JP5438650B2 - 不正検知方法、秘密計算システム、計算装置、計算プログラム - Google Patents

Description

本発明は暗号技術に関し、暗号化された二つの数値を復元すること無く当該数値の乗算結果の暗号文（断片）を得るときの不正検知方法、不正検知機能を有する秘密計算システム、計算装置、および計算プログラムに関する。

暗号化された数値を復元すること無く特定の演算結果を得る方法（以降、このような計算を秘密計算と呼ぶ）として、例えば非特許文献１に記載された方法がある。この方法は、３つの計算装置に１つ以上の数値を分散させて記録する（以降、分散された情報を断片と呼ぶ）。そして、分散された数値を復元すること無く、加減算，定数和，乗算，定数倍，論理演算(否定，論理積，論理和，排他的論理和)，データ形式変換(整数, 二進数)の結果を３つの計算装置に分散保持させることができる(なお、定数とは既知の数値を意味している)。

千田浩司，五十嵐大，高橋克巳，"効率的な３パーティ秘匿関数計算の提案とその運用モデルの考察"，第48回情報処理学会研究報告，CSEC, pp.1-7, 2010，3月.

しかしながら、従来技術は乗算の秘密計算においていずれかの計算装置が不正処理を行った場合にそれを検知できない場合がある。本発明は、乗算の秘密計算での計算装置の不正処理を検知できる秘密計算システムを提供することを目的とする。

本発明の秘密計算システムは、数値Ｘを３つの計算装置α、β、γで分散して記録し、秘密計算を行う。Ｍを２以上の整数、計算装置Ｐ_０として動作する計算装置が記録する断片を（ｘ_０，ｘ_１）、計算装置Ｐ_１として動作する計算装置が記録する断片を（ｘ_１，ｘ_２）、計算装置Ｐ_２として動作する計算装置が記録する断片を（ｘ_２，ｘ_０）、数値Ｘと断片とは
Ｘ＝ｘ_０＋ｘ_１＋ｘ_２ ｍｏｄ Ｍ
の関係を満たすとする。

秘密計算システムは、データ取得手段、乱数共有手段、第１乗算結果分散手段、乗算結果加算手段、第２乗算結果分散手段、乗算確認手段を備える。データ取得手段は、数値Ａ，Ｂ，Ｃの断片として、計算装置Ｐ_０に断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１）を取得させ、計算装置Ｐ_１に断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）を取得させ、計算装置Ｐ_２に断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）を取得させる。乱数共有手段は、計算装置Ｐ_１と計算装置Ｐ_２に、ランダムに選んだ２以上Ｍ以下の整数Ｓを共有させる。第１乗算結果分散手段は、計算装置Ｐ_１にＳａ_１を分散させ、計算装置Ｐ_１または計算装置Ｐ_２にＳａ_２を分散させ、計算装置Ｐ_２にＳａ_０を分散させて、計算装置Ｐ_０に断片（（Ｓａ_０）_０，（Ｓａ_０）_１），（（Ｓａ_１）_０，（Ｓａ_１）_１），（（Ｓａ_２）_０，（Ｓａ_２）_１）を取得させ、計算装置Ｐ_１に断片（（Ｓａ_０）_１，（Ｓａ_０）_２），（（Ｓａ_１）_１，（Ｓａ_１）_２），（（Ｓａ_２）_１，（Ｓａ_２）_２）を取得させ、計算装置Ｐ_２に断片（（Ｓａ_０）_２，（Ｓａ_０）_０），（（Ｓａ_１）_２，（Ｓａ_１）_０），（（Ｓａ_２）_２，（Ｓａ_２）_０）を取得させる。乗算結果加算手段は、
Ｄ＝Ｓａ_０＋Ｓａ_１＋Ｓａ_２ ｍｏｄ Ｍ
の秘密計算を行い、計算装置Ｐ_０に断片（ｄ_０，ｄ_１）を取得させ、計算装置Ｐ_１に断片（ｄ_１，ｄ_２）を取得させ、計算装置Ｐ_２に断片（ｄ_２，ｄ_０）を取得させる。第２乗算結果分散手段は、
Ｅ＝ＤＢ ｍｏｄ Ｍ
の秘密計算を行い、計算装置Ｐ_０に断片（ｅ_０，ｅ_１）を取得させ、計算装置Ｐ_１に断片（ｅ_１，ｅ_２）を取得させ、計算装置Ｐ_２に断片（ｅ_２，ｅ_０）を取得させる。

乗算確認手段は、計算装置Ｐ_１に
ｆ＝ｅ_１＋ｅ_２−Ｓｃ_１−Ｓｃ_２ ｍｏｄ Ｍ
を計算させ、計算装置Ｐ_２に
ｇ＝ｅ_０−Ｓｃ_０ ｍｏｄ Ｍ
を計算させ、計算装置Ｐ_１または計算装置Ｐ_２に
ｆ＋ｇ＝０ ｍｏｄ Ｍ
かを確認させる。もしくは、乗算確認手段は、計算装置Ｐ_１に
ｆ＝ｅ_１−Ｓｃ_１ ｍｏｄ Ｍ
を計算させ、計算装置Ｐ_２に
ｇ＝ｅ_２＋ｅ_０−Ｓｃ_２−Ｓｃ_０ ｍｏｄ Ｍ
を計算させ、計算装置Ｐ_１または計算装置Ｐ_２に
ｆ＋ｇ＝０ ｍｏｄ Ｍ
かを確認させる。

本発明の秘密計算システムによれば、乱数Ｓを用いて２通りの演算を行い乗算の結果が同じになることを確認するので、乗算の秘密計算での計算装置の不正処理を検知できる。

本発明の秘密計算システムの機能構成例を示す図。 実施例１の秘密計算システムの不正検知の処理フローを示す図。 実施例２の秘密計算システムの不正検知の処理フローを示す図。

以下、本発明の実施の形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１に実施例１の秘密計算システムの機能構成例を示す。図２に実施例１の秘密計算システムの不正検知の処理フローを示す。実施例１の秘密計算システムは、ネットワーク１０００を介して接続された３つの計算装置１００_α、１００_β、１００_γで構成される。計算装置１００_α、１００_β、１００_γは、数値Ｘの断片（分散された情報）を分散して記録し、秘密計算を行う。各計算装置１００_ｙ（ただし、ｙはα、β、もしくはγ）は、データ取得部１１０_ｙ、乱数共有部１２０_ｙ、第１乗算結果分散部１３０_ｙ、乗算結果加算部１４０_ｙ、第２乗算結果分散部１５０_ｙ、乗算確認部１６０_ｙ、記録部１９０_ｙを備える。記録部１９０_ｙは、断片のデータなどを記録する。秘密計算システムは、データ取得手段、乱数共有手段、第１乗算結果分散手段、乗算結果加算手段、第２乗算結果分散手段、乗算確認手段を備える。データ取得手段は、データ取得部１１０_α，１１０_β，１１０_γで構成される。乱数共有手段は、乱数共有部１２０_α，１２０_β，１２０_γで構成される。第１乗算結果分散手段は、第１乗算結果分散部１３０_α，１３０_β，１３０_γで構成される。乗算結果加算手段は、乗算結果加算部１４０_α，１４０_β，１４０_γで構成される。第２乗算結果分散手段は、第２乗算結果分散部１５０_α，１５０_β，１５０_γで構成される。乗算確認手段は、乗算確認部１６０_α，１６０_β，１６０_γで構成される。

計算装置１００_α、１００_β、１００_γは、まず、計算装置Ｐ_０として動作するか、計算装置Ｐ_１として動作するか、計算装置Ｐ_２として動作するかが決められる。そして、計算装置Ｐ_０として動作する計算装置が記録する断片を（ｘ_０，ｘ_１）、計算装置Ｐ_１として動作する計算装置が記録する断片を（ｘ_１，ｘ_２）、計算装置Ｐ_２として動作する計算装置が記録する断片を（ｘ_２，ｘ_０）と示すことにする。このとき、数値Ｘと断片とは
Ｘ＝ｘ_０＋ｘ_１＋ｘ_２ ｍｏｄ Ｍ
ただし、Ｍは２以上の整数
の関係を満たすとする。なお、計算装置Ｐ_ｎ（ただし、ｎは０，１，２のいずれか）として動作する計算装置の各構成部を、データ取得部１１０_ｎ、乱数共有部１２０_ｎ、第１乗算結果分散部１３０_ｎ、乗算結果加算部１４０_ｎ、第２乗算結果分散部１５０_ｎ、乗算確認部１６０_ｎ、記録部１９０_ｎと表記する。

計算装置Ｐ_０のデータ取得部１１０_０が、数値Ａ，Ｂ，Ｃの断片として断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１）を取得し、記録部１９０_０に記録する。計算装置Ｐ_１のデータ取得部１１０_１が、数値Ａ，Ｂ，Ｃの断片として断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）を取得し、記録部１９０_１に記録する。計算装置Ｐ_２のデータ取得部１１０_２が、数値Ａ，Ｂ，Ｃの断片として断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）を取得し、記録部１９０_２に記録する（Ｓ１１０）。なお、数値Ａ，Ｂは、装置Ｑと装置Ｒがそれぞれ保持して分散した数値とする。ここで、装置Ｑと装置Ｒとは同一の装置でもよい。また装置Ｑ，Ｒは、計算装置Ｐ_０，Ｐ_１，Ｐ_２のいずれかであってもよいし、異なる装置でもよい。数値Ｃは、計算装置Ｐ_０，Ｐ_１，Ｐ_２の間で
Ｃ＝ＡＢ ｍｏｄ Ｍ
の秘密計算を実行して、断片を計算装置Ｐ_０，Ｐ_１，Ｐ_２が取得した数値である。

計算装置Ｐ_１の乱数共有部１２０_１と計算装置Ｐ_２の乱数共有部１２０_２は、ランダムに選んだ２以上Ｍ以下の整数Ｓを共有する（Ｓ１２０）。計算装置Ｐ_１の第１乗算結果分散部１３０_１はＳａ_１を分散し、計算装置Ｐ_１の第１乗算結果分散部１３０_１または計算装置Ｐ_２の第１乗算結果分散部１３０_２はＳａ_２を分散し、計算装置Ｐ_２の第１乗算結果分散部１３０_２はＳａ_０を分散し、計算装置Ｐ_０が断片（（Ｓａ_０）_０，（Ｓａ_０）_１），（（Ｓａ_１）_０，（Ｓａ_１）_１），（（Ｓａ_２）_０，（Ｓａ_２）_１）を取得し、計算装置Ｐ_１が断片（（Ｓａ_０）_１，（Ｓａ_０）_２），（（Ｓａ_１）_１，（Ｓａ_１）_２），（（Ｓａ_２）_１，（Ｓａ_２）_２）を取得し、計算装置Ｐ_２が断片（（Ｓａ_０）_２，（Ｓａ_０）_０），（（Ｓａ_１）_２，（Ｓａ_１）_０），（（Ｓａ_２）_２，（Ｓａ_２）_０）を取得する（Ｓ１３０）。乗算結果加算部１４０_０、１４０_１、１４０_２は、
Ｄ＝Ｓａ_０＋Ｓａ_１＋Ｓａ_２ ｍｏｄ Ｍ
の秘密計算を行い、計算装置Ｐ_０が断片（ｄ_０，ｄ_１）を取得し、計算装置Ｐ_１が断片（ｄ_１，ｄ_２）を取得し、計算装置Ｐ_２が断片（ｄ_２，ｄ_０）を取得する（Ｓ１４０）。

第２乗算結果分散部１５０_０、１５０_１、１５０_２は、
Ｅ＝ＤＢ ｍｏｄ Ｍ
の秘密計算を行い、計算装置Ｐ_０が断片（ｅ_０，ｅ_１）を取得し、計算装置Ｐ_１が断片（ｅ_１，ｅ_２）を取得し、計算装置Ｐ_２が断片（ｅ_２，ｅ_０）を取得する（Ｓ１５０）。なお、数値Ｄ，Ｅは、上述のように、計算装置Ｐ_０，Ｐ_１，Ｐ_２の間で
Ｄ＝ＳＡ ｍｏｄ Ｍ
Ｅ＝ＤＢ ｍｏｄ Ｍ ＝ＳＡＢ ｍｏｄ Ｍ
の秘密計算を実行して、断片を計算装置Ｐ_０，Ｐ_１，Ｐ_２が取得した数値である。このように計算を行うので、数値Ｄ，Ｅは、計算装置Ｐ_０，Ｐ_１，Ｐ_２のどの装置も知らない数値である。

計算装置Ｐ_１の乗算確認部１６０_１は、
ｆ＝ｅ_１＋ｅ_２−Ｓｃ_１−Ｓｃ_２ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_２の乗算確認部１６０_２は、
ｇ＝ｅ_０−Ｓｃ_０ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_１の乗算確認部１６０_１または計算装置Ｐ_２の乗算確認部１６０_２は、
ｆ＋ｇ＝０ ｍｏｄ Ｍ
かを確認する（Ｓ１６０）。この式が成り立つ場合には計算装置Ｐ_０は不正を行っていないと判断し、成り立たない場合は計算装置Ｐ_０が不正を行ったと判断する。もしくは、ステップＳ１６０として、計算装置Ｐ_１の乗算確認部１６０_１は、
ｆ＝ｅ_１−Ｓｃ_１ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_２の乗算確認部１６０_２は、
ｇ＝ｅ_２＋ｅ_０−Ｓｃ_２−Ｓｃ_０ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_１の乗算確認部１６０_１または計算装置Ｐ_２の乗算確認部１６０_２は、
ｆ＋ｇ＝０ ｍｏｄ Ｍ
かを確認する。そして、この式が成り立つ場合には計算装置Ｐ_０は不正を行っていないと判断し、成り立たない場合は計算装置Ｐ_０が不正を行ったと判断する。なお、
ｆ＋ｇ＝０ ｍｏｄ Ｍ
の確認を計算装置Ｐ_１で行う場合は計算装置Ｐ_１は計算装置Ｐ_２からｇを受信した上で、計算装置Ｐ_２で行う場合は計算装置Ｐ_２は計算装置Ｐ_１からｆを受信した上で確認を行う。

このように実施例1の秘密計算システムでは、計算装置Ｐ_０，Ｐ_１，Ｐ_２は数値Ａ，Ｂの断片（分散されたデータ）からＣ＝ＡＢの断片を得る際、計算装置Ｐ_１，Ｐ_２は乱数Ｓを共有し、計算装置Ｐ_０，Ｐ_１，Ｐ_２はＣ＝ＡＢ，Ｄ＝ＳＡ，Ｅ＝ＤＢの断片を得る手続きを行い、計算装置Ｐ_１，Ｐ_２はＳＣ＝Ｅとなっているかどうか検証し、なっていれば計算装置Ｐ_０は正しいと判断し、なっていなければ不正と判断する。つまり、実施例１の秘密計算システムによれば、乱数Ｓを用いて２通りの演算を行い、乗算の結果が同じになることを確認するので、乗算の秘密計算において計算装置Ｐ_０の不正処理を検知できる。
［不正が検知できる理由］
次に、上述の乗算の不正検知について補足説明する。

ｆ＋ｇ＝ｅ_０＋ｅ_１＋ｅ_２−Ｓ（ｃ_０＋ｃ_１＋ｃ_２） ｍｏｄ Ｍ
＝ＤＢ−ＳＣ ｍｏｄ Ｍ
＝ＳＡＢ−ＳＣ ｍｏｄ Ｍ
が成り立つから、秘密計算システムが正しく動作すれば
ｆ＋ｇ＝０ ｍｏｄ Ｍ
となる。計算装置Ｐ_０が不正データを送信した場合、ｅ_０，ｅ_１，ｅ_２，ｃ_０，ｃ_１，ｃ_２が不正データとなり得る。これをｅ’_０，ｅ’_１，ｅ’_２，ｃ’_０，ｃ’_１，ｃ’_２とおくと、計算装置Ｐ_０は
ｆ’＝ｅ’_１＋ｅ’_２−Ｓｃ’_１−Ｓｃ’_２ ｍｏｄ Ｍ
ｇ’＝ｅ’_０−Ｓｃ’_０ ｍｏｄ Ｍ
もしくは、
ｆ’＝ｅ’_１−Ｓｃ’_１ ｍｏｄ Ｍ
ｇ’＝ｅ’_２＋ｅ’_０−Ｓｃ’_２−Ｓｃ’_０ ｍｏｄ Ｍ
について
ｆ’＋ｇ’＝０ ｍｏｄ Ｍ
となるようにｅ’_０，ｅ’_１，ｅ’_２，ｃ’_０，ｃ’_１，ｃ’_２を選ぶ必要がある。ここで、本来の値と不正値の差分を
ΔＣ＝Ｃ−（ｃ’_０＋ｃ’_１＋ｃ’_２） ｍｏｄ Ｍ
ΔＥ＝ＳＣ−（ｅ’_０＋ｅ’_１＋ｅ’_２） ｍｏｄ Ｍ
とおくと、
ｆ’＋ｇ’＝（ＳＣ−ΔＥ）−Ｓ（Ｃ−ΔＣ） ｍｏｄ Ｍ
となるから、
ｆ’＋ｇ’＝０ ｍｏｄ Ｍ ⇔ ΔＥ＝ＳΔＣ ｍｏｄ Ｍ
成り立ち、任意のＳについて
ｆ’＋ｇ’＝０ ｍｏｄ Ｍ
が成り立つためには
ΔＥ＝ΔＣ＝０
でなければならないので、不正が成立しない。なお、不正が成立するためには、
ΔＥ≠０またはΔＣ≠０として
ｆ’＋ｇ’＝０ ｍｏｄ Ｍ
が成り立つ、すなわちΔＥ＝ＳΔＣ ｍｏｄ Ｍが成り立つ必要がある。しかし、計算装置Ｐ_０がＳを知らない限り、Ｍが大きく、かつＳとＭの最大公約数が小さければこれは困難である。

実施例２の秘密計算システムの機能構成も図１に示す。図３に実施例２の秘密計算システムの不正検知の処理フローを示す。実施例１の秘密計算システムとは、各計算装置１００_ｙ（ただし、ｙはα、β、もしくはγ）が、減算結果分散部１７０_ｙ、減算確認部１８０_ｙも備えている点が異なる。また、減算結果分散部１７０_α、１７０_β、１７０_γが減算結果分散手段を構成し、減算確認部１８０_α、１８０_β、１８０_γが減算確認手段を構成する。そして、本実施例では、各計算装置１００_ｙを、計算装置Ｐ_０，計算装置Ｐ_１，計算装置Ｐ_２のどれとして動作させるかを変更しながら、不正検知の処理を行う。

計算装置１００_αの記録部１９０_αが記録する断片を（ｘ_γα，ｘ_αβ）、計算装置１００_βの記録部１９０_βが記録する断片を（ｘ_αβ，ｘ_βγ）、計算装置１００_γの記録部１９０_γが記録する断片を（ｘ_βγ，ｘ_γα）とする。また、断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）は計算装置１００_αが計算装置Ｐ_０として、計算装置１００_βが計算装置Ｐ_１として、計算装置１００_γが計算装置Ｐ_２としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）は計算装置１００_αが計算装置Ｐ_１として、計算装置１００_βが計算装置Ｐ_２として、計算装置１００_γが計算装置Ｐ_０としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）は計算装置１００_αが計算装置Ｐ_２として、計算装置１００_βが計算装置Ｐ_０として、計算装置１００_γが計算装置Ｐ_１としてＣ＝ＡＢの秘密計算を行った結果とする。

本実施例のデータ取得手段では、計算装置１００_αのデータ取得部１１０_αが断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_１，ｃ’_２），（ｃ”_２，ｃ”_０）を取得し、計算装置１００_βのデータ取得部１１０_βが断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）（ｃ’_２，ｃ”_０），（ｃ”_０，ｃ”_１）を取得し、計算装置１００_γのデータ取得部１１０_γが断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）（ｃ’_０，ｃ’_１），（ｃ”_１，ｃ”_２）を取得する（Ｓ１１０’）。

まず、計算装置１００_αが計算装置Ｐ_０として、計算装置１００_βが計算装置Ｐ_１として、計算装置１００_γが計算装置Ｐ_２として動作するように設定する（Ｓ１０１）。そして、断片（ａ_０，ａ_１），（ａ_１，ａ_２），（ａ_２，ａ_０）と断片（ｂ_０，ｂ_１），（ｂ_１，ｂ_２），（ｂ_２，ｂ_０）と断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）を用いて、計算装置１００_αが計算装置Ｐ_０として、計算装置１００_βが計算装置Ｐ_１として、計算装置１００_γが計算装置Ｐ_２として、実施例１と同じようにステップＳ１２０（乱数共有ステップ）、ステップＳ１３０（第１乗算結果分散ステップ）、ステップＳ１４０（乗算結果加算ステップ）、ステップＳ１５０（第２乗算結果分散ステップ）、ステップＳ１６０（乗算確認ステップ）を実行する。このことにより、計算装置Ｐ_０として動作した計算装置１００_αが不正をしていないこと（または不正をしたこと）を確認できる。

秘密計算システムは、計算装置を所定の組合せだけ設定したかを確認する（Ｓ１０２）。所定の組合せとは、例えば、（１）計算装置１００_αが計算装置Ｐ_０として、計算装置１００_βが計算装置Ｐ_１として、計算装置１００_γが計算装置Ｐ_２として動作する組合せ、（２）計算装置１００_αが計算装置Ｐ_１として、計算装置１００_βが計算装置Ｐ_２として、計算装置１００_γが計算装置Ｐ_０として動作する組合せ、（３）計算装置１００_αが計算装置Ｐ_２として、計算装置１００_βが計算装置Ｐ_０として、計算装置１００_γが計算装置Ｐ_１として動作する組合せとすればよい。このように計算装置Ｐ_０として動作する計算装置を変更することにより、不正検知の対象となる計算装置を変更できる。また、すべての計算装置が計算装置Ｐ_０として動作するまで組合せを変更すれば、すべての計算装置を不正検知の対象にできる。

所定の組合せ分の処理が終わっていなければ（ステップＳ１０２がＮｏならば）、計算装置の設定を変更する。本実施例では、計算装置１００_αが計算装置Ｐ_１として、計算装置１００_βが計算装置Ｐ_２として、計算装置１００_γが計算装置Ｐ_０として動作するように設定する（Ｓ１０３）。そして、断片（ａ’_０，ａ’_１），（ａ’_１，ａ’_２），（ａ’_２，ａ’_０）と断片（ｂ’_０，ｂ’_１），（ｂ’_１，ｂ’_２），（ｂ’_２，ｂ’_０）と断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）を用いて、計算装置１００_αが計算装置Ｐ_１として、計算装置１００_βが計算装置Ｐ_２として、計算装置１００_γが計算装置Ｐ_０として、ステップＳ１２０（乱数共有ステップ）、ステップＳ１３０（第１乗算結果分散ステップ）、ステップＳ１４０（乗算結果加算ステップ）、ステップＳ１５０（第２乗算結果分散ステップ）、ステップＳ１６０（乗算確認ステップ）を実行する。ただし、ａ’_０＝ａ_２，ａ’_１＝ａ_０，ａ’_２＝ａ_１，ｂ’_０＝ｂ_２，ｂ’_１＝ｂ_０，ｂ’_２＝ｂ_１である。このことにより、計算装置Ｐ_０として動作した計算装置１００_γが不正をしていないこと（または不正をしたこと）を確認できる。

さらに、本実施例では、計算装置１００_αが計算装置Ｐ_２として、計算装置１００_βが計算装置Ｐ_０として、計算装置１００_γが計算装置Ｐ_１として動作するように設定する（Ｓ１０３）。そして、断片（ａ”_０，ａ”_１），（ａ”_１，ａ”_２），（ａ”_２，ａ”_０）と断片（ｂ”_０，ｂ”_１），（ｂ”_１，ｂ”_２），（ｂ”_２，ｂ”_０）と断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）を用いて、計算装置１００_αが計算装置Ｐ_２として、計算装置１００_βが計算装置Ｐ_０として、計算装置１００_γが計算装置Ｐ_１として、ステップＳ１２０（乱数共有ステップ）、ステップＳ１３０（第１乗算結果分散ステップ）、ステップＳ１４０（乗算結果加算ステップ）、ステップＳ１５０（第２乗算結果分散ステップ）、ステップＳ１６０（乗算確認ステップ）を実行する。ただし、ａ”_０＝ａ_１，ａ”_１＝ａ_２，ａ”_２＝ａ_０，ｂ”_０＝ｂ_１，ｂ”_１＝ｂ_２，ｂ”_２＝ｂ_０である。このことにより、計算装置Ｐ_０として動作した計算装置１００_βが不正をしていないこと（または不正をしたこと）を確認できる。

次に、秘密計算システムは、計算装置１００_α、１００_β、１００_γが計算装置Ｐ_０，Ｐ_１，Ｐ_２のいずれの計算装置として動作するかを決め、減算結果分散部１７０_０、１７０_１、１７０_２が
Ｕ＝Ｃ−Ｃ’ ｍｏｄ Ｍ
の秘密計算と、
Ｖ＝Ｃ−Ｃ” ｍｏｄ Ｍ
の秘密計算とを行い、計算装置Ｐ_０が断片（ｕ_０，ｕ_１），（ｖ_０，ｖ_１）を取得し、計算装置Ｐ_１が断片（ｕ_１，ｕ_２），（ｖ_１，ｖ_２）を取得し、計算装置Ｐ_２が断片（ｕ_２，ｕ_０），（ｖ_２，ｖ_０）を取得する（Ｓ１７０）。
減算確認部１８０_０、１８０_１、１８０_２が、数値ＵとＶを復元し、Ｕ＝０かつＶ＝０であることを確認する（Ｓ１８０）。

本実施例の場合、上述のように計算装置Ｐ_０として動作する計算装置を変更しながら不正検知の処理を行う。したがって、すべての計算装置が計算装置Ｐ_０として動作したときに不正を行っていないこと（または不正を行ったこと）を検知できる。また、計算装置Ｐ_１またはＰ_２として動作するときに不正を行い、
Ｃ’≠ＡＢ ｍｏｄ Ｍ
または
Ｃ”≠ＡＢ ｍｏｄ Ｍ
となった場合、ステップＳ１８０で不正が検知できる。したがって、実施例２の秘密計算システムによれば、実施例１と同じ効果が得られるだけでなく、乗算の秘密計算において各計算装置の不正処理を検知できる。

［秘密計算］
実施例１、実施例２の説明では、秘密計算については、１つの方法に限定しないことを前提としており、具体例は示さなかった。以下では、本発明の秘密計算システムの各構成部が利用できる基本的な秘密計算の具体例を示す。なお、以下の説明では、計算装置１００_０，１００_１，１００_２が分散して記録する数値Ａの断片を（ａ_０，ａ_１），（ａ_１，ａ_２），（ａ_２，ａ_０）、数値Ｂの断片を（ｂ_０，ｂ_１），（ｂ_１，ｂ_２），（ｂ_２，ｂ_０）、数値Ｃの断片を（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）とする。また、Ｍを２以上の整数とする。

整数Ａの秘密分散
（１）０以上Ｍ未満の整数の乱数ａ_０，ａ_１を生成する。
（２）ａ_２＝Ａ−ａ_０−ａ_１を計算し、断片を（ａ_０，ａ_１），（ａ_１，ａ_２），（ａ_２，ａ_０）とし、計算装置Ｐ_０，Ｐ_１，Ｐ_２に分散して記録する。

整数Ａの復元
（１）計算装置Ｐ_０は計算装置Ｐ_１にａ_０を送信し、計算装置Ｐ_２にａ_１を送信する。計算装置Ｐ_１は計算装置Ｐ_２にａ_１を送信し、計算装置Ｐ_０にａ_２を送信する。計算装置Ｐ_２は計算装置Ｐ_０にａ_２を送信し、計算装置Ｐ_１にａ_０を送信する。
（２）計算装置Ｐ_０は計算装置Ｐ_１から受信したａ_２と計算装置Ｐ_２から受信したａ_２とが一致していれば、
ａ_０＋ａ_１＋ａ_２ ｍｏｄ Ｍ
を計算して数値Ａを復元する。計算装置Ｐ_１は計算装置Ｐ_２から受信したａ_０と計算装置Ｐ_０から受信したａ_０とが一致していれば、
ａ_０＋ａ_１＋ａ_２ ｍｏｄ Ｍ
を計算して数値Ａを復元する。計算装置Ｐ_２は計算装置Ｐ_０から受信したａ_１と計算装置Ｐ_１から受信したａ_１とが一致していれば、
ａ_０＋ａ_１＋ａ_２ ｍｏｄ Ｍ
を計算して数値Ａを復元する。

整数の加算（Ｃ＝Ａ＋Ｂ ｍｏｄ Ｍ）の秘密計算
計算装置Ｐ_０は
（ｃ_０，ｃ_１）＝（ａ_０＋ｂ_０ ｍｏｄ Ｍ，ａ_１＋ｂ_１ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_１は
（ｃ_１，ｃ_２）＝（ａ_１＋ｂ_１ ｍｏｄ Ｍ，ａ_２＋ｂ_２ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_２は
（ｃ_２，ｃ_０）＝（ａ_２＋ｂ_２ ｍｏｄ Ｍ，ａ_０＋ｂ_０ ｍｏｄ Ｍ）
を計算して記録する。

整数の減算（Ｃ＝Ａ−Ｂ ｍｏｄ Ｍ）の秘密計算
計算装置Ｐ_０は
（ｃ_０，ｃ_１）＝（ａ_０−ｂ_０ ｍｏｄ Ｍ，ａ_１−ｂ_１ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_１は
（ｃ_１，ｃ_２）＝（ａ_１−ｂ_１ ｍｏｄ Ｍ，ａ_２−ｂ_２ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_２は
（ｃ_２，ｃ_０）＝（ａ_２−ｂ_２ ｍｏｄ Ｍ，ａ_０−ｂ_０ ｍｏｄ Ｍ）
を計算して記録する。

整数の加算（Ｃ＝Ａ＋Ｓ ｍｏｄ Ｍ）の秘密計算（ただし、Ｓは既知の定数）
計算装置Ｐ_０は
（ｃ_０，ｃ_１）＝（ａ_０＋Ｓ ｍｏｄ Ｍ，ａ_１）
を計算して記録し、計算装置Ｐ_２は
（ｃ_２，ｃ_０）＝（ａ_２，ａ_０＋Ｓ ｍｏｄ Ｍ）
を計算して記録する。計算装置Ｐ_１の処理はない。

整数の乗算（Ｃ＝ＡＳ ｍｏｄ Ｍ）の秘密計算（ただし、Ｓは既知の定数）
計算装置Ｐ_０は
（ｃ_０，ｃ_１）＝（ａ_０Ｓ ｍｏｄ Ｍ，ａ_１Ｓ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_１は
（ｃ_１，ｃ_２）＝（ａ_１Ｓ ｍｏｄ Ｍ，ａ_２Ｓ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_２は
（ｃ_２，ｃ_０）＝（ａ_２Ｓ ｍｏｄ Ｍ，ａ_０Ｓ ｍｏｄ Ｍ）
を計算して記録する。

整数の乗算（Ｃ＝ＡＢ ｍｏｄ Ｍ）の秘密計算
（１）計算装置Ｐ_０は、０以上Ｍ未満の整数の乱数ｒ_１，ｒ_２，ｃ_０を生成し、
ｃ_１＝（ａ_０＋ａ_１）（ｂ_０＋ｂ_１）−ｒ_１−ｒ_２−ｃ_０ ｍｏｄ Ｍ
を計算する。そして、計算装置Ｐ_０は、計算装置Ｐ_１に（ｒ_１，ｃ_１）を、計算装置Ｐ_２に（ｒ_２，ｃ_０）を送信する。
（２）計算装置Ｐ_１は、
ｙ＝ａ_１ｂ_２＋ａ_２ｂ_１＋ｒ_１ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_２に送信する。
（３）計算装置Ｐ_２は、
ｚ＝ａ_２ｂ_０＋ａ_０ｂ_２＋ｒ_２ ｍｏｄ Ｍ
を計算し、計算装置Ｐ_０に送信する。
（４）計算装置Ｐ_１と計算装置Ｐ_２は、それぞれ
ｃ_２＝ｙ＋ｚ＋ａ_２ｂ_２ ｍｏｄ Ｍ
を計算する。
（５）計算装置Ｐ_０は（ｃ_０，ｃ_１）を記録し、計算装置Ｐ_１は（ｃ_１，ｃ_２）を記録し、計算装置Ｐ_２は（ｃ_２，ｃ_０）を記録する。

ビットＡの否定（Ｃ＝１−Ａ）の秘密計算
計算装置Ｐ_０は
（ｃ_０，ｃ_１）＝（１−ａ_０，−ａ_１ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_１は
（ｃ_１，ｃ_２）＝（−ａ_１ ｍｏｄ Ｍ，−ａ_２ ｍｏｄ Ｍ）
を計算して記録し、計算装置Ｐ_２は
（ｃ_２，ｃ_０）＝（−ａ_２ ｍｏｄ Ｍ，１−ａ_０）
を計算して記録する。

ビットの論理積（Ｃ＝Ａ∧Ｂ＝ＡＢ）の秘密計算
計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の乗算（Ｃ＝ＡＢ ｍｏｄ Ｍ）の秘密計算と同じ処理を行う。

ビットの論理和（Ｃ＝Ａ∨Ｂ＝Ａ＋Ｂ−ＡＢ）の秘密計算
（１）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の加算（Ｃ＝Ａ＋Ｂ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ’＝Ａ＋Ｂの結果として、計算装置Ｐ_０が断片（ｃ_０’，ｃ_１’）を、計算装置Ｐ_１が断片（ｃ_１’，ｃ_２’）を、計算装置Ｐ_２が断片（ｃ_２’，ｃ_０’）を記録する。また、計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の乗算（Ｃ＝ＡＢ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ”＝ＡＢの結果として、計算装置Ｐ_０が断片（ｃ_０”，ｃ_１”）を、計算装置Ｐ_１が断片（ｃ_１”，ｃ_２”）を、計算装置Ｐ_２が断片（ｃ_２”，ｃ_０”）を記録する。
（２）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、Ｓ＝−１として整数の乗算（Ｃ＝ＡＳ ｍｏｄ Ｍ）の秘密計算（ただし、Ｓは既知の定数）と同じ処理を行い、Ｃ’’’＝−Ｃ”の結果として、計算装置Ｐ_０が断片（ｃ_０’’’，ｃ_１’’’）を、計算装置Ｐ_１が断片（ｃ_１’’’，ｃ_２’’’）を、計算装置Ｐ_２が断片（ｃ_２’’’，ｃ_０’’’）を記録する。
（３）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の加算（Ｃ＝Ａ＋Ｂ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ＝Ｃ’＋Ｃ’’’の結果として、計算装置Ｐ_０が断片（ｃ_０，ｃ_１）を、計算装置Ｐ_１が断片（ｃ_１，ｃ_２）を、計算装置Ｐ_２が断片（ｃ_２，ｃ_０）を記録する。

ビットの排他的論理和（Ｃ＝Ａ∨Ｂ＝Ａ＋Ｂ−２ＡＢ）の秘密計算
（１）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の加算（Ｃ＝Ａ＋Ｂ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ’＝Ａ＋Ｂの結果として、計算装置Ｐ_０が断片（ｃ_０’，ｃ_１’）を、計算装置Ｐ_１が断片（ｃ_１’，ｃ_２’）を、計算装置Ｐ_２が断片（ｃ_２’，ｃ_０’）を記録する。また、計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の乗算（Ｃ＝ＡＢ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ”＝ＡＢの結果として、計算装置Ｐ_０が断片（ｃ_０”，ｃ_１”）を、計算装置Ｐ_１が断片（ｃ_１”，ｃ_２”）を、計算装置Ｐ_２が断片（ｃ_２”，ｃ_０”）を記録する。
（２）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、Ｓ＝−２として整数の乗算（Ｃ＝ＡＳ ｍｏｄ Ｍ）の秘密計算（ただし、Ｓは既知の定数）の秘密計算と同じ処理を行い、Ｃ’’’＝−２Ｃ”の結果として、計算装置Ｐ_０が断片（ｃ_０’’’，ｃ_１’’’）を、計算装置Ｐ_１が断片（ｃ_１’’’，ｃ_２’’’）を、計算装置Ｐ_２が断片（ｃ_２’’’，ｃ_０’’’）を記録する。
（３）計算装置Ｐ_０，Ｐ_１，Ｐ_２は、整数の加算（Ｃ＝Ａ＋Ｂ ｍｏｄ Ｍ）の秘密計算と同じ処理を行い、Ｃ＝Ｃ’＋Ｃ’’’の結果として、計算装置Ｐ_０が断片（ｃ_０，ｃ_１）を、計算装置Ｐ_１が断片（ｃ_１，ｃ_２）を、計算装置Ｐ_２が断片（ｃ_２，ｃ_０）を記録する。

ビットＡ（ｎ），ｎ＝０，…，Ｎ−１の整数変換の秘密計算
ビットＡ（ｎ）の整数変換とは、

を求めることである。また、計算装置１００_０，１００_１，１００_２が分散して記録するビットＡ（ｎ）の断片を（ａ（ｎ）_０，ａ（ｎ）_１）、（ａ（ｎ）_１，ａ（ｎ）_２）、（ａ（ｎ）_２，ａ（ｎ）_０）とする。計算装置１００_０は、

を計算して記録し、計算装置Ｐ_１は

を計算して記録し、計算装置Ｐ_２は

を計算して記録する。

Ｎビットの整数Ａの二進数変換の秘密計算
ｘ（ｎ）は、ｘの下位ｎ＋１番目のビットを示すものとする。
（１）ｎ＝０からＮ−１について、計算装置１００_１が（ａ_１＋ａ_２ ｍｏｄ Ｍ）（ｎ）を秘密分散し、計算装置１００_０，１００_１，１００_２が（ａ_１＋ａ_２ ｍｏｄ Ｍ）（ｎ）の断片（ｂ（ｎ）_０，ｂ（ｎ）_１）、（ｂ（ｎ）_１，ｂ（ｎ）_２）、（ｂ（ｎ）_２，ｂ（ｎ）_０）を分散して記録する。ｎ＝０からＮ−１について、計算装置１００_２が（ａ_０）（ｎ）を秘密分散し、計算装置１００_０，１００_１，１００_２が（ａ_０）（ｎ）の断片（（ａ_０）（ｎ）_０，（ａ_０）（ｎ）_１）、（（ａ_０）（ｎ）_１，（ａ_０）（ｎ）_２）、（（ａ_０）（ｎ）_２，（ａ_０）（ｎ）_０）を分散して記録する。
（２）ｃ_０＝０とし、ｎ＝０からＮ−１について（２−１）から（２−３）の処理を繰返し実行する。
（２−１）ｄ_ｎ＝ｂ（ｎ）＋（ａ_０）（ｎ）−２ｂ（ｎ）（ａ_０）（ｎ）
の秘密計算を実行し、ｄ_ｎの断片を分散して記録する。
（２−２）ａ（ｎ）＝ｄ_ｎ＋ｃ_ｎ−２ｄ_ｎｃ_ｎ
の秘密計算を実行し、ａ（ｎ）の断片を分散して記録する。
（２−３）ｎ＜Ｎ−１であれば、
ｃ_ｎ＋１＝ｂ（ｎ）（ａ_０）（ｎ）＋ｄ_ｎｃ_ｎ−ｂ（ｎ）（ａ_０）（ｎ）ｄ_ｎｃ_ｎ
の秘密計算を実行し、ｃ_ｎ＋１の断片を分散して記録する。

整数Ａの分散データの検証
計算装置Ｐ_０は、計算装置Ｐ_１から受信したａ_１と自身が記録していたａ_１が等しいこと、計算装置Ｐ_２から受信したａ_０と自身が記録していたａ_０が等しいことを検証する。計算装置Ｐ_１は、計算装置Ｐ_２から受信したａ_２と自身が記録していたａ_２が等しいこと、計算装置Ｐ_０から受信したａ_１と自身が記録していたａ_１が等しいことを検証する。計算装置Ｐ_２は、計算装置Ｐ_０から受信したａ_０と自身が記録していたａ_０が等しいこと、計算装置Ｐ_１から受信したａ_２と自身が記録していたａ_２が等しいことを検証する。すべての検証が成功すればtrueを出力し、いずれかの検証が失敗すればfalseを出力する。

［プログラム、記録媒体］
上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

１００ 計算装置 １１０ データ取得部
１２０ 乱数共有部 １３０ 第１乗算結果分散部
１４０ 乗算結果加算部 １５０ 第２乗算結果分散部
１６０ 乗算確認部 １７０ 減算結果分散部
１８０ 減算確認部 １９０ 記録部
１０００ ネットワーク

Claims (7)

1. 数値Ｘを３つの計算装置α、β、γで分散して記録し、秘密計算を行う秘密計算システムを用いてＣ＝ＡＢの秘密計算での不正を検知する不正検知方法であって、
   Ｍを２以上の整数、計算装置Ｐ_０として動作する計算装置が記録する断片を（ｘ_０，ｘ_１）、計算装置Ｐ_１として動作する計算装置が記録する断片を（ｘ_１，ｘ_２）、計算装置Ｐ_２として動作する計算装置が記録する断片を（ｘ_２，ｘ_０）、数値Ｘと断片とは
   Ｘ＝ｘ_０＋ｘ_１＋ｘ_２ ｍｏｄ Ｍ
   の関係を満たすとし、
   数値Ａ，Ｂ，Ｃの断片として、計算装置Ｐ_０が断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１）を取得し、計算装置Ｐ_１が断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）を取得し、計算装置Ｐ_２が断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）を取得するデータ取得ステップと、
   計算装置Ｐ_１と計算装置Ｐ_２が、ランダムに選んだ２以上Ｍ以下の整数Ｓを共有する乱数共有ステップと、
   計算装置Ｐ_１がＳａ_１を分散し、計算装置Ｐ_１または計算装置Ｐ_２がＳａ_２を分散し、計算装置Ｐ_２がＳａ_０を分散して、計算装置Ｐ_０が断片（（Ｓａ_０）_０，（Ｓａ_０）_１），（（Ｓａ_１）_０，（Ｓａ_１）_１），（（Ｓａ_２）_０，（Ｓａ_２）_１）を取得し、計算装置Ｐ_１が断片（（Ｓａ_０）_１，（Ｓａ_０）_２），（（Ｓａ_１）_１，（Ｓａ_１）_２），（（Ｓａ_２）_１，（Ｓａ_２）_２）を取得し、計算装置Ｐ_２が断片（（Ｓａ_０）_２，（Ｓａ_０）_０），（（Ｓａ_１）_２，（Ｓａ_１）_０），（（Ｓａ_２）_２，（Ｓａ_２）_０）を取得する第１乗算結果分散ステップと、
   計算装置Ｐ_０，Ｐ_１，Ｐ_２が、
   Ｄ＝Ｓａ_０＋Ｓａ_１＋Ｓａ_２ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０が断片（ｄ_０，ｄ_１）を取得し、計算装置Ｐ_１が断片（ｄ_１，ｄ_２）を取得し、計算装置Ｐ_２が断片（ｄ_２，ｄ_０）を取得する乗算結果加算ステップと、
   計算装置Ｐ_０，Ｐ_１，Ｐ_２が、
   Ｅ＝ＤＢ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０が断片（ｅ_０，ｅ_１）を取得し、計算装置Ｐ_１が断片（ｅ_１，ｅ_２）を取得し、計算装置Ｐ_２が断片（ｅ_２，ｅ_０）を取得する第２乗算結果分散ステップと、
   計算装置Ｐ_１が
   ｆ＝ｅ_１＋ｅ_２−Ｓｃ_１−Ｓｃ_２ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_２が
   ｇ＝ｅ_０−Ｓｃ_０ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_１または計算装置Ｐ_２が
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認する、もしくは、
   計算装置Ｐ_１が
   ｆ＝ｅ_１−Ｓｃ_１ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_２が
   ｇ＝ｅ_２＋ｅ_０−Ｓｃ_２−Ｓｃ_０ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_１または計算装置Ｐ_２が
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認する乗算確認ステップと、
   を有する不正検知方法。
2. 請求項１記載の不正検知方法であって、
   計算装置αが記録する断片を（ｘ_γα，ｘ_αβ）、計算装置βが記録する断片を（ｘ_αβ，ｘ_βγ）、計算装置γが記録する断片を（ｘ_βγ，ｘ_γα）とし、
   断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）は計算装置αが計算装置Ｐ_０として、計算装置βが計算装置Ｐ_１として、計算装置γが計算装置Ｐ_２としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）は計算装置αが計算装置Ｐ_１として、計算装置βが計算装置Ｐ_２として、計算装置γが計算装置Ｐ_０としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）は計算装置αが計算装置Ｐ_２として、計算装置βが計算装置Ｐ_０として、計算装置γが計算装置Ｐ_１としてＣ＝ＡＢの秘密計算を行った結果とし、
   前記データ取得ステップは、計算装置αが断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_１，ｃ’_２），（ｃ”_２，ｃ”_０）を取得し、計算装置βが断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_２，ｃ”_０），（ｃ”_０，ｃ”_１）を取得し、計算装置γが断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_０，ｃ’_１），（ｃ”_１，ｃ”_２）を取得するステップであり、
   断片（ａ_０，ａ_１），（ａ_１，ａ_２），（ａ_２，ａ_０）と断片（ｂ_０，ｂ_１），（ｂ_１，ｂ_２），（ｂ_２，ｂ_０）と断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）を用いて、計算装置αが計算装置Ｐ_０として、計算装置βが計算装置Ｐ_１として、計算装置γが計算装置Ｐ_２として、前記乱数共有ステップ、前記第１乗算結果分散ステップ、前記乗算結果加算ステップ、前記第２乗算結果分散ステップ、前記乗算確認ステップを実行し、
   断片（ａ’_０，ａ’_１），（ａ’_１，ａ’_２），（ａ’_２，ａ’_０）と断片（ｂ’_０，ｂ’_１），（ｂ’_１，ｂ’_２），（ｂ’_２，ｂ’_０）と断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）を用いて（ただし、ａ’_０＝ａ_２，ａ’_１＝ａ_０，ａ’_２＝ａ_１，ｂ’_０＝ｂ_２，ｂ’_１＝ｂ_０，ｂ’_２＝ｂ_１）、計算装置αが計算装置Ｐ_１として、計算装置βが計算装置Ｐ_２として、計算装置γが計算装置Ｐ_０として、前記乱数共有ステップ、前記第１乗算結果分散ステップ、前記乗算結果加算ステップ、前記第２乗算結果分散ステップ、前記乗算確認ステップを実行し、
   断片（ａ”_０，ａ”_１），（ａ”_１，ａ”_２），（ａ”_２，ａ”_０）と断片（ｂ”_０，ｂ”_１），（ｂ”_１，ｂ”_２），（ｂ”_２，ｂ”_０）と断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）を用いて（ただし、ａ”_０＝ａ_１，ａ”_１＝ａ_２，ａ”_２＝ａ_０，ｂ”_０＝ｂ_１，ｂ”_１＝ｂ_２，ｂ”_２＝ｂ_０）、計算装置αが計算装置Ｐ_２として、計算装置βが計算装置Ｐ_０として、計算装置γが計算装置Ｐ_１として、前記乱数共有ステップ、前記第１乗算結果分散ステップ、前記乗算結果加算ステップ、前記第２乗算結果分散ステップ、前記乗算確認ステップを実行し、
   計算装置α、β、γが計算装置Ｐ_０，Ｐ_１，Ｐ_２のいずれの計算装置として動作するかを決め、
   Ｕ＝Ｃ−Ｃ’ ｍｏｄ Ｍ
   の秘密計算と、
   Ｖ＝Ｃ−Ｃ” ｍｏｄ Ｍ
   の秘密計算とを行い、計算装置Ｐ_０が断片（ｕ_０，ｕ_１），（ｖ_０，ｖ_１）を取得し、計算装置Ｐ_１が断片（ｕ_１，ｕ_２），（ｖ_１，ｖ_２）を取得し、計算装置Ｐ_２が断片（ｕ_２，ｕ_０），（ｖ_２，ｖ_０）を取得する減算結果分散ステップと、
   計算装置Ｐ_０，Ｐ_１，Ｐ_２が、数値ＵとＶを復元し、Ｕ＝０かつＶ＝０であることを確認する減算確認ステップと、
   を有することを特徴とする不正検知方法。
3. 数値Ｘを３つの計算装置α、β、γで分散して記録し、秘密計算を行う秘密計算システムであって、
   Ｍを２以上の整数、計算装置Ｐ_０として動作する計算装置が記録する断片を（ｘ_０，ｘ_１）、計算装置Ｐ_１として動作する計算装置が記録する断片を（ｘ_１，ｘ_２）、計算装置Ｐ_２として動作する計算装置が記録する断片を（ｘ_２，ｘ_０）、数値Ｘと断片とは
   Ｘ＝ｘ_０＋ｘ_１＋ｘ_２ ｍｏｄ Ｍ
   の関係を満たすとし、
   数値Ａ，Ｂ，Ｃの断片として、計算装置Ｐ_０に断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１）を取得させ、計算装置Ｐ_１に断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）を取得させ、計算装置Ｐ_２に断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）を取得させるデータ取得手段と、
   計算装置Ｐ_１と計算装置Ｐ_２に、ランダムに選んだ２以上Ｍ以下の整数Ｓを共有させる乱数共有手段と、
   計算装置Ｐ_１にＳａ_１を分散させ、計算装置Ｐ_１または計算装置Ｐ_２にＳａ_２を分散させ、計算装置Ｐ_２にＳａ_０を分散させて、計算装置Ｐ_０に断片（（Ｓａ_０）_０，（Ｓａ_０）_１），（（Ｓａ_１）_０，（Ｓａ_１）_１），（（Ｓａ_２）_０，（Ｓａ_２）_１）を取得させ、計算装置Ｐ_１に断片（（Ｓａ_０）_１，（Ｓａ_０）_２），（（Ｓａ_１）_１，（Ｓａ_１）_２），（（Ｓａ_２）_１，（Ｓａ_２）_２）を取得させ、計算装置Ｐ_２に断片（（Ｓａ_０）_２，（Ｓａ_０）_０），（（Ｓａ_１）_２，（Ｓａ_１）_０），（（Ｓａ_２）_２，（Ｓａ_２）_０）を取得させる第１乗算結果分散手段と、
   Ｄ＝Ｓａ_０＋Ｓａ_１＋Ｓａ_２ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０に断片（ｄ_０，ｄ_１）を取得させ、計算装置Ｐ_１に断片（ｄ_１，ｄ_２）を取得させ、計算装置Ｐ_２に断片（ｄ_２，ｄ_０）を取得させる乗算結果加算手段と、
   Ｅ＝ＤＢ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０に断片（ｅ_０，ｅ_１）を取得させ、計算装置Ｐ_１に断片（ｅ_１，ｅ_２）を取得させ、計算装置Ｐ_２に断片（ｅ_２，ｅ_０）を取得させる第２乗算結果分散手段と、
   計算装置Ｐ_１に
   ｆ＝ｅ_１＋ｅ_２−Ｓｃ_１−Ｓｃ_２ ｍｏｄ Ｍ
   を計算させ、計算装置Ｐ_２に
   ｇ＝ｅ_０−Ｓｃ_０ ｍｏｄ Ｍ
   を計算させ、計算装置Ｐ_１または計算装置Ｐ_２に
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認させる、もしくは、
   計算装置Ｐ_１に
   ｆ＝ｅ_１−Ｓｃ_１ ｍｏｄ Ｍ
   を計算させ、計算装置Ｐ_２に
   ｇ＝ｅ_２＋ｅ_０−Ｓｃ_２−Ｓｃ_０ ｍｏｄ Ｍ
   を計算させ、計算装置Ｐ_１または計算装置Ｐ_２に
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認させる乗算確認手段と、
   を有する秘密計算システム。
4. 請求項３記載の秘密計算システムであって、
   計算装置αが記録する断片を（ｘ_γα，ｘ_αβ）、計算装置βが記録する断片を（ｘ_αβ，ｘ_βγ）、計算装置γが記録する断片を（ｘ_βγ，ｘ_γα）とし、
   断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）は計算装置αが計算装置Ｐ_０として、計算装置βが計算装置Ｐ_１として、計算装置γが計算装置Ｐ_２としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）は計算装置αが計算装置Ｐ_１として、計算装置βが計算装置Ｐ_２として、計算装置γが計算装置Ｐ_０としてＣ＝ＡＢの秘密計算を行った結果、断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）は計算装置αが計算装置Ｐ_２として、計算装置βが計算装置Ｐ_０として、計算装置γが計算装置Ｐ_１としてＣ＝ＡＢの秘密計算を行った結果とし、
   前記データ取得手段は、計算装置αに断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_１，ｃ’_２），（ｃ”_２，ｃ”_０）を取得させ、計算装置βに断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_２，ｃ”_０），（ｃ”_０，ｃ”_１）を取得させ、計算装置γに断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１），（ｃ’_０，ｃ’_１），（ｃ”_１，ｃ”_２）を取得させる手段であり、
   断片（ａ_０，ａ_１），（ａ_１，ａ_２），（ａ_２，ａ_０）と断片（ｂ_０，ｂ_１），（ｂ_１，ｂ_２），（ｂ_２，ｂ_０）と断片（ｃ_０，ｃ_１），（ｃ_１，ｃ_２），（ｃ_２，ｃ_０）を用いて、計算装置αが計算装置Ｐ_０として、計算装置βが計算装置Ｐ_１として、計算装置γが計算装置Ｐ_２として、前記乱数共有手段、前記第１乗算結果分散手段、前記乗算結果加算手段、前記第２乗算結果分散手段、前記乗算確認手段を実行し、
   断片（ａ’_０，ａ’_１），（ａ’_１，ａ’_２），（ａ’_２，ａ’_０）と断片（ｂ’_０，ｂ’_１），（ｂ’_１，ｂ’_２），（ｂ’_２，ｂ’_０）と断片（ｃ’_０，ｃ’_１），（ｃ’_１，ｃ’_２），（ｃ’_２，ｃ’_０）を用いて（ただし、ａ’_０＝ａ_２，ａ’_１＝ａ_０，ａ’_２＝ａ_１，ｂ’_０＝ｂ_２，ｂ’_１＝ｂ_０，ｂ’_２＝ｂ_１）、計算装置αが計算装置Ｐ_１として、計算装置βが計算装置Ｐ_２として、計算装置γが計算装置Ｐ_０として、前記乱数共有手段、前記第１乗算結果分散手段、前記乗算結果加算手段、前記第２乗算結果分散手段、前記乗算確認手段を実行し、
   断片（ａ”_０，ａ”_１），（ａ”_１，ａ”_２），（ａ”_２，ａ”_０）と断片（ｂ”_０，ｂ”_１），（ｂ”_１，ｂ”_２），（ｂ”_２，ｂ”_０）と断片（ｃ”_０，ｃ”_１），（ｃ”_１，ｃ”_２），（ｃ”_２，ｃ”_０）を用いて（ただし、ａ”_０＝ａ_１，ａ”_１＝ａ_２，ａ”_２＝ａ_０，ｂ”_０＝ｂ_１，ｂ”_１＝ｂ_２，ｂ”_２＝ｂ_０）、計算装置αが計算装置Ｐ_２として、計算装置βが計算装置Ｐ_０として、計算装置γが計算装置Ｐ_１として、前記乱数共有手段、前記第１乗算結果分散手段、前記乗算結果加算手段、前記第２乗算結果分散手段、前記乗算確認手段を実行し、
   計算装置α、β、γが計算装置Ｐ_０，Ｐ_１，Ｐ_２のいずれの計算装置として動作するかを決め、
   Ｕ＝Ｃ−Ｃ’ ｍｏｄ Ｍ
   の秘密計算と、
   Ｖ＝Ｃ−Ｃ” ｍｏｄ Ｍ
   の秘密計算とを行い、計算装置Ｐ_０に断片（ｕ_０，ｕ_１），（ｖ_０，ｖ_１）を取得させ、計算装置Ｐ_１に断片（ｕ_１，ｕ_２），（ｖ_１，ｖ_２）を取得させ、計算装置Ｐ_２に断片（ｕ_２，ｕ_０），（ｖ_２，ｖ_０）を取得させる減算結果分散手段と、
   数値ＵとＶを復元し、Ｕ＝０かつＶ＝０であることを確認する減算確認手段と、
   を備える秘密計算システム。
5. 数値Ｘを３つの計算装置α、β、γで分散して記録し、秘密計算を行う秘密計算システムの計算装置であって、
   Ｍを２以上の整数、計算装置Ｐ_０として動作する計算装置が記録する断片を（ｘ_０，ｘ_１）、計算装置Ｐ_１として動作する計算装置が記録する断片を（ｘ_１，ｘ_２）、計算装置Ｐ_２として動作する計算装置が記録する断片を（ｘ_２，ｘ_０）、数値Ｘと断片とは
   Ｘ＝ｘ_０＋ｘ_１＋ｘ_２ ｍｏｄ Ｍ
   の関係を満たすとし、
   数値Ａ，Ｂ，Ｃの断片として、計算装置Ｐ_０として動作するときは断片（ａ_０，ａ_１），（ｂ_０，ｂ_１），（ｃ_０，ｃ_１）を取得し、計算装置Ｐ_１として動作するときは断片（ａ_１，ａ_２），（ｂ_１，ｂ_２），（ｃ_１，ｃ_２）を取得し、計算装置Ｐ_２として動作するときは断片（ａ_２，ａ_０），（ｂ_２，ｂ_０），（ｃ_２，ｃ_０）を取得するデータ取得部と、
   計算装置Ｐ_１として動作するときは、ランダムに選んだ２以上Ｍ以下の整数Ｓを計算装置Ｐ_２と共有し、計算装置Ｐ_２として動作するときは、ランダムに選んだ２以上Ｍ以下の整数Ｓを計算装置Ｐ_１と共有する乱数共有部と、
   計算装置Ｐ_１として動作するときはＳａ_１を分散し、計算装置Ｐ_１または計算装置Ｐ_２として動作するときはＳａ_２を分散し、計算装置Ｐ_２として動作するときはＳａ_０を分散し、計算装置Ｐ_０として動作するときは断片（（Ｓａ_０）_０，（Ｓａ_０）_１），（（Ｓａ_１）_０，（Ｓａ_１）_１），（（Ｓａ_２）_０，（Ｓａ_２）_１）を取得し、計算装置Ｐ_１として動作するときは断片（（Ｓａ_０）_１，（Ｓａ_０）_２），（（Ｓａ_１）_１，（Ｓａ_１）_２），（（Ｓａ_２）_１，（Ｓａ_２）_２）を取得し、計算装置Ｐ_２として動作するときは断片（（Ｓａ_０）_２，（Ｓａ_０）_０），（（Ｓａ_１）_２，（Ｓａ_１）_０），（（Ｓａ_２）_２，（Ｓａ_２）_０）を取得する第１乗算結果分散部と、
   Ｄ＝Ｓａ_０＋Ｓａ_１＋Ｓａ_２ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０として動作するときは断片（ｄ_０，ｄ_１）を取得し、計算装置Ｐ_１として動作するときは断片（ｄ_１，ｄ_２）を取得し、計算装置Ｐ_２として動作するときは断片（ｄ_２，ｄ_０）を取得する乗算結果加算部と、
   Ｅ＝ＤＢ ｍｏｄ Ｍ
   の秘密計算を行い、計算装置Ｐ_０として動作するときは断片（ｅ_０，ｅ_１）を取得し、計算装置Ｐ_１として動作するときは断片（ｅ_１，ｅ_２）を取得し、計算装置Ｐ_２として動作するときは断片（ｅ_２，ｅ_０）を取得する第２乗算結果分散部と、
   計算装置Ｐ_１として動作するときは
   ｆ＝ｅ_１＋ｅ_２−Ｓｃ_１−Ｓｃ_２ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_２として動作するときは
   ｇ＝ｅ_０−Ｓｃ_０ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_１または計算装置Ｐ_２として動作するときは
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認する、もしくは、
   計算装置Ｐ_１として動作するときは
   ｆ＝ｅ_１−Ｓｃ_１ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_２として動作するときは
   ｇ＝ｅ_２＋ｅ_０−Ｓｃ_２−Ｓｃ_０ ｍｏｄ Ｍ
   を計算し、計算装置Ｐ_１または計算装置Ｐ_２として動作するときは
   ｆ＋ｇ＝０ ｍｏｄ Ｍ
   かを確認する乗算確認手段と、
   を備える計算装置。
6. 請求項５記載の計算装置であって、
   Ｕ＝Ｃ−Ｃ’ ｍｏｄ Ｍ
   の秘密計算と、
   Ｖ＝Ｃ−Ｃ” ｍｏｄ Ｍ
   の秘密計算とを行い、計算装置Ｐ_０として動作するときは断片（ｕ_０，ｕ_１），（ｖ_０，ｖ_１）を取得し、計算装置Ｐ_１として動作するときは断片（ｕ_１，ｕ_２），（ｖ_１，ｖ_２）を取得し、計算装置Ｐ_２として動作するときは断片（ｕ_２，ｕ_０），（ｖ_２，ｖ_０）を取得する減算結果分散部と、
   数値ＵとＶを復元し、Ｕ＝０かつＶ＝０であることを確認する減算確認部
   も備える計算装置。
7. 請求項５または６記載の計算装置としてコンピュータを機能させる計算プログラム。
   

Images