ホーム > 特許ランキング > 楽天グループ株式会社
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024144184
(43)【公開日】2024-10-11
(54)【発明の名称】計算システム、計算方法、及びプログラム
(51)【国際特許分類】
G06N 3/098 20230101AFI20241003BHJP
G06F 21/62 20130101ALI20241003BHJP
【ＦＩ】
G06N3/098
G06F21/62 345
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
(21)【出願番号】P 2024032257
(22)【出願日】2024-03-04
(31)【優先権主張番号】18/129,037
(32)【優先日】2023-03-30
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】399037405
【氏名又は名称】楽天グループ株式会社
(74)【代理人】
【識別番号】110000154
【氏名又は名称】弁理士法人はるか国際特許事務所
(72)【発明者】
【氏名】楊 斌
(72)【発明者】
【氏名】鄭 容朱
(57)【要約】
【課題】セキュリティを高める。
【解決手段】第１装置は、第１公開情報と、第３秘密情報と、の積が第１秘密情報になるように、第１公開情報及び第３秘密情報を取得する第１取得部と、第２装置に対し、第１公開情報を送信する第１送信部と、を含む。第２装置は、第１装置から、第１公開情報を受信する第１受信部と、第１計算情報と、第４秘密情報と、の積が第２秘密情報になるように、第１計算情報及び第４秘密情報を取得する第２取得部と、第１計算情報と、第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、第１装置に対し、第１公開積を送信する第２送信部と、を含む。第１装置は、第２装置から、第１公開積を受信する第２受信部を更に含む。第１公開積、第３秘密情報、及び第４秘密情報に基づいて、第１秘密情報及び第２秘密情報が秘密に管理された状態で、第１秘密情報と、第２秘密情報と、の積である秘密積が計算される。
【選択図】図５
【解決手段】第１装置は、第１公開情報と、第３秘密情報と、の積が第１秘密情報になるように、第１公開情報及び第３秘密情報を取得する第１取得部と、第２装置に対し、第１公開情報を送信する第１送信部と、を含む。第２装置は、第１装置から、第１公開情報を受信する第１受信部と、第１計算情報と、第４秘密情報と、の積が第２秘密情報になるように、第１計算情報及び第４秘密情報を取得する第２取得部と、第１計算情報と、第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、第１装置に対し、第１公開積を送信する第２送信部と、を含む。第１装置は、第２装置から、第１公開積を受信する第２受信部を更に含む。第１公開積、第３秘密情報、及び第４秘密情報に基づいて、第１秘密情報及び第２秘密情報が秘密に管理された状態で、第１秘密情報と、第２秘密情報と、の積である秘密積が計算される。
【選択図】図５
【特許請求の範囲】
【請求項1】
第１秘密情報を秘密に管理する第１装置と、第２秘密情報を秘密に管理する第２装置と、を含み、
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得する第１取得部と、
前記第２装置に対し、前記第１公開情報を送信する第１送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信する第１受信部と、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得する第２取得部と、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、
前記第１装置に対し、前記第１公開積を送信する第２送信部と、
を含み、
前記第１装置は、前記第２装置から、前記第１公開積を受信する第２受信部を更に含み、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得する第１取得部と、
前記第２装置に対し、前記第１公開情報を送信する第１送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信する第１受信部と、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得する第２取得部と、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、
前記第１装置に対し、前記第１公開積を送信する第２送信部と、
を含み、
前記第１装置は、前記第２装置から、前記第１公開積を受信する第２受信部を更に含み、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
【請求項2】
前記第１装置は、
前記第１公開積と、前記第３秘密情報と、の積である第２公開積を計算する第２公開積計算部と、
前記第２装置に対し、前記第２公開積を送信する第３送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開積を受信する第３受信部と、
前記第４秘密情報と、前記第２公開積と、に基づいて、前記秘密積を計算する第１秘密積計算部と、
を更に含む請求項１に記載の計算システム。
前記第１公開積と、前記第３秘密情報と、の積である第２公開積を計算する第２公開積計算部と、
前記第２装置に対し、前記第２公開積を送信する第３送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開積を受信する第３受信部と、
前記第４秘密情報と、前記第２公開積と、に基づいて、前記秘密積を計算する第１秘密積計算部と、
を更に含む請求項１に記載の計算システム。
【請求項3】
前記第１装置は、
前記第１装置で秘密に管理される第５秘密情報及び第６秘密情報の積が前記第３秘密情報になるように、前記第５秘密情報及び前記第６秘密情報を取得する第３取得部と、
前記第１公開積と、前記第５秘密情報と、の積である第３公開積を計算する第３公開積計算部と、
前記第２装置に対し、前記第３公開積を送信する第４送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第３公開積を受信する第４受信部と、
前記第４秘密情報と、前記第３公開積と、に基づいて、第４公開積を計算する第４公開積計算部と、
前記第１装置に対し、前記第４公開積を送信する第５送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第４公開積を受信する第５受信部と、
前記第４公開積と、前記第６秘密情報と、に基づいて、前記秘密積を計算する第２秘密積計算部と、
を更に含む請求項１又は２に記載の計算システム。
前記第１装置で秘密に管理される第５秘密情報及び第６秘密情報の積が前記第３秘密情報になるように、前記第５秘密情報及び前記第６秘密情報を取得する第３取得部と、
前記第１公開積と、前記第５秘密情報と、の積である第３公開積を計算する第３公開積計算部と、
前記第２装置に対し、前記第３公開積を送信する第４送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第３公開積を受信する第４受信部と、
前記第４秘密情報と、前記第３公開積と、に基づいて、第４公開積を計算する第４公開積計算部と、
前記第１装置に対し、前記第４公開積を送信する第５送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第４公開積を受信する第５受信部と、
前記第４公開積と、前記第６秘密情報と、に基づいて、前記秘密積を計算する第２秘密積計算部と、
を更に含む請求項１又は２に記載の計算システム。
【請求項4】
前記第１取得部は、少なくとも１つの乱数に基づいて、前記第１公開情報及び前記第３秘密情報を取得する、
請求項１又は２に記載の計算システム。
請求項１又は２に記載の計算システム。
【請求項5】
前記第１取得部は、
第１乱数に基づいて、前記第１公開情報の一部である第１部分を取得し、
第２乱数に基づいて、前記第３秘密情報を取得し、
前記第１部分と、前記第３秘密情報と、に基づいて、前記第１公開情報の残りの部分である第２部分を取得する、
請求項４に記載の計算システム。
第１乱数に基づいて、前記第１公開情報の一部である第１部分を取得し、
第２乱数に基づいて、前記第３秘密情報を取得し、
前記第１部分と、前記第３秘密情報と、に基づいて、前記第１公開情報の残りの部分である第２部分を取得する、
請求項４に記載の計算システム。
【請求項6】
前記第２取得部は、少なくとも１つの乱数に基づいて、前記第１計算情報及び前記第４秘密情報を取得する、
請求項１又は２に記載の計算システム。
請求項１又は２に記載の計算システム。
【請求項7】
前記第２取得部は、
第３乱数に基づいて、前記第１計算情報の一部である第３部分を取得し、
第４乱数に基づいて、前記第４秘密情報を取得し、
前記第３部分と、前記第４秘密情報と、に基づいて、前記第１計算情報の残りの部分である第４部分を取得する、
請求項６に記載の計算システム。
第３乱数に基づいて、前記第１計算情報の一部である第３部分を取得し、
第４乱数に基づいて、前記第４秘密情報を取得し、
前記第３部分と、前記第４秘密情報と、に基づいて、前記第１計算情報の残りの部分である第４部分を取得する、
請求項６に記載の計算システム。
【請求項8】
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、及び前記第４秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
請求項１又は２に記載の計算システム。
前記第１公開情報、前記第３秘密情報、前記第１計算情報、及び前記第４秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
請求項１又は２に記載の計算システム。
【請求項9】
前記第２装置は、前記第１装置よりも高いセキュリティが要求され、
前記第１公開積計算部は、前記第２秘密情報の行数と、前記第１公開積の行数と、が異なるように、前記第１公開積を計算可能である、
請求項８に記載の計算システム。
前記第１公開積計算部は、前記第２秘密情報の行数と、前記第１公開積の行数と、が異なるように、前記第１公開積を計算可能である、
請求項８に記載の計算システム。
【請求項10】
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第５秘密情報、及び前記第６秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
請求項３に記載の計算システム。
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第５秘密情報、及び前記第６秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
請求項３に記載の計算システム。
【請求項11】
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第１部分、及び前記第２部分の各々は、行列形式であり、
前記秘密積は、内積である、
請求項５に記載の計算システム。
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第１部分、及び前記第２部分の各々は、行列形式であり、
前記秘密積は、内積である、
請求項５に記載の計算システム。
【請求項12】
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第３部分、及び前記第４部分の各々は、行列形式であり、
前記秘密積は、内積である、
請求項７に記載の計算システム。
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第３部分、及び前記第４部分の各々は、行列形式であり、
前記秘密積は、内積である、
請求項７に記載の計算システム。
【請求項13】
前記計算システムでは、前記第１装置、前記第２装置、及び他の装置を含む複数の装置の各々が通信可能であり、
前記第２装置は、前記複数の装置の中で相対的に高いセキュリティが要求される、
請求項１又は２に記載の計算システム。
前記第２装置は、前記複数の装置の中で相対的に高いセキュリティが要求される、
請求項１又は２に記載の計算システム。
【請求項14】
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
請求項１又は２に記載の計算システム。
請求項１又は２に記載の計算システム。
【請求項15】
前記第１装置は、前記連合学習における第１学習モデルの学習過程において、前記第１秘密情報を計算し、
前記第２装置は、前記連合学習における第２学習モデルの学習過程において、前記第２秘密情報を計算する、
請求項１４に記載の計算システム。
前記第２装置は、前記連合学習における第２学習モデルの学習過程において、前記第２秘密情報を計算する、
請求項１４に記載の計算システム。
【請求項16】
前記学習モデルは、複数の他の学習モデルの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルである、
請求項１４に記載の計算システム。
請求項１４に記載の計算システム。
【請求項17】
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
請求項１又は２に記載の計算システム。
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
請求項１又は２に記載の計算システム。
【請求項18】
前記第１サービスにおける前記複数のユーザの各々のユーザ識別情報と、前記第２サービスにおける前記複数のユーザの各々のユーザ識別情報と、は同じである、
請求項１７に記載の計算システム。
請求項１７に記載の計算システム。
【請求項19】
第１秘密情報を秘密に管理する第１装置と、第２秘密情報を秘密に管理する第２装置と、により実行され、
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得し、
前記第２装置に対し、前記第１公開情報を送信し、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信し、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得し、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算し、
前記第１装置に対し、前記第１公開積を送信し、
前記第１装置は、前記第２装置から、前記第１公開積を受信し、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算方法。
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得し、
前記第２装置に対し、前記第１公開情報を送信し、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信し、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得し、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算し、
前記第１装置に対し、前記第１公開積を送信し、
前記第１装置は、前記第２装置から、前記第１公開積を受信し、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算方法。
【請求項20】
請求項１又は２に記載の第１装置又は第２装置としてコンピュータを動作させるためのプログラムを記憶したnon-transitoryな情報記憶媒体。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、計算システム、計算方法、及びプログラムに関する。
【背景技術】
【0002】
従来、装置が秘密に管理する情報の漏洩を防止するための技術が検討されている。例えば、非特許文献１には、訓練データを１つの拠点に集約することなく、機械学習の手法を利用した学習モデルを作成するための連合学習の手法が記載されている。連合学習では、複数の装置の各々が、他の装置に対し、自身が秘密に管理する情報を送信することなく、学習モデルの学習を実行できることが知られている。
【先行技術文献】
【非特許文献】
【0003】
【非特許文献1】Qinbin Li, Zeyi Wen, Zhaomin Wu, Sixu Hu, Naibo Wang, Yuan Li, Xu Liu, Bingsheng He, “A Survey on Federated Learning Systems: Vision, Hype and Reality for Data Privacy and Protection”, インターネット， ２０２３年３月１６日検索，https://arxiv.org/abs/1907.09693
【発明の概要】
【発明が解決しようとする課題】
【0004】
例えば、非特許文献のような連合学習では、学習モデルの学習のために、第１装置が秘密に管理する第１秘密情報と、第２装置が秘密に管理する第２秘密情報と、の秘密積を計算するといった要望がある。連合学習以外の他の分野でも、秘密に管理される複数の情報の積である秘密積が計算される場合には、同様の要望がある。この場合に、しかしながら、第２装置が第１秘密情報及び第２秘密情報の秘密積を計算する場合に、第１装置が第２装置に第１秘密情報を送信すると、第１秘密情報がネットワーク上に送信されるので、セキュリティが十分ではない。第１秘密情報を暗号化したとしても、第三者に解読される可能性がある。第１装置が秘密積を計算する場合も同様である。
【0005】
本開示の目的の１つは、セキュリティを高めることである。
【課題を解決するための手段】
【0006】
本開示に係る計算システムは、第１秘密情報を秘密に管理する第１装置と、第２秘密情報を秘密に管理する第２装置と、を含み、前記第１装置は、前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得する第１取得部と、前記第２装置に対し、前記第１公開情報を送信する第１送信部と、を含み、前記第２装置は、前記第１装置から、前記第１公開情報を受信する第１受信部と、前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得する第２取得部と、前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、前記第１装置に対し、前記第１公開積を送信する第２送信部と、を含み、前記第１装置は、前記第２装置から、前記第１公開積を受信する第２受信部を更に含み、前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される。
【発明の効果】
【0007】
本開示によれば、セキュリティが高まる。
【図面の簡単な説明】
【0008】
【図1】計算システムで実行される連合学習の一例を示す図である。
【図2】連合学習における計算式の一例を示す図である。
【図4】第１実施形態における計算システムのハードウェア構成の一例を示す図である。
【図5】第１実施形態の計算システムで実現される機能の一例を示す図である。
【図6】第１実施形態の計算システムで実行される処理の一例を示す図である。
【図7】第１公開情報及び第３秘密情報の計算方法の一例を示す図である。
【図8】第２実施形態の計算システムで実現される機能の一例を示す図である。
【図9】第２実施形態の計算システムで実行される処理の一例を示す図である。
【発明を実施するための形態】
【0009】
［１．第１実施形態における計算システムの概要］
本開示に係る計算システムの実施形態の一例である第１実施形態を説明する。第１実施形態では、機械学習における連合学習に計算システムが利用される場合を例に挙げる。連合学習は、複数の装置で分散して実行される学習の手法である。複数の装置のうちの何れかは、他の装置から学習結果を集約して学習モデルを作成する。
本開示に係る計算システムの実施形態の一例である第１実施形態を説明する。第１実施形態では、機械学習における連合学習に計算システムが利用される場合を例に挙げる。連合学習は、複数の装置で分散して実行される学習の手法である。複数の装置のうちの何れかは、他の装置から学習結果を集約して学習モデルを作成する。
【0010】
従来の学習では、学習モデルの学習を実行する装置は、他の装置から訓練データを集める必要があった。このため、訓練データが第三者に流出する可能性があるので、セキュリティの観点で懸念が生じる。この点、連合学習では、個々の装置が、他の装置に対し、原則として訓練データを送信せずに学習結果だけを送信するので、セキュリティの観点で有用である。例えば、訓練データが個人情報を含む場合には、連合学習は、個人情報の流出を防止できる。
【0011】
図１は、計算システムで実行される連合学習の一例を示す図である。図１の例では、４つのサービス０～３が互いに協力して連合学習を実行する場合が示されている。例えば、サービス０は、ユーザに関する各種情報を管理する管理会社が提供する情報管理サービスである。サービス１は、銀行が提供する金融サービスである。サービス２は、証券会社が提供する金融サービスである。サービス３は、保険会社が提供する保険サービスである。
【0012】
例えば、サービス０～３の各々におけるコンピュータが、互いに連携して連合学習を実行する。図１では、コンピュータを省略している。以降、図１の簡略化のために、連合学習における処理を実行する実行主体がサービス０～３であるものとして説明するが、実際には、実行主体は、サービス０～３の各々におけるコンピュータである。以降、サービス０～３を区別しない時は、符号を省略してサービスという。
【0013】
例えば、連合学習では、各サービスは、自身の学習モデルを初期化する。各サービスは、自身が管理する訓練データに基づいて、自身の学習モデルの学習を実行する。訓練データは、原則として、第三者に公開されない。訓練データは、各サービスで秘密に管理される。第１実施形態では、ユーザの年収を推定する学習モデルが連合学習で作成される場合を例に挙げるが、他の任意の目的で学習モデルが作成されてよい。例えば、年収以外の属性を推定する学習モデル、画像処理で利用される学習モデル、自然言語処理で利用される学習モデル、又はその他の学習モデルが連合学習で作成されてもよい。
【0014】
例えば、訓練データは、年収と相関関係があると考えられるデモグラフィック情報、サービスにおける決済履歴、ウェブページの閲覧履歴、又はその他の情報を含む。各サービスは、独自に訓練データを管理し、原則として外部に訓練データを送信しない。第１実施形態では、ユーザがサービス１～３の全てを利用するユーザの特徴が訓練データに示される場合を例に挙げるが、サービス１～３のうちの少なくとも１つを利用するユーザの特徴が訓練データに示されるようにすればよい。
【0015】
図２は、連合学習における計算式の一例を示す図である。例えば、サービス１は、銀行が秘密に管理するユーザの特徴ｘ１を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ１の学習を実行する。サービス２は、証券会社が秘密に管理するユーザの特徴ｘ２を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ２の学習を実行する。サービス３は、保険会社が秘密に管理するユーザの特徴ｘ３を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ３の学習を実行する。
【0016】
図２の例では、特徴ｘ１，ｘ２，ｘ３を包含する概念を特徴Ｘと記載する。特徴Ｘは、ｎ×ｍの行列形式である。ｎとｍは、任意の自然数である。例えば、サービス０は、正解となる年収であるラベルｙを管理する。図２の例では、ｙは、ｎ×１の行列（いわゆる列ベクトル）である。サービス０は、サービス１～３の各々によるローカルの学習結果を収集し、ユーザの年収を推定する学習モデルＭ０の学習を実行する。
【0017】
図２の例では、サービス０は、学習モデルＭ１による推定結果ｙ１、学習モデルＭ２による推定結果ｙ２、及び学習モデルＭ３による推定結果ｙ３に基づいて、ユーザの年収ｙを推定する学習モデルＭ０を作成する。即ち、学習モデルＭ０には、推定結果ｙ１～ｙ３が入力される。学習モデルＭ０は、推定結果ｙ１～ｙ３に基づいて特徴量を計算し、当該特徴量に応じた推定結果として、ユーザの年収ｙを出力する。学習モデルＭ０は、学習モデルＭ１～Ｍ３の推定結果ｙ１～ｙ３を利用するアンサンブル学習の一種であるスタッキング学習におけるモデルということができる。
【0018】
例えば、学習モデルＭ０は、学習によって調整されるパラメータとして、重み係数ｗ０～ｗ４を含む。学習モデルＭ０は、重み係数ｗ０～ｗ４以外の他のパラメータ（例えば、バイアス）を含んでもよい。図２のｉは、個々のユーザを示す数値である。図２のように、正解となるラベルｙｉと、学習モデルＭ０の推定結果ｙｉ（図２では上部に記号が付与されている）と、の差に基づいて損失Ｌが計算される。サービス０は、損失Ｌが小さくなるように、学習モデルＭ０の学習を実行する。
【0019】
例えば、サービス０は、サービス１～３の各々に対し、学習モデルＭ０の学習結果を送信する。サービス１は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ１を更新する。サービス２は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ２を更新する。サービス３は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ３を更新する。サービス１～３の各々は、サービス０に対し、新たな学習結果を送信する。以降同様にして、サービス０と、サービス１～３の各々と、の間で学習結果の共有が繰り返されることによって、学習モデルＭ０～Ｍ３の改善が期待される。
【0020】
なお、図１では、簡略化のために線を省略しているが、第１実施形態では、サービス１～３は、互いの学習結果を共有するものとする。例えば、サービス１は、サービス２，３から、学習モデルＭ２，Ｍ３の学習結果を取得し、学習モデルＭ１を更新する。サービス２は、サービス１，３から、学習モデルＭ１，Ｍ３の学習結果を取得し、学習モデルＭ２を更新する。サービス３は、サービス１，２から、学習モデルＭ１，Ｍ２の学習結果を取得し、学習モデルＭ３を更新する。
【0021】
以降、学習モデルＭ０～Ｍ４を区別しない時には、単に学習モデルＭという。学習モデルＭの学習手法自体は、公知の手法であってよく、例えば、勾配降下法又は誤差逆伝播法を利用可能である。第１実施形態では、学習モデルＭの種類及び学習手法が互いに同じである場合を例に挙げるが、学習モデルＭの種類及び学習手法の少なくとも一方は、互いに異なってもよい。例えば、学習モデルＭ０がニューラルネットワークであり、学習モデルＭ１がサポートベクターマシンであり、学習モデルＭ２が勾配ブースティング回帰木であり、学習モデルＭ３が線型回帰モデルであってもよい。学習手法は、これらの種類に応じた手法であればよい。
【0022】
第１実施形態では、学習モデルＭがニューラルネットワークであり、かつ、学習モデルＭの学習手法が勾配降下法である場合を例に挙げる。勾配降下法は、学習モデルＭのパラメータを反復的に更新し、損失の勾配（傾き）を計算して勾配が最も降下する方向にパラメータが更新される。例えば、学習モデルＭ０の学習で勾配降下法が利用される場合、図２のような微分の計算式が利用される。学習モデルＭ１～Ｍ３の学習で勾配降下法が利用される場合も、同様の計算式が利用される。勾配降下法自体は、公知の技術のため、図２の計算式の詳細は省略する。
【0023】
例えば、図２の計算式で下線を引いた部分は、サービス１に関する列ベクトルと、サービス２に関する列ベクトルと、の内積である。サービス１，２がそれぞれ学習モデルＭ１，Ｍ２の学習を実行する場合にも、同様の情報を取得する必要がある。この場合、サービス１，２が、互いに秘密に管理すべき情報を送信することなく、図２の計算式で下線を引いた内積を取得することが求められている。図２の表Ｃ１は、このような要求を満たすための問題を一般化したものである。計算システムは、表Ｃ１の問題を解決できれば、サービス間で秘密に管理する情報をサービス間で送信しあうことなく、内積を取得できる。
【0024】
図３は、図２の表Ｃ１の問題の具体例を示す図である。例えば、あるサービスの第１装置Ａは、ｍ次元のベクトルａを秘密に管理する。他のサービスの第２装置Ｂは、ｍ次元のベクトルｂを秘密に管理する。例えば、ｍ次元のベクトルに含まれる要素は、個々のユーザに関する何らかの特徴を示す。第２装置Ｂは、高いセキュリティが要求されている。第１装置Ａ及び第２装置Ｂの各々は、セキュリティの観点で、ベクトルａ及びベクトルｂではなく、何らかの統合された情報を送信するといった制約条件がある。
【0025】
例えば、表Ｃ２のように、第２装置Ｂが、第１装置Ａからベクトルａを取得することなく、ベクトルａと、ベクトルｂと、の内積ａ・ｂを取得できれば、第２装置Ｂが管理する学習モデルＭの学習で有用である。第１実施形態では、この手法の一例を説明する。逆に、表Ｃ３のように、第１装置Ａが、第２装置Ｂからベクトルｂを取得することなく、ベクトルａと、ベクトルと、の内積ａ・ｂを取得できれば、第１装置Ａが管理する学習モデルＭの学習で有用である。後述の第２実施形態では、この手法の一例を説明する。
【0026】
［２．第１実施形態における計算システムのハードウェア構成］
図４は、第１実施形態における計算システムのハードウェア構成の一例を示す図である。例えば、計算システム１０は、後述の第１秘密情報ｙを秘密に管理する第１装置Ａと、後述の第２秘密情報ｘを秘密に管理する第２装置Ｂと、を含む。第１装置Ａと、第２装置Ｂと、の各々は、インターネット又はＬＡＮ等のネットワークＮに接続される。
図４は、第１実施形態における計算システムのハードウェア構成の一例を示す図である。例えば、計算システム１０は、後述の第１秘密情報ｙを秘密に管理する第１装置Ａと、後述の第２秘密情報ｘを秘密に管理する第２装置Ｂと、を含む。第１装置Ａと、第２装置Ｂと、の各々は、インターネット又はＬＡＮ等のネットワークＮに接続される。
【0027】
第１装置Ａは、第１サービスのコンピュータである。第１実施形態では、第１サービスが図１のサービス１（銀行が提供するサービス）である場合を例に挙げるが、第１サービスは、他の任意のサービスであってよい。例えば、第１サービスは、図１のサービス０，２，３であってもよいし、図１には示さない他のサービスであってもよい。他のサービスは、通信サービス、電子商取引サービス、旅行予約サービス、電子決済サービス、又はポイント管理サービスであってもよい。
【0028】
例えば、第１装置Ａは、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。第１装置Ａは、制御部Ａ１１、記憶部Ａ１２、及び通信部Ａ１３を含む。制御部Ａ１１は、少なくとも１つのプロセッサを含む。記憶部Ａ１２は、ＲＡＭ等の揮発性メモリと、フラッシュメモリ等の不揮発性メモリと、を含む。通信部Ａ１３は、有線通信用の通信インタフェースと、無線通信用の通信インタフェースと、の少なくとも一方を含む。
【0029】
第２装置Ｂは、第２サービスのコンピュータである。例えば、第２装置Ｂは、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。第２装置Ｂは、制御部Ｂ１１、記憶部Ｂ１２、及び通信部Ｂ１３を含む。制御部Ｂ１１、記憶部Ｂ１２、及び通信部Ｂ１３のハードウェア構成は、それぞれ制御部Ａ１１、記憶部Ａ１２、及び通信部Ａ１３と同様であってよい。
【0030】
第１実施形態では、第２サービスが図１のサービス２（証券会社が提供するサービス）である場合を例に挙げるが、第２サービスは、他の任意のサービスであってもよい。例えば、第２サービスは、第１サービスと同じであってもよい。第２サービスが第１サービスと異なる場合には、第２サービスは、第１サービスの説明で例示したサービスのうち、第１サービス以外のものであってもよい。第１装置Ａ及び第２装置Ｂは、何らかのサービスに関係なく、私的に又はその他の目的で利用される装置であってもよい。
【0031】
第１実施形態では、第２装置Ｂは、第１装置Ａよりも高いセキュリティが要求される場合を例に挙げる。例えば、ネットワークＮに送信可能なデータが制限されることは、セキュリティが高いことに相当する。第２装置Ｂが第１装置Ａと同様のデータを外部に送信する場合には、第２装置Ｂは、第１装置Ａよりもデータを加工する必要がある。例えば、第１装置Ａは、行列形式のデータの行数を変えずにネットワークＮに送信可能であるが、第２装置Ｂは、行列形式のデータの行数を変えてネットワークＮに送信する必要がある。
【0032】
以降、第１装置Ａ及び第２装置Ｂを区別しない場合には、単に装置と記載して符号を省略する。制御部Ａ１１，Ｂ１１、記憶部Ａ１２，Ｂ１２、及び通信部Ａ１３，Ｂ１３を区別しない場合には、それぞれ制御部１１、記憶部１２、及び通信部１３と記載して符号の冒頭のアルファベットを省略する。記憶部１２に記憶されるプログラムは、ネットワークＮを介して装置に供給されてもよい。また、コンピュータ読み取り可能な情報記憶媒体に記憶されたプログラムが、情報記憶媒体を読み取る読取部（例えば、光ディスクドライブやメモリカードスロット）、又は、外部機器とデータの入出力をするための入出力部（例えば、ＵＳＢポート）を介して装置に供給されてもよい。
【0033】
また、計算システム１０では、第１装置Ａ、第２装置Ｂ、及び他の装置を含む複数の装置の各々が通信可能であってもよい。即ち、計算システム１０は、第１装置Ａ及び第２装置Ｂ以外の他の装置を含んでもよい。例えば、他の装置は、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。計算システム１０は、複数の他の装置を含んでもよい。図１のように４つのサービスが存在する場合には、計算システム１０は、第１装置Ａ、第２装置Ｂ、及び少なくとも２つの他の装置を含む。
【0034】
例えば、計算システム１０が他の装置を含む場合、第２装置Ｂは、複数の装置の中で相対的に高いセキュリティが要求される。他の装置は、第１装置Ａ又は第２装置Ｂと同様の機能を有していてもよい。他の装置が第１装置Ａと同様の機能を有する場合には、計算システム１０が第１装置Ａ及び他の装置を含むことは、計算システム１０が複数の第１装置Ａを含むことを意味する。他の装置が第２装置Ｂと同様の機能を有する場合には、計算システム１０が第２装置Ｂ及び他の装置を含むことは、計算システム１０が複数の第２装置Ｂを含むことを意味する。
【0035】
［３．第１実施形態の計算システムで実現される機能］
図５は、第１実施形態の計算システム１０で実現される機能の一例を示す図である。例えば、第１装置Ａは、第１データ記憶部Ａ１００、第１取得部Ａ１０１、第１送信部Ａ１０２、第２公開積計算部Ａ１０３、第３送信部Ａ１０４、及び第２受信部Ａ１０５を含む。第１データ記憶部Ａ１００は、記憶部Ａ１２により実現される。第１取得部Ａ１０１、第１送信部Ａ１０２、第２公開積計算部Ａ１０３、及び第３送信部Ａ１０４は、制御部Ａ１１により実現される。
図５は、第１実施形態の計算システム１０で実現される機能の一例を示す図である。例えば、第１装置Ａは、第１データ記憶部Ａ１００、第１取得部Ａ１０１、第１送信部Ａ１０２、第２公開積計算部Ａ１０３、第３送信部Ａ１０４、及び第２受信部Ａ１０５を含む。第１データ記憶部Ａ１００は、記憶部Ａ１２により実現される。第１取得部Ａ１０１、第１送信部Ａ１０２、第２公開積計算部Ａ１０３、及び第３送信部Ａ１０４は、制御部Ａ１１により実現される。
【0036】
例えば、第２装置Ｂは、第２データ記憶部Ｂ１００、第２取得部Ｂ１０１、第１受信部Ｂ１０２、第１公開積計算部Ｂ１０３、第２送信部Ｂ１０４、第３受信部Ｂ１０５、及び第１秘密積計算部Ｂ１０６を含む。第２データ記憶部Ｂ１００は、記憶部Ｂ１２により実現される。第２取得部Ｂ１０１、第１受信部Ｂ１０２、第１公開積計算部Ｂ１０３、第２送信部Ｂ１０４、第３受信部Ｂ１０５、及び第１秘密積計算部Ｂ１０６は、制御部Ｂ１１により実現される。
【0037】
［第１データ記憶部］
第１データ記憶部Ａ１００は、第１装置Ａが実行する処理に必要なデータを記憶する。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭと、第１秘密情報ｙと、を記憶する。第１学習モデルＡＭは、第１装置Ａが管理する学習モデルＭである。第１装置Ａは、連合学習の手法を利用して、第１学習モデルＡＭの学習を実行する。
第１データ記憶部Ａ１００は、第１装置Ａが実行する処理に必要なデータを記憶する。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭと、第１秘密情報ｙと、を記憶する。第１学習モデルＡＭは、第１装置Ａが管理する学習モデルＭである。第１装置Ａは、連合学習の手法を利用して、第１学習モデルＡＭの学習を実行する。
【0038】
例えば、第１データ記憶部Ａ１００は、第１秘密情報ｙを記憶する。第１秘密情報ｙは、第１装置Ａで秘密に管理される情報である。第１秘密情報ｙは、原則として、第１装置Ａ以外の他の装置に送信されない。第１秘密情報ｙは、１つの数値を示す情報、又は、複数の数値を含む情報である。第１実施形態では、第１秘密情報ｙがベクトル形式である場合を例に挙げるが、第１秘密情報ｙは、積を計算可能な情報であればよく、例えば、１つの数値、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。
【0039】
第１実施形態では、第１装置Ａは、連合学習における第１学習モデルＡＭの学習過程において、第１秘密情報ｙを計算する。例えば、第１装置Ａは、第１学習モデルＡＭのパラメータの一部を第１秘密情報ｙとして取得してもよいし、当該一部から計算した情報を第１秘密情報ｙとして取得してもよい。例えば、第１秘密情報ｙは、現状の第１学習モデルＡＭのパラメータの一部と、現状の第１学習モデルＡＭの推定結果と、を乗算した値である。
【0040】
なお、第１秘密情報ｙは、第１サービスにおける複数のユーザの各々に関する情報であってもよい。例えば、第１秘密情報ｙは、現状の第１学習モデルＡＭのパラメータの一部と、現状の第１学習モデルＡＭによる複数のユーザの各々の年収の推定結果と、を乗算した値を含んでもよい。この場合、第１秘密情報ｙの次元数は、ユーザ数となる。他にも例えば、第１秘密情報ｙは、ユーザの年齢層又は性別といった個人情報が数値化（定量化）された情報であってもよい。第１秘密情報ｙは、ユーザの複数の個人情報の各々が数値化された情報であってもよい。
【0041】
また、第１サービスにおける複数のユーザの各々のユーザ識別情報と、第２サービスにおける複数のユーザの各々のユーザ識別情報と、は同じであってもよい。ユーザ識別情報は、ユーザを識別可能な情報である。例えば、ログインアカウント、メールアドレス、又は電話番号は、ユーザ識別情報に相当する。第１実施形態では、第１サービス及び第２サービスでユーザ識別情報が共通である場合を例に挙げるが、第１サービス及び第２サービスでユーザ識別情報が異なってもよい。この場合、ユーザごとに、第１サービスにおけるユーザ識別情報と、第２サービスにおけるユーザ識別情報と、の対応関係が定められたデータが存在するものとする。このデータは、第１データ記憶部Ａ１００、第２データ記憶部Ｂ１００、又はその他の場所に記憶されているものとする。
【0042】
なお、第１データ記憶部Ａ１００が記憶するデータは、上記の例に限られない。第１データ記憶部Ａ１００は、任意のデータを記憶可能である。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭの訓練データを記憶する。訓練データは、第１学習モデルＡＭに入力される入力部分と、当該入力部分に対応する出力部分と、を含む。出力部分は、学習時における正解に相当する。第１装置Ａは、第１データ記憶部Ａ１００に記憶された訓練データに基づいて、第１学習モデルＡＭのローカルな学習を実行する。第１装置Ａは、訓練データの入力部分が入力された場合に、訓練データの出力部分が出力されるように、第１学習モデルＡＭのパラメータを調整する。
【0043】
本実施形態では、ユーザの年収を推定する第１学習モデルＡＭが作成されるので、訓練データの入力部分は、ユーザに関する何らかの情報である。例えば、第１サービスにおけるユーザのデモグラフィック情報等の特徴が訓練データの入力部分に相当する。訓練データの出力部分は、ユーザの年収である。訓練データの出力部分に相当する年収は、ユーザが第１サービスに登録した年収であってもよいし、ユーザが他のサービスに登録した年収であってもよい。訓練データの出力部分に相当する年収は、第１学習モデルＡＭの作成者が指定した年収であってもよい。第１装置Ａは、連合学習の手法を利用して、ローカルで学習された第１学習モデルＡＭを更新してもよい。この処理は、第２実施形態で説明する。例えば、第１データ記憶部Ａ１００は、上記説明したデータ以外にも、第１実施形態で説明する各種情報を記憶してよい。
【0044】
［第２データ記憶部］
第２データ記憶部Ｂ１００は、第２装置Ｂが実行する処理に必要なデータを記憶する。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭと、第２秘密情報ｘと、を記憶する。第２学習モデルＢＭは、第２装置Ｂが管理する学習モデルＭである。第２装置Ｂは、連合学習の手法を利用して、第２学習モデルＢＭの学習を実行する。
第２データ記憶部Ｂ１００は、第２装置Ｂが実行する処理に必要なデータを記憶する。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭと、第２秘密情報ｘと、を記憶する。第２学習モデルＢＭは、第２装置Ｂが管理する学習モデルＭである。第２装置Ｂは、連合学習の手法を利用して、第２学習モデルＢＭの学習を実行する。
【0045】
例えば、第２データ記憶部Ｂ１００は、第２秘密情報ｘを記憶する。第２秘密情報ｘは、第２装置Ｂで秘密に管理される情報である。第２秘密情報ｘは、原則として、第２装置Ｂ以外の他の装置に送信されない。第２秘密情報ｘは、１つの数値を示す情報、又は、複数の数値を含む情報である。第１実施形態では、第２秘密情報ｘがベクトル形式である場合を例に挙げるが、第２秘密情報ｘは、積を計算可能な情報であればよく、例えば、１つの数値、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。
【0046】
第１実施形態では、第２装置Ｂは、連合学習における第２学習モデルＢＭの学習過程において、第２秘密情報ｘを計算する。例えば、第２装置Ｂは、第２学習モデルＢＭのパラメータの一部を第２秘密情報ｘとして取得してもよいし、当該一部から計算した情報を第２秘密情報ｘとして取得してもよい。例えば、第２秘密情報ｘは、現状の第２学習モデルＢＭのパラメータの一部と、現状の第２学習モデルＢＭの推定結果と、を乗算した値である。
【0047】
なお、第２秘密情報ｘは、第２サービスにおける複数のユーザの各々に関する情報であってもよい。例えば、第２秘密情報ｘは、現状の第２学習モデルＢＭのパラメータの一部と、現状の第２学習モデルＢＭによる複数のユーザの各々の年収の推定結果と、を乗算した値を含んでもよい。この場合、第２秘密情報ｘの次元数は、ユーザ数となる。他にも例えば、第２秘密情報ｘは、ユーザの年齢層又は性別といった個人情報が数値化（定量化）された情報であってもよい。第２秘密情報ｘは、ユーザの複数の個人情報の各々が数値化された情報であってもよい。
【0048】
なお、第２データ記憶部Ｂ１００が記憶するデータは、上記の例に限られない。第２データ記憶部Ｂ１００は、任意のデータを記憶可能である。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭの訓練データを記憶する。訓練データは、第２学習モデルＢＭに入力される入力部分と、当該入力部分に対応する出力部分と、を含む。出力部分は、学習時における正解に相当する。第２装置Ｂは、第２データ記憶部Ｂ１００に記憶された訓練データに基づいて、第２学習モデルＢＭのローカルな学習を実行する。第２装置Ｂは、訓練データの入力部分が入力された場合に、訓練データの出力部分が出力されるように、第２学習モデルＢＭのパラメータを調整する。
【0049】
本実施形態では、ユーザの年収を推定する第２学習モデルＢＭが作成されるので、訓練データの入力部分は、ユーザに関する何らかの情報である。例えば、第２サービスにおけるユーザのデモグラフィック情報等の特徴が訓練データの入力部分に相当する。訓練データの出力部分は、ユーザの年収である。訓練データの出力部分に相当する年収は、ユーザが第２サービスに登録した年収であってもよいし、ユーザが他のサービスに登録した年収であってもよい。訓練データの出力部分に相当する年収は、第２学習モデルＢＭの作成者が指定した年収であってもよい。第２装置Ｂは、連合学習の手法を利用して、ローカルで学習された第２学習モデルＢＭを更新してもよい。この処理は、第２実施形態で説明する。例えば、第２データ記憶部Ｂ１００は、上記説明したデータ以外にも、第１実施形態で説明する各種情報を記憶してよい。
【0050】
図６は、第１実施形態の計算システム１０で実行される処理の一例を示す図である。第１装置Ａが第１データ記憶部Ａ１００に記憶されたプログラムを実行し、第２装置Ｂが第２データ記憶部Ｂ１００に記憶されたプログラムを実行することによって、図６の処理が実行される。以降、図６を参照しつつ、第１装置Ａの第１取得部Ａ１０１、第１送信部Ａ１０２、第２公開積計算部Ａ１０３、及び第３送信部Ａ１０４と、第２装置Ｂの第２取得部Ｂ１０１、第１受信部Ｂ１０２、第１公開積計算部Ｂ１０３、第２送信部Ｂ１０４、第３受信部Ｂ１０５、及び第１秘密積計算部Ｂ１０６と、の詳細を説明する。
【0051】
［第１取得部］
第１取得部Ａ１０１は、第１データ記憶部Ａ１００に記憶された第１秘密情報ｙを取得する（Ｓ１００）。Ｓ１００の処理により、第１秘密情報ｙが読み出されて不揮発性メモリの記憶領域に展開される。第１秘密情報ｙが予め当該記憶領域に展開されている場合には、Ｓ１００の処理は実行されなくてもよい。第１取得部Ａ１０１は、第２装置Ｂに公開される第１公開情報Ｙと、第１装置Ａで秘密に管理される第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第１公開情報Ｙ及び第３秘密情報ｖを取得する（Ｓ１０１）。
第１取得部Ａ１０１は、第１データ記憶部Ａ１００に記憶された第１秘密情報ｙを取得する（Ｓ１００）。Ｓ１００の処理により、第１秘密情報ｙが読み出されて不揮発性メモリの記憶領域に展開される。第１秘密情報ｙが予め当該記憶領域に展開されている場合には、Ｓ１００の処理は実行されなくてもよい。第１取得部Ａ１０１は、第２装置Ｂに公開される第１公開情報Ｙと、第１装置Ａで秘密に管理される第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第１公開情報Ｙ及び第３秘密情報ｖを取得する（Ｓ１０１）。
【0052】
第１実施形態では、第１取得部Ａ１０１が、自身で第１公開情報Ｙ及び第３秘密情報ｖを計算することによって、第１公開情報Ｙ及び第３秘密情報ｖを取得する場合を例に挙げる。このため、第１公開情報Ｙ及び第３秘密情報ｖを取得することは、第１公開情報Ｙ及び第３秘密情報ｖを計算することと同じ意味である。第１取得部Ａ１０１は、自身で第１公開情報Ｙ及び第３秘密情報ｖを計算するのではなく、外部で計算された第１公開情報Ｙ及び第３秘密情報ｖを取得してもよい。この場合、第１装置Ａは、第１取得部Ａ１０１とは別に、第１公開情報Ｙ及び第３秘密情報ｖを計算する機能を有する。当該機能による計算方法は、下記に説明する方法と同様であってよい。
【0053】
図７は、第１公開情報Ｙ及び第３秘密情報ｖの計算方法の一例を示す図である。第１実施形態では、第１公開情報Ｙ及び第３秘密情報ｖの各々が行列形式である場合を例に挙げるが、第１公開情報Ｙ及び第３秘密情報ｖの各々は、積を計算可能な情報であればよく、行列形式に限られない。例えば、第１公開情報Ｙ及び第３秘密情報ｖの各々は、１つの数値、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。後述の第１部分Ｙ´及び第２部分ｙ´の各々も同様に、第１実施形態では、行列形式である場合を例に挙げるが、他の形式であってもよい。
【0054】
例えば、第１取得部Ａ１０１は、少なくとも１つの乱数に基づいて、第１公開情報Ｙ及び第３秘密情報ｖを取得する。第１実施形態では、第１公開情報Ｙを取得するための乱数と、第３秘密情報ｖを取得するための乱数と、が異なる場合を例に挙げるが、これらの乱数は、同じであってもよい。即ち、第１取得部Ａ１０１は、同じ乱数に基づいて、第１公開情報Ｙ及び第３秘密情報ｖの各々を取得してもよい。乱数を生成するためのアルゴリズムは、公知のアルゴリズムを利用可能である。例えば、第１取得部Ａ１０１は、線型合同法、乗算型合同法、Ｍ系列法、メルセンヌ・ツイスター法に基づいて、乱数を生成してもよい。第１取得部Ａ１０１は、自身で乱数を生成せずに、予め生成されて第１データ記憶部Ａ１００に記憶された乱数を取得してもよい。
【0055】
例えば、第１取得部Ａ１０１は、第１乱数に基づいて、第１公開情報Ｙの一部である第１部分Ｙ´を取得する。図７の例では、第１秘密情報ｙは、ｎ（ｎは自然数）×１の行列（列ベクトル）である。第１公開情報Ｙは、ｎ×ｋ（ｋは自然数）の行列である。第１部分Ｙ´は、ｎ×（ｋ－１）の行列である。即ち、第１部分Ｙ´は、第１公開情報Ｙよりも１列少ない。例えば、第１部分Ｙ´は、第１公開情報Ｙの１列目からｋ－１列目までの部分である。第１取得部Ａ１０１は、乱数生成アルゴリズムに基づいて、互いに異なるｎ×（ｋ－１）個の第１乱数を生成し、第１部分Ｙ´を構成する個々の要素（成分）として取得する。ｎ×（ｋ－１）個の数値の中に、偶然同じ第２乱数が存在してもよい。
【0056】
例えば、第１取得部Ａ１０１は、第２乱数に基づいて、第３秘密情報ｖ（図７の例では、ｖ´とｖｋ）を取得する。図７の例では、第３秘密情報ｖは、ｋ×１の行列（列ベクトル）である。第１取得部Ａ１０１は、乱数生成アルゴリズムに基づいて、互いに異なるｋ個の第２乱数を生成し、第３秘密情報ｖを構成する個々の要素（成分）として取得する。ｋ個の数値の中に、偶然同じ第２乱数が存在してもよい。第１取得部Ａ１０１は、第１部分Ｙ´と、第３秘密情報ｖと、に基づいて、第１公開情報Ｙの残りの部分である第２部分ｙ´を取得する。
【0057】
例えば、第１取得部Ａ１０１は、第１部分Ｙ´に第２部分ｙ´を結合した第１公開情報Ｙと、第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第２部分ｙ´を取得する。図７の例では、第１取得部Ａ１０１は、第１部分Ｙ´と第３秘密情報ｖの一部ｖ´（例えば、（ｋ－１）×１の行列）との積と、第３秘密情報ｖの残りの部分ｖｋ（例えば、スカラー値）と第２部分ｙ´との積が第１秘密情報ｙになるように、第２部分ｙ´を取得する。この計算は、逆行列を利用して実行されるようにしてもよい。このように、第１取得部Ａ１０１は、自由な乱数である第１部分Ｙ´を生成し、自由な乱数である上記一部ｖ´及び上記残りの部分ｖｋを生成し、図７における第２部分ｙ´を取得する。
【0058】
なお、第１取得部Ａ１０１は、第１乱数に基づかずに、第１公開情報Ｙを取得してもよい。例えば、第１取得部Ａ１０１は、第２乱数に基づいて生成された第３秘密情報ｖと、第１公開情報Ｙと、の積が第１秘密情報ｙになるように、第１公開情報Ｙを取得してもよい。この場合、第１乱数は利用されない。逆に、第１取得部Ａ１０１は、第２乱数に基づかずに、第３秘密情報ｖを取得してもよい。例えば、第１取得部Ａ１０１は、第１乱数に基づいて生成された第１公開情報Ｙと、第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第３秘密情報ｖを取得してもよい。この場合、第２乱数は利用されない。これらの場合には、第１取得部Ａ１０１は、第１部分Ｙ´及び第２部分ｙ´といった複数の部分を取得せずに、第１公開情報Ｙを取得することになる。
【0059】
例えば、第１取得部Ａ１０１は、乱数に基づかずに、第１公開情報Ｙ及び第３秘密情報ｖを取得してもよい。例えば、第１取得部Ａ１０１は、乱数に基づかずに生成された第３秘密情報ｖと、第１公開情報Ｙと、の積が第１秘密情報ｙになるように、第１公開情報Ｙを取得してもよい。この場合、第３秘密情報ｖは、計算システム１０の管理者又はその他の者が指定した情報であってもよいし、乱数以外のアリゴリズムを利用して生成された情報であってもよい。逆に、第１公開情報Ｙが乱数に基づかない情報であってもよいが、第１公開情報Ｙは、ネットワークＮ上に送信されるので、第１実施形態では、第１公開情報Ｙは、直接的又は間接的に乱数が利用された情報であるものとする。
【0060】
［第２取得部］
第２取得部Ｂ１０１は、第２データ記憶部Ｂ１００に記憶された第２秘密情報ｘを取得する（Ｓ１０２）。Ｓ１０２の処理により、第２秘密情報ｘが読み出されて不揮発性メモリの記憶領域に展開される。第２秘密情報ｘが予め当該記憶領域に展開されている場合には、Ｓ１０２の処理は実行されなくてもよい。第２取得部Ｂ１０１は、第１公開情報Ｙとの積が計算される第１計算情報Ｘと、第２装置Ｂで秘密に管理される第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第１計算情報Ｘ及び第４秘密情報ｕを取得する（Ｓ１０３）。
第２取得部Ｂ１０１は、第２データ記憶部Ｂ１００に記憶された第２秘密情報ｘを取得する（Ｓ１０２）。Ｓ１０２の処理により、第２秘密情報ｘが読み出されて不揮発性メモリの記憶領域に展開される。第２秘密情報ｘが予め当該記憶領域に展開されている場合には、Ｓ１０２の処理は実行されなくてもよい。第２取得部Ｂ１０１は、第１公開情報Ｙとの積が計算される第１計算情報Ｘと、第２装置Ｂで秘密に管理される第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第１計算情報Ｘ及び第４秘密情報ｕを取得する（Ｓ１０３）。
【0061】
第１実施形態では、第２取得部Ｂ１０１が、自身で第１計算情報Ｘ及び第４秘密情報ｕを計算することによって、第１計算情報Ｘ及び第４秘密情報ｕを取得する場合を例に挙げる。このため、第１計算情報Ｘ及び第４秘密情報ｕを取得することは、第１計算情報Ｘ及び第４秘密情報ｕを計算することと同じ意味である。第２取得部Ｂ１０１は、自身で第１計算情報Ｘ及び第４秘密情報ｕを計算するのではなく、外部で計算された第１計算情報Ｘ及び第４秘密情報ｕを取得してもよい。この場合、第２装置Ｂは、第２取得部Ｂ１０１とは別に、第１計算情報Ｘ及び第４秘密情報ｕを計算する機能を有する。当該機能による計算方法は、下記に説明する方法と同様であってよい。
【0062】
第１実施形態では、第１計算情報Ｘ及び第４秘密情報ｕの計算方法と、第１公開情報Ｙ及び第３秘密情報ｖの計算方法と、が同じ場合を例に挙げるが、これらの計算方法は、互いに異なってもよい。更に、第１実施形態では、第１計算情報Ｘ及び第４秘密情報ｕの各々が行列形式である場合を例に挙げるが、第１計算情報Ｘ及び第４秘密情報ｕの各々は、積を計算可能な情報であればよく、行列形式に限られない。例えば、第１計算情報Ｘ及び第４秘密情報ｕの各々は、１つの数値、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。後述の第３部分Ｘ´及び第４部分ｘ´の各々も同様に、第１実施形態では、行列形式である場合を例に挙げるが、他の形式であってもよい。
【0063】
例えば、第２取得部Ｂ１０１は、少なくとも１つの乱数に基づいて、第１計算情報Ｘ及び第４秘密情報ｕを取得する。第１実施形態では、第１計算情報Ｘを取得するための乱数と、第４秘密情報ｕを取得するための乱数と、が異なる場合を例に挙げるが、これらの乱数は、同じであってもよい。即ち、第２取得部Ｂ１０１は、同じ乱数に基づいて、第１計算情報Ｘ及び第４秘密情報ｕの各々を取得してもよい。乱数を生成するためのアルゴリズムは、公知のアルゴリズムを利用可能である。例えば、第２取得部Ｂ１０１は、線型合同法、乗算型合同法、Ｍ系列法、メルセンヌ・ツイスター法に基づいて、乱数を生成してもよい。第２取得部Ｂ１０１は、自身で乱数を生成せずに、予め生成されて第１データ記憶部Ａ１００に記憶された乱数を取得してもよい。
【0064】
例えば、第２取得部Ｂ１０１は、第３乱数に基づいて、第１計算情報Ｘの一部である第３部分Ｘ´を取得する。第２秘密情報ｘは、ｎ×１の行列（列ベクトル）である。例えば、第１計算情報Ｘは、ｎ×ｊ（ｊはｋよりも小さい自然数）の行列である。第３部分Ｘ´は、ｎ×（ｊ－１）の行列である。即ち、第３部分Ｘ´は、第１計算情報Ｘよりも１列少ない。例えば、第３部分Ｘ´は、第１計算情報Ｘの１列目からｊ－１列目までの部分である。第２取得部Ｂ１０１は、乱数生成アルゴリズムに基づいて、互いに異なるｎ×（ｊ－１）個の第３乱数を生成し、第３部分Ｘ´を構成する個々の要素（成分）として取得する。ｎ×（ｊ－１）個の数値の中に、偶然同じ第４乱数が存在してもよい。
【0065】
例えば、第２取得部Ｂ１０１は、第４乱数に基づいて、第４秘密情報ｕを取得する。図７の例では、第４秘密情報ｕは、ｊ×１の行列（列ベクトル）である。第２取得部Ｂ１０１は、乱数生成アルゴリズムに基づいて、互いに異なるｊ個の第４乱数を生成し、第４秘密情報ｕを構成する個々の要素（成分）として取得する。ｊ個の数値の中に、偶然同じ第４乱数が存在してもよい。第２取得部Ｂ１０１は、第３部分Ｘ´と、第４秘密情報ｕと、に基づいて、第１計算情報Ｘの残りの部分である第４部分ｘ´を取得する。
【0066】
例えば、第２取得部Ｂ１０１は、第３部分Ｘ´に第４部分ｘ´を結合した第１計算情報Ｘと、第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第４部分ｘ´を取得する。第２取得部Ｂ１０１は、第３部分Ｘ´と第４秘密情報ｕの一部ｕ´（例えば、（ｊ－１）×１の行列）との積と、第４秘密情報ｕの残りの部分ｕｊ（例えば、スカラー値）と第４部分ｘ´との積が第２秘密情報ｘになるように、第４部分ｘ´を取得する。この計算は、逆行列を利用して実行されるようにしてもよい。
【0067】
なお、第２取得部Ｂ１０１は、第３乱数に基づかずに、第１計算情報Ｘを取得してもよい。例えば、第２取得部Ｂ１０１は、第４乱数に基づいて生成された第４秘密情報ｕと、第１計算情報Ｘと、の積が第２秘密情報ｘになるように、第１計算情報Ｘを取得してもよい。この場合、第３乱数は利用されない。逆に、第２取得部Ｂ１０１は、第４乱数に基づかずに、第４秘密情報ｕを取得してもよい。例えば、第２取得部Ｂ１０１は、第３乱数に基づいて生成された第１計算情報Ｘと、第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第４秘密情報ｕを取得してもよい。この場合、第４乱数は利用されない。これらの場合には、第２取得部Ｂ１０１は、第３部分Ｘ´及び第４部分ｘ´といった複数の部分を取得せずに、第１計算情報Ｘを取得することになる。
【0068】
例えば、第２取得部Ｂ１０１は、乱数に基づかずに、第１計算情報Ｘ及び第４秘密情報ｕを取得してもよい。例えば、第２取得部Ｂ１０１は、乱数に基づかずに生成された第４秘密情報ｕと、第１計算情報Ｘと、の積が第２秘密情報ｘになるように、第１計算情報Ｘを取得してもよい。この場合、第４秘密情報ｕは、計算システム１０の管理者又はその他の者が指定した情報であってもよいし、乱数以外のアリゴリズムを利用して生成された情報であってもよい。逆に、第１計算情報Ｘが乱数に基づかない情報であってもよいが、第１計算情報Ｘは、ネットワークＮ上に送信されるので、第１実施形態では、第１計算情報Ｘは、直接的又は間接的に乱数が利用された情報であるものとする。
【0069】
［第１送信部］
第１装置Ａの第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを送信する（Ｓ１０４）。第１実施形態では、第１送信部Ａ１０２が、所定の暗号化アルゴリズムに基づいて第１公開情報Ｙを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを暗号化せずに平文で送信してもよい。
第１装置Ａの第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを送信する（Ｓ１０４）。第１実施形態では、第１送信部Ａ１０２が、所定の暗号化アルゴリズムに基づいて第１公開情報Ｙを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを暗号化せずに平文で送信してもよい。
【0070】
［第１受信部］
第２装置Ｂの第１受信部Ｂ１０２は、第１装置Ａから、第１公開情報Ｙを受信する（Ｓ１０５）。第１実施形態では、第１公開情報Ｙが暗号化されているので、第１受信部Ｂ１０２は、第１装置Ａから受信した第１公開情報Ｙを復号化する。第１公開情報Ｙが平文で送信される場合には、第１受信部Ｂ１０２は、復号化を行わない。
第２装置Ｂの第１受信部Ｂ１０２は、第１装置Ａから、第１公開情報Ｙを受信する（Ｓ１０５）。第１実施形態では、第１公開情報Ｙが暗号化されているので、第１受信部Ｂ１０２は、第１装置Ａから受信した第１公開情報Ｙを復号化する。第１公開情報Ｙが平文で送信される場合には、第１受信部Ｂ１０２は、復号化を行わない。
【0071】
［第１公開積計算部］
第２装置Ｂの第１公開積計算部Ｂ１０３は、第１計算情報Ｘと、第１公開情報Ｙと、の積である第１公開積ＸＴＹを計算する（Ｓ１０６）。Ｓ１０６では、第１公開積計算部Ｂ１０３は、行列の積を計算するための公知の計算方法に基づいて、第１計算情報Ｘと、第１公開情報Ｙと、の積を計算すればよい。第１公開積計算部Ｂ１０３は、第２秘密情報ｘの行数と、第１公開積ＸＴＹの行数と、が異なるように、第１公開積ＸＴＹを計算可能であってもよい。ある行列と他の行列との積が計算される場合には、これら２つの行列は、互いに積の計算が可能な行数と列数であるものとする。この点は、Ｓ１０６以外の処理における積の計算も同様である。
第２装置Ｂの第１公開積計算部Ｂ１０３は、第１計算情報Ｘと、第１公開情報Ｙと、の積である第１公開積ＸＴＹを計算する（Ｓ１０６）。Ｓ１０６では、第１公開積計算部Ｂ１０３は、行列の積を計算するための公知の計算方法に基づいて、第１計算情報Ｘと、第１公開情報Ｙと、の積を計算すればよい。第１公開積計算部Ｂ１０３は、第２秘密情報ｘの行数と、第１公開積ＸＴＹの行数と、が異なるように、第１公開積ＸＴＹを計算可能であってもよい。ある行列と他の行列との積が計算される場合には、これら２つの行列は、互いに積の計算が可能な行数と列数であるものとする。この点は、Ｓ１０６以外の処理における積の計算も同様である。
【0072】
［第２送信部］
第２装置Ｂの第２送信部Ｂ１０４は、第１装置Ａに対し、第１公開積ＸＴＹを送信する（Ｓ１０７）。第１実施形態では、第２送信部Ｂ１０４が、所定の暗号化アルゴリズムに基づいて第１公開積ＸＴＹを暗号化したうえで第１装置Ａに送信する場合を例に挙げるが、第２送信部Ｂ１０４は、第１装置Ａに対し、第１公開積ＸＴＹを暗号化せずに平文で送信してもよい。
第２装置Ｂの第２送信部Ｂ１０４は、第１装置Ａに対し、第１公開積ＸＴＹを送信する（Ｓ１０７）。第１実施形態では、第２送信部Ｂ１０４が、所定の暗号化アルゴリズムに基づいて第１公開積ＸＴＹを暗号化したうえで第１装置Ａに送信する場合を例に挙げるが、第２送信部Ｂ１０４は、第１装置Ａに対し、第１公開積ＸＴＹを暗号化せずに平文で送信してもよい。
【0073】
［第２受信部］
第１装置Ａの第２受信部Ａ１０５は、第２装置Ｂから、第１公開積ＸＴＹを受信する（Ｓ１０８）。第１実施形態では、第１公開積ＸＴＹが暗号化されているので、第２受信部Ａ１０５は、第２装置Ｂから受信した第１公開積ＸＴＹを復号化する。第１公開情報Ｙが平文で送信される場合には、第２受信部Ａ１０５は、復号化を行わない。
第１装置Ａの第２受信部Ａ１０５は、第２装置Ｂから、第１公開積ＸＴＹを受信する（Ｓ１０８）。第１実施形態では、第１公開積ＸＴＹが暗号化されているので、第２受信部Ａ１０５は、第２装置Ｂから受信した第１公開積ＸＴＹを復号化する。第１公開情報Ｙが平文で送信される場合には、第２受信部Ａ１０５は、復号化を行わない。
【0074】
［第２公開積計算部］
第２公開積計算部Ａ１０３は、第１公開積ＸＴＹと、第３秘密情報ｖと、の積である第２公開積（ＸＴＹ）・ｖを計算する（Ｓ１０９）。Ｓ１０９では、第２公開積計算部Ａ１０３は、行列の積を計算するための公知の計算方法に基づいて、第１公開積ＸＴＹと、第３秘密情報ｖと、の積を計算すればよい。
第２公開積計算部Ａ１０３は、第１公開積ＸＴＹと、第３秘密情報ｖと、の積である第２公開積（ＸＴＹ）・ｖを計算する（Ｓ１０９）。Ｓ１０９では、第２公開積計算部Ａ１０３は、行列の積を計算するための公知の計算方法に基づいて、第１公開積ＸＴＹと、第３秘密情報ｖと、の積を計算すればよい。
【0075】
［第３送信部］
第１装置Ａの第３送信部Ａ１０４は、第２装置Ｂに対し、第２公開積ＸＴＹｖを送信する（Ｓ１１０）。ＸＴＹｖは、（ＸＴＹ）・ｖと同じ意味であり、（ＸＴＹ）・ｖの計算結果を示す。第１実施形態では、第３送信部Ａ１０４が、所定の暗号化アルゴリズムに基づいて第１公開情報Ｙを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを暗号化せずに平文で送信してもよい。
第１装置Ａの第３送信部Ａ１０４は、第２装置Ｂに対し、第２公開積ＸＴＹｖを送信する（Ｓ１１０）。ＸＴＹｖは、（ＸＴＹ）・ｖと同じ意味であり、（ＸＴＹ）・ｖの計算結果を示す。第１実施形態では、第３送信部Ａ１０４が、所定の暗号化アルゴリズムに基づいて第１公開情報Ｙを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第１送信部Ａ１０２は、第２装置Ｂに対し、第１公開情報Ｙを暗号化せずに平文で送信してもよい。
【0076】
［第３受信部］
第３受信部Ｂ１０５は、第１装置Ａから、第２公開積ＸＴＹｖを受信する（Ｓ１１１）。第１実施形態では、第２公開積ＸＴＹｖが暗号化されているので、第３受信部Ｂ１０５は、第１装置Ａから受信した第２公開積ＸＴＹｖを復号化する。第２公開積ＸＴＹｖが平文で送信される場合には、第３受信部Ｂ１０５は、復号化を行わない。
第３受信部Ｂ１０５は、第１装置Ａから、第２公開積ＸＴＹｖを受信する（Ｓ１１１）。第１実施形態では、第２公開積ＸＴＹｖが暗号化されているので、第３受信部Ｂ１０５は、第１装置Ａから受信した第２公開積ＸＴＹｖを復号化する。第２公開積ＸＴＹｖが平文で送信される場合には、第３受信部Ｂ１０５は、復号化を行わない。
【0077】
［第１秘密積計算部］
計算システム１０では、第１装置Ａの第１公開積ＸＴＹ、第３秘密情報ｖ、及び第４秘密情報ｕに基づいて、第１秘密情報ｙ及び第２秘密情報ｘが秘密に管理された状態で、第１秘密情報ｙと、第２秘密情報ｘと、の積である秘密積ｘＴｙが計算される。第１実施形態では、第２装置Ｂが秘密積ｘＴｙを計算する機能を有する場合を説明する。
計算システム１０では、第１装置Ａの第１公開積ＸＴＹ、第３秘密情報ｖ、及び第４秘密情報ｕに基づいて、第１秘密情報ｙ及び第２秘密情報ｘが秘密に管理された状態で、第１秘密情報ｙと、第２秘密情報ｘと、の積である秘密積ｘＴｙが計算される。第１実施形態では、第２装置Ｂが秘密積ｘＴｙを計算する機能を有する場合を説明する。
【0078】
第１秘密積計算部Ｂ１０６は、第４秘密情報ｕと、第２公開積ＸＴＹｖと、に基づいて、秘密積ｘＴｙ≡ｕＴ・（ＸＴＹｖ）を計算する（Ｓ１１２）。第１実施形態では、秘密積ｘＴｙが、第１秘密情報ｙと、第２秘密情報ｘと、の内積である場合を例に挙げるが、第１秘密積計算部Ｂ１０６は、内積ではなく、第１秘密情報ｙと、第２秘密情報ｘと、の積を計算してもよい。Ｓ１１２では、第１秘密積計算部Ｂ１０６は、行列同士の内積を計算するための公知の計算方法に基づいて、第４秘密情報ｕと、第２公開積ＸＴＹｖと、の内積を計算すればよい。Ｓ１１２における数式の右辺は、互いの積が第１秘密情報ｙになる第１公開情報Ｙ及び第３秘密情報ｖと、互いの積が第２秘密情報ｘになる第４秘密情報ｕ及び第１計算情報Ｘと、の積に相当するので、第２装置Ｂは、第１秘密情報ｙと、第２秘密情報ｘと、の内積と同じ値を計算できる。
【0079】
例えば、計算システム１０では、秘密積ｘＴｙに基づいて、連合学習における学習モデルＭの学習が実行される。例えば、学習モデルＭは、複数の他の学習モデルの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルであってもよい。第１実施形態では、第２装置Ｂは、秘密積ｘＴｙに基づいて、第２学習モデルＢＭの学習を実行する。例えば、第２装置Ｂは、図２に示す計算式に基づいて、第２学習モデルＢＭの学習を実行する。
【0080】
［４．第１実施形態のまとめ］
第１実施形態の第１装置Ａは、第２装置Ｂに公開される第１公開情報Ｙと、第１装置Ａで秘密に管理される第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第１公開情報Ｙ及び第３秘密情報ｖを取得する。第１装置Ａは、第２装置Ｂに対し、第１公開情報Ｙを送信する。第２装置Ｂは、第１装置Ａから、第１公開情報Ｙを受信する。第２装置Ｂは、第１公開情報Ｙとの積が計算される第１計算情報Ｘと、第２装置Ｂで秘密に管理される第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第１計算情報Ｘ及び第４秘密情報ｕを取得する。第２装置Ｂは、第１計算情報Ｘと、第１公開情報Ｙと、の積である第１公開積ＸＴＹを計算する。第２装置Ｂは、第１装置Ａに対し、第１公開積ＸＴＹを送信する。第１装置Ａは、第２装置Ｂから、第１公開積ＸＴＹを受信する。計算システム１０では、第１公開積ＸＴＹ、第３秘密情報ｖ、及び第４秘密情報ｕに基づいて、第１秘密情報ｙ及び第２秘密情報ｘが秘密に管理された状態で、第１秘密情報ｙと、第２秘密情報ｘと、の積である秘密積ｘＴｙが計算される。これにより、第１装置Ａが秘密に管理する第１秘密情報ｙと、第２装置Ｂが秘密に管理する第２秘密情報ｘと、が直接的に送信されるわけではないので、秘密積ｘＴｙを計算する場合のセキュリティが高まる。第三者は、第１装置Ａ及び第２装置Ｂの間でやりとりされる情報を取得しても、第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
第１実施形態の第１装置Ａは、第２装置Ｂに公開される第１公開情報Ｙと、第１装置Ａで秘密に管理される第３秘密情報ｖと、の積が第１秘密情報ｙになるように、第１公開情報Ｙ及び第３秘密情報ｖを取得する。第１装置Ａは、第２装置Ｂに対し、第１公開情報Ｙを送信する。第２装置Ｂは、第１装置Ａから、第１公開情報Ｙを受信する。第２装置Ｂは、第１公開情報Ｙとの積が計算される第１計算情報Ｘと、第２装置Ｂで秘密に管理される第４秘密情報ｕと、の積が第２秘密情報ｘになるように、第１計算情報Ｘ及び第４秘密情報ｕを取得する。第２装置Ｂは、第１計算情報Ｘと、第１公開情報Ｙと、の積である第１公開積ＸＴＹを計算する。第２装置Ｂは、第１装置Ａに対し、第１公開積ＸＴＹを送信する。第１装置Ａは、第２装置Ｂから、第１公開積ＸＴＹを受信する。計算システム１０では、第１公開積ＸＴＹ、第３秘密情報ｖ、及び第４秘密情報ｕに基づいて、第１秘密情報ｙ及び第２秘密情報ｘが秘密に管理された状態で、第１秘密情報ｙと、第２秘密情報ｘと、の積である秘密積ｘＴｙが計算される。これにより、第１装置Ａが秘密に管理する第１秘密情報ｙと、第２装置Ｂが秘密に管理する第２秘密情報ｘと、が直接的に送信されるわけではないので、秘密積ｘＴｙを計算する場合のセキュリティが高まる。第三者は、第１装置Ａ及び第２装置Ｂの間でやりとりされる情報を取得しても、第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
【0081】
また、第１装置Ａは、第１公開積ＸＴＹと、第３秘密情報ｖと、の積である第２公開積（ＸＴＹ）・ｖを計算する。第１装置Ａは、第２装置Ｂに対し、第２公開積ＸＴＹｖを送信する。第２装置Ｂは、第１装置Ａから、第２公開積ＸＴＹｖを受信する。第２装置Ｂは、第４秘密情報ｕと、第２公開積ＸＴＹｖと、に基づいて、秘密積ｘＴｙ≡ｕＴ・（ＸＴＹｖ）を計算する。これにより、第２装置Ｂが秘密積ｘＴｙを計算する場合のセキュリティが高まる。仮に第三者が第１公開積ＸＴＹ及び第２公開積ＸＴＹｖを取得したとしても、それだけでは第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
【0082】
また、計算システム１０は、少なくとも１つの乱数に基づいて、第１公開情報Ｙ及び第３秘密情報ｖを取得する。これにより、第三者は、第１公開情報Ｙ及び第３秘密情報ｖを取得しても、これらが乱数に基づいた情報であり第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
【0083】
また、第１装置Ａは、第１乱数に基づいて、第１公開情報Ｙの一部である第１部分Ｙ´を取得する。第１装置Ａは、第２乱数に基づいて、第３秘密情報ｖを取得する。第１装置Ａは、第１部分Ｙ´と、第３秘密情報ｖと、に基づいて、第１公開情報Ｙの残りの部分である第２部分ｙ´を取得する。これにより、第１公開情報Ｙ及び第３秘密情報ｖの両方に乱数の要素を含ませることができるので、セキュリティがより高まる。
【0084】
また、第２装置Ｂは、少なくとも１つの乱数に基づいて、第１計算情報Ｘ及び第４秘密情報ｕを取得する。これにより、第三者は、第１計算情報Ｘ及び第４秘密情報ｕを取得しても、これらが乱数に基づいた情報であり第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
【0085】
また、第２装置Ｂは、第３乱数に基づいて、第１計算情報Ｘの一部である第３部分Ｘ´を取得する。第２装置Ｂは、第４乱数に基づいて、第４秘密情報ｕを取得する。第２装置Ｂは、第３部分Ｘ´と、第４秘密情報ｕと、に基づいて、第１計算情報Ｘの残りの部分である第４部分ｘ´を取得する。これにより、第１計算情報Ｘ及び第４秘密情報ｕの両方に乱数の要素を含ませることができるので、セキュリティがより高まる。
【0086】
また、第１秘密情報ｙ及び第２秘密情報ｘの各々は、ベクトル形式である。第１公開情報Ｙ、第３秘密情報ｖ、第１計算情報Ｘ、及び第４秘密情報ｕの各々は、行列形式である。秘密積ｘＴｙは、内積である。これにより、計算システム１０は、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できる。
【0087】
また、第２装置Ｂは、第１装置Ａよりも高いセキュリティが要求される。第２装置Ｂは、第２秘密情報ｘの行数と、第１公開積ＸＴＹの行数と、が異なるように、第１公開積ＸＴＹを計算可能である。これにより、計算システム１０は、実際の行数と変えたうえで情報を送信又は受信するといったことが第２装置Ｂに要求されたとしても対応できるので、第２装置Ｂに要求されるセキュリティの基準を満たすことができる。
【0088】
また、第１秘密情報ｙ及び第２秘密情報ｘの各々は、ベクトル形式である。第１公開情報Ｙ、第３秘密情報ｖ、第１計算情報Ｘ、第４秘密情報ｕ、第１部分Ｙ´、及び第２部分ｙ´の各々は、行列形式である。秘密積ｘＴｙは、内積である。これにより、計算システム１０は、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できる。
【0089】
また、第１秘密情報ｙ及び第２秘密情報ｘの各々は、ベクトル形式であり、第１公開情報Ｙ、第３秘密情報ｖ、第１計算情報Ｘ、第４秘密情報ｕ、第３部分Ｘ´、及び第４部分ｘ´の各々は、行列形式である。秘密積ｘＴｙは、内積である。これにより、計算システム１０は、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できる。
【0090】
また、計算システム１０では、第１装置Ａ、第２装置Ｂ、及び他の装置を含む複数の装置の各々が通信可能である。第２装置Ｂは、複数の装置の中で相対的に高いセキュリティが要求される。計算システム１０は、第２装置Ｂに相対的に高いセキュリティが要求されたとしても、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できるので、第２装置Ｂに要求されたセキュリティの基準を満たすことができる。
【0091】
また、計算システム１０では、秘密積ｘＴｙに基づいて、連合学習における学習モデルＭの学習が実行される。これにより、連合学習における学習時のセキュリティが高まる。
【0092】
また、第１装置Ａは、連合学習における第１学習モデルＡＭの学習過程において、第１秘密情報ｙを計算する。第２装置Ｂは、連合学習における第２学習モデルＢＭの学習過程において、第２秘密情報ｘを計算する。これにより、連合学習における学習時のセキュリティが高まる。
【0093】
また、学習モデルＭは、複数の他の学習モデルＭの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルである。これにより、スタッキング学習における学習時のセキュリティが高まる。
【0094】
また、第１秘密情報ｙは、第１サービスにおける複数のユーザの各々に関する情報である。第２秘密情報ｘは、第２サービスにおける複数のユーザの各々に関する情報である。計算システム１０は、ユーザに関する情報を秘密に管理したまま積を計算できるので、ユーザに関する情報が漏洩するリスクを低減できる。
【0095】
また、第１サービスにおける複数のユーザの各々のユーザ識別情報と、第２サービスにおける複数のユーザの各々のユーザ識別情報と、は同じである。これにより、第１装置Ａ及び第２装置Ｂの間で送信される情報が、どのユーザに関する情報なのかを特定しやすくなる。
【0096】
［５．第２実施形態における機能］
次に、計算システム１０の別実施形態である第２実施形態を説明する。第２実施形態の計算システム１０は、第１装置Ａが内積ｘＴｙを計算する。なお、第１実施形態と同様の点については、説明を省略する。
次に、計算システム１０の別実施形態である第２実施形態を説明する。第２実施形態の計算システム１０は、第１装置Ａが内積ｘＴｙを計算する。なお、第１実施形態と同様の点については、説明を省略する。
【0097】
図８は、第２実施形態の計算システム１０で実現される機能の一例を示す図である。例えば、第１装置Ａは、第３取得部Ａ１０６、第３公開積計算部Ａ１０７、第４送信部Ａ１０８、第５受信部Ａ１０９、及び第２秘密積計算部Ａ１１０を含む。第３取得部Ａ１０６、第３公開積計算部Ａ１０７、第４送信部Ａ１０８、第５受信部Ａ１０９、及び第２秘密積計算部Ａ１１０の各々は、制御部Ａ１１により実現される。第２装置Ｂは、第４受信部Ｂ１０７、第４公開積計算部Ｂ１０８、及び第５送信部Ｂ１０９を含む。第４受信部Ｂ１０７、第４公開積計算部Ｂ１０８、及び第５送信部Ｂ１０９の各々は、制御部Ｂ１１により実現される。
【0098】
図９は、第２実施形態の計算システム１０で実行される処理の一例を示す図である。Ｓ２００，Ｓ２０１，Ｓ２０３，Ｓ２０４の処理は、それぞれＳ１００～Ｓ１０３の処理と同様である。
【0099】
［第３取得部］
第１装置Ａの第３取得部Ａ１０６は、第１装置Ａで秘密に管理される第５秘密情報Ｖ及び第６秘密情報ｗの積が第３秘密情報ｖになるように、第５秘密情報Ｖ及び第６秘密情報ｗを取得する（Ｓ２０２）。例えば、第３取得部Ａ１０６は、第１取得部Ａ１０１と同様の方法で、少なくとも１つの乱数に基づいて、第５秘密情報Ｖ及び第６秘密情報ｗを取得してもよい。この場合の計算方法は、第１取得部Ａ１０１の処理で説明した通りである。
第１装置Ａの第３取得部Ａ１０６は、第１装置Ａで秘密に管理される第５秘密情報Ｖ及び第６秘密情報ｗの積が第３秘密情報ｖになるように、第５秘密情報Ｖ及び第６秘密情報ｗを取得する（Ｓ２０２）。例えば、第３取得部Ａ１０６は、第１取得部Ａ１０１と同様の方法で、少なくとも１つの乱数に基づいて、第５秘密情報Ｖ及び第６秘密情報ｗを取得してもよい。この場合の計算方法は、第１取得部Ａ１０１の処理で説明した通りである。
【0100】
第２実施形態では、第３取得部Ａ１０６が、自身で第５秘密情報Ｖ及び第６秘密情報ｗを計算することによって、第５秘密情報Ｖ及び第６秘密情報ｗを取得する場合を例に挙げる。このため、第５秘密情報Ｖ及び第６秘密情報ｗを取得することは、第５秘密情報Ｖ及び第６秘密情報ｗを計算することと同じ意味である。第３取得部Ａ１０６は、自身で第５秘密情報Ｖ及び第６秘密情報ｗを計算するのではなく、外部で計算された第５秘密情報Ｖ及び第６秘密情報ｗを取得してもよい。この場合、第１装置Ａは、第３取得部Ａ１０６とは別に、第５秘密情報Ｖ及び第６秘密情報ｗを計算する機能を有する。当該機能による計算方法は、下記に説明する方法と同様であってよい。
【0101】
第２実施形態では、第５秘密情報Ｖ及び第６秘密情報ｗの各々が行列形式である場合を例に挙げるが、第５秘密情報Ｖ及び第６秘密情報ｗの各々は、積を計算可能な情報であればよく、行列形式に限られない。例えば、第５秘密情報Ｖ及び第６秘密情報ｗの各々は、１つの数値、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。第３取得部Ａ１０６が第１取得部Ａ１０１と同様の方法で第５秘密情報Ｖ及び第６秘密情報ｗを取得する場合には、第１実施形態で説明した第１部分Ｙ´及び第２部分ｙ´の各々に相当する部分が行列形式である場合を例に挙げるが、他の形式であってもよい。なお、第３取得部Ａ１０６は、乱数に基づかずに、第５秘密情報Ｖ及び第６秘密情報ｗを取得してもよい。この場合の第５秘密情報Ｖ及び第６秘密情報ｗの計算方法は、乱数に基づかない第１公開情報Ｙ及び第３秘密情報ｖの計算方法と同様であってよい。
【0102】
［第３公開積計算部］
続くＳ２０５～Ｓ２０９の処理は、それぞれＳ１０４～Ｓ１０８の処理と同様である。第１装置Ａの第３公開積計算部Ａ１０７は、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積である第３公開積（ＸＴＹ）・Ｖを計算する（Ｓ２１０）。Ｓ２１０では、第３公開積計算部Ａ１０７は、行列の積を計算するための公知の計算方法に基づいて、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積を計算すればよい。
続くＳ２０５～Ｓ２０９の処理は、それぞれＳ１０４～Ｓ１０８の処理と同様である。第１装置Ａの第３公開積計算部Ａ１０７は、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積である第３公開積（ＸＴＹ）・Ｖを計算する（Ｓ２１０）。Ｓ２１０では、第３公開積計算部Ａ１０７は、行列の積を計算するための公知の計算方法に基づいて、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積を計算すればよい。
【0103】
［第４送信部］
第１装置Ａの第４送信部Ａ１０８は、第２装置Ｂに対し、第３公開積ＸＴＹＶを送信する（Ｓ２１１）。ＸＴＹＶは、（ＸＴＹ）・Ｖと同じ意味であり、（ＸＴＹ）・Ｖの計算結果を示す。第２実施形態では、第４送信部Ａ１０８が、所定の暗号化アルゴリズムに基づいて第３公開積ＸＴＹＶを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第４送信部Ａ１０８は、第２装置Ｂに対し、第３公開積ＸＴＹＶを暗号化せずに平文で送信してもよい。
第１装置Ａの第４送信部Ａ１０８は、第２装置Ｂに対し、第３公開積ＸＴＹＶを送信する（Ｓ２１１）。ＸＴＹＶは、（ＸＴＹ）・Ｖと同じ意味であり、（ＸＴＹ）・Ｖの計算結果を示す。第２実施形態では、第４送信部Ａ１０８が、所定の暗号化アルゴリズムに基づいて第３公開積ＸＴＹＶを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第４送信部Ａ１０８は、第２装置Ｂに対し、第３公開積ＸＴＹＶを暗号化せずに平文で送信してもよい。
【0104】
［第４受信部］
第２装置Ｂの第４受信部Ｂ１０７は、第１装置Ａから、第３公開積ＸＴＹＶを受信する（Ｓ２１２）。第２実施形態では、第３公開積ＸＴＹＶが暗号化されているので、第４受信部Ｂ１０７は、第１装置Ａから受信した第３公開積ＸＴＹＶを復号化する。第３公開積ＸＴＹＶが平文で送信される場合には、第４受信部Ｂ１０７は、復号化を行わない。
第２装置Ｂの第４受信部Ｂ１０７は、第１装置Ａから、第３公開積ＸＴＹＶを受信する（Ｓ２１２）。第２実施形態では、第３公開積ＸＴＹＶが暗号化されているので、第４受信部Ｂ１０７は、第１装置Ａから受信した第３公開積ＸＴＹＶを復号化する。第３公開積ＸＴＹＶが平文で送信される場合には、第４受信部Ｂ１０７は、復号化を行わない。
【0105】
［第４公開積計算部］
第４公開積計算部Ｂ１０８は、第４秘密情報ｕと、第３公開積ＸＴＹＶと、に基づいて、第４公開積ｕＴ・（ＸＴＹＶ）を計算する（Ｓ２１３）。Ｓ２１３では、第４公開積計算部Ｂ１０８は、行列の積を計算するための公知の計算方法に基づいて、第４秘密情報ｕと、第３公開積ＸＴＹＶと、の積を計算すればよい。
第４公開積計算部Ｂ１０８は、第４秘密情報ｕと、第３公開積ＸＴＹＶと、に基づいて、第４公開積ｕＴ・（ＸＴＹＶ）を計算する（Ｓ２１３）。Ｓ２１３では、第４公開積計算部Ｂ１０８は、行列の積を計算するための公知の計算方法に基づいて、第４秘密情報ｕと、第３公開積ＸＴＹＶと、の積を計算すればよい。
【0106】
［第５送信部］
第２装置Ｂの第５送信部Ｂ１０９は、第１装置Ａに対し、第４公開積ｕＴＸＴＹＶを送信する（Ｓ２１４）。ｕＴＸＴＹＶは、ｕＴ・（ＸＴＹＶ）と同じ意味であり、ｕＴ・（ＸＴＹＶ）の計算結果を示す。第２実施形態では、第５送信部Ｂ１０９が、所定の暗号化アルゴリズムに基づいて第４公開積ｕＴＸＴＹＶを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第５送信部Ｂ１０９は、第２装置Ｂに対し、第４公開積ｕＴＸＴＹＶを暗号化せずに平文で送信してもよい。
第２装置Ｂの第５送信部Ｂ１０９は、第１装置Ａに対し、第４公開積ｕＴＸＴＹＶを送信する（Ｓ２１４）。ｕＴＸＴＹＶは、ｕＴ・（ＸＴＹＶ）と同じ意味であり、ｕＴ・（ＸＴＹＶ）の計算結果を示す。第２実施形態では、第５送信部Ｂ１０９が、所定の暗号化アルゴリズムに基づいて第４公開積ｕＴＸＴＹＶを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第５送信部Ｂ１０９は、第２装置Ｂに対し、第４公開積ｕＴＸＴＹＶを暗号化せずに平文で送信してもよい。
【0107】
［第５受信部］
第１装置Ａの第５受信部Ａ１０９は、第２装置Ｂから、第４公開積ｕＴＸＴＹＶを受信する（Ｓ２１５）。第２実施形態では、第４公開積ｕＴＸＴＹＶが暗号化されているので、第５受信部Ａ１０９は、第１装置Ａから受信した第４公開積ｕＴＸＴＹＶを復号化する。第４公開積ｕＴＸＴＹＶが平文で送信される場合には、第５受信部Ａ１０９は、復号化を行わない。
第１装置Ａの第５受信部Ａ１０９は、第２装置Ｂから、第４公開積ｕＴＸＴＹＶを受信する（Ｓ２１５）。第２実施形態では、第４公開積ｕＴＸＴＹＶが暗号化されているので、第５受信部Ａ１０９は、第１装置Ａから受信した第４公開積ｕＴＸＴＹＶを復号化する。第４公開積ｕＴＸＴＹＶが平文で送信される場合には、第５受信部Ａ１０９は、復号化を行わない。
【0108】
［第２秘密積計算部］
第１装置Ａの第２秘密積計算部Ａ１１０は、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、に基づいて、秘密積ｘＴｙ≡（ｕＴＸＴＹＶ）・ｗを計算する（Ｓ２１６）。第２実施形態では、秘密積ｘＴｙが、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の内積である場合を例に挙げるが、第２秘密積計算部Ａ１１０は、内積ではなく、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の積を計算してもよい。Ｓ２１６では、第２秘密積計算部Ａ１１０は、行列同士の内積を計算するための公知の計算方法に基づいて、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の内積を計算すればよい。Ｓ２１６における数式の右辺は、互いの積が第１秘密情報ｙになる第１公開情報Ｙ、第５秘密情報Ｖ、及び第６秘密情報ｗと、互いの積が第２秘密情報ｘになる第４秘密情報ｕ及び第１計算情報Ｘと、の積に相当するので、第１装置Ａは、第１秘密情報ｙと、第２秘密情報ｘと、の内積と同じ値を計算できる。
第１装置Ａの第２秘密積計算部Ａ１１０は、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、に基づいて、秘密積ｘＴｙ≡（ｕＴＸＴＹＶ）・ｗを計算する（Ｓ２１６）。第２実施形態では、秘密積ｘＴｙが、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の内積である場合を例に挙げるが、第２秘密積計算部Ａ１１０は、内積ではなく、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の積を計算してもよい。Ｓ２１６では、第２秘密積計算部Ａ１１０は、行列同士の内積を計算するための公知の計算方法に基づいて、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、の内積を計算すればよい。Ｓ２１６における数式の右辺は、互いの積が第１秘密情報ｙになる第１公開情報Ｙ、第５秘密情報Ｖ、及び第６秘密情報ｗと、互いの積が第２秘密情報ｘになる第４秘密情報ｕ及び第１計算情報Ｘと、の積に相当するので、第１装置Ａは、第１秘密情報ｙと、第２秘密情報ｘと、の内積と同じ値を計算できる。
【0109】
［６．第２実施形態のまとめ］
第２実施形態の第１装置Ａは、第１装置Ａで秘密に管理される第５秘密情報Ｖ及び第６秘密情報ｗの積が第３秘密情報ｖになるように、第５秘密情報Ｖ及び第６秘密情報ｗを取得する。第１装置Ａは、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積である第３公開積（ＸＴＹ）・Ｖを計算する。第１装置Ａは、第２装置Ｂに対し、第３公開積ＸＴＹＶを送信する。第２装置Ｂは、第１装置Ａから、第３公開積ＸＴＹＶを受信する。第２装置Ｂは、第４秘密情報ｕと、第３公開積ＸＴＹＶと、に基づいて、第４公開積ｕＴ・（ＸＴＹＶ）を計算する。第２装置Ｂは、第１装置Ａに対し、第４公開積ｕＴＸＴＹＶを送信する。第１装置Ａは、第２装置Ｂから、第４公開積ｕＴＸＴＹＶを受信する。第１装置Ａは、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、に基づいて、秘密積ｘＴｙ≡（ｕＴＸＴＹＶ）・ｗを計算する。これにより、第１装置Ａが秘密積ｘＴｙを計算する場合のセキュリティが高まる。仮に第三者が第１公開積ＸＴＹ、第３公開積ＸＴＹＶ、及び第４公開積ｕＴＸＴＹＶを取得したとしても、それだけでは第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
第２実施形態の第１装置Ａは、第１装置Ａで秘密に管理される第５秘密情報Ｖ及び第６秘密情報ｗの積が第３秘密情報ｖになるように、第５秘密情報Ｖ及び第６秘密情報ｗを取得する。第１装置Ａは、第１公開積ＸＴＹと、第５秘密情報Ｖと、の積である第３公開積（ＸＴＹ）・Ｖを計算する。第１装置Ａは、第２装置Ｂに対し、第３公開積ＸＴＹＶを送信する。第２装置Ｂは、第１装置Ａから、第３公開積ＸＴＹＶを受信する。第２装置Ｂは、第４秘密情報ｕと、第３公開積ＸＴＹＶと、に基づいて、第４公開積ｕＴ・（ＸＴＹＶ）を計算する。第２装置Ｂは、第１装置Ａに対し、第４公開積ｕＴＸＴＹＶを送信する。第１装置Ａは、第２装置Ｂから、第４公開積ｕＴＸＴＹＶを受信する。第１装置Ａは、第４公開積ｕＴＸＴＹＶと、第６秘密情報ｗと、に基づいて、秘密積ｘＴｙ≡（ｕＴＸＴＹＶ）・ｗを計算する。これにより、第１装置Ａが秘密積ｘＴｙを計算する場合のセキュリティが高まる。仮に第三者が第１公開積ＸＴＹ、第３公開積ＸＴＹＶ、及び第４公開積ｕＴＸＴＹＶを取得したとしても、それだけでは第１秘密情報ｙ及び第２秘密情報ｘを特定できないので、第１秘密情報ｙ及び第２秘密情報ｘが第三者に漏洩するリスクを低減できる。
【0110】
また、第１秘密情報ｙ及び第２秘密情報ｘの各々は、ベクトル形式である。第１公開情報Ｙ、第３秘密情報ｖ、第１計算情報Ｘ、第４秘密情報ｕ、第５秘密情報Ｖ、及び第６秘密情報ｗの各々は、行列形式である。秘密積ｘＴｙは、内積である。これにより、計算システム１０は、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できる。
【0111】
［７．変形例］
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。例えば、計算システム１は、第１実施形態で説明した機能と、第２実施形態で説明した機能と、の両方を有していてもよい。計算システム１は、連合学習以外の他の場面にも適用可能である。計算システム１は、何らかの目的で複数の秘密情報同士の積が計算される場面に適用可能である。
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。例えば、計算システム１は、第１実施形態で説明した機能と、第２実施形態で説明した機能と、の両方を有していてもよい。計算システム１は、連合学習以外の他の場面にも適用可能である。計算システム１は、何らかの目的で複数の秘密情報同士の積が計算される場面に適用可能である。
【0112】
例えば、第１装置Ａ又は第２装置Ｂで実現されるものとして説明した機能は、計算システム１０における少なくとも１つのコンピュータにより実現されるようにすればよく、複数のコンピュータで機能が分担されてもよい。この場合、複数のコンピュータの各々が、他のコンピュータに対し、自身の処理結果を送信することによって、機能の分担が実現されるようにすればよい。
【0113】
［８．付記］
例えば、計算システムは、下記のような構成も可能である。
（１）
第１秘密情報を秘密に管理する第１装置と、第２秘密情報を秘密に管理する第２装置と、を含み、
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得する第１取得部と、
前記第２装置に対し、前記第１公開情報を送信する第１送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信する第１受信部と、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得する第２取得部と、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、
前記第１装置に対し、前記第１公開積を送信する第２送信部と、
を含み、
前記第１装置は、前記第２装置から、前記第１公開積を受信する第２受信部を更に含み、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
（２）
前記第１装置は、
前記第１公開積と、前記第３秘密情報と、の積である第２公開積を計算する第２公開積計算部と、
前記第２装置に対し、前記第２公開積を送信する第３送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開積を受信する第３受信部と、
前記第４秘密情報と、前記第２公開積と、に基づいて、前記秘密積を計算する第１秘密積計算部と、
を更に含む（１）に記載の計算システム。
（３）
前記第１装置は、
前記第１装置で秘密に管理される第５秘密情報及び第６秘密情報の積が前記第３秘密情報になるように、前記第５秘密情報及び前記第６秘密情報を取得する第３取得部と、
前記第１公開積と、前記第５秘密情報と、の積である第３公開積を計算する第３公開積計算部と、
前記第２装置に対し、前記第３公開積を送信する第４送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第３公開積を受信する第４受信部と、
前記第４秘密情報と、前記第３公開積と、に基づいて、第４公開積を計算する第４公開積計算部と、
前記第１装置に対し、前記第４公開積を送信する第５送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第４公開積を受信する第５受信部と、
前記第４公開積と、前記第６秘密情報と、に基づいて、前記秘密積を計算する第２秘密積計算部と、
を更に含む（１）又は（２）に記載の計算システム。
（４）
前記第１取得部は、少なくとも１つの乱数に基づいて、前記第１公開情報及び前記第３秘密情報を取得する、
（１）～（３）の何れかに記載の計算システム。
（５）
前記第１取得部は、
第１乱数に基づいて、前記第１公開情報の一部である第１部分を取得し、
第２乱数に基づいて、前記第３秘密情報を取得し、
前記第１部分と、前記第３秘密情報と、に基づいて、前記第１公開情報の残りの部分である第２部分を取得する、
（４）に記載の計算システム。
（６）
前記第２取得部は、少なくとも１つの乱数に基づいて、前記第１計算情報及び前記第４秘密情報を取得する、
（１）～（５）の何れかに記載の計算システム。
（７）
前記第２取得部は、
第３乱数に基づいて、前記第１計算情報の一部である第３部分を取得し、
第４乱数に基づいて、前記第４秘密情報を取得し、
前記第３部分と、前記第４秘密情報と、に基づいて、前記第１計算情報の残りの部分である第４部分を取得する、
（６）に記載の計算システム。
（８）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、及び前記第４秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
（１）～（７）の何れかに記載の計算システム。
（９）
前記第２装置は、前記第１装置よりも高いセキュリティが要求され、
前記第１公開積計算部は、前記第２秘密情報の行数と、前記第１公開積の行数と、が異なるように、前記第１公開積を計算可能である、
（８）に記載の計算システム。
（１０）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第５秘密情報、及び前記第６秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
（３）に記載の計算システム。
（１１）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第１部分、及び前記第２部分の各々は、行列形式であり、
前記秘密積は、内積である、
（５）に記載の計算システム。
（１２）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第３部分、及び前記第４部分の各々は、行列形式であり、
前記秘密積は、内積である、
（７）に記載の計算システム。
（１３）
前記計算システムでは、前記第１装置、前記第２装置、及び他の装置を含む複数の装置の各々が通信可能であり、
前記第２装置は、前記複数の装置の中で相対的に高いセキュリティが要求される、
（１）～（１２）の何れかに記載の計算システム。
（１４）
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
（１）～（１３）の何れかに記載の計算システム。
（１５）
前記第１装置は、前記連合学習における第１学習モデルの学習過程において、前記第１秘密情報を計算し、
前記第２装置は、前記連合学習における第２学習モデルの学習過程において、前記第２秘密情報を計算する、
（１４）に記載の計算システム。
（１６）
前記学習モデルは、複数の他の学習モデルの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルである、
（１４）又は（１５）に記載の計算システム。
（１７）
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
（１）～（１６）の何れかに記載の計算システム。
（１８）
前記第１サービスにおける前記複数のユーザの各々のユーザ識別情報と、前記第２サービスにおける前記複数のユーザの各々のユーザ識別情報と、は同じである、
（１７）に記載の計算システム。
例えば、計算システムは、下記のような構成も可能である。
（１）
第１秘密情報を秘密に管理する第１装置と、第２秘密情報を秘密に管理する第２装置と、を含み、
前記第１装置は、
前記第２装置に公開される第１公開情報と、前記第１装置で秘密に管理される第３秘密情報と、の積が前記第１秘密情報になるように、前記第１公開情報及び前記第３秘密情報を取得する第１取得部と、
前記第２装置に対し、前記第１公開情報を送信する第１送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第１公開情報を受信する第１受信部と、
前記第１公開情報との積が計算される第１計算情報と、前記第２装置で秘密に管理される第４秘密情報と、の積が前記第２秘密情報になるように、前記第１計算情報及び前記第４秘密情報を取得する第２取得部と、
前記第１計算情報と、前記第１公開情報と、の積である第１公開積を計算する第１公開積計算部と、
前記第１装置に対し、前記第１公開積を送信する第２送信部と、
を含み、
前記第１装置は、前記第２装置から、前記第１公開積を受信する第２受信部を更に含み、
前記第１公開積、前記第３秘密情報、及び前記第４秘密情報に基づいて、前記第１秘密情報及び前記第２秘密情報が秘密に管理された状態で、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
（２）
前記第１装置は、
前記第１公開積と、前記第３秘密情報と、の積である第２公開積を計算する第２公開積計算部と、
前記第２装置に対し、前記第２公開積を送信する第３送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開積を受信する第３受信部と、
前記第４秘密情報と、前記第２公開積と、に基づいて、前記秘密積を計算する第１秘密積計算部と、
を更に含む（１）に記載の計算システム。
（３）
前記第１装置は、
前記第１装置で秘密に管理される第５秘密情報及び第６秘密情報の積が前記第３秘密情報になるように、前記第５秘密情報及び前記第６秘密情報を取得する第３取得部と、
前記第１公開積と、前記第５秘密情報と、の積である第３公開積を計算する第３公開積計算部と、
前記第２装置に対し、前記第３公開積を送信する第４送信部と、
を含み、
前記第２装置は、
前記第１装置から、前記第３公開積を受信する第４受信部と、
前記第４秘密情報と、前記第３公開積と、に基づいて、第４公開積を計算する第４公開積計算部と、
前記第１装置に対し、前記第４公開積を送信する第５送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第４公開積を受信する第５受信部と、
前記第４公開積と、前記第６秘密情報と、に基づいて、前記秘密積を計算する第２秘密積計算部と、
を更に含む（１）又は（２）に記載の計算システム。
（４）
前記第１取得部は、少なくとも１つの乱数に基づいて、前記第１公開情報及び前記第３秘密情報を取得する、
（１）～（３）の何れかに記載の計算システム。
（５）
前記第１取得部は、
第１乱数に基づいて、前記第１公開情報の一部である第１部分を取得し、
第２乱数に基づいて、前記第３秘密情報を取得し、
前記第１部分と、前記第３秘密情報と、に基づいて、前記第１公開情報の残りの部分である第２部分を取得する、
（４）に記載の計算システム。
（６）
前記第２取得部は、少なくとも１つの乱数に基づいて、前記第１計算情報及び前記第４秘密情報を取得する、
（１）～（５）の何れかに記載の計算システム。
（７）
前記第２取得部は、
第３乱数に基づいて、前記第１計算情報の一部である第３部分を取得し、
第４乱数に基づいて、前記第４秘密情報を取得し、
前記第３部分と、前記第４秘密情報と、に基づいて、前記第１計算情報の残りの部分である第４部分を取得する、
（６）に記載の計算システム。
（８）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、及び前記第４秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
（１）～（７）の何れかに記載の計算システム。
（９）
前記第２装置は、前記第１装置よりも高いセキュリティが要求され、
前記第１公開積計算部は、前記第２秘密情報の行数と、前記第１公開積の行数と、が異なるように、前記第１公開積を計算可能である、
（８）に記載の計算システム。
（１０）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第５秘密情報、及び前記第６秘密情報の各々は、行列形式であり、
前記秘密積は、内積である、
（３）に記載の計算システム。
（１１）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第１部分、及び前記第２部分の各々は、行列形式であり、
前記秘密積は、内積である、
（５）に記載の計算システム。
（１２）
前記第１秘密情報及び前記第２秘密情報の各々は、ベクトル形式であり、
前記第１公開情報、前記第３秘密情報、前記第１計算情報、前記第４秘密情報、前記第３部分、及び前記第４部分の各々は、行列形式であり、
前記秘密積は、内積である、
（７）に記載の計算システム。
（１３）
前記計算システムでは、前記第１装置、前記第２装置、及び他の装置を含む複数の装置の各々が通信可能であり、
前記第２装置は、前記複数の装置の中で相対的に高いセキュリティが要求される、
（１）～（１２）の何れかに記載の計算システム。
（１４）
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
（１）～（１３）の何れかに記載の計算システム。
（１５）
前記第１装置は、前記連合学習における第１学習モデルの学習過程において、前記第１秘密情報を計算し、
前記第２装置は、前記連合学習における第２学習モデルの学習過程において、前記第２秘密情報を計算する、
（１４）に記載の計算システム。
（１６）
前記学習モデルは、複数の他の学習モデルの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルである、
（１４）又は（１５）に記載の計算システム。
（１７）
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
（１）～（１６）の何れかに記載の計算システム。
（１８）
前記第１サービスにおける前記複数のユーザの各々のユーザ識別情報と、前記第２サービスにおける前記複数のユーザの各々のユーザ識別情報と、は同じである、
（１７）に記載の計算システム。
【符号の説明】
【0114】
１０ 計算システム、Ａ 第１装置、Ｂ 第２装置、Ａ１１ 制御部、Ａ１２ 記憶部、Ａ１３ 通信部、Ｂ１１ 制御部、Ｂ１２ 記憶部、Ｂ１３ 通信部、Ａ１００ 第１データ記憶部、Ａ１０１ 第１取得部、Ａ１０２ 第１送信部、Ａ１０３ 第２公開積計算部、Ａ１０４ 第３送信部、Ａ１０５ 第２受信部、Ｂ１００ 第２データ記憶部、Ｂ１０１ 第２取得部、Ｂ１０２ 第１受信部、Ｂ１０３ 第１公開積計算部、Ｂ１０４ 第２送信部、Ｂ１０５ 第３受信部、Ｂ１０６ 第１秘密積計算部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】