JP7494931B2 - 秘密計算システム、秘密計算方法、およびプログラム - Google Patents

Description

本発明は秘密計算技術に関し、特にローテーション技術に関する。

ローテーション（巡回シフト）は、コンピュータにおける非常に基本的な処理の一つである。秘密計算（例えば、非特許文献１，２等参照）では、値を秘匿したままでローテーションを行うことができる。

西出隆志, 天田拓磨，"通信量を削減した浮動小数点演算のためのマルチパーティ計算"，情報処理学会論文誌，Vol. Vol.60 No.9, pp. 1433-1447 (2019). Randmets, J., "Programming Languages for Secure Multiparty Computation Application Development," PhD thesis. University of Tartu (2017).

しかし、従来の秘密計算上のローテーションは効率が悪いという課題がある。

本発明はこのような点に鑑みてなされたものであり、秘密計算で効率的にローテーションを行う技術を提供することを目的とする。

秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行って得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする単位ローテーションを実行する。秘密計算装置ＰＡ（φ（ｉ，０））が、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ））}、および秘密計算装置ＰＡ（φ（ｉ，０））と秘密計算装置ＰＡ（φ（ｉ，１）），…，ＰＡ（φ（ｉ，ｋ－１））それぞれとが共有する乱数ｒ（ｉ，１），…，ｒ（ｉ，ｋ－１））を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ＋１））}を得て秘密計算装置ＰＡ（φ（ｉ，ｋ））に送り、秘密計算装置ＰＡ（φ（ｉ，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ））}および乱数ｒ（ｉ，ｊ）を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ＋１））}を得る再分散を実行する。
ただし、ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ＰＡがｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組であり、ＳＰ（ｉ）はＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組であり、ｉ＝０，…，Ｎ－１であり、ｉ’＝０，…，Ｎ－２であり、Ｐが１以上の整数であり、ｐが整数Ｐのビット数であり、ａがＰを法とする剰余環Ｚ_Ｐの元であり、シェア＜ａ＞_{（ＳＰ（ｉ））}が秘密分散方式に則ってａを秘密分散して得られる、組ＳＰ（ｉ）が保持するｋ個のシェアであり、＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}がシェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアである。ρがｐを法とする剰余環Ｚ_ｐの元であり、複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアがρ_０，…，ρ_Ｎ－１∈Ｚ_ｐであり、ρ_{（ＳＰ（ｉ））}がサブシェアρ_０，…，ρ_Ｎ－１のうち組ＳＰ（ｉ）に対応するサブシェアである。

以上により、秘密計算で効率的にローテーションを行うことができる。

図１は実施形態の秘密計算システムの構成を例示した概念図である。 図２は実施形態の秘密計算装置の機能構成を例示したブロック図である。 図３は実施形態の秘密計算方法を例示するためのフロー図である。 図４は実施形態の秘密計算装置のハードウェア構成を例示するためのブロック図である。

以下、図面を参照して本発明の実施形態を説明する。
［原理］
まず、本実施形態の原理について説明する。
２のべき数の乗算はビット列のローテーションに相当する。例えば、ｐビットのメルセンヌ素数を位数（要素の個数）とする剰余環で２のべき数を乗じることは長さｐのビット列のローテーションを行うことに相当する。本実施形態では、秘密計算上で２のべき数の乗算を行うことでローテーションを実現する。このローテーションを乗法的ローテーションと呼ぶことにする。

本実施形態の乗法的ローテーションのポイントは以下の通りである。
ステップI：ｎ個の秘密計算装置の組ＰＡから選択されたｋ個の秘密計算装置の組ＳＰ（ｉ）が、加法的秘密分散方式に則ったシェアに対し、複製型秘密分散方式に則ってρを秘密分散して得られるシェアρ_{（ＳＰ（ｉ））}を指数とした２のべき数２^{ρ（ＳＰ（ｉ））}を乗じる単位ローテーションを行う。
ステップII：ステップIで得られた値を、ｎ個の秘密計算装置の組ＰＡから選択されたｋ個の秘密計算装置の組ＳＰ（ｉ＋１）に再分散する。
ステップIII：ステップI，IIをすべての組について繰り返す。ただし、最終回では再分散は行われない。これにより、乗法的ローテーション結果のシェアが得られる。

より詳細に説明する。本実施形態の秘密計算システムは、ｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）を有する。ここで、ｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組をＰＡと表記し、ＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組をＳＰ（ｉ）と表記する。組ＳＰ（ｉ）がｉ回目の単位ローテーションを実行する。ただし、ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ｉ＝０，…，Ｎ－１である。_ｎＣ_ｋは互いに異なるｎ個のものから互いに異なるｋ個を選択する場合の組み合わせの総数を表す。またφ（α，β）はαおよびβの関数値であり、｛φ（ｉ，０），…，φ（ｉ，ｋ－１）｝⊂｛０，…，ｎ－１｝を満たす。ＳＰ（０），…，ＳＰ（Ｎ－１）は互いに異なり、ＳＰ（０），…，ＳＰ（Ｎ－１）はｉ’＝０，…，Ｎ－２について｜ＳＰ（ｉ’）∩ＳＰ（ｉ’＋１）^ｃ｜＝１となるように構成されている。ここでα^ｃはαの補集合を表し、｜α｜はαの要素数を表す。すなわち、ｉ’回目の単位ローテーションを実行する組ＳＰ（ｉ’）は、ｉ’＋１回目の単位ローテーションを実行する組ＳＰ（ｉ’＋１）と、１個の秘密計算装置のみが相違する組である。

乗法的ローテーションの対象となる値ａはＰを法とする剰余環Ｚ_Ｐの元である。ここでＰは１以上の整数であり、ｐは整数Ｐのビット数である。例えばＰがメルセンヌ数Ｐである場合、Ｐ＝２^ｐ－１が成立してｐはＰのビット数となる。Ｐの例は素数であり、例えばＰはメルセンヌ素数である。（ｋ，ｋ）－加法的秘密分散方式に則ってａを秘密分散して得られるｋ個のシェアを＜ａ＞_０，…，＜ａ＞_ｋ－１と表記する。すなわち、ａ＝＜ａ＞_０＋…＋＜ａ＞_ｋ－１∈Ｚ_Ｐ（つまり、ａ＝＜ａ＞_０＋…＋＜ａ＞_ｋ－１ｍｏｄ Ｐ）を満たす。なお（ｋ，ｋ）－加法的秘密分散方式は、ｎ＝ｋの場合の（ｋ，ｎ）－複製型秘密分散方式（例えば、参考文献１等参照）である。
参考文献１：五十嵐大，濱田浩気，菊池亮，千田浩司，“インターネット環境レスポンス１秒の統計処理を目指した，秘密計算基数ソートの改良”，ＳＣＩＳ２０１４，２０１４年．
シェア＜ａ＞_{（ＳＰ（ｉ））}は、組ＳＰ（ｉ）が保持する、（ｋ，ｋ）－加法的秘密分散方式に則ったｋ個のシェアであり、特にシェア＜ａ＞_{（ＳＰ（０））}は（ｋ，ｋ）－加法的秘密分散方式に則ってａを秘密分散して得られるｋ個のシェア＜ａ＞_０，…，＜ａ＞_ｋ－１である。＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}はシェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアである。

乗法的ローテーションにおける指数（べき指数）ρはｐを法とする剰余環Ｚ_ｐの元である。（ｋ，ｎ）－複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアをρ_０，…，ρ_Ｎ－１∈Ｚ_ｐと表す。すなわち、ρ＝ρ_０＋…＋ρ_Ｎ－１∈Ｚ_ｐ（つまり、ρ＝ρ_０＋…＋ρ_Ｎ－１ｍｏｄ ｐ）を満たす。ｗ＝０，…，ｎ－１について、シェア≪ρ≫_ｗはサブシェアρ_０，…，ρ_Ｎ－１の真部分集合であり（≪ρ≫_ｗ⊂｛ρ_０，…，ρ_Ｎ－１｝）、シェア≪ρ≫_０，…，≪ρ≫_Ｎ－１から選んだ任意のｋ個のシェアがすべてのサブシェアρ_０，…，ρ_Ｎ－１を含む。ただし。ｋ個未満のシェアからはρの情報を得ることができない。ここで、サブシェアρ_０，…，ρ_Ｎ－１のうち組ＳＰ（ｉ）に対応するサブシェアをρ_{（ＳＰ（ｉ））}と表す。すなわち、ρ_{（ＳＰ（ｉ））}は、組ＳＰ（ｉ）に属するｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））に対応するシェア≪ρ≫_{（φ（ｉ，０））}，…，≪ρ≫_{（φ（ｉ，ｋ－１））}に含まれるサブシェアを表す。

重要なポイントは、ｉ’＝０，…，Ｎ－２について｜ＳＰ（ｉ’）∩ＳＰ（ｉ’＋１）^ｃ｜＝１となるようにＳＰ（０），…，ＳＰ（Ｎ－１）を構成することである。ここで、ＰＡ（φ（ｉ’，０））は、組ＳＰ（ｉ’）に含まれ、組ＳＰ（ｉ’＋１）に含まれない秘密計算装置を表す。また、ＰＡ（φ（ｉ’＋１，ｋ））は、組ＳＰ（ｉ’）に含まれず、組ＳＰ（ｉ’＋１）に含まれる秘密計算装置を表す。さらに、ｊ＝１，…，ｋ－１についてのＰＡ（φ（ｉ’，ｊ））は、組ＳＰ（ｉ’）にも組ＳＰ（ｉ’＋１）にも含まれる秘密計算装置を表す。

＜単位ローテーション＞
ｉ回目（ｉ＝０，…，Ｎ－１）の単位ローテーションは、秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}および＜ａ＞_{（ＳＰ（ｉ））}を用いて２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行い（つまり、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））} ｍｏｄ Ｐ）、それによって得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする処理である。

＜再分散＞
ｉ’回目（ｉ’＝０，…，Ｎ－２）の単位ローテーションが実行されるたびに、ｉ’回目の再分散が行われる。Ｎ－１回目の単位ローテーションの後には再分散は行われない。

ｉ’回目の再分散では、まず秘密計算装置ＰＡ（φ（ｉ’，０））が秘密計算装置ＰＡ（φ（ｉ’，１）），…，ＰＡ（φ（ｉ’，ｋ－１））それぞれと乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））∈Ｚ_Ｐを共有する。乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））の共有方法に限定はない。例えば、秘密計算装置ＰＡ（φ（ｉ’，０））が乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））を生成して、これらを秘密計算装置ＰＡ（φ（ｉ’，１）），…，ＰＡ（φ（ｉ’，ｋ－１））に送ってもよい。あるいは、秘密計算装置ＰＡ（φ（ｉ’，１）），…，ＰＡ（φ（ｉ’，ｋ－１））が乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））をそれぞれ生成して秘密計算装置ＰＡ（φ（ｉ’，０））に送ってもよい。あるいは、秘密計算装置ＰＡ（φ（ｉ’，０））と秘密計算装置ＰＡ（φ（ｉ’，１）），…，ＰＡ（φ（ｉ’，ｋ－１））との間でシードを共有しておき、当該シードを用いた所定の処理によって乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））が生成されてもよい。

さらにｉ’回目の再分散では、秘密計算装置ＰＡ（φ（ｉ’，０））は、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ’））}および乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得る。すなわち秘密計算装置ＰＡ（φ（ｉ’，０））は、次式によりシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得る。

秘密計算装置ＰＡ（φ（ｉ’，０））は、上述のように得たシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を秘密計算装置ＰＡ（φ（ｉ’＋１，ｋ））に送る。

またｉ’回目の再分散では、秘密計算装置ＰＡ（φ（ｉ’，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’））}および乱数ｒ（ｉ’，ｊ）を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’＋１））}を得る。すなわち、秘密計算装置ＰＡ（φ（ｉ'，ｊ））それぞれは、次式によりシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ'＋１））}を得る。

＜反復処理＞
前述のように、組ＳＰ（ｉ）は、ｉ＝０からｉ＝Ｎ－２までのそれぞれについて単位ローテーションに続いて再分散を実行し、ｉ＝Ｎ－１について単位ローテーションを実行する。すなわち、この反復処理は、単位ローテーション→再分散→単位ローテーション→再分散→…→単位ローテーションという繰り返しであり、単位ローテーションをＮ回、再分散をＮ－１回実行する。これを単純に行うと、通信の段数はそのまま再分散の回数であり、Ｎ－１段となる。しかし、単位ローテーションおよび再分散は、通信に関して並列化することができる。再分散されたデータを待つ秘密計算装置ＰＡ（φ（ｉ’＋１，ｋ））は、ｉ’回目の再分散を実行する組ＳＰ（ｉ’）に含まれないからであり、ｉ’＋１回目の再分散を実行する組ＳＰ（ｉ’＋１）の他の秘密計算装置は再分散されたデータの受信を待つことなく、オフライン処理だけを実行して次の単位ローテーション処理に移行できるからである。（ｋ，ｋ）－加法的秘密分散方式に則ったシェアの個数はｋ個であるから、組ＳＰ（０），…，ＳＰ（Ｎ－１）の順番を適切に設定すれば、最大ｋ回の単位ローテーションを１段で実行することができる。これにより、通信段数を（Ｎ－１）／ｋ段に低減することができる。

［第１実施形態］
次に、本発明の第１実施形態を説明する。
＜構成＞
図１に例示するように、本実施形態の秘密計算システム１はｎ個の秘密計算装置ＰＡ（０），．．．，ＰＡ（ｎ－１）を有する。秘密計算装置ＰＡ（０），．．．，ＰＡ（ｎ－１）は、データのやり取りが可能なように構成されている。本実施形態では、秘密計算装置ＰＡ（０），．．．，ＰＡ（ｎ－１）がネットワークを通じた通信が可能なように構成されており、ネットワークを介してデータのやり取りを行う例を説明する。しかし、これは本発明を限定するものではなく、秘密計算装置ＰＡ（０），．．．，ＰＡ（ｎ－１）が可搬型記録媒体を介してデータのやり取りが可能なように構成され、可搬型記録媒体を介してデータのやり取りを行ってもよい。

図２に例示するように、秘密計算装置ＰＡ（ｊ）（ただし、ｊ＝０，…，ｎ－１）は、通信部１１－ｊ，事前変換部１２－ｊ、単位ローテーション部１３－ｊ、再分散部１４－ｊ、事後変換部１５－ｊ、制御部１６－ｊ、および記憶部１７－ｊを有する。なお、特に断りの無い限り、秘密計算装置ＰＡ（ｊ）は制御部１６－ｊの制御の下で各処理を実行し、各処理で得られたデータは記憶部１７－ｊに格納され、必要に応じて読み出されて使用される。また、秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）間でのデータのやり取りは各通信部１１－ｊを通じて行われる。

＜処理＞
次に、本実施形態の処理を説明する。
≪前提≫
前提として、（ｋ，ｎ）－秘密分散方式に則って値ａを秘密分散して得られるｎ個のシェア［ａ］_０，…，［ａ］_ｎ－１の各シェア［ａ］_ｗ（ただし、ｗ∈｛０，…，ｎ－１｝）または公開値ａ、および（ｋ，ｎ）－複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１の各シェア≪ρ≫_ｗが、各秘密計算装置ＰＡ（ｗ）の記憶部１７－ｊに格納されている。（ｋ，ｎ）－秘密分散方式に限定はなく、例えば、（ｋ，ｎ）－複製型秘密分散方式であってもよいし、（ｋ，ｎ）－Ｓｈａｍｉｒ秘密分散方式（例えば、参考文献２等参照）であってもよい。
参考文献２：A. Shamir，"How to share a secret，" Communications of the ACM, Vol.22, No.11, pp.612-613,1979.

≪乗法的ローテーション処理≫
図３を用い、本実施形態の乗法的ローテーション処理を説明する。
組ＳＰ（０）に属するｋ個の秘密計算装置ＰＡ（φ（０，０）），…，ＰＡ（φ（０，ｋ－１））の事前変換部１２－φ（０，０），…，１２－φ（０，ｋ－１）は、組ＳＰ（０）で保持されるシェア［ａ］_{φ（０，０）}，…，［ａ］_{φ（０，ｋ－１）}または公開値ａを、（ｋ，ｋ）－加法的秘密分散方式に則ってａを秘密分散して得られるシェア＜ａ＞_０，…，＜ａ＞_ｋ－１（シェア＜ａ＞_{（ＳＰ（０））}）に変換する。組ＳＰ（０）に属する秘密計算装置ＰＡ（θ）（θ∈｛φ（０，０），…，φ（０，ｋ－１）｝）の記憶部１７－θにはシェア＜ａ＞_θが格納される（ステップＳ１１）。

すべての秘密計算装置ＰＡ（ｗ）の制御部１６－ｗは、ｉ＝０に設定する（ステップＳ１２）。

組ＳＰ（ｉ）に属するｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の単位ローテーション部１３－φ（ｉ，０），…，φ（ｉ，ｋ－１）は、それぞれ２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行い、それによって得られた値を新たなシェア＜ａ＞_{（ＳＰ（ｉ））}として記憶部１７－φ（ｉ，０），…，φ（ｉ，ｋ－１）に格納する（ステップＳ１３）。

制御部１６－ｊは、ｉ≧Ｎ－１であるか否かを判定する（ステップＳ１４）。ｉ≧Ｎ－１である場合にはステップＳ１７の処理に進み、ｉ≧Ｎ－１でない場合にはステップＳ１５の処理に進む。

ステップＳ１５では、まず秘密計算装置ＰＡ（φ（ｉ，０））の再分散部１４－φ（ｉ，０）が秘密計算装置ＰＡ（φ（ｉ，１）），…，ＰＡ（φ（ｉ，ｋ－１））の再分散部１４－φ（ｉ，１），…，１４－φ（ｉ，ｋ－１）それぞれと乱数ｒ（ｉ，１），…，ｒ（ｉ，ｋ－１））∈Ｚ_Ｐを共有する。さらに、秘密計算装置ＰＡ（φ（ｉ，０））の再分散部１４－φ（ｉ，０）は、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ））}および乱数ｒ（ｉ，１），…，ｒ（ｉ，ｋ－１））を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ＋１））}を得る。すなわち秘密計算装置ＰＡ（φ（ｉ，０））は、次式によりシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ＋１））}を得る。

秘密計算装置ＰＡ（φ（ｉ，０））は、上述のように得た秘密計算装置ＰＡ（φ（ｉ＋１，ｋ））に送る。
また秘密計算装置ＰＡ（φ（ｉ，ｊ））の再分散部１４－φ（ｉ，ｊ）それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ））}および乱数ｒ（ｉ，ｊ）を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ＋１））}を得る。すなわち、秘密計算装置ＰＡ（φ（ｉ，ｊ））の再分散部１４－φ（ｉ，ｊ）それぞれは、次式によりシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ＋１））}を得る（ステップＳ１５）。

すべての秘密計算装置ＰＡ（ｗ）の制御部１６－ｗは、ｉ＋１を新たなｉに設定し（ステップＳ１６）、処理がステップＳ１３に進む。

ステップＳ１４でｉ≧Ｎ－１である場合に実行されるステップＳ１７では、組ＳＰ（Ｎ－１）に属する秘密計算装置ＰＡ（φ（Ｎ－１，０）），…，ＰＡ（φ（Ｎ－１，ｋ－１））の事後変換部１５－φ（Ｎ－１，０），…，１５－φ（Ｎ－１，ｋ－１）が、ステップＳ１３で記憶部１７－φ（Ｎ－１，０），…，φ（Ｎ－１，ｋ－１）に格納されたシェア＜ａ＞_{（ＳＰ（Ｎ－１））}を所望のデータへ変換する。例えば、事後変換部１５－φ（Ｎ－１，０），…，１５－φ（Ｎ－１，ｋ－１）がシェア＜ａ＞_{（ＳＰ（Ｎ－１））}を（ｋ，ｎ）－秘密分散方式に則ったシェア［ａ］_{（ＳＰ（Ｎ－１））}に変換して出力してもよいし（参考文献３）、復元値（２^ρａ∈Ｚ_Ｐ）に変換（再構築）して出力してもよい。
参考文献３：Kikuchi, R., Ikarashi, D., Matsuda, T., Hamada, K. and Chida, K.: Efficient Bit-Decomposition and Modulus - Conversion Protocols with an Honest Majority, Information Security and Privacy - 23rd Australasian Conference, ACISP 2018, Wollongong, NSW, Australia, July 11-13, 2018, Proceedings (Susilo, W. and Yang, G., eds.), Lecture Notes in Computer Science, Vol. 10946, Springer, pp. 64-82 (online), DOI: 10.1007/978-3-319-93638-3 5 (2018).

［第２実施形態］
第２実施形態では第１実施形態の具体例を説明する。
本実施形態では、ｋ＝２，ｎ＝３の場合の具体例を説明する。この場合、Ｎ＝３であり、ｉ＝０，１，２である。また、本実施形態では、ＳＰ（０）＝（ＰＡ（０），ＰＡ（１）），ＳＰ（１）＝（ＰＡ（１），ＰＡ（２）），ＳＰ（２）＝（ＰＡ（０），ＰＡ（２））とする。シェア＜ａ＞_{（ＳＰ（０））}がａ_０およびａ_１であり、ａ＝ａ_０＋ａ_１∈Ｚ_Ｐであり、ρ＝ρ_０１＋ρ_１２＋ρ_２０∈Ｚ_ｐであり、ρ_{（ＳＰ（０））}＝ρ_{（ＳＰ（１））}＝ρ_{（ＳＰ（１））}＝ρ_０１，ρ_１２，ρ_２０である。また、ＰＡ（φ（０，０））＝ＰＡ（０）、ＰＡ（φ（１，２））＝ＰＡ（２）、ＰＡ（φ（０，１））＝ＰＡ（１）であり、ＰＡ（φ（１，０））＝ＰＡ（１）、ＰＡ（φ（２，２））＝ＰＡ（０）、ＰＡ（φ（１，１））＝ＰＡ（２）であり、ｒ（０，１）＝ｒ_０１、ｒ（１，１）＝ｒ_１２である。

この場合、以下のように単位ローテーションおよび再分散を並列化し、通信段数を低減できる。
ステップＳ１１では、組ＳＰ（０）に属する２個の秘密計算装置ＰＡ（０），ＰＡ（１）の事前変換部１２－０，１２－１が、組ＳＰ（０）で保持されるシェア［ａ］_０，…，［ａ］_１または公開値ａを、（２，２）－加法的秘密分散方式に則ってａを秘密分散して得られるシェア＜ａ＞_０＝ａ_０，＜ａ＞_１＝ａ_１（シェア＜ａ＞_{（ＳＰ（０））}）に変換する。秘密計算装置ＰＡ（０）の記憶部１７－０はａ_０を格納し、秘密計算装置ＰＡ（１）の記憶部１７－１はａ_１を格納する。

秘密計算装置ＰＡ（０）の単位ローテーション部１３－０および再分散部１４－０が、ρ_０１，ａ_０，ｒ_０１を用いて

を得て秘密計算装置ＰＡ（２）に送る（ｉ＝０のステップＳ１３およびステップＳ１５に対応）。
また秘密計算装置ＰＡ（１）の単位ローテーション部１３－１および再分散部１４－１が、秘密計算装置ＰＡ（１）が、ρ_０１，ρ_１２，ａ_１，ｒ_０１，ｒ_１２を用いて

を得て秘密計算装置ＰＡ（０）に送る（ｉ＝０のステップＳ１３およびステップＳ１５ならびにｉ＝１のステップＳ１３およびステップＳ１５に対応）。
また秘密計算装置ＰＡ（０）の単位ローテーション部１３－１が、ρ_２０，Ｂ_１を用いて

を得る（ｉ＝２のステップＳ１３に対応）。
秘密計算装置ＰＡ（２）の単位ローテーション部１３－２および再分散部１４－２が、ρ_２０，ρ_１２，Ｂ_０，ｒ_１２を用いて

を得る（ｉ＝１のステップＳ１３およびステップＳ１５ならびにｉ＝２のステップＳ１３に対応）。

以下に示すように、＜ｃ＞_０および＜ｃ＞_２は、（２，２）－加法的秘密分散方式に則った２^ρａ∈Ｚ_Ｐのシェアとなっている。

従って、＜ｃ＞_０＋＜ｃ＞_２＝２^ρ（ａ_０＋ａ_１）＝２^ρａ∈Ｚ_Ｐが成立する。

［第２実施形態の変形例１］
第２実施形態の変形例１は、ｋ＝３，ｎ＝５の場合の具体例である。この場合、Ｎ＝１０であり、ｉ＝０，１，…，９である。また、本変形例では、ＳＰ（０）＝（ＰＡ（０），ＰＡ（１），ＰＡ（２）），ＳＰ（１）＝（ＰＡ（１），ＰＡ（２），ＰＡ（３）），ＳＰ（２）＝（ＰＡ（２），ＰＡ（３），ＰＡ（４）），ＳＰ（３）＝（ＰＡ（０），ＰＡ（３），ＰＡ（４）），ＳＰ（４）＝（ＰＡ（０），ＰＡ（１），ＰＡ（４）），ＳＰ（５）＝（ＰＡ（１），ＰＡ（３），ＰＡ（４）），ＳＰ（６）＝（ＰＡ（０），ＰＡ（１），ＰＡ（３）），ＳＰ（７）＝（ＰＡ（０），ＰＡ（２），ＰＡ（３）），ＳＰ（８）＝（ＰＡ（０），ＰＡ（２），ＰＡ（４）），ＳＰ（９）＝（ＰＡ（１），ＰＡ（２），ＰＡ（４））とする。これにより、第２実施形態と同様に、単位ローテーションおよび再分散を並列化し、通信段数を低減できる。

［ハードウェア構成］
実施形態における秘密計算装置ＰＡ（ｊ）は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。

図４は、実施形態における秘密計算装置ＰＡ（ｊ）のハードウェア構成を例示したブロック図である。図４に例示するように、この例の秘密計算装置ＰＡ（ｊ）は、ＣＰＵ（Central Processing Unit）１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ（Random Access Memory）１０ｄ、ＲＯＭ（Read Only Memory）１０ｅ、補助記憶装置１０ｆ及びバス１０ｇを有している。この例のＣＰＵ１０ａは、制御部１０ａａ、演算部１０ａｂ及びレジスタ１０ａｃを有し、レジスタ１０ａｃに読み込まれた各種プログラムに従って様々な演算処理を実行する。また、入力部１０ｂは、データが入力される通信装置、入力端子、キーボード、マウス、タッチパネル等である。また、出力部１０ｃは、データが出力される通信装置、出力端子、ディスプレイ等である。また、ＲＡＭ１０ｄは、ＳＲＡＭ (Static Random Access Memory)、ＤＲＡＭ (Dynamic Random Access Memory)等であり、所定のプログラムが格納されるプログラム領域１０ｄａ及び各種データが格納されるデータ領域１０ｄｂを有している。また、補助記憶装置１０ｆは、例えば、ハードディスク、ＭＯ（Magneto-Optical disc）、半導体メモリ等であり、所定のプログラムが格納されるプログラム領域１０ｆａ及び各種データが格納されるデータ領域１０ｆｂを有している。また、バス１０ｇは、ＣＰＵ１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ１０ｄ、ＲＯＭ１０ｅ及び補助記憶装置１０ｆを、情報のやり取りが可能なように接続する。ＣＰＵ１０ａは、読み込まれたＯＳ（Operating System）プログラムに従い、補助記憶装置１０ｆのプログラム領域１０ｆａに格納されているプログラムをＲＡＭ１０ｄのプログラム領域１０ｄａに書き込む。同様にＣＰＵ１０ａは、補助記憶装置１０ｆのデータ領域１０ｆｂに格納されている各種データを、ＲＡＭ１０ｄのデータ領域１０ｄｂに書き込む。そして、このプログラムやデータが書き込まれたＲＡＭ１０ｄ上のアドレスがＣＰＵ１０ａのレジスタ１０ａｃに格納される。ＣＰＵ１０ａの制御部１０ａａは、レジスタ１０ａｃに格納されたこれらのアドレスを順次読み出し、読み出したアドレスが示すＲＡＭ１０ｄ上の領域からプログラムやデータを読み出し、そのプログラムが示す演算を演算部１０ａｂに順次実行させ、その演算結果をレジスタ１０ａｃに格納していく。このような構成により、秘密計算装置ＰＡ（ｊ）の機能構成が実現される。

上述のプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。上述のように、このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

各実施形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

［その他の変形例］
なお、本発明は上述の実施形態に限定されるものではない。例えば、上述の実施形態の再分散をさらに以下のように一般化することができる。
入力：線形結合演算によって復元可能な（ｋ，ｋ）－秘密分散方式に則ったａのシェアｓｈａ（ａ，ｉ）。ここでｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））がシェアｓｈａ（ａ，ｉ）を持つ。
出力：加法準同型性を持つ（ｋ，ｎ）－秘密分散方式に則ったシェア［ａ（ｉ）］
処理：
１．シェアｓｈａ（ａ，ｉ）を持つ秘密計算装置ＰＡ（φ（ｉ，ｉ'））（ただしｉ'＝０，．．．，ｋ－１）は、自分のシェアｓｈａ（ａ，ｉ）を（ｋ，ｎ）－秘密分散方式に則ってシェア［ｓｈａ（ａ，ｉ）＿φ（ｉ，ｉ'）］を秘密分散する。これにより、シェア［ｓｈａ（ａ，ｉ）＿φ（ｉ，ｉ'）］がｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））でシェアされた。これはａを２重に秘密分散したシェア、すなわち、ａのシェアのシェアになっている。
２．各秘密計算装置ＰＡ（φ（ｉ，ｉ'））は、シェア［ｓｈａ（ａ，ｉ）＿φ（ｉ，０）］，…，［ｓｈａ（ａ，ｉ）＿φ（ｉ，ｋ－１）］に対し、秘密計算の加算・公開値倍を行って線形結合することで、各シェアに内在するｓｈａ（ａ，ｉ）成分を復元する。これにより、各秘密計算装置ＰＡ（φ（ｉ，ｉ'））は、（ｋ，ｎ）－秘密分散方式に従ったシェア［ａ（ｉ）］を得る。
なお、この処理では、前述の実施形態のシェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ））}はシェアｓｈａ（ａ）に一般化され、シェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ＋１））}が（ｋ，ｎ）－秘密分散方式に従ったシェア［ａ（ｉ）］のうち、任意に選択されたｋ個の秘密計算装置のシェアに一般化される。なお、実施形態ではＳＰ（０），…，ＳＰ（Ｎ－１）がｉ’＝０，…，Ｎ－２について｜ＳＰ（ｉ’）∩ＳＰ（ｉ’＋１）^ｃ｜＝１となるように構成されていたが、このように構成されいなくてもよい。また、（ｋ，ｋ）－秘密分散方式に限定はなく、加法的秘密分散方式であってもよいし、Ｓｈａｍｉｒ秘密分散方式などのその他の秘密分散方式であってもよい。上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

１ 秘密計算システム
ＰＡ（ｊ） 秘密計算装置
１３－ｊ 単位ローテーション部
１４－ｊ 再分散部

Claims (8)

1. ｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）を有し、
   ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ＰＡがｎ個の前記秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組であり、ＳＰ（ｉ）はＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組であり、ｉ＝０，…，Ｎ－１であり、ＳＰ（０），…，ＳＰ（Ｎ－１）はｉ’＝０，…，Ｎ－２について｜ＳＰ（ｉ’）∩ＳＰ（ｉ’＋１）^ｃ｜＝１となるように構成されており、
   Ｐが１以上の整数であり、ｐが前記整数Ｐのビット数であり、ａがＰを法とする剰余環Ｚ_Ｐの元であり、シェア＜ａ＞_{（ＳＰ（ｉ））}が、前記組ＳＰ（ｉ）が保持する加法的秘密分散方式に則ったｋ個のシェアであり、シェア＜ａ＞_{（ＳＰ（０））}が加法的秘密分散方式に則ってａを秘密分散して得られるシェアであり、＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}が前記シェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアであり、
   ρがｐを法とする剰余環Ｚ_ｐの元であり、複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアがρ_０，…，ρ_Ｎ－１∈Ｚ_ｐであり、ρ_{（ＳＰ（ｉ））}が前記サブシェアρ_０，…，ρ_Ｎ－１のうち前記組ＳＰ（ｉ）に対応するサブシェアであり、
   ＰＡ（φ（ｉ’，０））は前記組ＳＰ（ｉ’）に含まれ前記組ＳＰ（ｉ’＋１）に含まれない秘密計算装置であり、ＰＡ（φ（ｉ’＋１，ｋ））は前記組ＳＰ（ｉ’）に含まれず前記組ＳＰ（ｉ’＋１）に含まれる秘密計算装置であり、ｊ＝１，…，ｋ－１についてのＰＡ（φ（ｉ’，ｊ））は前記組ＳＰ（ｉ’）にも前記組ＳＰ（ｉ’＋１）にも含まれる秘密計算装置であり、
   秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行って得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする単位ローテーションを実行し、
   前記秘密計算装置ＰＡ（φ（ｉ’，０））が、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ’））}および前記秘密計算装置ＰＡ（φ（ｉ’，０））と前記秘密計算装置ＰＡ（φ（ｉ’，１）），…，ＰＡ（φ（ｉ’，ｋ－１））それぞれとが共有する乱数ｒ（ｉ’，１），…，ｒ（ｉ’，ｋ－１））を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得て前記秘密計算装置ＰＡ（φ（ｉ’＋１，ｋ））に送り、前記秘密計算装置ＰＡ（φ（ｉ’，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’））}および前記乱数ｒ（ｉ’，ｊ）を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’＋１））}を得る再分散を実行する、秘密計算システム。
2. 請求項１の秘密計算システムであって、
   前記再分散では、
   前記秘密計算装置ＰＡ（φ（ｉ’，０））が次式により前記シェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得、
   

   

   
   前記秘密計算装置ＰＡ（φ（ｉ'，ｊ））それぞれが次式により前記シェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ'＋１））}を得る
   

   

   
   、秘密計算システム。
3. 請求項１または２の秘密計算システムであって、
   ＳＰ（０），…，ＳＰ（Ｎ－１）は互いに異なり、
   前記組ＳＰ（ｉ）は、ｉ＝０からｉ＝Ｎ－２までのそれぞれについて前記単位ローテーションに続いて前記再分散を実行し、ｉ＝Ｎ－１について前記単位ローテーションを実行する、秘密計算システム。
4. 請求項１から３のいずれかの秘密計算システムであって、
   ｋ＝２，ｎ＝３であり、Ｎ＝３であり、ｉ＝０，１，２であり、
   ＳＰ（０）＝（ＰＡ（０），ＰＡ（１）），ＳＰ（１）＝（ＰＡ（１），ＰＡ（２）），ＳＰ（２）＝（ＰＡ（０），ＰＡ（２））であり、
   シェア＜ａ＞_{（ＳＰ（０））}がａ_０およびａ_１であり、ａ＝ａ_０＋ａ_１∈Ｚ_Ｐであり、
   ρ＝ρ_０１＋ρ_１２＋ρ_２０∈Ｚ_ｐであり、ρ_{（ＳＰ（０））}＝ρ_{（ＳＰ（１））}＝ρ_{（ＳＰ（１））}＝ρ_０１，ρ_１２，ρ_２０であり、
   ＰＡ（φ（０，０））＝ＰＡ（０）、ＰＡ（φ（１，２））＝ＰＡ（２）、ＰＡ（φ（０，１））＝ＰＡ（１）であり、
   ＰＡ（φ（１，０））＝ＰＡ（１）、ＰＡ（φ（２，２））＝ＰＡ（０）、ＰＡ（φ（１，１））＝ＰＡ（２）であり、
   ｒ（０，１）＝ｒ_０１、ｒ（１，１）＝ｒ_１２であり、
   秘密計算装置ＰＡ（０）が、ρ_０１，ａ_０，ｒ_０１を用いて
   

   

   
   を得て秘密計算装置ＰＡ（２）に送り、
   秘密計算装置ＰＡ（１）が、ρ_０１，ρ_１２，ａ_１，ｒ_０１，ｒ_１２を用いて
   

   

   
   を得て前記秘密計算装置ＰＡ（０）に送り、
   前記秘密計算装置ＰＡ（０）が、ρ_２０，Ｂ_１を用いて
   

   

   
   を得、
   前記秘密計算装置ＰＡ（２）が、ρ_２０，ρ_１２，Ｂ_０，ｒ_１２を用いて
   

   

   
   を得る、秘密計算システム。
5. 請求項１から３のいずれかの秘密計算システムであって、
   ｋ＝３，ｎ＝５であり、Ｎ＝１０であり、ｉ＝０，１，…，９であり、
   ＳＰ（０）＝（ＰＡ（０），ＰＡ（１），ＰＡ（２）），ＳＰ（１）＝（ＰＡ（１），ＰＡ（２），ＰＡ（３）），ＳＰ（２）＝（ＰＡ（２），ＰＡ（３），ＰＡ（４）），ＳＰ（３）＝（ＰＡ（０），ＰＡ（３），ＰＡ（４）），ＳＰ（４）＝（ＰＡ（０），ＰＡ（１），ＰＡ（４）），ＳＰ（５）＝（ＰＡ（１），ＰＡ（３），ＰＡ（４）），ＳＰ（６）＝（ＰＡ（０），ＰＡ（１），ＰＡ（３）），ＳＰ（７）＝（ＰＡ（０），ＰＡ（２），ＰＡ（３）），ＳＰ（８）＝（ＰＡ（０），ＰＡ（２），ＰＡ（４）），ＳＰ（９）＝（ＰＡ（１），ＰＡ（２），ＰＡ（４））である、秘密計算システム。
6. ｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）を有し、
   ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ＰＡがｎ個の前記秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組であり、ＳＰ（ｉ）はＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組であり、ｉ＝０，…，Ｎ－１であり、ｉ’＝０，…，Ｎ－２であり、
   Ｐが１以上の整数であり、ｐが前記整数Ｐのビット数であり、ａがＰを法とする剰余環Ｚ_Ｐの元であり、シェア＜ａ＞_{（ＳＰ（ｉ））}が、前記組ＳＰ（ｉ）が保持する秘密分散方式に則ったｋ個のシェアであり、シェア＜ａ＞_{（ＳＰ（０））}が秘密分散方式に則ってａを秘密分散して得られるシェアであり、＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}が前記シェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアであり、
   ρがｐを法とする剰余環Ｚ_ｐの元であり、複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアがρ_０，…，ρ_Ｎ－１∈Ｚ_ｐであり、ρ_{（ＳＰ（ｉ））}が前記サブシェアρ_０，…，ρ_Ｎ－１のうち前記組ＳＰ（ｉ）に対応するサブシェアであり、
   秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行って得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする単位ローテーションを実行し、
   前記秘密計算装置ＰＡ（φ（ｉ’，０））が、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ’））}を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得て前記秘密計算装置ＰＡ（φ（ｉ’＋１，ｋ））に送り、前記秘密計算装置ＰＡ（φ（ｉ’，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’））}を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’＋１））}を得る再分散を実行する、秘密計算システム。
7. ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ＰＡがｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組であり、ＳＰ（ｉ）はＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組であり、ｉ＝０，…，Ｎ－１であり、ＳＰ（０），…，ＳＰ（Ｎ－１）はｉ’＝０，…，Ｎ－２について｜ＳＰ（ｉ’）∩ＳＰ（ｉ’＋１）^ｃ｜＝１となるように構成されており、
   Ｐが１以上の整数であり、ｐが前記整数Ｐのビット数であり、ａがＰを法とする剰余環Ｚ_Ｐの元であり、シェア＜ａ＞_{（ＳＰ（ｉ））}が、前記組ＳＰ（ｉ）が保持する加法的秘密分散方式に則ったｋ個のシェアであり、シェア＜ａ＞_{（ＳＰ（０））}が加法的秘密分散方式に則ってａを秘密分散して得られるシェアであり、＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}が前記シェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアであり、
   ρがｐを法とする剰余環Ｚ_ｐの元であり、複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアがρ_０，…，ρ_Ｎ－１∈Ｚ_ｐであり、ρ_{（ＳＰ（ｉ））}が前記サブシェアρ_０，…，ρ_Ｎ－１のうち前記組ＳＰ（ｉ）に対応するサブシェアであり、
   ＰＡ（φ（ｉ’，０））は前記組ＳＰ（ｉ’）に含まれ前記組ＳＰ（ｉ’＋１）に含まれない秘密計算装置であり、ＰＡ（φ（ｉ’＋１，ｋ））は前記組ＳＰ（ｉ’）に含まれず前記組ＳＰ（ｉ’＋１）に含まれる秘密計算装置であり、ｊ＝１，…，ｋ－１についてのＰＡ（φ（ｉ’，ｊ））は前記組ＳＰ（ｉ’）にも前記組ＳＰ（ｉ’＋１）にも含まれる秘密計算装置であり、
   秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行って得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする単位ローテーションステップと、
   前記秘密計算装置ＰＡ（φ（ｉ，０））が、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ））}および前記秘密計算装置ＰＡ（φ（ｉ，０））と前記秘密計算装置ＰＡ（φ（ｉ，１）），…，ＰＡ（φ（ｉ，ｋ－１））それぞれとが共有する乱数ｒ（ｉ，１），…，ｒ（ｉ，ｋ－１））を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ＋１））}を得て前記秘密計算装置ＰＡ（φ（ｉ＋１，ｋ））に送り、前記秘密計算装置ＰＡ（φ（ｉ，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ））}および前記乱数ｒ（ｉ，ｊ）を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ＋１））}を得る再分散ステップと
   を有する、秘密計算方法。
8. ｎ個の秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）を有し、
   ｎ，ｋが２以上の整数であり、ｎ＞ｋであり、Ｎ＝_ｎＣ_ｋであり、ＰＡがｎ個の前記秘密計算装置ＰＡ（０），…，ＰＡ（ｎ－１）の組であり、ＳＰ（ｉ）はＰＡから選択されたｋ個の秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））の組であり、ｉ＝０，…，Ｎ－１であり、ｉ’＝０，…，Ｎ－２であり、
   Ｐが１以上の整数であり、ｐが前記整数Ｐのビット数であり、ａがＰを法とする剰余環Ｚ_Ｐの元であり、シェア＜ａ＞_{（ＳＰ（ｉ））}が、前記組ＳＰ（ｉ）が保持する秘密分散方式に則ったｋ個のシェアであり、シェア＜ａ＞_{（ＳＰ（０））}が秘密分散方式に則ってａを秘密分散して得られるシェアであり、＜ａ＞_{（ＰＡ（θ）∈ＳＰ（ｉ））}が前記シェア＜ａ＞_{（ＳＰ（ｉ））}のうち秘密計算装置ＰＡ（θ）∈ＳＰ（ｉ）が保持するシェアであり、
   ρがｐを法とする剰余環Ｚ_ｐの元であり、複製型秘密分散方式に則ってρを秘密分散して得られるｎ個のシェア≪ρ≫_０，…，≪ρ≫_ｎ－１のサブシェアがρ_０，…，ρ_Ｎ－１∈Ｚ_ｐであり、ρ_{（ＳＰ（ｉ））}が前記サブシェアρ_０，…，ρ_Ｎ－１のうち前記組ＳＰ（ｉ）に対応するサブシェアであり、
   秘密計算装置ＰＡ（φ（ｉ，０）），…，ＰＡ（φ（ｉ，ｋ－１））が、２^{ρ（ＳＰ（ｉ））}＜ａ＞_{（ＳＰ（ｉ））}∈Ｚ_Ｐの計算を行って得られる値を、新たなシェア＜ａ＞_{（ＳＰ（ｉ））}とする単位ローテーションを実行し、
   前記秘密計算装置ＰＡ（φ（ｉ’，０））が、シェア＜ａ＞_{（ＰＡ（０）∈ＳＰ（ｉ’））}を用いてシェア＜ａ＞_{（ＰＡ（ｋ）∈ＳＰ（ｉ’＋１））}を得て前記秘密計算装置ＰＡ（φ（ｉ’＋１，ｋ））に送り、前記秘密計算装置ＰＡ（φ（ｉ’，ｊ））それぞれが、ｊ＝１，…，ｋ－１についてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’））}を用いてシェア＜ａ＞_{（ＰＡ（ｊ）∈ＳＰ（ｉ’＋１））}を得る再分散を実行する、秘密計算方法。

Images