WO2017014224A1

WO2017014224A1 - 秘密計算装置、その方法、およびプログラム

Info

Publication number: WO2017014224A1
Application number: PCT/JP2016/071214
Authority: WO
Inventors: 大五十嵐
Original assignee: 日本電信電話株式会社
Priority date: 2015-07-22
Filing date: 2016-07-20
Publication date: 2017-01-26
Also published as: EP3327702A1; US10748454B2; JP6006842B1; CN107851403A; JP2017026788A; EP3327702B1; US20180218650A1; EP3327702A4; CN107851403B

Abstract

複数個のサブシェアを要素とするサブシェア集合の真部分集合である割り当てシェア、およびサブシェア集合の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報を格納し、メタ情報から割り当てシェアの部分集合に応じた提供対応値に応じた値が得られない場合に、割り当てシェアの部分集合から得た提供対応値に応じた提供値を出力し、メタ情報からサブシェア集合の真部分集合である外部割り当てシェアの部分集合に応じた取得対応値に応じた値が得られない場合に、取得対応値に応じた取得値の入力を受け付け、取得値が入力される場合には、少なくとも取得値を用いて秘密分散値を得る。

Description

秘密計算装置、その方法、およびプログラム

　本発明は、秘密計算の技術分野に関する。

　複製型秘密分散に基づいて秘密計算を行う技術が知られている（例えば、非特許文献１等参照）。

五十嵐大，千田浩司，濱田浩気，高橋克巳，"軽量検証可能３パーティ秘匿関数計算の効率化及びこれを用いたセキュアなデータベース処理，"ＩｎＳＣＩＳ２０１１，２０１１．

　複数の秘密計算装置間で値の受け渡しを行い、各秘密計算装置が他の秘密計算装置から受け取った値を用いて秘密計算を行う方式がある。このような方式でも、各秘密計算装置が他の秘密計算装置から受け取る値の一部を予め取得できる場合がある。このような場合に、秘密計算装置間で全ての値を受け渡しするのでは効率が悪い。

　本発明の課題は、各秘密計算装置が他の秘密計算装置から受け取った値を用いて秘密計算を行う方式の効率を向上させることである。

　秘密計算装置は、複数個のサブシェアの関数値である入力値に応じた演算結果の秘密分散値を得るために、複数個のサブシェアを要素とするサブシェア集合の真部分集合である割り当てシェア、およびサブシェア集合の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報を格納し、メタ情報から割り当てシェアの部分集合に応じた提供対応値に応じた値が得られない場合に、割り当てシェアの部分集合から得た提供対応値に応じた提供値を出力し、メタ情報からサブシェア集合の真部分集合である外部割り当てシェアの部分集合に応じた取得対応値に応じた値が得られない場合に、取得対応値に応じた取得値の入力を受け付け、取得値が入力される場合には、少なくとも取得値を用いて秘密分散値を得る。

　これにより、各秘密計算装置が他の秘密計算装置から受け取った値を用いて秘密計算を行う方式の効率を向上できる。

図１は実施形態の秘密計算システムの機能構成を例示したブロック図である。図２は実施形態の秘密計算装置の機能構成を例示したブロック図である。図３は実施形態の秘密計算方法を例示するための概念図である。図４は実施形態の秘密計算方法を例示するためのフロー図である。図５は実施形態の秘密計算方法を例示するためのフロー図である。図６は実施形態の秘密計算方法を例示するためのフロー図である。図７は実施形態の秘密計算方法を例示するためのフロー図である。図８は実施形態の秘密計算方法を例示するための概念図である。図９は実施形態の秘密計算方法を例示するためのフロー図である。図１０は実施形態の秘密計算方法を例示するためのフロー図である。図１１は実施形態の秘密計算方法を例示するためのフロー図である。図１２は実施形態の秘密計算方法を例示するためのフロー図である。

　以下、本発明の実施形態を説明する。
　［概要］
　実施形態の秘密計算では、複数の秘密計算装置が「入力値」に応じた演算結果の秘密分散値を得る。ここで「入力値」は複製型秘密分散方式に則って秘密分散される。すなわち、「入力値」を複数個のサブシェアの関数値（例えば、加算値、加減算値など）とし、当該複数個のサブシェアを要素とする「サブシェア集合」の真部分集合をシェア（「入力値」の秘密分散値）として各秘密分散装置に割り当てる。ただし、一部のサブシェアに応じた値が各秘密分散装置にとって既知である場合がある。例えば、過去に行われた秘密計算によって一部のサブシェアに応じた値が既に取得されていた場合や、一部のサブシェアに応じた値が公開情報であった場合などである。なお「αに応じた値」は、αそのものであってもよいし、αの関数値であってもよい。「αに応じた値」は、例えばαに対応する値である。「入力値に応じた演算結果」は、入力値そのものであってもよいし、入力値の関数値であってもよい。このような状況に応じ、「サブシェア集合」の要素に応じた値を表すかまたは要素が秘匿値であることを表す「メタ情報」が設定される。「メタ情報」よって「要素に応じた値」が表された要素は当該「メタ情報」から特定可能である。「メタ情報」によって「秘匿値であること」が表された要素は当該「メタ情報」から特定できない。各秘密計算装置には、これらの「割り当てシェア」および「メタ情報」が格納される。秘密計算装置は、「メタ情報」から「割り当てシェア」の部分集合に応じた「提供対応値」に応じた値が得られない場合に、「割り当てシェア」の部分集合から得た「提供対応値」に応じた「提供値」を他の秘密計算装置に出力する。なお、「部分集合に応じた提供対応値」は、部分集合そのものであってもよいし、部分集合の関数値であってもよい。「提供対応値に応じた提供値」は、提供対応値そのものであってもよいし、提供対応値の関数値であってもよい。一方、「メタ情報」から当該「提供対応値」に応じた値が得られる場合、秘密計算装置は「提供値」を他の秘密計算装置に出力する必要はない。また「メタ情報」から「サブシェア集合」の真部分集合である「外部割り当てシェア」の部分集合に応じた「取得対応値」に応じた値が得られない場合、「取得対応値」に応じた「取得値」が秘密計算装置に入力される。なお、「外部割り当てシェア」とは、他の秘密計算装置に割り当てられているシェアを意味する。「部分集合に応じた取得対応値」は、部分集合そのものであってもよいし、部分集合の関数値であってもよい。「取得対応値に応じた取得値」は、取得対応値そのものであってもよいし、取得対応値の関数値であってもよい。一方、「メタ情報」から当該「取得対応値」に応じた値が得られる場合、秘密計算装置に「取得値」が入力される必要はない。秘密計算装置は、「取得値」が入力される場合には、少なくとも「取得値」を用いて「入力値に応じた演算結果の秘密分散値」を得る。これにより、秘密計算装置間での値の受け渡し回数を削減し、効率を向上できる。

　例えば、「入力値」および「第２入力値」に応じた演算結果の秘密分散値を得る場合には、以下のような処理となる。この場合、「入力値」と同様に「第２入力値」も複製型秘密分散方式に則って秘密分散される。すなわち、「第２入力値」を複数個の第２サブシェアの関数値とし、当該複数個の第２サブシェアを要素とする「第２サブシェア集合」の真部分集合を第２シェア（「第２入力値」の秘密分散値）として各秘密分散装置に割り当てる。ただし、一部の第２サブシェアに応じた値が各秘密計算装置にとって既知である場合がある。このような状況に応じ、「第２サブシェア集合」の要素に応じた値を表すかまたは要素が秘匿値であることを表す「第２メタ情報」が設定される。「第２メタ情報」によって「要素に応じた値」が表された要素は当該「第２メタ情報」から特定可能である。「第２タ情報」によって「秘匿値であること」が表された要素は当該「第２メタ情報」から特定できない。各秘密計算装置には、これらの「第２割り当てシェア」および「第２メタ情報」が格納される。秘密計算装置は、「メタ情報」と「第２メタ情報」とから「割り当てシェア」の部分集合と「第２割り当てシェア」の部分集合とに応じた「提供対応値」に応じた値が得られない場合に、「割り当てシェア」の部分集合と「第２割り当てシェア」の部分集合とから得た「提供対応値」に応じた「提供値」を他の秘密計算装置に出力する。「メタ情報」と「第２メタ情報」とから「サブシェア集合」の真部分集合である「外部割り当てシェア」の部分集合と「第２サブシェア集合」の真部分集合である「第２外部割り当てシェア」の部分集合とに応じた「取得対応値」に応じた値が得られない場合に「取得対応値」に応じた「取得値」が秘密計算装置に入力される。また、秘密計算装置は、「取得値」が入力される場合には、少なくとも「取得値」を用いて「入力値に応じた演算結果の秘密分散値」を得る。

　上述の方式を乗算に適用する場合、「演算結果」は入力値ａと第２入力値ｂとの乗算結果ａｂであり、３個の秘密計算装置で乗算結果ａｂの秘密計算を行う。入力値ａはサブシェアａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐについてａ＝ａ_０Ｐ＋ａ_１Ｐ＋ａ_２Ｐを満たし、第２入力値ｂは第２サブシェアｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐについてｂ＝ｂ_０Ｐ＋ｂ_１Ｐ＋ｂ_２Ｐを満たす。秘密計算装置は、サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の真部分集合である割り当てシェア（ａ_０Ｐ，ａ_１Ｐ）、サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、第２サブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の真部分集合である第２割り当てシェア（ｂ_０Ｐ，ｂ_１Ｐ）、および第２サブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表す第２メタ情報Ｂを格納する。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合に、外部の秘密計算装置（第１秘密計算装置）との間で第１任意値ｒ_Ｐを共有するためのやり取りを行う。そうでない場合には、第１任意値ｒ_Ｐを共有するためのやり取りは不要である。秘密計算装置は、メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合に、外部の秘密計算装置（第２秘密計算装置）との間で第２任意値ｒ_Ｐ－を共有するためのやり取りを行う。そうでない場合には、第２任意値ｒ_Ｐ－を共有するためのやり取りは不要である。なお、下付き添え字の「Ｐ」は当該秘密計算装置に対応し、下付き添え字の「Ｐ＋」は第１秘密計算装置に対応し、下付き添え字の「Ｐ－」は第２秘密計算装置に対応する。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合に、提供値ｃ_Ｐ：＝ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐ＋ｒ_Ｐを出力し、メタ情報Ａ，Ｂから取得対応値ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合に取得値ｃ_Ｐ＋の入力を受け付ける。ただし、ｃ_Ｐ＋：＝ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐ＋ｒ_Ｐ＋である。そうでない場合にはこれらのやり取りは不要である。「α：＝β」は、αがβであると定義すること（すなわちαをβの値とすること）を意味する。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｃ’_Ｐ：＝ｃ_Ｐとし、ｃ’_Ｐ：＝ｃ_Ｐとしない場合にｃ’_Ｐ：＝０とし、メタ情報Ａ，Ｂから取得対応値ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にｃ’_Ｐ＋：＝ｃ_Ｐ＋とし、ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合にｃ’_Ｐ＋：＝０とする。また秘密計算装置は、メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｒ’_Ｐ：＝ｒ_Ｐとし、ｒ’_Ｐ：＝ｒ_Ｐとしない場合にｒ’_Ｐ：＝０とし、メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合にｒ’_Ｐ－：＝ｒ_Ｐ－とし、ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合にｒ’_Ｐ－：＝０とする。さらに秘密計算装置は、メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られないか、またはａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｃ_０Ｐ：＝ａ’_０Ｐｂ’_１Ｐ＋ｃ’_Ｐ－ｒ’_Ｐ－を得、メタ情報Ａ，Ｂからａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られないか、またはａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にｃ_１Ｐ：＝ａ’_１Ｐｂ’_１Ｐ＋ｃ’_Ｐ＋－ｒ’_Ｐを得る。ここで、ａ’_０Ｐ，ａ’_１Ｐ，ｂ’_０Ｐ，ｂ’_１Ｐは、それぞれａ_０Ｐ，ａ_１Ｐ，ｂ_０Ｐ，ｂ_１Ｐに応じた値である。またｃ_０Ｐおよびｃ_１Ｐは乗算結果ａｂの秘密分散値である。ただし、メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐおよびａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られる場合、ｃ_０Ｐがなくとも演算結果ａｂの復元が可能である。この場合にはｃ_０Ｐの演算も省略可能である。また、メタ情報Ａ，Ｂからａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐおよびａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られる場合、ｃ_１Ｐがなくとも演算結果ａｂの復元が可能である。この場合にはｃ_１Ｐの演算も省略可能である。

　より具体的には、秘密計算装置は、例えば、メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にＣ_０Ｐ：＝⊥とし、メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られる場合にメタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値を得てＣ_０Ｐとする。また、秘密計算装置は、例えば、メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にＣ_１Ｐ：＝⊥とし、メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られる場合にメタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値を得てＣ_１Ｐとする。さらに秘密計算装置は、例えば、メタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合にＣ_２Ｐ：＝⊥とし、ａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られる場合にメタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値を得てＣ_２Ｐとする。この場合、Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐは乗算結果ａｂの秘密分散値のメタ情報であり、Ｃ_０Ｐ：＝⊥の場合には乗算結果ａｂの秘密分散値はｃ_０Ｐを含み、Ｃ_１Ｐ：＝⊥の場合には乗算結果ａｂの秘密分散値はｃ_１Ｐを含む。以上のように、秘密計算装置間での値の受け渡し回数、および復元時の秘密分散値の受け渡し回数を削減し、効率を向上できる。さらにｃ_０Ｐやｃ_１Ｐの演算を省略する場合には、秘密計算装置での演算量も削減できる。

　また例えば、メタ情報Ａがａ_０Ｐに応じた値を表す場合、ａ’_０Ｐはメタ情報Ａによって表される値であり、メタ情報Ａがａ_１Ｐに応じた値を表す場合、ａ’_１Ｐはメタ情報Ａによって表される値であり、メタ情報Ｂがｂ_０Ｐに応じた値を表す場合、ｂ’_０Ｐはメタ情報Ｂによって表される値であり、メタ情報Ｂがｂ_１Ｐに応じた値を表す場合、ｂ’_１Ｐはメタ情報Ｂによって表される値である。ここで、メタ情報Ａによって表されるａ_０Ｐに応じた値のデータ量はａ_０Ｐのデータ量よりも小さい（条件１－１）、および／または、メタ情報Ａによって表されるａ_１Ｐに応じた値のデータ量はａ_１Ｐのデータ量よりも小さい（条件１－２）、および／または、メタ情報Ｂによって表されるｂ_０Ｐに応じた値のデータ量はｂ_０Ｐのデータ量よりも小さい（条件１－３）、および／または、メタ情報Ｂによって表されるｂ_１Ｐに応じた値のデータ量はｂ_１Ｐのデータ量よりも小さい（条件１－４）という条件を満たす場合、シェアを用いる場合よりも演算量を削減できる。

　前述の方式を積和演算に適用する場合、「演算結果」は入力値｛ａ（０），…，ａ（Ｎ－１）｝と第２入力値｛ｂ（０），…，ｂ（Ｎ－１）｝との演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）であり（ただし、ｎ∈｛０，…，Ｎ－１｝、Ｎ≧１）、３個の秘密計算装置で演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密計算を行う。ａ（ｎ）はサブシェアａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ）についてａ（ｎ）＝ａ_０Ｐ（ｎ）＋ａ_１Ｐ（ｎ）＋ａ_２Ｐ（ｎ）を満たし、ｂ（ｎ）は第２サブシェアｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ）についてｂ（ｎ）＝ｂ_０Ｐ（ｎ）＋ｂ_１Ｐ（ｎ）＋ｂ_２Ｐ（ｎ）を満たす。なお、「Σ_{ｎ∈｛０，…，Ｎ－１｝}α（ｎ）」は「α（０）＋…＋α（Ｎ－１）」を表す。すなわち、「Σ_{ｎ∈｛０，…，Ｎ－１｝}α（ｎ）」は

を表す。秘密計算装置は、サブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の真部分集合である割り当てシェア（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ））、サブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、第２サブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の真部分集合である第２割り当てシェア（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ））、および第２サブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表す第２メタ情報Ｂを格納する。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合に、外部の秘密計算装置（第１秘密計算装置）との間で第１任意値ｒ_Ｐを共有するためのやり取りを行う。そうでない場合には、第１任意値ｒ_Ｐを共有するためのやり取りは不要である。秘密計算装置は、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合に、外部の秘密計算装置（第２秘密計算装置）との間で第２任意値ｒ_Ｐ－を共有するためのやり取りを行う。そうでない場合には、第２任意値ｒ_Ｐ－を共有するためのやり取りは不要である。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合に、提供値ｃ_Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝＋ｒ_Ｐを出力し、メタ情報Ａ，Ｂから取得対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合に取得値ｃ_Ｐ＋の入力を受け付ける。ただし、ｃ_Ｐ＋：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐ｝＋ｒ_Ｐ＋である。そうでない場合にはこれらのやり取りは不要である。秘密計算装置は、メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｃ’_Ｐ：＝ｃ_Ｐとし、ｃ’_Ｐ：＝ｃ_Ｐとしない場合にｃ’_Ｐ：＝０とし、メタ情報Ａ，Ｂから取得対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にｃ’_Ｐ＋：＝ｃ_Ｐ＋とし、ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合にｃ’_Ｐ＋：＝０とする。また秘密計算装置は、メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｒ’_Ｐ：＝ｒ_Ｐとし、ｒ’_Ｐ：＝ｒ_Ｐとしない場合にｒ’_Ｐ：＝０とし、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合にｒ’_Ｐ－：＝ｒ_Ｐ－とし、ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合にｒ’_Ｐ－：＝０とする。さらに秘密計算装置は、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られないか、またはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｃ_０Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_０Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ－ｒ’_Ｐ－を得る。秘密計算装置は、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られないか、またはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にｃ_１Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_１Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ＋－ｒ’_Ｐを得る。ここで、ａ’_０Ｐ（ｎ），ａ’_１Ｐ（ｎ），ｂ’_０Ｐ（ｎ），ｂ’_１Ｐ（ｎ）は、それぞれａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ）に応じた値である。またｃ_０Ｐおよびｃ_１Ｐは乗算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値である。ただし、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝およびΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られる場合、ｃ_０Ｐがなくとも演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の復元が可能である。この場合にはｃ_０Ｐの演算も省略可能である。また、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝およびΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られる場合、ｃ_１Ｐがなくとも演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の復元が可能である。この場合にはｃ_１Ｐの演算も省略可能である。

　より具体的には、秘密計算装置は、例えば、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にＣ_０Ｐ：＝⊥とする。秘密計算装置は、例えば、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られる場合に、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値を得てＣ_０Ｐとする。秘密計算装置は、例えば、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にＣ_１Ｐ：＝⊥とする。秘密計算装置は、例えば、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られる場合に、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値を得てＣ_１Ｐとする。秘密計算装置は、例えば、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合にＣ_２Ｐ：＝⊥とする。秘密計算装置は、例えば、Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られる場合に、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値を得てＣ_２Ｐとする。Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐは演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値のメタ情報であり、Ｃ_０Ｐ：＝⊥の場合には演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値がｃ_０Ｐを含み、Ｃ_１Ｐ：＝⊥の場合には演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値がｃ_１Ｐを含む。以上のように、秘密計算装置間での値の受け渡し回数、および復元時の秘密分散値の受け渡し量を削減し、効率を向上できる。さらにｃ_０Ｐやｃ_１Ｐの演算を省略する場合には、秘密計算装置での演算量も削減できる。

　また例えば、メタ情報Ａがａ_０Ｐ（ｎ）に応じた値を表す場合、ａ’_０Ｐ（ｎ）はメタ情報Ａによって表される値であり、メタ情報Ａがａ_１Ｐ（ｎ）に応じた値を表す場合、ａ’_１Ｐ（ｎ）はメタ情報Ａによって表される値であり、メタ情報Ｂがｂ_０Ｐ（ｎ）に応じた値を表す場合、ｂ’_０Ｐ（ｎ）はメタ情報Ｂによって表される値であり、メタ情報Ｂがｂ_１Ｐ（ｎ）に応じた値を表す場合、ｂ’_１Ｐ（ｎ）はメタ情報Ｂによって表される値である。ここで、メタ情報Ａによって表されるａ_０Ｐ（ｎ）に応じた値のデータ量は、ａ_０Ｐ（ｎ）のデータ量よりも小さい（条件２－１）、および／または、メタ情報Ａによって表されるａ_１Ｐ（ｎ）に応じた値のデータ量はａ_１Ｐ（ｎ）のデータ量よりも小さい（条件２－２）、および／または、メタ情報Ｂによって表されるｂ_０Ｐ（ｎ）に応じた値のデータ量はｂ_０Ｐ（ｎ）のデータ量よりも小さい（条件２－３）、および／または、メタ情報Ｂによって表されるｂ_１Ｐ（ｎ）に応じた値のデータ量はｂ_１Ｐ（ｎ）のデータ量よりも小さい（条件２－４）という条件を満たす場合、シェアを用いる場合よりも演算量を削減できる。

　［第１実施形態］
　第１実施形態では、上述の方式を乗算に適用した例を説明する。
　＜構成＞
　図１に例示するように、本形態の秘密計算システム１は、３個の秘密計算装置１１－０，１１－１，１１－２を有し、これらはインターネット等のネットワークを通じて通信可能に構成されている。図２に例示するように、本形態の秘密計算装置１１－Ｐ（ただし、Ｐ＝０，１，２）は、記憶部１１１－Ｐ、演算部１１２－Ｐ、制御部１１３－Ｐ、共有部１１４－Ｐ、および通信部１１５－Ｐを有する。演算部１１２－Ｐは、処理部１１２０－Ｐ～１１２Ａ－Ｐを有する。秘密計算装置１１－Ｐは、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）およびＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、プログラムを用いることなく処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の秘密計算装置１１－ｍを構成する電子回路が複数のＣＰＵを含んでいてもよい。なお、秘密計算装置１１－Ｐで実行される各処理は制御部１１３－Ｐの制御下で実行され、各処理で得られた情報は一時メモリ（図示せず）に格納される。一時メモリに格納された情報は、必要に応じて読み出されて使用される。

　＜処理の前提＞
　本形態では、入力値ａと入力値ｂとの乗算ａｂの秘密計算を行う。入力値ａはａ＝ａ_１＋ａ_２＋ａ_３を満たす３個のサブシェアａ_１，ａ_２，ａ_３に分割され、入力値ｂはｂ＝ｂ_１＋ｂ_２＋ｂ_３を満たす３個のサブシェアｂ_１，ｂ_２，ｂ_３に分割されている。すなわち、入力値ａはサブシェアａ_１，ａ_２，ａ_３の関数値であり、入力値ｂはサブシェアｂ_１，ｂ_２，ｂ_３の関数値である。各秘密計算装置１１－Ｐ（ただし、Ｐ＝０，１，２）には、３個のサブシェアａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐを要素とするサブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の真部分集合であるシェア（ａ_０Ｐ，ａ_１Ｐ）（割り当てシェア）が割り当てられる。ただし、ａ_０Ｐ＝ａ_{１（Ｐ－１ｍｏｄ３）}かつａ_１Ｐ＝ａ_{０（Ｐ＋１ｍｏｄ３）}である。サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の他の真部分集合（ａ_０Ｐ，ａ_２Ｐ）および（ａ_１Ｐ，ａ_２Ｐ）を「外部割り当てシェア」と呼ぶ。また、各秘密計算装置１１－Ｐ（ただし、Ｐ＝０，１，２）には３個のサブシェアｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐを要素とするサブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の真部分集合であるシェア（ｂ_０Ｐ，ｂ_１Ｐ）（割り当てシェア）が割り当てられる。ただし、ｂ_０Ｐ＝ｂ_{１（Ｐ－１ｍｏｄ３）}かつｂ_１Ｐ＝ｂ_{０（Ｐ＋１ｍｏｄ３）}である。サブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の他の真部分集合（ｂ_０Ｐ，ｂ_２Ｐ）および（ｂ_１Ｐ，ｂ_２Ｐ）を「外部割り当てシェア」と呼ぶ。すなわち、秘密計算装置１１－０にはシェア（ａ_００，ａ_１０）＝（ａ_２，ａ_０）および（ｂ_００，ｂ_１０）＝（ｂ_２，ｂ_０）が割り当てられ、秘密計算装置１１－１にはシェア（ａ_０１，ａ_１１）＝（ａ_０，ａ_１）および（ｂ_０１，ｂ_１１）＝（ｂ_０，ｂ_１）が割り当てられ、秘密計算装置１１－２にはシェア（ａ_０２，ａ_１２）＝（ａ_１，ａ_２），（ｂ_０２，ｂ_１２）＝（ｂ_１，ｂ_２）が割り当てられる。秘密計算装置１１－Ｐにとって自らに割り当てられていないシェアは「外部割り当てシェア」である。各秘密計算装置１１－Ｐ（図２）の記憶部１１１－Ｐには、シェア（ａ_０Ｐ，ａ_１Ｐ）および（ｂ_０Ｐ，ｂ_１Ｐ）（割り当てシェア）が格納される（図３）。これらのサブシェアは明らかにａ＝ａ_０Ｐ＋ａ_１Ｐ＋ａ_２Ｐおよびｂ＝ｂ_０Ｐ＋ｂ_１Ｐ＋ｂ_２Ｐの関係を満たす。

　サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、およびサブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ｂが設定される。「要素ａ_ＪＰに応じた値を表すメタ情報Ａ」は、要素ａ_ＪＰ（ただし、Ｊ＝０，１，２）そのものを表す値Ａ_ＪＰ（すなわち、Ａ_ＪＰ：＝ａ_ＪＰ）を表してもよいし、要素ａ_ＪＰを一意に定める関数ｆについてａ_ＪＰ＝ｆ（Ａ_ＪＰ）を満たす値Ａ_ＪＰを表してもよい。前者の場合、Ａ_ＪＰは入力値ａが取り得る値を要素とする集合Ｒの元であり、後者の場合、関数ｆによる値域が集合Ｒに属することになる定義域Ｒ’の元である。関数ｆは、例えば準同型性関数である。定義域Ｒ’の元のデータ量が集合Ｒの元のデータ量よりも小さくてもよい。「要素ａ_ＪＰが秘匿値であることを表すメタ情報Ａ」は、要素ａ_ＪＰ（ただし、Ｊ＝０，１，２）が秘匿値であることを表す値Ａ_ＪＰ＝⊥を表す。Ａ_ＪＰ＝⊥である場合、メタ情報Ａのみから要素ａ_ＪＰの値を得ることはできない。このような値Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐを表す情報であれば、どのような情報をメタ情報Ａとしてもよい。例えば、値Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐを要素とする集合（Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐ）をメタ情報Ａとしてもよいし、集合（Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐ）を表す１個の値をメタ情報Ａとしてもよいし、集合（Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐ）の複数の要素からなる部分集合を表す値の集合をメタ情報Ａとしてもよい。以上の点はメタ情報Ｂについても同様であり、値Ｂ_０Ｐ，Ｂ_１Ｐ，Ｂ_２Ｐを表す情報であれば、どのような情報をメタ情報Ｂとしてもよい。ただし、Ｂ_ＪＰ：＝ｂ_ＪＰまたはｂ_ＪＰ＝ｆ（Ｂ_ＪＰ）またはＢ_ＪＰ：＝⊥である。Ａ_０Ｐ，Ａ_１Ｐ，Ａ_２Ｐ，Ｂ_０Ｐ，Ｂ_１Ｐ，Ｂ_２Ｐの少なくとも一つが「⊥」ではない場合に秘密計算装置１１－Ｐ間での値の受け渡し回数を削減できる。メタ情報ＡおよびＢは、すべての秘密計算装置１１－Ｐ（ただし、Ｐ＝０，１，２）の記憶部１１１－Ｐに格納される。

　＜秘密計算処理＞
　次に図３～図７を用い、本形態の秘密計算の処理内容を説明する。秘密計算装置１１－Ｐ（ただし、Ｐ＝０，１，２）は、それぞれ以下の処理を実行する。

　秘密計算装置１１－Ｐの共有部１１４－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う。ただし、ｘ_ＪＫ：＝［Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥］∈｛Ｔ，Ｆ｝（ただし、（Ｊ，Ｋ）＝（０，１），（１，２），（２，０））であり、［Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥］は「Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥である」という命題が真（Ｔ）であるか、偽（Ｆ）であるか、を表す真偽値を表す。「Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥である」とは、メタ情報Ａ，Ｂからａ_ＪＰｂ_ＫＰ＋ａ_ＫＰｂ_ＪＰに応じた値が得られないことを意味する。メタ情報Ａ，Ｂからａ_ＪＰｂ_ＫＰに応じた値が得られないか（Ａ_ＪＰＢ_ＫＰ＝⊥）、または、メタ情報Ａ，Ｂからａ_ＫＰｂ_ＪＰに応じた値が得られない場合（Ａ_ＫＰＢ_ＪＰ＝⊥）、メタ情報Ａ，Ｂからａ_ＪＰｂ_ＫＰ＋ａ_ＫＰｂ_ＪＰに応じた値は得られない（Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥）。言い換えると、Ａ_ＪＰＢ_ＫＰ＋Ａ_ＫＰＢ_ＪＰ＝⊥は、（Ａ_ＪＰＢ_ＫＰ＝⊥）∨（Ａ_ＫＰＢ_ＪＰ＝⊥）であることを意味する。例えば、（１）Ａ_ＪＰ，Ｂ_ＫＰ∈ＲまたはＡ_ＪＰ，Ｂ_ＫＰ∈Ｒ’である場合Ａ_ＪＰＢ_ＫＰ≠⊥であり、Ａ_ＫＰ，Ｂ_ＪＰ∈ＲまたはＡ_ＫＰ，Ｂ_ＪＰ∈Ｒ’である場合Ａ_ＫＰＢ_ＪＰ≠⊥である。（２）Ａ_ＪＰ＝０である場合、Ｂ_ＫＰにかかわらずＡ_ＪＰＢ_ＫＰ＝０であってＡ_ＪＰＢ_ＫＰ≠⊥である。Ｂ_ＫＰ＝０である場合、Ａ_ＪＰにかかわらずＡ_ＪＰＢ_ＫＰ＝０であってＡ_ＪＰＢ_ＫＰ≠⊥である。Ａ_ＫＰ＝０である場合、Ｂ_ＪＰにかかわらずＡ_ＫＰＢ_ＪＰ＝０であってＡ_ＫＰＢ_ＪＰ≠⊥である。Ｂ_ＪＰ＝０である場合、Ａ_ＫＰにかかわらずＡ_ＫＰＢ_ＪＰ＝０であってＡ_ＫＰＢ_ＪＰ≠⊥である。（３）Ａ_ＪＰ≠０かつＢ_ＫＰ＝⊥の場合、または、Ａ_ＪＰ＝⊥≠０かつＢ_ＫＰ≠０の場合、Ａ_ＪＰＢ_ＫＰ＝⊥である。Ａ_ＫＰ≠０かつＢ_ＪＰ＝⊥の場合、または、Ａ_ＫＰ＝⊥≠０かつＢ_ＪＰ≠０の場合、Ａ_ＫＰＢ_ＪＰ＝⊥である（ステップＳ１０１）。

　ｘ_０１が真（ｘ_０１＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合）、共有部１１４－Ｐは外部の秘密計算装置１１－（Ｐ＋１　ｍｏｄ３）との間で任意値ｒ_Ｐを共有するためのやり取りを行う。任意値ｒ_Ｐは、乱数であってもよいし、擬似乱数であってもよいし、定数であってもよい。例えば、共有部１１４－Ｐは、生成または選択した任意値ｒ_Ｐを記憶部１１１－Ｐに格納するとともに通信部１１５－Ｐに送り、通信部１１５－Ｐは任意値ｒ_Ｐを秘密計算装置１１－（Ｐ＋１　ｍｏｄ３）に送信する。任意値ｒ_Ｐは秘密計算装置１１－（Ｐ＋１　ｍｏｄ３）の通信部１１５－（Ｐ＋１　ｍｏｄ３）に入力され、記憶部１１１－（Ｐ＋１　ｍｏｄ３）に格納される（ステップＳ１０２）。その後ステップＳ１０３に進む。一方、ｘ_０１が偽（ｘ_０１＝Ｆ）である場合、ステップＳ１０２を実行することなく、ステップＳ１０３に進む。

　ステップＳ１０３では、共有部１１４－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_２０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１０３）。ｘ_２０が真（ｘ_２０＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合）、共有部１１４－Ｐは外部の秘密計算装置１１－（Ｐ－１　ｍｏｄ３）との間で任意値ｒ_Ｐ－：＝ｒ_{（Ｐ－１ｍｏｄ３）}を共有するためのやり取りを行う。任意値ｒ_Ｐ－は、乱数であってもよいし、擬似乱数であってもよいし、定数であってもよい。例えば、秘密計算装置１１－（Ｐ－１　ｍｏｄ３）の共有部１１４－（Ｐ－１　ｍｏｄ３）が、生成または選択した任意値ｒ_Ｐ－を記憶部１１１－（Ｐ－１　ｍｏｄ３）に格納するとともに通信部１１５－（Ｐ－１　ｍｏｄ３）に送り、通信部１１５－（Ｐ－１　ｍｏｄ３）は任意値ｒ_Ｐ－を秘密計算装置１１－Ｐに送信する。任意値ｒ_Ｐ－は共有部１１４－Ｐに入力され、共有部１１４－Ｐは任意値ｒ_Ｐ－を記憶部１１１－Ｐに格納する（ステップＳ１０４）。その後ステップＳ１０５に進む。一方、ｘ_２０が偽（ｘ_２０＝Ｆ）である場合、ステップＳ１０４を実行することなく、ステップＳ１０５に進む。

　ステップＳ１０５では、演算部１１２－Ｐの処理部１１２０－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１０５）。ｘ_０１が真（ｘ_０１＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合）、処理部１１２０－Ｐは、記憶部１１１－Ｐからシェア（ａ_０Ｐ，ａ_１Ｐ），（ｂ_０Ｐ，ｂ_１Ｐ）および任意値ｒ_Ｐを読み込み、提供値ｃ_Ｐ：＝ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐ＋ｒ_Ｐを得て出力する（ステップＳ１０６）。提供値ｃ_Ｐは、通信部１１５－Ｐから外部の秘密計算装置１１－（Ｐ－１　ｍｏｄ３）に送信される。提供値ｃ_Ｐは秘密計算装置１１－（Ｐ－１　ｍｏｄ３）の通信部１１５－（Ｐ－１　ｍｏｄ３）に入力され、記憶部１１１－（Ｐ－１　ｍｏｄ３）に格納される（ステップＳ１０７）。その後ステップＳ１１０に進む。一方、ｘ_０１が偽（ｘ_０１＝Ｆ）である場合、ステップＳ１０６，Ｓ１０７を実行することなく、ステップＳ１１０に進む。

　ステップＳ１１０では、演算部１１２－Ｐの処理部１１２７－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_０Ｐ：＝Ａ_０ＰＢ_０Ｐ＋Ａ_０ＰＢ_１Ｐ＋Ａ_１ＰＢ_０Ｐを得て、Ｃ_０Ｐを出力する（ステップＳ１１０）。ここで、メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合（Ａ_０ＰＢ_０Ｐ＋Ａ_０ＰＢ_１Ｐ＋Ａ_１ＰＢ_０Ｐ＝⊥の場合）にはＣ_０Ｐ：＝⊥となる。なお、Ａ_０ＰＢ_０Ｐ＝⊥またはＡ_０ＰＢ_１Ｐ＝⊥またはＡ_１ＰＢ_０Ｐ＝⊥の場合にＡ_０ＰＢ_０Ｐ＋Ａ_０ＰＢ_１Ｐ＋Ａ_１ＰＢ_０Ｐ＝⊥となる。一方、メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られる場合、Ｃ_０Ｐはａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値となる。

　次に、演算部１１２－Ｐの処理部１１２８－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_１Ｐ：＝Ａ_１ＰＢ_１Ｐ＋Ａ_１ＰＢ_２Ｐ＋Ａ_２ＰＢ_１Ｐを得て、Ｃ_１Ｐを出力する（ステップＳ１１３）。ここで、メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合（Ａ_１ＰＢ_１Ｐ＋Ａ_１ＰＢ_２Ｐ＋Ａ_２ＰＢ_１Ｐ＝⊥の場合）にはＣ_１Ｐ：＝⊥となる。一方、メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られる場合、Ｃ_１Ｐはａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値となる。

　次に、演算部１１２－Ｐの処理部１１２８－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_２Ｐ：＝Ａ_２ＰＢ_２Ｐ＋Ａ_２ＰＢ_０Ｐ＋Ａ_０ＰＢ_２Ｐを得て、Ｃ_２Ｐを出力する（ステップＳ１１６）。ここで、メタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合（Ａ_２ＰＢ_２Ｐ＋Ａ_２ＰＢ_０Ｐ＋Ａ_０ＰＢ_２Ｐ＝⊥）にはＣ_２Ｐ：＝⊥となる。一方、メタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られる場合、Ｃ_２Ｐはａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値となる。

　次に、演算部１１２－Ｐの処理部１１２Ａ－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａに対応するＡ_０Ｐが真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１１７）。処理部１１２Ａ－Ｐは、Ａ_０Ｐが真（Ａ_０Ｐ＝Ｔ）である場合にａ’_０Ｐ：＝ａ_０Ｐとし（ステップＳ１１８）、Ａ_０Ｐが偽（Ａ_０Ｐ＝Ｆ）である場合にａ’_０Ｐ：＝Ａ_０Ｐとする（ステップＳ１１９）。すなわち、メタ情報Ａがａ_０Ｐに応じた値を表す場合、ａ’_０Ｐはメタ情報Ａによって表される値となる。

　また、処理部１１２Ａ－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ａに対応するＡ_１Ｐが真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１２０）。処理部１１２Ａ－Ｐは、Ａ_１Ｐが真（Ａ_１Ｐ＝Ｔ）である場合にａ’_１Ｐ：＝ａ_１Ｐとし（ステップＳ１２１）、Ａ_１Ｐが偽（Ａ_１Ｐ＝Ｆ）である場合にａ’_１Ｐ：＝Ａ_１Ｐとし、ａ’_１Ｐを出力する（ステップＳ１２２）。すなわち、メタ情報Ａがａ_１Ｐに応じた値を表す場合、ａ’_１Ｐはメタ情報Ａによって表される値となる。

　また、処理部１１２Ａ－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ｂに対応するＢ_０Ｐが真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１２３）。処理部１１２Ａ－Ｐは、Ｂ_０Ｐが真（Ｂ_０Ｐ＝Ｔ）である場合にｂ’_０Ｐ：＝ｂ_０Ｐとし（ステップＳ１２４）、Ｂ_０Ｐが偽（Ｂ_０Ｐ＝Ｆ）である場合にｂ’_０Ｐ：＝Ｂ_０Ｐとし、ｂ’_０Ｐを出力する（ステップＳ１２５）。すなわち、メタ情報Ｂがｂ_０Ｐに応じた値を表す場合、ｂ’_０Ｐはメタ情報Ｂによって表される値となる。

　次に、処理部１１２Ｂ－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ｂに対応するＢ_１Ｐが真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１２６）。処理部１１２Ｂ－Ｐは、Ｂ_１Ｐが真（Ｂ_１Ｐ＝Ｔ）である場合にｂ’_１Ｐ：＝ｂ_１Ｐとし（ステップＳ１２７）、Ｂ_１Ｐが偽（Ｂ_１Ｐ＝Ｆ）である場合にｂ’_１Ｐ：＝Ｂ_１Ｐとし、ｂ’_１Ｐを出力する（ステップＳ１２８）。すなわち、メタ情報Ｂがｂ_１Ｐに応じた値を表す場合、ｂ’_１Ｐはメタ情報Ｂによって表される値となる。

　演算部１１２－Ｐの処理部１１２１－Ｐが、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_１０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１２９）。処理部１１２１－Ｐは、ｘ_１０が真（ｘ_１０＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合）にｃ’_Ｐ：＝ｃ_Ｐとし（ステップＳ１３０）、そうでない場合（ｃ’_Ｐ：＝ｃ_Ｐとしない場合）にｃ’_Ｐ：＝０とし（ステップＳ１３１）、ｃ’_Ｐを出力する。

　演算部１１２－Ｐの処理部１１２２－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_１２が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１３２）。ｘ_１２が真（Ｔ）である場合（メタ情報Ａ，Ｂから取得対応値ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合）、前述のステップＳ１０７で秘密計算装置１１－（Ｐ＋１　ｍｏｄ３）から取得値ｃ_Ｐ＋：＝ｃ_{（Ｐ＋１　ｍｏｄ３）}が送信されている。この取得値ｃ_Ｐ＋は処理部１１２２－Ｐに入力される（ステップＳ１３３）。処理部１１２２－Ｐはｃ’_Ｐ＋：＝ｃ_Ｐ＋として出力する（ステップＳ１３４）。一方、ｘ_１２が偽（Ｆ）である場合（ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合）、処理部１１２２－Ｐはｃ’_Ｐ＋：＝０として出力する（ステップＳ１３５）。

　演算部１１２－Ｐの処理部１１２３－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１３６）。処理部１１２２－Ｐは、ｘ_０１が真（Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合）にｒ’_Ｐ：＝ｒ_Ｐとし（ステップＳ１３７）、そうでない場合（ｒ’_Ｐ：＝ｒ_Ｐとしない場合）にｒ’_Ｐ：＝０とし（ステップＳ１３８）、ｒ’_Ｐを出力する。

　演算部１１２－Ｐの処理部１１２４－Ｐは、記憶部１１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_２０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ１３９）。処理部１１２４－Ｐは、ｘ_２０が真（Ｔ）である場合（メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合）にｒ’_Ｐ－：＝ｒ_Ｐ－とし（ステップＳ１４０）、そうでない場合（ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合）にｒ’_Ｐ－：＝０とし（ステップＳ１４１）、ｒ’_Ｐ－を出力する。

　演算部１１２－Ｐの処理部１１２５－Ｐは、Ｃ_０Ｐ＝⊥であるか否かに応じた処理を行う（ステップＳ１４２）。Ｃ_０Ｐ＝⊥であれば、処理部１１２５－Ｐがｃ_０Ｐ：＝ａ’_０Ｐｂ’_１Ｐ＋ｃ’_Ｐ－ｒ’_Ｐ－を得（ステップＳ１４３）、演算部１１２－Ｐがｃ_０Ｐを出力し（ステップＳ１４４）、ステップＳ１４５に進む。なお、Ｃ_０Ｐ＝⊥となるのは、メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られないか、またはａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合である。一方、Ｃ_０Ｐ＝⊥でなければ、ステップＳ１４３およびＳ１４４を実行することなく、ステップＳ１４５に進む。

　ステップＳ１４５では、演算部１１２－Ｐの処理部１１２６－ＰがＣ_１Ｐ＝⊥であるか否かに応じた処理を行う（ステップＳ１４５）。Ｃ_１Ｐ＝⊥であれば、処理部１１２６－Ｐがｃ_１Ｐ：＝ａ’_１Ｐｂ’_１Ｐ＋ｃ’_Ｐ＋－ｒ’_Ｐを得（ステップＳ１４６）、演算部１１２－Ｐがｃ_１Ｐを出力する（ステップＳ１４７）。一方、Ｃ_１Ｐ＝⊥でなければ、ステップＳ１４６およびＳ１４７を実行することなく、ステップＳ１４８に進む。

　ステップＳ１４８では、演算部１１２－ＰがＣ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐを出力する。ここで、Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐは演算結果ａｂの秘密分散値のメタ情報である。ｃ_０Ｐおよびｃ_１Ｐは演算結果ａｂの秘密分散値である。ただし、ｃ_０ＰはＣ_０Ｐ：＝⊥の場合にのみに出力されればよく、ｃ_１ＰはＣ_１Ｐ：＝⊥の場合にのみに出力されればよい。

　＜本形態の特徴＞
　本形態では、メタ情報Ａ，Ｂが表す値に応じ、秘密計算装置１１－Ｐ間での値の送受信回数を削減できる。また、送受信を行う必要がなくなった値の演算を省略できる場合には、演算量も削減できる。さらに、メタ情報を用いた演算量がシェアを用いた演算量よりも小さい場合にも演算量を削減できる。

　［第２実施形態］
　第２実施形態では、上述の方式を積和演算に適用した例を説明する。
　＜構成＞
　図１に例示するように、本形態の秘密計算システム２は、３個の秘密計算装置２１－０，２１－１，２１－２を有し、これらはインターネット等のネットワークを通じて通信可能に構成されている。図２に例示するように、本形態の秘密計算装置２１－Ｐ（ただし、Ｐ＝０，１，２）は、記憶部２１１－Ｐ、演算部２１２－Ｐ、制御部２１３－Ｐ、共有部２１４－Ｐ、および通信部２１５－Ｐを有する。演算部２１２－Ｐは、処理部２１２０－Ｐ～２１２Ａ－Ｐを有する。秘密計算装置２１－Ｐは、例えば、前述のコンピュータが所定のプログラムを実行することで構成される。なお、秘密計算装置２１－Ｐで実行される各処理は制御部２１３－Ｐの制御下で実行され、各処理で得られた情報は一時メモリ（図示せず）に格納される。一時メモリに格納された情報は、必要に応じて読み出されて使用される。

　＜処理の前提＞
　本形態では、入力値｛ａ（０），…，ａ（Ｎ－１）｝と入力値｛ｂ（０），…，ｂ（Ｎ－１）｝との積和演算Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密計算を行う。Ｎ≧１であるがＮ＝１の場合には第１実施形態と同じ処理となる。本形態が実質的に意味をなすのはＮ≧２の場合である。各ａ（ｎ）（ただし、ｎ＝０，…，Ｎ－１）はａ（ｎ）＝ａ_１（ｎ）＋ａ_２（ｎ）＋ａ_３（ｎ）を満たす３個のサブシェアａ_１（ｎ），ａ_２（ｎ），ａ_３（ｎ）に分割され、ｂ（ｎ）はｂ（ｎ）＝ｂ_１（ｎ）＋ｂ_２（ｎ）＋ｂ_３（ｎ）を満たす３個のサブシェアｂ_１（ｎ），ｂ_２（ｎ），ｂ_３（ｎ）に分割されている。すなわち、ａ（ｎ）はサブシェアａ_１（ｎ），ａ_２（ｎ），ａ_３（ｎ）の関数値であり、ｂ（ｎ）はサブシェアｂ_１（ｎ），ｂ_２（ｎ），ｂ_３（ｎ）の関数値である。各秘密計算装置２１－Ｐ（ただし、Ｐ＝０，１，２）には、３個のサブシェアａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ）を要素とするサブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の真部分集合であるシェア（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ））（割り当てシェア）が割り当てられる。ただし、ａ_０Ｐ（ｎ）＝ａ_１（ｎ）_{（Ｐ－１ｍｏｄ３）}かつａ_１Ｐ（ｎ）＝ａ_０（ｎ）_{（Ｐ＋１ｍｏｄ３）}である。また、各秘密計算装置２１－Ｐ（ただし、Ｐ＝０，１，２）には３個のサブシェアｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ）を要素とするサブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の真部分集合であるシェア（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ））（割り当てシェア）が割り当てられる。ただし、ｂ_０Ｐ（ｎ）＝ｂ_１（ｎ）_{（Ｐ－１ｍｏｄ３）}かつｂ_１Ｐ（ｎ）＝ｂ_０（ｎ）_{（Ｐ＋１ｍｏｄ３）}である。すなわち、秘密計算装置２１－０にはシェア（ａ_００（ｎ），ａ_１０（ｎ））＝（ａ_２（ｎ），ａ_０（ｎ））および（ｂ_００（ｎ），ｂ_１０（ｎ））＝（ｂ_２（ｎ），ｂ_０（ｎ））が割り当てられ、秘密計算装置２１－１にはシェア（ａ_０１（ｎ），ａ_１１（ｎ））＝（ａ_０（ｎ），ａ_１（ｎ））および（ｂ_０１（ｎ），ｂ_１１（ｎ））＝（ｂ_０（ｎ），ｂ_１（ｎ））が割り当てられ、秘密計算装置２１－２にはシェア（ａ_０２（ｎ），ａ_１２（ｎ））＝（ａ_１（ｎ），ａ_２（ｎ）），（ｂ_０２（ｎ），ｂ_１２（ｎ））＝（ｂ_１（ｎ），ｂ_２（ｎ））が割り当てられる。秘密計算装置２１－Ｐにとって自らに割り当てられていないシェアは「外部割り当てシェア」である。各秘密計算装置２１－Ｐ（図２）の記憶部２１１－Ｐには、シェア（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ））および（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ））（割り当てシェア）が格納される（図８）。これらのサブシェアは明らかにａ（ｎ）＝ａ_０Ｐ（ｎ）＋ａ_１Ｐ（ｎ）＋ａ_２Ｐ（ｎ）およびｂ（ｎ）＝ｂ_０Ｐ（ｎ）＋ｂ_１Ｐ（ｎ）＋ｂ_２Ｐ（ｎ）の関係を満たす。

　サブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、およびサブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ｂが設定される。「要素ａ_ＪＰ（ｎ）に応じた値を表すメタ情報Ａ」は、要素ａ_ＪＰ（ｎ）（ただし、Ｊ＝０，１，２）そのものを表す値Ａ_ＪＰ（ｎ）（すなわち、Ａ_ＪＰ（ｎ）：＝ａ_ＪＰ（ｎ））を表してもよいし、要素ａ_ＪＰ（ｎ）を一意に定める関数ｆについてａ_ＪＰ（ｎ）＝ｆ（Ａ_ＪＰ（ｎ））を満たす値Ａ_ＪＰ（ｎ）を表してもよい。関数ｆは、例えば準同型性関数である。前者の場合、Ａ_ＪＰ（ｎ）は入力値ａ（ｎ）が取り得る値を要素とする集合Ｒの元であり、後者の場合、関数ｆによる値域が集合Ｒに属することになる定義域Ｒ’の元である。「要素ａ_ＪＰ（ｎ）が秘匿値であることを表すメタ情報Ａ」は、要素ａ_ＪＰ（ｎ）（ただし、Ｊ＝０，１，２）が秘匿値であることを表す値Ａ_ＪＰ（ｎ）＝⊥を表す。Ａ_ＪＰ（ｎ）＝⊥である場合、メタ情報Ａのみから要素ａ_ＪＰ（ｎ）の値を得ることはできない。このような値Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ）を表す情報であれば、どのような情報をメタ情報Ａとしてもよい。例えば、値Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ）を要素とする集合（Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ））（ただし、ｎ＝０，…Ｎ－１）をメタ情報Ａとしてもよいし、集合（Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ））を表す１個の値をメタ情報Ａとしてもよいし、集合（Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ））の複数の要素からなる部分集合を表す値の集合をメタ情報Ａとしてもよい。以上の点はメタ情報Ｂについても同様であり、値Ｂ_０Ｐ（ｎ），Ｂ_１Ｐ（ｎ），Ｂ_２Ｐ（ｎ）を表す情報であれば、どのような情報をメタ情報Ｂとしてもよい。ただし、Ｂ_ＪＰ（ｎ）：＝ｂ_ＪＰ（ｎ）またはｂ_ＪＰ（ｎ）＝ｆ（Ｂ_ＪＰ（ｎ））またはＢ_ＪＰ（ｎ）：＝⊥である。本形態では、Ａ_０Ｐ（ｎ），Ａ_１Ｐ（ｎ），Ａ_２Ｐ（ｎ），Ｂ_０Ｐ（ｎ），Ｂ_１Ｐ（ｎ），Ｂ_２Ｐ（ｎ）の少なくとも一つが「⊥」でないときに、秘密計算装置２１－Ｐ間での値の受け渡し回数を削減できる。メタ情報ＡおよびＢは、すべての秘密計算装置２１－Ｐ（ただし、Ｐ＝０，１，２）の記憶部２１１－Ｐに格納される。

　＜秘密計算処理＞
　次に図８～図１２を用い、本形態の秘密計算の処理内容を説明する。秘密計算装置２１－Ｐ（ただし、Ｐ＝０，１，２）は、それぞれ以下の処理を実行する。

　秘密計算装置２１－Ｐの共有部２１４－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う。ただし、ｘ_ＪＫ：＝［Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_ＪＰ（ｎ）Ｂ_ＫＰ（ｎ）＋Ａ_ＫＰ（ｎ）Ｂ_ＪＰ（ｎ）｝＝⊥］∈｛Ｔ，Ｆ｝（ただし、（Ｊ，Ｋ）＝（０，１），（１，２），（２，０）、ｎ＝０，…，Ｎ－１）である。［Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_ＪＰ（ｎ）Ｂ_ＫＰ（ｎ）＋Ａ_ＫＰ（ｎ）Ｂ_ＪＰ（ｎ）｝＝⊥］は「Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_ＪＰ（ｎ）Ｂ_ＫＰ（ｎ）＋Ａ_ＫＰ（ｎ）Ｂ_ＪＰ（ｎ）｝＝⊥である」という命題が真（Ｔ）であるか、偽（Ｆ）であるか、を表す真偽値を表す。「Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_ＪＰ（ｎ）Ｂ_ＫＰ（ｎ）＋Ａ_ＫＰ（ｎ）Ｂ_ＪＰ（ｎ）｝＝⊥である」とは、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_ＪＰ（ｎ）ｂ_ＫＰ（ｎ）＋ａ_ＫＰ（ｎ）ｂ_ＪＰ（ｎ）｝に応じた値が得られないことを意味する（ステップＳ２０１）。

　ｘ_０１が真（ｘ_０１＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合）、共有部２１４－Ｐは外部の秘密計算装置２１－（Ｐ＋１　ｍｏｄ３）との間で任意値ｒ_Ｐを共有するためのやり取りを行う。例えば、共有部２１４－Ｐは、生成または選択した任意値ｒ_Ｐを記憶部２１１－Ｐに格納するとともに通信部２１５－Ｐに送り、通信部２１５－Ｐは任意値ｒ_Ｐを秘密計算装置２１－（Ｐ＋１　ｍｏｄ３）に送信する。任意値ｒ_Ｐは秘密計算装置２１－（Ｐ＋１　ｍｏｄ３）の通信部２１５－（Ｐ＋１　ｍｏｄ３）に入力され、記憶部２１１－（Ｐ＋１　ｍｏｄ３）に格納される（ステップＳ２０２）。その後ステップＳ２０３に進む。一方、ｘ_０１が偽（ｘ_０１＝Ｆ）である場合、ステップＳ２０２を実行することなく、ステップＳ２０３に進む。

　ステップＳ２０３では、共有部２１４－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_２０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２０３）。ｘ_２０が真（ｘ_２０＝Ｔ）である場合（メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合）、共有部２１４－Ｐは外部の秘密計算装置２１－（Ｐ－１　ｍｏｄ３）との間で任意値ｒ_Ｐ－：＝ｒ_{（Ｐ－１ｍｏｄ３）}を共有するためのやり取りを行う。任意値ｒ_Ｐ－は、乱数であってもよいし、擬似乱数であってもよいし、定数であってもよい。例えば、秘密計算装置２１－（Ｐ－１　ｍｏｄ３）の共有部２１４－（Ｐ－１　ｍｏｄ３）が、生成または選択した任意値ｒ_Ｐ－を記憶部２１１－（Ｐ－１　ｍｏｄ３）に格納するとともに通信部２１５－（Ｐ－１　ｍｏｄ３）に送り、通信部２１５－（Ｐ－１　ｍｏｄ３）は任意値ｒ_Ｐ－を秘密計算装置２１－Ｐに送信する。任意値ｒ_Ｐ－は共有部２１４－Ｐに入力され、共有部２１４－Ｐは任意値ｒ_Ｐ－を記憶部２１１－Ｐに格納する（ステップＳ２０４）。その後ステップＳ２０５に進む。一方、ｘ_２０が偽（ｘ_２０＝Ｆ）である場合、ステップＳ２０４を実行することなく、ステップＳ２０５に進む。

　ステップＳ２０５では、演算部２１２－Ｐの処理部２１２０－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２０５）。ｘ_０１が真（ｘ_０１＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合）、処理部２１２０－Ｐは、記憶部２１１－Ｐからシェア（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ）），（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ））および任意値ｒ_Ｐを読み込み、提供値ｃ_Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝＋ｒ_Ｐを得て出力する（ステップＳ２０６）。提供値ｃ_Ｐは、通信部２１５－Ｐから外部の秘密計算装置２１－（Ｐ－１　ｍｏｄ３）に送信される。提供値ｃ_Ｐは秘密計算装置２１－（Ｐ－１　ｍｏｄ３）の通信部２１５－（Ｐ－１　ｍｏｄ３）に入力され、記憶部２１１－（Ｐ－１　ｍｏｄ３）に格納される（ステップＳ２０７）。その後ステップＳ２１０に進む。一方、ｘ_０１が偽（ｘ_０１＝Ｆ）である場合、ステップＳ２０６，Ｓ２０７を実行することなく、ステップＳ２１０に進む。

　ステップＳ２１０では、演算部２１２－Ｐの処理部２１２７－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_０Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_０Ｐ（ｎ）Ｂ_０Ｐ（ｎ）＋Ａ_０Ｐ（ｎ）Ｂ_１Ｐ（ｎ）＋Ａ_１Ｐ（ｎ）Ｂ_０Ｐ（ｎ）｝を得て、Ｃ_０Ｐを出力する（ステップＳ２１０）。ここで、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合（Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_０Ｐ（ｎ）Ｂ_０Ｐ（ｎ）＋Ａ_０Ｐ（ｎ）Ｂ_１Ｐ（ｎ）＋Ａ_１Ｐ（ｎ）Ｂ_０Ｐ（ｎ）｝＝⊥の場合）にはＣ_０Ｐ：＝⊥となる。一方、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られる場合、Ｃ_０Ｐは、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値となる。

　次に、演算部２１２－Ｐの処理部２１２８－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_１Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_１Ｐ（ｎ）Ｂ_１Ｐ（ｎ）＋Ａ_１Ｐ（ｎ）Ｂ_２Ｐ（ｎ）＋Ａ_２Ｐ（ｎ）Ｂ_１Ｐ（ｎ）｝を得て、Ｃ_１Ｐを出力する（ステップＳ２１３）。ここで、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合（Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_１Ｐ（ｎ）Ｂ_１Ｐ（ｎ）＋Ａ_１Ｐ（ｎ）Ｂ_２Ｐ（ｎ）＋Ａ_２Ｐ（ｎ）Ｂ_１Ｐ（ｎ）｝＝⊥）にはＣ_１Ｐ：＝⊥となる。一方、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られる場合、Ｃ_１ＰはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値となる。

　次に、演算部２１２－Ｐの処理部２１２８－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，ＢからＣ_２Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_２Ｐ（ｎ）Ｂ_２Ｐ（ｎ）＋Ａ_２Ｐ（ｎ）Ｂ_０Ｐ（ｎ）＋Ａ_０Ｐ（ｎ）Ｂ_２Ｐ（ｎ）｝を得て、Ｃ_２Ｐを出力する（ステップＳ２１６）。ここで、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合（Σ_{ｎ∈｛０，…，Ｎ－１｝}｛Ａ_２Ｐ（ｎ）Ｂ_２Ｐ（ｎ）＋Ａ_２Ｐ（ｎ）Ｂ_０Ｐ（ｎ）＋Ａ_０Ｐ（ｎ）Ｂ_２Ｐ（ｎ）｝＝⊥）にはＣ_２Ｐ：＝⊥となる。一方、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られる場合、Ｃ_２ＰはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値となる。

　制御部２１３－Ｐは、ｎ：＝０に初期化する（ステップＳ２１５１）。次に、演算部２１２－Ｐの処理部２１２Ａ－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａに対応するＡ_０Ｐ（ｎ）が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２１７）。処理部２１２Ａ－Ｐは、Ａ_０Ｐ（ｎ）が真（Ａ_０Ｐ（ｎ）＝Ｔ）である場合にａ’_０Ｐ（ｎ）：＝ａ_０Ｐ（ｎ）とし（ステップＳ２１８）、Ａ_０Ｐ（ｎ）が偽（Ａ_０Ｐ（ｎ）＝Ｆ）である場合にａ’_０Ｐ（ｎ）：＝Ａ_０Ｐ（ｎ）とする（ステップＳ２１９）。すなわち、メタ情報Ａがａ_０Ｐ（ｎ）に応じた値を表す場合、ａ’_０Ｐ（ｎ）はメタ情報Ａによって表される値となる。

　また、処理部２１２Ａ－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ａに対応するＡ_１Ｐ（ｎ）が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２２０）。処理部２１２Ａ－Ｐは、Ａ_１Ｐ（ｎ）が真（Ａ_１Ｐ（ｎ）＝Ｔ）である場合にａ’_１Ｐ（ｎ）：＝ａ_１Ｐ（ｎ）とし（ステップＳ２２１）、Ａ_１Ｐ（ｎ）が偽（Ａ_１Ｐ（ｎ）＝Ｆ）である場合にａ’_１Ｐ（ｎ）：＝Ａ_１Ｐ（ｎ）とし、ａ’_１Ｐ（ｎ）を出力する（ステップＳ２２２）。すなわち、メタ情報Ａがａ_１Ｐ（ｎ）に応じた値を表す場合、ａ’_１Ｐ（ｎ）はメタ情報Ａによって表される値となる。

　また、処理部２１２Ａ－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ｂに対応するＢ_０Ｐ（ｎ）が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２２３）。処理部２１２Ａ－Ｐは、Ｂ_０Ｐ（ｎ）が真（Ｂ_０Ｐ（ｎ）＝Ｔ）である場合にｂ’_０Ｐ（ｎ）：＝ｂ_０Ｐ（ｎ）とし（ステップＳ２２４）、Ｂ_０Ｐ（ｎ）が偽（Ｂ_０Ｐ（ｎ）＝Ｆ）である場合にｂ’_０Ｐ（ｎ）：＝Ｂ_０Ｐ（ｎ）とし、ｂ’_０Ｐ（ｎ）を出力する（ステップＳ２２５）。すなわち、メタ情報Ｂがｂ_０Ｐ（ｎ）に応じた値を表す場合、ｂ’_０Ｐ（ｎ）はメタ情報Ｂによって表される値となる。

　次に、処理部２１２Ｂ－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ｂに対応するＢ_１Ｐ（ｎ）が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２２６）。処理部２１２Ｂ－Ｐは、Ｂ_１Ｐ（ｎ）が真（Ｂ_１Ｐ（ｎ）＝Ｔ）である場合にｂ’_１Ｐ（ｎ）：＝ｂ_１Ｐ（ｎ）とし（ステップＳ２２７）、Ｂ_１Ｐ（ｎ）が偽（Ｂ_１Ｐ（ｎ）＝Ｆ）である場合にｂ’_１Ｐ（ｎ）：＝Ｂ_１Ｐ（ｎ）とし、ｂ’_１Ｐ（ｎ）を出力する（ステップＳ２２８）。すなわち、メタ情報Ｂがｂ_１Ｐ（ｎ）に応じた値を表す場合、ｂ’_１Ｐ（ｎ）はメタ情報Ｂによって表される値となる。

　制御部２１３－Ｐはｎ＝Ｎ－１であるかを判定する（ステップＳ２１５２）。ここで、ｎ＝Ｎ－１でなければ、制御部２１３－Ｐはｎ：＝ｎ＋１とし（ステップＳ２１５３）、ステップＳ２１７に戻る。ｎ＝Ｎ－１であれば、演算部２１２－Ｐの処理部２１２１－Ｐが、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_１０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２２９）。処理部２１２１－Ｐは、ｘ_１０が真（ｘ_１０＝Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合）にｃ’_Ｐ：＝ｃ_Ｐとし（ステップＳ２３０）、そうでない場合（ｃ’_Ｐ：＝ｃ_Ｐとしない場合）にｃ’_Ｐ：＝０とし（ステップＳ２３１）、ｃ’_Ｐを出力する。

　演算部２１２－Ｐの処理部２１２２－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_１２が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２３２）。ｘ_１２が真（Ｔ）である場合（メタ情報Ａ，Ｂから取得対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合）、前述のステップＳ２０７で秘密計算装置２１－（Ｐ＋１　ｍｏｄ３）から取得値ｃ_Ｐ＋：＝ｃ_{（Ｐ＋１　ｍｏｄ３）}が送信されている。この取得値ｃ_Ｐ＋は処理部２１２２－Ｐに入力される（ステップＳ２３３）。処理部２１２２－Ｐはｃ’_Ｐ＋：＝ｃ_Ｐ＋として出力する（ステップＳ２３４）。一方、ｘ_１２が偽（Ｆ）である場合（ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合）、処理部２１２２－Ｐはｃ’_Ｐ＋：＝０として出力する（ステップＳ２３５）。

　演算部２１２－Ｐの処理部２１２３－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_０１が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２３６）。処理部２１２２－Ｐは、ｘ_０１が真（Ｔ）である場合（メタ情報Ａ，Ｂから提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合）にｒ’_Ｐ：＝ｒ_Ｐとし（ステップＳ２３７）、そうでない場合（ｒ’_Ｐ：＝ｒ_Ｐとしない場合）にｒ’_Ｐ：＝０とし（ステップＳ２３８）、ｒ’_Ｐを出力する。

　演算部２１２－Ｐの処理部２１２４－Ｐは、記憶部２１１－Ｐに格納されたメタ情報Ａ，Ｂに対応するｘ_２０が真（Ｔ）であるか偽（Ｆ）であるかに否かに応じた処理を行う（ステップＳ２３９）。処理部２１２４－Ｐは、ｘ_２０が真（Ｔ）である場合（メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合）にｒ’_Ｐ－：＝ｒ_Ｐ－とし（ステップＳ２４０）、そうでない場合（ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合）にｒ’_Ｐ－：＝０とし（ステップＳ２４１）、ｒ’_Ｐ－を出力する。

　演算部２１２－Ｐの処理部２１２５－Ｐは、Ｃ_０Ｐ＝⊥であるか否かに応じた処理を行う（ステップＳ２４２）。Ｃ_０Ｐ＝⊥であれば、処理部２１２５－Ｐがｃ_０Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_０Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ－ｒ’_Ｐ－を得（ステップＳ２４３）、演算部２１２－Ｐがｃ_０Ｐを出力し（ステップＳ２４４）、ステップＳ２４５に進む。なお、Ｃ_０Ｐ＝⊥となるのは、メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られないか、またはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合である。一方、Ｃ_０Ｐ＝⊥でなければ、ステップＳ２４３およびＳ２４４を実行することなく、ステップＳ２４５に進む。

　ステップＳ２４５では、演算部２１２－Ｐの処理部２１２６－ＰがＣ_１Ｐ＝⊥であるか否かに応じた処理を行う（ステップＳ２４５）。Ｃ_１Ｐ＝⊥であれば、処理部２１２６－Ｐがｃ_１Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_１Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ＋－ｒ’_Ｐを得（ステップＳ２４６）、演算部２１２－Ｐがｃ_１Ｐを出力する（ステップＳ２４７）。一方、Ｃ_１Ｐ＝⊥でなければ、ステップＳ２４６およびＳ２４７を実行することなく、ステップＳ２４８に進む。

　ステップＳ２４８では、演算部２１２－ＰがＣ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐを出力する。ここで、Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐは演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値のメタ情報である。ｃ_０Ｐおよびｃ_１Ｐは演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）の秘密分散値である。ただし、ｃ_０ＰはＣ_０Ｐ：＝⊥の場合にのみに出力されればよく、ｃ_１ＰはＣ_１Ｐ：＝⊥の場合にのみに出力されればよい。

　＜本形態の特徴＞
　本形態では、メタ情報Ａ，Ｂが表す値に応じ、秘密計算装置２１－Ｐ間での値の送受信回数を削減できる。また、送受信を行う必要がなくなった値の演算を省略できる場合には、演算量も削減できる。さらに、メタ情報を用いた演算量がシェアを用いた演算量よりも小さい場合にも演算量を削減できる。

　［変形例等］
　なお、本発明は上述の実施形態に限定されるものではない。例えば、上述の実施形態では、秘密計算で乗算または積和演算を行う場合を例示した。しかしながら、複数の秘密計算装置間で値の受け渡しを行い、各秘密計算装置が他の秘密計算装置から受け取った値を用いて秘密計算を行う方式であれば、どのような方式に本発明を適用してもよい。また、上述した各演算は有限体上の演算であってもよいし、拡大体上の演算であってもよいし、環上の演算であってもよいし、その他の代数系上での演算であってもよい。

　上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。また、秘密計算装置がネットワーク経由で値の受け渡しを行うのではなく、可搬型記憶媒体を介して値の受け渡しが行われてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。

　上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。

　このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。

　上記実施形態では、コンピュータ上で所定のプログラムを実行させて本装置の処理機能が実現されたが、これらの処理機能の少なくとも一部がハードウェアで実現されてもよい。

１１－０～１１－２，２１－０～２１－２　秘密計算装置
１，２　秘密計算システム

Claims

　入力値に応じた演算結果の秘密分散値を得る秘密計算装置であって、
　前記入力値が複数個のサブシェアの関数値であり、
　前記複数個のサブシェアを要素とするサブシェア集合の真部分集合である割り当てシェア、および前記サブシェア集合の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報を格納する記憶部と、
　前記メタ情報から前記割り当てシェアの部分集合に応じた提供対応値に応じた値が得られない場合に、前記割り当てシェアの部分集合から得た前記提供対応値に応じた提供値を出力する出力部と、
　前記メタ情報から前記サブシェア集合の真部分集合である外部割り当てシェアの部分集合に応じた取得対応値に応じた値が得られない場合に、前記取得対応値に応じた取得値が入力される入力部と、
　前記取得値が前記入力部に入力される場合には、少なくとも前記取得値を用いて前記秘密分散値を得る演算部と、
を有する秘密計算装置。
　請求項１の秘密計算装置であって、
　前記演算結果が前記入力値および第２入力値に応じた値であり、
　前記第２入力値が複数個の第２サブシェアの関数値であり、
　前記記憶部が、前記複数個の第２サブシェアを要素とする第２サブシェア集合の真部分集合である第２割り当てシェア、および前記第２サブシェア集合の要素に応じた値を表すかまたは要素が秘匿値であることを表す第２メタ情報を格納し、
　前記出力部は、前記メタ情報と前記第２メタ情報とから前記割り当てシェアの部分集合と前記第２割り当てシェアの部分集合とに応じた前記提供対応値に応じた値が得られない場合に、前記割り当てシェアの部分集合と前記第２割り当てシェアの部分集合とから得た前記提供対応値に応じた前記提供値を出力し、
　前記メタ情報と前記第２メタ情報とから前記サブシェア集合の真部分集合である外部割り当てシェアの部分集合と前記第２サブシェア集合の真部分集合である第２外部割り当てシェアの部分集合とに応じた前記取得対応値に応じた値が得られない場合に前記取得対応値に応じた前記取得値が前記入力部に入力される、秘密計算装置。
　請求項１または２の秘密計算装置であって、
　前記演算結果が前記入力値ａと第２入力値ｂとの乗算結果であり、
　前記入力値ａが前記サブシェアａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐについてａ＝ａ_０Ｐ＋ａ_１Ｐ＋ａ_２Ｐを満たし、
　前記第２入力値ｂが第２サブシェアｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐについてｂ＝ｂ_０Ｐ＋ｂ_１Ｐ＋ｂ_２Ｐを満たし、
　ａ’_０Ｐ，ａ’_１Ｐ，ｂ’_０Ｐ，ｂ’_１Ｐが、それぞれａ_０Ｐ，ａ_１Ｐ，ｂ_０Ｐ，ｂ_１Ｐに応じた値であり、
　前記記憶部が、サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の真部分集合である割り当てシェア（ａ_０Ｐ，ａ_１Ｐ）、前記サブシェア集合（ａ_０Ｐ，ａ_１Ｐ，ａ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、第２サブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の真部分集合である第２割り当てシェア（ｂ_０Ｐ，ｂ_１Ｐ）、および前記第２サブシェア集合（ｂ_０Ｐ，ｂ_１Ｐ，ｂ_２Ｐ）の要素に応じた値を表すかまたは要素が秘匿値であることを表す第２メタ情報Ｂを格納し、
　前記メタ情報Ａ，Ｂから前記提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合に、外部の第１秘密計算装置との間で第１任意値ｒ_Ｐを共有するためのやり取りを行う第１共有部と、
　前記メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合に、外部の第２秘密計算装置との間で第２任意値ｒ_Ｐ－を共有するためのやり取りを行う第２共有部と、を有し、
　前記出力部は、前記メタ情報Ａ，Ｂから前記提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合に、前記提供値ｃ_Ｐ：＝ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐ＋ｒ_Ｐを出力し、
　前記メタ情報Ａ，Ｂから前記取得対応値ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合に前記入力部に前記取得値ｃ_Ｐ＋が入力され、
　前記演算部は、
　前記メタ情報Ａ，Ｂから前記提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｃ’_Ｐ：＝ｃ_Ｐとし、ｃ’_Ｐ：＝ｃ_Ｐとしない場合にｃ’_Ｐ：＝０とする第１処理部と、
　前記メタ情報Ａ，Ｂから前記取得対応値ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にｃ’_Ｐ＋：＝ｃ_Ｐ＋とし、ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合にｃ’_Ｐ＋：＝０とする第２処理部と、
　前記メタ情報Ａ，Ｂから前記提供対応値ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｒ’_Ｐ：＝ｒ_Ｐとし、ｒ’_Ｐ：＝ｒ_Ｐとしない場合にｒ’_Ｐ：＝０とする第３処理部と、
　前記メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合にｒ’_Ｐ－：＝ｒ_Ｐ－とし、ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合にｒ’_Ｐ－：＝０とする第４処理部と、
　前記メタ情報Ａ，Ｂからａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られないか、またはａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にｃ_０Ｐ：＝ａ’_０Ｐｂ’_１Ｐ＋ｃ’_Ｐ－ｒ’_Ｐ－を得る第５処理部と、
　前記メタ情報Ａ，Ｂからａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られないか、またはａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にｃ_１Ｐ：＝ａ’_１Ｐｂ’_１Ｐ＋ｃ’_Ｐ＋－ｒ’_Ｐを得る第６処理部と、を含む、秘密計算装置。
　請求項３の秘密計算装置であって、
　前記演算部は、
　前記メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られない場合にＣ_０Ｐ：＝⊥とし、前記メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値が得られる場合に前記メタ情報Ａ，Ｂからａ_０Ｐｂ_０Ｐ＋ａ_０Ｐｂ_１Ｐ＋ａ_１Ｐｂ_０Ｐに応じた値を得てＣ_０Ｐとする第７処理部と、
　前記メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られない場合にＣ_１Ｐ：＝⊥とし、前記メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値が得られる場合に前記メタ情報Ａ，Ｂからａ_１Ｐｂ_１Ｐ＋ａ_１Ｐｂ_２Ｐ＋ａ_２Ｐｂ_１Ｐに応じた値を得てＣ_１Ｐとする第８処理部と、
　前記メタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られない場合にＣ_２Ｐ：＝⊥とし、ａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値が得られる場合に前記メタ情報Ａ，Ｂからａ_２Ｐｂ_２Ｐ＋ａ_２Ｐｂ_０Ｐ＋ａ_０Ｐｂ_２Ｐに応じた値を得てＣ_２Ｐとする第９処理部と、を含み、
　Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐが前記秘密分散値のメタ情報であり、Ｃ_０Ｐ：＝⊥の場合には前記秘密分散値がｃ_０Ｐを含み、Ｃ_１Ｐ：＝⊥の場合には前記秘密分散値がｃ_１Ｐを含む、秘密計算装置。
　請求項１または２の秘密計算装置であって、
　前記演算結果が前記入力値｛ａ（０），…，ａ（Ｎ－１）｝と第２入力値｛ｂ（０），…，ｂ（Ｎ－１）｝との演算結果Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ（ｎ）ｂ（ｎ）であり、Ｎ≧１であり、ｎ＝０，…，Ｎ－１であり、
　ａ（ｎ）が前記サブシェアａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ）についてａ（ｎ）＝ａ_０Ｐ（ｎ）＋ａ_１Ｐ（ｎ）＋ａ_２Ｐ（ｎ）を満たし、
　ｂ（ｎ）が第２サブシェアｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ）についてｂ（ｎ）＝ｂ_０Ｐ（ｎ）＋ｂ_１Ｐ（ｎ）＋ｂ_２Ｐ（ｎ）を満たし、
　ａ’_０Ｐ（ｎ），ａ’_１Ｐ（ｎ），ｂ’_０Ｐ（ｎ），ｂ’_１Ｐ（ｎ）が、それぞれａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ）に応じた値であり、
　前記記憶部が、サブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の真部分集合である割り当てシェア（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ））、前記サブシェア集合（ａ_０Ｐ（ｎ），ａ_１Ｐ（ｎ），ａ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報Ａ、第２サブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の真部分集合である第２割り当てシェア（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ））、および前記第２サブシェア集合（ｂ_０Ｐ（ｎ），ｂ_１Ｐ（ｎ），ｂ_２Ｐ（ｎ））の要素に応じた値を表すかまたは要素が秘匿値であることを表す第２メタ情報Ｂを格納し、
　前記メタ情報Ａ，Ｂから前記提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合に、外部の第１秘密計算装置との間で第１任意値ｒ_Ｐを共有するためのやり取りを行う第１共有部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合に、外部の第２秘密計算装置との間で第２任意値ｒ_Ｐ－を共有するためのやり取りを行う第２共有部と、を有し、
　前記出力部は、前記メタ情報Ａ，Ｂから前記提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合に、前記提供値ｃ_Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝＋ｒ_Ｐを出力し、
　前記メタ情報Ａ，Ｂから前記取得対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合に前記入力部に前記取得値ｃ_Ｐ＋が入力され、
　前記演算部は、
　前記メタ情報Ａ，Ｂから前記提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｃ’_Ｐ：＝ｃ_Ｐとし、ｃ’_Ｐ：＝ｃ_Ｐとしない場合にｃ’_Ｐ：＝０とする第１処理部と、
　前記メタ情報Ａ，Ｂから前記取得対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にｃ’_Ｐ＋：＝ｃ_Ｐ＋とし、ｃ’_Ｐ＋：＝ｃ_Ｐ＋としない場合にｃ’_Ｐ＋：＝０とする第２処理部と、
　前記メタ情報Ａ，Ｂから前記提供対応値Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｒ’_Ｐ：＝ｒ_Ｐとし、ｒ’_Ｐ：＝ｒ_Ｐとしない場合にｒ’_Ｐ：＝０とする第３処理部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合にｒ’_Ｐ－：＝ｒ_Ｐ－とし、ｒ’_Ｐ－：＝ｒ_Ｐ－としない場合にｒ’_Ｐ－：＝０とする第４処理部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られないか、またはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にｃ_０Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_０Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ－ｒ’_Ｐ－を得る第５処理部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られないか、またはΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にｃ_１Ｐ：＝Σ_{ｎ∈｛０，…，Ｎ－１｝}ａ’_１Ｐ（ｎ）ｂ’_１Ｐ（ｎ）＋ｃ’_Ｐ＋－ｒ’_Ｐを得る第６処理部と、を含む、秘密計算装置。
　請求項５の秘密計算装置であって、
　前記演算部は、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られない場合にＣ_０Ｐ：＝⊥とし、前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値が得られる場合に前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_０Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_０Ｐ（ｎ）｝に応じた値を得てＣ_０Ｐとする第７処理部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られない場合にＣ_１Ｐ：＝⊥とし、前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値が得られる場合に前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_１Ｐ（ｎ）ｂ_１Ｐ（ｎ）＋ａ_１Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_１Ｐ（ｎ）｝に応じた値を得てＣ_１Ｐとする第８処理部と、
　前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られない場合にＣ_２Ｐ：＝⊥とし、Σ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値が得られる場合に前記メタ情報Ａ，ＢからΣ_{ｎ∈｛０，…，Ｎ－１｝}｛ａ_２Ｐ（ｎ）ｂ_２Ｐ（ｎ）＋ａ_２Ｐ（ｎ）ｂ_０Ｐ（ｎ）＋ａ_０Ｐ（ｎ）ｂ_２Ｐ（ｎ）｝に応じた値を得てＣ_２Ｐとする第９処理部と、を含み、
　Ｃ_０Ｐ，Ｃ_１Ｐ，Ｃ_２Ｐが前記秘密分散値のメタ情報であり、Ｃ_０Ｐ：＝⊥の場合には前記秘密分散値がｃ_０Ｐを含み、Ｃ_１Ｐ：＝⊥の場合には前記秘密分散値がｃ_１Ｐを含む、秘密計算装置。
　入力値に応じた演算結果の秘密分散値を得る秘密計算方法であって、
　前記入力値が複数個のサブシェアの関数値であり、
　前記複数個のサブシェアを要素とするサブシェア集合の真部分集合である割り当てシェア、および前記サブシェア集合の要素に応じた値を表すかまたは要素が秘匿値であることを表すメタ情報を記憶部に格納しておき、
　前記メタ情報から前記割り当てシェアの部分集合に応じた提供対応値に応じた値が得られない場合に、出力部が前記割り当てシェアの部分集合から得た前記提供対応値に応じた提供値を出力するステップと、
　前記メタ情報から前記サブシェア集合の真部分集合である外部割り当てシェアの部分集合に応じた取得対応値に応じた値が得られない場合に、前記取得対応値に応じた取得値が入力部に入力されるステップと、
　前記取得値が前記入力部に入力される場合には、演算部が少なくとも前記取得値を用いて前記秘密分散値を得るステップと、
を有する秘密計算方法。
　請求項１から６の何れかの秘密計算装置としてコンピュータを機能させるためのプログラム。