知財求人 - 知財ポータルサイト「IP Force」
(19)【発行国】日本国特許庁(JP)
(12)【公報種別】特許公報(B2)
(11)【特許番号】
(24)【登録日】2024-12-06
(45)【発行日】2024-12-16
(54)【発明の名称】マルチ・パーティー秘密計算
(51)【国際特許分類】
G09C 1/00 20060101AFI20241209BHJP
【ＦＩ】
G09C1/00 650Z
【請求項の数】
4
(21)【出願番号】P 2024531222
(86)(22)【出願日】2022-11-23
(65)【公表番号】
(43)【公表日】2024-10-28
(86)【国際出願番号】 EP2022082986
(87)【国際公開番号】W WO2023094453
(87)【国際公開日】2023-06-01
【審査請求日】2024-07-29
(31)【優先権主張番号】21210077.0
(32)【優先日】2021-11-23
(33)【優先権主張国・地域又は機関】EP
【早期審査対象出願】
(73)【特許権者】
【識別番号】524194779
【氏名又は名称】セディシアイ イノベーションズ リミテッド
(74)【代理人】
【識別番号】100095407
【弁理士】
【氏名又は名称】木村 満
(74)【代理人】
【識別番号】100132883
【弁理士】
【氏名又は名称】森川 泰司
(74)【代理人】
【識別番号】100148633
【弁理士】
【氏名又は名称】桜田 圭
(74)【代理人】
【識別番号】100147924
【弁理士】
【氏名又は名称】美恵 英樹
(72)【発明者】
【氏名】デベガロドリゴ、ミゲル
【審査官】平井 誠
(56)【参考文献】
【文献】LIJING ZHOU et al.，AntNest: Fully Non-Interactive Secure Multi-Party Computation，IEEE Access，2018年11月28日，pages 75639-75649，https://www.researchgate.net/profile/Tianyi-Ai/publication/329259845_AntNest_Fully_Non-Interactive_Secure_Multi-Party_Computation/links/5dc9902e4585151435036f55/AntNest-Fully-Non-Interactive-Secure-Multi-Party-Computation.pdf
(58)【調査した分野】(Int.Cl.，ＤＢ名)
Ｇ０９Ｃ １／００－５／００
Ｈ０４Ｌ ９／００－４０
(57)【特許請求の範囲】
【請求項1】
計算実行方法であって、複数のＤ個のディーラー・ノード（１０）とＮ個の計算ノード（１２）の間で実行され、
非公開の入力秘密｛ｓ０，ｓ１，・・・，ｓｓ－１｝のセットＳの積のＡ個のグループの和として表されうる
【数1】
となるような算術関数ｆの結果を計算することを含み、
積の各グループｍａ、ａ∈｛０，１，・・・，Ａ－１｝は、非公開の入力秘密の前記セットＳのＭａ個の秘密の積
【数2】
であり、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈{０，１，・・・，Ｍａ－１}におけるサブ表示ｉａ，ｍは、Ｓ個の秘密のセットから、非公開の入力秘密を識別し、
前記Ｓ個の秘密は、整数または実数または複素数から選択され、
各々の秘密は前記ディーラー・ノード（１０）のうちの１つに知られており、
前記方法は、
ａ）積ｍａのグループに秘密
【数3】
を提供している各ディーラー・ノード（１０）に、前記積ｍａのグループに提供している全ての秘密に共通の基礎ブラインド要素ρａを提供することを含み、
前記基礎ブラインド要素ρａは、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、各々がＮ個の計算ノード（１２）のそれぞれ１つと関連付けられた、（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットに対して
【数4】
（モジュロｐ、ここでｐは素数）を満たし、
前記方法は、
ｂ）積ｍａのグループに秘密
【数5】
を提供している各ディーラー・ノード（１０）に、前記秘密
【数6】
に特有の指数ブラインド要素λａ，ｍを提供することを含み、
前記指数ブラインド要素λａ，ｍのセットは、まとめると、
【数7】
（モジュロｐ）を満たし、
前記方法は、
ｃ）ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットを記憶することを含み、
（ア）第１の演算モード（「ネットワーク・モード」）の前記計算ノード（１２）で記憶し、それによって、Ｎ個の前記計算ノード（１２）の各々が、当該ノード（１２）に特有のＡ個の乱数または擬似乱数のサブセットを記憶し、または、
（イ）第２の演算モード（「エッジ・モード」）の前記ディーラー・ノード（１０）で記憶し、それによって、各ディーラー・ノード（１０）が、少なくとも、当該ディーラーが提供する秘密への和に対応する前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのサブセットを記憶し、
前記方法は、
ｄ）各ディーラー・ノード（１０）が、各秘密
【数8】
に対して、当該秘密に対する１以上のシェアを計算することを含み、
演算の前記ネットワーク・モードでは、単一のシェアが
【数9】
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、秘密
【数10】
が提供される積ｍａのグループに関連したＮ個の乱数または擬似乱数Ｘｎ，ａを使用して、複数のＮ個のシェアが
【数11】
（モジュロｐ）で計算され、
前記方法は、
ｅ）各ディーラー・ノード（１０）が、前記計算ノード（１２）の各々に、各々のシェア・メッセージを送信することを含み、
演算の前記ネットワーク・モードでは、各々のシェア・メッセージは、同一の単一のシェアνａ，ｍを含み、
演算の前記エッジ・モードでは、Ｎ個の前記計算ノード（１２）の各々が、特有の値ｎ∈｛０，１，・・・，Ｎ－１｝で指標をつけられたシェアを受信するように、各々のシェア・メッセージは、Ｎ個のシェアνｎ，ａ，ｍのうちのそれぞれ１つを含み、
前記方法は、
ｆ）各計算ノード（１２）が、積ｍａのグループの各々に関連した、受信した前記シェアνａ，ｍまたはνｎ，ａ，ｍに対してローカルの乗算結果を計算することを含み、当該ローカルの乗算結果は、
演算の前記ネットワーク・モードでは、
【数12】
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、
【数13】
（モジュロｐ）で計算され、
前記方法は、
ｇ）各計算ノード（１２）が、ローカルの乗算結果のセットから、
【数14】
（モジュロｐ）でローカルの加算結果を計算することと、
ｈ）Ｎ個の前記計算ノード（１２）からの前記ローカルの加算結果を組み合わせることによって、
【数15】
を計算して、関数ｆの出力を計算することと、
を含み、
ステップａ）は、
ａ．前記ディーラー・ノード（１０）が、信頼されたノードから、前記基礎ブラインド要素ρ ａ ―１ を受信することと、
ｂ．前記計算ノード（１２）が、前記ディーラー・ノード（１０）が各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対してρ ａ ―１ を復元可能なように、前記ディーラー・ノード（１０）にメッセージを送信することであって、前記メッセージは、マルチ・パーティー秘密計算を使用して、前記秘密Ｘ ｎ，ａ から前記ディーラー・ノード（１０）が協同的に生成する、メッセージを送信することと、
ｃ．前記ディーラー・ノード（１０）以外の１以上のノードが、準同型暗号を実行して、前記基礎ブラインド要素ρ ａ ―１ を生成し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノード（１０）に送信することと、
ｄ．前記ディーラー・ノード（１０）以外の１以上のノードが、安全な孤立領域または信頼された実行環境で、前記基礎ブラインド要素ρ ａ ―１ を計算し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノード（１０）に送信することと、
の１つを含む、
計算実行方法。
【請求項2】
ステップｈ）が、（ア）各計算ノード（１２）が、ローカルの加算結果ｒｎを１以上の結果ノード（１４）に送信することと、
（イ）前記１以上の結果ノード（１４）が、受信した前記ローカルの加算結果の集計を実行して、算術関数ｆの結果を特定することと、
を含む請求項１に記載の計算実行方法。
【請求項3】
ステップａ）が、（ア）各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成することと、
（イ）各計算ノード（１２）が、
【数16】
（ｍｏｄ ｐ）となるように、次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を計算することと、
（ウ）各計算ノード（１２）が、各々のρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信することと、
（エ）各ディーラー・ノード（１０）が、受信した前記シェアから、対応する前記基礎ブラインド要素ρａ －１を復元することと、
を含む請求項１または２に記載の計算実行方法。
【請求項4】
ステップ（イ）が、ｎ≠ｑであるｎ，ｑ∈｛０，１，・・・，Ｎ－１｝における乱数ジェネレータＧｎ，ｑが、計算ノードｎとｑ（１２）が互いに同期して動かす生成器であるように、乱数ジェネレータＧｎ，ｑのコレクションを提供することと、
各計算ノードｎが、ｑ≠ｎである各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、Ｎ－１個のランダム・シェアを生成して、多項式ｐｎ（ｑ＋１）の各ランダム評価値を生成することと、
各計算ノードｎが、各ランダム評価値ｐｎ（ｑ＋１）とｐｎ（０）＝Ｘｎ，ａとを満たす多項式ｐｎ（ｘ）の係数を計算することと、
各計算ノードｎが、前記係数とＸｎ，ａとから、前記多項式ｐｎ（ｘ）のシェアｐｎ（ｎ＋１）を計算することと、
他の全ての計算ノードｑからの多項式ｐｑ（ｘ）の自身のシェアとして、各計算ノードｎが、各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、ｐｑ（ｎ＋１）を生成することと、
各ノードが、
【数17】
を計算して、ｎ＋１で評価された多項式ｐａ（ｘ）のシェアｐ（ｎ＋１）を提供することと、
各ディーラー・ノード（１０）が、前記秘密の合計
【数18】
に等しい、ｘ０に相当するｐａ（ｘ）の独立した係数を復元できるように、各計算ノード（１２）が、積ｍａのグループに提供している各ディーラー・ノード（１０）に、ｐａ（ｘ）のシェアｐ（ｎ＋１）を送信することと、
を含む請求項３に記載の計算実行方法。
【発明の詳細な説明】
【技術分野】
【0001】
この発明は、マルチ・パーティー秘密計算（Ｓｅｃｕｒｅ Ｍｕｌｔｉ Ｐａｒｔｙ Ｃｏｍｐｕｔａｔｉｏｎ（ＳＭＰＣ））プロトコルに関する。
【背景技術】
【0002】
マルチ・パーティー秘密計算（ＳＭＰＣ）は、一連のパーティーを秘密にしつつ、一連のパーティーが、それらの入力について協同的に関数を計算することを可能にする。ヤオのスクランブルされた回路（非特許文献１）、ＧＭＷ（非特許文献２―３）、ＢＧＷ（非特許文献４）、ＳＰＤＺ（非特許文献５）、ＢＭＲ（非特許文献６）と、ＧＥＳＳ（非特許文献７）を含む文献に記載されたＳＭＰＣフレーバーのものがいくつか存在する。
【先行技術文献】
【非特許文献】
【0003】
【文献】ヤオ、アンドリュー・チ－チー（１９８６）．「秘密を生成し、交換する方法」、情報基礎学の第２７回年次シンポジウム（Ｓｙｍｐｏｓｉｕｍ ｏｎ Ｆｏｕｎｄａｔｉｏｎｓ ｏｆ Ｃｏｍｐｕｔｅｒ Ｓｃｉｅｎｃｅ １９８６（ＳＦＣＳ １９８６））．情報基礎学，１９８６．、第２７回年次シンポジウムのｐｐ．１６２－１６７．ｄｏｉ：１０．１１０９／ＳＦＣＳ．１９８６．２５．ＩＳＢＮ ９７８－０－８１８６－０７４０－０
【文献】Ｏ．ゴールドライヒ、Ｓ．ミカリ、Ａ．ウィグダーソン、「ＡＮYメンタルゲームをする方法」、計算理論に関する第１９回年次ＡＣＭシンポジウムの会報、１９８７年１月、２１８－２２９ページ、ｄｏｉ：１０．１１４５／２８３９５．２８４２０
【文献】Ｔ．シュナイダー、Ｍ．ゾーナー、「ＧＭＷ ｖｓ． ヤオ？低深度回路による効率的な２パーティーの秘密計算暗号」、ファイナンシャル・クリプトロジー・アンド・データ・セキュリティー（ＦＣ’１３）、ｓｅｒ．ＬＮＣＳ、ｖｏｌ．７８５９．スプリンガー、２０１３、ｐｐ．２７５－２９２
【文献】ベン－Ｏｒ、Ｍ．、ゴールドワッサー、Ｓ．、ウィグデルソン、Ａ．、「非暗号フォールト・トレラント分散計算のための完全性定理」、会報ＡＣＭ ＳＴＯＣ’８８、ｐｐ．１－１０（１９８８）
【文献】ダムガルド Ｉ．、パストロ Ｖ．、スマート Ｎ．、サカリアス Ｓ．（２０１２）サムホワット準同型暗号のマルチパーティー計算、サファヴィ－ナイニ Ｒ．、カネッティ Ｒ．（ｅｄｓ）暗号学の進歩－ＣＲＹＰＴＯ ２０１２． ＣＲＹＰＴＯ ２０１２．レクチャー・ノート・イン・コンピュータ・サイエンス、ｖｏｌ ７４１７．スプリンガー、ベルリン、ハイデルベルク．ｈｔｔｐｓ：／／ｄｏｉ．ｏｒｇ／１０．１００７／９７８－３－６４２－３２００９－５＿３８の中
【文献】ビーバー、Ｄ．、Ｓ．ミカリ、Ｐ．ロガウェイ．１９９０．、「セキュア・プロトコルのラウンド複雑度（拡大抄録）」、計算理論に関する第２２回年次ＡＣＭシンポジウム．ＡＣＭプレス．５０３－５１３
【文献】カレースニコフ、Ｖ．２００５．「ゲート評価の秘密共有とセキュアな１ラウンド２パーティーの計算」、暗号学の進歩－ＡＳＩＡＣＲＹＰＴ ２００５．Ｅｄ．ｂｙ Ｂ．Ｋ．ロイ．ｖｏｌ．３７８８．レクチャー・ノート・イン・コンピュータ・サイエンス．スプリンガー、ハイデルベルク．１３６－１５５
【文献】ビーバー、Ｄ．「回路ランダム化を使用した効率的なマルチパーティー・プロトコル」．アドバンス・イン・サイプトロジー－ＣＲＹＰＴＯ’ Ｅｄ．ｂｙ Ｊ．フェイゲンバウム． Ｖｏｌ．５７６． レクチャー・ノート・イン・コンピュータ・サイエンス．スプリンガー、ハイデルベルク．４２０－４３２
【発明の概要】
【発明が解決しようとする課題】
【0004】
ＳＭＰＣの２つの主な構成：回路スクランブル（Ｃｉｒｃｕｉｔ Ｇａｒｂｌｉｎｇ（ＣＧ））と線形秘密分散（Ｌｉｎｅａｒ Ｓｅｃｒｅｔ Ｓｈａｒｉｎｇ（ＬＳＳ））が存在する。回路スクランブルは、関数評価のシミュレーションをするための特定の命令で、暗号化キーを必要とする。線形秘密分散は入力からシェアを計算し、それらをノードに分配する。この開示では、ＬＳＳを用いたＳＭＰＣフレーバーに焦点をあてる。
【0005】
以下は、ＳＭＰＣ計算に参加するノードの主要な役割のリストである：
ディーラー・ノード：これらのノードは、計算に入力を提供する
計算ノード：これらのノードは、ディーラー・ノードによって提供された入力に実際のＳＭＰＣ計算を実行する
結果ノード：これらのノードは、完了したＳＭＰＣ計算から結果を復元する
ディーラー・ノード：これらのノードは、計算に入力を提供する
計算ノード：これらのノードは、ディーラー・ノードによって提供された入力に実際のＳＭＰＣ計算を実行する
結果ノード：これらのノードは、完了したＳＭＰＣ計算から結果を復元する
【0006】
ＬＳＳ ＳＭＰＣプロトコルは、以下の３つの段階を含む：
段階０（オプション）－前処理：いくつかのＬＳＳ ＳＭＰＣプロトコルは、ＢＧＷ（非特許文献８）のビーバーのバージョンで、またはＳＰＤＺで、乗算のトリプレットの生成のような予備計算を走らせることをノードに要求する。これらの計算は、どのような特定のＳＭＰＣ計算の非公開の入力にも関係なく、したがって前のオフラインの段階で行われることができる。
段階０（オプション）－前処理：いくつかのＬＳＳ ＳＭＰＣプロトコルは、ＢＧＷ（非特許文献８）のビーバーのバージョンで、またはＳＰＤＺで、乗算のトリプレットの生成のような予備計算を走らせることをノードに要求する。これらの計算は、どのような特定のＳＭＰＣ計算の非公開の入力にも関係なく、したがって前のオフラインの段階で行われることができる。
【0007】
段階１－シェア分布：各ディーラー・ノードは、計算のための各非公開の入力をシェアの数Ｎに分解して、異なる計算ノードに各シェアを送信する。各シェアは、非公開の入力に関する情報を明らかにしない。それが復元されうるのは、非公開の入力からの全てのＮ個のシェアが集められる時だけである。
【0008】
段階２－計算：各計算ノードは、計算への各非公開の入力からの1つのシェアを有する。計算は、非公開の入力に対しての関数の出力を評価することを含む。これをなすために、計算ノードは、ＳＭＰＣプロトコルによって評価されるべき特定の関数に従って、シェアへの演算を実行する。
【0009】
段階３－結果の復元：段階２の後、各計算ノードは、計算の結果（すなわち、評価されるべき関数）から、シェアを取得している。計算ノードは、１つあるいは複数の結果ノードにシェアを送信する。結果から、すべてのＮ個のシェアを集めた後に、結果ノードは、共同で計算された関数の出力を復元することができる。
【0010】
たとえば、２つのディーラー・ノードが各々１つの文字列を有すると仮定する。２つの文字列の比較から結果を評価するための、そして、結果ノードにこの結果を伝えるための、計算ノードのネットワークが欲しい。文字列はディーラー・ノードに秘密であるので、文字列は、プレーンテキストで、または、暗号化された形で計算ノードに送信されるべきではない。各ディーラー・ノードは秘密の文字列をＮ個のシェアに分解し、異なる計算ノードに各シェアを送信する。比較されるべき２つの文字列のそれぞれにつき１つのシェアを受信した後、計算ノードは、計算から結果のシェアを取得するために、ＳＭＰＣプロトコルに従う。この結果は、マッチする文字列をＴＲＵＥ値で表現し、ミスマッチする文字列をＦＡＬＳＥ値で表現するブールであっても良い。各ノードは、結果ノードに結果のシェアを送信し、結果ノードは、文字列比較から、ＴＲＵＥまたはＦＡＬＳＥ結果を復元する。
【0011】
ＳＭＰＣに関する主要な課題は、通信の複雑さである。計算ノードが、段階２で、評価されるべき関数の結果のシェアを共同的に取得するのに、この関数が複雑である場合、多数のメッセージ交換および／または通信帯域幅が必要とされる。複雑な関数とは、多数の入力を有する関数であって、それらの入力の際の多数の演算を有する関数を意味する。ＳＭＰＣの現実のアプリケーションは、通常、複雑な関数を必要としており、そのことは生産シナリオにおけるＳＭＰＣの適用可能性に著しく影響を及ぼす。
【0012】
たとえば、ＢＧＷ ＳＭＰＣにおいて、計算ノードは、加算と乗算を含む、整数入力への算術関数を評価する。ＢＧＷを走らせている計算ノードは、メッセージを交換する必要なく、加算を処理することができる。しかし、乗算の評価は、メッセージの交換を必要とする。複雑な関数は、加算と乗算を含み、全体的なＢＧＷ関数評価を遅くする。
【0013】
ここでは、算術の設定で、ＳＭＰＣとして算術関数を評価するＳＭＰＣフレーバーに言及する。発明の焦点は、算術の設定での関数のＳＭＰＣに対する評価にある。算術の設定では、関数は、秘密の積のグループの合計として、普遍性を失わずに表されうる。この設定では、秘密は、自然数または整数または実数または複素数である。
【0014】
一般的な関数の評価は、算術の設定の積の計算を必要とする。最先端のＳＭＰＣｓは、共同で算術の積を評価するために、メッセージを交換することをノードに要求する。メッセージの交換は、ローカルＣＰＵの計算より遅い規模の多くの命令である。そういうわけで、標準的なＳＭＰＣｓでの些細ではない関数の共同での評価は、統括サーバ上より遅い規模の命令である。
【課題を解決するための手段】
【0015】
非公開の入力秘密｛ｓ０，ｓ１，・・・，ｓｓ－１｝のセットＳの積のグループＡ個の和として表されうる算術関数ｆの計算を可能にするマルチ・パーティー秘密計算方法が提供される。秘密を保持しているディーラー・ノードは、基礎ブラインド要素ρａを備えており、基礎ブラインド要素ρａの逆数は、擬似乱数のセットの合計であり、擬似乱数の各々は、それぞれの計算ノードと関連しており、かつ他の計算ノードと共有されない。各ディーラー・ノードは、更に、提供されている秘密に特有の、指数ブラインド要素λａ，ｍを備えており、指数ブラインド要素の全ての合計は１である。ディーラー・ノードは、秘密と、指数ブラインド要素によって増された基礎ブラインド要素との積を、計算ノードとシェアする。各計算ノードは、独立して、かつ計算を分けることなく、ディーラー・ノードから受信したシェアの積から、結果シェアを生成する。結果シェアを合計することが、計算の結果を提供する。このように、計算中、計算ノード間でメッセージを渡すことを要求することなく、計算ノードが積の合計を計算することができる。
【0016】
１つの面では、計算実行方法が提供され、計算実行方法は、複数のＤ個のディーラー・ノードとＮ個の計算ノードの間で実行され、非公開の入力秘密｛ｓ０，ｓ１，・・・，ｓｓ－１｝のセットＳの積のＡ個のグループの和として表されうる
となるような算術関数ｆの結果を計算することであり、積の各グループｍａ、ａ∈｛０，１，・・・，Ａ－１｝は、非公開の入力秘密の前記セットＳのＭａ個の秘密の積であり、
であり、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈{０，１，・・・，Ｍａ－１}におけるサブ表示ｉａ，ｍは、Ｓ個の秘密のセットから、非公開の入力秘密を識別するためのものであり、Ｓ個の秘密は、整数または実数または複素数から選択され、各々の秘密は前記ディーラー・ノードのうちの１つに知られており、
前記方法は、
ａ）積ｍａのグループに秘密
を提供している各ディーラー・ノードに、前記積ｍａのグループに提供している全ての秘密に共通の基礎ブラインド要素ρａを提供することを含み、前記基礎ブラインド要素ρａは、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、各々がＮ個の計算ノードのそれぞれ１つと関連付けられた、（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットに対して
（モジュロｐ、ここでｐは素数）を満たし、
前記方法は、
ｂ）積ｍａのグループに秘密
を提供している各ディーラー・ノードに、前記秘密
に特有の指数ブラインド要素λａ，ｍを提供することを含み、前記指数ブラインド要素λａ，ｍのセットは、まとめると、
（モジュロｐ）を満たし、
前記方法は、
ｃ）ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットを記憶することを含み、
（ア）第１の演算モード（「ネットワーク・モード」）の前記計算ノードで記憶し、それによって、Ｎ個の前記計算ノードの各々が、当該ノードに特有のＡ個の乱数または擬似乱数のサブセットを記憶し、または、
（イ）第２の演算モード（「エッジ・モード」）の前記ディーラー・ノードで記憶し、それによって、各ディーラー・ノードが、少なくとも、当該ディーラーが提供する秘密への和に対応する前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのサブセットを記憶し、
前記方法は、
ｄ）各ディーラー・ノードが、各秘密
に対して、当該秘密に対する１以上のシェアを計算することを含み、演算のネットワーク・モードでは、単一のシェアが
（モジュロｐ）で計算され、演算のエッジ・モードで、秘密
が提供される積ｍａのグループに関連したＮ個の乱数または擬似乱数Ｘｎ，ａを使って、複数のＮ個のシェアが
（モジュロｐ）で計算され、
前記方法は、
ｅ）各ディーラー・ノードが、前記計算ノードの各々に、各々のシェア・メッセージを送信することを含み、演算のネットワーク・モードでは、各々のシェア・メッセージは、同一の単一のシェアνａ，ｍを含み、演算のエッジ・モードでは、Ｎ個の計算ノードの各々が、特有の値ｎ∈｛０，１，・・・，Ｎ－１｝で指標をつけられたシェアを受信するように、各々のシェア・メッセージは、Ｎ個のシェアνｎ，ａ，ｍのうちのそれぞれ１つを含み、
前記方法は、
ｆ）各計算ノードが、積ｍａのグループの各々に関連した、受信したシェアνａ，ｍまたはνｎ，ａ，ｍに対してローカルの乗算結果を計算することを含み、当該ローカルの乗算結果は、演算のネットワーク・モードでは、
（モジュロｐ）で計算され、演算のエッジ・モードでは、
（モジュロｐ）で計算され、
前記方法は、
ｇ）各計算ノードが、ローカルの乗算結果のセットから、
（モジュロｐ）でローカルの加算結果を計算することと、
ｈ）Ｎ個の計算ノードからのローカルの加算結果を組み合わせることによって、
を計算して、関数ｆの出力を計算することと、を含む。
【数1】
となるような算術関数ｆの結果を計算することであり、積の各グループｍａ、ａ∈｛０，１，・・・，Ａ－１｝は、非公開の入力秘密の前記セットＳのＭａ個の秘密の積であり、
【数2】
であり、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈{０，１，・・・，Ｍａ－１}におけるサブ表示ｉａ，ｍは、Ｓ個の秘密のセットから、非公開の入力秘密を識別するためのものであり、Ｓ個の秘密は、整数または実数または複素数から選択され、各々の秘密は前記ディーラー・ノードのうちの１つに知られており、
前記方法は、
ａ）積ｍａのグループに秘密
【数3】
を提供している各ディーラー・ノードに、前記積ｍａのグループに提供している全ての秘密に共通の基礎ブラインド要素ρａを提供することを含み、前記基礎ブラインド要素ρａは、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、各々がＮ個の計算ノードのそれぞれ１つと関連付けられた、（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットに対して
【数4】
（モジュロｐ、ここでｐは素数）を満たし、
前記方法は、
ｂ）積ｍａのグループに秘密
【数5】
を提供している各ディーラー・ノードに、前記秘密
【数6】
に特有の指数ブラインド要素λａ，ｍを提供することを含み、前記指数ブラインド要素λａ，ｍのセットは、まとめると、
【数7】
（モジュロｐ）を満たし、
前記方法は、
ｃ）ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットを記憶することを含み、
（ア）第１の演算モード（「ネットワーク・モード」）の前記計算ノードで記憶し、それによって、Ｎ個の前記計算ノードの各々が、当該ノードに特有のＡ個の乱数または擬似乱数のサブセットを記憶し、または、
（イ）第２の演算モード（「エッジ・モード」）の前記ディーラー・ノードで記憶し、それによって、各ディーラー・ノードが、少なくとも、当該ディーラーが提供する秘密への和に対応する前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのサブセットを記憶し、
前記方法は、
ｄ）各ディーラー・ノードが、各秘密
【数8】
に対して、当該秘密に対する１以上のシェアを計算することを含み、演算のネットワーク・モードでは、単一のシェアが
【数9】
（モジュロｐ）で計算され、演算のエッジ・モードで、秘密
【数10】
が提供される積ｍａのグループに関連したＮ個の乱数または擬似乱数Ｘｎ，ａを使って、複数のＮ個のシェアが
【数11】
（モジュロｐ）で計算され、
前記方法は、
ｅ）各ディーラー・ノードが、前記計算ノードの各々に、各々のシェア・メッセージを送信することを含み、演算のネットワーク・モードでは、各々のシェア・メッセージは、同一の単一のシェアνａ，ｍを含み、演算のエッジ・モードでは、Ｎ個の計算ノードの各々が、特有の値ｎ∈｛０，１，・・・，Ｎ－１｝で指標をつけられたシェアを受信するように、各々のシェア・メッセージは、Ｎ個のシェアνｎ，ａ，ｍのうちのそれぞれ１つを含み、
前記方法は、
ｆ）各計算ノードが、積ｍａのグループの各々に関連した、受信したシェアνａ，ｍまたはνｎ，ａ，ｍに対してローカルの乗算結果を計算することを含み、当該ローカルの乗算結果は、演算のネットワーク・モードでは、
【数12】
（モジュロｐ）で計算され、演算のエッジ・モードでは、
【数13】
（モジュロｐ）で計算され、
前記方法は、
ｇ）各計算ノードが、ローカルの乗算結果のセットから、
【数14】
（モジュロｐ）でローカルの加算結果を計算することと、
ｈ）Ｎ個の計算ノードからのローカルの加算結果を組み合わせることによって、
【数15】
を計算して、関数ｆの出力を計算することと、を含む。
【0017】
上記定義された異なる２種類のブラインド要素、すなわち基礎ブラインド要素と指数ブラインド要素をディーラー・ノードに提供することによって、ディーラーから送信されるシェアは、計算ノードから完全に秘密を隠すように、そして、計算ノードが独立して各々計算を実行して、結果シェアに至ることを可能にするように、不明瞭にされる。結果シェアは、ブラインド要素または秘密を知らなくても、計算結果を明らかにするよう組み合わされることが可能である。
【0018】
本発明の方法は、ＮＭＣ（Ｎｉｌ Ｍｅｓｓａｇｅ Ｃｏｍｐｕｔｅ）と呼ばれるＳＭＰＣの新しいフレーバーを採用しており、ＮＭＣは、計算段階（段階２）の間に計算ノードがメッセージを交換する必要なく、算術設定のどのような関数も評価可能である。したがって、ＮＭＣは、標準のＳＭＰＣから主なパフォーマンスの問題を取り除き、多数の非公開の入力について、単一のサーバ内部で全ての情報が平文で利用可能な統括サーバで行われるように、基本的に同時に多数の計算ノードを用いて、些細でない関数を評価することができる。この発明において示されたＮＭＣは、Ｎ個の計算ノードの合計からＮ－１まで変造することができるパッシブな敵に対して安全である。定義上、パッシブな敵は、プロトコル仕様書に従うが、計算のために、非公開の入力ｓ０，ｓ１，・・・，ｓｓ－１に関する情報を学ぼうとする。
【0019】
それらの最も基本形の方法は、算術の設定に関して、そして、１つの数字だけを返す関数に関して、焦点を当てている。同じ方法が、非特許文献５のアペンディクスＡ．３で記述された技術を用いて、任意の個数の出力値にすぐに拡張されうる。この引用の内容は、この目的のために参照として、ここに取り込む。
【0020】
望ましくは、ステップｈ）は、
（ア）各計算ノードが、ローカルの加算結果ｒｎを１以上の結果ノードに送信することと、
（イ）１以上の結果ノードが、受信したローカルの加算結果の集計を実行し、算術関数ｆの結果を特定すること
を含む。
（ア）各計算ノードが、ローカルの加算結果ｒｎを１以上の結果ノードに送信することと、
（イ）１以上の結果ノードが、受信したローカルの加算結果の集計を実行し、算術関数ｆの結果を特定すること
を含む。
【0021】
望ましくは、ステップａ）は、
（ア）各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成することと、
（イ）各計算ノードが、
（ｍｏｄ ｐ）となるように、次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を計算することと、
（ウ）各計算ノードが、各々のρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信することと、
（エ）各ディーラー・ノードが、受信したシェアから、対応する基礎ブラインド要素ρａ －１を復元することと、
を含む。
（ア）各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成することと、
（イ）各計算ノードが、
【数16】
（ｍｏｄ ｐ）となるように、次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を計算することと、
（ウ）各計算ノードが、各々のρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信することと、
（エ）各ディーラー・ノードが、受信したシェアから、対応する基礎ブラインド要素ρａ －１を復元することと、
を含む。
【0022】
望ましくは、ステップ（イ）は、
ｎ≠ｑであるｎ，ｑ∈｛０，１，・・・，Ｎ－１｝の乱数ジェネレータＧｎ，ｑが、計算ノードｎとｑが互いに同期して動かす生成器であるように、乱数ジェネレータＧｎ，ｑのコレクションを提供することと、
各計算ノードｎが、ｑ≠ｎである各ｑ∈｛０，１，・・・，Ｎ－１｝に対して乱数ジェネレータＧｎ，ｑから、Ｎ－１個のランダム・シェアを生成して、多項式ｐｎ（ｑ＋１）の各ランダム評価値を生成することと、
各計算ノードが、各ランダム評価値ｐｎ（ｑ＋１）とｐｎ（０）＝Ｘｎ，ａとを満たす多項式ｐｎ（ｘ）の係数を計算することと、
各計算ノードｎが、前記係数とＸｎ，ａとから、多項式ｐｎ（ｘ）のシェアｐｎ（ｎ＋１）を計算することと、
他の全ての計算ノードｑからの多項式ｐｑ（ｘ）の自身のシェアとして、各計算ノードｎが、各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、ｐｑ（ｎ＋１）を生成することと、
各ノードが、
を計算して、ｎ＋１で評価される多項式ｐａ（ｘ）のシェアｐ（ｎ＋１）を提供することと、
各ディーラー・ノードが、秘密の合計
に等しい、ｘ０に相当するｐａ（ｘ）の独立した係数を復元できるように、各計算ノードが、積ｍａのグループに提供している各ディーラー・ノードに、ｐａ（ｘ）のシェアｐ（ｎ＋１）を送信することと、
を含む。
ｎ≠ｑであるｎ，ｑ∈｛０，１，・・・，Ｎ－１｝の乱数ジェネレータＧｎ，ｑが、計算ノードｎとｑが互いに同期して動かす生成器であるように、乱数ジェネレータＧｎ，ｑのコレクションを提供することと、
各計算ノードｎが、ｑ≠ｎである各ｑ∈｛０，１，・・・，Ｎ－１｝に対して乱数ジェネレータＧｎ，ｑから、Ｎ－１個のランダム・シェアを生成して、多項式ｐｎ（ｑ＋１）の各ランダム評価値を生成することと、
各計算ノードが、各ランダム評価値ｐｎ（ｑ＋１）とｐｎ（０）＝Ｘｎ，ａとを満たす多項式ｐｎ（ｘ）の係数を計算することと、
各計算ノードｎが、前記係数とＸｎ，ａとから、多項式ｐｎ（ｘ）のシェアｐｎ（ｎ＋１）を計算することと、
他の全ての計算ノードｑからの多項式ｐｑ（ｘ）の自身のシェアとして、各計算ノードｎが、各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、ｐｑ（ｎ＋１）を生成することと、
各ノードが、
【数17】
を計算して、ｎ＋１で評価される多項式ｐａ（ｘ）のシェアｐ（ｎ＋１）を提供することと、
各ディーラー・ノードが、秘密の合計
【数18】
に等しい、ｘ０に相当するｐａ（ｘ）の独立した係数を復元できるように、各計算ノードが、積ｍａのグループに提供している各ディーラー・ノードに、ｐａ（ｘ）のシェアｐ（ｎ＋１）を送信することと、
を含む。
【0023】
更に、方法の望ましい面は、制約
を満たすような共同の方法での指数ブラインド要素の生成を含む。このことは、望ましくは、さらに下記されるアルゴリズム「ブラインド要素の生成」（ＧｅｎｅｒａｔｅＢｌｉｎｄｉｎｇＦａｃｔｏｒｓ）を用いることによってなされる。
【数19】
を満たすような共同の方法での指数ブラインド要素の生成を含む。このことは、望ましくは、さらに下記されるアルゴリズム「ブラインド要素の生成」（ＧｅｎｅｒａｔｅＢｌｉｎｄｉｎｇＦａｃｔｏｒｓ）を用いることによってなされる。
【0024】
本発明の更なる独立した面として、アルゴリズム「ゼロ・メッセージ・シェア分配」（ＺｅｒｏＭｅｓｓａｇｅＳｈａｒｅＤｉｓｔｒｉｂｕｔｉｏｎ）の下で、下記のように、メッセージを送信することなく、秘密シェア・メカニズムから最初のシェアを分配する方法が提供される。ここで記述されるマルチ・パーティー計算方法の文脈以外でも、乱数の生成を利用する秘密シェア・メカニズムには、これは適用されうる。
【0025】
本発明の別の更なる独立した面として、アルゴリズム「シェアを送信しない秘密加算」（ＡｄｄＳｅｃｒｅｔｓＷｉｔｈｏｕｔＳｅｎｄｉｎｇＴｈｅｉｒＳｈａｒｅｓ）の下で、下記のように、Ｎ個のノードで、共同してＮ個の秘密を加算することと、秘密の加算結果を1以上の出力ノードに開示する一方、個々の秘密を非公開にしておくことと、という方法も提供される。ここで記述されるマルチ・パーティー計算方法の文脈以外でも、これも適用されうるということはいうまでもない。
【0026】
本発明の別の更なる独立した面として、アルゴリズム「ブラインド要素の生成」の下で、下記のように、Ｍａ―１個のノードが、Ｍａ個の秘密の数字λ０，λ１，・・・，λＭａ―１を、ノード間で、これらの数字をシェアすることなく、合計が１となるように共同して生成すること、という方法も提供される。ここで記述されるマルチ・パーティー計算方法の文脈以外でも、これも適用されうるということはいうまでもない。
【図面の簡単な説明】
【0027】
【図1】ディーラー・ノードと計算ノードと結果ノードの、従来のＳＭＰＣネットワークのネットワーク図である。
【図3】ネットワークＮＭＣアルゴリズムを図示する、メッセージ・フローを含むフローチャートである。
【図5】エッジＮＭＣアルゴリズムを図示する、メッセージ・フローを含むフローチャートである。
【発明を実施するための形態】
【0028】
図１は、マルチ・パーティー秘密計算（ＳＭＰＣ）を実行するために協働する複数のノードを示すネットワーク図である。ノードは、ディーラー・ノード１０と計算ノード１２と結果ノード１４に分類される。
【0029】
ノードの全てに参照番号でラベルがつけられているわけではないが、同じグループ内の全てのノードが、同じ種類であるということは理解されるべきである。すなわち、左の垂直線上の全てのノードはディーラー・ノード１０であり、中心の八角形のグループ内のすべてのノードは計算ノードであり、左の垂直線上の全てのノードは結果ノードである。
【0030】
ノードの配置と数が具体的な実物を意味することを目的としないこと、および、ノードは、ローカル・エリア・ネットワークまたはワイド・エリア・ネットワークでありえる公的または私的なネットワーク上で、ネットワーク・アドレスによって他のノードと通信可能なノードを有し、物理的グループというよりはむしろ論理的グループに整理され得るということも当業者に理解されるべきである。ノードは、同じコンピュータ・システムの一部、例えばマルチプロセッサ・システムの様々なプロセッサーまたはコアでさえあっても良い。通信プロトコルはシステム・デザイナーの選択であり、それらが実装されるシステムのアプリケーションとセキュリティ要求によって規定され得る。
【0031】
各ノードは、ここで開示される関連の方法とアルゴリズムを実行するようプログラムされ、さらにメモリとネットワーク接続へのアクセスを有するコンピュータ・システムのプロセッサーで実行されても良い。多くの実装例では、各ノードは、適切にプログラムされたコンピュータ・システムであるだろう。
【0032】
ディーラー・ノード１０は、計算に入力を提供する。具体的には、ディーラー・ノード１０は秘密入力を備えており、これらの秘密入力からシェアを生成し、シェアを計算ノード１２に分配する。計算ノードは実際のＳＭＰＣ計算を実行し、各計算ノード１２は計算出力のシェアを各結果ノード１４に提供する。結果ノード１４は、受信した結果シェアから結果を復元する。
【0033】
以下では、下記の仮定をする:
仮定１：ディーラー・ノードは、計算ノードではありえない。さもなければ、ノードが１以上の役割を有することができる。
仮定２：計算ノードの数は、ディーラー・ノードの数と等しいか、より多い。
仮定３：ネットワークの異なるノード間には、安全なポイント・ツー・ポイント・チャンネルが存在する。そのうえ、メッセージのブロードキャストもサポートされている。
仮定４：一般性を失うことなく、全ての和の項ｍａに対して、ディーラーにつき最大で１個の入力だけがあると仮定する。なぜなら、ディーラーが積ｍａに１個以上の入力変数を提供すれば、それは常にそれらをそれらの積に等しい新しい入力変数と入れ替えることができるからである。
仮定５：一般性を失うことなく、有限体の算術Z／ｐZで作業を行う。つまり、秘密のすべては、モジュロｐの整数として表現される（pは素数）。したがって、以下の全ての計算は、ｍｏｄ ｐとして示される、モジュロｐで実行される。それから、請求項1で定義された算数関数ｆは、より簡潔に、（式１）
として表されても良い。
仮定６：セミ・オネスト・アドバーサリー・モデル（ｓｅｍｉ－ｈｏｎｅｓｔ ａｄｖｅｒｓａｒｙ ｍｏｄｅｌ）で作業を行う。つまり、ネットワークのノードは、受信するメッセージから秘密入力に関する情報を得ようとどのような手段を使用しても良いが、ＮＭＣプロトコルで記述されたステップに従う。
仮定１：ディーラー・ノードは、計算ノードではありえない。さもなければ、ノードが１以上の役割を有することができる。
仮定２：計算ノードの数は、ディーラー・ノードの数と等しいか、より多い。
仮定３：ネットワークの異なるノード間には、安全なポイント・ツー・ポイント・チャンネルが存在する。そのうえ、メッセージのブロードキャストもサポートされている。
仮定４：一般性を失うことなく、全ての和の項ｍａに対して、ディーラーにつき最大で１個の入力だけがあると仮定する。なぜなら、ディーラーが積ｍａに１個以上の入力変数を提供すれば、それは常にそれらをそれらの積に等しい新しい入力変数と入れ替えることができるからである。
仮定５：一般性を失うことなく、有限体の算術Z／ｐZで作業を行う。つまり、秘密のすべては、モジュロｐの整数として表現される（pは素数）。したがって、以下の全ての計算は、ｍｏｄ ｐとして示される、モジュロｐで実行される。それから、請求項1で定義された算数関数ｆは、より簡潔に、（式１）
【数20】
仮定６：セミ・オネスト・アドバーサリー・モデル（ｓｅｍｉ－ｈｏｎｅｓｔ ａｄｖｅｒｓａｒｙ ｍｏｄｅｌ）で作業を行う。つまり、ネットワークのノードは、受信するメッセージから秘密入力に関する情報を得ようとどのような手段を使用しても良いが、ＮＭＣプロトコルで記述されたステップに従う。
【0034】
第１番目に、ＮＭＣの基礎的要素を構成する以下の３つの新しいアルゴリズムを記述する。第２番目には、ＮＭＣの２つのフレーバーであって、その１つは、前処理の段階に相当する大部分の計算がＳＭＰＣ計算ノードによってなされ、もう１つは、それらがディーラー・ノードによってなされる、２つのフレーバーを記述する。
【0035】
基礎的要素
このセクションでは、３つのアルゴリズムを提示する。最初の１つ、「ゼロ・メッセージ・シェア分配」は、メッセージを送信することなく秘密シェア・メカニズムから最初のシェアを分配可能とするという新しいアイディアに基づく。第２の「シェアを送信しない秘密加算」は、ディーラー・ノードにシェアを送信することを要求することなく、計算ノードが数を加算可能とするような、このアイディアを利用する。第３の「ブラインド要素の生成」は、最初にシェアを分配することなく、Ｎ個のノードが、
となるような、Ｍａ個の数字λ０，λ１，・・・，λＭａ―１に至るように、もう一度「シェアを送信しない秘密加算」を利用する。
このセクションでは、３つのアルゴリズムを提示する。最初の１つ、「ゼロ・メッセージ・シェア分配」は、メッセージを送信することなく秘密シェア・メカニズムから最初のシェアを分配可能とするという新しいアイディアに基づく。第２の「シェアを送信しない秘密加算」は、ディーラー・ノードにシェアを送信することを要求することなく、計算ノードが数を加算可能とするような、このアイディアを利用する。第３の「ブラインド要素の生成」は、最初にシェアを分配することなく、Ｎ個のノードが、
【数21】
となるような、Ｍａ個の数字λ０，λ１，・・・，λＭａ―１に至るように、もう一度「シェアを送信しない秘密加算」を利用する。
【0036】
アルゴリズム「ゼロ・メッセージ・シェア分配」の基本原則は、乱数生成を利用した秘密シェア・メカニズムに適用されうる。ＧＭＷ ＳＭＰＣのためのこのアルゴリズムを提示し、次に、アルゴリズム「シェアを送信しない秘密加算」の段階１で、どのように、それがＢＧＷ ＳＭＰＣにインスタンス化されるのかを示す。
【0037】
１）アルゴリズムの記述：ＧＭＷ ＳＭＰＣのための「ゼロ・メッセージ・シェア分配」
入力：Ｎ個の入力ノード ここで、ノードｎは秘密ｘｎ、ｎ∈{０，１，・・・，Ｎ－１}を有す
出力：各ノードは、互いのノードの秘密のシェアで終わる
目的：シェアは、メッセージを交換することなく分配される
入力：Ｎ個の入力ノード ここで、ノードｎは秘密ｘｎ、ｎ∈{０，１，・・・，Ｎ－１}を有す
出力：各ノードは、互いのノードの秘密のシェアで終わる
目的：シェアは、メッセージを交換することなく分配される
【0038】
ＧＭＷ ＳＭＰＣでは、設定
で、
となるように、秘密ビットｘｎを提供している各ディーラーｎがＮ－１個のランダム・ビットｘｎ，０，ｘｎ，１，・・・，ｘｎ，ｎ－１，ｘｎ，ｎ＋１，・・・，ｘｎ，Ｎ－１を生成する。次に、ディーラーｎは、乱数ｘｎ，ｑをＮｏｄｅ ｑ（ｑ≠ｉ）に送信する。つまり、各ノードｎが、Ｎ－１個のメッセージを送信している。それは、総数Ｎ（Ｎ－１）個のメッセージである。これらすべてのメッセージを送信する代わりに、ディーラーは、以下のように、同期して乱数ジェネレータを使用しても良い。
【数22】
で、
【数23】
となるように、秘密ビットｘｎを提供している各ディーラーｎがＮ－１個のランダム・ビットｘｎ，０，ｘｎ，１，・・・，ｘｎ，ｎ－１，ｘｎ，ｎ＋１，・・・，ｘｎ，Ｎ－１を生成する。次に、ディーラーｎは、乱数ｘｎ，ｑをＮｏｄｅ ｑ（ｑ≠ｉ）に送信する。つまり、各ノードｎが、Ｎ－１個のメッセージを送信している。それは、総数Ｎ（Ｎ－１）個のメッセージである。これらすべてのメッセージを送信する代わりに、ディーラーは、以下のように、同期して乱数ジェネレータを使用しても良い。
【0039】
ｎ，ｑ∈｛０，１，・・・，Ｎ－１｝、ｎ≠ｑにおけるＧｎ，ｑは、ノードｎとノードｑが同期して動かしてランダム・ビットを生成する生成器であるような乱数ジェネレータのコレクションであるとする。
【0040】
つまり、ノードｎとノードｑとは、独立して、Ｇｎ，ｑから同じ乱数列を取得することができる。
【0041】
ノードが、ランダム・ビットｇを生成するように、数生成器Ｇｎ，ｑを動かした場合を、ｇ←Ｇｎ，ｑと書く。各ノードｎは、秘密ビットｘｎから Ｎ個のシェアｘｎ，０，ｘｎ，１，・・・，ｘｎ，Ｎ－１ を生成するために、以下のように進める。
ステップ１－ （Ｎ－１）個のランダム・シェアを生成する。ノードｎは、各ｑ∈{０，１，・・・，Ｎ－１}、ｑ≠ｎに対してＧｎ，ｑを使用して、秘密ビットｘｎに対するランダム・シェア（つまり、ランダム・ビット）ｘｎ，ｑ←Ｇｎ，ｑを生成する。
ステップ２－ 自身のシェアを生成する。ノードｎは、秘密ビットｘｎに対するＮ－１個のシェアを有している。もう一つの評価で、シェアの全体のセットが完全になるだろう。ノードｎは、秘密ビットに対する自身のシェアとして、
を選択する。
ステップ１－ （Ｎ－１）個のランダム・シェアを生成する。ノードｎは、各ｑ∈{０，１，・・・，Ｎ－１}、ｑ≠ｎに対してＧｎ，ｑを使用して、秘密ビットｘｎに対するランダム・シェア（つまり、ランダム・ビット）ｘｎ，ｑ←Ｇｎ，ｑを生成する。
ステップ２－ 自身のシェアを生成する。ノードｎは、秘密ビットｘｎに対するＮ－１個のシェアを有している。もう一つの評価で、シェアの全体のセットが完全になるだろう。ノードｎは、秘密ビットに対する自身のシェアとして、
【数24】
を選択する。
【0042】
上記ステップ１では、ノードｎは、Ｇｎ，ｑを使用して、秘密ビットｘｎからランダム・シェアｘｎ，ｑを生成し、ランダム・シェアｘｎ，ｑは、ｎ≠ｑのノードｑに送信される必要がある。しかし、ノードｎとノードｑは共に、同期して動かす同じ乱数ジェネレータＧｎ，ｑのインスタンスを有する。したがって、ノードｑは、通信の必要なく、独立してｘｎ，ｑ←Ｇｎ，ｑを取得することができる。この原則に従うと、全てのノードｎは、上記２ステップのプロセスから自身のシェアｘｎ，ｎを生成し、決して１つのメッセージも受信または送信する必要なく、ｘｑ，ｎ←Ｇｑ，ｎを使用して、全ての他の入力ノードｑからの秘密ビットｘｑからシェアｘｎ，ｑを生成することができる。これは、入力ノードがメッセージを交換することなく秘密ビットからシェアを分配することを可能とする新しい手順を構成する。
【0043】
これで、アルゴリズム「ゼロ・メッセージ・シェア分配」の記述を終える。
【0044】
ＢＧＷ ＳＭＰＣは、ノードがＳＭＰＣ計算のために秘密入力値からシェアを生成するのに、シャミルの秘密シェア（Ｓｈａｍｉｒ´ｓ Ｓｅｃｒｅｔ Ｓｈａｒｉｎｇ（ＳＳＳ））メカニズムを利用する。ＳＳＳの主なアイディアは、ｘ＝０で評価される多項式が秘密と等しくなる、つまりｐｎ（０）＝ｘｎとなるように、ノードが、ランダムな係数ａ１，ｎ，ａ２，ｎ，・・・，ａＮ－１，ｎの多項式
の中に秘密ｘｎ∈Ｚ／ｐＺを隠すことである。ユニークに次数Ｎ－１の多項式を特定するのにＮ個のポイントで十分であるとすると、ｎ番目のディーラーは、所定のｘ座標ｘ＝１，２，・・・，ＮのセットでのＮ個の多項式ｐｎ（１），ｐｎ（０），・・・，ｐｎ（Ｎ）を生成して、計算ノードのそれぞれに異なる評価値を送信する。このプロセスの最後では、各計算ノードｊ、ｊ∈｛０，１，・・・，Ｎ－１｝は、ｐｎ（０）＝ｘｎで秘密ｘｎを隠す多項式ｐｎ（ｘ）、ｎ∈｛０，１，・・・，Ｎ－１｝からの、割り当てられたｘ座標ｘ＝ｊ＋１で評価されたシェアｐｎ（ｊ＋１）で終わる。
【数25】
の中に秘密ｘｎ∈Ｚ／ｐＺを隠すことである。ユニークに次数Ｎ－１の多項式を特定するのにＮ個のポイントで十分であるとすると、ｎ番目のディーラーは、所定のｘ座標ｘ＝１，２，・・・，ＮのセットでのＮ個の多項式ｐｎ（１），ｐｎ（０），・・・，ｐｎ（Ｎ）を生成して、計算ノードのそれぞれに異なる評価値を送信する。このプロセスの最後では、各計算ノードｊ、ｊ∈｛０，１，・・・，Ｎ－１｝は、ｐｎ（０）＝ｘｎで秘密ｘｎを隠す多項式ｐｎ（ｘ）、ｎ∈｛０，１，・・・，Ｎ－１｝からの、割り当てられたｘ座標ｘ＝ｊ＋１で評価されたシェアｐｎ（ｊ＋１）で終わる。
【0045】
アルゴリズム「ゼロ・メッセージ・シェア分配」は、乱数の生成を利用する秘密シェア・メカニズムで使用されうる。ランダムな多項式の係数と共に機能するＢＧＷ ＳＭＰＣのシャミルの秘密シェア・メカニズムのケースがそれである。入力ノードがメッセージ交換なしで秘密入力からシェアを送信することを可能とするために、どのようにこのアルゴリズムが、ＢＧＷ ＳＭＰＣのケースでインスタンス化されうるかについて、ここで示す。これは、アルゴリズム「シェアを送信しない秘密加算」の段階１を構成する。このアルゴリズムは、Ｎ個のノードが、Ｎ個の秘密を、それらを開示することなく加算可能とする方法を示す。
【0046】
２）アルゴリズムの記述：「シェアを送信しない秘密加算」
入力：Ｎ個の入力ノード ここで、ノードｎは秘密ｘｎ、ｎ∈｛０，１，・・・，Ｎ－１｝を有する
出力：合計
を復元する１個またはいくつかの出力ノード
目的：秘密を非公開にしたままで、Ｎ個のノードは、共同してＮ個の秘密を加算し、出力ノードに合計結果を開示することができる。
入力：Ｎ個の入力ノード ここで、ノードｎは秘密ｘｎ、ｎ∈｛０，１，・・・，Ｎ－１｝を有する
出力：合計
【数26】
を復元する１個またはいくつかの出力ノード
目的：秘密を非公開にしたままで、Ｎ個のノードは、共同してＮ個の秘密を加算し、出力ノードに合計結果を開示することができる。
【0047】
アルゴリズムは、標準ＳＭＰＣの３つの段階を含む。段階１は、シャミルの秘密シェア・メカニズムのための「ゼロ・メッセージ・シェア分配」の具体化である。段階２と３は、標準ＢＧＷ ＳＭＰＣと同じである。
【0048】
段階１－ シェア分配
シャミルの秘密シェア・メカニズムのための「ゼロ・メッセージ・シェア分配」の具体化を記す。
シャミルの秘密シェア・メカニズムのための「ゼロ・メッセージ・シェア分配」の具体化を記す。
【0049】
ｎ，ｑ∈{０，１，・・・，Ｎ－１}、ｎ≠ｑにおけるＧｎ，ｑは、ノードｎとノードｑが同期して、Ｚ／ｐＺの乱数を生成する生成器であるような乱数ジェネレータのコレクションであるとする。
【0050】
つまり、ノードｎとノードｑとは、独立して、Ｇｎ，ｑから同じ乱数列を取得することができる。Ｇｎ，ｑの単純な具体化は、ノードｎとノードｑが同一の入力初期値で開始する限り、入力として出力を採用して次の数を生成する暗号ハッシュ関数である。しかし、Ｚ／ｐＺの乱数を出力するどのような疑似乱数ジェネレータでも動く。
【0051】
ノードが、数生成器Ｇｎ，ｑを動かした場合を、ｇ←Ｇｎ，ｑと書く。各ノードｎは、多項式ｐｎ（ｘ）からＮ個の評価値を生成するために以下のように進める。
ステップ１－ （Ｎ－１）個のランダム・シェアｐｎ（ｑ＋１）、ｎ≠ｑを生成する。ノードｎは、各ｑ∈｛０，１，・・・，Ｎ－１｝、ｑ≠ｎに対してＧｎ，ｑを使用して、多項式のランダム評価値ｐｎ（ｑ＋１）←Ｇｎ，ｑを生成する。この評価値は、秘密ｘｎからのシェアを構成する。
ステップ２－ 自身のシェアｐｎ（ｎ＋１）を生成する。ノードｎは、ここで、次数Ｎ－１の多項式のＮ－１個の評価値（シェア）を有している。もう一つの評価値で、多項式は完全に特徴づけられるだろう。ノードｎは、Ｎ番目の評価値としてｐｎ（０）＝ｘｎを選択する。多項式ｐｎ（ｘ）は、ここで完全に特徴づけられるが、ｐｎ（０）は、有効なシェアではありえない。なぜなら、ｐｎ（０）は秘密ｘｎに等しいからである。不足しているシェアｐｎ（ｎ＋１）を取得するために、ノードｎは、（例えば、ラグランジュを使用して）多項式補間を実行し、多項式
の係数ａ１，ｎ，・・・，ａＮ－１，ｎを取得する。これらの係数とｘｎを用いて、ノードｎは、直接の評価値を介してｐｎ（ｎ＋１）を計算する。ｐｎ（ｎ＋１）は自身の多項式へのシェアである。
ステップ１－ （Ｎ－１）個のランダム・シェアｐｎ（ｑ＋１）、ｎ≠ｑを生成する。ノードｎは、各ｑ∈｛０，１，・・・，Ｎ－１｝、ｑ≠ｎに対してＧｎ，ｑを使用して、多項式のランダム評価値ｐｎ（ｑ＋１）←Ｇｎ，ｑを生成する。この評価値は、秘密ｘｎからのシェアを構成する。
ステップ２－ 自身のシェアｐｎ（ｎ＋１）を生成する。ノードｎは、ここで、次数Ｎ－１の多項式のＮ－１個の評価値（シェア）を有している。もう一つの評価値で、多項式は完全に特徴づけられるだろう。ノードｎは、Ｎ番目の評価値としてｐｎ（０）＝ｘｎを選択する。多項式ｐｎ（ｘ）は、ここで完全に特徴づけられるが、ｐｎ（０）は、有効なシェアではありえない。なぜなら、ｐｎ（０）は秘密ｘｎに等しいからである。不足しているシェアｐｎ（ｎ＋１）を取得するために、ノードｎは、（例えば、ラグランジュを使用して）多項式補間を実行し、多項式
【数27】
の係数ａ１，ｎ，・・・，ａＮ－１，ｎを取得する。これらの係数とｘｎを用いて、ノードｎは、直接の評価値を介してｐｎ（ｎ＋１）を計算する。ｐｎ（ｎ＋１）は自身の多項式へのシェアである。
【0052】
上記ステップ１では、ノードｎは、Ｇｎ，ｑを使用して、ｎ≠ｑのノードｑに送信される必要がある多項式のランダムな評価値ｐｎ（ｑ＋１）を生成する。しかし、ノードｎとノードｑは共に、同期して動く同じ乱数ジェネレータＧｎ，ｑのインスタンスを有している。したがって、ノードｑは、通信の必要なく、独立してｐｎ（ｑ＋１）←Ｇｎ，ｑを取得することができる。この原則に従えば、全てのノードは、上記２ステップのプロセスから、自身のシェアｐｎ（ｎ＋１）を生成することができ、１つもメッセージを送信または受信する必要なく、ｐｎ（ｎ＋１）←Ｇｑ，ｎを使用したその他すべての計算ノードｑからの多項式ｐｑ（ｘ）からシェアｐｑ（ｎ＋１）を生成することができる。このことは、計算ノードが、何のメッセージも交換することなく、計算ノードの秘密からシェアを分配することを可能とする新しい手順を構成し、それで計算ノードはＢＧＷ ＳＭＰＣを用いて共同して合計を計算することが可能である。
【0053】
段階２―計算
アルゴリズムのこの部分は、標準ＢＧＷ ＳＭＰＣに従う。全てのノードｎは、ここで、ｐｑ（０）＝ｘｑがノードｑ∈｛０，１，・・・，Ｎ－１｝、ｑ≠ｎからの秘密であるような次数Ｎ－１の多項式ｐｑ（ｘ）からのシェアｐｑ（ｎ＋１）を有する。多項式
を定義する。これは、
であるような次数Ｎ－１の多項式である。これは、全ての秘密の合計であり、このアルゴリズムの出力を構成する。標準ＢＷＧ ＳＭＰＣに従えば、全てのシェア
を加算することにより、ノードｎは、ｎ＋１で評価されたｐ（ｘ）のそれらのシェアｐ（ｎ＋１）を計算できる。
アルゴリズムのこの部分は、標準ＢＧＷ ＳＭＰＣに従う。全てのノードｎは、ここで、ｐｑ（０）＝ｘｑがノードｑ∈｛０，１，・・・，Ｎ－１｝、ｑ≠ｎからの秘密であるような次数Ｎ－１の多項式ｐｑ（ｘ）からのシェアｐｑ（ｎ＋１）を有する。多項式
【数28】
を定義する。これは、
【数29】
であるような次数Ｎ－１の多項式である。これは、全ての秘密の合計であり、このアルゴリズムの出力を構成する。標準ＢＷＧ ＳＭＰＣに従えば、全てのシェア
【数30】
を加算することにより、ノードｎは、ｎ＋１で評価されたｐ（ｘ）のそれらのシェアｐ（ｎ＋１）を計算できる。
【0054】
段階３―結果の復元
標準ＢＧＷ ＳＭＰＣを続けて、各ノードは、それらのシェアｐ（ｘ）のｐ（ｎ＋１）を１つ又はいくつかの出力ノードに送信する。出力ノードは、全てのシェアを受信したとき、多項式補間を実行し、秘密の合計に等しい、すなわち
の独立の係数ａ０（すなわち、ｘ０に対応するもの）を復元する。
標準ＢＧＷ ＳＭＰＣを続けて、各ノードは、それらのシェアｐ（ｘ）のｐ（ｎ＋１）を１つ又はいくつかの出力ノードに送信する。出力ノードは、全てのシェアを受信したとき、多項式補間を実行し、秘密の合計に等しい、すなわち
【数31】
の独立の係数ａ０（すなわち、ｘ０に対応するもの）を復元する。
【0055】
これで、アルゴリズム「シェアを送信しない秘密加算」の記述を終える。
【0056】
３）アルゴリズムの記述：「ブラインド要素の生成」
入力：Ｍａ－１個の入力ノード
出力：Ｍａ個の出力ノード。ここで、ｍ∈｛０，１，・・・，Ｍａ－１｝のｍ番目の結果ノードは、
であるようなブラインド要素λｍを復元する
目的：Ｍａ－１個のノードは、ノード間でブラインド要素をシェアすることなくブラインド要素の合計が１に等しくなるように、共同して、Ｍａ個のブラインド要素λ０，λ１，・・・，λＭａ－１を生成する。このアルゴリズムにより、入力ノードは、Ｍａ個のディーラー・ノードのトータルから各ノードｍに、ｍ番目のブラインド要素を開示することが可能となる。
入力：Ｍａ－１個の入力ノード
出力：Ｍａ個の出力ノード。ここで、ｍ∈｛０，１，・・・，Ｍａ－１｝のｍ番目の結果ノードは、
【数32】
であるようなブラインド要素λｍを復元する
目的：Ｍａ－１個のノードは、ノード間でブラインド要素をシェアすることなくブラインド要素の合計が１に等しくなるように、共同して、Ｍａ個のブラインド要素λ０，λ１，・・・，λＭａ－１を生成する。このアルゴリズムにより、入力ノードは、Ｍａ個のディーラー・ノードのトータルから各ノードｍに、ｍ番目のブラインド要素を開示することが可能となる。
【0057】
ステップ１：各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、乱数λｍを生成する。つまり、各ノードが、一連のλ０，λ１，・・・，λＭａ－２（最後のラムダλＭａ－１以外の、合計の中の全てのラムダ）の数を生成する。
【0058】
ステップ２：各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、それらの秘密入力としてλｍを使用して、アルゴリズム「シェアを送信しない秘密加算」を動かす。
－ アルゴリズム「シェアを送信しない秘密加算」の段階１の最後では、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、各乱数λ０，λ１，・・・，λＭａ－２から、それぞれ多項式シェアｐ０（ｍ＋１），ｐ１（ｍ＋１），・・・，ｐＭａ－２（ｍ＋１）を得て終わる
― アルゴリズム「シェアを送信しない秘密加算」の段階２の最後では、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、ｘ＝０で評価された場合、
であって、λ０，λ１，・・・，λＭａ－２の合計と等しい多項式
から多項式シェア
を得て終わる。
－ アルゴリズム「シェアを送信しない秘密加算」の段階１の最後では、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、各乱数λ０，λ１，・・・，λＭａ－２から、それぞれ多項式シェアｐ０（ｍ＋１），ｐ１（ｍ＋１），・・・，ｐＭａ－２（ｍ＋１）を得て終わる
― アルゴリズム「シェアを送信しない秘密加算」の段階２の最後では、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、ｘ＝０で評価された場合、
【数33】
であって、λ０，λ１，・・・，λＭａ－２の合計と等しい多項式
【数34】
から多項式シェア
【数35】
を得て終わる。
【0059】
各入力ノードｍは、
のローカル・シェア
で
を計算する（ｍｏｄ ｐ）。シャミルの秘密シェアは線形なので、ｐＭａ－１（ｍ＋１）は、ｘ＝０で評価された場合、値
を隠す多項式ｐＭａ－１（ｘ）のシェアであることがわかる。つまり、λＭａ－１を以下のように定義する（ｍｏｄ ｐ）。
このことは、（式３）
（ｍｏｄ ｐ）を確実にする。要約すると、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、ここで、式３を維持するような、秘密λ０，λ１，・・・，λＭａ－１を隠しているＭａ個の多項式ｐ０（ｘ），ｐ１（ｘ），・・・，ｐＭａ－１（ｘ）からの多項式シェアｐ０（ｍ＋１），ｐ１（ｍ＋１），・・・，ｐＭａ－２（ｍ＋１）を有している。
【数36】
のローカル・シェア
【数37】
で
【数38】
を計算する（ｍｏｄ ｐ）。シャミルの秘密シェアは線形なので、ｐＭａ－１（ｍ＋１）は、ｘ＝０で評価された場合、値
【数39】
を隠す多項式ｐＭａ－１（ｘ）のシェアであることがわかる。つまり、λＭａ－１を以下のように定義する（ｍｏｄ ｐ）。
【数40】
このことは、（式３）
【数41】
（ｍｏｄ ｐ）を確実にする。要約すると、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、ここで、式３を維持するような、秘密λ０，λ１，・・・，λＭａ－１を隠しているＭａ個の多項式ｐ０（ｘ），ｐ１（ｘ），・・・，ｐＭａ－１（ｘ）からの多項式シェアｐ０（ｍ＋１），ｐ１（ｍ＋１），・・・，ｐＭａ－２（ｍ＋１）を有している。
【0060】
アルゴリズム「シェアを送信しない秘密加算」の段階３の終わりでは、各入力ノードｍ，ｍ∈｛０，１，・・・，Ｍａ－２｝は、ｋ∈｛０，１，・・・，Ｍａ－１｝であるｋ番目の出力ノードに、出力ノードｋがλｋを復元できるように、λｋの各多項式シェアであるｐｋ（ｍ＋１）を送信する。
【0061】
これで、アルゴリズム「ブラインド要素の生成」の記述を終える。
【0062】
ＮＭＣ ＳＭＰＣ－形式的定義
（式１）を思い起こすと、算術設定での関数の一般形は、
である。（式１）で与えられた一般的な算術関数の計算のために、セット｛ｓ０，ｓ１，・・・，ｓｓ－１｝から秘密を提供するＤ個のディーラー・ノードがある。この計算は、Ｎ個の計算ノードによって実行され、対応する結果は、Ｒ個の結果ノードに開示される。我々は、この課題を解決するために、新規な２つのフレーバーのＮＭＣ ＳＭＰＣを提案する。
１）ネットワークＮＭＣ：このフレーバーでは、前計算段階の計算負荷の大半は、N個の計算ノードにより実行される。
２）エッジＮＭＣ：このフレーバーでは、この負荷の大半は、Ｄ個のディーラー・ノードにより実行される。
（式１）を思い起こすと、算術設定での関数の一般形は、
【数42】
である。（式１）で与えられた一般的な算術関数の計算のために、セット｛ｓ０，ｓ１，・・・，ｓｓ－１｝から秘密を提供するＤ個のディーラー・ノードがある。この計算は、Ｎ個の計算ノードによって実行され、対応する結果は、Ｒ個の結果ノードに開示される。我々は、この課題を解決するために、新規な２つのフレーバーのＮＭＣ ＳＭＰＣを提案する。
１）ネットワークＮＭＣ：このフレーバーでは、前計算段階の計算負荷の大半は、N個の計算ノードにより実行される。
２）エッジＮＭＣ：このフレーバーでは、この負荷の大半は、Ｄ個のディーラー・ノードにより実行される。
【0063】
線形秘密分散（ｌｉｎｅａｒ ｓｅｃｒｅｔ ｓｈａｒｉｎｇ（ＬＳＳ））法を秘密入力に直接的に適用する代わりに、両方のＮＭＣフレーバーを支えている考えは、ブラインド要素を使用して秘密入力を覆い隠して、それから、これらの要素の一部を計算のネットワークに記憶させるのにＬＳＳ（例えばシャミル）を使用することである。より具体的には、
１）ネットワークＮＭＣ（Ｎｅｔｗｏｒｋ ＮＭＣ）では、秘密入力ｓから、マスクされた値νが、ν＝ｓ・ρλにより与えられ、計算ノードのネットワークが、ρとλからのシャミル・シェアを生成して記憶する。
２）エッジＮＭＣ（Ｅｄｇｅ ＮＭＣ）では、秘密入力ｓから、マスクされた値νが、ν＝ｓ・Ｘ・ρλにより与えられ、計算ノードのネットワークが、λからのシャミル・シェアを生成して記憶し、ディーラー・ノードが、Ｘとρを生成する。
１）ネットワークＮＭＣ（Ｎｅｔｗｏｒｋ ＮＭＣ）では、秘密入力ｓから、マスクされた値νが、ν＝ｓ・ρλにより与えられ、計算ノードのネットワークが、ρとλからのシャミル・シェアを生成して記憶する。
２）エッジＮＭＣ（Ｅｄｇｅ ＮＭＣ）では、秘密入力ｓから、マスクされた値νが、ν＝ｓ・Ｘ・ρλにより与えられ、計算ノードのネットワークが、λからのシャミル・シェアを生成して記憶し、ディーラー・ノードが、Ｘとρを生成する。
【0064】
ここで、この関数を評価するためのネットワークＮＭＣ ＳＭＰＣの４つの段階を定義する。
【0065】
アルゴリズム「ネットワークＮＭＣ」の記述
入力：Ｄ個の入力ノード。ここで、ｎ番目のノードは、秘密の全体のセットＳ＝｛ｓ０，ｓ１，・・・，ｓｓ－１｝のサブセットＳｎを保持する。ディーラー・ノードは、（式１）で与えられた、秘密に対する算術関数ｆ＝ｆ（ｓ０，ｓ１，・・・，ｓｓ－１）を計算することを望む。
出力：Ｒ個の結果ノードは、Ａ個の和を含む関数結果
を復元する。ここで、ａ番目の和は、Ｍａ個の積を含む。この関数は、入力秘密を見ることができないＮ個の計算ノードにより計算される。
目的：Ｎ個の計算ノードは、ディーラーの秘密を非公開にしたままで、計算段階中、メッセージ交換なしで、共同して算術関数を評価可能である。
入力：Ｄ個の入力ノード。ここで、ｎ番目のノードは、秘密の全体のセットＳ＝｛ｓ０，ｓ１，・・・，ｓｓ－１｝のサブセットＳｎを保持する。ディーラー・ノードは、（式１）で与えられた、秘密に対する算術関数ｆ＝ｆ（ｓ０，ｓ１，・・・，ｓｓ－１）を計算することを望む。
出力：Ｒ個の結果ノードは、Ａ個の和を含む関数結果
【数43】
を復元する。ここで、ａ番目の和は、Ｍａ個の積を含む。この関数は、入力秘密を見ることができないＮ個の計算ノードにより計算される。
目的：Ｎ個の計算ノードは、ディーラーの秘密を非公開にしたままで、計算段階中、メッセージ交換なしで、共同して算術関数を評価可能である。
【0066】
アルゴリズム「ネットワークＮＭＣ」は、４つの段階：前処理と、シェア分配と、計算と、結果復元とを含む。
【0067】
段階０―前処理
この段階は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して、
となるような、基礎ブラインド要素（ｂａｓｅ ｂｌｉｎｄｉｎｇ ｆａｃｔｏｒ）ρａとＭａ個の指数ブラインド要素（ｅｘｐｏｎｅｎｔ ｂｌｉｎｄｉｎｇ ｆａｃｔｏｒｓ）λａ，０，λａ，１，・・・，λａ，Ｍａ－１の計算を処理する。
この段階は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して、
【数44】
となるような、基礎ブラインド要素（ｂａｓｅ ｂｌｉｎｄｉｎｇ ｆａｃｔｏｒ）ρａとＭａ個の指数ブラインド要素（ｅｘｐｏｎｅｎｔ ｂｌｉｎｄｉｎｇ ｆａｃｔｏｒｓ）λａ，０，λａ，１，・・・，λａ，Ｍａ－１の計算を処理する。
【0068】
以下のステップは、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して、並行して実行される。
ステップ１（基礎ブラインド要素の計算）：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成する。
ステップ２（基礎ブラインド要素の計算）：
各計算ノードｎが、共同して
を計算するために、秘密入力値としてＸｎ，ａを使用して、アルゴリズム「シェアを送信しない秘密加算」を動かす。このアルゴリズムの段階２の最後で、各ノードｎは、
（ｍｏｄ ｐ）となるような次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を有する。これを、ベースラインのブラインド要素の逆数、ρａ －１＝ｐａ（０）で示す。アルゴリズム「シェアを送信しない秘密加算」の結果復元段階では、各計算ノードは、各ρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信する。それから各ディーラー・ノードは、（式２）
（ｍｏｄ ｐ）を復元できる。
ステップ３（指数ブラインド要素の計算）：
ここで上記した２つのステップと並行して、Ｎ個の計算ノードは、Ｍ０―１，Ｍ１―１，・・・，ＭＡ－１―１の計算ノードのＡ個のサブセットＳ０，Ｓ１，・・・，ＳＡ－１で、それら自身をそれぞれ組織化する。各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して、ａ番目のサブセットＳａの計算ノードは、
（ｍｏｄ ｐ）となるようなＭａ個のランダムな値λａ，０，λａ，１，・・・，λａ，Ｍａ－１（ブラインド要素）を計算するのに協働して動く。それらは、これを、入力ノードのサブセットとしてＳａに対して「ブラインド要素の生成」を動かすことにより成し遂げる。つまり、アルゴリズム「ブラインド要素の生成」のＡ個のインスタンスを並行して実行した結果として、全てのａ、ａ∈｛０，１，・・・，Ａ－１｝に対してλａ，ｍが（式３）
を満たすような、（式１）のａ番目の和に対応する積
の計算において、秘密
と関係するならば、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝はλａ，ｍを復元できる。
ステップ１（基礎ブラインド要素の計算）：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成する。
ステップ２（基礎ブラインド要素の計算）：
各計算ノードｎが、共同して
【数45】
を計算するために、秘密入力値としてＸｎ，ａを使用して、アルゴリズム「シェアを送信しない秘密加算」を動かす。このアルゴリズムの段階２の最後で、各ノードｎは、
【数46】
（ｍｏｄ ｐ）となるような次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を有する。これを、ベースラインのブラインド要素の逆数、ρａ －１＝ｐａ（０）で示す。アルゴリズム「シェアを送信しない秘密加算」の結果復元段階では、各計算ノードは、各ρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信する。それから各ディーラー・ノードは、（式２）
【数47】
（ｍｏｄ ｐ）を復元できる。
ステップ３（指数ブラインド要素の計算）：
ここで上記した２つのステップと並行して、Ｎ個の計算ノードは、Ｍ０―１，Ｍ１―１，・・・，ＭＡ－１―１の計算ノードのＡ個のサブセットＳ０，Ｓ１，・・・，ＳＡ－１で、それら自身をそれぞれ組織化する。各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して、ａ番目のサブセットＳａの計算ノードは、
【数48】
（ｍｏｄ ｐ）となるようなＭａ個のランダムな値λａ，０，λａ，１，・・・，λａ，Ｍａ－１（ブラインド要素）を計算するのに協働して動く。それらは、これを、入力ノードのサブセットとしてＳａに対して「ブラインド要素の生成」を動かすことにより成し遂げる。つまり、アルゴリズム「ブラインド要素の生成」のＡ個のインスタンスを並行して実行した結果として、全てのａ、ａ∈｛０，１，・・・，Ａ－１｝に対してλａ，ｍが（式３）
【数49】
を満たすような、（式１）のａ番目の和に対応する積
【数50】
の計算において、秘密
【数51】
と関係するならば、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝はλａ，ｍを復元できる。
【0069】
計算ノードのＡ個のサブセットＳ０，Ｓ１，・・・，ＳＡ－１の注釈：
これらのサブセットは、任意の方法によって選択されうる。仮定２は、そのようなサブセットが存在することを保証する。他の実施例では、Ｍａ―１の計算ノードのａ番目のサブセットＳａが、Ｎ－（Ｍａ―１）個のノードを加算することによって、計算ノードの任意のＮａ、Ｍａ―１＜Ｎａ≦Ｎにまで拡張され、ｍ番目の加算されたノードは、（式３）が変更されないように、全てのａ∈｛０，１，・・・，Ａ－１｝に対するアルゴリズム「ブラインド要素の生成」のステップ１で、λａ，ｍ＝０を生成する。
これらのサブセットは、任意の方法によって選択されうる。仮定２は、そのようなサブセットが存在することを保証する。他の実施例では、Ｍａ―１の計算ノードのａ番目のサブセットＳａが、Ｎ－（Ｍａ―１）個のノードを加算することによって、計算ノードの任意のＮａ、Ｍａ―１＜Ｎａ≦Ｎにまで拡張され、ｍ番目の加算されたノードは、（式３）が変更されないように、全てのａ∈｛０，１，・・・，Ａ－１｝に対するアルゴリズム「ブラインド要素の生成」のステップ１で、λａ，ｍ＝０を生成する。
【0070】
パフォーマンスの注釈：
各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ －１とλａ，ｍの計算は、アルゴリズム「シェアを送信しない秘密加算」の段階３の実行を要求する。この段階は、全てのディーラー・ノードへのメッセージの伝達を含む。１のディーラー・ノードに全てのメッセージを集めることにより、各計算ノードは、ディーラー・ノードにつき１つのメッセージだけを送信する必要がある。Ｄがディーラー・ノードの数とすると、これによりネットワークのメッセージの総数は、Ｎ・Ｄである。
各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ －１とλａ，ｍの計算は、アルゴリズム「シェアを送信しない秘密加算」の段階３の実行を要求する。この段階は、全てのディーラー・ノードへのメッセージの伝達を含む。１のディーラー・ノードに全てのメッセージを集めることにより、各計算ノードは、ディーラー・ノードにつき１つのメッセージだけを送信する必要がある。Ｄがディーラー・ノードの数とすると、これによりネットワークのメッセージの総数は、Ｎ・Ｄである。
【0071】
ＮＭＣ前処理段階の最後には、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝は、ディーラー・ノードがＳＭＰＣ計算の全てに提供する全ての秘密
に対するブラインド要素ρａ －１（ゆえにρａ）とλａ，ｍ、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝で終わる。この段階は、算術関数の評価に対する入力である秘密ｓ０，ｓ１，・・・，ｓｓ－１から完全に独立している。したがって、ＮＭＣ ＳＭＰＣを動かす算術関数の実際の評価の（例えば数か月）前に実行されても良く、バッチで処理されても良い。
【数52】
に対するブラインド要素ρａ －１（ゆえにρａ）とλａ，ｍ、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝で終わる。この段階は、算術関数の評価に対する入力である秘密ｓ０，ｓ１，・・・，ｓｓ－１から完全に独立している。したがって、ＮＭＣ ＳＭＰＣを動かす算術関数の実際の評価の（例えば数か月）前に実行されても良く、バッチで処理されても良い。
【0072】
段階１－シェア分配
ステップ１：
各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、（式１）のａ番目の和の項を含む積の計算に、秘密
を提供する場合、それらの秘密を
（ｍｏｄ ｐ）でマスクする。
を思い返すと、ｉａ，ｍはセットｓ０，ｓ１，・・・，ｓｓ－１の対応する秘密に対する指標として振る舞う。仮定３も思い返すと、各ディーラー・ノードは、式１のａ番目の和の項に対し、最大で１の秘密しか提供しない。
ステップ２：
各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、各々の和の項ａに対する１個の値νａ，ｍを含むＮ個の計算ノードであって、ディーラー・ノードｄが秘密を提供した計算ノードに、ブロードキャスト・メッセージを送信する。各々の値νａ，ｍは、それらの秘密
のＮＭＣシェアを示す。
ステップ１：
各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、（式１）のａ番目の和の項を含む積の計算に、秘密
【数53】
を提供する場合、それらの秘密を
【数54】
（ｍｏｄ ｐ）でマスクする。
【数55】
を思い返すと、ｉａ，ｍはセットｓ０，ｓ１，・・・，ｓｓ－１の対応する秘密に対する指標として振る舞う。仮定３も思い返すと、各ディーラー・ノードは、式１のａ番目の和の項に対し、最大で１の秘密しか提供しない。
ステップ２：
各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、各々の和の項ａに対する１個の値νａ，ｍを含むＮ個の計算ノードであって、ディーラー・ノードｄが秘密を提供した計算ノードに、ブロードキャスト・メッセージを送信する。各々の値νａ，ｍは、それらの秘密
【数56】
のＮＭＣシェアを示す。
【0073】
セキュリティの注釈：
Ｎ個の計算ノードは、基礎ブラインド要素ρａまたは指数ブラインド要素λａ，ｍの値を知らないということに留意する。なぜなら、Ｎ個の計算ノードが有する全ては、それらの値の多項式シェアだからである。したがって、要素
は、効果的に秘密の値
を隠しており、アルゴリズムＮＭＣは、ＳＳＳからのセキュリティ機能を受け継ぎ、すなわち、パッシブ・アドバーサリー・モデルにおけるＮ－１個（またはより少ない）の共謀ノードに対して安全である。具体的には、アドバーサリーは、νａ，ｍから
を回復するために、ρａとλａ，ｍを復元できるように、Ｎ個全ての計算ノードを損なわせなければならない。
Ｎ個の計算ノードは、基礎ブラインド要素ρａまたは指数ブラインド要素λａ，ｍの値を知らないということに留意する。なぜなら、Ｎ個の計算ノードが有する全ては、それらの値の多項式シェアだからである。したがって、要素
【数57】
は、効果的に秘密の値
【数58】
を隠しており、アルゴリズムＮＭＣは、ＳＳＳからのセキュリティ機能を受け継ぎ、すなわち、パッシブ・アドバーサリー・モデルにおけるＮ－１個（またはより少ない）の共謀ノードに対して安全である。具体的には、アドバーサリーは、νａ，ｍから
【数59】
を回復するために、ρａとλａ，ｍを復元できるように、Ｎ個全ての計算ノードを損なわせなければならない。
【0074】
段階２－計算
ステップ１：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して（式４）
（ｍｏｄ ｐ）を計算する。
ステップ２：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、（式５）
（ｍｏｄ ｐ）を計算する。
ステップ１：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対して（式４）
【数60】
（ｍｏｄ ｐ）を計算する。
ステップ２：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、（式５）
【数61】
（ｍｏｄ ｐ）を計算する。
【0075】
この段階では、計算ノード間のあらゆる通信が必要とされない。なぜなら、各ノードは、各ａ∈｛０，１，・・・，Ａ－１｝に対して、ローカルでｒｎ，ａを計算可能だからである。
【0076】
段階３－結果の復元
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、（式６）
を計算する結果ノードに、結果としてのＮＭＣシェアｒｎを送信する。
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、（式６）
【数62】
を計算する結果ノードに、結果としてのＮＭＣシェアｒｎを送信する。
【0077】
これで、アルゴリズム「ネットワークＮＭＣ」の記述を終える。
【0078】
【0079】
【0080】
ステップ２０では、Ｎ個の計算ノードｎ∈｛０，１，・・・，Ｎ－１｝の各計算ノードｎが、乱数Ｘｎ，ａを生成する。これは、上記段階１のステップ１に記述されたように、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対し平行に行われる。
【0081】
ステップ２２では、上記段階０のステップ２の第１の部分に記述されたように、計算ノードは各々秘密入力値としてＸｎ，ａを使用して、アルゴリズム「シェアを送信しない秘密加算」を動かす。これにより、各計算ノードが、ディーラー・ノードに送信されうる各ρａ
－１ のシェアを有する結果となる。
【0082】
ステップ２４では、段階０のステップ３の第１の部分に記述されたように、計算ノードは、Ａ個のインスタンスで平行に「ブラインド要素の生成」を動かして、λａ，ｍのシェアを計算する。
【0083】
ステップ２６では、段階０のステップ２と３の後段に記述されたように、計算ノードは、ディーラー・ノードに、図３のステップ２２と２４で計算したシェアを送信する。
【0084】
ステップ２８では、ディーラー・ノードは、シャミルの秘密シェアの多項式補間法を使用して（例えばラグランジュの方法を使用して）、ブラインド要素λａ，ｍ、ρａを復元する。上記段階０の記述の最後に記したように、ブラインド要素の復元につながるステップは、段階１のシェアのブラインドと分配のステップに先立って、長い期間実行されても良い。
【0085】
また、ブラインド要素を提供する代わりの方法が想定されることは留意すべきである。例えば、他の実施例では、信頼されたノードが前処理段階から計算を実行して、ディーラー・ノードに、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ
－１とλａ，ｍを送信する。
【0086】
他の実施例では、Ｎ個の計算ノードは、アルゴリズム「シェアを送信しない秘密加算」で記述されたものとは異なる別のＳＭＰＣフレーバーを使用して、前処理段階から計算を実行し、ディーラー・ノードに、ディーラー・ノードが各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ
－１とλａ，ｍを復元できるようなメッセージを送信する。
【0087】
他の実施例では、準同型暗号が、１個又はいくつかのノードで使用され、例えば、非特許文献５で記述されたような完全準同型暗号またはサムホワット準同型暗号を使用して、前処理段階の計算を実行して、ディーラー・ノードに、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ
－１とλａ，ｍを送信する。
【0088】
他の実施例では、１個又はいくつかのノードは、安全な孤立領域または信頼された実行環境を使用して、前処理段階から計算を実行して、ディーラー・ノードに、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対するρａ
－１とλａ，ｍを送信する。
【0089】
【0090】
ステップ３２では、各々のそのような計算結果が、計算ノードに計算をさせるディーラー・ノードによりブロードキャストされる。
【0091】
ステップ３４では、段階２で上述したように、各計算ノードが、計算ノード間の通信を何ら行うことなく、ＮＭＣ計算の結果のシェアｒｎを計算する。
【0092】
ステップ３６では、各計算ノードが、結果ノードに、自身のシェアｒｎを送信する。
【0093】
ステップ３８では、結果ノードが、（式６）により、結果シェアの合計（ｍｏｄ ｐ）として、関数ｆの結果を復元する。計算ノード間の通信なしで到達したこの復元は、以下の証明によって設定された算術の関数のマルチ・パーティー計算のまさしく確かな結果である。
【0094】
（式４）と（式５）から開始して、
（ｍｏｄ ｐ）を得る。ここで、最後のステップは、（式３）に従ったλａ，０＋λａ，１＋・・・＋λａ，Ｍａ－１＝１という事実から来ている。この結果を（式６）の右側に当てはめると、
（ｍｏｄ ｐ）を得られる。これは、（式１）のｆ＝ｆ（ｓ０，ｓ１，・・・，ＳＳ－１）に対応する。
【数65】
（ｍｏｄ ｐ）を得る。ここで、最後のステップは、（式３）に従ったλａ，０＋λａ，１＋・・・＋λａ，Ｍａ－１＝１という事実から来ている。この結果を（式６）の右側に当てはめると、
【数66】
（ｍｏｄ ｐ）を得られる。これは、（式１）のｆ＝ｆ（ｓ０，ｓ１，・・・，ＳＳ－１）に対応する。
【0095】
仮定４から、全てのディーラーが、ｆのａ番目の和の項に対応する積に、最大１の秘密を提供するということが思い起こされる。他の実施例では、全てのディーラー・ノードｍに、全ての和の項ａ∈｛０，１，・・・，Ａ－１｝におけるａ番目の和の項に対応する積に、きっかり１の秘密
を提供することを強いる。
【数67】
を提供することを強いる。
【0096】
我々は、以下のように、このことを達成する。（１）もしディーラーが既にａ番目の項に１の秘密を提供していれば、我々は何もしない。（２）もしディーラーが秘密を提供していなければ、ディーラーは、その秘密が１に等しくなること、つまり
を強いる。このように、ａ番目の項の積
は、変更されないが、全てのディーラー・ノードが、きっかり１の秘密をそれに提供する。このことは、全ての和の項ａに対して、Ｍａ＝Ｄを置き換えることを許容し、全てのランダム・ベクトルλａ，ｍを単一のランダム・ベクトルλｍと等しくし、（式３）は
になり、同じλｍが各々の和の項に対して使用される。これにより、段階０の最後で計算ノードからディーラー・ノードに送信される情報の量を削減できる。ρａ －１とλａ，ｍ、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝のシェアを送信する代わりに、計算ノードは、ρａ －１とλｍ、ｍ∈｛０，１，・・・，Ｄ－１｝のシェアのみを送信する。
【数68】
を強いる。このように、ａ番目の項の積
【数69】
は、変更されないが、全てのディーラー・ノードが、きっかり１の秘密をそれに提供する。このことは、全ての和の項ａに対して、Ｍａ＝Ｄを置き換えることを許容し、全てのランダム・ベクトルλａ，ｍを単一のランダム・ベクトルλｍと等しくし、（式３）は
【数70】
になり、同じλｍが各々の和の項に対して使用される。これにより、段階０の最後で計算ノードからディーラー・ノードに送信される情報の量を削減できる。ρａ －１とλａ，ｍ、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝のシェアを送信する代わりに、計算ノードは、ρａ －１とλｍ、ｍ∈｛０，１，・・・，Ｄ－１｝のシェアのみを送信する。
【0097】
前に論じたように、ネットワークＮＭＣアルゴリズムに代わるものとして、エッジＮＭＣと呼ばれるアルゴリズムを使用して、また計算ノード間の通信なしで、同じ成果が達成されうる。
【0098】
ここで、入力秘密の値を開示することなく、（式１）の算術関数の共同の評価値を求めるエッジＮＭＣ ＳＭＰＣの４段階を定義する。エッジＮＭＣ ＳＭＰＣでは、ディーラー・ノードが、前処理段階の複雑さの大半を押し付けられる。このことは、以下のように、段階０のステップ１と２と、段階１の全てと、段階２のステップ１とを（ネットワークＮＭＣアルゴリズムに対して）変更することを必要とする。
【0099】
エッジＮＭＣアルゴリズムの記述
入力：ネットワークＮＭＣと同様
出力：ネットワークＮＭＣと同様
目的：ネットワークＮＭＣと同様
入力：ネットワークＮＭＣと同様
出力：ネットワークＮＭＣと同様
目的：ネットワークＮＭＣと同様
【0100】
段階０：前処理
新しいステップ１（古いものと置き換える）：
全てのＤ個のディーラー・ノードは、同期して、乱数ジェネレータを動かす。つまり、乱数ジェネレータを動かすことによって、全てのＤ個のディーラー・ノードは、独立して、メッセージ交換なしで、同じＮ・Ａ個の乱数Ｘｎ，ａ、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝を取得する。
新しいステップ１（古いものと置き換える）：
全てのＤ個のディーラー・ノードは、同期して、乱数ジェネレータを動かす。つまり、乱数ジェネレータを動かすことによって、全てのＤ個のディーラー・ノードは、独立して、メッセージ交換なしで、同じＮ・Ａ個の乱数Ｘｎ，ａ、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝を取得する。
【0101】
新しいステップ２（古いものと置き換える）：
全てのディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、ローカルで、
を計算する。
全てのディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、ローカルで、
【数71】
を計算する。
【0102】
同じままのステップ３：
Ｎ個の計算ノードは、ネットワークＮＭＣアルゴリズム用に記述したように、「ブラインド要素の生成」を動かすことによって、指数ブラインド要素のシェアを計算し、次に、秘密
を隠すブラインド要素λａ，ｍをディーラーが復元できるように、様々なディーラーに対して、｛λａ，ｍ｝のシェア、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝を開示する。
Ｎ個の計算ノードは、ネットワークＮＭＣアルゴリズム用に記述したように、「ブラインド要素の生成」を動かすことによって、指数ブラインド要素のシェアを計算し、次に、秘密
【数72】
を隠すブラインド要素λａ，ｍをディーラーが復元できるように、様々なディーラーに対して、｛λａ，ｍ｝のシェア、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈｛０，１，・・・，Ｍａ－１｝を開示する。
【0103】
段階１：シェア分配（古いものと置き換える）：
ステップ１：各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、もし、各ディーラー・ノードが、（式１）のａ番目の和の項を含む積の計算に秘密
を与えるならば、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝に対し、
（ｍｏｄ ｐ）を計算する。全ての秘密
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍが存在するということに留意する。
ステップ１：各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、もし、各ディーラー・ノードが、（式１）のａ番目の和の項を含む積の計算に秘密
【数73】
を与えるならば、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝に対し、
【数74】
（ｍｏｄ ｐ）を計算する。全ての秘密
【数75】
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍが存在するということに留意する。
【0104】
ステップ２：各ディーラー・ノードｄ∈｛０，１，・・・，Ｄ－１｝は、ノードｄにより所有される全ての秘密
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍの各々１つを、異なる計算ノードに送信する。
【数76】
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍの各々１つを、異なる計算ノードに送信する。
【0105】
段階２：計算
ステップ１（古いものと置き換える）：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対し、（式４、代替のバージョン）
（ｍｏｄ ｐ）を計算する。
ステップ２：ネットワークＮＭＣと同様
ステップ１（古いものと置き換える）：
各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝は、各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対し、（式４、代替のバージョン）
【数77】
（ｍｏｄ ｐ）を計算する。
ステップ２：ネットワークＮＭＣと同様
【0106】
段階３：結果の復元
ネットワークＮＭＣと同様
ネットワークＮＭＣと同様
【0107】
これで、アルゴリズム「エッジＮＭＣ」の記述を終える。
【0108】
【0109】
更に図５に言及すると、これは、エッジＮＭＣ実行におけるノード間のメッセージ・フローを含むフローチャートである。
【0110】
ステップ４０では、上のエッジＮＭＣアルゴリズムの段階０のステップ３の最初の部分で記述したように、計算ノードが、Ａ個のインスタンスで並列に「ブラインド要素の生成」を動かして、λａ，ｍのシェアを計算する。
【0111】
ステップ４２（このステップは、ステップ２０の後またはステップ２０と並列に、前に実行されても良い）では、段階０のステップ１で記述したように、各ディーラー・ノードが、同期して乱数ジェネレータを動かして、メッセージ交換なしで、同一の乱数Ｘｎ，ａのセットを生成する。
【0112】
ステップ４４では、段階０のステップ２で述べられたように、各ディーラー・ノードが、ローカルで、ρａ（またはρａ
－１）を計算する。
【0113】
ステップ４６では、計算ノードが、ステップ４０で計算したλａ，ｍのシェアを、ディーラー・ノードに送信する。
【0114】
ステップ４８では、ディーラー・ノードが、開示されたシェアから、λａ，ｍを復元する。当業者は、ディーラー・ノードへのブラインド要素の提供において、ネットワークＮＭＣアルゴリズムでのものと同じ選択肢が存在すると理解するであろう。
【0115】
ステップ５０では、段階１で上述したように、段階１のステップ１のために記述されたように、各ディーラー・ノード１０が、全ての秘密
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍを計算する。
【数78】
に対応するＮ個のシェアν０，ａ，ｍ，ν１，ａ，ｍ，・・・，νＮ－１，ａ，ｍを計算する。
【0116】
ステップ５２では、段階１のステップ２のために記述されたように、これらのシェアが各計算ノードに送信される。
【0117】
ステップ５４では、段階２によって、計算ノードが、結果シェアｒｎの修正バージョンを計算する。
【0118】
ステップ５６では、結果シェアが結果ノードに送信され、ステップ５８では、結果ノードが、関数ｆの結果を復元する。
【0119】
エッジＮＭＣフレーバーのための証明は、ネットワークＮＭＣフレーバーでの式６のそれと大体同じであり、唯一の違いは、
の代わりに、エッジＮＭＣでは、我々は、
を有することである。定義
と
によって、両者は同一である。
【数79】
の代わりに、エッジＮＭＣでは、我々は、
【数80】
を有することである。定義
【数81】
と
【数82】
によって、両者は同一である。
【0120】
時々、ディーラー・ノードは、計算ノードのネットワークを、入力秘密の値を記憶させ復元するためだけに使用することを望む。ここで、両ＮＭＣプロトコルにおけるこのプロセスを論じる。
【0121】
ネットワークＮＭＣプロトコルの段階１では、ディーラー・ノードは、
を使用して秘密をマスクし、計算ノードのネットワークに、それをブロードキャストする。それにより、各計算ノードは、ρａとλａ，ｍからのシェアを有する。ディーラー・ノードが、その秘密を復元したい時は、ディーラー・ノードは、計算ノードのネットワークに、νａ，ｍと共にρａとλａ，ｍからのそれらのシェアを送信することを要求する。「シャミルの秘密シェア」を使用して、ディーラー・ノードは、ρａとλａ，ｍを復元し、以下のように、
（ｍｏｄ ｐ）秘密入力値を計算する。
【数83】
を使用して秘密をマスクし、計算ノードのネットワークに、それをブロードキャストする。それにより、各計算ノードは、ρａとλａ，ｍからのシェアを有する。ディーラー・ノードが、その秘密を復元したい時は、ディーラー・ノードは、計算ノードのネットワークに、νａ，ｍと共にρａとλａ，ｍからのそれらのシェアを送信することを要求する。「シャミルの秘密シェア」を使用して、ディーラー・ノードは、ρａとλａ，ｍを復元し、以下のように、
【数84】
（ｍｏｄ ｐ）秘密入力値を計算する。
【0122】
エッジＮＭＣプロトコルの段階１では、ディーラー・ノードは、
を使用して秘密をマスクし、計算ノードのネットワークに、それをブロードキャストする。それにより、各計算ノードは、λａ，ｍからのシェアを有する。このことは、秘密入力
の復元を許容しない、という点に留意する。この復元が可能であるように、ここで、段階１の修正を記述する。段階１の修正バージョンでは、ディーラーは、Ｘｎ，ａとρａとからのシェアを計算し、計算ノード間に分配するために、シャミルのような線形秘密シェア・スキームを使用する。ディーラー・ノードが、その秘密を復元したい時は、ディーラー・ノードは、計算ノードのネットワークに、νａ，ｍと共にρａとＸｎ，ａとλａ，ｍからのそれらのシェアを送信することを要求する。「シャミルの秘密シェア」を使用して、ディーラー・ノードは、ρａとＸｎ，ａとλａ，ｍを復元し、以下のように、
（ｍｏｄ ｐ）秘密入力値を計算する。
【数85】
を使用して秘密をマスクし、計算ノードのネットワークに、それをブロードキャストする。それにより、各計算ノードは、λａ，ｍからのシェアを有する。このことは、秘密入力
【数86】
の復元を許容しない、という点に留意する。この復元が可能であるように、ここで、段階１の修正を記述する。段階１の修正バージョンでは、ディーラーは、Ｘｎ，ａとρａとからのシェアを計算し、計算ノード間に分配するために、シャミルのような線形秘密シェア・スキームを使用する。ディーラー・ノードが、その秘密を復元したい時は、ディーラー・ノードは、計算ノードのネットワークに、νａ，ｍと共にρａとＸｎ，ａとλａ，ｍからのそれらのシェアを送信することを要求する。「シャミルの秘密シェア」を使用して、ディーラー・ノードは、ρａとＸｎ，ａとλａ，ｍを復元し、以下のように、
【数87】
（ｍｏｄ ｐ）秘密入力値を計算する。
【0123】
（付記）
（付記１）
計算実行方法であって、
複数のＤ個のディーラー・ノードとＮ個の計算ノードの間で実行され、
非公開の入力秘密｛ｓ０，ｓ１，・・・，ｓｓ－１｝のセットＳの積のＡ個のグループの和として表されうる
となるような算術関数ｆの結果を計算することを含み、
積の各グループｍａ、ａ∈｛０，１，・・・，Ａ－１｝は、非公開の入力秘密の前記セットＳのＭａ個の秘密の積
であり、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈{０，１，・・・，Ｍａ－１}におけるサブ表示ｉａ，ｍは、Ｓ個の秘密のセットから、非公開の入力秘密を識別し、
前記Ｓ個の秘密は、整数または実数または複素数から選択され、
各々の秘密は前記ディーラー・ノードのうちの１つに知られており、
前記方法は、
ａ）積ｍａのグループに秘密
を提供している各ディーラー・ノードに、前記積ｍａのグループに提供している全ての秘密に共通の基礎ブラインド要素ρａを提供することを含み、
前記基礎ブラインド要素ρａは、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、各々がＮ個の計算ノードのそれぞれ１つと関連付けられた、（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットに対して
（モジュロｐ、ここでｐは素数）を満たし、
前記方法は、
ｂ）積ｍａのグループに秘密
を提供している各ディーラー・ノードに、前記秘密
に特有の指数ブラインド要素λａ，ｍを提供することを含み、
前記指数ブラインド要素λａ，ｍのセットは、まとめると、
（モジュロｐ）を満たし、
前記方法は、
ｃ）ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットを記憶することを含み、
（ア）第１の演算モード（「ネットワーク・モード」）の前記計算ノードで記憶し、それによって、Ｎ個の前記計算ノードの各々が、当該ノードに特有のＡ個の乱数または擬似乱数のサブセットを記憶し、または、
（イ）第２の演算モード（「エッジ・モード」）の前記ディーラー・ノードで記憶し、それによって、各ディーラー・ノードが、少なくとも、当該ディーラーが提供する秘密への和に対応する前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのサブセットを記憶し、
前記方法は、
ｄ）各ディーラー・ノードが、各秘密
に対して、当該秘密に対する１以上のシェアを計算することを含み、
演算の前記ネットワーク・モードでは、単一のシェアが
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、秘密
が提供される積ｍａのグループに関連したＮ個の乱数または擬似乱数Ｘｎ，ａを使用して、複数のＮ個のシェアが
（モジュロｐ）で計算され、
前記方法は、
ｅ）各ディーラー・ノードが、前記計算ノードの各々に、各々のシェア・メッセージを送信することを含み、
演算の前記ネットワーク・モードでは、各々のシェア・メッセージは、同一の単一のシェアνａ，ｍを含み、
演算の前記エッジ・モードでは、Ｎ個の前記計算ノードの各々が、特有の値ｎ∈｛０，１，・・・，Ｎ－１｝で指標をつけられたシェアを受信するように、各々のシェア・メッセージは、Ｎ個のシェアνｎ，ａ，ｍのうちのそれぞれ１つを含み、
前記方法は、
ｆ）各計算ノードが、積ｍａのグループの各々に関連した、受信した前記シェアνａ，ｍまたはνｎ，ａ，ｍに対してローカルの乗算結果を計算することを含み、当該ローカルの乗算結果は、
演算の前記ネットワーク・モードでは、
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、
（モジュロｐ）で計算され、
前記方法は、
ｇ）各計算ノードが、ローカルの乗算結果のセットから、
（モジュロｐ）でローカルの加算結果を計算することと、
ｈ）Ｎ個の前記計算ノードからの前記ローカルの加算結果を組み合わせることによって、
を計算して、関数ｆの出力を計算することと、
を含む、計算実行方法。
（付記１）
計算実行方法であって、
複数のＤ個のディーラー・ノードとＮ個の計算ノードの間で実行され、
非公開の入力秘密｛ｓ０，ｓ１，・・・，ｓｓ－１｝のセットＳの積のＡ個のグループの和として表されうる
【数88】
となるような算術関数ｆの結果を計算することを含み、
積の各グループｍａ、ａ∈｛０，１，・・・，Ａ－１｝は、非公開の入力秘密の前記セットＳのＭａ個の秘密の積
【数89】
であり、ａ∈｛０，１，・・・，Ａ－１｝、ｍ∈{０，１，・・・，Ｍａ－１}におけるサブ表示ｉａ，ｍは、Ｓ個の秘密のセットから、非公開の入力秘密を識別し、
前記Ｓ個の秘密は、整数または実数または複素数から選択され、
各々の秘密は前記ディーラー・ノードのうちの１つに知られており、
前記方法は、
ａ）積ｍａのグループに秘密
【数90】
を提供している各ディーラー・ノードに、前記積ｍａのグループに提供している全ての秘密に共通の基礎ブラインド要素ρａを提供することを含み、
前記基礎ブラインド要素ρａは、ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、各々がＮ個の計算ノードのそれぞれ１つと関連付けられた、（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットに対して
【数91】
（モジュロｐ、ここでｐは素数）を満たし、
前記方法は、
ｂ）積ｍａのグループに秘密
【数92】
を提供している各ディーラー・ノードに、前記秘密
【数93】
に特有の指数ブラインド要素λａ，ｍを提供することを含み、
前記指数ブラインド要素λａ，ｍのセットは、まとめると、
【数94】
（モジュロｐ）を満たし、
前記方法は、
ｃ）ｎ∈｛０，１，・・・，Ｎ－１｝、ａ∈｛０，１，・・・，Ａ－１｝において、前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのセットを記憶することを含み、
（ア）第１の演算モード（「ネットワーク・モード」）の前記計算ノードで記憶し、それによって、Ｎ個の前記計算ノードの各々が、当該ノードに特有のＡ個の乱数または擬似乱数のサブセットを記憶し、または、
（イ）第２の演算モード（「エッジ・モード」）の前記ディーラー・ノードで記憶し、それによって、各ディーラー・ノードが、少なくとも、当該ディーラーが提供する秘密への和に対応する前記（Ｎ×Ａ）個の乱数または擬似乱数Ｘｎ，ａのサブセットを記憶し、
前記方法は、
ｄ）各ディーラー・ノードが、各秘密
【数95】
に対して、当該秘密に対する１以上のシェアを計算することを含み、
演算の前記ネットワーク・モードでは、単一のシェアが
【数96】
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、秘密
【数97】
が提供される積ｍａのグループに関連したＮ個の乱数または擬似乱数Ｘｎ，ａを使用して、複数のＮ個のシェアが
【数98】
（モジュロｐ）で計算され、
前記方法は、
ｅ）各ディーラー・ノードが、前記計算ノードの各々に、各々のシェア・メッセージを送信することを含み、
演算の前記ネットワーク・モードでは、各々のシェア・メッセージは、同一の単一のシェアνａ，ｍを含み、
演算の前記エッジ・モードでは、Ｎ個の前記計算ノードの各々が、特有の値ｎ∈｛０，１，・・・，Ｎ－１｝で指標をつけられたシェアを受信するように、各々のシェア・メッセージは、Ｎ個のシェアνｎ，ａ，ｍのうちのそれぞれ１つを含み、
前記方法は、
ｆ）各計算ノードが、積ｍａのグループの各々に関連した、受信した前記シェアνａ，ｍまたはνｎ，ａ，ｍに対してローカルの乗算結果を計算することを含み、当該ローカルの乗算結果は、
演算の前記ネットワーク・モードでは、
【数99】
（モジュロｐ）で計算され、
演算の前記エッジ・モードでは、
【数100】
（モジュロｐ）で計算され、
前記方法は、
ｇ）各計算ノードが、ローカルの乗算結果のセットから、
【数101】
（モジュロｐ）でローカルの加算結果を計算することと、
ｈ）Ｎ個の前記計算ノードからの前記ローカルの加算結果を組み合わせることによって、
【数102】
を計算して、関数ｆの出力を計算することと、
を含む、計算実行方法。
【0124】
（付記２）
ステップｈ）が、
（ア）各計算ノードが、ローカルの加算結果ｒｎを１以上の結果ノードに送信することと、
（イ）前記１以上の結果ノードが、受信した前記ローカルの加算結果の集計を実行して、算術関数ｆの結果を特定することと、
を含む付記１に記載の計算実行方法。
ステップｈ）が、
（ア）各計算ノードが、ローカルの加算結果ｒｎを１以上の結果ノードに送信することと、
（イ）前記１以上の結果ノードが、受信した前記ローカルの加算結果の集計を実行して、算術関数ｆの結果を特定することと、
を含む付記１に記載の計算実行方法。
【0125】
（付記３）
ステップａ）が、
（ア）各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成することと、
（イ）各計算ノードが、
（ｍｏｄ ｐ）となるように、次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を計算することと、
（ウ）各計算ノードが、各々のρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信することと、
（エ）各ディーラー・ノードが、受信した前記シェアから、対応する前記基礎ブラインド要素ρａ －１を復元することと、
を含む付記１または２に記載の計算実行方法。
ステップａ）が、
（ア）各計算ノードｎ、ｎ∈｛０，１，・・・，Ｎ－１｝が、乱数Ｘｎ，ａを生成することと、
（イ）各計算ノードが、
【数103】
（ｍｏｄ ｐ）となるように、次数Ｎ－１の多項式ｐａ（ｘ）のシェアｐａ（ｎ＋１）を計算することと、
（ウ）各計算ノードが、各々のρａ －１のシェアを、各ディーラー・ノードｄ、ｄ∈｛０，１，・・・，Ｄ－１｝に送信することと、
（エ）各ディーラー・ノードが、受信した前記シェアから、対応する前記基礎ブラインド要素ρａ －１を復元することと、
を含む付記１または２に記載の計算実行方法。
【0126】
（付記４）
ステップ（イ）が、
ｎ≠ｑであるｎ，ｑ∈｛０，１，・・・，Ｎ－１｝における乱数ジェネレータＧｎ，ｑが、計算ノードｎとｑが互いに同期して動かす生成器であるように、乱数ジェネレータＧｎ，ｑのコレクションを提供することと、
各計算ノードｎが、ｑ≠ｎである各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、Ｎ－１個のランダム・シェアを生成して、多項式ｐｎ（ｑ＋１）の各ランダム評価値を生成することと、
各計算ノードが、各ランダム評価値ｐｎ（ｑ＋１）とｐｎ（０）＝Ｘｎ，ａとを満たす多項式ｐｎ（ｘ）の係数を計算することと、
各計算ノードｎが、前記係数とＸｎ，ａとから、前記多項式ｐｎ（ｘ）のシェアｐｎ（ｎ＋１）を計算することと、
他の全ての計算ノードｑからの多項式ｐｑ（ｘ）の自身のシェアとして、各計算ノードｎが、各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、ｐｑ（ｎ＋１）を生成することと、
各ノードが、
を計算して、ｎ＋１で評価された多項式ｐａ（ｘ）のシェアｐ（ｎ＋１）を提供することと、
各ディーラー・ノードが、前記秘密の合計
に等しい、ｘ０に相当するｐａ（ｘ）の独立した係数を復元できるように、各計算ノードが、積ｍａのグループに提供している各ディーラー・ノードに、ｐａ（ｘ）のシェアｐ（ｎ＋１）を送信することと、
を含む付記３に記載の計算実行方法。
ステップ（イ）が、
ｎ≠ｑであるｎ，ｑ∈｛０，１，・・・，Ｎ－１｝における乱数ジェネレータＧｎ，ｑが、計算ノードｎとｑが互いに同期して動かす生成器であるように、乱数ジェネレータＧｎ，ｑのコレクションを提供することと、
各計算ノードｎが、ｑ≠ｎである各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、Ｎ－１個のランダム・シェアを生成して、多項式ｐｎ（ｑ＋１）の各ランダム評価値を生成することと、
各計算ノードが、各ランダム評価値ｐｎ（ｑ＋１）とｐｎ（０）＝Ｘｎ，ａとを満たす多項式ｐｎ（ｘ）の係数を計算することと、
各計算ノードｎが、前記係数とＸｎ，ａとから、前記多項式ｐｎ（ｘ）のシェアｐｎ（ｎ＋１）を計算することと、
他の全ての計算ノードｑからの多項式ｐｑ（ｘ）の自身のシェアとして、各計算ノードｎが、各ｑ∈｛０，１，・・・，Ｎ－１｝に対して前記乱数ジェネレータＧｎ，ｑから、ｐｑ（ｎ＋１）を生成することと、
各ノードが、
【数104】
を計算して、ｎ＋１で評価された多項式ｐａ（ｘ）のシェアｐ（ｎ＋１）を提供することと、
各ディーラー・ノードが、前記秘密の合計
【数105】
に等しい、ｘ０に相当するｐａ（ｘ）の独立した係数を復元できるように、各計算ノードが、積ｍａのグループに提供している各ディーラー・ノードに、ｐａ（ｘ）のシェアｐ（ｎ＋１）を送信することと、
を含む付記３に記載の計算実行方法。
【0127】
（付記５）
ステップａ）は、
ａ．前記ディーラー・ノードが、信頼されたノードから、前記基礎ブラインド要素ρａ ―１を受信することと、
ｂ．前記計算ノードが、前記ディーラー・ノードが各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対してρａ ―１を復元可能なように、前記ディーラー・ノードにメッセージを送信することであって、前記メッセージは、マルチ・パーティー秘密計算を使用して、前記秘密Ｘｎ，ａから前記ディーラー・ノードが協同的に生成する、メッセージを送信することと、
ｃ．前記ディーラー・ノード以外の１以上のノードが、準同型暗号を実行して、前記基礎ブラインド要素ρａ ―１を生成し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノードに送信することと、
ｄ．前記ディーラー・ノード以外の１以上のノードが、安全な孤立領域または信頼された実行環境で、前記基礎ブラインド要素ρａ ―１を計算し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノードに送信することと、
の１つを含む、付記１または２に記載の計算実行方法。
ステップａ）は、
ａ．前記ディーラー・ノードが、信頼されたノードから、前記基礎ブラインド要素ρａ ―１を受信することと、
ｂ．前記計算ノードが、前記ディーラー・ノードが各々の和ａ、ａ∈｛０，１，・・・，Ａ－１｝に対してρａ ―１を復元可能なように、前記ディーラー・ノードにメッセージを送信することであって、前記メッセージは、マルチ・パーティー秘密計算を使用して、前記秘密Ｘｎ，ａから前記ディーラー・ノードが協同的に生成する、メッセージを送信することと、
ｃ．前記ディーラー・ノード以外の１以上のノードが、準同型暗号を実行して、前記基礎ブラインド要素ρａ ―１を生成し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノードに送信することと、
ｄ．前記ディーラー・ノード以外の１以上のノードが、安全な孤立領域または信頼された実行環境で、前記基礎ブラインド要素ρａ ―１を計算し、当該基礎ブラインド要素を、和ａを提供している前記ディーラー・ノードに送信することと、
の１つを含む、付記１または２に記載の計算実行方法。
【図1】
【図2】
【図3】
【図4】
【図5】
