JP2019144405A - 入力者装置、演算支援装置、装置、秘匿演算装置、及びプログラム - Google Patents

Abstract

【課題】安全にかつ効率的に秘匿積和演算を行うことができる秘密情報分散秘匿演算システムを提供する。【解決手段】ｎを整数、ｋをｎ以下の整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて第１の整数と第２の整数間の秘匿演算を行う秘密情報分散秘匿演算システムは、ネットワーク１０を介して相互に接続された入力者装置と複数のマシンからなる。入力者装置は、秘密情報に０でない値を加算した値に０でない乱数を乗じ、その乗算結果をそのまま各マシンに送信する。各マシンはｋ台以上のマシンが協力して秘匿積和演算を行い、その結果をメモリに保存する。入力者装置はどれかのマシンから取得した秘匿積和演算結果から積和演算結果を計算する。【選択図】図１

Description

本発明は、入力者装置、演算支援装置、装置、秘匿演算装置、及びプログラムに関する。

入力者装置、演算支援装置、及び秘匿演算装置は情報を安全に分散管理する分散管理技術に関する。また、分散管理された情報を秘匿したまま演算を行う秘匿演算技術に関する。

近年、ＡＩなどの進歩に伴い、ニューラルネットワーク（以降、ＮＮ）の活用が期待されている。ただし、ＮＮの活用においては、解こうとする問題が漏洩すると個人のプライバシーや企業の機密情報に影響を与える可能性がある。そのため、ＮＮの利活用においては、その入力情報や解こうとする問題を秘匿できることが望まれる。

入力情報を秘匿しながら計算を実現する手法として秘匿計算技術が研究されている。秘匿計算技術を大きく分けると、主に鍵を用いてデータを秘匿する公開鍵暗号に基づく準同型暗号と、鍵を用いずにデータを秘匿する秘密分散法を用いた秘匿計算がある。ただし、準同型暗号は一般的に計算量が多く、演算の処理に多大な時間がかかるという問題がある。一方、秘密分散を用いる場合、最小２台の装置が必要であるが、秘匿計算を行おうとすれば、一般に３台以上の別々に管理された装置が必要であることが知られており、装置規模が大きくなるという問題がある。よって、高速な秘匿計算が可能で、できるだけ少ない台数、または小さな装置規模で秘匿計算が行える仕組みが必要とされている。

本発明では、小さな装置規模で効率的に秘匿計算を行える入力者装置、演算支援装置、及び秘匿演算装置を提供することを目的とする。

請求項１に記載の発明の入力者装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値を加算した値に０でない値の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする。

請求項２に記載の発明の演算支援装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値の第１の乱数を加算する手段と、その値に０でない値の第２の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする。

請求項３に記載の発明の演算支援装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値の乱数を秘匿加算する手段と、その秘匿加算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする。

請求項４に記載の発明の装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、１個以上の第１の乱数を生成する手段と、第１の乱数の各々を秘密分散した分散値の各々にかける手段と、を有することを特徴とする。

請求項５に記載の発明の秘匿演算装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、請求項４による異なる乱数がかかった分散値に請求項１〜請求項３の装置によって公開された秘匿化秘密情報を作用させる手段と、その手段の出力である同一の秘密情報に対して異なる乱数を作用させた分散値を用いて演算する手段を有することを特徴とする。

請求項６に記載の発明の入力者装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、用いる秘匿演算装置の数をｔ、入力数をｕとしたとき、ｎをｕｔ以上として秘密分散を行う手段と、その分散値をｎ／ｔ個毎に分割して異なる乱数を乗算する手段と、その異なる乱数が乗じられた分散値ｎ／ｔ個から少なくとも１つの分散値を秘匿演算装置に配布する手段と、を有することを特徴とする。

請求項７に記載の発明の秘匿演算装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、分散値同士の乗算を行う手段と、乱数がかけられた分散値同士の積から乱数を削除する手段と、乱数が削除された分散値に対して次数変換処理を１回以上繰り返す手段と、を有することを特徴とする。

請求項８に記載の発明の秘匿演算装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、請求項１〜３による秘匿化秘密情報から請求項１〜３で加算された定数を秘匿減算する手段と、その秘匿減算結果が０であるかを検証する手段と、０でないときに秘匿減算された値からその逆数を生成する手段と、を有する。

請求項９に記載の発明の演算支援装置は、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、異なる乱数がかかった分散値を他の分散値と同じ乱数に変換する手段と、同じ乱数がかかった秘密情報を復元する、または秘匿演算装置が復元できるようにする手段と、を有する。

請求項１０に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける入力者装置のコンピュータを、秘密情報に０でない値を加算した値に０でない値の乱数を乗ずる手段、及びその乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させる。

請求項１１に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、秘密情報に０でない値の第１の乱数を加算する手段、及びその値に０でない値の第２の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させる。

請求項１２に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、秘密情報に０でない値の乱数を秘匿加算する手段、及びその秘匿加算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させる。

請求項１３に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける装置のコンピュータを、１個以上の第１の乱数を生成する手段、及び第１の乱数の各々を秘密分散した分散値の各々にかける手段として機能させる。

請求項１４に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、請求項４による異なる乱数がかかった分散値に請求項１〜請求項３の装置によって公開された秘匿化秘密情報を作用させる手段、及びその手段の出力である同一の秘密情報に対して異なる乱数を作用させた分散値を用いて演算する手段として機能させる。

請求項１５に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける入力者装置のコンピュータを、用いる秘匿演算装置の数をｔ、入力数をｕとしたとき、ｎをｕｔ以上として秘密分散を行う手段、その分散値をｎ／ｔ個毎に分割して異なる乱数を乗算する手段、及びその異なる乱数が乗じられた分散値ｎ／ｔ個から少なくとも１つの分散値を秘匿演算装置に配布する手段として機能させる。

請求項１６に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、分散値同士の乗算を行う手段と、乱数がかけられた分散値同士の積から乱数を削除する手段、及び乱数が削除された分散値に対して次数変換処理を１回以上繰り返す手段として機能させる。

請求項１７に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、請求項１〜３による秘匿化秘密情報から請求項１〜３で加算された定数を秘匿減算する手段、及びその秘匿減算結果が０であるかを検証する手段と、０でないときに秘匿減算された値からその逆数を生成する手段として機能させる。

請求項１８に記載の発明のプログラムは、ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、異なる乱数がかかった分散値を他の分散値と同じ乱数に変換する手段、及び同じ乱数がかかった秘密情報を復元する、または秘匿演算装置が復元できるようにする手段として機能させる。

本発明は、効率的に計算を行える。

第１の実施の形態の秘密情報分散秘匿演算システムの構成図である。 第１の実施の形態の入力者装置１２のブロック図である。 入力者装置１２のＣＰＵ２２の機能ブロック図である。 マシン１４Ｎ０〜１４Ｎｎ−１のＣＰＵ２２の機能ブロック図である。 分散１のプログラムのフローチャートである。 秘匿積和演算１のプログラムのフローチャートである。 秘密分散１のプログラムのフローチャートである。 秘匿除算１のプログラムのフローチャートである。 分散１′のプログラムのフローチャートである。 秘匿積和演算１′のプログラムのフローチャートである。 秘匿積和演算１′のプログラムのフローチャートである。 入力者装置１２のＣＰＵ２２の機能ブロック図である。 分散２のプログラムのフローチャートである。 積和のプログラムのフローチャートである。 演算支援２のプログラムのフローチャートである。 演算支援２′のプログラムのフローチャートである。 秘匿除算２のプログラムのフローチャートである。 第３の実施の形態の秘密情報分散秘匿演算システムの構成図である。 入力者装置１２のＣＰＵ２２の機能ブロック図である。 マシン１４Ｎ０〜１４Ｎｎ−１のＣＰＵ２２の機能ブロック図である。 変換用乱数生成３のシーケンス図である。 変換用乱数生成３’のシーケンス図である。 分散３のプログラムのフローチャートである。 秘匿積和演算３のプログラムのフローチャートである。 第４の実施の形態の構成の秘密情報分散秘匿演算システムの構成図である。 分散４のプログラムのフローチャートである。 積和演算４のプログラムのフローチャートである。 演算支援４のプログラムのフローチャートである。 入力者装置１２Ａの分散５のプログラムのフローチャートである。 入力者装置１２Ｂの分散５のプログラムのフローチャートである。 入力者装置１２Ｃの分散５のプログラムのフローチャートである。 演算支援装置１６の分散５のプログラムのフローチャートである。 マシン１４ＮＮの分散５のプログラムのフローチャートである。 分散５のシーケンス図である。 秘匿積和演算５のプログラムのフローチャートである。 秘匿積和演算５のプログラムのフローチャートである。 演算支援５のプログラムのフローチャートである。

以下、図面を参照して本発明の実施の形態の一例を詳細に説明する。
＜ 第１の実施の形態＞
まず、第１の実施の形態の構成を説明する。
図１に示すように、第１の実施の形態の秘密情報分散秘匿演算システムは、ネットワーク１０を介して相互に接続された、入力者装置１２、複数（Ｎ個）のマシン１４Ｎ０〜１４Ｎｎ−１を備えている。マシン１４Ｎ０〜１４Ｎｎ−１は、ニューラルネットワークマシン（ＮＮマシン）である。なお、以下では、マシン１４Ｎ０〜１４Ｎｎ−１の各々を、マシン１４Ｎｉで標記する場合もある。

入力者装置１２及びマシン１４Ｎ０〜１４Ｎｎ−１は、同様の構成になっているので、入力者装置１２の構成のみを、図２を参照して説明する。図２に示すように、入力者装置１２は、コンピュータを備え、ＣＰＵ２２、ＲＯＭ２４、ＲＡＭ２６、メモリ２８、入力装置３０、送受信装置３２、表示装置３４がバス３６を介して相互に接続されて、構成されている。入力者装置１２及びマシン１４Ｎ０〜１４Ｎｎ−１のメモリ２８には、後述するプログラムが記憶されている。

次に、図３を参照して、入力者装置１２のＣＰＵ２２がプログラムを実行することで実現される機能について説明する。プログラムは、分散機能を備えている。ＣＰＵ２２がこの機能を有するプログラムを実行することで、ＣＰＵ２２は、図３に示すように、分散部４２として機能する。なお、上記プログラムは、復元機能を備え、ＣＰＵ２２がこの機能を有するプログラムを実行することで、ＣＰＵ２２は、図示しない復元部として機能する。

次に、図４を参照して、マシン１４Ｎ０〜１４Ｎｎ−１の各々のＣＰＵ２２がプログラムを実行することで実現される機能について説明する。プログラムは、秘匿積和演算機能及び秘匿除算機能を備えている。ＣＰＵ２２がこの機能を有するプログラムを実行することで、ＣＰＵ２２は、図４に示すように、秘匿積和演算部４４及び秘匿除算部４６として機能する。

次に、本実施の形態の作用を説明する。

本実施の形態では、秘密分散法を用いる。最初に、秘密分散法を説明する。代表的な秘密分散法であるＳｈａｍｉｒの（ｋ、ｎ）閾値秘密分散法（以降、Ｓｈａｍｉｒ法）は、１つの秘密情報をｎ個の分散値に変換し、ｎ台のサーバに分散する。Ｓｈａｍｉｒ法の特徴は、分散したｎ個の分散値から、ｋ個の分散値を集めれば、元の秘密情報を復元することができるが、ｋ個未満の情報からは、秘密情報に関する情報を一切得ることができないということである。Ｓｈａｍｉｒ法のアルゴリズムを以下に示す。また、秘密分散法を用いた秘匿計算法として以下に示すＴＵＳ方式がある。

Ｓｈａｍｉｒの（ｋ、ｎ）閾値秘密分散法
（分散処理）
ユーザはｓ＜ｐかつｎ＜ｐの条件を満たす任意の素数ｐを選択する。

ユーザはＧＦ（ｐ）の元からｎ個のｘ_ｉ（ｉ＝０、１、２、・・・、ｎ−１）を選び、サーバＩＤとする。

ユーザはＧＦ（ｐ）の元からｋ−１個の乱数ａ_ｌ（ｌ＝１、２、・・・、ｋ−１）を選び、以下の分散式を生成する。

Ｗ_ｉ＝ｓ＋ａ_１ｘ_ｉ＋ａ_２ｘｉ^２＋・・・＋ａ_ｋ−１ｘ_ｉ ^ｋ−１（ｍｏｄｐ）

ユーザは上式のｘ_ｉに各サーバＩＤを代入し、分散値Ｗ_ｉを計算し、各サーバＳ_ｉに送信する。

（復元処理）
復元に用いる分散情報をＷ_ｉ（ｉ＝０、１、２、・・・、ｋ−１）として、その分散情報に対応するサーバＩＤをｘ_ｉとする。

分散式にｘ_ｉとＷ_ｉを代入し、ｋ個の連立方程式を解いて、元の秘密情報ｓを復元する。ただし、秘密情報ｓを復元する際に、ラグランジュの補間公式を使うと便利である。

また、秘密情報をＬ個に分割し、分散式の係数として含ませるランプ型秘密分散方式も知られている。これによって、分散値の小型化が実現できる。

ＴＵＳ方式
従来の秘匿乗算はＳｈａｍｉｒ法による分散値をそのまま用いて乗算するため多項式の次数が変化し、復元に必要な分散値の数が２ｋ−１個に増加する。しかし、以下の文献１で提案されたＴＵＳ方式は、秘密情報に乱数を乗じて秘匿化秘密情報を生成し、それを秘密分散する。秘匿乗算を行う際には、秘匿化秘密情報を一時的に復元してスカラー量として扱い、他の分散値と乗算を行う。これにより、乗算した際に多項式の次数は増加しないので、閾値を変化させない秘匿乗算を行うことができる。ただし、秘匿乗算においては秘密情報が漏洩する可能性があるため、秘密情報ａ、ｂは０を含まず、乱数も０を含まない（秘匿乗算以外では秘密情報に０を含んでもよい）。ＴＵＳ方式は秘密分散の処理も含めてすべての秘匿演算はｐを法として行われる。

文献１：神宮武志、岩村惠市：“除算を含む四則演算に適応可能な秘密分散法を用いた秘匿計算手法の提案”、信学技報１１５（１２２）、５１−５７、２０１５−０７−０２。

文献２：青井健、神宮武志、岩村惠市：“ｎ＜２ｋ−１における秘匿計算の安全性検討及び非対称秘密分散との応用”、信学技報１１６（１２９）、２３７−２４３、２０１６−０７−１４。

ＴＵＳ方式の問題点
ＴＵＳ方式は秘匿加減算と秘匿乗除算が別々に構成され、それら単独であれば安全であることが、上記文献２に示されている。しかし、秘匿乗算と秘匿加算を組み合わせて、ｆ（ｘ）＝ａｂ＋ｃのような積和演算を行う場合安全でない。以下に、手順１〜５でＴＵＳ方式の秘匿乗算ａｂを行い、手順６〜１０で秘匿加算ａｂ＋ｃを行う場合を示す。なお、秘密情報ａ、ｂ、ｃはａ、ｂ、ｃ∈Ｚ／ｐＺであり、分散処理および秘匿加算で生成する乱数α_ｊ、β_ｊ、λ_ｊ、γ_ｊもα_ｊ、β_ｊ、λ_ｊ、γ_ｊ∈Ｚ／ｐＺである（ただし、乗算において一旦復元されるａと乱数は０ではない）。以下において、

はａに対する分散値を表す。秘密分散の処理も含めてすべての秘匿演算はｐを法として行われる。

（ａｂ＋ｃの秘匿演算）
入力：

出力：

手順１：サーバＳ_０はｋ台のサーバより

を収集し、一時的にαａのスカラー量を復元し、全サーバＳ_ｉに送信する。

手順２：全サーバＳ_ｉは以下の式を用いて、

を計算する。

手順３：ｋ台のサーバＳ_ｊは

と

を収集し、α_ｊとβ_ｊを復元し、α_ｊβ_ｊを計算する。

手順４：ｋ台のサーバＳ_ｊは乱数α_ｊβ_ｊをＳｈａｍｉｒの（ｋ、ｎ）閾値秘密分散法で全サーバＳ_ｉに分散する。

手順５：サーバＳ_ｉ（ｉ＝０、１、２、・・・、ｎ−１）は秘密情報ａｂに関する分散情報として

を保持する。

手順６：ｋ台のサーバＳ_ｊは

と

を収集し、α_ｊβ_ｊとλ_ｊを復元する。それから、ｋ台のサーバＳ_ｊは乱数γ_ｊを生成し、サーバＳ_０にγ_ｊ／α_ｊβ_ｊ、γ_ｊ／λ_ｊを送信する。

手順７：サーバＳ_０はγ_ｊ／α_ｊβ_ｊ、γ_ｊ／λ_ｊを用いて、以下の式よりγ／αβ、γ／λを計算し、全サーバＳ_ｉに送信する。

手順８：全サーバＳ_ｉは以下の式を用いて、

を計算する。

手順９：ｋ台のサーバＳ_ｊは乱数γ_ｊをＳｈａｍｉｒの（ｋ、ｎ）閾値秘密分散法で全サーバＳ_ｉに分散する。

手順１０：サーバＳ_ｉ（ｉ＝０、１、２、・・・、ｎ−１）は秘密情報ａｂ＋ｃに関する分散情報として

を保持する。

（復号処理）
手順ａ：復元者はＫ台のサーバよりｋ個の分散情報［ａｂ＋ｃ］_ｊを収集する。

手順ｂ：収集した分散情報の

からγ（ａｂ＋ｃ）、γ_０、・・・、γ_ｋ−１を復元し、乱数

を計算する。

手順ｃ：復元した秘匿した秘密情報γ（ａｂ＋ｃ）と乱数γを用いて、以下の式より秘密情報ａｂ＋ｃを復元する。
γ（ａｂ＋ｃ）×γ^−１＝ａｂ＋ｃ

積和演算は３入力１出力の演算であるため、入力者は３人、出力者は１人想定される。ここで、攻撃者として復元者かつ１つの値の入力者である場合を考える。例えば、攻撃者が秘密情報ｂの入力者かつ復元者である場合、攻撃者は入力者が入力した秘密情報ｂ、乱数β、演算結果を復元するための乱数γ、演算結果ａｂ＋ｃおよびｋ−１台のサーバから漏洩するαａ、γ／αβ、γ／λの情報を持っている。攻撃者は乱数β、γ、γ／αβの情報を用いて、乱数αを求めることができる。攻撃者は求めた乱数αと演算途中に得られるαａより秘密情報ａを計算することができる。それから、攻撃者は秘密情報ａ、ｂと演算結果ａｂ＋ｃを用いて、秘密情報ｃを知ることができる。これによって、攻撃者は入力者Ｂの入力情報、復元者の持つ情報およびｋ−１台のサーバから漏洩する情報を持っていれば、残りの入力者の情報が漏洩してしまうという問題がある。

一般に、ビッグデータなどに対する秘匿計算においては、秘密情報の入力者は複数存在し、秘匿演算結果を復元する復元者も入力者と異なる、または入力者と一部同一であり、その利害は他者と対立すると想定する。それに対して、ＮＮでは入力者はある問題を解こうとする１名または同一組織（以降、入力者と呼ぶ）であることが多く、入力者は多くの学習データを準備して、すべての秘密情報と演算結果を知る。ここでは、入力者がＮＮマシン及びＮＮマシンを監視できる攻撃者に対して入力および解こうとする問題を秘匿したい場合を想定する。秘密分散を用いる場合、最小ｎ＝２であるが、以降ではｎ＝１をめざし、ｎ＝１、２の場合に対して有効な秘匿計算法を提案する。

まず、秘密分散を用いてＮＮマシンで問題を解こうとする場合、ＴＵＳ方式以外では最小閾値であるｎ＝ｋ＝２としたくても秘匿乗算が含まれれば、ｎに相当するＮＮマシンは３台以上必要とすることが知られている。また、ＴＵＳ方式では安全な積和演算が実現できない。

そこで、第１の実施の形態として、入力者及び復元者を同一の１名として、最小２台のＮＮマシンで秘匿計算を実現する場合を考える。この場合、入力者及び復元者が異なり利害が対立するとするＴＵＳ方式を上記状況に合わせて効率化することと、入力される情報に０が含まれないとは保証されないため、ＴＵＳ方式では対応できなかった秘密情報に０を含む積和演算を実現することが課題となる。

四則演算は積和演算ａｂ＋ｃの組み合わせで実現できる。ＴＵＳ方式では積和演算を安全に実行できなかったが、秘匿積和演算を安全に実現できれば、任意の四則演算はその組み合わせによって実現される。ただし、本実施の形態では一人の入力者が全秘密情報ａ、ｂ、ｃを入力するとする。また、以下ではｎ台のＮＮマシンを例に説明するが、最小にしたい場合ｎ＝ｋ＝２とできる。また、前記ＴＵＳ方式では秘密情報に直接乱数をかけて分散したため、秘匿乗算においてαａをスカラー量として復元したとき、秘密情報がａ＝０の場合、αａ＝０となるため秘密情報に０を含むことができなかった。また、秘匿加算ではαａを復元しないため、ａ＝０であってもよいが、そのためαａは必ず秘密分散しておく必要があり、αを構成する乱数α０、α１、・・・、αｋ−１を含む全情報は全て秘密分散しておく必要があった。よって、その全秘密情報の分散及び復元に大きな手間が生じた。以下では秘密情報に直接乱数をかけるだけで分散せず、秘密情報ａに１を加えることから、ａ＝０であってもα（ａ＋１）＝０とならない。そのためα（ａ＋１）を分散することなくそのまま配布することができる。また、入力者は全ての秘密を知るためαを直接使用できる。すなわち、α０、α１、・・・、αｋ−１などに分解する必要がなく、これによって秘密分散に関する手間を大きく効率化できる。

以下において、秘密情報ａ、ｂ、ｃは１を加えるためａ、ｂ、ｃ＜ｐ−１であり、生成する乱数α、β、γ、δはα、β、γ、δ∈Ｚ／ｐＺである（ただし、乱数として０は選択されない）。また、秘密分散の処理も含めてすべての演算はｐを法として行われる。また、以下の記号を定義する。また、値を公開するとは秘匿演算を行う全マシンにその値を送ることを意味する。

（記号定義）
［ａ］ｉは、マシン１４Ｎｉが保持する値ａに対する分散値を示す。

［分散１］
次に、図５を参照して、入力者装置１２のＣＰＵ２２における分散部４２が実行する分散１を説明する。

ステップ５２で、分散部４２は、乱数α、β、γを生成する。なお、乱数α、β、γは、真正乱数でも疑似乱数でもよい。以下の各乱数も同様である。

ステップ５４で、分散部４２は、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）を、次のように計算する。

α（ａ＋１）＝α×（ａ＋１）
β（ｂ＋１）＝β×（ｂ＋１）
γ（ｃ＋１）＝γ×（ｃ＋１）

ステップ５６で、分散部４２は、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）を、全マシン１４Ｎ０〜１４Ｎｎ−１に送信する。

ステップ５８で、分散部４２は、乱数δを生成し、ステップ６０で、分散部４２は、δ／αβ、δ／α、δ／β、δ／γ、δを計算し、ステップ６２で、分散部４２は、その秘密分散の分散値［δ／αβ］_ｉ、［δ／α］_ｉ、［δ／β］_ｉ、［δ／γ］_ｉ、［δ］_ｉを計算する（ｉ＝０，・・・，ｋ−１）。

ステップ６４で、分散部４２は、分散値［δ／αβ］_ｉ、［δ／α］_ｉ、［δ／β］_ｉ、［δ／γ］_ｉ、［δ］_ｉを、対応するマシン１４Ｎ０〜１４Ｎｎ−１中のマシン１４Ｎｉに送信する。

なお、入力者装置１２のＣＰＵ２２における分散部４２はδを入力者装置１２のメモリ２８に保存する。

［秘匿積和演算１］
次に、図６を参照して、マシン１４Ｎ０〜１４Ｎｎ−１の予め定められたｋ台以上のマシン（マシン１４Ｎｉ（ｉ＝０,・・・,ｋ−１）のＣＰＵ２２における秘匿積和演算部４４が実行する秘匿積和演算１を説明する。
ステップ７２で、秘匿積和演算部４４は、以下を計算する。
［δ（ａｂ＋ｃ＋１）］_ｉ＝α（ａ＋１）×β（ｂ＋１）×［δ／αβ］_ｉ−α（ａ＋１）×［δ／α］_ｉ−β（ｂ＋１）×［δ／β］_ｉ＋γ（ｃ＋１）×［δ／γ］_ｉ＋［δ］_ｉ

ステップ７４で、秘匿積和演算部４４は、予め定められたｋ台以上のマシンが協力してδ（ａｂ＋ｃ＋１）を復元する。

ステップ７６で、秘匿積和演算部４４は、δ（ａｂ＋ｃ＋１）を各マシン１４Ｎ０〜１４Ｎｎ−１のメモリ２８に保存する。

入力者が計算結果を得る場合、入力者装置１２は、δ（ａｂ＋ｃ＋１）をどれかのマシンから得て、保存しているδで割って１を引くことによって積和演算結果であるａｂ＋ｃを得る。もしくは、［δ］_ｉを集めて復元し、δで割って１を引く。また、分散１では１を加えるが、加える値は１に限定されず、その他の値、例えば、２であれば下記を積和演算として計算すればよい。

［δ（ａｂ＋ｃ＋２）］_ｉ＝α（ａ＋２）×β（ｂ＋２）×［δ／αβ］_ｉ−２α（ａ＋２）×［δ／α］_ｉ−２β（ｂ＋２）×［δ／β］_ｉ＋γ（ｃ＋２）×［δ／γ］_ｉ＋４［δ］_ｉ

その他の値は、例えば、−１、−２に相当するＺ／ｐＺ上の値でもよい。入力者装置１２は、δ（ａｂ＋ｃ−１）を保存しているδで割って、１（または２等）を加えることによって積和演算結果であるａｂ＋ｃを得るようにしてもよい。

また、秘匿積和演算１においてｃ＝０とすれば秘匿乗算となり、ａ＝１とすれば秘匿加算となる。また、図６のステップ７２の＋γ(ｃ＋１)を−γ(ｃ＋１)とすれば秘匿減算となる。秘匿積和演算１では公開されたα（ａ＋１），β（ｂ＋１），γ(ｃ＋１)以外のステップ７２における秘匿積和演算に必要な情報は分散され、入力者装置１２以外知らないため、攻撃者は公開された情報以外知ることができず情報理論的に安全である。

［秘密分散１］

また、秘匿除算は以下のように行う。図７には、秘匿除算のための、入力者装置１２のＣＰＵ２２における分散部４２が実行する秘密分散１のフローチャートが示されている。

ステップ８２で、分散部４２は、乱数α′を生成し、ステップ８４で、分散部４２は、α′／αを計算する。

ステップ８６で、分散部４２は、α′／αの秘密分散の分散値とα′の秘密分散値とを計算する。

ステップ８８で、分散部４２は、α′／αの秘密分散の分散値とα′の秘密分散値とを、対応するマシン１４Ｎｉに送信する。

［秘匿除算１］
図８には、マシン１４Ｎ０〜１４Ｎｎ−１の各々のＣＰＵ２２における秘匿除算部４６が実行する秘匿除算１のフローチャートが示されている。

ステップ９２で、秘匿除算部４６は、以下を計算する。
［α’ａ］_ｉ＝α（ａ＋１）×［α′／α］_ｉ−［α′］_ｉ

ステップ９４で、秘匿除算部４６は、他のマシンと協力して［α′ａ］ｉを復元する。

ステップ９６で、秘匿除算部４６は、α′ａ＝０であるか否かを判断する。α′ａ＝０であれば、秘匿除算１は終了する。

α′ａ＝０でなければ、ステップ９８で、秘匿除算部４６は、１／α′ａを計算する、

ステップ１００で、秘匿除算部４６は、１／α′ａをα（ａ＋１）として秘匿積和演算１のために秘匿積和演算部４４に送る。これにより、秘匿積和演算部４４により、乗算を除算に変えた結果が得られる。ただし、秘匿積和演算１のステップ７２における−β（ｂ＋１）×［δ／β］_ｉの計算は１／α′ａに１が足されていないため省略される。

上記秘匿除算においてα′ａ＝０である場合、ａ＝０であることが漏洩するが、除数が０の場合演算できず、それを検知して演算を中止する必要があるので、除算において除数が０であることがわかるのは問題ない。よって、入力者があらかじめ［α′ａ］_ｉを生成しておき、必要な時に入力してもよい。

演算を連続する場合、復元したδ（ａｂ＋ｃ＋１）を、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）の１つとし、同様の演算によって計算された他の秘匿演算結果をα（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）の残りとすればよい。また、新たにδを生成し、α、β、γとなった乱数に対してδ／αβ、δ／α、δ／β、δ／γ、δを計算すればよい。

また、以上によって入力を秘匿することができるが、四則演算は積和演算の組み合わせで表せることから、解きたい問題をダミーの積和演算（ａ＝ｂ＝ｃ＝０とすれば加算用のダミー積和演算処理となり、ａ＝ｂ＝０、ｃ＝１とすれば乗算用のダミー積和演算処理となる）を含めて定型の秘匿積和演算の繰り返しで表すことにより、解こうとする問題も秘匿することができる。

また、入力者装置１２のＣＰＵ２２における分散部４２は、演算を繰り返す場合、分散１（図５参照）において、新たにδを生成し新たにα、β、γとなった乱数に対してδ／αβ、δ／α、δ／β、δ／γ、δを計算するが、演算手順が予め分かっている場合、予め計算しておくこともできる。

ただし、この場合、分散部４２が演算手順に応じて予め計算しておく必要があり、分散部４２の負担が大きい可能性がある。よって、分散部４２の負担を減らしたい場合、以下によって分散部４２は乱数を生成して分散するだけでよく、以降の処理はマシン１４Ｎ０〜１４Ｎｎ−１だけで実行できる。以下では、ｎ＝ｋとしてｎ台のマシンの中から演算を行うマシン１４Ｎｉは定まっているとし、αを構成する乱数を直接マシンに送付する場合を説明する。分散１’と秘匿積和演算１’が連続して行われず、演算を行うマシン１４Ｎｉが定まっていない場合は、α_ｉ、β_ｉ、γ_ｉ（ｉ＝０、・・・、ｋ−１）などをｎ台のマシンに秘密分散し、秘匿演算時に演算に参加するマシンがその中から対応する乱数のｋ個の分散値を集めて復元してもよい。

［分散１′］
次に、上記の場合において入力者装置１２のＣＰＵ２２における分散部４２が実行する分散１′を、図９を参照して説明する。

ステップ１０２で、分散部４２は、ｋ個の乱数の組α_０、α_１、・・・、α_ｋ−１及びβ_０、β_１、・・・、β_ｋ−１、γ_０、γ_１、・・・、γ_ｋ−１を生成する。

ステップ１０４で、分散部４２は、以下を計算する。

まず、分散部４２は、α＝α_０×α_１×・・・×α_ｋ−１を計算し、α（ａ＋１）＝α×（ａ＋１）を計算する。

分散部４２は、β＝β_０×β_１×・・・×β_ｋ−１を計算し、β（ｂ＋１）＝β×（ｂ＋１）を計算する。

分散部４２は、γ＝γ_０×γ_１×・・・×γ_ｋ−１を計算し、γ（ｃ＋１）＝γ×（ｃ＋１）を計算する。

ステップ１０６で、分散部４２は、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）を、全マシン１４Ｎ０〜１４Ｎｎ−１に送信する。

ステップ１１０で、分散部４２は、αｉ、βｉ、γｉ（ｉ＝０、・・・、ｋ−１）を、対応するマシン１４Ｎｉに送信する。

ステップ１１２で、分散部４２は、ｋ個の乱数の組ε_０、ε_１、・・・、ε_ｋ−１及びφ_０、φ_１、・・・、φ_ｋ−１、λ_０、λ_１、・・・、λ_ｋ−１、η_０、η_１、・・・、η_ｋ−１、μ_０、μ_１、・・・、μ_ｋ−１を生成する。

ステップ１１４で、分散部４２は、以下を計算する。

ε＝ε_０×ε_１×・・・×ε_ｋ−１
φ＝φ_０×φ_１×・・・×φ_ｋ−１
λ＝λ_０×λ_１×・・・×λ_ｋ−１
η＝η_０×η_１×・・・×η_ｋ−１
μ＝μ_０×μ_１×・・・×μ_ｋ−１
ステップ１１６で、分散部４２は、ε、φ、λ、η、μの分散値［ε］_ｉ、［φ］_ｉ、［λ］_ｉ、［η］_ｉ、［μ］_ｉを計算する。

ステップ１１８で、分散部４２は、分散値［ε］_ｉ、［φ］_ｉ、［λ］_ｉ、［η］_ｉ、［μ］_ｉとε_ｉ、φ_ｉ、λ_ｉ、η_ｉ、μ_ｉを、対応するマシンに送信する。

［秘匿積和演算１’］
次に、マシン１４Ｎ０〜１４Ｎｎ−１の各々のＣＰＵ２２における秘匿積和演算部４４が実行する秘匿積和演算１’を、図１０を参照して、説明する。

ステップ１２２で、秘匿積和演算部４４は、乱数δ_ｉを生成する。

ステップ１２４で、秘匿積和演算部４４は、δ_ｉ／α_ｉβ_ｉε_ｉ、δ_ｉ／α_ｉφ_ｉ、δ_ｉ／β_ｉλ_ｉ、δ_ｉ／γ_ｉη_ｉ、δ_ｉμ_ｉを計算する。

ステップ１２６で、秘匿積和演算部４４は、δ_ｉ／α_ｉβ_ｉε_ｉ、δ_ｉ／α_ｉφ_ｉ、δ_ｉ／β_ｉλ_ｉ、δ_ｉ／γ_ｉη_ｉ、δ_ｉμ_ｉを、予め定められたマシン１４Ｎ０に送信する（ｎ＝ｋ＝２のとき、２台のマシン間で互いに交換してもよい）。

図１１に示すように、予め定められたマシン１４Ｎ０のＣＰＵ２２における秘匿積和演算部４４は、ステップ１４２で、以下のδ／αβε、δ／αφ、δ／βλ、δ／γη、μを計算し、ステップ１４６で、ステップ１４２で当該計算された各値を、全マシンに送信する（ステップ１２６で互いに値を交換した場合、図１１の処理は不要で、全マシンがδ／αβε、δ／αφ、δ／βλ、δ／γη、μを計算する。すなわち、ステップ１２８は「δ／αβε、δ／αφ、δ／βλ、δ／γη、μを計算」に変更される）。

なお、「φ」と

とは同じである。

ステップ１２８で、秘匿積和演算部４４は、予め定められたマシン１４Ｎ０から送信されたδ／αβε、δ／αφ、δ／βλ、δ／γη、μを受信する。

ステップ１３０で、秘匿積和演算部４４は、以下を計算する。
［αβε（ａ＋１）（ｂ＋１）］_ｉ＝α（ａ＋１）×β（ｂ＋１）×［ε］_ｉ
［αφ（ａ＋１）］_ｉ＝α（ａ＋１）×［φ］_ｉ、［βλ（ｂ＋１）］_ｉ＝β（ｂ＋１）×［λ］_ｉ、［γη（ｃ＋１）］_ｉ＝γ（ｃ＋１）×［η］_ｉ

ステップ１３２で、秘匿積和演算部４４は、以下を計算する。
［δ（ａｂ＋ｃ＋１）］_ｉ＝δ／αβε×［αβε（ａ＋１）（ｂ＋１）］_ｉ−δ／αφ×［αφ（ａ＋１）］_ｉ−δ／βλ×［βλ（ｂ＋１）］_ｉ＋δ／γη×［γη（ｃ＋１）］_ｉ＋δ／μ×［μ］_ｉ

分散１’におけるステップ１１２〜１１８で生成され各マシンに送付される（[ε]_i、ε_i）、（[φ]_i、φ_i）、（[λ]_i、λ_i）、（[η]_i、η_i）、（[μ]_i、μ_i）は後述するように変換用乱数と呼ぶが、入力者装置が必ず生成する必要はなく、第３の実施の形態に示されるようにマシン間または他のマシンによって生成されてもよい。また、（[ε]_i、ε_i）、（[φ]_i、φ_i）、（[λ]_i、λ_i）、（[η]_i、η_i）、（[μ]_i、μ_i）は予め準備されているとしてもよい。秘匿積和演算１’では次のα，β，γに相当するδは演算中に分散され、新たなδも演算中にマシン１４Ｎ０〜１４Ｎｎ−１が生成するため、演算途中で分散部４２の処理がなくても演算継続できる。

近年、ＮＮマシンを公開して自由に利用できるようにする動きが広がっている。このようなパブリックのＮＮマシンが２台あったとき、第１の実施の形態によって全ＮＮマシンの情報が漏洩しない限り安全であり、準備するＮＮマシンも２台で済むという従来法では実現できない利点を実現できる。また、ＴＵＳ方式では安全にできなかった積和演算の定型の組み合わせによって解いている問題も秘匿しながら、効率的に秘匿演算結果を得ることができる。また、入力者装置が復元者装置であり、すべての情報を知るため多くの処理を効率化できる。これによって、個人または同一組織が自分の秘密情報及び解こうとする問題をＮＮマシンまたは攻撃者に漏らすことなく、公開されたＮＮマシンを利用して望む秘匿演算を実行できるようになる。

＜第２の実施の形態＞
第２の実施の形態の秘密情報分散秘匿演算システムは、第１の実施の形態と同様の構成であるので、同様の構成部分には同一の符号を付して、その説明を省略する。ただし、入力者装置１２は、演算支援装置でもある。

また、第２の実施の形態では、マシン１４Ｎ０〜１４Ｎｎ−１の内の予め定められた１台のマシン１４ＮＮが秘匿演算を行う。

秘密分散法においては、秘密情報の分散数と演算を行うマシン数は同じである。本実施の形態においては、演算を行うマシン数と秘密分散における分散数が異なるため、演算を行うマシン数をＮ（本実施の形態では１）台とし、秘密分散に関する分散数と閾値はｎ及びｋで表現する（ｎ，ｋは任意の数を選択できるが、以下では説明を簡単にするため最小値のｎ＝ｋ＝２とする）。

秘密分散を用いた秘匿演算を１台のマシン１４ＮＮでいかに安全に実行させるか、または演算を行うマシン数と秘密情報の分散数が異なる場合どのように秘匿演算を行うかは大きな課題であり、今までそれを実現した例はない。

第２の実施の形態では、１台のＮＮマシンで秘密分散を安全に実行するために、詳細には後述するが、２つの乱数δ_０、δ_１を導入し、分散値毎に異なる乱数をかけて演算を行うことが特徴である。

次に、第２の実施の形態における入力者装置１２のＣＰＵ２２がプログラムを実行することで実現される機能について説明する。プログラムは、分散機能及び演算支援機能を備えている。ＣＰＵ２２がこれらの機能を有するプログラムを実行することで、ＣＰＵ２２は、図１２に示すように、分散部４２及び演算支援部１５０として機能する。

［分散２］
まず、図１３を参照して、入力者装置１２のＣＰＵ２２における分散部４２が実行する分散２を説明する。

ステップ１５２で、分散部４２は、乱数α、β、γを生成する。

ステップ１５４で、分散部４２は、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）を、以下のように計算する。
α（ａ＋１）＝α×（ａ＋１）
β（ｂ＋１）＝β×（ｂ＋１）
γ（ｃ＋１）＝γ×（ｃ＋１）

ステップ１５６で、分散部４２は、α（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）を１台のマシン１４ＮＮに送信する。

ステップ１５８で、分散部４２は、乱数δ_０、δ_１を生成する。

ステップ１６０で、分散部４２は、δ_０／αβ、δ_０／α、δ_０／β、δ_０／γの秘密分散の分散値を計算し、［δ_０／αβ］_０、［δ_０／α］_０、［δ_０／β］_０、［δ_０／γ］_０とδ_０／αβ］_１、［δ_０／α］_１、［δ_０／β］_１、［δ_０／γ］_１を得る。

ステップ１６２で、分散部４２は、以下を計算する（δ＝δ_０δ_１）。
［δ／αβ］_１＝δ_１×［δ_０／αβ］_１
［δ／α］_１＝δ_１×［δ_０／α］_１
［δ／β］_１＝δ_１×［δ_０／β］_１
［δ／γ］_１＝δ_１×［δ_０／γ］_１
ステップ１６４で、分散部４２は、［δ_０／αβ］_０、［δ_０／α］_０、［δ_０／β］_０、［δ_０／γ］_０と［δ／αβ］_１、［δ／α］_１、［δ／β］_１、［δ／γ］_１をマシン１４ＮＮに送信する。

［積和演算２］

次に、マシン１４ＮＮのＣＰＵ２２における秘匿積和演算部４４が実行する積和演算２を、図１４を参照して説明する。

ステップ１７２で、秘匿積和演算部４４は、以下を計算する。
［δ_０（ａｂ＋ｃ）］_０＝α（ａ＋１）×β（ｂ＋１）×［δ_０／αβ］_０−α（ａ＋１）×［δ_０／α］_０−β（ｂ＋１）×［δ_０／β］_０＋γ（ｃ＋１）×［δ_０／γ］_０
［δ（ａｂ＋ｃ）］_１＝α（ａ＋１）×β（ｂ＋１）×［δ／αβ］_１−α（ａ＋１）×［δ／α］_１−β（ｂ＋１）×［δ／β］_１＋γ（ｃ＋１）×［δ／γ］_１

［演算支援２］

次に、演算を継続または終了する場合、入力者装置１２のＣＰＵ２２における演算支援部１５０が実行する演算支援２を、図１５を参照して説明する。

ステップ１８２で、演算支援部１５０は、［δ_０（ａｂ＋ｃ）］_０と［δ（ａｂ＋ｃ）］_１を収集する。

ステップ１８４で、演算支援部１５０は、［δ（ａｂ＋ｃ）］_０＝δ_１［δ_０（ａｂ＋ｃ）］_０を計算する。

ステップ１８６で、演算支援部１５０は、δ（ａｂ＋ｃ）を復元する。

ステップ１８７で、演算支援部１５０は、演算を継続するか否かを判断する。これは実行している演算処理がそこで終わるか、継続する処理があるかによって判断される、すなわち入力者が設定したプログラムによる。演算を継続する場合には、ステップ１８８で、演算支援部１５０は、δ（ａｂ＋ｃ＋１）＝δ（ａｂ＋ｃ）＋δを計算する。

その後、ステップ１９０で、演算支援部１５０は、δ（ａｂ＋ｃ＋１）をマシン１４ＮＮに送信する。

演算を継続せず演算結果を得る場合は、ステップ１９２で、演算支援部１５０は、δ（ａｂ＋ｃ）をδで割って、ａｂ＋ｃを計算する。

ただし、加減算を継続する演算を行う場合、演算支援２を行わずに他の［δ_０（ａｂ＋ｃ）］_０，［δ（ａｂ＋ｃ）］_１と係数を合わせて加減算を継続してもよい。また、乗除残においてもα（ａ＋１）×β（ｂ＋１）のように直接繰り返すことができる。すなわち、加減算または乗除算の繰返しにおいては演算支援処理を行わなくてもよく、積和演算のような加減算と乗除算を組み合わせる場合に１度行えば良い。積和演算２において計算される［δ_０（ａｂ＋ｃ）］_０，［δ（ａｂ＋ｃ）］_１は独立に定められた異なる乱数δ_０，δがかかっているため、ｋ＝２であっても正しく復元できず、情報理論的安全性が達成できる。

［演算支援２′］

次に、入力者装置１２のＣＰＵ２２における演算支援部１５０が実行する演算支援２′を、図１６を参照して説明する。

ステップ２０２で、演算支援部１５０は、［δ_０（ａｂ＋ｃ）］_０と［δ（ａｂ＋ｃ）］_１を収集する。

ステップ２０３で、演算支援部１５０は、以下を計算する。
［δ_０（ａｂ＋ｃ＋１）］_０＝［δ_０（ａｂ＋ｃ＋１）］_０＋［０］_０＋δ_０
［δ（ａｂ＋ｃ＋１）］_１＝［δ（ａｂ＋ｃ＋１）］_１＋［０］_１＋δ
ここで、［０］_０、［０］_１は定数項０の分散値であり、事前に準備できる。

ステップ２０４で、演算支援部１５０は、演算を継続するか否かを判断する。

演算を継続する場合には、ステップ２０５で計算結果をマシン１４ＮＮに送信する。

演算を継続しない場合（ステップ２０４：Ｎ）、ステップ２０６で、演算支援部１５０は、［δ_０（ａｂ＋ｃ＋１）］_０にδ_１を掛けて［δ（ａｂ＋ｃ＋１）］₀を生成する。その後、ステップ２０７で、［δ（ａｂ＋ｃ＋１）］_０と［δ（ａｂ＋ｃ＋１）］_１からδ（ａｂ＋ｃ＋１）を復元してδで割って１を引きａｂ＋ｃを得る。

このようにすれば、演算支援２′により最終の演算結果を得る場合以外、入力者装置１２の復元の手間はなくなる。

演算を継続する場合、マシン１４ＮＮはδ（ａｂ＋ｃ＋１）を復元し、それをα（ａ＋１）、β（ｂ＋１）、γ（ｃ＋１）の１つとすれば、演算が連続できることは明らかである。

また、秘匿積和演算においてｃ＝０とすれば秘匿乗算となり、ａ＝１とすれば秘匿加算となる。また、図１４のステップ１７２で、ａｂ＋ｃの＋を−とし、ａｂ−ｃとする、すなわち＋γ（ｃ＋１）を−γ（ｃ＋１）とすれば秘匿減算となる。

［秘匿除算２］

次に、入力者装置１２のＣＰＵ２２における演算支援部１５０（分散部４２でもよい）が実行する秘匿除算２を、図１７を参照して説明する。なお、秘匿除算のための、入力者装置１２のＣＰＵ２２における分散部４２は、図７のステップ８２〜８６を実行する。

ステップ２２０で、演算支援部１５０は、乱数α″を生成する。

ステップ２２２で、演算支援部１５０は、以下を計算する。
［α″／α］_１＝（α″／α′）［α′／α］_１
［α″］_１＝（α″／α′）［α′］_１

ステップ２２６で、秘匿除算部４６は、［α′／α］_０、［α′］_０、［α″／α］_１、［α″］_１をマシン１４ＮＮに送信する。

マシン１４ＮＮは、以下を計算して、入力者装置１２に送る。

［α′ａ］_０＝α（ａ＋１）×［α′／α］_０−［α′］_０
［α″ａ］_１＝α（ａ＋１）×［α″／α］_１−［α″］_１

そこで、ステップ２２８で、演算支援部１５０は、［α′ａ］_０、［α″ａ］_１を受信する。

ステップ２３０で、演算支援部１５０は、［α″ａ］_０＝（α″／α′）［α′ａ］_０と［α″ａ］_１からα″ａを復元する。

ステップ２３２で、演算支援部１５０は、α″ａ＝０であるか否かを判断する。α″ａ＝０であれば、秘匿除算２を終了する。

α″ａ＝０でなければ、ステップ２３４で、演算支援部１５０は、１／α″ａを計算する。

ステップ２３６で、演算支援部１５０は、１／α″ａをα（ａ＋１）として秘匿積和演算２のために秘匿積和演算部４４に送る。これにより、秘匿積和演算部４４により、乗算を除算に変えた結果が得られる。ただし、１／α″ａには１が加えられていないため、秘匿積和演算２のステップ１７２においてβ（ｂ＋１）を減算する計算は省略される。

秘匿除算２において、図１７のステップ２２２〜２２８は事前に実行でき、ステップ２３０〜２３６が秘匿除算における演算支援となる。また、ステップ２２８〜２３６の処理を演算支援部が行わず、そのままマシン１４ＮＮが行ってもよい。

また、分散２の図１３のステップ１５６の後に、α、β、γを秘密分散する処理を加え、ステップ１６４の後に、α、β、γを復元する処理を加えれば、分散２のステップ１５２〜１５６と、ステップ１５８〜１６４との間の実行開始時間が大きく異なっても、入力者装置１２のＣＰＵ２２における分散部４２は、秘密情報の秘匿に用いたα、β、γを記憶しておくことなく実行でき、ステップ１５８〜１６４を事前に計算しておかなくても、演算支援として演算中に処理できる。

第２の実施の形態によってマシン１４ＮＮが１台しかなくても、入力者装置１２の秘密情報及び解こうとする問題が漏洩しないようにすることができる。従来、１台のＮＮマシンしかないとき、秘密分散法は適用できず膨大な計算量を必要とする準同型暗号を用いるしかなかったが、第２の実施の形態によってこの問題を解決できる。

＜第３の実施の形態＞
次に、第３の実施の形態を説明する。第３の実施の形態の構成は、第１の実施の形態の構成と同様の部分を有するので、同様の部分には、同様の符号を付してその詳細な説明を省略する。

図１８に示すように、第３の実施の形態の秘密情報分散秘匿演算システムは、ネットワーク１０を介して相互に接続された、複数、例えば、３台の入力者装置１２Ａ〜１２Ｃ、複数（Ｎ個）のマシン１４Ｎ０〜１４Ｎｎ−１、及び復元者装置１８を備えている。第３の実施の形態では、秘密情報ａ、ｂ、ｃをそれぞれ有する３台の入力者装置１２Ａ〜１２Ｃを備え、下記復元者装置１８を備えている点で、第１の実施の形態と異なる。

次に、第３の実施の形態における復元者装置１８のＣＰＵ２２がプログラムを実行することで実現される機能について説明する。プログラムは、分散値を集めて秘密情報の復元を行う復元機能を備えている。ＣＰＵ２２がこれらの機能を有するプログラムを実行することで、復元者装置１８のＣＰＵ２２は、図１９に示すように、復元部２４２として機能する。

次に、第３の実施の形態におけるマシン１４Ｎ０〜１４Ｎｎ−１の各々のＣＰＵ２２がプログラムを実行することで実現される機能について説明する。プログラムは、変換用乱数生成機能、秘匿積和演算機能及び秘匿除算機能を備えている。ＣＰＵ２２がこの機能を有するプログラムを実行することで、ＣＰＵ２２は、図２０に示すように、変換用乱数生成部２４４、秘匿積和演算部４４及び秘匿除算部４６として機能する。

マシン１４Ｎ０〜１４Ｎｎ−１は更に、変換用乱数生成部として機能する。

第３の実施の形態では、複数（例えば、３台）の入力者装置１２Ａ〜１２Ｃと、結果を知る復元者装置１８とが異なり、複数（最小はｎ＝ｋ＝２）のマシン１４Ｎ０〜１４Ｎｎ−１で秘匿計算する場合を考える。

ＴＵＳ方式では秘匿加算と秘匿乗算は単独では安全であるが、積和演算のように乗算と加算を組み合わせると、入力者の秘密情報が漏洩するなど安全性に問題があることが知られている。そこで、そのような場合においても安全に秘匿計算が実現できるように変換用乱数の生成が課題となる。なお、第１、２の実施の形態では同一の入出力者装置を仮定するため、ＴＵＳ方式で積和演算を行っても利害が対立する複数の入出力者が存在しないので、上記問題が発生しなかった。

ここでは、秘密情報ａ，ｂ，ｃをもつ入力者装置（以下、第３の実施の形態では、「入力者」ともいう）が異なり、復元者装置（以下、第３の実施の形態では、「復元者」ともいう）も異なり、利害が対立する場合を考える。また、マシンは複数（最小はＮ＝ｎ＝ｋ＝２）あるとする。また、他の入力者や復元者から自らの秘密情報を守るために以下の変換用乱数を生成する。この変換用乱数は複数の信頼できない入力者によって秘密に生成する方法は知られていなかった。例えば、第１の実施の形態の分散１’の図９のステップ１１２〜１１８のように一台の入力者が生成する方法は知られているが、この入力者は変換用乱数の値を知る。よって、入力者装置が攻撃者であれば、それを用いた秘匿計算は安全ではなく、第１の実施の形態のように入力者装置は信頼できなければならない。それに対して信頼できる入力者がいない場合でも、変換用乱数が特定されない生成方法を以下に示す。

下記文献３、文献４において、２ｋ次の多項式を用いて生成された分散値をｋ次の多項式に対する分散値に変換する方法が示されている。例えば文献３の手法では、ある規則によって生成された定数を要素とする下記行列Ａを用いて、２ｋ次の多項式に対する分散値ベクトルＷ＝（Ｗ０，Ｗ１，・・・，Ｗ２ｋ−１）に対してＲ＝Ｗ・Ａを計算し、ｋ次の多項式に対する分散値ベクトルＲ＝（Ｒ０，Ｒ１，・・・，Ｒ２ｋ−１）に変換することができる（文献４の手法もほぼ同様の処理で実現できる）。ただし、文献３、４の手法はマシン台数ＮがＮ≧２ｋ−１の場合に有効であるが、本実施例ではＮ＜２ｋ−１、すなわち実際のマシン台数ＮがＮ≧２ｋ−１を満たさない場合を扱う。

文献３：M. Ben-Or, S. Goldwasser, and A. Wigderson, “Completeness theorems for non-cryptographic fault-tolerant distributed computation,” STOC ’88, 1988, pp. 1−10, ACM Press.

文献４：Rosario Gennaro, Michael O. Rabin, and Tal Rabin, “Simplified VSS and fast-track multiparty computations with applications to threshold cryptography,” In Brian A. Coen and Yehuda Afek, editors, PODC, 1998, pp. 101−111, ACM.

以下に、ｕ人の入力者による変換用乱数生成部がＮ＝ｔ＝ｋ台のマシンの変換用乱数生成部２４４を用いて変換用乱数を生成する場合を、図２１を参照して説明する。以下において、入力者は入力者装置を意味し、Ｓ_ｉはマシン１４Ｎｉとすることができる。ただし、この入力者及びＳ_ｉなどは後述の秘匿積和演算を行う各装置と同じである必要はなく、他の秘匿演算システムによって生成されてもよいし、そのシステム自体を変換用乱数生成システムとして専用化してもよい。

［変換用乱数生成３］

（処理３（１））
入力者ｉ（ｉ＝０，・・・，ｕ−１）は乱数λ_ｉ，０，・・・，λ_{ｉ，ｔ−１}，α_ｉ，０，・・・，α_{ｉ，ｔ−１}，β_ｉ，０，・・・，β_{ｉ，ｔ−１}，・・・，γ_ｉ，０，・・・，γ_{ｉ，ｔ−１}を生成し、以下を計算する。
λ_ｉ＝λ_，０×・・・×λ_{ｉ，ｔ−１}，α_ｉ＝α_ｉ，０×・・・×α_{ｉ，ｔ−１}，β_ｉ＝β_ｉ，０×・・・×β_{ｉ，ｔ−１}，・・・，γ_ｉ＝γ_ｉ，０×・・・×γ_{ｉ，ｔ−１}

（処理３（２））
入力者ｉはｋ＝ｔ、ｎ＝ｕｔ（厳密にはｎ＝ｕ（ｋ−１）＋１以上）として、λ_ｉをＳｈａｍｉｒ法を用いて秘密分散し、［λ_ｉ］_０，・・・，［λ_ｉ］_ｕｔ−１を得る。

（処理３（３））

入力者ｉは生成した分散値をｔ毎に分割して以下のように乱数を乗じる。
［α_ｉλ_ｉ］_ｔ＝α_ｉ×［λ_ｉ］_ｔ，・・・，［α_ｉλ_ｉ］_２ｔ−１＝α_ｉ×［λ_ｉ］_２ｔ−１，
［β_ｉλ_ｉ］_２ｔ＝β_ｉ×［λ_ｉ］_２ｔ，・・・，［β_ｉλ_ｉ］_３ｔ−１＝β_ｉ×［λ_ｉ］_３ｔ−１，
：
［γ_ｉλ_ｉ］_{（ｕ−１）ｔ}＝γ_ｉ×［λ_ｉ］_{（ｕ−１）ｔ}，・・・，［γ_ｉλ_ｉ］_ｕｔ−１＝γ_ｉ×［λ_ｉ］_ｕｔ−１

（処理３（４））
入力者ｉは［λ_ｉ］_ｊ，［α_ｉλ_ｉ］_ｊ＋ｔ，［β_ｉλ_ｉ］_ｊ＋２ｔ，・・・，［γ_ｉλ_ｉ］_{ｊ＋（ｕ−１）ｔ}，λ_ｉ，ｊ，α_ｉ，ｊ，β_ｉ，ｊ，・・・，γ_ｉ，ｊをマシン１４ＮｊであるマシンＳ_ｊ（ｊ＝０，・・・，ｔ−１）に送る。

（処理３（５））
Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）は以下を計算する。ただし、下記乗算は分散値同士の乗算であるので、乗算結果はｋ＝ｕ（ｔ−１）＋１、ｎ＝ｕｔとしたＳｈａｍｉｒ法による分散値と等価である。
［λ_０λ_１・・・λ_３］_ｉ＝［λ_０］_ｉ×［λ_１］_ｉ×・・・×［λ_ｕ−１］_ｉ，

［α_０α_１・・・α_３λ_０λ_１・・・λ_３］_ｉ＋ｔ＝［α_０λ_０］_ｉ＋ｔ×［α_１λ_１］_ｉ＋ｔ×・・・×［α_ｕ−１λ_ｕ−１］_ｉ＋ｔ
［β_０β_１・・・β_３λ_０λ_１・・・λ_３］_ｉ＋２ｔ＝［β_０λ_０］_ｉ＋２ｔ×［β_１λ_１］_ｉ＋２ｔ×・・・×［β_ｕ−１λ_ｕ−１］_ｉ＋２ｔ
：
［γ_０γ_１・・・γ_３λ_０λ_１・・・λ_３］_{ｉ＋（ｕ−１）ｔ}＝［γ_０λ_０］_{ｉ＋（ｕ−１）ｔ}×［γ_１λ_１］_{ｉ＋（ｕ−１）ｔ}×・・・×［γ_ｕ−１λ_ｕ−１］_{ｉ＋（ｕ−１）ｔ}

（処理３（６））
Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）はα_０，ｉ×α_１，ｉ・・・×α_{ｕ−１，ｉ}，β_０，ｉ×β_１，ｉ・・・×β_{ｕ−１，ｉ}，・・・，γ_０，ｉ×γ_１，ｉ・・・×γ_{ｕ−１，ｉ}を計算し、Ｓ_０に送る。また、λ′_ｉ＝λ_０，ｉ×λ_１，ｉ×λ_２，ｉ×・・・×λ_{ｕ−１，ｉ}を計算する。

（処理３（７））

Ｓ_０は送られてきた全てのα_０，ｉ×α_１，ｉ・・・×α_{ｕ−１，ｉ}をかけあわせα_０α_１・・・α_ｕ−１を、β_０，ｉ×β_１，ｉ・・・×β_ｕ−１をかけあわせβ_０β_１・・・β_ｕ−１を、・・・、γ_０，ｉ×γ_１，ｉ・・・×γ_{ｕ−１，ｉ}をかけあわせγ_０γ_１・・・γ_ｕ−１を計算し、全マシンに送る。

（処理３（８））

Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）は以下を計算する。ただし、λ＝λ_０λ_１・・・λ_ｕ−１とする。
［λ］_ｉ＋ｔ＝［α_０α_１・・・α_３λ_０λ_１・・・λ_３］_ｉ＋ｔ／（α_０α_１・・・α_３）
［λ］_ｉ＋２ｔ＝［β_０β_１・・・β_３λ_０λ_１・・・λ_３］_ｉ＋２ｔ／（β_０β_１・・・β_３）
：
［λ］_{ｉ＋（ｕ−１）ｔ}＝［γ_０γ_１・・・γ_３λ_０λ_１・・・λ_３］_{ｉ＋（ｕ−１）ｔ}／（γ_０γ_１・・・γ_３）

（処理３（９））
Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）は０をｋ＝ｕ（ｔ−１）／２＋１，ｎ＝ｕｔ／２としてＳｈａｍｉｒ法を用いて秘密分散した［０_ｉ］_ｊを計算し、以下を計算してＲ_ｉ，ｊ，Ｒ_{ｉ，ｊ＋ｔ}，・・・，Ｒ_{ｉ，ｊ＋ｕ‘ｔ}をＳ_ｊに送る。ただし、ｈ＝０，・・・，２ｔ−１，ｕ’＝ｕ／４であり、ａ_ｉ，ｈは行列Ａの各要素である。
Ｒ_ｉ，ｈ＝ａ_ｉ，ｈ×［λ］_ｉ＋ａ_{ｉ＋ｔ，ｈ}×［λ］_ｉ＋ｔ＋ａ_{ｉ＋２ｔ，ｈ}×［λ］_ｉ＋２ｔ＋・・・＋ａ_ｉ＋_{（ｕ−１）ｔ，h}×［λ］_{ｉ＋（ｕ−１）ｔ}＋［０_ｉ］_ｈ，

（処理３（１０））

Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）は以下を計算して得られた［λ］_ｉ，・・・，［λ］_{ｉ＋ｕ”−１}を次数が半減された（ｕ”＋１，ｕｔ／２）における分散値とする。ただし、ｕ”＝ｕ（ｔ−１）／２
［λ］_ｉ＝Ｒ_０，ｉ＋・・・＋Ｒ_{ｔ−１，ｉ}，［λ］_ｉ＋ｕ′＝Ｒ_{０，ｉ＋ｕ′}＋・・・＋Ｒ_{ｔ−１，ｉ＋ｕ′}，，・・・，

（処理３（１１））

Ｓ_ｉ（ｉ＝０，・・・，ｔ−１）は必要な次数になるまで（９）（１０）の次数変換処理を繰り返し、変換用乱数｛λ｝_ｉ＝（［λ］_ｉ，λ′_ｉ）を生成する。

上記は記述が複雑であるので、ｕ＝４，Ｎ＝ｔ＝ｋ＝２の場合を以下に具体的に記す（図２２も参照）。

［変換用乱数生成３’］
（処理３′（１））
入力者０は乱数λ_０，０，λ_０，１，α_０，０，α_０，１，β_０，０，β_０，１，γ_０，０，γ_０，１を生成し、以下を計算する。
λ_０＝λ_０，０×λ_０，１，α_０＝α_０，０×α_０，１，β_０＝β_０，０×β_０，１，γ_０＝γ_０，０×γ_０，１

（処理３′（２））
入力者０はλ_０を（２，８）Ｓｈａｍｉｒ法で秘密分散し、［λ_０］_０，・・・，［λ_０］_７を得る。

（処理３′（３））
入力者０は以下を計算する。
［α_０λ_０］_２＝α_０×［λ_０］_２，［α_０λ_０］_３＝α_０×［λ_０］_３
［β_０λ_０］_４＝β_０×［λ_０］_４，［β_０λ_０］_５＝β_０×［λ_０］_５
［γ_０λ_０］_６＝γ_０×［λ_０］_６，［γ_０λ_０］_７＝γ_０×［λ_０］_７

（処理３′（４））
入力者０は［λ_０］_０，［α_０λ_０］_２，［β_０λ_０］_４，［γ_０λ_０］_６，λ_０，０，α_０，０，β_０，０，γ_０，０をマシンＳ_０に送る。

（処理３′（５））
入力者０は［λ_０］_１，［α_０λ_０］_３，［β_０λ_０］_５，［γ_０λ_０］_７，λ_０，１，α_０，１，β_０，１，γ_０，１をマシンＳ_１に送る。

（処理３′（６））
入力者１は乱数λ_１，０，λ_１，１，α_１，０，α_１，１，β_１，０，β_１，１，γ_１，０，γ_１，１を生成し、以下を計算する。
λ_１＝λ_１，０×λ_１，１，α_１＝α_１，０×α_１，１，β_１＝β_１，０×β_１，１，γ_１＝γ_１，０×γ_１，１

（処理３′（７））
入力者１はλ_１を（２，８）Ｓｈａｍｉｒ法で秘密分散し、［λ_１］_０，・・・，［λ_１］_７を得る。

（処理３′（８））
入力者１は以下を計算する。
［α_１λ_１］_２＝α_１×［λ_１］_２，［α_１λ_１］_３＝α_１×［λ_１］_３
［β_１λ_１］_４＝β_１×［λ_１］_４，［β_１λ_１］_５＝β_１×［λ_１］_５
［γ_１λ_１］_６＝γ_１×［λ_１］_６，［γ_１λ_１］_７＝γ_１×［λ_１］_７

（処理３′（９））
入力者１は［λ_１］_０，［α_１λ_１］_２，［β_１λ_１］_４，［γ_１λ_１］_６，λ_１，０，α_１，０，β_１，０，γ_１，０をマシンＳ_０に送る。

（処理３′（１０））
入力者１は［λ_１］_１，［α_１λ_１］_３，［β_１λ_１］_５，［γ_１λ_１］_７，λ_１，１，α_１，１，β_１，１，γ_１，１をマシンＳ_０に送る。

（処理３′（１２））
入力者２，３も同様の処理を行う。よって、Ｓ_０は以下を保持する。

［λ_０］_０，［λ_１］_０，［λ_２］_０，［λ_３］_０，［α_０λ_０］_２，［α_１λ_１］_２，［α_２λ_２］_２，［α_３λ_３］_２，［β_０λ_０］_４，［β_１λ_１］_４，［β_２λ_２］_４，［β_３λ_３］_４，［γ_０λ_０］_６，［γ_１λ_１］_６，［γ_２λ_２］_６，［γ_３λ_３］_６，
λ_０，０，λ_１，０λ_２，０λ_３，０，α_０，０，α_１，０，α_２，０，α_３，０，β_０，０，β_１，０，β_２，０，β_３，０，γ_０，０，γ_１，０，γ_２，０，γ_３，０

（処理３′（１３））
Ｓ_１は以下を保持する。

［λ_０］_１，［λ_１］_１，［λ_２］_１，［λ_３］_１，［α_０λ_０］_３，［α_１λ_１］_３，［α_２λ_２］_３，［α_３λ_３］_３，［β_０λ_０］_５，［β_１λ_１］_５，［β_２λ_２］_５，［β_３λ_３］_５，［γ_０λ_０］_７，［γ_１λ_１］_７，［γ_２λ_２］_７，［γ_３λ_３］_７，
λ_０，１，λ_１，１λ_２，１λ_３，１，α_０，１，α_１，１，α_２，１，α_３，１，β_０，１，β_１，１，β_２，１，β_３，１，γ_０，１，γ_１，１，γ_２，１，γ_３，１

（処理３′（１４））
Ｓ_０は以下を計算する。乗算結果は（５，８）Ｓｈａｍｉｒ法による分散値と等価である。
［λ_０λ_１λ_２λ_３］_０＝［λ_０］_０×［λ_１］_０×［λ_２］_０×［λ_３］_０，
［α_０α_１α_２α_３λ_０λ_１λ_２λ_３］_２＝［α_０λ_０］_２×［α_１λ_１］_２×［α_２λ_２］_２×［α_３λ_３］_２
［β_０β_１β_２β_３λ_０λ_１λ_２λ_３］_４＝［β_０λ_０］_４×［β_１λ_１］_４×［β_２λ_２］_４×［β_３λ_３］_４
［γ_０γ_１γ_２γ_３λ_０λ_１λ_２λ_３］_６＝［γ_０λ_０］_６×［γ_１λ_１］_６×［γ_２λ_２］_６×［γ_３λ_３］_６

（処理３′（１５））

Ｓ_１は以下を計算する。乗算結果は（５，８）Ｓｈａｍｉｒ法による分散値と等価である。
［λ_０λ_１λ_２λ_３］_１＝［λ_０］_１×［λ_１］_１×［λ_２］_１×［λ_３］_１，
［α_０α_１α_２α_３λ_０λ_１λ_２λ_３］_３＝［α_０λ_０］_３×［α_１λ_１］_３×［α_２λ_２］_３×［α_３λ_３］_３
［β_０β_１β_２β_３λ_０λ_１λ_２λ_３］_５＝［β_０λ_０］_５×［β_１λ_１］_５×［β_２λ_２］_５×［β_３λ_３］_５
［γ_０γ_１γ_２γ_３λ_０λ_１λ_２λ_３］_７＝［γ_０λ_０］_７×［γ_１λ_１］_７×［γ_２λ_２］_７×［γ_３λ_３］_７

（処理３′（１６））

Ｓ_０はα_０，０×α_１，０×α_２，０×α_３，０，β_０，０×β_１，０×β_２，０×β_３，０，γ_０，０×γ_１，０×γ_２，０×γ_３，０を計算する。また、λ′_０＝λ_０，０×λ_１，０×λ_２，０×λ_３，０を計算する。

（処理３′（１７））

Ｓ_１はα_０，１×α_１，１×α_２，１×α_３，１，β_０，１×β_１，１×β_２，１×β_３，１，γ_０，１×γ_１，１×γ_２，１×γ_３，１を計算してＳ_０に送る。また、λ′_１＝λ_０，１×λ_１，１×λ_２，１×λ_３，１を計算する。

（処理３′（１８））
Ｓ_０は以下を計算し、Ｓ_１に送る。

α_０α_１α_２α_３＝α_０，０α_１，０α_２，０α_３，０×α_０，１α_１，１α_２，１α_３，１，
β_０β_１β_２β_３＝β_０，０β_１，０β_２，０β_３，０×β_０，１β_１，１β_２，１β_３，１，
γ_０γ_１γ_２γ_３＝γ_０，０γ_１，０γ_２，０γ_３，０×γ_０，１γ_１，１γ_２，１γ_３，１
（処理３′（１９））
Ｓ_０は以下を計算する。ただし、λ＝λ_０λ_１λ_２λ_３とする。

（処理３′（２０））
Ｓ１は以下を計算する。

（処理３′（２１））

Ｓ_０は０を（３，４）Ｓｈａｍｉｒ法で秘密分散した［０_０］_ｊを計算し、以下を計算してＲ_０，１とＲ_０，３をＳ_１に送る。ただし、ａ_ｉ，ｊは４次式を２次式に変換する行列Ａにおける位置ｉ，ｊにおける要素である。
Ｒ_０，０＝ａ_０，０×［λ］_０＋ａ_２，０×［λ］_２＋ａ_４，０×［λ］_４＋ａ_６，０×［λ］_６＋［０_０］_０，
Ｒ_０，１＝ａ_０，１×［λ］_０＋ａ_２，１×［λ］_２＋ａ_４，１×［λ］_４＋ａ_６，１×［λ］_６＋［０_０］_１，
Ｒ_０，２＝ａ_０，２×［λ］_０＋ａ_２，２×［λ］_２＋ａ_４，２×［λ］_４＋ａ_６，２×［λ］_６＋［０_０］_２，
Ｒ_０，３＝ａ_０，３×［λ］_０＋ａ_２，３×［λ］_２＋ａ_４，３×［λ］_４＋ａ_６，３×［λ］_６＋［０_０］_３，

（処理３′（２２））

Ｓ_１は０を（３，４）Ｓｈａｍｉｒ法で秘密分散した［０_１］_ｊを計算し、以下を計算してＲ_１，０とＲ_１，２をＳ_０に送る。

Ｒ_１，０＝ａ_１，０×［λ］_１＋ａ_３，０×［λ］_３＋ａ_５，０×［λ］_５＋ａ_７，０×［λ］_７＋［０_１］_０，
Ｒ_１，１＝ａ_１，１×［λ］_１＋ａ_３，１×［λ］_３＋ａ_５，１×［λ］_５＋ａ_７，１×［λ］_７＋［０_１］_１，
Ｒ_１，２＝ａ_１，２×［λ］_１＋ａ_３，２×［λ］_３＋ａ_５，２×［λ］_５＋ａ_７，２×［λ］_７＋［０_１］_２，
Ｒ_１，３＝ａ_１，３×［λ］_１＋ａ_３，３×［λ］_３＋ａ_５，３×［λ］_５＋ａ_７，３×［λ］_７＋［０_１］_３，

（処理３′（２３））
Ｓ_０は［λ］_０＝Ｒ_０，０＋Ｒ_１，０，［λ］_２＝Ｒ_０，２＋Ｒ_１，２を（３，４）Ｓｈａｍｉｒ法における分散値とし、（２，２）Ｓｈａｍｉｒ法で秘密分散した［０_０］_ｊを計算して以下を計算する。Ｓ_０はＲ′_０，１をＳ_１に送る。ただし、ａ′_ｉ，ｊは２次式を１次式に変換する行列Ａ’における位置ｉ，ｊにおける要素である。
Ｒ′_０，０＝ａ′_０，０×［λ］_０＋ａ′_２，０×［λ］_２＋［０_０］_０，
Ｒ′_０，１＝ａ′_０，１×［λ］_０＋ａ′_２，１×［λ］_２＋［０_０］_１，

（処理３′（２４））

Ｓ_１は［λ］_１＝Ｒ_０，１＋Ｒ_１，１，［λ］_３＝Ｒ_０，３＋Ｒ_１，３を（３，４）Ｓｈａｍｉｒ法における分散値とし、（２，２）Ｓｈａｍｉｒ法で秘密分散した［０_０］_ｊを計算して以下を計算する。Ｓ_１はＲ′_１，０をＳ_０に送る。
Ｒ′_１，０＝ａ′_１，０×［λ］_１＋ａ′_３，０×［λ］_３＋［０_１］_０，
Ｒ′_１，１＝ａ′_１，１×［λ］_１＋ａ′_３，１×［λ］_３＋［０_１］_１，

（処理３′（２５））
Ｓ_０は［λ］_０＝Ｒ′_０，０＋Ｒ′_１，０を（２，２）Ｓｈａｍｉｒ法における分散値とし、｛λ｝_０＝（［λ］_０，λ′_０）を変換用乱数とする。

（処理３′（２６））
Ｓ_１は［λ］_１＝Ｒ′_０，１＋Ｒ′_１，１を（２，２）Ｓｈａｍｉｒ法における分散値とし、｛λ｝_１＝（［λ］_１，λ′_１）を変換用乱数とする。

変換用乱数生成３においてｕ＝２，ｋ＝２であれば、（７）においてα_０α_１が復元されるが、入力者が１台のマシンを観察できれば、それから自らが入力した例えばα_０でα_０α_１を割った結果がもう一人の入力者のα_１であることがわかる。よって、もう一人の入力者の秘密情報はα_１で秘匿されているが、それが解除され２つの分散値が判るため秘密情報λ１が復元され漏洩する。入力者が３人以上であればα_０α_１α_２が復元されるが、残りの乱数を分解できないため各入力者の秘密情報は漏洩しない。ただし、ｕ＝２としたい場合、一人の入力者が入力者０，１となり、もう一人の入力者が入力者２，３となって４つの秘密情報及び乱数を用いれば、例えば入力者０，１は入力者２，３のα_２α_３を分解できないので、個別の秘密情報は漏洩しない。よって、マシンＳ０，Ｓ１が各々入力者０，１及び入力者２，３となれば変換用乱数をマシン間で自動的に生成できる。逆に、ｕ＞４であっても、（１）〜（４）の処理を各入力者が行うことにより実現できることは明らかである。また例えば、ｕ＝３，ｔ＝４，ｋ＝３として入力者ｉ（ｉ＝０，１，２）は秘密情報λｉを（３，１２）Ｓｈａｍｉｒ法で秘密分散し、３つの分散値を乗算して（７，１２）Ｓｈａｍｉｒ法に対応する乗算結果を得るが、１回次数変換処理を行えば（４，６）Ｓｈａｍｉｒ法に対応する変換用乱数を得ることができる。この（４，６）Ｓｈａｍｉｒ法に対応する変換用乱数を各マシンが１つずつ持つことにより（４，４）Ｓｈａｍｉｒ法に対応する変換用乱数とできる。よって、演算を行うマシン数ｔとｋは同じとする必要はなく、最終的に設定されるｋも当初のｋと変えることができる。また、（９）〜（１０）の次数変換を行う回数もｕ，ｔ，ｋの設定及び最終的に必要な分散式の次数により異なる。変換用乱数生成３’においてｕ＝４とする理由は上記よりｕ＞２である必要があり、ｕ＝３，ｔ＝ｋ＝２であれば乗算結果はｕ（ｋ−１）より３次式となり、半減できないためである。

また、変換用乱数生成の安全性としては以下が言える。変換用乱数生成３’において、例えばＳ_０は一つの秘密情報λ_３について［λ_３］_０，［α_３λ_３］_２，［β_３λ_３］_４，［γ_３λ_３］_６と４個の分散値を持つが、これらは異なる乱数がかけられているため、ｋ＝２であっても解くことができない。また、処理３′（１９）、（２０）において乱数が外され、例えばＳ_０は［λ］_０，［λ］_２，［λ］_４，［λ］_６の４個の分散値を持つが、この分散値は分散値同士の乗算結果であるので、５個集めなければ解けない。また、（２３）において次数が半減され３個集めればよくなるが、Ｓ_０は［λ］_０，［λ］_２の２個しか持たない。最後に、もう１度次数削減され、２個集めればよくなるが、Ｓ_０は［λ］_０しか持たないので解けない。よって、この手法によって生成された変換用乱数の値は二人以上の入力者が結託しないならば、誰も知らない値となる。よって、この手法は情報理論的安全性をもつといえる。ただし上記において、行列ＡとＡ’の積をＡ”としてその各要素をかけて２回の次数変換を１回にしてもよい。

以下では上記変換用乱数生成処理によって、変換用乱数

が事前に準備されているとする。

［分散３］

次に、入力者装置１２ＡのＣＰＵ２２における分散部４２が実行する分散３を、図２３を参照して説明する。

ステップ４０２で、分散部４２は、ｋ個の乱数α_０、α_１、・・・、α_ｋ−１を生成する。

ステップ４０４で、分散部４２は、以下を計算する。

α（ａ＋１）＝α×（ａ＋１）（α＝α_０α_１・・・α_ｋ−１）

ステップ４０６で、分散部４２は、α＝α_０α_１・・・α_ｋ−１を構成する乱数αｉを対応するマシン１４Ｎｉに送信する。

入力者装置１２Ｂ、１２Ｃも、図２３と同様の処理を実行する。例えば、ステップ４０４では、入力者装置１２Ｂ、１２Ｃの分散部４２はそれぞれ、β_０、β_１、・・・、β_ｋ−１、γ_０、γ_１、・・・、γ_ｋ−１を生成し、以下を計算する。

β（ｂ＋１）＝β×ｂ（β＝β_０β_１・・・β_ｋ−１）

γ（ｃ＋１）＝γ×ｃ（γ＝γ_０γ_１・・・γ_ｋ−１）

α_ｉ、β_ｉ、γ_ｉ（ｉ＝０、・・・、ｋ−１）を秘密分散して、必要時にマシンＳ_ｉがα_ｉ、β_ｉ、γ_ｉを復元してもよい。

［秘匿積和演算３］

次に、マシン１４Ｎ０〜１４Ｎｎ−１のＣＰＵ２２における秘匿積和演算部４４が実行する秘匿積和演算３を、図２４を参照して説明する。

ステップ４１２で、秘匿積和演算部４４は、以下を計算する。
［φωαβ（ａ＋１）（ｂ＋１）］_ｉ＝α（ａ＋１）×β（ｂ＋１）×［φ］_ｉ
［εηα（ａ＋１）］_ｉ＝α（ａ＋１）×［ε］_ｉ
［λμβ（ｂ＋１）］_ｉ＝β（ｂ＋１）×［μ］_ｉ
［τργ（ｃ＋１）］_ｉ＝γ（ｃ＋１）×［ρ］_ｉ

ステップ４１４で、秘匿積和演算部４４は、乱数δｊ∈Ｚ／ｐＺを生成する。

ステップ４１６で、秘匿積和演算部４４は、以下を計算し、ステップ４１８で、秘匿積和演算部４４は、以下の計算値を、予め定めたマシン１４Ｎ０に送信する。

予め定めたマシン１４Ｎ０は、以下を計算し、他のマシンに送信するので、ステップ４２０で、秘匿積和演算部４４は、以下の計算値を受信する。

ステップ４２２で、秘匿積和演算部４４は、以下を計算する。

ステップ４２４で、秘匿積和演算部４４は、δ_ｊを保存する。

δ_ｊをＳ_ｊが秘密分散して、権限をもつ復元者が必要時に復元してもよい。

演算結果を得るには復元者装置１８の復元部２４２は［δ（ａｂ＋ｃ）］_ｉをｋ個集めて復元し、保存しているδ_ｉを集めて、復元したδで割れば積和演算結果であるａｂ＋ｃが得られる。

また、秘匿積和演算においてｃ＝０とすれば秘匿乗算となり、ａ＝１とすれば秘匿加算となる。また、ステップ４２２のγ（ｃ＋１）の前の＋を−とすれば秘匿減算となる。

（秘匿除算３）

また、秘匿除算は以下のように行う。ただし、分散３においてマシン１４Ｎｉは徐算用の分散値［α′ａ］_ｉとα′を構成するα′_ｉをもつとする。

予め定められたマシン１４Ｎ０は、ｋ台のサーバより［α′ａ］ｉを収集し、一時的にα′ａを復元する。このとき、α′ａ＝０となった場合、除数が０であるので演算を中止する。α′ａ＝０でない場合、マシン１４Ｎ０は、１／α′ａを計算し、他のマシンに送信する。その後、積和演算３において１／α′ａをα（ａ＋１）として扱うことによって、秘匿除算が実行される。ただし、１／α′ａは１が加えられていないので、ステップ４２２でμβ（ｂ＋１）を削減する処理は省略される。

演算の連続及び演算の秘匿も第１の実施の形態と同様に実現できることは明らかである。また、変換用乱数は誰も知らないので、攻撃者となる１入力の入力者と復元者が結託した場合でも秘密情報にかけられた乱数を知ることができず、ＴＵＳ方式の問題点で説明した解析ができなくなり、利害関係が対立する入出力者間であっても情報理論的に安全な秘匿積和演算が実現される。

第３の実施の形態によって多くの人または組織が協力してＮＮマシンの学習などを実現することができる。これによって、各入力者装置の入力情報は他の入力者装置及び復元者装置に漏えいせず、その学習結果などを公開できるようになる。また、第３の実施の形態は最小ｎ＝ｋ＝２台のＮＮマシンによって実現でき、少なくとも１つのＮＮマシンの情報が漏えいしなければ安全であり、一般のビッグデータへの応用が可能である。よって、第３の実施の形態によって、ＴＵＳ方式で実現できなかった積和演算を含むどのような場合にも適用できる安全な秘匿演算を実現する。

＜第４の実施の形態＞

第４の実施の形態の構成は、図２５に示すように、第３の実施の形態の構成（図１８）と同様の構成があるので、同一部分には同一の符号を付して、その説明を省略し、異なる部分を説明する。第４の実施の形態では、演算支援装置１６を備えている。第４の実施の形態における入力者装置１２Ａ０〜１２Ｃ０は、演算支援部を備えていない。演算支援装置１６が、演算支援部を備えている。第４の実施の形態では、マシン１４Ｎ０〜１４Ｎｎ−１の内の予め定められた１台のマシン１４ＮＮ（マシン数Ｎ＝１、ｎ＝ｋ＝２）が秘匿演算を行う。ただし、演算支援装置１６は後述するように復元処理も行えるので、復元者装置１８はなくてもよい。第２の実施の形態と同様に秘密分散に関するｎ及びｋは最小値である２（任意の数を選択できる）として説明する。

入力者装置１２Ａ〜１２Ｃの各々のＣＰＵ２２の機能部は、図３に示すように、分散部４２を備える。マシン１４ＮＮのＣＰＵ２２の機能部は、図４に示すように、秘匿積和演算部４４及び秘匿除算部４６を備える。演算支援装置１６のＣＰＵ２２の機能部は、図１２に示すように、分散部４２と演算支援部１５０を備える。

第４の実施の形態では、複数の秘密情報の入力者装置１２Ａ〜１２Ｃと、結果を知る復元者装置１８とが異なり、かつ１台の演算支援装置と１台のマシン１４ＮＮで秘匿演算を実行する。

第４の実施の形態では、利害が対立する入力者装置１２Ａ〜１２Ｃの間で１台のマシン１４ＮＮによって秘匿計算を実現するために、信頼できる演算支援装置が1台あるとする。また、各入力者装置１２Ａ〜１２Ｃはその演算支援装置と暗号などを用いた安全な通信路を確保しているとする。

演算支援装置はマシン１４Ｎ０〜１４Ｎｎ−１に比べて非常に小さな処理でよく、マシン１４ＮＮの処理は攻撃者が知ることができるが、演算支援装置の処理は漏えいしないとする。

詳細は後述するが、１台のＮＮマシンで秘匿計算を行う第２の実施の形態との大きな違いは入力者からの攻撃を想定する点である。第２の実施の形態における入力者は全ての情報を知るため攻撃する必要はなく、ＮＮマシン及びそれを観察できる者だけが攻撃者であった。それに対して、本実施の形態における入力者は部分的な情報しか知らず、他の入力者及び演算結果を知るための攻撃を行う可能性がある、よって、積和演算自体を入力者から秘匿するため、１のような定数ではなく、第１の乱数ａ１を秘密情報に加算して第２の乱数αを乗じたα（ａ＋ａ１）を公開する。これによって、入力者による攻撃を防ぐ。

［分散４］

各入力者装置１２Ａ〜１２Ｃから安全な通信路を介して得た秘密情報a,ｂ,ｃに対する演算支援装置のＣＰＵ２２における分散部４２が実行する分散４を、図２６を参照して説明する。

ステップ４３２で、分散部４２は、乱数α、β、γと乱数ａ１、ｂ１、ｃ１を生成する。

ステップ４３４で、分散部４２は、以下を計算する。
α（ａ＋ａ１）＝α×（ａ＋ａ１）
β（ｂ＋ｂ１）＝β×（ｂ＋ｂ１）
γ（ｃ＋ｃ１）＝γ×（ｃ＋ｃ１）

ステップ４３６で、分散部４２は、α（ａ＋ａ１）、β（ｂ＋ｂ１）、及びγ（ｃ＋ｃ１）を、１台のマシン１４ＮＮに送信する。

ステップ４３８で、分散部４２は、乱数δ_０、δ_１を生成する。

ステップ４４０で、分散部４２は、δ_０／αβ、δ_０ｂ１／α、δ_０ａ１／β、δ_０／γを計算する。

ステップ４４２で、分散部４２は、δ_０／αβ、δ_０ｂ１／α、δ_０ａ１／β、δ_０／γの秘密分散における以下の分散値［δ_０／αβ］_０、［δ_０ｂ１／α］_０、［δ_０ａ１／β］_０、［δ_０／γ］_０と［δ_０／αβ］_１、［δ_０ｂ１／α］_１、［δ_０ａ１／β］_１、［δ_０／γ］_１を計算する。

ステップ４４４で、分散部４２は、以下の計算（δ＝δ_０δ_１）をする。
［δ／αβ］_１＝δ_１［δ_０／αβ］_１
［δｂ１／α］_１＝δ_１［δ_０ｂ１／α］_１
［δａ１／β］_１＝δ_１［δ_０ａ１／β］_１
［δ／γ］_１＝δ_１［δ_０／γ］_１

ステップ４４６で、分散部４２は、［δ_０／αβ］_０、［δ_０ｂ１／α］_０、［δ_０ａ１／β］_０、［δ_０／γ］_０と［δ／αβ］_１、［δｂ１／α］_１、［δａ１／β］_１、［δ／γ］_１を１台のマシン１４ＮＮに送信する。

［積和演算４］
次に、マシン１４ＮＮのＣＰＵ２２における秘匿積和演算部４４が実行する積和演算４を、図２７を参照して説明する。

ステップ４５２で、秘匿積和演算部４４は、以下の計算をする。
［δ_０｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］_０＝α（ａ＋ａ１）×β（ｂ＋ｂ１）×［δ_０／αβ］_０−α（ａ＋ａ１）×［δ_０ｂ１／α］_０−β（ｂ＋ｂ１）×［δ_０ａ１／β］_０＋γ（ｃ＋ｃ１）×［δ_０／γ］_０
［δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］_１＝α（ａ＋１）×β（ｂ＋１）×［δ／αβ］_１−α（ａ＋１）×［δｂ１／α］_１−β（ｂ＋１）×［δａ１／β］_１＋γ（ｃ＋１）×［δ／γ］_１

［演算支援４］
次に、演算支援装置１６のＣＰＵ２２における演算支援部が実行する演算支援４を、図２８を参照して説明する。

ステップ４６２で、演算支援部は、［δ_０｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］_０と［δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］_１を収集する。

ステップ４６４で、演算支援部は、以下を計算する。
［δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）］_０＝δ_１［δ_０｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］_０

ステップ４６６で、演算支援部は、［δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］０と［δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝］１からδ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）を復元する。

ステップ４６８で、演算支援部は、δ（ａｂ＋ｃ＋ｄ１）を計算する。ここで、ｄ１＝（ｃ１−ａ１ｂ１）としてもよいが、δ｛（ａｂ＋ｃ）−（ａ１ｂ１−ｃ１）｝にδ（ａ１ｂ１−ｃ１）を足して、新たに生成した乱数δｄ１を足してもよい。

ステップ４７０で、演算支援部は、演算を継続するか否かを判断し、演算を継続しない場合には、ステップ４７２で、演算支援部は、上記においてδｄ１を足さずにδで割ることによりａｂ＋ｃを計算する。

演算を継続する場合、分散４の図２６のステップ４３８〜４４４の処理は演算手順が判っていれば事前に実行できる。よって、演算中に行われる必須の演算支援処理は演算支援処理４のみとなる。また、演算支援処理は積和演算毎に実行しなくても必要に応じて実行すればよい。例えば、Σδ０（ａｉ＋１）（ｂｉ＋１）などの処理では演算後に１度演算支援処理をするだけでよい。

［秘匿除算４］
次に、演算支援装置１６のＣＰＵ２２における演算支援部２５４が実行する秘匿除算４を説明する。本実施の形態における秘匿除算４は、前述した秘匿除算２（図１７）において、入力者装置１２のＣＰＵ２２における演算支援部１５０が実行した処理を、演算支援装置１６のＣＰＵ２２における演算支援部２５４が実行する点のみが異なるので、その説明を省略する。

第４の実施の形態によって１台のマシン１４ＮＮと１台の演算支援装置の組み合わせによって、入力者装置及び復元者装置などの利害関係が対立しても安全な秘匿計算が実現できるようになる。一般に、マシン１４ＮＮはその制御を担当するＩＣチップまたは専用の制御装置などとセットで動作する場合が多い。よって、そのＩＣチップまたは専用の制御装置に耐タンパ性を持たせ、第４の実施の形態による演算支援機能を追加すれば、大きなシステム変更を伴わず本実施の形態が実現できる。すなわち、マシン１４ＮＮは高速演算器として動作し、その動作を観察されてもＩＣチップまたは制御装置が安全であれば、入力情報や解こうとする問題が漏えいしないシステムが構成できる。ただし、演算支援装置１６は第２の実施の形態における１個の入力者装置と同様に全ての情報を知るので、演算支援装置１６が解析されると秘密情報及び秘匿演算結果が漏洩する。

＜第５の実施の形態＞
次に、第５の実施の形態を説明する。
第５の実施の形態の構成は、第４の実施の形態の構成（図２５参照）と同様であるので、その説明を省略する。

第５の実施の形態において、第４の実施の形態のように演算支援装置を絶対としなくても第３の実施の形態のような安全性が実現できる手法を考える。第４の実施の形態においては演算支援装置が解析できれば、全ての秘密情報が漏洩する。これは、演算支援装置が第２の実施の形態における入力者のように全ての情報を１元的に管理するためである。これに第３の実施の形態の要素を加え、秘密分散における処理量がＮＮマシンは大きく演算支援装置は小さいという特徴を生かしながら、１台のマシン１４ＮＮと演算支援装置の両方を解析しなければ秘密情報が漏洩しないようにすることが課題である。第５の実施の形態においてもＮ＝１，ｎ＝ｋ＝２として説明する。

第４の実施の形態では演算支援装置は全ての秘密情報を知るため、演算支援装置だけ攻撃できれば全秘密情報が漏えいする。そこで、第４の実施の形態のように利害が対立する入力者装置間でも１台のマシンで演算可能で、かつ第３の実施の形態のように１台のマシンと演算支援装置の２つが解析されない限り安全な実施の形態を示す。また、第３の実施の形態と同様に変換用乱数を生成するが、演算支援装置は信頼できるとするので、第１の実施の形態の（１−２）と同等に変換用乱数は演算支援装置が生成する。よって、分散５において変換用乱数｛μ′｝ｉ、｛ν′｝ｉ、｛ε′｝ｉ、｛ρ′｝ｉ、｛ω′｝ｉは準備されているとする。

[分散５]
分散５を、入力者装置１２Ａの分散５のプログラムのフローチャート（図２９Ａ）、入力者装置１２Ｂの分散５のプログラムのフローチャート（図２９Ｂ）、入力者装置１２Ｃの分散５のプログラムのフローチャート（図２９Ｃ）、演算支援装置１６の分散５のプログラムのフローチャート（図２９Ｄ）、マシン１４ＮＮの分散５のプログラムのフローチャート（図２９Ｅ）、及び分散５のシーケンス図（図２９Ｆ）を参照して説明する。

（分散５（１））
入力者装置１２Ａは乱数α′_０、α′_１を生成して以下を計算してα′（ａ＋１）をマシン１４ＮＮと演算支援装置１６に送信し、マシン１４ＮＮにα′_０を送信し、演算支援装置１６にα′_１を送信する（図２９Ａのステップ５０２Ａ〜５０８Ａ、図２９Ｄのステップ５１２、図２９Ｅのステップ５５２も参照）。
α′＝α′_０×α′_１、 α′（ａ＋１）＝α′×（ａ＋１）

入力者装置１２Ｂは乱数β′_０、β′_１を生成して以下を計算してβ′（ｂ＋１）をマシン１４ＮＮと演算支援装置１６に送信し、マシン１４ＮＮにβ′_０を送信し、演算支援装置１６にβ′_１を送信する（図２９Ｂのステップ５０２Ｂ〜５０８Ｂ、図２９Ｄのステップ５１４、図２９Ｅのステップ５５４も参照）。
β′＝β′_０×β′_１、 β′（ｂ＋１）＝β′×（ｂ＋１）

入力者装置１２Ｃは乱数γ′_０、γ′_１を生成して以下を計算してγ′（ｃ＋１）をマシン１４ＮＮと演算支援装置１６に送信し、マシン１４ＮＮにγ′_０を送信し、演算支援装置１６にγ′_１を送信する（図２９Ｃのステップ５０２Ｃ〜５０８Ｃ、図２９Ｄのステップ５１６、図２９Ｅのステップ５５６も参照）。
γ′＝γ′_０×γ′_１、 γ′（ｃ＋１）＝γ′×（ｃ＋１）

α′_ｉ、β′_ｉ、γ′_ｉ（ｉ＝０、・・・、ｋ−１）を秘密分散して、必要時にマシン１４ＮＮ及び演算支援装置１６がα′_ｉ、β′_ｉ、γ′_ｉを復元してもよい。

（分散５（２））

マシン１４ＮＮは、２以上の乱数ａ０_０、ａ０_１を生成し、ａ０＝ａ０_０×ａ０_１を計算して、ａ０からａ０′＝ａ０−１を計算し、乱数ξ_ａ０、０、ξ_ａ０．１とξ′_ａ０、０、ξ′_ａ０．１を生成して、ξ_ａ０＝ξ_ａ０、０×ξ_ａ０．１、ξ′_ａ０＝ξ_ａ０×ａ０を計算し、ξ′_ａ０×ａ０′と、ξ_ａ０．１、ξ′_ａ０、１、ａ０_１を演算支援装置１６に送信する（図２９Ｅのステップ５５８〜５６８、図２９Ｄのステップ５１８参照）。

（分散５（３））

演算支援装置１６は、０でない乱数ａ１_０、ａ１_１、ξ_ａ１、０、ξ_ａ１．１を生成してａ１＝ａ１_０×ａ１_１、ξ_ａ１＝ξ_ａ１、０×ξ_ａ１．１を計算してξ_ａ１×ａ１とξ_ａ１、０をマシン１４ＮＮに送信する（図２９Ｄのステップ５２０〜５２４、図２９Ｅのステップ５７０参照）。

マシン１４ＮＮは乱数α_０、α′_０を生成し（図２９Ｅのステップ５７２参照）、演算支援装置１６は乱数α_１、α′_１を生成し（図２９Ｄのステップ５２６）、マシン１４ＮＮは、以下を計算し（図２９Ｅのステップ５７４）、演算支援装置１６は以下を計算し、マシン１４ＮＮに送る（図２９Ｄステップ５２８、図２９Ｅのステップ５７６参照）（以降、マシン１４ＮＮはｉ=０、演算支援装置１６はｉ＝１に対応する計算を行う）。

（分散５（４））

マシン１４ＮＮは、

をｉ＝０，１について掛け合わせ、（Ａ）、（Ｂ）、（Ｃ）、（Ｄ）、（Ｅ）、即ち、それぞれ

を計算して、演算支援装置１６に送る（図２９Ｅのステップ５７８、５８０、図２９Ｄのステップ５３０参照）。

（分散５（５））

マシン１４ＮＮはｉ＝０に対応する下記式を計算し（図２９Ｅのステップ５８２）、演算支援装置１６はｉ＝１に対応する下記式を計算する（図２９Ｄのステップ５３２）。ただし、ａ０＋ａ１＝ａ２とする。

（分散５（６））

演算支援装置１６はｉ＝１に対応する［α″ａ２］_１、［α（ａ＋ａ２）］_１をマシン１４ＮＮに送信し（図２９Ｄのステップ５３４、図２９Ｅのステップ５８４参照）、マシン１４ＮＮはα″ａ２、α（ａ＋ａ２）を復元する（図２９Ｅのステップ５８６参照）。

（分散５（７））

マシン１４ＮＮと演算支援装置１６は分散５（１）〜（６）をｂ、ｃに対しても実行し、β（ｂ＋ｂ２）、β″ｂ２、γ（ｃ＋ｃ２）、γ″ｃ２を得る（図２９Ｄのステップ５３６、図２９Ｅのステップ５８８、図２９Ａ〜２９Ｃも参照）。

（分散５（８））

演算支援装置１６は乱数χと乱数ε、τ、ω、λ、κ、ζを生成して、ε、τ、ω、λ、κ、ζを秘密分散して以下を計算し、変換用乱数｛ε｝、｛τ｝、｛ω｝、｛λ｝、｛κ｝、｛ζ｝をマシン１４Ｎ０に送る（図２９Ｄのステップ５４０、５４２参照）。
［χε］_１＝χ×［ε］_１
［χτ］_１＝χ×［τ］_１
［χφω］_１＝χ×［φ］_１
［χλ］_１＝χ×［λ］_１
［χκ］_１＝χ×［κ］_１
［χζ］_１＝χ×［ζ］_１
｛ε｝＝（［ε］_０、［χε］_１、ε_０）
｛ρ｝＝（［ρ］_０、［χρ］_１、ρ_０）
｛ω｝＝（［ω］_０、［χω］_１、ω_０）
｛μ｝＝（［μ］_０、［χμ］_１、μ_０）
｛ν｝＝（［ν］_０、［χν］_１、ν_０）
｛ζ｝＝（［ζ］_０、［χζ］_１、ζ_０）

第３の実施の形態で説明した複数の入力者による変換用乱数生成３’を用いて変換用乱数が生成されている場合、Ｓ１に相当する演算支援装置１６が最終結果である例えば［ε］_１とε_１を得、Ｓ０に相当するマシン１４Ｎ０が［ε］_０とε_０を既に得ている。この場合、演算支援装置１６はステップ５３８の乱数生成を省略でき、ステップ５４０の処理を行った後、ステップ５４２において例えば［χε］_１のみをマシン１４Ｎ０に送ればよい（他のτ、ω、λ、κ、ζも同様）。
［秘匿積和演算５］

次に、マシン１４ＮＮのＣＰＵ２２における秘匿積和演算部４４が実行する秘匿積和演算５と、演算支援装置１６のＣＰＵ２２における演算支援部１５０が実行する演算支援５とをそれぞれ、図３０、図３１を参照して説明する。

図３０のステップ６０２で、マシン１４ＮＮの秘匿積和演算部４４は、乱数δ_０∈Z/pZを生成する。

図３１のステップ６１２で、演算支援装置１６の演算支援部１５０は、乱数δ_１∈Z/pZを生成する。

図３０のステップ６０４で、マシン１４ＮＮの秘匿積和演算部４４は、ｉ＝０として以下を計算する。

を送信する。

図３１のステップ６１４で、演算支援装置１６の演算支援部１５０は、ｉ＝１として以下を計算して、ステップ６１６でマシン１４ＮＮに送る。

図３０のステップ６０６で、マシン１４ＮＮのＣＰＵ２２における秘匿積和演算部４４は、上記２つの式（ｉ＝０，１）を掛け合わせ、以下を計算する。

図３０のステップ６０８で、マシン１４ＮＮのＣＰＵ２２における秘匿積和演算部４４は、以下を計算する。

［演算支援処理５］
次に、演算支援装置１６のＣＰＵ２２における演算支援部１５０が実行する演算支援処理５を、図３２を参照して、説明する。

ステップ６２２で、演算支援部１５０は、［δ_０（ａｂ＋ｃ）］_０と［δ（ａｂ＋ｃ）］_１を収集する。

ステップ６２４で、演算支援部１５０は、以下を計算する。
［δ｛（ａｂ＋ｃ）］_０＝δ_１［δ_０（ａｂ＋ｃ）］_０

ステップ６２６で、演算支援部１５０は、［δ（ａｂ＋ｃ）］_０と［δ（ａｂ＋ｃ）］_１からδ（ａｂ＋ｃ）を復元する。

演算を継続する場合、マシン１４Ｎ０と演算支援装置１６は新たにａ０、ａ１に相当する乱数を生成し、それらを秘匿加算したものを新たなα″ａ２、さらに復元したδ（ａｂ＋ｃ）とα″ａ２を秘匿加算したものを新たなα（ａ＋ａ２）とすればよい。

秘匿徐算はａ２を秘匿徐算４におけるａ１とすれば、同様に実現可能である。

本実施の形態において演算支援装置１６は秘密情報ａ，ｂ，ｃを知らず、それらを復元することなく、演算支援装置１６はとマシン１４ＮＮによって生成された乱数の秘匿加算を行い、入力者が知らない第１の乱数の加算と第２の乱数の乗算を行う。よって、攻撃者が演算支援装置１６を攻撃しただけでは秘密情報は漏洩せず、マシン１４ＮＮも一緒に解析しなければ秘密情報は漏洩しない。よって、第５の実施の形態によって演算支援装置のみが解析されても安全なシステムが構築できる。

また、第２、第４の実施の形態において演算を継続する場合、入力者装置１２は新たなα，β，γに対して新たなδ_０を生成し、δ_０／αβ、δ_０／α、δ_０／β、δ_０／γを計算する必要があるが、本実施の形態と同様に、例えば｛ε｝＝（［ε］_０、［χε］_１、ε_０）となる変換用乱数をマシン１４ＮＮに送り（他の変換用乱数も同様）、秘匿積和演算２及び４において秘匿積和演算５と同様の演算を行えば、演算を継続するためにδ_０／αβ、δ_０／α、δ_０／β、δ_０／γを演算中に計算する必要がなくなる（ただし、図３０でａ０＝ｂ０＝０、α″＝β″＝γ″＝０であり、第２の実施の形態のみａ１＝ｂ１＝ｃ２＝１とする。それに伴いａ０、ｂ０等に関する図３０、３１の演算は省略される）。すなわち、｛ε｝＝（［ε］_０、［χε］_１、ε_０）の形式の変換用乱数が事前に準備されていればよい。

第１の実施の形態〜第５の実施の形態では、秘匿演算するマシンが１台または２台を例として説明されたが、１台または２台のマシンを用いて秘匿計算を行う場合に汎用的に用いることができる。

以上より、秘匿演算するマシンが１台の場合、入力者装置が１台であれば第２の実施の形態が最も高速であり、複数台であり演算支援装置が耐タンパ性を有していれば第４の実施の形態が、複数名であり演算装置も解析される可能性がある場合、第５の実施の形態が推奨される。

また、秘匿演算するマシンを２台利用できる場合、入力者装置が１台であれば第１の実施の形態が最も高速であり、複数台であれば第３の実施の形態が推奨される。

１２ 入力者装置
１４Ｎ０〜１４Ｎｎ−１ マシン

Claims (18)

1. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値を加算した値に０でない値の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする入力者装置。
2. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値の第１の乱数を加算する手段と、その値に０でない値の第２の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする演算支援装置。
3. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、秘密情報に０でない値の乱数を秘匿加算する手段と、その秘匿加算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段と、を有することを特徴とする演算支援装置。
4. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、１個以上の第１の乱数を生成する手段と、第１の乱数の各々を秘密分散した分散値の各々にかける手段と、を有することを特徴とする装置。
5. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、請求項４による異なる乱数がかかった分散値に請求項１〜請求項３の装置によって公開された秘匿化秘密情報を作用させる手段と、その手段の出力である同一の秘密情報に対して異なる乱数を作用させた分散値を用いて演算する手段を有することを特徴とする秘匿演算装置。
6. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、用いる秘匿演算装置の数をｔ、入力数をｕとしたとき、ｎをｕ（ｋ−１）＋１以上として秘密分散を行う手段と、その分散値をｎ／ｔ個毎に分割して異なる乱数を乗算する手段と、その異なる乱数が乗じられた分散値ｎ／ｔ個から少なくとも１つの分散値を秘匿演算装置に配布する手段と、を有することを特徴とした入力者装置。
7. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、分散値同士の乗算を行う手段と、乱数がかけられた分散値同士の積から乱数を削除する手段と、乱数が削除された分散値に対して次数変換処理を１回以上繰り返す手段と、を有することを特徴とする秘匿演算装置。
8. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、請求項１〜３による秘匿化秘密情報から請求項１〜３で加算された定数を秘匿減算する手段と、その秘匿減算結果が０であるかを検証する手段と、０でないときに秘匿減算された値からその逆数を生成する手段と、を有する秘匿演算装置。
9. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおいて、異なる乱数がかかった分散値を他の分散値と同じ乱数に変換する手段と、同じ乱数がかかった秘密情報を復元する、または秘匿演算装置が復元できるようにする手段と、を有する演算支援装置。
10. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける入力者装置のコンピュータを、秘密情報に０でない値を加算した値に０でない値の乱数を乗ずる手段、及びその乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させるプログラム。
11. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、秘密情報に０でない値の第１の乱数を加算する手段、及びその値に０でない値の第２の乱数を乗ずる手段と、その乗算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させるプログラム。
12. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、秘密情報に０でない値の乱数を秘匿加算する手段、及びその秘匿加算結果をそのまま秘匿演算に参加する全秘匿演算装置に送る手段として機能させるプログラム。
13. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける装置のコンピュータを、１個以上の第１の乱数を生成する手段、及び第１の乱数の各々を秘密分散した分散値の各々にかける手段として機能させるプログラム。
14. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、請求項４による異なる乱数がかかった分散値に請求項１〜請求項３の装置によって公開された秘匿化秘密情報を作用させる手段、及びその手段の出力である同一の秘密情報に対して異なる乱数を作用させた分散値を用いて演算する手段として機能させるプログラム。
15. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける入力者装置のコンピュータを、用いる秘匿演算装置の数をｔ、入力数をｕとしたとき、ｎをｕｔ以上として秘密分散を行う手段、その分散値をｎ／ｔ個毎に分割して異なる乱数を乗算する手段、及びその異なる乱数が乗じられた分散値ｎ／ｔ個から少なくとも１つの分散値を秘匿演算装置に配布する手段として機能させるプログラム。
16. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、分散値同士の乗算を行う手段と、乱数がかけられた分散値同士の積から乱数を削除する手段、及び乱数が削除された分散値に対して次数変換処理を１回以上繰り返す手段として機能させるプログラム。
17. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける秘匿演算装置のコンピュータを、請求項１〜３による秘匿化秘密情報から請求項１〜３で加算された定数を秘匿減算する手段、及びその秘匿減算結果が０であるかを検証する手段と、０でないときに秘匿減算された値からその逆数を生成する手段として機能させるプログラム。
18. ｎを２以上の整数、ｋを、最小値が２で最大値がｎの整数、Ｌを１以上ｋ以下の整数とし、秘密情報をｎ個に分散し、ｎ個のうちｋ個の分散値を集めれば秘密情報を復元でき、ｋ−Ｌ個以下では秘密情報を復元できない手段を用いて秘匿演算を行うシステムにおける演算支援装置のコンピュータを、異なる乱数がかかった分散値を他の分散値と同じ乱数に変換する手段、及び同じ乱数がかかった秘密情報を復元する、または秘匿演算装置が復元できるようにする手段として機能させるプログラム。