WO2023188258A1 - 計算装置、計算方法、およびプログラム - Google Patents

計算装置、計算方法、およびプログラム Download PDF

Info

Publication number
WO2023188258A1
WO2023188258A1 PCT/JP2022/016502 JP2022016502W WO2023188258A1 WO 2023188258 A1 WO2023188258 A1 WO 2023188258A1 JP 2022016502 W JP2022016502 W JP 2022016502W WO 2023188258 A1 WO2023188258 A1 WO 2023188258A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
computing device
blockchain
secret
secure
Prior art date
Application number
PCT/JP2022/016502
Other languages
English (en)
French (fr)
Inventor
一凡 張
玄武 諸橋
匠 深見
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2022/016502 priority Critical patent/WO2023188258A1/ja
Publication of WO2023188258A1 publication Critical patent/WO2023188258A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data
    • G06F21/64—Protecting data integrity, e.g. using checksums, certificates or signatures
    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L9/00—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols
    • H04L9/32—Cryptographic mechanisms or cryptographic arrangements for secret or secure communications; Network security protocols including means for verifying the identity or authority of a user of the system or for message authentication, e.g. authorization, entity authentication, data integrity or data verification, non-repudiation, key authentication or verification of credentials

Definitions

  • a computing device that is a node of a blockchain executes processing to obtain consensus using the consensus algorithm of the blockchain, and if consensus is obtained using the consensus algorithm of the blockchain, secret sharing of information based on the original information is performed.
  • the one-way function value of at least one of the secret information obtained by performing the secret calculation and the secret calculation result obtained by performing the secret calculation on the secret information is stored in a block of the blockchain.
  • This smart contract function implements the processing contents of the secure calculation executed by the secure calculation devices 12-1, . . . , 12-M.
  • the processing details of secure calculations are stored in blockchain-based ledger information.
  • at least R blockchains BC 1 , . . . , BC R are set in the blockchain infrastructure of this embodiment.
  • the acquisition unit 112-n blocks requests other than processing requests from this smart contract function.
  • the acquisition unit 112n When the acquisition unit 112n receives information representing the original information an itself, it stores the original information an in the storage unit 111-n, and when it receives confidential information of the original information an, it stores the original information an in the storage unit 111-n. stores the original information an restored from the confidential information in the storage unit 111-n (step S111-n).
  • the information stored in the latest block of Blockchain BCr by a device that has reached consensus using the consensus algorithm of Blockchain BCr and/or the information to be stored is treated as legitimate, and the information stored in the latest block of Blockchain BCr is treated as valid, and the information stored in the latest block of Blockchain BCr is treated as valid, and The next block of chain BC r is generated.
  • a new consensus algorithm may be executed in the next block, or devices that obtained agreement in the previous block may continue to obtain agreement in the next block. For example, consent may be continuously given to a device that has obtained consent for a certain block until a series of subsequent processes (for example, secure calculation) are completed.
  • the block processing unit 128c-L(r) processes the received one-way function value.
  • This block B 1 (i r ) is a block with which the secure computing device 12-L(r) has agreed (step S128c(2)-L(r)).
  • each secure calculation device 12-L(r) transmits the corresponding secure calculation result [b] L(r). The information is transmitted to the specific client device 11-n. This further improves safety.
  • the secure computing device 22-m of this embodiment includes an acquisition unit 121-m, a secure computing unit 222-m, a providing unit 123-m, a control unit 126-m, and a storage unit 127-m. , a consensus processing unit 128a-m, a one-way function calculation unit 128b-m, and a block processing unit 128c-m.
  • the secure computing device 22-m executes each process based on the control unit 126-m.
  • Information (data) obtained by each section of the secure computing device 22-m is stored in the storage section 127-m, and read out and used as necessary.
  • the providing unit 115-n of the client device 21-n recognizes the secure computing device 22-L(r) as the leader LEAD r.
  • the providing unit 123-L(r) transmits the secure calculation result [b] L(r) to the destination included in the processing request described above.
  • the secure calculation result [b] L(r) is transmitted to the client devices 21-1, . . . , 21-N.
  • the acquisition unit 112-n of the client device 21-n acquires (receives) the transmitted secure calculation result [b] L(r) and stores it in the storage unit 111-n.
  • the acquisition unit 112-n further acquires the secret calculation result [b] L from the plurality of secret calculation results [b] L(r) (where L(r) ⁇ L(1),...,L(R) ⁇ ).

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Signal Processing (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Storage Device Security (AREA)

Abstract

ブロックチェーンのノードである計算装置が、当該ブロックチェーンのコンセンサスアルゴリズムで合意を得るための処理を実行し、当該ブロックチェーンのコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および当該秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、当該ブロックチェーンのブロックに格納する。

Description

計算装置、計算方法、およびプログラム
　本発明は、秘密計算技術に関し、特に分散型秘密計算技術に関する。
　オリジナル情報に基づく情報を秘密分散して得られるシェアを用い、オリジナル情報や演算結果を復元することなく、指定された計算の演算結果を秘密分散して得られるシェアを得る分散型秘密計算技術が知られている（例えば、非特許文献１等参照）。
　従来の分散型秘密計算技術では、秘密計算を行う計算装置のインタフェースを介してこの秘密計算に関連するデータを参照することができる。
Koji Chida，Koki Hamada，Dai Ikarashi，Katsumi Takahashi，"A Three-Party Secure Function Evaluation with Lightweight Veriability Revisited"，2010年10月12日，CSS(Computer Security Symposium)，2010，pp. 555 - 560.
　しかし、従来の分散型秘密計算技術では、秘密計算を行う計算装置の不正な処理を監視・検証することが困難であるという問題がある。
　本発明はこのような点に鑑みてなされたものであり、秘密計算の不正な処理を監視・検証することができる技術を提供することを目的とする。
　ブロックチェーンのノードである計算装置が、当該ブロックチェーンのコンセンサスアルゴリズムで合意を得るための処理を実行し、当該ブロックチェーンのコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および当該秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、当該ブロックチェーンのブロックに格納する。
　これにより、秘密計算の不正を監視・検証することが可能になる。
図１は実施形態の秘密計算システムの構成を例示したブロック図である。 図２Ａは実施形態のクライアント装置の機能構成を例示したブロック図であり、図２Ｂは実施形態の秘密計算装置（計算装置）の機能構成を例示したブロック図である。 図３は複数のブロックチェーンを用いる場合の処理の一例を示すための概念図である。 図４は１つのブロックチェーンを用いる場合の処理の一例を示すための概念図である。 図５は１つのブロックチェーンを用いる場合の処理の他の例を示すための概念図である。 図６は実施形態の装置のハードウェア構成を例示したブロック図である。
　以下、図面を参照して本発明の実施形態を説明する。
　［第１実施形態］
　まず、本発明の第１実施形態を説明する。
　＜構成＞
　図１に例示するように、本実施形態の秘密計算システム１は、Ｎ個のクライアント装置１１－１，…，１１－Ｎ、およびＭ個の秘密計算装置１２－１，…，１２－Ｍ（計算装置）を有し、これらはネットワーク上のクラウド１３に通信可能に接続されている。Ｎは１以上の整数であり、例えば、Ｎは２以上の整数である。Ｍは２以上の整数であり、例えば、Ｍは３以上の整数である。クラウド１３は、単数または複数のサーバ装置と通信網とを含み、これらのサーバ装置にはスマートコントラクト機能を持つブロックチェーン基盤（例えば、プログラム）が実装されている。このスマートコントラクト機能には、秘密計算装置１２－１，…，１２－Ｍが実行する秘密計算の処理内容が実装されている。例えば、ブロックチェーン基盤の台帳情報に秘密計算の処理内容が格納されている。図３に例示するように、本実施形態のブロックチェーン基盤には、少なくともＲ個のブロックチェーンＢＣ１，・・，ＢＣＲが設定されている。Ｒは２以上Ｍ以下の整数であり、ｒ＝１，…，Ｒである。例えば、Ｒ＝３である。
　図２Ａに例示するように、本実施形態のクライアント装置１１－ｎは、記憶部１１１－ｎ、取得部１１２－ｎ、処理部１１３－ｎ、秘匿部１１４－ｎ、提供部１１５－ｎ、および制御部１１６－ｎを有する。クライアント装置１１－ｎは、制御部１１６－ｎに基づいて各処理を実行する。クライアント装置１１－ｎの各部で得られた情報（データ）は、記憶部１１１－ｎに格納され、必要に応じて読み出されて使用される。クライアント装置１１－ｎは、クラウド１３のブロックチェーン基盤の何れかのブロックチェーンのノードである。クライアント装置１１－ｎの取得部１１２－ｎは、クラウド１３のブロックチェーン基盤のスマートコントラクト機能からの処理要求を受け付けることが可能なように構成されている。好ましくは、取得部１１２－ｎは、このスマートコントラクト機能からの処理要求以外の要求をブロック（遮断）する。なおｎ＝１，…，Ｎであり、特に断りのない限り、ｎに関する構成および処理は、すべてのｎ＝１，…，Ｎについて同じである。ただし、扱われるデータ（情報）の内容は、ｎの値に応じて異なる場合がある。
　図２Ｂに例示するように、本実施形態の秘密計算装置１２－ｍは、取得部１２１－ｍ、秘密計算部１２２－ｍ、提供部１２３－ｍ、制御部１２６－ｍ、記憶部１２７－ｍ、合意処理部１２８ａ－ｍ、一方向性関数演算部１２８ｂ－ｍ、およびブロック処理部１２８ｃ－ｍを有する。秘密計算装置１２－ｍは、制御部１２６－ｍに基づいて各処理を実行する。秘密計算装置１２－ｍの各部で得られた情報（データ）は、記憶部１２７－ｍに格納され、必要に応じて読み出されて使用される。なおｍ＝１，…，Ｍであり、特に断りのない限り、ｍに関する構成および処理は、すべてのｍ＝１，…，Ｍについて同じである。ただし、扱われるデータ（情報）の内容は、ｍの値に応じて異なる場合がある。
　＜秘密分散処理＞
　クライアント装置１１－ｎの取得部１１２－ｎは、オリジナル情報ａ－ｎを特定する情報を受け取り、オリジナル情報ａ－ｎを記憶部１１１－ｎに格納する。オリジナル情報ａ－ｎを特定する情報は、オリジナル情報ａ－ｎそのものを表す情報であってもよいし、オリジナル情報ａ－ｎの秘匿情報（例えば、オリジナル情報の暗号文や秘密分散値）であってもよい。なお、オリジナル情報ａ－ｎは、例えば、平文である。オリジナル情報ａ－ｎの例は、個人情報、医療情報、営業秘密情報、統計情報、技術情報、またはそれらを学習データとして学習されたモデルを特定する情報（モデルパラメータ等）などの外部への情報漏洩を阻止すべき情報である。取得部１１２ｎは、オリジナル情報ａ－ｎそのものを表す情報を受け取った場合には、そのオリジナル情報ａ－ｎを記憶部１１１－ｎに格納し、オリジナル情報ａ－ｎの秘匿情報を受け取った場合には当該秘匿情報から復元したオリジナル情報ａ－ｎを記憶部１１１－ｎに格納する（ステップＳ１１１－ｎ）。
　処理部１１３－ｎは、記憶部１１１－ｎからオリジナル情報ａ－ｎを読み出し、オリジナル情報ａ－ｎに基づく情報を秘匿部１１４－ｎに送る。なお、「オリジナル情報ａ－ｎに基づく情報」は、オリジナル情報ａ－ｎそのものであってもよいし、オリジナル情報ａ－ｎに対する何等かの処理が施されて得られた情報であってもよい。後者の場合、処理部１１３－ｎは、オリジナル情報ａ－ｎに対して何らかの処理を施し、それによって得た情報を秘匿部１１４－ｎに送る（ステップＳ１１３－ｎ）。
　秘匿部１１４－ｎは、送られたオリジナル情報ａ－ｎに基づく情報を秘密分散することによって、Ｒ個の秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）を得て出力する。これらの秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）は、秘密分散方式におけるシェア（「断片」という場合もある）である。秘密分散方式はどのようなものであってもよい。秘密分散方式の一例は、「所定数以上のシェア（例えば、秘匿情報）が集まったときに元の情報（例えば、オリジナル情報に基づく情報）を復元できるが、当該所定数未満のシェア（例えば、秘匿情報）からは当該情報（例えば、オリジナル情報に基づく情報）が全く得られない」という特徴を持つ「しきい値秘密分散方式」である。秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）は、記憶部１１１－ｎに格納される（ステップＳ１１４－ｎ）。
　＜秘密計算処理＞
　この前提のもと、秘密計算処理が実行される。
　まず、秘密計算装置１２－１，…，１２－Ｍの合意処理部１２８ａ‐１，…，１２８ａ‐Ｍ（図２Ｂ）は、クラウド１３のブロックチェーン基盤に接続し、当該ブロックチェーン基盤のブロックチェーンＢＣ１，・・，ＢＣＲのコンセンサスアルゴリズムで合意を得るための処理を実行する。各合意処理部１２８ａ‐ｍは、少なくともいずれかのブロックチェーンＢＣｒのコンセンサスアルゴリズムで合意を得るための処理を実行する。例えば、各合意処理部１２８ａ‐ｍは、すべてのブロックチェーンＢＣ１，・・，ＢＣＲのコンセンサスアルゴリズムそれぞれで合意を得るための処理を実行する。コンセンサスアルゴリズムは、特定の装置（単数または複数の装置）に合意を与えるものであれば、どのようなものであってもよい。ブロックチェーンＢＣｒのコンセンサスアルゴリズムで合意を得た装置が当該ブロックチェーンＢＣｒの最新のブロックに格納した情報および／または格納する情報は正当なものと扱われ、当該最新のブロックに基づいて当該ブロックチェーンＢＣｒのさらに次のブロックが生成される。次のブロックで新たにコンセンサスアルゴリズムが実行されてもよいし、前のブロックで合意を得た装置が引き続き次のブロックでも合意を得てもよい。例えば、あるブロックで合意を得た装置に対し、その後の一連の処理（例えば、秘密計算）が終了するまで、継続して合意が与えられてもよい。コンセンサスアルゴリズムの具体例は、PoW（Proof-of-Work）、PoS（Proof of Stake）、PoI（Proof of Importance）、PoC（Proof of Consensus）などである。しかし、これは本発明を限定しない。またコンセンサスアルゴリズムで合意を得るための処理の具体例はマイニングである。しかし、これも本発明を限定しない。以降、ブロックチェーンＢＣｒのコンセンサスアルゴリズムで合意を得た装置をリーダーＬＥＡＤｒと呼ぶことにする。本実施形態では、コンセンサスアルゴリズムによって各ブロックチェーンＢＣｒに対して、いずれか１個の秘密計算装置１２－ｒがリーダーＬＥＡＤｒとして選択される。互いに異なるブロックチェーンＢＣｒ１およびＢＣｒ２に対して、互いに異なる秘密計算装置１２－ｒ１および１２－ｒ２がリーダーＬＥＡＤｒ１およびＬＥＡＤｒ２として選択されることが好ましい。ここでｒ１，ｒ２∈｛１，…，Ｍ｝かつｒ１≠ｒ２である。しかし、互いに異なるブロックチェーンＢＣｒ１およびＢＣｒ２に対して、同じ秘密計算装置１２－ｒがリーダーＬＥＡＤｒ１およびＬＥＡＤｒ２として選択されてもよい（ステップＳ１２８ａ－ｍ）。
　ブロックチェーンＢＣ１，…，ＢＣＲについて、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択されると、クラウド１３のブロックチェーン基盤のスマートコントラクト機能は、これらの秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）に対し、秘密計算を実行する旨の処理要求を送信する。なお、｛Ｌ（１），…，Ｌ（Ｒ）｝⊆｛１，…，Ｍ｝である。この処理要求には、当該秘密計算結果の送信先の情報が含まれている。例えば、秘密計算結果の送信先は、すべてのクライアント装置１１－１，…，１１－Ｎであってもよいし、クライアント装置１１－１，…，１１－Ｎの一部であってもよいし、それ以外の装置を含んでいてもよい（ステップＳ１３１）。
　リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）（ただしｒ＝１，…，Ｒ）の取得部１２１－Ｌ（ｒ）（図２Ｂ）は、それぞれ当該処理要求を取得する（受信する）。処理要求を取得した取得部１２１－Ｌ（ｒ）は、クライアント装置１１－１，…，１１－Ｎの取得部１１２－１，…，１１２－Ｎ（図２Ａ）に接続し、秘密計算装置１２－Ｌ（ｒ）がリーダーＬＥＡＤｒであることを証明するための処理を実行する。この処理に限定はないが、例えば、取得部１２１－Ｌ（ｒ）は、上述したコンセンサスアルゴリズムの結果や電子署名などを用いて秘密計算装置１２－Ｌ（ｒ）がリーダーＬＥＡＤｒであることを証明する。クライアント装置１１－ｎの取得部１１２－ｎが、秘密計算装置１２－Ｌ（ｒ）をリーダーＬＥＡＤｒとして認定した場合、当該クライアント装置１１－ｎの提供部１１５－ｎは、記憶部１１１－ｎから秘匿情報［ａ－ｎ］Ｌ（ｒ）を抽出し、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を、リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）（ただしｒ＝１，…，Ｒ）に送信する（ステップＳ１１５－ｎ）。
　リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）（図２Ｂ）の取得部１２１－Ｌ（ｒ）は、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を取得（受信）し、記憶部１２７－Ｌ（ｒ）に格納する。クライアント装置１１－１，…，１１－Ｎから送信されたすべての秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）が記憶部１２７－Ｌ（ｒ）に格納されると、秘密計算部１２２－Ｌ（ｒ）は、記憶部１２７－Ｌ（ｒ）から秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を抽出する。さらに秘密計算部１２２－Ｌ（ｒ）は、前述の処理要求（ブロックチェーンを用いたスマートコントラクト機能からの処理要求）に従って、これらの秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）に対して秘密計算を行って、秘密計算結果［ｂ］Ｌ（ｒ）を得て出力する。秘密計算結果［ｂ］Ｌ（ｒ）は、提供部１２３－Ｌ（ｒ）と一方向性関数演算部１２８ｂ－Ｌ（ｒ）に送られる。また当該秘密計算の対象となった秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）も、一方向性関数演算部１２８ｂ－Ｌ（ｒ）に送られる（ステップＳ１２２－Ｌ（ｒ））。
　提供部１２３－Ｌ（ｒ）は、前述した処理要求に含まれた送信先に秘密計算結果［ｂ］Ｌ（ｒ）を送信する。例えば、秘密計算結果［ｂ］Ｌ（ｒ）はクライアント装置１１－１，…，１１－Ｎに送信される。クライアント装置１１－ｎ（図２Ａ）の取得部１１２－ｎは、送信された秘密計算結果［ｂ］Ｌ（ｒ）を取得（受信）し、記憶部１１１－ｎに格納する。取得部１１２－ｎは、さらに複数の秘密計算結果［ｂ］Ｌ（ｒ）（ただし、Ｌ（ｒ）∈｛Ｌ（１），…，Ｌ（Ｒ）｝）から秘密計算結果［ｂ］Ｌ（ｒ）を復元して演算結果ｂを得、当該演算結果ｂを記憶部１１１－ｎに格納してもよい。さらに、演算結果ｂまたは秘密計算結果［ｂ］Ｌ（ｒ）が、新たなオリジナル情報ａ－ｎを特定する情報とされてもよい（ステップＳ１１２－ｎ）。
　また、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）を受け取った秘密計算装置１２－Ｌ（ｒ）（図２Ｂ）の一方向性関数演算部１２８ｂ－Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）の少なくとも何れかの一方向性関数値を得て出力する。
　＜例１－１＞
　例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）は、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）それぞれの一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ）），…，ＨＮ（［ａ－Ｎ］Ｌ（ｒ）），ＨＮ＋１（［ｂ］Ｌ（ｒ））を得て出力する。ただし、Ｈβ（α）はαに対して一方向性関数Ｈβを作用させて得られる一方向性関数値を表す。一方向性関数Ｈβは、入力値に対して暗号学的に衝突困難な関数であれば、どのようなものであってもよい。例えば、一方向性関数Ｈβは、暗号学的なハッシュ関数であってもよいし、暗号化鍵が入力された確定的暗号方式の暗号関数であってもよい。前者の場合、一方向性関数値はハッシュ値であり、後者の場合、一方向性関数値は暗号文である。一方向性関数Ｈ１，…，ＨＮ，ＨＮ＋１は、互いに同一（Ｈ＝Ｈ１＝…＝ＨＮ＝ＨＮ＋１）であってもよいし、これらの少なくとも一部が互いに異なっていてもよい。
　＜例１－２＞
　あるいは、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）の関数値（例えば、ビット結合値）の一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ），［ｂ］Ｌ（ｒ））を得て出力してもよい。
　＜例１－３＞
　あるいは、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）の関数値の一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ））、および秘密計算結果［ｂ］Ｌ（ｒ）の一方向性関数値Ｈ２（［ｂ］Ｌ（ｒ））を得て出力してもよい。
　＜例１－４＞
　あるいは、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ））のみを得て出力してもよいし、一方向性関数値Ｈ２（［ｂ］Ｌ（ｒ））のみを得て出力してもよい。その他、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）の少なくとも何れかと他の情報との関数値（例えば、ビット結合値）の一方向性関数値を得て出力してもよい。
　ただし、これらは単なる例示であって本発明を限定するものではない。一方向性関数演算部１２８ｂ－Ｌ（ｒ）から出力された単数または複数の一方向性関数値は、ブロック処理部１２８ｃ－Ｌ（ｒ）に送られる（ステップＳ１２８ｂ－Ｌ（ｒ））。
　各ブロック処理部１２８ｃ－Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、受け取った一方向性関数値を各ブロックチェーンＢＣｒの最新のブロックＢｒ（ｉｒ）に格納する。ここで、ブロックＢｒ（ｉｒ）は、秘密計算装置１２－Ｌ（ｒ）が合意を得たブロックであり、ｉｒはブロックチェーンＢＣｒのブロックを表す正整数のインデックスである。図３に、一方向性関数値が前述の例１－１のＨ１（［ａ－１］Ｌ（ｒ）），…，ＨＮ（［ａ－Ｎ］Ｌ（ｒ）），ＨＮ＋１（［ｂ］Ｌ（ｒ））であり、さらにＨ＝Ｈ１＝…＝ＨＮ＝ＨＮ＋１である場合を例示する。この場合、ブロック処理部１２８ｃ－Ｌ（ｒ）は、一方向性関数値Ｈ（［ａ－１］Ｌ（ｒ）），…，Ｈ（［ａ－Ｎ］Ｌ（ｒ）），Ｈ（［ｂ］Ｌ（ｒ））をブロックＢｒ（ｉｒ）に格納する。その後、ブロックＢｒ（ｉｒ）に続く新たなブロックが生成されていく（ステップＳ１２８ｃ－Ｌ（ｒ））。
　［本実施形態の特徴］
　本実施形態では、ｒ＝１，…，Ｒについて、ブロックチェーンＢＣｒのノードである秘密計算装置１２－Ｌ（ｒ）（計算装置）が、ブロックチェーンＢＣｒのコンセンサスアルゴリズムで合意を得るための処理を実行し、ブロックチェーンＢＣｒのコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、ブロックチェーンＢＣｒのブロックＢｒ（ｉｒ）に格納した。ブロックチェーンＢＣｒの安全性が保たれる限り、ブロックＢｒ（ｉｒ）に格納された情報は改ざんできない。これにより、秘密計算装置１２－Ｌ（ｒ）が行った処理を監視・検証することが可能になる。
　また、本実施形態の秘密計算装置１２－Ｌ（ｒ）の秘密計算部１２２－Ｌ（ｒ）は、ブロックチェーンＢＣｒを用いたスマートコントラクト機能からの処理要求に従って秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）に対して秘密計算を行って秘密計算結果［ｂ］Ｌ（ｒ）を得た。これにより、秘密計算装置１２－Ｌ（ｒ）の秘密計算処理を制御し、秘密計算装置１２－Ｌ（ｒ）の不正を抑制できる。
　さらに、本実施形態の秘密計算装置１２－Ｌ（ｒ）は、スマートコントラクト機能からの処理要求以外の要求をブロックする。これにより、秘密計算装置１２－Ｌ（ｒ）の不正を抑制できる。
　また、本実施形態のＲ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）は、上述の一方向性関数値を、Ｒ個のブロックチェーンＢＣ１，…，ＢＣＲのブロックにそれぞれ格納する。すなわち、秘密計算装置１２－Ｌ（ｒ１）（計算装置）が、ブロックチェーンＢＣｒ１のコンセンサスアルゴリズムで合意を得るための処理を実行し、ブロックチェーンＢＣｒ１のコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、ブロックチェーンＢＣｒ１のブロックＢｒ１（ｉｒ１）に格納する。さらに、他の秘密計算装置１２－Ｌ（ｒ２）（計算装置）が、ブロックチェーンＢＣｒ１以外の他のブロックチェーンＢＣｒ２のコンセンサスアルゴリズムで合意を得るための処理を実行し、ブロックチェーンＢＣｒ２のコンセンサスアルゴリズムで合意が得られた場合に、当該オリジナル情報に基づく情報を秘密分散することによって得られる他の秘匿情報および当該他の秘匿情報に対して秘密計算を行って得られる他の秘匿情報秘密計算結果の少なくとも何れかの一方向性関数値を、他のブロックチェーンＢＣｒ２のブロックＢｒ２（ｉｒ２）に格納する。ただし、ｒ１≠ｒ２，ｒ１，ｒ２∈｛１，…，Ｒ｝である。これにより、何れかのブロックチェーンの安全性が損なわれた場合であっても、他のブロックチェーンの安全性が保たれている限り、秘密計算装置が行った処理を監視・検証できる。
　［第１実施形態の変形例１］
　以下、第１実施形態との相違点を中心に説明し、すでに説明した事項については説明を簡略化する。第１実施形態では、Ｒ個のブロックチェーンＢＣ１，…，ＢＣＲに対し、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択され、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）が、前述の一方向性関数値を、ブロックチェーンＢＣ１，…，ＢＣＲのブロックＢ１（ｉ１），…，ＢR（ｉR）にそれぞれ格納した。しかし、クラウド１３のブロックチェーン基盤上の１個のブロックチェーンＢＣ１に対し、並列にＲ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択され、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）が、前述の一方向性関数値を、ブロックチェーンＢＣ１のブロックＢ１（ｉ１）に格納してもよい。以下、具体的に説明する。
　＜構成＞
　本変形例では、図４に例示するように、クラウド１３のブロックチェーン基盤に少なくとも１個のブロックチェーンＢＣ１が設定されていればよい。その他は第１実施形態の構成と同じである。
　＜秘密分散処理＞
　第１実施形態と同じである。
　＜秘密計算処理＞
　まず、第１実施形態のステップＳ１２８ａ－ｍの処理に代えて、各秘密計算装置１２－ｍの合意処理部１２８ａ‐ｍ（ただし、ｍ＝１，…，Ｍ）が、クラウド１３のブロックチェーン基盤に接続し、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意を得るための処理を実行する。本変形例では、コンセンサスアルゴリズムによってブロックチェーンＢＣ１に対して、いずれかＲ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択される（｛Ｌ（１），…，Ｌ（Ｒ）｝⊆｛１，…，Ｍ｝）（ステップＳ１２８ａ（１）－ｍ）。
　その後、第１実施形態で説明したステップＳ１３１，Ｓ１１５－ｎ，Ｓ１２２－Ｌ（ｒ），Ｓ１１２－ｎ，Ｓ１２８ｂ－Ｌ（ｒ）で説明した処理が実行される。
　その後、各秘密計算装置１２－Ｌ（ｒ）のブロック処理部１２８ｃ－Ｌ（ｒ）（ここで、ｒ＝１，…，Ｒ）は、受け取った一方向性関数値をブロックチェーンＢＣ１の最新のブロックＢ１（ｉ１）（ブロックチェーンＢＣ１のコンセンサスアルゴリズムで秘密計算装置１２－Ｌ（ｒ）が合意を得たブロック）に格納する。図４に、一方向性関数値が前述の例１－１のＨ１（［ａ－１］Ｌ（ｒ）），…，ＨＮ（［ａ－Ｎ］Ｌ（ｒ）），ＨＮ＋１（［ｂ］Ｌ（ｒ））であり、さらにＨ＝Ｈ１＝…＝ＨＮ＝ＨＮ＋１である場合を例示する（ステップＳ１２８ｃ（１）－Ｌ（ｒ））。その他は第１実施形態と同じである。
　［本変形例の特徴］
　本変形例では、ブロックチェーンＢＣ１のノードである秘密計算装置１２－Ｌ（ｒ１）（計算装置）が、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意を得るための処理を実行し、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、ブロックチェーンＢＣ１のブロックＢ１（ｉ１）に格納する。さらに、ブロックチェーンＢＣ１の他のノードである他の秘密計算装置１２－Ｌ（ｒ２）（他の計算装置）も、同じブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意を得るための処理を実行し、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意が得られた場合に、当該オリジナル情報に基づく情報を秘密分散することによって得られる他の秘匿情報および当該他の秘匿情報に対して秘密計算を行って得られる他の秘匿情報秘密計算結果の少なくとも何れかの一方向性関数値を、当該ブロックチェーンＢＣ１のブロックＢ１（ｉ１）に格納する。ブロックＢ１（ｉ１）は、他の計算装置によって他の秘匿情報および他の秘密計算結果の少なくとも何れかの一方向性関数値が格納されたブロックチェーンのブロックに相当する。ただし、ｒ１≠ｒ２，ｒ１，ｒ２∈｛１，…，Ｒ｝である。このようにしても、第１実施形態と同様に、秘密計算装置１２－Ｌ（ｒ）が行った処理を監視・検証することが可能になる。
　［第１実施形態の変形例２］
　第１実施形態では、Ｒ個のブロックチェーンＢＣ１，…，ＢＣＲに対し、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択され、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）が、前述の一方向性関数値を、ブロックチェーンＢＣ１，…，ＢＣＲのブロックＢ１（ｉ１），…，ＢR（ｉR）にそれぞれ格納した。しかし、クラウド１３のブロックチェーン基盤上の１個のブロックチェーンＢＣ１の複数のブロックＢ１（ｉ１），…，Ｂ１（ｉＲ）に対し、順番に（直列に）Ｒ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択され、各秘密計算装置１２－Ｌ（ｒ）が、前述の一方向性関数値を、自らがリーダーＬＥＡＤｒとして選択されたブロックＢ１（ｉｒ）に順番に格納してもよい。ただし、秘密計算はＲ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択された後に行われるため、秘密計算結果［ｂ］Ｌ（ｒ）を含む情報の一方向性関数値は、最後にリーダーＬＥＡＤRとして選択された秘密計算装置１２－Ｌ（Ｒ）がブロックＢ１（ｉＲ）に格納する。なお、Ｒ個の秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択された後に秘密計算を行うことで、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ）の間での通信を伴う秘密計算（例えば、秘密計算での乗算など）も可能となる。以下、具体的に説明する。
　＜構成＞
　本変形例では、図５に例示するように、クラウド１３のブロックチェーン基盤に少なくとも１個のブロックチェーンＢＣ１が設定されていればよい。その他は第１実施形態の構成と同じである。
　＜秘密分散処理＞
　第１実施形態と同じである。
　まず、第１実施形態のステップＳ１２８ａ－ｍの処理に代えて、各秘密計算装置１２－ｍの合意処理部１２８ａ‐ｍ（ただし、ｍ＝１，…，Ｍ）が、クラウド１３のブロックチェーン基盤に接続し、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで合意を得るための処理を実行する。本変形例では、コンセンサスアルゴリズムによってブロックチェーンＢＣ１に対して、いずれか１個の秘密計算装置１２－Ｌ（ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択される（ｒ∈｛１，…，Ｍ｝）（ステップＳ１２８ａ（２）－ｍ）。
　いずれかの秘密計算装置１２－Ｌ（ｒ）がリーダーＬＥＡＤｒとして選択されると、第１実施形態のステップＳ１３１の処理に代えて、クラウド１３のブロックチェーン基盤のスマートコントラクト機能が、この秘密計算装置１２－Ｌ（ｒ）に対し、秘密計算のための秘匿情報を得る旨の処理要求を送信する（ステップＳ１３１（２））。
　次に、第１実施形態のステップＳ１１５－ｎの処理に代えて、リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）の取得部１２１－Ｌ（ｒ）（図２Ｂ）は、当該処理要求を取得する（受信する）。この処理要求に従い、当該取得部１２１－Ｌ（ｒ）は、クライアント装置１１－１，…，１１－Ｎの取得部１１２－１，…，１１２－Ｎ（図２Ａ）に接続し、秘密計算装置１２－Ｌ（ｒ）がリーダーＬＥＡＤｒであることを証明するための処理を実行する。クライアント装置１１－ｎの取得部１１２－ｎが、秘密計算装置１２－Ｌ（ｒ）をリーダーＬＥＡＤｒとして認定した場合、当該クライアント装置１１－ｎの提供部１１５－ｎは、記憶部１１１－ｎから秘匿情報［ａ－ｎ］Ｌ（ｒ）を抽出し、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を、リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）に送信する（ステップＳ１１５（２）－ｎ）。
　第１実施形態のステップＳ１２２－Ｌ（ｒ）に代え、リーダーＬＥＡＤｒである秘密計算装置１２－Ｌ（ｒ）（図２Ｂ）の取得部１２１－Ｌ（ｒ）は、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を取得（受信）し、記憶部１２７－Ｌ（ｒ）に格納する。クライアント装置１１－１，…，１１－Ｎから送信されたすべての秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）が記憶部１２７－Ｌ（ｒ）に格納されると、一方向性関数演算部１２８ｂ－Ｌ（ｒ）は、記憶部１２７－Ｌ（ｒ）から秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を抽出する。一方向性関数演算部１２８ｂ－Ｌ（ｒ）は、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）の一方向性関数値を得て出力する。
　＜例２－１＞
　例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）は、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）それぞれの一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ）），…，ＨＮ（［ａ－Ｎ］Ｌ（ｒ））を得て出力する。
　＜例２－２＞
　あるいは、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）の関数値（例えば、ビット結合値）の一方向性関数値Ｈ１（［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ））を得て出力してもよい。
　＜例２－３＞
　あるいは、例えば、一方向性関数演算部１２８ｂ－Ｌ（ｒ）が、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）と他の情報との関数値（例えば、ビット結合値）の一方向性関数値を得て出力してもよい。
　ただし、これらは単なる例示であって本発明を限定するものではない。一方向性関数演算部１２８ｂ－Ｌ（ｒ）から出力された単数または複数の一方向性関数値は、ブロック処理部１２８ｃ－Ｌ（ｒ）に送られる（ステップＳ１２８ｂ（２）－Ｌ（ｒ））。
　次に、図５に例示するように、第１実施形態で説明したステップＳ１２８ｃ－Ｌ（ｒ）の処理に代えて、ブロック処理部１２８ｃ－Ｌ（ｒ）が、受け取った一方向性関数値をブロックチェーンＢＣ１の最新のブロックＢ１（ｉｒ）に格納する。このブロックＢ１（ｉｒ）は、秘密計算装置１２－Ｌ（ｒ）が合意を得たブロックである（ステップＳ１２８ｃ（２）－Ｌ（ｒ））。
　これらのステップＳ１２８ａ（２）－ｍ，Ｓ１３１（２），Ｓ１１５（２）－ｎ，ステップＳ１２８ｂ（２）－Ｌ（ｒ），Ｓ１２８ｃ（２）－Ｌ（ｒ）の処理は、ｒ＝１，…，Ｒについて順番に直列に実行される（図５）。その後、各リーダーＬＥＡＤｒである秘密計算装置１２ｒ－Ｌ（ｒ）（図２Ｂ）の取得部１２１－Ｌ（ｒ）の秘密計算部１２２－Ｌ（ｒ）は（ただし、ｒ＝１，…，Ｒ）、記憶部１２７－Ｌ（ｒ）から秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を抽出する。さらに秘密計算部１２２－Ｌ（ｒ）は、前述の処理要求（ブロックチェーンを用いたスマートコントラクト機能からの処理要求）に従って、これらの秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）に対して秘密計算を行って秘密計算結果［ｂ］Ｌ（ｒ）を得て出力する。各秘密計算結果［ｂ］Ｌ（ｒ）は、提供部１２３－Ｌ（ｒ）と一方向性関数演算部１２８ｂ－Ｌ（ｒ）に送られる（ステップＳ１２２（２）－Ｌ（ｒ））。
　提供部１２３－Ｌ（ｒ）は、前述した処理要求に含まれた送信先に秘密計算結果［ｂ］Ｌ（ｒ）を送信する。クライアント装置１１－ｎ（図２Ａ）の取得部１１２－ｎは、送信された秘密計算結果［ｂ］Ｌ（ｒ）を取得（受信）し、記憶部１１１－ｎに格納する。取得部１１２－ｎは、さらに複数の秘密計算結果［ｂ］Ｌ（ｒ）（ただし、Ｌ（ｒ）∈｛Ｌ（１），…，Ｌ（Ｒ）｝）から秘密計算結果［ｂ］Ｌ（ｒ）を復元して演算結果ｂを得、当該演算結果ｂを記憶部１１１－ｎに格納してもよい。さらに、演算結果ｂまたは秘密計算結果［ｂ］Ｌ（ｒ）が、新たなオリジナル情報ａ－ｎを特定する情報とされてもよい（ステップＳ１１２（２）－ｎ）。
　また秘密計算結果［ｂ］Ｌ（ｒ）を受け取った秘密計算装置１２－Ｌ（ｒ）（図２Ｂ）の一方向性関数演算部１２８ｂ－Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、秘密計算結果［ｂ］Ｌ（ｒ）の一方向性関数値Ｈ（［ｂ］Ｌ（ｒ））を得て出力する。秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）の一方向性関数演算部１２８ｂ－Ｌ（１），…，１２８ｂ－Ｌ（Ｒ－１）から出力された一方向性関数値Ｈ（［ｂ］Ｌ（１）），…，Ｈ（［ｂ］Ｌ（R－１））は、それぞれ提供部１２３－Ｌ（１），…，１２３－Ｌ（Ｒ－１）から秘密計算装置１２－Ｌ（Ｒ）に送信される。これらの一方向性関数値Ｈ（［ｂ］Ｌ（１）），…，Ｈ（［ｂ］Ｌ（R－１））は、秘密計算装置１２－Ｌ（Ｒ）の取得部１２１－Ｌ（Ｒ）で受信され、ブロック処理部１２８ｃ－Ｌ（Ｒ）に送られる。また秘密計算装置１２－Ｌ（Ｒ）の一方向性関数演算部１２８ｂ－Ｌ（Ｒ）から出力された一方向性関数値Ｈ（［ｂ］Ｌ（Ｒ））も、ブロック処理部１２８ｃ－Ｌ（Ｒ）に送られる。ブロック処理部１２８ｃ－Ｌ（Ｒ）は、受け取った一方向性関数値Ｈ（［ｂ］Ｌ（１）），…，Ｈ（［ｂ］Ｌ（R））をブロックチェーンＢＣ１の最新のブロックＢ１（ｉR）に格納する。ブロックＢ１（ｉR）は、秘密計算装置１２－Ｌ（Ｒ）が合意を得たブロックである（ステップＳ１２８ｃ（２）’－Ｌ（Ｒ））（図５）。
　［本変形例の特徴］
　本変形例では、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）（他の計算装置）の合意が得られた後に、当該ブロックチェーンＢＣ１のコンセンサスアルゴリズムで秘密計算装置１２－Ｌ（Ｒ）（計算装置）の合意が得られる。当該ブロックチェーンＢＣ１のコンセンサスアルゴリズムで当該秘密計算装置１２－Ｌ（Ｒ）の合意が得られた後、秘密計算装置１２－Ｌ（Ｒ）は、秘匿情報に対して秘密計算を行って秘密計算結果を得、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）（他の計算装置）が他の秘匿情報に対して秘密計算を行って他の秘密計算結果を得る。秘密計算装置１２－Ｌ（Ｒ）は、秘密計算装置１２－Ｌ（Ｒ）で得た秘密計算結果の一方向性関数値および秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）（他の計算装置）で得た秘密計算結果の一方向性関数値を、ブロックチェーンＢＣ１の最新のブロックＢ１（ｉR）に格納する（図５）。これによっても、第１実施形態と同様に、秘密計算装置１２－Ｌ（ｒ）が行った処理を監視・検証することが可能になる。
　また、本変形例では、ブロックチェーンＢＣ１のコンセンサスアルゴリズムで各秘密計算装置１２－Ｌ（ｒ’）（他の計算装置）（ｒ’∈｛１，…，Ｒ－１｝）の合意が得られた後に、各秘密計算装置１２－Ｌ（ｒ’）（他の計算装置）で得られた秘匿情報（他の秘匿情報）の一方向性関数値が、各秘密計算装置１２－Ｌ（ｒ’）（他の計算装置）によって、ブロックチェーンＢＣ１のブロックＢ１（ｉｒ’）に逐一格納される（図５）。これにより、各秘密計算装置１２－Ｌ（ｒ’）が秘匿情報を受け取った時点のブロックＢ１（ｉｒ’）に、当該秘匿情報の一方向性関数値が格納されるため、より厳密に秘密計算装置１２－Ｌ（ｒ）が行った処理を監視・検証することが可能になる。その後、当該ブロックチェーンＢＣ１のコンセンサスアルゴリズムで秘密計算装置１２－Ｌ（Ｒ）（計算装置）の合意が得られる。当該ブロックチェーンＢＣ１のコンセンサスアルゴリズムで当該秘密計算装置１２－Ｌ（Ｒ）の合意が得られた後に、秘密計算装置１２－Ｌ（Ｒ）は、秘匿情報に対して秘密計算を行って秘密計算結果を得、秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）（他の計算装置）が他の秘匿情報に対して秘密計算を行って他の秘密計算結果を得る。秘密計算装置１２－Ｌ（Ｒ）は、秘密計算装置１２－Ｌ（Ｒ）で得た秘密計算結果の一方向性関数値および秘密計算装置１２－Ｌ（１），…，１２－Ｌ（Ｒ－１）（他の計算装置）で得た秘密計算結果の一方向性関数値を、ブロックチェーンＢＣ１の最新のブロックＢ１（ｉR）に格納する（図５）。
　なお、さらなる変形例として、各秘密計算装置１２－Ｌ（ｒ’）（ｒ’∈｛１，…，Ｒ－１｝）の合意が得られた後に、各秘密計算装置１２－Ｌ（ｒ’）で得られた秘匿情報の一方向性関数値が、各秘密計算装置１２－Ｌ（ｒ’）によって、ブロックチェーンＢＣ１のブロックＢ１（ｉｒ’）に逐一格納されるのではなく、これらの一方向性関数値も、秘密計算装置１２－Ｌ（Ｒ）によって、ブロックＢ１（ｉR）に格納されてもよい（図４）。
　［第１実施形態の変形例３］
　第１実施形態およびその変形例では、クラウド１３のブロックチェーン基盤に各秘密計算装置１２－ｍ（ただし、ｍ＝１，…，Ｍ）が実行する秘密計算の処理内容が実装されていた。しかしながら、各秘密計算装置１２－ｍが実行する秘密計算の処理内容が、各秘密計算装置１２－ｍの秘密計算部１２２－ｍに実装されていてもよい。この場合には、各秘密計算装置１２－ｍは、スマートコントラクト機能からの処理要求ではなく、自らに実装された処理内容に基づいて秘密計算を実行する。また、各秘密計算装置１２－ｍが実行する秘密計算の処理内容が、ブロックチェーン基盤と秘密計算部１２２－ｍとに分散して実装されていてもよい。
　［第１実施形態の変形例４］
　第１実施形態またはその変形例において、秘密計算装置１２－Ｌ（ｒ）の提供部１２３－Ｌ（ｒ）が、秘密計算結果［ｂ］Ｌ（ｒ）を特定のクライアント装置１１－ｎ（ｎ∈｛１，…，Ｎ｝）に送信してよいか否かを、クラウド１３のブロックチェーン基盤のスマートコントラクト機能が持つ合意確認処理（投票処理）で決定してもよい。この場合、各秘密計算装置１２－Ｌ（ｒ）は、当該合意確認処理を実行し、その結果に従って、秘密計算結果［ｂ］Ｌ（ｒ）を特定のクライアント装置１１－ｎに送信してよいか否かを判断する。ここで、特定のクライアント装置１１－ｎに送信してよいとの結果が得られた場合にのみ、各秘密計算装置１２－Ｌ（ｒ）は、当該秘密計算結果［ｂ］Ｌ（ｒ）を当該特定のクライアント装置１１－ｎに送信する。これにより、より安全性が向上する。
　［第１実施形態の変形例５］
　第１実施形態またはその変形例では、秘密計算装置１２－Ｌ（ｒ）の秘密計算部１２２－Ｌ（ｒ）が、すべての秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を得てから秘密計算を実行した。しかしながら、秘密計算の内容によっては、秘密計算部１２２－Ｌ（ｒ）が、すべての秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を得る前に（例えば、タイムアウトした場合に）、取得済の一部の秘匿情報のみを用いて秘密計算を実行し、秘密計算結果［ｂ］Ｌ（ｒ）を得てもよい。
　［第１実施形態の変形例６］
　また、コンセンサスアルゴリズムとしてNonceのマイニングを行うことなく合意を与えるアルゴリズム（例えば、PoS）を用い、当該コンセンサスアルゴリズムによって合意を得たクライアント装置１１－１，…，１１－Ｎが、オリジナル情報ａ－ｎの秘匿情報［ａ－ｎ］Ｌ（ｒ）の一方向性関数値を、上述したブロックチェーンのブロック（例えば、最初のブロック）に格納してもよい。これにより、さらに安全性が向上する。
　［第２実施形態］
　第２実施形態は、第１実施形態およびその変形例を、秘密計算による連合学習（Federated learning）に応用した形態である。連合学習とは、学習データを集約せずに分散した状態で機械学習を行う技術である。連合学習では、複数のモデル学習装置が、自ら保持する学習データ（ローカル学習データ）を用いた機械学習を行ってワーカーモデル（ローカルモデル）を生成し、生成したワーカーモデルを連合学習装置に送信する。連合学習装置は、複数のモデル学習装置から送られたワーカーモデルを集約した集約モデル（グローバルモデル）を生成し、生成した集約モデルを複数のモデル学習装置に送信する。集約モデルを受け取った複数のモデル学習装置は、自ら保持する学習データを用いた機械学習によって当該集約モデルをさらに更新して新たなワーカーモデルを生成し、生成したワーカーモデルを連合学習装置に送信する。このような処理を繰り返すことにより、各モデル学習装置は、自ら保持する学習データを外部に渡すことなく、複数のモデル学習装置に保持された学習データが機械学習に反映された集約モデルを得ることができる。
　しかし、通常の連合学習では、連合学習装置が各モデル学習装置から平文のワーカーモデルを受け取る。そのため、連合学習装置は、送信した集約モデルと受け取ったワーカーモデルとの違いに基づいて、各モデル学習装置が保持する学習データの傾向を知ることができる。
　そのため、本実施形態では、モデル学習装置がワーカーモデルを連合学習装置に送信することに代えて、モデル学習装置がワーカーモデルを特定する情報の秘匿情報を秘密連合学習装置に送信することにする。秘密連合学習装置は、複数のモデル学習装置から複数のワーカーモデルを特定する情報の秘匿情報を得、当該複数のワーカーモデルを特定する情報の秘匿情報を用いた秘密計算によって、当該複数のワーカーモデルを得ることなく、当該複数のワーカーモデルを集約した集約モデルを特定する情報の秘匿情報を得、当該集約モデルを特定する情報または集約モデルを特定する情報の秘匿情報を複数のモデル学習装置に送信する。各モデル学習装置は、秘匿情報から集約モデルを特定する情報を復元し、自ら保持する学習データ（ローカル学習データ）を用いた機械学習によって当該集約モデルを更新して新たなワーカーモデルを得る。さらに各モデル学習装置は、同様にワーカーモデルを特定する情報の秘匿情報を秘密連合学習装置に送信する。このような処理を繰り返すことにより、各モデル学習装置は、自ら保持する学習データの情報を守りつつ、複数のモデル学習装置に保持された学習データが機械学習に反映された集約モデルを得ることができる。
　本実施形態では、このような手法に第１実施形態およびその変形例を適用する。この場合、第１実施形態およびその変形例で説明したクライアント装置１１－ｎはモデル学習装置に相当し、秘密計算装置１２－ｍは秘密連合学習装置に相当する。本実施形態のクライアント装置１１－ｎの記憶部１１１－ｎに格納されるオリジナル情報ａ－ｎは、連合学習における集約モデルを特定する情報である。集約モデルを特定する情報は、例えば、集約モデルのモデルパラメータ群である。またクライアント装置１１－ｎの記憶部１１１－ｎには、さらに学習データＤ－ｎ（ローカル学習データ）も格納される。
　クライアント装置１１－ｎの処理部１１３－ｎは、記憶部１１１－ｎから読み出した学習データＤ－ｎを用いた機械学習によって、記憶部１１１－ｎから読み出したオリジナル情報ａ－ｎ（集約モデルを特定する情報）によって特定される集約モデルを更新してワーカーモデルを得、当該ワーカーモデルを特定する情報を、オリジナル情報ａ－ｎに基づく情報として出力する。ワーカーモデルを特定する情報は、例えば、ワーカーモデルのモデルパラメータ群である。集約モデルおよびワーカーモデルは、公知の機械学習モデルである。集約モデルおよびワーカーモデルに限定はなく、例えば、ディープラーニング方式に基づくモデルであってもよいし、隠れマルコフモデル方式に基づくモデルであってもよいし、サポートベクターマシーン方式に基づくモデルであってもよいし、線形予測に基づくモデルであってもよい。ただし、本実施形態で扱うすべての集約モデルおよびワーカーモデルは、同一方式に基づくモデルである。秘匿部１１４－ｎは、ワーカーモデルを特定する情報（オリジナル情報ａ－ｎに基づく情報）を秘密分散することによって、Ｒ個の秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）（ワーカーモデルを特定する情報の秘匿情報）を得て出力する。
　本実施形態の秘密計算は、秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）を用いて、当該ワーカーモデルを得ることなく、集約モデルを特定する情報の秘匿情報である秘密計算結果［ｂ］Ｌ（ｒ）を得る計算である。秘密計算装置１２－Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）を用い、この秘密計算によって、集約モデルを特定する情報の秘匿情報である秘密計算結果［ｂ］Ｌ（ｒ）を得て出力する。例えば、ワーカーモデルを特定する情報ａ－ｎが当該ワーカーモデルのモデルパラメータ群｛ｐ１（ｎ），…，ｐＫ（ｎ）｝である場合、｛ｎ１，…，ｎｍａｘ｝⊆｛１，…，Ｎ｝についてのモデルパラメータ群｛ｐ１（ｎ１），…，ｐＫ（ｎ１）｝，…，｛ｐ１（ｎｍａｘ），…，ｐＫ（ｎｍａｘ）｝を集約したモデルパラメータ群｛ｐ１，…，ｐＫ｝が集約モデルを特定する情報となる。例えば、ｐｋはｐｋ（ｎ１），…，ｐｋ（ｎｍａｘ）の重み付き線形結合値や平均値などの関数値である。ただし、ｋはモデルパラメータを識別するインデックスｋ＝１，…，Ｋであり、Ｋは正整数である。得られた秘密計算結果［ｂ］Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、クライアント装置１１－ｎ（ただし、ｎ＝１，…，Ｎ）に送信される。クライアント装置１１－ｎの取得部１１２－ｎは、秘密計算結果［ｂ］Ｌ（ｒ）を受信し、秘密計算結果［ｂ］Ｌ（ｒ）から復元された演算結果ｂ（集約モデルを特定する情報）を新たなオリジナル情報ａ－ｎとして記憶部１１１－ｎに格納する。
　その後、所定の終了条件を満たすまで、上述の処理を繰り返す。これにより、安全性が高く、秘密計算の不正な処理を監視・検証することができる連合学習が可能となる。
　＜具体例＞
　以下、第１実施形態を秘密計算による連合学習に応用した形態を例示する。しかし、これは本発明を限定するものではない。
　＜構成＞
　図１に例示するように、本実施形態の秘密計算システム２は、Ｎ個のクライアント装置２１－１，…，２１－Ｎ（モデル学習装置）、およびＭ個の秘密計算装置２２－１，…，２２－Ｍ（秘密連合学習装置、計算装置）を有し、これらはネットワーク上のクラウド１３に通信可能に接続されている。図３に例示するように、本実施形態のブロックチェーン基盤には、少なくともＲ個のブロックチェーンＢＣ１，・・，ＢＣＲが設定されている。
　図２Ａに例示するように、本実施形態のクライアント装置２１－ｎは、記憶部１１１－ｎ、取得部１１２－ｎ、処理部２１３－ｎ、秘匿部１１４－ｎ、提供部１１５－ｎ、および制御部１１６－ｎを有する。クライアント装置２１－ｎは、制御部１１６－ｎに基づいて各処理を実行する。クライアント装置２１－ｎの各部で得られた情報（データ）は、記憶部１１１－ｎに格納され、必要に応じて読み出されて使用される。クライアント装置２１－ｎは、クラウド１３のブロックチェーン基盤の何れかのブロックチェーンのノードである。クライアント装置２１－ｎの取得部１１２－ｎは、クラウド１３のブロックチェーン基盤のスマートコントラクト機能からの処理要求を受け付けることが可能なように構成されている。
　図２Ｂに例示するように、本実施形態の秘密計算装置２２－ｍは、取得部１２１－ｍ、秘密計算部２２２－ｍ、提供部１２３－ｍ、制御部１２６－ｍ、記憶部１２７－ｍ、合意処理部１２８ａ－ｍ、一方向性関数演算部１２８ｂ－ｍ、およびブロック処理部１２８ｃ－ｍを有する。秘密計算装置２２－ｍは、制御部１２６－ｍに基づいて各処理を実行する。秘密計算装置２２－ｍの各部で得られた情報（データ）は、記憶部１２７－ｍに格納され、必要に応じて読み出されて使用される。
　＜秘密分散処理＞
　各クライアント装置２１－ｎの記憶部１１１－ｎには、学習データＤ－ｎが格納されている。クライアント装置２１－ｎの取得部１１２－ｎは、連合学習における集約モデルを特定する情報（オリジナル情報ａ－ｎ）を受け取り、オリジナル情報ａ－ｎを記憶部１１１－ｎに格納する。連合学習が未だ行われていない場合、取得部１１２－ｎは集約モデルを特定する情報の初期情報をオリジナル情報ａ－ｎを特定する情報として受け取る。取得部１１２ｎは、オリジナル情報ａ－ｎ（集約モデル）そのものを表す情報を受け取った場合には、そのオリジナル情報ａ－ｎを記憶部１１１－ｎに格納し、オリジナル情報ａ－ｎの秘匿情報を受け取った場合には当該秘匿情報から復元したオリジナル情報ａ－ｎ（集約モデル）を記憶部１１１－ｎに格納する（ステップＳ１１１－ｎ）。
　処理部２１３－ｎは、記憶部１１１－ｎからオリジナル情報ａ－ｎ（集約モデル）と学習データＤ－ｎとを読み出し、学習データＤ－ｎを用いた機械学習によって、オリジナル情報ａ－ｎによって特定される集約モデルを更新してワーカーモデルを得、当該ワーカーモデルを特定する情報（例えば、モデルパラメータ群）を、オリジナル情報ａ－ｎに基づく情報として秘匿部１１４－ｎに送る（ステップＳ２１３－ｎ）。
　秘匿部１１４－ｎは、送られたオリジナル情報ａ－ｎに基づく情報（ワーカーモデルを特定する情報）を秘密分散することによって、Ｒ個の秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）を得て出力する。秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）は、記憶部１１１－ｎに格納される（ステップＳ１１４－ｎ）。
　＜秘密計算処理＞
　この前提のもと、秘密計算処理が実行される。
　まず、秘密計算装置２２－１，…，２２－Ｍの合意処理部１２８ａ‐１，…，１２８ａ‐Ｍ（図２Ｂ）は、クラウド１３のブロックチェーン基盤に接続し、当該ブロックチェーン基盤のブロックチェーンＢＣ１，・・，ＢＣＲのコンセンサスアルゴリズムで合意を得るための処理を実行する。（ステップＳ１２８ａ－ｍ）。
　ブロックチェーンＢＣ１，…，ＢＣＲについて、秘密計算装置２２－Ｌ（１），…，１２－Ｌ（Ｒ）がリーダーＬＥＡＤ１，…，ＬＥＡＤＲとして選択されると、クラウド１３のブロックチェーン基盤のスマートコントラクト機能は、これらの秘密計算装置２２－Ｌ（１），…，２２－Ｌ（Ｒ）に対し、秘密計算を実行する旨の処理要求を送信する。なお、｛Ｌ（１），…，Ｌ（Ｒ）｝⊆｛１，…，Ｍ｝である。この処理要求には、当該秘密計算結果の送信先の情報が含まれている（ステップＳ１３１）。
　リーダーＬＥＡＤｒである秘密計算装置２２－Ｌ（ｒ）（ただしｒ＝１，…，Ｒ）の取得部１２１－Ｌ（ｒ）（図２Ｂ）は、それぞれ当該処理要求を取得する（受信する）。処理要求を取得した取得部１２１－Ｌ（ｒ）は、クライアント装置２１－１，…，２１－Ｎの取得部１１２－１，…，１１２－Ｎ（図２Ａ）に接続し、秘密計算装置２２－Ｌ（ｒ）がリーダーＬＥＡＤｒであることを証明するための処理を実行する。クライアント装置２１－ｎの取得部１１２－ｎが、秘密計算装置２２－Ｌ（ｒ）をリーダーＬＥＡＤｒとして認定した場合、当該クライアント装置２１－ｎの提供部１１５－ｎは、記憶部１１１－ｎから秘匿情報［ａ－ｎ］Ｌ（ｒ）を抽出し、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を、リーダーＬＥＡＤｒである秘密計算装置２２－Ｌ（ｒ）（ただしｒ＝１，…，Ｒ）に送信する（ステップＳ１１５－ｎ）。
　リーダーＬＥＡＤｒである秘密計算装置２２－Ｌ（ｒ）（図２Ｂ）の取得部１２１－Ｌ（ｒ）は、当該秘匿情報［ａ－ｎ］Ｌ（ｒ）を取得（受信）し、記憶部１２７－Ｌ（ｒ）に格納する。クライアント装置２１－１，…，２１－Ｎから送信されたすべての秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）が記憶部１２７－Ｌ（ｒ）に格納されると、秘密計算部２２２－Ｌ（ｒ）は、記憶部１２７－Ｌ（ｒ）から秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）を抽出する。さらに秘密計算部２２２－Ｌ（ｒ）は、前述の処理要求に従った秘密計算によって、秘匿情報［ａ－ｎ］Ｌ（１），…，［ａ－ｎ］Ｌ（Ｒ）を用い、ワーカーモデルを得ることなく、集約モデルを特定する情報の秘匿情報である秘密計算結果［ｂ］Ｌ（ｒ）を得て出力する。秘密計算結果［ｂ］Ｌ（ｒ）は、提供部１２３－Ｌ（ｒ）と一方向性関数演算部１２８ｂ－Ｌ（ｒ）に送られる。また当該秘密計算の対象となった秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）も、一方向性関数演算部１２８ｂ－Ｌ（ｒ）に送られる（ステップＳ２２２－Ｌ（ｒ））。
　提供部１２３－Ｌ（ｒ）は、前述した処理要求に含まれた送信先に秘密計算結果［ｂ］Ｌ（ｒ）を送信する。例えば、秘密計算結果［ｂ］Ｌ（ｒ）はクライアント装置２１－１，…，２１－Ｎに送信される。クライアント装置２１－ｎ（図２Ａ）の取得部１１２－ｎは、送信された秘密計算結果［ｂ］Ｌ（ｒ）を取得（受信）し、記憶部１１１－ｎに格納する。取得部１１２－ｎは、さらに複数の秘密計算結果［ｂ］Ｌ（ｒ）（ただし、Ｌ（ｒ）∈｛Ｌ（１），…，Ｌ（Ｒ）｝）から秘密計算結果［ｂ］Ｌ（ｒ）を復元して演算結果ｂ（集約モデルを特定する情報）を得、当該演算結果ｂ（集約モデルを特定する情報）を新たなオリジナル情報ａ－ｎ（集約モデルを特定する情報）として記憶部１１１－ｎにする（ステップＳ１１２－ｎ）。
　また、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）を受け取った秘密計算装置１２－Ｌ（ｒ）（図２Ｂ）の一方向性関数演算部１２８ｂ－Ｌ（ｒ）（ただし、ｒ＝１，…，Ｒ）は、秘匿情報［ａ－１］Ｌ（ｒ），…，［ａ－Ｎ］Ｌ（ｒ）および秘密計算結果［ｂ］Ｌ（ｒ）の少なくとも何れかの一方向性関数値を得て出力する。当該一方向性関数値はブロック処理部１２８ｃ－Ｌ（ｒ）に送られる（ステップＳ１２８ｂ－Ｌ（ｒ））。
　各ブロック処理部１２８ｃ－Ｌ（ｒ）（ここで、ｒ＝１，…，Ｒ）は、受け取った一方向性関数値を各ブロックチェーンＢＣｒの最新のブロックＢｒ（ｉｒ）に格納する（図３）（ステップＳ１２８ｃ－Ｌ（ｒ））。
　その後、所定の終了条件を満たすまで、上述した本実施形態の秘密分散処理と秘密計算処理とを繰り返す。この繰り返しは、ステップＳ１１２－ｎで、演算結果ｂ（集約モデルを特定する情報）を新たなオリジナル情報ａ－ｎ（集約モデルを特定する情報）として更新しながら行われる。なお、終了条件はどのようなものでもよい。例えば、集約モデルの更新回数、更新量、更新時間などが規定値に達したときに終了条件を満たすことにしてもよい。
　［ハードウェア構成］
　各実施形態におけるクライアント装置１１－ｎ，２１－ｎおよび秘密計算装置１２－ｍ，２２－ｍは、例えば、ＣＰＵ（central processing unit）等のプロセッサ（ハードウェア・プロセッサ）やＲＡＭ（random-access memory）・ＲＯＭ（read-only memory）等のメモリ等を備える汎用または専用のコンピュータが所定のプログラムを実行することで構成される装置である。すなわち、各実施形態におけるクライアント装置１１－ｎ，２１－ｎおよび秘密計算装置１２－ｍ，２２－ｍは、例えば、それぞれが有する各部を実装するように構成された処理回路（processing circuitry）を有する。このコンピュータは１個のプロセッサやメモリを備えていてもよいし、複数個のプロセッサやメモリを備えていてもよい。このプログラムはコンピュータにインストールされてもよいし、予めＲＯＭ等に記録されていてもよい。また、ＣＰＵのようにプログラムが読み込まれることで機能構成を実現する電子回路（circuitry）ではなく、単独で処理機能を実現する電子回路を用いて一部またはすべての処理部が構成されてもよい。また、１個の装置を構成する電子回路が複数のＣＰＵを含んでいてもよい。
　図６は、各実施形態におけるクライアント装置１１－ｎ，２１－ｎおよび秘密計算装置１２－ｍ，２２－ｍのハードウェア構成を例示したブロック図である。図６に例示するように、この例のクライアント装置１１－ｎ，２１－ｎおよび秘密計算装置１２－ｍ，２２－ｍは、ＣＰＵ（Central Processing Unit）１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ（Random Access Memory）１０ｄ、ＲＯＭ（Read Only Memory）１０ｅ、補助記憶装置１０ｆ、通信部１０ｈ及びバス１０ｇを有している。この例のＣＰＵ１０ａは、制御部１０ａａ、演算部１０ａｂ及びレジスタ１０ａｃを有し、レジスタ１０ａｃに読み込まれた各種プログラムに従って様々な演算処理を実行する。また、入力部１０ｂは、データが入力される入力端子、キーボード、マウス、タッチパネル等である。また、出力部１０ｃは、データが出力される出力端子、ディスプレイ等である。通信部１０ｈは、所定のプログラムを読み込んだＣＰＵ１０ａによって制御されるＬＡＮカード等である。また、ＲＡＭ１０ｄは、ＳＲＡＭ (Static Random Access Memory)、ＤＲＡＭ (Dynamic Random Access Memory)等であり、所定のプログラムが格納されるプログラム領域１０ｄａ及び各種データが格納されるデータ領域１０ｄｂを有している。また、補助記憶装置１０ｆは、例えば、ハードディスク、ＭＯ（Magneto-Optical disc）、半導体メモリ等であり、所定のプログラムが格納されるプログラム領域１０ｆａ及び各種データが格納されるデータ領域１０ｆｂを有している。また、バス１０ｇは、ＣＰＵ１０ａ、入力部１０ｂ、出力部１０ｃ、ＲＡＭ１０ｄ、ＲＯＭ１０ｅ、通信部１０ｈ及び補助記憶装置１０ｆを、情報のやり取りが可能なように接続する。ＣＰＵ１０ａは、読み込まれたＯＳ（Operating System）プログラムに従い、補助記憶装置１０ｆのプログラム領域１０ｆａに格納されているプログラムをＲＡＭ１０ｄのプログラム領域１０ｄａに書き込む。同様にＣＰＵ１０ａは、補助記憶装置１０ｆのデータ領域１０ｆｂに格納されている各種データを、ＲＡＭ１０ｄのデータ領域１０ｄｂに書き込む。そして、このプログラムやデータが書き込まれたＲＡＭ１０ｄ上のアドレスがＣＰＵ１０ａのレジスタ１０ａｃに格納される。ＣＰＵ１０ａの制御部１０ａａは、レジスタ１０ａｃに格納されたこれらのアドレスを順次読み出し、読み出したアドレスが示すＲＡＭ１０ｄ上の領域からプログラムやデータを読み出し、そのプログラムが示す演算を演算部１０ａｂに順次実行させ、その演算結果をレジスタ１０ａｃに格納していく。このような構成により、クライアント装置１１－ｎ，２１－ｎおよび秘密計算装置１２－ｍ，２２－ｍの機能構成が実現される。
　上述のプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は非一時的な（non-transitory）記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。
　このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。上述のように、このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。また、ブロックチェーン基盤上のスマートコントラクト機能に従って各処理が実行されてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
　各実施形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
　なお、本発明は上述の実施形態に限定されるものではない。例えば、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。
１，２　秘密計算システム
１１－ｎ，２１－ｎ　クライアント装置
１２－ｍ，２２－ｍ　秘密計算装置
１３　クラウド

Claims (11)

  1. 　ブロックチェーンのノードである計算装置であって、
    　前記ブロックチェーンのコンセンサスアルゴリズムで合意を得るための処理を実行する合意処理部と、
    　前記ブロックチェーンのコンセンサスアルゴリズムで合意が得られた場合に、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および前記秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、前記ブロックチェーンのブロックに格納するブロック処理部と、
    を有する計算装置。
  2. 　請求項１の計算装置であって、
    　前記ブロックチェーンを用いたスマートコントラクト機能からの処理要求に従って前記秘匿情報に対して秘密計算を行って前記秘密計算結果を得る秘密計算部を有する、計算装置。
  3. 　請求項２の計算装置であって、
    　前記スマートコントラクト機能からの処理要求以外の要求をブロックする、計算装置。
  4. 　請求項１から３のいずれかの計算装置であって、
    　前記オリジナル情報に基づく情報を秘密分散することによって得られた他の秘匿情報および前記他の秘匿情報に対して秘密計算を行って得られた他の秘密計算結果の少なくとも何れかの一方向性関数値が、前記ブロックチェーン以外の他のブロックチェーンのコンセンサスアルゴリズムで合意が得られたノードである他の計算装置によって前記他のブロックチェーンのブロックに格納される、計算装置。
  5. 　請求項１から３のいずれかの計算装置であって、
    　前記オリジナル情報に基づく情報を秘密分散することによって得られた他の秘匿情報および前記他の秘匿情報に対して秘密計算を行って得られた他の秘密計算結果の少なくとも何れかの一方向性関数値が、前記ブロックチェーンのコンセンサスアルゴリズムで合意が得られた他のノードである他の計算装置によって前記ブロックチェーンのブロックに格納される、計算装置。
  6. 　請求項５の計算装置であって、
    　前記ブロックチェーンのコンセンサスアルゴリズムで、当該計算装置および前記他の計算装置の合意が並列に得られ、
    　前記ブロック処理部は、前記他の計算装置によって前記他の秘匿情報および前記他の秘密計算結果の少なくとも何れかの一方向性関数値が格納された前記ブロックチェーンのブロックに、前記秘匿情報および前記秘密計算結果の少なくとも何れかの一方向性関数値を格納する、計算装置。
  7. 　請求項５の計算装置であって、
    　前記ブロックチェーンのコンセンサスアルゴリズムで前記他の計算装置の合意が得られた後に、前記ブロックチェーンのコンセンサスアルゴリズムで当該計算装置の合意が得られ、
    　前記ブロックチェーンのコンセンサスアルゴリズムで当該計算装置の合意が得られた後に、当該計算装置が前記秘匿情報に対して秘密計算を行って前記秘密計算結果を得、前記他の計算装置が前記他の秘匿情報に対して秘密計算を行って前記他の秘密計算結果を得、前記秘密計算結果の一方向性関数値および前記他の秘密計算結果が当該計算装置によって前記ブロックチェーンのブロックに格納される、計算装置。
  8. 　請求項５の計算装置であって、
    　前記ブロックチェーンのコンセンサスアルゴリズムで前記他の計算装置の合意が得られた後に、前記他の秘匿情報の一方向性関数値が前記他の計算装置によって前記ブロックチェーンのブロックに格納され、
    　前記他の秘匿情報の一方向性関数値が前記他の計算装置によって前記ブロックチェーンのブロックに格納された後に、前記ブロックチェーンのコンセンサスアルゴリズムで当該計算装置の合意が得られ、
    　前記ブロックチェーンのコンセンサスアルゴリズムで当該計算装置の合意が得られた後に、当該計算装置が前記秘匿情報に対して秘密計算を行って前記秘密計算結果を得、前記他の計算装置が前記他の秘匿情報に対して秘密計算を行って前記他の秘密計算結果を得、当該計算装置が前記秘匿情報の一方向性関数値、前記秘密計算結果の一方向性関数値、および前記他の秘密計算結果を前記ブロックチェーンのブロックに格納する、計算装置。
  9. 　請求項１から３のいずれかの計算装置であって、
    　前記オリジナル情報は、連合学習における集約モデルを特定する情報であり、
    　前記オリジナル情報に基づく情報は、機械学習によって前記集約モデルを更新して得られたワーカーモデルを特定する情報であり、
    　前記秘密計算は、前記秘匿情報を用いて、前記ワーカーモデルを得ることなく、複数のワーカーモデルを集約した集約モデルを特定する情報の秘匿情報である前記秘密計算結果を得る計算である、計算装置。
  10. 　ブロックチェーンのノードである計算装置による計算方法であって、
    　合意処理部が、前記ブロックチェーンのコンセンサスアルゴリズムで合意を得るための処理を実行する合意処理ステップと、
    　前記ブロックチェーンのコンセンサスアルゴリズムで合意が得られた場合に、ブロック処理部が、オリジナル情報に基づく情報を秘密分散することによって得られる秘匿情報および前記秘匿情報に対して秘密計算を行って得られる秘密計算結果の少なくとも何れかの一方向性関数値を、前記ブロックチェーンのブロックに格納するブロック処理ステップと、
    を有する計算方法。
  11. 　請求項１から３のいずれかの計算装置としてコンピュータを機能させるためのプログラム。
PCT/JP2022/016502 2022-03-31 2022-03-31 計算装置、計算方法、およびプログラム WO2023188258A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/016502 WO2023188258A1 (ja) 2022-03-31 2022-03-31 計算装置、計算方法、およびプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2022/016502 WO2023188258A1 (ja) 2022-03-31 2022-03-31 計算装置、計算方法、およびプログラム

Publications (1)

Publication Number Publication Date
WO2023188258A1 true WO2023188258A1 (ja) 2023-10-05

Family

ID=88199836

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2022/016502 WO2023188258A1 (ja) 2022-03-31 2022-03-31 計算装置、計算方法、およびプログラム

Country Status (1)

Country Link
WO (1) WO2023188258A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020021048A (ja) * 2018-08-03 2020-02-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ流通方法、認証サーバ及びデータ構造
JP2020061696A (ja) * 2018-10-12 2020-04-16 Kddi株式会社 ブロックチェーン管理システム、ブロックチェーン管理方法及びブロックチェーン管理プログラム
JP2020534733A (ja) * 2017-09-22 2020-11-26 エヌチェーン ホールディングス リミテッドＮｃｈａｉｎ Ｈｏｌｄｉｎｇｓ Ｌｉｍｉｔｅｄ 分散協調を用いるスマートコントラクトの実行
WO2021014611A1 (ja) * 2019-07-24 2021-01-28 日本電気株式会社 秘密計算サーバ、証跡管理方法及びプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JP2020534733A (ja) * 2017-09-22 2020-11-26 エヌチェーン ホールディングス リミテッドＮｃｈａｉｎ Ｈｏｌｄｉｎｇｓ Ｌｉｍｉｔｅｄ 分散協調を用いるスマートコントラクトの実行
JP2020021048A (ja) * 2018-08-03 2020-02-06 パナソニック インテレクチュアル プロパティ コーポレーション オブ アメリカＰａｎａｓｏｎｉｃ Ｉｎｔｅｌｌｅｃｔｕａｌ Ｐｒｏｐｅｒｔｙ Ｃｏｒｐｏｒａｔｉｏｎ ｏｆ Ａｍｅｒｉｃａ データ流通方法、認証サーバ及びデータ構造
JP2020061696A (ja) * 2018-10-12 2020-04-16 Kddi株式会社 ブロックチェーン管理システム、ブロックチェーン管理方法及びブロックチェーン管理プログラム
WO2021014611A1 (ja) * 2019-07-24 2021-01-28 日本電気株式会社 秘密計算サーバ、証跡管理方法及びプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
KANAGAVELU RENUGA; LI ZENGXIANG; SAMSUDIN JUNIARTO; YANG YECHAO; YANG FENG; MONG GOH RICK SIOW; CHEAH MERVYN; WIWATPHONTHANA PRAEW: "Two-Phase Multi-Party Computation Enabled Privacy-Preserving Federated Learning", 2020 20TH IEEE/ACM INTERNATIONAL SYMPOSIUM ON CLUSTER, CLOUD AND INTERNET COMPUTING (CCGRID), IEEE, 11 May 2020 (2020-05-11), pages 410 - 419, XP033791506, DOI: 10.1109/CCGrid49817.2020.00-52 *

Similar Documents

Publication Publication Date Title
US20210143987A1 (en) Privacy-preserving federated learning
JP7208930B2 (ja) 制御された暗号化秘密鍵の開放
US11562228B2 (en) Efficient verification of machine learning applications
CN110992027A (zh) 在区块链中实现隐私保护的高效交易方法及装置
US20200394552A1 (en) Aggregated maching learning verification for database
US11387979B2 (en) Partially-ordered blockchain
US9712327B1 (en) System and method for remote storage auditing
US20180032383A1 (en) Performing Transactions Between Application Containers
CN111898137A (zh) 一种联邦学习的隐私数据处理方法、设备及系统
JP5411994B2 (ja) 秘密分散システム、秘密分散装置、秘密分散方法、秘密ソート方法、秘密分散プログラム
KR20190001546A (ko) 네트워크 상의 장치에 대한 정보를 추적하기 위한 블록체인의 사용
US11736456B2 (en) Consensus service for blockchain networks
CN112953930A (zh) 一种云存储数据的处理方法、装置及计算机系统
EP4208808A1 (en) Privacy preserving machine learning using secure multi-party computation
WO2017030111A1 (ja) 計算システム、計算装置、その方法、およびプログラム
CN113821810B (zh) 数据处理方法及系统、存储介质及电子设备
KR20220148854A (ko) 데이터 보호를 위한 노이지 트랜잭션
CN111291420B (zh) 一种基于区块链的分布式离链数据存储方法
Leinweber et al. TEE-based distributed watchtowers for fraud protection in the lightning network
Putra et al. Decentralised trustworthy collaborative intrusion detection system for IoT
WO2023188258A1 (ja) 計算装置、計算方法、およびプログラム
Rajamanickam et al. Strengthening the Privacy of Blockchain with Zero Knowledge Proof Case Study: Online Exam Student Verification
US20220179843A1 (en) Blockchain endorsement agreement
Karmakar et al. MediChain: Medical data fusion using blockchain integrated elastic storage
WO2023188256A1 (ja) モデル学習装置、秘密連合学習装置、それらの方法、およびプログラム

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 22935403

Country of ref document: EP

Kind code of ref document: A1