特許 7200462 分散装置、秘匿演算装置、検証復元装置、分散システム、秘匿演算検証復元システム、及びプログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2022-12-26

(45)【発行日】2023-01-10

(54)【発明の名称】分散装置、秘匿演算装置、検証復元装置、分散システム、秘匿演算検証復元システム、及びプログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20221227BHJP

   G06F 21/62 20130101ALI20221227BHJP

【ＦＩ】

G09C1/00 650Z

G06F21/62 318

【請求項の数】 6

(21)【出願番号】P 2018185931

(22)【出願日】2018-09-28

(65)【公開番号】P2020056840

(43)【公開日】2020-04-09

【審査請求日】2021-09-03

(73)【特許権者】

【識別番号】000125370

【氏名又は名称】学校法人東京理科大学

(74)【代理人】

【識別番号】100079049

【弁理士】

【氏名又は名称】中島 淳

(74)【代理人】

【識別番号】100084995

【弁理士】

【氏名又は名称】加藤 和詳

(74)【代理人】

【識別番号】100099025

【弁理士】

【氏名又は名称】福田 浩志

(72)【発明者】

【氏名】岩村 惠市

【審査官】青木 重徳

(56)【参考文献】

【文献】特開２００８－２５０９３１（ＪＰ，Ａ）

【文献】荒木 俊則 ほか，秘密分散法を用いた３者秘密計算の有用性，情報処理，日本，一般社団法人情報処理学会，2018年09月15日， 第５９巻 第１０号 ，p. 886-892，安全なデータ活用を実現する秘密計算技術 ３

【文献】神宮 武志 ほか，秘密分散法を用いた次数変化のない秘匿計算手法，情報処理学会 論文誌（ジャーナル）［ｏｎｌｉｎｅ］ ，日本，情報処理学会，2018年03月15日，Ｖｏｌ．５９ Ｎｏ．３ ，p. 1038-1049

【文献】ムハンマド カマル アフマド アクマル アミヌディン ほか，秘密分散法を用いた四則演算の組み合わせに対して安全な次数変化のない秘匿計算，情報処理学会 論文誌（ジャーナル） ［ｏｎｌｉｎｅ］ ，日本，情報処理学会，2018年09月15日，Ｖｏｌ．５９ Ｎｏ．９ ，p. 1581-1595

【文献】濱田 浩気 ほか，３パーティ秘匿関数計算上のランダム置換プロトコル，コンピュータセキュリティシンポジウム２０１０ 論文集 ［第二分冊］，日本，一般社団法人情報処理学会，2010年10月12日，Ｖｏｌ．２０１０ Ｎｏ．９，p. 561-566

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

Ｇ０６Ｆ ２１／６２

(57)【特許請求の範囲】

【請求項1】

ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できない秘密分散システムであって、
第１の秘密情報に第１の乱数及び第２の乱数を作用させた第１の値を生成し、前記第１の乱数及び前記第１の秘密情報の少なくとも一方に第３の乱数を作用させた第２の値を生成する第１生成部を備えた複数の分散装置の各々と、
前記複数の分散装置の各々から得た、複数の前記第１の値と、複数の前記第２の値とを用いて、
複数の前記第１の秘密情報同士の演算結果に複数の前記第１の乱数同士の演算結果、及び第４の乱数を作用させた第３の値を生成し、
複数の前記第１の乱数同士又は前記第１の秘密情報同士の演算結果に第５の乱数を作用させた第４の値を生成する第２生成部を備えた秘匿演算装置と、
を含む秘密分散システム。

【請求項2】

前記秘匿演算装置は、前記第２生成部によって得られた前記第３の値及び前記第４の値の少なくとも一方が０である場合に第６の乱数を生成する第３生成部と、前記第６の乱数を秘匿加算する加算部と、を更に備える請求項１に記載の秘密分散システム。

【請求項3】

前記秘匿演算装置によって得られた、秘密情報に対して乱数を作用させて生成した第３の値から秘密情報と前記第４の乱数に相当する値を排除する第１排除部と、
前記第１排除部による排除によって得られた前記第１の乱数同士の演算結果が正しいか否かを判定する第１判定部と、を備えた復元装置を更に含む請求項１又は請求項２に記載の秘密分散システム。

【請求項4】

前記秘匿演算装置によって得られた、秘密情報に対して乱数を作用させて生成した第３の値から秘密情報と前記第４の乱数に相当する値を排除する第２排除部と、
前記第２排除部による排除によって得られた前記第１の乱数同士の演算結果であって、前記第３の値または前記第４の値が０の場合に第６の乱数を含む前記第１の乱数同士の演算結果が正しいか否かを判定する第２判定部と、を備えた復元装置を更に含む請求項１又は請求項２に記載の秘密分散システム。

【請求項5】

請求項３に記載の前記復元装置の前記第１排除部から得られる値の演算結果が正しいと判定された場合、又は請求項４に記載の前記復元装置の前記第２排除部から得られる値の演算結果が正しいと判定された場合に、前記第１の秘密情報同士の演算結果を得る復元部を更に含む秘密分散システム。

【請求項6】

前記第１の乱数を前記第１の秘密情報の生成者以外が生成した乱数を用いて生成する第４生成部を含む分散装置、を備えた請求項１に記載の秘密分散システム。

【発明の詳細な説明】

【技術分野】

【0001】

本開示は、分散装置、秘匿演算装置、検証復元装置、分散システム、秘匿演算検証復元システム、及びプログラムに関する。

【背景技術】

【0002】

近年、ビッグデータおよびＩｏＴ環境の進歩に伴い、個人に関する情報の活用が期待されている。ただし、個人情報の活用においては、個人情報が漏洩すると個人のプライバシーに影響を与える可能性がある。そのため、ビッグデータの利活用においては、ビッグデータを活用する技術と、個人に関する情報を守る技術とを両立させる必要がある。このような個人に関する情報を守る技術に対するアプローチとして、データを守りながら演算を行うことができる秘匿計算技術が研究されている。

【0003】

秘匿計算技術は大きく分けると、主に鍵を用いてデータを秘匿する準同型暗号と、鍵を用いずにデータを秘匿する秘密分散法を用いた手法がある。ただし、準同型暗号は一般的に計算量が多く、演算処理に多大な時間がかかるという問題がある。そのため、クラウドシステムへの適用に対しては、計算量が重い準同型暗号よりも、計算量が軽い秘密分散法を用いるというアプローチが検討されている。

【0004】

秘密分散法とはユーザが持っている秘密情報を複数の異なる値（以降、分散値）に変換し、分散する手法である。秘密分散法の１つであるＳｈａｍｉｒの（ｋ,ｎ）閾値秘密分散法（以下、「Ｓｈａｍｉｒ法」または「（ｋ,ｎ）Ｓｈａｍｉｒ法」）が知られている。

【0005】

また、秘密情報をＬ個に分割し、分散式の係数として含ませるランプ型秘密分散方式も知られている。ランプ型秘密分散方式によって、分散値の小型化が実現できる。

【0006】

秘密分散法に関する技術として、例えば、特許文献１には、データを秘匿しながら計算を行い計算結果の正当性を保証する秘匿計算システムが開示されている。

【0007】

また、特許文献２には、秘密分散によりデータを秘匿しつつ、乗算及び加算からなる式の計算を、計算結果の正当性を保ちながら行う秘匿積和結合システムが開示されている。

【0008】

また、特許文献３には、完全準同型暗号及び信頼できる第三者を利用せずに、集計対象データ及びその集計結果を秘匿した状態で集計装置に集計処理を実行させる技術が開示されている。

【0009】

また、秘密分散法の１つに、Ｓｈａｍｉｒ法を用いるＴＵＳ法がある。ＴＵＳ法では、他の秘密分散法では実現できないｎ＜２ｋ－１において秘匿演算を実現することが特徴である。

【先行技術文献】

【特許文献】

【0010】

【文献】再公表２０１４－１１２５４８号公報

【文献】再公表２０１２－１２１３３３号公報

【文献】特開２０１３－２０５５９２号公報

【発明の概要】

【発明が解決しようとする課題】

【0011】

もっとも、ＴＵＳ法では、秘匿乗算において乱数で秘匿化された秘密情報αａを一旦復号するために、秘密情報は０を含まず、乱数も０を含まないものである。ただし、秘匿乗算以外では０を含んでもよいものとされる。

【0012】

上記のＴＵＳ法の問題の一つに、秘密情報に０を含むことができず、減算を含む秘匿計算を繰り返せないという問題があった。また、計算結果の正当性を検証できないという問題もあった。

【0013】

本開示は、以上の事情を鑑みて成されたものであり、秘密情報に０を含んでいても、効率よく秘匿演算を繰り返すことに対応する分散装置、秘匿演算装置、検証復元装置、分散システム、秘匿演算検証復元システム、及びプログラムを提供することを目的とする。さらに、その計算結果を効率的に検証できる分散装置、秘匿演算装置、検証復元装置、分散システム、秘匿演算検証復元システム、及びプログラムを提供することを目的とする。

【課題を解決するための手段】

【0014】

開示の技術は、一つの態様として、第１の発明に係る分散装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、第１の秘密情報に第１の乱数及び第２の乱数を作用させた第１の値を生成し、前記第１の乱数及び前記第１の秘密情報の少なくとも一方に第３の乱数を作用させた第２の値を生成する第１生成部を備えることを特徴とする。

【0015】

開示の技術は、一つの態様として、第２の発明に係る秘匿演算装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、第１の秘密情報に第１の乱数及び第２の乱数を作用させた複数の第１の値と、前記第１の乱数又は前記第１の秘密情報に第３の乱数を作用させた複数の第２の値とを用いて、前記複数の第１の秘密情報同士の演算結果に前記複数の第１の乱数同士の演算結果、及び第４の乱数を作用させた第３の値を生成し、前記複数の第１の乱数同士又は秘密情報同士の演算結果に第５の乱数を作用させた第４の値を生成する第２生成部を備えることを特徴とする。

【0016】

開示の技術は、一つの態様として、第２の発明に係る秘匿演算装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、上記に記載の第２生成部によって得られた第３の値及び第４の値の少なくとも一方が０である場合に第６の乱数を生成する第３生成部と、前記第６の乱数を秘匿加算する加算部と、を更に備えることを特徴とする。

【0017】

開示の技術は、一つの態様として、第３の発明に係る検証復元装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、第２の発明に係る秘匿演算装置によって得られた、秘密情報に対して乱数を作用させて生成した第３の値から秘密情報と第４の乱数に相当する値を排除する第１排除部と、前記第１排除部による排除によって得られた第１の乱数同士の演算結果が正しいか否かを判定する第１判定部と、を備えることを特徴とする。

【0018】

開示の技術は、一つの態様として、第４の発明に係る検証復元装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、第２の発明に係る秘匿演算装置によって得られた、秘密情報に対して乱数を作用させて生成した第３の値から秘密情報と第４の乱数に相当する値を排除する第２排除部と、前記第２排除部による排除によって得られた第１の乱数同士の演算結果であって、前記第３の値または第４の値が０の場合に第６の乱数を含む第１の乱数同士の演算結果が正しいか否かを判定する第２判定部と、を備えることを特徴とする。

【0019】

開示の技術は、一つの態様として、第２の発明に係る秘匿演算装置が、第３の発明に記載の第１排除部、もしくは第４の発明に記載の第２排除部から得られる値、又は第４の値から各々の第５の乱数に相当する値を排除した値から第１の秘密情報同士の演算結果を得る復元部を有することを特徴とする。

【0020】

開示の技術は、一つの態様として、第５の発明に係る分散システムが、請求項１に記載の乱数を前記第１の秘密情報の生成者以外が生成した乱数を用いて生成する第４生成部を含む分散装置、を備えることを特徴とする。

【0021】

開示の技術は、一つの態様として、第６の発明に係る秘匿演算装置が、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、分散値同士の乗算を行う乗算部と、前記乗算部による乗算により得られた乗算値と他装置から送られた分離できない乗算値とを用いて分散値の次数変換処理を行う変換部と、乱数を生成し、生成した乱数を自装置に返信される次数変換後の分散値に加算する加算部と、を備えることを特徴とする。

【0022】

開示の技術は、一つの態様として、第７の発明に係る秘匿演算検証復元システムが、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の前記分散値によって前記秘密情報を復元でき、ｋ個未満では前記秘密情報を復元できないシステムにおいて、秘匿された登録値を用いて、登録値による検証用演算を行う演算部、を含む演算装置と、前記演算部による演算結果が正しいかどうかを検証する検証部を含む検証復元装置と、を備えることを特徴とする。

【0023】

開示の技術は、一つの態様として、コンピュータを、上記第１～第７の発明のいずれか１つの装置の各部として機能させるプログラムを有する。

【発明の効果】

【0024】

本開示によれば、秘密情報に０を含んでいても、効率よく秘匿演算を繰り返すことができ、その計算結果を効率的に検証することができる。

【図面の簡単な説明】

【0025】

【図1】第１実施形態に係る秘密分散システムの構成の一例を示すブロック図である。

【図2】第１実施形態に係るサーバ１６のハードウェア構成の一例を示す図である。

【図3】第１実施形態に係る変換用乱数組を生成する処理シーケンスの一例を示す図である。

【図4】第１実施形態の変形例に係る変換用乱数組を生成する処理シーケンスの一例を示す図である。

【図5】第２実施形態に係る秘密分散システムの構成の一例を示すブロック図である。

【図6】第２実施形態に係る入力装置２１２のハードウェア構成の一例を示す図である。

【図7】第２実施形態に係るサーバ２１６のハードウェア構成の一例を示す図である。

【図8】第２実施形態に係る分散の処理シーケンスの一例を示す図である。

【図9】第２実施形態に係る秘匿積和演算の処理シーケンスの一例を示す図である。

【図10】第２実施形態に係る補正処理の処理シーケンスの一例を示す図である。

【図11】第３実施形態に係る秘密分散システムの構成の一例を示すブロック図である。

【図12】第３実施形態に係る復元装置３１４のハードウェア構成の一例を示す図である。

【図13】第３実施形態に係る分散の処理シーケンスの一例を示す図である。

【図14】第３実施形態に係る秘匿積和演算の処理シーケンスの一例を示す図である。

【図15】第３実施形態に係る検証の処理シーケンスの一例を示す図である。

【図16】第４実施形態に係るサーバ４１６のハードウェア構成の一例を示す図である。

【図17】第４実施形態に係る分散の処理シーケンスの一例を示す図である。

【図18】第４実施形態の変形例に係る分散の処理シーケンスの一例を示す図である。

【図19】第５実施形態に係る復元装置５１４のハードウェア構成の一例を示す図である。

【図20】第５実施形態に係る分散の処理シーケンスの一例を示す図である。

【図21】第５実施形態に係る秘匿積和演算の処理シーケンスの一例を示す図である。

【図22】第５実施形態に係る補正処理の処理シーケンスの一例を示す図である。

【図23】第５実施形態に係る検証の処理シーケンスの一例を示す図である。

【図24】第６実施形態に係る秘密分散システムの構成の一例を示すブロック図である。

【図25】第６実施形態に係る復元装置６１４のハードウェア構成の一例を示す図である。

【図26】第６実施形態に係るブロックチェーン装置６１６のハードウェア構成の一例を示す図である。

【図27】第６実施形態に係る検証装置６１８のハードウェア構成の一例を示す図である。

【図28】第６実施形態に係る分散、秘匿積和演算、補正処理の処理シーケンスの一例を示す図である。

【図29】第６実施形態に係る検証の処理シーケンスの一例を示す図である。

【発明を実施するための形態】

【0026】

以下、図面を参照して、本開示の技術を実施するための形態例を詳細に説明する。

【0027】

まず、実施形態の詳細を説明する前に、実施形態の技術の前提となるＳｈａｍｉｒ法、及びＴＵＳ法の詳細を説明した上で、ＴＵＳ法における各問題点を説明する。

【0028】

＜Ｓｈａｍｉｒ法＞
Ｓｈａｍｉｒ法は、ある秘密情報をｎ個の分散情報に分散し、そのうちのｋ個以上の分散情報を集めることによって、元の秘密情報を復元することができるという方法である。ただし、ｋ個未満の分散情報からは元の秘密情報を得ることが一切できないというものである。Ｓｈａｍｉｒ法での秘密情報の分散及び復元は、以下に示すように行われる。このような手法を（ｋ，ｎ）Ｓｈａｍｉｒ法と呼ぶ。

【0029】

＜分散＞
１．ユーザはｓ＜ｐかつｎ＜ｐの条件を満たす任意の素数ｐを選択する。

【0030】

２．ユーザはＧＦ（ｐ）の元から、ｎ個のｘ_ｉ（ｉ＝０,１,２,…,ｎ－１）を選び、サーバＩＤとする。

【0031】

３．ユーザはＧＦ（ｐ）の元から、ｋ－１個の乱数ａ_ｌ（ｌ＝１,２,…,ｋ－１)を選び、以下の分散式を生成する。

【0032】

Ｗ_ｉ＝ｓ＋ａ_１ｘ_ｉ＋ａ_２ｘ_ｉ ^２＋…＋ａ_ｋ－１ｘ^ｋ－１ （ｍｏｄ ｐ）

【0033】

４．ユーザは上記式のｘ_ｉに各サーバＩＤを代入して分散値Ｗ_ｉを計算し、各サーバＳ_ｉに送信する。

【0034】

＜復元処理＞
１．復元に用いる分散情報をＷ_ｉ(ｉ＝０,１,２,…,ｋ－１）とする。また、その分散情報に対応するサーバＩＤをｘ_ｉとする。

【0035】

２．復元者は、ｋ個の（ｘ_ｉ,Ｗ_ｉ）を集め、集めたｋ個の（ｘ_ｉ,Ｗ_ｉ）を上記の分散式に代入し、ｋ個の連立方程式を解くことで秘密情報であるｓを復元する。なお、ｓの復元の際には、Ｌａｇｒａｎｇｅの補間公式を用いることができる。

【0036】

以上がＳｈａｍｉｒ法の詳細である。

【0037】

＜ＴＵＳ法＞
次にＴＵＳ法の詳細を説明する。以下に、ＴＵＳ法を用いてａｂ＋ｃの積和演算を行う場合の例を示す。なお、秘密情報ａ,ｂ,ｃ及び乱数α_ｊ,β_ｊ,λ_ｊ,γ_ｊは、ａ,ｂ,ｃ,α_ｊ,β_ｊ,λ_ｊ,γ_ｊ∈Ｚ／ｐＺである。ただし、乗算において一旦復元されるａと乱数は０ではない。以下において、［ａ］_ｊは秘密情報ａに対してサーバＳ_ｊが保持する分散値を表す。以降、秘密分散の処理も含めてすべての秘匿演算はｐを法として行われる。また、サーバＳ_ｉは攻撃者が知らない変換用乱数組（［ε］_ｊ,ε_ｊ）,（［φ］_ｊ,φ_ｊ）を持つものとする。変換用乱数組とは、例えば

の関係を満たす変換用乱数εの分散値と、εを構成する乱数ε_ｊからなる組である。

【0038】

ａｂ＋ｃの秘匿演算の入出力を以下に示す。

【0039】

（入力）
（［αａ］_ｊ,［α_０］_ｊ,…,［α_ｋ－１］_ｊ）（ｊ＝０,１,…,ｋ－１）
（［βｂ］_ｊ,［β_０］_ｊ,…,［β_ｋ－１］_ｊ）（ｊ＝０,１,…,ｋ－１）
（［γｃ］_ｊ,［γ_０］_ｊ,…,［γ_ｋ－１］_ｊ）（ｊ＝０,１,…,ｋ－１）
（出力）
（［δ（ａｂ＋ｃ）］_ｉ,［δ_０］_ｊ,…,［δ_ｋ－１］_ｊ）（ｉ＝０,１,…,ｎ－１）

【0040】

上記の入出力のもと、ａｂ＋ｃの秘匿演算は以下に示すように行われる。

【0041】

１．ｋ台のサーバＳ_ｊは［αａ］_ｊ,［βｂ］_ｊ,［γｃ］_ｊを公開する。また、Ｓ_ｊは、αａ,βｂ,γｃを復元する。

【0042】

２－１．ｋ台のサーバＳ_ｊは［α_ｊ］_０,…,［α_ｊ］_ｋ－１,［β_ｊ］_０,…,［β_ｊ］_ｋ－１,［γ_ｊ］_０,…,［γ_ｊ］_ｋ－１を収集して、乱数α_ｊ,β_ｊ,γ_ｊを復元する。

【0043】

２－２．サーバＳ_ｊは、乱数δ_ｊを生成する。

【0044】

２－３．サーバＳ_ｊは、生成した乱数δ_ｊを用いて、δ_ｊ／α_ｊβ_ｊε_ｊ,δ_ｊ／γ_ｊφ_ｊを計算して公開する。

【0045】

３．全てのサーバＳ_ｉは、以下の式を計算する。

【0046】

ただし、

とする。

【0047】

４．ｋ台のサーバＳ_ｊは乱数δ_ｊをＳｈａｍｉｒ法で分散し、全てのサーバＳ_ｉに分散する。

【0048】

５．以上より、サーバＳ_ｉ（ｉ＝０,１,２,…,ｎ－１）は秘密情報ａｂ＋ｃに関する分散情報として（［δ（ａｂ＋ｃ）］_ｉ,［δ_０］_ｊ,…,［δ_ｋ－１］_ｊ）を保持する。

【0049】

以上がＴＵＳ法による秘匿演算の詳細である。ＴＵＳ法は以下の３つの問題点を持つ。

【0050】

＜問題点１＞
問題点１は、複数人による変換用乱数組の安全な生成法が知られていないというものである。変換用乱数組を一人が生成する場合、例えば生成者はｋ個の乱数ε_０,ε_１,…,ε_ｋ－１を生成して、ε＝ε_０ε_１…ε_ｋ－１を計算し、εを秘密分散して、［ε］_ｊとε_ｊをサーバＳ_ｊに送れば、Ｓ_ｊは変換用乱数組（［ε］_ｊ,ε_ｊ）を持つことができる。ＴＵＳ法の安全性は変換用乱数組の安全性に依存するため、変換用乱数組の生成者が攻撃者であれば、その変換用乱数組を用いた秘匿計算は安全ではない。よって、信頼できない複数の生成者が変換用乱数組を生成しても、その値を知ることができない安全な変換用乱数組の生成法がなければ、上記ＴＵＳ法は安全ではないということである。

【0051】

＜問題点２＞
問題点２は、秘密情報に０を含むことができないというものである。例えば、入力をａではなくａ＋１として入力すれば、最初の入力ａは０であってもよいが、減算を含む場合、すなわちａｂ－ｃまたはａ－ｃを演算する場合、その出力が０となる可能性がある。そのため、ＴＵＳ法による演算結果を用いて秘匿演算を繰り返せないという問題がある。

【0052】

＜問題点３＞
問題点３は、秘匿計算の正当性を検証できないというものである。一般に秘密分散においては、ｋ－１台までのサーバがもつ情報は盗聴などにより知られることを想定している。しかし、その盗聴可能なｋ－１台のサーバが乗っ取られ、偽の情報を出力したり、決められた処理をしない場合、上記秘匿演算の結果は信用できないものとなる。

【0053】

以上がＴＵＳ法の問題点１～３である。

【0054】

問題点１の解決はＴＵＳ法において必須であり、問題点１が解決されることにより、ＴＵＳ法の安全性が向上する。例えば、信頼できる変換用乱数組の生成者がいない場合でもＴＵＳ法を用いて秘匿演算できるようになる。また問題点１を解消することは、秘匿計算の検証においても必要となる。

【0055】

問題点２が解決されることにより、減算を含む秘匿演算を繰り返すことができるようになり、ＴＵＳ法の実用性が向上する。また問題点２を解消することは、繰返し演算された結果、または０を含む結果を検証する場合に必要となる。

【0056】

問題点３が解決されることにより、嘘の情報を出力するなど決められたプロトコルに従わないａｃｔｉｖｅな攻撃者に対しても安全性を確保することができるようになる。さらに、一般の検証機能付き秘匿計算は非常に複雑な処理を必要とするが、本発明の実施形態の手法によって非常に効率的に演算結果を検証できるようになる。

【0057】

以上の各問題点を解消することによって、安全かつ効率的、実用的に秘匿演算を検証できるようになる。

【0058】

以上を踏まえて、以下に各実施形態を展開する。以下の各実施形態において説明する秘密分散システムは、ｎを２以上の整数、ｋを２以上ｎ以下の整数とし、秘密情報をｎ個の分散値に分散し、ｋ個の分散値によって秘密情報を復元でき、ｋ個未満では秘密情報を復元できないシステムである。

【0059】

［第１実施形態］
第１実施形態は、上記問題点１に対応する。すなわち複数の信頼できない入力者及び復元者によって生成されていたとしても、変換用乱数の値が知られない安全な変換用乱数組の生成法を実現するものである。本実施形態の手法によって生成された変換用乱数組は、以降の各実施形態においても用いられる。

【0060】

まず第１実施形態の手法の前提について説明する。第１実施形態では、変換用乱数組を生成するために、参考文献１及び２に示される手法を拡張する。

【0061】

［参考文献１］M. Ben-Or, S. Goldwasser, and A. Wigderson, “Completeness theorems for non-cryptographic fault-tolerant distributed computation,” STOC ’88, 1988, pp. 1－10, ACM Press.
［参考文献２］Rosario Gennaro, Michael O. Rabin, and Tal Rabin, “Simplified VSS and fast-track multiparty computations with applications to threshold cryptography,” In Brian A. Coen and Yehuda Afek, editors, PODC, 1998, pp. 101－111, ACM.

【0062】

参考文献１及び２において、２ｋ次の多項式に対する分散値をｋ次の多項式に対する分散値に変換する方法が示されている。例えば参考文献１では、以下に示す変換手法が開示されている。

【0063】

ある規則によって生成された定数を要素とする行列を以下の行列Ａとする。

【0064】

【0065】

上記行列Ａを用いて、２ｋ次の多項式に対する分散値ベクトルＷ＝（Ｗ_０,Ｗ_１,・・・,Ｗ_２ｋ－１）に対してＲ＝Ｗ・Ａを計算することで、ｋ次の多項式に対する分散値ベクトルＲ＝（Ｒ_０,Ｒ_１,・・・,Ｒ_２ｋ－１）に変換することができる。参考文献２の手法もほぼ同様の処理で、分散値ベクトルＲへの変換を実現できる。

【0066】

ただし、参考文献１及び２の手法はサーバ台数がｎ≧２ｋ－１の場合に有効であるが、本実施形態ではＴＵＳ法と同様にｎ＜２ｋ－１の場合を扱う。以下で説明する本実施形態の構成では、二人の入力者に対応する入力装置と、一人の復元者に対応する復元装置とを想定し、ｎ＝ｋの場合の生成法を示す。ただし、後述するように復元装置は復元を行わず、演算支援装置としてふるまう。

【0067】

２ｋ－１＞ｎ＞ｋの場合は乱数α_ｉ等を直接サーバに送らず、（ｋ,ｎ）Ｓｈａｍｉｒ法を用いて分散し、演算を行うｋ台のサーバが乱数α_ｉ等を復元して使用する。また、秘密情報λ_０,λ_１は（ｋ,ｎ＋ｋ－１）Ｓｈａｍｉｒ法を用いて分散され、ｎ台のサーバ中ｋ－１台のサーバのみが［αλ_０］_ｉ＋ｋを持つ。また、復元装置は復元を行うと変換用乱数の値を知るので、復元装置は復元を行わず、演算支援の役割を持つ。以下において、秘密情報λ_０,λ_１及び乱数α_ｊ,ｉ,β_ｊ,ｉ,γ_ｉはλ_０,λ_１,α_ｊ,ｉ,β_ｊ,ｉ,γ_ｉ∈Ｚ／ｐＺである。ただし、秘密情報と乱数は０を含まないものとする。また、０_ｒ１などは０を表し、他と区別するため記号を付ける。

【0068】

以上の前提を踏まえて、図１を参照して、本実施形態に係る秘密分散システム１０の構成を説明する。図１に示すように、秘密分散システム１０は、２台の入力装置１２Ａ及び入力装置１２Ｂ、復元装置１４、並びにサーバ１６_０～１６_ｎ－１を含む。以下、入力装置１２Ａ及び入力装置１２Ｂについて共通する内容については「入力装置１２」、サーバ１６_０～１６_ｎ－１について共通する内容については「サーバ１６」とし、末尾の識別記号を省略して説明する場合もある。入力装置１２、復元装置１４、及びサーバ１６は、ネットワークＮに接続され、互いに通信可能とされる。なお、サーバ１６が、乗算部と、変換部と、加算部とを含む秘匿演算装置の一例である。

【0069】

入力装置１２は、秘密情報の入力者（以下、単に「入力者」という）によって操作される装置であり、入力装置１２の例としては、パーソナルコンピュータ等の情報処理装置が挙げられる。

【0070】

復元装置１４は、秘密情報を復元する復元者（以下、単に「復元者」という）によって操作される装置であり、復元装置１４の例としては、パーソナルコンピュータ等の情報処理装置が挙げられる。

【0071】

サーバ１６は、変換用乱数組の生成に係る計算、変換用乱数組の保管などをする役割を持つ。また、サーバ１６はｎ台存在し、説明に応じてサーバＳ_ｉ（ｉ＝０,…,ｎ－１）等とも記載する（以下、各実施形態において同様である）。

【0072】

次に、図２を参照して、本実施形態に係るサーバ１６のハードウェア構成を説明する。図２に示すように、サーバ１６は、ＣＰＵ（Central Processing Unit）２０、一時記憶領域としてのメモリ２１、不揮発性の記憶部２２を含む。また、サーバ１６は、液晶ディスプレイ等の表示装置２３、キーボード等の入力Ｉ／Ｆ２４、及びネットワークＮに接続されるネットワークＩ／Ｆ２５（InterFace）を含む。ＣＰＵ２０、メモリ２１、記憶部２２、表示装置２３、入力Ｉ／Ｆ２４、及びネットワークＩ／Ｆ２５は、バス２６に接続される。

【0073】

記憶部２２は、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部２２には、変換用乱数組生成プログラム２８が記憶される。変換用乱数組生成プログラム２８は、乗算プロセス２８ａと、変換プロセス２８ｂと、加算プロセス２８ｃとを含む。ＣＰＵ２０は、記憶部２２から変換用乱数組生成プログラム２８を読み出してからメモリ２１に展開し、展開した生成プログラム２８を実行する。ＣＰＵ２０が変換用乱数組生成プログラム２８の乗算プロセス２８ａを実行することで、開示の技術の乗算部として動作する。ＣＰＵ２０が変換用乱数組生成プログラム２８の変換プロセス２８ｂを実行することで、開示の技術の変換部として動作する。ＣＰＵ２０が変換用乱数組生成プログラム２８の加算プロセス２８ｃを実行することで、開示の技術の加算部として動作する。

【0074】

なお、入力装置１２、及び復元装置１４についてはサーバ１６と同様の装置構成をとることができ、実行するプログラムのみが異なるため詳細な説明を省略する。

【0075】

次に、図３を参照して、本実施形態に係る秘密分散システム１０の作用を説明する。

【0076】

＜変換用乱数組生成１：ｎ＝ｋ＞
図３は、秘密分散システム１０の変換用乱数組を生成する処理シーケンスを説明したものである。以下において、サーバ１６は、シーケンスの各処理に応じてサーバＳ_ｉ、Ｓ_ｊ、及びＳ_ｋ－１のいずれかが対象であるものとして説明する。

【0077】

Ｓ１０で、入力装置１２Ａは、乱数λ_０,ｉ、及びα_ｉ（ｉ＝０,…,ｋ－１）を生成する。

【0078】

Ｓ１２で、入力装置１２Ａは、

を計算する。また、入力装置１２Ａは、λ_０を（ｋ,２ｋ－１）Ｓｈａｍｉｒ法で分散して［αλ_０］_ｉ＋ｋ＝α×［λ_０］_ｉ＋ｋを計算する。

【0079】

Ｓ１４で、入力装置１２Ａは、Ｓ１０及びＳ１２で得られた［λ_０］_ｉ,［αλ_０］_ｉ＋ｋ,α_ｉ,λ_０,ｉをサーバＳ_ｉに送信する。ただし、サーバＳ_ｋ－１は［αλ_０］_２ｋ－１を持たないものとする。

【0080】

Ｓ１６で、入力装置１２Ｂは、乱数λ_１,ｉ、及びβ_ｉ（ｉ＝０,…,ｋ－１）を生成する。

【0081】

Ｓ１８で、入力装置１２Ｂは、

を計算する。また、入力装置１２Ｂは、λ_１を（ｋ,２ｋ－１）Ｓｈａｍｉｒ法で分散して［βλ_１］_ｉ＋ｋ＝β×［λ_１］_ｉ＋ｋを計算する。

【0082】

Ｓ２０で、入力装置１２Ｂは、Ｓ１６及びＳ１８で得られた［λ_１］_ｉ,［βλ_１］_ｉ＋ｋ,β_ｉ,λ_１,ｉをＳ_ｉに送信する。ただし、サーバＳ_ｋ－１は［βλ_１］_２ｋ－１を持たないものとする。

【0083】

Ｓ２２で、サーバＳ_ｋ－１を除くサーバＳ_ｉ（以下、本シーケンスの説明では単にＳ_ｉと記載する）は、［λ_０λ_１］_ｉ＝［λ_０］_ｉ×［λ_１］_ｉ,［αβλ_０λ_１］_ｉ＋ｋ＝［αλ_０］_ｉ＋ｋ×［βλ_１］_ｉ＋ｋを計算する。なお、Ｓ２２は、サーバＳ_ｉにおける、変換用乱数組生成プログラム２８の乗算プロセス２８ａに対応する。サーバＳ_ｉのＣＰＵ２０が、乗算プロセス２８ａを実行することで、開示の技術における分散値同士を乗算する処理を行う。

【0084】

Ｓ２４で、サーバＳ_ｉは、［αβλ_０λ_１］_ｉ＋ｋを復元装置１４に送信する。

【0085】

Ｓ２６で、サーバＳ_ｉは、α_ｉβ_ｉを計算する。

【0086】

Ｓ２８で、復元装置１４は、０_ｒ１を（２ｋ－１,２ｋ－１）Ｓｈａｍｉｒ法で分散する。

【0087】

Ｓ３０で、復元装置１４は、サーバＳ_ｉで計算されたα_ｉβ_ｉを取得する。

【0088】

Ｓ３２で、取得したα_ｉβ_ｉを元に、αβを復元する。

【0089】

Ｓ３４で、復元装置１４は、Ｓ２８で分散した０_ｒ１、及びＳ３２で復元したαβを用いて［λ_０λ_１］′_ｉ＋ｋ＝［αβλ_０λ_１］_ｉ＋ｋ／αβ＋［０_ｒ１］_ｉ＋ｋを計算する。

【0090】

Ｓ３６で、復元装置１４は、計算した［λ_０λ_１］′_ｉ＋ｋをサーバＳ_ｉに送信する。

【0091】

Ｓ３８で、サーバＳ_ｉは、０_ｉを（ｋ,ｎ）Ｓｈａｍｉｒ法で分散し、Ｒ_ｉ,ｊを計算する。ｊ≠ｉ（ｊ＝０,…,ｎ－１）のとき、Ｒ_ｉ,ｊは以下のように計算できる。なお、以下におけるａ_ｉ,ｊなどは上記行列Ａの要素である。
Ｒ_ｉ,ｊ＝ａ_ｉ,ｊ×［λ_０λ_１］_ｉ＋ａ_{ｉ＋ｎ,ｊ}×［λ_０λ_１］′_ｉ＋ｎ＋［０_ｉ］_ｊ

【0092】

なお、Ｓ３８は、サーバＳ_ｉにおける、変換用乱数組生成プログラム２８の変換プロセス２８ｂに対応する。サーバＳ_ｉのＣＰＵ２０が、変換プロセス２８ｂを実行することで、開示の技術における分散値の次数変換処理を行う。Ｓ３８のＲ_ｉ,ｊの計算ではＳ３６で返却された［λ_０λ_１］′_ｉ＋ｋを用いるが、［λ_０λ_１］′_ｉ＋ｋが他装置から送られた分離できない乗算値の一例である。また、Ｒ_ｉ,ｊが次数変換後の分散値の一例である。

【0093】

Ｓ４０で、サーバＳ_ｉは、ｉ＝ｊか否かを判定する。ｉ＝ｊであればＳ４２へ移行し、ｉ＝ｊでなければ（すなわち、ｉ≠ｊであれば）、Ｓ４４へ移行する。

【0094】

Ｓ４２で、サーバＳ_ｉは、乱数ｒ_ｉを生成して、以下のようにＲ_ｉ,ｊにｒ_ｉを加算する。
Ｒ_ｉ,ｊ＝ａ_ｉ,ｊ×［λ_０λ_１］_ｉ＋ａ_{ｉ＋ｎ,ｊ}×［λ_０λ_１］′_ｉ＋ｎ＋［０_ｉ］_ｊ＋ｒ_ｉ

【0095】

なお、Ｓ４２は、サーバＳ_ｉにおける、変換用乱数組生成プログラム２８の加算プロセス２８ｃに対応する。サーバＳ_ｉのＣＰＵ２０が、加算プロセス２８ｃを実行することで、開示の技術における乱数を分散値に加算する処理を行う。

【0096】

Ｓ４４で、サーバＳ_ｉは、計算したＲ_ｉ,ｊを復元装置１４に送信する。

【0097】

Ｓ４６で、復元装置１４は、０_ｒ２を（ｋ,ｎ）Ｓｈａｍｉｒ法で分散し、Ｒ′_ｉ,ｊ＝Ｒ_ｉ,ｊ＋ａ_ｉ,ｊ×［０_ｒ１］_ｉ＋［０_ｒ２］_ｉを計算する。ただし、ｊ＝０,…,ｎ－１とし、
（ｉ≠ｊ）のとき：
Ｒ′_ｉ,ｊ＝ａ_ｉ,ｊ×［λ_０λ_１］′_ｉ＋ａ_{ｉ＋ｎ,ｊ}×［λ_０λ_１］′_ｉ＋ｎ＋［０_ｉ］_ｊ＋［０_ｒ２］_ｊ（ｉ＝ｊ）のとき：
Ｒ′_ｉ,ｊ＝ａ_ｉ,ｊ×［λ_０λ_１］′_ｉ＋ａ_{ｉ＋ｎ,ｊ}×［λ_０λ_１］′_ｉ＋ｎ＋［０_ｉ］_ｊ＋［０_ｒ２］_ｊ＋ｒ_ｉ
とする。

【0098】

Ｓ４８で、復元装置１４は、Ｒ′_ｉ,ｊをサーバＳ_ｊに送信する。このように、サーバＳ_ｉで計算された次数変換後の分散値であるＲ_ｉ,ｊは、Ｒ′_ｉ,ｊとなってサーバＳ_ｊに返信される。

【0099】

Ｓ５０で、サーバＳ_ｊは、Σ_ｉ＝０ ^ｋ－１Ｒ′_ｉ,ｊ－ｒ_ｉ＝［λ］_ｊと計算する。また、サーバＳ_ｊは、λ_ｉ＝λ_０,ｉλ_１,ｉを計算する。以上のシーケンスによって、変換用乱数組（［λ］_ｊ,λ_ｉ）が得られる。

【0100】

［第１実施形態の変形例］
上述した変換用乱数組生成１では、ｎ＝ｋのとき、入力装置１２及び復元装置１４を必要とする場合を例に説明した。一方、ｎ=ｋ＝２の場合、入力装置１２及び復元装置１４を不要とした以下の処理が可能となる。すなわち、サーバ１６だけの構成で変換用乱数組生成が可能となる。

【0101】

＜変換用乱数組生成１′：ｎ=ｋ＝２＞
図４は、ｎ=ｋ＝２の場合の変換用乱数組を生成する処理シーケンスを説明したものである。以下において、サーバ１６のうち、サーバＳ_０、及びＳ_１の間で処理する場合を例に説明する。図４のシーケンスにおいて、以下のＳ６０～Ｓ９４の処理が行われる。なお、図４において各処理は簡略化して記載するものとする。

【0102】

Ｓ６０では、サーバＳ_０は、乱数λ_０,α_０,α_１,τ_０を生成し、α＝α_０α_１を計算する。

【0103】

Ｓ６２では、サーバＳ_０は、λ_０を（２,３）Ｓｈａｍｉｒ法で分散して、［αλ_０］_０＝α×［λ_０］_０,［αλ_０］_２＝α×［λ_０］_２,［τ_０λ_０］_１＝τ_０×［λ_０］_１を計算する。

【0104】

Ｓ６４では、サーバＳ_０は、得られた［τ_０λ_０］_１,α_１をサーバＳ_１に送信する。

【0105】

Ｓ６６では、サーバＳ_１は、乱数λ_１,β_０,β_１を生成し、β＝β_０β_１を計算する。

【0106】

Ｓ６８では、サーバＳ_１は、λ_１を（２,３）Ｓｈａｍｉｒ法で分散して、［βλ_１］_０＝β×［λ_１］_０,［βλ_１］_２＝β×［λ_１］_２を計算する。

【0107】

Ｓ７０では、サーバＳ_１は、得られた［βλ_１］_０,［βλ_１］_２,β_０をサーバＳ_０に送信する。

【0108】

Ｓ７２では、サーバＳ_０は、０_０を（３,３）Ｓｈａｍｉｒ法で分散し、α_０β_０と以下を計算する。
［αβλ_０λ_１］′_０＝［αλ_０］_０×［βλ_１］_０＋［０_０］_０,［αβλ_０λ_１］′_２＝［αλ_０］_２×［βλ_１］_２＋［０_０］_２,［０_０］_１

【0109】

Ｓ７４では、サーバＳ_０は、計算した［αβλ_０λ_１］′_０、［αβλ_０λ_１］′_２、α_０β_０をサーバＳ_１に送信する。

【0110】

Ｓ７６では、サーバＳ_１は、０_１を（３,３）Ｓｈａｍｉｒ法で分散し、α_１β_１とα_０β_０からαβを計算すると共に、以下を計算する。ただし、［０_０１］_ｉ＝［０_０］_ｉ／αβ＋［０_１］_ｉである。

【0111】

［０_０１］_１＝［０_０］_１／αβ＋［０_１］_１

【0112】

Ｓ７８では、サーバＳ_１は、得られた［λ_０λ_１］′_０,［λ_０λ_１］′_２,［０_０１］_１をサーバＳ_０に送信する。

【0113】

Ｓ８０では、サーバＳ_０は、０_０′を（２,２）Ｓｈａｍｉｒ法で分散する。

【0114】

Ｓ８２では、サーバＳ_０は、乱数ｒ_０を生成する。

【0115】

Ｓ８４では、サーバＳ_０は、分散した０_０′、及び乱数ｒ_０を用いて、以下のＲ_０,０及びＲ_０,１を計算する。
Ｒ_０,０＝τ_０（ａ_０,０×［λ_０λ_１］′_０＋ａ_２,０×［λ_０λ_１］′_２＋ａ_１,０×［０_０１］_１）＋［０_０′］_０＋ｒ_０＝τ_０（ａ_０,０［λ_０λ_１］_０＋ａ_２,０［λ_０λ_１］_２）＋τ_０［０_０１］″_０＋［０_０′］_０＋ｒ_０
Ｒ_０,１＝τ_０（ａ_０,１×［λ_０λ_１］′_０＋ａ_２,１×［λ_０λ_１］′_２＋ａ_１,１×τ_０［０_０１］_１）＋［０_０′］_１＝τ_０（ａ_０,１［λ_０λ_１］_０＋ａ_２,_１［λ_０λ_１］_２）＋τ_０［０_０１］″_１＋［０_０′］_１

【0116】

Ｓ８６では、サーバＳ_０は、計算したＲ_０,０,Ｒ_０,１をサーバＳ_１に送信する。

【0117】

Ｓ８８では、サーバＳ_１は、［τ_０λ_０λ_１］_１＝［τ_０λ_０］_１×［λ_１］_１を計算すると共に、０_１′を（２,２）Ｓｈａｍｉｒ法で分散し、以下を計算する。
Ｒ′_０,０＝Ｒ_０,０＋ａ_１,０×［τ_０λ_０λ_１］_１＋［０_１′］_０＝τ_０［λ_０λ_１］_０＋τ_０［０_０１］″_０＋［０_０′］_０＋［０_１′］_０＋ｒ_０
Ｒ′_０,１＝Ｒ_０,１＋ａ_１,１×［τ_０λ_０λ_１］_１＋［０_１′］_１＝τ_０［λ_０λ_１］_１＋τ_０［０_０１］″_１＋［０_０′］_１＋［０_１′］_１

【0118】

Ｓ９０では、サーバＳ_１は、得られたＲ′_０,０をサーバＳ_０に送信する。

【0119】

Ｓ９２では、サーバＳ_０は［λ］_０＝Ｒ′_０,０－ｒ_０,λ_０＝τ_０λ_０として変換用乱数組（［λ］_０,λ_０）を得る。

【0120】

Ｓ９４では、サーバＳ_１は［λ］_１＝Ｒ′_０,１として変換用乱数組（［λ］_１,λ_１）を得る。

【0121】

以上が、変換用乱数組生成１′の場合の説明である。

【0122】

以上説明したように、本発明の第１実施形態の手法を用いて変換用乱数組を生成することにより、安全に変換用乱数組を生成することができる。

【0123】

［第２実施形態］
第２実施形態は、上記問題点２に対応する。すなわち秘密情報に０を含む場合の手法である。

【0124】

まず第２実施形態の手法の前提について説明する。以下において,秘密情報ａ,ｂ,ｃ及び乱数α_ｊ,ｉ,β_ｊ,ｉ,γ_ｊ,ｉ,ａ_１,ｂ_１,ｃ_１はａ,ｂ,ｃ,α_ｊ,ｉ,β_ｊ,ｉ,γ_ｊ,ｉ,ａ_１,ｂ_１,ｃ_１∈Ｚ／ｐＺである。また、秘密情報に０を含んでもよいが、乱数は０を含まないものとする。また、第２実施形態では、第１実施形態に示した手法により変換用乱数組が予め生成されており、サーバＳ_ｉは変換用乱数組（［ε_ｈ,ｉ］_ｉ,ε_ｈ,ｉ）,（ｈ＝１,…,必要個数）を持つものとする。以下の説明においては、ｎ＝ｋにおける秘匿積和演算を示すが、ｎ＞ｋの場合、α_ｊ,ｉ,β_ｊ,ｉ,γ_ｊ,ｉ,ε_ｊ,ｉなどは（ｋ,ｎ）Ｓｈａｍｉｒ法で分散し、演算に参加するｋ台のサーバが復元してもよい。また、ａ＋ａ_１のように秘密情報に加えられる乱数ａ_１,ｂ_１,ｃ_１は０でなく、その加算結果も０とならない値を選ぶものとする。積和演算を組み合わせることにより、任意の四則演算を構成できるため、秘匿積和演算を例に以下、詳細を説明する。

【0125】

以上の前提を踏まえて、図５を参照して、本実施形態に係る秘密分散システム２１０の構成を説明する。図５に示すように、秘密分散システム２１０は、３台の入力装置２１２Ａ～２１２Ｃ、及び複数台のサーバ２１６_０～２１６_ｎ－１を含む。以下、入力装置２１２Ａ～２１２Ｃについて共通する内容については「入力装置２１２」、サーバ２１６_０～２１６_ｎ－１について共通する内容については「サーバ２１６」とし、末尾の識別記号を省略して説明する場合もある。入力装置２１２、及びサーバ２１６は、ネットワークＮに接続され、互いに通信可能とされる。なお、入力装置２１２が、第１生成部を含む分散装置の一例である。また、サーバ２１６が、第２生成部を含む秘匿演算装置の一例である。また、サーバ２１６が、第３生成部と、加算部とを含む秘匿演算装置の一例である。

【0126】

入力装置２１２は、秘密情報の入力者によって操作される装置である。入力装置２１２は、乱数を作用させた所定の値を生成して、サーバ２１６に分散する。

【0127】

サーバ２１６は、秘匿積和演算に係る計算などをする役割を持つ。

【0128】

次に、図６を参照して、本実施形態に係る入力装置２１２のハードウェア構成を説明する。図６に示すように、入力装置２１２は、ＣＰＵ２２０、一時記憶領域としてのメモリ２２１、不揮発性の記憶部２２２を含む。また、入力装置２１２は、表示装置２２３、入力Ｉ／Ｆ２２４、及びネットワークＮに接続されるネットワークＩ／Ｆ２２５を含む。ＣＰＵ２２０、メモリ２２１、記憶部２２２、表示装置２２３、入力Ｉ／Ｆ２２４、及びネットワークＩ／Ｆ２２５は、バス２２６に接続される。

【0129】

記憶部２２２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部２２２には、第１生成プログラム２２８が記憶される。ＣＰＵ２２０は、記憶部２２２から第１生成プログラム２２８を読み出してからメモリ２２１に展開し、展開した第１生成プログラム２２８を実行する。ＣＰＵ２２０が第１生成プログラム２２８を実行することで、開示の技術の第１生成部として動作する。なお、後述する第３～第５実施形態においても同様である。

【0130】

次に、図７を参照して、本実施形態に係るサーバ２１６のハードウェア構成を説明する。図７に示すように、サーバ２１６は、ＣＰＵ２３０、一時記憶領域としてのメモリ２３１、不揮発性の記憶部２３２を含む。また、サーバ２１６は、表示装置２３３、入力Ｉ／Ｆ２３４、及びネットワークＮに接続されるネットワークＩ／Ｆ２３５を含む。ＣＰＵ２３０、メモリ２３１、記憶部２３２、表示装置２３３、入力Ｉ／Ｆ２３４、及びネットワークＩ／Ｆ２３５は、バス２３６に接続される。

【0131】

記憶部２３２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部２３２には、秘匿積和演算プログラム２３８が記憶される。秘匿積和演算プログラム２３８は、第２生成プロセス２３８ａと、第３生成プロセス２３８ｂと、加算プロセス２３８ｃとを含む。ＣＰＵ２３０は、記憶部２３２から秘匿積和演算プログラム２３８を読み出してからメモリ２３１に展開し、展開した秘匿積和演算プログラム２３８を実行する。ＣＰＵ２３０が秘匿積和演算プログラム２３８の第２生成プロセス２３８ａを実行することで、開示の技術の第２生成部として動作する。ＣＰＵ２３０が秘匿積和演算プログラム２３８の第３生成プロセス２３８ｂを実行することで、開示の技術の第３生成部として動作する。ＣＰＵ２３０が秘匿積和演算プログラム２３８の加算プロセス２３８ｃを実行することで、開示の技術の加算部として動作する。なお、後述する第３、第５実施形態においても同様である。なお、サーバ２１６において補正処理が行われない想定とし、秘匿積和演算プログラム２３８において第２生成プロセス２３８ａのみを含み、第３生成プロセス２３８ｂと、加算プロセス２３８ｃとを含まないようにしてもよい。

【0132】

次に、図８～１０を参照して、本実施形態に係る秘密分散システム２１０の作用を説明する。

【0133】

まず、秘密情報を各サーバに分散する処理について説明する。図８は、秘密分散システム２１０における分散の処理シーケンスを説明したものである。分散の処理シーケンスでは、入力装置２１２Ａ～Ｃが持つ秘密情報をサーバ２１６に分散する。以下において、サーバ２１６は、分散の処理シーケンスの各処理に応じてｎ台の全てのサーバである全サーバＳ、及びサーバＳ_ｉのいずれかが対象であるものとして説明する。

【0134】

＜分散２＞
Ｓ２１０で、入力装置２１２Ａは、乱数ａ_１,α_１,ｉ,α_２,ｉ（ｉ＝０,…,ｋ－１）を生成する。

【0135】

Ｓ２１２で、入力装置２１２Ａは、以下の式に基づいて、秘密情報ａに対してα_１ａ_１とα_２（ａ＋ａ_１）を計算する。

【0136】

【0137】

なお、Ｓ２１２は、入力装置２１２Ａにおける、第１生成プログラム２２８に対応する。入力装置２１２ＡのＣＰＵ２２０が、第１生成プログラム２２８を実行することで、開示の技術における第１生成部の処理を行う。秘密情報ａが第１の秘密情報、乱数ａ_１が第１の乱数、乱数α_２が第２の乱数、乱数α_１が第３の乱数の一例である。α_２（ａ＋ａ_１）が、第１の乱数及び第２の乱数を作用させた第１の値の一例である。α_１ａ_１が、第１の乱数に第３の乱数を作用させた第２の値の一例である。第１生成プログラム２２８との対応は、以下、入力装置２１２Ｂ、及び入力装置２１２Ｃの秘密情報に対して行う処理において同様である。

【0138】

Ｓ２１４で、入力装置２１２Ａは、計算したα_１ａ_１とα_２（ａ＋ａ_１）を全サーバＳに送信する。

【0139】

Ｓ２１６で、入力装置２１２Ａは、乱数α_１,ｉ,α_２,ｉをサーバＳ_ｉに送信する。

【0140】

Ｓ２１８で、入力装置２１２Ｂは、乱数ｂ_１,β_１,ｉ,β_２,ｉ（ｉ＝０,…,ｋ－１）を生成する。

【0141】

Ｓ２２０で、入力装置２１２Ｂは、以下の式に基づいて、秘密情報ｂに対してβ_１ｂ_１とβ_２（ｂ＋ｂ_１）を計算する。

【0142】

【0143】

Ｓ２２２で、入力装置２１２Ｂは、計算したβ_１ｂ_１とβ_２（ｂ＋ｂ_１）を全サーバＳに送信する。

【0144】

Ｓ２２４で、入力装置２１２Ｂは、乱数β_１,ｉ,β_２,ｉをＳ_ｉに送信する。

【0145】

Ｓ２２６で、入力装置２１２Ｃは、乱数ｃ_１,γ_１,ｉ,γ_２,ｉ（ｉ＝０,…,ｋ－１）を生成する。

【0146】

Ｓ２２８で、入力装置２１２Ｃは、以下の式に基づいて、秘密情報ｃに対してγ_１ｃ_１とγ_２（ｃ＋ｃ_１）を計算する。

【0147】

【0148】

Ｓ２３０で、入力装置２１２Ｃは、計算したγ_１ｃ_１とγ_２（ｃ＋ｃ_１）を全サーバＳに送信する。

【0149】

Ｓ２３２で、入力装置２１２Ｃは、乱数γ_１,ｉ,γ_２,ｉをサーバＳ_ｉに送信する。

【0150】

以上の分散の処理シーケンスを実行することで、サーバＳ_ｉはα_１ａ_１,α_２（ａ＋ａ_１）,β_１ｂ_１,β_２（ｂ＋ｂ_１）,γ_１ｃ_１,γ_２（ｃ＋ｃ_１）とα_１,ｉ,β_１,ｉ,γ_１,ｉ,α_２,ｉ,β_２,ｉ,γ_２,ｉを持つことになる。また、サーバＳ_ｉは、上記第１実施形態の手法で生成された変換用乱数組（［ε_ｈ,ｉ］_ｉ,ε_ｈ,ｉ）（ｈ＝０,…,必要個数）も予め持つものとする。

【0151】

上記で説明した分散２の特徴は、秘密情報が漏洩しないよう、秘密情報に乱数を加えた値とその乱数のみが秘匿されて公開される点である。また、下記に説明する秘匿積和演算２は、秘密情報に乱数を加えた値とその乱数のみから、秘密情報による秘匿演算結果に乱数を加えた値とその乱数による秘匿演算結果が得られるように構成される。また、以下の秘匿積和演算において、計算結果を新たなα_２（ａ＋ａ_１）,α_１ａ_１などとするが、β_１ｂ_１,β_２（ｂ＋ｂ_１）またはγ_１ｃ_１,γ_２（ｃ＋ｃ_１）としてもよい。またα_２,ｉ,α_１,ｉも同様である。

【0152】

＜秘匿積和演算２＞
次に秘匿積和演算する処理について説明する。図９は、秘密分散システム２１０における、秘匿積和演算の処理シーケンスを説明したものである。図９では、説明の便宜のため、サーバ２１６のうち、サーバＳ_ｉ、Ｓ_０の間で秘匿積和演算の処理シーケンスが行われるものとし、図９上は全サーバＳへの送信はサーバＳ_ｉに対する送信であるものとして説明するが、サーバＳ_ｉで行われる処理はサーバＳ_０でも行われる。

【0153】

Ｓ２４０で、サーバＳ_ｉ（ｉ＝０,…,ｋ－１）は、以下の乱数δ_１,ｉ,δ_２,ｉを生成する。

【0154】

【0155】

Ｓ２４２で、サーバＳ_ｉは、Ｓ２４０で生成した乱数δ_１,ｉ,δ_２,ｉを用いて以下を計算する。

【0156】

【0157】

Ｓ２４４で、サーバＳ_ｉは、Ｓ２４２の計算結果をサーバＳ_０に送信する。

【0158】

Ｓ２４６で、サーバＳ_０は、サーバＳ_ｉから受信した計算結果を用いて、以下を計算する。ただし以降、Πはｉ＝０,…,ｋ－１に関する乗算を表す。

【0159】

【0160】

Ｓ２４８で、サーバＳ_０は、Ｓ２４６の計算結果を全サーバＳに送信する。

【0161】

Ｓ２５０で、サーバＳ_ｉは、サーバＳ_０から受信した計算結果を用いて、以下を計算して公開し、計算結果を復元する。

【0162】

【0163】

なお、Ｓ２５０は、サーバＳ_ｉにおける、秘匿積和演算プログラム２３８の第２生成プロセス２３８ａに対応する。サーバＳ_ｉのＣＰＵ２３０が、第２生成プロセス２３８ａを実行することで、開示の技術における第３の値の生成、及び第４の値の生成を行う。δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝が、開示の技術における第３の値の一例である。δ_１（ｃ_１－ａ_１ｂ_１）が、開示の技術における第４の値の一例である。第３の値は、複数の第１の秘密情報同士の演算結果（ａｂ＋ｃ）に複数の乱数同士の演算結果（ｃ_１－ａ_１ｂ_１）、及び第４の乱数（δ_２）を作用させた値である。また、第３の値は、複数の第１の秘密情報同士の演算結果を第１の秘密情報に置き換え、複数の第１の乱数同士の演算結果を第１の乱数に置き換え、第４の乱数を第２の乱数に置き換えた場合に第１の値と同形式になる。第４の値は、第１の乱数同士の演算結果（ｃ_１－ａ_１ｂ_１）に第５の乱数（δ_１）を作用させた値である。また、第４の値は、複数の第１の乱数同士の演算結果を第１の乱数に置き換え、第５の乱数を第３の乱数に置き換えた場合に第２の値と同形式になる。

【0164】

Ｓ２５２は、秘匿積和演算の処理シーケンスを繰り返す場合の処理である。Ｓ２５２で、サーバＳ_ｉは、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝及びδ_１（ｃ_１－ａ_１ｂ_１）が０でなければ、その復元値を新たなα_２（ａ＋ａ_１）及びα_１ａ_１として設定し、δ_２,ｉ,δ_１,ｉを新たなα_２,ｉ,α_１,ｉに設定してＳ２４０に戻る。上記の秘匿積和演算の処理シーケンスは、例えば全てのサーバＳ_ｉについて処理を終了するまで繰り返す。

【0165】

＜補正処理２＞
次に、補正処理について説明する。上述した図９の秘匿積和演算の処理シーケンスにおいて、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１）の少なくとも１つが０の場合、以下の補正処理を行う。図１０は、秘密分散システム２１０における補正処理の処理シーケンスを説明したものである。補正処理の処理シーケンスは、サーバ２１６のうち、全サーバＳ、サーバＳ_ｉ、及びＳ_０の間で行われるものとして説明する。また、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝＝０の場合を第１のケース、δ_１（ｃ_１－ａ_１ｂ_１）＝０の場合を第２のケースとして、第１のケース及び第２のケースのいずれか少なくとも一つに当てはまる場合の計算例を説明する。

【0166】

Ｓ２６０で、サーバＳ_ｉは、新たな乱数τ_１,ｉとａ′_１,ｉを生成し、その積τ_１,ｉａ′_１,ｉを公開する。

【0167】

Ｓ２６２で、サーバＳ_ｉは、τ_１ａ′_１＝Πτ_１,ｉａ′_１,ｉを新たなα_１ａ_１に設定する。また、τ_１,ｉを新たなα_１,ｉに設定する。なお、Ｓ２６２は、サーバＳ_ｉにおける、秘匿積和演算プログラム２３８の第３生成プロセス２３８ｂに対応する。サーバＳ_ｉのＣＰＵ２３０が、第３生成プロセス２３８ｂを実行することで、開示の技術における第６の乱数の生成を行う。ａ′_１が、第６の乱数の一例である。

【0168】

Ｓ２６４で、サーバＳ_ｉは、乱数τ_２,ｉを生成する。

【0169】

Ｓ２６６で、サーバＳ_ｉは、Ｓ２６４で生成した乱数τ_２,ｉを用いて計算を行う。第１ケースの場合、

と計算する。第２のケースの場合、

と計算する。

【0170】

Ｓ２６８で、サーバＳ_ｉは、Ｓ２６６の計算結果をサーバＳ_０に送信する。

【0171】

Ｓ２７０で、サーバＳ_０は、サーバＳ_ｉから受信した計算結果を用いて、ｉについて乗算し計算を行う。第１のケースの場合

と計算する。第２のケースの場合

と計算する。

【0172】

Ｓ２７２で、サーバＳ_０は、Ｓ２７０の計算結果をサーバＳ_ｉに送信する。

【0173】

Ｓ２７４で、サーバＳ_ｉは、Ｓ２７２で返却された計算結果を用いて計算を行い、秘密情報を復元する。第１のケースの場合

を計算する。第２のケースの場合

を計算する。なお、Ｓ２６４は、サーバＳ_ｉにおける、秘匿積和演算プログラム２３８の加算プロセス２３８ｃに対応する。サーバＳ_ｉのＣＰＵ２３０が、加算プロセス２３８ｃを実行することで、開示の技術における第６の乱数（ａ′）を秘匿加算する処理を行う。

【0174】

Ｓ２７６で、サーバＳ_ｉは、Ｓ２７４の計算結果を用いて、新たなα_２（ａ＋ａ_１）を設定する。また、τ_２,ｉを新たなα_２,ｉに設定する。

【0175】

秘匿積和演算を繰り返す場合には、上記図９の秘匿積和演算の処理シーケンスのＳ２４０に戻る。

【0176】

以上が補正処理の処理シーケンスの説明である。以下に補正処理に関する補足を述べる。

【0177】

上記において、ｃ＝ｃ_１＝ｃ＋ｃ_１＝０としてｃに関する処理を省略すれば秘匿乗算になり、α_２（ａ＋ａ_１）＝α_０ａ＝１としてａに関する処理を省略すれば秘匿加算になる。また、ａｂとｃの間の＋を－にすれば秘匿減算となる。また、α_２（ａ＋ａ_１）からα_１ａ_１を秘匿減算すればα_０ａが出力されるので、上記秘匿積和演算の処理シーケンスのＳ２５０におけるα_２（ａ＋ａ_１）による乗算をα_０ａによる除算にし、－β_２（ｂ＋ｂ_１）を－β_１ｂ_１にすれば

の除算が実現できる。この場合、

は

に変化させる。

【0178】

上記において、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝＝０の場合、ａｂ＋ｃ＝（ａ_１ｂ_１－ｃ_１）となるが、ａ_１,ｂ_１,ｃ_１が秘匿されている。そのため、秘密情報ａｂ＋ｃは漏えいせず、（ａ_１ｂ_１－ｃ_１）＝ａｂ＋ｃとして、ａ′_１を秘密情報ａｂ＋ｃに加える新たな乱数とする。そして、新たなα_２（ａ＋ａ_１）及びα_１ａ_１を計算することによって、演算を継続可能とする。

【0179】

δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１）の２つが０の場合、ａｂ＋ｃ＝０が漏洩する。上記の補正処理の処理シーケンスの第１のケース及び第２のケースでは、簡単のためδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１）を同時に復元するように読めるが、まずδ_１（ｃ_１－ａ_１ｂ_１）を復元して０である場合、以下を計算してδ_２（ａｂ＋ｃ＋ａ′_１）を復元する。

【0180】

【0181】

このとき、δ_２（ａｂ＋ｃ＋ａ′_１）が０であれば、補正処理の処理シーケンスにおけるＳ２７４の第１のケースの場合の計算を行えばよい。これによって、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１）の２つが０であったとしてもａｂ＋ｃ＝０は漏洩しない。

【0182】

また、後述の第５実施形態の秘匿積和演算に示すようにδ_１（ｃ_１－ａ_１ｂ_１）,δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝のどちらかが０であった場合、０となった値を新たな乱数で置き換え、０でない値の方にその乱数を加えてもよい。

【0183】

以上説明したように、本発明の第２実施形態の手法を用いて秘匿積和演算を行うことにより、秘密情報に０を含んでいても、効率よく秘匿演算を繰り返すことができる。

【0184】

なお、復元を行う場合、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝からδ_１（ｃ_１－ａ_１ｂ_１）を秘匿減算すればδ_０（ａｂ＋ｃ）が得られ、復元者はδ_０を復元してその値を排除することにより、秘密情報による演算結果（ａｂ＋ｃ）が得られる。この処理は復元装置によって実行されるので、復元を含む場合、後述する図１１と同様のネットワーク構成となる。

【0185】

［第３実施形態］
第３実施形態は、上記問題点３に対応する。すなわち秘匿計算の検証を実現する機能である。以下は、簡単のため秘密情報ａ,ｂ,ｃ及び演算結果に０を含まない場合に検証を行う場合を例に説明する。

【0186】

図１１を参照して、本実施形態に係る秘密分散システム３１０の構成を説明する。図１１に示すように、秘密分散システム３１０は、３台の入力装置３１２Ａ～３１２Ｃ、復元装置３１４、及び複数台のサーバ３１６_０～３１６_ｎ－１を含む。以下、入力装置３１２Ａ～３１２Ｃについて共通する内容については「入力装置３１２」、サーバ３１６_０～３１６_ｎ－１について共通する内容については「サーバ３１６」とし、末尾の識別記号を省略して説明する場合もある。入力装置３１２、復元装置３１４、及びサーバ３１６は、ネットワークＮに接続され、互いに通信可能とされる。なお、復元装置３１４が、第１排除部と、第１判定部とを含む検証復元装置の一例である。

【0187】

入力装置３１２は、秘密情報の入力者によって操作される装置である。入力装置３１２は、乱数を作用された所定の値を生成して、サーバ３１６に分散する。

【0188】

復元装置３１４は、秘密情報の復元者によって操作される装置である。復元装置３１４は、入力装置３１２、及びサーバ３１６によって公開されている値を収集して、秘匿積和演算の結果に不正がないかを検証する。

【0189】

サーバ３１６は、秘匿積和演算に係る計算などをする役割を持つ。

【0190】

次に、図１２を参照して、本実施形態に係る復元装置３１４のハードウェア構成を説明する。なお、入力装置３１２、及びサーバ３１６については第２実施形態と同様の装置構成をとることができるため詳細な説明を省略する。

【0191】

図１２に示すように、復元装置３１４は、ＣＰＵ３４０、一時記憶領域としてのメモリ３４１、不揮発性の記憶部３４２を含む。また、復元装置３１４は、表示装置３４３、入力Ｉ／Ｆ３４４、及びネットワークＮに接続されるネットワークＩ／Ｆ３４５を含む。ＣＰＵ３４０、メモリ３４１、記憶部３４２、表示装置３４３、入力Ｉ／Ｆ３４４、及びネットワークＩ／Ｆ３４５は、バス３４６に接続される。

【0192】

記憶部３４２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部３４２には、復号プログラム３４８が記憶される。復号プログラム３４８は、第１排除プロセス３４８ａと、第１判定プロセス３４８ｂと、復元プロセス３４８ｃとを含む。ＣＰＵ３４０は、記憶部３４２から復号プログラム３４８を読み出してからメモリ３４１に展開し、展開した復号プログラム３４８を実行する。ＣＰＵ３４０が第１生成プログラム３４８の第１排除プロセス３４８ａを実行することで、開示の技術の第１排除部として動作する。ＣＰＵ３４０が第１生成プログラム３４８の第１判定プロセス３４８ｂを実行することで、開示の技術の第１判定部として動作する。ＣＰＵ３４０が第１生成プログラム３４８の復元プロセス３４８ｃを実行することで、開示の技術の復元部として動作する。

【0193】

次に、図１３～１５を参照して、本実施形態に係る秘密分散システム３１０の作用を説明する。

【0194】

＜分散３＞
まず、秘密情報を各サーバに分散する処理について説明する。図１３は、秘密分散システム３１０における分散の処理シーケンスを説明したものである。分散の処理シーケンスでは、入力装置３１２Ａ～Ｃが持つ秘密情報をサーバ３１６に分散する。以下において、サーバ３１６は、分散の処理シーケンスの各処理に応じてｎ台の全てのサーバである全サーバＳ、及びサーバＳ_ｉのいずれかが対象であるものとして説明する。

【0195】

Ｓ３１０で、入力装置３１２Ａは、乱数α_ｉ,０,…,α_{ｉ,ｋ－１}（ｉ＝０,２）を生成する。

【0196】

Ｓ３１２で、入力装置３１２Ａは、乱数α_ｉ＝Π_ｊ＝０ ^ｋ－１α_ｉ,ｊを計算する。

【0197】

Ｓ３１４で、入力装置３１２Ａは、乱数ａ_１を生成し、秘密情報ａに対して以下を計算して計算結果を公開する。また、入力装置３１２Ａは、ａ_１に対するハッシュ値ｈ_ａ１を公開する。

【0198】

【0199】

Ｓ３１６で、入力装置３１２Ａは、α_０,ｊ,α_２,ｊをサーバＳ_ｉに送信する。

【0200】

Ｓ３１８で、入力装置３１２Ｂは、乱数β_ｉ,０,…,β_{ｉ,ｋ－１}（ｉ＝０,２）を生成する。

【0201】

Ｓ３２０で、入力装置３１２Ｂは、乱数β_ｉ＝Π_ｊ＝０ ^ｋ－１β_ｉ，ｊを計算する。

【0202】

Ｓ３２２で、入力装置３１２Ｂは、乱数ｂ_１を生成し、秘密情報ｂに対して以下を計算して計算結果を公開する。また、入力装置３１２Ｂは、ｂ_１に対するハッシュ値ｈ_ｂ１を公開する。

【0203】

【0204】

Ｓ３２４で、入力装置３１２Ｂは、β_０,ｊ,β_２,ｊをサーバＳ_ｉに送信する。

【0205】

Ｓ３２６で、入力装置３１２Ｃは、乱数γ_ｉ,０,…,γ_{ｉ,ｋ－１}（ｉ＝０,２）を生成する。

【0206】

Ｓ３２８で、入力装置３１２Ｃは、乱数γ_ｉ＝Π_ｊ＝０ ^ｋ－１γ_ｉ，ｊを計算する。

【0207】

Ｓ３３０で、入力装置３１２Ｃは、乱数ｃ_１を生成し、秘密情報ｃに対して以下を計算して計算結果を公開する。また、入力装置３１２Ｃは、ｃ_１に対するハッシュ値ｈ_ｃ１を公開する。

【0208】

【0209】

Ｓ３３２で、入力装置３１２Ｃは、γ_０,ｊ,γ_２,ｊをサーバＳ_ｉに送信する。

【0210】

以上の分散の処理シーケンスにより、サーバＳ_ｉは、以下を持つことになる。

【0211】

【0212】

なお、入力装置３１２Ａ、入力装置３１２Ｂ、及び入力装置３１２Ｃは、ａ_１,ｂ_１,ｃ_１を秘密分散してもよい。

【0213】

＜秘匿積和演算３＞
次に秘匿積和演算する処理について説明する。

【0214】

秘匿積和演算の前提として、分散処理は正しく行われているものとする。ここでは変換用乱数組として（［μ_ｈ］_ｉ,μ_ｈ,ｉ）（ｈ＝１,…,必要個数）も持つものとする。

【0215】

以下において、ｃ＝ｃ_１＝ｃ＋ｃ_１＝０としてｃに関する処理を省略すれば秘匿乗算になり、α_２（ａ＋ａ_１）＝α_０ａ＝１としてａに関する処理を省略すれば秘匿加算になる。また、ａｂとｃの間の＋を－にすれば秘匿減算となる。また以下の秘匿積和演算において、計算結果を新たなα_２（ａ＋ａ_１）,α_１ａ_１などとするが、β_１ｂ_１,β_２（ｂ＋ｂ_１）またはγ_１ｃ_１,γ_２（ｃ＋ｃ_１）としてもよい。α_２,ｉ，α_１,ｉについても同様である。

【0216】

図１４は、秘密分散システム３１０における、秘匿積和演算の処理シーケンスを説明したものである。図１４では、説明の便宜のため、サーバ３１６のうち、サーバＳ_ｉまたは全サーバＳおいて秘匿積和演算の処理シーケンスが行われるものとして説明する。

【0217】

Ｓ３４０で、サーバＳ_ｉは、乱数δ_０,ｉ,δ_２,ｉを生成する。

【0218】

Ｓ３４２で、サーバＳ_ｉは、生成した乱数δ_０,ｉ,δ_２,ｉを用いて、以下を計算して計算結果を公開する。ただし、０となる値が公開された場合、公開したサーバは不正処理があるとして処理を中断する。

【0219】

【0220】

Ｓ３４４で、全サーバは、以下を計算する。

【0221】

【0222】

Ｓ３４６で、サーバＳ_ｉは、以下を計算して復元し、復元したδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_０（ａｂ＋ｃ）を公開する。

【0223】

【0224】

Ｓ３４８は、演算を継続する場合の処理である。Ｓ３４８で、サーバＳ_ｉは、δ_０（ａｂ＋ｃ）,δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）を新たなα_０ａ,α_２（ａ＋ａ_１）に設定し、新たなα_０ａ,α_２（ａ＋ａ_１）に合わせて、δ_０,ｉ,δ_２,ｉを新たなα_０,ｉ,α_２,ｉに設定してＳ３４０に戻る。

【0225】

＜検証・復元３＞
次に、検証処理について説明する。図１５は、秘密分散システム３１０における検証の処理シーケンスを説明したものである。検証の処理シーケンスにおいて、入力装置３１２Ａ、入力装置３１２Ｂ、及び入力装置３１２Ｃは、それぞれａ_１,ｂ_１,ｃ_１を公開しているものとする。

【0226】

Ｓ３６０で、復元装置３１４は、サーバＳ_ｉからδ_０,ｉ,δ_２,ｉを収集する。

【0227】

Ｓ３６２で、復元装置３１４は、収集したδ_０,ｉ,δ_２,ｉの積δ_０,δ_２を計算し、積δ_０,δ_２を用いて以下を計算して公開する。

【0228】

【0229】

なお、Ｓ３６２は、復元装置３１４における、復号プログラム３４８の第１排除プロセス３３８ａに対応する。復元装置３１４のＣＰＵ３４０が、第１排除プロセス３４８ａを実行することで、開示の技術における第１排除部の処理を行う。上記の計算が、秘密情報同士の演算結果に対して乱数を作用させて生成した第３の値δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝とδ_０（ａｂ＋ｃ）を用いて秘密情報（ａｂ＋ｃ）と第４の乱数δ_２,δ_０に相当する値を排除し、判定を行うための第１の乱数同士の演算結果を得ることに対応する。

【0230】

Ｓ３６４で、復元装置３１４は、入力装置３１２Ａ、入力装置３１２Ｂ、及び入力装置３１２Ｃが公開しているａ_１,ｂ_１,ｃ_１及びそのハッシュ値を収集する。

【0231】

Ｓ３６６で、復元装置３１４は、公開されているａ_１,ｂ_１,ｃ_１と、そのハッシュ値が一致するかを検証し、ハッシュ値が正しければＳ３６８へ移行し、正しくなければＳ３７４へ移行して不正検出とする。

【0232】

Ｓ３６８で、復元装置３１４は、公開されているａ_１,ｂ_１,ｃ_１を用いてｃ_１－ａ_１ｂ_１を計算する。

【0233】

Ｓ３７０で、復元装置３１４は、公開されているａ_１,ｂ_１,ｃ_１から計算されたｃ_１－ａ_１ｂ_１と、Ｓ３６２で計算されたｃ_１－ａ_１ｂ_１が等しいか検証し、計算結果が正しければＳ３７２へ移行し、正しくなければＳ３７４へ移行して不正検出とする。

【0234】

なお、Ｓ３７０は、復元装置３１４における、復号プログラム３４８の第１判定プロセス３４８ｂに対応する。復元装置３１４のＣＰＵ３４０が、第１判定プロセス３４８ｂを実行することで、開示の技術における第１判定部の処理を行う。

【0235】

Ｓ３７２で、復元装置３１４は、検証結果が正しい場合、Ｓ３６２で用いられたδ_０（ａｂ＋ｃ）／δ_０をａｂ＋ｃと判定する。

【0236】

Ｓ３７４で、検証結果が不正検出であるものとする。

【0237】

以上が、検証の処理シーケンスである。なお、ａ_１,ｂ_１,ｃ_１が秘密分散されている場合、Ｓ３６６に対応する処理として、各サーバでａ_１,ｂ_１,ｃ_１の分散値を公開して、復元装置３１４でａ_１,ｂ_１,ｃ_１を復元してもよい。

【0238】

また、演算が繰り返されている場合、Ｓ３６２において乱数による最終的な演算結果を復元し、Ｓ３６４で全乱数を収集して、その乱数を用いて同様の演算を構成し、Ｓ３６２の結果とＳ３６８の結果が一致するかを検証する。

【0239】

攻撃者が入力値や乱数を知らない場合、（ｃ_１－ａ_１ｂ_１）が一致するように操作できないことが言える。よって、その計算に使用したδ_０（ａｂ＋ｃ）／δ_０は正しいといえる。

【0240】

また、検証処理は演算の最後でなく、任意の積和演算単位で検証することも可能である。

【0241】

また、本実施形態における検証の処理シーケンスは復元装置３１４が行うものとしたが、サーバＳ_ｉがδ_０,ｉ,δ_２,ｉを公開すればどの装置でも公開値から検証可能である。この場合、復元者は不正ができないこととなる。

【0242】

ただし、サーバＳ_ｉがδ_０,ｉ,δ_２,ｉを公開する場合、例えば入力者Ａが攻撃者で、分散処理においてハッシュ値を公開したａ_１と異なるａ′_１を用いてａ＋ａ′_１を入力し、ａ_１を公開しているとすれば、Ｓ３７０における検証結果は不正となるが、Ｓ３６２においてδ_０（ａｂ＋ｃ）／δ_０は復元されているので、攻撃者のみ演算結果が正しいことを知ることができる。よって、Ｓ３６０、Ｓ３６２を以下Ｓ３６０′～Ｓ３６４′のように変形し、Ｓ３７０の結果が正しい場合に以下Ｓ３７１′を追加して処理するようにすれば、δ_０（ａｂ＋ｃ）は秘匿されたままａ_１ｂ_１＋ｃ_１が計算されるので、攻撃者のみ演算結果を知ることを防止できる。また、下記Ｓ３６０′～Ｓ３６４′における秘匿計算を秘匿積和演算の一環と考えれば、下記Ｓ３６０′～Ｓ３６４′における処理も検証されるため不正を行えば検証される。また、Ｓ３７４を復元装置３１４ではなく、サーバＳ_ｉがδ_０,ｉ,［μ_７］_ｉ,［μ_８］_ｉを公開すれば、公開の処理とできる。この対策は以降の実施形態においても適用できる。

【0243】

Ｓ３６０′では、サーバＳ_ｉは、（１／δ_０,ｉμ_７,ｉ）,（１／δ_２,ｉμ_８,ｉ）を復元装置３１４に送信する。

【0244】

Ｓ３６２′では、復元装置３１４は、受信したその積（１／δ_０μ_７）,（１／δ_２μ_８）を公開して、各サーバが計算した以下を収集する。

【0245】

【0246】

Ｓ３６４′では、復元装置３１４は、収集した上記の計算結果を復元してその結果を公開する。

【0247】

Ｓ３７１′では、復元装置３１４は、Ｓ３７０の結果が正しいとき、δ_０,ｉ,［μ_７］_ｉ,［μ_８］_ｉを収集してＳ３６４′の結果を検算し、計算したδ_０（ａｂ＋ｃ）／δ_０をａｂ＋ｃとする。検算結果が一致しない場合、［ａ_１ｂ_１＋ｃ_１］_ｉが一致しないサーバを不正とする。

【0248】

ただし、入力者が攻撃者の場合、以下のようにすれば不正検出されずに、偽の答えを復元者に得させることができる。例えば、ユーザＣはｃ,ｃ_１を知っており、ａ,ｂと独立であるので、ｃに関連する部分のみ正しくない処理をしてもｃ_１と一致させることが可能である。この対策は次の実施形態で示される。

【0249】

よって、本実施形態は入力者が不正をしない場合、すなわち攻撃者がｋ－１台までのサーバまたは入力を知らない外部攻撃者の場合に対して有効である。

【0250】

また、復元装置３１４は、第１排除部から得られる値から第１の秘密情報同士の演算結果を得る演算結果を得る復元部を含む秘匿演算装置として機能する。復元装置３１４は、上記、本実施形態の各処理シーケンスを経て、復元プロセス３４８ｃの実行によって、Ｓ３７２から得られる値を取得し、第１の秘密情報同士の演算結果（ａｂ＋ｃ）を得る。

【0251】

以上説明したように、本発明の第３実施形態の手法を用いて秘匿積和演算を検証することにより、秘匿積和演算の不正を検出することができる。

【0252】

［第４実施形態］
第４実施形態は、第３実施形態では入力を知るユーザの不正は防げなかった点に着目し、本実施形態ではユーザの結託を含む不正を防止することができる手法を示す。

【0253】

第４実施形態の構成は上記図５の第２実施形態と同様の構成をとることができ、秘密分散システム４１０において、入力装置２１２を入力装置４１２に、サーバ２１６をサーバ４１６に置き換えた構成とすればよい。なお、サーバ４１６が分散装置の一例であり、秘密分散システム４１０が分散システムの一例である。

【0254】

秘密分散システム４１０において、不正の防止のためには、ａ_１,ｂ_１,ｃ_１を入力装置４１２だけで生成しないようにする。これによって、例えば、入力装置４１２Ｃを操作するユーザＣはｃ_１を知らないため、Ｃに関する部分を不正にｃ_１に一致させられなくなる。また、本実施の形態は第３の実施の形態と同様に秘密情報に０は含まないが、第１の実施の形態に示す変換用乱数組（［ε_ｈ］_ｉ，ε_ｈ,ｉ）（ｈ＝１,…,１２）が事前に配布されているものとする。

【0255】

次に、図１６を参照して、本実施形態に係るサーバ４１６のハードウェア構成を説明する。なお、入力装置４１２については第２実施形態と同様のハードウェア構成をとることができるため、詳細な説明を省略する。

【0256】

図１６に示すように、サーバ４１６は、ＣＰＵ４３０、一時記憶領域としてのメモリ４３１、不揮発性の記憶部４３２を含む。また、サーバ４１６は、表示装置４３３、入力Ｉ／Ｆ４３４、及びネットワークＮに接続されるネットワークＩ／Ｆ４３５を含む。ＣＰＵ４３０、メモリ４３１、記憶部４３２、表示装置４３３、入力Ｉ／Ｆ４３４、及びネットワークＩ／Ｆ４３５は、バス４３６に接続される。

【0257】

記憶部４３２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部４３２には、秘匿積和演算プログラム２３８、及び第４生成プログラム４４０が記憶される。ＣＰＵ４３０は、記憶部４３２から第４生成プログラムを読み出してからメモリ４３１に展開し、展開した第４生成プログラム４４０を実行する。ＣＰＵ４３０が第４生成プログラム４４０を実行することで、開示の技術の第４生成部として動作する。

【0258】

次に、図１７を参照して、本実施形態に係る秘密分散システム４１０の作用を説明する。第４実施形態は分散の処理シーケンスが、第３実施形態と異なるため、分散の処理シーケンスについてのみ説明する。図１７は、秘密分散システム４１０における分散の処理シーケンスを説明したものである。

【0259】

＜分散４＞
Ｓ４１０で、入力装置４１２Ａは、ｋ個の乱数α_０,０,…,α_{０,ｋ－１}生成し、乱数α_０＝Π_ｊ＝０ ^ｋ－１α_０,ｊを計算する。

【0260】

Ｓ４１２で、入力装置４１２Ａは、ｋ個の乱数の組（α_１ａ,０,…,α_{１ａ,ｋ－１}）,（β_１ａ,０,…,β_{１ａ,ｋ－１}）,（γ_１ａ,０,…,γ_{１ａ,ｋ－１}）を生成し、乱数α_１ａ＝Π_ｊ＝０ ^ｋ－１α_１ａ,ｊ,β_１ａ＝Π_ｊ＝０ ^ｋ－１β_１ｂ,ｊ,γ_１ａ＝Π_ｊ＝０ ^ｋ－１γ_１ａ,ｊを計算する。

【0261】

Ｓ４１４で、入力装置４１２Ａは、秘密情報ａに対してα_０ａ＝α_０×ａを計算して公開する。

【0262】

Ｓ４１６で、入力装置４１２Ａは、（α_１ａ,ｉ,β_１ａ,ｉ,γ_１ａ,ｉ,α_０,ｉ）をサーバＳ_ｉに送信する。

【0263】

Ｓ４１８で、入力装置４１２Ａは、乱数ａ_１ａ,ｂ_１ａ,ｃ_１ａを生成する。

【0264】

Ｓ４２０で、入力装置４１２Ａは、Ｓ４１８で生成した乱数を用いて、以下を計算してα_１ａａ_１ａ,β_１ａｂ_１ａ,γ_１ａｃ_１ａを公開する。また、入力装置４１２Ａは、乱数ａ_１ａ,ｂ_１ａ,ｃ_１ａを保持し、そのハッシュ値ｈ_ａ１,ａ,ｈ_ｂ１,ａ,ｈ_ｃ１,ａを公開する。

【0265】

【0266】

Ｓ４２２で、入力装置４１２Ｂは、ｋ個の乱数β_０,０,…,β_{０,ｋ－１}を生成し、乱数β_０＝Π_ｊ＝０ ^ｋ－１β_０,ｊを計算する。

【0267】

Ｓ４２４で、入力装置４１２Ｂは、ｋ個の乱数の組（α_１ｂ,０,…,α_{１ｂ,ｋ－１}）,（β_１ｂ,０,…,β_{１ｂ,ｋ－１}）,（γ_１ｂ,０,…,γ_{１ｂ,ｋ－１}）を生成し、乱数α_１ｂ＝Π_ｊ＝０ ^ｋ－１α_１ｂ,ｊ,β_１ｂ＝Π_ｊ＝０ ^ｋ－１β_１ｂ,ｊ,γ_１ｂ＝Π_ｊ＝０ ^ｋ－１γ_１ｂ,ｊを計算する。

【0268】

Ｓ４２６で、入力装置４１２Ｂは、秘密情報ｂに対してβ_０ｂ＝β_０×ｂを計算して公開する。

【0269】

Ｓ４２８で、入力装置４１２Ｂは、（α_１ｂ,ｉ,β_１ｂ,ｉ,γ_１ｂ,ｉ,β_０,ｉ）をサーバＳ_ｉに送信する。

【0270】

Ｓ４３０で、入力装置４１２Ｂは、ユーザＢは乱数ａ_１ｂ,ｂ_１ｂ,ｃ_１ｂを生成する。

【0271】

Ｓ４３２で、入力装置４１２Ｂは、Ｓ４３０で生成した乱数を用いて、以下を計算してα_１ｂａ_１ｂ,β_１ｂｂ_１ｂ,γ_１ｂｃ_１ｂを公開する。また、ユーザＢは乱数ａ_１ｂ,ｂ_１ｂ,ｃ_１ｂを保持し、そのハッシュ値ｈ_ａ１,ｂ,ｈ_ｂ１,ｂ,ｈ_ｃ１,ｂを公開する。

【0272】

【0273】

Ｓ４３４で、入力装置４１２Ｃは、ｋ個の乱数γ_０,０,…,γ_{０,ｋ－１}を生成し、乱数γ_０＝Π_ｊ＝０ ^ｋ－１γ_０,ｊを計算する。

【0274】

Ｓ４３６で、入力装置４１２Ｃは、ｋ個の乱数の組（α_１ｃ,０,…,α_{１ｃ,ｋ－１}）,（β_１ｃ,０,…,β_{１ｃ,ｋ－１}）,（γ_１ｃ,０,…,γ_{１ｃ,ｋ－１}）を生成し、乱数α_１ｃ＝Π_ｊ＝０ ^ｋ－１α_１ｃ,ｊ,β_１ｃ＝Π_ｊ＝０ ^ｋ－１２β_１ｃ,ｊ,γ_１ｃ＝Π_ｊ＝０ ^ｋ－１γ_１ｃ,ｊを計算する。

【0275】

Ｓ４３８で、入力装置４１２Ｃは、ユーザＣは秘密情報ｃに対してγ_０ｃ＝γ_０×ｃを計算して公開する。

【0276】

Ｓ４４０で、入力装置４１２Ｃは、（α_１ｃ,ｉ,β_１ｃ,ｉ,γ_１ｃ,ｉ,γ_０,ｉ）をサーバＳ_ｉに送信する。

【0277】

Ｓ４４２で、入力装置４１２Ｃは、乱数ａ_１ｃ,ｂ_１ｃ,ｃ_１ｃを生成する。

【0278】

Ｓ４４４で、入力装置４１２Ｃは、Ｓ４４２で生成した乱数を用いて、以下を計算してα_１ｃａ_１ｃ,β_１ｃｂ_１ｃ,γ_１ｃｃ_１ｃ公開する。また、ユーザＣは乱数ａ_１ｃ,ｂ_１ｃ,ｃ_１ｃを保持し、そのハッシュ値ｈ_ａ１,ｃ,ｈ_ｂ１,ｃ,ｈ_ｃ１,ｃを公開する。

【0279】

【0280】

以上が入力装置４１２Ａ～Ｃでの処理である。以下からはサーバＳ_ｉでの処理である。

【0281】

Ｓ４４６で、サーバＳ_ｉは、乱数α_１,ｉ,β_１,ｉ,γ_１,ｉを生成する。

【0282】

Ｓ４４８で、サーバＳ_ｉは、Ｓ４４６で生成した乱数を用いて、以下を計算し、計算結果を公開する。ただし、０となる値が公開された場合、公開したサーバは不正処理があるとして処理を中断する。

【0283】

【0284】

Ｓ４５０で、サーバＳ_ｉは、ｉに関する乗算により、以下を計算する。

【0285】

【0286】

Ｓ４５２で、サーバＳ_ｉは、変換用乱数組［ε_１］_ｉ～［ε_９］_ｉを用いて以下を計算し、計算結果を公開する。

【0287】

【0288】

なお、Ｓ４５０は、サーバＳ_ｉにおける、第４生成プログラム４４０に対応する。サーバＳ_ｉのＣＰＵ４３０が、第４生成プログラム４４０を実行することで、開示の技術における第４生成部の処理を行う。例えば計算の過程で、乱数ａ_１を、ａ_１ａ,ａ_１ｂ,ａ_１ｃを用いて生成する。ａ_１ａ,ａ_１ｂ,ａ_１ｃが、第１の秘密情報の生成者以外が生成した乱数の一例である。

【0289】

Ｓ４５４で、サーバＳ_ｉは、α_１ａ_１,β_１ｂ_１,γ_１ｃ_１を復元する。

【0290】

Ｓ４５６で、サーバＳ_ｉは、乱数α_２,ｉ,β_２,ｉ,γ_２,ｉを生成する。

【0291】

Ｓ４５８で、サーバＳ_ｉは、Ｓ４５６で生成した乱数を用いて、以下を計算し、計算結果を公開する。ただし、０となる値が公開された場合、公開したサーバは不正処理があるとして処理を中断する。

【0292】

【0293】

Ｓ４６０で、サーバＳ_ｉは、ｉに関する乗算により、以下を計算する。

【0294】

【0295】

Ｓ４６２で、サーバＳ_ｉは、以下を計算し、計算結果を公開する。

【0296】

【0297】

Ｓ４６４で、サーバＳ_ｉは、α_２（ａ＋ａ_１）,β_２（ｂ＋ｂ_１）,γ_２（ｃ＋ｃ_１）を復元する。

【0298】

以上の分散の処理シーケンスにより、サーバＳ_ｉは、は変換用乱数組の他に以下を持つことになる。なお、入力装置４１２Ａ、入力装置４１２Ｂ、及び入力装置４１２Ｃはそれぞれａ_１ｈ,ｂ_１ｈ,ｃ_１ｈ（ｈ＝ａ,ｂ,ｃ）を秘密分散してもよい。

【0299】

【0300】

以上が本実施形態の分散の処理シーケンスである。

【0301】

本実施の形態に対する秘匿積和演算は第３実施形態と同様であり、検証も第３実施形態と基本的には同じである。ただし、ａ_１,ａ,ａ_１,ｂ,ａ_１,ｃ,ｂ_１,ａ,ｂ_１,ｂ,ｂ_１,ｃ,ｃ_１,ａ,ｃ_１,ｂ,ｃ_１,ｃをハッシュ値で検証し、ａ_１,ｂ_１,ｃ_１をａ_１＝ａ_１,ａ＋ａ_１,ｂ＋ａ_１,ｃ,ｂ_１＝ｂ_１,ａ＋ｂ_１,ｂ＋ｂ_１,ｃ,ｃ_１＝ｃ_１,ａ＋ｃ_１,ｂ＋ｃ_１,ｃによって計算することだけが異なる。また、演算が繰り返された場合、全てのａ_１ｈ,ｂ_１ｈ,ｃ_１ｈ（ｈ＝ａ,ｂ,ｃ）を集めて乱数による演算部分の正当性を検証する。

【0302】

安全性に関しては、入力者が攻撃者ではない場合、すなわち攻撃者がｋ－１台までのサーバまたは外部攻撃者である場合は第３の実施の形態と同様に安全であることが言える。それに加えて、本実施形態ではａ_１,ｂ_１,ｃ_１を入力装置４１２Ａを操作するユーザＡ、入力装置４１２Ｂを操作するユーザＢ、及び入力装置４１２Ｃを操作するユーザＣの全員で生成するため、入力者が攻撃者となっても安全であることが以下のように言える。

【0303】

例えば、ユーザＣが攻撃者である場合、ユーザＣはｃを知るが、ｃ１を知らない。これはｃ１はユーザＡ,Ｂ,Ｃによって作られるためである。よって、ユーザＣはＣに関する部分を不正に操作しても、ｃ１を知らないため最終結果を０にできない。また、ユーザＣはｑ４－ｑ６を操作できるが、ｃ１を知らないため、他の値を調整できない。これはユーザ２者の結託に関しても言うことができ、（ｃ１－ａ１ｂ１）′－（ｃ１－ａ１ｂ１）＝０であれば不正が行われていないことが言える。

【0304】

ただし、ａ,ｂ,ｃの値を知る全員が結託すれば、（ｃ１－ａ１ｂ１）′－（ｃ１－ａ１ｂ１）＝０としながら、異なる値を秘密情報による計算結果とすることができる。１回の秘匿積和演算において全員が結託することは想定しないが、秘匿積和演算を繰り返す場合、１つの積和演算を実行する全入力者が結託すれば、上記差分値を０にしたまま、不正な値を計算結果とすることができる。よって、秘匿積和演算を繰り返す場合、１回の積和演算を構成する入力者は全員結託することはないという前提を置く。また、秘匿積和演算を繰り返し、１つの積和演算に関する入力者全員の結託が考えられる場合、乱数ａ_１,ｂ_１,ｃ_１も漏洩する。よって、演算参加者が乱数ａ_１,ｂ_１,ｃ_１を知らないようにするため、各サーバが予め保有する変換用乱数組を用いる。このようにすると、分散４は以下のように非常に簡単にできる。

【0305】

［第４実施形態の変形例］
以下に、第４実施形態の変形例として、変換用乱数組（［λ］_ｊ,λ_ｉ）,（［ε］_ｊ,ε_ｉ）,（［μ］_ｊ,μ_ｉ）を用いる例を示す。以下におけるａ_１等はα_１,ｉの乗算によって構成され、ａ_１等の値は誰も知らないので安全である。以下の［α_２（ａ＋ａ_１）］_ｉなどの生成において、ａ＝０の場合でも利用できる手法も示す。

【0306】

図１８は、変形例における分散の処理シーケンスを説明したものである。図１８のシーケンスにおいて、以下のＳ４７０～Ｓ４９０の処理が行われる。なお、図１８において各処理は簡略化して記載するものとする。

【0307】

＜分散４′＞
Ｓ４７０で、入力装置４１２Ａは、乱数α_２,ｊ（ｊ＝０,…,ｋ－１）を生成して乱数α_２＝Π_ｊ＝０ ^ｋ－１α_２,ｊを計算し、秘密情報ａに対してα_２ａ＝α_２×ａを計算して秘密分散する。

【0308】

Ｓ４７２で、入力装置４１２Ａは、α_２,ｊ,［α_２ａ］_ｊをサーバＳ_ｊに送信する。

【0309】

Ｓ４７４で、入力装置４１２Ｂは、乱数β_２,ｊ（ｊ＝０,…,ｋ－１）を生成して乱数β_２＝Π_ｊ＝０ ^ｋ－１β_２,ｊを計算し、秘密情報ｂに対してβ_２ｂ＝β_２×ｂを計算して秘密分散する。

【0310】

Ｓ４７６で、入力装置４１２Ｂは、β_２,ｊ,［β_２ｂ］_ｊをサーバＳ_ｊに送信する。

【0311】

Ｓ４７８で、入力装置４１２Ｃは、乱数γ_２,ｊ（ｊ＝０,…,ｋ－１）生成して乱数γ_２＝Π_ｊ＝０ ^ｋ－１γ_２,ｊを計算し、秘密情報ｃに対してγ_２ｃ＝γ_２×ｃを計算して秘密分散する。

【0312】

Ｓ４８０で、入力装置４１２Ｃは、γ_２,ｊ,［γ_２ｃ］_ｊをサーバＳ_ｊに送る。

【0313】

Ｓ４８２で、サーバＳ_ｉは乱数ａ_１,ｉ,ｂ_１,ｉ,ｃ_１,ｉを定め、λ_ｉ＝α_１,ｉａ_１,ｉ,ε_ｉ＝β_１,ｉｂ_１,ｉ,μ_ｉ＝γ_１,ｉｃ_１,ｉと分解する。サーバＳ_ｉはａ_１,ｉ,ｂ_１,ｉ,ｃ_１,ｉのハッシュ値を公開する。

【0314】

Ｓ４８４で、サーバＳ_ｉは、［λ］_ｉ,［ε］_ｉ,［μ］_ｉを公開してλ＝α_１ａ_１,ε＝β_１ｂ_１,μ＝γ_１ｃ_１を復元する。ただし、α_１＝Π_ｉ＝０ ^ｋ－１α_１,ｉ,ａ_１＝Π_ｉ＝０ ^ｋ－１ａ_１,ｉ,β_１＝Π_ｉ＝０ ^ｋ－１β_１,ｉ,ｂ_１＝Π_ｉ＝０ ^ｋ－１ｂ_１,ｉ,γ_１＝Π_ｉ＝０ ^ｋ－１γ_１,ｉ,ｃ_１＝Π_ｉ＝０ ^ｋ－１ｃ_１,ｉとする。

【0315】

Ｓ４８６で、サーバＳ_ｉは、乱数α_２,ｉ,β_２,ｉ,γ_２,ｉを生成し、以下を計算して公開する。

【0316】

【0317】

Ｓ４８８で、サーバＳ_ｉは、以下を計算する。

【0318】

【0319】

Ｓ４９０で、サーバＳ_ｉは、以下を計算して復元し、α_２（ａ＋ａ_１）,β_２（ｂ＋ｂ_１）,α_２（ａ＋ａ_１）を公開する。

【0320】

【0321】

以上説明したように、本発明の第４実施形態の手法を用いて秘密情報を分散することにより、秘密情報に０を含んでいても、ユーザの結託を含む不正を防止することができる。

【0322】

［第５実施形態］
第５実施形態は、秘密情報に０を含む場合の演算結果の検証法を示すものである。

【0323】

まず第５実施形態の手法の前提について説明する。第３、第４実施形態では秘密情報に乱数をかけたα_０ａを公開するため、秘密情報が０、例えばａ＝０の場合α_０ａ＝０となり、秘密情報が漏洩する。それに対して、第２実施形態では秘密情報に乱数をかけた値を生成しないため、秘密情報が０であっても漏洩しない。よって、その原理を生かして秘密情報に０を含む場合の検証を行う。

【0324】

また、本実施形態の分散では簡単のため、第３実施形態の分散と同様にユーザからの攻撃がない場合を考える。ユーザからの攻撃に対しても安全性を確保したい場合、下記におけるａ_１などの乱数を、第４実施形態の変形例のように入力者が直接生成せず、変換用乱数組を用いて生成すれば良い。この場合、入力装置側では生成されるα_２（ａ＋ａ_１）のα_２もａ_１も知ることができず、不正防止が可能となる。また、ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２についても同様である。また、本実施形態の秘匿積和演算では、サーバＳ_ｉは変換用乱数組として（［μ_ｈ］_ｉ,μ_ｈ,ｉ）（ｈ＝１,…,必要個数）を持つものとする。

【0325】

第５実施形態の構成は上記図１１の第３実施形態と同様の構成をとることができ、秘密分散システム５１０において、入力装置３１２を入力装置５１２に、復元装置３１４を復元装置５１４に、サーバ３１６をサーバ５１６に置き換えた構成とすればよい。なお、復元装置５１４が、第２排除部と、第２判定部とを含む検証復元装置の一例である。

【0326】

次に、図１９を参照して、本実施形態に係る復元装置５１４のハードウェア構成を説明する。

【0327】

図１９に示すように、復元装置５１４は、ＣＰＵ５４０、一時記憶領域としてのメモリ５４１、不揮発性の記憶部５４２を含む。また、復元装置５１４は、表示装置５４３、入力Ｉ／Ｆ５４４、及びネットワークＮに接続されるネットワークＩ／Ｆ５４５を含む。ＣＰＵ５４０、メモリ５４１、記憶部５４２、表示装置５４３、入力Ｉ／Ｆ５４４、及びネットワークＩ／Ｆ５４５は、バス５４６に接続される。

【0328】

記憶部５４２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部５４２には、復号プログラム５４８が記憶される。復号プログラム５４８は、第２排除プロセス５４８ａと、第２判定プロセス５４８ｂと、復元プロセス５４８ｃとを含む。ＣＰＵ５４０は、記憶部５４２から復号プログラム５４８を読み出してからメモリ５４１に展開し、展開した復号プログラム５４８を実行する。ＣＰＵ５４０が復号プログラム５４８の第２排除プロセス５４８ａを実行することで、開示の技術の第２排除部として動作する。ＣＰＵ５４０が復号プログラム５４８の第２判定プロセス５４８ｂを実行することで、開示の技術の第２判定部として動作する。ＣＰＵ５４０が復号プログラム５４８の復元プロセス５４８ｃを実行することで、開示の技術の復元部として動作する。

【0329】

なお、他の各装置のハードウェア構成は第３実施形態と同様のハードウェア構成をとることができるため、詳細な説明を省略する。

【0330】

次に、図２０～２３を参照して、本実施形態に係る秘密分散システム５１０の作用を説明する。

【0331】

＜分散５＞
まず、秘密情報を各サーバに分散する処理について説明する。図２０は、秘密分散システム５１０における分散の処理シーケンスを説明したものである。分散の処理シーケンスでは、入力装置５１２Ａ～Ｃが持つ秘密情報をサーバ５１６に分散する。以下において、サーバ５１６は、分散の処理シーケンスの各処理に応じてｎ台の全てのサーバである全サーバＳ、及びサーバＳ_ｉのいずれかが対象であるものとして説明する。

【0332】

Ｓ５１０で、入力装置５１２Ａは、乱数α_ｉ,０,…,α_{ｉ,ｋ－１}（ｉ＝１,..,４）を生成する。

【0333】

Ｓ５１２で、入力装置５１２Ａは、乱数α_ｉ＝Π_ｊ＝０ ^ｋ－１α_ｉ,ｊを計算する。

【0334】

Ｓ５１４で、入力装置５１２Ａは、乱数ａ_１,ａ_２を生成し、秘密情報ａに対して以下を計算して計算結果を公開する。また、入力装置５１２Ａは、ａ_１,ａ_２に対するハッシュ値ｈ_ａ１,ｈ_ａ２を公開する。

【0335】

【0336】

Ｓ５１６で、入力装置５１２Ａは、α_０,ｊ,..,α_４,ｊをサーバＳ_ｉに送信する。

【0337】

Ｓ５１８で、入力装置５１２Ｂは、乱数β_ｉ,０,…,β_{ｉ,ｋ－１}（ｉ＝１,..,４）を生成する。

【0338】

Ｓ５２０で、入力装置５１２Ｂは、乱数β_ｉ＝Π_ｊ＝０ ^ｋ－１β_ｉ，ｊを計算する。

【0339】

Ｓ５２２で、入力装置５１２Ｂは、乱数ｂ_１,ｂ_２を生成し、秘密情報ｂに対して以下を計算して計算結果を公開する。また、入力装置５１２Ｂは、ｂ_１,ｂ_２に対するハッシュ値ｈ_ｂ１,ｈ_ｂ２を公開する。

【0340】

【0341】

Ｓ５２４で、入力装置５１２Ｂは、β_０,ｊ,..,β_４,ｊをサーバＳ_ｉに送信する。

【0342】

Ｓ５２６で、入力装置５１２Ｃは、乱数γ_ｉ,０,…,γ_{ｉ,ｋ－１}（ｉ＝１,..,４）を生成する。

【0343】

Ｓ５２８で、入力装置５１２Ｃは、乱数γ_ｉ＝Π_ｊ＝０ ^ｋ－１γ_ｉ，ｊを計算する。

【0344】

Ｓ５３０で、入力装置５１２Ｃは、乱数ｃ_１,ｃ_２を生成し、秘密情報ｃに対して以下を計算して計算結果を公開する。また、入力装置５１２Ｃは、ｃ_１,ｃ_２に対するハッシュ値ｈ_ｃ１,ｈ_ｃ２を公開する。

【0345】

【0346】

Ｓ５３２で、入力装置５１２Ｃは、γ_０,ｊ,..,γ_４,ｊをサーバＳ_ｉに送信する。

【0347】

以上の分散の処理シーケンスにより、サーバＳ_ｉは、以下を持つことになる。

【0348】

【0349】

なお、入力装置５１２Ａ、入力装置５１２Ｂ、及び入力装置５１２Ｃは、ａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２を秘密分散してもよい。

【0350】

＜秘匿積和演算５＞
次に秘匿積和演算する処理について説明する。図２１は、秘密分散システム５１０における、秘匿積和演算の処理シーケンスを説明したものである。図２１では、説明の便宜のため、サーバ５１６のうち、サーバＳ_ｉまたは全サーバＳおいて秘匿積和演算の処理シーケンスが行われるものとして説明する。

【0351】

Ｓ５４０で、サーバＳ_ｉは、乱数δ_１,ｉ,δ_２,ｉ,δ_３,ｉ,δ_４,ｉを生成する。

【0352】

Ｓ５４２で、サーバＳ_ｉは、生成した乱数δ_１,ｉ,δ_２,ｉ,δ_３,ｉ,δ_４,ｉを用いて、以下を計算して計算結果を公開する。ただし、０となる値が公開された場合、公開したサーバは不正処理があるとして処理を中断する。

【0353】

【0354】

Ｓ５４４で、全サーバは、以下を計算する。

【0355】

【0356】

Ｓ５４６で、サーバＳ_ｉは、以下を計算して復元し、復元したδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１），δ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝,δ_３（ｃ_２－ａ_２ｂ_２）を公開する。

【0357】

【0358】

Ｓ５４８は、演算を継続する場合の処理である。Ｓ５４８で、サーバＳ_ｉは、δ_１（ｃ_１－ａ_１ｂ_１）,δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_３（ｃ_２－ａ_２ｂ_２）,δ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝が０でなければ、新たなα_１ａ_１,α_２（ａ＋ａ_１）,α_３ａ_２,α_４（ａ＋ａ_２）に設定し、δ_１,ｉ,δ_２,ｉ,δ_３,ｉ,δ_４,ｉを新たなα_１,ｉ,α_２,ｉ,α_３,ｉ,α_４,ｉに設定してＳ５４０に戻る。

【0359】

＜補正処理５＞
次に、Ｓ５４６の計算結果が０であった場合の補正処理について説明する。上述した図２１の秘匿積和演算の処理シーケンスにおいて、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_１（ｃ_１－ａ_１ｂ_１）の少なくとも１つが０の場合、以下の補正処理を行う。図２２は、秘密分散システム５１０における補正処理の処理シーケンスを説明したものである。補正処理の処理シーケンスは、サーバＳ_ｉで行われるものとして説明する。また、δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝＝０の場合を第１のケース、δ_１（ｃ_１－ａ_１ｂ_１）＝０の場合を第２のケースとして、第１のケース及び第２のケースのいずれか少なくとも一つに当てはまる場合の計算例を説明する。

【0360】

Ｓ５６０で、サーバＳ_ｉは、新たな乱数τ_０,ｉとｗ_ｉを生成し、公開する。

【0361】

Ｓ５６２で、サーバＳ_ｉは、τ_０ｗ＝Πτ_０,ｉｗ_ｉを計算する。また、サーバＳ_ｉは、ｗ_ｉのハッシュ値を公開する。

【0362】

Ｓ５６４で、サーバＳ_ｉは、乱数τ_１,i,τ_２,iを生成して、生成した乱数を用いて以下を計算する。第１のケースの場合、

を計算する。第２のケースの場合、

を計算する。

【0363】

Ｓ５６６で、サーバＳ_ｉは、Ｓ５６４の計算結果を公開する。ただし、０となる値が公開された場合、公開したサーバは不正処理があるとして処理を中断する。

【0364】

Ｓ５６８で、サーバＳ_ｉは公開された計算結果を用いて、ｉについて乗算し以下を計算する。第１のケースの場合、

。
第２のケースの場合、

。

【0365】

Ｓ５７０で、サーバＳ_ｉは、以下の計算を行い、新たな値の設定を行う。第１のケースの場合、

と考えて、τ_０ｗを新たなτ_２｛（ａｂ＋ｃ）＋（ｃ′_１－ａ_１ｂ_１）｝とする。また、サーバＳ_ｉは以下を計算して復元し公開し、それらを新たなα_１ａ_１,α_２（ａ＋ａ_１）とし、τ_１,ｉ,τ_２,ｉ＝τ_０,ｉを新たなα_１,ｉ,α_２,ｉとして上記図２１の秘匿積和演算の処理シーケンスのＳ５４０に戻る。

【0366】

【0367】

第２のケースの場合、

と考えて、τ_０ｗを新たなτ_１（ｃ´_１－ａ_１ｂ_１）とする。また、サーバＳ_ｉは以下を計算して復元し公開し、それらを新たなα_１ａ_１,α_２（ａ＋ａ_１）とし、τ_１,ｉ＝τ_０,ｉ,τ_２,ｉを新たなα_１,ｉ,α_２,ｉとして上記図２１の秘匿積和演算の処理シーケンスのＳ５４０に戻る。ただし、ｃ´_１＝ｃ_１＋ｗとする。

【0368】

【0369】

以上が補正処理の処理シーケンスである。なお、δ_３（ｃ_２－ａ_２ｂ_２）,δ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝が０の場合も同様である。

【0370】

＜検証・復元５＞
次に、検証処理について説明する。図２３は、秘密分散システム５１０における検証の処理シーケンスを説明したものである。検証の処理シーケンスにおいて、入力装置５１２Ａ、入力装置５１２Ｂ、及び入力装置５１２Ｃは、ａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２を公開しているものとする。また、補正処理を行っている場合、ｗ_ｉを生成したサーバはその値とハッシュ値を公開する。以降、ｗ_ｉについてはｃ´_１＝ｃ_１＋ｗよりｃ´_１に含まれるが、簡単のためｃ´_１もｃ_１として表現する。

【0371】

Ｓ５８０で、復元装置５１４は、サーバＳ_ｉからδ_２,ｉ,δ_４,ｉを収集する。

【0372】

Ｓ５８２で、復元装置５１４は、収集したδ_２,ｉ,δ_４,ｉの積δ_２,δ_４を計算し、積δ_２,δ_４を用いて以下を計算して公開する。

【0373】

【0374】

なお、Ｓ５８２は、復元装置５１４における、復号プログラム５４８の第２排除プロセス５４８ａに対応する。復元装置５１４のＣＰＵ５４０が、第２排除プロセス５４８ａを実行することで、開示の技術における第２排除部の処理を行う。上記の計算が、複数の第３の値δ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝,δ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝から各々の第４の乱数δ_２,δ_４に相当する値を排除することに対応する。

【0375】

Ｓ５８４で、復元装置５１４は、入力装置５１２Ａ、入力装置５１２Ｂ、及び入力装置５１２Ｃが公開しているａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２及びそのハッシュ値を収集する。

【0376】

Ｓ５８６で、復元装置５１４は、公開されているａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２と、そのハッシュ値が一致するかを検証し、ハッシュ値が正しければＳ５８８へ移行し、正しくなければＳ５９４へ移行して不正検出とする。なお、途中演算結果が０になっている場合、復元装置５１４は新たに定めたｗ_ｉを集めて公開し、そのハッシュ値を検証する。

【0377】

Ｓ５８８で、復元装置５１４は、公開されているａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２を用いて（ｃ_１－ａ_１ｂ_１）－（ｃ_２－ａ_２ｂ_２）を計算する。なお、途中演算結果が０になり補正した場合、ｃ_１,ｃ_２はｃ´_１,ｃ´_２となる。

【0378】

Ｓ５９０で、復元装置５１４は、公開されているａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２から計算された（ｃ_１－ａ_１ｂ_１）－（ｃ_２－ａ_２ｂ_２）と、Ｓ５８２で復元値（つまり積δ_２,δ_４）から計算された（ｃ_１－ａ_１ｂ_１）－（ｃ_２－ａ_２ｂ_２）が等しいか検証し、計算結果が正しければＳ５９０へ移行し、正しくなければＳ５９４へ移行して不正検出とする。

【0379】

なお、Ｓ５９０は、復元装置５１４における、復号プログラム５４８の第２判定プロセス５４８ｂに対応する。復元装置５１４のＣＰＵ５４０が、第２判定プロセス５４８ｂを実行することで、開示の技術における第２判定部の処理を行う。また、δ_１（ｃ_１－ａ_１ｂ_１）＝０で補正した場合におけるｃ´_１＝ｃ_１＋ｗが第６の乱数に対応する。Ｓ５８２の計算結果である（ｃ_１－ａ_１ｂ_１）－（ｃ_２－ａ_２ｂ_２）が第１の乱数同士の演算結果に対応する。上述したようにここでのｃ_１,ｃ_２はｃ´_１,ｃ´_２となる。

【0380】

Ｓ５９２で、復元装置５１４は、検証結果が正しい場合、Ｓ５８２で用いられたδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝／δ_２から公開値による（ｃ_１－ａ_１ｂ_１）を差し引いた値をａｂ＋ｃとする。

【0381】

Ｓ５９４で、検証結果が不正検出であるものとする。

【0382】

以上が、検証の処理シーケンスである。なお、ａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２が秘密分散されている場合、Ｓ５８６に対応する処理として、各サーバでａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２の分散値を公開して、復元装置５１４でａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２を復元してもよい。

【0383】

また、演算が繰り返されている場合、Ｓ５８２において乱数による最終的な演算結果を計算し、Ｓ５８４で全乱数を収集して、その乱数を用いて同様の演算を構成し、Ｓ５８２で計算した結果とＳ５８８で計算した結果が一致するかを検証する。

【0384】

また、上記においてδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝とδ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝は簡単のため同形式のものを用いたが、どちらも（ａｂ＋ｃ）を含んでいれば、異なる形式の演算であっても、その差分が乱数のみになれば問題ない。

【0385】

また、第２実施形態と同様の変形を行えば、秘匿減算及び秘匿除算も実現できる。また、本実施の形態の安全性は第３実施形態と同様に秘密情報及び乱数を知らない攻撃者に対しては安全であることが言える。ただし、これも第３実施形態と同様に例えばユーザＣはｃ,ｃ_１,ｃ_２を知るのでその間の関係を調整することによって不正ができる。よって、乱数ａ_１,ｂ_１,ｃ_１,ａ_２,ｂ_２,ｃ_２は入力装置の入力者が生成せず、第４実施形態に示したように分散４または分散４’のようにして生成すればよい。

【0386】

また、補正処理５においてδ_２｛（ａｂ＋ｃ）＋（ｃ_１－ａ_１ｂ_１）｝やδ_４｛（ａｂ＋ｃ）＋（ｃ_２－ａ_２ｂ_２）｝が補正されたとしても安全であることが言える。

【0387】

以上により、問題点１～３の全てを解決できる。

【0388】

また、復元装置５１４は、第２排除部から得られる値から第１の秘密情報同士の演算結果を得る演算結果を得る復元部を含む秘匿演算装置として機能する。復元装置５１４は、上記、本実施形態の各処理シーケンスを経て、復元プロセス５４８ｃの実行によって、Ｓ５９２から得られる値を取得し、第１の秘密情報同士の演算結果（ａｂ＋ｃ）を得る。

【0389】

以上説明したように、本発明の第５実施形態の手法を用いて秘密情報を分散することにより、秘密情報に０を含んでいても、ユーザの結託を含む不正を防止することができる。また、また、第５実施形態の手法を用いて秘匿積和演算を行うことにより、秘密情報に０を含んでいても、効率よく秘匿演算を繰り返すことができる。また、第５実施形態の手法を用いて秘匿積和演算を検証することにより、秘匿積和演算の不正を検出することができる。

【0390】

［第６実施形態］
第６実施形態は、第１～第５実施形態で説明した提案手法を変形してブロックチェーンに応用する場合を示す。すなわち、値を登録する入力者が操作する入力装置と、その値を検証してブロックチェーンに公開する検証者が操作する検証装置と、ブロックチェーン装置と、ブロックチェーンに公開された値を確認する復元者が操作する復元装置からなるシステムを考える。入力装置は検証装置には登録する値を知らせるが、復元装置に対しては登録した値を秘匿したいものとする。ただし、ブロックチェーンでは公開性、及び検証性が重要なので、秘匿した登録値から合計値や各種統計値などの演算（以降、検証用演算と呼ぶ）を復元装置が実行でき、その演算結果を検証できるようにする。すなわち、登録値は１台のブロックチェーン装置に秘匿されて公開されるが、その登録値を用いた検証用演算は誰でも実行でき、その合計値や統計値などを知ることができ、かつその演算結果が正しいことを検証できることが大きな特徴である。

【0391】

図２４を参照して、本実施形態に係る秘密分散システム６１０の構成を説明する。図２４に示すように、秘密分散システム６１０は、入力装置６、復元装置６１４、ブロックチェーン装置６１６、及び検証装置６１８を含む。各装置はネットワークＮに接続され、互いに通信可能とされる。なお、ブロックチェーン装置６１６が演算装置の一例であり、復元装置６１４が検証部を含む検証復元装置の一例であり、秘密分散システム６１０が秘匿演算検証復元システムの一例である。

【0392】

以降において、ブロックチェーン装置６１６をＳ_１、登録値を秘密情報と呼び、ｋ＝２の場合で説明する（ｋは任意に設定できるが、１台のサーバで演算を行う場合、ｋ＝２が最も効率的）。また、簡単のため実行する検証用演算を積和演算とし、登録値には０を含まず、演算結果も０を含まないとする。また以下では、秘密情報に対する演算と乱数に対する演算を同じ処理とするためにα_２（ａ＋ａ_１）,α_１ａ_１,α_０ａを用いる場合を示す。以下の例では入力者がａ，ｂ，ｃの値を発生毎に検証者に送り、検証者がそれらを確認した後、秘匿して公開する場合を示す。

【0393】

次に、図２５を参照して、本実施形態に係る復元装置６１４のハードウェア構成を説明する。

【0394】

図２５に示すように、復元装置６１４は、ＣＰＵ６４０、一時記憶領域としてのメモリ６４１、不揮発性の記憶部６４２を含む。また、復元装置６１４は、表示装置６４３、入力Ｉ／Ｆ６４４、及びネットワークＮに接続されるネットワークＩ／Ｆ６４５を含む。ＣＰＵ６４０、メモリ６４１、記憶部６４２、表示装置６４３、入力Ｉ／Ｆ６４４、及びネットワークＩ／Ｆ６４５は、バス６４６に接続される。

【0395】

記憶部６４２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部６４２には、検証復元プログラム６４８が記憶される。ＣＰＵ６４０は、記憶部６４２から検証復元プログラム６４８を読み出してからメモリ６４１に展開し、展開した検証復元プログラム６４８を実行する。ＣＰＵ６４０が検証復元プログラム６４８を実行することで、開示の技術の検証部として動作する。

【0396】

次に、図２６を参照して、本実施形態に係るブロックチェーン装置６１６のハードウェア構成を説明する。

【0397】

図２６に示すように、ブロックチェーン装置６１６は、ＣＰＵ６５０、一時記憶領域としてのメモリ６５１、不揮発性の記憶部６５２を含む。また、ブロックチェーン装置６１６は、表示装置６５３、入力Ｉ／Ｆ６５４、及びネットワークＮに接続されるネットワークＩ／Ｆ６５５を含む。ＣＰＵ６５０、メモリ６５１、記憶部６５２、表示装置６５３、入力Ｉ／Ｆ６５４、及びネットワークＩ／Ｆ６５５は、バス６５６に接続される。

【0398】

記憶部６５２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部６５２には、演算プログラム６５８が記憶される。ＣＰＵ６５０は、記憶部６５２から演算プログラム６５８を読み出してからメモリ６５１に展開し、展開した演算プログラム６５８を実行する。ＣＰＵ６５０が演算プログラム６５８を実行することで、開示の技術の演算部として動作する。

【0399】

次に、図２７を参照して、本実施形態に係る検証装置６１８のハードウェア構成を説明する。

【0400】

図２７に示すように、検証装置６１８は、ＣＰＵ６６０、一時記憶領域としてのメモリ６６１、不揮発性の記憶部６６２を含む。また、検証装置６１８は、表示装置６６３、入力Ｉ／Ｆ６６４、及びネットワークＮに接続されるネットワークＩ／Ｆ６６５を含む。ＣＰＵ６６０、メモリ６６１、記憶部６６２、表示装置６６３、入力Ｉ／Ｆ６６４、及びネットワークＩ／Ｆ６６５は、バス６６６に接続される。

【0401】

記憶部６６２は、ＨＤＤ、ＳＳＤ、及びフラッシュメモリ等によって実現される。記憶媒体としての記憶部６６２には、検証プログラム６６８が記憶される。ＣＰＵ６６０は、記憶部６６２から検証プログラム６６８を読み出してからメモリ６６１に展開し、展開した検証プログラム６６８を実行する。

【0402】

なお、入力装置６１２は検証装置６１８と同様の構成をとることができるため詳細な説明を省略する。

【0403】

次に、図２８、図２９を参照して、本実施形態に係る秘密分散システム６１０の作用を説明する。

【0404】

＜分散６＝データ登録＞
図２８は、秘密分散システム６１０における分散（データ登録）、秘匿積和演算（検証用演算）の処理シーケンスを説明したものである。また、図２９は、検証・復元処理（データ検証）の処理シーケンスを説明したものである。

【0405】

Ｓ６１０で、入力装置６１２は、各秘密情報ａ,ｂ,ｃが発生する毎に安全な通信路を用いて検証装置６１８に送信する。

【0406】

検証装置６１８は、受信したａ,ｂ,ｃを確認し、問題なければ以下を行う。

【0407】

Ｓ６１２で、検証装置６１８は、秘密情報ａに対して３個の乱数α_０,α_１,α_２を生成する。また、乱数ａ_１を生成し、以下の値を計算する。

【0408】

【0409】

Ｓ６１４で、検証装置６１８は、Ｓ６１２の計算結果、及び、ａ_１に対するハッシュ値ｈ_ａ１をブロックチェーン装置Ｓ_１に送信する。

【0410】

Ｓ６１６で、検証装置６１８は、秘密情報ｂに対して３個の乱数β_０,β_１,β_２を生成する。また、乱数ｂ_１を生成し、以下の値を計算する。

【0411】

【0412】

Ｓ６１８で、検証装置６１８は、Ｓ６１６の計算結果、及び、ｂ_１に対するハッシュ値ｈ_ｂ１をブロックチェーン装置Ｓ_１に送信する。

【0413】

Ｓ６２０で、検証装置６１８は、秘密情報ｃに対して３個の乱数γ_０,γ_１,γ_２を生成する。また、乱数ｃ_１を生成し、以下の値を計算する。

【0414】

【0415】

Ｓ６２２で、検証装置６１８は、Ｓ６２０の計算結果、及び、ｃ_１に対するハッシュ値ｈ_ｃ１をブロックチェーン装置Ｓ_１に送信する。

【0416】

Ｓ６２４で、検証装置６１８は、変換用乱数組（［ε_ｉ］_０,ε_ｉ,０）と（［ε_ｉ］_１,ε_ｉ,１）（ｉ＝１,…,必要個数）を生成する。

【0417】

Ｓ６２６で、検証装置６１８は、（［ε_ｉ］_１,ε_ｉ,１）に乱数μをかけて（［ε_ｉ］_０,ε_ｉ,０）,（μ［ε_ｉ］_１,ε_ｉ,１）をブロックチェーン装置Ｓ_１に送信する。

【0418】

Ｓ６２８で、検証装置６１８は、乱数δ_０,δ_１,δ_２を生成し、以下をブロックチェーン装置Ｓ_１に送信する。

【0419】

【0420】

Ｓ６３０で、ブロックチェーン装置Ｓ_１は、検証装置６１８から送られてきた値を登録値として公開する。

【0421】

以上が分散の処理シーケンスである。

【0422】

＜秘匿積和演算６＝検証用演算＞
Ｓ６３２で、ブロックチェーン装置Ｓ_１は、以下を計算し計算結果を検証装置６１８に送信する。ただし、μ_２＝μδ_２,μ_１＝μδ_１,μ_０＝μδ_０とする。

【0423】

【0424】

なお、Ｓ６３２は、ブロックチェーン装置Ｓ_ｉにおける、演算プログラム６５８の処理に対応する。ブロックチェーン装置Ｓ_ｉのＣＰＵ６５０が、演算プログラム６５８を実行することで、開示の技術における演算部の処理を行う。秘匿された登録値であるδ_２／α_２β_２ε_１等を用いて、登録値による検証用演算、つまり上記計算を行う。

【0425】

以上が秘匿積和演算の処理シーケンスである。

【0426】

＜検証・復元６＝データ検証＞
図２９は、秘密分散システム６１０における検証の処理シーケンスを説明したものである。秘密分散システム６１０は、演算を終了し検証を行う場合、以下の検証の処理シーケンスを実行する。

【0427】

Ｓ６５０で、検証装置６１８は、δ_２｛（ａｂ＋ｃ）＋（ａ_１ｂ_１＋ｃ_１）｝,δ_０（ａｂ＋ｃ）とａ_１,ｂ_１,ｃ_１,δ_２,δ_０を公開する。

【0428】

Ｓ６５２で、復元装置６１４は、以下を計算する。

【0429】

【0430】

Ｓ６５４で、復元装置６１４は、ａ_１,ｂ_１,ｃ_１がそのハッシュ値と一致するか検証し、ハッシュ値が正しければＳ６５６へ移行し、正しくなければＳ６６２へ移行して不正とする。

【0431】

Ｓ６５６で、復元装置６１４は、公開されているａ_１,ｂ_１,ｃ_１を用いてａ_１ｂ_１＋ｃ_１を計算する。

【0432】

Ｓ６５８で、復元装置６１４は、Ｓ６５６で計算されたａ_１ｂ_１＋ｃ_１とＳ６５２で計算されたａ_１ｂ_１＋ｃ_１が等しいか検証し、計算結果が等しく、正しければＳ６６０へ移行し、正しくなければＳ６６２へ移行して不正とする。

【0433】

なお、Ｓ６５８は、復元装置６１４における、検証復元プログラム６４８の処理に対応する。サーバＳ_ｉのＣＰＵ６４０が、検証復元プログラム６４８を実行することで、開示の技術における検証部の処理を行う。

【0434】

Ｓ６６０で、復元装置６１４は、（ａｂ＋ｃ＝δ_０（ａｂ＋ｃ））／δ_０を確認値とする。

【0435】

Ｓ６６２で、検証結果が不正であるものとする。

【0436】

以上が検証の処理シーケンスである。

【0437】

上記において、検証用演算を積和演算としたが、積和演算はｂ＝１とすれば加算となり、ｃ＝０とすれば乗算となる。また、第２の実施の形態に示したように減算及び除算も可能である。さらに、積和演算の組み合わせにより任意の四則演算が構成できるので、任意の検証用演算が可能である。

【0438】

また、本実施形態の分散（データ登録）の時点で登録値は秘匿されて公開されるが、復元者は秘密情報に関して何の情報も得ることができない。また、秘匿積和演算（検証用演算）においても乱数δ_２,δ_１,δ_０が秘匿されているので、演算は実行できるが秘密情報及び演算結果について何の情報も得ることはできない。また、δ_０（ａｂ＋ｃ）が０になれば秘密情報が漏洩するが、秘密情報による演算結果に０を含まないとするので問題ない。演算結果に０を含む場合は、第５実施形態の秘匿計算を採用すればよい。よって、本実施形態の補正処理におけるδ_２｛（ａｂ＋ｃ）＋（ａ_１ｂ_１＋ｃ_１）｝,δ_１（ａ_１ｂ_１＋ｃ_１）の更新についても情報は得られない。最後に、本実施形態の検証（データ検証）において検証装置６１８により乱数ａ_１,ｂ_１,ｃ_１,δ_２,δ_０が公開されることにより、復元された演算結果の正当性を検証できる。

【0439】

本実施の形態の特徴は誰でも秘匿計算及びその検証処理が実行できる点である。すなわち、前実施形態までは秘匿積和演算に参加できるメンバーは分散時に種々の値を配布されたｋ台のサーバに限定され、それ以外のメンバーは演算結果の正しさを確認できるが、自ら検証処理を行えなかった。本実施の形態によりｋ台のサーバに秘匿演算を依頼しなくても、全ての値が公開されるため誰でも検証処理できる。また、最終結果に用いられた乱数が公開されることにより、最終結果は知ることができるが、途中結果を復元するためのδ_２,δ_０が公開されないため、入力値及び途中の演算結果に関する情報は得られないというものである。

【0440】

ただし、検証者は全入力を知っており、乱数も自ら設定するため、不正することが可能であるが、検証者が信頼できるとする場合はこのままで問題はない。信頼できるとしない場合は、第４実施形態と同様に乱数を検証者だけが生成しないようにすればよい。例えば、分散（データ登録）のＳ６１２～６２２の処理とＳ６２８の処理の代わりに以下の生成処理を入力装置６１２が行い検証装置６１８に送信する。

【0441】

【0442】

検証装置６１８は受信した値を秘密分散して、片側の分散値にμをかけた以下の値をブロックチェーン装置Ｓ_１に送る。

【0443】

【0444】

このとき、検証装置６１８ではＳ６１０で送られたａ,ｂ,ｃの値からα_０,β_０,γ_０を知ることができるが、それ以上の情報を知ることができない。そのため、乱数の演算結果の差分が０となるように公開値を調整できない。また、入力装置６１２が偽の値を送っている場合、検証装置６１８はＳ６１０によって知る秘密情報による検証結果の正当性をＳ６５４において直接確認できる。また、入力装置６１２が送る値に入力装置６１２のデジタル署名をつけて送らせ、それを検証した後上記処理を行えば、入力装置６１２が偽の値を送っていることを証明できる。またこれに対して検証装置のデジタル署名を入力装置が得れば、検証装置６１８による偽の値の登録を防ぐために利用できる。

【0445】

また、第４実施形態に示したように入力の乱数ａ_１,ｂ_１,ｃ_１を他者と協力して生成してもよい。例えば、入力装置と検証装置、または検証装置と復元装置などの組合せで、入力装置または検証装置が設定したａ_１をその生成者が知らないａ"_１＝ａ_１＋ａ′_１に変更してもよい。

【0446】

また、上記分散（データ登録）ではα_２（ａ＋ａ_１）,α_１ａ_１,α_０ａの３つの入力を生成したが、乱数の演算を秘密情報の演算と同じ形にしなくてよい場合は、第３実施形態のようにα_２（ａ＋ａ_１）,α_０ａまたは第５の実施の形態のように２組のα_２（ａ＋ａ_１）,α_１ａ_１として、各々同じ形式で更新して行ってもよい。

【0447】

以上説明したように、本発明の第６実施形態の手法を用いて秘密情報を分散することにより、ブロックチェーンのような公開性が重視される応用に対しても、上述した第１～第５実施形態と同様の秘匿計算を適用することができる。

【0448】

なお、上記各実施形態でＣＰＵがソフトウェア（プログラム）を実行することにより実行した各種処理を、ＣＰＵ以外の各種のプロセッサが実行してもよい。この場合のプロセッサとしては、ＦＰＧＡ（Field-Programmable Gate Array）等の製造後に回路構成を変更可能なＰＬＤ（Programmable Logic Device）、及びＡＳＩＣ（Application Specific Integrated Circuit）等の特定の処理を実行させるために専用に設計された回路構成を有するプロセッサである専用電気回路等が例示される。また、各種処理を、これらの各種のプロセッサのうちの１つで実行してもよいし、同種又は異種の２つ以上のプロセッサの組み合わせ（例えば、複数のＦＰＧＡ、及びＣＰＵとＦＰＧＡとの組み合わせ等）で実行してもよい。また、これらの各種のプロセッサのハードウェア的な構造は、より具体的には、半導体素子等の回路素子を組み合わせた電気回路である。

【0449】

また、上記各実施形態では、各種プログラムが記憶部に予め記憶（インストール）されている態様を説明したが、これに限定されない。各種プログラムは、ＣＤ－ＲＯＭ（Compact Disc Read Only Memory）、ＤＶＤ－ＲＯＭ（Digital Versatile Disc Read Only Memory）、及びＵＳＢ（Universal Serial Bus）メモリ等の記録媒体に記録された形態で提供されてもよい。また、各種プログラムは、ネットワークを介して外部装置からダウンロードされる形態としてもよい。

【符号の説明】

【0450】

１０、２１０、３１０、４１０、５１０、６１０ 秘密分散システム
１２、２１２、３１２、４１２、５１２、６１２ 入力装置
１４、３１４、４１４、５１４、６１４ 復元装置
１６、２１６、３１６、４１６、５１６ サーバ
６１６ ブロックチェーン装置
６１８ 検証装置

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】

【図11】

【図12】

【図13】

【図14】

【図15】

【図16】

【図17】

【図18】

【図19】

【図20】

【図21】

【図22】

【図23】

【図24】

【図25】

【図26】

【図27】

【図28】

【図29】