JPWO2019244756A1 - 秘密結合システム、方法、秘密計算装置及びプログラム - Google Patents

Abstract

秘密結合システムは、複数の秘密計算装置を含む秘密結合システムであって、複数の秘密計算装置は、ベクトル結合部１１n、第一置換計算部１２n、第一置換適用部１３n、第一ベクトル生成部１４n、第二ベクトル生成部１５n、ビット反転部１６n、第二置換計算部１７n、第二置換適用部１８n、第三ベクトル生成部１９n、逆置換適用部１１０n、ベクトル分離部１１１n、第三置換適用部１１２n、属性値置換部１１３n及び第四ベクトル生成部１１４nを備えている。

Description

この発明は、秘密計算技術に関する。この発明は、特に、秘匿性を保ったまま２つのテーブルを結合する技術に関する。

秘密計算技術の分野において、秘匿性を保ったまま２つのテーブルを結合する技術が求められている。

秘匿性を保ったまま２つのテーブルを結合する技術として、例えば非特許文献１に記載された技術が知られている。非特許文献１では、キー重複ありの場合の等結合が実現されている。

桐淵直人、五十嵐大、諸橋玄武、濱田浩気、「属性情報と履歴情報の秘匿統合分析に向けた秘密計算による高速な等結合アルゴリズムとその実装」、CSS2016、2016

この発明は、キー重複がない場合に非特許文献１の技術よりも高速に秘匿性を保ったまま２つのテーブルを結合する秘密結合システム、方法、秘密計算装置及びプログラムを提供することである。

この発明の一態様による秘密結合システムは、複数の秘密計算装置を含む秘密結合システムであって、Fは任意の環であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、m₀,m₁,L₀,L₁は１以上の整数であり、k₀∈F^m0は第一テーブルのキーのベクトルであり、k₁∈F^m1は第二テーブルのキーのベクトルであり、p=0,…,L₀-1としてv_0,p∈F^m0は第一テーブルの属性pの属性値のベクトルであり、q=0,…,L₁-1としてv_1,q∈F^m1は第二テーブルの属性qの属性値のベクトルであり、π₀,π₁はそれぞれ長さm₀,m₁の所定の置換であり、複数の秘密計算装置は、ベクトルk₀のシェア[k₀]及びベクトルk₁のシェア[k₁]を用いて、ベクトルk₀及びベクトルk₁を結合したベクトルk'∈[F]^m0+m1のシェア[k']を生成する複数のベクトル結合部と、シェア[k']を用いて、ベクトルk'を昇順に安定ソートする置換σのシェア{{σ}}を生成する複数の第一置換計算部と、シェア[k']及びシェア{{σ}}を用いて、ベクトルk'に置換σを適用したベクトルσ(k')のシェア[σ(k')]を生成する複数の第一置換適用部と、シェア[σ(k')]を用いて、ベクトルσ(k')のある要素とそのある要素の次の要素とが、同じ場合には１を、違う場合には０をそのある要素に対応する要素として持つベクトルeのシェア[e]を生成する複数の第一ベクトル生成部と、シェア[e]を用いて、ベクトルeのある要素とそのある要素の前の要素の一方が１の場合には１を、そうでない場合には０をそのある要素に対応する要素として持つベクトルe'のシェア[e']を生成する複数の第二ベクトル生成部と、シェア[e']を用いて、ベクトルe'の各要素をビット反転させたベクトルe''のシェア[e'']を生成する複数のビット反転部と、シェア[e'']を用いて、ベクトルe''を昇順に安定ソートする置換σ'のシェア{{σ'}}を生成する複数の第二置換計算部と、シェア[e'']及びシェア{{σ'}}を用いて、ベクトルe''に置換σ'を適用したベクトルσ'(e'')のシェア[σ'(e'')]を生成する複数の第二置換適用部と、シェア[σ'(e'')]を用いて、ベクトルσ'(e'')のある要素iが、０である場合には└i/2┘を、０でない場合には０をそのある要素iに対応する要素として持つベクトルxのシェア[x]を生成する複数の第三ベクトル生成部と、シェア[x]、シェア{{σ}}及びシェア{{σ'}}を用いて、ベクトルxに置換σ'の逆置換σ'^-1及び置換σの逆置換σ^-1を適用したベクトルσ^-1(σ'^-1(x))のシェア[σ^-1(σ'^-1(x))]を生成する複数の逆置換適用部と、シェア[σ^-1(σ'^-1(x))]を用いて、ベクトルσ^-1(σ'^-1(x))の先頭からm₀個の要素からなるベクトルs₀のシェア[s₀]と、ベクトルσ^-1(σ'^-1(x))の残りのm₁個の要素からなるベクトルs₁のシェア[s₁]とを生成する複数のベクトル分離部と、シェア[s₀]、シェア[s₁]及び置換π₀,π₁を用いて、ベクトルs₀に置換π₀を適用したベクトルτ₀:=π₀(s₀)のシェア[π₀(s₀)]と、ベクトルs₁に置換π₁を適用したベクトルτ₁:=π₁(s₁)のシェア[π₁(s₁)]とを生成して、τ₀:=π₀(s₀)及びτ₁:=π₁(s₁)を公開する複数の第三置換適用部と、置換π₀のシェア{{π₀}}、置換π₁のシェア{{π₁}}、ベクトルv_0,pのシェア[v_0,p]及びベクトルv_1,qのシェア[v_1,q]を用いて、第一テーブルの各属性pの属性値のベクトルv_0,pを置換π₀で置換したベクトルv'_0,pのシェア[v'_0,p]と、第二テーブルの各属性qの属性値のベクトルv_1,qを置換π₁で置換したベクトルv'_1,qのシェア[v'_1,q]とを生成する複数の属性値置換部と、ベクトルτ₀、ベクトルτ₁、シェア[v'_0,p]及びシェア[v'_1,q]を用いて、ベクトルτ₀のi'番目の要素が０でない場合にはベクトルv'_0,pのi'番目の要素をi'-1番目の要素として持つベクトルv''_0,pのシェア[v''_0,p]と、ベクトルτ₁のi'番目の要素が０でない場合にはベクトルv'_1,qのi'番目の要素をi'-1番目の要素として持つベクトルv''_1,qのシェア[v''_1,q]とを生成する複数の第四ベクトル生成部と、を備えている。

逆置換を用いることで、キー重複がない場合に非特許文献１の技術よりも高速に秘匿性を保ったまま２つのテーブルを結合することができる。

図１は、秘密結合システムの機能構成を例示する図である。 図２は、秘密計算装置の機能構成を例示する図である。 図３は、秘密結合方法の処理手続きを例示する図である。 図４は、コンピュータの機能構成例を示す図である。

以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

図１を参照して、実施形態の秘密結合システムの構成例を説明する。秘密結合システムは、N（≧2）台の秘密計算装置１₁,…,１_Nを含む。本形態では、秘密計算装置１₁, …, １_Nはそれぞれ通信網２へ接続されている。通信網２は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などである。なお、各装置は必ずしも通信網２を介してオンラインで通信可能である必要はない。例えば、秘密計算装置１₁, …, １_Nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁, …,１_Nへオフラインで入力するように構成してもよい。

図２を参照して、秘密結合システムに含まれる秘密計算装置１_n（n=1, …, N）の構成例を説明する。秘密結合システムの秘密計算装置１_nは、例えば、図２に示すように、ベクトル結合部１１_n、第一置換計算部１２_n、第一置換適用部１３_n、第一ベクトル生成部１４_n、第二ベクトル生成部１５_n、ビット反転部１６_n、第二置換計算部１７_n、第二置換適用部１８_n、第三ベクトル生成部１９_n、逆置換適用部１１０_n、ベクトル分離部１１１_n、第三置換適用部１１２_n、属性値置換部１１３_n及び第四ベクトル生成部１１４_nを備えている。

秘密計算装置１_n（1≦n≦N）の各構成部が他の秘密計算装置１_n'（n'=1, …, N、ただしn≠n'）の各構成部と協調しながら後述する各ステップの処理を行うことにより実施形態の秘密結合方法が実現される。

なお、各ステップの処理は、秘密計算により行われる。すなわち、秘密計算装置１_nは、シェアを復元することなく、言い換えればシェアの中身を知ることなく、各ステップの処理を行う。

秘密計算装置１_nは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。秘密計算装置１_nは、例えば、中央演算処理装置の制御のもとで各処理を実行する。秘密計算装置１_nに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。秘密計算装置１_nの各構成部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

以下の説明において、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであるとする。

図３を参照して、実施形態の秘密結合システムが実行する秘密結合方法の処理手続きを説明する。

以下に説明する秘密結合システムは、第一テーブルと第二テーブルを秘密垂直結合する。言い換えれば、以下に説明する秘密結合システムは、秘匿性を保ちつつ、第一テーブル及び第二テーブルの共通するキーについての、第一テーブルの属性値及び第二テーブルの属性値を得る。

m₀,m₁,L₀,L₁は、１以上の整数であるとする。m₀,m₁,L₀,L₁は、同じ値であってもよいし、異なる値であってもよい。

第一テーブルは、m₀個のレコードを有している。m₀個のレコードのそれぞれは、１個のキーと、L₀個の属性の属性値とを有している。k₀∈F^m0は第一テーブルのキーのベクトルであるとする。p=0,…,L₀-1として、v_0,p∈F^m0は第一テーブルの属性pの属性値のベクトルであるとする。第一テーブルの中は、重複するキーはないとする。

[F]^m0の上付き文字の中のm0は、「m₀」を意味する。このように、上付き文字の中では、更なる上付き文字及び下付き文字の表現を省略することがある。同様に、下付き文字の中では、更なる上付き文字及び下付き文字の表現を省略することがある。

第二テーブルは、m₁個のレコードを有している。m₁個のレコードのそれぞれは、１個のキーと、L₁個の属性の属性値とを有している。k₁∈F^m1は第二テーブルのキーのベクトルであるとする。q=0,…,L₁-1としてv_1,q∈F^m1は上記第二テーブルの属性qの属性値のベクトルであるとする。第二テーブルの中では、重複するキーはないとする。

例えば、第一テーブルは、レコード数が３であり、キーのベクトルk₀=(1,2,3)^Tと、１個の属性z1の属性値のベクトルv_0,1=(5,10,1)^Tとから構成されているとする。

また、第二テーブルは、レコード数が４であり、キーのベクトルk₁=(1,3,4,5)^Tと、１個の属性z1'の属性値のベクトルv_1,1=(2,4,9,8)^Tとから構成されているとする。

＜ステップＳ１＞
ベクトル結合部１１₁,…,１１_Nに、ベクトルk₀のシェア[k₀]及びベクトルk₁のシェア[k₁]が入力される。

ベクトル結合部１１₁,…,１１_Nは、[k₀]と[k₁]を結合して[k']∈[F]^m0+m1を得る。

より詳細には、ベクトル結合部１１₁,…,１１_Nは、ベクトルk₀のシェア[k₀]及びベクトルk₁のシェア[k₁]を用いて、ベクトルk₀及びベクトルk₁を結合したベクトルk'∈[F]^m0+m1のシェア[k']を生成する（ステップＳ１）。

生成されたシェア[k']は、第一置換計算部１２₁,…,１２_N及び第一置換適用部１３₁,…,１３_Nに出力される。

例えば、ベクトルk₀=(1,2,3)^Tであり、ベクトルk₁=(1,3,4,5)^Tであるとする。この場合、ベクトルk'=(1,2,3,1,3,4,5)^Tとなる。

＜ステップＳ２＞
第一置換計算部１２₁,…,１２_Nに、シェア[k']が入力される。

第一置換計算部１２₁,…,１２_Nは、[k']のソート{{σ}}を得る。

より詳細には、第一置換計算部１２₁,…,１２_Nは、シェア[k']を用いて、ベクトルk'を昇順に安定ソートする置換σのシェア{{σ}}を生成する（ステップＳ２）。

安定ソートとは、同等なデータのソート前の順序が、ソート後も保存されるものをいう。安定ソートを行う置換σのシェア{{σ}}の生成は、例えば参考文献１の手法により実現することができる。

〔参考文献１〕五十嵐大、濱田浩気、菊池亮、千田浩司、「超高速秘密計算ソートの設計と実装：秘密計算がスクリプト言語に並ぶ日」、CSS2017、2017

生成されたシェア{{σ}}は、第一置換適用部１３₁,…,１３_N及び逆置換適用部１１０₁,…, １１０_Nに出力される。

例えば、ベクトルk'=(1,2,3,1,3,4,5)^Tであるとする。この場合、置換σは以下の式（１）のようになる。例えば、番号が１スタートで表記されるとして、置換σの各列(i,j)^Tは、置換が適用されるベクトルのi番目の要素をj番目に移動することを意味する。

なお、ベクトルk'の各要素は、ビット分解されたものであってもよい。すなわち、ベクトルk'の各要素は、その各要素が0,1のビットで表現されたものであってもよい。

＜ステップＳ３＞
第一置換適用部１３₁,…,１３_Nに、シェア[k']及びシェア{{σ}}が入力される。

第一置換適用部１３₁,…,１３_Nは、[k']に{{σ}}を適用して[σ(k')]を得る。

より詳細には、第一置換適用部１３₁,…,１３_Nは、シェア[k']及びシェア{{σ}}を用いて、ベクトルk'に置換σを適用したベクトルσ(k')のシェア[σ(k')]を生成する（ステップＳ３）。

生成されたシェア[σ(k')]は、第一ベクトル生成部１４₁,…,１４_Nに出力される。

例えば、ベクトルk'=(1,2,3,1,3,4,5)^Tであり、置換σが上記の式（１）で表される置換であるとする。この場合、ベクトルσ(k')=(1,1,2,3,3,4,5)^Tとなる。

＜ステップＳ４＞
第一ベクトル生成部１４₁,…,１４_Nに、シェア[σ(k')]が入力される。

第一ベクトル生成部１４₁,…,１４_Nは、[e_i]:=[σ(k')_i=σ(k')_i+1]ただし[e_m0+m1-1]:=[0]なる[e]を得る。iを０以上の整数として、e_iはベクトルeのi番目の要素を意味し、σ(k')_iはベクトルσ(k')のi番目の要素を意味する。このように、iを０以上の整数として、ベクトルの下付きのiは、そのベクトルのi番目の要素を意味する。":="は、":="の左の変数に":="の右の値を代入することを意味する。例えば、a:=bは、変数aにbの値を代入することを意味する。

なお、ベクトルの要素数をMとすると、ベクトルの最初の要素を０番目の要素と呼び、ベクトルの次の要素を１番目の要素と呼び、ベクトルの最後の要素をM-1番目の要素と呼ぶことにする。

より詳細には、第一ベクトル生成部１４₁,…,１４_Nは、シェア[σ(k')]を用いて、ベクトルσ(k')のある要素とそのある要素の次の要素とが、同じ場合には１を、違う場合には０をそのある要素に対応する要素として持つベクトルeのシェア[e]を生成する（ステップＳ４）。ただし、ベクトルeの最後の要素は０であるとする。

生成されたシェア[e]は、第二ベクトル生成部１５₁,…,１５_Nに出力される。

例えば、ベクトルσ(k')=(1,1,2,3,3,4,5)^Tであるとする。この場合、ベクトルe=(1,0,0,1,0,0,0)^Tとなる。

＜ステップＳ５＞
第二ベクトル生成部１５₁,…,１５_Nに、シェア[e]が入力される。

第二ベクトル生成部１５₁,…,１５_Nは、[e'_i]=[e_i(+)e_i-1]ただし[e'₀]=[e₀]なる[e']を得る。(+)は、排他的論理和又は加算である。

より詳細には、第二ベクトル生成部１５₁,…,１５_Nは、シェア[e]を用いて、ベクトルeのある要素とそのある要素の前の要素の一方が１の場合には１を、そうでない場合には０をそのある要素に対応する要素として持つベクトルe'のシェア[e']を生成する（ステップＳ５）。ただし、ベクトルe'の最初の要素は、ベクトルeの最初の要素と同じであるとする。

生成されたシェア[e']は、ビット反転部１６₁,…,１６_Nに出力される。

例えば、ベクトルe=(1,0,0,1,0,0,0)^Tであるとする。この場合、ベクトルe'=(1,1,0,1,1,0,0)^Tとなる。

＜ステップＳ６＞
ビット反転部１６₁,…,１６_Nに、シェア[e']が入力される。

ビット反転部１６₁,…,１６_Nは、[e']のビット反転[e'']を得る。

より詳細には、ビット反転部１６₁,…,１６_Nは、シェア[e']を用いて、ベクトルe'の各要素をビット反転させたベクトルe''のシェア[e'']を生成する（ステップＳ６）。

生成されたシェア[e'']は、第二置換計算部１７₁,…,１７_N及び第二置換適用部１８₁,…,１８_Nに出力される。

例えば、e'=(1,1,0,1,1,0,0)^Tであるとする。この場合、ベクトルe''=(0,0,1,0,0,1,1)^Tとなる。

なお、ベクトルk'の各要素がビット分解されたものであった場合には、例えばmod P変換により、e''の環が変更されてもよい。Pは、３以上の素数である。mod P変換は、例えば参考文献１のScheme 5に記載された手法により実現することができる。

＜ステップＳ７＞
第二置換計算部１７₁,…,１７_Nに、シェア[e'']が入力される。

第二置換計算部１７₁,…,１７_Nは、[e'']のソート{{σ'}}を得る。

より詳細には、第二置換計算部１７₁,…,１７_Nは、シェア[e'']を用いて、ベクトルe''を昇順に安定ソートする置換σ'のシェア{{σ'}}を生成する（ステップＳ７）。

生成されたシェア{{σ'}}は、第二置換適用部１８₁,…,１８_N及び逆置換適用部１１０₁,…, １１０_Nに出力される。

例えば、ベクトルe''=(0,0,1,0,0,1,1)^Tであるとする。この場合、置換σ'は以下の式（２）のようになる。

＜ステップＳ８＞
第二置換適用部１８₁,…,１８_Nに、シェア[e'']及びシェア{{σ'}}が入力される。

第二置換適用部１８₁,…,１８_Nは、[e'']に{{σ'}}を適用して[σ'(e'')]を得る。

より詳細には、第二置換適用部１８₁,…,１８_Nは、シェア[e'']及びシェア{{σ'}}を用いて、ベクトルe''に置換σ'を適用したベクトルσ'(e'')のシェア[σ'(e'')]を生成する（ステップＳ８）。

生成されたシェア[σ'(e'')]は、第三ベクトル生成部１９₁,…,１９_Nに出力される。

例えば、ベクトルe''=(0,0,1,0,0,1,1)^Tであり、置換σ'が上記の式（２）により表される置換であるとする。この場合、ベクトルσ'(e'')=(0,0,0,0,1,1,1)^Tとなる。

＜ステップＳ９＞
第三ベクトル生成部１９₁,…,１９_Nに、シェア[σ'(e'')]が入力される。

第三ベクトル生成部１９₁,…,１９_Nは、[x]:=[σ'(e'')_i?0:└i/2┘+1]を得る。

より詳細には、第三ベクトル生成部１９₁,…,１９_Nは、シェア[σ'(e'')]を用いて、ベクトルσ'(e'')のある要素iが、０である場合には└i/2┘を、０でない場合には０をそのある要素iに対応する要素として持つベクトルxのシェア[x]を生成する（ステップＳ９）。

ここで、i=0,…,m₀+m₁-1であり、└i/2┘は、i/2以下の最大の整数を意味する。

生成されたシェア[x]は、逆置換適用部１１０₁,…,１１０_Nに出力される。

例えば、ベクトルσ'(e'')=(0,0,0,0,1,1,1)^Tであるとする。この場合、ベクトルx=(1,1,2,2,0,0,0)^Tとなる。

＜ステップＳ１０＞
逆置換適用部１１０₁,…, １１０_Nに、シェア[x]、シェア{{σ}}及びシェア{{σ'}}が入力される。

逆置換適用部１１０₁,…, １１０_Nは、[x]に{{σ'}}と{{σ}}を逆適用して[σ^-1(σ'^-1(x))]を得る。

より詳細には、逆置換適用部１１０₁,…, １１０_Nは、シェア[x]、シェア{{σ}}及びシェア{{σ'}}を用いて、ベクトルxに置換σ'の逆置換σ'^-1及び置換σの逆置換σ^-1を適用したベクトルσ^-1(σ'^-1(x))のシェア[σ^-1(σ'^-1(x))]を生成する（ステップＳ１０）。

生成されたシェア[σ^-1(σ'^-1(x))]は、ベクトル分離部１１１₁,…, １１１_Nに出力される。

例えば、ベクトルx=(1,1,2,2,0,0,0)^Tであり、置換σが上記の式（１）により表される置換であり、置換σ'が上記の式（２）により表される置換であるとする。この場合、ベクトルσ^-1(σ'^-1(x))= (1,0,2,1,2,0,0)^Tとなる。

＜ステップＳ１１１＞
ベクトル分離部１１１₁,…, １１１_Nに、シェア[σ^-1(σ'^-1(x))]が入力される。

ベクトル分離部１１１₁,…, １１１_Nは、[σ^-1(σ'^-1(x))]を先頭からm₀個の要素[s₀]と残りのm₁個の要素[s₁]とに分離する。

より詳細には、ベクトル分離部１１１₁,…, １１１_Nは、シェア[σ^-1(σ'^-1(x))]を用いて、ベクトルσ^-1(σ'^-1(x))の先頭からm₀個の要素からなるベクトルs₀のシェア[s₀]と、ベクトルσ^-1(σ'^-1(x))の残りのm₁個の要素からなるベクトルs₁のシェア[s₁]とを生成する（ステップＳ１１）。

生成されたシェア[s₀]及びシェア[s₁]は、第三置換適用部１１２₁,…, １１２_Nに出力される。

例えば、ベクトルσ^-1(σ'^-1(x))=(1,0,2,1,2,0,0)^Tであるとする。この場合、ベクトルs₀=(1,0,2)^T、ベクトルs₁=(1,2,0,0)^Tとなる。

ベクトルs₀,s₁は、第一テーブルと第二テーブルで重複するキーの位置を示している。例えば、第一テーブルのキーのベクトルがk₀=(1,2,3)^Tであり、第二テーブルのキーのベクトルがk₁=(1,3,4,5)^Tであるとする。この場合、ベクトルs₀=(1,0,2)^T、ベクトルs₁=(1,2,0,0)^Tとなる。第一テーブルと第二テーブルで重複するキーは、「1」「3」である。ベクトルs₀=(1,0,2)^T及びベクトルs₁=(1,2,0,0)^Tは、それぞれベクトルk₀=(1,2,3)^T及びk₁=(1,3,4,5)^Tの中の「1」「3」の位置を示している。

＜ステップＳ１２＞
第三置換適用部１１２₁,…, １１２_Nに、シェア[s₀]及びシェア[s₁]が入力される。

第三置換適用部１１２₁,…, １１２_Nは、[π₀(s₀)],[π₁(s₁)]を得て、τ₀:=π₀(s₀),τ₁:=π₁(s₁)を公開する。

より詳細には、第三置換適用部１１２₁,…, １１２_Nは、シェア[s₀]、シェア[s₁]及び置換π₀,π₁を用いて、ベクトルs₀に置換π₀を適用したベクトルτ₀:=π₀(s₀)のシェア[π₀(s₀)]と、ベクトルs₁に置換π₁を適用したベクトルτ₁:=π₁(s₁)のシェア[π₁(s₁)]とを生成して、ベクトルτ₀及びベクトルτ₁を公開する（ステップＳ１２）。ベクトルτ₀及びベクトルτ₁は、秘密計算装置１_n（1≦n≦N）に公開される。

置換π₀,π₁は、所定の置換であり、例えばランダム置換である。置換π₀,π₁は、予め定められた置換であってもよいし、ステップＳ１２の処理をする際に生成されてもよい。置換π₀,π₁及びこれらのシェア{{π₀}},{{π₁}}は、例えば参考文献１の4.1節に記載された手法により生成することができる。秘密計算装置１_n（1≦n≦N）は、置換π₀,π₁及びこれらのシェア{{π₀}},{{π₁}}についての情報を有しており、置換π₀,π₁及びこれらのシェア{{π₀}},{{π₁}}を用いて計算が可能であるとする。

生成されたシェア[π₀(s₀)]及びシェア[π₁(s₁)]は、属性値置換部１１３₁,…, １１３_Nに出力される。

例えば、ベクトルs₀=(1,0,2)^T、ベクトルs₁=(1,2,0,0)^Tであり、π₀が以下の式（３）により表される置換であり、π₁が以下の式（４）により表される置換であるとする。

この場合、ベクトルτ₀=(0,2,1)^T、ベクトルτ₁=(0,1,0,2)^Tとなる。

＜ステップＳ１３＞
属性値置換部１１３₁,…, １１３_Nに、シェア[v_0,p]及びシェア[v_1,q]が入力される。

属性値置換部１１３₁,…, １１３_Nは、第一テーブルの各属性値を{{π₀}}、第二テーブルの各属性値{{π₁}}により置換する。

より詳細には、属性値置換部１１３₁,…, １１３_Nは、置換π₀のシェア{{π₀}}、置換π₁のシェア{{π₁}}、ベクトルv_0,pのシェア[v_0,p]及びベクトルv_1,qのシェア[v_1,q]を用いて、第一テーブルの各属性p(p=0,…,m₀-1)の属性値のベクトルv_0,pを置換π₀で置換したベクトルv'_0,pのシェア[v'_0,p]と、第二テーブルの各属性q(q=0,…,m₁-1)の属性値のベクトルv_1,qを置換π₁で置換したベクトルv'_1,qのシェア[v'_1,q]とを生成する（ステップＳ１３）。

生成されたシェア[v'_0,p]及びシェア[v'_1,q]は、第四ベクトル生成部１１４₁,…,１１４_Nに出力される。

例えば、第一テーブルの属性z1のベクトルv_0,1=(5,10,1)^Tであり、第二テーブルの属性z1'のベクトルv_1,1=(2,4,9,8)^Tであり、π₀が上記の式（３）により表される置換であり、π₁が上記の式（４）により表される置換であるとする。この場合、ベクトルv'_0,1=(10,1,5)^T、ベクトルv'_1,1=(9,2,8,4)^Tとなる。

＜ステップＳ１４＞
第四ベクトル生成部１１４₁,…,１１４_Nに、ベクトルτ₀、ベクトルτ₁、シェア[v'_0,p]及びシェア[v'_1,q]が入力される。

第四ベクトル生成部１１４₁,…,１１４_Nは、i=1,2として、置換した各属性値[v'_i,j]について(τ_i)_i'≠0のときに[(v''_i,j)_(τi)i'-1]:=[(v'_i,j)_i']とする[(v''_i,j)]を得る。

より詳細には、第四ベクトル生成部１１４₁,…,１１４_Nは、ベクトルτ₀、ベクトルτ₁、シェア[v'_0,p]及びシェア[v'_1,q]を用いて、ベクトルτ₀のi'番目の要素が０でない場合にはベクトルv'_0,pのi'番目の要素をi'-1番目の要素として持つベクトルv''_0,pのシェア[v''_0,p]と、ベクトルτ₁のi'番目の要素が０でない場合にはベクトルv'_1,qのi'番目の要素をi'-1番目の要素として持つベクトルv''_1,qのシェア[v''_1,q]とを生成する（ステップＳ１４）。第四ベクトル生成部１１４₁,…,１１４_Nは、この処理を各p(p=0,…,L₀-1)及び各q(q=0,…,L₁-1)に対して行う。

例えば、ベクトルτ₀=(0,2,1)^T、ベクトルv'_0,1=(10,1,5)^T、ベクトルτ₁=(0,1,0,2)^T、ベクトルv'_1,1=(9,2,8,4)^Tであるとする。この場合、ベクトルv''_0,1=(5,1)^T、ベクトルv''_1,1=(2,4)^Tとなる。

ベクトルs₀,s₁は第一テーブルと第二テーブルで重複するキーの位置を示しているため、ベクトルs₀,s₁をそれぞれ置換π₀,π₁により置換したベクトルτ₀,τ₁は、置換π₀,π₁による置換後の第一テーブルと第二テーブルで重複するキーの位置を示している。

上記の例では、ベクトルτ₀=(0,2,1)^Tの２番目の要素「1」は置換π₀による置換後の第一テーブルのキー「1」の位置を示し、ベクトルτ₀=(0,2,1)^Tの１番目の要素「2」は置換π₀による置換後の第一テーブルのキー「3」の位置を示している。

同様に、上記の例では、ベクトルτ₁=(0,1,0,2)^Tの１番目の要素「1」は置換π₁による置換後の第二テーブルのキー「1」の位置を示し、ベクトルτ₁=(0,1,0,2)^Tの３番目の要素「2」は置換π₁による置換後の第二テーブルのキー「3」の位置を示している。

このため、(τ_i)_i'≠0のときに[(v''_i,j)_(τi)i'-1]:=[(v'_i,j)_i']とすることにより、第一テーブルのキー「1」のレコードの属性z1の属性値「5」をベクトルv''_0,1=(5,1)^Tの０番目の要素とし、第一テーブルのキー「3」のレコードの属性z1の属性値「1」をベクトルv''_0,1=(5,1)^Tの１番目の要素とすることができる。

また、第二テーブルのキー「1」のレコードの属性z1'の属性値「2」をベクトルv''_1,1=(2,4)^Tの０番目の要素とし、第二テーブルのキー「3」のレコードの属性z1'の属性値「4」をベクトルv''_1,1=(2,4)^Tの１番目の要素とすることができる。

言い換えれば、ベクトルv''_0,1=(5,1)^Tの０番目の要素「5」は第一テーブルのキー「1」のレコードの属性z1の属性値であり、ベクトルv''_0,1=(5,1)^Tの１番目の要素「1」は、第一テーブルのキー「3」のレコードの属性z1の属性値である。

また、ベクトルv''_1,1=(2,4)^Tの０番目の要素「2」は第二テーブルのキー「1」のレコードの属性z1'の属性値であり、ベクトルv''_1,1=(2,4)^Tの１番目の要素「4」は第二テーブルのキー「3」のレコードの属性z1'の属性値である。

このように、ベクトルv''_0,1=(5,1)^T、ベクトルv''_1,1=(2,4)^Tは、第一テーブル及び第二テーブルの共通するキー「1」「3」についての、第一テーブルの属性値及び第二テーブルの属性値を表していると言える。

この実施形態によれば、秘匿性を保ったまま、第一テーブル及び第二テーブルの共通するキーについての、第一テーブルの属性値及び第二テーブルの属性値を得ることができる。

［変形例］
なお、xを2以上の正の整数として、キーの属性が、x個の属性の複合キーであってもよい。この場合には、例えば以下のようにしてステップＳ１の処理を行ってもよい。

第一テーブルのキーは、k_0,0,…,k_0,x-1であるとする。第二テーブルのキーは、k_1,0,…,k_1,x-1であるとする。

この場合、ステップＳ１の処理で、各i(ただしi=0,…,x-1)でk_0,iとk_1,iを結合してk'_iを得る。そして、各k'_iをビット分解してビット表現にし、横に結合する。例えばk'₀=(1,2,3,1,3,0,1)^T,k'₁=(0,0,0,0,0,1,1)^Tのとき、k'₀をビット分解すると、(k'₀)₀=(1,0,1,1,1,0,1)^T,(k'₀)₁=(0,1,1,0,1,0,0)^Tとなる。

ここで、k'₀は1から3の値を取るため、k'₀の各要素は2ビットで表現することができる。(k'₀)₀はk'₀をビット分解したときの下位ビットであり、(k'₀)₁はk'₀をビット分解したときの上位ビットである。k'₁はこの例ではもともと1ビット数であるので分解する必要はなく、k'₁=(k'₁)₀とする。(k'₀)₀,(k'₀)₁,(k'₁)₀を横に結合すると、

となる。このようにして並べたものを行列とみなし、この行列の各行を1レコードのキーのビット表現とみなすと、(1,2,3,1,3,4,5)というキーのビット表現のベクトルが得られる。このベクトルをステップＳ２以降で使うk'として用いてもよい。このようにして、複合キーの場合も処理できる。

複合キーでは、キーの重複とは、全てのキー属性の値の組み合わせの観点で重複するかどうかであり、個々の属性の値が重複しただけでは重複とはみなさないとする。例えば、組み合わせ(1,0)と(1,1)は重複ではない。

以上、この発明の実施の形態について説明したが、具体的な構成は、これらの実施の形態に限られるものではなく、この発明の趣旨を逸脱しない範囲で適宜設計の変更等があっても、この発明に含まれることはいうまでもない。

実施の形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

［プログラム、記録媒体］
上述の各種の処理は、図４に示すコンピュータの記録部２０２０に、上記方法の各ステップを実行させるプログラムを読み込ませ、制御部２０１０、入力部２０３０、出力部２０４０などに動作させることで実施できる。

この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

＜ステップＳ１１＞
ベクトル分離部１１１₁,…, １１１_Nに、シェア[σ^-1(σ'^-1(x))]が入力される。

Claims (4)

1. 複数の秘密計算装置を含む秘密結合システムであって、
   Fは任意の環であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、m₀,m₁,L₀,L₁は１以上の整数であり、k₀∈F^m0は第一テーブルのキーのベクトルであり、k₁∈F^m1は第二テーブルのキーのベクトルであり、p=0,…,L₀-1としてv_0,p∈F^m0は上記第一テーブルの属性pの属性値のベクトルであり、q=0,…,L₁-1としてv_1,q∈F^m1は上記第二テーブルの属性qの属性値のベクトルであり、π₀,π₁はそれぞれ長さm₀,m₁の所定の置換であり、
   上記複数の秘密計算装置は、
   上記ベクトルk₀のシェア[k₀]及び上記ベクトルk₁のシェア[k₁]を用いて、上記ベクトルk₀及び上記ベクトルk₁を結合したベクトルk'∈[F]^m0+m1のシェア[k']を生成する複数のベクトル結合部と、
   上記シェア[k']を用いて、上記ベクトルk'を昇順に安定ソートする置換σのシェア{{σ}}を生成する複数の第一置換計算部と、
   上記シェア[k']及び上記シェア{{σ}}を用いて、上記ベクトルk'に上記置換σを適用したベクトルσ(k')のシェア[σ(k')]を生成する複数の第一置換適用部と、
   上記シェア[σ(k')]を用いて、上記ベクトルσ(k')のある要素とそのある要素の次の要素とが、同じ場合には１を、違う場合には０をそのある要素に対応する要素として持つベクトルeのシェア[e]を生成する複数の第一ベクトル生成部と、
   上記シェア[e]を用いて、上記ベクトルeのある要素とそのある要素の前の要素の一方が１の場合には１を、そうでない場合には０をそのある要素に対応する要素として持つベクトルe'のシェア[e']を生成する複数の第二ベクトル生成部と、
   上記シェア[e']を用いて、上記ベクトルe'の各要素をビット反転させたベクトルe''のシェア[e'']を生成する複数のビット反転部と、
   上記シェア[e'']を用いて、上記ベクトルe''を昇順に安定ソートする置換σ'のシェア{{σ'}}を生成する複数の第二置換計算部と、
   上記シェア[e'']及び上記シェア{{σ'}}を用いて、上記ベクトルe''に上記置換σ'を適用したベクトルσ'(e'')のシェア[σ'(e'')]を生成する複数の第二置換適用部と、
   上記シェア[σ'(e'')]を用いて、上記ベクトルσ'(e'')のある要素iが、０である場合には└i/2┘を、０でない場合には０をそのある要素iに対応する要素として持つベクトルxのシェア[x]を生成する複数の第三ベクトル生成部と、
   上記シェア[x]、上記シェア{{σ}}及び上記シェア{{σ'}}を用いて、上記ベクトルxに上記置換σ'の逆置換σ'^-1及び上記置換σの逆置換σ^-1を適用したベクトルσ^-1(σ'^-1(x))のシェア[σ^-1(σ'^-1(x))]を生成する複数の逆置換適用部と、
   上記シェア[σ^-1(σ'^-1(x))]を用いて、上記ベクトルσ^-1(σ'^-1(x))の先頭からm₀個の要素からなるベクトルs₀のシェア[s₀]と、上記ベクトルσ^-1(σ'^-1(x))の残りのm₁個の要素からなるベクトルs₁のシェア[s₁]とを生成する複数のベクトル分離部と、
   上記シェア[s₀]、上記シェア[s₁]及び上記置換π₀,π₁を用いて、上記ベクトルs₀に上記置換π₀を適用したベクトルτ₀:=π₀(s₀)のシェア[π₀(s₀)]と、上記ベクトルs₁に上記置換π₁を適用したベクトルτ₁:=π₁(s₁)のシェア[π₁(s₁)]とを生成して、τ₀:=π₀(s₀)及びτ₁:=π₁(s₁)を公開する複数の第三置換適用部と、
   上記置換π₀のシェア{{π₀}}、上記置換π₁のシェア{{π₁}}、上記ベクトルv_0,pのシェア[v_0,p]及び上記ベクトルv_1,qのシェア[v_1,q]を用いて、上記第一テーブルの各属性pの属性値のベクトルv_0,pを上記置換π₀で置換したベクトルv'_0,pのシェア[v'_0,p]と、上記第二テーブルの各属性qの属性値のベクトルv_1,qを上記置換π₁で置換したベクトルv'_1,qのシェア[v'_1,q]とを生成する複数の属性値置換部と、
   上記ベクトルτ₀、上記ベクトルτ₁、上記シェア[v'_0,p]及び上記シェア[v'_1,q]を用いて、上記ベクトルτ₀のi'番目の要素が０でない場合には上記ベクトルv'_0,pのi'番目の要素をi'-1番目の要素として持つベクトルv''_0,pのシェア[v''_0,p]と、上記ベクトルτ₁のi'番目の要素が０でない場合には上記ベクトルv'_1,qのi'番目の要素をi'-1番目の要素として持つベクトルv''_1,qのシェア[v''_1,q]とを生成する複数の第四ベクトル生成部と、
   を含む秘密結合システム。
2. 請求項１の秘密結合システムの秘密計算装置。
3. Fは任意の環であり、αを任意のベクトルとして[α]はαが秘密分散されたシェアであり、βを任意の置換として{{β}}はβが秘密分散されたシェアであり、m₀,m₁,L₀,L₁は１以上の整数であり、k₀∈F^m0は第一テーブルのキーのベクトルであり、k₁∈F^m1は第二テーブルのキーのベクトルであり、p=0,…,L₀-1としてv_0,p∈F^m0は上記第一テーブルの属性pの属性値のベクトルであり、q=0,…,L₁-1としてv_1,q∈F^m1は上記第二テーブルの属性qの属性値のベクトルであり、π₀,π₁はそれぞれ長さm₀,m₁の所定の置換であり、
   複数のベクトル結合部が、上記ベクトルk₀のシェア[k₀]及び上記ベクトルk₁のシェア[k₁]を用いて、上記ベクトルk₀及び上記ベクトルk₁を結合したベクトルk'∈[F]^m0+m1のシェア[k']を生成する複数のベクトル結合ステップと、
   複数の第一置換計算部が、上記シェア[k']を用いて、上記ベクトルk'を昇順に安定ソートする置換σのシェア{{σ}}を生成する複数の第一置換計算ステップと、
   複数の第一置換適用部が、上記シェア[k']及び上記シェア{{σ}}を用いて、上記ベクトルk'に上記置換σを適用したベクトルσ(k')のシェア[σ(k')]を生成する複数の第一置換適用ステップと、
   複数の第一ベクトル生成部が、上記シェア[σ(k')]を用いて、上記ベクトルσ(k')のある要素とそのある要素の次の要素とが、同じ場合には１を、違う場合には０をそのある要素に対応する要素として持つベクトルeのシェア[e]を生成する複数の第一ベクトル生成ステップと、
   複数の第二ベクトル生成部が、上記シェア[e]を用いて、上記ベクトルeのある要素とそのある要素の前の要素の一方が１の場合には１を、そうでない場合には０をそのある要素に対応する要素として持つベクトルe'のシェア[e']を生成する複数の第二ベクトル生成ステップと、
   複数のビット反転部が、上記シェア[e']を用いて、上記ベクトルe'の各要素をビット反転させたベクトルe''のシェア[e'']を生成する複数のビット反転ステップと、
   複数の第二置換計算部が、上記シェア[e'']を用いて、上記ベクトルe''を昇順に安定ソートする置換σ'のシェア{{σ'}}を生成する複数の第二置換計算ステップと、
   複数の第二置換適用部が、上記シェア[e'']及び上記シェア{{σ'}}を用いて、上記ベクトルe''に上記置換σ'を適用したベクトルσ'(e'')のシェア[σ'(e'')]を生成する複数の第二置換適用ステップと、
   複数の第三ベクトル生成部が、上記シェア[σ'(e'')]を用いて、上記ベクトルσ'(e'')のある要素iが、０である場合には└i/2┘を、０でない場合には０をそのある要素iに対応する要素として持つベクトルxのシェア[x]を生成する複数の第三ベクトル生成ステップと、
   複数の逆置換適用部が、上記シェア[x]、上記シェア{{σ}}及び上記シェア{{σ'}}を用いて、上記ベクトルxに上記置換σ'の逆置換σ'^-1及び上記置換σの逆置換σ^-1を適用したベクトルσ^-1(σ'^-1(x))のシェア[σ^-1(σ'^-1(x))]を生成する複数の逆置換適用ステップと、
   複数のベクトル分離部が、上記シェア[σ^-1(σ'^-1(x))]を用いて、上記ベクトルσ^-1(σ'^-1(x))の先頭からm₀個の要素からなるベクトルs₀のシェア[s₀]と、上記ベクトルσ^-1(σ'^-1(x))の残りのm₁個の要素からなるベクトルs₁のシェア[s₁]とを生成する複数のベクトル分離ステップと、
   複数の第三置換適用部が、上記シェア[s₀]、上記シェア[s₁]及び上記置換π₀,π₁を用いて、上記ベクトルs₀に上記置換π₀を適用したベクトルτ₀:=π₀(s₀)のシェア[π₀(s₀)]と、上記ベクトルs₁に上記置換π₁を適用したベクトルτ₁:=π₁(s₁)のシェア[π₁(s₁)]とを生成して、τ₀:=π₀(s₀)及びτ₁:=π₁(s₁)を公開する複数の第三置換適用ステップと、
   複数の属性値置換部が、上記置換π₀のシェア{{π₀}}、上記置換π₁のシェア{{π₁}}、上記ベクトルv_0,pのシェア[v_0,p]及び上記ベクトルv_1,qのシェア[v_1,q]を用いて、上記第一テーブルの各属性pの属性値のベクトルv_0,pを上記置換π₀で置換したベクトルv'_0,pのシェア[v'_0,p]と、上記第二テーブルの各属性qの属性値のベクトルv_1,qを上記置換π₁で置換したベクトルv'_1,qのシェア[v'_1,q]とを生成する複数の属性値置換ステップと、
   複数の第四ベクトル生成部が、上記ベクトルτ₀、上記ベクトルτ₁、上記シェア[v'_0,p]及び上記シェア[v'_1,q]を用いて、上記ベクトルτ₀のi'番目の要素が０でない場合には上記ベクトルv'_0,pのi'番目の要素をi'-1番目の要素として持つベクトルv''_0,pのシェア[v''_0,p]と、上記ベクトルτ₁のi'番目の要素が０でない場合には上記ベクトルv'_1,qのi'番目の要素をi'-1番目の要素として持つベクトルv''_1,qのシェア[v''_1,q]とを生成する複数の第四ベクトル生成ステップと、
   を含む秘密結合方法。
4. 請求項２の秘密計算装置の各部としてコンピュータを機能させるためのプログラム。

Images