WO2016208437A1 - 秘密計算装置、秘密計算方法、およびプログラム - Google Patents

秘密計算装置、秘密計算方法、およびプログラム Download PDF

Info

Publication number
WO2016208437A1
WO2016208437A1 PCT/JP2016/067529 JP2016067529W WO2016208437A1 WO 2016208437 A1 WO2016208437 A1 WO 2016208437A1 JP 2016067529 W JP2016067529 W JP 2016067529W WO 2016208437 A1 WO2016208437 A1 WO 2016208437A1
Authority
WO
WIPO (PCT)
Prior art keywords
value
bit string
bit
secret
secret sharing
Prior art date
Application number
PCT/JP2016/067529
Other languages
English (en)
French (fr)
Inventor
大 五十嵐
千田　浩司
浩気 濱田
亮 菊池
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to CN201680033336.5A priority Critical patent/CN107735830B/zh
Priority to EP16814208.1A priority patent/EP3316235B1/en
Priority to US15/737,915 priority patent/US10679522B2/en
Publication of WO2016208437A1 publication Critical patent/WO2016208437A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2209/00—Additional information or applications relating to cryptographic mechanisms or cryptographic arrangements for secret or secure communication H04L9/00
    • H04L2209/46—Secure multiparty computation, e.g. millionaire problem

Definitions

  • the present invention relates to a secret calculation technique, and more particularly to a technique for performing a null value check by a secret calculation.
  • Non-Patent Document 1 A technique for handling signed numbers using secret computation is known (see, for example, “Non-Patent Document 1”).
  • the above prior art has a problem that the amount of communication and the number of communication stages are large. Also, there is no mention of performing a null value check with a secret calculation.
  • the problem of the present invention is to improve the efficiency of the null value check by the secret calculation.
  • the value of the most significant bit of the “first target bit string” is set to the value of the “first check bit” lower than the most significant bit.
  • the secret sharing value of the value represented by the “bit string” is obtained.
  • the “first target bit string” corresponds to a null value when the most significant bit is 1, and corresponds to a real value when the most significant bit is 0.
  • the secret sharing value of the value represented by the “first check bit string” is used to obtain the secret sharing value of the bit values from the least significant bit of the “first check bit string” to the “first check bit”.
  • FIG. 1 is a block diagram illustrating a configuration of a secret calculation system according to an embodiment.
  • FIG. 2 is a block diagram illustrating the configuration of the secret calculation apparatus according to the embodiment.
  • FIG. 3 is a flowchart for illustrating the processing of the first embodiment.
  • FIG. 4 is a conceptual diagram for illustrating the processing of the embodiment.
  • FIG. 5A is a conceptual diagram for illustrating the configuration of the target bit string of the embodiment.
  • 5B and 5C are conceptual diagrams for illustrating the configuration of the check bit string of the embodiment.
  • FIG. 6 is a flowchart for illustrating the processing of the second embodiment.
  • 7A and 7B are conceptual diagrams for illustrating the configuration of the magnitude comparison bit string of the embodiment.
  • FIG. 8 is a flowchart for illustrating the process of the first modification of the second embodiment.
  • FIG. 9 is a flowchart for illustrating the processing of the third embodiment.
  • FIG. 10 is a flowchart for illustrating the process of the first modification of the third
  • the secret calculation device of each embodiment uses the secret sharing value of the value represented by the “first target bit string” and sets the value of the most significant bit of the “first target bit string” to the “first check bit lower than the most significant bit”
  • the secret sharing value of the value represented by the “first check bit string” is obtained.
  • the “first target bit string” corresponds to a null value when the most significant bit is 1, and corresponds to a real value when the most significant bit is 0.
  • the “first check bit string” is obtained, for example, by rotating the “first target bit string”. Rotation can be realized by multiplication on the remainder ring.
  • the multiplication method on the remainder ring in the secret calculation there is no limitation on the multiplication method on the remainder ring in the secret calculation, and it can be realized by a known method (for example, Reference 1 “Koji Senda, Hiroki Hamada, Igarashi Univ., Katsumi Takahashi,“ Lightweight verifiable three-party secret function calculation See “Reconsideration”, CSS 2010, 2010 ”).
  • this is merely an example, and other methods may be used as long as the value of the most significant bit of the “first target bit string” can be the value of the “first check bit”.
  • the secret computing device uses the secret sharing value of the value represented by the “first check bit string” to obtain the secret sharing value of the bit values from the least significant bit of the “first check bit string” to the “first check bit”. .
  • the secret sharing value of the value of the “first check bit” is a secret sharing value of a value representing the null value check result. Further, since only the secret sharing values of the bit values from the least significant bit of the “first check bit string” to the “first check bit” need be obtained, the secret sharing values of all bits are obtained to represent the null value check result. The amount of communication and / or the number of communication stages can be reduced as compared with the case of obtaining the secret sharing value.
  • a known method for obtaining the secret sharing value of the bit values from the least significant bit of the “first check bit string” to the “first check bit” for example, Reference 2 “Igarashi Univ., Hiroki Hirota, Ryo Kikuchi” Koji Senda, “O (l) bit communication bit decomposition and O (p ′) bit communication modulus transformation method for secret sharing-based secret computation of small parties”, CSS2013, 2013 There is “decomposition”.
  • the secret sharing value of each bit value from the least significant bit to the desired bit can be obtained efficiently.
  • a method for efficiently obtaining only the secret sharing value of each bit value from the least significant bit to the desired bit is known, but only the secret sharing value of each bit value from the most significant bit to the desired bit is obtained.
  • N is an integer of 2 or more
  • L is an integer of 0 ⁇ L ⁇ Nu ′
  • X is an integer of ⁇ 2 L ⁇ X ⁇ 2 N ⁇ 1 ⁇ 2 L ⁇ 1.
  • u ′ is a positive integer not less than 2 and not more than N according to the secret sharing scheme.
  • u ′ 2.
  • an integer X greater than or equal to 0 corresponds to a small input value W
  • a negative integer X corresponds to a large input value W
  • “X is an empty value” corresponds to an input value W between them. .
  • This operation is addition on the remainder ring in the secret calculation.
  • Y ⁇ 2 L + (P + 1) / 2 ⁇ mod P for the null value
  • P 2 N ⁇ 1
  • the most significant bit of the N-bit bit string representing Y corresponding to the null value is 1, and is a real value X (an integer X greater than or equal to 0 or a negative integer X).
  • the most significant bit of the corresponding N-bit bit string representing Y is 0.
  • Such an N-bit bit string representing Y can be referred to as a “first target bit string”.
  • T is an integer of 1 ⁇ T ⁇ N.
  • T 1.
  • the “first check bit” is the least significant bit (specific example of the format of “first target bit string” and “first check bit string”).
  • each secret computing device obtains a secret sharing value of “comparison result value” and obtains a secret sharing value of the K-th value from the lower order of the bit string representing “comparison result value”.
  • the “comparison result value” represents a value obtained by adding 2 K ⁇ 1 to a value obtained by subtracting the value represented by the “second target bit string” from the value represented by the “first target bit string”.
  • the “second target bit string” is a bit string corresponding to a null value when the most significant bit is 1 and corresponding to a real value when the most significant bit is 0.
  • the value of the first target bit string whose K is an integer of 2 or more and the most significant bit is 0 and the value of the value of the second target bit string whose most significant bit is 0 are 0 or more and less than 2 K ⁇ 1 is there.
  • addition / subtraction and extraction of bit values in the secret calculation can be realized by a known method (for example, see “Reference Documents 1 and 2”). If the value represented by the “first target bit string” is equal to or greater than the value represented by the “second target bit string”, the value of the K bit from the lower order of the bit string representing the “comparison result value” is “1”.
  • the value of the K-th bit from the lower order of the bit string representing the “comparison result value” is “0”. That is, the value of the K-th bit from the lower level representing the “comparison result value” represents a magnitude comparison result between the value represented by the “first target bit string” and the value represented by the “second target bit string”.
  • Null value check by secret calculation may be performed on the “second target bit string”. That is, each secret computing device uses the secret sharing value of the value represented by the “second target bit string”, and sets the value of the most significant bit of the “second target bit string” to the “second check bit” lower than the most significant bit.
  • the secret sharing value of the value represented by the “second check bit string” is obtained, and the secret sharing value of the value of the “second check bit string” is used to obtain the secret sharing value of the value of the “second check bit” May be.
  • Specific examples of the formats of “second target bit string” and “second check bit string” are the same as the specific examples of the formats of “first target bit string” and “first check bit string” described above.
  • each secret computing device uses the secret sharing value of the value represented by “target bit string A (d)”, and sets the value of the most significant bit of “target bit string A (d)” to “ The secret sharing value of the value represented by the “check bit string C (d)” is obtained as the value “r (d)” of the “check bit”.
  • d 0,..., D ⁇ 1, and D is an integer of 2 or more.
  • “Target bit string A (d)” corresponds to a null value when the most significant bit is 1, and corresponds to a real value when the most significant bit is 0.
  • Each secret computing device uses the secret sharing value of the value represented by “check bit string C (d)” and uses the least significant bit of “check bit string C (d)” to the bit value from “target bit string A (d)”. Get the secret sharing value. Further, each secret computing device obtains a secret sharing value as a sorting result in accordance with the value represented by “target bit string A (d)”. However, the value represented by “target bit string A (d)” with the most significant bit being 0 corresponds to a larger real value as the value represented by “target bit string A (d)” is larger. Each secret computing device may obtain a secret sharing value as a sorting result according to the magnitude of the value represented by “check bit string C (d)”.
  • the secret sharing value of at least one of the maximum value, the minimum value, and the median value may be obtained by using the sorting result in the secret calculation.
  • a known method may be used (for example, Reference 3 “Igarashi Univ., Hiroki Hirota, Ryo Kikuchi, Koji Chida,“ Aiming at statistical processing of 1 second of Internet environment response.
  • the secret calculation system 1 of the first embodiment includes a distributed device 11 and M secret calculation devices 12 0 -12 M ⁇ 1 , which can communicate via a network such as the Internet. Configured. However, M is an integer of 2 or more. For convenience of explanation, it is assumed that the secret computation system 1 has only one distributed device 11, but a plurality of distributed devices 11 may exist. Alternatively, other secret computing devices may exist.
  • the secret computing device 12 m executes each process under the control of the control unit 123 m . Data obtained by each unit is stored in a temporary memory (not shown), and is read and used as necessary.
  • Each device is, for example, a general-purpose or dedicated computer including a processor (hardware processor) such as a CPU (central processing unit) and a memory such as a random-access memory (RAM) and a read-only memory (ROM). It is configured by executing the program.
  • the computer may include a single processor and memory, or may include a plurality of processors and memory.
  • This program may be installed in a computer, or may be recorded in a ROM or the like in advance.
  • some or all of the processing units are configured using an electronic circuit that realizes a processing function without using a program, instead of an electronic circuit (circuitry) that realizes a functional configuration by reading a program like a CPU. May be.
  • an electronic circuit constituting one device may include a plurality of CPUs.
  • N is an integer greater than or equal to 2
  • L is an integer of 0 ⁇ L ⁇ Nu ′
  • X is an integer of ⁇ 2 L ⁇ X ⁇ 2 N ⁇ 1 ⁇ 2 L ⁇ 1 (X is an integer represented by a decimal number).
  • P may be a prime number (Mersenne prime number) or may not be a prime number.
  • u ′ is a positive integer not less than 2 and not more than N according to the secret sharing scheme.
  • the secret sharing scheme is not limited, and any scheme such as a linear secret sharing scheme such as the Shamir secret sharing scheme, a duplicate secret sharing scheme, or any other scheme (for example, see “Reference 2”) may be used.
  • the secret sharing value [W] m is received by the communication unit 121 m of the secret calculation device 12 m (FIG. 2) and sent to the input calculation unit 124 m (step S11 m ).
  • Y corresponding to the null value is ⁇ 2 L + (P + 1) / 2 ⁇ mod P
  • Y corresponding to X which is an integer greater than or equal to 0 is (2 L + X) mod P and is a negative integer X Y corresponding to is (P + 2 L + X) mod P (FIG. 4).
  • a bit string in which Y is represented by an N-digit binary number is called a target bit string.
  • Y corresponds to a real value X (an integer of ⁇ 2 L ⁇ X ⁇ 2 N ⁇ 1 ⁇ 2 L ⁇ 1)
  • P Mersenne number
  • T is an integer of 1 ⁇ T ⁇ N.
  • a bit string in which V is expressed as an N-digit binary number is called a check bit string.
  • the inspection bit string is a bit string obtained by rotating the target bit string 1100 to the left by T bits.
  • the value a N ⁇ 1 of the most significant bit 1101 of the target bit string 1100 is the value of the lower order bit (check bit) than the most significant bit of the check bit string.
  • the check bits are as follows.
  • the value of the T-th bit from the least significant bit of the check bit string 1200 represents “whether X is a null value”.
  • the “Tth bit from the least significant” means the Tth bit counted from the least significant.
  • the first bit from the least significant bit means the least significant bit
  • the second bit from the least significant bit means a bit one digit higher than the least significant bit (step S13 m ).
  • Example using bit decomposition in Reference 2 An example using the bit decomposition of Reference 2 is shown.
  • a secret sharing value [V] m conforming to the duplicate secret sharing scheme is used.
  • it is possible to convert a secret sharing value according to an arbitrary linear secret sharing scheme into a secret sharing value of a duplicate secret sharing scheme for example, Reference 5 “R. Cramer, I. Damg_ard, and Y. Ishai, “Share conversion, pseudorandom secret-sharing and applications to secure computation,” In J. Kilian ed., TCC, Vol. 3378 of Lecture Notes in Computer Science, pp. 342-362. Springer, 2005.
  • the limitation to the duplicate secret sharing method is not a limitation on use.
  • the linear secret sharing value of V is expressed as [V]
  • the duplicate secret sharing value of V is expressed as ⁇ V ⁇ .
  • the number of sub-shares of V is ⁇
  • the boundary value u which is a natural number, is the smallest integer greater than or equal to log ⁇ .
  • [nu is an integer satisfying ⁇ ⁇ 2 u.
  • V is 0 and jointly 2 u as law
  • V is Sabushea x 0 to P as law, ..., and is congruent with the sum of x 0 + ... + x ⁇ - 1 of x ⁇ -1.
  • P is a Mersenne prime number, but P may be another Mersenne number.
  • 2 u V ⁇ P.
  • [PRO] is an operator that converts the truth of PRO to an integer.
  • X ZP ⁇ V ⁇ Calculate ZP .
  • the ⁇ ZP represents a replication secret sharing value is the original Z P
  • " ⁇ ZP" represents a multiplication on Z P.
  • the low-order bit distribution unit 126 m of the null value checking unit 126 m starts from the least significant bit of the jth subshare ⁇ V ′ ⁇ ZP ⁇ j> of the modified secret distribution value ⁇ V ′ ⁇ ZP.
  • u bits (u bits from the least significant bit to the uth bit counted from the least significant bit) are distributed for each bit, and the lower bit distributed value To get.
  • [ ⁇ ] ⁇ represents a linear secret sharing value that is an element of ⁇ .
  • the high-order bit distribution unit of the null value checking unit 126 m for all i satisfying i ⁇ , converts the T bit from the u-th bit of the j-th subshare ⁇ V ′ ⁇ ZP ⁇ j> of the modified secret distribution value bit by bit.
  • the low-order bit addition unit of the null value checking unit 126 m performs the low-order bit addition value by the secret calculation of the addition circuit.
  • Zero determination unit of the air-value checking unit 126 m obtains a lower u bits of the lower bit addition value
  • the secure computing the zero determination circuit calculates a zero determination value [[eta u ⁇ 0]] Z2.
  • the high-order bit addition unit of the null value inspection unit 126 m acquires the high-order bit addition value, the high-order u bit of the low-order bit addition value, and the zero determination value for all i satisfying i ⁇ .
  • Secret sharing sequence of bits by secret calculation Is calculated and output. However, Represents the sum on Z 2 T , Represents the addition on Z 2 T.
  • the secret sharing value [r] m of each bit value from the least significant bit to the T-th bit (that is, the check bit) when V is expressed as an N-digit binary number is obtained by the calculation of Expression (1).
  • the secret calculation of three parties can be processed with a communication amount of several bits and two rounds (step S14 m ).
  • the secret computing device 12 m outputs a secret sharing value [r] m (step S15 m ).
  • the secret computing device 12 m outputs the secret sharing value [r] m .
  • the secret sharing value of each check bit of the check bit string C may be output instead of the secret sharing value [r] m .
  • secret variance [W] m of the input value W is input to the secure computing apparatus 12 m
  • the secret sharing value [Y] m may be input to each secret computing device 12 m, and the processing from steps S13 m to S15 m may be executed.
  • the secret calculation system 2 of the second embodiment includes a distributed device 11 and M secret calculation devices 22 0 to 22 M ⁇ 1 , which can communicate via a network such as the Internet. Configured.
  • the secret computing device 22 m executes each process under the control of the control unit 123 m .
  • the input value W (0) corresponds to the null value or the real value X (0)
  • the input value W (1) corresponds to the null value or the real value X (1).
  • the format of the input values W (0) and W (1) is the same as the format of the input value W described above.
  • the secret sharing values [W (0)] m and [W (1)] m are received by the communication unit 121 m of the secret computing device 22 m (FIG. 2) and sent to the input calculation unit 124 m (step S21 m ).
  • Y (0) corresponds to “a value represented by the target bit string A (0)”
  • Y (1) corresponds to “a value represented by the target bit string A (1)”.
  • the target bit strings A (0) and A (1) are bit strings corresponding to a null value when the most significant bit is 1 and corresponding to a real value when the most significant bit is 0 (step S22 m ).
  • V (0) corresponds to “value represented by check bit string C (0)”
  • V (1) corresponds to “value represented by check bit string C (1)” (step S23 m ).
  • the null value checking unit 226 m receives the secret sharing value [V (0)] m as input, and the secret sharing value [r (0)] of each bit value from the least significant bit of the check bit string C (0) to the check bit. Get m and output.
  • the null value checking unit 226 m receives the secret sharing value [V (1)] m as input, and the secret sharing value [r (1) of each bit value from the least significant bit to the checking bit of the check bit string C (1). ]
  • Obtain m and output. For example, when T 1, the null value checking unit 226 m obtains and outputs the secret sharing values [r (0)] m and [r (1)] m of the value of the check bit that is the least significant bit ( step S24 m).
  • the magnitude comparison bit string acquisition unit 227 m receives the secret sharing values [Y (0)] m and [Y (1)] m as input, and performs a secret calculation to obtain a comparison result value (Y (0) ⁇ Y (1) +2 K ⁇ 1 ) mod P (value obtained by subtracting the value represented by the target bit string A (1) from the value represented by the target bit string A (0) and adding 2K ⁇ 1 ) [(Y (0) ⁇ Y (1) +2 K ⁇ 1 ) mod P] m is obtained and output.
  • K is an integer equal to or greater than 2
  • the value Y (0) represented by the target bit string A (0) whose most significant bit is 0 and the value Y (1) represented by the target bit string A (1) whose most significant bit is 0 Is greater than or equal to 0 and less than 2K-1 .
  • a bit string that is an N-digit binary representation of the comparison result value (Y (0) ⁇ Y (1) +2 K ⁇ 1 ) mod P is referred to as a magnitude comparison bit string.
  • FIG. 7B is a conceptual diagram illustrating the magnitude comparison bit string 2220 in the case of N> K, and the bits lower than the most significant bit are check bits 2221.
  • the value of the Kth bit from the lower order of the 2 K-1 mod P N-digit binary representation value is 1.
  • the magnitude of Y (0) ⁇ Y (1) is not less than 0 and less than 2 K ⁇ 1. Therefore, when X (0) ⁇ X (1), (Y (0) ⁇ Y (1) +2 K ⁇ 1 )
  • the N-digit binary representation value of mod P is equal to or greater than the N-digit binary representation value of 2 K ⁇ 1 mod P, and the value of the K bit from the lower order is always 1.
  • the magnitude comparison unit 228 m receives the secret sharing value [(Y (0) ⁇ Y (1) +2 K ⁇ 1 ) mod P] m as an input, and performs a secret calculation to obtain a comparison result value (Y (0) ⁇ Y (1 ) +2 K ⁇ 1 )
  • the secret sharing value [q] m of the value q of the K-th bit from the lower order of the magnitude comparison bit string indicating mod P is obtained and output.
  • This process can be executed using, for example, the bit decomposition of Reference 2.
  • other bit decomposition methods may be used (for example, Reference 6 “I. Damgard, M. Fitzi, E. Kiltz, JB Nielsen, and T. Toft,“ Unconditionally secure constant-rounds multi-party computation.
  • the secret computing device 22 m outputs secret sharing values [r (0)] m , [r (1)] m , and [q] m (step S27 m ).
  • the magnitude comparison bit string acquisition unit 227 m performs the secret sharing values [W (0)] m and [W ( 1)] Using m as an input, the secret sharing value of the comparison result value (W (0) ⁇ W (1) +2 K ⁇ 1 ) mod P [(W (0) ⁇ W (1) +2 K ⁇ ) 1 ) mod P] m is obtained and output (step S25 ′ m ).
  • the secret sharing value [(W (0) ⁇ W (1) +2 K ⁇ 1 ) mod P] instead of the secret sharing value [(Y (0) ⁇ Y (1) +2 K ⁇ 1 ) mod P] m m is used to execute steps S26 m -S27 m of the second embodiment.
  • the secret computing device 22 m outputs the secret sharing value [r (0)] m , [r (1)] m , and the secret sharing value [q] m .
  • secret sharing of the values of the check bits of the check bit strings C (0) and C (1) instead of [r (0)] m and [r (1)] m Only the value may be output.
  • the secret computing device 22 m is a secret sharing value [q] m when the values of the check bits are both 0, and a secret sharing value representing an error when the value of any check bit is 1. May be generated and output.
  • the secret sharing values [Y (0)] m and [Y (1)] m may be input to each secret computing device 22 m , and the processing from steps S23 m to S27 m may be executed.
  • the secret calculation system 3 in addition to the null value check in the secret calculation, the sort in the secret calculation is performed.
  • the secret calculation system 3 includes a distributed device 11 and M secret calculation devices 32 0 to 32 M ⁇ 1 , which can communicate via a network such as the Internet. Configured.
  • the secret computing device 32 m executes each process under the control of the control unit 123 m .
  • the input value W (d) corresponds to a null value or a real value X (d).
  • the format of the input value W (d) is the same as the format of the input value W described above.
  • the secret sharing value [W (d)] mm is received by the communication unit 121 m of the secret calculation device 32 m (FIG. 2) and sent to the input calculation unit 124 m (step S31 m ).
  • Y (d) corresponds to “a value represented by the target bit string A (d)”.
  • the target bit string A (d) is a bit string corresponding to a null value when the most significant bit is 1, and corresponding to a real value when the most significant bit is 0 (step S32 m ).
  • V (d) corresponds to “value represented by check bit string C (d)” (step S33 m ).
  • Y (d) corresponds to a larger real value X (d) as Y (d) is larger.
  • the sorting method based on the secret calculation is not limited, and may be executed by a known method.
  • the sorting unit 327 m obtains a column of a vector [BitA (d)] composed of secret sharing values of the respective bit values of the target bit sequence A (d) by the bit decomposition of Reference Document 2, and the vector [BitA (d) ] Is sorted by the methods of Reference Documents 3 and 4 and the resulting secret sharing value [ ⁇ ] m is output.
  • the secret sharing value [ ⁇ ] m is, for example, a sorted column of [BitA (d)] (step S35 m ).
  • Sort result utilization arithmetic unit 328 m is secret sharing values of the sort result obtained the [theta] m, the maximum value, minimum value, at least one of the secret sharing values of median [[Phi] to give the m outputs.
  • the sorted result use calculation unit 328 m selects and outputs the last element in the sorted [BitA (d)] column, for example.
  • the sorting result use calculation unit 328 m selects and outputs the first element in the sorted [BitA (d)] column, for example.
  • the following processing is performed.
  • the sorting result use calculation unit 328 m When D is an odd number, the sorting result use calculation unit 328 m outputs a secret sharing value of a column whose element is a double value of each element of the central column of the sorted column [BitA (d)]. When D is an even number, the sort result use calculation unit 328 m outputs the secret sharing value of the column obtained by adding the two columns closest to the center of the sorted column [BitA (d)] (step S36 m ).
  • [ ⁇ ] m may be output instead of [ ⁇ ] m .
  • the secret computing device 32 m has a secret sharing value [ ⁇ ] m or [ ⁇ ] m when the values of the check bits are all 0, and a secret indicating an error when the value of any check bit is 1.
  • a value to be a variance value may be generated and output.
  • the secret sharing value [Y (d)] m may be input to each secret computing device 32 m, and the processing from step S33 m to S37 m may be executed.
  • the computing system 4 having such a configuration includes a distributed device 11 and M secret computing devices 42 0 to 42 M ⁇ 1 , which can communicate via a network such as the Internet. Composed.
  • the secret computing device 42 m executes each process under the control of the control unit 123 m .
  • the processing of each part is as described in the first to third embodiments and their modifications.
  • the secret sharing value [W] m may be a secret calculation result in another secret calculation device.
  • at least a part of the devices may exchange information via a portable recording medium.
  • at least some of the apparatuses may exchange information via a non-portable recording medium. The combination which consists of a part of these apparatuses may be the same apparatus.
  • a computer-readable recording medium is a non-transitory recording medium. Examples of such a recording medium are a magnetic recording device, an optical disk, a magneto-optical recording medium, a semiconductor memory, and the like.
  • This program is distributed, for example, by selling, transferring, or lending a portable recording medium such as a DVD or CD-ROM in which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of the server computer and transferring the program from the server computer to another computer via a network.
  • a computer that executes such a program first stores a program recorded on a portable recording medium or a program transferred from a server computer in its own storage device. When executing the process, this computer reads a program stored in its own recording device and executes a process according to the read program. As another execution form of the program, the computer may read the program directly from the portable recording medium and execute processing according to the program, and each time the program is transferred from the server computer to the computer. The processing according to the received program may be executed sequentially.
  • the above-described processing may be executed by a so-called ASP (Application Service Provider) type service that does not transfer a program from the server computer to the computer but implements a processing function only by the execution instruction and result acquisition. Good.
  • ASP Application Service Provider
  • the processing functions of the apparatus are realized by executing a predetermined program on a computer, but at least a part of these processing functions may be realized by hardware.
  • the technology of the above embodiment can be used for numerical calculation by secret calculation, aggregation processing, and the like.
  • the technology of the above-described embodiment can be applied to the aggregation of questionnaire results by anonymous and the aggregation of voting results.

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

「第１対象ビット列」が表す値の秘密分散値を用い、「第１対象ビット列」の最上位ビットの値を最上位ビットよりも下位の「第１検査ビット」の値とした「第１検査ビット列」が表す値の秘密分散値を得る。ただし、「第１対象ビット列」は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する。次に、「第１検査ビット列」が表す値の秘密分散値を用い、「第１検査ビット列」の最下位ビットから「第１検査ビット」までのビット値の秘密分散値を得る。

Description

秘密計算装置、秘密計算方法、およびプログラム
　本発明は、秘密計算技術に関し、特に、秘密計算で空値検査を行う技術に関する。
　秘密計算を用いて符号付き数を扱う技術が知られている（例えば、「非特許文献１」等参照）。
D. Bogdanov, M. Niitsoo, T. Toft, and J. Willemson, "High-performance secure multi-party computation for data mining applications," Int. J. Inf. Sec., 11(6):403-418, 2012.
　上記の従来技術には、通信量・通信段数が大きいという課題がある。また秘密計算で空値検査を行うことには言及がない。
　本発明の課題は、秘密計算による空値検査を効率化することである。
　「第１対象ビット列」が表す値の秘密分散値を用い、「第１対象ビット列」の最上位ビットの値を最上位ビットよりも下位の「第１検査ビット」の値とした「第１検査ビット列」が表す値の秘密分散値を得る。ただし、「第１対象ビット列」は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する。次に、「第１検査ビット列」が表す値の秘密分散値を用い、「第１検査ビット列」の最下位ビットから「第１検査ビット」までのビット値の秘密分散値を得る。
　以上により、秘密計算による空値検査を効率化できる。
図１は実施形態の秘密計算システムの構成を例示したブロック図である。 図２は実施形態の秘密計算装置の構成を例示したブロック図である。 図３は第１実施形態の処理を例示するためのフロー図である。 図４は実施形態の処理を例示するための概念図である。 図５Ａは実施形態の対象ビット列の構成を例示するための概念図である。図５Ｂおよび図５Ｃは実施形態の検査ビット列の構成を例示するための概念図である。 図６は第２実施形態の処理を例示するためのフロー図である。 図７Ａおよび図７Ｂは実施形態の大小比較ビット列の構成を例示するための概念図である。 図８は第２実施形態の変形例１の処理を例示するためのフロー図である。 図９は第３実施形態の処理を例示するためのフロー図である。 図１０は第３実施形態の変形例１の処理を例示するためのフロー図である。
　以下、本発明の実施形態を説明する。
　［概要］
　まず、概要を説明する。各実施形態の秘密計算装置は、「第１対象ビット列」が表す値の秘密分散値を用い、「第１対象ビット列」の最上位ビットの値を最上位ビットよりも下位の「第１検査ビット」の値とした「第１検査ビット列」が表す値の秘密分散値を得る。ただし、「第１対象ビット列」は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する。なお、「第１検査ビット列」は、例えば「第１対象ビット列」のローテーションによって得られる。ローテーションは剰余環上の乗算で実現できる。秘密計算での剰余環上の乗算方法に限定はなく、公知の方法で実現できる（例えば、参考文献１「千田浩司,濱田浩気，五十嵐大，高橋克巳，“軽量検証可能３パーティ秘匿関数計算の再考”，ＣＳＳ２０１０，２０１０年」等参照）。ただし、これは一例であって、「第１対象ビット列」の最上位ビットの値を「第１検査ビット」の値とできるのであれば、その他の方法が用いられてもよい。次に秘密計算装置は、「第１検査ビット列」が表す値の秘密分散値を用い、「第１検査ビット列」の最下位ビットから「第１検査ビット」までのビット値の秘密分散値を得る。ここで、「第１対象ビット列」が空値に対応する場合には「第１検査ビット」の値は「１」となり、「第１対象ビット列」が実数値に対応する場合には「第１検査ビット」の値は「０」となる。そのため、「第１検査ビット」の値の秘密分散値は、空値検査結果を表す値の秘密分散値となる。また、「第１検査ビット列」の最下位ビットから「第１検査ビット」までのビット値の秘密分散値のみを求めればよいため、すべてのビットの秘密分散値を求めて空値検査結果を表す値の秘密分散値を得る場合に比べ、通信量および／または通信段数を削減できる。また「第１検査ビット」が最下位ビットに近いほど秘密計算の対象となるビット数を小さくでき、通信量および／または通信段数をより削減できる。そのため、「第１検査ビット」が最下位ビットであることがより望ましい。なお、「第１検査ビット列」の最下位ビットから「第１検査ビット」までのビット値の秘密分散値を得るための公知の方法としては、例えば参考文献２「五十嵐大，濱田浩気，菊池亮，千田浩司，“少パーティの秘密分散ベース秘密計算のためのＯ（ｌ）ビット通信ビット分解およびＯ（ｐ’）ビット通信ｍｏｄｕｌｕｓ変換法”，ＣＳＳ２０１３，２０１３年」の「商転移を用いたビット分解」がある。この方法では、最下位ビットから所望のビットまでの各ビット値の秘密分散値を効率的に得ることができる。なお、最下位ビットから所望のビットまでの各ビット値の秘密分散値のみを効率的に得る方法は知られているが、最上位ビットから所望のビットまでの各ビット値の秘密分散値のみを効率的に得る方法や、最上位ビットと最下位ビットとの間に位置するビット値の秘密分散値のみを効率的に得る方法は知られていない。本形態の方式は、このことに着目して秘密計算での空値検査の効率を向上するものである。
　上述の構成はメルセンヌ数Ｐ＝２Ｎ－１を法とした剰余環上で実現できる。例えば、各秘密計算装置に入力値Ｗの秘密分散値［Ｗ］が入力されるとする。ただし、Ｎは２以上の整数であり、Ｐはメルセンヌ数Ｐ＝２Ｎ－１であり、Ｎの値によってはメルセンヌ素数となる。空値に対応する値ＷがＷ＝（Ｐ＋１）／２ ｍｏｄ Ｐであり、０以上の整数Ｘに対応する値ＷがＷ＝Ｘ ｍｏｄ Ｐであり、負の整数Ｘに対応する値ＷがＷ＝（Ｐ＋Ｘ） ｍｏｄ Ｐである。Ｌは０≦Ｌ≦Ｎ－ｕ’の整数であり、Ｘは－２Ｌ≦Ｘ≦２Ｎ－１－２Ｌ－１の整数である。ただし、ｕ’は秘密分散方式に応じた２以上Ｎ以下の正の整数である。例えば、2-out-of-3のShamirの秘密分散方式の場合、ｕ’＝２となる。この場合、０以上の整数Ｘは小さな入力値Ｗに対応し、負の整数Ｘは大きな入力値Ｗに対応し、「Ｘが空値であること」はそれらの間の入力値Ｗに対応する。各秘密計算装置は、入力値Ｗの秘密分散値［Ｗ］を用い、Ｙ＝（Ｗ＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ］を得る。この演算は秘密計算での剰余環上の加算である。秘密計算での剰余環上の加算方法に限定はなく、公知の方法で実現できる（例えば「参考文献１」等参照）。Ｙは空値に対してＹ＝｛２Ｌ＋（Ｐ＋１）／２｝ ｍｏｄ Ｐとなり、０以上の整数Ｘに対してＹ＝（２Ｌ＋Ｘ） ｍｏｄ Ｐとなり、負の整数Ｘに対してＹ＝（Ｐ＋２Ｌ＋Ｘ） ｍｏｄ Ｐとなる。ここでメルセンヌ数Ｐ＝２Ｎ－１の性質から、空値に対応するＹを表すＮビットのビット列の最上位ビットは１となり、実数値Ｘ（０以上の整数Ｘまたは負の整数Ｘ）に対応するＹを表すＮビットのビット列の最上位ビットは０となる。－２Ｌ≦Ｘ≦２Ｎ－１－２Ｌ－１の条件を満たす限り、異なる実数値Ｘが同じＹに対応することはない。このようなＹを表すＮビットのビット列を「第１対象ビット列」とすることができる。この場合、「第１検査ビット列」が表す値をＶ＝２Ｔ×Ｙ ｍｏｄ Ｐとでき、下位からＴビット目のビットを「第１検査ビット」とできる。ただし、Ｔは１≦Ｔ＜Ｎの整数である。好ましくはＴ＝１であり、この場合には「第１検査ビット」が最下位ビットとなる（「第１対象ビット列」および「第１検査ビット列」のフォーマットの具体例）。
　上述した秘密計算での空値検査に加え、秘密計算で大小比較が行われてもよい。この場合、各秘密計算装置は、「比較結果値」の秘密分散値を得、「比較結果値」を表すビット列の下位からＫビット目の値の秘密分散値を得る。ただし、「比較結果値」は、「第１対象ビット列」が表す値から「第２対象ビット列」が表す値を減じた値に２Ｋ－１を加算した値を表す。「第２対象ビット列」は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応するビット列である。また、Ｋが２以上の整数であり、最上位ビットが０の第１対象ビット列が表す値および最上位ビットが０の第２対象ビット列が表す値の大きさは０以上２Ｋ－１未満である。なお、秘密計算での加減算およびビット値の抽出は公知の方法で実現できる（例えば「参考文献１，２」等参照）。ここで、「第１対象ビット列」が表す値が「第２対象ビット列」が表す値以上である場合、「比較結果値」を表すビット列の下位からＫビット目の値は「１」となる。一方、「第１対象ビット列」が表す値が「第２対象ビット列」が表す値未満である場合、「比較結果値」を表すビット列の下位からＫビット目の値は「０」となる。すなわち、「比較結果値」を表す下位からＫビット目の値は、「第１対象ビット列」が表す値と「第２対象ビット列」が表す値との大小比較結果を表す。
　「第２対象ビット列」に対して秘密計算での空値検査が行われてもよい。すなわち、各秘密計算装置が、「第２対象ビット列」が表す値の秘密分散値を用い、「第２対象ビット列」の最上位ビットの値を最上位ビットよりも下位の「第２検査ビット」の値とした「第２検査ビット列」が表す値の秘密分散値を得、「第２検査ビット列」が表す値の秘密分散値を用い、「第２検査ビット」の値の秘密分散値を得てもよい。「第２対象ビット列」および「第２検査ビット列」のフォーマットの具体例は、前述の「第１対象ビット列」および「第１検査ビット列」のフォーマットの具体例と同じである。
　上述した秘密計算での空値検査に加え、秘密計算でのソートが行われてもよい。この場合、各秘密計算装置は、「対象ビット列Ａ（ｄ）」が表す値の秘密分散値を用い、「対象ビット列Ａ（ｄ）」の最上位ビットの値を最上位ビットよりも下位の「検査ビット」の値ｒ（ｄ）とした「検査ビット列Ｃ（ｄ）」が表す値の秘密分散値を得る。ただし、ｄ＝０，…，Ｄ－１であり、Ｄが２以上の整数である。「対象ビット列Ａ（ｄ）」は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する。各秘密計算装置は、「検査ビット列Ｃ（ｄ）」が表す値の秘密分散値を用い、「検査ビット列Ｃ（ｄ）」の最下位ビットから「対象ビット列Ａ（ｄ）」までのビット値の秘密分散値を得る。さらに、各秘密計算装置は、「対象ビット列Ａ（ｄ）」が表す値の大きさに応じたソート結果の秘密分散値を得る。ただし、最上位ビットが０の「対象ビット列Ａ（ｄ）」が表す値は、「対象ビット列Ａ（ｄ）」が表す値が大きいほど大きな実数値に対応する。各秘密計算装置は、「検査ビット列Ｃ（ｄ）」が表す値の大きさに応じたソート結果の秘密分散値を得てもよい。ただし、最上位ビットが０の「対象ビット列Ａ（ｄ）」に対応する「検査ビット列Ｃ（ｄ）」が表す値は、「検査ビット列Ｃ（ｄ）」が表す値が大きいほど大きな実数値に対応する。さらに、この秘密計算でのソート結果を用い、最大値、最小値、および中央値の少なくとも何れかの秘密分散値を得てもよい。なお、秘密計算でのソート方法には限定はなく、公知の方法でよい（例えば、参考文献３「五十嵐大，濱田浩気，菊池亮，千田浩司，“インターネット環境レスポンス１秒の統計処理を目指した，秘密計算基数ソートの改良”，ＳＣＩＳ２０１４，２０１４年」、参考文献４「濱田浩気，五十嵐大，千田浩司，高橋克巳，“秘匿関数計算上の線形時間ソート”，ＣＳＳ２０１１，２０１１年」等参照）。
　［第１実施形態］
　以降、図面を参照しつつ、各実施形態を説明する。
　＜構成＞
　図１に例示するように、第１実施形態の秘密計算システム１は、分散装置１１およびＭ個の秘密計算装置１２０－１２Ｍ－１を有し、これらはインターネット等のネットワーク経由で通信可能に構成される。ただし、Ｍは２以上の整数である。説明の便宜上、秘密計算システム１が１個の分散装置１１のみを有することにするが、複数個の分散装置１１が存在してもよい。あるいは、その他の秘密計算装置が存在してもよい。
　図２に例示するように、本形態の秘密計算装置１２ｍ（ただし、ｍ＝０，…，Ｍ－１）は、通信部１２１ｍ、記憶部１２２ｍ、制御部１２３ｍ、入力演算部１２４ｍ、検査ビット列取得部１２５ｍ、および空値検査部１２６ｍを有する。秘密計算装置１２ｍは、制御部１２３ｍの制御の下で各処理を実行する。各部で得られたデータは、一時メモリ（図示せず）に格納され、必要に応じて読み出されて使用される。
　各装置は、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。
　＜処理＞
　次に、図３を参照して本形態の処理を説明する。分散装置１１が入力値Ｗの秘密分散値［Ｗ］ｍを生成して秘密計算装置１２ｍ（ただし、ｍ＝０，…，Ｍ－１）に送信する。本形態の入力値Ｗのフォーマットは以下の通りである（図４参照）。
（１）空値に対応する値がＷ＝（Ｐ＋１）／２ ｍｏｄ Ｐである。
（２）０以上の整数であるＸに対応する値がＷ＝Ｘ ｍｏｄ Ｐである。
（３）負の整数であるＸに対応する値がＷ＝（Ｐ＋Ｘ） ｍｏｄ Ｐである。
　ただし、Ｎが２以上の整数であり、Ｐがメルセンヌ数Ｐ＝２Ｎ－１（Ｐは１０進数で表された整数）であり、Ｌが０≦Ｌ≦Ｎ－ｕ’の整数であり、Ｘが－２Ｌ≦Ｘ≦２Ｎ－１－２Ｌ－１の整数（Ｘは１０進数で表された整数）である。Ｐは素数（メルセンヌ素数）であってもよいし、素数でなくてもよい。ｕ’は秘密分散方式に応じた２以上Ｎ以下の正の整数である。入力値ＷをＮ桁２進数で表したビット列を入力ビット列と呼ぶ。Ｎ＝７、ｕ’＝２、およびＬ＝５の場合、入力ビット列は以下のようになる。
Figure JPOXMLDOC01-appb-T000001
 なお、秘密分散方式に限定はなく、Ｓｈａｍｉｒの秘密分散方式等の線形秘密分散方式、複製秘密分散方式、その他どのような方式（例えば、「参考文献２」等参照）であってもよい。秘密分散値［Ｗ］ｍは、秘密計算装置１２ｍ（図２）の通信部１２１ｍで受信され、入力演算部１２４ｍに送られる（ステップＳ１１ｍ）。
　入力演算部１２４ｍは、秘密計算により、入力値Ｗの秘密分散値［Ｗ］ｍを用い、Ｙ＝（Ｗ＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ］ｍを得て出力する。空値に対応するＹは｛２Ｌ＋（Ｐ＋１）／２｝ ｍｏｄ Ｐであり、０以上の整数であるＸに対応するＹは（２Ｌ＋Ｘ） ｍｏｄ Ｐであり、負の整数であるＸに対応するＹは（Ｐ＋２Ｌ＋Ｘ） ｍｏｄ Ｐである（図４）。ＹをＮ桁２進数で表したビット列を対象ビット列と呼ぶ。Ｙが空値に対応する場合、対象ビット列１１００の最上位ビット１１０１はａＮ－１＝１となる（図５Ａ）。Ｙが実数値Ｘ（－２Ｌ≦Ｘ≦２Ｎ－１－２Ｌ－１の整数）に対応する場合、対象ビット列１１００の最上位ビット１１０１はａＮ－１＝０となる。この特徴はＰがメルセンヌ数であることに基づく。例えば、Ｎ＝７およびＬ＝５の場合、対象ビット列１１００は以下のようになる（ステップＳ１２ｍ）。
Figure JPOXMLDOC01-appb-T000002
　検査ビット列取得部１２５ｍは、Ｙの秘密分散値［Ｙ］ｍを入力とし、秘密計算により、Ｖ＝２Ｔ×Ｙ ｍｏｄ Ｐの秘密分散値［Ｖ］ｍを得て出力する。ただし、Ｔは１≦Ｔ＜Ｎの整数である。ＶをＮ桁２進数で表したビット列を検査ビット列と呼ぶ。検査ビット列は、対象ビット列１１００をＴビット左ローテーションしたビット列である。対象ビット列１１００の最上位ビット１１０１の値ａＮ－１は、検査ビット列の最上位ビットよりも下位のビット（検査ビット）の値となる。図５ＢはＴ＝１の例であり、検査ビット列１２００の最下位ビット（最下位から１ビット目）が検査ビット１２０１となる。図５ＣはＴ＝２の例であり、検査ビット列１２００の最下位から２ビット目が検査ビット１２１１となる。例えば、Ｎ＝７およびＬ＝５の場合、検査ビットは以下のようになる。
Figure JPOXMLDOC01-appb-T000003
 このように、検査ビット列１２００の最下位からＴビット目の値が「Ｘが空値であるか否か」を表している。「最下位からＴビット目」とは、最下位から数えてＴ番目のビットを意味する。例えば、「最下位から１ビット目」は最下位ビットを意味し、「最下位から２ビット目」は最下位ビットよりも一ケタ上位のビットを意味する（ステップＳ１３ｍ）。
　空値検査部１２６ｍは、Ｖの秘密分散値［Ｖ］ｍを入力とし、検査ビット列１２００の最下位ビットから検査ビットまでの各ビット値の秘密分散値［ｒ］ｍを得て出力する。例えば、Ｔ＝１の場合、空値検査部１２６ｍは、最下位ビットである検査ビットの値の秘密分散値［ｒ］ｍを得て出力する（ステップＳ１４ｍおよびＳ１５ｍ）。
　《参考文献２のビット分解を用いる例》
　参考文献２のビット分解を用いる例を示す。この例では、複製秘密分散方式に則った秘密分散値［Ｖ］ｍを用いる。ただし、任意の線形秘密分散方式に則った秘密分散値を、複製秘密分散方式の秘密分散値に変換することが可能である（例えば、参考文献５「R. Cramer, I. Damg_ard, and Y. Ishai, “Share conversion, pseudorandom secret-sharing and applications to secure computation,” In J. Kilian ed., TCC, Vol. 3378 of Lecture Notes in Computer Science, pp. 342-362. Springer, 2005.」等参照）。そのため、複製秘密分散方式への限定は利用上の制限とはならない。
　この例では、Ｖの線形秘密分散値を［Ｖ］と表記し、Ｖの複製秘密分散値を｛Ｖ｝と表記する。Ｖのサブシェアの個数をνとし、自然数である境界値ｕをｌｏｇ ν以上の最小の整数とする。νはν≦２ｕを満たす整数である。Ｖが２ｕを法として０と合同となり、ＶがＰを法としてサブシェアｘ０，…，ｘν-１の和ｘ０＋…＋ｘν-１と合同であるとする。この例のＰはメルセンヌ素数であるが、Ｐがその他のメルセンヌ数であってもよい。この例では２ｕＶ＜Ｐとする。ｉをｉ＝０，１,…,ν－１を満たす整数とし、ｊをｊ＝０，１,…,ν－１を満たす整数とする。任意の命題ＰＲＯに対して、〔ＰＲＯ〕は、ＰＲＯの真偽を整数に変換する演算子である。
　この例の空値検査部１２６ｍの公開値倍秘密計算部は、複製秘密分散値｛Ｖ｝ＺＰを取得して、公開値倍の秘密計算により変形秘密分散値｛Ｖ’｝ＺＰ＝２ｕ×ＺＰ｛Ｖ｝ＺＰを計算する。ただし、｛・｝ＺＰはＺＰの元である複製秘密分散値を表し、「×ＺＰ」はＺＰ上での乗算を表す。空値検査部１２６ｍの下位ビット分散部は、ｉ＜νを満たすすべてのｉについて、変形秘密分散値｛Ｖ’｝ＺＰのｊ番目のサブシェア｛Ｖ’｝ＺＰ〈ｊ〉の最下位ビットからｕビット（最下位ビットから、最下位から数えてｕ番目のビットまでのｕビット）をビットごとに分散して下位ビット分散値
Figure JPOXMLDOC01-appb-M000004
 を取得する。ただし、[・]αはαの元である線形秘密分散値を表す。空値検査部１２６ｍの上位ビット分散部は、ｉ＜νを満たすすべてのｉについて、変形秘密分散値のｊ番目のサブシェア｛Ｖ’｝ＺＰ〈ｊ〉のｕビット目からＴビットをビットごとに分散して上位ビット分散値
Figure JPOXMLDOC01-appb-M000005
 を取得する。空値検査部１２６ｍの下位ビット加算部は、加算回路の秘密計算により下位ビット加算値
Figure JPOXMLDOC01-appb-M000006
 を計算する。この下位ビット加算値のうち下位ｕビットを
Figure JPOXMLDOC01-appb-M000007
 上位ｕビットを
Figure JPOXMLDOC01-appb-M000008
 と表す。空値検査部１２６ｍの零判定部は、下位ビット加算値の下位ｕビットを取得して、零判定回路の秘密計算により、零判定値［〔ηｕ≠０〕］Ｚ２を計算する。空値検査部１２６ｍの上位ビット加算部は、ｉ＜νを満たすすべてのｉについて、上位ビット加算値と、下位ビット加算値の上位ｕビットと、零判定値を取得して、加算回路の秘密計算により、ビットの秘密分散列
Figure JPOXMLDOC01-appb-M000009
 を計算して出力する。ただし
Figure JPOXMLDOC01-appb-M000010
 はＺ２ Ｔ上での総和を表し、
Figure JPOXMLDOC01-appb-M000011
 はＺ２ Ｔ上での加算を表す。式（１）の演算により、ＶをＮ桁２進数表記した場合の最下位ビットからＴビット目（すなわち、検査ビット）までの各ビット値の秘密分散値［ｒ］ｍが得られる。式（１）の演算は最下位ビットからＴビット目までのみについて実行され、その通信量および演算量は全体のビット数Ｎに依存しない。Ｔ＝１の場合、最下位ビットのみについて式（１）の演算を行えばよく、大変効率がよい。特に３パーティの秘密計算では数ビットの通信量と２ラウンドで処理可能である（ステップＳ１４ｍ）。
　秘密計算装置１２ｍは秘密分散値［ｒ］ｍを出力する（ステップＳ１５ｍ）。
　[第１実施形態の変形例１]
　第１実施形態では、秘密計算装置１２ｍが秘密分散値［ｒ］ｍを出力した。しかしながら、Ｔ≧２の場合であっても、秘密分散値［ｒ］ｍに代えて検査ビット列Ｃの各検査ビットの値の秘密分散値のみが出力されてもよい。
　[第１実施形態の変形例２]
　第１実施形態では各秘密計算装置１２ｍに入力値Ｗの秘密分散値［Ｗ］ｍが入力され、各秘密計算装置１２ｍがＹ＝（Ｗ＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ］ｍを得た。しかしながら、各秘密計算装置１２ｍに秘密分散値［Ｙ］ｍが入力され、ステップＳ１３ｍからＳ１５ｍの処理が実行されてもよい。
　[第２実施形態]
　第２実施形態では、秘密計算での空値検査に加え、秘密計算での大小比較を行う。以下では、これまでに説明した事項との相違点を中心に説明し、既に説明した事項についてはこれまでに用いた参照番号を流用して説明を簡略化する。
　＜構成＞
　図１に例示するように、第２実施形態の秘密計算システム２は、分散装置１１およびＭ個の秘密計算装置２２０－２２Ｍ－１を有し、これらはインターネット等のネットワーク経由で通信可能に構成される。図２に例示するように、本形態の秘密計算装置２２ｍ（ただし、ｍ＝０，…，Ｍ－１）は、通信部１２１ｍ、記憶部１２２ｍ、制御部１２３ｍ、入力演算部２２４ｍ、検査ビット列取得部２２５ｍ、空値検査部２２６ｍ、大小比較ビット列取得部２２７ｍ、および大小比較部２２８ｍを有する。秘密計算装置２２ｍは、制御部１２３ｍの制御の下で各処理を実行する。
　＜処理＞
　次に、図６を参照して本形態の処理を説明する。
　分散装置１１は入力値Ｗ（０）の秘密分散値［Ｗ（０）］ｍおよび入力値Ｗ（１）の秘密分散値［Ｗ（１）］ｍを生成して秘密計算装置２２ｍ（ただし、ｍ＝０，…，Ｍ－１）に送信する。入力値Ｗ（０）は空値または実数値Ｘ（０）に対応し、入力値Ｗ（１）は空値または実数値Ｘ（１）に対応する。入力値Ｗ（０），Ｗ（１）のフォーマットは前述した入力値Ｗのフォーマットと同じである。秘密分散値［Ｗ（０）］ｍ，［Ｗ（１）］ｍは、秘密計算装置２２ｍ（図２）の通信部１２１ｍで受信され、入力演算部１２４ｍに送られる（ステップＳ２１ｍ）。
　入力演算部２２４ｍは、秘密計算により、入力値Ｗ（０）の秘密分散値［Ｗ（０）］ｍを用いてＹ（０）＝（Ｗ（０）＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ（０）］ｍを得て出力する。また、入力演算部２２４ｍは、秘密計算により、入力値Ｗ（１）の秘密分散値［Ｗ（１）］ｍを用い、Ｙ（１）＝（Ｗ（１）＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ（１）］ｍを得て出力する。Ｙ（０）は「対象ビット列Ａ（０）が表す値」に相当し、Ｙ（１）は「対象ビット列Ａ（１）が表す値」に相当する。対象ビット列Ａ（０）およびＡ（１）は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応するビット列である（ステップＳ２２ｍ）。
　検査ビット列取得部２２５ｍは、秘密分散値［Ｙ（０）］ｍおよび［Ｙ（１）］ｍを入力とし、秘密計算により、Ｖ（０）＝２Ｔ×Ｙ（０） ｍｏｄ Ｐの秘密分散値［Ｖ（０）］ｍおよびＶ（１）＝２Ｔ×Ｙ（１） ｍｏｄ Ｐの秘密分散値［Ｖ（１）］ｍを得て出力する。Ｖ（０）は「検査ビット列Ｃ（０）が表す値」に相当し、Ｖ（１）は「検査ビット列Ｃ（１）が表す値」に相当する（ステップＳ２３ｍ）。
　空値検査部２２６ｍは、秘密分散値［Ｖ（０）］ｍを入力とし、検査ビット列Ｃ（０）の最下位ビットから検査ビットまでの各ビット値の秘密分散値［ｒ（０）］ｍを得て出力する。また空値検査部２２６ｍは、秘密分散値［Ｖ（１）］ｍを入力とし、検査ビット列Ｃ（１）の最下位ビットから検査ビットまでの各ビット値の秘密分散値［ｒ（１）］ｍを得て出力する。例えば、Ｔ＝１の場合、空値検査部２２６ｍは、最下位ビットである検査ビットの値の秘密分散値［ｒ（０）］ｍおよび［ｒ（１）］ｍを得て出力する（ステップＳ２４ｍ）。
　大小比較ビット列取得部２２７ｍは、秘密分散値［Ｙ（０）］ｍおよび［Ｙ（１）］ｍを入力とし、秘密計算により、比較結果値（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐ（対象ビット列Ａ（０）が表す値から対象ビット列Ａ（１）が表す値を減じた値に２Ｋ－１を加算した値）の秘密分散値［（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐ］ｍを得て出力する。ただし、Ｋは２以上の整数であり、最上位ビットが０の対象ビット列Ａ（０）が表す値Ｙ（０）および最上位ビットが０の対象ビット列Ａ（１）が表す値Ｙ（１）の大きさは０以上２Ｋ－１未満である。ここで、比較結果値（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ ＰのＮ桁２進数表現であるビット列を大小比較ビット列と呼ぶ。図７ＡはＮ＝Ｋの場合の大小比較ビット列２２１０を例示した概念図であり、最上位ビットが検査ビット２２１１となっている。図７ＢはＮ＞Ｋの場合の大小比較ビット列２２２０を例示した概念図であり、最上位ビットよりも下位のビットが検査ビット２２２１となっている。
　２Ｋ－１ ｍｏｄ ＰのＮ桁２進数表現値の下位からＫビット目の値は１である。ここでＹ（０）－Ｙ（１）の大きさは０以上２Ｋ－１未満であるため、Ｘ（０）≧Ｘ（１）である場合、（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ ＰのＮ桁２進数表現値は２Ｋ－１ ｍｏｄ ＰのＮ桁２進数表現値以上となり、下位からＫビット目の値は必ず１となる。一方、Ｘ（０）＜Ｘ（１）である場合、（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ ＰのＮ桁２進数表現値は２Ｋ－１ ｍｏｄ ＰのＮ桁２進数表現値未満となり、下位からＫビット目の値は必ず０となる。そのため、Ｘ（０）≧Ｘ（１）である場合、大小比較ビット列の下位からＫビット目の値は１となり、Ｘ（０）＜Ｘ（１）である場合、大小比較ビット列の下位からＫビット目の値は０となる。Ｎ＝Ｋ＝７およびＬ＝５の場合の具体例を示す。例えば、Ｘ（０）＝０，Ｘ（１）＝－１の場合、Ｙ（０）＝３２，Ｙ（１）＝３１であり、大小比較ビット列が１０００００１となり、下位から７ビット目の値が１となる。例えば、Ｘ（０）＝－１０，Ｘ（１）＝－５の場合、Ｙ（０）＝２２，Ｙ（１）＝２７であり、大小比較ビット列が０１１１０１１となり、下位から７ビット目の値が０となる（ステップＳ２５ｍ）。
　大小比較部２２８ｍは、秘密分散値［（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐ］ｍを入力とし、秘密計算により、比較結果値（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐを表す大小比較ビット列の下位からＫビット目の値ｑの秘密分散値［ｑ］ｍを得て出力する。この処理は、例えば参考文献２のビット分解を用いて実行できる。ただし、その他のビット分解方法が用いられてもよい（例えば、参考文献６「I. Damgard, M. Fitzi, E. Kiltz, J. B. Nielsen, and T. Toft, “Unconditionally secure constant-rounds multi-party computation for equality, comparison, bits and exponentiation,” In S. Halevi and T. Rabin eds., TCC, Vol. 3876 of Lecture Notes in Computer Science, pp. 285-304. Springer, 2006.」等参照）（ステップＳ２６ｍ）。
　秘密計算装置２２ｍは、秘密分散値［ｒ（０）］ｍ，［ｒ（１）］ｍ，［ｑ］ｍを出力する（ステップＳ２７ｍ）。
　［第２実施形態の変形例１］
　第２実施形態では、（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐを比較結果値（対象ビット列Ａ（０）が表す値から対象ビット列Ａ（１）が表す値を減じた値に２Ｋ－１を加算した値）とした。しかしながら、Ｙ（０）＝（Ｗ（０）＋２Ｌ） ｍｏｄ ＰおよびＹ（１）＝（Ｗ（１）＋２Ｌ） ｍｏｄ Ｐであり、（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐ＝（Ｗ（０）－Ｗ（１）＋２Ｋ－１） ｍｏｄ Ｐである。そのため、（Ｗ（０）－Ｗ（１）＋２Ｋ－１） ｍｏｄ Ｐを比較結果値（対象ビット列Ａ（０）が表す値から対象ビット列Ａ（１）が表す値を減じた値に２Ｋ－１を加算した値）としてもよい。この場合には、図８に例示するように、第２実施形態のステップＳ２１ｍ－Ｓ２４ｍの実行後、大小比較ビット列取得部２２７ｍが秘密分散値［Ｗ（０）］ｍおよび［Ｗ（１）］ｍを入力とし、秘密計算により、比較結果値（Ｗ（０）－Ｗ（１）＋２Ｋ－１） ｍｏｄ Ｐの秘密分散値［（Ｗ（０）－Ｗ（１）＋２Ｋ－１） ｍｏｄ Ｐ］ｍを得て出力する（ステップＳ２５’ｍ）。その後、秘密分散値［（Ｙ（０）－Ｙ（１）＋２Ｋ－１） ｍｏｄ Ｐ］ｍに代えて秘密分散値［（Ｗ（０）－Ｗ（１）＋２Ｋ－１） ｍｏｄ Ｐ］ｍを用い、第２実施形態のステップＳ２６ｍ－Ｓ２７ｍを実行する。
　［第２実施形態の変形例２］
　第２実施形態およびその変形例１では、秘密計算装置２２ｍが秘密分散値［ｒ（０）］ｍ，［ｒ（１）］ｍ，秘密分散値［ｑ］ｍを出力した。しかしながら、Ｔ≧２の場合であっても、［ｒ（０）］ｍ，［ｒ（１）］ｍに代えて検査ビット列Ｃ（０），Ｃ（１）の各検査ビットの値の秘密分散値のみが出力されてもよい。また、秘密計算装置２２ｍが、各検査ビットの値がともに０の場合に秘密分散値［ｑ］ｍとなり、何れかの検査ビットの値が１の場合にエラーを表す秘密分散値となる値を生成して出力してもよい。
　［第２実施形態の変形例３］
　各秘密計算装置２２ｍに秘密分散値［Ｙ（０）］ｍおよび［Ｙ（１）］ｍが入力され、ステップＳ２３ｍからＳ２７ｍの処理が実行されてもよい。
　[第３実施形態]
　第３実施形態では、秘密計算での空値検査に加え、秘密計算でのソートを行う。
　＜構成＞
　図１に例示するように、第３実施形態の秘密計算システム３は、分散装置１１およびＭ個の秘密計算装置３２０－３２Ｍ－１を有し、これらはインターネット等のネットワーク経由で通信可能に構成される。図２に例示するように、本形態の秘密計算装置３２ｍ（ただし、ｍ＝０，…，Ｍ－１）は、通信部１２１ｍ、記憶部１２２ｍ、制御部１２３ｍ、入力演算部２２４ｍ、検査ビット列取得部２２５ｍ、空値検査部２２６ｍ、ソート部３２７ｍ、およびソート結果利用演算部３２８ｍを有する。秘密計算装置３２ｍは、制御部１２３ｍの制御の下で各処理を実行する。
　＜処理＞
　次に、図９を参照して本形態の処理を説明する。
　分散装置１１は入力値Ｗ（ｄ）の秘密分散値［Ｗ（ｄ）］ｍを生成して秘密計算装置２２ｍ（ただし、ｍ＝０，…，Ｍ－１、ｄ＝０，…，Ｄ－１であり、Ｄが２以上の整数である）に送信する。入力値Ｗ（ｄ）は空値または実数値Ｘ（ｄ）に対応する。入力値Ｗ（ｄ）のフォーマットは前述した入力値Ｗのフォーマットと同じである。秘密分散値［Ｗ（ｄ）］ｍｍは、秘密計算装置３２ｍ（図２）の通信部１２１ｍで受信され、入力演算部１２４ｍに送られる（ステップＳ３１ｍ）。
　入力演算部３２４ｍは、秘密計算により、入力値Ｗ（ｄ）の秘密分散値［Ｗ（ｄ）］ｍを用いてＹ（ｄ）＝（Ｗ（ｄ）＋２Ｌ） ｍｏｄ Ｐの秘密分散値［Ｙ（ｄ）］ｍを得て出力する。Ｙ（ｄ）は「対象ビット列Ａ（ｄ）が表す値」に相当する。対象ビット列Ａ（ｄ）は、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応するビット列である（ステップＳ３２ｍ）。
　検査ビット列取得部３２５ｍは、秘密分散値［Ｙ（ｄ）］ｍを入力とし、秘密計算により、Ｖ（ｄ）＝２Ｔ×Ｙ（ｄ） ｍｏｄ Ｐの秘密分散値［Ｖ（ｄ）］ｍを得て出力する。Ｖ（ｄ）は「検査ビット列Ｃ（ｄ）が表す値」に相当する（ステップＳ３３ｍ）。
　空値検査部３２６ｍは、秘密分散値［Ｖ（ｄ）］ｍを入力とし、検査ビット列Ｃ（ｄ）の最下位ビットから検査ビットまでの各ビット値の秘密分散値［ｒ（ｄ）］ｍを得て出力する。例えば、Ｔ＝１の場合、空値検査部３２６ｍは、最下位ビットである検査ビットの値の秘密分散値［ｒ（ｄ）］ｍを得て出力する（ステップＳ３４ｍ）。
　ソート部３２７ｍは、対象ビット列Ａ（ｄ）（ただし、ｄ＝０，…，Ｄ－１）が表すＹ（ｄ）の秘密分散値［Ｙ（ｄ）］を入力とし、秘密計算により、Ｙ（ｄ）の大きさに応じたソートを行い、そのソート結果の秘密分散値［θ］ｍを得て出力する。Ｙ（ｄ）はＹ（ｄ）が大きいほど大きな実数値Ｘ（ｄ）に対応している。なお、秘密計算によるソート方法に限定はなく、公知の方法によって実行すればよい。例えば、ソート部３２７ｍは、参考文献２のビット分解により、対象ビット列Ａ（ｄ）の各ビット値の秘密分散値からなるベクトル［ＢｉｔＡ（ｄ）］の列を得、ベクトル［ＢｉｔＡ（ｄ）］の列を参考文献３，４等の方法でソートし、その結果の秘密分散値［θ］ｍを出力する。秘密分散値［θ］ｍは、例えばソートされた［ＢｉｔＡ（ｄ）］の列である（ステップＳ３５ｍ）。
　ソート結果利用演算部３２８ｍは、ソート結果の秘密分散値［θ］ｍを得、最大値、最小値、中央値の少なくとも何れの秘密分散値［Φ］ｍを得て出力する。最大値の秘密分散値を得る場合、ソート結果利用演算部３２８ｍは、例えばソートされた［ＢｉｔＡ（ｄ）］の列のうち最後の要素を選択して出力する。最小値の秘密分散値を得る場合、ソート結果利用演算部３２８ｍは、例えばソートされた［ＢｉｔＡ（ｄ）］の列のうち最初の要素を選択して出力する。中央値の秘密分散値を得る場合には、例えば次のような処理を行う。Ｄが奇数のとき、ソート結果利用演算部３２８ｍは、ソートされた［ＢｉｔＡ（ｄ）］の列の中央の列の各要素の２倍値を要素とする列の秘密分散値を出力する。Ｄが偶数のとき、ソート結果利用演算部３２８ｍは、ソートされた［ＢｉｔＡ（ｄ）］の列の中央に最も近い２列を加算した列の秘密分散値を出力する（ステップＳ３６ｍ）。
　秘密計算装置３２ｍは、秘密分散値［ｒ（ｄ）］ｍ（ただし、ｄ＝０，…，Ｄ－１）および［Φ］ｍを出力する（ステップＳ３７ｍ）。
　[第３実施形態の変形例１]
　第３実施形態では、ソート部３２７ｍが、対象ビット列Ａ（ｄ）（ただし、ｄ＝０，…，Ｄ－１）が表すＹ（ｄ）の秘密分散値［Ｙ（ｄ）］を入力とし、秘密計算により、Ｙ（ｄ）の大きさに応じたソートを行い、そのソート結果の秘密分散値［θ］ｍを得て出力した（ステップＳ３５ｍ）。これに代え、図１０に示すように、ソート部３２７ｍが、秘密分散値［Ｖ（ｄ）］ｍを入力とし、秘密計算により、検査ビット列Ｃ（ｄ）が表す値Ｖ（ｄ）の大きさに応じたソートを行い、そのソート結果の秘密分散値［θ］ｍを得て出力してもよい（ステップＳ３５’ｍ）。
　［第３実施形態の変形例２］
　第３実施形態およびその変形例１では、秘密計算装置３２ｍが、秘密分散値［ｒ（ｄ）］ｍ（ただし、ｄ＝０，…，Ｄ－１）および［Φ］ｍを出力した。しかしながら、Ｔ≧２の場合であっても、［ｒ（ｄ）］ｍ（ただし、ｄ＝０，…，Ｄ－１）に代えて、検査ビット列Ｃ（ｄ）の各検査ビットの値の秘密分散値のみが出力されてもよい。［Φ］ｍに代えて［θ］ｍが出力されてもよい。また、秘密計算装置３２ｍが、各検査ビットの値がすべて０の場合に秘密分散値［Φ］ｍまたは［θ］ｍとなり、何れかの検査ビットの値が１の場合にエラーを表す秘密分散値となる値を生成して出力してもよい。
　［第３実施形態の変形例３］
　各秘密計算装置３２ｍに秘密分散値［Ｙ（ｄ）］ｍが入力され、ステップＳ３３ｍからＳ３７ｍの処理が実行されてもよい。
　［第４実施形態］
　第１から第３実施形態を組み合わせた形態であってもよいし、それらの少なくとも一部が前述の変形例に置き換えられた形態であってもよい。図１に例示するように、このような形態の計算システム４は、分散装置１１およびＭ個の秘密計算装置４２０－４２Ｍ－１を有し、これらはインターネット等のネットワーク経由で通信可能に構成される。秘密計算装置４２ｍ（ただし、ｍ＝０，…，Ｍ－１）は、通信部１２１ｍ、記憶部１２２ｍ、制御部１２３ｍ、入力演算部１２４ｍ、検査ビット列取得部１２５ｍ、空値検査部１２６ｍ、大小比較ビット列取得部２２７ｍ、大小比較部２２８ｍ、ソート部３２７ｍ、およびソート結果利用演算部３２８ｍを有する。秘密計算装置４２ｍは、制御部１２３ｍの制御の下で各処理を実行する。各部の処理は第１から第３実施形態およびそれらの変形例で説明した通りである。
　［その他の変形例等］
　本発明は上述の実施の形態に限定されるものではない。例えば、秘密分散値［Ｗ］ｍがその他の秘密計算装置での秘密計算結果であってもよい。また、各装置がネットワークを通じて情報をやり取りするのではなく、少なくとも一部の組の装置が可搬型記録媒体を介して情報をやり取りしてもよい。あるいは、少なくとも一部の組の装置が非可搬型の記録媒体を介して情報をやり取りしてもよい。これらの装置の一部からなる組み合わせが、同一の装置であってもよい。
　上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
　上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
　このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。
　上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。
　上記実施形態の技術は、秘密計算による数値計算や集計処理などに利用できる。例えば、上記実施形態の技術は、匿名によるアンケート結果の集計や投票結果の集計などに適用できる。
１－４　秘密計算システム
１１　分散装置
１２ｍ－４２ｍ　秘密計算装置

Claims (9)

  1. 　最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する第１対象ビット列が表す値の秘密分散値を用い、前記第１対象ビット列の最上位ビットの値を最上位ビットよりも下位の第１検査ビットの値とした第１検査ビット列が表す値の秘密分散値を得る第１検査ビット列取得部と、
    　前記第１検査ビット列が表す値の秘密分散値を用い、前記第１検査ビット列の最下位ビットから前記第１検査ビットまでのビット値の秘密分散値を得る第１空値検査部と、
    を有する秘密計算装置。
  2. 　請求項１の秘密計算装置であって、
    　Ｎが２以上の整数であり、Ｐ＝２Ｎ－１であり、Ｌが０≦Ｌ≦Ｎ－ｕ’の整数であり、ｕ’が２以上Ｎ以下の正の整数であり、Ｘが－２Ｌ≦Ｘ≦２Ｎ－１－２Ｌ－１の整数であり、
    　前記第１対象ビット列がＮ個のビットからなる列であり、
    　空値に対応する前記第１対象ビット列が表す値は、Ｙ＝｛２Ｌ＋（Ｐ＋１）／２｝ ｍｏｄ Ｐであり、
    　０以上の整数であるＸに対応する前記第１対象ビット列が表す値は、Ｙ＝（２Ｌ＋Ｘ） ｍｏｄ Ｐであり、
    　負の整数であるＸに対応する前記第１対象ビット列が表す値は、Ｙ＝（Ｐ＋２Ｌ＋Ｘ） ｍｏｄ Ｐである、秘密計算装置。
  3. 　請求項２の秘密計算装置であって、
    　空値に対応する値がＷ＝（Ｐ＋１）／２ ｍｏｄ Ｐであり、０以上の整数であるＸに対応する値がＷ＝Ｘ ｍｏｄ Ｐであり、負の整数であるＸに対応する値がＷ＝（Ｐ＋Ｘ） ｍｏｄ Ｐである入力値Ｗの秘密分散値を用い、前記第１対象ビット列が表す値Ｙ＝（Ｗ＋２Ｌ） ｍｏｄ Ｐの秘密分散値を得る入力演算部を有する、秘密計算装置。
  4. 　請求項１から３の何れかの秘密計算装置であって、
    　第２対象ビット列が、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応するビット列であり、
    　前記第１対象ビット列が表す値から前記第２対象ビット列が表す値を減じた値に２Ｋ－１を加算した値を表す比較結果値の秘密分散値を得る大小比較ビット列取得部と、
    　前記比較結果値を表すビット列の下位からＫビット目の値の秘密分散値を得る大小比較部と、を有し、
    　Ｋが２以上の整数であり、最上位ビットが０の前記第１対象ビット列が表す値および最上位ビットが０の前記第２対象ビット列が表す値の大きさは０以上２Ｋ－１未満である、秘密計算装置。
  5. 　請求項４の秘密計算装置であって、
    　前記第２対象ビット列が表す値の秘匿値を用い、前記第２対象ビット列の最上位ビットの値を最上位ビットよりも下位の第２検査ビットの値とした第２検査ビット列が表す値の秘密分散値を得る第２検査ビット列取得部と、
    　前記第２検査ビット列が表す値の秘密分散値を用い、前記第１検査ビット列の最下位ビットから前記第２検査ビットまでのビット値の秘密分散値を得る第２空値検査部と、
    を有する、秘密計算装置。
  6. 　ｄ＝０，…，Ｄ－１であり、Ｄが２以上の整数であり、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する対象ビット列Ａ（ｄ）が表す値の秘密分散値を用い、前記対象ビット列Ａ（ｄ）の最上位ビットの値を最上位ビットよりも下位の検査ビットの値ｒ（ｄ）とした検査ビット列Ｃ（ｄ）が表す値の秘密分散値を得る検査ビット列取得部と、
    　前記検査ビット列Ｃ（ｄ）が表す値の秘密分散値を用い、前記第１検査ビット列Ｃ（ｄ）の最下位ビットから前記検査ビットまでのビット値の秘密分散値を得る空値検査部と、
    　前記対象ビット列Ａ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値、または検査ビット列Ｃ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得るソート部と、
    を有し、
    　前記ソート部で前記対象ビット列Ａ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得る場合には、最上位ビットが０の前記対象ビット列Ａ（ｄ）が表す値が、前記対象ビット列Ａ（ｄ）が表す値が大きいほど大きな実数値に対応しており、
    　前記ソート部で検査ビット列Ｃ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得る場合には、最上位ビットが０の前記対象ビット列Ａ（ｄ）に対応する前記検査ビット列Ｃ（ｄ）が表す値が、前記検査ビット列Ｃ（ｄ）が表す値が大きいほど大きな実数値に対応している、秘密計算装置。
  7. 　最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する第１対象ビット列が表す値の秘密分散値を用い、前記第１対象ビット列の最上位ビットの値を最上位ビットよりも下位の第１検査ビットの値とした第１検査ビット列が表す値の秘密分散値を得る第１検査ビット取得ステップと、
    　前記第１検査ビット列が表す値の秘密分散値を用い、前記第１検査ビット列の最下位ビットから前記第１検査ビットまでのビット値の秘密分散値を得る第１空値検査ステップと、
    を有する秘密計算方法。
  8. 　ｄ＝０，…，Ｄ－１であり、Ｄが２以上の整数であり、最上位ビットが１の場合に空値に対応し、最上位ビットが０の場合に実数値に対応する対象ビット列Ａ（ｄ）が表す値の秘密分散値を用い、前記対象ビット列Ａ（ｄ）の最上位ビットの値を最上位ビットよりも下位の検査ビットの値ｒ（ｄ）とした検査ビット列Ｃ（ｄ）が表す値の秘密分散値を得る検査ビット列取得ステップと、
    　前記検査ビット列Ｃ（ｄ）が表す値の秘密分散値を用い、前記第１検査ビット列Ｃ（ｄ）の最下位ビットから前記検査ビットまでのビット値の秘密分散値を得る空値検査ステップと、
    　前記対象ビット列Ａ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値、または検査ビット列Ｃ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得るソートステップと、
    を有し、
    　前記ソートステップで前記対象ビット列Ａ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得る場合には、最上位ビットが０の前記対象ビット列Ａ（ｄ）が表す値が、前記対象ビット列Ａ（ｄ）が表す値が大きいほど大きな実数値に対応しており、
    　前記ソートステップで検査ビット列Ｃ（ｄ）が表す値の大きさに応じたソート結果の秘密分散値を得る場合には、最上位ビットが０の前記対象ビット列Ａ（ｄ）に対応する前記検査ビット列Ｃ（ｄ）が表す値が、前記検査ビット列Ｃ（ｄ）が表す値が大きいほど大きな実数値に対応している、秘密計算方法。
  9. 　請求項１から６の何れかの秘密計算装置としてコンピュータを機能させるためのプログラム。
PCT/JP2016/067529 2015-06-24 2016-06-13 秘密計算装置、秘密計算方法、およびプログラム WO2016208437A1 (ja)

Priority Applications (3)

Application Number Priority Date Filing Date Title
CN201680033336.5A CN107735830B (zh) 2015-06-24 2016-06-13 秘密计算装置、秘密计算方法和记录介质
EP16814208.1A EP3316235B1 (en) 2015-06-24 2016-06-13 Device, method and program for secure multiparty comparison
US15/737,915 US10679522B2 (en) 2015-06-24 2016-06-13 Secure computation apparatus, secure computation method and program

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
JP2015126179A JP5957126B1 (ja) 2015-06-24 2015-06-24 秘密計算装置、秘密計算方法、およびプログラム
JP2015-126179 2015-06-24

Publications (1)

Publication Number Publication Date
WO2016208437A1 true WO2016208437A1 (ja) 2016-12-29

Family

ID=56513738

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2016/067529 WO2016208437A1 (ja) 2015-06-24 2016-06-13 秘密計算装置、秘密計算方法、およびプログラム

Country Status (5)

Country Link
US (1) US10679522B2 (ja)
EP (1) EP3316235B1 (ja)
JP (1) JP5957126B1 (ja)
CN (1) CN107735830B (ja)
WO (1) WO2016208437A1 (ja)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2020075273A1 (ja) * 2018-10-11 2020-04-16 日本電気株式会社 情報処理装置、秘密計算方法及びプログラム
AU2018349732B2 (en) * 2017-10-12 2021-01-07 Nippon Telegraph And Telephone Corporation Permutation apparatus, permutation method, and program
US11599681B2 (en) 2017-05-18 2023-03-07 Nec Corporation Bit decomposition secure computation apparatus, bit combining secure computation apparatus, method and program

Families Citing this family (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11314506B2 (en) 2017-05-18 2022-04-26 Nec Corporation Secure computation device, comparison method, comparison program recording medium, and secure computation system
TWI692743B (zh) * 2018-01-08 2020-05-01 國立高雄科技大學 以調色盤壓縮為基礎的彩色影像驗證方法與電腦程式產品
US11240012B2 (en) * 2018-04-20 2022-02-01 Nippon Telegraph And Telephone Corporation Secure aggregate order system, secure computation apparatus, secure aggregate order method, and program
EP3786928B1 (en) * 2018-04-25 2023-10-11 Nippon Telegraph And Telephone Corporation System, method, apparatus and program for secure aggregate maximum computation and for secure aggregate minimum computation
EP3786927B1 (en) * 2018-04-26 2023-06-14 Nippon Telegraph And Telephone Corporation System, apparatus, method and program for secure aggregate median computation
WO2020036125A1 (ja) * 2018-08-13 2020-02-20 日本電信電話株式会社 秘密強写像計算システム、これらの方法、秘密計算装置及びプログラム
BR112021023407A2 (pt) 2019-05-24 2022-01-04 Lummus Technology Inc Produção flexível de gasolina e combustível de aviação em reator de alquilação
US11290264B2 (en) * 2019-11-06 2022-03-29 Robert Bosch Gmbh Secure and efficient multi-server oblivious random access machine in a malicious execution environment
JP7451445B2 (ja) * 2021-02-10 2024-03-18 株式会社東芝 秘匿演算方法、秘匿演算システム及び秘匿演算管理装置
WO2023233622A1 (ja) * 2022-06-02 2023-12-07 日本電信電話株式会社 秘密計算装置、秘密計算方法、プログラム
CN114760055B (zh) * 2022-06-15 2022-09-09 山东区块链研究院 基于梅森素数的秘密分享方法、系统、存储介质及设备

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015053185A1 (ja) * 2013-10-10 2015-04-16 日本電信電話株式会社 秘密商転移装置、秘密ビット分解装置、秘密モジュラス変換装置、秘密商転移方法、秘密ビット分解方法、秘密モジュラス変換方法、プログラム
WO2015107951A1 (ja) * 2014-01-17 2015-07-23 日本電信電話株式会社 秘密計算方法、秘密計算システム、ソート装置及びプログラム

Family Cites Families (11)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2004100496A2 (en) * 2004-09-02 2004-11-18 Pisaramedia Oy Ends - messaging protocol that recovers and has backward security
JP2007189517A (ja) * 2006-01-13 2007-07-26 Nec Corp 量子暗号装置
EP1835657B1 (en) * 2006-03-16 2014-11-12 Sap Se Methods and systems for multi-party sorting of private values
JP4901311B2 (ja) * 2006-06-01 2012-03-21 株式会社東芝 データ処理装置、データ処理方法、およびデータ処理プログラム
JP5424974B2 (ja) * 2010-04-27 2014-02-26 三菱電機株式会社 暗号処理システム、鍵生成装置、暗号化装置、復号装置、署名処理システム、署名装置及び検証装置
WO2012046692A1 (ja) * 2010-10-06 2012-04-12 日本電信電話株式会社 秘密分散システム、秘密分散装置、秘密分散方法、秘密ソート方法、秘密分散プログラム
WO2012102203A1 (ja) * 2011-01-24 2012-08-02 日本電信電話株式会社 秘匿積和計算方法、秘匿積和計算システム、計算装置、及びそれらのプログラム
JP5480828B2 (ja) * 2011-01-24 2014-04-23 日本電信電話株式会社 秘密ソートシステム、秘密ソート装置、秘密ソート方法、秘密ソートプログラム
CN104412539B (zh) * 2012-07-05 2017-05-24 日本电信电话株式会社 秘密分散系统、数据分散装置、分散数据变换装置、以及秘密分散方法
WO2014112548A1 (ja) * 2013-01-17 2014-07-24 日本電信電話株式会社 秘匿計算システム、演算装置、秘匿計算方法、およびプログラム
JP6034927B1 (ja) * 2015-07-27 2016-11-30 日本電信電話株式会社 秘密計算システム、秘密計算装置、およびプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2015053185A1 (ja) * 2013-10-10 2015-04-16 日本電信電話株式会社 秘密商転移装置、秘密ビット分解装置、秘密モジュラス変換装置、秘密商転移方法、秘密ビット分解方法、秘密モジュラス変換方法、プログラム
WO2015107951A1 (ja) * 2014-01-17 2015-07-23 日本電信電話株式会社 秘密計算方法、秘密計算システム、ソート装置及びプログラム

Non-Patent Citations (2)

* Cited by examiner, † Cited by third party
Title
HIROSHI IGARASHI ET AL.: "Bits Communication Bit Decomposition and <i>O</i>(|<i>p'</i>|) Bits Communication Modulus Conversion for Small <i>k</i> Secret-Sharing-Based Secure Computation", COMPUTER SECURITY SYMPOSIUM 2013 RONBUNSHU, pages 785 - 792, XP009507903 *
RYO KATO ET AL.: "Improving Efficiency of Secure Multi-Party Computation", COMPUTER SECURITY SYMPOSIUM 2013 RONBUNSHU, pages 419 - 426, XP055505091 *

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US11599681B2 (en) 2017-05-18 2023-03-07 Nec Corporation Bit decomposition secure computation apparatus, bit combining secure computation apparatus, method and program
AU2018349732B2 (en) * 2017-10-12 2021-01-07 Nippon Telegraph And Telephone Corporation Permutation apparatus, permutation method, and program
WO2020075273A1 (ja) * 2018-10-11 2020-04-16 日本電気株式会社 情報処理装置、秘密計算方法及びプログラム
JPWO2020075273A1 (ja) * 2018-10-11 2021-09-02 日本電気株式会社 情報処理装置、秘密計算方法及びプログラム
JP7259862B2 (ja) 2018-10-11 2023-04-18 日本電気株式会社 情報処理装置、秘密計算方法及びプログラム
US11870892B2 (en) 2018-10-11 2024-01-09 Nec Corporation Information processing apparatus, secret calculation method, and program

Also Published As

Publication number Publication date
EP3316235B1 (en) 2020-04-29
JP2017009840A (ja) 2017-01-12
JP5957126B1 (ja) 2016-07-27
CN107735830A (zh) 2018-02-23
EP3316235A1 (en) 2018-05-02
CN107735830B (zh) 2020-10-20
EP3316235A4 (en) 2019-01-30
US20180158377A1 (en) 2018-06-07
US10679522B2 (en) 2020-06-09

Similar Documents

Publication Publication Date Title
WO2016208437A1 (ja) 秘密計算装置、秘密計算方法、およびプログラム
Bauer et al. Clear and compress: Computing persistent homology in chunks
US10003460B2 (en) Secret quotient transfer device, secret bit decomposition device, secret modulus conversion device, secret quotient transfer method, secret bit decomposition method, secret modulus conversion method, and programs therefor
WO2019208484A1 (ja) 秘密集約総和システム、秘密計算装置、秘密集約総和方法、およびプログラム
JP5860378B2 (ja) 秘密計算システム、集約関数装置、秘密計算方法、およびプログラム
JP5872085B1 (ja) 分散値変換システム、分散値変換装置、分散値変換方法、およびプログラム
WO2020075797A1 (ja) 秘密右シフト演算システム、秘密除算システム、それらの方法、秘密計算装置、およびプログラム
JP6605746B2 (ja) 秘密等結合システム、秘密等結合装置、秘密等結合方法、プログラム
JPWO2019087317A1 (ja) 秘密計算装置、システム、方法、プログラム
Zheng et al. Towards secure and practical machine learning via secret sharing and random permutation
EP4016506B1 (en) Softmax function secret calculation system, softmax function secret calculation device, softmax function secret calculation method, neural network secret calculation system, neural network secret learning system, and program
JP6973633B2 (ja) 秘密集約最大値システム、秘密集約最小値システム、秘密計算装置、秘密集約最大値方法、秘密集約最小値方法、およびプログラム
JP6367959B2 (ja) 部分文字列位置検出装置、部分文字列位置検出方法及びプログラム
JP5670366B2 (ja) 匿名データ提供システム、匿名データ装置、それらが実行する方法、およびプログラム
CN106796765B (zh) 非减序列判定装置、非减序列判定方法以及记录介质
CN105989154B (zh) 相似性度量的方法及设备
JP6321216B2 (ja) 行列・キー生成装置、行列・キー生成システム、行列結合装置、行列・キー生成方法、プログラム
WO2015107780A1 (ja) 要素複製装置、要素複製方法、およびプログラム
CN113626841A (zh) 基于多方安全计算的选择问题处理方法
WO2016114292A1 (ja) 乱数生成装置、乱数生成方法、およびプログラム
JP5875719B1 (ja) 乱数生成装置、乱数生成方法、およびプログラム
WO2023233622A1 (ja) 秘密計算装置、秘密計算方法、プログラム
WO2024018504A1 (ja) クライアント装置、秘密テーブル管理システム、レコード登録要求生成方法、レコード登録方法、処理要求実行方法、プログラム
WO2023281693A1 (ja) 秘密計算システム、装置、方法及びプログラム
WO2023281694A1 (ja) 秘密計算システム、装置、方法及びプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 16814208

Country of ref document: EP

Kind code of ref document: A1

WWE Wipo information: entry into national phase

Ref document number: 15737915

Country of ref document: US

NENP Non-entry into the national phase

Ref country code: DE

WWE Wipo information: entry into national phase

Ref document number: 2016814208

Country of ref document: EP