JP7334789B2 - 秘密計算システム、秘密計算サーバ、補助サーバ、秘密計算方法及びプログラム - Google Patents

Description

本発明は、秘密計算システム、秘密計算サーバ、補助サーバ、秘密計算方法及びプログラムに関する。

近年、秘密計算と称される技術の研究開発が盛んに行われている（例えば、特許文献１や非特許文献１参照）。秘密計算は、第３者に対して計算過程とその結果を秘匿しつつ所定の処理を実行する技術である。秘密計算では、データを複数のサーバ（秘密計算サーバ）に分散配置し、当該データに対して任意の演算を実行することができる。

非特許文献２や非特許文献３には、ビット分解やビット結合等の秘密計算にて用いられる型変換処理が記載されている。

国際公開２０１５／０５３１８５号

Toshinori ARAKI, et al、"High-Throughput Semi-Honest Secure Three-Party Computation with an Honest Majority"、Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2016. p. 805-817、2016 Toshinori ARAKI, et al、"Generalizing the SPDZ Compiler For Other Protocols. "、Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2018. p. 880-895、2018 Toshinori ARAKI, et al、"How to Choose Suitable Secure Multiparty Computation Using Generalized SPDZ"、CCS ’18, October 15-19, 2018

秘密計算は、任意の演算を実行することが可能であるが、データが複数の秘密計算サーバに分散配置されているという特殊性から秘密計算に特有な処理が存在する。上記非特許文献３等に開示された型変換の１つである「ビット埋め込み」も秘密計算に特有な処理といえる。秘密計算において、特定のアプリケーションの実現にあたりビット埋め込みをサブルーチンとして実行することがある。とりわけ、ビット埋め込みを並列に実行することがある。ビット埋め込みを並列に実行すると、並列度（並列に実行するビット埋め込みに関するサブルーチンの個数）に比例して秘密計算サーバ間の通信量が増加してしまう。

本発明は、ビット埋め込みが並列実行される際の効率的な処理を実現する、秘密計算システム、秘密計算サーバ、補助サーバ、秘密計算方法及びプログラムを提供することを主たる目的とする。

本発明の第１の視点によれば、少なくとも３台以上の秘密計算サーバと、前記少なくとも３台以上の秘密計算サーバと接続された補助サーバと、を含み、前記少なくとも３台以上の秘密計算サーバのそれぞれは、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信し、前記補助サーバは、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散し、前記少なくとも３台以上の秘密計算サーバのそれぞれは、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算システムが提供される。

本発明の第２の視点によれば、補助サーバと接続され、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信し、前記補助サーバから、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得し、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算サーバが提供される。

本発明の第３の視点によれば、少なくとも３台以上の秘密計算サーバと接続され、前記少なくとも３台以上の秘密計算サーバのそれぞれが送信する、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を受信し、受信したキャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散する、補助サーバが提供される。

本発明の第４の視点によれば、少なくとも３台以上の秘密計算サーバと、前記少なくとも３台以上の秘密計算サーバと接続された補助サーバと、を含む秘密計算システムにおいて、前記少なくとも３台以上の秘密計算サーバのそれぞれが、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信するステップと、前記補助サーバが、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散するステップと、
前記少なくとも３台以上の秘密計算サーバのそれぞれが、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換するステップと、を含む、秘密計算方法が提供される。

本発明の第５の視点によれば、コンピュータに、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信する処理と、前記補助サーバから、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得する処理と、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する処理と、を実行させるプログラムが提供される。

本発明の各視点によれば、ビット埋め込みが並列実行される際の効率的な処理を実現する、秘密計算システム、秘密計算サーバ、補助サーバ、秘密計算方法及びプログラムが提供される。なお、本発明により、当該効果の代わりに、又は当該効果と共に、他の効果が奏されてもよい。

一実施形態の概要を説明するための図である。 第１の実施形態に係る秘密計算システムの概略構成の一例を示す図である。 算術上の排他的論理和を説明するための図である。 第１の実施形態に係る制御サーバの処理構成の一例を示す図である。 第１の実施形態に係る秘密計算サーバの処理構成の一例を示す図である。 第１の実施形態に係る補助サーバの処理構成の一例を示す図である。 第１の実施形態に係る秘密計算システムの動作の一例を示すシーケンス図である。 秘密計算サーバのハードウェア構成の一例を示す図である。

はじめに、一実施形態の概要について説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、この概要の記載はなんらの限定を意図するものではない。なお、本明細書及び図面において、同様に説明されることが可能な要素については、同一の符号を付することにより重複説明が省略され得る。

一実施形態に係る秘密計算システムは、少なくとも３台以上の秘密計算サーバ１０１と、少なくとも３台以上の秘密計算サーバ１０１と接続された補助サーバ１０２と、を含む（図１参照）。少なくとも３台以上の秘密計算サーバ１０１のそれぞれは、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を補助サーバ１０２に送信する。補助サーバ１０２は、受信したキャリー計算情報に基づいてキャリーを計算し、計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算する。補助サーバ１０２は、計算された調整値を少なくとも３台以上の秘密計算サーバ１０１に分散する。少なくとも３台以上の秘密計算サーバ１０１のそれぞれは、調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する。

詳細については後述するが、論理演算のシェアを算術演算のシェアに変換するビット埋め込みでは、算術上の排他的論理和を計算する必要がある。この算術上の排他的論理和を計算する際に乗算が必要となる。秘密計算では、乗算を計算するためには秘密計算サーバ１０１の間で相互に通信する必要がある。当該通信は、ビット埋め込みごとに生じるものであるから、ビット結合のように複数のビット埋め込み処理が並列に実行されると通信量が増加してしまう。

このような不都合を解消するため、上記秘密計算システムでは、秘密計算サーバ１０１の動作を補助する補助サーバ１０２を活用する。補助サーバ１０２は、上記算術上の排他的論理和を実行せず、算術演算のシェアを単に加算した場合に桁上がりが発生するか否かを、キャリーを計算することで検出する。補助サーバ１０２は、桁上がりが発生する場合には、当該桁上がりをキャンセルするような調整値を生成し、秘密計算サーバ１０１に分散する。秘密計算サーバ１０１は、取得した調整値を用いて算術演算のシェアを加算することで、桁上がりの影響を排除し、整合性の取れた計算結果（ビット埋め込みの結果）を効率的に得ることができる。

以下に具体的な実施形態について、図面を参照してさらに詳しく説明する。

［第１の実施形態］
第１の実施形態について、図面を用いてより詳細に説明する。

［システム構成］
図２は、第１の実施形態に係る秘密計算システムの概略構成の一例を示す図である。図２を参照すると、秘密計算システムは、制御サーバ１０と、秘密計算サーバ２０－１～２０－３と、補助サーバ３０と、を含んで構成される。なお、以降の説明において、秘密計算サーバ２０－１～２０－３を区別する特段の理由がない場合には単に「秘密計算サーバ２０」と表記する。

制御サーバ１０、秘密計算サーバ２０及び補助サーバ３０は、相互に通信可能なように有線又は無線により接続されている。

制御サーバ１０は、秘密計算サーバ２０における秘密計算を制御する装置である。具体的には、制御サーバ１０は、秘密計算サーバ２０に対するデータの入力及び出力を制御する。

秘密計算サーバ２０は、秘密計算を実行する装置である。秘密計算サーバ２０は、制御サーバ１０から取得したデータ（秘密分散するデータ）に対して所定の処理を実行する。当該所定の処理としては、取得したデータ同士の演算や取得したデータを検索キーとするデータベースの検索等が例示される。秘密計算サーバ２０は、他の秘密計算サーバ２０と協働して上記所定の処理を実行する。その際、秘密計算サーバ２０は、他の秘密計算サーバ２０との間でデータの送受信を行う。

秘密計算サーバ２０は、（２、３）閾値のアクセス構造を有する複製秘密分散（以下、（２、３）秘密分散と表記する）を用いた秘密計算を実行する。（２、３）秘密分散では、入力されたデータ（秘密情報）から３つの分散情報（シェア）が生成される。（２、３）秘密分散では、分散情報を閾値（＝２）以上の個数を集めることにより元の値（秘密情報）が復元される。即ち、２つ以上の分散情報から元の値を復元することができるが、１つ以下の分散情報から元の値は得られない。

秘密計算サーバ２０は、計算結果を制御サーバ１０に送信（応答）する。秘密計算サーバ２０は、計算結果を制御サーバ１０とは異なる装置に送信してもよい。

補助サーバ３０は、秘密計算サーバ２０による秘密計算を保持する装置である。詳細については、後述するが、補助サーバ３０は、秘密計算サーバ２０がビット埋め込みを効率的に実行できるように動作する。なお、補助サーバ３０は、「セミオネストな攻撃者」であると想定する。セミオネストな攻撃者とは、秘密計算にて定められたプロトコルに従う範囲で可能な限り情報を取得しようとする攻撃者である。

なお、図２に示す構成は例示であって秘密計算システムの構成を限定する趣旨ではない。秘密計算システムには、少なくとも３台以上の秘密計算サーバ２０が含まれていればよい。また、図２には制御サーバ１０を図示しているが、秘密計算に用いられる値が予め秘密計算サーバ２０に分散配置されている場合等には、制御サーバ１０が不要な場合もある。

［記法］
記法の定義を行う。

２を法とする剰余類環を、

とする。

２^ｋを法とする剰余類環を、

とする（ｋは自然数、以下同じ）。

２を法とする剰余類環に属するシェアを［ｘ］と表記する。２^ｋを法とする剰余類環に属するシェアを［ｘ］^ｋと表記する。２を法とする剰余類環に属するシェアは「ビットのシェア」又は「論理演算のシェア」とも表記する。２^ｋを法とする剰余類環に属するシェアは「リングのシェア」又は「算術演算のシェア」とも表記する。

続いて、本願開示に関わる秘密計算の型変換に関する説明を行う。秘密計算の型変換には、「ビット分解（bit decomposition）」、「ビット埋め込み（bit injection）」、「ビット結合（bit recomposition）」が存在する。

［ビット分解］
ビット分解とは、算術演算向けの分散情報を論理演算向けの分散情報に変換する処理である。ビット分解は、秘密分散された値を１０進数のシェアから２進数のシェアに変換する。

例えば、整数「５」が秘密計算サーバ２０に分散配置される場合を考える。この場合、法を８（２^３）とすれば、整数５は、ｘ＝ｘ_１＋ｘ_２＋ｘ_３ ｍｏｄ２^３を満たすように分散される。例えば、整数５はｘ_１＝１、ｘ_２＝２、ｘ_３＝２のように分散される。なお、算術演算のシェアが満たすべきフォーマットは下記の式（１）のとおりである。なお、「ｍｏｄ」は剰余演算である。

上記のように分散された場合、各パーティ（秘密計算サーバ２０）は、以下のような情報を保持することになる。

・秘密計算サーバ２０－１：（ｘ_１、ｘ_２）＝（１、２）
・秘密計算サーバ２０－２：（ｘ_２、ｘ_３）＝（２、２）
・秘密計算サーバ２０－３：（ｘ_３、ｘ_１）＝（２、１）

次に、各秘密計算サーバ２０が保持するシェアの要素（サブシェア）が２進数に変換され、当該２進数に変換されたビットの各桁が取り出される。具体的には、（ｘ_ｉ、ｘ_ｉ＋１）からｊビット目が切り出される。なお、本願開示において、ｉは秘密計算サーバ２０を特定するサフィックス（ｉ＝１、２、３）である。ｉ＝３の場合には、ｉ＋１＝４＝１とする。ｊは２進数の桁を示す０以上、ｋ－１以下の整数である。また、本願開示において、数値の前に記載した「ｂ」は当該数値が２進数表記されていることを示す。

上記の例では、ｘ_１＝１の２進数表記はｂ００１であり、０ビット目（最下位ビット）の１、１ビット目の０、２ビット目の０が取り出される。同様に、ｘ_２＝ｘ_３＝２の２進数表記はｂ０１０であり、０ビット目の０、１ビット目の１、２ビット目の０が取り出される。なお、ｊビット目のシェアを切り出す動作は秘密計算サーバ２０間の通信は不要である。

各秘密計算サーバ２０が取り出したｊビット目のシェアは下記の通り記載できる。
・秘密計算サーバ２０－１：（ｘ_１｜_ｊ、ｘ_２｜_ｊ）
・秘密計算サーバ２０－２：（ｘ_２｜_ｊ、ｘ_３｜_ｊ）
・秘密計算サーバ２０－３：（ｘ_３｜_ｊ、ｘ_１｜_ｊ）

ｊ＝０の場合は、
・秘密計算サーバ２０－１：（ｘ_１｜_０、ｘ_２｜_０）＝（１、０）
・秘密計算サーバ２０－２：（ｘ_２｜_０、ｘ_３｜_０）＝（０、０）
・秘密計算サーバ２０－３：（ｘ_３｜_０、ｘ_１｜_０）＝（０、１）
となる。

ｊ＝１の場合は、
・秘密計算サーバ２０－１：（ｘ_１｜_１、ｘ_２｜_１）＝（０、１）
・秘密計算サーバ２０－２：（ｘ_２｜_１、ｘ_３｜_１）＝（１、１）
・秘密計算サーバ２０－３：（ｘ_３｜_１、ｘ_１｜_１）＝（１、０）
となる。

ｊ＝２の場合は、
・秘密計算サーバ２０－１：（ｘ_１｜_２、ｘ_２｜_２）＝（０、０）
・秘密計算サーバ２０－２：（ｘ_２｜_２、ｘ_３｜_２）＝（０、０）
・秘密計算サーバ２０－３：（ｘ_３｜_２、ｘ_１｜_２）＝（０、０）
となる。

次に、各秘密計算サーバ２０は、ローカルリシェア（Local re-share）により、ｊビット目のシェア（ｘ_ｊ｜_ｊ、ｘ_ｉ＋１｜_ｊ）を論理演算向けの分散情報（シェア）に変換する。具体的には、各秘密計算サーバ２０は、ｊビット目のシェア（ｘ_ｊ｜_ｊ、ｘ_ｉ＋１｜_ｊ）を論理演算のシェアのフォーマットを満たすように変換する。なお、論理演算のシェアが満たすべきフォーマットは下記の式（２）のとおりである。

なお、式（２）において、

は排他的論理和を示す演算子である。

ｊビット目のシェアを論理演算のシェアのフォーマットに変換すると、各秘密計算サーバ２０は下記のシェアを保持する。

秘密計算サーバ２０－１は以下のシェアを保持する。
（ｘ_１｜_ｊ、０）
（０、ｘ_２｜_ｊ）
（０、０）

秘密計算サーバ２０－２は以下のシェアを保持する。
（０、０）
（ｘ_２｜_ｊ、０）
（０、ｘ_３｜_ｊ）

秘密計算サーバ２０－３は以下のシェアを保持する。
（０、ｘ_１｜_ｊ）
（０、０）
（ｘ_３｜_ｊ、０）

算術演算のシェア（式（１）参照）をなす各要素（ｘ_１、ｘ_２、ｘ_３）の論理演算のシェア（ビットのシェア）は下記の通りとなる。
［ｘ_１｜_ｊ］＝（ｘ_１｜_ｊ、０） （０、０） （０、ｘ_１｜_ｊ）
［ｘ_２｜_ｊ］＝（０、ｘ_２｜_ｊ） （ｘ_２｜_ｊ、０） （０、０）
［ｘ_３｜_ｊ］＝（０、０） （０、ｘ_３｜_ｊ） （ｘ_３｜_ｊ、０）

なお、上記論理演算のシェアにおいて、左の括弧は秘密計算サーバ２０－１が保持するシェア、中央の括弧は秘密計算サーバ２０－２が保持するシェア、右の括弧は秘密計算サーバ２０－３が保持するシェアを示す。

上記の例（数値５をビット分解する例）を論理演算のシェアとして記載すると下記の通りとなる。

０ビット目（ｊ＝０）
［ｘ_１｜_０］＝（１、０） （０、０） （０、１）
［ｘ_２｜_０］＝（０、０） （０、０） （０、０）
［ｘ_３｜_０］＝（０、０） （０、０） （０、０）

１ビット目（ｊ＝１）
［ｘ_１｜_１］＝（０、０） （０、０） （０、０）
［ｘ_２｜_１］＝（０、１） （１、０） （０、０）
［ｘ_３｜_１］＝（０、０） （０、１） （１、０）

２ビット目（ｊ＝２）
［ｘ_１｜_２］＝（０、０） （０、０） （０、０）
［ｘ_２｜_２］＝（０、０） （０、０） （０、０）
［ｘ_３｜_２］＝（０、０） （０、０） （０、０）

秘密計算サーバ２０は、上記各要素の論理演算のシェアを用いて論理演算のシェア（［ｘ｜_ｊ］、ｊ＝０、・・・ｋ－１）を計算する。具体的には、秘密計算サーバ２０は、各要素の論理演算のシェアを加算器で加算することで論理演算のシェアを下記の式（３）に基づき計算する。式（３）の計算によりビット分解の処理が終了する。

［ビット埋め込み］
ビット埋め込みとは、論地演算向けのビット（０、１）に関する分散情報を算術演算向けの数値（０、１）に関する分散情報に変換する処理である。ビット埋め込みは、２進数のシェアから１０進数のシェアに変換する。

各秘密計算サーバ２０は、論理演算のシェア（ビットのシェア）を保持する。具体的には、秘密計算サーバ２０－１は、（ｘ_１、ｘ_２）を保持する。秘密計算サーバ２０－２は、（ｘ_２、ｘ_３）を保持する。秘密計算サーバ２０－３は、（ｘ_３、ｘ_１）を保持する。なお、論理演算のシェア［ｘ］をなす要素（ｘ_１、ｘ_２、ｘ_３）は論理演算のシェアのフォーマットである式（２）を満たす。

次に、秘密計算サーバ２０は、上記各要素（ｘ_１、ｘ_２、ｘ_３）をローカルリシェアする。その結果、各秘密計算サーバ２０は、下記のシェアを保持する。

秘密計算サーバ２０－１は以下のシェアを保持する。
（ｘ_１、０）
（０、ｘ_２）
（０、０）

秘密計算サーバ２０－２は以下のシェアを保持する。
（０、０）
（ｘ_２、０）
（０、ｘ_３）

秘密計算サーバ２０－３は以下のシェアを保持する。
（０、ｘ_１）
（０、０）
（ｘ_３、０）

各要素（ｘ_１、ｘ_２、ｘ_３）の算術演算のシェアは下記とおりとなる。

［ｘ_１］^ｋ＝（ｘ_１、０） （０、０） （０、ｘ_１）
［ｘ_２］^ｋ＝（０、ｘ_２） （ｘ_２、０） （０、０）
［ｘ_３］^ｋ＝（０、０） （０、ｘ_３） （ｘ_３、０）

各要素の算術演算のシェアが得られると、秘密計算サーバ２０は、当該シェアを用いて算術上の排他的論理和（ＡｒｉｔｈＸＯＲと表記する）により算術演算のシェア［ｘ］^ｋを計算する（下記の式（４）参照）。

ここで、通常、排他的論理和はビット（０、１）に対して行われる処理であり、数値（０、１）に対する実行は観念できない。そのため、上記算術上の排他的論理和は下記の式（５）により行われる。

式（５）において右辺は通常の排他的論理和を示し、左辺が算術上の排他的論理和を示す。

算術演算のシェア［ｘ］^ｋ、［ｙ］^ｋが取り得る値は０又は１であり、これらのシェアに関する算術上の排他的論理和は式（５）により計算できる。算術演算のシェア［ｘ］^ｋ、［ｙ］^ｋが取り得る値とその算術上の排他的論理和の関係をまとめると図３のとおりとなる。

上述のように、ビット埋め込みでは、各要素（ｘ_１、ｘ_２、ｘ_３）のローカルリシェアにより各要素の算術演算のシェア（[ｘ_１]^ｋ、[ｘ_２]^ｋ、[ｘ_３]^ｋ）を得ている。その後、上記式（５）により算術上の排他的論理和が計算されている。仮に、当該算術上の排他的論理和が計算されないとすると、ビット（０、１）を数値（０、１）のシェアに変換できない。具体的には、上記算術上の排他的論理和に代えて、［ｘ］^ｋ＝［ｘ_１］^ｋ＋［ｘ_２］^ｋ＋［ｘ_３］^ｋを計算するのでは正しい変換が行えない。

例えば、ｘ_１＝１、ｘ_２＝１、ｘ_３＝１とすれば、［ｘ］^ｋ＝３となり正しい結果とはならない。ビット埋め込みは、ビット（０、１）を数値（０、１）に変換する処理であるから、結果は「０」又は「１」である必要がある。上記例では、［ｘ］^ｋ＝１となる必要がある。このような不都合を解決するため、ビット埋め込みの計算では、算術上の排他的論理和の計算が必要となる。

［ビット結合］
ビット結合とは、論理演算向けの分散情報を算術演算向けの分散情報に変換する処理である。ビット結合は、秘密分散された値を２進数のシェアから１０進数のシェアに変換する。ビット結合では、（０、１）の論理演算のシェア列が入力となり、算術演算のシェアが出力される。

例えば、ｂ０１０１のシェア（論理演算のシェア、ビットのシェア）が各秘密計算サーバ２０に分散配置されている場合を考える。この場合、ビット結合が実行されることにより数値５のシェア（算術演算のシェア、リングのシェア）が各秘密計算サーバ２０に分散配置されることになる。

第１の実施形態に係る秘密計算システムでは、ビット埋め込み時に必要となる算術上の排他的論理和の計算を不要とし、ビット埋め込み計算時の通信コスト（通信量、通信回数）、とりわけ、ビット埋め込みが並列に実行される際の通信コストを低減する。第１の実施形態に係る秘密計算システムでは、当該通信コストの低減に補助サーバ３０を活用する。

続いて、秘密計算システムを構成する各装置の詳細について説明する。

図４は、第１の実施形態に係る制御サーバ１０の処理構成（処理モジュール）の一例を示す図である。図４を参照すると、制御サーバ１０は、通信制御部２０１と、分散データ生成部２０２と、分散データ復号部２０３と、を含んで構成される。

通信制御部２０１は、他の装置（秘密計算サーバ２０）との間の通信を制御する手段である。

分散データ生成部２０２は、秘密計算サーバ２０に配付するシェアを生成する手段である。生成されたシェアは、通信制御部２０１を介して各秘密計算サーバ２０に配付される。

分散データ復号部２０３は、秘密計算サーバ２０による秘密計算の結果を収集し、復元する手段である。

図５は、第１の実施形態に係る秘密計算サーバ２０の処理構成（処理モジュール）の一例を示す図である。図５を参照すると、秘密計算サーバ２０は、通信制御部３０１と、秘密計算実行部３０２と、を含んで構成される。

通信制御部３０１は、他の装置（制御サーバ１０、他の秘密計算サーバ２０、補助サーバ３０）との間の通信を制御する手段である。

秘密計算実行部３０２は、所定の秘密計算を実行する手段である。秘密計算実行部３０２は、所定の処理を実行する際に種々のサブルーチンを用いる。例えば、秘密計算実行部３０２は、ビット分解、ビット埋め込み、ビット結合、ポップカウント（Ｐｏｐ Ｃｏｕｎｔ）等のサブルーチンを用いる。なお、ポップカウントは、数値を２進数表記した場合の１の個数を数える処理である。

秘密計算実行部３０２が上記サブルーチンを計算する際の詳細な動作は、補助サーバ３０の動作と合わせて説明する。

図６は、第１の実施形態に係る補助サーバ３０の処理構成（処理モジュール）の一例を示す図である。図６を参照すると、補助サーバ３０は、通信制御部４０１と、秘密計算補助部４０２と、を含んで構成される。

通信制御部３０１は、他の装置（秘密計算サーバ２０）との間の通信を制御する手段である。

秘密計算補助部４０２は、各秘密計算サーバ２０による秘密計算を補助する手段である。より具体的には、秘密計算補助部４０２は、各秘密計算サーバ２０から「キャリー」を計算するための情報（以下、キャリー計算情報と表記する）を取得する。秘密計算補助部４０２は、各秘密計算サーバ２０から取得したキャリー計算情報を用いて「キャリー」を計算し、当該計算したキャリーに基づき「調整値」を計算する。秘密計算補助部４０２は、当該計算した調整値を各秘密計算サーバ２０に配布（分散）する。

上記キャリーは、各要素の算術上のシェアをビット（２進数）として扱い加算した場合に、繰り上がり（桁上がり）が発生するか否かを判定するための情報である。例えば、数値「１」と数値「１」の加算では繰り上がりが発生する。対して、数値「０」と数値「１」の加算では繰り上がりは発生しない。キャリーは上記繰り上がりの有無を判定するための情報である。

上記調整値は、各秘密計算サーバ２０が算術上の排他的論理和を計算しなくとも正しい算術上のシェアを得るために各秘密計算サーバ２０に配布されるデータである。当該調整値は、論理演算のシェアから算術演算のシェアを計算する際に使用される。

以下、秘密計算サーバ２０及び補助サーバ３０が、ビット埋め込み、ビット結合、ポップカウントに係るサブルーチンを実行する際の動作について説明する。

［ビット埋め込み］
図７は、第１の実施形態に係る秘密計算システムにてビット埋め込みが実行される際の動作の一例を示すシーケンス図である。

なお、秘密計算に先立ち、各秘密計算サーバ２０の秘密計算実行部３０２は、シードＳｅｅｄ＿ｉ、Ｓｅｅｄ＿ｉ＋１を生成し、他の秘密計算サーバ２０との間で共有する。各秘密計算実行部３０２は、鍵共有といったようなプロトコルにより上記２つのシードを他の秘密計算サーバ２０との間で共有する。但し、鍵共有に限らず他の方法によりシードが共有されてもよい。

また、各秘密計算実行部３０２は、シードＳｅｅｄ’を共通して所持する。シードＳｅｅｄ’は制御サーバ１０から入力されてもよいし、複数の秘密計算サーバ２０のうちの１台が当該シードを生成し、他の秘密計算サーバ２０に配布してもよい。

ビット埋め込みでは、下記の論理演算のシェア

が入力となる。ビット埋め込みのサブルーチンに上記シェアが入力される。ビット埋め込みでは、算術演算のシェア［ｘ］^ｋが出力となる。

各秘密計算サーバ２０の秘密計算実行部３０２は、相関乱数（Correlated Randomness）β_ｉを計算する（ステップＳ１０１）。相関乱数β_ｉは下記の式（６）を満たす。

なお、上記相関乱数β_ｉは非特許文献１に記載された方法により計算可能であるため、その詳細な説明を省略する。相関乱数β_ｉの計算に上記シードＳｅｅｄ＿ｉ、Ｓｅｅｄ＿ｉ＋１、Ｓｅｅｄ’が使用される。

各秘密計算実行部３０２は、「キャリー計算情報」を計算する。具体的には、秘密計算実行部３０２は、下記の式（７）に従いキャリー計算情報ｃ_ｉを計算する（ステップＳ１０２）。なお、式（７）等に示す「・」は乗算演算を示す。

なお、式（７）は、秘密計算サーバ２０は、自身が保有する論理演算のシェア（ｘ_ｉ、ｘ_ｉ＋１）を、相関乱数β_ｉを用いて隠蔽し、キャリー計算情報ｃ_ｉを生成することを示す。即ち、補助サーバ３０はセミオネストな攻撃者であるという想定であり、秘密計算サーバ２０は、補助サーバ３０にシェアの内容が知られることがないようにキャリー計算情報ｃ_ｉを生成している。

各秘密計算実行部３０２は、上記計算されたキャリー計算情報ｃ_ｉを補助サーバ３０に送信する（ステップＳ１０３）。

補助サーバ３０の秘密計算補助部４０２は、キャリーＣを計算する。キャリーＣは、下記の式（８）により定義される。

補助サーバ３０の秘密計算補助部４０２は、上記キャリーＣを秘密計算サーバ２０から取得したキャリー計算情報ｃ_ｉを用いて計算する（ステップＳ１０４）。具体的には、秘密計算補助部４０２は、下記の式（９）に従いキャリーＣを計算する。

なお、補助サーバ３０が各秘密計算サーバ２０から取得するキャリー計算情報は、相関乱数β_ｉにより隠蔽されている（式（７）参照）。従って、補助サーバ３０は、取得したキャリー計算情報からシェアの要素（ｘ_１、ｘ_２、ｘ_３）を知ることはできない。ここで、相関乱数β_ｉは式（６）に示す性質（排他的論理和が０）を備える。当該性質により式（９）の計算結果と式（８）の計算結果は一致することになる。即ち、補助サーバ３０は、シェアの内容を知ることはできないが、キャリーＣの計算は正しく行うことができる。

秘密計算補助部４０２は、キャリーＣの値が「０」であるのか「１」であるのか判定する（ステップＳ１０５）。

キャリーＣが「０」であれば（ステップＳ１０５、Ｙｅｓ分岐）、秘密計算補助部４０２は、調整値ｙに「０」を設定する（ステップＳ１０６）。

キャリーＣが「１」であれば（ステップＳ１０５、Ｎｏ分岐）、秘密計算補助部４０２は、調整値ｙに「－２」を設定する（ステップＳ１０７）。

キャリーＣと調整値ｙの関係を纏めると下記の式（１０）のとおりとなる。

秘密計算補助部４０２は、上記生成した調整値ｙのシェア［ｙ］^kを各秘密計算サーバ２０に分散（配布）する（ステップＳ１０８）。

各秘密計算サーバ２０の秘密計算実行部３０２は、ローカルリシェアにより、ビットのシェア（論理演算のシェア）［ｘ］から各要素の算術演算のシェア［ｘ_１］^k、［ｘ_２］^k、［ｘ_３］^kを生成する（ステップＳ１０９）。

秘密計算実行部３０２は、上記各要素の算術のシェアと調整値ｙのシェアを用いて算術演算のシェア［ｘ］^kを計算する（ステップＳ１１０）。具体的には、秘密計算実行部３０２は、下記の式（１１）に基づき算術演算のシェアを計算する。

上記式（１１）の計算によりビット埋め込みに関する処理（サブルーチン）が終了する。このように、複数の秘密計算サーバ２０のそれぞれは、調整値ｙの分散値を用いて論理演算のシェアを算術演算のシェアに変換する。より具体的には、秘密計算サーバ２０は、調整値ｙの分散値を用いて、所定値ｘに関するビット埋め込みを実行する。

例えば、ビット「１」を数値「１」に変換（ビット埋め込みの実行）する場合を考える。この場合、ビット「１」の論理演算のシェアの要素（サブシェア）はｘ_１＝１、ｘ_２＝１、ｘ_３＝１となる。式（８）によればキャリーＣは「１」となる。従って、式（１０）によれば、調整値ｙは「－２」となる。式（１１）に従い算術演算のシェアを計算すると、［ｘ］^ｋ＝１＋１＋１－２＝１となる。従って、ビット「１」のシェアは数値「１」のシェアに正しく変換されていることになる。

あるいは、ビット「０」を数値「０」に変換する場合を考える。この場合、ビット「０」の論理演算のシェアの各要素はｘ_１＝０、ｘ_２＝０、ｘ_３＝０となる。式（８）によればキャリーＣは「０」となる。従って、式（１０）によれば、調整値ｙは「０」となる。式（１１）に従い算術演算のシェアを計算すると、［ｘ］^ｋ＝０＋０＋０＋０＝０となる。従って、ビット「０」のシェアは数値「０」のシェアに正しく変換されていることになる。

［ビット結合］
続いて、秘密計算サーバ２０及び補助サーバ３０が、ビット結合を実行する場合について説明する。秘密計算サーバ２０及び補助サーバ３０は、キャリー計算情報、キャリー及び調整値を用いた、複数のビット埋め込みを並列に実行することでビット結合を実行（実現）する。

ビット結合を実行する際の秘密計算システムの基本的な動作（フロー、処理の順番）はビット埋め込み実行時と同じであり、図７に相当する説明を省略する。以下、ビット埋め込みとビット結合の相違点を中心に説明を行う。

ビット結合では、下記の論理演算のシェア列

が入力となる。
ビット結合のサブルーチンに上記シェア列が入力される。ビット結合では、下記の算術演算のシェア

が出力となる。

秘密計算サーバ２０は、ｋ桁のビット（ｊ＝０、１、・・・ｋ－１）ごとに相関乱数β_ｊ、ｉを計算する（式（１２）参照）。

秘密計算サーバ２０は、ｋ桁のビットごとにキャリー計算情報を計算する（式（１３）参照）。

補助サーバ３０は、各秘密計算サーバ２０から取得したキャリー計算情報を用いてｋ桁のビットごとにキャリーＣを計算する（式（１４）参照）。

補助サーバ３０は、ｋ桁のビットごとにキャリーＣの値を判定し、当該判定値に基づき調整値ｙを計算する（式（１５）参照）。

補助サーバ３０は、上記調整値ｙ_ｊから下記の式（１６）に示す値（各桁の調整値ｙ_ｊに２のｊ乗を乗算した値の総和）を計算する。

補助サーバ３０は、上記式（１６）により計算した値を各秘密計算サーバ２０に分散する。

秘密計算サーバ２０は、ｋ桁のビットごとのローカルリシェアにより、ビットのシェア（論理演算のシェア）［ｘ_ｊ］から各要素の算術演算のシェア［ｘ_ｊ、１］^k、［ｘ_ｊ、２］^k、［ｘ_ｊ、３］^kを生成する。

秘密計算サーバ２０は、下記の式（１７）により算術演算のシェア［ｘ］^ｋを計算する。

なお、式（１７）は下記に示す式（１８）のように書き換えることができる。秘密計算サーバ２０は、式（１８）において、調整値ｙに２のｊ乗を乗算した値の総和として補助サーバ３０から取得した値（分散されたシェア）を用いる。

上記式（１８）の計算によりビット結合に関する処理（サブルーチン）が終了する。上記説明から明らかなように、ビット結合に係るサブルーチンに入力されたｊビットのシェア列（ビットのシェア列）は、ビットごとに算術演算のシェア（リングのシェア）に変換される。当該変換された算術演算のシェアは、変換対象のビット列においてビットの有無を示すので各ビットに対応した冪数（２のｊ乗）を乗算することで２進数から１０進数に変換される。

例えば、ｂ０１０１というビットのシェア列がビット結合のサブルーチンに入力されると、各桁のビット（０、１）はビット埋め込みにより数値（０、１）に変換される。変換された数値（０、１）は各桁のビットの有無を示すので、上記２進数は２^３×０＋２^２×１＋２^１×０＋２^０×１＝５という１０進数に変換される。

ビット結合では先に説明したビット埋め込みと同等の処理がｋ個並列に動作している。つまり、ビット結合では、ｋ桁のビットごとにキャリー計算情報ｃ、キャリーＣ、調整値ｙ等が並列に計算される。従って、ｋ個のビット埋め込みに関する処理が並列に動作することになる。

［ポップカウント］
続いて、秘密計算サーバ２０及び補助サーバ３０が、ポップカウントを実行する場合について説明する。秘密計算サーバ２０及び補助サーバ３０は、複数のビット埋め込みを並列に実行することで、数値を２進数表記した場合の１の個数を数える、ポップカウントを実行（実現）する。

なお、ポップカウントを実行する際の秘密計算システムの基本的な動作（フロー、処理の順番）はビット埋め込み、ビット結合の実行時と同じであり、図７に相当する説明を省略する。以下、ビット結合とポップカウントの相違点を中心に説明を行う。

ポップカウントの処理とビット結合の処理では、式（１５）にて調整値ｙを計算するまで同一とすることができる。

補助サーバ３０は、上記調整値ｙ_ｊから下記の式（１９）に示す値（各桁の調整値ｙ_ｊの総和）を計算する。

補助サーバ３０は、上記式（１９）により計算した値を各秘密計算サーバ２０に分散する。

秘密計算サーバ２０は、下記の式（２０）により算術演算のシェア［ｘ］^ｋを計算する。

上記式（２０）の計算によりポップカウントに関する処理（サブルーチン）が終了する。なお、秘密計算サーバ２０は、上記式（２０）の計算において、ビット結合と同様に調整値ｙに関する総和として補助サーバ３０から取得した値を用いる。

ポップカウントに関してもビット結合と同様に、先に説明したビット埋め込みと同等の処理がｋ個並列に動作している。

ポップカウントに係るサブルーチンに入力されたｊビットのシェア列（ビットのシェア列）は、ビットごとに算術演算のシェア（リングのシェア）に変換される。各ビットの算術演算のシェアをそのまま加算すればビット列を構成する「１」の数が算出できる。

以上のように、第１の実施形態では、補助サーバ３０を活用しビット埋め込み時に必要となる算術上の排他的論理和を不実施としている。ここで、式（５）の左辺によれば、算術上の排他的論理和は、シェアの差分に関する乗算により求められる。また、ｋ桁のビット結合ではｋ個のビット埋め込みが並列で処理されることになる。従って、当該ｋ個のビット埋め込みの並列実行は、算術上の排他的論理和がｋ個並列に実行されることと等価である。１回の算術上の排他的論理和の計算ではｋビットのデータを秘密計算サーバ２０間で送受信する必要があるから、ｋ回の算術上の排他的論理和の実行では、ｋ×ｋビットのデータ量が秘密計算サーバ２０間で送受信される。従って、算術上の排他的論理和を用いたビット結合では、Ｏ（ｋ^２）の通信量（ｋ^２に比例した通信量）が必要となる。

対して、補助サーバ３０を用いる本願開示では、各秘密計算サーバ２０から送信されるｋ桁ごとのキャリー計算情報ｃ_ｊは、式（７）及び（１３）から１ビットの情報量である。この場合、ｋ桁のビット結合が行われる場合には、ｋビットの情報量が３台の秘密計算サーバ２０から補助サーバ３０に送信されるので、通信量は３ｋビットである。従って、キャリー計算情報の送受信に伴う通信量はＯ（ｋ）となる（ｋに比例した通信量）。また、各桁について、２つの要素（サブシェア）からなる調整値ｙ_ｊが３台の秘密計算サーバ２０に補助サーバ３０から送信されるので、ｋ桁のビット結合では、２×３×ｋ＝６ｋビットのデータ量が送受信される。従って、キャリーを用いた、複数のビット埋め込みが並列処理されるビット結合では、３ｋ＋６ｋ＝９ｋビットの通信量が必要となり、その通信量のオーダーはＯ（ｋ）となる。

算術上の排他的論理和を用いる場合であってもキャリーを用いる場合であっても、必要な通信回数は２回であり、通信回数の観点では本願開示のメリットはないが、通信量の観点では改善が図られている。とりわけ、並列度が高くなる（ｋが大きくなると）、上記通信量の削減が顕著となる。算術上の排他的論理和を用いたビット結合ではＯ（ｋ^２）の通信量が必要になるのに対し、キャリーを用いた本願開示の方法ではＯ（ｋ）の通信量が必要となるためである。即ち、キャリーを用いることでビット結合等のビット埋め込みが並列に実行される処理を効率的に実施することできる。

続いて、秘密計算システムを構成する各装置のハードウェアについて説明する。図８は、秘密計算サーバ２０のハードウェア構成の一例を示す図である。

秘密計算サーバ２０は、情報処理装置（所謂、コンピュータ）により構成可能であり、図８に例示する構成を備える。例えば、秘密計算サーバ２０は、プロセッサ３１１、メモリ３１２、入出力インターフェイス３１３及び通信インターフェイス３１４等を備える。上記プロセッサ３１１等の構成要素は内部バス等により接続され、相互に通信可能に構成されている。

但し、図８に示す構成は、秘密計算サーバ２０のハードウェア構成を限定する趣旨ではない。秘密計算サーバ２０は、図示しないハードウェアを含んでもよいし、必要に応じて入出力インターフェイス３１３を備えていなくともよい。また、秘密計算サーバ２０に含まれるプロセッサ３１１等の数も図８の例示に限定する趣旨ではなく、例えば、複数のプロセッサ３１１が秘密計算サーバ２０に含まれていてもよい。

プロセッサ３１１は、例えば、ＣＰＵ（Central Processing Unit）、ＭＰＵ（Micro Processing Unit）、ＤＳＰ（Digital Signal Processor）等のプログラマブルなデバイスである。あるいは、プロセッサ３１１は、ＦＰＧＡ（Field Programmable Gate Array）、ＡＳＩＣ（Application Specific Integrated Circuit）等のデバイスであってもよい。プロセッサ３１１は、オペレーティングシステム（ＯＳ；Operating System）を含む各種プログラムを実行する。

メモリ３１２は、ＲＡＭ（Random Access Memory）、ＲＯＭ（Read Only Memory）、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）等である。メモリ３１２は、ＯＳプログラム、アプリケーションプログラム、各種データを格納する。

入出力インターフェイス３１３は、図示しない表示装置や入力装置のインターフェイスである。表示装置は、例えば、液晶ディスプレイ等である。入力装置は、例えば、キーボードやマウス等のユーザ操作を受け付ける装置である。

通信インターフェイス３１４は、他の装置と通信を行う回路、モジュール等である。例えば、通信インターフェイス３１４は、ＮＩＣ（Network Interface Card）等を備える。

秘密計算サーバ２０の機能は、各種処理モジュールにより実現される。当該処理モジュールは、例えば、メモリ３１２に格納されたプログラムをプロセッサ３１１が実行することで実現される。また、当該プログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transitory）なものとすることができる。即ち、本発明は、コンピュータプログラム製品として具現することも可能である。また、上記プログラムは、ネットワークを介してダウンロードするか、あるいは、プログラムを記憶した記憶媒体を用いて、更新することができる。さらに、上記処理モジュールは、半導体チップにより実現されてもよい。

なお、制御サーバ１０、補助サーバ３０も秘密計算サーバ２０と同様に情報処理装置により構成可能であり、その基本的なハードウェア構成は秘密計算サーバ２０と相違する点はないので説明を省略する。

［変形例］
なお、上記実施形態にて説明した秘密計算システムの構成、動作等は例示であって、システムの構成等を限定する趣旨ではない。例えば、４台以上の秘密計算サーバ２０により秘密計算が行われてもよい。なお、この場合、キャリーから計算される調整値を適宜変更すればよい。

上記実施形態では、非特許文献１に開示された３者による秘密計算方式を前提として補助サーバ３０を用いたビット埋め込み等を説明した。当該秘密計算方式を前提すると、キャリーＣは式（８）により計算されるが、上記非特許文献１に開示された秘密計算方式とは異なる方式を用いる場合には、式（８）とは異なる計算式によりキャリーＣが計算される。即ち、式（８）で示されるキャリーＣの計算式は例示であって、キャリーＣの計算を限定する趣旨ではない。

上記実施形態では、補助サーバ３０が「セミオネストな攻撃者」であるという想定の下、当該攻撃者にシェアの内容が知られないように相関乱数βを用いてキャリー計算情報ｃが計算されている。しかし、補助サーバ３０が「真に信頼できる主体」であれば、上記相関乱数βを用いたシェアの隠蔽は不要となる。即ち、本願開示では、各秘密計算サーバ２０は、自身が保有する要素（サブシェア）の乗算結果をキャリー計算情報ｃとして補助サーバ３０に送信してもよい。

上述の説明で用いたシーケンス図では、複数の工程（処理）が順番に記載されているが、各実施形態で実行される工程の実行順序は、その記載の順番に制限されない。各実施形態では、例えば各処理を並行して実行する等、図示される工程の順番を内容的に支障のない範囲で変更することができる。

情報処理装置（コンピュータ）の記憶部に秘密計算プログラムをインストールすることにより、コンピュータを秘密計算サーバとして機能させることができる。また、秘密計算プログラムをコンピュータに実行させることにより、コンピュータにより秘密計算方法を実行することができる。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
少なくとも３台以上の秘密計算サーバ（２０、１０１）と、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）と接続された補助サーバ（２０、１０２）と、
を含み、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）のそれぞれは、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバ（２０、１０２）に送信し、
前記補助サーバ（２０、１０２）は、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバ（２０、１０１）に分散し、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）のそれぞれは、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算システム。
［付記２］
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）は、前記調整値の分散値を用いて、所定値に関するビット埋め込みを実行する、付記１に記載の秘密計算システム。
［付記３］
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）及び前記補助サーバ（２０、１０２）は、前記キャリー計算情報、前記キャリー及び前記調整値を用いた、複数のビット埋め込みを並列に実行する、付記２に記載の秘密計算システム。
［付記４］
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）及び前記補助サーバ（２０、１０２）は、前記複数のビット埋め込みを並列に実行することで、論理演算向けのシェアを算術演算向けのシェアに変換する、ビット結合を実行する、付記３に記載の秘密計算システム。
［付記５］
前記補助サーバ（２０、１０２）は、ｋ桁のビットごとに前記調整値を計算し、各桁の前記調整値に２のｊ乗を乗算した値の総和を、前記少なくとも３台以上の秘密計算サーバ（２０、１０１）に分散する、付記４に記載の秘密計算システム。
［付記６］
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）及び前記補助サーバ（２０、１０２）は、前記複数のビット埋め込みを並列に実行することで、数値を２進数表記した場合の１の個数を数える、ポップカウントを実行する、付記３に記載の秘密計算システム。
［付記７］
前記補助サーバ（２０、１０２）は、ｋ桁のビットごとに前記調整値を計算し、各桁の前記調整値の総和を、前記少なくとも３台以上の秘密計算サーバ（２０、１０１）に分散する、付記６に記載の秘密計算システム。
［付記８］
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）は、自身が保有する論理演算のシェアを、相関乱数を用いて隠蔽し、前記キャリー計算情報を生成する、付記１乃至７のいずれか一つに記載の秘密計算システム。
［付記９］
論理演算のシェアを、ｘ１、ｘ２、ｘ３とした場合、
前記補助サーバ（２０、１０２）は、前記キャリーＣを
Ｃ＝ｘ１・ｘ２ ＥＸＯＲ ｘ２・ｘ３ ＥＸＯＲ ｘ３・ｘ１
により計算（・は乗算演算、ＥＸＯＲは排他的論理和）する、付記１乃至８のいずれか一つに記載の秘密計算システム。
［付記１０］
前記補助サーバ（２０、１０２）は、前記キャリーの値が０の場合には前記調整値に０を設定し、前記キャリーの値が１の場合には前記調整値に－２を設定する、付記９に記載の秘密計算システム。
［付記１１］
補助サーバ（２０、１０２）と接続され、
算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバ（２０、１０２）に送信し、
前記補助サーバ（２０、１０２）から、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得し、
前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算サーバ（２０、１０１）。
［付記１２］
少なくとも３台以上の秘密計算サーバ（２０、１０１）と接続され、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）のそれぞれが送信する、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を受信し、
受信したキャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバ（２０、１０１）に分散する、補助サーバ（２０、１０２）。
［付記１３］
少なくとも３台以上の秘密計算サーバ（２０、１０１）と、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）と接続された補助サーバ（２０、１０２）と、
を含む秘密計算システムにおいて、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）のそれぞれが、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバ（２０、１０２）に送信するステップと、
前記補助サーバ（２０、１０２）が、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバ（２０、１０１）に分散するステップと、
前記少なくとも３台以上の秘密計算サーバ（２０、１０１）のそれぞれが、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換するステップと、
を含む、秘密計算方法。
［付記１４］
コンピュータ（３１１）に、
算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバ（２０、１０２）に送信する処理と、
前記補助サーバ（２０、１０２）から、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得する処理と、
前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する処理と、
を実行させるプログラム。
なお、付記１１～１４の形態は、付記１の形態と同様に、付記２の形態～付記１０の形態に展開することが可能である。

なお、引用した上記の先行技術文献の各開示は、本書に引用をもって繰り込むものとする。以上、本発明の実施形態を説明したが、本発明はこれらの実施形態に限定されるものではない。これらの実施形態は例示にすぎないということ、及び、本発明のスコープ及び精神から逸脱することなく様々な変形が可能であるということは、当業者に理解されるであろう。

１０ 制御サーバ
２０、２０－１～２０－３、１０１ 秘密計算サーバ
３０、１０２ 補助サーバ
２０１、３０１、４０１ 通信制御部
２０２ 分散データ生成部
２０３ 分散データ復号部
３０２ 秘密計算実行部
３１１ プロセッサ
３１２ メモリ
３１３ 入出力インターフェイス
３１４ 通信インターフェイス
４０２ 秘密計算補助部

Claims (14)

1. 少なくとも３台以上の秘密計算サーバと、
   前記少なくとも３台以上の秘密計算サーバと接続された補助サーバと、
   を含み、
   前記少なくとも３台以上の秘密計算サーバのそれぞれは、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信し、
   前記補助サーバは、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散し、
   前記少なくとも３台以上の秘密計算サーバのそれぞれは、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算システム。
2. 前記少なくとも３台以上の秘密計算サーバは、前記調整値の分散値を用いて、所定値に関するビット埋め込みを実行する、請求項１に記載の秘密計算システム。
3. 前記少なくとも３台以上の秘密計算サーバ及び前記補助サーバは、前記キャリー計算情報、前記キャリー及び前記調整値を用いた、複数のビット埋め込みを並列に実行する、請求項２に記載の秘密計算システム。
4. 前記少なくとも３台以上の秘密計算サーバ及び前記補助サーバは、前記複数のビット埋め込みを並列に実行することで、論理演算向けのシェアを算術演算向けのシェアに変換する、ビット結合を実行する、請求項３に記載の秘密計算システム。
5. 前記補助サーバは、ｋ桁のビットごとに前記調整値を計算し、各桁の前記調整値に２のｊ乗を乗算した値の総和を、前記少なくとも３台以上の秘密計算サーバに分散する、請求項４に記載の秘密計算システム。
6. 前記少なくとも３台以上の秘密計算サーバ及び前記補助サーバは、前記複数のビット埋め込みを並列に実行することで、数値を２進数表記した場合の１の個数を数える、ポップカウントを実行する、請求項３に記載の秘密計算システム。
7. 前記補助サーバは、ｋ桁のビットごとに前記調整値を計算し、各桁の前記調整値の総和を、前記少なくとも３台以上の秘密計算サーバに分散する、請求項６に記載の秘密計算システム。
8. 前記少なくとも３台以上の秘密計算サーバは、自身が保有する論理演算のシェアを、相関乱数を用いて隠蔽し、前記キャリー計算情報を生成する、請求項１乃至７のいずれか一項に記載の秘密計算システム。
9. 論理演算のシェアを、ｘ_１、ｘ_２、ｘ_３とした場合、
   前記補助サーバは、前記キャリーを表す値Ｃを
   Ｃ＝ｘ_１・ｘ_２ ＥＸＯＲ ｘ_２・ｘ_３ ＥＸＯＲ ｘ_３・ｘ_１
   により計算（・は乗算演算、ＥＸＯＲは排他的論理和）する、請求項１乃至８のいずれか一項に記載の秘密計算システム。
10. 前記補助サーバは、前記キャリーの前記値が０の場合には前記調整値に０を設定し、前記キャリーの前記値が１の場合には前記調整値に－２を設定する、請求項９に記載の秘密計算システム。
11. 補助サーバと接続され、
    算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信し、
    前記補助サーバから、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得し、
    前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する、秘密計算サーバ。
12. 少なくとも３台以上の秘密計算サーバと接続され、
    前記少なくとも３台以上の秘密計算サーバのそれぞれが送信する、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を受信し、
    受信したキャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散する、補助サーバ。
13. 少なくとも３台以上の秘密計算サーバと、
    前記少なくとも３台以上の秘密計算サーバと接続された補助サーバと、
    を含む秘密計算システムにおいて、
    前記少なくとも３台以上の秘密計算サーバのそれぞれが、算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を前記補助サーバに送信するステップと、
    前記補助サーバが、受信した前記キャリー計算情報に基づいて前記キャリーを計算し、前記計算されたキャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値を計算すると共に、前記計算された調整値を前記少なくとも３台以上の秘密計算サーバに分散するステップと、
    前記少なくとも３台以上の秘密計算サーバのそれぞれが、前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換するステップと、
    を含む、秘密計算方法。
14. コンピュータに、
    算術演算のシェアを２進数として扱い加算した場合に繰り上がりが発生するか否かを示すキャリーを計算するためのキャリー計算情報を補助サーバに送信する処理と、
    前記補助サーバから、前記キャリーを用いて論理演算のシェアから算術演算のシェアを計算する際の調整値の分散値を取得する処理と、
    前記調整値の分散値を用いて論理演算のシェアを算術演算のシェアに変換する処理と、
    を実行させるプログラム。
    

Images