セルの１及び０状態のばらつきを低減することによってこのタスクを簡略化する。したがって、ビット単位の演算により、ＨＥｎｃシステムに必要なビットレベルの正確さで計算を実行することが可能になる。

【0041】

いくつかの実施形態は、第１の暗号要素ｃ_１及び第２の暗号要素ｃ_２の間の多項式乗算ｃ_１ｃ_２の結果を計算する技法を利用する。この技法は、図８に示されている。ここで、要素ｃ_２のｎ個の係数は、行列Ｍの列内のそれぞれのマルチビット値として、ＭＡＣユニット２内（この例では、単一のアレイ３内）に格納される。計算の連続ステージのそれぞれにおいて、ｃ_１係数のセットがアレイに供給され、これらのセット内の係数の数は、連続ステージにわたって徐々に増加し、その後減少する。特に、図に示されているように、ＭＡＣコントローラ４は、ｃ_１の全ての係数がそのセット内の全てのワード線にビット単位で供給されるまで、要素ｃ_１の係数を、ｃ_２の係数を格納するセルに接続されたワード線のセット（ここではＷＬ_１～ＷＬ_ｎ）に対して徐々にシフトする。計算ステージのそれぞれにおいて、ｃ_２の係数を格納するセルに接続されたビット線のセットから、及びｃ_１の係数の連続ビットから得られたデジタル信号は、次いで、上述のように処理され、多項式乗算ｃ_１ｃ_２の結果が得られる。この技法の動作は、以下のような単純な例から理解することができる。

【0042】

ｃ_１＝（ａｘ^２＋ｂｘ）及びｃ_２＝（ｃｘ^２＋ｄｘ）として、単純な多項式乗算ｃ_１ｃ_２を考える：

【数2】

【0043】

図９は、結果として得られる多項式ｃ_３＝ｃ_１ｃ_２の必要な係数を出力する図８の技法の３つの連続計算ステージを示している。これにより、多項式暗号要素の高精度の乗算に特に効率的な技法が提供される。ＨＥｎｃシステムにおいて通常必要とされるように、モジュロｐでの多項式乗算が必要な場合、デジタル処理においてモジュロ演算を適用して、ｃ_３＝ｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得ることができる。モジュロ演算は、必要に応じて、ＭＡＣコントローラ４のロジックにおいて（例えば、デジタルロジック２５における追加のモジュロ回路によって）及び／又はデジタルプロセッサ５において既知の方法で実行することができる。デジタル処理は、ｃ_１及びｃ_２と同じ次数の多項式ｃ_３＝ｃ_１ｃ_２を得るための再線形化動作を含むこともできる。再線形化は、当業者には明らかとなる準同型暗号化用途に対する多様な標準的技法を使用して達成することができる。

【0044】

１つ又は複数のさらなる多項式乗算ｃ_１ｃは、ワード線ＷＬ_１～ＷＬ_ｎの同じセットに接続されたセルにおいて、Ｍのさらなる列内の暗号要素ｃの係数を格納することによって、図８において並列に実行することができる。対応するビット線から得られたデジタル信号は、次いで、上記のように処理される。

【0045】

図８に記載されている技法は、準同型復号に特に有利に適用することができる。ここで、第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり、第１の暗号要素ｃ_１は、対応する公開鍵で暗号化された暗号文（ｃ_０，ｃ_１）の要素であり、ここで、ｃ_０は、別の暗号要素である。詳細は以下である。

【0046】

（１，ｓ）をＲＬＷＥベースの準同型暗号化の秘密鍵とする；

【0047】

【数3】

を公開鍵とする（

【数4】

、ここで、

【数5】

は、多項式であり、ｐは素数である）；

【0048】

平文メッセージを多項式ｍにエンコードする；

【0049】

（ｅ_０，ｅ_１）をランダム発生ノイズ多項式とする；及び

【0050】

【数6】

をメッセージｍの暗号化とし、ここで、ｒは、暗号化プロセスに対するランダム定数である。

【0051】

メッセージｍは、次いで、復号プロセスを介して、ｃ_０＋ｃ_１ｓ ｍｏｄ ｐとして復元することができる。図８の技法を利用する復号システムにおいて、秘密鍵ｓは、ＭＡＣユニット２内に格納され、要素ｃ_１の係数は、ユニットに供給されて、多項式乗算ｃ_１ｓの結果が得られる。次いで、ｃ_１ｓ及び要素ｃ_０の合計を計算して、暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得ることができる。これにより、１つ又は複数の入力暗号文をＭＡＣユニットにおける並列計算によって復号することができる、高効率の準同型復号エンジンが提供される。

【0052】

合計ｃ_０＋ｃ_１ｓはデジタルプロセッサ５において計算することができるが、いくつかの実施形態は、ＭＡＣユニット２におけるハイブリッドインメモリ計算システムを利用し得る。ここで、多項式乗算ｃ_１ｓは、上述したＭＡＣユニット２において実行され、合計ｃ_０＋ｃ_１ｓは、インメモリロジックアレイを使用して計算される。インメモリロジックは、既知のＳＲＡＭアレイを使用して実装することができ、その一例を、図１０を参照して簡潔に説明する。加算される２つの多項式からの係数は、２つのワード線ＷＬ_ｉ及びＷＬ_ｊに沿って格納されるが、図１０と同じビット線を共有する。２つのワード線をともに有効化することにより、修正されたセンスアンプ（ＳＡ）が、ビット線間のＮＯＲ及びＡＮＤ演算を計算することができる。ビット線からの２つのＳＡにおけるＮＯＲを実行した結果、２つのビット間のＸＯＲが計算される。ＸＯＲ及びＡＮＤは、ともに半加算回路を構成する。複数のビット線からの半加算器の結果は、リップルキャリー加算器によって組み合わされ、多項式係数の加算を実行することができる。

【0053】

図８の技法は、当然ながら、ＨＥｎｃスキームの任意の計算、例えば、鍵生成及び／又は暗号化動作において必要とされる多項式乗算に適用することができる。ハイブリッド実施形態は、加算以外の演算、例えば、減算、スケーリング、及び／又は暗号要素のコンポーネント単位の乗算のための既知のインメモリロジックユニットを使用することもできる。例えば、多項式のうちの１つの係数の２の補数を使用することによって、図１０のロジックを減算に使用することができる。

【0054】

図８に記載されている技法は、暗号化されたデータの準同型推論システムを実装するのに使用することもできる。特に、ニューラルネットワーク推論モデルの重みは、ＨＥｎｃスキームの暗号要素として暗号化し、ＭＡＣユニット２内に格納することができる。ニューラルネットワーク（Ｎｅｕｒａｌ ｎｅｔｗｏｒｋ：ＮＮ）モデルは、１つの層におけるニューロンの出力信号が重み付けされ、次の層におけるニューロンに伝送されるように、一連のニューロンの層が相互接続される論理構造を活用する。ネットワークをトレーニングデータのセットに公開することにより、ＮＮモデルを既知の方法でトレーニングして、入力データに対する推論（例えば、分類又は回帰動作）を実行し、例えば、その画像コンテンツに従ってデジタル画像を分類することができる。トレーニング動作を介して規定された重みを有する、結果として得られるトレーニング済みネットワークを、新しい（以前は見られなかった）データに適用して、当該のアプリケーションに対する推論タスクを実行することができる。

【0055】

図１１は、第１のネットワーク層における接続を示す、例示的なＮＮモデル３０の単純な概略図を示している。層入力におけるニューロンは、ｎ_ｉ（ｉ＝１～Ｋ）で示され、層出力におけるニューロンは、ｎ_ｊ（ｊ＝１～Ｌ）によって示される。各ニューロンｎ_ｉは、各ニューロンｎ_ｊに接続され、重みｗ_ｉｊは、各ニューロン間接続に対して規定される。ニューロンｎ_ｉに供給された入力データ値ｄ_ｉは、ニューロン対の対応する重みｗ_ｉｊによって重み付けした後、各ニューロンｎ_ｊに伝送される。各ニューロンｎ_ｊは、ニューロンｎ_ｉからの累算された重み付き入力に応じて活性化信号を生成する。したがって、重み付き信号が、ネットワークの連続層を通じてこのように伝播することができ、それにより、出力層におけるニューロンは、ネットワークからの推論結果を提供する。

【0056】

ＨＥｎｃ推論システムにおいて、ＨＥｎｃスキームによって暗号化されたデータ値に対して推論が実行される。ＮＮモデルのパラメーター（重み、活性化関数等）も、ＨＥｎｃスキームを介して暗号化される。特に、図８の技法を利用する準同型推論システムにおいて、ＮＮ推論モデルの暗号化された重みｗは、それぞれの暗号要素ｃ_ｗを有し、各要素ｃ_ｗの係数は、行列Ｍの列内のそれぞれのマルチビット値としてＭＡＣユニット２内に格納される。推論演算において重み付けされ、ネットワークを通じて伝播される暗号化されたデータ値ｄは、重みｗによってデータ値ｄを重み付けするために多項式乗算ｃ_ｄｃ_ｗを必要とするそれぞれの暗号要素ｃ_ｄを有する。推論演算における各多項式乗算ｃ_ｄｃ_ｗは、図８を参照して記載されているように実行することができ、ここで、ｃ_ｄは、第１の暗号要素ｃ_１に対応し、ｃ_ｗは、第２の暗号要素ｃ_２に対応する。

【0057】

図１２は、ＮＮモデル３０における入力データ値ｄ_１及びｄ_２に対する多項式乗算をアレイＡ１及びＡ２にマッピングし、図８を参照して開示される技法を介して計算することができる方法を示している。各暗号化されたデータ値ｄ＝ｄ_１又はｄ_２は、ネットワークを通じた伝播のために複数の重みｗ_ｊ＝１～Ｌによって重み付けしなければならず、対応する複数の多項式乗算

【数7】

を必要とする。各要素

【数8】

の係数は、要素

【数9】

に対するワード線の共通のセットに接続されたセル内の行列Ｍのそれぞれの列内に格納され、それにより、ｃ_ｄの全ての係数がセット内の全てのワード線にビット単位で供給されるまで、要素ｃ_ｄの係数をそのワード線のセットに対して徐々にシフトさせることによって、全ての多項式乗算

【数10】

の結果が得られる。暗号化されたデータ値がネットワークを通じて伝播されるときに必要とされる全ての多項式乗算ｃ_ｄｃ_ｗを同様に計算することができる。全ての多項式乗算の結果が処理されて、モデルから暗号化された推論結果が得られる。特に、個々の多項式乗算の結果は、特定のネットワークアーキテクチャに従って、モジュロ演算、（暗号化された）活性化関数を適用し、暗号化された信号がネットワークを通じて伝播されるときに連続的なネットワーク層に対する入力信号を計算することによって、デジタルプロセッサ５において処理することができる。これにより、プライバシー保護用途での高効率の準同型推論エンジンが提供される。

【0058】

装置１の別の実施形態は、アナログ乗累算ユニットを使用して暗号要素を乗算するために離散フーリエ変換を利用する。図１３は、ｎ個の多項式係数をそれぞれ有する暗号要素ｃ_１及びｃ_２の多項式乗算ｃ_１ｃ_２を計算するためのこの実施形態の動作を概略的に示している。この実施形態において、マルチビット値の行列は、ｅ_ｉ，ｊ＝ｋ^ｉ×ｊ ｍｏｄｕｌｏ ｐによって与えられる（整数）値ｅ_ｉ，ｊ、ｉ＝０～（ｎ－１）、ｊ＝０～（ｎ－１）を有する離散フーリエ変換行列Ｍ_１を含み、ここで、ｋ^Ｎ＝１ ｍｏｄｕｌｏ ｐ、Ｎ≧ｎである。加えて、Ｍ_１に対応する逆離散フーリエ変換行列Ｍ_２は、ＭＡＣユニットの少なくとも１つのさらなるクロスバーアレイ内のマルチビット（整数）値のさらなる行列として格納される。要素ｃ_１のｎ個の係数は、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給される。係数の連続ビットから得られるデジタル信号は、処理されて、要素ｃ_１の係数の離散フーリエ変換Ｔ（ｃ_１）が得られる。同様に、要素ｃ_２のｎ個の係数は、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給され、係数の連続ビットから結果として生じるデジタル信号は、処理されて、要素ｃ_２の係数の離散フーリエ変換Ｔ（ｃ_２）が得られる。次いで、デジタルプロセッサ５は、Ｔ（ｃ_１）及びＴ（ｃ_２）の対応するコンポーネントのコンポーネント単位の乗算を実行し、暗号要素ｃ_３の係数の離散フーリエ変換Ｔ（ｃ_３）が得られる。次いで、Ｔ（ｃ_３）のコンポーネントは、Ｍ_２に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給される。結果として得られるビット線上のアナログ累算信号は、デジタル信号に変換され、以前と同様に処理されて、多項式乗算ｃ_３＝ｃ_１ｃ_２の結果が得られる。この結果は、前述のように得られたモジュロｐであり得る。デジタルプロセッサ５におけるコンポーネント単位の乗算は、他の実施形態においてインメモリロジックによって計算することができる。

【0059】

上記実施形態は、ＨＥｎｃシステムにおける暗号要素に対する高効率の計算を提供することが見て取れる。しかしながら、記載された実施形態に対して様々な代替及び変更を行うことができる。例として、記載された処理動作は、ＭＡＣコントローラ４とデジタルプロセッサ５との間で別様に割り当てられてよい。係数がＭＳＢファーストでＭＡＣアレイに入力される実施形態が想定され得る。メモリセル１０は、ＳＲＡＭセルとは異なるタイプのセルを使用して実装することもできる。

【0060】

概して、本発明を具現化する方法を参照して本明細書に特徴が記載されている場合、本発明を具現化する装置／システムにも対応する特徴を提供することができ、その逆もまた同様である。フロー図の段階は、図示のものとは異なる順序で実行してもよく、いくつかの段階を適宜並列に実行してもよい。

【0061】

本発明は、任意の可能な技術的詳細レベルで統合化されたシステム、方法及び／又はコンピュータプログラム製品であってもよい。コンピュータプログラム製品は、プロセッサに本発明の態様を実行させるコンピュータ可読プログラム命令を有するコンピュータ可読記憶媒体（又は複数の媒体）を含んでよい。

【0062】

コンピュータ可読記憶媒体は、命令実行デバイスにより使用される命令を保持及び格納することのできる有形デバイスであり得る。コンピュータ可読記憶媒体は、例えば、電子ストレージデバイス、磁気ストレージデバイス、光ストレージデバイス、電磁ストレージデバイス、半導体ストレージデバイス、又はこれらの任意の好適な組み合わせであってよいが、これらに限定されない。コンピュータ可読記憶媒体のさらに具体的な例の非網羅的リストは、ポータブルコンピュータディスケット、ハードディスク、ランダムアクセスメモリ（ＲＡＭ：ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、読み取り専用メモリ（ＲＯＭ：ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、消去可能プログラマブル読み取り専用メモリ（ＥＰＲＯＭ：ｅｒａｓａｂｌｅ ｐｒｏｇｒａｍｍａｂｌｅ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ又はフラッシュメモリ）、スタティックランダムアクセスメモリ（ＳＲＡＭ：ｓｔａｔｉｃ ｒａｎｄｏｍ ａｃｃｅｓｓ ｍｅｍｏｒｙ）、ポータブルコンパクトディスク読み取り専用メモリ（ＣＤ－ＲＯＭ：ｃｏｍｐａｃｔ ｄｉｓｃ ｒｅａｄ－ｏｎｌｙ ｍｅｍｏｒｙ）、デジタルバーサタイルディスク（ＤＶＤ：ｄｉｇｉｔａｌ ｖｅｒｓａｔｉｌｅ ｄｉｓｋ）、メモリスティック、フロッピーディスク、命令が記録されているパンチカード又は溝の中の隆起構造等の機械的にエンコードされるデバイス、及びこれらの任意の好適な組み合わせを含む。本明細書において使用されるコンピュータ可読記憶媒体は、電波又は他の自由に伝播する電磁波、導波路又は他の伝送媒体を通って伝播する電磁波（例えば、光ファイバケーブルを通過する光パルス）、又はワイヤを通じて伝送される電気信号等、それ自体が一時的な信号であると解釈されるべきではない。

【0063】

本明細書で説明されるコンピュータ可読プログラム命令は、コンピュータ可読記憶媒体からそれぞれのコンピューティング／処理デバイスにダウンロードされてもよく、又は、ネットワーク、例えば、インターネット、ローカルエリアネットワーク、ワイドエリアネットワーク、及び／又は無線ネットワークを介して、外部コンピュータ又は外部ストレージデバイスにダウンロードされてもよい。ネットワークは、銅伝送ケーブル、光伝送ファイバ、無線伝送、ルータ、ファイアウォール、スイッチ、ゲートウェイコンピュータ及び／又はエッジサーバを備え得る。各コンピューティング／処理デバイス内のネットワークアダプタカード又はネットワークインタフェースは、ネットワークからのコンピュータ可読プログラム命令を受信し、コンピュータ可読プログラム命令を、それぞれのコンピューティング／処理デバイス内のコンピュータ可読記憶媒体に格納するために転送する。

【0064】

本発明の動作を実行するコンピュータ可読プログラム命令は、アセンブラ命令、命令セットアーキテクチャ（ＩＳＡ）命令、マシン命令、マシン依存命令、マイクロコード、ファームウェア命令、状態設定データ、集積回路の構成データであってもよく、Ｓｍａｌｌｔａｌｋ（登録商標）又はＣ＋＋等のようなオブジェクト指向プログラミング言語、及び「Ｃ」プログラミング言語又は同様のプログラミング言語のような手続き型プログラミング言語を含む１つ又は複数のプログラミング言語の任意の組み合わせで記述したソースコード又はオブジェクトコードであってもよい。コンピュータ可読プログラム命令は、スタンドアロンのソフトウェアパッケージとして、ユーザのコンピュータ上で全体を実行すること、ユーザのコンピュータ上で一部分を実行することができ、ユーザのコンピュータ上で一部分を、リモートコンピュータ上で一部分を実行すること、又は、リモートコンピュータ又はサーバ上で全体を実行することができる。後者のシナリオでは、リモートコンピュータが、ローカルエリアネットワーク（ＬＡＮ）又はワイドエリアネットワーク（ＷＡＮ）を含む任意のタイプのネットワークを介してユーザのコンピュータに接続されてよく、又はその接続が、（例えば、インターネットサービスプロバイダを使用したインターネットを介して）外部コンピュータに対して行われてよい。いくつかの実施形態において、例えば、プログラマブルロジック回路、フィールドプログラマブルゲートアレイ（ＦＰＧＡ）、又はプログラマブルロジックアレイ（ＰＬＡ）を含む電子回路は、本発明の態様を実行するために、コンピュータ可読プログラム命令の状態情報を利用することによりコンピュータ可読プログラム命令を実行し、電子回路をパーソナライズしてよい。

【0065】

本発明の態様は、本明細書において、本発明の実施形態に係る方法、装置（システム）、及びコンピュータプログラム製品のフローチャート図及び／又はブロック図を参照して説明されている。フローチャート図及び／又はブロック図の各ブロック、及び、フローチャート図及び／又はブロック図におけるブロックの組み合わせが、コンピュータ可読プログラム命令によって実装され得ることが理解されよう。

【0066】

これらのコンピュータ可読プログラム命令をコンピュータ、又は他のプログラマブルデータ処理装置のプロセッサに提供してマシンを生成してよく、それにより、コンピュータ又は他のプログラマブルデータ処理装置のプロセッサを介して実行される命令が、フローチャート及び／又はブロック図の１つ又は複数のブロックで指定された機能／動作を実装するための手段を作成する。これらのコンピュータ可読プログラム命令は、コンピュータ、プログラマブルデータ処理装置及び／又は他のデバイスに特定の様式で機能するように指示することができるコンピュータ可読記憶媒体にも格納され得、それにより、その中に命令が格納されたコンピュータ可読記憶媒体が、フローチャート及び／又はブロック図の１つ又は複数のブロックで指定された機能／動作の態様を実装する命令を含む製品を有する。

【0067】

コンピュータ可読プログラム命令はまた、コンピュータ、他のプログラマブルデータ処理装置、又は他のデバイス上にロードして、一連の動作段階をコンピュータ、他のプログラマブル装置又は他のデバイス上で実行させ、コンピュータ実装プロセスを生成してよく、それにより、コンピュータ、他のプログラマブル装置、又は他のデバイス上で実行される命令は、フローチャート及び／又はブロック図の１つ又は複数のブロックで指定された機能／動作を実装する。

【0068】

図面におけるフローチャート及びブロック図は、本発明の様々な実施形態に係るシステム、方法、及びコンピュータプログラム製品の考えられる実装形態のアーキテクチャ、機能、及び動作を示している。これに関して、フローチャート又はブロック図における各ブロックは、指定された論理機能を実装するための１つ又は複数の実行可能命令を含む命令のモジュール、セグメント、又は、一部分を表し得る。いくつかの代替的な実装形態において、ブロックに記されている機能は、図面に記されている順序とは異なる順序で行われ得る。例えば、連続して示されている２つのブロックが、実際には、１つの段階として実現されてよく、同時に、実質的に同時に、部分的に又は全体的に時間が重複する方式で実行されてよく、又は、ブロックは、場合によっては、関与する機能に応じて逆の順序で実行されてよい。ブロック図及び／又はフローチャート図の各ブロック、及び、ブロック図及び／又はフローチャート図におけるブロックの組み合わせは、指定された機能又は動作を実行する、又は専用ハードウェア及びコンピュータ命令の組み合わせを実行する、専用ハードウェアベースシステムにより実装され得ることにも留意されたい。

【0069】

本発明の様々な実施形態の記載は、図示の目的で表示されてきたが、網羅的であること、又は、開示される実施形態に限定されることを意図するものではない。本発明の範囲から逸脱することなく、多くの修正及び変形が当業者にとって明らかとなるであろう。本明細書で使用される用語は、実施形態の原理、実際の適用、又は市場で見られる技術に対する技術的改良を最も良く説明するため、又は、他の当業者が本明細書で開示されている実施形態を理解することを可能にするようにするために選択されたものである。

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【手続補正書】

【提出日】2023-11-24

【手続補正1】

【補正対象書類名】特許請求の範囲

【補正対象項目名】全文

【補正方法】変更

【補正の内容】

【特許請求の範囲】

【請求項1】

バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納する段階、ここで：
各マルチビット値のビットがワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットがビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給し、それぞれのビット線におけるアナログ累算信号を得る段階；
前記アナログ累算信号をデジタル信号に変換する段階；及び
前記１つ又は複数の計算ステージのそれぞれにおいて前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得る段階
を備える、コンピュータ実装方法。

【請求項2】

前記ワード線にビット単位で供給される前記多項式係数の各ビットについて、前記行列の列内に値を格納するセルに接続されたビット線のセットから得られた前記デジタル信号を、前記値の連続ビット位置に対応する連続ビットシフトで累算する段階；及び
前記多項式係数の前記連続ビットの前記デジタル信号を、前記多項式係数の連続ビット位置に対応する連続ビットシフトで累算する段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項3】

第１の暗号要素ｃ_１の前記計算結果は、多項式乗算ｃ_１ｃ_２の結果であり、ｃ_２は、第２の暗号要素であり、
前記第２の暗号要素ｃ_２の多項式係数を、前記行列の第１の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニットに格納する段階；
連続する計算ステージにおいて、要素ｃ_１の多項式係数を、ｃ_２の係数を格納するセルに接続されたワード線のセットに対して、ｃ_１の係数が前記ワード線のセット内のワード線にビット単位で供給されるまで徐々にシフトする段階；及び
前記計算ステージのそれぞれにおいて、ｃ_２の前記係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果を得る段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項4】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得る段階、ここで、ｐは、準同型暗号化システムの予め定められた素数である
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項5】

少なくとも１つのさらなる暗号要素ｃについて：
要素ｃの多項式係数を、前記行列のさらなる列内のそれぞれのマルチビット値として、前記ワード線のセットに接続されたセル内に格納する段階；及び
前記計算ステージのそれぞれにおいて、ｃの前記多項式係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、さらなる多項式乗算ｃ_１ｃのさらなる結果を得る段階
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項6】

前記第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり；
前記第１の暗号要素ｃ_１は、対応する公開鍵によって暗号化された暗号文（ｃ_０，ｃ_１）の要素であり；
ｃ_０は、別の暗号要素であり；
多項式乗算ｃ_１ｓの結果を得る段階の後、ｃ_１ｓ及びｃ_０の合計を計算して、前記暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得る段階をさらに備え、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である、請求項３に記載のコンピュータ実装方法。

【請求項7】

インメモリロジックアレイにおいて前記合計を計算する段階
をさらに備える、請求項６に記載のコンピュータ実装方法。

【請求項8】

ニューラルネットワークの推論モデルの暗号化された重みｗは、それぞれの暗号要素ｃ_ｗを有し、各要素ｃ_ｗの多項式係数は、前記行列の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニット内に格納され；
推論演算において重み付けされ、ニューラルネットワークを通じて伝播される暗号化されたデータ値ｄは、重みｗによってデータ値ｄを重み付けするために多項式乗算ｃ_ｄｃ_ｗを必要とするそれぞれの暗号要素ｃ_ｄを有し；
前記推論演算において各多項式乗算ｃ_ｄｃ_ｗを実行する段階、ここで、ｃ_ｄは、前記第１の暗号要素ｃ_１に対応し、ｃ_ｗは、前記第２の暗号要素ｃ_２に対応する；
暗号化されたデータ値が前記ニューラルネットワークを通じて伝播されるときに多項式乗算ｃ_ｄｃ_ｗの前記結果を処理して、前記推論モデルから暗号化された推論結果を得る段階
をさらに備える、請求項３に記載のコンピュータ実装方法。

【請求項9】

前記ニューラルネットワークを通じた伝播のために複数の重みｗ_{ｊ＝１～Ｌ}によって重み付けされる暗号化されたデータ値ｄについて、対応する複数の多項式乗算

【数1】

を必要とし、各要素

【数2】

の前記係数は、前記要素

【数3】

に対するワード線の共通のセットに接続されたセル内の前記行列のそれぞれの列内に格納され；
多項式乗算

【数4】

の前記結果は、要素ｃ_ｄの前記係数をそのワード線のセットに対して、ｃ_ｄの係数が前記セット内のワード線にビット単位で供給されるまで徐々にシフトさせることによって得られる
請求項８に記載のコンピュータ実装方法。

【請求項10】

ｎ個の多項式係数をそれぞれ有する第１の暗号要素ｃ_１及び第２の暗号要素ｃ_２の多項式乗算ｃ_１ｃ_２を計算するために、ここで、マルチビット値の前記行列は、ｅ_ｉ，ｊ＝ｋ^ｉ×ｊ ｍｏｄｕｌｏ ｐによって与えられる、値ｅ_ｉ，ｊ、ｉ＝０～（ｎ－１）、ｊ＝０～（ｎ－１）を有する離散フーリエ変換行列Ｍ_１を含み、ここで、ｋ^Ｎ＝１ ｍｏｄｕｌｏ ｐ、Ｎ≧ｎであり、ｐは、準同型暗号化システムの予め定められた素数である、
Ｍ_１に対応する逆離散フーリエ変換行列Ｍ_２を、マルチビット値のさらなる行列として、前記アナログ乗累算ユニットのさらなるクロスバーアレイに格納する段階；
要素ｃ_１のｎ個の係数を、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給するとともに、前記係数の連続ビットから得られた前記デジタル信号を処理して、要素ｃ_１の前記係数の離散フーリエ変換Ｔ（ｃ_１）を得る段階；
要素ｃ_２のｎ個の係数を、Ｍ_１に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給するとともに、前記係数の連続ビットから得られた前記デジタル信号を処理して、要素ｃ_２の前記係数の離散フーリエ変換Ｔ（ｃ_２）を得る段階；
Ｔ（ｃ_１）及びＴ（ｃ_２）の対応するコンポーネントのコンポーネント単位の乗算を実行して、暗号要素ｃ_３の前記係数の別の離散フーリエ変換Ｔ（ｃ_３）を得る段階；及び
Ｔ（ｃ_３）の前記コンポーネントを、Ｍ_２に値を格納するセルに接続されたそれぞれのワード線にビット単位で供給して、前記ビット線におけるアナログ累算信号を得て、前記アナログ累算信号をデジタル信号に変換し、前記コンポーネントの連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算の結果ｃ_３＝ｃ_１ｃ_２を得る段階
をさらに備える、請求項１から９のいずれか一項に記載のコンピュータ実装方法。

【請求項11】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得る段階をさらに備え、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である
請求項１０に記載のコンピュータ実装方法。

【請求項12】

インメモリロジックアレイを使用する前記計算に必要とされる暗号要素の（ｉ）加算、（ｉｉ）減算、（ｉｉｉ）スケーリング、及び（ｉｖ）コンポーネント単位の乗算からなる群から選択される演算を実行する段階
をさらに備える、請求項１に記載のコンピュータ実装方法。

【請求項13】

前記バイナリアナログメモリセルは、アナログスタティックランダムアクセスメモリ（ＳＲＡＭ）セルを含む、請求項１に記載のコンピュータ実装方法。

【請求項14】

暗号要素がマルチビット係数を有する多項式によって表される準同型暗号化システムを備え、前記準同型暗号化システムは、バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニット、１つ又は複数のコンピュータ可読記憶媒体、及び実行のために前記１つ又は複数のコンピュータ可読記憶媒体上に集合的に格納されたプログラム命令を有し、前記プログラム命令は、
前記少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続されたバイナリアナログメモリセルの少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納するプログラム命令、ここで、
各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを、前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給して、それぞれのビット線におけるアナログ累算信号を得るプログラム命令；
前記アナログ累算信号をデジタル信号に変換するプログラム命令；及び
前記１つ又は複数の計算ステージのそれぞれにおいて、前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得るプログラム命令
を含む、コンピュータシステム。

【請求項15】

前記ワード線にビット単位で供給される前記多項式係数の各ビットについて、前記行列の列内に値を格納するセルに接続されたビット線のセットから得られた前記デジタル信号を、前記値の連続ビット位置に対応する連続ビットシフトで累算するプログラム命令；及び
前記多項式係数の前記連続ビットの前記デジタル信号を、前記多項式係数の連続ビット位置に対応する連続ビットシフトで累算するプログラム命令
をさらに備える、請求項１４に記載のコンピュータシステム。

【請求項16】

第１の暗号要素ｃ_１の前記計算結果は、多項式乗算ｃ_１ｃ_２の結果であり、ｃ_２は、第２の暗号要素であり、
前記第２の暗号要素ｃ_２の多項式係数を、前記行列の第１の列内のそれぞれのマルチビット値として前記アナログ乗累算ユニットに格納するプログラム命令；
連続する計算ステージにおいて、要素ｃ_１の前記多項式係数を、ｃ_２の係数を格納するセルに接続されたワード線のセットに対して、ｃ_１の係数が前記ワード線のセット内のワード線にビット単位で供給されるまで徐々にシフトさせるプログラム命令；及び
前記計算ステージのそれぞれにおいて、ｃ_２の前記係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果を得るプログラム命令
をさらに備える、請求項１４に記載のコンピュータシステム。

【請求項17】

前記デジタル信号を処理して、前記多項式乗算ｃ_１ｃ_２の前記結果のｃ_１ｃ_２ ｍｏｄｕｌｏ ｐを得るプログラム命令、ここで、ｐは、準同型暗号化システムの予め定められた素数である
をさらに備える、請求項１６に記載のコンピュータシステム。

【請求項18】

少なくとも１つのさらなる暗号要素ｃについて：
要素ｃの多項式係数を、前記行列のさらなる列内のそれぞれのマルチビット値として、前記ワード線のセットに接続されたセルに格納するプログラム命令；及び
前記計算ステージのそれぞれにおいて、ｃの前記多項式係数を格納するセルに接続された前記ビット線のセットから、及びｃ_１の前記係数の連続ビットから得られた前記デジタル信号を処理して、さらなる多項式乗算ｃ_１ｃのさらなる結果を得るプログラム命令
をさらに備える、請求項１６に記載のコンピュータシステム。

【請求項19】

前記第２の暗号要素ｃ_２は、準同型暗号化システムの秘密鍵（１，ｓ）の要素ｓであり；
前記第１の暗号要素ｃ_１は、対応する公開鍵によって暗号化された暗号文（ｃ_０，ｃ_１）の要素であり；
ｃ_０は、別の暗号要素であり；
多項式乗算ｃ_１ｓの結果を得た後、ｃ_１ｓ及びｃ_０の合計を計算して、前記暗号文の復号ｍ＝ｃ_０＋ｃ_１ｓ ｍｏｄｕｌｏ ｐを得るプログラム命令、ここで、ｐは、前記準同型暗号化システムの予め定められた素数である
をさらに備える、請求項１６から１８のいずれか一項に記載のコンピュータシステム。

【請求項20】

プログラム命令を備え、前記プログラム命令は、
バイナリアナログメモリセルの少なくとも１つのクロスバーアレイのワード線及びビット線のそれぞれの対間に接続された前記少なくとも１つのクロスバーアレイを有するアナログ乗累算ユニットに、計算のためのマルチビット値の行列を格納するプログラム命令、ここで：
各マルチビット値のビットは、ワード線に沿って接続されたセル内に格納される；及び
前記行列の列内の値の対応するビットは、ビット線に沿って接続されたセル内に格納される；
暗号要素の１つ又は複数の計算ステージのそれぞれにおいて、要素の多項式係数のセットを、前記アナログ乗累算ユニットのそれぞれのワード線にビット単位で供給して、それぞれのビット線におけるアナログ累算信号を得るプログラム命令；
前記アナログ累算信号をデジタル信号に変換するプログラム命令；及び
前記１つ又は複数の計算ステージのそれぞれにおいて前記多項式係数の連続ビットから得られた前記デジタル信号を処理して、前記暗号要素の計算結果を得るプログラム命令
を含む、コンピュータプログラム。

【国際調査報告】