JP7133728B2 - プライベートグループにおけるべき乗演算のアウトソーシング - Google Patents

Description

本開示は、プライベートグループにおけるべき乗演算のアウトソーシングに関する。

プライベート情報引出（ＰＩＲ：Ｐｒｉｖａｔｅ Ｉｎｆｏｒｍａｔｉｏｎ Ｒｅｔｒｉｖａｌ）スキームは、ユーザが１つまたは複数のストレージ装置からデータを引出（ｒｅｔｒｉｅｖｅ）することを可能にする一方で、ユーザまたは引き出されたデータに関するいかなる知識も、１つまたは複数のストレージ装置をホストするサーバに明らかにしない。プライベート情報引出ＰＩＲでは、サーバのストレージ装置は一般的に保護されておらず、プライベート情報は、パブリックなストレージ装置から、もしくはストレージ装置全体からデータをダウンロードすることが許可されている加入者のグループがいるサーバのストレージ装置のいずれかから、取得される。

Ｃａｃｈｉｎ Ｃ ら、「Ｃｏｍｐｕｔａｔｉｏｎａｌｌｙ Ｐｒｉｖａｔｅ Ｉｎｆｏｒｍａｔｉｏｎ Ｒｅｔｒｉｅｖａｌ ｗｉｔｈ Ｐｏｌｙｌｏｇａｒｉｔｈｍｉｃ Ｃｏｍｍｕｎｉｃａｔｉｏｎ」，Ｅｌｅｃｔｒｏｎｉｃ Ｐｕｂｌｉｓｈｉｎｇ，Ａｒｔｉｓｔｉｃ Ｉｍａｇｉｎｇ， ａｎｄ Ｄｉｇｉｔａｌ Ｔｙｐｏｇｒａｐｈｙ，Ｌｅｃｔｕｒｅ Ｎｏｔｅｓ ｉｎ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ，ＩＳＳＮ ０３０２－９７４３、Ｓｐｒｉｎｇｅｒ Ｖｅｒｌａｇ，ＤＥ，ｖｏｌ.１５９２，１９９９年１月１日，４０２～４１４頁，ＸＰ００２３４６９８９，ＤＯＩ：１０．１００７／３－５４０－４８９１０－Ｘ＿２８，ＩＳＢＮ：９７８－３－５４０－２４１２８－７，Ｓｅｃｔｉｏｎ１，Ｓｅｃｔｉｏｎ３．２

アクセスパターンが明らかにならないように、ユーザはサーバストレージ装置からすべてのコンテンツをダウンロードすればよいが、複数のストレージ装置にまたがるクラウドストレージサービスからすべてのコンテンツをダウンロードしなければならない場合には、時間がかかりすぎる。また、従来のプライベート情報引出ＰＩＲ方式では、大量の帯域を消費したり、膨大な計算を必要としたりしていた。

本開示の一態様は、プライベートグループにおいてべき乗演算（Ｅｘｐｏｎｅｎｔｉａｔｉｏｎ）をアウトソーシングする方法を提供する。本方法は、クライアント装置のデータ処理ハードウェアにおいて、非信頼（ｕｎｔｒｕｓｔｅｄ）サーバに記憶されているクエリ要素に関連する法（ほう：ｍｏｄｕｌｕｓ）の素因数分解（ｐｒｉｍｅ ｆａｃｔｏｒｉｚａｔｉｏｎ）を選択することで、非信頼サーバに記憶されているクエリ要素を引き出すべくクエリ命令を実行する工程を備えている。素因数分解は、２つ以上の素数（ｐｒｉｍｅ ｎｕｍｂｅｒｓ）を備えている。本方法は、素因数分解の２つ以上の素数のそれぞれ１つを生成するように構成されたグループ要素を取得する工程と、法の素因数分解とグループ要素とを用いて（ｕｓｉｎｇ ｔｈｅ ｐｒｉｍｅ ｆａｃｔｏｒｉｚａｔｉｏｎ ｏｆ ｔｈｅ ｍｏｄｕｌｕｓ ａｎｄ ｔｈｅ ｇｒｏｕｇ ｅｌｅｍｅｎｔ）、一連の底値（ａ ｓｅｒｉｅｓ ｏｆ ｂａｓｅ ｖａｌｕｅｓ）を生成する工程とを備えている。また、本方法は、一連の底値をクライアント装置から非信頼サーバに送信する工程を備えている。非信頼サーバは、一連の底値を用いて、非信頼サーバに記憶されている指数（ｅｘｐｏｎｅｎｔ）を伴うグループ要素のべき乗演算を決定するように構成されている。本方法はまた、データ処理ハードウェアにおいて、非信頼サーバから結果を受け取る工程を備えている。結果は、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算に基づく。

本開示の実装は、以下の任意の特徴のうちの１つまたは複数を備えていることができる。いくつかの実装では、一連の底値を生成する工程は、法の素因数分解とグループ要素とを用いて一連の初期底値を生成する工程と、一連の初期底値内の各初期底値を法で削減して一連の法削減底値（法で削減された底値）を生成する工程とを備えている。各法削減底値は、法によって削減された一連の初期底値のうちのそれぞれの初期底値を備えている。一連の底値を非信頼サーバに送信する工程は、いくつかの例では、一連の法削減底値を非信頼サーバに送信する工程を備えている。非信頼サーバは、一連の法削減底値を用いて、非信頼サーバに記憶された指数を伴うグループ要素のべき乗演算を決定するように構成される。

いくつかの実装では、一連の底値を非信頼サーバに送信する工程はさらに、法を非信頼サーバに送信する工程を備えている。非信頼サーバは、一連の底値を用いて、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算を決定するように構成されてもよい。また、非信頼サーバは、指数を伴うグループ要素のべき乗演算を法で削減することで結果を生成するとともに、その結果をクライアント装置に送信するように構成されてもよい。いくつかの例では、本方法はさらに、指数を伴うグループ要素のべき乗演算を結果が備えている場合、データ処理ハードウェアによって、結果を法で削減する工程を備えている。

任意に、一連の底値を生成する工程は、非信頼サーバに記憶された指数を表す位取り記数法（ｎｕｍｅｒａｌ ｐｏｓｉｔｉｏｎ ｓｙｓｔｅｍ：数字位置システム）を取得する工程と、位取り記数法の桁位置に対応するそれぞれの基数要素（ｂａｓｅ ｅｌｅｍｅｎｔ：ベース要素。底要素）によるグループ要素のべき乗演算に基づき、一連の底値における各底値を生成する工程とを備えている。非信頼サーバに記憶された指数を表す位取り記数法は、いくつかの例では、クライアント装置と非信頼サーバとの間の通信についての帯域幅制限に基づき、クライアント装置または非信頼サーバによって選択される。位取り記数法は、２進法、１６進法、または１０進法（十進法）のうちの１つを備えてもよい。

非信頼サーバに記憶されている指数を表す位取り記数法を取得する工程はさらに、いくつかの実装において、位取り記数法によって表される指数の桁数を取得する工程を備えている。指数の桁数は、実行されたクエリ命令によって生成された一連の底値のうちの底値の数に等しい。クライアント装置から受け取った一連の底値の各底値について、指数のそれぞれの桁位置における値を伴う底値のべき乗演算を決定する工程と、指数のそれぞれの桁位置における値を伴う底値のべき乗演算同士を一緒に乗算する工程とによって、非信頼サーバは、非信頼サーバに記憶された指数を伴うグループ要素のべき乗演算を決定するように構成されてもよい。結果は、被クエリ要素（照会された要素）に関連付けられてもよく、クライアント装置は、いくつかの例では、法の素因数分解を非信頼サーバに決して明らかにしなくてもよい。

本開示の別の態様は、プライベートグループでべき乗演算をアウトソーシングするためのシステムを提供する。システムは、クライアント装置のデータ処理ハードウェアと、データ処理ハードウェアに通信するメモリハードウェアとを備えている。メモリハードウェアは、データ処理ハードウェア上で実行されるとデータ処理ハードウェアに動作を実行させる命令を記憶する。動作は、非信頼サーバに記憶されているクエリ要素に関連する法の素因数分解を選択することで、非信頼サーバに記憶されているクエリ要素を引き出すべくクエリ命令を実行する工程を備えている。素因数分解は、２つ以上の素数を備えている。また動作は、素因数分解の２つ以上の素数のそれぞれ１つを生成するように構成されたグループ要素を取得する工程と、法の素因数分解およびグループ要素を用いて一連の底値を生成する工程とを備えている。前記動作は、一連の底値をクライアント装置から非信頼サーバに送信する工程も備えている。非信頼サーバは、一連の底値を用いて、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算を決定するように構成されている。動作はまた、非信頼サーバから結果を受け取る工程を備えている。結果は、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算に基づく。

この態様は、以下の任意の機能のうちの１つまたは複数を備えてもよい。いくつかの実装では、一連の底値を生成する工程は、法の素因数分解とグループ要素とを用いて一連の初期底値を生成する工程と、一連の初期底値における各初期底値を法によって削減して一連の法削減底値を生成する工程とを備えている。各法削減底値は、法によって削減された一連の初期底値のうちのそれぞれの初期底値を備えている。一連の底値を非信頼サーバに送信する工程は、いくつかの例では、一連の法で削減された底値を非信頼サーバに送信する工程を備えている。非信頼サーバは、一連の法削減された底値を用いて、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算を決定するように構成される。

いくつかの実装では、一連の底値を非信頼サーバに送信する工程はさらに、法を非信頼サーバに送信する工程を備えている。非信頼サーバは、一連の底値を用いて、非信頼サーバに記憶されている指数を伴うグループ要素のべき乗演算を決定するように構成されてもよい。また、非信頼サーバは、指数を伴うグループ要素のべき乗演算を法で削減することで結果を生成するとともに、その結果をクライアント装置に送信するように構成されてもよい。いくつかの例では、動作はさらに、指数を伴うグループ要素のべき乗演算を結果が備えている場合、結果を法で削減する工程を備えている。

任意で、一連の底値を生成する工程は、非信頼サーバに記憶された指数を表す位取り記数法を取得する工程と、位取り記数法の桁位置に対応するそれぞれの基数要素によるグループ要素のべき乗演算に基づき、一連の底値における各底値を生成する工程とを備えている。非信頼サーバに記憶された指数を表す位取り記数法は、いくつかの例では、クライアント装置と非信頼サーバとの間の通信についての帯域幅制限に基づき、クライアント装置または非信頼サーバによって選択される。位取り記数法は、２進法、１６進法、または１０進法のいずれか１つを備えてもよい。

非信頼サーバに記憶されている指数を表す位取り記数法を取得する工程はさらに、いくつかの実装において、位取り記数法によって表される指数の桁数を取得する工程を備えている。指数の桁数は、実行されたクエリ命令によって生成された一連の底値のうちの底値の数に等しい。クライアント装置から受け取った一連の底値の各底値について、指数のそれぞれの桁位置における値を伴う底値のべき乗演算を決定する工程と、指数のそれぞれの桁位置における値を伴う底値のべき乗演算同士を一緒に乗算する工程とによって、非信頼サーバは、非信頼サーバに記憶された指数を伴うグループ要素のべき乗演算を決定するように構成されてもよい。結果は、被クエリ（問い合わせられた）要素に関連付けられてもよく、クライアント装置は、いくつかの例では、法（ほう：ｍｏｄｕｌｕｓ）の素因数分解を非信頼サーバに明らかにすることはない。

本開示の１つまたは複数の実装の詳細は、添付の図面および以下の説明に記載されている。他の態様、特徴、および利点は、説明および図面、ならびに特許請求の範囲から明らかになるであろう。

分散システムの非一時的なデータストレージに記憶されたデータブロックに気付かれずにアクセスする際に、べき乗演算をアウトソースする例示的なプライベート情報引出ＰＩＲシステムの概略図。 図１のシステムの例示的なセレクタの模式図。 図１のシステムの構成要素および例示的な位取り記数法の概略図。 一連の底値を生成するための、例示的な動作のフローチャート。 プライベートグループの中にべき乗演算をアウトソーシングする方法のための動作の、例示的な配置のフローチャート。 本明細書に記載されたシステムおよび方法を実施するべく用いることができる、例示的なコンピューティング装置の概略図。

様々な図面における同様の参照記号は、同様の要素を示す。
べき乗演算（Ｅｘｐｏｎｅｎｔｉａｔｉｏｎ）は、底（ベース）と指数（ｅｘｐｏｎｅｎｔ）との間の一般的な数学的操作であり、べき乗演算は、底の繰り返しの乗算に相当する。べき乗演算は、生物学、物理学、およびコンピュータサイエンスなど、多くの分野で広く用いられている。しかし、指数が非常に大きくなると、べき乗演算が超線形になるので、計算が困難になる。つまり、指数が大きくなると、生の計算難易度は、線形よりも速い速度で増加する。しかし、大きなべき乗演算の結果を計算する難しさを軽減する方法がある。例えば、いわゆる「指数のべき乗則」は、指数の因子（ファクター）が既知の場合、計算を大幅に軽減する。

しかし、整数の因数分解も、既知の難問である。実際、十分に大きな整数では、効率的で既知の因数分解の手段は無い。この難問は、現代の暗号技術の多くの基礎を形成している。例えば、２つの大きな素数は秘密にしておくことができ（例えば、秘密鍵）、一方で、２つの大きな素数の掛け算は、秘密の素数を明らかにすることなく共有することができる（例えば、公開鍵）。

べき乗演算と素因数分解は、プライベート情報引出（ＰＩＲ）スキームにおいても重要な役割を果たすことができる。プライベート情報引出ＰＩＲスキームは、ユーザが１つまたは複数のストレージ装置からデータを引き出すことを可能にする一方で、ユーザまたは引き出されたデータに関するいかなる知識も、１つまたは複数のストレージ装置をホストするサーバに明らかにしない。例えば、サーバは、同じ長さのｎ個のブロックＢ_１，．．．，Ｂ_ｎを備えているパブリックデータベースを保存している場合がある。ユーザは、ブロックＢ_ｉのダウンロードを希望する。プライバシー上の理由から、ユーザは、ダウンロードしたデータブロックのインデックスを、サーバ（または他の誰か）に公開したくない。つまり、ユーザは、選択されたデータブロックを気付かれずに取得したいと考えている。この問題に対する１つの解決策は、クライアントにデータベース全体をダウンロードさせることである。効果的ではあるが、帯域幅のコストがかかるので、かなりのサイズのデータベースの場合、この解決策は実現不可能である。

別のアプローチは、べき乗演算（Ｅｘｐｏｎｅｎｔｉａｔｉｏｎ）を用いることである。例えば、サーバはデータベースを、整数の指数Ｅとして表現することができる。データベースのサイズに応じて、Ｅはかなり大きくなる可能性がある（例えば、数千桁または数百万桁）。クライアントは、非信頼サーバ上のデータブロック（例えば、保存されているクエリ要素）に関連付けられた法（ほう：ｍｏｄｕｌｕｓ）Ｍで表されるグループＧを取得する。クライアントは、グループ要素ｇを選択することができる。ここで、ｇは、クライアントがダウンロードしたいと考えているサーバに記憶されたデータブロック（例えば、クエリ要素）に関連付けられている。クライアントは、選択したデータブロックを気付かれずに取得するべくその結果を用いることができるので、ｇ^Ｅｍｏｄ＿Ｍを解くことを望む。クライアントはＭの素因数分解を知っているが、その素因数分解を秘密にしておきたいと考えている。

この状況では、クライアントは単にｇとＭをサーバに送り、サーバにｇ^Ｅｍｏｄ＿Ｍを計算させることができる。しかし、先に述べたように、べき乗演算は超線形問題であり、指数Ｅが十分な大きさ（例えば、データベースの大きさ）であると、計算要件は法外に高くなる。サーバは、法の素因数（ｐｒｉｍｅ ｆａｃｔｏｒｓ）を知ることで（例えば、フェルマーの小定理を利用することで）計算を大幅に簡略化できるが、クライアントは素因数を秘密にしておきたいと考えている。したがって、クライアントが素因数分解を用いて効率的な計算を行うとともに、残りのべき乗演算をサーバにアウトソースすることは、データベース全体（すなわち、指数）を送信する際の帯域幅コストと、法の素因数分解にアクセスすることなくサーバが完全なべき乗演算を行う際の計算コストと、の両方を回避するべく有利である。

本明細書の実装は、法（ほう：ｍｏｄｕｌｕｓ）の素因数分解を明らかにすることなく、プライベートグループでべき乗演算をアウトソーシングするためのルーチンに向けられている。このルーチンは、クライアントに、法の秘密の素因数分解を用いて効率的なべき乗演算を実行させ、サーバが保持する指数を使用せずに一連の底値を生成することで、帯域幅と計算との実用的なバランスをとることができる。クライアントは、素因数分解を提供することなく、サーバが保持する指数を用いてさらなる計算を行うべく、一連の底値をサーバに送信する。

図１を参照すると、いくつかの実装において、例示的なシステム１００は、それぞれのユーザまたはクライアント１２に関連するユーザ装置１０（クライアント装置１０とも呼ばれる）を備えており、ネットワーク１１２を介してリモートシステム１１１（本明細書ではサーバとも呼ばれ、または非信頼サーバ（信頼されていないサーバ）とも呼ばれる）に通信する。ユーザ装置１０は、デスクトップワークステーション、ラップトップワークステーション、またはモバイル装置（すなわち、スマートフォン）などの、任意のコンピューティング装置に対応してもよい。リモートシステム１１１は、単一のコンピュータであるか、複数のコンピュータであるか、または、スケーラブル／エラスティックなコンピューティングリソース１１８（例えば、データ処理ハードウェア）および／またはストレージリソース１１６（例えば、メモリハードウェア）を有する分散システム（例えば、クラウド環境）であってもよい。非信頼データストア１５０（例えば、「非信頼ストレージ装置」または「非信頼サーバ」）は、クライアントまたはコンピューティングリソース１１８の１つまたは複数によるストレージリソース１１６のスケーラブルな使用を可能にするべく、ストレージリソース１１６にオーバーレイされる。非信頼データストア１５０は、クライアント装置１０によるダウンロードに利用可能な複数のデータブロック１５２、１５２ａ～１５２ｎを記憶するように構成されている。

例えば、非信頼データストア１５０は、公知で暗号化されていないｎ個のデータブロック（Ｂ）１５２を備えており、クライアント装置１０によるデータブロック（Ｂ）１５２上の引出機能を保持しつつ１つまたは複数のクライアント装置１０がアクセスパターンを隠蔽するようにデータブロック（Ｂ）１５２を気付かれずに（ｏｂｌｉｖｉｏｕｓｌｙ）引き出すべくプライベート情報引出ＰＩＲを用いることを可能にする。このように、クライアント装置１０は、データブロック１５２を所有していなくてもよく、データブロック１５２の内容は、いくつかの構成では公開されている。あるいは、データブロック１５２は、特定のクライアント１２に対してプライベートなものであってもよいが、クライアント１２は、依然として、非信頼データストア１５０からのアクセスパターンを隠蔽したいと考えている。データブロック１５２は、整数で表されてもよい。すなわち、非信頼データストア１５０またはサーバ１１１は、各データブロック１５２を処理して、データブロック１５２のすべてを代表する単一の整数を生成してもよい。例えば、サーバ１１１は、「中国の剰余定理」（チャイニーズリマインダセオリー）を用いて、各データブロック１５２を明瞭（ｄｉｓｔｉｎｃｔ）な小素数（ｓｍａｌｌ ｐｒｉｍｅ）で符号化してもよい。

クライアント１２に関連付けられたクライアント装置１０（例えば、コンピュータ）は、関連付けられたメモリハードウェア１２２と、関連付けられたデータ処理ハードウェア１２４とを備えてもよい。各クライアント装置１０は、関連するメモリハードウェア１２２を活用して、クエリ命令１３０と、法（Ｍ）１３４で表されるグループ（Ｇ）１３２と、位取り基数（ｐｏｓｉｔｉｏｎａｌ ｂａｓｅ：位置ベース、位置底）（Ｂ）１３６と、および位取りカウント（ｐｏｓｉｔｉｏｎａｌ ｃｏｕｎｔ：位置カウント）（ｍ）１３８とを保持または記憶してもよい。いくつかの例では、データ処理ハードウェア１２４は、リモートシステム１１１に発行された一連の底値１６２を生成するためのジェネレータ１６０を実行するが、このリモートシステム１１１は、本明細書では、「非信頼環境で実行されるサーバ」とも呼ばれることがある。

ジェネレータ１６０は、いくつかの例では、クエリ命令１３０を実行して、非信頼データストア１５０に記憶されているクエリ要素（すなわち、データブロック（Ｂ）１５２）を引き出す。この目的のために、ジェネレータ１６０は、非信頼データストア１５０上に記憶されたクエリ要素１５２に関連する法（Ｍ）１３４を取得または受取または生成する。法（ｍｏｄｕｌｕｓ）１３４は、２つ以上の素数１３５の積である。素数１３５はユーザ装置１０によって選択され、秘密鍵の基礎を形成してもよい。したがって、素数１３５は、他のすべての当事者（サーバ１１１を含む）から、秘密のままである。また、ジェネレータ１６０は、１つまたは複数のグループ要素（ｇ）１３３を備えているグループ（Ｇ）１３２を取得または受取または生成する。グループ１３２は法１３４によって表され、グループ１３２の各グループ要素１３３は、素数１３５のサブグループのジェネレータである。

次に図２を参照すると、いくつかの実装では、データ処理ハードウェア１２２は、クエリ命令１３０を受け取るセレクタ２００を実行する。クエリ命令１３０は、１つまたは複数のデータブロック選択１３１を備えている。各データブロック選択１３１は、非信頼データストア１５０から気付かれずに取得されるデータブロック１５２（例えば、クエリ要素）に対応する。セレクタ２００は、サーバ１１１（例えば、メモリハードウェア１１６）に記憶されたデータブロック素数データストア２１０に通信している。データブロック素数データストア２１０は、いくつかの例では、非信頼データストア１５０に記憶された各データブロック１５２に関連付けられた、それぞれのデータブロック素数２２０を記憶する。すなわち、データブロック素数ストア２１０は、データストア１５０から引き出されるデータブロック１５２に対応する、データブロック素数２２０を提供してもよい。セレクタ２００は、クエリ命令１３０からのデータブロック選択１３１を用いて、データブロック選択１３１に関連するデータブロック１５２に対応するデータブロック素数２２０を取得してもよい。得られたデータブロック素数２２０を用いて、セレクタ２００は、法１３４の素因数分解を選択する。素因数分解は２つ以上の素数１３５を備えており、素数１３５のうちの少なくとも１つはデータブロック素数２２０に対応する。同様に、法１３４およびグループ要素１３３の両方が、非信頼データストア１５０から取得されるデータブロック１５２に関連するデータブロック素数２２０に関連付けられるように、グループ要素１３３は、データブロック選択１３１に基づき選択される。すなわち、グループ要素１３３は、法Ｍ１３４の素因数分解の素数１３５のそれぞれ１つを生成するように構成されている。

図１に戻ると、ジェネレータ１６０は、いくつかの実装では、位取り基数（Ｂ）１３６も受け取りまたは決定する。位取り基数１３６は、サーバが保持する指数１５４の底（ｒａｄｉｘとも呼ばれる）である。すなわち、指数１５４は、２に等しい底（すなわち、２進数）またはそれ以上の任意の底で表すことができ、位取り基数１３６は、指数１５４を表すべくクライアント装置１０またはサーバ１１１によって選択される。位取り基数１３６は、いくつかの例ではユーザ１２によって選択され、他の例ではユーザ装置１０は位取り基数１３６を自動的に決定する。追加の例では、サーバは位取り基数１３６を決定し、クライアント装置１０に中継する。位取り基数１３６に加えて、ジェネレータ１６０は、位取りカウント１３８を受け取ってもよい。以下でより詳細に説明するように、位取りカウント１３８は、位取り基数１３６で指数１５４を表すのに必要な桁数２１２（図３）を表す。

ジェネレータ１６０は、素因数１３５を用いて、一連の底値１６２、１６２ａ～１６２ｎを生成する。各底値１６２は、いくつかの例では、グループ要素１３３を位取り基数１３６でべき乗演算したものであり、これは、位取り記数法（位置数字システム）における桁位置における値に対応する。ここで図３を参照すると、位取り基数１３６が１０に等しい場合（すなわち、１０進数の位取り記数法を用いる場合）、例示的な指数１５４は「１５３７２９」に等しい。任意の位取り記数法（すなわち、位取り基数１３６）が選択され得ることが理解される。例えば、位取り記数法は、２進数、１６進数、または１０進数を備えてもよい。典型的には、指数１５４は極めて大きいが、本例では、分かりやすくするべく小さい数字が使用されている。選択された位取り基数１３６（ここでは「１０」）で指数１５４を解釈したサーバ１１１は、位取りカウント１３８を決定する。すなわち、サーバ１１１は、位取り基数１３６で指数１５４を表すべく必要な桁数２１２を決定する。図示の例では、指数１５４（すなわち、「１５３７２９」）は、１０進法（すなわち、ｂ＝「１０」）では６桁２１２で表現できる。したがって、位取りカウント１３８は、（１０進数では）「６」に相当する。選択された位取り基数１３６にかかわらず、指数は次の式（１）のように表すことができる。

ここで、指数１５４は、１０進法（すなわち、位取り基数が「１０」に等しい）では、９＋（２×１０）＋（７×１００）＋（３×１０００）＋（５×１００００）＋（１×１０００００）と表され、合計で「１５３７２９」となる。次に、図４を参照すると、式（１）４７０によって、ｇ^Ｅを次の式（２）のように書き換えることができる。

式（２）４８０から明らかなように、ｇ^Ｅの一部は、サーバ保有の指数１５４を用いずに、計算されてもよい。即ち、ジェネレータ１６０は、一連の底値１６２を、一連の式（３）として生成してもよい。

選択された位取り基数１３６は、一連の底値１６２ａ～１６２ｎにおける底値１６２の数（すなわち、変数ｍ）に影響を与えるので、したがって、位取り基数１３６は、一連の底値１６２を送信する際の通信コストに直接影響を与えることが明らかである。より大きな位取り基数１３６はより困難な計算を必要とするので、位取り基数１３６の選択は、通信コストと計算コストとの間のトレードオフを直接提供する。いくつかの例では、位取り基数１３６（すなわち、位取り記数法）は、クライアント装置１０とサーバ１１１との間の通信についての帯域幅制限に基づき、クライアント装置１０またはサーバ１１１によって選択される。他の例では、位取り基数１３６は、選択された位取り記数法（位置数字システム）において指数１５４を表すべく必要な桁数２１２の、約半分になるように選択される。例えば、選択によって、５０００個の位取り基数で表されたときに、１００００桁を必要とする指数１５４が得られる場合がある。

いくつかの実装形態では、サーバ１１１は、指数１５４の位取りカウント１３８を、ジェネレータ１６０に送信する。ジェネレータ１６０は、位取りカウント１３８を用いて、生成する底値１６２の数を決定してもよい。図示の例では、値「１５３７２９」が６つの桁数２１２で表されるので、ジェネレータ１６０は６つの底値１６２を生成してもよい。ジェネレータ１６０は素因数１３５にアクセスできるので、ジェネレータ１６０はサーバ保持の指数１５４を使用せずに（例えば、フェルマーの小定理を用いたり、オイラーの定理、カーマイケルの定理、または「中国の剰余定理」などの他の技術を用いたりして）、一連の底値１６２を効率的に生成する。ジェネレータ１６０は、一連の底値１６２をサーバ１１１に送信してもよい。

いくつかの実施例では、一連の底値１６２は、一連の初期底値１６２Ａ、１６２Ａａ～１６２Ａｎを表す。すなわち、いくつかの例では、ジェネレータ１６０は、法１３４の素因数分解とグループ要素１３３とを用いて、一連の初期底値１６２Ａを生成する。ジェネレータ１６０は、各初期底値１６２Ａを法１３４によって（すなわち、法Ｍによって）削減することで、一連の法削減された底値１６２Ｂ、１６２Ｂａ～１６２Ｂｎを生成してもよい。したがって、各法削減された底値１６２Ｂは、法１３４によって削減された一連の初期底値１６２Ａのうちのそれぞれの初期底値１６２Ａを備えている。一連の初期底値１６２Ａの代わりに、ジェネレータ１６０は、一連の法削減された底値１６２Ｂを、非信頼サーバ１１１に送信してもよい。すなわち、サーバ１１１に送信される一連の底値１６２は、一連の初期底値１６２Ａと、または一連の法削減された底値１６２Ｂとのうちのいずれかを備えている。初期底値１６２Ａを法Ｍで削減すると、サーバ１１に送信される底値１６２Ｂのサイズが大幅に減少し、したがって一連の底値１６２Ｂをサーバ１１１に送信するのに必要な帯域幅が大幅に減少する。法演算はべき乗演算よりも計算が容易であるので、余分（エクストラ）な法演算を行うことは有利であると考えられる。

図１に戻って、いくつかの実装では、サーバ１１１は、指数乗算器１７０を実行する。指数乗算器１７０は、クライアント装置１０（例えば、ジェネレータ１６０）から一連の底値１６２を受け取るとともに、非信頼データストア１５０から指数１５４を受け取る。任意で、クライアント装置１０はまた、結果１９２を生成する際に指数乗算器１７０が用いるべく、グループ要素１３３および／または法１３４をサーバ１１１に提供してもよい。いくつかの例では、指数乗算器１７０（または、サーバ１１１上で実行される別のモジュール）は、非信頼データストア１５０のデータブロック１５２から、指数１５４を決定する。指数乗算器１７０は、クライアントが生成した一連の底値１６２および指数１５４を用いて、ｇ^Ｅを計算する。いくつかの例では、一連の底値１６２の各底値１６２について、指数１５４のそれぞれの桁位置における値４８２（図４）を伴う底値１６２のべき乗演算を決定することと、指数１５４のそれぞれの桁位置における値４８２を伴う底値１６２のべき乗演算同士を一緒に乗算して結果１９２を生成することで、サーバ１１１は、非信頼サーバ１１１に記憶された指数１５４を伴うグループ要素１３３のべき乗演算を決定する。結果１９２は、被クエリ（照会された）要素（すなわち、データブロック選択１３１によって選択されたデータブロック１５２）に関連付けられる。

サーバ１１１は現在、この計算をｍ個の底とｍ個の指数とを乗算する標準的な問題に一般化することができるので、サーバ１１１は結果１９２を効率的に決定するべく多くのアルゴリズムを利用することができる。例えば、サーバ１１１は、Ｐｉｐｐｅｎｇｅｒ（ピッペンガー）のべき乗演算アルゴリズムまたは他の加算鎖べき乗演算法を用いてもよい。ｇ^Ｅを決定した後、サーバ１１１は、ｇ^Ｅを結果１９２としてユーザ装置１０に送り返してもよい。あるいは、サーバ１１１は、結果１９２を生成するべく法Ｍ（すなわち、法１３４）によってｇ^Ｅを削減してもよく、これは結果１９２のサイズを大幅に削減することができるからであり、また前述したように法演算はべき乗演算よりも計算が容易であるからである。結果１９２は、非信頼データストア１５０に記憶されている指数１５４を伴うべき乗演算に基づく。すなわち、結果１９２は、データブロック選択１３１によって選択されたデータブロック１５２の値に対応する。

システム１００は、それぞれがｌｏｇ（Ｍ）ビットで表される可能性のあるｍ個の指数を送信するだけなので、指数１５４全体をクライアント装置１０に送信することに比べて、著しく削減された帯域幅使用を提供する。法１３４（Ｍ）は、典型的には、指数１５４よりもはるかに小さく、ｍ×ｌｏｇ（Ｍ）＜Ｅである。さらに、非信頼サーバ１１１または非信頼データストア１５０に決して明らかにされない法１３４の素因数分解をユーザ装置１０が知っていることを利用するので、サーバがグループ要素１３３のべき乗演算を完全に計算することに比べて、システム１００は著しく削減された計算を提供する。このように、システムが大きな問題（すなわち、非常に大きな指数を用いたべき乗演算）をいくつかの小さな問題（すなわち、より小さな底値１６２の指数）に分割することで、クライアント装置１０が法１３４の素因数分解を非信頼サーバ１１１に決して明らかにすることなく、システム１００は、計算の全体的なコスト（漸近的（ａｓｙｍｐｔｏｔｉｃ）および具体的の両方）を削減する。システム１００は、通信コスト（例えば、帯域幅）と計算コストとの間のバランスを提供するとともに、ユーザ装置１０およびサーバ１１１の両方が効率的に計算できるようにする。例えば、システム１００は、計算および通信の標準的なコストを用いて、より素朴なアプローチ（例えば、完全な指数１５４を送信すること、またはサーバがｇ^Ｅを完全に計算することを許可すること）と比較して、１０倍から１００倍の間で改善することができる。本明細書の例はプライベート情報引出ＰＩＲに向けられているが、べき乗演算をアウトソーシングするための説明された方法は、他の多くの分野（例えば、ブロックチェーン）において有利である可能性がある。

図５は、プライベートグループのべき乗演算をアウトソーシングするための例示的な方法５００のフローチャートである。方法５００は、動作５０２において、クライアント装置１０のデータ処理ハードウェア１２２において、非信頼サーバ１１１、１５０に記憶されたクエリ要素１５２を引き出すクエリ命令１３０を実行する工程と、動作５０４において、非信頼サーバ１１１、１５０に記憶されたクエリ要素１５２に関連する法１３４の素因数分解を選択する工程とで始まる。素因数分解は、２つ以上の素数１３５を備えている。動作５０６において、方法５００は、素因数分解の２つ以上の素数１３５のうちのそれぞれの１つを生成するように構成されたグループ要素１３３を取得する工程を備えている。動作５０８において、方法５００は、法１３４の素因数分解とグループ要素１３３とを用いて一連の底値１６２を生成する工程と、動作５１０において、一連の底値１６２をクライアント装置１０から非信頼サーバ１１１、１５０に送信する工程と、を備えている。非信頼サーバ１１１、１５０は、一連の底値１６２を用いて、非信頼サーバに記憶された指数１５４を伴う（による）グループ要素１３３のべき乗演算を決定するように構成される。動作５１２において、方法５００は、データ処理ハードウェア１２２において、非信頼サーバ１１１、１５０から結果１９２を受け取る工程を備えている。結果１９２は、非信頼サーバ１１１、１５０に記憶されている指数１５４を伴う（による）、グループ要素１３３のべき乗演算に基づく。

図６は、本書で説明したシステムおよび方法を実施するべく用いることができる例示的なコンピューティング装置６００の概略図である。コンピューティング装置６００は、ラップトップ、デスクトップ、ワークステーション、パーソナルデジタルアシスタント、サーバ、ブレードサーバ、メインフレーム、および他の適切なコンピュータなど、様々な形態のデジタルコンピュータを表すことを意図している。ここに示されている構成要素、それらの接続および関係、ならびにそれらの機能は、例示的なものであることを意図しており、本書に記載および／または請求されている発明の実施を制限することを意図していない。

コンピューティング装置６００は、プロセッサ６１０と、メモリ６２０と、ストレージ装置６３０と、メモリ６２０および高速拡張ポート６５０に接続する高速インタフェース／コントローラ６４０と、および低速バス６７０およびストレージ装置６３０に接続する低速インタフェース／コントローラ６６０とを備えている。構成要素６１０、６２０、６３０、６４０、６５０、６６０のそれぞれは、様々なバスを用いて相互に接続されており、共通のマザーボードに搭載されていてもよいし、適宜他の態様で搭載されていてもよい。プロセッサ６１０は、高速インタフェース６４０に結合されたディスプレイ６８０などの外部入出力装置にグラフィカルユーザインタフェース（ＧＵＩ）のためのグラフィカル情報を表示するべく、メモリ６２０またはストレージ装置６３０に記憶された命令を備えている、コンピューティング装置６００内で実行するための命令を処理することができる。他の実装では、複数のプロセッサおよび／または複数のバスが、複数のメモリおよびメモリの種類とともに、適宜使用されてもよい。また、複数のコンピューティング装置６００が接続され、各装置が必要な動作の一部を提供してもよい（例えば、サーババンク、ブレードサーバグループ、またはマルチプロセッサシステムとして）。

メモリ６２０は、コンピューティング装置６００内の情報を非一時的に記憶する。メモリ６２０は、コンピュータ読取可能媒体、揮発性メモリユニット（複数可）、または不揮発性メモリユニット（複数可）であってもよい。不揮発性メモリ６２０は、コンピューティング装置６００による使用のために、プログラム（例えば、命令のシーケンス）またはデータ（例えば、プログラムの状態情報）を一時的または永久的に記憶するべく使用される物理装置であってもよい。不揮発性メモリの例には、フラッシュメモリおよびリードオンリーメモリ（ＲＯＭ）／プログラマブルリードオンリーメモリ（ＰＲＯＭ）／消去可能プログラマブルリードオンリーメモリ（ＥＰＲＯＭ）／電子的消去可能プログラマブルリードオンリーメモリ（ＥＥＰＲＯＭ）（例えば、ブートプログラムなどのファームウェアに典型的に使用される）が含まれるが、これらに限定されない。揮発性メモリの例としては、ランダムアクセスメモリ（ＲＡＭ）、ダイナミックランダムアクセスメモリ（ＤＲＡＭ）、スタティックランダムアクセスメモリ（ＳＲＡＭ）、フェイズチェンジメモリ（ＰＣＭ）のほか、ディスクやテープなどが挙げられるが、これらに限定されるものではない。

ストレージ装置６３０は、コンピューティング装置６００に大容量記憶を提供することができる。いくつかの実施態様において、ストレージ装置６３０は、コンピュータ読取可能媒体である。様々な異なる実装において、ストレージ装置６３０は、フロッピー（登録商標）ディスク装置、ハードディスク装置、光ディスク装置、またはテープ装置、フラッシュメモリまたは他の類似のソリッドステートメモリ装置、またはストレージエリアネットワークまたは他の構成の装置を備えている、装置のアレイであってもよい。追加の実装では、コンピュータプログラム製品が、情報キャリア（担体）に有形的に具現化される。コンピュータプログラム製品は、実行されると上述したような１つまたは複数の方法を実行する命令を備えている。情報キャリアは、メモリ６２０、ストレージ装置６３０、またはプロセッサ６１０上のメモリなどの、コンピュータ読取可能媒体または機械読取可能媒体である。

高速コントローラ６４０は、コンピューティング装置６００のための帯域幅集中型の動作を管理し、低速コントローラ６６０は、より低い帯域幅集中型の動作を管理する。このような職務の割り当ては、例示的なものに過ぎない。いくつかの実装では、高速コントローラ６４０は、メモリ６２０に、ディスプレイ６８０（例えば、グラフィックプロセッサまたはアクセラレータを介して）に、および、様々な拡張カード（図示せず）を受け入れ得る高速拡張ポート６５０に結合される。いくつかの実装では、低速コントローラ６６０は、ストレージ装置６３０および低速拡張ポート６９０に結合される。様々な通信ポート（例えば、ＵＳＢ、Ｂｌｕｅｔｏｏｔｈ（登録商標）、イーサネット（登録商標）、ワイヤレスイーサネット（登録商標））を備えてもよい低速拡張ポート６９０は、キーボード、ポインティング装置、スキャナ、またはスイッチやルータなどのネットワーク装置などの１つまたは複数の入出力装置に、例えばネットワークアダプタを介して結合されてもよい。

コンピューティング装置６００は、図に示すように、いくつかの異なる形態で実装されてもよい。例えば、標準的なサーバ６００ａまたはそのようなサーバ６００ａのグループにおける複数倍として、ラップトップコンピュータ６００ｂとして、またはラックサーバシステム６００ｃの一部として、実装されてもよい。

本明細書に記載のシステムおよび技術の様々な実装は、デジタル電子および／または光学回路、集積回路、特別に設計されたＡＳＩＣ（特定用途向け集積回路）、コンピュータハードウェア、ファームウェア、ソフトウェア、および／またはそれらの組み合わせで実現することができる。これらの様々な実装には、ストレージ装置、少なくとも１つの入力装置、および少なくとも１つの出力装置からデータおよび命令を受け取るとともに、それら装置にデータおよび命令を送信するように結合された、特殊用途または汎用用途の少なくとも１つのプログラマブルプロセッサを備えているプログラマブルシステム上で実行可能および／または解釈可能な１つまたは複数のコンピュータプログラムでの実装が含まれ得る。

ソフトウェアアプリケーション（すなわち、ソフトウェアリソース）は、コンピューティング装置にタスクを実行させるコンピュータソフトウェアを指すことがある。いくつかの例では、ソフトウェアアプリケーションは、「アプリケーション」、「アプリ」、または「プログラム」と呼ばれることがある。アプリケーションの例としては、システム診断アプリケーション、システム管理アプリケーション、システムメンテナンスアプリケーション、ワードプロセッシングアプリケーション、表計算アプリケーション、メッセージングアプリケーション、媒体ストリーミングアプリケーション、ソーシャルネットワーキングアプリケーション、ゲームアプリケーションなどがあるが、これらに限定されるものではない。

これらのコンピュータプログラム（プログラム、ソフトウェア、ソフトウェアアプリケーション、またはコードとも呼ばれる）は、プログラマブルなプロセッサのための機械命令を備えており、高レベルの手続き型および／またはオブジェクト指向のプログラミング言語、および／またはアセンブリ／機械言語で実装することができる。本明細書において、「機械読取可能媒体」および「コンピュータ読取可能媒体」という用語は、機械読取可能信号として機械命令を受け取る機械読取可能媒体を備えている、機械命令および／またはデータをプログラマブルプロセッサに提供するべく使用される任意のコンピュータプログラム製品、非一時的なコンピュータ読取可能媒体、アパレイタスおよび／または装置（例えば、磁気ディスク、光ディスク、メモリ、プログラマブル論理装置（ＰＬＤ））を意味する。「機械読取可能信号」という用語は、機械命令および／またはデータをプログラマブルプロセッサに提供するべく使用される任意の信号を指す。

本明細書に記載されている処理および論理フローは、データ処理ハードウェアとも呼ばれる１つまたは複数のプログラマブルプロセッサが、１つまたは複数のコンピュータプログラムを実行して、入力データを操作して出力を生成することで機能を実行することができる。また、ＦＰＧＡ（Ｆｉｅｌｄ Ｐｒｏｇｒａｍｍａｂｌｅ Ｇａｔｅ Ａｒｒａｙ）やＡＳＩＣ（Ａｐｐｌｉｃａｔｉｏｎ Ｓｐｅｃｉｆｉｃ Ｉｎｔｅｇｒａｔｅｄ Ｃｉｒｃｕｉｔ）などの特殊な論理回路によっても処理や論理フローを実行することができる。コンピュータプログラムの実行に適したプロセッサには、一例として、汎用および特殊目的のマイクロプロセッサの両方、および任意の種類のデジタルコンピュータの任意の１つまたは複数のプロセッサが含まれる。一般に、プロセッサは、読み取り専用メモリまたはランダムアクセスメモリ、あるいはその両方から命令とデータを受け取る。コンピュータの本質的な要素は、命令を実行するためのプロセッサと、命令やデータを記憶するための１つまたは複数のメモリ装置である。一般に、コンピュータは、データを記憶するための１つまたは複数の大容量ストレージ装置、例えば、磁気ディスク、光磁気ディスク、または光ディスクを備えているか、またはそれらからデータを受け取るか、またはデータを転送するようにそれらに動作可能に結合されるか、または両方である。しかし、コンピュータはそのような装置を持っている必要はない。コンピュータプログラムの命令やデータを記憶するのに適したコンピュータ読取可能媒体には、あらゆる形態の不揮発性メモリ、媒体、およびメモリ装置が含まれ、例として、半導体メモリ装置、例えばＥＰＲＯＭ、ＥＥＰＲＯＭ、およびフラッシュメモリ装置、磁気ディスク、例えば内蔵ハードディスクまたはリムーバブルディスク、光磁気ディスク、およびＣＤ－ＲＯＭおよびＤＶＤ－ＲＯＭディスクが挙げられる。プロセッサとメモリは、特別な目的のための論理回路によって補完されたり、組み込まれたりする。

ユーザとのインタラクションを提供するべく、本開示の１つまたは複数の態様は、ユーザに情報を表示するためのディスプレイ装置、例えばＣＲＴ（ｃａｔｈｏｄｅ ｒａｙ ｔｕｂｅ）、ＬＣＤ（ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ）モニタ、またはタッチスクリーンと、任意でユーザがコンピュータに入力を提供することができるキーボードおよびポインティング装置、例えばマウスまたはトラックボールとを有するコンピュータ上で実装することができる。ユーザとのインタラクションを提供するべく同様に他の種類の装置が使用されることができ、例えば、ユーザに提供されるフィードバックは、視覚的なフィードバック、聴覚的なフィードバック、触覚的なフィードバックなど、あらゆる形態の感覚的なフィードバックであり、ユーザからの入力は、音響的な入力、音声的な入力、触覚的な入力など、あらゆる形態で受け取ることができる。さらに、コンピュータは、ユーザが用いる装置にドキュメントを送信したり、装置からドキュメントを受け取ったりすることで、ユーザと対話することができる。例えば、ユーザのクライアント装置上のウェブブラウザに、ウェブブラウザから受け取ったリクエストに応じてウェブページを送信することができる。

多数の実施例を説明してきた。それにもかかわらず、本開示の精神および範囲から逸脱することなく、様々な変更を行うことができることが理解されるであろう。したがって、他の実施態様は、以下の請求項の範囲内にある。

Claims (18)

1. クライアント装置（１０）のデータ処理ハードウェア（１２４）において、非信頼サーバ（１１１）に記憶されているクエリ要素（１５２）を引き出すべくクエリ命令（１３０）を実行する工程であって、前記クエリ命令（１３０）を実行する工程は、
   前記非信頼サーバ（１１１）に記憶されている前記クエリ要素（１５２）に関連する法（１３４）の素因数分解を選択する工程であって、前記素因数分解は２つ以上の素数（１３５）を備えている、前記素因数分解を選択する工程と、
   前記素因数分解の前記２つ以上の素数（１３５）のそれぞれ１つを生成するように構成されたグループ要素（１３３）を取得する工程と、
   前記法（１３４）の前記素因数分解と前記グループ要素（１３３）とを用いて、一連の底値（１６２）を生成する工程であって、前記一連の底値（１６２）を生成する工程は、
   前記非信頼サーバ（１１１）に記憶された指数（１５４）を表す位取り記数法（１００）を取得する工程であって、前記位取り記数法（１００）は前記クライアント装置（１０）と前記非信頼サーバ（１１１）との間の通信についての帯域幅制限に基づき、前記クライアント装置（１０）または前記非信頼サーバ（１１１）によって選択される、前記位取り記数法（１００）を取得する工程と、
   前記位取り記数法（１００）における桁位置に対応するそれぞれの基数要素（１３６）による前記グループ要素（１３３）のべき乗演算に基づき、前記一連の底値（１６２）内の各底値（１６２）を生成する工程と
   を備えている、前記一連の底値（１６２）を生成する工程と、
   前記一連の底値（１６２）を前記クライアント装置（１０）から前記非信頼サーバ（１１１）に送信する工程であって、前記非信頼サーバ（１１１）は、前記一連の底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、前記一連の底値（１６２）を送信する工程と、
   によって行われる、前記クエリ命令（１３０）を実行する工程と、および
   前記データ処理ハードウェア（１２４）において、前記非信頼サーバ（１１１）から結果（１９２）を受け取る工程であって、前記結果（１９２）は、前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算に基づく、前記結果（１９２）を受け取る工程と、
   を備えている、方法（５００）。
2. 前記一連の底値（１６２）を生成する工程は、
   前記法（１３４）の素因数分解と前記グループ要素（１３３）とを用いて、一連の初期底値（１６２）を生成する工程と、
   一連の法削減底値（１６２）を生成するべく、前記一連の初期底値（１６２）における各初期底値（１６２）を前記法（１３４）によって削減する工程であって、各法削減底値（１６２）は、前記法（１３４）によって削減された前記一連の初期底値（１６２）におけるそれぞれの初期底値（１６２）を備えている、各初期底値（１６２）を前記法（１３４）によって削減する工程と、
   を備えており、
   前記一連の底値（１６２）を前記非信頼サーバ（１１１）に送信する工程は、前記一連の法削減底値（１６２）を前記非信頼サーバ（１１１）に送信する工程を備えており、
   前記非信頼サーバ（１１１）は、前記一連の法削減底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶された前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、
   請求項１に記載の方法（５００）。
3. 前記一連の底値（１６２）を前記非信頼サーバ（１１１）に送信する工程はさらに、前記法（１３４）を前記非信頼サーバ（１１１）に送信する工程を備えており、
   前記非信頼サーバ（１１１）は、
   前記一連の底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶された前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定する工程と、
   前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を前記法（１３４）で減らすことで、前記結果（１９２）を生成する工程と、
   前記結果（１９２）を前記クライアント装置（１０）に送信する工程と、
   を実行するように構成されている、
   請求項１または２に記載の方法（５００）。
4. 前記方法（５００）はさらに、前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を前記結果（１９２）が備えている場合に、前記データ処理ハードウェア（１２４）によって、前記法（１３４）で前記結果（１９２）を削減する工程を備えている、
   請求項１～３のいずれか一項に記載の方法（５００）。
5. 前記位取り記数法（１００）は、２進法、１６進法、または１０進法のうちの１つを備えている、
   請求項１～４のいずれか一項に記載の方法（５００）。
6. 前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を表す前記位取り記数法（１００）を取得する工程はさらに、前記位取り記数法（１００）によって表される前記指数（１５４）の桁数（２１２）を取得する工程を備えており、
   前記指数（１５４）の前記桁数（２１２）は、実行された前記クエリ命令（１３０）によって生成された前記一連の底値（１６２）のうちの底値（１６２）の数に等しい、
   請求項１～４のいずれか一項に記載の方法（５００）。
7. 前記クライアント装置（１０）から受け取った前記一連の底値（１６２）の各底値（１６２）について、前記指数（１５４）のそれぞれの桁位置における値を伴う前記底値（１６２）の前記べき乗演算を決定する工程と、
   前記指数（１５４）のそれぞれの前記桁位置における値を伴う前記底値（１６２）の前記べき乗演算同士を一緒に乗算する工程と、
   によって、前記非信頼サーバ（１１１）は、前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、
   請求項１～６のいずれか一項に記載の方法（５００）。
8. 前記結果（１９２）は、被クエリ要素に関連付けられている、
   請求項１～７のいずれか一項に記載の方法（５００）。
9. 前記クライアント装置（１０）は、前記法（１３４）の前記素因数分解を、前記非信頼サーバ（１１１）に決して明らかにしない、
   請求項１～８のいずれか一項に記載の方法（５００）。
10. クライアント装置（１０）のデータ処理ハードウェア（１２４）と、および
    前記データ処理ハードウェア（１２４）に通信するメモリハードウェア（１２２）であって、前記データ処理ハードウェア（１２４）上で実行されると前記データ処理ハードウェア（１２４）に動作を実行させる命令を記憶する前記メモリハードウェア（１２２）と、
    を備えているシステム（１００）であって、前記動作は、
    非信頼サーバ（１１１）に記憶されているクエリ要素（１５２）を引き出すべくクエリ命令（１３０）を実行する工程であって、前記クエリ命令（１３０）を実行する工程は、
    前記非信頼サーバ（１１１）に記憶されている前記クエリ要素（１５２）に関連する法（１３４）の素因数分解を選択する工程であって、前記素因数分解は２つ以上の素数（１３５）を備えている、前記素因数分解を選択する工程と、
    前記素因数分解の前記２つ以上の素数（１３５）のそれぞれ１つを生成するように構成されたグループ要素（１３３）を取得する工程と、
    前記法（１３４）の前記素因数分解と前記グループ要素（１３３）とを用いて、一連の底値（１６２）を生成する工程であって、前記一連の底値（１６２）を生成する工程は、
    前記非信頼サーバ（１１１）に記憶された指数（１５４）を表す位取り記数法（１００）を取得する工程であって、前記位取り記数法（１００）は前記クライアント装置（１０）と前記非信頼サーバ（１１１）との間の通信についての帯域幅制限に基づき、前記クライアント装置（１０）または前記非信頼サーバ（１１１）によって選択される、前記位取り記数法（１００）を取得する工程と、
    前記位取り記数法（１００）における桁位置に対応するそれぞれの基数要素（１３６）による前記グループ要素（１３３）のべき乗演算に基づき、前記一連の底値（１６２）内の各底値（１６２）を生成する工程と、
    を備えている、前記一連の底値（１６２）を生成する工程と、
    前記一連の底値（１６２）を前記クライアント装置（１０）から前記非信頼サーバ（１１１）に送信する工程であって、前記非信頼サーバ（１１１）は、前記一連の底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、前記一連の底値（１６２）を送信する工程と、
    によって行われる、前記クエリ命令（１３０）を実行する工程と、および
    前記非信頼サーバ（１１１）から結果（１９２）を受け取る工程であって、前記結果（１９２）は、前記非信頼サーバ（１１１）に記憶された前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算に基づく、前記結果（１９２）を受け取る工程と、を備えている、
    システム（１００）。
11. 前記一連の底値（１６２）を生成する工程は、
    前記法（１３４）の前記素因数分解と前記グループ要素（１３３）とを用いて、一連の初期底値（１６２）を生成する工程と、
    一連の法削減底値（１６２）を生成するべく、前記一連の初期底値（１６２）における各初期底値（１６２）を前記法（１３４）によって削減する工程であって、各法削減底値（１６２）は、前記法（１３４）によって削減された前記一連の初期底値（１６２）におけるそれぞれの初期底値（１６２）を備えている、各初期底値（１６２）を前記法（１３４）によって削減する工程と、
    を備えており、
    前記一連の底値（１６２）を前記非信頼サーバ（１１１）に送信する工程は、前記一連の法削減底値（１６２）を前記非信頼サーバ（１１１）に送信する工程を備えており、
    前記非信頼サーバ（１１１）は、前記一連の法削減底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶された前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、
    請求項１０に記載のシステム（１００）。
12. 前記一連の底値（１６２）を前記非信頼サーバ（１１１）に送信する工程はさらに、前記法（１３４）を前記非信頼サーバ（１１１）に送信する工程を備えており、
    前記非信頼サーバ（１１１）は、
    前記一連の底値（１６２）を用いて、前記非信頼サーバ（１１１）に記憶された前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定する工程と、
    前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を前記法（１３４）で減らすことで、前記結果（１９２）を生成する工程と、
    前記結果（１９２）を前記クライアント装置（１０）に送信する工程と、
    を実行するように構成されている、
    請求項１０または１１に記載のシステム（１００）。
13. 前記動作はさらに、前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を前記結果（１９２）が備えている場合に、前記法（１３４）で前記結果（１９２）を削減する工程を備えている、
    請求項１０～１２のいずれか一項に記載のシステム（１００）。
14. 前記位取り記数法（１００）は、２進法、１６進法、または１０進法のうちの１つを備えている、
    請求項１０～１３のいずれか一項に記載のシステム（１００）。
15. 前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を表す前記位取り記数法（１００）を取得する工程はさらに、前記位取り記数法（１００）によって表される前記指数（１５４）の桁数（２１２）を取得する工程を備えており、
    前記指数（１５４）の前記桁数（２１２）は、実行された前記クエリ命令（１３０）によって生成された前記一連の底値（１６２）のうちの底値（１６２）の数に等しい、
    請求項１０～１４のいずれか一項に記載のシステム（１００）。
16. 前記クライアント装置（１０）から受け取った前記一連の底値（１６２）の各底値（１６２）について、前記指数（１５４）のそれぞれの桁位置における値を伴う前記底値（１６２）の前記べき乗演算を決定する工程と、
    前記指数（１５４）のそれぞれの前記桁位置における値を伴う前記底値（１６２）の前記べき乗演算同士を一緒に乗算する工程と、
    によって、前記非信頼サーバ（１１１）は、前記非信頼サーバ（１１１）に記憶されている前記指数（１５４）を伴う前記グループ要素（１３３）の前記べき乗演算を決定するように構成されている、
    請求項１０～１５のいずれか一項に記載のシステム（１００）。
17. 前記結果（１９２）は、被クエリ要素に関連付けられている、
    請求項１０～１６のいずれか一項に記載のシステム（１００）。
18. 前記クライアント装置（１０）は、前記法（１３４）の前記素因数分解を前記非信頼サーバ（１１１）に明らかにすることはない、
    請求項１０～１７のいずれか一項に記載のシステム（１００）。

Images