"クライアント装置とサーバ装置とを有し、前記クライアント装置は、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、前記第3ランダムビットciの反転ビットをci∈Bとし、前記第1ランダムビットWi0と前記第3ランダムビットciとの組に対応する秘匿情報PWi0と、前記第2ランダムビットWi1と前記反転ビットciとの組に対応する秘匿情報PWi1とを得るランダム化部と、前記ランダム化部で得られたすべての前記秘匿値PWi0PWi1を前記サーバ装置で特定するためのサーバ用秘匿情報を生成するサーバ用秘匿情報生成部と、前記ランダム化部で得られた前記秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaを前記クライアント装置のみで特定するためのクライアント用秘匿情報を生成するクライアント用秘匿情報生成部と、を有し、前記サーバ装置は、前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1を用い、論理回路を構成する論理素子Gに対するs≧1個の入力ビットx∈Br...r1からなる組み合わせと、それに対する出力ビットg...x1∈Bとが関連付けられた真理値表Tを、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、前記出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、前記出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は前記出力ビットg...x1∈Bと、が関連付けられた歪曲真理値表DTに変換し、当該歪曲真理値表DTの集合を含む歪曲回路情報を生成する歪曲回路生成部を有し、p∈0...n1の場合、前記秘匿値PWpxが前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1の何れかであり、かつ、前記第4ランダムビットcp∈Bが前記第3ランダムビットciであり、かつ、前記反転ビットcp∈Bが前記反転ビットciであり、pが0...n1の要素でない場合、前記秘匿値PWpxが別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、前記第4ランダムビットcp∈Bが前記第6ランダムビットck∈Bであり、かつ、前記反転ビットcp∈Bが前記第6ランダムビットck∈Bの反転ビットであり、前記クライアント装置は、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用いて前記歪曲真理値表DTを検索し、前記歪曲入力ビットy∈Br...r1からなる組み合わせに一致する前記第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた前記排他的論理和xor...x1又は前記出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する歪曲回路計算部を有し、p∈0...n1の場合、前記歪曲入力ビットy∈Bが、前記クライアント用秘匿情報から特定される秘匿値PWiaに対応する前記第3ランダムビットci又は前記反転ビットciであり、pが0...n1の要素でない場合、前記歪曲入力ビットy∈Bが、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である、秘匿データ処理システム。請求項1の秘匿データ処理システムであって、前記クライアント用秘匿情報は、前記秘匿値PWiaを共通鍵暗号方式に則って暗号化して得られる暗号文であり、前記サーバ装置は、前記サーバ用秘匿情報と前記クライアント用秘匿情報とを記憶する記憶部と、前記クライアント用秘匿情報を出力する出力部とを有し、前記クライアント装置は、前記クライアント用秘匿情報の入力を受け付ける入力部を有し、前記歪曲回路計算部は、前記クライアント用秘匿情報を復号するための共通鍵を用い、前記入力部に入力された前記クライアント用秘匿情報から前記秘匿値PWiaを復号する、秘匿データ処理システム。請求項2の秘匿データ処理システムであって、前記クライアント装置は、第1クライアント装置と第2クライアント装置とを有し、前記第1クライアント装置は、前記ランダム化部と前記サーバ用秘匿情報生成部と前記クライアント用秘匿情報生成部とを有し、前記第2クライアント装置は、前記入力部と前記歪曲回路計算部とを有する、秘匿データ処理システム。請求項3の秘匿データ処理システムであって、前記第2クライアント装置は、前記論理回路を特定する論理回路情報を出力する論理回路情報出力部を有し、前記サーバ装置は、前記論理回路情報の入力を受け付ける論理回路情報入力部を有し、前記論理素子Gは、前記論理回路情報によって特定される前記論理回路を構成するものである、秘匿データ処理システム。サーバ装置との間で秘匿データ処理を行うクライアント装置であって、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、前記第3ランダムビットciの反転ビットをci∈Bとし、前記第1ランダムビットWi0と前記第3ランダムビットciとの組に対応する秘匿情報PWi0と、前記第2ランダムビットWi1と前記反転ビットciとの組に対応する秘匿情報PWi1とを得るランダム化部と、前記ランダム化部で得られたすべての前記秘匿値PWi0PWi1を前記サーバ装置で特定するためのサーバ用秘匿情報を生成するサーバ用秘匿情報生成部と、前記ランダム化部で得られた前記秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaを前記クライアント装置のみで特定するためのクライアント用秘匿情報を生成するクライアント用秘匿情報生成部と、論理回路を構成する論理素子Gにs≧1個の入力ビットx∈Br...r1が入力された場合に当該論理素子Gから出力される出力ビットをg...x1∈Bとし、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、前記出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、前記出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は前記出力ビットg...x1∈Bと、が関連付けられた歪曲真理値表DTの集合を含む情報を歪曲回路情報とし、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用いて前記歪曲真理値表DTを検索し、前記歪曲入力ビットy∈Br...r1からなる組み合わせに一致する前記第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた前記排他的論理和xor...x1又は前記出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する歪曲回路計算部と、を有し、p∈0...n1の場合、前記秘匿値PWpxが前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1の何れかであり、かつ、前記第4ランダムビットcp∈Bが前記第3ランダムビットciであり、かつ、前記反転ビットcp∈Bが前記反転ビットciであり、かつ、前記歪曲入力ビットy∈Bが、前記クライアント用秘匿情報から特定される秘匿値PWiaに対応する前記第3ランダムビットci又は前記反転ビットciであり、pが0...n1の要素でない場合、前記秘匿値PWpxが別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、前記第4ランダムビットcp∈Bが前記第6ランダムビットck∈Bであり、かつ、前記反転ビットcp∈Bが前記第6ランダムビットck∈Bの反転ビットであり、かつ、前記歪曲入力ビットy∈Bが、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である、クライアント装置。サーバ装置との間で秘匿データ処理を行うクライアント装置であって、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、前記第3ランダムビットciの反転ビットをci∈Bとし、前記第1ランダムビットWi0と前記第3ランダムビットciとの組に対応する秘匿情報PWi0と、前記第2ランダムビットWi1と前記反転ビットciとの組に対応する秘匿情報PWi1とを得るランダム化部と、前記ランダム化部で得られたすべての前記秘匿値PWi0PWi1を前記サーバ装置で特定するためのサーバ用秘匿情報を生成するサーバ用秘匿情報生成部と、前記ランダム化部で得られた前記秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaを前記クライアント装置のみで特定するためのクライアント用秘匿情報を生成するクライアント用秘匿情報生成部と、を有するクライアント装置。サーバ装置との間で秘匿データ処理を行うクライアント装置であって、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、前記第3ランダムビットciの反転ビットをci∈Bとし、前記第1ランダムビットWi0と前記第3ランダムビットciとの組に対応する秘匿情報をPWi0とし、前記第2ランダムビットWi1と前記反転ビットciとの組に対応する秘匿情報をPWi1とし、前記秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaを前記クライアント装置のみで特定するための情報をクライアント用秘匿情報とし、論理回路を構成する論理素子Gにs≧1個の入力ビットx∈Br...r1が入力された場合に当該論理素子Gから出力される出力ビットをg...x1∈Bとし、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、前記出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、前記出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は前記出力ビットg...x1∈Bと、が関連付けられた歪曲真理値表DTの集合を含む情報を歪曲回路情報とした場合における、前記クライアント用秘匿情報の入力を受け付ける入力部と、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用いて前記歪曲真理値表DTを検索し、前記歪曲入力ビットy∈Br...r1からなる組み合わせに一致する前記第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた前記排他的論理和xor...x1又は前記出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する歪曲回路計算部とを有し、p∈0...n1の場合、前記秘匿値PWpxが前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1の何れかであり、かつ、前記第4ランダムビットcp∈Bが前記第3ランダムビットciであり、かつ、前記反転ビットcp∈Bが前記反転ビットciであり、かつ、前記歪曲入力ビットy∈Bが、前記クライアント用秘匿情報から特定される秘匿値PWiaに対応する前記第3ランダムビットci又は前記反転ビットciであり、pが0...n1の要素でない場合、前記秘匿値PWpxが別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、前記第4ランダムビットcp∈Bが前記第6ランダムビットck∈Bであり、かつ、前記反転ビットcp∈Bが前記第6ランダムビットck∈Bの反転ビットであり、かつ、前記歪曲入力ビットy∈Bが、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である、クライアント装置。請求項1から4の何れかの秘匿データ処理システムが有するサーバ装置。クライアント装置で、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、前記第3ランダムビットciの反転ビットをci∈Bとし、前記第1ランダムビットWi0と前記第3ランダムビットciとの組に対応する秘匿情報PWi0と、前記第2ランダムビットWi1と前記反転ビットciとの組に対応する秘匿情報PWi1とを得るランダム化ステップと、前記ランダム化ステップで得られたすべての前記秘匿値PWi0PWi1を前記サーバ装置で特定するためのサーバ用秘匿情報を、前記クライアント装置で生成するサーバ用秘匿情報生成ステップと、前記ランダム化ステップで得られた前記秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaを前記クライアント装置のみで特定するためのクライアント用秘匿情報を、前記クライアント装置で生成するクライアント用秘匿情報生成ステップと、前記サーバ装置で、前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1を用い、論理回路を構成する論理素子Gに対するs≧1個の入力ビットx∈Br...r1からなる組み合わせと、それに対する出力ビットg...x1∈Bとが関連付けられた真理値表Tを、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、前記出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、前記出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は前記出力ビットg...x1∈Bと、が関連付けられた歪曲真理値表DTに変換し、当該歪曲真理値表DTの集合を含む歪曲回路情報を生成する歪曲回路生成ステップと、前記クライアント装置で、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用いて前記歪曲真理値表DTを検索し、前記歪曲入力ビットy∈Br...r1からなる組み合わせに一致する前記第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた前記排他的論理和xor...x1又は前記出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する歪曲回路計算ステップと、を有し、p∈0...n1の場合、前記秘匿値PWpxが前記サーバ用秘匿情報から特定される前記秘匿値PWi0PWi1の何れかであり、かつ、前記第4ランダムビットcp∈Bが前記第3ランダムビットciであり、かつ、前記反転ビットcp∈Bが前記反転ビットciであり、かつ、前記歪曲入力ビットy∈Bが、前記クライアント用秘匿情報から特定される秘匿値PWiaに対応する前記第3ランダムビットci又は前記反転ビットciであり、pが0...n1の要素でない場合、前記秘匿値PWpxが別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、前記第4ランダムビットcp∈Bが前記第6ランダムビットck∈Bであり、かつ、前記反転ビットcp∈Bが前記第6ランダムビットck∈Bの反転ビットであり、かつ、前記歪曲入力ビットy∈Bが、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である、秘匿データ処理方法。非特許文献1に開示された方式の処理効率は高い。しかし、非特許文献1に開示された方式はsemihonestモデルに基づいているため、この方式では計算者の不正によってデータの秘匿性が損なわれる場合がある。非特許文献2に開示された方式の処理効率は高く、この方式では計算者によって行われた改ざんを検知できる。しかし、非特許文献2に開示された方式の実行には三者3パーティが必要である。非特許文献3に開示された方式は二者2パーティで実行でき、この方式では計算者よって行われた改ざんなどの不正も検知できる。しかし、非特許文献3に開示された方式では、処理全体で公開鍵暗号処理が実行されるため処理効率が悪い。本発明が解決しようとする課題は、処理効率及び安全性が高い秘匿回路計算を二者で実行できる技術を提供することである。クライアント装置は、B01i0...n1n≧1とし、κ1ビットの第1ランダムビットをWi0∈Bκ1とし、κ1ビットの第2ランダムビットをWi1∈Bκ1とし、1ビットの第3ランダムビットをci∈Bとし、第3ランダムビットciの反転ビットをci∈Bとし、第1ランダムビットWi0と第3ランダムビットciとの組に対応する秘匿情報PWi0と、第2ランダムビットWi1と反転ビットciとの組に対応する秘匿情報PWi1とを得る。クライアント装置は、得られたすべての秘匿値PWi0PWi1をサーバ装置で特定するためのサーバ用秘匿情報を生成する。クライアント装置は、得られた秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaをクライアント装置のみで特定するためのクライアント用秘匿情報を生成する。サーバ装置は、サーバ用秘匿情報から特定される秘匿値PWi0PWi1を用い、論理回路を構成する論理素子Gに対するs≧1個の入力ビットx∈Br...r1からなる組み合わせと、それに対する出力ビットg...x1∈Bとが関連付けられた真理値表Tを、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は出力ビットg...x1∈Bと、が関連付けられた歪曲真理値表DTを生成し、当該歪曲真理値表DTの集合を含む歪曲回路情報を生成する。クライアント装置は、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用いて歪曲真理値表DTを検索し、歪曲入力ビットy∈Br...r1からなる組み合わせに一致する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた排他的論理和xor...x1又は出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する。ただし、p∈0...n1の場合、秘匿値PWpxがサーバ用秘匿情報から特定される秘匿値PWi0PWi1の何れかであり、かつ、第4ランダムビットcp∈Bが第3ランダムビットciであり、かつ、反転ビットcp∈Bが反転ビットciであり、かつ、歪曲入力ビットy∈Bが、クライアント用秘匿情報から特定される秘匿値PWiaに対応する第3ランダムビットci又は反転ビットciである。pが0...n1の要素でない場合、秘匿値PWpxが別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、第4ランダムビットcp∈Bが第6ランダムビットck∈Bであり、かつ、反転ビットcp∈Bが第6ランダムビットck∈Bの反転ビットであり、かつ、歪曲入力ビットy∈Bが、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である。本発明では、処理効率及び安全性が高い秘匿回路計算を二者で実行できる。以下、図面を参照して本発明の実施形態を説明する。第1実施形態<構成>図1に例示するように、本形態の秘匿データ処理システム1は、クライアント装置110とサーバ装置120を有する。クライアント装置110は、入力部111と送信部112と受信部113と制御部115とランダム化部116とサーバ用秘匿情報生成部117とクライアント用秘匿情報生成部118と歪曲回路計算部119とを有する。サーバ装置120は、送信部122と受信部123と記憶部124と制御部125と歪曲回路生成部126とを有する。クライアント装置110及びサーバ装置120は、例えばそれぞれ、特別なプログラムが、CPU,RAM,ROM等を有する公知のコンピュータ又は専用のコンピュータに読み込まれ、実行されることで構築される特別な装置である。以下では説明を省略するが、この例の場合、クライアント装置110やサーバ装置120の各処理部部で受信されたデータや得られたデータは、クライアント装置110やサーバ装置120の一時メモリ図示せずに逐一格納される。一時メモリに格納されたデータは、必要に応じて読み出され、クライアント装置110やサーバ装置120の処理部に入力され、そこでの演算処理に利用される。なお、クライアント装置110やサーバ装置120の処理部の少なくとも一部がハードウェアによって構成されてもよい。制御部115はクライアント装置110の処理を制御し、制御部125はサーバ装置120の処理を制御する。また、クライアント装置110はサーバ装置120に情報を送信でき、サーバ装置120はクライアント装置110に情報を送信できる。<処理>本形態の秘匿データ処理システム1によって行われる処理は、クライアント装置110がサーバ装置120にデータを預託する保存フェーズと、クライアント装置110とサーバ装置120とが協調して計算を行う計算フェーズとを含む。以下では、まず保存フェーズを説明し、次に計算フェーズを説明する。<保存フェーズ>図2に例示するように、クライアント装置110の入力部111にn個の入力ビットa∈Bが入力される。入力ビットaはクライアント用秘匿情報生成部118に送られるステップS101。ランダム化部116は、各i0...n1に対し、以下のような、κ1ビットの第1ランダムビットWi0∈Bκ1、κ1ビットの第2ランダムビットWi1∈Bκ1、1ビットの第3ランダムビットci∈B、及び第3ランダムビットciの反転ビットci∈Bci1ciを生成する。Wi0Wi1∈RBκ1ci∈RBただし、c∈RBは集合Bからランダムにcを選択することを表し、は排他的論理和演算子を表すステップS102。ランダム化部116は、各i0...n1に対し、以下のような、第1ランダムビットWi0と第3ランダムビットciとの組に対応する秘匿情報PWi0と、第2ランダムビットWi1と反転ビットciとの組に対応する秘匿情報PWi1とを生成して出力する。PWi0PWi1秘匿情報PWi0PWi1は、サーバ用秘匿情報生成部117及びクライアント用秘匿情報生成部118に入力されるステップS103。サーバ用秘匿情報生成部117は、以下のような、ランダム化部116で得られたすべての秘匿値PWi0PWi1をサーバ装置120で特定するためのサーバ用秘匿情報Esを生成する。ただし、PWi0PWi1i0...n1は、i0...n1に対応するPWi0PWi1を要素とする集合を意味する。EsDsPWi0PWi1i0...n1例えば、サーバ用秘匿情報生成部117は、Dsを暗号化して得られるサーバ装置120で復号可能な暗号文をサーバ用秘匿情報Esとする。この暗号文を復号するための鍵はサーバ装置120の歪曲回路生成部126に設定されている。なお、サーバ装置120がサーバ用秘匿情報Esを復号してDsを得ることができるのであれば、Dsを暗号化するための暗号化方式は限定されない。しかし一般に、共通鍵暗号方式を用いてDsを暗号化するための演算量は、公開鍵暗号方式を用いてDsを暗号化するための演算量よりも小さい。そのため、好ましくは、共通鍵暗号方式を用いてDsを暗号化して得られる暗号文がサーバ用秘匿情報Esとされる。或いは、安全な通信路セキュアチャネルを介してクライアント装置110からサーバ装置120に情報を送信できるのであれば、この安全な通信路を経由してクライアント装置110からサーバ装置120にDsを送信するための情報が、サーバ用秘匿情報Esとされてもよい。安全な通信路は、クライアント装置110とサーバ装置120との間の専用通信回線であってもよいし、通信情報が暗号化されるように設定された通信路であってもよいステップS104。クライアント用秘匿情報生成部118は、以下のような、ランダム化部116で得られた秘匿値PWi0PWi1のうち、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaをクライアント装置110のみで特定するためのクライアント用秘匿情報Ecを生成する。ただし、PWiai0...n1は、i0...n1に対応するPWiaを要素とする集合を意味する。EcDcPWiai0...n1例えば、クライアント用秘匿情報生成部118は、Dcを暗号化して得られる、クライアント装置110のみが復号可能な暗号文をクライアント用秘匿情報Ecとする。例えばクライアント用秘匿情報は、共通鍵暗号方式に則ってDcを暗号化して得られる暗号文である。この場合のクライアント用秘匿情報生成部118は、クライアント装置110の共通鍵を用い、共通鍵暗号方式に則ってDcを暗号化してクライアント用秘匿情報Ecを生成する。この共通鍵は歪曲回路計算部119でも利用可能であり、歪曲回路計算部119はこの共通鍵を用いてクライアント用秘匿情報Ecを復号できるステップS105。ステップS104で得られたサーバ用秘匿情報Es及びクライアント用秘匿情報Ecは送信部112に入力される。送信部112は、サーバ用秘匿情報Es及びクライアント用秘匿情報Ecをサーバ装置120に送信するステップS106。サーバ用秘匿情報Es及びクライアント用秘匿情報Ecは、サーバ装置120の受信部123で受信されステップS107、記憶部124に記憶されるステップS108。<計算フェーズ>図3に例示するように、クライアント装置110の入力部111に、Lmax個の論理素子Gから構成される論理回路を表す論理回路情報LCが入力される。論理素子Gは、s≧1個の入力ビットx∈Br...r1に対し、論理演算結果を表す出力ビットg...x1∈Bを出力する素子である。gはBsの元をBの元に写す関数であり、論理素子Gの処理を表すgBs→B。論理素子Gの例は、ANDゲート、ORゲート、XORゲート、NOTゲートなどである。論理回路情報LCの例は、論理素子Gに対応する真理値表Tからなる集合と、論理素子Gの入出力関係を表す情報とを含む情報である。真理値表Tの例は、s≧1個の入力ビットx∈Br...r1からなる組み合わせと、それに対する出力ビットg...x1∈Bとが関連付けられた表である。例えば、ANDゲートである論理素子の真理値表Tは以下のようになる。xgxg0g0g0g1入出力関係を表わす情報の例は、論理回路への入力ビットa∈Bがどの論理素子Gの入力ビットとなるかを表す情報と、各論理素子Gの出力ビットがそれぞれどの論理素子Gの入力ビット又は論理回路からの出力ビットになるかを表す情報とを含む情報である。図4に例示する論理回路を用いて具体例を示す。図4の論理回路は、ANDゲートである論理素子GGG、NOTゲートである論理素子GG、及びORゲートである論理素子Gを含み、αβ∈Bを入力としてγδ∈Bを出力する半加算回路である。この論理回路はLmax6、n6を満たし、この論理回路への入力ビットはaaaaαaaaβである。この例の論理回路情報LCは、各論理素子GGに対応する真理値表TTからなる集合と論理素子GGの入出力関係を表す情報とを含む。論理素子GGの入出力関係を表す情報の例は、aaが論理素子Gの入力ビットとなること、aが論理素子Gの入力ビットとなること、aが論理素子Gの一方の入力ビットとなること、aが論理素子Gの一方の入力ビットとなること、aが論理素子Gの入力ビットとなること、論理素子Gの出力ビットが論理素子Gの他方の入力ビットとなること、論理素子Gの出力ビットが論理素子Gの他方の入力ビットとなること、論理素子Gの出力ビットと論理素子Gの出力ビットとが論理素子Gの入力ビットとなること、論理素子Gの出力ビットが論理回路の出力ビットγとなること、及び、論理素子Gの出力ビットが論理回路の出力ビットδとなることを表す情報であるステップS111。論理回路情報LCは送信部112に入力され、送信部112は論理回路情報LCをサーバ装置120に送信するステップS112。論理回路情報LCは、サーバ装置120の受信部123で受信され、歪曲回路生成部126に入力されるステップS113。歪曲回路生成部126は、記憶部124からサーバ用秘匿情報Esを読み込み、サーバ用秘匿情報EsからDsを復元する。例えば、サーバ用秘匿情報Esが暗号文なのであれば、歪曲回路生成部126は、鍵を用いてサーバ用秘匿情報Esを復号してDsPWi0PWi1i0...n1を得る。或いは、サーバ用秘匿情報Esが安全な通信路を介して送信されたのであれば、歪曲回路生成部126は、サーバ用秘匿情報EsからDsPWi0PWi1i0...n1を得るステップS114。記憶部124から読み出されたクライアント用秘匿情報Ecは送信部122に入力される。送信部122出力部に相当は、クライアント用秘匿情報Ecをクライアント装置110に送信するステップS115。クライアント用秘匿情報Ecは、クライアント装置110の受信部113入力部に相当で受信され、歪曲回路計算部119に入力されるステップS116。歪曲回路計算部119は、クライアント用秘匿情報EcからDcPWiai0...n1を復元する。例えば、クライアント用秘匿情報Ecが暗号文であれば、歪曲回路計算部119は、クライアント用秘匿情報Ecを復号してDcPWiai0...n1を得る。例えば、クライアント用秘匿情報Ecが共通鍵暗号方式の暗号文であれば、歪曲回路計算部119は、共通鍵を用いてクライアント用秘匿情報Ecを復号してDcPWiai0...n1を得るステップS117。サーバ装置120の歪曲回路生成部126は、DsPWi0PWi1i0...n1を用い、論理回路情報LCが表す各真理値表Tを歪曲真理値表DTにそれぞれ変換し、歪曲真理値表DTの集合を含む歪曲回路情報を生成する。真理値表Tに対応する歪曲真理値表DTは、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせとラベルと呼ぶ、出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は出力ビットg...x1∈Bとが関連付けられた表である。例えば、論理回路の出力端最終段の論理素子を除く論理素子Gに対応する歪曲真理値表DTでは、ラベルと、第5ランダムビットWkg...x1∈Bκ1と、排他的論理和xor...x1とが関連付けられる。例えば、最終段の論理素子Gに対応する歪曲真理値表DTでは、ラベルと、第5ランダムビットWkg...x1∈Bκ1と、出力ビットg...x1∈Bとが関連付けられる。歪曲真理値表DTでラベルに関連付けられる値を歪曲真理値と呼ぶ。歪曲回路生成部126は、各歪曲真理値表DTを生成する際に、第5ランダムビットWkg...x1∈Bκ1及び第6ランダムビットck∈Bをランダムに生成する。p∈0...n1の場合、秘匿値PWpxはサーバ用秘匿情報Esから特定される秘匿値PWi0PWi1の何れかであり、かつ、第4ランダムビットcp∈Bは第3ランダムビットciであり、かつ、反転ビットcp∈Bは反転ビットciである。pが0...n1の要素でない場合、秘匿値PWpxは別の論理素子Gに対応する歪曲回路情報の第5ランダムビットWkg...xs1∈Bκ1と第6ランダムビットck∈Bとの組に対応する値であり、かつ、第4ランダムビットcp∈Bは第6ランダムビットck∈Bであり、かつ、反転ビットcp∈Bは第6ランダムビットck∈Bの反転ビットである。[最終段の論理素子を除く論理素子Gに対応する歪曲真理値表DTの一例]最終段の論理素子を除く論理素子Gに対応する歪曲真理値表DTの一例を示す。crcr1ggckF0cr1F10cr...F10cr2crcr1ggckF0cr1F0cr...F11cr2crcr1ggckF1cr1F1cr...F11cr2ただし、は排他的論理和演算子を表し、W∈Bκ1c∈BについてのはWとcとのビット連結値を表す。F∈BκはW∈Bκ1c∈Bの入力に対してκビットのF∈Bκを出力する擬似ランダム関数である。Fの例は、W∈Bκ1とc∈Bとビット連結値のハッシュ値を出力するハッシュ関数である。s2の論理素子Gに対応する歪曲真理値表DTの例を以下に示す。crcrggckF0crF0crcrcrggckF0crF1crcrcrggckF1crF0crcrcrggckF1crF1cr[最終段の論理素子Gに対応する歪曲真理値表DTの一例]最終段の論理素子Gに対応する歪曲真理値表DTの一例を示す。crcr1ggF0cr1F0cr...F10cr2crcr1ggF0cr1F0cr...F11cr2crcr1ggF1cr1F1cr...F11cr2s2の論理素子Gに対応する歪曲真理値表DTの例を以下に示す。crcrggF0crF0crcrcrggF0crF1crcrcrggF1crF0crcrcrggF1crF1cr[図4の論理回路に対応する歪曲真理値表DTの例]図4の論理回路が含む論理素子Gに対応する歪曲真理値表DTを例示する。この例の論理回路ではLmax6、n6である。[論理素子Gに対応する歪曲真理値表DTの例最終段s2p01]c0c1ggFFc0c1ggFF...c0c1ggFFc0c1ggFF01∈0...5であるため、c0c0c1c1W00W01W10W11は、サーバ用秘匿情報Esから特定される秘匿値PW00PW01PW10PW11から得られる。Wk0Wk1はランダムに生成される。[論理素子Gに対応する歪曲真理値表DTの例s1p2]c2ggckF...c2ggckF2∈0...5であるため、c2c2W20W21は、サーバ用秘匿情報Esから特定される秘匿値PW20PW21から得られる。Wk0Wk1ckはランダムに生成される。[論理素子Gに対応する歪曲真理値表DTの例s2p36]c6c3ggckFFc6c3ggckFF...c6c3ggckFFc6c3ggckFF3∈0...5であるため、c3c3W30W31は、サーバ用秘匿情報Esから特定される秘匿値PW30PW31である。6∈0...5ではなく、c6c6W60W61は、歪曲真理値表DTの生成時に用いられたckWk0Wk1から得られ、以下の関係を満たす。W60Wk0W61Wk1c6ckc6ck...Wk0Wk1ckはランダムに生成される。[論理素子Gに対応する歪曲真理値表DTの例s1p5]c5ggckF...c5ggckF5∈0...5であるため、c5c5W50W51は、サーバ用秘匿情報Esから特定される秘匿値PW50PW51から得られる。Wk0Wk1ckはランダムに生成される。[論理素子Gに対応する歪曲真理値表DTの例s2p47]c4c7ggckFFc4c7ggckFF...c4c7ggckFFc4c7ggckFF4∈0...5であるため、c4c4W40W41は、サーバ用秘匿情報Esから特定される秘匿値PW40PW41である。7∈0...5ではなく、c7c7W70W71は、歪曲真理値表DTの生成時に用いられたckWk0Wk1から得られ、以下の関係を満たす。W70Wk0W71Wk1c7ckc7ck...Wk0Wk1ckはランダムに生成される。[論理素子Gに対応する歪曲真理値表DTの例最終段s2p89]c8c9ggFFc8c9ggFF...c8c9ggFFc8c9ggFF89∈0...5ではなく、c8c8W80W81は歪曲真理値表DTの生成時に用いられたckWk0Wk1から得られ、c9c9W90W91は歪曲真理値表DTの生成時に用いられたckWk0Wk1から得られ、以下の関係を満たす。W80Wk0W81Wk1c8ckc8ck...W90Wk0W91Wk1c9ckc9ck...Wk0Wk1はランダムに生成される。歪曲回路生成部126で生成された歪曲真理値表DTの集合を含む歪曲回路情報は送信部122に入力される。また、記憶部124から読み出されたクライアント用秘匿情報Ecが送信部122に入力される。送信部122出力部に相当は、歪曲回路情報とクライアント用秘匿情報Ecとをクライアント装置110に送信するステップS119。歪曲回路情報とクライアント用秘匿情報Ecとは、クライアント装置110の受信部113入力部に相当に受信され、歪曲回路計算部119に入力されるステップS120。歪曲回路計算部119は、クライアント用秘匿情報Ecから秘匿値PWiaを復元する。例えば、歪曲回路計算部119は、クライアント用秘匿情報Ecを復号するための共通鍵を用い、入力されたクライアント用秘匿情報Ecから秘匿値PWiaを復号する。次に歪曲回路計算部119は、歪曲入力ビットy∈Br...r1からなる組み合わせ歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報に相当を用い、歪曲回路情報に含まれる歪曲真理値表DTを検索し、歪曲入力ビットy∈Br...r1からなる組み合わせに一致する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせに対応付けられた排他的論理和xor...x1又は出力ビットg...x1∈Bを得る歪曲素子演算処理を各Lについて実行する。p∈0...n1に対応する歪曲入力ビットy∈Bは、クライアント用秘匿情報から特定される秘匿値PWiaに対応する第3ランダムビットci又は反転ビットciである。0...n1の要素ではないpに対応する歪曲入力ビットy∈Bは、別の歪曲真理値表DTに対する歪曲素子演算処理で得られた排他的論理和xor...xs1である。歪曲真理値表DTに対応する歪曲素子演算処理は、その歪曲素子演算処理に必要な歪曲入力ビットyが得られれば実行できる。歪曲素子演算処理に必要な歪曲入力ビットyが得られるのであれば、歪曲素子演算処理の実行順序に限定はない。すべてのLについて歪曲素子演算処理が実行されることで論理回路の出力ビットが得られる。[図4の論理回路に対する歪曲素子演算処理の例示]保存フェーズで入力された入力ビットがaaa1aaa0であった場合の例を示す。歪曲回路計算部119は、クライアント用秘匿情報Ecから、秘匿値PW01PW10PW21PW30PW41PW50を復元する。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyyである。p01∈0...5が満たされる。そのため歪曲入力ビットyはPW01に対応するc0であり、歪曲入力ビットyはPW10に対応するc1である。歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyc0yc1からなる組み合わせに一致するc0c1に対応付けられたgを得る。式の例では、歪曲回路計算部119は、PW01及びPW10を用いてFFFを計算し、さらに以下の計算を行う。ggFFFggこれにより、歪曲回路計算部119は、c0c1に対応付けられたgを得て、これをγとして出力する。論理素子GはANDゲートであるため、g0が満たされる。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyである。p2∈0...5が満たされる。そのため歪曲入力ビットyはPW21に対応するc2である。歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyc2に一致するc2に対応付けられたWkgとgckを得る。式の例では、歪曲回路計算部119は、PW21を用いてFFを計算し、さらに以下の計算を行う。ggckFFggckこれにより、歪曲回路計算部119は、c2に対応付けられたWkgとgckを得る。論理素子GはNOTゲートであるためg0が満たされ、WkgWk0,gckckが満たされる。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyyである。6∈0...5は満たされないが3∈0...5は満たされる。そのため、歪曲入力ビットyは、歪曲真理値表DTの歪曲素子演算処理で得られた排他的論理和gckckであり、歪曲入力ビットyはPW30に対応するc3である。式に示すようにc6ckが満たされ、歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyckc6yc3からなる組み合わせに一致するc6c3に対応付けられたWkg及びgckを得る。式の例では、歪曲回路計算部119は、歪曲真理値表DTの歪曲素子演算処理で得られたW60Wkc6ck及び入力されたPW30を用いてFFFを計算し、さらに以下の計算を行う。ggckFFFggckこれにより、歪曲回路計算部119は、c6c3に対応付けられたWkg及びgckを得る。論理素子GはANDゲートであるため、g0が満たされ、WkgWk0及びgckckが満たされる。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyである。p5∈0...5が満たされる。そのため歪曲入力ビットyはPW50に対応するc5である。歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyc5に一致するc5に対応付けられたWkgとgckを得る。式の例では、歪曲回路計算部119は、PW50を用いてFFを計算し、さらに以下の計算を行う。ggckFFggckこれにより、歪曲回路計算部119は、c5に対応付けられたWkgとgckを得る。論理素子GはNOTゲートであるためg1が満たされ、WkgWk1,gckckが満たされる。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyyである。4∈0...5は満たされるが7∈0...5は満たされない。そのため、歪曲入力ビットyはPW41に対応するc4であり、歪曲入力ビットyは歪曲真理値表DTの歪曲素子演算処理で得られた排他的論理和gckckである。式に示すようにc7ckが満たされ、歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyc4yckc7からなる組み合わせに一致するc4c7に対応付けられたWkg及びgckを得る。式の例では、歪曲回路計算部119は、入力されたPW41及び歪曲真理値表DTの歪曲素子演算処理で得られたWkgWk1,gckckを用いてFFFを計算し、さらに以下の計算を行う。ggckFFFggckこれにより、歪曲回路計算部119は、c4c7に対応付けられたWkg及びgckを得る。論理素子GはANDゲートであるため、g1が満たされ、WkgWk1及びgckckが満たされる。歪曲真理値表DTの歪曲素子演算処理の例示式の歪曲真理値表DTに対応する歪曲入力ビットはyyである。89∈0...5は満たされない。歪曲入力ビットyは歪曲真理値表DTの歪曲素子演算処理で得られた排他的論理和gckckであり、歪曲入力ビットyは歪曲真理値表DTの歪曲素子演算処理で得られた排他的論理和gckckである。式に示すようにckc8が満たされ、式に示すようにckc9が満たされる。歪曲回路計算部119は、歪曲真理値表DTで、歪曲入力ビットyckc8yckc9からなる組み合わせに一致するc8c9に対応付けられたgを得る。式の例では、歪曲回路計算部119は、歪曲真理値表DTの歪曲素子演算処理で得られたWkgWk0及びgckck、及び歪曲真理値表DTの歪曲素子演算処理で得られたWkgWk1及びgckckを用いてFFFを計算し、さらに以下の計算を行う。ggFFFggこれにより、歪曲回路計算部119は、c8c9に対応付けられたgを得て、これをδとして出力する。GはORゲートであるため、g1が満たされるステップS121。第2実施形態第2実施形態は第1実施形態の変形例である。第2実施形態では、保存フェーズの処理を行うクライアント装置と計算フェーズの処理を行うクライアント装置とが相違する。以下では、第1実施形態との相違点を中心に説明し、第1実施形態と共通する処理部や処理ステップについては第1実施形態で使用された記号を引用して説明を省略する。互いに異なる処理主体によって行われる同一の処理内容に対応するステップには同一の記号が割り当てられている以下の他の実施形態についても同様。<構成>図5に例示するように、本形態の秘匿データ処理システム2は、クライアント装置210-1第1クライアント装置に相当と、クライアント装置210-2第2クライアント装置に相当と、サーバ装置220を有する。この例のクライアント装置210-1は、入力部111と送信部112と制御部215-1とランダム化部116とサーバ用秘匿情報生成部117とクライアント用秘匿情報生成部118とを有する。この例のクライアント装置210-2は、入力部211と送信部212と受信部213と制御部215-2と歪曲回路計算部119とを有する。サーバ装置220は、送信部222と受信部223と記憶部124と制御部125と歪曲回路生成部126とを有する。クライアント装置210-1,2及びサーバ装置220は、例えばそれぞれ、特別なプログラムが、公知のコンピュータ又は専用のコンピュータに読み込まれ、実行されることで構築される特別な装置である。以下では説明を省略するが、この例の場合、クライアント装置210-1,2やサーバ装置220の各処理部部で受信されたデータや得られたデータは、クライアント装置210-1,2やサーバ装置220の一時メモリ図示せずに逐一格納される。一時メモリに格納されたデータは、必要に応じて読み出され、クライアント装置210-1,2やサーバ装置220の処理部に入力され、そこでの演算処理に利用される。なお、クライアント装置210-1,2やサーバ装置220の処理部の少なくとも一部がハードウェアによって構成されてもよい。制御部215-1はクライアント装置210-1の処理を制御し、制御部215-2はクライアント装置210-2の処理を制御し、制御部225はサーバ装置220の処理を制御する。クライアント装置210-1,2はサーバ装置220に情報を送信でき、サーバ装置220はクライアント装置210-2に情報を送信できる。<処理>本形態では、クライアント装置210-1とサーバ装置220との間で保存フェーズの処理が実行され、クライアント装置210-2とサーバ装置220との間で計算フェーズの処理が実行される。<保存フェーズ>保存フェーズでは、クライアント装置210-1が第1実施形態で説明したステップS101-S106図2の処理を実行する。クライアント装置210-1から送信されたサーバ用秘匿情報Es及びクライアント用秘匿情報Ecは、サーバ装置220の受信部213で受信されステップS107、記憶部124に記憶されるステップS108。<計算フェーズ>計算フェーズでは、クライアント装置210-2の入力部211に、Lmax個の論理素子Gから構成される論理回路を表す論理回路情報LCが入力されステップS111、送信部212論理回路情報出力部に相当が論理回路情報LCをサーバ装置220に送信するステップS112。論理回路情報LCは、サーバ装置120の受信部223論理回路情報入力部に相当で受信され、歪曲回路生成部126に入力されるステップS113。歪曲回路生成部126は、サーバ用秘匿情報EsからDsPWi0PWi1i0...n1を得るステップS114。送信部222出力部に相当は、クライアント用秘匿情報Ecをクライアント装置210-2に送信するステップS115。クライアント用秘匿情報Ecは、クライアント装置210-2の受信部213入力部に相当で受信され、歪曲回路計算部119に入力されるステップS116。歪曲回路計算部119は、クライアント用秘匿情報EcからDcPWiai0...n1を復元するステップS117。サーバ装置220の歪曲回路生成部126は、第1実施形態と同様に、DsPWi0PWi1i0...n1を用い、論理回路情報LCが表す各真理値表Tを歪曲真理値表DTにそれぞれ変換し、歪曲真理値表DTの集合を含む歪曲回路情報を生成するステップS118。送信部222出力部に相当は、歪曲回路情報とクライアント用秘匿情報Ecとをクライアント装置210-2に送信するステップS119。歪曲回路情報とクライアント用秘匿情報Ecとは、クライアント装置210-2の受信部213入力部に相当で受信され、歪曲回路計算部119に入力されるステップS120。歪曲回路計算部119は、第1実施形態と同様に、クライアント用秘匿情報Ecから秘匿値PWiaを復元し、歪曲回路情報に含まれる各歪曲真理値表DTに対する歪曲素子演算処理を実行し、演算結果を表す出力ビットを出力するステップS121。第3実施形態第3実施形態は第1実施形態の変形例である。本形態では、保存フェーズの処理時に、クライアント装置からサーバ装置にサーバ用秘匿情報Esは送信されるが、クライアント用秘匿情報Ecが送信されない。クライアント用秘匿情報Ecは、クライアント装置に格納される。計算フェーズの処理時には、クライアント装置は、クライアント装置に記憶されたクライアント用秘匿情報Ecを用いて歪曲素子演算処理を実行する。以下では、第1実施形態との相違点を中心に説明し、第1実施形態と共通する部分や処理については第1実施形態で使用された記号を引用して説明を省略する。<構成>図6に例示するように、本形態の秘匿データ処理システム3は、クライアント装置310とサーバ装置320を有する。クライアント装置310は、入力部111と送信部312と受信部313と記憶部314と制御部115とランダム化部116とサーバ用秘匿情報生成部117とクライアント用秘匿情報生成部118と歪曲回路計算部319とを有する。サーバ装置320は、送信部322と受信部323と記憶部324と制御部125と歪曲回路生成部126とを有する。クライアント装置310及びサーバ装置320は、例えばそれぞれ、特別なプログラムが、公知のコンピュータ又は専用のコンピュータに読み込まれ、実行されることで構築される特別な装置である。以下では説明を省略するが、この例の場合、クライアント装置310やサーバ装置320の各処理部部で受信されたデータや得られたデータは、クライアント装置310やサーバ装置320の一時メモリ図示せずに逐一格納される。一時メモリに格納されたデータは、必要に応じて読み出され、クライアント装置310やサーバ装置320の処理部に入力され、そこでの演算処理に利用される。なお、クライアント装置310やサーバ装置320の処理部の少なくとも一部がハードウェアによって構成されてもよい。制御部115はクライアント装置310の処理を制御し、制御部125はサーバ装置320の処理を制御する。また、クライアント装置310はサーバ装置320に情報を送信でき、サーバ装置320はクライアント装置310に情報を送信できる。<処理>本形態の秘匿データ処理システム3によって行われる処理は、クライアント装置310がサーバ装置320にデータを預託する保存フェーズと、クライアント装置310とサーバ装置320とが協調して計算を行う計算フェーズとを含む。以下では、まず保存フェーズを説明し、次に計算フェーズを説明する。<保存フェーズ>図7に示すように、クライアント装置310が第1実施形態で説明したステップS101-S105と同一の処理を実行する。本形態のクライアント用秘匿情報EcはDcを秘匿するための情報暗号文等でなくてもよい。例えば、本形態のクライアント用秘匿情報EcはDcそのものであってもかまわない。本形態で生成されたクライアント用秘匿情報Ecは記憶部314に記憶されるステップS305。送信部312は、サーバ用秘匿情報Esをサーバ装置320に送信するステップS306。サーバ用秘匿情報Esは、サーバ装置320の受信部323で受信されステップS107、記憶部324に記憶されるステップS108。<計算フェーズ>図8に示すように、記憶部314に記憶されたクライアント用秘匿情報Ecがクライアント装置310の歪曲回路計算部319に入力される。歪曲回路計算部319は、第1実施形態と同様に、クライアント用秘匿情報EcからDcPWiai0...n1を復元するステップS310。クライアント装置310の入力部111に、Lmax個の論理素子Gから構成される論理回路を表す論理回路情報LCが入力されるステップS111。論理回路情報LCは送信部312に入力され、送信部312は論理回路情報LCをサーバ装置320に送信するステップS112。論理回路情報LCは、サーバ装置320の受信部323で受信され、歪曲回路生成部126に入力されるステップS113。サーバ装置320は、第1実施形態で説明したステップS114,S118,S119の処理と同一の処理を実行し、クライアント装置310は第1実施形態で説明したステップS120の処理と同一の処理を実行する。歪曲回路計算部119は、クライアント用秘匿情報Ecから秘匿値PWiaを復元する。クライアント用秘匿情報Ecが第1実施形態と同様に構成されている場合、この処理は第1実施形態と同様に行われる。一方、クライアント用秘匿情報EcがDcを秘匿するための情報でない場合、歪曲回路計算部119は、クライアント用秘匿情報EcからDcを得る。次に歪曲回路計算部119は、第1実施形態と同様の歪曲素子演算処理を各Lについて実行するステップS321。各実施形態の特徴以下にこれまで説明した各実施形態の特徴を説明する。[第1実施形態の特徴]第1実施形態では、クライアント装置110がサーバ装置120にサーバ用秘匿情報Es及びクライアント用秘匿情報Ecを預託し、サーバ装置120がサーバ用秘匿情報Esから得られるDsと論理回路に対応する論理回路情報とを用いて歪曲回路情報を生成し、クライアント装置110がクライアント用秘匿情報Ecから得られるDcと生成された論理回路情報とを用いて秘匿回路計算を行う。ここで、クライアント用秘匿情報Ecは、n個の入力ビットa∈Bにそれぞれ対応する秘匿値PWiaをクライアント装置110のみで特定するため情報である。すなわち、サーバ装置120はクライアント用秘匿情報EcからDcを得ることができない。よって、サーバ用秘匿情報Es及びクライアント用秘匿情報Ecがサーバ装置120に預託されたとしても、サーバ装置120が不正な秘匿回路計算を行ってその演算結果を得ることができない。第1実施形態の方法は以下の利点を持つ。1.クライアント装置110は安全にサーバ装置120にデータを預託することができ、クライアント装置110にデータを格納するためのストレージを設ける必要がない。2.不正な処理を行うサーバ装置120が用いられても、歪曲化前の入力ビットの値や秘匿回路計算の結果がサーバ装置120に知られることはない。3.第1実施形態の秘匿データ処理方法は、クライアント装置110とサーバ装置120との二者で安全に実行できる2パーティモデルの枠組みで実行される。2パーティモデルは、秘匿回路計算を行うマルチパーティモデルの中で最も実現が容易なモデルである。4.第1実施形態の秘匿データ処理方法には公開鍵暗号方式を用いる必要はない。そのため、第1実施形態の秘匿データ処理方法では、秘匿回路計算の演算速度が速い。公開鍵暗号方式を用いた方法の処理時間と公開鍵暗号方式を用いない方法の処理時間との違いは、非特許文献3の方法を実行した場合の処理時間の実測値と非特許文献1の方法を実行した場合の処理時間の実測値とを比較することで考察できる。公開鍵暗号を用いる非特許文献3の方法の2パーティでの処理時間の合計は、論理素子1ゲートあたり1378msである。ただし、各パーティはそれぞれXeon登録商標28GHzのマイクロプロセッサを4台用いて計算を行った。公開鍵暗号を用いない非特許文献1の方法の2パーティでの処理時間の合計は、論理素子1ゲートあたり1114sである。ただし、各パーティはそれぞれCore登録商標2Duo253GHzのマイクロプロセッサを1台用いて計算を行った。これらの結果から、公開鍵暗号方式を用いた方法の処理時間は公開鍵暗号方式を用いない方法の処理時間の1000倍程度となることがわかるXeon28GHzのマイクロプロセッサを4台用いたマシン環境のほうが、Core2Duo253GHzのマイクロプロセッサを1台用いたマシン環境よりも性能が高い。特に従来、2パーティしか許されず、サーバ装置が不正な処理を行う可能性を否定できないような環境では、非特許文献3のような公開鍵暗号方式を用いた方法を用いるしかなかった。第1実施形態の方法がこのような環境で使用されることで、このような環境において従来の約1000倍の高速化が可能となる。一般にマルチパーティプロトコルでは、パーティ数が多いほど、重い公開鍵暗号処理の比率を上げるほど、強い攻撃者に対するセキュリティを実現できる。以下に非特許文献1-3の方法とACYaoHowtogenerateandexchangesecretsProcofFOCS86pp162167IEEEPress1986に記載された方法以下Yaoと呼ぶについて、パーティ数と、malicious対応セキュリティ強度と、公開鍵暗号処理の要否との関係を示す。このように、例えば、非特許文献3のような計算の全過程で公開鍵暗号処理を行うプロトコルであれば、2パーティで改ざんの検出と秘匿性とを実現できるmalicious対応プロトコル。Yaoの歪曲回路計算のような計算の初段だけに公開鍵暗号方式を用いるプロトコルの場合、改ざんの検出も秘匿性も実現できず、2パーティのsemihonest対応プロトコルとなる。非特許文献1の2パーティプロトコルでは公開鍵暗号処理は用いられないが、初段の計算をクライアント装置が行う必要があり、厳密には3パーティのsemihonest対応プロトコルとなる。4パーティ以上であれば、公開鍵暗号処理を用いずにmalicious対応プロトコルを構成できることが知られている。図9は[表1]に示したこのような関係を、横軸を[malicious対応]の程度、縦軸を[公開鍵暗号処理]の必要性として表現したグラフである。図9において1は非特許文献1のプロトコルを表し、2は非特許文献2のプロトコルを表し、3は非特許文献3のプロトコルを表し、YaoはYaoのプロトコルを表す。EMBは第1実施形態の方法を表す。BL1は従来の2パーティプロトコルの性能の限界を表し、BL2は従来の3パーティプロトコルの性能の限界を表す。図9から判るように、本形態では、公開鍵暗号方式を用いる必要がないにもかかわらず、2パーティで改ざんの検出と秘匿性とを実現できることが判る[第2実施形態の特徴]第2実施形態も第1実施形態と同様な特徴を備える。さらに第2実施形態では、クライアント装置210-1が保存フェーズを行い、クライアント装置210-2が計算フェーズを行う。この形態ではクライアント装置210-1はサーバ用秘匿情報Esとクライアント用秘匿情報Ecとを自由に設定でき、クライアント装置210-2が論理回路を自由に設定できる。これにより、クライアント装置210-1は自らが定めた入力ビットに対応する秘匿回路計算を行う権限のみをクライアント装置210-2に与えることになる。すなわち、クライアント装置210-2は秘匿回路計算の対象となる論理回路を自由に設定できるが、その秘匿回路計算の対応する入力ビットを自由に選択することはできない。仮にクライアント装置210-2がクライアント用秘匿情報Ecに対応する入力ビット以外の入力ビットに対応する秘匿回路計算を行ったとしても、正しい結果は得られない。[第3実施形態の特徴]第3実施形態も第1実施形態と同様な特徴を備える。さらに、第3実施形態ではクライアント用秘匿情報Ecを生成するための暗号化処理が不要となる。その他の変形例本発明は上述の実施の形態に限定されるものではない。例えば、歪曲回路情報が第1-3実施形態と異なる構成の歪曲真理値表DTを含んでもよい。前述のように歪曲真理値表DTは、秘匿値PWpxr...r1に対応する第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、出力ビットg...x1∈Bに対応するκ1ビットの第5ランダムビットWkg...x1∈Bκ1と、出力ビットg...x1∈Bと1ビットの第6ランダムビットck∈Bとの排他的論理和xor...x1又は出力ビットg...x1∈Bとが関連付けられた表である。第1-3実施形態では、第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせそのものラベルが歪曲真理値表DTの一部とされ、当該ラベルと、第5ランダムビットWkg...x1∈Bκ1と、排他的論理和xor...x1又は出力ビットg...x1∈Bとが関連付けられていた。これに対して第5ランダムビットWkg...x1∈Bκ1と排他的論理和xor...x1又は出力ビットg...x1∈Bとを含む情報をラベルに対応する順序で配列したものを歪曲真理値表DTとすることで、第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせと、第5ランダムビットWkg...x1∈Bκ1と、排他的論理和xor...x1又は出力ビットg...x1∈Bとの関連付けがなされてもよい。このような歪曲真理値表DTは、第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせラベルそのものを含む必要がない。すなわち第5ランダムビットWkg...x1∈Bκ1と排他的論理和xor...x1又は出力ビットg...x1∈Bとを含む情報の配列順序がラベルとしての機能を果たす。s個の入力ビットxr...r1に対応するs個の第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせr...r1は、0以上2s1以下の整数のビット表現値に一対一対応させることができる。例えばs2cr0cr1の場合、2個のcp又cpからなる組み合わせrrは、以下のように0以上3以下の整数のビット表現値に一対一対応させることができる。crcrcrcr212crcrcrcr210crcrcrcr213crcrcrcr211一般化すると、s個の第4ランダムビットCRp∈cpcpr...r1からなる組み合わせは、以下のような0以上2s1以下の整数のビット表現値に一対一対応させることができる。CRrCRr21...CRr12s1...そのため、s個の第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせラベルに対応する整数に応じた順序で、当該ラベルに対応する第5ランダムビットWkg...x1∈Bκ1と排他的論理和xor...x1又は出力ビットg...x1∈Bとを含む情報をソートして配列したものが歪曲真理値表DTとされてもよい。例えば、c00c11の場合、式に例示した歪曲真理値表DTが以下のように置き換えられてもよい。ggFFggFF...ggFFggFFこのようにラベルに対応する順序で上記の情報を配列したものを歪曲真理値表DTとすることで、歪曲真理値表DTがラベルそのものを含まなくても、歪曲回路計算部は、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する情報を用い、歪曲入力ビットy∈Br...r1からなる組み合わせに一致するラベルに対応付けられた排他的論理和xor...x1又は出力ビットg...x1∈Bを当該歪曲真理値表DTから得ることができる。例えば、歪曲回路計算部は、歪曲入力ビットy∈Br...r1からなる組み合わせに対応する以下の整数に対応する位置に配列された排他的論理和xor...x1又は出力ビットg...x1∈Bを抽出することで、ラベルに対応する情報を得ることができる。yr21...r12s1...また逆に、上述した順序に一対一対応する0以上2s1以下の整数からラベルを導出することは容易である。すなわち、当該0以上2s1以下の整数に対応する式の各係数CRp∈cpcpr...r1の組み合わせCRr...CRr1が、s個の第4ランダムビットcp∈B又はその反転ビットcp∈Bからなる組み合わせラベルとなる。式などから分るように、ラベルCRr...CRr1CRp∈cpcpr...r1に対応するg...x1のx...x1のそれぞれは、CRpcpならばx0、CRpcpならばx1である。よって、xは以下を満たす。xcpCRpr...r1そのため、この変形例の歪曲真理値表DTのCRrCRr21...CRr12s11番目に配列される要素は、とxorCRr...cr1CRr1又はgCRr...cr1CRr1とが関連付けられたものとしてソート無しで得られる。例えば、式のCRrCRr211番目に配列される要素は以下のように得られる。また、第2実施形態において、クライアント装置210-1とサーバ装置120とによって、クライアント装置210-2の入力部211に入力可能な論理回路情報LCが限定され、ステップS113で許容されない論理回路情報LCがサーバ装置120で受信された場合に、サーバ装置120がその後の処理を拒否することとしてもよい。この場合、サーバ装置120とクライアント装置210-2とが結託しない限り、クライアント装置210-2は許容されていない論理回路情報LCに対応する論理回路の計算を行うことができない。その他、サーバ装置とクライアント装置とが通信によって情報の受け渡しを行うのではなく、可搬型記録媒体を介して情報の受け渡しを行ってもよい。また、上述の各種の処理は、記載に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。その他、本発明の趣旨を逸脱しない範囲で適宜変更が可能であることはいうまでもない。また、上述の構成をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記処理機能がコンピュータ上で実現される。この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体の例は、非一時的なnontransitory記録媒体である。このような記録媒体の例は、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等である。また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASPApplicationServiceProvider型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるものコンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等を含むものとする。また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。"