JP2015184594A

JP2015184594A - 暗号文処理装置、暗号文処理方法、暗号文処理プログラムおよび情報処理装置

Info

Publication number: JP2015184594A
Application number: JP2014062743A
Authority: JP
Inventors: 雅哉安田; Masaya Yasuda; 武司下山; Takeshi Shimoyama; 淳小暮; Atsushi Kogure
Original assignee: Fujitsu Ltd
Current assignee: Fujitsu Ltd
Priority date: 2014-03-25
Filing date: 2014-03-25
Publication date: 2015-10-22
Anticipated expiration: 2034-03-25
Also published as: JP6349841B2; EP2924912A2; US9473302B2; US20150280914A1; EP2924912A3; EP2924912B1

Abstract

【課題】秘匿化パターンマッチングにおける処理負荷を軽減することを課題とする。【解決手段】暗号文処理装置は、第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、第１のテキストデータの各成分の２乗値ベクトルデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の２乗値多項式とを取得する。暗号文処理装置は、第２のテキストデータが第２の順で多項式化されて第１の公開鍵で暗号化された第２の多項式と、第２のテキストデータの各成分の２乗値ベクトルデータが第２の順で多項式化されて第１の公開鍵で暗号化された第２の２乗値多項式とを取得する。暗号文処理装置は、第１の多項式および第１の２乗値多項式と、第２の多項式および第２の２乗値多項式とを用いて、第２のテキストデータが第１のテキストデータに含まれるかを判定する。【選択図】図３

Description

本発明は、暗号文処理装置、暗号文処理方法、暗号文処理プログラムおよび情報処理装置に関する。

現在、個人情報や機密情報を保護する規制が強化される一方で、それらの情報を利用したサービスの市場が拡大しつつある。また、個人情報や機密情報を保護したままデータの利活用ができる秘匿化技術が利用されている。秘匿化技術の中には、データ種別やサービス要件に応じて、暗号技術や統計技術を使った技術がある。

暗号技術を用いた秘匿化技術として準同型暗号技術が知られている。準同型暗号技術は、暗号化と復号とで一対の異なる鍵を用いる公開鍵暗号方式の１つであり、暗号化したままデータを操作できる暗号技術である。例えば、平文ｍ１及びｍ２に対して、加算又は乗法に関する準同型暗号方式の暗号化関数をＥとすると、以下の式（１）又は（２）の性質が成り立つ。
（１）Ｅ（ｍ１）＋Ｅ（ｍ２）＝Ｅ（ｍ１＋ｍ２）
（２）Ｅ（ｍ１）＊Ｅ（ｍ２）＝Ｅ（ｍ１＊ｍ２）
（１）式が成り立つものを加算について準同型と呼び、（２）式が成り立つものを乗算について準同型と呼ぶ。

準同型暗号方式を用いれば、暗号文の加算や乗算により、暗号文を復号することなく、加算や乗算を行った演算結果の暗号文を得ることができる。この準同型暗号の性質は、電子投票や電子現金などの分野やクラウドコンピューティング分野において利用される。なお、準同型暗号方式としては、乗算に利用されるＲＳＡ（Rivest Shamir Adleman）暗号方式や加算に利用されるAdditive ElGamal暗号方式が代表的である。

近年では、加算と乗算の両方に利用することができる準同型暗号方式が知られており、加算と乗算の両方に利用でき、かつ、処理性能と暗号データサイズの両面で実用的な準同型暗号方式も知られている。

ここで、一例として準同型暗号方式について説明する。まず、暗号鍵生成について、主に３つの鍵生成パラメータ（ｎ，ｑ，ｔ）を用意する。ｎは２冪の整数で格子次元と呼ばれ、ｑは素数、ｔは素数ｑよりも小さい整数とする。暗号鍵生成の手順としては、まず秘密鍵として各係数が非常に小さいｎ次元の多項式ｓｋをランダムに生成する。なお、各係数の小ささは、あるパラメータσで制限される。次に、各係数がｑより小さいｎ次元多項式ａ１と各係数が非常に小さいｎ次元多項式ｅをランダムに生成する。

そこで、ａ０＝−（ａ１＊ｓｋ＋ｔ＊ｅ）を計算し、組（ａ０，ａ１）を公開鍵ｐｋと定義する。但し、ａ０の多項式計算時において、ｎ次以上の多項式に対してｘ^ｎ＝−１，ｘ^ｎ＋１＝−ｘ，．．．と計算することで、絶えずｎ次より小さい多項式を計算する。さらに、多項式の係数については、素数ｑで割った余りを出力する。なお、このような演算を行う空間を、学術的にはＲｑ：＝Ｆｑ［ｘ］／（ｘ^ｎ＋１）と表すことが多い。

次に、各係数がｔより小さいｎ次多項式で表される平文データｍと公開鍵ｐｋ＝（ａ０，ａ１）に対して、各係数が非常に小さい３つのｎ次元多項式ｕ，ｆ，ｇをランダムに生成し、平文データｍの暗号データＥ（ｍ，ｐｋ）＝（ｃ０，ｃ１）を次のように定義する。（ｃ０，ｃ１）については、ｃ０＝ａ０＊ｕ＋ｔ＊ｇ＋ｍ、ｃ１＝ａ１＊ｕ＋ｔ＊ｆと計算する。なお、これらの計算も空間Ｒｑ上での演算を行う。

そして、２つの暗号文Ｅ（ｍ１，ｐｋ）＝（ｃ０，ｃ１）と、Ｅ（ｍ２，ｐｋ）＝（ｄ０，ｄ１）に対して、暗号加算Ｅ（ｍ１，ｐｋ）＋Ｅ（ｍ２，ｐｋ）を（ｃ０＋ｄ０，ｃ１＋ｄ１）と計算し、暗号乗算Ｅ（ｍ１，ｐｋ）＊Ｅ（ｍ２，ｐｋ）を（ｃ０＋ｄ０，ｃ０＊ｄ１＋ｃ１＊ｄ０，ｃ１＊ｄ１）と計算する。このように暗号乗算を行うと、暗号文のデータサイズが２成分ベクトルから３成分ベクトルになることに注意する。

最後に、復号処理であるが、暗号文ｃ＝（ｃ０，ｃ１，ｃ２，．．．）に対して（ここでは複数の暗号乗算などの暗号操作により暗号文データの成分が増大したと仮定している）、秘密鍵ｓｋを用いてＤｅｃ（ｃ，ｓｋ）＝［ｃ０＋ｃ１＊ｓｋ＋ｃ２＊ｓｋ²＋・・・］ｑｍｏｄｔを計算することで、復号する。ここで、［ｚ］ｑの値は、整数ｚをｑで割った余りｗを計算し、ｗ＜ｑならば［ｚ］ｑ＝ｗを出力し、ｗ≧ｑの場合には［ｚ］ｑ＝ｗ−ｑを出力する。さらに、ａｍｏｄｔは整数ａをｔで割った余りを意味する。

以下、分かりやすくするために数値例を示しておく。
秘密鍵ｓｋ＝Mod（Mod（4，1033）＊ｘ³＋Mod（4，1033）＊ｘ²＋Mod（1，1033）*ｘ，ｘ⁴＋１）
公開鍵ｐｋ＝（ａ０，ａ１）
ａ０＝Mod（Mod（885，1033）＊ｘ³＋Mod（519，1033）＊ｘ²＋Mod（621，1033）＊ｘ＋Mod（327，1033），ｘ⁴＋１）
ａ１＝Mod（Mod（661，1033）＊ｘ³＋Mod（625，1033）＊ｘ²＋Mod（861，1033）＊ｘ＋Mod（311，1033），ｘ⁴＋１）
Ｅ（ｍ，ｐｋ）＝（ｃ０，ｃ１）
平文データｍ＝３＋２ｘ＋２ｘ²＋２ｘ³とする。
ｃ０＝Mod（Mod（822，1033）＊ｘ³＋Mod（1016，1033）＊ｘ²＋Mod（292，1033）＊ｘ＋Mod（243，1033），ｘ⁴＋１）
ｃ１＝Mod（Mod（840，1033）＊ｘ³＋Mod（275，1033）＊ｘ²＋Mod（628，1033）＊ｘ＋Mod（911，1033），ｘ⁴＋１）

なお、上記値において、鍵生成パラメータ（ｎ，ｑ，ｔ）については、（４，１０３３，２０）と設定した。さらに、Mod（ａ，ｑ）は整数ａを素数ｑで割った余りを意味し、Mod（ｆ（ｘ），ｘ^４＋１）は多項式ｆ（ｘ）を多項式ｘ⁴＋１で割った余りの多項式を意味する。但し、ｘ^４＝−１、ｘ^５＝ｘ，．．．などを意味するものとする。

準同型暗号方式の応用例として、秘匿パターンマッチングがある。図６を用いて、秘匿パターンマッチングを説明する。図６は、パターンマッチングを説明する図である。まず、パターンマッチングとは、テキスト文字列の中にパターン文字列があるか判定する処理で、例えばテキスト文字列Ｔ＝“acbabbaccb”の中に、パターン文字列Ｐ＝“abbac”があるか判定する処理である。

このとき、図６にあるように、テキスト文字列Ｔに対して、パターン文字列を１文字ずつずらしながら、テキストとパターンが一致する個数を算出する。なお、図６では、スコアベクトルと呼ぶ。そこで、スコアベクトルと呼ばれる複数の距離を計算し、今回の例ではパターン文字列Ｐの長さが５なので、スコアベクトルの値が５の成分のところで、一致することがわかる。このように、暗号化なしのパターンマッチングでは、テキスト文字列Ｔとパターン文字列Ｐに対して、パターン文字列Ｐを１文字ずつずらしながらテキスト文字列との距離を計算していく。

準同型暗号を利用した秘匿パターンマッチングでは、テキスト文字列Ｔとパターン文字列Ｐを準同型暗号で暗号化した状態で、複数の距離を計算していく。ここでは、図６に示すように、テキスト文字列Ｔを持つ情報登録者、パターン文字列Ｐを持つ照合者、秘匿パターンマッチングにおける暗号距離計算を行うクラウドの３者における秘匿パターンマッチング計算モデルを考える。

まず、照合者は、準同型暗号の鍵生成を行い公開鍵と秘密鍵を生成し、公開鍵のみを公開する。ここでは、情報登録者とクラウドに公開する。そのあと、情報提供者は、照合者から送られた公開鍵を用いて、自身が持つテキスト文字列Ｔを準同型暗号で暗号化し、その暗号化テキストＥ（Ｔ）をクラウド内のデータベースに保存しておく。

照合者は、パターン文字列Ｐがあるか照合するために、パターン文字列Ｐを準同型暗号化し、暗号化パターンＥ（Ｐ）のみをクラウドに送信する。クラウドは、暗号化テキストＥ（Ｔ）と暗号化パターンＥ（Ｐ）に対して、ＴとＰに関する複数の距離を暗号化したまま計算し、その暗号化計算結果のみを照合者に送信する。照合者は、クラウドから送信された暗号化計算結果を自身が持つ秘密鍵を用いて復号し、復号結果からパターンＰがテキストＴに含まれるか判定することができる。

特開２０００−１８１４８６号公報特開２００９−２７１５８４号公報

C. Gentry, "Fully Homomorphic encryption using ideal lattices", STOC 2009，ACM，pp.169−178， 2009． K. Lauter，M．Naehrig and V．Vaikuntanathan， "Can Homomorphic Encryption be Practical？"，In ACM workshop on Cloud Computing Security Workshop−CCSW 2011， ACM， pp.113−124，2011．

上述したクラウドを用いた秘匿パターンマッチングでは、クラウド上では暗号化した状態ですべての処理が行えるので、情報登録者と照合者のデータを開示することがない。このため、安全性が強固ではないクラウドなどの環境であっても、パターンマッチング処理がアウトソーシングできる。

その一方で、暗号化したまま秘匿パターンマッチングを実行するので、単純に準同型暗号方式をパターンマッチングに適用するだけでは、データ量や計算負荷の点で実用的ではなく、処理に時間がかかる。

なお、ここで説明したクラウド秘匿パターンマッチングの具体的な応用例として、キーワードやＷｅｂなどの秘匿情報検索、犯罪捜査や血縁関係判定で利用される秘匿ＤＮＡ鑑定、肥満遺伝子や感染症検査で利用される秘匿遺伝子検査などがある。

１つの側面では、秘匿化パターンマッチングにおける処理負荷を軽減することができる暗号文処理装置、暗号文処理方法、暗号文処理プログラムおよび情報処理装置を提供することを目的とする。

第１の案では、暗号文処理装置は、第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、前記第１のテキストデータの各成分の２乗値ベクトルデータが前記第１の順で多項式化されて前記第１の公開鍵で暗号化された第１の２乗値多項式とを取得する第１の取得部を有する。暗号文処理装置は、第２のテキストデータが第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の多項式と、前記第２のテキストデータの各成分の２乗値ベクトルデータが前記第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の２乗値多項式とを取得する第２の取得部を有する。暗号文処理装置は、前記第１の多項式および前記第１の２乗値多項式と、前記第２の多項式および前記第２の２乗値多項式とを用いて、前記第２のテキストデータが前記第１のテキストデータに含まれるかを判定する判定部を有する。

１実施形態によれば、秘匿化パターンマッチングにおける処理負荷を軽減することができる。

図１は、暗号距離計算を解説する図である。図２は、実施例２に係るシステムの全体構成例を示す図である。図３は、実施例２に係る各装置の機能構成を示す機能ブロック図である。図４は、実施例２に係るシステムが実行する処理のシーケンス図である。図５は、ハードウェア構成例を示す図である。図６は、パターンマッチングを説明する図である。

以下に、本願の開示する暗号文処理装置、暗号文処理方法、暗号文処理プログラムおよび情報処理装置の実施例を図面に基づいて詳細に説明する。なお、この実施例によりこの発明が限定されるものではない。また、各実施例は、矛盾のない範囲内で適宜組み合わせることができる。

まず、バイナリ化したテキストデータを用いて、秘匿パターンマッチング計算について説明する。準同型暗号を利用した秘匿パターンマッチング計算においては、データサイズや距離計算コストを削減するために、バイナリ化したテキストの各ビットを次数について昇順で係数に用いることで表される多項式を求め、多項式演算可能な同準型暗号方式で暗号化する。一方、バイナリ化したパターンの各ビットを次数について降順で係数に用いることで表される多項式を求め、同じ準同型暗号方式で暗号化する。

そして、準同型暗号で暗号化されたテキスト多項式及びパターン多項式に対して、多項式上の準同型性を利用して、各係数が、テキストとパターンとのハミング距離になるような暗号演算を実施する。その後、暗号演算結果を復号することで得られる多項式の各係数からハミング距離を特定し、ハミング距離が０となっているか否かを判定する。このようにすることで、秘匿パターンマッチング計算が行われる。

具体的には、バイナリ化した長さｋのテキスト（バイナリベクトルとも呼ぶ）Ｔ＝（ｔ₀，ｔ₁，...，ｔ_k-1）に対して、各ビットを昇順で係数として用いる多項式ｍ_t（Ｔ）＝Σ_iｔ_iｘ_iを生成し、これに対して上で述べた準同型暗号方式により、暗号化テキストＥｎｃ（ｍ_t（Ｔ），ｐｋ）を生成する。これによって、テキストＴは秘匿化される。

一方、バイナリ化した長さｌのパターンＰ＝（ｐ₀，ｐ₁，...，ｐ_l-1）に対して、各ビットを降順に係数として用いる多項式ｍ_p（Ｐ）＝−Σ_jｐ_jｘ^n-jを生成し、それを上で述べた準同型暗号方式により暗号化パターンＥｎｃ（ｍ_p（Ｐ），ｐｋ）を生成する。これによって、パターンＰは秘匿される。

次に、暗号化されたテキストＥｎｃ（ｍ_t（Ｔ），ｐｋ）とパターンＥｎｃ（ｍ_p（Ｐ），ｐｋ）に対して、暗号化距離計算を以下のように実行する。
Ｅｎｃ（ｍ_t（Ｔ），ｐｋ）＊Ｃ_l＋Ｅｎｃ（ｍ_p（Ｐ），ｐｋ）＊Ｃ_k−２Ｅｎｃ（ｍ_t（Ｔ），ｐｋ）＊Ｅｎｃ（ｍ_p（Ｐ），ｐｋ）（３）

ここで、Ｃ_lは長さｌの降順の多項式を含む元であり、Ｃ_kは長さｋの昇順の多項式を含む元であり、以下のように表される。
Ｃ_l＝（−Σ_jｘ^n-j，０）（４）
Ｃ_k＝（Σ_iｘⁱ，０）（５）

（３）式で得られた暗号化距離計算結果を復号した結果をｒ₀＋ｒ₁ｘ＋ｒ₂ｘ²＋・・・＋ｒ_n-1ｘ^n-1（係数がパラメータｔ以下のｎ次多項式で表される）としたとき、０≦ｉ≦ｋ−ｌに対してｉ次の係数ｒ_iは、ｉ番目のビットを先頭とする部分テキストＴ⁽ⁱ⁾とパターンＰのハミング距離ｄ（Ｔ⁽ⁱ⁾，Ｐ）と一致する。従って、復号結果ｒ₀＋ｒ₁ｘ＋ｒ₂ｘ²＋・・・＋ｒ_n-1ｘ^n-1からパターンＰがテキストＴのどの部分に含まれるかは、係数が０となる次数を特定すればよい。すなわち、テキストＴとパターンＰを準同型暗号で秘匿したまま計算することが可能となる。

ここで、本実施の形態に係る秘匿パターンマッチング計算の考え方を、図１を用いて示しておく。平文空間において、多項式の各係数がハミング距離ｄ（Ｔ⁽ⁱ⁾，Ｐ）になるようにするには、以下のような演算を行うことになる。
Σ_i（ＨＷ（Ｔ⁽ⁱ⁾）＋ＨＷ（Ｐ）−２＜Ｔ⁽ⁱ⁾，Ｐ＞）ｘⁱ （６）
なお、ＨＷ（Ａ）はＡのハミング重みを表し、＜Ａ，Ｂ＞はＡとＢとの内積計算を表す。

（６）式におけるΣ_iＨＷ（Ｔ⁽ⁱ⁾）ｘⁱは、図１（Ａ）に示すように、ｍ_t（Ｔ）＊（−Σ_jｘ^n-j）である。また、（６）式におけるΣ_iＨＷ（Ｐ）ｘⁱは、図１（Ｂ）に示すようにｍ_p（Ｐ）＊（Σ_iｘⁱ）である。さらに、（６）式におけるΣ_i＜Ｔ⁽ⁱ⁾，Ｐ＞ｘⁱは、図１（Ｃ）に示すように、ｍ_t（Ｔ）＊ｍ_p（Ｐ）である。

そうすると、図１（Ａ）乃至（Ｃ）に示すように、各平文演算に対して、暗号文空間における対応する暗号演算が得られる。従って、結果として、図１（Ｄ）のように、（３）式に示すような暗号演算を実行することで、復号化すれば係数がハミング距離となるような演算がなされたことになる。

但し、平文多項式上の演算は、ｎ次以上の多項式に対してｘⁿ＝−１，ｘⁿ⁺¹＝−ｘ，．．．と計算することで、絶えずｎ次以下の多項式を計算し、ｎ次以下の各多項式の係数については、パラメータｔで割った余りを出力するようにする。このような演算を行う空間を、Ｒt＝Ｆｑ［ｘ］／（ｘⁿ＋１）と表すことが多い。

ここで、本実施の形態に係る演算の数値例を示しておく。バイナリ化された長さｋ＝８のテキストＴ＝（１，１，０，１，１，１，０，１）の中に、長さｌ＝３のパターンＰ＝（１，０，１）が含まれているか否かを、テキストＴとパターンＰを準同型暗号で秘匿したまま判定することを考える。実際には、テキストＴの２番目と６番目の部分ベクトルＴ⁽²⁾及びＴ⁽⁶⁾と一致することが分かる。

長さｋ＝８のベクトルを扱うために、準同型暗号方式のパラメータをｎ＝８，ｑ＝1073741857（３０ビット素数）、ｔ＝ｎ＝８と設定する。このとき、秘密鍵ｓｋと公開鍵ｐｋを以下のようにとる。
秘密鍵ｓｋ＝Mod（Mod（2，1073741857）＊ｘ⁶＋Mod（5，1073741857）＊ｘ⁵＋Mod（5，1073741857）＊ｘ⁴＋Mod（5，1073741857）＊ｘ³＋Mod（6，1073741857）＊ｘ²＋Mod（1，1073741857）＊ｘ,ｘ⁸＋１）
公開鍵ｐｋ＝（ａ０，ａ１）
ａ０＝Mod（Mod（943067072，1073741857）＊ｘ⁷＋Mod（208992892，1073741857）＊ｘ⁶＋Mod（757863697，1073741857）＊ｘ⁵＋Mod（463766550，1073741857）＊ｘ⁴＋Mod（868678190，1073741857）＊ｘ³＋Mod（79684227，1073741857）＊ｘ²＋Mod（794283856，1073741857）＊ｘ＋Mod（118588567，1073741857），ｘ⁸＋１）
ａ１＝Mod（Mod（476812016，1073741857）＊ｘ⁷＋Mod（135271255，1073741857）＊ｘ⁶＋Mod（610902088，1073741857）＊ｘ⁵＋Mod（561030593，1073741857）＊ｘ⁴＋Mod（693790135，1073741857）＊ｘ³＋Mod（656347688，1073741857）＊ｘ²＋Mod（903267448，1073741857）＊ｘ＋Mod（326511477，1073741857），ｘ⁸＋１）

次に、テキストＴの準同型暗号化について、まずテキスト多項式ｍ_t（Ｔ）＝１＋ｘ＋ｘ³＋ｘ⁴＋ｘ⁵＋ｘ⁷を生成し、このテキスト多項式ｍ_t（Ｔ）を公開鍵ｐｋで暗号化すると以下のようになる。
Ｅｎｃ（ｍ_t（Ｔ），ｐｋ）＝（ｃ０，ｃ１）
ｃ０＝Mod（Mod（571455796，1073741857）＊ｘ⁷＋Mod（134025403，1073741857）＊ｘ⁶＋Mod（5586025，1073741857）＊ｘ⁵＋Mod（982959780，1073741857）＊ｘ⁴＋Mod（172339206，1073741857）＊ｘ³＋Mod（484151018，1073741857）＊ｘ²＋Mod（843536573，1073741857）＊ｘ＋Mod（647203954，1073741857），ｘ⁸＋１）
ｘｃ１＝Mod（Mod（483026714，1073741857）＊ｘ⁷＋Mod（807015171，1073741857）＊ｘ⁶＋Mod（282283030，1073741857）＊ｘ⁵＋Mod（326992586，1073741857）＊ｘ⁴＋Mod（809754218，1073741857）＊ｘ³＋Mod（19049111，1073741857）＊ｘ²＋Mod（406264220，1073741857）＊ｘ＋Mod（18166841，1073741857），ｘ⁸＋１）

次に、パターンＰの準同型暗号化については、パターン多項式ｍ_p（Ｐ）＝−ｘⁿ−ｘ^n-1−ｘ^n-2＝１−ｘ⁶−ｘ⁷（長さｌ＝３）を生成し、このパターン多項式ｍ_p（Ｐ）を公開鍵ｐｋで暗号化すると以下のように表される。
Ｅｎｃ（ｍ_p（ｐ），ｐｋ）＝（ｂ０，ｂ１）
ｂ０＝Mod（Mod（559859414，1073741857）＊ｘ⁷＋Mod（567905533，1073741857）＊ｘ⁶＋Mod（12416926，1073741857）＊ｘ⁵＋Mod（844327741，1073741857）＊ｘ⁴＋Mod（167539656，1073741857）＊ｘ³＋Mod（473962809，1073741857）＊ｘ²＋Mod（200462840，1073741857）＊ｘ＋Mod（281512325，1073741857），ｘ⁸＋１）
ｂ１＝Mod（Mod（866509748，1073741857）＊ｘ⁷＋Mod（110516036，1073741857）＊ｘ⁶＋Mod（103878204，1073741857）＊ｘ⁵＋Mod（419487345，1073741857）＊ｘ⁴＋Mod（208664258，1073741857）＊ｘ³＋Mod（230233533，1073741857）＊ｘ²＋Mod（428440586，1073741857）＊ｘ＋Mod（1069138858，1073741857），ｘ⁸＋１）

さらに、暗号化テキストＥｎｃ（ｍ_t（Ｔ），ｐｋ）と暗号化パターンＥｎｃ（ｍ_p（Ｐ），ｐｋ）に対して、Ｃ_l＝−ｘⁿ−ｘ^n-1−ｘ^n-2＝１−ｘ⁶−ｘ⁷（長さｌ＝３）と、Ｃ_k＝１＋ｘ＋ｘ²＋ｘ³＋ｘ⁴＋ｘ⁵＋ｘ⁶＋ｘ⁷（長さｋ＝８）とを生成する。そして、（３）式により暗号化距離計算結果（ｄ０，ｄ１，ｄ２）を算出する。
ｄ０＝Mod（Mod（797968254，1073741857）＊ｘ⁷＋Mod（466213893，1073741857）＊ｘ⁶＋Mod（252129696，1073741857）＊ｘ⁵＋Mod（1009528361，1073741857）＊ｘ⁴＋Mod（535752679，1073741857）＊ｘ³＋Mod（91616621，1073741857）＊ｘ²＋Mod（627437050，1073741857）＊ｘ＋Mod（983411190，1073741857），ｘ⁸＋１)
ｄ１＝Mod（Mod（702170729，1073741857）＊ｘ⁷＋Mod（300526001，1073741857）＊ｘ⁶＋Mod（385829973，1073741857）＊ｘ⁵＋Mod（6675019，1073741857）＊ｘ⁴＋Mod（571006407，1073741857）＊ｘ³＋Mod（627553259，1073741857）＊ｘ²＋Mod（657519649，1073741857）＊ｘ＋Mod（465629239，1073741857），ｘ⁸＋１）
ｄ２＝Mod（Mod（249662899，1073741857）＊ｘ⁷＋Mod（819300197，1073741857）＊ｘ⁶＋Mod（802151858，1073741857）＊ｘ⁵＋Mod（1002057738，1073741857）＊ｘ⁴＋Mod（759197621，1073741857）＊ｘ³＋Mod（488279887，1073741857）＊ｘ²＋Mod（105297021，1073741857）＊ｘ＋Mod（517181369，1073741857），ｘ⁸＋１）

最後に、上記の暗号計算結果を秘密鍵ｓｋを用いて復号すると、その復号結果はベクトルｍ＝［２，０，２，２，２，０，２，７］となる。このうち判定に採用できるのは０番目からｋ−ｌ＝８−３＝５番目までの値である。多項式で表現すれば、２＋２ｘ²＋２ｘ³＋２ｘ⁴となり、係数が０の位置がｘの１次及び５次の項であることが分かる。

よって、パターンＰはテキストＴの２番目と６番目の部分ベクトルＴ⁽²⁾及びＴ⁽⁶⁾に一致していることがわかる。

上述した実施例１は、バイナリ変換後のテキストパターンに対する暗号ハミング距離しか計算できない。このため、バイナリ化により元のテキストパターンのベクトルの長さが増大され、暗号処理コストが増大する。例えば、ＤＮＡ塩基で用いられる４つの文字列Ａ，Ｔ，Ｃ，Ｇの１文字をバイナリ変換すると、［00］，［01］，［10］，［11］などと表記するため、元のＡ，Ｔ，Ｃ，Ｇの１文字に比べて２倍の長さを用いることになる。

そこで、実施例２では、暗号処理コストが増大しないように、バイナリ化ではなくより一般の数値ベクトル化したテキストパターンに対しても、高速に暗号距離計算を行える例を説明する。ここでは、一例として、Ｌ²ノルム距離Σ（ｔ_i−ｐ_i）²を考える。

［全体構成］
図２は、実施例２に係るシステムの全体構成例を示す図である。図２に示すように、このシステムは、登録者端末１０、照合者端末２０、暗号文処理サーバ３０を有するクラウドコンピューティングを用いた暗号化システムである。なお、図２に示す装置の台数等は、例示であり、図示したものに限定されない。

登録者端末１０は、テキスト文字列を暗号文処理サーバ３０に登録する端末であり、例えばパーソナルコンピュータ、汎用サーバ、スマートフォンなどである。この登録者端末１０は、照合対象のパターン文字列を含むテキスト文字列を暗号文処理サーバ３０に登録する。

照合者端末２０は、パターン文字列のパターンマッチングを要求する例えばパーソナルコンピュータ、汎用サーバ、スマートフォンなどである。この照合者端末２０は、特定の文字列パターンが登録者端末１０によって登録されたテキスト文字列に含まれるかの照合処理を、暗号文処理サーバ３０に要求して照合結果を取得する。

暗号文処理サーバ３０は、パターンマッチングを実行する装置であり、例えばパーソナルコンピュータ、汎用サーバ、スマートフォンなどである。具体的には、暗号文処理サーバ３０は、照合者端末２０から要求されたパターン文字列と、登録者端末１０が登録したテキスト文字列とのパターンマッチングを実行して、その結果を照合者端末２０に応答する。

このようなシステムにおいて、暗号文処理サーバ３０は、第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、第１のテキストデータの各成分の２乗値ベクトルデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の２乗値多項式とを取得する。暗号文処理サーバ３０は、第２のテキストデータが第２の順で多項式化されて第１の公開鍵で暗号化された第２の多項式と、第２のテキストデータの各成分の２乗値ベクトルデータが第２の順で多項式化されて第１の公開鍵で暗号化された第２の２乗値多項式とを取得する。その後、暗号文処理サーバ３０は、第１の多項式および第１の２乗値多項式と、第２の多項式および第２の２乗値多項式とを用いて、第２のテキストデータが前記第１のテキストデータに含まれるかを判定する。

すなわち、暗号文処理サーバ３０は、数値ベクトル化した２つのテキストデータを準同型暗号によって秘匿化された状態でマッチングする際に、各テキストデータの各ベクトル成分の２乗値ベクトル列を用いる。この結果、暗号文処理サーバ３０は、秘匿化パターンマッチングにおける処理負荷を軽減することができる。

［装置の構成］
次に、図２に示したシステムを構成する各装置の機能構成について説明する。図３は、実施例２に係る各装置の機能構成を示す機能ブロック図である。

（登録者端末の機能構成）
図３に示すように、登録者端末１０は、通信処理部１１、データ情報ＤＢ１２、鍵情報ＤＢ１３、２乗値算出部１４、多項式変換部１５、暗号化部１６、登録部１７を有する。なお、２乗値算出部１４、多項式変換部１５、暗号化部１６、登録部１７は、プロセッサが実行するプロセスや電子回路が有する回路の一例である。

通信処理部１１は、クラウドシステム１上の暗号文処理サーバ３０との通信を制御する処理部であり、例えばネットワークインタフェースカードなどである。例えば、通信処理部１１は、暗号化データ等を暗号文処理サーバ３０に送信する。また、通信処理部１１は、暗号文処理サーバ３０との間でＷｅｂセッションなどを確立して、各種データの送受信を実行する。

データ情報ＤＢ１２は、マッチング対象のテキスト文字列を記憶するデータベースである。例えば、データ情報ＤＢ１２は、数値ベクトル化されたテキストＴ＝（ｔ₀，ｔ₁，・・・ｔ_k-1）を記憶する。なお、データ情報ＤＢ１２は、ハードディスクや半導体メモリ等の記憶装置に格納される。

鍵情報ＤＢ１３は、登録者端末１０を使用するユーザの公開鍵および秘密鍵や照合者の公開鍵などを記憶するデータベースである。例えば、鍵情報ＤＢ１３は、鍵パラメータ（ｎ，ｑ，ｔ）で生成された照合者の公開鍵ｐｋを格納する。また、ここで記憶される鍵情報は、照合者端末２０から事前に取得されて格納される。なお、鍵情報ＤＢ１３は、ハードディスクや半導体メモリ等の記憶装置に格納される。

２乗値算出部１４は、データ情報ＤＢ１２に記憶されるテキストデータの各成分の２乗値ベクトル列を算出する処理部である。例えば、２乗値算出部１４は、テキストＴ＝（ｔ₀，ｔ₁，・・・ｔ_k-1）の各成分の２乗値ベクトルＴ²＝（ｔ₀ ²，ｔ₁ ²，・・・，ｔ_k-1 ²）を算出する。なお、２乗値算出部１４は、算出した結果をメモリ等に格納する。

多項式変換部１５は、データ情報ＤＢ１２に記憶されるテキストデータと、２乗値算出部１４によって算出された２乗値ベクトルとをそれぞれ多項式に変換する処理部である。具体的には、多項式変換部１５は、実施例１と同様の手法を用いて、多項式変換を実行する。例えば、多項式変換部１５は、テキストＴ＝（ｔ₀，ｔ₁，・・・，ｔ_k-1）に実施例１と同様の昇順多項式変換を施した多項式ｍ（Ｔ）を生成する。また、多項式変換部１５は、２乗値ベクトルＴ²＝（ｔ₀ ²，ｔ₁ ²，・・・，ｔ_k-1 ²）に昇順多項式変換を施した多項式ｍ（Ｔ²）を生成する。なお、多項式変換部１５は、算出した結果をメモリ等に格納する。

暗号化部１６は、多項式変換部１５によって算出された各多項式変換に準同型暗号文を生成する処理部である。具体的には、暗号化部１６は、多項式ｍ（Ｔ）および多項式ｍ（Ｔ²）を、鍵情報ＤＢ１３に記憶される照合者の公開鍵ｐｋで暗号化する。例えば、暗号化部１６は、２つの暗号文（Enc（m（T），pk），Enc（m（T²），pk））を生成する。なお、暗号化部１６は、算出した結果をメモリ等に格納する。

登録部１７は、暗号化部１６が生成した暗号文を暗号文処理サーバ３０に登録する処理部である。例えば、登録部１７は、２つの暗号文（Enc（m（T），pk），Enc（m（T²），pk））を暗号文処理サーバ３０に送信する。つまり、登録部１７は、マッチング対象のデータを暗号文処理サーバ３０に登録する。

（照合者端末の機能構成）
図３に示すように、照合者端末２０は、通信処理部２１、データ情報ＤＢ２２、鍵情報ＤＢ２３、２乗値算出部２４、多項式変換部２５、暗号化部２６、要求部２７、復号部２８を有する。なお、２乗値算出部２４、多項式変換部２５、暗号化部２６、要求部２７、復号部２８は、プロセッサが実行するプロセスや電子回路が有する回路の一例である。

通信処理部２１は、クラウドシステム１上の暗号文処理サーバ３０との通信を制御する処理部であり、例えばネットワークインタフェースカードなどである。例えば、通信処理部１１は、暗号化データや照合要求等を暗号文処理サーバ３０に送信する。また、通信処理部１１は、暗号文処理サーバ３０との間でＷｅｂセッションなどを確立して、各種データの送受信を実行する。

データ情報ＤＢ２２は、照合対象のテキスト文字列を記憶するデータベースである。例えば、データ情報ＤＢ２２は、数値ベクトル化されたテキストＰ＝（ｐ₀，ｐ₁，・・・，ｐ_k-1）を記憶する。なお、データ情報ＤＢ２２は、ハードディスクや半導体メモリ等の記憶装置に格納される。

鍵情報ＤＢ２３は、照合者端末２０を使用するユーザの公開鍵および秘密鍵などを記憶するデータベースである。例えば、鍵情報ＤＢ２３は、鍵パラメータ（ｎ，ｑ，ｔ）で生成された照合者の公開鍵ｐｋや秘密鍵ｓｋを格納する。なお、鍵情報ＤＢ２３は、ハードディスクや半導体メモリ等の記憶装置に格納される。

２乗値算出部２４は、データ情報ＤＢ２２に記憶されるテキストデータの各成分の２乗値ベクトル列を算出する処理部である。例えば、２乗値算出部２４は、テキストＰ＝（ｐ₀，ｐ₁，・・・ｐ_k-1）の各成分の２乗値ベクトルＰ²＝（ｐ₀ ²，ｐ₁ ²，・・・，ｐ_k-1 ²）を算出する。なお、２乗値算出部２４は、算出した結果をメモリ等に格納する。

多項式変換部２５は、データ情報ＤＢ２２に記憶されるテキストデータと、２乗値算出部２４によって算出された２乗値ベクトルとをそれぞれ多項式に変換する処理部である。具体的には、多項式変換部２５は、実施例１と同様の手法を用いて、多項式変換を実行する。例えば、多項式変換部２５は、テキストＰ＝（ｐ₀，ｐ₁，・・・ｐ_k-1）に実施例１と同様の降順多項式変換を施した多項式ｍ’（Ｐ）を生成する。また、多項式変換部２５は、２乗値ベクトルＰ²＝（ｐ₀ ²，ｐ₁ ²，・・・，ｐ_k-1 ²）に降順多項式変換を施した多項式ｍ´（Ｐ²）を生成する。なお、多項式変換部２５は、算出した結果をメモリ等に格納する。

暗号化部２６は、多項式変換部２５によって算出された各多項式変換に準同型暗号文を生成する処理部である。具体的には、暗号化部２６は、多項式ｍ‘（Ｐ）および多項式ｍ´（Ｐ²）を、鍵情報ＤＢ２３に記憶される照合者の公開鍵ｐｋで暗号化する。例えば、暗号化部１６は、２つの暗号文（Enc（m’（P），pk），Enc（m’（P²），pk））を生成する。なお、暗号化部１６は、算出した結果をメモリ等に格納する。

要求部２７は、パターンマッチングを要求する処理部である。具体的には、要求部２７は、照合対象の暗号部を暗号文処理サーバ３０に送信して、パターンマッチングを要求する。例えば、要求部２７は、２つの暗号文（Enc（m’（P），pk），Enc（m’（P²），pk））を暗号文処理サーバ３０に送信する。

復号部２８は、暗号文処理サーバ３０から照合結果を受信し、照合結果を復号してパターンマッチングの結果を得る処理部である。例えば、復号部２８は、暗号文処理サーバ３０から照合結果として「Enc（m（T²），pk）＊Cl＋Enc（m’（P²），pk）＊Ck’−2Enc（m（T），pk）＊Enc（m’（P），pk）」を取得する。なお、ClとCk’については後述する。

そして、復号部２８は、取得した「Enc（m（T²），pk）＊Cl＋Enc（m’（P²），pk）＊Ck’−2Enc（m（T），pk）＊Enc（m’（P），pk）」を、秘密鍵ｓｋで復号することで、復号結果として多項式ｍ＝Σm_ixⁱを得る。復号部２８は、各ｉ＝0，1，・・・，k-lに対し、多項式mの係数m_iがTとPのL²距離Σ（t_i+j−p_j）²となり、この値が0となるかどうか確認することで、パターンPがテキストTのどの部分と一致するか判定することができる。

具体的には、復号部２８は、１つでも０がある場合は、パターンPはテキストTの中に含まれると判定し、そうでない場合は、テキストTの中にパターンPは含まれないと判定する。

上記で判定することが可能な原理としては、準同型暗号が持つ多項式上の準同型性の特徴から説明できる。具体的には、上記の暗号距離計算は、暗号化なしの平文上では、環R＝Z［x］／（xⁿ＋1）上の多項式演算m（T²）＊（−Σx^n-j）＋m’（P²）＊Σx^j−2m（T）＊m’（P）に対応し、この計算結果が秘密鍵ｓｋで復号で得られる多項式mに一致することが分かる。よって、上記の多項式演算から、各i＝0，1，・・・，k-lに対し、多項式mの係数m_iはL²距離Σ（t_i+j−p_j）²と一致することが分かる。

（暗号文処理サーバの機能構成）
図３に示すように、暗号文処理サーバ３０は、通信処理部３１、暗号文ＤＢ３２、演算結果ＤＢ３３、登録部３４、要求受信部３５、演算部３６、送信部３７を有する。なお、登録部３４、要求受信部３５、演算部３６、送信部３７は、プロセッサが実行するプロセスや電子回路が有する回路の一例である。

通信処理部３１は、登録者端末１０や照合者端末２０との通信を制御する処理部であり、例えばネットワークインタフェースカードなどである。例えば、通信処理部３１は、暗号化データや各種要求等を受信する。また、通信処理部３１は、各端末との間でＷｅｂセッションなどを確立して、各種データの送受信を実行する。

暗号文ＤＢ３２は、各端末から受信した暗号文を記憶するデータベースである。例えば、暗号文ＤＢ３２は、登録者端末１０から受信した暗号文（Enc（m（T），pk），Enc（m（T²），pk））を記憶する。また、暗号文ＤＢ３２は、照合者端末２０から受信した２つの暗号文（Enc（m’（P），pk），Enc（m’（P²），pk））を記憶する。

演算結果ＤＢ３３は、パターンマッチング結果を記憶するデータベースである。例えば、演算結果ＤＢ３３は、パターンマッチング結果として、「Enc（m（T²），pk）＊Cl＋Enc（m’（P²），pk）＊Ck’−2Enc（m（T），pk）＊Enc（m’（P），pk）」を記憶する。なお、暗号文ＤＢ３２や演算結果ＤＢ３３は、ハードディスクや半導体メモリ等の記憶装置に格納される。

登録部３４は、登録者端末１０からマッチング対象のデータを受信して暗号文ＤＢ３２に登録する処理部である。上述したように、登録部３４は、登録者端末１０から受信した２つの暗号文（Enc（m（T），pk），Enc（m（T²），pk））を受信して、暗号文ＤＢ３２に登録する。

要求受信部３５は、照合者端末１０からパターンマッチングの要求を受信する処理部である。また、要求受信部３５は、パターンマッチングの要求とともに照合対象の２つの暗号文（Enc（m’（P），pk），Enc（m’（P²），pk））を受信して、暗号文ＤＢ３２に登録する。

演算部３６は、パターンマッチングを実行する処理部である。具体的には、演算部３６は、登録者端末１０から取得した２つの暗号文（Enc（m（T），pk），Enc（m（T²），pk））と、照合者端末２０から取得した２つの暗号文（Enc（m’（P），pk），Enc（m’（P²），pk））のパターンマッチングを実行する。そして、演算部３６は、演算結果を演算結果ＤＢ３３に登録する。

すなわち、演算部３６は、数値ベクトル化されたテキストＴとパターンＰの暗号化L²距離を計算する。例えば、演算部３６は、距離計算用の補助データCl＝（−Σx^n-j，0）とCk’＝（Σx^j，0）を計算し、暗号距離計算として「Enc（m（T²），pk）＊Cl＋Enc（m’（P²），pk）＊Ck’−2Enc（m（T），pk）＊Enc（m’（P），pk）」を計算する。

送信部３７は、パターンマッチングの演算結果を照合者端末２０に送信する処理部である。例えば、演算部３６は、演算結果である「Enc（m（T²），pk）＊Cl＋Enc（m’（P²），pk）＊Ck’−2Enc（m（T），pk）＊Enc（m’（P），pk）」を演算結果ＤＢ３３から読み出して照合者端末２０に送信する。

［処理の流れ］
図４は、実施例２に係るシステムが実行する処理のシーケンス図である。図４に示すように、照合者端末２０は、鍵パラメータ（ｎ，ｑ，ｔ）で生成された照合者の公開鍵ｐｋおよび秘密鍵ｓｋを生成し（Ｓ１０１）、生成した公開鍵ｐｋを登録者端末１０に配信する（Ｓ１０２とＳ１０３）。一方で、登録者端末１０も同様に、登録者の公開鍵および秘密鍵を生成して記憶する（Ｓ１０４）。また、登録者端末１０は、照合者端末２０から受信した公開鍵ｐｋを鍵情報ＤＢ１３に格納する（Ｓ１０５）。

そして、登録者端末１０は、データ情報ＤＢ１２から登録対象のデータ、すなわちマッチング対象のテキストデータＴを読み出して、各成分の２乗値ベクトル列を算出する（Ｓ１０６）。

続いて、登録者端末１０は、登録対象のテキストデータＴおよび２乗値ベクトルＴ²のそれぞれを多項式に変換する（Ｓ１０７）。

その後、登録者端末１０は、照合者端末１０の公開鍵ｐｋを用いて各多項式に対して準同期暗号化を実行して（Ｓ１０８）、生成した暗号化データを登録データとして暗号文処理サーバ３０に送信する（Ｓ１０９およびＳ１１０）。そして、暗号文処理サーバ３０は、登録者端末１０から受信した暗号化データを暗号文ＤＢ３２に格納する（Ｓ１１１）。

一方で、照合者端末２０は、照合対象のテキストデータＰの２乗値ベクトルＰ²を算出し（Ｓ１１２）、照合対象のテキストデータＰおよび２乗値ベクトルＰ²のそれぞれを多項式に変換する（Ｓ１１３）。

そして、照合者端末２０は、自身の公開鍵ｐｋを用いて各多項式に対して準同期暗号化を実行して（Ｓ１１４）、生成した照合対象の暗号化データを暗号文処理サーバ３０に送信して、パターンマッチングの実行を要求する（Ｓ１１５およびＳ１１６）。

その後、暗号文処理サーバ３０は、マッチング対象のテキストデータの２つの暗号文と、照合対象の２つの暗号文とに対して、照合処理すなわちパターンマッチングを実行し（Ｓ１１７）、照合結果を照合者端末２０に送信する（Ｓ１１８とＳ１１９）。

そして、照合者端末２０は、暗号文処理サーバ３０から受信した照合結果を自身の秘密鍵ｓｋで復号し、判定結果を得る（Ｓ１２０）。

［効果］
このように、実施例２に係るシステムでは、数値ベクトル化したテキストパターンに対し、準同型暗号を用いた秘匿L²ノルム計算を実行する、この際、システムでは、テキストパターンの数値ベクトルの暗号化の際に、各ベクトル成分の２乗値のベクトル列を作成し、その２乗値ベクトルを実施例１と同様の変換を施した多項式の暗号文を補助暗号データとして加える。そして、システムでは、暗号化Ｌ²ノルム距離計算の際、補助暗号データを用いた計算を実行する。この結果、システムは、秘匿化パターンマッチングにおける処理負荷を軽減することができる。

さて、これまで本発明の実施例について説明したが、本発明は上述した実施例以外にも、種々の異なる形態にて実施されてよいものである。

（端末）
上記実施例では、マッチング対象のデータを生成する端末と照合対象のデータを生成する端末とが別々の例で説明したが、これに限定されるものではない。例えば、同一端末が両方のデータを生成して、クラウド上のサーバにパターンマッチングを実行させることもできる。

（システム）
また、本実施例において説明した各処理のうち、自動的におこなわれるものとして説明した処理の全部または一部を手動的におこなうこともできる。あるいは、手動的におこなわれるものとして説明した処理の全部または一部を公知の方法で自動的におこなうこともできる。この他、上記文書中や図面中で示した処理手順、制御手順、具体的名称、各種のデータやパラメータを含む情報については、特記する場合を除いて任意に変更することができる。

また、図示した各装置の各構成要素は機能概念的なものであり、必ずしも物理的に図示の如く構成されていることを要しない。すなわち、各装置の分散や統合の具体的形態は図示のものに限られない。つまり、その全部または一部を、各種の負荷や使用状況などに応じて、任意の単位で機能的または物理的に分散・統合して構成することができる。さらに、各装置にて行なわれる各処理機能は、その全部または任意の一部が、ＣＰＵおよび当該ＣＰＵにて解析実行されるプログラムにて実現され、あるいは、ワイヤードロジックによるハードウェアとして実現され得る。

（ハードウェア）
図５は、ハードウェア構成例を示す図である。図２に示した各装置は同様のハードウェア構成を有するので、ここでは暗号文処理サーバ３０を例にして説明する。

図５に示すように、暗号文処理サーバ３０は、通信インタフェース３０ａ、ＨＤＤ（ハードディスクドライブ）３０ｂ、メモリ３０ｃ、プロセッサ３０ｄを有する。また、図５に示した各部は、バス等で相互に接続される。

通信インタフェース３０ａは、他の装置との通信を制御するインタフェースであり、例えばネットワークインタフェースカードである。ＨＤＤ３０ｂは、図３等に示した機能を動作させるプログラムやＤＢを記憶する。

プロセッサ３０ｄは、図３等に示した各処理部と同様の処理を実行するプログラムをＨＤＤ３０ｂ等から読み出してメモリ３０ｃに展開することで、図３等で説明した各機能を実行するプロセスを動作させる。

すなわち、このプロセスは、暗号文処理サーバ３０が有する各処理部と同様の機能を実行する。具体的には、プロセッサ３０ｄは、登録部３４、要求受信部３５、演算部３６、送信部３７等と同様の機能を有するプログラムをＨＤＤ３０ｃ等から読み出す。そして、プロセッサ３０ｄは、登録部３４、要求受信部３５、演算部３６、送信部３７と同様の処理を実行するプロセスを実行する。

このように暗号文処理サーバ３０は、プログラムを読み出して実行することでアルバム作成方法を実行する情報処理装置として動作する。また、暗号文処理サーバ３０は、媒体読取装置によって記録媒体から上記プログラムを読み出し、読み出された上記プログラムを実行することで上記した実施例と同様の機能を実現することもできる。なお、この他の実施例でいうプログラムは、暗号文処理サーバ３０によって実行されることに限定されるものではない。例えば、他のコンピュータまたはサーバがプログラムを実行する場合や、これらが協働してプログラムを実行するような場合にも、本発明を同様に適用することができる。

１０登録者端末
１１通信処理部
１２データ情報ＤＢ
１３鍵情報ＤＢ
１４２乗値算出部
１５多項式変換部
１６暗号化部
１７登録部
２０照合者端末
２１通信処理部
２２データ情報ＤＢ
２３鍵情報ＤＢ
２４２乗値算出部
２５多項式変換部
２６暗号化部
２７要求部
２８復号部
３０暗号文処理サーバ
３１通信処理部
３２暗号文ＤＢ
３３演算結果ＤＢ
３４登録部
３５要求受信部
３６演算部
３７送信部

Claims

第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、前記第１のテキストデータの各成分の２乗値ベクトルデータが前記第１の順で多項式化されて前記第１の公開鍵で暗号化された第１の２乗値多項式とを取得する第１の取得部と、
第２のテキストデータが第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の多項式と、前記第２のテキストデータの各成分の２乗値ベクトルデータが前記第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の２乗値多項式とを取得する第２の取得部と、
前記第１の多項式および前記第１の２乗値多項式と、前記第２の多項式および前記第２の２乗値多項式とを用いて、前記第２のテキストデータが前記第１のテキストデータに含まれるかを判定する判定部と
を有することを特徴とする暗号文処理装置。
前記判定部は、前記第１のテキストデータの数値ベクトルの各要素が前記第１の順における計数として表される前記第１の多項式および前記第１の２乗値多項式と、前記第２のテキストデータの数値ベクトルの各要素が前記第２の順における計数として表される前記第２の多項式および前記第２の２乗値多項式とを用いて、ベクトル空間のノルム距離を算出することを特徴とする請求項１に記載の暗号文処理装置。
前記第１の公開鍵で暗号化された判定結果を、前記第１の公開鍵に対応する第１の秘密鍵を有する端末装置に送信する送信部をさらに有することを特徴とする請求項１または２に記載の暗号文処理装置。
コンピュータが、
第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、前記第１のテキストデータの各成分の２乗値ベクトルデータが前記第１の順で多項式化されて前記第１の公開鍵で暗号化された第１の２乗値多項式とを取得し、
第２のテキストデータが第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の多項式と、前記第２のテキストデータの各成分の２乗値ベクトルデータが前記第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の２乗値多項式とを取得し、
前記第１の多項式および前記第１の２乗値多項式と、前記第２の多項式および前記第２の２乗値多項式とを用いて、前記第２のテキストデータが前記第１のテキストデータに含まれるかを判定する
処理を含んだことを特徴とする暗号文処理方法。
コンピュータに、
第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、前記第１のテキストデータの各成分の２乗値ベクトルデータが前記第１の順で多項式化されて前記第１の公開鍵で暗号化された第１の２乗値多項式とを取得し、
第２のテキストデータが第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の多項式と、前記第２のテキストデータの各成分の２乗値ベクトルデータが前記第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の２乗値多項式とを取得し、
前記第１の多項式および前記第１の２乗値多項式と、前記第２の多項式および前記第２の２乗値多項式とを用いて、前記第２のテキストデータが前記第１のテキストデータに含まれるかを判定する
処理を実行させることを特徴とする暗号文処理プログラム。
第１のテキストデータが第１の順で多項式化されて第１の公開鍵で暗号化された第１の多項式と、前記第１のテキストデータの各成分の２乗値ベクトルデータが前記第１の順で多項式化されて前記第１の公開鍵で暗号化された第１の２乗値多項式とを保持する暗号文処理装置に対して、第２のテキストデータが第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の多項式と、前記第２のテキストデータの各成分の２乗値ベクトルデータが前記第２の順で多項式化されて前記第１の公開鍵で暗号化された第２の２乗値多項式とを含む送信する送信部と、
前記第２のテキストデータが前記第１のテキストデータに含まれるかを示す前記第１の公開鍵で暗号化された判定結果を前記暗号文処理装置から取得し、前記第１の公開鍵に対応する第１の秘密鍵で復号する復号部と、
前記復号部によって得られた復号結果から、前記第２のテキストデータが前記第１のテキストデータに含まれるかを判定する判定部と
を有することを特徴とする情報処理装置。