ホーム > 特許ランキング > 株式会社ＺｅｎｍｕＴｅｃｈ
知財求人 - 知財ポータルサイト「IP Force」
特開2024-33698秘匿計算システム、サーバー、情報処理装置、コンピュータプログラムおよび秘匿計算方法
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】公開特許公報(A)
(11)【公開番号】P2024033698
(43)【公開日】2024-03-13
(54)【発明の名称】秘匿計算システム、サーバー、情報処理装置、コンピュータプログラムおよび秘匿計算方法
(51)【国際特許分類】
G09C 1/00 20060101AFI20240306BHJP
【ＦＩ】
G09C1/00 650Z
G09C1/00 650B
【審査請求】有
【請求項の数】7
【出願形態】ＯＬ
(21)【出願番号】P 2022137457
(22)【出願日】2022-08-31
(11)【特許番号】
(45)【特許公報発行日】2022-11-15
(71)【出願人】
【識別番号】515120589
【氏名又は名称】株式会社ＺｅｎｍｕＴｅｃｈ
(74)【代理人】
【識別番号】100123984
【弁理士】
【氏名又は名称】須藤 晃伸
(74)【代理人】
【識別番号】100102314
【弁理士】
【氏名又は名称】須藤 阿佐子
(74)【代理人】
【識別番号】100159178
【弁理士】
【氏名又は名称】榛葉 貴宏
(72)【発明者】
【氏名】石田 祐介
(72)【発明者】
【氏名】國井 淳
(72)【発明者】
【氏名】桶谷 純一
(72)【発明者】
【氏名】小川 知之
(57)【要約】 （修正有）
【課題】秘匿計算に用いる乱数を適切に供給する秘匿計算システム、サーバー、情報処理装置、コンピュータプログラム及び秘匿計算方法を提供する。
【解決手段】秘匿計算システム１において、クライアント１０は、不足する乱数の有無を一定間隔で照会し必要乱数情報の回答があった場合には必要乱数情報を乱数プール手段に送信する不足乱数照会手段と、必要乱数情報に基づいて乱数を生成し複数のサーバー３０、４０に送信する乱数供給手段とを備える。各サーバーは、秘匿計算に必要となる乱数の種類及び数を見積もり必要乱数情報としてクライアントに送信する乱数見積手段と、秘匿計算を実行するための乱数をプールする乱数プール手段と、秘匿計算を実行し実行結果をクライアントに送信する秘匿計算手段と、秘匿計算の実行において不足する乱数を検知し不足する乱数の種類及び数を必要乱数情報としてクライアントに回答する不足乱数検知手段と、を備える。
【選択図】図１
【解決手段】秘匿計算システム１において、クライアント１０は、不足する乱数の有無を一定間隔で照会し必要乱数情報の回答があった場合には必要乱数情報を乱数プール手段に送信する不足乱数照会手段と、必要乱数情報に基づいて乱数を生成し複数のサーバー３０、４０に送信する乱数供給手段とを備える。各サーバーは、秘匿計算に必要となる乱数の種類及び数を見積もり必要乱数情報としてクライアントに送信する乱数見積手段と、秘匿計算を実行するための乱数をプールする乱数プール手段と、秘匿計算を実行し実行結果をクライアントに送信する秘匿計算手段と、秘匿計算の実行において不足する乱数を検知し不足する乱数の種類及び数を必要乱数情報としてクライアントに回答する不足乱数検知手段と、を備える。
【選択図】図１
【特許請求の範囲】
【請求項1】
秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算を実行するために必要な乱数を供給するクライアントと、を備える秘匿計算システムであって、
前記クライアントは、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備え、
前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段をさらに備える、秘匿計算システム。
前記クライアントは、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備え、
前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段をさらに備える、秘匿計算システム。
【請求項2】
前記秘匿計算手段は、前記不足乱数検知手段が秘匿計算の実行において不足する乱数を検知した場合には、当該不足する乱数を前記乱数供給手段から受信するまで実行中の秘匿計算を一時的に中断する機能を有する、請求項１に記載の秘匿計算システム。
【請求項3】
秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算に必要な乱数を供給するクライアントとを有し、前記サーバーが前記クライアントから供給された乱数を用いて前記秘匿計算を行う、秘匿計算システムであって、
前記サーバーは、秘匿計算に使用する乱数が不足しているかを繰り返し検知し、秘匿計算に必要となる乱数が不足する場合に、不足する乱数の種類および数の情報を含む乱数の要求情報を前記クライアントに送信し、
前記クライアントは、前記要求情報を受信した場合に、前記要求情報に基づく種類および数の乱数を前記サーバーに送信する、秘匿計算システム。
前記サーバーは、秘匿計算に使用する乱数が不足しているかを繰り返し検知し、秘匿計算に必要となる乱数が不足する場合に、不足する乱数の種類および数の情報を含む乱数の要求情報を前記クライアントに送信し、
前記クライアントは、前記要求情報を受信した場合に、前記要求情報に基づく種類および数の乱数を前記サーバーに送信する、秘匿計算システム。
【請求項4】
秘匿計算を実行するために必要な乱数を供給するクライアントと通信可能に構成された秘匿計算を実行するためのサーバーであって、
前記クライアントは、ユーザが入力したデータのクエリーを複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備えるサーバー。
前記クライアントは、ユーザが入力したデータのクエリーを複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備えるサーバー。
【請求項5】
秘匿計算を実行するための複数のサーバーと通信可能に構成された情報処理装置であって、
ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、
さらに、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段を備える、情報処理装置。
ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、
前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、
さらに、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段を備える、情報処理装置。
【請求項6】
秘匿計算を実行するための複数のサーバーと通信可能に構成された情報処理装置のプロセッサを、
ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、として機能させるためのコンピュータプログラムであって、
前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、
さらに、前記プロセッサを、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段として機能させる、コンピュータプログラム。
ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、
受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、として機能させるためのコンピュータプログラムであって、
前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、
前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、
前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、
さらに、前記プロセッサを、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段として機能させる、コンピュータプログラム。
【請求項7】
秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算を実行するために必要な乱数を供給するクライアントと、を用いた秘匿計算方法であって、
前記クライアントが、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信することと、
前記サーバーが、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信することと、
前記クライアントが、受信した必要乱数情報に基づいて乱数を生成して前記複数のサーバーに送信することと、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールすることと、
前記サーバーが、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信することと、を含み、
前記サーバーが、前記秘匿計算の実行において不足する乱数を検知すると、前記クライアントからの照会があった際に不足する乱数の種類および数を必要乱数情報として回答することと、
前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記サーバーから前記必要乱数情報の回答があった場合には、当該必要乱数情報に基づいて不足する乱数を生成して前記複数のサーバーに送信することと、をさらに含む、秘匿計算方法。
前記クライアントが、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信することと、
前記サーバーが、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信することと、
前記クライアントが、受信した必要乱数情報に基づいて乱数を生成して前記複数のサーバーに送信することと、
前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールすることと、
前記サーバーが、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信することと、を含み、
前記サーバーが、前記秘匿計算の実行において不足する乱数を検知すると、前記クライアントからの照会があった際に不足する乱数の種類および数を必要乱数情報として回答することと、
前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記サーバーから前記必要乱数情報の回答があった場合には、当該必要乱数情報に基づいて不足する乱数を生成して前記複数のサーバーに送信することと、をさらに含む、秘匿計算方法。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、秘匿計算を実行する秘匿計算システム、当該秘匿計算システムを構成するサーバー、情報処理装置、コンピュータプログラムおよび秘匿計算方法に関する。
【背景技術】
【0002】
近年、情報漏洩に対する意識の高まりから、データを暗号化したまま計算する秘匿計算（秘密計算とも言われる。以下同じ。）技術が注目されている。秘匿計算の方法として、主に、暗号鍵を用いる完全準同形暗号式の方法と、データをシェアと呼ばれる暗号化された情報に分割し、分割したシェアを複数のサーバーに分散して格納しておき、各サーバーにおいてそれぞれデータ（シェア）を暗号化したまま計算する、秘密分散式との秘匿計算が知られている。秘密分散式の秘匿計算では、完全準同形暗号式の秘匿計算と比べて、複数サーバー間の通信制御や同期処理が必要で、システム構築難度は高い一方、計算速度が速いという特徴がある。
【0003】
秘密分散式の秘匿計算では、サーバー間で相関を持つ乱数を用いることで、秘匿計算を実現するプロトコルが多く提案されている。相関を持つ乱数を生成する方法としては、秘匿計算を行うサーバー間のみで乱数を生成する方法が知られている。しかしこの場合、公開鍵暗号と、サーバー間での多くの通信回数及び通信量が必要となり、計算速度が低下してしまうという問題があった。
そこで、非特許文献１では、秘匿計算において必要な乱数を生成するための信頼できる第三者として乱数生成サーバーを秘匿計算用のサーバーとは別に設けておき、秘匿計算に必要な乱数を予め見積もっておくことで、秘匿計算において用いられる乱数を予め生成しておく技術が開示されている。このような構成では、相関を持つ乱数を信頼できる第三者の内部で生成できる。その結果、乱数生成において公開鍵暗号とそれに伴う通信が、秘匿計算用サーバー間では不要となり、計算速度が向上する。
また、非特許文献２では、信頼できる第三者の役割をクライアントが担い、クライアントから、秘密情報とともに相関を持つ乱数をサーバーに送信することで、同様に秘匿計算用サーバーの負荷を軽減し、秘匿計算の効率を高める方法が開示されている。
そこで、非特許文献１では、秘匿計算において必要な乱数を生成するための信頼できる第三者として乱数生成サーバーを秘匿計算用のサーバーとは別に設けておき、秘匿計算に必要な乱数を予め見積もっておくことで、秘匿計算において用いられる乱数を予め生成しておく技術が開示されている。このような構成では、相関を持つ乱数を信頼できる第三者の内部で生成できる。その結果、乱数生成において公開鍵暗号とそれに伴う通信が、秘匿計算用サーバー間では不要となり、計算速度が向上する。
また、非特許文献２では、信頼できる第三者の役割をクライアントが担い、クライアントから、秘密情報とともに相関を持つ乱数をサーバーに送信することで、同様に秘匿計算用サーバーの負荷を軽減し、秘匿計算の効率を高める方法が開示されている。
【先行技術文献】
【非特許文献】
【0004】
【非特許文献1】石田祐介他、「秘匿計算における乱数生成サーバーの設計と実装」、2021年暗号と情報セキュリティシンポジウム (SCIS 2021)予稿集、２０２１年
【非特許文献2】荒木俊則他、「秘密分散法を用いた３者秘密計算の有用性」、情報処理Ｖｏｌ．５９ Ｎｏ．１０ ２０１８年１０月
【発明の概要】
【発明が解決しようとする課題】
【0005】
秘匿計算においては、加算や減算では乱数は不要であるが、乗算や除算に加えて、数値の大小比較、テーブル構造データのから所定の条件に合うデータを抽出するフィルタリング計算、テーブル構造データの並び替えなどを行う場合などに乱数が用いられる。しかしながら、テーブル構造データについて秘匿計算を行う場合には、テーブル構造データの行数に応じた数の乱数が必要となり、秘匿計算の途中で計算対象とする行数が変化する場合には、乱数の見積もりを予め行えない場合がある。たとえば、テーブル構造データにおいて、一定の条件に合致する行データを抽出（フィルタリング）した後に、抽出したデータを並び替える場合には、並び替え時に、抽出した行データの数に応じた乱数が必要となるところ、行データの抽出が完了するまでは、抽出後の行データの数が確定しないため必要な乱数の数を見積もることができない。このように、必要とする乱数を予め見積もれない場合があり、秘匿計算の途中で乱数が不足してしまうおそれがあった。そして、乱数が不足してしまうと、今まで行われていた秘匿計算が中断され、演算結果を得ることができない場合もあった。
【0006】
本発明は、秘匿計算において乱数が不足してしまい、秘匿計算の処理が中断されることを防止することができる、秘匿計算システム、サーバー、情報処理装置、コンピュータプログラムおよび秘匿計算方法を提供することを目的とする。
【課題を解決するための手段】
【0007】
本発明に係る第１の観点に係る秘匿計算システムは、秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算を実行するために必要な乱数を供給するクライアントと、を備え、前記クライアントは、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備え、前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段をさらに備える。
上記秘匿計算システムにおいて、前記秘匿計算手段は、前記不足乱数検知手段が秘匿計算の実行において不足する乱数を検知した場合には、当該不足する乱数を前記乱数供給手段から受信するまで実行中の秘匿計算を一時的に中断する機能を有する構成とすることができる。
本発明の第２の観点に係る秘匿計算システムは、秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算に必要な乱数を供給するクライアントとを有し、前記サーバーが前記クライアントから供給された乱数を用いて前記秘匿計算を行う、秘匿計算システムであって、前記サーバーは、秘匿計算に使用する乱数が不足しているかを繰り返し検知し、秘匿計算に必要となる乱数が不足する場合に、不足する乱数の種類および数の情報を含む乱数の要求情報を前記クライアントに送信し、前記クライアントは、前記要求情報を受信した場合に、前記要求情報に基づく種類および数の乱数を前記サーバーに送信する構成とすることができる。
本発明に係るサーバーは、秘匿計算を実行するために必要な乱数を供給するクライアントと通信可能に構成された秘匿計算を実行するためのサーバーであって、前記クライアントは、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備える。
本発明に係る情報処理装置は、秘匿計算を実行するための複数のサーバーと通信可能に構成された情報処理装置であって、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、さらに、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段を備える。
本発明に係るコンピュータプログラムは、秘匿計算を実行するためのサーバーと通信可能に構成された情報処理装置のプロセッサを、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、として機能させるためのコンピュータプログラムであって、前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、さらに、前記プロセッサを、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段として機能させる。
本発明に係る秘匿計算方法は、秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算を実行するために必要な乱数を供給するクライアントと、を用いた秘匿計算方法であって、前記クライアントが、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信することと、前記サーバーが、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信することと、前記クライアントが、受信した必要乱数情報に基づいて乱数を生成して前記複数のサーバーに送信することと、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールすることと、前記サーバーが、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信することと、を含み、前記サーバーが、前記秘匿計算の実行において不足する乱数を検知すると、前記クライアントからの照会があった際に不足する乱数の種類および数を必要乱数情報として回答することと、前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記サーバーから前記必要乱数情報の回答があった場合には、当該必要乱数情報に基づいて不足する乱数を生成して前記複数のサーバーに送信することと、をさらに含む。
上記秘匿計算システムにおいて、前記秘匿計算手段は、前記不足乱数検知手段が秘匿計算の実行において不足する乱数を検知した場合には、当該不足する乱数を前記乱数供給手段から受信するまで実行中の秘匿計算を一時的に中断する機能を有する構成とすることができる。
本発明の第２の観点に係る秘匿計算システムは、秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算に必要な乱数を供給するクライアントとを有し、前記サーバーが前記クライアントから供給された乱数を用いて前記秘匿計算を行う、秘匿計算システムであって、前記サーバーは、秘匿計算に使用する乱数が不足しているかを繰り返し検知し、秘匿計算に必要となる乱数が不足する場合に、不足する乱数の種類および数の情報を含む乱数の要求情報を前記クライアントに送信し、前記クライアントは、前記要求情報を受信した場合に、前記要求情報に基づく種類および数の乱数を前記サーバーに送信する構成とすることができる。
本発明に係るサーバーは、秘匿計算を実行するために必要な乱数を供給するクライアントと通信可能に構成された秘匿計算を実行するためのサーバーであって、前記クライアントは、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、前記サーバーは、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信する乱数見積手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記クライアントの不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として前記クライアントに回答する不足乱数検知手段と、を備える。
本発明に係る情報処理装置は、秘匿計算を実行するための複数のサーバーと通信可能に構成された情報処理装置であって、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、を備え、前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、さらに、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段を備える。
本発明に係るコンピュータプログラムは、秘匿計算を実行するためのサーバーと通信可能に構成された情報処理装置のプロセッサを、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信するクエリー入力手段と、受信した必要乱数情報に基づいて乱数を生成し、前記複数のサーバーに送信する乱数供給手段と、として機能させるためのコンピュータプログラムであって、前記サーバーは、前記情報処理装置から受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記情報処理装置に送信する乱数見積手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールする乱数プール手段と、前記情報処理装置から受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記情報処理装置に送信する秘匿計算手段と、前記秘匿計算手段による秘匿計算の実行において不足する乱数を検知し、前記情報処理装置の不足乱数照会手段による照会があった際に不足する乱数の種類および数を必要乱数情報として回答する不足乱数検知手段と、を備え、さらに、前記プロセッサを、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記不足乱数検知手段から前記必要乱数情報の回答があった場合には、当該必要乱数情報を前記乱数プール手段に送信する不足乱数照会手段として機能させる。
本発明に係る秘匿計算方法は、秘匿計算を実行する複数のサーバーと、前記複数のサーバーに秘匿計算を実行するために必要な乱数を供給するクライアントと、を用いた秘匿計算方法であって、前記クライアントが、ユーザが入力したデータのクエリーを前記複数のサーバーの少なくとも１つに送信することと、前記サーバーが、前記クライアントから受信した前記クエリーに基づいて秘匿計算に必要となる乱数の種類および数を見積もり、見積もった乱数の種類および数を必要乱数情報として前記クライアントに送信することと、前記クライアントが、受信した必要乱数情報に基づいて乱数を生成して前記複数のサーバーに送信することと、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行するための乱数をプールすることと、前記サーバーが、前記クライアントから受信した前記クエリーに基づく秘匿計算を実行し、実行結果を前記クライアントに送信することと、を含み、前記サーバーが、前記秘匿計算の実行において不足する乱数を検知すると、前記クライアントからの照会があった際に不足する乱数の種類および数を必要乱数情報として回答することと、前記クライアントが、前記サーバーに前記クエリーに基づく秘匿計算の実行時に不足する乱数の有無を一定間隔で照会し、前記サーバーから前記必要乱数情報の回答があった場合には、当該必要乱数情報に基づいて不足する乱数を生成して前記複数のサーバーに送信することと、をさらに含む。
【発明の効果】
【0008】
本発明によれば、クライアントが、サーバーから乱数の要求情報を受信した場合に、要求情報に基づく種類および数の乱数をサーバーに送信することで、秘匿計算に用いる乱数を適切にサーバーに提供することができる。
【図面の簡単な説明】
【0009】
【図1】本実施形態に係る秘匿計算システムの構成図である。
【図2】本実施形態に係る乱数供給処理を説明するための概要図である。
【図3】第１サーバーにおける秘匿乗算処理を示すフローチャートである。
【図4】第２サーバーにおける秘匿乗算処理を示すフローチャートである。
【図5】秘匿乗算処理を説明するための概要図である。
【図6】秘匿データ抽出処理を示すフローチャートである。
【図7】秘匿データ抽出処理を説明するための概要図である。
【図8】本実施形態に係るクライアント側乱数供給処理を示すフローチャートである。
【図9】本実施形態に係るサーバー側乱数供給処理を示すフローチャートである。
【図10】本実施形態に係る乱数供給処理におけるクライアントとサーバーとの情報の授受を説明するための図である。
【発明を実施するための形態】
【0010】
本発明に係る秘匿計算システムの実施形態を、図を参照して説明する。図１は、本実施形態に係る秘匿計算システム１を示す構成図である。図１に示すように、本実施形態に係る秘匿計算システム１は、クライアント１０と、ゲートウェイ２０と、第１サーバー３０と、第２サーバー４０とから構成される。また、図１に示すように、クライアント１０は、ゲートウェイ２０により通信制限が行われているＬＡＮ（Local Area Network）内に配置されている。また、クライアント１０およびゲートウェイ２０と、第１サーバー３０と、第２サーバー４０とは、インターネット２を介して、互いに通信が可能となっている。なお、図１に示す図では、クライアント１０およびゲートウェイ２０を１つのみ図示するが、クライアント１０やゲートウェイ２０を複数備える構成とすることができる。また、図１に示す例では、サーバー３０，４０を２台用いて秘匿計算を行う２者間秘匿計算を実行する構成を例示しているが、これに限定されず、たとえば３台以上のサーバーを用いて秘匿計算を行う構成とすることができる。
【0011】
本実施形態では、サーバー３０，４０に、暗号化されていないデータ（以下、「平文データ」という。）が秘密分散して記憶されている。秘密分散（法）とは、平文データを、単独では意味をなさないシェアと言われる断片に分割し、複数のサーバーに分散させる暗号化技術である。秘密分散（法）によれば、情報は複数の断片へと分散され、所定数以上の断片が集まらない限り元の情報は復元不能とされる。各サーバー３０，４０は、シェアを平文データに戻すことなく、平文データの計算結果のシェアを算出する秘匿計算を実行する。ここで、秘匿計算のうち、乗算および除算や、大小比較、テーブル構造データのフィルタリングおよび並び替えなどの計算では、秘匿計算において乱数が必要となる。従来は、秘匿計算を実行する各サーバーが互いに通信して乱数を生成する方法が提案されていたが、この場合、公開鍵暗号などを用いる必要があり、計算速度が低下してしまうという問題があった。そこで、本実施形態では、クライアント１０が、秘匿計算に必要な乱数を生成し、生成した乱数をサーバー３０，４０に送信する構成（Ｃｌｉｅｎｔ－Ａｉｄｅｄモデルとも言われる）を採用している。
【0012】
また、本実施形態では、クライアント１０が予め必要となる乱数を予測し、秘匿計算が開始される前に乱数をサーバー３０，４０に送信するのではなく、秘匿計算が開始されると、図２（Ａ）に示すように、クライアント１０からサーバー３０，４０に対して、秘匿計算で不足している乱数があるか問い合わせを行い、当該問い合わせに応答して、図２（Ｂ）に示すように、サーバー３０，４０から乱数の要求情報を送信してもらう。そして、図２（Ｃ）に示すように、クライアント１０は、受信した要求情報に基づいて乱数を生成し、生成した乱数をサーバー３０，４０に供給することを特徴としている。なお、図２は、本実施形態に係る乱数供給処理を説明するための概要図である。以下、秘匿計算システム１を構成する各装置について説明する。
【0013】
クライアント１０は、ユーザが操作するパソコンなどの情報端末装置であり、演算装置、記憶装置、および通信装置を有する。本実施形態では、ユーザの操作により、クライアント１０からサーバー３０，４０に秘匿計算の指示が送信され、これにより、サーバー３０，４０で秘匿計算が行われる。また、本実施形態に係る秘匿計算システム１において、クライアント１０は、秘匿計算の指示を送信し、サーバー３０，４０で秘匿計算が開始されると、定期的に乱数の供給に関する問い合わせをサーバー３０，４０に対して行い、乱数が必要である場合には、秘匿計算で使用される乱数を生成し、生成した乱数をサーバー３０，４０に供給する機能も有する。なお、クライアント１０からサーバー３０，４０への乱数供給方法の詳細については後述する。
【0014】
ゲートウェイ２０は、クライアント１０およびサーバー３０，４０間の通信を制御する。具体的には、ゲートウェイ２０は、クライアント１０からサーバー３０，４０へのコネクション確立要求の伝送を許可する一方で、サーバー３０、４０からクライアント１０へのコネクション確立要求の伝送を禁止する。一旦クライアント１０とサーバー３０、４０の間でコネクションが確立すれば、当該コネクションが有効である間は相互に通信することが可能である。本実施形態では、ゲートウェイ２０は、クライアント１０からサーバー３０、４０とのコネクション確立要求を伝送し、コネクション確立後に、当該コネクションを使用して乱数供給の問い合わせがクライアント１０からサーバー３０，４０に送信され、これに応答して、サーバー３０，４０から乱数の要求情報が同コネクションを使用してクライアント１０に送信される。また、ゲートウェイ２０は、サーバー３０，４０からクライアント１０へと、秘匿計算の計算結果を送信する場合にも、同手順に従いクライアント１０がサーバー３０、４０とのコネクションを確立させた後、サーバー３０，４０がクライアント１０の指示に基づいて、当該コネクションを使用してクライアント１０への計算結果を伝送する。
このようなゲートウェイ２０の機能は、ゲートウェイが一般的に有する機能であり、かつＬＡＮ外部からクライアント１０へ侵入されること防ぐために導入される一般的なネットワーク構成である。本実施形態では、ゲートウェイ２０が一般的に有する機能と一般的なネットワーク構成を利用することができるため、本実施形態に係る秘匿計算システム１の既存システムへの汎用性は高いと言える。
このようなゲートウェイ２０の機能は、ゲートウェイが一般的に有する機能であり、かつＬＡＮ外部からクライアント１０へ侵入されること防ぐために導入される一般的なネットワーク構成である。本実施形態では、ゲートウェイ２０が一般的に有する機能と一般的なネットワーク構成を利用することができるため、本実施形態に係る秘匿計算システム１の既存システムへの汎用性は高いと言える。
【0015】
サーバー３０，４０は、演算装置、記憶装置、通信装置、およびデータベースを有しており、データベースに、データを秘密分散してシェアとして記憶している。シェアは、秘密分散された特定の数のシェアが揃わないと平文データを復号することができず、仮に、第１サーバー３０または第２サーバー４０の一方のみでシェアが漏洩した場合でも、もう一方のシェアが漏洩していない場合には、平文データを復号することができず、秘密状態を担保することができる。本実施形態において、サーバー３０，４０は、秘匿計算を行うためのサーバー側プログラムを記憶装置に記憶しており、当該プログラムを演算装置で実行することで、秘匿計算を実行することができる。特に、本実施形態では、第１サーバー３０と第２サーバー４０とは、インターネット２を介して互いに通信が可能であり、サーバー３０，４０が秘密分散されたシェアを復号することなくデータを秘匿したまま、サーバー３０，４０で行った計算結果を互いにやり取りしながら秘匿計算を行うことで、所望の計算結果を得るマルチパーティ計算（Ｍｕｌｔｉ－Ｐａｒｔｙ Ｃｏｍｐｕｔａｔｉｏｎ、ＭＰＣ）が行われる。また、秘匿計算において、サーバー３０，４０は、乗算、大小比較、フィルタリング計算、データの並び替えなどの秘匿計算では、クライアント１０から乱数を受信し、受信した乱数を用いて秘匿計算を実行する。
【0016】
さらに、サーバー３０，４０は、秘匿演算で必要となる乱数を見積るためのプログラムを記憶部に記憶しており、当該乱数見積プログラムを実行することで、秘匿計算に必要な乱数を予め見積もることができる。具体的には、サーバー３０，４０は、クライアント１０から実行する秘匿計算の計算情報を取得し、乱数見積プログラムを実行することで、クライアント１０から取得した計算情報にある秘匿計算を行う場合の乱数を見積もる。計算情報は、サーバー３０，４０で実行される秘匿計算を示す情報であれば特に限定されないが、本実施形態では、クライアント１０から出力されるクエリー情報（たとえばｗｈｅｒｅ句を有するｓｅｌｅｃｔ構文など）が計算情報として、クライアント１０から送信され、サーバー３０，４０により取得される。なお、当該乱数見積プログラムで見積可能な乱数は、計算対象となるテーブル構造データの行数が変化する前の計算で使用される乱数であり、行数が変化した後の計算で使用される乱数までは見積もることができない。たとえば、秘匿乗算ではテーブル構造データの行数は変化しないため、２回の秘匿乗算を行う場合も、これらの計算で使用される乱数を見積もることができるが、行数が変化するフィルタリング計算（ｗｈｅｒｅ句）を行った後に秘匿乗算を行う計算では、フィルタリング後の秘匿乗算で使用する乱数までは見積もることができない。
【0017】
以下においては、まず、図３ないし図６を参照して、サーバー３０，４０による秘匿計算のうち、乱数を用いる秘匿乗算の一例について説明する。なお、図３は、第１サーバー３０で実行される秘匿乗算処理を示すフローチャートであり、図４は、第２サーバー４０で実行される秘匿乗算処理を示すフローチャートであり、図５は、秘匿乗算処理を説明するための概要図である。
【0018】
（秘匿乗算処理）
秘匿乗算処理は、２入力１出力の整数乗算において、入出力に関する情報を一切知ることなく、その演算結果を得ることができる処理である。具体的には、２つの暗号化データを入力とし、それらを一切復号することなく後述する所定の演算（所定の秘匿乗算アリゴリズム）を実施し、乗算結果を暗号化データとして得る演算処理である。秘匿乗算処理では、図５に示すように、サーバー３０，４０に、平文データｘ，ｙを秘密分散したシェア[[ｘ]]１，[[ｘ]]２，[[ｙ]]１，[[ｙ]]２がそれぞれ記憶されている。図３ないし図５に示す秘匿乗算処理では、サーバー３０，４０により、ｘ，ｙのシェアをそのまま用いて、ｘ×ｙ＝ｚの乗算を行い、計算結果であるｚのシェア[[ｚ]]１，[[ｚ]]２を得る場面を例示して説明する。なお、以下においては、第１サーバー３０に記憶されているｘのシェアを[[ｘ]]１、ｙのシェアを[[ｙ]]１とする。同様に、第２サーバー４０に記憶されているｘのシェアを[[ｘ]]２、ｙのシェアを[[ｙ]]２とする。さらに、第１サーバー３０に記憶されるｚのシェアを[[ｚ]]１とし、第２サーバー４０に記憶されるｚのシェアを[[ｚ]]２とする。なお、平文データと、秘密分散されたシェアとは、以下のような関係を有している。たとえば、平文データｘと、そのシェアである[[ｘ]]１，[[ｘ]]２は、ｘ＝[[ｘ]]１＋[[ｘ]]２の関係にあり、[[ｘ]]１＝ｒおよび[[ｘ]]２＝ｘ－ｒの関係にある。ここで、ｘとｒは２ｌの剰余環で表現される整数であり、ｒは一様乱数となる。ｌは演算対象の値域を表すビット数であり、１ビット整数の演算の場合はｌ＝１、３２ビット整数の演算の場合はｌ＝３２となる。平文データとシェアとがこのような関係にあるため、[[ｘ]]１＋[[ｘ]]２により平文データｘを復号することが可能となる。
秘匿乗算処理は、２入力１出力の整数乗算において、入出力に関する情報を一切知ることなく、その演算結果を得ることができる処理である。具体的には、２つの暗号化データを入力とし、それらを一切復号することなく後述する所定の演算（所定の秘匿乗算アリゴリズム）を実施し、乗算結果を暗号化データとして得る演算処理である。秘匿乗算処理では、図５に示すように、サーバー３０，４０に、平文データｘ，ｙを秘密分散したシェア[[ｘ]]１，[[ｘ]]２，[[ｙ]]１，[[ｙ]]２がそれぞれ記憶されている。図３ないし図５に示す秘匿乗算処理では、サーバー３０，４０により、ｘ，ｙのシェアをそのまま用いて、ｘ×ｙ＝ｚの乗算を行い、計算結果であるｚのシェア[[ｚ]]１，[[ｚ]]２を得る場面を例示して説明する。なお、以下においては、第１サーバー３０に記憶されているｘのシェアを[[ｘ]]１、ｙのシェアを[[ｙ]]１とする。同様に、第２サーバー４０に記憶されているｘのシェアを[[ｘ]]２、ｙのシェアを[[ｙ]]２とする。さらに、第１サーバー３０に記憶されるｚのシェアを[[ｚ]]１とし、第２サーバー４０に記憶されるｚのシェアを[[ｚ]]２とする。なお、平文データと、秘密分散されたシェアとは、以下のような関係を有している。たとえば、平文データｘと、そのシェアである[[ｘ]]１，[[ｘ]]２は、ｘ＝[[ｘ]]１＋[[ｘ]]２の関係にあり、[[ｘ]]１＝ｒおよび[[ｘ]]２＝ｘ－ｒの関係にある。ここで、ｘとｒは２ｌの剰余環で表現される整数であり、ｒは一様乱数となる。ｌは演算対象の値域を表すビット数であり、１ビット整数の演算の場合はｌ＝１、３２ビット整数の演算の場合はｌ＝３２となる。平文データとシェアとがこのような関係にあるため、[[ｘ]]１＋[[ｘ]]２により平文データｘを復号することが可能となる。
【0019】
秘匿乗算処理では、クライアント１０により生成された３つの乱数ａ，ｂ，ｃを用いて計算が行われる。なお、これら３つの乱数はｃ＝ａ×ｂの関係にある相関乱数である。クライアント１０は、乱数ａを秘密分散して乱数シェア[[ａ]]１，[[ａ]]２を生成し、乱数ｂを秘密分散して乱数シェア[[ｂ]]１，[[ｂ]]２を生成し、乱数ｃを秘密分散して乱数シェア[[ｃ]]１，[[ｃ]]２を生成する。そして、クライアント１０は、乱数ａ，ｂ，ｃを秘密分散したシェア[[ａ]]１，[[ｂ]]１，[[ｃ]]１を第１サーバー３０に送信し、乱数ａ，ｂ，ｃを秘密分散したシェア[[ａ]]２，[[ｂ]]２，[[ｃ]]２を第２サーバー４０へと送信する。これにより、第１サーバー３０は、乱数ａ，ｂ，ｃのシェア[[ａ]]１，[[ｂ]]１，[[ｃ]]１を用いて秘匿乗算を実行することができ、また、第２サーバー４０は、乱数ａ，ｂ，ｃのシェア[[ａ]]２，[[ｂ]]２，[[ｃ]]２を用いて秘匿乗算を実行することができる。
【0020】
まず、図３を参照して、第１サーバー３０で実行される秘匿乗算処理について説明する。なお、以下においては、平文データｘのシェア[[ｘ]]，[[ｙ]]を一次シェア、一次シェア[[ｘ]]，[[ｙ]]に基づいて算出されたシェア[[ｘ’]]，[[ｙ’]]を二次シェアと称す。まず、ステップＳ１０１では、第１サーバー３０により、平文データｘの一次シェア[[ｘ]]１から乱数ａのシェア[[ａ]]１を引いた数が、二次シェア[[ｘ’]]１として算出される。また、ステップＳ１０２では、第１サーバー３０により、平文データｙの一次シェア[[ｙ]]１から乱数ｂのシェア[[ｂ]]１を引いた数が、二次シェア[[ｙ’]]１として算出される。
【0021】
また、ステップＳ１０３およびＳ１０４では、図５に示すように、サーバー３０，４０間の相互通信により、一方のサーバー３０，４０で行われた計算結果を他方のサーバー３０，４０と送受信する処理が行われる。具体的には、ステップＳ１０３では、第１サーバー３０により、ステップＳ１０１で算出した二次シェア[[ｘ’]]１と、ステップＳ１０２で算出した二次シェア[[ｙ’]]１とが、第２サーバー４０へと送信される。また、ステップＳ１０４では、第１サーバー３０により、第２サーバー４０で生成された二次シェア[[ｘ’]]２および二次シェア[[ｙ’]]２が受信される。なお、二次シェア[[ｘ’]]２は、第２サーバー４０において、平文データｘの一次シェア[[ｘ]]２から乱数ａのシェア[[ａ]]２を引いて求めた数である。また、二次シェア[[ｙ’]]２は、第２サーバー４０において算出された、平文データｙの一次シェア[[ｙ]]２から乱数ｂのシェア[[ｂ]]２を引いて求めた数である。二次シェア[[ｘ’]]２および二次シェア[[ｙ’]]２の算出方法については、後述する図４に示す、第２サーバー４０で実行される秘匿乗算処理でも説明する。
【0022】
続いて、ステップＳ１０５では、第１サーバー３０により、ステップＳ１０１で算出した二次シェア[[ｘ’]]１と、ステップＳ１０４で取得した二次シェア[[ｘ’]]２とが加算され、データｘ’が算出される。また、ステップＳ１０６では、第１サーバー３０により、ステップＳ１０２で算出した二次シェア[[ｙ’]]１と、ステップＳ１０４で取得した二次シェア[[ｙ’]]２とが加算され、データｙ’が算出される。なお、データｘ’およびデータｙ’は、平文データｘおよび平文データｙを乱数ａおよび乱数ｂを用いて暗号化したデータであり、それ単独で意味をなさないデータとなる。
【0023】
ステップＳ１０７では、第１サーバー３０により、ステップＳ１０５で算出したデータｘ’、ステップＳ１０６で算出したデータｙ’、クライアント１０から受信した乱数ａ，ｂ，ｃのシェア[[ａ]]１，[[ｂ]]１，[[ｃ]]１を用いて、ｘ×ｙの計算結果であるｚのシェア[[ｚ]]１が算出される。具体的には、第１サーバー３０は、ｘ’×ｙ’＋ｘ’× [[ｂ]]１＋ｙ’× [[ａ]]１＋[[ｃ]]１の計算結果を、シェア[[ｚ]]１として算出することができる。そして、第１サーバー３０は、算出したシェア[[ｚ]]１を、データベースに記憶し、あるいは、クライアント１０の指示に基づいて、クライアント１０へと送信する。
【0024】
また、図４は、第２サーバー４０で実行される秘匿乗算処理を示すフローチャートである。図４に示すように、まず、ステップＳ２０１では、第２サーバー４０により、平文データｘの一次シェア[[ｘ]]２から乱数ａのシェア[[ａ]]２を引いた数が二次シェア[[ｘ’]]２として算出される。また、ステップＳ２０２では、第２サーバー４０により、平文データｙの一次シェア[[ｙ]]２から乱数ｂのシェア[[ｂ]]２を引いた数が、二次シェア[[ｙ’]]２として算出される。
【0025】
ステップＳ２０３およびＳ２０４では、図３のステップＳ１０３，Ｓ１０４と同様に、サーバー３０，４０間の相互通信により、一方のサーバー３０，４０で行われた計算結果を他方のサーバー３０，４０に送受信する処理が行われる。すなわち、ステップＳ２０３では、第２サーバー４０により、ステップＳ２０１で算出した二次シェア[[ｘ’]]２と、ステップＳ２０２で算出した二次シェア[[ｙ’]]２とが、第１サーバー３０へと送信される。なお、上述したように、図３のステップＳ１０４で第１サーバー３０が受信する二次シェア[[ｘ’]]２および二次シェア[[ｙ’]]２は、このステップＳ２０３で第２サーバー４０から送信される二次シェア[[ｘ’]]２および二次シェア[[ｙ’]]２である。また、ステップＳ２０４では、第２サーバー４０により、第１サーバー３０で生成された二次シェア[[ｘ’]]１および二次シェア[[ｙ’]]１が受信される。なお、二次シェア[[ｘ’]]１および二次シェア[[ｙ’]]１は、上述した図３のステップＳ１０３において第１サーバー３０により送信された二次シェア[[ｘ’]]１および二次シェア[[ｙ’]]１である。
【0026】
そして、ステップＳ２０５では、第２サーバー４０により、ステップＳ２０１で算出した二次シェア[[ｘ’]]２と、ステップＳ２０４で取得した二次シェア[[ｘ’]]１とを加算して、データｘ’が復号される。また、ステップＳ２０６では、第２サーバー４０により、ステップＳ２０２で算出した二次シェア[[ｙ’]]２と、ステップＳ２０４で取得した二次シェア[[ｙ’]]１とを加算して、データｙ’が復号される。
【0027】
ステップＳ２０７では、第２サーバー４０により、ステップＳ２０５で算出したデータｘ’、ステップＳ２０６で算出したデータｙ’、クライアント１０から受信した乱数ａ，ｂ，ｃのシェア[[ａ]]２，[[ｂ]]２，[[ｃ]]２を用いて、乗算ｘ×ｙの計算結果であるデータｚのシェア[[ｚ]]２が算出される。具体的には、第２サーバー４０は、ｘ’×[[ｂ]]２＋ｙ’×[[ａ]]２＋ [[ｃ]]２の計算結果をシェア[[ｚ]]２として算出する。そして、第２サーバー４０は、算出したシェア[[ｚ]]２を、データベースに記憶し、あるいは、クライアント１０の指示に基づいて、クライアント１０へと送信する。
【0028】
これにより、第１サーバー３０には、平文データｘとｙとを乗算した計算結果であるｚのシェア[[ｚ]]１が記憶され、第２サーバー４０には、ｚのシェア[[ｚ]]２が記憶される。また、クライアント１０は、第１サーバー３０からシェア[[ｚ]]１を取得し、第２サーバー４０からシェア[[ｚ]]２を取得して、シェア[[ｚ]]１とシェア[[ｚ]]２とを加算することで、平文データｘとｙとを乗算した結果の平文データｚを算出することができる。
【0029】
このように、１回の秘匿乗算では、３つの相関乱数ａ，ｂ，ｃのシェア[[ａ]]１，[[ｂ]]１，[[ｃ]]１，[[ａ]]２，[[ｂ]]２，[[ｃ]]２が必要とされる。また、データが複数の行（行数ｎ）を有するテーブル構造データである場合に、各行のデータを秘匿乗算する場合には、３つの相関乱数ａ，ｂ，ｃのシェア[[ａ]]１，[[ｂ]]１，[[ｃ]]１，[[ａ]]２，[[ｂ]]２，[[ｃ]]２が行数ｎ分必要となる。このように、秘匿乗算では、秘匿乗算の回数やテーブル構造データの行数ｎが予め分かれば、必要となる乱数の数も分かることとなる。本実施形態では、クライアント１０が、乱数を生成する機能を有し、計算を開始する前からこれらの相関乱数のシェアを生成しプールしておくことで、必要に応じて生成した相関乱数をサーバー３０，４０に送信することもでき、また、後述するように、サーバー３０，４０の要求に応じて、相関乱数のシェアを生成しサーバー３０，４０に送信することもできる。
【0030】
（秘匿データ抽出処理）
次に、図６および図７に基づいて、秘匿データ抽出処理について説明する。なお、図６は、第１サーバー３０および第２サーバー４０で実行される秘匿データ抽出処理を示すフローチャートであり、図７は、秘匿データ抽出処理を説明するための概要図である。本実施形態に係るデータ抽出処理では、ＳＱＬ文などを用いて、秘密分散したテーブル構造データの中から、一定の条件を満たす行データを抽出する処理である。以下においては、Ｘ、Ｙという数値属性の列データを有する、ｎ行の行データを有するテーブル構造データの中から、Ｘ列のデータｘがＹ列のデータｙよりも小さい（ｘ＜ｙ）という条件を満たす行データにおけるＸ列データの数値ｘを抽出する計算を例示して説明する。すなわち、ＳＱＬ文で記載するところの、“ｓｅｌｅｃｔ ｘ ｆｒｏｍ テーブル構造データ ｗｈｅｒｅ ｘ＜ｙ”の計算を例示して説明する。なお、各サーバー３０，４０には、図７に示すように、計算対象であるテーブル構造データのシェアが予め記憶されているものとする。より具体的には、サーバー３０，４０は、Ｘ列データｘのシェア[[ｘ［ｉ］]]およびＹ列データｙのシェア[[ｙ［ｉ］]]を行数ｎの分だけ記憶しているものとする。以下では、ｎ行あるテーブル構造データの各行のＸ列データｘのシェア[[ｘ［ｉ］]]の数列をシェア[[ｘ]]と称し、ｎ行あるテーブル構造データの各行のＹ列データｙのシェア[[ｙ［ｉ］]]の数列をシェア[[ｙ]]と称す。また、ｉは整数でテーブル構造データのうちｉ行目のデータを意味するものとし、０≦ｉ＜ｎとする。
次に、図６および図７に基づいて、秘匿データ抽出処理について説明する。なお、図６は、第１サーバー３０および第２サーバー４０で実行される秘匿データ抽出処理を示すフローチャートであり、図７は、秘匿データ抽出処理を説明するための概要図である。本実施形態に係るデータ抽出処理では、ＳＱＬ文などを用いて、秘密分散したテーブル構造データの中から、一定の条件を満たす行データを抽出する処理である。以下においては、Ｘ、Ｙという数値属性の列データを有する、ｎ行の行データを有するテーブル構造データの中から、Ｘ列のデータｘがＹ列のデータｙよりも小さい（ｘ＜ｙ）という条件を満たす行データにおけるＸ列データの数値ｘを抽出する計算を例示して説明する。すなわち、ＳＱＬ文で記載するところの、“ｓｅｌｅｃｔ ｘ ｆｒｏｍ テーブル構造データ ｗｈｅｒｅ ｘ＜ｙ”の計算を例示して説明する。なお、各サーバー３０，４０には、図７に示すように、計算対象であるテーブル構造データのシェアが予め記憶されているものとする。より具体的には、サーバー３０，４０は、Ｘ列データｘのシェア[[ｘ［ｉ］]]およびＹ列データｙのシェア[[ｙ［ｉ］]]を行数ｎの分だけ記憶しているものとする。以下では、ｎ行あるテーブル構造データの各行のＸ列データｘのシェア[[ｘ［ｉ］]]の数列をシェア[[ｘ]]と称し、ｎ行あるテーブル構造データの各行のＹ列データｙのシェア[[ｙ［ｉ］]]の数列をシェア[[ｙ]]と称す。また、ｉは整数でテーブル構造データのうちｉ行目のデータを意味するものとし、０≦ｉ＜ｎとする。
【0031】
図６に示す秘匿データ抽出処理は、主に、２つの処理により行われる。すなわち、ｘ＜ｙの大小比較を行う処理と、フィルタリング条件（図６に示す例ではｘ＜ｙ）に合致する行のＸ列データｘを抽出するフィルタリング処理である。大小比較処理においては、比較対象整数の表現ビット数に応じて必要な相関乱数の個数が異なるが、例えば、３２ビット整数の場合、１回の比較当たり、１ビットの相関乱数のシェアの組み合わせ（[[ａ]]，[[ｂ]]，[[ｃ]]）が１６３組必要となる。さらに、テーブル構造データがｎ行である場合は、ｎ倍の相関乱数のシェアの組み合わせが必要となる。また、フィルタリング処理においては、抽出対象データ（抽出するデータ列のデータ、ＳＱＬ文ではｓｅｌｅｃｔ文に記載されるデータ）が３２ビット整数１列である場合、１回のフィルタリングあたり、シャッフルと呼ばれる乱数（以下、単にシャッフルと称す）と相関乱数の数列の組み合わせ（（ｒ１，ｒ１’，ａ１，ａ１’，ｂ１，ｂ１’），（ｒ２，ｒ２’，ａ２，ａ２’，ｂ２，ｂ２’））が１組必要となる。なお、シャッフルｒ１，ｒ１’，ｒ２，ｒ２’は、ランダム置換を構成するｎ個の数列（乱数列）であり、計算対象となるテーブル構造データの行数が多くなるほど、シャッフルに含まれる乱数の数（乱数列の要素数）は多くなる。また、ａ１，ａ１’，ｂ１，ｂ１’ ，ａ２，ａ２’，ｂ２，ｂ２’は相関乱数の数列である。本実施形態では、抽出対象がＸ列データｘの１つだけのため、相関乱数はａ，ｂ（具体的には、ａ１，ａ１’，ｂ１，ｂ１’，ａ２，ａ２’，ｂ２，ｂ２’）の組み合わせとなるが、抽出対象の列数が増加すれば、相関乱数の組み合わせもａ，ｂ，ｃ・・・と増えていく。このように、秘匿データ抽出処理においては、実行する計算処理に応じて乱数の種類が変わり、また、計算対象となるテーブル構造データの行数ｎや抽出対象の列数に応じて必要となる乱数の数が変化する。さらに、本実施例においてテーブル構造データの行数は公開されている（秘匿されない）値であるが、フィルタリング結果のテーブル構造データの行数については、当該フィルタリング処理が実行完了するまでは不明である。そのため、データ分析においては、フィルタリング処理後に集計等何らかの演算を実施する場合が多いが、前段のフィルタリング処理が完了するまでは、その後の秘匿計算に必要な乱数を予め見積もってプールしておくことが難しいという問題がある。本実施形態では、クライアント１０が必要に応じて乱数を生成しサーバー３０，４０に提供することで、このような問題を解決することが可能となる。以下に、図６に示す秘匿データ抽出処理のフローチャートに基づいて、本実施形態に係る秘匿データ抽出処理を説明する。
【0032】
図６に示すように、ステップＳ３０１では、サーバー３０，４０により、フィルタリング条件の評価が行われる。本実施形態では、計算対象となるテーブル構造データの中から、ｘ＜ｙとなる行データを抽出する計算であるため、サーバー３０，４０は、自身が記憶するテーブル構造データのシェア、より具体的には、テーブル構造データのＸ列データｘのシェア[[ｘ]]およびＹ列データｙのシェア[[ｙ]]に基づいて、ｘとｙとの大小関係を秘匿計算で評価し、評価結果ｆのシェア[[ｆ]]を出力として得る。具体的には、テーブル構造データの各行のＸ列データｘのシェア[[ｘ［ｉ］]]と、Ｙ列データｙのシェア[[ｙ［ｉ］]]とを用いて、各行におけるｘとｙの大小関係を秘匿計算で評価する。なお、シェア[[ｘ]]とシェア[[ｙ]]とに基づいて各行のＸ列データｘとＹ列データｙとの大小関係を秘匿計算で評価する方法は、サーバー３０，４０に格納済みの１ビットの相関乱数のシェアの組み合わせ（[[ａ]]，[[ｂ]]，[[ｃ]]）を使用する公知の方法を用いることができる（たとえば、大畑幸矢および縫田光司、「効率的な秘匿大小比較プロトコルとその応用」、暗号と情報セキュリティシンポジウム（ＳＣＩＳ ２０１９）予稿集、２０１９年を参照）。
【0033】
ステップＳ３０２では、サーバー３０，４０により、ステップＳ３０１で得たフィルタリング条件評価の評価結果のシェア[[ｆ]]にランダム置換Πを適用した[[Π（ｆ）]]Ｐ（要素数は行数ｎ）が生成される。ここで、ステップＳ３０１のフィルタリング条件評価では、テーブル構造データの行ごとに、ｘ＜ｙである場合には１を秘密分散した数値がシェア[[ｆ（ｉ）]]として出力され、ｘ＜ｙでない場合には０を秘密分散した数値がシェア[[ｆ（ｉ）]]として出力される。このように、各行におけるｘ＜ｙの評価に応じて出力された０または１のシェア[[ｆ]]を、さらにランダム置換したものが[[Π（ｆ）]]Ｐとなる。なお、上記ｉはテーブル構造データのｉ行目のデータであることを示す。また、[[Π（ｆ）]]Ｐは、テーブル構造データの全ての行の評価結果である１または０のシェア[[ｆ（ｉ）]]をランダム置換したものであり、要素数はテーブル構造データの行数ｎとなる。このように、[[Π（ｆ）]]Ｐでは、評価結果ｆを秘匿計算でシェア[[ｆ]]として求めることで、フィルタリング条件（ｘ＜ｙ）を満たすか否かが不明となるだけではなく、シェア[[ｆ]]にランダム置換を適用することで、シェア[[ｆ]]の何行目のデータが、元のテーブル構造データの何行目のデータに相当するか不明となり、セキュリティを高めることが可能となる。なお、上述したランダム置換は、サーバー３０，４０に格納済みのシャッフルと相関乱数の数列の組み合わせ（（ｒ１，ｒ１’，ａ１，ａ１’，ｂ１，ｂ１’），（ｒ２，ｒ２’，ａ２，ａ２’，ｂ２，ｂ２’））を使用する公知の方法により実行することができる（たとえば、Ｎ.Ａｔｔｒａｐａｄｕｎｇ他、”Ｏｂｌｉｖｉｏｕｓ Ｌｉｎｅａｒ Ｇｒｏｕｐ Ａｃｔｉｏｎｓ ａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ”，Ｉｎ Ｐｒｏｃｅｅｄｉｎｇｓ ｏｆ ＣＣＳ ２０２１, ６３０‐６５０頁を参照。）。
【0034】
なお、図６に示す秘匿データ抽出計算処理は、第１サーバー３０および第２サーバー４０でそれぞれ実行されるため、図６において、自サーバーで算出したシェアを「Ｐ」を用いて示し、相手サーバーで算出したシェアを「Ｑ」を用いて示す（以下においても同様。）。たとえば、フィルタリング条件評価の評価結果は、第１サーバー３０が保持する評価結果にランダム置換を適用したシェア[[Π（ｆ）]]１と、第２サーバー４０が保持する評価結果にランダム置換を適用したシェア[[Π（ｆ）]]２とに秘密分散されるが、第１サーバー３０が図６に示す秘匿データ抽出処理を行う場合には、評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｐは、第１サーバー３０が保持する評価結果にランダム置換を適用したシェア[[Π（ｆ）]]１を示すものとなり、第２サーバー４０が図６に示す秘匿データ抽出処理を行う場合には、評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｐは、第２サーバー４０が保持する評価結果にランダム置換を適用したシェア[[Π（ｆ）]]２を示すものとなる。
【0035】
ステップＳ３０３では、サーバー３０，４０により、抽出対象データであるＸ列データｘのシェア[[ｘ]]にランダム置換Πを適用し、シェア[[Π（ｘ）]]Ｐが生成される。なお、ステップＳ３０３で用いられるＸ列データｘは、テーブル構造データの全行のＸ列データｘ（要素数がテーブル構造データの行数ｎであるデータ）であり、行数ｎのＸ列データｘのシェア[[ｘ]]をランダム置換したシェア[[Π（ｘ）]]Ｐも、何行目のデータが元のテーブル構造データの何行目のデータに相当するか不明となり、要素数はテーブル構造データの行数ｎとなる。Ｘ列データｘのシェア[[ｘ]]のランダム置換は、ステップＳ３０２と同様の方法で実行することができる。
【0036】
ステップＳ３０４，Ｓ３０５では、図７に示すように、サーバー３０，４０間の相互通信により、一方のサーバー３０，４０で行われた計算結果を他方のサーバー３０，４０に送受信する処理が行われる。すなわち、ステップＳ３０４では、サーバー３０，４０により、ステップＳ３０２で生成された評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｐが、相手側サーバーに出力される。また、ステップＳ３０５では、サーバー３０，４０により、相手側サーバーで生成された評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｑが受信される。そして、ステップＳ３０６では、サーバー３０，４０により、リスト[[Ｌ]]Ｐの準備が行われる。リスト[[Ｌ]]Ｐは、テーブル構造データのうちｘ＜ｙの条件を満たす行のＸ列データｘのシェアを挿入するためのリストであり、ステップＳ３０６の時点では空となっている。
【0037】
ステップＳ３０７～Ｓ３０９は、計算対象であるテーブル構造データの行ごとに行われ、全ての行についてステップＳ３０７～Ｓ３０９が行われるまで処理が繰り返される。本実施形態では、テーブル構造データの行数がｎであるため、ステップＳ３０７～Ｓ３０９の処理がｎ回繰り返されることとなる。
【0038】
具体的には、ステップＳ３０７では、サーバー３０，４０により、ステップＳ３０２で生成した評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｐ（要素数は行数ｎ）のｍ個目の要素となるシェア[[Π（ｆ）［ｍ］]]Ｐと、ステップＳ３０５で受信した評価結果にランダム置換を適用したシェア[[Π（ｆ）]]Ｑ（要素数は行数ｎ）のｍ個目の要素となるシェア[[Π（ｆ）［ｍ］]]Ｑに基づいて、ｍ行目のデータの評価結果の復号が行われる。なお、ｍはランダム置換後のシェア[[Π（ｆ）]のｍ行目（行番号ｍ）のデータであることを意味し、元のテーブル構造データの行番号（ｉ行目）の数とは相違する。本実施形態では、ステップＳ３０１のフィルタリング条件評価において、ｘ＜ｙを満たすｍ行目の行データについては、復号結果が１となるように評価結果のシェア[[Π（ｆ）［ｍ］]]Ｐおよび[[Π（ｆ）［ｍ］]]Ｑが生成されており、ｘ＜ｙを満たさないｍ行目の行データについては、復号結果が０となるように評価結果のシェア[[Π（ｆ）［ｍ］]]Ｐおよび[[Π（ｆ）［ｍ］]]Ｐが生成されている。よって、ステップＳ３０７では、ｘ＜ｙを満たす行データについては復号結果が１として算出され、ｘ＜ｙを満たさない行データについては復号結果が０として算出される。
【0039】
ステップＳ３０８では、サーバー３０，４０により、対象となる行データが、フィルタリング条件に適合しているか否かの判断が行われる。上述したように、本実施形態では、ｘ＜ｙを満たす行データについては復号結果が１として算出され、ｘ＜ｙを満たさない行データについては復号結果が０として算出される。そのため、サーバー３０，４０は、ステップＳ３０７で取得した複合結果が１である場合には、フィルタリング条件であるｘ＜ｙに適合しているとして、ステップＳ３０９に進み、一方、ステップＳ３０７で取得した複合結果が０である場合には、フィルタリング条件であるｘ＜ｙに適合していないとして、ステップ３１０に進む。
【0040】
ステップＳ３０９では、対象となる行データにおいて、フィルタリング条件であるｘ＜ｙに適合しているため、サーバー３０，４０により、ステップＳ３０３で生成されたシャッフル後のｍ行目の行データにおけるＸ列データｘのシェア[[Π（ｘ）［ｍ］]]Ｐが、ステップＳ３０６で生成したリスト[[Ｌ]] Ｐに挿入される。すなわち、本実施形態では、フィルタリング条件に適合した行のＸ列データｘのシェア[[Π（ｘ）［ｍ］]]Ｐのみがリスト[[Ｌ]] Ｐに代入され、フィルタリング条件に適合していない行のＸ列データｘのシェア[[Π（ｘ）［ｍ］]]Ｐはリスト[[Ｌ]] Ｐから排除されることとなる。
【0041】
ステップＳ３１０では、サーバー３０，４０により、テーブル構造データの全ての行について、ステップＳ３０７～Ｓ３０９の処理を実行したか判断される。テーブル構造データの全ての行について、ステップＳ３０７～Ｓ３０９の処理が実行された場合には、ステップＳ３１１に進み、サーバー３０，４０により、秘匿データ抽出処理の計算結果として、リスト[[Ｌ]] Ｐが出力される。
【0042】
これにより、第１サーバー３０および第２サーバー４０は、テーブル構造データの中から、ｘ＜ｙを満たす行データのうちのＸ列データｘのリストのシェア[[Ｌ]] Ｐを算出し、データベースに記憶することができる。また、クライアント１０は、第１サーバー３０からリストのシェア[[Ｌ]]１を取得し、第２サーバー４０からリストのシェア[[Ｌ]]２を取得し、リストのシェア[[Ｌ]]１とシェア[[Ｌ]]２とを加算して復号することで、ｘ＜ｙを満たす行データのうちのＸ列データｘのリストＬを算出することができる。
【0043】
このように、本実施形態に係る秘匿データ抽出においては、実行する計算処理に応じて乱数の種類が変わり、また、計算対象となるテーブル構造データの行数ｎや抽出対象データの列数に応じて必要となる乱数の数が変化する。そのため、特に、フィルタリングのように出力テーブル構造データの行数が変化する計算の後に続いて、別の処理を開始したい場合、前段のフィルタリング処理が完了するまでは、その後の秘匿計算に必要な乱数を予め見積もってプールしておくことが難しい。しかしながら、本実施形態では、クライアント１０が、各処理に必要な乱数を生成し、サーバー３０，４０に提供することで、秘匿データ抽出処理のような必要な乱数の種類や数を予め見積ることが困難な場合も、適切に、秘匿計算に必要な乱数を提供することができる。以下に、クライアント１０とサーバー３０，４０との間で行われる乱数供給処理について説明する。
【0044】
図８は、本実施形態に係るクライアント側乱数供給処理を示すフローチャートである。また、図９は、本実施形態に係るサーバー側乱数供給処理を示すフローチャートである。さらに、図１０は、本実施形態に係る乱数供給処理を説明するための図である。以下においては、まず、図８および図９に基づいて、クライアント側乱数供給処理およびサーバー側乱数供給処理について説明した後に、図１０に基づいて、乱数供給処理におけるクライアント１０とサーバー３０，４０との情報の授受について説明する。
【0045】
図８は、本実施形態に係る乱数供給処理のうち、クライアント１０により実行される処理である。図８に示すように、ステップＳ４０１では、乱数の見積要求が行われる。具体的には、クライアント１０は、第１サーバー３０に実行させる秘匿計算の計算情報とともに、秘匿計算において必要となる乱数を見積もるための見積プログラムを実行させるための指示を見積要求として、第１サーバー３０に対して出力する。これにより、第１サーバー３０は、クライアント１０から送信された計算情報の秘匿計算を行うために必要な乱数を見積もる、乱数見積もりプログラムを実行する（後述するステップＳ５０２）。なお、本実施形態において、クライアント１０は、計算情報として、第１サーバー３０および第２サーバー４０に秘匿計算させるクエリー情報を送信する。
【0046】
ステップＳ４０２では、第１サーバー３０の乱数見積プログラムにより見積もられた乱数見積結果が受信される。そして、ステップＳ４０３では、ステップＳ４０２で受信した乱数見積結果に基づいて、乱数の生成が行われる。なお、クライアント１０による乱数の生成は、公知の方法で行うことができる。続くステップＳ４０４では、ステップＳ４０３で生成した乱数を、サーバー３０，４０に供給する処理が行われる。このように、本実施形態では、乱数見積プログラムを第１サーバー３０のみに実行させるが、見積結果に基づいて生成した乱数は、第１サーバー３０および第２サーバー４０に供給される。そして、ステップＳ４０５では、第１サーバー３０および第２サーバー４０に対して、秘匿計算の実行指示が送信される。たとえば、クライアント１０は、秘匿計算の内容を記載したＳＱＬ文を、当該秘匿計算の実行指示として、第１サーバー３０および第２サーバー４０に送信することができる。
【0047】
ステップＳ４０６では、ステップＳ４０４の乱数の供給、ステップＳ４０７の問い合わせ情報の送信、または、ステップＳ４１１の乱数の送信から一定時間が経過したか否か判断される。一定時間が経過するまでは、ステップＳ４０６で待機し、一定期間が経過すると、ステップＳ４０７に進む。なお、ステップＳ４０４の乱数の供給に代えて、ステップＳ４０５の秘匿計算の実行指示から一定時間が経過したか判断する構成としてもよい。
【0048】
ステップＳ４０７では、第１サーバー３０に対して、乱数の不足の問い合わせが行われる。問い合わせを受信した第１サーバー３０は、現時点で不足している乱数を検出し（後述するステップＳ５０９）、必要な乱数の情報を、乱数要求情報としてクライアント１０に送信する（後述するステップＳ５１０）。ステップＳ４０８では、第１サーバー３０から送信された乱数要求情報が受信され、続くステップＳ４０９では、受信された乱数要求情報に基づいて、乱数が不足しているか否かの判断が行われる。乱数が不足していると判断された場合には、ステップＳ４１０に進み、不足している乱数が生成され、ステップＳ４１１において、生成した乱数が第１サーバー３０および第２サーバー４０に送信される。その後、ステップＳ４１２に進む。一方、ステップＳ４０９において、乱数が不足していないと判断された場合には、ステップＳ４１０，Ｓ４１１の処理を行わずに、ステップＳ４１２に進む。このように、本実施形態において、クライアント１０は、乱数が不足しているかの問い合わせの送信と乱数要求情報の受信は第１サーバー３０との間でのみ行い、乱数が不足する場合には、第１サーバー３０および第２サーバー４０に乱数を供給する。通常、第１サーバー３０と第２サーバー４０とは同一の種類および数の乱数を用いて同一の種類の秘匿計算を行うため、第１サーバー３０で乱数が不足する場合は、第２サーバー４０でも、同一の種類および数の乱数が不足することから、第１サーバー３０のみに問い合わせを送信する構成とすることで、通信量を削減することが可能となる。
【0049】
ステップＳ４１２では、秘匿計算が終了したかの判断が行われる。たとえば、クライアント１０は、第１サーバー３０から秘匿計算が終了した旨の情報を取得することができ、この場合、秘匿計算が終了したと判断することができる。秘匿計算が終了していない場合は、ステップＳ４０６に戻り、ステップＳ４０６～Ｓ４１１の処理が繰り返される。一方、秘匿計算が終了している場合には、図８に示すクライアント側乱数供給処理を終了する。
【0050】
次に、図９に基づいて、サーバー側乱数供給処理について説明する。図９に示すサーバー側乱数供給処理は、本実施形態に係る乱数供給処理のうち、サーバー３０，４０によりそれぞれ実行される処理である（なお、本実施形態では、ステップＳ５０１～Ｓ５０３，Ｓ５０８，Ｓ５０９は第１サーバー３０のみが実行する。）。
【0051】
図９に示すように、ステップＳ５０１では、第１サーバー３０により、クライアント１０から送信された乱数の見積要求が受信される。ステップＳ５０２では、第１サーバー３０により、ステップＳ５０１で受信した見積要求をトリガーとして、乱数見積プログラムが実行される。ここで、クライアント１０から送信される乱数の見積要求には、実行予定の秘匿計算の計算情報が含まれており、乱数見積プログラムは、計算情報にある秘匿計算に必要とされる乱数を見積もる。なお、本実施形態において、第１サーバー３０は、乱数見積プログラムを記憶部に予め記憶しており、クライアント１０の乱数見積要求に含まれる秘匿計算の計算情報に基づいて、乱数見積プログラムを実行する。
【0052】
ステップＳ５０３では、第１サーバー３０により、ステップＳ５０２で見積もりした乱数見積結果がクライアント１０に送信される。これにより、クライアント１０において見積もりに応じた乱数が生成され（ステップＳ４０３）、第１サーバー３０および第２サーバー４０に生成した乱数が送信される（ステップＳ４０４）。そのため、ステップＳ５０４において、サーバー３０，４０により、クライアント１０により生成され、送信された乱数が受信されることとなる。
【0053】
ステップＳ５０５では、ステップＳ５０４で受信した乱数を用いて、秘匿計算が実行される。ただし、乱数の見積では、秘匿計算において行数が変更するまでの計算に用いられる乱数しか見積もることができないため、秘匿計算の内容によっては、ステップＳ５０４で受信した乱数だけでは秘匿計算を完了することができない。そのため、秘匿計算の途中で秘匿計算に必要な乱数の不足が生じる場合があり（ステップＳ５０６＝Ｙｅｓ）、このような場合、ステップＳ５０７に進み、乱数が不足しているために、秘匿計算が一時的に中断される。
【0054】
本実施形態では、秘匿計算が開始されると、クライアント１０は乱数の不足の問い合わせを定期的に第１サーバー３０に送信する（ステップＳ４０７）。そして、ステップＳ５０８では、第１サーバー３０により、クライアント１０から送信される問い合わせが受信され、続くステップＳ５０９では、第１サーバー３０により、当該問い合わせに対して、秘匿計算において不足している乱数の種類と数の情報と、秘匿計算の進捗情報とが、乱数要求情報として、クライアント１０に送信される。なお、本実施形態において、第１サーバー３０は、内部で、不足乱数情報および進捗情報を比較的短い周期で更新しており、クライアント１０から問い合わせを受信した時点で最新の不足乱数情報と進捗情報とを、乱数要求情報としてクライアント１０に送信する。クライアント１０は、第１サーバー３０から乱数の要求情報を受信すると、不足している乱数を生成し、第１サーバー３０および第２サーバー４０の両方に送信する（ステップＳ４１０，Ｓ４１１）。これにより、ステップＳ５１０では、サーバー３０，４０により、クライアント１０から送信された乱数が受信され、受信した乱数を用いて秘匿計算が継続される。
【0055】
また、ステップＳ５１１では、サーバー３０，４０により、秘匿計算が終了したか否かの判断が行われる。秘匿計算が終了していない場合は、ステップＳ５０６に戻り、ステップＳ５０６～Ｓ５１０の処理が繰り返される。一方、秘匿計算が終了している場合には、図９に示すサーバー側乱数供給処理を終了する。
【0056】
次に、図１０に基づいて、乱数供給処理における、クライアント１０とサーバー３０，４０との情報の授受について説明する。まず、乱数供給処理が開始されると、時刻Ｔ１において、クライアント１０により、秘匿計算情報を含む乱数の見積要求が第１サーバー３０へと送信される（ステップＳ４０１）。これにより、第１サーバー３０により、乱数見積プログラムが実行され、秘匿計算情報に含まれる秘匿計算を行うために必要な乱数の見積もりが行われる（ステップＳ５０２）。そして、時刻Ｔ２では、第１サーバー３０からクライアント１０に、乱数の見積結果が送信される（ステップＳ５０３）。これに対して、クライアント１０は、第１サーバー３０からの乱数の見積結果に応じた乱数を生成し（ステップＳ４０３）、時刻Ｔ３で、生成した乱数を第１サーバー３０および第２サーバー４０に送信する（ステップＳ４０４）。そして、時刻Ｔ４で、クライアント１０から、第１サーバー３０および第２サーバー４０に秘匿計算の実行が指示され、第１サーバー３０および第２サーバー４０により、秘匿計算が開始される。
【0057】
また、秘匿計算が開始されて一定期間が経過した時刻Ｔ５では、クライアント１０により、第１サーバー３０に乱数の問い合わせが送信される（ステップＳ４０７）。これに対して、第１サーバー３０は、時刻Ｔ６において、不足している乱数の情報を、進捗情報と共に、乱数要求情報としてクライアント１０に送信する（ステップＳ５０９）。たとえば、図１０に示す例において、時刻Ｔ６では、進捗が１０％、不足乱数が「Ｎｏｎｅ」（不足なし）との乱数要求情報が、第１サーバー３０からクライアント１０へと送信される。クライアント１０は、乱数要求情報における必要な乱数が「Ｎｏｎｅ」であるため、クライアント１０による乱数の生成および供給は行わない。
【0058】
また、前回の問い合わせから一定期間が経過した時刻Ｔ７では、クライアント１０により、第１サーバー３０に対して乱数の問い合わせが再び送信される（ステップＳ４０７）。これに対して、第１サーバー３０は、時刻Ｔ８において、不足している乱数の情報を、進捗情報と共に、乱数要求情報としてクライアント１０に送信する（ステップＳ５０９）。時刻Ｔ８では、第１サーバー３０において、秘匿計算に使用される「Ａ２」という種類の乱数が１０００個不足しているものとする。この場合、時刻Ｔ８において、第１サーバー３０は、進捗が３０％、不足乱数が「Ａ２：１０００個」との乱数要求情報を、クライアント１０に送信する。これにより、時刻Ｔ９において、クライアント１０は、不足している乱数が「Ａ２：１０００個」であるため、種類「Ａ２」の乱数を１０００個生成する処理を行い（ステップＳ４１０）、生成した種類「Ａ２」の乱数１０００個を、第１サーバー３０および第２サーバー４０に送信する（ステップＳ４１１）。なお、本実施形態において、「Ａ２」とは、相関乱数の１種（たとえば３２ビット長に対応する相関乱数）を意味するものとする。
【0059】
さらに、前回の乱数供給から一定期間が経過した時刻Ｔ１０でも、クライアント１０により、第１サーバー３０に乱数の問い合わせが再び送信される（ステップＳ４０７）。これに対して、第１サーバー３０は、時刻Ｔ１１において、不足している乱数の情報を、進捗情報と共に、乱数要求情報としてクライアント１０に送信する（ステップＳ５０９）。時刻Ｔ１１では、第１サーバー３０において、秘匿計算に使用される「ＳＲ」という種類の乱数が３個不足しているものとする。この場合、時刻Ｔ１１において、第１サーバー３０は、進捗が５０％、不足乱数が「ＳＲ：３個」との乱数要求情報を、クライアント１０に送信する。これにより、時刻Ｔ１２において、クライアント１０は、不足している乱数が「ＳＲ：３個」であるため、種類「ＳＲ」の乱数を３個生成する処理を行い（ステップＳ４１０）、生成した種類「ＳＲ」の乱数３個を、第１サーバー３０に送信する（ステップＳ４１１）。なお、本実施形態において、「ＳＲ」は、ｎ行からなる指定列（ｃｏｌｕｍｎｓ）をシャッフルするためのシャッフル乱数を意味するものとする。
【0060】
また、時刻Ｔ１２以降においても、サーバー３０，４０およびクライアント１０は、サーバー３０，４０間での秘匿計算が終了するまで、乱数の問い合わせと、問い合わせに対する乱数要求情報の送信と、乱数要求情報に基づく乱数の供給を繰り返し、秘匿計算が終了すると、乱数供給処理を終了する。
【0061】
以上のように、本実施形態に係る秘匿計算システム１では、秘匿計算を行う複数のサーバー３０，４０と、複数のサーバー３０，４０に秘匿計算に必要な乱数を供給するクライアント１０と、を有し、複数のサーバー３０，４０のうち少なくとも１つの第１サーバー３０は、秘匿計算に必要となる乱数の種類および数を含む乱数の要求情報をクライアント１０に送信し、クライアント１０は、乱数の要求情報を受信した場合に、乱数の要求情報に基づいて、乱数を生成して複数のサーバー３０，４０に送信する。このように、本実施形態に係る秘匿計算システム１では、クライアント１０から第１サーバー３０に対して定期的に乱数の供給に関する問い合わせを行い、第１サーバー３０からクライアント１０に乱数の要求情報を繰り返し送信させることで、乱数が不足しており乱数の供給が必要な場合には、クライアント１０が必要な種類の乱数を必要な数だけ生成し秘匿計算を行う全てのサーバー３０，４０に供給することができるため、秘匿計算の途中で乱数が不足してしまうことを防止することができる。
【0062】
以上、本発明の好ましい実施形態例について説明したが、本発明の技術的範囲は上記実施形態の記載に限定されるものではない。上記実施形態例には様々な変更・改良を加えることが可能であり、そのような変更または改良を加えた形態のものも本発明の技術的範囲に含まれる。
【0063】
たとえば、上述した実施形態では、クライアント１０とサーバー３０，４０との通信を制御するための装置としてゲートウェイ２０を例示したが、この構成に限定されず、ファイアウォールやルーターなどの通信制御コンポーネントを用いる構成としてもよい。
【0064】
また、上述した実施形態では、図３ないし図６において、秘匿乗算処理および秘匿データ抽出処理のアルゴリズムの一例を例示して説明したが、上記アルゴリズムに限定されるものではなく、公知である別のアルゴリズムを用いることもできる。また、アルゴリズムが変わると、必要とされる乱数の数や種類も変化するが、本発明による秘匿計算システム１では、第１サーバー３０から要求された種類および数の乱数を、クライアント１０が生成することは、どのアルゴリズムを用いた場合でも同様である。
【0065】
さらに、上述した実施形態では、秘匿計算システム１が、ゲートウェイ２０を有する構成を例示したが、ゲートウェイ２０を備えない構成とすることもできる。この場合、クライアント１０は、ゲートウェイ２０を介さずに、第１サーバー３０に乱数供給の問い合わせを直接送信することができ、第１サーバー３０も、ゲートウェイ２０を介さずに、クライアント１０の要求に応答して必要な情報（乱数の要求情報や秘匿計算の結果）をクライアント１０に送信することができる。
【0066】
加えて、上述した実施形態では、乱数を使用する秘匿計算として、乗算、除算、大小比較、テーブル構造データのフィルタリングおよび並び替えを例示して説明したが、乱数を使用する秘匿計算はこれに限定されない。たとえば、乗算や除算、大小比較のように、行数ｎに依存しない乱数を必要する秘匿計算として、クエリーのｊｏｉｎ構文に該当する内部結合や、集約関数Ａｖｇの平均値の算出、Ｔｒｉｍ，ＬＴｒｉｍ，ＲＴｒｉｍ，Ｕｐｐｅｒ，Ｌｏｗｅｒ，Ｒｅｐｌａｃｅ，Ｓｐｌｉｔ，ＺｅｎＴｏＨａｎ，ＨａｎＴｏＺｅｎなどの文字列操作関数、ＣｏｎｔａｉｎｓやＮｏｔＣｏｎｔａｉｎｓなどの文字列評価関数、Ａｒｇｍａｘ，Ｄｏｔなどの数学演算、ＬｉｎｒｅｇＦｉｔ，ＬｉｎｒｅｇＰｒｅｄｉｃｔなどの分析演算、Ｅｘｐａｎｄなどのカラム操作、「＆」（ＡＮＤ）や「｜」（ＯＲ）などの論理演算が挙げられる。また、ｗｈｅｒｅ句に相当するフィルタリングやｏｒｄｅｒ ｂｙ句に相当する並び替えなどのように、行数ｎに依存するシャッフル乱数を必要する秘匿計算として、ｇｒｏｕｐ ｂｙ句に相当する合計の算出、ＭｉｎやＭａｘに相当する最小値や最大値の算出が挙げられる。
【0067】
また、上述した実施形態では、第１サーバー３０において、乱数見積プログラムを実行する構成を例示したが、この構成に限定されず、第２サーバー４０が乱数見積プログラムを実行する構成としてもよい。
【0068】
さらに、上述した実施形態では、クライアント１０から乱数の問い合わせを行った場合、第１サーバー３０は、現在不足している乱数の情報を乱数要求情報としてクライアント１０に返信するが、この構成に限定されず、将来不足する予定の乱数も含めて、クライアント１０に乱数要求情報として送信する構成とすることができる。たとえば、第１サーバー３０は、クライアント１０から乱数の問い合わせ（ステップＳ４０７）があった場合も、乱数見積プログラムを実行することで、現在不足している乱数だけではなく、現時点で見積もり可能な乱数を見積り、乱数要求情報として送信することができる。特に、クライアント１０により乱数が生成されている間、第１サーバー３０において乱数が不足している場合は、クライアント１０から乱数が供給されるまで、第１サーバー３０での秘匿計算は停止した状態となるため、将来不足する乱数も特定し要求することで、秘匿計算を早めることが可能となる。ただし、この場合も、フィルタリングなどで行数が変化してしまう場合には、行数変化後に必要な乱数までは見積もることはできない。
【0069】
また、上述した実施形態では、乱数として、「Ａ２」で表す３２ビット長に対応する相関乱数と、「ＳＲ」で表すシャッフル乱数を例示したが、乱数の種類は上記に限定されず、６４ビット長、１２８ビット長、１ビット長が３２組などの相関乱数や、上記以外のシャッフル乱数を用いる構成とすることもできる。
【0070】
さらに、上述した実施形態では、クライアント１０は、乱数が不足しているかの問い合わせを第１サーバー３０のみに送信し、問い合わせに応答する乱数要求情報を第１サーバー３０から受信する構成を例示したが、この構成に限定されず、クライアント１０は、乱数が不足しているかの問い合わせを第１サーバー３０および第２サーバー４０に送信し、問い合わせに応答する乱数要求情報を第１サーバー３０および第２サーバー４０から受信する構成としてもよい。
【符号の説明】
【0071】
１…秘匿計算システム
１０…クライアント
２０…ゲートウェイ
３０…第１サーバー
４０…第２サーバー
２…インターネット
１０…クライアント
２０…ゲートウェイ
３０…第１サーバー
４０…第２サーバー
２…インターネット
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】
【図10】
