特許 7517478 秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-07-08

(45)【発行日】2024-07-17

(54)【発明の名称】秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(51)【国際特許分類】

   G06F 21/60 20130101AFI20240709BHJP

【ＦＩ】

G06F21/60

【請求項の数】 10

(21)【出願番号】P 2022577826

(86)(22)【出願日】2021-01-26

(86)【国際出願番号】 JP2021002598

(87)【国際公開番号】W WO2022162726

(87)【国際公開日】2022-08-04

【審査請求日】2023-07-25

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】土田 光

【審査官】中里 裕正

(56)【参考文献】

【文献】特表２００７－５１０９４７（ＪＰ，Ａ）

【文献】特開２００８－２０８７１（ＪＰ，Ａ）

【文献】国際公開第２０１８／２１２０１５（ＷＯ，Ａ１）

【文献】国際公開第２０２０／０７５２７３（ＷＯ，Ａ１）

【文献】岩崎淳，秘密分散法を用いたマルチパーティ計算における低ラウンド大小比較アルゴリズム，２０２１年 暗号と情報セキュリティシンポジウム予稿集，2021年01月19日，pp.1-6

【文献】NISHIIDE, T. and OHTA, K.，Multiparty Computation for Interval, Equality, and Comparison Without Bit-Decomposition Protocol，Lecture Notes in Computer Science，Vol.4450，2007年，pp.343-360

【文献】REISTAD, T. I.，MULTIPARTY COMPARISON An Improved Multiparty Protocol for Comparison of Secret-shared Values，Proceedings of the International Conference on Security and Cryptography，Volume 1: SECRYPT，[online]，2009年，pp.325-330，DOI: 10.5220/0002233603250330

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０６Ｆ ２１／６０

ＪＳＴＰｌｕｓ／ＪＭＥＤＰｌｕｓ／ＪＳＴ７５８０（ＪＤｒｅａｍＩＩＩ）

ＩＥＥＥ Ｘｐｌｏｒｅ

(57)【特許請求の範囲】

【請求項1】

相互にネットワークで接続した５台の秘密計算サーバ装置を備え、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を備える、秘密計算システム。

【請求項2】

前記シャッフル部は、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換を計算して構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成し、
前記比較検証部は、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの前記シェアの置換を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する、
請求項１に記載の秘密計算システム。

【請求項3】

前記判別式にゼロでない乱数を乗算することで、判別式が０でない配列における値を秘匿する、請求項１または請求項２に記載の秘密計算システム。

【請求項4】

前記第１ビット列は、乱数でマスクされた入力値から最上位ビットを除いた値であり、
前記第２ビット列は、乱数から最上位ビットを除いた値であり、
前記第１ビット列と前記第２ビット列との大小比較の結果に基づいて、前記入力値から最上位ビットを除いた値の計算の補正を行い、前記補正された入力値から最上位ビットを除いた値を入力値から減算することで入力値の最上位ビットを計算する、請求項１から請求項３のいずれか１項に記載の秘密計算システム。

【請求項5】

第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を備える、秘密計算サーバ装置。

【請求項6】

相互にネットワークで接続した５台の秘密計算サーバ装置を用いて第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する、
秘密計算方法。

【請求項7】

前記シャッフルは、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換を計算して構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成し、
前記比較検証は、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの前記シェアの置換を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する、
請求項６に記載の秘密計算方法。

【請求項8】

前記判別式にゼロでない乱数を乗算することで、判別式が０でない配列における値を秘匿する、請求項６または請求項７に記載の秘密計算方法。

【請求項9】

前記第１ビット列は、乱数でマスクされた入力値から最上位ビットを除いた値であり、
前記第２ビット列は、乱数から最上位ビットを除いた値であり、
前記第１ビット列と前記第２ビット列との大小比較の結果に基づいて、前記入力値から最上位ビットを除いた値の計算の補正を行い、前記補正された入力値から最上位ビットを除いた値を入力値から減算することで入力値の最上位ビットを計算する、請求項６から請求項８のいずれか１項に記載の秘密計算方法。

【請求項10】

第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する、
秘密計算プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。

【背景技術】

【0002】

近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている。秘密計算は、第三者に対して計算過程とその結果を秘密にしつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘密にするデータを複数のサーバ（秘密計算サーバ装置）に分散配置し、秘密にした状態を維持しながら当該データの任意の演算を実行する。なお、各秘密計算サーバ装置に分散配置したデータをシェアと呼ぶ。以下、特に断りがない限り、「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。

【0003】

このような秘密計算には、四則演算だけではなく、特定用途の計算プロトコルも実装することが一般的である。その特定用途の計算プロトコルの一つとして、ある種の大小比較プロトコルがある。その一つとして、Private Compareとも呼ばれることもある、ビット分解されて秘密分散されている値と秘密にされていない値との大小比較がある。このPrivate Compareとも呼ばれる大小比較は、それ単体で利用されることは少ないが、最上位ビット抽出や数値の切り捨て(truncation)などの処理の内部処理として利用されている。そこで、このPrivate Compareとも呼ばれる大小比較は、秘密計算のシステムにおいて別途のビルディングブロックとして実装するメリットがある。

【先行技術文献】

【非特許文献】

【0004】

【文献】Byali, M., Chaudhari, H., Patra, A., & Suresh, A. (2020). FLASH: fast and robust framework for privacy-preserving machine learning. Proceedings on Privacy Enhancing Technologies, 2020(2), 459-480.

【発明の概要】

【発明が解決しようとする課題】

【0005】

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

【0006】

ところで、一般に秘密計算と呼ばれる技術の中にも、達成されている安全性の程度には高低がある。例えば、秘密計算を行うマルチパーティの参加者の中に不正者が紛れたとする。その場合に、不正者の存在を検知し処理を中断することができる秘密計算の技術と、たとえ不正者が存在しても処理を中断することなく正しい計算結果を得ることができる秘密計算の技術とでは、後者の方が前者よりも安全性が高い。そして、後者の安全性を満たす秘密計算はGuaranteed Output Delivery (GOD)と呼ばれ、これを実現する秘密計算の例も知られている（例えば、非特許文献１参照）。

【0007】

また、秘密計算における安全性の評価には、達成できる安全性の効果だけではなく、前提条件も重要な意味を持つ。代表的な前提条件としてハッシュ関数のランダムオラクルモデルないしランダムオラクル仮定がある。

【0008】

ハッシュ関数は、入力に対し一意の出力を返す関数であるが、出力から入力を推定することが困難であるように構成されている。ここで、出力から入力を推定することが困難であるとはいうものの、絶対に不可能であるかというとその保証はできない。そこで、安全性の評価に際し、用いられているハッシュ関数が脆弱性を持たないという前提で安全性が評価される。この前提の安全性を「ランダムオラクルモデルにおいて安全」あるいは「ランダムオラクル仮定のもとで安全」という。そして、非特許文献１における秘密計算の安全性は「ランダムオラクルモデルにおいて安全」である。

【0009】

一方、「ランダムオラクルモデルにおいて安全」の対義語は、「標準モデルにおいて安全」である。すなわち、ハッシュ関数の出力から入力を推定することができたとしても、そのこと自体が秘密計算の脆弱性とはならないことをいう。当然のことながら、達成できる安全性が同じであれば、ランダムオラクルモデルにおける安全性よりも、標準モデルにおける安全性の方が高度な安全性が達成できることになる。

【0010】

したがって、Private Compareとも呼ばれる大小比較のビルディングブロックにおいても標準モデルにおいてGuaranteed Output Delivery (GOD)を達成することが望ましいことになる。最上位ビット抽出や数値の切り捨て(truncation)などの処理においてGuaranteed Output Delivery (GOD)を達成するためには、その内部処理としてのビルディングブロックにおいても標準モデルにおいてGuaranteed Output Delivery (GOD)を達成することが必要だからである。

【0011】

本発明の目的は、上述した課題を鑑み、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成する大小比較の実現に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することである。

【課題を解決するための手段】

【0012】

本発明の第１の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を備え、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部とを備える秘密計算システムが提供される。

【0013】

本発明の第２の視点では、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部とを備える秘密計算サーバ装置が提供される。

【0014】

本発明の第３の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を用いて第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算方法であって、前記秘密計算サーバ装置のそれぞれが、前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する、秘密計算方法が提供される。

【0015】

本発明の第４の視点では、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する秘密計算プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0016】

本発明の各視点によれば、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成する大小比較の実現に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。

【図面の簡単な説明】

【0017】

【図1】図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図2】図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図3】図３は、秘密計算方法の手順の概略を示すフローチャートである。

【図4】図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図5】図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図6】図６は、大小比較（Private Compare）のプロトコルの手順を示すフローチャートである。

【図7】図７は、第３の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図8】図８は、第３の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図9】図９は、最上位ビット抽出のプロトコルの手順を示すフローチャートである

【図10】図１０は、秘密計算サーバ装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0018】

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

【0019】

［第１の実施形態］
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。

【0020】

図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。図１に示すように、第１の実施形態による秘密計算システム１００は、第１の秘密計算サーバ装置１００_０と第２の秘密計算サーバ装置１００_１と第３の秘密計算サーバ装置１００_２と第４の秘密計算サーバ装置１００_３と第５の秘密計算サーバ装置１００_４とを備えている。第１の秘密計算サーバ装置１００_０、第２の秘密計算サーバ装置１００_１、第３の秘密計算サーバ装置１００_２、第４の秘密計算サーバ装置１００_３、および第５の秘密計算サーバ装置１００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0021】

第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置１００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0022】

また、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶されているシェアに対し、その計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0023】

なお、上記計算結果のシェアは、第１～第５の秘密計算サーバ装置１００_０～１００_４とシェアを送受信することで、復元してもよい。あるいは、第１～第５の秘密計算サーバ装置１００_０～１００_４ではない外部にシェアを送信することで、復号してもよい。

【0024】

さらに、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0025】

例えば上記のように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができるシェアの構成として以下の構成を採用することができる。

【0026】

位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェア（以下、これを算術シェアということがある）を以下のように定義する。ただし、mは２以上の整数とし、n=2^mであるとする。つまり、位数２の剰余類環Z₂は、位数ｎの剰余類環Z_nと区別する。

【0027】

位数ｎの剰余類環Z_nの元x∈Z_nを
x = x₀ + x₁ + x₂ + x₃ + x₄ mod n
との関係を満たすように分解し、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]_iは、以下のようにする。
[x]_i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0028】

一方、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェア（以下、これを論理シェアということがある）は、上記剰余類環Z_n上のシェアにおけるn=2の場合と同様の定義であるが、記法としては位数ｎの剰余類環Z_nと区別し、[x]^Bのように表す。すなわち、具体的には以下のように定める。

【0029】

位数２の剰余類環Z_２の元x∈Z_２を以下のように分解する。なお、〇で囲まれた＋は排他的論理和を表す。

【0030】

【数1】

【0031】

そして、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]^B _iは、以下のようにする。
[x]^B _i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0032】

このように各参加者P_i (i = 0, 1, 2, 3, 4)が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄を定めると、各参加者P_i (i = 0, 1, 2, 3, 4)は、自己が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄からはｘを復元することはできない。一方、参加者P_i (i = 0, 1, 2, 3, 4)のうち、すくなくとも２名が保持しているシェアを合わせるとｘを復元することができるという秘密分散が実現する。なお、この秘密分散方式は、2-out-of-5複製型秘密分散（Replicated Secret Sharing Scheme）と呼ばれている。

【0033】

ところで、この秘密分散方式の秘密計算では、ｘを復元する場合に限らず、大小比較をする場合でも、各参加者が、自己が保持していないサブシェアの値を他の参加者から直接ないし間接的に受信する状況が発生する。したがって、他の参加者の中に不正者が紛れたとすると、本来は受信したい値の代わりに別の値が送信されてくることが起こり得る。すると、誤った値に基づいて秘密計算を実行することになり、誤った計算結果を得ることになったり、そもそも計算自体を正常に実行することができなくなったりする。

【0034】

このような問題に対し、本実施形態秘密計算システム１００では、図２に示すように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）が、判別式計算部１０１_ｉとシャッフル部１０２_ｉと比較検証部１０３_ｉを備える。図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態秘密計算システム１００は、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）が、判別式計算部１０１_ｉとシャッフル部１０２_ｉと比較検証部１０３_ｉを備えることで、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得ることができる。

【0035】

判別式計算部１０１_ｉは、第１ビット列と平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０であり、ｎ＋１番目より高位のビットでは第１ビット列と第２ビット列が一致している場合に０となる判別式の配列を計算する。

【0036】

シャッフル部１０２_ｉは、判別式の配列をシャッフルすることで、何番目のビットに関して判別式が０になっているかの情報を秘匿する。一方、比較検証部１０３_ｉは、判別式のシャッフルにおいて発生する通信において、５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0037】

ここで、上記構成の意義を具体的な数字の大小比較を用いて説明する。なお、実際は、ビット分解されて秘密分散されている値（シェア）と秘密にされていない値（平文）との大小比較を行うが、ここでは説明を容易にするために、どちらも平文の状態で例示する。

【0038】

ビット分解されて秘密分散されている値（シェア）をx=40とし、比較対象である秘密にされていない値（平文）をr=32とする。このとき、x=40とr=32をビット分解して表記（２進数表記）すると以下のようになる。
x=40=(00101000)
r=32=(00100000)

【0039】

上記ビット列の比較から解るように、４番目のビットでは第１ビット列(x)が１であり、かつ、第２ビット列(r)が０であり、５番目より高位のビットでは第１ビット列(x)と第２ビット列(r)が一致している。ｘがｒより大きいということは、ｎ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０であり、ｎ＋１番目より高位のビットでは第１ビット列と第２ビット列が一致するというｎが存在していることと同値であり、x=40とr=32の場合は、そのｎが４であるということである。

【0040】

この性質を用いて、判別式計算部１０１_ｉは、第１ビット列と平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０であり、ｎ＋１番目より高位のビットでは第１ビット列と第２ビット列が一致している場合に０となる判別式の配列を計算する。

【0041】

具体的には、判別式は以下のように構成することができる。ただし、以下の判別式は平文の場合の判別式であり、実際の判別式は後に提示する。また、数式中「｜_ｌ」は、ｌ番目のビットを意味する。

【0042】

【数2】

【0043】

このような判別式をx=40とr=32の場合に計算すると以下のようになる。ただし、「＊」はゼロではない値を意味している。
x=40=(00101000)
r=32=(00100000)
c = (****0***)

【0044】

このように、判別式ｃは、配列の中に０となるものが存在していることが、x＞ｒであることと同値になるように構成されている。

【0045】

ここで、判別式ｃは、配列の中に０となるものが存在していることを用いて、x＞ｒであることを判別することができるが、過剰な情報を含んでしまっている。それは、配列の中に０となるものの位置は、xとｒの差の情報を含んでしまっているのである。そこで、シャッフル部１０２_ｉは、判別式の配列をシャッフルすることで、何番目のビットに関して判別式が０になっているかの情報を秘匿する。

【0046】

さらに、比較検証部１０３_ｉは、判別式のシャッフルにおいて発生する通信において、５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成する。

【0047】

なお、本実施形態を秘密計算方法として捉えると、以下のようになる。図３は、秘密計算方法の手順の概略を示すフローチャートである。

【0048】

図３に示すように、本実施形態に係る秘密計算方法は、判別式計算ステップ（Ｓ１１）とシャッフルステップ（Ｓ１２）と比較検証ステップ（Ｓ１３）とを有する。判別式計算ステップ（Ｓ１１）では、第１ビット列と平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０であり、ｎ＋１番目より高位のビットでは第１ビット列と第２ビット列が一致している場合に０となる判別式の配列を計算する。シャッフルステップ（Ｓ１２）では、判別式の配列をシャッフルすることで、何番目のビットに関して判別式が０になっているかの情報を秘匿する。そして、比較検証ステップ（Ｓ１３）では、判別式のシャッフルにおいて発生する通信において、５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0049】

このように、本実施形態の秘密計算システム１００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、そもそもハッシュ関数を用いていないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0050】

以上説明した第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。以下で説明する第２の実施形態は、上記説明したコンセプトを実用的な実施形態に適用したものである。

【0051】

［第２の実施形態］
以下、図４および図５を参照して、第２の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。

【0052】

図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。図４に示すように、第２の実施形態による秘密計算システム２００は、第１の秘密計算サーバ装置２００_０と第２の秘密計算サーバ装置２００_１と第３の秘密計算サーバ装置２００_２と第４の秘密計算サーバ装置２００_３と第５の秘密計算サーバ装置２００_４とを備えている。第１の秘密計算サーバ装置２００_０、第２の秘密計算サーバ装置２００_１、第３の秘密計算サーバ装置２００_２、第４の秘密計算サーバ装置２００_３、および第５の秘密計算サーバ装置２００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0053】

第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置２００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0054】

さらに、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0055】

図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態秘密計算システム２００では、図５に示すように、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が、判別式計算部２０１_ｉとシャッフル部２０２_ｉと比較検証部２０３_ｉを備える。本実施形態秘密計算システム２００は、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が、判別式計算部２０１_ｉとシャッフル部２０２_ｉと比較検証部２０３_ｉを備えることで、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得ることができる。

【0056】

以下、本実施形態における大小比較の実施に用いられるビルディングブロックについて説明する。なお、以下では大小比較の実施に用いられるビルディングブロックの全てを説明することはしない。基本となる四則演算の秘密計算のうち、自明ではない乗算を中心に説明を行う。さらに、後述する大小比較において利用するシャッフル、ビット変換、再分散、および復元についても説明する。

【0057】

［疑似乱数の生成とシードの共有］
疑似ランダム関数Ｆ_ｎ，Ｆ_２とシードおよび識別子の関係は次の通りである。疑似ランダム関数Ｆ_ｎ，Ｆ_２は、セキュリティパラメータκに対して定められた２項演算である。
Ｆ_ｎ：{0,1}^κ×{0,1}^κ→{0,1}^ｎ
Ｆ_２：{0,1}^κ×{0,1}^κ→{0,1}^２
一方、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが適切に共有している値であり、識別子vid∈{0,1}^κはカウンタなどの公開された値である。これらシードと識別子を入力として、疑似ランダム関数Ｆ_ｎ，Ｆ_２は、決定的に疑似乱数を生成する。

【0058】

５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持する。ただし、seed₄₊₁ = seed₀である。すなわち、各秘密計算サーバ装置２００_ｉは、すべてのシードseed_iを保持するのではなく、秘密計算サーバ装置２００_ｉは、シードseed_i+4のみを保持していないという関係となっている。これらシードの共有は、例えば、各秘密計算サーバ装置２００_ｉにおける事前の設定として管理者などが適切に設定することができる。

【0059】

［マスク作成］
ここでは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能であるような、疑似乱数(Correlated Randomness)を作成し、これを後に説明する乗算の秘密計算においてマスクとして用いる。

【0060】

まず、参加者P_i+4がシードseed_i+3を保持していないことに着目すると、疑似ランダム関数F_nの入力としてシードseed_i+3を用いれば以下の疑似乱数は上記条件を満たす。すなわち、下記α_kは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。
α_k = F_n(vid_k, seed_i+3)- F_n(vid_k+1, seed_i+3) mod n

【0061】

また、識別子vid_kにおけるインデックスkをk=0からk=4まで変化させると、α_kを５つ作成することが可能である。そこで、これらα_kの組を以下のように定める。このように定めたα₀, α₁, α₂, α₃, α₄がα₀+α₁+α₂+α₃+α₄=0を満たすことは容易に確かめることができる。
(α₀, α₁, α₂, α₃, α₄) = CR(i+4, {vid_k}⁴ _k=0, seed_i+3)

【0062】

このように作成された疑似乱数α₀, α₁, α₂, α₃, α₄は、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。一方、参加者P_i+4にとっても、各疑似乱数α₀, α₁, α₂, α₃, α₄は除去できないが、すべての疑似乱数α₀, α₁, α₂, α₃, α₄が揃うと総和は０であり除去可能になるという性質がある。

【0063】

さらに、上記疑似乱数の作成は、すべての参加者P_iに対しても同様に行うことができる。具体的には、以下のようにように定めればよい。
(α_i,0, α_i,1, α_i,2, α_i,3, α_i,4) = CR(i, {vid_k}⁴ _k=0, seed_i+4) for i=0,1,2,3,4
α_i,k = F_n(vid_k, seed_i+4)- F_n(vid_k+1, seed_i+4) mod n for i=0,1,2,3,4

【0064】

このように作成された疑似乱数の組は以下のようになる。

【0065】

【表1】

【0066】

上記疑似乱数の表では、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。

【0067】

［秘密計算（乗算）］
次に、秘密計算の重要な因子である乗算について説明する。つまり、２つのシェア[x],[y]から[z]=[x・y]=[x]・[y]を計算する秘密計算の具体例を説明する。なお、x,y,zは以下のように分解されているとする。

【0068】

【数3】

【0069】

参加者P_i(i=0,1,2,3,4)は、以下のようなtmp_zkを計算する。このtmp_zkは参加者P_iがz_kを計算するためにはx_k・y_i+4が足りない（保持しているシェアから計算できない）ので、代わりに計算する値である。なお、α_j,kは、上述の［マスク作成］の項目にて説明した疑似乱数である。

【0070】

【数4】

【0071】

ここで、送信者集合S_i={P_i+2, P_i+3, P_i+4}, S_i+1={P_i+3, P_i+4, P_i+1}, S_i+2={P_i+4, P_i+1, P_i+2}, S_i+3={P_i+1, P_i+2, P_i+3}を定める。するとS_kに属する参加者は、x_ky_i+4を保持しているシェアから計算することができる。そこで、例えば、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、x_k・y_i+4を上記疑似乱数α_i,kでマスクをしたm_k,i+2, m_k,i+3, m_k,i+4を計算する。
P_i+2: m_k,i+2 = α_{i,k +} x_k・y_i+4 mod n
P_i+3: m_k,i+3 = α_{i,k +} x_k・y_i+4 mod n
P_i+4: m_k,i+4 = α_{i,k +} x_k・y_i+4 mod n

【0072】

そして、送信者集合S_i={P_i+2, P_i+3, P_i+4}に属する参加者P_i+2, P_i+3, P_i+4は、例えば、参加者P_i+2, P_i+3がm_k,i+2, m_k,i+3をそのまま参加者P_iに送信し、参加者P_i+4がm_k,i+4のハッシュ値h_k,i+4を参加者P_iに送信する。ここで、m_k,i+2, m_k,i+3, m_k,i+4は疑似乱数α_i,kでマスクをしているのでx_ky_i+4が漏洩することはない。つまり、ここではハッシュ関数も用いているが、これは安全性の確保のためではなく、通信コストを削減するためである。

【0073】

その後、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4を受信した参加者P_iは、m_k,i+2, m_k,i+3およびm_k,i+4のハッシュ値h_k,i+4の比較検証を行う。まず、参加者P_iは、m_k,i+2, m_k,i+3のハッシュ値h_k,i+2, h_k,i+3を計算する。そして、h_k,i+2=h_k,i+3またはh_k,i+2=h_k,i+4であれば、m_k = m_k,i+2とする。一方、h_k,i+3=h_k,i+4であれば、m_k = m_k,i+2とする。

【0074】

上記のようにx_ky_i+4を参加者P_iへ受け渡せば、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。

【0075】

その後、参加者P_iは、正しい値であることが判定されたm_kを用いて、z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)を計算する。

【0076】

【数5】

【0077】

このように計算されたz_kは、余計な付加項が含まれているが、[z]=[xy]=[x][y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。それは、実際に以下のようにz=z₀+z₁+z₂+z₃+z₄を計算すると明らかとなる。

【0078】

【数6】

【0079】

ここで、疑似乱数α_i,kが消去される理由は、疑似乱数の構成から以下の関係式が成り立つからである。

【0080】

【数7】

【0081】

すなわち、上述の［マスク作成］の項目にて説明したように、本構成の疑似乱数は、第１のインデックス（縦方向）に関する総和はゼロであり、第２のインデックス（横方向）に関する総和はゼロではないという性質を有する。z_k = tmp_zk + m_k mod n (k=i,i+1,i+2,i+3)の計算結果に表れていた付加項は、第２のインデックス（横方向）に関する総和であり、ゼロとはならないが、[z]=[x・y]=[x]・[y]の計算結果を復元する際には、第１のインデックス（縦方向）に関する総和がゼロになるという性質を用いて、結果的に付加項（マスク）の影響を除去することが可能になる。つまり、上記計算されたz_kは、余計な付加項が含まれているが、[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)として機能する。

【0082】

以上、上記のような[z]=[x・y]=[x]・[y]の計算結果のシェア[z]_i=(z_i, z_i+1, z_i+2, z_i+3)は、少なくとも３人の他の参加者P_jから同一となるはずのm_k（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別することができる。つまり、参加者の中に不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、通信量の削減を目的として利用しているのであり、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0083】

［再分散］
本実施形態で用いられる再分散は、以下のように定義される。すなわち、参加者P_i,P_i+1,P_i+2が値cを保持していた場合に、シードと識別子から決定的に定められる再分散である。

【0084】

【数8】

【0085】

ただし、r_j = F_n(vid_k, seed_i+2)かつr´_j = F_n(vid_k+1, seed_i+3)であり、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、先述の［疑似乱数の生成とシードの共有］の項で説明した性質のシードである。したがって、参加者P_i+3は、seed_i+2を知らず、また、参加者P_i+4は、seed_i+3を知らない。つまり、参加者P_i+3, P_i+4は、自分でc_i+3,c_i+4を計算することができず、参加者P_i,P_i+1,P_i+2からc_i+3,c_i+4を受信する必要がある。

【0086】

ここで、通信を伴った秘密計算が発生するので、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した同一の値となるはずの受信値c_i+3,c_i+4を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する。具体的には、以下のように行うことができる。

【0087】

参加者P_i,P_i+1は、c_j+1,c_j+2,c_j+3(j=i+3)を参加者P_i+3に送信する。一方、参加者P_i+2は、c_j+1,c_j+2,c_j+3(j=i+3)のハッシュ値を各参加者に送信する。さらに、参加者P_i,P_i+1は、c_j´+1,c_j´+2,c_j´+3(j´=i+3)を参加者P_i+4に送信する。一方、参加者P_i+2は、c_j´+1,c_j´+2,c_j´+3(j´=i+3)を各参加者に送信する。そして、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した受信値のうち少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0088】

次に、上記説明した再分散をビット変換の中でどのように用いるかを説明する。

【0089】

［ビット変換］
ビット変換とは、位数２の剰余類環Ｚ_２上の論理シェア[x]^Bから位数ｎの剰余類環Ｚ_ｎ上の算術シェア[x]を得るビット変換：[x]←BC([x]^B)である。まず、参加者P₃,P₄,P₀および参加者P₀,P₁,P₂は、それぞれ以下のように、論理シェア[x]^Bにおけるサブシェアx_iから計算された一時的変数y₀,y₁を計算する。

【0090】

【数9】

【0091】

次に、参加者P₃,P₄,P₀および参加者P₀,P₁,P₂は、一時的変数y₀,y₁を再分散する。

【0092】

【数10】

なお、上記再分散は、通信を伴った秘密計算であるので、既に説明したように、参加者P_i+3, P_i+4は、参加者P_i,P_i+1,P_i+2から受信した受信値のうち少なくとも２つ以上が同一である受信値を正しい値として採用する。

【0093】

一方、各参加者P_i(i=0,1,2,3,4)は以下のように、[x₄]_iを設定する。なお、この処理は通信を伴った秘密計算ではないので、検証は必要ない。
P₀: [x₄]₀ = (0, 0, 0, 0)
P₁: [x₄]₁ = (0, 0, 0, x₄)
P₂: [x₄]₂ = (0, 0, x₄, 0)
P₃: [x₄]₃ = (0, x₄, 0, 0)
P₄: [x₄]₄ = (x₄, 0, 0, 0)

【0094】

そして、最終的に、一時的変数y₀,y₁の算術シェアと算術シェア[x₄]_i(i=0,1,2,3,4)とを用いて、前記論理シェアをビット変換した算術シェアを以下のように秘密計算する。

【0095】

【数11】

【0096】

なお、ここでも、上記秘密計算は、乗算の秘密計算を含むので、上述の［秘密計算（乗算）］を用い、少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、通信を伴った秘密計算における受信値を検証する。

【0097】

以上のように、第２の実施形態の秘密計算システム２００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0098】

また、上記処理では、ハッシュ関数を用いているが、通信量の削減を目的として利用しているのであり、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。さらに、本実施形態の秘密計算システム２００および秘密計算方法は、最初に通信を伴うことなく再分散（ローカル再分散）を行い、その後に通信を伴った秘密計算を行うので、通信コストが低減されている。

【0099】

［シャッフル］
まず、参加者P_i (i = 0, 1, 2, 3, 4)のうち、参加者P_i (i = 1, 2, 3, 4)が共有している置換を用いて、参加者P₀の置換を代わりに計算し、これを参加者P₀に送信する例を考える。

【0100】

参加者P_i (i = 1, 2, 3, 4)が共有する置換σ₀∈S_Mを、次のように構成する。先述したように、各参加者P_i (i = 0, 1, 2, 3, 4)は、シード(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持している。これを言い換えると、各参加者P_i (i = 0, 1, 2, 3, 4)は、シードseed_i+4のみを保持していないことになる。つまり、参加者P₀は、シードseed₄を保持していない一方、他の参加者P_i (i = 1, 2, 3, 4)は、シードseed₄を保持している。そこで、シードseed₄を用いて生成した疑似乱数を用いて参加者P_i (i = 1, 2, 3, 4)が共有する置換σ₀∈S_Mを構成する。すると、置換σ₀∈S_Mは、参加者P_i (i = 1, 2, 3, 4)にとっては、どのような置き換えが起きたのかの追跡可能である一方、参加者P₀にとっては、追跡不可能な置換となる。

【0101】

次に、このように構成した置換σ₀∈S_Mと疑似乱数ｒ_kを用いて、参加者P_i (i = 1, 2, 3, 4)が参加者P₀の置換を代わりに計算し、これを以下のように参加者P₀に送信する。なお、ここで注意すべきことは、秘密分散のシェアの構成方法から、参加者P_i (i = 1, 2, 3, 4)と参加者P₀との間で共有されているシェアが存在しており、参加者P_i (i = 1, 2, 3, 4)が参加者P₀の置換を代わりに計算することが可能であるということである。

【0102】

【数12】

【0103】

ここで、上記送信では、参加者P₂, P₃, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₃, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₂, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₂, P₃が同一の値を参加者P₀に送信することに注意する。この性質から、参加者P₀は、３人の参加者から受信した同一の値となるはずのシェアの置換を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用することが可能である。つまり、他の参加者の中に不正者が紛れたとしても正しい値を判別することができ、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0104】

また、上記送信では、参加者P_i (i = 1, 2, 3, 4)が共有するハッシュ関数を用いて以下のようにハッシュ値を送信することで通信量を減らすことができる。まず、３人の参加者のうち、１名はハッシュ関数を用いて送信する値を変換し、ハッシュ値を参加者P₀に送信する。一方、残りの２名の参加者は、ハッシュ値ではなく、そのままの値を送信し、受信した参加者P₀がハッシュ関数を用いてハッシュ値へ変換する。そして、参加者P₀は、ハッシュ値同士を比較し、２つ以上が一致した場合を正しい値として用いる。

【0105】

上記のような処理を行うことで、参加者P_i (i = 1, 2, 3, 4)にとっては計算可能である一方、参加者P₀にとっては、計算不可能な置換σ₀∈S_Mに対応したシェアが以下のように構成できる。これをミニシャッフルとする。

【0106】

【数13】

【0107】

上記ミニシャッフルの構成では、参加者P_i (i = 0, 1, 2, 3, 4)のうち、参加者P_i (i = 1, 2, 3, 4)が共有している置換を用いて、参加者P₀の置換を代わりに計算し、これを参加者P₀に送信する例を考えたが、４人の参加者P_iと１人の参加者P₀の組み合わせを変更することができる。すると、５通りのミニシャッフルを構成することが可能である。また、このように構成した５通りのミニシャッフルのそれぞれは、各参加者P_i (i = 0, 1, 2, 3, 4)のいずれかにとっては追跡不可能な置換となっている。

【0108】

したがって、参加者P_i (i = 0, 1, 2, 3, 4)にとっては追跡不可能な置換σ_i (i = 0, 1, 2, 3, 4)∈S_Mをすべて合成すると、すべての参加者P_i (i = 0, 1, 2, 3, 4)にとって追跡不可能な置換σ（シャッフル）を構成することができる。

【0109】

【数14】

【0110】

［復元］
参加者P_iが、ｘを復元する場合に、自己が保持していないシェアの値x_i+4を他の参加者P_i+1, P_i+2, P_i+3から受信する状況を考える。参加者P_i+1, P_i+2は、値x_i+4をそのまま参加者P_iへ送信し、参加者P_i+3は、値x_i+4のハッシュ値h_i+4を参加者P_iへ送信する。そして、参加者P_iは、参加者P_i+1, P_i+2から受信したx_i+4のハッシュ値をh_i+1、P_i+2から受信したx_i+4のハッシュ値をh_i+2として計算する。

【0111】

このとき、h_i+1 = h_i+2またはh_i+1 = h_i+3であれば、参加者P_i+1から受信したx_i+4を正しい値として採用する。また、h_i+2 = h_i+3であれば、参加者P_i+2から受信したx_i+4を正しい値として採用する。このように、少なくとも２つ以上が同一である受信値を正しい値として採用すれば、どれか１つが偽りの値であっても、正しい値を判別することができる。その後、正しい値x_i+4を用いてx = x₀ + x₁ + x₂ + x₃ + x₄ mod nを計算すれば、ｘを復元することが可能である。

【0112】

以上のような復元方法では、少なくとも３人の他の参加者P_jから同一となるはずのx_i+4（のハッシュ値）を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者P_jの中に不正者が紛れたとしても正しい値を判別している。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、ハッシュ関数を用いているが、出力から入力が推定されたとしても安全性に影響を与えないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0113】

〔大小比較（Private Compare）〕
ここで、上記説明したビルディングブロックを用いて、Private Compareとも呼ばれることもある、ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算のプロトコルの説明を行う。すなわち、下記のようなビット分解されて秘密分散されているシェア[x]と秘密にされていない値rとの入力から、大小比較の結果のシェア[x>r]₂を得る秘密計算について説明する。

【0114】

【数15】

【0115】

図６は、大小比較（Private Compare）のプロトコルの手順を示すフローチャートである。大小比較（Private Compare）のプロトコルは、非ゼロ乱数の計算ステップ（Ｓ２１）とランダムビットの計算ステップ（Ｓ２２）と判別式の計算ステップ（Ｓ２３）と非ゼロ乱数の乗算ステップ（Ｓ２４）とシャッフルステップ（Ｓ２５）と値の変換ステップ（Ｓ２６）とを含んでいる。以下、大小比較（Private Compare）のプロトコルを各ステップに分けて説明する。

【0116】

（非ゼロ乱数の計算ステップ：Ｓ２１）
非ゼロ乱数の計算ステップ（Ｓ２１）では、以下の数式に示すように、非ゼロ乱数のシェア[s_l]_pと[s’_l]_pを計算する。なお、非ゼロ乱数の計算ステップはオフラインで実行することができる。具体的には、ステップ２からステップ８において、各参加者P_iが、シードと識別子を入力として決定的に非ゼロ乱数s_l,_jとs’_l,_jを生成する。その後、ステップ９からステップ１３において、各参加者P_iが、非ゼロ乱数s_l,_jとs’_l,_jを用いて形式的なシェアを構成する。ただし、ステップ９からステップ１３において構成された形式的なシェアは、本当のシェアではない。各参加者P_iは、自己が生成した非ゼロ乱数s_l,_jとs’_l,_jを用いて形式的に分配したのみなので、各参加者P_iが自己のシェアの値を知っているからである。そこで、次のステップ１４からステップ２１において、各参加者P_iが保持している形式的なシェアを乗算することで、各参加者P_iの誰も知ることができない非ゼロ乱数のシェア[s_l]_pと[s’_l]_pを計算する。なお、非ゼロ乱数のシェア[s_l]_pと[s’_l]_pを得るための乗算は、既に説明した［秘密計算（乗算）］のビルディングブロックを用いることができる。

【0117】

【数16】

【0118】

（ランダムビットの計算ステップ：Ｓ２２）
ランダムビットの計算ステップ（Ｓ２２）では、以下の数式に示すように、ランダムビットのシェア[b]₂と[b]_pを計算する。なお、ランダムビットの計算（Ｓ２２）はオフラインで実行することができる。具体的には、ステップ２３において、各参加者P_iが、疑似ランダム関数とシードを用いてランダムビットのシェア[b]₂を生成し、生成したランダムビットのシェア[b]₂をビット変換することで[b]_pを計算する。ここで、ランダムビットのシェア[b]₂から[b]_pを計算するビット変換は、既に説明した［ビット変換］のビルディングブロックを用いることができる。

【0119】

【数17】

【0120】

（判別式の計算ステップ：Ｓ２３）
判別式の計算ステップ（Ｓ２３）では、以下の数式に示すように、第１ビット列[x|_l]と平文の値rをビット列に変換した第２ビット列r|_lとを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０であり、ｎ＋１番目より高位のビットでは第１ビット列と第２ビット列が一致している場合に０となる判別式の配列を計算する。なお、判別式の計算ステップ（Ｓ２３）以降は、オンラインで実行する。

【0121】

まず、ステップ２８からステップ３０とステップ３１からステップ３３とで、ランダムビットの計算ステップ（Ｓ２２）で計算したランダムビットｂが０であるか１であるかによって場合分けを行う。ただし、ランダムビットｂが０であるか１であるかは参加者P_iが知ることができないので、ランダムビットｂが０である場合と１である場合の両方の判別式[c|_l]_p, [c’|_l]_pを計算し、後に適切に選択する。

【0122】

ランダムビットｂが０である場合、ｘ＞ｒである場合に０となる判別式[c|_l]_pを含む配列を計算し、ランダムビットｂが０である場合、ｘ≦ｒである場合に０となる判別式[c’|_l]_pを含む配列を計算する。ただし、ｘ≦ｒであることを直接計算するのは不便なので、ｘ＜ｒ＋１として計算をする。このために、ステップ２６で、ｔ＝ｒ＋１を計算している。

【0123】

【数18】

【0124】

上記計算において、ステップ２９は、排他的論理和と同値の計算であり、第１ビット列[x|_l]_pと第２ビット列r|_lの各ビットの一致および不一致を計算している。そして、ステップ３０におけるr|_l－[x|_l]_p＋１は、ｌ番目のビットでは第１ビット列が１であり、かつ、第２ビット列が０である場合に０となる項であり、総和Σの項は、ｌ＋１番目より高位のビットでは第１ビット列[x|_l]_pと第２ビット列r|_lが一致している場合に０となる項である。ステップ３１およびステップ３２は、ｘ＜ｒ＋１についてこれと同様の計算をしたものである。

【0125】

（非ゼロ乱数の乗算ステップ：Ｓ２４）
非ゼロ乱数の乗算ステップ（Ｓ２４）では、以下の数式に示すように、判別式[c|_l]_p, [c’|_l]_pに非ゼロ乱数のシェア[s_l]_pと[s’_l]_pを乗算することで、判別式[c|_l]_p, [c’|_l]_pが０でない配列における値を秘匿する。なお、この乗算には、既に説明した［秘密計算（乗算）］のビルディングブロックを用いることができる。

【0126】

【数19】

【0127】

（シャッフルステップ：Ｓ２５）
シャッフルステップ（Ｓ２５）では、以下の数式に示すように、判別式[c|_l]_p, [c’|_l]_pに非ゼロ乱数のシェア[s_l]_pと[s’_l]_pを乗算した配列[s_l c|_l]_p, [s’_l c’|_l]_pをシャッフルすることで、何番目のビットに関して判別式が０になっているかの情報を秘匿する。なお、この乗算には、既に説明した［シャッフル］のビルディングブロックを用いることができる。

【0128】

【数20】

【0129】

（値の変換ステップ：Ｓ２６）
上記のように得られた判別式[d|_l]_p, [d’|_l]_pは、ｘ＞ｒであるか否かの情報を含むものであるが、大小比較の結果のシェア[x>r]₂ではない。そこで、以下の数式に示すように、判別式[d|_l]_p, [d’|_l]_pから大小比較の結果のシェア[x>r]₂を導く計算を行う。

【0130】

【数21】

【0131】

まず、ステップ４０では、ｂが０か１の場合に応じて[d|_l]_pと[d’|_l]_pのうち適切な値の方を選択する。そして、ステップ４１からステップ４２において、選択された判別式[d’’|_l]_pの値を参加者P₀,P₁,P₂に対して復元する。なお、この復元には、既に説明した［復元］のビルディングブロックを用いることができる。

【0132】

そして、ステップ４５では、参加者P₀,P₁,P₂が、復元された判別式d’’|_lのなかにd’’|_l＝０となるようなｌが存在している場合、b’=1を再分散する。一方、復元された判別式d’’|_lのなかにd’’|_l＝０となるようなｌが存在していない場合、b’=0を再分散する。なお、この復元には、既に説明した［再分散］のビルディングブロックを用いることができる。

【0133】

最終的に、ステップ４６で[b’]₂と[b]₂の排他的論理和を計算すると、大小比較の結果のシェア[x>r]₂を得ることができる。

【0134】

以上のように、ビット分解されて秘密分散されているシェア[x]と秘密にされていない値rとの入力から、大小比較の結果のシェア[x>r]₂を得ることができる。上記秘密計算では、用いたビルディングブロックにおいて、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成している。したがって、これらビルディングブロックを組み合わせて秘密計算を行った大小比較の秘密計算も標準モデルにおいてGuaranteed Output Delivery (GOD)を達成している。

【0135】

［第３の実施形態］
以下、図７および図８を参照して、第３の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第３の実施形態は、第１の実施形態または第２の実施形態を最上位ビット抽出プロトコルに適用した実施形態である。最上位ビット抽出とは、各秘密計算サーバ装置に分散して保持されている値（シェア）から、秘密状態を維持したまま当該値の最上位ビットを計算するプロトコルである。

【0136】

図７は、第３の実施形態における秘密計算システムの機能構成例を示すブロック図である。図７に示すように、第３の実施形態による秘密計算システム３００は、第１の秘密計算サーバ装置３００_０と第２の秘密計算サーバ装置３００_１と第３の秘密計算サーバ装置３００_２と第４の秘密計算サーバ装置３００_３と第５の秘密計算サーバ装置３００_４とを備えている。第１の秘密計算サーバ装置３００_０、第２の秘密計算サーバ装置３００_１、第３の秘密計算サーバ装置３００_２、第４の秘密計算サーバ装置３００_３、および第５の秘密計算サーバ装置３００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0137】

第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム３００においては、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置３００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0138】

さらに、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム３００においては、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0139】

図８は、第３の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態秘密計算システム３００では、図８に示すように、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）が、乱数生成部３０１_ｉと大小比較部３０２_ｉと繰り上がり補正部３０３_ｉと最上位ビット計算部３０４_ｉを備える。

【0140】

乱数生成部３０１_ｉは、入力値をマスクするための乱数を生成し、大小比較部３０２_ｉは、乱数でマスクされた入力値から最上位ビットを除いた値と乱数から最上位ビットを除いた値との大小比較を行う、繰り上がり補正部３０３_ｉは、大小比較の結果に基づいて、入力値から最上位ビットを除いた値の計算の補正を行い、最上位ビット計算部３０４_ｉは、補正された入力値から最上位ビットを除いた値を入力値から減算することで入力値の最上位ビットを計算する。

【0141】

最上位ビット抽出プロトコルでは、入力値を乱数でマスクした情報を通信および処理する必要があるが、入力値に乱数を加算することで、最上位ビットが繰り上がってしまうことが起こり得る。これに対し、本実施形態秘密計算システム３００では、第１～第５の秘密計算サーバ装置３００_ｉ（ｉ＝０，１，２，３，４）が、乱数生成部３０１_ｉと大小比較部３０２_ｉと繰り上がり補正部３０３_ｉと最上位ビット計算部３０４_ｉを備えることで、入力値に乱数を加算することで起こる最上位ビットの繰り上がりを補正することができる。

【0142】

図９は、最上位ビット抽出のプロトコルの手順を示すフローチャートである。最上位ビット抽出のプロトコルは、乱数生成ステップ（Ｓ３１）と大小比較ステップ（Ｓ３２）と繰り上がり補正ステップ（Ｓ３３）と最上位ビット計算ステップ（Ｓ３４）とを含んでいる。以下、最上位ビット抽出のプロトコルを各ステップに分けて説明する。なお、最上位ビット抽出のプロトコルにおける入力と出力は以下のように表す。

【0143】

【数22】

【0144】

（乱数生成ステップ：Ｓ３１）
乱数生成ステップ（Ｓ３１）では、以下の数式に示すように、マスクに用いるための乱数のシェアを計算する。なお、乱数生成ステップ（Ｓ３１）は、オフラインで処理を行うことができる。各参加者P_iは、シードの入力として決定的に乱数を生成し、生成した乱数をビット分解することで、乱数のビット列のシェアを作成する。また、乱数rの最上位ビットをmsb(r)とする。

【0145】

【数23】

【0146】

（大小比較ステップ：Ｓ３２）
大小比較ステップ（Ｓ３２）では、以下の数式に示すように、乱数でマスクされた入力値から最上位ビットを除いた値と乱数から最上位ビットを除いた値との大小比較を行う。なお、大小比較ステップ（Ｓ３２）以降は、オンラインで実行する。そして、下記ステップ１５で実行する大小比較は、第１の実施形態および第２の実施形態で説明した［大小比較（Private Compare）］のプロトコルをビルディングブロックとして用いることができる。

【0147】

【数24】

【0148】

（繰り上がり補正ステップ：Ｓ３３）
繰り上がり補正ステップ（Ｓ３３）では、以下の数式に示すように、大小比較ステップ（Ｓ３２）の結果に基づいて、入力値から最上位ビットを除いた値の計算の補正を行う。これにより、乱数でマスクをしたことによる最上位ビットの繰り上がりを補正することができる。

【0149】

【数25】

【0150】

（最上位ビット計算ステップ：Ｓ３４）
最後に、最上位ビット計算ステップ（Ｓ３４）では、以下の数式に示すように、乱数rの最上位ビットmsb(r)と入力値aの最上位ビットmsb(a)との排他的論理和を復元し、マスクとしての乱数rの最上位ビットmsb(r)を除去する計算を行う。なお、このステップ２０で実行する復元は、既に説明した［復元］のプロトコルをビルディングブロックとして用いることができる。

【0151】

【数26】

【0152】

以上のように、秘密分散して保持されている値から、秘密状態を維持したまま当該値の最上位ビットを計算する最上位ビット抽出のプロトコルが実現できる。上記秘密計算では、用いた大小比較（Private Compare）などのビルディングブロックにおいて、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成している。したがって、これらビルディングブロックを組み合わせて秘密計算を行った大小比較の秘密計算も標準モデルにおいてGuaranteed Output Delivery (GOD)を達成している。

【0153】

［ハードウェア構成例］
図１０は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図１０に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成例である。図１０に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現することを可能にする。

【0154】

ただし、図１０に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）は、図１０に示さないハードウェアを含むことができる。

【0155】

図１０に示すように、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

【0156】

ＣＰＵ１１は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

【0157】

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。ＩＦ部１４は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）間の入出力に関するインターフェイスを提供する。

【0158】

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現する。

【0159】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した５台の秘密計算サーバ装置を備え、第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を備える、秘密計算システム。
［付記２］
前記シャッフル部は、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換を計算して構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成し、
前記比較検証部は、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの前記シェアの置換を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する、
付記１に記載の秘密計算システム。
［付記３］
前記判別式にゼロでない乱数を乗算することで、判別式が０でない配列における値を秘匿する、付記１または付記２に記載の秘密計算システム。
［付記４］
前記第１ビット列は、乱数でマスクされた入力値から最上位ビットを除いた値であり、
前記第２ビット列は、乱数から最上位ビットを除いた値であり、
前記第１ビット列と前記第２ビット列との大小比較の結果に基づいて、前記入力値から最上位ビットを除いた値の計算の補正を行い、前記補正された入力値から最上位ビットを除いた値を入力値から減算することで入力値の最上位ビットを計算する、付記１から付記３のいずれか１に記載の秘密計算システム。
［付記５］
第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算する判別式計算部と、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿するシャッフル部と、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較し、少なくとも２つ以上が同一である受信値を正しい値として採用する比較検証部と、
を備える、秘密計算サーバ装置。
［付記６］
相互にネットワークで接続した５台の秘密計算サーバ装置を用いて第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得る秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する、
秘密計算方法。
［付記７］
前記シャッフルは、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換を計算して構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成し、
前記比較検証は、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの前記シェアの置換を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する、
付記６に記載の秘密計算方法。
［付記８］
前記判別式にゼロでない乱数を乗算することで、判別式が０でない配列における値を秘匿する、付記６または付記７に記載の秘密計算方法。
［付記９］
前記第１ビット列は、乱数でマスクされた入力値から最上位ビットを除いた値であり、
前記第２ビット列は、乱数から最上位ビットを除いた値であり、
前記第１ビット列と前記第２ビット列との大小比較の結果に基づいて、前記入力値から最上位ビットを除いた値の計算の補正を行い、前記補正された入力値から最上位ビットを除いた値を入力値から減算することで入力値の最上位ビットを計算する、付記６から付記８のいずれか１に記載の秘密計算方法。
［付記１０］
第１ビット列に関するシェアと平文の値との入力から大小比較の結果のシェアを得るために、相互にネットワークで接続した５台の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、
前記第１ビット列と前記平文の値をビット列に変換した第２ビット列とを、ビットごとに一致するか否かを判定し、ｎ番目のビットでは前記第１ビット列が１であり、かつ、前記第２ビット列が０であり、ｎ＋１番目より高位のビットでは前記第１ビット列と前記第２ビット列が一致している場合に０となる判別式の配列を計算し、
前記判別式の配列をシャッフルすることで、何番目のビットに関して前記判別式が０になっているかの情報を秘匿し、
前記判別式のシャッフルにおいて発生する通信において、前記５台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの受信値を比較検証し、少なくとも２つ以上が同一である受信値を正しい値として採用する、
秘密計算プログラム。

【0160】

なお、引用した上記の非特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

【符号の説明】

【0161】

１００，２００，３００ 秘密計算システム
１００_ｉ，２００_ｉ，３００_ｉ 秘密計算サーバ装置
１０１_ｉ，２０１_ｉ 判別式計算部
１０２_ｉ，２０２_ｉ シャッフル部
１０３_ｉ，２０３_ｉ 比較検証部
３０１_ｉ 乱数生成部
３０２_ｉ 大小比較部
３０３_ｉ 繰り上がり部
３０４_ｉ 最上位ビット計算部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】

【図7】

【図8】

【図9】

【図10】