JP2012128398A - プライバシを保護したまま暗号化された要素の順序を選択するための方法およびシステム - Google Patents

Abstract

【課題】プライバシを保護するために、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により選択するシステムおよび方法を提供する。
【解決手段】第１プロセッサ１０１において、暗号化されたベクトルの要素の値は、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングされ、そして、順列化されて、スケーリングされ順列化されたベクトルを生成する。上記スケーリングされ順列化されたベクトルの中の要素の順序を示す暗号化された領域の情報は、秘密鍵を有する第２プロセッサ１０２に与えられる。第２プロセッサ１０２は、上記暗号化された要素のインデックスを上記要素の順序に基づいて決定するために、上記情報を解読する。上記暗号化された要素は、上記インデックスに基づき、いかなるプロセッサによっても発見されることなく選択される。
【選択図】図１

Description

この発明は、概して、安全なマルチパーティ（多数協同）計算方法およびシステムに関し、特に、暗号化されたベクトルにおける暗号化された要素を、該暗号化されたベクトルにおける該暗号化された要素の順序により、決定するための方法に関するものである。

多数アプリケーションに対して、エレメント（要素）の有限長のシーケンス（配列）の最小または最大を、プライバシを保護するように、決定する問題は重要である。たとえば、要素は、機密（ｓｅｎｓｉｔｉｖｅ）のバイオメトリック（生物測定的）、医療的、科学的、技術的、金融的、或いは商業的なデータである。

その問題は以下のように定義される。第１プロセッサは暗号化された要素のシーケンスを格納する。その第１プロセッサは、たとえばそのシーケンスの最小要素の暗号化を決定する第２プロセッサと相互に作用する。その問題の要件は、最小要素の値およびインデックスがいかなるプロセッサによっても発見されないということである。

特にこの問題は多くの安全なマルチパーティ計算方法において生じる。たとえば、第１プロセッサは、２進法の指紋特徴ベクトルのデータベースを有し、また、第２プロセッサは単一の暗号化された指紋特徴ベクトルを有する。そして、安全なマルチパーティ計算方法を使用して、第１プロセッサは、第２プロセッサの単一の特徴ベクトルとデータベースにおける各特徴ベクトルとの間の暗号化されたハミング距離を決定する。このようにして、第１プロセッサは、暗号化されたハミング距離のベクトルを得る。次に、最初の特徴ベクトルに最も類似するデータベース内の指紋特徴ベクトルを見つけるように、最小のハミング距離の暗号化が決定される。

したがって、暗号化されたベクトル内の暗号化された或る（１つの）要素を、該暗号化されたベクトル内の該暗号化された複数の要素の順序により、選択する必要がある。

この発明は、暗号化されたベクトル内の暗号化された或る（１つの）要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択するためのシステムおよび方法を提供することを目的とする。暗号化されたベクトル内の暗号化された要素の順序は、秘密鍵で解読された、暗号化されたベクトルの複数の要素の値の順序で決定される。たとえば、いくつかのこの発明の実施の形態では、プライバシを保護するように、暗号化されたベクトルから最小要素を選択する。同様に、いくつかの実施の形態では、暗号化されたベクトル内で、最大の要素あるいは所定の順序を有する要素を選択した。

この発明の実施の形態では、第１プロセッサと第２プロセッサとの間の安全なマルチパーティ（多数共同）通信を使用して、暗号化された要素を選択する。第２プロセッサは強秘匿な（ｓｅｍａｎｔｉｃａｌｌｙ ｓｅｃｕｒｅ）加法的準同形写像暗号システム（ａｄｄｉｔｉｖｅｌｙ ｈｏｍｏｍｏｒｐｈｉｃ ｃｒｙｐｔｏｓｙｓｔｅｍ）用の１対の鍵を有し、該１対の鍵は秘密鍵と公開鍵とを含む。第２プロセッサは主に、暗号化されていない領域において動作する。反対に、第１プロセッサは公開鍵だけを格納し、暗号化された領域においてのみ動作する。暗号化されたベクトルは、公開鍵で暗号化され、第１プロセッサに格納される。

この発明の実施の形態は２つの認識に基づく。第一に、第１プロセッサは順序を維持するマッピングを要素のシーケンスに適用して、その結果を第２プロセッサへ送信することができ、該第２プロセッサは、要素を知らずに、要素の順序に基づいて要素のインデックスを決定することができる。第二に、順序を維持するマッピングは、暗号化されたドメイン（領域）において適用することができ、それによって、要素のシーケンス全体を第１プロセッサおよび第２プロセッサの両方から秘密にしておく。

したがって、この発明の実施の形態では、暗号化されたベクトル内の要素の順序が維持されるように、暗号化されたドメイン（領域）における暗号化されたベクトルの値をスケーリング（拡大、縮小）する。順序の順列（ｐｅｒｍｕｔａｔｉｏｎ）と組み合わせて、順序を維持しながらスケーリングすることにより、スケーリングされ順列化されたベクトル（ｓｃａｌｅｄ ｐｅｒｍｕｔｅｄ ｖｅｃｔｏｒ）を生成する。而して、スケーリングされ順列化されたベクトルに関する情報を、秘密鍵を格納する２番目のプロセッサに与えることができ、一方、暗号化されていない領域の情報はスケーリングされ順列化されたベクトル内の要素の順序を表示する。暗号化されたベクトルの実際の値および実際の順序はスケーリングと順列化（ｐｅｒｍｕｔａｔｉｏｎ）によって隠されるので、そのような伝送（送信）（ｔｒａｎｓｍｉｓｓｉｏｎ）が可能である。

したがって、この発明の実施の形態１は、第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択する方法を開示するものであり、ここで、上記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密解読鍵および公開暗号鍵を含み、また、上記暗号化されたベクトルは、上記公開鍵で暗号化されて、上記第１プロセッサに格納され、また、上記第１プロセッサは、該第１プロセッサが暗号化された領域においてのみ動作するように、上記公開鍵だけを格納するものであり、
上記方法は、
暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするステップと、
スケーリングされ順列化されたベクトルを生成するために、上記暗号化されたベクトルの上記要素の順序を順列化する（ｐｅｒｍｕｔｉｎｇ）ステップと、
上記暗号化された領域の情報を上記第２プロセッサへ提供するステップであって、暗号化されていない領域の情報は、上記スケーリングされ順列化されたベクトルの中の要素の順序を示すものである、ステップと、
上記スケーリングされ順列化されたベクトルの中の暗号化された要素の暗号化されたインデックスを得るステップと、
上記暗号化されたインデックスに基づいて、上記暗号化された要素を選択するステップと、を含み、
本方法の上記各ステップは上記第１プロセッサによって行われる。

他の実施の形態は、システムの第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択するためのシステムを開示するものであり、ここで、上記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密解読鍵および公開暗号鍵を含み、また、上記暗号化されたベクトルは、上記公開鍵で暗号化されて、上記第１プロセッサに格納され、また、上記第１プロセッサは暗号化された領域においてのみ動作するものであり、
上記システムは、
上記暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするための手段と、
スケーリングされ順列化されたベクトルを生成するために、上記暗号化されたベクトルの上記要素の順序を順列化する手段と、
上記暗号化された領域の情報を上記第２プロセッサへ提供するための手段であって、暗号化されていない領域の情報は、上記スケーリングされ順列化されたベクトルの中の要素の順序を示すものである、手段と、
上記スケーリングされ順列化されたベクトルの中の上記暗号化された要素の暗号化されたインデックスを得る手段と、
上記暗号化されたインデックスに基づいて、上記暗号化された要素を選択する手段と、を含み、
本システムの上記各手段は上記第１プロセッサによって行われる。

さらに他の実施の形態は、システムの第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択するための方法を開示するものであり、ここで、上記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密暗号鍵および公開解読鍵を含み、また、上記暗号化されたベクトルは、上記公開鍵で暗号化されて、上記第１プロセッサに格納され、また、上記第１プロセッサは暗号化された領域においてのみ動作するものであり、
上記方法は、
上記暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするステップと、
スケーリングされ順列化されたベクトルを生成するために、上記暗号化されたベクトルの上記要素の順序を順列化するステップと、
上記スケーリングされ順列化されたベクトルを第１加算的ベクトル（ｆｉｒｓｔ ａｄｄｉｔｉｖｅ ｖｅｃｔｏｒ）と第２加算的ベクトル（ｓｅｃｏｎｄ ａｄｄｉｔｉｖｅ ｖｅｃｔｏｒ）とに分割するステップと、
上記第１加算的ベクトルの要素対の差（ ｐａｉｒｗｉｓｅ ｄｉｆｆｅｒｅｎｃｅｓ ｏｆ ｅｌｅｍｅｎｔｓ）のベクトルを決定するステップと、
暗号化されたインデックスを決定するために、上記要素対の差のベクトルおよび上記第２加算的ベクトルを上記第２プロセッサへ与えるステップと、
上記スケーリングされ順列化されたベクトルの中の上記暗号化された要素の暗号化されたインデックスを得るステップと、
上記インデックスの第１摂動項（ｆｉｒｓｔ ｐｅｒｔｕｒｂａｔｉｏｎ ｔｅｒｍ）および第２摂動関数（ｓｅｃｏｎｄ ｐｅｒｔｕｒｂａｔｉｏｎ ｆｕｎｃｔｉｏｎ）によって修正変更された、上記暗号化されたベクトルを上記第２プロセッサに提供するステップであって、上記暗号化されたインデックスでの上記第２摂動関数の値が零に等しいものである、ステップと、
上記暗号化されたインデックスに対応する、上記暗号化されたベクトルの要素を上記第２プロセッサから得るステップと、
上記暗号化されたベクトルの上記暗号化された要素を得るために、上記暗号化された領域において上記第１摂動項を減算するステップと、を含み、
本方法の上記各ステップは上記第１プロセッサによって行われる。

定義
この発明の実施の形態について記述する際に、次の定義がそれらの実施の形態（上記を含み）を通して適用可能である。

「コンピュータ」とは、構造化された入力を受け付け、所定の規則により該構造化された入力を処理し、また、その処理の結果を出力として生成することができる、あらゆる装置を指すものである。そのようなコンピュータの例としては、コンピュータ、汎用コンピュータ、スーパーコンピュータ、メインフレーム、スーパーミニコンピュータ、ミニコンピュータ、ワークステーション、マイクロコンピュータ、サーバー、対話型テレビジョン、コンピュータと対話型テレビジョンとのハイブリッド結合（組合せ）、およびコンピュータおよび（または）ソフトウェアをエミュレートするアプリケーションに特有のハードウェア、を含む。コンピュータは、単一のロセッサ、あるいは並列におよび（または）並列ではなく動作することができる多数のプロセッサを有することができる。コンピュータはまた、コンピュータ間で情報を送信または受信するために、ネットワークを介して共に接続された２つ以上のコンピュータをも指す。そのようなコンピュータの一例は、ネットワークによってリンク（結合）された複数のコンピュータを介して情報を処理するための分散形計算機システム、を含む。

「中央演算処理装置（ＣＰＵ）」あるいは「プロセッサ」は、コンピュータ、あるいはソフトウェア命令を読み取って実行するコンピュータのコンポーネント（構成要素）を指す。

「メモリ」あるいは「コンピュータ可読媒体」は、コンピュータによってアクセス可能なデータを格納するための、あらゆる記憶装置を指す。それらの例としては、磁気ハードディスク、フロッピー（登録商標）ディスク、ＣＤ−ＲＯＭまたはＤＶＤのような光ディスク、磁気テープ、メモリチップ、および電子メールを送受信する際あるいはネットワークにアクセスする際に使用されるような、コンピュータが読み取り可能な電子化データを搬送するのに使用される搬送波とたとえばランダムアクセスメモリ（ＲＡＭ）等のコンピュータメモリー、を含む。

「ソフトウェア」とは、コンピュータを作動させるための所定の（予め定められた）規則を指す。そのようなソフトウェアの例としては、ソフトウェア、コードセグメント、命令、コンピュータプログラム、およびプログラムされたロジック（論理）、を含む。インテリジェントシステムのソフトウェアは自己学習ができてもよい。

「モジュール」あるいは「ユニット」とは、タスクあるいはタスクの一部を行うコンピュータ内の基本的なコンポーネント（構成要素）を指す。それはソフトウェアやハードウェアのいずれかによって実行することができる。

この発明の実施の形態は、順序を維持したままのスケーリングを使用することにより、ベクトルの要素対（ペア）の比較を回避する。マッピングは、暗号化されていない領域における関心要素のインデックスの決定を可能にする。

この発明の実施の形態１による、暗号化されたベクトル内の暗号化されたエレメント（要素）を選択するための方法のブロック図である。 この発明の実施の形態１による、順序を維持するスケーリング（拡大、縮小）の概略図である。 この発明の実施の形態１による、複数の要素の順序を表す情報を安全に決めるための方法のブロック図である。 この発明の実施の形態１の擬似コードの説明図である。

実施の形態１．
図１は、第１プロセッサ１０１と第２プロセッサ１０２との間の安全なマルチパーティ通信を使用して、暗号化されたベクトル１０５内の暗号化された要素１８０を、該暗号化されたベクトル１０５内の該暗号化された要素１８０の順序（ｏｒｄｅｒ）により、選択するための方法１００を示している。

暗号化されたベクトル内の暗号化された要素の順序は、秘密鍵で解読された、暗号化されたベクトルの複数の要素の値の順序で決定される。暗号化された要素は、順序ルール（規則）１５１によって選択される。順序規則の例としては、最小要素を選択すること、最大の要素を選択すること、暗号化されたベクトル内の２番目の最小要素を選択すること、あるいは中央の要素を選択すること、を含む。様々な実施の形態では、第２プロセッサあるいは両方のプロセッサが順序規則を知っている。

第２プロセッサは、強秘匿な加法的準同形写像暗号システムのための１対の鍵を有する。その１対の鍵は、秘密解読鍵１４１および公開暗号鍵１６１を含む。第２プロセッサは主に、暗号化されていない領域において動作する。反対に、第１プロセッサは暗号化された領域においてのみ動作する。暗号化されたベクトル１０５は、公開鍵で暗号化され、第１プロセッサに格納される。

たとえば、それらの鍵の対（ペア）（κ_ｅ、κ_ｄ）は、強秘匿な加法的準同形写像公開鍵暗号システムのための暗号化／解読の鍵の対である。暗号化関数はξ（・）であり、また、解読関数はξ^−１（・）である。加法的準同形写像特性は、要素ｍ_１，ｍ_２のベクトルに対して、ξ（ｍ_１）ξ（ｍ_２）＝ξ（ｍ_１＋ｍ_２）およびξ（ｍ_１）^ｍ _２＝ξ（ｍ_１ｍ_２）を保証する。さらに、要素ｚ∈Ｚ^Ｎのベクトルに対して、暗号化されたベクトル１０５はξ（ｚ）＝（ξ（ｚ_１）、ξ（ｚ_２）、・・・、ξ（ｚ_Ｎ））である。

したがって、第１プロセッサは公開暗号鍵κ_ｅおよび暗号化されたベクトルξ（ｚ）を有し、第２プロセッサは鍵の対（ペア）（κ_ｅ、κ_ｄ）を有する。本方法１００を行った後に、第１プロセッサはξ（ｍｉｎ_{１≦ｉ≦Ｎ}ｚ_ｉ）を得る。第２プロセッサは何も得ない。

この発明の実施の形態１では、暗号化されたドメイン（領域）の暗号化されたベクトル内の要素の値をスケーリング１１０して、スケーリングされたベクトル１１５を生成する。そのスケーリングの後、暗号化されたベクトル内の要素の順序は維持されている。たとえば、暗号化されたベクトル内の最小要素のインデックスは、スケーリングされたベクトル内の最小要素のインデックスに等しい。そのスケーリングは、以下により詳細に記述されるように、順序を維持する行列２１０を使用して行われる。

次に、スケーリングされたベクトル内の要素の順序は、スケーリングされ順列化されたベクトル１２５を生成するために、順列化１２０され、また、暗号化された領域の情報１３５は第２プロセッサに提供１３０される。ここで、暗号化されていない領域の情報は、スケーリングされ順列化されたベクトルの中の要素の順序を示す。この発明の実施の形態１では、その情報はスケーリングされ順列化されたベクトル自体である。

他の実施の形態では、スケーリングされ順列化されたベクトルを第１加算的ベクトルと第２加算的ベクトルへ分割する。また、情報は、第１加算的ベクトルと第２加算的ベクトルの要素対（ペア）の差のベクトルである。

第２プロセッサは、秘密鍵を使用して情報を解読１４０して、順序規則１５１により、暗号化されていない領域の情報１４２から要素のインデックス１５１を決定１５０する。次に、第２プロセッサは公開鍵でそのインデックスを暗号化１６０して、暗号化されたインデックスを第１プロセッサへ提供１６５する。

第１プロセッサは、暗号化されたインデック１６５に基づいて、暗号化された要素１８０を選択１７０する。様々な実施の形態では、要素の暗号化されたインデックスに基づく暗号化された要素の選択は、以下に述べるように、第１プロセスと第２プロセッサとの間のオブリビアス（ｏｂｌｉｖｉｏｕｓ：紛失）通信に基づいている。

順序を維持するスケーリング
順序を維持するスケーリングの目的は、ベクトルの要素の順序を維持しながら、暗号化されたベクトルの値を修正変更することである。この発明の実施の形態１は、順序を維持するマッピングが、暗号化されたドメイン（領域）において適用することができ、それによって、要素のシーケンス全体を第１プロセッサおよび第２プロセッサの両方から秘密にしておく、という認識に基づく。

図２は、順序を維持するスケーリングの概略図を示す。たとえば、ベクトル２２０は５つの要素２２１〜２２５を有する。要素２２２および２２３は等しい値を有する。順序を維持する行列２１０でベクトル２２０を乗算することにより、異なる値であるが要素の順序が同じである、５つの要素２３１〜２３５を有するスケーリングされたベクトル２３０を生成する。たとえば、インデックス１を有する要素２２４がベクトル２２０内の最小要素である場合、同一のインデックス１を有する要素２３４はスケーリングされたベクトル２３０内の最小要素である。

そのスケーリングは、ベクトル２２０内の同一の値、たとえば要素２２２−２２３、を有する要素がスケーリングされたベクトル２３０において同一の値を有することを保証しない。しかしながら、要素２３２−２３３の異なる値は、スケーリングされたベクトル２３０内の要素の順序を乱さない。

したがって、この発明の実施の形態１では、第１プロセッサは、そのセット｛１，２，・・・，Ｎ｝上で順列πを生成して、ここで、Ｎは暗号化されたベクトルの大きさであり、順列化（ｐｅｒｍｕｔｅｄ）されたベクトルξ（ν）＝π（ξ（ｚ））を得る。そして、第１プロセッサは整数ｇ＞０を選択して、次式によって順序を維持する行列Ｇ∈Ｚ^ＮｘＮ２１０を生成する。

この発明の実施の形態１では、スケーリングは、暗号化されたベクトルに順序を維持する行列を乗算することにより達成される。たとえば、スケーリングされ順列化されたベクトルは、ω＝Ｇνである。順序を維持する行列において、要素ｇ_ｉは整数である。

如何なる１≦ｉ、ｊ≦Ｎに対して、ω_ｉ−ω_ｊ＝ｇ（ν_ｉ−ν_ｊ）であり、それは、ｇ＞０に対して、Ｇは順序を維持する行列であること、すなわち、ω_ｉ≦ω_ｊである時かつそのときに限り、ν_ｉ≦ν_ｊであることを意味する。加法的準同形写像暗号化の特性を使用して、第１プロセッサはξ（ω）＝ξ（Ｇν）を決定する。

順序を表示する情報
スケーリングされ順列化されたベクトルに関する情報は、秘密鍵を格納する第２プロセッサに与えられ、たとえば、送信される。一方、基礎となる、暗号化されていない領域の情報は、スケーリングされ順列化されたベクトルの中の要素の順序を表わしており、また、気付かずに（ｏｂｌｉｖｉｏｕｓｌｙ）、順序を維持する行列の構成による暗号化されたベクトル内の要素の順序に関するものである。暗号化されたベクトルの実際の値および実際の順序はスケーリングと順列化（ｐｅｒｍｕｔｉｎｇ）によって隠されるので、そのような伝送（送信）が可能である。

図３に示される実施の形態では、スケーリングされ順列化されたベクトルが第１加算的ベクトルと第２加算的ベクトルとへ分割され、また、情報は、第１加算的ベクトルおよび第２加算的ベクトル自体の要素対の差のベクトルによって形成される。

具体的には、第１プロセッサは、乱数の第１加算的ベクトル３１５ ａ∈Ｚ^Ｎを生成３１０する。準同形写像特性を使用して、第１プロセッサは、第２加算的ベクトル３２５ξ（ω−ａ）を決定３２０する。

次に、第１プロセッサは、対（ペア）の差ａ_Δのベクトル３３５を構成する。ベクトル３３５の要素は第１加算的ベクトルａの要素対の差である。
したがって、以下となる。

対差のベクトル３３５および第２加算的ベクトル３２５は、スケーリングされ順列化されたベクトルの中の要素の順序を表示する情報１３５を形成する。情報１３５は第２プロセッサに提供１３０される。

この発明の実施の形態の１つの変形例では、対差のベクトルの値がノイズベクトル３４５で修正変更３４０される。たとえば、第１プロセッサは、間隔［−ｇ，ｇ］に亘ってランダムノイズηを生成し、−ｇ≦η_ｉｊ≦ｇおよびΣ_{１≦ｉ≦ｊ≦Ｎ} η_ｉｊ＝ηのように、ノイズベクトル

を決定する。対差のベクトルは、ａ_Δ−ηによってノイズベクトルで修正変更され、そして第２プロセッサへ伝送（送信）される。

第２プロセッサは、暗号化された領域において第２付加的（加算的）シェア（ｓｅｃｏｎｄ ａｄｄｉｔｉｖｅ ｓｈａｒｅ）を得ており、また、要素毎の解読によってｂ＝ω−ａを得る。第１プロセッサは第１加算的ベクトルαを有し、また、第２プロセッサは第２加算的ベクトルｂを有し、それらはスケーリングされ順列化されたベクトルωの加算的（加法的）なシェアである。したがって、α_ｉ＋ｂ_ｉ≦α_ｊ＋ｂ_ｊのとき、かつそのときに限り、またα_ｉ−α_ｊ≦ｂ_ｉ−ｂ_ｊのとき、かつそのときに限り、ω_ｉ≦ω_ｊである。

次に、式により、第２プロセッサは、第２加算的（加法的）シェアの対差のベクトルを決定する。

両方の対差ａ_Δおよびｂ_Δのベクトルは

要素を含む。

第２プロセッサは、ａ_Δ−ηおよび−ｂ_Δの対応する要素を比較する。ノイズベクトルηの任意の要素η_ｉｊに対して、第２プロセッサは、１≦ｉ＜ｊ≦Ｎに対してα_ｉ−α_ｊ−η_ｉｊ≦ｂ_ｊ−ｂ_ｉであるか否かを決定する。この決定は、行列Ｇ行列の構成によって、ｇ（ν_ｉ−ν_ｊ）−η_ｉｊ≦０であるか否かを決定することと等価である。

−ｇ≦η_ｉｊ≦ｇであるため、第２プロセッサは、

のとき、かつそのときに限り、

であると決定する。ここで、オペレータ

は、場合に応じて、「より大きい」、または「より小さい」を意味する。而して、ν_ｉ≠ν_ｊのとき、順序が維持される。ν_ｉ＝ν_ｊならば、第１プロセッサによって選択されたノイズベクトルη_ｉｊの要素の値に依存して、α_ｉ−α_ｊ−η_ｉｊはｂ_ｊ−ｂ_ｉより大きくなったり、あるいは、小さくなったりする。しかしながら、このような摂動（変動：ｐｅｒｔｕｒｂａｔｉｏｎ）により、第２プロセッサが、スケーリングされ順列化されたベクトルの要素を知らずに、インデックス１５１、たとえば、α＝ａｒｇ ｍｉｎ_{１≦ｉ≦Ｎ}ν_ｉ、を決定することをさらに可能にする。暗号化されたインデックス１６５は第１プロセッサに与えられる。

要素の暗号化されたインデックスに基づいて選択すること
様々な実施の形態では、暗号化された要素の選択を該要素の暗号化されたインデックスに基づいて行うことが、第１プロセッサと第２プロセッサとの間のオブリビアス（紛失）通信を使用する。たとえば、１つの実施の形態では、第１プロセッサは、１≦ｉ≦Ｎに対して、数γおよびβ_ｉをランダム（無作為）に選択して、ξ（β_ｉ（ｉ−α）＋ν_ｉ＋γ）を決定するために、準同形写像特性を使用する。ここで、γは第１摂動項であり、また、β_ｉ（ｉ−α）は、その値が暗号化されたインデックスで零と等しいインデックスの第２摂動関数である。第１プロセッサは、その結果として生じる、Ｎ個の暗号化されたエントリー（項目）を有するベクトルを第２プロセッサへ与える。

第２プロセッサは、修正変更された要素ν_α＋γを得るためインデックスｉ＝αに対応するエントリーを解読する。第２プロセッサは、修正変更された要素を再暗号化して、第１プロセッサに提供する。

第１プロセッサは、次式を介して第１摂動項γにより導入されたノイズを削除して暗号化された要素１８０を生成するために、加法的準同形写像特性を使用する。

図４は、この実施の形態の、自明である擬似コードを示す。
従来の方法は、安全なミリオネア（ｍｉｌｌｉｏｎａｉｒｅ）プロトコルの変形例を使用して、プライバシを保護したままベクトルの要素を決定する。たとえば、それらの方法は、ベクトルの最小要素を決定するために、安全なミリオネアプロトコルを繰り返し適用することを行う。しかしながら、それらの方法は、両方のプロセッサでの通信オーバヘッドがＮ２に比例するので、計算（演算）上非能率的である。

この発明の実施の形態は、順序を維持したままのスケーリングを使用することにより、ベクトルの要素対（ペア）の比較を回避する。マッピングは、暗号化されていない領域における関心要素のインデックスの決定を可能にする。

この発明は好ましい実施の形態の例として記述されたが、この発明の趣旨および範囲内で、様々な他の改変および変更が行われてもよいことが理解されるべきである。したがって、この発明の真実の趣旨および範囲内に入るような、すべての変更例および変形例をカバーすることが、添付の特許請求の範囲の目的である。

Claims (18)

1. 第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択する方法であって、前記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密解読鍵および公開暗号鍵を含み、また、前記暗号化されたベクトルは、前記公開鍵で暗号化されて、前記第１プロセッサに格納され、また、前記第１プロセッサは、暗号化された領域においてのみ動作するものであり、
   前記方法は、
   前記暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするステップと、
   スケーリングされ順列化されたベクトルを生成するために、前記暗号化されたベクトルの前記要素の順序を順列化するステップと、
   前記暗号化された領域の情報を前記第２プロセッサへ提供するステップであって、基礎となる、暗号化されていない領域の情報は、前記スケーリングされ順列化されたベクトルの中の要素の順序を示すものである、ステップと、
   前記スケーリングされ順列化されたベクトルの中の前記暗号化された要素の暗号化されたインデックスを得るステップと、
   前記暗号化されたインデックスに基づいて、前記暗号化された要素を選択するステップと、を含み、
   本方法の前記各ステップは前記第１プロセッサによって行われる、方法。
2. 前記暗号化されたベクトル内の前記暗号化された要素の順序は、前記秘密鍵で前記第２プロセッサにより解読された、前記暗号化されたベクトルの複数の要素の値の順序で決定される、請求項１の方法。
3. 前記暗号化されたインデックスは、前記暗号化されていない領域において、前記スケーリングされ順列化されたベクトルの中の要素の順序により前記第２プロセッサによって決定され、前記公開鍵で暗号化される、請求項１の方法。
4. 前記提供するステップは、
   前記スケーリングされ順列化されたベクトルを第１加算的ベクトルと第２加算的ベクトルとに分割するステップと、
   前記第１加算的ベクトルの要素対の差のベクトルを決定するステップと、
   前記暗号化されたインデックスを決定するために、前記要素対の差のベクトルおよび前記第２加算的ベクトルを前記第２プロセッサへ与えるステップと、
   をさらに含む、請求項１の方法。
5. 前記提供するステップは、
   前記暗号化されたインデックスを決定するために、前記スケーリングされ順列化されたベクトルを前記第２プロセッサへ与えるステップ、
   をさらに含む、請求項１の方法。
6. 前記選択するステップは、
   前記インデックスの第１摂動項および第２摂動関数によって修正変更された、前記暗号化されたベクトルを前記第２プロセッサに提供するステップであって、前記暗号化されたインデックスでの前記第２摂動関数の値が零に等しいものである、ステップと、
   前記暗号化されたインデックスに対応する、前記暗号化されたベクトルの要素を前記第２プロセッサから得るステップと、
   前記暗号化されたベクトルの前記暗号化された要素を得るために、前記暗号化された領域において前記第１摂動項を減算するステップと、
   をさらに含む、請求項１の方法。
7. 前記暗号化されたインデックスは、順序規則に基づいて決定される、請求項１の方法。
8. 前記順序規則は、前記暗号化された要素がそれぞれ、前記暗号化されたベクトル内の最小要素あるいは前記暗号化されたベクトル内の最小要素であるように、最小あるいは最大の要素を選択するものである、請求項７の方法。
9. 前記スケーリングするステップは、
   順序を維持する行列を構成するステップと、
   前記暗号化されたベクトルに前記順序を維持する行列を乗算するステップと、
   をさらに含む、請求項１の方法。
10. 整数ｇ＞０を選択するステップと、
    次式により順序を維持する行列Ｇ∈Ｚ^ＮｘＮを決定するステップであって、
    

    

    ここで、Ｚは整数のセット（組）であり、Ｎは前記暗号化されたベクトル内の要素の数であり、また、要素ｇ_ｉは整数である、ステップと、
    をさらに含む、請求項９の方法。
11. システムの第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択するためのシステムであって、前記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密解読鍵および公開暗号鍵を含み、また、前記暗号化されたベクトルは、前記公開鍵で暗号化されて、前記第１プロセッサに格納され、また、前記第１プロセッサは暗号化された領域においてのみ動作するものであり、
    前記システムは、
    前記暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするための手段と、
    スケーリングされ順列化されたベクトルを生成するために、前記暗号化されたベクトルの前記要素の順序を順列化する手段と、
    前記暗号化された領域の情報を前記第２プロセッサへ提供するための手段であって、暗号化されていない領域の情報は、前記スケーリングされ順列化されたベクトルの中の要素の順序を示すものである、手段と、
    前記スケーリングされ順列化されたベクトルの中の前記暗号化された要素の暗号化されたインデックスを得る手段と、
    前記暗号化されたインデックスに基づいて、前記暗号化された要素を選択する手段と、を含み、
    本システムの前記各手段は前記第１プロセッサによって行われる、システム。
12. 前記スケーリングされ順列化されたベクトルを第１加算的ベクトルと第２加算的ベクトルとに分割する手段と、
    前記第１加算的ベクトルの要素対の差のベクトルを決定する手段と、
    前記暗号化されたインデックスを決定するために、前記要素対の差のベクトルおよび前記第２加算的ベクトルを前記第２プロセッサへ与える手段と、
    をさらに含む、請求項１１のシステム。
13. 前記暗号化されたインデックスを決定するために、前記スケーリングされ順列化されたベクトルを前記第２プロセッサへ与える手段、
    をさらに含む、請求項１１のシステム。
14. 前記インデックスの第１摂動項および第２摂動関数によって修正変更された、前記暗号化されたベクトルを前記第２プロセッサに提供する手段であって、前記暗号化されたインデックスでの前記第２摂動関数の値が零に等しいものである、手段と、
    前記暗号化されたインデックスに対応する、前記暗号化されたベクトルの要素を前記第２プロセッサから得る手段と、
    前記暗号化されたベクトルの前記暗号化された要素を得るために、前記暗号化された領域において前記第１摂動項を減算する手段と、
    をさらに含む、請求項１１のシステム。
15. 第１プロセッサと第２プロセッサとの間の安全なマルチパーティ通信を使用して、暗号化されたベクトル内の暗号化された要素を、該暗号化されたベクトル内の該暗号化された要素の順序により、選択するための方法であって、前記第２プロセッサは強秘匿な加法的準同形写像暗号システムのための１対の鍵を格納し、該１対の鍵は秘密暗号鍵および公開解読鍵を含み、また、前記暗号化されたベクトルは、前記公開鍵で暗号化されて、第１プロセッサに格納され、また、前記第１プロセッサは暗号化された領域においてのみ動作するものであり、
    前記方法は、
    前記暗号化されたベクトルの要素の値を、該暗号化されたベクトル内の該要素の順序が維持されるように、スケーリングするステップと、
    スケーリングされ順列化されたベクトルを生成するために、前記暗号化されたベクトルの前記要素の順序を順列化するステップと、
    前記スケーリングされ順列化されたベクトルを第１加算的ベクトルと第２加算的ベクトルとに分割するステップと、
    前記第１加算的ベクトルの要素対の差のベクトルを決定するステップと、
    暗号化されたインデックスを決定するために、前記要素対の差のベクトルおよび前記第２加算的ベクトルを前記第２プロセッサへ与えるステップと、
    前記スケーリングされ順列化されたベクトルの中の暗号化された要素の暗号化されたインデックスを得るステップと、
    前記インデックスの第１摂動項および第２摂動関数によって修正変更された、前記暗号化されたベクトルを前記第２プロセッサに提供するステップであって、前記暗号化されたインデックスでの前記第２摂動関数の値が零に等しいものである、ステップと、
    前記暗号化されたインデックスに対応する、前記暗号化されたベクトルの要素を前記第２プロセッサから得るステップと、
    前記暗号化されたベクトルの前記暗号化された要素を得るために、前記暗号化された領域において前記第１摂動項を減算するステップと、を含み、
    本方法の前記各ステップは前記第１プロセッサによって行われる、方法。
16. 前記暗号化された要素は前記暗号化されたベクトル内の最小要素である、請求項１５の方法。
17. 順序を維持する行列を構成するステップと、
    前記暗号化されたベクトルに前記順序を維持する行列を乗算するステップと、
    をさらに含む、請求項１５の方法。
18. 次式により前記順序を維持する行列Ｇ∈Ｚ^ＮｘＮを決定するステップであって、
    

    

    ここで、ｇは正の整数であり、Ｚは整数のセット（組）であり、Ｎは前記暗号化されたベクトル内の要素の数であり、また、要素ｇ_ｉは整数である、ステップ、
    をさらに含む、請求項１７の方法。

Images