JP6881588B2 - 秘密計算装置、秘密計算方法、プログラム、および記録媒体 - Google Patents

Description

本発明はブロック暗号の秘密計算技術に関する。

共通鍵暗号方式の一つにＡＥＳ（Advanced Encryption Standard）がある（例えば、非特許文献１等参照）。ＡＥＳでは、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理によって暗号化を行う。また、平文を所定長のブロックごとに暗号化する暗号利用モードの一つにＣＴＲモードがある。ＡＥＳがＣＴＲモードで実装された場合、各ブロックでラウンド処理が行われ、それによって得られた各ブロックの鍵の暗号文が各ブロックの平文に加算される。

Daniel J. Bernstein, Peter Schwabe, "New AES software speed records," INDOCRYPT 2008, Progress in Cryptology - INDOCRYPT 2008 pp. 322 - 336.

本発明の目的は、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行することである。

Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ^２であり、Ｆが有限体である。ｂ＝０，…，Ｂ−１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、１ラウンド目のラウンド処理が処理Ｐ_１，４を含み、処理Ｐ_１，４が１ラウンド目のラウンド鍵ｋ_１∈Ｆ^Ｕの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}をそれぞれ加算して行列Ｍ_{ｂ，１，４}を得る処理を含む。ｊラウンド目のラウンド処理が処理Ｐ_ｊ，１と処理Ｐ_ｊ，２と処理Ｐ_ｊ，３と処理Ｐ_ｊ，４とを含み、処理Ｐ_ｊ，１が行列Ｍ_{ｂ，ｊ−１，４}の各要素を置換して行列Ｍ_{ｂ，ｊ，１}を得る処理を含み、処理Ｐ_ｊ，２が行列Ｍ_{ｂ，ｊ，１}の各要素を行ごとに巡回シフトして行列Ｍ_{ｂ，ｊ，２}を得る処理を含み、処理Ｐ_ｊ，３が行列Ｍ_{ｂ，ｊ，２}の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍ_{ｂ，ｊ，３}を得る処理を含み、処理Ｐ_ｊ，４が行列Ｍ_{ｂ，ｊ，３}の各要素にｊラウンド目のラウンド鍵ｋ_ｊの各要素を加算して行列Ｍ_{ｂ，ｊ，４}を得る処理を含む。

秘密計算装置は、何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る前段処理を行う。ただし、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）にカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入したＭ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）がＭ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}の何れかである行列Ｍ_{ｂ，γ，μ}である。秘密計算装置は、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}の秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝および秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用い、秘密計算によってｂ＝０，…，Ｂ−１についての行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算により、ｊ＝２，…，Ｒについての処理Ｐ_ｊ，１、処理Ｐ_ｊ，２、処理Ｐ_ｊ，３、および処理Ｐ_ｊ，４のうち、処理Ｐ_γ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行う。

本発明では、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。

図１は実施形態の秘密計算システムを例示したブロック図である。 図２は実施形態の秘密計算装置の機能構成を例示したブロック図である。 図３Ａは実施形態の表生成部の機能構成を例示したブロック図である。図３Ｂは実施形態のラウンド処理部の機能構成を例示したブロック図である。 図４は実施形態の処理全体を説明するための概念図である。 図５は通常のブロック暗号化を説明するための概念図である。 図６は実施形態の暗号化処理を説明するためのフロー図である。 図７は実施形態の表生成処理の詳細を説明するためのフロー図である。 図８は実施形態のラウンド処理の詳細を説明するためのフロー図である。 図９は実施形態のラウンド処理の詳細を説明するためのフロー図である。

以下、図面を参照して本発明の実施形態を説明する。
［第１実施形態］
まず、第１実施形態を説明する。
＜構成＞
図１に例示するように、本形態の秘密計算システム１はＮ個の秘密計算装置１０−０〜１０−（Ｎ−１）を有する。Ｎは１以上の整数である。例えば、秘密分散によって得られたシェアを用いて秘密計算を行う場合にはＮ≧２であり、準同型暗号文を用いて秘密計算を行う場合にはＮ≧１である。Ｎ≧２の場合、秘密計算装置１０−０〜１０−（Ｎ−１）はネットワークを通じて通信可能に構成される。

図２に例示するように、本形態の秘密計算装置１０−ｎ（ただし、ｎ＝０，…，Ｎ−１）は、初期記憶部１００１−ｎ、表記憶部１００２−ｎ、カウンタ更新部１００３−ｎ、表生成部１０１０−ｎ、表計算部１０２０−ｎ、ラウンド処理部１０３０−ｎ、加算部１０４１−ｎ、および制御部１０５１−ｎを有する。秘密計算装置１０−ｎは制御部１０５１−ｎの制御の下で各処理を実行する。各処理で得られたデータは図示していないメモリに記憶される。メモリに格納されたデータは必要に応じて読み出され、各処理に利用される。

図３Ａに例示するように、表生成部１０１０−ｎは、秘密計算部１０１１−ｎおよび制御部１０１２−ｎを有する。図３Ｂに例示するように、ラウンド処理部１０３０−ｎは、秘密計算部１０３１−ｎおよび制御部１０３２−ｎを有する。

＜処理の概要＞
図４および図５に例示するように、本形態の秘密計算装置１０−ｎは、１，…，Ｒ＋１ラウンド目のラウンド鍵ｋ_１，…，ｋ_Ｒ＋１∈Ｆ^Ｕの秘匿情報｛ｋ_１｝，…，｛ｋ_Ｒ＋１｝∈｛Ｆ^Ｕ｝、および各ブロックｂ＝０，…，Ｂ−１のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}∈Ｆの秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝∈｛Ｆ｝を用い、秘密計算により、各ブロックｂ＝０，…，Ｂ−１でブロック暗号化を行う。次に秘密計算装置１０−ｎは、各ブロックｂ＝０，…，Ｂ−１のブロック暗号化で得られた秘匿情報と、暗号化対象の平文ＰをＢ個のブロックに分割して得られた平文ブロックＰ_０，…，Ｐ_Ｂ−１∈Ｆ^Ｕの秘匿情報｛Ｐ_０｝，…，｛Ｐ_Ｂ−１｝∈｛Ｆ^Ｕ｝とを秘密計算によって加算（例えば、排他的論理和）する。ただし、Ｂは１以上の整数であり、Ｒは３以上の整数であり、Ｓは２以上の整数であり、Ｕ＝Ｓ^２であり、Ｆは有限体である。有限体Ｆの例は基礎体に基づく拡大体である。基礎体の例は素数を法とした剰余からなる集合であり、当該基礎体での演算結果は当該素数を法とした剰余として得られる。例えば、Ｆは位数２の基礎体を８次拡大した拡大体ＧＦ（２^８）である。例えば、基礎体の元が２バイトのデータである場合、拡大体ＧＦ（２^８）の元は１バイト（＝８ビット）のデータとなる。この場合、拡大体ＧＦ（２^８）によって２５６通りの値を表現できる。Ｆ^αはα個の有限体Ｆの元を要素とする集合を意味する。また、α∈βはαがβに属することを意味する。｛β｝はα∈βの秘匿情報｛α｝が属する集合を意味する。

≪ブロック暗号化≫
本形態のブロック暗号化では、表を用い、通常のブロック暗号化処理を効率化する。図５に例示するように、通常のブロック暗号化処理は、１〜Ｒ＋１ラウンドのラウンド処理を含む。例えば、ＡＥＳをＣＴＲモードで実装したブロック暗号化処理は、鍵長が１２８ビットの場合には１〜１１ラウンドの処理を、鍵長が１９２ビットの場合には１〜１３ラウンドの処理を、鍵長が２５６ビットの場合には１〜１５ラウンドの処理をそれぞれ含む。

１ラウンド目のラウンド処理は加算処理Ｐ_１，４（処理Ｐ_１，４）を含む。加算処理Ｐ_１，４は１ラウンド目のラウンド鍵ｋ_１∈Ｆ^Ｕの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}をそれぞれ加算して行列Ｍ_{ｂ，１，４}を得る処理を含む。ＡＥＳの場合、加算処理Ｐ_１，４は１ラウンド目のＡｄｄＲｏｕｎｄＫｅｙに相当する。

ｊラウンド目（ただし、ｊ＝２，…，Ｒ）のラウンド処理は、要素の置換を行う置換処理Ｐ_ｊ，１（処理Ｐ_ｊ，１）と、行の巡回シフトを行うシフト処理Ｐ_ｊ，２（処理Ｐ_ｊ，２）と、列の線形和を行う混合処理Ｐ_ｊ，３（処理Ｐ_ｊ，３）と、ラウンド鍵の加算を行う加算処理Ｐ_ｊ，４（処理Ｐ_ｊ，４）とを含む。ＡＥＳの場合、置換処理Ｐ_ｊ，１はＳｕｂＢｙｔｅｓに相当し、シフト処理Ｐ_ｊ，２はＳｈｉｆｔＲｏｗｓに相当し、混合処理Ｐ_ｊ，３はＭｉｘＣｏlｕｍｎｓに相当し、加算処理Ｐ_ｊ，４はＡｄｄＲｏｕｎｄＫｅｙに相当する。置換処理Ｐ_ｊ，１は、行列Ｍ_{ｂ，ｊ−１，４}の各要素を置換して行列Ｍ_{ｂ，ｊ，１}を得る処理を含む。例えば、置換処理Ｐ_ｊ，１は行列Ｍ_{ｂ，ｊ−１，４}の各要素を予め定められた手順（例えば、Ｓ−ｂｏｘ）に則って置換して行列Ｍ_{ｂ，ｊ，１}を得る処理である。ＡＥＳの場合、行列Ｍ_{ｂ，ｊ−１，４}の各要素に対し、既約多項式ｘ^８＋ｘ^４＋ｘ^３＋ｘ＋１による拡大体ＧＦ（２^８）上の乗法逆元演算を行い、さらにアフィン変換を行った結果によって各要素を置換して行列Ｍ_{ｂ，ｊ，１}を得る（参考文献１：情報セキュリティ対策基盤整備事業「電子政府推奨暗号の実装」，独立行政法人情報処理推進機構）。シフト処理Ｐ_ｊ，２は、行列Ｍ_{ｂ，ｊ，１}の各要素を行ごとに巡回シフトして行列Ｍ_{ｂ，ｊ，２}を得る処理を含む。例えば、シフト処理Ｐ_ｊ，２は、行列Ｍ_{ｂ，ｊ，１}のι＋１（ただし、ι＝０，…，Ｐ−１）行目の行を所定の方向（例えば、左方向）にι要素分だけ巡回シフトする処理である。混合処理Ｐ_ｊ，３は、行列Ｍ_{ｂ，ｊ，２}の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍ_{ｂ，ｊ，３}を得る処理を含む。これらの線形和の各項の係数は行ごとに相違する。加算処理Ｐ_ｊ，４は、行列Ｍ_{ｂ，ｊ，３}の各要素にｊラウンド目のラウンド鍵ｋ_ｊの各要素を加算して行列Ｍ_{ｂ，ｊ，４}を得る処理を含む。

Ｒ＋１ラウンド目のラウンド処理は、要素の置換を行う置換処理Ｐ_{Ｒ＋１，１}と、行の巡回シフトを行うシフト処理Ｐ_{Ｒ＋１，２}と、ラウンド鍵の加算を行う加算処理Ｐ_{Ｒ＋１，４}とを含む。

≪本形態のブロック暗号化≫
本形態のブロック暗号化の特徴を説明する。前述のように、１ラウンド目の加算処理Ｐ_１，４では、ラウンド鍵ｋ_１の要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}をそれぞれ加算して行列Ｍ_{ｂ，１，４}を得る。Ｓ＝４、Ｕ＝１６、ラウンド鍵ｋ_１＝（ｋ_１，０，…，ｋ_１，１５）の場合、行列Ｍ_{ｂ，１，４}は例えば以下のようになる。

ただし、ｎ_０，…，ｎ_１１∈Ｆは任意値である。ｎ_０＝…＝ｎ_１１＝０であってもよい。ＡＥＳではｎ_０，…，ｎ_１１はｎｏｎｃｅに相当する。

２ラウンド目の置換処理Ｐ_２，１は、行列Ｍ_{ｂ，１，４}の各要素を予め定められた手順に則って置換して行列Ｍ_{ｂ，ｊ，１}を得る。この処理は行列Ｍ_{ｂ，１，４}の要素ごとに行われる。そのため、各要素の置換処理を関数ｆ_ｓ：Ｆ→Ｆで表現できる。Ｓ＝４、Ｕ＝１６、ラウンド鍵ｋ_１＝（ｋ_１，０，…，ｋ_１，１５）の場合、行列Ｍ_{ｂ，２，１}は以下のようになる。

ラウンド鍵ｋ_１および任意値ｎ_０，…，ｎ_１２は全ブロックｂ＝０，…，Ｂ−１で共通であり、定数とみなせる。ブロックｂ＝０，…，Ｂ−１ごとに異なるのはカウンタ値ｉ_ｂ，０，…，ｉ_ｂ，３である。カウンタ値ｉ_ｂ，０，…，ｉ_ｂ，３をカウンタ値の変数ｉ_０，…，ｉ_３とすると、式（２）は以下のように変形できる。

ここで、ｆ_１，０，…，ｆ_１，１１は全ブロックｂ＝０，…，Ｂ−１に共通であるため定数とみなせ、ｆ_１，１２（ｉ_３），…，ｆ_１，１５（ｉ_０）は変数ｉ＝ｉ_０，…，ｉ_３に対する一変数関数値である。つまり、各ブロックｂ＝０，…，Ｂ−１の行列Ｍ_{ｂ，２，１}は、変数ｉ＝ｉ_０，…，ｉ_３に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_３）として一般化できる。このことはＳ＝４の場合のみならず、その他のＳの場合も同様である。すなわち、各ブロックｂ＝０，…，Ｂ−１の行列Ｍ_{ｂ，２，１}は、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。

２ラウンド目のシフト処理Ｐ_２，２は、行列Ｍ_{ｂ，２，１}の各要素を行ごとに巡回シフトして行列Ｍ_{ｂ，２，２}を得る処理である。式（３）の行列Ｍ_{ｂ，２，１}のι＋１行目の行を左方向にι要素分だけ巡回シフトすると以下の行列Ｍ_{ｂ，２，２}が得られる。

このように、各ブロックｂ＝０，…，Ｂ−１の行列Ｍ_{ｂ，２，２}も、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。

２ラウンド目の混合処理Ｐ_２，３は、行列Ｍ_{ｂ，２，２}の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍ_{ｂ，２，３}を得る処理である。式（４）の行列Ｍ_{ｂ，２，２}に対して混合処理Ｐ_２，３を行うと例えば以下のようになる。

ただし、

である。ｘ_０，…，ｘ_１１は全ブロックｂ＝０，…，Ｂ−１で共通であるため定数とみなせ、ｘ_１２，…，ｘ_１５は変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値である。そのため、式（５）は以下のように変形できる。

ただし、ｆ_２，ｓ（ｉ）（ただし、ｓ＝０，…，Ｓ−１、ｉ＝ｉ_０，…，ｉ_Ｓ−１）は一変数関数値である。つまり、行列Ｍ_{ｂ，２，３}も、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。

その後の２ラウンド目の加算処理Ｐ_２，４および３ラウンド目の置換処理Ｐ_３，１は要素ごとの処理であるため、加算処理Ｐ_２，４によって得られる行列Ｍ_{ｂ，２，４}および置換処理Ｐ_３，１によって得られる行列Ｍ_{ｂ，３，１}も変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。さらに、３ラウンド目のシフト処理Ｐ_３，２は要素を巡回シフトするだけであるため、それによって得られる行列Ｍ_{ｂ，３，２}も変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。例えば、行列Ｍ_{ｂ，３，２}は以下のようになる。

すなわち、行列Ｍ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}は変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として一般化できる。ここで、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）に、各ブロックｂのカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入すると、各ブロックｂでの行列Ｍ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）が得られる。表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の要素は一変数関数値または定数とみなせる。そのため、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の各要素は有限体Ｆの元のデータ量以下で表現でき、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）全体はそのＵ倍のデータ量以下で表現できる。例えば、Ｓ＝４であり、有限体ＦがＧＦ（２^８）であってその元のとり得る値の数が２５６通りである場合、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の各要素のとり得る値の数は２５６通り以下となり、表全体では１バイト×２５６通り×１６個＝４０９６バイト以下のデータ量となる。一方、３ラウンド目の混合処理Ｐ_３，３以降では、得られる行列を変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表として表現できず（多変数関数値を要素に持つ表となってしまい）、表のサイズが大きくなってしまう。

以上の特徴を利用し、秘密計算装置１０−ｎは、まず、何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る。ただし、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）にカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入したＭ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）が行列Ｍ_{ｂ，γ，μ}である。行列Ｍ_{ｂ，γ，μ}はＭ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}の何れかである（γ＝２，３、μ＝１，…，４）。次に、秘密計算装置１０−ｎは、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}の秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝および秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用い、秘密計算によってｂ＝０，…，Ｂ−１についての行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得る。これにより、少ない演算量で行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得ることができる。特に、秘密計算で置換処理を行う場合には、秘密計算装置１０−０〜１０−（Ｎ−１）間で通信を行う必要がある。秘匿情報｛Ｍ（ｉ_０，…，ｉ _Ｓ−1 ）｝を用いればこの通信を削減できる。特にＭ_{ｂ，γ，μ}がＭ_{ｂ，３，１}またはＭ_{ｂ，３，２}である場合、２回の処理Ｐ_２，１，Ｐ_２，２に必要な通信を削減できる。鍵長を１２８ビットとすると、この削減は２０％の通信量の削減となり、２５％の高速化を実現できる。

その後、秘密計算装置１０−ｎは、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算により、残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行う。後段処理は、ｊ＝２，…，Ｒについての置換処理Ｐ_ｊ，１、シフト処理Ｐ_ｊ，２、混合処理Ｐ_ｊ，３、および加算処理Ｐ_ｊ，４のうち、処理Ｐ_γ，μよりも後に行われる各処理を含む。例えば、Γ＝Ｒ＋１，ＭＵ＝４である場合、秘密計算装置１０−ｎは、後段処理によって秘匿情報｛Ｍ_{ｂ，Ｒ＋１，４}｝を得て出力する。

＜処理の詳細＞
図６から図１１を用い、処理の詳細を説明する。
≪前提≫
前提として、初期記憶部１００１−ｎにラウンド鍵ｋ_１，…，ｋ_Ｒ＋１の秘匿情報｛ｋ_１｝，…，｛ｋ_Ｒ＋１｝、カウンタ値ｉ_０，０，…，ｉ_{０，Ｓ−１}の秘匿情報｛ｉ_０，０｝，…，｛ｉ_{０，Ｓ−１}｝、平文ブロックＰ_０，…，Ｐ_Ｂ−１の秘匿情報｛Ｐ_０｝，…，｛Ｐ_Ｂ−１｝が格納されているものとする。秘匿情報は、秘密分散方式に則ったシェア（秘密分散値）であってもよいし、準同型暗号方式に則った暗号文（RSA暗号方式やElGamal暗号方式などの暗号文）であってもよい。なお、秘密分散方式に則った秘匿情報を用いた秘密計算の方法は、例えば、千田浩司、濱田浩気、五十嵐大、高橋克巳、“軽量検証可能３パーティ秘匿関数計算の再考”，ＣＳＳ２０１０，２０１０年（参考文献２）、「Michael Ben-Or, Shafi Goldwasser, Avi Wigderson: Completeness Theorems for Non-Cryptographic Fault-Tolerant Distributed Computation (Extended Abstract). STOC 1988: 1-10」（参考文献３）等に記載されている。

≪ステップＳ１０１０−ｎ≫
表生成部１０１０−ｎは、何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る前段処理を行う。ただし、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）にカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入したＭ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）が何れかの行列Ｍ_{ｂ，γ，μ}＝Ｍ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}となる。すなわち、表生成部１０１０−ｎの秘密計算部１０１１−ｎが、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を変数ｉ_０，…，ｉ_Ｓ−１とし、制御部１０１２−ｎの制御の下、必要となるラウンド鍵ｋ_１，…，ｋ_Ｒの秘匿情報を用い、加算処理Ｐ_１，４から何れかの処理Ｐ_γ，μ（ただし、Ｐ_γ，μはＰ_２，１，…，Ｐ_３，２の何れか）までを秘密計算によって実行して（ステップＳ１０１１−ｎ）、秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る。例えば、Ｍ_{ｂ，γ，μ}＝Ｍ_{ｂ，２，１}の場合、表生成部１０１０−ｎの秘密計算部１０１１−ｎは、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を変数ｉ_０，…，ｉ_Ｓ−１とし、秘匿情報｛ｋ_１｝，｛ｋ_２｝を用い、１ラウンド目の加算処理Ｐ_１，４と２ラウンド目の置換処理Ｐ_２，１とを秘密計算によって実行し、置換処理Ｐ_２，１によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝として得て出力する（例えば、式（３）の秘匿情報）。例えば、Ｍ_{ｂ，γ，μ}＝Ｍ_{ｂ，３，１}の場合、表生成部１０１０−ｎの秘密計算部１０１１−ｎは、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を変数ｉ_０，…，ｉ_Ｓ−１とし、秘匿情報｛ｋ_１｝，｛ｋ_２｝，｛ｋ_３｝を用い、１ラウンド目の加算処理Ｐ_１，４、２ラウンド目の置換処理Ｐ_２，１、シフト処理Ｐ_２，２、混合処理Ｐ_２，３、加算処理Ｐ_２，４、３ラウンド目の置換処理Ｐ_３，１を秘密計算によって実行し、置換処理Ｐ_３，１によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝として得て出力する。例えば、Ｍ_{ｂ，γ，μ}＝Ｍ_{ｂ，３，２}の場合、表生成部１０１０−ｎの秘密計算部１０１１−ｎは、カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を変数ｉ_０，…，ｉ_Ｓ−１とし、秘匿情報｛ｋ_１｝，｛ｋ_２｝，｛ｋ_３｝を用い、１ラウンド目の加算処理Ｐ_１，４、２ラウンド目の置換処理Ｐ_２，１、シフト処理Ｐ_２，２、混合処理Ｐ_２，３、加算処理Ｐ_２，４、３ラウンド目の置換処理Ｐ_３，１、シフト処理Ｐ_３，２を秘密計算によって実行し、シフト処理Ｐ_３，２によって得られる行列の秘匿情報を秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝として得て出力する（例えば、式（８）の秘匿情報）。秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝は表記憶部１００２−ｎに格納される。

≪ステップＳ１０２０−ｎ≫
カウンタ更新部１００３−ｎは、初期記憶部１００１−ｎに格納されたカウンタ値ｉ_０，０，…，ｉ_{０，Ｓ−１}の秘匿情報｛ｉ_０，０｝，…，｛ｉ_{０，Ｓ−１}｝を用い、秘密計算によって、ブロックｂ’＝２，…，Ｂ−１のカウンタ値ｉ_ｂ’，０，…，ｉ_{ｂ’，Ｓ−１}の秘匿情報｛ｉ_ｂ’，０｝，…，｛ｉ_{ｂ’，Ｓ−１}｝を得て出力する。カウンタ値ｉ_ｂ’，０，…，ｉ_{ｂ’，Ｓ−１}は、カウンタ値ｉ_０，０，…，ｉ_{０，Ｓ−１}に予め定められた規則を適用することで得られる値である。例えば、カウンタ値ｉ_{ｂ’−１，０}，…，ｉ_{ｂ’−１，Ｓ−１}によって表現される値ｉ_{ｂ’−１，０}…ｉ_{ｂ’−１，Ｓ−１}を所定値（例えば、１）だけ増加させた値ｉ_{ｂ’−１，０} ， …， ｉ_{ｂ’−１，Ｓ−１}＋１を表現する値をカウンタ値ｉ_ｂ’，０，…，ｉ_{ｂ’，Ｓ−１}とする。表計算部１０２０−ｎは、初期記憶部１００１−ｎから読み出したか、または、カウンタ更新部１００３−ｎから出力された秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝、および表記憶部１００２−ｎから読み出した秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用い、秘密計算によって、ｂ＝０，…，Ｂ−１について、行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝＝｛Ｍ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）｝を得て出力する。

≪ステップＳ１０３０−ｎ≫
ラウンド処理部１０３０−ｎは、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算（ステップＳ１０３１ｂ−ｎ）により、残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行う。残存処理は、ｊ＝２，…，Ｒについての置換処理Ｐ_ｊ，１、シフト処理Ｐ_ｊ，２、混合処理Ｐ_ｊ，３、および加算処理Ｐ_ｊ，４のうち、処理Ｐ_γ，μよりも後に行われる各処理を含む処理である。処理Ｐ_γ，μは、表計算部１０２０−ｎで得られた秘匿情報｛Ｍ_{ｂ，γ，μ}｝＝｛Ｍ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）｝に対応する。例えば、Ｍ_{ｂ，γ，μ}＝Ｍ_{ｂ，３，２}かつΓ＝Ｒ＋１，ＭＵ＝４の場合、ラウンド処理部１０３０−ｎは、秘匿情報｛ｋ_３｝，…，｛ｋ_Ｒ＋１｝および秘匿情報｛Ｍ_{ｂ，３，２}｝を用い、秘密計算により、３ラウンド目の混合処理Ｐ_３，３からＲラウンド目の加算処理Ｐ_Ｒ，４までを実行し、さらにＲ＋１ラウンド目の置換処理Ｐ_{Ｒ＋１，１}、シフト処理Ｐ_{Ｒ＋１，２}、加算処理Ｐ_{Ｒ＋１，４}を実行して得られる行列Ｍ_{ｂ，Ｒ＋１，４}の秘匿情報｛Ｍ_{ｂ，Ｒ＋１，４}｝を得て出力する。

≪ステップＳ１０４１−ｎ≫
加算部１０４１−ｎは、各ブロックｂ＝０，…，Ｂ−１について、秘匿情報｛Ｍ_{ｂ，Ｒ＋１，４}｝および秘匿情報｛Ｐ_ｂ｝を入力とし、秘密計算によってＣ_ｂ＝Ｍ_{ｂ，Ｒ＋１，４}＋Ｐ_ｂ∈Ｆ^Ｕの秘匿情報｛Ｃ_ｂ｝を得て出力する。

＜本形態の特徴＞
以上のように、本形態では表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を生成し、秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用いて秘密計算によって各ブロックｂ＝０，…，Ｂ−１の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得る。表Ｍ（ｉ_０，…，ｉ_Ｓ−１）のサイズはＦのＵ倍のデータ量以下で表現でき、秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用いて各ブロックｂ＝０，…，Ｂ−１の処理を行うことで演算量を削減できる。さらに、Ｍ_{ｂ，γ，μ}がＭ_{ｂ，３，１}またはＭ_{ｂ，３，２}である場合には、２回の処理Ｐ_２，１，Ｐ_２，２の秘密計算に必要な通信を削減できる。このように、本形態では、要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。

［第２実施形態］
第２実施形態は第１実施形態の変形例であり、改ざん検知を行うためのチェックサムを生成し、改ざん検知を行う。ただし、前述のように、表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得るまでの前段処理で処理されるデータ量は小さい。一方、前段処理の後に行われる後段処理で処理されるデータ量は格段に大きくなる。本形態では、これらの違いに応じ、異なる方式でチェックサムを生成する。これにより、安全に効率的な暗号化を行うことができる。以下では第１実施形態との相違点を中心に説明し、既に説明した事項については、同じ参照番号を用いて説明を簡略化する。

＜構成＞
図１に例示するように、本形態の秘密計算システム２はＮ個の秘密計算装置２０−０〜２０−（Ｎ−１）を有する。Ｎは１以上の整数である。Ｎ≧２の場合、秘密計算装置２０−０〜２０−（Ｎ−１）はネットワークを通じて通信可能に構成される。

図２に例示するように、本形態の秘密計算装置２０−ｎ（ただし、ｎ＝０，…，Ｎ−１）は、初期記憶部１００１−ｎ、表記憶部１００２−ｎ、カウンタ更新部１００３−ｎ、表生成部２０１０−ｎ、表計算部１０２０−ｎ、ラウンド処理部２０３０−ｎ、加算部１０４１−ｎ、同期部２０４２−ｎ、正当性検証部２０４３−ｎ，２０４４−ｎ、および制御部１０５１−ｎを有する。秘密計算装置２０−ｎは制御部１０５１−ｎの制御の下で各処理を実行する。各処理で得られたデータは図示していないメモリに記憶される。メモリに格納されたデータは必要に応じて読み出され、各処理に利用される。

図３Ａに例示するように、表生成部２０１０−ｎは、秘密計算部１０１１−ｎ、制御部１０１２−ｎ、乱数生成部２０１５−ｎ、およびチェックサム更新部２０１６−ｎを有する。図３Ｂに例示するように、ラウンド処理部２０３０−ｎは、秘密計算部１０３１−ｎ、制御部１０３２−ｎ、ダミーブロック生成部２０３５ａ−ｎ、秘匿化部２０３５ｂ−ｎ、結合部２０３５ｃ−ｎ、ランダム置換部２０３６−ｎ、およびチェックサム更新部２０３７−ｎ，２０３８−ｎを有する。

＜処理の概要＞
本形態では、処理データ量が小さい前段処理と処理データ量が格段に大きくなる後段処理とで互いに異なる方式によってチェックサムを生成する。すなわち、表生成部２０１０が、前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、ラウンド処理部２０３０が、後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成する。ここで、第１方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である。第１方式の例としては、「Dai Ikarashi, Ryo Kikuchi, Koki Hamada, and Koji Chida, “Actively Private and Correct MPC Scheme in t < n/2 from Passively Secure Schemes with Small Overhead,” Cryptology ePrint Archive, Report 2014/304, 2014.（参考文献４）」および国際公開第WO/2016/104476号（参考文献５）に記載された方式を例示できる。一方、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存する方式である。すなわち、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量がα_１であるときの安全性が、改ざん検知対象である秘匿情報の復元値のデータ量がα_２であるときの安全性よりも高い方式である。ただし、α_１がα_２よりも大きい。例えば、第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量が多いほど安全性が高い方式である。第２方式の例としては、「五十嵐大，菊池亮，濱田浩気，千田浩司，“少パーティ数の秘密分散ベース秘密計算における効率的なmaliciousモデル上SIMD計算の構成法，”コンピュータセキュリティシンポジウム2013論文集 2013(4), 793-800, 2013-10-14（参考文献６）」および国際公開第WO/2015/053184号（参考文献７）に記載された方式を例示できる。ただし、参考文献６，７には明記されていないが、さらなる高速化のためにはランダム置換としてランダム巡回シフト（ランダムローテーション）が用いられることが望ましい。同様に、参考文献６，７には明記されていないが、さらなる高速化のためには、生成されるダミーブロックの個数Ｙとブロック数Ｂとの合計がブロック数Ｂよりも大きな素数ｐであることが望ましい。すなわち、Ｙ＝ｐ−Ｂであることが望ましい。より好ましくは、ｐがブロック数Ｂよりも大きな最小の素数であることが望ましい。また、参考文献６，７の方式は、ダミーブロックが秘匿化されずに計算可能であることを前提としている。しかし、本形態ではダミーブロックも秘匿情報として処理される。そのため、本形態ではダミーブロックの何れかを要処理ダミーブロックとし、要処理ダミーブロックに対するチェックサムを第３方式によって生成する。これによってより高い安全性を担保する。なお、第３方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である。例えば、第３方式は第１方式と同じ方式である。

＜処理の詳細＞
図６から図１１を用い、処理の詳細を説明する。
≪前提≫
第１実施形態と同じである。

≪ステップＳ２０１０−ｎ≫
第１実施形態と同様、表生成部２０１０−ｎは、何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る前段処理を行う。さらに本形態では、表生成部２０１０−ｎが当該前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成する。以下に、第１方式として参考文献４，５の方式を採用した例を示す。

ステップＳ２０１０−ｎの詳細：
図７を用いてステップＳ２０１０−ｎの詳細を例示する。この例の秘匿情報は秘密分散方式に則ったシェアである。前段処理はＴ種類の秘密分散方式ｍｅｔｈ_０，…，ｍｅｔｈ_Ｔ−１に則った秘匿情報を用いた秘密計算を含む。当該秘密計算は前述のステップＳ１０１０−ｎの過程で実行される各秘密計算である。

表生成部２０１０−ｎの乱数生成部２０１５−ｎ（図３Ａ）は、ｔ＝０，…，Ｔ−１について乱数ｒ_ｔ∈Ｆを秘密分散した秘匿情報｛ｒ_ｔ｝を得て出力する。ただし、Ｔは１以上の整数であり、ｔ＝０，…，Ｔ−１である。秘匿情報｛ｒ_ｔ｝の生成方法の具体例は参考文献５に開示されている。例えば、まず、秘密計算装置２０−ｎの乱数生成部２０１５−ｎそれぞれが乱数ｒ’_ｎ∈Ｆを生成する。次に、各乱数生成部２０１５−ｎは、上記の参考文献２に記載された秘匿方法により乱数ｒ’_ｎのシェア｛ｒ’_ｎ｝を生成して他の乱数生成部２０１５−ｎ’（ただし、ｎ’＝０，…，Ｎ−１）に送る。そして、乱数生成部２０１５−ｎはそれぞれ｛ｒ_ｔ｝＝Σ_ｎ＜Ｎ｛ｒ’_ｎ｝を計算し、乱数ｒ_ｔの秘匿情報｛ｒ_ｔ｝を得る。これにより、いずれの秘密計算装置２０−１〜２０−（Ｎ−１）も乱数ｒ_ｔを知ることなく、乱数生成部２０１５−ｎが乱数ｒ_ｔの秘匿情報｛ｒ_ｔ｝を得ることができる（ステップＳ２０１５−ｎ）。

次に、チェックサム更新部２０１６−ｎは、第１チェックサムに含まれるＣ_１，ｔをヌル（空集合）に初期化する。第１チェックサムはＣ_１，ｔのみから構成されてもよいし、Ｃ_１，ｔとその他の情報とから構成されてもよい（ステップＳ２０１６−ｎ）。

前述の前段処理で秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得るためにΨ個の秘密計算Ｃｏｍ_０，…，Ｃｏｍ_Ψ−１が行われるとする。ただし、Ψは１以上の整数である。秘密分散方式ｍｅｔｈ_ｔに則った秘匿情報｛ａ_λ｝∈｛Ｆ｝を用いる秘密計算Ｃｏｍ_ψ（ただし、ψ＝０，…，Ψ−１）が行われる際、チェックサム更新部２０１６−ｎは、秘匿情報｛ａ_λ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ａ_λｒ_ｔ｝を生成する。ただし、Λは１以上の整数であり、λ＝０，…，Λ−１である。さらにチェックサム更新部２０１６−ｎは、秘匿情報｛ａ_λ｝と秘匿情報｛ａ_λｒ_ｔ｝との組であるランダム化分散値＜ａ_λ＞＝＜｛ａ_λ｝，｛ａ_λｒ_ｔ｝＞を得、ランダム化分散値＜ａ_λ＞の追加によってＣ_１，ｔを更新する。秘密計算Ｃｏｍ_ψに複数の秘匿情報が用いられる場合、チェックサム更新部２０１６−ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ_１，ｔを更新する（ステップＳ２０１６ａ−ｎ）。

秘密計算部１０１１−ｎは秘密計算Ｃｏｍ_ψを実行する（ステップＳ１０１１−ｎ）。

秘密計算Ｃｏｍ_ψの実行により、秘密分散方式ｍｅｔｈ_ｔに則った秘密計算結果である秘匿情報｛ｈ_ｗ｝が得られる。この際、チェックサム更新部２０１６−ｎは、秘匿情報｛ｈ_ｗ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｈ_ｗｒ_ｔ｝を得る。ただし、Ｗは１以上の整数であり、ｗ＝０，…，Ｗ−１である。さらに、チェックサム更新部２０１６−ｎは、秘匿情報｛ｈ_ｗ｝と秘匿情報｛ｈ_ｗｒ_ｔ｝との組であるランダム化分散値＜ｈ_ｗ＞＝＜｛ｈ_ｗ｝，｛ｈ_ｗｒ_ｔ｝＞を得、ランダム化分散値＜ｈ_ｗ＞の追加によってＣ_１，ｔを更新する。秘密計算結果が複数の秘匿情報を含む場合、チェックサム更新部２０１６−ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ_１，ｔを更新する（ステップＳ２０１６ｂ−ｎ）。

ステップＳ２０１６ａ−ｎ〜Ｓ２０１６ｂ−ｎの処理は、Ψ個の秘密計算Ｃｏｍ_０，…，Ｃｏｍ_Ψ−１が実行され、秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝が得られるまで繰り返される。秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝が得られると、チェックサム更新部２０１６−ｎは、Ｃ_１，ｔ＝＜φ_０＞，…，＜φ_Δ−１＞を含む第１チェックサムを出力する。ただし、δ＝０，…，Δ−１であり、＜φ_δ＞はランダム化分散値である。

≪ステップＳ１０２０−ｎ≫
秘密計算装置１０−ｎに代えて秘密計算装置２０−ｎが実行する以外、第１実施形態と同じである。

≪ステップＳ２０３０−ｎ≫
第１実施形態と同様、ラウンド処理部２０３０−ｎは、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算により、残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行う。さらに本形態では、ラウンド処理部２０３０−ｎが当該後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成する。以下に、第２方式として参考文献６，７の方式の変更方式を採用した例を示す。

ステップＳ２０３０−ｎの具体例：
図８および図９を用いてステップＳ２０３０−ｎの具体例を説明する。この例の秘匿情報は秘密分散方式に則ったシェアである。
まず、ダミーブロック生成部２０３５ａ−ｎは、Ｙ個のダミーブロックＤ_０，…，Ｄ_Ｙ−１∈Ｆ^Ｕの秘匿情報｛Ｄ_０｝，…，｛Ｄ_Ｙ−１｝を生成して出力する。ただし、Ｙは１以上の整数であり、ｙ＝０，…，Ｙ−１である。前述のように、好ましくはＹ＝ｐ−Ｂである。ただし、ｐはＢより大きな素数である。ダミーブロックＤ_０，…，Ｄ_Ｙ−１のうち何れかが要処理ダミーブロックＤＰとされる。要処理ダミーブロックＤＰは１個であってもよいし、２個以上であってもよい。要処理ダミーブロックＤＰ以外のダミーブロックＤ_ｙ’は公開値である。ダミーブロック生成部２０３５ａ−ｎは、公開値であるダミーブロックＤ_ｙ’を、正当性を持つ方法で秘匿して秘匿情報｛Ｄ_ｙ’｝を得る。要処理ダミーブロックＤＰは公開値であってもよいし、公開値でなくてもよい。前者の場合、ダミーブロック生成部２０３５ａ−ｎが、公開値であるダミーブロックＤＰを秘匿して秘匿情報｛ＤＰ｝を得る。後者の場合、ダミーブロック生成部２０３５ａ−ｎは、例えば、前述の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝と任意のカウンタ値ｉ_ｄｐ，０，…，ｉ_{ｄｐ，Ｓ−１}の秘匿情報｛ｉ_ｄｐ，０｝，…，｛ｉ_{ｄｐ，Ｓ−１}｝とを用い、秘密計算によって秘匿情報｛Ｍ（ｉ_ｄｐ，０，…，ｉ_{ｄｐ，Ｓ−１}）｝を得、秘匿情報｛ＤＰ｝＝｛Ｍ（ｉ_ｄｐ，０，…，ｉ_{ｄｐ，Ｓ−１}）｝を得る（ステップＳ２０３５−ｎ）。

次に、ラウンド処理部２０３０−ｎは、必要な何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および要処理ダミーブロックＤＰの秘匿情報｛ＤＰ｝を用い、行列Ｍ_{ＤＰ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ＤＰ，Γ，ＭＵ}｝を得るダミー後段処理を行う。ただし、行列Ｍ_{ＤＰ，Γ，ＭＵ}は要処理ダミーブロックＤＰに前述の残存処理を行って得られる処理結果である。ここではΓ＝Ｒ＋１かつＭＵ＝４の例を説明する。この際、ダミー後段処理での改ざんを検知するための第３チェックサムを第３方式に則って生成する。第３方式は、安全性がダミー後段処理の対象となる秘匿情報の復元値のデータ量に依存しない方式である。第３方式は、第１方式と同一であってもなくてもよい。ここでは第３方式と第１方式とが互いに同一である例を示す。

まず、チェックサム更新部２０３８−ｎは、第３チェックサムに含まれるＣ_３，ｔをヌル（空集合）に初期化する。第３チェックサムはＣ_３，ｔのみから構成されてもよいし、Ｃ_３，ｔとその他の情報とから構成されてもよい（ステップＳ２０３８−ｎ）。

前述の残存処理でΨ’個の秘密計算Ｃｏｍ３_０，…，Ｃｏｍ３_Ψ’−１が行われるとする。ただし、Ψ’は１以上の整数である。秘密分散方式ｍｅｔｈ_ｔに則った秘匿情報｛ｄ_λ｝∈｛Ｆ｝を用いる秘密計算Ｃｏｍ３_ψ’（ただし、ψ’＝０，…，Ψ’−１）が行われる際、チェックサム更新部２０３８−ｎは、秘匿情報｛ｄ_λ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｄ_λｒ_ｔ｝を生成する。ただし、Λは１以上の整数であり、λ＝０，…，Λ−１である。さらにチェックサム更新部２０３８−ｎは、秘匿情報｛ｄ_λ｝と秘匿情報｛ｄ_λｒ_ｔ｝との組であるランダム化分散値＜ｄ_λ＞＝＜｛ｄ_λ｝，｛ｄ_λｒ_ｔ｝＞を得、ランダム化分散値＜ｄ_λ＞の追加によってＣ_３，ｔを更新する（ステップＳ２０３８ａ−ｎ）。

秘密計算部１０３１−ｎは秘密計算Ｃｏｍ３_ψ’を実行する（ステップＳ２０３１ａ−ｎ）。

秘密計算Ｃｏｍ３_ψ’の実行により、秘密分散方式ｍｅｔｈ_ｔに則った秘密計算結果である秘匿情報｛ｈ’_ｗ｝が得られる。この際、チェックサム更新部２０３８−ｎは、秘匿情報｛ｈ’_ｗ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｈ’_ｗｒ_ｔ｝を得る。ただし、Ｗは１以上の整数であり、ｗ＝０，…，Ｗ−１である。さらに、チェックサム更新部２０３８−ｎは、秘匿情報｛ｈ’_ｗ｝と秘匿情報｛ｈ’_ｗｒ_ｔ｝との組であるランダム化分散値＜ｈ’_ｗ＞＝＜｛ｈ’_ｗ｝，｛ｈ’_ｗｒ_ｔ｝＞を得、ランダム化分散値＜ｈ’_ｗ＞の追加によってＣ_３，ｔを更新する。秘密計算結果が複数の秘匿情報を含む場合、チェックサム更新部２０３８−ｎは、それぞれの秘匿情報についてランダム化分散値を生成し、それらの追加によってＣ_３，ｔを更新する（ステップＳ２０３８ｂ−ｎ）。

ステップＳ２０３８ａ−ｎ〜Ｓ２０３８ｂ−ｎの処理は、Ψ’個の秘密計算Ｃｏｍ３_０，…，Ｃｏｍ３_Ψ’−１が実行され、秘匿情報｛Ｍ_{ＤＰ，Γ，ＭＵ}｝が得られるまで繰り返される。Γ＝Ｒ＋１かつＭＵ＝４の場合、Ｒ＋１ラウンドが終了するまで、ステップＳ２０３８ａ−ｎ〜Ｓ２０３８ｂ−ｎの処理が繰り返される。秘匿情報｛Ｍ_{ＤＰ，Γ，ＭＵ}｝が得られると、チェックサム更新部２０３８−ｎは、Ｃ_３，ｔ＝＜φ３_０＞，…，＜φ３_Δ’−１＞を含む第３チェックサムを出力する。ただし、δ’＝０，…，Δ’−１であり、＜φ３_δ’＞はランダム化分散値である。

次に、チェックサム更新部２０３７−ｎが、第２チェックサムに含まれるＣ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄをヌル（空集合）に初期化する。第２チェックサムはＣ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄのみから構成されてもよいし、Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄとその他の情報とから構成されてもよい（ステップＳ２０３７−ｎ）。

ランダム置換部２０３６−ｎが、ランダム置換の内容を表すランダム置換情報π_ｑの秘匿情報｛π_ｑ｝を生成する。ただし、Ｑは１以上の整数であり、ｑ＝０，…，Ｑ−１である。好ましくは、ランダム置換情報π_ｑはランダム巡回シフトを表す情報である（ステップＳ２０３６ａ−ｎ）。

結合部２０３５ｃ−ｎには、ステップＳ１０２０−ｎで得られたｂ＝０，…，Ｂ−１についての秘匿情報｛Ｍ_{ｂ，γ，μ}｝、および、ステップＳ２０３５−ｎで得られた秘匿情報｛Ｄ_０｝，…，｛Ｄ_Ｙ−１｝が入力される。結合部２０３５ｃ−ｎは、これらを用い、秘密計算により、行列Ｍ_{０，γ，μ}，…，Ｍ_{Ｂ−１，γ，μ}の要素からなる非ランダム化列Ａ∈Ｆ^ＵＢの秘匿情報｛Ａ｝とＹ個のダミーブロックＤ_０，…，Ｄ_Ｙ−１∈Ｆ^Ｕの秘匿情報｛Ｄ_０｝，…，｛Ｄ_Ｙ−１｝とを結合した秘匿情報｛Ａ｜Ｄ｝＝｛Ａ｜Ｄ_０｜…｜Ｄ_Ｙ−１｝を得る。ただし、α｜βはαとβとの結合（連結）を表す（ステップＳ２０３５ｃ−ｎ）。

ランダム置換部２０３６−ｎは、秘匿情報｛π_ｑ｝および秘匿情報｛Ａ｜Ｄ｝を用い、Ａ｜Ｄをランダム置換して得られるランダム化列Π_ｑ＝π_ｑ（Ａ｜Ｄ）∈Ｆ^{Ｕ（Ｂ＋Ｙ）}の秘匿情報｛Π_ｑ｝＝｛π_ｑ（Ａ｜Ｄ）｝を秘密計算によって得て出力する。この処理は各ｑ＝０，…，Ｑ−１について実行される（ステップＳ２０３６ｂ−ｎ）。

前述の残存処理でΘ個のサブ処理Ｓｕｂ_０，…，Ｓｕｂ_Θ−１の秘密計算が行われるとする。ただし、Θが１以上の整数であり、θ＝０，…，Θ−１である。秘密計算部１０３１−ｎは、秘匿情報｛Ａ｝を用い、非ランダム化列Ａを構成する行列Ｍ_{ｂ，γ，μ}のＵ個の要素に対応する秘匿情報｛Ｍ_{ｂ，γ，μ}｝ごとに各サブ処理Ｓｕｂ _θ の秘密計算を実行する。すなわち、秘密計算部１０３１−ｎは、各秘匿情報｛Ｍ_{ｂ，γ，μ}｝に対して各サブ処理Ｓｕｂ _θ の秘密計算を実行する。これにより、秘密計算部１０３１−ｎは、非ランダム化列Ａを構成する各行列Ｍ_{ｂ，γ，μ}に残存処理を適用して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る。また秘密計算部１０３１−ｎは、ｑ＝０，…，Ｑ−１について、秘匿情報｛Π_ｑ｝を用い、ランダム化列Π_ｑ∈Ｆ^{Ｕ（Ｂ＋Ｙ）}を構成するＵ個の要素Π_{ｑ，ｂ”，γ，μ}∈Ｆ^Ｕに対応する秘匿情報｛Π_{ｑ，ｂ”，γ，μ}｝∈｛Ｆ^Ｕ｝ごとに、各サブ処理Ｓｕｂ _θ の秘密計算を実行する。すなわち、秘密計算部１０３１−ｎは、各秘匿情報｛Π_{ｑ，ｂ”，γ，μ}｝に対して各サブ処理Ｓｕｂ _θ の秘密計算を実行する。ただし、ｂ”＝０，…，Ｂ−１，…，Ｂ＋Ｙ−１であり、Π_ｑ＝Π_{ｑ，０，γ，μ}｜…｜Π_{ｑ，Ｂ＋Ｙ−１，γ，μ}である。これにより、秘密計算部１０３１−ｎは、各サブ処理Ｓｕｂ_θの秘密計算結果である秘匿情報｛Π_{ｑ，ｂ”，Γ，ＭＵ}｝∈｛Ｆ^Ｕ｝を得る。さらに秘密計算部１０３１−ｎは、少なくとも一部のダミーブロックＤ_ｙ（例えば、要処理ダミーブロックＤＰを除くダミーブロックＤ_ｙ）に対して各サブ処理Ｓｕｂ _θ を実行することで、各サブ処理Ｓｕｂ_θの演算結果Ｄ_{ｙ，Γ，ＭＵ}∈Ｆ^Ｕを得る（ステップＳ２０３１ｂ−ｎ）。

秘匿化部２０３５ｂ−ｎは、演算結果Ｄ_{ｙ，Γ，ＭＵ}を正当性を持つ方法で秘匿し、秘匿情報｛Ｄ_{ｙ，Γ，ＭＵ}｝を得て出力する（ステップＳ２０３５ｂ−ｎ）。

チェックサム更新部２０３７−ｎは、秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得るまでの過程で得られる各サブ処理Ｓｕｂ_θの秘密計算結果である秘匿情報｛Ｍ_{ｂ，θ，Γ，ＭＵ}｝∈｛Ｆ^Ｕ｝でＣ_２，Ａを更新する。例えば、Ｃ_２，Ａ＝（Ｃ_{０，２，Ａ}，…，Ｃ_{Ｂ−１，２，Ａ}）の場合、チェックサム更新部２０３７−ｎは（Ｃ_{０，２，Ａ}｜｛Ｍ_{０，θ，Γ，ＭＵ}｝，…，Ｃ_{Ｂ−１，２，Ａ}｜｛Ｍ_{Ｂ−１，θ，Γ，ＭＵ}｝）を新たなＣ_２，Ａとする（ステップＳ２０３７ｂ−ｎ）。

また、チェックサム更新部２０３７−ｎは、ｑ＝０，…，Ｑ−１について、各サブ処理Ｓｕｂ_θの秘密計算結果である秘匿情報｛Π_{ｑ，ｂ”，θ，Γ，ＭＵ}｝∈｛Ｆ^Ｕ｝でＣ_{２，Π＿ｑ}を更新する。例えば、Ｃ_{２，Π＿ｑ}＝（Ｃ_{０，２，Π＿ｑ}，…，Ｃ_{Ｂ＋Ｙ−１，２，Π＿ｑ}）の場合、チェックサム更新部２０３７−ｎは（Ｃ_{０，２，Π＿ｑ}｜｛Π_{ｑ，０，θ，Γ，ＭＵ}｝，…，Ｃ_{Ｂ＋Ｙ−１，２，Π＿ｑ}｜｛Π_{ｑ，Ｂ＋Ｙ−１，θ，Γ，ＭＵ}｝）を新たなＣ_{２，Π＿ｑ}とする（ステップＳ２０３７ｃ−ｎ）。

さらに、チェックサム更新部２０３７−ｎは、各サブ処理Ｓｕｂ_θの演算結果の秘匿情報｛Ｄ_{ｙ，θ，Γ，ＭＵ}｝∈｛Ｆ^Ｕ｝でＣ_２，Ｄを更新する。例えば、Ｃ_２，Ｄ＝（Ｃ_{０，２，Ｄ}，…，Ｃ_{Ｙ−１，２，Ｄ}）の場合、チェックサム更新部２０３７−ｎは（Ｃ_{０，２，Ｄ}｜｛Ｄ_{０，θ，Γ，ＭＵ}｝，…，Ｃ_{Ｙ−１，２，Ｄ}｜｛Ｄ_{Ｙ−１，θ，Γ，ＭＵ}｝）を新たなＣ_２，Ｄとする（ステップＳ２０３７ｄ−ｎ）。

ステップＳ２０３１ｂ−ｎ〜Ｓ２０３７ｄ−ｎの処理は、Θ個のサブ処理Ｓｕｂ_０，…，Ｓｕｂ_Θ−１のすべてについて実行される。その後、チェックサム更新部２０３７−ｎは、Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄを含む第２チェックサムを出力する。

≪ステップＳ１０４１−ｎ≫
秘密計算装置１０−ｎに代えて秘密計算装置２０−ｎが実行する以外、第１実施形態と同じである。

≪ステップＳ２０４２−ｎ≫
同期部２０４２−ｎは、すべての秘密計算装置２０−１〜２０−（Ｎ−１）でのすべての秘密計算が終了するまで待機する同期処理を実行する。Ｎ＝１の場合には同期処理は実行されない。

≪ステップＳ２０４３−ｎ≫
正当性検証部２０４３−ｎには、Ｃ_１，ｔ＝＜φ_０＞，…，＜φ_Δ−１＞を含む第１チェックサムおよびＣ_３，ｔ＝＜φ３_０＞，…，＜φ３_Δ’−１＞を含む第３チェックサムが入力される。正当性検証部２０４３−ｎは、参考文献４，５に記載されているように、Ｃ_１，ｔおよびＣ_３，ｔの正当性を検証する。

Ｃ_１，ｔの正当性を検証する場合、正当性検証部２０４３−ｎは、＜φ_０＞＝＜｛φ_０｝，｛φ_０ｒ_ｔ｝＞，…，＜φ_Δ―１＞＝＜｛φ_Δ―１｝，｛φ_Δ―１ｒ_ｔ｝＞の｛φ_０｝，…，｛φ_Δ―１｝および｛ｒ_ｔ｝を用い、秘密計算によって、φ_０，…，φ_Δ―１の総和にｒ_ｔを乗じて得られる結果の秘匿情報｛ｒ_ｔ（φ_０＋…＋φ_Δ―１）｝を求める。さらに正当性検証部２０４３−ｎは、｛φ_０ｒ_ｔ｝，…，｛φ_Δ―１ｒ_ｔ｝を用い、秘密計算によって、φ_０ｒ_ｔ，…，φ_Δ―１ｒ_ｔの総和の秘匿情報｛φ_０ｒ_ｔ＋…＋φ_Δ―１ｒ_ｔ｝を求める。正当性検証部２０４３−ｎは、秘匿情報｛ｒ_ｔ（φ_０＋…＋φ_Δ―１）｝および｛φ_０ｒ_ｔ＋…＋φ_Δ―１ｒ_ｔ｝を用いて、秘密計算によって、ＤＣ_１，ｔ＝ｒ_ｔ（φ_０＋…＋φ_Δ―１）−（φ_０ｒ_ｔ＋…＋φ_Δ―１ｒ_ｔ）の秘匿情報｛ＤＣ_１，ｔ｝を得てＤＣ_１，ｔを復元する。正当性検証部２０４３−ｎは、すべてのｔ＝０，…，Ｔ−１についてＤＣ_１，ｔ＝０であれば前段処理に改ざんが無かったと判定し、そうでなければ前段処理に改ざんがあったと判定する。

Ｃ_３，ｔの正当性を検証する場合、正当性検証部２０４３−ｎは、＜φ３_０＞＝＜｛φ３_０｝，｛φ３_０ｒ_ｔ｝＞，…，＜φ３_Δ’―１＞＝＜｛φ３_Δ’―１｝，｛φ３_Δ’―１ｒ_ｔ｝＞の｛φ３_０｝，…，｛φ３_Δ’―１｝および｛ｒ_ｔ｝を用い、秘密計算によって、φ３_０，…，φ３_Δ’―１の総和にｒ_ｔを乗じて得られる結果の秘匿情報｛ｒ_ｔ（φ３_０＋…＋φ３ _Δ’―１）｝を求める。さらに正当性検証部２０４３−ｎは、｛φ３_０ｒ_ｔ｝，…，｛φ３_Δ’―１ｒ_ｔ｝を用い、秘密計算によって、φ３_０ｒ_ｔ，…，φ３_Δ’―１ｒ_ｔの総和の秘匿情報｛φ３_０ｒ_ｔ＋…＋φ３_Δ’―１ｒ_ｔ｝を求める。正当性検証部２０４３−ｎは、秘匿情報｛ｒ_ｔ（φ３_０＋…＋φ３_Δ’―１）｝および｛φ３_０ｒ_ｔ＋…＋φ３_Δ’―１ｒ_ｔ｝を用いて、秘密計算によって、ＤＣ_３，ｔ＝ｒ_ｔ（φ３_０＋…＋φ３_Δ’―１）−（φ３_０ｒ_ｔ＋…＋φ３_Δ’―１ｒ_ｔ）の秘匿情報｛ＤＣ_３，ｔ｝を得てＤＣ_３，ｔを復元する。正当性検証部２０４３−ｎは、すべてのｔ＝０，…，Ｔ−１についてＤＣ_３，ｔ＝０であれば後段処理に改ざんが無かったと判定し、そうでなければ後段処理に改ざんがあったと判定する。

≪ステップＳ２０４４−ｎ≫
正当性検証部２０４４−ｎには、Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄを含む第２チェックサムおよび秘匿情報｛π_ｑ｝が入力される。正当性検証部２０４４−ｎは、参考文献５，６に記載されているように、Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄの正当性を検証する。すなわち、正当性検証部２０４４−ｎは、秘匿情報｛π_ｑ｝を公開してランダム置換情報π_ｑを得、π_ｑ，Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄを用い、秘密計算によって、Ｃ_{２，Π＿ｑ}の復元値から、π_ｑに従ってＣ_２，Ａ｜Ｃ_２，Ｄをランダム置換した列の復元値を減じた列の秘匿情報｛ζ_ｑ｝＝｛ζ_０，ｑ｝，…，｛ζ_{Ｂ＋Ｙ−１，ｑ}｝を得る。正当性検証部２０４４−ｎは、秘匿情報｛ζ_ｑ｝＝｛ζ_０，ｑ｝，…，｛ζ_{Ｂ＋Ｙ−１，ｑ}｝の各要素｛ζ_ｂ”，ｑ｝（ただし、ｂ”＝０，…，Ｂ＋Ｙ−１）を｛Ｆ^Ｕ｝の元ごとに分割し、｛ζ’_{ｂ”，ｑ，０}｝，…，｛ζ’_{ｂ”，ｑ，Ｍ”−１}｝∈｛Ｆ^Ｕ｝の列を得る。ただし、Ｍ”は正の整数である。｛Ｆ^Ｕ｝に満たない要素には｛０｝がパディングされる。正当性検証部２０４４−ｎは、秘密計算によって、乱数ｒａｎの秘匿情報｛ｒａｎ｝と｛ζ’_{ｂ”，ｑ，０}｝，…，｛ζ’_{ｂ”，ｑ，Ｍ”−１}｝との積和演算を行い、その結果｛ζ｝を公開してζを得る。正当性検証部２０４４−ｎは、ζが０であれば後段処理に改ざんが無かったと判定し、そうでなければ後段処理に改ざんがあったと判定する。

＜本形態の特徴＞
第１実施形態と同様、本形態でも要素の置換と行の巡回シフトと列の線形和とラウンド鍵の加算とを繰り返すラウンド処理を秘密計算によって効率的に実行できる。特に本形態では、前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成した。前段処理に比べて後段処理では処理データ量が格段に多い。第２方式は処理データ量が多いほど安全性が高い方式であり、後段処理での改ざんを検知に適している。一方、前段処理では処理データ量が少ないため、第２方式を用いても効率が悪い。本形態では、前段処理と後段処理とでチェックサムの生成方式を変更することで、安全性の高い通信を効率よく実現できる。なお、前段処理で改ざんが検知された場合にはすべての処理が破棄される。一方、後段処理で改ざんが検知された場合にはすべての処理が破棄されてもよいし、後段処理のみが破棄されてもよい。

［第２実施形態の変形例］
第２実施形態では、Ψ個の秘密計算Ｃｏｍ_０，…，Ｃｏｍ_Ψ−１のすべてについてランダム化分散値が生成され、Ｃ_１，ｔが更新される例を説明した（図７）。しかしながら、Ψ個の秘密計算Ｃｏｍ_０，…，Ｃｏｍ_Ψ−１の一部のみについてランダム化分散値が生成され、Ｃ_１，ｔが更新されてもよい。例えば、Ψ個の秘密計算Ｃｏｍ_０，…，Ｃｏｍ_Ψ−１のうち、通信を必要とする最後の秘密計算までについてランダム化分散値が生成され、Ｃ_１，ｔが更新されてもよい。例えば、秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝が秘匿情報｛Ｍ_{ｂ，３，１}｝または｛Ｍ_{ｂ，３，２}｝である場合に、置換処理Ｐ_３，１の通信を必要とする秘密計算（例えば、ＳｕｂＢｙｔｅｓの乗法逆元演算の秘密計算）までについてランダム化分散値が生成され、Ｃ_１，ｔが更新されてもよい。

また、ステップＳ１０２０−ｎで行われる各秘密計算の前後においてランダム化分散値が生成され、Ｃ_１，ｔが更新されてもよい。すなわち、ステップＳ１０２０−ｎにおいて、秘密分散方式ｍｅｔｈ_ｔに則った秘匿情報｛ａ_λ｝を用いた秘密計算を行う際に、秘匿情報｛ａ_λ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ａ_λｒ_ｔ｝を得、秘匿情報｛ａ_λ｝と秘匿情報｛ａ_λｒ_ｔ｝との組であるランダム化分散値＜ａ_λ＞＝＜｛ａ_λ｝，｛ａ_λｒ_ｔ｝＞を得、ランダム化分散値＜ａ_λ＞の追加によってＣ_１，ｔを更新してもよい。さらに、ステップＳ１０２０−ｎにおいて、秘密分散方式ｍｅｔｈ_ｔに則った秘密計算結果である秘匿情報｛ｈ_ｗ｝が得られた際に、秘匿情報｛ｈ_ｗ｝と秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｈ_ｗｒ_ｔ｝を得、秘匿情報｛ｈ_ｗ｝と秘匿情報｛ｈ_ｗｒ_ｔ｝との組であるランダム化分散値＜ｈ_ｗ＞＝＜｛ｈ_ｗ｝，｛ｈ_ｗｒ_ｔ｝＞を得、ランダム化分散値＜ｈ_ｗ＞の追加によってＣ_１，ｔを更新することで、Ｃ_１，ｔを含む第１チェックサムを更新してもよい。

また、ステップＳ１０４１−ｎでの改ざんを検知するためのチェックサムが生成され、検証されてもよい。このチェックサムは、第２方式に則って生成されることが望ましい。

［その他の変形例等］
なお、本発明は上述の実施形態に限定されるものではない。上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

上記の各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。

上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されるのではなく、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１，２ 秘密計算システム
１０−ｎ，２０−ｎ 秘密計算装置

Claims (11)

1. Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ^２であり、Ｆが有限体であり、ｂ＝０，…，Ｂ−１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、
   １ラウンド目のラウンド処理が処理Ｐ_１，４を含み、前記処理Ｐ_１，４が１ラウンド目のラウンド鍵ｋ_１∈Ｆ^Ｕの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}をそれぞれ加算して行列Ｍ_{ｂ，１，４}を得る処理を含み、
   ｊラウンド目のラウンド処理が処理Ｐ_ｊ，１と処理Ｐ_ｊ，２と処理Ｐ_ｊ，３と処理Ｐ_ｊ，４とを含み、前記処理Ｐ_ｊ，１が前記行列Ｍ_{ｂ，ｊ−１，４}の各要素を置換して行列Ｍ_{ｂ，ｊ，１}を得る処理を含み、前記処理Ｐ_ｊ，２が前記行列Ｍ_{ｂ，ｊ，１}の各要素を行ごとに巡回シフトして行列Ｍ_{ｂ，ｊ，２}を得る処理を含み、前記処理Ｐ_ｊ，３が前記行列Ｍ_{ｂ，ｊ，２}の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍ_{ｂ，ｊ，３}を得る処理を含み、前記処理Ｐ_ｊ，４が前記行列Ｍ_{ｂ，ｊ，３}の各要素にｊラウンド目のラウンド鍵ｋ_ｊの各要素を加算して行列Ｍ_{ｂ，ｊ，４}を得る処理を含み、
   何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る前段処理を行う表生成部と、
   前記表Ｍ（ｉ_０，…，ｉ_Ｓ−１）に前記カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入したＭ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）がＭ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}の何れかである行列Ｍ_{ｂ，γ，μ}であり、前記カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}の秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝および前記秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用い、秘密計算によってｂ＝０，…，Ｂ−１についての前記行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得る表計算部と、
   何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および前記秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算により、ｊ＝２，…，Ｒについての前記処理Ｐ_ｊ，１、前記処理Ｐ_ｊ，２、前記処理Ｐ_ｊ，３、および前記処理Ｐ_ｊ，４のうち、処理Ｐ_γ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行うラウンド処理部と、
   を有する秘密計算装置。
2. 請求項１の秘密計算装置であって、
   前記表生成部は、前記前段処理での改ざんを検知するための第１チェックサムを第１方式に則って生成し、
   前記ラウンド処理部は、前記後段処理での改ざんを検知するための第２チェックサムを第２方式に則って生成し、
   前記第１方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式であり、
   前記第２方式は、改ざん検知対象である秘匿情報の復元値のデータ量がα_１であるときの安全性が、改ざん検知対象である秘匿情報の復元値のデータ量がα_２であるときの安全性よりも高い方式であり、α_１がα_２よりも大きい、秘密計算装置。
3. 請求項２の秘密計算装置であって、
   Ｔ，Λ，Ｗ，Ｙ，Ｑ，Θが１以上の整数であり、ｔ＝０，…，Ｔ−１であり、λ＝０，…，Λ−１であり、ｗ＝０，…，Ｗ−１であり、ｙ＝０，…，Ｙ−１であり、ｑ＝０，…，Ｑ−１であり、θ＝０，…，Θ−１であり、前記前段処理はＴ種類の秘密分散方式ｍｅｔｈ_０，…，ｍｅｔｈ_Ｔ−１に則った秘匿情報を用いた秘密計算を含み、
   （１）前記第１チェックサムを前記第１方式に則って生成する処理は、
   （１−１）乱数ｒ_ｔを秘密分散した秘匿情報｛ｒ_ｔ｝を得る処理と、
   （１−２）前記秘密分散方式ｍｅｔｈ_ｔに則った秘匿情報｛ａ_λ｝を用いた秘密計算を行う際に、前記秘匿情報｛ａ_λ｝と前記秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ａ_λｒ_ｔ｝を得、前記秘匿情報｛ａ_λ｝と前記秘匿情報｛ａ_λｒ_ｔ｝との組であるランダム化分散値＜ａ_λ＞＝＜｛ａ_λ｝，｛ａ_λｒ_ｔ｝＞を得、前記ランダム化分散値＜ａ_λ＞の追加によってＣ_１，ｔを更新し、
   前記秘密分散方式ｍｅｔｈ_ｔに則った秘密計算結果である秘匿情報｛ｈ_ｗ｝が得られた際に、前記秘匿情報｛ｈ_ｗ｝と前記秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｈ_ｗｒ_ｔ｝を得、前記秘匿情報｛ｈ_ｗ｝と前記秘匿情報｛ｈ_ｗｒ_ｔ｝との組であるランダム化分散値＜ｈ_ｗ＞＝＜｛ｈ_ｗ｝，｛ｈ_ｗｒ_ｔ｝＞を得、前記ランダム化分散値＜ｈ_ｗ＞の追加によってＣ_１，ｔを更新することで、
   Ｃ_１，ｔを含む前記第１チェックサムを更新する処理と、を含み、
   （２）前記第２チェックサムを前記第２方式に則って生成する処理は、
   （２−１）行列Ｍ_{０，γ，μ}，…，Ｍ_{Ｂ−１，γ，μ}の要素からなる非ランダム化列Ａ∈Ｆ^ＵＢの秘匿情報｛Ａ｝とＹ個のダミーブロックＤ_０，…，Ｄ_Ｙ−１∈Ｆ^Ｕの秘匿情報｛Ｄ_０｝，…，｛Ｄ_Ｙ−１｝とを結合した秘匿情報｛Ａ｜Ｄ｝＝｛Ａ｜Ｄ_０｜…｜Ｄ_Ｙ−１｝を得る処理と、
   （２−２）前記秘匿情報｛Ａ｜Ｄ｝を用い、Ａ｜Ｄをランダム置換して得られるランダム化列Π_ｑ＝π_ｑ（Ａ｜Ｄ）∈Ｆ^{Ｕ（Ｂ＋Ｙ）}の秘匿情報｛Π_ｑ｝＝｛π_ｑ（Ａ｜Ｄ）｝を秘密計算によって得る処理と、
   （２−３）前記秘匿情報｛Ａ｝を用い、前記非ランダム化列Ａを構成する前記行列Ｍ_{ｂ，γ，μ}のＵ個の要素に対応する秘匿情報｛Ｍ_{ｂ，γ，μ}｝ごとにサブ処理Ｓｕｂ_０，…，Ｓｕｂ_Θ−１の秘密計算を実行して、前記非ランダム化列Ａを構成する前記行列Ｍ_{ｂ，γ，μ}の要素に前記残存処理を適用して得られる前記行列Ｍ_{ｂ，Γ，ＭＵ}の前記秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得、前記秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得るまでの過程で得られるサブ処理Ｓｕｂ_θの秘密計算結果でＣ_２，Ａを更新し、
   前記秘匿情報｛Π_ｑ｝を用い、前記ランダム化列Π_ｑを構成するＵ個の要素に対応する秘匿情報ごとに前記サブ処理Ｓｕｂ_０，…，Ｓｕｂ_Θ−１の秘密計算を実行することで得られる各サブ処理Ｓｕｂ_θの秘密計算結果でＣ_{２，Π＿ｑ}を更新し、
   少なくとも一部の前記ダミーブロックＤ_ｙに対して前記サブ処理Ｓｕｂ_０，…，Ｓｕｂ_Θ−１を実行することで得られる各サブ処理Ｓｕｂ_θの演算結果の秘匿情報でＣ_２，Ｄを更新することで、
   Ｃ_２，Ａ，Ｃ_{２，Π＿ｑ}，Ｃ_２，Ｄを含む前記第２チェックサムを更新する処理と、を含む秘密計算装置。
4. 請求項３の秘密計算装置であって、
   前記ラウンド処理部は、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および前記ダミーブロックＤ_０，…，Ｄ_Ｙ−１の何れかである要処理ダミーブロックＤＰの秘匿情報｛ＤＰ｝を用い、前記要処理ダミーブロックＤＰに前記残存処理を行って得られる処理結果の秘匿情報を得るダミー後段処理をさらに行い、前記ダミー後段処理での改ざんを検知するための第３チェックサムを第３方式に則って生成し、
   前記第３方式は、改ざん検知対象である秘匿情報の復元値のデータ量に、安全性の高さが依存しない方式である、秘密計算装置。
5. 請求項４の秘密計算装置であって、
   （３）前記第３チェックサムを前記第３方式に則って生成する処理は、
   前記秘密分散方式ｍｅｔｈ_ｔに則った秘匿情報｛ｄ_λ｝を用いた秘密計算を行う際に、前記秘匿情報｛ｄ_λ｝と前記秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｄ_λｒ_ｔ｝を得、前記秘匿情報｛ｄ_λ｝と前記秘匿情報｛ｄ_λｒ_ｔ｝との組であるランダム化分散値＜ｄ_λ＞＝＜｛ｄ_λ｝，｛ｄ_λｒ_ｔ｝＞を得、前記ランダム化分散値＜ｄ_λ＞の追加によってＣ_３，ｔを更新し、
   前記秘密分散方式ｍｅｔｈ_ｔに則った秘密計算結果である秘匿情報｛ｈ’_ｗ｝が得られた際に、前記秘匿情報｛ｈ’_ｗ｝と前記秘匿情報｛ｒ_ｔ｝とを用いた秘密計算によって秘匿情報｛ｈ’_ｗｒ_ｔ｝を得、前記秘匿情報｛ｈ’_ｗ｝と前記秘匿情報｛ｈ’_ｗｒ_ｔ｝との組であるランダム化分散値＜ｈ’_ｗ＞＝＜｛ｈ’_ｗ｝，｛ｈ’_ｗｒ_ｔ｝＞を得、前記ランダム化分散値＜ｈ’_ｗ＞の追加によってＣ_３，ｔを更新することで、
   Ｃ_３，ｔを含む前記第３チェックサムを更新する処理を含む、秘密計算装置。
6. 請求項３から５の何れかの秘密計算装置であって、
   ｐがＢより大きな素数であり、Ｙ＝ｐ−Ｂである、秘密計算装置。
7. 請求項３から６の何れかの秘密計算装置であって、
   前記ランダム置換はランダム巡回シフトである、秘密計算装置。
8. 請求項１から７の何れかの秘密計算装置であって、
   前記行列Ｍ_{ｂ，γ，μ}はＭ_{ｂ，３，１}またはＭ_{ｂ，３，２}である、秘密計算装置。
9. Ｂが１以上の整数であり、Ｒが３以上の整数であり、Ｓが２以上の整数であり、Ｕ＝Ｓ^２であり、Ｆが体であり、ｂ＝０，…，Ｂ−１であり、ｒ＝１，…，Ｒであり、ｊ＝２，…，Ｒであり、
   １ラウンド目のラウンド処理が処理Ｐ_１，４を含み、前記処理Ｐ_１，４が１ラウンド目のラウンド鍵ｋ_１∈Ｆ^Ｕの要素からなるＳ×Ｓ行列の１つの列のＳ個の要素にＳ個のカウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}をそれぞれ加算して行列Ｍ_{ｂ，１，４}を得る処理を含み、
   ｊラウンド目のラウンド処理が処理Ｐ_ｊ，１と処理Ｐ_ｊ，２と処理Ｐ_ｊ，３と処理Ｐ_ｊ，４とを含み、前記処理Ｐ_ｊ，１が前記行列Ｍ_{ｂ，ｊ−１，４}の各要素を置換して行列Ｍ_{ｂ，ｊ，１}を得る処理を含み、前記処理Ｐ_ｊ，２が前記行列Ｍ_{ｂ，ｊ，１}の各要素を行ごとに巡回シフトして行列Ｍ_{ｂ，ｊ，２}を得る処理を含み、前記処理Ｐ_ｊ，３が前記行列Ｍ_{ｂ，ｊ，２}の各列のＳ個の要素の線形和を当該列のＳ個の要素とした行列Ｍ_{ｂ，ｊ，３}を得る処理を含み、前記処理Ｐ_ｊ，４が前記行列Ｍ_{ｂ，ｊ，３}の各要素にｊラウンド目のラウンド鍵ｋ_ｊの各要素を加算して行列Ｍ_{ｂ，ｊ，４}を得る処理を含み、
   表生成部が、何れかのラウンド鍵ｋ_１，…，ｋ_３の秘匿情報を用い、秘密計算により、変数ｉ＝ｉ_０，…，ｉ_Ｓ−１に対する一変数関数値を要素に持つ表Ｍ（ｉ_０，…，ｉ_Ｓ−１）の秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を得る前段処理を行う表生成ステップと、
   前記表Ｍ（ｉ_０，…，ｉ_Ｓ−１）に前記カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}を代入したＭ（ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}）がＭ_{ｂ，２，１}，…，Ｍ_{ｂ，３，２}の何れかである行列Ｍ_{ｂ，γ，μ}であり、表計算部が、前記カウンタ値ｉ_ｂ，０，…，ｉ_{ｂ，Ｓ−１}の秘匿情報｛ｉ_ｂ，０｝，…，｛ｉ_{ｂ，Ｓ−１}｝および前記秘匿情報｛Ｍ（ｉ_０，…，ｉ_Ｓ−１）｝を用い、秘密計算によってｂ＝０，…，Ｂ−１についての前記行列Ｍ_{ｂ，γ，μ}の秘匿情報｛Ｍ_{ｂ，γ，μ}｝を得る表計算ステップと、
   ラウンド処理部が、何れかのラウンド鍵ｋ_２，…，ｋ_Ｒ＋１の秘匿情報および前記秘匿情報｛Ｍ_{ｂ，γ，μ}｝を用い、秘密計算により、ｊ＝２，…，Ｒについての前記処理Ｐ_ｊ，１、前記処理Ｐ_ｊ，２、前記処理Ｐ_ｊ，３、および前記処理Ｐ_ｊ，４のうち、処理Ｐ_γ，μよりも後に行われる各処理を含む残存処理を実行して得られる行列Ｍ_{ｂ，Γ，ＭＵ}の秘匿情報｛Ｍ_{ｂ，Γ，ＭＵ}｝を得る後段処理を行うラウンド処理ステップと、
   を有する秘密計算方法。
10. 請求項１から８の何れかの秘密計算装置としてコンピュータを機能させるためのプログラム。
11. 請求項１から８の何れかの秘密計算装置としてコンピュータを機能させるためのプログラムを格納したコンピュータ読み取り可能な記録媒体。

Images