JP7420147B2 - シャッフルシステム、シャッフル方法及びプログラム - Google Patents

Description

本発明は、シャッフルシステム、シャッフル方法及びプログラムに関する。

特許文献１に、秘密ランダム置換が含まれる秘密計算を高速に行うことができるという秘密計算方法が開示されている。また、秘密計算によるアプリケーションとして、データやクエリを秘匿したデータベース処理が挙げられる。また、この秘密計算上のデータベース演算を実現する際に、重要なサブプロトコルの一つとして，ソートプロトコルが挙げられる。特許文献２には、比較に基づかないソーティングアルゴリズムが開示されている。

上記ソートプロトコルの実現方法はいくつか存在し、代表的なものとして以下の２つが挙げられる。
・ソーティングネットワークによる方式
・シャッフル（ランダム置換）を用いる方式

コストが小さいのはシャッフルを用いる方式であり、特許文献１、２もこの方式を採用している。シャッフル（ランダム置換）を用いる方式の代表的なものとしては、以下の２つが挙げられる。
・３者の（環上の）複製型秘密分散を用いるセミオネスト安全な方式（非特許文献１参照）
・Ｎ者の（体上の）加法型秘密分散を用いるセミオネスト安全／マリシャス安全な方式（非特許文献２参照）

国際公開第２０１５／１０７９５２号 特開２０１２－１５４９９０号公報

五十嵐大， ｅｔ ａｌ．、"超高速秘密計算ソートの設計と実装： 秘密計算がスクリプト言語に並ぶ日"、コンピュータセキュリティシンポジウム２０１７、論文集 ２０１７．２（２０１７） Sven Laur, Jan Willemson, and Bingsheng Zhang, "Round-efficient oblivious database manipulation", International Conference on Information Security, Springer, Berlin, Heidelberg, 2011,［令和元（2019）年11月1日検索］、インターネット〈URL：https://eprint.iacr.org/2011/429.pdf〉

以下の分析は、本発明者によって与えられたものである。上記した非特許文献２の方式は、コミットメントとゼロ知識証明を用いて、確率的に不正を検知することが可能となっている。しかしながら、非特許文献２の方式をもってしても、決定的に不正を検知可能な方式とはなっていない。

本発明は、決定的に不正を検知可能なシャッフルシステム、シャッフル方法及びプログラムを提供することを目的とする。

第１の視点によれば、４台の秘密計算ノードのうちの１台の秘密計算ノードを受信ノードに選定し、前記４台の秘密計算ノードのうちの残る３台の秘密計算ノードのうち、２台の秘密計算ノードが再分散ノードとして、残る１台の秘密計算ノードが検証ノードとして動作し、前記再分散ノードが前記受信ノードの知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施し、前記ミニシャッフルの結果を前記受信ノードに送信し、前記検証ノードが、前記受信ノードの知らない置換を用いて生成した、前記再分散ノードのミニシャッフルの結果を検証するデータを前記受信ノードに送信することを１ラウンドとする。このラウンドを、前記４台の秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返すことで、シェアのシャッフルを行うシャッフルシステムが提供される。

第２の視点によれば、４台の秘密計算ノードのうちの１台の秘密計算ノードを受信ノードに選定し、前記４台の秘密計算ノードのうちの残る３台の秘密計算ノードのうち、２台の秘密計算ノードが再分散ノードとして、残る１台の秘密計算ノードが検証ノードとして動作するシャッフル方法が提供される。このシャッフル方法は、前記再分散ノードが前記受信ノードの知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施し、前記ミニシャッフルの結果を前記受信ノードに送信し、前記検証ノードが、前記受信ノードの知らない置換を用いて生成した、前記再分散ノードのミニシャッフルの結果を検証するデータを前記受信ノードに送信するラウンドを、前記４台の秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返すことで、前記シェアのシャッフルを行う。本方法は、４台の秘密計算ノードの構成する秘密計算ノードという、特定の機械に結びつけられている。

第３の視点によれば、上記した秘密計算ノードの機能を実現するための（コンピュータ）プログラムが提供される。このプログラムは、コンピュータ装置に入力装置又は外部から通信インターフェースを介して入力され、記憶装置に記憶されて、プロセッサを所定のステップないし処理に従って駆動させ、必要に応じ中間状態を含めその処理結果を段階毎に表示装置を介して表示することができ、あるいは通信インターフェースを介して、外部と交信することができる。そのためのコンピュータ装置は、一例として、典型的には互いにバスによって接続可能なプロセッサ、記憶装置、入力装置、通信インターフェース、及び必要に応じ表示装置を備える。また、このプログラムは、コンピュータが読み取り可能な（非トランジトリーな）記憶媒体に記録することができる。

本発明によれば、決定的に不正を検知可能なシャッフルシステム、シャッフル方法及びプログラムが提供される。

本発明の一実施形態の構成を示す図である。 本発明の一実施形態の動作を説明するための図である。 本発明の一実施形態の動作を説明するための図である。 本発明の第１の実施形態のシャッフルシステムの構成を示す図である。 本発明の第１の実施形態の秘密計算サーバの構成を示す図である。 本発明の第１の実施形態のミニシャッフルの実行順序の一例を示す図である。 本発明の第１の実施形態のラウンド（ｉ＝１）の動作を説明するための図である。 本発明の第１の実施形態のラウンド（ｉ＝２）の動作を説明するための図である。 本発明の第１の実施形態のラウンド（ｉ＝３）の動作を説明するための図である。 本発明の第１の実施形態のラウンド（ｉ＝４）の動作を説明するための図である。 本発明の第２の実施形態のラウンド（ｉ＝１、２）の動作を説明するための図である。 本発明の第２の実施形態のラウンド（ｉ＝３、４）の動作を説明するための図である。 本発明の第３の実施形態のラウンド（ｉ＝１）の動作を説明するための図である。 本発明の第３の実施形態のラウンド（ｉ＝２）の動作を説明するための図である。 本発明の第３の実施形態のラウンド（ｉ＝３）の動作を説明するための図である。 本発明の第３の実施形態のラウンド（ｉ＝４）の動作を説明するための図である。 本発明の秘密計算サーバを構成するコンピュータの構成を示す図である。

はじめに本発明の一実施形態の概要について図面を参照して説明する。なお、この概要に付記した図面参照符号は、理解を助けるための一例として各要素に便宜上付記したものであり、本発明を図示の態様に限定することを意図するものではない。また、以降の説明で参照する図面等のブロック間の接続線は、双方向及び単方向の双方を含む。一方向矢印については、主たる信号（データ）の流れを模式的に示すものであり、双方向性を排除するものではない。プログラムはコンピュータ装置を介して実行され、コンピュータ装置は、例えば、プロセッサ、記憶装置、入力装置、通信インターフェース、及び必要に応じ表示装置を備える。また、このコンピュータ装置は、通信インターフェースを介して装置内又は外部の機器（コンピュータを含む）と、有線、無線を問わず、通信可能に構成される。また、図中の各ブロックの入出力の接続点には、ポート乃至インターフェースがあるが図示を省略する。また、以下の説明において、「Ａ及び／又はＢ」は、Ａ又はＢ、若しくは、Ａ及びＢという意味で用いる。

本発明は、その一実施形態において、図１に示すように、４台の秘密計算ノード１０－１～１０－４にて構成されたシャッフルシステムにて実現できる。より具体的には、４台の秘密計算ノード１０－１～１０－４のうちの１台の秘密計算ノードを受信ノードに選定し、残る３台の秘密計算ノードのうち、２台の秘密計算ノードが再分散ノードとして、残る１台の秘密計算ノードが検証ノードとして動作する。

例えば、図２に示すように、秘密計算ノード１０－４を受信ノード（Ｒ）に選定したものとする。このとき、秘密計算ノード１０－１、１０－２が再分散ノード（ＲＳ１）、（ＲＳ２）、秘密計算ノード１０－３が検証ノード（Ｖ）として動作することができる。

再分散ノード（ＲＳ１）として動作する秘密計算ノード１０－１、１０－２が、受信ノードである秘密計算ノード１０－４の知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施する。そして、秘密計算ノード１０－１、１０－２は、受信ノードである秘密計算ノード１０－４に対し、前記ミニシャッフルの結果Ｍ１、Ｍ２を送信する。一方、検証ノード（Ｖ）として動作する秘密計算ノード１０－３は、受信ノードである秘密計算ノード１０－４の知らない置換を用いて、秘密計算ノード１０－１、１０－２のミニシャッフルの結果Ｍ１、Ｍ２を検証するデータＶを計算する。そして、秘密計算ノード１０－３は、秘密計算ノード１０－４に対し、秘密計算ノード１０－１、１０－２のミニシャッフルの結果Ｍ１、Ｍ２を検証するデータＶを送信する。そして、秘密計算ノード１０－４は、ミニシャッフルの結果Ｍ１、Ｍ２を検証するデータＶを用いて、秘密計算ノード１０－１、１０－２によるミニシャッフルが正しく行われているか否かを検査する。

以上の各手順を１ラウンドとする。図３は、秘密計算ノード１０－１を受信ノード（Ｒ）に選定し、秘密計算ノード１０－２、１０－３が再分散ノード（ＲＳ１）、（ＲＳ２）、秘密計算ノード１０－４が検証ノード（Ｖ）として動作するラウンドを示している。この場合も同様に、秘密計算ノード１０－２、１０－３がミニシャッフルを行い、秘密計算ノード１０－１に対し、ミニシャッフルの結果Ｍ１、Ｍ２を送信する。秘密計算ノード１０－４は、秘密計算ノード１０－１に対し、ミニシャッフルの結果Ｍ１、Ｍ２を検証するデータＶを送信する。そして、秘密計算ノード１０－１が、前記データＶを用いて、秘密計算ノード１０－２、１０－３によるミニシャッフルが正しく行われているか否かを検査する。

以上のようにして、各秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返すことで、シェアのシャッフルを行うことができる。さらに、前述のように各ラウンドで、受信ノード（Ｒ）が、検証ノード（Ｖ）にて作成されたデータを用いて、ミニシャッフルが正しく行われているか否かを検査するため、決定的に不正を検知することが可能となる。

［第１の実施形態］
続いて、本発明の第１の実施形態について図面を参照して詳細に説明する。図４は、本発明の第１の実施形態のシャッフルシステムの構成を示す図である。図４を参照すると、上述した秘密計算ノードとして機能する４台の秘密計算サーバＰ_１～Ｐ_４が相互に接続された構成が示されている。以下、秘密計算サーバを特に指定しない場合、秘密計算サーバＰ_ｉとも記す。

ここで、以下の説明で用いる表記について定義する。なお、ｆｉｎｉｔｅ ｒｉｎｇは、有限環、ｐｓｅｕｄｏｒａｎｄｏｍ ｆｕｎｃｔｉｏｎは疑似乱数関数を表す。また、Ｓ_ｍは、ｍ個の要素に対する置換の集合を表し、πは、Ｓ_ｍに属する任意の置換である。［π］_ｉは、Ｓ_ｍに属するｍ個の要素の置換セットのうち、Ｐ_ｉ、Ｐ_ｉ＋１、Ｐ_ｉ＋２のみが知る置換を表す。

以降、任意の要素ｘのベクトルについては、上記ｘに上付きの矢線の表記のほか、［ｖｅｃ｛ｘ｝］とも記す。例えば、上記［数１］中のシェアｘのｍ次元のベクトルは、［ｖｅｃ｛ｘ｝］^ｍとも表記する。

図５は、本発明の第１の実施形態の秘密計算サーバの構成を示す図である。図５を参照すると、置換生成部１０１と、置換適用部１０２と、算術演算部１０３と、不正検知部１０４と、乱数計算部１０５と、ハッシュ値計算部１０６と、シード記憶部１０７と、シェア値記憶部１０８とを備えた構成が示されている。

置換生成部１０１は、他の秘密計算サーバＰ_ｉと連携して、Ｐ_ｉ、Ｐ_ｉ＋１、Ｐ_ｉ＋２のみが知る置換［π］_ｉを生成する。例えば、秘密計算サーバＰ_１は［π］_１、［π］_３、［π］_４を保持するが、［π］_２に関する情報は保持しないことになる。

置換適用部１０２は、上記シェアｘのｍ次元ベクトル［ｖｅｃ｛ｘ｝］^ｍと、置換［π］_ｉを入力として、［ｖｅｃ｛ｘ｝］^ｍを置換した［ｖｅｃ｛ｙ｝］^ｍを出力する。置換適用部１０２の具体的な処理の例は、後に、本実施形態の動作とともに説明する。

算術演算部１０３は、ｘのシェアのｍ次元ベクトル［ｖｅｃ｛ｘ｝］^ｍと、乱数計算部１０５で計算された乱数との計算等を行う。算術演算部１０３の具体的な処理の例は、後に、本実施形態の動作とともに説明する。

不正検知部１０４は、受信ノードとして動作する際に、検証ノードから送られた検証用データを用いて、他の秘密計算サーバで置換が正しく行われているか否かを検知する。他の秘密計算サーバで置換が正しく行われていないと判定した場合、不正検知部１０４は、処理の中止を決定する。

乱数計算部１０５は、シード記憶部１０７に保持されているシードを用いて、２つの乱数を生成し、ハッシュ値計算部１０６に送る。

ハッシュ値計算部１０６は、乱数計算部１０５にて計算された乱数のハッシュ値を計算する。本実施形態では、このハッシュ値を乱数として使用する。

シード記憶部１０７は、上記した乱数を生成するためのシードを記憶する。本実施形態では、事前に、秘密計算サーバＰ_１～Ｐ_４に、以下のようにシードが配布されているものとする。
Ｐ_１：（ｓｅｅｄ_１，ｓｅｅｄ_２，ｓｅｅｄ_４）
Ｐ_２：（ｓｅｅｄ_２，ｓｅｅｄ_３，ｓｅｅｄ_４）
Ｐ_３：（ｓｅｅｄ_３，ｓｅｅｄ_１，ｓｅｅｄ_４）
Ｐ_４：（ｓｅｅｄ_１，ｓｅｅｄ_２，ｓｅｅｄ_３）

シェア値記憶部１０８は、置換の対象となるシェアのｍ次元ベクトルを記憶する。以下の説明では、各秘密計算サーバＰ_１～Ｐ_４は、以下に示すように、２－ｏｕｔ－ｏｆ－４の秘密分散方式でｘのシェアを分散保持するものとして説明する。ここでｘは、有限環Ｒの元であり、ｘ_１，ｘ_２，ｘ_３は、ｘ_１＋ｘ_２＋ｘ_３がｘ（ｍｏｄ Ｒ）を満たすようにランダムに生成される。以下、ｘのシェアを［ｘ］と表記し、秘密計算サーバＰ_ｉが保持するシェアを［ｘ］ｉと表記する。
Ｐ_１：［ｘ］_１＝（ｘ_１，ｘ_２）
Ｐ_２：［ｘ］_２＝（ｘ_２，ｘ_３）
Ｐ_３：［ｘ］_３＝（ｘ_３，ｘ_１）
Ｐ_４：［ｘ］_４＝（ｘ_１－ｘ_２，ｘ_２－ｘ_３）

続いて、本実施形態の動作について図面を参照して詳細に説明する。本実施形態では、秘密計算サーバＰ_１～Ｐ_４のうちの１台が受信ノード、２台が再分散ノード、１台が検証ノードとして動作してミニシャッフルを行うラウンドを少なくとも４回繰り返すことで、ｘのシェアのｍ次元ベクトル［ｖｅｃ｛ｘ｝］^ｍのシャッフルを行う。すべてのラウンドで、不正検知部１０４が不正を検出できなかった場合、シャッフル成功となり、いずれかのラウンドで、不正検知部１０４が不正を検出した場合、処理を中止する。

図６は、本発明の第１の実施形態のミニシャッフルの実行順序の一例を示す図である。図６を参照すると、まず、ｉ＝１として、Ｐ_ｉ＋３であるＰ_４が受信ノードとなる。そして、Ｐ_ｉ、Ｐ_ｉ＋１、Ｐ_ｉ＋２にあたるＰ_１～Ｐ_３が再分散ノード及び検証ノードとしてミニシャッフルを行う。以下、同様に、ｉをインクリメントしていき、ｉ＝４のラウンドを実行することでシャッフルが完了する。

続いて、各ラウンドにおいて行われる処理の詳細を順番に説明する。
［ラウンド１ ｉ＝１］
図７は、ラウンド（ｉ＝１）の動作を説明するための図である。ラウンド１においては、秘密計算サーバＰ_４が受信ノードとなる。また、秘密計算サーバＰ_１，Ｐ_２が再分散ノード、秘密計算サーバＰ_３が検証ノードとなる。ラウンド１におけるミニシャッフルを次式［数２］のように表すものとする。

右辺の［ｖｅｃ｛ｘ｝］^ｍは、シェアｘを秘密分散したｍ次元のベクトルであり、［ｘ_１］，・・・，［ｘ _ｍ ］のように表される。実際には、前述のように、ｘ_ｊは、ｘ_ｊ＝ｘ_ｊ，1＋ｘ_ｊ，２＋ｘ_ｊ，３（ｊ＝１，・・・，ｍ）を満たす形で、秘密計算サーバＰ_ｉに秘密分散される。右辺の［π］_１は、秘密計算サーバＰ_１、Ｐ_２、Ｐ_３のみが知る置換［π］_ｉである。

以上の右辺の内容を入力とする出力［ｖｅｃ｛ｙ｝］^ｍは、置換［π］_１を用いたミニシャッフルを１回行った結果であり、［ｙ_{π１（１）}］，・・・，［ｙ_π1（ｍ）］のように表される。この出力中のｙ_{π１（ｊ）}も、前述のように、ｙ_{π１（ｊ）}＝ｙ_{π１（ｊ），1}＋ｙ_{π１（ｊ），２}＋ｙ_{π１（ｊ），３}（ｊ＝１，・・・，ｍ）を満たす形で、秘密計算サーバＰ_ｉに分散保持される。

次式［数３］に上記したミニシャッフルの手順を示す。

（ステップ１－１）まず、秘密計算サーバＰ_１、Ｐ_２、Ｐ_３は、受信ノードである秘密計算サーバＰ_４が知らないシードｓｅｅｄ_４を用いて、２つの乱数ｒ_ｊ，１、ｒ_ｊ，２を生成する。

（ステップ１－２－１～１－２－３）次に、秘密計算サーバＰ_１、Ｐ_２、Ｐ_３は、互いに連携して、乱数ｒ_ｊ，１、ｒ_ｊ，２を用いて、ｙ_{π１（ｊ）}＝ｙ_{π１（ｊ），1}＋ｙ_{π１（ｊ），２}＋ｙ_{π１（ｊ），３}を満たすようなｙ_{π１（ｊ），1}，ｙ_{π１（ｊ），２}，ｙ_{π１（ｊ），３}をそれぞれ計算する。具体的には、ｙ_{π１（ｊ），1}，ｙ_{π１（ｊ），２}，ｙ_{π１（ｊ），３}は、以下のように計算される。

ｙ_{π１（ｊ），1}＝ｘ_{π１（ｊ），1}－ｒ_ｊ，１
ｙ_{π１（ｊ），２}＝ｘ_{π１（ｊ），２}＋ｒ_ｊ，１＋ｒ_ｊ，２
ｙ_{π１（ｊ），３}＝ｘ_{π１（ｊ），３}－ｒ_ｊ，２

（ステップ１－３）次に、秘密計算サーバＰ_１、Ｐ_２、Ｐ_３は、受信ノードである秘密計算サーバＰ_４に対し、計算結果を送信する。具体的には、秘密計算サーバＰ_１は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_１，１｝として送信する。秘密計算サーバＰ_２は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_２，２｝として送信する。さらに、秘密計算サーバＰ_３は、秘密計算サーバＰ_４に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３｝として送信する。なお、［数３］に表したとおり、ｖｅｃ｛ｙ_ｉ｝は、（［ｙ_{π１（１），ｉ}］，・・・，［ｙ_{π1（ｍ），ｉ}］）のようなｍ次元のベクトルである。

（ステップ１－４）次に、秘密計算サーバＰ_４は、ｖｅｃ｛ｍ_３｝＝ｖｅｃ｛ｍ_１，１｝＋ｖｅｃ｛ｍ_２，２｝が成り立つか否かにより、不正検知を行う。ｖｅｃ｛ｍ_３｝＝ｖｅｃ｛ｍ_１，１｝＋ｖｅｃ｛ｍ_２，２｝が成り立つ場合、正しくミニシャッフルが行われたと判定し、秘密計算サーバＰ_４は、次のラウンドに進む。一方、ｖｅｃ｛ｍ_３｝＝ｖｅｃ｛ｍ_１，１｝＋ｖｅｃ｛ｍ_２，２｝が成り立たない場合、秘密計算サーバＰ_４は、不正なシャッフルが行われたと判定し、以降の処理を中断する。

以上のミニシャッフルの結果、秘密計算サーバＰ_１～Ｐ_４は、次式［数４］のように、ミニシャッフル後のｍ次元ベクトルを保持することになる。

［ラウンド２ ｉ＝２］
図８は、ラウンド（ｉ＝２）の動作を説明するための図である。ラウンド２においては、秘密計算サーバＰ_１が受信ノードとなる。また、秘密計算サーバＰ_２，Ｐ_３が再分散ノード、秘密計算サーバＰ_４が検証ノードとなる。ラウンド２におけるミニシャッフルを次式［数５］のように表すものとする。

右辺の［π］_２は、秘密計算サーバＰ_２、Ｐ_３、Ｐ_４のみが知る置換［π］_ｉである。

以上の右辺の内容を入力とする出力［ｖｅｃ｛ｙ｝］^ｍは、置換［π］_２を用いたミニシャッフルを１回行った結果であり、［ｙ_{π２（１）}］，・・・，［ｙ_{π２（ｍ）}］のように表される。この出力中のｙ_{π２（ｊ）}も、前述のように、ｙ_{π２（ｊ）}＝ｙ_{π２（ｊ），1}＋ｙ_{π２（ｊ），２}＋ｙ_{π２（ｊ），３}（ｊ＝１，・・・，ｍ）を満たす形で、秘密計算サーバＰ_ｉに分散保持される。

次式［数６］に上記したミニシャッフルの手順を示す。

（ステップ２－１）まず、秘密計算サーバＰ_２、Ｐ_３、Ｐ_４は、受信ノードである秘密計算サーバＰ_１が知らないシードｓｅｅｄ_３を用いて、２つの乱数ｒ_ｊ，１、ｒ_ｊ，２を生成する。

（ステップ２－２－１～２－２－３）次に、秘密計算サーバＰ_２、Ｐ_３、Ｐ_４は、互いに連携して、乱数ｒ_ｊ，１、ｒ_ｊ，２を用いて、ｙ_{π２（ｊ）}＝ｙ_{π２（ｊ），1}＋ｙ_{π２（ｊ），２}＋ｙ_{π２（ｊ），３}（ｍｏｄ Ｒ）を満たすようなｙ_{π２（ｊ），1}，ｙ_{π２（ｊ），２}，ｙ_{π２（ｊ），３}を計算する。具体的には、ｙ_{π２（ｊ），1}，ｙ_{π２（ｊ），２}，ｙ_{π２（ｊ），３}は、以下のように計算される。
ｙ_{π２（ｊ），1}＝ｘ_{π２（ｊ），1}－ｒ_ｊ，１
ｙ_{π２（ｊ），２}＝ｘ_{π２（ｊ），２}＋ｒ_ｊ，１＋ｒ_ｊ，２
ｙ_{π２（ｊ），３}＝ｘ_{π２（ｊ），３}－ｒ_ｊ，２

さらに、秘密計算サーバＰ_４は、［数６］に示すように、ｙ_{π２（ｊ），1}－ｙ_{π２（ｊ），２}、ｙ_{π２（ｊ），２}－ｙ_{π２（ｊ），３}を計算する。

（ステップ２－３）次に、秘密計算サーバＰ_２、Ｐ_３、Ｐ_４は、受信ノードである秘密計算サーバＰ_１に対し、計算結果を送信する。具体的には、秘密計算サーバＰ_２は、秘密計算サーバＰ_１に対し、ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_２，２｝として送信する。秘密計算サーバＰ_３は、秘密計算サーバＰ_１に対し、ｖｅｃ｛ｙ_１｝をｖｅｃ｛ｍ_１，３｝として送信する。さらに、秘密計算サーバＰ_４は、秘密計算サーバＰ_１に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_４｝として送信する。なお、［数６］に表したとおり、ｖｅｃ｛ｙ_ｉ｝は、（［ｙ_{π２（１），ｉ}］，・・・，［ｙ_{π２（ｍ），ｉ}］）のようなｍ次元のベクトルである。

（ステップ２－４）次に、秘密計算サーバＰ_１は、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，３｝＋ｖｅｃ｛ｍ_２，２｝が成り立つか否かにより、不正検知を行う。ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，３｝＋ｖｅｃ｛ｍ_２，２｝が成り立つ場合、正しくミニシャッフルが行われたと判定し、秘密計算サーバＰ_１は、次のラウンドに進む。一方、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，３｝＋ｖｅｃ｛ｍ_２，２｝が成り立たない場合、秘密計算サーバＰ_１は、不正なシャッフルが行われたと判定し、以降の処理を中断する。

以上のミニシャッフルの結果、秘密計算サーバＰ_１～Ｐ_４は、次式［数７］のように、ミニシャッフル後のｍ次元ベクトルを保持することになる。

［ラウンド３ ｉ＝３］
図９は、ラウンド（ｉ＝３）の動作を説明するための図である。ラウンド３においては、秘密計算サーバＰ_２が受信ノードとなる。また、秘密計算サーバＰ_３，Ｐ_１が再分散ノード、秘密計算サーバＰ_４が検証ノードとなる。ラウンド３におけるミニシャッフルを次式［数８］のように表すものとする。

右辺の［π］_３は、秘密計算サーバＰ_１、Ｐ_３、Ｐ_４のみが知る置換［π］_ｉである。

以上の右辺の内容を入力とする出力［ｖｅｃ｛ｙ｝］^ｍは、置換［π］_３を用いたミニシャッフルを１回行った結果であり、［ｙ_{π３（１）}］，・・・，［ｙ_{π３（ｍ）}］のように表される。この出力中のｙ_{π３（ｊ）}も、前述のように、ｙ_{π３（ｊ）}＝ｙ_{π３（ｊ），1}＋ｙ_{π３（ｊ），２}＋ｙ_{π３（ｊ），３}（ｊ＝１，・・・，ｍ）を満たす形で、秘密計算サーバＰ_ｉに分散保持される。

次式［数９］に上記したミニシャッフルの手順を示す。

（ステップ３－１）まず、秘密計算サーバＰ_３、Ｐ_４、Ｐ_１は、受信ノードである秘密計算サーバＰ_２が知らないシードｓｅｅｄ_１を用いて、２つの乱数ｒ_ｊ，１、ｒ_ｊ，２を生成する。

（ステップ３－２－１～３－２－３）次に、秘密計算サーバＰ_３、Ｐ_４、Ｐ_１は、互いに連携して、乱数ｒ_ｊ，１、ｒ_ｊ，２を用いて、ｙ_{π３（ｊ）}＝ｙ_{π３（ｊ），1}＋ｙ_{π３（ｊ），２}＋ｙ_{π３（ｊ），３}（ｍｏｄ Ｒ）を満たすようなｙ_{π３（ｊ），1}，ｙ_{π３（ｊ），２}，ｙ_{π３（ｊ），３}を計算する。具体的には、ｙ_{π３（ｊ），1}，ｙ_{π３（ｊ），２}，ｙ_{π３（ｊ），３}は、以下のように計算される。
ｙ_{π３（ｊ），1}＝ｘ_{π３（ｊ），1}－ｒ_ｊ，１
ｙ_{π３（ｊ），２}＝ｘ_{π３（ｊ），２}＋ｒ_ｊ，１＋ｒ_ｊ，２
ｙ_{π３（ｊ），３}＝ｘ_{π３（ｊ），３}－ｒ_ｊ，２

さらに、秘密計算サーバＰ_４は、［数９］に示すように、ｙ_{π３（ｊ），1}－ｙ_{π３（ｊ），２}、ｙ_{π３（ｊ），２}－ｙ_{π３（ｊ），３}を計算する。

（ステップ３－３）次に、秘密計算サーバＰ_３、Ｐ_４、Ｐ_１は、受信ノードである秘密計算サーバＰ_２に対し、計算結果を送信する。具体的には、秘密計算サーバＰ_３は、秘密計算サーバＰ_２に対し、ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３，３｝として送信する。秘密計算サーバＰ_１は、秘密計算サーバＰ_２に対し、ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_２，１｝として送信する。さらに、秘密計算サーバＰ_４は、検証データとして、秘密計算サーバＰ_２に対し、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_４｝として送信する。なお、［数９］に表したとおり、ｖｅｃ｛ｙ_ｉ｝は、（［ｙ_{π３（１），ｉ}］，・・・，［ｙ_{π３（ｍ），ｉ}］）のようなｍ次元のベクトルである。

（ステップ３－４）次に、秘密計算サーバＰ_２は、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_２，１｝－ｖｅｃ｛ｍ_３，３｝が成り立つか否かにより、不正検知を行う。ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_２，１｝－ｖｅｃ｛ｍ_３，３｝が成り立つ場合、正しくミニシャッフルが行われたと判定し、秘密計算サーバＰ_２は、次のラウンドに進む。一方、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_２，１｝－ｖｅｃ｛ｍ_３，３｝が成り立たない場合、秘密計算サーバＰ_２は、不正なシャッフルが行われたと判定し、以降の処理を中断する。

以上のミニシャッフルの結果、秘密計算サーバＰ_１～Ｐ_４は、次式［数１０］のように、ミニシャッフル後のｍ次元ベクトルを保持することになる。

［ラウンド４ ｉ＝４］
図１０は、ラウンド（ｉ＝４）の動作を説明するための図である。ラウンド４においては、秘密計算サーバＰ_３が受信ノードとなる。また、秘密計算サーバＰ_１，Ｐ_２が再分散ノード、秘密計算サーバＰ_４が検証ノードとなる。ラウンド４におけるミニシャッフルを次式［数１１］のように表すものとする。

右辺の［π］_４は、秘密計算サーバＰ_１、Ｐ_２、Ｐ_４のみが知る置換［π］_ｉである。

以上の右辺の内容を入力とする出力［ｖｅｃ｛ｙ｝］^ｍは、置換［π］_４を用いたミニシャッフルを１回行った結果であり、［ｙ_{π４（１）}］，・・・，［ｙ_{π４（ｍ）}］のように表される。この出力中のｙ_{π４（ｊ）}も、前述のように、ｙ_{π４（ｊ）}＝ｙ_{π４（ｊ），1}＋ｙ_{π４（ｊ），２}＋ｙ_{π４（ｊ），３}（ｊ＝１，・・・，ｍ）を満たす形で、秘密計算サーバＰ_ｉに分散保持される。

次式［数１２］に上記したミニシャッフルの手順を示す。

（ステップ４－１）まず、秘密計算サーバＰ_４、Ｐ_１、Ｐ_２は、受信ノードである秘密計算サーバＰ_３が知らないシードｓｅｅｄ_２を用いて、２つの乱数ｒ_ｊ，１、ｒ_ｊ，２を生成する。

（ステップ４－２－１～４－２－３）次に、秘密計算サーバＰ_４、Ｐ_１、Ｐ_２は、互いに連携して、乱数ｒ_ｊ，１、ｒ_ｊ，２を用いて、ｙ_{π４（ｊ）}＝ｙ_{π４（ｊ），1}＋ｙ_{π４（ｊ），２}＋ｙ_{π４（ｊ），３}（ｍｏｄ Ｒ）を満たすようなｙ_{π４（ｊ），1}，ｙ_{π４（ｊ），２}，ｙ_{π４（ｊ），３}を計算する。具体的には、ｙ_{π４（ｊ），1}，ｙ_{π４（ｊ），２}，ｙ_{π４（ｊ），３}は、以下のように計算される。
ｙ_{π４（ｊ），1}＝ｘ_{π４（ｊ），1}－ｒ_ｊ，１
ｙ_{π４（ｊ），２}＝ｘ_{π４（ｊ），２}＋ｒ_ｊ，１＋ｒ_ｊ，２
ｙ_{π４（ｊ），３}＝ｘ_{π４（ｊ），３}－ｒ_ｊ，２

さらに、秘密計算サーバＰ_４は、［数１２］に示すように、ｙ_{π４（ｊ），1}－ｙ_{π３（ｊ），２}、ｙ_{π４（ｊ），２}－ｙ_{π４（ｊ），３}を計算する。

（ステップ４－３）次に、秘密計算サーバＰ_４、Ｐ_１、Ｐ_２は、受信ノードである秘密計算サーバＰ_３に対し、計算結果を送信する。具体的には、秘密計算サーバＰ_１は、秘密計算サーバＰ_３に対し、ｖｅｃ｛ｙ_１｝をｖｅｃ｛ｍ_１，１｝として送信する。秘密計算サーバＰ_２は、秘密計算サーバＰ_３に対し、ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３，２｝として送信する。さらに、秘密計算サーバＰ_４は、秘密計算サーバＰ_３に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_４｝として送信する。なお、［数１２］に表したとおり、ｖｅｃ｛ｙ_ｉ｝は、（［ｙ_{π４（１），ｉ}］，・・・，［ｙ_{π４（ｍ），ｉ}］）のようなｍ次元のベクトルである。

（ステップ４－４）次に、秘密計算サーバＰ_３は、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，１｝－ｖｅｃ｛ｍ_３，２｝が成り立つか否かにより、不正検知を行う。ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，１｝－ｖｅｃ｛ｍ_３，２｝が成り立つ場合、正しくミニシャッフルが行われたと判定し、処理を終了する。一方、ｖｅｃ｛ｍ_４｝＝ｖｅｃ｛ｍ_１，１｝－ｖｅｃ｛ｍ_３，２｝が成り立たない場合、秘密計算サーバＰ_３は、不正なシャッフルが行われたと判定し、処理を中断する。

以上のミニシャッフルの結果、秘密計算サーバＰ_１～Ｐ_４は、次式［数１３］のように、ミニシャッフル後のｍ次元ベクトルを保持することになる。

以上のようなミニシャッフルを行うことで、入力された［ｖｅｃ｛ｘ｝］^ｍの置換［π］_ｉを４回行うことが可能となる。また、上記各ラウンドで説明したとおり、［π］_ｉによる置換は、受信ノードにその置換内容を知られない形態で行われるが、受信ノードは、不正を決定的検出できるようになっている。

上記した４ラウンドの置換は、下記［数１４］のように表すことができる。

また、本実施形態によるシャッフルのコストは、環のサイズがκビットのｍ個の要素の通信を１ラウンドあたり３回行うので、計４ラウンドで１２κｍビットとなる。

［第２の実施形態］
上記した第１の実施形態では、４ラウンドを実行するものとして説明したが、計算の仕方に工夫を加えることで、２ラウンドにて、第１の実施形態と同等のシャッフルを行うことができる。以下、２ラウンドにてシャッフルを行う第２の実施形態について説明する。第２の実施形態は、第１の実施形態と同様の構成で実施可能であるため、以下、その相違点を中心に説明する。

［ラウンド１ ｉ＝1、２］
図１１は、第２の実施形態のラウンド１（ｉ＝１、２）の動作を説明するための図である。図１１に示されたとおり、第２の実施形態においては、第１の実施形態のラウンド１とラウンド２の計算とデータの送信が並列に行われる。具体的には、秘密計算サーバＰ_１は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_１，１｝として送信する。秘密計算サーバＰ_２は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_２，２｝として送信する。さらに、秘密計算サーバＰ_３は、秘密計算サーバＰ_４に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３｝として送信する。これと並列に、秘密計算サーバＰ_２は、秘密計算サーバＰ_１に対し、ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_２，２｝として送信する。秘密計算サーバＰ_３は、秘密計算サーバＰ_１に対し、ｖｅｃ｛ｙ_１｝をｖｅｃ｛ｍ_１，３｝として送信する。さらに、秘密計算サーバＰ_４は、秘密計算サーバＰ_１に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_４｝として送信する。

ここで、秘密計算サーバＰ_２は、ｖｅｃ｛ｍ_２，２｝とｖｅｃ｛ｍ_２，２｝を送信することになるが、［数３］のとおり、前者は、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝であり、［数６］のとおり、後者は、ｖｅｃ｛ｙ_２｝であるので、並列して計算することができる。同様に、秘密計算サーバＰ_３は、ｖｅｃ｛ｍ_３｝とｖｅｃ｛ｍ_１，３｝を送信することになるが、［数３］のとおり、前者は、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝であり、後者は、ｖｅｃ｛ｙ_１｝であるので、並列して計算することができる。

図１２は、第２の実施形態のラウンド２（ｉ＝３、４）の動作を説明するための図である。図１２に示されたとおり、第２の実施形態においては、第１の実施形態のラウンド３とラウンド４の計算とデータの送信が並列に行われる。具体的には、秘密計算サーバＰ_１は、秘密計算サーバＰ_２に対し、ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_２，１｝として送信する。秘密計算サーバＰ_３は、秘密計算サーバＰ_２に対し、ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３，３｝として送信する。さらに、秘密計算サーバＰ_４は、秘密計算サーバＰ_２に対し、検証データとして、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_４｝として送信する。これと並列に、秘密計算サーバＰ_１は、秘密計算サーバＰ_３に対し、ｖｅｃ｛ｙ_１｝をｖｅｃ｛ｍ_１，１｝として送信する。秘密計算サーバＰ_２は、秘密計算サーバＰ_３に対し、ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_３，２｝として送信する。さらに、秘密計算サーバＰ_４は、秘密計算サーバＰ_３に対し、検証データとして、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_４｝として送信する。

ここで、秘密計算サーバＰ_１は、ｖｅｃ｛ｍ_２，１｝とｖｅｃ｛ｍ_１，１｝を送信することになるが、［数９］のとおり、前者は、ｖｅｃ｛ｙ_２｝であり、［数１２］のとおり、後者は、ｖｅｃ｛ｙ_１｝であるので、並列して計算することができる。同様に、秘密計算サーバＰ_４は、ｖｅｃ｛ｍ_４｝とｖｅｃ｛ｍ_４｝を送信することになるが、［数９］のとおり、前者は、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝であり、後者は、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_３｝であるので、並列して計算することができる。もちろん、本実施形態においても、受信ノードが検証データを用いて、不正検知を行うことができる。

さらに、本実施形態では、前述のとおりラウンド数を２に削減することができる。本実施形態において、ハッシュ値の通信コストを無視すると、通信コストは、８κｍに削減することができる。

［第３の実施形態］
続いて、上記した第１の実施形態の検証ノード及び受信ノードにおける検証の方法に変更を加えた第３の実施形態について説明する。第３の実施形態は、第１の実施形態と同様の構成で実施可能であるため、以下、その相違点を中心に説明する。

第３の実施形態においては、ミニシャッフルの後半手順３．以降が次式［数１５］の手順に置き換えられる。

具体的には、秘密計算サーバＰ_１は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_１｝－ｖｅｃ｛ｙ_２｝をｖｅｃ｛ｍ_１，１｝として送信する。秘密計算サーバＰ_２は、秘密計算サーバＰ_４に対し、ｖｅｃ｛ｙ_２｝－ｖｅｃ｛ｙ_３｝をｖｅｃ｛ｍ_２，２｝として送信する。ここまでの動作は第１の実施形態と同様である。第３の実施形態では、秘密計算サーバＰ_３は、検証用データν_３を計算し、秘密計算サーバＰ_４に送信する（図１３参照）。一方、秘密計算サーバＰ_４は、検証用データν’を計算する。

上記検証用データν_３，ν’は次式［数１６］に規定される。

としたとき，

そして、秘密計算サーバＰ_４は、ν_３＝ν’が成り立つか否かにより、不正検知を行う。ν_３＝ν’が成り立つ場合、正しくミニシャッフルが行われたと判定し、秘密計算サーバＰ_４は、次のラウンドに進む。一方、ν_３＝ν’が成り立たない場合、秘密計算サーバＰ_４は、不正なシャッフルが行われたと判定し、以降の処理を中断する。なお、上記検証にあたり、確率的にしか行えないので，ν’の生成及びν_３の生成・送信はセキュリティパラメータκ回だけ繰り返すことが好ましい（但し、ν_３の送信は１ラウンドにまとめて良い）。

ラウンド２以降も［数６］［数９］［数１２］の手順３．以降は、それぞれ次の［数１７］、［数１８］、［数１９］の手順に置き換えられる。

ラウンド２以降も同様であり、秘密計算サーバＰ_４は、検証用データν_４を計算し、受信ノードとなる秘密計算サーバＰ_ｉに送信する（図１４～図１６参照）。一方、秘密計算サーバＰ_４は、検証用データν’を計算する。また、ラウンド２以降も、上記ν’及びν_４を用いた検証は、確率的にしか行えないので，ν’の生成，ν_４の生成・送信はセキュリティパラメータκ回だけ繰り返すことが好ましい（但し、ν_４の送信は１ラウンドにまとめて良い）。

上記検証用データν_４，ν’は次式［数２０］～［数２２］に規定される。

としたとき、

としたとき、

としたとき、

以上、第３の実施形態によれば、ハッシュ関数を用いずに検証（不正検知）を行うことが可能となる。

以上、本発明の各実施形態を説明したが、本発明は、上記した実施形態に限定されるものではなく、本発明の基本的技術的思想を逸脱しない範囲で、更なる変形・置換・調整を加えることができる。例えば、各図面に示したネットワーク構成、各要素の構成、データの表現形態は、本発明の理解を助けるための一例であり、これらの図面に示した構成に限定されるものではない。

また、上記した第１から第３の実施形態に示した手順は、秘密計算ノード乃至秘密計算サーバＰｉとして機能するコンピュータ（図１７の９０００）に、これらの装置としての機能を実現させるプログラムにより実現可能である。このようなコンピュータは、図１７のＣＰＵ（Ｃｅｎｔｒａｌ Ｐｒｏｃｅｓｓｉｎｇ Ｕｎｉｔ）９０１０、通信インターフェース９０２０、メモリ９０３０、補助記憶装置９０４０を備える構成に例示される。すなわち、図１７のＣＰＵ９０１０にて、乱数生成プログラムや置換処理プログラムを実行し、その補助記憶装置９０４０等に保持された各計算パラメーターの更新処理を実施させればよい。

即ち、上記した第１から第３の実施形態に示した秘密計算サーバＰｉの各部（処理手段、機能）は、これらの装置に搭載されたプロセッサに、そのハードウェアを用いて、上記した各処理を実行させるコンピュータプログラムにより実現することができる。

最後に、本発明の好ましい形態を要約する。
［第１の形態］
（上記第１の視点によるシャッフルシステム参照）
［第２の形態］
上記したシャッフルシステムにおいて、前記受信ノードは、前記検証ノードから受信したデータを用いた前記ミニシャッフルの正当性を確認した結果、前記ミニシャッフルの正当性を確認できない場合、処理を中止する構成を採ることができる。
［第３の形態］
上記したシャッフルシステムにおいて、
前記４台の秘密計算ノードは、
３つのシード（ｓｅｅｄ_１，ｓｅｅｄ_２，ｓｅｅｄ_４）と秘密情報ｘのシェア（ｘ_１，ｘ_２）とを秘密分散して保持する第１の秘密計算ノードと、
３つのシード（ｓｅｅｄ_２，ｓｅｅｄ_３，ｓｅｅｄ_４）と秘密情報ｘのシェア（ｘ_２，ｘ_３）とを秘密分散して保持する第２の秘密計算ノードと、
３つのシード（ｓｅｅｄ_３，ｓｅｅｄ_１，ｓｅｅｄ_４）と秘密情報ｘのシェア（ｘ_３，ｘ_１）とを秘密分散して保持する第３の秘密計算ノードと、
３つのシード（ｓｅｅｄ_１，ｓｅｅｄ_２，ｓｅｅｄ_３）と秘密情報ｘのシェア（ｘ_１－ｘ_２，ｘ_２－ｘ_３）とを秘密分散して保持する第４の秘密計算ノードと、により構成され、
前記再分散ノード及び前記検証ノードは、前記受信ノードの知らないシードを用いて、２つの乱数を生成し、
前記再分散ノードは、前記ミニシャッフルの結果として、前記シェアに前記乱数の組み合わせを適用した結果を前記受信ノードに送信し、
前記検証ノードは、前記２台の再分散ノードが前記受信ノードに送信した結果の和又は差を計算して、前記受信ノードに送信する構成を採ることができる。
［第４の形態］
上記したシャッフルシステムにおいて、
前記第４の秘密計算ノードと、第１の秘密計算ノードとを受信ノードとするミニシャッフルと、を並列に実行し、
前記第２の秘密計算ノードと、第３の秘密計算ノードとを受信ノードとするミニシャッフルと、を並列に実行する構成を採ることができる。
［第５の形態］
（上記第２の視点によるシャッフル方法参照）
［第６の形態］
（上記第３の視点によるプログラム参照）
なお、上記第５～第６の形態は、第１の形態と同様に、第２～第４の形態に展開することが可能である。

なお、上記の特許文献および非特許文献の各開示は、本書に引用をもって繰り込み記載されているものとし、必要に応じて本発明の基礎ないし一部として用いることが出来るものとする。本発明の全開示（請求の範囲を含む）の枠内において、さらにその基本的技術思想に基づいて、実施形態ないし実施例の変更・調整が可能である。また、本発明の開示の枠内において種々の開示要素（各請求項の各要素、各実施形態ないし実施例の各要素、各図面の各要素等を含む）の多様な組み合わせ、ないし選択（部分的削除を含む）が可能である。すなわち、本発明は、請求の範囲を含む全開示、技術的思想にしたがって当業者であればなし得るであろう各種変形、修正を含むことは勿論である。特に、本書に記載した数値範囲については、当該範囲内に含まれる任意の数値ないし小範囲が、別段の記載のない場合でも具体的に記載されているものと解釈されるべきである。さらに、上記引用した文献の各開示事項は、必要に応じ、本発明の趣旨に則り、本発明の開示の一部として、その一部又は全部を、本書の記載事項と組み合わせて用いることも、本願の開示事項に含まれるものと、みなされる。

本発明は、シャッフルシステムのほか、そのシャッフル機能を用いたソート処理を行う秘密分散システムに適用することができる。

１０－１～１０－４ 秘密計算ノード
１０１ 置換生成部
１０２ 置換適用部
１０３ 算術演算部
１０４ 不正検知部
１０５ 乱数計算部
１０６ ハッシュ値計算部
１０７ シード記憶部
１０８ シェア値記憶部
９０００ コンピュータ
９０１０ ＣＰＵ
９０２０ 通信インターフェース
９０３０ メモリ
９０４０ 補助記憶装置
Ｐ_１～Ｐ_４ 秘密計算サーバ

Claims (5)

1. 相互にネットワークで接続された４台の秘密計算ノードを備え、前記４台の秘密計算ノードに秘密分散されたシェアをシャッフルするシャッフルシステムであって、
   前記４台の秘密計算ノードのうちの１台の秘密計算ノードを受信ノード、２台の秘密計算ノードを再分散ノード、残る１台の秘密計算ノードを検証ノードとするラウンドを、前記４台の秘密計算ノードで共有された選定順序に従って前記４台の秘密計算ノードの中から前記受信ノード、再分散ノードおよび検証ノードを選定し、
   前記再分散ノードが前記受信ノードの知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施し、前記ミニシャッフルの結果を前記受信ノードに送信し、
   前記検証ノードが、前記受信ノードの知らない置換を用いて生成した、前記再分散ノードのミニシャッフルの結果を検証するデータを前記受信ノードに送信し、
   前記受信ノードは、前記検証ノードから受信したデータを用いた前記ミニシャッフルの正当性を確認した結果、前記ミニシャッフルの正当性を確認できない場合、処理を中止し、正当性を確認できた場合は前記ラウンドを終了して次のラウンドへ進み、
   前記ラウンドを、前記４台の秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返すことで、
   前記シェアのシャッフルを行うシャッフルシステム。
2. 前記４台の秘密計算ノードは、
   ３つのシード（ｓｅｅｄ１，ｓｅｅｄ２，ｓｅｅｄ４）と秘密情報ｘのシェア（ｘ１，ｘ２）とを秘密分散して保持する第１の秘密計算ノードと、
   ３つのシード（ｓｅｅｄ２，ｓｅｅｄ３，ｓｅｅｄ４）と秘密情報ｘのシェア（ｘ２，ｘ３）とを秘密分散して保持する第２の秘密計算ノードと、
   ３つのシード（ｓｅｅｄ３，ｓｅｅｄ１，ｓｅｅｄ４）と秘密情報ｘのシェア（ｘ３，ｘ１）とを秘密分散して保持する第３の秘密計算ノードと、
   ３つのシード（ｓｅｅｄ１，ｓｅｅｄ２，ｓｅｅｄ３）と秘密情報ｘのシェア（ｘ１－ｘ２，ｘ２－ｘ３）とを秘密分散して保持する第４の秘密計算ノードと、により構成され、
   前記再分散ノード及び前記検証ノードは、前記受信ノードの知らないシードを用いて、２つの乱数を生成し、
   前記再分散ノードは、前記ミニシャッフルの結果として、前記シェアに前記乱数の組み合わせを適用した結果を前記受信ノードに送信し、
   前記検証ノードは、前記２台の再分散ノードが前記受信ノードに送信した結果の和又は差を計算して、前記受信ノードに送信する、
   請求項１のシャッフルシステム。
3. 前記第４の秘密計算ノードを受信ノードとするラウンドと、第１の秘密計算ノードを受信ノードとするラウンドと、を並列に実行し、
   前記第２の秘密計算ノードを受信ノードとするラウンドと、第３の秘密計算ノードを受信ノードとするラウンドと、を並列に実行する、
   請求項２のシャッフルシステム。
4. 相互にネットワークで接続された４台の秘密計算ノードを用いて、前記４台の秘密計算ノードに秘密分散されたシェアをシャッフルするシャッフル方法であって、
   前記４台の秘密計算ノードのうちの１台の秘密計算ノードを受信ノード、２台の秘密計算ノードを再分散ノード、残る１台の秘密計算ノードを検証ノードとするラウンドを、前記４台の秘密計算ノードで共有された選定順序に従って前記４台の秘密計算ノードの中から前記受信ノード、再分散ノードおよび検証ノードを選定し、
   前記再分散ノードが前記受信ノードの知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施し、前記ミニシャッフルの結果を前記受信ノードに送信し、
   前記検証ノードが、前記受信ノードの知らない置換を用いて生成した、前記再分散ノードのミニシャッフルの結果を検証するデータを前記受信ノードに送信し、
   前記受信ノードは、前記検証ノードから受信したデータを用いた前記ミニシャッフルの正当性を確認した結果、前記ミニシャッフルの正当性を確認できない場合、処理を中止し、正当性を確認できた場合は前記ラウンドを終了して次のラウンドへ進み、
   前記ラウンドを、前記４台の秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返すことで、
   前記シェアのシャッフルを行うシャッフル方法。
5. 相互にネットワークで接続された４台の秘密計算ノードに、前記４台の秘密計算ノードに秘密分散されたシェアをシャッフルする処理を行わせるシャッフルプログラムであって、
   前記４台の秘密計算ノードのうちの１台の秘密計算ノードを受信ノード、２台の秘密計算ノードを再分散ノード、残る１台の秘密計算ノードを検証ノードとするラウンドを、前記４台の秘密計算ノードで共有された選定順序に従って前記４台の秘密計算ノードの中から前記受信ノード、再分散ノードおよび検証ノードを選定する処理と、
   前記再分散ノードが前記受信ノードの知らない置換を用いてそれぞれが保持するシェアを再分散するミニシャッフルを実施し、前記ミニシャッフルの結果を前記受信ノードに送信する処理と、
   前記検証ノードが、前記受信ノードの知らない置換を用いて生成した、前記再分散ノードのミニシャッフルの結果を検証するデータを前記受信ノードに送信する処理と、
   前記受信ノードが、前記検証ノードから受信したデータを用いた前記ミニシャッフルの正当性を確認した結果、前記ミニシャッフルの正当性を確認できない場合、処理を中止し、正当性を確認できた場合は前記ラウンドを終了して次のラウンドへ進む処理と、
   前記ラウンドを、前記４台の秘密計算ノードが少なくとも１回以上受信ノードとなるよう繰り返す処理とを、
   含むシャッフルプログラム。

Images