JP5047198B2 - 秘密計算システム、秘密計算方法、秘密計算装置、検証装置、およびプログラム - Google Patents

Description

本発明は暗号応用技術に関し、特に、入力値を秘匿したまま、その入力値に対する演算の結果を得る技術に関する。

非特許文献１には、入力値を秘匿したままで演算結果を得る技術が開示されている。図８は、非特許文献１に開示された技術を用いた秘密計算システムの構成を示すブロック図である。図８を参照すると、秘密計算システムは、複数の変換装置９０₁〜９０_Nと秘密計算装置９１Ａ，９１Ｂとを有している。２つの秘密計算装置９１Ａ，９１Ｂによって秘密計算装置群９１をなしている。

各変換装置９０₁〜９０_Nはデータｍ₁〜ｍ_Nをそれぞれ保有している。各変換装置９０₁〜９０_Nは、保有しているデータｍ₁〜ｍ_Nを秘匿した状態で秘密計算装置群９１に送る。

秘密計算装置９１Ａ，９１Ｂからなる秘密計算装置群９１は、変換装置９０₁〜９０_Nから受信したデータを用いて、データｍ_i（１≦ｉ≦Ｎ）を入力値とした論理回路ｆの演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。その際、秘密計算装置群９１は、データｍ_iを復元することなく、またデータｍ_iを容易に復元できるデータを得ることなく、演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る。

また、非特許文献１では、非特許文献２に示されている技術の応用として、データｍ₁〜ｍ_Nを秘匿し、秘匿したままのデータｍ₁〜ｍ_Nを用いて演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出するまでの一連の処理が開示されている。以下、演算結果ｆ（ｍ₁，・・・，ｍ_N）を求める手順の概要を説明する。手順は７つのステップからなる。手順の説明には、図８に示した秘密計算システムの構成を用いる。なお、記号を簡略化するため、ここでは特に必要が無ければｍ_iの添え字を省略することにする。

（第１のステップ）
まず、秘密計算装置９１Ａと秘密計算装置９１Ｂは協力して素数ｐを生成し、ｈ^q≡１（ｍｏｄ ｐ）を満たす２以上ｐ未満の整数ｈおよび最小の自然数ｑを求める。また別に２以上ｐ未満の整数ｚを選ぶ。

（第２のステップ）
秘密計算装置９１Ｂは、以下の（ａ）〜（ｄ）を実行し、論理回路ｆを秘匿化する。
（ａ） ｆの各ワイヤーｉに対して固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） ランダムビットｃ_iを生成する。
（ｃ）

をワイヤーｉに対応させる。ここで

とする。
（ｄ） ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路ｆの秘匿化データとなる。ここでコロンの左側をラベルとし、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるものとする。

秘密計算装置９１Ｂは、このＴ_gの集合を論理回路ｆの秘匿化データとして秘密計算装置９１Ａに送信する。

（第３のステップ）
各変換装置９０₁〜９０_Nはｐ，ｑ，ｈ，ｚを入力し、以下の（ａ）〜（ｄ）をｍの各ビットｂに対して実行する。これによって、秘密計算装置９１Ａがｍの各ビットｂの入力ワイヤーｉに対応するデータ

を得られるようになる。
（ａ） ｑ未満の自然数ｕをランダムに選ぶ。
（ｂ） ＰＫ_b＝ｈ^uｍｏｄ ｐを計算する。
（ｃ） ｂ＝１であれば

を計算する。
（ｄ） 各変換装置９０₁〜９０_NはＰＫ₀を秘密計算装置９１Ｂに送り、ｕを秘密計算装置９１Ａに送る。

（第４のステップ）
秘密計算装置９１Ｂは、ＰＫ₁＝ｚ／ＰＫ₀ｍｏｄ ｐを計算した後、

を計算し、得られた暗号文Ｚ₀，Ｚ₁を秘密計算装置９１Ａに送る。ここでＥ_PK（ｘ）は平文ｘの公開鍵ＰＫを用いた暗号化関数であるとし、その暗号文は復号鍵ｕにより復号できるものとする。またＣは平文が正しく復元できたか識別可能な関数であるとする。

（第５のステップ）
秘密計算装置９１Ａは復号鍵ｕを用いてＺ₀，Ｚ₁を復号し、正しく復元されているとＣにより識別される復号結果

を得る。

（第６のステップ）
秘密計算装置９１Ａは、Ｔ_gおよび

を用いて、ｆの最終段のワイヤーの出力

を得る。

（第７のステップ）
続いて、秘密計算装置９１Ａは、

から、演算結果ｆ（ｍ₁，・・・，ｍ_N）のビット

を得る。

以上の手順の中で第３のステップにおいて各変換装置９０₁〜９０_Nの選択したｕが秘密計算装置９１Ａ以外に知られると、ｂの秘匿性が損なわれる場合がある。そのため、各変換装置９０₁〜９０_Nと秘密計算装置９１Ａとの間の伝送路では別途、暗号化等の対策を講じることが望ましい。

また、第６のステップでは、入力ワイヤーｉ，ｊ、出力ワイヤーｋのゲートに対応するＴ_gと、

とが与えられたとき、先ずＴ_gからラベル

を持つデータ

を取り出し、

を計算するとよい。これにより、上記出力ワイヤーに対応するデータ

が得られる。他のゲートについても同様の処理を行えばよい。

また、第７のステップについては、例えばｇがｆの最終段ゲートである場合、ｃ_k＝０とすることにより、

から

を得ることができる。

Ｍ．Ｎａｏｒ， Ｂ．Ｐｉｎｋａｓ， ａｎｄ Ｒ．Ｓｕｍｎｅｒ，"Ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖｉｎｇ ａｕｃｔｉｏｎｓ ａｎｄ ｍｅｃｈａｎｉｓｍ ｄｅｓｉｇｎ"，Ｐｒｏｃ． ｏｆ ＡＣＭ ＥＣ’９９， ｐｐ．１２９−１３９，ＡＣＭ Ｐｒｅｓｓ，１９９９． Ａ．Ｃ．Ｙａｏ，"Ｈｏｗ ｔｏ ｇｅｎｅｒａｔｅ ａｎｄ ｅｘｃｈａｎｇｅ ｓｅｃｒｅｔｓ"，Ｐｒｏｃ． ｏｆ ＦＯＣＳ’８６， ｐｐ．１６２−１６７，ＩＥＥＥ Ｐｒｅｓｓ，１９８６． Ｋｏｊｉ Ｃｈｉｄａ ａｎｄ Ｋａｔｓｕｍｉ Ｔａｋａｈａｓｈｉ，"Ｐｒｉｖａｃｙ Ｐｒｅｓｅｒｖｉｎｇ Ｃｏｍｕｔａｔｉｏｎｓ Ｗｉｔｈｏｕｔ Ｐｕｂｌｉｃ Ｋｅｙ Ｃｒｉｐｔｏｇｒａｐｈｉｃ Ｏｐｅｒａｔｉｏｎ"， ＳＣＩＳ ２００８， Ｊａｎ． ２２−２５， ２００８

上述した方法では、保有しているデータを提供する各変換装置９０₁〜９０_Nは、保有データｍ_iに対して、１ビット毎にべき乗剰余演算を行い、ビット毎の暗号文を生成する必要がある。そのため、ｍ_iのサイズが大きい場合、変換装置９０₁〜９０_Nにおける計算時間が実用上の問題となりうる。また、変換装置９０₁〜９０_Nに高性能のものを用いることができない場合にも同様の問題が起こりうる。また同様に、変換装置９０₁〜９０_Nから秘密計算装置９１Ａ，９１Ｂに送るデータ量も実用上の問題となりうる。

本発明の目的は、データを提供する装置の負荷を低減した秘密計算システムを提供することである。

上記目的を達成するために、本発明の秘密計算システムは、
入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する秘密計算システムであって、
前記入力値ｍが２つに分割された一方の断片Ｂを入力とし、前記論理回路ｆ（ｘ）と前記断片Ｂとから、他方の断片Ａを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ）が秘匿化されたデータＴを生成する第１の秘密計算装置と、
前記断片Ａと前記データＴとを入力とし、前記演算結果ｆ（ｍ）を算出する第２の秘密計算装置と、を有している。

また、前記断片Ａ、Ｂは、前記入力値ｍを分割演算子＊で２つに分割した断片ｓ、ｔであり、
前記第１の秘密計算装置は、前記論理回路ｆ（ｘ）と前記断片ｔとから、前記断片ｓを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ＊ｔ）が秘匿化されたデータＴを生成し、
前記第２の秘密計算装置は、前記断片ｓと前記データＴとを入力とし、前記演算結果ｆ（ｍ）を算出することにしてもよい。

また、前記第１の秘密計算装置は、前記断片ｔを前記論理回路ｆ（ｘ）に埋め込んだ前記論理回路ｆ（ｘ＊ｔ）を秘匿化したデータＴを生成し、
前記第２の秘密計算装置は、前記断片ｓを入力として、論理演算において前記入力値ｍを実際に復元することなく、前記データＴから演算結果ｆ（ｍ）を算出することにしてもよい。

また、前記第２の秘密計算装置は、前記第１の秘密計算装置との間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行することにより取得した、秘匿された前記入力値ｍに関するデータを、前記演算結果ｆ（ｍ）の算出に用いることにしてもよい。

また、前記入力値ｍを、ｍ＝ｓ＊ｔを満たすように、前記断片ｓ，ｔに分割し、前記断片ｔを前記第１の秘密計算装置に送信し、前記断片ｓを前記第２の秘密計算装置に送信する変換装置を更に有することにしてもよい。

また、前記断片Ａは前記入力値ｍの各ビットｂに対応したデータＷｂであり、前記断片Ｂは、前記データＷｂと前記各ビットｂに対する（１−ｂ）に対応したデータＷ（１−ｂ）とを、ｂおよび（１−ｂ）との対応を特定せずに含むデータＷ＝（Ｗ０，Ｗ１）であり、
前記第１の秘密計算装置は、前記データＷを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路関数ｆを秘匿化したデータＴを生成し、
前記第２の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍ）を算出することにしてもよい。

本発明によれば、入力値であるデータを秘匿したまま、その入力値に対する演算の結果を得る秘密計算システムに対して、保有しているデータを変換して提供する装置は、保有しているデータｍをＡとＢに分割し、Ａを第２の秘密計算装置に送り、Ｂを第１の秘密計算装置に送るだけなので、負荷が低減される。

本実施形態による秘密計算システムの構成を示すブロック図である。 本実施形態の秘密計算システムの動作を示すシーケンス図である。 本実施形態の秘密計算装置１１Ｂの構成を示すブロック図である。 第２の実施形態の秘密計算システムの動作を示すシーケンス図である。 第３の実施形態による秘密計算システムの構成を示すブロック図である。 第３の実施形態の秘密計算システムの動作を示すシーケンス図である。 第３の実施形態における検証装置の構成を示すブロック図である。 非特許文献１に開示された技術を用いた秘密計算システムの構成を示すブロック図である。

本発明を実施するための形態について図面を参照して詳細に説明する。

（第１の実施形態）
図１は、第１の実施形態による秘密計算システムの構成を示すブロック図である。図１を参照すると、秘密計算システムは、複数の変換装置１０₁〜１０_Nと秘密計算装置１１Ａ，１１Ｂとを有している。秘密計算装置１１Ａと秘密計算装置１１Ｂとで秘密計算装置群１１をなしている。

各変換装置１０₁〜１０_Nはデータｍ₁〜ｍ_Nをそれぞれ保有している。各変換装置１０₁〜１０_Nは、保有しているデータｍ₁〜ｍ_Nを秘匿した状態で秘密計算装置群１１に送る。その際、例えば、変換装置１０₁は、データｍ₁を、分割演算子を用いて２つに分割し、一方の断片ｓを秘密計算装置１１Ａに送り、他方の断片ｔを秘密計算装置１１Ｂに送る。他の変換装置１０₂〜１０_Nの動作も変換装置１０₁と同様である。

秘密計算装置１１Ａ，１１Ｂからなる秘密計算装置群１１は、変換装置１０₁〜１０_Nから受信したデータを用いて、データｍ_i（１≦ｉ≦Ｎ）を入力値とした論理回路ｆの演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。その際、秘密計算装置群１１は、データｍ_iを復元することなく、またデータｍ_iを容易に復元できるデータを得ることなく、演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る。

その際、秘密計算装置１１Ｂは、入力値ｍが分割された一方の断片であるｔを入力とし、論理回路ｆと断片ｔとから、他方の断片であるｓを入力として演算結果ｆ（ｍ₁，・・・，ｍ_N）を求めることのできる、論理回路ｆが秘匿化されたデータＴ_gを生成する。データＴ_gでは論理回路ｆにｔが埋め込まれている。

秘密計算装置１１Ａは、ｓとデータＴ_gとを入力とし、演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。より具体的には、秘密計算装置１１Ａは、ｓを入力として、論理演算において入力値ｍを実際に復元することなく、データＴ_gから演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。

本実施形態の秘密計算システムは、例えば、プライバシーを保護しつつ個人的な情報を活用する様々なシステムに適用することができる。具体的な例として、秘密計算システムは、オークションを含む任意の情報集計システムであるとしてもよい。各ユーザーは、変換装置１０₁〜１０_Nを用いて各自の情報を秘匿して秘密計算装置群１１に送信する。秘密計算装置群１１は、各ユーザーからの情報を復元することなく、それらの情報に対する所定の演算の結果を得る。例えば、オークション結果や多数決による意思決定の結果などを演算結果として得ることが考えられる。また、他の例として、各ユーザーが保有するデータを他者に知られること無く集計し、それらのデータを元にした各種統計処理やマイニング処理を行うことも可能である。

また、更に他の例として、秘密計算システムは、生体認証システムであるとしてもよい。各ユーザーは、変換装置１０₁〜１０_Nを用いて自身の生体情報ｍ_iを秘匿して秘密計算装置群１１に送信する。秘密計算装置群１１は、その生体情報を復元することなく、生体情報が正当なものであるか否かｆ（ｍ_i）により判定する。

本実施形態の秘密計算システムの基本的な構成は非特許文献１に開示されたものと同様である。ただし、本実施形態の秘密計算システムは、各装置の機能や動作が非特許文献１に開示されたものとは異なっている。

以下、本実施形態の秘密計算システムおよび各装置の動作について説明する。本実施形態の秘密計算システムは、一連の処理によって演算結果ｆ（ｍ₁，・・・，ｍ_N）を求める。演算結果ｆ（ｍ₁，・・・，ｍ_N）を求めるまでの手順は５つのステップからなる。なお、記号を簡略化するため、ここでは特に必要が無ければｍ_iの添え字を省略することにする。

（第１のステップ）
まず、各変換装置１０₁〜１０_Nは、保有データｍに対して、

を満たす（ｓ，ｔ）をランダムに生成し、ｓを秘密計算装置１１Ａに、ｔを秘密計算装置１１Ｂにそれぞれ送る。

（第２のステップ）
秘密計算装置１１Ｂは、以下の（ａ）〜（ｄ）を実行することにより、論理回路ｆを変換する。
（ａ） ｆの各ワイヤーｉに対して固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） ランダムビットｃ_iを生成する。
（ｃ）

をワイヤーｉに対応させる。ここで

とする。ただし、ワイヤーｉがｍの下位ｗ番目のビットｍ_wを入力とする場合は、

とする。ここでｔ_wはｔの下位ｗ番目のビットとする。
（ｄ） ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路ｆの変換データとなる。ここでコロンの左側をラベルとし、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるものとする。

秘密計算装置１１Ｂは、このＴ_gの集合を論理回路の変換データとして秘密計算装置１１Ａに送信する。

（第３のステップ）
秘密計算装置１１Ａは、ｓを用いて、

を求める。その際、秘密計算装置１１Ａは、秘密計算装置１１Ｂと１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータ

を得る。

（第４のステップ）
秘密計算装置１１Ａは、Ｔ_gおよび

を用いて、論理回路ｆの最終段のワイヤーの出力

を得る。ここでｂ＝ｍ_wとする。

（第５のステップ）
秘密計算装置１１Ａは、

から、演算結果ｆ（ｍ₁，・・・，ｍ_N）のビットｂ′を得る。

上記手順の第３のステップでは１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルが用いられている。このプロトコルは、秘密計算装置１０Ｂがデータｄ₀，ｄ₁を保有し、秘密計算装置１０Ａがビットｂを保有するとき、秘密計算装置１０Ａはｄ_bを得ることができるが、

を得ることはできず、かつ秘密計算装置１０Ｂはｂを得ることができないような特徴を持つものである。このプロトコルの詳細は、Ｓ． Ｅｖｅｎ， Ｏ． Ｇｏｌｄｒｅｉｃｈ ａｎｄ Ａ． Ｌｅｍｐｅｌ， Ａ ｒａｎｄｏｍｉｚｅｄ ｐｒｏｔｏｃｏｌ ｆｏｒ ｓｉｇｎｉｎｇ ｃｏｎｔｒａｃｔｓ， Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ， Ｖｏｌ． ２８， Ｎｏ． ６， ｐｐ． ６３７−６４７， １９８５．という文献に説明がある。

また、第４のステップでは、入力ワイヤーｉ，ｊ、出力ワイヤーｋのゲートに対応するＴ_gと、

とが与えられたとき、先ずＴ_gからラベル

を持つデータ

を取り出し、

を計算するとよい。これにより、上記出力ワイヤーに対応するデータ

が得られる。他のゲートについても同様の処理を行えばよい。

また、第５のステップについては、例えばｇがｆの最終段ゲートである場合、ｃ_k＝０とすることにより、

から

を得ることができる。

上述した本実施形態の秘密計算システムによる処理は各装置によって実行される。以下、装置間の信号の送受信を含む処理の流れについて概説する。図２は、第１の実施形態の秘密計算システムの動作を示すシーケンス図である。

図２を参照すると、まず、データｍを保有している各変換装置１０₁〜１０_Nが（ｓ，ｔ）を生成し（ステップ１０１）、ｓを秘密計算装置１１Ａに送信し（ステップ１０２）、ｔを秘密計算装置１１Ｂに送信する（ステップ１０３）。このステップ１０１〜１０３が上記第１のステップに相当する。

次に、変換装置１０₁〜１０_Nからｔを受信した秘密計算装置１１Ｂが論理回路ｆを変換し（ステップ１０４）、論理回路ｆの変換データを秘密計算装置１１Ａに送信する（ステップ１０５）。このステップ１０４〜１０５が上記第２のステップに相当する。

次に、秘密計算装置１１Ａは、秘密計算装置１１Ｂとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータを得る（ステップ１０６）。このステップ１０６が上記第３のステップに相当する。

続いて、秘密計算装置１１Ａは、論理回路ｆのワイヤーの出力を得て、更に演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る（ステップ１０７）。このステップ１０７が上記第４および第５のステップに相当する。

図３は、第１の実施形態の秘密計算装置１１Ｂの構成を示すブロック図である。図３を参照すると、秘密計算装置１１Ｂは、入力部２１、秘匿化部２２、出力部２３、および１−ｏｕｔ−ｏｆ−２ ＯＴ（Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒ）実行部２４を有している。

入力部２１は、変換装置１０₁〜１０_Nから受信したデータｍの断片ｔを秘匿化部２２に入力する。また分割演算子が予め定められていない場合、入力部２１は、更に、変換装置１０₁〜１０_Nで用いられた分割演算子を秘匿化部２２に入力する。また論理回路ｆが予め定められていない場合、入力部２１は、更に、論理回路ｆを秘匿化部２２に入力する。

秘匿化部２２は、断片ｔと論理回路ｆとから、断片ｓを入力として断片ｔを秘匿したままで演算結果ｆ（ｍ）を得ることが可能なデータＴ_gを算出する。

出力部２３は、秘匿化部２２で算出されたデータＴ_gを秘密計算装置１１Ａに送信する。

１−ｏｕｔ−ｏｆ−２ ＯＴ実行部２４は、秘密計算装置１１Ａとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行する。この処理は、上記第３のステップにおいて、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータを得る処理である。

以上説明したように本実施形態では、変換装置１０₁〜１０_Nは、データｍをｓとｔに分割し、ｓを秘密計算装置１１Ａに送り、ｔを秘密計算装置１１Ｂに送る。秘密計算装置１１Ｂは、ｓを入力としてｆ（ｍ）を求めることのできる、論理回路ｆが秘匿化されたデータＴ_gを、論理回路ｆとｔとから算出し、秘密計算装置１１Ａに送信する。秘密計算装置１１Ａは、データＴ_gとｓを用いてｆ（ｍ）を算出する。したがって、本実施形態によれば、変換装置１０₁〜１０_Nは、保有しているデータｍをｓとｔに分割し、ｓを秘密計算装置１１Ａに送り、ｔを秘密計算装置１１Ｂに送るだけなので、非特許文献１および２に開示された方法に比べて、変換装置１０１〜１０Ｎの負荷が低減される。

なお、本実施形態では、ＸＯＲを分割演算子としてデータｍを２つの断片ｓ，ｔに分割する例を示したが、本発明はこれに限定されるものではない。論理回路ｆに一方の断片（例えばｔ）を埋め込んでデータＴ_gを生成し、他方の断片（例えばｓ）を入力として論理回路内でｍを復元しつつ、データＴｇから論理回路ｆの演算結果を得られればよいので、加減算、乗算、その他どのような演算子を分割演算子としてもよい。

また、本実施形態では、秘密計算装置１１Ａが秘密計算装置１１Ｂと１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行することにより、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータを得る例を示した。しかし、本発明は、これに限定されるものではない。他の例として、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを用いない方法について説明する。

本例では、変換装置１０₁〜１０_Nは、入力値ｍの各ビットｂに対応したデータＷｂと、各ビットｂに対する（１−ｂ）に対応したデータＷ（１−ｂ）とを生成する。そして、変換装置１０₁〜１０_Nは、入力値ｍを分割した一方の断片としてデータＷｂを秘密計算装置１１Ａに送る。また、変換装置１０₁〜１０_Nは、ｂおよび（１−ｂ）との対応を特定せずにデータＷｂおよびデータＷ（１−ｂ）を含むデータＷ＝（Ｗ０，Ｗ１）を他方の断片として秘密計算装置１１Ｂに送る。

秘密計算装置１１Ｂは、データＷを用いて、データＷｂを入力として演算結果ｆ（ｍ）を求めることのできる、論理回路関数ｆを秘匿化したデータＴを生成して、秘密計算装置１１Ａに送る。秘密計算装置１１Ａは、データＴとデータＷｂとを入力とし、演算結果ｆ（ｍ）を算出する。

この方法では、上述した第１のステップ〜第３のステップの処理動作が以下に示す、第１′のステップ〜第３′のステップに変更される。

（第１′のステップ）
各変換装置１０₁〜１０_Nは、ｍのビットｍ_w（ｍの下位ｗ番目のビット）が入力となるワイヤーｉに対して、ランダムビットｃ_iおよび固定長の乱数

を生成する。そして、各変換装置１０₁〜１０_Nは、

を秘密計算装置１１Ａに送信し、

を秘密計算装置１１Ｂに送信する。

（第２′のステップ）
秘密計算装置１１Ｂは、上述した第２のステップと同様に、（ａ）〜（ｄ）を実行することにより、論理回路ｆを変換する。ただし、ここでは（ｃ）において、ワイヤーｉがｍのビットを入力とする場合は、

として、変換装置１０から受信した値を用いる。

（第３′のステップ）
秘密計算装置１１Ａは、上述した第２のステップと同様に、ｓを用いて、

を求める。ただし、ここでは、秘密計算装置１１Ａは、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行せず、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータとして、変換装置１０から受信した

を用いる。

この例によれば、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行する必要が無いので、上述した例と比べて、秘密計算装置１１Ａ，１１Ｂの処理が軽減される。

秘匿性について、各変換装置１０から秘密計算装置１１Ｂに送られる

には、ｍに関する情報が含まれていない。また、各変換装置１０から秘密計算装置１１Ａに送られる

においては、ｍ_wがランダムビットｃ_iでマスクされているため、ｍに関する有意な情報とはならない。したがって、秘密計算装置１１Ａ，１１Ｂは自身の受信した情報からだけでは、ｍに関する有意な情報を得ることができず、秘匿性が確保される。

（第２の実施形態）
暗号応用技術では処理の正当性を検証できることが好ましい。第２の実施形態では、秘密計算装置による処理の正当性の検証を可能とした秘密計算システムを例示する。

第２の実施形態による秘密計算システムの基本的な構成は図１に示した第１の実施形態と同様である。

本実施形態の秘密計算システムは、変換装置１０₁〜１１_Nの保有するデータを基に、秘密計算装置１１Ａ、１１Ｂが連携動作することにより一連の処理を実行し、演算結果ｆ（ｍ₁，．．．，ｍ_N）を求める。演算結果ｆ（ｍ₁，．．．，ｍ_N）を求めるまでの手順は４つのステップからなる。なお記号を簡略化するため、ここではｍの添え字を省略する。

（第１のステップ）
まず各変換装置１０₁〜１１_Nは、セキュリティパラメータｐ及び秘密計算装置１１Ａの暗号化鍵ＰＫを保有しており、保有データｍに対して

（ｕ＝１，．．．，ｐ）を満たすｓ_u，ｔ_uをランダムに生成する。さらに、各変換装置１０₁〜１１_Nは、ＰＫを用いてｓ_uの暗号文Ｅ（ｓ_u）を計算し、Ｅ（ｓ_u），ｔ_u（ｕ＝１，．．．，ｐ）を秘密計算装置１１Ｂに送信する。

（第２のステップ）
秘密計算装置１１Ｂは、ｕ＝１，．．．，ｐについて以下の（ａ）〜（ｅ）を実行することにより論理回路ｆを変換し、さらにそれらのコミットメントを生成する。
（ａ） ｆのワイヤーｉに対して固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） ランダムビットｃ_iを生成する。
（ｃ）

をワイヤーｉに対応させる。ここで

とする。ただし、ワイヤーｉがｍの下位ｗ番目のビットｍ_wを入力とする場合は、

とする。ここで（ｔ_u）_wはｔ_uの下位ｗ番目のビットとする。
（ｄ） ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路ｆの変換データｆ´_uとなる。ここでコロンの左側をラベルとし、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるものとする。
（ｅ） 各Ｔ_gについてコミットメントＣｏｍｍｉｔ＝Ｈａｓｈ（Ｔ_g）を計算し、秘密計算装置１１Ａに送信する。ここでＨａｓｈ（・）はハッシュ関数である。

秘密計算装置１１Ｂは、このＴ_gの集合を論理回路の変換データとし、Ｃｏｍｍｉｔを各Ｔ_gのコミットメントとする。

データ自体は明かさず変更不可能な状態にしておき、そのデータが変更されていないかを後に検証する手法をコミットメント方式と呼ぶ。コミットメントは、このコミットメント方式の処理に利用される。

上記のように単純にはハッシュ関数を利用する手法は、コミットメント方式の一例である。この手法では、ハッシュ関数Ｈａｓｈ（・）で求めたＣｏｍｍｉｔ＝Ｈａｓｈ（Ｔ_g）のみを検証装置に送信しておき、その後、検証装置はＴ_gを受信し、ＣｏｍｍｉｔがＴ_gのハッシュ値であるかどうか検証すればよい。それにより、変換データＴ_gが変更されたものであるか否かを確認できる。本実施形態では、秘密計算装置１１Ａが検証装置として機能する。

（第３のステップ）
秘密計算装置１１Ａは以下の（ｆ）〜（ｉ）を実行することにより、変換後の論理回路ｆ´_u＝｛Ｔ_g｝の正当性を確認する。
（ｆ） １以上ｐ以下の整数ａをランダムに選び秘密計算装置１１Ｂに送信する。
（ｇ） その秘密計算装置１１Ｂから、ｕ≠ａについて、
ｆ´_u、

、およびｔ_uを受信する。
（ｈ） ｆ´_uが変更されていないことを、Ｃｏｍｍｉｔを用いて確認する。
（ｉ） さらに、ｆ´_uが論理回路ｆを正しく変換した論理回路であることを、（Ｗ⁰，Ｗ¹），ｔ_uを用いて確認する。

その際、秘密計算装置１１Ａは、（Ｗ⁰，Ｗ¹），ｔ_uを用いて、ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を算出し、これを、秘密計算装置１１Ｂから取得したｆ´_u＝｛Ｔ_g｝に含まれているものと比較する。Ｔ_gにおいて４つのラベル付きデータはランダムな順番に並んでいるので、これらについての比較においてデータの並んでいる順番は異なっていてもよい。

上記検証処理において、Ｃｏｍｍｉｔまたはｆ´_uが不正であると判断された場合、秘密計算装置１１Ｂはそれ以降の処理を中止する。

ｆ´_u（ｕ≠ａ）の少なくとも１つが不正なものであった場合、秘密計算装置１１Ａは、不正な変換があったことを検知する。ここで、ａはｆ´_uがコミットメントされた後、すなわちＣｏｍｍｉｔが計算された後に生成された乱数であるため、秘密計算装置１１Ａは、（ｐ−１）／ｐ以上の確率で不正な変換を検知できる。

（第４のステップ）
秘密計算装置１１Ａは、以下の（ｊ）〜（ｎ）を実行することにより演算結果ｆ（ｍ₁，．．．，ｍ_N）を得る。
（ｊ） ｆ´ａ及びＥ（ｓ_a）を秘密計算装置１１Ｂから受信する。
（ｋ） Ｅ（ｓ_a）からｓ_aを復号する。
（ｌ） ｓ_aを用いて、

を求める。その際、秘密計算装置１１Ａは、秘密計算装置１１Ｂとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータ

を得る。
（ｍ） ｆ´_a及び

を用いて、論理回路ｆの最終段のワイヤーの出力

を得る。ここでｂ＝ｍ_wとする。
（ｎ）

から演算結果ｆ（ｍ₁，．．．，ｍ_N）のビットｂ′を得る。その際、ｂ´を得るために、回路出力

においてｃ_k＝０とする。

図４は、第２の実施形態の秘密計算システムの動作を示すシーケンス図である。

図４を参照すると、まず、データｍを保有している各変換装置１０₁〜１０_Nがｓ_u，ｔ_uを生成し（ステップ２０１）、さらにｓ_uの暗号文Ｅ（ｓ_u）を計算し（ステップ２０２）、Ｅ（ｓ_u）とｔ_uとを秘密計算装置１１Ｂに送信する（ステップ２０３）。このステップ１０１〜１０３が上記第１のステップに相当する。

次に、変換装置１０₁〜１０_NからＥ（ｓ_u）とｔ_uを受信した秘密計算装置１１Ｂが論理回路ｆを変換し（ステップ２０４）、さらにコミットメントＣｏｍｍｉｔを生成し（ステップ２０５）、コミットメントＣｏｍｍｉｔを秘密計算装置１１Ａに送信する（ステップ２０６）。このステップ２０４〜１０６が上記第２のステップに相当する。

次に、秘密計算装置１１Ａがランダムに選択した１以上Ｐ以下の整数ａを秘密計算装置１１Ｂに通知する（ステップ２０７）。その後、ｕ（ｕ≠ａ）の各データに基づいて、秘密計算装置１１Ａが秘密計算装置１１Ｂによる論理回路ｆの変換の正当性を検証する（ステップ２０８）。このステップ２０７〜２０８が上記第３のステップに相当する。

正当性が確認されたら、次に、秘密計算装置１１Ａは、Ｅ（ｓ_a）からｓ_aを復号し（ステップ２０９）、ｕ（ｕ＝ａ）のデータに基づき、秘密計算装置１１Ｂとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータを得る（ステップ２１０）。続いて、秘密計算装置１１Ａは、論理回路ｆのワイヤーの出力を得て、更に演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る（ステップ２１１）。このステップ２０９〜２１１が上記第４のステップに相当する。

以上説明したように、本実施形態では、秘密計算装置１１Ａが、秘密計算装置１１Ｂから、ｆ´_uと、ｔ_uと、ランダムに選択したａについてｕ≠ａである

とを取得し、

と、ｔ_uとを用いて、ｆ´_uが正しく変換された論理回路であるか否か検証する。それ故、本実施形態によれば、秘密計算装置１１Ｂによる論理回路ｆの変換が正しく行われていないことを秘密計算装置１１Ａによって検知することができる。また、ｔ_uが正しい値であることを検証できるようにするために、変換装置１０₁〜１０_Nは、ｔ_uに電子署名を付与し、秘密計算装置１１Ｂは、当該電子署名をＣｏｍｍｉｔに含め、秘密計算装置１１Ａはｔ_uが改ざんされていないか検証できるようにしてもよい。

以上、秘密計算装置１１Ｂによる論理回路ｆの変換の正当性を秘密計算装置１１Ａが検証する構成について説明したが、また、秘密計算装置１１Ａによる演算結果ｆ（ｍ₁，．．．，ｍ_N）を秘密計算装置１１Ｂが検証することにしてもよい。

秘密計算装置１１Ａが本来の演算結果ｆ（ｍ₁，．．．，ｍ_N）とは異なる結果を返したとき、秘密計算装置１１Ｂは、以下のようにしてその不正を検知すればよい。

・秘密計算装置１１Ｂは、論理回路ｆの変換データとして、本来の演算結果ｆ（ｍ₁，．．．，ｍ_N）とともにσ＝ｕｆ（ｍ₁，．．．，ｍ_N）＋ｖが出力されるようなＴｇを生成する。ここでｕ，ｖは適当な乱数とする。

・秘密計算装置１１Ａは、ｆ（ｍ₁，．．．，ｍ_N）とともにσを、秘密計算装置１１Ｂに返す。

・秘密計算装置１１Ｂは、秘密計算装置１１Ａから返されたｆ（ｍ₁，．．．，ｍ_N）とσを用い、σ＝ｕｆ（ｍ₁，．．．，ｍ_N）＋ｖであるか否か確認する。もし、σ＝ｕｆ（ｍ₁，．．．，ｍ_N）＋ｖでなければ、秘密計算装置１１Ａからの演算結果が不正なものであったと判断できる。

秘密計算装置１１Ａは、演算結果ｆ（ｍ₁，．．．，ｍ_N）を算出する際の一度しか論理回路ｆを実行できないため、ｆに対する二つの異なる演算結果を得ることができない。そのため、σ＝ｕｆ（ｍ₁，．．．，ｍ_N）＋ｖという関数のｕ，ｖを得ることができない。したがって、秘密計算装置１１Ａは、本来とは異なる演算結果Ｒを出力する場合の正しいσ′＝ｕＲ＋ｖを算出できず、秘密計算装置１１Ｂによって、演算結果Ｒが本来のものとは異なることが検知される。

また、秘密計算装置１１Ａが正しくｓ_uを用いたかどうか検証するために、複数の装置に同様の処理を行わせ、結果が一致するかどうか確認してもよい。

なお、秘密計算装置１１Ａによる演算結果ｆ（ｍ₁，．．．，ｍ_N）を検証するためのσとして、σ＝ｕｆ（ｍ₁，．．．，ｍ_N）＋ｖを用いたが、本発明はこれに限定されるものではない。他の例として、秘密計算装置１１Ａは、演算結果ｆ（ｍ₁，．．．，ｍ_N）にσとして電子署名を付加することにしてもよい。これによれば、秘密計算装置１１Ｂでなくても演算結果ｆ（ｍ₁，．．．，ｍ_N）の正当性を検証することができる。

（第３の実施形態）
第２の実施形態では、秘密計算装置１１Ｂによる論理回路ｆの変換の正当性を秘密計算装置１１Ａが検証する例を示したが、本発明はそれに限定されるものではない。他の例として、秘密計算装置１１Ａとは別に検証装置を設け、その検証装置が正当性を確認することにしてもよい。

図５は、第３の実施形態による秘密計算システムの構成を示すブロック図である。図５を参照すると、秘密計算システムは、複数の変換装置１０₁〜１０_Nと秘密計算装置１１Ａ，１１Ｂに加え、検証装置１２を有している。第１の実施形態と同様に秘密計算装置１１Ａと秘密計算装置１１Ｂとで秘密計算装置群１１をなしている。

本実施形態は、秘密計算装置１１Ｂによる変換結果の論理回路ｆ´_uの正当性を、確認を秘密計算装置Ａとは異なる検証装置１２が検証する点で第１の実施形態と異なる。

以下、本実施形態の秘密計算システムおよび各装置の動作について説明する。本実施形態の秘密計算システムは、一連の処理によって演算結果ｆ（ｍ₁，・・・，ｍ_N）を求める。演算結果ｆ（ｍ₁，・・・，ｍ_N）を求めるまでの手順は以下の第１〜４のステップからなる。なお、記号を簡略化するため、ここでは特に必要が無ければｍ_iの添え字を省略することにする。

（第１のステップ）
まず各変換装置１０₁〜１１_Nは、保有データｍに対して、

を満たす、ｓ，ｔをランダムに生成し、ｓを秘密計算装置１１Ａに、ｔを秘密計算装置１１Ｂにそれぞれ送信する。

（第２のステップ）
秘密計算装置１１Ｂは、ｕ＝１，．．．，ｐについて、以下の（ａ）〜（ｅ）を実行することにより論理回路ｆを変換する。
（ａ） ｆの各ワイヤーｉに対して固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） ランダムビットｃ_iを生成する。
（ｃ）

をワイヤーｉに対応させる。ここで

とする。ただし、ワイヤーｉがｍの下位ｗ番目のビットｍ_wを入力とする場合は、

とする。ここでｔ_wはｔの下位ｗ番目のビットとする。
（ｄ） ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路ｆの変換データｆ´_uとなる。ここでコロンの左側をラベルとし、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるものとする。
（ｅ） ｔ及び各Ｔ_gを検証装置１２に送信する。

また、秘密計算装置１１Ｂは、このＴ_gの集合を論理回路ｆの変換データとして保持する。

（第３のステップ）
検証装置１２は、以下の（ｆ）〜（ｉ）を実行することにより、変換後の論理回路ｆ´_u＝｛Ｔ_g｝の正当性を確認する。
（ｆ） １以上ｐ以下の整数ａをランダムに選び秘密計算装置１１Ｂに送信する。
（ｇ） 秘密計算装置１１Ｂから、ｕ≠ａについて、

を受信する。
（ｈ） ｕ≠ａについて、（Ｗ⁰，Ｗ¹），ｔを用いて、ｆ´_uが正しくｆを変換した論理回路であることを確認する。

上記処理において、ｆ´_uが不正であると判断した場合、検証装置１２は以降の処理を中止する。検証装置１２は、ｆ´_u（ｕ≠ａ）の少なくとも１つが不正なものであった場合、不正な変換があったことを検知する。ここで、ａは、検証装置１２がｆ´_uを受信した後に生成した乱数であるため、（ｐ−１）／ｐ以上の確率で不正な変換を検知できる。
（ｉ） ｆ´ｕが正当なものであることが確認されたら、秘密計算装置１１Ｂから秘密計算装置１１Ａにｆ´_aを送信する。

（第４のステップ）
秘密計算装置１１Ａは、以下の（ｊ）〜（ｍ）を実行することにより演算結果ｆ（ｍ₁，．．．，ｍ_N）を得る。
（ｊ） ｆ´_aを秘密計算装置１１Ｂから受信する。
（ｋ） ｓを用いて

を求める。その際、秘密計算装置１１Ｂとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータ

を得る。
（ｌ） ｆ´_a及び

を用いて、論理回路ｆの最終段のワイヤーの出力

を得る。ここでｂ＝ｍ_wとする。
（ｍ）

から演算結果ｆ（ｍ₁，．．．，ｍ_N）のビットｂ′を得る。

図６は、第３の実施形態の秘密計算システムの動作を示すシーケンス図である。

図６を参照すると、まず、データｍを保有している各変換装置１０₁〜１０_Nがｓ，ｔを生成し（ステップ３０１）、ｓを秘密計算装置１１Ａに送信し（ステップ３０２）、ｔを秘密計算装置１１Ｂに送信する（ステップ３０３）。このステップ３０１〜３０３が上記第１のステップに相当する。

次に、変換装置１０₁〜１０_Nからｔを受信した秘密計算装置１１Ｂが論理回路ｆを変換する（ステップ３０４）。このステップ３０４が上記第２のステップに相当する。

次に、検証装置１２がランダムに選択した１以上Ｐ以下の整数ａを秘密計算装置１１Ｂに通知する（ステップ３０５）。その後、ｕ（ｕ≠ａ）の各データに基づいて、検証装置１２が秘密計算装置１１Ｂによる論理回路ｆの変換の正当性を検証する（ステップ３０６）。このステップ３０５〜３０６が上記第３のステップに相当する。

正当性が確認されたら、秘密計算装置１１Ｂがｆ´_aを秘密計算装置１１Ａに送り（ステップ３０７）、秘密計算装置１１Ａは、ｕ（ｕ＝ａ）のデータに基づき、秘密計算装置１１Ｂとの間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行し、ｓの下位ｗ番目のビットｓ_wを入力とするワイヤーに対応するデータを得る（ステップ３０８）。続いて、秘密計算装置１１Ａは、論理回路ｆのワイヤーの出力を得て、更に演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る（ステップ３０９）。このステップ３０７〜３０９が上記第４のステップに相当する。

図７は、第３の実施形態における検証装置の構成を示すブロック図である。図７を参照すると、検証装置１２は検証情報取得部３１と検証部３２を有している。

検証情報取得部３１は、１以上Ｐ以下の整数ａをランダムに選択して秘密計算装置１１Ｂに送り、秘密計算装置１１Ｂから、ｕ（ｕ≠ａ）について、

を取得する。

検証部３２は、ｕ（ｕ≠ａ）について、（Ｗ⁰，Ｗ¹），ｔを用いて、ｆ´_uが正しくｆを変換した論理回路であるか否か確認する。

以上説明したように、本実施形態では、検証装置１２を設けることで、秘密計算装置１１Ａの処理を低減している。しかし、秘密計算装置１１Ｂが検証装置１２の機能をも備える構成であってもよい。

また、上述した各実施形態における各装置は、各部の動作を処理手順として規定したソフトウェアプログラムをコンピュータに実行させることにより実現することもできる。例えば、図３に示した秘密計算装置１１Ｂは、入力部２１、秘匿化部２２、出力部２３、および１−ｏｕｔ−ｏｆ−２ ＯＴ実行部２４の処理手順を規定したプログラムをコンピュータに実行させることにより実現することができる。

以上、本発明の各実施形態について述べてきたが、本発明は、これらの実施形態だけに限定されるものではなく、本発明の技術思想の範囲内において、これらの実施形態を組み合わせて使用したり、一部の構成を変更したりしてもよい。

１０₁〜１０_N 変換装置
１１ 秘密計算装置群
１１Ａ，１１Ｂ 秘密計算装置
１２ 検証装置
２１ 入力部
２２ 秘匿化部
２３ 出力部
２４ １−ｏｕｔ−ｏｆ−２ ＯＴ実行部
３１ 検証情報取得部
３２ 検証部

Claims (17)

1. 入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する秘密計算システムであって、
   前記入力値ｍが２つに分割された一方の断片Ｂを入力とし、前記論理回路ｆ（ｘ）と前記断片Ｂとから、他方の断片Ａを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ）が秘匿化されたデータＴを生成する第１の秘密計算装置と、
   前記断片Ａと前記データＴとを入力とし、前記演算結果ｆ（ｍ）を算出する第２の秘密計算装置と、を有する秘密計算システム。
2. 前記断片Ａ、Ｂは、前記入力値ｍを分割演算子＊で２つに分割した断片ｓ、ｔであり、
   前記第１の秘密計算装置は、前記論理回路ｆ（ｘ）と前記断片ｔとから、前記断片ｓを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ＊ｔ）が秘匿化されたデータＴを生成し、
   前記第２の秘密計算装置は、前記断片ｓと前記データＴとを入力とし、前記演算結果ｆ（ｍ）を算出する、請求項１に記載の秘密計算システム。
3. 前記第１の秘密計算装置は、前記断片ｔを前記論理回路ｆ（ｘ）に埋め込んだ前記論理回路ｆ（ｘ＊ｔ）を秘匿化したデータＴを生成し、
   前記第２の秘密計算装置は、前記断片ｓを入力として、論理演算において前記入力値ｍを実際に復元することなく、前記データＴから演算結果ｆ（ｍ）を算出する、請求項２に記載の秘密計算システム。
4. 前記第２の秘密計算装置は、前記第１の秘密計算装置との間で１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行することにより取得した、秘匿された前記入力値ｍに関するデータを、前記演算結果ｆ（ｍ）の算出に用いる、請求項２または３に記載の秘密計算システム。
5. 前記入力値ｍを、ｍ＝ｓ＊ｔを満たすように、前記断片ｓ，ｔに分割し、前記断片ｔを前記第１の秘密計算装置に送信し、前記断片ｓを前記第２の秘密計算装置に送信する変換装置を更に有する、請求項２から４のいずれか１項に記載の秘密計算システム。
6. 前記断片Ａは前記入力値ｍの各ビットｂに対応したデータＷｂであり、前記断片Ｂは、前記データＷｂと前記各ビットｂに対する（１−ｂ）に対応したデータＷ（１−ｂ）とを、ｂおよび（１−ｂ）との対応を特定せずに含むデータＷ＝（Ｗ０，Ｗ１）であり、
   前記第１の秘密計算装置は、前記データＷを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路関数ｆを秘匿化したデータＴを生成し、
   前記第２の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍ）を算出する、請求項１に記載の秘密計算システム。
7. 不正な処理を検知するための検証装置を更に有し、
   前記入力値ｍからは、断片Ａと断片Ｂとからなる複数の断片対が生成され、
   前記第１の秘密計算装置は、複数の断片対の断片Ｂを入力とし、各断片Ｂに対して前記データＴを生成し、該データＴの集合を前記論理回路ｆ（ｘ）を変換した論理回路とし、
   前記検証装置は、前記論理回路ｆ（ｘ）を変換した論理回路と、複数の前記断片対のうち任意に選択されたもの以外の断片対の断片Ｂおよびそれに対応するデータＴと、該データＴの正当性を検証することが可能な検証情報とを前記第１の秘密計算装置から取得し、該データＴと該検証情報を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証し、
   前記第２の秘密計算装置は、前記検証装置によって前記正当性が確認されたら、複数の前記断片対のうち任意に選択された前記断片対に対応するデータＴと、該断片対の断片Ａとを入力とし、前記演算結果ｆ（ｍ）を算出する、
   請求項１から６のいずれか１項に記載の秘密計算システム。
8. 前記検証情報は、検証の対象である前記データＴを生成するときに前記第１の秘密計算装置が用いた入力値であり、
   前記検証装置は、該データＴと該入力値を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証する、請求項７に記載の秘密計算システム。
9. 前記検証情報は、検証の対象である前記データＴのハッシュ値であり、
   前記検証装置は、該ハッシュ値を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証する、請求項６または７に記載の秘密計算システム。
10. 前記検証装置は、前記第１の秘密計算装置または前記第２の秘密計算装置のいずれかに組み込まれている、請求項７から９のいずれか１項に記載の秘密計算システム。
11. 前記第１の秘密計算装置は、前記論理回路ｆ（ｘ）の演算結果ｆ（ｍ）とともに、該演算結果ｆ（ｍ）と２つ以上の定数値とから算出される付加情報が出力されるように前記データＴを生成し、
    前記第２の秘密計算装置は、前記演算結果ｆ（ｍ）とともに付加情報を生成して前記第１の秘密計算装置に返し、
    前記第１の秘密計算装置は、前記第２の秘密計算装置から返された前記付加情報と前記定数値とを用いて、前記第２の秘密計算装置から返された前記演算結果ｆ（ｍ）を検証する、請求項７から１０のいずれか１項に記載の秘密計算システム。
12. 第１の秘密計算装置と第２の秘密計算装置により、入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出するための秘密計算方法であって、
    前記入力値ｍを２つに分割した一方の断片Ｂを前記第１の秘密計算装置に与え、他方の断片Ａを前記第２の秘密計算装置に与え、
    前記第１の秘密計算装置において、前記断片Ｂを入力とし、前記論理回路ｆ（ｘ）と前記断片Ｂとから、他方の断片Ａを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ）が秘匿化されたデータＴを生成し、
    前記第１の秘密計算装置から前記第２の秘密計算装置に前記データＴを送信し、
    前記第２の秘密計算装置において、前記断片Ａと前記データＴとを入力とし、前記演算結果ｆ（ｍ）を算出する、秘密計算方法。
13. 前記第１の秘密計算装置および前記第２の秘密計算装置とは別に、あるいは前記第１の秘密計算装置または前記第２の秘密計算装置に備えられた検証装置があり、
    前記入力値ｍからは、断片Ａと断片Ｂとからなる複数の断片対が生成され、
    前記第１の秘密計算装置は、複数の断片対の断片Ｂを入力とし、各断片Ｂに対して前記データＴを生成し、該データＴの集合を前記論理回路ｆ（ｘ）を変換した論理回路とし、
    前記検証装置は、前記論理回路ｆ（ｘ）を変換した論理回路と、複数の前記断片対のうち任意に選択されたもの以外の断片対の断片Ｂおよびそれに対応するデータＴと、該データＴの正当性を検証することが可能な検証情報とを前記第１の秘密計算装置から取得し、該データＴと該検証情報を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証し、
    前記第２の秘密計算装置は、前記検証装置によって前記正当性が確認されたら、複数の前記断片対のうち任意に選択された前記断片対に対応するデータＴと、該断片対の断片Ａとを入力とし、前記演算結果ｆ（ｍ）を算出する、
    請求項１２に記載の秘密計算方法。
14. 入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する秘密計算システムを構成する秘密計算装置であって、
    前記入力値ｍを保持している変換装置から、前記入力値を２つに分割した一方の断片Ｂを受信する入力手段と、
    前記入力手段から入力された前記断片Ｂと前記論理回路ｆ（ｘ）とから、他方の断片Ａを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ）が秘匿化されたデータＴを生成する秘匿化手段と、
    前記秘匿化手段で生成された前記データを、前記断片Ａを持った他の秘密計算装置に送る出力手段と、を有する秘密計算装置。
15. 入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する第１および第２の秘密計算装置を有する秘密計算システムにおける処理を検証する検証装置であって、
    断片Ａと断片Ｂとからなる複数の断片対の断片Ｂを入力として、各断片Ｂに対して生成されたデータＴの集合である、前記論理回路ｆ（ｘ）を変換した論理回路と、前記複数の断片対のうち任意に選択されたもの以外の断片対の断片Ｂおよびそれに対応するデータＴと、該データＴの正当性を検証することが可能な検証情報とを前記第１の秘密計算装置から取得する検証情報取得手段と、
    検証情報取得手段で取得された前記データＴと前記検証情報を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証する検証手段と、を有する検証装置。
16. コンピュータを、入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する秘密計算システムを構成する秘密計算装置として動作させるためのプログラムであって、
    前記入力値ｍを保持している変換装置から、前記入力値を２つに分割した一方の断片Ｂを受信する手順と、
    入力された前記断片Ｂと前記論理回路ｆ（ｘ）とから、他方の断片Ａを入力として前記演算結果ｆ（ｍ）を求めることのできる、論理回路ｆ（ｘ）が秘匿化されたデータＴを生成する手順と、
    生成した前記データを、前記断片Ａを持った他の秘密計算装置に送る手順と、をコンピュータに実行させるためのプログラム。
17. コンピュータを、入力値ｍを秘匿したままで、該入力値ｍに対する論理回路ｆ（ｘ）の演算結果ｆ（ｍ）を算出する第１および第２の秘密計算装置を有する秘密計算システムにおける処理を検証する検証装置として動作させるためのプログラムであって、
    断片Ａと断片Ｂとからなる複数の断片対の断片Ｂを入力として、各断片Ｂに対して生成されたデータＴの集合である、前記論理回路ｆ（ｘ）を変換した論理回路と、前記複数の断片対のうち任意に選択されたもの以外の断片対の断片Ｂおよびそれに対応するデータＴと、該データＴの正当性を検証することが可能な検証情報とを前記第１の秘密計算装置から取得する手順と、
    取得された前記データＴと前記検証情報を用いて、前記論理回路ｆ（ｘ）を変換した論理回路の正当性を検証する手順と、をコンピュータに実行させるためのプログラム。

Images