JP6916770B2 - 秘匿計算装置、秘匿計算方法及び秘匿計算プログラム - Google Patents

Description

本発明は、２変数関数の秘匿計算装置、秘匿計算方法及び秘匿計算プログラムに関する。

従来、完全準同型暗号方式により暗号化したまま平文の計算を行う秘密計算の手法が提案されている。
例えば、非特許文献１〜４では、入力の整数がビット値に変換された状態、つまり平文がビット値の場合（以下、Ｂｉｔ−ｗｉｓｅと表現する）の四則演算アルゴリズム（秘匿加算、秘匿減算、秘匿乗算、秘匿除算）が提案されている（例えば、非特許文献１〜３参照）。
また、非特許文献５では、入力の整数がビット値に変換されず、つまり平文が整数値の場合（以下、Ｉｎｔｅｇｅｒ−ｗｉｓｅと表現する）の２値比較演算のアルゴリズムが提案されている。

Ｙａｏ Ｃｈｅｎ ａｎｄ Ｇｕａｎｇ Ｇｏｎｇ． Ｉｎｔｅｇｅｒ ａｒｉｔｈｍｅｔｉｃ ｏｖｅｒ ｃｉｐｈｅｒｔｅｘｔ ａｎｄ ｈｏｍｏｍｏｒｐｈｉｃ ｄａｔａ ａｇｇｒｅｇａｔｉｏｎ． Ｉｎ ２０１５ ＩＥＥＥ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ａｎｄ Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ （ＣＮＳ）， ｐａｇｅｓ ６２８−６３２， Ｓｅｐｔ ２０１５． Ｃｈｅｎ Ｘｕ， Ｊｉｎｇｗｅｉ Ｃｈｅｎ， Ｗｅｎｙｕａｎ Ｗｕ， ａｎｄ Ｙｏｎｇ Ｆｅｎｇ． Ｈｏｍｏｍｏｒｐｈｉｃａｌｌｙ ｅｎｃｒｙｐｔｅｄ ａｒｉｔｈｍｅｔｉｃ ｏｐｅｒａｔｉｏｎｓ ｏｖｅｒ ｔｈｅ ｉｎｔｅｇｅｒ ｒｉｎｇ． Ｉｎ Ｆｅｎｇ Ｂａｏ， Ｌｉｑｕｎ Ｃｈｅｎ， Ｒｏｂｅｒｔ Ｈ． Ｄｅｎｇ， ａｎｄ Ｇｕｏｊｕｎ Ｗａｎｇ， ｅｄｉｔｏｒｓ， Ｉｎｆｏｒｍａｔｉｏｎ Ｓｅｃｕｒｉｔｙ Ｐｒａｃｔｉｃｅ ａｎｄ Ｅｘｐｅｒｉｅｎｃｅ， ｐａｇｅｓ １６７−１８１， Ｃｈａｍ， ２０１６． Ｓｐｒｉｎｇｅｒ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｐｕｂｌｉｓｈｉｎｇ． Ｊｉｎｇｗｅｉ Ｃｈｅｎ， Ｙｏｎｇ Ｆｅｎｇ， Ｙａｎｇ Ｌｉｕ， ａｎｄ Ｗｅｎｙｕａｎ Ｗｕ． Ｆａｓｔｅｒ ｂｉｎａｒｙ ａｒｉｔｈｍｅｔｉｃ ｏｐｅｒａｔｉｏｎｓ ｏｎ ｅｎｃｒｙｐｔｅｄ ｉｎｔｅｇｅｒｓ． Ｉｎ ｔｈｅ ７ｔｈ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｗｏｒｋｓｈｏｐ ｏｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ ａｎｄ Ｅｎｇｉｎｅｅｒｉｎｇ， ２０１７． Ｍｏｒｔｅｎ Ｄａｈｌ， Ｃｈａｏ Ｎｉｎｇ， ａｎｄ Ｔｏｍａｓ Ｔｏｆｔ． Ｏｎ ｓｅｃｕｒｅ ｔｗｏ−ｐａｒｔｙ ｉｎｔｅｇｅｒ ｄｉｖｉｓｉｏｎ． Ｉｎ Ａｎｇｅｌｏｓ Ｄ． Ｋｅｒｏｍｙｔｉｓ， ｅｄｉｔｏｒ， Ｆｉｎａｎｃｉａｌ Ｃｒｙｐｔｏｇｒａｐｈｙ ａｎｄ Ｄａｔａ Ｓｅｃｕｒｉｔｙ， ｐａｇｅｓ １６４−１７８， Ｂｅｒｌｉｎ， Ｈｅｉｄｅｌｂｅｒｇ， ２０１２． Ｓｐｒｉｎｇｅｒ Ｂｅｒｌｉｎ Ｈｅｉｄｅｌｂｅｒｇ． Ｈ． Ｎａｒｕｍａｎｃｈｉ， Ｄ． Ｇｏｙａｌ， Ｎ． Ｅｍｍａｄｉ， ａｎｄ Ｐ． Ｇａｕｒａｖａｒａｍ． Ｐｅｒｆｏｒｍａｎｃｅ ａｎａｌｙｓｉｓ ｏｆ ｓｏｒｔｉｎｇ ｏｆ ｔｈｅ ｄａｔａ： Ｉｎｔｅｇｅｒ−ｗｉｓｅ ｃｏｍｐａｒｉｓｏｎ ｖｓ ｂｉｔ−ｗｉｓｅ ｃｏｍｐａｒｉｓｏｎ． Ｉｎ ２０１７ ＩＥＥＥ ３１ｓｔ Ｉｎｔｅｒｎａｔｉｏｎａｌ Ｃｏｎｆｅｒｅｎｃｅ ｏｎ Ａｄｖａｎｃｅｄ Ｉｎｆｏｒｍａｔｉｏｎ Ｎｅｔｗｏｒｋｉｎｇ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ （ＡＩＮＡ）， ｐａｇｅｓ ９０２−９０８， Ｍａｒｃｈ ２０１７．

ところで、Ｉｎｔｅｇｅｒ−ｗｉｓｅの秘匿計算は、入力の整数を２進数のビット毎に暗号化する必要がないため、暗号化の回数がＢｉｔ−ｗｉｓｅに比べて少なく有利となる。また、例えばＢｉｔ−ｗｉｓｅの加減算は、２進数演算における繰り上げの処理等、完全準同型暗号において処理速度のネックとなる乗算を用いた処理が必要になる。一方、Ｉｎｔｅｇｅｒ−ｗｉｓｅの加減算では、乗算を用いることなく暗号文同士を足し合わせることができるため高速である。
このように、Ｉｎｔｅｇｅｒ−ｗｉｓｅでの秘匿計算が望まれる一方で、次のような課題が存在する。

例えば、非特許文献５において、Ｉｎｔｅｇｅｒ−ｗｉｓｅの２値比較演算のアルゴリズムが提案されているが、計算量及び乗算回路の深さのために、Ｂｉｔ−ｗｉｓｅでの演算に比べて低速である。
また、除算は、２値比較演算をサブモジュールとし、２値比較と減算とを繰り返すことで実現可能だが、２値比較を繰り返すことで、さらに低速となっていた。完全準同型暗号でのＩｎｔｅｇｅｒ−ｗｉｓｅの高速な除算アルゴリズムは提案されていなかった。
さらに、任意の２変数関数に適用できるＩｎｔｅｇｅｒ−ｗｉｓｅの秘匿計算アルゴリズムは提案されていなかった。

本発明は、２変数関数の秘匿計算を汎用的に行える秘匿計算装置、秘匿計算方法及び秘匿計算プログラムを提供することを目的とする。

本発明に係る秘匿計算装置は、平文の空間内で、第１変数及び第２変数を入力とする２変数関数における第２変数を定数に固定したときの、第１変数に応じた関数値を多項式補間により定義した第１多項式の係数を、前記第２変数それぞれについて記憶する第１記憶部と、前記第１変数の値及び前記第２変数の値をそれぞれ準同型暗号方式により暗号化した、第１暗号文及び第２暗号文の入力を受け付ける入力部と、前記準同型暗号方式による暗号文の空間内で、前記第１暗号文の冪乗を計算する秘匿冪乗演算部と、前記第２変数を前記定数に固定し、前記第１多項式の係数と前記第１暗号文の冪乗との内積により、前記第１多項式の値を算出する秘匿関数演算部と、前記第２暗号文の暗号化前の平文と前記定数とが異なる場合に０となる判定値を暗号文で算出する秘匿等号演算部と、前記定数毎の前記秘匿関数演算部による算出結果、及び前記秘匿等号演算部による算出結果の積を総和することにより、前記第１暗号文及び前記第２暗号文を入力とした前記２変数関数の値を出力する出力部と、を備える。

前記秘匿計算装置は、変数が前記定数と等しい場合に１となり、異なる場合に０となる関数を多項式補間により定義した第２多項式の係数を記憶する第２記憶部を備え、秘匿等号演算部は、前記第２多項式の係数と前記第１暗号文の冪乗との内積により、前記第２多項式の値を、前記判定値の暗号文として算出してもよい。

前記２変数関数は、前記第１変数を被除数、前記第２変数を除数とする除算であってもよい。

本発明に係る秘匿計算方法は、平文の空間内で、第１変数及び第２変数を入力とする２変数関数における第２変数を定数に固定したときの、第１変数に応じた関数値を多項式補間により定義した第１多項式の係数を、前記第２変数それぞれについて記憶する第１記憶ステップと、前記第１変数の値及び前記第２変数の値をそれぞれ準同型暗号方式により暗号化した、第１暗号文及び第２暗号文の入力を受け付ける入力ステップと、前記準同型暗号方式による暗号文の空間内で、前記第１暗号文の冪乗を計算する秘匿冪乗演算ステップと、前記第２変数を前記定数に固定し、前記第１多項式の係数と前記第１暗号文の冪乗との内積により、前記第１多項式の値を算出する秘匿関数演算ステップと、前記第２暗号文の暗号化前の平文と前記定数とが異なる場合に０となる判定値を暗号文で算出する秘匿等号演算ステップと、前記定数毎の前記秘匿関数演算ステップにおける算出結果、及び前記秘匿等号演算ステップにおける算出結果の積を総和することにより、前記第１暗号文及び前記第２暗号文を入力とした前記２変数関数の値を出力する出力ステップと、をコンピュータが実行する。

本発明に係る秘匿計算プログラムは、前記秘匿計算装置としてコンピュータを機能させるためのものである。

本発明によれば、２変数関数の秘匿計算を汎用的に行える。

実施形態に係る秘匿計算装置の機能構成を示すブロック図である。 実施形態に係る秘匿冪乗演算のアルゴリズムを示す図である。 実施形態に係る秘匿定数除算演算のアルゴリズムを示す図である。 実施形態に係る秘匿定数等号演算のアルゴリズムを示す図である。 実施形態に係る秘匿除算演算のアルゴリズムを示す図である。 実施形態に係る秘匿定数関数演算のアルゴリズムを示す図である。 実施形態に係る秘匿２変数関数演算のアルゴリズムを示す図である。 実施形態に係る秘匿除算演算の実行速度を、従来の秘匿除算演算の実行速度と比較した実験結果である。

以下、本発明の実施形態の一例について説明する。
図１は、本実施形態に係る秘匿計算装置１の機能構成を示すブロック図である。
秘匿計算装置１は、サーバ装置又はパーソナルコンピュータ等の情報処理装置（コンピュータ）であり、制御部１０及び記憶部２０の他、各種データの入出力デバイス及び通信デバイス等を備える。

制御部１０は、秘匿計算装置１の全体を制御する部分であり、記憶部２０に記憶された各種プログラムを適宜読み出して実行することにより、本実施形態における各機能を実現する。制御部１０は、ＣＰＵであってよい。

記憶部２０は、ハードウェア群を秘匿計算装置１として機能させるための各種プログラム、及び各種データ等の記憶領域であり、ＲＯＭ、ＲＡＭ、フラッシュメモリ又はハードディスク（ＨＤＤ）等であってよい。具体的には、記憶部２０は、本実施形態の各機能を制御部１０に実行させるためのプログラム（秘匿計算プログラム）及び実行途中のデータを記憶する。

さらに、記憶部２０は、素数ｐを法とする平文の空間Ｚ_ｐ内で、第１変数及び第２変数を入力とする２変数関数ｇにおける第２変数を定数に固定したときの、第１変数に応じた関数値を多項式補間により定義した第１多項式の係数ベクトルを、第２変数それぞれについて記憶する。
また、記憶部２０は、平文の空間Ｚ_ｐ内で、ある変数が定数と等しい場合に１となり、異なる場合に０となる関数を多項式補間により定義した第２多項式の係数ベクトルを記憶する。

制御部１０は、入力部１１と、秘匿冪乗演算部１２と、秘匿関数演算部１３と、秘匿等号演算部１４と、出力部１５とを備える。

入力部１１は、２変数関数ｇにおける第１変数の値ａ及び第２変数の値ｂをそれぞれ準同型暗号方式により暗号化した、第１暗号文Ｃ_ａ及び第２暗号文Ｃ_ｂの入力を受け付ける。

秘匿冪乗演算部１２は、準同型暗号方式による暗号文の空間内で、第１暗号文Ｃ_ａの冪乗（Ｃ_ａ，Ｃ_ａ ^２，Ｃ_ａ ^３，・・・，Ｃ_ａ ^ｐ−１）を計算する。

秘匿関数演算部１３は、第２変数を定数に固定し、記憶部２０に予め記憶された第１多項式の係数ベクトルと、第１暗号文Ｃ_ａの冪乗を並べたベクトルとの内積により、第１多項式の値を算出する。

秘匿等号演算部１４は、第２暗号文Ｃ_ｂの暗号化前の平文ｂと定数とが異なる場合に０となる判定値を暗号文で算出する。
具体的には、秘匿等号演算部１４は、記憶部２０に予め記憶された第２多項式の係数ベクトルと、第１暗号文Ｃ_ａの冪乗を並べたベクトルとの内積により、第２多項式の値を、判定値の暗号文として算出する。

出力部１５は、定数毎の秘匿関数演算部１３による算出結果、及び秘匿等号演算部１４による算出結果の積を総和することにより、第１暗号Ｃ_ａ文及び第２暗号文Ｃ_ｂを入力とした２変数関数の値ｇ（Ｃ_ａ，Ｃ_ｂ）を出力する。

以下、本実施形態に係るＩｎｔｅｇｅｒ−ｗｉｓｅの秘匿計算方法の手順を詳述する。まず、具体例として秘匿除算アルゴリズムを示し、次に任意の２変数関数に一般化した秘匿演算アルゴリズムを示す。
ここで、ｐを素数、平文の空間をＺ_ｐ、暗号文の空間を多項式環Ｒ_ｐとする。また、平文ａ∈Ｚ_ｐを完全準同型暗号方式により暗号化した暗号文をＣ_ａとする。

［秘匿除算アルゴリズム］
２変数のうち第１変数を被除数、第２変数を除数とする除算を実施するＩｎｔｅｇｅｒ−ｗｉｓｅの秘匿演算アルゴリズムを例示する。

図２は、本実施形態に係る秘匿除算アルゴリズムを構成するサブモジュールの１つである秘匿冪乗演算Ｐｏｗｓ（Ｃ_ａ）のアルゴリズム（Ａｌｇｏｒｉｔｈｍ １）を示す図である。

秘匿冪乗演算Ｐｏｗｓ（Ｃ_ａ）は、秘匿冪乗演算部１２により実行され、第１変数ａの暗号文Ｃ_ａを引数とし、Ｃ_ａの冪乗を、暗号文同士の乗算を用いて全て計算し、冪乗ベクトルＣ_ａ ^ｐｏｗ：＝（Ｃ_ａ，Ｃ_ａ ^２，Ｃ_ａ ^３，・・・，Ｃ_ａ ^ｐ−１）を返す。

このとき、乗算の深さはＯ（ｌｏｇ（ｐ））に抑えられる。例えば、ｐ＝１７の場合、Ｃ_ａ ^２＝Ｃ_ａ＊Ｃ_ａ，Ｃ_ａ ^４＝Ｃ_ａ ^２＊Ｃ_ａ ^２，Ｃ_ａ ^８＝Ｃ_ａ ^４＊Ｃ_ａ ^４，Ｃ_ａ ^１６＝Ｃ_ａ ^８＊Ｃ_ａ ^８のように計算でき、乗算の深さは、ｌｏｇ（１６）＝４である。

図３は、本実施形態に係る秘匿除算アルゴリズムを構成するサブモジュールの１つである秘匿定数除算演算ＣｏｎｓｔＤｉｖ（Ｃ_ａ ^ｐｏｗ，ｄ）のアルゴリズム（Ａｌｇｏｒｉｔｈｍ ２）を示す図である。

秘匿定数除算演算ＣｏｎｓｔＤｉｖ（Ｃ_ａ ^ｐｏｗ，ｄ）は、秘匿関数演算部１３により実行され、第１変数ａの暗号文Ｃ_ａの冪乗ベクトルＣ_ａ ^ｐｏｗ、及び定数の平文ｄを引数とし、［ａ／ｄ］の暗号文であるＣ_{［ａ／ｄ］}を返す。ただし、［ｘ］は、ｘを超えない最大の整数とする。

まず、事前計算として、ｆ_ｄ（ｘ）＝［ｘ／ｄ］となる多項式ｆ_ｄ（ｘ）：Ｚ_ｐ→Ｚ_ｐが、多項式補間により求められ、記憶部２０（第１記憶部）に多項式の係数が記憶される（ステップ１）。
例えば、ｐ＝７、ｄ＝２のとき、ｆ_ｄ（０）＝０，ｆ_ｄ（１）＝０，ｆ_ｄ（２）＝１，ｆ_ｄ（３）＝１，ｆ_ｄ（４）＝２，ｆ_ｄ（５）＝２，ｆ_ｄ（６）＝３となる多項式ｆ_ｄ（ｘ）は、
ｆ_ｄ（ｘ）＝−２ｘ＋３ｘ^３＋ｘ^５−２ｘ^６ ｍｏｄ ｐ
と求められる。これにより、係数の組｛−２，０，３，０，１，−２｝がｄ＝２と対応付けて記憶される。同様に、１≦ｄ＜ｐの各ｄについて、それぞれ係数の組が事前に記憶される。

すると、秘匿関数演算部１３は、ａ／ｄの暗号文Ｃ_{［ａ／ｄ］}を、次のようにベクトルの内積により計算する（ステップ２）。
Ｃ_{［ａ／ｄ］}＝ｆ_ｄ（Ｃ_ａ）＝ａ_ｆｄ・Ｃ_ａ ^ｐｏｗ ｍｏｄ ｐ
ただし、ａ_ｆｄはｆ_ｄ（ｘ）の係数を要素とするベクトルである。

図４は、本実施形態に係る秘匿除算アルゴリズムを構成するサブモジュールの１つである秘匿定数等号演算ＣｏｎｓｔＥｑ（Ｃ_ａ ^ｐｏｗ，ｂ）のアルゴリズム（Ａｌｇｏｒｉｔｈｍ ３）を示す図である。

秘匿定数等号演算ＣｏｎｓｔＥｑ（Ｃ_ａ ^ｐｏｗ，ｙ）は、秘匿等号演算部１４により実行され、第１変数ａの暗号文Ｃ_ａの冪乗ベクトルＣ_ａ ^ｐｏｗ、及び定数の平文ｙを引数とし、条件式（ａ＝ｙ）の値（例えば、ＴＲＵＥ＝１、ＦＡＬＳＥ＝０）の暗号文であるＣ_{（ａ＝ｙ）}を返す。

まず、事前計算として、ｘ＝ｙのときｆ_ｙ（ｘ）＝１、ｘ≠ｙのときｆ_ｙ（ｘ）＝０となる多項式ｆ_ｙ（ｘ）：Ｚ_ｐ→Ｚ_ｐが、多項式補間により求められ、記憶部２０（第２記憶部）に多項式の係数が記憶される（ステップ１）。
例えば、ｐ＝７、ｙ＝３のとき、ｆ_ｙ（０）＝０，ｆ_ｙ（１）＝０，ｆ_ｙ（２）＝０，ｆ_ｙ（３）＝１，ｆ_ｙ（４）＝０，ｆ_ｙ（５）＝０，ｆ_ｙ（６）＝０となる多項式ｆ_ｙ（ｘ）が求められる。これにより、求められた係数の組がｙ＝３と対応付けて記憶される。同様に、０≦ｙ＜ｐの各ｙについて、それぞれ係数の組が事前に記憶される。

すると、秘匿等号演算部１４は、条件式（ａ＝ｙ）の暗号文Ｃ_{（ａ＝ｙ）}を、次のようにベクトルの内積により計算する（ステップ２）。
Ｃ_{（ａ＝ｙ）}＝ｆ_ｙ（Ｃ_ａ）＝ａ_ｆｙ・Ｃ_ａ ^ｐｏｗ ｍｏｄ ｐ
ただし、ａ_ｆｙはｆ_ｙ（ｘ）の係数を要素とするベクトルである。

図５は、本実施形態に係る秘匿除算演算Ｄｉｖ（Ｃ_ａ，Ｃ_ｄ）のアルゴリズム（Ａｌｇｏｒｉｔｈｍ ４）を示す図である。

秘匿除算演算Ｄｉｖ（Ｃ_ａ，Ｃ_ｄ）は、第１変数ａの暗号文Ｃ_ａ、及び第２変数ｄの暗号文Ｃ_ｄを引数とし、［ａ／ｄ］の暗号文であるＣ_{［ａ／ｄ］}を返す。
秘匿除算演算Ｄｉｖ（Ｃ_ａ，Ｃ_ｄ）は、前述の３つのサブモジュールＰｏｗｓ（Ｃ_ａ）、ＣｏｎｓｔＤｉｖ（Ｃ_ａ ^ｐｏｗ，ｄ）、ＣｏｎｓｔＥｑ（Ｃ_ｄ ^ｐｏｗ，ｙ）を用いて構成される。

ステップ１において、制御部１０は、内部変数Ｃ_ｓｕｍを０に初期化する。
ステップ２において、制御部１０（秘匿冪乗演算部１２）は、Ｐｏｗｓ（Ｃ_ａ）により、引数のＣ_ａについて、１〜ｐ−１を冪指数とする冪乗値からなるベクトルＣ_ａ ^ｐｏｗを算出する。
ステップ３において、制御部１０（秘匿冪乗演算部１２）は、Ｐｏｗｓ（Ｃ_ｄ）により、引数のＣ_ｄについて、１〜ｐ−１を冪指数とする冪乗値からなるベクトルＣ_ｄ ^ｐｏｗを算出する。

ステップ４において、制御部１０は、インデックスｉを１からｐ−１までカウントアップしつつ、後続のステップ５〜７を繰り返すループ処理を行う。
ステップ５において、制御部１０（秘匿関数演算部１３）は、ｉを定数として、Ｃ_{［ａ／ｉ］}＝ＣｏｎｓｔＤｉｖ（Ｃ_ａ ^ｐｏｗ，ｉ）を計算する。
ステップ６において、制御部１０（秘匿等号演算部１４）は、ｉを定数として、Ｃ_{（ｄ＝ｉ）}＝ＣｏｎｓｔＥｑ（Ｃ_ｄ ^ｐｏｗ，ｉ）を計算する。

ステップ７において、制御部１０（出力部１５）は、Ｃ_{［ａ／ｉ］}とＣ_{（ｄ＝ｉ）}との積をＣ_ｓｕｍに足し合わせる。
なお、Ｃ_{［ａ／ｉ］}＊Ｃ_{（ｄ＝ｉ）}は、ｉ＝ｄのときＣ_{［ａ／ｄ］}となり、ｉ≠ｄのときＣ_０となる。
ステップ８においてループが終了すると、Ｃ_ｓｕｍにＣ_{［ａ／ｉ］}とＣ_{（ｄ＝ｉ）}との積が総和される。
ステップ９において、制御部１０（出力部１５）は、結果として得られたＣ_{［ａ／ｄ］}＝Ｃ_ｓｕｍを出力する。

［秘匿２変数関数演算アルゴリズム］
前述の除算を含む任意の２変数関数を計算するＩｎｔｅｇｅｒ−ｗｉｓｅの秘匿演算アルゴリズムを例示する。

図６は、本実施形態に係る秘匿２変数関数演算アルゴリズムを構成するサブモジュールである秘匿定数関数演算ＣｏｎｓｔＦｕｎｃ（Ｃ_ａ ^ｐｏｗ，ｙ，ｇ（・，・））のアルゴリズム（Ａｌｇｏｒｉｔｈｍ ５）を示す図である。

秘匿定数関数演算ＣｏｎｓｔＦｕｎｃ（Ｃ_ａ ^ｐｏｗ，ｙ，ｇ（・，・））は、秘匿関数演算部１３により実行され、第１変数ａの暗号文Ｃ_ａの冪乗ベクトルＣ_ａ ^ｐｏｗ、及び定数の平文ｙを引数とし、２変数関数の第２変数をｙに固定した１変数関数ｇ（ａ，ｙ）の暗号文であるＣ_{（ａ，ｙ）}＝ｇ（Ｃ_ａ，ｙ）を返す。

まず、事前計算として、ｆ_ｙ（ｘ）＝ｇ（ｘ，ｙ）となる多項式ｆ_ｙ（ｘ）：Ｚ_ｐ×Ｚ_ｐ→Ｚ_ｐが、多項式補間により求められ、記憶部２０（第１記憶部）に多項式の係数が記憶される（ステップ１）。
具体的には、ｆ_ｙ（０）＝ｇ（０，ｙ），ｆ_ｙ（１）＝ｇ（１，ｙ），・・・，ｆ_ｙ（ｐ−１）＝ｇ（ｐ−１，ｙ）が与えられると、ｆ_ｙ（ｘ）が多項式補間により、「ｆ_ｙ（ｘ）＝ａ_{｛１，ｙ｝}・ｘ＋ａ_{｛２，ｙ｝}・ｘ^２＋・・・＋ａ_{｛ｐ−１，ｙ｝}・ｘ^ｐ−１ ｍｏｄ ｐ」と求められる。
これにより、係数の組｛ａ_{｛１，ｙ｝}，ａ_{｛２，ｙ｝}，・・・，ａ_{｛ｐ−１，ｙ｝}｝がｙ（０≦ｙ＜ｐ）と対応付けて記憶される。

すると、秘匿関数演算部１３は、ｇ（ａ，ｙ）の暗号文Ｃ_{ｇ（ａ，ｙ）}を、次のようにベクトルの内積により計算する（ステップ２）。
Ｃ_{ｇ（ａ，ｙ）}＝ｆ_ｙ（Ｃ_ａ）＝ａ_ｆｙ・Ｃ_ａ ^ｐｏｗ ｍｏｄ ｐ
ただし、ａ_ｆｙはｆ_ｙ（ｘ）の係数を要素とするベクトル｛ａ_{｛１，ｙ｝}，ａ_{｛２，ｙ｝}，・・・，ａ_{｛ｐ−１，ｙ｝}｝である。

図７は、本実施形態に係る秘匿２変数関数演算Ｆｕｎｃ（Ｃ_ａ，Ｃ_ｂ，ｇ（・，・））のアルゴリズム（Ａｌｇｏｒｉｔｈｍ ６）を示す図である。

秘匿２変数関数演算Ｆｕｎｃ（Ｃ_ａ，Ｃ_ｂ）は、第１変数ａの暗号文Ｃ_ａ、及び第２変数ｂの暗号文Ｃ_ｂを引数とし、ｇ（ａ，ｂ）の暗号文であるＣ_{ｇ（ａ，ｂ）}＝ｇ（Ｃ_ａ，Ｃ_ｂ）を返す。
秘匿２変数関数演算Ｆｕｎｃ（Ｃ_ａ，Ｃ_ｂ）は、前述の３つのサブモジュールＰｏｗｓ（Ｃ_ａ）、ＣｏｎｓｔＦｕｎｃ（Ｃ_ａ ^ｐｏｗ，ｙ，ｇ）、ＣｏｎｓｔＥｑ（Ｃ_ｂ ^ｐｏｗ，ｙ）を用いて構成される。

ステップ１において、制御部１０は、内部変数Ｃ_ｓｕｍを０に初期化する。
ステップ２において、制御部１０（秘匿冪乗演算部１２）は、Ｐｏｗｓ（Ｃ_ａ）により、引数のＣ_ａについて、１〜ｐ−１を冪指数とする冪乗値からなるベクトルＣ_ａ ^ｐｏｗを算出する。
ステップ３において、制御部１０（秘匿冪乗演算部１２）は、Ｐｏｗｓ（Ｃ_ｂ）により、引数のＣ_ｂについて、１〜ｐ−１を冪指数とする冪乗値からなるベクトルＣ_ｂ ^ｐｏｗを算出する。

ステップ４において、制御部１０は、インデックスｉを０からｐ−１までカウントアップしつつ、後続のステップ５〜７を繰り返すループ処理を行う。
ステップ５において、制御部１０（秘匿関数演算部１３）は、ｉを定数として、Ｃ_{ｇ（ａ，ｉ）}＝ＣｏｎｓｔＦｕｎｃ（Ｃ_ａ ^ｐｏｗ，ｉ，ｇ）を計算する。
ステップ６において、制御部１０（秘匿等号演算部１４）は、ｉを定数として、Ｃ_{（ｂ＝ｉ）}＝ＣｏｎｓｔＥｑ（Ｃ_ｂ ^ｐｏｗ，ｉ）を計算する。

ステップ７において、制御部１０（出力部１５）は、Ｃ_{ｇ（ａ，ｉ）}とＣ_{（ｂ＝ｉ）}との積をＣ_ｓｕｍに足し合わせる。
なお、Ｃ_{ｇ（ａ，ｉ）}＊Ｃ_{（ｂ＝ｉ）}は、ｉ＝ｂのときＣ_{ｇ（ａ，ｂ）}となり、ｉ≠ｂのときＣ_０となる。
ステップ８においてループが終了すると、Ｃ_ｓｕｍにＣ_{ｇ（ａ，ｉ）}とＣ_{（ｂ＝ｉ）}との積が総和される。
ステップ９において、制御部１０（出力部１５）は、結果として得られたＣ_{ｇ（ａ，ｂ）}＝Ｃ_ｓｕｍを出力する。

本実施形態によれば、秘匿計算装置１は、任意の２変数関数について、第２変数を固定した場合の１変数関数を、多項式補間を用いてｆ（ｘ）＝ａ_１ｘ＋ａ_２ｘ^２＋・・・＋ａ_ｐ−１ｘ^ｐ−１と表現する。秘匿計算装置１は、この多項式の係数と引数の冪乗とを用いた秘匿定数関数演算ＣｏｎｓｔＦｕｎｃ、及び秘匿定数等号演算ＣｏｎｓｔＥｑにより、任意の２変数関数の秘匿計算を汎用的に実現できる。

多項式の秘匿計算では、暗号文同士の乗算の深さ（Ｍｕｌｔｉｐｌｉｃａｔｉｖｅ Ｄｅｐｔｈ）はＯ（ｌｏｇ（ｐ））となり、秘匿定数関数演算ＣｏｎｓｔＦｕｎｃ及び秘匿定数等号演算ＣｏｎｓｔＥｑにおける乗算の深さはＯ（ｌｏｇ（ｐ））である。
つまり、秘匿計算装置１は、任意の２変数関数の秘匿計算を行うが、暗号文同士の乗算の深さはＣｏｎｓｔＦｕｎｃの乗算の深さ＋ＣｏｎｓｔＥｑの乗算の深さで、高々Ｏ（ｌｏｇ（ｐ））に抑えられる。
また、秘匿計算装置１は、秘匿冪乗演算Ｐｏｗｓによって、引数である暗号文の冪乗ベクトルを一度計算すると、このベクトルを再利用することで、暗号文同士の乗算の回数が抑制される。
秘匿計算においては、暗号文同士の乗算の深さにより実行速度が大きく変動するため、秘匿計算装置１は、Ｉｎｔｅｇｅｒ−ｗｉｓｅでの２変数関数の秘匿計算を高速に行うことができる。

特に、秘匿計算装置１は、Ｉｎｔｅｇｅｒ−ｗｉｓｅの秘匿除算演算を、従来に比べて高速に実現できる。
これにより、秘匿計算装置１は、除算を含む種々の秘匿計算、例えば、秘匿平均値計算又は秘匿機械学習等を高速に実現できる。

図８は、本実施形態に係るＩｎｔｅｇｅｒ−ｗｉｓｅの秘匿除算演算の実行速度を、従来のＢｉｔ−ｗｉｓｅの秘匿除算演算の実行速度と比較した実験結果である。
４ビットの入力に対して、従来手法１〜３（非特許文献１〜３）では、それぞれ６７．９４秒、１４．６３秒、７．７４秒の実行時間が掛かった。
一方、本実施形態の提案手法（秘匿除算演算Ｄｉｖ）では、実行時間が３．４４秒に短縮された。

また、秘匿計算装置１は、例えば、秘匿２値比較の演算についても、２変数関数ｇ（ｘ，ｙ）＝（ｘ≧ｙ）を、定数ｙ毎に多項式補間により多項式で表すことで実現できる。なお、条件式（ｘ≧ｙ）は、例えばｘ≧ｙのとき１、ｘ＜ｙのとき０となる。
従来のアルゴリズム（非特許文献５）では、引数がＺ_ｐのとき、平文空間をこの２倍の大きさのＺ_２ｐとする必要があったが、本実施形態では、引数と同じＺ_ｐで実施できるため、計算の効率化が期待できる。

以上、本発明の実施形態について説明したが、本発明は前述した実施形態に限るものではない。また、前述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。

秘匿計算装置１による秘匿計算方法は、ソフトウェアにより実現される。ソフトウェアによって実現される場合には、このソフトウェアを構成するプログラムが、情報処理装置（コンピュータ）にインストールされる。また、これらのプログラムは、ＣＤ−ＲＯＭのようなリムーバブルメディアに記録されてユーザに配布されてもよいし、ネットワークを介してユーザのコンピュータにダウンロードされることにより配布されてもよい。さらに、これらのプログラムは、ダウンロードされることなくネットワークを介したＷｅｂサービスとしてユーザのコンピュータに提供されてもよい。

１ 秘匿計算装置
１０ 制御部
１１ 入力部
１２ 秘匿冪乗演算部
１３ 秘匿関数演算部
１４ 秘匿等号演算部
１５ 出力部
２０ 記憶部（第１記憶部、第２記憶部）

Claims (4)

1. 素数ｐを法とする平文の空間内で、第１変数及び第２変数を入力とする２変数関数における第２変数を定数に固定したときの、第１変数に応じた関数値を多項式補間により定義したｐ−１次の第１多項式の係数を、前記第２変数それぞれについて記憶する第１記憶部と、
   前記第２変数が前記定数と等しい場合に１となり、異なる場合に０となる関数を多項式補間により定義したｐ−１次の第２多項式の係数を記憶する第２記憶部と、
   前記第１変数の値及び前記第２変数の値をそれぞれ準同型暗号方式により暗号化した、第１暗号文及び第２暗号文の入力を受け付ける入力部と、
   前記準同型暗号方式による暗号文の空間内で、前記第１暗号文のｐ−１次までの冪乗を計算する秘匿冪乗演算部と、
   前記第２変数を前記定数に固定し、前記第１多項式の係数ベクトルと前記第１暗号文の冪乗を並べたベクトルとの内積により、前記第１多項式の値を算出する秘匿関数演算部と、
   前記第２多項式の係数ベクトルと前記第１暗号文の冪乗を並べたベクトルとの内積により、前記第２多項式の値を、前記第２暗号文の暗号化前の平文と前記定数とが異なる場合に０となる判定値の暗号文として算出する秘匿等号演算部と、
   前記定数毎の前記秘匿関数演算部による算出結果、及び前記秘匿等号演算部による算出結果の積を総和することにより、前記第１暗号文及び前記第２暗号文を入力とした前記２変数関数の値を出力する出力部と、を備える秘匿計算装置。
2. 前記２変数関数は、前記第１変数を被除数、前記第２変数を除数とする除算である請求項１に記載の秘匿計算装置。
3. 素数ｐを法とする平文の空間内で、第１変数及び第２変数を入力とする２変数関数における第２変数を定数に固定したときの、第１変数に応じた関数値を多項式補間により定義したｐ−１次の第１多項式の係数を、前記第２変数それぞれについて記憶する第１記憶ステップと、
   前記第２変数が前記定数と等しい場合に１となり、異なる場合に０となる関数を多項式補間により定義したｐ−１次の第２多項式の係数を記憶する第２記憶ステップと、
   前記第１変数の値及び前記第２変数の値をそれぞれ準同型暗号方式により暗号化した、第１暗号文及び第２暗号文の入力を受け付ける入力ステップと、
   前記準同型暗号方式による暗号文の空間内で、前記第１暗号文のｐ−１次までの冪乗を計算する秘匿冪乗演算ステップと、
   前記第２変数を前記定数に固定し、前記第１多項式の係数ベクトルと前記第１暗号文の冪乗を並べたベクトルとの内積により、前記第１多項式の値を算出する秘匿関数演算ステップと、
   前記第２多項式の係数ベクトルと前記第１暗号文の冪乗を並べたベクトルとの内積により、前記第２多項式の値を、前記第２暗号文の暗号化前の平文と前記定数とが異なる場合に０となる判定値の暗号文として算出する秘匿等号演算ステップと、
   前記定数毎の前記秘匿関数演算ステップにおける算出結果、及び前記秘匿等号演算ステップにおける算出結果の積を総和することにより、前記第１暗号文及び前記第２暗号文を入力とした前記２変数関数の値を出力する出力ステップと、をコンピュータが実行する秘匿計算方法。
4. 請求項１又は請求項２に記載の秘匿計算装置としてコンピュータを機能させるための秘匿計算プログラム。

Images