JP7451445B2 - 秘匿演算方法、秘匿演算システム及び秘匿演算管理装置 - Google Patents

Description

本発明の実施形態は、秘匿演算方法、秘匿演算システム及び秘匿演算管理装置に関する。

近年では、様々な情報がデジタル化され、当該情報を利用した高度な電気通信サービスが提供されている。このような電気通信サービスには、例えば工場の機器等に設置されたセンサから得られる情報を利用して当該機器の異常を検知する（つまり、故障予知を行う）サービス及びユーザのパーソナルデータ（個人情報）を利用して当該ユーザの趣味嗜好に応じたサービスのような各種サービスが含まれる。

ところで、これらのサービスの提供を実現するために機械学習（により生成された学習モデル）を用いることが考えられる。機械学習の規模は拡大化する傾向にあり、近年ではクラウドコンピューティングサービスを提供する事業者（以下、クラウド事業者と表記）に当該機械学習に関する演算（計算）を委託し、大規模な機械学習を実現することが行われている。

しかしながら、クラウド事業者に機械学習に関する演算を委託した場合、当該機械学習に用いる学習データが漏洩するリスクが生じる。

これに対しては、上記した学習データ（入力データ）を秘匿しながら演算を実行させる秘匿演算技術が研究されている。なお、秘匿演算技術の１つに秘密分散法があるが、当該秘密分散法によれば、学習データを複数の計算装置に分散して機械学習を行うことができるため、当該学習データが漏洩するリスクを低減することができる。

ここで、上記した各種サービスを提供する場合には、機械学習により生成された学習モデルに当該サービスを提供するためのデータ（以下、推論データ）を入力することによって推論（演算）を実行し、当該推論の結果として得られた推論結果データに基づく処理が実行される。上記したように学習データを複数の計算装置に分散して機械学習を行っている場合には、このようなサービスの提供時においても、上記した学習データと同様に、推論データを複数の計算装置に分散し、当該複数の計算装置に推論を実行させるが、この場合、当該複数の計算装置において得られた推論結果データを復号する必要がある。

しかしながら、推論結果データの復号精度が低い場合には、質の高いサービスを提供することは困難である。

国際公開第２０２０／０７５７９７号

そこで、本発明が解決しようとする課題は、秘匿演算におけるデータの復号精度を向上させることが可能な秘匿演算方法、秘匿演算システム及び秘匿演算管理装置を提供することにある。

実施形態によれば、秘匿演算管理装置と、前記秘匿演算管理装置と通信可能に接続されるｎ（ｎは、２以上の整数）個の計算装置とを備える秘匿演算システムが実行する秘匿演算方法が提供される。前記秘匿演算方法は、前記秘匿演算管理装置が、前記秘匿演算管理装置に入力された第１データＸに基づいて、Ｘ∈Ｑとなる整数環Ｑから選択される係数を決定することと、前記秘匿演算管理装置が、前記第１データＸに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第１データＸから前記ｎ個の計算装置の各々に対応するｎ個の第１断片データを生成することと、前記ｎ個の計算装置の各々が、当該計算装置に対応する第１断片データを当該計算装置が保持する学習モデルに学習させることと、前記秘匿演算管理装置が、前記秘匿演算管理装置に入力された第２データＺに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第２データＺからｎ個の計算装置の各々に対応するｎ個の第２断片データを生成することと、前記ｎ個の計算装置の各々が、当該計算装置が保持する学習モデルを用いて当該計算装置に対応する第２断片データに基づく推論を実行することと、前記秘匿演算管理装置が、前記ｎ個の計算装置の各々のうちのｋ（ｋは、２以上、かつ、ｎ以下の整数）個の計算装置の各々によって行われた推論の結果として得られるｋ個の推論結果データをＳｈａｍｉｒの秘密分散法に基づいて復号することによって復号データｄｅｃを取得することと、前記秘匿演算管理装置が、前記復号データｄｅｃが前記整数環Ｑの最大値の近傍となる場合、当該整数環Ｑの最大値に基づいて当該復号データｄｅｃを補正することとを具備する。前記係数は、Ｓｈａｍｉｒの秘密分散法に基づき、かつ、前記ｎ個の第１断片データの各々が前記整数環Ｑの最大値未満となるように決定される。前記ｎ個の計算装置の各々が保持する学習モデルは、当該学習モデルに入力されるデータと当該学習モデルから出力されるデータとが同一となるように学習したオートエンコーダを含む。

第１実施形態に係る秘匿演算システムのネットワーク構成の一例を示す図。 秘匿演算管理装置のハードウェア構成の一例を示す図。 秘匿演算管理装置の機能構成の一例を示すブロック図。 計算装置の機能構成の一例を示すブロック図。 秘匿演算管理装置に学習データが入力される際の処理手順の一例を示すシーケンスチャート。 学習データに含まれるサブデータ毎に生成されるシェアについて説明するための図。 秘匿演算管理装置に推論データが入力される際の処理手順の一例を示すシーケンスチャート。 判定閾値を決定する際の処理手順の一例を示すシーケンスチャート。 第２実施形態に係る秘匿演算管理装置に推論データが入力される際の処理手順の一例を示すシーケンスチャート。

以下、図面を参照して、各実施形態について説明する。
（第１実施形態）
まず、第１実施形態について説明する。図１は、第１実施形態に係る秘匿演算システムのネットワーク構成の一例を示す。

図１に示すように、秘匿演算システム１は、秘匿演算管理装置１０及び複数の計算装置（演算装置）２０－１～２０－ｎ（ｎは、２以上の整数）を備える。秘匿演算管理装置１０及び複数の計算装置２０－１～２０－ｎは、例えばインターネットのようなネットワーク３０を介して通信可能に接続される。

秘匿演算管理装置１０は、例えばパーソナルコンピュータのような電子機器（情報処理装置）によって実現されるが、他の電子機器であってもよい。

複数の計算装置２０－１～２０－ｎの各々は、例えばパーソナルコンピュータのような電子機器（情報処理装置）によって実現されるが、他の電子機器であってもよい。なお、複数の計算装置２０－１～２０－ｎは、例えば秘匿演算管理装置１０に対してクラウドコンピューティングサービスを提供するクラウドサーバ装置として実現されていてもよい。

ここで、本実施形態に係る秘匿演算システム１の使用態様について簡単に説明する。本実施形態に係る秘匿演算システム１は、機械学習により生成された学習モデルを用いた各種サービスを提供するために利用される。秘匿演算システム１において提供されるサービスには、例えば工場の機器等に設置されたセンサから得られるデータ（センサデータ）を利用して当該機器の異常を検知するようなサービスが含まれるが、他のサービスであってもよい。

本実施形態においては、上記したサービスを提供する際に用いられる学習モデルに対する機械学習（学習処理）を他の事業者に委託する場合を想定している。

しかしながら、学習データは有用なデータである場合が多く、他の事業者に学習処理を委託する場合には当該学習データが漏洩するリスクが懸念される。このため、本実施形態に係る秘匿演算システム１は、学習データを秘匿化しながら計算装置２０－１～２０－ｎ（すなわち、複数の事業者）に学習処理を実行させるものとする。この場合、計算装置２０－１～２０－ｎの各々には、当該計算装置において学習処理が実行されることによって生成された学習モデルが保持される。

また、上記したように計算装置２０－１～２０－ｎの各々に保持されている学習モデルを用いて例えばセンサデータから機器の異常を検知する（つまり、推論を実行する）ような場合においても、当該センサデータ（推論データ）を秘匿化しながら計算装置２０－１～２０－ｎに推論を実行させ、当該推論が実行されることによって得られる推論結果データを復号することによって、異常検知のようなサービスを実現することができる。

ところで、上記したような秘匿化を実現する技術（秘匿演算技術）には、準同型暗号と秘密分散法とがあるが、一般的に、準同型暗号は、秘密分散法と比較して、演算量（計算量）が多くなる。このため、本実施形態において適用する秘匿演算技術としては、秘密分散法を用いる。

秘密分散法は秘匿化されるデータ（秘匿情報）をシェアと称される複数の断片データに変換する方法であり、当該秘密分散法の一例としてはＳｈａｍｉｒの秘密分散法等が知られている。

以下、Ｓｈａｍｉｒの秘密分散法の概要について説明する。ここでは、秘匿化されるデータａの保有者が当該データａをｎ個に安全に分散する場合を考える。

このような場合、Ｓｈａｍｉｒの秘密分散法によれば、データ保有者はａ∈Ｑとなる体（整数環）Ｑを選択し、秘密分散を実施する。

具体的には、ｋ－１（ｋは、２以上、かつ、ｎ以下の整数）のランダムな体Ｑの元であるｒ_１，…，ｒ_ｋ－１を選択し、秘匿化されるデータａを切片とするｋ－１次多項式である以下の式（１）を構成する。

また、ｎ個の体Ｑの元であるＰ_１，…，Ｐ_ｎを選択し、当該Ｐ_１，…，Ｐ_ｎをそれぞれ上記した式（１）のＰに適用することによって、Ｗ（Ｐ_１），…，Ｗ（Ｐ_ｎ）を計算する。なお、上記したｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎは、式（１）における係数に相当する。また、Ｐ_１，…，Ｐ_ｎはそれぞれ異なる値である。換言すれば、Ｐ_ｔ（ｔ＝１，２，…，ｎ）はＰ_ｔ´（ｔ´＝１，２，…，ｎ、かつ、ｔ≠ｔ´）とは異なる。

上記したように計算されたＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）は、上記した秘匿化されるデータａのシェア（断片データ）であり、例えば異なるｎ台のサーバ等に送信される。

これにより、秘匿化されるデータａをｎ台のサーバにおいて安全に分散して保管させることができる。なお、ｎ台のサーバをサーバＳ_１，…，Ｓ_ｎとし、サーバＳ_ｔ（ｔ＝１，２，…，ｎ）に送信されたシェアをＷ（Ｐ_ｔ）とすると、当該Ｗ（Ｐ_ｔ）は、例えば［ａ］_ｔ：＝Ｗ（Ｐ_ｔ）と表される。

次に、上記したように分散されたｎ個のシェアから上記したデータａを復元する場合を考える。この場合、上記したｎ台のサーバＳ_１，…，Ｓ_ｎのうちのｋ台のサーバ（以下、サーバＳ_ｔ１，…，Ｓ_ｔｋと表記）を選択し、当該選択されたサーバＳ_ｔ１，…，Ｓ_ｔｋの各々からシェアを受け取る。なお、サーバＳ_ｔ１，…，Ｓ_ｔｋから受け取られたシェアを［ａ］_ｔ１，…，［ａ］_ｔｋとする。

この場合、上記したデータａは、上記したｋ個のシェア［ａ］_ｔ１，…，［ａ］_ｔｋから以下の式（２）により復元することができる。

なお、式（２）におけるλ_ｔｊは、Ｌａｇｒａｎｇｅ補間法におけるＬａｇｒａｎｇｅ係数である。

上記したようにＳｈａｍｉｒの秘密分散法によれば、１つの秘匿化されるデータａからｎ個のシェア（断片データ）を生成し、ｎ台のサーバ（機器）に分散して管理するとともに、当該分散されたシェアから予め定められたｋ個のシェアを集めて元のデータａを復元することができる。すなわち、Ｓｈａｍｉｒの秘密分散法は、ｋ≦ｎを満たすような２以上の整数ｎ及びｋについて、ｎ－ｋ個のシェアが消失したとしても元のデータａを復元することができる耐消失性と、ｋ個未満のシェアからは元のデータａを復元できない機密性を併せ持つ。

このような秘匿演算が本実施形態に適用されることによって、学習データをｎ個のシェアに分散してｎ個の計算装置の各々が保持する学習モデルに学習させることができるとともに、推論データをｎ個のシェアに分散してｎ個の計算装置の各々に当該学習モデルを用いた推論を実行させることができる。

ここで、上記したようにシェアを用いた計算を行う秘匿演算（秘密分散法）は整数環上で行う必要がある。換言すれば、上記した秘匿化されるデータａ及びシェアＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）等は全て整数で表現される。

上記したように本実施形態においてはｎ個の計算装置２０－１～２０－ｎの各々に保持されている学習モデルを用いた推論が実行され、当該推論が実行されることによって得られるｋ個の推論結果データが復号されることになるが、当該学習モデルを用いた推論には実数による演算が必要となる。このような推論が実行された結果（推論結果データ）を秘匿演算において復号しようとすると復号精度が低下する場合がある。具体的には、推論に実数が使用されることによって秘匿演算における体Ｑ（有限体）を超える推論結果データが得られた場合には、当該推論結果データを正しく復号することができない。

そこで、本実施形態においては、上記した式（１）において用いられる係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎの範囲を限定することにより、推論結果データの復号精度を向上させる構成を採用する。具体的には、上記したＳｈａｍｉｒの秘密分散法によれば、単にｋ－１個のランダムな体Ｑの元であるｒ_１，…，ｒ_ｋ－１及びｎ個のランダムな体Ｑの元であるＰ_１，…，Ｐ_ｎを係数として選択するものとして説明したが、本実施形態における秘匿演算（秘密分散法）においては、例えばＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）の各々（つまり、断片データの各々）が体Ｑの最大値未満となるように係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎが決定される。

なお、例えばＰ_１，…，Ｐ_ｎがＰ_１＜…＜Ｐ_ｎの関係にあり、秘匿化されるデータａの最大値がＡ_ｍａｘであるものとすると、Ａ_ｍａｘのシェアの中の最大値であるシェアＷ（Ｐ_ｎ）は、以下の式（３）により表される。

本実施形態においては、このような式（３）により計算されるシェアＷ（Ｐ_ｎ）が体Ｑの最大値未満（つまり、Ｗ（Ｐ_ｎ）＜Ｑ）となるように係数が決定されるものとする。

以下、本実施形態に係る秘匿演算システムについて詳細に説明する。図２は、図１に示す秘匿演算管理装置１０のハードウェア構成の一例を示す。

図２に示すように、秘匿演算管理装置１０は、ＣＰＵ１１、不揮発性メモリ１２、ＲＡＭ１３及び通信デバイス１４等を備える。

ＣＰＵ１１は、秘匿演算管理装置１０内の様々なコンポーネントの動作を制御するためのプロセッサである。ＣＰＵ１１は、単一のプロセッサであってもよいし、複数のプロセッサで構成されていてもよい。ＣＰＵ１１は、不揮発性メモリ１２からＲＡＭ１３にロードされる様々なプログラムを実行する。これらのプログラムは、オペレーティングシステム（ＯＳ）や様々なアプリケーションプログラムを含む。このようにＣＰＵ１１によって実行されるアプリケーションプログラムには、上記した秘匿演算に関する処理を実行するプログラムが含まれる。

不揮発性メモリ１２は、補助記憶装置として用いられる記憶媒体である。ＲＡＭ１３は、主記憶装置として用いられる記憶媒体である。図２においては不揮発性メモリ１２及びＲＡＭ１３のみが示されているが、秘匿演算管理装置１０は、例えばＨＤＤ（Hard Disk Drive）及びＳＳＤ（Solid State Drive）等の他の記憶装置を備えていてもよい。

通信デバイス１４は、秘匿演算管理装置１０の外部の装置（例えば、計算装置２０－１～２０－ｎ）との通信を実行するように構成されたデバイスである。

ここでは秘匿演算管理装置１０のハードウェア構成について説明したが、計算装置２０－１～２０－ｎについても秘匿演算管理装置１０と同様のハードウェア構成を有するものとする。なお、計算装置２０－１～２０－ｎのハードウェア構成の詳細な説明については省略する。

図３は、秘匿演算管理装置１０の機能構成の一例を示すブロック図である。図３に示すように、秘匿演算管理装置１０は、係数決定部１０１，シェア生成部１０２、推論結果復号部１０３、復号データ補正部１０４、判定処理部１０５及び判定閾値決定部１０６を含む。

本実施形態において、秘匿演算管理装置１０に含まれる各部１０１～１０６の一部または全部は、ＣＰＵ１１（つまり、秘匿演算管理装置１０のコンピュータ）に所定のプログラムを実行させること、すなわち、ソフトウェアによって実現されるものとする。なお、このＣＰＵ１１によって実行されるプログラムは、コンピュータ読み取り可能な記憶媒体に格納して頒布されてもよいし、ネットワークを通じて秘匿演算管理装置１０にダウンロードされてもよい。

ここではＣＰＵ１１に所定のプログラムを実行させることによって各部１０１～１０６が実現されるものとして説明したが、当該各部１０１～１０６の一部または全部は、例えばＩＣ（Integrated Circuit）等のハードウェアによって実行されてもよいし、ソフトウェア及びハードウェアの組み合わせによって実現されてもよい。

ここで、本実施形態においては、上記したようにｎ個の計算装置２０－１～２０－ｎの各々において保持されている学習モデルを学習させる際には秘匿演算管理装置１０に学習データ（群）Ｘが入力され、ｎ個の計算装置２０－１～２０－ｎに保持されている学習モデルを用いた推論を実行させる際には秘匿演算管理装置１０に推論データＺが入力されるものとして説明する。なお、上記したように本実施形態に係る秘匿演算システム１が機器の異常を検知するようなサービスを提供するために利用される場合、学習データＸ及び推論データＺは、例えば当該機器に設置されたセンサから得られるセンサデータである。

秘匿演算管理装置１０に学習データＸが入力された場合、係数決定部１０１は、当該学習データＸに基づいて、Ｘ∈Ｑとなる体（整数環）Ｑから選択される係数を決定する。なお、上記したように学習データＸをｎ個の計算装置２０－１～２０－ｎに分散する場合には当該学習データＸからｎ個のシェアが生成されるが、係数決定部１０１は、当該ｎ個のシェアの各々（つまり、シェアの最大値）が体Ｑの最大値未満となるように係数を決定する。

シェア生成部１０２は、学習データＸに対して秘密分散を実施し、係数決定部１０１によって決定された係数に基づいて学習データＸからｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のシェア（断片データ）を生成する。

秘匿演算管理装置１０に推論データＺが入力された場合、シェア生成部１０２は、当該推論データに対して秘密分散を実施し、当該推論データＺからｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のシェア（断片データ）を生成する。なお、この場合におけるｎ個のシェアは、上記したように係数決定部１０１によって学習データＸに基づいて決定された係数に基づいて生成される。

シェア生成部１０２によって生成されたｎ個のシェアの各々は、それぞれ対応する計算装置２０－１～２０－ｎに送信される。

推論結果復号部１０３は、計算装置２０－１～２０－ｎのうちのｋ個の計算装置において推論が実行された結果（推論結果）として得られるｋ個の推論結果データを当該ｋ個の計算装置から受信し、当該推論結果データを復号することによって、復号データを取得する。

復号データ補正部１０４は、推論結果復号部１０３によって取得された復号データを補正する。なお、復号データの補正は、例えば秘匿演算における体Ｑ（の最大値）に基づいて行われる。

ここで、上記した計算装置２０－１～２０－ｎの各々において保持されている学習モデルは、例えばオートエンコーダであるものとする。オートエンコーダは、例えば当該オートエンコーダに対して入力されるデータ（入力データ）に対して、当該データを再現するようなデータ（出力データ）を出力するように学習した学習モデルである。なお、オートエンコーダは、例えば入力レイヤに含まれるノード数（入力ノード数）と、出力レイヤに含まれるノード数（出力ノード数）とが同一であり、隠れレイヤに含まれるノード数（隠れノード数）が入力レイヤ及び出力レイヤに含まれるノード数よりも少ない３レイヤ構造のニューラルネットワークである。なお、隠れレイヤに含まれるノード数及び隠れレイヤの数等は適宜設定可能である。また、計算装置２０－１～２０－ｎの各々において保持されている学習モデルの初期構成（入出力ノード数、隠れノード数及び隠れレイヤの数等）は同一であるものとする。

上記したように計算装置２０－１～２０－ｎの各々において保持されている学習モデルがオートエンコーダである場合、判定処理部１０５は、推論データと復号データとの誤差値（差分）を閾値と比較し、当該推論データと復号データとの乖離度を判定する。具体的には、判定処理部１０５は、誤差値が閾値以上である場合、推論データと復号データとが同一でないと判定する。一方、判定処理部１０５は、誤差値が閾値未満である場合、推論データと復号データとが同一であると判定する。本実施形態においては、このような判定処理部１０５による判定結果に基づいて例えば機器が異常であるかどうかを検知することができる。

判定閾値決定部１０６は、例えば上記した学習データ及び推論データと同様の検証用データに基づいて、上記した判定処理部１０５による判定処理に用いられる閾値を決定する。

図４は、計算装置２０－１～２０－ｎのうちの計算装置２０－ｔ（ｔ＝１，２，…，ｎ）の機能構成の一例を示すブロック図である。図４に示すように、計算装置２０－ｔは、学習データ格納部２０１、学習処理部２０２、学習モデル格納部２０３、推論データ格納部２０４、推論処理部２０５及び推論結果格納部２０６を含む。

本実施形態において、計算装置２０－ｔに含まれる学習データ格納部２０１、学習モデル格納部２０３、推論データ格納部２０４及び推論結果格納部２０６は、計算装置２０－ｔに備えられる不揮発メモリまたは他の記憶装置等によって実現される。

また、計算装置２０－ｔに含まれる学習処理部２０２及び推論処理部２０５の一部または全部は、計算装置２０－ｔに備えられるＣＰＵ（つまり、計算装置２０－ｔのコンピュータ）に所定のプログラムを実行させること、すなわち、ソフトウェアによって実現されるものとする。なお、このＣＰＵによって実行されるプログラムは、コンピュータ読み取り可能な記憶媒体に格納して頒布されてもよいし、ネットワーク３０を通じて計算装置２０－ｔにダウンロードされてもよい。

ここではＣＰＵに所定のプログラムを実行させることによって学習処理部２０２及び推論処理部２０５が実現されるものとして説明したが、当該各部２０２及び２０５の一部または全部は、例えばＩＣ等のハードウェアによって実行されてもよいし、ソフトウェア及びハードウェアの組み合わせによって実現されてもよい。

学習データ格納部２０１には、上記した秘匿演算管理装置１０に含まれるシェア生成部１０２によって学習データＸから生成されたｎ個のシェアのうち、計算装置２０－ｔに対応するシェアが格納される。

学習処理部２０２は、学習データ格納部２０１に格納されたシェア（学習データＸのシェア）に基づいて学習モデルを学習させる学習処理を実行する。

学習モデル格納部２０３には、学習処理部２０２によって学習処理が実行されることによって得られた学習モデル（つまり、学習データＸのシェアを学習した学習モデル）が格納される。なお、計算装置２０－１～２０－ｎの各々においては異なるシェアに基づいて学習処理が実行されるため、当該計算装置２０－１～２０－ｎの各々の学習モデル格納部２０３には、上記したように初期構成は同一であるが、学習内容が異なる学習モデル（つまり、パラメータが異なる学習モデル）が格納されることになる。

推論データ格納部２０４には、上記した秘匿演算管理装置１０に含まれるシェア生成部１０２によって推論データＺから生成されたｎ個のシェアのうち、計算装置２０－ｔに対応するシェアが格納される。

推論処理部２０５は、推論データ格納部２０４に格納されたシェア（推論データＺのシェア）に基づいて推論処理を実行する。なお、推論処理においては、推論データＺのシェアを学習モデル格納部２０３に格納されている学習モデルに入力することによって、当該学習モデルから出力されるデータが推定結果データとして取得される。

推論結果格納部２０６には、推論処理部２０５によって取得された推論結果データが格納される。推論結果格納部２０６に格納された推論結果データは、秘匿演算管理装置１０に送信される。

以下、本実施形態に係る秘匿演算システム１の動作について説明する。ここでは、秘匿演算管理装置１０に学習データＸが入力される（つまり、計算装置２０－１～２０－ｎに学習処理を実行させる）際の処理（以下、第１処理と表記）と、秘匿演算管理装置１０に推論データＺが入力される（つまり、計算装置２０－１～２０－ｎに推論処理を実行させる）際の処理（以下、第２処理と表記）とについて説明する。

まず、図５のシーケンスチャートを参照して、上記した第１処理の処理手順の一例について説明する。なお、図５においては便宜的に計算装置２０－１～２０－ｎのうちの１つの計算装置２０－ｔのみが示されているが、他の計算装置においても同様の処理が実行されるものとする。

第１処理において、秘匿演算管理装置１０は、上記したように学習データＸを入力する（ステップＳ１）。なお、学習データＸは、複数の学習データを含む学習データ群Ｘであってもよい。この場合、秘匿演算管理装置１０は、学習データ群Ｘ＝｛Ｘ_１，…，Ｘ_ｍ｝を入力する。この学習データ群Ｘに含まれる学習データＸ_１，…，Ｘ_ｍの各々は、例えば同じ種類の複数の機器（正常な状態にある機器）に設置されたセンサから同時刻に得られるセンサデータであってもよいし、同一の機器（正常な状態にある機器）に設置されたセンサから時系列に得られるセンサデータであってもよい。以下の説明においては、ステップＳ１において学習データ群Ｘ＝｛Ｘ_１，…，Ｘ_ｍ｝が入力されたものとして説明する。

また、上記したように学習モデルがオートエンコーダであり、当該オートエンコーダの入力レイヤ及び出力レイヤのノード数がｄ（ｄは、２以上の整数）個である場合、学習データＸ_１，…，Ｘ_ｍの各々は、ｄ個のサブデータ（要素）を含む配列として構成されている。なお、学習データＸ_１，…，Ｘ_ｍの各々を構成するｄ個のサブデータをｘ_１，…，ｘ_ｄとすると、当該サブデータｘ_１，…，ｘ_ｄは、例えば同一の機器に設置されたｄ種のセンサから同時刻に得られるセンサデータである。

以下においては、便宜的に、学習データＸ_１を構成するｄ個のサブデータをｘ_１１，…，ｘ_１ｄ、学習データＸ_ｍを構成するｄ個のサブデータをｘ_ｍ１，…，ｘ_ｍｄとして説明する。他の学習データＸ_２，…，Ｘ_ｍ－１についても同様である。

ステップＳ１の処理が実行されると、係数決定部１０１は、学習データ群Ｘに基づいて、当該学習データ群Ｘに含まれる学習データＸ_１，…，Ｘ_ｍの各々のシェアを生成するための係数（体Ｑから選択される係数）を決定する（ステップＳ２）。

ステップＳ２においては、学習データ群Ｘ（Ｘ_１，…，Ｘ_ｍ）に含まれる全てのサブデータｘ_１，…，ｘ_ｄの最大値をＸ_ｍａｘとした場合に、以下の式（４）を満たすような係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎを決定する。

なお、式（４）は、上記した式（３）を学習データ群Ｘに適用したものであり、学習データ群Ｘに含まれる学習データＸ_１，…，Ｘ_ｍの各々のシェア（サブデータのシェア）のうちの最大値（Ｗ（Ｐｎ））が体Ｑの最大値未満となるように係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎを決定することを意味している。また、式（４）のＱは、体Ｑの最大値を示している。また、式（４）において、Ｐ_１，…，Ｐ_ｎは、Ｐ_１＜…＜Ｐ_ｎの関係にあるものとする。

上記したステップＳ２において決定された係数は、後述する第２処理に用いるために係数決定部１０１内部に保持される。

次に、シェア生成部１０２は、ステップＳ２において決定された係数に基づいて、学習データ群Ｘに含まれる学習データＸ_１，…，Ｘ_ｍの各々から計算装置２０－１～２０－ｎの各々に対応するｎ個のシェアを生成する（ステップＳ３）。換言すれば、シェア生成部１０２は、学習データＸ_１からｎ個のシェアを生成するとともに、学習データＸ_ｎからもｎ個のシェアを生成する。他の学習データＸ_２，…，Ｘ_ｍ－１についても同様である。

更に、本実施形態においては学習データＸ_１，…，Ｘ_ｍの各々はサブデータｘ_１，…，ｘ_ｄから構成されるが、この場合、上記したシェアは当該サブデータ毎に生成される。

ここで、図６に示すように、学習データＸ_１，…，Ｘ_ｍのうちの１つの学習データＸ_ｇ（１≦ｇ≦ｍ）がサブデータｘ_ｇ１，…，ｘ_ｇｄを含む配列から構成されている場合を想定する。この場合、シェア生成部１０２は、サブデータｘ_ｇ１，…，ｘ_ｇｄの各々からｎ個のシェアを生成する。

具体的には、サブデータｘ_ｇ１からはｎ個のシェアｘ_ｇ１（Ｐ_１），…，ｘ_ｇ１（Ｐ_ｎ）が生成される。シェアｘ_ｇ１（Ｐ_１）は、上記した式（１）の切片ａをサブデータｘ_ｇ１とし、ステップＳ２において係数として決定されたｒ_１，…，ｒ_ｋ－１及びＰ_１を適用した当該式（１）により計算されるシェアＷ（Ｐ_１）に相当する。シェアｘ_ｇ１（Ｐ_ｎ）は、上記した式（１）の切片ａをサブデータｘ_ｇ１とし、ステップＳ２において係数として決定されたｒ_１，…，ｒ_ｋ－１及びＰ_ｎを適用した式（１）により計算されるシェアＷ（Ｐ_ｎ）に相当する。詳しい説明については省略するが、シェアｘ_ｇ１（Ｐ_２），…，ｘ_ｇ１（Ｐ_ｎ－１）についても同様に計算される。

また、サブデータｘ_ｇｄからはｎ個のシェアｘ_ｇｄ（Ｐ１），…，ｘ_ｇｄ（Ｐｎ）が生成される。シェアｘ_ｇｄ（Ｐ_１）は、上記した式（１）の切片ａをサブデータｘ_ｇｄとし、ステップＳ２において係数として決定されたｒ_１，…，ｒ_ｋ－１及びＰ_１を適用した当該式（１）により計算されるシェアＷ（Ｐ_１）に相当する。シェアｘ_ｇｄ（Ｐ_ｎ）は、上記した式（１）の切片ａをサブデータｘ_ｇｄとし、ステップＳ２において係数として決定されたｒ_１，…，ｒ_ｋ－１及びＰ_ｎを適用した当該式（１）により計算されるシェアＷ（Ｐ_ｎ）に相当する。詳しい説明については省略するが、シェアｘ_ｇｄ（Ｐ_２），…，ｘ_ｇｄ（Ｐ_ｎ－１）についても同様に計算される。

ここではサブデータｘ_ｇ１及びｘ_ｇｄの各々から生成されるシェアについて説明したが、他のサブデータｘ_ｇ２，…，ｘ_ｇｄ－１の各々からも同様にｎ個のシェアが生成される。

この場合、図６に示すように、シェアｘ_ｇ１（Ｐ_１），…，ｘ_ｇｄ（Ｐ_１）は、計算装置２０－１に対応するシェアＸ_ｇ（Ｐ_１）である。また、シェアｘ_ｇ１（Ｐ_ｎ），…，ｘ_ｇｄ（Ｐ_ｎ）は、計算装置２０－ｎに対応するシェアＸ_ｇ（Ｐ_ｎ）である。

本実施形態においては、上記した処理が実行されることにより、学習データＸ_ｇに対してはそれぞれサブデータのシェアを含むｎ個のシェアＸ_ｇ（Ｐ_１），…，Ｘ_ｇ（Ｐ_ｎ）が上記した式（１）を用いて生成される。ここでは学習データＸ_ｇについて説明したが、他の学習データについても同様にシェアが生成される。

再び図５に戻ると、シェア生成部１０２は、ステップＳ３において生成された学習データＸ_１，…，Ｘ_ｍの各々のシェア（に含まれるサブデータのシェア）の各々を規格化する（ステップＳ４）。この場合、シェア生成部１０２は、Ｍａｘ－Ｍｉｎ Ｎｏｒｍａｌｉｚａｔｉｏｎ処理を実行する。このＭａｘ－Ｍｉｎ Ｎｏｒｍａｌｉｚａｔｉｏｎによれば、以下の式（５）により値が０から１になるようにシェアが変換（規格化）される。

なお、上記した式（５）におけるｘ_ｍｍはステップＳ３において生成されたシェア（サブデータのシェア）の規格化された後の値を示し、当該式（５）におけるｘは当該ステップＳ３において生成されたシェアを示す。

また、式（５）におけるｘ_ｍａｘは、規格化されるサブデータのシェアｘと同一のノード（オートエンコーダの入力レイヤに含まれる同一のノード）に入力される全てのサブデータのシェアのうちの最大値である。同様に、式（５）におけるｘ_ｍｉｎは、規格化されるサブデータのシェアｘと同一のノード（オートエンコーダの入力レイヤに含まれる同一のノード）に入力される全てのサブデータのシェアのうちの最小値である。具体的には、上記した図６に示すサブデータｘ_ｇ１のシェアｘ_ｇ１（Ｐ_１）を式（５）により規格化する場合、当該式（５）におけるｘ_ｍａｘは学習データＸ_１，…，Ｘ_ｍの各々を構成するサブデータｘ_１のシェアのうちの最大値であり、当該式（５）におけるｘ_ｍｉｎは学習データＸ_１，…，Ｘ_ｍの各々を構成するサブデータｘ_１のシェアのうちの最小値である。

ステップＳ４においては、ステップＳ３において生成された学習データＸ_１，…，Ｘ_ｍを構成するサブデータｘ_１，…，ｘ_ｄのシェアの各々を式（５）に適用することによって、当該シェアの各々を規格化することができる。

なお、ここではｘ_ｍａｘ及びｘ_ｍｉｎが実データ（学習データＸ_１，…，Ｘ_ｍを構成するサブデータｘ_１，…，ｘ_ｄのシェア）から定められるものとして説明したが、例えばサブデータとして入力されるセンサデータの種類（つまり、センサの種類）等の条件から当該センサデータが取り得る値の範囲が定められている場合には、当該ｘ_ｍａｘ及びｘ_ｍｉｎは当該範囲に基づいて定められてもよい。

また、ここではｘ_ｍａｘ及びｘ_ｍｉｎがサブデータｘ_１，…，ｘ_ｄ毎に異なる値となるものとして説明したが、当該サブデータｘ_１，…，ｘ_ｄのシェアの分布（範囲）が同程度である場合には、全てのサブデータｘ_１，…，ｘ_ｄのシェアに共通なｘ_ｍａｘ及びｘ_ｍｉｎが用いられてもよい。

ステップＳ４の処理が実行されると、秘匿演算管理装置１０は、当該ステップＳ４において規格化されたシェア（学習データＸ_１，…，Ｘ_ｍを構成するサブデータｘ_１，…，ｘ_ｄのシェアの各々）を、対応する計算装置２０－１～２０－ｎに送信する（ステップＳ５）。

この場合、例えば計算装置２０－１に送信される学習データＸ_ｇのシェアＸ_ｇ（Ｐ_１）は、上記したようにｄ個のサブデータのシェア（ｘ_ｇ１（Ｐ_１），…，ｘ_ｇｄ（Ｐ_１））を含む。これによれば、上記したｄ個のサブデータを含む学習データＸ_ｇと同様のデータ長（つまり、学習に必要なデータ長）のシェアを計算装置２０－１に送信することができるため、当該計算装置２０－１においては学習モデル（オートエンコーダ）の学習処理を適切に実行することができる。

以下、計算装置２０－１～２０－ｎのうちの計算装置２０－ｔの処理について説明する。ステップＳ５において送信された計算装置２０－ｔに対応する学習データＸ_１，…，Ｘ_ｍの各々のシェア（以下、Ｘ_１（Ｐ_ｔ），…，Ｘ_ｍ（Ｐ_ｔ）と表記）は、当該計算装置２０－ｔにおいて受信され、学習データ格納部２０１に格納される。

次に、学習処理部２０２は、学習データ格納部２０１に格納された学習データＸ_１，…，Ｘ_ｍのシェアＸ_１（Ｐ_ｔ），…，Ｘ_ｍ（Ｐ_ｔ）に基づいて学習モデルの学習処理を実行する（ステップＳ６）。

ここで、学習データＸ_１のシェアＸ_１（Ｐ_ｔ）を学習モデルに学習させる場合を想定する。この場合、シェアＸ_１（Ｐ_ｔ）はｄ個のサブデータのシェア（以下、ｘ_１１（Ｐ_ｔ），…，ｘ_１ｄ（Ｐ_ｔ）と表記）を含み、学習処理部２０２は、当該ｄ個のサブデータのシェアｘ_１１（Ｐ_ｔ），…，ｘ_１ｄ（Ｐ_ｔ）をオートエンコーダ（学習モデル）の入力レイヤに含まれるｄ個の入力ノードに入力する。

オートエンコーダは上記したように入力データを再現するような出力データを出力するように構成されているため、例えば機器が正常な状態である場合に得られたセンサデータ（群）が上記した学習データ群Ｘとして入力されているのであれば、当該オートエンコードから出力される出力データは入力データと同一であるべきである。

このため、上記したステップＳ６における学習処理においては、学習モデル（オートエンコーダ）入力されたシェアＸ_１（Ｐ_ｔ）と当該学習モデルから出力された出力データとの誤差を計算し、当該誤差が小さくなるように学習モデルのパラメータを更新する処理が実行される。

これにより、学習モデルはシェアＸ_１（Ｐ_ｔ）を学習することができる。ここでは学習データＸ_１のシェアＸ_１（Ｐ_ｔ）について説明したが、ステップＳ６においては、学習データ格納部２０１に格納された学習データＸ_１，…，Ｘ_ｍのシェアＸ_１（Ｐ_ｔ），…，Ｘ_ｍ（Ｐ_ｔ）の各々が学習モデルによって学習される。

上記したステップＳ６の処理が実行されることによってパラメータが更新された学習モデル（つまり、学習データＸ_１，…，Ｘ_ｍのシェアを学習した学習モデル）は、学習モデル格納部２０３に格納される（ステップＳ７）。

次に、図７のシーケンスチャートを参照して、上記した第２処理の処理手順の一例について説明する。なお、図７においては、便宜的に、計算装置２０－１～２０－ｎのうちの１つの計算装置２０－ｔのみが示されている。

第２処理において、秘匿演算管理装置１０は、上記したように推論データＺを入力する（ステップＳ１１）。なお、推論データＺは、上記した学習データＸ_１，…，Ｘ_ｍの各々と同様に、ｄ個のサブデータを含む配列として構成されている。なお、推論データＺを構成するｄ個のサブデータをｚ_１，…，ｚ_ｄとすると、当該サブデータｚ_１，…，ｚ_ｄは、例えば同一の機器（異常を判定する対象となる機器）に設置されたｄ種のセンサから同時刻に得られるセンサデータである。

ステップＳ１の処理が実行されると、係数決定部１０１は、上記した第１処理において当該係数決定部１０１内部に保持されている係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎを読み出す（ステップＳ１２）。

次に、シェア生成部１０２は、ステップＳ２において読み出された係数に基づいて、推論データＺからｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のシェアを生成する（ステップＳ１３）。なお、ステップＳ１３の処理は上記した図５に示すステップＳ１３の処理に相当する処理であるので、ここではその詳しい説明を省略する。

なお、ステップＳ１３の処理が実行されることによって推論データＺのシェアＺ（Ｐ_１），…，Ｚ（Ｐ_ｎ）が生成されるものとすると、推論データＺのシェアＺ（Ｐ_１）は、当該推論データＺを構成するサブデータｚ_１，…，ｚ_ｄの各々のシェアｚ_１（Ｐ_１），…，ｚ_ｄ（Ｐ_１）を含む。他のシェアＺ（Ｐ_２），…，Ｚ（Ｐ_ｎ）についても同様である。

次に、上記した図５に示すステップＳ４及びＳ５の処理に相当するステップＳ１４及びＳ１５の処理が実行される。なお、ステップＳ１４及びＳ１５の処理は、図５において説明した学習データＸ_１，…，Ｘ_ｍの各々のシェアを推論データＺのシェアとした点以外は図５に示すステップＳ４及びＳ５の処理と同様であるので、ここではその詳しい説明を省略する。

以下、計算装置２０－１～２０－ｎのうちの計算装置２０－ｔの処理について説明する。ステップＳ１５において送信された計算装置２０－ｔに対応する推論データＺのシェア（以下、シェアＺ（Ｐ_ｔ）と表記）は、当該計算装置２０－ｔにおいて受信され、推論データ格納部２０４に格納される。

次に、推論処理部２０５は、学習モデル格納部に格納されている学習モデル（計算装置２０－ｔにおいて学習処理が実行された学習モデル）を用いて、推論データＺのシェアＺ（Ｐ_ｔ）に対する推論処理を実行する（ステップＳ１６）。

この場合、推論データＺのシェアＺ（Ｐ_ｔ）はｄ個のサブデータのシェア（以下、ｚ_１（Ｐ_ｔ），…，ｚ_ｄ（Ｐ_ｔ）と表記）を含み、推論処理部２０５は、当該ｄ個のサブデータのシェアｚ_１（Ｐ_ｔ），…，ｚ_ｄ（Ｐ_ｔ）をオートエンコーダ（学習モデル）の入力レイヤに含まれるｄ個の入力ノードに入力することによって推論（処理）を実行する。これによれば、推論処理部２０５は、オートエンコーダ（の出力レイヤに含まれるｄ個の出力ノード）から出力される出力データを推論結果データとして取得することができる。

なお、ステップＳ１６の処理が実行されることによって取得される推論結果データをｄｅｃ´（Ｐ_ｔ）と表すものとすると、当該推論結果データｄｅｃ´（Ｐ_ｔ）は、ｄ個のサブデータｄｅｃ_１´（Ｐ_ｔ），…，ｄｅｃ_ｄ´（Ｐ_ｔ）を含む。

ステップＳ１６の処理が実行されると、推論結果データｄｅｃ´（Ｐ_ｔ）は、推論結果格納部２０６に格納される（ステップＳ１７）。

ここで、計算装置２０－１～２０－ｎの各々において実行された推論の結果を復号するためには、上記したようにｋ個の推論結果データが必要である。このため、秘匿演算管理装置１０は、ｋ個の推論結果データを取得（収集）するために計算装置２０－１～２０－ｎのうちのｋ個の計算装置を選択する。この場合、図７には示されていないが、秘匿演算管理装置１０は、選択されたｋ個の計算装置の各々に対して推論結果データの送信を指示する。

秘匿演算管理装置１０によって選択されたｋ個の計算装置に計算装置２０－ｔが含まれている場合、当該計算装置２０－ｔは、秘匿演算管理装置１０からの指示に基づいて、推論結果格納部２０６に格納された推論結果データｄｅｃ´（Ｐ_ｔ）を当該秘匿演算管理装置１０に送信する（ステップＳ１８）。なお、上記した秘匿演算管理装置１０によって選択されたｋ個の計算装置のうちの計算装置２０－ｔ以外の計算装置も同様に推論結果データを秘匿演算管理装置１０に送信する。

以下の説明においては、便宜的に、ｋ個の計算装置として計算装置２０－１～２０－ｋの各々から推論結果データが送信されたものとする。ここでは計算装置２０－１～２０－ｋから推論結果データが送信されたものとして説明するが、ｋ個の計算装置は任意に選択され得る。以下、計算装置２０－１～２０－ｋの各々から送信されたｋ個の推論結果データを、推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）と称する。

秘匿演算管理装置１０は、上記したようにｋ個の計算装置から送信されたｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）を受信する。

ここで、秘匿演算管理装置１０において受信されたｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）の各々は、学習モデルを用いた推論データＺのシェア（規格化された推論データＺのシェア）に基づく推論（演算）の結果であるため、０から１の実数である。よって、秘匿演算管理装置１０において受信されたｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）に対して秘匿演算における復号処理を実行するためには、当該ｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）の各々を整数に変換する必要がある。

この場合、推論結果復号部１０３は、上記した式（５）を用いて、ｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）の各々を整数に変換する（ステップＳ１９）。

ここで、推論結果データｄｅｃ´（Ｐ_ｔ）（ここでは、１≦ｔ≦ｋ）を整数に変換する処理について説明する。上記したように推論結果データｄｅｃ´（Ｐ_ｔ）はｄ個のサブデータｄｅｃ_１´（Ｐ_ｔ），…，ｄｅｃ_ｄ´（Ｐ_ｔ）を含むため、当該サブデータ毎に整数変換が実施される。

この場合、例えばサブデータｄｅｃ_１´（Ｐ_ｔ）を上記した式（５）の左辺に入力し、右辺のｘを求めるような計算を行う。このように計算されたｘが整数に変換されたサブデータｄｅｃ_１´（Ｐ_ｔ）に相当する。なお、サブデータｄｅｃ_１´（Ｐ_ｔ）を整数に変換する場合には、上記した推論データＺのシェアＺ（Ｐ_ｔ）に含まれるサブデータｚ_１のシェアｚ_１（Ｐ_ｔ）が規格化された際に用いられたｍ_ｍａｘ及びｍ_ｍｉｎ（つまり、サブデータｄｅｃ_１´（Ｐ_ｔ）に対応するｍ_ｍａｘ及びｍ_ｍｉｎ）が用いられる。他のサブデータｄｅｃ_２´（Ｐ_ｔ），…，ｄｅｃ_ｄ´（Ｐ_ｔ）を整数に変換する場合についても同様に、サブデータｄｅｃ_２´（Ｐ_ｔ），…，ｄｅｃ_ｄ´（Ｐ_ｔ）の各々に対応するｍ_ｍａｘ及びｍ_ｍｉｎが用いられる。

なお、上記したように整数に変換された結果（つまり、式（５）により計算されたｘ）が整数でない場合は、小数点以下を四捨五入するものとする。

このような処理が推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）の各々に対して実行されることにより、当該推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）（のサブデータ）の各々を整数に変換することができる。

ステップＳ１９の処理が実行されると、推論結果復号部１０３は、当該ステップＳ１９において整数に変換されたｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）を復号する（ステップＳ２０）。

なお、ｋ個の推論結果データを復号することによって得られる復号データを復号データｄｅｃとした場合、ステップＳ２０においては、上記したＬａｇｒａｎｇｅ補間法を用い、上記したデータａを復号データｄｅｃ、［ａ］_ｔ１，…，［ａ］_ｔｋを推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）とした式（２）により、当該復号データｄｅｃを復元することができる。

なお、推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）の各々は上記したようにｄ個のサブデータを含むところ、復号データｄｅｃは、上記した推論データＺと同様に、ｄ個のサブデータｄｅｃ_１，…，ｄｅｃ_ｄを含む。

ここで、本実施形態においては、ｋ個の推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）を送信した計算装置２０－１～２０－ｋの各々が異なるシェアＺ（Ｐ_１），…，Ｚ（Ｐ_ｋ）に基づく推論を実行しているため、当該計算装置２０－１～２０－ｋの各々において得られた推論結果データｄｅｃ´（Ｐ_１），…，ｄｅｃ´（Ｐ_ｋ）を復号した結果として得られる復号データｄｅｃ（に含まれるサブデータ）には誤差が生じている可能性がある。特にゼロ近傍の値が解となる復号値に負の誤差が生じた場合、体Ｑに基づく秘匿演算を実施していることから、当該復号データｄｅｃに含まれるサブデータ（の値）は体Ｑの最大値の近傍（つまり、サブデータは体Ｑの最大値と概ね同様の値）となる。この場合、例えば上記した復号データｄｅｃに含まれるｄ個のサブデータのうちの１つが体Ｑの最大値の近傍であるものとすると、当該サブデータが他のサブデータに与える影響が大きくなり、適切な検知結果を得ることができない可能性がある。

そこで、本実施形態において、復号データ補正部１０４は、上記した復号データｄｅｃに含まれるサブデータｄｅｃ_１，…，ｄｅｃ_ｄの各々が体Ｑの最大値の近傍である（つまり、復号データ≒Ｑである）か否かを判定する（ステップＳ２１）。なお、サブデータｄｅｃ_１，…，ｄｅｃ_ｄの各々が体Ｑの最大値の近傍であると判定するための判定ライン（閾値）については、予め設定されているものとする。これによれば、サブデータｄｅｃ_１，…，ｄｅｃ_ｄと体Ｑの最大値との差分が閾値未満であれば、当該サブデータが体Ｑの最大値との近傍であると判定することができる。

ここで、復号データｄｅｃに含まれるサブデータｄｅｃ_１が体Ｑの最大値の近傍であると判定された場合を想定する（ステップＳ２１のＹＥＳ）。この場合、復号データ補正部１０４は、復号データｄｅｃに含まれるサブデータｄｅｃ_１を補正する（ステップＳ２２）。

なお、上記したように解であるゼロ近傍の値に負の誤差が生じることによって当該解が負の値となるような場合、上記した推論結果復号部１０３による復号結果として得られるサブデータｄｅｃ_１（の値）は、体Ｑの最大値－α´（α´は、整数）のような値（つまり、体Ｑの最大値の近傍）となる。

このため、ステップＳ２２においては、サブデータｄｅｃ_１を、「体Ｑの最大値－サブデータｄｅｃ_１」のように補正する。上記したようにサブデータｄｅｃ_１が体Ｑの最大値－α´のような値である場合、当該サブデータｄｅｃ_１を「体Ｑの最大値－サブデータｄｅｃ_１」のように補正（変換）することにより、当該サブデータｄｅｃ_１を実質的にα´として扱うことができ、上記したサブデータｄｅｃ１が体Ｑの近傍となった場合に生じる影響を緩和することができる。

上記したようにステップＳ２２の処理が実行されることによって例えばサブデータｄｅｃ_１が補正された場合、ステップＳ２０の処理が実行されることによって得られた復号データｄｅｃに含まれるサブデータｄｅｃ_１を、当該補正されたサブデータｄｅｃ_１に置き換えることにより、復号データｄｅｃ（のデータ列）を再構成する（ステップＳ２３）。

ここではサブデータｄｅｃ_１を補正する場合について説明したが、他のサブデータｄｅｃ_２，…，ｄｅｃ_ｄが体Ｑの最大値の近傍である場合については、当該サブデータも同様に補正される。

なお、復号データｄｅｃに含まれる全てのサブデータｄｅｃ_１，…，ｄｅｃ_ｄが体Ｑの最大値の近傍でないと判定された場合（ステップＳ２１のＮＯ）、ステップＳ２２及びＳ２３の処理は実行されない。

以下の説明においては、ステップＳ２３において再構成された復号データｄｅｃ、及びステップＳ２２及びＳ２３の処理が実行されない場合におけるステップＳ２０において復号された結果として得られる復号データｄｅｃを、便宜的に、単に復号データｄｅｃと称する。

次に、判定処理部１０５は、例えば機器の異常を検知するための閾値（以下、判定閾値Ｌｔｈと表記）を用いて、推論データと復号データとの差分に基づく誤差値（再構成誤差）から当該機器が異常であるか否かを判定する判定処理を実行する（ステップＳ２４）。

ここで、上記したように計算装置２０－１～２０－ｎにおいて保持されている学習モデル（学習モデル格納部２０３に格納されている学習モデル）がオートエンコーダであるものとすると、当該オートエンコーダは、例えば機器が正常な状態にある場合には、入力されたデータと同一のデータを出力するように学習されている。換言すれば、オートエンコーダは、例えば機器が異常な状態にある場合には、入力されたデータと異なるデータを出力する。

このため、ステップＳ２４においては、推論データと復号データとの誤差値が判定閾値Ｌｔｈ以上である（つまり、乖離度が大きい）場合には機器が異常な状態にあると判定するような異常検知を実施するものとする。

なお、上記したステップＳ２４においては、上記した式（５）により規格化された推論データＺ（秘密分散が実施される前の推論データＺ）と復号データｄｅｃとの差分和を評価指標（つまり、誤差値）として用いる。差分和とは各ノードに対応するサブデータの差分の和であり、当該差分和ｚｄは、以下の式（６）により計算される。

上記した式（６）におけるＺ_ｉはｄ個のノードのうちのノードｉに対応する推論データＺの規格化されたサブデータであり、ｄｅｃ_ｉは当該ノードｉに対応する復号データｄｅｃの規格化されたサブデータである。

なお、図７においては１つの推論データＺが秘匿演算管理装置１０に入力されるものとして説明したが、当該秘匿演算管理装置１０には複数の推論データＺ（つまり、推論データ群）が入力されてもよい。

ここで、上記したステップＳ２４においては判定閾値Ｌｔｈが用いられるが、以下、図８のシーケンスチャートを参照して、当該判定閾値Ｌｔｈを決定する際の処理手順の一例について説明する。なお、図８においては、上記した図７と同様に、便宜的に、計算装置２０－１～２０－ｎのうちの１つの計算装置２０－ｔのみが示されている。

この場合、秘匿演算管理装置１０は、上記した学習データとは異なる検証用データを入力する（ステップＳ２１）。検証用データは、上記した学習データ（群）Ｘと同様に正常な状態にある機器に設置されたセンサから得られるセンサデータである。なお、検証用データは学習データＸとは異なるデータであることが望ましいが、十分な数のデータを用意することができない場合には、学習データＸを検証用データとして用いてもよい。

ステップＳ１の処理が実行されると、上記した図７に示すステップＳ１２～Ｓ２３の処理に相当するステップＳ３２～Ｓ４３が実行される。なお、ステップＳ３２～Ｓ４３の処理は図７において説明した推論データＺを検証用データとした点以外は当該図７において説明した通りであるため、ここではその詳しい説明を省略する。

次に、秘匿演算管理装置１０に含まれる判定閾値決定部１０６は、検証用データと復号データとの差分に基づく誤差値（再構成誤差）から判定閾値Ｌｔｈを決定する（ステップＳ４４）。

この場合、上記したように検証用データは正常な状態にある機器に設置されたセンサから得られたセンサデータに相当するため、当該検証用データ（及び復号データ）に基づいて上記した図７に示すステップＳ２４の処理が実行された場合には、機器が正常な状態にあるという判定結果が得られることが好ましい。

したがって、ステップＳ４４においては、検証用データと復号データとの誤差値に基づいて機器が正常な状態にあると判定されるような値（例えば、当該誤差値よりも大きな値）を判定閾値Ｌｔｈとして決定する。

ステップＳ４４において決定された判定閾値Ｌｔｈは、例えば判定処理部１０５内に保持され、上記した図７に示すステップＳ２４において用いられる。

ここでは、説明の便宜上、１つの検証用データに基づいて判定閾値Ｌｔｈが決定されるものとして説明したが、複数の検証用データ（検証用データ群）に基づいて判定閾値Ｌｔｈを決定することにより、より精度の高い判定閾値Ｌｔｈを決定することが可能となる。この場合、例えば検証用データと復号データとの誤差値に基づく判定結果の正解率が最も高くなる値を判定閾値Ｌｔｈとして決定することが好ましい。

上記したように本実施形態においては、秘匿演算管理装置１０に入力された学習データ（第１データ）Ｘに基づいて、Ｘ∈Ｑとなる体（整数環）Ｑから選択される係数を決定し、当該学習データＸに対して秘密分散を実施し、当該決定された係数に基づいて当該学習データＸからｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のシェア（第１断片データ）を生成し、当該ｎ個の計算装置２０－１～２０－ｎの各々が当該計算装置に対応する学習データＸのシェアを当該計算装置が有する学習モデルに学習させる。また、本実施形態においては、秘匿演算管理装置１０に入力された推論データ（第２データ）Ｚに対して秘密分散を実施し、上記したように決定された係数に基づいて当該推論データＺからｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のシェア（第２断片データ）を生成し、当該ｎ個の計算装置２０－１～２０－ｎの各々が当該計算装置が有する学習モデルを用いて当該計算装置に対応する推論データＺのシェアに基づく推論（演算）を実行し、当該ｎ個の計算装置２０－１～２０－ｎの各々のうちのｋ個の計算装置２０－１～２０－ｋの各々によって実行された推論の結果として得られる推論結果データ（演算結果データ）を復号する。なお、本実施形態における係数は、ｎ個の学習データＸのシェアの各々が体Ｑの最大値未満となるように決定される。

本実施形態においては、このような構成により、秘匿演算におけるデータの復号精度を向上させることができる。具体的には、上記したように秘匿演算における体Ｑ(有限体)を超える推定結果データが得られた場合には当該推定結果データを正しく復号することができないが、本実施形態においては、シェアを生成する際の係数に制限をかけることで当該推定結果データが体Ｑを超えることを抑制し、当該推定結果データを正しく復号することができない事態を回避することができる。

なお、本実施形態においては、ｋ－１個のランダムな体Ｑの元であるｒ_１，…，ｒ_ｋ－１（第１係数）と、ｎ個の計算装置２０－１～２０－ｎの各々に対応するｎ個のランダムな体Ｑの元であるＰ_１，…，Ｐ_ｎ（第２係数）とを係数として決定し、上記した秘匿されるデータａを学習データＸとした上記した式（１）（つまり、学習データＸを切片とするｋ－１次多項式）に基づいてｎ個の学習データＸのシェアＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）を生成する。この場合、上記したｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎは、ｎ個の学習データＸのシェアＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）のうちの最大値が体Ｑの最大値未満となるように決定される。

また、本実施形態においては、ｋ個の推論結果データを復号することによって得られる復号データｄｅｃが体Ｑの最大値の近傍となる場合、当該体Ｑの最大値に基づいて当該復号データｄｅｃを補正する構成を更に有する。この場合、復号データｄｅｃ（のサブデータ）は、体Ｑの最大値から当該復号データｄｅｃを減算した値に補正される。

本実施形態においては、このような構成により、より高い精度の復号データｄｅｃを得ることができるため、推論データＺ及び復号データｄｅｃを用いた判定処理（例えば、機器の異常を検知する処理等）の精度を向上させることが可能となる。

更に、本実施形態において、ｎ個の学習データＸのシェア及びｎ個の推論データＺのシェアは、例えばＭａｘ－Ｍｉｎ Ｎｏｒｍａｌｉｚａｔｉｏｎ処理によって規格化されてｎ個の計算装置２０－１～２０－ｎに送信される。

ここで、一般的に、秘匿演算（秘密分散法）においてはシェアを生成するために用いられる係数に制限がない方が高い安全性を実現することができるが、本実施形態においては、当該係数に制限をかける構成であるため、安全性が低下することが懸念される。しかしながら、本実施形態においては、係数に制限をかけることによって生じ得る安全性の低下を、上記したように計算装置２０－１～２０－ｎに送信する前にシェアを規格化することにより緩和することができる。

また、本実施形態においてｋ個の推論結果データがｋ個の計算装置から受信された場合、当該ｋ個の推論結果データは整数変換された後に復号される。このような構成によれば、秘密演算における復号処理を適切に実行することができる。

また、本実施形態においては、ｎ個の計算装置２０－１及び２０－ｎの各々が有する学習モデルが当該学習モデルに入力されるデータと当該学習モデルから出力されるデータとが同一となるように学習したオートエンコーダであるものとして説明したが、学習モデルは他のアルゴリズムによって生成されるものであってもよい。

なお、本実施形態においては秘匿演算システム１が例えば工場の機器の異常を検知するようなサービスを提供する（つまり、機器の異常検知を実施する）ような場合について主に説明したが、当該秘匿演算システム１は、他のサービスを提供するものであってもよい。

すなわち、本実施形態においては秘匿演算管理装置１０が学習データＸ及び推論データＺとして機器に設置されたセンサから得られたセンサデータを入力するものとして説明したが、当該学習データＸ及び推論データＺは、上記した秘匿演算システム１が提供するサービスに応じて様々な種類のデータを用いることができる。

（第２実施形態）
次に、第２実施形態について説明する。なお、本実施形態に係る秘匿演算システムのネットワーク構成、当該秘匿演算システムに備えられる秘匿演算管理装置及び複数の計算装置の各々のハードウェア構成及び機能構成については、前述した第１実施形態と同様であるため、ここではその詳しい説明を省略し、適宜、図１～図４を用いて説明する。また、本実施形態においては、前述した第１実施形態と異なる点について主に説明する。

本実施形態においては、秘匿演算管理装置１０に推論データが入力される際の処理（第２処理）が前述した第１実施形態とは異なる。

以下、図９のシーケンスチャートを参照して、本実施形態における第２処理の処理手順の一例について説明する。なお、図９においては、前述した図７と同様に、便宜的に、計算装置２０－１～２０－ｎのうちの１つの計算装置２０－ｔのみが示されている。

本実施形態における第２処理においては、前述した図７に示すステップＳ１１～Ｓ２０の処理に相当するステップＳ５１～Ｓ６０の処理が実行される。なお、ステップＳ５７の処理が実行された場合、前述した第１実施形態において説明したように秘匿演算管理装置１０はｋ個の推論結果データを取得するためにｋ個の計算装置を選択するが、以下の説明においては、ここで選択されたｋ個の計算装置が計算装置２０－１～２０－ｋであるものとする。

ここで、前述した第１実施形態においては復号データｄｅｃに含まれるｄ個のサブデータｄｅｃ_１，…，ｄｅｃ_ｄのうちの体Ｑの最大値の近傍であるサブデータを補正するものとして説明したが、当該体Ｑの最大値の近傍となるサブデータの数が多い場合には、多くの補正されたサブデータから再構成された復号データｄｅｃに基づいて判定処理が実行されることになり、高い精度の判定結果を得る（例えば、高い精度の異常検知結果を提供する）ことができない可能性がある。

このため、本実施形態においては、ステップＳ６０においてｋ個の推論結果データを復号することによって得られた復号データｄｅｃに含まれるｄ個のサブデータに対する体Ｑの最大値の近傍となるサブデータ（の数）の割合が閾値Ｐｔｈ以上であるか否かが判定される（ステップＳ６１）。

上記した割合が閾値Ｐｔｈ以上であると判定された場合（ステップＳ６１のＹＥＳ）、ステップＳ５８に戻って処理が繰り返される。この場合、秘匿演算管理装置１０は、上記したｋ個の計算装置２０－１～２０－ｋとは異なる組み合わせのｋ個の計算装置を選択し、当該選択されたｋ個の計算装置からｋ個の推論結果データを再度受信する。以下、再度受信されたｋ個の推論結果データに基づいて、ステップＳ５９以降の処理が実行される。

なお、ｋ個の計算装置２０－１～２０－ｋとは異なる組み合わせのｋ個の計算装置とは、当該計算装置２０－１～２０－ｋのうちの少なくとも１つの計算装置が異なるｋ個の計算装置であればよい。

また、ｎ個の計算装置２０－１～２０－ｎからｋ個の計算装置を選択する場合の組み合わせの数は_ｎＣ_ｋであるが、当該ｋ個の計算装置（の組み合わせ）を選択する順番（アルゴリズム）は任意でよい。

上記した割合が閾値Ｐｔｈ以上でないと判定された場合（ステップＳ６１のＮＯ）、前述した図７に示すステップＳ２１～Ｓ２４の処理に相当するステップＳ６２～Ｓ６５の処理が実行される。

上記したように本実施形態においては、復号データｄｅｃがｄ個のサブデータ（要素）を含み、当該ｄ個のサブデータに対する体（整数環）Ｑの最大値の近傍となるサブデータ（以下、補正が必要なサブデータと表記）の割合が閾値Ｐｔｈ（予め定められた値）以上である場合、異なる組み合わせのｋ個の計算装置から推論結果データを再度受信し、復号する。

ここで、ｎ個の計算装置２０－１～２０－ｎの各々において保持される学習モデルは、初期構成は同一であるものの、異なるシェアを学習することにより得られた学習モデルであることから、ｋ個の計算装置の各々から送信される推論結果データを復号することによって得られた復号データに対して生じる誤差は、当該ｋ個の計算装置の組み合わせによって異なると考えられる。

このため、本実施形態においては、上記したようにｄ個のサブデータに対する補正が必要なサブデータの割合が閾値Ｐｔｈ以上である場合に、異なる組み合わせのｋ個の計算装置から推論結果データを再度受信することで、より誤差の影響が少ない復号データを得ることが可能であるため、復号データの精度を向上させることができる。

なお、例えば複数の推論データＺ（つまり、推論データ群）が秘匿演算管理装置１０に入力されるような構成の場合には図９に示すステップＳ６０の処理が実行されることによって複数の推論データＺに対応する複数の復号データｄｅｃが得られるが、この場合には、当該複数の復号データｄｅｃの各々に含まれるサブデータ全体に対する補正が必要なサブデータの割合が閾値Ｐｔｈ以上である場合に、異なる組み合わせのｋ個の計算装置から推論結果データを受信すればよい。

また、本実施形態においては、復号データｄｅｃに含まれるｄ個のサブデータに対する補正が必要なサブデータの割合が閾値Ｐｔｈ以上である場合にｋ個の計算装置から推論結果データを再度受信するものとして説明したが、当該割合が閾値Ｐｔｈ以上である場合には、図９に示すステップＳ５２において読み出された係数を調整する構成としてもよい。

具体的には、図９に示すステップＳ５２において読み出された係数ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎは前述した第１実施形態において説明したように学習データ（群）Ｘのシェア（サブデータのシェア）の各々が体Ｑの最大値未満となるように決定されているが、復号データｄｅｃに含まれるｄ個のサブデータに対する補正が必要なサブデータの割合が閾値Ｐｔｈ以上である場合には、例えば学習データＸのシェア（サブデータのシェア）の各々が体Ｑの最大値未満となる範囲内で、かつ、上記したステップＳ５２において読み出された係数ｒ_１，…，ｒ_ｋ－１とは異なる係数ｒ_１´，…，ｒ_ｋ－１´を再度決定するものとする。

この場合、再度決定されたｒ_１´，…，ｒ_ｋ－１´及びステップＳ５２において読み出されたＰ_１，…，Ｐ_ｎに基づいて、ステップＳ５３以降の処理が実行されればよい。

ここでは係数ｒ_１，…，ｒ_ｋ－１が調整されるものとして説明したが、Ｐ_１，…，Ｐ_ｎが調整される構成であってもよいし、ｒ_１，…，ｒ_ｋ－１及びＰ_１，…，Ｐ_ｎの両方が調整される構成であってもよい。

以上述べた少なくとも１つの実施形態によれば、秘匿演算が行われた結果に対する復号精度を向上させることが可能な秘匿演算方法、秘匿演算システム及び秘匿演算装置を提供することができる。

本発明のいくつかの実施形態を説明したが、これらの実施形態は、例として提示したものであり、発明の範囲を限定することは意図していない。これら実施形態は、その他の様々な形態で実施されることが可能であり、発明の要旨を逸脱しない範囲で、種々の省略、置き換え、変更を行うことができる。これら実施形態やその変形は、発明の範囲や要旨に含まれると同様に、特許請求の範囲に記載された発明とその均等の範囲に含まれるものである。

１…秘匿演算システム、１０…秘匿演算管理装置、２０－１～２０－ｎ…計算装置、３０…ネットワーク、１１…ＣＰＵ、１２…不揮発性メモリ、１３…ＲＡＭ、１４…通信デバイス、１０１…係数決定部、１０２…シェア生成部、１０３…推論結果復号部、１０４…復号データ補正部、１０５…判定処理部、１０６…判定閾値決定部、２０１…学習データ格納部、２０２…学習処理部、２０３…学習モデル格納部、２０４…推論データ格納部、２０５…推論処理部、２０６…推論結果格納部。

Claims (9)

1. 秘匿演算管理装置と、前記秘匿演算管理装置と通信可能に接続されるｎ（ｎは、２以上の整数）個の計算装置とを備える秘匿演算システムが実行する秘匿演算方法であって、
   前記秘匿演算管理装置が、前記秘匿演算管理装置に入力された第１データＸに基づいて、Ｘ∈Ｑとなる整数環Ｑから選択される係数を決定することと、
   前記秘匿演算管理装置が、前記第１データＸに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第１データＸから前記ｎ個の計算装置の各々に対応するｎ個の第１断片データを生成することと、
   前記ｎ個の計算装置の各々が、当該計算装置に対応する第１断片データを当該計算装置が保持する学習モデルに学習させることと、
   前記秘匿演算管理装置が、前記秘匿演算管理装置に入力された第２データＺに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第２データＺからｎ個の計算装置の各々に対応するｎ個の第２断片データを生成することと、
   前記ｎ個の計算装置の各々が、当該計算装置が保持する学習モデルを用いて当該計算装置に対応する第２断片データに基づく推論を実行することと、
   前記秘匿演算管理装置が、前記ｎ個の計算装置の各々のうちのｋ（ｋは、２以上、かつ、ｎ以下の整数）個の計算装置の各々によって実行された推論の結果として得られるｋ個の推論結果データをＳｈａｍｉｒの秘密分散法に基づいて復号することによって復号データｄｅｃを取得することと、
   前記秘匿演算管理装置が、前記復号データｄｅｃが前記整数環Ｑの最大値の近傍となる場合、当該整数環Ｑの最大値に基づいて当該復号データｄｅｃを補正することと
   を具備し、
   前記係数は、Ｓｈａｍｉｒの秘密分散法に基づき、かつ、前記ｎ個の第１断片データの各々が前記整数環Ｑの最大値未満となるように決定され、
   前記ｎ個の計算装置の各々が保持する学習モデルは、当該学習モデルに入力されるデータと当該学習モデルから出力されるデータとが同一となるように学習したオートエンコーダを含む
   秘匿演算方法。
2. 前記決定することは、ｋ－１個のランダムな前記整数環Ｑの元である第１係数ｒ_１，…，ｒ_ｋ－１と、ｎ個の計算装置の各々に対応するｎ個のランダムな前記整数環Ｑの元である第２係数Ｐ_１，…，Ｐ_ｎとを前記係数として決定することを含み、
   前記生成することは、前記第１データＸを切片とするｋ－１次多項式
   

   

   に基づいてｎ個の第１断片データＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）を生成することを含み、
   前記第１係数及び前記第２係数は、前記ｎ個の第１断片データＷ（Ｐ_１），…，Ｗ（Ｐ_ｎ）のうちの最大値が前記整数環Ｑの最大値未満となるように決定される
   請求項１記載の秘匿演算方法。
3. 前記補正することは、前記復号データｄｅｃを、前記整数環Ｑの最大値から当該復号データｄｅｃを減算した値に補正することを含む請求項１記載の秘匿演算方法。
4. 前記ｎ個の第１及び第２断片データは、Ｍａｘ－Ｍｉｎ Ｎｏｒｍａｌｉｚａｔｉｏｎ処理によって規格化される請求項１～３のいずれか一項に記載の秘匿演算方法。
5. 前記秘匿演算管理装置が、前記ｋ個の推論結果データを整数変換することを更に具備する請求項４記載の秘匿演算方法。
6. 前記第２データＺは、複数の要素ｚ_１，…，ｚ_ｄ（ｄは、２以上の整数）を含み、
   前記復号データｄｅｃは、前記複数の要素ｚ_１，…，ｚ_ｄに対応する複数の要素ｄｅｃ_１，…，ｄｅｃ_ｄを含み、
   前記複数の要素ｄｅｃ_１，…，ｄｅｃ_ｄに対する前記整数環Ｑの最大値の近傍となる要素の割合が予め定められた値以上である場合、前記ｋ個の推論結果データを復号することは、前記ｋ個の計算装置とは異なる組み合わせのｋ個の計算装置の各々によって実行された推論の結果として得られる推論結果データを再度復号することを含む
   請求項１記載の秘匿演算方法。
7. 前記第２データＺは、複数の要素ｚ_１，…，ｚ_ｄを含み、
   前記復号データｄｅｃは、前記複数の要素ｚ_１，…，ｚ_ｄに対応する複数の要素ｄｅｃ_１，…，ｄｅｃ_ｄを含み、
   前記複数の要素ｄｅｃ_１，…，ｄｅｃ_ｄに対する前記整数環Ｑの最大値の近傍となる要素の割合が予め定められた値以上である場合、前記決定することは、前記係数とは異なる係数を再度決定することを含み、
   前記生成することは、前記再度決定された係数に基づいて、前記ｎ個の第２断片データを再度生成することを含む
   請求項１記載の秘匿演算方法。
8. 秘匿演算管理装置と、前記秘匿演算管理装置と通信可能に接続されるｎ（ｎは、２以上の整数）個の計算装置とを備える秘匿演算システムにおいて、
   前記秘匿演算管理装置は、決定手段と、第１生成手段と、第２生成手段と、復号手段と、補正手段とを含み、
   前記ｎ個の計算装置の各々は、学習処理手段と、推論処理手段とを含み、
   前記決定手段は、前記秘匿演算管理装置に入力された第１データＸに基づいて、Ｘ∈Ｑとなる整数環Ｑから選択される係数を決定し、
   前記第１生成手段は、前記第１データＸに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第１データＸから前記ｎ個の計算装置の各々に対応するｎ個の第１断片データを生成し、
   前記ｎ個の計算装置の各々に含まれる学習処理手段は、当該計算装置に対応する第１断片データを当該計算装置が保持する学習モデルに学習させ、
   前記第２生成手段は、前記秘匿演算管理装置に入力された第２データＺに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第２データＺからｎ個の計算装置の各々に対応するｎ個の第２断片データを生成し、
   前記ｎ個の計算装置の各々に含まれる推論処理手段は、当該計算装置が保持する学習モデルを用いて当該計算装置に対応する第２断片データに基づく推論を実行し、
   前記復号手段は、前記ｎ個の計算装置の各々のうちのｋ（ｋは、２以上、かつ、ｎ以下の整数）個の計算装置の各々によって実行された推論の結果として得られるｋ個の推論結果データをＳｈａｍｉｒの秘密分散法に基づいて復号することによって復号データｄｅｃを取得し、
   前記補正手段は、前記復号データｄｅｃが前記整数環Ｑの最大値の近傍となる場合、当該整数環Ｑの最大値に基づいて当該復号データｄｅｃを補正し、
   前記係数は、Ｓｈａｍｉｒの秘密分散法に基づき、かつ、前記ｎ個の第１断片データの各々が前記整数環Ｑの最大値未満となるように決定され、
   前記ｎ個の計算装置の各々が保持する学習モデルは、当該学習モデルに入力されるデータと当該学習モデルから出力されるデータとが同一となるように学習したオートエンコーダを含む
   秘匿演算システム。
9. ｎ（ｎは、２以上の整数）個の計算装置と通信可能に接続される秘匿演算管理装置において、
   前記秘匿演算管理装置に入力された第１データＸに基づいて、Ｘ∈Ｑとなる整数環Ｑから選択される係数を決定する決定手段と、
   前記第１データＸに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第１データＸから前記ｎ個の計算装置の各々に対応するｎ個の第１断片データを生成する第１生成手段と、
   前記生成されたｎ個の第１断片データの各々を、当該第１断片データを学習する学習モデルを保持する前記ｎ個の計算装置の各々に送信する第１送信手段と、
   前記秘匿演算管理装置に入力された第２データＺに対してＳｈａｍｉｒの秘密分散法に基づく秘密分散を実施し、前記決定された係数に基づいて当該第２データＺからｎ個の計算装置の各々に対応するｎ個の第２断片データを生成する第２生成手段と、
   前記生成されたｎ個の第２断片データの各々を、前記学習モデルを用いて当該第２断片データに基づく推論を実行する前記ｎ個の計算装置の各々に送信する第２送信手段と、
   前記ｎ個の計算装置の各々のうちのｋ（ｋは、２以上、かつ、ｎ以下の整数）個の計算装置の各々によって実行された推論の結果として得られるｋ個の推論結果データをＳｈａｍｉｒの秘密分散法に基づいて復号することによって復号データｄｅｃを取得する復号手段と、
   前記復号データｄｅｃが前記整数環Ｑの最大値の近傍となる場合、当該整数環Ｑの最大値に基づいて当該復号データｄｅｃを補正する補正手段と
   を具備し、
   前記係数は、Ｓｈａｍｉｒの秘密分散法に基づき、かつ、前記ｎ個の第１断片データの各々が前記整数環Ｑの最大値未満となるように決定され、
   前記ｎ個の計算装置の各々が保持する学習モデルは、当該学習モデルに入力されるデータと当該学習モデルから出力されるデータとが同一となるように学習したオートエンコーダを含む
   秘匿演算管理装置。

Images