JP5907902B2 - 秘密計算による表の等結合システム、方法 - Google Patents

Description

本発明は、秘密計算によって、表に含まれる情報を秘密にしたまま、複数の表に共通のキー属性を鎹として複数の表の等結合を行う等結合技術に関する。

暗号化された数値を復元することなく指定された演算の演算結果を得る方法として、秘密計算と呼ばれる方法がある（例えば非特許文献１参照）。非特許文献１の方法では、数値を復元することのできる複数の情報を３つの秘密計算装置に分散するという暗号化を行い、数値を復元することなく、加減算、定数和、乗算、定数倍、論理演算（否定、論理積、論理和、排他的論理和）、データ形式変換（整数、二進数）の結果を３つの秘密計算装置に分散された状態、すなわち暗号化されたまま保持させることができる。一般に、分散数は３に限らずＰ（Ｐは３以上の所定の定数）とすることができ、Ｐ個の秘密計算装置による協調計算によって秘密計算を実現するプロトコルはマルチパーティプロトコルと呼ばれる。

ところで、表に対するデータベース処理では多くの場合、データは複数の属性値（属性に対応する値であり、表１の例では属性であるID、契約、住所、身長、体重のそれぞれの具体的な値“１”,“東京都”,“１８２”,“６２”などである）の組からなるレコード（表１に例示される表の各行のこと）の集合からなる表単位で管理される。データベース処理で重要な処理の一つに等結合がある。等結合は、表１のような複数の表を入力とし、キーと呼ばれる属性（キー属性）の値（キー属性値）がすべての表で共通のレコードを抜き出して、これらを横に並べた新しい表を得る計算である。例えば、表１の各表を、各表に共通のキー属性（この例ではID）を基準として等結合を行うと表２のような表が得られる。関係データベースではデータを多くの小さな表に分割して管理し、利用時に必要な表を等結合して処理を行うことが一般的であり、等結合は非常に重要な処理である。

秘密計算によって表の結合を実現した方法として、非特許文献２の方法や非特許文献３の方法がある。非特許文献２の方法では、まず入力された複数の表の直積を計算し、その後、結合後の表に含まれない行を削除することにより、出力の表の大きさを秘密にしたまま表の結合を実現している。非特許文献３の方法では、各表のキー属性値を並べてソートすることによって効率よく表の結合を実現している。

千田浩司、濱田浩気、五十嵐大、高橋克巳、"軽量検証可能３パーティ秘匿関数計算の再考"、In CSS、2010． 志村正法、遠藤つかさ、宮崎邦彦、吉浦裕、"安全で機能制限のないデータベースを実現するマルチパーティプロトコルを用いた関係代数演算"、情報処理学会研究報告、CSEC、Vol. 2008、No. 71、pp.187-193、2008. 濱田浩気、菊池亮、五十嵐大、千田浩司、"秘匿計算上の結合アルゴリズム"、人工知能学会全国大会（第２６回）論文集、June 2012.

しかしながら、従来技術は表の大きさを秘密にすることと計算効率を両立させることができなかった。

秘密計算がマルチパーティプロトコルで実現されるものとして計算効率の評価を行う場合、マルチパーティプロトコルは複数のパーティ間で通信を行いながら協調計算を行う方式であり、一般的なシステム構成では各パーティが単独で行うローカルの計算に比べて通信に要する時間が著しく大きいので、ローカルの計算は無視できるものとみなせる。従って、通信したデータの量（通信量）の尺度で計算効率の評価を行う。このとき、非特許文献２の方法は、出力の表の大きさを秘密にすることができるが、表の数をh、各表の行数をそれぞれm_i(1≦i≦h)とすると、通信量がＯ(Π_1≦i≦h m_i)と膨大になってしまうという課題がある。非特許文献３の方法は、m=Σ_1≦i≦h m_iとすると、通信量がＯ(m log m)であるが、入出力の表の大きさを秘密にすることができない。また、非特許文献３の方法は３つ以上の表の等結合が可能であるが、非特許文献２の方法は２つの表の等結合を行う方法であり、３つ以上の表の等結合を行う場合、２つの表の等結合を繰り返し実行しなくてはならず非効率である。

そこで本発明は、秘密計算によって、表に含まれる情報を秘密にしたまま、効率良く、２つ以上の表を、表の大きさが秘密にされた表に等結合する等結合技術を提供することを目的とする。

本発明の等結合技術は、次のとおりである。
複数の秘密計算装置による協調計算によって、q個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードといい、ダミーの行を空レコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するためのベクトルg^→（以下、空フラグという）の秘匿文[[g^→]]を出力する等結合技術であり、複数の秘密計算装置の協調計算によって、各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成し、[[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成し、各整数i∈[1,q)について、
（a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[S]]と[[T_i']]のキー属性を連結したベクトル[[k^→]]を作成し、
（b） ([[t^→]],[[s^→]],[[s^→']])を[[k^→]]に従って安定ソートし、
（c） [[u^→]]を、

として定め、
（d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
（e） [[u^→]]を復元してu^→を得て、
（f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]を並べたベクトル[[f^→ _i]]を作成し、各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得て、[[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]||[[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]=[[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）。

あるいは、複数の秘密計算装置による協調計算によって、大きさが秘匿されたq個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とし、各表は、行にダミーの行（以下、ダミーの行を空レコードという）を含み、列に空レコードの位置を特定するための列ベクトルである空フラグを含んでいるとする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するための空フラグg^→の秘匿文[[g^→]]を出力する等結合技術であって、複数の秘密計算装置の協調計算によって、各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成し、[[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成し、
各整数i∈[1,q)について、
（a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[t^→']]:=[[*]]^m0+mi||[[t^→ _S]]、[[S]]と[[T_i']]のキー属性値を連結したベクトル[[k^→]]、[[S]]と[[T_i]]と[[S_i']]の空フラグを連結したベクトル[[z^→]]を作成し（ただし、[[*]]は任意の秘匿文である）、
（b） ([[t^→]],[[s^→]],[[s^→']],[[z^→]],[[t^→']])を([[z^→]],[[k^→]])に従って安定ソートし（ただし、([[z^→]],[[k^→]])は、[[z^→]][j]||[[k^→]][j]をj番目の要素とする(m₀+m_i+m₀)行1列の列ベクトルである）、
（c） [[u^→]]を

として定め、
（d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
（e） [[u^→]]を復元してu^→を得て、
（f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]∨[[z^→]][j]を計算して並べたベクトル[[f^→ _i]]を作成し、各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得て、[[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]||[[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]=[[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）。

本発明に拠れば、詳細は後述の実施形態に譲るが、秘密計算によって、表に含まれる情報を秘密にしたまま、効率良く、２つ以上の表を、表の大きさが秘密にされた表に等結合することができる。

実施形態における等結合の処理手順を示す図。

本発明の実施形態を説明する。
後述する等結合アルゴリズムは、既存の秘密計算上の演算の組み合わせで構築される。この等結合アルゴリズムが必要とする演算は、秘匿化、復元、加算、減算、乗算、ランダム置換、安定ソートである。秘匿化、復元、加算、減算、乗算は例えば上記非特許文献１を、ランダム置換は例えば参考文献１を、安定ソートは例えば参考文献２に従えばよい。
（参考文献１）Sven Laur, Jan Willemson, and Bingsheng Zhang. "Round-efficient oblivious database manipulation" In Xuejia Lai, Jianying Zhou, and Hui Li, editors, ISC, Vol. 7001 of LNCS, pp. 262-277. Springer, 2011.
（参考文献２）濱田浩気、五十嵐大、千田浩司、高橋克巳、“秘匿関数計算上の線形時間ソート”、In SCIS、pp.1-7、2011.

＜定義と記法＞
以下、値はすべて有限環Z_N上の値とする。ベクトルa^→とベクトルb^→を連結したベクトルをa^→||b^→と書く。すなわち、a^→=(a₁,…,a_m)^T、b^→=(b₁,…,b_n)^Tのとき、a^→||b^→=(a₁,…,a_m,b₁,…,b_n)^Tである。Tは転置の記号である。特に断りがない限り、(a^→ ₁,…,a^→ _Z)は、a^→ _i=(a_1,i,…,a_m,i)^T（i=1,…,Z）とすると、ｍ行Ｚ列の行列を表す。行列Mのi行目の行ベクトルをM[i]と表記する。ベクトルv^→のj番目の要素をv^→[j]と表記する。

＜秘匿化と復元＞
a∈Z_Nを暗号化や秘密分散などの手段で秘匿化して得られた情報を[[a]]と表記する。ここで、Ｐ個の秘密計算装置による秘密計算を前提とすると、a∈Z_Nは複数（例えばＰ₁個）の秘密値に分散されており、[[a]]は複数の秘密値a_i（i∈{1,2,…,P₁}）の集合を表している。各秘密計算装置は、各装置に割り当てられた秘密値a_i（i∈{1,2,…,P₁}）の一部を保有しているが、秘密値a_i（i∈{1,2,…,P₁}）の全部を保有していないものとする。[[a]]をaの秘匿文などと呼称し、aを秘匿文[[a]]の平文などと呼称する。ベクトルv^→=(v₁,…,v_n)の各要素を秘匿化したベクトル([[v₁]],…,[[v_n]])を[[v^→]]と表記する。ベクトル[[u^→]]=([[u₁]],…,[[u_m]])とベクトル[[v^→]]=([[v₁]],…,[[v_n]])を結合したベクトル([[u₁]],…,[[u_m]],[[v₁]],…,[[v_n]])を[[u^→]]||[[v^→]]と書く。aの秘匿文[[a]]をn個並べた秘匿文のベクトル([[a]],…,[[a]])を[[a]]ⁿと略記する。行列Aの各要素を秘匿化した行列を[[A]]と表記する。

＜加算、減算、乗算＞
加算、減算、乗算の各演算は２つの値a,b∈Z_Nの秘匿文[[a]],[[b]]を入力とし、それぞれa+b、a-b、abの計算結果cの秘匿文[[c]]を計算する。これらの演算の実行をそれぞれ
[[c]] ← Add([[a]],[[b]]),
[[c]] ← Sub([[a]],[[b]]),
[[c]] ← Mul([[a]],[[b]])
と記述する。誤解を招く恐れのない場合は、Add([[a]],[[b]])、Sub([[a]],[[b]])、Mul([[a]],[[b]])をそれぞれ[[a]]+[[b]]、[[a]]-[[b]]、[[a]]×[[b]]と略記する。

＜論理和＞
論理和の演算は２つの値a,b∈{0,1}の秘匿文[[a]],[[b]]を入力とし、aとbの論理和cの秘匿文[[c]]を計算する。この演算の実行を
[[c]] ← [[a]] OR [[b]]
と記述し、ここでは
[[c]] ← [[a]]+[[b]]-[[a]]×[[b]]
の計算によって実現する。

＜ランダム置換＞
ランダム置換はベクトルの要素をランダムな順序で並べ替えたベクトルを出力する演算である。ここで扱う秘密計算でのランダム置換演算は、複数の秘匿化されたベクトルに対して同一のランダム置換を施す。すなわち、k個（1≦k）の大きさnのベクトルa^→(1),…,a^→(k)∈Z_N ⁿの秘匿文[[a^→(1)]],…,[[a^→(k)]]を入力とし、等結合システムに含まれるいずれの装置（全ての秘密計算装置を含む）も知ることのできないランダムな全単射π_r:{1,…,n}→{1,…,n}についてb⁽ⁱ⁾ _πr(j)=a⁽ⁱ⁾ _j（1≦i≦k;1≦j≦n）を満たすベクトルb^→(1),…,b^→(k)∈Z_N ⁿの秘匿文[[b^→(1)]],…,[[b^→(k)]]を計算する。

＜安定ソート＞
ソートはベクトルの要素を昇順に並べ替えたベクトルを出力する演算である。入力のベクトルk^→=(k₁,…,k_n)に対して出力されるベクトルh^→=(h₁,…,h_n)はh₁≦…≦h_nを満たすk^→の要素を並べ替えたベクトルである。安定ソートは、ソート演算で同じ値が存在した場合に同じ値の要素同士の順序を保存する演算である。k^→とh^→の各要素はある全単射π_s:{1,…,n}→{1,…,n}についてh_πs(i)=k_i（1≦i≦n）を満たしており、安定ソートでは
π_s(i)<π_s(j) ⇔ (k_i<k_j) ∨ (k_i=k_j ∧ i<j)
が成り立つ。
ここで扱う秘密計算上の安定ソート演算は、複数のベクトルを入力とし、キーとするベクトルの要素の並べ替えに従って他のベクトルの要素の並べ替えを行う。すなわち、安定ソートのキーとする大きさnのベクトルk^→∈Z_N ⁿとg個（1≦g）の大きさnのベクトルa^→(1),…,a^→(g)∈Z_N ⁿの秘匿文[[k^→]],[[a^→(1)]],…,[[a^→(g)]]を入力とし、ベクトルk^→を安定ソートしたときの並べ替えに従って各ベクトルa^→(1),…,a^→(g)の要素を並べ替えたベクトルb^→(1),…,b^→(g)∈Z_N ⁿの秘匿文[[b^→(1)]],…,[[b^→(g)]]を計算する。

＜表の大きさの秘匿＞
次に、表の大きさを秘密にする方法を説明する。ここで、表の大きさは表に含まれる行の数、つまり、レコード数である。表の大きさの秘匿は、本来の表に余分な偽物（ダミー）のレコード（空レコードと呼称する）を追加することによって実現する。表の真の大きさを推測できないようにするためには、表の大きさが本来の表が取り得る最大のレコード数以上となるように空レコードを追加すればよい。等結合は入力の表T₀,…,T_q-1を等結合して得られる出力の表Rが|R|≦min(|T₀|,…,|T_q-1|)を満たすので、出力の表の大きさがmin(|T₀|,…,|T_q-1|)となるように空レコードを追加することで本来の出力の表の大きさを秘匿できる。

空レコードと通常のレコードの区別のため、大きさを秘匿された表に対して、空フラグと呼ぶベクトルを付与する。空フラグは、表の（見かけ上の）レコード数と同じ数の要素を持ち、第iレコードが空レコードならば第i要素が1、第iレコードが空レコードでないならば第i要素が0であるベクトルの秘匿文である。

《実施形態１》
実施形態１の等結合処理の入力はそれぞれ行列として与えられたq個の表T₀,…,T_q-1の秘匿文[[T₀]],…,[[T_q-1]]である。一般性を失うことなく、T₀をレコード数が最小の表、各表の１列目を各表に共通のキー属性（例えばID）を表す列とする。実施形態１では、これら入力の表は大きさが秘匿されていない表である。

実施形態１では、等結合システムに含まれる複数の秘密計算装置の協調計算による秘密計算によって、q個の表T₀,…,T_q-1から、各表に共通のキー属性値（例えばIDの値）を持つ行（レコード）を抜き出して、キー属性値ごとに同じ行になるように並べ替え、空レコードが追加された新しい表R（等結合された表）と空フラグを表す列ベクトルg^→の秘匿文である[[R]]と[[g^→]]を得る。但し、各表は属性値を要素とする行列として表示され、T_iはm_i×n_i行列(0≦i<q)、Rはm_∩×n行列とする。ここで、m_∩はm_∩=min(m₀,…,m_q-1)、nはn=Σ_i=0 ^q-1 n_iである。また、各表では、それぞれ、キー属性値に重複はないものとする。すなわち、T_i(0≦i<q)の１列目の値はすべて異なるものとする。なお、キー属性値を有限環Z_Nの要素として扱うことから、Nはレコード数の総和m=Σ_i=0 ^q-1 m_iに対してm<Nとなるように決められているとする。

実施形態１では、上記非特許文献３と同様に、各表のレコードにタグを付与し、秘密計算によって、異なる表の間で同一のキー属性値を持つレコードのタグ同士を対応付け、後の処理でタグを公開してレコードの並べ替えを行うことによって等結合処理を実現する。ただし、等結合後の表の大きさを秘匿するために、秘匿された表[[T₀]]に含まれるレコードに対応するレコードが[[T_i]]に含まれない場合にもタグの対応付けを行う必要がある。この問題を解決するために、表T_iに表T₀と同じレコード数の表S_i'を加えて拡張し、必ず対応付けができるようにする。

実施形態１の等結合アルゴリズムを以下に示す。
入力はq個の表T₀,…,T_q-1の秘匿文[[T₀]],…,[[T_q-1]]であり、特にT₀をSと表記することにする。出力はT₀,…,T_q-1を等結合して空レコードを加えた表Rの秘匿文[[R]]と、表Rの空フラグを表す列ベクトルg^→の秘匿文[[g^→]]である。

ステップＳ１
各整数i∈[1,q)について、レコード数が[[S]]のレコード数と同じで、[[S]]と[[T_i]]とに共通の属性を含む秘匿化された表[[S_i']]を作成する。表[[S_i']]は、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値をそのまま用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、作られる。この結果、[[S_i']]の属性の数は[[T_i]]の属性の数と等しくなる。[[T_i]]と[[S_i']]を縦に並べて接続した表を[[T_i']]とする。

この処理を平文の状態で例示する。ここではq=3、表T₀=Sの属性を１列目から順にキー属性、Ｘ、Ｙとし、表T₁の属性を１列目から順にキー属性、Ｚ、Ｙとし、表T₂の属性を１列目から順にキー属性、Ｗとして、具体的には、下記のとおりに与えられているとする。

[[S]]と[[T₁]]とに共通の属性（キー属性とＹ）については、その属性値として[[S]]の値をそのまま用い、[[S]]と[[T₁]]とに共通しない属性については、その属性値として任意の秘匿値を用いて、表[[S₁']]が作成されるので、任意の秘匿値の平文を＊と表記すると、表S₁'は下記のようになる。同様に、[[S]]と[[T₂]]とに共通の属性（キー属性）については、その属性値として[[S]]の値をそのまま用い、[[S]]と[[T₂]]とに共通しない属性については、その属性値として任意の秘匿値を用いて、表[[S₂']]が作成されるので、任意の秘匿値の平文を＊と表記すると、表S₂'は下記のようになる。よって、[[T₁]]と[[S₁']]を縦に並べて接続した表[[T₁']]と、[[T₂]]と[[S₂']]を縦に並べて接続した表[[T₂']]の、それぞれの平文T₁'、T₂'は下記のようになる。

ステップＳ２
[[S]],[[T₁']],…,[[T_q-1']]に対してランダム置換済みの秘匿化されたベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成する。具体的には、まず、表[[S]],[[T₁']],…,[[T_q-1']]のそれぞれに対して対応する表の各レコードに対応する要素を持つ任意のベクトルt^→ _S,t^→ _T1',…,t^→ _Tq-1'を定め、これらのベクトルt^→ _S,t^→ _T1',…,t^→ _Tq-1'を秘匿化して[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を得て、次いで、[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]をそれぞれランダム置換して、ランダム置換後のベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を得る。これらベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]をタグベクトルと呼称する。各タグベクトルは対応する表のレコード数と同じ要素数のベクトルの秘匿文である。各タグベクトルの平文の要素（タグ）は同じ値を含まない。また、第１実施形態では、各タグベクトルの平文の要素は、後に説明するステップＳ３(c)の処理で、j≠0のときに[[u^→]][j]の平文が0にならないような値とする。ここで説明する例であれば、各タグベクトルの平文の要素はゼロを含まないようにすればよい。

上記の例に対応するタグベクトルの平文の例を下記に示す。

ステップＳ３
各整数i∈[1,q)について、以下を実行する。
（a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[S]]と[[T_i']]のキー属性値を連結したベクトル[[k^→]]を作成する。
（b） ([[t^→]],[[s^→]],[[s^→']])を[[k^→]]に従って安定ソートする。
（c） 以下のように定めた[[u^→]]を作成する。

（d） [[u^→]],[[t^→]],[[s^→']]を列方向に並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換する。
（e） [[u^→]]を復元してu^→を得る。
（f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]を並べたベクトル[[f^→ _i]]を作成する。

上記の例に対応するステップＳ３の処理結果の平文の例を下記に示す。
i=1の場合は、(a)の終了段階では下記のベクトルが得られる。

i=1の場合は、(b)(c)の終了段階では下記のベクトルが得られる。

i=1の場合は、(f)の終了段階では下記のベクトルが得られる。なお、この例では簡単のため、(d)のランダム置換は無変換とした（ランダム置換の結果が偶然にも元の状態と同じになったと考える）。

同様に、i=2の場合は、(f)の終了段階では下記のベクトルが得られる。

ステップＳ４
各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換し、タグベクトル[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得る。

ステップＳ５
[[R]]の第j行（1≦j≦m₀）である[[R]][j]を、
[[R]][j]=[[S]][j]||[[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]
で計算することによって出力の表[[R]]を作成する。ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t^→ _i[h_j,i]=t^→ _Ti'[w_j,i]を満たす値であり、h_j,iは、t^→ _S[j]=u^→ _i[h_j,i]を満たす値である。この処理の具体的な手順としては、最初にjを定め、次いで、t^→ _S[j]=u^→ _i[h_j,i]を満たす値h_j,iをステップＳ３(f)の処理で得られたu^→ _iから探し出し、次いで、t^→ _i[h_j,i]=t^→ _Ti'[w_j,i]を満たす値w_j,iをステップＳ３(f)の処理で得られたt^→ _iとステップＳ４の処理で得られたt^→ _Ti'とを用いて探し出し、[[T_i']][w_j,i]を特定する。
また、[[g^→]]の第j要素である[[g^→]][j]を、
[[g^→]][j]=[[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する。ただし、y_i,jは、t^→ _S[j]=u^→ _i[y_1,j]を満たす値である。この処理の具体的な手順としては、最初にjを定め、次いで、t^→ _S[j]=u^→ _i[y_1,j]を満たす値y_i,jをステップＳ３(f)の処理で得られたu^→ _iから探し出し、[[f^→ _i]][y_i,j]を特定する。

上記の例に対応する表[[R]]と空フラグ[[g^→]]の平文の例を下記に示す。

＜正当性＞
秘匿化された表[[S]]と[[T_i']]に対する処理の結果、Sのレコードの各タグに対して対応するT_i'のレコードの異なるタグが計算され、さらにT_iに含まれないT_i'のレコードに限って対応するベクトルf^→ _iの要素が１となっていることを確認する。
キー属性値はS、T_i、S_i'の各表で重複がないため、キー属性値はどの値も高々３回しか現れず、さらに、ステップＳ３(b)での安定ソート後には、ソートの安定性から、ベクトルk^→にて同じキー属性値はSのキー属性値、T_iのキー属性値、S_i'のキー属性値の順で連続出現する。具体的には、Sに含まれるキー属性値aがT_iに含まれる場合、キー属性値aはステップＳ３(b)での安定ソート後にはベクトルk^→にてSのキー属性値a、T_iのキー属性値a、S_i'のキー属性値aの順で連続出現し、Sに含まれるキー属性値aがT_iに含まれない場合、キー属性値aはステップＳ３(b)での安定ソート後にはベクトルk^→にてSのキー属性値a、S_i'のキー属性値aの順で連続出現する。よって、安定ソート直後の列ベクトルk^→においてSのキー属性値の一つ下のキー属性値に対応するタグベクトルt^→ _iの要素（タグ）で指定されるレコードは、元々T_iまたはS_i'に含まれていたレコードである（復元されるu^→ _iはSに含まれるレコードに対応する全てのタグを要素に持つタグベクトルであり、復元されるt^→ _iはT_i'に含まれるレコードに対応するタグの全部または一部を要素に持つベクトルであり、u^→[j]≠0を満たす各jについて、u^→ _i[j]とt^→ _i[j]の対はSの各タグと対応するT_i'の異なるタグの対になっている）。さらに、f^→ _iの各要素の値はs^→'の対応する要素の値と一致するため、T_iに含まれないT_i'のレコードに限って対応するベクトルf^→ _iの要素が１となる。

＜安全性＞
上記の等結合アルゴリズムが用いたプロトコルはすべてsemi-honestな攻撃者に対して安全である。従って、等結合アルゴリズムの安全性を確認するには、等結合アルゴリズム中で開示される値から情報が漏れていないことを確認すれば十分である。等結合アルゴリズム中で開示されるのは、ステップＳ３(e)のu^→、ステップＳ３(f)のt^→ _i、ステップＳ４のタグである。u^→はu^→ _iと0のみからなり、既述のように、u^→ _i[j]とt^→ _i[j]の対はSの各タグと対応するT_i'の異なるタグの対になっている。タグの値は表のデータ（属性値）との相関性が無い。また、ステップＳ４で復元されるタグベクトルも、タグベクトルをランダム置換してから復元したものである。これらの値はタグの対応と順序を一様ランダムに決めたものと区別ができない。従って、等結合アルゴリズム中で開示される値から情報が漏れておらず、この等結合アルゴリズムはsemi-honestな攻撃者に対して安全である。

＜計算コスト＞
既述の秘密計算の場合を例にして計算コストの評価を行う。多くのデータベース処理では属性数がレコード数に比べて非常に小さい表を対象とするため、表の属性数すなわち行列の列数は定数とみなす。また、属性値を環Z_Nの要素として扱うため、環Z_Nはレコード数の総和mに対してm<Nとなるように決められているとする。参考文献３による比較プロトコルを単位とすると、秘匿化、復元、加算、減算、乗算の通信量は比較プロトコル換算で定数である。要素数nのランダム置換の通信量は比較プロトコル換算でＯ(n)、要素数nの安定ソートの通信量は比較プロトコル換算でＯ(n log n)である。従って、実施形態１の等結合アルゴリズムの通信量は比較プロトコル換算でＯ(m log m)である。

《実施形態２》
実施形態２では、大きさが秘匿された表が入力された場合にも対応できるように実施形態１を拡張する。入力の表の大きさを秘匿する方法は、前述の表の大きさを秘匿する方法と同じである。すなわち、入力の各表[[T_i]]は、行に空レコードを含み、列に属性として空フラグを含んでいるとする。実施形態１からの変更点は、入力の表が大きさの秘匿された表であることとステップＳ３の処理である（ステップＳ１、ステップＳ２、ステップＳ４、ステップＳ５の各処理は実施形態１と同じである）。

ステップＳ３は以下のように変更される。
ステップＳ３
各整数i∈[1,q)について、以下を実行する。
（a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[t^→']]:=[[*]]^m0+mi||[[t^→ _S]]、[[S]]と[[T_i']]のキー属性値を連結したベクトル[[k^→]]、[[S]]と[[T_i]]と[[S_i']]の空フラグを連結したベクトル[[z^→]]を作成する。ただし、[[*]]は任意の秘匿文である。
（b） ([[t^→]],[[s^→]],[[s^→']],[[z^→]],[[t^→']])を([[z^→]],[[k^→]])に従って安定ソートする。ただし、([[z^→]],[[k^→]])は、[[z^→]][j]||[[k^→]][j]をj番目の要素とする(m₀+m_i+m₀)行1列の列ベクトルである。
（c） 以下のように定めた[[u^→]]を作成する。

（d） [[u^→]],[[t^→]],[[s^→']]を列方向に並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換する。
（e） [[u^→]]を復元してu^→を得る。
（f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]∨[[z^→]][j]を計算して並べたベクトル[[f^→ _i]]を作成する。

実施形態２の処理の具体例を平文の状態で例示する。ここではq=2、表T₀=Sの属性を１列目から順に空フラグ、キー属性、Ｘ、Ｙとし、表T₁の属性を１列目から順に空フラグ、キー属性、Ｚ、Ｙとして、具体的には、下記のとおりに与えられているとする。

このときステップＳ１の処理の終了段階では下記の情報が得られる。

上記の例に対応するタグベクトルの平文の例を下記に示す。

上記の例に対応するステップＳ３の処理結果の平文の例を下記に示す。
(a)の終了段階では下記のベクトルが得られる。

(b)(c)の終了段階では下記のベクトルが得られる。

(f)の終了段階では下記のベクトルが得られる。

上記の例に対応する表[[R]]と空フラグ[[g^→]]の平文の例を下記に示す。

＜正当性、秘匿性＞
実施形態２の等結合アルゴリズムの正当性と秘匿性は実施形態１と同様に確認できる。

＜計算コスト＞
実施形態１からの変更点はステップＳ３の処理である。この変更によって、秘匿された値の個数が定数倍、[[u^→]]の計算は定数倍、ソート対象データが定数倍、ランダム置換対象データが定数倍、それぞれ増加しており、[[f^→ _i]]の計算には新たに入力の表のレコード数の総和に比例する論理和の計算が追加されている。従って、実施形態２の等結合アルゴリズムも実施形態１の等結合アルゴリズムと同様に、入力の表のレコード数の総和をmとすると通信量は比較プロトコル換算でＯ(m log m)である。

［等結合システム］
実施形態の等結合システムは、Ｐ個（Ｐは３以上の所定の整数）の秘密計算装置を含む。これらの各秘密計算装置は、例えば、インターネットなどの通信網あるいは同報通信路などを経由して、相互に通信可能とされている。
各秘密計算装置は、等結合アルゴリズムで必要とされる演算、つまり、少なくとも秘匿化、復元、加算、減算、乗算、ランダム置換、安定ソートを実行できるように構成されている。本発明において個々の演算を実現するための具体的な機能構成は、例えば上記非特許文献１、上記参考文献１、上記参考文献２のそれぞれで開示されるアルゴリズムを実行できるような構成で十分であり、これらは従来的構成であるから説明を省略する。

＜補記＞
等結合システムに含まれうるハードウェアエンティティ（秘密計算装置）は、キーボードなどが接続可能な入力部、液晶ディスプレイなどが接続可能な出力部、ハードウェアエンティティの外部に通信可能な通信装置（例えば通信ケーブル）が接続可能な通信部、ＣＰＵ（Central Processing Unit）〔キャッシュメモリやレジスタなどを備えていてもよい〕、メモリであるＲＡＭやＲＯＭ、ハードディスクである外部記憶装置並びにこれらの入力部、出力部、通信部、ＣＰＵ、ＲＡＭ、ＲＯＭ、外部記憶装置の間のデータのやり取りが可能なように接続するバスを有している。また必要に応じて、ハードウェアエンティティに、ＣＤ−ＲＯＭなどの記録媒体を読み書きできる装置（ドライブ）などを設けるとしてもよい。このようなハードウェア資源を備えた物理的実体としては、汎用コンピュータなどがある。

ハードウェアエンティティの外部記憶装置には、上述の機能を実現するために必要となるプログラムおよびこのプログラムの処理において必要となるデータなどが記憶されている（外部記憶装置に限らず、例えばプログラムを読み出し専用記憶装置であるＲＯＭに記憶させておくなどでもよい）。また、これらのプログラムの処理によって得られるデータなどは、ＲＡＭや外部記憶装置などに適宜に記憶される。

ハードウェアエンティティでは、外部記憶装置〔あるいはＲＯＭなど〕に記憶された各プログラムとこの各プログラムの処理に必要なデータが必要に応じてメモリに読み込まれて、適宜にＣＰＵで解釈実行・処理される。

各実施形態で説明したハードウェアエンティティの細部においては、数論における数値計算処理が必要となる場合があるが、数論における数値計算処理自体は、周知技術と同様にして達成されるので、その演算処理方法などの詳細な説明は省略した（この点の技術水準を示す数論における数値計算処理が可能なソフトウェアとしては、例えばＰＡＲＩ／ＧＰ、ＫＡＮＴ／ＫＡＳＨなどが挙げられる。ＰＡＲＩ／ＧＰについては、例えばインターネット〈URL: http://pari.math.u-bordeaux.fr/〉［平成24年12月26日検索］を参照のこと。ＫＡＮＴ／ＫＡＳＨについては、例えばインターネット〈http://www.math.tu-berlin.de/~kant/kash.html〉［平成24年12月26日検索］を参照のこと）。
また、この点に関する文献として、参考文献Ａを挙げることができる。
（参考文献Ａ）H. Cohen, "A Course in Computational Algebraic Number Theory", GTM 138, Springer-Verlag, 1993.

本発明は上述の実施形態に限定されるものではなく、本発明の趣旨を逸脱しない範囲で適宜変更が可能である。また、上記実施形態において説明した処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されるとしてもよい。

また、上記実施形態において説明したハードウェアエンティティにおける処理機能をコンピュータによって実現する場合、ハードウェアエンティティが有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記ハードウェアエンティティにおける処理機能がコンピュータ上で実現される。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。具体的には、例えば、磁気記録装置として、ハードディスク装置、フレキシブルディスク、磁気テープ等を、光ディスクとして、ＤＶＤ（Digital Versatile Disc）、ＤＶＤ−ＲＡＭ（Random Access Memory）、ＣＤ−ＲＯＭ（Compact Disc Read Only Memory）、ＣＤ−Ｒ（Recordable）／ＲＷ（ReWritable）等を、光磁気記録媒体として、ＭＯ（Magneto-Optical disc）等を、半導体メモリとしてＥＥＰ−ＲＯＭ（Electronically Erasable and Programmable-Read Only Memory）等を用いることができる。

また、このプログラムの流通は、例えば、そのプログラムを記録したＤＶＤ、ＣＤ−ＲＯＭ等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記録媒体に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるＡＳＰ（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、ハードウェアエンティティを構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (4)

1. 複数の秘密計算装置を含み、当該秘密計算装置は通信部を用いて相互に通信可能となるよう通信網または同報通信路に接続し、これら秘密計算装置間で通信を行いながら実行される協調計算によって、q個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードといい、ダミーの行を空レコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するためのベクトルg^→（以下、空フラグという）の秘匿文[[g^→]]を出力する等結合システムであって、
   上記等結合システムでは、上記複数の秘密計算装置間で通信を行いながら実行される協調計算によって、
   各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成し、
   [[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成し、
   各整数i∈[1,q)について、
   （a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[S]]と[[T_i']]のキー属性を連結したベクトル[[k^→]]を作成し、
   （b） ([[t^→]],[[s^→]],[[s^→']])を[[k^→]]に従って安定ソートし、
   （c） [[u^→]]を、
   

   

   
   として定め、
   （d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
   （e） [[u^→]]を復元してu^→を得て、
   （f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]を並べたベクトル[[f^→ _i]]を作成し、
   各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得て、
   [[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]||[[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]=[[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）ことを特徴とし、
   上記各秘密計算装置は、上記秘密計算を計算するための手段を備えている等結合システム。
2. 複数の秘密計算装置を含み、当該秘密計算装置は通信部を用いて相互に通信可能となるよう通信網または同報通信路に接続し、これら秘密計算装置間で通信を行いながら実行される協調計算によって、大きさが秘匿されたq個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とし、各表は、行にダミーの行（以下、ダミーの行を空レコードという）を含み、列に空レコードの位置を特定するための列ベクトルである空フラグを含んでいるとする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するための空フラグg^→の秘匿文[[g^→]]を出力する等結合システムであって、
   上記等結合システムでは、上記複数の秘密計算装置間で通信を行いながら実行される協調計算によって、
   各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成し、
   [[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成し、
   各整数i∈[1,q)について、
   （a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[t^→']]:=[[*]]^m0+mi||[[t^→ _S]]、[[S]]と[[T_i']]のキー属性値を連結したベクトル[[k^→]]、[[S]]と[[T_i]]と[[S_i']]の空フラグを連結したベクトル[[z^→]]を作成し（ただし、[[*]]は任意の秘匿文である）、
   （b） ([[t^→]],[[s^→]],[[s^→']],[[z^→]],[[t^→']])を([[z^→]],[[k^→]])に従って安定ソートし（ただし、([[z^→]],[[k^→]])は、[[z^→]][j]||[[k^→]][j]をj番目の要素とする(m₀+m_i+m₀)行1列の列ベクトルである）、
   （c） [[u^→]]を
   

   

   
   として定め、
   （d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
   （e） [[u^→]]を復元してu^→を得て、
   （f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]∨[[z^→]][j]を計算して並べたベクトル[[f^→ _i]]を作成し、
   各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得て、
   [[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]|| [[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]=[[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）ことを特徴とし、
   上記各秘密計算装置は、上記秘密計算を計算するための手段を備えている等結合システム。
3. 複数の秘密計算装置を含み、当該秘密計算装置は通信部を用いて相互に通信可能となるよう通信網または同報通信路に接続した等結合システムにおいて、これら秘密計算装置間で通信を行いながら実行される協調計算によって、q個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードといい、ダミーの行を空レコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するためのベクトルg^→（以下、空フラグという）の秘匿文[[g^→]]を出力する等結合方法であって、
   上記複数の秘密計算装置間で通信を行いながら実行される協調計算によって、
   各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成するステップと、
   [[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成するステップと、
   各整数i∈[1,q)について、
   （a） [[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[S]]と[[T_i']]のキー属性を連結したベクトル[[k^→]]を作成し、
   （b） ([[t^→]],[[s^→]],[[s^→']])を[[k^→]]に従って安定ソートし、
   （c） [[u^→]]を、
   

   

   
   として定め、
   （d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
   （e） [[u^→]]を復元してu^→を得て、
   （f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]を並べたベクトル[[f^→ _i]]を作成するステップと、
   各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得るステップと、
   [[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]|| [[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]= [[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）ステップと
   を有する等結合方法。
4. 複数の秘密計算装置を含み、当該秘密計算装置は通信部を用いて相互に通信可能となるよう通信網または同報通信路に接続した等結合システムにおいて、これら秘密計算装置間で通信を行いながら実行される協調計算によって、大きさが秘匿されたq個の行列表示された表S,T₁,…,T_q-1（ただし、Sはm₀×n₀行列、T_iはm_i×n_i行列(1≦i<q)とし、各表は、行にダミーの行（以下、ダミーの行を空レコードという）を含み、列に空レコードの位置を特定するための列ベクトルである空フラグを含んでいるとする）の秘匿文[[S]],[[T₁]],…,[[T_q-1]]に対して、S,T₁,…,T_q-1を等結合してダミーの行（以下、行をレコードという）を加えた表R（ただし、m_∩をm_∩=min(m₀,…,m_q-1)、nをn=Σ_i=0 ^q-1 n_iとして、Rはm_∩×n行列である）の秘匿文[[R]]と、表Rの空レコードの位置を特定するための空フラグg^→の秘匿文[[g^→]]を出力する等結合方法であって、
   上記複数の秘密計算装置間で通信を行いながら実行される協調計算によって、
   各整数i∈[1,q)について、[[S]]と[[T_i]]とに共通の属性については、その属性値として[[S]]の値を用い、[[S]]と[[T_i]]とに共通しない属性については、その属性値として任意の秘匿値を用いることによって、レコード数が[[S]]と同じで、[[S]]と[[T_i]]に共通の属性を含む秘匿化された表[[S_i']]を[[T_i]]に接続した表[[T_i']]を作成するステップと、
   [[S]],[[T₁']],…,[[T_q-1']]に対して、対応する表のレコード数と同じ要素数を持ち、対応する表に含まれるレコードを識別するための任意の値を要素に持つベクトルを秘匿化およびランダム置換したタグベクトル[[t^→ _S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を作成するステップと、
   各整数i∈[1,q)について、
   （a）[[t^→]]:=[[t^→ _S]]||[[t^→ _Ti']]、[[s^→]]:=[[1]]^m0||[[0]]^mi+m0、[[s^→']]:=[[0]]^m0+mi||[[1]]^m0、[[t^→']]:=[[*]]^m0+mi||[[t^→ _S]]、[[S]]と[[T_i']]のキー属性値を連結したベクトル[[k^→]]、[[S]]と[[T_i]]と[[S_i']]の空フラグを連結したベクトル[[z^→]]を作成し（ただし、[[*]]は任意の秘匿文である）、
   （b） ([[t^→]],[[s^→]],[[s^→']],[[z^→]],[[t^→']])を([[z^→]],[[k^→]])に従って安定ソートし（ただし、([[z^→]],[[k^→]])は、[[z^→]][j]||[[k^→]][j]をj番目の要素とする(m₀+m_i+m₀)行1列の列ベクトルである）、
   （c） [[u^→]]を
   

   

   
   として定め、
   （d） [[u^→]],[[t^→]],[[s^→']]を並べた([[u^→]],[[t^→]],[[s^→']])をランダム置換し、
   （e） [[u^→]]を復元してu^→を得て、
   （f） u^→[j]≠0を満たす各jについて、[[t^→]][j]を復元して並べたベクトルt^→ _i、u^→[j]を並べたベクトルu^→ _i、[[s^→']][j]∨[[z^→]][j]を計算して並べたベクトル[[f^→ _i]]を作成するステップと、
   各([[S]],[[t^→ _S]]),([[T₁']],[[t^→ _T1']]),…,([[T_q-1']],[[t^→ _Tq-1']])をそれぞれランダム置換してから、[[t_S]],[[t^→ _T1']],…,[[t^→ _Tq-1']]を復元してタグベクトルの平文t_S,t^→ _T1',…,t^→ _Tq-1'を得るステップと、
   [[R]]の第j行（1≦j≦m₀）である[[R]][j]を、[[R]][j]=[[S]][j]|| [[T₁']][w_j,1]||…||[[T_q-1']][w_j,q-1]で計算することによって出力の表[[R]]を作成し（ただし、ここでの記号||は行ベクトルの列方向の連結を表す。また、w_j,iは、t_i[h_j,i]=T_Ti'[w_j,i]を満たす値であり、h_j,iは、t_S[j]=u_i[h_j,i]を満たす値である）、[[g^→]]の第j要素である[[g^→]][j]を、[[g^→]][j]= [[f^→ ₁]][y_1,j]∨…∨[[f^→ _q-1]][y_q-1,j]で計算することによって出力の空フラグ[[g^→]]を作成する（ただし、y_i,jは、t_S[j]=u_i[y_1,j]を満たす値である）ステップと
   を有する等結合方法。

Images