JP7466800B2

JP7466800B2 - 情報処理システム、情報処理方法、および、情報処理プログラム

Info

Publication number: JP7466800B2
Application number: JP2023567036A
Authority: JP
Inventors: 綱人中井
Original assignee: Mitsubishi Electric Corp
Current assignee: Mitsubishi Electric Corp
Priority date: 2021-12-21
Filing date: 2021-12-21
Publication date: 2024-04-12
Anticipated expiration: 2041-12-21
Also published as: WO2023119421A1; US20240273220A1; CN118382866A; JPWO2023119421A1

Description

本開示は、情報処理システム、情報処理方法、および、情報処理プログラムに関する。特に、連合学習に代表される分散型機械学習システムである情報処理システム、情報処理方法、および、情報処理プログラムに関する。

従来の連合学習に代表される分散型機械学習システムは、学習データをクライアントからサーバへ収集するのではなく、クライアントで学習したモデルであるクライアントモデルをサーバに収集する。これにより、クライアントの学習データに含まれるプライバシ情報に配慮したモデルの学習が行われてた。しかしながら、クライアントモデルからクライアントの学習データに含まれるプライバシ情報が漏洩することが指摘されはじめた。

非特許文献１では、サーバ上のセキュアな実行環境であるＴＥＥを用いて、ＴＥＥ内でクライアントモデルを処理することで、プライバシ情報に配慮したモデルの学習を行っている。ＴＥＥは、ＴｒｕｓｔｅｄＥｘｅｃｕｔｉｏｎＥｎｖｉｒｏｎｍｅｎｔの略語である。

Ｌ．Ｚｈａｏｅｔａｌ．，"ＳＥＡＲ：ＳｅｃｕｒｅａｎｄＥｆｆｉｃｉｅｎｔＡｇｇｒｅｇａｔｉｏｎｆｏｒＢｙｚａｎｔｉｎｅ－ＲｏｂｕｓｔＦｅｄｅｒａｔｅｄＬｅａｒｎｉｎｇ，" ＩＥＥＥＴｒａｎｓａｃｔｉｏｎｓｏｎＤｅｐｅｎｄａｂｌｅａｎｄＳｅｃｕｒｅＣｏｍｐｕｔｉｎｇ，２０２１

従来の連合学習に代表される分散型機械学習システムには、以下の３つの主なセキュリティ・プライバシの問題がある。
（１）機器あるいはエッジから送信されるクライアントモデルからのプライバシ情報漏洩の問題
（２）悪意ある機器あるいはエッジからの偽情報による学習汚染および妨害の問題
（３）グローバルモデルの窃取あるいは複製の問題

しかしながら、従来のセキュリティ・プライバシに配慮した技術には、上記３つの問題すべてを解決するものはない。例えば、非特許文献１では、上記の問題（１）および（２）に対しては、ＴＥＥといったセキュアな実行環境を用いた解決策を提案している。しかし、問題（３）に対する解決策は開示されていない。さらに、非特許文献１では、セキュアな実行環境を用いることによるシステムへの負荷が大きくなるという課題がある。

本開示では、セキュリティ対策によるシステムへの負荷を抑えつつ、セキュリティ・プライバシに配慮した連合学習を実現する情報処理システムを提供することを目的とする。

本開示に係る情報処理システムは、
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムにおいて、
前記サーバ装置と前記クライアント装置との各装置は、
仮想的に分離された実行環境として、通常の実行環境である通常実行部とセキュアな実行環境であるセキュア実行部とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常実行部は、
各装置のセキュア実行部の起動の正しさを互いに認証し、各装置のセキュア実行部の起動の正しさが認証されると、各装置のセキュア実行部同士の間で暗号化されたデータを送受信するセキュアな通信路を確立し、
前記サーバ装置のセキュア実行部は、
前記クライアント装置から前記セキュアな通信路を介して提供されたモデル情報を復号して集約する集約処理を実行し、集約処理により得られたモデル情報を暗号化して前記サーバ装置の通常実行部に送信し、
前記サーバ装置の通常実行部は、
前記集約処理により得られたモデル情報を暗号化された状態で記憶部に格納する。

本開示に係る情報処理システムでは、サーバ装置のセキュア実行部は、クライアント装置からセキュアな通信路を介して提供されたモデル情報を復号して集約する。そして、サーバ装置のセキュア実行部は、集約により得られたモデル情報を暗号化してサーバ装置の通常実行部に送信する。サーバ装置の通常実行部は、集約により得られたモデル情報を暗号化された状態で記憶部に格納する。よって、本開示に係る情報処理システムによれば、セキュリティ対策によるシステムへの負荷を抑えつつ、セキュリティ・プライバシに配慮した連合学習を実現する情報処理システムを提供することができる。

実施の形態１に係る情報処理システムの構成例を示す図。実施の形態１に係るサーバ装置のハードウェア構成例を示す図。実施の形態１に係る情報処理システムにおけるクライアントモデル収集の動作を示すシーケンス図。実施の形態１に係る情報処理システムにおけるグローバルモデル配信の動作を示すシーケンス図。実施の形態１の変形例に係る情報処理システムのハードウェア構成例を示す図。実施の形態２に係る情報処理システムの構成例を示す図。実施の形態２に係る情報処理システムにおけるクライアントモデル収集の動作を示すシーケンス図。実施の形態２に係る情報処理システムにおけるグローバルモデル配信の動作を示すシーケンス図。実施の形態３に係る情報処理システムの構成例を示す図。実施の形態３に係る情報処理システムにおけるクライアントモデル収集の動作を示すシーケンス図。実施の形態３に係る情報処理システムにおけるグローバルモデル配信の動作を示すシーケンス図。実施の形態４に係る情報処理システムの構成例を示す図。

以下、本実施の形態について、図を用いて説明する。各図中、同一または相当する部分には、同一符号を付している。実施の形態の説明において、同一または相当する部分については、説明を適宜省略または簡略化する。

実施の形態１．
＊＊＊構成の説明＊＊＊
図１は、本実施の形態に係る情報処理システム１００の構成例を示す図である。
情報処理システム１００は、サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３を備える。クライアント装置１０２は、複数存在する。サーバ装置は、サーバ部ともいう。クライアント装置は、クライアント部ともいう。認証サーバ装置は、認証サーバ部ともいう。

情報処理システム１００は、サーバ装置１０１とクライアント装置１０２との間で、学習に用いられるモデル情報を授受する。
モデル情報には、クライアントモデルとグローバルモデルが含まれる。クライアントモデルは、クライアント装置１０２からサーバ装置１０１に提供される学習モデルである。グローバルモデルは、サーバ装置１０１からクライアント装置１０２に配信される学習モデルである。グローバルモデルは、クライアント装置１０２から収集されたクライアントモデルを集約することにより生成される。

サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３は、それぞれコンピュータであり、ネットワークを介して情報のやり取りが行われる。
なお、サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３が、それぞれ個別のコンピュータに搭載されていてもよい。あるいは、サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３が、１つのコンピュータに搭載され、仮想的に３つのコンピュータが構成されていてもよい。あるいは、サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３のうち、サーバ装置１０１と認証サーバ装置１０３といった１部が１つのコンピュータに搭載されて、仮想的に複数のコンピュータが構成されていてもよい。

以下の説明において、サーバ装置１０１とクライアント装置１０２と認証サーバ装置１０３の各々を情報処理システム１００の各装置と呼ぶ場合がある。

情報処理システム１００の各装置は、コンピュータである。情報処理システム１００の各装置は、プロセッサを備えるとともに、メモリ、補助記憶装置、入力インタフェース、出力インタフェース、および通信装置といった他のハードウェアを備える。プロセッサは、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

サーバ装置１０１とクライアント装置１０２との各装置は、仮想的に分離された実行環境として、通常の実行環境である通常実行部とセキュアな実行環境であるセキュア実行部とを備える。仮想的に分離された実行環境については、後で説明する。

サーバ装置１０１は、機能要素として、通常実行部１０４とセキュア実行部１０５を備える。通常実行部１０４は、連合学習管理部１０８と認証管理部１０９を備える。セキュア実行部１０５は、認証部１１０と暗号化復号部１１１と再暗号化復号部１１２と集約部１１３と汚染検知部１１４を備える。
なお、図示は無いが、通常実行部１０４とセキュア実行部１０５は、それぞれ記憶部を備える。記憶部には、情報処理に用いられるクライアントモデル、グローバルモデル、鍵、および、認証情報といった情報が記憶される。

以下の説明において、「通常実行部に格納する」あるいは「通常実行部に記憶する」と記載した場合は、「通常実行部に割り当てられた記憶部に格納する」あるいは「通常実行部に割り当てられた記憶部に記憶する」ことを意味するものとする。また、「セキュア実行部に格納する」あるいは「セキュア実行部に記憶する」と記載した場合は、「セキュア実行部に割り当てられた記憶部に格納する」あるいは「セキュア実行部に割り当てられた記憶部に記憶する」ことを意味するものとする。以下のクライアント装置１０２および認証サーバ装置１０３においても同様である。

クライアント装置１０２は、機能要素として、通常実行部１０６とセキュア実行部１０７を備える。通常実行部１０６は、連合学習管理部１１５と認証管理部１１６と学習・推論管理部１１７を備える。セキュア実行部１０７は、認証部１１８と暗号化復号部１１９と学習部１２０と推論部１２１を備える。
なお、図示は無いが、通常実行部１０６とセキュア実行部１０７は、それぞれ記憶部を備える。記憶部には、情報処理に用いられるクライアントモデル、グローバルモデル、鍵、および、認証情報といった情報が記憶される。

認証サーバ装置１０３は、機能要素として、検証部１２２を備える。
なお、図示は無いが、認証サーバ装置１０３は、記憶部を備える。記憶部には、検証部１２２により検証される認証情報といった情報が記憶される。

図２は、本実施の形態に係るサーバ装置１０１のハードウェア構成例を示す図である。
図２のサーバ装置１０１を例に、情報処理システム１００の各装置のハードウェア構成例について説明する。クライアント装置１０２と認証サーバ装置１０３のハードウェア構成例については、サーバ装置１０１と同様であるため図示を省略する。

サーバ装置１０１は、コンピュータである。サーバ装置１０１は、プロセッサ９１０を備えるとともに、メモリ９２１、補助記憶装置９２２、入力インタフェース９３０、出力インタフェース９４０、および通信装置９５０といった他のハードウェアを備える。プロセッサ９１０は、信号線を介して他のハードウェアと接続され、これら他のハードウェアを制御する。

サーバ装置１０１において、通常実行部１０４とセキュア実行部１０５の機能は、ソフトウェアにより実現される。記憶部は、メモリ９２１に備えられる。なお、記憶部は、補助記憶装置９２２に備えられていてもよいし、メモリ９２１と補助記憶装置９２２に分散して備えられていてもよい。

プロセッサ９１０は、サーバ装置１０１において情報処理プログラムを実行する装置である。情報処理プログラムは、情報処理システム１００の各装置の機能を実現するプログラムである。
プロセッサ９１０は、演算処理を行うＩＣ）である。プロセッサ９１０の具体例は、ＣＰＵ、ＤＳＰ、あるいはＧＰＵである。ＩＣは、ＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔの略語である。ＣＰＵは、ＣｅｎｔｒａｌＰｒｏｃｅｓｓｉｎｇＵｎｉｔの略語である。ＤＳＰは、ＤｉｇｉｔａｌＳｉｇｎａｌＰｒｏｃｅｓｓｏｒの略語である。ＧＰＵは、ＧｒａｐｈｉｃｓＰｒｏｃｅｓｓｉｎｇＵｎｉｔの略語である。

メモリ９２１は、データを一時的に記憶する記憶装置である。メモリ９２１の具体例は、ＳＲＡＭ、あるいはＤＲＡＭである。ＳＲＡＭは、ＳｔａｔｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙの略語である。ＤＲＡＭは、ＤｙｎａｍｉｃＲａｎｄｏｍＡｃｃｅｓｓＭｅｍｏｒｙの略語である。
補助記憶装置９２２は、データを保管する記憶装置である。補助記憶装置９２２の具体例は、ＨＤＤである。また、補助記憶装置９２２は、ＳＤ（登録商標）メモリカード、ＣＦ、ＮＡＮＤフラッシュ、フレキシブルディスク、光ディスク、コンパクトディスク、ブルーレイ（登録商標）ディスク、ＤＶＤといった可搬の記憶媒体であってもよい。なお、ＨＤＤは、ＨａｒｄＤｉｓｋＤｒｉｖｅの略語である。ＳＤ（登録商標）は、ＳｅｃｕｒｅＤｉｇｉｔａｌの略語である。ＣＦは、ＣｏｍｐａｃｔＦｌａｓｈ（登録商標）の略語である。ＤＶＤは、ＤｉｇｉｔａｌＶｅｒｓａｔｉｌｅＤｉｓｋの略語である。

入力インタフェース９３０は、マウス、キーボード、あるいはタッチパネルといった入力装置と接続されるポートである。入力インタフェース９３０は、具体的には、ＵＳＢ端子である。なお、入力インタフェース９３０は、ＬＡＮと接続されるポートであってもよい。ＵＳＢは、ＵｎｉｖｅｒｓａｌＳｅｒｉａｌＢｕｓの略語である。ＬＡＮは、ＬｏｃａｌＡｒｅａＮｅｔｗｏｒｋの略語である。

出力インタフェース９４０は、ディスプレイといった出力機器のケーブルが接続されるポートである。出力インタフェース９４０は、具体的には、ＵＳＢ端子またはＨＤＭＩ（登録商標）端子である。ディスプレイは、具体的には、ＬＣＤである。出力インタフェース９４０は、表示器インタフェースともいう。ＨＤＭＩ（登録商標）は、ＨｉｇｈＤｅｆｉｎｉｔｉｏｎＭｕｌｔｉｍｅｄｉａＩｎｔｅｒｆａｃｅの略語である。ＬＣＤは、ＬｉｑｕｉｄＣｒｙｓｔａｌＤｉｓｐｌａｙの略語である。

通信装置９５０は、レシーバとトランスミッタを有する。通信装置９５０は、ＬＡＮ、インターネット、あるいは電話回線といった通信網に接続している。通信装置９５０は、具体的には、通信チップまたはＮＩＣである。ＮＩＣは、ＮｅｔｗｏｒｋＩｎｔｅｒｆａｃｅＣａｒｄの略語である。

情報処理プログラムは、サーバ装置１０１において実行される。情報処理プログラムは、プロセッサ９１０に読み込まれ、プロセッサ９１０によって実行される。メモリ９２１には、情報処理プログラムだけでなく、ＯＳ（ＯｐｅｒａｔｉｎｇＳｙｓｔｅｍ）も記憶されている。プロセッサ９１０は、ＯＳを実行しながら、情報処理プログラムを実行する。情報処理プログラムおよびＯＳは、補助記憶装置９２２に記憶されていてもよい。補助記憶装置９２２に記憶されている情報処理プログラムおよびＯＳは、メモリ９２１にロードされ、プロセッサ９１０によって実行される。なお、情報処理プログラムの一部または全部がＯＳに組み込まれていてもよい。

サーバ装置１０１は、プロセッサ９１０を代替する複数のプロセッサを備えていてもよい。これら複数のプロセッサは、情報処理プログラムの実行を分担する。それぞれのプロセッサは、プロセッサ９１０と同じように、情報処理プログラムを実行する装置である。

情報処理プログラムにより利用、処理または出力されるデータ、情報、信号値および変数値は、メモリ９２１、補助記憶装置９２２、または、プロセッサ９１０内のレジスタあるいはキャッシュメモリに記憶される。

通常実行部１０４とセキュア実行部１０５の各部の「部」を「回路」、「工程」、「手順」、「処理」、あるいは「サーキットリー」に読み替えてもよい。情報処理プログラムは、通常実行処理とセキュア実行処理を、コンピュータに実行させる。通常実行処理とセキュア実行処理の「処理」を「プログラム」、「プログラムプロダクト」、「プログラムを記憶したコンピュータ読取可能な記憶媒体」、または「プログラムを記録したコンピュータ読取可能な記録媒体」に読み替えてもよい。また、情報処理方法は、情報処理システム１００の各装置が情報処理プログラムを実行することにより行われる方法である。
情報処理プログラムは、コンピュータ読取可能な記録媒体に格納されて提供されてもよい。また、情報処理プログラムは、プログラムプロダクトとして提供されてもよい。

＊＊＊機能の説明＊＊＊
次に、図１を用いて、情報処理システム１００の各装置の機能について説明する。
図１に示す情報処理システム１００は、サーバ装置１０１とクライアント装置１０２で構成されるような、連合学習に代表される分散型機械学習システムにおける情報処理システムに、認証サーバ装置１０３を追加したものである。

サーバ装置１０１とクライアント装置１０２との各装置は、仮想的に分離された実行環境として、通常の実行環境である通常実行部とセキュアな実行環境であるセキュア実行部とを備える。

サーバ装置１０１は、通常実行部１０４とセキュア実行部１０５に仮想的に分離できる。
サーバ装置１０１では、通常実行部１０４に、連合学習管理部１０８と認証管理部１０９とを備える。
連合学習管理部１０８は、連合学習に代表される分散型機械学習の実行を管理する。
認証管理部１０９は、セキュア実行部１０５の正しさを検証する。

また、サーバ装置１０１では、セキュア実行部１０５に、認証部１１０と暗号化復号部１１１と再暗号化復号部１１２と集約部１１３と汚染検知部１１４とを備える。
認証部１１０は、セキュア実行部１０５の正しさを検証するための認証情報を提供する。
暗号化復号部１１１は、クライアント装置１０２とやり取りするモデル情報を暗号化あるいは復号処理する。クライアント装置１０２とやり取りするモデル情報は、クライアントモデルおよびグローバルモデルである。
再暗号化復号部１１２は、通常実行部１０４とやり取りする情報を再暗号化あるいは復号処理する。
集約部１１３は、クライアントモデルを集約する。
汚染検知部１１４は、クライアントモデルの汚染を検知する。

クライアント装置１０２は、通常実行部１０６とセキュア実行部１０７に仮想的に分離できる。
クライアント装置１０２では、通常実行部１０６に、連合学習管理部１１５と認証管理部１１６と学習・推論管理部１１７とを備える。
連合学習管理部１１５は、連合学習に代表される分散型機械学習の実行を管理する。
認証管理部１１６は、セキュア実行部１０７の正しさを検証する。
学習・推論管理部１１７は、モデル情報の学習と推論の実行を管理する。

また、クライアント装置１０２では、セキュア実行部１０７に、認証部１１８と暗号化復号部１１９と学習部１２０と推論部１２１とを備える。
認証部１１８は、セキュア実行部１０７の正しさを検証するための認証情報を提供する。
暗号化復号部１１９は、サーバ装置１０１とやり取りするモデル情報を暗号化あるいは復号処理する。サーバ装置１０１とやり取りするモデル情報は、クライアントモデルあるいはグローバルモデルである。
学習部１２０は、モデル情報の学習を実行する。
推論部１２１は、モデル情報を用いて推論を実行する。

認証サーバ装置１０３は、検証部１２２を備える。
検証部１２２は、セキュア実行部１０５およびセキュア実行部１０７の各々の認証情報を検証する。
以下において、例えば、サーバ装置１０１のセキュア実行部１０５と、クライアント装置１０２のセキュア実行部１０７とを説明する場合がある。このとき、セキュア実行部１０５および１０７、セキュア実行部１０５あるいは１０７、あるいは、セキュア実行部１０５と１０７、のように構成要素名を省略する場合がある。

図１の情報処理システム１００は、上記のような構成とすることで、クライアントモデルおよびグローバルモデルを保護し、セキュア実行部１０５および１０７の各々の正しさとクライアントモデルの汚染を検知する。これにより、セキュリティ・プライバシに配慮した連合学習が実現される。

＊＊＊機能の詳細説明＊＊＊
次に、図１を用いて、情報処理システム１００の各装置の機能についてより詳細に説明する。

連合学習に代表される分散型機械学習アルゴリズムは、サーバ装置１０１とクライアント装置１０２の各々の連合学習管理部１０８および１１５同士のやり取り１２３で実行される。クライアント装置１０２は複数存在することを想定する。

通常実行部１０４および１０６と、セキュア実行部１０５および１０７の仮想的な分離は、例えば、ＡｒｍＴｒｕｓｔｚｏｎｅ、あるいは、Ｉｎｔｅｌ（登録商標）ＳＧＸといったＴＥＥ技術によって実現される。
連合学習管理部１０８と１１５は、連合学習のためのクライアントモデルの収集、あるいは、グローバルモデルの配信を行う。また、連合学習管理部１０８と１１５は、認証管理部１０９と１１６で、互いのセキュア実行部１０５と１０７の正しさを検証する（処理１２４，１２５）。
なお、図１において、構成要素間の矢印に番号が付与されている。この矢印は構成要素間のやり取りを示している。以下の説明では、この矢印に示されたやり取りを「処理」と呼ぶものとする。以下の図６、図９，および図１２においても同様とする。

認証管理部１０９と１１６は、セキュア実行部１０５と１０７にある認証部１１０と１１８から、セキュア実行部１０５と１０７の正しさを検証するための認証情報を取得する（処理１２６，１２７）。

認証部１１０と１１８は、認証情報を出力する（処理１２６，１２７）。認証情報は、例えば、起動したセキュア実行部のハッシュ値と署名である。セキュア実行部１０５および１０７の認証は、例えば、ＲｅｍｏｔｅＡｔｔｅｓｔａｔｉｏｎ技術によって実現される。

認証サーバ装置１０３の機能要素について説明する。
検証部１２２は、認証管理部１０９と１１６の各々からの認証情報を取得し、セキュア実行部１０５と１０７の各々が正しく起動しているかを検証する（処理１２８，１２９）。

サーバ装置１０１の機能要素について説明する。
暗号化復号部１１１は、連合学習管理部１０８によりクライアント装置１０２から収集されたクライアントモデルをクライアントごとに復号処理する（処理１３０）。または、暗号化復号部１１１は、連合学習管理部１０８によりクライアント装置１０２へ配信されるグローバルモデルをクライアントごとに暗号処理する（処理１３０）。

再暗号化復号部１１２は、収集されたクライアントモデルを一時的な共通な鍵で再暗号化処理し（処理１３１，１３２）、通常実行部１０４の記憶部へ格納する。または、再暗号化復号部１１２は、通常実行部１０４から再暗号化されたクライアントモデルを取得し、復号処理する（処理１３２）。

集約部１１３は、収集された復号済みのクライアントモデルを取得し（処理１３３）、集約を行う。集約とは、例えば、クライアントモデルの平均値を算出することである。

汚染検知部１１４は、収集された復号済みのクライアントモデルを取得し（処理１３４）、クライアントモデルの汚染検知を行う。汚染検知とは、例えば、クライアントモデル間のモデル間距離を算出し、距離が大きい場合はそのクライアントモデルは汚染されていると検知することである。

クライアント装置１０２の機能要素について説明する。
暗号化復号部１１９は、連合学習管理部１１５によりサーバ装置１０１へ提供するクライアントモデルの暗号化処理をする（処理１３５）。または、暗号化復号部１１９は、連合学習管理部１１５によりサーバ装置１０１から配信されたグローバルモデルを、復号処理する（処理１３６）。

学習・推論管理部１１７は、サーバ装置１０１から配信されたグローバルモデルを用いて、学習または推論処理の実行を管理する（処理１３６）。

学習部１２０は、学習・推論管理部１１７より、暗号化復号部１１９で復号されたグローバルモデルを用いて（処理１３７）、学習を実行する。
推論部１２１は、学習・推論管理部１１７より、暗号化復号部１１９で復号されたグローバルモデルを用いて（処理１３８）、推論を実行する。

機械学習演算を実行するための学習・推論管理部１１７、学習部１２０、および推論部１２１は、ディープラーニングに限定されるものではない。例えば、学習・推論管理部１１７、学習部１２０、および推論部１２１は、回帰法、決定木学習、ベイズ法、あるいはクラスタリングといった手法を用いた演算であってもよい。

＊＊＊動作の説明＊＊＊
次に、本実施の形態に係る情報処理システム１００の動作について説明する。情報処理システム１００の動作手順は、情報処理方法に相当する。また、情報処理システム１００の動作を実現するプログラムは、情報処理プログラムに相当する。

図３は、本実施の形態に係る情報処理システム１００におけるクライアントモデル収集の動作を示すシーケンス図である。
図４は、本実施の形態に係る情報処理システム１００におけるグローバルモデル配信の動作を示すシーケンス図である。

このシーケンス図は、情報処理システム１００におけるサーバ装置１０１とクライアント装置１０２のやり取りを、通常実行部１０４および１０６と、セキュア実行部１０５および１０７に分けて示す。

＜クライアントモデル収集＞
図３を用いて、情報処理システム１００におけるクライアントモデル収集処理の動作について説明する。

まず、サーバ装置１０１とクライアント装置１０２との各装置の通常実行部１０４と１０６は、各装置のセキュア実行部の起動の正しさを互いに認証する。各装置のセキュア実行部の起動の正しさが認証されると、各装置のセキュア実行部同士の間で暗号化されたデータを送受信するセキュアな通信路を確立する。すなわち、各装置のセキュアな実行環境同士の間で、セキュアな通信路が確立される。
具体的には、以下の通りである。

ステップＳ１０１において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６にクライアントモデルの提供依頼を送信する。
ステップＳ１０２において、クライアント装置１０２の通常実行部１０６は、サーバ装置１０１のセキュア実行部１０５の正しさを検証するために、サーバ装置１０１の通常実行部１０４にセキュア実行部の認証依頼を送信する。

ステップＳ１０３において、サーバ装置１０１の通常実行部１０４は、サーバ装置１０１のセキュア実行部１０５に認証情報の提供依頼を送信する。
ステップＳ１０４において、サーバ装置１０１のセキュア実行部１０５は、サーバ装置１０１の通常実行部１０４に認証情報と公開鍵ＰＫｓを送信する。

ステップＳ１０５において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６に認証情報と公開鍵ＰＫｓを転送する。クライアント装置１０２の通常実行部１０６は、認証サーバ装置１０３の検証部１２２に認証情報の検証依頼を送信する。認証サーバ装置１０３の検証部１２２は、クライアント装置１０２の通常実行部１０６に検証結果を送信する。クライアント装置１０２の通常実行部１０６は、サーバ装置１０１のセキュア実行部１０５の正しさを検証できた場合、クライアント装置１０２のセキュア実行部１０７に公開鍵ＰＫｓを送信する。

ステップＳ１０６において、クライアント装置１０２のセキュア実行部１０７は、サーバ装置１０１のセキュア実行部１０５と公開鍵ＰＫｓを用いて鍵交換を行い、送受信データが暗号化されるセキュアな通信路を確立する。

ステップＳ１０７において、クライアント装置１０２のセキュア実行部１０７は、セキュアな通信路上で、サーバ装置１０１のセキュア実行部１０５にクライアントモデルＭを送信する。

ここで、サーバ装置１０１は、セキュア実行部１０５の消費メモリを抑えるために以下のように動作する。
サーバ装置１０１のセキュア実行部１０５は、クライアント装置１０２からセキュアな通信路を介して提供されたクライアントモデルを復号する。そして、サーバ装置１０１のセキュア実行部１０５は、復号したクライアントモデルを再暗号化してサーバ装置１０１の通常実行部１０４に送信する。
サーバ装置１０１の通常実行部１０４は、再暗号化されたクライアントモデルを記憶部に格納する。
具体的には、以下の通りである。

ステップＳ１０８において、サーバ装置１０１のセキュア実行部１０５は、クライアントモデルＭを演算用の一時鍵ＭＫｓで再暗号化する。具体的には、サーバ装置１０１のセキュア実行部１０５は、ステップＳ１０７でクライアント装置１０２から受信したクライアントモデルＭを復号し、演算用の一時鍵ＭＫｓで再暗号化する。そして、サーバ装置１０１のセキュア実行部１０５は、サーバ装置１０１の通常実行部１０４に、一時鍵ＭＫｓで再暗号化されたクライアントモデルＥｎｃＭＫｓ（Ｍ）を送信する。サーバ装置１０１の通常実行部１０４は、一時鍵ＭＫｓで再暗号化されたクライアントモデルＥｎｃＭＫｓ（Ｍ）を記憶部に格納する。
このステップＳ１０８の処理により、サーバ装置１０１は、セキュア実行部１０５の消費メモリを抑えることができる。

情報処理システム１００では、ステップＳ１０１からステップＳ１０８の処理を、各クライアント装置１０２で実行し、各クライアント装置１０２からクライアントモデルを収集する。全クライアントモデルの収集が完了後、次のステップに進む。

＜クライアントモデルの集約＞
次に、サーバ装置１０１では、クライアントモデルの集約し、グローバルモデルを生成する。
サーバ装置１０１のセキュア実行部１０５は、クライアント装置１０２からセキュアな通信路を介して提供されたモデル情報を復号して集約する集約処理を実行する。
サーバ装置１０１のセキュア実行部１０５は、集約処理により得られたモデル情報を暗号化してサーバ装置１０１の通常実行部１０４に送信する。ここでは、モデル情報は、クライアントモデルである。
サーバ装置１０１の通常実行部１０４は、集約処理により得られたモデル情報をグローバルモデルとして、暗号化された状態で記憶部に格納する。
具体的には、以下の通りである。

次に、ステップＳ１０９において、サーバ装置１０１の通常実行部１０４は、再暗号化されたクライアントモデルＥｎｃＭＫｓ（Ｍ）をサーバ装置１０１のセキュア実行部１０５に送信する。具体的には、サーバ装置１０１の通常実行部１０４は、再暗号化された全クライアントモデルＥｎｃＭＫｓ（Ｍ）を分割してサーバ装置１０１のセキュア実行部１０５に送信する。サーバ装置１０１のセキュア実行部１０５は、再暗号化された全クライアントモデルＥｎｃＭＫｓ（Ｍ）をいくつかに分割して、送信する。

サーバ装置１０１のセキュア実行部１０５は、分割されたクライアントモデルＥｎｃＭＫｓ（Ｍ）を復号する。サーバ装置１０１のセキュア実行部１０５は、復号されたクライアントモデルＤｅｃＭＫｓ（Ｍ）を、格納する。セキュア実行部１０５に格納されるクライアントモデルＤｅｃＭＫｓ（Ｍ）は、全クライアントモデルの一部である。
このステップＳ１０９の処理により、サーバ装置１０１は、セキュア実行部１０５の消費メモリを抑えることができる。

サーバ装置１０１のセキュア実行部１０５は、サーバ装置１０１の通常実行部１０４から送信されたクライアントモデルに対して集約処理を実行することによりグローバルモデルを生成する。このとき、サーバ装置１０１のセキュア実行部１０５は、クライアントモデルに対して汚染検知処理を行い、汚染が検知されたクライアントモデルは集約しない。
具体的には、以下の通りである。

ステップＳ１１０において、サーバ装置１０１のセキュア実行部１０５は、復号されたクライアントモデルＤｅｃＭＫｓ（Ｍ）を用いて、汚染検知と集約を実行する。
サーバ装置１０１のセキュア実行部１０５は、分割されたクライアントモデルＤｅｃＭＫｓ（Ｍ）ごとに集約処理を実行する。
また、サーバ装置１０１のセキュア実行部１０５は、復号されたクライアントモデルＤｅｃＭＫｓ（Ｍ）が汚染されているか否かを検知する汚染検知処理を実行する。そして、サーバ装置１０１のセキュア実行部１０５は、汚染が検出されたクライアントモデルは集約しない。

情報処理システム１００では、ステップＳ１０９からステップＳ１１０の処理を、全クライアントモデルの分割単位に、繰り返し実行する。全クライアントモデルの集約が完了後、次のステップＳ１１１に進む。なお、ステップＳ１１０では、分割単位で集約された分割数分のクライアントモデルを集約して１つのグローバルモデルを生成してもよい。あるいは、分割単位で集約された分割数分のクライアントモデルを、分割数分のグローバルモデルとしてもよい。

最後に、サーバ装置１０１のセキュア実行部１０５は、グローバルモデルを暗号化してサーバ装置１０１の通常実行部１０４に送信する。
サーバ装置１０１の通常実行部１０４は、暗号化されたグローバルモデルを記憶部に格納する。
具体的には、以下の通りである。

ステップＳ１１１において、サーバ装置１０１のセキュア実行部１０５は、集約したクライアントモデルをグローバルモデルＧとして配信用の一時鍵ＧＫｓで暗号化する。サーバ装置１０１のセキュア実行部１０５は、サーバ装置１０１の通常実行部１０４に暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を送信する。サーバ装置１０１の通常実行部１０４は、暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を格納する。

＜グローバルモデル配信＞
図４を用いて、情報処理システム１００におけるグローバルモデル配信処理の動作について説明する。

ステップＳ１１２において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６に、グローバルモデルの配信通知を送信する。あるいは、クライアント装置１０２の通常実行部１０６からサーバ装置１０１の通常実行部１０４にグローバルモデルの配信要求を送信してもよい。

ステップＳ１１３において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２のセキュア実行部１０７の正しさを検証するために、クライアント装置１０２の通常実行部１０６にセキュア実行部の認証依頼を送信する。

ステップＳ１１４において、クライアント装置１０２の通常実行部１０６は、クライアント装置１０２のセキュア実行部１０７に認証情報の提供依頼を送信する。
ステップＳ１１５において、クライアント装置１０２のセキュア実行部１０７は、クライアント装置１０２の通常実行部１０６に認証情報と公開鍵ＰＫｃを送信する。

ステップＳ１１６において、クライアント装置１０２の通常実行部１０６は、サーバ装置１０１の通常実行部１０４に認証情報と公開鍵ＰＫｃを転送する。サーバ装置１０１の通常実行部１０４は、認証サーバ装置１０３の検証部１２２に認証情報の検証依頼を送信する。認証サーバ装置１０３の検証部１２２は、サーバ装置１０１の通常実行部１０４に検証結果を送信する。サーバ装置１０１の通常実行部１０４は、クライアント装置１０２のセキュア実行部１０７の正しさを検証できた場合、サーバ装置１０１のセキュア実行部１０５に公開鍵ＰＫｃを送信する。

ステップＳ１１７において、サーバ装置１０１のセキュア実行部１０５は、クライアント装置１０２のセキュア実行部１０７と公開鍵ＰＫｃを用いて鍵交換を行い、送受信データが暗号化されるセキュアな通信路を確立する。

ステップＳ１１８において、より、サーバ装置１０１のセキュア実行部１０５は、セキュアな通信路上で、クライアント装置１０２のセキュア実行部１０７に配信用の一時鍵ＧＫｓを送信する。

ステップＳ１１９において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６に暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を送信する。

最後に、ステップＳ１２０において、クライアント装置１０２の通常実行部１０６は、学習または推論処理を実行するために、クライアント装置１０２のセキュア実行部１０７に暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を送信する。クライアント装置１０２のセキュア実行部１０７は、暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を配信用の一時鍵ＧＫｓで復号し、学習または推論処理を実行する。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る情報処理システム１００によれば、クライアントモデルおよびグローバルモデルは暗号化されてサーバ装置１０１とクライアント装置１０２でやり取りされる。また、クライアントモデルおよびグローバルモデルは、セキュア実行部１０５と１０７でのみ復号される。このため、本実施の形態に係る情報処理システム１００によれば、クライアントのプライバシ、およびグローバルモデルのセキュリティを確保することができる。

本実施の形態に係る情報処理システム１００では、サーバ装置１０１とクライアント装置１０２のセキュア実行部１０５と１０７は、その正しさを検証されている。このため、本実施の形態に係る情報処理システム１００によれば、不正なサーバ装置１０１とクライアント装置１０２での不正な処理を防止できる。

さらに、クライアントモデルの集約時にモデル汚染を検知することで、悪意あるクライアントからの学習妨害を防止できる。サーバ装置１０１のセキュア実行部１０５におけるクライアントモデルの集約とモデル汚染検知は、セキュア実行部１０５のメモリリソースの制限より、分割展開・実行による省メモリ化を実現している。

クライアントモデルおよびグローバルモデルは、暗号化された状態で通常実行部に格納されるので、セキュア実行部のリソース負担を軽減することができる。

グローバルモデルは、クライアントモデルの暗号化鍵とは別に、配信用の一時鍵で暗号化される。これにより、モデルベンダが配信用の一時鍵を有し、グローバルモデルを調整することも可能となる。この時、モデルベンダは、クライアントモデルの暗号化鍵は保有しないため、クライアントのプライバシは守られる。

＊＊＊他の構成＊＊＊
本実施の形態では、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の機能がソフトウェアで実現される。変形例として、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の機能がハードウェアで実現されてもよい。
具体的には、情報処理システム１００は、プロセッサ９１０に替えて電子回路９０９を備える。

図５は、本実施の形態の変形例に係る情報処理システム１００のハードウェア構成例を示す図である。
電子回路９０９は、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の機能を実現する専用の電子回路である。電子回路９０９は、具体的には、単一回路、複合回路、プログラム化したプロセッサ、並列プログラム化したプロセッサ、ロジックＩＣ、ＧＡ、ＡＳＩＣ、または、ＦＰＧＡである。ＧＡは、ＧａｔｅＡｒｒａｙの略語である。ＡＳＩＣは、ＡｐｐｌｉｃａｔｉｏｎＳｐｅｃｉｆｉｃＩｎｔｅｇｒａｔｅｄＣｉｒｃｕｉｔの略語である。ＦＰＧＡは、Ｆｉｅｌｄ－ＰｒｏｇｒａｍｍａｂｌｅＧａｔｅＡｒｒａｙの略語である。

サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の機能は、１つの電子回路で実現されてもよいし、複数の電子回路に分散して実現されてもよい。

別の変形例として、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の一部の機能が電子回路で実現され、残りの機能がソフトウェアで実現されてもよい。また、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の一部またはすべての機能がファームウェアで実現されてもよい。

プロセッサと電子回路の各々は、プロセッシングサーキットリとも呼ばれる。つまり、サーバ装置１０１、クライアント装置１０２、および認証サーバ装置１０３の各装置の機能は、プロセッシングサーキットリにより実現される。

実施の形態２．
本実施の形態では、主に、実施の形態１と異なる点および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

実施の形態１では、サーバ装置１０１は、ＴＥＥによる仮想的な分離実行環境を有する構成である。
一方、本実施の形態では、サーバ装置１０１にＴＥＥによる仮想的な分離実行環境がないような場合に暗号化したまま演算を可能とする準同型暗号を用いた態様を示す。

＊＊＊構成の説明＊＊＊
図６は、本実施の形態に係る情報処理システム１００の構成例を示す図である。
本実施の形態では、サーバ装置１０１は、通常の実行環境である通常実行部１０４のみを備える。サーバ装置１０１の通常実行部１０４は、連合学習管理部１０８と、集約部１１３と、汚染検知部１１４を備える。

また、本実施の形態のクライアント装置１０２は、実施の形態１と同様に、通常実行部１０６とセキュア実行部１０７を仮想的に分離できる構成を備える。
クライアント装置１０２の通常実行部１０６の構成は、実施の形態１と同様である。

クライアント装置１０２のセキュア実行部１０７は、実施の形態１と同様の構成に加えて、準同型暗号化復号部１４０を備える。
準同型暗号化復号部１４０は、サーバ装置１０１とやり取りするモデル情報を準同型暗号化・復号処理する。ここで、モデル情報とは、クライアントモデルおよびグローバルモデルである。
なお、本実施の形態では、クライアント装置１０２の暗号化復号部１１９は、サーバ装置１０１とやり取りするモデル情報を暗号化・復号処理する。

認証サーバ装置１０３は、実施の形態１と同様に、検証部１２２を備える。本実施の形態では、検証部１２２は、セキュア実行部１０７の認証情報を検証する。

図６の情報処理システム１００は、上記のような構成とすることで、クライアントモデルおよびグローバルモデルを保護し、セキュア実行部１０７の正しさを検証する。また、図６の情報処理システム１００は、サーバ装置１０１の通常実行部１０４において、準同型暗号化したままクライアントモデルの汚染検知と集約をする。これにより、セキュリティ・プライバシに配慮した連合学習が実現される。

なお、本実施の形態に係る情報処理システム１００のハードウェア構成例については実施の形態１と同様である。

＊＊＊機能の説明＊＊＊
クライアント装置１０２のセキュア実行部は、サーバ装置１０１に提供するモデル情報であるクライアントモデルに対し準同型暗号化を実行する。
サーバ装置１０１の通常実行部１０４は、準同型暗号化されたクライアントモデルに対し、準同型暗号化したまま集約する集約処理を実行する。そして、サーバ装置１０１の通常実行部１０４は、集約処理により得られたグローバルモデルを準同型暗号化されている状態で記憶部に格納する。

また、サーバ装置１０１の通常実行部１０４は、準同型暗号化されたクライアントモデルに対し、準同型暗号化したまま汚染を検知する汚染検知処理を実行する。

＊＊＊機能の詳細説明＊＊＊
次に、図６を用いて、情報処理システム１００の各装置の機能についてより詳細に説明する。実施の形態１で説明した部分については省略する場合がある。

クライアント装置１０２の通常実行部１０６とセキュア実行部１０７の仮想的な分離は、例えば、ＡｒｍＴｒｕｓｔｚｏｎｅ、あるいは、Ｉｎｔｅｌ（登録商標）ＳＧＸといったＴＥＥ技術によって実現される。

連合学習管理部１０８と１１５は、連合学習のためのクライアントモデルの収集、あるいは、グローバルモデルの配信を行う。また、クライアント装置１０２の連合学習管理部１１５は、認証管理部１１６により、セキュア実行部１０７の正しさを検証する（処理１２５）。

セキュア実行部１０７の正しさを検証するための構成要素について説明する。
認証管理部１１６は、セキュア実行部１０７にある認証部１１８から、セキュア実行部１０７の正しさを検証するための認証情報を取得する（処理１２７）。

認証部１１８は、認証情報を出力する（処理１２７）。認証情報は、例えば、起動したセキュア実行部のハッシュ値と署名である。セキュア実行部１０７の認証は、例えば、ＲｅｍｏｔｅＡｔｔｅｓｔａｔｉｏｎ技術によって実現される。

検証部１２２は、認証管理部１１６からの認証情報を取得し、セキュア実行部１０７が正しく起動しているかを検証する（処理１２９）。

サーバ装置１０１が備える構成要素について説明する。
集約部１１３は、連合学習管理部１０８により収集された、準同型暗号化されたクライアントモデルを取得し（処理２２５）、集約を行う。集約とは、例えば、クライアントモデルの平均値を算出することである。ただし、準同型暗号化されたままの演算になる。

汚染検知部１１４は、連合学習管理部１０８により収集された準同型暗号化されたクライアントモデルを取得し（処理２２６）、クライアントモデルの汚染検知を行う。汚染検知とは、例えば、クライアントモデル間のモデル間距離を算出し、距離が大きい場合はそのクライアントモデルは汚染されていると検知することである。ただし、準同型暗号化されたままの演算になるため、距離の大きさの判定は、クライアント装置１０２で行う。

クライアント装置１０２が備える構成要素について説明する。
学習・推論管理部１１７は、サーバ装置１０１から配信されたグローバルモデルを用いて、学習または推論処理の実行を管理する（処理１３６）。

準同型暗号化復号部１４０は、連合学習管理部１１５によりサーバ装置１０１へ提供するクライアントモデルに対し準同型暗号化処理を行う（処理２２３）。または、準同型暗号化復号部１４０は、サーバ装置１０１から配信された準同型暗号化されたグローバルモデルを、復号処理する（処理２２４）。

暗号化復号部１１９は、準同型暗号化を復号されたグローバルモデルを再暗号化する。または、暗号化復号部１１９は、暗号化されたモデル情報を復号する（処理２２３）。

図７は、本実施の形態に係る情報処理システム１００におけるクライアントモデル収集の動作を示すシーケンス図である。
図８は、本実施の形態に係る情報処理システム１００におけるグローバルモデル配信の動作を示すシーケンス図である。

このシーケンス図は、本実施の形態に係る情報処理システム１００におけるサーバ装置１０１とクライアント装置１０２のやり取りを、通常実行部１０４と１０６とセキュア実行部１０７に分けて示す。

＜クライアントモデル収集＞
図７を用いて、本実施の形態に係る情報処理システム１００におけるクライアントモデル収集処理の動作について説明する。

ステップＳ２０１において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６にクライアントモデルの提供依頼を送信する。
ステップＳ２０２において、クライアント装置１０２の通常実行部１０６は、クライアント装置１０２のセキュア実行部１０７から準同型暗号化されたクライアントモデルＨＥＭＫｃ（Ｍ）を取得する。

ステップＳ２０３において、クライアント装置１０２の通常実行部１０６は、サーバ装置１０１の通常実行部１０４に、準同型暗号化されたクライアントモデルＨＥＭＫｃ（Ｍ）を送信する。

以上のステップＳ２０１からステップＳ２０３を、各クライアントで実行し、サーバ装置１０１は、クライアントモデルを収集する。全クライアントモデルの収集が完了後、次のステップＳ２０４を実行する。

最後に、ステップＳ２０４において、サーバ装置１０１の通常実行部１０４は、準同型暗号化されたクライアントモデルＨＥＭＫｃ（Ｍ）を用いて、暗号化したまま汚染検知と集約を実行する。サーバ装置１０１の通常実行部１０４は、集約されたクライアントモデルをグローバルモデルとして、準同型暗号化されたグローバルモデルＨＥＧＫｓ（Ｇ）と汚染検知結果を記憶部に格納する。

＜グローバルモデル配信処理＞
図８を用いて、本実施の形態に係る情報処理システム１００におけるグローバルモデル配信処理の動作について説明する。

ステップＳ２０５において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２の通常実行部１０６にグローバルモデルの配信通知を送信する。クライアント装置１０２の通常実行部１０６からサーバ装置１０１の通常実行部１０４へグローバルモデルの配信要求を送信してもよい。

ステップＳ２０６において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２のセキュア実行部１０７の正しさを検証するために、クライアント装置１０２の通常実行部１０６にセキュア実行部の認証依頼を送信する。

ステップＳ２０７において、クライアント装置１０２の通常実行部１０６は、クライアント装置１０２のセキュア実行部１０７に認証情報の提供依頼を送信する。
ステップＳ２０８において、クライアント装置１０２のセキュア実行部１０７は、クライアント装置１０２の通常実行部１０６に認証情報と公開鍵ＰＫｃを送信する。

ステップＳ２０９において、クライアント装置１０２の通常実行部１０６は、サーバ装置１０１の通常実行部１０４に認証情報と公開鍵ＰＫｃを転送する。サーバ装置１０１の通常実行部１０４は、認証サーバ装置１０３の検証部１２２に認証情報の検証依頼を送信する。認証サーバ装置１０３の検証部１２２は、サーバ装置１０１の通常実行部１０４に検証結果を送信する。サーバ装置１０１の通常実行部１０４は、クライアント装置１０２のセキュア実行部１０７の正しさを検証できた場合、サーバ装置１０１の通常実行部１０４に公開鍵ＰＫｃを送信する。

ステップＳ２１０において、サーバ装置１０１の通常実行部１０４は、クライアント装置１０２のセキュア実行部１０７と公開鍵ＰＫｃを用いて鍵交換を行い、送受信データが暗号化されるセキュアな通信路を確立する。

ステップＳ２１１において、サーバ装置１０１の通常実行部１０４は、セキュアな通信路上で、クライアント装置１０２のセキュア実行部１０７に準同型暗号化されたグローバルモデルＨＥＧＫｓ（Ｇ）と汚染検知結果を送信する。

ステップＳ２１２において、クライアント装置１０２のセキュア実行部１０７は、準同型暗号化されたグローバルモデルＨＥＧＫｓ（Ｇ）と汚染検知結果を復号する。クライアント装置１０２のセキュア実行部１０７は、汚染検知結果から、クライアントモデルに汚染がなければ、クライアントのモデル保護用鍵ＧＫｃでグローバルモデルを暗号化する。そして、クライアント装置１０２のセキュア実行部１０７は、クライアント装置１０２の通常実行部１０６に暗号化されたグローバルモデルＥｎｃＧＫｃ（Ｇ）を送信する。

最後に、ステップＳ２１４において、クライアント装置１０２の通常実行部１０６は、学習または推論処理を実行するために、クライアント装置１０２のセキュア実行部１０７に暗号化されたグローバルモデルＥｎｃＧＫｃ（Ｇ）を送信する。クライアント装置１０２のセキュア実行部１０７は、暗号化されたグローバルモデルＥｎｃＧＫｃ（Ｇ）をライアントのモデル保護用鍵ＧＫｃで復号し、学習または推論処理を実行する。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る情報処理システム１００によれば、クライアントモデルおよびグローバルモデルは準同型暗号化されてサーバ装置１０１とクライアント装置１０２でやり取りされる。そして、クライアントモデルおよびグローバルモデルは、準同型暗号により暗号化したまま演算、または、クライアント装置１０２のセキュア実行部でのみ復号される。このため、クライアントのプライバシ、およびグローバルモデルのセキュリティを確保することができる。

また、クライアント装置１０２のセキュア実行部は、その正しさを検証されている。そのため、不正なクライアント装置１０２での不正な処理を防止できる。さらに、グローバルモデルとともに汚染検知結果をクライアント装置１０２のセキュア実行部で確認することで、悪意あるクライアントからの学習妨害を防止できる。

実施の形態３．
本実施の形態では、主に、実施の形態１，２と異なる点、および実施の形態１，２に追加する点について説明する。
本実施の形態において、実施の形態１，２と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

実施の形態２では、サーバ装置１０１にＴＥＥによる仮想的な分離実行環境がない場合に、暗号化したまま演算を可能とする準同型暗号を用いた態様を説明した。
一方、本実施の形態では、サーバ装置１０１において、ＴＥＥによる仮想的な分離実行環境と暗号化したまま演算を可能とする準同型暗号とを併用した態様について説明する。

＊＊＊構成の説明＊＊＊
図９は、本実施の形態に係る情報処理システム１００の構成例を示す図である。
サーバ装置１０１は、実施の形態１と同様に、通常実行部１０４とセキュア実行部１０５に仮想的に分離できる構成を有する。
また、クライアント装置１０２も、実施の形態１，２と同様に、通常実行部１０６とセキュア実行部１０７に仮想的に分離できる構成を有する。

サーバ装置１０１の通常実行部１０４は、連合学習管理部１０８と認証管理部１０９と集約部１１３と汚染検知部１１４を備える。
サーバ装置１０１のセキュア実行部１０５は、認証部１１０と暗号化復号部１１１と準同型暗号化復号部１４０とを備える。本実施の形態において、準同型暗号化復号部１４０は、サーバ装置１０１の通常実行部１０４とやり取りする情報を準同型暗号化・復号処理する。

クライアント装置１０２の通常実行部１０４は、実施の形態１と同様に、連合学習管理部１１５と、認証管理部１１６と、学習・推論管理部１１７とを備える。
クライアント装置１０２のセキュア実行部１０７は、実施の形態１と同様に、認証部１１８と、暗号化復号部１１９と、学習部１２０と、推論部１２１とを備える。

認証サーバ装置１０３は、検証部１２２を備える。
検証部１２２は、セキュア実行部１０５およびセキュア実行部１０７の各々の認証情報を検証する。

図９の情報処理システム１００は、上記のような構成とすることで、クライアントモデルおよびグローバルモデルを保護し、セキュア実行部１０５および１０７の各々の正しさとクライアントモデルの汚染を検知する。これにより、セキュリティ・プライバシに配慮した連合学習が実現される。

＊＊＊機能の説明＊＊＊
通常実行部１０４と１０６は、セキュア実行部１０５と１０７の起動の正しさを互いに認証する。セキュア実行部１０５と１０７の起動の正しさが認証されると、セキュア実行部１０５と１０７同士の間で暗号化されたデータを送受信するセキュアな通信路を確立する。
サーバ装置１０１のセキュア実行部１０５は、クライアント装置１０２からセキュアな通信路を介して提供されたモデル情報であるクライアントモデルに対し準同型暗号化を実行する。そして、サーバ装置１０１のセキュア実行部１０５は、準同型暗号化されたモデル情報を準同型暗号化されている状態で記憶部に格納する。
サーバ装置１０１の通常実行部１０４は、準同型暗号化されたモデル情報に対し、準同型暗号化したまま集約する集約処理を実行する。そして、サーバ装置１０１の通常実行部１０４は、集約処理により得られたモデル情報であるグローバルモデルを準同型暗号化されている状態で記憶部に格納する。

また、サーバ装置１０１の通常実行部１０４は、準同型暗号化されたモデル情報であるクライアントモデルに対し、準同型暗号化したまま汚染を検知する汚染検知処理を実行する。

＊＊＊機能の詳細説明＊＊＊
次に、図９を用いて、情報処理システム１００の各装置の機能についてより詳細に説明する。

連合学習管理部１０８と１１５は各認証管理部１０９と１１６で、互いのセキュア実行部１０５と１０７の正しさを検証する。この処理は実施の形態１で説明したものと同様である。

暗号化復号部１１１は、連合学習管理部１０８により、クライアント装置１０２から収集されたクライアントモデルをクライアントごとに復号処理する。または、暗号化復号部１１１は、連合学習管理部１０８により、クライアント装置１０２へ配信されるグローバルモデルをクライアントごとに暗号処理する（処理１３０）。

準同型暗号化復号部１４０は、収集されたクライアントモデルを一時的な共通な鍵で準同型暗号化処理し（処理３３１）、通常実行部１０４へ格納する。または、準同型暗号化復号部１４０は、通常実行部１０４から準同型暗号化された状態のグローバルモデルを取得し、復号処理する（処理３３２）。

集約部１１３は、収集された準同型暗号化済みのクライアントモデルを取得し（処理３３２）、集約を行う。集約とは、例えば、クライアントモデルの平均値を算出することである。ただし、本実施の形態では、準同型暗号化されたままの演算になる。

汚染検知部１１４は、収集された準同型暗号化済みのクライアントモデルを取得し（処理３３３）、準同型暗号化したままクライアントモデルの汚染検知を行う。汚染検知とは、例えば、クライアントモデル間のモデル間距離を算出し、距離が大きい場合はそのクライアントモデルは汚染されていると検知することである。ただし、本実施の形態では、準同型暗号化されたままの演算になるため、距離の大きさの判定は、サーバ装置１０１のセキュア実行部１０５で復号してから行われる。

クライアント装置１０２におけるクライアントモデルをサーバ装置１０１へ提供する機能、および、サーバ装置１０１から配信されたグローバルモデルを用いて、学習または推論を行う機能については、実施の形態１で説明したものと同様である。

図１０は、本実施の形態に係る情報処理システム１００におけるクライアントモデル収集の動作を示すシーケンス図である。
図１１は、本実施の形態に係る情報処理システム１００におけるグローバルモデル配信の動作を示すシーケンス図である。

＜クライアントモデル収集＞
ステップＳ３０１からステップＳ３０７までの処理は、実施の形態１で説明したステップＳ１０１からステップＳ１０７までの処理と同様である。すなわち、ステップＳ３０７において、クライアント装置１０２のセキュア実行部１０７は、セキュアな通信路上で、サーバ装置１０１のセキュア実行部１０５にクライアントモデルＭを送信する。

ステップＳ３０８において、サーバ装置１０１のセキュア実行部１０５は、セキュア実行部１０５の消費メモリを抑えるために、一度、クライアントモデルＭを演算用の一時鍵ＭＫｓで準同型暗号化する。そして、サーバ装置１０１のセキュア実行部１０５は、サーバ装置１０１の通常実行部１０４に準同型暗号化されたクライアントモデルＨＥＭＫｓ（Ｍ）を送信する。サーバ装置１０１の通常実行部１０４は、準同型暗号化されたクライアントモデルＨＥＭＫｓ（Ｍ）を格納する。

以上のステップＳ３０１からステップＳ３０８を、各クライアントで実行し、すべてのクライアント装置１０２からクライアントモデルを収集する。全クライアントモデルの収集が完了後、次のステップＳ３０９を実行する。

ステップＳ３０９において、サーバ装置１０１の通常実行部１０４は、準同型暗号化されたクライアントモデルＨＥＭＫｓ（Ｍ）を用いて、暗号化したまま汚染検知と集約を実行する。

ステップＳ３１０において、サーバ装置１０１の通常実行部１０４は、集約されたクライアントモデルをグローバルモデルとして、サーバ装置１０１のセキュア実行部１０５に準同型暗号化されたグローバルモデルＨＥＧＫｓ（Ｇ）と汚染検知結果を送信する。

最後に、ステップＳ３１１において、サーバ装置１０１のセキュア実行部１０５は、準同型暗号化されたグローバルモデルＨＥＧＫｓ（Ｇ）と汚染検知結果を復号する。汚染を検出した場合は、汚染されたクライアントモデルは、集約しない。例えば、汚染されたクライアントモデルが検知された場合はグローバルモデルを廃棄してもよい。サーバ装置１０１のセキュア実行部１０５は、グローバルモデルＧを配信用の一時鍵ＧＫｓで暗号化し、サーバ装置１０１の通常実行部１０４に暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を送信する。サーバ装置１０１の通常実行部１０４は、暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を格納する。

＜グローバルモデル配信＞
図１１を用いて、情報処理システム１００におけるグローバルモデル配信処理の動作について説明する。

ステップＳ３１２からステップＳ３２０までの処理は、実施の形態１で説明したステップＳ１１２からステップＳ１２０までの処理と同様である。
すなわち、最後に、ステップＳ３２０において、クライアント装置１０２の通常実行部１０６は、学習または推論処理を実行するために、クライアント装置１０２のセキュア実行部１０７に暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を送信する。クライアント装置１０２のセキュア実行部１０７は、暗号化されたグローバルモデルＥｎｃＧＫｓ（Ｇ）を配信用の一時鍵ＧＫｓで復号し、学習または推論処理を実行する。

＊＊＊本実施の形態の効果の説明＊＊＊
以上のように、本実施の形態に係る情報処理システム１００では、クライアントモデルおよびグローバルモデルは暗号化されてサーバ装置１０１とクライアント装置１０２でやり取りされる。また、サーバ装置１０１の通常実行部においては、準同型暗号により暗号化したまま演算される。また、サーバ装置１０１とクライアント装置１０２の各装置のセキュア実行部でのみ復号される。このため、クライアントのプライバシ、およびグローバルモデルのセキュリティを確保することができる。

また、本実施の形態に係る情報処理システム１００では、サーバ装置１０１とクライアント装置１０２の各セキュア実行部は、その正しさを検証されている。このため、不正なサーバ装置１０１とクライアント装置１０２での不正な処理を防止できる。
さらに、クライアントモデルの集約時にモデル汚染を検知することで、悪意あるクライアントからの学習妨害を防止できる。

また、サーバ装置１０１におけるクライアントモデルの集約とモデル汚染検知は、セキュア実行部のメモリリソースの制限より、準同型暗号を用いて暗号化したまま潤沢なメモリ・計算リソースがある通常実行部で演算することで実現している。

また、グローバルモデルは、クライアントモデルの暗号化鍵とは別に、配信用の一時鍵で暗号化する。これにより、モデルベンダが配信用の一時鍵を有し、グローバルモデルを調整することも可能となる。このとき、モデルベンダは、クライアントモデルの暗号化鍵は保有しないため、クライアントのプライバシは守られる。

実施の形態４．
本実施の形態では、主に、実施の形態１と異なる点、および実施の形態１に追加する点について説明する。
本実施の形態において、実施の形態１と同様の機能を有する構成については同一の符号を付し、その説明を省略する。

実施の形態１では、サーバ装置１０１のセキュア実行部１０５が汚染検知部１１４を備える構成である。本実施の形態では、クライアント装置１０２のセキュア実行部１０７が汚染検知部１１４を備える態様について説明する。

＊＊＊構成の説明＊＊＊
図１２は、本実施の形態に係る情報処理システム１００の構成例を示す図である。
本実施の形態では、実施の形態１で説明したサーバ装置１０１のセキュア実行部１０５に、汚染検知部１１４は無い。実施の形態１で説明したクライアント装置１０２のセキュア実行部１０７に、汚染検知部１１４を備える。
クライアント装置１０２のセキュア実行部１０７は、サーバ装置１０１に提供するクライアントモデルが汚染されているか否かを検知する汚染検知処理を実行する。そして、クライアント装置１０２のセキュア実行部１０７は、汚染されているクライアントモデルはサーバ装置１０１に提供しないようにする。
上記以外については、実施の形態１で説明した情報処理システム１００の構成と同様である。

クライアント装置１０２では、セキュア実行部１０７に、認証部１１８と、暗号化復号部１１９と、汚染検知部１１４と、学習部１２０と、推論部１２１とを備える。
汚染検知部１１４は、サーバ装置１０１に提供するクライアントモデルの汚染を検知する。

図１２の情報処理システム１００では、上記のような構成とすることで、クライアントモデルおよびグローバルモデルを保護し、セキュア実行部１０５および１０７の各々の正しさとクライアントモデルの汚染を検知する。これにより、セキュリティ・プライバシに配慮した連合学習が実現される。

＊＊＊機能の詳細説明＊＊＊
次に、図１２を用いて、情報処理システム１００の各装置の機能についてより詳細に説明する。

サーバ装置１０１における、暗号化復号部１１１による処理、再暗号化復号部１１２による処理、および、集約部１１３による処理についても実施の形態１と同様である。

クライアント装置１０２における、暗号化復号部１１９による処理についても実施の形態１と同様である。

クライアント装置１０２の汚染検知部１１４は、サーバ装置１０１に提供するクライアントモデルの汚染検知を行う（処理４３５）。汚染検知とは、例えば、クライアントモデルと元のグローバル間のモデル間距離を算出し、距離が大きい場合はそのクライアントモデルは汚染されていると検知する、または、特定のテストデータに対する出力結果から汚染されていることを検知することである。

クライアント装置１０２における、学習・推論管理部１１７による処理、学習部１２０による処理、および、推論部１２１による処理については実施の形態１と同様である。ただし、学習・推論管理部１１７による処理、学習部１２０による処理、および、推論部１２１による処理において、汚染が検知されたクライアントモデルは使用しない。

＊＊＊動作の説明＊＊＊
動作については、実施の形態１における汚染検知部１１４の処理が、サーバ装置１０１にクライアントモデルを提供される前に、クライアント装置１０２のセキュア実行部１０７における汚染検知部１１４にて実施される。その他に変更はない。

また、実施の形態２および３に本実施の形態を適用してもよい。実施の形態２および３においても、クライアント装置１０２のセキュア実行部１０７に、汚染検知部１１４を備えていてもよい。クライアント装置１０２のセキュア実行部１０７が、サーバ装置１０１に提供するクライアントモデルが汚染されているか否かを検知する汚染検知処理を実行する。そして、クライアント装置１０２のセキュア実行部１０７は、汚染されているクライアントモデルはサーバ装置１０１に提供しないようにする。

以上の実施の形態１から４では、情報処理システムの各装置の各部を独立した機能ブロックとして説明した。しかし、情報処理システムの各装置の構成は、上述した実施の形態のような構成でなくてもよい。情報処理システムの各装置の機能ブロックは、上述した実施の形態で説明した機能を実現することができれば、どのような構成でもよい。また、情報処理システムの各装置は、１つの装置でもよいし、複数の装置から構成されたシステムでもよい。

また、実施の形態１から４のうち、複数の部分を組み合わせて実施しても構わない。あるいは、これらの実施の形態のうち、１つの部分を実施しても構わない。その他、これら実施の形態を、全体としてあるいは部分的に、どのように組み合わせて実施しても構わない。
すなわち、実施の形態１から４では、各実施の形態の自由な組み合わせ、あるいは各実施の形態の任意の構成要素の変形、もしくは各実施の形態において任意の構成要素の省略が可能である。

なお、上述した実施の形態は、本質的に好ましい例示であって、本開示の範囲、本開示の適用物の範囲、および本開示の用途の範囲を制限することを意図するものではない。上述した実施の形態は、必要に応じて種々の変更が可能である。

１００情報処理システム、１０１サーバ装置、１０２クライアント装置、１０３認証サーバ装置、１０４，１０６通常実行部、１０５，１０７セキュア実行部、１０８，１１５連合学習管理部、１０９，１１６認証管理部、１１０，１１８認証部、１１１，１１９暗号化復号部、１１２再暗号化復号部、１１３集約部、１１４汚染検知部、１１７学習・推論管理部、１２０学習部、１２１推論部、１２２検証部、１４０準同型暗号化復号部、９０９電子回路、９１０プロセッサ、９２１メモリ、９２２補助記憶装置、９３０入力インタフェース、９４０出力インタフェース、９５０通信装置。

Claims

サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムにおいて、
前記サーバ装置と前記クライアント装置との各装置は、
仮想的に分離された実行環境として、通常の実行環境である通常実行部とセキュアな実行環境であるセキュア実行部とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常実行部は、
各装置のセキュア実行部の起動の正しさを互いに認証し、各装置のセキュア実行部の起動の正しさが認証されると、各装置のセキュア実行部同士の間で暗号化されたデータを送受信するセキュアな通信路を確立し、
前記サーバ装置のセキュア実行部は、
前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報を復号して集約する集約処理を実行し、集約処理により得られたモデル情報を暗号化して前記サーバ装置の通常実行部に送信し、
前記サーバ装置の通常実行部は、
集約処理により得られたモデル情報を暗号化された状態で記憶部に格納する情報処理システムであって、
前記モデル情報は、前記クライアント装置から前記サーバ装置に提供されるクライアントモデルと、前記サーバ装置から前記クライアント装置に配信されるグローバルモデルとを含み、
前記サーバ装置のセキュア実行部は、
前記クライアント装置から前記セキュアな通信路を介して提供されたクライアントモデルを復号し、復号したクライアントモデルを再暗号化して前記サーバ装置の通常実行部に送信し、
前記サーバ装置の通常実行部は、
再暗号化されたクライアントモデルを記憶部に格納する
情報処理システム。
前記サーバ装置の通常実行部は、
前記再暗号化されたクライアントモデルを前記サーバ装置のセキュア実行部に送信し、前記サーバ装置のセキュア実行部は、
前記サーバ装置の通常実行部から送信されたクライアントモデルに対して前記集約処理を実行することにより前記グローバルモデルを生成し、前記グローバルモデルを暗号化して前記サーバ装置の通常実行部に送信し、
前記サーバ装置の通常実行部は、
暗号化されたグローバルモデルを記憶部に格納する請求項１に記載の情報処理システム。
前記サーバ装置の通常実行部は、
前記再暗号化されたクライアントモデルを分割して前記サーバ装置のセキュア実行部に送信し、
前記サーバ装置のセキュア実行部は、
分割されたクライアントモデルごとに集約処理を実行する請求項１または請求項２に記載の情報処理システム。
前記サーバ装置のセキュア実行部は、
前記復号したクライアントモデルが汚染されているか否かを検知する汚染検知処理を実行し、汚染されているクライアントモデルは集約しない請求項１から請求項３のいずれか１項に記載の情報処理システム。
前記クライアント装置のセキュア実行部は、
前記サーバ装置に提供するクライアントモデルが汚染されているか否かを検知する汚染検知処理を実行し、汚染されているクライアントモデルは前記サーバ装置に提供しない請求項１から請求項３のいずれか１項に記載の情報処理システム。
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムにおいて、
前記サーバ装置と前記クライアント装置との各装置は、
仮想的に分離された実行環境として、通常の実行環境である通常実行部とセキュアな実行環境であるセキュア実行部とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常実行部は、
各装置のセキュア実行部の起動の正しさを互いに認証し、各装置のセキュア実行部の起動の正しさが認証されると、各装置のセキュア実行部同士の間で暗号化されたデータを送受信するセキュアな通信路を確立し、
前記サーバ装置のセキュア実行部は、
前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報に対し準同型暗号化を実行し、準同型暗号化されたモデル情報を準同型暗号化されている状態で記憶部に格納し、
前記サーバ装置の通常実行部は、
準同型暗号化されたモデル情報に対し、準同型暗号化したまま集約する集約処理を実行し、集約処理により得られたモデル情報を準同型暗号化されている状態で記憶部に格納する情報処理システム。
前記サーバ装置の通常実行部は、
準同型暗号化されたモデル情報に対し、準同型暗号化したまま汚染を検知する汚染検知処理を実行する請求項６に記載の情報処理システム。
前記クライアント装置のセキュア実行部は、
前記サーバ装置に提供するモデル情報が汚染されているか否かを検知する汚染検知処理を実行し、汚染されているモデル情報は前記サーバ装置に提供しない請求項６に記載の情報処理システム。
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムに用いられる情報処理方法において、
前記サーバ装置と前記クライアント装置との各装置は、仮想的に分離された実行環境として、通常の実行環境とセキュアな実行環境とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常の実行環境において、各装置のセキュアな実行環境の起動の正しさを互いに認証し、各装置のセキュアな実行環境の起動の正しさが認証されると、各装置のセキュアな実行環境同士の間で暗号化されたデータを送受信するセキュアな通信路を確立し、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報を復号して集約する集約処理を実行し、集約処理により得られたモデル情報を暗号化して前記サーバ装置の通常の実行環境に送信し、
前記サーバ装置の通常の実行環境において、集約処理により得られたモデル情報を暗号化された状態でメモリに格納する情報処理方法であって、
前記モデル情報は、前記クライアント装置から前記サーバ装置に提供されるクライアントモデルと、前記サーバ装置から前記クライアント装置に配信されるグローバルモデルとを含み、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供されたクライアントモデルを復号し、復号したクライアントモデルを再暗号化して前記サーバ装置に送信し、
前記サーバ装置のセキュアな実行環境において、再暗号化されたクライアントモデルをメモリに格納する情報処理方法。
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムに用いられる情報処理方法において、
前記サーバ装置と前記クライアント装置との各装置は、仮想的に分離された実行環境として、通常の実行環境とセキュアな実行環境とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常の実行環境において、各装置のセキュアな実行環境の起動の正しさを互いに認証し、各装置のセキュアな実行環境の起動の正しさが認証されると、各装置のセキュアな実行環境同士の間で暗号化されたデータを送受信するセキュアな通信路を確立し、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報に対し準同型暗号化を実行し、準同型暗号化されたモデル情報を準同型暗号化されている状態でメモリに記憶し、
前記サーバ装置の通常の実行環境において、準同型暗号化されたモデル情報に対し、準同型暗号化したまま集約する集約処理を実行し、集約処理により得られたモデル情報を準同型暗号化されている状態でメモリに格納する情報処理方法。
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムに用いられる情報処理プログラムにおいて、
前記サーバ装置と前記クライアント装置との各装置は、仮想的に分離された実行環境として、通常の実行環境とセキュアな実行環境とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常の実行環境において、各装置のセキュアな実行環境の起動の正しさを互いに認証し、各装置のセキュアな実行環境の起動の正しさが認証されると、各装置のセキュアな実行環境同士の間で暗号化されたデータを送受信するセキュアな通信路を確立する処理と、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報を復号して集約する集約処理を実行し、集約処理により得られたモデル情報を暗号化して前記サーバ装置の通常の実行環境に送信する処理と、
前記サーバ装置の通常の実行環境において、集約処理により得られたモデル情報を暗号化された状態でメモリに格納する処理と
をコンピュータに実行させる情報処理プログラムであって、
前記モデル情報は、前記クライアント装置から前記サーバ装置に提供されるクライアントモデルと、前記サーバ装置から前記クライアント装置に配信されるグローバルモデルとを含み、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供されたクライアントモデルを復号し、復号したクライアントモデルを再暗号化して前記サーバ装置の通常実行環境に送信する処理と、
前記サーバ装置の通常の実行環境において、再暗号化されたクライアントモデルをメモリに格納する処理と
をコンピュータに実行させる情報処理プログラム。
サーバ装置とクライアント装置とを備え、前記サーバ装置と前記クライアント装置との間で、学習に用いられるモデル情報を授受する情報処理システムに用いられる情報処理プログラムにおいて、
前記サーバ装置と前記クライアント装置との各装置は、仮想的に分離された実行環境として、通常の実行環境とセキュアな実行環境とを備え、
前記サーバ装置と前記クライアント装置との各装置の通常の実行環境において、各装置のセキュアな実行環境の起動の正しさを互いに認証し、各装置のセキュアな実行環境の起動の正しさが認証されると、各装置のセキュアな実行環境同士の間で暗号化されたデータを送受信するセキュアな通信路を確立する処理と、
前記サーバ装置のセキュアな実行環境において、前記クライアント装置から前記セキュアな通信路を介して提供された前記モデル情報に対し準同型暗号化を実行し、準同型暗号化されたモデル情報を準同型暗号化されている状態でメモリに格納する処理と、
前記サーバ装置の通常の実行環境において、準同型暗号化されたモデル情報に対し、準同型暗号化したまま集約する集約処理を実行し、集約処理により得られたモデル情報を準同型暗号化されている状態でメモリに格納する処理と
をコンピュータに実行させる情報処理プログラム。