ホーム > 特許ランキング > 楽天グループ株式会社
知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024159627
(43)【公開日】2024-11-08
(54)【発明の名称】計算システム、計算方法、及びプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241031BHJP
G06N 3/098 20230101ALI20241031BHJP
【ＦＩ】
G09C1/00 650Z
G06N3/098
【審査請求】有
【請求項の数】20
【出願形態】ＯＬ
(21)【出願番号】P 2024070185
(22)【出願日】2024-04-24
(31)【優先権主張番号】18/140,628
(32)【優先日】2023-04-28
(33)【優先権主張国・地域又は機関】US
(71)【出願人】
【識別番号】399037405
【氏名又は名称】楽天グループ株式会社
(74)【代理人】
【識別番号】110000154
【氏名又は名称】弁理士法人はるか国際特許事務所
(72)【発明者】
【氏名】楊 斌
(72)【発明者】
【氏名】鄭 容朱
(57)【要約】
【課題】セキュリティを高める。
【解決手段】第１秘密情報と、第１並替情報と、を秘密に管理する第１装置と、第２秘密情報と、第２並替情報と、を秘密に管理する第２装置と、を含み、第１装置は、第１装置及び第２装置で分散して管理される第１並替結果のうち、第１装置が管理する第１管理情報を取得し、第１装置及び第２装置で分散して管理される第２並替結果のうち、第１装置が管理する第２管理情報を取得し、第２装置は、第１並替結果のうち、第２装置が管理する第３管理情報を取得し、第２並替結果のうち、第２装置が管理する第４管理情報を取得し、第１管理情報、第２管理情報、第３管理情報、及び第４管理情報に基づいて、第１秘密情報と、第２秘密情報と、の積である秘密積が計算される、計算システム。
【選択図】図５
【解決手段】第１秘密情報と、第１並替情報と、を秘密に管理する第１装置と、第２秘密情報と、第２並替情報と、を秘密に管理する第２装置と、を含み、第１装置は、第１装置及び第２装置で分散して管理される第１並替結果のうち、第１装置が管理する第１管理情報を取得し、第１装置及び第２装置で分散して管理される第２並替結果のうち、第１装置が管理する第２管理情報を取得し、第２装置は、第１並替結果のうち、第２装置が管理する第３管理情報を取得し、第２並替結果のうち、第２装置が管理する第４管理情報を取得し、第１管理情報、第２管理情報、第３管理情報、及び第４管理情報に基づいて、第１秘密情報と、第２秘密情報と、の積である秘密積が計算される、計算システム。
【選択図】図５
【特許請求の範囲】
【請求項1】
２以上の要素数の第１秘密情報と、前記要素数の要素を並び替えるための第１並替情報と、を秘密に管理する第１装置と、
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
を含み、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得する第１管理情報取得部と、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得する第２管理情報取得部と、
を含み、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得する第３管理情報取得部と、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得する第４管理情報取得部と、
を含み、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
を含み、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得する第１管理情報取得部と、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得する第２管理情報取得部と、
を含み、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得する第３管理情報取得部と、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得する第４管理情報取得部と、
を含み、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
【請求項2】
前記第１装置は、前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第１管理情報として取得し、
前記第２装置は、
前記第１分散情報のうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第１並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第４並替結果のうち、前記第２装置が管理する第９管理情報として、前記第１装置に公開される第１公開情報を取得する第１公開情報取得部と、
前記第１装置に対し、前記第１公開情報を送信する第１公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第１公開情報を受信する第１公開情報受信部と、
前記第１公開情報に基づいて、前記第４並替結果のうち、前記第１装置が管理する第１０管理情報を取得する第１０管理情報取得部と、
前記第１０管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第２公開情報を取得する第２公開情報取得部と、
前記第２装置に対し、前記第２公開情報を送信する第２公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開情報を受信する第２公開情報受信部と、
前記第８管理情報、前記第９管理情報、及び前記第２公開情報に基づいて、第１計算情報を取得する第１計算情報取得部と、
を更に含み、
前記第２装置の前記第３管理情報取得部は、前記第２並替情報で前記第１計算情報が並び替えられた第５並替結果と、前記第８管理情報と、に基づいて、前記第３管理情報を取得する、
請求項１に記載の計算システム。
前記第１装置の前記第１管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第１管理情報として取得し、
前記第２装置は、
前記第１分散情報のうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第１並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第４並替結果のうち、前記第２装置が管理する第９管理情報として、前記第１装置に公開される第１公開情報を取得する第１公開情報取得部と、
前記第１装置に対し、前記第１公開情報を送信する第１公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第１公開情報を受信する第１公開情報受信部と、
前記第１公開情報に基づいて、前記第４並替結果のうち、前記第１装置が管理する第１０管理情報を取得する第１０管理情報取得部と、
前記第１０管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第２公開情報を取得する第２公開情報取得部と、
前記第２装置に対し、前記第２公開情報を送信する第２公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開情報を受信する第２公開情報受信部と、
前記第８管理情報、前記第９管理情報、及び前記第２公開情報に基づいて、第１計算情報を取得する第１計算情報取得部と、
を更に含み、
前記第２装置の前記第３管理情報取得部は、前記第２並替情報で前記第１計算情報が並び替えられた第５並替結果と、前記第８管理情報と、に基づいて、前記第３管理情報を取得する、
請求項１に記載の計算システム。
【請求項3】
前記第２装置の前記第１公開情報取得部は、第１乱数に基づいて、前記第１公開情報を取得する、
請求項２に記載の計算システム。
請求項２に記載の計算システム。
【請求項4】
前記第１装置は、前記第２装置に対し、前記第５管理情報を送信する第５管理情報送信部を含み、
前記第２装置は、
前記第１装置から、前記第５管理情報を受信する第５管理情報受信部と、
前記第５管理情報と、前記第７管理情報と、に基づいて、前記第３並替結果を取得する前記第３並替結果取得部と、
前記第３並替結果と、前記第８管理情報と、に基づいて、前記第６管理情報を取得する第６管理情報取得部と、
前記第１装置に対し、前記第６管理情報を送信する第６管理情報送信部と、
を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記第６管理情報を受信し、前記第１管理情報として取得する、
請求項２又は３に記載の計算システム。
前記第２装置は、
前記第１装置から、前記第５管理情報を受信する第５管理情報受信部と、
前記第５管理情報と、前記第７管理情報と、に基づいて、前記第３並替結果を取得する前記第３並替結果取得部と、
前記第３並替結果と、前記第８管理情報と、に基づいて、前記第６管理情報を取得する第６管理情報取得部と、
前記第１装置に対し、前記第６管理情報を送信する第６管理情報送信部と、
を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記第６管理情報を受信し、前記第１管理情報として取得する、
請求項２又は３に記載の計算システム。
【請求項5】
前記第１装置の前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置の前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置の前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
請求項４に記載の計算システム。
前記第２装置の前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置の前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
請求項４に記載の計算システム。
【請求項6】
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を取得する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化し、前記第１管理情報として取得する、
請求項４に記載の計算システム。
第１公開鍵と、第１秘密鍵と、を取得する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化し、前記第１管理情報として取得する、
請求項４に記載の計算システム。
【請求項7】
前記第１装置は、
前記第１装置及び前記第２装置で分散して管理される第２分散情報のうち、前記第１装置が管理する第１１管理情報を取得する第１１管理情報取得部と、
前記第２分散情報が前記第１並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第６並替結果のうち、前記第１装置が管理する第１２管理情報を取得する第１２管理情報取得部と、
前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部と、
を更に含み、
前記第１装置の前記第２管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第２管理情報として取得し、
前記第２装置は、
前記第２分散情報のうち、前記第２装置が管理する第１３管理情報を取得する第１３管理情報取得部と、
前記第１並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第７並替結果のうち、前記第２装置が管理する第１４管理情報として、前記第６並替結果のうち、前記第２装置が管理する第１５管理情報を取得する第１４管理情報取得部と、
前記第１分散情報Ｓのうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第２秘密情報と、前記第１３管理情報と、に基づいて、前記第１装置に公開される第３公開情報を取得する第３公開情報取得部と、
前記第１装置に対し、前記第３公開情報を送信する第３公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第３公開情報を受信する第３公開情報受信部と、
前記第１１管理情報と、前記第３公開情報と、に基づいて、第２計算情報を取得する第２計算情報取得部と、
前記第１並替情報で前記第２計算情報が並び替えられた第８並替結果と、前記第１２管理情報と、基づいて、前記第７並替結果のうち、前記第１装置が管理する第１６管理情報を取得する第１６管理情報取得部と、
前記第１６管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第４公開情報を取得する第４公開情報取得部と、
前記第２装置に対し、前記第４公開情報を送信する第４公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第４公開情報を受信する第４公開情報受信部と、
前記第１４管理情報、前記第７管理情報、及び前記第４公開情報に基づいて、第３計算情報を取得する第３計算情報取得部と、
を更に含み、
前記第２装置の前記第４管理情報取得部は、前記第２並替情報で前記第３計算情報が並び替えられた第９並替結果と、前記第８管理情報と、に基づいて、前記第４管理情報を取得する、
請求項１～３の何れかに記載の計算システム。
前記第１装置及び前記第２装置で分散して管理される第２分散情報のうち、前記第１装置が管理する第１１管理情報を取得する第１１管理情報取得部と、
前記第２分散情報が前記第１並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第６並替結果のうち、前記第１装置が管理する第１２管理情報を取得する第１２管理情報取得部と、
前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部と、
を更に含み、
前記第１装置の前記第２管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第２管理情報として取得し、
前記第２装置は、
前記第２分散情報のうち、前記第２装置が管理する第１３管理情報を取得する第１３管理情報取得部と、
前記第１並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第７並替結果のうち、前記第２装置が管理する第１４管理情報として、前記第６並替結果のうち、前記第２装置が管理する第１５管理情報を取得する第１４管理情報取得部と、
前記第１分散情報Ｓのうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第２秘密情報と、前記第１３管理情報と、に基づいて、前記第１装置に公開される第３公開情報を取得する第３公開情報取得部と、
前記第１装置に対し、前記第３公開情報を送信する第３公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第３公開情報を受信する第３公開情報受信部と、
前記第１１管理情報と、前記第３公開情報と、に基づいて、第２計算情報を取得する第２計算情報取得部と、
前記第１並替情報で前記第２計算情報が並び替えられた第８並替結果と、前記第１２管理情報と、基づいて、前記第７並替結果のうち、前記第１装置が管理する第１６管理情報を取得する第１６管理情報取得部と、
前記第１６管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第４公開情報を取得する第４公開情報取得部と、
前記第２装置に対し、前記第４公開情報を送信する第４公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第４公開情報を受信する第４公開情報受信部と、
前記第１４管理情報、前記第７管理情報、及び前記第４公開情報に基づいて、第３計算情報を取得する第３計算情報取得部と、
を更に含み、
前記第２装置の前記第４管理情報取得部は、前記第２並替情報で前記第３計算情報が並び替えられた第９並替結果と、前記第８管理情報と、に基づいて、前記第４管理情報を取得する、
請求項１～３の何れかに記載の計算システム。
【請求項8】
前記第２装置は、前記第１装置に対し、前記第１３管理情報を送信する第１３管理情報送信部を含み、
前記第１装置は、
前記第２装置から、前記第１３管理情報を受信する第１３管理情報受信部と、
前記第１１管理情報と、前記第１３管理情報と、に基づいて、前記第６並替結果を取得する第６並替結果取得部と、
前記第６並替結果と、前記第１２管理情報と、に基づいて、前記第１５管理情報を取得する第１５管理情報取得部と、
前記第２装置に対し、前記第１５管理情報を送信する第１５管理情報送信部と、
を更に含み、
前記第２装置の前記第１４管理情報取得部は、前記第１装置から、前記第１５管理情報を受信し、当該第１５管理情報を、前記第１４管理情報として取得する、
請求項７に記載の計算システム。
前記第１装置は、
前記第２装置から、前記第１３管理情報を受信する第１３管理情報受信部と、
前記第１１管理情報と、前記第１３管理情報と、に基づいて、前記第６並替結果を取得する第６並替結果取得部と、
前記第６並替結果と、前記第１２管理情報と、に基づいて、前記第１５管理情報を取得する第１５管理情報取得部と、
前記第２装置に対し、前記第１５管理情報を送信する第１５管理情報送信部と、
を更に含み、
前記第２装置の前記第１４管理情報取得部は、前記第１装置から、前記第１５管理情報を受信し、当該第１５管理情報を、前記第１４管理情報として取得する、
請求項７に記載の計算システム。
【請求項9】
前記第１装置の前記第１１管理情報取得部は、第５乱数に基づいて、前記第１１管理情報を取得し、
前記第１装置の前記第１２管理情報取得部は、第６乱数に基づいて、前記第１２管理情報を取得し、
前記第２装置の前記第１３管理情報取得部は、第７乱数に基づいて、前記第１３管理情報を取得する、
請求項８に記載の計算システム。
前記第１装置の前記第１２管理情報取得部は、第６乱数に基づいて、前記第１２管理情報を取得し、
前記第２装置の前記第１３管理情報取得部は、第７乱数に基づいて、前記第１３管理情報を取得する、
請求項８に記載の計算システム。
【請求項10】
前記第２装置は、
第２公開鍵と、第２秘密鍵と、を取得する第２鍵取得部と、
前記第１装置に対し、前記第２公開鍵を送信する第２公開鍵送信部と、
を更に含み、
前記第１装置は、前記第２装置から、前記第２公開鍵を受信する第２公開鍵受信部を更に含み、
前記第２装置の前記第１３管理情報送信部は、前記第２公開鍵に基づいて、前記第１３管理情報を暗号化し、前記第１装置に対し、当該暗号化された第１３管理情報を送信し、
前記第１装置の前記第１３管理情報受信部は、前記第２装置から、前記暗号化された第１３管理情報を受信し、
前記第１装置の前記第６並替結果取得部は、前記第２公開鍵に基づいて、前記第１１管理情報を暗号化し、前記暗号化された第１３管理情報と、当該暗号化された第１１管理情報と、に基づいて、暗号化された前記第６並替結果を取得し、
前記第１装置の前記第１５管理情報取得部は、前記第２公開鍵に基づいて、前記第１２管理情報を暗号化し、前記暗号化された第６並替結果と、当該暗号化された第１２管理情報と、に基づいて、暗号化された前記第１５管理情報を取得し、
前記第１装置の前記第１５管理情報送信部は、前記第２装置に対し、前記暗号化された第１５管理情報を送信し、
前記第２装置の前記第１５管理情報取得部は、前記第１装置から、前記暗号化された第１５管理情報を受信して前記第２秘密鍵で復号化し、当該復号化された第１５管理情報を前記第１４管理情報として取得する、
請求項８に記載の計算システム。
第２公開鍵と、第２秘密鍵と、を取得する第２鍵取得部と、
前記第１装置に対し、前記第２公開鍵を送信する第２公開鍵送信部と、
を更に含み、
前記第１装置は、前記第２装置から、前記第２公開鍵を受信する第２公開鍵受信部を更に含み、
前記第２装置の前記第１３管理情報送信部は、前記第２公開鍵に基づいて、前記第１３管理情報を暗号化し、前記第１装置に対し、当該暗号化された第１３管理情報を送信し、
前記第１装置の前記第１３管理情報受信部は、前記第２装置から、前記暗号化された第１３管理情報を受信し、
前記第１装置の前記第６並替結果取得部は、前記第２公開鍵に基づいて、前記第１１管理情報を暗号化し、前記暗号化された第１３管理情報と、当該暗号化された第１１管理情報と、に基づいて、暗号化された前記第６並替結果を取得し、
前記第１装置の前記第１５管理情報取得部は、前記第２公開鍵に基づいて、前記第１２管理情報を暗号化し、前記暗号化された第６並替結果と、当該暗号化された第１２管理情報と、に基づいて、暗号化された前記第１５管理情報を取得し、
前記第１装置の前記第１５管理情報送信部は、前記第２装置に対し、前記暗号化された第１５管理情報を送信し、
前記第２装置の前記第１５管理情報取得部は、前記第１装置から、前記暗号化された第１５管理情報を受信して前記第２秘密鍵で復号化し、当該復号化された第１５管理情報を前記第１４管理情報として取得する、
請求項８に記載の計算システム。
【請求項11】
前記第１装置は、前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置は、前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置は、前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
請求項７に記載の計算システム。
前記第２装置は、前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置は、前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
請求項７に記載の計算システム。
【請求項12】
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を生成する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化する、
請求項７に記載の計算システム。
第１公開鍵と、第１秘密鍵と、を生成する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化する、
請求項７に記載の計算システム。
【請求項13】
前記第１装置は、
前記第１管理情報と、前記第２管理情報と、に基づいて、前記第１並替結果と、前記第２並替結果と、の積であって、前記第１装置及び前記第２装置で分散して管理される分散積のうち、前記第１装置が管理する第１管理積を取得する第１管理積取得部と、
前記第１管理積の合計である第１合計を取得する第１合計取得部と、
を更に含み、
前記第２装置は、
前記第３管理情報と、前記第４管理情報と、に基づいて、前記分散積のうち、前記第２装置が管理する第２管理積を取得する第２管理積取得部と、
前記第２管理積の各要素の合計である第２合計を取得する第２合計取得部と、
を更に含み、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積が計算される、
請求項１～３の何れかに記載の計算システム。
前記第１管理情報と、前記第２管理情報と、に基づいて、前記第１並替結果と、前記第２並替結果と、の積であって、前記第１装置及び前記第２装置で分散して管理される分散積のうち、前記第１装置が管理する第１管理積を取得する第１管理積取得部と、
前記第１管理積の合計である第１合計を取得する第１合計取得部と、
を更に含み、
前記第２装置は、
前記第３管理情報と、前記第４管理情報と、に基づいて、前記分散積のうち、前記第２装置が管理する第２管理積を取得する第２管理積取得部と、
前記第２管理積の各要素の合計である第２合計を取得する第２合計取得部と、
を更に含み、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積が計算される、
請求項１～３の何れかに記載の計算システム。
【請求項14】
前記第１装置の前記第１管理積取得部は、BMT(Beaver Multiplication Triples)の手法に基づいて、第１管理積を取得し、
前記第２装置の前記第２管理積取得部は、前記BMTの手法に基づいて、前記第２管理積を取得する、
請求項１３に記載の計算システム。
前記第２装置の前記第２管理積取得部は、前記BMTの手法に基づいて、前記第２管理積を取得する、
請求項１３に記載の計算システム。
【請求項15】
前記第２装置は、前記第１装置に対し、前記第２合計を送信する第２合計送信部を更に含み、
前記第１装置は、
前記第２装置から、前記第２合計を受信する第２合計受信部と、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積を計算する秘密積計算部と、
を更に含む請求項１３に記載の計算システム。
前記第１装置は、
前記第２装置から、前記第２合計を受信する第２合計受信部と、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積を計算する秘密積計算部と、
を更に含む請求項１３に記載の計算システム。
【請求項16】
前記第１秘密情報、前記第２秘密情報、前記第１並替結果、前記第１管理情報、前記第２並替結果、前記第２管理情報、前記第３管理情報、及び前記第４管理情報の各々は、ベクトル形式であり、
前記第１並替情報及び前記第２並替情報の各々は、配列形式であり、
前記秘密積は、内積である、
請求項１～３の何れかに記載の計算システム。
前記第１並替情報及び前記第２並替情報の各々は、配列形式であり、
前記秘密積は、内積である、
請求項１～３の何れかに記載の計算システム。
【請求項17】
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
請求項１～３の何れかに記載の計算システム。
請求項１～３の何れかに記載の計算システム。
【請求項18】
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
請求項１～３の何れかに記載の計算システム。
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
請求項１～３の何れかに記載の計算システム。
【請求項19】
２以上の要素数の第１秘密情報と、前記要素数の要素を並び替えるための第１並替情報と、を秘密に管理する第１装置と、
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
により実行され、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得し、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得し、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得し、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得し、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算方法。
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
により実行され、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得し、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得し、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得し、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得し、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算方法。
【請求項20】
請求項１に記載の第１装置又は第２装置としてコンピュータを動作させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本開示は、計算システム、計算方法、及びプログラムに関する。
【背景技術】
【0002】
従来、装置が秘密に管理する情報の漏洩を防止するための技術が検討されている。例えば、非特許文献１には、訓練データを１つの拠点に集約することなく、機械学習の手法を利用した学習モデルを作成するための連合学習の手法が記載されている。連合学習では、複数の装置の各々が、他の装置に対し、自身が秘密に管理する情報を送信することなく、学習モデルの学習を実行できることが知られている。
【先行技術文献】
【非特許文献】
【0003】
【非特許文献1】Qinbin Li, Zeyi Wen, Zhaomin Wu, Sixu Hu, Naibo Wang, Yuan Li, Xu Liu, Bingsheng He, “A Survey on Federated Learning Systems: Vision, Hype and Reality for Data Privacy and Protection”, インターネット， ２０２３年３月１６日検索，https://arxiv.org/abs/1907.09693
【発明の概要】
【発明が解決しようとする課題】
【0004】
例えば、非特許文献のような連合学習では、学習モデルの学習のために、第１装置が秘密に管理する第１秘密情報と、第２装置が秘密に管理する第２秘密情報と、の秘密積を計算するといった要望がある。連合学習以外の他の分野でも、秘密に管理される複数の情報の積である秘密積が計算される場合には、同様の要望がある。この場合に、しかしながら、第２装置が第１秘密情報及び第２秘密情報の秘密積を計算する場合に、第１装置が第２装置に第１秘密情報を送信すると、第１秘密情報がネットワーク上に送信されるので、セキュリティが十分ではない。第１秘密情報を暗号化したとしても、第三者に解読される可能性がある。第１装置が秘密積を計算する場合も同様である。
【0005】
本開示の目的の１つは、セキュリティを高めることである。
【課題を解決するための手段】
【0006】
本開示に係る計算システムは、２以上の要素数の第１秘密情報と、前記要素数の要素を並び替えるための第１並替情報と、を秘密に管理する第１装置と、前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、を含み、前記第１装置は、前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得する第１管理情報取得部と、前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得する第２管理情報取得部と、を含み、前記第２装置は、前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得する第３管理情報取得部と、前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得する第４管理情報取得部と、を含み、前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される。
【発明の効果】
【0007】
本開示によれば、セキュリティが高まる。
【図面の簡単な説明】
【0008】
【図1】計算システムで実行される連合学習の一例を示す図である。
【図2】連合学習における計算式の一例を示す図である。
【図4】計算システムのハードウェア構成の一例を示す図である。
【図5】計算システムで実現される機能の一例を示す図である。
【図6】第１並替情報及び第２並替情報に基づいて実行される第１秘密情報の並び替えの一例を示す図である。
【図7】第１秘密情報がシェアされる様子の一例を示す図である。
【図8】第１秘密情報及び第２秘密情報の内積を取得するための技術思想の一例を示す図である。
【図9】計算システムで実行される処理の一例を示す図である。
【図10】Ｓ２０及びＳ２１の処理の詳細の一例を示す図である。
【図11】Ｓ２００～Ｓ２０３の処理の詳細の一例を示す図である。
【図12】Ｓ３０及びＳ３１の処理の詳細の一例を示す図である。
【図13】Ｓ３００～Ｓ３０３の処理の詳細の一例を示す図である。
【発明を実施するための形態】
【0009】
［１．計算システムの概要］
本開示に係る計算システムの実施形態の一例である本実施形態を説明する。本実施形態では、機械学習における連合学習に計算システムが利用される場合を例に挙げる。連合学習は、複数の装置で分散して実行される学習の手法である。複数の装置のうちの何れかは、他の装置から学習結果を集約して学習モデルを作成する。
本開示に係る計算システムの実施形態の一例である本実施形態を説明する。本実施形態では、機械学習における連合学習に計算システムが利用される場合を例に挙げる。連合学習は、複数の装置で分散して実行される学習の手法である。複数の装置のうちの何れかは、他の装置から学習結果を集約して学習モデルを作成する。
【0010】
従来の学習では、学習モデルの学習を実行する装置は、他の装置から訓練データを集める必要があった。このため、訓練データが第三者に流出する可能性があるので、セキュリティの観点で懸念が生じる。この点、連合学習では、個々の装置が、他の装置に対し、原則として訓練データを送信せずに学習結果だけを送信するので、セキュリティの観点で有用である。例えば、訓練データが個人情報を含む場合には、連合学習は、個人情報の流出を防止できる。
【0011】
図１は、計算システムで実行される連合学習の一例を示す図である。図１の例では、４つのサービス０～３が互いに協力して連合学習を実行する場合が示されている。例えば、サービス０は、ユーザに関する各種情報を管理する管理会社が提供する情報管理サービスである。サービス１は、銀行が提供する金融サービスである。サービス２は、証券会社が提供する金融サービスである。サービス３は、保険会社が提供する保険サービスである。
【0012】
例えば、サービス０～３の各々におけるコンピュータが、互いに連携して連合学習を実行する。図１では、コンピュータを省略している。以降、図１の簡略化のために、連合学習における処理を実行する実行主体がサービス０～３であるものとして説明するが、実際には、実行主体は、サービス０～３の各々におけるコンピュータである。以降、サービス０～３を区別しない時は、符号を省略してサービスという。
【0013】
例えば、連合学習では、各サービスは、自身の学習モデルを初期化する。各サービスは、自身が管理する訓練データに基づいて、自身の学習モデルの学習を実行する。訓練データは、原則として、第三者に公開されない。訓練データは、各サービスで秘密に管理される。本実施形態では、ユーザの年収を推定する学習モデルが連合学習で作成される場合を例に挙げるが、他の任意の目的で学習モデルが作成されてよい。例えば、年収以外の属性を推定する学習モデル、画像処理で利用される学習モデル、自然言語処理で利用される学習モデル、又はその他の学習モデルが連合学習で作成されてもよい。
【0014】
例えば、訓練データは、年収と相関関係があると考えられるデモグラフィック情報、サービスにおける決済履歴、ウェブページの閲覧履歴、又はその他の情報を含む。各サービスは、独自に訓練データを管理し、原則として外部に訓練データを送信しない。本実施形態では、ユーザがサービス１～３の全てを利用するユーザの特徴が訓練データに示される場合を例に挙げるが、サービス１～３のうちの少なくとも１つを利用するユーザの特徴が訓練データに示されるようにすればよい。
【0015】
図２は、連合学習における計算式の一例を示す図である。例えば、サービス１は、銀行が秘密に管理するユーザの特徴ｘ１を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ１の学習を実行する。サービス２は、証券会社が秘密に管理するユーザの特徴ｘ２を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ２の学習を実行する。サービス３は、保険会社が秘密に管理するユーザの特徴ｘ３を示す訓練データに基づいて、ユーザの年収を推定する学習モデルＭ３の学習を実行する。
【0016】
図２の例では、特徴ｘ１，ｘ２，ｘ３を包含する概念を特徴Ｘと記載する。特徴Ｘは、ｎ×ｍの行列形式である。ｎとｍは、任意の自然数である。例えば、サービス０は、正解となる年収であるラベルｙを管理する。図２の例では、ｙは、ｎ×１の行列（いわゆる列ベクトル）である。サービス０は、サービス１～３の各々によるローカルの学習結果を収集し、ユーザの年収を推定する学習モデルＭ０の学習を実行する。
【0017】
図１の例では、サービス０は、学習モデルＭ１による推定結果ｙ１、学習モデルＭ２による推定結果ｙ２、及び学習モデルＭ３による推定結果ｙ３に基づいて、ユーザの年収ｙを推定する学習モデルＭ０を作成する。即ち、学習モデルＭ０には、推定結果ｙ１～ｙ３が入力される。学習モデルＭ０は、推定結果ｙ１～ｙ３に基づいて特徴量を計算し、当該特徴量に応じた推定結果として、ユーザの年収ｙを出力する。学習モデルＭ０は、学習モデルＭ１～Ｍ３の推定結果ｙ１～ｙ３を利用するアンサンブル学習の一種であるスタッキング学習におけるモデルということができる。
【0018】
例えば、学習モデルＭ０は、学習によって調整されるパラメータとして、重み係数ｗ０～ｗ４を含む。学習モデルＭ０は、重み係数ｗ０～ｗ４以外の他のパラメータ（例えば、バイアス）を含んでもよい。図２のｉは、個々のユーザを示す数値である。図２のように、正解となるラベルｙｉと、学習モデルＭ０の推定結果ｙｉ（図２では上部に記号が付与されている）と、の差に基づいて損失Ｌが計算される。サービス０は、損失Ｌが小さくなるように、学習モデルＭ０の学習を実行する。
【0019】
例えば、サービス０は、サービス１～３の各々に対し、学習モデルＭ０の学習結果を送信する。サービス１は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ１を更新する。サービス２は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ２を更新する。サービス３は、学習モデルＭ０の学習結果に基づいて、学習モデルＭ３を更新する。サービス１～３の各々は、サービス０に対し、新たな学習結果を送信する。以降同様にして、サービス０と、サービス１～３の各々と、の間で学習結果の共有が繰り返されることによって、学習モデルＭ０～Ｍ３の改善が期待される。
【0020】
なお、図１では、簡略化のために線を省略しているが、本実施形態では、サービス１～３は、互いの学習結果を共有するものとする。例えば、サービス１は、サービス２，３から、学習モデルＭ２，Ｍ３の学習結果を取得し、学習モデルＭ１を更新する。サービス２は、サービス１，３から、学習モデルＭ１，Ｍ３の学習結果を取得し、学習モデルＭ２を更新する。サービス３は、サービス１，２から、学習モデルＭ１，Ｍ２の学習結果を取得し、学習モデルＭ３を更新する。
【0021】
以降、学習モデルＭ０～Ｍ４を区別しない時には、単に学習モデルＭという。学習モデルＭの学習手法自体は、公知の手法であってよく、例えば、勾配降下法又は誤差逆伝播法を利用可能である。本実施形態では、学習モデルＭの種類及び学習手法が互いに同じである場合を例に挙げるが、学習モデルＭの種類及び学習手法の少なくとも一方は、互いに異なってもよい。例えば、学習モデルＭ０がニューラルネットワークであり、学習モデルＭ１がサポートベクターマシンであり、学習モデルＭ２が勾配ブースティング回帰木であり、学習モデルＭ３が線型回帰モデルであってもよい。学習手法は、これらの種類に応じた手法であればよい。
【0022】
本実施形態では、学習モデルＭがニューラルネットワークであり、かつ、学習モデルＭの学習手法が勾配降下法である場合を例に挙げる。勾配降下法は、学習モデルＭのパラメータを反復的に更新し、損失の勾配（傾き）を計算して勾配が最も降下する方向にパラメータが更新される。例えば、学習モデルＭ０の学習で勾配降下法が利用される場合、図２のような微分の計算式が利用される。学習モデルＭ１～Ｍ３の学習で勾配降下法が利用される場合も、同様の計算式が利用される。勾配降下法自体は、公知の技術のため、図２の計算式の詳細は省略する。
【0023】
例えば、図２の計算式で下線を引いた部分は、サービス１に関する列ベクトルと、サービス２に関する列ベクトルと、の内積である。サービス１，２がそれぞれ学習モデルＭ１，Ｍ２の学習を実行する場合にも、同様の情報を取得する必要がある。この場合、サービス１，２が、互いに秘密に管理すべき情報を送信することなく、図２の計算式で下線を引いた内積を取得することが求められている。図１の表Ｃ１は、このような要求を満たすための問題を一般化したものである。計算システムは、表Ｃ１の問題を解決できれば、サービス間で秘密に管理する情報をサービス間で送信しあうことなく、内積を取得できる。
【0024】
図３は、図１の表Ｃ１の問題の具体例を示す図である。例えば、あるサービスの第１装置Ａは、ｍ次元のベクトルａを秘密に管理する。他のサービスの第２装置Ｂは、ｍ次元のベクトルｂを秘密に管理する。例えば、ｍ次元のベクトルに含まれる要素は、個々のユーザに関する何らかの特徴を示す。第２装置Ｂは、高いセキュリティが要求されている。第１装置Ａ及び第２装置Ｂの各々は、セキュリティの観点で、ベクトルａ及びベクトルｂではなく、何らかの統合された情報を送信するといった制約条件がある。
【0025】
例えば、表Ｃ２のように、第２装置Ｂが、第１装置Ａからベクトルａを取得することなく、ベクトルａと、ベクトルｂと、の内積ａ・ｂを取得できれば、第２装置Ｂが管理する学習モデルＭの学習で有用である。本実施形態では、この手法の一例を説明する。逆に、表Ｃ３のように、第１装置Ａが、第２装置Ｂからベクトルｂを取得することなく、ベクトルａと、ベクトルと、の内積ａ・ｂを取得できれば、第１装置Ａが管理する学習モデルＭの学習で有用である。計算システム１は、このような手法も可能である。
【0026】
［２．計算システムのハードウェア構成］
図４は、計算システムのハードウェア構成の一例を示す図である。第１装置Ａと、第２装置Ｂと、の各々は、インターネット又はＬＡＮ等のネットワークＮに接続される。
図４は、計算システムのハードウェア構成の一例を示す図である。第１装置Ａと、第２装置Ｂと、の各々は、インターネット又はＬＡＮ等のネットワークＮに接続される。
【0027】
第１装置Ａは、第１サービスのコンピュータである。本実施形態では、第１サービスが図１のサービス１（銀行が提供するサービス）である場合を例に挙げるが、第１サービスは、他の任意のサービスであってよい。例えば、第１サービスは、図１のサービス０，２，３であってもよいし、図１には示さない他のサービスであってもよい。他のサービスは、通信サービス、電子商取引サービス、旅行予約サービス、電子決済サービス、又はポイント管理サービスであってもよい。
【0028】
例えば、第１装置Ａは、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。第１装置Ａは、制御部Ａ１１、記憶部Ａ１２、及び通信部Ａ１３を含む。制御部Ａ１１は、少なくとも１つのプロセッサを含む。記憶部Ａ１２は、ＲＡＭ等の揮発性メモリと、フラッシュメモリ等の不揮発性メモリと、を含む。通信部Ａ１３は、有線通信用の通信インタフェースと、無線通信用の通信インタフェースと、の少なくとも一方を含む。
【0029】
第２装置Ｂは、第２サービスのコンピュータである。例えば、第２装置Ｂは、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。第２装置Ｂは、制御部Ｂ１１、記憶部Ｂ１２、及び通信部Ｂ１３を含む。制御部Ｂ１１、記憶部Ｂ１２、及び通信部Ｂ１３のハードウェア構成は、それぞれ制御部Ａ１１、記憶部Ａ１２、及び通信部Ａ１３と同様であってよい。
【0030】
本実施形態では、第２サービスが図１のサービス２（証券会社が提供するサービス）である場合を例に挙げるが、第２サービスは、他の任意のサービスであってもよい。例えば、第２サービスは、第１サービスと同じであってもよい。第２サービスが第１サービスと異なる場合には、第２サービスは、第１サービスの説明で例示したサービスのうち、第１サービス以外のものであってもよい。第１装置Ａ及び第２装置Ｂは、何らかのサービスに関係なく、私的に又はその他の目的で利用される装置であってもよい。
【0031】
本実施形態では、第２装置Ｂは、第１装置Ａよりも高いセキュリティが要求される場合を例に挙げる。例えば、ネットワークＮに送信可能なデータが制限されることは、セキュリティが高いことに相当する。第２装置Ｂが第１装置Ａと同様のデータを外部に送信する場合には、第２装置Ｂは、第１装置Ａよりもデータを加工する必要がある。例えば、第１装置Ａは、行列形式のデータの行数を変えずにネットワークＮに送信可能であるが、第２装置Ｂは、行列形式のデータの行数を変えてネットワークＮに送信する必要がある。
【0032】
以降、第１装置Ａ及び第２装置Ｂを区別しない場合には、単に装置と記載して符号を省略する。制御部Ａ１１，Ｂ１１、記憶部Ａ１２，Ｂ１２、及び通信部Ａ１３，Ｂ１３を区別しない場合には、それぞれ制御部１１、記憶部１２、及び通信部１３と記載して符号の冒頭のアルファベットを省略する。記憶部１２に記憶されるプログラムは、ネットワークＮを介して装置に供給されてもよい。また、コンピュータ読み取り可能な情報記憶媒体に記憶されたプログラムが、情報記憶媒体を読み取る読取部（例えば、光ディスクドライブやメモリカードスロット）、又は、外部機器とデータの入出力をするための入出力部（例えば、ＵＳＢポート）を介して装置に供給されてもよい。
【0033】
また、計算システム１０では、第１装置Ａ、第２装置Ｂ、及び他の装置を含む複数の装置の各々が通信可能であってもよい。即ち、計算システム１０は、第１装置Ａ及び第２装置Ｂ以外の他の装置を含んでもよい。例えば、他の装置は、サーバコンピュータ、パーソナルコンピュータ、タブレット、又はスマートフォンである。計算システム１０は、複数の他の装置を含んでもよい。図１のように４つのサービスが存在する場合には、計算システム１０は、第１装置Ａ、第２装置Ｂ、及び少なくとも２つの他の装置を含む。
【0034】
例えば、計算システム１０が他の装置を含む場合、第２装置Ｂは、複数の装置の中で相対的に高いセキュリティが要求される。他の装置は、第１装置Ａ又は第２装置Ｂと同様の機能を有していてもよい。他の装置が第１装置Ａと同様の機能を有する場合には、計算システム１０が第１装置Ａ及び他の装置を含むことは、計算システム１０が複数の第１装置Ａを含むことを意味する。他の装置が第２装置Ｂと同様の機能を有する場合には、計算システム１０が第２装置Ｂ及び他の装置を含むことは、計算システム１０が複数の第２装置Ｂを含むことを意味する。
【0035】
［３．計算システムで実現される機能］
図５は、計算システム１０で実現される機能の一例を示す図である。例えば、第１装置Ａは、第１データ記憶部Ａ１００、第１秘密情報取得部Ａ１０１、第１並替情報取得部Ａ１０２、第１管理情報取得部Ａ１０３、第２管理情報取得部Ａ１０４、第５管理情報取得部Ａ１０５、第１公開情報受信部Ａ１０６、第１０管理情報取得部Ａ１０７、第２公開情報取得部Ａ１０８、第２公開情報送信部Ａ１０９、第５管理情報送信部Ａ１１０、第１鍵取得部Ａ１１１、第１公開鍵送信部Ａ１１２、第１１管理情報取得部Ａ１１３、第１２管理情報取得部Ａ１１４、第３公開情報受信部Ａ１１５、第２計算情報取得部Ａ１１６、第１６管理情報取得部Ａ１１７、第４公開情報取得部Ａ１１８、第４公開情報送信部Ａ１１９、第１３管理情報受信部Ａ１２０、第６並替結果取得部Ａ１２１、第１５管理情報取得部Ａ１２２、第１５管理情報送信部Ａ１２３、第２公開鍵受信部Ａ１２４、第１管理積取得部Ａ１２５、第１合計取得部Ａ１２６、第２合計受信部Ａ１２７、及び秘密積計算部Ａ１２８を含む。
図５は、計算システム１０で実現される機能の一例を示す図である。例えば、第１装置Ａは、第１データ記憶部Ａ１００、第１秘密情報取得部Ａ１０１、第１並替情報取得部Ａ１０２、第１管理情報取得部Ａ１０３、第２管理情報取得部Ａ１０４、第５管理情報取得部Ａ１０５、第１公開情報受信部Ａ１０６、第１０管理情報取得部Ａ１０７、第２公開情報取得部Ａ１０８、第２公開情報送信部Ａ１０９、第５管理情報送信部Ａ１１０、第１鍵取得部Ａ１１１、第１公開鍵送信部Ａ１１２、第１１管理情報取得部Ａ１１３、第１２管理情報取得部Ａ１１４、第３公開情報受信部Ａ１１５、第２計算情報取得部Ａ１１６、第１６管理情報取得部Ａ１１７、第４公開情報取得部Ａ１１８、第４公開情報送信部Ａ１１９、第１３管理情報受信部Ａ１２０、第６並替結果取得部Ａ１２１、第１５管理情報取得部Ａ１２２、第１５管理情報送信部Ａ１２３、第２公開鍵受信部Ａ１２４、第１管理積取得部Ａ１２５、第１合計取得部Ａ１２６、第２合計受信部Ａ１２７、及び秘密積計算部Ａ１２８を含む。
【0036】
例えば、第１データ記憶部Ａ１００は、記憶部Ａ１２により実現される。第１秘密情報取得部Ａ１０１、第１並替情報取得部Ａ１０２、第１管理情報取得部Ａ１０３、第２管理情報取得部Ａ１０４、第５管理情報取得部Ａ１０５、第１公開情報受信部Ａ１０６、第１０管理情報取得部Ａ１０７、第２公開情報取得部Ａ１０８、第２公開情報送信部Ａ１０９、第５管理情報送信部Ａ１１０、第１鍵取得部Ａ１１１、第１公開鍵送信部Ａ１１２、第１１管理情報取得部Ａ１１３、第１２管理情報取得部Ａ１１４、第３公開情報受信部Ａ１１５、第２計算情報取得部Ａ１１６、第１６管理情報取得部Ａ１１７、第４公開情報取得部Ａ１１８、第４公開情報送信部Ａ１１９、第１３管理情報受信部Ａ１２０、第６並替結果取得部Ａ１２１、第１５管理情報取得部Ａ１２２、第１５管理情報送信部Ａ１２３、第２公開鍵受信部Ａ１２４、第１管理積取得部Ａ１２５、第１合計取得部Ａ１２６、第２合計受信部Ａ１２７、及び秘密積計算部Ａ１２８は、制御部Ａ１１により実現される。
【0037】
例えば、第２装置Ｂは、第２データ記憶部Ｂ１００、第２秘密情報取得部Ｂ１０１、第２並替情報取得部Ｂ１０２、第３管理情報取得部Ｂ１０３、第４管理情報取得部Ｂ１０４、第７管理情報取得部Ｂ１０５、第８管理情報取得部Ｂ１０６、第１公開情報取得部Ｂ１０７、第１公開情報送信部Ｂ１０８、第２公開情報受信部Ｂ１０９、第１計算情報取得部Ｂ１１０、第５管理情報受信部Ｂ１１１、第３並替結果取得部Ｂ１１２、第６管理情報取得部Ｂ１１３、第６管理情報送信部Ｂ１１４、第１公開鍵受信部Ｂ１１５、第１３管理情報取得部Ｂ１１６、第１４管理情報取得部Ｂ１１７、第３公開情報取得部Ｂ１１８、第３公開情報送信部Ｂ１１９、第４公開情報受信部Ｂ１２０、第３計算情報取得部Ｂ１２１、第２鍵取得部Ｂ１２２、第２公開鍵送信部Ｂ１２３、第２管理積取得部Ｂ１２４、第２合計取得部Ｂ１２５、及び第２合計送信部Ｂ１２６を含む。
【0038】
例えば、第２データ記憶部Ｂ１００は、記憶部Ｂ１２により実現される。第２秘密情報取得部Ｂ１０１、第２並替情報取得部Ｂ１０２、第３管理情報取得部Ｂ１０３、第４管理情報取得部Ｂ１０４、第７管理情報取得部Ｂ１０５、第８管理情報取得部Ｂ１０６、第１公開情報取得部Ｂ１０７、第１公開情報送信部Ｂ１０８、第２公開情報受信部Ｂ１０９、第１計算情報取得部Ｂ１１０、第５管理情報受信部Ｂ１１１、第３並替結果取得部Ｂ１１２、第６管理情報取得部Ｂ１１３、第６管理情報送信部Ｂ１１４、第１公開鍵受信部Ｂ１１５、第１３管理情報取得部Ｂ１１６、第１３管理情報送信部、第１４管理情報取得部Ｂ１１７、第３公開情報取得部Ｂ１１８、第３公開情報送信部Ｂ１１９、第４公開情報受信部Ｂ１２０、第３計算情報取得部Ｂ１２１、第２鍵取得部Ｂ１２２、第２公開鍵送信部Ｂ１２３、第２管理積取得部Ｂ１２４、第２合計取得部Ｂ１２５、及び第２合計送信部Ｂ１２６は、制御部Ｂ１１により実現される。
【0039】
［第１データ記憶部］
第１データ記憶部Ａ１００は、第１装置Ａが実行する処理に必要なデータを記憶する。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭを記憶する。第１学習モデルＡＭは、第１装置Ａが管理する学習モデルＭである。第１装置Ａは、連合学習の手法を利用して、第１学習モデルＡＭの学習を実行する。
第１データ記憶部Ａ１００は、第１装置Ａが実行する処理に必要なデータを記憶する。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭを記憶する。第１学習モデルＡＭは、第１装置Ａが管理する学習モデルＭである。第１装置Ａは、連合学習の手法を利用して、第１学習モデルＡＭの学習を実行する。
【0040】
例えば、第１装置Ａは、２以上の要素数ｉ（ｉは２以上の整数）の第１秘密情報ａを秘密に管理する。第１データ記憶部Ａ１００は、第１秘密情報ａを記憶する。第１秘密情報ａは、第１装置Ａで秘密に管理される情報である。第１秘密情報ａは、原則として、第１装置Ａ以外の他の装置に送信されない。第１秘密情報ａは、複数の要素を含む。要素は、第１秘密情報ａを構成する数値である。本実施形態では、第１秘密情報ａがベクトル形式である場合を例に挙げるが、第１秘密情報ａは、複数の要素を含み、かつ、積を計算可能な情報であればよく、例えば、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。
【0041】
本実施形態では、第１装置Ａは、連合学習における第１学習モデルＡＭの学習過程において、第１秘密情報ａを計算する。例えば、第１装置Ａは、第１学習モデルＡＭのパラメータの一部を第１秘密情報ａとして取得してもよいし、当該一部から計算した情報を第１秘密情報ａとして取得してもよい。例えば、第１秘密情報ａは、現状の第１学習モデルＡＭのパラメータの一部と、現状の第１学習モデルＡＭの推定結果と、を乗算した値である。
【0042】
なお、第１秘密情報ａは、第１サービスにおける複数のユーザの各々に関する情報であってもよい。例えば、第１秘密情報ａは、現状の第１学習モデルＡＭのパラメータの一部と、現状の第１学習モデルＡＭによる複数のユーザの各々の年収の推定結果と、を乗算した値を含んでもよい。この場合、第１秘密情報ａの次元数は、ユーザ数となる。他にも例えば、第１秘密情報ａは、ユーザの年齢層又は性別といった個人情報が数値化（定量化）された情報であってもよい。第１秘密情報ａは、ユーザの複数の個人情報の各々が数値化された情報であってもよい。
【0043】
また、第１サービスにおける複数のユーザの各々のユーザ識別情報と、第２サービスにおける複数のユーザの各々のユーザ識別情報と、は同じであってもよい。ユーザ識別情報は、ユーザを識別可能な情報である。例えば、ログインアカウント、メールアドレス、又は電話番号は、ユーザ識別情報に相当する。本実施形態では、第１サービス及び第２サービスでユーザ識別情報が共通である場合を例に挙げるが、第１サービス及び第２サービスでユーザ識別情報が異なってもよい。この場合、ユーザごとに、第１サービスにおけるユーザ識別情報と、第２サービスにおけるユーザ識別情報と、の対応関係が定められたデータが存在するものとする。このデータは、第１データ記憶部Ａ１００、第２データ記憶部Ｂ１００、又はその他の場所に記憶されているものとする。
【0044】
例えば、第１装置Ａは、要素数ｉの要素を並び替えるための第１並替情報πＡを秘密に管理する。第１データ記憶部Ａ１００は、第１並替情報πＡを記憶する。第１並替情報πＡは、第１装置Ａで秘密に管理される情報である。第１並替情報πＡは、原則として、第１装置Ａ以外の他の装置に送信されない。第１並替情報πＡは、要素の並び替えのルール示す。例えば、第１並替情報πＡは、並び替え前の要素の順序と、並び替え後の要素の順序と、関係を示す。本実施形態では、第１並替情報πＡが配列形式である場合を例に挙げるが、第１並替情報πＡは、要素の並び替えルールを示せばよく、例えば、単一の数値、複数の数値、行列、ベクトル、データフレーム、又はその他の情報であってもよい。
【0045】
なお、第１データ記憶部Ａ１００が記憶するデータは、上記の例に限られない。第１データ記憶部Ａ１００は、任意のデータを記憶可能である。例えば、第１データ記憶部Ａ１００は、第１学習モデルＡＭの訓練データを記憶する。訓練データは、第１学習モデルＡＭに入力される入力部分と、当該入力部分に対応する出力部分と、を含む。出力部分は、学習時における正解に相当する。第１装置Ａは、第１データ記憶部Ａ１００に記憶された訓練データに基づいて、第１学習モデルＡＭのローカルな学習を実行する。第１装置Ａは、訓練データの入力部分が入力された場合に、訓練データの出力部分が出力されるように、第１学習モデルＡＭのパラメータを調整する。
【0046】
本実施形態では、ユーザの年収を推定する第１学習モデルＡＭが作成されるので、訓練データの入力部分は、ユーザに関する何らかの情報である。例えば、第１サービスにおけるユーザのデモグラフィック情報等の特徴が訓練データの入力部分に相当する。訓練データの出力部分は、ユーザの年収である。訓練データの出力部分に相当する年収は、ユーザが第１サービスに登録した年収であってもよいし、ユーザが他のサービスに登録した年収であってもよい。訓練データの出力部分に相当する年収は、第１学習モデルＡＭの作成者が指定した年収であってもよい。第１装置Ａは、連合学習の手法を利用して、ローカルで学習された第１学習モデルＡＭを更新してもよい。例えば、第１データ記憶部Ａ１００は、上記説明したデータ以外にも、本実施形態で説明する各種情報を記憶してよい。
【0047】
［第２データ記憶部］
第２データ記憶部Ｂ１００は、第２装置Ｂが実行する処理に必要なデータを記憶する。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭを記憶する。第２学習モデルＢＭは、第２装置Ｂが管理する学習モデルＭである。第２装置Ｂは、連合学習の手法を利用して、第２学習モデルＢＭの学習を実行する。
第２データ記憶部Ｂ１００は、第２装置Ｂが実行する処理に必要なデータを記憶する。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭを記憶する。第２学習モデルＢＭは、第２装置Ｂが管理する学習モデルＭである。第２装置Ｂは、連合学習の手法を利用して、第２学習モデルＢＭの学習を実行する。
【0048】
例えば、第２装置Ｂは、要素数ｉの第２秘密情報ｂを秘密に管理する。第２データ記憶部Ｂ１００は、第２秘密情報ｂを記憶する。第２秘密情報ｂは、第２装置Ｂで秘密に管理される情報である。第２秘密情報ｂは、原則として、第２装置Ｂ以外の他の装置に送信されない。第２秘密情報ｂは、１つの数値を示す情報、又は、複数の数値を含む情報である。本実施形態では、第２秘密情報ｂがベクトル形式である場合を例に挙げるが、第２秘密情報ｂは、複数の要素を含み、かつ、積を計算可能な情報であればよく、例えば、複数の数値、行列、配列、データフレーム、又はその他の情報であってもよい。
【0049】
本実施形態では、第２装置Ｂは、連合学習における第２学習モデルＢＭの学習過程において、第２秘密情報ｂを計算する。例えば、第２装置Ｂは、第２学習モデルＢＭのパラメータの一部を第２秘密情報ｂとして取得してもよいし、当該一部から計算した情報を第２秘密情報ｂとして取得してもよい。例えば、第２秘密情報ｂは、現状の第２学習モデルＢＭのパラメータの一部と、現状の第２学習モデルＢＭの推定結果と、を乗算した値である。
【0050】
なお、第２秘密情報ｂは、第２サービスにおける複数のユーザの各々に関する情報であってもよい。例えば、第２秘密情報ｂは、現状の第２学習モデルＢＭのパラメータの一部と、現状の第２学習モデルＢＭによる複数のユーザの各々の年収の推定結果と、を乗算した値を含んでもよい。この場合、第２秘密情報ｂの次元数は、ユーザ数となる。他にも例えば、第２秘密情報ｂは、ユーザの年齢層又は性別といった個人情報が数値化（定量化）された情報であってもよい。第２秘密情報ｂは、ユーザの複数の個人情報の各々が数値化された情報であってもよい。
【0051】
例えば、第２装置Ｂは、要素数ｉの要素を並び替えるための第２並替情報πＢと、を秘密に管理する。第２データ記憶部Ｂ１００は、第２並替情報πＢを記憶する。第２並替情報πＢは、第２装置Ｂで秘密に管理される情報である。第２並替情報πＢは、原則として、第２装置Ｂ以外の他の装置に送信されない。第２並替情報πＢは、要素の並び替えのルール示す。例えば、第２並替情報πＢは、並び替え前の要素の順序と、並び替え後の要素の順序と、関係を示す。本実施形態では、第２並替情報πＢが配列形式である場合を例に挙げるが、第２並替情報πＢは、要素の並び替えルールを示せばよく、例えば、単一の数値、複数の数値、行列、ベクトル、データフレーム、又はその他の情報であってもよい。
【0052】
なお、第２データ記憶部Ｂ１００が記憶するデータは、上記の例に限られない。第２データ記憶部Ｂ１００は、任意のデータを記憶可能である。例えば、第２データ記憶部Ｂ１００は、第２学習モデルＢＭの訓練データを記憶する。訓練データは、第２学習モデルＢＭに入力される入力部分と、当該入力部分に対応する出力部分と、を含む。出力部分は、学習時における正解に相当する。第２装置Ｂは、第２データ記憶部Ｂ１００に記憶された訓練データに基づいて、第２学習モデルＢＭのローカルな学習を実行する。第２装置Ｂは、訓練データの入力部分が入力された場合に、訓練データの出力部分が出力されるように、第２学習モデルＢＭのパラメータを調整する。
【0053】
本実施形態では、ユーザの年収を推定する第２学習モデルＢＭが作成されるので、訓練データの入力部分は、ユーザに関する何らかの情報である。例えば、第２サービスにおけるユーザのデモグラフィック情報等の特徴が訓練データの入力部分に相当する。訓練データの出力部分は、ユーザの年収である。訓練データの出力部分に相当する年収は、ユーザが第２サービスに登録した年収であってもよいし、ユーザが他のサービスに登録した年収であってもよい。訓練データの出力部分に相当する年収は、第２学習モデルＢＭの作成者が指定した年収であってもよい。第２装置Ｂは、連合学習の手法を利用して、ローカルで学習された第２学習モデルＢＭを更新してもよい。例えば、第２データ記憶部Ｂ１００は、上記説明したデータ以外にも、本実施形態で説明する各種情報を記憶してよい。
【0054】
【0055】
図６は、第１並替情報πＡ及び第２並替情報πＢに基づいて実行される第１秘密情報ａの並び替えの一例を示す図である。図６の並び替えは、実際に第１装置Ａ及び第２装置Ｂが実行する処理ではない。図６の並び替えは、上記技術思想の説明用の例である。図６の例では、第１秘密情報ａは、（５，３０，６５，６，６２）である。要素数ｉは、５である。第１並替情報πＡは、（１，３，５，２，４）である。配列は、大かっこで表現されることもあるが、図６の例では、小かっこで表現されるものとする。第２並替情報πＢは、（２，５，１，３，４）である。
【0056】
例えば、第１並替情報πＡ及び第２並替情報πＢの各要素は、並び替え後の順序を示す。第１並替情報πＡのｍ（ｍはｉ以下の自然数）番目の要素は、第１秘密情報ａのｍ番目の要素の並び替え後の順序である。図６の例では、第１並替情報πＡが（１，３，５，２，４）なので、第１秘密情報ａの１番目の要素は、並び替え後には１番目になる。第１秘密情報ａの２番目の要素は、並び替え後には３番目になる。第１秘密情報ａの３番目の要素は、並び替え後には５番目になる。第１秘密情報ａの４番目の要素は、並び替え後には４番目になる。
【0057】
本実施形態では、第１並替情報πＡに基づいて第１秘密情報ａが並び替えられた並替結果を、πＡ（ａ）とする。他の並び替えも同様のルールで記号が記載される。並替結果は、並び替えの対象となる情報が並び替えられた後の状態である。図６の例では、第１並替情報πＡに基づいて並び替えられた後の第１秘密情報ａが並替結果πＡ（ａ）に相当する。並替結果πＡ（ａ）は、（５，６，３０，６２，６５）になる。
【0058】
本実施形態では、第２並替情報πＢに基づく並び替えのルールが第１並替情報πＡと同様であるものとするが、第１並替情報πＡに基づく並び替えのルールと、第２並替情報πＢに基づく並び替えのルールと、が異なってもよい。図６の例では、第２並替情報πＢに基づいて並替結果πＡ（ａ）が並び替えられた並替結果πＢ（πＡ（ａ））は、（３０，５，６２，６５，６）になる。最終的な並び替えを示す並替情報をπとすると、πは、（２，１，４，５，３）である。なお、図６のπＡ・πＢの・は、積ではなく、最終的な並び替え順序を示すための記号である。
【0059】
図７は、第１秘密情報ａがシェアされる様子の一例を示す図である。本実施形態では、第１秘密情報ａ、第２秘密情報ｂ、第１並替情報πＡ、及び第２並替情報πＢの各々がネットワークＮに送信されることなく、第１秘密情報ａと、第２秘密情報ｂと、の内積を計算するために、秘密分散法が利用される。秘密分散法は、それ自体は意味を持たない乱数の断片をシェアする方法である。全部又は一部のシェアがあつまると、元のデータが復元される。本実施形態では、公知の秘密分散法に対し、並び替えの技術思想が適用されているので、従来の技術に対して革新的な構成を有している。
【0060】
図７の例では、第１秘密情報ａが（３，２，２，１，１）である。第１秘密情報ａに記載したＩＤ１～５は、ユーザ識別情報である。例えば、第１秘密情報ａの１番目の要素は、ＩＤ１のユーザに関する情報である。同様に、第１秘密情報ａの２番目～５番目の要素は、それぞれＩＤ２～ＩＤ５のユーザに関する情報である。後述する図８の第２秘密情報ｂに記載したＩＤ１～５も、第１秘密情報ａに記載したＩＤ１～５と同様の意味である。このため、第１秘密情報ａのｍ番目の要素に対応するユーザと、第２秘密情報ｂのｍb番目の要素に対応するユーザと、は同じユーザである。
【0061】
図７の例では、第１並替情報πＡは、（１，３，５，２，４）である。第２並替情報πＢは、（２，５，１，３，４）である。図７のように、秘密分散法により、第１秘密情報ａがシェアされたとすると、第１装置Ａは、情報＜ａ＞Ａを管理する。第２装置Ｂは、情報＜ａ＞Ｂを管理する。このように、本実施形態では、秘密分散法によりシェアされる情報が＜＞の記号で囲まれて、かつ、その情報管理する主体を記号の後にＡ又はＢの文字で示される。秘密分散法によりシェアされる情報は、単にシェアと呼ばれることもある。情報＜ａ＞Ａ及び情報＜ａ＞Ｂの各々は、乱数の断片ではあるが、これらが集まると第１秘密情報ａを復元可能になる。秘密分散法自体は、公知の手法を利用可能である。
【0062】
例えば、第１装置Ａが管理する情報＜ａ＞Ａは、（５，９，６，２，４）である。第１並替情報πＡで情報＜ａ＞Ａが並び替えられた並替結果＜πＡ（ａ）＞Ａは、（５，２，９，４，６）である。もし仮に、第２並替情報πＢで情報＜πＡ（ａ）＞Ａが並び替えられたとすると、並替結果＜πＢ＜πＡ（ａ））＞Ａは、（９，５，４，６，２）である。第１装置Ａは、第２並替情報πＢを取得できないので、この並び替えが第１装置Ａによって直接的に実行されるわけではない。あくまで、本実施形態の技術思想を説明するための並び替えとして説明する。
【0063】
例えば、第２装置Ａが管理する情報＜ａ＞Ｂは、（８，３，６，９，７）である。もし仮に、第１並替情報πＡで情報＜ａ＞Ｂが並び替えられたとすると、並替結果＜πＡ（ａ）＞Ｂは、（８，９，３，７，６）である。第２装置Ｂは、第１並替情報πＡを取得できないので、この並び替えが第２装置Ｂによって直接的に実行されるわけではない。あくまで、本実施形態の技術思想を説明するための並び替えとして説明する。第２並替情報πＢで情報＜πＡ（ａ）＞Ｂが並び替えられた並替結果＜πＢ＜πＡ（ａ））＞Ｂは、（３，８，７，６，９）である。
【0064】
図７のように、第１秘密情報ａは、並び替えの技術思想が適用されたうえで、第１装置Ａ及び第２装置Ｂでシェアされる。第２秘密情報ｂも同様であり、並び替えの技術思想が適用されたうえで、第１装置Ａ及び第２装置Ｂでシェアされる。これらのシェアが成功すると、第１装置Ａ及び第２装置Ｂの少なくとも一方は、第１秘密情報ａ及び第２秘密情報ｂの内積を取得できる。本実施形態では、第１装置Ａが第１秘密情報ａ及び第２秘密情報ｂの内積を取得する場合を例に挙げるが、第２装置Ｂが第１秘密情報ａ及び第２秘密情報ｂの内積を取得してもよい。
【0065】
図８は、第１秘密情報ａ及び第２秘密情報ｂの内積を取得するための技術思想の一例を示す図である。図８の例では、第２秘密情報ｂは、（１，３，１，２，３）である。第１秘密情報ａと、第２秘密情報ｂと、の内積は、１６である。例えば、１０で割った余りが学習で利用されたとすると、最終的な内積は、６である。図８のように、本実施形態では、第１秘密情報ａと、第２秘密情報ｂと、の内積を計算する問題を、第１装置Ａが並替結果＜πＢ＜πＡ（ａ））＞Ａ，＜πＢ＜πＡ（ｂ））＞Ａを取得し、かつ、第２装置Ｂが並替結果＜πＢ＜πＡ（ａ））＞Ｂ，＜πＢ＜πＡ（ｂ））＞Ｂを取得する問題と定義する。
【0066】
以降、この問題を解くための処理の一例を説明する。即ち、第１データ記憶部Ａ１００及び第２データ記憶部Ｂ１００以外の他の機能により実行される処理の一例を説明する。
【0067】
図９は、計算システム１０で実行される処理の一例を示す図である。図９の処理は、メインルーチンに相当する。図１０以降の処理は、サブルーチンに相当する。即ち、図９の処理は、計算システム１０で実行される全体的な処理である。図１０以降の処理は、個々の処理の具体例である。第１装置Ａが第１データ記憶部Ａ１００に記憶されたプログラムを実行し、第２装置Ｂが第２データ記憶部Ｂ１００に記憶されたプログラムを実行することによって、図９の処理が実行される。
【0068】
例えば、第１秘密情報取得部Ａ１０１は、第１データ記憶部Ａ１００に記憶された第１秘密情報ａを取得する（Ｓ１０）。Ｓ１０の処理により、第１秘密情報ａが読み出されて不揮発性メモリの記憶領域に展開される。第１秘密情報ａが予め当該記憶領域に展開されている場合には、Ｓ１０の処理は実行されなくてもよい。
【0069】
例えば、第１並替情報取得部Ａ１０２は、第１並替情報πＡを取得する（Ｓ１１）。Ｓ１１では、第１並替情報取得部Ａ１０２は、乱数に基づいて、第１並替情報πＡを生成する。例えば、第１並替情報取得部Ａ１０２は、要素数ｉと同じ個数の乱数を生成し、第１並替情報πＡの各要素とする。乱数を生成するためのアルゴリズムは、公知のアルゴリズムを利用可能である。例えば、線型合同法、乗算型合同法、Ｍ系列法、メルセンヌ・ツイスター法に基づいて、乱数が生成されてもよい。第１装置Ａは、以降の処理で乱数が必要な場合には、これらの手法に基づいて、乱数を生成可能である。
【0070】
なお、第１並替情報取得部Ａ１０２は、乱数に基づかずに、第１並替情報πＡを取得してもよい。例えば、第１並替情報取得部Ａ１０２は、第１並替情報πＡの一部の要素だけを乱数を利用して取得し、他の要素は、予め定められた固定値としてもよい。第１並替情報取得部Ａ１０２は、第１並替情報πＡの全ての要素を乱数に基づかずに取得してもよい。第１並替情報πＡは、その場で生成されるのではなく、予め第１データ記憶部Ａ１００に記憶されていてもよい。この場合、第１並替情報取得部Ａ１０２は、第１データ記憶部Ａ１００を参照し、第１並替情報πＡを取得すればよい。
【0071】
例えば、第２秘密情報取得部Ｂ１０１は、第２データ記憶部Ｂ１００に記憶された第２秘密情報ｂを取得する（Ｓ１２）。Ｓ１２の処理により、第２秘密情報ｂが読み出されて不揮発性メモリの記憶領域に展開される。第２秘密情報ｂが予め当該記憶領域に展開されている場合には、Ｓ１２の処理は実行されなくてもよい。
【0072】
例えば、第２並替情報取得部Ｂ１０２は、第２並替情報πＢを取得する（Ｓ１３）。Ｓ１３では、第２並替情報取得部Ｂ１０２は、乱数に基づいて、第２並替情報πＢを生成する。例えば、第２並替情報取得部Ｂ１０２は、要素数ｉと同じ個数の乱数を生成し、第２並替情報πＢの各要素とする。乱数を生成するためのアルゴリズムは、公知のアルゴリズムを利用可能である。例えば、線型合同法、乗算型合同法、Ｍ系列法、メルセンヌ・ツイスター法に基づいて、乱数が生成されてもよい。第２装置Ｂは、以降の処理で乱数が必要な場合には、これらの手法に基づいて、乱数を生成可能である。
【0073】
なお、第２並替情報取得部Ｂ１０２は、乱数に基づかずに、第２並替情報πＢを取得してもよい。例えば、第２並替情報取得部Ｂ１０２は、第２並替情報πＢの一部の要素だけを乱数を利用して取得し、他の要素は、予め定められた固定値としてもよい。第２並替情報取得部Ｂ１０２は、第２並替情報πＢの全ての要素を乱数に基づかずに取得してもよい。第２並替情報πＢは、その場で生成されるのではなく、予め第２データ記憶部Ｂ１００に記憶されていてもよい。この場合、第２並替情報取得部Ｂ１０２は、第２データ記憶部Ｂ１００を参照し、第２並替情報πＢを取得すればよい。
【0074】
例えば、第１管理情報取得部Ａ１０３は、第１並替情報πＡ及び第２並替情報πＢで第１秘密情報ａが並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第１並替結果（πＢ（πＡ（ａ））のうち、第１装置Ａが管理する第１管理情報＜ｃ＞Ａ＝＜πＢ（πＡ（ａ））＞Ａを取得する（Ｓ２０）。なお、本実施形態では、第１並替結果（πＢ（πＡ（ａ））及び第１管理情報＜ｃ＞Ａがベクトル形式である場合を説明するが、第１並替結果（πＢ（πＡ（ａ））及び第１管理情報＜ｃ＞Ａは、複数の数値、行列、配列、ベクトル、データフレーム、又はその他の情報であってもよい。
【0075】
例えば、第３管理情報取得部Ｂ１０３は、第１並替結果πＢ（πＡ（ａ））のうち、第２装置Ｂが管理する第３管理情報＜ｃ＞Ｂ＝＜πＢ（πＡ（ａ））＞Ｂを取得する（Ｓ２１）。Ｓ２０及びＳ２１の処理は、第１装置Ａ及び第２装置Ｂの各々が、第１並替情報πＡ及び第２並替情報πＢに関する並び替えを利用して秘密分散法で第１秘密情報ａをシェアするための処理である。
【0076】
図１０は、Ｓ２０及びＳ２１の処理の詳細の一例を示す図である。例えば、第５管理情報取得部Ａ１０５は、第１装置Ａ及び第２装置Ｂで分散して管理される第１分散情報Ｓのうち、第１装置Ａが管理する第５管理情報＜Ｓ＞Ａを取得する（Ｓ２００）。第１分散情報Ｓは、秘密分散法でシェアされる対象となる情報である。本実施形態では、第１分散情報Ｓが乱数である場合を説明するが、第１分散情報Ｓは、任意の情報であってよく、乱数に限られない。例えば、第１分散情報Ｓは、予め定められた固定値であってもよいし、現在の時刻であってもよい。
【0077】
Ｓ２００の処理の詳細例は、後述の図１１で説明する。同様に、後述のＳ２０１～Ｓ２０３の詳細例も、図１１で説明する。第５管理情報＜Ｓ＞Ａを取得するための処理は、図１１の例に限られない。第５管理情報取得部Ａ１０５は、図１１以外の他の秘密分散法に基づいて、第５管理情報＜Ｓ＞Ａを取得してもよい。他の秘密分散法自体は、公知の手法を利用可能であり、例えば、Shamir's Secret Sharing又はBlakley's Secret Sharingといった手法が利用されてもよい。この点は、以降の説明で何らかの情報がシェアされる場合も同様である。
【0078】
例えば、第１管理情報取得部Ａ１０３は、第１分散情報Ｓが第２並替情報πＢで並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第３並替結果πＢ（Ｓ）のうち、第１装置Ａが管理する第６管理情報＜πＢ（Ｓ）＞Ａを、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する（Ｓ２０１）。第１装置Ａ及び第２装置Ｂは、実際には第３並替結果πＢ（Ｓ）を取得せずに、あくまで第３並替結果πＢ（Ｓ）のシェアのみを取得する。例えば、第７管理情報取得部Ｂ１０５は、第１分散情報Ｓのうち、第２装置Ｂが管理する第７管理情報＜Ｓ＞Ｂを取得する（Ｓ２０２）。第８管理情報取得部Ｂ１０６、第３並替結果πＢ（Ｓ）のうち、第２装置Ｂが管理する第８管理情報＜πＢ（Ｓ）＞Ｂを取得する（Ｓ２０３）。
【0079】
図１１は、Ｓ２００～Ｓ２０３の処理の詳細の一例を示す図である。Ｓ２００～Ｓ２０３の処理は、秘密分散法が利用されて実行される。本実施形態では、「Wenjing Fang, Derun Zhao, Jin Tan, Chaochao Chen, Chaofan Yu, Li Wang, Lei Wang, Jun Zhou, Benyu Zhang, “Large-Scale Secure XGB for Vertical Federated Learning”」に記載の秘密分散法が利用される場合を例に挙げる。この手法は、後述のＳ３００～Ｓ３０３の処理と、Ｓ３０４～Ｓ３０７の処理と、についても同様である。なお、Ｓ２００～Ｓ２０３の処理、Ｓ３００～Ｓ３０３の処理、及びＳ３０４～Ｓ３０７の処理は、他の秘密分散法が利用されて実行されてもよい。他の秘密分散法の例は、先述した通りである。
【0080】
例えば、第１鍵取得部Ａ１１１は、第１公開鍵ＰＫ１と、第１秘密鍵ＳＫ１と、を取得する（Ｓ２０００）。本実施形態では、第１鍵取得部Ａ１１１が、公開鍵暗号方式の手法（準同型公開鍵暗号方式の手法を含む）に基づいて、第１公開鍵ＰＫ１と、第１秘密鍵ＳＫ１と、を取得する場合を例に挙げる。例えば、公開鍵暗号方式としては、ＲＳＡ、Ｐａｉｌｌｉｅｒ、ＤＳＡ、又はＥＣＤＳＡといった種々の手法が利用されてよい。また、公開鍵暗号方式以外の他の暗号方式が利用されてもよい。例えば、第１鍵取得部Ａ１１１は、共通鍵暗号方式、秘密鍵暗号方式、又はハイブリッド方式の手法に基づいて、鍵を生成してもよい。第１装置Ａ及び第２装置Ｂの間で暗号通信が実行される場合には、公知の種々の暗号方式における任意の鍵が利用されてよい。
【0081】
例えば、第１公開鍵送信部Ａ１１２は、第２装置Ｂに対し、第１公開鍵ＰＫ１を送信する（Ｓ２００１）。第１公開鍵受信部Ｂ１１５は、第２装置Ｂは、第１装置Ａから、第１公開鍵ＰＫ１を受信する（Ｓ２００２）。第１公開鍵ＰＫ１の受け渡し自体は、公知の公開鍵暗号方式の手法が利用されてよい。
【0082】
例えば、第５管理情報取得部Ａ１０５は、第２乱数に基づいて、第５管理情報＜Ｓ＞Ａを取得する（Ｓ２００３）。Ｓ２００３では、第５管理情報取得部Ａ１０５は、要素数ｉと同じ個数の第２乱数を生成し、第５管理情報＜Ｓ＞Ａとして取得する。第５管理情報取得部Ａ１０５は、第２乱数に基づかずに、第５管理情報＜Ｓ＞Ａを取得してもよい。例えば、第５管理情報取得部Ａ１０５は、予め定められた値を含む第５管理情報＜Ｓ＞Ａを取得してもよいし、第５管理情報＜Ｓ＞Ａの一部の要素だけを第２乱数に基づいて決定してもよい。
【0083】
例えば、第７管理情報取得部Ｂ１０５は、第３乱数に基づいて、第７管理情報＜Ｓ＞Ｂを取得する（Ｓ２００４）。Ｓ２００４では、第７管理情報取得部Ｂ１０５は、要素数ｉと同じ個数の第３乱数を生成し、第７管理情報＜Ｓ＞Ｂとして取得する。第７管理情報取得部Ｂ１０５は、第３乱数に基づかずに、第７管理情報＜Ｓ＞Ｂを取得してもよい。例えば、第７管理情報取得部Ｂ１０５は、予め定められた値を含む第７管理情報＜Ｓ＞Ｂを取得してもよいし、第７管理情報＜Ｓ＞Ｂの一部の要素だけを第３乱数に基づいて決定してもよい。
【0084】
例えば、第８管理情報取得部Ｂ１０６は、第４乱数に基づいて、第８管理情報＜πＢ（Ｓ）＞Ｂを取得する（Ｓ２００５）。Ｓ２００５では、第８管理情報取得部Ｂ１０６は、要素数ｉと同じ個数の第４乱数を生成し、第８管理情報＜πＢ（Ｓ）＞Ｂとして取得する。第８管理情報取得部Ｂ１０６は、第４乱数に基づかずに、第８管理情報＜πＢ（Ｓ）＞Ｂを取得してもよい。例えば、第８管理情報取得部Ｂ１０６は、予め定められた値を含む第８管理情報＜πＢ（Ｓ）＞Ｂを取得してもよいし、第８管理情報＜πＢ（Ｓ）＞Ｂの一部の要素だけを第４乱数に基づいて決定してもよい。
【0085】
例えば、第５管理情報送信部Ａ１１０は、第２装置Ｂに対し、第５管理情報＜Ｓ＞Ａを送信する（Ｓ２００６）。Ｓ２００６では、第５管理情報送信部Ａ１１０は、第１公開鍵ＰＫ１に基づいて、第５管理情報＜Ｓ＞Ａを暗号化し、第２装置Ｂに対し、当該暗号化された第５管理情報［＜Ｓ＞Ａ］を送信する。本実施形態では、暗号化された情報を［］で囲う。なお、第５管理情報送信部Ａ１１０は、第１秘密鍵ＳＫに基づいて暗号化を実行しもよい。また、公開鍵暗号方式以外の他の暗号方式が利用される場合には、第５管理情報送信部Ａ１１０は、第２装置Ｂに対し、他の暗号方式で暗号化した第５管理情報［＜Ｓ＞Ａ］を送信してもよい。例えば、暗号通信が利用されない場合には、第５管理情報送信部Ａ１１０は、第２装置Ｂに対し、平文で第５管理情報＜Ｓ＞Ａを送信してもよい。
【0086】
例えば、第５管理情報受信部Ｂ１１１は、第１装置Ａから、第５管理情報＜Ｓ＞Ａを受信する（Ｓ２００７）。Ｓ２００７では、第２装置Ｂの第５管理情報受信部Ｂ１１１は、第１装置Ａから、暗号化された第５管理情報［＜Ｓ＞Ａ］を受信する。なお、公開鍵暗号方式以外の他の暗号方式が利用される場合には、第５管理情報受信部Ｂ１１１は、他の暗号方式で暗号化された第５管理情報［＜Ｓ＞Ａ］を受信する。また、平文で第５管理情報＜Ｓ＞Ａが送信される場合には、第５管理情報受信部Ｂ１１１は、平文の第５管理情報＜Ｓ＞Ａを受信する。
【0087】
例えば、第３並替結果取得部Ｂ１１２は、第５管理情報＜Ｓ＞Ａと、第７管理情報＜Ｓ＞Ｂと、に基づいて、第３並替結果πＢ（Ｓ）＝＜Ｓ＞Ａ＋＜Ｓ＞Ｂを取得する（Ｓ２００８）。なお、第３並替結果取得部Ｂ１１２は、加算ではなく、減算、乗算、除算、又はその他の計算式に基づいて、第３並替結果πＢ（Ｓ）を取得してもよい。Ｓ２００８では、第３並替結果取得部Ｂ１１２は、第１公開鍵ＰＫ１に基づいて、第７管理情報＜Ｓ＞Ｂを暗号化し、暗号化された第５管理情報［＜Ｓ＞Ａ］と、当該暗号化された第７管理情報［＜Ｓ＞Ｂ］と、に基づいて、暗号化された第３並替結果［πＢ（Ｓ）］＝［＜Ｓ＞Ａ］＋［＜Ｓ＞Ｂ］を取得する。
【0088】
例えば、第６管理情報取得部Ｂ１１３は、第３並替結果πＢ（Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第６管理情報＜πＢ（Ｓ）＞Ａ＝πＢ（Ｓ）－＜πＢ（Ｓ）＞Ｂを取得する（Ｓ２００９）。なお、第６管理情報取得部Ｂ１１３は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第６管理情報＜πＢ（Ｓ）＞Ａを取得してもよい。Ｓ２００９では、第６管理情報取得部Ｂ１１３は、第１公開鍵ＰＫ１に基づいて、第８管理情報＜πＢ（Ｓ）＞Ｂを暗号化し、暗号化された第３並替結果［πＢ（Ｓ）］と、当該暗号化された第８管理情報［＜πＢ（Ｓ）＞Ｂ］と、に基づいて、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］＝［πＢ（Ｓ）］－［＜πＢ（Ｓ）＞Ｂ］を取得する。なお、第６管理情報取得部Ｂ１１３は、公開鍵暗号方式以外の他の暗号方式に基づいて、第８管理情報＜πＢ（Ｓ）＞を暗号化してもよい。また、暗号通信が利用されない場合には、第６管理情報取得部Ｂ１１３は、第８管理情報＜πＢ（Ｓ）＞Ｂの暗号化を実行しなくてもよい。
【0089】
例えば、第６管理情報送信部Ｂ１１４は、第１装置Ａに対し、第６管理情報＜πＢ（Ｓ）＞Ａを送信する（Ｓ２０１０）。Ｓ２０１０では、第６管理情報送信部Ｂ１１４は、第１装置Ａに対し、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を送信する。暗号通信が利用されない場合には、第６管理情報送信部Ｂ１１４は、平文の第６管理情報＜πＢ（Ｓ）＞の暗号化を実行しなくてもよい。
【0090】
例えば、第１管理情報取得部Ａ１０３は、第２装置Ｂから、第６管理情報＜πＢ（Ｓ）＞Ａを受信し、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する（Ｓ２０１１）。Ｓ２０１１では、第１管理情報取得部Ａ１０３は、第２装置Ｂから、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を受信して第１秘密鍵ＳＫ１で復号化し、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する。なお、第１管理情報取得部Ａ１０３は、公開鍵暗号方式以外の他の暗号方式に基づいて、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を復号化してもよい。また、暗号通信が利用されない場合には、第１管理情報取得部Ａ１０３は、復号化を実行しなくてもよい。以上説明したＳ２０００～Ｓ２０１１の処理がＳ２００～Ｓ２０３の処理の詳細である。
【0091】
図１０に戻り、例えば、第１公開情報取得部Ｂ１０７は、第１並替情報πＡで第１秘密情報ａが並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第４並替結果πＡ（ａ）のうち、第２装置Ｂが管理する第９管理情報＜πＡ（ａ）＞Ｂとして、第１装置Ａに公開される第１公開情報ｒを取得する（Ｓ２０４）。Ｓ２０４では、第２装置Ｂの第１公開情報取得部Ｂ１０７は、第１乱数に基づいて、第１公開情報ｒを取得する。第１公開情報取得部Ｂ１０７は、本実施形態で例示された任意の乱数生成アルゴリズムに基づいて、要素数ｉと同じ個数の第１乱数を生成し、第１公開情報ｒとして取得する。第１公開情報取得部Ｂ１０７は、第１乱数ではなく、予め定められた固定値を第１公開情報ｒとして取得してもよいし、現在日時を第１公開情報ｒとして取得してもよい。
【0092】
例えば、第１公開情報送信部Ｂ１０８は、第１装置Ａに対し、第１公開情報ｒを送信する（Ｓ２０５）。本実施形態では、第１公開情報送信部Ｂ１０８が、所定の暗号化アルゴリズムに基づいて第１公開情報ｒを暗号化したうえで第１装置Ａに送信する場合を例に挙げるが、第１公開情報送信部Ｂ１０８は、第１装置Ａに対し、第１公開情報ｒを暗号化せずに平文で送信してもよい。
【0093】
例えば、第１公開情報受信部Ａ１０６は、第２装置Ｂから、第１公開情報ｒを受信する（Ｓ２０６）。本実施形態では、第１公開情報ｒが暗号化されているので、第１公開情報受信部Ａ１０６は、第２装置Ｂから受信した第１公開情報ｒを復号化する。第１公開情報ｒが平文で送信される場合には、第１公開情報受信部Ａ１０６は、復号化を行わない。
【0094】
例えば、第１０管理情報取得部Ａ１０７は、第１公開情報ｒに基づいて、第４並替結果πＡ（ａ）のうち、第１装置Ａが管理する第１０管理情報＜πＡ（ａ）＞Ａを取得する（Ｓ２０７）。Ｓ２０７では、第１０管理情報取得部Ａ１０７は、第４並替結果πＡ（ａ）と、第１公開情報ｒと、の差を第１０管理情報＜πＡ（ａ）＞Ａ＝πＡ（ａ）－ｒとして取得する。なお、第１０管理情報取得部Ａ１０７は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第１０管理情報＜πＡ（ａ）＞Ａを取得してもよい。
【0095】
例えば、第２公開情報取得部Ａ１０８は、第１０管理情報＜πＡ（ａ）＞Ａと、第５管理情報＜Ｓ＞Ａと、に基づいて、第２装置Ｂに公開される第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを取得する（Ｓ２０８）。なお、第２公開情報取得部Ａ１０８は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第２公開情報を取得してもよい。
【0096】
例えば、第２公開情報送信部Ａ１０９は、第２装置Ｂに対し、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを送信する（Ｓ２０９）。本実施形態では、第２公開情報送信部Ａ１０９が、所定の暗号化アルゴリズムに基づいて第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第２公開情報送信部Ａ１０９は、第２装置Ｂに対し、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを暗号化せずに平文で送信してもよい。
【0097】
例えば、第２公開情報受信部Ｂ１０９は、第１装置Ａから、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを受信する（Ｓ２１０）。本実施形態では、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａが暗号化されているので、第２公開情報受信部Ｂ１０９は、第１装置Ａから受信した第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを復号化する。第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａが平文で送信される場合には、第２公開情報受信部Ｂ１０９は、復号化を行わない。
【0098】
例えば、第１計算情報取得部Ｂ１１０は、第８管理情報＜Ｓ＞Ｂ、第９管理情報＜πＡ（ａ）＞Ｂ、及び第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａに基づいて、第１計算情報πＡ（ａ）－Ｓ＝＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａ＋＜πＡ（ａ）＞Ｂ－＜Ｓ＞Ｂを取得する（Ｓ２１１）。第１計算情報取得部Ｂ１１０は、予め定められた計算式に基づいてＳ２１１の計算を実行すればよく、他の計算式に基づいてＳ２１１の計算を実行してもよい。
【0099】
例えば、第２装置Ｂの第３管理情報取得部Ｂ１０３は、第２並替情報πＢで第１計算情報πＡ（ａ）－Ｓが並び替えられた第５並替結果πＢ（πＡ（ａ）－Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第３管理情報＜πＢ（πＡ（ａ））＞Ｂ＝πＢ（πＡ（ａ）－Ｓ）＋＜πＢ（Ｓ）＞Ｂを取得する（Ｓ２１２）。第３管理情報取得部Ｂ１０３は、予め定められた計算式に基づいてＳ２１２の計算を実行すればよく、他の計算式に基づいてＳ２１２の計算を実行してもよい。以上説明したＳ２００～Ｓ２１２の処理がＳ２０及びＳ２１の処理の詳細である。
【0100】
図９に戻り、例えば、第２管理情報取得部Ａ１０４は、第１並替情報πＡ及び第２並替情報πＢで第２秘密情報ｂが並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第２並替結果πＢ（πＡ（ｂ））のうち、第１装置Ａが管理する第２管理情報＜ｄ＞Ａ＝＜πＢ（πＡ（ｂ））＞Ａを取得する（Ｓ３０）。なお、本実施形態では、第２並替結果πＢ（πＡ（ｂ））及び第２管理情報＜ｄ＞Ａがベクトル形式である場合を説明するが、第２並替結果πＢ（πＡ（ｂ））及び第２管理情報＜ｄ＞Ａは、複数の数値、行列、ベクトル、データフレーム、又はその他の情報であってもよい。
【0101】
例えば、第４管理情報取得部Ｂ１０４は、第２並替結果πＢ（πＡ（ｂ））のうち、第２装置Ｂが管理する第４管理情報＜ｄ＞Ｂ＝＜πＢ（πＡ（ｂ））＞Ｂを取得する（Ｓ３１）。Ｓ３０及びＳ３１の処理は、第１装置Ａ及び第２装置Ｂの各々が、第１並替情報πＡ及び第２並替情報πＢに関する並び替えを利用して秘密分散法で第２秘密情報ｂをシェアするための処理である。
【0102】
図１２は、Ｓ３０及びＳ３１の処理の詳細の一例を示す図である。例えば、第１１管理情報取得部Ａ１１３は、第１装置Ａ及び第２装置Ｂで分散して管理される第２分散情報Ｒのうち、第１装置Ａが管理する第１１管理情報＜Ｒ＞Ａを取得する（Ｓ３００）。第２分散情報Ｒは、秘密分散法でシェアされる対象となる情報である。本実施形態では、第２分散情報Ｒが乱数である場合を説明するが、第２分散情報Ｒは、任意の情報であってよく、乱数に限られない。例えば、第２分散情報Ｒは、予め定められた固定値であってもよいし、現在の時刻であってもよい。
【0103】
Ｓ３００の処理の詳細例は、後述の図１３で説明する。同様に、後述のＳ３０１～Ｓ３０３の詳細例も、図１３で説明する。第１１管理情報＜Ｒ＞Ａを取得するための処理は、図１３の例に限られない。第１１管理情報取得部Ａ１１３は、図１３以外の他の秘密分散法に基づいて、第１１管理情報＜Ｒ＞Ａを取得してもよい。他の秘密分散法自体は、公知の手法を利用可能であり、例えば、Shamir's Secret Sharing又はBlakley's Secret Sharingといった手法が利用されてもよい。この点は、以降の説明で何らかの情報がシェアされる場合も同様である。
【0104】
例えば、第１２管理情報取得部Ａ１１４は、第２分散情報Ｒが第１並替情報πＡで並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第６並替結果πＡ（Ｒ）のうち、第１装置Ａが管理する第１２管理情報＜πＡ（Ｒ）＞Ａを取得する（Ｓ３０１）。第１装置Ａ及び第２装置Ｂは、実際には第６並替結果πＡ（Ｒ）を取得せずに、あくまで第６並替結果πＡ（Ｒ）のシェアのみを取得する。
【0105】
例えば、第１３管理情報取得部Ｂ１１６は、第２分散情報Ｒのうち、第２装置Ｂが管理する第１３管理情報＜Ｒ＞Ｂを取得する（Ｓ３０２）。第１４管理情報取得部Ｂ１１７は、第１並替情報πＡで第２秘密情報ｂが並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第７並替結果πＡ（ｂ）のうち、第２装置Ｂが管理する第１４管理情報＜πＡ（ｂ）＞Ｂとして、第６並替結果πＡ（Ｒ）のうち、第２装置Ｂが管理する第１５管理情報＜πＡ（Ｒ）＞Ｂを取得する（Ｓ３０３）。
【0106】
図１３は、Ｓ３００～Ｓ３０３の処理の詳細の一例を示す図である。第２鍵取得部Ｂ１２２は、第２公開鍵ＰＫ２と、第２秘密鍵ＳＫ２と、を取得する（Ｓ３０００）。本実施形態では、第２鍵取得部Ｂ１２２が、公開鍵暗号方式の手法に基づいて、第２公開鍵ＰＫ２と、第２秘密鍵ＳＫ２と、を取得する場合を例に挙げるが、第２鍵取得部Ｂ１２２が生成する鍵自体は、公知の種々の鍵であってよい。例えば、第２鍵取得部Ｂ１２２は、共通鍵暗号方式の手法に基づいて、鍵を生成してもよい。第１装置Ａ及び第２装置Ｂの間で暗号通信が実行される場合には、公知の種々の暗号方式における任意の鍵が利用されてよい。
【0107】
例えば、第２公開鍵送信部Ｂ１２３は、第１装置Ａに対し、第２公開鍵ＰＫ２を送信する（Ｓ３００１）。第２公開鍵受信部Ａ１２４は、第１装置Ａは、第２装置Ｂから、第２公開鍵ＰＫ２を受信する（Ｓ３００２）。第２公開鍵ＰＫ２の受け渡し自体は、公知の公開鍵暗号方式の手法が利用されてよい。
【0108】
例えば、第１１管理情報取得部Ａ１１３は、第５乱数に基づいて、第１１管理情報＜Ｒ＞Ａを取得する（Ｓ３００３）。Ｓ３００３では、第１１管理情報取得部Ａ１１３は、要素数ｉと同じ個数の第５乱数を生成し、第１１管理情報＜Ｒ＞Ａとして取得する。第１１管理情報取得部Ａ１１３は、第５乱数に基づかずに、第１１管理情報＜Ｒ＞Ａを取得してもよい。例えば、第１１管理情報取得部Ａ１１３は、予め定められた値を含む第１１管理情報＜Ｒ＞Ａを取得してもよいし、第１１管理情報＜Ｒ＞Ａの一部の要素だけを第５乱数に基づいて決定してもよい。
【0109】
例えば、第１２管理情報取得部Ａ１１４は、第６乱数に基づいて、第１２管理情報＜πＡ（Ｒ）＞Ａを取得する（Ｓ３００４）。Ｓ３００４では、第１２管理情報取得部Ａ１１４は、要素数ｉと同じ個数の第６乱数を生成し、第１２管理情報＜πＡ（Ｒ）＞Ａとして取得する。第１２管理情報取得部Ａ１１４は、第６乱数に基づかずに、第１２管理情報＜πＡ（Ｒ）＞Ａを取得してもよい。例えば、第１２管理情報取得部Ａ１１４は、予め定められた値を含む第１２管理情報＜πＡ（Ｒ）＞Ａを取得してもよいし、第７管理情報＜Ｓ＞Ｂの一部の要素だけを第６乱数に基づいて決定してもよい。
【0110】
例えば、第１３管理情報取得部Ｂ１１６は、第７乱数に基づいて、第１３管理情報＜Ｒ＞Ｂを取得する（Ｓ３００５）。Ｓ３００５では、第１３管理情報取得部Ｂ１１６は、要素数ｉと同じ個数の第７乱数を生成し、第１３管理情報＜Ｒ＞Ｂとして取得する。第１３管理情報取得部Ｂ１１６は、第７乱数に基づかずに、第１３管理情報＜Ｒ＞Ｂを取得してもよい。例えば、第１３管理情報取得部Ｂ１１６は、予め定められた値を含む第１３管理情報＜Ｒ＞Ｂを取得してもよいし、第１３管理情報＜Ｒ＞Ｂの一部の要素だけを第７乱数に基づいて決定してもよい。
【0111】
例えば、第１３管理情報送信部は、第１装置Ａに対し、第１３管理情報＜Ｒ＞Ｂを送信する（Ｓ３００６）。Ｓ３００６では、第２装置Ｂの第１３管理情報送信部は、第２公開鍵ＰＫ２に基づいて、第１３管理情報＜Ｒ＞Ｂを暗号化し、第１装置Ａに対し、当該暗号化された第１３管理情報［＜Ｒ＞Ｂ］を送信する。なお、第１３管理情報送信部は、第１秘密鍵ＳＫに基づいて暗号化を実行しもよい。また、公開鍵暗号方式以外の他の暗号方式が利用される場合には、第１３管理情報送信部は、第１装置Ａに対し、他の暗号方式で暗号化した第１３管理情報［＜Ｒ＞Ｂ］を送信してもよい。例えば、暗号通信が利用されない場合には、第１３管理情報送信部は、第１装置Ａに対し、平文で第１３管理情報＜Ｒ＞Ｂを送信してもよい。
【0112】
例えば、第１３管理情報受信部Ａ１２０は、第２装置Ｂから、第１３管理情報＜Ｒ＞Ｂを受信する（Ｓ３００７）。Ｓ３００７では、第１３管理情報受信部Ａ１２０は、第２装置Ｂから、暗号化された第１３管理情報［＜Ｒ＞Ｂ］を受信する。Ｓ３００７では、第１３管理情報受信部Ａ１２０は、第２装置Ｂから、暗号化された第１３管理情報［＜Ｒ＞Ｂ］を受信する。なお、公開鍵暗号方式以外の他の暗号方式が利用される場合には、第１３管理情報受信部Ａ１２０は、他の暗号方式で暗号化された第１３管理情報［＜Ｒ＞Ｂ］を受信する。また、平文で第１３管理情報＜Ｒ＞Ｂが送信される場合には、第１３管理情報受信部Ａ１２０は、平文の第１３管理情報＜Ｒ＞Ｂを受信する。
【0113】
例えば、第６並替結果取得部Ａ１２１は、第１１管理情報＜Ｒ＞Ａと、第１３管理情報＜Ｒ＞Ｂと、に基づいて、第６並替結果πＡ（Ｒ）を＝＜Ｒ＞Ａ＋＜Ｒ＞Ｂを取得する（Ｓ３００８）。なお、第６並替結果取得部Ａ１２１は、加算ではなく、減算、乗算、除算、又はその他の計算式に基づいて、第６並替結果πＡ（Ｒ）を取得してもよい。Ｓ３００８では、第６並替結果取得部Ａ１２１は、第２公開鍵ＰＫ２に基づいて、第１１管理情報＜Ｒ＞Ａを暗号化し、暗号化された第１３管理情報［＜Ｒ＞Ｂ］と、当該暗号化された第１１管理情報［＜Ｒ＞Ａ］と、に基づいて、暗号化された第６並替結果［πＡ（Ｒ）］＝［＜Ｒ＞Ａ］＋［＜Ｒ＞Ｂ］を取得する。
【0114】
例えば、第１５管理情報取得部Ａ１２２は、第６並替結果πＡ（Ｒ）と、第１２管理情報＜πＡ（Ｒ）＞Ａと、に基づいて、第１５管理情報＜πＡ（Ｒ）＞Ｂ＝πＡ（Ｒ）－＜πＡ（Ｒ）＞Ａを取得する（Ｓ３００９）。なお、第１５管理情報取得部Ａ１２２は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第１５管理情報＜πＡ（Ｒ）＞Ｂを取得してもよい。Ｓ３００９では、第１５管理情報取得部Ａ１２２は、第２公開鍵ＰＫ２に基づいて、第１２管理情報＜πＡ（Ｒ）＞Ａを暗号化し、暗号化された第６並替結果［πＡ（Ｒ）］と、当該暗号化された第１２管理情報［＜πＡ（Ｒ）＞Ａ］と、に基づいて、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］＝［πＡ（Ｒ）］＋［＜πＡ（Ｒ）＞Ａ］を取得する。なお、第１５管理情報取得部Ａ１２２は、公開鍵暗号方式以外の他の暗号方式に基づいて、第１２管理情報＜πＡ（Ｒ）＞Ａを暗号化してもよい。また、暗号通信が利用されない場合には、第１５管理情報取得部Ａ１２２は、第１２管理情報＜πＡ（Ｒ）＞Ａの暗号化を実行しなくてもよい。
【0115】
例えば、第１５管理情報送信部Ａ１２３は、第２装置Ｂに対し、第１５管理情報＜πＡ（Ｒ）＞Ｂを送信する（Ｓ３０１０）。Ｓ３０１０では、第１５管理情報送信部Ａ１２３は、第２装置Ｂに対し、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を送信する。暗号通信が利用されない場合には、第１５管理情報送信部Ａ１２３は、平文の第１５管理情報＜πＡ（Ｒ）＞Ｂの暗号化を実行しなくてもよい。
【0116】
例えば、第２装置Ｂの第１４管理情報取得部Ｂ１１７は、第１装置Ａから、第１５管理情報＜πＡ（Ｒ）＞Ｂを受信し、当該第１５管理情報＜πＡ（Ｒ）＞Ｂを、第１４管理情報＜πＡ（ｂ）＞Ｂとして取得する（Ｓ３０１１）。Ｓ３０１１では、第２装置Ｂの第１４管理情報取得部Ｂ１１７は、第１装置Ａから、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を受信して第２秘密鍵ＳＫ２で復号化し、当該復号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を第１４管理情報＜πＡ（ｂ）＞Ｂとして取得する。なお、第１４管理情報取得部Ｂ１１７は、公開鍵暗号方式以外の他の暗号方式に基づいて、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を復号化してもよい。また、暗号通信が利用されない場合には、第１４管理情報取得部Ｂ１１７は、復号化を実行しなくてもよい。以上説明したＳ３０００～Ｓ３０１１の処理がＳ３００～Ｓ３０３の処理の詳細である。
【0117】
図１２に戻り、Ｓ３０４～Ｓ３０７の処理は、Ｓ２００～Ｓ２０３と同様である。なお、既にＳ２００～Ｓ２０３の処理が実行されているので、Ｓ３０４～Ｓ３０７の処理は省略してもよい。なお、Ｓ３０４において、第２管理情報取得部Ａ１０４は、第１分散情報Ｓが第２並替情報πＢで並び替えられた結果であって、第１装置Ａ及び第２装置Ｂで分散して管理される第３並替結果πＢ（Ｓ）のうち、第１装置Ａが管理する第６管理情報＜πＢ（Ｓ）＞Ａを、第２管理情報＜πＢ（πＡ（ｂ））＞Ａとして取得する。
【0118】
例えば、第３公開情報取得部Ｂ１１８は、第２秘密情報ｂと、第１３管理情報＜Ｒ＞Ｂと、に基づいて、第１装置Ａに公開される第３公開情報ｂ－＜Ｒ＞Ｂを取得する（Ｓ３０８）。なお、第３公開情報取得部Ｂ１１８は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第３公開情報ｂ－＜Ｒ＞Ｂを取得してもよい。
【0119】
例えば、第３公開情報送信部Ｂ１１９は、第１装置Ａに対し、第３公開情報ｂ－＜Ｒ＞Ｂを送信する（Ｓ３０９）。本実施形態では、第３公開情報送信部Ｂ１１９は、所定の暗号化アルゴリズムに基づいて第３公開情報ｂ－＜Ｒ＞Ｂを暗号化したうえで第１装置Ａに送信する場合を例に挙げるが、第３公開情報送信部Ｂ１１９は、第１装置Ａに対し、第３公開情報ｂ－＜Ｒ＞Ｂを暗号化せずに平文で送信してもよい。
【0120】
例えば、第３公開情報受信部Ａ１１５は、第２装置Ｂから、第３公開情報ｂ－＜Ｒ＞Ｂを受信する（Ｓ３１０）。本実施形態では、第３公開情報ｂ－＜Ｒ＞Ｂが暗号化されているので、第３公開情報受信部Ａ１１５は、第２装置Ｂから受信した第３公開情報ｂ－＜Ｒ＞Ｂを復号化する。第３公開情報ｂ－＜Ｒ＞Ｂが平文で送信される場合には、第３公開情報受信部Ａ１１５は、復号化を行わない。
【0121】
例えば、第２計算情報取得部Ａ１１６は、第１１管理情報＜Ｒ＞Ａと、第３公開情報ｂ－＜Ｒ＞Ｂと、に基づいて、第２計算情報ｂ－Ｒ＝＜Ｒ＞Ａ＋（ｂ－＜Ｒ＞Ｂ）を取得する（Ｓ３１１）。なお、第２計算情報取得部Ａ１１６は、加算ではなく、減算、乗算、除算、又はその他の計算式に基づいて、Ｓ３１１の処理を実行してもよい。
【0122】
例えば、第１６管理情報取得部Ａ１１７は、第１並替情報πＡで第２計算情報ｂ－Ｒが並び替えられた第８並替結果πＢ（πＡ（ｂ）－Ｓ）と、第１２管理情報＜πＡ（Ｒ）＞Ａと、基づいて、第７並替結果πＡ（ｂ）のうち、第１装置Ａが管理する第１６管理情報＜πＡ（ｂ）＞Ａ＝πＡ（ｂ－Ｒ）＋＜πＡ（Ｒ）＞Ａを取得する（Ｓ３１２）。第１６管理情報取得部Ａ１１７は、加算ではなく、減算、乗算、除算、又はその他の計算式に基づいて、Ｓ３１２の処理を実行してもよい。
【0123】
例えば、第４公開情報取得部Ａ１１８は、第１６管理情報＜πＡ（ｂ）＞Ａと、第５管理情報＜Ｓ＞Ａと、に基づいて、第２装置Ｂに公開される第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを取得する（Ｓ３１３）。なお、第４公開情報取得部Ａ１１８は、減算ではなく、加算、乗算、除算、又はその他の計算式に基づいて、第４公開情報を取得してもよい。
【0124】
例えば、第４公開情報送信部Ａ１１９は、第２装置Ｂに対し、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを送信する（Ｓ３１４）。本実施形態では、第４公開情報送信部Ａ１１９は、所定の暗号化アルゴリズムに基づいて第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第４公開情報送信部Ａ１１９は、第２装置Ｂに対し、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを暗号化せずに平文で送信してもよい。
【0125】
例えば、第４公開情報受信部Ｂ１２０は、第１装置Ａから、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを受信する（Ｓ３１５）。本実施形態では、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａが暗号化されているので、第４公開情報受信部Ｂ１２０は、第１装置Ａから受信した第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを復号化する。第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａが平文で送信される場合には、第４公開情報受信部Ｂ１２０は、復号化を行わない。
【0126】
例えば、第３計算情報取得部Ｂ１２１は、第１４管理情報＜πＡ（ｂ）＞Ｂ、第７管理情報＜Ｓ＞Ｂ、及び第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａに基づいて、第３計算情報πＡ（ｂ）－Ｓ＝＜πＡ（ｂ）＞Ｂ－＜Ｓ＞Ｂ＋（＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａ）を取得する（Ｓ３１６）。第３計算情報取得部Ｂ１２１は、予め定められた計算式に基づいてＳ３１６の計算を実行すればよく、他の計算式に基づいてＳ３１６の計算を実行してもよい。
【0127】
例えば、第２装置Ｂの第４管理情報取得部Ｂ１０４は、第２並替情報πＢで第３計算情報πＡ（ｂ）－Ｓが並び替えられた第９並替結果πＢ（πＡ（ｂ）－Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第４管理情報＜πＢ（πＡ（ｂ））＞Ｂ＝πＢ（πＡ（ｂ）－Ｓ）＋＜πＢ（Ｓ）＞Ｂを取得する（Ｓ３１７）。第４管理情報取得部Ｂ１０４は、予め定められた計算式に基づいてＳ３１７の計算を実行すればよく、他の計算式に基づいてＳ３１７の計算を実行してもよい。以上説明したＳ３００～Ｓ３１７の処理がＳ３０及びＳ３１の処理の詳細である。
【0128】
図１０に戻り、例えば、第１管理積取得部Ａ１２５は、第１管理情報＜ｃ＞Ａと、第２管理情報＜ｄ＞Ａと、に基づいて、第１並替結果（πＢ（πＡ（ａ））と、第２並替結果πＢ（πＡ（ｂ））と、の積であって、第１装置Ａ及び第２装置Ｂで分散して管理される分散積ｅｉ＝ｃｉｄｉのうち、第１装置Ａが管理する第１管理積＜ｅｉ＞Ａを取得する（Ｓ４０）。Ｓ４０では、第１管理積取得部Ａ１２５は、BMT(Beaver Multiplication Triples)の手法に基づいて、第１管理積＜ｅｉ＞Ａを取得する。なお、第１管理積取得部Ａ１２５は、BMT以外の他の秘密計算に基づいて、第１管理積＜ｅｉ＞Ａを取得してもよい。
【0129】
例えば、第２管理積取得部Ｂ１２４は、第３管理情報＜ｃ＞Ｂと、第４管理情報＜ｄ＞Ｂと、に基づいて、分散積ｅｉ＝ｃｉｄｉのうち、第２装置Ｂが管理する第２管理積＜ｅｉ＞Ｂを取得する（Ｓ４１）。Ｓ４１では、第２管理積取得部Ｂ１２４は、BMTの手法に基づいて、第２管理積＜ｅｉ＞Ｂを取得する。なお、第２管理積取得部Ｂ１２４は、BMT以外の他の秘密計算に基づいて、第２管理積＜ｅｉ＞Ｂを取得してもよい。秘密計算は、装置が情報を公開することなく計算するための技術である。例えば、秘密計算は、秘密分散法、MPC(Multi-Party Computation)、ホモモーフィック暗号、可逆性秘密計算、又はTEE(Trusted Execution Environment)が利用されてもよい。
【0130】
例えば、第１合計取得部Ａ１２６、第１管理積＜ｅｉ＞Ａの合計である第１合計Σｉ＜ｅｉ＞Ａを取得する（Ｓ４２）。第２合計取得部Ｂ１２５は、第２管理積＜ｅｉ＞Ｂの各要素の合計である第２合計Σｉ＜ｅｉ＞Ｂを取得する（Ｓ４３）。第２合計送信部Ｂ１２６は、第１装置Ａに対し、第２合計Σｉ＜ｅｉ＞Ｂを送信する（Ｓ４４）。本実施形態では、第２合計送信部Ｂ１２６が、所定の暗号化アルゴリズムに基づいて第２合計Σｉ＜ｅｉ＞Ｂを暗号化したうえで第２装置Ｂに送信する場合を例に挙げるが、第２合計送信部Ｂ１２６は、第１装置Ａに対し、第２合計Σｉ＜ｅｉ＞Ｂを暗号化せずに平文で送信してもよい。
【0131】
例えば、第２合計受信部Ａ１２７は、第２装置Ｂから、第２合計Σｉ＜ｅｉ＞Ｂを受信する（Ｓ４５）。本実施形態では、第２合計Σｉ＜ｅｉ＞Ｂが暗号化されているので、第２合計受信部Ａ１２７は、第２装置Ｂから受信した第２合計Σｉ＜ｅｉ＞Ｂを復号化する。第２合計Σｉ＜ｅｉ＞Ｂが平文で送信される場合には、第２合計受信部Ａ１２７は、復号化を行わない。
【0132】
秘密積計算部Ａ１２８は、第１合計Σｉ＜ｅｉ＞Ａと、第２合計Σｉ＜ｅｉ＞Ｂと、に基づいて、秘密積Σｉａｉｂｉ＝Σｉｃｉｄｉ＝Σｉｅｉ＝Σｉ＜ｅｉ＞Ａ＋Σｉ＜ｅｉ＞Ｂを計算し（Ｓ４６）、本処理は終了する。本実施形態では、秘密積Σｉａｉｂｉが内積である場合を説明するが、秘密積Σｉａｉｂｉは、何らかの積を示す情報であればよい。以上のように、計算システム１０では、第１管理情報＜ｃ＞Ａ、第２管理情報＜ｄ＞Ａ、第３管理情報＜ｃ＞Ｂ及び第４管理情報＜ｄ＞Ｂに基づいて、第１秘密情報ａと、第２秘密情報ｂと、の積である秘密積Σｉａｉｂｉ＝Σｉｃｉｄｉ＝Σｉｅｉ＝Σｉ＜ｅｉ＞Ａ＋Σｉ＜ｅｉ＞Ｂが計算される。即ち、計算システム１０では、第１合計Σｉ＜ｅｉ＞Ａと、第２合計Σｉ＜ｅｉ＞Ｂと、に基づいて、秘密積Σｉａｉｂｉが計算される。
【0133】
例えば、計算システム１０では、秘密積Σｉａｉｂｉに基づいて、連合学習における学習モデルＭの学習が実行される。例えば、学習モデルＭは、複数の他の学習モデルの各々の推定結果に基づいて、所定の推定を実行するスタッキング学習におけるモデルであってもよい。本実施形態では、第２装置Ｂは、秘密積Σｉａｉｂｉに基づいて、第２学習モデルＢＭの学習を実行する。例えば、第２装置Ｂは、図２に示す計算式に基づいて、第２学習モデルＢＭの学習を実行する。
【0134】
［４．実施形態のまとめ］
本実施形態の第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第１並替結果（πＢ（πＡ（ａ））のうち、第１装置Ａが管理する第１管理情報＜ｃ＞Ａ＝＜πＢ（πＡ（ａ））＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第２並替結果πＢ（πＡ（ｂ））のうち、第１装置Ａが管理する第２管理情報＜ｄ＞Ａ＝＜πＢ（πＡ（ｂ））＞Ａを取得する。第２装置Ｂは、第１並替結果πＢ（πＡ（ａ））のうち、第２装置Ｂが管理する第３管理情報＜ｃ＞Ｂ＝＜πＢ（πＡ（ａ））＞Ｂを取得する。第２装置Ｂは、第２並替結果πＢ（πＡ（ｂ））のうち、第２装置Ｂが管理する第４管理情報＜ｄ＞Ｂ＝＜πＢ（πＡ（ｂ））＞Ｂを取得する。計算システム１０では、第１管理情報＜ｃ＞Ａ、第２管理情報＜ｄ＞Ａ、第３管理情報＜ｃ＞Ｂ及び第４管理情報＜ｄ＞Ｂに基づいて、第１秘密情報ａと、第２秘密情報ｂと、の積である秘密積Σｉａｉｂｉが計算される。これにより、第１装置Ａが秘密に管理する第１秘密情報ａと、第２装置Ｂが秘密に管理する第２秘密情報ｂと、が直接的に送信されるわけではないので、秘密積Σｉａｉｂｉを計算する場合のセキュリティが高まる。第三者は、第１装置Ａ及び第２装置Ｂの間でやりとりされる情報を取得しても、第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。特に、従来の秘密分散法に比べて、要素の並び替えといった新規な構成を有するので、セキュリティがより高まる。
本実施形態の第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第１並替結果（πＢ（πＡ（ａ））のうち、第１装置Ａが管理する第１管理情報＜ｃ＞Ａ＝＜πＢ（πＡ（ａ））＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第２並替結果πＢ（πＡ（ｂ））のうち、第１装置Ａが管理する第２管理情報＜ｄ＞Ａ＝＜πＢ（πＡ（ｂ））＞Ａを取得する。第２装置Ｂは、第１並替結果πＢ（πＡ（ａ））のうち、第２装置Ｂが管理する第３管理情報＜ｃ＞Ｂ＝＜πＢ（πＡ（ａ））＞Ｂを取得する。第２装置Ｂは、第２並替結果πＢ（πＡ（ｂ））のうち、第２装置Ｂが管理する第４管理情報＜ｄ＞Ｂ＝＜πＢ（πＡ（ｂ））＞Ｂを取得する。計算システム１０では、第１管理情報＜ｃ＞Ａ、第２管理情報＜ｄ＞Ａ、第３管理情報＜ｃ＞Ｂ及び第４管理情報＜ｄ＞Ｂに基づいて、第１秘密情報ａと、第２秘密情報ｂと、の積である秘密積Σｉａｉｂｉが計算される。これにより、第１装置Ａが秘密に管理する第１秘密情報ａと、第２装置Ｂが秘密に管理する第２秘密情報ｂと、が直接的に送信されるわけではないので、秘密積Σｉａｉｂｉを計算する場合のセキュリティが高まる。第三者は、第１装置Ａ及び第２装置Ｂの間でやりとりされる情報を取得しても、第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。特に、従来の秘密分散法に比べて、要素の並び替えといった新規な構成を有するので、セキュリティがより高まる。
【0135】
また、第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第１分散情報Ｓのうち、第１装置Ａが管理する第５管理情報＜Ｓ＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第３並替結果πＢ（Ｓ）のうち、第１装置Ａが管理する第６管理情報＜πＢ（Ｓ）＞Ａを、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する。第２装置Ｂは、第１分散情報Ｓのうち、第２装置Ｂが管理する第７管理情報＜Ｓ＞Ｂを取得する。第２装置Ｂは、第３並替結果πＢ（Ｓ）のうち、第２装置Ｂが管理する第８管理情報＜πＢ（Ｓ）＞Ｂを取得する。第２装置Ｂは、第１装置Ａ及び第２装置Ｂで分散して管理される第４並替結果πＡ（ａ）のうち、第２装置Ｂが管理する第９管理情報＜πＡ（ａ）＞Ｂとして、第１装置Ａに公開される第１公開情報ｒを取得する。第２装置Ｂは、第１装置Ａに対し、第１公開情報ｒを送信する。第１装置Ａは、第２装置Ｂから、第１公開情報ｒを受信する。第１装置Ａは、第１公開情報ｒに基づいて、第４並替結果πＡ（ａ）のうち、第１装置Ａが管理する第１０管理情報＜πＡ（ａ）＞Ａを取得する。第１装置Ａは、第１０管理情報＜πＡ（ａ）＞Ａと、第５管理情報＜Ｓ＞Ａと、に基づいて、第２装置Ｂに公開される第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを取得する。第１装置Ａは、第２装置Ｂに対し、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを送信する。第２装置Ｂは、第１装置Ａから、第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａを受信する。第２装置Ｂは、第８管理情報＜Ｓ＞Ｂ、第９管理情報＜πＡ（ａ）＞Ｂ、及び第２公開情報＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａに基づいて、第１計算情報πＡ（ａ）－Ｓ＝＜πＡ（ａ）＞Ａ－＜Ｓ＞Ａ＋＜πＡ（ａ）＞Ｂ－＜Ｓ＞Ｂを取得する。第２装置Ｂは、第２並替情報πＢで第１計算情報πＡ（ａ）－Ｓが並び替えられた第５並替結果πＢ（πＡ（ａ）－Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第３管理情報＜πＢ（πＡ（ａ））＞Ｂを取得する。これにより、第１並替情報πＡ及び第２並替情報πＢに基づく並び替えを利用して第１秘密情報ａを第１装置Ａ及び第２装置Ｂでシェアできるので、並び替えが利用されない従来の手法に比べてセキュリティが高まる。
【0136】
また、第２装置Ｂは、第１乱数に基づいて、第１公開情報ｒを取得する。これにより、仮に第三者が、ネットワークＮに送信される第１公開情報ｒを取得しても、それだけでは第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0137】
また、第１装置Ａは、第２装置Ｂに対し、第５管理情報＜Ｓ＞Ａを送信する。第２装置Ｂは、第１装置Ａから、第５管理情報＜Ｓ＞Ａを受信する。第２装置Ｂは、第５管理情報＜Ｓ＞Ａと、第７管理情報＜Ｓ＞Ｂと、に基づいて、第３並替結果πＢ（Ｓ）を取得する。第２装置Ｂは、第３並替結果πＢ（Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第６管理情報＜πＢ（Ｓ）＞Ａを取得する。第２装置Ｂは、第１装置Ａに対し、第６管理情報＜πＢ（Ｓ）＞Ａを送信する。第１装置Ａは、第２装置Ｂから、第６管理情報＜πＢ（Ｓ）＞Ａを受信し、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する。これにより、仮に第三者が、ネットワークＮに送信される第５管理情報＜Ｓ＞Ａ及び第６管理情報＜πＢ（Ｓ）＞Ａを取得しても、それだけでは第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0138】
また、第１装置Ａは、第２乱数に基づいて、第５管理情報＜Ｓ＞Ａを取得する。第２装置Ｂは、第３乱数に基づいて、第７管理情報＜Ｓ＞Ｂを取得する。第２装置Ｂは、第４乱数に基づいて、第８管理情報＜πＢ（Ｓ）＞Ｂを取得する。これにより、第三者が入手可能な情報に乱数の要素を含めることができるので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0139】
また、第１装置Ａは、第１公開鍵ＰＫ１と、第１秘密鍵ＳＫ１と、を取得する。第１装置Ａは、第２装置Ｂに対し、第１公開鍵ＰＫ１を送信する。第２装置Ｂは、第１装置Ａから、第１公開鍵ＰＫ１を受信する。第１装置Ａは、第１公開鍵ＰＫ１に基づいて、第５管理情報＜Ｓ＞Ａを暗号化し、第２装置Ｂに対し、当該暗号化された第５管理情報［＜Ｓ＞Ａ］を送信する。第２装置Ｂは、第１装置Ａから、暗号化された第５管理情報［＜Ｓ＞Ａ］を受信する。第２装置Ｂは、第１公開鍵ＰＫ１に基づいて、第７管理情報＜Ｓ＞Ｂを暗号化し、暗号化された第５管理情報［＜Ｓ＞Ａ］と、当該暗号化された第７管理情報［＜Ｓ＞Ｂ］と、に基づいて、暗号化された第３並替結果［πＢ（Ｓ）］を取得する。第２装置Ｂは、第１公開鍵ＰＫ１に基づいて、第８管理情報＜πＢ（Ｓ）＞Ｂを暗号化し、暗号化された第３並替結果［πＢ（Ｓ）］と、当該暗号化された第８管理情報［＜πＢ（Ｓ）＞Ｂ］と、に基づいて、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を取得する。第２装置Ｂは、第１装置Ａに対し、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を送信する。第１装置Ａは、第２装置Ｂから、暗号化された第６管理情報［＜πＢ（Ｓ）＞Ａ］を受信して第１秘密鍵ＳＫ１で復号化し、第１管理情報＜πＢ（πＡ（ａ））＞Ａとして取得する。これにより、ただでさえ第三者が入手しても第１秘密情報ａ及び第２秘密情報ｂを特定するのが難しい情報のやりとりが、第１公開鍵ＰＫ１及び第１秘密鍵ＳＫ１を利用して暗号化されるので、セキュリティがより高まる。
【0140】
また、第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第２分散情報Ｒのうち、第１装置Ａが管理する第１１管理情報＜Ｒ＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第６並替結果πＡ（Ｒ）のうち、第１装置Ａが管理する第１２管理情報＜πＡ（Ｒ）＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第１分散情報Ｓのうち、第１装置Ａが管理する第５管理情報＜Ｓ＞Ａを取得する。第１装置Ａは、第１装置Ａ及び第２装置Ｂで分散して管理される第３並替結果πＢ（Ｓ）のうち、第１装置Ａが管理する第６管理情報＜πＢ（Ｓ）＞Ａを、第２管理情報＜πＢ（πＡ（ｂ））＞Ａとして取得する。第２装置Ｂは、第２分散情報Ｒのうち、第２装置Ｂが管理する第１３管理情報＜Ｒ＞Ｂを取得する。第２装置Ｂは、第１装置Ａ及び第２装置Ｂで分散して管理される第７並替結果πＡ（ｂ）のうち、第２装置Ｂが管理する第１４管理情報＜πＡ（ｂ）＞Ｂとして、第６並替結果πＡ（Ｒ）のうち、第２装置Ｂが管理する第１５管理情報＜πＡ（Ｒ）＞Ｂを取得する。第２装置Ｂは、第１分散情報Ｓのうち、第２装置Ｂが管理する第７管理情報＜Ｓ＞Ｂを取得する第７管理情報取得部Ｂ１０５と、第３並替結果πＢ（Ｓ）のうち、第２装置Ｂが管理する第８管理情報＜πＢ（Ｓ）＞Ｂを取得する。第２装置Ｂは、第２秘密情報ｂと、第１３管理情報＜Ｒ＞Ｂと、に基づいて、第１装置Ａに公開される第３公開情報ｂ－＜Ｒ＞Ｂを取得する。第２装置Ｂは、第１装置Ａに対し、第３公開情報ｂ－＜Ｒ＞Ｂを送信する。第１装置Ａは、第２装置Ｂから、第３公開情報ｂ－＜Ｒ＞Ｂを受信する。第１装置Ａは、第１１管理情報＜Ｒ＞Ａと、第３公開情報ｂ－＜Ｒ＞Ｂと、に基づいて、第２計算情報ｂ－Ｒを取得する第２計算情報取得部Ａ１１６と、第１並替情報πＡで第２計算情報ｂ－Ｒが並び替えられた第８並替結果πＢ（πＡ（ｂ）－Ｓ）と、第１２管理情報＜πＡ（Ｒ）＞Ａと、基づいて、第７並替結果πＡ（ｂ）のうち、第１装置Ａが管理する第１６管理情報＜πＡ（ｂ）＞Ａ＝πＡ（ｂ－Ｒ）＋＜πＡ（Ｒ）＞Ａを取得する。第１装置Ａは、第１６管理情報＜πＡ（ｂ）＞Ａと、第５管理情報＜Ｓ＞Ａと、に基づいて、第２装置Ｂに公開される第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを取得する。第１装置Ａは、第２装置Ｂに対し、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを送信する。第２装置Ｂは、第１装置Ａから、第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａを受信する。第２装置Ｂは、第１４管理情報＜πＡ（ｂ）＞Ｂ、第７管理情報＜Ｓ＞Ｂ、及び第４公開情報＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａに基づいて、第３計算情報πＡ（ｂ）－Ｓ＝＜πＡ（ｂ）＞Ｂ－＜Ｓ＞Ｂ＋（＜πＡ（ｂ）＞Ａ－＜Ｓ＞Ａ）を取得する。第２装置Ｂは、第２並替情報πＢで第３計算情報πＡ（ｂ）－Ｓが並び替えられた第９並替結果πＢ（πＡ（ｂ）－Ｓ）と、第８管理情報＜πＢ（Ｓ）＞Ｂと、に基づいて、第４管理情報＜πＢ（πＡ（ｂ））＞Ｂを取得する。これにより、第１並替情報πＡ及び第２並替情報πＢに基づく並び替えを利用して第２秘密情報ｂを第１装置Ａ及び第２装置Ｂでシェアできるので、並び替えが利用されない従来の手法に比べてセキュリティが高まる。
【0141】
また、第２装置Ｂは、第１装置Ａに対し、第１３管理情報＜Ｒ＞Ｂを送信する。第１装置Ａは、第２装置Ｂから、第１３管理情報＜Ｒ＞Ｂを受信する。第１装置Ａは、第１１管理情報＜Ｒ＞Ａと、第１３管理情報＜Ｒ＞Ｂと、に基づいて、第６並替結果πＡ（Ｒ）を取得する。第１装置Ａは、第６並替結果πＡ（Ｒ）と、第１２管理情報＜πＡ（Ｒ）＞Ａと、に基づいて、第１５管理情報＜πＡ（Ｒ）＞Ｂを取得する。第１装置Ａは、第２装置Ｂに対し、第１５管理情報＜πＡ（Ｒ）＞Ｂを送信する。第２装置Ｂは、第１装置Ａから、第１５管理情報＜πＡ（Ｒ）＞Ｂを受信し、当該第１５管理情報＜πＡ（Ｒ）＞Ｂを、第１４管理情報＜πＡ（ｂ）＞Ｂとして取得する。これにより、仮に第三者が、ネットワークＮに送信される第１３管理情報＜Ｒ＞Ｂ及び第１５管理情報＜πＡ（Ｒ）＞Ｂを取得しても、それだけでは第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0142】
また、第１装置Ａは、第５乱数に基づいて、第１１管理情報＜Ｒ＞Ａを取得する。第１装置Ａは、第６乱数に基づいて、第１２管理情報＜πＡ（Ｒ）＞Ａを取得する。第２装置Ｂは、第７乱数に基づいて、第１３管理情報＜Ｒ＞Ｂを取得する。これにより、第三者が入手可能な情報に乱数の要素を含めることができるので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0143】
また、第２装置Ｂは、第２公開鍵ＰＫ２と、第２秘密鍵ＳＫ２と、を取得する。第２装置Ｂは、第１装置Ａに対し、第２公開鍵ＰＫ２を送信する。第１装置Ａは、第２装置Ｂから、第２公開鍵ＰＫ２を受信する。第２装置Ｂは、第２公開鍵ＰＫ２に基づいて、第１３管理情報＜Ｒ＞Ｂを暗号化し、第１装置Ａに対し、当該暗号化された第１３管理情報［＜Ｒ＞Ｂ］を送信する。第１装置Ａは、第２装置Ｂから、暗号化された第１３管理情報［＜Ｒ＞Ｂ］を受信する。第１装置Ａは、第２公開鍵ＰＫ２に基づいて、第１１管理情報＜Ｒ＞Ａを暗号化し、暗号化された第１３管理情報［＜Ｒ＞Ｂ］と、当該暗号化された第１１管理情報［＜Ｒ＞Ａ］と、に基づいて、暗号化された第６並替結果［πＡ（Ｒ）］を取得する。第１装置Ａは、第２公開鍵ＰＫ２に基づいて、第１２管理情報＜πＡ（Ｒ）＞Ａを暗号化し、暗号化された第６並替結果［πＡ（Ｒ）］と、当該暗号化された第１２管理情報［＜πＡ（Ｒ）＞Ａ］と、に基づいて、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を取得する。第１装置Ａは、第２装置Ｂに対し、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を送信する。第２装置Ｂの第１４管理情報取得部Ｂ１１７は、第１装置Ａから、暗号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を受信して第２秘密鍵ＳＫ２で復号化し、当該復号化された第１５管理情報［＜πＡ（Ｒ）＞Ｂ］を第１４管理情報＜πＡ（ｂ）＞Ｂとして取得する。これにより、ただでさえ第三者が入手しても第１秘密情報ａ及び第２秘密情報ｂを特定するのが難しい情報のやりとりが、第２公開鍵ＰＫ２及び第２秘密鍵ＳＫ２を利用して暗号化されるので、セキュリティがより高まる。
【0144】
また、第１装置Ａは、第１管理情報＜ｃ＞Ａと、第２管理情報＜ｄ＞Ａと、に基づいて、第１並替結果（πＢ（πＡ（ａ））と、第２並替結果πＢ（πＡ（ｂ））と、の積であって、第１装置Ａ及び第２装置Ｂで分散して管理される分散積ｅｉのうち、第１装置Ａが管理する第１管理積＜ｅｉ＞Ａを取得する。第１装置Ａは、第１管理積＜ｅｉ＞Ａの合計である第１合計Σｉ＜ｅｉ＞Ａを取得する。第２装置Ｂは、第３管理情報＜ｃ＞Ｂと、第４管理情報＜ｄ＞Ｂと、に基づいて、分散積ｅｉのうち、第２装置Ｂが管理する第２管理積＜ｅｉ＞Ｂを取得する。第２装置Ｂは、第２管理積＜ｅｉ＞Ｂの各要素の合計である第２合計Σｉ＜ｅｉ＞Ｂを取得する。第１合計Σｉ＜ｅｉ＞Ａと、第２合計Σｉ＜ｅｉ＞Ｂと、に基づいて、秘密積Σｉａｉｂｉが計算される。第三者は、第１装置Ａ及び第２装置Ｂの間でやりとりされる情報を取得しても、第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0145】
また、第１装置Ａは、BMT(Beaver Multiplication Triples)の手法に基づいて、第１管理積＜ｅｉ＞Ａを取得する。第２装置Ｂは、BMTの手法に基づいて、第２管理積＜ｅｉ＞Ｂを取得する。これにより、第１管理積＜ｅｉ＞Ａ及び第２管理積＜ｅｉ＞Ｂにも秘密計算の手法が利用されるので、セキュリティがより高まる。
【0146】
また、第２装置Ｂは、第１装置Ａに対し、第２合計Σｉ＜ｅｉ＞Ｂを送信する。第１装置Ａは、第２装置Ｂから、第２合計Σｉ＜ｅｉ＞Ｂを受信する。第１装置Ａは、第１合計Σｉ＜ｅｉ＞Ａと、第２合計Σｉ＜ｅｉ＞Ｂと、に基づいて、秘密積Σｉａｉｂｉを計算する。これにより、秘密積Σｉａｉｂｉの計算に必要な情報を第三者が入手したとしても、それだけでは、第１秘密情報ａ及び第２秘密情報ｂを特定できないので、第１秘密情報ａ及び第２秘密情報ｂが第三者に漏洩するリスクを低減できる。
【0147】
また、第１秘密情報ａ、第２秘密情報ｂ、第１並替結果（πＢ（πＡ（ａ））、第１管理情報＜ｃ＞Ａ、第２並替結果πＢ（πＡ（ｂ））、第２管理情報＜ｄ＞Ａ、第３管理情報＜ｃ＞Ｂ、及び第４管理情報＜ｄ＞Ｂの各々は、ベクトル形式である。第１並替情報πＡ及び第２並替情報πＢの各々は、配列形式である。秘密積Σｉａｉｂｉは、内積である。これにより、計算システム１０は、第１装置Ａ及び第２装置Ｂの間で秘密にすべきベクトルを送信しなくても、ベクトルの内積を計算できる。
【0148】
また、計算システム１０では、秘密積Σｉａｉｂｉに基づいて、連合学習における学習モデルの学習が実行される。これにより、連合学習における学習時のセキュリティが高まる。
【0149】
また、第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報である。第２秘密情報は、第２サービスにおける複数のユーザの各々に関する情報である。計算システム１０は、ユーザに関する情報を秘密に管理したまま積を計算できるので、ユーザに関する情報が漏洩するリスクを低減できる。
【0150】
［５．変形例］
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。例えば、計算システム１は、連合学習以外の他の場面にも適用可能である。計算システム１は、何らかの目的で複数の秘密情報同士の積が計算される場面に適用可能である。
なお、本開示は、以上に説明した実施形態に限定されるものではない。本開示の趣旨を逸脱しない範囲で、適宜変更可能である。例えば、計算システム１は、連合学習以外の他の場面にも適用可能である。計算システム１は、何らかの目的で複数の秘密情報同士の積が計算される場面に適用可能である。
【0151】
例えば、第１装置Ａ又は第２装置Ｂで実現されるものとして説明した機能は、計算システム１０における少なくとも１つのコンピュータにより実現されるようにすればよく、複数のコンピュータで機能が分担されてもよい。この場合、複数のコンピュータの各々が、他のコンピュータに対し、自身の処理結果を送信することによって、機能の分担が実現されるようにすればよい。
【0152】
［６．付記］
例えば、計算システムは、下記のような構成も可能である。
（１）
２以上の要素数の第１秘密情報と、前記要素数の要素を並び替えるための第１並替情報と、を秘密に管理する第１装置と、
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
を含み、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得する第１管理情報取得部と、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得する第２管理情報取得部と、
を含み、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得する第３管理情報取得部と、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得する第４管理情報取得部と、
を含み、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
（２）
前記第１装置は、前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第１管理情報として取得し、
前記第２装置は、
前記第１分散情報のうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第１並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第４並替結果のうち、前記第２装置が管理する第９管理情報として、前記第１装置に公開される第１公開情報を取得する第１公開情報取得部と、
前記第１装置に対し、前記第１公開情報を送信する第１公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第１公開情報を受信する第１公開情報受信部と、
前記第１公開情報に基づいて、前記第４並替結果のうち、前記第１装置が管理する第１０管理情報を取得する第１０管理情報取得部と、
前記第１０管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第２公開情報を取得する第２公開情報取得部と、
前記第２装置に対し、前記第２公開情報を送信する第２公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開情報を受信する第２公開情報受信部と、
前記第８管理情報、前記第９管理情報、及び前記第２公開情報に基づいて、第１計算情報を取得する第１計算情報取得部と、
を更に含み、
前記第２装置の前記第３管理情報取得部は、前記第２並替情報で前記第１計算情報が並び替えられた第５並替結果と、前記第８管理情報と、に基づいて、前記第３管理情報を取得する、
（１）に記載の計算システム。
（３）
前記第２装置の前記第１公開情報取得部は、第１乱数に基づいて、前記第１公開情報を取得する、
（２）に記載の計算システム。
（４）
前記第１装置は、前記第２装置に対し、前記第５管理情報を送信する第５管理情報送信部を含み、
前記第２装置は、
前記第１装置から、前記第５管理情報を受信する第５管理情報受信部と、
前記第５管理情報と、前記第７管理情報と、に基づいて、前記第３並替結果を取得する前記第３並替結果取得部と、
前記第３並替結果と、前記第８管理情報と、に基づいて、前記第６管理情報を取得する第６管理情報取得部と、
前記第１装置に対し、前記第６管理情報を送信する第６管理情報送信部と、
を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記第６管理情報を受信し、前記第１管理情報として取得する、
（２）又は（３）に記載の計算システム。
（５）
前記第１装置の前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置の前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置の前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
（４）に記載の計算システム。
（６）
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を取得する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化し、前記第１管理情報として取得する、
（４）又は（５）に記載の計算システム。
（７）
前記第１装置は、
前記第１装置及び前記第２装置で分散して管理される第２分散情報のうち、前記第１装置が管理する第１１管理情報を取得する第１１管理情報取得部と、
前記第２分散情報が前記第１並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第６並替結果のうち、前記第１装置が管理する第１２管理情報を取得する第１２管理情報取得部と、
前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部と、
を更に含み、
前記第１装置の前記第２管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第２管理情報として取得し、
前記第２装置は、
前記第２分散情報のうち、前記第２装置が管理する第１３管理情報を取得する第１３管理情報取得部と、
前記第１並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第７並替結果のうち、前記第２装置が管理する第１４管理情報として、前記第６並替結果のうち、前記第２装置が管理する第１５管理情報を取得する第１４管理情報取得部と、
前記第１分散情報Ｓのうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第２秘密情報と、前記第１３管理情報と、に基づいて、前記第１装置に公開される第３公開情報を取得する第３公開情報取得部と、
前記第１装置に対し、前記第３公開情報を送信する第３公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第３公開情報を受信する第３公開情報受信部と、
前記第１１管理情報と、前記第３公開情報と、に基づいて、第２計算情報を取得する第２計算情報取得部と、
前記第１並替情報で前記第２計算情報が並び替えられた第８並替結果と、前記第１２管理情報と、基づいて、前記第７並替結果のうち、前記第１装置が管理する第１６管理情報を取得する第１６管理情報取得部と、
前記第１６管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第４公開情報を取得する第４公開情報取得部と、
前記第２装置に対し、前記第４公開情報を送信する第４公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第４公開情報を受信する第４公開情報受信部と、
前記第１４管理情報、前記第７管理情報、及び前記第４公開情報に基づいて、第３計算情報を取得する第３計算情報取得部と、
を更に含み、
前記第２装置の前記第４管理情報取得部は、前記第２並替情報で前記第３計算情報が並び替えられた第９並替結果と、前記第８管理情報と、に基づいて、前記第４管理情報を取得する、
（１）～（６）の何れかに記載の計算システム。
（８）
前記第２装置は、前記第１装置に対し、前記第１３管理情報を送信する第１３管理情報送信部を含み、
前記第１装置は、
前記第２装置から、前記第１３管理情報を受信する第１３管理情報受信部と、
前記第１１管理情報と、前記第１３管理情報と、に基づいて、前記第６並替結果を取得する第６並替結果取得部と、
前記第６並替結果と、前記第１２管理情報と、に基づいて、前記第１５管理情報を取得する第１５管理情報取得部と、
前記第２装置に対し、前記第１５管理情報を送信する第１５管理情報送信部と、
を更に含み、
前記第２装置の前記第１４管理情報取得部は、前記第１装置から、前記第１５管理情報を受信し、当該第１５管理情報を、前記第１４管理情報として取得する、
（７）に記載の計算システム。
（９）
前記第１装置の前記第１１管理情報取得部は、第５乱数に基づいて、前記第１１管理情報を取得し、
前記第１装置の前記第１２管理情報取得部は、第６乱数に基づいて、前記第１２管理情報を取得し、
前記第２装置の前記第１３管理情報取得部は、第７乱数に基づいて、前記第１３管理情報を取得する、
（８）に記載の計算システム。
（１０）
前記第２装置は、
第２公開鍵と、第２秘密鍵と、を取得する第２鍵取得部と、
前記第１装置に対し、前記第２公開鍵を送信する第２公開鍵送信部と、
を更に含み、
前記第１装置は、前記第２装置から、前記第２公開鍵を受信する第２公開鍵受信部を更に含み、
前記第２装置の前記第１３管理情報送信部は、前記第２公開鍵に基づいて、前記第１３管理情報を暗号化し、前記第１装置に対し、当該暗号化された第１３管理情報を送信し、
前記第１装置の前記第１３管理情報受信部は、前記第２装置から、前記暗号化された第１３管理情報を受信し、
前記第１装置の前記第６並替結果取得部は、前記第２公開鍵に基づいて、前記第１１管理情報を暗号化し、前記暗号化された第１３管理情報と、当該暗号化された第１１管理情報と、に基づいて、暗号化された前記第６並替結果を取得し、
前記第１装置の前記第１５管理情報取得部は、前記第２公開鍵に基づいて、前記第１２管理情報を暗号化し、前記暗号化された第６並替結果と、当該暗号化された第１２管理情報と、に基づいて、暗号化された前記第１５管理情報を取得し、
前記第１装置の前記第１５管理情報送信部は、前記第２装置に対し、前記暗号化された第１５管理情報を送信し、
前記第２装置の前記第１５管理情報取得部は、前記第１装置から、前記暗号化された第１５管理情報を受信して前記第２秘密鍵で復号化し、当該復号化された第１５管理情報を前記第１４管理情報として取得する、
（８）又は（９）に記載の計算システム。
（１１）
前記第１装置は、前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置は、前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置は、前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
（７）～（１０）の何れかに記載の計算システム。
（１２）
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を生成する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化する、
（７）～（１１）の何れかに記載の計算システム。
（１３）
前記第１装置は、
前記第１管理情報と、前記第２管理情報と、に基づいて、前記第１並替結果と、前記第２並替結果と、の積であって、前記第１装置及び前記第２装置で分散して管理される分散積のうち、前記第１装置が管理する第１管理積を取得する第１管理積取得部と、
前記第１管理積の合計である第１合計を取得する第１合計取得部と、
を更に含み、
前記第２装置は、
前記第３管理情報と、前記第４管理情報と、に基づいて、前記分散積のうち、前記第２装置が管理する第２管理積を取得する第２管理積取得部と、
前記第２管理積の各要素の合計である第２合計を取得する第２合計取得部と、
を更に含み、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積が計算される、
（１）～（１２）の何れかに記載の計算システム。
（１４）
前記第１装置の前記第１管理積取得部は、BMT(Beaver Multiplication Triples)の手法に基づいて、第１管理積を取得し、
前記第２装置の前記第２管理積取得部は、前記BMTの手法に基づいて、前記第２管理積を取得する、
（１３）に記載の計算システム。
（１５）
前記第２装置は、前記第１装置に対し、前記第２合計を送信する第２合計送信部を更に含み、
前記第１装置は、
前記第２装置から、前記第２合計を受信する第２合計受信部と、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積を計算する秘密積計算部と、
を更に含む（１３）又は（１４）に記載の計算システム。
（１６）
前記第１秘密情報、前記第２秘密情報、前記第１並替結果、前記第１管理情報、前記第２並替結果、前記第２管理情報、前記第３管理情報、及び前記第４管理情報の各々は、ベクトル形式であり、
前記第１並替情報及び前記第２並替情報の各々は、配列形式であり、
前記秘密積は、内積である、
（１）～（１５）の何れかに記載の計算システム。
（１７）
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
（１）～（１６）の何れかに記載の計算システム。
（１８）
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
（１）～（１７）の何れかに記載の計算システム。
例えば、計算システムは、下記のような構成も可能である。
（１）
２以上の要素数の第１秘密情報と、前記要素数の要素を並び替えるための第１並替情報と、を秘密に管理する第１装置と、
前記要素数の第２秘密情報と、前記要素数の要素を並び替えるための第２並替情報と、を秘密に管理する第２装置と、
を含み、
前記第１装置は、
前記第１並替情報及び前記第２並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第１並替結果のうち、前記第１装置が管理する第１管理情報を取得する第１管理情報取得部と、
前記第１並替情報及び前記第２並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第２並替結果のうち、前記第１装置が管理する第２管理情報を取得する第２管理情報取得部と、
を含み、
前記第２装置は、
前記第１並替結果のうち、前記第２装置が管理する第３管理情報を取得する第３管理情報取得部と、
前記第２並替結果のうち、前記第２装置が管理する第４管理情報を取得する第４管理情報取得部と、
を含み、
前記第１管理情報、前記第２管理情報、前記第３管理情報、及び第４管理情報に基づいて、前記第１秘密情報と、前記第２秘密情報と、の積である秘密積が計算される、
計算システム。
（２）
前記第１装置は、前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第１管理情報として取得し、
前記第２装置は、
前記第１分散情報のうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第１並替情報で前記第１秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第４並替結果のうち、前記第２装置が管理する第９管理情報として、前記第１装置に公開される第１公開情報を取得する第１公開情報取得部と、
前記第１装置に対し、前記第１公開情報を送信する第１公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第１公開情報を受信する第１公開情報受信部と、
前記第１公開情報に基づいて、前記第４並替結果のうち、前記第１装置が管理する第１０管理情報を取得する第１０管理情報取得部と、
前記第１０管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第２公開情報を取得する第２公開情報取得部と、
前記第２装置に対し、前記第２公開情報を送信する第２公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第２公開情報を受信する第２公開情報受信部と、
前記第８管理情報、前記第９管理情報、及び前記第２公開情報に基づいて、第１計算情報を取得する第１計算情報取得部と、
を更に含み、
前記第２装置の前記第３管理情報取得部は、前記第２並替情報で前記第１計算情報が並び替えられた第５並替結果と、前記第８管理情報と、に基づいて、前記第３管理情報を取得する、
（１）に記載の計算システム。
（３）
前記第２装置の前記第１公開情報取得部は、第１乱数に基づいて、前記第１公開情報を取得する、
（２）に記載の計算システム。
（４）
前記第１装置は、前記第２装置に対し、前記第５管理情報を送信する第５管理情報送信部を含み、
前記第２装置は、
前記第１装置から、前記第５管理情報を受信する第５管理情報受信部と、
前記第５管理情報と、前記第７管理情報と、に基づいて、前記第３並替結果を取得する前記第３並替結果取得部と、
前記第３並替結果と、前記第８管理情報と、に基づいて、前記第６管理情報を取得する第６管理情報取得部と、
前記第１装置に対し、前記第６管理情報を送信する第６管理情報送信部と、
を更に含み、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記第６管理情報を受信し、前記第１管理情報として取得する、
（２）又は（３）に記載の計算システム。
（５）
前記第１装置の前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置の前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置の前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
（４）に記載の計算システム。
（６）
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を取得する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化し、前記第１管理情報として取得する、
（４）又は（５）に記載の計算システム。
（７）
前記第１装置は、
前記第１装置及び前記第２装置で分散して管理される第２分散情報のうち、前記第１装置が管理する第１１管理情報を取得する第１１管理情報取得部と、
前記第２分散情報が前記第１並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第６並替結果のうち、前記第１装置が管理する第１２管理情報を取得する第１２管理情報取得部と、
前記第１装置及び前記第２装置で分散して管理される第１分散情報のうち、前記第１装置が管理する第５管理情報を取得する第５管理情報取得部と、
を更に含み、
前記第１装置の前記第２管理情報取得部は、前記第１分散情報が前記第２並替情報で並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第３並替結果のうち、前記第１装置が管理する第６管理情報を、前記第２管理情報として取得し、
前記第２装置は、
前記第２分散情報のうち、前記第２装置が管理する第１３管理情報を取得する第１３管理情報取得部と、
前記第１並替情報で前記第２秘密情報が並び替えられた結果であって、前記第１装置及び前記第２装置で分散して管理される第７並替結果のうち、前記第２装置が管理する第１４管理情報として、前記第６並替結果のうち、前記第２装置が管理する第１５管理情報を取得する第１４管理情報取得部と、
前記第１分散情報Ｓのうち、前記第２装置が管理する第７管理情報を取得する第７管理情報取得部と、
前記第３並替結果のうち、前記第２装置が管理する第８管理情報を取得する第８管理情報取得部と、
前記第２秘密情報と、前記第１３管理情報と、に基づいて、前記第１装置に公開される第３公開情報を取得する第３公開情報取得部と、
前記第１装置に対し、前記第３公開情報を送信する第３公開情報送信部と、
を更に含み、
前記第１装置は、
前記第２装置から、前記第３公開情報を受信する第３公開情報受信部と、
前記第１１管理情報と、前記第３公開情報と、に基づいて、第２計算情報を取得する第２計算情報取得部と、
前記第１並替情報で前記第２計算情報が並び替えられた第８並替結果と、前記第１２管理情報と、基づいて、前記第７並替結果のうち、前記第１装置が管理する第１６管理情報を取得する第１６管理情報取得部と、
前記第１６管理情報と、前記第５管理情報と、に基づいて、前記第２装置に公開される第４公開情報を取得する第４公開情報取得部と、
前記第２装置に対し、前記第４公開情報を送信する第４公開情報送信部と、
を更に含み、
前記第２装置は、
前記第１装置から、前記第４公開情報を受信する第４公開情報受信部と、
前記第１４管理情報、前記第７管理情報、及び前記第４公開情報に基づいて、第３計算情報を取得する第３計算情報取得部と、
を更に含み、
前記第２装置の前記第４管理情報取得部は、前記第２並替情報で前記第３計算情報が並び替えられた第９並替結果と、前記第８管理情報と、に基づいて、前記第４管理情報を取得する、
（１）～（６）の何れかに記載の計算システム。
（８）
前記第２装置は、前記第１装置に対し、前記第１３管理情報を送信する第１３管理情報送信部を含み、
前記第１装置は、
前記第２装置から、前記第１３管理情報を受信する第１３管理情報受信部と、
前記第１１管理情報と、前記第１３管理情報と、に基づいて、前記第６並替結果を取得する第６並替結果取得部と、
前記第６並替結果と、前記第１２管理情報と、に基づいて、前記第１５管理情報を取得する第１５管理情報取得部と、
前記第２装置に対し、前記第１５管理情報を送信する第１５管理情報送信部と、
を更に含み、
前記第２装置の前記第１４管理情報取得部は、前記第１装置から、前記第１５管理情報を受信し、当該第１５管理情報を、前記第１４管理情報として取得する、
（７）に記載の計算システム。
（９）
前記第１装置の前記第１１管理情報取得部は、第５乱数に基づいて、前記第１１管理情報を取得し、
前記第１装置の前記第１２管理情報取得部は、第６乱数に基づいて、前記第１２管理情報を取得し、
前記第２装置の前記第１３管理情報取得部は、第７乱数に基づいて、前記第１３管理情報を取得する、
（８）に記載の計算システム。
（１０）
前記第２装置は、
第２公開鍵と、第２秘密鍵と、を取得する第２鍵取得部と、
前記第１装置に対し、前記第２公開鍵を送信する第２公開鍵送信部と、
を更に含み、
前記第１装置は、前記第２装置から、前記第２公開鍵を受信する第２公開鍵受信部を更に含み、
前記第２装置の前記第１３管理情報送信部は、前記第２公開鍵に基づいて、前記第１３管理情報を暗号化し、前記第１装置に対し、当該暗号化された第１３管理情報を送信し、
前記第１装置の前記第１３管理情報受信部は、前記第２装置から、前記暗号化された第１３管理情報を受信し、
前記第１装置の前記第６並替結果取得部は、前記第２公開鍵に基づいて、前記第１１管理情報を暗号化し、前記暗号化された第１３管理情報と、当該暗号化された第１１管理情報と、に基づいて、暗号化された前記第６並替結果を取得し、
前記第１装置の前記第１５管理情報取得部は、前記第２公開鍵に基づいて、前記第１２管理情報を暗号化し、前記暗号化された第６並替結果と、当該暗号化された第１２管理情報と、に基づいて、暗号化された前記第１５管理情報を取得し、
前記第１装置の前記第１５管理情報送信部は、前記第２装置に対し、前記暗号化された第１５管理情報を送信し、
前記第２装置の前記第１５管理情報取得部は、前記第１装置から、前記暗号化された第１５管理情報を受信して前記第２秘密鍵で復号化し、当該復号化された第１５管理情報を前記第１４管理情報として取得する、
（８）又は（９）に記載の計算システム。
（１１）
前記第１装置は、前記第５管理情報取得部は、第２乱数に基づいて、前記第５管理情報を取得し、
前記第２装置は、前記第７管理情報取得部は、第３乱数に基づいて、前記第７管理情報を取得し、
前記第２装置は、前記第８管理情報取得部は、第４乱数に基づいて、前記第８管理情報を取得する、
（７）～（１０）の何れかに記載の計算システム。
（１２）
前記第１装置は、
第１公開鍵と、第１秘密鍵と、を生成する第１鍵取得部と、
前記第２装置に対し、前記第１公開鍵を送信する第１公開鍵送信部と、
を更に含み、
前記第２装置は、前記第１装置から、前記第１公開鍵を受信する第１公開鍵受信部を更に含み、
前記第１装置の第５管理情報送信部は、前記第１公開鍵に基づいて、前記第５管理情報を暗号化し、前記第２装置に対し、当該暗号化された第５管理情報を送信し、
前記第２装置の前記第５管理情報受信部は、前記第１装置から、前記暗号化された第５管理情報を受信し、
前記第２装置の前記第３並替結果取得部は、前記第１公開鍵に基づいて、前記第７管理情報を暗号化し、前記暗号化された第５管理情報と、当該暗号化された第７管理情報と、に基づいて、暗号化された前記第３並替結果を取得し、
前記第２装置の前記第６管理情報取得部は、前記第１公開鍵に基づいて、前記第８管理情報を暗号化し、前記暗号化された第３並替結果と、当該暗号化された第８管理情報と、に基づいて、暗号化された前記第６管理情報を取得し、
前記第２装置の前記第６管理情報送信部は、前記第１装置に対し、前記暗号化された第６管理情報を送信し、
前記第１装置の前記第１管理情報取得部は、前記第２装置から、前記暗号化された第６管理情報を受信して前記第１秘密鍵で復号化する、
（７）～（１１）の何れかに記載の計算システム。
（１３）
前記第１装置は、
前記第１管理情報と、前記第２管理情報と、に基づいて、前記第１並替結果と、前記第２並替結果と、の積であって、前記第１装置及び前記第２装置で分散して管理される分散積のうち、前記第１装置が管理する第１管理積を取得する第１管理積取得部と、
前記第１管理積の合計である第１合計を取得する第１合計取得部と、
を更に含み、
前記第２装置は、
前記第３管理情報と、前記第４管理情報と、に基づいて、前記分散積のうち、前記第２装置が管理する第２管理積を取得する第２管理積取得部と、
前記第２管理積の各要素の合計である第２合計を取得する第２合計取得部と、
を更に含み、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積が計算される、
（１）～（１２）の何れかに記載の計算システム。
（１４）
前記第１装置の前記第１管理積取得部は、BMT(Beaver Multiplication Triples)の手法に基づいて、第１管理積を取得し、
前記第２装置の前記第２管理積取得部は、前記BMTの手法に基づいて、前記第２管理積を取得する、
（１３）に記載の計算システム。
（１５）
前記第２装置は、前記第１装置に対し、前記第２合計を送信する第２合計送信部を更に含み、
前記第１装置は、
前記第２装置から、前記第２合計を受信する第２合計受信部と、
前記第１合計と、前記第２合計と、に基づいて、前記秘密積を計算する秘密積計算部と、
を更に含む（１３）又は（１４）に記載の計算システム。
（１６）
前記第１秘密情報、前記第２秘密情報、前記第１並替結果、前記第１管理情報、前記第２並替結果、前記第２管理情報、前記第３管理情報、及び前記第４管理情報の各々は、ベクトル形式であり、
前記第１並替情報及び前記第２並替情報の各々は、配列形式であり、
前記秘密積は、内積である、
（１）～（１５）の何れかに記載の計算システム。
（１７）
前記計算システムでは、前記秘密積に基づいて、連合学習における学習モデルの学習が実行される、
（１）～（１６）の何れかに記載の計算システム。
（１８）
前記第１秘密情報は、第１サービスにおける複数のユーザの各々に関する情報であり、
前記第２秘密情報は、第２サービスにおける前記複数のユーザの各々に関する情報である、
（１）～（１７）の何れかに記載の計算システム。
【符号の説明】
【0153】
１０ 計算システム、Ａ 第１装置、Ｂ 第２装置、Ａ１１ 制御部、Ａ１２ 記憶部、Ａ１３ 通信部、Ｂ１１ 制御部、Ｂ１２ 記憶部、Ｂ１３ 通信部、Ａ１００ 第１データ記憶部、Ａ１０１ 第１秘密情報取得部、Ａ１０２ 第１並替情報取得部、Ａ１０３ 第１管理情報取得部、Ａ１０４ 第２管理情報取得部、Ａ１０５ 第５管理情報取得部、Ａ１０６ 第１公開情報受信部、Ａ１０７ 第１０管理情報取得部、Ａ１０８ 第２公開情報取得部、Ａ１０９ 第２公開情報送信部、Ａ１１０ 第５管理情報送信部、Ａ１１１ 第１鍵取得部、Ａ１１２ 第１公開鍵送信部、Ａ１１３ 第１１管理情報取得部、Ａ１１４ 第１２管理情報取得部、Ａ１１５ 第３公開情報受信部、Ａ１１６ 第２計算情報取得部、Ａ１１７ 第１６管理情報取得部、Ａ１１８ 第４公開情報取得部、Ａ１１９ 第４公開情報送信部、Ａ１２０ 第１３管理情報受信部、Ａ１２１ 第６並替結果取得部、Ａ１２２ 第１５管理情報取得部、Ａ１２３ 第１５管理情報送信部、Ａ１２４ 第２公開鍵受信部、Ａ１２５ 第１管理積取得部、Ａ１２６ 第１合計取得部、Ａ１２７ 第２合計受信部、Ａ１２８ 秘密積計算部、Ｂ１００ 第２データ記憶部、Ｂ１０１ 第２秘密情報取得部、Ｂ１０２ 第２並替情報取得部、Ｂ１０３ 第３管理情報取得部、Ｂ１０４ 第４管理情報取得部、Ｂ１０５ 第７管理情報取得部、Ｂ１０６ 第８管理情報取得部、Ｂ１０７ 第１公開情報取得部、Ｂ１０８ 第１公開情報送信部、Ｂ１０９ 第２公開情報受信部、Ｂ１１０ 第１計算情報取得部、Ｂ１１１ 第５管理情報受信部、Ｂ１１２ 第３並替結果取得部、Ｂ１１３ 第６管理情報取得部、Ｂ１１４ 第６管理情報送信部、Ｂ１１５ 第１公開鍵受信部、Ｂ１１６ 第１３管理情報取得部、Ｂ１１７ 第１４管理情報取得部、Ｂ１１８ 第３公開情報取得部、Ｂ１１９ 第３公開情報送信部、Ｂ１２０ 第４公開情報受信部、Ｂ１２１ 第３計算情報取得部、Ｂ１２２ 第２鍵取得部、Ｂ１２３ 第２公開鍵送信部、Ｂ１２４ 第２管理積取得部、Ｂ１２５ 第２合計取得部、Ｂ１２６ 第２合計送信部。
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
【図11】
【図12】
【図13】