JP2024081261A - プログラム、算出方法および情報処理装置 - Google Patents

Abstract

【課題】乱数値の生成用パラメータを適切に決定すること。
【解決手段】情報処理装置１０は、記憶部１１と処理部１２とを有する。記憶部１１は、秘密情報ｓの暗号化により生成される、ノード２１，２２，…に対応する複数の分散情報［ｓ］_１，［ｓ］_２，…それぞれと秘密情報ｓとの相互情報量に対して許容される上限値αを記憶する。処理部１２は、上限値αに基づいて、秘密情報ｓの暗号化に用いられる乱数値ｃ_１，ｃ_２，…，ｃ_ｋ－１の分布幅を示すパラメータσの値を算出する。
【選択図】図１

Description

本発明はプログラム、算出方法および情報処理装置に関する。

データを暗号化したまま計算する技術として、秘密計算が知られている。秘密計算は秘匿計算ともいわれる。秘密計算により、個人や組織などが公開したくない秘密情報を、他者に知られることなくデータ分析や機械学習に利用可能になる。秘密計算では、クライアントの秘密情報を暗号化してサーバに分散させて保存する秘密分散と呼ばれる手法が用いられることがある。

例えば、秘密の値ｓをランダムな多項式ｆによりｎ個の断片（シェア）に分散し、また、任意のｋ個の断片から秘密の値ｓを復元する、シャミア（Shamir）の秘密分散法を用いる秘密計算装置の提案がある。ただし、ｎは２以上の整数であり、ｋはｎ≧ｋを満たす整数である。ｋはシャミア閾値といわれる。

なお、個別データを確率的なノイズの加算により秘匿するプライバシー保護技術において、入力値に加算するノイズ値を、入力値の値域を変化させない有界ノイズ値とするノイズ加算装置の提案がある。

また、信頼できるイニシャライザを使用せずに、秘密分散機構を使用して２つの行列の行列積の要素を計算するため方法の提案もある。
また、データ処理モデルの学習に使用するデータをパーティ間で分散するために秘密分散を用いることで、データのプライバシーを保護しながら、データ処理モデルのモデルパラメータを協調的に決定可能にする方法の提案もある。

更に、秘密情報を暗号化するシェア計算に用いる乱数係数多項式を、シャミアによる提案方法から変更することで、秘密の漏洩を困難にする方法の提案もある。

国際公開第２０２１／１２４５２０号 特開２０１４－８１５４５号公報 米国特許出願公開第２０２０／０３２０６０５号明細書 米国特許出願公開第２０２１／００４２６４０号明細書

Adi Shamir, "How to share a secret", Communications of the ACM, Volume 22 Issue 11, pp. 612-613, November 1979 Katrine Tjell, Rafael Wisniewski, "Privacy in Distributed Computations based on Real Number Secret Sharing", [online], July 2021, arXiv:2107.00911［cs.CR］、［令和４年１１月１０日検索］、インターネット＜ＵＲＬ：ｈｔｔｐｓ：／／ａｒｘｉｖ．ｏｒｇ／ｐｄｆ／２１０７．００９１１．ｐｄｆ＞

秘密分散では、秘密情報の暗号化に用いられる乱数値の生成用パラメータを適切に決定することが難しいという問題がある。例えば、秘密情報の値に対して乱数値が小さ過ぎると、秘密情報を暗号化した値を基に単独のノードで秘密情報の値が推定され得る。一方、乱数値が大き過ぎると、秘密情報を暗号化した値が過大になることで秘密計算の際に桁落ちが発生し、秘密計算の結果を正しく得られない可能性がある。

１つの側面では、本発明は、乱数値の生成用パラメータを適切に決定することを目的とする。

１つの態様では、コンピュータに次の処理を実行させるプログラムが提供される。コンピュータは、秘密情報の暗号化により複数のノードに対応する複数の分散情報を生成する場合に、秘密情報と複数の分散情報それぞれとの相互情報量に対して許容される上限値を取得する。コンピュータは、上限値に基づいて、暗号化に用いられる乱数値の分布幅を示すパラメータの値を算出する。

また、１つの態様では、コンピュータが実行する算出方法が提供される。また、１つの態様では、記憶部と処理部とを有する情報処理装置が提供される。

１つの側面では、乱数値の生成用パラメータを適切に決定できる。

第１の実施の形態の情報処理装置を説明する図である。 第２の実施の形態の情報処理システムの例を示す図である。 クライアント装置のハードウェア例を示す図である。 スクランブルの例を示す図である。 シェアの計算例を説明する図である。 クライアント装置の機能例を示す図である。 サーバ装置の機能例を示す図である。 ノイズパラメータ算出処理の例を示すフローチャートである。 秘密分散処理の例を示すフローチャートである。 秘密分散処理の例を示す図である。 保証値を決定するための基準情報の例を示す図である。

以下、本実施の形態について図面を参照して説明する。
［第１の実施の形態］
第１の実施の形態を説明する。

図１は、第１の実施の形態の情報処理装置を説明する図である。
情報処理装置１０は、ノード２１，２２，…とネットワーク３０を介して通信する。情報処理装置１０は、コンピュータと呼ばれてもよい。ノード２１，２２は、情報処理装置またはコンピュータと呼ばれてもよい。

情報処理装置１０は、記憶部１１および処理部１２を有する。記憶部１１は、ＲＡＭ（Random Access Memory）などの揮発性記憶装置でもよいし、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性記憶装置でもよい。処理部１２は、例えば、ＣＰＵ（Central Processing Unit）、ＧＰＵ（Graphics Processing Unit）、ＤＳＰ（Digital Signal Processor）などのプロセッサである。処理部１２は、ＡＳＩＣ（Application Specific Integrated Circuit）やＦＰＧＡ（Field Programmable Gate Array）などの電子回路を含んでもよい。プロセッサは、例えば、ＲＡＭ（Random Access Memory）などの揮発性半導体メモリに記憶されたプログラムを実行する。プログラムは、ＨＤＤ（Hard Disk Drive）やフラッシュメモリなどの不揮発性ストレージに保存されていてもよい。プロセッサの集合が、マルチプロセッサまたは単に「プロセッサ」と呼ばれてもよい。

処理部１２は、シャミアの秘密分散の手法に基づいて、秘密情報ｓから複数の分散情報［ｓ］_１，［ｓ］_２，…を生成し、ノード２１，２２，…に分散して配置する。秘密情報ｓは、ユーザが秘密にしておきたい情報である。秘密情報ｓは、処理部１２による処理に応じて記憶部１１に保持される。ｊ番目のノードに対する分散情報は［ｓ］_ｊと表される。ｊはｎ以下の整数である。分散情報［ｓ］_ｊは、シェアと呼ばれてもよい。処理部１２は、分散情報［ｓ］_ｊを、式（１）により計算する。

ｐ_ｊは、ｊ番目のノードに割り当てられた定数である。ｃ_１，ｃ_２，…，ｃ_ｋ－１は、それぞれｐ_ｊ，ｐ_ｊ ^２，…，ｐ_ｊ ^ｋ－１に乗じる乱数値である。乱数値の発生に用いられる確率分布には、例えば正規分布が用いられる。このように、処理部１２は、乱数値を用いて式（１）により秘密情報ｓを暗号化することで、分散情報［ｓ］_ｊを生成する。

分散情報［ｓ］_１，［ｓ］_２，…は、ノード２１，２２，…に分散して配置されるが、ｋ個のノードが結託しなければ秘密情報ｓの復元はできない。具体的には、ｋ個のノードそれぞれが保持する分散情報［ｓ］_ｊの値および定数ｐ_ｊの値を既知の値とし、秘密情報ｓの値およびｃ_１，ｃ_２，…，ｃ_ｋ－１を未知の値としたｋ元連立一次方程式を解くことで、秘密情報ｓの値を得られる。

ここで、処理部１２は、式（１）の乱数値ｃ_１，ｃ_２，…，ｃ_ｋ－１を、秘密情報ｓと分散情報［ｓ］_ｊとの相互情報量に基づいて決定する。相互情報量は、２つの確率変数の間の情報量をビット数で表現する指標である。相互情報量は、２つの確率変数の間の相互に依存し合う情報量、または、２つの確率変数の間の相互に影響し合う情報量ともいわれる。

分散情報［ｓ］_ｊによる秘密漏洩の情報理論的な大きさは、秘密情報ｓの確率分布における確率変数Ｓと、ノードに送信する分散情報［ｓ］_ｊ（暗号化された数値）の確率分布における確率変数［Ｓ］_ｊとに対する相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）により計算される。このため、相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）を測ることで、起き得る情報漏洩の最悪のケースをビット数で評価可能である。

一例として、秘密情報ｓが｛０，１，２，３｝の何れかの値を同じ確率でとる場合を考える。この場合、秘密情報ｓは、４通り、すなわち、２ビットの情報量をもつといえる。相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）＝１ビットであるとする。これは、分散情報［ｓ］_ｊがわかった状況では、秘密情報ｓに関する情報が１ビット得られることを示す。この場合、最悪のケースでは、分散情報［ｓ］_ｊを送られたノードが、１ビット相当の情報（例えば、秘密情報ｓが｛０，１｝の何れかであること）まで推定できてしまう恐れがある。

そこで、処理部１２は、所定の保証値（ビット数）を超える情報量に相当する情報の推定がされないことを、相互情報量に対して許容される上限値として当該保証値を予め定めることで保証する。保証値は、漏洩しても問題ない情報量、または、漏洩を許容する情報量を示す値であるといえる。上記の例の場合、１ビットの情報も漏らしたくないのであれば、保証値を１．０未満の値に設定すればよい。

秘密情報ｓを確率変数Ｓ、シェア［ｓ］_ｊを確率変数［Ｓ］_ｊ、式（２）のｂ（ｐ_ｊ）の確率変数をＢ（ｐ_ｊ）とする。

この場合、相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）の上限値は以下の式（３）により計算される。

ｈ（・）は、確率変数に対するエントロピーを表す。また、ｈ（・｜・）は、条件付きエントロピーである。ｌｏｇの底は２である。σ_ｓは、秘密情報ｓの確率変数Ｓの標準偏差である。σ_ｓは、ユーザにより予め与えられてもよいし、記憶部１１に蓄積された過去の秘密情報の値から処理部１２により計算されてもよい。σ_{Ｂ（ｐ＿ｊ）}は、ｂ（ｐ_ｊ）の確率変数Ｂ（ｐ_ｊ）の標準偏差である。ここで、ｐ＿ｊは、数式中における、ｐの左下に添え字ｊを付した記号を示す。σは、ｃ_ｊ’（ｊ’＝１，２，…，ｋ－１）の標準偏差である。αは、相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）に対して許容される上限値、すなわち、保証値を示す。

式（３）の３行目と４行目との関係には、最大エントロピーの定理が用いられている。具体的には、２つの確率変数Ｓ，Ｂ（ｐ_ｊ）は独立であるため、（Ｓ＋Ｂ（ｐ_ｊ））の分散Ｖ［Ｓ＋Ｂ（ｐ_ｊ）］は、それぞれの分散の和となる。すなわち、Ｖ［Ｓ＋Ｂ（ｐ_ｊ）］＝Ｖ［Ｓ］＋Ｖ［Ｂ（ｐ_ｊ）］＝σ_Ｓ ^２＋σ_{Ｂ（ｐ＿ｊ）} ^２である。Ｖ［Ｓ］＝σ_Ｓ ^２は、確率変数Ｓの分散である。Ｖ［Ｂ（ｐ_ｊ）］＝σ_{Ｂ（ｐ＿ｊ）} ^２は、確率変数Ｂ（ｐ_ｊ）の分散である。最大エントロピーの定理より、分散Ｖ［Ｓ＋Ｂ（ｐ_ｊ）］をもつもので、最大エントロピーをもつものは正規分布であり、当該エントロピーの値は、４行目のｌｏｇ（…）／２のような形で書ける。したがって、式（３）の４行目の不等式が成立する。

式（３）によれば、相互情報量Ｉ（Ｓ；［Ｓ］_ｊ）が保証値α以下になるように、乱数値ｃ_ｊ’の生成用のパラメータであるσを決定できる。具体的には、処理部１２は、漏洩しても問題ない保証値αの指定を受け付ける。そして、処理部１２は、ｎ個のノードに割り振られたｐ_ｊ（ｊ＝１，…，ｎ）に対し、式（３）を変形して得られるσ^２＝ｆ（α）の形の式（４）により、保証値αを用いて最大のσを計算する。

ただし、処理部１２は、ｐ_ｊ＝１の場合、式（４）の分母「ｐ_ｊ ^２（１－ｐ_ｊ ^{２（ｋ－１）}）」の部分を、１／（ｋ－１）とする。ｍａｘ演算子は、中括弧｛・｝内のｐ_ｊの複数の値に対応する複数の計算結果（候補値）のうちの最大値を選択することを示す。式（４）の右辺がｆ（α）に相当する。処理部１２は、σ^２の平方根としてσを取得できる。

処理部１２は、式（４）により得られたσを標準偏差σ（または分散σ^２）として用いて、例えば平均値０の正規分布などに従う乱数値ｃ_１，ｃ_２，…，ｃ_ｋ－１を生成する。処理部１２は、生成した乱数値ｃ_１，ｃ_２，…，ｃ_ｋ－１を用いて、式（１）により、ｎ個のノードに配置するｎ個の分散情報［ｓ］_１，［ｓ］_２，…を生成する。そして、処理部１２は、ｎ個の分散情報［ｓ］_１，［ｓ］_２，…を、それぞれノード２１，２２，…に送信する。

このように、情報処理装置１０によれば、秘密情報の暗号化により複数のノードに対応する複数の分散情報を生成する場合に、秘密情報と複数の分散情報それぞれとの相互情報量に対して許容される上限値が取得される。当該上限値に基づいて、当該暗号化に用いられる乱数値の分布幅を示すパラメータσの値が算出される。

これにより、情報処理装置１０は、乱数値の生成用パラメータσを適切に決定できる。
例えば、情報処理装置１０は、当該パラメータσにより、情報漏洩の理論保証の条件を満たす適度な大きさをもつ乱数値を生成できる。すなわち、情報処理装置１０は、乱数値が小さくなり過ぎることを抑制でき、単独のノードで分散情報から保証値（上記の上限値）より大きい情報量に相当する情報が漏洩する可能性を低減できる。また、情報処理装置１０は、乱数値が大きくなり過ぎることを抑制でき、当該乱数値から生成される分散情報を用いた秘密計算において桁落ちを発生しにくくすることができる。また、情報処理装置１０は、乱数値が大きくなり過ぎることを抑制することで、当該乱数値から生成される分散情報の値自体で桁落ちが発生する可能性も低減できる。更に、情報処理装置１０は、乱数値の生成用パラメータσを簡便に計算でき、分散情報の生成に伴う計算コストを低減できる。

［第２の実施の形態］
次に、第２の実施の形態を説明する。
図２は、第２の実施の形態の情報処理システムの例を示す図である。

第２の実施の形態の情報処理システムは、クライアント装置１００およびサーバ装置２００，２００ａ，２００ｂ，…を有する。クライアント装置１００およびサーバ装置２００，２００ａ，２００ｂ，…は、ネットワーク４０に接続される。ネットワーク４０は、例えばインターネット、ＷＡＮ（Wide Area Network）またはＬＡＮ（Local Area Network）などである。

クライアント装置１００は、シャミアの秘密分散を行うコンピュータである。クライアント装置１００は、秘密情報を暗号化することで、サーバ装置２００，２００ａ，２００ｂ，…それぞれに配置するシェアを生成し、生成したシェアを、当該シェアに対応するサーバ装置に送信する。

サーバ装置２００，２００ａ，２００ｂ，…は、シェアを保持する。サーバ装置２００，２００ａ，２００ｂ，…が保持するシェアは、所定の秘密計算に用いられる。秘密計算により、秘密情報が暗号化されたまま、データ分析や機械学習などに利用される。

なお、第２の実施の形態の情報処理システムは、クライアント装置１００を含む複数のクライアント装置を有してもよい。また、サーバ装置２００，２００ａ，２００ｂ，…は、物理的なコンピュータ（物理マシン）により実現されてもよい。サーバ装置２００，２００ａ，２００ｂ，…は、物理マシンが備えるプロセッサやＲＡＭなどのリソースを用いて当該物理マシン上に実現される仮想的なコンピュータ（仮想マシン）により実現されてもよい。

クライアント装置１００は、第１の実施の形態の情報処理装置１０の一例である。サーバ装置２００，２００ａ，２００ｂ，…は、第１の実施の形態のノード２１，２２，…の一例である。

図３は、クライアント装置のハードウェア例を示す図である。
クライアント装置１００は、プロセッサ１０１、ＲＡＭ１０２、ＨＤＤ１０３、ＧＰＵ１０４、入力インタフェース１０５、媒体リーダ１０６および通信インタフェース１０７を有する。クライアント装置１００が有するこれらのユニットは、クライアント装置１００の内部でバスに接続されている。プロセッサ１０１は、第１の実施の形態の処理部１２の一例である。ＲＡＭ１０２またはＨＤＤ１０３は、第１の実施の形態の記憶部１１の一例である。

プロセッサ１０１は、プログラムの命令を実行する演算装置である。プロセッサ１０１は、例えばＣＰＵである。プロセッサ１０１は、ＨＤＤ１０３に記憶されたプログラムやデータの少なくとも一部をＲＡＭ１０２にロードし、プログラムを実行する。なお、プロセッサ１０１は複数のプロセッサコアを含んでもよい。また、クライアント装置１００は複数のプロセッサを有してもよい。以下で説明する処理は複数のプロセッサまたはプロセッサコアを用いて並列に実行されてもよい。また、複数のプロセッサの集合を「マルチプロセッサ」または単に「プロセッサ」と言うことがある。

ＲＡＭ１０２は、プロセッサ１０１が実行するプログラムやプロセッサ１０１が演算に用いるデータを一時的に記憶する揮発性の半導体メモリである。なお、クライアント装置１００は、ＲＡＭ以外の種類のメモリを備えてもよく、複数個のメモリを備えてもよい。

ＨＤＤ１０３は、ＯＳ（Operating System）やミドルウェアやアプリケーションソフトウェアなどのソフトウェアのプログラム、および、データを記憶する不揮発性の記憶装置である。なお、クライアント装置１００は、フラッシュメモリやＳＳＤ（Solid State Drive）などの他の種類の記憶装置を備えてもよく、複数の不揮発性の記憶装置を備えてもよい。

ＧＰＵ１０４は、プロセッサ１０１からの命令に従って、クライアント装置１００に接続されたディスプレイ１１１に画像を出力する。ディスプレイ１１１としては、ＣＲＴ（Cathode Ray Tube）ディスプレイ、液晶ディスプレイ（ＬＣＤ：Liquid Crystal Display）、プラズマディスプレイ、有機ＥＬ（ＯＥＬ：Organic Electro-Luminescence）ディスプレイなど、任意の種類のディスプレイを用いることができる。

入力インタフェース１０５は、クライアント装置１００に接続された入力デバイス１１２から入力信号を取得し、プロセッサ１０１に出力する。入力デバイス１１２としては、マウス、タッチパネル、タッチパッド、トラックボールなどのポインティングデバイス、キーボード、リモートコントローラ、ボタンスイッチなどを用いることができる。また、クライアント装置１００に、複数の種類の入力デバイスが接続されていてもよい。

媒体リーダ１０６は、記録媒体１１３に記録されたプログラムやデータを読み取る読み取り装置である。記録媒体１１３として、例えば、磁気ディスク、光ディスク、光磁気ディスク（ＭＯ：Magneto-Optical disk）、半導体メモリなどを使用できる。磁気ディスクには、フレキシブルディスク（ＦＤ：Flexible Disk）やＨＤＤが含まれる。光ディスクには、ＣＤ（Compact Disc）やＤＶＤ（Digital Versatile Disc）が含まれる。

媒体リーダ１０６は、例えば、記録媒体１１３から読み取ったプログラムやデータを、ＲＡＭ１０２やＨＤＤ１０３などの他の記録媒体にコピーする。読み取られたプログラムは、例えば、プロセッサ１０１によって実行される。なお、記録媒体１１３は可搬型記録媒体であってもよく、プログラムやデータの配布に用いられることがある。また、記録媒体１１３やＨＤＤ１０３を、コンピュータ読み取り可能な記録媒体と言うことがある。

通信インタフェース１０７は、ネットワーク４０に接続され、ネットワーク４０を介して他の情報処理装置と通信する。通信インタフェース１０７は、スイッチやルータなどの有線通信装置に接続される有線通信インタフェースでもよいし、基地局やアクセスポイントなどの無線通信装置に接続される無線通信インタフェースでもよい。

サーバ装置２００，２００ａ，２００ｂ，…もクライアント装置１００と同様のハードウェアにより実現される。
図４は、スクランブルの例を示す図である。

クライアント装置１００は、式（１）で示されるように、乱数ノイズに相当するｃ_１ｐ＋ｃ_２ｐ_ｊ ^２＋…＋ｃ_ｋ－１ｐ_ｊ ^ｋ－１により秘密情報ｓにスクランブルをかけ、当該秘密情報ｓを暗号化する。以下では、秘密情報ｓを、単に秘密ｓという。

シャミアの秘密分散では、数値である秘密に乱数ノイズでスクランブルをかけた値、すなわち、シェアを各サーバ装置に送信するが、秘密に対して乱数ノイズが小さいと、秘密の数値と殆ど差がない数値をサーバ装置に送信してしまう。

図４（Ａ）は、乱数ノイズが小さ過ぎる場合を例示する。分布５０は、秘密の値の分布の例を示す。分布５１は、分布５０をもつ秘密の値を乱数ノイズでスクランブルすることで生成されるシェアの値の分布の例を示す。例えば、秘密ｓが｛９９，１００，１０１｝の何れかの値しかとらないとする。このとき、例えば－０．１～０．１の範囲の乱数ノイズｒ１によってスクランブルをかけた値ｓ＋ｒ１は、分布５１で示されるように｛９８．９～９９．１，９９．９～１００．１，１００．９～１０１．１｝の何れかの値になる。この場合、あるサーバ装置に複数回のシェア送信があると、当該サーバ装置は、シェアの値について一定のパターンを知ることができてしまう。その結果、当該サーバ装置により秘密の推定が可能になる。

図４（Ｂ）は、乱数ノイズが適切である場合を例示する。分布５２は、乱数ノイズｒ１の範囲よりも大きい適度な範囲の乱数ノイズｒ２によってスクランブルをかけた値ｓ＋ｒ２の分布を示す。分布５２で示されるように、秘密ｓに対し、適切な乱数ノイズｒ２でスクランブルをかけることで、サーバ装置側でシェアの値のパターンを特定しにくくなり、秘密ｓの推定が困難になる。

図５は、シェアの計算例を説明する図である。
グラフ６０は、クライアント装置Ｃ_１，…，Ｃ_ｉ，…，Ｃ_ｍおよびサーバ装置Ｓ_１，Ｓ_２，…，Ｓ_ｎそれぞれを示すノードと、クライアント装置によるシェアの配置先のサーバ装置を示す有向エッジとを含む。クライアント装置Ｃ_１は、クライアント装置１００に相当する。サーバ装置Ｓ_１，Ｓ_２，…，Ｓ_ｎは、ｎ個のサーバ装置２００，２００ａ，…に相当する。サーバ装置Ｓ_ｊは、サーバ装置２００，２００ａ，…のうちのｊ番目のサーバ装置を示す。

一例として、秘密ｓのサーバ装置Ｓ_ｊへのシェア［ｓ］_ｊが、［ｓ］_ｊ＝ｓ＋ｃ_１ｐ_ｊ＋ｃ_２ｐ_ｊ ^２であるとする。ｃ_１，ｃ_２は、正規分布Ｎ（μ，σ^２）に従う乱数値である。μは平均値である。σは標準偏差である。また、クライアント装置１００（Ｃ_１）がサーバ装置２００，２００ａ（Ｓ_１，Ｓ_２）をシェアの配置先にするものとする。

ｐ１＝１０のとき、［ｓ］_１＝ｓ＋１０ｃ_１＋１００ｃ_２である。
ｐ２＝０．１のとき、［ｓ］_２＝ｓ＋０．１ｃ_１＋０．０１ｃ_２である。
クライアント装置１００の秘密ｓがｓ＝０または１であるとする。

（第１の例）
標準偏差σが小さいと、乱数ノイズ（＝ｃ_１ｐ_ｊ＋ｃ_２ｐ_ｊ ^２）が非常に小さくなり、サーバ装置が単独で秘密ｓを推定可能になる。

乱数値が従う正規分布について、μ＝０．０、σ＝１．０のとき、生成される乱数値の９５％が－２．０～＋２．０の範囲の値になる。したがって、サーバ装置２００ａ（Ｓ２）は、［ｓ］_２＝－０．２２～０．２２または０．７８～１．２２の値をとる複数回のシェアの受信によって、シェアの確率分布を得ることができ、秘密の推定につながる。

なお、ｓ＝０または１に対し、シェア［ｓ］_１では、秘密ｓが乱数ノイズで埋もれるため、サーバ装置２００（Ｓ_１）は、秘密の推定が困難になる。
（第２の例）
サーバ装置２００ａ（Ｓ_２）に対して乱数ノイズが小さくならないように、標準偏差σを大きくし過ぎると、［ｓ］_２では、乱数ノイズで秘密ｓを隠せる一方で、［ｓ］_１が大きくなり過ぎ、秘密計算における桁落ちリスクにつながる。

乱数値が従う正規分布について、μ＝０．０、σ＝１００００．０のとき、生成される乱数値の９５％が－２００００．０～＋２００００．０の範囲の値になる。したがって、［ｓ］_２＝－２２００～＋２２００（ｓ＝０のとき）、－２１９９～＋２２０１（ｓ＝１のとき）の値をとり、サーバ装置２００ａでの秘密ｓの推定は困難になる。

一方で、［ｓ］_１＝－２２０００００～＋２２０００００（ｓ＝０のとき）、－２１９９９９９～＋２２００００１（ｓ＝１のとき）の値をとる。このような極端に大きいシェアの値は、秘密計算における積の計算で、比較的大きい値の積を計算することになるため、秘密計算の途中で非常に大きい値が発生して桁落ちを起こす恐れがある。桁落ちが生じると、秘密計算の結果を正しく得られなくなる。また、ｋが大きくなるとｐの冪は非常に大きい値になるため、シェアの値自体が非常に大きくなり、シェア単独でも桁落ちしてしまう恐れがある。

そこで、クライアント装置１００は、乱数ノイズが適度な大きさになるように、乱数値ｃ_ｊ’（ｊ’＝１，…，ｋ－１）の生成用のパラメータであるσを適切に決定する機能を提供する。

図６は、クライアント装置の機能例を示す図である。
クライアント装置１００は、全サーバ設定値記憶部１２１、過去秘密データ記憶部１２２、秘密データ標準偏差記憶部１２３、秘密保証値記憶部１２４、ノイズパラメータ記憶部１２５、秘密データ記憶部１２６、サーバ設定値受信部１３０、秘密データ標準偏差計算部１４０、ノイズパラメータ調整部１５０、シェア計算部１６０およびシェア送信部１７０を有する。

全サーバ設定値記憶部１２１、過去秘密データ記憶部１２２、秘密データ標準偏差記憶部１２３、秘密保証値記憶部１２４、ノイズパラメータ記憶部１２５および秘密データ記憶部１２６には、ＲＡＭ１０２またはＨＤＤ１０３の記憶領域が用いられる。サーバ設定値受信部１３０、秘密データ標準偏差計算部１４０、ノイズパラメータ調整部１５０、シェア計算部１６０およびシェア送信部１７０は、ＲＡＭ１０２に記憶されたプログラムがプロセッサ１０１により実行されることで実現される。

全サーバ設定値記憶部１２１は、サーバ装置２００，…，２００ｘそれぞれのサーバ設定値ｐ_１，…，ｐ_ｎを記憶する。ここで、サーバ装置２００ｘは、ｎ個目のサーバ装置である。

過去秘密データ記憶部１２２は、ユーザの過去の秘密データを記憶する。過去の秘密データは、当該ユーザにより作成された前回までの秘密に相当する。過去の秘密データは、前回までの全ての秘密でもよいし、直近の所定期間内の秘密でもよい。

秘密データ標準偏差記憶部１２３は、ユーザの過去の秘密データから計算される秘密データ標準偏差σ_ｓを記憶する。
秘密保証値記憶部１２４は、保証値αを記憶する。保証値αは、漏洩しても問題ない情報量がユーザにより予め定められる。例えば、前述のように、１ビットの情報量も漏洩させたくない場合、αは１ビット未満（例えば、α＝０．５など）に設定される。

ノイズパラメータ記憶部１２５は、ｐ_１，…，ｐ_ｎ，σ_ｓ，αに基づいて式（４）により計算されるノイズパラメータσを記憶する。ノイズパラメータσは、シェア計算に用いられるノイズ値の分布幅を示す。

秘密データ記憶部１２６は、今回の秘密データ、すなわち、秘密ｓを記憶する。
サーバ設定値受信部１３０は、サーバ装置２００，…，２００ｘそれぞれからサーバ設定値ｐ_１，…，ｐ_ｎを受信し、全サーバ設定値記憶部１２１に格納する。

秘密データ標準偏差計算部１４０は、過去秘密データ記憶部１２２に記憶される過去の秘密データの値に基づいて秘密データ標準偏差σ_ｓを計算し、秘密データ標準偏差記憶部１２３に格納する。

ノイズパラメータ調整部１５０は、全サーバ設定値記憶部１２１に記憶されるｐ_１，…，ｐ_ｎ、秘密データ標準偏差記憶部１２３に記憶されるσ_ｓおよび秘密保証値記憶部１２４に記憶されるαに基づいて、式（４）によりノイズパラメータσを計算する。式（４）により計算されるσ^２の平方根がσとなる。なお、式（４）に用いられるｋの値はノイズパラメータ調整部１５０に予め与えられる。ノイズパラメータ調整部１５０は、計算したσを、ノイズパラメータ記憶部１２５に格納する。

具体的には、ノイズパラメータ調整部１５０は、式（４）に基づき、複数のサーバ設定値それぞれに対して、秘密ｓと各シェア［ｓ］_ｊとの相互情報量（式（３）のＩ（Ｓ；［Ｓ］_ｊ））が、保証値αに等しくなるように複数のサーバ設定値に対応する、ノイズパラメータσの複数の候補値を算出する。１つの候補値は、式（４）のｍａｘ演算子の中括弧｛・｝の中の１つのｐ_ｊに対する計算結果に相当する。ノイズパラメータ調整部１５０は、式（４）のｍａｘ演算子で示されるように、算出した複数の候補値のうちの最大値をノイズパラメータσの値として選択する。

シェア計算部１６０は、ノイズパラメータ記憶部１２５に記憶されるσに基づいて乱数値ｃ_１，…，ｃ_ｋ－１を生成する。シェア計算部１６０は、生成した乱数値ｃ_１，…，ｃ_ｋ－１、全サーバ設定値記憶部１２１に記憶されるｐ_１，…，ｐ_ｎおよび秘密データ記憶部１２６に記憶される秘密ｓに基づいて、式（１）によりシェア［ｓ］_１，…，［ｓ］_ｎを生成する。

シェア送信部１７０は、シェア［ｓ］_１，…，［ｓ］_ｎを、それぞれ対応するサーバ装置２００，…，２００ｘに送信する。
図７は、サーバ装置の機能例を示す図である。

サーバ装置２００は、サーバ設定値記憶部２１１、シェア記憶部２１２、サーバ設定値送信部２２０およびシェア受信部２３０を有する。サーバ設定値記憶部２１１およびシェア記憶部２１２には、サーバ装置２００のＲＡＭまたはＨＤＤの記憶領域が用いられる。サーバ設定値送信部２２０およびシェア受信部２３０は、当該ＲＡＭに記憶されたプログラムが、サーバ装置２００のプロセッサにより実行されることで実現される。

なお、サーバ装置２００以外のサーバ装置２００ａ，…，２００ｘもサーバ装置２００と同様の機能を有する。
サーバ設定値記憶部２１１は、サーバ装置２００に対応するサーバ設定値ｐ_１を記憶する。サーバ設定値ｐ_１は、サーバ設定値記憶部２１１に予め設定される。

シェア記憶部２１２は、サーバ装置２００に対応するシェア［ｓ］_１を記憶する。
サーバ設定値送信部２２０は、サーバ設定値記憶部２１１に記憶されるサーバ設定値ｐ_１を、クライアント装置１００に送信する。

シェア受信部２３０は、サーバ装置２００に対応するシェア［ｓ］_１をクライアント装置１００から受信し、シェア記憶部２１２に格納する。
次に、クライアント装置１００の処理手順を説明する。

図８は、ノイズパラメータ算出処理の例を示すフローチャートである。
（Ｓ１０）サーバ設定値受信部１３０は、サーバ装置ごとのサーバ設定値（ｐ_１，…，ｐ_ｎ）を取得し、全サーバ設定値記憶部１２１に保存する。

（Ｓ１１）ノイズパラメータ調整部１５０は、保証値αを取得し、秘密保証値記憶部１２４に保存する。保証値αは、ユーザにより予め指定される。
（Ｓ１２）秘密データ標準偏差計算部１４０は、過去秘密データ記憶部１２２に記憶される過去の秘密データを基に、当該過去の秘密データの統計量である標準偏差σ_ｓ、すなわち、秘密データ標準偏差σ_ｓを計算し、秘密データ標準偏差記憶部１２３に保存する。

（Ｓ１３）ノイズパラメータ調整部１５０は、保証値αとサーバ設定値ｐ_ｊ（ｊ＝１，…，ｎ）と標準偏差σ_ｓとを基に、式（４）を用いてノイズパラメータσを計算し、ノイズパラメータ記憶部１２５に保存する。ノイズパラメータ調整部１５０は、式（４）を基に、ｐ_ｊの各値に対してσ（またはσ^２）の候補値を算出し、ｐ_ｊの各値に対する候補値のうちの最大値（または当該最大値の平方根）をノイズパラメータσの値として選択する。そして、ノイズパラメータ算出処理が終了する。

図９は、秘密分散処理の例を示すフローチャートである。
（Ｓ２０）シェア計算部１６０は、ノイズパラメータ記憶部１２５に記憶されるノイズパラメータσをシェア生成用の乱数生成に用いる標準偏差として取得する。

（Ｓ２１）シェア計算部１６０は、乱数値ｃ_ｊ’（ｊ’＝１，…，ｋ－１）を標準偏差σによる正規分布に従って生成し、式（１）によりｐ_ｊ（ｊ＝１，…，ｎ）に対して秘密ｓに乱数ノイズを加えることで、サーバ装置Ｓ_ｊへのシェア［ｓ］_ｊを生成する。

（Ｓ２２）シェア送信部１７０は、各サーバ装置Ｓ_ｊに対して、シェア［ｓ］_ｊを送信する。そして、秘密分散処理が終了する。なお、各サーバ装置Ｓ_ｊのシェア受信部２３０は、クライアント装置１００からシェア［ｓ］_ｊを受信し、シェア記憶部２１２に保存する。

図１０は、秘密分散処理の例を示す図である。
グラフ７０では、Ｃのノードがクライアント装置１００を示し、Ｓ_１，…，Ｓ_ｊ，…，Ｓ_ｎのノードがサーバ装置２００，…，２００ｘを示す。ｊ（ｊ＝１，…，ｎ）番目のサーバ装置のサーバ設定値は、定数ｐ_ｊである。ｊ番目のサーバ装置の秘密ｓに対するシェアは［ｓ］_ｊである。

ここで、ｎ＝３の場合を例示する。例えば、Ｓ_１，Ｓ_２，Ｓ_３のノードは、それぞれサーバ装置２００，２００ａ，２００ｂに相当する。また、サーバ装置２００のサーバ設定値ｐ_１＝１０とする。サーバ装置２００ａのサーバ設定値ｐ_２＝０．１とする。サーバ装置２００ｂのサーバ設定値ｐ_３＝１．０とする。サーバ装置２００に送信されるシェアは［ｓ］_１である。サーバ装置２００ａに送信されるシェアは［ｓ］_２である。サーバ装置２００ｂに送信されるシェアは［ｓ］_３である。

クライアント装置１００の秘密ｓは、｛０，１，２，３｝の何れかの値を同じ確率でとるものとする。この場合、秘密データ標準偏差σ_ｓの２乗により計算される分散σ_ｓ ^２は、σ_ｓ ^２＝５／４である。

また、各サーバ装置により１ビット以上の情報量の取得が起きないように、クライアント装置１００は保証値α＝０．５に設定するものとする。
例えば、秘密分散処理の前に、クライアント装置１００は次のようにノイズパラメータ算出処理を実行する。

サーバ設定値受信部１３０は、サーバ装置２００，２００ａ，２００ｂごとのサーバ設定値ｐ_１＝１０，ｐ_２＝０．１，ｐ_３＝１．０を取得し、全サーバ設定値記憶部１２１に保存する。

ノイズパラメータ調整部１５０は、保証値α＝０．５を取得し、秘密保証値記憶部１２４に保存する。保証値αは、ユーザにより予め指定される。ノイズパラメータ調整部１５０は、例えば過去秘密データ記憶部１２２や秘密データ記憶部１２６に記憶される値の値域を基に、予め定められた基準に従って、保証値α＝０．５としてもよい。

ノイズパラメータ調整部１５０は、分散σ_ｓ ^２、保証値αおよびサーバ設定値ｐ_１，ｐ_２，ｐ_３を用いて式（４）のσを計算する。具体的には、ノイズパラメータ調整部１５０は、式（４）に各数値を代入した式（５）によってσ^２を計算する。

ノイズパラメータ調整部１５０は、分散σ^２＝１２３．７６２４の平方根である標準偏差σ＝１１．１２を、ノイズパラメータとする。ノイズパラメータ調整部１５０は、計算したノイズパラメータσを、ノイズパラメータ記憶部１２５に保存する。

そして、クライアント装置１００は、次のように秘密分散処理を行う。
シェア計算部１６０は、ノイズパラメータ記憶部１２５に記憶されたノイズパラメータσをシェア生成用の乱数生成に用いる標準偏差として取得する。

シェア計算部１６０は、乱数値ｃ_ｊ’（ｊ’＝１，２）を正規分布Ｎ（０，σ^２）に従って生成する。例えば、ｃ_１＝１３．１、ｃ_２＝－２７．４であるとする。
この場合、シェア計算部１６０は、乱数値ｃ_１，ｃ_２を用いて、式（６）のようにシェア［ｓ］_１，［ｓ］_２，［ｓ］_３を計算する。

シェア送信部１７０は、サーバ装置２００，２００ａ，２００ｂ（Ｓ_ｊ，ｊ＝１，２，３）に対して、シェア［ｓ］_ｊを送信する。
サーバ装置２００，２００ａ，２００ｂそれぞれのシェア受信部２３０は、クライアント装置１００からシェア［ｓ］_ｊを受信し、シェア記憶部２１２に保存する。

第２の実施の形態のクライアント装置１００によれば、秘密を暗号化する際に用いる乱数ノイズを適切に選ぶことにより、情報漏洩が発生する可能性を低減し、かつ、シェア計算時の桁落ちや秘密計算時の桁落ちの問題が生じる可能性を低減することができる。

また、前述の非引用文献２の方法では、シェア計算に積和を計算する必要があり、非引用文献１のシャミアの方法に比べて計算量が増大し得る。具体的には、非引用文献２の方法では、シェアの計算に、ラグランジュ基本多項式（Lagrange basis polynomials）が用いられ、当該多項式の積和の計算にかかる計算コストが大きいという問題がある。

一方、クライアント装置１００によれば、式（４）に基づいてノイズパラメータを生成し、式（１）によりシェアを計算する。このため、非引用文献２の方法のような複雑な多項式を用いるよりも、クライアント装置１００は、シェアを簡便に計算でき、シェアの計算にかかる計算コストを低減できる。

なお、上記の例では、ノイズパラメータ調整部１５０は、秘密保証値記憶部１２４に予め格納された保証値αを用いてノイズパラメータσを計算するものとした。一方、秘密保証値記憶部１２４は、保証値αを決定するための基準（あるいはポリシー）を示す基準情報を予め保持してもよい。その場合、ノイズパラメータ調整部１５０は、秘密保証値記憶部１２４に記憶された基準情報に基づいて保証値αを決定してもよい。

図１１は、保証値を決定するための基準情報の例を示す図である。
基準情報１２４ａは、ユーザごとの保証値αの決定基準を示す。基準情報１２４ａは、例えば秘密保証値記憶部１２４に予め格納される。基準情報１２４ａは、ＲＡＭ１０２やＨＤＤ１０３における、秘密保証値記憶部１２４以外の記憶領域に格納されてもよい。

基準情報１２４ａは、ユーザおよび保証値決定基準の項目を含む。ユーザの項目には、秘密情報を扱うユーザの識別情報が登録される。保証値決定基準の項目には、当該ユーザに対する保証値の決定基準が登録される。

例えば、基準情報１２４ａは、ユーザ「Ｕ１」に対して、保証値決定基準「１ビット未満」のレコードを有する。このレコードは、ユーザＵ１の秘密情報に対して、１ビットの情報漏洩も許容されないことを示す。この場合、ノイズパラメータ調整部１５０は、ユーザＵ１の扱う秘密情報に対して、例えば前述のα＝０．５のように、α＜１の値を設定する。α（ユーザＵ１の例ではα＝０．５）の決定方法として、保証値決定基準で示される限界値（ユーザＵ１の例では１（ビット））から所定値（例えば０．５）を減算した値とする、限界値の所定割合（例えば１／２）の値とするなどの方法が考えられる。

また、基準情報１２４ａは、ユーザ「Ｕ２」に対して、保証値決定基準「秘密情報の情報量の１０％未満」のレコードを有する。このレコードは、ユーザＵ２の秘密情報に対して、当該秘密情報の情報量のうちの１０％未満の情報量であれば、漏洩しても問題ないことを示す。この場合、ノイズパラメータ調整部１５０は、ユーザＵ２の扱う秘密情報に対して、当該秘密情報の情報量ｙに対して、α＜０．１×ｙの値（例えば、α＝０．０５×ｙなど）を設定する。

また、基準情報１２４ａは、ユーザ「Ｕ３」に対して、保証値決定基準「秘密情報の情報量の３％以下」のレコードを有する。このレコードは、ユーザＵ３の秘密情報に対して、当該秘密情報の情報量のうちの３％以下の情報量であれば、漏洩しても問題ないことを示す。この場合、ノイズパラメータ調整部１５０は、ユーザＵ３の扱う秘密情報に対して、当該秘密情報の情報量ｚに対して、α≦０．０３×ｚの値を設定する。例えば、ノイズパラメータ調整部１５０は、ユーザＵ３に対して、α＝０．０３×ｚと決定してもよい。

このように、クライアント装置１００は、基準情報１２４ａにより、保証値αを効率的に決定することもできる。例えば、クライアント装置１００は、ユーザごとのポリシーに従って、秘密情報の情報量に応じた保証値αを適切に決定可能になる。なお、保証値決定基準は、ユーザ単位に限らず、各サーバ装置などが提供するサービス単位や、ユーザとサービスとの組単位など、他の単位に対して定められてもよい。

以上説明したように、クライアント装置１００は、例えば次の処理を行う。
プロセッサ１０１は、秘密情報の暗号化により複数のノードに対応する複数の分散情報を生成する場合に、秘密情報と複数の分散情報それぞれとの相互情報量に対して許容される上限値を取得する。プロセッサ１０１は、当該上限値に基づいて、秘密情報の暗号化に用いられる乱数値の分布幅を示すパラメータの値を算出する。

これにより、クライアント装置１００は、乱数値の生成用パラメータを適切に決定できる。例えば、クライアント装置１００は、秘密情報に関して、取得した上限値を超える情報量の情報漏洩が発生する可能性を低減し、かつ、分散情報の計算時の桁落ちや秘密計算時の桁落ちの問題が生じる可能性を低減することができる。秘密計算の過程での桁落ちを抑制することで、秘密計算の結果を正しく得られるようになる。前述のシェアは、分散情報の一例である。標準偏差として用いられるノイズパラメータσまたは分散に相当するσ^２は、乱数値の分布幅を示すパラメータの一例である。例えば、乱数値の分布幅を示すパラメータは、式（４）で計算されたσに所定値を加算するなどして調整された値でもよい。サーバ装置２００，２００ａ，…は複数のノードの一例である。

また、プロセッサ１０１は、過去の秘密情報の値の標準偏差に基づいて、乱数値の分布幅を示すパラメータの値を算出する。
これにより、クライアント装置１００は、秘密情報の値の傾向に応じて、乱数値の生成用パラメータを適切に決定できる。秘密データ標準偏差σ_ｓは、過去の秘密情報の値の標準偏差に相当する。

また、プロセッサ１０１は、複数のノードに対応する複数のノード設定値それぞれに対して、秘密情報と複数の分散情報それぞれとの相互情報量が、取得した上限値となるように複数のノード設定値に対応する、上記パラメータの複数の候補値を算出する。プロセッサ１０１は、算出した複数の候補値のうちの最大値を暗号化に用いるパラメータの値として選択する。

これにより、クライアント装置１００は、複数のノードに対して、乱数値の生成用パラメータを適切に決定できる。すなわち、クライアント装置１００は、複数のノードそれぞれで情報漏洩が発生する可能性を低減し、かつ、分散情報の計算時の桁落ちや秘密計算時の桁落ちの問題が生じる可能性を低減することができる。なお、前述のサーバ装置ごとのサーバ設定値ｐ_ｊは、ノード設定値の一例である。

また、プロセッサ１０１は、乱数値の分布幅を示すパラメータの値を用いて複数の乱数値を生成し、秘密情報と複数の乱数値とに基づいて複数の分散情報を生成する。
これにより、クライアント装置１００は、複数の分散情報を簡便に生成できる。例えば、前述の非特許文献２の方法に比べて、複数の分散情報の生成のための計算コストを低減できる。

また、プロセッサ１０１は、秘密情報と複数の分散情報それぞれとの相互情報量に対して許容される上限値の取得では、秘密情報に対して漏洩しても問題ないとされる情報量の基準を示す基準情報に基づいて、当該上限値を決定してもよい。

これにより、プロセッサ１０１は、基準情報に基づいて、当該上限値を効率的に決定できる。前述の基準情報１２４ａにおける保証値決定基準は、秘密情報に対して漏洩しても問題ないとされる情報量の基準の一例である。

なお、第１の実施の形態の情報処理は、処理部１２にプログラムを実行させることで実現できる。また、第２の実施の形態の情報処理は、プロセッサ１０１にプログラムを実行させることで実現できる。プログラムは、コンピュータ読み取り可能な記録媒体１１３に記録できる。

例えば、プログラムを記録した記録媒体１１３を配布することで、プログラムを流通させることができる。また、プログラムを他のコンピュータに格納しておき、ネットワーク経由でプログラムを配布してもよい。コンピュータは、例えば、記録媒体１１３に記録されたプログラムまたは他のコンピュータから受信したプログラムを、ＲＡＭ１０２やＨＤＤ１０３などの記憶装置に格納し（インストールし）、当該記憶装置からプログラムを読み込んで実行してもよい。

１０ 情報処理装置
１１ 記憶部
１２ 処理部
２１，２２ ノード
３０ ネットワーク

Claims (8)

1. コンピュータに、
   秘密情報の暗号化により複数のノードに対応する複数の分散情報を生成する場合に、前記秘密情報と前記複数の分散情報それぞれとの相互情報量に対して許容される上限値を取得し、
   前記上限値に基づいて、前記暗号化に用いられる乱数値の分布幅を示すパラメータの値を算出する、
   処理を実行させるプログラム。
2. 前記算出では、過去の秘密情報の値の標準偏差に基づいて、前記パラメータの値を算出する、
   処理を前記コンピュータに実行させる請求項１記載のプログラム。
3. 前記算出では、前記複数のノードに対応する複数のノード設定値それぞれに対して前記相互情報量が前記上限値となるように、前記複数のノード設定値に対応する、前記パラメータの複数の候補値を算出し、算出した前記複数の候補値のうちの最大値を前記暗号化に用いる前記パラメータの値として選択する、
   処理を前記コンピュータに実行させる請求項１記載のプログラム。
4. 前記パラメータの値を用いて複数の乱数値を生成し、前記秘密情報と前記複数の乱数値とに基づいて前記複数の分散情報を生成する、
   処理を前記コンピュータに実行させる請求項１記載のプログラム。
5. 前記取得では、前記秘密情報に対して漏洩しても問題ないとされる情報量の基準を示す基準情報に基づいて、前記上限値を決定する、
   処理を前記コンピュータに実行させる請求項１記載のプログラム。
6. 前記パラメータは、標準偏差または分散である、
   請求項１記載のプログラム。
7. コンピュータが、
   秘密情報の暗号化により複数のノードに対応する複数の分散情報を生成する場合に、前記秘密情報と前記複数の分散情報それぞれとの相互情報量に対して許容される上限値を取得し、
   前記上限値に基づいて、前記暗号化に用いられる乱数値の分布幅を示すパラメータの値を算出する、
   算出方法。
8. 秘密情報の暗号化により生成される、複数のノードに対応する複数の分散情報それぞれと前記秘密情報との相互情報量に対して許容される上限値を記憶する記憶部と、
   前記上限値に基づいて、前記暗号化に用いられる乱数値の分布幅を示すパラメータの値を算出する処理部と、
   を有する情報処理装置。
   

Images