JP7290177B2 - 秘密計算装置、秘密計算方法、およびプログラム - Google Patents
秘密計算装置、秘密計算方法、およびプログラム Download PDFInfo
- Publication number
- JP7290177B2 JP7290177B2 JP2021572126A JP2021572126A JP7290177B2 JP 7290177 B2 JP7290177 B2 JP 7290177B2 JP 2021572126 A JP2021572126 A JP 2021572126A JP 2021572126 A JP2021572126 A JP 2021572126A JP 7290177 B2 JP7290177 B2 JP 7290177B2
- Authority
- JP
- Japan
- Prior art keywords
- secret
- secret sharing
- value
- sharing value
- calculation unit
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Active
Links
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/08—Key distribution or management, e.g. generation, sharing or updating, of cryptographic keys or passwords
- H04L9/0816—Key establishment, i.e. cryptographic processes or cryptographic protocols whereby a shared secret becomes available to two or more parties, for subsequent use
- H04L9/085—Secret sharing or secret splitting, e.g. threshold schemes
-
- G—PHYSICS
- G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
- G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
- G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
- H04L9/14—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms
- H04L9/16—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols using a plurality of keys or algorithms the keys or algorithms being changed during operation
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Physics & Mathematics (AREA)
- General Physics & Mathematics (AREA)
- Theoretical Computer Science (AREA)
- Complex Calculations (AREA)
- Pharmaceuticals Containing Other Organic And Inorganic Compounds (AREA)
- Hardware Redundancy (AREA)
- Devices For Executing Special Programs (AREA)
Description
本発明は、秘密計算において実数の初等関数を近似する技術に関する。
近年、秘密計算による高度な統計や機械学習の研究が盛んになってきている。しかし、これらの演算のほとんどは秘密計算の得意な加減乗算を超える、逆数関数、平方根関数、指数関数、対数関数などの初等関数の計算を含んでいる。これらは秘密計算の応用研究を花開かせる観点で極めて大きな障害である。
非特許文献１では、秘密計算において逆数,平方根とその逆数,指数関数などの初等関数の計算を行う方法が開示されている。
五十嵐大，"秘密計算AIの実装に向けた秘密実数演算群の設計と実装-O(|p|)ビット通信量O(1)ラウンドの実数向け右シフト，"In CSS2019, 2019.
しかしながら、非特許文献１に記載された方法では、関数の特性に応じて異なる方式を選択して適用しなければならない。
本発明はこのような点に鑑みてなされたものであり、パラメータ変更のみで多くの初等関数に汎用的に対応可能な秘密計算技術を提供することを目的とする。
実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得、秘密分散値［ｘ］および秘密分散値［ｙ］を用いた秘密計算によって実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得て出力する。ただし、ｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，δ，ζが実数係数であり、・の秘密分散値が［・］である。
本発明では、パラメータ変更のみで多くの初等関数を汎用的に秘密計算できる。
以下、図面を参照して本発明の実施形態を説明する。
［第１実施形態］
第１実施形態について説明する。本実施形態では初等関数を多項式で近似して秘密計算を行う。これによって、パラメータ変更のみで多くの初等関数を汎用的に秘密計算できる。また本形態で扱う初等関数に限定はないが、指数関数や対数関数を多項式で近似した場合には高次の係数が非常に小さくなる。このような場合に１つの多項式のみで近似を行うと係数の近似精度が低下してしまう。そのため、本実施形態では複数の多項式を用いて段階的に高次の次数を小さくしていく。なお、初等関数（Elementary function）とは、実数または複素数の１変数関数で、代数関数、指数関数、対数関数、三角関数、逆三角関数および、それらの合成関数を作ることを有限回繰り返して得られる関数をいう。初等関数の例は、逆数関数、平方根関数、指数関数、対数関数などである。
［第１実施形態］
第１実施形態について説明する。本実施形態では初等関数を多項式で近似して秘密計算を行う。これによって、パラメータ変更のみで多くの初等関数を汎用的に秘密計算できる。また本形態で扱う初等関数に限定はないが、指数関数や対数関数を多項式で近似した場合には高次の係数が非常に小さくなる。このような場合に１つの多項式のみで近似を行うと係数の近似精度が低下してしまう。そのため、本実施形態では複数の多項式を用いて段階的に高次の次数を小さくしていく。なお、初等関数（Elementary function）とは、実数または複素数の１変数関数で、代数関数、指数関数、対数関数、三角関数、逆三角関数および、それらの合成関数を作ることを有限回繰り返して得られる関数をいう。初等関数の例は、逆数関数、平方根関数、指数関数、対数関数などである。
図１Ａに例示するように、第１実施形態の秘密計算装置１は秘密計算部１１，１２および制御部１９を有する。秘密計算装置１は制御部１９の制御のもとで各処理を実行する。以下ではｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，δ，ζが実数係数である。実数係数ａ，ｂ，ｃ，δ，ζは、所望の初等関数に応じて設定されている。・の秘密分散値が［・］である。秘密分散方式に限定はなく、例えば、加法的秘密分散方式やシャミア秘密分散方式などを例示できる。［・］の一例は剰余環上の要素・を線形秘密分散した秘密分散値（シェア）である。また環上の整数に公開の小数点位置を定めることで固定小数点の実数と見なすことができる。実施形態ではこのようにして環上で表した固定小数点の実数を単に実数と表記する。
図１Ｂに例示するように、まず秘密計算装置１に実数ｘの秘密分散値［ｘ］が入力される（ステップＳ１０）。
秘密分散値［ｘ］は秘密計算部１１に入力される。秘密計算部１１は秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得て出力する（ステップＳ１１）。
秘密分散値［ｘ］，［ｙ］は秘密計算部１２に入力される。秘密計算部１２は秘密分散値［ｘ］および秘密分散値［ｙ］を用いた秘密計算によって実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得て出力する（ステップＳ１２）。
秘密計算部１１は秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
［第２実施形態］
第１実施形態では４次多項式によって初等関数を近似したが、第２実施形態では８次多項式によって初等関数を近似する。以下では、これまで説明した事項との相違点を中心に説明し、共通する事項については説明を簡略化する。
第１実施形態では４次多項式によって初等関数を近似したが、第２実施形態では８次多項式によって初等関数を近似する。以下では、これまで説明した事項との相違点を中心に説明し、共通する事項については説明を簡略化する。
図２Ａに例示するように、第２実施形態の秘密計算装置２は秘密計算部１１，２２，２３および制御部１９を有する。秘密計算装置２は制御部１９の制御のもとで各処理を実行する。以下ではｘ，ｙ，ｚ，ｗが実数であり、ａ，ｂ，ｃ，ｄ，ｆ，ｇ，α，β，γ，δ，ζが実数係数である。実数係数ａ，ｂ，ｃ，ｄ，ｆ，ｇ，α，β，γ，δ，ζは、所望の初等関数に応じて設定されている。
図２Ｂに例示するように、まず秘密計算装置２に実数ｘの秘密分散値［ｘ］が入力される（ステップＳ１０）。
秘密分散値［ｘ］は秘密計算部１１に入力される。秘密計算部１１は秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得て出力する（ステップＳ１１）。
秘密分散値［ｘ］，［ｙ］は秘密計算部２２に入力される。秘密計算部２２は、秘密分散値［ｘ］および秘密分散値［ｙ］を用いた秘密計算によって秘密分散値［ｚ］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得て出力する（ステップＳ２２）。
秘密分散値［ｘ］，［ｙ］，［ｚ］は秘密計算部２３に入力される。秘密計算部２３は、秘密分散値［ｘ］、秘密分散値［ｙ］、および秘密分散値［ｚ］を用いた秘密計算によって実数ｘの初等関数近似値ｗ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する（ステップＳ２３）。
秘密計算装置２は秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
［第３実施形態］
第３実施形態では第１実施形態と同様に４次多項式によって初等関数を近似するが、最高次の係数が設定可能な点で第１実施形態と相違する。
第３実施形態では第１実施形態と同様に４次多項式によって初等関数を近似するが、最高次の係数が設定可能な点で第１実施形態と相違する。
図３Ａに例示するように、第３実施形態の秘密計算装置３は秘密計算部１１，３２および制御部１９を有する。秘密計算装置３は制御部１９の制御のもとで各処理を実行する。以下ではｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，γ，δ，ζが実数係数である。実数係数ａ，ｂ，ｃ，γ，δ，ζは、所望の初等関数に応じて設定されている。
図３Ｂに例示するように、まず秘密計算装置３に実数ｘの秘密分散値［ｘ］が入力される（ステップＳ１０）。
秘密分散値［ｘ］は秘密計算部１１に入力される。秘密計算部１１は、秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得て出力する（ステップＳ１１）。
秘密分散値［ｘ］，［ｙ］は秘密計算部３２に入力される。秘密計算部３２は、秘密分散値［ｘ］および秘密分散値［ｙ］を用いた秘密計算によって実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する（ステップＳ３２）。
秘密計算部３１は秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
［第１～３実施形態の変形例］
所望の初等関数を多項式関数ｆｔ（ｘ）＝ｆｕｎｃ（ｘ）で近似し、さらに右シフト前の関数ｆｔ（ｘ）と当該関数ｆｔ（ｘ）の近似関数ｆ’ｕ（ｘ）との差分ｆｔ（ｘ）－ｆ’ｔ（ｘ）の秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］を計算し、ｆｔ（ｘ）－ｆ’ｔ（ｘ）を右シフトした（ｆｔ（ｘ）－ｆ’ｔ（ｘ））ｒの秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］ｒを得、秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］ｒと秘密分散値［ｆ’ｔ（ｘ）］の秘密計算によってｆｔ（ｘ）－ｆ’ｔ（ｘ）にｆ’ｔ（ｘ）を加算した関数ｆｔ（ｘ）の秘密分散値［ｆｔ（ｘ）］を得てもよい。ただし、ｘが実数であり、［・］が・の秘密分散値であり、ｎが１以上の整数（例えば、ｎは２以上の整数）であり、ｔ＝０，…，ｎ－１であり、ｕ＝１，…，ｎ－１であり、ｆｔ（ｘ）が実数ｘに対する関数であり、ｆ’ｔ（ｘ）は関数ｆｔ（ｘ）の近似関数であり、近似関数ｆ’０（ｘ）の秘密分散値［ｆ’０（ｘ）］が［ｆ’０（ｘ）］＝ｃ０，０＋ｃ０，１［ｘ］であり、近似関数ｆ’ｕ（ｘ）の秘密分散値［ｆ’ｕ（ｘ）］が［ｆ’ｕ（ｘ）］＝ｃｕ，０＋ｃｕ，１［ｘ］＋ｃｕ，２［ｆ０（ｘ）］＋…＋［ｆｕ－１（ｘ）］であり、ｃｔ，０は公開値であり、ｃｔ，１，…，ｃｔ，ｎ＋１は係数である。ただし、ｃｔ，１，…，ｃｔ，ｎ＋１は有効ビット数の小さな値であり、ｃｔ，１，…，ｃｔ，ｎ＋１が乗じられても桁あふれによってシフトが必要になるようなことがない値である。ｆｔ（ｘ）－ｆ’ｔ（ｘ）は正である。秘密分散方式に限定はなく、例えば、加法的秘密分散方式やシャミア秘密分散方式などを例示できる。ここでｆｔ（ｘ）－ｆ’ｔ（ｘ）の大きさはｆｔ（ｘ）の大きさよりも小さいため、秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］のオーバーフローを抑制することができる。また右シフト前の関数ｆｔ（ｘ）と当該関数ｆｔ（ｘ）の近似関数ｆ’ｕ（ｘ）との差分ｆｔ（ｘ）－ｆ’ｔ（ｘ）の秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］を計算するため、高い精度を保つことができる。オーバーフローは秘密計算を実装したプロセッサの性能に基づく問題であり、本方式はこのハードウェア上の制約に基づく問題を解決するための手法を提供する。このように、本方式は純粋数学上の問題を解決するものではなく、ハードウェア実装上の問題を解決するものであって技術的特徴を有するものである。例えば、秘密分散値［ｆｔ（ｘ）］を計算するとオーバーフローしてしまうが秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］の計算ではオーバーフローしないプロセッサではその技術的特徴は顕著である。以下、第１～３実施形態の変形例を具体的に示す。
所望の初等関数を多項式関数ｆｔ（ｘ）＝ｆｕｎｃ（ｘ）で近似し、さらに右シフト前の関数ｆｔ（ｘ）と当該関数ｆｔ（ｘ）の近似関数ｆ’ｕ（ｘ）との差分ｆｔ（ｘ）－ｆ’ｔ（ｘ）の秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］を計算し、ｆｔ（ｘ）－ｆ’ｔ（ｘ）を右シフトした（ｆｔ（ｘ）－ｆ’ｔ（ｘ））ｒの秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］ｒを得、秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］ｒと秘密分散値［ｆ’ｔ（ｘ）］の秘密計算によってｆｔ（ｘ）－ｆ’ｔ（ｘ）にｆ’ｔ（ｘ）を加算した関数ｆｔ（ｘ）の秘密分散値［ｆｔ（ｘ）］を得てもよい。ただし、ｘが実数であり、［・］が・の秘密分散値であり、ｎが１以上の整数（例えば、ｎは２以上の整数）であり、ｔ＝０，…，ｎ－１であり、ｕ＝１，…，ｎ－１であり、ｆｔ（ｘ）が実数ｘに対する関数であり、ｆ’ｔ（ｘ）は関数ｆｔ（ｘ）の近似関数であり、近似関数ｆ’０（ｘ）の秘密分散値［ｆ’０（ｘ）］が［ｆ’０（ｘ）］＝ｃ０，０＋ｃ０，１［ｘ］であり、近似関数ｆ’ｕ（ｘ）の秘密分散値［ｆ’ｕ（ｘ）］が［ｆ’ｕ（ｘ）］＝ｃｕ，０＋ｃｕ，１［ｘ］＋ｃｕ，２［ｆ０（ｘ）］＋…＋［ｆｕ－１（ｘ）］であり、ｃｔ，０は公開値であり、ｃｔ，１，…，ｃｔ，ｎ＋１は係数である。ただし、ｃｔ，１，…，ｃｔ，ｎ＋１は有効ビット数の小さな値であり、ｃｔ，１，…，ｃｔ，ｎ＋１が乗じられても桁あふれによってシフトが必要になるようなことがない値である。ｆｔ（ｘ）－ｆ’ｔ（ｘ）は正である。秘密分散方式に限定はなく、例えば、加法的秘密分散方式やシャミア秘密分散方式などを例示できる。ここでｆｔ（ｘ）－ｆ’ｔ（ｘ）の大きさはｆｔ（ｘ）の大きさよりも小さいため、秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］のオーバーフローを抑制することができる。また右シフト前の関数ｆｔ（ｘ）と当該関数ｆｔ（ｘ）の近似関数ｆ’ｕ（ｘ）との差分ｆｔ（ｘ）－ｆ’ｔ（ｘ）の秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］を計算するため、高い精度を保つことができる。オーバーフローは秘密計算を実装したプロセッサの性能に基づく問題であり、本方式はこのハードウェア上の制約に基づく問題を解決するための手法を提供する。このように、本方式は純粋数学上の問題を解決するものではなく、ハードウェア実装上の問題を解決するものであって技術的特徴を有するものである。例えば、秘密分散値［ｆｔ（ｘ）］を計算するとオーバーフローしてしまうが秘密分散値［ｆｔ（ｘ）－ｆ’ｔ（ｘ）］の計算ではオーバーフローしないプロセッサではその技術的特徴は顕著である。以下、第１～３実施形態の変形例を具体的に示す。
≪第１実施形態の変形例≫
第１実施形態の場合、ｎ＝２であり、ａ，ｂ，ｃ，δ，ｉ，ｊ，ｋ，ｓ，ｍが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝ｙ（ζｙ＋ｂ）＋ｃｘであり、ｆ２（ｘ）＝ｗ＝γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍであり、ｆ’２（ｘ）＝ｎｚ＋ｏｙ＋ｐｘ＋ｑである。
第１実施形態の場合、ｎ＝２であり、ａ，ｂ，ｃ，δ，ｉ，ｊ，ｋ，ｓ，ｍが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝ｙ（ζｙ＋ｂ）＋ｃｘであり、ｆ２（ｘ）＝ｗ＝γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍであり、ｆ’２（ｘ）＝ｎｚ＋ｏｙ＋ｐｘ＋ｑである。
入力：［ｘ］∈［Ｌ，Ｒ）
設定済のパラメータ：ａ，ｂ，ｃ，δ，ｉ，ｊ，ｋ，ｓ，ｍ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
設定済のパラメータ：ａ，ｂ，ｃ，δ，ｉ，ｊ，ｋ，ｓ，ｍ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
１：秘密計算装置１に秘密分散値［ｘ］が入力される（ステップＳ１０）。秘密計算装置１の秘密計算部１１は、秘密分散値［ｘ］を用いた積和の秘密計算により秘密分散値［ｙ’］＝［ｘ（δｘ＋ａ-ｉ）-ｊ］を得、右シフトの秘密計算により小数点位置を下げたｙ’ｒの秘密分散値［ｙ’］ｒを得る（ステップＳ１１）。
２：秘密計算部１１は、秘密分散値［ｙ’］ｒ，［ｘ］を用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部１２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により秘密分散値［ｚ’］＝［ｙ（ζｙ＋ｂ-ｋ）＋（ｃ-ｓ）ｘ-ｍ］を得、右シフトにより小数点位置を下げたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ１２）。
４：秘密計算部１２は、秘密分散値［ｚ’］ｒを用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ１２）。秘密計算部１２は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
２：秘密計算部１１は、秘密分散値［ｙ’］ｒ，［ｘ］を用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部１２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により秘密分散値［ｚ’］＝［ｙ（ζｙ＋ｂ-ｋ）＋（ｃ-ｓ）ｘ-ｍ］を得、右シフトにより小数点位置を下げたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ１２）。
４：秘密計算部１２は、秘密分散値［ｚ’］ｒを用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ１２）。秘密計算部１２は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
≪第２実施形態の変形例≫
第２実施形態の場合、ｎ＝３であり、ａ，ｂ，ｃ，ｄ，ｆ，ｇ，ｈ，ｉ，ｊ，ｋ，ｓ，ｍ，ｎ，ｏ，ｐ，ｑ，α，β，γ，δ，ζが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝ｙ（ζｙ＋ｂ）＋ｃｘであり、ｆ２（ｘ）＝ｗ＝γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍであり、ｆ’２（ｘ）＝ｎｚ＋ｏｙ＋ｐｘ＋ｑである。
第２実施形態の場合、ｎ＝３であり、ａ，ｂ，ｃ，ｄ，ｆ，ｇ，ｈ，ｉ，ｊ，ｋ，ｓ，ｍ，ｎ，ｏ，ｐ，ｑ，α，β，γ，δ，ζが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝ｙ（ζｙ＋ｂ）＋ｃｘであり、ｆ２（ｘ）＝ｗ＝γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍであり、ｆ’２（ｘ）＝ｎｚ＋ｏｙ＋ｐｘ＋ｑである。
入力：［ｘ］∈［Ｌ，Ｒ）
設定済のパラメータ：ａ，ｂ，ｃ，ｄ，ｆ，ｇ，Ｈ，ｉ，ｊ，ｋ，ｓ，ｍ，ｎ，ｏ，ｐ，ｑ，α，β，γ，δ，ζ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
設定済のパラメータ：ａ，ｂ，ｃ，ｄ，ｆ，ｇ，Ｈ，ｉ，ｊ，ｋ，ｓ，ｍ，ｎ，ｏ，ｐ，ｑ，α，β，γ，δ，ζ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
１：秘密計算装置２に秘密分散値［ｘ］が入力される（ステップＳ１０）。秘密計算装置２の秘密計算部１１は、秘密分散値［ｘ］を用いた積和の秘密計算により秘密分散値［ｙ’］＝［ｘ（δｘ＋ａ-ｉ）-ｊ］を得、右シフトの秘密計算により小数点位置を下げたｙ’ｒの秘密分散値［ｙ’］ｒを得る（ステップＳ１１）。
２：秘密計算部１１は、秘密分散値［ｙ’］ｒ，［ｘ］を用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部２２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により秘密分散値［ｚ’］＝［ｙ（ζｙ＋ｂ-ｋ）＋（ｃ-ｓ）ｘ-ｍ］を得、右シフトにより小数点位置を下げたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ２２）。
４：秘密計算部２２は、秘密分散値［ｚ’］ｒ，［ｘ］，［ｙ］を用いた秘密計算により秘密分散値［ｚ］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ２２）。
５：秘密計算部２３は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、γによる乗算と小数点位置の下降を行って秘密分散値［ｗ’］を得る（ステップＳ２３）。秘密分散値［ｗ’］を得るための処理に限定は無いが、例えば、秘密計算部２３は、公開値２σ／γを得、公開値２σ／γと秘密分散値［ｗ’／γ］を用いた公開値除算の秘密計算［ｗ’／γ］／（２σ／γ）によって秘密分散値［ｗ’］ｒを得てもよい。ただし、σは右シフト量を表す正整数である。これによってγの乗算および右シフトの秘密計算を同時に実行できるため、処理コストを低減できる。
６：秘密計算部２３は、秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る（ステップＳ２３）。秘密計算部２３は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
２：秘密計算部１１は、秘密分散値［ｙ’］ｒ，［ｘ］を用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部２２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により秘密分散値［ｚ’］＝［ｙ（ζｙ＋ｂ-ｋ）＋（ｃ-ｓ）ｘ-ｍ］を得、右シフトにより小数点位置を下げたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ２２）。
４：秘密計算部２２は、秘密分散値［ｚ’］ｒ，［ｘ］，［ｙ］を用いた秘密計算により秘密分散値［ｚ］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ２２）。
５：秘密計算部２３は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、γによる乗算と小数点位置の下降を行って秘密分散値［ｗ’］を得る（ステップＳ２３）。秘密分散値［ｗ’］を得るための処理に限定は無いが、例えば、秘密計算部２３は、公開値２σ／γを得、公開値２σ／γと秘密分散値［ｗ’／γ］を用いた公開値除算の秘密計算［ｗ’／γ］／（２σ／γ）によって秘密分散値［ｗ’］ｒを得てもよい。ただし、σは右シフト量を表す正整数である。これによってγの乗算および右シフトの秘密計算を同時に実行できるため、処理コストを低減できる。
６：秘密計算部２３は、秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る（ステップＳ２３）。秘密計算部２３は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
≪第３実施形態の変形例≫
第３実施形態の場合、ｎ＝２であり、ａ，ｂ，ｃ，γ，δ，ｉ，ｊ，ｋ，ｓ，ｍが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝γ（ｙ（δｙ＋ｂ）＋ｃｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍである。
第３実施形態の場合、ｎ＝２であり、ａ，ｂ，ｃ，γ，δ，ｉ，ｊ，ｋ，ｓ，ｍが実数であり、ｆ０（ｘ）＝ｙ＝δｘ２＋ａｘであり、ｆ１（ｘ）＝ｚ＝γ（ｙ（δｙ＋ｂ）＋ｃｘ）であり、ｆ’０（ｘ）＝ｉｘ＋ｊであり、ｆ’１（ｘ）＝ｋｙ＋ｓｘ＋ｍである。
入力：［ｘ］∈［Ｌ，Ｒ）
設定済のパラメータ：ａ，ｂ，ｃ，γ，δ，ｉ，ｊ，ｋ，ｓ，ｍ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
設定済のパラメータ：ａ，ｂ，ｃ，γ，δ，ｉ，ｊ，ｋ，ｓ，ｍ
出力：秘密分散値［ｆｕｎｃ（ｘ）］
１：秘密計算装置３に秘密分散値［ｘ］が入力される（ステップＳ１０）。秘密計算装置３の秘密計算部３１は、秘密分散値［ｘ］を用いた積和の秘密計算により秘密分散値［ｙ’］＝［ｘ（δｘ＋ａ-ｉ）-ｊ］を得、右シフトの秘密計算により小数点位置を下げたｙ’ｒの秘密分散値［ｙ’］ｒを得る（ステップＳ１１）。
２：秘密計算部３１は、秘密分散値［ｙ’］ｒを用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部３２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２）。
４：秘密計算部３２は、秘密分散値［ｚ’／γ］を用いた秘密計算によってｚ’／γにγを乗算して得られるｚ’を所定ビット数だけ右シフトしたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ３２）。秘密分散値［ｚ’］ｒを得るための処理に限定は無いが、例えば、秘密計算部３２は、公開値２σ／γを得、公開値２σ／γと秘密分散値［ｚ’／γ］を用いた公開値除算の秘密計算［ｚ’／γ］／（２σ／γ）によって秘密分散値［ｚ’］ｒを得てもよい。これによってγの乗算および右シフトの秘密計算を同時に実行できるため、処理コストを低減できる。
５：秘密計算部３２は、秘密分散値［ｚ’］ｒと秘密分散値［ｘ］，［ｙ］を用いた秘密計算によって秘密分散値［ｆｕｎｃ（ｘ）］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ３２）。秘密計算部３２は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
２：秘密計算部３１は、秘密分散値［ｙ’］ｒを用いた秘密計算により秘密分散値［ｙ］＝［ｙ’＋（ｉｘ＋ｊ）］を得る（ステップＳ１１）。
３：秘密計算部３２は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２）。
４：秘密計算部３２は、秘密分散値［ｚ’／γ］を用いた秘密計算によってｚ’／γにγを乗算して得られるｚ’を所定ビット数だけ右シフトしたｚ’ｒの秘密分散値［ｚ’］ｒを得る（ステップＳ３２）。秘密分散値［ｚ’］ｒを得るための処理に限定は無いが、例えば、秘密計算部３２は、公開値２σ／γを得、公開値２σ／γと秘密分散値［ｚ’／γ］を用いた公開値除算の秘密計算［ｚ’／γ］／（２σ／γ）によって秘密分散値［ｚ’］ｒを得てもよい。これによってγの乗算および右シフトの秘密計算を同時に実行できるため、処理コストを低減できる。
５：秘密計算部３２は、秘密分散値［ｚ’］ｒと秘密分散値［ｘ］，［ｙ］を用いた秘密計算によって秘密分散値［ｆｕｎｃ（ｘ）］＝［ｚ’＋（ｋｙ＋ｓｘ＋ｍ）］を得る（ステップＳ３２）。秘密計算部３２は、得た秘密分散値［ｆｕｎｃ（ｘ）］を出力する（ステップＳ１３）。
［第４実施形態］
第４実施形態では、初等関数として対数関数を近似する。
図４に例示するように、第４実施形態の秘密計算装置４は、秘密計算部４５，４６，４７，４８，４９，４１０，４１１、および秘密計算装置１～３の何れかまたは前述したその変形例の秘密計算装置を有する。以下ではχが実数であり、ｐが正整数であり、Ｌが２以上の整数であり、［・］がｐを法とした剰余環上の要素・を線形秘密分散した秘密分散値であり、｛・｝が２を法とした剰余環上の要素・を線形秘密分散した秘密分散値である。
第４実施形態では、初等関数として対数関数を近似する。
図４に例示するように、第４実施形態の秘密計算装置４は、秘密計算部４５，４６，４７，４８，４９，４１０，４１１、および秘密計算装置１～３の何れかまたは前述したその変形例の秘密計算装置を有する。以下ではχが実数であり、ｐが正整数であり、Ｌが２以上の整数であり、［・］がｐを法とした剰余環上の要素・を線形秘密分散した秘密分散値であり、｛・｝が２を法とした剰余環上の要素・を線形秘密分散した秘密分散値である。
図５に例示するように、まず秘密計算装置４に実数χの秘密分散値［χ］が入力される（ステップＳ４０）。
秘密分散値［χ］は秘密計算部４５に入力される。秘密計算部４５は、秘密分散値［χ］を用いた秘密計算によって実数χのＬビット表現χ０…χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得て出力する（ステップＳ４５）。χ０，…，χＬ－１は整数である。
秘密分散値｛χ０｝，…，｛χＬ－１｝は秘密計算部４６に入力される。秘密計算部４６は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビット（ｍｓｂ）χｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得て出力する（ステップＳ４６）。ステップＳ４６の詳細は後述する。
秘密分散値｛χ０｝，…，｛χＬ－１｝は秘密計算部４７に入力される。秘密計算部４７は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、０≦ｉ＜Ｌ－１における秘密分散値｛ρｉ｝＝｛ρｉ＋１∨χｉ｝および秘密分散値｛ρＬ－１｝＝｛χＬ－１｝を得て出力する（ステップＳ４７）。ステップＳ４７の詳細は後述する。
秘密分散値｛ρ０｝，…，｛ρＬ－１｝は秘密計算部４８に入力される。秘密計算部４８は、秘密分散値｛ρ０｝，…，｛ρＬ－１｝を用いた秘密計算によって、ρ０，…，ρＬ－１のうち１である要素の個数を表すカウント値θの秘密分散値［θ］を得て出力する（ステップＳ４８）。
秘密分散値｛η０｝，…，｛ηＬ－１｝は秘密計算部４９に入力される。秘密計算部４９は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によってｍｓｂフラグ列η０，…，ηＬ－１をビット結合したｍｓｂフラグ値ν＝η０…ηＬ－１の秘密分散値［ν］を得て出力する（ステップＳ４９）。
秘密分散値［χ］，［ν］は秘密計算部４１０に入力される。秘密計算部４１０は、秘密分散値［χ］および秘密分散値［ν］を用いた秘密計算によって秘密分散値［ｘ］＝［χ］［ν］を得て出力する（ステップＳ４１０）。
秘密分散値［ｘ］は秘密計算装置１～３の何れかに入力される。秘密分散値［ｘ］が入力された秘密計算装置１～３またはその変形例の何れかの秘密計算装置は、第１～３実施形態またはその変形例の処理によって秘密分散値［ｆｕｎｃ（ｘ）］を得て出力する（ステップＳ４２０）。
秘密分散値［ｆｕｎｃ（ｘ）］，［θ］は秘密計算部４１１に入力される。秘密計算部４１１は、秘密分散値［ｆｕｎｃ（ｘ）］および秘密分散値［θ］を用いた秘密計算によって［ｌｏｇ χ］＝［ｆｕｎｃ（ｘ）］－［θ］を得て出力する（ステップＳ４１１）。
秘密計算装置４は秘密分散値［ｌｏｇ χ］を出力する（ステップＳ４１２）。
＜ステップＳ４６，Ｓ４７の詳細＞
入力：秘密分散値｛χ０｝，…，｛χＬ－１｝
出力：秘密分散値｛η０｝，…，｛ηＬ－１｝
１：秘密計算部４６は、０≦ｉ＜Ｌ－１で｛ρｉ｝＝｛ρｉ＋１∨χｉ｝とする。
２：秘密計算部４６は、｛ρＬ－１｝＝｛χＬ－１｝とする。
ここまでで、ρ０，…，ρＬ－１は、０，０，０，１，１，…，１のように、ｍｓｂ以下のビットが１でｍｓｂよりも上位のビットが０のビット列となっている。
３：秘密計算部４６は、０≦ｉ＜Ｌ－１で｛ηｉ｝＝｛ρｉ（ＸＯＲ）ρｉ＋１｝とする。ただし、α１（ＸＯＲ）α２はα１とα２との排他的論理和を表す。
４：秘密計算部４６は、｛ηＬ－１｝＝｛χＬ－１｝とする。
ここまでで、η０，…，ηＬ－１は、０，０，０，１，０，…，０のように、ｍｓｂの位置のビットのみが１で、他のビットが０となっている。
入力：秘密分散値｛χ０｝，…，｛χＬ－１｝
出力：秘密分散値｛η０｝，…，｛ηＬ－１｝
１：秘密計算部４６は、０≦ｉ＜Ｌ－１で｛ρｉ｝＝｛ρｉ＋１∨χｉ｝とする。
２：秘密計算部４６は、｛ρＬ－１｝＝｛χＬ－１｝とする。
ここまでで、ρ０，…，ρＬ－１は、０，０，０，１，１，…，１のように、ｍｓｂ以下のビットが１でｍｓｂよりも上位のビットが０のビット列となっている。
３：秘密計算部４６は、０≦ｉ＜Ｌ－１で｛ηｉ｝＝｛ρｉ（ＸＯＲ）ρｉ＋１｝とする。ただし、α１（ＸＯＲ）α２はα１とα２との排他的論理和を表す。
４：秘密計算部４６は、｛ηＬ－１｝＝｛χＬ－１｝とする。
ここまでで、η０，…，ηＬ－１は、０，０，０，１，０，…，０のように、ｍｓｂの位置のビットのみが１で、他のビットが０となっている。
［第５実施形態］
第５実施形態では、初等関数が逆数関数、平方根の逆数関数、平方根関数、指数関数である場合の処理を例示する。
第５実施形態では、初等関数が逆数関数、平方根の逆数関数、平方根関数、指数関数である場合の処理を例示する。
＜実施例１：逆数関数の例＞
実施例１では、実数χの逆数関数値１／χの秘密分散値を計算する。入力された実数χを二進数表現した場合における０．５のビット列の小数点位置とχの最上位ビット（ｍｓｂ）との差を表す正整数をｅとし、実数χに対して以下の変形を行う。
すなわち、2eを乗じて区間[0.5, 1)に正規化し、逆数
を求めた後に２ｅを乗じる処理を秘密計算で行う。逆数においては、標準的である[0.5, 1)への正規化では８次多項式近似で21ビット程度の精度となる。一般的に単精度で23ビットの精度が必要とされるため、さらに精度を向上するテクニックを導入する必要がある。通常、最左ビットを移動して[0.5, 1)に正規化するのだが、その後さらに最左ビットの１ビット下が０であれば（すなわち値が[0.5, 0.75)であれば）1.5を乗ずる。すると、[0.5, 0.75)が[0.75, 1.125)へと動くので、[0.75, 1)であれば何もしないことと合わせると、[0.75, 1.125)に正規化されることになる。[0.75, 1.125)は[0.5, 1)よりも狭い区間であるため、近似区間が狭いほど精度が向上する補間多項式近似においては有効なテクニックである。
実施例１では、実数χの逆数関数値１／χの秘密分散値を計算する。入力された実数χを二進数表現した場合における０．５のビット列の小数点位置とχの最上位ビット（ｍｓｂ）との差を表す正整数をｅとし、実数χに対して以下の変形を行う。
すなわち、2eを乗じて区間[0.5, 1)に正規化し、逆数
を求めた後に２ｅを乗じる処理を秘密計算で行う。逆数においては、標準的である[0.5, 1)への正規化では８次多項式近似で21ビット程度の精度となる。一般的に単精度で23ビットの精度が必要とされるため、さらに精度を向上するテクニックを導入する必要がある。通常、最左ビットを移動して[0.5, 1)に正規化するのだが、その後さらに最左ビットの１ビット下が０であれば（すなわち値が[0.5, 0.75)であれば）1.5を乗ずる。すると、[0.5, 0.75)が[0.75, 1.125)へと動くので、[0.75, 1)であれば何もしないことと合わせると、[0.75, 1.125)に正規化されることになる。[0.75, 1.125)は[0.5, 1)よりも狭い区間であるため、近似区間が狭いほど精度が向上する補間多項式近似においては有効なテクニックである。
≪逆数用正規化プロトコル≫
入力：［χ］
出力：［ｘ］，［ν］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをιの位置に移動した後、χのｍｓｂの１ビット下のビットが０であればさらに１．５を乗じた値である。ｘは［０．７５，１．１２５）に正規化されている。νはｘ＝χνを満たす値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビット（ｍｓｂ）χｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得る。この処理は前述したステップＳ４６と同じである。
３：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝，｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によって、２≦ｉ＜Ｌで｛ωｉ｝＝｛（￢χｉ-２∧ηｉ-１）（ＸＯＲ）ηｉ｝を得る。
４：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によって秘密分散値｛ω０｝＝｛ω１｝＝｛０｝，｛ωＬ｝＝｛￢ηＬ－２∧ηＬ－１｝を得る。ビット列χ０…χＬ－１のｍｓｂの１ビット下の入力ビットが１であれば、ｍｓｂの１ビット上のωｉが１となる。次のステップで｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝の上下桁を逆転して結合するため、ここでは上下桁を逆転して秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を設定している。
５：秘密計算装置は、秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を用いた秘密計算によるビット結合により、｛ωＬ－１｝，…，｛ω０｝を結合して［ν］を得て出力する。νはχに乗じられた場合、χのｍｓｂを定められた場所に移動し、さらにχのｍｓｂの１ビット下のビットが０であれば１．５をχに乗ずるという数になっている。
６：秘密計算装置は、秘密分散値［ｘ］＝［χ］［ν］を得る。
入力：［χ］
出力：［ｘ］，［ν］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをιの位置に移動した後、χのｍｓｂの１ビット下のビットが０であればさらに１．５を乗じた値である。ｘは［０．７５，１．１２５）に正規化されている。νはｘ＝χνを満たす値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビット（ｍｓｂ）χｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得る。この処理は前述したステップＳ４６と同じである。
３：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝，｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によって、２≦ｉ＜Ｌで｛ωｉ｝＝｛（￢χｉ-２∧ηｉ-１）（ＸＯＲ）ηｉ｝を得る。
４：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によって秘密分散値｛ω０｝＝｛ω１｝＝｛０｝，｛ωＬ｝＝｛￢ηＬ－２∧ηＬ－１｝を得る。ビット列χ０…χＬ－１のｍｓｂの１ビット下の入力ビットが１であれば、ｍｓｂの１ビット上のωｉが１となる。次のステップで｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝の上下桁を逆転して結合するため、ここでは上下桁を逆転して秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を設定している。
５：秘密計算装置は、秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を用いた秘密計算によるビット結合により、｛ωＬ－１｝，…，｛ω０｝を結合して［ν］を得て出力する。νはχに乗じられた場合、χのｍｓｂを定められた場所に移動し、さらにχのｍｓｂの１ビット下のビットが０であれば１．５をχに乗ずるという数になっている。
６：秘密計算装置は、秘密分散値［ｘ］＝［χ］［ν］を得る。
≪逆数プロトコル≫
入力：［χ］
出力：［１／χ］
１：秘密計算装置は、上述の逆数用正規化プロトコルにより、実数χを［０．７５，１．１２５）に正規化した値ｘの秘密分散値［ｘ］、および当該正規化のために秘密分散値［χ］に乗じられる秘密分散値［ν］を得る。
２：秘密計算装置は、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、実施例１のｆｕｎｃ（ｘ）はｘの逆数関数を近似する多項式である。秘密計算装置は、例えば、第１～３実施形態またはその変形例の方法を用いて秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。
３：秘密計算装置は、秘密分散値［ｗ］，［ν］を用いた秘密計算によって秘密分散値［ｗ］［ν］を得て出力する。
入力：［χ］
出力：［１／χ］
１：秘密計算装置は、上述の逆数用正規化プロトコルにより、実数χを［０．７５，１．１２５）に正規化した値ｘの秘密分散値［ｘ］、および当該正規化のために秘密分散値［χ］に乗じられる秘密分散値［ν］を得る。
２：秘密計算装置は、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、実施例１のｆｕｎｃ（ｘ）はｘの逆数関数を近似する多項式である。秘密計算装置は、例えば、第１～３実施形態またはその変形例の方法を用いて秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。
３：秘密計算装置は、秘密分散値［ｗ］，［ν］を用いた秘密計算によって秘密分散値［ｗ］［ν］を得て出力する。
＜実施例２：平方根の逆数関数の例＞
実施例２では、実数χの平方根の逆数関数値１／√χの秘密分散値を計算する。平方根の逆数関数では、上述の逆数関数と同じ考え方で［０．５，１）に正規化する。ただし、２ｅではなく√（２ｅ）が乗じられる。実施例２では、実数χに対して以下の変形を行う。
つまり、実数χに２ｅを掛けて正規化し、２ｅχの平方根の逆数
を求めた後に√（２ｅ）を乗じる処理を秘密計算で行う。
実施例２では、実数χの平方根の逆数関数値１／√χの秘密分散値を計算する。平方根の逆数関数では、上述の逆数関数と同じ考え方で［０．５，１）に正規化する。ただし、２ｅではなく√（２ｅ）が乗じられる。実施例２では、実数χに対して以下の変形を行う。
つまり、実数χに２ｅを掛けて正規化し、２ｅχの平方根の逆数
を求めた後に√（２ｅ）を乗じる処理を秘密計算で行う。
≪平方根の逆数用正規化プロトコル≫
入力：［χ］
出力：［ｘ］，［φ］，［ν’］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをι－１の位置に移動した値である。実施例２では、φは最後に計算値に√２を掛ける必要があるかどうかを表す真理値である。ν’は最後に掛けるべき２のべき乗値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。ただし、ｃｅｉｌは天井関数である。
３：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、０≦ｉ＜ｆｌｏｏｒ（Ｌ／２）で、秘密分散値｛χ’ｉ｝＝｛χｉ∨χｉ＋１｝を得る。ただし、ｆｌｏｏｒは床関数である。
４：秘密計算装置は、Ｌが奇数なら、｛χ’Ｌ’－１｝＝｛χＬ－１｝と設定する。
５：秘密計算部は、秘密分散値｛χ’０｝，…，｛χ’Ｌ－１｝を用いた秘密計算によって、ビット列χ’０…χ’Ｌ－１の最上位ビット（ｍｓｂ）χ’ｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ’－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ’－１｝を得て出力する。この処理はχｉをχ’ｉとし、ＬをＬ’とした前述のステップＳ４６と同じである。
６：秘密計算部は、秘密分散値｛η０｝，…，｛ηＬ’－１｝を用いた秘密計算でのビット結合により、ｍｓｂフラグ列ηＬ’－１，…，η０をビット結合したｍｓｂフラグ値ν’の秘密分散値［ν’］を得て出力する。
７：秘密計算部は、０≦ｉ＜ｆｌｏｏｒ（Ｌ／２）で、｛χ”ｉ｝＝｛χ２ｉ｝と設定する。
８：秘密計算部は、Ｌが奇数なら、｛χ”Ｌ’－１｝＝｛χＬ－１｝と設定する。
９：秘密計算部は、秘密分散値｛χ”０｝，…，｛χ”Ｌ’－１｝，｛η０｝，…，｛ηＬ’－１｝を用いた積和の秘密計算によって、秘密分散値｛φ｝＝｛η０χ”０＋…＋ηＬ’－１χ”Ｌ’－１｝を得る。
１０：秘密計算部は、秘密分散値｛φ｝を秘密分散値［φ］に変換して出力する。φはχのｍｓｂが偶数ビット目にあるかどうかを表す真理値である。χのｍｓｂが偶数ビット目にある場合にはφ＝１であり、そうでない場合にはφ＝０である。
１１：秘密計算部は、秘密分散値［ν’］，［φ］，［χ］を用いた秘密計算によって、秘密分散値［ｘ］＝［ν’］［ν’］［φ？２χ：χ］を得て出力する。ただし、φ？２χ：χは、φ＝１のときに２χであり、φ＝０のときにχである。
入力：［χ］
出力：［ｘ］，［φ］，［ν’］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをι－１の位置に移動した値である。実施例２では、φは最後に計算値に√２を掛ける必要があるかどうかを表す真理値である。ν’は最後に掛けるべき２のべき乗値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。ただし、ｃｅｉｌは天井関数である。
３：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、０≦ｉ＜ｆｌｏｏｒ（Ｌ／２）で、秘密分散値｛χ’ｉ｝＝｛χｉ∨χｉ＋１｝を得る。ただし、ｆｌｏｏｒは床関数である。
４：秘密計算装置は、Ｌが奇数なら、｛χ’Ｌ’－１｝＝｛χＬ－１｝と設定する。
５：秘密計算部は、秘密分散値｛χ’０｝，…，｛χ’Ｌ－１｝を用いた秘密計算によって、ビット列χ’０…χ’Ｌ－１の最上位ビット（ｍｓｂ）χ’ｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ’－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ’－１｝を得て出力する。この処理はχｉをχ’ｉとし、ＬをＬ’とした前述のステップＳ４６と同じである。
６：秘密計算部は、秘密分散値｛η０｝，…，｛ηＬ’－１｝を用いた秘密計算でのビット結合により、ｍｓｂフラグ列ηＬ’－１，…，η０をビット結合したｍｓｂフラグ値ν’の秘密分散値［ν’］を得て出力する。
７：秘密計算部は、０≦ｉ＜ｆｌｏｏｒ（Ｌ／２）で、｛χ”ｉ｝＝｛χ２ｉ｝と設定する。
８：秘密計算部は、Ｌが奇数なら、｛χ”Ｌ’－１｝＝｛χＬ－１｝と設定する。
９：秘密計算部は、秘密分散値｛χ”０｝，…，｛χ”Ｌ’－１｝，｛η０｝，…，｛ηＬ’－１｝を用いた積和の秘密計算によって、秘密分散値｛φ｝＝｛η０χ”０＋…＋ηＬ’－１χ”Ｌ’－１｝を得る。
１０：秘密計算部は、秘密分散値｛φ｝を秘密分散値［φ］に変換して出力する。φはχのｍｓｂが偶数ビット目にあるかどうかを表す真理値である。χのｍｓｂが偶数ビット目にある場合にはφ＝１であり、そうでない場合にはφ＝０である。
１１：秘密計算部は、秘密分散値［ν’］，［φ］，［χ］を用いた秘密計算によって、秘密分散値［ｘ］＝［ν’］［ν’］［φ？２χ：χ］を得て出力する。ただし、φ？２χ：χは、φ＝１のときに２χであり、φ＝０のときにχである。
≪平方根の逆数プロトコル≫
入力：［χ］
出力：［１／√χ］
１：秘密計算部は、上述した平方根の逆数用正規化プロトコルにより、実数χを［０．５，１）に正規化した値ｘの秘密分散値［ｘ］、および正規化の逆演算に必要な秘密分散値［ν’］，［φ］を得る。
２：秘密計算部は、第２実施形態もしくは３実施形態またはそれらの変形例の方法を用いて、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、ｆｕｎｃ（ｘ）はｘの平方根の逆数関数を近似する多項式である。また、ステップＳ２３ではφ＝１のときにγが√２γに置換される（ステップＳ２３’）。同様に、ステップＳ３２ではφ＝１のときにγが√２γに置換される（ステップＳ３２’）。ステップＳ２３’，Ｓ３２’の処理の詳細は後述する。
３：秘密計算部は、秘密分散値［ｆｕｎｃ（ｘ）］，［ν’］を用いた秘密計算によって、秘密分散値［１／√χ］＝［ｆｕｎｃ（ｘ）］［ν’］を得て出力する。
入力：［χ］
出力：［１／√χ］
１：秘密計算部は、上述した平方根の逆数用正規化プロトコルにより、実数χを［０．５，１）に正規化した値ｘの秘密分散値［ｘ］、および正規化の逆演算に必要な秘密分散値［ν’］，［φ］を得る。
２：秘密計算部は、第２実施形態もしくは３実施形態またはそれらの変形例の方法を用いて、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、ｆｕｎｃ（ｘ）はｘの平方根の逆数関数を近似する多項式である。また、ステップＳ２３ではφ＝１のときにγが√２γに置換される（ステップＳ２３’）。同様に、ステップＳ３２ではφ＝１のときにγが√２γに置換される（ステップＳ３２’）。ステップＳ２３’，Ｓ３２’の処理の詳細は後述する。
３：秘密計算部は、秘密分散値［ｆｕｎｃ（ｘ）］，［ν’］を用いた秘密計算によって、秘密分散値［１／√χ］＝［ｆｕｎｃ（ｘ）］［ν’］を得て出力する。
以下にステップＳ２３’，Ｓ３２’の処理内容を例示する。
≪第２実施形態の方法が用いられる場合（ステップＳ２３’）≫
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３２の処理を実行する。
ステップＳ２３２：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。
≪第２実施形態の方法が用いられる場合（ステップＳ２３’）≫
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３２の処理を実行する。
ステップＳ２３２：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ２３２の処理を実行する（ステップＳ２３２ａ～Ｓ２３２ｃ）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する。ただし、σ０，σ１は、それぞれ乗数ｍ０，ｍ１が大きい場合に必要となる右シフト量を表すビット数である正整数である（ステップＳ２３２ａ）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する。ただし、σ０，σ１は、それぞれ乗数ｍ０，ｍ１が大きい場合に必要となる右シフト量を表すビット数である正整数である（ステップＳ２３２ａ）。
秘密計算装置は、秘密分散値［ｘ］，［ｙ］，［ｚ］とステップＳ２３２ａで得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］／（２σ０／ｍ０），［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］／（２σ１／ｍ１）を行って、ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）をσ０ビットだけ右シフトした値の秘密分散値［ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒおよびｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）をσ１ビットだけ右シフトした値の秘密分散値［ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒを得て出力する（ステップＳ２３２ｂ）。
秘密計算装置は、秘密分散値［φ］，［ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒ，［ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒを用いた秘密計算によって、ｍφγ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）：ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。すなわち、秘密計算部はφ＝０の場合に［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝１の場合に［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する（ステップＳ２３２ｃ）。
≪第２実施形態の変形例の方法が用いられる場合（ステップＳ２３’）≫
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態の変形例のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３２’の処理を実行する。
ステップＳ２３２’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、φ＝１のときに（√２）γによる乗算と小数点位置の下降を行い、φ＝０のときにγによる乗算と小数点位置の下降を行って、秘密分散値［ｗ’］を得る。さらに、秘密計算部は、秘密分散値［ｗ’］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る。
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態の変形例のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３２’の処理を実行する。
ステップＳ２３２’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、φ＝１のときに（√２）γによる乗算と小数点位置の下降を行い、φ＝０のときにγによる乗算と小数点位置の下降を行って、秘密分散値［ｗ’］を得る。さらに、秘密計算部は、秘密分散値［ｗ’］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る。
秘密計算部は、例えば、以下のようにステップＳ２３２’の処理を実行する（ステップＳ２３２ａ’～Ｓ２３２ｅ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得る（ステップＳ２３２ａ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得る（ステップＳ２３２ａ’）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ２３２ｂ’）。
秘密計算装置は、秘密分散値［ｗ’／γ］とステップＳ２３２ｂ’で得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［ｗ’／γ］／（２σ０／γｍ０），［ｗ’／γ］／（２σ１／γｍ１）を行って、ｍ０ｗ’をσ０ビットだけ右シフトした値の秘密分散値［ｍ０ｗ’］ｒおよびｍ１ｗ’をσ１ビットだけ右シフトした値の秘密分散値［ｍ１ｗ’］ｒを得て出力する（ステップＳ２３２ｃ’）。
秘密計算装置は、秘密分散値［φ］，［ｍ０ｗ’］ｒ，［ｍ１ｗ’］ｒを用いた秘密計算によって、ｍφｗ’の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０ｗ’：ｍ１ｗ’］を得て出力する。すなわち、秘密計算部はφ＝０の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［ｗ’］を得て出力し、φ＝１の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［（√２）ｗ’］を得て出力する（ステップＳ２３２ｄ’）。
秘密計算部は、秘密分散値［ｆｕｎｃ’（ｘ）］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る（ステップＳ２３２ｅ’）。
≪第３実施形態の方法が用いられる場合（ステップＳ３２’）≫
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２３の処理を実行する。
ステップＳ３２３：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２３の処理を実行する。
ステップＳ３２３：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ３２３の処理を実行する（ステップＳ３２３ａ～Ｓ３２３ｃ）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２３ａ）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２３ａ）。
秘密計算装置は、秘密分散値［ｘ］，［ｙ］とステップＳ３２３ａで得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］／（２σ０／ｍ０），［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］／（２σ１／ｍ１）を行って、ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）をσ０ビットだけ右シフトした値の秘密分散値［ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒおよびｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）をσ１ビットだけ右シフトした値の秘密分散値［ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒを得て出力する（ステップＳ３２３ｂ）。
秘密計算装置は、秘密分散値［φ］，［ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒ，［ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒを用いた秘密計算によって、ｍφγ（ｙ（ζｙ＋ｂ）＋ｃｘ）の秘密分散値［φ？ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）：ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。すなわち、秘密計算部はφ＝０の場合に［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝１の場合に［ｆｕｎｃ（ｘ）］＝［（√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する（ステップＳ３２３ｃ）。
≪第３実施形態の変形例の方法が用いられる場合（ステップＳ３２’）≫
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態の変形例のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２３’の処理を実行する。
秘密計算部は、上述のように［０．５，１）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態の変形例のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２３’の処理を実行する。
ステップＳ３２３’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得、φ＝１のときに（√２）γによる乗算と小数点位置の下降を行い、φ＝０のときにγによる乗算と小数点位置の下降を行って、秘密分散値［ｆｕｎｃ’（ｘ）］を得る。秘密計算部３２は、秘密分散値［ｆｕｎｃ’（ｘ）］と秘密分散値［ｘ］，［ｙ］を用いた秘密計算によって秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｋｙ＋ｓｘ＋ｍ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ３２３’の処理を実行する（ステップＳ３２３ａ’～Ｓ３２３ｃ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２３ａ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２３ａ’）。
秘密計算部は、乗数ｍ０＝１，ｍ１＝√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２３ｂ’）。
秘密計算部は、秘密分散値［ｗ’／γ］とステップＳ３２３ｂ’で得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［ｗ’／γ］／（２σ０／γｍ０），［ｗ’／γ］／（２σ１／γｍ１）を行って、ｍ０ｗ’をσ０ビットだけ右シフトした値の秘密分散値［ｍ０ｗ’］ｒおよびｍ１ｗ’をσ１ビットだけ右シフトした値の秘密分散値［ｍ１ｗ’］ｒを得て出力する（ステップＳ３２３ｃ’）。
秘密計算装置は、秘密分散値［φ］，［ｍ０ｗ’］ｒ，［ｍ１ｗ’］ｒを用いた秘密計算によって、ｍφｗ’の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０ｗ’：ｍ１ｗ’］を得て出力する。すなわち、秘密計算部はφ＝０の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［ｗ’］を得て出力し、φ＝１の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［（√２）ｗ’］を得て出力する（ステップＳ３２３ｄ’）。
秘密計算部は、秘密分散値［ｆｕｎｃ’（ｘ）］，［ｘ］，［ｙ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｋｙ＋ｓｘ＋ｍ）］を得て出力する（ステップＳ３２３ｅ’）。
＜実施例３：平方根関数の例＞
実施例３では、実数χの平方根√χの秘密分散値を計算する。平方根の逆数関数では、上述の逆数関数と同じ考え方で［１，２）に正規化する。実施例３では、実数χに対して以下の変形を行う。
つまり、実数χに２ｅを掛けて正規化し、２ｅχの平方根√（２ｅχ）を求めた後に√（２ｅ）で除する処理を秘密計算で行う。
実施例３では、実数χの平方根√χの秘密分散値を計算する。平方根の逆数関数では、上述の逆数関数と同じ考え方で［１，２）に正規化する。実施例３では、実数χに対して以下の変形を行う。
つまり、実数χに２ｅを掛けて正規化し、２ｅχの平方根√（２ｅχ）を求めた後に√（２ｅ）で除する処理を秘密計算で行う。
≪平方根用正規化プロトコル≫
入力:［χ］
出力:［ｘ］，［φ］，［ν’］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをιの位置に移動した値である。実施例３では、φは最後に計算値を√２で割る必要があるかどうかを表す真理値である。ν’は最後に掛けるべき２のべき乗値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビット（ｍｓｂ）χｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得る。この処理は前述したステップＳ４６と同じである。
３：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。ただし、ｃｅｉｌは天井関数である。
４：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により、各ｉ＜Ｌ’で、秘密分散値｛ωｉ｝＝｛η２ｉ｝（ＸＯＲ）｛η２ｉ＋１｝を得る。ただし、Ｌが奇数のとき、｛ωＬ－１｝＝｛η２ｉ｝とする。
５：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により秘密分散値｛φ｝＝｛η１｝（ＸＯＲ）｛η３｝（ＸＯＲ）｛η５｝（ＸＯＲ）…を得る。最後に計算値を√２で割る必要がある場合にはφ＝１であり、最後に計算値を√２で割る必要がない場合にはφ＝０である。
６：秘密計算装置は、秘密分散値｛φ｝を秘密分散値［φ］に変換する。
７：秘密計算装置は、秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を用いた秘密計算によるビット結合により、｛ω０｝，…，｛ωＬ’－１｝を結合して［ν’］を得て出力する。
８：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により、｛ηＬ－１｝，…，｛η０｝を結合して［ν］を得て出力する。
９：秘密計算装置は、秘密分散値［χ］，［ν］を用いた秘密計算により、秘密分散値［ｘ］＝［χ］［ν］を得て出力する。
入力:［χ］
出力:［ｘ］，［φ］，［ν’］
ただし、χを二進数表現した場合における小数点位置をιとすると、ｘはχのｍｓｂをιの位置に移動した値である。実施例３では、φは最後に計算値を√２で割る必要があるかどうかを表す真理値である。ν’は最後に掛けるべき２のべき乗値である。
１：秘密計算装置は、秘密分散値［χ］を用いた秘密計算によるビット分解により、χを二進数表現した場合のビット列χ０…χＬ－１に対するビット表現χ０，…，χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る。
２：秘密計算装置は、秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビット（ｍｓｂ）χｍｓｂに対応するビットηｍｓｂが１であり、ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得る。この処理は前述したステップＳ４６と同じである。
３：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。ただし、ｃｅｉｌは天井関数である。
４：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により、各ｉ＜Ｌ’で、秘密分散値｛ωｉ｝＝｛η２ｉ｝（ＸＯＲ）｛η２ｉ＋１｝を得る。ただし、Ｌが奇数のとき、｛ωＬ－１｝＝｛η２ｉ｝とする。
５：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により秘密分散値｛φ｝＝｛η１｝（ＸＯＲ）｛η３｝（ＸＯＲ）｛η５｝（ＸＯＲ）…を得る。最後に計算値を√２で割る必要がある場合にはφ＝１であり、最後に計算値を√２で割る必要がない場合にはφ＝０である。
６：秘密計算装置は、秘密分散値｛φ｝を秘密分散値［φ］に変換する。
７：秘密計算装置は、秘密分散値｛ω０｝，｛ω１｝，｛ω２｝，…，｛ωＬ－１｝を用いた秘密計算によるビット結合により、｛ω０｝，…，｛ωＬ’－１｝を結合して［ν’］を得て出力する。
８：秘密計算装置は、秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算により、｛ηＬ－１｝，…，｛η０｝を結合して［ν］を得て出力する。
９：秘密計算装置は、秘密分散値［χ］，［ν］を用いた秘密計算により、秘密分散値［ｘ］＝［χ］［ν］を得て出力する。
≪平方根プロトコル≫
入力：［χ］
出力：［√χ］
１：秘密計算装置は、上述の平方根用正規化プロトコルにより、実数χを［１，２）に正規化した値ｘの秘密分散値［ｘ］、および正規化の逆演算に必要な秘密分散値［ν’］，［φ］を得る。
２：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。
３：秘密計算装置は、Ｌが奇数ならφ’＝√２とし、偶数ならφ’＝１に設定する。
４：秘密計算部は、第２実施形態もしくは３実施形態またはそれらの変形例の方法を用いて、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、ｆｕｎｃ（ｘ）はｘの平方根関数を近似する多項式である。また、ステップＳ２３ではφ＝１のときにγがγφ’／√２に置換され、φ＝０のときにγがγφ’に置換される（ステップＳ２３”）。同様に、ステップＳ３２ではφ＝１のときにγが（φ’／√２）γに置換され、φ＝０のときにγがφ’γに置換される（ステップＳ３２”）。ステップＳ２３”，Ｓ３２”の処理の詳細は後述する。
５：秘密計算部は、秘密分散値［ｆｕｎｃ（ｘ）］，［ν’］を用いた秘密計算によって、秘密分散値［√χ］＝［ｆｕｎｃ（ｘ）］［ν’］を得て出力する。
入力：［χ］
出力：［√χ］
１：秘密計算装置は、上述の平方根用正規化プロトコルにより、実数χを［１，２）に正規化した値ｘの秘密分散値［ｘ］、および正規化の逆演算に必要な秘密分散値［ν’］，［φ］を得る。
２：秘密計算装置は、Ｌ’＝ｃｅｉｌ（Ｌ／２）を得る。
３：秘密計算装置は、Ｌが奇数ならφ’＝√２とし、偶数ならφ’＝１に設定する。
４：秘密計算部は、第２実施形態もしくは３実施形態またはそれらの変形例の方法を用いて、秘密計算によって、秘密分散値［ｘ］から秘密分散値［ｆｕｎｃ（ｘ）］を得る。ただし、ｆｕｎｃ（ｘ）はｘの平方根関数を近似する多項式である。また、ステップＳ２３ではφ＝１のときにγがγφ’／√２に置換され、φ＝０のときにγがγφ’に置換される（ステップＳ２３”）。同様に、ステップＳ３２ではφ＝１のときにγが（φ’／√２）γに置換され、φ＝０のときにγがφ’γに置換される（ステップＳ３２”）。ステップＳ２３”，Ｓ３２”の処理の詳細は後述する。
５：秘密計算部は、秘密分散値［ｆｕｎｃ（ｘ）］，［ν’］を用いた秘密計算によって、秘密分散値［√χ］＝［ｆｕｎｃ（ｘ）］［ν’］を得て出力する。
以下にステップＳ２３”，Ｓ３２”の処理内容を例示する。
≪第２実施形態の方法が用いられる場合（ステップＳ２３”）≫
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３４の処理を実行する。
ステップＳ２３４：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（γφ’／√２）（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γφ’（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。
≪第２実施形態の方法が用いられる場合（ステップＳ２３”）≫
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３４の処理を実行する。
ステップＳ２３４：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（γφ’／√２）（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［γφ’（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ２３４の処理を実行する（ステップＳ２３４ａ～Ｓ２３４ｃ）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ２３４ａ）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ２３４ａ）。
秘密計算装置は、秘密分散値［ｘ］，［ｙ］，［ｚ］とステップＳ２３４ａで得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］／（２σ０／ｍ０），［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］／（２σ１／ｍ１）を行って、ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）をσ０ビットだけ右シフトした値の秘密分散値［ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒおよびｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）をσ１ビットだけ右シフトした値の秘密分散値［ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒを得て出力する（ステップＳ２３４ｂ）。
秘密計算装置は、秘密分散値［φ］，［ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒ，［ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］ｒを用いた秘密計算によって、ｍφγ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）：ｍ１γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する。すなわち、秘密計算部はφ＝０の場合に［ｆｕｎｃ（ｘ）］＝［φ’γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力し、φ＝１の場合に［ｆｕｎｃ（ｘ）］＝［（φ’／√２）γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する（ステップＳ２３４ｃ）。
≪第２実施形態の変形例の方法が用いられる場合（ステップＳ２３”）≫
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態の変形例のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３４’の処理を実行する。
ステップＳ２３４’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、φ＝１のときにγφ’／√２による乗算と小数点位置の下降を行い、φ＝０のときにγφ’による乗算と小数点位置の下降を行って、秘密分散値［ｗ’］を得る。さらに、秘密計算部は、秘密分散値［ｗ’］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る。
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第２実施形態の変形例のステップＳ１０，Ｓ１１，Ｓ２２を実行する。その後、秘密計算部は、ステップＳ２３に代えて以下のステップＳ２３４’の処理を実行する。
ステップＳ２３４’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］，［φ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得、φ＝１のときにγφ’／√２による乗算と小数点位置の下降を行い、φ＝０のときにγφ’による乗算と小数点位置の下降を行って、秘密分散値［ｗ’］を得る。さらに、秘密計算部は、秘密分散値［ｗ’］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｗ’＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る。
秘密計算部は、例えば、以下のようにステップＳ２３４’の処理を実行する（ステップＳ２３４ａ’～Ｓ２３４ｅ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得る（ステップＳ２３４ａ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］，［ｚ］を用いた積和の秘密計算により秘密分散値［ｗ’／γ］＝［ｚ（αｚ＋ｄ-ｎ／γ）＋（βｘ＋ｆ-ｏ／γ）ｙ＋（ｇ-ｐ）ｘ＋（Ｈ-ｑ）／γ］を得る（ステップＳ２３４ａ’）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ２３４ｂ’）。
秘密計算装置は、秘密分散値［ｗ’／γ］とステップＳ２３４ｂ’で得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［ｗ’／γ］／（２σ０／γｍ０），［ｗ’／γ］／（２σ１／γｍ１）を行って、ｍ０ｗ’をσ０ビットだけ右シフトした値の秘密分散値［ｍ０ｗ’］ｒおよびｍ１ｗ’をσ１ビットだけ右シフトした値の秘密分散値［ｍ１ｗ’］ｒを得て出力する（ステップＳ２３４ｃ’）。
秘密計算装置は、秘密分散値［φ］，［ｍ０ｗ’］ｒ，［ｍ１ｗ’］ｒを用いた秘密計算によって、ｍφｗ’の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０ｗ’：ｍ１ｗ’］を得て出力する。すなわち、秘密計算部はφ＝０の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［φ’ｗ’］を得て出力し、φ＝１の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［（φ’／√２）ｗ’］を得て出力する（ステップＳ２３４ｄ’）。
秘密計算部は、秘密分散値［ｆｕｎｃ’（ｘ）］，［ｘ］，［ｙ］，［ｚ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｎｚ＋ｏｙ＋ｐｘ＋ｑ）］を得る（ステップＳ２３４ｅ’）。
≪第３実施形態の方法が用いられる場合（ステップＳ３２”）≫
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２５の処理を実行する。
ステップＳ３２５：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（φ’／√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［φ’γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２５の処理を実行する。
ステップＳ３２５：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた秘密計算により、φ＝１のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［（φ’／√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝０のときに秘密分散値［ｆｕｎｃ（ｘ）］＝［φ’γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ３２５の処理を実行する（ステップＳ３２５ａ～Ｓ３２５ｃ）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２５ａ）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２５ａ）。
秘密計算装置は、秘密分散値［ｘ］，［ｙ］とステップＳ３２５ａで得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］／（２σ０／ｍ０），［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］／（２σ１／ｍ１）を行って、ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）をσ０ビットだけ右シフトした値の秘密分散値［ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒおよびｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）をσ１ビットだけ右シフトした値の秘密分散値［ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒを得て出力する（ステップＳ３２５ｂ）。
秘密計算装置は、秘密分散値［φ］，［ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒ，［ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］ｒを用いた秘密計算によって、ｍφγ（ｙ（ζｙ＋ｂ）＋ｃｘ）の秘密分散値［φ？ｍ０γ（ｙ（ζｙ＋ｂ）＋ｃｘ）：ｍ１γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する。すなわち、秘密計算部はφ＝０の場合に［ｆｕｎｃ（ｘ）］＝［φ’γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力し、φ＝１の場合に［ｆｕｎｃ（ｘ）］＝［（φ’／√２）γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する（ステップＳ３２５ｃ）。
≪第３実施形態の変形例の方法が用いられる場合（ステップＳ３２”）≫
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態の変形例のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２５’の処理を実行する。
秘密計算部は、上述のように［１，２）に正規化した値ｘの秘密分散値［ｘ］に対し、前述した第３実施形態の変形例のステップＳ１０，Ｓ１１を実行する。その後、秘密計算部は、ステップＳ３２に代えて以下のステップＳ３２５’の処理を実行する。
ステップＳ３２５’：秘密計算部は、秘密分散値［ｘ］，［ｙ］，［φ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得、φ＝１のときに（φ’／√２）γによる乗算と小数点位置の下降を行い、φ＝０のときにφ’γによる乗算と小数点位置の下降を行って、秘密分散値［ｆｕｎｃ’（ｘ）］を得る。秘密計算部３２は、秘密分散値［ｆｕｎｃ’（ｘ）］と秘密分散値［ｘ］，［ｙ］を用いた秘密計算によって秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｋｙ＋ｓｘ＋ｍ）］を得て出力する。
秘密計算部は、例えば、以下のようにステップＳ３２５’の処理を実行する（ステップＳ３２５ａ’～Ｓ３２５ｃ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２５ａ’）。
秘密計算部は、秘密分散値［ｘ］，［ｙ］を用いた積和の秘密計算により［ｚ’／γ］＝［ｙ（ζｙ＋ｂ－ｋ／γ）＋（ｃ－ｓ／γ）ｘ－ｍ／γ］を得る（ステップＳ３２５ａ’）。
秘密計算部は、乗数ｍ０＝φ’，ｍ１＝φ’／√２および正整数σ０，σ１を用いて公開値２σ０／ｍ０，２σ１／ｍ１を得て出力する（ステップＳ３２５ｂ’）。
秘密計算部は、秘密分散値［ｗ’／γ］とステップＳ３２５ｂ’で得られた公開値２σ０／ｍ０，２σ１／ｍ１とを用いた公開値除算の秘密計算［ｗ’／γ］／（２σ０／γｍ０），［ｗ’／γ］／（２σ１／γｍ１）を行って、ｍ０ｗ’をσ０ビットだけ右シフトした値の秘密分散値［ｍ０ｗ’］ｒおよびｍ１ｗ’をσ１ビットだけ右シフトした値の秘密分散値［ｍ１ｗ’］ｒを得て出力する（ステップＳ３２５ｃ’）。
秘密計算装置は、秘密分散値［φ］，［φ’］，［ｍ０ｗ’］ｒ，［ｍ１ｗ’］ｒを用いた秘密計算によって、ｍφｗ’の秘密分散値［ｆｕｎｃ（ｘ）］＝［φ？ｍ０ｗ’：ｍ１ｗ’］を得て出力する。すなわち、秘密計算部はφ＝０の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［φ’ｗ’］を得て出力し、φ＝１の場合に秘密分散値［ｆｕｎｃ’（ｘ）］＝［（φ’／√２）ｗ’］を得て出力する（ステップＳ３２５ｄ’）。
秘密計算部は、秘密分散値［ｆｕｎｃ’（ｘ）］，［ｘ］，［ｙ］を用いた秘密計算により秘密分散値［ｆｕｎｃ（ｘ）］＝［ｆｕｎｃ’（ｘ）＋（ｋｙ＋ｓｘ＋ｍ）］を得て出力する（ステップＳ３２５ｅ’）。
＜実施例４：指数関数の例＞
実施例４では、実数ｘの指数関数値ｅｘｐ（ｘ）の秘密分散値を計算する。指数関数は入力に加法性があるため、入力を以下の３パートに分解する。
I．想定される入力の最小値μ
II.ｘ-μの小数点以下ｔビット以上の上位ｕビットｘ０，…，ｘｕ-１
III．ｘ-μのｘ０よりも下位ビット全体が表す数ｘρ
ｅｘｐ ｘ＝ｅｘｐ μ ｅｘｐ ２-ｔｘ０，…，ｅｘｐ ２ｕ-ｔ-１ｘｕ-１ｅｘｐ ｘρとする。ｅｘｐ μは公開値、ｅｘｐ ２-ｔｘ０，・・・，ｅｘｐ ２ｕ-ｔ-１ｘｕ-１は表による計算である。ｅｘｐ ｘρが近似により計算する箇所であり、［０，２-ｔ）に正規化される。
入力：［ｘ］
出力：［ｅｘｐ（ｘ）］
設定済のパラメータ：ｔ＝-１
１：秘密計算装置は、秘密計算によって［ｘ’］＝［ｘ］-μを得る。ただし、μは想定されるｘの最小値である。
２：秘密計算装置は、秘密計算により、小数点以下ｔビットより上位のビットをビット分解で取り出してｍｏｄ ｐ変換し、［ｘ’０］，…，［ｘ’ｕ-１］を得る。
３：秘密計算装置は、秘密計算により、各０≦ｉ＜ｕで、ｆｉ，εｉをそれぞれｅｘｐ（２ｉ-ｔ）の仮数部、指数部とする。
４：秘密計算装置は、秘密計算によって、ｉ＝０，…，ｕ－１について、ｘ’ｉ’＝０ならばＦｉ＝１、ｘ’ｉ’＝１ならばＦｉ＝ｆｉとした
を得る。
５：秘密計算装置は、秘密計算によって、各０≦ｉ＜ｕで、選択肢公開のｉｆ－ｔｈｅｎ－ｅｌｓｅゲートにより［ε’ｉ］＝ｉｆ［ｘ’ｉ］ ｔｈｅｎ ２εｉ ｅｌｓｅ １を計算する。
６：秘密計算装置は、秘密計算によって、各ｉに関する［ε’ｉ］の積［ε’］を得る（ε’＝ε’０…ε’ｕ－１）。これはｅｘｐ（ｘ’）の上位ビット部分の指数部の２のべき乗値である。
７：秘密計算装置は、秘密計算によって、
を得る。これはｅｘｐ（ｘ’）の下位ビット部分の表す数である。
８：秘密計算装置は、秘密計算によって、秘密分散値［ｘ’ρ］から秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。ただし、ｗ＝ｆｕｎｃ（ｘ）はｘの指数関数ｅｘｐ ｘを近似する多項式である。秘密計算装置は、例えば、ｘ＝ｘ’ρとした第１～３実施形態またはその変形例の方法を用いて秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。
９：秘密計算装置は、秘密計算によって、［ｗ］［ｆ’］［ε’］ｅｘｐ（μ）を得て出力する。例えば、秘密計算装置は、秘密計算によって、公開値２σ／ｅｘｐ（μ）を得、秘密分散値［ｗ］［ｆ’］［ε’］と得られた公開値２σ／ｅｘｐ（μ）とを用いた公開値除算の秘密計算［ｗ］［ｆ’］［ε’］／（２σ／ｅｘｐ（μ））を行って、ｗｆ’ε’ｅｘｐ（μ）をαビットだけ右シフトした値の秘密分散値［ｗ］［ｆ’］［ε’］ｅｘｐ（μ）を得て出力する。
実施例４では、実数ｘの指数関数値ｅｘｐ（ｘ）の秘密分散値を計算する。指数関数は入力に加法性があるため、入力を以下の３パートに分解する。
I．想定される入力の最小値μ
II.ｘ-μの小数点以下ｔビット以上の上位ｕビットｘ０，…，ｘｕ-１
III．ｘ-μのｘ０よりも下位ビット全体が表す数ｘρ
ｅｘｐ ｘ＝ｅｘｐ μ ｅｘｐ ２-ｔｘ０，…，ｅｘｐ ２ｕ-ｔ-１ｘｕ-１ｅｘｐ ｘρとする。ｅｘｐ μは公開値、ｅｘｐ ２-ｔｘ０，・・・，ｅｘｐ ２ｕ-ｔ-１ｘｕ-１は表による計算である。ｅｘｐ ｘρが近似により計算する箇所であり、［０，２-ｔ）に正規化される。
入力：［ｘ］
出力：［ｅｘｐ（ｘ）］
設定済のパラメータ：ｔ＝-１
１：秘密計算装置は、秘密計算によって［ｘ’］＝［ｘ］-μを得る。ただし、μは想定されるｘの最小値である。
２：秘密計算装置は、秘密計算により、小数点以下ｔビットより上位のビットをビット分解で取り出してｍｏｄ ｐ変換し、［ｘ’０］，…，［ｘ’ｕ-１］を得る。
３：秘密計算装置は、秘密計算により、各０≦ｉ＜ｕで、ｆｉ，εｉをそれぞれｅｘｐ（２ｉ-ｔ）の仮数部、指数部とする。
４：秘密計算装置は、秘密計算によって、ｉ＝０，…，ｕ－１について、ｘ’ｉ’＝０ならばＦｉ＝１、ｘ’ｉ’＝１ならばＦｉ＝ｆｉとした
を得る。
５：秘密計算装置は、秘密計算によって、各０≦ｉ＜ｕで、選択肢公開のｉｆ－ｔｈｅｎ－ｅｌｓｅゲートにより［ε’ｉ］＝ｉｆ［ｘ’ｉ］ ｔｈｅｎ ２εｉ ｅｌｓｅ １を計算する。
６：秘密計算装置は、秘密計算によって、各ｉに関する［ε’ｉ］の積［ε’］を得る（ε’＝ε’０…ε’ｕ－１）。これはｅｘｐ（ｘ’）の上位ビット部分の指数部の２のべき乗値である。
７：秘密計算装置は、秘密計算によって、
を得る。これはｅｘｐ（ｘ’）の下位ビット部分の表す数である。
８：秘密計算装置は、秘密計算によって、秘密分散値［ｘ’ρ］から秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。ただし、ｗ＝ｆｕｎｃ（ｘ）はｘの指数関数ｅｘｐ ｘを近似する多項式である。秘密計算装置は、例えば、ｘ＝ｘ’ρとした第１～３実施形態またはその変形例の方法を用いて秘密分散値［ｗ］＝［ｆｕｎｃ（ｘ）］を得る。
９：秘密計算装置は、秘密計算によって、［ｗ］［ｆ’］［ε’］ｅｘｐ（μ）を得て出力する。例えば、秘密計算装置は、秘密計算によって、公開値２σ／ｅｘｐ（μ）を得、秘密分散値［ｗ］［ｆ’］［ε’］と得られた公開値２σ／ｅｘｐ（μ）とを用いた公開値除算の秘密計算［ｗ］［ｆ’］［ε’］／（２σ／ｅｘｐ（μ））を行って、ｗｆ’ε’ｅｘｐ（μ）をαビットだけ右シフトした値の秘密分散値［ｗ］［ｆ’］［ε’］ｅｘｐ（μ）を得て出力する。
［各初等関数に関する計算済みのパラメータの例］
図６に初等関数が逆数関数、平方根関数、平方根の逆数関数、指数関数、対数関数である場合の計算済みのパラメータを例示する。なお、ｅｘ，ｅｙ，ｅｚはそれぞれｘ，ｙ，ｚの小数点位置を示す。また、ｅ’ｘ，ｅ’ｙ，ｅ’ｚはそれぞれ右シフト前のｘ’，ｙ’，ｚ’の小数点位置を示す。これらの小数点位置は、下位ビットから数えた小数点位置のビット位置を表す。このビット位置を表す値は０から始まり、下位ビットから数えてｅ１ビット目が１を表すときに、小数点位置がｅ１であると表記する。
図６に初等関数が逆数関数、平方根関数、平方根の逆数関数、指数関数、対数関数である場合の計算済みのパラメータを例示する。なお、ｅｘ，ｅｙ，ｅｚはそれぞれｘ，ｙ，ｚの小数点位置を示す。また、ｅ’ｘ，ｅ’ｙ，ｅ’ｚはそれぞれ右シフト前のｘ’，ｙ’，ｚ’の小数点位置を示す。これらの小数点位置は、下位ビットから数えた小数点位置のビット位置を表す。このビット位置を表す値は０から始まり、下位ビットから数えてｅ１ビット目が１を表すときに、小数点位置がｅ１であると表記する。
［ハードウェア構成］
各実施形態における秘密計算装置１～４および各実施例における秘密計算装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。
各実施形態における秘密計算装置１～４および各実施例における秘密計算装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。
図５は、各実施形態における秘密計算装置１～４および各実施例における秘密計算装置のハードウェア構成を例示したブロック図である。図７に例示するように、この例の秘密計算装置１～４は、ＣＰＵ（Central Processing Unit）１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ（Random Access Memory）１０ｄ、ＲＯＭ（Read Only Memory）１０ｅ、補助記憶装置１０ｆ及びバス１０ｇを有している。この例のＣＰＵ１０ａは、制御部１０ａａ、演算部１０ａｂ及びレジスタ１０ａｃを有し、レジスタ１０ａｃに読み込まれた各種プログラムに従って様々な演算処理を実行する。また、出力部１０ｃは、データが出力される出力端子、ディスプレイ等、所定のプログラムを読み込んだＣＰＵ１０ａによって制御されるＬＡＮカード等である。また、ＲＡＭ１０ｄは、ＳＲＡＭ (Static Random Access Memory)、ＤＲＡＭ (Dynamic Random Access Memory)等であり、所定のプログラムが格納されるプログラム領域１０ｄａ及び各種データが格納されるデータ領域１０ｄｂを有している。また、補助記憶装置１０ｆは、例えば、ハードディスク、ＭＯ（Magneto-Optical disc）、半導体メモリ等であり、所定のプログラムが格納されるプログラム領域１０ｆａ及び各種データが格納されるデータ領域１０ｆｂを有している。また、バス１０ｇは、ＣＰＵ１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ１０ｄ、ＲＯＭ１０ｅ及び補助記憶装置１０ｆを、情報のやり取りが可能なように接続する。ＣＰＵ１０ａは、読み込まれたＯＳ（Operating System）プログラムに従い、補助記憶装置１０ｆのプログラム領域１０ｆａに格納されているプログラムをＲＡＭ１０ｄのプログラム領域１０ｄａに書き込む。同様にＣＰＵ１０ａは、補助記憶装置１０ｆのデータ領域１０ｆｂに格納されている各種データを、ＲＡＭ１０ｄのデータ領域１０ｄｂに書き込む。そして、このプログラムやデータが書き込まれたＲＡＭ１０ｄ上のアドレスがＣＰＵ１０ａのレジスタ１０ａｃに格納される。ＣＰＵ１０ａの制御部１０ａｂは、レジスタ１０ａｃに格納されたこれらのアドレスを順次読み出し、読み出したアドレスが示すＲＡＭ１０ｄ上の領域からプログラムやデータを読み出し、そのプログラムが示す演算を演算部１０ａｂに順次実行させ、その演算結果をレジスタ１０ａｃに格納していく。このような構成により、図１から図４に例示した秘密計算装置１～４および各実施例における秘密計算装置の機能構成が実現される。
上述のプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。上述のように、このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
各実施形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
なお、本発明は上述の実施形態に限定されるものではない。例えば、具体例を示した以外の初等関数を秘密計算を行う場合に本発明が用いられてもよい。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
本発明は、例えば、データを秘匿化しつつ秘密計算で行う機械学習やデータマイニングでの逆数関数、平方根関数、指数関数、対数関数などの初等関数の計算に利用できる。
１～４ 秘密計算装置
Claims (8)
- ｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算部と、
前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得て出力する第２秘密計算部と、
を有する秘密計算装置。 - ｘ，ｙ，ｚ，ｗが実数であり、ａ，ｂ，ｃ，ｄ，ｆ，ｇ，α，β，γ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算部と、
前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって秘密分散値［ｚ］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得る第２秘密計算部と、
前記秘密分散値［ｘ］、前記秘密分散値［ｙ］、および前記秘密分散値［ｚ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｗ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する第３秘密計算部と
を有する秘密計算装置。 - ｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，γ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算部と、
前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する第２秘密計算部と、
を有する秘密計算装置。 - 請求項１から３の何れかの秘密計算装置であって、
χが実数であり、ｐが正整数であり、Ｌが２以上の整数であり、［・］がｐを法とした剰余環上の要素・を線形秘密分散した秘密分散値であり、｛・｝が２を法とした剰余環上の要素・を線形秘密分散した秘密分散値であり、
前記実数χの秘密分散値［χ］を用いた秘密計算によって前記実数χのＬビット表現χ０…χＬ－１の秘密分散値｛χ０｝，…，｛χＬ－１｝を得る第５秘密計算部と、
前記秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、ビット列χ０…χＬ－１の最上位ビットχｍｓｂに対応するビットηｍｓｂが１であり、前記ビットηｍｓｂ以外のビットηξ（ξ∈｛０，…，Ｌ－１｝）が０であるｍｓｂフラグ列η０，…，ηＬ－１の秘密分散値｛η０｝，…，｛ηＬ－１｝を得る第６秘密計算部と、
前記秘密分散値｛χ０｝，…，｛χＬ－１｝を用いた秘密計算によって、０≦ｉ＜Ｌ－１における秘密分散値｛ρｉ｝＝｛ρｉ＋１∨χｉ｝および秘密分散値｛ρＬ－１｝＝｛χＬ－１｝を得る第７秘密計算部と、
前記秘密分散値｛ρ０｝，…，｛ρＬ－１｝を用いた秘密計算によって、ρ０，…，ρＬ－１のうち１である要素の個数を表すカウント値θの秘密分散値［θ］を得る第８秘密計算部と、
前記秘密分散値｛η０｝，…，｛ηＬ－１｝を用いた秘密計算によって前記ｍｓｂフラグ列η０，…，ηＬ－１をビット結合したｍｓｂフラグ値ν＝η０…ηＬ－１の秘密分散値［ν］を得る第９秘密計算部と、
前記秘密分散値［χ］および前記秘密分散値［ν］を用いた秘密計算によって秘密分散値［ｘ］＝［χ］［ν］を得る第１０秘密計算部と、
前記秘密分散値［ｆｕｎｃ（ｘ）］および前記秘密分散値［θ］を用いた秘密計算によって［ｌｏｇ χ］＝［ｆｕｎｃ（ｘ）］－［θ］を得て出力する第１１秘密計算部と、
を有する秘密計算装置。 - ｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
第１秘密計算部が、前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算ステップと、
第２秘密計算部が、前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得て出力する第２秘密計算ステップと、
を有する秘密計算方法。 - ｘ，ｙ，ｚ，ｗが実数であり、ａ，ｂ，ｃ，ｄ，ｆ，ｇ，α，β，γ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
第１秘密計算部が、前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算ステップと、
第２秘密計算部が、前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって秘密分散値［ｚ］＝［ｙ（ζｙ＋ｂ）＋ｃｘ］を得る第２秘密計算ステップと、
第３秘密計算部が、前記秘密分散値［ｘ］、前記秘密分散値［ｙ］、および前記秘密分散値［ｚ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｗ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｚ（αｚ＋ｄ）＋ｙ（βｘ＋ｆ）＋ｇｘ）］を得て出力する第３秘密計算ステップと
を有する秘密計算方法。 - ｘ，ｙ，ｚが実数であり、ａ，ｂ，ｃ，γ，δ，ζが実数係数であり、・の秘密分散値が［・］であり、
第１秘密計算部が、前記実数ｘの秘密分散値［ｘ］を用いた秘密計算によって秘密分散値［ｙ］＝［δｘ２＋ａｘ］を得る第１秘密計算ステップと、
第２秘密計算部が、前記秘密分散値［ｘ］および前記秘密分散値［ｙ］を用いた秘密計算によって前記実数ｘの初等関数近似値ｚ＝ｆｕｎｃ（ｘ）の秘密分散値［ｆｕｎｃ（ｘ）］＝［γ（ｙ（ζｙ＋ｂ）＋ｃｘ）］を得て出力する第２秘密計算ステップと、
を有する秘密計算方法。 - 請求項１から４の何れかの秘密計算装置としてコンピュータを機能させるためのプログラム。
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| PCT/JP2020/001681 WO2021149104A1 (ja) | 2020-01-20 | 2020-01-20 | 秘密計算装置、秘密計算方法、およびプログラム |
Publications (3)
| Publication Number | Publication Date |
|---|---|
| JPWO2021149104A1 JPWO2021149104A1 (ja) | 2021-07-29 |
| JPWO2021149104A5 JPWO2021149104A5 (ja) | 2022-08-29 |
| JP7290177B2 true JP7290177B2 (ja) | 2023-06-13 |
Family
ID=76992096
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| JP2021572126A Active JP7290177B2 (ja) | 2020-01-20 | 2020-01-20 | 秘密計算装置、秘密計算方法、およびプログラム |
Country Status (6)
| Country | Link |
|---|---|
| US (1) | US20220407682A1 (ja) |
| EP (1) | EP4095832A4 (ja) |
| JP (1) | JP7290177B2 (ja) |
| CN (1) | CN114981861A (ja) |
| AU (1) | AU2020425196B2 (ja) |
| WO (1) | WO2021149104A1 (ja) |
Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2019225531A1 (ja) | 2018-05-25 | 2019-11-28 | 日本電信電話株式会社 | 秘密一括近似システム、秘密計算装置、秘密一括近似方法、およびプログラム |
-
2020
- 2020-01-20 EP EP20915962.3A patent/EP4095832A4/en active Pending
- 2020-01-20 US US17/791,907 patent/US20220407682A1/en active Pending
- 2020-01-20 JP JP2021572126A patent/JP7290177B2/ja active Active
- 2020-01-20 WO PCT/JP2020/001681 patent/WO2021149104A1/ja unknown
- 2020-01-20 CN CN202080093455.6A patent/CN114981861A/zh active Pending
- 2020-01-20 AU AU2020425196A patent/AU2020425196B2/en active Active
Patent Citations (1)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| WO2019225531A1 (ja) | 2018-05-25 | 2019-11-28 | 日本電信電話株式会社 | 秘密一括近似システム、秘密計算装置、秘密一括近似方法、およびプログラム |
Non-Patent Citations (3)
| Title |
|---|
| GUO, C. et al.，Secure multiparty computation in floating-point arithmetic，arXiv，2001.03192v1，[online]，2020年01月09日，pp.1-31，<URL:https://arxiv.org/abs/2001.03192v1> |
| 三品気吹 他，高精度かつ高効率な秘密ロジスティック回帰の設計と実装，ＣＳＳ２０１８ コンピュータセキュリティシンポジウム２０１８論文集，2018年10月15日，pp.1229-1236 |
| 高田敏行 他，準同型暗号を用いた経験損失最小化のための秘密精度保証，電子情報通信学会技術研究報告 Ｖｏｌ．１１５ Ｎｏ．３２３ IEICE Technical Report，第115巻 第323号，pp.249-256 |
Also Published As
| Publication number | Publication date |
|---|---|
| JPWO2021149104A1 (ja) | 2021-07-29 |
| AU2020425196A1 (en) | 2022-07-14 |
| CN114981861A (zh) | 2022-08-30 |
| EP4095832A1 (en) | 2022-11-30 |
| US20220407682A1 (en) | 2022-12-22 |
| EP4095832A4 (en) | 2023-10-18 |
| WO2021149104A1 (ja) | 2021-07-29 |
| AU2020425196B2 (en) | 2023-06-08 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| US20170192752A1 (en) | Partial stochastic rounding that includes sticky and guard bits | |
| JPWO2019087317A1 (ja) | 秘密計算装置、システム、方法、プログラム | |
| US10031846B1 (en) | Transposition of two-dimensional arrays using single-buffering | |
| JP7290177B2 (ja) | 秘密計算装置、秘密計算方法、およびプログラム | |
| US7366745B1 (en) | High-speed function approximation | |
| JP7091930B2 (ja) | テンソルデータ計算装置、テンソルデータ計算方法及びプログラム | |
| JP7290178B2 (ja) | 秘密計算装置、秘密計算方法、およびプログラム | |
| JP7318743B2 (ja) | 秘密計算装置、秘密計算方法、およびプログラム | |
| US11068458B2 (en) | Mechanism for distributed-system-aware difference encoding/decoding in graph analytics | |
| JP7205623B2 (ja) | 秘密共役勾配法計算システム、秘密計算装置、共役勾配法計算装置、秘密共役勾配法計算方法、共役勾配法計算方法、およびプログラム | |
| CN109614072B (zh) | 对素数取模、素域中模乘运算的实现方法和装置 | |
| JP7331951B2 (ja) | 秘密平方根計算システム、秘密正規化システム、それらの方法、秘密計算装置、およびプログラム | |
| JP7331953B2 (ja) | 秘密逆数計算システム、秘密正規化システム、それらの方法、秘密計算装置、およびプログラム | |
| CN114003197A (zh) | 利用梅森数或者费马数快速计算模运算的技术和应用 | |
| WO2021149103A1 (ja) | 秘密計算装置、秘密計算方法、およびプログラム | |
| JP7331952B2 (ja) | 秘密平方根逆数計算システム、秘密正規化システム、それらの方法、秘密計算装置、およびプログラム | |
| JP7351353B2 (ja) | 秘密指数関数計算システム、秘密指数関数計算方法、秘密計算装置、およびプログラム | |
| JP7405156B2 (ja) | 秘密選択積計算システム、秘密選択積計算方法、秘密計算装置、およびプログラム | |
| JP7173328B2 (ja) | 秘密除算システム、秘密計算装置、秘密除算方法、およびプログラム | |
| CN116738494B (zh) | 基于秘密分享的多方安全计算的模型训练方法和装置 | |
| CN114186186B (zh) | 矩阵计算方法及相关设备 | |
| JP2005128832A (ja) | データ処理装置と剰余演算回路 | |
| Kanasugi et al. | Hardware implementation of evolutionary algorithms using dynamic reconfiguration technology |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| A521 | Request for written amendment filed |
Free format text: JAPANESE INTERMEDIATE CODE: A523 Effective date: 20220627 |
|
| A621 | Written request for application examination |
Free format text: JAPANESE INTERMEDIATE CODE: A621 Effective date: 20220627 |
|
| TRDD | Decision of grant or rejection written | ||
| A01 | Written decision to grant a patent or to grant a registration (utility model) |
Free format text: JAPANESE INTERMEDIATE CODE: A01 Effective date: 20230502 |
|
| A61 | First payment of annual fees (during grant procedure) |
Free format text: JAPANESE INTERMEDIATE CODE: A61 Effective date: 20230515 |
|
| R150 | Certificate of patent or registration of utility model |
Ref document number: 7290177 Country of ref document: JP Free format text: JAPANESE INTERMEDIATE CODE: R150 |