知財求人 - 知財ポータルサイト「IP Force」
特許7552863秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-09-09
(45)【発行日】2024-09-18
(54)【発明の名称】秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム
(51)【国際特許分類】
G09C 1/00 20060101AFI20240910BHJP
【ＦＩ】
G09C1/00 650Z
【請求項の数】
10
(21)【出願番号】P 2023506621
(86)(22)【出願日】2021-03-18
(86)【国際出願番号】 JP2021011042
(87)【国際公開番号】W WO2022195799
(87)【国際公開日】2022-09-22
【審査請求日】2023-09-15
(73)【特許権者】
【識別番号】000004237
【氏名又は名称】日本電気株式会社
(74)【代理人】
【識別番号】100080816
【弁理士】
【氏名又は名称】加藤 朝道
(74)【代理人】
【識別番号】100098648
【弁理士】
【氏名又は名称】内田 潔人
(72)【発明者】
【氏名】土田 光
【審査官】辻 勇貴
(56)【参考文献】
【文献】国際公開第２０２０／１６５９３２（ＷＯ，Ａ１）
【文献】国際公開第２０１８／２１６５１２（ＷＯ，Ａ１）
【文献】国際公開第２０１５／１０７９５２（ＷＯ，Ａ１）
【文献】樋渡 啓太郎，"定数ラウンドかつ対数サイズ通信量の秘匿配列アクセスプロトコル"，コンピュータセキュリティシンポジウム２０２０ ，2020年10月，pp.1118-1125
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００
(57)【特許請求の範囲】
【請求項1】
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算システム。
【請求項2】
前記ランダム巡回置換後のインデックスを表すシェアを復元する際に、自己が所有していないシェアを他の秘密計算サーバ装置から受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う第２の比較検証部を備える請求項１に記載の秘密計算システム。
【請求項3】
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、請求項１または請求項２に記載の秘密計算システム。
【請求項4】
前記巡回置換のシフト量は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、請求項３に記載の秘密計算システム。
【請求項5】
前記秘密計算サーバ装置を４台備えた２－out－of－４複製型秘密分散方式であり、前記等号判定によって不正が検知された場合に処理を停止する、請求項１から請求項４のいずれか１項に記載の秘密計算システム。
【請求項6】
前記秘密計算サーバ装置を５台備えた２－out－of－５複製型秘密分散方式であり、前記等号判定によって多数派が一致する値を選択し処理を継続する、請求項１から請求項４のいずれか１項に記載の秘密計算システム。
【請求項7】
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置の一つであって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算サーバ装置。
【請求項8】
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算方法であって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換ステップと、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証ステップと、
前記ローカル巡回置換ステップによって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成ステップと、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフルステップと、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換ステップによって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算ステップと、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択ステップと、
を有する秘密計算方法。
【請求項9】
前記ローカル巡回置換ステップと前記比較検証ステップと前記置換合成ステップと前記配列シャッフルステップとを前記インデックスを表すシェアの入力の前に行う、請求項８に記載の秘密計算方法。
【請求項10】
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置に処理を実行させる秘密計算プログラムであって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換処理と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証処理と、
前記ローカル巡回置換処理によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成処理と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル処理と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換処理によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算処理と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択処理と、
を有する秘密計算プログラム。
【発明の詳細な説明】
【技術分野】
【0001】
本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。
【背景技術】
【0002】
近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている。秘密計算は、第三者に対して計算過程とその結果を秘密にしつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘密にするデータを複数のサーバ（秘密計算サーバ装置）に分散配置し、秘密にした状態を維持しながら当該データの任意の演算を実行する。なお、各秘密計算サーバ装置に分散配置したデータをシェアと呼ぶ。以降、特に断りがない限り、本書で「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。
【0003】
秘密計算の処理の一つとして、配列参照が存在する。配列参照とは、配列して格納された要素を参照するための処理であり、秘密計算における配列参照では、配列におけるどの要素を参照するかを示すインデックスも秘密することが要請される。すなわち、配列におけるどの要素にアクセスしているかさえも秘密にしたまま、所望の配列の要素の読み出しおよび書き込みを行うことが要求されている。
【0004】
例えば、与信判断などでは、複数の判断項目を用いて判断を行うが、判断項目の内容だけではなく、どの判断項目を用いて判断が行われたのかも秘密にしておきたいという状況もある。このような需要に対して、インデックスを秘密とする配列参照の秘密計算の応用例が存在している。また、配列におけるどの要素にアクセスしているかのパターンを解析することで情報が漏洩する可能性もあり、アクセスパターンを秘密にしたまま配列の要素へアクセスすることは、セキュリティ上のメリットもある。
【先行技術文献】
【非特許文献】
【0005】
【文献】Marina Blanton, Ahreum Kang, and Chen Yuan. “Improved building blocks for secure multi-party computation based on secret sharing with honest majority.” International Conference on Applied Cryptography and Network Security. Springer, Cham, 2020
【発明の概要】
【発明が解決しようとする課題】
【0006】
なお、上記先行技術文献の開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。
【0007】
ところで、マルチパーティ計算技術を用いる秘密計算では、秘匿するデータを複数のサーバに分散配置した状態で処理を行うので、処理の効率化という観点では、通信コストの低減が課題となる。そして、この通信コストは、通信の対象となるデータ量を表す通信量と、最大限の並列化を行った場合の通信の回数を表す通信ラウンド数に分解できる。
【0008】
そして、この通信量とラウンド数との間には、環境によっては通信量と通信ラウンド数のどちらを優先すべきかが異なることもある。例えば、ＷＡＮ（Ｗｉｄｅ Ａｒｅａ Ｎｅｔｗｏｒｋ）環境などの通信遅延が大きい環境では、通信回数が少ない方が有利であるので、通信ラウンド数が小さい秘密計算の方が好ましく、定数ラウンドがあればより好ましい。
【0009】
一方、当然のことながら秘密計算には安全性も求められている。秘密計算における安全性には程度の違いがあり、その代表的な安全性としてセミオネスト安全がある。プロトコルに従う範囲で可能な限り入力や計算過程の値に関する情報を得ようとする攻撃をセミオネスト攻撃と呼び、セミオネスト安全とは、このセミオネスト攻撃に対する安全性が確保されていることをいう。
【0010】
しかしながら、マルチパーティ計算技術を用いる秘密計算には、プロトコルを逸脱して計算結果を改ざんする攻撃をする参加者が紛れ込むことも想定される。このような不正者による値の改ざんを検出することを、不正検知という。非特許文献１は、定数ラウンドの通信コストの配列参照プロトコルであるが、セミオネスト安全であるので、この意味での不正検知を行うことができない。そこで、定数ラウンドの通信コストの配列参照プロトコルでありながら、不正検知を可能として安全性を高めるという要望がある。
【0011】
本発明の目的は、上述した課題を鑑み、配列参照プロトコルにおいて通信コストの低さと安全性の高さを両立することに寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することにある。
【課題を解決するための手段】
【0012】
本発明の第１の視点では、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、を有する秘密計算システムが提供される。
【0013】
本発明の第２の視点では、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置の一つであって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、を有する秘密計算サーバ装置が提供される。
【0014】
本発明の第３の視点では、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算方法であって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換ステップと、前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証ステップと、前記ローカル巡回置換ステップによって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成ステップと、前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフルステップと、前記入力されたインデックスを表すシェアに、前記ローカル巡回置換ステップによって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算ステップと、前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択ステップと、を有する秘密計算方法が提供される。
【0015】
本発明の第４の視点では、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置に処理を実行させる秘密計算プログラムであって、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換処理と、前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証処理と、前記ローカル巡回置換処理によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成処理と、前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル処理と、前記入力されたインデックスを表すシェアに、前記ローカル巡回置換処理によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算処理と、前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択処理と、を有する秘密計算プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。
【発明の効果】
【0016】
本発明の各視点によれば、配列参照プロトコルにおいて通信コストの低さと安全性の高さを両立することに寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。
【図面の簡単な説明】
【0017】
【発明を実施するための形態】
【0018】
以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。
【0019】
［第１の実施形態］
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。
【0020】
図１は、第１の実施形態に係る秘密計算システムの機能構成例を示すブロック図である。図１に示すように、第１の実施形態に係る秘密計算システム１００は、少なくとも第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）を備えている。第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）は、それぞれが互いにネットワーク経由で通信可能に接続されている。図１中央の丸印は、ネットワークを示す。
【0021】
第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）を備える秘密計算システム１００においては、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）の内のいずれかの秘密計算サーバ装置１１０ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第０～第Ｎ－１の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）に分散して記憶することができる。
【0022】
また、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）を備える秘密計算システム１００においては、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）に分散して記憶されているシェアに対し、その計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第０～第Ｎ－１の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）に分散して記憶することができる。
【0023】
なお、上記計算結果のシェアは、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）にシェアを送受信することで、復元してもよい。あるいは、第０～第Ｎ－１の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）ではない外部にシェアを送信することで、復元してもよい。
【0024】
図１に示される第１の実施形態に係る秘密計算システム１００は、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照することができる秘密計算システムであり、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のそれぞれは、独立した各参加者Ｐｉ（ｉ＝０，１，２，３）によって運営されている。さらに、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）を備える秘密計算システム１００においては、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち一部が不正者によって運営されている場合であっても、不正を検知することができる。
【0025】
このために、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のそれぞれは、図２に示すように、ローカル巡回置換部１１１と、比較検証部１１２と、置換合成部１１３と、配列シャッフル部１１４と、インデックス計算部１１５と、配列選択部１１６とを有している。図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。
【0026】
ローカル巡回置換部１１１は、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、当該他の１台の秘密計算サーバ装置における巡回置換の値を計算する。
【0027】
比較検証部１１２は、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う。例えば、第１～第３の秘密計算サーバ装置１１０ｉ（ｉ＝１，２，３）で共有された巡回置換を用いて第０の秘密計算サーバ装置１１００における巡回置換を計算する場合、第０の秘密計算サーバ装置１１００は、第１～第３の秘密計算サーバ装置１１０ｉ（ｉ＝１，２，３）から同じ値であるはずの巡回置換後の値を受信することになる。しかし、第１～第３の秘密計算サーバ装置１１０ｉ（ｉ＝１，２，３）の中に不正者によって運用されているものが紛れ込み、値が改ざんされた場合、第０の秘密計算サーバ装置１１００が受信する値が等しくならなくなる。比較検証部１１２は、このように等号判定をして不正検知を行う。
【0028】
置換合成部１１３は、ローカル巡回置換部１１１によって構成された巡回置換を合成することで、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）の全てが追跡不可能なランダム巡回置換を構成する。ローカル巡回置換部１１１が構成する巡回置換は、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち１台が追跡不可能な巡回置換となっている。第ｉの秘密計算サーバ装置１１０ｉが追跡不可能な巡回置換をσｉとすると、σ＝σ０σ１σ２σ３は第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）の全てが追跡不可能なランダム巡回置換となる。
【0029】
配列シャッフル部１１４は、参照対象となる配列のシェアに対して上記ランダム巡回置換を適用する。上記ランダム巡回置換は、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）の全てが追跡不可能なので、ランダム巡回置換後の配列も第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）からは不明になる。言い換えると、配列のシェアからインデックスに関する情報が失われる。
【0030】
インデックス計算部１１５は、入力されたインデックスを表すシェアに、ローカル巡回置換部１１１によって構成された巡回置換のシフト量のシェアを加算することで、ランダム巡回置換後のインデックスを表すシェアを計算する。上述のように、参照対象となる配列のシェアに対してランダム巡回置換を適用すると、配列のシェアからインデックスに関する情報が失われる。そこで、インデックス計算部１１５は、入力されたインデックスを表すシェアに各巡回置換のシフト量のシェアを加算することで、ランダム巡回置換後のインデックスを表すシェアを計算する。この計算原理については、後に詳述する。
【0031】
配列選択部１１６は、ランダム巡回置換後のインデックスを表すシェアを復元し、ランダム巡回置換を適用した後の配列のシェアから、復元したインデックスに対応したシェアを選択する。
【0032】
図３は、ランダム巡回置換後のインデックスを表すシェアを計算する原理を説明する図である。図３に示すように、配列参照では、配列されて格納されたデータセットから所望のデータを参照する。具体的には、配列されて格納されたデータセットにはインデックスが付与されており、インデックスを指定することによって所望のデータを参照することになる。
【0033】
ここで、秘密計算における配列参照では、インデックス自体も秘匿されている。つまり、秘密計算に参加する参加者は、何番目のデータにアクセスするべきなのかも直接的には知ることができない。そこで、上述の秘密計算システム１００では、以下の仕組みで配列参照を行う。
【0034】
まず、上述のように構成したランダム巡回置換を対象とする配列に適用する。すなわち、第ｉの秘密計算サーバ装置１１０ｉが追跡不可能な巡回置換をσｉとして、これらを合成したσ＝σ０σ１σ２σ３を対象とする配列に適用する。ここで巡回置換σｉのシフト量をＲｉとすると、ランダム巡回置換σのシフト量はＲ０＋Ｒ１＋Ｒ２＋Ｒ３となる。したがって、参照したいインデックスがｈである場合、ランダム巡回置換を適用後の参照すべきインデックスはｈ’＝ｈ＋Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３となる。なお、これら計算は秘匿されたまま秘密計算として行う。
【0035】
ここで注意すべきことは、巡回置換σｉは第ｉの秘密計算サーバ装置１１０ｉが追跡不可能である。つまり、第ｉの秘密計算サーバ装置１１０ｉは巡回置換σｉのシフト量Ｒｉを知ることはできない。結果、ランダム巡回置換を適用後の参照すべきインデックスｈ’から、計算式ｈ’＝ｈ＋Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３を用いて元のインデックスｈを計算することもできない。
【0036】
このように、上述の秘密計算システム１００では、ランダム巡回置換を適用後の参照すべきインデックスｈ’を計算することが可能であるが、元のインデックスｈは秘匿された状態を維持することができる。
【0037】
（秘密計算方法）
図４は、第１の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図４に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
図４は、第１の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図４に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
【0038】
図４に示されるように、第１の実施形態にかかる秘密計算方法は、ローカル巡回置換ステップ（ステップＳ１１）と比較検証ステップ（ステップＳ１２）と置換合成ステップ（ステップＳ１３）と配列シャッフルステップ（ステップＳ１４）とインデックス計算ステップ（ステップＳ１５）と配列選択ステップ（ステップＳ１６）とを有している。
【0039】
ローカル巡回置換ステップ（ステップＳ１１）では、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、当該他の１台の秘密計算サーバ装置における巡回置換の値を計算する。
【0040】
比較検証ステップ（ステップＳ１２）では、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う。
【0041】
置換合成ステップ（ステップＳ１３）では、ローカル巡回置換ステップ（ステップＳ１１）で構成された巡回置換を合成することで、第０～第３の秘密計算サーバ装置１１０ｉ（ｉ＝０，１，２，３）の全てが追跡不可能なランダム巡回置換を構成する。
【0042】
配列シャッフルステップ（ステップＳ１４）では、参照対象となる配列のシェアに対して上記ランダム巡回置換を適用する。
【0043】
インデックス計算ステップ（ステップＳ１５）では、入力されたインデックスを表すシェアに、ローカル巡回置換部によって構成された巡回置換のシフト量のシェアを加算することで、ランダム巡回置換後のインデックスを表すシェアを計算する。この計算原理については、上述したとおりである。
【0044】
配列選択ステップ（ステップＳ１６）では、ランダム巡回置換後のインデックスを表すシェアを復元し、ランダム巡回置換を適用した後の配列のシェアから、復元したインデックスに対応したシェアを選択する。
【0045】
なお、上記説明から解るように、ローカル巡回置換ステップ（ステップＳ１１）と比較検証ステップ（ステップＳ１２）と置換合成ステップ（ステップＳ１３）と配列シャッフルステップ（ステップＳ１４）は、インデックスを表すシェアの入力を必要としない。したがって、Private Information Retrievalのような状況においては、インデックスを表すシェアの入力を待たずに、事前にローカル巡回置換ステップ（ステップＳ１１）と比較検証ステップ（ステップＳ１２）と置換合成ステップ（ステップＳ１３）と配列シャッフルステップ（ステップＳ１４）を実行する、いわゆるオフライン‐オンラインパラダイムを用いることができる。
【0046】
以上のように第１の実施形態にかかる秘密計算システムおよび秘密計算方法は、定数ラウンドの通信コストの配列参照プロトコルでありながら不正検知が可能である。すなわち、第１の実施形態にかかる秘密計算システムおよび秘密計算方法は、配列参照プロトコルにおいて通信コストの低さと安全性の高さを両立することに寄与することが可能である。
【0047】
以上説明した第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。以下、第２の実施形態および第３の実施形態の説明において、上記説明したコンセプトを具体的な秘密分散方式に適用する。
【0048】
［第２の実施形態］
以下、図５を参照して、第２の実施形態に係る秘密計算システムについて説明する。
以下、図５を参照して、第２の実施形態に係る秘密計算システムについて説明する。
【0049】
図５は、第２の実施形態に係る秘密計算システムの機能構成例を示すブロック図である。図５に示すように、第２の実施形態に係る秘密計算システム２００は、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）を備えている。第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）は、それぞれが互いにネットワーク経由で通信可能に接続されている。
【0050】
図５に示される第２の実施形態に係る秘密計算システム２００は、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照することができる秘密計算システムであり、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）のそれぞれは、独立した各参加者Ｐｉ（ｉ＝０，１，２，３）によって運営されている。さらに、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）を備える秘密計算システム２００においては、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）のうち一部が不正者によって運営されている場合であっても、不正を検知し、不正があった場合に処理を停止することができる。
【0051】
〔秘密分散の方式〕
第２の実施形態に係る秘密計算システム２００は、２－out－of－４複製型秘密分散の方式を採用することができる。具体的には、位数Ｌの剰余類環ＺＬの元ｖ∈ＺＬの剰余類環ＺＬ上のシェアを以下のように構成する。
［ｖ］Ｌ＝（［ｖ］Ｌ，０，［ｖ］Ｌ，１，［ｖ］Ｌ，２，［ｖ］Ｌ，３）
ｍｖ，λｖ，λｖ，１，λｖ，２，λｖ，３∈ＺＬとしたとき
ｍｖ＝ｖ＋λｖ ｍｏｄ Ｌ
λｖ＝λｖ，１＋λｖ，２＋λｖ，３ ｍｏｄ Ｌ
第２の実施形態に係る秘密計算システム２００は、２－out－of－４複製型秘密分散の方式を採用することができる。具体的には、位数Ｌの剰余類環ＺＬの元ｖ∈ＺＬの剰余類環ＺＬ上のシェアを以下のように構成する。
［ｖ］Ｌ＝（［ｖ］Ｌ，０，［ｖ］Ｌ，１，［ｖ］Ｌ，２，［ｖ］Ｌ，３）
ｍｖ，λｖ，λｖ，１，λｖ，２，λｖ，３∈ＺＬとしたとき
ｍｖ＝ｖ＋λｖ ｍｏｄ Ｌ
λｖ＝λｖ，１＋λｖ，２＋λｖ，３ ｍｏｄ Ｌ
【0052】
このとき、各参加者Ｐｉ（ｉ＝０，１，２，３）のシェアを以下のように定める。
参加者Ｐ０のシェア：［ｖ］Ｌ，０＝（λｖ，１，λｖ，２，λｖ，３）
参加者Ｐ１のシェア：［ｖ］Ｌ，１＝（ｍｖ，λｖ，２，λｖ，３）
参加者Ｐ２のシェア：［ｖ］Ｌ，２＝（ｍｖ，λｖ，３，λｖ，１）
参加者Ｐ３のシェア：［ｖ］Ｌ，３＝（ｍｖ，λｖ，１，λｖ，２）
参加者Ｐ０のシェア：［ｖ］Ｌ，０＝（λｖ，１，λｖ，２，λｖ，３）
参加者Ｐ１のシェア：［ｖ］Ｌ，１＝（ｍｖ，λｖ，２，λｖ，３）
参加者Ｐ２のシェア：［ｖ］Ｌ，２＝（ｍｖ，λｖ，３，λｖ，１）
参加者Ｐ３のシェア：［ｖ］Ｌ，３＝（ｍｖ，λｖ，１，λｖ，２）
【0053】
なお、上記のように構成された2-out-of-4複製型秘密分散方式では、以下のように元のｖ∈ＺＬを復元することが可能である。
ｖ＝ｍｖ－λｖ，１－λｖ，２－λｖ，３
ｖ＝ｍｖ－λｖ，１－λｖ，２－λｖ，３
【0054】
配列長Ｎの配列Ｖ＝（λ０，λ１，...，λｊ，...，λＮ－１）に関するシェアも
ｍｖｊ＝ｖｊ＋λｖｊ ｍｏｄ Ｌ
λｖｊ＝λｖｊ，１＋λｖｊ，２＋λｖｊ，３ ｍｏｄ Ｌ
として、
Ｍ＝（ｍｖｊ，...，ｍｖＮ－１）
Λ１＝（λｖｊ，１，...，λｖＮ－１，１）
Λ２＝（λｖｊ，２，...，λｖＮ－１，２）
Λ３＝（λｖｊ，３，...，λｖＮ－１，３）
ｍｖｊ＝ｖｊ＋λｖｊ ｍｏｄ Ｌ
λｖｊ＝λｖｊ，１＋λｖｊ，２＋λｖｊ，３ ｍｏｄ Ｌ
として、
Ｍ＝（ｍｖｊ，...，ｍｖＮ－１）
Λ１＝（λｖｊ，１，...，λｖＮ－１，１）
Λ２＝（λｖｊ，２，...，λｖＮ－１，２）
Λ３＝（λｖｊ，３，...，λｖＮ－１，３）
【0055】
〔シャッフル〕
例えば、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換を用いて第０の参加者Ｐ０の巡回置換を計算する場合を考える。これは、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換σ０を用いて以下のように構成することができる。
例えば、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換を用いて第０の参加者Ｐ０の巡回置換を計算する場合を考える。これは、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換σ０を用いて以下のように構成することができる。
【0056】
以下のように第１～第３の参加者Ｐｉ（ｉ＝１，２，３）は、第０の参加者Ｐ０に巡回置換σ０の適用後のΛ１，Λ２，Λ３の値にマスクをして送信する。言い換えると、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）は、第０の参加者Ｐ０の代わりにΛ１，Λ２，Λ３の巡回置換σ０の適用後の値を計算して、その値を第０の参加者Ｐ０に送信する。
送信者｛Ｐ１，Ｐ２｝：α３＋σ０（Λ３）
送信者｛Ｐ２，Ｐ３｝：α１＋σ０（Λ１）
送信者｛Ｐ１，Ｐ３｝：α２＋σ０（Λ２）
ただし、αｉ＝（αｉ，０，αｉ，１，...，αｉ，ｊ，...，αｉ，Ｎ－１）（ｉ＝１，２，３）は、α０，ｊ＋α１，ｊ＋α２，ｊ＋α３，ｊ＝０ ｍｏｄ Ｌ（ｉ＝０，１，...，Ｎ－１）を満たす、送信者のみが知るキーと疑似ランダム関数で計算できるマスクである。
送信者｛Ｐ１，Ｐ２｝：α３＋σ０（Λ３）
送信者｛Ｐ２，Ｐ３｝：α１＋σ０（Λ１）
送信者｛Ｐ１，Ｐ３｝：α２＋σ０（Λ２）
ただし、αｉ＝（αｉ，０，αｉ，１，...，αｉ，ｊ，...，αｉ，Ｎ－１）（ｉ＝１，２，３）は、α０，ｊ＋α１，ｊ＋α２，ｊ＋α３，ｊ＝０ ｍｏｄ Ｌ（ｉ＝０，１，...，Ｎ－１）を満たす、送信者のみが知るキーと疑似ランダム関数で計算できるマスクである。
【0057】
上記構成から解るように、第０の参加者Ｐ０は同じ値（Λ１，Λ２，Λ３の巡回置換σ０の適用後の値にマスクをしたもの）を２つ受信する。そこで、第０の参加者Ｐ０は、複数の巡回置換の値の等号判定をして不正検知を行う。
【0058】
具体的には、参加者Ｐ０は同じであるはずの値が異なっている場合、参加者の中に紛れた不正者が値を改ざんしたものとして、処理を停止する。なお、例えば参加者Ｐ１と参加者Ｐ２は、同じ値を参加者Ｐ０に送ることになるが、例えば一方の参加者Ｐ１は値そのものではなく、ハッシュ値を送るものとしてもよい。そして、参加者Ｐ０は、参加者Ｐ２から受信した値をハッシュ値に変換してから、参加者Ｐ１から受信したハッシュ値と等号判定をしてもよい。このようにハッシュ値を送信すると通信量を抑えることができる。
【0059】
第０の参加者Ｐ０以外の第１～第３の参加者Ｐｉ（ｉ＝１，２，３）は、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換σ０と、自己が所持しているサブシェアを用いて巡回置換σ０を適用後のシェアを各自で計算することができるので、最終的に巡回置換σ０を適用後のシェアは以下のように構成できる。
【0060】
P０：［σ０（Ｖ）］Ｌ，０＝（α１＋σ０（Λ１），α２＋σ０（Λ２），α３＋σ０（Λ３））
P１：［σ０（Ｖ）］Ｌ，１＝（α０＋σ０（Ｍ），α２＋σ０（Λ２），α３＋σ０（Λ３））
P２：［σ０（Ｖ）］Ｌ，２＝（α０＋σ０（Ｍ），α１＋σ０（Λ１），α３＋σ０（Λ３））
P３：［σ０（Ｖ）］Ｌ，３＝（α０＋σ０（Ｍ），α１＋σ０（Λ１），α２＋σ０（Λ２））
P１：［σ０（Ｖ）］Ｌ，１＝（α０＋σ０（Ｍ），α２＋σ０（Λ２），α３＋σ０（Λ３））
P２：［σ０（Ｖ）］Ｌ，２＝（α０＋σ０（Ｍ），α１＋σ０（Λ１），α３＋σ０（Λ３））
P３：［σ０（Ｖ）］Ｌ，３＝（α０＋σ０（Ｍ），α１＋σ０（Λ１），α２＋σ０（Λ２））
【0061】
なお、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換σ０は、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有されたキーと疑似ランダム関数を用いて生成することができる。すなわち、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有されたキーと疑似ランダム関数を用いて生成する疑似乱数を、巡回置換σ０のシフト量Ｒ０とすることで、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）で共有された巡回置換σ０を構成することができる。
【0062】
また、巡回置換σ０は、シフト量Ｒ０で特徴付けることもできる。巡回置換σ０を特徴付けるシフト量Ｒ０のシェア［Ｒ０］Ｎは以下のように構成することができる。
参加者Ｐ０のシェア：［Ｒ０］Ｎ，０＝（０，０，０）
参加者Ｐ１のシェア：［Ｒ０］Ｎ，１＝（Ｒ０，０，０）
参加者Ｐ２のシェア：［Ｒ０］Ｎ，２＝（Ｒ０，０，０）
参加者Ｐ３のシェア：［Ｒ０］Ｎ，３＝（Ｒ０，０，０）
参加者Ｐ０のシェア：［Ｒ０］Ｎ，０＝（０，０，０）
参加者Ｐ１のシェア：［Ｒ０］Ｎ，１＝（Ｒ０，０，０）
参加者Ｐ２のシェア：［Ｒ０］Ｎ，２＝（Ｒ０，０，０）
参加者Ｐ３のシェア：［Ｒ０］Ｎ，３＝（Ｒ０，０，０）
【0063】
上記のように構成されたシフト量Ｒ０のシェア［Ｒ０］Ｎは、参加者Ｐ０がシフト量Ｒ０を知ることができず、第１～第３の参加者Ｐｉ（ｉ＝１，２，３）はシフト量Ｒ０を知ることができるので、第０の参加者Ｐ０は巡回置換を追跡不可能であるが、第１～第３の参加者Pｉ（ｉ＝１，２，３）にとっては追跡可能であるという性質を維持している。
【0064】
上記構成の巡回置換σ０は、第０の参加者Ｐ０にとっては追跡不可能であるが、第１～第３の参加者Pｉ（ｉ＝１，２，３）にとっては追跡可能である巡回置換の構成例であるが、第０の参加者Ｐ０の代わりに第１～第３の参加者Pｉ（ｉ＝１，２，３）に同じことを考えることができる。すると、それぞれ第１～第３の参加者Pｉ（ｉ＝１，２，３）にとっては追跡不可能であるが、他の参加者にとっては追跡可能な巡回置換σｉ（ｉ＝１，２，３）を構成することができる。
【0065】
上記のように構成された巡回置換σｉ（ｉ＝０，１，２，３）は、各参加者Ｐｉ（ｉ＝０，１，２，３）が追跡不可能であるので、これら巡回置換σｉ（ｉ＝０，１，２，３）を合成すると、σ＝σ０σ１σ２σ３は誰も追跡不可能になる。すなわち、参加者Ｐｉ（ｉ＝０，１，２，３）の全てが追跡不可能なランダム巡回置換が構成された。
【0066】
上記のような性質のランダム巡回置換σのシフト量は、Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３で計算することができることは、図３を参照しながら既に説明している。また、参照したいインデックスがｈである場合、ランダム巡回置換を適用後の参照すべきインデックスはｈ’＝ｈ＋Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３となる。そして、このような性質のランダム巡回置換σでは、ランダム巡回置換を適用後の参照すべきインデックスｈ’を計算することが可能であるが、元のインデックスｈは秘匿された状態を維持することができる。
【0067】
（秘密計算方法）
図６は、第２の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図６に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
図６は、第２の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図６に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
【0068】
図６に示されるように、第２の実施形態にかかる秘密計算方法は、ローカル巡回置換ステップ（ステップＳ２１）と第１の比較検証ステップ（ステップＳ２２）と置換合成ステップ（ステップＳ２３）と配列シャッフルステップ（ステップＳ２４）とインデックス計算ステップ（ステップＳ２５）と第２の比較検証ステップ（ステップＳ２６）と配列選択ステップ（ステップＳ２７）とを有している。
【0069】
ローカル巡回置換ステップ（ステップＳ２１）では、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）のうち１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、当該他の１台の秘密計算サーバ装置における巡回置換の値を計算する。
【0070】
第１の比較検証ステップ（ステップＳ２２）では、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う。具体的には、受信した複数の巡回置換の値が等しい場合（ステップＳ２２；Ｙ）は処理を継続し、受信した複数の巡回置換の値が異なる場合（ステップＳ２２；Ｎ）は参加者の中に紛れた不正者が値を改ざんしたものとして、処理を停止する。
【0071】
置換合成ステップ（ステップＳ２３）では、ローカル巡回置換ステップ（ステップＳ２１）で構成された巡回置換を合成することで、第０～第３の秘密計算サーバ装置２１０ｉ（ｉ＝０，１，２，３）の全てが追跡不可能なランダム巡回置換を構成する。
【0072】
配列シャッフルステップ（ステップＳ２４）では、参照対象となる配列のシェアに対して上記ランダム巡回置換を適用する。
【0073】
インデックス計算ステップ（ステップＳ２５）では、入力されたインデックスを表すシェアに、ローカル巡回置換部によって構成された巡回置換のシフト量のシェアを加算することで、ランダム巡回置換後のインデックスを表すシェアを計算する。この計算原理については、上述したとおりである。
【0074】
第２の比較検証ステップ（ステップＳ２６）では、ランダム巡回置換後のインデックスを表すシェアを復元する際に、自己が所有していないシェアを他の秘密計算サーバ装置から受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う。インデックス計算ステップ（ステップＳ２５）におけるランダム巡回置換後のインデックスを表すシェアの計算は秘密計算として行われる。したがって、インデックスを表すシェアを復元する際には、自己が所有していないシェアを他の秘密計算サーバ装置から受信することになる。つまり、この時に紛れ込んだ不正者によって値が改ざんされる可能性があり、第２の比較検証ステップ（ステップＳ２６）では、受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う。具体的には、受信した複数の巡回置換の値が等しい場合（ステップＳ２６；Ｙ）は処理を継続し、受信した複数の巡回置換の値が異なる場合（ステップＳ２６；Ｎ）は参加者の中に紛れた不正者が値を改ざんしたものとして、処理を停止する。
【0075】
配列選択ステップ（ステップＳ２７）では、復元されたランダム巡回置換後のインデックスを用いて、ランダム巡回置換を適用した後の配列のシェアから、復元したインデックスに対応したシェアを選択する。
【0076】
以上のように第２の実施形態にかかる秘密計算システムおよび秘密計算方法は、定数ラウンドの通信コストの配列参照プロトコルでありながら不正検知をし、改ざんが行われた場合は処理を停止することができる。すなわち、第２の実施形態にかかる秘密計算システムおよび秘密計算方法は、配列参照プロトコルにおいて通信コストの低さと安全性の高さを両立することに寄与することが可能である。
【0077】
［第３の実施形態］
以下、図７を参照して、第３の実施形態に係る秘密計算システムについて説明する。
以下、図７を参照して、第３の実施形態に係る秘密計算システムについて説明する。
【0078】
図７は、第３の実施形態に係る秘密計算システムの機能構成例を示すブロック図である。図７に示すように、第３の実施形態に係る秘密計算システム３００は、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）を備えている。第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）は、それぞれが互いにネットワーク経由で通信可能に接続されている。
【0079】
図７に示される第３の実施形態に係る秘密計算システム３００は、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照することができる秘密計算システムであり、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）のそれぞれは、独立した各参加者Ｐｉ（ｉ＝０，１，２，３，４）によって運営されている。さらに、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム３００においては、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）のうち一部が不正者によって運営されている場合であっても、不正を検知し、不正があった場合に処理を停止することができる。
【0080】
〔秘密分散の方式〕
第３の実施形態に係る秘密計算システム３００は、２－out－of－５複製型秘密分散の方式を採用することができる。具体的には、位数Ｌの剰余類環ＺＬの元ｖ∈ＺＬの剰余類環ＺＬ上のシェアを以下のように構成する。
［ｖ］Ｌ＝（［ｖ］Ｌ，０，［ｖ］Ｌ，１，［ｖ］Ｌ，２，［ｖ］Ｌ，３，［ｖ］Ｌ，４）
ここでｖ＝ｖ０＋ｖ１＋ｖ２＋ｖ３＋ｖ４ ｍｏｄ Ｌとする。
参加者Ｐｉのシェアは、［ｖ］Ｌ，ｉ＝（ｖｉ，ｖｉ＋１，ｖｉ＋１，ｖｉ＋３），ただし、ｘ４＋１＝ｘ０である。
第３の実施形態に係る秘密計算システム３００は、２－out－of－５複製型秘密分散の方式を採用することができる。具体的には、位数Ｌの剰余類環ＺＬの元ｖ∈ＺＬの剰余類環ＺＬ上のシェアを以下のように構成する。
［ｖ］Ｌ＝（［ｖ］Ｌ，０，［ｖ］Ｌ，１，［ｖ］Ｌ，２，［ｖ］Ｌ，３，［ｖ］Ｌ，４）
ここでｖ＝ｖ０＋ｖ１＋ｖ２＋ｖ３＋ｖ４ ｍｏｄ Ｌとする。
参加者Ｐｉのシェアは、［ｖ］Ｌ，ｉ＝（ｖｉ，ｖｉ＋１，ｖｉ＋１，ｖｉ＋３），ただし、ｘ４＋１＝ｘ０である。
【0081】
また、配列長Ｎの配列Ｖ＝（ｖ０，ｖ１，...，ｖｊ，...，ｖＮ－１）に関するシェアは、ｖｊ＝ｖｊ，０＋ｖｊ，１＋ｖｊ，２＋ｖｊ，３＋ｖｊ，４ ｍｏｄ Ｌとしたとき、
Ｖｉ＝（ｖ０，ｉ，...，ｖＮ－１，ｉ）（ｉ＝０，１，２，３，４）
とする。
Ｖｉ＝（ｖ０，ｉ，...，ｖＮ－１，ｉ）（ｉ＝０，１，２，３，４）
とする。
【0082】
〔シャッフル〕
例えば、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換を用いて第０の参加者Ｐ０の巡回置換を計算する場合を考える。これは、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換σ０を用いて以下のように構成することができる。
例えば、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換を用いて第０の参加者Ｐ０の巡回置換を計算する場合を考える。これは、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換σ０を用いて以下のように構成することができる。
【0083】
以下のように第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）は、第０の参加者Ｐ０に巡回置換σ０の適用後のＶｉ＝（ｖ０，ｉ，...，ｖＮ－１，ｉ）（ｉ＝０，１，２，３，４）の値にマスクをして送信する。言い換えると、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）は、第０の参加者Ｐ０の代わりにＶｉ（ｉ＝０，１，２，３，４）の巡回置換σ０の適用後の値を計算して、その値を第０の参加者P０に送信する。
送信者｛Ｐ２，Ｐ３，Ｐ４｝：α０＋σ０（Ｖ０）
送信者｛Ｐ１，Ｐ３，Ｐ４｝：α１＋σ０（Ｖ１）
送信者｛Ｐ１，Ｐ２，Ｐ４｝：α２＋σ０（Ｖ２）
送信者｛Ｐ１，Ｐ２，Ｐ３｝：α３＋σ０（Ｖ３）
ただし、αｉ＝（αｉ，０，αｉ，１，...，αｉ，ｊ，...，αｉ，Ｎ－１）（ｉ＝１，２，３，４）は、α０，ｊ＋α１，ｊ＋α２，ｊ＋α３，ｊ＝０ ｍｏｄ Ｌ（ｉ＝０，１，...，Ｎ－１）を満たす、送信者のみが知るキーと疑似ランダム関数で計算できるマスクである。
送信者｛Ｐ２，Ｐ３，Ｐ４｝：α０＋σ０（Ｖ０）
送信者｛Ｐ１，Ｐ３，Ｐ４｝：α１＋σ０（Ｖ１）
送信者｛Ｐ１，Ｐ２，Ｐ４｝：α２＋σ０（Ｖ２）
送信者｛Ｐ１，Ｐ２，Ｐ３｝：α３＋σ０（Ｖ３）
ただし、αｉ＝（αｉ，０，αｉ，１，...，αｉ，ｊ，...，αｉ，Ｎ－１）（ｉ＝１，２，３，４）は、α０，ｊ＋α１，ｊ＋α２，ｊ＋α３，ｊ＝０ ｍｏｄ Ｌ（ｉ＝０，１，...，Ｎ－１）を満たす、送信者のみが知るキーと疑似ランダム関数で計算できるマスクである。
【0084】
上記構成から解るように、第０の参加者Ｐ０は同じ値（Ｖｉ（ｉ＝０，１，２，３，４）の巡回置換σ０の適用後の値にマスクをしたもの）を３つ受信する。そこで、第０の参加者Ｐ０は、複数の巡回置換の値のうち多数派が一致する値を選択し処理を継続する。つまり、第０の参加者Ｐ０は、たとえ改ざんが行われていても正しい値を選択し処理を継続することができる。
【0085】
具体的には、参加者Ｐ０は受信した３つの値のうち少なくとも２つが一致するものを正しい値として選択する。つまり、たとえ改ざんが行われていても、受信した３つの値のうち他の２つは同じ値であるので、正しい値を選択することができる。なお、例えば参加者Ｐ１と参加者Ｐ２と参加者Ｐ３は、同じ値を参加者Ｐ０に送ることになるが、例えば一方の参加者Ｐ１と参加者Ｐ２は値そのものではなく、ハッシュ値を送るものとしてもよい。そして、参加者Ｐ０は、参加者Ｐ３から受信した値をハッシュ値に変換してから、参加者Ｐ１と参加者Ｐ２から受信したハッシュ値と等号判定をしてもよい。このようにハッシュ値を送信すると通信量を抑えることができる。
【0086】
第０の参加者Ｐ０以外の第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）は、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換σ０と、自己が所持しているサブシェアを用いて巡回置換σ０の適用後のシェアを各自で計算することができるので、最終的に巡回置換σ０を適用後のシェアは以下のように構成できる。
Pｉ：［σ０（Ｖ）］Ｌ，ｉ＝（αｉ＋σ０（Ｖｉ），αｉ＋１＋σ０（Ｖｉ＋１），αｉ＋２＋σ０（Ｖｉ＋２），αｉ＋３＋σ０（Ｖｉ＋３））
Pｉ：［σ０（Ｖ）］Ｌ，ｉ＝（αｉ＋σ０（Ｖｉ），αｉ＋１＋σ０（Ｖｉ＋１），αｉ＋２＋σ０（Ｖｉ＋２），αｉ＋３＋σ０（Ｖｉ＋３））
【0087】
なお、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換σ０は、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有されたキーと疑似ランダム関数を用いて生成することができる。すなわち、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有されたキーと疑似ランダム関数を用いて生成する疑似乱数を、巡回置換σ０のシフト量Ｒ０とすることで、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）で共有された巡回置換σ０を構成することができる。
【0088】
上記構成の巡回置換σ０は、第０の参加者Ｐ０にとっては追跡不可能であるが、第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）にとっては追跡可能である巡回置換の構成例であるが、第０の参加者Ｐ０の代わりに第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）に同じことを考えることができる。すると、それぞれ第１～第４の参加者Ｐｉ（ｉ＝１，２，３，４）にとっては追跡不可能であるが、他の参加者にとっては追跡可能な巡回置換σｉ（ｉ＝１，２，３，４）を構成することができる。
【0089】
上記のように構成された巡回置換σｉ（ｉ＝０，１，２，３，４）は、各参加者Ｐｉ（ｉ＝０，１，２，３，４）が追跡不可能であるので、これら巡回置換σｉ（ｉ＝０，１，２，３，４）を合成すると、σ＝σ０σ１σ２σ３σ４は誰も追跡不可能になる。すなわち、参加者Ｐｉ（ｉ＝０，１，２，３，４）の全てが追跡不可能なランダム巡回置換が構成された。
【0090】
上記のような性質のランダム巡回置換σのシフト量は、Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３＋Ｒ４で計算することができることは、図３を参照しながら既に説明している。また、参照したいインデックスがｈである場合、ランダム巡回置換を適用後の参照すべきインデックスはｈ’＝ｈ＋Ｒ０＋Ｒ１＋Ｒ２＋Ｒ３＋Ｒ４となる。そして、このような性質のランダム巡回置換σでは、ランダム巡回置換を適用後の参照すべきインデックスｈ’を計算することが可能であるが、元のインデックスｈは秘匿された状態を維持することができる。
【0091】
（秘密計算方法）
図８は、第３の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図８に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
図８は、第３の実施形態にかかる秘密計算方法の手順の概略を示すフローチャートである。図８に示される秘密計算方法の手順は、説明を容易にするための秘密計算の手順の典型例に過ぎず、実際の秘密計算方法では、一部のステップの順序を変えて実施したり、一部のステップを繰り返したりするなどの変更をすることができる。
【0092】
図８に示されるように、第３の実施形態にかかる秘密計算方法は、ローカル巡回置換ステップ（ステップＳ３１）と第１の比較検証ステップ（ステップＳ３２）と置換合成ステップ（ステップＳ３３）と配列シャッフルステップ（ステップＳ３４）とインデックス計算ステップ（ステップＳ３５）と第２の比較検証ステップ（ステップＳ３６）と配列選択ステップ（ステップＳ３７）とを有している。
【0093】
ローカル巡回置換ステップ（ステップＳ３１）では、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）のうち１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、当該他の１台の秘密計算サーバ装置における巡回置換の値を計算する。
【0094】
第１の比較検証ステップ（ステップＳ３２）では、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う。具体的には、受信した３つの値のうち少なくとも２つが一致するものを正しい値として選択し、たとえ改ざんが行われていても、正しい値を選択して処理を継続する。
【0095】
置換合成ステップ（ステップＳ３３）では、ローカル巡回置換ステップ（ステップＳ３１）で構成された巡回置換を合成することで、第０～第４の秘密計算サーバ装置３１０ｉ（ｉ＝０，１，２，３，４）の全てが追跡不可能なランダム巡回置換を構成する。
【0096】
配列シャッフルステップ（ステップＳ３４）では、参照対象となる配列のシェアに対して上記ランダム巡回置換を適用する。
【0097】
インデックス計算ステップ（ステップＳ３５）では、入力されたインデックスを表すシェアに、ローカル巡回置換部によって構成された巡回置換のシフト量のシェアを加算することで、ランダム巡回置換後のインデックスを表すシェアを計算する。この計算原理については、上述したとおりである。
【0098】
第２の比較検証ステップ（ステップＳ３６）では、ランダム巡回置換後のインデックスを表すシェアを復元する際に、自己が所有していないシェアを他の秘密計算サーバ装置から受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う。インデックス計算ステップ（ステップＳ３５）におけるランダム巡回置換後のインデックスを表すシェアの計算は秘密計算として行われる。したがって、インデックスを表すシェアを復元する際には、自己が所有していないシェアを他の秘密計算サーバ装置から受信することになる。つまり、この時に紛れ込んだ不正者によって値が改ざんされる可能性があり、第２の比較検証ステップ（ステップＳ３６）では、受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う。具体的には、受信した３つの値のうち少なくとも２つが一致するものを正しい値として選択し、たとえ改ざんが行われていても、正しい値を選択して処理を継続する。
【0099】
配列選択ステップ（ステップＳ３７）では、復元されたランダム巡回置換後のインデックスを用いて、ランダム巡回置換を適用した後の配列のシェアから、復元したインデックスに対応したシェアを選択する。
【0100】
以上のように第３の実施形態にかかる秘密計算システムおよび秘密計算方法は、定数ラウンドの通信コストの配列参照プロトコルでありながら不正検知をし、たとえ改ざんが行われていても、正しい値を選択して処理を継続する。すなわち、第３の実施形態にかかる秘密計算システムおよび秘密計算方法は、配列参照プロトコルにおいて通信コストの低さと安全性の高さを両立することに寄与することが可能である。
【0101】
［ハードウェア構成例］
図９は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図９に示すハードウェア構成例は、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉのハードウェア構成例である。図９に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉの各機能を実現することを可能にする。
図９は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図９に示すハードウェア構成例は、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉのハードウェア構成例である。図９に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉの各機能を実現することを可能にする。
【0102】
ただし、図９に示すハードウェア構成例は、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉの各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉのハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉは、図９に示さないハードウェアを含むことができる。
【0103】
図９に示すように、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉが採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。
【0104】
ＣＰＵ１１は、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉが実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉが実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。
【0105】
補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉが実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。ＩＦ部１４は、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉ間の入出力に関するインターフェイスを提供する。
【0106】
上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１１０ｉ，２１０ｉ，３１０ｉの各機能を実現する。
【0107】
上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算システム。
［付記２］
前記ランダム巡回置換後のインデックスを表すシェアを復元する際に、自己が所有していないシェアを他の秘密計算サーバ装置から受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う第２の比較検証部を備える付記１に記載の秘密計算システム。
［付記３］
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、付記１または付記２に記載の秘密計算システム。
［付記４］
前記巡回置換のシフト量は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、付記３に記載の秘密計算システム。
［付記５］
前記秘密計算サーバ装置を４台備えた２－out－of－４複製型秘密分散方式であり、前記等号判定によって不正が検知された場合に処理を停止する、付記１から付記４のいずれか１つに記載の秘密計算システム。
［付記６］
前記秘密計算サーバ装置を５台備えた２－out－of－５複製型秘密分散方式であり、前記等号判定によって多数派が一致する値を選択し処理を継続する、付記１から付記４のいずれか１つに記載の秘密計算システム。
［付記７］
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置の一つであって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算サーバ装置。
［付記８］
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算方法であって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換ステップと、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証ステップと、
前記ローカル巡回置換ステップによって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成ステップと、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフルステップと、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換ステップによって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算ステップと、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択ステップと、
を有する秘密計算方法。
［付記９］
前記ローカル巡回置換ステップと前記比較検証ステップと前記置換合成ステップと前記配列シャッフルステップとを前記インデックスを表すシェアの入力の前に行う、付記８に記載の秘密計算方法。
［付記１０］
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置に処理を実行させる秘密計算プログラムであって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換処理と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証処理と、
前記ローカル巡回置換処理によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成処理と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル処理と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換処理によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算処理と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択処理と、
を有する秘密計算プログラム。
［付記１］
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算システム。
［付記２］
前記ランダム巡回置換後のインデックスを表すシェアを復元する際に、自己が所有していないシェアを他の秘密計算サーバ装置から受信した複数のインデックスのシェアに対して等号判定をして不正検知を行う第２の比較検証部を備える付記１に記載の秘密計算システム。
［付記３］
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、付記１または付記２に記載の秘密計算システム。
［付記４］
前記巡回置換のシフト量は、前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有されたキーと疑似ランダム関数を用いて生成する、付記３に記載の秘密計算システム。
［付記５］
前記秘密計算サーバ装置を４台備えた２－out－of－４複製型秘密分散方式であり、前記等号判定によって不正が検知された場合に処理を停止する、付記１から付記４のいずれか１つに記載の秘密計算システム。
［付記６］
前記秘密計算サーバ装置を５台備えた２－out－of－５複製型秘密分散方式であり、前記等号判定によって多数派が一致する値を選択し処理を継続する、付記１から付記４のいずれか１つに記載の秘密計算システム。
［付記７］
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置の一つであって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換部と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証部と、
前記ローカル巡回置換部によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成部と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル部と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換部によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算部と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択部と、
を有する秘密計算サーバ装置。
［付記８］
相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置を備え、インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照する秘密計算方法であって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換ステップと、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証ステップと、
前記ローカル巡回置換ステップによって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成ステップと、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフルステップと、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換ステップによって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算ステップと、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択ステップと、
を有する秘密計算方法。
［付記９］
前記ローカル巡回置換ステップと前記比較検証ステップと前記置換合成ステップと前記配列シャッフルステップとを前記インデックスを表すシェアの入力の前に行う、付記８に記載の秘密計算方法。
［付記１０］
インデックスを表すシェアの入力に対して、配列のシェアの中から前記インデックスに対応する配列の要素のシェアを参照するために、相互にネットワークで接続した少なくとも４台以上の秘密計算サーバ装置に処理を実行させる秘密計算プログラムであって、
前記少なくとも４台以上の秘密計算サーバ装置のうち他の１台以外の秘密計算サーバ装置で共有された巡回置換を用いて、前記他の１台の秘密計算サーバ装置における巡回置換の値を計算するローカル巡回置換処理と、
前記少なくとも４台以上の秘密計算サーバ装置のうち自己以外の秘密計算サーバ装置が計算した複数の巡回置換の値の等号判定をして不正検知を行う比較検証処理と、
前記ローカル巡回置換処理によって構成された前記巡回置換を合成することで、前記少なくとも４台以上の秘密計算サーバ装置の全てが追跡不可能なランダム巡回置換を構成する置換合成処理と、
前記ランダム巡回置換を前記配列のシェアに対して適用する配列シャッフル処理と、
前記入力されたインデックスを表すシェアに、前記ローカル巡回置換処理によって構成された前記巡回置換のシフト量のシェアを加算することで、前記ランダム巡回置換後のインデックスを表すシェアを計算するインデックス計算処理と、
前記ランダム巡回置換後のインデックスを表すシェアを復元し、前記ランダム巡回置換を適用した後の前記配列のシェアから、前記復元したインデックスに対応したシェアを選択する配列選択処理と、
を有する秘密計算プログラム。
【0108】
なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。
【符号の説明】
【0109】
１００，２００，３００ 秘密計算システム
１１０ｉ，２１０ｉ，３１０ｉ 秘密計算サーバ装置
１１１ ローカル巡回置換部
１１２ 比較検証部
１１３ 置換合成部
１１４ 配列シャッフル部
１１５ インデックス計算部
１１６ 配列選択部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部
１１０ｉ，２１０ｉ，３１０ｉ 秘密計算サーバ装置
１１１ ローカル巡回置換部
１１２ 比較検証部
１１３ 置換合成部
１１４ 配列シャッフル部
１１５ インデックス計算部
１１６ 配列選択部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部
【図1】
【図2】
【図3】
【図4】
【図5】
【図6】
【図7】
【図8】
【図9】