⚡ electrical engineering

Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control

この論文は、格子暗号に基づく標準的な仮定の下で証明可能な安全性を有し、1 回の通信ラウンドで固定小数点の近似行列積を可能にする 2 者計算プロトコルを提案し、その暗号化制御への適用を通じてクライアントのオンライン計算負荷の削減と制御パラメータのプライバシー保護を実現することを示しています。

原著者： Kaoru Teranishi

公開日 2026-03-25

📖 1 分で読めます☕ さくっと読める

CC BY 4.0

原著者： Kaoru Teranishi

原論文は CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/) でライセンスされています。 ✨ これは以下の論文のAI生成解説です。著者が執筆または承認したものではありません。技術的な正確性については原論文を参照してください。免責事項の全文を読む

この論文は、**「秘密を守りながら、複雑な計算を他人に任せる」**という、まるで魔法のような技術について書かれています。

具体的には、**「暗号化されたままの状態で、行列（表のような数字の集まり）の掛け算を、2 人の見知らぬ人に計算させる」**という新しい方法を紹介しています。

これを、日常の生活に例えてわかりやすく解説しましょう。

🏠 物語の舞台：「お金の計算」を任せる話

想像してください。あなたが**「銀行の社長」**だとします。
あなたは、非常に重要な秘密（顧客の預金残高や、投資の戦略）を持っています。でも、その計算を自分でやるのは大変すぎて、専門の計算屋（コンピューター）に頼みたい。

しかし、**「計算屋に秘密を教えるのは怖い」し、「計算屋が裏でこっそりデータを盗んだり、変えたりしないか」**と心配です。

そこで、この論文が提案する**「新しい計算のルール」**が登場します。

🎭 登場人物と役割

この新しいルールでは、3 人のキャラクターが出てきます。

社長（クライアント）：秘密を知っている人。計算を頼む人。
計算屋 A と計算屋 B（2 人のパーティ）：信頼できないが、計算が得意な 2 人。
- 重要！ この 2 人は**「共謀（つるみ）しない」**というルールです。お互いに連絡を取り合いません。

🎁 魔法の箱と「分けたパズル」

この技術の核心は、**「秘密をバラバラにして渡す」**というアイデアです。

秘密を「2 つの破片」に分ける
社長は、重要な数字（例えば「100 円」）を、2 つの破片（「30 円」と「70 円」）に分けます。
- 計算屋 A には「30 円」の破片だけ。
- 計算屋 B には「70 円」の破片だけ。
- ポイント: どちらの破片だけ見ても、「100 円」だと気づくことはできません。A も B も、自分が持っているのが何の数字か全くわかりません。
計算は「破片」のまま行う
社長は、この「破片」を計算屋 A と B に渡します。
- 「この破片同士を掛け算して、結果をまた破片にして返して」と頼みます。
- 計算屋 A と B は、自分たちが持っている「意味のわからない破片」同士を計算します。
- すごいところ: 計算屋 A と B は、**「1 回だけ」**連絡を取り合うだけで計算が終わります。何度もやり取りする必要がありません（これが「1 ラウンド通信」という部分です）。
社長が「パズル」を完成させる
計算が終わった「結果の破片」が社長に戻ってきます。
社長は、その 2 つの破片をくっつけると、**「100 円 × 2 = 200 円」**という正しい答えが、暗号を解かずに（あるいは簡単に解いて）出てきます。

🛡️ なぜ安全なのか？（数学の魔法）

この技術が安全な理由は、**「格子（ラティス）」**という数学の難問を使っているからです。

例え話: 計算屋 A が「30 円」の破片を盗もうとしても、それは「ランダムなノイズ」にまぎれていて、元の「100 円」を推測するのは、**「雪の結晶の形から、その雪が降った場所の気象予報を当てる」**くらい難しいのです。
論文では、この「雪の結晶」のような数学的な難問（LWE や SIS という問題）を使うことで、どんなに賢いハッカーでも、計算中に秘密を盗めないことを証明しています。

🚗 実際の使い道：自動車の「自動運転」

この技術が特に役立つのが、**「自動運転」**などの制御システムです。

シチュエーション: あなたが自動車を運転しているとします。車のセンサー（カメラなど）が「前の車との距離」を測っています。
問題: このデータをクラウド（外部のサーバー）に送って「ブレーキをかけるタイミング」を計算させたい。でも、「自分の車の位置や速度」が漏れるのは嫌だ。
解決: この「破片に分ける技術」を使えば、外部のサーバーは「車の位置」も「ブレーキの強さ」も知らずに、正しいブレーキ指令を計算できます。
メリット: 社長（車のオーナー）は、計算の重労働を外部に任せることができ、自分の計算能力（スマホや車の CPU）はほとんど使わずに済みます。

📊 論文の結論：何がすごいのか？

秘密が守られる: 計算屋 A と B は、入力データも出力結果も、パラメータも一切知りません。
速い: 計算屋とのやり取りは「1 回きり」で終わります。これまでは何度もやり取りが必要でしたが、今回は一瞬で終わります。
軽い: 社長（クライアント）の負担が、元の計算よりも軽くなります。
正確: 計算には少しの誤差（近似）が出ますが、自動運転のような制御には十分すぎるほど正確な精度を保証しています。

まとめ

この論文は、**「秘密をバラバラにして、2 人の見知らぬ人に計算させ、最後に自分で組み立てる」という、まるで「分けたパズルを他人に解かせて、完成図だけもらう」**ような、非常に賢くて安全な計算方法を開発したというお話です。

これにより、将来は**「自分のプライバシーを完全に守りながら、AI やクラウドの力を借りて、自動運転や医療、金融などの複雑な計算を安全に行える」**ようになるかもしれません。

論文「Secure Two-Party Matrix Multiplication from Lattices and Its Application to Encrypted Control」の技術的サマリー

この論文は、格子暗号（Lattice-based Cryptography）の仮定に基づき、固定小数点数の近似行列乗算を行う1 回通信の 2 者間計算プロトコルを提案し、これを暗号化制御（Encrypted Control）に応用する研究です。

以下に、問題定義、手法、主要な貢献、結果、および意義について詳細にまとめます。

1. 背景と問題定義

暗号化制御とは、物理システムの制御アルゴリズムを暗号化されたデータ上で実行し、センサー測定値、制御入力、制御器パラメータなどの機密情報を第三者（計算リソース）に漏らさずに処理するパラダイムです。

既存の手法には以下の課題がありました：

単一サーバー（ホモモフィック暗号）: 暗号化・復号のオーバーヘッドが大きく、クライアント側の計算負荷が暗号化されていない場合よりも高くなる傾向があります。
秘密共有を用いた多者間計算:
- 秘密共有された値同士の乗算を安全に行う際、通常は複数ラウンドの通信が必要になります。
- Beaver 三重奏（Beaver triples）などの手法を用いる場合、オンライン生成に複数ラウンドの通信が必要か、またはクライアントが事前計算負荷を負う必要があります。
- 3 者以上の非共謀パーティが必要な場合、システム構成が複雑化し、コストが増大します。

本研究が解決する課題:

2 者間設定において、クライアント側のオンライン計算複雑性を低減しつつ、1 回だけの通信で行列乗算（制御則の計算）を安全かつ効率的に行うプロトコルの確立。
制御入力、出力、およびフィードバックゲイン（パラメータ）のすべてを秘匿すること。

2. 提案手法（プロトコル）

提案されたプロトコルは、**加法秘密共有（Additive Secret Sharing）と、格子暗号に基づくLWE（Learning With Errors）およびSIS（Short Integer Solution）**の性質を組み合わせることで構成されています。

2.1 基礎となる計算原理

近似内積の計算: LWE 暗号文と SIS コミットメントの線形性を利用し、秘密鍵やエラー項を相殺することで、秘密値 $x$ $x$ と $y$ $y$ の内積 $x^\top y$ $x^{⊤} y$ を近似して計算する手法を基盤としています。
- 具体的には、 $c^\top y + (c')^\top r - s^\top h \approx x^\top y \pmod q$ という関係を利用します。
秘密共有との統合: 秘密値 $x, y$ を秘密共有し、そのシェア上で上記の線形演算を行うことで、計算当事者（2 者）が秘密値そのものを知らずに乗算結果のシェアを生成できるようにします。

2.2 プロトコルの構成

プロトコル Mult は以下の 3 つのフェーズからなります：

Setup（設定）: クライアントが公開パラメータ（ランダム行列 $A, B$ ）を生成し、共通参照文字列（CRS）として公開します。
Offline（オフライン）: クライアントが行列 $X$ （制御ゲイン等）に対して LWE 暗号文と SIS コミットメントを生成し、秘密鍵 $S$ のシェアを当事者に配布します。このフェーズは入力に依存せず事前に実行可能です。
Online（オンライン）:
- クライアントが入力 $Y$ （状態ベクトル等）のシェアを当事者に送信します。
- 当事者はローカルでランダムなシェアを生成し、コミットメント $H$ を計算・復元します。
- 当事者は LWE 暗号文、SIS コミットメント、およびシェアを用いて乗算結果のシェアを計算し、クライアントに返します。
- クライアントはシェアを復元し、結果を復号します。
- 特徴: 当事者間の通信は 1 ラウンドのみで完了します。

2.3 固定小数点数の扱い

制御システムへの適用のため、実数値を固定小数点数（Fixed-point numbers）として符号化します。

入力データを $2^\ell$ 倍して整数に変換し、行列乗算後に $2^{-2\ell}$ で割ることで、精度を維持した近似計算を実現します。
オーバーフロー回避と精度保証: 入力データのビット長 $k$ と小数部ビット長 $\ell$ について、LWE/SIS パラメータ（ $n, q, \sigma, t$ ）と行列次元に基づいた条件式を導出しました。これにより、モジュロ演算によるオーバーフローを防ぎつつ、指定された誤差範囲内での計算を保証します。

3. 主要な貢献

1 回通信の 2 者間プロトコルの提案:
- LWE と SIS の仮定に基づき、固定小数点数の近似行列乗算を行うプロトコルを提案しました。
- 安全性は、標準的な格子暗号の仮定（LWE および SIS）の下で証明されています。
精度解析とパラメータ設計:
- 提案プロトコルに固有の近似誤差を理論的に解析し、所望の精度を達成するための固定小数点数のビット長（ $k, \ell$ ）に関する十分条件を導出しました。
暗号化制御への応用と性能向上:
- 線形制御則の実装に応用し、クライアント側のオンライン計算複雑性を $O(n_x n_u)$ （直接計算）から $O(n_x + n_u)$ に低減しました。
- 2 者間での 1 ラウンド通信を実現し、信号とフィードバックゲインの両方を秘匿することに成功しました。

4. 評価結果

数値シミュレーション:
- 線形時不変システム（状態空間モデル）を用いた制御シミュレーションを実施しました。
- LWE パラメータ $(n, q, \sigma) = (2^{12}, 2^{108}, 3.2)$ を使用し、128 ビットのセキュリティを確保しました。
- 設定されたパラメータ（ $k=53, \ell=44$ ）において、理論的な誤差 bound（ $\epsilon = 2^{-10}$ ）内で計算誤差が収束することが確認されました。
制御性能:
- 量子化誤差や近似誤差を含んでも、元の制御性能（制御入力の軌道）が十分に維持されることが示されました。
- クライアントのオンライン計算コストが大幅に削減され、実用的な負荷であることが確認されました。

5. 意義と将来展望

意義:
- 従来の暗号化制御における「クライアントの計算負荷」と「通信ラウンド数」と「セキュリティ」のトレードオフを打破する重要な一歩です。
- 2 者間（クライアントと 1 つの計算サーバー、または 2 つの非共謀サーバー）という比較的シンプルな構成で、高セキュリティかつ低負荷な制御を実現可能にしました。
将来展望:
- 動的制御器（Dynamic Controllers）への拡張。
- 計算当事者（サーバー側）の計算コストのさらなる最適化。

この研究は、サイバーフィジカルシステム（CPS）のセキュリティとプライバシーを確保しつつ、実用的な制御タスクをクラウドやエッジデバイスに安全に委譲するための基盤技術として極めて重要です。