JP5078632B2 - 秘密計算システム、秘密計算方法、および秘密計算プログラム - Google Patents

Description

本発明は暗号応用技術に関し、特に、入力値を秘匿したまま、その入力値に対する演算の結果を得る技術に関する。

非特許文献１には、入力値を秘匿したままで演算結果を得る技術が開示されている。図４は、非特許文献１に開示された技術を用いた秘密計算システムの構成を示すブロック図である。図４を参照すると、秘密計算システムは、秘密計算装置８１Ａと秘密計算装置８１Ｂを有している。

秘密計算装置８１Ａは、論理回路関数ｆ（ｘ，ｙ）と、ｘへの入力となるビット列ｍ_Aとを保有している。秘密計算装置８１Ｂは、同じく論理回路関数ｆ（ｘ，ｙ）と、ｙへの入力となるビット列ｍ_Bとを保有している。

秘密計算装置８１Ａと秘密計算装置８１Ｂが互いに通信することにより、秘密計算装置８１Ａがｍ_Bを容易に復元できるデータを得ることなく、秘密計算装置８１Ｂがｍ_Aを容易に復元できるデータを得ることなく、秘密計算装置８１Ａ，Ｂのいずれか一方または両方が論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍ_A，ｍ_B）を得ることができる。

非特許文献１に開示された方法について概説する。以下に、一例として、秘密計算装置８１Ａがｆ（ｍ_A，ｍ_B）を得るための処理手順を挙げる。

（第１のステップ）
論理回路関数ｆ（ｘ，ｙ）と、ｙへの入力となるビット列ｍ_Bとを保有する秘密計算装置Ｂは、以下の（ａ）〜（ｄ）を実行することにより、論理回路関数ｆ（ｘ，ｍ_B）を秘匿化する。そして、秘密計算装置８１Ｂは、論理回路関数ｆ（ｘ，ｍ_B）を秘匿化したデータＴ_gを秘密計算装置８１Ａに送る。
（ａ） 秘密計算装置８１Ｂは、論理回路関数ｆ（ｘ，ｍ_B）の各ワイヤーｉに対して、固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） 次に、秘密計算装置８１Ｂはランダムビットｃ_iを生成する。
（ｃ） 更に、秘密計算装置８１Ｂは、

をワイヤーｉに対応させる。ここで

とする。
（ｄ）次に、秘密計算装置８１Ｂは、ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをＴ_gとする。このＴ_gの集合は、ｆの秘匿化データとして秘密計算装置８１Ａに送信される。ここでコロンの左側をラベル、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力として固定長の乱数を出力する関数であるとする。

（第２のステップ）
ｘへの入力となるビット列ｍ_Aを保有する秘密計算装置８１Ａは、秘密計算装置８１Ｂと１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行する。これにより、秘密計算装置８１Ａは、ｍ_Aのビットｂを入力とするワイヤーに対応するデータ

を得る。

（第３のステップ）
続いて、秘密計算装置８１Ａは、秘密計算装置８１Ｂから受信したデータＴ_gと、

とを用いて、論理回路関数ｆの最終段のワイヤーの出力

を算出する。

（第４のステップ）
更に、秘密計算装置８１Ａは、

から、演算結果ｆ（ｍ_A，ｍ_B）のビット

を得る。

上記処理手順における第３のステップでは、秘密計算装置８１Ａは、入力ワイヤーｉ，ｊ、出力ワイヤーｋのゲートに対応するデータＴ_gと、

とが与えられたとき、先ずデータＴ_gからラベル

を持つデータ

を取り出し、

を計算する。これにより、出力ワイヤーに対応するデータ

が得られる。他のゲートについても同様の処理を行えばよい。

また、第４のステップでは、秘密計算装置８１Ａは、例えばゲートｇが論理回路関数ｆの最終段ゲートである場合に、ｃ_k＝０とすることで

から

を得ることができる。

以上説明したように、非特許文献１の方法では、第２のステップにおいて秘密計算装置８１Ａと秘密計算装置８１Ｂが１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行する必要がある。１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルは、秘密計算装置８１Ａがデータｄ₀，ｄ₁を保有し、秘密計算装置８１Ｂがビットｂを保有するとき、秘密計算装置８１Ｂはｄ_bを得ることができるが、

を得ることはできず、かつ秘密計算装置８１Ａはｂを得ることができないような特徴をもつプロトコルである。このプロトコルの詳細は、非特許文献２に説明がある。

非特許文献３には、入力値を秘匿したままで演算結果を得る他の技術が開示されている。図５は、非特許文献３に開示された技術を用いた秘密計算システムの構成を示すブロック図である。図５を参照すると、秘密計算システムは、複数の変換装置９０₁〜９０_Nと秘密計算装置９１Ａ，９１Ｂとを有している。２つの秘密計算装置９１Ａ，９１Ｂによって秘密計算装置群９１をなしている。

秘密計算装置９１Ａ，９１Ｂからなる秘密計算装置群９１は、各変換装置９０₁〜９０_Nが保有するデータｍ_i（１≦ｉ≦Ｎ）を用いて、入力値ｍ_iを容易に復元できるデータを得ることなく、論理回路関数ｆの演算結果ｆ（ｍ₁，・・・，ｍ_N）を求める。

以下にその処理手順について概説する。

なお、これ以降の説明では、記号を簡略化するため、特に必要が無ければｍ_iの添え字を省略することにする。

（第１のステップ）
まず、秘密計算装置９１Ｂは、以下の（ａ）〜（ｄ）を実行することにより、論理回路関数ｆを秘匿化する。そして、秘密計算装置９１Ｂは、論理回路関数ｆを秘匿化したデータＴ_gを、論理回路関数ｆの秘匿化データとして秘密計算装置９１Ａに送信する。
（ａ） 秘密計算装置９１Ｂは論理回路関数ｆの各ワイヤーｉに対して、固定長の乱数

を生成し、それぞれ０，１に対応させる。
（ｂ） 次に、秘密計算装置９１Ｂは、ランダムビットｃ_iを生成する。
（ｃ） 更に、秘密計算装置９１Ｂは、

をワイヤーｉに対応させる。ここで

とする。
（ｄ） 更に、秘密計算装置９１Ｂは、ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

を行単位でランダムな順番に並べたものをデータＴ_gとする。このデータＴ_gの集合が論理回路関数ｆの秘匿化データとして秘密計算装置９１Ａに送信される。ここでコロンの左側をラベル、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるとする。

（第２のステップ）
各変換装置９０₁〜９０_Nが、秘密計算装置９１Ａ，９１Ｂとともに、ｐｒｏｘｙ １−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒを実行することにより、秘密計算装置９１Ａはｍの各ビットｂの入力ワイヤーｉに対応するデータ

を得る。

（第３のステップ）
更に、秘密計算装置９１Ａは、データＴ_gと、

とを用いて、論理回路関数ｆの最終段のワイヤーの出力

を得る。

（第４のステップ）
更に、秘密計算装置９１Ａは、

から、演算結果ｆ（ｍ₁，・・・，ｍ_N）のビット

を得る。

上記処理手順の第２のステップでは、ｐｒｏｘｙ １−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒが用いられている。このプロトコルは、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒを拡張したプロトコルである。このプロトコルによれば、変換装置９０₁〜９０_Nが保有しているデータに関する情報ｂを秘密計算装置９１Ａに知られることなく、変換装置９０₁〜９０_Nの代わりに秘密計算装置９１Ａが

を算出することができる。
Ａ．Ｃ．Ｙａｏ， Ｈｏｗ ｔｏ ｇｅｎｅｒａｔｅ ａｎｄ ｅｘｃｈａｎｇｅ ｓｅｃｒｅｔｓ，Ｐｒｏｃ． ｏｆ ＦＯＣＳ ’８６， ｐｐ．１６２−１６７，ＩＥＥＥ Ｐｒｅｓｓ，１９８６． Ｓ．Ｅｖｅｎ， Ｏ．Ｇｏｌｄｒｅｉｃｈ ａｎｄ Ａ．Ｌｅｍｐｅｌ，Ａ ｒａｎｄｏｍｉｚｅｄ ｐｒｏｔｏｃｏｌ ｆｏｒ ｓｉｇｎｉｎｇ ｃｏｎｔｒａｃｔｓ， Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ ｏｆ ｔｈｅ ＡＣＭ，Ｖｏｌ．２８，Ｎｏ．６，ｐｐ．６３７−６４７，１９８５． Ｍ．Ｎａｏｒ， Ｂ．Ｐｉｎｋａｓ， ａｎｄ Ｒ．Ｓｕｍｎｅｒ，Ｐｒｉｖａｃｙ ｐｒｅｓｅｒｖｉｎｇ ａｕｃｔｉｏｎｓ ａｎｄ ｍｅｃｈａｎｉｓｍ ｄｅｓｉｇｎ，Ｐｒｏｃ． ｏｆ ＡＣＭ ＥＣ ’９９，ｐｐ．１２９−１３９，ＡＣＭ Ｐｒｅｓｓ，１９９９．

上述したように、非特許文献１に開示された方法では、秘密計算装置８１Ａ，８１Ｂが１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行する必要がある。Ｄ．Ｍａｌｋｈｉ， Ｎ．Ｎｉｓａｎ， Ｂ．Ｐｉｎｋａｓ， ａｎｄ Ｙ．Ｓｅｌｌａ，Ｆａｉｒｐｌａｙ − ａ ｓｅｃｕｒｅ ｔｗｏ−ｐａｒｔｙ ｃｏｍｐｕｔａｔｉｏｎ ｓｙｓｔｅｍ，Ｐｒｏｃ． ｏｆ ＵＳＥＮＩＸ Ｓｅｃｕｒｉｔｙ Ｓｙｍｐｏｓｉｕｍ，ｐｐ．２８７−３０２，ＵＳＥＮＩＸ，２００４．という文献によれば、実装上、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを実行するための計算量が秘密計算システム全体の計算量の大部分を占めると報告されている。したがって、実装上、その部分の処理を軽くすれば、秘密計算システムを構成する秘密計算装置の負荷を低減することができる。

また、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを拡張したｐｒｏｘｙ １−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒを実行する際に必要となる計算量は、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒと同程度である。

本発明の目的は、秘密計算装置の負荷を低減した秘密計算システムを提供することである。

上記目的を達成するために、本発明の秘密計算システムは、第１の入力値ｍＡを秘匿したままで、該第１の入力値ｍＡに対する論理回路関数ｆの演算結果ｆ（ｍＡ）を算出する秘密計算システムであって、
第１の秘密計算装置と、第３の秘密計算装置と、前記論理回路関数ｆを保有している第２の秘密計算装置と、を有し、
前記第３の秘密計算装置は、ランダムなデータＷ＝（Ｗ０，Ｗ１）を生成し、前記第１の入力値ｍＡが分割演算子＊で２つに分割された一方の断片ｔから、前記断片ｔの各ビットｂに対応したデータＷｂを生成し、前記データＷｂを前記第１の秘密計算装置に送信し、前記データＷ＝（Ｗ０，Ｗ１）を前記第２の秘密計算装置に送信し、
前記第２の秘密計算装置は、前記第１の入力値ｍＡが分割された他方の断片ｓ、前記論理回路関数ｆ、および前記データＷから、前記データＷｂを入力として前記演算結果ｆ（ｍＡ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆを秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
前記第１の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍＡ）を算出する。

また、前記第１の秘密計算装置は、前記第１の入力値ｍＡを保有しており、前記第１の入力値ｍＡを分割演算子＊で断片ｓと断片ｔの２つに分割し、前記断片ｓを前記第２の秘密計算装置に送信し、前記断片ｔを前記第３の秘密計算装置に送信するとしてもよい。

また、前記論理回路関数ｆは、２つの入力値を入力とする論理回路関数ｆ（ｘ，ｙ）であり、第２の入力値ｍＢを前記第２の秘密計算装置が保有しており、
前記第２の秘密計算装置は、前記断片ｓ、前記論理回路関数ｆ、および前記データＷに加えて更に前記入力値ｍＢを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍＡ，ｍＢ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆ（ｘ，ｍＢ）を秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
前記第１の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記第１および第２の入力値ｍＡ，ｍＢに対する論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍＡ，ｍＢ）を算出するとしてもよい。

また、本発明の秘密計算システムは、前記第１の入力値ｍＡを、ｍＡ＝ｓ＊ｔを満たすように、前記断片ｓ，ｔに分割し、前記断片ｔを前記第３の秘密計算装置に送信し、前記断片ｓを前記第２の秘密計算装置に送信する変換装置を更に有するとしてもよい。

本発明によれば、１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを秘密計算装置のいずれも実行する必要がないので、秘密計算装置の負荷を大幅に低減することができる。

本発明を実施するための形態について図面を参照して詳細に説明する。

本実施形態の秘密計算システムは３つの秘密計算装置からなるシステムであり、入力値を秘匿したまま、その入力値に対する論理回路関数ｆの演算結果を算出する。この種の秘密計算システムは、例えば、プライバシーを保護しつつ個人的な情報を活用する様々なシステムに適用することができる。具体的な例として、秘密計算システムは、オークションを含む任意の情報集計システムであるとしてもよい。各ユーザーの情報を秘匿したまま、それらの情報に対する所定の演算の結果を得る。例えば、オークション結果や多数決による意思決定の結果などを演算結果として得ることが考えられる。また、他の例として、各ユーザーが保有するデータを他者に知られること無く集計し、それらのデータを元にした各種統計処理やマイニング処理を行うことも可能である。また、更に他の例として、秘密計算システムは、生体認証システムであるとしてもよい。各ユーザーの生体情報を秘匿したままで、生体情報が正当なものであるか否か判定することができる。

（第１の実施例）
図１は、第１の実施例による秘密計算システムの構成を示すブロック図である。図１を参照すると、秘密計算システムは、秘密計算装置１１Ａ，１１Ｂ，１１Ｃからなるシステムであり、入力値ｍ_A，ｍ_Bを秘匿したまま、論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍ_A，ｍ_B）を算出する。

秘密計算装置１１Ａが入力値ｍ_Aを保持している。秘密計算装置１１Ｂが入力値ｍ_Bと論理回路関数ｆ（ｘ，ｙ）とを保持している。

秘密計算装置１１Ａは、入力値ｍ_Aを分割演算子＊で断片ｓと断片ｔの２つに分割し、断片ｓを秘密計算装置１１Ｂに送信し、断片ｔを秘密計算装置１１Ｃに送信する。

秘密計算装置１１Ｃは、秘密計算装置１１Ａから受信した断片ｔから、断片ｔの各ビットｂに対応したデータＷｂと、各ビットｂに対する（１−ｂ）に対応したデータＷ（１−ｂ）とを生成する。そして、秘密計算装置１１Ｃは、データＷｂを秘密計算装置１１Ａに送信し、ｂおよび（１−ｂ）との対応を特定せずにデータＷｂおよびデータＷ（１−ｂ）を含むデータＷ＝（Ｗ０，Ｗ１）を秘密計算装置１１Ｂに送信する。

秘密計算装置１１Ｂは、秘密計算装置１１Ａから受信した断片ｓと、保持している入力値ｍ_Bおよび論理回路関数ｆ（ｘ，ｙ）と、秘密計算装置１１Ｃから受信したデータＷとから、データＷｂを入力として演算結果ｆ（ｍ_A，ｍ_B）を求めることができる、断片ｓを埋め込んだ論理回路関数ｆ（ｘ，ｍ_B）を秘匿化したデータＴを生成する。そして、秘密計算装置１１Ｂは、データＴを秘密計算装置１１Ａに送信する。

秘密計算装置１１Ａは、秘密計算装置１１Ｂから受信したデータＴと、秘密計算装置１１Ｃから受信したデータＷｂとを入力とし、演算結果ｆ（ｍ_A，ｍ_B）を算出する。

以下、本実施例の秘密計算システムおよび各装置の動作について、より具体的に説明する。演算結果ｆ（ｍ_A，ｍ_B）を求めるまでの手順は５つのステップからなる。

（第１のステップ）
論理回路関数ｆ（ｘ，ｙ）のｘへの入力となるビット列ｍ_Aを保有する秘密計算装置１１Ａは、入力値ｍ_Aを

となるｓ，ｔに分割する。そして、秘密計算装置１１Ａは、ｓを秘密計算装置１１Ｂに、ｔを秘密計算装置１１Ｃにそれぞれ送る。

（第２のステップ）
秘密計算装置１１Ｃは、論理回路関数ｆにおける入力値ｍ_Aの入力ワイヤーｉ毎に、ランダムビットｃ_i、および固定長の乱数とｃ_iの組

を生成する。そして、秘密計算装置１１Ｃは、Ｗ_iを秘密計算装置１１Ｂに、

を秘密計算装置１１Ａにそれぞれ送る。ここで

であり、ｂ′は、ｉへの入力を入力値ｍ_Aの下位ｗ番目のビットとしたとき、断片ｔの下位ｗ番目のビットである。

（第３のステップ）
論理回路関数ｆ（ｘ，ｙ）、ｙへの入力となるビット列ｍ_B、および秘密計算装置１１Ａから受け取った断片ｓを保有する秘密計算装置Ｂは、以下の（ａ）〜（ｄ）を実行することにより、論理回路関数ｆ（ｘ，ｍ_B）を秘匿化する。
（ａ） ｆ（ｘ，ｍ_B）の各ワイヤーｉに対して、固定長の乱数

を生成し、それぞれ０，１に対応させる。ただし、ｍ_Aの入力ワイヤーに対しては秘密計算装置１１Ｃから受け取った

を対応させる。
（ｂ） 次に、秘密計算装置１１Ｂはランダムビットｃ_iを生成する。ただし、ｍ_Aの入力ワイヤーに対しては秘密計算装置１１Ｃから受け取ったｃ_iを対応させる。
（ｃ） 更に、秘密計算装置１１Ｂは、

をワイヤーｉに対応させる。ただし、ワイヤーｉがｍ_Aの下位ｗ番目のビットを入力とする場合は、

を用いる。ここで、ｂはｓの下位ｗ番目のビットであるとする。
（ｄ） ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

をランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路関数ｆを秘匿化したデータとなる。秘密計算装置１１Ｂは、Ｔ_gの集合をｆの秘匿化データとして秘密計算装置１１Ａに送信する。ここでコロンの左側をラベル、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力として固定長の乱数を出力する関数であるとする。

（第４のステップ）
秘密計算装置１１Ａは、データＴ_gと

を用いて、ｆの最終段のワイヤーの出力

を得る。

（第５のステップ）
秘密計算装置１１Ａは、

から、ｆ（ｍ_A，ｍ_B）のビット

を得る。

上記処理手順の第４のステップでは、入力ワイヤーｉ，ｊ、出力ワイヤーｋのゲートｇに対応するＴ_gと、

とが与えられたとき、先ずＴ_gからラベル

を持つデータ

を取り出し、

を計算するとよい。これにより、上記出力ワイヤーに対応するデータ

が得られる。他のゲートについても同様の処理を行えばよい。

また、第５のステップについては、例えばｇがｆの最終段ゲートである場合、ｃ_k＝０とすることにより、

から

を得ることができる。

上述した本実施形態の秘密計算システムによる処理は各装置によって実行される。以下、装置間の信号の送受信を含む処理の流れについて概説する。図２は、本実施形態の秘密計算システムの動作を示すシーケンス図である。

図２を参照すると、まず、秘密計算装置１１Ａは、入力値ｍ_Aをｓ，ｔに分割し（ステップ１０１）、ｓを秘密計算装置１１Ｂに送信し（ステップ１０２）、ｔを秘密計算装置１１Ｃに送信する（ステップ１０３）。このステップ１０１〜１０３が上記第１のステップに相当する。

次に、秘密計算装置１１Ｃは、ｔに対応するデータを生成し（ステップ１０４）、そのときに生成したＷ_iを秘密計算装置１１Ｂに送信し（ステップ１０５）、

を秘密計算装置１１Ａに送信する（ステップ１０６）。このステップ１０４〜１０６が上記第２のステップに相当する。

次に、秘密計算装置Ｂは、論理回路関数ｆ（ｘ，ｍ_B）を秘匿化し（ステップ１０７）、生成したＴ_gの集合をｆの秘匿化データとして秘密計算装置１１Ａに送信する（ステップ１０８）。このステップ１０７〜１０８が上記第３のステップに相当する。

次に、秘密計算装置１１Ａは、論理回路関数ｆの最終段のワイヤーの出力

を得て、さらに演算結果ｆ（ｍ_A，ｍ_B）を得る（ステップ１０９）。このステップ１０９が上記第４および第５のステップに相当する。

以上、説明したように、本実施例によれば、非特許文献１の技術を用いた秘密計算システムでは全体の計算量の大部分を占めていた１−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを秘密計算装置１１Ａ，１１Ｂ，１１Ｃのいずれも実行する必要がないので、秘密計算装置１１Ａ，１１Ｂ，１１Ｃの負荷を大幅に低減することができる。

なお、本実施例で追加された秘密計算装置１１Ｃには入力値ｍ_Aの断片ｔが与えられるだけなので、秘密計算装置１１Ｃによって入力値ｍ_A，ｍ_Bの秘匿性が損なわれることはない。

また、本実施例では、ＸＯＲを分割演算子としてデータｍ_Aを２つの断片ｓ，ｔに分割する例を示したが、本発明はこれに限定されるものではない。論理回路ｆに一方の断片（例えばｓ）を埋め込んでデータＴ_gを生成し、他方の断片（例えばｔ）を入力として論理回路内でｍ_Aを復元しつつ、データＴ_gから論理回路ｆの演算結果を得られればよいので、加減算、乗算、その他どのような演算子を分割演算子としてもよい。

（第２の実施例）
図３は、第２の実施例による秘密計算システムの構成を示すブロック図である。第２の実施例は、第１の実施例の入力値ｍ_Aに相当する入力値ｍが複数である点で第１の実施例と異なる。また、第２の実施例では、第１の実施例の入力値ｍ_Bに相当する入力値が無い。また、第２の実施例では、複数の変換装置がそれぞれに入力値ｍを保有しており、その入力値ｍを断片ｓ，ｔに分割し、ｓとｔを秘密計算装置に提供する点で第１の実施例と異なる。

図３を参照すると、秘密計算システムは、複数の変換装置２０₁〜２０_Nと秘密計算装置２１Ａ，２１Ｂ，２１Ｃとを有している。秘密計算装置２１Ａ〜２１Ｃで秘密計算装置群２１をなしている。論理回路関数ｆは秘密計算装置２１Ｃが保持している。

各変換装置２０₁〜２０_Nはデータｍ₁〜ｍ_Nをそれぞれ保有している。各変換装置２０₁〜２０_Nは、保有しているデータｍ₁〜ｍ_Nを秘匿した状態で秘密計算装置群２１に送る。その際、例えば、変換装置２０₁は、データｍ₁を、分割演算子を用いて２つに分割し、一方の断片ｓを秘密計算装置２１Ｂに送り、他方の断片ｔを秘密計算装置２１Ｃに送る。他の変換装置２０₂〜２０_Nの動作も変換装置２０₁と同様である。

秘密計算装置２１Ａ，２１Ｂ，２１Ｃからなる秘密計算装置群２１は、変換装置２０₁〜２０_Nから受信したデータを用いて、データｍ_i（１≦ｉ≦Ｎ）を入力値とした論理回路ｆの演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。その際、秘密計算装置群１１は、データｍ_iを復元することなく、またデータｍ_iを容易に復元できるデータを得ることなく、演算結果ｆ（ｍ₁，・・・，ｍ_N）を得る。

秘密計算装置２１Ｃは、変換装置２０₁〜２０_Nから受信した断片ｔから、断片ｔの各ビットｂに対応したデータＷｂと、各ビットｂに対する（１−ｂ）に対応したデータＷ（１−ｂ）とを生成する。そして、秘密計算装置２１Ｃは、データＷｂを秘密計算装置２１Ａに送信し、ｂおよび（１−ｂ）との対応を特定せずにデータＷｂおよびデータＷ（１−ｂ）を含むデータＷ＝（Ｗ０，Ｗ１）を秘密計算装置２１Ｂに送信する。

秘密計算装置２１Ｂは、変換装置２０₁〜２０_Nから受信した断片ｓと、保持している論理回路関数ｆと、秘密計算装置２１Ｃから受信したデータＷとから、データＷｂを入力として演算結果ｆ（ｍ₁，・・・，ｍ_N）を求めることができる、断片ｓを埋め込んだ論理回路関数ｆを秘匿化したデータＴを生成する。そして、秘密計算装置２１Ｂは、データＴを秘密計算装置２１Ａに送信する。

秘密計算装置２１Ａは、秘密計算装置２１Ｂから受信したデータＴと、秘密計算装置２１Ｃから受信したデータＷｂとを入力とし、演算結果ｆ（ｍ₁，・・・，ｍ_N）を算出する。

以下、本実施例の秘密計算システムおよび各装置の動作について、より具体的に説明する。演算結果ｆ（ｍ₁，・・・，ｍ_N）を求めるまでの手順は５つのステップからなる。なお、記号を簡略化するため、ここでは特に必要が無ければｍ_iの添え字を省略することにする。

（第１のステップ）
各変換装置２０₁〜２０_Nは、保有しているデータｍに対して、

を満たす（ｓ，ｔ）をランダムに生成する。そして、変換装置２０₁〜２０_Nは、ｓを秘密計算装置２１Ｂに、ｔを秘密計算装置２１Ｃにそれぞれ送る。

（第２のステップ）
秘密計算装置２１Ｃは、論理回路関数ｆにおける入力ワイヤーｉ毎にランダムビットｃ_i、および固定長の乱数とｃ_iの組

を生成する。そして、秘密計算装置２１Ｃは、Ｗ_iを秘密計算装置２１Ｂに、

を秘密計算装置２１Ａにそれぞれ送る。ここで

であり、ｂ′は、ｉへの入力をｍの下位ｗ番目のビットとしたとき、ｔの下位ｗ番目のビットであるとする。

（第３のステップ）
秘密計算装置２１Ｂは、以下の（ａ）〜（ｄ）を実行し、論理回路関数ｆを秘匿化する。
（ａ） 秘密計算装置２１Ｂは論理回路関数ｆの各ワイヤーｉに対して、固定長の乱数

を生成し、それぞれ０，１に対応させる。ただし、ｍの入力ワイヤーに対しては秘密計算装置２１Ｃから受け取った

を対応させる。
（ｂ） 次に、秘密計算装置２１Ｂはランダムビットｃ_iを生成する。ただし、ｍ_Aの入力ワイヤーに対しては秘密計算装置１１Ｃから受け取ったｃ_iを対応させる。
（ｃ） 更に、秘密計算装置２１Ｂは、

をワイヤーｉに対応させる。ただし、ワイヤーｉがｍの下位ｗ番目のビットを入力とする場合は、

とする。ここでｂはｓの下位ｗ番目のビットであるとする。
（ｄ） 更に、秘密計算装置２１Ｂは、ｉ，ｊを入力ワイヤー、ｋを出力ワイヤーとする論理ゲートｇに対して、４つのラベル付きデータ

をランダムな順番に並べたものをＴ_gとする。このＴ_gの集合が論理回路関数ｆを秘匿化したデータとなる。秘密計算装置２１Ｂは、Ｔ_gの集合を論理回路関数ｆの秘匿化データとして秘密計算装置２１Ａに送信する。ここでコロンの左側をラベル、右側をデータとし、Ｆ_W（ｘ）はｘ，Ｗを入力して固定長の乱数を出力する関数であるとする。

（第４のステップ）
秘密計算装置２１Ａは、データＴ_gおよび

を用いて、論理回路関数ｆの最終段のワイヤーの出力

を得る。
（第５のステップ）
更に、秘密計算装置２１Ａは

から、演算結果ｆ（ｍ₁，・・・，ｍ_N）のビット

を得る。

以上、説明したように、本実施例によれば、非特許文献３の技術を用いた秘密計算システムでは全体の計算量の大部分を占めていた、ｐｒｏｘｙ １−ｏｕｔ−ｏｆ−２ Ｏｂｌｉｖｉｏｕｓ Ｔｒａｎｓｆｅｒプロトコルを秘密計算装置２１Ａ，２１Ｂ，２１Ｃのいずれも実行する必要がないので、秘密計算装置２１Ａ，２１Ｂ，２１Ｃの負荷を大幅に低減することができる。

なお、本実施例で追加された秘密計算装置２１Ｃには入力値ｍの断片ｔが与えられるだけなので、秘密計算装置２１Ｃによって入力値ｍの秘匿性が損なわれることはない。

また、本実施例では、ＸＯＲを分割演算子としてデータｍを２つの断片ｓ，ｔに分割する例を示したが、本発明はこれに限定されるものではない。論理回路ｆに一方の断片（例えばｓ）を埋め込んでデータＴ_gを生成し、他方の断片（例えばｔ）を入力として、データＴ_gから論理回路ｆの演算結果を得られればよいので、加減算、乗算、その他どのような演算子を分割演算子としてもよい。

また、第１および第２の実施例において、上述した各装置は、各部の動作の一部または全部を処理手順として規定したソフトウェアプログラムをコンピュータに実行させることにより実現することもできる。

第１の実施例による秘密計算システムの構成を示すブロック図である。 本実施形態の秘密計算システムの動作を示すシーケンス図である。 第２の実施例による秘密計算システムの構成を示すブロック図である。 非特許文献１に開示された技術を用いた秘密計算システムの構成を示すブロック図である。 非特許文献３に開示された技術を用いた秘密計算システムの構成を示すブロック図である。

符号の説明

１１Ａ，１１Ｂ，１１Ｃ，２１Ａ，２１Ｂ，２１Ｃ 秘密計算装置
２０₁〜２０_N 変換装置

Claims (10)

1. 第１の入力値ｍＡを秘匿したままで、該第１の入力値ｍＡに対する論理回路関数ｆの演算結果ｆ（ｍＡ）を算出する秘密計算システムであって、
   第１の秘密計算装置と、第３の秘密計算装置と、前記論理回路関数ｆを保有している第２の秘密計算装置と、を有し、
   前記第３の秘密計算装置は、ランダムなデータＷ＝（Ｗ０，Ｗ１）を生成し、前記第１の入力値ｍＡが分割演算子＊で２つに分割された一方の断片ｔから、前記断片ｔの各ビットｂに対応したデータＷｂを生成し、前記データＷｂを前記第１の秘密計算装置に送信し、前記データＷ＝（Ｗ０，Ｗ１）を前記第２の秘密計算装置に送信し、
   前記第２の秘密計算装置は、前記第１の入力値ｍＡが分割された他方の断片ｓ、前記論理回路関数ｆ、および前記データＷから、前記データＷｂを入力として前記演算結果ｆ（ｍＡ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆを秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
   前記第１の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍＡ）を算出する、秘密計算システム。
2. 前記第１の秘密計算装置は、前記第１の入力値ｍＡを保有しており、前記第１の入力値ｍＡを分割演算子＊で断片ｓと断片ｔの２つに分割し、前記断片ｓを前記第２の秘密計算装置に送信し、前記断片ｔを前記第３の秘密計算装置に送信する、請求項１に記載の秘密計算システム。
3. 前記論理回路関数ｆは、２つの入力値を入力とする論理回路関数ｆ（ｘ，ｙ）であり、第２の入力値ｍＢを前記第２の秘密計算装置が保有しており、
   前記第２の秘密計算装置は、前記断片ｓ、前記論理回路関数ｆ、および前記データＷに加えて更に前記入力値ｍＢを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍＡ，ｍＢ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆ（ｘ，ｍＢ）を秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
   前記第１の秘密計算装置は、前記データＴと前記データＷｂとを入力とし、前記第１および第２の入力値ｍＡ，ｍＢに対する論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍＡ，ｍＢ）を算出する、請求項１または２に記載の秘密計算システム。
4. 前記第１の入力値ｍＡを、ｍＡ＝ｓ＊ｔを満たすように、前記断片ｓ，ｔに分割し、前記断片ｔを前記第３の秘密計算装置に送信し、前記断片ｓを前記第２の秘密計算装置に送信する変換装置を更に有する、請求項１に記載の秘密計算システム。
5. 第１、第２、および第３の秘密計算装置により、第１の入力値ｍＡを秘匿したままで、該第１の入力値ｍＡに対する論理回路関数ｆの演算結果ｆ（ｍＡ）を算出するための秘密計算方法であって、
   第２の秘密計算装置にて前記論理回路関数ｆを保持しておき、
   前記第３の秘密計算装置において、ランダムなデータＷ＝（Ｗ０，Ｗ１）を生成し、前記第１の入力値ｍＡが分割演算子＊で２つに分割された一方の断片ｔから、前記断片ｔの各ビットｂに対応したデータＷｂを生成し、前記データＷｂを前記第１の秘密計算装置に送信し、前記データＷ＝（Ｗ０，Ｗ１）を前記第２の秘密計算装置に送信し、
   前記第２の秘密計算装置において、前記第１の入力値ｍＡが分割された他方の断片ｓ、前記論理回路関数ｆ、および前記データＷから、前記データＷｂを入力として前記演算結果ｆ（ｍＡ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆを秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
   前記第１の秘密計算装置において、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍＡ）を算出する、秘密計算方法。
6. 前記第１の秘密計算装置において、前記第１の入力値ｍＡを保有しており、前記第１の入力値ｍＡを分割演算子＊で断片ｓと断片ｔの２つに分割し、前記断片ｓを前記第２の秘密計算装置に送信し、前記断片ｔを前記第３の秘密計算装置に送信する、請求項５に記載の秘密計算方法。
7. 前記論理回路関数ｆは、２つの入力値を入力とする論理回路関数ｆ（ｘ，ｙ）であり、第２の入力値ｍＢを前記第２の秘密計算装置にて保有しており、
   前記第２の秘密計算装置において、前記断片ｓ、前記論理回路関数ｆ、および前記データＷに加えて更に前記入力値ｍＢを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍＡ，ｍＢ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆ（ｘ，ｍＢ）を秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
   前記第１の秘密計算装置において、前記データＴと前記データＷｂとを入力とし、前記第１および第２の入力値ｍＡ，ｍＢに対する論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍＡ，ｍＢ）を算出する、請求項５または６に記載の秘密計算方法。
8. ３台のコンピュータをそれぞれ第１、第２、および第３の秘密計算装置として動作させ、第１の入力値ｍＡを秘匿したままで、該第１の入力値ｍＡに対する論理回路関数ｆの演算結果ｆ（ｍＡ）を算出する秘密計算プログラムであって、
   前記第３の秘密計算装置が、ランダムなデータＷ＝（Ｗ０，Ｗ１）を生成し、前記第１の入力値ｍＡが分割演算子＊で２つに分割された一方の断片ｔから、前記断片ｔの各ビットｂに対応したデータＷｂを生成し、前記データＷｂを前記第１の秘密計算装置に送信し、前記データＷ＝（Ｗ０，Ｗ１）を前記第２の秘密計算装置に送信する手順と、
   前記論理回路関数ｆを保有している前記第２の秘密計算装置が、前記第１の入力値ｍＡが分割された他方の断片ｓ、前記論理回路関数ｆ、および前記データＷから、前記データＷｂを入力として前記演算結果ｆ（ｍＡ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆを秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信する手順と、
   前記第１の秘密計算装置が、前記データＴと前記データＷｂとを入力とし、前記演算結果ｆ（ｍＡ）を算出する手順と、をそれぞれ第１、第２、および第３の秘密計算装置としてコンピュータに実行させるための秘密計算プログラム。
9. 前記第１の秘密計算装置が、前記第１の入力値ｍＡを保有しており、前記第１の入力値ｍＡを分割演算子＊で断片ｓと断片ｔの２つに分割し、前記断片ｓを前記第２の秘密計算装置に送信し、前記断片ｔを前記第３の秘密計算装置に送信する、請求項８に記載の秘密計算プログラム。
10. 前記論理回路関数ｆは、２つの入力値を入力とする論理回路関数ｆ（ｘ，ｙ）であり、第２の入力値ｍＢを前記第２の秘密計算装置が保有しており、
    前記第２の秘密計算装置が、前記断片ｓ、前記論理回路関数ｆ、および前記データＷに加えて更に前記入力値ｍＢを用いて、前記データＷｂを入力として前記演算結果ｆ（ｍＡ，ｍＢ）を求めることができる、前記断片ｓを埋め込んだ論理回路関数ｆ（ｘ，ｍＢ）を秘匿化したデータＴを生成し、前記第１の秘密計算装置に送信し、
    前記第１の秘密計算装置が、前記データＴと前記データＷｂとを入力とし、前記第１および第２の入力値ｍＡ，ｍＢに対する論理回路関数ｆ（ｘ，ｙ）の演算結果ｆ（ｍＡ，ｍＢ）を算出する、請求項８または９に記載の秘密計算プログラム。

Images