知財求人 - 知財ポータルサイト「IP Force」
特開2024-165244プライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024165244
(43)【公開日】2024-11-28
(54)【発明の名称】プライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20241121BHJP
G06F 21/62 20130101ALI20241121BHJP
G06Q 50/10 20120101ALI20241121BHJP
【ＦＩ】
G09C1/00 650Z
G06F21/62 345
G06Q50/10
【審査請求】未請求
【請求項の数】11
【出願形態】ＯＬ
(21)【出願番号】P 2023081270
(22)【出願日】2023-05-17
(71)【出願人】
【識別番号】000208891
【氏名又は名称】ＫＤＤＩ株式会社
(74)【代理人】
【識別番号】100106002
【弁理士】
【氏名又は名称】正林 真之
(74)【代理人】
【識別番号】100120891
【弁理士】
【氏名又は名称】林 一好
(72)【発明者】
【氏名】パラカーン キッティポップ
(72)【発明者】
【氏名】ブラカモンテ バネッサ
(72)【発明者】
【氏名】磯原 隆将
【テーマコード（参考）】
5L049
5L050
【Ｆターム（参考）】
5L049CC11
5L050CC11
(57)【要約】
【課題】悪意のあるユーザによるクエリ攻撃１（類似のユーザ集合へのクエリ）及びクエリ攻撃２（悪意のある問合せ者と一人を除く全員のユーザとの共謀）に対抗し得るプライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラムを提供すること。
【解決手段】
問合せ者が評判システムのユーザの集合Ｓから評価値を求めて評判スコアを集計する際に、集合Ｓのランダムな部分集合Ｓ´からだけ評判スコアが集計されるようにする。このランダムな部分集合Ｓ´のメンバーは誰にも知られない。
【選択図】図１
【解決手段】
問合せ者が評判システムのユーザの集合Ｓから評価値を求めて評判スコアを集計する際に、集合Ｓのランダムな部分集合Ｓ´からだけ評判スコアが集計されるようにする。このランダムな部分集合Ｓ´のメンバーは誰にも知られない。
【選択図】図１
【特許請求の範囲】
【請求項1】
集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判システムであって、
前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバを備え、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、
前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判システム。
前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバを備え、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、
前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判システム。
【請求項2】
前記秘密分散技術がＡＢＹ３秘密分散フレームワークである、請求項１に記載の評判システム。
【請求項3】
前記集計関数として平均関数を用いる、請求項１又は請求項２に記載の評判システム。
【請求項4】
集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判システムにおける評判スコア計算装置であって、
前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバからなり、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、
前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判スコア計算装置。
前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバからなり、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、
前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判スコア計算装置。
【請求項5】
前記秘密分散技術がＡＢＹ３秘密分散フレームワークである、請求項４に記載の評判スコア計算装置。
【請求項6】
前記集計関数として平均関数を用いる、請求項４又は請求項５に記載の評判スコア計算装置。
【請求項7】
集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判スコア計算方法であって、
前記評判スコア計算方法を実行する複数台の計算サーバが、前記計算サーバを備える評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信するステップと、
前記複数台の計算サーバが、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行うステップと、を含み、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定するステップをさらに含み、
前記計算サーバを備える評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判スコア計算方法。
前記評判スコア計算方法を実行する複数台の計算サーバが、前記計算サーバを備える評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信するステップと、
前記複数台の計算サーバが、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行うステップと、を含み、
前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定するステップをさらに含み、
前記計算サーバを備える評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する、評判スコア計算方法。
【請求項8】
前記秘密分散技術がＡＢＹ３秘密分散フレームワークである、請求項７に記載の評判スコア計算方法。
【請求項9】
前記集計関数として平均関数を用いる、請求項７又は請求項８に記載の評判スコア計算方法。
【請求項10】
前記各ユーザが操作する端末及び前記複数台の計算サーバを請求項１又は請求項２に記載の評判システムとして機能させるためのプログラム。
【請求項11】
前記各ユーザが操作する端末及び前記複数台の計算サーバを請求項３に記載の評判システムとして機能させるためのプログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、悪意のあるクエリに対するプライバシーを保護する評判システムと安全なマルチパーティ計算プロトコルの分野に関する。
【背景技術】
【0002】
始めに、本明細書で用いるいくつかの用語の定義を示す。
「評価値（rating）」とは、評価を行う者（評価者）が、評価対象となる者（被評価者）の信頼度や行動の良し悪しを表すために使用する値である。評価値が高いほど信頼度が高い又は行動が良いことを意味する。一般に、評価者は、被評価者と対話等のインタラクション（interaction）を持った経験を有し、当該経験に基づいて被評価者に対して評価値を付ける。
「評価値（rating）」とは、評価を行う者（評価者）が、評価対象となる者（被評価者）の信頼度や行動の良し悪しを表すために使用する値である。評価値が高いほど信頼度が高い又は行動が良いことを意味する。一般に、評価者は、被評価者と対話等のインタラクション（interaction）を持った経験を有し、当該経験に基づいて被評価者に対して評価値を付ける。
【0003】
「集計関数（aggregated function）」とは、複数の評価値を一つの値にまとめるために使用される関数の総称である。具体例として、総和（summation）や平均関数（average function）がある。
「評判スコア（reputation score）」とは、複数の評価者が付した評価値を、集計関数を用いて集計（aggregate）した結果である。
「評判スコア（reputation score）」とは、複数の評価者が付した評価値を、集計関数を用いて集計（aggregate）した結果である。
【0004】
「評判システム（reputation system）」とは、当該システムの当事者（ユーザ）に被評価者に対する評価を促し、評価者としてのユーザが付した評価値を受信し、また、ユーザからの問合せに応じて被評価者に対する評価値を提供する機能を備えるシステムである。ここで、「評判システム」における被評価者自身も、当該評判システムの当事者（ユーザ）となれるように設定することが可能である。このように設定した場合、例えば、「評価値」は、「評判システム」のユーザが他のユーザの信頼度や行動の良し悪しを表すために使用する値と再定義することができる。
【0005】
本発明はこのように設定された「評判システム」を前提としているため、以下では、「評判システム」という用語は、被評価者自身も当該システムのユーザとなれるように設定されたシステムを表すものとする。
また、本明細書では、被評価者（評価対象となる者）となる他のユーザを「対象ユーザ」ともいい、対象ユーザとインタラクションした経験のあるユーザの集合を「集合Ｓ」で表す。
また、本明細書では、被評価者（評価対象となる者）となる他のユーザを「対象ユーザ」ともいい、対象ユーザとインタラクションした経験のあるユーザの集合を「集合Ｓ」で表す。
【0006】
「問合せ者（querier）」とは、評判システムに対して評価値を問い合わせるユーザである。
「クエリ（query）」とは、問合せ者が評判システムに対し特定の評価者が被評価者に付した評価値を問い合わせる質問である。
「クエリ（query）」とは、問合せ者が評判システムに対し特定の評価者が被評価者に付した評価値を問い合わせる質問である。
【0007】
以上の設定及び用語の定義に鑑みると、本発明の背景技術においては、「対象ユーザ」の「評判スコア」を知りたいと思う「問合せ者」が、「評判システム」に「クエリ」を発して「集合Ｓ」に属する複数のユーザが付した「評価値」を問い合わせ、そして、「集計関数」を用いて、求めた複数の「評価値」を「評判スコア」に集約する。
【0008】
ところで、被評価者も当事者（ユーザ）となれるように設定された評判システムにおける評価値は、互恵的・報復回避的な理由から戦略的に提供される可能性があり、そのため評価された当事者（対象ユーザ）の信頼度や行動の良し悪しを正しく反映していない可能性が示唆されている（非特許文献１）。
【0009】
すなわち、このような評判システムにおける当事者（ユーザ）は、他の当事者（ユーザ）と結託してお互いに実際よりもよい評価値を付け合うことにより有利になろうとする行動（互恵的戦略）を採る場合があることが知られている。
また、ある被評価者に対して低い評価値を付したことが当該被評価者に知られると当該被評価者から自身が報復的に低い評価を付される恐れがあると考え、このような報復を避けようとして低い評価を付けることを躊躇う行動（報復回避的戦略）を採る場合があることが知られている。
また、ある被評価者に対して低い評価値を付したことが当該被評価者に知られると当該被評価者から自身が報復的に低い評価を付される恐れがあると考え、このような報復を避けようとして低い評価を付けることを躊躇う行動（報復回避的戦略）を採る場合があることが知られている。
【0010】
このように、個々のユーザの評価値が他のユーザに漏洩する（プライバシーが保護されていない）と評価値の質が低下する可能性があることが知られている。このため、評価を行うユーザのプライバシーをサポートし、評価値が他のユーザに漏洩しないようにすることで評価値の質を担保しようとするプライバシー保護型評判システムに関する先行研究が存在する（非特許文献１及び非特許文献２）。
【0011】
非特許文献１のプライバシー保護型評判システムでは、集計関数として和を用い、構成要素として、Shamir秘密分散と離散ログコミットメント法に基づくPederson検証可能秘密分散方式を用いている。集合Ｓ内の各ユーザは、Shamir秘密分散に従って、二つのランダムな多項式を用いて、自分の評価値をコミットメントとともにシェアする。その後、ユーザはシェアに対して計算を行い、その結果を得るためにシェアを結合する。
【0012】
非特許文献２のプライバシー保護型評判システムでは、集計関数として和を用い、構成要素として加法的秘密分散方式を使用している。集合Ｓ内の各ユーザは、自身の評価値を自身が信頼する他の最大ｋ人のユーザにシェアする。そして、ユーザはシェアに対して計算を行い、その結果を得るためにシェアを結合する。
【0013】
また、非特許文献３では、プライバシーを保護する機械学習の一般的なフレームワークを設計・実装し、それを用いて線形回帰、ロジスティック回帰及びニューラルネットワークモデルのトレーニングのための新しいソリューションを得ている。非特許文献３の著者らは、データ所有者が自分のデータを３台のサーバで秘密裏にシェアし、３ＰＣ（Three-Party Computation＝三者間計算）を用いて連帯データのモデルの訓練と評価を行う、３サーバモデルにおけるプロトコルを提案しており、それは、算術演算（Arithmetic）、２進演算（Binary）及びＹａｏの３ＰＣを効率的に行き来するためのフレームワーク（これを「ＡＢＹ３秘密分散フレームワーク」と称している。）を含んでいる。なお、「Ｙａｏ」は、１９８２年に初めてのＭＰＣ（Multi-Party Computation＝マルチパーティ計算）プロトコルを発表したAndrew Yao氏のファミリーネームである。
【先行技術文献】
【非特許文献】
【0014】
【非特許文献1】Elan Pavlov, Jeffrey S. Rosenschein & Zvi Topol, “Supporting Privacy in Decentralized Additive Reputation Systems”, International Conference on Trust Management, 2004, pp. 108-119
【0015】
【非特許文献2】Omar Hasan, Lionel Brunie & Elisa Bertino, “Preserving Privacy of Feedback Providers in Decentralized Reputation Systems”, Computers & Security, 2012, vol. 31, no. 7, pp. 816-826
【0016】
【非特許文献3】Payman Mohassel & Peter Rindal, “ABY3: A Mixed Protocol Framework for Machine Learning”, Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security, 2018, pp. 35-52
【発明の概要】
【発明が解決しようとする課題】
【0017】
プライバシー保護型評判システムに対する攻撃としては、次に示す二種類の攻撃が考えられる。
攻撃１：「類似のユーザ集合へのクエリ」
この攻撃では、問合せ者は、類似の集合ＳとＴから評価値を求めるクエリを発する。その際、ユーザＵｕが、集合Ｔには存在し集合Ｓには存在しないこと唯一の違いとなるようにクエリを設定する。そして、集合Ｓから求めた評価値と集合Ｔから求めた評価値のそれぞれについて合計値や平均値を計算すれば、その結果の差からユーザＵｕが入力した評価値が漏洩することになる。
攻撃１：「類似のユーザ集合へのクエリ」
この攻撃では、問合せ者は、類似の集合ＳとＴから評価値を求めるクエリを発する。その際、ユーザＵｕが、集合Ｔには存在し集合Ｓには存在しないこと唯一の違いとなるようにクエリを設定する。そして、集合Ｓから求めた評価値と集合Ｔから求めた評価値のそれぞれについて合計値や平均値を計算すれば、その結果の差からユーザＵｕが入力した評価値が漏洩することになる。
【0018】
攻撃２：「悪意のある問合せ者と一人を除く全員のユーザとの共謀」
この攻撃では、問合せ者は、ユーザＵｖを除く集合Ｓ内のすべてのユーザと共謀しながら集合Ｓからの評価値を求める。そして、すべての悪意のあるユーザ（すなわち、ユーザＵｖを除く集合Ｓ内のすべてのユーザ）は、評価値としてゼロを入力する。その結果、集計された値からユーザＵｖが入力した評価値が漏洩することになる。
この攻撃では、問合せ者は、ユーザＵｖを除く集合Ｓ内のすべてのユーザと共謀しながら集合Ｓからの評価値を求める。そして、すべての悪意のあるユーザ（すなわち、ユーザＵｖを除く集合Ｓ内のすべてのユーザ）は、評価値としてゼロを入力する。その結果、集計された値からユーザＵｖが入力した評価値が漏洩することになる。
【0019】
本発明者らは、セキュアなマルチパーティ計算に基づく分散型設定において、関連する先行研究である非特許文献１及び非特許文献２のプライバシー保護型評判システムが、それぞれ攻撃１及び攻撃２に対抗し得るか否かを検討した。
【0020】
非特許文献１のプライバシー保護型評判システムは、攻撃２への対策として、信頼された集合Ｓの選択方法を提案している。集合Ｓを選択するために、問合せ者は集合Ｓの最初のメンバーを選択し、新しく選択されたメンバーに次のメンバーを選択させる。この場合、誠実なユーザは、ある確率で他の誠実なユーザを選ぶことが期待される。
【0021】
しかしながら、非特許文献１の方法では、システム内の誠実なユーザの分布についての仮定を必要とする。また、この方法では、攻撃１には対抗できない。
【0022】
非特許文献２の著者らは、攻撃１に対処するための対策を提案しており、その対策は次のようなものである。
対策１：計算結果にランダムなノイズを加える（この対策には、信頼できる乱数生成器が必要である。）。
対策２：ユーザの信頼できるサブセットを形成する。ユーザは、プライバシーを守るという観点から、互いに信頼できる信頼できるサブセットに参加する。ユーザは、信頼できるサブセット内の他のユーザが評価した場合にのみ、その評価値を提出する。
対策３：確率的参加を利用する。各クエリについて、ユーザはある確率でフィードバックを提供することをランダムに決定することができる。その結果、二つの類似したクエリが出現する確率は低くなる。
対策１：計算結果にランダムなノイズを加える（この対策には、信頼できる乱数生成器が必要である。）。
対策２：ユーザの信頼できるサブセットを形成する。ユーザは、プライバシーを守るという観点から、互いに信頼できる信頼できるサブセットに参加する。ユーザは、信頼できるサブセット内の他のユーザが評価した場合にのみ、その評価値を提出する。
対策３：確率的参加を利用する。各クエリについて、ユーザはある確率でフィードバックを提供することをランダムに決定することができる。その結果、二つの類似したクエリが出現する確率は低くなる。
【0023】
非特許文献２の著者らが提案した攻撃１に対する対策には、次のような欠点がある。
対策１では、計算結果にランダムなノイズを付加するが、追加されたノイズは、結果の精度を低下させる可能性がある。また、著者らの提案では、信頼できる乱数生成器の存在が仮定されており、安全性が当該仮定に依存している。
対策２では、信頼できるユーザの部分集合を形成するが、ユーザが互いに知らないという状況において、信頼できるユーザの部分集合を形成することは容易ではない。また、グループの集計結果もやはり漏洩してしまう。
対策１では、計算結果にランダムなノイズを付加するが、追加されたノイズは、結果の精度を低下させる可能性がある。また、著者らの提案では、信頼できる乱数生成器の存在が仮定されており、安全性が当該仮定に依存している。
対策２では、信頼できるユーザの部分集合を形成するが、ユーザが互いに知らないという状況において、信頼できるユーザの部分集合を形成することは容易ではない。また、グループの集計結果もやはり漏洩してしまう。
【0024】
対策３では、確率的な参加を利用するが、ある確率で、依然として攻撃が可能である。さらに、参加したユーザのリストは敵に知られており、後のクエリとの比較に使用することができる。
このように、非特許文献２の著者らが提案した攻撃１に対する対策にはいずれも欠点がある。さらに、非特許文献２の著者らが提案した対策では攻撃２には対抗できない。
このように、非特許文献２の著者らが提案した攻撃１に対する対策にはいずれも欠点がある。さらに、非特許文献２の著者らが提案した対策では攻撃２には対抗できない。
【0025】
また、非特許文献３は、プライバシー保護型機械学習のための汎用の秘密分散フレームワークを提案するものであるが、評判システムを対象とした研究ではないため、評判システムにおける攻撃１及び攻撃２への対策については何ら教示も示唆もしていない。
【0026】
以上のように、関連する先行研究である非特許文献１及び非特許文献２のプライバシー保護型評判システムは、いずれも欠点を有する。加えて、本発明者らが知る限り、攻撃１及び攻撃２の両方に対して具体的な対策を提供する先行研究は存在しない。
本発明は、不正なクエリ攻撃１及び攻撃２に対抗し得るプライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラムを提供することを目的とする。
本発明は、不正なクエリ攻撃１及び攻撃２に対抗し得るプライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラムを提供することを目的とする。
【0027】
非特許文献１の方法とは対照的に、本発明は、誠実なユーザの分布に関する仮定を必要とせず、攻撃１及び２の両方に対処することができる。
また、非特許文献２の著者らが提案した対策１とは対照的に、本発明の結果は、信頼できる乱数生成器に依存せず実データから直接得られるので、より良い安全性の仮定を有する。また、非特許文献２の著者らが提案した対策２とは対照的に、本発明では、信頼できるユーザの部分集合を形成する必要がない。また、非特許文献２の著者らが提案した対策３とは対照的に、本発明は、参加したユーザのリストを漏洩させない。
さらに、本発明は、攻撃２にも対抗することができる。
また、非特許文献２の著者らが提案した対策１とは対照的に、本発明の結果は、信頼できる乱数生成器に依存せず実データから直接得られるので、より良い安全性の仮定を有する。また、非特許文献２の著者らが提案した対策２とは対照的に、本発明では、信頼できるユーザの部分集合を形成する必要がない。また、非特許文献２の著者らが提案した対策３とは対照的に、本発明は、参加したユーザのリストを漏洩させない。
さらに、本発明は、攻撃２にも対抗することができる。
【課題を解決するための手段】
【0028】
本発明は、悪意のあるユーザが攻撃１及び攻撃２を行うことが困難な、プライバシー保護型評判システム、評判スコア計算装置、評判スコア計算方法及びプログラムである。本発明の本質的なアイデアは、問合せ者がユーザの集合Ｓから評価値を求め評判スコアを集計する際に、集合Ｓのランダムな部分集合Ｓ´からだけ評判スコアが集計されるようにすることであり、このランダムな部分集合Ｓ´のメンバーは誰にも知られないので、悪意のあるユーザが攻撃１及び攻撃２を行うことは困難である。
【0029】
（１）本発明に係る評判システムは、集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判システムであって、前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバを備え、前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する。
【0030】
（２）前記評判システムにおいて、前記秘密分散技術は、ＡＢＹ３秘密分散フレームワークであってよい。
（３）前記評判システムにおいて、前記集計関数として平均関数を用いてよい。
（３）前記評判システムにおいて、前記集計関数として平均関数を用いてよい。
【0031】
（４）本発明に係る評判スコア計算装置は、集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判スコア計算装置であって、前記評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信し、かつ、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行う、複数台の計算サーバからなり、前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定し、前記評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する。
【0032】
（５）前記評判スコア計算装置において、前記秘密分散技術は、ＡＢＹ３秘密分散フレームワークであってよい。
（６）前記評判スコア計算装置において、前記集計関数として平均関数を用いてよい。
（６）前記評判スコア計算装置において、前記集計関数として平均関数を用いてよい。
【0033】
（７）本発明に係る評判スコア計算方法は、集計関数を用いて複数の評価値を集計することにより評判スコアを算出する評判スコア計算方法であって、前記評判スコア計算方法を実行する複数台の計算サーバが、前記計算サーバを備える評判システムの複数のユーザが操作する端末から、各ユーザが特定のユーザに対して付した評価値を秘密分散技術を用いて分散化した第１の値と、各ユーザがランダムに選んだ値を前記秘密分散技術を用いて分散化した第２の値とを、ネットワークを介してそれぞれ受信するステップと、前記複数台の計算サーバが、受信した前記第１の値と前記第２の値とに基づいてマルチパーティ計算をそれぞれ行うステップと、を含み、前記各ユーザがランダムに選んだ値に基づいて前記複数のユーザの集合の部分集合を設定するステップをさらに含み、前記計算サーバを備える評判システムのいずれのユーザに対しても、前記各ユーザがランダムに選んだ値及び前記部分集合に属するメンバーが知られないようにすることにより、前記評価値を漏洩させようとする攻撃に対抗する。
【0034】
（８）前記評判スコア計算方法において、前記秘密分散技術は、ＡＢＹ３秘密分散フレームワークであってよい。
（９）前記評判スコア計算方法において、前記集計関数として平均関数を用いてよい。
（９）前記評判スコア計算方法において、前記集計関数として平均関数を用いてよい。
【0035】
（１０）本発明に係るプログラムは、各ユーザが操作する端末及び複数台の計算サーバを先述の評判システムとして機能させるためのプログラムであってよい。
【発明の効果】
【0036】
本発明は、評判システム、評判スコア計算装置、評判スコア計算方法及びプログラムの機能を提供するものである。本発明は、安全性が既に証明されているＡＢＹ３秘密分散フレームワーク上に構築されているため、ユーザのプライバシーを保護する。また、ランダムな部分集合Ｓ´のメンバーは誰にも知られないので、悪意のあるユーザが攻撃１及び攻撃２を行うことは困難である。
【図面の簡単な説明】
【0037】
【図1】実施形態のプライバシー保護型評判システムを示す概念図である。
【図2】実施形態のプライバシー保護型評判システムにおける乱数のビット列の生成手順を示すアルゴリズム１及びその具体例を示す図である。
【図3】実施形態のプライバシー保護型評判システムにおける平均関数の計算手順を示すアルゴリズム２及びその具体例を示す図である。
【図4】実施形態のプライバシー保護型評判システムにおける除算の結果を報告する手順を示すアルゴリズム３及びその具体例を示す図である。
【図5】実施形態のプライバシー保護型評判システムにおけるアルゴリズム３の具体例の続きを示す図である。
【発明を実施するための形態】
【0038】
以下、本発明の実施形態の一例について説明する。
本実施形態のプライバシー保護型評判システムは、集計関数として平均関数を採用しており、システム内の複数のユーザが対象ユーザに付した評価値の平均値が評判スコアとなる。
本実施形態のプライバシー保護型評判システムは、集計関数として平均関数を採用しており、システム内の複数のユーザが対象ユーザに付した評価値の平均値が評判スコアとなる。
【0039】
図１は、本実施形態のプライバシー保護型評判システムを示す概念図である。
問合せ者Ｕｑが対象ユーザＵｔとユーザの集合Ｓ＝｛Ｕａ，Ｕｂ，Ｕｃ，Ｕｄ，．．．｝を特定すると（図１の左側）、特定された集合Ｓ内の各ユーザＵａ，Ｕｂ，Ｕｃ，Ｕｄ，．．．は、各ユーザの端末から、対象ユーザＵｔに対する各々の評価値を秘密の断片（シェア）として、ネットワーク４０を介して３台の計算サーバ（第１サーバ１０、第２サーバ２０及び第３サーバ３０）に秘密裡に送信する。ここで、「秘密裡に送信する」とは、例えば、第１サーバ１０に送信するシェア値が第２サーバ２０及び第３サーバ３０には知られないように送信するという意味である。第２サーバ２０及び第３サーバ３０にそれぞれ送信するシェア値についても同様である。
そして、各サーバはセキュアな計算を行い、その結果としての評判スコアを問合せ者に送信する（図１の右側）。
問合せ者Ｕｑが対象ユーザＵｔとユーザの集合Ｓ＝｛Ｕａ，Ｕｂ，Ｕｃ，Ｕｄ，．．．｝を特定すると（図１の左側）、特定された集合Ｓ内の各ユーザＵａ，Ｕｂ，Ｕｃ，Ｕｄ，．．．は、各ユーザの端末から、対象ユーザＵｔに対する各々の評価値を秘密の断片（シェア）として、ネットワーク４０を介して３台の計算サーバ（第１サーバ１０、第２サーバ２０及び第３サーバ３０）に秘密裡に送信する。ここで、「秘密裡に送信する」とは、例えば、第１サーバ１０に送信するシェア値が第２サーバ２０及び第３サーバ３０には知られないように送信するという意味である。第２サーバ２０及び第３サーバ３０にそれぞれ送信するシェア値についても同様である。
そして、各サーバはセキュアな計算を行い、その結果としての評判スコアを問合せ者に送信する（図１の右側）。
【0040】
本実施形態の評判システムは、ビルディングブロックとして、非特許文献３が開示する「ＡＢＹ３秘密分散フレームワーク」を用いており、これは、後述する三つのアルゴリズムから構成されている。これら三つのアルゴリズムは、各サーバ及び各ユーザの端末にそれぞれインストールされたプログラムが協働することにより実現される。
【0041】
なお、「ビルディングブロック」とは、ロジックや機能をまとめてブロック化したものである。また、「秘密分散」とは、データ暗号化等にも用いられる情報秘匿のための技術であり、データを、それ自体は意味を持たないいくつかの乱数の断片（シェア）に分散化し、すべて又は特定の数のシェアが集まらないと元のデータが復元できないことを利用して秘匿する技術である。さらに、「ＡＢＹ」は、Arithmetic-Binary-Yaoの略であり、上付き添え字の「３」は、３ＰＣ（three-party computation＝三者間計算）を表している。データを分散化してマルチパーティ計算を行うことにより、一つのパーティにシェアが集まることがない（したがって、いずれのパーティも元のデータを復元できない）ことが担保される。
【0042】
ＡＢＹ３秘密分散フレームワークでは、秘密の値ｘについてのｘ＝ｘ（１）＋ｘ（２）＋ｘ（３）となるシェア値ｘ（１）、ｘ（２）及びｘ（３）のタプル（ｘ（１），ｘ（２），ｘ（３））を、（ｘ（１），ｘ（２））、（ｘ（２），ｘ（３））及び（ｘ（３），ｘ（１））の三つの断片に分割し、これを３台の計算サーバに各々一つずつ秘密裡に送信することによりセキュアに分散する。これにより、各サーバは秘密の値ｘを知ることができない。
ここで、「タプル」とは、複数の対象の順序づけられた組であり、以下では、対象数が三のタプルを「三つ組」といい、三つ組を分割した断片である対象数が二のタプルを「二つ組」という。
ここで、「タプル」とは、複数の対象の順序づけられた組であり、以下では、対象数が三のタプルを「三つ組」といい、三つ組を分割した断片である対象数が二のタプルを「二つ組」という。
【0043】
なお、以下の説明及び図面中では、便宜上、シェア値の三つ組（ｘ（１），ｘ（２），ｘ（３））を[[ｘ]]と表記する。その際、ｘがバイナリ値の場合は、Binaryを表す「Ｂ」の上付き字を添えて、バイナリシェア[[ｘ]]Ｂ（又は単に[[ｘ]]Ｂ）と表記し、ｘが非バイナリ値の場合は、Arithmeticを表す「Ａ」の上付き字を添えて、算術シェア[[ｘ]]Ａ（又は単に[[ｘ]]Ａ）と表記する。
【0044】
以下、図２～５を参照しつつ、ＡＢＹ３秘密分散フレームワークを応用した三つのアルゴリズム（アルゴリズム１～３）の詳細を説明する。
【0045】
＜アルゴリズム１：乱数のビット列の生成＞
アルゴリズム１では、集合Ｓからランダムな部分集合Ｓ´を生成するために、等価的に長さｎの乱数のビット列ｂを生成する。ここで、ｎは集合Ｓのサイズ（大きさ）である。集合Ｓ内の各ユーザＵｉは、長さｎの乱数のビット列ｂｉのバイナリシェアを各サーバに送信するだけなので、この乱数のビット列ｂ（及びランダムな部分集合Ｓ´）は、システム内のどのユーザにも知られることはない。最終的な乱数のビット列ｂは、送信されたすべての乱数のビット列のビットごとのＸＯＲ（排他的論理和）である。
アルゴリズム１では、集合Ｓからランダムな部分集合Ｓ´を生成するために、等価的に長さｎの乱数のビット列ｂを生成する。ここで、ｎは集合Ｓのサイズ（大きさ）である。集合Ｓ内の各ユーザＵｉは、長さｎの乱数のビット列ｂｉのバイナリシェアを各サーバに送信するだけなので、この乱数のビット列ｂ（及びランダムな部分集合Ｓ´）は、システム内のどのユーザにも知られることはない。最終的な乱数のビット列ｂは、送信されたすべての乱数のビット列のビットごとのＸＯＲ（排他的論理和）である。
【0046】
図２は、本実施形態の評判システムにおける乱数のビット列の生成手順を示すアルゴリズム１及びその具体例を示す図である。同図に示すとおり、アルゴリズム１における入力はビット列ｂの長さ（＝集合Ｓの大きさ）ｎであり、出力はバイナリシェアとしての乱数のビット列[[ｂ１]]Ｂ，…，[[ｂｎ]]Ｂである。
アルゴリズム１では、集合Ｓ内の各ユーザＵｉが、乱数のビット列ｂ１，ｉ，…，ｂｎ，ｉをランダムに生成し（ステップ２）、次いでバイナリシェア[[ｂ１，ｉ]]Ｂ，…，[[ｂｎ，ｉ]]Ｂを生成し（ステップ３）、生成したバイナリシェア[[ｂ１，ｉ]]Ｂ，…，[[ｂｎ，ｉ]]Ｂを各サーバへ送信する（ステップ４）。
アルゴリズム１では、集合Ｓ内の各ユーザＵｉが、乱数のビット列ｂ１，ｉ，…，ｂｎ，ｉをランダムに生成し（ステップ２）、次いでバイナリシェア[[ｂ１，ｉ]]Ｂ，…，[[ｂｎ，ｉ]]Ｂを生成し（ステップ３）、生成したバイナリシェア[[ｂ１，ｉ]]Ｂ，…，[[ｂｎ，ｉ]]Ｂを各サーバへ送信する（ステップ４）。
【0047】
ここで、ステップ３におけるバイナリシェア[[ｂ１，ｉ]]Ｂ，…，[[ｂｎ，ｉ]]Ｂの生成は、[[ｂ１，１]]Ｂを例にとると、ｂ１，１
（１）とｂ１，１
（２）の値をランダムに選んだ後、ｂ１，１とｂ１，１
（１）とｂ１，１
（２）のＸＯＲ（排他的論理和）によりｂ１，１
（３）をセットすることにより行う。なお、図２の具体例のステップ３における丸囲み付き＋記号は、ＸＯＲの演算子を表す（以下同様。）。
【0048】
また、ステップ４におけるバイナリシェア[[ｂ１，ｉ]]Ｂの各ユーザＵｉから各サーバへの送信は、ＡＢＹ３秘密分散フレームワークに従って行われるので、第１サーバ１０は（ｂ１，ｉ
（１），ｂ１，ｉ
（２））の二つ組を、第２サーバ２０は（ｂ１，ｉ
（２），ｂ１，ｉ
（３））の二つ組を、第３サーバ３０は（ｂ１，ｉ
（３），ｂ１，ｉ
（１））の二つ組をそれぞれ受信することになる。
【0049】
３台のサーバは、受信したすべての乱数のビット列のビットごとのＸＯＲ（排他的論理和）を計算する（ステップ７）。計算の結果得られたバイナリシェアとしての乱数のビット列[[ｂ１]]Ｂ，…，[[ｂｎ]]Ｂは、次のアルゴリズム２に対して出力される。
【0050】
なお、図２の具体例のところにステップ７の計算例として示した式は、煩雑さを避けるために先述のバイナリシェア形式で記載しているが、実際には第１サーバ１０、第２サーバ２０及び第３サーバ３０が３ＰＣ（それぞれが受信した二つ組を用いる三者間計算）を行っていることに注意されたい。例えば、第１サーバ１０が実際に行う計算は、
ｂ１ （１）＝ｂ１，１ （１）ＸＯＲｂ１，２ （１）ＸＯＲｂ１，３ （１）ＸＯＲｂ１，４ （１）
ｂ１ （２）＝ｂ１，１ （２）ＸＯＲｂ１，２ （２）ＸＯＲｂ１，３ （２）ＸＯＲｂ１，４ （２）
ｂ２ （１）＝ｂ２，１ （１）ＸＯＲｂ２，２ （１）ＸＯＲｂ２，３ （１）ＸＯＲｂ２，４ （１）
ｂ２ （２）＝ｂ２，１ （２）ＸＯＲｂ２，２ （２）ＸＯＲｂ２，３ （２）ＸＯＲｂ２，４ （２）
ｂ３ （１）＝ｂ３，１ （１）ＸＯＲｂ３，２ （１）ＸＯＲｂ３，３ （１）ＸＯＲｂ３，４ （１）
ｂ３ （２）＝ｂ３，１ （２）ＸＯＲｂ３，２ （２）ＸＯＲｂ３，３ （２）ＸＯＲｂ３，４ （２）
ｂ４ （１）＝ｂ４，１ （１）ＸＯＲｂ４，２ （１）ＸＯＲｂ４，３ （１）ＸＯＲｂ４，４ （１）
ｂ４ （２）＝ｂ４，１ （２）ＸＯＲｂ４，２ （２）ＸＯＲｂ４，３ （２）ＸＯＲｂ４，４ （２）
である。第２サーバ２０及び第３サーバ３０についても同様である。
ｂ１ （１）＝ｂ１，１ （１）ＸＯＲｂ１，２ （１）ＸＯＲｂ１，３ （１）ＸＯＲｂ１，４ （１）
ｂ１ （２）＝ｂ１，１ （２）ＸＯＲｂ１，２ （２）ＸＯＲｂ１，３ （２）ＸＯＲｂ１，４ （２）
ｂ２ （１）＝ｂ２，１ （１）ＸＯＲｂ２，２ （１）ＸＯＲｂ２，３ （１）ＸＯＲｂ２，４ （１）
ｂ２ （２）＝ｂ２，１ （２）ＸＯＲｂ２，２ （２）ＸＯＲｂ２，３ （２）ＸＯＲｂ２，４ （２）
ｂ３ （１）＝ｂ３，１ （１）ＸＯＲｂ３，２ （１）ＸＯＲｂ３，３ （１）ＸＯＲｂ３，４ （１）
ｂ３ （２）＝ｂ３，１ （２）ＸＯＲｂ３，２ （２）ＸＯＲｂ３，３ （２）ＸＯＲｂ３，４ （２）
ｂ４ （１）＝ｂ４，１ （１）ＸＯＲｂ４，２ （１）ＸＯＲｂ４，３ （１）ＸＯＲｂ４，４ （１）
ｂ４ （２）＝ｂ４，１ （２）ＸＯＲｂ４，２ （２）ＸＯＲｂ４，３ （２）ＸＯＲｂ４，４ （２）
である。第２サーバ２０及び第３サーバ３０についても同様である。
【0051】
＜アルゴリズム２：平均関数の計算＞
アルゴリズム２では、集合Ｓに属する各ユーザからの評価値ｒ（ｒ１，…，ｒｎ）とアルゴリズム１からの乱数のビット列ｂの間のドット積を求める。各ユーザＵｉは、ＡＢＹ３秘密分散フレームワークに従い、自身の評価値ｒｉを算術シェアとして各サーバに送信する。各サーバは、ＡＢＹ３秘密分散フレームワークを利用して、ｒの算術シェアとｂのバイナリシェアのドット積をプライベートに（非公開で）計算する。結果として得られる評判スコア（平均値）の分子ｘと分母ｙは別々に計算される。
アルゴリズム２では、集合Ｓに属する各ユーザからの評価値ｒ（ｒ１，…，ｒｎ）とアルゴリズム１からの乱数のビット列ｂの間のドット積を求める。各ユーザＵｉは、ＡＢＹ３秘密分散フレームワークに従い、自身の評価値ｒｉを算術シェアとして各サーバに送信する。各サーバは、ＡＢＹ３秘密分散フレームワークを利用して、ｒの算術シェアとｂのバイナリシェアのドット積をプライベートに（非公開で）計算する。結果として得られる評判スコア（平均値）の分子ｘと分母ｙは別々に計算される。
【0052】
図３は、本実施形態の評判システムにおける平均関数の計算手順を示すアルゴリズム２及びその具体例を示す図である。同図に示すとおり、アルゴリズム２における入力は、アルゴリズム１からのバイナリシェアとしての乱数のビット列[[ｂ１]]Ｂ，…，[[ｂｎ]]Ｂと、集合Ｓ内の各ユーザからの評価値ｒ１，…，ｒｎであり、出力は、算術シェアとしての平均値の分子[[ｘ]]Ａと分母[[ｙ]]Ａである。
【0053】
アルゴリズム２では、集合Ｓ内の各ユーザＵｉが、ｒｉから算術シェア[[ｒｉ]]Ａを生成する（ステップ２）。このとき、Ｕｉは、まずｒｉ
（１）とｒｉ
（２）の値をランダムに選び、次に、ｒｉ
（３）＝ｒｉ－ｒｉ
（１）＋ｒｉ
（２）を２の補数表現で計算することにより、ｒｉ
（３）の値をセットする。Ｕｉは、生成した[[ｒｉ]]Ａを各サーバに送信する（ステップ３）。
【0054】
ここで、ステップ３における算術シェアの各ユーザＵｉから各サーバへの送信は、ＡＢＹ３秘密分散フレームワークに従って行われるので、第１サーバ１０は（ｒ１
（１），ｒ１
（２））の二つ組を、第２サーバ２０は（ｒ１
（２），ｒ１
（３））の二つ組を、第３サーバ３０は（ｒ１
（３），ｒ１
（１））の二つ組をそれぞれ受信することになる。
【0055】
３台のサーバは、数列ｒの算術シェアとビット列ｂのバイナリシェアのドット積を計算する（ステップ５）。ここで、「ドット積」（「点乗積」又は「内積」ともいう。）とは、二つの同じ長さの数列から一つの数値を求める演算であり、求められる一つの数値は、二つの数列の同じ位置にある要素同士の積の総和である。計算結果は、部分集合Ｓ´の各メンバーが付した評価値の総和を表し、評判スコア（平均値）の分子ｘの算術シェア[[ｘ]]Ａとなる。
また、３台のサーバは、数列（１，１，…，１）と数列ｂのバイナリシェアのドット積を計算する（ステップ６）。計算結果は、部分集合Ｓ´のメンバー数を表し、評判スコア（平均値）の分母ｙの算術シェア[[ｙ]]Ａとなる。
また、３台のサーバは、数列（１，１，…，１）と数列ｂのバイナリシェアのドット積を計算する（ステップ６）。計算結果は、部分集合Ｓ´のメンバー数を表し、評判スコア（平均値）の分母ｙの算術シェア[[ｙ]]Ａとなる。
【0056】
ステップ５及びステップ６におけるドット積の計算の結果、図２～５に示す具体例では、集合Ｓ内の４人のユーザＵ１、Ｕ２、Ｕ３及びＵ４のそれぞれの評価値のうち、ユーザＵ２の評価値ｒ２のみが集計から除外されている。いいかえれば、部分集合Ｓ´のメンバーは、ユーザＵ２を除くユーザＵ１、Ｕ３及びＵ４となっている。しかしながら、ドット積の計算に用いる乱数のビット列ｂがシステム内のどのユーザにも知られないようになっていることで、システム内の任意のユーザがランダムな部分集合Ｓ´のメンバーを知ることが防がれていることに注意されたい。
【0057】
なお、図３の具体例のところにステップ５及びステップ６の計算例として示した式は、煩雑さを避けるために先述のバイナリシェア形式及び算術シェア形式で記載しているが、実際には第１サーバ１０、第２サーバ２０及び第３サーバ３０が３ＰＣ（それぞれが受信した二つ組を用いる三者間計算）を行っていることに注意されたい。
【0058】
＜アルゴリズム３：除算の結果の報告＞
アルゴリズム３では、評判スコア（平均値）を求めるために、部分集合Ｓ´の各メンバーが付した評価値の総和を表す[[ｘ]]Ａを被除数とし、部分集合Ｓ´のメンバー数を表す[[ｙ]]Ａを除数として除算を行う。ただし、ＡＢＹ３秘密分散フレームワークは二つの算術シェアの間の除算を直接サポートしていないため、ここでは別の方法を用いる。
まず、アルゴリズム１における乱数のビット列ｂの生成と同様の方法で、範囲［０，１）の乱数ｍを生成する。そして、サーバはｍｘとｍｙを計算し、その結果を問合せ者に送信する。このアルゴリズム３の出力は、平均値として計算された評判スコアである。
アルゴリズム３では、評判スコア（平均値）を求めるために、部分集合Ｓ´の各メンバーが付した評価値の総和を表す[[ｘ]]Ａを被除数とし、部分集合Ｓ´のメンバー数を表す[[ｙ]]Ａを除数として除算を行う。ただし、ＡＢＹ３秘密分散フレームワークは二つの算術シェアの間の除算を直接サポートしていないため、ここでは別の方法を用いる。
まず、アルゴリズム１における乱数のビット列ｂの生成と同様の方法で、範囲［０，１）の乱数ｍを生成する。そして、サーバはｍｘとｍｙを計算し、その結果を問合せ者に送信する。このアルゴリズム３の出力は、平均値として計算された評判スコアである。
【0059】
図４及び図５は、本実施形態の評判システムにおける除算の結果の報告手順を示すアルゴリズム３及びその具体例を示す図である。同図に示すとおり、アルゴリズム３における入力は、アルゴリズム２からの算術シェアとしての平均値の分子[[ｘ]]Ａと分母[[ｙ]]Ａであり、出力は、プレーンテキスト形式の平均値ｘ／ｙである。
アルゴリズム３では、集合Ｓ内の各ユーザＵｉが、乱数のビット列ｍ１，ｉ，…，ｍｄ，ｉをランダムに生成し（ステップ２）、次いで、バイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]Ｂを生成し（ステップ３）、生成したバイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]Ｂを各サーバへ送信する（ステップ４）。
アルゴリズム３では、集合Ｓ内の各ユーザＵｉが、乱数のビット列ｍ１，ｉ，…，ｍｄ，ｉをランダムに生成し（ステップ２）、次いで、バイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]Ｂを生成し（ステップ３）、生成したバイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]Ｂを各サーバへ送信する（ステップ４）。
【0060】
ここで、ステップ２においてユーザＵｉが生成する乱数のビット列ｍ１，ｉ，…，ｍｄ，ｉは、範囲［０，１）の乱数ｍｉを二進表記したときの小数部となる。例えば、ｍ１，ｉ＝０、ｍ2，ｉ＝１、ｍ3，ｉ＝１、ｍ4，ｉ＝０であれば、ｍｉ＝０．０１１０２＝０．３７５である（下付き添字の「２」は二進表記であることを示す。）。
【0061】
また、ステップ３におけるバイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]Ｂの生成は、[[ｍ１，１]]Ｂを例にとると、ｍ１，１
（１）とｍ１，１
（２）の値をランダムに選んだ後、ｍ１，１とｍ１，１
（１）とｍ１，１
（２）のＸＯＲ（排他的論理和）によりｍ１，１
（３）をセットすることにより行う。
【0062】
また、ステップ４におけるバイナリシェア[[ｍ１，ｉ]]Ｂの各ユーザＵｉから各サーバへの送信は、ＡＢＹ３秘密分散フレームワークに従って行われるので、第１サーバ１０は（ｍ１，ｉ
（１），ｍ１，ｉ
（２））の二つ組を、第２サーバ２０は（ｍ１，ｉ
（２），ｍ１，ｉ
（３））の二つ組を、第３サーバ３０は（ｍ１，ｉ
（３），ｍ１，ｉ
（１））の二つ組をそれぞれ受信することになる。
【0063】
３台のサーバは、受信したすべてのバイナリシェア[[ｍ１，ｉ]]Ｂ，…，[[ｍｄ，ｉ]]ＢのビットごとのＸＯＲ（排他的論理和）を計算することにより[[ｍ１]]Ｂ，…，[[ｍｄ]]Ｂを得る（ステップ７）。
次いで、３台のサーバは、[[０．ｍ１…ｍｄ]]ＢをＢ→Ａ変換する（ステップ９）。例えば、[[０．０１１０]]Ｂの場合、Ｂ→Ａ変換すると[[０．３７５]]Ａが得られる。
次いで、３台のサーバは、[[０．ｍ１…ｍｄ]]ＢをＢ→Ａ変換する（ステップ９）。例えば、[[０．０１１０]]Ｂの場合、Ｂ→Ａ変換すると[[０．３７５]]Ａが得られる。
【0064】
次いで、３台のサーバは、[[ｍｘ]]Ａ＝[[ｍ]]Ａ×[[ｘ]]Ａと、[[ｍｙ]]Ａ＝[[ｍ]]Ａ×[[ｙ]]Ａを計算し（ステップ１０及びステップ１１）、[[ｍｘ]]Ａと[[ｍｙ]]Ａを問合せ者Ｕｑへ送信する（ステップ１２）。これにより、問合せ者Ｕｑは、第１サーバ１０からｍｘ（１）とｍｙ（１）を受信し、第２サーバ２０からｍｘ（２）とｍｙ（２）を受信し、第３サーバ３０からｍｘ（３）とｍｙ（３）を受信することになる。
【0065】
問合せ者Ｕｑは、ステップ１２で受信したｍｘ（１）、ｍｘ（２）及びｍｘ（３）並びにｍｙ（１）、ｍｙ（２）及びｍｙ（３）からｍｘとｍｙを再構成する。具体的には、ｍｘ＝ｍｘ（１）＋ｍｘ（２）＋ｍｘ（３）とｍｙ＝ｍｙ（１）＋ｍｙ（２）＋ｍｙ（３）を計算する（ステップ１３）。
次いで、問合せ者Ｕｑは、ｍｘ／ｍｙを計算することにより、最終的に、対象ユーザＵｔの評判スコア（平均値）ｘ／ｙを得る（ステップ１４）。
次いで、問合せ者Ｕｑは、ｍｘ／ｍｙを計算することにより、最終的に、対象ユーザＵｔの評判スコア（平均値）ｘ／ｙを得る（ステップ１４）。
【0066】
なお、図５の具体例のところにステップ７、ステップ９、ステップ１０及びステップ１１の計算例として示した式は、煩雑さを避けるために先述のバイナリシェア形式及び算術シェア形式で記載しているが、実際には第１サーバ１０、第２サーバ２０及び第３サーバ３０が３ＰＣ（それぞれが受信した二つ組を用いる三者間計算）を行っていることに注意されたい。
【0067】
以上説明したとおり、本実施形態では、問合せ者がユーザの集合Ｓから評価値を求める際に、集合Ｓのランダムな部分集合Ｓ´からだけ評判スコアが集計されるようにしており、このランダムな部分集合Ｓ´のメンバーがシステム内の任意のユーザに知られることを防いでいるので、悪意のあるユーザが攻撃１及び攻撃２を行うことは困難である。
また、本実施形態では、秘密分散技術を用い、３台のサーバ（第１サーバ１０、第２サーバ２０及び第３サーバ３０）によるマルチパーティ計算を行っており、いずれのサーバも断片化（シェア）前の元のデータを知り得ないので、サーバを経由して元のデータを漏洩させることが格段に難しくなっている。
また、本実施形態では、秘密分散技術を用い、３台のサーバ（第１サーバ１０、第２サーバ２０及び第３サーバ３０）によるマルチパーティ計算を行っており、いずれのサーバも断片化（シェア）前の元のデータを知り得ないので、サーバを経由して元のデータを漏洩させることが格段に難しくなっている。
【0068】
以上、本発明の実施形態の一例について説明したが、本発明は、上述した実施形態に限るものではない。また、上述した実施形態に記載された効果は、本発明から生じる最も好適な効果を列挙したに過ぎず、本発明による効果は、実施形態に記載されたものに限定されるものではない。
【0069】
例えば、上述した実施形態では、秘密分散技術としてＡＢＹ３秘密分散フレームワークを用いているが、秘密分散技術はこれに限られるものではない。部分集合Ｓ´のメンバーがシステム内の任意のユーザに知られることを効率的に防ぎ得るものである限り、他の秘密分散技術を用いてもよい。
また、上述した実施形態では、集計関数として平均関数を用いているが、集計関数はこれに限られるものではない。例えば、総和（summation）等、平均関数以外の集計関数を用いることもできる。
また、上述した実施形態では、集計関数として平均関数を用いているが、集計関数はこれに限られるものではない。例えば、総和（summation）等、平均関数以外の集計関数を用いることもできる。
【0070】
なお、本発明により、例えば、評判システムにおけるユーザのプライバシーを保護し、悪意のあるユーザが当該評判システムに対する攻撃１及び攻撃２を行うことが困難となることから、国連が主導する持続可能な開発目標（ＳＤＧｓ）の目標９「レジリエントなインフラを整備し、持続可能な産業化を推進すると共に、イノベーションの拡大を図る」に貢献することが可能となる。
【符号の説明】
【0071】
１ 評判システム
Ｕｑ 問合せ者としてのユーザ及びその端末
Ｕｔ 被評価者としてのユーザ（対象ユーザ）及びその端末
Ｕａ，Ｕｂ，Ｕｃ，Ｕｄ 評価者としてのユーザ及びその端末
１０ 第１サーバ
２０ 第２サーバ
３０ 第３サーバ
４０ ネットワーク
Ｕｑ 問合せ者としてのユーザ及びその端末
Ｕｔ 被評価者としてのユーザ（対象ユーザ）及びその端末
Ｕａ，Ｕｂ，Ｕｃ，Ｕｄ 評価者としてのユーザ及びその端末
１０ 第１サーバ
２０ 第２サーバ
３０ 第３サーバ
４０ ネットワーク
【図1】
【図2】
【図3】
【図4】
【図5】