特許 7480857 秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-04-30

(45)【発行日】2024-05-10

(54)【発明の名称】秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20240501BHJP

【ＦＩ】

G09C1/00 650Z

【請求項の数】 10

(21)【出願番号】P 2022555004

(86)(22)【出願日】2020-10-06

(86)【国際出願番号】 JP2020037870

(87)【国際公開番号】W WO2022074735

(87)【国際公開日】2022-04-14

【審査請求日】2023-04-05

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】土田 光

【審査官】行田 悦資

(56)【参考文献】

【文献】松本 和馬 ほか，ユーザの結託による不正に強いハイブリッドＰ２Ｐ型ＭＭＯゲームフレームワーク，マルチメディア，分散，協調とモバイル（ＤＩＣＯＭＯ２０１７）シンポジウム論文集，日本，一般社団法人情報処理学会，2017年06月21日，Vol. 2017, No.1，pp.340-346，情報処理学会シンポジウムシリーズ

【文献】千田 浩司 ほか，軽量検証可能３パーティ秘匿関数計算の再考，コンピュータセキュリティシンポジウム２０１０ 論文集，日本，一般社団法人情報処理学会，2010年10月12日，Vol.2010, No.9，pp.555-560，情報処理学会シンポジウムシリーズ

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

(57)【特許請求の範囲】

【請求項1】

相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を、
有する秘密計算システム。

【請求項2】

前記秘密計算サーバ装置のそれぞれが、
シードと識別子を入力として決定的に疑似乱数を生成し、前記疑似乱数を用いて、第１のインデックスに関する総和はゼロであり、第２のインデックスに関する総和はゼロではないマスクの組を作成する疑似ランダム関数計算部をさらに備え、
前記受信値は、前記マスクによって秘匿された状態で送信される、請求項１に記載の秘密計算システム。

【請求項3】

前記秘密計算サーバ装置のそれぞれに秘密分散された２つのシェア値の乗算を秘密計算する際に、前記乗算のシェア値として、前記第２のインデックスに関する総和を付加項として有し、前記乗算の結果を復元する際に、前記第１のインデックスに関する総和がゼロであることを用いて前記マスクを除去する、請求項２に記載の秘密計算システム。

【請求項4】

前記比較検証部は、前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、請求項１から請求項３のいずれか１項に記載の秘密計算システム。

【請求項5】

秘密分散して保持されている値の秘密計算をするために相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置の一つであって、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を、
有する秘密計算サーバ装置。

【請求項6】

相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する秘密計算方法。

【請求項7】

シードと識別子を入力として決定的に疑似乱数を生成し、前記疑似乱数を用いて、第１のインデックスに関する総和はゼロであり、第２のインデックスに関する総和はゼロではないマスクの組を作成し、
前記受信値は、前記マスクによって秘匿された状態で送信される、請求項６に記載の秘密計算方法。

【請求項8】

前記秘密計算サーバ装置のそれぞれに秘密分散された２つのシェア値の乗算を秘密計算する際に、前記乗算のシェア値として、前記第２のインデックスに関する総和を付加項として有し、前記乗算の結果を復元する際に、前記第１のインデックスに関する総和がゼロであることを用いて前記マスクを除去する、請求項７に記載の秘密計算方法。

【請求項9】

前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、請求項６から請求項８のいずれか１項に記載の秘密計算方法。

【請求項10】

相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する処理を有する秘密計算プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。

【背景技術】

【0002】

近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている。秘密計算は、第三者に対して計算過程とその結果を秘密にしつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘密にするデータを複数のサーバ（秘密計算サーバ装置）に分散配置し、秘密にした状態を維持しながら当該データの任意の演算を実行する。なお、各秘密計算サーバ装置に分散配置したデータをシェアと呼ぶ。以降、特に断りがない限り、本書で「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。

【0003】

一般に秘密計算と呼ばれる技術の中にも、達成されている安全性の程度には高低がある。例えば、秘密計算を行うマルチパーティの参加者の中に不正者が紛れたとする。その場合に、不正者の存在を検知し処理を中断することができる秘密計算の技術と、たとえ不正者が存在しても処理を中断することなく正しい計算結果を得ることができる秘密計算の技術とでは、後者の方が前者よりも安全性が高い。そして、後者の安全性を満たす秘密計算はGuaranteed Output Delivery (GOD)と呼ばれ、これを実現する秘密計算の例も知られている（例えば、非特許文献１参照）。

【先行技術文献】

【非特許文献】

【0004】

【文献】Byali, M., Chaudhari, H., Patra, A., & Suresh, A. (2020). FLASH: fast and robust framework for privacy-preserving machine learning. Proceedings on Privacy Enhancing Technologies, 2020(2), 459-480.

【発明の概要】

【発明が解決しようとする課題】

【0005】

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

【0006】

ところで、秘密計算における安全性の評価には、達成できる安全性の効果だけではなく、前提条件も重要な意味を持つ。代表的な前提条件としてハッシュ関数のランダムオラクルモデルないしランダムオラクル仮定がある。

【0007】

ハッシュ関数は、入力に対し一意の出力を返す関数であるが、出力から入力を推定することが困難であるように構成されている。ここで、出力から入力を推定することが困難であるとはいうものの、絶対に不可能であるかというとその保証はできない。そこで、安全性の評価に際し、用いられているハッシュ関数が脆弱性を持たないという前提で安全性が評価される。この前提の安全性を「ランダムオラクルモデルにおいて安全」あるいは「ランダムオラクル仮定のもとで安全」という。そして、非特許文献１における秘密計算の安全性は「ランダムオラクルモデルにおいて安全」である。

【0008】

一方、「ランダムオラクルモデルにおいて安全」の対義語は、「標準モデルにおいて安全」である。すなわち、ハッシュ関数の出力から入力を推定することができたとしても、そのこと自体が秘密計算の脆弱性とはならないことをいう。当然のことながら、達成できる安全性が同じであれば、ランダムオラクルモデルにおける安全性よりも、標準モデルにおける安全性の方が高度な安全性が達成できることになる。

【0009】

本発明の目的は、上述した課題を鑑み、Delivered安全性を高めることに寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することにある。

【課題を解決するための手段】

【0010】

本発明の第１の視点では、相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を有する秘密計算システムが提供される。

【0011】

本発明の第２の視点では、秘密分散して保持されている値の秘密計算をするために相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置の一つであって、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を有する秘密計算サーバ装置が提供される。

【0012】

本発明の第３の視点では、相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算方法であって、前記秘密計算サーバ装置のそれぞれが、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する秘密計算方法が提供される。

【0013】

本発明の第４の視点では、相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する処理を有する秘密計算プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0014】

本発明の各視点によれば、安全性を高めることに寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。

【図面の簡単な説明】

【0015】

【図1】図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図2】図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図3】図３は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図4】図４は、秘密計算方法の手順の概略を示すフローチャートである。

【図5】図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図6】図６は、秘密計算サーバ装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0016】

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

【0017】

［第１の実施形態］
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。

【0018】

図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。図１に示すように、第１の実施形態による秘密計算システム１００は、第１の秘密計算サーバ装置１００_０と第２の秘密計算サーバ装置１００_１と第３の秘密計算サーバ装置１００_２と第４の秘密計算サーバ装置１００_３と第５の秘密計算サーバ装置１００_４とを備えている。第１の秘密計算サーバ装置１００_０、第２の秘密計算サーバ装置１００_１、第３の秘密計算サーバ装置１００_２、第４の秘密計算サーバ装置１００_３、および第５の秘密計算サーバ装置１００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。図１中央の丸印は、ネットワークを示す。

【0019】

第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置１００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0020】

また、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶されているシェアに対し、その計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0021】

なお、上記計算結果のシェアは、第１～第５の秘密計算サーバ装置１００_０～１００_４とシェアを送受信することで、復元してもよい。あるいは、第１～第５の秘密計算サーバ装置１００_０～１００_４ではない外部にシェアを送信することで、復元してもよい。

【0022】

さらに、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0023】

例えば上記のように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができるシェアの構成として以下の構成を採用することができる。

【0024】

各参加者P_i (i = 0, 1, 2, 3, 4) に対する、位数ｎの剰余類環Z_n のシェアを以下のように定める。

【0025】

位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェアを以下のように表す。ただし、mは２以上の整数とし、n=2^mであるとする。つまり、位数２の剰余類環Z₂は、位数ｎの剰余類環Z_nと区別する。
[x] = ([x]₀, [x]₁, [x]₂, [x]₃, [x]₄)
位数ｎの剰余類環Z_nの元x∈Z_nを
x = x₀ + x₁ + x₂ + x₃ + x₄ mod n
との関係を満たすように分解し、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]_iは、以下のようにする。
[x]_i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0026】

一方、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェアは、上記剰余類環Z_n上のシェアにおけるn=2の場合と同様の定義とするが、記法としては位数ｎの剰余類環Z_nと区別し、[x]^Bのように表す。

【0027】

このように各参加者P_i (i = 0, 1, 2, 3, 4)が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄を定めると、各参加者P_i (i = 0, 1, 2, 3, 4)は、自己が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄からはｘを復元することはできない。一方、参加者P_i (i = 0, 1, 2, 3, 4)のうち、すくなくとも２名が保持しているシェアを合わせるとｘを復元することができるという秘密分散が実現する。なお、この秘密分散方式は、2-out-of-5複製型秘密分散（Additive Secret Sharing Scheme）と呼ばれている。

【0028】

ところで、この秘密分散方式では、ｘを復元する場合に限らず、秘密計算を実行する際に、参加者P_iが、自己が保持していないシェアの値x_i+4を他の参加者P_jから受信する状況が発生する。このとき、参加者P_iが保持していないシェアの値x_i+4は、他の参加者P_jの全てが保持しているはずなので、本来的には、他の参加者P_jの誰から参加者P_iが保持していないシェアの値x_i+4を受信しても構わないはずである。しかしながら、他の参加者P_jの中に不正者が紛れたとすると、本来は受信したい値x_i+4の代わりに別の値が送信されてくることが起こり得る。すると、誤った値に基づいて秘密計算を実行することになり、誤った計算を得ることになったり、そもそも計算自体を正常に実行することができなくなったりする。

【0029】

そこで、本実施形態では、図２に示すように、各秘密計算サーバ装置１００_ｉが比較検証部１０１_ｉを備え、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する。これにより、たとえ参加者の中に不正者が存在しても処理を中断することなく正しい計算結果を得ることができる。

【0030】

具体的には、次のような処理の例が考えられる。ここでは、参加者P_iが、ｘを復元する場合に、自己が保持していないシェアの値x_i+4を他の参加者P_jから受信する状況を考える。また、各参加者P_i (i = 0, 1, 2, 3, 4)は、秘密計算サーバ装置１００_ｉ(i = 0, 1, 2, 3, 4)を運用しており、実際の処理は、各参加者P_i (i = 0, 1, 2, 3, 4)が実行するのではなく、秘密計算サーバ装置１００_ｉ(i = 0, 1, 2, 3, 4)が実行する処理として行うものである。

【0031】

ｘを復元する場合、x = x₀ + x₁ + x₂ + x₃ + x₄ mod nという関係式があるので、x₀, x₁, x₂, x₃, x₄の全ての値が必要となる。しかしながら、参加者P_iが保持しているシェアは、[x]_i = (x_i, x_i+1, x_i+2, x_i+3), (where x₄₊₁ = x₀)であるので、x_i+4を保持していない。そこで、参加者P_iは、他の参加者P_jからx_i+4を受信する必要がある。

【0032】

一方、シェアの構成の定義から、他の参加者P_jの全てがx_i+4を保持している。したがって、他の参加者P_jのうち１人からx_i+4を受信すればよいのであるが、ここでは、少なくとも３人の他の参加者P_jから同一となるはずのx_i+4を受信する。なお、ここでは、３人の他の参加者P_jからx_i+4を受信する場合を想定し、各参加者から受信した値を区別するために、x_i+4,1, x_i+4,2, x_i+4,3と表記する。

【0033】

そして、参加者P_iは、同一の値となるはずの受信値、x_i+4,1, x_i+4,2, x_i+4,3を比較し、少なくとも２つ以上が同一である受信値を正しい値x_i+4として採用する。

【0034】

例えば、x_i+4,1 = x_i+4,2またはx_i+4,1 = x_i+4,3であれば、x_i+4,1を正しい値x_i+4として採用する（x_i+4 = x_i+4,1）。また、x_i+4,2 = x_i+4,3であれば、x_i+4,2を正しい値x_i+4として採用する（x_i+4 = x_i+4,2）。このように、少なくとも２つ以上が同一である受信値を正しい値として採用すれば、受信したx_i+4,1, x_i+4,2, x_i+4,3のうち、どれか１つが偽りの値であっても、正しい値を判別することができる。その後、正しい値x_i+4を用いてx = x₀ + x₁ + x₂ + x₃ + x₄ mod nを計算すれば、ｘを復元することが可能である。

【0035】

このように、少なくとも３人の他の参加者P_jから同一となるはずのx_i+4を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、そもそもハッシュ関数を用いていないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0036】

以上説明した第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。したがって、本発明を実用的な実施形態に適用するためには、加算や乗算などを含む一連の処理において、上記説明したコンセプトを適用する必要がある。以下で説明する第２の実施形態は、上記説明したコンセプトを実用的な実施形態に適用したものである。

【0037】

［第２の実施形態］
以下、図３および図４を参照して、第２の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。

【0038】

図３は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。図３に示すように、第２の実施形態による秘密計算システム２００は、第１の秘密計算サーバ装置２００_０と第２の秘密計算サーバ装置２００_１と第３の秘密計算サーバ装置２００_２と第４の秘密計算サーバ装置２００_３と第５の秘密計算サーバ装置２００_４とを備えている。第１の秘密計算サーバ装置２００_０、第２の秘密計算サーバ装置２００_１、第３の秘密計算サーバ装置２００_２、第４の秘密計算サーバ装置１００_３、および第５の秘密計算サーバ装置２００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0039】

第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置２００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0040】

さらに、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0041】

図４は、秘密計算方法の手順の概略を示すフローチャートである。図４に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップのみの実施であったり、順序を変えて実施したり、一部のステップを繰り返すなどの変更がなされることが通常である。

【0042】

図４に示されるように、典型的な秘密計算では、準備ステップ（ステップＳ１）と、疑似乱数計算ステップ（ステップＳ２）と、入力ステップ（ステップＳ３）と、秘密計算ステップ（ステップＳ４）と、復元ステップ（ステップＳ５）とを備えている。

【0043】

例えば、準備ステップ（ステップＳ１）には、疑似乱数を生成するためのシードを各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）で適切に共有するための処理が含まれる。疑似乱数計算ステップ（ステップＳ２）には、準備ステップ（ステップＳ１）で各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が共有したシードと識別子を用いて決定的に疑似乱数を生成する処理が含まれる。なお、生成された疑似乱数は、秘密計算ステップ（ステップＳ４）におけるマスクに用いられる。

【0044】

入力ステップ（ステップＳ３）は、秘密計算の対象となる入力を各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して保持するためのステップである。秘密計算ステップ（ステップＳ４）は、各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して保持されているシェアに対し、秘密状態を維持しながら所望の計算をするステップである。秘密計算ステップ（ステップＳ４）で行うことができる計算は任意の計算であるが、その中でも重要なものが乗算（掛け算）である。秘密計算ステップ（ステップＳ４）の結果は、一般にシェアであり秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して保持される。復元ステップ（ステップＳ５）では、秘密計算ステップ（ステップＳ４）の結果のシェアを復元するステップである。

【0045】

以下、各ステップに分けて具体的な処理の内容を説明する。

【0046】

［準備(シードの共有)］
準備ステップ（ステップＳ１）で生成するためのシードとは、疑似ランダム関数Ｆ_ｎ，Ｆ_２が決定的に疑似乱数を生成するためのものである。各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）は、疑似乱数を生成するためのシードを適切に共有することで、各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が適切に対応付けられた疑似乱数を生成することができるようになる。各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が共有するシードは、初期設定として信頼できる第三者が各シードを各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に設定しても良いが、ここでは事後的に秘密を保持しながら各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）でシードを共有するための手順を説明する。各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が協力してシードを共有する場合、例えば、図５に示すように、秘密計算サーバ装置２００_ｉが比較検証部２０１_ｉを備え、比較検証部２０１_ｉが正しい値を採用することによって、標準モデルにおけるGuaranteed Output Delivery (GOD)を実現する。なお、比較検証部２０１_ｉは、後に説明するハードウェア構成において実行されるプログラムとして実現することも可能である。

【0047】

疑似ランダム関数Ｆ_ｎ，Ｆ_２とシードおよび識別子の関係は次の通りである。疑似ランダム関数Ｆ_ｎ，Ｆ_２は、セキュリティパラメータκに対して定められた２項演算である。
Ｆ_ｎ：{0,1}^κ×{0,1}^κ→{0,1}^ｎ
Ｆ_２：{0,1}^κ×{0,1}^κ→{0,1}^２
一方、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが適切に共有している値であり、識別子vid∈{0,1}^κはカウンタなどの公開された値である。これらシードと識別子を入力として、疑似ランダム関数Ｆ_ｎ，Ｆ_２は、決定的に疑似乱数を生成する。

【0048】

５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持する。ただし、seed₄₊₁ = seed₀である。すなわち、各秘密計算サーバ装置２００_ｉは、すべてのシードseed_iを保持するのではなく、秘密計算サーバ装置２００_ｉは、シードseed_i+4のみを保持していないという関係である。

【0049】

上記関係となるようにシードを共有するためには、各秘密計算サーバ装置２００_ｉの間で情報の送受信が発生する。そして、秘密計算サーバ装置２００_ｉの中に不正者によって運営されているものが紛れていると、適切なシードの共有が実現できないことになってしまう。そこで、本実施形態の準備ステップ（ステップＳ１）では、以下のような手順でシードの共有を実現する。

【0050】

ここでは、シードseed_iを作成する場合の例で説明する。シードseed_iを保持するべきは、参加者P_i, P_i+1, P_i+2, P_i+3であるので、この４人の参加者P_i, P_i+1, P_i+2, P_i+3が協力してシードseed_iを作成する。

【0051】

最初に、各々の参加者P_i, P_i+1, P_i+2, P_i+3が、s_i ⁽ⁱ⁾, s_i ⁽ⁱ⁺¹⁾, s_i ⁽ⁱ⁺²⁾, s_i ⁽ⁱ⁺³⁾∈{0,1}^κをランダムに生成する。

【0052】

そして、参加者P_iがs_i ⁽ⁱ⁾を他の参加者P_i+1, P_i+2, P_i+3へ送る。一方、参加者P_i+1, P_i+2, P_i+3は受信したs_i ⁽ⁱ⁾を相互に送受信しあう。参加者P_i+1, P_i+2, P_i+3は、相互に送受信したs_i ⁽ⁱ⁾に対して、以下のような判断を行う。

【0053】

（１）他の2人から得たs_i ⁽ⁱ⁾が一致していたら、2人から得たs_i ⁽ⁱ⁾を正しいものとして、acceptのメッセージを他の2人に送る。
（２）他の2人から得たs_i ⁽ⁱ⁾は一致しないが、自身の持つs_i ⁽ⁱ⁾とどちらかが一致したら、自身の持つs_i ⁽ⁱ⁾を正しいs_i ⁽ⁱ⁾とする。一致しなかったs_i ⁽ⁱ⁾を送った参加者には、reviseのメッセージと、自身の持つs_i ⁽ⁱ⁾を送信する。自身の持つs_i ⁽ⁱ⁾と一致した参加者には、acceptのメッセージを送信する。
（３）他の2人から得たs_i ⁽ⁱ⁾はそれぞれ一致せず、かつ、自身の持つs_i ⁽ⁱ⁾とも一致しなかった場合、(corrupted, P_i)のメッセージを他の2人に送る。

【0054】

そして、他の二人からacceptを得たら、次のステップに進み、reviseを受信したら、共に送られてきたs_i ⁽ⁱ⁾を正しいものとして、次に進む。一方、(corrupted, P_i)を受信した場合、参加者P_iが不正者であるのだから、参加者P_iを除外して、セミオネスト安全な４者秘密計算を行う。

【0055】

上記手順を参加者P_i+1, P_i+2, P_i+3についても行い、各参加者P_i, P_i+1, P_i+2, P_i+3がs_i ⁽ⁱ⁾, s_i ⁽ⁱ⁺¹⁾, s_i ⁽ⁱ⁺²⁾, s_i ⁽ⁱ⁺³⁾∈{0,1}^κを正しい値として共有する状態が実現する。そして、シードseed_iは、共有されたs_i ⁽ⁱ⁾, s_i ⁽ⁱ⁺¹⁾, s_i ⁽ⁱ⁺²⁾, s_i ⁽ⁱ⁺³⁾から以下のように作成する。

【0056】

【数1】

【0057】

さらに、上記手順を５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)に対して行うことで、各秘密計算サーバ装置２００_ｉが正しく(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持する状態が実現する。

【0058】

以上のようなシードの共有方法では、少なくとも３人の他の参加者P_jから同一となるはずのs_i ⁽ⁱ⁾を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、そもそもハッシュ関数を用いていないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0059】

［疑似乱数計算(マスク作成)］
疑似乱数計算ステップ（ステップＳ２）では、準備ステップ（ステップＳ１）で作成したシードと識別子を用いて決定的に疑似乱数を生成する。疑似乱数計算ステップ（ステップＳ２）で生成する疑似乱数は、後の秘密計算において送信する値を秘匿するためのマスクとして用いられる。このために、以下に示すような法則に従う疑似乱数(Correlated Randomness)を作成する。例えば、以下に示すような法則に従う疑似乱数を作成するために、図５に示すように、秘密計算サーバ装置２００_ｉのそれぞれが、疑似ランダム関数計算部２０２_ｉを備え、各疑似ランダム関数計算部２０２_ｉが以下に示すような法則に従う疑似乱数を作成する構成とすることができる。ただし、疑似ランダム関数計算部２０２_ｉは、後に説明するハードウェア構成において実行されるプログラムとして実現することも可能である。

【0060】

ここでは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能であるような、Correlated Randomnessを参加者P_i, P_i+1, P_i+2, P_i+3で協力して作る場合を考える。そのためには、参加者P_i+4がシードseed_i+3を保持していないことに着目すると、疑似ランダム関数F_nの入力としてシードseed_i+3を用いれば以下の疑似乱数は条件を満たす。
α_k = F_n(vid_k, seed_i+3)- F_n(vid_k+1, seed_i+3) mod n

【0061】

また、識別子vid_kにおけるインデックスkをk=0からk=4まで変化させると、α_kは５つ作成することが可能である。そこで、これらα_kの組を以下のように定める。このように定めたα₀, α₁, α₂, α₃, α₄がα₀+α₁+α₂+α₃+α₄=0を満たすことは容易に確かめることができる。
(α₀, α₁, α₂, α₃, α₄) = CR(i+4, {vid_k}⁴ _k=0, seed_i+3)

【0062】

このように作成された疑似乱数α₀, α₁, α₂, α₃, α₄は、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。一方、参加者P_i+4にとっても、各疑似乱数α₀, α₁, α₂, α₃, α₄は除去できないが、すべての疑似乱数α₀, α₁, α₂, α₃, α₄が揃うと総和は０であり除去可能になるという性質がある。

【0063】

さらに、上記疑似乱数の作成は、すべての参加者P_i+4に対しても同様に行うことができる。具体的には、以下のように定めればよい。
(α_i,0, α_i,1, α_i,2, α_i,3, α_i,4) = CR(i, {vid_k}⁴ _k=0, seed_i+4) for i=0,1,2,3,4
α_i,k = F_n(vid_k, seed_i+4)- F_n(vid_k+1, seed_i+4) mod n for i=0,1,2,3,4

【0064】

このように作成された疑似乱数の組は以下のようになる。

【表1】

【0065】

上記疑似乱数の表では、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。

【0066】

なお、疑似乱数の組は、５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)を適切に各秘密計算サーバ装置２００_ｉで共有しておくことで、各秘密計算サーバ装置２００_ｉが形成することが可能である。つまり、各疑似乱数α_i,k自体を各秘密計算サーバ装置２００_ｉ間で送受信する必要はないので、正しい値であるか否かの判定をする必要はない。

【0067】

［入力］
入力ステップ（ステップＳ３）は、秘密計算の対象となる入力を各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して保持するためのステップである。ここでは、Input dealerを参加者P_iとし，x∈Z_nのシェア[x]を作ることを考える。以下で説明する入力ステップ（ステップＳ３）の処理は、例えば、図５に示すように、秘密計算サーバ装置２００_ｉが比較検証部２０１_ｉを備え、比較検証部２０１_ｉが正しい値を採用することによって、標準モデルにおけるGuaranteed Output Delivery (GOD)を実現する。なお、比較検証部２０１_ｉは、後に説明するハードウェア構成において実行されるプログラムとして実現することも可能である。

【0068】

参加者P_iは、疑似ランダム関数を用いて以下のようにr_i, r_i+1, r_i+2, r_i+3を計算する。
r_i = F_n(vid_i, seed_i)
そして、これらr_i, r_i+1, r_i+2, r_i+3を用いて以下のようにx∈Z_nからx₄を計算する。
x₄ = x-r_i-r_i+1-r_i+2-r_i+3 mod n

【0069】

その後、参加者P_iは、自己が保持するシェア[x]_iを[x]_i=(x_i+1, x_i+2, x_i+3, x_i+4)=(r_i+1, r_i+2, r_i+3, r_i+4)とする。一方、参加者P_iは、x₄を他の参加者P_i+1, P_i+2, P_i+3, P_i+4に送信する。

【0070】

ここで、記載を容易にするため、参加者P_i+1, P_i+2, P_i+3, P_i+4をR_j, R_j+1, R_j+2, R_j+3とおく。ただし、R_j+4=R_jであり、R_j-4=R_j+3とする。また、受信したx_i+4について、R_j, R_j+1, R_j+2, R_j+3が計算したハッシュ値をそれぞれh_j, h_j+1, h_j+2, h_j+3とする。ただし、h_i+4 = h_jとする。ここで、ハッシュ値を計算する理由は通信の効率化のためであり、ランダムオラクル性を仮定せず、衝突耐性を有するハッシュ関数であれば十分に利用することが可能である。

【0071】

各R_j(k=j, j+1, j+2, j+3)は、R_k-1に対して自身が受信したx_i+4をm_kとして送信する。また、各R_j(k=j, j+1, j+2, j+3)は、R_k-2とR_k-3に対してh_kを送信する。各R_jは、自身の持つh_kと、受信したm_k+1のハッシュ値h_k+1、h_k+2およびh_k+3とを比較し、３つ以上同じ値が含まれているかを検証する。その結果に従って、以下のような処理の場合分けを行う。

【0072】

（１）同じ値が2つ以下しか含まれていない場合、P_iが攻撃者である。したがってP_i（と初期入力）を除外し、セミオネスト安全な４者秘密計算を実行する。
（２）同じ値が3つ以上含まれていて、かつ、その中にm_kが含まれていた場合、m_kを正しいx_i+4とする。
（３）同じ値が3つ以上含まれていて、かつ、その中にm_kが含まれていない場合、m_k+1を正しいx_i+4とする。

【0073】

最終的に、各R_j(k=j, j+1, j+2, j+3; j=i+1 mod 5)は、以下のようにシェア[x]_kを得る。

【数2】

【0074】

以上のような入力方法では、少なくとも３人の他の参加者P_jから同一となるはずのx_i+4（のハッシュ値）を受信し、少なくとも３つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0075】

［秘密計算（乗算）］
秘密計算ステップ（ステップＳ４）は、各秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して保持されているシェアに対し、秘密状態を維持しながら所望の計算をするステップである。ここでは、秘密計算の重要な因子である乗算について説明し、その後に、加算や定数乗算などの他の秘密計算について説明する。以下で説明する秘密計算ステップ（ステップＳ４）の処理は、例えば、図５に示すように、秘密計算サーバ装置２００_ｉが比較検証部２０１_ｉを備え、比較検証部２０１_ｉが正しい値を採用することによって、標準モデルにおけるGuaranteed Output Delivery (GOD)を実現する。なお、比較検証部２０１_ｉは、後に説明するハードウェア構成において実行されるプログラムとして実現することも可能である。

【0076】

ここでは、２つのシェア[x],[y]から[z]=[x・y]=[x]・[y]を計算することを考える。また、x,y,zは以下のように分解されているとする。

【数3】

【0077】

参加者P_i(i=0,1,2,3,4)は、以下のようなtmp_zkを計算する。このtmp_zkは参加者P_iがz_kを計算するためにはx_k・y_i+4が足りない（保持しているシェアから計算できない）ので、代わりに計算する値である。

【数4】

【0078】

なお、α_j,kは、疑似乱数計算ステップ（ステップＳ２）で作成された疑似乱数であり、ここに再掲する。なお、第１のインデックス（縦方向）は、参加者P_iにとって乱数であるものを並べている。一方、第２のインデックス（横方向）は、z_kを計算するために用いられるもの並べてある。

【0079】

【表2】

【0080】

ここで、送信者集合S_i={P_i+2, P_i+3, P_i+4}, S_i+1={P_i+3, P_i+4, P_i+1}, S_i+2={P_i+4, P_i+1, P_i+2}, S_i+3={P_i+1, P_i+2, P_i+3}を定める。するとS_kに属する参加者は、x_ky_i+4を保持しているシェアから計算することができる。そこで、例えば、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、x_k・y_i+4を上記疑似乱数α_i,kでマスクをしたm_k,i+2, m_k,i+3, m_k,i+4を計算する。
P_i+2: m_k,i+2 = α_{i,k +} x_k・y_i+4 mod n
P_i+3: m_k,i+3 = α_{i,k +} x_k・y_i+4 mod n
P_i+4: m_k,i+4 = α_{i,k +} x_k・y_i+4 mod n

【0081】

そして、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、例えば、参加者P_i+2, P_i+3がm_k,i+2, m_k,i+3をそのまま参加者P_iに送信し、参加者P_i+4がm_k,i+4のハッシュ値h_k,i+4を参加者P_iに送信する。ここで、m_k,i+2, m_k,i+3, m_k,i+4は疑似乱数α_i,kでマスクをしているのでx_ky_i+4が漏洩することはない。つまり、ここではハッシュ関数も用いているが、これは安全性の確保のためではなく、通信コストを削減するためである。なお、ここでの通信コストは、Amortizedな通信量で、z_kを1つ計算するのに１ラウンドかつ2n[bits]であり、１人の参加者がz_kを4つ分持つので、４倍の8n[bits]である。さらに参加者は５名いるので、５倍で、合計１ラウンドかつ40n[bits]である。

【0082】

その後、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4を受信した参加者P_iは、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4の比較検証を行う。まず、参加者P_iは、m_k,i+2, m_k,i+3のハッシュ値h_k,i+2, h_k,i+3を計算する。そして、h_k,i+2=h_k,i+3またはh_k,i+2=h_k,i+4であれば、m_k = m_k,i+2とする。一方、h_k,i+3=h_k,i+4であれば、m_k = m_k,i+2とする。

【0083】

上記のようにx_ky_i+4を参加者P_iへ受け渡せば、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。

【0084】

その後、参加者P_iは、正しい値であることが判定されたm_kを用いて、z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)を計算する。

【数5】

【0085】

このように計算されたz_kは、余計な付加項が含まれているが、[z]=[xy]=[x][y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。それは、実際に以下のようにz=z₀+z₁+z₂+z₃+z₄を計算すると明らかとなる。

【0086】

【数6】

【0087】

ここで、疑似乱数α_i,kが消去される理由は、疑似乱数の構成から以下の関係式が成り立つからである。

【数7】

【0088】

すなわち、疑似乱数計算ステップ（ステップＳ２）の説明で述べたように、本構成の疑似乱数は、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)の計算結果に表れていた付加項は、第２のインデックス（横方向）に関する総和であり、ゼロとはならないが、[z]=[x・y]=[x]・[y]の計算結果を復元する際には、第１のインデックス（縦方向）に関する総和がゼロになるという性質を用いて、結果的に付加項（マスク）の影響を除去することが可能になる。つまり、上記計算されたz_kは、余計な付加項が含まれているが、[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。

【0089】

以上、上記のような[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)は、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。つまり、参加者の中に不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0090】

［秘密計算（加算など）］
秘密計算ステップ（ステップＳ４）では、加算や定数乗算など、乗算以外の秘密計算をすることも可能である。ここでは、これら乗算以外の秘密計算について説明する。

【0091】

（定数加算）
定数c∈Z_nを各参加者P_iが共有している状況を仮定する。このとき、定数加算[x]+c=[x+c]は、[x]_iとcを用いて、[x+c]_i=(x’_i, x’_i+1, x’_i+2, x’_i+3)を計算すればよい。ここでx’_i= x₀+x mod n (i=0)、x’_i= x_i (i≠0)である。

【0092】

（定数乗算）
定数c∈Z_nを各参加者P_iが共有している状況を仮定する。このとき、定数乗算[x]・c=[x・c]は、[x]_iとcを用いて、[x・c]_i=(x’_i, x’_i+1, x’_i+2, x’_i+3)を計算すればよい。ここでx’_i= c・x_i mod nである。

【0093】

（シェア同士の加算）
シェア同士の加算[x]+[y]=[z]は、[z]_i=(z_i, z_i+1, z_i+2, z_i+3)を計算すればよい。ここでz_i= x_i + y_i mod nである。

【0094】

（内積）
シェアのベクトルの内積は、シェア同士の乗算の単純な拡張であるが、localな乗算が発生しないので、z_kを送信する際に、単にまとめて送るだけでよい。

【数8】

【0095】

［復元］
復元ステップ（ステップＳ５）では、秘密計算ステップ（ステップＳ４）の結果のシェアを復元するステップである。復元ステップ（ステップＳ５）は、実質的に第一実施形態での処理と同じであるが、ここではハッシュ関数と組み合わせた処理を説明する。以下で説明する復元ステップ（ステップＳ５）の処理は、例えば、図５に示すように、秘密計算サーバ装置２００_ｉが比較検証部２０１_ｉを備え、比較検証部２０１_ｉが正しい値を採用することによって、標準モデルにおけるGuaranteed Output Delivery (GOD)を実現する。なお、比較検証部２０１_ｉは、後に説明するハードウェア構成において実行されるプログラムとして実現することも可能である。

【0096】

参加者P_iが、ｘを復元する場合に、自己が保持していないシェアの値x_i+4を他の参加者P_i+1, P_i+2, P_i+3から受信する状況を考える。参加者P_i+1, P_i+2は、値x_i+4をそのまま参加者P_iへ送信し、参加者P_i+3は、値x_i+4のハッシュ値h_i+4を参加者P_iへ送信する。そして、参加者P_iは、参加者P_i+1, P_i+2から受信したx_i+4のハッシュ値をh_i+1、P_i+2から受信したx_i+4のハッシュ値をh_i+2として計算する。

【0097】

このとき、h_i+1 = h_i+2またはh_i+1 = h_i+3であれば、参加者P_i+1から受信したx_i+4を正しい値として採用する。また、h_i+2 = h_i+3であれば、参加者P_i+2から受信したx_i+4を正しい値として採用する。このように、少なくとも２つ以上が同一である受信値を正しい値として採用すれば、どれか１つが偽りの値であっても、正しい値を判別することができる。その後、正しい値x_i+4を用いてx = x₀ + x₁ + x₂ + x₃ + x₄ mod nを計算すれば、ｘを復元することが可能である。

【0098】

以上のような復元方法では、少なくとも３人の他の参加者P_jから同一となるはずのx_i+4（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別している。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0099】

以上、図４に示される典型的な秘密計算の各ステップについて説明してきたが、上記したようにすべてのステップにわたって、たとえ不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0100】

［ハードウェア構成例］
図６は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図６に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成例である。図６に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現することを可能にする。

【0101】

ただし、図６に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）は、図６に示さないハードウェアを含むことができる。

【0102】

図６に示すように、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

【0103】

ＣＰＵ１１は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

【0104】

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。ＩＦ部１４は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）間の入出力に関するインターフェイスを提供する。

【0105】

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現する。

【0106】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を、
有する秘密計算システム。
［付記２］
前記秘密計算サーバ装置のそれぞれが、
シードと識別子を入力として決定的に疑似乱数を生成し、前記疑似乱数を用いて、第１のインデックスに関する総和はゼロであり、第２のインデックスに関する総和はゼロではないマスクの組を作成する疑似ランダム関数計算部をさらに備え、
前記受信値は、前記マスクによって秘匿された状態で送信される、付記１に記載の秘密計算システム。
［付記３］
前記秘密計算サーバ装置のそれぞれに秘密分散された２つのシェア値の乗算を秘密計算する際に、前記乗算のシェア値として、前記第２のインデックスに関する総和を付加項として有し、前記乗算の結果を復元する際に、前記第１のインデックスに関する総和がゼロであることを用いて前記マスクを除去する、付記２に記載の秘密計算システム。
［付記４］
前記比較検証部は、前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、付記１から付記３のいずれか１つに記載の秘密計算システム。
［付記５］
秘密分散して保持されている値の秘密計算をするために相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置の一つであって、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部を、
有する秘密計算サーバ装置。
［付記６］
相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置を備え、秘密分散して保持されている値の秘密計算をする秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する秘密計算方法。
［付記７］
シードと識別子を入力として決定的に疑似乱数を生成し、前記疑似乱数を用いて、第１のインデックスに関する総和はゼロであり、第２のインデックスに関する総和はゼロではないマスクの組を作成し、
前記受信値は、前記マスクによって秘匿された状態で送信される、付記６に記載の秘密計算方法。
［付記８］
前記秘密計算サーバ装置のそれぞれに秘密分散された２つのシェア値の乗算を秘密計算する際に、前記乗算のシェア値として、前記第２のインデックスに関する総和を付加項として有し、前記乗算の結果を復元する際に、前記第１のインデックスに関する総和がゼロであることを用いて前記マスクを除去する、付記７に記載の秘密計算方法。
［付記９］
前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、付記６から付記８のいずれか１つに記載の秘密計算方法。
［付記１０］
相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する処理を有する秘密計算プログラム。

【0107】

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

【符号の説明】

【0108】

１００，２００ 秘密計算システム
１００_ｉ，２００_ｉ 秘密計算サーバ装置
１０１_ｉ，２０１_ｉ 比較検証部
２０２_ｉ 疑似ランダム関数計算部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】