[go: up one dir, main page]

WO2024247040A1 - 秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム - Google Patents

秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム Download PDF

Info

Publication number
WO2024247040A1
WO2024247040A1 PCT/JP2023/019913 JP2023019913W WO2024247040A1 WO 2024247040 A1 WO2024247040 A1 WO 2024247040A1 JP 2023019913 W JP2023019913 W JP 2023019913W WO 2024247040 A1 WO2024247040 A1 WO 2024247040A1
Authority
WO
WIPO (PCT)
Prior art keywords
secure computing
computing devices
committed
secret sharing
commit
Prior art date
Application number
PCT/JP2023/019913
Other languages
English (en)
French (fr)
Inventor
順子 橋本
寿春 岸
Original Assignee
日本電信電話株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電信電話株式会社 filed Critical 日本電信電話株式会社
Priority to PCT/JP2023/019913 priority Critical patent/WO2024247040A1/ja
Publication of WO2024247040A1 publication Critical patent/WO2024247040A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60—Protecting data

Definitions

  • the disclosed technology relates to a method for recovering a secret sharing system that stores secret shared data when a failure occurs.
  • Reference 1 Hiroshi Senda et al., "Rethinking Lightweight Verifiable Three-Party Secure Function Computation," CSS 2010) that can perform computations while keeping data encrypted.
  • Reference 1 discloses a multi-party protocol in which one number is converted into multiple encrypted shares, and N secure computing devices each have a share, and each performs addition, multiplication, logical operations, etc. without leaking information about its own share.
  • Attackers can be classified as passive or active attackers depending on the content of their attacks.
  • a passive attacker only peeks at data.
  • secret computation in addition to their own data, they also peek at data obtained during the secret computation process, and try to obtain information about the original value or the original value itself from these data. They are also called semi-honest or honest-but-curious.
  • active attackers also tamper with data and perform arbitrary actions not specified in the protocol (such as sending unnecessary data).
  • secure computation they tamper with their own data and data obtained during the secure computation process, so that the data received by other secure computation devices becomes tampered values, causing them to output invalid computation results, or attempting to obtain information about the original values or the original values themselves. Also called malicious.
  • the options available when a failure occurs are as follows: (1) After recovery, perform a rollback or rollforward of the database to return to the state before or after the in-progress processing was executed. (2) In an active/standby configuration, switch to the standby machine, and return the database state to the state before or after the in-progress processing was executed. (3) Perform recovery from backup data, and return to the latest state for which backup data is available.
  • a failure occurs in x secret computing devices, it is not enough to restore only the DB state of the failed device itself when the secret computing device is restarted or when switching between active and standby during the failure; it is also necessary to ensure consistency with the other Nx devices that are not experiencing failures, and to prevent DB inconsistencies from occurring between the N secret computing devices after recovery.
  • the order and timing of DB accesses are coordinated to maintain consistency between N secure computing devices. However, if a failure occurs in x of the N devices, a commitment shift will occur depending on the timing of the failure.
  • “commit” refers to the general commit operation of one DB.
  • “commit misalignment” refers to the coexistence of N secure computing devices in which a DB commit operation for the same request has been completed (committed secure computing devices) and in which it has not been completed (uncommitted secure computing devices).
  • Shamir's (k,N) secret sharing Obtain k arbitrary coordinates from N shares. Find the k-1 degree function f(x) that passes through all the coordinates. f(0) is the secret information.
  • Reference numeral 101 denotes secret information
  • reference numerals 102 to 105 denote shares distributed to each secure computing device.
  • Reference numeral 106 denotes secret information
  • a secure computing device includes a storage unit, a table sharing unit, a commitment deviation detection unit, and a secret sharing value recovery unit.
  • the storage unit stores the plaintext commit history table
  • the table sharing means shares the commit history table with other secure computing devices.
  • the commit mismatch detection unit extracts secret sharing tables with inconsistent commits based on the shared commit history table.
  • the secret sharing value recovery unit works in cooperation with other secure computing devices to regenerate and overwrite the secret sharing table of the uncommitted secure computing devices from the secret sharing table of the committed secure computing devices, and when the number of committed secure computing devices is less than k and the number of uncommitted secure computing devices is k or more, the secret sharing value recovery unit works in cooperation with other secure computing devices to regenerate and overwrite the secret sharing table of the committed secure computing devices from the secret sharing table of the uncommitted secure computing devices.
  • the disclosed technology if a commit mismatch occurs between N secure computing devices due to a failure or other reason, it is possible to restore the DBs of the N secure computing devices to consistency without restoring the secret sharing values to plain text.
  • the size of the commit history table itself is expected to be small, and the tables to be restored can be identified using the commit history table, which allows for the processing time to be shortened.
  • FIG. 1 is a diagram for explaining an outline of problems in the prior art and a method for solving the problems.
  • FIG. 1 is a configuration diagram of a secret sharing system according to a first embodiment.
  • FIG. 1 is a functional block diagram of a secure computing device according to a first embodiment.
  • 5A to 5C are diagrams for explaining a failure recovery procedure according to the first embodiment using a specific example.
  • FIG. 4 is a flowchart illustrating the operation of the secure computing device according to the first embodiment.
  • FIG. 4 is a flowchart illustrating the operation of a plaintext recovery unit according to the first embodiment.
  • FIG. 4 is a flowchart illustrating the operation of a secret sharing value recovery unit according to the first embodiment.
  • FIG. 11 is a flowchart illustrating the operation of the secure computing device according to the second embodiment.
  • FIG. 2 is a diagram showing an example of the functional configuration of a computer.
  • the disclosed technology prepares a new plaintext "commit history table" that is used to grasp the commit discrepancy between secure computing devices and identify the shares that should be restored. As shown in FIGS. 1(a-3) and (b-3), if the shares to be restored (104-1 and 108-1) can be identified, the inconsistent shares can be restored onto the straight line that the consistent shares follow.
  • a plaintext table Tj stored in a secure computing device S i is represented as S i .T j .
  • the encryption table [T j ] stored in the secure computing device S i is represented as S i .[T j ].
  • the process of selecting k arbitrary values from S0 .[ Ti ], S1 .[ Ti ], ..., Sj .[ Ti ], where j ⁇ k, and creating new secret sharing values from the k secret sharing values is called the “secret reproduction process.”
  • [First embodiment] 2 is a diagram showing an example of the configuration of a secret sharing system according to the first embodiment of the disclosed technology.
  • N (N ⁇ 3) secure computing apparatuses S 0 , .., S i , .., S N ⁇ 1 are connected via a network 202.
  • Each secure computing device 201 has a memory unit for storing the encrypted (secretly shared) tables T 0 , T 1 , .., T x-1 , [T 0 ], [T 1 ], .., [T x-1 ], and plaintext tables, and constitutes a secret sharing system in which the original value can be restored using k secret sharing values.
  • the secure computing device 201 includes a commitment shift detection unit 301, a plaintext recovery unit 302, a secret sharing value recovery unit 303, a communication unit 304, and a data storage unit 305.
  • the secure computing device 201 cooperates with other secure computing devices via a communication unit 304 to perform multiplication, logical operations, and the like.
  • the data storage unit 305 stores [T 0 ], [T 1 ], . . ., [T x -1 ], which are the encrypted (secretly shared) tables T 0 , T 1 , . . ., T x-1 .
  • the data storage unit also stores a plaintext commit history table that manages the committed/uncommitted state of a secure computation request.
  • Fig. 4 shows an example of a commit history table for three secure computing devices.
  • the commit history table manages a secure computation request identifier (request ID), a commit target table, and the processing date and time of the commit.
  • the table is restored based on the following concept. (1) If the table includes shares (1-1) If there are k or more committed secure computing devices, restore the shares of the uncommitted secure computing devices from the shares of the committed secure computing devices, and overwrite the DB of the uncommitted secure computing devices (roll forward). (1-2) If the number of committed secure computing devices is less than k and the number of uncommitted secure computing devices is k or more, the shares of the committed secure computing devices are restored from the shares of the uncommitted secure computing devices, and the DB of the committed secure computing devices is overwritten (rolled back).
  • Table D is inconsistent, with one committed and two uncommitted. And since the data is a "share", the inconsistent state corresponds to the above (1-2). Therefore, the share of secure computing apparatus 1 (committed) is restored from the shares of secure computing apparatuses 2 and 3 (uncommitted), and the DB of secure computing apparatus 1 is overwritten.
  • Table E is inconsistent, with one committed and two uncommitted. And since the data is "plain text", the inconsistent state corresponds to (2-2) above. Therefore, the data is copied from the secure computing devices 2 and 3 (uncommitted) and overwrites the DB of the secure computing device 1 (committed).
  • FIG. 5 is a flowchart illustrating an example of the operation of the secure computing device 201.
  • FIG. 6 is a flowchart illustrating an example of the operation of the plaintext recovery unit 302.
  • FIG. 7 is a flowchart illustrating an example of the operation of the secret sharing value restoration unit 303.
  • the commit target is T i
  • the number of committed secure computation devices is j
  • the committed secure computation devices are S c0 , S c1 ,...,S cj
  • the uncommitted secret sharing values are S u0 , S u1 ,...,S u(Nj)
  • the commit history table is T com .
  • Each secure computing device transmits its own commit history table to the other secure computing devices to share it (step S501). That is, each secure computing device shares S c0 .T com , S c1 .T com , ..., S cj .T com , S u0 .T com , S u1 .T com , ..., S u(Nj) .T com .
  • the commit history table may be aggregated in a predetermined secure computing device Sx and then transmitted from Sx to each secure computing device.
  • the commit mismatch detection unit 301 extracts one record whose commit is not consistent (step S502).
  • the commitment deviation detection unit 301 counts the number of committed secure computing devices, and the count result is j (step S503).
  • the commitment deviation detection unit 301 determines whether the table to be restored is a table including share data (step S504), and if Yes, outputs the table to be restored to the plaintext restoration unit, and if No, outputs it to the secret sharing value restoration unit.
  • the plaintext recovery unit 302 determines whether j is equal to or greater than k (step S505). If yes, a first plaintext recovery process (described later) is performed. If no, a second plaintext recovery process (described later) is performed.
  • the secret sharing value recovery unit 303 determines whether j is equal to or greater than k (step S508), and if yes, performs a first share recovery process (described later). If step S508 is No, the secret sharing value recovery unit 303 determines whether (Nj) is equal to or greater than k (step S510), and if Yes, performs a second share recovery process (described later). If step S510 is No, the share recovery process cannot be performed, so recovery is performed, for example, from backup data.
  • Fig. 6A is a flowchart for explaining the "first plaintext recovery process" in Fig. 5.
  • the first plaintext recovery process is a process for rolling forward the plaintext recovery target table to a committed state.
  • the plaintext recovery unit 302 judges whether the recovery target table has been committed in the commit history table of its own secure computing device (step S601). If the answer is Yes, the recovery target table is sent to an uncommitted secure computing device (step S602), and the first plaintext recovery process is terminated.
  • the own secure computing device is one of S c0 , S c1 , ..., S cj , and sends one of S c0 .T i , S c1 .T i , ..., S cj .T i to S u0 , S u1 , ..., S u(N-j) . If the answer is No, the recovery target table is received from the committed device (step S603), and the consistency of the received data is checked (step S604).
  • the own secure computing device is one of S u0 , S u1 , ..., S u(N-j) , receives S c0 .T i , S c1 .T i , ..., S cj .T i , and checks whether all the received data match. If the answer is Yes in step S604, the plaintext recovery unit 302 reflects (copies) the received table to the recovery target table (step S605), updates the contents of the commit history table to “committed” (step S606), and terminates the first plaintext recovery process.
  • Fig. 6B is a flowchart for explaining the "second plaintext recovery process" in Fig. 5.
  • the second plaintext recovery process is a process for rolling back the plaintext recovery target table to an uncommitted state.
  • the plaintext recovery unit 302 judges whether the recovery target table is uncommitted in the commit history table of its own secure computing device (step S611). If Yes, it transmits the recovery target table to the committed secure computing device (step S612) and ends the second plaintext recovery process.
  • its own secure computing device is one of S u0 , S u1 , ..., S u(N-j) , and transmits one of S u0 .T i , S u1 .T i , ..., S u(N-j) .T i to S c0 .T i , S c1 .T i , ..., S cj .T i . If the answer is No, the recovery target table is received from the uncommitted device (step S613) and the consistency of the received data is checked (step S614).
  • the own secure computing device is one of S c0 , S c1 , ..., S cj , receives S u0 .T i , S u1 .T i , ..., S u(Nj) .T i , and checks whether all the received data match. If the answer is Yes in step S614, the plaintext recovery unit 302 reflects (copies) the received table to the recovery target table (step S615), updates the contents of the commit history table to “uncommitted” (step S616), and terminates the second plaintext recovery process.
  • Fig. 7A is a flowchart explaining the "first share recovery process" in Fig. 5.
  • the first share recovery process is a process for rolling forward a recovery target table including a share to a committed state.
  • the secret sharing value recovery unit 303 judges whether the recovery target table has been committed in the commit history table of its own secure computing device (step S701). If the answer is Yes, it performs the secret reproduction process in a position of providing the share data (step S702), and ends the first share recovery process.
  • the own secure computing device is one of S c0 , S c1 , ..., S cj , and performs the secret reproduction protocol using k values selected from S c0 .[T i ], S c1 .[T i ], ..., S cj .[T i ]. If the answer is No, the secret regeneration process is performed at the position where the share playback data is received (step S703), and the consistency of the received data is checked (step S704).
  • the own secure computing device is one of S u0 , S u1 , ..., S u(N-j) , and performs the secret playback protocol at the position where the own secure computing device receives the playback data from S c0 , S c1 , ..., S cj . If the consistency check is satisfactory (OK in step S704), the secret sharing value recovery unit 303 reflects the regenerated data in the recovery target table (step S705), updates the contents of the commit history table to “committed” (step S7606), and terminates the first share recovery process.
  • Fig. 7B is a flowchart explaining the "second share recovery process" in Fig. 5.
  • the second share recovery process is a process for rolling back the recovery target table including the share to an uncommitted state.
  • the secret sharing value recovery unit 303 judges whether the recovery target table is uncommitted in the commit history table of its own secure computing device (step S711). If the answer is Yes, it performs the confidential reproduction process in a position of providing the share data (step S712) and ends the second share recovery process.
  • the own secure computing device is one of S u0 , S u1 , ..., S u (N-j) , and performs the confidential reproduction process using k values selected from S u0 .[T i ], S u1 .[T i ], ..., S uj .[T i ]. If the answer is No, the secret regeneration process is performed at the position where the share playback data is received (step S713), and the consistency of the received data is checked (step S714).
  • the own secure computing device is one of S c0 , S c1 , ..., S cj , and performs the secret playback protocol at the position where the playback data is received from S u0 , S u1 , ..., S u(N-j) . If the consistency check is satisfactory (OK in step S714), the secret sharing value recovery unit 303 reflects the regenerated data in the recovery target table (step S715), updates the contents of the commit history table to “uncommitted” (step S716), and terminates the second share recovery process.
  • whether to roll forward or roll back the plaintext table is determined depending on whether the number of committed secure computing devices is k or more.
  • a configuration may be adopted in which roll forward is performed if there is at least one committed secure computing apparatus. Note that a situation in which there is no committed secure computing apparatus is a consistent state in which the table is in an uncommitted state.
  • the functional block diagram of the secure computing device according to the second embodiment is similar to that of the first embodiment (FIG. 3). 8 is a flowchart illustrating an example of the operation of the secure computing apparatus 201 according to the second embodiment. Steps S501 to S504 are similar to those in the first embodiment.
  • step S504 If it is determined in step S504 that the recovery target table is plaintext, the plaintext recovery unit 302 performs a first plaintext recovery process (step S506).
  • the first plaintext recovery process is similar to that in the first embodiment.
  • the program describing this processing can be recorded on a computer-readable recording medium.
  • Examples of computer-readable recording media include magnetic recording devices, optical disks, magneto-optical recording media, and semiconductor memories.
  • the program may be distributed, for example, by selling, transferring, or lending portable recording media such as DVDs or CD-ROMs on which the program is recorded. Furthermore, the program may be distributed by storing the program in a storage device of a server computer and transferring the program from the server computer to other computers via a network.
  • a computer that executes such a program for example, first stores in its own storage device the program recorded on a portable recording medium or the program transferred from a server computer. Then, when executing a process, the computer reads the program stored on its own recording medium and executes the process according to the read program. As another execution form of the program, the computer may read the program directly from the portable recording medium and execute the process according to the program, or may execute the process according to the received program each time a program is transferred from the server computer to the computer.
  • the above-mentioned process may also be executed by a so-called ASP (Application Service Provider) type service that does not transfer the program from the server computer to the computer, but realizes the processing function only by issuing an execution instruction and obtaining the results.
  • ASP Application Service Provider
  • the program in this form includes information used for processing by an electronic computer that is equivalent to a program (such as data that is not a direct command to the computer but has properties that specify the processing of the computer).
  • the device is configured by executing a specific program on a computer, but at least a portion of the processing may be realized by hardware.

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • Bioethics (AREA)
  • General Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Computer Security & Cryptography (AREA)
  • Software Systems (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

開示技術の秘密計算装置は、記憶部と、テーブル共有手段と、コミットずれ検知部と、秘密分散値復旧部を備える。記憶部は平文のコミット履歴テーブルを記憶し、テーブル共有手段により、他の秘密計算装置とコミット履歴テーブルを共有する。コミットずれ検知部は、共有した前記コミット履歴テーブルに基づき、コミットが不整合である秘密分散テーブルを抽出する。秘密分散値復旧部は、コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置の秘密分散テーブルから未コミットの秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施し、コミット済の秘密計算装置の数がｋ台未満、かつ未コミットの秘密計算装置の数がｋ台以上の場合、未コミットの秘密計算装置の秘密分散テーブルからコミット済の秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施する。

Description

秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム
　開示技術は、秘密分散したデータを格納した秘密分散システムが、障害発生時に復旧する方法に関する。
　一般的な暗号方式では、秘匿したいデータを暗号化して秘密計算装置に格納していても、その値を用いて計算を行う際には、復号を行ってから計算を行う。
　これに対し、データを暗号化したまま計算を行うことができる技術として、参考文献１（千田浩司、他、「軽量検証可能３パーティ秘匿関数計算の再考」、CSS 2010）の秘密計算技術がある。参考文献１には、１つの数値を複数の暗号化されたシェアに変換し、N台の秘密計算装置が各々シェアを持ち、各自、自身のシェアの情報は漏らさずに、加算、乗算、論理演算などを行う、マルチパーティプロトコルが開示されている。
　(k,N)秘密分散システムでは、N個のシェアのうち、k個のシェアがあれば、元の値を復元することができる。そのため各秘密計算装置は、自身のシェアをほかの秘密計算装置に漏らさないことが安全性の前提となっている（情報理論的安全性）。
　したがって、k以上の秘密計算装置が攻撃されるケースについては、シェアを守ることはできないが、k未満の秘密計算装置が攻撃されるケースを想定し、安全性を保つよう設計することが可能である。
　攻撃者は、攻撃の内容により、パッシブな攻撃者とアクティブな攻撃者に分類できる。
　パッシブな攻撃者は、データの覗き見だけを行う。秘密計算においては、自身のデータに加え、秘密計算過程で入手するデータも覗き見対象となり、これらのデータから元の値に関する情報や元の値そのものを得ようとする。semi-honest 若しくは honest-but-curious とも呼ばれる。
　アクティブな攻撃者は、データの覗き見に加え、改ざんや、プロトコルに規定されない任意の動作(不要なデータの送信など)を行う。秘密計算においては、自身のデータ及び秘密計算過程で入手するデータを改ざんするため、他の秘密計算秘密計算装置が受信するデータが改ざん値となり、不正な計算結果を出力させる、もしくは、元の値に関する情報や元の値そのものを得ようとする。malicious とも呼ばれる。
　activeな攻撃者にk未満の秘密計算装置が攻撃され、シェアが改ざんされたケースを想定し、N台の秘密計算装置のシェアから、不整合検知を行う秘密計算プロトコルが提案されている（特許文献１）。このプロトコルでは、N>=2k-1の場合に、不整合検知を行うことができ、N>=2kの場合に、改ざんされたシェア（秘密計算装置）の特定を行うことができる。
公開特許公報　特開２０１６－１４５８８０
　一般的なDBシステムで、障害が発生した場合の選択肢は以下の通りである。
（１）復旧後、DBのロールバックもしくはロールフォワードを行い、仕掛中処理を実行する前もしくは後の状態に戻る
（２）アクティブ／スタンバイ構成でスタンバイ機に切り替え、DBの状態としては、仕掛中処理を実行する前もしくは後の状態に戻る
（３）バックアップデータからの復旧を行い、バックアップデータがある最新状態に戻る
　秘密分散システムのうち、x台の秘密計算装置に障害が発生した場合、障害時の秘密計算装置再起動、アクティブ／スタンバイ切替時などに、障害機自体のDB状態だけを復旧すればよいわけではなく、障害が発生していないほかのN-x台との整合性をとり、復旧後、N台の秘密計算装置間でDBの不整合が発生しないようにしなければならない。
　秘密分散システムでは、正常時にも、N台の秘密計算装置間でDBの整合性をとっておくために、DBアクセスの順番や、タイミングを合わせながら実行していると考えられる。しかし、N台のうちx台で障害が発生した場合には、障害発生のタイミングによりコミットずれが発生してしまう。
　なお、本明細書で使用する「コミット」とは、一般的な意味での１台のDBのコミット操作を言う。また「コミットずれ」とは、N台の秘密計算装置において、同一リクエストに対するDBのコミット操作が完了した秘密計算装置（コミット済の秘密計算装置）と、未完了の秘密計算装置（未コミットの秘密計算装置）が混在することを言う。
　コミットずれが生じているかどうかを検出する方法としては、前述した不整合検知秘密計算プロトコルを用いる方法がある。これを用いた場合、k+1台以上のDBがコミット済の場合は未コミットのシェアを特定することができるが、k台のDBがコミット済の場合には、破損したシェアを特定することができない。図１を用いてこの様子を説明する。
　まず、シャミア秘密分散について簡単に説明する。
＜秘密分散＞
　秘匿したい情報をsとする。定数項がsであるk-1次関数f(x)を作る。f(x)が通る点の座標(xｉ,f(xｉ))(i=1,2,...,N, N>k)をシェアとする。これをシャミアの(k,N)秘密分散と呼ぶ。
＜情報の復元＞
　N個のシェアから任意のk個の座標を取得する。座標を全て通るk-1次関数f(x)を求める。f(0)が秘匿情報である。
　図１(a)は、(k,N)=(2,4)の秘匿情報とシェアの関係を例示したものである。１０１が秘匿情報、１０２から１０５が各秘密計算装置に配布されるシェアである。
　図１(b)は、(k,N)=(2,3)の秘匿情報とシェアの関係を例示したものである。１０６が秘匿情報、１０７から１０９が各秘密計算装置に配布されるシェアである。
　どちらもk-1=1なので、シェアは直線（一次関数）に乗っている。
　図１(a-2)、(b-2)は、コミットずれにより、シェアの不整合が起きた様子を示す。
　(a-2)では、シェア１０２、１０３、１０５が同一の直線上にあるので、シェア１０４－１が不整合であることが分かり、(a-2)に示す通り、xｉの値からシェアを復元することができる。
　(b-2)の場合、シェア１０７、１０８－１、１０９が同一の直線上にないので、不整合が起きていることは分かる。しかし、シェアが２つあれば一次関数が定まるので、どのシェアが不整合であるかは分からない。
　他に、特許文献１による不整合検知では、対象となるデータサイズが大きい場合、処理に時間がかかることも想定される。
　上記課題を解決するため、開示技術に係る秘密計算装置は、記憶部と、テーブル共有手段と、コミットずれ検知部と、秘密分散値復旧部を備える。
　記憶部は平文のコミット履歴テーブルを記憶し、テーブル共有手段により、他の秘密計算装置とコミット履歴テーブルを共有する。
　コミットずれ検知部は、共有した前記コミット履歴テーブルに基づき、コミットが不整合である秘密分散テーブルを抽出する。
　秘密分散値復旧部は、コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置の秘密分散テーブルから未コミットの秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施し、コミット済の秘密計算装置の数がｋ台未満、かつ未コミットの秘密計算装置の数がｋ台以上の場合、未コミットの秘密計算装置の秘密分散テーブルからコミット済の秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施する。
　開示技術によれば、障害発生などにより、N台の秘密計算装置間にコミットずれが発生した場合、秘密分散値を平文に復元することなく、N台の秘密計算装置のDBの整合性を取ることができる。コミット履歴テーブル自体のサイズは小さいことが想定され、かつコミット履歴テーブルにより復旧対象テーブルを特定できるため、処理時間を短縮することができる。
従来技術の問題点と解決方法の概要を説明する図。 第１実施形態に係る秘密分散システムの構成図。 第１実施形態に係る秘密計算装置の機能ブロック図。 第１実施形態の障害復旧手順を具体例により説明する図。 第１実施形態の秘密計算装置の作用を説明するフローチャート図。 第１実施形態の平文復旧部の作用を説明するフローチャート図。 第１実施形態の秘密分散値復旧部の作用を説明するフローチャート図。 第２実施形態に係る秘密計算装置の作用を説明するフローチャート図。 コンピュータの機能構成例を示す図。
　以下、開示技術の実施形態について、詳細に説明する。なお、同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。
［開示技術のポイント］
　引き続き図１を用いて開示技術のポイントを説明する。
　特許文献１の技術では、k+1台以上のDBがコミット済の場合は未コミットのシェアを特定することができるが、k台のDBがコミット済の場合には、破損したシェアを特定することができなかった。これは、破損したシェアを秘密計算により特定しようとしたためである。
　開示技術では、平文の「コミット履歴テーブル」を新たに用意し、これにより秘密計算装置間のコミットずれを把握して復旧すべきシェアを特定する。
　図１(a-3)と(b-3)に示したように、復旧すべきシェア（１０４－１や１０８－１）が特定できれば、整合性が取れたシェアが従う直線上に、不整合なシェアを復元することができる。
［記法］
　開示技術における記法について説明する。
　N台（N≧2）の秘密計算装置S０，S１，．．．，SＮ－１において、秘匿したい値a∈Zｎを暗号化した値(秘密分散値)を[a]ｉ∈Zｎとする。Zｎは0からnまでの整数の集合（nは1以上の整数）からなる有限環である。しかし、各Sｉにてアルゴリズムは共通となるため、アルゴリズムの記法としては、iを意識せず[a]ｉを[a]と表記する。
（１）暗号化（秘密分散）したテーブルTを、[T]と表記する。
（２）秘密計算装置Sｉが記憶する平文テーブルTｊをSｉ.Tｊと表記する。
（３）秘密計算装置Sｉが記憶する暗号化テーブル[Tｊ]をSｉ.[Tｊ]と表記する。
（４）ｊ≧ｋとして、S０.[Tｉ],S１.[Tｉ],..., Sｊ.[Tｉ]から任意のｋ個を選択し、そのｋ個の秘密分散値から、新たな秘密分散値を作成する処理を「秘匿再生処理」と呼ぶ。
［第１実施形態］
　図２は、開示技術の第１実施形態に係る秘密分散システムの構成例を示す図である。秘密分散システム２はN台（N≧3）の秘密計算装置S０,..,Sｉ,..,SＮ－１がネットワーク２０２を介して接続されている。
　各秘密計算装置２０１は、秘匿したいテーブルT０,T１,..,Tｘ－１を暗号化（秘密分散）した[T０],[T１],..,[Tｘ－１]、および平文のテーブルを保管する記憶部を持ち、k個の秘密分散値により、元の値が復元できる秘密分散システムを構成するものとする。
　図３は、１台の秘密計算装置２０１の構成例を示す機能ブロック図である。秘密計算装置２０１は、コミットずれ検知部３０１、平文復旧部３０２、秘密分散値復旧部３０３、通信部３０４、データ記憶部３０５を備える。
　秘密計算装置２０１は、通信部３０４により他の秘密計算装置と連携して、乗算や論理演算などを行う。
　データ記憶部３０５は、テーブルT０,T１,..,Tｘ－１を暗号化（秘密分散）した[T０],[T１],..,[Tｘ－１]を保管する。
　データ記憶部は、また、秘密計算リクエストに対する、コミット済／未コミットの状態を管理する平文のコミット履歴テーブルを記憶する。図４に、秘密計算装置３台分のコミット履歴テーブルを例示する。コミット履歴テーブルは、秘密計算リクエスト識別子（リクエストID）、コミット対象テーブル、コミットの処理日時を管理する。
＜秘密分散復旧手順の具体例＞
　図４を用いて、(k, N)=(2, 3)の場合の秘密分散復旧手順を具体例により説明する。
＜コミット履歴テーブルの共有＞
　まず、秘密計算装置１、２、３でそれぞれ管理するコミット履歴テーブルを共有する。
＜不整合レコードの抽出＞
　次に、コミット状態が整合していないレコードを抽出する。
　リクエストIDが1000のレコードは、３台ともコミット済であり、整合している。
　リクエストIDが1001のレコードは、３台とも未コミットであり、整合している。
　リクエストIDが1002のレコードは、コミット済が２台、未コミットが１台であり、整合していない。従って、テーブルＣは復旧対象である。
＜復旧方法の決定＞
　第１実施形態では、次の考え方でテーブルを復旧する。
（１）テーブルがシェアを含む場合
（１－１）コミット済の秘密計算装置がk台以上の場合、コミット済の秘密計算装置のシェアから未コミットの秘密計算装置のシェアを復元し、未コミットの秘密計算装置のDBを上書きする（ロールフォワード）。
（１－２）コミット済の秘密計算装置がk台未満で、未コミットの秘密計算装置がk台以上の場合、未コミットの秘密計算装置のシェアからコミット済の秘密計算装置のシェアを復元し、コミット済の秘密計算装置のDBを上書きする（ロールバック）。
（２）テーブルがシェアを含まない場合
（２－１）コミット済の秘密計算装置がk台以上の場合、コミット済の秘密計算装置からデータをコピーし、未コミットの秘密計算装置のDBを上書きする（ロールフォワード）。
（２－２）コミット済の秘密計算装置がk台未満の場合、未コミットの秘密計算装置からデータをコピーし、コミット済の秘密計算装置のDBを上書きする（ロールバック）。
　すると、テーブルＣは上記（１－１）に該当するので、秘密計算装置１，２（コミット済）のシェアから秘密計算装置３（未コミット）のシェアを復元し、秘密計算装置３のDBを上書きする。
　なお、シェアの復旧には既存技術を利用すればよい。例えば、参考文献２（特許第５９６８４号公報）に記載の、シェア復旧方法が利用できる。
　次の、リクエストIDが1003のレコードも同様に処理する。
　テーブルＤは、コミット済が１台、未コミットが２台であり、整合していない。そしてデータは「シェア」なので、不整合状態は上記（１－２）に該当する。そこで、秘密計算装置２、３（未コミット）のシェアから秘密計算装置１（コミット済）のシェアを復元し、秘密計算装置１のDBを上書きする。
　次の、リクエストIDが1004のレコードも同様に処理する。
　テーブルＥは、コミット済が１台、未コミットが２台であり、整合していない。そしてデータは「平文」なので、不整合状態は上記（２－２）に該当する。そこで、密計算装置２、３（未コミット）からデータをコピーし、秘密計算装置１（コミット済）のDBを上書きする。
　以上を一般化した手順を説明する。
　図５は、秘密計算装置２０１の作用の一例を説明するフローチャートである。
　図６は、平文復旧部３０２の作用の一例を説明するフローチャートである。
　図７は、秘密分散値復旧部３０３の作用の一例を説明するフローチャートである。
　ある秘密計算リクエストRｉについて、コミット対象をTｉ、コミット済みの秘密計算装置数をｊ、コミット済みの秘密計算装置をSｃ０, Sｃ１,..., Sｃｊ、未コミットの秘密分散値をSｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)とする。また、コミット履歴テーブルをTｃｏｍとする。
＜コミット履歴テーブルの共有＞
　各秘密計算装置は、他の秘密計算装置に、自身のコミット履歴テーブルを送信して共有する（ステップＳ５０１）。つまり、各秘密計算装置は、Sｃ０.Tｃｏｍ,Sｃ１.Tｃｏｍ,..., Sｃｊ.Tｃｏｍ, Sｕ０.Tｃｏｍ,Sｕ１.Tｃｏｍ,..., Sｕ（Ｎ－ｊ）.Tｃｏｍを共有する。
　なお、コミット履歴テーブルは、所定の秘密計算装置Sｘに集約した後、Sｘから各秘密計算装置に送信することとしても良い。
＜不整合レコードの抽出＞
　コミットずれ検知部３０１は、コミットが整合していないレコードを１つ抽出する（ステップＳ５０２）。
＜コミット済の秘密計算装置のカウント＞
　コミットずれ検知部３０１は、コミット済の秘密計算装置の数をカウントする。カウント結果はｊである（ステップＳ５０３）。
＜データ種別の判定＞
　コミットずれ検知部３０１は、復旧対象テーブルが、シェアデータを含むテーブルか否かを判定し（ステップＳ５０４）、Ｙｅｓなら復旧対象テーブルを平文復旧部に、Ｎｏなら秘密分散値復旧部に出力する。
＜平文テーブル復旧処理＞
　平文復旧部３０２はｊがｋ以上か判定し（ステップＳ５０５）、Ｙｅｓの場合、第１平文復旧処理（後述）を、Ｎｏの場合、第２平文復旧処理（後述）を実施する。
＜シェアテーブル復旧処理＞
　秘密分散値復旧部３０３はｊがｋ以上か判定し（ステップＳ５０８）、Ｙｅｓの場合、第１シェア復旧処理（後述）を実施する。
　ステップＳ５０８がＮｏの場合、秘密分散値復旧部３０３は（Ｎ－ｊ）がｋ以上か判定し（ステップＳ５１０）、Ｙｅｓの場合、第２シェア復旧処理（後述）を実施する。
　ステップＳ５１０がＮｏの場合、シェア復旧処理はできないので、例えば、バックアップデータからの復旧を行う。
＜第１平文復旧処理＞
　図６（ａ）は、図５の「第１平文復旧処理」を説明するフローチャートである。第１平文復旧処理は、平文の復旧対象テーブルをコミット済にロールフォワードする処理である。
　平文復旧部３０２は、自秘密計算装置のコミット履歴テーブルで復旧対象テーブルがコミット済か否かを判定する（ステップＳ６０１）。Ｙｅｓの場合、復旧対象テーブルを、未コミットの秘密計算装置に送信し（ステップＳ６０２）、第１平文復旧処理を終了する。つまり、自秘密計算装置はSｃ０, Sｃ１,..., Sｃｊのいずれかであり、Sｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)にSｃ０.Tｉ,Sｃ１.Tｉ,..., Sｃｊ.Tｉのいずれかを送信する。
　Ｎｏの場合、復旧対象テーブルをコミット済の装置から受信し（ステップＳ６０３）、受信データの整合性をチェックする（ステップＳ６０４）。つまり、自秘密計算装置はSｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)のいずれかであり、Sｃ０.Tｉ,Sｃ１.Tｉ,..., Sｃｊ.Tｉを受信し、受信データが全て一致するか確認する。
　ステップＳ６０４でＹｅｓの場合、平文復旧部３０２は、受信したテーブルを復旧対象テーブルに反映（コピー）し（ステップＳ６０５）、コミット履歴テーブルの内容を「コミット済」に更新し（ステップＳ６０６）、第１平文復旧処理を終了する。
＜第２平文復旧処理＞
　図６（ｂ）は、図５の「第２平文復旧処理」を説明するフローチャートである。第２平文復旧処理は、平文の復旧対象テーブルを未コミットにロールバックする処理である。
　平文復旧部３０２は、自秘密計算装置のコミット履歴テーブルで復旧対象テーブルが未コミットか否かを判定する（ステップＳ６１１）。Ｙｅｓの場合、復旧対象テーブルを、コミット済の秘密計算装置に送信し（ステップＳ６１２）、第２平文復旧処理を終了する。つまり、自秘密計算装置はSｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)のいずれかであり、Sｃ０.Tｉ,Sｃ１.Tｉ,..., Sｃｊ.TｉにSｕ０.Tｉ,Sｕ１.Tｉ,..., Sｕ（Ｎ－ｊ）.Tｉのいずれかを送信する。
　Ｎｏの場合、復旧対象テーブルを未コミットの装置から受信し（ステップＳ６１３）、受信データの整合性をチェックする（ステップＳ６１４）。つまり、自秘密計算装置はSｃ０, Sｃ１,..., Sｃｊのいずれかであり、Sｕ０.Tｉ,Sｕ１.Tｉ,..., Sｕ（Ｎ－ｊ）.Tｉを受信し、受信データが全て一致するか確認する。
　ステップＳ６１４でＹｅｓの場合、平文復旧部３０２は、受信したテーブルを復旧対象テーブルに反映（コピー）し（ステップＳ６１５）、コミット履歴テーブルの内容を「未コミット」に更新し（ステップＳ６１６）、第２平文復旧処理を終了する。
＜第１シェア復旧処理＞
　図７（ａ）は、図５の「第１シェア復旧処理」を説明するフローチャートである。第１シェア復旧処理は、シェアを含む復旧対象テーブルをコミット済にロールフォワードする処理である。
　秘密分散値復旧部３０３は、自秘密計算装置のコミット履歴テーブルで復旧対象テーブルがコミット済か否かを判定する（ステップＳ７０１）。Ｙｅｓの場合、シェアデータを提供する立場で秘匿再生処理を実施し（ステップＳ７０２）、第１シェア復旧処理を終了する。つまり、自秘密計算装置はSｃ０, Sｃ１,..., Sｃｊのいずれかであり、Sｃ０.[Tｉ],Sｃ１.[Tｉ],..., Sｃｊ.[Tｉ]から選択されたｋ個の値を用いて秘匿再生プロトコルを実施する。
　Ｎｏの場合、シェア再生用データを受信する立場で秘匿再生成処理を実施し（ステップＳ７０３）、受信データの整合性をチェックする（ステップＳ７０４）。つまり、自秘密計算装置はSｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)のいずれかであり、Sｃ０, Sｃ１,..., Sｃｊから再生用データを受信する立場で秘匿再生プロトコルを実施する。
　整合性チェックで問題なければ（ステップS７０４のＯＫ）、秘密分散値復旧部３０３は、再生成したデータを復旧対象テーブルに反映し（ステップＳ７０５）、コミット履歴テーブルの内容を「コミット済」に更新し（ステップ７６０６）、第１シェア復旧処理を終了する。
＜第２シェア復旧処理＞
　図７（ｂ）は、図５の「第２シェア復旧処理」を説明するフローチャートである。第２シェア復旧処理は、シェアを含む復旧対象テーブルを未コミットにロールバックする処理である。
　秘密分散値復旧部３０３は、自秘密計算装置のコミット履歴テーブルで復旧対象テーブルが未コミットか否かを判定する（ステップＳ７１１）。Ｙｅｓの場合、シェアデータを提供する立場で秘匿再生処理を実施し（ステップＳ７１２）、第２シェア復旧処理を終了する。つまり、自秘密計算装置はSｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)のいずれかであり、Sｕ０.[Tｉ],Sｕ１.[Tｉ],..., Sｕｊ.[Tｉ]から選択されたｋ個の値を用いて秘匿再生処理を実施する。
　Ｎｏの場合、シェア再生用データを受信する立場で秘匿再生成処理を実施し（ステップＳ７１３）、受信データの整合性をチェックする（ステップＳ７１４）。つまり、自秘密計算装置はSｃ０, Sｃ１,..., Sｃｊのいずれかであり、Sｕ０, Sｕ１,...,Sｕ(Ｎ－ｊ)から再生用データを受信する立場で秘匿再生プロトコルを実施する。
　整合性チェックで問題なければ（ステップS７１４のＯＫ）、秘密分散値復旧部３０３は、再生成したデータを復旧対象テーブルに反映し（ステップＳ７１５）、コミット履歴テーブルの内容を「未コミット」に更新し（ステップ７１６）、第２シェア復旧処理を終了する。
　以上が、第１実施形態に係る秘密計算装置と秘密分散復旧方法の説明である。
［第２実施形態］
　平文テーブルの復旧に関し、第１実施形態では、コミット済の秘密計算装置の数がｋ以上か否かで平文テーブルをロールフォワードするかロールバックするか決定した。
　これに替えて、コミット済の秘密計算装置が１台でもあれば、ロールフォワードする構成としてもよい。なお、コミット済が１台もない状況は、テーブルが未コミットの状態として整合した状態である。
　第２実施形態に係る秘密計算装置の機能ブロック図は第１実施形態と同様である（図３）。
　図８は、第２実施形態に係る秘密計算装置２０１の作用の一例を説明するフローチャートである。ステップＳ５０１からステップＳ５０４は第１実施形態と同様である。
＜平文テーブル復旧処理＞
　ステップＳ５０４で、復旧対象テーブルが平文であると判定された場合、平文復旧部３０２は第１平文復旧処理を実施する（ステップＳ５０６）。
　第１平文復旧処理は、第１実施形態と同様である。
＜シェアテーブル復旧処理＞
　第２実施形態に係る秘密分散値復旧部３０３の処理は、第１実施形態と同様である。
　以上が、第２実施形態に係る秘密計算装置と秘密分散復旧方法の説明である。
［プログラム、記録媒体］
　上述の各種の処理は、図９に示すコンピュータ２０００の記録部２０２０に、上記方法の各ステップを実行させるプログラムを読み込ませ、制御部２０１０、入力部２０３０、出力部２０４０、表示部２０５０などに動作させることで実施できる。
　この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。
　また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ－ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。
　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。
　また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。
２０１　秘密計算装置
２０２　ネットワーク
３０１　コミットずれ検知部
３０２　平文復旧部
３０３　秘密分散値復旧部
３０４　通信部
３０５　データ記憶部
２０００　コンピュータ
２０１０　制御部
２０２０　記録部
２０３０　入力部
２０４０　出力部
２０５０　表示部

Claims (8)

  1. 　ｋ個のシェアから元の値が復元できる秘密分散システムを構成する複数の秘密計算装置のうちの１台で実施される秘密分散復旧方法であって、
    　平文のコミット履歴テーブルを他の秘密計算装置と共有するステップと、
    　共有した前記コミット履歴テーブルに基づき、コミットが不整合である秘密分散テーブルを抽出するステップと、
    　コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置の秘密分散テーブルから未コミットの秘密計算装置の秘密分散テーブルを再生成して上書きする処理を、他の秘密計算装置と連携して実施するステップと、
    　コミット済の秘密計算装置の数がｋ台未満、かつ未コミットの秘密計算装置の数がｋ台以上の場合、未コミットの秘密計算装置の秘密分散テーブルからコミット済の秘密計算装置の秘密分散テーブルを再生成して上書きする処理を、他の秘密計算装置と連携して実施するステップと、
    　を含む秘密分散復旧方法。
  2. 　ｋ個のシェアから元の値が復元できる秘密分散システムを構成する複数の秘密計算装置のうちの１台で実施される秘密分散復旧方法であって、
    　平文のコミット履歴テーブルを他の秘密計算装置と共有するステップと、
    　共有した前記コミット履歴テーブルに基づき、コミットが不整合である平文テーブルを抽出するステップと、
    　コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置のテーブルで未コミットの秘密計算装置のテーブルを上書きする処理を、他の秘密計算装置と連携して実施するステップと、
    　コミット済の秘密計算装置の数がｋ台未満の場合、未コミットの秘密計算装置のテーブルでコミット済の秘密計算装置のテーブルを上書きする処理を、他の秘密計算装置と連携して実施するステップと、
    　を含む秘密分散復旧方法。
  3. 　請求項１または２に記載の秘密分散復旧方法であって、
    　前記コミット履歴テーブルのレコードは、コミット対象テーブル名と、コミット処理の実施済／未実施を記録するフィールドを有し、
    　前記上書き処理の後、前記コミット履歴テーブルを、コミット済から未コミットに、または未コミットからコミット済に更新するステップと
    　を含む秘密分散復旧方法。
  4. 　ｋ個のシェアから元の値が復元できる秘密分散システムを構成する秘密計算装置であって、
    　平文のコミット履歴テーブルを記憶する記憶部と、
    　他の秘密計算装置とコミット履歴テーブルを共有する手段と、
    　共有した前記コミット履歴テーブルに基づき、コミットが不整合である秘密分散テーブルを抽出するコミットずれ検知部と、
    　コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置の秘密分散テーブルから未コミットの秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施し、コミット済の秘密計算装置の数がｋ台未満、かつ未コミットの秘密計算装置の数がｋ台以上の場合、未コミットの秘密計算装置の秘密分散テーブルからコミット済の秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施する秘密分散値復旧部と
    　を備えた秘密計算装置。
  5. 　ｋ個のシェアから元の値が復元できる秘密分散システムを構成する秘密計算装置であって、
    　平文のコミット履歴テーブルを記憶する記憶部と、
    　他の秘密計算装置のコミット履歴テーブルを共有する手段と、
    　共有した前記コミット履歴テーブルに基づき、コミットが不整合である平文テーブルを抽出するコミットずれ検知部と、
    　コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置のテーブルで未コミットの秘密計算装置のテーブルを上書きする処理を他の秘密計算装置と連携して実施し、コミット済の秘密計算装置の数がｋ台未満の場合、未コミットの秘密計算装置のテーブルでコミット済の秘密計算装置のテーブルを上書きする処理を他の秘密計算装置と連携して実施する平文復旧部と
    　を備えた秘密計算装置。
  6. 　請求項４または５に記載の秘密計算装置であって、
    　前記コミット履歴テーブルのレコードは、コミット対象テーブル名と、コミット処理の実施済／未実施を記録するフィールドを有し、
    　前記上書き処理の後、前記秘密分散値復旧部または前記平文復旧部は、前記コミット履歴テーブルを、コミット済から未コミットに、または未コミットからコミット済に更新する
    　ことを特徴とする秘密計算装置。
  7. 　複数の秘密計算装置からなり、ｋ個のシェアから元の値が復元できる秘密分散システムであって、
    　各秘密計算装置は
    　平文のコミット履歴テーブルを記憶する記憶部と、
    　他の秘密計算装置のコミット履歴テーブルを取得する手段と、
    　共有した前記コミット履歴テーブルに基づき、コミットが不整合である秘密分散テーブルを抽出するコミットずれ検知部と、
    　コミット済の秘密計算装置の数がｋ台以上の場合、コミット済の秘密計算装置の秘密分散テーブルから未コミットの秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施し、コミット済の秘密計算装置の数がｋ台未満、かつ未コミットの秘密計算装置の数がｋ台以上の場合、未コミットの秘密計算装置の秘密分散テーブルからコミット済の秘密計算装置の秘密分散テーブルを再生成して上書きする処理を他の秘密計算装置と連携して実施する秘密分散値復旧部と
    　を備えることを特徴とする秘密分散システム。
  8. 　請求項１または２のいずれかに記載の秘密分散復旧方法の各ステップを、コンピュータに実行させるためのプログラム。
PCT/JP2023/019913 2023-05-29 2023-05-29 秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム WO2024247040A1 (ja)

Priority Applications (1)

Application Number Priority Date Filing Date Title
PCT/JP2023/019913 WO2024247040A1 (ja) 2023-05-29 2023-05-29 秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2023/019913 WO2024247040A1 (ja) 2023-05-29 2023-05-29 秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2024247040A1 true WO2024247040A1 (ja) 2024-12-05

Family

ID=93657014

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/019913 WO2024247040A1 (ja) 2023-05-29 2023-05-29 秘密計算装置、秘密分散システム、秘密分散復旧方法、及びプログラム

Country Status (1)

Country Link
WO (1) WO2024247040A1 (ja)

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09185539A (ja) * 1995-12-28 1997-07-15 Hitachi Ltd 分散トランザクションのコミット制御方法
JP2007501456A (ja) * 2003-08-01 2007-01-25 オラクル・インターナショナル・コーポレイション 非共有データベースシステムにおける１段階コミット
WO2013046883A1 (ja) * 2011-09-30 2013-04-04 インターナショナル・ビジネス・マシーンズ・コーポレーション トランザクション処理システム、方法及びプログラム
JP2016145880A (ja) * 2015-02-06 2016-08-12 日本電信電話株式会社 不整合検知方法、不整合検知システム、不整合検知装置、およびプログラム

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
JPH09185539A (ja) * 1995-12-28 1997-07-15 Hitachi Ltd 分散トランザクションのコミット制御方法
JP2007501456A (ja) * 2003-08-01 2007-01-25 オラクル・インターナショナル・コーポレイション 非共有データベースシステムにおける１段階コミット
WO2013046883A1 (ja) * 2011-09-30 2013-04-04 インターナショナル・ビジネス・マシーンズ・コーポレーション トランザクション処理システム、方法及びプログラム
JP2016145880A (ja) * 2015-02-06 2016-08-12 日本電信電話株式会社 不整合検知方法、不整合検知システム、不整合検知装置、およびプログラム

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
"IV The Lottery ProtocolePrint Archive - Paper 2013/784 ver:20140318:191838", 18 March 2014, article MARCIN ANDRYCHOWICZ, STEFAN DZIEMBOWSKI, DANIEL MALINOWSKI, ŁUKASZ MAZUREK: " Secure Multiparty Computations on Bitcoin, Cryptology", pages: 1 - 18, XP009559242 *

Similar Documents

Publication Publication Date Title
US9722788B1 (en) Rekeying encrypted virtual machines in a cloud
US9152578B1 (en) Securing data replication, backup and mobility in cloud storage
US9563517B1 (en) Cloud snapshots
US9740880B1 (en) Encrypted virtual machines in a cloud
US8214612B1 (en) Ensuring consistency of replicated volumes
US5940507A (en) Secure file archive through encryption key management
US7958372B1 (en) Method and apparatus to convert a logical unit from a first encryption state to a second encryption state using a journal in a continuous data protection environment
US8464101B1 (en) CAS command network replication
US8924354B2 (en) Block level data replication
US8411863B2 (en) Full volume encryption in a clustered environment
TW202111586A (zh) 可信賴執行環境中基於錯誤校正編碼的共享區塊鏈資料儲存
TWI749488B (zh) 電腦實現的用於檢測和禁止重放攻擊的方法、系統及非暫時性電腦可讀的儲存媒體
CN103853634B (zh) 一种容灾备份系统及方法
US8832040B2 (en) Method and apparatus of securely processing data for file backup, de-duplication, and restoration
US10372554B1 (en) Verification and restore of replicated data using a cloud storing chunks of data and a plurality of hashes
CN101809558A (zh) 远程异步数据复制系统和方法
US11829253B2 (en) Systems and methods for non-blocking backups
US11386070B2 (en) Method and system for secure data replication data integrity verification
US10484179B1 (en) Data consistency in an encrypted replication environment
WO2018032375A1 (zh) 一种用于区块链可生存存储系统及其方法
CN110018924A (zh) 一种基于区块链和纠删码的文件防破坏方法
CN107710164A (zh) 作为一种服务的灾难恢复
CN113190620B (zh) Redis集群之间数据的同步方法、装置、设备及存储介质
CN114787780A (zh) 用于基于区块链的备份和恢复的系统和方法
US11237921B2 (en) Protecting storage backup configuration

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23939520

Country of ref document: EP

Kind code of ref document: A1