JP2022523182A - モジュラー整数を使用したセキュアなマルチパーティ計算のための算術 - Google Patents

Abstract

セキュアなマルチパーティ計算は、バックエンドでモジュラー整数表現を使用して実数演算を実装する。実施の一部として、第１のモジュラー表現において複数のパーティによって共同で記憶された秘密共有値は、より大きな最上位ビットを有する第２のモジュラー表現にキャストされる。パーティは、範囲が２等分に分割された、第１の表現における秘密共有マスキング値を使用して、その秘密共有値と秘密共有マスキング値との和をマスクして、明らかにする。パーティは、マスキング値を含む範囲の半分を識別する秘密共有ビットを、和とともに使用して、第２のモジュラー形式で秘密共有値を表す秘密共有のセットを共同で構築する。以前の作業とは対照的に、開示された解決策は、効率性またはセキュリティを犠牲にすることなく、ゼロではないエラーの確率を排除する。【選択図】図４

Description

関連出願
本出願の主題は、２０１９年２月２２日出願の米国仮特許出願第６２８０９５４３号に関連しており、その全体が参照により本明細書に組み込まれる。本出願の主題はまた、２０１８年８月３０日に出願され、２０１９年３月７日に世界知的財産機関国際公開第ＷＯ２０１９０４６６５１Ａ２号として公開された特許協力条約出願第ＰＣＴ／ＵＳ２０１８／０４８９６３号に関連しており、その全体が参照により本明細書に組み込まれる。

プライバシー保護マルチパーティ計算（ＭＰＣ）技術により、多数のパーティが、入力を秘密にしながら、共有または明らかにされた出力を生成する機能を共同で評価することができる。このような計算は、例えば、入力データが、それらのデータを開示することができない別個のプライベートデータソースから来るが、機密データに基づいた公開結果が必要な場合に、医療および金融において使用される。

ＭＰＣは通常、多数の参加者間で時間的および地理的に分割される。参加者は、それぞれが別個のコンピューティングシステムを表し、典型的には、ｋ個のパーティおよび１つの信頼できるディーラーを含む。本明細書で使用されるように、パーティおよびプレイヤーという用語は、互換的に使用され、マルチパーティ計算に参加している個々のパーティコンピュータシステムを指している。

計算を実装するためのコードのコンパイル後、信頼できるディーラーは、まず、ＭＰＣのオフライン段階を実行する。オフライン段階では、信頼できるディーラーは、マスク（マスキングデータ、トリプレットとも呼ばれる）を生成し、各パーティがそのマスクの共有のみを知っており、いずれも共有の合計によって表される平文マスク値を知らないように、これらのマスクの共有をパーティに分配する。マスクの決定は、典型的には、マスクがデータに関連して適切に構成されるように、統計分析の観点から操作されることが予想されるデータに依存する。

次いで、ｋ個のパーティは、定義されたＭＰＣプロトコルに従ってパーティがメッセージを交換またはブロードキャストすることができる同期ステップを用いて、ＭＰＣのオンライン段階を共同で実行する。オンライン段階は、信頼できるディーラーがアクセスすることができないファイアウォール環境で実行することができる。

ＭＰＣは、平文擬似コード（plaintext pseudocode）の分配等価物（distrobuted equivalent）であり得、これは、ＭＰＣフレンドリーな基本動作の単一の静的割り当て（ＳＳＡ）グラフとして説明することができる。ＳＳＡグラフのノードは平文変数であり、各パーティは変数のローカルビュー（または秘密共有）を得る。このローカルビューをＭＰＣコンテナとして示す。ＭＰＣフレンドリーな基本操作は、ＭＰＣコンテナおよび任意選択的にいくつかの静的パラメータを入力として取り、ＭＰＣコンテナを出力として生成するビルトインと呼ばれる。

図１は、マルチパーティ計算のｋ個のパーティに対するＭＰＣコンテナの概略を示す。全体的に、ＭＰＣコンテナは、ＳＳＡ内の１つの変数、すなわち、公開（すべてのパーティによって知られているが、信頼できるディーラーによって知られていない）または秘密共有

（各パーティがその共有のみを知っている）、１つのマスク

（ディーラーによって知られ、すべてのパーティ間で共有されている秘密）、および任意選択的なマスク値ａ＝ｘ＋λ（すべてのパーティによって知られているが、典型的にはディーラーによって知られていない）のいずれかであり得る平文値ｘに関するすべての情報を保持する。注記：二重四角括弧表記

は、秘密共有値を示すために本明細書で使用される。

局所的に、各パーティは、以下のようにフィールドを有する構造であり得る、ＭＰＣコンテナのトレースを有する：
－公開値ｘ（コンテナが公開されている場合）
－公開価値の１つのシェアｘ_ｊ
－コンテナのマスクの１つのシェアλ_ｊ
－マスク値ａ（コンテナがマスクされ、明らかにされている場合）。

Ｋ個のコンテナの結合を分析すると、次のようになる：コンテナの平文の値は、定義上、すべてのシェアの合計Σｘ_ｊであり、コンテナが公開されている場合、すべてのパーティは平文の値を知っており、各パーティはこの値ｘを事前設定している。この場合、ＭＰＣプロトコルで他のフィールドを使用する必要はない。コンテナのマスクはλ＝Σλ_ｊである。マスクの値は、（オフライン段階中に）信頼できるディーラーのみが知っている。オンライン段階中、実際のマスクを知っている、または学習しているパーティはいない。マスク値ａはλ＋ｘに等しい。特殊なマスクアンドリビール動作は、各パーティにそのｘ_ｊ＋λ_ｊをブロードキャストするように指示し、これにより、各パーティは、同じフィールドａ＝ｘ＋λを共同で再構築し、記憶することができるようになる。ビルトインに現れる全ての他の技術的またはローカル変数は、エフェメラル変数と呼ばれる。

２つの以前の作業は、ＭＰＣの文脈において実数を表すために、浮動小数点表示とは対照的に、固定小数点整数表現の使用を提案している。以前の作業の最初のものは、以下、Ｐ．ＭｏｈａｓｓｅｌおよびＹ．Ｚｈａｎｇにより「ＳｅｃｕｒｅＭＬ」と称され、２０１７ ＩＥＥＥ Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｓｅｃｕｒｉｔｙ ａｎｄ Ｐｒｉｖａｃｙ，ＳＰ ２０１７，Ｓａｎ Ｊｏｓｅ，ＣＡ，ＵＳＡ、２０１７年５月２２～２６日、１９～３８ページ、２０１７において”ＳｅｃｕｒｅＭＬ：Ａ ｓｙｓｔｅｍ ｆｏｒ ｓｃａｌａｂｌｅ ｐｒｉｖａｃｙ－ｐｒｅｓｅｒｖｉｎｇ ｍａｃｈｉｎｅ ｌｅａｒｎｉｎｇ”と題される。以前の作業の２番目のものは、以下、Ｐ．ＭｏｈａｓｓｅｌとＰ．Ｒｉｎｄａｌにより「ＡＢＹ^３」と称され、Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ｔｈｅ ２０１８ ＡＣＭ ＳＩＧＳＡＣ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｐｕｔｅｒ ａｎｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ Ｓｅｃｕｒｉｔｙ，ＣＣＳ ２０１８，Ｔｏｒｏｎｔｏ，ＯＮ，Ｃａｎａｄａ、２０１８年１０月１５～１９日、３５～５２ページ、２０１８において“ＡＢＹ^３”と題される．

ｍｏｄＲｅａｌ表現。これらの作業では、実数演算は、固定サイズの整数型（例えば、ｉｎｔ６４、すなわち、整数モジュロ２^６４）に対する加算、減算およびラウンド分割の評価を通じて、実装される。例えば、２つの３０ビット整数ｘおよびｙを乗算し、結果のうちの３０個の最上位ビットを保持するために（浮動小数点乗算に類似して）、最初にｘｙを計算し（オーバーフローなしで積を６４ビット整数に適合させることによって）、次いで、結果を３０ビット右シフトすることができる。２つの作業は、ｘ＝ｃｅｎｔｅｒｍｏｄ_ｑ（ｘ_１＋．．．＋ｘ_ｋ）となるように、これらの動作を、

（いくつかの整数ｑについて）としてｋ個のパーティ（ｓｅｃｕｒｅＭＬではｋ＝２、ＡＢＹ^３ではｋ≧３）の間で平文

が秘密共有されるＭＰＣ設定に適合させる。署名された数学的リフトｃｅｎｔｅｒｍｏｄ_ｑ（ｘ）は、

となるように一意の整数

であると定義される。算術共有に対する実数のこの特定の表現をｍｏｄＲｅａｌ表現と呼ぶ。

ＳｅｃｕｒｅＭＬ，Ｓｅｃｔｉｏｎ４．１，ｓｕｂｓｅｃｔｉｏｎ ｔｉｔｌｅ：“Ａｒｉｔｈｍｅｔｉｃ Ｏｐｅｒａｔｉｏｎｓ ｏｎ Ｓｈａｒｅｄ Ｄｅｃｉｍａｌ Ｎｕｍｂｅｒｓ”は、次のように示唆している。各数の

ビットが数の分数部を表すように定義されるように、（小数点以降の２進数字）共通整数表現に記憶された２つの２進１０進数ｘおよびｙの固定小数点積を考える。この場合、

は、整数バックエンドを使用してネイティブに表すことができる整数となる。ただし、積ｚ＝ｘ’ｙ’は、いくつかの整数

に対して乗算が

において行われたとして、表現の分数部に最大

ビットを有することになる。しかしながら、特にＭＰＣの状況において、小数点の後に追加の２進数字を維持することは、実用的ではない場合がある。ＳｅｃｕｒｅＭＬは、最後の

ビットを無視または切り捨てることによって、結果の分数部を表すビット数を減らすことを示唆している。たとえば、積は

のように表すことができ、ここで、

であり、結果が

のみを含むと考える。

その後、ｓｅｃｕｒｅＭＬは上記の切り捨て技法を秘密共有値

に拡張する。事実上、

のそれぞれの秘密シェアを保持する２つのパーティは、それぞれの個々のシェアを切り捨てることができる。その後、高い確率で、２つの切り捨てられたシェアがｚの切り捨て

を再構築できることが定理１で示される。Ｘ_１とｘ_２が非常に小さいｘの２つの秘密シェアである場合、非常に高い確率で、２つのシェアｘ_１とｘ_２は_、２つの反対側の半円ｍｏｄ内

にある。２つのパーティでのみ機能する解決策は、シェアを切り捨てるためにローカル手順に依存するが、結果として生じる秘密共有値が誤っている確率はゼロではない。

ＡＢＹ^３は、§５．１．１におけるｓｅｃｕｒｅＭＬの２パーティ切り捨て技法の制限に取り組み、§５．２．２は、ＭＰＣ設定で３つ以上のパーティに及ぶ切り捨てのための追加技法を提示する。しかしながら、繰り返しになるが、これら追加技法は、実際には無視できない確率で失敗する可能性がある。

２つの以前の作業では、ビーバートリプレットモジュロｑを使用して乗算が実施され、各シェアに対して局所的にラウンドを実施することができ（

によって境界付けられた平文値の小さなエラーを犠牲にして）、各シェアにおいて局所的に加算を行うことができる。分割のための２つのバリアントが提案される：最初のバリアントは、ｓｅｃｕｒｅＭＬにおいて、２つのパーティ間の通信がない２つのパーティ解決策であり、２つ目のバリアントは、ＡＢＹ^３において、ｋ個のパーティに対するビーバートリプレットベース解決策である。どちらの場合でも、除算の結果はほとんどの場合正しいが、いくつかの小さいがゼロではない確率で、検出できない巨大なオーバーフローが発生する。Ｍ個の整数要素および共有モジュロｑの平文範囲のオーバーフロー確率は、Ｍ／ｑである。２つの３０ビット整数を乗算する上述の例では、オーバーフロー確率は２^６１／２^６４＝１／８であり、精度を２０ビットに低下させると２^４１／２^６４に低下する。オーバーフローが発生すると、オーバーフローは大きくなる（ｓｅｃｕｒｅＭＬ以降、オーバーフローの振幅は緩和されたが、それでも、新しいＡＢＹ^３の改訂版では、結果の最上位ビットが変更される）。したがって、これらの間違った値を含む任意の集計関数が影響を受ける。オーバーフローの確率は係数あたりであるため、（ロジスティック回帰、線形回帰、ニューラルネットなどのほとんどのＭＬ使用ケースの場合のように）Ｎ個の係数のベクトルまたはマトリクスに計算を行うと、少なくとも１つの破壊的オーバーフローの存在がＮによって乗算され、無視できないものになる。

数百万の係数を扱うために、２つの以前の作業によって提案された２つの可能な対策は、精度を低下させる（６４ビットのバックエンドで最大１０ビットの精度を提供する）か、バックエンドサイズを例えば１２８ビットに増加させる（４～１６倍遅くする）かのいずれかである。なお、１０ビットの固定小数点精度は、平文の正確な分布（例えば、特徴スケールの入力、シグモイドの出力など）を知っている数値的に安定した使用ケースでは十分であること。しかし、秘密平文分布の不確実性のために、固定小数点指数が実数値よりも４または５ビット高いと推定される場合、大きなアンダーフロー状況に遭遇することもある。

セキュアなマルチパーティ計算の文脈において、第１のモジュラー表現において多数のパーティによって共同で記憶された秘密共有値は、より大きな最上位ビットを有する第２のモジュラー表現にキャストされる。キャストには、信頼できるディーラーが、範囲が２つに分かれているマスキング値をパーティと秘密共有することを含む。パーティは、マスキング値を使用して、秘密共有値とマスキング値の合計をマスクし、明らかにする。信頼できるディーラーは、マスキング値を含む範囲の半分を少し符号化するビットを、パーティと秘密共有する。パーティは、合計とともに秘密共有ビットを使用して、第２のモジュラー形式で秘密共有値を表す秘密共有のセットを共同で再構築する。以前の作業とは対照的に、開示された解決策は、効率性またはセキュリティを犠牲にすることなく、ゼロではないエラーの確率を排除する。この方法は、以下の詳細な説明のセクション３．１にさらに詳細に記載されている。

方法は、秘密共有値に対してマルチパーティ計算を実施するように構成されたセキュアなマルチパーティコンピューティングシステム（ＳＭＰＣＳ）によって実施され得、ＳＭＰＣＳは、信頼できるディーラーコンピューティングシステムおよびセキュアなネットワーク化通信における複数のパーティコンピューティングシステムを含む。本方法は、秘密共有値を第１のモジュラー表現から第２のモジュラー表現にキャストするためのものであり、第１のモジュラー表現は、第１のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、第２のモジュラー表現は、第２のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、第２のモジュラー表現の最上位ビット位置は、第１のモジュラー表現の最上位ビット位置よりも大きい。

一実施形態によれば、パーティコンピューティングシステムの各々は、第１のモジュラー表現の秘密共有値のそれぞれの秘密シェアを記憶する。信頼できるディーラーコンピューティングシステムは、マスキング値を記憶し、マスキング値が第１のモジュラー表現内のパーティコンピューティングシステム間で秘密共有されるように、第１のモジュラー表現におけるマスキング値のそれぞれの秘密シェアをパーティコンピューティングシステムの各々に通信する。信頼できるディーラーコンピューティングシステムは、マスキング値が存在するサブ範囲を決定することであって、サブ範囲が、第１のモジュラー表現の範囲を表す複数の所定の非重複サブ範囲から選択される、決定すること、決定されたサブ範囲を数値サブ範囲識別子に符号化すること、数値サブ範囲識別子がパーティコンピューティングシステム間で秘密共有されるように、パーティコンピューティングシステムの各々に、数値サブ範囲識別子のそれぞれの秘密シェアを通信することを行う。信頼できるディーラーコンピューティングシステムは、マスキング値に対して少なくとも第１の数学的リフトを実施することによって、第１の変換において、マスキング値を変換されたマスキング値に変換する。信頼できるディーラーコンピューティングシステムは、変換されたマスキング値が第２のモジュラー表現においてパーティコンピューティングシステム間で秘密共有されるように、第２のモジュラー表現の変換されたマスキング値のそれぞれの秘密シェアをパーティコンピューティングシステムの各々に通信する。パーティコンピューティングシステムは、秘密共有値の秘密シェアまたはマスキング値の秘密シェアを明らかにすることなく、秘密共有値とマスキング値との和をマスク値として共同で計算し、明らかにする。

ＳＭＰＣＳは、第２の変換において、マスク値に対して少なくとも第２の数学的リフトを実施することによって、マスク値を第１の変換されたマスク値に変換する。ＳＭＰＣＳは、第３の変換において、マスク値に対して少なくとも第３の数学的リフトを実施することによって、マスク値を第２の変換されたマスク値に変換し、第１の数学的リフト、第２の数学的リフト、および第３の数学的リフトは、それぞれ互いに異なる。パーティコンピューティングシステムは、パーティコンピューティングシステムの各々が、第１の変換されたマスク値、第２の変換されたマスク値、各パーティコンピューティングシステムについて、数値サブ範囲識別子のそれぞれの秘密シェア、および各パーティコンピューティングシステムについて、変換されたマスキング値のそれぞれの秘密シェア、に基づき、第２のモジュラー表現の秘密共有値のそれぞれの秘密シェアを計算するように、パーティコンピューティングシステムが、第２のモジュラー表現の秘密共有値を共同で計算する。

第１の数学的リフトおよび第２の数学的リフトが、第１のモジュラー表現の範囲の４分の１ずれた値を互いに対して生成し、第２の数学的リフトおよび第３の数学的リフトが、第１のモジュラー表現の範囲の半分ずれた値を互いに対して生成する、方法が行われ得る。

第１の数学的リフト、第２の数学的リフト、および第３の数学的リフトは、

によってパラメータ化されたｑｕａｒｔｅｒｍｏｄリフトであって、（Ｍ_ｍｓｂ－１）が第１のモジュラー表現の最上位ビット位置である、ｑｕａｒｔｅｒｍｏｄリフトと、

によってパラメータ化されたｑｕａｒｔｅｒｍｏｄリフトと、

によってパラメータ化されたｐｏｓｍｏｄリフトからなる群からそれぞれ選択される、方法が行われ得る。

第１の数学的リフトが、

によってパラメータ化されたマスキング値に対するｑｕａｒｔｅｒｍｏｄリフトであり、第２の数学的リフトが、

によってパラメータ化されたマスキング値に対するｃｅｎｔｅｒｍｏｄリフトであり、第３の数学的リフトが、

によってパラメータ化されたマスキング値に対するｐｏｓｍｏｄリフトであり、（Ｍ_ｍｓｂ－１）が、第１のモジュラー表現の最上位ビット位置である、方法が行われ得る。

２^Ｍによってパラメータ化されたｘに対するｑｕａｒｔｅｒｍｏｄリフトが

となるように一意のリアル（unique real）

として定義され、２^Ｍによってパラメータ化されたｘに対するｃｅｎｔｅｒｍｏｄリフトが

となるように一意のリアル

として定義され、２^Ｍによってパラメータ化されたｘに対するｐｏｓｍｏｄリフトが

となるように一意のリアル

として定義される、方法が行われ得る。

第１の変換は、第１の数学的リフトの結果を、

の最も近い倍数にラウンドすることであって、ｐ’_ｌｓｂは第２のモジュラー表現の最下位ビット位置である、ラウンドすること、およびラウンドのモジュロ

を取ることであって、（Ｍ’_ｍｓｂ－１）は、第２のモジュラー表現の最上位ビット位置である、取ることをさらに含み、第２の変換は、第２の数学的リフトの結果を

の最も近い倍数にラウンドすること、およびラウンドのモジュロ

を取ることをさらに含み、第３の変換は、第３の数学的リフトの結果を

の最も近い倍数にラウンドすること、およびラウンドのモジュロ

を取ることをさらに含む、方法が行われ得る。

第１の変換、第２の変換、および第３の変換は、それぞれ、関連する数学的リフトの結果を

に投影することを含み、（Ｍ’_ｍｓｂ－１）が、第２のモジュラー表現の最上位ビット位置である、方法が行われ得る。

「複数の所定の非重複サブ範囲」が、２つの等しいサイズのサブ範囲からなり、数値サブ範囲識別子が、数字０および１からなる群から選択される、方法が行われ得る。

秘密共有された数値サブ範囲識別子が、第２のモジュラー表現において秘密共有値を計算する際に使用するために、第１の変換されたマスク値と第２の変換されたマスク値との間で選択するために、パーティコンピューティングシステムによって共同で使用される、方法が行われ得る。

第１のモジュラー表現および第２のモジュラー表現が、実数の固定小数点整数表現である、方法が行われ得る。

方法は、秘密共有値に対してマルチパーティ計算を実施するように構成されたＳＭＰＣＳによって実施され得、ＳＭＰＣＳは、セキュアなネットワーク化通信における複数のパーティコンピューティングシステムを含む。本方法は、秘密共有値を第１のモジュラー表現から第２のモジュラー表現にキャストするためのものであり、第１のモジュラー表現は、第１のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、第２のモジュラー表現は、第２のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、第２のモジュラー表現の最上位ビット位置は、第１のモジュラー表現の最上位ビット位置よりも大きい。

一実施形態によれば、パーティコンピューティングシステムの各々は、第１のモジュラー表現に秘密共有値のそれぞれの秘密シェアを記憶する。ＳＭＰＣＳは、マスキング値がパーティコンピューティングシステム間で共有されるように、マスキング値のそれぞれの秘密シェアをパーティコンピューティングシステムの各々に通信する。ＳＭＰＣＳは、パーティコンピューティングシステムの各々に、マスキング値が存在するサブ範囲の指示のそれぞれの秘密シェアを通信し、サブ範囲は、第１のモジュラー表現の範囲を表す複数の所定の非重複サブ範囲から選択され、その結果、サブ範囲指示は、パーティコンピューティングシステム間で秘密共有される。ＳＭＰＣＳは、マスキング値に対して少なくとも第１の数学的リフトを実施することによって、第１の変換において、マスキング値を変換されたマスキング値に変換する。ＳＭＰＣＳは、変換されたマスキング値が第２のモジュラー表現においてパーティコンピューティングシステム間で秘密共有されるように、第２のモジュラー表現の変換されたマスキング値のそれぞれの秘密シェアをパーティコンピューティングシステムの各々に通信する。パーティコンピューティングシステムは、秘密共有値の秘密シェアまたはマスキング値の秘密シェアを明らかにすることなく、秘密共有値とマスキング値との和をマスク値として共同で計算し、明らかにする。ＳＭＰＣＳは、第２の変換において、マスク値に対して少なくとも第２の数学的リフトを実施することによって、マスク値を第１の変換されたマスク値に変換する。ＳＭＰＣＳは、第３の変換において、マスク値に対して少なくとも第３の数学的リフトを実施することによって、マスク値を第２の変換されたマスク値に変換し、第１の数学的リフト、第２の数学的リフト、および第３の数学的リフトは、それぞれ互いに異なる。パーティコンピューティングシステムは、パーティコンピューティングシステムの各々が、第１の変換されたマスク値、第２の変換されたマスク値、各パーティコンピューティングシステムについて、サブ範囲指示のそれぞれの秘密シェア、および各パーティコンピューティングシステムについて、変換されたマスキング値のそれぞれの秘密シェア、に基づき、第２のモジュラー表現の秘密共有値のそれぞれの秘密シェアを計算するように、パーティコンピューティングシステムが、第２のモジュラー表現の秘密共有値を共同で計算する。

第１の変換、第２の変換、および第３の変換は、それぞれ、関連する数学的リフトの結果を

に投影することを含み、（Ｍ’_ｍｓｂ－１）が、第２のモジュラー表現の最上位ビット位置である、方法が行われ得る。

「複数の所定の非重複サブ範囲」が、２つの等しいサイズのサブ範囲からなり、数値サブ範囲識別子が、数字０および１からなる群から選択される、方法が行われ得る。

秘密共有された数値サブ範囲識別子が、第２のモジュラー表現において秘密共有値を計算する際に使用するために、第１の変換されたマスク値と第２の変換されたマスク値との間で選択するために、パーティコンピューティングシステムによって共同で使用される、方法が行われ得る。

第１のモジュラー表現および第２のモジュラー表現が、実数の固定小数点整数表現である、方法が行われ得る。

それぞれの初期モジュラー表現に記憶された第１の秘密共有値と、それぞれの初期モジュラー表現に記憶された第２の秘密共有値との乗算を行うための方法は、第１の秘密共有値と、第２の秘密共有値との両方が共通のモジュラー表現に記憶されるように、第１の秘密共有値と、第２の秘密共有値とのうちの少なくとも１つを、キャストするための前述の方法のいずれか１つに従い、共通のモジュラー表現にキャストすることと、共通のモジュラー表現における第１の秘密共有値および第２の秘密共有値に対してビーバー乗算を実施するとと、を含むことができる。

それぞれの初期モジュラー表現にそれぞれ記憶される複数の秘密共有値と、対応する複数の静的係数とを結合するための方法は、複数の秘密共有値の全てが共通のモジュラー表現に記憶されるように、複数の秘密共有値のうちの少なくとも１つを、キャストするための前述の方法のいずれか１つに従い、共通のモジュラー表現にキャストすることと、共通のモジュラー表現に記憶された複数の秘密共有値と、対応する複数の静的係数との線形結合を実施することと、を含むことができる。

秘密共有値に対する連続関数を評価する方法は、秘密共有値に基づき、複数の確定済みフーリエ級数からフーリエ級数を選択することであって、複数の確定済みフーリエ級数の各々が、連続関数のドメインの関連するサブ間隔上の連続関数を近似するように構成されている、選択することと、選択に基づき、キャストするための前述の方法のいずれか１つに従い、秘密共有値を、第１のモジュラー表現から第２のモジュラー表現にキャストすることと、選択されたフーリエ級数を使用して、第２のモジュラー表現における秘密共有値上の連続関数の値を近似することと、を含むことができる。

システムは、前述の方法のいずれか１つを実施するように構成されている、複数のコンピュータシステムを含むことができる。

非一時的コンピュータ可読媒体は、複数のコンピュータシステムによって実行されると、複数のコンピュータシステムに、前述の方法のいずれか１つを実施させるように、コンピュータコードで符号化され得る。

ＭＰＣコンテナの概略を示す図である。 固定小数点表示におけるビット間の関係を示す図である。 クラス間で表現をキャストするための４つのキャスト演算を示す図である。 例示的な入力値に対する４つのキャスト演算のそれぞれの例示的な適用を示す図である。 Ｌｉｆｔ演算のオフライン段階の擬似コードの実装を示す図である。 Ｌｉｆｔ演算のオンライン段階の疑似コードの実装を示す図である。 ｓｈａｒｅＲｅｆｒｅｓｈ演算のオフライン段階の疑似コードの実装を示す図である。 ｓｈａｒｅＲｅｆｒｅｓｈ演算のオンライン段階の疑似コードの実装例を示す図である。 モジュラー表現における２つの秘密共有値に対するビーバー乗算演算の疑似コードの実装を示す図である。 ビーバー乗算動作の概略を示す図である。 モジュラー表現における１つの秘密共有値および１つの公開値に対するビーバー乗算演算の疑似コードの実装を例示する。 ビーバー乗算演算の概略を示す図である。 クリーニングステップを実施することができる例示的な入力を示す図である。 ＭｏｄＲｅａｌ表現を伴う線形結合演算の擬似コードの実装を示す図である。 線形結合演算の概略を示す図である。 信頼できるディーラーモデルのための通信チャネルを示す図である。 誠実だが好奇心旺盛なモデルのための通信チャネルを示す図である。 オンライン段階中のパーティ間の通信チャネルの概略を示す図である。 本明細書に開示する構成要素を実装するように適宜構成され得る汎用コンピュータアーキテクチャを示す図である。

以下の説明では、それに従って本開示の発明の対象が実施され得る、様々な実施形態について述べる。実施形態によっては、１つの／ある／別の実施形態などといった表現を使用して記述されることがあり、そのうちの複数の場合が、必ずしも同じ実施形態を指すわけではない。このような場合に関連する特定の特徴、構造、または特性は、特に断りのない限り、様々な実施形態において、任意の好適な方式で組み合わせられ得る。例として、本開示は、実施形態のためのいくつかのオプションまたは可能性のセットまたはリストを示してもよく、そのような場合、本開示は、セットまたはリスト内のアイテムのすべての明らかに実行可能な組み合わせおよび／または順列を具体的に企図する。

１ 概要
本開示では、マルチパーティ計算（ＭＰＣ）設定におけるモジュラー整数表現を使用して、高い数値精度で実数演算を実施するための新規の技術を提示する。特に、第１のモジュラー表現に記憶された秘密共有値を第２のモジュラー表現にキャストするための方法を開示する。以前の作業とは対照的に、開示された解決策は、線形回帰およびロジスティック回帰などの機械学習技術にとって重要である、効率性およびセキュリティを犠牲にすることなく、エラーを有利に排除する。

ＭＰＣに対してフル閾値セキュリティモデルを採用し、計算をオフライン段階とオンライン段階に分ける。オフライン段階（入力データとは無関係）は、信頼できるディーラーまたは誠実だが好奇心旺盛なディーラーのいずれかによって実施され得る。この段階のより強力なモデルと検証可能性は、忘れられた転送や切り取り選択などの標準的な技術を介して達成することができる。オンライン段階では、結果の加算共有が計算される。

私たちの作業では、以前の作業と同じ共有の定義を維持しているが、オーバーフローを完全に排除する小さな項（Ｍ／ｑ≦１／２）を追加することで、トリプレット（マスキング値）の定義を変更する。この方法は、オンライン段階中に１回の通信を維持し、全体的な実行時間を保持するわずかな２進演算だけを追加する。新しい方法は常に正しく、セキュリティは無条件であり、任意の数のパーティに対して機能する。

簡単にまとめると、ＡＢＹ^３におけるオーバーフローは、例えば、除算演算中に、ランダムマスクｒ′ｍｏｄｑ（オフライン段階中に選択される）およびマスク値ａ＝ｘ′－ｒ′ｍｏｄｑから小さな平文ｘ∈Ｚを再構築する必要があるという事実に由来する。後者は、クラスｍｏｄｑと互換性のない除算演算を適用する前に、オンライン段階中に明らかにされる。そのためには、ｒ′とａの両方が［－ｑ／２，ｑ／２］で暗黙的に整数にリフトされる。より正確には、ＡＢＹ^３ §５．１．１、５．１．２では、これらの２つの暗黙的なセンタ化されたリフトは、１）

がランダムであるトリプレットｒ＝ｒ′／２^ｄの定義において、および２）明らかに

かつ局所的な計算（ｘ′－ｒ′）／２^ｄの演算において、の２つの演算中に生ずる。これらの２つのリフトは、ａ－ｒ′がリアルを超えてｘ′に等しいというさらなる仮定と常に互換性があるとは限らない（均等性は、小さい確率で＋ｑまたは－ｑだけ異なる場合がある）。新しい設定では、無条件のセキュリティを保証するｒ’の全範囲を保持する。依然として、群

を２等分し、オフライン段階中、ｒ′を含む半群を符号化する追加のビットを秘密共有し、秘密共有ビットを同じトリプレットに追加する。各半群は、パーティが両方のリフトを計算し、次いで、オンライン段階中に共有ビットを使用して、正しいリフトを気づかずに選択することができるように、ａ～ｒ’について異なるリフトに対応する。

２平文値および秘密共有の表現
２．１ 浮動小数点表示および固定小数点表示
平文の実数ｘは、

として浮動小数点の形式で表すことができる。
－仮数ｍは、１／２≦｜ｍ｜＜１、および
－指数ｅ∈Ｚ（データ依存）となるように正規化される。
この表現は、ｍとｅの両方が平文値ｘに依存するという意味で、明らかにデータ依存である。特に、指数ｅの値は正確に

である。浮動小数点表示は、指数ｅを決定するために、ｘのサイズに関する情報を必要とするため、この値ｅがマルチパーティ計算の前にコンパイラによって知られていないため、データに依存し、ＭＰＣフレンドリーではない。

平文の実数ｘは、

として固定小数点（整数）形式で表すこともできる。
仮数ｍは、１／２≦｜ｍ｜＜１、および
指数ｅ∈Ｚ（公開値）となるように正規化される。

マルチパーティ計算を開始する前のコンパイラの視点から、指数は、公開と見なされるか、または公開として扱われることができるが、仮数は、私的として扱われることができる。コンパイラは、計算の前に秘密数ｘを知らないため、コンパイラがｍに対して上記の正規化を保証する正確なｅを決定することは不可能である。次の２つの例に示すように、オーバーフローまたはアンダーフローを容易に起こす可能性があるため、この表現も適していない。

オーバーフローＸ＝１０．１（_２）とｙ＝１０（_２）の２つの数（２進）を掛けるとする。これらの両方は、指数２を有する。しかしながら、結果の事前計算された公開指数がまだ２である場合、計算は、ｘ×ｙ＝１０１_（２）のため、オーバーフローする。したがって、オーバーフローを回避するには、少なくとも３の指数が必要となる。

アンダーフロー仮数のビット数がバインドされ（４ビット）、ｘ^２＝１．１（_２）×１．１（_２）＝１０．０１_（２）を計算したいとするシナリオを仮定する。この制限で、事前に計算された指数が２ではなく３であった場合、精度は失われ、つまり、結果は１０．０１_（２）ではなく０１０．０_（２）になる。

したがって、プログラム内の各値について指数に十分に良いバインドを保管する中間的な方法を採用する。このバインドは、特定の統計分析によって、専用コンパイラを介して、静的に推定され得る。この方法は、秘密値そのものを明らかにすることなく、秘密値について可能な限り正確に公開バインドを保持する。その観点から、実数表現は、固定小数点と浮動小数点の両方の特徴を組み合わせることによってハイブリッドとなる。

コンパイラの観点からは、指数は公的であると見なすことができるが、仮数は私的であると見なすことができる。しかしながら、コンパイラは確かに秘密数ｘを知らないので、コンパイラがｍについて上記の正規化を保証する正確な指数ｅを判定することは不可能である。

２．２ リアルのハイブリッド平文表現
固定小数点（整数）表示で実数を表すための次のパラメータを導入する。
－ｐ_ｌｓｂは、最下位ビットのビット位置を示し、
－（ｐ_ｍｓｂ－１）は、最上位ビットのビット位置を示し、
－ρ＝ｐ_ｍｓｂ－ｐ_ｌｓｂは、平文の数値ウィンドウ、すなわち固定小数点精度を表す。
パラメータｐ_ｍｓｂおよびｐ_ｌｓｂは_、動作されると予想されるデータの統計分析に基づいて、コンパイラによって決定され得る。実際には、制限因子は、数値ウィンドウρのサイズ（すなわち、仮数ｍのビット数、等価的に、コンパイラによって保持される指数バインドと、保持されるべき小数部分の二進数桁の数との差）である。Ρが小さいほど、バックエンドで算術が効率的になる。したがって、静的解析は、以下の２つの条件を確保する必要がある。
－静的に決定されたバインドは、オーバーフローを回避するのに十分である。
－バインドは、精度の損失を避けるために、できる限り正確である（ρの制限を考慮）。

定義１（実数の整数表現）パラメータｐ_ｍｓｂおよびｐ_ｌｓｂが与えられた場合、これらのパラメータを使用して表される平文値のクラスは、

によって示され、

であると定義される。

例えば、ｘ＝１は、ｐ_ｍｓｂ＝１を有し、ｘ＝３は、ｐ_ｍｓｂ＝２を有する。なお、クラス

は厳密には［ステップ

において２］と

の間のすべての実数（この場合は有理数）を表す。なお、Ｐ_ｌｓｂはしばしば負である（正確な整数部分と、少数部分から数ビットの精度を計算したい場合）が、一般的に、これである必要はない。負のｐ_ｌｓｂは、小数部分のビットを検討していることを意味する。Ρ＝ｐ_ｍｓｂ－ｐ_ｌｓｂは、数値を表すのに必要なビット数を本質的に示している。負のｐ_ｌｓｂが多いほど、フロートの精度が高くなり、それを表すのに必要なビットが多くなる。
実施例１ｐ_ｍｓｂ＝４０およびｐ_ｌｓｂ＝－１０について、Ρ_＝４０－（－１０）＝５０である。この場合、最下位ビットは位置－１０にあり、最上位ビットは位置３９にあり、最下位非分数ビットは位置０にある。
実施例２Ｐ_ｌｓｂ＝－２およびｐ_ｍｓｂ＝５について、数値は１０１１．１（_２）として２進値で表され、

では０１０１１．１０_（２）として表される。この場合、２つの分数ビットは、ビット位置－２および－１を占め、非分数ビットは、位置０～４を占める。
与えられた実数は、多くの異なる平文クラスに属することができることに注意する（すなわち、上記の例の１１．５は

に属しているが、

や

にも属している）。

図２は、固定小数点表示におけるビットｐ_ｍｓｂとｐ_ｌｓｂとの関係、およびアンダーフローおよびオーバーフロー条件において影響を受けるであろう、関連するビットを示す。

平文オーバーフローセット(Plaintext overflow)

は群でもリングでもなく、特に、加法、減法、乗法などの実算術演算の下では安定していない。たとえば、数値３は

に属すが、３＋３、－３－３、および３×３はすべてバインド

を超えている。より一般的には、式の結果が出力された平文セットの

を超える場合には、平文オーバーフローと呼ぶ。

平文オーバーフローのリスクを回避するために、ｐ_ｍｓｂが少なくともｌｏｇ_２（ｘ）であることを確実にする。しかし、変数のパラメータｐ_ｍｓｂとｐ_ｌｓｂは、コンパイル時に（値ｘの実数値を知る前に）指定する必要があるため、リスクを軽減するには、ｐ_ｍｓｂをすべての可能な値の上限に設定する必要がある。これにより、変数に実数値を割り当てるときにオーバーフローが発生しないことが確実にされる。これはまた、実際（または浮動小数点）の精度が、固定小数点の精度ｐ_ｍｓｂ－ｐ_ｌｓｂよりも常に小さいことを意味している。

平文アンダーフロー。固定指数が大きすぎる場合、平文情報を完全に失う可能性がある。例えば、ｘ＝１×１０^－３およびｙ＝６×１０^－６、ｘｙ＝６×１０^－６である場合、浮動小数点数表示については、１小数桁が、積の仮数を表すのに十分であり、計算された指数は、

である。

一方、固定小数点の世界では、入力の平文パラメータが、４小数桁の精度に対応する（ｐ_ｍｓｂ、ｐ_ｌｓｂ）＝（０、－１４）に設定されている場合、一般的な誤りは、積ｐ_ｍｓｂが、２つの入力ｐ_ｍｓｂの和であると仮定することであり、ここでは、同じ１４ビットの固定小数点の精度の結果を期待することであり、パラメータ（ｐ_ｍｓｂ、ｐ_ｌｓｂ）＝（０、－１４）では、この場合、結果は、次のように計算される。０．００１０×０．００６０＝０．００００で、結果が完全に失われる。このようなケースは平文アンダーフローと呼ばれ、この例では効果的に１４ビットの固定小数点の精度があるが、計算された結果は浮動小数点の観点から完全に間違っている。

２．３ ＭｏｄＲｅａｌ－実数のモジュラー表現
ＭｏｄＲｅａｌ表現は、例えば、６４ビットまたは１２８ビットの整数に基づくことができる、モジュラー整数表現の実算術を指している。この表現は、小数点の後に固定数の二進数字を含む、実数の固定小数点表示を有するコンピュータプロセッサの固定小数点ユニットを使用することができる。

マルチパーティ計算においてセキュリティを達成するために、特定のサイズの平文値は、典型的には、より大きなパラメータを有する値のクラスに属する値を共有するために秘密共有される。さらに、秘密シェアは、より大きなクラスからの値によってマスクされる。これらのより大きな秘密共有クラスは、２つの整数Ｍ_ｍｓｂおよびｐ_ｌｓｂによってパラメータ化される。すべての場合において、平文の最下位位置と一致するため、同じ記号ｐ_ｌｓｂを自発的に使用するが、秘密共有されたデータに使用されるパラメータＭ_ｍｓｂは、通常、対応する平文に使用されるｐ_ｍｓｂよりも大きくなる。
－ｐ_ｌｓｂは、マスク／共有の最下位ビットのビット位置を示す。
－（Ｍ_ｍｓｂ－１）は、マスク／共有の最上位ビットのビット位置を示す。

定義２（実数のモジュラー表現）パラメータＭ_ｍｓｂとｐ_ｌｓｂが与えられると、実数の秘密共有のモジュラー表現に使用されるクラスは、有限アーベル群として定義される。

なお、

は

に対して同類形態（アーベル群として）であり、使用する自然な

－モジュール構造を有する。

最終的に、ＭＰＣ計算の情報理論的セキュリティ特性を達成することを可能にするクラス

の重要な特性（すべての実数

のセットとは異なり）は、均一分布を認めることである。

実施例。Ｐ_ｌｓｂ＝－２およびｐ_ｍｓｂ＝６の場合、数値ｘ＝１１．５＝１２＋１＋２＋８は、２進数で１０１１．１として表され、

では００１０１１．１０として表される。反対の数値ｘ′＝－１１．５＝５２．５＝１／２＋４＋１６＋３２ｍｏｄ６４は２進数で１１０１００．１として表され、

では１１０１００．１０として表される。なお、ｘとｘ′の整数部分のビットは反対である。最初のビットは数字の符号を与え、最初のビットが０の場合、数字は正、それ以外の場合は負である。

２．４ ＭｏｄＲｅａｌ数学リフト
秘密共有の考えを定義する前に、全体を通して使用されるトーラス

（正の整数Ｍに対して）から

（実数）へのいくつかの自然なリフトを提示する。ここで、リフトとは、自然全射の一部を意味する

整数２^Ｍでパラメータ化された、

から

への４つの数学的リフトを次のように定義する。
－

は、

となるように一意の実数

として定義される
－

は、

となるように一意のリアル

として定義される
－

は、

となるように一意のリアル

として定義される
－

は、

として定義される。この差は、ｘがどの半空間に属するかによって、０または２^Ｍのいずれかである。

２．５ 共有のモジュラー表現
モジュラー表現は、秘密共有された実数の共有を表すために有利に使用され得る。

定義３（秘密共有のモジュラー表現）一実施形態において、数字

は、以下の場合に、

としてクラス

で秘密共有される、

ＭＰＣ共有の非モジュラー表現に対するモジュラー表現の利点は、例によって示され得る。

実施例１。まず、上記の非モジュラークラス

を使用して、各共有の非モジュラー表現のケースを考える。平文整数４２は、

において［３３，９７、－８８］として、または

において［１６４３０１、－８０６８４５，６４２５８６］として、３つのパーティ間で秘密共有され得る。正確な平文整数を再計算するには、３つのシェアすべてが必要である。しかしながら、第１のシナリオでは、最初の２つのシェアの和は、２^７＝１２８と比較してかなり大きく、平文整数が正であることを強く示している。問題は、より大きな表現を犠牲にして、より大きなｐ_ｍｓｂを使用する２番目の実施例で緩和される。

実施例２：次に、

において［３３，９７，４０］として３つのパーティ間で秘密共有される同じ整数４２を考える。正確な整数の平文を再計算するには、３つのシェアすべてが必要であるが、今回は、

がグループであり、均一分布を有するため、最初の２つのシェアは、平文の値に関する情報を全く提供しない。そのような共有のセキュリティは、ｋのうちｋ－１のパーティの連合にとっては情報理論的である。

３ キャスト演算（Casting Operations）
モジュラー整数の形態で表される秘密共有された実数に対する加算や乗算などの基本的な算術演算をサポートするために、まず、互換性のあるクラス（平文クラスと秘密共有クラス）で２つのオペランドをキャストできることを確実にする必要がある。したがって、キャスト演算が、所与のセットのパラメータに対する表現を、別のセットのパラメータに対する表現に効率的に変換することを可能にすることが重要である。このセクションでは、所与のクラス

からのモジュラー共有のセットを、異なるパラメータＭ’_ｍｓｂ、ｐ’_ｌｓｂを持つ別のクラス

からのモジュラー共有の別のセットに変換する方法を説明する。キャスト演算は、パラメータｐ_ｌｓｂおよびＭ_ｍｓｂを減少または増加させるかに応じて、通信を必要とする場合も必要としない場合もある。

図３は、パラメータｐ_ｌｓｂおよびＭ_ｍｓｂのいずれかを増加または減少させるかに応じて、クラス間の表現をキャストするための４つのキャスト演算を示す。これらの４つのキャスト演算には、Ｅｘｔｅｎｄ、Ｒｏｕｎｄ、Ｐｒｏｊｅｃｔ、およびＬｉｆｔが含まれる（Ｌｉｆｔは上記の４つの自然リフトとは異なる）。

図４は、例示的な入力値に対する４つのキャスト演算のそれぞれの例示的な適用を示す。例示される実施例では、平文値ｘ＝１０１１．１_（２）に対するモジュラー共有は、

においてモジュラーシェアｘ_１＝００１０００．１０およびｘ_２＝００００１１．００を有する２つのパーティ間で秘密共有される。この実施例は、シェアｘ_１が異なるパラメータｐ_ｌｓｂまたはＭ_ｍｓｂを持つ別のモジュラー数にどのようにキャストされるかを示している。簡単化のため、演算はスカラーで提示されるが、より一般的に、これらの演算はすべて、任意のベクトル／行列／テンソルの各係数に対して独立して実施されるべきである。

Ｅｘｔｅｎｄ（ｐ’_ｌｓｂ＜ｐ_ｌｓｂ）：拡張キャスト演算は、各入力共有に追加の最下位ビットを追加し、新しい最下位ビットを新しい表現において０に設定して、表現の新しいビットを埋める。Ｅｘｔｅｎｄ演算は、パーティ間の通信を必要としない。

Ｒｏｕｎｄ（ｐ’_ｌｓｂ＞ｐ_ｌｓｂ）：Ｒｏｕｎｄキャスト演算は、各入力共有から最下位ビットを削除する。Ｒｏｕｎｄキャスト演算は、共有を保有するパーティ間の通信の有無にかかわらず、実装することができる。Ｒｏｕｎｄキャスト演算が通信なしで実装されている場合、各パーティは、それぞれの共有から最下位ビットをローカルに除去するためにｒｏｕｎｄする。この実装は、キャリー関連のエラーにより、平文のｐ’_ｌｓｂ最下位ビットが正しいことを保証するものではない。しかしながら、Ｒｏｕｎｄキャスト演算は、秘密共有の合計が、ｐ’_ｌｓｂが正しい平文の値になることを確実にするために、パーティ間に通信を有して実装することができる。ｓｈａｒｅＲｅｆｒｅｓｈと呼ばれる、精度を維持するＲｏｕｎｄキャスト演算のそのような実装を以下に示すが、実行時間、メモリ、および通信の点でより高価である。

Ｐｒｏｊｅｃｔ（Ｍ’_ｍｓｂ＜Ｍ_ｍｓｂ）：パーティ間の通信も必要としないＰｒｏｊｅｃｔキャスト演算は、次の自然な全射準同型に従って共有を変換する。

Ｌｉｆｔ（Ｍ’_ｍｓｂ＞Ｍ_ｍｓｂ）：Ｌｉｆｔキャスト演算は、オフラインおよびオンライン段階だけでなく、パーティ間の通信を必要とする。１００％の場合正しく結果を計算するＬｉｆｔキャスト演算の実装を以下に示す。この実装は、動作が確率的であり、失敗の確率がゼロではない以前の作業に対して改善される。

以下では、一実施形態によるＬｉｆｔキャスト演算の実施形態をオンライン段階およびオフライン段階について説明する。ｐ’_ｌｓｂ＝ｐ_ｌｓｂと必ずしも仮定しないことで、わずかにより一般的な方法で行われる。これは、多くの場合、２つの別々のものではなく、通信を必要とする、単一の演算にＬｉｆｔとｓｈａｒｅＲｅｆｒｅｓｈといったキャスト演算を合併することができるという実用的な利点がある。

３．１ 整数モジュラー表現における秘密共有に対するＬｉｆｔキャスト演算の実装
このセクションでは、第１のモジュラークラス

からの共有のセットを第２のモジュラークラス

の共有の別のセットに変換またはキャストする方法を説明し、このとき、第２のクラスのＭ’_ｍｓｂは、第１のクラスのＭ_ｍｓｂよりも大きく、第２のクラスのｐ’_ｌｓｂは、第１のクラスのｐ_ｌｓｂよりも小さく、等しく、または大きくてもよい。整数モジュラー表現の秘密共有に対するこの特定のキャスト演算を、Ｌｉｆｔ（上記のより一般的な自然リフトと区別するために大文字にする）と呼ぶ。一実施形態において、Ｌｉｆｔ演算は、部分的にオフライン（パーティ間の通信なし）で、および部分的にオンライン（パーティ間の通信あり）で、信頼できるディーラーを含むマルチパーティ計算のためのシステムにおいて実行される。

一実施形態によれば、Ｌｉｆｔ演算は、以下のようにマスクされ明らかにされた、秘密共有されたＭＰＣコンテナ（上記の背景技術のセクションで紹介したことを思い出す）に動作する。
－

を用いた平文

の秘密共有

－

においてその合計λが一様にランダムであり、パーティによって知られていないマスク共有

－すべてのパーティによって明らかにされ、知られているマスクされた値

Ｌｉｆｔ演算の目標は、同じ平文ｘの秘密共有

を計算することであり、Ｍ’_ｍｓｂはＭ_ｍｓｂよりも大きい。

定義４。

とする範囲

を非交和

として区分し、

である、
選択変数またはビットを次のように定義する。

特に、ｂ_λ＝０は

と等価であり、次のように書き換えることができる

同様に、ｂ_λ＝１は

と等価であり、次のように書き換えることができる

キャスト演算は、ｑｕａｒｔｅｒｍｏｄ_Ｎ（λ）：λ∈Ｉ_０またはλ∈Ｉ_１について、ビットｂ_λに符号化され得る、これらの２つの可能性を利用する。

とすると、２つの数学的リフトを考えることができる（ともに

において）。

秘密共有された値ｘがｘ∈［－Ｎ／４，Ｎ／４］の範囲内であることを要求することができ、この条件を満たされると、次の等式を観察することができる。

またはより簡潔に

この式を次のように論理的に書き換えることができる。
ｂ_λの値に応じて、値と

の間で効果的に選択するために、

ｘについて共有モジュロ

を得るためには（第二クラスへのｘのマスキングの解除）、上記の等式を自然な全射

を介してトーラス

に投影することができる。信頼できるディーラーは、ｑｕａｒｔｅｒｍｏｄ_Ｎ（λ）の画像

を事前に計算し、秘密共有することができるため、パーティは、上記の式（１）に基づくνと合わせて、オンライン段階で

の知識から回復することができる

これは、より具体的には、以下のように行うことができる。Ｊ∈｛０，１｝について、

とする。パーティは、明らかになったマスク値ａに基づいて、（ａ_１－ａ_０）を決定することができる。信頼できるディーラーは、ｂ_λを事前計算し、パーティ間で

として秘密共有する。ｂ_λの秘密共有は

で行うことができるが、（ａ_１－ａ_０）の２進表現の最上位のＭ’_ｍｓｂ－Ｍ_ｍｓｂビットを除くすべてのビットが常にゼロになることに留意する。したがって、信頼できるディーラーは、パーティが

の共有および（ａ_１－ａ_０）に対して乗算を実施するために、より小さいモジュラークラス

を使用してビットｂ_λを秘密共有することで十分である。

要約すると、信頼できるディーラーは次のことを行う必要がある。
１．ランダムなマスクを生成する

２．選択ビットｂ_λを計算し、

で秘密共有する
３．そのλの特定のリフトＵを

で計算し、

で秘密共有する。より正確に言えば、

ここで、関数

は、実数ｚと整数

を取り、ｚを

の最も近い整数倍にラウンドし、υは、

において

として秘密共有され得る。

コンピューティングのオンライン段階では、パーティは、

にリフトａ_０およびａ_１を使用し、上記のｃｅｎｔｅｒｍｏｄ_Ｎ（ｘ）＋ｑｕａｒｔｅｒｍｏｄ_Ｎ（λ）の計算において、気づかない選択のために最上位Ｍ’_Ｍｓｂ－Ｍ_ｍｓｂビットのみを抽出する。

３．１．１ Ｌｉｆｔ演算の擬似コードの実装
図５は、一実施形態による、Ｌｉｆｔ演算のオフライン段階の疑似コードの実装を示す。図６は、本実施形態によるＬｉｆｔ演算のオンライン段階の疑似コード実装を示す。

上述したｒｏｕｎｄＴｏ関数に加えて、図５および図６に示すＬｉｆｔ演算は、クラスの値および仕様を入力とし、クラスの提供された仕様の表現において合計が入力値となる複数の秘密共有を出力する秘密共有関数を利用する。

図６に示す演算のオンライン段階に関して、演算

を

次のように定義する。
－

末尾にＭ_ｍｓｂ－ｐ’_ｌｓｂのゼロで拡張される。
この定義では、関数ｍｓｂ_Ｎ（ｘ）は、ｘのＮ個の最上位ビットを出力する。

３．２ ｓｈａｒｅＲｅｆｒｅｓｈ演算
定義５．（Ｍ_ｍｓｂ，ｐ_ｌｓｂ）および（Ｍ’_ｍｓｂ，ｐ’_ｌｓｂ）をＭ’_ｍｓｂ≦Ｍ_ｍｓｂとなるような２対のパラメータとする。地図

が次のように定義される：

について、ｚ_０は

および設定されたパラメータにおける任意の代表である

これは次のように書き換えられることが観察され得る。

注記：この表記

は、数値ｘを最も近い整数にラウンドすることを示すために使用される。

命題１。定義５は明確に定義されており、すなわち、代表ｚ_０の選択に依存しない。

証明。Ｚ∈Ｍ_{ｐａｒａｍｓ}およびｚ_１、ｚ_２を

におけるｚの２つの代表とする。定義により、

となるような

が存在する。ｐ’_ｌｓｂ≦Ｍ’_ｍｓｂ≦Ｍ_ｍｓｂのため、

である。特に、

である。Ｍ’_ｍｓｂ≦Ｍ_ｍｓｂのため、

が得られる。

ここから、ｐａｒａｍｓとｐａｒａｍｓ’は命題１の前提を満たすものと想定する。

一実施形態において、ｓｈａｒｅＲｅｆｒｅｓｈ演算は、部分的にはオフライン（パーティ間の通信なし）で、部分的にはオンライン（パーティ間の通信あり）で実行される。図７は、一実施形態による、ｓｈａｒｅＲｅｆｒｅｓｈ演算のオフライン段階の疑似コードの実装を示す。図８は、本実施形態によるｓｈａｒｅＲｅｆｒｅｓｈ演算のオンライン段階の疑似コードの実装を示す。

４ ビーバー乗算
４．１ ＭｏｄＲｅａｌバックエンドでの乗算
２つの秘密共有

間の乗算は、

において定義され、このとき、

は、出力パラメータと呼ばれる。これらのパラメータは、通常、静的解析中にコンパイラによって決定される。

４．２ パラメータ計算式
以下の式は、続くビーバー乗算演算の図および説明と併せて使用される様々なパラメータの計算を示す。

４．３ モジュラーバックエンドでのビーバー乗算（秘密－秘密）
図９は、一実施形態による、モジュラー表現における２つの秘密共有値に対するビーバー乗算演算の疑似コードの実装を示す。図１０は、ビーバー乗算演算の概略を示す。

４．４ モジュラーバックエンドでのビーバーの乗算（秘密－公開）
図１１は、一実施形態による、モジュラー表現における１つの秘密共有値および１つの公開値に対するビーバー乗算演算の疑似コードの実装を示す。図１２は、ビーバー乗算演算の概略を示す。

５ 線形組合せ
Ｃ^（１），．．．，ｃ^（ｎ）を、倍精度浮動小数点数として与えられた公開実数とし、

を対応するパラメータ

を有する秘密共有とするここで

において、素数ｐについて、ｖ_ｐ（ｍ）は、整数

のｐ進付値を示す実際には、これらの整数は、６４ビット符号付き整数として表すことができる。公開ベクトル

は、係数の近似である。上記２４の選択は、タイプフロート３２の平文に類似させるためのものであり、それによって、仮数は、２４ビットとなる。

目標は、

の秘密シェアを、対応するパラメータ

で計算することである。入力共有は、浮動小数点表現またはモジュラー表現のいずれかで同時にあると仮定する。一実施形態において、混合された入力は、サポートされておらず、明示的なキャストを必要とする。しかしながら、出力バックエンドは、入力バックエンドとは異なってもよい（例えば、浮動小数点表現での入力を有し、モジュラー表現での出力を有してもよい）。

５．１ デフォルト出力パラメータ
出力に対して平文パラメータが利用可能でない場合、コンパイラの統計分析器は、結果の統計を推定するために、以下の伝播式を使用してもよい：すべての平文が、平均および分散

の独立変数である場合、Ｖａｒ（ｘ^（ｉ））、出力の平均および分散

は

となる。なお、最後の式は、独立変数に対してのみ真である。一実施形態において、合計の分散について以下の推定値を使用する：

この伝播式に基づいて、コンパイラは、出力コンテナについて妥当なｐ_ｍｓｂ、ｐ_ｌｓｂを既に推定し、次いで、Ｍ_ｍｓｂ＞ｐ_ｍｓｂを割り当てて、計算の正確性およびセキュリティを確保することができる。コンパイラが独立性の仮定を行うことができない場合、結果の統計を推定するために、例えば偽の値へのシミュレーションなど、他の手法を使用するべきである。

５．２ クリーニングステップ
一実施形態において、線形組合せを実行する前に、コンパイラは、以下のように線形組合せ入力を事前処理する：全ての１≦ｉ≦ｎについて、
－α^（ｉ）＝０のすべてのインデックスｉを削除する。
－次のすべてのインデックスｉを削除する。

これは、項が無視可能であり、廃棄することができることを意味する。なお、項を１つずつ動的に削除する場合、上記の不等式の右辺は変化しない（削除された項は、最大値に等しいｐ_ｌｓｂを持つことはできない）。

図１３は、クリーニングステップが実施され得る例示的な入力を示す。この例では、ｐ_ｍｓｂ位置が、残りの間隔の最大ｐ_ｌｓｂ位置の左側にあるため、ラベル１との間隔は、無視できるものとして廃棄されるべきである。

さらに、

を残りのインデックスセットとすることで、以下の基準に従ってテストすることができる（出力パラメータは、入力パラメータウィンドウと交差する必要がある）。
－不等式を確実にする

それ以外の場合は、結果が無視できるか、ゼロであることを宣言する。
－以下の不等式を確実にする

さもなければ、未定義の挙動が得られる。

５．３ 線形結合ビルトイン：ＭｏｄＲｅａｌケース
一実施形態において、コンパイラは、線形結合のための２つの作業パラメータ、

を提供する。これらは、次の性質を満たすように選択される。
－入力のＭｏｄＲｅａｌ共有クラス

へのリフトは、オーバーフローなしで、十分な精度を維持しながら個々のスカラー積

が計算され得ることを確実にする（後者は正確に定義される必要がある）。
－すべての個々の項（スカラー積、ｎ個）のすべての秘密シェア（ｋ個）の合計は、オーバーフローなしでこのクラスで計算され得る（後者は正確に定義される必要がある）。
これにより、以下のデフォルトのパラメータ選択が合理的になる。

各１≦ｉ≦ｎについて、ｉ番目の入力コンテナは、まず、パラメータ

および

でＭｏｄＲｅａｌ数字にキャストされる。

のとき、リフトトリプレットが必要となる（コンテナのマスクλと、２つのエフェメラルな事前計算されたデータｂ、νを伴う。次に、

による乗算は、他の値とともに蓄積されるパラメータ

のシリアライズ可能な値を生成する。最後に、合計を出力パラメータにキャストする。

図１４は、一実施形態による、ＭｏｄＲｅａｌ表現による線形結合演算の疑似コードの実装を示す。図１５は、線形結合演算の概略を示す。

６ 実数値関数のフーリエ近似
通常、複素数値関数ｆ（ｘ）のフーリエ近似が次の形で与えられる。

このとき、Ｔは周期であり

である。係数ａ_ｎは一般の複素数であるが、ｆ（ｘ）が実数値関数の場合、ｎ＞０について

となる。すると、

となる。
これにより、以下の変換が得られる。

フーリエ項は、ｎ＝０．１，…，についてトリプル（ｃ_ｎ，ｎ，φ_ｎ）となり、このとき

は実係数であり、φ_ｎは位相である。

一例として、以下のシグモイド関数

を考える。次いで、実数値関数ｆ（ｘ）＝σ（ｘ）－１／２は、奇数であり、これは、位相φ_ｎが全て、π／２に等しいことを意味する。

６．１ フーリエ級数評価：ＭｏｄＲｅａｌケース
ここで、

および秘密シェア

に対する式（２）をどう評価するかを説明する。

マスク

を思い出されたい。

信頼できるディーラーは、まず、マスクλ、対応するビットｂ_λを計算し、次いで、ｎ＝０，１，．．．，Ｎに関するベクトル

を計算し、秘密共有する（オフライン段階で）。

次いで、オンライン計算は、以下のように実行される：
１．

の要素として

を計算する。
２．

およびｂ_λの秘密共有を使用して、正しいリフト

を計算する。これは、

のため可能である。
３．ｎ＝０．１、…Ｎについてｅ^{２πｎａ／Ｔ}を計算する（これには、元の

だけでなく、リフトａが必要である）。
４．

の秘密シェアを計算する。これは、特定の平文クラスのローカル乗算が決定されることを必要とする。

結果の平文パラメータを決定するために、計算全体がηビットの最大数値ウィンドウ内で発生するという制約を課す（例えば、バックエンドで６４ビット整数のみを使用したい場合、η＝６４）。

まず、

は、微小バインド、すなわち、

を用いて推定することができる。
最適な

を得るために、ｐを数値ウィンドウ、つまり、

とする。

とすると、制約は不等式によって与えられる。
２ｐ＋ε＋２≦η、
すなわち、

これは、計算の出力に対して最大数値ウィンドウを決定する必要があることを意味する。この不等式がなぜ成立するかを知るには、積の乗算ごとにｐビットの精度が必要な場合、

したがって、２ｐである。これらの項のεの合計を取って、モジュラー共有クラスの２つの追加ビットを加える必要がある。したがって、

これに加え、コンパイラは、フーリエ級数ビルトインのための作業パラメータを提供する必要がある。
－

－

作業パラメータを決定するには、最下位ビット位置を決定することから始める（これは、十分な精度を保証するために行う）。以下の式が妥当である。
－

－

この選択には、いくつかの正当化が必要である：パラメータ

は、ｅ^{２πｉｎａ／Ｔ}の計算において、サイズｐの数値ウィンドウを持っていることを確実にする。実際、その量の最上位ビット位置は０であるため、小数部分には少なくともｐ個の２進数字が必要である。しかし、計算は、ビーバーへの両方の入力には同じ数値ウィンドウが必要である、つまり、マップとして見ることができる乗算が必要であると仮定する。

７ 通信モデル
図１６Ａおよび１６Ｂは、マルチパーティ計算（ＭＰＣ）のオフライン段階中のコンピューティングシステム間の通信チャネルの概略を示す。図１６Ａは、信頼できるディーラーモデルのための通信チャネルを示し、図１６Ｂは、誠実だが好奇心旺盛なモデルのためのチャネルを示す。信頼できるディーラーモデルでは、ディーラーは、プライベートチャネルを介して数値マスキングデータ（トリプレットとも呼ばれる）を各パーティに送る。誠実だが好奇心旺盛なモデルでは、パーティは、パーティ全員の間で共有している、プライベート放送チャネルにアクセスすることができ、各パーティは、ディーラーと追加のプライベートチャネルを共有する。プライベートチャネルは、破線で示されている。この信頼できるディーラーモデルでは、ディーラーはマスキングデータを生成し、プライベートチャネルを使用して、データのそれぞれのシェアを、各パーティに送る（一方向矢印）。誠実だが好奇心旺盛なモデルでは、パーティは、数値マスキングデータの生成のための共同し、このために、ディーラーがアクセスできない、追加のプライベート放送チャネルを必要とする。３つのパーティだけが示されているが、モデルは、任意の数のパーティ拡張することができる。

図１７は、一実施形態によるオンライン段階中のパーティ間の通信チャネルの概略を示す。パーティは、実線で示される公開放送チャネルを介してマスク値を送受信する。オンライン段階は、信頼できるディーラーモデルと誠実だが好奇心旺盛なモデルとで同じであり、ディーラーは不在である。

本明細書に開示される方法は、信頼できるディーラーモデルに関して説明される場合もあるが、これらの方法は、誠実であるが好奇心旺盛なモデルと使用することもできる。

８ コンピュータ実装形態
本明細書に開示されている実施形態の構成要素は、方法、プロセス、アプリケーション、プログラム、モジュラー、エンジン、機能などと呼ばれる場合があり、非一時的コンピュータ可読媒体に命令として具体化された専用ソフトウェアを使用して、１つ以上のコンピュータまたはコンピュータシステムを構成することによって実装され得る。１つ以上のコンピュータまたはコンピュータシステムは、ネットワーク化コンピュータシステムとして、有線ネットワークおよび／または無線ネットワークを通して、任意選択的にネットワーク化され得る１つ以上のスタンドアローンコンピュータ、クライアントコンピュータおよび／またはサーバコンピュータとすることができるか、またはそれらを含むことができる。

専用ソフトウェアは、その１つ以上のインスタンスを含み得、それぞれは、例えば、クライアントソフトウェア、サーバソフトウェア、デスクトップアプリケーションソフトウェア、アプリソフトウェア、データベースソフトウェア、オペレーティングシステムソフトウェア、およびドライバソフトウェアのうちの１つ以上を含み得る。クライアントソフトウェアは、システムを、１つ以上のサーバおよび／またはデータベースに対する要求を送信し、情報を受信するクライアントとして動作させるように構成される。サーバソフトウェアは、システムを、１つ以上のクライアントに対する要求を受信し、情報を送信する１つ以上のサーバとして動作させるように構成され得る。デスクトップアプリケーションソフトウェアおよび／またはアプリソフトウェアは、デスクトップおよび／またはポータブルコンピュータ上でデスクトップアプリケーションまたはアプリを動作することができる。データベースソフトウェアは、データおよび／または情報を記憶し、データを取得、記憶、および／または更新するためのクライアントソフトウェアによる要求に応答するために、システム上の１つ以上のデータベースを動作させるように構成され得る。オペレーティングシステムソフトウェアおよびドライバソフトウェアは、コンピュータまたはコンピュータシステムの他のソフトウェアによって使用されるハードウェアまたはプロセスへのインターフェースとして、プラットフォームおよび／またはドライバとしてオペレーティングシステムを提供するように構成され得る。例として、本明細書に開示される実施形態によって作成、使用、または動作される任意のデータは、コンピュータシステム上で動作するデータベースに記憶され、そこからアクセスされ、および／または修正され得る。

図１８は、様々な実施形態による、開示されている構成要素を実装するように適宜構成され得る一般的なコンピュータアーキテクチャ１８００を示す。コンピューティングアーキテクチャ１８００は、コンピュータ１８０１、ネットワーク１８１８、および１つ以上のリモートコンピュータ１８３０など、様々なよくあるコンピューティング要素を含み得る。ただし、本明細書に開示されている実施形態は、この一般的なコンピューティングアーキテクチャ１８００による実装形態に限られるものではない。

図１８を参照するに、コンピュータ１８０１は、例えば、サーバ、デスクトップコンピュータ、ラップトップコンピュータ、タブレットコンピュータ、またはモバイルコンピューティングデバイスなど、様々な汎用コンピュータのいずれかとすることができる。コンピュータ１８０１は、プロセッシングユニット１８０２、システムメモリ１８０４、およびシステムバス１８０６を含み得る。

プロセッシングユニット１８０２は、互いに独立して動作することができる、１つ以上の処理コアをそれぞれ含み得る様々な市販のコンピュータプロセッサのいずれかとする、または、それらのうちの１つ以上を含むことができる。コンピュータには、グラフィックスプロセッシングユニット１８０３などの付加的共プロセッシングユニットも備わっていることがある。

システムメモリ１８０４は、動的ランダムアクセスメモリ（ＤＲＡＭ：Ｄｙｎａｍｉｃ Ｒａｎｄｏｍ Ａｃｃｅｓｓ Ｍｅｍｏｒｙ）または他のランダムアクセスメモリ素子など、揮発性素子を含み得る。システムメモリ１８０４は、読み取り専用メモリまたはフラッシュメモリなど、不揮発性素子も含み得るか、または代替として、それらを含み得る。

コンピュータ１８０１は、ディスクドライブ、ソリッドステートディスク、またはリムーバブルメモリカードなど、ローカル不揮発性二次記憶域１８０８を含み得る。ローカル記憶域１８０８は、１つ以上のリムーバブルおよび／または非リムーバブル記憶ユニットを含み得る。ローカル記憶域１８０８は、コンピュータ上で実行する様々なアプリケーションを開始し、管理するオペレーティングシステムを記憶するために使用され得る。ローカル記憶域１８０８は、本明細書に開示されている実施形態の構成要素を実装するように構成され、またオペレーティングシステム下で１つ以上のアプリケーションとして実行され得る、専用ソフトウェアを記憶するためにも使用され得る。

コンピュータ１８０１は、通信デバイス１８１２も含み得、この通信デバイスを通して、コンピュータは、有線および／または無線のコンピュータネットワーク１８１８上で、１つ以上のリモートコンピュータ１８３０などの他のデバイスと通信する。通信デバイス１８１２は、例えば、有線コンピュータネットワーク上でデータを通信するためのネットワークインタフェースを含み得る。通信デバイス１８１２は、例えば、Ｗｉ－Ｆｉ、Ｂｌｕｅｔｏｏｔｈ、および／または移動電話網上の通信向けの１つ以上の無線送信機を含み得る。

コンピュータ１８０１は、コンピュータネットワーク１８１８を通してネットワーク記憶域１８２０にアクセスすることもできる。ネットワーク記憶域は、例えば、ローカルネットワークに位置するネットワークアタッチドストレージデバイス、または１つ以上のリモートデータセンタでホストされるクラウドベース記憶域を含み得る。オペレーティングシステムおよび／または専用ソフトウェアは、代替として、ネットワーク記憶域１８２０に記憶され得る。

コンピュータ１８０１は、キーボード、マウス、タッチスクリーン、カメラ、マイクロホン、加速度計、温度計、磁気計、または任意の他のセンサなど、様々な入力デバイス１８１４を備え得る。ディスプレイ、スピーカ、プリンタ、偏心回転質量振動モータなどの出力デバイス１８１６も含まれ得る。

様々な記憶域１８０８、通信デバイス１８１２、出力デバイス１８１６、および入力デバイス１８１４は、コンピュータのハウジング内に統合され得るか、またはコンピュータ上の様々な入力／出力インタフェースデバイスを通して接続され得、この場合、参照番号１８０８、１８１２、１８１４、および１８１６は、場合によって、デバイスへの接続用のインターフェースを示すか、またはデバイスそのものを示すことがある。

以上の態様のいずれも、コンピュータシステムとして、このようなコンピュータシステムによって行われるプロセスとして、このようなコンピュータシステムのいずれかの個々の構成要素として、または、コンピュータプログラム命令が記憶されるコンピュータ記憶域を含む製造品として、１つ以上のインスタンスにおいて具体化され得、コンピュータプログラム命令は、１つ以上のコンピュータによって処理されると、このようなコンピュータシステムまたはこのようなコンピュータシステムのいずれかの個々の構成要素を提供するように、１つ以上のコンピュータを構成する。サーバ、コンピュータサーバ、ホスト、またはクライアントデバイスはそれぞれ、コンピュータまたはコンピュータシステムとして具体化され得る。コンピュータシステムは、通信ネットワークを通してつなげられる多数のコンピュータによって作業が実施される、分散型コンピューティング環境において実施され得る。分散型コンピューティング環境では、コンピュータプログラムは、ローカルおよびリモート両方のコンピュータ記憶媒体に位置され得る。

本明細書に記載したものなどの、また１つ以上のコンピュータ上で動作する、コンピュータシステムの各構成要素は、コンピュータの１つ以上のプロセッシングユニットと、１つ以上のプロセッシングユニットによって処理される１つ以上のコンピュータプログラムとを使用して実装され得る。コンピュータプログラムは、命令がコンピュータ内の１つ以上のプロセッシングユニットによって処理される、プログラムモジュールなどのコンピュータ実行可能命令および／またはコンピュータ解釈式命令を含む。通常、このような命令は、プロセッシングユニットによって処理されると、プロセッシングユニットに、データに対して作業を行うように命令するか、または、様々な構成要素もしくはデータ構造を実装するようにプロセッサまたはコンピュータを構成する、ルーチン、プログラム、オブジェクト、構成要素、データ構造などを定義する。

モジュール、エンジン、プロセス、機能などと呼ばれることがある本明細書に開示されている実施形態の構成要素は、例えば、専用ハードウェアロジックコンポーネントを使用することによって、専用ソフトウェアを用いて汎用コンピューティングリソースを構成することによって、または、専用ハードウェアと構成済み汎用コンピューティングリソースとの組合せによって、ハードウェアにおいて実装され得る。使用され得る図示の種類のハードウェアロジックコンポーネントは、例えば、フィールドプログラマブルゲートアレイ（ＦＰＧＡ：Ｆｉｅｌｄ－Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）、特定用途向け集積回路（ＡＳＩＣ：Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）、特定用途向け標準製品（ＡＳＳＰ：Ａｐｐｌｉｃａｔｉｏｎ－Ｓｐｅｃｉｆｉｃ Ｓｔａｎｄａｒｄ Ｐｒｏｄｕｃｔ）、システムオンチップシステム（ＳＯＣ：Ｓｙｓｔｅｍ－ｏｎ－ａ－ｃｈｉｐ ｓｙｓｔｅｍ）、および複雑なプログラマブルロジックデバイス（ＣＰＬＤ：Ｃｏｍｐｌｅｘ Ｐｒｏｇｒａｍｍａｂｌｅ Ｌｏｇｉｃ Ｄｅｖｉｃｅ）を含む。

９ 結びのコメント
ある実施形態に関して主題を説明したが、本明細書に示されている様々な特徴および利点を提供することもしないこともある他の実施形態が、本開示によって考えられるとして理解されるべきである。上記の具体的な実施形態は、単に例として開示され、本特許の主題の範囲は、以下の特許請求の範囲によって規定される。特許請求の範囲では、「ｂａｓｅｄ ｕｐｏｎ（～に基づく）」という用語は、結果または効果をもたらす際、直接的および／または間接的に、また場合によっては他の要因と合わせて、ある要因が考慮される状況を含むものとする。特許請求の範囲では、一部分というのは、あるもののうちの１つもないよりも大きく、あるものの全部までを含むものとし、あるものの暗号化は、そのものの一部分の暗号化を含むものとする。方法クレーム（特許範囲）では、いずれの参照文字も単に説明の便宜上使用され、方法を行う際の特定の順番を示すものではない。

Claims (20)

1. 秘密共有値に対してマルチパーティ計算を実施するように構成されたセキュアなマルチパーティコンピューティングシステムによって実施される方法であって、前記セキュアなマルチパーティコンピューティングシステムが、信頼できるディーラーコンピューティングシステム、およびセキュアなネットワーク化通信における複数のパーティコンピューティングシステムを含み、前記方法が、秘密共有値を第１のモジュラー表現から第２のモジュラー表現にキャストするためのものであり、前記方法が、
   前記パーティコンピューティングシステムの各々が、前記第１のモジュラー表現の前記秘密共有値のそれぞれの秘密シェアを記憶することであって、
   前記第１のモジュラー表現は、前記第１のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有する、記憶することと、
   前記信頼できるディーラーコンピューティングシステムが、マスキング値を記憶し、前記マスキング値が前記第１のモジュラー表現内の前記パーティコンピューティングシステム間で秘密共有されるように、前記第１のモジュラー表現における前記マスキング値のそれぞれの秘密シェアを前記パーティコンピューティングシステムの各々に通信することと、
   前記信頼できるディーラーコンピューティングシステムが、
   前記マスキング値が存在するサブ範囲を決定することであって、前記サブ範囲が、前記第１のモジュラー表現の前記範囲を表す複数の所定の非重複サブ範囲から選択される、決定すること、
   前記決定されたサブ範囲を数値サブ範囲識別子に符号化すること、
   前記数値サブ範囲識別子が前記パーティコンピューティングシステム間で秘密共有されるように、前記パーティコンピューティングシステムの各々に、前記数値サブ範囲識別子のそれぞれの秘密シェアを通信すること、を行うことと、
   前記信頼できるディーラーコンピューティングシステムが、前記マスキング値に対して少なくとも第１の数学的リフトを実施することによって、第１の変換において、前記マスキング値を変換されたマスキング値に変換することと、
   前記信頼できるディーラーコンピューティングシステムが、前記変換されたマスキング値が、前記第２のモジュラー表現において前記パーティコンピューティングシステム間で秘密共有されるように、前記第２のモジュラー表現の前記変換されたマスキング値のそれぞれの秘密シェアを前記パーティコンピューティングシステムの各々に通信することであって、
   前記第２のモジュラー表現は、前記第２のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、前記第２のモジュラー表現の前記最上位ビット位置は、前記第１のモジュラー表現の前記最上位ビット位置よりも大きい、通信することと、
   前記パーティコンピューティングシステムが、前記秘密共有値の前記秘密シェアまたは前記マスキング値の前記秘密シェアを明らかにすることなく、前記秘密共有値と前記マスキング値との和をマスク値として共同で計算し、明らかにすることと、
   第２の変換において、前記マスク値に対して少なくとも第２の数学的リフトを実施することによって、前記マスク値を第１の変換されたマスク値に変換することと、
   第３の変換において、前記マスク値に対して少なくとも第３の数学的リフトを実施することによって、前記マスク値を第２の変換されたマスク値に変換することと、を行うことであって、
   前記第１の数学的リフト、前記第２の数学的リフト、および前記第３の数学的リフトは、それぞれ互いに異なる、行うことと、
   前記パーティコンピューティングシステムの各々が、
   前記第１の変換されたマスク値、
   前記第２の変換されたマスク値、
   各パーティコンピューティングシステムについて、前記数値サブ範囲識別子の前記それぞれの秘密シェア、および
   各パーティコンピューティングシステムについて、前記変換されたマスキング値の前記それぞれの秘密シェア、に基づき、前記第２のモジュラー表現の前記秘密共有値のそれぞれの秘密シェアを計算するように、前記パーティコンピューティングシステムが、前記第２のモジュラー表現の前記秘密共有値を共同で計算することと、を含む、方法。
2. 前記第１の数学的リフトおよび前記第２の数学的リフトは、前記第１のモジュラー表現の前記範囲の４分の１ずれた値を互いに対して生成し、
   前記第２の数学的リフトおよび前記第３の数学的リフトは、前記第１のモジュラー表現の前記範囲の２分の１ずれた値を互いに対して生成する、請求項１に記載の方法。
3. 前記第１の数学的リフト、前記第２の数学的リフト、および前記第３の数学的リフトは、それぞれ、
   

   

   
   によってパラメータ化されたｑｕａｒｔｅｒｍｏｄリフトであって、（Ｍ_ｍｓｂ－１）が前記第１のモジュラー表現の前記最上位ビット位置である、前記ｑｕａｒｔｅｒｍｏｄリフトと、
   

   

   
   によってパラメータ化されたｃｅｎｔｅｒｍｏｄリフトと、
   

   

   
   によってパラメータ化されたｐｏｓｍｏｄリフトと、からなる群から選択される、請求項１に記載の方法。
4. 前記第１の数学的リフトは、
   

   

   
   によってパラメータ化された前記マスキング値に対するｑｕａｒｔｅｒｍｏｄリフトであり、
   前記第２の数学的リフトは、
   

   

   
   によってパラメータ化された前記マスク値に対するｃｅｎｔｅｒｍｏｄリフトであり、
   前記第３の数学的リフトは、
   

   

   
   によってパラメータ化された前記マスク値に対するｐｏｓｍｏｄリフトであり、
   （Ｍ_ｍｓｂ－１）は、前記第１のモジュラー表現の前記最上位ビット位置である、請求項１に記載の方法。
5. ２^Ｍによってパラメータ化されたｘに対するｑｕａｒｔｅｒｍｏｄリフトは
   

   

   
   となるように一意のリアル
   

   

   
   として定義され、
   ２^Ｍによってパラメータ化されたｘに対するｃｅｎｔｅｒｍｏｄリフトは
   

   

   
   となるように一意のリアル
   

   

   
   として定義され、
   ２^Ｍによってパラメータ化されたｘ対するｐｏｓｍｏｄリフトは、
   

   

   
   となるように一意のリアル
   

   

   
   として定義される、請求項４に記載の方法。
6. 前記第１の変換は、
   前記第１の数学的リフトの結果を、
   

   

   
   の最も近い倍数にラウンドすることであって、ｐ’_ｌｓｂは、前記第２のモジュラー表現の前記最下位ビット位置である、ラウンドすることと、
   前記ラウンドのモジュロ
   

   

   
   を取ることであって、（Ｍ’_ｍｓｂ－１）は、前記第２のモジュラー表現の前記最上位ビット位置である、取ることと、をさらに含み、
   前記第２の変換は、
   前記第２の数学的リフトの結果を
   

   

   
   の最も近い倍数にラウンドすることと、
   前記ラウンドのモジュロ
   

   

   
   を取ることと、をさらに含み、
   前記第３の変換は、
   前記第３の数学的リフトの結果を
   

   

   
   の最も近い倍数にラウンドすることと、
   前記ラウンドのモジュロ
   

   

   
   を取ることと、をさらに含む、請求項５に記載の方法。
7. 前記第１の変換、前記第２の変換、および前記第３の変換は、それぞれ、関連する前記数学的リフトの結果を
   

   

   
   に投影することを含み、（Ｍ’_ｍｓｂ－１）が前記第２のモジュラー表現の前記最上位ビット位置である、請求項１に記載の方法。
8. 前記「複数の所定の非重複サブ範囲」は、２つの等しいサイズのサブ範囲からなり、前記数値サブ範囲識別子は、数値０および１からなる群から選択される、請求項１に記載の方法。
9. 前記秘密共有された数値サブ範囲識別子は、前記第２のモジュラー表現において前記秘密共有値を計算する際に使用するために、前記第１の変換されたマスク値と前記第２の変換されたマスク値との間で選択するために前記パーティコンピューティングシステムによって共同で使用される、請求項８に記載の方法。
10. 前記第１のモジュラー表現および前記第２のモジュラー表現が、実数の固定小数点整数表現である、請求項１に記載の方法。
11. 秘密共有値に対してマルチパーティ計算を実施するように構成されたセキュアなマルチパーティコンピューティングシステムによって実施される方法であって、前記セキュアなマルチパーティコンピューティングシステムが、セキュアなネットワーク化通信における複数のパーティコンピューティングシステムを含み、前記方法が、秘密共有値を第１のモジュラー表現から第２のモジュラー表現にキャストするためのものであり、前記方法が、
    前記パーティコンピューティングシステムの各々が、前記第１のモジュラー表現の前記秘密共有値のそれぞれの秘密シェアを記憶することであって、
    前記第１のモジュラー表現は、前記第１のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有する、記憶することと、
    マスキング値が前記パーティコンピューティングシステム間で秘密共有されるように、前記パーティコンピューティングシステムの各々に、前記マスキング値のそれぞれの秘密シェアを通信することと、
    前記パーティコンピューティングシステムの各々に、前記マスキング値が存在するサブ範囲の指示のそれぞれの秘密シェアを通信することであって、前記サブ範囲は、前記サブ範囲の指示が前記パーティコンピューティングシステム間で秘密共有されるように、前記第１のモジュラー表現の前記範囲を表す複数の所定の非重複サブ範囲から選択される、通信することと、
    前記マスキング値に対して少なくとも第１の数学的リフトを実施することによって、第１の変換において、前記マスキング値を変換されたマスキング値に変換することと、
    前記変換されたマスキング値が、前記第２のモジュラー表現において前記パーティコンピューティングシステム間で秘密共有されるように、前記第２のモジュラー表現の前記変換されたマスキング値のそれぞれの秘密シェアを、前記パーティコンピューティングシステムの各々に通信することであって、
    前記第２のモジュラー表現は、前記第２のモジュラー表現の最上位ビット位置および最下位ビット位置によって画定される範囲を有し、前記第２のモジュラー表現の前記最上位ビット位置は、前記第１のモジュラー表現の前記最上位ビット位置よりも大きい、通信することと、
    前記パーティコンピューティングシステムが、前記秘密共有値の前記秘密シェアまたは前記マスキング値の前記秘密シェアを明らかにすることなく、前記秘密共有値と前記マスキング値との和をマスク値として共同で計算し、明らかにすることと、
    第２の変換において、前記マスク値に対して少なくとも第２の数学的リフトを実施することによって、前記マスク値を第１の変換されたマスク値に変換することと、
    第３の変換において、前記マスク値に対して少なくとも第３の数学的リフトを実施することによって、前記マスク値を第２の変換されたマスク値に変換すること、を行うことであって、
    前記第１の数学的リフト、前記第２の数学的リフト、および前記第３の数学的リフトは、それぞれ互いに異なる、行うことと、
    前記パーティコンピューティングシステムの各々が、
    前記第１の変換されたマスク値、
    前記第２の変換されたマスク値、
    各パーティコンピューティングシステムについて、前記サブ範囲の指示の前記それぞれの秘密シェア、および
    各パーティコンピューティングシステムについて、前記変換されたマスキング値の前記それぞれの秘密シェア、に基づき、前記第２のモジュラー表現の前記秘密共有値のそれぞれの秘密シェアを計算するように、前記パーティコンピューティングシステムが、前記第２のモジュラー表現の前記秘密共有値を共同で計算することと、を含む、方法。
12. 前記第１の変換、前記第２の変換、および前記第３の変換は、それぞれ、関連する前記数学的リフトの結果を
    

    

    
    に投影することを含み、（Ｍ’_ｍｓｂ－１）が前記第２のモジュラー表現の前記最上位ビット位置である、請求項１１に記載の方法。
13. 前記「複数の所定の非重複サブ範囲」は、２つの等しいサイズのサブ範囲からなり、前記数値サブ範囲識別子は、数値０および１からなる群から選択される、請求項１１に記載の方法。
14. 前記秘密共有された数値サブ範囲識別子は、前記第２のモジュラー表現において前記秘密共有値を計算する際に使用するために、前記第１の変換されたマスク値と前記第２の変換されたマスク値との間で選択するために前記パーティコンピューティングシステムによって共同で使用される、請求項１３に記載の方法。
15. 前記第１のモジュラー表現および前記第２のモジュラー表現が、実数の固定小数点整数表現である、請求項１１に記載の方法。
16. それぞれの初期モジュラー表現に記憶された第１の秘密共有値と、それぞれの初期モジュラー表現に記憶された第２の秘密共有値との乗算を実施するための方法であって、
    請求項１１に記載の方法に従い、前記第１の秘密共有値および前記第２の秘密共有値の両方が共通のモジュラー表現に記憶されるように、前記第１の秘密共有値および前記第２の秘密共有値のうちの少なくとも１つを前記共通のモジュラー表現にキャストすることと、
    前記共通のモジュラー表現における前記第１の秘密共有値および前記第２の秘密共有値に対してビーバー乗算を実施することと、を備える、方法。
17. それぞれの初期モジュラー表現にそれぞれ記憶される複数の秘密共有値と、対応する複数の静的係数とを結合するための方法であって、
    請求項１１に記載の方法に従い、前記複数の秘密共有値の全てが共通のモジュラー表現に記憶されるように、前記複数の秘密共有値のうちの少なくとも１つを前記共通のモジュラー表現にキャストすることと、
    前記共通のモジュラー表現に記憶された前記複数の秘密共有値と、前記対応する複数の静的係数との線形結合を実施することと、を備える、方法。
18. 秘密共有値に対する連続関数を評価するための方法であって、
    前記秘密共有値に基づき、複数の確定済みフーリエ級数からフーリエ級数を選択することであって、前記複数の確定済みフーリエ級数の各々が、前記連続関数のドメインの関連するサブ間隔上の前記連続関数を近似するように構成されている、選択することと、
    前記選択に基づき、請求項１１に記載の方法に従って、前記秘密共有値を第１のモジュラー表現から第２のモジュラー表現にキャストすることと、
    前記選択されたフーリエ級数を使用して、前記第２のモジュラー表現における前記秘密共有値上の前記連続関数の値を近似することと、を備える、方法。
19. 複数のコンピュータシステムを備えるシステムであって、前記複数のコンピュータシステムが、請求項１～１８のいずれか一項に記載の方法を実施するように構成されている、システム。
20. 複数のコンピュータシステムによって実行されると、前記複数のコンピュータシステムに、請求項１～１８のいずれか一項に記載の方法を実施させる、コンピュータコードで符号化された非一時的コンピュータ可読媒体。

Images