JP7396373B2 - 秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラム - Google Patents

Description

本発明は、秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムに関するものである。

近年、秘密計算と呼ばれる技術の研究開発が盛んに行われている（例えば、特許文献１または非特許文献１参照）。秘密計算は、第三者に対して計算過程とその結果を秘匿しつつ所定の処理を実行する技術の一つである。秘密計算における代表的な技術の一つとして、マルチパーティ計算技術が挙げられる。マルチパーティ計算技術では、秘匿するデータを複数のサーバ（秘密計算サーバ）に分散配置し、秘匿したまま当該データの任意の演算を実行する。以降、特に断りがない限り、本書で「秘密計算」という語を用いた場合は、マルチパーティ計算技術を意味するものとする。

非特許文献２および非特許文献３には、ビット分解やビット結合などの秘密計算に用いられる型変換処理が記載されている。

国際公開２０１５／０５３１８５号公報

Toshinori ARAKI, et al、"High-Throughput Semi-Honest Secure Three-Party Computation with an Honest Majority"、Proceedings of the 2016 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2016. p. 805-817、2016 Toshinori ARAKI, et al、"Generalizing the SPDZ Compiler For Other Protocols. "、Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2018. p. 880-895、2018 Toshinori ARAKI, et al、"How to Choose Suitable Secure Multiparty Computation Using Generalized SPDZ"、CCS ’18, October 15-19, 2018 Payman Mohassel and Peter Rindal、"ABY3: A Mixed Protocol Framework for Machine Learning"、Proceedings of the 2018 ACM SIGSAC Conference on Computer and Communications Security. ACM, 2018. p. 35-52、2018 Jun FURUKAWA, et al、"High-Throughput Secure Three-Party Computation for Malicious Adversaries and an Honest Majority"、In J. Coron and J. B. Nielsen, editors, Advances in Cryptology - EUROCRYPT 2017 - 36th Annual International Conference on the Theory and Applications of Cryptographic Techniques, Paris, France, April 30 - May 4, 2017, Proceedings, Part II, volume 10211 of Lecture Notes in Computer Science, pages 225-255, 2017. Toshinori ARAKI, et al、"Optimized Honest-Majority MPC for Malicious Adversaries - Breaking the 1 Billion-Gate Per Second Barrier"、In the IEEE S&P, 2017.

なお、上記先行技術文献の各開示を、本書に引用をもって繰り込むものとする。以下の分析は、本発明者らによってなされたものである。

ところで、秘密計算は、任意の演算を実行することが可能であるが、データが複数の秘密計算サーバに分散配置されているという特殊性から秘密計算に特有な処理が存在する。上記非特許文献３等に開示された型変換の１つである「ビット埋め込み」も秘密計算に特有な処理といえる。秘密計算において、特定のアプリケーションの実現にあたりビット埋め込みをサブルーチンとして実行することがある。

例えば、「ビット結合」のような型変換では、ビット埋め込みを並列に実行することがある。そして、ビット埋め込みの並列度が増加すると、秘密計算サーバ間の通信量も増加してしまう。例えば、ビット埋め込みをk回並列に実行したとすると、通信量はO(k²)になり、並列度の増加に比べて通信量が顕著に増加してしまう。このことは、ビット埋め込みの並列度が大きい場合に、通信量に大きな影響を与えることになる。

本発明の目的は、上述した課題を鑑み、効率的な処理に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供する。

本発明の第１の視点によれば、相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を備える秘密計算システムであって、前記秘密計算サーバ装置のそれぞれが、前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、少なくとも処理対象となるシェアを記憶するシェア値記憶部と、前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、前記キャリーからマスクを除去する内積計算部と、前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、を有する秘密計算システムが提供される。

本発明の第２の視点によれば、相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置の一つであって、前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、少なくとも処理対象となるシェアを記憶するシェア値記憶部と、前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、前記キャリーからマスクを除去する内積計算部と、前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、を備える秘密計算サーバ装置が提供される。

本発明の第３の視点は、相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を用いる秘密計算方法であって、前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて乱数を生成し、前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを計算し、内積計算を用いて前記キャリーからマスクを除去し、前記キャリーを消去して処理結果を得る、秘密計算方法が提供される。

本発明の第４の視点は、相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置に実行させる秘密計算プログラムであって、前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて乱数を生成し、前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを計算し、内積計算を用いて前記キャリーからマスクを除去し、前記キャリーを消去して処理結果を得る、秘密計算プログラムが提供される。
なお、このプログラムは、コンピュータが読み取り可能な記憶媒体に記録することができる。記憶媒体は、半導体メモリ、ハードディスク、磁気記録媒体、光記録媒体等の非トランジェント（non-transient）なものとすることができる。本発明は、コンピュータプログラム製品として具現することも可能である。

本発明の各視点によれば、効率的な処理に寄与する秘密計算システム、秘密計算サーバ装置、秘密計算方法および秘密計算プログラムを提供することができる。

図１は、本発明の第１の実施形態による秘密計算システムの機能構成例を示すブロック図である。 図２は、秘密計算サーバ装置の機能構成例を示すブロック図である。 図３は、ビット結合に関する動作例を示すフローチャートである。 図４は、本発明の第２の実施形態による秘密計算システムの機能構成例を示すブロック図である。 図５は、秘密計算サーバ装置の機能構成例を示すブロック図である。 図６は、ビット結合に関する動作例を示すフローチャートである。 図７は、本発明の第３の実施形態による秘密計算システムの機能構成例を示すブロック図である。 図８は、秘密計算サーバ装置の機能構成例を示すブロック図である。 図９は、ビット結合に関する動作例を示すフローチャートである。 図１０は、秘密計算サーバ装置のハードウェア構成例を示す図である。

以下、図面を参照しながら、本発明の実施形態について説明する。ただし、以下に説明する実施形態により本発明が限定されるものではない。さらに、図面は模式的なものであり、各要素の寸法の関係、各要素の比率などは、現実のものとは異なる場合があることに留意する必要がある。図面の相互間においても、互いの寸法の関係や比率が異なる部分が含まれている場合がある。

［準備］
以下、実施形態の説明にあたり、記法の定義および処理要素の説明を行う。以下で説明する記法および演算要素は、各実施形態の説明の中で共通して用いられる。

２を法とする剰余類環をＺ_２とし、２^kを法とする剰余類環をＺ_２ ^ｋとする。なお、ｋは２以上の自然数である。また、インデックスｉ＝１，２，３に対して秘密計算サーバをＰ_ｉと表すことがある。また、XORは排他的論理和を意味する。

算術演算のシェアを[ｘ]：＝ｘ_１＋ｘ_２＋ｘ_３ ｍｏｄ ２^ｋ （ｘ，ｘ_ｉ∈Ｚ_２ ^ｋ）としたとき、以下のように各秘密計算サーバＰ_ｉは分散データ[ｘ]_ｉを有する（ｉ＝１，２，３）。
Ｐ_１：[ｘ]_１＝（ｘ_１，ｘ_２）
Ｐ_２：[ｘ]_２＝（ｘ_２，ｘ_３）
Ｐ_３：[ｘ]_３＝（ｘ_３，ｘ_１）

論理演算のシェアを[[ｘ]]：＝ｘ_１ XOR ｘ_２ XOR ｘ_３ ｍｏｄ ２ （ｘ，ｘ_ｉ∈Ｚ_２）としたとき、以下のように各秘密計算サーバＰ_ｉは分散データ[[ｘ]]_ｉを有する（ｉ＝１，２，３）。
Ｐ_１：[[ｘ]]_１＝（ｘ_１，ｘ_２）
Ｐ_２：[[ｘ]]_２＝（ｘ_２，ｘ_３）
Ｐ_３：[[ｘ]]_３＝（ｘ_３，ｘ_１）

〔Correlated Randomness〕
Correlated Randomness α_ｉ（ｉ＝１，２，３）は、以下のように生成する。
α_ｉ＝Ｈ(ｋ_ｉ，ｖｉｄ) XOR Ｈ(ｋ_ｉ＋１，ｖｉｄ)
ここで、暗号学的に安全な疑似乱数生成器Ｈは、セキュリティパラメータκに対し、Ｈ：{０，１}^κ×{０，１}^κ→{０，１}となるように定められた２項演算である。また、各α_ｉ（ｉ＝１，２，３）を生成するために用いるシードｋ_ｉ（ｉ＝１，２，３）は、各秘密計算サーバＰ_ｉが以下のように所有しており、ｖｉｄはカウンタなどの公開された値である。
Ｐ_ｉ：（ｋ_ｉ，ｋ_ｉ＋１） ただし、ｋ_３＋１＝ｋ_１とする。

このように生成されたα_ｉは、乱数と見做すことができるが、以下の関係が成り立つ。
α_１ XOR α_２ XOR α_３＝０
なお、Correlated Randomnessの処理の呼び出しは、α_ｉ←ＣＲ(Ｐ_ｉ，(ｋ_ｉ，ｋ_ｉ＋１)，ｖｉｄ)と表す。

〔ランダムシェア〕
論理演算のランダムシェア[[ｒ]]（ｒ＝ｒ_１ XOR ｒ_２ XOR ｒ_３）は、以下のように生成する。

まず、Correlated Randomnessの説明の中でも用いた、シードｋ_ｉ（ｉ＝１，２，３）およびカウンタなどの公開された値ｖｉｄを用いて、各ｒ_ｉ＝Ｈ(ｋ_ｉ，ｖｉｄ)を生成する。そして、以下のように、この生成された各ｒ_ｉを各秘密計算サーバＰ_ｉが分散データ[[ｒ]]_ｉとして有する（ｉ＝１，２，３）。
Ｐ_１：[[ｒ]]_１＝（ｒ_１，ｒ_２）
Ｐ_２：[[ｒ]]_２＝（ｒ_２，ｒ_３）
Ｐ_３：[[ｒ]]_３＝（ｒ_３，ｒ_１）
なお、ランダムシェアの処理の呼び出しとしては、[[ｒ]]←RandGen(Ｐ_ｉ，(ｋ_ｉ，ｋ_ｉ＋１)，ｖｉｄ)と表す。

〔ビット埋め込み〕
ビット埋め込みとは、論理演算向けのシェア[[ｘ]]を入力として、算術演算向けのシェア[ｘ]を出力する処理である。ビット埋め込みの処理の呼び出しとしては、[ｘ]←BitInjection([[ｘ]])と記載する。ビット埋め込みの具体的な処理は、例えば非特許文献２、非特許文献３、非特許文献４に記載の方法を用いることできるが、本発明の実施形態にあたり、その他の適切なビット埋め込みの処理を用いることが可能である。

〔内積計算〕
内積計算とは、２つのベクトルｘ＝(ｘ_１,...,ｘ_ｎ)，ｙ＝(ｙ_１,...,ｙ_ｎ)に関する２つの算術演算シェアのベクトル([ｘ_１],...,[ｘ_n])，([ｙ_１],...,[ｙ_n])を入力として、[Σ_ｉ＝０ ^ｎｘ_ｉｙ_ｉ]を出力する処理である。処理の呼び出しとしては、［Σ_ｉ＝０ ^ｎｘ_ｉｙ_ｉ］←InnerProduct(([ｘ_１],...,[ｘ_n])，([ｙ_１],...,[ｙ_n]))と表す。内積計算の具体的な処理は、例えば非特許文献１や非特許文献４に記載の方法を用いることができるが、本発明の実施形態にあたり、その他の適切な内積計算の処理を用いることが可能である。

〔算術シェア同士の減算〕
算術シェア同士の減算とは、２つの算術演算シェア[ａ],[ｂ]を入力として、[ａ－ｂ]を出力する処理である。算術シェア同士の減算の処理の呼び出しとしては、［ａ－ｂ］←Sub([ａ]，[ｂ])と表す。算術シェア同士の減算の具体的な処理は、例えば非特許文献１や非特許文献４に記載の方法を用いることができるが、本発明の実施形態にあたり、その他の適切な算術シェア同士の減算の処理を用いることが可能である。

〔再分散〕
再分散とは、論理演算シェア[[ｘ]]を入力として、ｘ＝ｘ_１ XOR ｘ_２ XOR ｘ_３ ｍｏｄ２となる([ｘ_１]，[ｘ_２]，[ｘ_３])を出力する処理である。再分散の処理の呼び出しとしては、([ｘ_１]，[ｘ_２]，[ｘ_３])←LocalReshare（[[ｘ]]）と表す。再分散の具体的な処理は、例えば非特許文献２に記載の方法を用いることできるが、本発明の実施形態にあたり、その他の適切な再分散の処理を用いることが可能である。

〔算術演算に関する不正検知用乱数生成〕
算術演算に関する不正検知用乱数生成とは、[ａ],[ｂ],[ｃ]もしくは不正を検知したことを意味する⊥を出力する処理である。ここで、ａ,ｂ,ｃ∈Ｚ_２ ^ｋであり、ｃ＝ａｂを満たすランダムな値とする。この処理はシェア同士の算術乗算に関する不正検知に用いる。処理の呼び出しとしては、([ａ],[ｂ],[ｃ])←Ａ－TripleGenと表す。具体的な処理は、例えば非特許文献５、非特許文献６に記載の方法を用いることができるが、本発明の実施形態にあたり、その他の適切な算術演算に関する不正検知用乱数生成の処理を用いることが可能である。

〔行列演算に関する不正検知用乱数生成〕
行列演算に関する不正検知用乱数生成とは、[Ａ],[Ｂ],[Ｃ]もしくは不正を検知したことを意味する⊥を出力する処理である。ここで、Ａ,Ｂ,Ｃは、Ｃ＝ＡＢを満たすＺ_２ ^ｋ上の値を要素にもつランダムな行列である。この処理は行列積演算に関する不正検知に用いる。ここで、行列積には内積演算が含まれる。なお、処理の呼び出しとしては、([Ａ],[Ｂ],[Ｃ])←Ｍ－TripleGenと表す。具体的な処理は、例えば非特許文献４に記載の方法を用いることできるが、その他の適切な行列演算に関する不正検知用乱数生成の処理を用いることが可能である。

〔不正検知可能ビット埋め込み〕
不正検知可能ビット埋め込みとは、[[ｘ]]_、([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])、および([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ])を入力として、[ｘ]もしくは不正を検知したことを意味する⊥を出力する処理である。なお、処理の呼び出しとしては、[ｘ]←ｍ－BitInjection([[ｘ]]，([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])，([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ]))と表す。具体的な処理は、例えば非特許文献２、非特許文献３、非特許文献４に記載の方法と非特許文献５、非特許文献６に記載の方法とを組み合わせることで実現できるが、その他の適切な不正検知可能ビット埋め込みの処理を用いることが可能である。

〔不正検知可能内積計算〕
不正検知可能内積計算とは、２つのベクトルｘ＝(ｘ_１,...,ｘ_ｎ)，ｙ＝(ｙ_１,...,ｙ_ｎ)に関する２つの算術演算シェアのベクトル([ｘ_１],...,[ｘ_n])，([ｙ_１],...,[ｙ_n])と([Ａ],[Ｂ],[Ｃ])とを入力として、[Σ_ｉ＝０ ^ｎｘ_ｉｙ_ｉ]もしくは不正を検知したことを意味する⊥を出力する処理である。不正検知可能内積計算の処理の呼び出しとしては、ｍ－InnerProduct(([ｘ_１],...,[ｘ_n])，([ｙ_１],...,[ｙ_n]，([Ａ],[Ｂ],[Ｃ]))と記載する。具体的な処理は、例えば非特許文献４に記載の方法を用いることできるが、その他の適切な不正検知可能内積計算の処理を用いることが可能である。

［第１の実施形態］
以下、図１、図２、図３を参照して、本発明の第１の実施形態に係る秘密計算システムおよび秘密計算方法について説明する。

図１は、本発明の第１の実施形態による秘密計算システムの機能構成例を示すブロック図である。図１に示すように、本発明の第１の実施形態による秘密計算システム１００は、第１の秘密計算サーバ装置１００_１と第２の秘密計算サーバ装置１００_２と第３の秘密計算サーバ装置１００_３とを備えている。第１の秘密計算サーバ装置１００_１、第２の秘密計算サーバ装置１００_２、および第３の秘密計算サーバ装置１００_３は、それぞれが互いにネットワーク経由で通信可能に接続されている。

図２は、秘密計算サーバ装置の機能構成例を示すブロック図である。図２に示される秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）は、第１の秘密計算サーバ装置１００_１、第２の秘密計算サーバ装置１００_２、および第３の秘密計算サーバ装置１００_３を代表して例示した機能構成例である。

図２に示すように、秘密計算サーバ装置１００_ｉは、算術演算部１０１_ｉと、論理演算部１０２_ｉと、内積計算部１０３_ｉと、乱数生成部１０４_ｉと、シード記憶部１０５_ｉと、シェア値記憶部１０６_ｉと、事前生成乱数記憶部１０７_ｉと、を含む。これら算術演算部１０１_ｉ、論理演算部１０２_ｉ、内積計算部１０３_ｉ、乱数生成部１０４_ｉ、シード記憶部１０５_ｉ、シェア値記憶部１０６_ｉ、および事前生成乱数記憶部１０７_ｉは、後に例示するハードウェア構成によって、メモリに記憶されたプログラムをプロセッサが実行することによって実現することも可能である。

上記構成の第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）を備える秘密計算システム１００においては、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１、２、３）の内のいずれかの秘密計算サーバ装置１００_ｉが入力した値ｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その入力や計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における各シェア値記憶部１０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）を備える秘密計算システム１００においては、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における各シェア値記憶部１０６_ｉに記憶されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における各シェア値記憶部１０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）を備える秘密計算システム１００においては、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１、２、３）以外から入力されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における各シェア値記憶部１０６_ｉに記憶する。

なお、上記計算結果のシェアは、第１～第３の秘密計算サーバ装置１００_１～１００_３とシェアを送受信することで、復元してもよい。あるいは、第１～第３の秘密計算サーバ装置１００_１～１００_３ではない外部にシェアを送信することで、復元してもよい。

次に、本発明の第１の実施形態における秘密計算方法について詳細に説明を行う。すなわち、上記説明した第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）を備える秘密計算システム１００の動作について説明する。図３は、ビット結合に関する動作例を示すフローチャートである。以下、各ステップを説明する。

（ステップＡ１）
秘密計算システム１００は、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）の各シード記憶部１０５_ｉにそれぞれシード（ｋ_ｉ，ｋ_ｉ＋１）を記憶する。なお、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）は、乱数生成部１０４_ｉに疑似乱数生成器Hを共有している。

（ステップＡ４）
次に、秘密計算システム１００は、論理演算の乱数を生成する。秘密計算サーバ装置１００_ｉをＰ_ｉと表せば、各秘密計算サーバ装置１００_ｉは、処理(ｒ_ｊ,ｉ，ｒ_{ｊ,ｉ＋１})←RandGen(Ｐ_ｉ，(ｋ_ｉ，ｋ_ｉ＋１)，ｖｉｄ)を実行する（ｉ＝１，２，３かつｊ＝０,...,ｋ－１）。ｒｊ＝ｒ_ｊ,ｉ XORｒ_ｊ,ｉ XOR ｒ_ｊ,ｉ ｍｏｄ ２としたとき、各秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）は、[[ｒ_ｊ]]_ｉを事前生成乱数記憶部１０７_ｉに記憶する。

（ステップＡ５）
さらに、秘密計算システム１００は、算術演算の乱数を生成する。第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における各算術演算部１０１_ｉは、事前生成乱数記憶部１０７_ｉに記憶されている[[ｒ_ｊ]]_ｉを用いて、ビット埋め込みの処理[ｒ_ｊ]←BitInjection([[ｒ_ｊ]])を実行する（ｊ＝０,...,ｋ－１）。そして、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）は、計算された乱数のシェア[ｒ_ｊ]_ｉを事前生成乱数記憶部１０７_ｉに記憶する。

（ステップＡ６）
ここで、秘密計算システム１００は、各シェア値記憶部１０６_ｉに記憶されているビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）を初めて処理に用いる。すなわち、本発明の第１の実施形態における秘密計算方法では、ステップＡ１からステップＡ５までの処理において、ビット結合の対象を用いる必要がない。本発明の第１の実施形態における秘密計算方法では、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）の各シェア値記憶部１０６_ｉには、ビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）が既に記憶されているとしてもよいし、ステップＡ６にて、ビット結合の対象となる入力を受け付けるとしてもよい。

秘密計算システム１００は、キャリーの復元を行う。具体的には、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）の各論理演算部１０２_ｉは、ビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）と論理演算の乱数のシェア[[ｒ_０]]_ｉ,...,[[ｒ_ｋ－１]]_ｉを用いて、以下のようにキャリーＣ_ｊ,ｉを計算する。
α_ｉ←ＣＲ(Ｐｉ，(ｋ_ｉ，ｋ_ｉ＋１)，ｖｉｄ_ｊ,α) （ｆｏｒ ｊ＝０,...,ｋ－１）
Ｃ_ｊ,ｉ＝α_ｊ,ｉ XOR ｒ_ｊ,ｉ XOR (ｘ_ｊ,ｉ ｘ_{ｊ,ｉ＋１}) （ｆｏｒ ｊ＝０,...,ｋ－１）

次に、第３の秘密計算サーバ装置１００_３の論理演算部１０２_３は、第１の秘密計算サーバ装置１００_１の論理演算部１０２_１と第２の秘密計算サーバ装置１００_２の論理演算部１０２_２とに、Ｃ_ｊ,３ （ｊ＝０,...,ｋ－１）を送信する。一方、第１の秘密計算サーバ装置１００_１の論理演算部１０２_１は、第２の秘密計算サーバ装置１００_２の論理演算部１０２_２にＣ_ｊ,２ （ｊ＝０,...,ｋ－１）を送信し、第２の秘密計算サーバ装置１００_２の論理演算部１０２_２は、第１の秘密計算サーバ装置１００_１の論理演算部１０２_１にＣ_ｊ,１ （ｊ＝０,...,ｋ－１）を送信する。

そして、第１の秘密計算サーバ装置１００_１の論理演算部１０２_１および第２の秘密計算サーバ装置１００_２の論理演算部１０２_２は、以下のようにしてＣ_ｊ XOR ｒ_ｊ（ｊ＝０,...,ｋ－１）を計算する。
Ｃ_ｊ XOR ｒ_ｊ＝Ｃ_ｊ,１ XOR Ｃ_ｊ,2 XOR Ｃ_ｊ,3 ｍｏｄ ２

計算後、第１の秘密計算サーバ装置１００_１の論理演算部１０２_１および第２の秘密計算サーバ装置１００_２の論理演算部１０２_２は、各Ｃ_ｊをそれぞれ、第１の秘密計算サーバ装置１００_１の算術演算部１０１_１および第２の秘密計算サーバ装置１００_２の算術演算部１０１_２に送信する。そして、各算術演算部１０１_ｉは、以下のように[Ｃ_ｊ XOR ｒ_ｊ]を得る。
Ｐ_１：[Ｃ_ｊ XOR ｒ_ｊ]_１＝（０，Ｃ_ｊ）
Ｐ_２：[Ｃ_ｊ XOR ｒ_ｊ]_２＝（Ｃ_ｊ，０）
Ｐ_３：[Ｃ_ｊ XOR ｒ_ｊ]_３＝（０，０）

さらに、各算術演算部１０１_ｉは、[Ｃ_ｊ XOR ｒ_ｊ] （ｊ＝０,...,ｋ－１）をそれぞれシェア値記憶部１０６_ｉに送信し、シェア値記憶部１０６_ｉは、[Ｃ_ｊ XOR ｒ_ｊ] （ｊ＝０,...,ｋ－１）を記憶する。

（ステップＡ８）
秘密計算システム１００は、キャリーと乱数の減算を行う。具体的には、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における算術演算部１０１_ｉは、以下のように、[Ｃ_ｊ XOR ｒ_ｊ]と[ｒ_ｊ] （ｊ＝０,...,ｋ－１）を用いて、[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ] （ｊ＝０,...,ｋ－１）を計算する。
[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ]←Sub([Ｃ_ｊ XOR ｒ_ｊ]，[ｒ_ｊ])

計算後、各算術演算部１０１_ｉは、[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ] （ｊ＝０,...,ｋ－１）をそれぞれのシェア値記憶部１０６_ｉに送信し、シェア値記憶部１０６_ｉは、[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ] （ｊ＝０,...,ｋ－１）を記憶する。

（ステップＡ９）
秘密計算システム１００は、内積を用いたキャリーのマスクを取り除く計算を行う。具体的には、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における内積計算部１０３_ｉは、[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ] （ｊ＝０,...,ｋ－１）を用いて、以下のような計算を行う。ここで、[ｙ]=[Σ_j=0 ^k-1 ２^ｊ(－２)ｃ_ｊ]とする。

計算後、各内積計算部１０３_ｉは、[ｙ]_ｉをシェア値記憶部１０６_ｉに送信し、シェア値記憶部１０６_ｉは、[ｙ]_ｉを記憶する。

（ステップＡ１０）
秘密計算システム１００は、再分散を行う。具体的には、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）における算術演算部１０１_ｉは、[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２，ｘ_ｊ＝ｘ_ｊ,１ XOR ｘ_ｊ,２ XOR ｘ_ｊ,３ ｍｏｄ ２）を用いて、以下の計算をする。
([ｘ_ｊ,１]，[ｘ_ｊ,２]，[ｘ_ｊ,３])←LocalReshare（[[ｘ_ｊ]]） （ｆｏｒ ｊ＝０,...,ｋ－１）

（ステップＡ１１）
秘密計算システム１００は、キャリーの消去を行う。具体的には、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）の算術演算部１０１_ｉは、再分散された算術シェアと([ｘ_ｊ,１]，[ｘ_ｊ,２]，[ｘ_ｊ,３])（ｊ＝０,...,ｋ－１）と[ｙ]_ｉを用いて、以下の計算を行う。

計算後、各算術演算部１０１_ｉは、[ｘ]_ｉをシェア値記憶部１０６_ｉに送信し、シェア値記憶部１０６_ｉは、[ｘ]_ｉを記憶する。これにより、第１～第３の秘密計算サーバ装置１００_ｉ（ｉ＝１，２，３）は、ビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）からビット結合後の[ｘ]_ｉを得ることができる。

以上説明した本発明の第１の実施形態においては、以下のような効果を奏する。

本発明の第１の実施形態においては、ビット結合のような、ビット埋め込みが並列実行される際の効率が良くなる。上記説明したように、本発明の第１の実施形態においては、ステップＡ１～Ａ５までは入力と独立して実行可能であるので、実際に入力を伴って計算するのは、ステップＡ６～Ａ１１のみである。そして、ステップＡ６～Ａ１１における通信量はO(ｋ)で抑えられる。先述したように、ビット埋め込みをｋ回並列に実行したとすると、通信量はO(ｋ^２)になるので、入力がされた後の通信量で比較すると、本発明の第１の実施形態は、通信量がオーダーで改善している。つまり、本発明の第１の実施形態は顕著に効率がよい。

なお、本発明の第１の実施形態は、ビット結合に限らず、法の変換を伴う型変換に適用することができる。なお、ここでいう「法」とは、先述した２を法とする剰余類環をＺ_２とし、２^kを法とする剰余類環をＺ_２ ^ｋとした場合の法のことである。したがって、本発明の第１の実施形態をPopCount（値が１であるビットの個数をカウントする処理）にも適用可能である。

具体的には、上記ステップＡ９における処理とステップＡ１１における処理をそれぞれ以下のように変更することで、本発明の第１の実施形態をPopCountにも適用可能である。

（ステップＡ９）

（ステップＡ１１）

また、本発明の第１の実施形態のステップＡ９における処理とステップＡ１１における処理をそれぞれ上記のように変更しても、ステップＡ６～Ａ１１における通信量はO(k)で抑えられる。

［第２の実施形態］
以下、図４、図５、図６を参照して、本発明の第２の実施形態に係る秘密計算システムおよび秘密計算方法について説明する。

図４は、本発明の第２の実施形態による秘密計算システムの機能構成例を示すブロック図である。図４に示すように、本発明の第２の実施形態による秘密計算システム２００は、第１の秘密計算サーバ装置２００_１と第２の秘密計算サーバ装置２００_２と第３の秘密計算サーバ装置２００_３と補助サーバ装置２０８とを備えている。第１の秘密計算サーバ装置１００_１、第２の秘密計算サーバ装置２００_２、第３の秘密計算サーバ装置２００_３、および補助サーバ装置２０８は、それぞれが互いにネットワーク経由で通信可能に接続されている。

図５は、秘密計算サーバ装置の機能構成例を示すブロック図である。図５に示される秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）は、第１の秘密計算サーバ装置２００_１、第２の秘密計算サーバ装置２００_２、および第３の秘密計算サーバ装置２００_３を代表して例示した機能構成例である。

図５に示すように、秘密計算サーバ装置２００_ｉは、算術演算部２０１_ｉと、論理演算部２０２_ｉと、内積計算部２０３_ｉと、乱数生成部２０４_ｉと、シード記憶部２０５_ｉと、シェア値記憶部２０６_ｉと、事前生成乱数記憶部２０７_ｉと、を含む。これら算術演算部２０１_ｉ、論理演算部２０２_ｉ、内積計算部２０３_ｉ、乱数生成部２０４_ｉ、シード記憶部２０５_ｉ、シェア値記憶部２０６_ｉ、および事前生成乱数記憶部２０７_ｉは、後に例示するハードウェア構成によって、メモリに記憶されたプログラムをプロセッサが実行することによって実現することも可能である。

上記構成の第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）を備える秘密計算システム２００においては、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１、２、３）の内のいずれかの秘密計算サーバ装置２００_ｉが入力した値ｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その入力や計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における各シェア値記憶部２０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）を備える秘密計算システム２００においては、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における各シェア値記憶部２０６_ｉに記憶されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における各シェア値記憶部２０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）を備える秘密計算システム２００においては、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１、２、３）以外から入力されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における各シェア値記憶部２０６_ｉに記憶する。

なお、上記計算結果のシェアは、第１～第３の秘密計算サーバ装置２００_１～２００_３とシェアを送受信することで、復元してもよい。あるいは、第１～第３の秘密計算サーバ装置２００_１～２００_３ではない外部にシェアを送信することで、復元してもよい。

次に、本発明の第２の実施形態における秘密計算方法について詳細に説明を行う。すなわち、上記説明した第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）と補助サーバ装置２０８とを備える秘密計算システム２００の動作について説明する。図６は、ビット結合に関する動作例を示すフローチャートである。以下、各ステップを説明する。

（ステップＢ１）
秘密計算システム２００は、先述したステップＡ１と同じ処理を行う。すなわち、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）の各シード記憶部２０５_ｉにそれぞれシード（ｋ_ｉ，ｋ_ｉ＋１）を記憶する。なお、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）は、乱数生成部２０４_ｉに疑似乱数生成器Hを共有している。

（ステップＢ２）
次に、秘密計算システム２００は、不正検知用乱数を生成する。具体的には、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における各乱数生成部２０４_ｉは、以下のように算術演算および行列演算に関する不正検知用乱数の生成を行う。
([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])←Ａ－TripleGen （ｆｏｒ ｊ＝０,...,ｋ－１）
([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ])←Ａ－TripleGen （ｆｏｒ ｊ＝０,...,ｋ－１）
([Ａ_ｊ],[Ｂ_ｊ],[Ｃ_ｊ])←Ｍ－TripleGen （ｆｏｒ ｊ＝０,...,ｋ－１）

なお、不正検知用乱数を生成する過程で不正が検知された場合（ステップＢ２；⊥）、⊥が出力され、abortとなる。その後、各乱数生成部２０４_ｉは、事前生成乱数記憶部２０７_ｉに([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])、([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ])、および([Ａ_ｊ],[Ｂ_ｊ],[Ｃ_ｊ])を記憶する。なお、abortとは、異常を検出したとの判断から処理を停止することである。

（ステップＢ４）
秘密計算システム２００は、先述したステップＡ４と同じ処理を用いて、論理演算の乱数の生成を行う。すなわち、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）は、論理演算の乱数[[ｒ_ｊ]]_ｉを生成し、[[ｒ_ｊ]]_ｉを事前生成乱数記憶部２０７_ｉに記憶する。

（ステップＢ５）
次に、秘密計算システム２００は、算術演算の乱数の生成を行う。具体的には、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における算術演算部２０１_ｉは、[[ｒ_ｊ]]_ｉ、([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])、および([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ])を用いて、以下の処理を行う。
[ｒ_ｊ]←ｍ－BitInjection([[ｒ_ｊ]]，([ａ_ｊ],[ｂ_ｊ],[ｃ_ｊ])，([ａ′_ｊ],[ｂ′_ｊ],[ｃ′_ｊ])) （ｆｏｒ ｊ＝０,...,ｋ－１）

なお、上記処理の過程で不正が検知された場合（ステップＢ５；⊥）、⊥が出力され、abortとなる。その後、各算術演算部２０１_ｉは、事前生成乱数記憶部２０７_ｉに[ｒ_ｊ] _ｉを記憶する。

（ステップＢ６）
秘密計算システム２００は、先述したステップＡ６と同じ処理を用いて、キャリーの復元を行う。なお、本発明の第２の実施形態の秘密計算方法においても、秘密計算システム２００は、各シェア値記憶部２０６_ｉに記憶されているビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）をステップＢ６にて初めて処理に用いる。

（ステップＢ７）
次に、秘密計算システム２００は、ステップＢ６にて送信されたキャリーＣ_ｊ,ｉ（ｉ＝１，２，３）に不正がないか検証する。

最初に論理演算部２０２_１が受信したキャリーＣ_ｊ,３の検証を説明する。まず、論理演算部２０２_１は、受信したキャリーＣ_ｊ,３を乱数でマスクした値と、他の値を補助サーバ装置２０８に送信する。そして、補助サーバ装置２０８は、論理演算部２０２_１と論理演算部２０２_２から送信された値を用いることで論理演算部２０２_１および論理演算部２０２_２が受信したＣ_ｊ,３の値に改ざんがないかを判定する。後述の検証式(＊)が成立するのであれば、以降の処理を継続する。成立しなかった場合（ステップＢ７；⊥）、⊥を出力し、abortする。

続いて、論理演算部２０２_１は、以下を計算する。計算後、論理演算部２０２_１はm′_j、m_j,1,1、m_j,1,2を補助サーバ装置２０８に送信する。

一方、論理演算部２０２_２は、以下を計算する。計算後、論理演算部２０２_２はm_j,2,1、m_j,2,2を補助サーバ装置２０８に送信する。

補助サーバ装置２０８は、以下の等式が成り立つか否かを判定する。等式が成り立つ場合、処理を継続し、不成立である場合（ステップＢ７；⊥）、⊥を出力し、abortする。

なお、Ｃ_ｊ,1およびＣ_ｊ,2および論理演算部２０２_２が受信したキャリーＣ_ｊ,３の検証についても同様に行う。

（ステップＢ８）
秘密計算システム２００は、先述したステップＡ８と同じ処理を用いて、キャリーと乱数の減算を行う。

（ステップＢ９）
次に、秘密計算システム２００は、内積を用いたキャリーのマスクを取り除く計算を行う。具体的には、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）における内積計算部２０３_ｉは、[(Ｃ_ｊ XOR ｒ_ｊ)－ｒ_ｊ] （ｊ＝０,...,ｋ－１）を用いて、以下のような計算を行う。ここで、[ｙ]=[Σ_j=0 ^k-1 ２^ｊ(－２)ｃ_ｊ]とする。なお、ここでは不正検知可能内積計算を行い、不正が検知された場合（ステップＢ９；⊥）、⊥を出力し、abortする。

計算後、各内積計算部２０３_ｉは、[ｙ]_ｉをシェア値記憶部２０６_ｉに送信し、シェア値記憶部２０６_ｉは、[ｙ]_ｉを記憶する。

（ステップＢ１０）
秘密計算システム２００は、先述したステップＡ１０と同じ処理を用いて、再分散を行う。

（ステップＢ１１）
秘密計算システム２００は、先述したステップＡ１１と同じ処理を用いて、キャリーの消去を行う。これにより、第１～第３の秘密計算サーバ装置２００_ｉ（ｉ＝１，２，３）は、ビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）からビット結合後の[ｘ]_ｉを得ることができる。

以上説明した本発明の第２の実施形態においては、以下のような効果を奏する。

本発明の第２の実施形態においては、不正検知可能なビット結合のような、不正検知可能なビット埋め込みが並列実行される際の効率が良くなる。上記説明したように、本発明の第２の実施形態においては、ステップＢ１～Ｂ５までは入力と独立して実行可能であるので、実際に入力を伴って計算するのは、ステップＢ６～Ｂ１１のみである。そして、ステップＢ６～Ｂ１１における通信量はO(ｋ)で抑えられる。先述したように、ビット埋め込みをｋ回並列に実行したとすると、通信量はO(ｋ^２)になるので、入力がされた後の通信量で比較すると、本発明の第２の実施形態は、通信量がオーダーで改善している。つまり、本発明の第２の実施形態は、不正検知可能でありつつ、顕著に効率がよい。

なお、本発明の第２の実施形態は、不正検知可能なビット結合に限らず、不正検知可能なPopCount（値が１であるビットの個数をカウントする）といった処理にも適用することができる。その場合、上記ステップＢ９における処理とステップＢ１１における処理を第１の実施形態の場合と同様に修正すればよい。

［第３の実施形態］
以下、図７、図８、図９を参照して、本発明の第３の実施形態に係る秘密計算システムおよび秘密計算方法について説明する。

図７は、本発明の第３の実施形態による秘密計算システムの機能構成例を示すブロック図である。図７に示すように、本発明の第３の実施形態による秘密計算システム３００は、第１の秘密計算サーバ装置３００_１と第２の秘密計算サーバ装置３００_２と第３の秘密計算サーバ装置３００_３と第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２とを備えている。第１の秘密計算サーバ装置３００_１、第２の秘密計算サーバ装置３００_２、第３の秘密計算サーバ装置３００_３、第１の補助サーバ装置３０８_１、および第２の補助サーバ装置３０８_２は、それぞれが互いにネットワーク経由で通信可能に接続されている。

図８は、秘密計算サーバ装置の機能構成例を示すブロック図である。図８に示される秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）は、第１の秘密計算サーバ装置３００_１、第２の秘密計算サーバ装置３００_２、および第３の秘密計算サーバ装置３００_３を代表して例示した機能構成例である。

図８に示すように、秘密計算サーバ装置３００_ｉは、算術演算部３０１_ｉと、論理演算部３０２_ｉと、内積計算部３０３_ｉと、乱数生成部３０４_ｉと、シード記憶部３０５_ｉと、シェア値記憶部３０６_ｉと、事前生成乱数記憶部３０７_ｉと、を含む。これら算術演算部３０１_ｉ、論理演算部３０２_ｉ、内積計算部３０３_ｉ、乱数生成部３０４_ｉ、シード記憶部３０５_ｉ、シェア値記憶部３０６_ｉ、および事前生成乱数記憶部３０７_ｉは、後に例示するハードウェア構成によって、メモリに記憶されたプログラムをプロセッサが実行することによって実現することも可能である。

上記構成の第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）を備える秘密計算システム３００においては、第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１、２、３）の内のいずれかの秘密計算サーバ装置３００_ｉが入力した値ｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その入力や計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）における各シェア値記憶部３０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）を備える秘密計算システム３００においては、第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）における各シェア値記憶部３０６_ｉに記憶されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｉｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）における各シェア値記憶部３０６_ｉに記憶する。

また、上記構成の第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）を備える秘密計算システム３００においては、第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１、２、３）以外から入力されたシェア[[ｘ_０]],...,[[ｘ_ｋ－１]]（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）に対し、その計算過程の値からｘ_０,...,ｘ_ｋ－１（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）の値を知られることなくシェア[ｘ]を計算し、これを第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）における各シェア値記憶部３０６_ｉに記憶する。

なお、上記計算結果のシェアは、第１～第３の秘密計算サーバ装置３００_１～３００_３とシェアを送受信することで、復元してもよい。あるいは、第１～第３の秘密計算サーバ装置３００_１～３００_３ではない外部にシェアを送信することで、復元してもよい。

次に、本発明の第３の実施形態における秘密計算方法について詳細に説明を行う。すなわち、上記説明した第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）と第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２とを備える秘密計算システム３００の動作について説明する。図９は、ビット結合に関する動作例を示すフローチャートである。以下、各ステップを説明する。

（ステップＣ１）
秘密計算システム３００における秘密計算サーバ装置３００_１～３００_３は、ステップＡ１と等しい動作を行う。その上で、第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２は、シードseed′と疑似乱数生成器Hを共有する。

（ステップＣ２）
次に、第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２は、共有したシードseed′と疑似乱数生成器Hを用いて、乱数ａ，ｂ∈Ｚ_２ ^ｋを生成する。さらに、第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２は、共有したシードseed′と疑似乱数生成器Hを用いて、([ａ]，[ｂ]，[ａｂ])を生成し、第１～第３の秘密計算サーバ装置３００_１～３００_３に分散する。

（ステップＣ３）
第１～第３の秘密計算サーバ装置３００_１～３００_３は、ステップＣ２にて、第１の補助サーバ装置３０８_１と第２の補助サーバ装置３０８_２のそれぞれから受信した値が一致しているか否かを判定する。一致していた場合は、以降の処理を継続し、不一致だった場合（ステップＣ３；⊥）、⊥を出力し、abortする。

以降、ステップＣ４～Ｃ１１では、秘密計算システム３００は、先述したステップＢ４～Ｂ１１と同等の処理を行う。すなわち、秘密計算システム３００は、ステップＣ４で論理演算の乱数の生成を行い、ステップＣ５で算術演算の乱数の生成を行い、ステップＣ６でキャリーの復元を行い、ステップＣ７でキャリーに不正がないか検証し、ステップＣ８でキャリーと乱数の減算を行い、ステップＣ９で内積を用いたキャリーのマスクを取り除く計算を行い、ステップＣ１０で再分散を行い、ステップＣ１１でキャリーの消去を行う。これにより、第１～第３の秘密計算サーバ装置３００_ｉ（ｉ＝１，２，３）は、ビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）からビット結合後の[ｘ]_ｉを得ることができる。

なお、本発明の第３の実施形態における秘密計算方法においても、秘密計算システム３００は、各シェア値記憶部３０６_ｉに記憶されているビット結合の対象となるシェア[[ｘ_０]]_ｉ,...,[[ｘ_ｋ－１]]_ｉ（ｘ＝Σ_ｊ＝０ ^ｋ－１ ２^ｊｘ_ｊ，ｘ_ｊ∈Ｚ_２）をステップＣ６にて初めて処理に用いる。

以上説明した本発明の第３の実施形態においては、以下のような効果を奏する。

本発明の第３の実施形態においては、不正検知可能なビット結合のような、不正検知可能なビット埋め込みが並列実行される際の効率が良くなる。上記説明したように、本発明の第２の実施形態においては、ステップＢ１～Ｂ５までは入力と独立して実行可能であるので、実際に入力を伴って計算するのは、ステップＢ６～Ｂ１１のみである。そして、ステップＢ６～Ｂ１１における通信量はO(ｋ)で抑えられる。先述したように、ビット埋め込みをｋ回並列に実行したとすると、通信量はO(ｋ^２)になるので、入力がされた後の通信量で比較すると、本発明の第２の実施形態は、通信量がオーダーで改善している。つまり、本発明の第２の実施形態は、不正検知可能でありつつ、顕著に効率がよい。

ただし、本発明の第３の実施形態においては、第２の実施形態とは異なり、決定的な不正検知が可能となる。第２の実施形態における第１の効果では、確率的な不正検知しか行えなかった。このため、不正検知の確率を向上させようとすると、通信量が増加してしまう問題があった。一方で、第３の実施形態では、不正検知は決定的に行われる。

なお、本発明の第３の実施形態は、不正検知可能なビット結合に限らず、不正検知可能なPopCount（値が１であるビットの個数をカウントする）といった処理にも適用することができる。その場合、上記ステップＣ９における処理とステップＣ１１における処理を第１の実施形態の場合と同様に修正すればよい。本発明の第３の実施形態を適用したPopCountでも、ビット結合と同様に、決定的な不正検知が可能となる。

［ハードウェア構成例］
図１０は、秘密計算サーバ装置のハードウェア構成例を示す図である。すなわち、図１０に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）のハードウェア構成例である。図１０に示すハードウェア構成を採用した情報処理装置（コンピュータ）は、上記説明した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉの各機能を実現することを可能にする。

ただし、図１０に示すハードウェア構成例は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）の各機能を実現するハードウェア構成の一例であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）のハードウェア構成を限定する趣旨ではない。秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）は、図１０に示さないハードウェアを含むことができる。

図１０に示すように、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）が採用し得るハードウェア構成１０は、例えば内部バスにより相互に接続される、ＣＰＵ（Central Processing Unit）１１、主記憶装置１２、補助記憶装置１３、およびＩＦ（Interface）部１４を備える。

ＣＰＵ１１は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）が実行する秘密計算プログラムに含まれる各指令を実行する。主記憶装置１２は、例えばＲＡＭ（Random Access Memory）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）が実行する秘密計算プログラムなどの各種プログラムなどをＣＰＵ１１が処理するために一時記憶する。

補助記憶装置１３は、例えば、ＨＤＤ（Hard Disk Drive）であり、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）が実行する秘密計算プログラムなどの各種プログラムなどを中長期的に記憶しておくことが可能である。秘密計算プログラムなどの各種プログラムは、非一時的なコンピュータ可読記録媒体（non-transitory computer-readable storage medium）に記録されたプログラム製品として提供することができる。補助記憶装置１３は、非一時的なコンピュータ可読記録媒体に記録された秘密計算プログラムなどの各種プログラムを中長期的に記憶することに利用することが可能である。

ＩＦ部１４は、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）間の入出力に関するインターフェイスを提供する。また、補助サーバ装置２０８，３０８_１，３０８_２との間における入出力に関するインターフェイスとして用いてもよい。

上記のようなハードウェア構成１０を採用した情報処理装置は、先述した秘密計算方法をプログラムとして実行することで、秘密計算サーバ装置１００_ｉ，２００_ｉ，３００_ｉ（ｉ＝１，２，３）の各機能を実現する。

上記の実施形態の一部又は全部は、以下の付記のようにも記載され得るが、以下には限られない。
［付記１］
相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を備える秘密計算システムであって、
前記秘密計算サーバ装置のそれぞれが、
前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、
前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、
前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、
少なくとも処理対象となるシェアを記憶するシェア値記憶部と、
前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、
前記キャリーからマスクを除去する内積計算部と、
前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、
を有する、秘密計算システム。
［付記２］
前記乱数は、論理演算の乱数と算術演算の乱数とを含む、付記１に記載の秘密計算システム。
［付記３］
前記算術演算の乱数は、前記論理演算の乱数にビット埋め込みの処理をすることで得られる、付記２に記載の秘密計算システム。
［付記４］
前記処理対象となるシェアから前記処理結果へは、法の変換を伴う型変換になっている、付記１から付記３のいずれか１に記載の秘密計算システム。
［付記５］
前記処理対象となるシェアから前記処理結果へは、前記処理対象となるシェアに含まれるビットを結合するビット結合の処理である付記４に記載の秘密計算システム。
［付記６］
前記処理対象となるシェアから前記処理結果へは、前記処理対象となるシェアから値が１であるビットの個数をカウントする処理である付記４に記載の秘密計算システム。
［付記７］
前記秘密計算サーバ装置と相互にネットワークで接続した、前記キャリーを用いて不正検知を行う補助サーバ装置を備える、付記１から付記６のいずれか１に記載の秘密計算システム。
［付記８］
前記秘密計算サーバ装置と相互にネットワークで接続し、不正検知用の乱数を生成するためのシードと疑似乱数生成器を共有する２つの補助サーバ装置を備える、付記１から７のいずれか１に記載の秘密計算システム。
［付記９］
相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置の一つであって、
前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、
前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、
前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、
少なくとも処理対象となるシェアを記憶するシェア値記憶部と、
前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、
前記キャリーからマスクを除去する内積計算部と、
前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、
を備える、秘密計算サーバ装置。
［付記１０］
相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を用いる秘密計算方法であって、
前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて乱数を生成し、
前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを計算し、
内積計算を用いて前記キャリーからマスクを除去し、
前記キャリーを消去して処理結果を得る、秘密計算方法。
［付記１１］
前記乱数は、論理演算の乱数と算術演算の乱数とを含む、付記１０に記載の秘密計算方法。
［付記１２］
前記算術演算の乱数は、前記論理演算の乱数にビット埋め込みの処理をすることで得られる、付記１１に記載の秘密計算方法。
［付記１３］
前記乱数は、不正検知用の乱数を含む、付記１０から付記１２のいずれか１に記載の秘密計算方法。
［付記１４］
前記秘密計算サーバ装置ではないサーバ装置にて前記キャリーを用いて不正検知をした後に前記内積計算を行う、付記１０から付記１３のいずれか１に記載の秘密計算方法。
［付記１５］
前記内積計算は、不正検知可能な内積計算である、付記１０から付記１４のいずれか１に記載の秘密計算方法。
［付記１６］
前記秘密計算サーバ装置ではない２つのサーバ装置から受信した乱数を用いて不正検知を行う、付記１０から付記１５のいずれか１に記載の秘密計算方法。
［付記１７］
相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置に実行させる秘密計算プログラムであって、
前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて乱数を生成し、
前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを計算し、
内積計算を用いて前記キャリーからマスクを除去し、
前記キャリーを消去して処理結果を得る、秘密計算プログラム。

なお、引用した上記の特許文献等の各開示は、本書に引用をもって繰り込むものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の全開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし、選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

１００，２００，３００ 秘密計算システム
１００_ｉ，２００_ｉ，３００_ｉ 秘密計算サーバ装置
１０１_ｉ，２０１_ｉ，３０１_ｉ 算術演算部
１０２_ｉ，２０２_ｉ，３０２_ｉ 論理演算部
１０３_ｉ，２０３_ｉ，３０３_ｉ 内積計算部
１０４_ｉ，２０４_ｉ，３０４_ｉ 乱数生成部
１０５_ｉ，２０５_ｉ，３０５_ｉ シード記憶部
１０６_ｉ，２０６_ｉ，３０６_ｉ シェア値記憶部
１０７_ｉ，２０７_ｉ，３０７_ｉ 事前生成乱数記憶部
２０８，３０８_１，３０８_１ 補助サーバ装置

Claims (17)

1. 相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を備える秘密計算システムであって、
   前記秘密計算サーバ装置のそれぞれが、
   前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、
   前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、
   前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、
   少なくとも処理対象となるシェアを記憶するシェア値記憶部と、
   前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、
   前記キャリーからマスクを除去する内積計算部と、
   前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、
   を有する、秘密計算システム。
2. 前記乱数は、論理演算の乱数と算術演算の乱数とを含む、請求項１に記載の秘密計算システム。
3. 前記算術演算の乱数は、前記論理演算の乱数にビット埋め込みの処理をすることで得られる、請求項２に記載の秘密計算システム。
4. 前記処理対象となるシェアから前記処理結果へは、法の変換を伴う型変換になっている、請求項１から請求項３のいずれか１項に記載の秘密計算システム。
5. 前記処理対象となるシェアから前記処理結果へは、前記処理対象となるシェアに含まれるビットを結合するビット結合の処理である請求項４に記載の秘密計算システム。
6. 前記処理対象となるシェアから前記処理結果へは、前記処理対象となるシェアから値が１であるビットの個数をカウントする処理である請求項４に記載の秘密計算システム。
7. 前記秘密計算サーバ装置と相互にネットワークで接続した、前記キャリーを用いて不正検知を行う補助サーバ装置を備える、請求項１から請求項６のいずれか１項に記載の秘密計算システム。
8. 前記秘密計算サーバ装置と相互にネットワークで接続し、不正検知用の乱数を生成するためのシードと疑似乱数生成器を共有する２つの補助サーバ装置を備える、請求項１から請求項７のいずれか１項に記載の秘密計算システム。
9. 相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置の一つであって、
   前記秘密計算サーバ装置の間で疑似乱数生成器を共有する乱数生成部と、
   前記乱数生成部における乱数の生成に用いるシードを分散して記憶するシード記憶部と、
   前記乱数生成部が生成した乱数を記憶する事前生成乱数記憶部と、
   少なくとも処理対象となるシェアを記憶するシェア値記憶部と、
   前記乱数と前記処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを少なくとも計算する論理演算部と、
   前記キャリーからマスクを除去する内積計算部と、
   前記キャリーを消去して処理結果を得る処理を少なくとも行う算術演算部と、
   を備える、秘密計算サーバ装置。
10. 相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置を用いる秘密計算方法であって、
    前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて前記秘密計算サーバ装置が乱数を生成し、
    前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを前記秘密計算サーバ装置が計算し、
    前記秘密計算サーバ装置が内積計算を用いて前記キャリーからマスクを除去し、
    前記秘密計算サーバ装置が前記キャリーを消去して処理結果を得る、秘密計算方法。
11. 前記乱数は、論理演算の乱数と算術演算の乱数とを含む、請求項１０に記載の秘密計算方法。
12. 前記算術演算の乱数は、前記論理演算の乱数にビット埋め込みの処理をすることで得られる、請求項１１に記載の秘密計算方法。
13. 前記乱数は、不正検知用の乱数を含む、請求項１０から請求項１２のいずれか１項に記載の秘密計算方法。
14. 前記秘密計算サーバ装置ではないサーバ装置にて前記キャリーを用いて不正検知をした後に前記内積計算を行う、請求項１０から請求項１３のいずれか１項に記載の秘密計算方法。
15. 前記内積計算は、不正検知可能な内積計算である、請求項１０から請求項１４のいずれか１項に記載の秘密計算方法。
16. 前記秘密計算サーバ装置ではない２つのサーバ装置から受信した乱数を用いて不正検知を行う、請求項１０から請求項１５のいずれか１項に記載の秘密計算方法。
17. 相互にネットワークで接続した少なくとも３台以上の秘密計算サーバ装置に実行させる秘密計算プログラムであって、
    前記秘密計算サーバ装置の間で共有した疑似乱数生成器を用いて乱数を生成し、
    前記乱数と処理対象となるシェアとを用いて、前記秘密計算サーバ装置の間で送受信するためのキャリーを計算し、
    内積計算を用いて前記キャリーからマスクを除去し、
    前記キャリーを消去して処理結果を得る、秘密計算プログラム。

Images