JP4849541B2 - 個別情報を秘匿するクロス集計処理方法およびクロス集計装置、並びにプログラム - Google Patents

Description

本発明は暗号応用技術に関するものであり、特に個別情報を秘匿したままクロス集計を行う技術に関する。クロス集計とは複数の項目に注目して集計する方法である。

消費者情報の活用がマーケティングなどに有効とされる一方で、近年は特に消費者に対するプライバシ保護の配慮が重要なテーマとなっている。これに関連して従来、準同型暗号の性質を利用して、各消費者の属性（年齢、性別など）やアンケート回答といった個別情報を秘匿したまま集計処理可能な方式がいくつか提案されている（例えば、非特許文献１、非特許文献２等）。

しかし、それらは基本的に単純集計を対象としており、アンケートを通じた社会調査などでしばしば用いられるクロス集計に対して適用することは難しい。この問題に対する自明な対応策として、クロス集計における複数の個別情報をあらかじめ組合せて単純集計の問題に置き換える方法が挙げられる。これは例えば「年代」と「性別」という二つの属性（個別情報）を「年代＋性別」という属性の組合せに置き換える方法であり、「年代＝２０代」、「性別＝男性」と属性毎に個別に回答していたものを「年代＋性別＝２０代の男性」という属性の組合せの回答に置き換えることで、「○○代の男性（女性）の利用者が何人いるか？」という問題が、クロス集計ではなく単純集計で十分となる。

しかしこの置き換えによって、今度は「２０代の利用者が何人いるか？」や「男性の利用者が何人いるか？」といった設問に対する集計が既存の準同型暗号利用方式では困難となってしまい、本質的な問題解決にはなっていない。また、全ての個別情報の組合せ、即ち先の例で言えば「年代」、「性別」、「年代＋性別」の３パターンの項目があれば全ての設問パターンが単純集計で十分となるが、個別情報が多くなるにつれ項目数が飛躍的に増大するため、個別情報が多い場合はやはり既存の準同型暗号利用方式では実現が困難であると考えられる。

K.Sako："Generating Statistical Information in Anonymous Survey,"IEICE Trans.Fundamentals.，E79-A，No.4，pp.507-512，Apr.1996. 中里純二，藤本賢司，菊池浩明："個人情報漏洩を防止するWebアンケートのセキュリティ強化"，情処学論，Vol．46，No．8，pp．2068-2077，Aug．2005.

本発明は、個別情報を秘匿したまま効率良くクロス集計を行う事が可能なクロス集計処理方法およびクロス集計装置、並びにプログラムを提供することにある。

アンケートを例に説明する。アンケート集約サーバＡ、ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u、ｎ人のアンケート回答者Ｕ_i（ｉ＝１，…，ｎ）およびその端末Ｔ_iが存在するとする。また、設問ｊの数はｍ個とする（ｊ＝１，…，ｍ）。

アンケート回答者ｉ（１≦ｉ≦ｎ）は端末Ｔ_iを用いて、各設問ｊ（ｊ＝１，…，ｍ）に対して、ｋ_j個の選択肢の中から一つだけ回答を選ぶものとする。これをａ_ijとする。ａ_ijについて、回答者ｉが端末Ｔ_iを通じて設問ｊに対してｗ（１≦ｗ≦ｋ_j）番目の選択肢を選んだとき、Ｔ_iはａ_ij＝ｗとして、準同型暗号関数Ｅを用いてａ_ijの暗号文Ｅ（ａ_ij）を計算する。複数の設問ｊ₁，…，ｊ_m’について、それぞれある選択肢ｗ₁，…，ｗ_m’の組合せｗ₁∧…∧ｗ_m’を選んだ回答者の総数を以下のようにして求める。なお、簡単のためｍ’＝ｍ，ｊ_u＝ｕとする。
１．全てのＳ_uが協力して乱数ｔ_i，ｒ_j（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成する。このｔ_i，ｒ_jは公開とする。
２．ＡはＥ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jを入力し、ｉ＝１，…，ｎについてＥ（ａ_i）：＝Ｅ（Σ_j=1 ^mｒ_jａ_ij），Ｅ（ｗ）：＝Ｅ（Σ_j=1 ^mｒ_jｗ_j）を計算する。ここで、Ｅ（ａ_i）はＥの準同型性を利用して入力の暗号文を復号することなく計算できる。なお、Ｅ（ａ_i），Ｅ（ｗ）は、あるＳ_uが計算してもよく、また、各Ｓ_uが分担して計算することでもよい。
３．ｉ＝１，…，ｎについて、Ａはステップ２で求めた値Ｅ（ａ_i）、Ｅ（ｗ）を用いてＥ（α_i）：＝Ｅ（ｔ_i（ａ_i−ｗ））を計算する。ここでステップ２同様、Ｅ（α_i）はＥ（ａ_i）、Ｅ（ｗ）を復号することなく計算できる。Ｅ（α_i）も、あるＳ_uが代表して、あるいは各Ｓ_uが分担して計算することでもよい。
４．全てのＳ_uが協力してＥ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化して順序を撹乱したｎ個の暗号文

を求める。ここでφは1からｎまでの整数に対する置換関数である。
５．全てのＳ_uが協力して

を復号し、復号結果が０となっているものの個数を求め、その個数を出力する。

ステップ３で、乱数ｔ_iを用いてａ_i≠ｗであれば、復号結果αφ_（1）はＺ／ｑＺで一様に分散するような操作を加えているため、ステップ５で復号後、０でない値から回答に関する情報を得ることは難しい。また、復号する前にステップ４で撹乱を行っているため、回答者と復号後の値との関係についての情報を得ることも難しい。

なお、ステップ２では、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jからＥ（ａ_i）＝Ｅ（Π_j=1 ^mａ_ij ^ｒj），Ｅ（ｗ）＝Ｅ（Π_j=1 ^mｗ_j ^ｒj）を計算し、ステップ３では、Ｅ（ａ_i），Ｅ（ｗ）からＥ（α_i）＝Ｅ（（ａ_i／ｗ）^ｔi）を計算することでもよい。この場合、ステップ５では、復号結果が１となるものの個数を求める。
また、復号サーバＤを別に備えて、ステップ５の復号処理をＤが実施することでもよい。その他の本発明の特徴については、後の実施形態の説明で詳述する。

本発明によれば、管理者（集計者）であっても消費者の個別情報が復元できないクロス集計が容易に実現でき、アンケート回答者のプライバシ保護、情報漏えい対策に効果的である。

また、本発明はアンケートへの適用に限らず、例えば各種ウェブサービスのユーザ分析に対するプライバシ保護、情報漏えい対策としても活用できる。即ち、ネットユーザはウェブサイトへのアクセス時に属性情報や趣味嗜好情報等の個別情報をそれぞれ暗号化して当該ウェブサイトに提供し、その後各ウェブサービス事業者は協力して、当該個別情報を復元することなく、クロス集計による統計情報を得ることができるようにする。

更にセンタネットワークにおけるプライバシ保護、情報漏えい対策としての活用も考えられる。即ち、センタが行動履歴や身体情報（体温など）といった人々のプライバシにかかわる個別情報を収集して活用する際、センタと連動したサーバには当該個別情報が暗号化されてから送信されるようにし、複数の管理者が合意したときのみ、当該個別情報を復元することなく、クロス集計による当該個別情報のデータ分析を行うことができるようにする。

以下、本発明のいくつかの実施の形態について図面を用いて詳細に説明する。以下でも、インターネットを通じてアンケートを実施して、アンケート回答内容を秘匿したままクロス集計する場合について説明する。

［第１の実施の形態］
本実施例では、図１に示すように、アンケート集約サーバＡ、ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u、ｎ人のアンケート回答者Ｕ_i（１≦ｉ≦ｎ）およびＵ_iの端末Ｔ_i、および復号サーバＤからなり、Ｓ_u，Ｔ_i，Ｄはインターネットを介してＡにアクセスできるものとする。なお、ここではｎ人のアンケート回答者が事前に存在するものと仮定しているが、不特定多数が不定期にＡにアクセスしてアンケートに回答するとしても良い。

図２はアンケート集約サーバＡのブロック図を示し、本アンケート集約サーバＡは乱数計算手段１１０、暗号計算手段１２０、公開鍵保持手段１３０、アンケートファイルＱＦおよび暗号処理プログラムＥＰの保持手段１４０等を具備する。

図３はアンケート集計管理者端末Ｓ_uのブロック図を示し、本アンケート集計管理者端末Ｓ_uは乱数生成手段２２０、再暗号化・撹乱手段２３０等を具備する。なお、実際には、これら手段２２０、２３０はすべてのＳ_uの協力によって機能する。

図４はアンケート回答者端末Ｔ_iのブロック図を示し、本アンケート数回答者端末Ｔ_iは乱数生成手段３１０、暗号手段３２０等を具備する。

図５は復号サーバＤのブロック図を示し、本復号サーバＤは暗号鍵対生成手段４１０、復号手段４２０、鍵保持手段４３０等を具備する。

はじめに、復号サーバＤは暗号鍵対生成手段４１０にて準同型暗号の暗号鍵対である公開鍵ｐｋおよび秘密鍵ｓｋを生成し、ｐｋをアンケート集約サーバＡに送信し、ｓｋを安全に保持する。以下に準同型暗号をＰaillier暗号としたときの暗号鍵対の生成手続について一例を示す。
１．大きな素数ｐ，ｑを生成し、ｐ，ｑを秘密鍵ｓｋとする。
２．ｙ＝ｐ×ｑを計算し、ｙを公開鍵ｐｋとする。

次に、アンケート回答の暗号化方法について説明する。各アンケート回答者Ｕ_iは端末Ｔ_iを通じてアンケート集約サーバＡにアクセスすると、アンケートファイルＱＦおよび暗号処理プログラムＥＰが端末Ｔ_iにダウンロードされる。ＥＰには公開鍵ｐｋ（＝ｙ）が含まれている。ＱＦにはｍ個の設問が記載され、各設問ｊ（ｊ＝１，…，ｍ）に対してｋ_j個の選択肢があり、その中から一つだけ回答を選択できるようになっているものとする。なお、複数の回答を選択できるようにしてもよい。

アンケート回答者Ｕ_iが設問ｊに対してｗ番目の選択肢を回答として選択したとき、当該端末Ｔ_iはＥＰを実行することで回答ａ_ij＝ｗの暗号文Ｅ（ａ_ij）を計算する。図６にＥがＰaillier暗号である場合における、Ｔ_iによる暗号化処理フローの一例を示す。
１．回答ａ_ij（ｊ＝１，…，ｍ）を入力する。
２．乱数生成手段３１０は、１以上ｙ未満の整数からなる乱数ｘ_j（ｊ＝１，…，ｍ）を生成する。
３．暗号化手段３２０は暗号文Ｅ（ａ_ij）＝ｇ^aij×ｘ_j ^y（modｙ²）を計算する。ここでｇ＝ｙ＋１である。

アンケート回答者端末Ｔ_iは自身が計算したｍ個の暗号文Ｅ（ａ_ij）をアンケート集約サーバＡに送信する。すなわち、Ｔ_iはＥ（ａ_i，1），…，Ｅ（ａ_i，m）をＡに送信する。他のアンケート回答者端末においても同様である。

次に、複数の設問ｊ₁，…，ｊ_m’について、それぞれある選択肢ｗ₁，…，ｗ_m’の組合せｗ₁∧…∧ｗ_m’を選んだ回答者の総数を求める方法について説明する。なお、簡単のためｍ’＝ｍ、ｊ_u＝ｕとする。図7にその処理フローの一例を示す。
１．各アンケート集計管理者端末Ｓ_uは、乱数生成手段２２０にて１以上ｙ未満の整数からなる乱数ｔ_i，u，ｒ_j，u（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成し、それらをアンケート集約サーバＡに送信する。
２．アンケート集約サーバＡは、乱数計算手段１１０にて、ｔ_i＝Σ_u=1 ^pｔ_i，u（modｙ），ｒ_j＝Σ_u=1 ^pｒ_j，u（modｙ）を計算して、それらについて各Ｓ_uが受信できるようにする。また、ＡはＳ_uから受信した全ての乱数ｔ_i，u，ｒ_j，uも各Ｓ_uが受信できるようにする。
３．アンケート集約サーバＡは、暗号計算手段１２０にて、各アンケート回答者端末Ｔ_iから送信されたＥ（ａ_i，1），…，Ｅ（ａ_i，m）を用いて、ｉ＝１，…，ｎについてＥ（ａ_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij）を計算し、また、Ｅ（ｗ）＝Ｅ（Σ_j=1 ^mｒ_jｗ_j）を計算する。
４．アンケート集約サーバＡは、暗号計算手段１２０にて、ステップ３で生成した暗号文Ｅ（ａ_i），Ｅ（ｗ）を用いて、ｉ＝１，…，ｎについてＥ（α_i）＝Ｅ（t_i（ａ_i−ｗ））を計算する。

なお、アンケート集計管理者端末Ｓ_uが暗号計算手段を備え、任意のＳ_uがアンケート集約サーバＡからｗ_jおよびＥ（ａ_i，j）を受信してステップ３、４を実行し、計算結果のＥ（α_i）をＡに送信することでもよい。また、複数のＳ_uが分担してステップ３、４を実行し、計算結果のＥ（α_i）をＡに送信することでもよい。

５．Ｃ_i，0＝Ｅ（α_i）として、ｕ＝１，…，ｐの順に、アンケート集計管理者端末Ｓ_uは再暗号化撹乱手段２３０にて以下の処理を行う。
（ａ）ｉ＝１，…，ｎについて、Ｃ_i，u-1をＡから受信して再暗号化する。再暗号化した結果をＣ_i，uとする。
（ｂ）１以上ｎ以下の整数に対する置換関数φ_uを選び、φ_u（１），φ_u（２），…，φ_u（ｎ）の順にＣ_i，uをＡに送信する。
図８はステップ５の処理イメージを示したものである。
６．アンケート集約サーバＡはＣ_i，uを復号サーバＤが受信できるようにする。
７．復号サーバＤはアンケート集約サーバＡからアンケート集計管理者端末Ｓ_pの出力

を受信し、すなわち

を受信し、復号手段４２０にてそれら全てを復号し、復号結果

をアンケート集約サーバＡに送信する。
８．アンケート集約サーバＡは、復号結果が０であるものの個数ｄを求め、ｄを、ｗ₁∧…∧ｗ_mを選んだ回答者の総数として公開する。

以上の手続きにより、アンケート回答者の個別情報ａ_ijについて，アンケート回答者に知られることなく、かつアンケート集計に係わった計算機Ａ，Ｔ_iの内部で復元されることなく、ａ_ijに対するクロス集計結果を得ることができる。上記の手続きのうちステップ３、７の詳細について以下に示す。

［ステップ３の詳細］
Ｅ（ａ_ij）＝ｇ^aij×ｘ^y _j（modｙ²）に対して、Ｘ＝Π_j=1 ^mＥ（ａ_ij）^rjを計算し、Ｅ（ａ_i）＝Ｘとする。すると

であるから、Ｅ（ａ_i）はａ_i＝Σ_j=1 ^mｒ_jａ_ijの暗号文であることが分かる。
Ｅ（ｗ）についても同様の方法で計算できる。

［ステップ７の詳細］
Ｄの復号手順について現明する。ここではａに対してＰaillier暗号を用いた暗号文Ｅ（ａ）＝ｇ^a×ｘ^y（modｙ²）の復号について説明する。ここでｒは１以上ｑ未満の整数からなる乱数とし、Ｅ（ａ）はＡ上にあるものとする。
１．ＡからＥ（ａ）を受信し、秘密鍵ｐ，ｑを用いてＸ’＝（Ｅ（ａ）^(p-1)(q-1)−１（modｙ））／ｙを計算してそれをＡに送信する。
２．ＡはＸ’を復号結果として公開する。

なお、本実施例の変形例として、次の第２の実施例と同様に閾値準同型暗号を利用し、暗号鍵対生成および復号処理をアンケート集計管理者端末Ｓ_uが行うようにすることもできる。この場合、復号サーバＤが不要となる。そのかわりにＳ_uが暗号鍵対生成手段と復号手段を備えて、各Ｓ_uの協力によって暗号鍵対生成、復号処理が行われることになる。Ｐaillier暗号について、閾値準同型暗号に拡張する方法は例えば非特許文献３に示されている。

Ｉ.Damgard and M.Koprowski，"Practical threshold RSA signatures without a trusted dealer,"EUROCRYPT ’01，LNCS 2045，Springer-Verlag，pp.152-165，2001.

［第２の実施の形態］
本実施例は、暗号応用技術は第１の実施の形態と同様であるが、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるものである。

本実施例でも、図１に示すように、アンケート集約サーバＡ、ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u、ｎ人のアンケート回答者Ｕ_i（１≦ｉ≦ｎ）およびＵ_iの端末Ｔ_i、および復号サーバＤからなり、Ｓ_u，Ｔ_i，Ｄはインターネットを介してＡにアクセスできるものとする。なお、ここではｎ人のアンケート回答者が事前に存在するものと仮定しているが、不特定多数が不定期にＡにアクセスしてアンケートに回答するとしても良い。

アンケート集約サーバＡ、アンケート集計管理者端末Ｓ_u、アンケート回答者端末Ｔ_i、復号サーバＤの構成は、第１の実施の形態と同様であるので省略する（図２、図３、図４、図５）。また、暗号鍵対の生成方法、アンケート回答の暗号化方法も第１の実施の形態で示した方法と同様であるため、ここでは説明を省略する。

以下に、複数の設問ｊ₁，…，ｊ_m’について、任意の選択肢ｗ₁，…，ｗ_m’の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im’＝ｗ_m’）となるような回答者の個数を求める方法について説明する。ここでも、簡単のためｍ’＝ｍ、ｊ_u＝ｕとする。図９にその処理フローの一例を示す。
１．各アンケート集計管理者端末Ｓ_uは、乱数生成手段２２０にて１以上ｙ未満の整数からなる乱数ｒ_j，u（ｊ＝１，…，ｍ）を生成し、それらをアンケート集約サーバＡに送信する。
２．アンケート集約サーバＡは、乱数計算手段１１０にて、ｒ_j＝Σ_u=1 ^pｒ_j，u（modｙ）を計算して、それらについて各Ｓ_uが受信できるようにする。また、ＡはＳ_uから受信した全ての乱数ｒ_j，uも各Ｓ_uが受信できるようにする。
３．アンケート集約サーバＡは、暗号計算手段１２０にて、各アンケート回答者端末Ｔ_iから送信されたＥ（ａ_i，1），…，Ｅ（ａ_i，m）を用いて、ｉ＝１，…，ｎについてＥ（α_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij）を計算し、また、ｗ＝Σ_j=1 ^mｒ_jｗ_jを計算する。

なお、アンケート集計管理者端末Ｓ_uが暗号計算手段を備え、任意のＳ_uがアンケート集約サーバＡからＥ（ａ_i，j）を受信してステップ３を実行し、計算結果のＥ（α_i）をＡに送信することでもよい。また、複数のＳ_uが分担してステップ３を実行し、計算結果のＥ（α_i）をＡに送信することでもよい。

４．Ｃ_i，0＝Ｅ（α_i）として、ｕ＝１，…，ｐの順に、アンケート集計管理者端末Ｓ_uは再暗号化撹乱手段２３０にて以下の処理を行う（図８）。
（ａ）ｉ＝１，…，ｎについて、Ｃ_i，u-1をＡから受信して再暗号化する。再暗号化した結果をＣ_i，uとする。
（ｂ）１以上ｎ以下の整数に対する置換関数φ_uを選び、φ_u（１），φ_u（２），…，φ_u（ｎ）の順にＣ_i，uをＡに送信する。
５．アンケート集約サーバＡはＣ_i，uを復号サーバＤが受信できるようにする。
６．復号サーバＤはアンケート集約サーバＡからアンケート集計管理者端末Ｓ_pの出力

を受信し、すなわち

を受信し、復号手段４２０にてそれら全てを復号し、復号結果

をアンケート集約サーバＡに送信する。
７．アンケート集約サーバＡは、復号結果がｗと一致するものの個数ｄを求めて公開する。

以上の手続きにより、アンケート回答者の個別情報ａ_ijについて，アンケート回答者に知られることなく、任意のｗ₁，…，ｗmの組合せについて（ａ_ij＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めることができる。しかも、Ｅ（α_i）の計算は１回でよい。

なお、本実施例の変形例として、次の第３の実施例と同様に閾値準同型暗号を利用し、暗号鍵対生成および復号処理をアンケート集計管理者端末Ｓ_uが行うようにすることもできる。この場合、復号サーバＤが不要となる。

［第３の実施の形態］
本実施例では、図１０に示すように、アンケート集約サーバＡ，ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u、ｎ人のアンケート回答者Ｕ_i（１≦ｉ≦ｎ）およびＵ_iの端末Ｔ_iからなり、Ｓ_u，Ｔ_iはインターネットを介してＡにアクセスできるものとする。ここでもｎ人のアンケート回答者が事前に存在するものと仮定しているが、不特定多数が不定期にＡにアクセスしてアンケートに回答するとしても良い。

図１１はアンケート集計管理者端末Ｓ_uのブロック図を示し、本アンケート集計管理者端末は暗号鍵対生成手段２１０、乱数生成手段２２０、再暗号化・撹乱手段２３０、復号手段２４０、鍵保持手段２５０を具備している。実際には、手段２１０〜２４０はすべてのＳ_uの協力によって機能する。

なお、アンケート集約サーバＡ、アンケート回答者端末Ｔ_iは、先の第１の実施の形態と同様であるので省略する（図２、図４）。

はじめに、各アンケート集計管理者端末Ｍ_u（ｕ＝１，…，ｐ）の暗号鍵対生成手段２１０が協力して閾値準同型暗号の暗号鍵対を生成する。そして、Ｓ_uは秘密鍵ｓｋ_uを鍵保持手段２４０に保持し、Ａは公開鍵ｐｋを公開鍵保持手段１３０に保持する。これにより、全てのｓｋ_uを用いない限りは、ｐｋにより暗号化された暗号文を復号できない。以下に閾値準同型暗号をＥlＧamal暗号としたときの暗号鍵対の生成手続きについて一例を示す。
１．位数ｑの可換群Ｇについて、Ｇの生成元ｇおよび位数ｑがＡ上で公開されている。
２．各Ｓ_uは１以上ｑ未満の整数からなる乱数ｓｋ_uを生成し、その後、

を計算して、ｐｋ_uをＡに送信する。ここでｓｋ_uはＭ_uの秘密鍵となる。
３．Ａはｐｋ＝Π_u=1 ^pｐｋ_uを計算し、ｐｋを公開鍵としてｇ，ｑとともに公開する。

上記の方法はｐ人全てのアンケート管理者が協力しない限り復号できないような暗号鍵対を作成するものであるが、いわゆる閾値秘密鍵分散法を利用すれば（例えば、非特許文献４）、ｐ人のうちｐ’（＜ｐ）人のアンケート管理者が協力することで復号できるように拡張することもできる
Y.Desmedt and Y.Frankel："Threshold cryptosystems,"CRYPTO ’89，LNCS 435，pp.307-315，Springer-Verlag，1990.

次にアンケート回答の暗号化方法について説明する。これは先の第１の実施の形態と基本的に同じである。各アンケート回答者Ｕ_iは端末Ｔ_iを通じてアンケート集約サーバＡにアクセスすると、アンケートファイルＱＦおよび暗号処理プログラムＥＰがＴ_iにダウンロードされる。ＥＰには公開鍵ｐｋが含まれている。ＱＦにはｍ個の設問が記載され、各設問ｊ（ｊ＝１，…，ｍ）に対してｋ_j個の選択肢があり，その中から一つだけ回答を選択できるようになっているものとする。なお、複数の回答を選択できるようにしてもよい。

アンケート回答者Ｕ_iが設問ｊに対してｗ番目の選択肢を回答として選択したとき、当該端末Ｔ_iはＥＰを実行することで、回答ａ_ij＝ｗの暗号文Ｅ（ａ_ij）を計算する。図１２にＥがＥlＧamal暗号である場合における、Ｔ_iによる暗号化処理フローの一例を示す。
１．回答ａ_ij（ｊ＝１，…，ｍ）を入力する。
２．乱数生成手段３１０は、１以上ｑ未満の整数からなる乱数ｘ_j（ｊ＝１，…，ｍ）を生成する。
３．暗号化手段３２０は暗号文Ｅ（ａ_ij）＝（ｇ^xj，ａ_ij×ｐｋ^xj）を計算する。

アンケート回答者端末Ｔ_iは自身が計算したｍ個の暗号文Ｅ（ａ_ij）をアンケート集約サーバＡに送信する。すなわち、Ｔ_iはＥ（ａ_i，1），…，Ｅ（ａ_i，m）をＡに送信する。他のアンケート回答者端末においても同様である。

次に、複数の設問ｊ₁，…，ｊ_m’について、それぞれある選択肢ｗ₁，…，ｗ_m’の組合せｗ₁∧…∧ｗ_m’を選んだ回答者の総数を求める方法について説明する。ここでも、簡単のためｍ′＝ｍ，j_u＝ｕとする。図１３にその処理フローの一例を示す。
１．各アンケート集計管理者端末Ｓ_uは、乱数生成手段２２０にて１以上ｑ未満の整数からなる乱数ｔ_i,u，ｒ_j,u（ｉ＝１，…，ｎ，ｊ＝１，…，ｍ）を生成し、それらをアンケート集約サーバＡに送信する。
２．アンケート集約サーバＡは、乱数計算手段１１０にてｔ_i＝Σ_u=1 ^pｔ_i，u（modｑ），ｒ_j＝Σ_u=1 ^pｒ_j，u（modｑ）を計算して、それらを公開する。また、ＡはＳ_uから受信した全ての乱数も公開する。
３．アンケート集約サーバＡは、暗号計算手段１２０にて、各アンケート回答者端末Ｔ_iから送信されたＥ（ａ_i1），…，Ｅ（ａ_im）を用いて、ｉ＝１，…，ｎについてＥ（ａ_i）＝Ｅ（Π_j=1 ^mａ_ij ^rj）を計算し、また、Ｅ（ｗ）＝Ｅ（Π_j=1 ^mｗ_j ^rj）を計算する。
４．アンケート集約サーバＡは、暗号計算手段１２０にて、ステップ３で生成した暗号文Ｅ（ａ_i），Ｅ（ｗ）を用いて、ｉ＝１，…，ｎについて、Ｅ（α_i）＝Ｅ（（ａ_i/ｗ）^ｔi）を計算する。

なお、本実施例でも、アンケート集計管理者端末Ｓ_uが暗号計算手段を備えて、任意のＳ_uがアンケート集約サーバＡからｗ_jおよびＥ（ａ_i，j）を受信してステップ３、４を実行し、計算結果Ｅ（α_i）をＡに送信することでもよい。また、複数のＳ_uが分担してステップ３、４を実行し、計算結果Ｅ（α_i）をＡに送信することでもよい。

５．Ｃ_ｉ，0＝Ｅ（α_i）として、ｕ＝１，…，ｐの順に、アンケート集計管理者端末Ｓ_uは、再暗号化・撹乱手段２３０にて以下の処理を行う（図８）。
（ａ）ｉ＝１，…，ｎについて、Ｃ_i,u-1をＡから受信して再暗号化する。再暗号化した結果をＣ_i,uとする。
（ｂ）１以上ｎ以下の整数に対する置換関数φ_uを選び、φ_u（１），φ_u（２），…，φ_u（ｎ）の順にＣ_i,uをＡに送信する。
６．アンケート集計管理者端末Ｓ_pの出力

について、全てのアンケート集計管理者端末Ｓ_uの復号手段２４０が協力して復号処理を行う。復号結果はアンケート集約サーバＡに送信される。
７．アンケート集約サーバＡは、復号結果が１であるものの個数ｄを求め，ｄを，ｗ₁∧…∧ｗ_mを選んだ回答者の総数として公開する。

以上の手続きにより、アンケート回答者の個別情報ａ_ijについて，アンケート回答者に知られることなく、かつアンケート集計に係わった計算機Ａ，Ｔ_iの内部で復元されることなく，ａ_ijに対するクロス集計結果を得ることができる。上記の手続きのうちステップ３、４、５、６の詳細を以下に示す。
［ステップ３の詳細］
Ｅ（ａ_ij）＝（ｇ^xj，ａ_ij×ｐｋ^xj）に対して，Ｘ＝Π_j=1 ^m（ｇ^xj）^rj，Ｙ＝Π^m _j=1（ａ_ij×ｐｋ^xj）^rjを計算し、Ｅ（ａi）＝（Ｘ，Ｙ）とする。すると

であるから、Ｅ（ａ_i）はａ_i＝Π_j=1 ^mａ_ij ^rjの暗号文であることが分かる。Ｅ（ｗ）についても同様の方法で計算できる。

［ステップ４の詳細］

について、Ｘ’＝Ｘ^ti，Ｙ’＝（Ｙ／ｗ）^tiを計算し、Ｅ（α_i）＝（Ｘ’，Ｙ’）とする。するとステップ３の詳細と同様な議論により、Ｅ（α_i）はα_i＝（ａ_i／ｗ）^tiの暗号文であることが分かる。

［ステップ５の詳細］
再暗号化の手順について説明する。ここではａに対してＥlＧamal暗号を用いた暗号文Ｅ（ａ）＝（Ｘ，Ｙ）＝（ｇ^r，ａ×ｐｋ^r）の再暗号化について説明する。ここでｒは１以上ｑ未満の整数からなる乱数とする。
１．ｇ，ｑ，ｐｋ，（Ｘ，Ｙ）を入力する。
２．１以上ｑ未満の整数からなる乱数ｚを生成する。
３．Ｘ’＝Ｘ×ｇ^z，Ｙ’＝Ｙ×ｐｋ^zを計算し、（Ｘ’，Ｙ’）を再暗号化データとして出力する。

いまＸ’＝ｇ^r+z，Ｙ’＝ａ×ｐｋ^r+zであるから（Ｘ’，Ｙ’）は（Ｘ，Ｙ）同様ａの暗号文である。このように、平文を変えず、かつ復元することなく、ａの暗号文のデータを変換する処理を再暗号化と呼ぶ。

［ステップ６の詳細］
復号の手順について説明する。ここではａに対してＥlＧamal暗号を用いた暗号文Ｅ（ａ）＝（Ｘ，Ｙ）＝（ｇ^r，ａ×ｐｋ^r）の復号について説明する。ここでｒは１以上ｑ未満の整数からなる乱数とし、（Ｘ，Ｙ）はＡ上で公開されているものとする。
１．各Ｓ_uはＡからＸを受信し、秘密鍵ｓｋ_uを用いて

を計算してそれをＡに送信する。
２．ＡはＸ’＝Π_u=1 ^pＸ_u，Ｙ’＝Ｙ／Ｘ’を計算し、Ｙ’を復号結果として公開する。
いま

であるから、Ｙ’＝ａとなり上記処理は正しくａを復元できていることが分かる。

なお、本実施例の変形例として、先の第１の実施の形態と同様に復号サーバを備えて、暗号鍵対生成および復号処理を復号サーバが行うようにすることもできる。

［第４の実施の形態］
本実施例は、暗号応用技術は第３の実施の形態と同様であるが、先の第２の実施の形態と同様に、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるものである。

本実施例でも、図１０に示すように、アンケート集約サーバＡ，ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u、ｎ人のアンケート回答者Ｕ_i（１≦ｉ≦ｎ）およびＵ_iの端末Ｔ_iからなり、Ｓ_u，Ｔ_iはインターネットを介してＡにアクセスできるものとする。ここでもｎ人のアンケート回答者が事前に存在するものと仮定しているが、不特定多数が不定期にＡにアクセスしてアンケートに回答するとしても良い。

アンケート集約サーバＡ、アンケート集計管理者端末Ｓ_u、アンケート回答者端末Ｔ_iの構成は、第３の実施の形態と同様であるので省略する。また、暗号鍵対の生成方法、アンケート回答の暗号化方法も第３の実施の形態で示した方法と同様であるため、ここでは説明を省略する。

以下に、複数の設問ｊ₁，…，ｊ_m’について、任意の選択肢ｗ₁，…，ｗ_m’の組合せについて、ａijを復元することなく（ａ_j1＝ｗ₁）∧…∧（ａ_jm’＝ｗ_m’）となるような回答者の個数を求める方法について説明する。ここでも、簡単のためｍ′＝ｍ，j_u＝ｕとする。図１４にその処理フローの一例を示す。
１．各アンケート集計管理者端末Ｓ_uは、乱数生成手段２２０にて１以上ｑ未満の整数からなる乱数ｒ_j,u（ｊ＝１，…，ｍ）を生成し、それらをアンケート集約サーバＡに送信する。
２．アンケート集約サーバＡは、乱数計算手段１１０にてｒ_j＝Σ_u=1 ^pｒ_j，u（modｑ）を計算して、それらを公開する。また、ＡはＳ_uから受信した全ての乱数も公開する。
３．アンケート集約サーバＡは、暗号計算手段１２０にて、各アンケート回答者端末Ｔ_iから送信されたＥ（ａ_i1），…，Ｅ（ａ_im）を用いて、ｉ＝１，…，ｎについてＥ（α_i）＝Ｅ（Π_j=1 ^mａ_ij ^rj）を計算し、また、ｗ＝Π_j=1 ^mｗ_j ^rjを計算する。

なお、本実施例でも、アンケート集計管理者端末Ｓ_uが暗号計算手段を備えて、任意のＳ_uがアンケート集約サーバＡからＥ（ａ_i，j）を受信してステップ３を実行し、計算結果Ｅ（α_i）をＡに送信することでもよい。また、複数のＳ_uが分担してステップ３を実行し、計算結果Ｅ（α_i）をＡに送信することでもよい。

４．Ｃ_ｉ，0＝Ｅ（α_i）として、ｕ＝１，…，ｐの順に、アンケート集計管理者端末Ｓ_uは、再暗号化・撹乱手段２３０にて以下の処理を行う（図８）。
（ａ）ｉ＝１，…，ｎについて、Ｃ_i,u-1をＡから受信して再暗号化する。再暗号化した結果をＣ_i,uとする。
（ｂ）１以上ｎ以下の整数に対する置換関数φ_uを選び、φ_u（１），φ_u（２），…，φ_u（ｎ）の順にＣ_i,uをＡに送信する。
５．アンケート集計管理者端末Ｓ_pの出力

について、全てのアンケート集計管理者端末Ｓ_uの復号手段２４０が協力して復号処理を行う。復号結果はアンケート集約サーバＡに送信される。
６．アンケート集約サーバＡは、復号結果がｗと一致するものの個数を求めて公開する。

なお、本実施例の変形例として、先の第１や第２の実施の形態と同様に復号サーバを備えて、暗号鍵対生成および復号処理を復号サーバが行うようにすることもできる。

［第５の実施の形態］
本実施例は、入力データを秘匿したまま排他的論理等の任意の論理回路演算を行うことが可能な秘匿回路計算（Secure Circuit Evaluation；ＳＣＥ）という技術（例えば非特許文献５）を利用するものである。

Go Yamamoto，et al.：Efficient，Non-optimistic Secure Circuit Evaluation Based on the ElGamal Encryption.Proc.of WISA 2005：pp.328-342，2005.

本実施例でも図１０と同様に、アンケート集約サーバＡ，ｐ人のアンケート集計管理者Ｍ_u（ｕ＝１，…，ｐ）およびＭ_uが管理する端末Ｓ_u，ｎ人のアンケート回答者Ｕ_i（１≦ｉ≦ｎ）およびＵ_iの端末Ｔ_iからなり、Ｓ_u，Ｔ_iはインターネットを介してＡにアクセスできるものとする。

はじめに、Ｓ_u（ｕ＝１，…，ｐ）は協力して閾値準同型暗号の暗号鍵対を生成する。そして、Ｓ_uは秘匿鍵ｓ_ｋuを保持し、Ａは公開鍵、ｐｋを保持する。これにより、全てのｓｋ_uを用いない限りは、ｐｋにより暗号化された暗号文を復号できない。本実施例では、閾値準同型暗号を非特許文献５等で用いられている変形ＥlＧamal暗号とする。暗号鍵対の生成手続きは第３の実施の形態で示した方法と同様であるため、ここでは説明を省略する。

次にアンケート回答の暗号化方法について説明する。これは、第１および第３の実施の形態と基本的に同様である。各アンケート回答者Ｕ_iは端末Ｔ_iを通じてアンケート集約サーバＡにアクセスすると、アンケートファイルＱＦおよび暗号処理プログラムＥＰが端末Ｔ_iにダウンロードされる。ＥＰには公開鍵ｐｋが含まれている。ＱＦにはｍ個の設問が記載されている。ここでは、各設問ｊ（ｊ＝１，…，ｍ）に対してｋ_j個の選択肢があり、その中から一つだけ回答を選択できるようになっているものとする。なお、複数の回答を選択できるようにしてもよい。

アンケート回答者Ｕ_iが設問ｊに対してｗ番目の選択肢を回答として選択したとき、当該端末Ｔ_iはＥＰを実行することで、回答ａ_ij＝ｗ＝（ｂ_l-1 ^(ij)…ｂ₀ ^(ij)）₂の暗号文Ｅ（ｂ_l-1 ^(ij)），…，Ｅ（ｂ⁽ ₀ ^ij)）を計算する。ここで（ｂ_l-1 ^(ij)…ｂ₀ ^(ij)）₂はｗの２進数表記を意味する。即ち、ｗを２進数表記したときの最下位ビットがｂ₀ ^(ij)，下位２番目のビットがｂ₁ ^(ij)、最上位ビット（＝下位ｌ（エル）番目のビット）がｂ_l-1 ^(ij)となる。

図１５にＥが非特許文献５で用いられている変形ＥlＧamal暗号である場合における、Ｔ_iによる暗号化処理の一例を示す。
１．回答ｂ_l-1 ^(ij)，…，ｂ₀ ^(ij)（ｊ＝１，…，ｍ）を入力する。
２．１以上ｑ未満の整数からなる乱数ｘ_jk（ｊ＝１，…，ｍ；ｋ＝０，１，…，ｌ−１）を生成する。
３.暗号文

を計算する。

アンケート回答者端末Ｔ_iは自身が計算したｍ×ｌ（エル）個の暗号文Ｅ（ｂ_k ^(ij)）をアンケート集約サーバＡに送信する。他のアンケート回答者端末も同様に、それぞれ回答暗号文をＡに送信する。

次に、ＳＣＥ技術を用いて、複数の設問ｊ₁，…，ｊ_m’について、それぞれある選択肢ｗ₁＝（ｚ_l-1 ⁽¹⁾…ｚ₀ ⁽¹⁾）₂，…，ｗ_m’＝（ｚ_l-1 ^(m’)…ｚ₀ ^(m’)）₂の組合せｗ₁∧…∧ｗ_ｍ’を選んだ回答者の総数を求める方法について説明する。なお、ここでも簡単のためｍ’＝ｍ，ｊ_u＝ｕとする。図１６にその処理フローの一例を示す。
１．ＡはＥ（ｂ_k ^(ij)）について（ｉ＝１，…，ｎ；ｊ＝１，…，ｍ），ｚ_k ^j＝０であればそのまま返し、ｚ_k ^j＝1であればＥ（１−ｂ_k ^(ij)）を計算して返す。返した結果をＥ（ｂ’_k ^(ij)）とする。
２．各Ｓ_uはＡが持つＥ（ｂ’_k ^(ij)）を元に、協力して（ｂ’^(ij)）＝Ｅ（１−（ｂ’₀ ^(ij)∨…∨ｂ’_l-1 ^(ij)）を計算する。
３．各Ｓ_uはＥ（ｂ’^(ij)）を元に、協力してＥ（ｂ’⁽ⁱ⁾）＝Ｅ（ｂ’⁽ⁱ¹⁾∧…∧ｂ’^(im)）を計算し、結果をＡに送信する。
４．ＡはＥ（ｂ’⁽ⁱ⁾）からＥ（ｄ）＝Ｅ（Σ_i=1 ⁿｂ’⁽ⁱ⁾）を計算する。
５．各Ｓ_uは協力してＥ（ｄ）の復号処理を行う。復号結果ｄはＡに送信される。
６．Ａは当該復号結果ｄを、ｗ₁∧…∧ｗ_mを選んだ回答者の総数として公開する。

以上の手続きにより、アンケート回答者の個別情報ａ_ijについて、アンケート回答者に知られることなく、かつアンケート集計に係わった計算機Ａ，Ｔ_iの内部で復元されることなく、ａ_ijに対するクロス集計結果を得ることができる。

上記の手続きについて詳しく説明すると、先ずステップ１，２により、ｉ＝１，…，ｎ；ｊ＝１，…，ｍについて、ａ_ij＝ｗ_jであればｂ’^(ij)＝１、そうでなければｂ’^(ij)＝０となることは明らかである。したがってステップ３により、ｉ＝１，…，ｎについて、（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）であれば、ｂ’⁽ⁱ⁾＝１、そうでなければｂ’⁽ⁱ⁾＝０となる。以上から、ステップ５の復号結果ｄ＝Σ_i=1 ⁿｂ’⁽ⁱ⁾はｗ₁∧…∧ｗ_mを選んだ回答者の総数であることが分かる。ステップ１，２，３の計算については、例えば非特許文献５の方法をそのまま用いれば良く、ここでは説明を省略する。ステップ４については、全ての暗号文を成分ごとに掛け合わせれば良い。ステップ５について以下に詳細な処理手順を示す。

［ステップ５の詳細］
復号の手順について説明する。ここではａに対して変形ＥlＧamal暗号を用いた暗号文Ｅ（ａ）＝（Ｘ，Ｙ）＝（ｇ^r，ｐｋ^a+r）の復号について説明する。ここでｒは１以上ｑ未満の整数からなる乱数とし、（Ｘ，Ｙ）はＡ上で公開されているものとする。
１．各ＳuはＡからＸを受信し、秘密鍵ｓｋ_uを用いてＸ_u＝Ｘ^skuを計算してそれをＡに送信する。
２．ＡはＸ’＝Π_u=1 ^pＸ_u，Ｙ’＝Ｙ／Ｘ’を計算する。このときＹ’＝ｐｋ^aとなる。
３．Ｙ’からａを求める。例えばｐｋ，ｐｋ²，ｐｋ³，ｐｋ⁴，…，ｐｋⁱ，…，と順に計算していき、逐次Ｙ’＝ｐｋⁱかどうか判定し、Ｙ’＝ｐｋⁱであればｉ＝ａとすれば良い。

以上、実施例では、インターネットを通じてアンケートを実施し、アンケート回答内容を秘匿したままクロス集計する例を説明したが、本発明は、アンケートへの適用に限らず、マーケティングその他、個別情報を秘匿する必要のある種々のクロス集計に適用することができる。

なお、実施例で示した装置における各部の一部もしくは全部の処理機能をコンピュータのプログラムで構成し、そのプログラムをコンピュータを用いて実行して本発明を実現することができること、あるいは、実施例で示した処理手順をコンピュータのプログラムで構成し、そのプログラムをコンピュータに実行させることができることは言うまでもない。また、コンピュータでその処理機能を実現するためのプログラム、あるいは、コンピュータにその処理手順を実行させるためのプログラムを、そのコンピュータが読み取り可能な記録媒体、例えば、ＦＤ、ＭＯ、ＲＯＭ、メモリカード、ＣＤ、ＤＶＤ、リムーバブルディスクなどに記録して、保存したり、提供したりすることができるとともに、インターネット等のネットワークを通してそのプログラムを配布したりすることが可能である。

本発明の一実施の形態のシステム構成図。 アンケート集約サーバのブロック図。 アンケート集計管理者端末のブロック図。 アンケート回答者端末のブロック図。 復号サーバのブロック図。 アンケート回答の暗号化処理フローの第１の例。 所定の選択肢の組合せを選んだ回答者の総数を求める処理フローの第１の例。 再暗号化・撹乱処理の概念図。 任意の選択肢の組合せを選んだ回答者の個数を求める処理フローの第１の例。 本発明の別の実施の形態のシステム構成図。 アンケート集計管理者端末の別のブロック図。 アンケート回答の暗号化処理フローの第２の例。 所定の選択肢の組合せを選んだ回答者の総数を求める処理フローの第２の例。 任意の選択肢の組合せを選んだ回答者の個数を求める処理フローの第２の例。 アンケート回答の暗号化処理フローの第３の例。 所定の選択肢の組合せを選んだ回答者の総数を求める処理フローの第３の例。

符号の説明

Ａ アンケート集約サーバ
Ｓ₁〜Ｓ_p アンケート集計管理者端末
Ｔ₁〜Ｔ_n アンケート回答者端末
Ｄ 復号サーバ

Claims (11)

1. 集計管理者装置、集約装置及び復号装置を有し、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、数値ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計処理方法であって、
   集計管理者装置が、乱数ｔ_i，ｒ_j（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成するステップ、
   集約装置が、ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（ａ_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij），Ｅ（ｗ）＝Ｅ（Σ_j=1 ^mｒ_jｗ_j）を計算するステップと、ｉ＝１，…，ｎについて、Ｅ（ａ_i），Ｅ（ｗ）から、Ｅ（α_i）＝Ｅ（ｔ_i（ａ_i−ｗ））を計算するステップ、
   集計管理者装置が、暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化するステップと、前記再暗号化した暗号文の順序をランダムに入れ替えるステップ、
   復号装置が、前記ランダムに入れ替えられた前記再暗号化した暗号文を復号するステップ、
   集約装置が、復号結果が０となるものの個数を求めるステップ、
   を実行することを特徴とする個別情報を秘匿するクロス集計処理方法。
2. 集計管理者装置、集約装置及び復号装置を有し、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計処理方法であって、
   集計管理者装置が、乱数ｔ_i，ｒ_j（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成するステップ、
   集約装置が、ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（ａ_i）＝Ｅ（Π_j=1 ^mａ_ij ^ｒj），Ｅ（ｗ）＝Ｅ（Π_j=1 ^mｗ_j ^ｒj）を計算するステップと、ｉ＝１，…，ｎについて、Ｅ（ａ_i），Ｅ（ｗ）から、Ｅ（α_i）＝Ｅ（（ａ_i／ｗ）^ｔi）を計算するステップ、
   集計管理者装置が、暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化するステップと、前記再暗号化した暗号文の順序をランダムに入れ替えるステップ、
   復号装置が、前記ランダムに入れ替えられた前記再暗号化した暗号文を復号するステップ、
   集約装置が、復号結果が１となるものの個数を求めるステップ、
   を実行することを特徴とする個別情報を秘匿するクロス集計処理方法。
3. 集計管理者装置、集約装置及び復号装置を有し、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計処理方法であって、
   集計管理者装置が、乱数ｒ_j（ｊ＝１，…，ｍ）を生成するステップ、
   集約装置が、ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（α_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij），ｗ＝Σ_j=1 ^mｒ_jｗ_jを計算するステップ、
   集計管理者装置が、暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化するステップと、前記再暗号化した暗号文の順序をランダムに入れ替えるステップ、
   復号装置が、前記ランダムに入れ替えられた前記再暗号化した暗号文を復号するステップ、
   集約装置が、前記の復号結果がｗと一致するものの個数をそれぞれ求めるステップ、
   を実行することを特徴とする個別情報を秘匿するクロス集計処理方法。
4. 集計管理者装置、集約装置及び復号装置を有し、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計方法であって、
   集計管理者装置が、乱数ｒ_j（ｊ＝１，…，ｍ）を生成するステップ、
   集約装置が、ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（α_i）＝Ｅ（Π_j=1 ^mａ_ij ^ｒj），ｗ＝Π_j=1 ^mｗ_j ^ｒjを計算するステップ、
   集計管理者装置が、暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化するステップと、前記再暗号化した暗号文の順序をランダムに入れ替えるステップ、
   復号装置が、前記ランダムに入れ替えられた前記再暗号化した暗号文を復号するステップ、
   集約装置が、前記の復号結果がｗとなるものの個数を求めるステップ、
   を実行することを特徴とする個別情報を秘匿するクロス集計処理方法。
5. 集計管理者装置、集約装置を有し、数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）のビット毎の暗号文Ｅ（ａ_ijk）入力として（Ｅは暗号化関数、ａ_ijkはａ_ijを２進標記した時の下位ビットｋビットとし、ビット長をｌ（エル）とする）、数値ａ_ijkを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計処理方法であって、
   集約装置は、ｉ＝１，…，ｎ、ｊ＝１，…，ｍ、ｋ＝１，…，ｌについて、ｗ_jとＥ（ａ_ijk）を入力として、Ｅ（ｂ_ijk）＝Ｅ（ｗ_jk＋ａ_ijk）（ここで、＋は排他的論理和）を計算するステップ、
   集計管理者装置は、ｉ＝１，…，ｎ、ｊ＝１，…，ｍについて、Ｅ（ｂ_ijk）を入力として、Ｅ（ｂ_ij）＝Ｅ（１−（ｂ_ik1∨…∨ｂ_ijl））を計算するステップと、ｉ＝１，…，ｎについて、Ｅ（ｂ_ij）を入力として、Ｅ（ｂ_i）＝Ｅ（ｂ_i1∧…∧ｂ_im）を計算するステップ、
   集約装置はＥ（ｂ_i）を入力として、Ｅ（ｄ）＝Ｅ（Σ_i=1 ⁿｂ_i）を計算するステップ、
   集計管理者装置はＥ（ｄ）を復号するステップ、
   を実行することを特徴とする個別情報を秘匿するクロス集計処理方法。
6. 数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、数値ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計装置であって、
   乱数ｔ_i，ｒ_j（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（ａ_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij），Ｅ（ｗ）＝Ｅ（Σ_j=1 ^mｒ_jｗ_j）を計算する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i），Ｅ（ｗ）から、Ｅ（α_i）＝Ｅ（ｔ_i（ａ_i−ｗ））を計算する手段と、
   暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化する手段と、
   前記再暗号化した暗号文の順序をランダムに入れ替える手段と、
   前記ランダムに入れ替えられた前記再暗号化した暗号文を復号する手段と、
   復号結果が０となるものの個数を求める手段と、
   を含むことを特徴とする個別情報を秘匿するクロス集計装置。
7. 数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計装置であって、
   乱数ｔ_i，ｒ_j（ｉ＝１，…，ｎ、ｊ＝１，…，ｍ）を生成する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（ａ_i）＝Ｅ（Π_j=1 ^mａ_ij ^ｒj），Ｅ（ｗ）＝Ｅ（Π_j=1 ^mｗ_j ^ｒj）を計算する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i），Ｅ（ｗ）から、Ｅ（α_i）＝Ｅ（（ａ_i／ｗ）^ｔi）を計算する手段と、
   暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化する手段と、
   前記再暗号化した暗号文の順序をランダムに入れ替える手段と、
   前記ランダムに入れ替えられた前記再暗号化した暗号文を復号する手段と、
   復号結果が１となるものの個数を求める手段と、
   を含むことを特徴とする個別情報を秘匿するクロス集計装置。
8. 数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として（Ｅは暗号化関数）、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計装置であって、
   乱数ｒ_j（ｊ＝１，…，ｍ）を生成する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（α_i）＝Ｅ（Σ_j=1 ^mｒ_jａ_ij），ｗ＝Σ_j=1 ^mｒ_jｗ_jを計算する手段と、
   暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化する手段と、
   前記再暗号化した暗号文の順序をランダムに入れ替える手段と、
   前記ランダムに入れ替えられた前記再暗号化した暗号文を復号する手段と、
   前記の復号結果がｗと一致するものの個数をそれぞれ求める手段と、
   を含むことを特徴とする個別情報を秘匿するクロス集計装置。
9. 数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）の暗号文Ｅ（ａ_ij）を入力として、任意のｗ₁，…，ｗ_m（１≦ｗ_j≦ｋ_j）の組合せについて、ａ_ijを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計装置であって、
   乱数ｒ_j（ｊ＝１，…，ｍ）を生成する手段と、
   ｉ＝１，…，ｎについて、Ｅ（ａ_i1），…，Ｅ（ａ_im）、ｗ_jから、Ｅ（α_i）＝Ｅ（Π_j=1 ^mａ_ij ^ｒj），ｗ＝Π_j=1 ^mｗ_j ^ｒjを計算する手段と、
   暗号文Ｅ（α₁），Ｅ（α₂），…，Ｅ（α_n）を再暗号化する手段と、
   前記再暗号化した暗号文の順序をランダムに入れ替える手段と、
   前記ランダムに入れ替えられた前記再暗号化した暗号文を復号する手段と、
   前記の復号結果がｗとなるものの個数を求める手段と、
   を含むことを特徴とする個別情報を秘匿するクロス集計装置。
10. 数値ｗ_j（ｊ＝１，…，ｍ）、および数値ａ_ij（ｉ＝１，…，ｎ）のビット毎の暗号文Ｅ（ａ_ijk）入力として（Ｅは暗号化関数、ａ_ijkはａ_ijを２進標記した時の下位ビットｋビットとし、ビット長をｌ（エル）とする）、数値ａ_ijkを復元することなく（ａ_i1＝ｗ₁）∧…∧（ａ_im＝ｗ_m）となるようなｉの個数を求めるクロス集計装置であって、
    ｉ＝１，…，ｎ、ｊ＝１，…，ｍ、ｋ＝１，…，ｌについて、ｗ_jとＥ（ａ_ijk）を入力として、Ｅ（ｂ_ijk）＝Ｅ（ｗ_jk＋ａ_ijk）（ここで、＋は排他的論理和）を計算する手段と、
    ｉ＝１，…，ｎ、ｊ＝１，…，ｍについて、Ｅ（ｂ_ijk）を入力として、Ｅ（ｂ_ij）＝Ｅ（１−（ｂ_ik1∨…∨ｂ_ijl））を計算する手段と、
    ｉ＝１，…，ｎについて、Ｅ（ｂ_ij）を入力として、Ｅ（ｂ_i）＝Ｅ（ｂ_i1∧…∧ｂ_im）を計算する手段と、
    Ｅ（ｂ_i）を入力として、Ｅ（ｄ）＝Ｅ（Σ_i=1 ⁿｂ_i）を計算する手段と、
    Ｅ（ｄ）を復号する手段と、
    を含むことを特徴とする個別情報を秘匿するクロス集計装置。
11. 請求項６乃至１０のいずれか１項に記載の個別情報を秘匿するクロス集計装置の各手段としてコンピュータを機能させるためのプログラム。

Images