特許 7517475 秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-08

(45)【発行日】2024-07-17

(54)【発明の名称】秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(51)【国際特許分類】

   G06F 21/60 20130101AFI20240709BHJP

【ＦＩ】

G06F21/60

【請求項の数】 10

(21)【出願番号】P 2022574879

(86)(22)【出願日】2021-01-12

(86)【国際出願番号】 JP2021000661

(87)【国際公開番号】W WO2022153358

(87)【国際公開日】2022-07-21

【審査請求日】2023-07-11

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】土田 光

【審査官】中里 裕正

(56)【参考文献】

【文献】国際公開第２０１８／０５３１８５（ＷＯ，Ａ１）

【文献】加藤遼, 西出隆志, 吉浦裕 ，部分的に小さな法を用いたマルチパーティ計算のビット演算効率化，情報処理学会論文誌（ジャーナル） Ｖｏｌ．５５ Ｎｏ．９ ［ｏｎｌｉｎｅ］ ，2014年09月15日，第55巻 第9号，pp.1971-1991

【文献】KIKUCHI, R. et al.，Efficient Bit-Decomposition and Modulus-Conversion Protocols with an Honest Majority，Cryptology ePrint Archive，Report 2018/387，[online]，2018年04月，pp.1-19，URL:https://eprint.iacr.org/2018/387

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６０

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

相互にネットワークで接続した５台の秘密計算サーバ装置を備え、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、
前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を有し、
前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算システム。

【請求項2】

前記秘密計算サーバ装置のそれぞれが、
前記論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして分散する再分散部をさらに有し、
前記再分散部が分散した前記一時的変数の算術シェアの受信値を前記比較検証部が検証し、
前記再分散部が分散した前記一時的変数の算術シェアと前記ローカル再分散部が得た算術シェアとを用いて、前記論理シェアをビット変換した算術シェアを秘密計算する、請求項１に記載の秘密計算システム。

【請求項3】

前記一時的変数は、前記秘密計算サーバ装置の５台のうち３台が共通して保持している前記論理シェアにおけるサブシェアから計算され、
前記再分散部は、前記３台の秘密計算サーバ装置が共通して計算する前記一時的変数から決定的に生成した算術シェアを分散し、
前記比較検証部は、前記３台の秘密計算サーバ装置から受信した算術シェアに対して、少なくとも２つ以上が同一である受信値を正しい値として採用する、請求項２に記載の秘密計算システム。

【請求項4】

前記比較検証部は、前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、請求項１から請求項３のいずれか１項に記載の秘密計算システム。

【請求項5】

秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換するために、相互にネットワークで接続した少なくとも５台の秘密計算サーバ装置の一つであって、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、
前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を有し、
前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算サーバ装置。

【請求項6】

相互にネットワークで接続した５台の秘密計算サーバ装置を用いて、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、
前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算方法。

【請求項7】

前記秘密計算サーバ装置のそれぞれが、
前記論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして再分散し、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記再分散した前記一時的変数の算術シェアの受信値を検証し、
前記再分散した前記一時的変数の算術シェアと前記通信を伴うことなく計算した算術シェアとを用いて、前記論理シェアをビット変換した算術シェアを秘密計算する、請求項６に記載の秘密計算方法。

【請求項8】

前記一時的変数を、前記秘密計算サーバ装置の５台のうち３台が共通して保持している前記論理シェアにおけるサブシェアから計算し、
前記３台の秘密計算サーバ装置が共通して計算する前記一時的変数から決定的に生成した算術シェアを再分散し、
前記３台の秘密計算サーバ装置から受信した算術シェアに対して、少なくとも２つ以上が同一である受信値を正しい値として採用する、請求項７に記載の秘密計算方法。

【請求項9】

前記受信値が正しい値であることを判断する際には、前記受信値のハッシュ値が同一であることを用いて判断する、請求項６から請求項８のいずれか１項に記載の秘密計算方法。

【請求項10】

相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、
相互にネットワークで接続した５台の秘密計算サーバ装置に、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換をさせる秘密計算プログラムであって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、
前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。

【背景技術】

【0002】

近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている。秘密計算は、第三者に対して計算過程とその結果を秘密にしつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘密にするデータを複数のサーバ（秘密計算サーバ装置）に分散配置し、秘密にした状態を維持しながら当該データの任意の演算を実行する。なお、各秘密計算サーバ装置に分散配置したデータをシェアと呼ぶ。以下、特に断りがない限り、「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。

【0003】

このような秘密計算には、四則演算だけではなく、特定用途の計算プロトコルも実装することが一般的である。その特定用途の計算プロトコルの一つとして、ビット変換プロトコルがある。ビット変換は、法の変換を伴う型変換のことであり、例えば、位数２の剰余類環Ｚ_２上のシェアから位数ｎの剰余類環Ｚ_ｎ上のシェアを得る変換が該当する。このようなビット変換は、例えば、算術演算と論理演算の混合回路における計算効率を向上させることができる。

【0004】

算術演算と論理演算の混合回路の簡単な例としてハミング距離(Hamming distance)の計算がある。ハミング距離とは、２つの２進数の比較において異なっている桁の個数のことであり、例えば１１１１１１１と１０１０１０１とのハミング距離は３である。このようなハミング距離の計算では、桁が異なっているか否かは排他的論理和であるので論理演算とし、異なっている桁の個数を集計するのは算術演算とすることが好ましい。ビット変換のためのプロトコルを備えた秘密計算は、このような算術演算と論理演算の混合回路における秘密計算の処理をそれぞれに適した法で計算することができるので、計算効率を向上させることが可能である。

【先行技術文献】

【非特許文献】

【0005】

【文献】Byali, M., Chaudhari, H., Patra, A., & Suresh, A. (2020). FLASH: fast and robust framework for privacy-preserving machine learning. Proceedings on Privacy Enhancing Technologies, 2020(2), 459-480.

【発明の概要】

【発明が解決しようとする課題】

【0006】

なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

【0007】

ところで、一般に秘密計算と呼ばれる技術の中にも、達成されている安全性の程度には高低がある。例えば、秘密計算を行うマルチパーティの参加者の中に不正者が紛れたとする。その場合に、不正者の存在を検知し処理を中断することができる秘密計算の技術と、たとえ不正者が存在しても処理を中断することなく正しい計算結果を得ることができる秘密計算の技術とでは、後者の方が前者よりも安全性が高い。そして、後者の安全性を満たす秘密計算はGuaranteed Output Delivery (GOD)と呼ばれ、これを実現する秘密計算の例も知られている（例えば、非特許文献１参照）。

【0008】

また、秘密計算における安全性の評価には、達成できる安全性の効果だけではなく、前提条件も重要な意味を持つ。代表的な前提条件としてハッシュ関数のランダムオラクルモデルないしランダムオラクル仮定がある。

【0009】

ハッシュ関数は、入力に対し一意の出力を返す関数であるが、出力から入力を推定することが困難であるように構成されている。ここで、出力から入力を推定することが困難であるとはいうものの、絶対に不可能であるかというとその保証はできない。そこで、安全性の評価に際し、用いられているハッシュ関数が脆弱性を持たないという前提で安全性が評価される。この前提の安全性を「ランダムオラクルモデルにおいて安全」あるいは「ランダムオラクル仮定のもとで安全」という。そして、非特許文献１における秘密計算の安全性は「ランダムオラクルモデルにおいて安全」である。

【0010】

一方、「ランダムオラクルモデルにおいて安全」の対義語は、「標準モデルにおいて安全」である。すなわち、ハッシュ関数の出力から入力を推定することができたとしても、そのこと自体が秘密計算の脆弱性とはならないことをいう。当然のことながら、達成できる安全性が同じであれば、ランダムオラクルモデルにおける安全性よりも、標準モデルにおける安全性の方が高度な安全性が達成できることになる。したがって、ビット変換のプロトコルにおいても標準モデルにてGuaranteed Output Delivery (GOD)を達成することが望ましいことになる。

【0011】

本発明の目的は、上述した課題を鑑み、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成するビット変換に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することである。

【課題を解決するための手段】

【0012】

本発明の第１の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を備え、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、を有し、前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算システムが提供される。

【0013】

本発明の第２の視点では、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換するために、相互にネットワークで接続した少なくとも５台の秘密計算サーバ装置の一つであって、前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、を有し、前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算サーバ装置が提供される。

【0014】

本発明の第３の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を用いて、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算方法であって、前記秘密計算サーバ装置のそれぞれが、前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算方法が提供される。

【0015】

本発明の第４の視点では、相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、相互にネットワークで接続した５台の秘密計算サーバ装置に、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換をさせる秘密計算プログラムであって、前記秘密計算サーバ装置のそれぞれが、前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0016】

本発明の各視点によれば、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成するビット変換に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。

【図面の簡単な説明】

【0017】

【図1】図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図2】図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図3】図３は、秘密計算方法の手順の概略を示すフローチャートである。

【図4】図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図5】図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図6】図６は、第３の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図7】図７は、第３の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図8】図８は、秘密計算方法の手順の概略を示すフローチャートである。

【図9】図９は、秘密計算サーバ装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0018】

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

【0019】

［第１の実施形態］
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。

【0020】

図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。図１に示すように、第１の実施形態による秘密計算システム１００は、第１の秘密計算サーバ装置１００_０と第２の秘密計算サーバ装置１００_１と第３の秘密計算サーバ装置１００_２と第４の秘密計算サーバ装置１００_３と第５の秘密計算サーバ装置１００_４とを備えている。第１の秘密計算サーバ装置１００_０、第２の秘密計算サーバ装置１００_１、第３の秘密計算サーバ装置１００_２、第４の秘密計算サーバ装置１００_３、および第５の秘密計算サーバ装置１００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0021】

第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置１００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0022】

また、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶されているシェアに対し、その計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0023】

なお、上記計算結果のシェアは、第１～第５の秘密計算サーバ装置１００_０～１００_４とシェアを送受信することで、復元してもよい。あるいは、第１～第５の秘密計算サーバ装置１００_０～１００_４ではない外部にシェアを送信することで、復号してもよい。

【0024】

さらに、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0025】

例えば上記のように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができるシェアの構成として以下の構成を採用することができる。

【0026】

位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェア（以下、これを算術シェアということがある）を以下のように定義する。ただし、mは２以上の整数とし、n=2^mであるとする。つまり、位数２の剰余類環Z₂は、位数ｎの剰余類環Z_nと区別する。

【0027】

位数ｎの剰余類環Z_nの元x∈Z_nを
x = x₀ + x₁ + x₂ + x₃ + x₄ mod n
との関係を満たすように分解し、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]_iは、以下のようにする。
[x]_i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0028】

一方、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェア（以下、これを論理シェアということがある）は、上記剰余類環Z_n上のシェアにおけるn=2の場合と同様の定義であるが、記法としては位数ｎの剰余類環Z_nと区別し、[x]^Bのように表す。すなわち、具体的には以下のように定める。

【0029】

位数２の剰余類環Z₂の元x∈Z₂を以下のように分解する。なお、〇で囲まれた＋は排他的論理和を表す。

【数1】

【0030】

そして、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]^B _iは、以下のようにする。
[x]^B _i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0031】

このように各参加者P_i (i = 0, 1, 2, 3, 4)が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄を定めると、各参加者P_i (i = 0, 1, 2, 3, 4)は、自己が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄からはｘを復元することはできない。一方、参加者P_i (i = 0, 1, 2, 3, 4)のうち、少なくとも２名が保持しているシェアを合わせるとｘを復元することができるという秘密分散が実現する。なお、この秘密分散方式は、2-out-of-5複製型秘密分散（Replicated Secret Sharing Scheme）と呼ばれている。

【0032】

ところで、この秘密分散方式の秘密計算では、ｘを復元する場合に限らず、ビット変換をする場合でも、各参加者が、自己が保持していないサブシェアの値を他の参加者から直接ないし間接的に受信する状況が発生する。

【0033】

例えば、１という数を考えた場合、(1, 0, 0, 0, 0)と(1, 1, 1, 1, 1)は、共に１を排他的論理和に分解したものである。しかしながら、1+0+0+0+0=1であるが、1+1+1+1+1=5であるので、(1, 1, 1, 1, 1)は、１という数の算術和ではない。つまり、(1, 0, 0, 0, 0)と(1, 1, 1, 1, 1)は、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェアとしては同値であっても、位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェアとしては同値にならない。

【0034】

そこで、ビット変換をする場合でも、各参加者が、自己が保持していないサブシェアの値を他の参加者から直接ないし間接的に受信する状況が発生するが、他の参加者の中に不正者が紛れたとすると、本来は受信したい値の代わりに別の値が送信されてくることが起こり得る。すると、誤った値に基づいて秘密計算を実行することになり、誤った計算を得ることになったり、そもそも計算自体を正常に実行することができなくなったりするのである。

【0035】

そこで、本実施形態の秘密計算システム１００では、図２に示すように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）が、ローカル再分散部１０１_ｉと秘密計算部１０２_ｉと比較検証部１０３_ｉを備える。図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【0036】

ローカル再分散部１０１_ｉは、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算し、秘密計算部１０２_ｉは、論理シェアをビット変換した算術シェアを得るために、ローカル再分散部１０１_ｉが得た算術シェアを用いて通信を伴った秘密計算を行う。そして、比較検証部１０３_ｉは、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。

【0037】

このように、本実施形態の秘密計算システム１００は、位数２の剰余類環上の論理シェアから位数ｎの剰余類環上の算術シェアにビット変換する際に、最初に通信を伴うことなく再分散（ローカル再分散）を行い、当該ローカル再分散された算術シェアから論理シェアをビット変換した算術シェアを得るために行う通信を伴った秘密計算を行い、当該通信を伴った秘密計算における受信値を少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較することで検証を行う。

【0038】

なお、本実施形態を秘密計算方法として捉えると、以下のようになる。図３は、秘密計算方法の手順の概略を示すフローチャートである。

【0039】

図３に示すように、本実施形態に係る秘密計算方法は、ローカル再分散ステップ（Ｓ１１）と通信を伴った秘密計算ステップ（Ｓ１２）と比較検証ステップ（Ｓ１３）とを有する。ローカル再分散ステップ（Ｓ１１）では、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算し、通信を伴った秘密計算ステップ（Ｓ１２）では、論理シェアをビット変換した算術シェアを得るために、再分散された算術シェアを用いて通信を伴った秘密計算を行う。そして、比較検証ステップ（Ｓ１３）にて、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。なお、比較検証ステップ（Ｓ１３）は、通信を伴った秘密計算ステップ（Ｓ１２）を行う度に行う。

【0040】

このように、本実施形態の秘密計算システム１００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、そもそもハッシュ関数を用いていないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0041】

さらに、本実施形態の秘密計算システム１００および秘密計算方法は、最初に通信を伴うことなく再分散（ローカル再分散）を行い、その後に通信を伴った秘密計算を行うので、通信コストが低減されている。

【0042】

以上説明した第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。以下で説明する第２の実施形態は、上記説明したコンセプトを実用的な実施形態に適用したものである。

【0043】

［第２の実施形態］
以下、図４および図５を参照して、第２の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。

【0044】

図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。図４に示すように、第２の実施形態による秘密計算システム２００は、第１の秘密計算サーバ装置２００_０と第２の秘密計算サーバ装置２００_１と第３の秘密計算サーバ装置２００_２と第４の秘密計算サーバ装置２００_３と第５の秘密計算サーバ装置２００_４とを備えている。第１の秘密計算サーバ装置２００_０、第２の秘密計算サーバ装置２００_１、第３の秘密計算サーバ装置２００_２、第４の秘密計算サーバ装置２００_３、および第５の秘密計算サーバ装置２００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0045】

第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置２００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0046】

さらに、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0047】

図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態の秘密計算システム２００は、図５に示すように、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が、ローカル再分散部２０１_ｉと秘密計算部２０２_ｉと比較検証部２０３_ｉを備える。

【0048】

ローカル再分散部２０１_ｉは、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算し、秘密計算部２０２_ｉは、論理シェアをビット変換した算術シェアを得るために、ローカル再分散部２０１_ｉが得た算術シェアを用いて通信を伴った秘密計算を行う。そして、比較検証部２０３_ｉは、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。

【0049】

以下、本実施形態におけるビット変換の実施に用いられるビルディングブロックについて説明する。なお、以下ではビット変換の実施に用いられるビルディングブロックの全てを説明することはしない。基本となる四則演算の秘密計算のうち、自明ではない乗算を中心に説明を行う。

【0050】

［疑似乱数の生成とシードの共有］
疑似ランダム関数Ｆ_ｎ，Ｆ_２とシードおよび識別子の関係は次の通りである。疑似ランダム関数Ｆ_ｎ，Ｆ_２は、セキュリティパラメータκに対して定められた２項演算である。
Ｆ_ｎ：{0,1}^κ×{0,1}^κ→{0,1}^ｎ
Ｆ_２：{0,1}^κ×{0,1}^κ→{0,1}^２
一方、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが適切に共有している値であり、識別子vid∈{0,1}^κはカウンタなどの公開された値である。これらシードと識別子を入力として、疑似ランダム関数Ｆ_ｎ，Ｆ_２は、決定的に疑似乱数を生成する。

【0051】

５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持する。ただし、seed₄₊₁ = seed₀である。すなわち、各秘密計算サーバ装置２００_ｉは、すべてのシードseed_iを保持するのではなく、秘密計算サーバ装置２００_ｉは、シードseed_i+4のみを保持していないという関係となっている。これらシードの共有は、例えば、各秘密計算サーバ装置２００_ｉにおける事前の設定として管理者などが適切に設定することができる。

【0052】

［マスク作成］
ここでは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能であるような、疑似乱数(Correlated Randomness)を作成し、これを後に説明する乗算の秘密計算においてマスクとして用いる。

【0053】

まず、参加者P_i+4がシードseed_i+3を保持していないことに着目すると、疑似ランダム関数F_nの入力としてシードseed_i+3を用いれば以下の疑似乱数は上記条件を満たす。すなわち、下記α_kは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。
α_k = F_n(vid_k, seed_i+3)- F_n(vid_k+1, seed_i+3) mod n

【0054】

また、識別子vid_kにおけるインデックスkをk=0からk=4まで変化させると、α_kを５つ作成することが可能である。そこで、これらα_kの組を以下のように定める。このように定めたα₀, α₁, α₂, α₃, α₄がα₀+α₁+α₂+α₃+α₄=0を満たすことは容易に確かめることができる。
(α₀, α₁, α₂, α₃, α₄) = CR(i+4, {vid_k}⁴ _k=0, seed_i+3)

【0055】

このように作成された疑似乱数α₀, α₁, α₂, α₃, α₄は、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。一方、参加者P_i+4にとっても、各疑似乱数α₀, α₁, α₂, α₃, α₄は除去できないが、すべての疑似乱数α₀, α₁, α₂, α₃, α₄が揃うと総和は０であり除去可能になるという性質がある。

【0056】

さらに、上記疑似乱数の作成は、すべての参加者P_i+4に対しても同様に行うことができる。具体的には、以下のように定めればよい。
(α_i,0, α_i,1, α_i,2, α_i,3, α_i,4) = CR(i, {vid_k}⁴ _k=0, seed_i+4) for i=0,1,2,3,4
α_i,k = F_n(vid_k, seed_i+4)- F_n(vid_k+1, seed_i+4) mod n for i=0,1,2,3,4

【0057】

このように作成された疑似乱数の組は以下のようになる。

【表1】

【0058】

上記疑似乱数の表では、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。

【0059】

［秘密計算（乗算）］
次に、秘密計算の重要な因子である乗算について説明する。つまり、２つのシェア[x],[y]から[z]=[x・y]=[x]・[y]を計算する秘密計算の具体例を説明する。なお、x,y,zは以下のように分解されているとする。

【数2】

【0060】

参加者P_i(i=0,1,2,3,4)は、以下のようなtmp_zkを計算する。このtmp_zkは参加者P_iがz_kを計算するためにはx_k・y_i+4が足りない（保持しているシェアから計算できない）ので、代わりに計算する値である。なお、α_j,kは、上述の［マスク作成］の項目にて説明した疑似乱数である。

【数3】

【0061】

ここで、送信者集合S_i={P_i+2, P_i+3, P_i+4}, S_i+1={P_i+3, P_i+4, P_i+1}, S_i+2={P_i+4, P_i+1, P_i+2}, S_i+3={P_i+1, P_i+2, P_i+3}を定める。するとS_kに属する参加者は、x_ky_i+4を保持しているシェアから計算することができる。そこで、例えば、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、x_k・y_i+4を上記疑似乱数α_i,kでマスクをしたm_k,i+2, m_k,i+3, m_k,i+4を計算する。
P_i+2: m_k,i+2 = α_{i,k +} x_k・y_i+4 mod n
P_i+3: m_k,i+3 = α_{i,k +} x_k・y_i+4 mod n
P_i+4: m_k,i+4 = α_{i,k +} x_k・y_i+4 mod n

【0062】

そして、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、例えば、参加者P_i+2, P_i+3がm_k,i+2, m_k,i+3をそのまま参加者P_iに送信し、参加者P_i+4がm_k,i+4のハッシュ値h_k,i+4を参加者P_iに送信する。ここで、m_k,i+2, m_k,i+3, m_k,i+4は疑似乱数α_i,kでマスクをしているのでx_ky_i+4が漏洩することはない。つまり、ここではハッシュ関数も用いているが、これは安全性の確保のためではなく、通信コストを削減するためである。

【0063】

その後、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4を受信した参加者P_iは、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4の比較検証を行う。まず、参加者P_iは、m_k,i+2, m_k,i+3のハッシュ値h_k,i+2, h_k,i+3を計算する。そして、h_k,i+2=h_k,i+3またはh_k,i+2=h_k,i+4であれば、m_k = m_k,i+2とする。一方、h_k,i+3=h_k,i+4であれば、m_k = m_k,i+2とする。

【0064】

上記のようにx_ky_i+4を参加者P_iへ受け渡せば、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。

【0065】

その後、参加者P_iは、正しい値であることが判定されたm_kを用いて、z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)を計算する。

【数4】

【0066】

このように計算されたz_kは、余計な付加項が含まれているが、[z]=[xy]=[x][y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。それは、実際に以下のようにz=z₀+z₁+z₂+z₃+z₄を計算すると明らかとなる。

【0067】

【数5】

【0068】

ここで、疑似乱数α_i,kが消去される理由は、疑似乱数の構成から以下の関係式が成り立つからである。

【数6】

【0069】

すなわち、上述の［マスク作成］の項目にて説明したように、本構成の疑似乱数は、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)の計算結果に表れていた付加項は、第２のインデックス（横方向）に関する総和であり、ゼロとはならないが、[z]=[x・y]=[x] ・ [y]の計算結果を復元する際には、第１のインデックス（縦方向）に関する総和がゼロになるという性質を用いて、結果的に付加項（マスク）の影響を除去することが可能になる。つまり、上記計算されたz_kは、余計な付加項が含まれているが、[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。

【0070】

以上、上記のような[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)は、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。つまり、参加者の中に不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、通信量の削減を目的として利用しているのであり、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0071】

［ビット変換］
ビット変換とは、位数２の剰余類環Ｚ_２上の論理シェア[x]^Bから位数ｎの剰余類環Ｚ_ｎ上の算術シェア[x]を得るビット変換：[x]←BC([x]^B)である。まず、ローカル再分散として、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散する。具体的には以下のように行う。

【0072】

各参加者P_i(i=0,1,2,3,4)は以下のように、[x₀]_iを設定する。
P₀: [x₀]₀ = (x₀, 0, 0, 0)
P₁: [x₀]₁ = (0, 0, 0, 0)
P₂: [x₀]₂ = (0, 0, 0, x₀)
P₃: [x₀]₃ = (0, 0, x₀, 0)
P₄: [x₀]₄ = (0, x₀, 0, 0)

【0073】

各参加者P_i(i=0,1,2,3,4)は以下のように、[x₁]_iを設定する。
P₀: [x₁]₀ = (0, x₁, 0, 0)
P₁: [x₁]₁ = (x₁, 0, 0, 0)
P₂: [x₁]₂ = (0, 0, 0, 0)
P₃: [x₁]₃ = (0, 0, 0, x₁)
P₄: [x₁]₄ = (0, 0, x₁, 0)

【0074】

各参加者P_i(i=0,1,2,3,4)は以下のように、[x₂]_iを設定する。
P₀: [x₂]₀ = (0, 0, x₂, 0)
P₁: [x₂]₁ = (0, x₂, 0, 0)
P₂: [x₂]₂ = (x₂, 0, 0, 0)
P₃: [x₂]₃ = (0, 0, 0, 0)
P₄: [x₂]₄ = (0, 0, 0, x₂)

【0075】

各参加者P_i(i=0,1,2,3,4)は以下のように、[x₃]_iを設定する。
P₀: [x₃]₀ = (0, 0, 0, x₃)
P₁: [x₃]₁ = (0, 0, x₃, 0)
P₂: [x₃]₂ = (0, x₃, 0, 0)
P₃: [x₃]₃ = (x₃, 0, 0, 0)
P₄: [x₃]₄ = (0, 0, 0, 0)

【0076】

各参加者P_i(i=0,1,2,3,4)は以下のように、[x₄]_iを設定する。
P₀: [x₄]₀ = (0, 0, 0, 0)
P₁: [x₄]₁ = (0, 0, 0, x₄)
P₂: [x₄]₂ = (0, 0, x₄, 0)
P₃: [x₄]₃ = (0, x₄, 0, 0)
P₄: [x₄]₄ = (x₄, 0, 0, 0)

【0077】

なお、上記ローカル再分散は、通信を伴った計算ではないので、参加者の中に不正者が紛れたとしても計算の実行に影響を及ぼさない。

【0078】

次に、上記のように再分散された算術シェアを用いて通信を伴った秘密計算を行い、論理シェアをビット変換した算術シェアを得る。なお、ここで再度の注意を述べるが、例えば、(1, 0, 0, 0, 0)と(1, 1, 1, 1, 1)は、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェアとしては同値であっても、位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェアとしては同値にならない。これは、排他的論理和を用いた分解は、算術和の分解に対応しないからである。そこで、排他的論理和と算術和との違いを相殺するために以下のような秘密計算を行う。

【0079】

【数7】

【0080】

ここで、上記秘密計算は、２乗が含まれているので乗算の秘密計算を含む。そして、乗算の秘密計算では、他の秘密計算サーバ装置との間で通信が必要となる。そこで、上述の［秘密計算（乗算）］を用い、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。

【0081】

以上のように、第２の実施形態の秘密計算システム２００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0082】

また、上記処理では、ハッシュ関数を用いているが、通信量の削減を目的として利用しているのであり、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。さらに、本実施形態の秘密計算システム２００および秘密計算方法は、最初に通信を伴うことなく再分散（ローカル再分散）を行い、その後に通信を伴った秘密計算を行うので、通信コストが低減されている。

【0083】

［第３の実施形態］
以下、図６および図７を参照して、第３の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。

【0084】

図６は、第３の実施形態における秘密計算システムの機能構成例を示すブロック図である。図６に示すように、第３の実施形態による秘密計算システム３００は、第１の秘密計算サーバ装置３００_０と第２の秘密計算サーバ装置３００_１と第３の秘密計算サーバ装置３００_２と第４の秘密計算サーバ装置３００_３と第５の秘密計算サーバ装置３００_４とを備えている。第１の秘密計算サーバ装置３００_０、第２の秘密計算サーバ装置３００_１、第３の秘密計算サーバ装置３００_２、第４の秘密計算サーバ装置３００_３、および第５の秘密計算サーバ装置３００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0085】

第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム３００においては、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置３００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0086】

さらに、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム３００においては、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0087】

図７は、第３の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態秘密計算システム３００は、図７に示すように、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）が、ローカル再分散部３０１_ｉと秘密計算部３０２_ｉと比較検証部３０３_ｉと再分散部３０４_ｉを備える。

【0088】

ローカル再分散部３０１_ｉは、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算し、秘密計算部３０２_ｉは、論理シェアをビット変換した算術シェアを得るために、ローカル再分散部３０１_ｉが得た算術シェアを用いて通信を伴った秘密計算を行う。そして、比較検証部３０３_ｉは、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。再分散部３０４_ｉは、論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして再分散する。

【0089】

このように、第３の実施形態における秘密計算サーバ装置３００_ｉは、第２の実施形態における秘密計算サーバ装置２００_ｉの構成に加えて再分散部３０４_ｉを備えている。この再分散部３０４_ｉの役割を秘密計算方法の中で説明すると、以下のようになる。図８は、秘密計算方法の手順の概略を示すフローチャートである。

【0090】

図８に示すように、本実施形態に係る秘密計算方法は、再分散ステップ（Ｓ２１）とローカル再分散ステップ（Ｓ２２）と通信を伴った秘密計算ステップ（Ｓ２３）と比較検証ステップ（Ｓ２４）とを有する。再分散ステップ（Ｓ２１）では、論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして再分散し、ローカル再分散ステップ（Ｓ２２）では、論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算する。なお、再分散ステップ（Ｓ２１）とローカル再分散ステップ（Ｓ２２）は順序が逆になってもよい。

【0091】

通信を伴った秘密計算ステップ（Ｓ２３）では、論理シェアをビット変換した算術シェアを得るために、再分散された算術シェアを用いて通信を伴った秘密計算を行う。そして、比較検証ステップ（Ｓ２４）にて、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。なお、比較検証ステップ（Ｓ２４）は、通信を伴った秘密計算を行う度に行う。したがって、通信を伴った秘密計算ステップ（Ｓ２３）の受信値に対してだけではなく、再分散ステップ（Ｓ２１）の受信値に対しても比較検証ステップ（Ｓ２４）が行われる。

【0092】

［再分散］
まず、本実施形態において追加された再分散部３０４_ｉの機能について説明する。本実施形態で用いられる再分散は、以下のように定義される。すなわち、参加者P_i,P_i+1,P_i+2が値cを保持していた場合に、シードと識別子から決定的に定められる再分散である。

【0093】

【数8】

【0094】

ただし、r_j = F_n(vid_k, seed_i+2)かつr´_j = F_n(vid_k+1, seed_i+3)であり、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、先述の［疑似乱数の生成とシードの共有］の項で説明した性質のシードである。したがって、参加者P_i+3は、seed_i+2を知らず、また、参加者P_i+4は、seed_i+3を知らない。つまり、参加者P_i+3, P_i+4は、自分でc_i+3,c_i+4を計算することができず、参加者P_i,P_i+1,P_i+2からc_i+3,c_i+4を受信する必要がある。

【0095】

ここで、通信を伴った秘密計算が発生するので、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した同一の値となるはずの受信値c_i+3,c_i+4を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する。具体的には、以下のように行うことができる。

【0096】

参加者P_i,P_i+1は、c_j+1,c_j+2,c_j+3(j=i+3)を参加者P_i+3に送信する。一方、参加者P_i+2は、c_j+1,c_j+2,c_j+3(j=i+3)のハッシュ値を各参加者に送信する。さらに、参加者P_i,P_i+1は、c_j´+1,c_j´+2,c_j´+3(j´=i+3)を参加者P_i+4に送信する。一方、参加者P_i+2は、c_j´+1,c_j´+2,c_j´+3(j´=i+3)を各参加者に送信する。そして、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した受信値のうち少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0097】

次に、上記説明した再分散をビット変換の中でどのように用いるかを説明する。

【0098】

［ビット変換］
ビット変換とは、位数２の剰余類環Ｚ_２上の論理シェア[x]^Bから位数ｎの剰余類環Ｚ_ｎ上の算術シェア[x]を得るビット変換：[x]←BC([x]^B)であった。まず、参加者P₃,P₄,P₀および参加者P₀,P₁,P₂は、それぞれ以下のように、論理シェア[x]^Bにおけるサブシェアx_iから計算された一時的変数y₀,y₁を計算する。

【0099】

【数9】

【0100】

次に、参加者P₃,P₄,P₀および参加者P₀,P₁,P₂は、一時的変数y₀,y₁を再分散する。

【数10】

【0101】

なお、上記再分散は、通信を伴った秘密計算であるので、既に説明したように、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した受信値のうち少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0102】

一方、各参加者P_i(i=0,1,2,3,4)は以下のように、[x₄]_iを設定する。なお、この処理は通信を伴った秘密計算ではないので、検証は必要ない。
P₀: [x₄]₀ = (0, 0, 0, 0)
P₁: [x₄]₁ = (0, 0, 0, x₄)
P₂: [x₄]₂ = (0, 0, x₄, 0)
P₃: [x₄]₃ = (0, x₄, 0, 0)
P₄: [x₄]₄ = (x₄, 0, 0, 0)

【0103】

そして、最終的に、一時的変数y₀,y₁の算術シェアと算術シェア[x₄]_i(i=0,1,2,3,4)とを用いて、前記論理シェアをビット変換した算術シェアを以下のように秘密計算する。

【0104】

【数11】

【0105】

なお、ここでも、上記秘密計算は、乗算の秘密計算を含むので、上述の［秘密計算（乗算）］を用い、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。

【0106】

以上のように、第３の実施形態の秘密計算システム３００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0107】

また、上記処理では、ハッシュ関数を用いているが、通信量の削減を目的として利用しているのであり、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。さらに、本実施形態の秘密計算システム３００および秘密計算方法は、最初に通信を伴うことなく再分散（ローカル再分散）を行い、その後に通信を伴った秘密計算を行うので、通信コストが低減されている。

【0108】

特に、第３の実施形態の秘密計算システム３００および秘密計算方法は、通信を伴った再分散と通信を伴わない再分散とを組み合わせて用いているので、第２の実施形態よりも通信コストが低減されている。具体的には、第２の実施形態の通信コストは、ラウンド数が３ラウンドであり、通信量が160kビットである。一方、第３の実施形態の通信コストは、ラウンド数が３ラウンドであり、通信量が112kビットである。つまり、第３の実施形態の秘密計算システム３００および秘密計算方法は、第２の実施形態との比較において、ラウンド数が同じでありながら、通信量48kビット削減することができている。

【0109】

［ハードウェア構成例］
図９は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図９に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成例である。図９に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現することを可能にする。

【0110】

ただし、図９に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）は、図９に示さないハードウェアを含むことができる。

【0111】

図９に示すように、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

【0112】

ＣＰＵ１１は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

【0113】

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。ＩＦ部１４は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）間の入出力に関するインターフェイスを提供する。

【0114】

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現する。

【0115】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した５台の秘密計算サーバ装置を備え、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、
前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を有し、
前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算システム。
［付記２］
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして分散する再分散部をさらに有し、
前記再分散部が分散した前記一時的変数の算術シェアの受信値を前記比較検証部が検証し、
前記再分散部が分散した前記一時的変数の算術シェアと前記ローカル再分散部が得た算術シェアとを用いて、前記論理シェアをビット変換した算術シェアを秘密計算する、付記１に記載の秘密計算システム。
［付記３］
前記一時的変数は、前記秘密計算サーバ装置の５台のうち３台が共通して保持している前記論理シェアにおけるサブシェアから計算され、
前記再分散部は、前記３台の秘密計算サーバ装置が共通して計算する前記一時的変数から決定的に生成した算術シェアを分散し、
前記比較検証部は、前記３台の秘密計算サーバ装置から受信した算術シェアに対して、少なくとも２つ以上が同一である受信値を正しい値として採用する、付記２に記載の秘密計算システム。
［付記４］
前記比較検証部は、前記受信値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、付記１から付記３のいずれか１つに記載の秘密計算システム。
［付記５］
秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換するために、相互にネットワークで接続した少なくとも５台の秘密計算サーバ装置の一つであって、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアを計算するローカル再分散部と、
前記論理シェアをビット変換した算術シェアを得るために、前記ローカル再分散部が得た算術シェアを用いて通信を伴った秘密計算を行う秘密計算部と、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を有し、
前記通信を伴った秘密計算における受信値を前記比較検証部が検証する、秘密計算サーバ装置。
［付記６］
相互にネットワークで接続した５台の秘密計算サーバ装置を用いて、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換する秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、
前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算方法。
［付記７］
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアにおけるサブシェアから計算された一時的変数を算術シェアとして再分散し、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記再分散した前記一時的変数の算術シェアの受信値を検証し、
前記再分散した前記一時的変数の算術シェアと前記通信を伴うことなく計算した算術シェアとを用いて、前記論理シェアをビット変換した算術シェアを秘密計算する、付記６に記載の秘密計算方法。
［付記８］
前記一時的変数を、前記秘密計算サーバ装置の５台のうち３台が共通して保持している前記論理シェアにおけるサブシェアから計算し、
前記３台の秘密計算サーバ装置が共通して計算する前記一時的変数から決定的に生成した算術シェアを再分散し、
前記３台の秘密計算サーバ装置から受信した算術シェアに対して、少なくとも２つ以上が同一である受信値を正しい値として採用する、付記７に記載の秘密計算方法。
［付記９］
前記受信値が正しい値であることを判断する際には、前記受信値のハッシュ値が同一であることを用いて判断する、付記６から付記８のいずれか１つに記載の秘密計算方法。
［付記１０］
相互にネットワークで接続した少なくとも５台以上の秘密計算サーバ装置に、秘密分散して保持されている値の秘密計算をさせる秘密計算プログラムであって、
相互にネットワークで接続した５台の秘密計算サーバ装置に、秘密分散して保持されている位数２の剰余類環上の論理シェアから位数ｎ（ｎ＝２^ｍ；ｍは２以上の整数）の剰余類環上の算術シェアにビット変換をさせる秘密計算プログラムであって、
前記秘密計算サーバ装置のそれぞれが、
前記論理シェアから、自己が保持していないサブシェアをゼロに設定することで他の秘密計算サーバ装置との通信を伴うことなく算術シェアに再分散し、
前記論理シェアをビット変換した算術シェアを得るために、前記再分散された算術シェアを用いて通信を伴った秘密計算を行い、
少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、前記通信を伴った秘密計算における受信値を検証する、秘密計算プログラム。

【0116】

なお、引用した上記の特許文献の開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

【符号の説明】

【0117】

１００，２００，３００ 秘密計算システム
１００_ｉ，２００_ｉ，３００_ｉ 秘密計算サーバ装置
１０１_ｉ，２０１_ｉ，３０１_ｉ ローカル再分散部
１０２_ｉ，２０２_ｉ，３０２_ｉ 秘密計算部
１０３_ｉ，２０３_ｉ，３０３_ｉ 比較検証部
３０４_ｉ 再分散部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】