特許 7582337 秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(19)【発行国】日本国特許庁(JP)

(12)【公報種別】特許公報(B2)

(11)【特許番号】

(24)【登録日】2024-11-05

(45)【発行日】2024-11-13

(54)【発明の名称】秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム

(51)【国際特許分類】

   G09C 1/00 20060101AFI20241106BHJP

【ＦＩ】

G09C1/00 650Z

【請求項の数】 10

(21)【出願番号】P 2022575036

(86)(22)【出願日】2021-01-18

(86)【国際出願番号】 JP2021001468

(87)【国際公開番号】W WO2022153532

(87)【国際公開日】2022-07-21

【審査請求日】2023-07-14

(73)【特許権者】

【識別番号】000004237

【氏名又は名称】日本電気株式会社

(74)【代理人】

【識別番号】100080816

【弁理士】

【氏名又は名称】加藤 朝道

(74)【代理人】

【識別番号】100098648

【弁理士】

【氏名又は名称】内田 潔人

(72)【発明者】

【氏名】土田 光

【審査官】児玉 崇晶

(56)【参考文献】

【文献】国際公開第２０２０／１６５９３２（ＷＯ，Ａ１）

【文献】TSUCHIDA, Hikaru et al.，Client-Aided Bit-Composition Protocol with Guaranteed Output Delivery，2020 International Symposium on Information Theory and Its Applications(ISITA) [online]，2020年10月27日，pp. 387-391，[検索日 2024.09.25]、インターネット <URL: https://ieeexplore.ieee.org/document/9366101>

(58)【調査した分野】(Int.Cl.，ＤＢ名)

Ｇ０９Ｃ １／００

(57)【特許請求の範囲】

【請求項1】

相互にネットワークで接続した５台の秘密計算サーバ装置を備える秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、
を備える、秘密計算システム。

【請求項2】

前記ミニシャッフルは、前記４台の秘密計算サーバ装置が保持しているシードと前記５台の秘密計算サーバ装置が保持している識別子とを入力に決定的に生成され、かつ、前記５台の秘密計算サーバ装置に関する総和がゼロになる疑似乱数によってマスクされている請求項１に記載の秘密計算システム。

【請求項3】

前記共有置換は、前記４台の秘密計算サーバ装置によって共有されているシードを入力に決定的に生成される請求項１または請求項２に記載の秘密計算システム。

【請求項4】

前記比較検証部は、前記シェアの置換後の値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、請求項１から請求項３のいずれか１項に記載の秘密計算システム。

【請求項5】

相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、
を備える、秘密計算サーバ装置。

【請求項6】

相互にネットワークで接続した５台の秘密計算サーバ装置を用いる秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、
前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、
少なくとも２つ以上が同一であるものを正しい置換として採用し、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算方法。

【請求項7】

前記ミニシャッフルは、前記４台の秘密計算サーバ装置が保持しているシードと前記５台の秘密計算サーバ装置が保持している識別子とを入力に決定的に生成され、かつ、前記５台の秘密計算サーバ装置に関する総和がゼロになる疑似乱数によってマスクされている請求項６に記載の秘密計算方法。

【請求項8】

前記共有置換は、前記４台の秘密計算サーバ装置によって共有されているシードを入力に決定的に生成される請求項６または請求項７に記載の秘密計算方法。

【請求項9】

前記シェアの置換後の値が正しい値であることを判断する際には、前記シェアの置換後の値のハッシュ値が同一であることを用いて判断する、請求項６から請求項８のいずれか１項に記載の秘密計算方法。

【請求項10】

相互にネットワークで接続した５台以上の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、
前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、
少なくとも２つ以上が同一であるものを正しい置換として採用し、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算プログラム。

【発明の詳細な説明】

【技術分野】

【0001】

本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。

【背景技術】

【0002】

近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている。秘密計算は、第三者に対して計算過程とその結果を秘密にしつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘密にするデータを複数のサーバ（秘密計算サーバ装置）に分散配置し、秘密にした状態を維持しながら当該データの任意の演算を実行する。なお、各秘密計算サーバ装置に分散配置したデータをシェアと呼ぶ。以下、特に断りがない限り、「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。

【0003】

このような秘密計算には、四則演算だけではなく、特定用途の計算プロトコルも実装することが一般的である。その特定用途の計算プロトコルの一つとして、シャッフルプロトコルがある。秘密計算のプロトコルの中にシャッフルプロトコルがあると、例えばシェアのソートを効率よく行うことができる。

【0004】

ソートとは、シェアとして秘密にされた値の大小比較に基づいて、シェアを再配置する処理のことであるが、このとき大小比較の結果も秘密にする必要がある。例えば、配列番号ｉのシェアの値と配置場所ｊのシェアの値を比較した結果の情報は、間接的に配列番号ｉ，ｊのシェアの値の情報を含んでおり、この情報が漏洩すると安全性の問題が生じるからである。そこで、大小比較の結果も秘密を維持したままソートを実行する必要があるが、大小比較の結果の秘密を維持したまま計算を行うことによって効率が悪い（通信コストが大きい）。

【0005】

一方、ソートを行う前にシャッフルを行うと、配列番号とシェアの値との関係が失われるので、大小比較の結果を秘密にする必要がなくなる。すると、大小比較の結果の秘密を維持していたが故の非効率な計算を行う必要もなくなり、ソートを実行する効率も向上する。このように、秘密計算のプロトコルの中にシャッフルプロトコルを実装することには大きなメリットが存在している。

【先行技術文献】

【非特許文献】

【0006】

【文献】Byali, M., Chaudhari, H., Patra, A., & Suresh, A. (2020). FLASH: fast and robust framework for privacy-preserving machine learning. Proceedings on Privacy Enhancing Technologies, 2020(2), 459-480.

【発明の概要】

【発明が解決しようとする課題】

【0007】

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

【0008】

ところで、一般に秘密計算と呼ばれる技術の中にも、達成されている安全性の程度には高低がある。例えば、秘密計算を行うマルチパーティの参加者の中に不正者が紛れたとする。その場合に、不正者の存在を検知し処理を中断することができる秘密計算の技術と、たとえ不正者が存在しても処理を中断することなく正しい計算結果を得ることができる秘密計算の技術とでは、後者の方が前者よりも安全性が高い。そして、後者の安全性を満たす秘密計算はGuaranteed Output Delivery (GOD)と呼ばれ、これを実現する秘密計算の例も知られている（例えば、非特許文献１参照）。

【0009】

また、秘密計算における安全性の評価には、達成できる安全性の効果だけではなく、前提条件も重要な意味を持つ。代表的な前提条件としてハッシュ関数のランダムオラクルモデルないしランダムオラクル仮定がある。

【0010】

ハッシュ関数は、入力に対し一意の出力を返す関数であるが、出力から入力を推定することが困難であるように構成されている。ここで、出力から入力を推定することが困難であるとはいうものの、絶対に不可能であるかというとその保証はできない。そこで、安全性の評価に際し、用いられているハッシュ関数が脆弱性を持たないという前提で安全性が評価される。この前提の安全性を「ランダムオラクルモデルにおいて安全」あるいは「ランダムオラクル仮定のもとで安全」という。そして、非特許文献１における秘密計算の安全性は「ランダムオラクルモデルにおいて安全」である。

【0011】

一方、「ランダムオラクルモデルにおいて安全」の対義語は、「標準モデルにおいて安全」である。すなわち、ハッシュ関数の出力から入力を推定することができたとしても、そのこと自体が秘密計算の脆弱性とはならないことをいう。当然のことながら、達成できる安全性が同じであれば、ランダムオラクルモデルにおける安全性よりも、標準モデルにおける安全性の方が高度な安全性が達成できることになる。したがって、シャッフルプロトコルにおいても標準モデルにおいてGuaranteed Output Delivery (GOD)を達成することが望ましいことになる。

【0012】

本発明の目的は、上述した課題を鑑み、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成するビット変換に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することである。

【課題を解決するための手段】

【0013】

本発明の第１の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を備える秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、を備える、秘密計算システムが提供される。

【0014】

本発明の第２の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、を備える、秘密計算サーバ装置が提供される。

【0015】

本発明の第３の視点では、相互にネットワークで接続した５台の秘密計算サーバ装置を用いる秘密計算方法であって、前記秘密計算サーバ装置のそれぞれが、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用し、前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算方法が提供される。

【0016】

本発明の第４の視点では、相互にネットワークで接続した５台以上の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用し、前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算プログラムが提供される。なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

【発明の効果】

【0017】

本発明の各視点によれば、標準モデルにおいてGuaranteed Output Delivery (GOD)を達成するビット変換に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。

【図面の簡単な説明】

【0018】

【図1】図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図2】図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図3】図３は、秘密計算方法の手順の概略を示すフローチャートである。

【図4】図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。

【図5】図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【図6】図６は、秘密計算サーバ装置のハードウェア構成例を示す図である。

【発明を実施するための形態】

【0019】

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。また、各図面において、同一または対応する要素には適宜同一の符号を付している。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

【0020】

［第１の実施形態］
以下、図１、図２を参照して、第１の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。

【0021】

図１は、第１の実施形態における秘密計算システムの機能構成例を示すブロック図である。図１に示すように、第１の実施形態による秘密計算システム１００は、第１の秘密計算サーバ装置１００_０と第２の秘密計算サーバ装置１００_１と第３の秘密計算サーバ装置１００_２と第４の秘密計算サーバ装置１００_３と第５の秘密計算サーバ装置１００_４とを備えている。第１の秘密計算サーバ装置１００_０、第２の秘密計算サーバ装置１００_１、第３の秘密計算サーバ装置１００_２、第４の秘密計算サーバ装置１００_３、および第５の秘密計算サーバ装置１００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0022】

第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置１００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0023】

また、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶されているシェアに対し、その計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0024】

なお、上記計算結果のシェアは、第１～第５の秘密計算サーバ装置１００_０～１００_４とシェアを送受信することで、復元してもよい。あるいは、第１～第５の秘密計算サーバ装置１００_０～１００_４ではない外部にシェアを送信することで、復号してもよい。

【0025】

さらに、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム１００においては、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0026】

例えば上記のように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができるシェアの構成として以下の構成を採用することができる。

【0027】

位数ｎの剰余類環Z_nの元x∈Z_nの剰余類環Z_n上のシェア（以下、これを算術シェアということがある）を以下のように定義する。ただし、mは２以上の整数とし、n=2^mであるとする。つまり、位数２の剰余類環Z₂は、位数ｎの剰余類環Z_nと区別する。

【0028】

位数ｎの剰余類環Z_nの元x∈Z_nを
x = x₀ + x₁ + x₂ + x₃ + x₄ mod n
との関係を満たすように分解し、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]_iは、以下のようにする。
[x]_i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0029】

一方、位数２の剰余類環Z₂の元x∈Z₂の剰余類環Z₂上のシェア（以下、これを論理シェアということがある）は、上記剰余類環Z_n上のシェアにおけるn=2の場合と同様の定義であるが、記法としては位数ｎの剰余類環Z_nと区別し、[x]^Bのように表す。すなわち、具体的には以下のように定める。

【0030】

位数２の剰余類環Z₂の元x∈Z₂を以下のように分解する。なお、〇で囲まれた＋は排他的論理和を表す。

【0031】

【数1】

【0032】

そして、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する[x]^B _iは、以下のようにする。
[x]^B _i = (x_i, x_i+1, x_i+2, x_i+3), ただし、x₄₊₁ = x₀

【0033】

このように各参加者P_i (i = 0, 1, 2, 3, 4)が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄を定めると、各参加者P_i (i = 0, 1, 2, 3, 4)は、自己が保持するシェア[x]₀, [x]₁, [x]₂, [x]₃, [x]₄からはｘを復元することはできない。一方、参加者P_i (i = 0, 1, 2, 3, 4)のうち、すくなくとも２名が保持しているシェアを合わせるとｘを復元することができるという秘密分散が実現する。なお、この秘密分散方式は、2-out-of-5複製型秘密分散（Replicated Secret Sharing Scheme）と呼ばれている。

【0034】

ここでシャッフルを利用する状況とは、上記のように構成したシェアの配列を各参加者が分散して保持している状況である。すなわち、配列長Mの配列の各成分x_jを以下のようにシェアに分解し、各参加者 P_i (i = 0, 1, 2, 3, 4)が分散保持する。

【0035】

【数2】

【0036】

ところで、この秘密分散方式の秘密計算では、ｘを復元する場合に限らず、配列における位置をシャッフルする場合でも、各参加者が、自己が保持していないサブシェアの値を他の参加者から直接ないし間接的に受信する状況が発生する。何故ならば、各参加者が秘密分散して保持しているシェアが示している値を維持しながら、配列における位置をシャッフルする必要があるからである。しかも、各参加者も自己が保持しているシェアが示している値を知ることなく、配列における位置の変更後でもシェアが示している値を維持している必要がある。

【0037】

そこで、ビット変換をする場合でも、各参加者が、自己が保持していないサブシェアの値を他の参加者から直接ないし間接的に受信する状況が発生するが、他の参加者の中に不正者が紛れたとすると、本来は受信したい値の代わりに別の値が送信されてくることが起こり得る。すると、誤った値に基づいて秘密計算を実行することになり、誤った計算結果を得ることになったり、そもそも計算自体を正常に実行することができなくなったりするのである。

【0038】

このような目的に対し、本実施形態の秘密計算システム１００では、図２に示すように、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）が、ローカルシャッフル部１０１_ｉと比較検証部１０２_ｉとシャッフル合成部１０３_ｉを備える。図２は、第１の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。

【0039】

ローカルシャッフル部１０１_ｉは、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、そのシェアの置換後の値を他の１台の秘密計算サーバ装置に送信する。そして、比較検証部１０２_ｉは、４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずのシェアの置換後の値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する。シャッフル合成部１０３_ｉは、４台の秘密計算サーバ装置によって共有されている共有置換と比較検証部１０２_ｉによって採用された置換とを用いて構成されたミニシャッフルを、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する。

【0040】

このように、本実施形態の秘密計算システム１００では、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置が自己の装置で完結する置換を用いて自己のサブシェアの位置を置換し、かつ、残り１台の秘密計算サーバ装置のための置換を代わりに行う。当該残り１台の秘密計算サーバ装置は、他の４台の秘密計算サーバ装置が置換を行ったサブシェアをこれら４台の秘密計算サーバ装置から受信するが、このとき、４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずのシェアの置換後の値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用することで、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）にミニシャッフルが構成される。

【0041】

ここで注意したいのは、上記４台の秘密計算サーバ装置にとっては自己の装置で完結する置換であるので、シェアの配列における位置がどのように置換されたのかを知っているが、残り１台の秘密計算サーバ装置にとっては置換した結果を受け取るので、置換されたのかを知らない。そこで、このように構成されたミニシャッフルを、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関してすべて合成すると、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のどれもが追跡することができない置換（シャッフル）が構成されることになる。

【0042】

なお、本実施形態を秘密計算方法として捉えると、以下のようになる。図３は、秘密計算方法の手順の概略を示すフローチャートである。

【0043】

図３に示すように、本実施形態に係る秘密計算方法は、ローカルシャッフルステップ（Ｓ１１）と比較検証ステップ（Ｓ１２）とシャッフル合成ステップ（Ｓ１３）とを有する。ローカルシャッフルステップ（Ｓ１１）では、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、そのシェアの置換後の値を他の１台の秘密計算サーバ装置に送信する。そして、比較検証ステップ（Ｓ１２）では、４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずのシェアの置換後の値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する。最後に、シャッフル合成ステップ（Ｓ１３）では、４台の秘密計算サーバ装置によって共有されている共有置換と比較検証部１０２_ｉによって採用された置換とを用いて構成されたミニシャッフルを、第１～第５の秘密計算サーバ装置１００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する。

【0044】

このように、本実施形態の秘密計算システム１００および秘密計算方法は、少なくとも３人の他の参加者から同一となるはずの受信値を受信し、少なくとも２つ以上が同一である受信値を正しい値として採用することで、他の参加者の中に不正者が紛れたとしても正しい値を判別することができる。すなわち、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。また、上記処理では、そもそもハッシュ関数を用いていないので、標準モデルにおいてGuaranteed Output Delivery (GOD)が実現されている。

【0045】

以上説明した第１の実施形態は、本発明の基本的なコンセプトのみを説明する実施形態である。以下で説明する第２の実施形態は、上記説明したコンセプトを実用的な実施形態に適用したものである。

【0046】

［第２の実施形態］
以下、図４および図５を参照して、第２の実施形態に係る秘密計算システムおよび秘密計算サーバ装置について説明する。

【0047】

図４は、第２の実施形態における秘密計算システムの機能構成例を示すブロック図である。図４に示すように、第２の実施形態による秘密計算システム２００は、第１の秘密計算サーバ装置２００_０と第２の秘密計算サーバ装置２００_１と第３の秘密計算サーバ装置２００_２と第４の秘密計算サーバ装置２００_３と第５の秘密計算サーバ装置２００_４とを備えている。第１の秘密計算サーバ装置２００_０、第２の秘密計算サーバ装置２００_１、第３の秘密計算サーバ装置２００_２、第４の秘密計算サーバ装置２００_３、および第５の秘密計算サーバ装置２００_４は、それぞれが互いにネットワーク経由で通信可能に接続されている。

【0048】

第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）の内のいずれかの秘密計算サーバ装置２００_ｉが入力した値に対し、その入力や計算過程の値を知られることなく目的のシェアを計算し、その計算結果を第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）に分散して記憶することができる。

【0049】

さらに、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）を備える秘密計算システム２００においては、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち１つが不正者によって運営されている場合であっても、処理を停止することなく、正しい秘密計算を継続することができる。

【0050】

図５は、第２の実施形態における秘密計算サーバ装置の機能構成例を示すブロック図である。本実施形態の秘密計算システム２００は、図５に示すように、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）が、ローカルシャッフル部２０１_ｉと比較検証部２０２_ｉとシャッフル合成部２０３_ｉを備える。

【0051】

ローカルシャッフル部２０１_ｉは、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、そのシェアの置換後の値を他の１台の秘密計算サーバ装置に送信する。そして、比較検証部２０２_ｉは、４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずのシェアの置換後の値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する。シャッフル合成部２０３_ｉは、４台の秘密計算サーバ装置によって共有されている共有置換と比較検証部２０２_ｉによって採用された置換とを用いて構成されたミニシャッフルを、第１～第５の秘密計算サーバ装置２００_ｉ（ｉ＝０，１，２，３，４）のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する。

【0052】

以下、本実施形態におけるビット変換の実施に用いられるビルディングブロックについて説明する。

【0053】

［疑似乱数の生成とシードの共有］
疑似ランダム関数Ｆ_ｎとシードおよび識別子の関係は次の通りである。疑似ランダム関数Ｆ_ｎは、セキュリティパラメータκに対して定められた２項演算である。
Ｆ_ｎ：{0,1}^κ×{0,1}^κ→{0,1}^ｎ
一方、シードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが適切に共有している値であり、識別子vid∈{0,1}^κはカウンタなどの公開された値である。これらシードと識別子を入力として、疑似ランダム関数Ｆ_ｎは、決定的に疑似乱数を生成する。

【0054】

５つのシードseed_i∈{0,1}^κ(i=0, 1, 2, 3, 4)は、各秘密計算サーバ装置２００_ｉが(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持する。ただし、seed₄₊₁ = seed₀である。すなわち、各秘密計算サーバ装置２００_ｉは、すべてのシードseed_iを保持するのではなく、秘密計算サーバ装置２００_ｉは、シードseed_i+4のみを保持していないという関係となっている。これらシードの共有は、例えば、各秘密計算サーバ装置２００_ｉにおける事前の設定として管理者などが適切に設定することができる。

【0055】

［マスク作成］
ここでは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能であるような、疑似乱数(Correlated Randomness)を作成し、これを後に説明する置換後のシェアを送信する際にマスクとして用いる。

【0056】

まず、参加者P_i+4がシードseed_i+3を保持していないことに着目すると、疑似ランダム関数F_nの入力としてシードseed_i+3を用いれば以下の疑似乱数は上記条件を満たす。すなわち、下記ｒ_kは、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。
ｒ_k = F_n(vid_k, seed_i+3)- F_n(vid_k+1, seed_i+3) mod n

【0057】

また、識別子vid_kにおけるインデックスkをk=0からk=4まで変化させると、ｒ_kを５つ作成することが可能である。そこで、これらｒ_kの組を以下のように定める。このように定めたｒ₀, ｒ₁, ｒ₂, ｒ₃, ｒ₄がｒ₀+ｒ₁+ｒ₂+ｒ₃+ｒ₄=0を満たすことは容易に確かめることができる。
(ｒ₀, ｒ₁, ｒ₂, ｒ₃, ｒ₄) = CR(i+4, {vid_k}⁴ _k=0, seed_i+3)

【0058】

このように作成された疑似乱数ｒ₀, ｒ₁, ｒ₂, ｒ₃, ｒ₄は、参加者P_i+4からは乱数に見えて除去できないが、残りの参加者P_i, P_i+1, P_i+2, P_i+3にとっては決定的に計算可能である。一方、参加者P_i+4にとっても、各疑似乱数ｒ₀, ｒ₁, ｒ₂, ｒ₃, ｒ₄は除去できないが、すべての疑似乱数ｒ₀, ｒ₁, ｒ₂, ｒ₃, ｒ₄が揃うと総和は０であり除去可能になるという性質がある。

【0059】

［ミニシャッフルの構成］
ミニシャッフルの構成は、先述の第１実施形態で説明したローカルシャッフルステップ（Ｓ１１）と比較検証ステップ（Ｓ１２）に相当する処理である。

【0060】

ここで、参加者P_i (i = 0, 1, 2, 3, 4)のうち、参加者P_i (i = 1, 2, 3, 4)が共有している置換を用いて、参加者P₀の置換を代わりに計算し、これを参加者P₀に送信する例を考える。

【0061】

参加者P_i (i = 1, 2, 3, 4)が共有する置換σ₀∈S_Mを、次のように構成する。先述したように、各参加者P_i (i = 0, 1, 2, 3, 4)は、シード(seed_i, seed_i+1, seed_i+2, seed_i+3)を保持している。これを言い換えると、各参加者P_i (i = 0, 1, 2, 3, 4)は、シードseed_i+4のみを保持していないことになる。つまり、参加者P₀は、シードseed₄を保持していない一方、他の参加者P_i (i = 1, 2, 3, 4)は、シードseed₄を保持している。そこで、シードseed₄を用いて生成した疑似乱数を用いて参加者P_i (i = 1, 2, 3, 4)が共有する置換σ₀∈S_Mを構成する。すると、置換σ₀∈S_Mは、参加者P_i (i = 1, 2, 3, 4)にとっては、どのような置き換えが起きたのかの追跡可能である一方、参加者P₀にとっては、追跡不可能な置換となる。

【0062】

次に、このように構成した置換σ₀∈S_Mと疑似乱数ｒ_kを用いて、参加者P_i (i = 1, 2, 3, 4)が参加者P₀の置換を代わりに計算し、これを以下のように参加者P₀に送信する。なお、ここで注意すべきことは、秘密分散のシェアの構成方法から、参加者P_i (i = 1, 2, 3, 4)と参加者P₀との間で共有されているシェアが存在しており、参加者P_i (i = 1, 2, 3, 4)が参加者P₀の置換を代わりに計算することが可能であるということである。

【0063】

【数3】

【0064】

ここで、上記送信では、参加者P₂, P₃, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₃, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₂, P₄が同一の値を参加者P₀に送信し、参加者P₁, P₂, P₃が同一の値を参加者P₀に送信することに注意する。この性質から、参加者P₀は、３人の参加者から受信した同一の値となるはずのシェアの置換後の値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用することが可能である。つまり、他の参加者の中に不正者が紛れたとしても正しい値を判別することができ、不正者が紛れたとしても処理を停止することなく、正しい計算を得ることができるGuaranteed Output Delivery (GOD)が実現されている。

【0065】

また、上記送信では、参加者P_i (i = 1, 2, 3, 4)が共有するハッシュ関数を用いて以下のようにハッシュ値を送信することで通信量を減らすことができる。まず、３人の参加者のうち、１名はハッシュ関数を用いて送信する値を変換し、ハッシュ値を参加者P₀に送信する。一方、残りの２名の参加者は、ハッシュ値ではなく、そのままの値を送信し、受信した参加者P₀がハッシュ関数を用いてハッシュ値へ変換する。そして、参加者P₀は、ハッシュ値同士を比較し、２つ以上が一致した場合を正しい値として用いる。

【0066】

上記のような処理を行うことで、参加者P_i (i = 1, 2, 3, 4)にとっては計算可能である一方、参加者P₀にとっては、計算不可能な置換σ₀∈S_Mに対応したシェアが以下のように構成できる。

【0067】

【数4】

【0068】

［ミニシャッフルの合成］
上記ミニシャッフルの構成では、参加者P_i (i = 0, 1, 2, 3, 4)のうち、参加者P_i (i = 1, 2, 3, 4)が共有している置換を用いて、参加者P₀の置換を代わりに計算し、これを参加者P₀に送信する例を考えたが、４人の参加者P_iと１人の参加者P₀の組み合わせを変更することができる。すると、５通りのミニシャッフルを構成することが可能である。また、このように構成した５通りのミニシャッフルのそれぞれは、各参加者P_i (i = 0, 1, 2, 3, 4)のいずれかにとっては追跡不可能な置換となっている。

【0069】

したがって、参加者P_i (i = 0, 1, 2, 3, 4)にとっては追跡不可能な置換σ_i (i = 0, 1, 2, 3, 4)∈S_Mをすべて合成すると、すべての参加者P_i (i = 0, 1, 2, 3, 4)にとって追跡不可能な置換σ（シャッフル）を構成することができる。

【0070】

【数5】

【0071】

なお、上記のように構成したシャッフルの通信コストは、通信ラウンド数が５ラウンドであり、通信量が４０ｎｍビットである。１回のミニシャッフルの通信ラウンド数が１ラウンドであり、通信量が８ｎｍビットであり、ミニシャッフルが５回行われるので上記通信コストになる。

【0072】

［ハードウェア構成例］
図６は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図６に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成例である。図６に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現することを可能にする。

【0073】

ただし、図６に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）のハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）は、図６に示さないハードウェアを含むことができる。

【0074】

図６に示すように、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

【0075】

ＣＰＵ１１は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

【0076】

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）が実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。ＩＦ部１４は、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）間の入出力に関するインターフェイスを提供する。

【0077】

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ（ｉ＝０，１，２，３，４）の各機能を実現する。

【0078】

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した５台の秘密計算サーバ装置を備える秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、
を備える、秘密計算システム。
［付記２］
前記ミニシャッフルは、前記４台の秘密計算サーバ装置が保持しているシードと前記５台の秘密計算サーバ装置が保持している識別子とを入力に決定的に生成され、かつ、前記５台の秘密計算サーバ装置に関する総和がゼロになる疑似乱数によってマスクされている付記１に記載の秘密計算システム。
［付記３］
前記共有置換は、前記４台の秘密計算サーバ装置によって共有されているシードを入力に決定的に生成される付記１または付記２に記載の秘密計算システム。
［付記４］
前記比較検証部は、前記シェアの置換後の値のハッシュ値が同一であることを判断して、前記受信値が正しい値であることを判断する、付記１から付記３のいずれか１つに記載の秘密計算システム。
［付記５］
相互にネットワークで接続した５台の秘密計算サーバ装置の一つであって、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信するローカルシャッフル部と、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、少なくとも２つ以上が同一であるものを正しい置換として採用する比較検証部と、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記比較検証部によって採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成するシャッフル合成部と、
を備える、秘密計算サーバ装置。
［付記６］
相互にネットワークで接続した５台の秘密計算サーバ装置を用いる秘密計算方法であって、
前記秘密計算サーバ装置のそれぞれが、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、
前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、
少なくとも２つ以上が同一であるものを正しい置換として採用し、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算方法。
［付記７］
前記ミニシャッフルは、前記４台の秘密計算サーバ装置が保持しているシードと前記５台の秘密計算サーバ装置が保持している識別子とを入力に決定的に生成され、かつ、前記５台の秘密計算サーバ装置に関する総和がゼロになる疑似乱数によってマスクされている付記６に記載の秘密計算方法。
［付記８］
前記共有置換は、前記４台の秘密計算サーバ装置によって共有されているシードを入力に決定的に生成される付記６または付記７に記載の秘密計算方法。
［付記９］
前記シェアの置換後の値が正しい値であることを判断する際には、前記シェアの置換後の値のハッシュ値が同一であることを用いて判断する、付記６から付記８のいずれか１つに記載の秘密計算方法。
［付記１０］
相互にネットワークで接続した５台以上の秘密計算サーバ装置に秘密計算をさせる秘密計算プログラムであって、
前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置によって共有されている共有置換を用いて、前記５台の秘密計算サーバ装置における他の１台の秘密計算サーバ装置におけるシェアの置換後の値を計算し、
前記シェアの置換後の値を前記他の１台の秘密計算サーバ装置に送信し、
前記４台の秘密計算サーバ装置のうち少なくとも３台以上の秘密計算サーバ装置から受信した同一の値となるはずの値を比較し、
少なくとも２つ以上が同一であるものを正しい置換として採用し、
前記４台の秘密計算サーバ装置によって共有されている共有置換と前記採用された置換とを用いて構成されたミニシャッフルを、前記５台の秘密計算サーバ装置のうち４台の秘密計算サーバ装置を選択する５つの組み合わせに関して合成する、秘密計算プログラム。

【0079】

なお、引用した上記の非特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

【符号の説明】

【0080】

１００，２００ 秘密計算システム
１００_ｉ，２００_ｉ 秘密計算サーバ装置
１０１_ｉ，２０１_ｉ ローカルシャッフル部
１０２_ｉ，２０２_ｉ 比較検証部
１０３_ｉ，２０３_ｉ シャッフル合成部
１０ ハードウェア構成
１１ ＣＰＵ（Central Processing Unit）
１２ 主記憶装置
１３ 補助記憶装置
１４ ＩＦ（Interface）部

【図1】

【図2】

【図3】

【図4】

【図5】

【図6】