JP7170878B2 - 暗号文に対する非多項式演算を行う装置及び方法 - Google Patents

Description

本発明は、近似暗号化された暗号文に対し、比較演算のような非多項式演算を行うための装置及び方法に関する。

通信技術が発生し、電子装置の普及が活発化するにつれ、電子装置の間での通信セキュリティを保持するための取り組みが持続的に行われている。それにより、多くの通信環境においては、暗号化／復号化技術が使われている。

暗号化技術によって暗号化されたメッセージが相手に伝達されると、相手はメッセージを用いるためには、復号化を行わなければならない。この場合、相手は暗号化されたデータを復号化する過程において、リソース及び時間の無駄が生じることなる。なお、相手が演算のために、一時的にメッセージを復号化した状態で第三者のハッキングが行われる場合、メッセージが第三者に容易く漏洩しかねないとの問題もあった。

このような問題を解決するために、準同形暗号化方法が研究されている。準同形暗号化によると、暗号化された情報を復号化せずに、暗号文そのもので演算を行うとしても、平文に対して演算した後、暗号化した値と同じ結果を得ることができる。そのため、暗号文を復号化していない状態で各種演算を行うことができる。

しかし、従来の準同形暗号文は、足し算及び掛け算などの一部の演算のみをサポートしていたとの点において、準同形暗号文に対して比較演算のような非多項式演算を適用することができる方法が求められている。

そこで、本発明は、上記問題に鑑みてなされたものであり、本発明の目的とするところは、近似暗号化された暗号文に対し、比較演算のような非多項式演算を行うための装置及び方法を提供することにある。

本発明は、以上のような目的を達成するためのものであって、本暗号文演算方法は、複数の準同形暗号文に対する比較演算命令を入力されるステップと、前記比較演算命令に対応する合成関数に、前記複数の準同形暗号文を反映して演算するステップと、前記演算された準同形暗号文を出力するステップとを含む。

この場合、前記合成関数は、２^－αの正確度に対応し、θ（α）又はθ（αｌｏｇα）の複雑度（ｃｏｍｐｌｅｘｉｔｙ）を有してよい。

一方、前記比較演算は、最大値算出又は最小値算出であり、前記演算するステップは、平方根演算に対応する合成関数を用いて前記最大値算出又は前記最小値算出を演算してよい。

この場合、前記平方根演算に対応する合成関数は、入力値を初期値として有する第１変数と、前記入力値から１を引いた値を初期値として有する第２変数とを含む第１関数、及び前記第２変数を含む第２関数を予め設定された回数分繰り返し演算してよい。

なお、前記予め設定された回数は、前記平方根演算の誤差率に対応する回数であってよい。

一方、前記比較演算は、大きさの比較に応じて、予め設定された値を出力する演算であり、前記演算するステップは、インバース（ｉｎｖｅｒｓｅ）演算に対応する関数演算を含む合成関数を予め設定された回数分繰り返し演算してよい。

一方、前記比較演算は、大きさの比較に応じて、予め設定された値を出力する演算であり、前記演算するステップは、符号関数に対応する合成関数を用いて予め設定された回数分繰り返し演算してよい。

この場合、前記符号関数に対応する合成関数は、０より大きい入力値に対しては、出力値が１に近づき、０より小さい入力値に対しては、出力値が－１に近づくようにする合成関数であってよい。

一方、前記演算するステップは、前記符号関数に対応する近似関数であり、相互異なる２つ以上の合成関数を用いて前記比較演算を行ってよい。

一方、本発明の一実施形態に係る演算装置は、少なくとも１つのインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を保存するメモリと、前記少なくとも１つのインストラクションを行うプロセッサとを含み、前記プロセッサは、前記少なくとも１つのインストラクションを行うことで、複数の準同形暗号文に対する比較演算命令を入力されると、前記比較演算命令に対応する合成関数に、前記複数の準同形暗号文を反映して演算し、前記演算された準同形暗号文を出力する。

この場合、前記比較演算は、最大値算出又は最小値算出であり、前記プロセッサは、平方根演算に対応する合成関数を用いて前記最大値算出又は前記最小値算出を演算してよい。

一方、前記比較演算は、大きさの比較に応じて、予め設定された値を出力する演算であり、前記プロセッサは、インバース（ｉｎｖｅｒｓｅ）演算に対応する関数演算を含む合成関数を予め設定された回数分繰り返し演算してよい。

一方、前記比較演算は、大きさの比較に応じて、予め設定された値を出力する演算であり、前記プロセッサは、符号関数に対応する合成関数を用いて予め設定された回数分繰り返し演算してよい。

一方、前記符号関数に対応する合成関数は、０より大きい入力値に対しては、出力値が１に近づき、０より小さい入力値に対しては、出力値が－１に近づくようにする合成関数であってよい。

一方、前記プロセッサは、前記符号関数に対応する近似関数であり、相互異なる２つ以上の合成関数を用いて前記比較演算を行ってよい。

以上説明したように、本発明によれば、準同形暗号文処理方法は、合成関数を用いて、近似暗号化された暗号文に対する比較演算を行うことができるようになる。更に、本発明で提案した合成関数は、複雑度が低いため、正確度が高くなったとしても、より速い演算ができるようになる。

本発明の一実施形態に係るネットワークシステムの構造を説明するための図である。 本発明の一実施形態に係る演算装置の構成を示すブロック図である。 本発明の演算装置の演算動作を説明するための図である。 本発明の一実施形態に係る暗号文演算方法を説明するためのフローチャートである。 本発明の一実施形態により、インバース演算を合成関数を用いて計算する方法を説明するための図である。 本発明の一実施形態により、平方根演算を合成関数を用いて計算する方法を説明するための図である。 本発明の一実施形態に係る最大値計算及び最小値計算方法を説明するための図である。 本発明の第１実施形態に係る大きさの比較方法を説明するための図である。 本発明の第２実施形態に係る大きさの比較方法を説明するための図である。 符号関数の勾配に対応する合成関数を求める方法を説明するための図である。 本発明の第３実施形態に係る大きさの比較方法を説明するための図である。 符号関数に対応する合成関数の繰り返し回数別の形態を示す図である。 符号関数に関連する多様な合成関数の繰り返し回数別の形態を示す図である。

以下では、添付図面を参照し、本発明について詳細に説明する。本発明において、処理される情報（データ）伝送過程は、必要に応じて、暗号化／復号化が適用されてよく、本発明及び特許請求範囲で情報（データ）伝送過程を説明する表現は、格別に言及されなくても、いずれも暗号化／復号化する場合も含むものとして解釈されるべきである。本発明において、「ＡからＢに伝送（伝達）」又は「ＡがＢから受信」のような表現は、中間に他の媒介体が含まれて伝送（伝達）又は受信されることも含み、必ずしもＡからＢまで直接伝送（伝達）又は受信されるものだけを表現するわけではない。

本発明の説明において、各ステップの順番は、先行段階が論理的及び時間的に必ず後続段階より前に行われなければならない場合でなければ、各段階の順番は非制限的に理解されるべきである。即ち、上記のような例外的な場合を除いては、後続段階として説明された過程が先行段階として説明された過程より前に行われるとしても、開示の本質には影響がなく、権利範囲も段階の順番によらず定義されるべきである。そして、本明細書において、「Ａ又はＢ」との記載は、ＡとＢとのいずれか一方を選択的に指すだけでなく、ＡとＢとのいずれもを含むことも意味するものとして定義される。なお、本発明で「含む」との用語は、含むものとして並べ立てられた要素の他に、他の構成要素を更に含むことも包括する意味を有する。

本開示においては、本発明の説明に必要な必須の構成要素のみを説明し、本発明の本質と関係のない構成要素については言及しないこととする。そして、言及される構成要素のみを含む排他的な意味として解釈されてはならず、他の構成要素も含むことができる非排他的な意味として解釈されるべきである。

そして、本開示において、「値」とは、スカラー値だけでなく、ベクトルも含む概念で定義される。

後述する本発明の各段階の数学的な演算及び算出は、当該演算又は算出を行うために、公知となっているコーディング方法及び／又は本開示に好適に考案されたコーディングによってコンピュータ演算で実現されてよい。

以下で説明する具体的な数式は、可能な限り、複数の代案のうち、例示的に説明されるものであり、本発明の権利範囲が本発明に言及された数式に制限されるものとして解釈されてはならない。

説明の便宜上、本発明では、次のように表記を定めることにする。

ａ←Ｄ：分布（Ｄ）に応じて、元素（ａ）を選択する
ｓ₁、ｓ₂∈R：Ｓ１、Ｓ２のそれぞれは、Ｒ集合に属する元素である
ｍｏｄ（ｑ）：ｑ元素でモジュール（ｍｏｄｕｌｅ）演算
「－」：内部値を四捨五入する
以下では、添付図面を用いて、本発明の多様な実施形態について具体的に説明する。

図１は、本発明の一実施形態に係るネットワークシステムの構造を説明するための図である。

図１を参照すると、ネットワークシステムは、複数の電子装置１００－１～１００－ｎ、第１サーバ装置２００、第２サーバ装置３００を含んでよく、各構成は、ネットワーク１０を介して相互接続されてよい。

ネットワーク１０は、多様な形態の有・無線通信ネットワーク、放送通信ネットワーク、光通信ネットワーク、クラウドネットワークなどで実現されてよく、各装置は、別途の媒介体なしに、Ｗｉ－Ｆｉ、ブルートゥース、ＮＦＣ（Ｎｅａｒ Ｆｉｅｌｄ Ｃｏｍｍｕｎｉｃａｔｉｏｎ）などのような方式で接続されてよい。

図１においては、電子装置が、複数１００－１～１００－ｎであるとして示しているが、必ずしも複数の電子装置が使用されなければならないわけではなく、１つの装置が使用されてよい。一例として、電子装置１００－１～１００－ｎは、スマートフォン、タブレット、ゲームプレイヤ、パソコン、ラップトップ、ホームサーバ、キオスク端末などのような多様な装置で実現されてよく、その他に、ＩｏＴ機能付きの家電製品で実現されてよい。

ユーザは、自らが使用する電子装置１００－１～１００－ｎを介して多様な情報を入力してよい。入力された情報は、電子装置１００－１～１００－ｎそのものに保存されてよいが、保存容量及びセキュリティなどを理由に、外部装置に伝送されて保存されてよい。図１において、第１サーバ装置２００は、このような情報を保存する役割を担い、第２サーバ装置３００は、第１サーバ装置２００に保存された情報の一部又は全部を用いる役割を担ってよい。

各電子装置１００－１～１００－ｎは、入力された情報を準同形暗号化し、準同形暗号文を第１サーバ装置２００に伝送してよい。

各電子装置１００－１～１００－ｎは、準同形暗号化を行う過程で算出される暗号化ノイズ、即ち、エラーを暗号文に含めてよい。具体的には、各電子装置１００－１～１００－ｎから生成する準同形暗号文は、以後、秘密鍵を用いて復号化した際、メッセージ及びエラー値を含む結果値が復元される形で生成されてよい。

一例として、電子装置１００－１～１００－ｎから生成される準同形暗号文は、秘密鍵を用いて復号化した際、次のような性質を満たす形で生成されてよい。

ここで、＜、＞は、内在的演算（ｕｓｕａｌ ｉｎｎｅｒ ｐｒｏｄｕｃｔ）、ｃｔは暗号文、ｓｋは秘密鍵、Ｍは平文メッセージ、ｅは暗号化エラー値、ｍｏｄ ｑは暗号文のモデュラス（Ｍｏｄｕｌｕｓ）を意味する。ｑは、スケーリングファクタ（ｓｃａｌｉｎｇ ｆａｃｔｏｒ）（Δ）がメッセージに掛け算された結果値Ｍより大きい値に選択されなければならない。エラー値ｅの絶対値がＭに比べて十分に小さい値である場合、暗号文の復号化値Ｍ＋ｅは、有効数字演算で本来のメッセージを同じ精度に代替できる値である。復号化されたデータのうち、エラーは最下位ビット（ＬＳＢ）側に配置され、Ｍは、最下位から２番目のビット側に配置されてよい。

メッセージの大きさが小さすぎるか大きすぎる場合、スケーリングファクタを用いて、その大きさを調節することもできる。スケーリングファクタを使用するようになると、整数のメッセージだけでなく、実数のメッセージまで暗号化できるようになるため、活用性が大幅に増大することができる。なお、スケーリングファクタを用いて、メッセージの大きさを調節することで、演算が行われてからの暗号文でメッセージの存在する領域、即ち、有効領域の大きさも調節されてよい。

実施形態によって、暗号文のモジュラスｑは、多様な形態に設定されて使用されてよい。一例として、暗号文のモジュラスは、スケーリングファクタΔのべき乗ｑ＝Δ^Ｌの形態に設定されてよい。Δが２なら、ｑ＝２^１０のような値に設定されてよい。

第１サーバ装置２００は、受信された準同形暗号文を復号化せずに、暗号文の状態で保存してよい。

第２サーバ装置３００は、準同形暗号文に対する特定の処理結果を第１サーバ装置２００にリクエストしてよい。第１サーバ装置２００は、第２サーバ装置３００のリクエストに応じて特定演算を行った後、その結果を第２サーバ装置３００に伝送してよい。

一例として、２つの電子装置１００－１、１００－２の伝送した暗号文ｃｔ１、ｃｔ２が、第１サーバ装置２００に保存された場合、第２サーバ装置３００は、両電子装置１００－１、１００－２から提供された情報を合算した値を、第１サーバ装置２００にリクエストしてよい。第１サーバ装置２００は、リクエストに応じて、２つの暗号文を合算する演算を行った後、その結果値（ｃｔ１＋ｃｔ２）を第２サーバ装置３００に伝送してよい。

準同形暗号文の性質上、第１サーバ装置２００は復号化を行っていない状態で演算を行ってよく、その結果値も暗号文の形態になる。本発明では、演算によって獲得された結果値を演算結果暗号文と称する。

第１サーバ装置２００は、演算結果暗号文を第２サーバ装置３００に伝送してよい。第２サーバ装置３００は、受信された演算結果暗号文を復号化し、各準同形暗号文に含まれたデータの演算結果値を獲得してよい。

第１サーバ装置２００は、ユーザのリクエストに応じて、演算を複数回行ってよい。そのとき、第１サーバ装置２００は、足し算、引き算及び掛け算のみで構成される演算だけでなく、インバース演算、平方根演算を含む演算も行ってよい。なお、第１サーバ装置２００は、最大値算出、最小値算出、及び大きさの比較のような比較演算も行うことができる。このように、第１サーバ装置２００は、演算動作を行うことができる点において、演算装置と称してよい。

このとき、第１サーバ装置２００は、比較演算を行うことにおいて、非多項式演算に対応する合成関数を用いて、演算を行うことができる。本発明に係る合成関数は、２^－αの正確度に対応し、θ（α）又はθ（αｌｏｇα）の複雑度（ｃｏｍｐｌｅｘｉｔｙ）を有するため、正確度が高くなる場合に、従来より速い演算が可能になる。

一方、図１においては、第１電子装置及び第２電子装置で暗号化を行い、第２サーバ装置が復号化を行う場合を示しているが、それに限らない。

図２は、本発明の一実施形態に係る演算装置の構成を示すブロック図である。

具体的に、図１のシステムにおいて、第１電子装置、第２電子装置などのように準同形暗号文を行う装置、第１サーバ装置などのように準同形暗号文を演算する装置、第２サーバ装置などのように準同形暗号文を復号する装置などを演算装置と称してよい。このような演算装置は、ＰＣ（Ｐｅｒｓｏｎａｌ ｃｏｍｐｕｔｅｒ）、ノートパソコン、スマートフォン、タブレット、サーバなど多様な装置であってよい。

図２を参照すると、演算装置４００は、通信装置４１０、メモリ４２０、ディスプレイ４３０、操作入力装置４４０及びプロセッサ４５０を含んでよい。

通信装置４１０は、演算装置４００を外部装置（図示せず）と接続するために形成され、ローカル・エリア・ネットワーク（ＬＡＮ：Ｌｏｃａｌ Ａｒｅａ Ｎｅｔｗｏｒｋ）及びインターネット網を介して、外部装置に接続される形態だけでなく、ＵＳＢ（Ｕｎｉｖｅｒｓａｌ Ｓｅｒｉａｌ Ｂｕｓ）ポート又は無線通信（例えば、ＷｉＦｉ ８０２．１１ａ／ｂ／ｇ／ｎ、ＮＦＣ、Ｂｌｕｅｔｏｏｔｈ）ポートを介して接続される形態も可能である。このような通信装置４１０は、送受信部（ｔｒａｎｓｃｅｉｖｅｒ）と称してよい。

通信装置４１０は、公開鍵を外部装置から受信してよく、演算装置４００自ら生成した公開鍵を外部装置に伝送してよい。

そして、通信装置４１０は、外部装置からメッセージを受信してよく、生成した準同形暗号文を外部装置に送信してよい。

なお、通信装置４１０は、暗号文の生成に必要な各種パラメータを外部装置から受信してよい。一方、実現時は、各種パラメータは、後述する操作入力装置４４０を介してユーザから直接入力されてよい。

なお、通信装置４１０は、外部装置から準同形暗号文に対する演算をリクエストされてよく、それにより、計算された結果を外部装置に伝送してよい。ここで、リクエストされた演算は、足し算、引き算、掛け算のような演算であってよく、非多項式演算である比較演算であってよい。

メモリ４２０には、演算装置４００に関する少なくとも１つのインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）が保存されてよい。具体的に、メモリ４２０には、本開示の多様な実施形態によって、演算装置４００が動作するための各種プログラム（又は、ソフトウェア）が保存されてよい。

このようなメモリ４２０は、ＲＡＭやＲＯＭ、フラッシュメモリ、ＨＤＤ、外付けメモリ、メモリカードなどのような多様な形態で実現されてよく、何れかに限定されるものではない。

メモリ４２０は、暗号化するメッセージを保存してよい。ここで、メッセージとは、ユーザが引用する各種信用情報、個人情報などであってよく、演算装置４００で使用される位置情報、インターネット使用時間情報など、使用履歴などに関連する情報であってよい。

そして、メモリ４２０は、公開鍵を保存してよく、演算装置４００が直接公開鍵を生成した装置である場合、秘密鍵だけでなく、公開鍵及び秘密鍵の生成に必要な各種パラメータを保存してよい。

そして、メモリ４２０は、後述する過程で生成された準同形暗号文を保存してよい。そして、メモリ４２０は、外部装置から伝送した準同形暗号文を保存してよい。なお、メモリ４２０は、後述する演算過程における結果物である演算結果暗号文を保存してよい。

ディスプレイ４３０は、演算装置４００のサポートする機能を選択されるためのユーザインターフェースウィンドウを表示する。具体的に、ディスプレイ４３０は、演算装置４００の提供する各種機能を選択されるためのユーザインターフェースウィンドウを表示してよい。このようなディスプレイ４３０は、ＬＣＤ（ｌｉｑｕｉｄ ｃｒｙｓｔａｌ ｄｉｓｐｌａｙ）、ＯＬＥＤ（Ｏｒｇａｎｉｃ Ｌｉｇｈｔ Ｅｍｉｔｔｉｎｇ Ｄｉｏｄｅｓ）などのようなモニタであってよく、後述する操作入力装置４４０の機能を同時に実行することができるタッチスクリーンで実現されてよい。

ディスプレイ４３０は、秘密鍵及び公開鍵の生成に必要なパラメータの入力をリクエストするメッセージを表示してよい。そして、ディスプレイ４３０は、暗号化対象がメッセージを選択するメッセージを表示してよい。一方、実現時は、暗号化対象は、ユーザが直接選択してよく、自動的に選択されてよい。即ち、暗号化の必要な個人情報などは、ユーザが直接メッセージを選択しなくても、自動的に設定されてよい。

操作入力装置４４０は、ユーザから演算装置４００の機能選択及び当該機能に対する制御命令を入力されてよい。具体的に、操作入力装置４４０は、ユーザから秘密鍵及び公開鍵の生成に必要なパラメータを入力されてよい。なお、操作入力装置４４０は、ユーザから暗号化されるメッセージを設定されてよい。

プロセッサ４５０は、演算装置４００の動作全般を制御する。具体的に、プロセッサ４５０は、メモリ４２０に保存された少なくとも１つのインストラクションを実行することで、演算装置４００の動作を全般的に制御してよい。このようなプロセッサ４５０は、ＣＰＵ（ｃｅｎｔｒａｌ ｐｒｏｃｅｓｓｉｎｇ ｕｎｉｔ）、ＡＳＩＣ（ａｐｐｌｉｃａｔｉｏｎ-ｓｐｅｃｉｆｉｃ ｉｎｔｅｇｒａｔｅｄ ｃｉｒｃｕｉｔ）のような単一装置で構成されてよく、ＣＰＵ、ＧＰＵ（Ｇｒａｐｈｉｃｓ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）などの複数の装置で構成されてよい。

プロセッサ４５０は、伝送しようとするメッセージが入力されると、メモリ４２０に保存してよい。そして、プロセッサ４５０は、メモリ４２０に保存された各種設定値及びプログラムを用いて、メッセージを準同形暗号化してよい。この場合、公開鍵が使用されてよい。

プロセッサ４５０は、暗号化を行うのに必要な公開鍵を自ら生成して使用してよく、外部装置から受信して使用してよい。一例として、復号化を行う第２サーバ装置３００が公開鍵を他の装置に配信してよい。

自ら鍵を生成する場合、プロセッサ４５０は、Ｒｉｎｇ－ＬＷＥ技法を用いて公開鍵を生成してよい。具体的に説明すると、プロセッサ４５０は、まず。各種パラメータ及びリングを設定し、メモリ４２０に保存してよい。パラメータの例としては、平文メッセージビットの長さ、公開鍵及び秘密鍵の大きさなどがあってよい。

リングは、次のような数式で表現されてよい。

ここで、Ｒはリング、Ｚｑは係数、ｆ（ｘ）はｎ次多項式である。

リング（Ｒｉｎｇ）とは、予め設定された係数を有する多項式の集合であって、元素の間で足し算と掛け算とが定義されており、足し算と掛け算とに対しては閉じている集合を意味する。このようなリングは、環と称してよい。

一例として、リングは、係数がＺｑであるｎ次多項式の集合を意味する。具体的には、ｎがΦ（n）である際、Ｎ次円分多項式（ｎ－ｔｈ ｃｙｃｌｏｔｏｍｉｃ ｐｏｌｙｎｏｍｉａｌ）を意味する。（ｆ（ｘ））とは、ｆ（ｘ）として生成されるＺｑ［ｘ］のアイディール（ｉｄｅａｌ）を示す。Ｅｕｌｅｒ ｔｏｔｉｅｎｔ関数Φ（Ｎ）とは、Ｎと互いに素であり、Ｎより小さい自然数の数を意味する。Φ_Ｎ（ｘ）をＮ次円分多項式と定義すると、リングは次のような数式３でも表されてよい。

秘密鍵（ｓｋ）は、次のように表現されてよい。

一方、上述の数式３のリングは、平文空間で複素数を有する。一方、準同形暗号文に対する演算速度を向上するために、上述のリングの集合のうち、平文空間が実数である集合のみを利用してよい。

このようなリングが設定されると、プロセッサ４５０はリングから秘密鍵（ｓｋ）を算出してよい。

ここで、ｓ（ｘ）は小さい係数でランダムに生成した多項式を意味する。

そして、プロセッサ４５０は、リングから第１ランダム多項式（ａ（ｘ））を算出する。第１ランダム多項式は、次のように表現されてよい。

なお、プロセッサ４５０は、エラーを算出してよい。具体的に、プロセッサ４５０は、離散ガウシアン分布又はそれと統計的距離の近い分布からエラーを抽出してよい。このようなエラーは、次のように表されてよい。

エラーまで算出されると、プロセッサ４５０は第１ランダム多項式及び秘密鍵にエラーをモデュラー演算し、第２ランダム多項式を算出してよい。第２ランダム多項式は、次のように表されてよい。

最終的に公開鍵（ｐｋ）は、第１ランダム多項式及び第２ランダム多項式を含む形態として、次のように設定される。

上述の鍵生成方法は一例に過ぎないため、必ずしもそれに限定されるものではなく、その他の方法で公開鍵及び秘密鍵を生成し得ることは勿論である。

一方、プロセッサ４５０は公開鍵が生成されると、他の装置に伝送されるように通信装置４１０を制御してよい。

そして、プロセッサ４５０は、メッセージに対する準同形暗号文を生成してよい。具体的に、プロセッサ４５０は、メッセージに対して、先に生成された公開鍵を適用して準同形暗号文を生成してよい。このとき、プロセッサ４５０は、暗号文の長さをスケーリングファクタの大きさに対応するように生成してよい。

そして、プロセッサ４５０は、準同形暗号文が生成されると、メモリ４２０に保存するか、ユーザのリクエスト又は予め設定されたデフォルトコマンドに応じて、準同形暗号文を他の装置に伝送するように通信装置４１０を制御してよい。

一方、本発明の一実施形態によると、パッキング（Ｐａｃｋｉｎｇ）が行われてよい。準同形暗号化でパッキングを利用するようになると、複数のメッセージを１つの暗号文で暗号化することが可能になる。この場合、演算装置４００で各暗号文の間の演算を行うと、結果的に複数のメッセージに対する演算が並列的に処理されるため、演算の負担が大幅に軽減する。

具体的に、プロセッサ４５０は、メッセージが複数のメッセージベクトルで行われる場合、複数のメッセージベクトルを並列的に暗号化できる形態の多項式に変換した後、その多項式にスケーリングファクタを乗算し、公開鍵を用いて準同形暗号化してよい。それにより、複数のメッセージベクトルをパッキングした暗号文を生成してよい。

そして、プロセッサ４５０は、準同形暗号文に対する復号が必要な場合、準同形暗号文に秘密鍵を適用して多項式形態の復号文を生成し、多項式形態の復号文をデコードしてメッセージを生成してよい。このとき、生成したメッセージは、上述した数式１で言及したように、エラーを含んでよい。

そして、プロセッサ４５０は、暗号文に対する演算を行ってよい。具体的に、プロセッサ４５０は、準同形暗号文に対して暗号化された状態を維持した状態で、足し算、引き算又は掛け算などの演算を行ってよい。

なお、プロセッサ４５０は、暗号文に対しても、足し算、引き算又は掛け算以外の演算を有する多項式に対する演算を行ってよい。具体的に、準同形暗号文は、足し算、引き算、掛け算に対しては閉じているが、その他の演算に対しては閉じていない。

従って、足し算、引き算、掛け算以外の演算に対しては、上述の３つの演算で表現される近似演算式を用いなければならない。このような点において、プロセッサ４５０は、足し算、引き算又は掛け算以外の演算に対しては、リクエストされる演算に対応する近似関数を用いて演算を行ってよい。

そのために、従来広く知られる近似関数（例えば、Ｔａｙｌｏｒ、Ｌｅａｓｔ ｓｑｕａｒｅ、ｍｉｎｉｍａｘ）を用いてよいが、従来の近似関数は、正確度（２^－α)に対して複雑度はθ（２^α／２）を有する。即ち、従来の方式は、正確度に対して指数的に演算を複雑になるため、正確度が高まるほど多くの演算時間が必要になる。

このような問題点を解決するために、本開示では、２^－αの正確度に対応してθ（α）又はθ（αｌｏｇα）の複雑度（ｃｏｍｐｌｅｘｉｔｙ）を有する合成関数、即ち、近似関数を用いる。具体的に、本発明では、一般的な多項式より効率的な評価を有する構造化された多項式（ｗｅｌｌ－ｓｔｒｕｃｔｕｒｅｄ ｐｏｌｙｎｏｍｉａｌｓ）、即ち、合成関数を用いる。

本発明では、インバース演算、平方根、最大値又は最小値、大きさの比較のそれぞれに対する合成関数を提案し、各演算に対する合成関数の適用方式は、図５ないし図１０を参照して後述する。

そして、演算装置４００は演算が完了すると、演算結果データから有効領域のデータを検出してよい。具体的に、演算装置４００は、演算結果データをラウンディング処理を行って有効領域のデータを検出してよい。ラウンディング処理とは、暗号化された状態でメッセージの四捨五入（ｒｏｕｎｄ－ｏｆｆ）を行うことを意味し、他には、リスケーリング（ｒｅｓｃａｌｉｎｇ）と称してよい。

なお、演算装置４００は、演算結果暗号文内の近似メッセージ割合がしきい値を超過すると、暗号文に対するリブート動作を行ってよい。

図３は、本発明の演算装置の演算動作を説明するための図である。

図３を参照すると、各準同形暗号文１０、２０は、近似メッセージ領域１１、２１をそれぞれ含んでよい。近似メッセージ領域１１、２１には、メッセージ及びエラー（ｍ１＋ｅ１、ｍ２＋ｅ２）が一緒に入っている。

演算装置４００は、両準同形暗号文１０、２０を入力値とし、特定の演算を行ってよい。このような演算は、足し算、引き算、掛け算で構成される多項式演算であってよく、近似関数の利用が必要な多項式演算又は非多項式演算であってよい。

非多項式演算で最も代表的な演算は比較演算で、最大値算出、最小値算出、大きさの比較であってよい。最大値算出は、２値のうち大きい値を出力するものであり、最小値算出は２値のうち最小値を出力するものであり、大きさの比較はいずれか一方の値が大きい場合は１を出力し、他方の値が大きい場合は０を出力し、２値が同じである場合は１／２を出力するものである。一方、大きさの比較の際に出力される数値は一例に過ぎず、実現時は他の値を出力するように実現してよい。

最大値算出は、以下のような数式９で表してよく、最小値算出は、以下のような数行１０で表してよい。

ここで、ａは第１準同形暗号文、ｂは第２準同形暗号文、ｍａｘ（ａ、ｂ）は第１準同形暗号文と第２準同形暗号文のうち、大きい値を有する準同形暗号文の値を出力する関数である。

ここで、ａは第１準同形暗号文、ｂは第２準同形暗号文、ｍｉｎ（ａ、ｂ）は第１準同形暗号文と第２準同形暗号文のうち、小さい値を有する準同形暗号文の値を出力する関数である。

上述の数式９、１０を参照すると、足し算、引き算、定数２割などは、準同形暗号文の状態で演算してよいが、平方根演算は準同形暗号文の状態ではできない。従って、平方根演算に対しては近似多項式が必要であり、入力値を初期値として有する第１変数と、入力値から１を引いた値を初期値として有する第２変数に対する第１関数と、第２変数を有する第２関数を予め設定された回数分繰り返し演算する合成関数を用いる。平方根演算の具体的な動作は、図６を参照して後述する。

このような平方根演算に対応する合成関数を用いると、最大値算出及び最小値算出は、次のように表してよい。

ここで、ａは第１準同形暗号文、ｂは第２準同形暗号文、ｄは繰り返し回数、Ｓｑｒｔ（（ａ－ｂ）^２；ｄ）は、平方根演算に対応する合成関数である。

大きさの比較は、

のような数式を繰り返し演算することで近似してよく、上述の大きさの比較に対応する数式は、準同形暗号文に対するインバース演算を含む。インバース演算は、準同形暗号文状態で直ちにできないため、本発明では、インバース演算に対応する合成関数を用いる。インバース演算の具体的な動作は、図５を参照して後述する。

一方、大きさの比較は、符号関数を用いて近似してよく、このような符号関数は０ではない入力値における関数出力値が水平になるようにする合成関数（即ち、０より大きい入力値に対しては出力値が１に近づき、０より小さい入力値に対しては出力値が－１に近づくようにする合成関数）及び／又は０ではない入力値で関数出力値が水平になるようにする合成関数で近似化することもできる。このような合成関数を用いる動作については、図９及び図１０を参照して後述する。

一方、上述の演算による暗号文３０は、各近似メッセージの間の演算結果（ｍ３＋ｅ３）が盛り込まれた近似メッセージ領域３１０を含んでよい。もし、平文空間３２がなくなるか、限界値より小さくなる場合、演算装置４００はリブート動作を行ってよい。

図４は、本発明の一実施形態に係る暗号文演算方法を説明するためのフローチャートである。

図４を参照すると、複数の準同形暗号文に対する比較演算命令を受信してよい（Ｓ４１０）。このような命令は、外部装置から入力されてよく、演算装置で直接入力されてよい。そして、このような比較演算は、最小値算出、最大値算出、大きさの比較のうちのいずれかであってよい。

そして、比較演算命令に対応する合成関数に複数の準同形暗号文を反映して演算してよい（Ｓ４２０）。具体的に、θ（α）又はθ（αｌｏｇα）の複雑度（ｃｏｍｐｌｅｘｉｔｙ）を有する合成関数を用いて比較演算を行ってよい。

そして、演算された準同形暗号文を出力してよい（Ｓ４３０）。具体的に、演算をリクエストした装置に演算結果を出力してよい。

以上のように、本発明に係る暗号文演算方法は、２^－αの正確度に対応し、θ（α）又はθ（αｌｏｇα）の複雑度（ｃｏｍｐｌｅｘｉｔｙ）で演算を行ってよいため、高い正確度が必要な場合でも、より早く演算を行うことができる。

図５は、本発明の一実施形態により、インバース演算を合成関数を用いて計算する方法を説明するための図である。

図５を参照すると、変数ｘ及び正の数ｄに対するインバース関数（Ｉｎｖ（ｘ；ｄ））は、２から入力値（ｘ）を引いた値を初期値（ａ_０）として有する第１変数（ａ_ｎ）と、１から入力値（ｘ）を引いた値を初期値（ｂ_０）として有する第２変数（ｂ_ｎ）がセットされ、その後、第２変数（ｂ_ｎ）を有する第１関数（ｂ^２ _ｎ）と、第１変数（ａ_ｎ）と第２変数（ｂ_ｎ）とを有する第２関数（ａ_ｎ・（１＋Ｂ_ｎ＋1））とが予め設定された回数分、繰り返される合成関数である。

このようなインバース関数は、以下の数式１３のようなＧｏｌｄｓｃｈｍｉｄｔｓ’分割アルゴリズムは変更したものである。

このようなインバースに対する合成関数は、θ（α）の複雑度のみを有する。

図６は、本発明の一実施形態により、平方根演算を合成関数を用いて計算する方法を説明するための図である。

図６を参照すると、変数ｘ及び正の数ｄに対する平方根演算（Ｓｑｒｔ（ｘ；ｄ））は、初期に入力値（ｘ）を初期値（ａ_０）として有する第１変数（ａ_ｎ）と、入力値（ｘ）から１を引いた値を初期値（ｂ_０）として有する第２変数（ｂ_ｎ）とがセットされ、その後、第１変数（ａ_ｎ）と第２変数（ｂ_ｎ）とを有する第１関数

と、第２変数（ｂ_ｎ）を含む第２関数

とが予め設定された回数分、繰り返される合成関数である。

同じ平方根に対する合成関数は、エラーバウンド（Ｅｒｒｏｒ ｂｏｕｎｄ）２^－αに対し、θ(α)の複雑度を有する。

図７は、本発明の一実施形態に係る最大値計算及び最小値計算方法を説明するための図である。

図７を参照すると、最大値計算及び最小値計算は、上述の数式９、１０のように表してよく、数式９または１０内の平方根演算は、図６に示すような平方根演算に対する合成関数を用いてよい。

例えば、準同形暗号文Ａ、Ｂに対する最大値計算がリクエストされると、演算装置７００は、図７に示すように、[1]（Ａ＋Ｂ）／２値と（Ａ－Ｂ）／２値は計算し、[2]（Ａ－Ｂ）／２を二乗計算し、二乗計算された値を平方根演算に対応する合成関数を用いて予め設定された回数（ｄ）分繰り返し、[3]合成関数の結果と、既に計算した（Ａ＋Ｂ）／２値を足して最大値を算出してよい。

一方、準同形暗号文Ａ、Ｂに対する最小値の計算がリクエストされると、演算装置７００は、図７に示すように、[1]（Ａ＋Ｂ）／２値と（Ａ－Ｂ）／２値は計算し、[2]（Ａ－Ｂ）／２を二乗計算し、二乗計算された値を平方根演算に対応する合成関数を用いて予め設定された回数（ｄ）分繰り返し、[3]既に計算した（Ａ＋Ｂ）／２値に合成関数の結果を引いて最小値を算出してよい。

一方、以上では、２つの値のみを比較し、最大値又は最小値を出力するものとして示して説明しているが、実現時には、３つ以上の準同形暗号部に対しても、最大値算出及び最小値算出を行うこともできる。例えば、３つの準同形暗号文があれば、第１と第２暗号文を比較した後、その結果と残りの準同形暗号文とを比較し、３つのうち最も大きい値、又は３つのうち最も小さい値を算出することもできる。

図８は、本発明の第１実施形態に係る大きさの比較方法を説明するための図である。

例えば、２値が異なる場合、０または１を出力し、２値が同じである場合、０.５を出力する比較関数は、次のように近似化することができる。

ここで、ａは第１準同形暗号文、ｂは第２準同形暗号文、ｃｏｍｐ（ａ、ｂ）は入力された２つの準同形暗号文を比較し、ａが大きい場合に１を出力し、ｂが大きい場合に０を出力し、ａと比が同じである場合に０．５を出力する関数である。

数式１４を参照すると、比較関数に対する近似関数はインバース演算が含まれている。よって、数式１４のようにな近似関数を用いて、準同形暗号文Ａ、Ｂに対する大きさの比較演算を行う場合、演算装置４００は、図８に示すように、初期値（ａ_０、ｂ_０）を算出し、初期値算出の後、[1]図５に関連して説明したようなインバースに対応する合成関数を用いて、Ｉｎｖ（ａ^ｍｎ＋ｂ^ｍｎ；ｄ）演算を行うことができる。そして、[2]インバース演算値に、ａ^ｍｎ値を掛け算、[3]１に先立って計算された値（ａ_ｎ＋１）を引く演算を予め設定された回数（ｔ）分繰り返し、比較演算結果値を算出してよい。

図９は、本発明の第２実施形態に係る大きさの比較方法を説明するための図である。

一方、大きさの比較関数は、以下のように、符号関数として表してよい。

ここで、ａは第１準同形暗号文、ｂは第２準同形暗号文、ｃｏｍｐ（ａ、ｂ）は入力された２つの準同形暗号文を比較し、ａが大きい場合に１を出力し、ｂが大きい場合に０を出力し、ａと比が同じである場合に０．５を出力する関数である。そして、ｓｇｎ（）は符号関数である。

よって、大きさの比較関数に対する近似化は、符号関数に対する近似化として表してよい。

符合関数が同じ数式１６を満たす場合、符号関数計算のための合成関数は、以下のような数式１７のように表してよい。

ここで、ｆ（ｘ）は多項式関数である。

このような符号関数計算のための合成関数は、０より大きい入力値に対しては、出力値が１に近づき、０より小さい入力値に対しては、出力値が－１に近づくようにする合成関数である。

図９を参照すると、準同形暗号文に対する大きさの比較演算命令がリクエストされると、演算装置４００は、[1]２値の差を計算する演算（ａ－ｂ）、[2]当該演算値を数式１７を用いて、予め設定された回数（ｄ）分繰り返し演算するステップ、[3]演算値に定数演算を行うステップを行い、比較演算を行ってよい。

一方、図９の方式は、符号関数が両端が１又は－１で収束するように、即ち、水平になるようにする方式を用いるものである。一方、理想的な符号関数の別の特徴は、０の値で勾配が無限の値、即ち、０における勾配が垂直にならなければならない点において、以下では、このような点を考慮した合成関数について説明する。

図１０は、符号関数の勾配に対応する合成関数を求める方法を説明するための図である。

大きさの比較関数に対する近似化は、上述したように、符号関数に対する近似化で表してよい。

ここで、ｇ（ｘ）は、符号関数計算のための更に別の合成関数であり、ｃは出力値の収束範囲として、１／４、１／３など、１より小さい値に決められてよい。

符合関数が、数式１８を満たす場合、演算装置４００は、図１０に示すような方式を用いてｇ（ｘ）に対する関数を算出してよい。

そして、図１０のような方式で、合成関数を算出した場合、図９に関連して説明した合成関数の組み合わせを用いて、大きさの比較方法を行ってよい。それについては、図１１を参照して以下で説明する。

図１１は、本発明の第３実施形態に係る大きさの比較方法を説明するための図である。

図１１を参照すると、準同形暗号文に対する大きさの比較演算命令がリクエストされると、演算装置４００は、[1]２値の差を計算する演算（ａ－ｂ）、[2]当該演算値を図１０のような方式で算出された合成関数（ｇ_ｎ（ｘ））に、予め設定された回数（ｄ_ｇ）分繰り返し演算するステップ、[3]当該演算値を数式１７（ｆ_ｎ（ｘ））を用いて、予め設定された回数（ｄ_ｆ）分繰り返し演算するステップ、[4]演算値に定数演算を行うステップを行い、比較演算を行ってよい。

図１２は、符号関数に対応する合成関数の繰り返し回数別の形態を示す図であり、図１３は、符号関数に関連する多様な合成関数の繰り返し回数別の形態を示す図である。

図１２を参照すると、図９に関連して説明した合成関数（ｆ_ｎ（ｘ））は、繰り返し回数が増加するほど、より理想的な形態を有することを確認することができる。

図１３の左図を参照すると、図１０に関連して説明した合成関数は、図９の合成関数より大きい勾配を有するが、両端で誤差が生じていることを確認することができる。よって、初期は、図１０の合成関数を用いて、後は、図９の合成関数を用いる場合、即ち、図１１のような方式で用いた組み合わせられた合成関数を用いると、図９の合成関数のみを用いるよりも、同じ繰り返し回数に比べて、理想的な形態を有することができる。

具体的に、図１３の右図を参照すると、図９の合成関数を５回適用したものより、図１０の合成関数を２回適用し、図９の合成関数を３回適用したもののほうが、より理想的な形態を有することを確認することができる。

一方、上述の多様な実施形態に係る暗号文処理方法は、各ステップを行うためのプログラムコードで実現され、記録媒体に保存されて配布されてよい。この場合、記録媒体の登載された装置は、上述の暗号化又は暗号文処理などの動作を行うことができる。

このような記録媒体は、ＲＯＭ、ＲＡＭ、メモリチップ、メモリカード、外付けハード、ハード、ＣＤ、ＤＶＤ、磁気ディスク又は磁気テープなどのような多様なコンピュータ読み取り可能な媒体であってよい。

以上、添付図面を参照しながら本発明の好適な実施形態について詳細に説明したが、本発明は以上の実施形態に限定されない。本発明の属する技術の分野における通常の知識を有する者であれば、特許請求の範囲に記載された技術的趣旨の範疇内において、各種の変更例または修正例に想到し得ることは明らかであり、これらについても、当然に本発明の技術的範囲に属するものと了解される。

Claims (4)

1. 演算装置における暗号文演算方法において、
   複数の準同形暗号文に対する比較演算命令を入力されるステップと、
   前記比較演算命令に対応する合成関数に、前記複数の準同形暗号文を反映して演算するステップと、
   前記演算された準同形暗号文を出力するステップと、
   を含み、
   前記比較演算は、最大値算出又は最小値算出であり、
   前記演算するステップは、
   平方根演算に対応する合成関数を用いて前記最大値算出又は前記最小値算出を演算する、暗号文演算方法。
2. 前記平方根演算に対応する合成関数は、
   入力値を初期値として有する第１変数と、前記入力値から１を引いた値を初期値として有する第２変数とを含む第１関数、及び前記第２変数を含む第２関数を予め設定された回数分繰り返し演算する関数であることを特徴とする請求項１に記載の暗号文演算方法。
3. 前記予め設定された回数は、
   前記平方根演算の誤差率に対応する回数であることを特徴とする請求項２に記載の暗号文演算方法。
4. 演算装置において、
   少なくとも１つのインストラクション（ｉｎｓｔｒｕｃｔｉｏｎ）を保存するメモリと、
   前記少なくとも１つのインストラクションを行うプロセッサと
   を含み、
   前記プロセッサは、前記少なくとも１つのインストラクションを行うことで、
   複数の準同形暗号文に対する比較演算命令を入力されると、前記比較演算命令に対応する合成関数に、前記複数の準同形暗号文を反映して演算し、前記演算された準同形暗号文を出力し、
   前記比較演算は、最大値算出又は最小値算出であり、
   前記プロセッサは、
   平方根演算に対応する合成関数を用いて前記最大値算出又は前記最小値算出を演算する演算装置。
   

Images