JP2022180257A - 内積計算装置、内積計算方法、および、内積計算プログラム - Google Patents

Abstract

【課題】ベクトル同士の内積計算を、準同型暗号でデータを暗号化した状態でもベクトルの要素数に制限を設けることなく、効率的に計算することを目的とする。【解決手段】内積計算装置１００は、各々のベクトルの要素数がｋ（ｋは自然数）であり、各々が準同型暗号により暗号化された２つの暗号化ベクトルの内積を計算する。内積計算装置１００は、２つの暗号化ベクトルの要素ごとの和および積の算出と、２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いる。パディング部１２０は、２つの暗号化ベクトルの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２ｎ（ｎは自然数）となるように、２つの暗号化ベクトルの各々にゼロパディングを施す。計算部１３０は、ゼロパディングを施された２つの暗号化ベクトルに対して準同型演算を用いることにより、先頭の要素に２つの暗号化ベクトルの内積が格納されたベクトルＲを算出する。【選択図】図１

Description

本開示は、内積計算装置、内積計算方法、および、内積計算プログラムに関する。特に、準同型暗号および準同型演算を利用した内積計算装置、内積計算方法、および、内積計算プログラムに関する。

準同型暗号とは、データを暗号化したまま演算できる暗号技術である。また、データを暗号文のまま演算する処理は準同型演算と呼ばれる。準同型演算することが可能な演算の種類および回数は具体的な方式によって異なる。準同型暗号を用いることにより、データを秘匿した状態のまま、クラウドサーバといった装置へ分析を委託することが可能となる。

準同型演算は一般的に計算時間といった計算コストが非常に大きい。準同型演算を利用したデータ分析では、データ分析の計算方法を工夫することにより、計算コストを減少させることが必要となる。

非特許文献１では、準同型暗号を利用することで、入力データを暗号化したまま機械学習の推論フェーズを実行する方法が説明されている。非特許文献１では、推論フェーズにおいて繰り返し実行されるベクトル同士の内積計算を、準同型暗号でデータを暗号化した状態でも効率的に計算する方法が開示されている。

Ａｌｏｎ Ｂｒｕｔｚｋｕｓ， Ｏｒｅｎ Ｅｌｉｓｈａ， Ｒａｎ Ｇｉｌａｄ－Ｂａｃｈｒａｃｈ "Ｌｏｗ Ｌａｔｅｎｃｙ Ｐｒｉｖａｃｙ Ｐｒｅｓｅｒｖｉｎｇ Ｉｎｆｅｒｅｎｃｅ"， Ｉｎ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｍａｃｈｉｎｅ Ｌｅａｒｎｉｎｇ， ２０１９．

非特許文献１に記載されている方法には、内積計算を実行したいベクトルの要素数が２の冪（２^ｎ（ｎは自然数））で表される数でなければならないという制限が存在する。

本開示では、主に、ベクトル同士の内積計算を、準同型暗号でデータを暗号化した状態でもベクトルの要素数に制限を設けることなく、効率的に計算することを目的とする。

本開示に係る内積計算装置は、
各々のベクトルの要素数がｋ（ｋは自然数）であり、各々が準同型暗号により暗号化された２つの暗号化ベクトルの内積を計算する内積計算装置であって、前記２つの暗号化ベクトルの要素ごとの和および積の算出と、前記２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いる内積計算装置において、
前記２つの暗号化ベクトルの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２^ｎ（ｎは自然数）となるように、前記２つの暗号化ベクトルの各々にゼロパディングを施すパディング部と、
前記ゼロパディングを施された２つの暗号化ベクトルに対して前記準同型演算を用いることにより、先頭の要素に前記２つの暗号化ベクトルの内積が格納されたベクトルＲを算出する計算部とを備える。

本開示に係る内積計算装置によれば、暗号化ベクトルの要素数に制限を設けることなく、暗号化ベクトル同士の内積計算を効率的に行うことができるという効果を奏する。

実施の形態１に係る内積計算装置の構成例を示す図。 実施の形態１に係る内積計算装置の動作を示すフロー図。 実施の形態１に係る計算処理の具体例を示す図。 実施の形態１の変形例に係る内積計算装置の構成例を示す図。 実施の形態２に係る内積計算装置の構成例を示す図。 実施の形態２に係る内積計算装置の動作を示すフロー図。

以下、本実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る内積計算装置１００の構成例を示す図である。
内積計算装置１００は、コンピュータである。内積計算装置１００は、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

内積計算装置１００は、機能要素として、取得部１１０とパディング部１２０と計算部１３０と出力部１４０と記憶部１５０とを備える。

取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能は、ソフトウェアにより実現される。記憶部１５０は、メモリ９２１に備えられる。なお、記憶部１５０は、補助記憶装置９２２に備えられていてもよいし、メモリ９２１と補助記憶装置９２２に分散して備えられていてもよい。

プロセッサ９１０は、内積計算プログラムを実行する装置である。内積計算プログラムは、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能を実現するプログラムである。
プロセッサ９１０は、演算処理を行うＩＣ（Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）である。プロセッサ９１０の具体例は、ＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）、ＤＳＰ（Ｄｉｇｉｔａｌ Ｓｉｇｎａｌ Ｐｒｏｃｅｓｓｏｒ）、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ（Ｓｔａｔｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）、あるいはＤＲＡＭ（Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）である。
補助記憶装置９２２は、データを保管する記憶装置である。補助記憶装置９２２の具体例は、ＨＤＤである。また、補助記憶装置９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬の記憶媒体であってもよい。なお、ＨＤＤは、Ｈａｒｄ Ｄｉｓｋ Ｄｒｉｖｅの略語である。ＳＤ（登録商標）は、Ｓｅｃｕｒｅ Ｄｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、Ｄｉｇｉｔａｌ Ｖｅｒｓａｔｉｌｅ Ｄｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）端子である。なお、入力インタフェース９３０は、ＬＡＮ（Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）と接続されるポートであってもよい。

出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）（Ｈｉｇｈ Ｄｅｆｉｎｉｔｉｏｎ Ｍｕｌｔｉｍｅｄｉａ Ｉｎｔｅｒｆａｃｅ）端子である。ディスプレイは、具体的には、ＬＣＤ（Ｌｉｑｕｉｄ Ｃｒｙｓｔａｌ Ｄｉｓｐｌａｙ）である。出力インタフェース９４０は、表示器インタフェースともいう。

通信装置９５０は、レシーバとトランスミッタを有する。通信装置９５０は、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信装置９５０は、具体的には、通信チップまたはＮＩＣ（Ｎｅｔｗｏｒｋ Ｉｎｔｅｒｆａｃｅ Ｃａｒｄ）である。

内積計算プログラムは、内積計算装置１００において実行される。内積計算プログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、内積計算プログラムだけでなく、ＯＳ（Ｏｐｅｒａｔｉｎｇ Ｓｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、内積計算プログラムを実行する。内積計算プログラムおよびＯＳは、補助記憶装置９２２に記憶されていてもよい。補助記憶装置９２２に記憶されている内積計算プログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、内積計算プログラムの一部または全部がＯＳに組み込まれていてもよい。

内積計算装置１００は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、内積計算プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、内積計算プログラムを実行する装置である。

内積計算プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、補助記憶装置９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

取得部１１０とパディング部１２０と計算部１３０と出力部１４０の各部の「部」を「回路」、「工程」、「手順」、「処理」、あるいは「サーキットリ」に読み替えてもよい。内積計算プログラムは、取得処理とパディング処理と計算処理と出力処理を、コンピュータに実行させる。取得処理とパディング処理と計算処理と出力処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記憶したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。また、内積計算方法は、内積計算装置１００が内積計算プログラムを実行することにより行われる方法である。
内積計算プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、内積計算プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る内積計算装置１００の動作について説明する。内積計算装置１００の動作手順は、内積計算方法に相当する。また、内積計算装置１００の動作を実現するプログラムは、内積計算プログラムに相当する。

本実施の形態に係る内積計算装置１００は、２つの暗号化ベクトルの内積計算を行う。
暗号化ベクトルとは、準同型暗号により暗号化されたベクトルである。暗号化ベクトルは、ベクトルの要素数がｋ（ｋは自然数）であるものとする。ベクトルの要素数をベクトル長ともいう場合がある。

本実施の形態に係る内積計算装置１００は、２つの暗号化ベクトルの要素ごとの和および積の算出と、２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いて、内積計算を行う。準同型演算では、データは暗号化された状態で演算され、演算結果も暗号化された状態で出力される。

本実施の形態においては、内積計算の対象となる暗号化ベクトルは、以下の特徴をもつ準同型暗号によって暗号化されている。準同型暗号によって暗号化された暗号化ベクトルに対して、以下の演算を準同型演算として利用できる。

暗号化ベクトルの要素ごとの加算：
（ａ_０，ａ_１，・・・，ａ_ｎ―１）＋（ｂ_０，ｂ_１，・・・，ｂ_ｎ―１）＝（ａ_０＋ｂ_０，ａ_１＋ｂ_１，・・・，ａ_ｎ－１＋ｂ_ｎ－１）

暗号化ベクトルの要素ごとの積：
（ａ_０，ａ_１，・・・，ａ_ｎ―１）×（ｂ_０，ｂ_１，・・・，ｂ_ｎ―１）＝（ａ_０ｂ_０，ａ_１ｂ_１，・・・，ａ_ｎ－１ｂ_ｎ－１）

暗号化ベクトルの要素をｉ（ｉは整数）要素分回転：
（ａ_０，ａ_１，・・・，ａ_ｎ―１）・ｒｏｔ（ｉ）＝（ａ_{０＋ｉ ｍｏｄ ｎ}，ａ_{１＋ｉ ｍｏｄ ｎ}，・・・，ａ_{ｎ－１＋ｉ ｍｏｄ ｎ}）

つまり、ｉが正であれば、左にｉ要素分回転し、ｉが負であれば、右にｉ要素分回転する。

図２は、本実施の形態に係る内積計算装置１００の動作を示すフロー図である。

ステップＳ１０１において、取得部１１０は、入力インタフェース９３０、あるいは、通信装置９５０を介して、暗号化ベクトルＡ，Ｂを取得する。取得部１１０は、暗号化ベクトルＡ，Ｂをパディング部１２０へ送信する。暗号化ベクトルＡ，Ｂの各々の要素数はｋとする。
具体例として、暗号化ベクトルＡ＝（ａ_０，・・・，ａ_４），Ｂ＝（ｂ_０，・・・，ｂ_４）とする。このとき、ｋ＝５である。

ステップＳ１０２において、パディング部１２０は、２つの暗号化ベクトルＡ，Ｂの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２^ｎ（ｎは自然数）となるように、２つの暗号化ベクトルＡ，Ｂの各々にゼロパディングを施す。
パディング部１２０は、パディングを行った結果の暗号化ベクトルＡ，Ｂを計算部１３０へ送信する。パディングを行った結果の暗号化ベクトルＡ，Ｂの要素数は２^ｎとなる。

具体例では、５以上で、かつ、５に最も近い２の冪は２^３＝８である。よって、暗号化ベクトルＡ，Ｂは、Ａ＝（ａ_０，ａ_１，ａ_２，ａ_３，ａ_４，０，０，０），Ｂ＝（ｂ_０，ｂ_１，ｂ_２，ｂ_３，ｂ_４，０，０，０）となり、暗号化ベクトルＡ，Ｂの各々の要素数は２^３＝８である。すなわち、ｎ＝３である。

ステップＳ１０３において、計算部１３０は、ゼロパディングを施された２つの暗号化ベクトルＡ，Ｂに対して準同型演算を用いることにより、先頭の要素に２つの暗号化ベクトルＡ，Ｂの内積が格納された暗号文であるベクトルＲを算出する。ベクトルＲは暗号化された状態の暗号化ベクトルである。
計算部１３０は、内積計算の結果の暗号文であるベクトルＲを出力部１４０へ送信する。
内積計算は以下の（１）から（５）のように行う。

図３は、本実施の形態に係る計算処理の具体例を示す図である。
（１）計算部１３０は、ゼロパディングを施された２つの暗号化ベクトルＡ，Ｂの要素ごとの積を準同型演算によりベクトルＴとして算出する。ベクトルＴは、暗号化された状態の暗号化ベクトルである。
具体例では、Ｔ＝（ａ_０ｂ_０，ａ_１ｂ_１，ａ_２ｂ_２，ａ_３ｂ_３，ａ_４ｂ_４，０，０，０）となる。

（２）計算部１３０は、以下の（３）および（４）のベクトル計算処理を、ｉが１から２^ｎ－１までの２の冪分を繰り返す。ｉは１から２^ｎ－１のまでの２の冪である。
具体例では、ｉ＝１，２，４である。
（３）計算部１３０は、ベクトルＴの要素をｉ要素分左に回転させたベクトルＴ^＊を準同型演算により算出する。ベクトルＴ^＊は、暗号化された暗号化ベクトルである。
（４）計算部１３０は、ベクトルＴとベクトルＴ^＊との要素ごとの和を準同型演算により算出し、ベクトルＴとベクトルＴ^＊との要素ごとの和をベクトルＴとして更新する。
そして、計算部１３０は、ｉに次の２の冪の値を代入して（３）および（４）のベクトル計算処理を、ｉが２^ｎ－１になるまで繰り返す。

具体例では、ｉ＝１，２，４について（３）および（４）のベクトル計算処理を繰り返す。
ｉ＝１のとき、Ｔ^＊＝（ａ_１ｂ_１，ａ_２ｂ_２，ａ_３ｂ_３，ａ_４ｂ_４，０，０，０，ａ_０ｂ_０）となる。そして、更新されたＴは、Ｔ＝（ａ_０ｂ_０＋ａ_１ｂ_１，ａ_１ｂ_１＋ａ_２ｂ_２，ａ_２ｂ_２＋ａ_３ｂ_３，ａ_３ｂ_３＋ａ_４ｂ_４，ａ_４ｂ_４，０，０，ａ_０ｂ_０）となる。
ｉ＝２のとき、Ｔ^＊＝（ａ_２ｂ_２＋ａ_３ｂ_３，ａ_３ｂ_３＋ａ_４ｂ_４，ａ_４ｂ_４，０，０，ａ_０ｂ_０，ａ_０ｂ_０＋ａ_１ｂ_１，ａ_１ｂ_１＋ａ_２ｂ_２）となる。そして、更新されたＴは、Ｔ＝（ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３，ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，ａ_３ｂ_３＋ａ_４ｂ_４，ａ_４ｂ_４，ａ_０ｂ_０，ａ_０ｂ_０＋ａ_１ｂ_１，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２）となる。
ｉ＝４のとき、Ｔ^＊＝（ａ_４ｂ_４，ａ_０ｂ_０，ａ_０ｂ_０＋ａ_１ｂ_１，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３，ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，ａ_３ｂ_３＋ａ_４ｂ_４）となる。そして、更新されたＴは、Ｔ＝（ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，・・・，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４）となる。なお、ｉ＝４の回の更新されたＴでは、先頭および最後尾の要素以外の要素を省略している。このＴ＝（ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，・・・，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４）がベクトルＲとして算出される。

（５）計算部１３０は、ｉが２^ｎ－１の回、すなわち最後のベクトル計算処理により得られたベクトルＴをベクトルＲとして算出する。ベクトルＲの先頭の要素である第０要素目には、２つの暗号化ベクトルＡ，Ｂの内積が格納されている。
具体例では、ｉ＝４の回のベクトル計算処理により得られたベクトルＲ＝（ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４，・・・，ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４）の先頭の要素が内積計算の結果「ａ_０ｂ_０＋ａ_１ｂ_１＋ａ_２ｂ_２＋ａ_３ｂ_３＋ａ_４ｂ_４」となる。

上記の（１）から（５）のように計算することで、暗号化ベクトルの先頭の要素に内積計算の結果が格納される。

ステップＳ１０４において、出力部１４０は、ベクトルＲの先頭の要素を、２つの暗号化ベクトルＡ，Ｂの内積として出力する。例えば、出力部１４０は、ベクトルＲと、先頭の要素が１の単位ベクトルとの積を取ることで、ベクトルＲの先頭の要素を取り出す。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る内積計算装置１００では、準同型暗号を利用して暗号化したベクトルに対して効率的な内積計算を実行することができる。そのため、内積計算を必要とするデータ分析作業について、準同型暗号を利用してデータを秘匿したまま、効率的に実行可能となる。

また、本実施の形態に係る内積計算装置１００では、ベクトルの暗号に用いる準同型暗号を特定の方式に依存する必要が無い。そのため、より高速な準同型暗号が新たに開発された場合でも、準同型演算がその準同型暗号を利用することができ、本実施の形態に係る内積計算処理も高速化することが可能である。

＊＊＊他の構成＊＊＊
本実施の形態では、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能がソフトウェアで実現される。変形例として、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能がハードウェアで実現されてもよい。
具体的には、内積計算装置１００は、プロセッサ９１０に替えて電子回路９０９を備える。

図４は、本実施の形態の変形例に係る内積計算装置１００の構成例を示す図である。
電子回路９０９は、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能を実現する専用の電子回路である。電子回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、Ｇａｔｅ Ａｒｒａｙの略語である。ＡＳＩＣは、Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙの略語である。

取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。

別の変形例として、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。また、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の一部またはすべての機能がファームウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、取得部１１０とパディング部１２０と計算部１３０と出力部１４０の機能は、プロセッシングサーキットリにより実現される。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

＊＊＊構成の説明＊＊＊
図５は、本実施の形態に係る内積計算装置１００の構成例を示す図である。
本実施の形態に係る内積計算装置１００は、実施の形態１で説明した図１の構成要素に加え、ベクトル結合部１６０を備える。

ベクトル結合部１６０は、複数のベクトルＲを取得する。複数のベクトルＲとは、異なる複数の暗号化ベクトルの組の内積を先頭の要素に格納している複数の暗号化ベクトルのことである。例えば、複数のベクトルＲは、暗号化ベクトルＡ，Ｂの内積を格納したベクトルＲ_０、暗号化ベクトルＦ，Ｇの内積を格納したベクトルＲ_１、および暗号化ベクトルＨ，Ｉの内積を格納したベクトルＲ_２といったベクトルＲである。

ベクトル結合部１６０は、複数のベクトルＲに対して準同型演算を用いることにより、複数のベクトルＲの各々の先頭の要素に格納された内積を要素とするベクトルを結合ベクトルＣとして算出する。

＊＊＊動作の説明＊＊＊
図６は、本実施の形態に係る内積計算装置１００の動作を示すフロー図である。
ステップＳ１０１からステップＳ１０３の処理は、実施の形態１で説明したものと同様である。
なお、本実施の形態では、複数の異なる暗号化ベクトルの組についてステップＳ１０１からステップＳ１０３の処理が実施され、計算部１３０は、複数のベクトルＲとしてベクトルＲ_０，…，Ｒ_ｍ（ｍは自然数）を算出するものとする。

ステップＳ２０１において、ベクトル結合部１６０は、計算部１３０から受け取った複数のベクトルＲ_０，Ｒ_１，Ｒ_２，…，Ｒ_ｍを一つの暗号化ベクトルに結合する計算を行う。ベクトル結合部２０４によるベクトル結合処理は以下の（ａ），（ｂ），（ｃ）のように行う。複数のベクトルＲ_０，…，Ｒ_ｍの各々の要素数は２^ｎとする。

（ａ）ベクトル結合部１６０は、Ｒ_０からＲ_ｍの複数のベクトルＲの各々と、先頭の要素が１で他の要素が０である単位ベクトルとの積を準同型演算により複数のベクトルＲ^＊として算出する。ベクトルＲ^＊は暗号化された状態の暗号化ベクトルである。
具体例では、ベクトル結合部１６０は、ベクトルＲ_０，Ｒ_１，Ｒ_２，…，Ｒ_ｍに対して、ベクトル（１，０，０，０，０，０，０，０）との要素ごとの積を、準同型演算を利用して計算する。計算結果のベクトルをＲ^＊ _０，Ｒ^＊ _１，Ｒ^＊ _２，…，Ｒ^＊ _ｍとする。

（ｂ）ベクトル結合部１６０は、準同型演算により、複数のベクトルＲ^＊の各々を順番に０からｍ要素分右に回転させる。
具体例では、ベクトル結合部１６０は、ベクトルＲ^＊ _０，Ｒ^＊ _１，Ｒ^＊ _２，…，Ｒ^＊ _ｍを、それぞれ準同型演算を利用して、－ｊ要素（ｊ＝０，…，ｍ）回転させる。ベクトルＲ^＊ _１を－１要素分回転させ、ベクトルＲ^＊ _２を－２要素分回転させ、・・・、ベクトルＲ^＊ _ｍを－ｍ要素分回転させる。

（ｃ）ベクトル結合部１６０は、回転させた複数のベクトルＲ^＊の要素ごとの和を準同型演算により結合ベクトルＣとして算出する。すなわち、（ｂ）の結果である、全てのベクトルＲ^＊の要素ごとの和を、準同型演算を利用して計算し、計算結果を結合ベクトルＣとして出力する。

上記の（ａ）から（ｃ）のように計算することで、結合ベクトルＣの第０要素目から第ｍ要素目までに、暗号化ベクトルＲ_０，Ｒ_１，Ｒ_２，…，Ｒ_ｍがそれぞれ保持していた内積計算の結果が格納される。

ステップＳ２０２において、出力部１４０は、各要素に内積結果が格納された結合ベクトルＣを出力する。

例えば、複数のベクトルＲとして、暗号化ベクトルＣ（Ｃ，０，．．．，０），暗号化ベクトルＤ（Ｄ，０，．．．，０），暗号化ベクトルＥ（Ｅ，０，．．．，０）を想定する。このとき、暗号化ベクトルＤを右に１要素回転させ、暗号化ベクトルＥを右に２要素回転させる。そして、暗号化ベクトルＣ，Ｄ．Ｅの各要素の和を準同型演算により計算する。これにより、各要素に専用の要素の内積結果が格納された暗号化ベクトル（Ｃ，Ｄ，Ｅ，０，．．．，０）を得ることができる。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る内積計算装置１００では、実施の形態１で得られた効果に加え、計算結果として得られた暗号化ベクトルを、次の内積計算装置１００の入力として利用可能となる。これによって、１回のデータ分析において複数回の内積計算が必要な場合においても、本実施の形態の手法が適用可能となる。

以上の実施の形態１および２では、内積計算装置の各部を独立した機能ブロックとして説明した。しかし、内積計算装置の構成は、上述した実施の形態のような構成でなくてもよい。内積計算装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、内積計算装置は、１つの装置でなく、複数の装置から構成されたシステムでもよい。
また、実施の形態１および２のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１および２では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本開示の範囲、本開示の適用物の範囲、および本開示の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

１００ 内積計算装置、１１０ 取得部、１２０ パディング部、１３０ 計算部、１４０ 出力部、１５０ 記憶部、１６０ ベクトル結合部、９０９ 電子回路、９１０ プロセッサ、９２１ メモリ、９２２ 補助記憶装置、９３０ 入力インタフェース、９４０ 出力インタフェース、９５０ 通信装置。

Claims (7)

1. 各々のベクトルの要素数がｋ（ｋは自然数）であり、各々が準同型暗号により暗号化された２つの暗号化ベクトルの内積を計算する内積計算装置であって、前記２つの暗号化ベクトルの要素ごとの和および積の算出と、前記２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いる内積計算装置において、
   前記２つの暗号化ベクトルの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２^ｎ（ｎは自然数）となるように、前記２つの暗号化ベクトルの各々にゼロパディングを施すパディング部と、
   前記ゼロパディングを施された２つの暗号化ベクトルに対して前記準同型演算を用いることにより、先頭の要素に前記２つの暗号化ベクトルの内積が格納されたベクトルＲを算出する計算部と
   を備えた内積計算装置。
2. 前記計算部は、
   前記ゼロパディングを施された２つの暗号化ベクトルの要素ごとの積を前記準同型演算によりベクトルＴとして算出し、前記ベクトルＴの要素をｉ（ｉは１から２^ｎ－１のまでの２の冪）要素分左に回転させたベクトルＴ^＊を前記準同型演算により算出し、前記ベクトルＴと前記ベクトルＴ^＊との要素ごとの和を前記準同型演算により算出し、前記ベクトルＴと前記ベクトルＴ^＊との和を前記ベクトルＴとして更新するベクトル計算処理を、ｉが１から２^ｎ－１までの２の冪分を繰り返し、ｉが２^ｎ－１の回の前記ベクトル計算処理により得られた前記ベクトルＴを前記ベクトルＲとして算出する請求項１に記載の内積計算装置。
3. 前記内積計算装置は、
   前記ベクトルＲの先頭の要素を、前記２つの暗号化ベクトルの内積として出力する出力部を備えた請求項１または請求項２に記載の内積計算装置。
4. 前記内積計算装置は、
   異なる複数のベクトルＲを取得し、前記複数のベクトルＲに対して前記準同型演算を用いることにより、前記複数のベクトルＲの各々の先頭の要素に格納された内積を要素とするベクトルを結合ベクトルとして算出するベクトル結合部を備えた請求項１または請求項２に記載の内積計算装置。
5. 前記ベクトル結合部は、
   Ｒ_０からＲ_ｍ（ｍは自然数）の前記複数のベクトルＲの各々と、先頭の要素が１で他の要素が０である単位ベクトルとの要素ごとの積を前記準同型演算により複数のベクトルＲ^＊として算出し、前記準同型演算により前記複数のベクトルＲ^＊の各々を順番に０からｍ要素分右に回転させ、回転させた前記複数のベクトルＲ^＊の和を前記準同型演算により前記結合ベクトルとして算出する請求項４に記載の内積計算装置。
6. 各々のベクトルの要素数がｋ（ｋは自然数）であり、各々が準同型暗号により暗号化された２つの暗号化ベクトルの内積を計算する内積計算装置であって、前記２つの暗号化ベクトルの要素ごとの和および積の算出と、前記２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いる内積計算装置に用いられる内積計算方法において、
   前記２つの暗号化ベクトルの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２^ｎ（ｎは自然数）となるように、前記２つの暗号化ベクトルの各々にゼロパディングを施し、
   前記ゼロパディングを施された２つの暗号化ベクトルに対して前記準同型演算を用いることにより、先頭の要素に前記２つの暗号化ベクトルの内積が格納されたベクトルＲを算出する内積計算方法。
7. 各々のベクトルの要素数がｋ（ｋは自然数）であり、各々が準同型暗号により暗号化された２つの暗号化ベクトルの内積を計算する内積計算プログラムであって、前記２つの暗号化ベクトルの要素ごとの和および積の算出と、前記２つの暗号化ベクトルの各々における要素の回転とが可能な準同型演算を用いる内積計算プログラムにおいて、
   前記２つの暗号化ベクトルの各々の要素数が、ｋ以上で、かつ、ｋに最も近い２の冪２^ｎ（ｎは自然数）となるように、前記２つの暗号化ベクトルの各々にゼロパディングを施すパディング処理と、
   前記ゼロパディングを施された２つの暗号化ベクトルに対して前記準同型演算を用いることにより、先頭の要素に前記２つの暗号化ベクトルの内積が格納されたベクトルＲを算出する計算処理と
   をコンピュータに実行させる内積計算プログラム。

Images