CN114981864A - 秘密选择积计算系统、秘密选择积计算方法、秘密计算装置以及程序 - Google Patents

Abstract

在秘密计算中高速地计算选择积。秘密选择积计算系统(100)将条件[c₀],…,[c_n‑1]和2值的表m_0,0,m_0,1,…,m_n‑1,0,m_n‑1,1作为输入，根据条件输出选择的乘数的总积[A]。条件统合部(11)计算[c_ic_i+1]。表变换部(12)生成由m'₀₀:＝m_{i, 0}m_i+1,0、m'₀₁:＝m_i,0m_i+1,1、m'₁₀:＝m_i,1m_i+1,0、m'₁₁:＝m_i,1m_i+1,1构成的4值的表m'₀₀,m'₀₁,m'₁₀,m'₁₁。公开值乘法运算部(13)计算[a_i]:＝[c_ic_i+1](m₀₀+m₁₁‑m₀₁‑m₁₀)+[c_i](m_i+1,0‑m_i,0)+[c_i+1](m_i,1‑m_i,0)+m_i,0。实数乘法运算部(14)计算全部乘以[a_i]的值[A]。选择乘法运算部(15)在n为奇数时，根据c_n‑1将从m_n‑1,0,m_n‑1,1选择的乘数乘以[A]。

Description

秘密选择积计算系统、秘密选择积计算方法、秘密计算装置以 及程序

技术领域

本发明涉及在秘密计算中计算选择积的技术。

背景技术

所谓秘密计算是指在将数据隐匿的情况下计算任意的函数的加密技术。期待利用该特征，对系统运用者以及对数据利用者都不泄漏数据的数据利活用的方式。已知在秘密计算中存在几种方式，其中将秘密分散设为构成要素的秘密计算，数据的处理单位小，能够进行高速的处理。

所谓秘密分散是将秘密信息转换为称为份额的几个片断的方法。例如有虽然从秘密的信息生成n个份额，从k个以上的份额秘密能够复原，但是从不足k个的份额秘密的信息不泄漏的称为(k，n)阈值法的秘密分散。秘密分散的具体的构成方法已知Shamir秘密分散、复制秘密分散等。在本说明书中，将通过秘密分散而被分散的值的1个片断称为“份额”。另外，将全部份额的集合全体称为“分散值”。

近年来，基于秘密计算的高度的统计或机器学习的研究正在盛行。可是，这些运算大多数包含有超过秘密计算擅长的加减乘法运算的、倒数、平方根、指数、对数等计算。选择积是从由公开值构成的2值的表中多次进行参考值并选择的操作，乘以参考结果的计算。选择积在通过秘密计算计算指数函数时等被使用。在非专利文献1中，公开了在秘密计算中计算指数函数的方法，其中使用了选择积的计算。

现有技术文献

非专利文献

非专利文献1：五十嵐大、“秘密計算AIの実装に向けた秘密实数演算群の設計と実装-O(|p|)ビツト通信量O(1)ラウンドの实数向け右シフト-”，CSS2019，2019年(五十岚大，“面向秘密计算AI的实现的秘密实数运算群的设计和实现-O(|p|)比特通信量O(1)圆的面向实数的右移-”，CSS2019，

发明内容

发明要解决的课题

但是，在非专利文献1中公开的方法存在计算成本大的课题。

鉴于上述那样的技术的课题，本发明的目的在于提供能够高速地计算选择积的秘密计算技术。

用于解决课题的手段

为了解决上述的课题，本发明的一方式的秘密选择积计算系统包含多个秘密计算装置，将n个条件c₀，...，c_n-1的分散值的串[c₀]，...，[c_n-1]和使条件分别与2个乘数对应的2值的表m_0，0，m_0，1，...，m_n-1，0，m_n-1，1作为输入，输出根据条件选择的乘数的总积的分散值[A]，秘密计算装置包含：条件统合部，针对0以上且小于n的各偶数i，计算将分散值[c_i]和分散值[c_i+1]相乘的分散值[c_ic_i+1]；表变换部，针对0以上且小于n的各偶数i，生成由m′₀₀：＝m_{i， 0}m_i+1，0、m′₀₁：＝m_i，0m_i+1，1、m′₁₀：＝m_i，1m_i+1，0、m′₁₁：＝m_i，1m_i+1，1构成的4值的表m′₀₀，m′₀₁，m′₁₀，m′₁₁；公开值乘法运算部，针对0以上且小于n的各偶数i，生成计算了[c_ic_i+1](m₀₀+m₁₁-m₀₁-m₁₀)+[c_i](m_i+1，0-m_i，0)+[c_i+1](m_i，1-m_i，0)+m_i，0后的值a_i的分散值[a_i]的公开值乘法运算部；实数乘法运算部，计算全部乘以分散值[a_i]后的值A的分散值[A]；以及选择乘法运算部，当n为奇数时，根据条件c_n-1将从乘数m_n-1，1，m_n-1，0选择的乘数乘以分散值[A]。

发明效果

根据本发明，能够在秘密计算中高速地计算选择积。

附图说明

图1是例示秘密选择积计算系统的功能结构的图。

图2是例示秘密计算装置的功能结构的图。

图3是例示秘密选择积计算方法的处理过程的图。

图4是例示计算机的功能结构的图。

具体实施方式

以下，对本发明的实施方式详细地进行说明。另外，对于附图中具有相同的功能的结构部附加相同的标号，省略重复说明。

在本说明书中，使用以下的记法。

[·]是将数值·隐匿后的数据。例如，能够使用Shamir秘密分散、复制秘密分散等分散值。

[a？b：c]为，若a＝1则表示b，若a＝0则表示c。

【数学式1】

分别表示“非”(NOT)、“与”(AND)、“或”(OR)、“异或”(XOR)。

通过在环上的整数中确定公开的小数点位置，能够视为固定小数点的实数。在本发明中，以这种方式将环上表示的固定小数点的实数简单地表记为实数。

[实施方式：秘密选择积计算系统]

本发明的实施方式是将n个条件的分散值的串和由与各条件对应的2个公开值构成的2值的表作为输入，根据各条件参考2值的表，输出乘以所有的参考结果的值的分散值的秘密选择积计算系统以及方法。以下，针对由实施方式的秘密选择积计算系统所执行的选择的公开乘法运算协议的概要进行说明。

在指数函数的计算等中，多次进行从由公开值构成的2值的表中根据秘密的真理值参考值并选择的操作，并进行乘以各自的参考结果这样的处理。以下，将该处理称为“应参考2值的公开表”。在该情况下，结合2个2值的表来参考4值的表更有效。结合2个2值的表形成4值的表是公开值的计算，因此能够高精度地处理。如果是该方法，由于在秘密计算中实数乘法运算的次数减少，因此在精度方面也是有利的。以下表示在本发明中执行的应参考2值的公开表的算法。

〔算法1：应参考2值的公开表〕

输入：乘数m_0，0，m_0，1，...，m_n-1，0，m_n-1，1、条件[c₀]，...，[c_n-1]

输出：

【数学式2】

1：将n₂设为n以下的最大的偶数。

2：for each i∈{0，2，...，n₂-2}

3：计算[c_ic_i+1]。

4：设为m′₀₀：＝m_i，0m_i+1，0、m′₀₁：＝m_i，0m_i+1，1、m′₁₀：＝m_i，1m_i+1，0、m′₁₁：＝m_i，1m_i+1，1。

5：计算[a_i]：＝[c_ic_i+1](m₀₀+m₁₁-m₀₁-m₁₀)+[c_i](m_i+1，0-m_i，0)+[c_i+1](m_i，1-m_i，0)+m_i，0。

6：通过实数乘法运算计算下式。其中，如果n是奇数，不进行最后的右移位。

【数学式3】

7：如果n是奇数，将剩余的m_n-1，0，m_n-1，1通过[c_n-1]进行选择并乘以[A]后输出。

在算法1的步骤7中执行的选择的公开乘法运算例如通过使用以下的算法2，能够有效地进行。

〔算法2：基于选择的公开乘数对要右移位值的乘法运算〕

输入：[a]、乘数m₀，m₁、条件[c]

输出：[m_ia]if c＝1，[m₀a]if c＝0

1：计算[m_ia]，[m₀a]。

2：通过if-then-else门，输出[c？m₁a：m₀a]。

在算法2的步骤1中执行的公开值乘法运算例如通过组合以下的2个算法，能够有效地进行。

〔算法3：从右移位开始无处理成本增大地同时进行公开值乘法运算〕

输入：[x]，乘数m，移位量σ

输出：移位后的[mx]

1：计算公开值2^σ/m。

2：通过公开值除法运算计算下式。其中，[mx]视为小数点位置比[x]低了σ的表现。

【数学式4】

〔算法4：基于多个除数的右移位/除数公开除法运算〕

输入：[a]，除数d₀，d₁，...，d_n-1

输出：[a/d₀]，[a/d₁]，，..，[a/d_n-1]

1：求[a]的商[q]。

2：使用商[q]，在右移位/除数公开除法运算中计算并输出对于各i的[a/d_i]。

在算法4的步骤1中求出的商能够通过商转移高效地求出(参考参考文献1)。

<<参考文献1>>Ryo Kikuchi，Dai Ikarashi，Takahiro Matsuda，Koki Hamada，and Koj i Chida，″Efficient bit-decomposition and modulus-conversion protocolswith an honest majority，″Proceedings of Information Security and Privacy-23rdAustralasian Conference(ACISP 2018)，pp.64-82，July 11-13，2018.

在单纯地从2值的表选择并相乘的情况下，因为2公开值的选择是离线(offline)的，所以成为(n-1)次实数乘法运算。在算法1中为n/2次整数乘法运算和(n/2)-1次实数乘法运算，以及右移位n/2次则有效。进而，在算法1中，当n为奇数时使用算法2，无法结合4值的表的尾数也有效。

作为参考，在以下示出使用算法1来计算秘密计算上的指数函数的算法。

〔算法5：指数函数协议〕

输入：[a]

输出：[exp(a)]

参数：t：＝-1

1：计算[a′]：＝[a]-μ。

2：通过比特分解取出比小数点以下t比特上位的比特，变换mod p，得到[a′₀]，...，[a′_u-1]。

3：各0≤i＜u中，将f_i，ε_i分别设为exp(2^i-t)的尾数部、指数部。

4：将[a′₀]，...，[a′_u-1]作为条件、将1，f₀，1，f₁，...，1，f_u-1作为选项，通过应参考2值的公开表得到积[f′]。

5：各0≤i＜u中，通过选项公开的if-then-else栅极计算下式。

【数学式5】

[ε′_i]：＝if[a′_i]then

else 1

6：计算与各i有关的[ε′_i]的积[ε′]。这是上位比特部分的指数部的2幂。

7：计算下式。这是下位比特部分的表示数。

【数学式6】

8：对于[a′_ρ]计算指数函数[exp(a′_p)]。将结果设为[w]。

9：计算[w][f′][ε′]exp(μ)并输出。

基于在算法3的步骤4中执行的选择的公开乘数的乘法运算通过使用算法1能够有效地进行。

<秘密选择积计算系统100>

实施方式的秘密选择积计算系统100是执行上述的应参考2值的公开表的信息处理系统。如图1所示，秘密选择积计算系统100包含N(≥3)台秘密计算装置1₁，...，1_N。在本实施方式中，秘密计算装置1₁，...，1_N分别被连接到通信网9。通信网9是以被连接的各装置能够相互通信的方式构成的线路交换方式或者分组交换方式的通信网，例如能够使用因特网或LAN(Local Area Network，局域网)、WAN(Wide Area Network，广域网)等。另外，各装置不必需要能够经由通信网9以在线方式进行通信。例如也可以构成为，将输入至秘密计算装置1_n(n＝1，...，N)的信息存储在磁带或USB存储器等可拆装型记录介质中，以离线方式从该可拆装型记录介质输入至秘密计算装置1_n。

例如，如图2所示，实施方式的秘密选择积计算系统100中包含的秘密计算装置1n具备：条件统合部11、表变换部12、公开值乘法运算部13、实数乘法运算部14、以及选择乘法运算部15。该秘密计算装置1n一边与其他秘密计算装置1_n′(n′＝1，...，N，其中n≠n′)进行协调一边进行后述的各步骤的处理，由此实现实施方式的秘密选择积计算方法。

秘密计算装置1_n例如是在具有中央运算处理装置(CPU：Central ProcessingUnit，中央处理单元)、主存储装置(RAM：Random Access Memory，随机存取存储器)等公知或者专用的计算机中读入特别的程序而构成的特别的装置。秘密计算装置1_n例如在中央运算处理装置的控制下执行各处理。被输入到秘密计算装置1_n的数据或在各处理中得到的数据例如被存储在主存储装置中，被存储在主存储装置中的数据根据需要被读出到中央运算处理装置而被其它处理利用。秘密计算装置1_n的各处理部也可以至少一部分由集成电路等硬件构成。秘密计算装置1_n具有的各存储部例如能够由RAM(Random Access Memory，随机存取存储器)等主存储装置、由硬盘或光盘或闪存(Flash Memory)那样的半导体存储器元件构成的辅助存储装置、或者关系数据库或键值存储等中间件构成。

参考图3，说明实施方式的秘密选择积计算系统100执行的秘密选择积计算方法的处理过程。

在以下，将n₂设为n以下的最大的偶数。针对0以上n₂-2以下的各偶数i，执行以下的步骤S11～S13。

在步骤S11中，各秘密计算装置1n的条件统合部11计算将条件c_i的分散值[c_i]和条件c_i+1的分散值[c_i+1]相乘的统合条件c_ic_i+1的分散值[c_ic_i+1]。条件统合部11将分散值[c_ic_i+1]输出到公开值乘法运算部13。

在步骤S12中，各秘密计算装置1n的表变换部12生成由m′₀₀：＝m_i，0m_i+1，0、m′₀₁：＝m_i，0m_i-1，1、m′₁₀：＝m_i，1m_i-1，0、m′₁₁：＝m_i，1m_i-1，1构成的4值的表m′₀₀，m′₀₁，m′₁₀，m′₁₁。表变换部12将4值的表m′₀₀，m′₀₁，m′₁₀，m′₁₁输出到公开值乘法运算部13。

在步骤S13中，各秘密计算装置1_n的公开值乘法运算部13计算[a_i]：＝[c_ic_i+1](m₀₀+m₁₁-m₀₁-m₁₀)+[c_i](m_i+1，0-m_i，0)+[c_i+1](m_i，1-m_i，0)+m_i，0。公开值乘法运算部13将分散值[a_i]输出到实数乘法运算部14。

在步骤S14中，各秘密计算装置1_n的实数乘法运算部14计算全部乘以分散值[a_i]后的值A的分散值[A]。即，计算下式。乘法运算成为实数乘法运算，因此需要在最后进行右移位，在n为奇数的情况下，在此不进行右移位。

【数学式7】

在步骤S15中，各秘密计算装置1_n的选择乘法运算部15，在n为奇数时，如果c_n-1＝1则选择m_n-1，1，如果c_n-1＝0则选择m_n-1，0、乘以值A的分散值[A]并输出。即，计算[A][c_n-1？m_n-1，1：m_n-1，0]。

以上，说明了本发明的实施方式，但是具体的结构不限于这些实施方式，不用说，在不脱离本发明的宗旨的范围内即使有适当设计的变更等，也包含在本发明中。实施方式中说明的各种处理不仅按照记载的顺序时间序串地执行，也可以根据执行处理的装置的处理能力或者需要并行地或者单独地执行。

[程序、记录介质]

在通过计算机实现上述实施方式中说明的各装置中的各种处理功能的情况下，通过程序记述各装置应有的功能的处理内容。然后，使该程序读入图4所示的计算机的存储部1020中，通过使控制部1010、输入部1030、输出部1040等动作，在计算机上实现上述各装置中的各种处理功能。

记述了该处理内容的程序可以记录在计算机可读取的记录介质中。作为计算机可读取的记录介质，例如可以是磁记录装置、光盘、光磁记录介质、半导体存储器等任何介质。

而且，该程序的流通例如通过销售、转让、租借等记录了该程序的DVD、CD-ROM等可拆装型记录介质来进行。进而，也可以设为将该程序存储在服务器计算机的存储装置中，经由网络，通过将该程序从服务器计算机转发到其它计算机，使该程序流通的结构。

执行这样的程序的计算机例如首先将可拆装型记录介质中记录的程序或者从服务器计算机转发的程序暂时存储在自己的存储装置中。然后，在执行处理时，该计算机读取自己的存储装置中存储的程序，执行按照读取的程序的处理。而且，作为该程序的其它执行方式，计算机也可以从可拆装型记录介质直接读取程序，执行按照该程序的处理，进而，也可以在每次从服务器计算机对该计算机转发程序时，逐次执行按照接受的程序的处理。而且，也可以设为通过不进行从服务器计算机向该计算机的程序的转发，仅通过该执行指令和结果取得来实现处理功能的、所谓ASP(Application Service Provider，应用服务提供商)型的服务，执行上述的处理的结构。而且，本方式中的程序中，包含供电子计算机的处理用的信息即基于程序的信息(虽然不是对于计算机的直接的指令，但是具有规定计算机的处理的性质的数据等)。

而且，在本方式中，设为通过在计算机上执行规定的程序来构成本装置，但是也可以硬件性地实现这些处理内容的至少一部分。

Claims (4)

1.一种秘密选择积计算系统，包含多个秘密计算装置，将n个条件c₀,…,c_n-1的分散值的串[c₀],…,[c_n-1]和使所述条件分别与2个乘数对应的2值的表m_0,0,m_0,1,…,m_n-1,0,m_n-1,1作为输入，输出根据所述条件所选择的所述乘数的总积的分散值[A]，

所述秘密计算装置包含：

条件统合部，针对0以上且小于n的各偶数i，计算将所述分散值[c_i]和所述分散值[c_i+1]相乘后的分散值[c_ic_i+1]；

表变换部，针对0以上且小于n的各偶数i，生成由m'₀₀:＝m_i,0m_i+1,0、m'₀₁:＝m_i,0m_i+1,1、m'₁₀:＝m_i,1m_i+1,0、m'₁₁:＝m_i,1m_i+1,1构成的4值的表m'₀₀,m'₀₁,m'₁₀,m'₁₁；

公开值乘法运算部，针对0以上且小于n的各偶数i，生成计算了[c_ic_i+1](m₀₀+m₁₁-m₀₁-m₁₀)+[c_i](m_i+1,0-m_i,0)+[c_i+1](m_i,1-m_i,0)+m_i,0后的值a_i的分散值[a_i]；

实数乘法运算部，计算全部乘以分散值[a_i]后的值A的分散值[A]；以及

选择乘法运算部，当n为奇数时，根据所述条件c_n-1将从乘数m_n-1,1,m_n-1,0选择的乘数乘以分散值[A]。

2.一种秘密选择积计算方法，由秘密选择积计算系统执行，所述秘密选择积计算系统包含多个秘密计算装置，将n个条件c₀,…,c_n-1的分散值的串[c₀],…,[c_n-1]和使所述条件分别与2个乘数对应的2值的表m_0,0,m_0,1,…,m_n-1,0,m_n-1,1作为输入，输出根据所述条件所选择的所述乘数的总积的分散值[A]，

各秘密计算装置的条件统合部针对0以上且小于n的各偶数i，计算将所述分散值[c_i]和所述分散值[c_i+1]相乘后的分散值[c_ic_i+1]；

表变换部针对0以上且小于n的各偶数i，生成由m'₀₀:＝m_i,0m_i+1,0、m'₀₁:＝m_i,0m_i+1,1、m'₁₀:＝m_i,1m_i+1,0、m'₁₁:＝m_i,1m_i+1,1构成的4值的表m'₀₀,m'₀₁,m'₁₀,m'₁₁；

公开值乘法运算部针对0以上且小于n的各偶数i，生成计算了[c_ic_i+1](m₀₀+m₁₁-m₀₁-m₁₀)+[c_i](m_i+1,0-m_i,0)+[c_i+1](m_i,1-m_i,0)+m_i,0后的值a_i的分散值[a_i]；

实数乘法运算部计算全部乘以分散值[a_i]的值A的分散值[A]；以及

选择乘法运算部当n为奇数时，根据所述条件c_n-1将从乘数m_n-1,1,m_n-1,0选择的乘数乘以分散值[A]。

3.一种在权利要求1的秘密选择积计算系统中被使用的所述秘密计算装置。

4.一种程序，用于使计算机作为权利要求3中记载的秘密计算装置发挥功能。

Images