JP5579327B2 - 隠れマルコフモデルに基づくプライバシー保護確率的推論 - Google Patents

Description

この発明は包括的には隠れマルコフモデルに基づく確率的推論に関し、より詳細には、隠れマルコフモデルに基づく確率的推論のための、サーバーコンピューターとクライアントコンピューターとの間のプライバシー保護計算に関する。

隠れマルコフモデル(ＨＭＭ)に基づく確率的推論は、機械学習、音声処理及び遺伝子配列解析において一般的である。プライバシー制約を伴う確率的推論は、比較的未開拓の研究領域であり、データ及びＨＭＭが異なる関係者に属し、データ及びＨＭＭを共有することができないマルチパーティのシナリオに当てはまる。例えば、クライアントコンピューター(アリス)が、通話からの音声データを解析する必要がある。アリスは、トレーニングされたデータベースから得られたＨＭＭを所有するサーバーコンピューター(ボブ)に音声認識タスクを外注する。アリスは、プライバシーへの懸念から、ボブと音声データを共有することができず、一方、ボブは、トレーニングデータベースについての情報を暴露する可能性があるＨＭＭパラメーターを開示することができない。

ＨＭＭを介しての安全な推論のための１つの方法は、プライバシー保護２パーティ最大化法に基づいており、その方法では、いずれの関係者も厳密に同じプロトコルオーバーヘッドを被る。しかしながら、その方法は、計算量が多いタスクの大部分を実行するために、シンクライアントがデータを暗号化し、暗号化されたデータをサーバーに送信するような応用形態には適していない。

ＨＭＭ及びＨＭＭの３つの基本的な問題
ＨＭＭはマルコフ連鎖の一般化であり、ＨＭＭの状態が直接は不明であるが、解析可能な出力を生成する。それらの出力は「観測値」とも呼ばれる。観測値はＨＭＭの隠れ状態によって決まるので、観測値は隠れ状態についての情報を明らかにすることができる。

ＨＭＭλは三つ組のパラメーターλ＝(Ａ，Ｂ，Π)である。行列Ａ、Ａ＝(ａ_ｉｊ)は状態遷移行列であり、ａ_ｉｊは状態Ｓ_ｉからＳ_ｉへの遷移確率であり、ただし、１≦ｉ，ｊ≦Ｎであり、ＮはＨＭＭの状態の数であり、ａ_ｉｊ＝Ｐｒ{ｑ_ｔ＋１＝Ｓ_ｊ|ｑ_ｔ＝Ｓ_ｉ}、１≦ｉ，ｊ≦Ｎであり、{Ｓ_１，Ｓ_２，…，Ｓ_Ｎ}は１組の状態であり、ｑ_ｔは時刻ｔにおける状態であり、Ｐｒは結合確率である。

行列Ｂ、Ｂ＝(ｂ_１，ｂ_２，…，ｂ_Ｎ)は観測値の確率の行列であり、ｂ_ｊは観測値系列の既知のアルファベットにわたる確率の行列の列ベクトルである。ただし、ｊ＝１，２，…，Ｎである。したがって、ｂ_ｊ(ｖ_ｋ)＝Ｐｒ{ｘ_ｔ＝ｖ_ｋ|ｑ_ｔ＝Ｓ_ｊ}、１≦ｊ≦Ｎ，１≦ｋ≦Ｍであり、ただし、{ｖ_１，ｖ_２，…，ｖ_Ｍ}は観測シンボルのアルファベットであり、ｘ_ｔは時刻ｔにおける観測値である。ベクトルΠ、Π＝{π_１，π_２，…，π_Ｎ}はＨＭＭの初期状態確率ベクトルであり、ただし、π_ｉ＝Ｐｒ{ｑ_１＝Ｓ_ｉ}である。

観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔ及びＨＭＭλ＝(Ａ，Ｂ，Π)の場合、１つの問題はＨＭＭに対する観測値系列の確率、すなわち、Ｐｒ{ｘ_１，ｘ_２，…，ｘ_Ｔ|λ}を求めることである。非安全ドメインにおけるこの問題のための解決策は前向きアルゴリズム及び後向きアルゴリズムを含む。

統計的構文解析、例えば、遺伝子配列解析及び自然言語処理では、主な問題は、ＨＭＭに対する、観測値系列に対応する状態の最も起こり得る系列を求めることである。その問題は、ＨＭＭλ＝(Ａ，Ｂ，Π)の場合に、結合確率Ｐｒ{ｑ_１，ｑ_２，…，ｑ_Ｔ，ｘ_１，ｘ_２，…，ｘ_Ｔ|λ}を効率的に計算することである。その問題は通常、非安全ドメインにおいてビタビアルゴリズムによって解かれる。

別の問題は、観測値系列に基づいてＨＭＭのパラメーターを求めることである。非安全ドメインにおけるこの問題に対する１つの解決策は、バウム−ウェルチアルゴリズムを含む。

前向きアルゴリズム
時刻ｔにおいて状態Ｓ_ｊにある観測値系列の結合確率は以下の通りである。

非安全ドメインにおける前向きアルゴリズムは以下のステップを含む。
１．α_１(ｊ)＝π_ｊｂ_ｊ(ｘ_１)、１≦ｊ≦Ｎを初期化する
２．状態Ｓ_ｊ、１≦ｊ≦Ｎごとに、かつ全ての観測値ｔ、１≦ｔ≦Ｔ−１の場合に、以下の式に従って、観測値系列の尤度を計算する。
３．

４．以下の式に従って、確率を求める。
５．

後向きアルゴリズム
後向き確率は以下の式に従って定義される。
６．

非安全ドメインにおける後向きアルゴリズムは、以下のことを含む。
７．β_Ｔ(ｊ)＝１、１≦ｊ≦Ｎを初期化する
８．１≦ｉ≦Ｎごとに、かつ全ての１≦ｔ≦Ｔ−１の場合に、以下の式を求める。
９．

１０．以下の式に従って確率を求める。
１１．

ビタビアルゴリズム
時刻ｔにおいて状態Ｓ_ｊで終了する、観測値系列のための最も確からしい状態系列の確率は以下の式に従って求められる。

ただし、ｍａｘは最大値の関数である。

非安全ドメインにおけるビタビアルゴリズムは、以下のステップを含む。
１２．全ての１≦ｊ≦Ｎの場合に、δ_１(ｊ)＝π_ｊｂ_ｊ(ｘ_１)に従って最も確からしい状態系列を初期化し、確からしい状態のインデックスの行列をφ_１(ｊ)＝０として初期化する。
１３．全ての１≦ｊ≦Ｎの場合に、かつ１≦ｔ≦Ｔ−１ごとに、以下の式に従って、次の時刻ｔ＋１の場合に状態Ｓ_ｊにおいて終了する最も確からしい状態系列の確率、及びインデックスの行列を求める。

以下の式に従って、最も起こり得る最終的な状態のインデックスを求め、

インデックス

をバックトラックする。ただし、ｔ＝１，２，…，Ｔ−１である。

最も確からしい状態系列

を求める。

バウム−ウェルチアルゴリズム
バウム−ウェルチアルゴリズムは、前向き−後向きアルゴリズムとしても知られており、所与の観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔの場合に最適なＨＭＭパラメーターを推定し、全ての隠れマルコフモデルにわたる観測値の確率を最大化する、すなわち、ｍａｘ_λＰｒ{ｘ_１，ｘ_２，…，ｘ_Ｔ|λ}を求める。

所与のＨＭＭλ＝(Ａ，Ｂ，Π)の場合に、時刻ｔにおいて状態Ｓ_ｉにあり、時刻ｔ＋１において状態Ｓ_ｊにある確率は、以下の式に従って、条件付き確率ζ_ｔ(ｉ，ｊ)として定義される。

ただし、その式は以下の式に等しい。

式(１)及び式(３)において定義されるα_ｔ(ｉ)及びβ_ｔ(ｉ)の表記を利用することによって、条件付き確率ζ_ｔ(ｉ，ｊ)は以下のようになる。

以下の式に従って、時刻ｔにおいて状態Ｓ_ｉにある全条件付き確率γ_ｔ(ｉ)が求められる。

バウム−ウェルチアルゴリズムは、非安全ドメインにおいて、以下のようにＨＭＭλを更新する。
ＨＭＭλ＝(Ａ，Ｂ，Π)をランダムに初期化する
以下の式に従って状態の初期確率に基づいて初期状態確率ベクトルを求める。

以下の式に従って、遷移確率を求める。

アルファベットの観測値シンボルｖ_ｋに基づいて、以下の式に従って観測値の確率を求める。

以下の式に従って、更新済みＨＭＭに対する観測値系列の確率を求める。

ただし、

である。

である場合には、中止し、そのＨＭＭのパラメーターを最終的なパラメーターとして選択する。ただし、Ｄは所定のしきい値である。そうでない場合には、

を用いてＨＭＭλを更新し、ステップ２に戻る。

したがって、当該技術分野において、安全ドメインにおける前向きアルゴリズム、後向きアルゴリズム、ビタビアルゴリズム及バウム−ウェルチアルゴリズムを定めることが必要とされている。

この発明の実施の形態の目的は、プライバシー保護確率的推論のための方法を提供することである。

この発明の目的は、安全ドメインにおける前向きアルゴリズム、後向きアルゴリズム、ビタビアルゴリズム及バウム−ウェルチアルゴリズムを提供することである。

この発明の更なる目的は、クライアントコンピューターがデータを暗号化し、暗号化されたデータをサーバーコンピューターに送信し、サーバーが計算量の多いタスクの大部分を実行するような応用形態に適している方法を提供することである。

この発明の幾つかの実施の形態は、隠れマルコフモデルに基づく安全な確率的推論のためのサーバーとクライアントとの間のプライバシー保護計算を、加法準同型の性質を用いて非同期に実行できるという認識に基づいている。

したがって、一実施の形態は、クライアントにおいて記憶される観測値系列に基づいてサーバーにおいて記憶される隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるための方法であって、前記クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、前記サーバーは前記暗号鍵のみを有し、該方法は、前記ＨＭＭのパラメーターを初期化することと、Ｈ−ＳＭＣを用いて、前記ＨＭＭの前記パラメーターに対する前記観測値系列の確率を暗号化したものを求めることであって、該Ｈ−ＳＭＣは、加法準同型の少なくとも１つの性質を用いる、前記サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を含むものと、前記ＨＭＭの状態ごとに、前記ＳＭＣを用いて、前記ＨＭＭの前記パラメーターに対する前記観測値系列の暗号化された前向き確率を求めることと、前記ＨＭＭの状態ごとに、前記Ｈ−ＳＭＣを用いて、前記観測値系列の暗号化された後向き確率を求めることと、前記ＨＭＭの前記パラメーターを与えられた場合に、前記観測値系列の要素ごとに、状態の各対の暗号化された条件付き結合確率を求め、１組の暗号化された条件付き結合確率を生成することであって、前記観測値系列の前記対数確率を暗号化したもの、前記暗号化された前向き確率、及び前記暗号化された後向き確率に基づき求められ、加法準同型の少なくとも１つの性質を用いて、暗号化されたドメインにおいて実行されることと、入力として前記１組の暗号化された条件付き結合確率を有する前記Ｈ−ＳＭＣを用いて、前記ＨＭＭの前記パラメーターを更新することと、を含む、方法を開示する。

前記観測値系列の前記確率を暗号化したものを求めることと、前記暗号化された前向き確率を求めることと、前記暗号化された後向き確率を求めることと、前記暗号化された条件付き結合確率を求めることと、前記パラメーターを更新することと、は前記現在の反復の前記観測値系列の前記確率と先行する反復の前記観測値系列の前記確率との間の差がしきい値を超えるまで反復的に繰り返すことができる。

別の実施の形態は、クライアントにおいて記憶される観測値系列に基づいてサーバーにおいて記憶される隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるための方法であって、前記クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、前記サーバーは前記暗号鍵のみを有し、該方法は、前記ＨＭＭのパラメーターを初期化することと、現在の反復の前記観測値系列の確率と先行する反復の前記観測値系列の確率との間の差がしきい値を超えるまで、前記パラメーターを反復的に更新することであって、反復する度に、前記パラメーターは、前記観測値系列及び前記ＨＭＭの前記パラメーターが与えられた場合に、状態の各対の暗号化された条件付き結合確率に基づいて更新され、該暗号化された条件付き確率は、前記サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を用いて暗号化されたドメインにおいて求められるものと、を含み、該方法のステップは前記サーバーによって実行される、方法を開示する。

更に別の実施の形態は、クライアントにおいて記憶される観測値系列に基づいて隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるためのサーバーであって、前記クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、該サーバーは前記暗号鍵のみを有し、該サーバーは、前記ＨＭＭのパラメーターを初期化し、現在の反復の前記観測値系列の確率と先行する反復の前記観測値系列の確率との間の差がしきい値を超えるまで、前記パラメーターを反復的に更新するために構成されるプロセッサを備え、反復する度に、前記パラメーターは、前記観測値系列及び前記ＨＭＭの前記パラメーターが与えられた場合に、状態の各対の暗号化された条件付き結合確率に基づいて更新され、該暗号化された条件付き確率は、Ｈ−ＳＭＣを用いて暗号化されたドメインにおいて求められ、前記Ｈ−ＳＭＣは、加法準同型の少なくとも１つの性質を用いる該サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を含む、サーバーを開示する。

この発明の幾つかの実施の形態によるシステムのブロック図である。 この発明の幾つかの実施の形態によるＨ−対数法のブロック図である。 この発明の幾つかの実施の形態によるＨ−指数法のブロック図である。 この発明の幾つかの実施の形態によるＨ−対数総和法のブロック図である。 この発明の幾つかの実施の形態によるＨ−比較法のブロック図である。 この発明の幾つかの実施の形態によるＨ−総和分割法のブロック図である。 Ｈ−前向き法の種々の実施の形態のブロック図を示す図である。 Ｈ−前向き法の種々の実施の形態のブロック図を示す図である。 Ｈ−前向き法の種々の実施の形態の擬似コードを示す図である。 Ｈ−前向き法の種々の実施の形態のブロック図を示す図である。 Ｈ−前向き法の種々の実施の形態のブロック図を示す図である。 Ｈ−後向き法の種々の実施の形態のブロック図を示す図である。 Ｈ−後向き法の種々の実施の形態の擬似コードを示す図である。 Ｈ−ビタビ法の種々の実施の形態のブロック図を示す図である。 Ｈ−ビタビ法の種々の実施の形態の擬似コードを示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態のブロック図を示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態のブロック図を示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態のブロック図を示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態のブロック図を示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態のブロック図を示す図である。 Ｈ−バウム−ウェルチ法の種々の実施の形態の擬似コードを示す図である。

システム概説
図１は、この発明の幾つかの実施の形態を利用するシステム１００を示す。クライアント１１０が観測値系列１１５を記憶する。サーバー１２０が隠れマルコフモデル(ＨＭＭ)１２５を記憶する。また、クライアントは加法準同型性暗号システムのための解読鍵１５０及び暗号鍵１４０も記憶する。サーバーは暗号鍵１４０のみを有する。

クライアント及びサーバーは、ＨＭＭに対する観測値系列の安全な確率的推論を行うために、加法準同型の少なくとも１つの性質を用いるセキュアマルチパーティ計算(ＳＭＣ)、すなわち、Ｈ−ＳＭＣを実行する。本明細書において参照されるときに、接頭語「Ｈ−」は、通信、計算又は方法が、加法準同型の少なくとも１つの性質を用いて安全ドメインにおいて実行されることを示す。例えば、Ｈ−ＳＭＣ１３０は、後に更に詳細に説明されるように、少なくとも１つのＨ−方法１６０を使用することができる。クライアント及びサーバーは、プロセッサ１０１及び／又はプロセッサ１０２のようなプロセッサを用いて実現することができる。

加法準同型性暗号システム
任意の２つのメッセージｍ_１、ｍ_２及び加法準同型性暗号化関数ξ(・)の場合、加法準同型性は、ξ(ｍ_１＋ｍ_２)＝ξ(ｍ_１)ξ(ｍ_２)を確実にする。この性質のため、幾つかの演算は暗号化されたメッセージ(暗号文)において直接実行することができ、それにより、根底を成す暗号化されていないメッセージ(平文)における幾つかの操作を可能にする。この発明の実施の形態は、任意の加法準同型性暗号システムを用いることができる。例えば、１つの実施の形態は、以下に説明されるパイエ(Paillier)暗号を使用する。

構成：Ｎ＝ｐｑとなるような２つの大きな素数ｐ、ｑを選択する。Ｎ^２を法とする逆数を有する１組の非負の整数を

によって表す。ｇｃｄ(Ｌ(ｇ^λｍｏｄＮ^２)，Ｎ)＝１であるような

を選択する。ただし、λ＝１ｃｍ(ｐ−１，ｑ−１)及びＬ(ｘ)＝(ｘ−１)／Ｎである。(Ｎ，ｇ)を暗号鍵とし、(ｐ，ｑ)を解読鍵とする。

暗号化：ｍ∈Ｚ_Ｎを平文とする。その際、暗号文は以下の式によって与えられる。

ただし、ｒ∈Ｚ^＊ _Ｎはランダムに選択された数である。

解読：

を暗号文とする。その際、対応する平文は以下の式によって与えられる。

加法準同型性暗号システムでは、解読は、暗号化中に用いられるｒの値に関係なく機能する。ｒは暗号化のたびにランダムに選択されるので、パイエ暗号システムは確率的であり、意味的に安全であり、すなわち、同じ平文を繰り返し暗号化しても、結果として異なる暗号文が生成される。

さらに、加法準同型は、以下の性質を含む。

ただし、一般的に、ｒ_１、ｒ_２∈Ｚ^＊ _Ｎ及びｒ_１≠ｒ_２である。明確にするために、本開示では以後、下付きの確率パラメーターを省略する。

紛失通信
この発明の幾つかの実施の形態は、１−ｏｆ−ｎ紛失通信(ＯＴ)を用いる。

例えば、サーバーはｎ個のメッセージｍ_１，ｍ_２，…ｍ_ｎを有することができ、クライアントはインデックス１≦ｉ≦ｎを有することができる。ＯＴは、以下のことを成し遂げる方法である。クライアントはメッセージｍ_ｉを特定したが、他のメッセージについては何も発見せず、サーバーはインデックスｉを発見しない。ＯＴは、多くの既知の方法において実施することができる。ＯＴは十分に原始的であり、すなわち、関数を代数回路として表すことができるなら、任意の関数の安全な数値計算(evaluation)のために用いることができる。しかしながら、ＯＴのみを用いて一般関数を数値計算するのは、計算及びデータ転送の観点から複雑である。

Ｈ−方法
この発明の種々の実施の形態は、以下に説明されるＨ−方法１６０の少なくとも１つ又は組み合わせを使用する。全てのＨ−方法において、クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵、例えば、パイエ暗号化関数ξ(・)のための鍵対を有する。サーバーは暗号鍵のみを有する。Ｈ−方法は、加法準同型の少なくとも１つの性質を用いるＨ−ＳＭＣに基づく。この説明を明確にするために、対数を含む全ての計算において、対数の底は

であり、それはパイエ暗号のために用いられるパラメーターである。表記上の混乱を避けるために、対数の底は明示されない。

安全なＨ−対数法
図２は、Ｈ−対数法２００の流れ図を示す。その方法への入力は、サーバーにおいて記憶される暗号化された変数ξ(θ)２０５である。出力において、サーバーは暗号化された変数θの対数を暗号化したものξ(ｌｏｇθ)２３５を求める。クライアントは変数θについての情報を入手しない。

サーバーは整数βをランダムに選択し、暗号化された変更済み変数２１５ξ(θ)^β＝ξ(βθ)をクライアントに送信する(２１０)。クライアントはβθを解読し、サーバーが変更済み変数の暗号化された対数ξ(ｌｏｇβθ)２２５を受信する(２２０)ように変更済み変数を処理する。

サーバーはＨ−性質、すなわち、以下の式による加法準同型の性質を用いて、変数の暗号化された対数２３５を求める(２３０)。

幾つかの実施の形態では、対数ｌｏｇβ及びｌｏｇβθは整数ではなく、それらの実施の形態は整数近似を用いる。例えば、サーバーがクライアントから

を受信する。ただし、Ｌは大きな整数であり、例えば、Ｌ＝１０^６である。整数Ｌとの全ての乗算は、全ての解読時に対応する除算によって補償される。幾つかの実施の形態では、整数近似は種々のＨ−方法によって用いられる。

この例では、Ｈ−方法は小数第６位まで正確である。同様に、サーバーは以下の式を求める。

安全なＨ−指数法
図３は、Ｈ−指数法３００の流れ図を示す。その方法への入力は、サーバーにおいて記憶される暗号化された対数ξ(ｌｏｇθ)３０５である。出力において、サーバーは変数を暗号化したものξ(θ)３３５を求め、クライアントは変数θについての情報を入手しない。

サーバーは整数βをランダムに選択し、以下の式に従って暗号化された変更済み対数３１５をクライアントに送信する(３１０)。

クライアントは暗号化された対数を解読し、対数ｌｏｇβθを受信し、サーバーが暗号化された変更済み変数ξ(βθ)３２５を受信する(３２０)ように、その対数を処理する。サーバーは、以下の式に従って、暗号化された変数３３５を求める(３３０)。

ただし、１／βは

内の整数βの逆数である。

安全なＨ−対数総和法
図４は、Ｈ−対数総和法４００の流れ図を示す。その方法への入力は、サーバーにおいて記憶される１組の暗号化された対数(ξ(ｌｏｇθ_１)，ξ(ｌｏｇθ_２)，…，ξ(ｌｏｇθ_ｎ))４０５及び定数ベクトル(ａ_１，ａ_２，…，ａ_ｎ)４０６である。出力において、サーバーは、対数総和を暗号化したものξ(ｌｏｇΣ^ｎ _ｉ＝１ａ_ｉθ_ｉ)４３５を求め、クライアントは変数θ_ｉ及びａ_ｉについての情報を特定しない。

サーバー及びクライアントは、サーバーが１組の暗号化された変数４１５

を求めるように、入力として１組の暗号化された対数４０５を有するＨ−指数法３００を実行する(４１０)。

サーバーはＨ−性質を用いて、以下の式に従って、定数ベクトルの要素の累乗において暗号化された変数の積４２５を求める(４２０)。

サーバー及びクライアントは、Ｈ−対数法２００を実行して(４３０)、対数総和を暗号化したものξ(ｌｏｇΣ^ｎ _ｉ＝１ａ_ｉθ_ｉ)４３５を求める。

安全なＨ−比較法
図５は、Ｈ−比較法５００の流れ図を示す。その方法への入力は、サーバーにおいて記憶される少なくとも２つの暗号化された変数、例えば、第１の変数を暗号化したものξ(θ_１)５０５及び第２の変数を暗号化したものξ(θ_２)５０６である。出力において、サーバーはθ_１≦θ_２５３５であるか否かを判断し、クライアントは変数θ_１及びθ_２についての情報を特定しない。

サーバーは正又は負の整数αをランダムに選択し、以下の式による、変更済みの差を暗号化したもの５１５をクライアントに送信する(５１０)。

クライアントは解読し、変更済みの差α(θ_１−θ_２５２５)を受信し、変更済みの差をサーバーに返送する。サーバーは変更済みの差５２５を受信し(５２０)、整数αの正負符号に基づいて、θ_１≦θ_２であるか否かを比較する(５３０)。

安全なＨ−総和分割法
図６は、Ｈ−総和分割法６００の流れ図を示す。その方法への入力は、クライアントにおいて記憶される一連の要素ｘ_１，ｘ_２，…，ｘ_Ｔである。各要素ｘ_ｔはアルファベットＶ＝{ｖ_１，ｖ_２，…，ｖ_Ｍ}から選択される。また、その方法への入力は、サーバーにおいて記憶される一連の変数を暗号化したものξ(ｙ_１)，ξ(ｙ_２)，…，ξ(ｙ_Ｔ)６０５である。サーバー及びクライアントは共通の要素ｖ∈Ｖを有する。出力において、サーバーは、サーバーが一連の要素について何も特定せず、かつクライアントが一連の暗号化されたものについて何も特定しないように、総和を暗号化したもの

６３５を求める。ただし、ｔ＝１，２，…，Ｔである。

サーバーは、暗号化ξ(ｙ_ｔ)ごとに、整数α_ｔをランダムに選択し、以下の式に従って、変更済みの暗号したものを和６１５としてクライアントに送信する(６１０)。

クライアントはその和を解読し、和の積を暗号化したものξ(δ_ｔ(ｖ)(ｙ_ｔ＋α_ｔ))６２５及び指示子系列を暗号化したものξ(δ_ｔ(ｖ))６２６を求め、暗号化したもの６２５及び６２６をサーバーに送信する。ただし、共通の要素ｖの場合のｘ_１，ｘ_２，…，ｘ_Ｔの指示子系列δ_ｔ(ｖ)は、ｘ_ｔ＝ｖの場合にはδ_ｔ(ｖ)＝１に従って、及びｘ_ｔ≠ｖの場合にはδ_ｔ(ｖ)＝０に従って求められる。

サーバーは積を暗号化したもの６２５及び指示子系列を暗号化したもの６２６を受信し(６２０)、変更を除去して、以下の式に従って、変数ｙ_ｔと指示子系列との積を暗号化したもの６２７を求める。

次に、サーバーは

に従って、総和

を暗号化したもの６３５を求める(６３０)。

安全なＨ−前向き法
図７Ａは、この発明の幾つかの実施の形態によるＨ−前向き法７００の流れ図を示す。方法７００は、サーバー、例えば、サーバー１２０において記憶されるＨＭＭに対する、クライアント、例えば、クライアント１１０において記憶される観測値系列の確率を数値計算するのに適している。それらの実施の形態によれば、クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、サーバーは暗号鍵のみを有する。

その方法は、サーバーによって実行されるステップに基づいて説明される。しかしながら、その方法のうちの少なくとも１つのステップは、サーバーとクライアントとの間のＨ−ＳＭＣを含む。その方法の種々のステップは、ＨＭＭの状態ごとに、及び／又は観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔの観測値ごとに反復的に実行される。その方法の出力において、サーバーはξ(ｌｏｇＰｒ{ｘ_１，ｘ_２，…，ｘ_Ｔ|λ)}に従って、観測値系列の対数確率を暗号化したものを求める。

ＨＭＭλは、例えば、λ＝{Ａ，Ｂ，Π}に従って定義される。ただし、Ａ＝(ａ_ｉｊ)は状態遷移行列であり、ａ_ｉｊはＳ_ｉからＳ_ｊへの遷移確率であり、ただし、１≦ｉ、ｊ≦Ｎであり、ＮはＨＭＭの状態の数であり、Ｂ＝(ｂ_１，ｂ_２，…，ｂ_Ｎ)は観測値の確率の行列であり、ｂ_ｊは観測値系列のアルファベットにわたる確率の行列の列ベクトルであり、ｊ＝１，２，…，Ｎであり、Π＝(π_１，π_２，…，π_Ｎ)はＨＭＭの初期状態確率ベクトルである。

サーバーは、ＨＭＭの状態ごとに、観測値系列の現在の要素の対数確率を暗号化したもの７１５を求める(７１０)。例えば、対数確率を暗号化したものは以下の式に従って求めることができる。

ただし、ｘ_ｔ＋１は観測値系列の現在の要素であり、ξ(・)は加法準同型性暗号システムの暗号化関数である。

また、サーバーは、ＨＭＭの状態ごとに、観測値系列の先行する要素に基づく観測値系列の尤度とＨＭＭの状態への遷移確率との積の対数総和を暗号化したもの７２５を求める(７２０)。対数総和はＨ−ＳＭＣを用いて求めることができ、Ｈ−ＳＭＣは加法準同型の少なくとも１つの性質を用いるセキュアマルチパーティ計算を含む。例えば、１つの実施の形態はＨ−対数総和法４００を用いる。

例えば、幾つかの実施の形態は、以下の式に従って、対数総和を暗号化したものを求める。

ただし、ｌは状態Ｓ_ｌのインデックス、ｌ＝１，２，…，Ｎであり、α_ｔ(ｌ)は状態Ｓ_ｌにおける先行する要素ｘ_ｔの観測値系列の尤度であり、ａ_ｌｊはＨＭＭの状態Ｓ_ｌから状態Ｓ_ｊへの遷移確率である。

１つの実施の形態は、以下の式に従って、対数総和を暗号化したものを初期化する。ただし、ｊ＝１，２，…，Ｎである。

サーバーは、対数総和を暗号化したものと、観測値系列の現在の要素の対応する対数確率を暗号化したものとの積として、状態ごとの観測値系列の対数尤度を暗号化したもの７３５を求める(７３０)。

例えば、１つの実施の形態は、以下の式に従って、加法準同型の性質に基づいて観測値系列の対数尤度を暗号化したものξ(ｌｏｇα_ｔ＋１(ｊ))を求める。

観測値系列の対数確率を暗号化したもの７４５は、以下の式に従って、状態ごとの観測値系列の対数尤度に基づいて求められる(７４０)。

例えば、１つの実施の形態は、入力として状態ごとの観測値系列の対数尤度を有するＨ−対数総和法を用いて、観測値系列の対数確率を暗号化したものを求める。観測値系列の対数確率を暗号化したものは、メモリ(図示せず)に記憶することができ、及び／又はクライアントに送信することができる(７５０)。

図７Ｂは、１−ｏｆ−Ｍ紛失通信を用いて、観測値系列の現在の要素の対数確率を暗号化したものを求めるための１つの実施の形態による方法の流れ図を示す。

サーバーは変更ベクトルγ_ｔｊ７６１を求める(７６０)。例えば、１つの実施の形態では、変更ベクトルはランダムに生成される。変更ベクトルを用いて変更された観測値系列のアルファベットの対数確率の列ベクトルｌｏｇｂ_ｊ＋γ_ｔｊ７６３がクライアントに送信される(７６２)。１−ｏｆ−Ｍ ＯＴを用いてクライアントがｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊを求めた後に、サーバーは、変更ベクトルを用いて変更された観測値系列の各要素の対数確率を暗号化したもの７６５を受信し(７６４)、変更ベクトルを除去して(７６６)、各要素の対数確率を暗号化したもの７１５を生成する。

例えば、サーバーはξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)を受信し、ξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)・ξ(−γ_ｔｊ)に従って、各要素ｘ_ｔの対数確率を暗号化したものξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求める。

例示のみを目的として、図７Ｃは、Ｈ−前向き法の１つの実施の形態の擬似コード７６８を示す。この擬似コードは付録Ａにも記述される。

安全なキーワード認識
この発明の幾つかの実施の形態は、プライバシー保護キーワード認識のためにＨ−前向き法を用いる。これらの実施の形態では、観測値系列は、サンプリングされた音声信号を含む。通常、クライアントは音声信号をＴ個のフレームに変換し、各フレームはメル周波数ケプストラム係数(ＭＦＣＣ)のｄ次元ベクトルによって表され、例えば、ｄ＝３９である。音声信号からのＭＦＣＣの導出は既知である。したがって、クライアントはｘ_ｔ、ｔ＝１，２，…，Ｔを格納する。ただし、各ｘ_ｔ∈Ｒ^ｄである。

サーバーは１組のサイズΔの異なるＨＭＭを記憶する。各ＨＭＭは単一のキーワードに対してトレーニングされる。この実施の形態のＨ−前向き法は、音声信号内に含まれる可能性が最も高いキーワードを求める。

状態Ｓ_ｊにおいて、ＭＦＣＣのｄ次元ベクトルｘ_ｔは、平均ベクトルμ_ｊ及び共分散行列Ｃ_ｊを有する多変量ガウス分布、すなわち、ｂ_ｊ(ｘ_ｔ)＝Ｎ(μ_ｊ，Ｃ_ｊ)を有する。ただし、ｊ＝１，２，…，Ｎは、ＨＭＭλの状態をインデックス付けする。観測値ベクトルｚ_ｔ＝［ｘ_ｔ ^Ｔ，ｌ］^Ｔである場合には、ｌｏｇｂ_ｊ(ｘ_ｔ)＝ｚ_ｔ ^ＴＷ_ｊｚ_ｔ、ｚ_ｔ＝［ｘ_ｔ ^Ｔ，ｌ］^Ｔである。ただし、Ｔは転置演算子であり、１≦ｊ≦Ｎであり、ＮはＨＭＭの状態の数であり、Ｗ_ｊは以下の式による多変量ガウス分布の行列であり、

ｗ_ｊ＝(１／２)μ_ｊ ^ＴＣ_ｊ ^−１μ_ｔ−(１／２)ｌｏｇ|Ｃ_ｊ ^−１|−(ｄ／２)ｌｏｇ２πである。この実施の形態では、ベクトルｘ_ｔは単一の多変量ガウス確率変数であるが、多変量ガウスの混合への拡張もこの発明の範囲内にある。行列Ｗ_ｊはサーバーにおいて記憶される。さらに、対数確率ｌｏｇｂ_ｊ(ｘ_ｔ)は積ｚ_ｍ ^(ｔ)ｚ_ｎ ^(ｔ)の線形関数である。ただし、ｚ_ｍ ^(ｔ)、ｚ_ｎ ^(ｔ)はベクトルｚ_ｔの要素であり、ｍ，ｎ∈{１，２，…，ｄ＋１}である。

図７Ｄにおいて示されるように、この実施の形態は、観測値ベクトルの要素の積ｚ_ｍ ^(ｔ)ｚ_ｎ ^(ｔ)７７３を暗号化したものを受信する(７７２)のに応答して、加法準同型の少なくとも１つの性質を用いて、以下の式に従って、対数確率を暗号化したものξ(ｌｏｇｂ_ｊ(ｘ_ｔ))７１５を求める(７７４)。

ただし、ｚ_ｍ ^(ｔ)、ｚ_ｎ ^(ｔ)は観測値ベクトルｚ_ｔの要素であり、ｍ，ｎ∈{１，２，…，ｄ＋１}である。

図７Ｅはこの発明の幾つかの実施の形態による安全なキーワード認識のための方法の流れ図を示す。サーバーにおいて記憶されたＨＭＭごとの観測値系列の対数確率を求めて(７８２)、１組の暗号化された対数確率を生成する。対数確率は、サーバーが以下の式を求めるように、Ｈ−前向き法の任意の実施態様を用いて求められる。

サーバーは、順序保存行列を用いて１組の対数確率を難読化し(７８４)、難読化済みの１組の暗号化された対数確率を生成する。例えば、サーバーは順序保存行列Ｒ＝(ｒ_ｉｊ)_Δ×Δを求める。加法準同型の性質を用いて、サーバーは、以下の式に従って、難読化した要素を暗号化したものを求める。

サーバーは、難読化済みの１組の対数確率をクライアントに送信し(７８６)、難読化済みの１組の対数確率に基づいてクライアントによって選択された特定の対数確率に対応するＨＭＭのキーワードをクライアントに送信する(７８８)。例えば、Ｒは順序保存写像であるので、クライアントは解読し、以下の式に従って、各ＨＭＭに対する観測値系列の最大確率を求めることができる。

サーバーは紛失通信法を用いて最大確率に対応するキーワードを送信することができる。

安全なＨ−後向き法
図８Ａは、この発明の幾つかの実施の形態による、観測値系列の確率を求めるためのＨ−後向き法８００の流れ図を示す。サーバーは、観測値系列の現在の要素の後向き確率を暗号化したもの８０５に基づいて、Ｈ−指数法を用いて、以下の式に従って、観測値系列の暗号化された後向き確率８１５を求める(８１０)。

Ｈ−対数法を用いて、サーバーは、対数後向き確率を暗号化したものξ(ｌｏｇβ_ｔ(ｉ))８２５を求める(８２０)。サーバーがξ(ｌｏｇβ_ｔ(ｉ))を求めるまで、サーバーは、ＨＭＭの状態ごとに対数後向き確率を暗号化したものを再帰的に求める。

加法準同型の性質及びＨ−指数法を用いて、サーバーは、観測値系列と初期状態Ｓ_ｊとの結合確率を暗号化したものξ(π_ｊβ_１(ｊ)ｂ_ｊ(ｘ_１))８３５と、観測値系列の確率を暗号化したもの

８３６と、を求める(８３０)。Ｈ−対数法を用いて、サーバーは観測値系列の対数確率を暗号化したもの８４５を求める(８４０)。図８Ｂは、Ｈ−後向き法の１つの実施の形態の擬似コード８５０を示す。その擬似コードは付録Ｂにも記述される。

安全なＨ−ビタビ法
図９Ａは、この発明の幾つかの実施の形態によるＨ−ビタビ法９００のブロック図を示す。方法９００は、クライアントにおいて記憶される観測値系列に対応する最も起こり得る一連の状態を求めるのに適しており、その一連の状態はサーバーにおいて記憶されるＨＭＭに対して求められる。クライアントは、加法準同型性暗号システムの解読鍵１５０及び暗号鍵１４０を有し、サーバーは暗号鍵１４０のみを有する。

上記のように、ＨＭＭλはλ＝(Ａ，Ｂ，Π)に従って定義され、ただし、Ａ＝(ａ_ｉｊ)は状態遷移行列であり、ａ_ｉｊはＳ_ｉからＳ_ｊへの遷移確率であり、ただし、１≦ｉ、ｊ≦Ｎであり、ＮはＨＭＭの状態の数であり、Ｂ＝(ｂ_１，ｂ_２，…，ｂ_Ｎ)は観測値の確率の行列であり、ｂ_ｊは観測値系列のアルファベットにわたる確率の行列の列ベクトルであり、ｊ＝１，２，…，Ｎであり、Π＝(π_１，π_２，…，π_Ｎ)はＨＭＭの初期状態確率ベクトルである。

方法９００の種々のステップは、加法準同型性暗号システムの暗号化関数ξ(・)及び加法準同型の少なくとも１つの性質を用いるＨ−ＳＭＣを使用する。その方法の幾つかのステップは、ＨＭＭの状態ごとに、及び／又は観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔの観測値ごとに反復的に実行される。その方法の出力において、クライアントは、最も確からしい状態系列

を求める。

サーバーは、ＨＭＭの状態ごとに、観測値系列の現在の要素の対数確率を暗号化したものξ(ｌｏｇｂ_ｊ(ｘ_ｔ))９１５を求める(９１０)。対数確率を暗号化したもの９１５は、任意のＳＭＣを用いて求めることができる。例えば、１つの実施の形態は、図７Ｂに示される実施の形態と同じようにして、Ｈ−ＳＭＣを用いて、対数確率を暗号化したものを求める。

具体的には、１つの実施の形態は、変更ベクトルを求め、変更ベクトルを用いて変更された観測値系列の要素の対数確率の列ベクトルをクライアントに送信する。例えば、変更ベクトル(γ_ｔｊ)ｔ＝１，２，…，Ｔは、列ベクトルを送信することがｌｏｇｂ_ｊ＋γ_ｔｊを送信することを含むように、ランダムに生成することができる。

クライアントは列ベクトルを処理し、サーバーは変更ベクトルを用いて変更された観測値系列の各要素の対数確率を暗号化したものを受信し、変更ベクトルを除去して、各要素の対数確率を暗号化したものを生成する。

例えば、サーバーはξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)を受信することができ、ξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)・ζ(−γ_ｔｊ)に従って、加法準同型の性質を用いて、各要素ｘ_ｔの対数確率を暗号化したものξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求めることができる。

サーバーは、ＨＭＭの状態ごとに、現在の要素のための状態の対数確率を暗号化したものと、その状態への遷移確率を暗号化したものとの積９２５を求め(９２０)、１組の暗号化された積を生成する。例えば、暗号化したものの積９２５は、以下の式に従って、加法準同型を用いて求めることができる。

ただし、ξ(ｌｏｇδ_ｔ(ｉ))は、現在の要素ｘ_ｔの場合に状態Ｓ_ｉにおいて終了する最も確からしい状態系列の確率の対数を暗号化したものであり、ξ(・)は加法準同型性暗号システムの暗号化関数であり、ξ(ｌｏｇａ_ｉｊ)は状態Ｓ_ｊから状態Ｓ_ｉへの遷移確率の対数を暗号化したものである。

サーバーは、クライアントとともにＨ−ＳＭＣ、例えば、Ｈ−比較法を用いて、１組の暗号化された積のうちの最大積に対応する暗号化された積９３５と、最大積に対応する状態の暗号化されたインデックスとを求める(９３０)。暗号化されたインデックスは、クライアントが状態のインデックスの行列を入手し、それらのインデックスを追跡して、最も確からしい状態系列を求めることができるように、クライアントに送信することができる(９５０)。

次に、サーバーは、ＨＭＭの状態ごとに、暗号化された積と、その状態に対応する観測値系列の現在の要素の対数確率を暗号化したものとの積として、次の要素のための状態の暗号化された対数確率９４５を求め(９４０)、観測値系列の全ての要素に対して、暗号化された積及び暗号化されたインデックスを求めること(９３０)、暗号化されたインデックスを送信すること(９５０)及び対数確率を求めること(９４０)を繰り返す。

例えば、１つの実施の形態は、ξ(ｌｏｇδ_ｔ＋１(ｊ))＝ξ(ｍａｘ_ｉ［ｌｏｇδ_ｔ(ｉ)＋ｌｏｇａ_ｉｊ］)・ξ(ｌｏｇｂ_ｊ(ｘ_ｔ))に従って、暗号化された対数確率ξ(ｌｏｇδ_ｔ＋１(ｊ))を求める。ただし、ｌｏｇδ_ｔ＋１(ｊ)は次の要素ｘ_ｔ＋１の場合に状態Ｓ_ｊにおいて終了する最も確からしい状態系列の確率の対数であり、ξ(・)は加法準同型性暗号システムの暗号化関数であり、ｍａｘは最大値演算であり、ｌｏｇδ_ｔ(ｉ)は、現在の要素ｘ_ｔの場合に状態Ｓ_ｉにおいて終了する最も確からしい状態系列の確率の対数であり、ｌｏｇａ_ｉｊは状態Ｓ_ｉから状態Ｓ_ｊへの遷移確率の対数である。

図９Ｂは、Ｈ−ビタビ法の１つの実施の形態による擬似コード９６０を示す。

安全なＨ−バウム−ウェルチ法
図１０Ａは、クライアントにおいて記憶される観測値系列に基づいてサーバーにおいて記憶される隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるためのＨ−バウム−ウェルチ法１０００のブロック図を示す。クライアントは、加法準同型性暗号システムの解読鍵１５０及び暗号鍵１４０を有し、サーバーは暗号鍵１４０のみを有する。

Ｈ−バウム−ウェルチ法は、１≦ｉ，ｊ≦Ｎ、１≦ｔ≦Ｔの全ての場合にＨＭＭζ_ｔ(ｉ，ｊ)のパラメーターが与えられた場合の、状態の各対の条件付き結合確率の安全な計算に基づく。式(１０)の両辺において対数をとると、以下の式がもたらされる。

したがって、関数ξ(・)は加法準同型性暗号化関数であるので、式(１５)は以下のように書き換えることができる。

サーバーはＨＭＭのパラメーター１０１５を初期化する(１０１０)。例えば、パラメーターλ＝{Ａ，Ｂ，Π}はランダムに生成することができる。パラメーター１０１５に基づいて、サーバーは、クライアントとともにＨ−ＳＭＣを用いて、観測値系列の現在の要素の対数確率を暗号化したもの１０２５、及びＨＭＭのパラメーターに対する観測値系列の確率を暗号化したもの１０２６を求める(１０２０)。また、サーバーは、ＨＭＭの状態ごとに、ＨＭＭのパラメーターに対する観測値系列の暗号化された前向き確率１０３５、及び観測値系列の暗号化された後向き確率１０３６も求める(１０３０)。

次に、サーバーは、ＨＭＭのパラメーターが与えられた場合に、観測値系列の要素ごとに、状態の各対の暗号化された条件付き結合確率を求め(１０４０)、１組の条件付き結合確率１０４５を生成する。幾つかの実施の形態では、求めることは、観測値系列の対数確率を暗号化したもの、暗号化された前向き確率及び暗号化された後向き確率に基づいて、式(１６)に従って実行される。１組の暗号化された条件付き結合確率は、加法準同型の少なくとも１つの性質を用いて、暗号化されたドメインにおいて求められる。

１組の暗号化された条件付き結合確率に基づいて、ＨＭＭのパラメーターが更新される(１０４５)。幾つかの実施の形態は、現在の反復のパラメーター１０５５の場合に求められた観測値系列の確率と、先行する反復のパラメーター１０１５の場合に求められた観測値系列の確率との間の差１０５６がしきい値Ｄ１０５７を超えるまで、観測値系列の確率を暗号化したものを求めること、暗号化された前向き確率を求めること、暗号化された後向き確率を求めること、暗号化された条件付き結合確率を求めること、及びパラメーターを更新することを反復的に繰り返す。

１つの実施の形態では、図１０Ｂに示されるように、Ｈ−前向き法７００を用いて、暗号化された対数前向き確率ξ(ｌｏｇα_ｔ(ｉ))、対数確率を暗号化したものξ(−ｌｏｇＰｒ{ｘ_１，…，ｘ_Ｔ|λ})及び観測値系列の要素ｘ_ｔ＋１の対数確率を暗号化したものξ(ｌｏｇｂ_ｊ(ｘ_ｔ＋１))が求められる(１０６２)。

上記の説明において、ξ(・)は加法準同型性暗号システムの暗号化関数であり、ｌｏｇα_ｔ(ｉ)は、現在の要素ｘ_ｔまでの状態Ｓ_ｉにおける観測値系列の前向き確率の対数であり、ｌｏｇＰｒ{ｘ_１，…，ｘ_Ｔ|λ}はパラメーターλ＝{Ａ，Ｂ，Π}に対する観測値系列ｘ_ｔ、ｔ＝１，２，…，Ｔの確率の対数であり、Ａ＝(ａ_ｉｊ)は状態遷移行列であり、ａ_ｉｊは状態Ｓ_ｉから状態Ｓ_ｊへの遷移確率であり、１≦ｉ，ｊ≦Ｎであり、ＮはＨＭＭの状態の数であり、Ｂ＝(ｂ_１，ｂ_１，…，ｂ_Ｎ)は観測値の確率の行列であり、ｂ_ｊは観測値系列のアルファベットにわたる確率の行列の列ベクトルであり、ｊ＝１，２，…，Ｎであり、Π＝(π_１，π_２，…，π_Ｎ)はＨＭＭの初期状態確率ベクトルである。

暗号化された対数後向き確率ξ(ｌｏｇβ_ｔ＋１(ｊ))は、Ｈ−後向き法８００を用いて求められる(１０６４)。条件付き確率の暗号化された対数ξ(ｌｏｇζ_ｔ(ｉ，ｊ))は、以下の式に従って、加法準同型を用いて求められ(１０６６)、

暗号化された条件付き結合確率は、Ｈ−指数法３００を用いて求められる(１０６８)。同様に、全条件付き確率γ_ｔ(ｉ)を暗号化したものξ(γ_ｔ(ｉ))は、以下の式に従って、加法準同型の少なくとも１つの性質を用いて求められる(１０６９)。

図１０Ｃは、１つの実施の形態による、初期状態確率ベクトル

を更新するための方法の流れ図を示す。サーバーは変更ベクトルを求め(１０７２)、ＨＭＭの状態ごとに、暗号化されたドメインにおいて変更ベクトルを用いて変更された初期確率を暗号化したものをクライアントに送信する(１０７４)。サーバーが、ＨＭＭの状態ごとに、暗号化されていないドメインにおいて変更ベクトルを用いて変更された状態の初期確率を受信する(１０７６)ように、クライアントは暗号を解読する。サーバーは、変更ベクトルを除去し(１０７８)、暗号化されていないドメインにおいて初期確率を生成し、その初期確率に基づいて初期状態確率ベクトル

を更新する(１０７９)。

図１０ＤはＨＭＭの遷移確率パラメーターを更新するための方法の流れ図を示す。条件付き確率ξ(Σ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ))の総和を暗号化したものξ(Σ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ))が、以下の式に従って、暗号化されたドメインにおいて求められる(１０８１)。

全条件付き確率の総和を暗号化したものξ(Σ_ｔ＝１ ^Ｔ−１γ_ｔ(ｉ))が、以下の式に従って、暗号化されたドメインにおいて求められる(１０８２)。

条件付き確率の総和の対数を暗号化したものが、以下の式に従って、Ｈ−対数法を用いて求められ(１０８３)、

全条件付き確率の総和の対数を暗号化したものが、以下の式に従って、Ｈ−対数法を用いて求められる(１０８４)。

遷移確率の対数を暗号化したもの

が、以下の式に従って、加法準同型の性質を用いて求められ(１０８５)、

ＨＭＭの状態の対ごとに、遷移確率の対数を暗号化したものに基づいて、ＳＭＣを用いて、更新済み遷移確率

が求められる(１０８６)。

図１０Ｅは、観測値の確率

を更新するための方法の流れ図を示す。アルファベットｖ_ｋの観測値シンボルごとに、Ｈ−総和分割法６００を用いて(１０９３)、暗号化された総和

が求められ(１０９１)、ＳＭＣを用いて(１０９４)、観測値の更新済み確率

が求められる(１０９２)。

ＨＭＭのパラメーターが更新された後に、ＨＭＭの更新済みパラメーター

に基づいて、例えば、Ｈ−前向き法を用いて、現在の反復の観測値系列の確率

が求められる。その確率は、例えば、Ｈ−比較法を用いて、前回の反復中に求められた確率と比較される。それらの確率間の差がしきい値以下である場合には、ＨＭＭのパラメーターが最終的なパラメーターとして選択される。

図１０Ｆは、この発明の１つの実施の形態による、Ｈ−バウム−ウェルチ法の擬似コード１０９９を示す。

この発明の上述した実施の形態は、数多くの方法のいずれにおいても実施することができる。例えば、実施の形態は、ハードウェア、ソフトウェア又はそれらの組合せを用いて実施することができる。ソフトウェアで実施される場合、ソフトウェアコードは、単一のコンピューターに設けられるのか又は複数のコンピューター間に分散されるのかにかかわらず、任意の適したプロセッサ又はプロセッサの集合体において実行することができる。そのようなプロセッサは、１つ又は複数のプロセッサを集積回路部品に有する集積回路として実装することができる。ただし、プロセッサは、任意の適したフォーマットの回路類を用いて実装することができる。

さらに、コンピューターは、ラックマウント型コンピューター、デスクトップコンピューター、ラップトップコンピューター、ミニコンピューター又はタブレットコンピューター等の複数の形態のいずれにおいても具現化できることが理解されるべきである。また、コンピューターは、１つ又は複数の入力デバイス及び出力デバイスを有することもできる。そのようなコンピューターは、ローカルエリアネットワーク又はワイドエリアネットワークとしてエンタープライズネットワーク又はインターネット等を含む１つ又は複数のネットワークによって任意の適した形態で相互接続することができる。そのようなネットワークは、任意の適した技術に基づくことができ、任意の適したプロトコルに従って動作することができ、無線ネットワーク、有線ネットワーク又は光ファイバーネットワークを含むことができる。

また、本明細書において概説される様々な方法又はプロセスは、様々なオペレーティングシステム又はプラットフォームのうちの任意のものを用いる１つ又は複数のプロセッサ上で実行可能なソフトウェアとして符号化することができる。加えて、そのようなソフトウェアは、複数の適切なプログラミング言語及び／又はプログラミングツール若しくはスクリプティングツールのうちの任意のものを用いて書くことができ、フレームワーク又は仮想マシン上で実行される実行可能な機械語コード又は中間コードとしてコンパイルすることもできる。

これに関して、この発明は、単数又は複数のコンピューター可読記憶媒体、例えばコンピューターメモリ、コンパクトディスク(ＣＤ)、光ディスク、デジタルビデオディスク(ＤＶＤ)、磁気テープ、及びフラッシュメモリとして実現することができる。代替的に又は付加的に、この発明は、伝播信号等の、コンピューター可読記憶媒体以外のコンピューター可読媒体として具現化することもできる。

「プログラム」又は「ソフトウェア」という用語は、本明細書において、包括的な意味で、上記で検討したこの発明の様々な態様を実施するようにコンピューター又は他のプロセッサをプログラムするのに用いることができる任意のタイプのコンピューターコード又は１組のコンピューター実行可能命令を指す。

コンピューター実行可能命令は、１つ若しくは複数のコンピューター又は他のデバイスによって実行された、プログラムモジュール等の多くの形式をとることができる。一般に、プログラムモジュールは、特定のタスクを実行するか又は特定の抽象データタイプを実装するルーチン、プログラム、オブジェクト、コンポーネント、データ構造を含む。通常、プログラムモジュールの機能は、様々な実施の形態において所望に応じて組み合わせることも分散することもできる。

また、この発明の実施の形態は、例が提供された方法として実施することができる。本方法の一部として実行される動作は、任意の適切な方法で順序付けすることができる。したがって、動作が示したものと異なる順序で実行される実施の形態を構築することができ、これには、例示の実施の形態では一連の動作として示されたにもかかわらず、幾つかの動作を同時に実行することを含めることもできる。

付録Ａ
Ｈ−前向き法を実施する１つの実施の形態の擬似コード
入力：クライアントが観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔを記憶する。サーバーがＨＭＭλ＝(Ａ，Ｂ，Π)を記憶する。
出力：ボブがξ(ｌｏｇＰｒ{ｘ_１，ｘ_２，…，ｘ_Ｔ|λ)}を求める。
１．ｔ＝１，２，…，Ｔ及びｊ＝１，２，…，Ｎごとに、サーバーがγ_ｔｊをランダムに選択し、列ベクトルｌｏｇｂ_ｊ＋γ_ｔｊを生成する。
２．観測値ｘ_ｔに基づいて、クライアントが１−ｏｆ−Ｍ ＯＴを用いて、ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊを求める。
３．クライアントがξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)をサーバーに送信する。
４．γ_ｔｊ及び準同型性を用いて、ｊ＝１，２，…，Ｎ及びｔ＝１，２，…，Ｔの場合に、サーバーがξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)・ξ(−γ_ｔｊ)＝ξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求める。
５．サーバーが、ｊ＝１，２，…，Ｎの場合に、ξ(ｌｏｇα_１(ｊ))＝ξ(ｌｏｇπ_ｉ)・ξ(ｌｏｇｂ_ｊ(ｘ_１))を求める。
６．帰納ステップ：ｊ＝１，２，…，Ｎの場合に、入力ξ(ｌｏｇα_ｔ(ｊ))、ｊ＝１，２，…，Ｎ及び遷移行列Ａ＝(ａ_ｉｊ)を用いて、サーバー及びクライアントがＨ−対数総和法を実行し、その終了時に、サーバーがξ(ｌｏｇΣ_ｌ＝１ ^Ｎα_ｔ(ｌ)ａ_ｌｊ)を求める。
７．全ての１≦ｔ≦Ｔ−１の場合に、サーバーが以下の式を求める。

８．サーバー及びクライアントがＨ−対数総和法を実行し、その終了時に、サーバーがξ(ｌｏｇΣ_ｊ＝１ ^Ｎα_Ｔ(ｊ))＝ξ(ｌｏｇＰ(ｘ_１，ｘ_２，…，ｘ_Ｔ|λ))を求める。

付録Ｂ
Ｈ−後向き法を実施する１つの実施の形態の擬似コード
１．ｊ＝１，２，…，Ｎ及びｔ＝１，２，…，Ｔの場合に、サーバーがξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求める。
２．暗号化したものξ(ｌｏｇβ_ｔ＋１(ｊ))が与えられた場合に、サーバーが以下の式を求める。

３．Ｈ−指数法を用いて、サーバーがξ(β_ｔ＋１(ｊ)ａ_ｉｊｂ_ｊ(ｘ_ｔ＋１))及び

を求める。
４．Ｈ−対数法を用いて、サーバーがξ(ｌｏｇβ_１(ｉ))、ｉ＝１，２，…，Ｎを有するまで、サーバーが暗号化したものξ(ｌｏｇβ_ｔ(ｉ))を求める。
５．準同型性及びＨ−指数法を用いて、サーバーがξ(π_ｊβ_１(ｊ)ｂ_ｊ(ｘ_１))及び

を求める。
６．Ｈ−対数法を用いて、サーバーがξ(ｌｏｇＰ(ｘ_１，ｘ_２，…，ｘ_Ｔ|λ))を求める。

付録Ｃ
Ｈ−ビタビ法を実施する１つの実施の形態の擬似コード
入力：クライアントが観測値系列ｘ_１，ｘ_２，…，ｘ_Ｔを記憶する。サーバーがＨＭＭλ＝(Ａ，Ｂ，Π)を記憶する。
出力：クライアントが最も確からしい状態系列

を求める。
１．ｔ＝１，２，…，Ｔ及びｊ＝１，２，…，Ｎごとに、サーバーがγ_ｔｊを選択し、列ベクトルｌｏｇｂ_ｊ＋γ_ｔｊを生成し、列ベクトルをクライアントに送信する。
２．１−ｏｆ−Ｍ ＯＴを用いて、クライアントがｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊを求める。
３．クライアントがξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)をサーバーに送信する。
４．ｊ＝１，２，…，Ｎ、ｔ＝１，２，…，Ｔの場合に、γ_ｔｊ及び準同型性を用いて、サーバーがξ(ｌｏｇｂ_ｊ(ｘ_ｔ)＋γ_ｔｊ)・ξ(−γ_ｔｊ)＝ξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求める。
５．サーバーが、ｊ＝１，２，…，Ｎの場合に、ξ(ｌｏｇδ_１(ｊ))＝ξ(ｌｏｇπ_ｊ)・ξ(ｌｏｇｂ_ｊ(ｘ_１))を求める。
６．反復：全てのｉ，ｊ＝１，２，…，Ｎ及びｔの場合に、サーバーがξ(ｌｏｇδ_ｔ(ｉ)＋ｌｏｇａ_ｉｊ)＝ξ(ｌｏｇδ_ｔ(ｉ))・ξ(ｌｏｇａ_ｉｊ)求める。
対(ｔ，ｊ)ごとに、サーバー及びクライアントが入力{ξ(ｌｏｇδ_ｔ(ｉ)＋ｌｏｇａ_ｉｊ)：ｉ＝１，２，…，Ｎ}
を用いて安全な最大値発見プロトコルを実行し、その後、サーバーが最大値を暗号化したものξ(ｍａｘ_ｉ［ｌｏｇδ_ｔ(ｉ)＋ｌｏｇａ_ｉｊ］)及びξ(ｌｏｇδ_ｔ＋１(ｊ))＝ξ(ｍａｘ_ｉ［ｌｏｇδ_ｔ(ｉ)＋ｌｏｇａ_ｉｊ］)・ξ(ｌｏｇｂ_ｊ(ｘ_ｔ))を求める。
７．サーバーがインデックスφ_ｔ＋１(ｊ)を送信する。
８．反復の最後に、クライアントが最後のインデックス行列［φ_ｔ(ｊ)］_ｔｊを受信するので、クライアントは後向きに追跡し、状態系列を求めることができる。

付録Ｄ
Ｈ−バウム−ウェルチ法を実施する１つの実施の形態の擬似コード
入力：クライアントが観測値系列ｘ_１，…，ｘ_Ｔ並びに暗号鍵及び解読鍵を記憶する。サーバーが暗号鍵のみを記憶する。
出力：サーバーがＨＭＭパラメーターを求め、観測値系列については何も発見しない。クライアントはパラメーターについての情報を特定しない。
１．サーバーがＨＭＭパラメーターλ＝(Ａ，Ｂ，Π)を初期化する。
２．入力ｘ_１，…，ｘ_Ｔ及びλによるＨ−前向き法及びＨ−後向き法を用いて、サーバーがξ(ｌｏｇα_ｔ(ｉ))、ξ(ｌｏｇβ_ｔ＋１(ｊ))、ξ(ｌｏｇｂ_ｊ(ｘ_ｔ＋１))及びξ(−ｌｏｇＰｒ{ｘ_１，…，ｘ_Ｔ|λ})を求める。
３．式(１６)からサーバーがξ(ｌｏｇζ_ｔ(ｉ，ｊ))を求める。
４．Ｈ−指数法を用いて、暗号化関数ξの準同型性を用いて、サーバーがξ(ζ_ｔ(ｉ，ｊ))及びξ(γ_ｔ(ｉ))＝Π_ｊ＝１ ^Ｎξ(ζ_ｔ(ｉ，ｊ))を求める。
５．サーバーがθ_ｉをランダムに選択し、暗号化したものξ(θ_ｉ＋γ_１(ｉ))をクライアントに送信する。クライアントは解読し、サーバーにθ_ｉ＋γ_１(ｉ)を送信し、サーバーが

を求める。
６．サーバーが暗号化したものξ(Σ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ))＝Π_ｊ＝１ ^Ｔ−１ξ(ζ_ｔ(ｉ，ｊ))及びξ(Σ_ｔ＝１ ^Ｔ−１γ_ｔ(ｉ))＝Π_ｊ＝１ ^Ｔ−１ξ(γ_ｔ(ｉ)))
を求める。Ｈ−対数法を用いて、サーバーがξ(ｌｏｇΣ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ))、ξ(ｌｏｇΣ_ｔ＝１ ^Ｔ−１γ_ｔ(ｉ))及び暗号化したもの

を求め、その後、サーバーが、クライアントとともにＳＭＣを用いて

を求める。
７．入力系列ｘ_１，…，ｘ_Ｔ、暗号化したものξ(γ_ｔ(ｉ))、ｔ＝１，２，…，Ｔ及び共通の要素ｖ_ｋによるＨ−総和分割法を用いて、サーバーが、式(１３)に従って、暗号化したもの

及び

を求める。したがって、サーバーがＨＭＭのパラメータ

を更新する。
８．入力として観測値系列及び

を有するＨ−前向き法を用いて、サーバーが

を求める。
９．Ｈ−比較法を用いて、差

がしきい値と比較される。差がしきい値未満である場合には、サーバーはその方法を中止し、最終的なパラメーターとして、パラメーター

を選択する。そうでない場合には、サーバーはステップ１において

を用いてλを更新し、上記のステップを繰り返す。

Claims (12)

1. クライアントにおいて記憶される観測値系列に基づいてサーバーにおいて記憶される隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるための方法であって、前記クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、前記サーバーは前記暗号鍵のみを有し、該方法は、
   前記ＨＭＭのパラメーターを初期化するステップと、
   Ｈ−ＳＭＣを用いて、前記ＨＭＭの前記パラメーターに対する前記観測値系列の確率を暗号化したものを求めるステップであって、該Ｈ−ＳＭＣは、加法準同型の少なくとも１つの性質を用いる、前記サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を含むものと、
   前記ＨＭＭの状態ごとに、前記ＳＭＣを用いて、前記ＨＭＭの前記パラメーターに対する前記観測値系列の暗号化された前向き確率を求めるステップと、
   前記ＨＭＭの状態ごとに、前記Ｈ−ＳＭＣを用いて、前記観測値系列の暗号化された後向き確率を求めるステップと、
   前記ＨＭＭの前記パラメーターを与えられた場合に、前記観測値系列の要素ごとに、状態の各対の暗号化された条件付き結合確率を求め、１組の暗号化された条件付き結合確率を生成するステップであって、前記観測値系列の対数確率を暗号化したもの、前記暗号化された前向き確率、及び前記暗号化された後向き確率に基づき求められ、加法準同型の少なくとも１つの性質を用いて、暗号化されたドメインにおいて実行されるものと、
   入力として前記１組の暗号化された条件付き結合確率を有する前記Ｈ−ＳＭＣを用いて、前記ＨＭＭの前記パラメーターを更新するステップと、
   を含み、
   該方法の前記各ステップは前記サーバーによって実行される、クライアントにおいて記憶される観測値系列に基づいてサーバーにおいて記憶される隠れマルコフモデルのパラメーターを求めるための方法。
2. 前記観測値系列の前記確率を暗号化したものを求めることと、前記暗号化された前向き確率を求めることと、前記暗号化された後向き確率を求めることと、前記暗号化された条件付き結合確率を求めることと、前記パラメーターを前記更新することとを、現在の反復の前記観測値系列の前記確率と先行する反復の前記観測値系列の前記確率との間の差がしきい値を超えるまで反復的に繰り返すことを更に含む、請求項１に記載の方法。
3. 前記初期化することは、前記ＨＭＭの前記パラメーターをランダムに生成することを含む、請求項１に記載の方法。
4. Ｈ−前向き法を用いて、暗号化された対数前向き確率ξ(ｌｏｇα_ｔ(ｉ))、前記対数確率を暗号化したものξ(−ｌｏｇＰｒ{ｘ_１，…，ｘ_Ｔ|λ})及び前記観測値系列の要素ｘ_ｔ＋１の対数確率ξ(ｌｏｇｂ_ｊ(ｘ_ｔ＋１))を求めることであって、ここで、ξ(・)は前記加法準同型性暗号システムの暗号化関数であり、ｌｏｇα_ｔ(ｉ)は、現在の要素ｘ_ｔまでの状態Ｓ_ｉにおける前記観測値系列の前記前向き確率の対数であり、ｌｏｇＰｒ{ｘ_１，…，ｘ_Ｔ|λ}はパラメーターλ＝{Ａ，Ｂ，Π}に対する前記観測値系列ｘ_ｔ、ｔ＝１，２，…，Ｔの確率の対数であり、Ａ＝(ａ_ｉｊ)は状態遷移行列であり、ａ_ｉｊは状態Ｓ_ｉから状態Ｓ_ｊへの遷移確率であり、１≦ｉ、ｊ≦Ｎであり、Ｎは前記ＨＭＭの状態の数であり、Ｂ＝(ｂ_１，ｂ_２，…，ｂ_Ｎ)は観測値の確率の行列であり、ｂ_ｊは前記観測値系列のアルファベットにわたる確率の行列の列ベクトルであり、ｊ＝１，２，…，Ｎであり、Π＝{π_１，π_２，…，π_Ｎ}は前記ＨＭＭの初期状態確率ベクトルであるものと、
   Ｈ−後向き法を用いて、前記暗号化された後向き確率ξ(ｌｏｇβ_ｔ＋１(ｊ))を求めることと、
   

   

   に従って、条件付き確率の暗号化された対数ξ(ｌｏｇζ_ｔ(ｉ，ｊ))を求めることと、
   Ｈ−指数法を用いて、前記暗号化された条件付き結合確率を求めることと、
   を更に含む請求項１に記載の方法。
5. 

   に従って加法準同型の少なくとも１つの性質を用いて、全条件付き確率γ_ｔ(ｉ)を暗号化したものξ(γ_ｔ(ｉ))を求めることを更に含む、請求項４に記載の方法。
6. 変更ベクトルを求めることと、
   前記ＨＭＭの状態ごとに、暗号化されたドメインにおいて前記変更ベクトルを用いて変更された状態の初期確率を暗号化したものを前記クライアントに送信することと、
   前記ＨＭＭの状態ごとに、暗号化されていないドメインにおいて前記変更ベクトルを用いて変更された前記状態の初期確率を受信することと、
   前記変更ベクトルを除去することであって、前記暗号化されていないドメインにおいて前記初期確率を生成するものと、
   を更に含む、請求項５に記載の方法。
7. 前記初期確率に基づいて、初期状態確率ベクトル
   

   

   を更新することを更に含む、請求項６に記載の方法。
8. 

   に従って前記暗号化されたドメインにおいて前記条件付き確率の総和を暗号化したものξ(Σ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ))を求めることと、
   

   

   に従って前記暗号化されたドメインにおいて前記全条件付き確率の総和を暗号化したものξ(Σ_ｔ＝１ ^Ｔ−１γ_ｔ(ｉ))を求めることと、
   Ｈ−対数法を用いて、前記条件付き確率の前記総和の対数を暗号化したものξ(ｌｏｇ(Σ_ｔ＝１ ^Ｔ−１ζ_ｔ(ｉ，ｊ)))を求めることと、
   前記Ｈ−対数法を用いて、前記全条件付き確率の前記総和の対数を暗号化したものξ(ｌｏｇ(Σ_ｔ＝１ ^Ｔ−１γ_ｔ(ｉ)))を求めることと、
   

   

   に従って前記加法準同型の性質を用いて、前記遷移確率の対数を暗号化したもの
   

   

   を求めることと、
   前記ＨＭＭの状態の対ごとに、前記遷移確率の対数を暗号化したものに基づいて前記ＳＭＣを用いて、更新済み遷移確率
   

   

   を求めることと、
   を更に含む請求項５に記載の方法。
9. アルファベットｖ_ｋの観測値シンボルごとに、Ｈ−総和分割法を用いて、暗号化された総和
   

   

   を求めることと、
   前記ＳＭＣを用いて、観測値の更新済み確率
   

   

   を求めることと、を更に含む、請求項５に記載の方法。
10. 現在の反復中にＨ−前向き方法を用いて、前記ＨＭＭの更新済みパラメーター
    

    

    に基づいて前記現在の反復の前記観測値系列の前記確率
    

    

    を求めることであって、ここで、ｘ_ｔは前記観測値系列、ｔ＝１，２，…，Ｔであるものと、
    Ｈ−比較法を用いて前記差を求めることと、
    を更に含む、請求項２に記載の方法。
11. 前記差が前記しきい値以下であるときに、前記ＨＭＭの前記パラメーターを最終的なパラメーターとして選択することを更に含む、請求項２に記載の方法。
12. クライアントにおいて記憶される観測値系列に基づいて隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるためのサーバーであって、前記クライアントは加法準同型性暗号システムの解読鍵及び暗号鍵を有し、該サーバーは前記暗号鍵のみを有し、該サーバーは、
    前記ＨＭＭのパラメーターを初期化し、
    現在の反復の前記観測値系列の確率と先行する反復の前記観測値系列の確率との間の差がしきい値を超えるまで、前記パラメーターを反復的に更新する、
    ために構成されるプロセッサを備え、
    反復する度に、前記パラメーターは、前記観測値系列及び前記ＨＭＭの前記パラメーターが与えられた場合に、状態の各対の暗号化された条件付き結合確率に基づいて更新され、該暗号化された条件付き確率は、Ｈ−ＳＭＣを用いて暗号化されたドメインにおいて求められ、前記Ｈ−ＳＭＣは、加法準同型の少なくとも１つの性質を用いる該サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を含み、
    前記プロセッサは、
    Ｈ−ＳＭＣを用いて前記ＨＭＭの前記パラメーターに対する前記先行する反復の前記観測値系列の確率を暗号化したものを求め、前記該Ｈ−ＳＭＣは、加法準同型の少なくとも１つの性質を用いる前記サーバーと前記クライアントとの間のセキュアマルチパーティ計算(ＳＭＣ)を含み、
    前記ＨＭＭの状態ごとに、前記ＳＭＣを用いて前記ＨＭＭの前記パラメーターに対する前記観測値系列の暗号化された前向き確率を求め、
    前記ＨＭＭの状態ごとに、前記Ｈ−ＳＭＣを用いて前記観測値系列の暗号化された後向き確率を求め、
    前記観測値系列の要素ごとに、前記ＨＭＭの前記パラメーターを与えられた場合に、状態の各対の暗号化された条件付き結合確率を求め、１組の暗号化された条件付き結合確率を生成し、前記観測値系列の対数確率を暗号化したもの、前記暗号化された前向き確率及び前記暗号化された後向き確率に基づき求められ、
    入力として前記１組の暗号化された条件付き結合確率を有する前記Ｈ−ＳＭＣを用いて、前記ＨＭＭの前記パラメーターを更新し、
    Ｈ−ＳＭＣを用いて前記ＨＭＭの更新済みパラメーターに対する現在の反復の前記観測値系列の確率を暗号化したものを求め、
    前記Ｈ−ＳＭＣを用いて、前記現在の反復の前記観測値系列の前記暗号化された確率と、前記先行する反復の前記観測値系列の前記暗号化された確率との間の差を求める、
    ために構成される、クライアントにおいて記憶される観測値系列に基づいて隠れマルコフモデル(ＨＭＭ)のパラメーターを求めるためのサーバー。

Images