JP3466688B2 - 複数の情報処理装置を有する通信システムにおける分散演算方法及びその通信システム、及びその情報処理装置 - Google Patents

Description

【発明の詳細な説明】

【０００１】

【産業上の利用分野】本発明は、通信路によって接続さ
れた複数の計算機間で、１つの演算を秘密に分散して実
行するシステム及びその方法に関するものである。

【０００２】

【従来の技術】複数の計算機間で１つの計算を分散して
行うシステムは、１つの計算機またはその計算機を利用
するシステムの加入者の物理的な安全性（ここで、物理
的な安全性とは、ある加入者が持っている情報がその加
入者以外に漏れないこと、及びある加入者内で行われて
いる計算がその加入者以外からは制御できないことを意
味する）のみに依存する計算の信頼度を高めることがで
きる。すなわち、複数の加入者間で計算を分散して行う
ことによって、これらの加入者のうちのいくつかの物理
的な安全性が保証されない場合でも、信頼性の高い出力
を得るフォールトトレランスを実現する。

【０００３】例えば、ＲＳＡ暗号やラビン暗号（池野，
小山：“現代暗号理論”，電子情報通信学会，1986. 参
照）や２乗乱数（辻井，笠原：“暗号と情報セキュリテ
ィ”，昭晃堂，1990. 参照）等を用いる多くの暗号シス
テムは１人の加入者またはセンタが次の処理を実行する
ことによって構成されている。 (1) 乱数を生成し、これに基づいて、ランダムに選ばれ
た整数をＫ個生成する。ただし、このＫはその中の少な
くとも２個の整数が素数である確率が十分高い程度の数
である（通常、ｎビットの素数を得たい場合、Ｋは２ⁿ
程度の数である）。(2) 素数判定法（前記“現代暗号理
論”参照）を用いて、２つの素数ｐ，ｑを見つける。 (3) 素数ｐ，ｑの積Ｎ＝ｐ・ｑを計算する。 (4) 素数ｐ，ｑを秘密とし、その積Ｎを公開し放送す
る。

【０００４】この処理を行う１人の加入者またはセンタ
の物理的な安全性が保証されない場合、この暗号システ
ムによって与えられる守秘や認証等のサービスは信頼す
ることができない。しかし、このような処理が複数の加
入者間で分散されて行われるならば、このシステムの安
全性は、何人かの加入者の物理的安全性が保証されない
としても信頼することができる。

【０００５】ただし、このような暗号システムにおいて
は、計算結果である積Ｎは公開の値であるが、そのＮを
構成するｐ，ｑは秘密の値である。よって、ｐ、ｑの素
数判定に必要な計算およびＮ＝ｐ・ｑの演算を複数の加
入者によって行おうとする場合、ｐ，ｑの値を他の加入
者に知らせることができないという問題が生じる。

【０００６】このように入力値を秘密にしながら、複数
の加入者のいくつかに予測できない事態によって（偶発
及び故意を含む）誤りが生じたとしても、正しい演算結
果を得るための方式（安全な分散計算方式という）が近
年研究されており、そのための計算方法や通信方法、ま
たは耐えられる誤り（誤りが生じたとしても、正しい演
算結果が得られる誤り）の種類について、いくつかの具
体的な結果が得られている。

【０００７】特に、秘密の通信路をもつ通信システムに
対して、全加入者数の１／３より少ない数であればどの
ような誤りをもつ加入者が存在しても、安全に分散計算
を実行する方式が、M. Ben-Or, S. Goldwasser, A. Wig
derson ("Completeness Theorems for Non-Cryptograph
ic Fault-Tolerant Distributed Computation", ACMSTO
C 1988)によって提案されている。但し、この方式によ
って安全に実現されている分散計算とは、ｐ個の元から
なる有限体Ｚｐ上の加算及び乗算を意味する。ある有限
体Ｚｐ上の演算に限らず、直接に通常の演算回路（ただ
し、ＡＮＤゲート及びＸＯＲゲートしか含まないように
変更された回路とする）を分散した形で安全に実現する
方式は、D. Chaum, C. Crepeau, I. Damgard ("Multipa
rty Unconditionally Secure Protocols", ACM STOC 19
88) によって提案されている。

【０００８】更に、全ての加入者が同じメッセージを受
信したことを確認できる放送型通信路を全加入者がもつ
とした場合、全加入者の半分より少ない数であればどの
ような誤りをもつ加入者にも耐えられ、かつ、ある有限
体上の分散演算を実現する方式が T. Rabin, M. Ben-Or
("Verifiable Secret Sharing and Multiparty Protoc
ols with Honest Majority", ACM STOC 1989) と D. Be
aver ("Secure Multiparty Protocols and Zero-Knowle
dge Proof Systems Tolerating a Faulty Minority", J
ournal of Cryptology, 1991, 4, pp.75-122) によって
提案されている。

【０００９】これらの方式では全て、秘密分散（Secret
Sharing, SS）と呼ばれる技術が用いられている。ここ
で、ある加入者が持っている秘密情報Ｘが、全ての加入
者間で秘密に分散保待されるとは、各加入者ｉが秘密情
報Ｘに対応する部分情報Ｘ_iをもち、秘密情報Ｘを復元
するためにｔ＋１人の加入者の部分情報が必要であり、
それ未満の数（ｔ以下）の部分情報では、その秘密情報
に関するどのような情報も得ることができないことを意
味する。

【００１０】このとき、その秘密情報を復元するための
必要な加入者の数ｔ＋１は、しきい値と呼ばれ、その意
味で、この秘密を分散する方式はしきい値スキーム（Th
reshold Scheme）と呼ばれる。

【００１１】前述の安全な分散計算方式は、誤りを持つ
加入者に耐えられる必要がある。どのような誤りを持つ
加入者にも耐えられる秘密分散方式として、確認可能な
秘密分散（Verifiable Secret Sharing, VSS）と呼ばれ
る方式が、次のような条件を満たす方式として定義され
る。 (a) 不正な部分情報が正しい部分情報と混在していて
も、ｔ＋１個の正しい部分情報があれば秘密情報を復元
するために十分である。 (b) 全ての加入者がその秘密の部分情報を受け取ったと
き、その部分情報がある秘密情報Ｘを復元するために正
しい情報であるかどうかを確認できる。

【００１２】ここで、条件(b) が満たされているとき秘
密情報Ｘは確認可能に分散されているという。

【００１３】ＶＳＳで行われる秘密分散処理、秘密復元
処理を、図９、１０に、それぞれ示す。ここで、図９、
１０は、全ての加入者に関する入出力を示す。図９にお
いて、秘密分散処理は、加入者ｊの秘密情報Ｘを入力と
し、出力は、その部分情報Ｘ_i（i=1,・・・,n)と条件(b)
による判定出力C である。また、図１０において、復元
処理は、分散された部分情報Ｘ_i（i=1,・・・,n)を入力と
して、元の秘密情報Ｘを復元する。ここで、図１０は、
不正な部分情報（図では* ）が入力されてもｔ＋１個の
正しい部分情報（図では、X_i0,・・・,X_it ）があれば、
元の秘密情報Ｘを復元できることを表している。

【００１４】具体的に、A. Shamir （"How to Share a
Secret", Communications of the ACM, Vol. 22, 11, 1
979 ）によるしきい値スキームは次のようにして実現さ
れる。

【００１５】加入者の情報を秘密に複数の加入者に分散
するために、定数項が前述の秘密情報となるｔ次の多項
式ｆ(x) をランダムに選び、ｎ個の異なる値に対するそ
の多項式の値ｆ(i)(i=1,・・・,n)を各加入者に配る。この
加入者ｉに配られる多項式の値ｆ(i) が前述の部分情報
Ｘ_iの一部（第１部分情報と呼ぶ、部分情報は他に後述
の第２部分情報と検査情報と検査乱数からなる）にな
る。よって、秘密情報はｔ＋１個の第１部分情報を用い
た多項式補間によって復元できる（ｔ以下の第１部分情
報では秘密情報に関するどのような情報も得ることはで
きない）。

【００１６】ＶＳＳの条件(a) の不正な部分情報が混在
していても秘密情報を復元でき、条件(b) の全ての加入
者が秘密情報を復元できる正しい分散が行われているこ
とを確認とするために、各加入者は、第１部分情報を秘
密情報として、第２部分情報を同様の手法によって生成
・分散する。そして、部分情報は、第１、第２部分情報
と、後述の検査情報と検査乱数からなり、それらを別に
配布するという処理が追加される。ここでは、零知識対
話証明システム（前記“暗号と情報セキュリティ”参
照）で用いられている Cut and Choose と呼ばれる技術
が利用される。

【００１７】この Cut and Choose 技術を用いる場合、
条件(b) による確認とは統計的確認になり、秘密情報を
復元できる正しい分散が行われているかどうかを示す判
定出力に誤り確率が生じる。但し、後述するように、こ
の誤り確率は、設定するパラメータにより、どのように
も小さくできる。

【００１８】具体例として、T. RabinとM. Ben-Or （"V
erifiable Secret Sharing and Multiparty Protocols
with Honest majority", ACM STOC 1989）によって実現
されたＶＳＳ方式を次に詳しく述べる。

【００１９】この方式において、ＶＳＳを構成するため
の最も重要な部分処理になるＷＶＳＳ（Weak Verifiabl
e Secret Sharing）と呼ばれる処理が提案されている。
ＷＶＳＳは、ＶＳＳの(b) の条件を弱めたものであり、
秘密情報Ｘを持っている分配者が正しく部分情報を分散
させているときには、その部分情報がある復元できる秘
密情報Ｘに対応しているかどうかを確認できるが、分配
者が正しく部分情報を分散させていない場合には、正し
く確認できるかどうかは保証されない。具体的にはＷＶ
ＳＳは次のような処理によって実現される。

【００２０】ＷＶＳＳの処理を図１１、１２に示す。こ
こで、図１１は、処理の入出力を示している。すなわ
ち、ＷＶＳＳの処理の入力は加入者ｉの秘密Ｘであり、
出力はその部分情報Ｘ_i（i=1,・・・,n)である。さらに、
図１２は、その処理の流れを示している。縦方向は時間
の流れを意味し、1,・・・,n は、各加入者（の利用する装
置）を表す。各加入者の計算処理及び処理結果の加入者
間通信を１ラウンドとし、ラウンド１からラウンド毎に
順に処理が行われる。ここで、ある加入者のあるラウン
ドにおける出力は、次のラウンドである加入者に対する
入力になる。横方向は各加入者の位置を示す。また、細
線の矢印は秘密通進路を用いた通信を意味しており、放
送型の通信路を用いた通信を意味する太線の矢印と区別
される。

【００２１】任意の加入者ｉによる、ｐ個の元からなる
有限体Ｚp （ただし、しきい値スキームを実現できるた
めに、ｐは、加入者の数ｎに対してｐ＞ｎとなる素数で
ある。）上の秘密の元Ｘに対するＷＶＳＳは次のように
実行される。

【００２２】（前処理）上述の秘密情報Ｘの正しい分散
が行っているかどうかを示す判定出力Ｃの許される誤り
確率を2^-k とするための値ｋを定める。（ｋの意味は後
述の検査情報確認処理の説明を参照）

【００２３】（ラウンド１）加入者ｉは、乱数発生手段
を用いてＺp 上のｔ個の元をランダムに生成する。これ
らの元を c(1), c(2),・・・, c(t) と表す。加入者ｉは他
の加入者ｊ(j=1,.・・,n) に対して次の第１部分情報x(j)
を計算し、その値を秘密に各加入者ｊに送信する。

【００２４】 x(j) = X + c(1)j + c(2)j² + ・・・ + c(t)j^t mod p

【００２５】（ラウンド２）ｘ(j) を受け取った各加入
者ｊ(j=1,・・・,n) は、乱数発生手段を用いてＺp 上のｔ
個の元をランダムに生成する。これらの元をc(j,1), c
(j,2),・・・, c(j,t)と表す。各加入者ｊは各加入者ｌ(l=
1,・・・,n) に対して次の第２部分情報x(j,l)を計算し、
その値を秘密に各加入者ｌに送信する。

【００２６】x(j,l) = x(j) + c(j,1)l + c(j,2)l² + ・
・・ + c(j,t)l^t mod p 各加入者ｊは前述の乱数発生手段を用いて、Ｚq （ｑ個
の元からなる有限体を表す。ただし、ｑはｑ＞2^kとなる
素数である）上の元 u(j,l,m,o), v(j,l,m,o) ただし、
m=1,・・・,n, o=1,・・・,2k である）をランダムに生成し、
次の関係を満たすw(j,l,m,o)を計算する。

【００２７】 x(j,l) + u(j,l,m,o)v(j,l,m,o) = w(j,l,m,o) その値 u(j,l,m,o)を加入者l（ｌ＝１，・・・，ｎ）
に、 v(j,l,m,o), w(j,l,m,o) を加入者m(m=1,・・・,n)
に、秘密に送信する。これらの値v(j,l,m,o), w(j,l,m,
o)は、ラウンド２で配られたx(j,l)を認証する情報の役
割を果たし、検査情報という。また、u(j,l,m,o)を検査
乱数と呼ぶ。

【００２８】（検査情報確認処理）前ラウンドに配られ
た検査乱数u(j,l,m,o)及び検査情報v(j,l,m,o), w(j,m,
l,o) がラウンド２で配られた第２部分情報x(j,l)に正
しく対応するかどうかを確かめるために、上述の Cut a
nd Choose 技術を用いる。例えば、ある加入者ａが他の
加入者ｂにx(a,b), u(a,b,c,o)（o=1,・・・,2k）を送り、
第３加入者ｃに加入者ｂに送った検査乱数u(a,b,c,o)に
対応する検査情報v(a,b,c,o), w(a,b,c,o)（o=1,・・・,2
k）を送る。加入者ｂは加入者ｃに２ｋ組の(u,v,w) の
内のランダムに選ばれたｋ組（o=o_jlm1,・・・,o_jlmk ）
に対する検査情報v(a,b,c,o), w(a,b,c,o)を放送するよ
うに依頼し、この依頼に対して放送されたo_jlm1,・・・,o
_jlmk がo_1=o_jlm1,・・・,o_k=o_jlmk を満たさなければ
加入者ａが不正な検査情報を配ったことが明らかにな
る。その放送することを依頼されるｋ組の値（o = o_jl
m1,・・・,o_jlmk ）はランダムに選択されるので、加入者
ａが不正な検査情報を配ったことが明らかにならない確
率は2^-k である。ただし、放送されなかった残りのｋ組
の検査情報について、加入者ｂにはどの情報も漏れてい
ないことは明らかである。

【００２９】具体的に、この検査情報確認処理は図１３
の入出力関係であり、図１４の手順で、次のように実行
される。

【００３０】（ラウンド３）全ての加入者ｌ(l=1,・・・,
n) は、乱数発生手段を用いて｛1,2,・・・,2k} の２ｋ個
の数の集合からｋ個の数をランダムに選び、それを各々
ｊ(j=1,・・・,n) ，ｍ(m=1,・・・,n) に対応させてｎ×ｎ回
行う。そのｋ個の乱数を o_jlm1,・・・,o_jlmkと表す。た
だし、このｋ個の乱数は、各ｊと各ｍに対応してｎ×ｎ
組存在する。そして、その全ての乱数を放送する。

【００３１】（ラウンド４）全ての加入者ｍ(m=1,・・・,
n) は、全てのｊ(j=1,・・・,n) とｌ(l=1,・・・,n) とにつ
いてv(j,l,m,o_jlm1), v(j,l,m,o_jlm2),・・・, v(j,l,m,
o_jlmk) と w(j,l,m,o_jlm1), w(j,l,m,o_jlm2),・・・, w
(j,l,m,o_jlmk)の値を放送する。ただし、o_jlm1,o_jlm
2,・・・,o_jlmkはラウンド３において、加入者ｌから放送
された乱数の組である。

【００３２】（ラウンド５）全ての加入者ｊは、ラウン
ド４において放送された値が、全てのｌ，ｍ(l,m=1,・・
・,n) に対して次の関係を満たすかどうかを確かめる。

【００３３】x(j,l) + u(j,l,m,o_jlm1)v(j,l,m,o_jlm
1) = w(j,l,m,o_jlm1), x(j,l) + u(j,l,m,o_jlm2)v(j,l,m,o_jlm2) = w(j,l,m,
o_jlm2),・・・ x(j,l) + u(j,l,m,o_jlmk)v(j,l,m,o_jlmk) = w(j,
l,m,o_jlmk); 加入者ｊは、この関係を満足するｌとｍに対する認可の
メッセージを放送する。図１４に示されるd(l,m)は、そ
の認可メッセージを表す。

【００３４】（ラウンド６）ラウンド５の関係を満たさ
ないｌとｍに対して、加入者ｊは乱数発生手段を用いて
ｏ(o=1,・・・,2k)に対応する新しい値 u'(j,l,m,o), v'
(j,l,m,o) を生成し、次の関係を満足する値 w'(j,l,m,
o)を計算する。

【００３５】 x(j,l) + u'(j,l,m,o)v'(j,l,m,o) = w'(j,l,m,o), そして、u'(j,l,m,o) を加入者ｌに秘密に送り、v'(j,
l,m,o) とw'(j,l,m,o) を放送する。

【００３６】（ラウンド７）全ての加入者ｌ(l=1,・・・,
n) は、ラウンド６において秘密に送信された値 u'(j,
l,m,o), または放送された値v'(j,l,m,o), w'(j,l,m,o)
を新たに u(j,l,m,o), v(j,l,m,o), w(j,l,m,o) とし、
次の関係を満足するかどうかを確認する。

【００３７】x(j,l) + u(j,l,m,o_jlm1)v(j,l,m,o_jlm
1) = w(j,l,m,o_jlm1), x(j,l) + u(j,l,m,o_jlm2)v(j,l,m,o_jlm2) = w(j,l,m,
o_jlm2),・・・ x(j,l) + u(j,l,m,o_jlmk)v(j,l,m,o_jlmk) = w(j,
l,m,o_jlmk); 加入者ｌは、この関係を満足しないｊがあれば、加入者
ｊに、値x(j)から計算されるx(j,l)を放送することを要
求するメッセージを放送する。図１４に示されるe(l,m)
は、その要求メッセージを表す。

【００３８】（後処理）ある加入者ｊに対して放送する
ことを要求されたx(j,l)の数がｔ以上であれば、その加
入者ｊが不正な加入者であることが決まり、また、不正
な加入者の数がｔ以上であれば正しい秘密分散が行われ
ていないことが明らかになる。処理の出力Ｃはそのこと
を示し、各加入者ｊの出力X_j （秘密Ｘに対するＷＶＳ
Ｓの部分情報）は、x(j), x(j,l), u(l,j,m,o), v(l,j,
m,o), w(l,j,m,o) （あるいはラウンド６に放送された
u'(l,j,m,o), v'(l,j,m,o)）の組である。

【００３９】上述の手続きによるＷＶＳＳが与えられた
とき、ｔ人以上のどの様な加入者も前述の秘密Ｘを次の
ようにして再び計算することができる。この処理は、秘
密復元処理といい、その手順を図１５、１６に示す。

【００４０】（ラウンド８）秘密Ｘを分散した加入者ｉ
は、c(1), c(2),・・・,c(t) 値（図１６にはX_で表す値）
を放送する。全ての加入者ｊ(j=1,・・・,n) は、x(j), c
(j,1), c(j,2),・・・, c(j,t-1)の値（図１６には(X_j)_
で表す値）を放送し、また、全ての加入者ｌ(l=1,・・・,
n) は全てのｊ，ｍ，ｏ(j,m=1,・・・,n, o=1,・・・,2k) に
対して x(j,l) と u(j,l,m,o) の値を放送する。

【００４１】（ラウンド９）全ての加入者ｍ(m=1,・・・,
n) は、全てのｊ，ｌ，ｏ(j,l=1,・・・,n, o=1,・・・,2k)
に対してラウンド８において放送された値 x(j,l) と u
(j,l,m,o) が次の関係を満足するかどうかを確かめる。

【００４２】 x(j,l) + u(j,l,m,o)v(j,l,m,o) = w(j,l,m,o) この関係を満足する全てのｌとｊに対して、加入者ｍは
x(j,l) が正しいと認可する。この認可された全ての x
(j,l) に対して、加入者ｍは次の関係を満足するかどう
かを確かめる。

【００４３】x(j,l) = x(j) + c(j,1)l + c(j,2)l² + ・
・・ + c(j,t-1)l^t-1 mod p もし、あるｊに対してこの関係を満足しないならば、加
入者ｍは加入者ｊが失格であるというメッセージ（図１
６のd(j)）を放送する。もし、ｔ人以上の加入者が加入
者ｊの失格のメッセージを放送したならば、x(j)は無効
と見なされる。

【００４４】（後処理）ラウンド９において無効とされ
なかったx(j)から、秘密の元Ｘが次のように計算され
る。

【００４５】X = Sum_j(Prod_l(l/(l-j))x(j)) mod p ただし、Sum_j(f(j)) はf(j)の総和を意味する。ただ
し、ｊは1,・・・,n のうちの任意のｔ個の数である。そし
て、Prod_l(f(l,j))は前述のｔ個の数から値を取る固定
されたｊとｊと異なる値をもつｌに対する全てのf(l,j)
の積を意味する。

【００４６】以上のＷＶＳＳとさらに上述のような Cut
and Choose 技術を組み合わせることによってＶＳＳの
(a) と(b) の条件が次のように実現される。これを図１
７、１８を用いて説明する。

【００４７】（ラウンド１１−１７）全加入者によっ
て、ラウンド１−７に説明したＷＶＳＳ処理が行われ
る。秘密情報Ｘをもつ加入者ｉは、それをＷＶＳＳを用
いて加入者間で分散する。また、ランダムに選ばれた秘
密L1,・・・,Lnk（ｋは上述のｋと同じである）もＷＶＳＳ
によって同様に分散する。

【００４８】（ラウンド１８）全加入者は1,・・・,nkから
異なるｋ個の値を放送し、全ての値の１ビット目を放送
する。この１ビットを、値ｊ(j=1,・・・,kn)に対してBjと
呼ぶ。

【００４９】（ラウンド１９）j=1,・・・,nkに対して、放
送されたビットBjが１であれば、加入者ｉ（秘密情報を
配布している加入者）は秘密Ljに関する情報を全て放送
する。Bj=0であれば、加入者ｉは秘密x+Ljに関する情報
を全て放送する。

【００５０】（ラウンド２０−２１）全加入者によっ
て、ラウンド８ー９と同様の秘密復元処理を行われる。
従って、全加入者もまた、LjかX+Ljの（ＷＶＳＳで受け
取った）部分情報を放送する。

【００５１】（後処理）全加入者はラウンド１９におい
て加入者ｉから放送された情報と、秘密復元処理におい
て全加入者から放送された情報とが互いに正しいかどう
かを検査する。もし、任意のｊに対して正しくないと判
定されたならば、加入者ｉは正しく分散していないと判
断される。もし、加入者ｉが全ての秘密LjまたはX+Ljを
要求されたｊ(j=1,・・・,kn)に対して正しく分散したなら
ば、秘密情報を確認することができる。

【００５２】以上のＶＳＳを用いて基本演算である加算
と乗算を分散実行する場合、秘密情報同士の加算は次の
理由により簡単に実現できる。

【００５３】すなわち、２つのｔ次の多項式同士の加算
結果もまたｔ次の多項式になり、その定数項は２つの多
項式の定数項の加算結果になる。よって、配られた部分
情報同士の加算を利用して、秘密情報同士の加算が容易
に実現できる。これを具体的に実現する処理を図１９、
２０に示す。

【００５４】（ラウンド２２）まず、秘密情報ＸとＹの
部分情報X_i,Y_i(i=1,・・・,n)の第２部分情報毎の加算z
(j,l)=x(j,l)+y(j,l)を計算し、それに対応する検査乱
数と検査情報を前述の手法で新たに生成し分散する。こ
れは、前述の検査情報確認処理が単純な加算処理になっ
ていないために、z(j,l)に対する検査乱数と検査情報を
新たに生成・分散するためである。

【００５５】（ラウンド２３−２７）ラウンド２２で求
めた検査乱数と検査情報を用いて、ラウンド３−７とし
て説明した検査情報確認処理を行うことによって、ｔ＋
１個の正しい部分情報（元の部分情報の和）から、上述
の加算結果の多項式について、多項式補間によって定数
項部分を秘密情報として復元することにより、Ｚ＝Ｘ＋
Ｙの分散加算処理が実現される。

【００５６】これに対して、２つのｔ次の多項式同士の
乗算結果の定数項もまた、２つの多項式の定数項の乗算
結果になっているが、積多項式自体は２ｔ次の多項式に
なる。このため、乗算の場合、加算と異なり、多項式補
間によって秘密情報を復元するためには２ｔ＋１個の部
分情報が必要となり、ｔ＋１個の部分情報から秘密情報
を復元できない。従って、配られた部分情報同士の乗算
による容易な演算によっては、秘密情報同士の分散乗算
は実現できない。

【００５７】このため、従来の方式では、次のように分
散乗算を実行していた。まず、２ｔ次の積多項式のｔ次
以下の部分からなる新しいｔ次の多項式を生成する。こ
の場合、新しい多項式の定数項は秘密情報同士の乗算結
果になっている。この多項式を、定数項に秘密情報をも
つランダムに選択された多項式と等価にするために、別
に定数項が０である多項式をランダムに選び、その多項
式に加える。

【００５８】よって、２つの分散された秘密情報ＸとＹ
（各加入者ｉには部分情報 x(i) とy(i) が与えられて
いるとする）から、秘密の乗算結果Ｚを得るために、従
来の方式は図２１のような乗算処理を行う。図２２は、
図２１の乗算処理の詳細を示す図である。図２２に示す
ように、この乗算処理は、前述のＶＳＳ処理の他に、図
２３、２４につき後述する乱数生成処理と、図２５、２
６につき後述する乗算確認処理と、図２７につき後述す
る線形結合処理から構成される。図２２において、乗算
確認処理と乱数生成処理とは同時に行われている。以下
に、各処理を説明する。

【００５９】まず、乱数生成処理は、図２３のように、
各加入者ｉについて、以下に説明する部分情報をR_i
（乱数定数項の多項式から生成した部分情報に相当する
秘密の乱数の組）を次のようにして共同で生成する。こ
の処理の詳細を図２４に示す。

【００６０】（ラウンド３１−４１）全加入者ｉは秘密
R(i)をランダムに選び、それを既に説明したラウンド１
−１１のＶＳＳ処理を用いて、確認可能な分散を行う。

【００６１】（ラウンド４２−４７）既に説明したラウ
ンド２２ー２７の分散加算処理により、正しく分散され
た秘密R(i)をi=1,・・・,n に対して秘密に加え合わせ、そ
の結果をＲとし、その部分情報をR_i とする。

【００６２】この秘密の乱数R_i は、秘密情報Ｘ及びＹ
から構成される２つの多項式の積をランダム化するため
に用いる。

【００６３】また、乗算確認処理は、図２５に示すよう
に、加入者ｉが秘密に配られた第１部分情報 x(i) とy
(i)から積x(i)y(i)を計算して、x(i),y(i),x(i)y(i)に
第２部分情報，検査情報，検査乱数を付加して分散し、
全ての加入者により、積x(i)y(i)が正しく分散されてい
ることを確認する処理を行うものである。もし、加入者
ｊが正しくx(j)y(j)を分散していないならば、他の加入
者によってx(j)とy(j)の値が復元される。

【００６４】以下に、D. Beaver, "Secure Multiparty
Protocols and Zero-Knowledge Proof Systems Tolerat
ing a Faulty Minority", Journal of Cryptology, 199
1, 4, pp. 75-122) によって示された従来の乗算確認処
理を具体的に説明する。ず２６は、その手順を示す。た
だし、x(i), y(i), x(i)y(i)は全加入者間で確認可能で
あり、秘密に分散されているとする。

【００６５】（ラウンド５１−６１）各加入者ｉは、４
ｋ個の乱数 R(i,j), S(i,j)(j=1,・・・,2k) を生成し、次
のようなD(i,j)を計算する。

【００６６】D(i,j)=(x(i)+R(i,j))(y(i)+S(i,j)) そして、x(i), y(i), x(i)y(i), R(i,j), S(i,j), D(i,
j)(j=1,・・・,2k)の値をラウンド１−１１のＶＳＳを用い
て確認可能な分散を行う。

【００６７】（ラウンド６２−７８）このＶＳＳ処理と
同時に、図２３に説明した乱数生成処理を利用すること
によって、1,・・・,2kの中から、共同で２ｋ個の秘密の乱
数j_l(1),・・・,j_l(2k)を生成する。

【００６８】（ラウンド７９−８０）図１５、１６につ
きラウンド１０ー１１として説明した秘密復元処理を用
いて、o=1,・・・,2kに対して、生成した秘密の乱数j_l(o)
を復元する。

【００６９】生成された秘密の乱数j=j_l(1),・・・,j_l(2
k)の最初の異なるｋ個(j_l1,・・・,j_lk) に対して、以下
に示す処理を行う。

【００７０】（ラウンド８１−８６）全加入者により行
われる線形結合処理（図２７につき後述する）で、次の
A(i,j)とB(i,j)を計算する。

【００７１】A(i,j) = x(i) + R(i,j) B(i,j) = y(i) + S(i,j) （ラウンド８７−８８）全加入者によって、前述の秘密
復元処理が行われ、A(i,j), B(i,j), D(i,j)が復元され
る。各加入者ｊは、A(i,j)B(i,j)=D(i,j) を満足するか
どうかを確かめる。満足しなければ、加入者ｉが失格で
あるというメッセージを放送する。

【００７２】秘密の乱数j=j_l(1),・・・,j_l(2k)の残りの
ｋ個（j_l1,・・・,j_lk 以外）に対して、以下に示す処理
を行う。

【００７３】（ラウンド８９−９０）ラウンド１−１１
で確認可能に分散されたR(i,j)とS(i,j)を、前述の秘密
復元処理により復元する。

【００７４】（ラウンド９１−９６）次のC(i,j)を秘密
に計算する。

【００７５】C(i,j)= x(i)y(i)- D(i,j)+ x(i)S(i,j)+
y(i)R(i,j)+ R(i,j)S(i,j) （ラウンド９７−９８）C(i,j)を復元する。各加入者ｊ
はC(i,j)=0を満足するかどうかを確かめる。満足しなけ
れば、加入者ｉが失格であるというメッセージを放送す
る。

【００７６】（後処理）もし、加入者ｉの失格のメッセ
ージがｔ個以上放送されるならば、他の加入者により、
秘密x(i)y(i)が復元される。

【００７７】次に、図２７につき、線形結合処理を説明
する。部分情報の積は全てのｉに対して、秘密に分散さ
れたx(i)y(i)とR(i)を次のように線形結合することによ
って得られる。

【００７８】z(i) = Sum_j(a(i,j)(x(i)y(i))) + Sum_j
((j・a(i,j))R(j)) a(i,u) = Prod_l((u-l)/(i-l)) mod u^t+1 ただし、Sum_j(f(j)) はj=1,・・・,n に対する全てのf(j)
の総和を意味し、Prod_l(f(l))はl=1,・・・,n に対する全
てのf(l)の積を意味する。

【００７９】この場合、a(i,j)及びj・a(i,j)は部分情報
でなく、i,j によって定まる値であるので、これらの値
と部分情報x(i)y(i)やR(j)との乗算、及びSum_j(a(i,j)
(x(i)y(i))) とSum_j((j・a(i,j))R(j)) の演算は通常の
演算によって実現される。よって、図２７の線形結合処
理の内部処理は、図１９と同型の処理によって実現され
る。

【００８０】

【発明が解決しようとしている課題】図２２につき上述
した従来の分散乗算方法において、最も重要な処理は分
散積x(i)y(i)が正しいかどうかを確認する、図２６につ
き説明した乗算確認処理である。この処理は Cut and C
hoose 技術によって、部分処理としてのＶＳＳ処理をｋ
のオーダーの回数行なっている。ところで、図１８につ
き説明したように、１つのＶＳＳ処理もまた、 Cut and
Choose 技術を利用して、部分処理としてのＷＶＳＳ処
理をｋのオーダーの回数を行う。よって、従来の分散乗
算方式の計算量と通信量は、 Cut and Choose 技術につ
いて、k²のオーダーとなることがわかる。ここで、ｋ
は、正しい分散が行なわれているか否かの判定におい
て、この判定に誤りが生じる確率２^-kを規定するもので
あり、この判定に高い信頼性を与えるには、ｋは１００
程度の大きさが必要であり、計算量と通信量は10⁴ のオ
ーダーを必要としていた。

【００８１】そこで、本発明は、秘密に分散乗算を実行
する分散乗算方法において、従来と同一の信頼性で、計
算量と通信量がはるかに少なくて済む方法を提供するこ
とを目的とする。

【００８２】

【課題を解決するための手段】秘密に分散乗算を実行す
るために、より効率的で計算量と通信量の少なくて済む
分散乗算方法を構成するために、その Cut and Choose
処理を一段階だけに減らし、必要な計算量と通信量はk
のオーダになるような方式を提案する。

【００８３】上述の課題を解決するために、本発明の分
散演算方法によれば、複数の情報処理装置を有し、各装
置が、個別の装置間で他の装置には秘密に情報の通信を
行なうための秘密通信路と、各装置から他の全ての装置
へ共通に情報の送信を行なうための放送通信路とを介し
て接続された通信システムにおいて、２つの異なる元Ｘ
とＹとの乗算を、複数の前記装置により、該装置に前記
元の値を秘密にしたまま分散して行なう分散演算方法に
おいて、前記秘密通信路を介して、前記各装置に、前記
元ＸおよびＹの部分情報を秘密に分配し、各装置ｉが、
他の前記各装置に、前記装置ｉ固有の秘密の元Ｒ(i) の
部分情報を秘密に分配し、前記各装置に分配された前記
部分情報を利用して、乗算Ｒ(i) Ｙを前記各装置で分散
して実行し、全ての各装置ｉについて、前記Ｒ(i) の和
Ｒ、及び前記Ｒ(i) Ｙの和ＲＹを、前記各装置による分
散加算により求め、前記各装置による分散加算により、
Ｕ＝Ｘ−Ｒを実行し、全ての前記装置により、前記Ｕを
復元し、前記各装置により、前記Ｕを復元したｕを用い
て、求めるＸとＹとの乗算の結果ＸＹとして、線形結合
ＸＹ＝ＲＹ−ｕＹを分散して計算することを特徴とす
る。

【００８４】上述の課題を解決するために、本発明の通
信システムは、複数の情報処理装置と、前記装置の各々
が、個別の装置間で他の装置には秘密に情報の通信を行
なうための秘密通信路と、前記装置の各々から他の全て
の装置へ共通に情報の送信を行なうための放送通信路と
を有し、２つの異なる元ＸとＹとの乗算を、前記秘密通
信路を介して、前記各装置に、前記元ＸおよびＹの部分
情報を秘密に分配し、各装置ｉが、他の前記各装置に、
前記装置ｉ固有の秘密の元Ｒ(i) の部分情報を秘密に分
配し、前記各装置に分配された前記部分情報を利用し
て、乗算Ｒ(i) Ｙを前記各装置で分散して実行し、全て
の各装置ｉについて、前記Ｒ(i) の和Ｒ、及び前記Ｒ
(i) Ｙの和ＲＹを、前記各装置による分散加算により求
め、前記各装置による分散加算により、Ｕ＝Ｘ−Ｒを実
行し、全ての前記装置により、前記Ｕを復元し、前記各
装置により、前記Ｕを復元したｕを用いて、求めるＸと
Ｙとの乗算の結果ＸＹとして、線形結合ＸＹ＝ＲＹ−ｕ
Ｙを分散して計算することを特徴とする。

【００８５】上述の課題を解決するために、本発明の情
報処理装置は、個別の装置間で他の装置には秘密に情報
の通信を行なうための秘密通信路と、他の全ての装置と
共通に情報通信を行なうための放送通信路とを介して、
複数の他の装置と接続された情報処理装置であって、２
つの異なる元ＸとＹとの乗算を前記他の装置と共同で実
行するために、前記秘密通信路を介して、前記元Ｘおよ
びＹの部分情報を秘密に受信し、前記秘密通信路を介し
て、他の前記装置に、自装置固有の秘密の元の部分情報
を秘密に分配し、前記秘密通信路を介して、他の前記装
置ｉから、装置ｉ固有の秘密の元の部分情報を秘密に受
信し、受信した前記部分情報を利用して、乗算Ｒ(i) Ｙ
を他の装置とともに各装置に分散して実行し、全ての各
装置ｉについて、前記Ｒ(i) の和Ｒ、及び前記Ｒ(i) Ｙ
の和ＲＹを、他の装置とともに各装置による分散加算に
より求め、他の装置とともに各装置による分散加算によ
り、Ｕ＝Ｘ−Ｒを実行し、他の装置とともに、前記Ｕを
復元し、他の装置とともに、前記Ｕを復元したｕを用い
て、求めるＸとＹとの乗算の結果ＸＹとして、線形結合
ＸＹ＝ＲＹ−ｕＹを各装置に分散して計算することを特
徴とする。

【００８６】

【作用】本発明によれば、２つの異なる元ＸとＹとの乗
算を行なうために、前記秘密通信路を介して、前記各装
置に、前記元ＸおよびＹの部分情報を秘密に分配し、各
装置ｉが、他の前記各装置に、前記装置ｉ固有の秘密の
元Ｒ(i) の部分情報を秘密に分配し、前記各装置に分配
された前記部分情報を利用して、乗算Ｒ(i) Ｙを前記各
装置で分散して実行し、全ての各装置ｉについて、前記
Ｒ(i) の和Ｒ、及び前記Ｒ(i) Ｙの和ＲＹを、前記各装
置による分散加算により求め、前記各装置による分散加
算により、Ｕ＝Ｘ−Ｒを実行し、全ての前記装置によ
り、前記Ｕを復元し、前記各装置により、前記Ｕを復元
したｕを用いて、求めるＸとＹとの乗算の結果ＸＹとし
て、線形結合ＸＹ＝ＲＹ−ｕＹを分散して計算する。

【００８７】

【実施例】以下、図面を参照しながら、本発明の実施例
を説明する。

【００８８】以下では、与えられた有限体Ｆ上で、分散
乗算を実行する方法を説明する。

【００８９】図１は、本実施例の分散乗算を実現するた
めの通信システムの構成を示す図である。同図におい
て、１１は、システムの各加入者の利用する情報処理装
置である。以下の説明では、各装置とそれを利用する各
加入者とを同一視して、加入者と呼ぶことにする。１２
は、全ての加入者に情報を公開することができる放送型
通信路であり、１３は、各加入者毎に秘密の通信を行う
ことができる秘密通信路である。

【００９０】図２は、情報処理装置１１のブロック構成
を示す図である。同図において、２１は、放送型通信路
１２または秘密通信路１３により他の装置と通信を行な
うための通信部である。２２は、演算処理部であり、記
憶部２４のプログラムに従って、演算や判定の処理を行
なうとともに、装置各部を制御する。２３は、例えば疑
似乱数発生器のような乱数発生部である。２４は、演算
処理部２２が実行すべきプログラムや、処理の過程で生
成される情報や、他の装置から受信した情報、各種パラ
メータなどを記憶するための記憶部である。

【００９１】複数の加入者による分散乗算は、以下のよ
うにして実行される。

【００９２】まず、乗算の対象となる有限体Ｆ上の秘密
の２つの元Ｘ、Ｙを各加入者に、確認可能に分散させ
る。

【００９３】確認可能に分散された２つの有限体Ｆ上の
秘密の元Ｘ、Ｙの秘密積Ｚ＝ＸＹを安全に計算するため
に、本実施例では、まずＷＶＳＳ処理（例えば、図１２
につき上述した従来のＷＶＳＳ処理）を用いて、次のよ
うに、各加入者ｉが、ランダムに選ばれた秘密Ｒを確認
可能に分散させながら、その秘密Ｒと以前分散されたＹ
の分散された積RYを安全に計算する。この処理をＰＶＳ
Ｓ(Product and Verifiable Secret Sharing) と呼ぶこ
ととし、図５を用いて説明する。

【００９４】（ラウンド１０１−１０７）秘密の元R を
もつ加入者ｉは、ＷＶＳＳ処理を用いてR から部分情報
を生成する。そして、有限体Ｆ上の元をランダムにkn個
（ｎは全加入者の数であり、ｋは安全性を表すパラメー
タである）選び、同様にＷＶＳＳを用いてそれらの部分
情報を生成する。このランダムに選ばれた元を各々、L
1,・・・,Lknと表す。

【００９５】（ラウンド１０８−１１４）各加入者ｊ
は、秘密R とL1,・・・,Lknの第１部分情報（各々R(j), L1
(j),・・・,Lkn(j)と表す）を受け取り、秘密情報Y の第１
部分情報Y(l)をもつ加入者ｊは、積 R(j)Y(j), L1(j)Y
(j),・・・,Lkn(j)Y(j) を計算し、これらの積からＷＶＳ
Ｓを用いてさらに部分情報を生成し分散する。

【００９６】（ラウンド１１５）各加入者は、１ビット
の乱数をｋ個選び、各１ビットに1,・・・,knのうち互いに
異なるｋ個の値を与えることにより、乱数に対して番号
を付ける（例えば、ｎ人の全加入者が1,・・・,nkの値を順
にとっていってもよい）。このようにして得られた値ｍ
(m=1,・・・,kn)に対する１ビットを、Bmと呼ぶ。

【００９７】（ラウンド１１６）加入者i は、ラウンド
１０１−１０７で選ばれたランダムな元L1,・・・,Lknの全
てに対して、各加入者ｊから放送されたビットBmが０か
１に応じて、Lmか(R+Lm)かのどちらかから生成された第
１部分情報及び第２部分情報を決定するために必要な全
ての情報(Lm)_ または(R+Lm)_ を放送する。

【００９８】（ラウンド１１７−１１８）各加入者ｌ
は、ラウンド１５で残りの加入者から放送されたビット
Bm(m=1,・・・,kn)に応じてLmの第１部分情報Lm(l) 及び第
２部分情報Lm(l,j)(j=1,・・・,n)または(R+Lm)の第１部分
情報(R(l)+Lm(l))及び第２部分情報(R(l,j)+Lm(l,j))(j
=1,・・・,n) を放送する。

【００９９】（ラウンド１１９）全てのl=1,・・・,n と全
てのランダムな元L1,・・・,Lknに対して、ラウンド１１６
で加入者ｉによって放送された情報(Lm)_ または(R+Lm)
_ がラウンド１１７−１１８で残りの参加者から放送さ
れた第１及び第２部分情報を正しく決定するかどうかを
確認する。もし、ｔ以上の部分情報が、どのようなｍに
対してもラウンド１１６で放送された情報に対する部分
情報でないならば、秘密Ｒが正しく分散されていないと
決定する。

【０１００】更に、全てのl=1,・・・,n に対して、(Lm
(l))^-1(Lm(l)Y(l))-Y(l) か(R(l)+Lm(l))^-1(R(l)Y(l)+L
m(l)Y(l))-Y(l) かのどちらかから生成された第１部分
情報及び第２部分情報を決定するために必要な全ての情
報 (Lm(l))^-1(Lm(l)Y(l))_-(Y(l))_ または (R(l)+Lm(l))^-1((R(l)Y(l))_+(Lm(l)Y(l))_)-(Y(l))_ を放送する。

【０１０１】（ラウンド１２０−１２１）全てのl=1,・・
・,n に対して、各加入者ｊは、ラウンド１１５で全ての
加入者から放送されたビットBm(m=1,・・・,kn)に応じて (Lm(l))^-1(Lm(l)Y(l))-Y(l) の第１部分情報 (Lm(l))^-1(Lm(l)Y(l))(j)-(Y(l))(j) 及び第２部分情報 (Lm(l))^-1(Lm(l)Y(l))(j,o)-(Y(l))(j,o)(o=1,・・・,n) または (R(l)+Lm(l))^-1(R(l)Y(l)+Lm(l)Y(l))-Y(l) の第１部分情報 (R(l)+Lm(l))^-1((R(l)Y(l))(j)+(Lm(l)Y(l))(j))-(Y
(l))(j) 及び第２部分情報 (R(l)+Lm(l))^-1((R(l)Y(l))(j,o)+(Lm(l)Y(l))(j,o))-
(Y(l))(j,o)(o=1,・・・,n) を放送する。

【０１０２】（後処理）全てのl=1,・・・,n と全てのラン
ダムな元L1,・・・,Lknに対して、全加入者ｊは、ラウンド
１１９で加入者ｉによって放送された情報がラウンド１
２０ー１２１で残りの参加者から放送された第１及び第
２部分情報を正しく決定するかどうかを確認し、それら
の秘密値が０になることを確認する。もし、ｔ以上の部
分情報がどのようなｊに対してもラウンド１１９で放送
された情報に対する部分情報でないならば、あるいは放
送された情報に対する秘密の値が０でないならば、R(l)
Y(l)が正しく分散されていないと決定し、全加入者によ
ってR(l)とY(l)が復元される。正しく分散され、または
復元されたR(i)Y(i)より、図２７につき説明したZ(i)の
計算と同様に、RYが分散して求められる。ただし、RYは
既に乱数を含んでいるので、Z(i)の計算における第２項
は必要ではない。

【０１０３】以上の処理を行うことによって、ある加入
者ｉがランダムに選んだＦ上の秘密の元Ｒは、確認可能
な形で分散が行われながら、同時にその秘密の元Ｒと以
前に確認可能に分散された秘密Ｙとの積ＲＹが計算され
る。

【０１０４】次に、上述の処理を利用して、２つの分散
されている秘密の元ＸとＹの乗算を行なう方法について
のべる。これを図３、４に示す。

【０１０５】（ラウンド２０１−２２１）各加入者ｉが
ランダムにＦ上の元R(i)を選択し、上述の処理によって
確認可能な分散を行いながらR(i)Y を同時に計算する。

【０１０６】（ラウンド２２２−２２７）正しく確認可
能な分散が行われている全ての加入者jl(l=1,・・・,m) に
関して、秘密の加算R = R(j1)+R(j2)+・・.+R(jm) と RY
= R(j1)Y+R(j2)Y+・・・+R(jm)Yが図９で説明した分散加算
によって計算される。

【０１０７】（ラウンド２２８−２３３）秘密の加算Ｕ
＝Ｘ−Ｒが分散加算される。

【０１０８】（ラウンド２３４−２３５）全ての加入者
によって、秘密Ｕが復元される。復元された値をｕと呼
ぶ。

【０１０９】（ラウンド２３６−２４１）秘密の線形結
合Ｚ＝ＲＹ−ｕＹ＝ＸＹが分散計算される。

【０１１０】〔他の実施例〕実施例１に示されたシステ
ムは与えられた有限体Ｆ上での分散された線形結合や乗
算を実行する手段を与える。

【０１１１】ここで、有限体ＦをＧＦ( ２^p)とし、秘密
情報ＸとＹを０か１かの１ビット情報とすると、ＧＦ(
２^p)上の分散された加算は入力ＸとＹに対するＸＯＲ回
路をなる。そして、本発明によるＧＦ( ２^p)上の分散乗
算は入力ＸとＹに対するＡＮＤ回路として実現すること
ができる。よって、ＸとＹを複数ビットからなる２つの
数を構成する１ビットであると考えると、このＸＯＲ回
路とＡＮＤ回路を複数用いることにより、有限体に限ら
ない通常の演算回路が実現できる。すなわち、このＸＯ
Ｒ回路とＡＮＤ回路により種々の論理回路が構成できる
ことは明かである。よって、直接に演算を実行できず、
入力を秘密にしたまま計算結果を得たい場合にはこのよ
うな回路は有用である。

【０１１２】１例として、図１６(a) に１ビットの入力
a,b,c,d に対してx=(a・b)・(c+d) を計算する従来のＡＮ
ＤとＸＯＲからなる回路を示す。この入力を秘密にした
い場合、図１６(b) に示すようにこの１ビット入力を分
散したa_i,b_i,c_i,d_i(i=1,・・・,n)に対して本発明によ
る分散乗算処理（ＡＮＤ）と分散加算処理（ＸＯＲ）を
実現する回路によって、同様の演算を秘密に行うことが
できる。このＡＮＤ回路やＸＯＲ回路はメモリをもつＣ
ＰＵ等によっても実現することができることは明らかで
ある。

【０１１３】以上のように、図４において、本実施例で
は、図６のＰＶＳＳ内においてＷＶＳＳを部分処理とし
た Cut and Choose 技術を１度用いているだけで分散乗
算を実現することができる。それに対して、図２１、２
２に示す従来の分散乗算方式は、乗算確認処理において
ＶＳＳを部分処理とする Cut and Choose と、そのＶＳ
Ｓ内においてＷＶＳＳを部分処理とする Cut and Choos
e を用いている。

【０１１４】ここで、１度の Cut and Choose に対して
ｋ回の部分処理を行うとすると、従来方式の計算量及び
通信量はk²のオーダーになるが、本発明による分散乗算
方式の計算量及び通信量はｋのオーダーとなる。ｋは正
しい分散が行われているかの判定において、許容できる
判定の誤り確率2^-k から決まり、ｋが１００程度の数で
あればその判定は高い確率で信頼できる。

【０１１５】よって、この場合、従来方式に比べて１０
０倍の計算量と通信量の改善が行える。

【０１１６】

【発明の効果】以上説明したように、本発明によれば、
従来方式に比べて、計算量と通信量とを飛躍的に低減さ
せることができる。

【０１１７】これにより、通信量が少なくて済むことに
よって、通信システムのトラフィックや通信料金等が改
善され、更に、計算量が少なくて済むことによって処理
が高速化されるという効果を奏する。

【図面の簡単な説明】

【図１】本発明に係る分散乗算を実行する通信システム
を示す図である。

【図２】本発明に係る情報処理装置のブロック構成を示
す図である。

【図３】本発明に係る分散乗算処理を説明する図であ
る。

【図４】本発明に係る分散乗算処理の手順を示す図であ
る。

【図５】本発明に係るＰＶＳＳ処理を説明する図であ
る。

【図６】本発明に係るＰＶＳＳ処理の手順を示す図であ
る。

【図７】他の実施例に係る論理回路を示す図である。

【図８】他の実施例に係る分散処理を説明する図であ
る。

【図９】ＶＳＳ処理を説明する図である。

【図１０】復元処理を説明する図である。

【図１１】ＷＶＳＳ処理を説明する図である。

【図１２】ＷＶＳＳ処理の手順を示す図である。

【図１３】検査情報確認処理を説明する図である。

【図１４】検査情報確認処理の手順を示す図である。

【図１５】復元処理を説明する図である。

【図１６】復元処理の手順を示す図である。

【図１７】ＶＳＳ処理の手順を示す図である。

【図１８】ＶＳＳ処理を説明する図である。

【図１９】分散加算処理の手順を示す図である。

【図２０】分散加算処理を説明する図である。

【図２１】乗算処理の手順を示す図である。

【図２２】乗算処理を説明する図である。

【図２３】乱数生成処理の手順を示す図である。

【図２４】乱数生成処理を説明する図である。

【図２５】乗算確認処理の手順を示す図である。

【図２６】乗算確認処理を説明する図である。

【図２７】線形結合処理を説明する図である。

【符号の説明】

１１ 情報処理装置 １２ 放送通信路 １３ 秘密通信路 ２１ 通信部 ２２ 演算処理部 ２３ 乱数発生部 ２４ 記憶部

───────────────────────────────────────────────────── フロントページの続き (58)調査した分野(Int.Cl.⁷，ＤＢ名) G06F 7/52 G06F 15/163 G09C 1/00 660 H04K 1/00

Claims (6)

(57)【特許請求の範囲】
1. 【請求項１】 複数の情報処理装置を有し、各装置が、
   個別の装置間で他の装置には秘密に情報の通信を行なう
   ための秘密通信路と、各装置から他の全ての装置へ共通
   に情報の送信を行なうための放送通信路とを介して接続
   された通信システムにおいて、２つの異なる元ＸとＹと
   の乗算を、複数の前記装置により、該装置に前記元の値
   を秘密にしたまま分散して行なう分散演算方法におい
   て、 前記秘密通信路を介して、前記各装置に、前記元Ｘおよ
   びＹの部分情報を秘密に分配し、 各装置ｉが、他の前記各装置に、前記装置ｉ固有の秘密
   の元Ｒ(i) の部分情報を秘密に分配し、 前記各装置に分配された前記部分情報を利用して、乗算
   Ｒ(i) Ｙを前記各装置で分散して実行し、 全ての各装置ｉについて、前記Ｒ(i) の和Ｒ、及び前記
   Ｒ(i) Ｙの和ＲＹを、前記各装置による分散加算により
   求め、 前記各装置による分散加算により、Ｕ＝Ｘ−Ｒを実行
   し、 全ての前記装置により、前記Ｕを復元し、 前記各装置により、前記Ｕを復元したｕを用いて、求め
   るＸとＹとの乗算の結果ＸＹとして、線形結合ＸＹ＝Ｒ
   Ｙ−ｕＹを分散して計算することを特徴とする分散演算
   方法。
2. 【請求項２】 前記元を有限体上の元とし、前記乗算な
   いし加算を有限体上の演算とすることを特徴とする請求
   項１記載の分散演算方法。
3. 【請求項３】 複数の情報処理装置と、 前記装置の各々が、個別の装置間で他の装置には秘密に
   情報の通信を行なうための秘密通信路と、 前記装置の各々から他の全ての装置へ共通に情報の送信
   を行なうための放送通信路とを有し、２つの異なる元Ｘ
   とＹとの乗算を、 前記秘密通信路を介して、前記各装置に、前記元Ｘおよ
   びＹの部分情報を秘密に分配し、 各装置ｉが、他の前記各装置に、前記装置ｉ固有の秘密
   の元Ｒ(i) の部分情報を秘密に分配し、 前記各装置に分配された前記部分情報を利用して、乗算
   Ｒ(i) Ｙを前記各装置で分散して実行し、 全ての各装置ｉについて、前記Ｒ(i) の和Ｒ、及び前記
   Ｒ(i) Ｙの和ＲＹを、前記各装置による分散加算により
   求め、 前記各装置による分散加算により、Ｕ＝Ｘ−Ｒを実行
   し、 全ての前記装置により、前記Ｕを復元し、 前記各装置により、前記Ｕを復元したｕを用いて、求め
   るＸとＹとの乗算の結果ＸＹとして、線形結合ＸＹ＝Ｒ
   Ｙ−ｕＹを分散して計算することを特徴とする通信シス
   テム。
4. 【請求項４】 前記元を有限体上の元とし、前記乗算な
   いし加算を有限体上の演算とすることを特徴とする請求
   項３記載の通信システム。
5. 【請求項５】 個別の装置間で他の装置には秘密に情報
   の通信を行なうための秘密通信路と、他の全ての装置と
   共通に情報通信を行なうための放送通信路とを介して、
   複数の他の装置と接続された情報処理装置であって、 ２つの異なる元ＸとＹとの乗算を前記他の装置と共同で
   実行するために、 前記秘密通信路を介して、前記元ＸおよびＹの部分情報
   を秘密に受信し、 前記秘密通信路を介して、他の前記装置に、自装置固有
   の秘密の元の部分情報を秘密に分配し、 前記秘密通信路を介して、他の前記装置ｉから、装置ｉ
   固有の秘密の元の部分情報を秘密に受信し、 受信した前記部分情報を利用して、乗算Ｒ(i) Ｙを他の
   装置とともに各装置に分散して実行し、 全ての各装置ｉについて、前記Ｒ(i) の和Ｒ、及び前記
   Ｒ(i) Ｙの和ＲＹを、他の装置とともに各装置による分
   散加算により求め、 他の装置とともに各装置による分散加算により、Ｕ＝Ｘ
   −Ｒを実行し、 他の装置とともに、前記Ｕを復元し、 他の装置とともに、前記Ｕを復元したｕを用いて、求め
   るＸとＹとの乗算の結果ＸＹとして、線形結合ＸＹ＝Ｒ
   Ｙ−ｕＹを各装置に分散して計算することを特徴とする
   情報処理装置。
6. 【請求項６】 前記元を有限体上の元とし、前記乗算な
   いし加算を有限体上の演算とすることを特徴とする請求
   項５記載の情報処理装置。