阅读说明：本技术 秘密计算装置、秘密计算方法、程序、以及记录介质 (Secret calculation device, secret calculation method, program, and recording medium ) 是由 五十岚大 于 2019-02-26 设计创作，主要内容包括：秘密计算装置利用x<Sub>i</Sub>(这里i＝0,1,2)的秘密分散值{x<Sub>i</Sub>}来计算秘密分散值{s<Sub>i</Sub>}＝{x<Sub>i</Sub>}-1/2,通过利用了秘密分散值{s<Sub>i</Sub>}的秘密计算来计算秘密分散值{y}＝{4s<Sub>0</Sub>s<Sub>1</Sub>s<Sub>2</Sub>}+1/2并进行输出,并通过利用了随机数r的秘密分散值{r}以及秘密分散值{s<Sub>i</Sub>}的秘密计算来计算秘密分散值{y<Sub>r</Sub>}＝{4rs<Sub>0</Sub>s<Sub>1</Sub>s<Sub>2</Sub>}+{r}/2并进行输出。(Secret computing device using x i Secret variance value { x of (where i is 0,1,2) } i Calculating a secret variance value s i }＝{x i -1/2, by using secret scatter values s i Calculating a secret variance value y 4s by secret calculation 0 s 1 s 2 +1/2, and outputs the result by using a secret variance value { r } and a secret variance value { s } of a random number r i Calculating a secret variance value y by secret calculation r }＝{4rs 0 s 1 s 2 And { r }/2 and output.)

秘密计算装置、秘密计算方法、程序、以及记录介质

技术领域

本发明涉及秘密计算技术，特别是涉及能够检测错误的计算的秘密计算技术。

背景技术

α₀∈{0,1}和α₁∈{0,1}的异或α∈{0,1}可通过α＝α₀+α₁-2α₀α₁计算。利用此，α₀和α₁和α₂∈{0,1}的异或β＝α₀(XOR)α₁(XOR)α₂∈{0,1}能够通过如下的式计算。

α＝α₀+α₁-2α₀α₁ (1)

β＝α+α₂-2αα₂ (2)

已知一种秘密计算技术，其在隐匿值的同时进行加法、减法、乘法(例如，参照非专利文件1等)。例如，若使用分别隐匿了α₀、α₁、α₂的秘密分散值{α₀}、{α₁}、{α₂}，通过秘密计算来进行式(1)以及式(2)的计算，则能够获取α₀、α₁、α₂的异或β的秘密分散值{β}。用多个秘密计算装置执行如此的秘密计算，收集规定数量的用各个秘密计算装置获取的结果，从而能够恢复异或β。

现有技术文献

非专利文献

非专利文献1:千田浩司，滨田浩气，五十岚大，高桥克己，“浅析可验证3方隐匿函数计算的再探讨(A Three-Party Secure Function Evaluation with LightweightVerifiability Revisited)”,In CSS,2010。

发明内容

发明所要解决的课题

在秘密计算中利用秘密分散值来进行计算，因此难以检测出进行了错误的计算。尤其是，难以检测出基于秘密计算的乘法被错误地进行。因此，考虑如下方法：在原本的计算式的秘密计算的基础上，还进行对该计算式乘以随机数的秘密计算，并利用这些结果来检测错误的计算。

但是，除了乘以一定倍数的情况以外，在秘密计算中进行乘法的情况下，秘密计算装置之间需要进行通信。因此，乘以一定倍数以外的乘法次数越少则通信量变少。在对式(1)以及式(2)分别乘以随机数r而得到的值进行秘密计算的情况下，为了式(1)的计算，乘以一定倍数以外的乘法需要进行三次(rα₀,rα₁,2rα₀α₁)，为了式(2)的计算，乘以一定倍数以外的乘法还需要进行一次(rα₂)。因此，在秘密计算需要进行用于四个乘法的通信。

在本发明中，减少进行三个值的异或的秘密计算的情况下的通信量以使能够检测错误的计算。

用于解决课题的手段

在本发明中，i＝0,1,2，利用x_i的秘密分散值{x_i}来计算秘密分散值{s_i}＝{x_i}-1/2，并通过利用了秘密分散值{s_i}的秘密计算来计算秘密分散值{y}＝{4s₀s₁s₂}+1/2并进行输出，通过利用了随机数r的秘密分散值{r}以及秘密分散值{s_i}的秘密计算来计算秘密分散值{y_r}＝{4rs₀s₁s₂}+{r}/2并进行输出。

发明效果

由此，能够减少进行三个值的异或的秘密计算的情况下的通信量以使能够检测错误的计算。

附图说明

图1是例示出实施方式的秘密计算系统的结构的框图。

图2是例示出实施方式的秘密计算装置的结构的框图。

图3是用于说明实施方式的秘密计算方法的流程图。

具体实施方式

以下，说明本发明的实施方式。

[概要]

首先，说明实施方式的概要。在实施方式的秘密计算装置中，首先，减法部用x_i∈{0,1}的秘密分散值{x_i}来计算秘密分散值{s_i}＝{x_i}-1/2并进行输出。这里，i＝0,1,2。例如，减法部计算秘密分散值{s_i}＝{x_i}-1/2mod q。这里，q是正整数。例如，q是2以上或3以上的整数(例如，质数)。接着，第一异或运算部通过用了秘密分散值{s_i}的秘密计算来计算秘密分散值{y}并进行输出。

{y}＝{4s₀s₁s₂}+1/2 (3)

例如，第一异或运算部为，通过用了秘密分散值{4s₀}以及秘密分散值{s₁}的秘密计算来获取秘密分散值{4s₀s₁}，并且通过用了秘密分散值{4s₀s₁}以及秘密分散值{s₂}的秘密计算，来获取秘密分散值{4s₀s₁s₂}。接着，第二异或运算部，通过用了随机数r的秘密分散值{r}以及秘密分散值{s_i}的秘密计算来计算秘密分散值{y_r}并进行输出。

{y_r}＝{4rs₀s₁s₂}+{r}/2 (4)

例如，第二异或运算部为，通过用了秘密分散值{4r}以及秘密分散值{s₀}的秘密计算来获取秘密分散值{4rs₀}，并且通过用了秘密分散值{4rs₀}以及秘密分散值{s₁}的秘密计算来获取秘密分散值{4rs₀s₁}，并且通过用了秘密分散值{4rs₀s₁}以及秘密分散值{s₂}的秘密计算来获取秘密分散值{4rs₀s₁s₂}。另外，对秘密计算方式不作限制，例如可用非专利文件1所述的方式。如上所述，s_i、y、y_r是定义有四则运算的集合的元素。只要定义有四则运算，则可以是任何集合。这种集合的一例是阶数p的有限域F_p。p是2以上的整数。p的一例是，3以上的整数，例如，p是3以上的质数。将s_i∈F_p，y∈F_p，y_r∈F_p各自的秘密分散值表示为{s_i}∈{F_p}，{y}∈{F_p}，{y_r}∈{F_p}。

在此，满足y＝4s₀s₁s₂+1/2以及s_i＝x_i-1/2，这种y成为x₀、x₁和x₂的异或y＝x₀(XOR)x₁(XOR)x₂。该真值表如下所示。

【表1】

x<sub>0</sub>	x<sub>1</sub>	x<sub>2</sub>	y
				0	0	0	0
0	1	0	1
				0	0	1	1
0	1	1	0
				1	0	0	1
1	1	0	0
				1	0	1	0
1	1	1	1

即，通过y＝4s₀s₁s₂+1/2，在上述的式(1)(2)中能够获取与α＝x＝x₀+x₁-2x₀x₁、β＝y、α₀＝x₀、α₁＝x₁、α₂＝x₂相同的结果。在此，用于根据式(1)(2)来计算秘密分散值{y}时所需要的、乘以一定倍数以外的乘法次数是两次({2x₀x₁},{2xx₂})，用于根据式(1)(2)来计算{y_r}时所需要的、乘以一定倍数以外的乘法次数是五次({rx₀},{rx₁},{2rx₀x₁},{rx₂},{2rxx₂})。相比与此，用于使用式(3)来计算秘密分散值{y}时所需要的常数因子以外的乘法次数是两次({4s₀s₁},{4s₀s₁s₂})，使用式(4)来计算{y_r}时所需要的、乘以一定倍数以外的乘法次数是三次({4rs₀},{4rs₀s₁},{4rs₀s₁s₂})。因此，通过使用式(3)(4)来进行秘密计算，与根据式(1)(2)来进行秘密计算的情况相比，乘以一定倍数以外的乘法次数可减少两次。通过秘密计算来进行乘以一定倍数以外的乘法的情况下，秘密计算装置之间需要进行通信。因此，减少乘以一定倍数以外的乘法次数的本方式，相比根据式(1)(2)来进行秘密计算的情况，能够减少通信量。

x₀,x₁,x₂∈{0,1}是何种性质的值是不重要的。例如，x₀,x₁,x₂∈{0,1}可以是随机数，也可以是其他运算结果，也可以是输入值。秘密分散值的对{y}{y_r}利用于何种用途也是不重要的。只要通过秘密计算而利用x₀和x₁和x₂的异或y＝x₀(XOR)x₁(XOR)x₂的秘密分散值{y}、和用于检测该秘密分散值{y}被错误地计算的秘密分散值{y_r}，实施方式的手法也可以应用于任何用途。

例如，也可以是，j＝0,1,2，上述的秘密计算装置三个秘密计算装置P₀、P₁、P₂中的任一个秘密计算装置P_j，针对秘密计算装置P_j的秘密分散值{x_i}是{x_i}_j，秘密计算装置P_j的随机数获取部针对随机数w∈{0,1}生成满足w＝w₀+w₁+w₂ mod 2的秘密分散值{w}^B _j＝(w_j,w_{(j+1)mod 3})，减法部利用作为{x_i}(这里，i＝0,1,2)的{x_j}_j＝(w_j,0),{x_{(j+1)mod 3}}_j＝(0,w_{(j+1)mod 3}),{x_{(j+2)mod 3}}_j＝(0,0)，计算秘密分散值{s_i}＝{x_i}-1/2，第一异或运算部通过利用了该秘密分散值{s_i}的秘密计算，来计算秘密分散值{y}＝{4s₀s₁s₂}+1/2，第二异或运算部通过利用了秘密分散值{r}以及秘密分散值{s_i}的秘密计算，来计算秘密分散值{y_r}＝{4rs₀s₁s₂}+{r}/2。另外，若针对j＝0,1,2列举{x_j}_j,{x_{(j+1)mod 3}}_j,{x_{(j+2)mod 3}}_j，则如下所示。

{x₀}₀＝(w₀,0),{x₀}₁＝(0,0),{x₀}₂＝(0,w₀)

{x₁}₀＝(0,w₁),{x₁}₁＝(w₁,0),{x₁}₂＝(0,0)

{x₂}₀＝(0,0),{x₂}₁＝(0,w₂),{x₂}₂＝(w₂,0)

w₀,w₁,w₂∈{0,1}是根据(2,3)阈值秘密分散方式的加法的秘密分散方式(例如，参照非专利文件1等)，对随机数w以mod(求余)2进行秘密分散而获得的秘密分散值的子份额(subshare)。(k,n)阈值秘密分散方式(也称为“k-of-n阈值秘密分散方式”)是指，如果利用n个秘密分散值中的相互不同的k个秘密分散值，则能够恢复明文，但是从相互不同的少于k个的秘密分散值中完全无法获取明文的信息的秘密分散方式。这里，k≤n，k以及n是2以上的整数。随机数w相对于各秘密计算装置P_j(这里，j＝0,1,2)被隐匿，但是通过各秘密计算装置P_j自身生成随机数w_j∈{0,1}，并发送到各秘密计算装置P_{(j-1)mod 3}，各秘密计算装置P_j能够获取子份额w_j以及w_{(j+1) mod 3}。根据各秘密计算装置P_j所生成的随机数w₀、w₁、w₂确定随机数w＝w₀+w₁+w₂ mod 2。

在{x_j}_j＝(w_j,0),{x_{(j+1)mod 3}}_j＝(0,w_{(j+1)mod 3}),{x_{(j+2)mod 3}}_j＝(0,0)，s_i∈F_p,y∈F_p,y_r∈F_p的情况下，减法部将w_j∈{0,1}以及w_{(j+1)mod 3}∈{0,1}视为有限域F_p的元素来计算秘密分散值{s_i}。例如，在有限域F_p的所有元素的集合是

的情况下，将0视为有限域F_p的元素将1视为有限域F_p的元素从而在有限域F_p上计算秘密分散值{s_i}。{y}成为将随机数w＝w₀+w₁+w₂ mod2在有限域F_p上进行秘密分散的情况下所获得的秘密分散值{w}∈{F_p}。即，这种秘密计算装置的处理是如下的处理：将根据(2,3)阈值秘密分散方式的加法的秘密分散方式、对随机数w以mod 2来进行秘密分案而获得的秘密分散值{w}^B _j，转换为该随机数w的有限域F_p上的秘密分散值{y}∈{F_p}和秘密分散值{y_r}∈{F_p}的对(秘密随机数对)。

通过将上述的{r}、{y}、{y_r}利用于校验和，事后能够验证{y}是否被正确计算。例如，也可以通过利用了{r}、{y}、{y_r}的秘密计算，生成表示是否满足y_r＝ry的信息的秘密分散值(例如，{y_r＝ry})(例如，参照国际公开WO2014/112548号公报(参考文献1)等)，也可以是验证装置从{r}、{y}、{y_r}恢复r、y、y_r，然后验证是否满足y_r＝ry。在后者的情况下，验证装置接受上述的秘密分散值{y}＝{4s₀s₁s₂}+1/2和秘密分散值{y_r}＝{4rs₀s₁s₂}+{r}/2和秘密分散值{r}的输入，恢复秘密分散值{y}和秘密分散值{y_r}和秘密分散值{r}，从而获得y＝4s₀s₁s₂+1/2和y_r＝4rs₀s₁s₂+r/2和r，利用r和y来获得y_r’＝ry，在y_r’＝y_r的情况下，输出验证成功的主旨内容，并且在y_r’≠y_r的情况下，输出验证失败的主旨内容。

另外，通常，秘密分散值{y}、{y_r}、{r}相互间根据相同的秘密分散方式(例如，加法的秘密分散方式)。但是，因为通过公知手法，能够转换秘密分散值的方式(参照参考文献2～6等)，所以秘密分散值{y}、{y_r}、{r}也可以不全部根据相互相同的秘密分散方式。此外，如上所述地获得的{y}、{y_r}也可以根据其他方式转换成秘密分散值。

参考文献2:Ronald Cramer,Ivan Damgard,and Yuval Ishai,＂Share conversion,pseudorandom secret-sharing and applications to secure distributedcomputing,＂Theory of Cryptgoraphy(2005):342-362

参考文献3:日本特开2016-173533号公报

参考文献4:日本特开2016-173532号公报

参考文献5:日本特开2016-173531号公报

参考文献6:日本特开2016-156853号公报

[第一实施方式]

利用附图详细说明第一实施方式。

<结构>

如图1所示，实施方式的秘密计算装置1具有N个秘密计算装置11-0、…、11-(N-1)和验证装置12，这些被构成为能够通过网络通信。但是，N是2以上的整数。例如，N是3以上的整数，其一例是N＝3。如图2所示，秘密计算装置11-j(这里，j＝0,…,N-1)具有输入部111-j、输出部112-j、存储部113-j、控制部114-j、减法部116-j以及异或运算部117-j、118-j。秘密计算装置11-j在控制部114-j的控制之下执行各处理。将秘密计算装置11-j的各部获得的数据逐一保存在存储部113-j，并根据需要读取从而利用在其他处理上。

<秘密计算处理>

利用图3说明秘密计算装置11-j所进行的秘密计算处理。针对秘密分散方式、秘密计算方式的细节，例如，请参照非专利文件1等。

有限域F_p上的随机数r∈F_p的秘密分散值{r}∈{F_p}被输入到各秘密计算装置11-j(这里，j＝0,…,N-1)的输入部111-j。另外，与各秘密计算装置11-j对应的各值γ的秘密分散值是相互不同的，但是为了简化记载，除非另有说明，将值γ的秘密分散值单标记为{γ}。但是，在标明为与各秘密计算装置11-j对应的秘密分散值的情况下，将与各秘密计算装置11-j对应的秘密分散值标记为{γ}_j。在本实施方式中，将根据加法的秘密分散方式而对有限域F_p上的随机数r进行秘密分散的值设为{r}，但是这在本发明中不是重要的事项。本实施方式的秘密分散值{r}是在各秘密计算装置11-j的外部生成的值。随机数r的值隐匿于各秘密计算装置11-j。例如，验证装置12也可以无需将随机数r的值告知各秘密计算装置11-j，而生成随机数r的秘密分散值{r}并发送至各秘密计算装置11-j。秘密分散值{r}在哪里被生成也不是本发明中重要的事项。秘密分散值{r}保存于各秘密计算装置11-j的存储部113-j(步骤S111-j)。

x_i∈{0,1}的秘密分散值{x_i}保存于存储部113-j(但是，i＝0,1,2)。x_i也可以是任意值。秘密分散值{x_i}可以是从秘密计算装置11-j的外部输入的值，也可以是在秘密计算装置11-j的内部生成的值，还可以是通过秘密计算装置11-j和其外部的秘密计算装置11-j”(这里，j”∈{0,…,N-1}、j”≠j)协作生成的值。减法部116-j从存储部113-j读取秘密分散值{x_i}，通过利用了该秘密分散值{x_i}的秘密计算，计算秘密分散值{s_i}＝{x_i}-1/2并进行输出(步骤S116-j)。

异或运算部117-j(第一异或运算部)利用从减法部116-j输出的秘密分散值{s_i}，通过秘密计算来计算秘密分散值{y}＝{4s₀s₁s₂}+1/2并进行输出。例如，异或运算部117-j通过利用了秘密分散值{4s₀}以及秘密分散值{s₁}的秘密计算来获得秘密分散值{4s₀s₁}，通过利用了秘密分散值{4s₀s₁}以及秘密分散值{s₂}的秘密计算来获得秘密分散值{4s₀s₁s₂}，利用秘密分散值{4s₀s₁s₂}以及1/2来获得秘密分散值{y}并进行输出。在这些秘密计算中，秘密计算装置11-0～11-(N-1)之间需要进行通信。另一方面，在秘密分散值{4s₀}的计算中不需要通信。即，各异或运算部117-j的异或运算部117-j无需进行通信，就能够利用秘密分散值{s_i}来计算秘密分散值{4s₀}(步骤S117-j)。

异或运算部118-j(第二异或运算部)利用从减法部116-j输出的秘密分散值{s_i}和从存储部113-j读取的秘密分散值{r}，通过秘密计算来计算秘密分散值{y_r}＝{4rs₀s₁s₂}+{r}/2并进行输出。例如，异或运算部118-j通过利用了秘密分散值{4r}以及秘密分散值{s₀}的秘密计算来获得秘密分散值{4rs₀}，通过利用了秘密分散值{4rs₀}以及秘密分散值{s₁}的秘密计算来获得秘密分散值{4rs₀s₁}，通过利用了秘密分散值{4rs₀s₁}以及秘密分散值{s₂}的秘密计算来获得秘密分散值{4rs₀s₁s₂}，利用秘密分散值{4rs₀s₁s₂}以及1/2来获得秘密分散值{y_r}并进行输出。在这些秘密计算中，秘密计算装置11-0～11-(N-1)之间需要进行通信。另一方面，在秘密分散值{4r}的计算中不需要通信。即，各异或运算部117-j的异或运算部117-j无需进行通信，就能够利用秘密分散值{r}来计算秘密分散值{4r}(步骤S118-j)。

秘密分散值{y}、{y_r}、{r}相互关联而保存在存储部113-j(步骤S113-j)。输出部112-j输出秘密分散值{y}。秘密分散值{y}利用于其他任意的秘密计算中。

在对秘密分散值{y}被正确计算进行验证的情况下，从存储部113-j读取秘密分散值{y}、{y_r}、{r}，验证它们的一致性。例如，秘密计算装置11-j通过利用了秘密分散值{y}、{y_r}、{r}的秘密计算来计算秘密分散值{ry-y_r}并进行输出(参照参考文献1)。秘密计算装置11-j向验证装置12发送秘密分散值{ry-y_r}。验证装置12从由各秘密计算装置11-j发送过来的规定数量以上的秘密分散值{ry-y_r}中恢复ry-y_r，在ry-y_r＝0的情况下输出验证合格的主旨内容，在ry-y_r≠0的情况下输出验证失败的主旨内容。或者，秘密计算装置11-j向验证装置12发送秘密分散值{y}、{y_r}、{r}。验证装置12从由各秘密计算装置11-j发送过来的、分别在规定数量以上的秘密分散值{y}、{y_r}、{r}中恢复y、y_r、r，并且在满足ry-y_r＝0的情况下输出验证合格的主旨内容，在满足ry-y_r≠0的情况下输出验证失败的主旨内容。

[第二实施方式]

说明第二实施方式。在本实施方式中说明如下处理：将根据(2,3)阈值秘密分散方式的加法的秘密分散方式、对随机数w以mod 2来进行秘密分散而获得秘密分散值{w}^B _j，转换为该随机数w的有限域F_p上的秘密分散值{y}∈{F_p}和秘密分散值{y_r}∈{F_p}的对(秘密随机数对)。

<结构>

如图1所示，实施方式的秘密计算装置2具有三个秘密计算装置21-0、21-1、21-2和验证装置12，这些被构成为能够通过网络通信。如图2所示，秘密计算装置21-j(这里，j＝0,1,2)具有输入部111-j、输出部112-j、存储部113-j、控制部114-j、随机数获取部215-j、减法部216-j、异或运算部117-j、118-j以及设定部219-j。秘密计算装置21-j在控制部114-j的控制之下执行各处理。在秘密计算装置21-j的各部获得的数据逐一保存在存储部113-j，并且根据需要来读取从而利用在其他处理上。

<秘密计算处理>

利用图3来说明秘密计算装置21-j(这里，j＝0,1,2)所进行的秘密计算处理。在以下以与第一实施方式的不同点作为中心进行说明，针对共通的事项简化说明。

有限域F_p上的随机数r∈F_p的秘密分散值{r}∈{F_p}被输入到各秘密计算装置21-j的输入部111-j。本实施方式的秘密分散值{r}是根据例如(2,3)阈值秘密分散方式的加法的秘密分散方式的秘密分散值。秘密分散值{r}保存于各秘密计算装置21-j的存储部113-j(步骤S111-j)。

各秘密计算装置21-j的随机数获取部215-j获得对随机数w∈{0,1}满足w＝w₀+w₁+w₂ mod 2的秘密分散值{w}^B _j＝(w_j,w_{(j+1)mod 3})并进行输出。即，随机数获取部215-0获得{w}^B ₀＝(w₀,w₁)，随机数获取部215-1获得{w}^B ₁＝(w₁,w₂)，随机数获取部215-2获得{w}^B ₂＝(w₂,w₀)并进行输出。这里，该处理是在随机数w相对于各秘密计算装置21-j被隐匿的状态下进行的。例如，各随机数获取部215-j生成随机数w_j∈{0,1}，并从输出部112-j向秘密计算装置21-((j-1)mod 3)发送该随机数w_j。从秘密计算装置21-((j+1)mod 3)发送过来的随机数w_{(j+1)mod 3}输入到秘密计算装置21-j的输入部111-j，并发送至随机数获取部215-j。通过以上的处理，随机数获取部215-j获得{w}^B _j＝(w_j,w_{(j+1)mod 3})(步骤S215-j)。

设定部219-j将秘密分散值{w}^B _j＝(w_j,w_{(j+1)mod 3})的子份额w_j,w_{(j+1)mod 3}∈{0,1}作为输入，获得{x_j}_j＝(w_j,0),{x_{(j+1)mod 3}}_j＝(0,w_{(j+1)mod 3}),{x_{(j+2)mod 3}}_j＝(0,0)并进行输出(步骤S219-j)。

{x_j}_j＝(w_j,0),{x_{(j+1)mod 3}}_j＝(0,w_{(j+1)mod 3}),{x_{(j+2)mod 3}}_j＝(0,0)作为{x_i}(这里，i＝0,1,2)被输入到减法部216-j。即，{x₀}＝{x₀}₀＝(w₀,0),{x₁}＝{x₁}₀＝(0,w₁),{x₂}＝{x₂}₀＝(0,0)被输入到减法部216-0。{x₀}＝{x₀}₁＝(0,0),{x₁}＝{x₁}₁＝(w₁,0),{x₂}＝{x₂}₁＝(0,w₂)被输入到减法部216-1。{x₀}＝{x₀}₂＝(0,w₀),{x₁}＝{x₁}₂＝(0,0),{x₂}＝{x₂}₂＝(w₂,0)被输入到减法部216-2。减法部216-j利用被输入的{x_i}来计算秘密分散值{s_i}＝{x_i}-1/2∈{F_p}并进行输出。例如，在{x_i}为使x_i秘密分散于满足x_i＝x_i,0+x_i,1+x_i,2的三个秘密分散值(x_i,0,x_i,1),(x_i,1,x_i,2),(x_i,2,x_i,0)而得到的情况下，与秘密分散值(x_i,0,x_i,1),(x_i,1,x_i,2),(x_i,2,x_i,0)的各个对应的秘密分散值{s_i}例如成为(x_i,0-1/2,x_i,1),(x_i,1,x_i,2),(x_i,2,x_i,0-1/2)。此外，各秘密分散值{s_i}例如也可以是(x_i,0-1/6,x_i,1-1/6),(x_i,1-1/6,x_i,2-1/6),(x_i,2-1/6,x_i,0-1/6)。前者能够高速处理。此时，减法部216-j将w_j∈{0,1}以及w_{(j+1)mod 3}∈{0,1}视为有限域F_p的元素从而计算秘密分散值{s_i}(步骤S219-j)。

异或运算部117-j(第一异或运算部)利用从减法部216-j输出的秘密分散值{s_i}∈{F_p}，通过秘密计算来计算秘密分散值{y}＝{4s₀s₁s₂}+1/2∈{F_p}并进行输出(步骤S117-j)。

异或运算部118-j(第二异或运算部)利用从减法部116-j输出的秘密分散值{s_i}和从存储部113-j读取的秘密分散值{r}，通过秘密计算来计算秘密分散值{y_r}＝{4rs₀s₁s₂}+{r}/2∈{F_p}并进行输出(步骤S118-j)。

秘密分散值{y}、{y_r}、{r}相互关联并保存到存储部113-j(步骤S113-j)。输出部112-j输出秘密分散值{y}。秘密分散值{y}∈{F_p}是有限域Fp上的随机数y的秘密分散值。{y}也可以根据其他秘密分散方式来转换成秘密分散值(例如，Shamir秘密分散方式)并进行输出。

在对秘密分散值{y}被正确计算进行验证的情况下，从存储部113-j读取秘密分散值{y}、{y_r}、{r}，验证它们的一致性。

[变形例等]

另外，本发明不限于上述的实施方式。例如，在上述的实施方式中，随机数r∈F_p的秘密分散值{r}被输入到各秘密计算装置11-i。但是，也可以是各秘密计算装置11-i生成各自的秘密分散值{r}。这里，随机数r必须对各秘密计算装置11-i隐匿。这种方法是众所周知的，也可以利用任何方法。例如，秘密计算装置11-0、…、11-(N-1)能够协作而生成秘密分散值{r}。作为一例，各秘密计算装置11-i’分别计算随机数r_i’的秘密分散值{r_i’}_i∈[F_p]并发送至秘密计算装置11-i(这里，i＝0,…,N-1，i’＝0,…,N-1，且i’≠i)，各秘密计算装置11-i通过利用了秘密分散值{r₀}_i,…,{r_N-1}_i的秘密计算来获得{r}＝{r₀+…+r_N-1}_i。

上述各种处理不仅根据记载按时间顺序执行，也可以根据执行处理的设备的处理能力或需要而并行或单独执行。此外，在不脱离本发明的主旨的情况下可以做出适当变更。

上述的各装置设备是，例如通过包括诸如CPU(central processing unit，中央处理单元)等的处理器(硬件处理器)以及诸如RAM(random-access m emory，随机存取存储器)/ROM(read-only memory，只读存储器)等的存储器的通用或专用计算机来执行规定程序而构成。该计算机可以具备一个处理器和存储器，也可以具备多个处理器和存储器。该程序可以安装在计算机中，也可以预先记录在ROM等中。此外，也可以使用无需使用程序即可实现处理功能的电子电路来构成部分或全部处理部，而不是通过CPU之类的读取程序来实现功能结构的电子电路(circuitry)。构成一个装置的电子电路也可以包括多个CPU。

在通过计算机实现上述结构时，各装置应具有的功能内容通过程序描述。通过在计算机上执行该程序，在计算机上实现上述处理功能。描述该处理内容的程序能够预先记录在计算机可读记录介质中。计算机可读记录介质的示例是非暂时性(non-transitory)记录介质。这种记录介质的例子是磁记录装置、光盘、磁光记录介质以及半导体存储器等。

例如，该程序的流通通过将记录有该程序的诸如DVD或CD-ROM的便携式记录介质进行出售、转让或出借等来进行。进一步地，也可以将该程序预先保存在服务器计算机的存储装置中，并且经由网络从服务器计算机转发到另一计算机以使该程序流通。

执行这种程序的计算机，例如，首先将记录在便携式记录介质上的程序或从服务器计算机转发来的程序临时存储在自己的存储装置中。当执行该处理时，该计算机读取保存在自己的存储装置设备中的程序，并根据读取的程序执行处理。作为该程序的另一种执行方式，计算机也可以直接从便携式记录介质读取该程序，并根据该程序执行处理，进一步地，每次将程序从服务器计算机转发到该计算机时，也可以依次执行根据接受到的程序的处理。上述处理也可以由所谓的ASP(Application Service Provider，应用服务提供商)类型的服务执行，该ASP类型的服务不将程序从服务器计算机转发到该计算机，而是仅通过执行指令和结果获取来实现处理功能。

本装置的处理功能也可以不在计算机上执行规定程序来实现，而是这些处理功能的至少一部分可以通过硬件来实现。

符号说明

1、2 秘密计算系统

11-j、21-j 秘密计算装置