WO2019208486A1 - 秘密集約中央値システム、秘密計算装置、秘密集約中央値方法、およびプログラム - Google Patents

Abstract

秘匿性を保ったまま集約中央値を効率的に求める。順位計算部（１１）は所望のバリュー属性とキー属性とに基づいて安定ソート済みのテーブルをキー属性に基づいてグループ分けしたときのグループ内での昇順順位aと降順順位dとを生成する。減算部（１２）はa-d, d-aのシェア{a-d}, {d-a}を生成する。ビット削除部（１３）は{a-d}, {d-a}から最下位ビットを除いたa', d'のシェア{a'}, {d'}を生成する。等号判定部（１４）は{a"}:={|a'=0|}, {d"}:={|d'=0|}のシェア{a"}, {d"}を生成する。形式変換部（１５）は{a"}, {d"}を[a"], [d"]に変換する。フラグ適用部（１６）は[v_a]:=[v₁a"], [v_d]:=[v₁d"]のシェア[v_a], [v_d]を生成する。置換生成部（１７）は￢a", ￢d"をソートする置換σ_a, σ_dのシェア{{σ_a}}, {{σ_d}}を生成する。中央値計算部（１８）は[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、各グループの中央値を表すベクトルxのシェア[x]を生成する。

Description

秘密集約中央値システム、秘密計算装置、秘密集約中央値方法、およびプログラム

　この発明は秘密計算技術に関し、特に、秘匿性を保ったまま集約関数を計算する技術に関する。

　集約関数は、テーブルにキー属性とバリュー属性があるときに、キー属性の値に基づいてグループ分けした統計値を得る演算である。集約関数は、group-by演算とも呼ばれる。キー属性は、テーブルのレコードをグループ分けするために用いる属性であり、例えば、役職や性別などが挙げられる。バリュー属性は、統計値を計算するために用いる属性であり、例えば、給料や身長などが挙げられる。group-by演算は、例えば、キー属性が性別のときに、男女別の平均身長を求める演算などである。キー属性は複数の属性による複合キーであってもよく、例えば、キー属性が性別と年齢のときに、10代男性の平均身長、20代男性の平均身長、・・・を得るような演算であってもよい。非特許文献１には、group-by演算を秘密計算で行う方法が記載されている。

　集約中央値は、集約関数の一つであり、テーブルをキー属性の値に基づいてグループ分けしたときに、グループごとに所望のバリュー属性の中央値を得る演算である。中央値は、グループのレコード数が奇数ならばそのグループに属するレコードのバリュー属性をソートしたときに中央に位置する値であり、偶数ならば中央に位置する２つの値の平均値である。集約中央値は、group-by中央値とも呼ばれる。group-by中央値は、例えば、キー属性が性別と年齢であり、バリュー属性が給料のときに、10代男性の給料の中央値、20代男性の給料の中央値、・・・を得るような演算である。

五十嵐大，千田浩司，濱田浩気，高橋克巳，"軽量検証可能３パーティ秘匿関数計算の効率化及びこれを用いたセキュアなデータベース処理"，２０１１年暗号と情報セキュリティシンポジウム

　従来の秘密計算技術では、group-by中央値を求めるために、nを計算主体の数としてlog(n)の通信回数が必要となり、効率が悪かった。

　この発明の目的は、上記のような技術的課題に鑑みて、秘匿性を保ったままgroup-by中央値を効率的に求めることができる技術を提供することである。

　上記の課題を解決するために、この発明の一態様の秘密集約中央値システムは、複数の秘密計算装置を含む秘密集約中央値システムであって、mは２以上の整数であり、[v]:=[v₀], …, [v_m-1]はキー属性とバリュー属性とからなるテーブルを所望のバリュー属性の値とキー属性の値とに基づいて安定ソートしたときの所望のバリュー属性v:=v₀, …, v_m-1を秘密分散したシェアであり、[a]:=[a₀], …, [a_m-1]は所望のバリュー属性の値とキー属性の値とに基づいて安定ソート済みのテーブルをキー属性の値に基づいてグループ分けしたときにvのグループ内での昇順順位を表すベクトルa:=a₀, …, a_m-1を秘密分散したシェアであり、[d]:=[d₀], …, [d_m-1]は所望のバリュー属性の値とキー属性の値とに基づいて安定ソート済みのテーブルをキー属性の値に基づいてグループ分けしたときにvのグループ内での降順順位を表すベクトルd:=d₀, …, d_m-1を秘密分散したシェアであり、|・|は等式・の真偽を返却する記号であり、秘密計算装置は、シェア[a]とシェア[d]とを用いて、2^λ>mを満たすλに対する[2^λ+a-d], [2^λ+d-a]の計算結果をλビットにビット分解して、復元するとビット列a-dとなるシェア{a-d}と、復元するとビット列d-aとなるシェア{d-a}とを生成する減算部と、シェア{a-d}とシェア{d-a}とを用いて、復元するとa-dの最下位ビットを除いたビット列a'となるシェア{a'}と、復元するとd-aの最下位ビットを除いたビット列d'となるシェア{d'}とを生成するビット削除部と、シェア{a'}とシェア{d'}とを用いて、{a"}:={|a'=0|}, {d"}:={|d'=0|}を計算し、復元するとフラグa", d"となるシェア{a"}, {d"}を生成する等号判定部と、シェア[v]とシェア{a"}, {d"}とを用いて、[v_a]:=[va"], [v_d]:=[vd"]を計算し、復元するとベクトルv_a, v_dとなるシェア[v_a], [v_d]を生成するフラグ適用部と、シェア{a"}, {d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"をソートする置換σ_a, σ_dとなるシェア{{σ_a}}, {{σ_d}}を生成する置換生成部と、シェア[v_a], [v_d]とシェア{{σ_a}}, {{σ_d}}とを用いて、[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、復元すると各グループの中央値を表すベクトルxとなるシェア[x]を生成する中央値計算部と、を含む。

　この発明の秘密集約中央値技術によれば、秘匿性を保ったままgroup-by中央値をO(1)の通信回数で効率的に求めることができる。

図１は、秘密集約中央値システムの機能構成を例示する図である。 図２は、秘密計算装置の機能構成を例示する図である。 図３は、秘密集約中央値方法の処理手続きを例示する図である。 図４は、変形例の秘密計算装置の機能構成を例示する図である。

　以下、この発明の実施の形態について詳細に説明する。なお、図面中において同じ機能を有する構成部には同じ番号を付し、重複説明を省略する。

　[x]∈[F]は、ある値xが任意の環F上の秘密分散等により秘匿されていることを表す。{b}∈{B}は、１ビットのある値bが１ビットを表せる環B上の秘密分散等により秘匿されていることを表す。{{s}}∈{{S_m}}は、m個の要素の置換の集合S_mに属するある置換sが秘密分散等により秘匿されていることを表す。以下、秘密分散された値を「シェア」とも呼ぶ。

　実施形態中で用いる秘密計算におけるソート処理（安定ソートを含む）は、例えば、下記参考文献１に記載されたソートを用いることができる。置換sのシェア{{s}}については下記参考文献１に記載されたハイブリッド置換{{π}}を用いればよい。

　〔参考文献１〕五十嵐大，濱田浩気，菊池亮，千田浩司，“超高速秘密計算ソートの設計と実装: 秘密計算がスクリプト言語に並ぶ日”，ＣＳＳ２０１７

　＜実施形態＞
　この発明の実施形態は、group-by中央値を求める秘密集約中央値システムおよび方法である。本形態の中央値は、グループのレコード数が奇数ならばそのグループに属するレコードのバリュー属性をソートしたときに中央に位置する値の２倍の値とし、偶数ならば中央に位置する２つの値を加算した値とする。秘密計算で除算を行うのは計算コストが大きいため、秘密集約中央値システムから中央値のシェアを受け取ったクライアントが復元した中央値を２で除算することを想定している。本形態で説明する秘密集約中央値システムに対して秘密計算により２で除算する手順を追加することで本来の意味での中央値を出力する秘密集約中央値システムを構成できることは言うまでもない。

　図１を参照して、実施形態の秘密集約中央値システム１００の構成例を説明する。秘密集約中央値システム１００は、N（≧2）台の秘密計算装置１₁, …, １_Nを含む。本形態では、秘密計算装置１₁, …, １_Nはそれぞれ通信網９へ接続される。通信網９は、接続される各装置が相互に通信可能なように構成された回線交換方式もしくはパケット交換方式の通信網であり、例えばインターネットやLAN（Local Area Network）、WAN（Wide Area Network）などを用いることができる。なお、各装置は必ずしも通信網９を介してオンラインで通信可能である必要はない。例えば、秘密計算装置１₁, …, １_Nへ入力する情報を磁気テープやUSBメモリなどの可搬型記録媒体に記憶し、その可搬型記録媒体から秘密計算装置１₁, …, １_Nへオフラインで入力するように構成してもよい。

　図２を参照して、本形態の秘密集約中央値システム１００に含まれる秘密計算装置１_n（n=1, …, N）の構成例を説明する。秘密計算装置１_nは、例えば、図２に示すように、入力部１０、順位計算部１１、減算部１２、ビット削除部１３、等号判定部１４、形式変換部１５、フラグ適用部１６、置換生成部１７、中央値計算部１８、および出力部１９を含む。この秘密計算装置１_n（1≦n≦N）が他の秘密計算装置１_n'（n'=1, …, N、ただしn≠n'）と協調しながら後述する各ステップの処理を行うことにより実施形態の秘密集約中央値方法が実現される。

　秘密計算装置１_nは、例えば、中央演算処理装置（CPU: Central Processing Unit）、主記憶装置（RAM: Random Access Memory）などを有する公知又は専用のコンピュータに特別なプログラムが読み込まれて構成された特別な装置である。秘密計算装置１_nは、例えば、中央演算処理装置の制御のもとで各処理を実行する。秘密計算装置１_nに入力されたデータや各処理で得られたデータは、例えば、主記憶装置に格納され、主記憶装置に格納されたデータは必要に応じて中央演算処理装置へ読み出されて他の処理に利用される。秘密計算装置１_nの各処理部は、少なくとも一部が集積回路等のハードウェアによって構成されていてもよい。

　図３を参照して、実施形態の秘密集約中央値システム１００が実行する秘密集約中央値方法の処理手続きを説明する。

　ステップＳ１０において、各秘密計算装置１_nの入力部１０は、クロス集計v₀∈F^mを秘密分散により秘匿したシェア[v₀]∈[F]^mと、バリュー属性v₁∈F^mを秘密分散により秘匿したシェア[v₁]∈[F]^mと、置換σを秘密分散により秘匿したシェア{{σ}}∈{{S_m}}とを入力として受け取る。ただし、mは２以上の整数である。入力部１０は、クロス集計v₀のシェア[v₀]と置換σのシェア{{σ}}とを順位計算部１１へ出力する。また、入力部１０は、バリュー属性v₁のシェア[v₁]をフラグ適用部１６へ出力する。

　クロス集計v₀は、各グループのレコード数を集計した結果である。例えば、クロス集計v₀は、テーブルをキー属性で安定ソートしたときに同じキー属性の値をもつレコードを同じグループとして、先頭からグループ数までの要素には各グループのレコード数を集計した結果が設定され、それ以降の要素には０が設定されたベクトルである。なお、安定ソートとは、ソート演算のうち、同じ値の要素が存在した場合に、同じ値の要素同士の順序を保存する演算である。例えば、社員番号順でソートされたテーブルに対して性別で安定ソートすると、各性別の中で社員番号順が保たれているソート結果が得られる。以下、[v₀]∈[F]^mの各要素は、[v_{0_i}]∈[F]（i=0, …, m-1）で参照することもある。

　バリュー属性v₁は、テーブルをバリュー属性とキー属性とで昇順に安定ソートした後のバリュー属性である。すなわち、バリュー属性v₁は、グループ毎にバリュー属性の値で昇順にソートされたものとなっている。以下、[v₁]∈[F]^mの各要素は、[v_{1_i}]∈[F]（i=0, …, m-1）で参照することもある。

　置換σは、各グループのキー属性の値を先頭から１つずつ並べる置換である。例えば、置換σは、テーブルを所望のバリュー属性とキー属性とに基づいて安定ソートしたときに同じキー属性の値をもつレコードを同じグループとして、各グループの最後の要素が先頭から順に並び、続いて他の要素が順に並ぶように移動する置換である。置換σのシェア{{σ}}は上記参考文献１に記載されたハイブリッド置換{{π}}を用いて構成すればよい。

　ステップＳ１１において、各秘密計算装置１_nの順位計算部１１は、クロス集計v₀のシェア[v₀]と置換σのシェア{{σ}}とを用いて、復元するとグループ内での昇順順位を表すベクトルa:=a₀, …, a_m-1∈Fとなるシェア[a]∈[F]^mおよび復元するとグループ内での降順順位を表すベクトルd:=d₀, …, d_m-1∈Fとなるシェア[d]∈[F]^mを生成する。ここで、昇順順位および降順順位は１スタートとする。順位計算部１１は、昇順順位aのシェア[a]と降順順位dのシェア[d]とを減算部１２へ出力する。

　グループ内での昇順順位は、例えば、以下のようにして求めることができる。まず、クロス集計v₀のシェア[v₀]と置換σのシェア{{σ}}とを用いて、復元するとクロス集計v₀に置換σを逆適用した逆置換済みクロス集計v₀':=σ^-1(v₀)となるシェア[v₀']∈[F]^mを生成する。クロス集計v₀は先頭からグループ数までの要素に各グループのレコード数が設定されたベクトルであり、置換σは各グループの最後の要素を先頭から順に並べる置換であるため、クロス集計v₀に置換σを逆適用した逆置換済みクロス集計v₀'は各グループの最後の要素にそのグループのレコード数が設定されたベクトルとなる。以下、[v₀']∈[F]^mの各要素は、[v₀'_i]∈[F]（i=0, …, m-1）で参照することもある。次に、逆置換済みクロス集計v₀'のシェア[v₀']を用いて、[s]:=prefix-sum([v₀'])を計算し、復元するとベクトルs:=s₀, …, s_m-1∈Fとなるシェア[s]∈[F]^mを生成する。prefix-sumは、mを入力ベクトルv₀'の長さとして、0以上m-1以下の各整数iについて、出力ベクトルsのi番目の要素s_iには入力ベクトルv₀'の0番目の要素v₀'₀からi番目の要素v₀'_iまでの値の総和を設定する演算である。そして、ベクトルsのシェア[s]を用いて、1以上m-1以下の各整数iについて[a_i]:=[i-s_i-1+1]を設定し、かつ、[a₀]:=[1]を設定して、復元するとグループ内での昇順順位a:=a₀, …, a_m-1∈Fとなるシェア[a]∈[F]^mを生成する。

　グループ内での降順順位は、例えば、以下のようにして求めることができる。まず、クロス集計v₀のシェア[v₀]を用いて、0以上m-2以下の各整数iについて[v₀"_i]:=[v_{0_i+1}]を設定し、かつ、[v₀"_m-1]:=[0]を設定して、復元するとシフト済みクロス集計v₀":=v₀"₀, …, v₀"_m-1∈F^mとなるシェア[v₀"]∈[F]^mを生成する。シフト済みクロス集計v₀"は各グループのレコード数を表すベクトルであるクロス集計v₀を一つずつ前方へシフトしたベクトルとなる。次に、シフト済みクロス集計v₀"のシェア[v₀"]と置換σのシェア{{σ}}とを用いて、復元するとシフト済みクロス集計v₀"に置換σを逆適用した逆置換済みクロス集計v₀':=σ^-1(v₀")となるシェア[v₀']∈[F]^mを生成する。シフト済みクロス集計v₀"は先頭からグループ数までの要素に各グループのレコード数が設定されたクロス集計v₀を一つずつ前方へシフトしたベクトルであり、置換σは各グループの最後の要素を先頭から順に並べる置換であるため、シフト済みクロス集計v₀"に置換σを逆適用した逆置換済みクロス集計v₀'は各グループの最後の要素に一つ後方のグループのレコード数が設定されたベクトルとなる。続いて、逆置換済みクロス集計v₀'のシェア[v₀']を用いて、[s']:=postfix-sum([v₀'])を計算し、復元するとベクトルs':=s'₀, …, s'_m-1∈Fとなるシェア[s']∈[F]^mを生成する。postfix-sumは、mを入力ベクトルv₀'の長さとして、0以上m-1以下の各整数iについて、出力ベクトルs'のi番目の要素s'_iには入力ベクトルv₀'のi番目の要素v₀'_iからm-1番目の要素v₀'_m-1までの値の総和を設定する演算である。そして、ベクトルs'のシェア[s']を用いて、0以上m-1以下の各整数iについて[d_i]:=[m-i-s'_i]を設定して、復元するとグループ内での降順順位d:=d₀, …, d_m-1∈Fとなるシェア[d]∈[F]^mを生成する。

　ステップＳ１２において、各秘密計算装置１_nの減算部１２は、まず、昇順順位aのシェア[a]と降順順位dのシェア[d]とを用いて、2^λ>mを満たすλに対して、[2^λ+a-d], [2^λ+d-a]を計算する。次に、減算部１２は、[2^λ+a-d], [2^λ+d-a]をλビットにビット分解して、復元するとビット列a-dとなるシェア{a-d}∈{B_λ}^mと、復元するとビット列d-aとなるシェア{d-a}∈{B_λ}^mとを生成する。減算部１２は、ビット列a-dのシェア{a-d}とビット列d-aのシェア{d-a}とをビット削除部１３へ出力する。

　ステップＳ１３において、各秘密計算装置１_nのビット削除部１３は、a-dのシェア{a-d}とd-aのシェア{d-a}とから最下位ビットを除いて、復元するとa', d'となるシェア{a'},{d'}∈{B_λ-1}^mを生成する。a'はa-dの最下位ビットを除いたビット列であり、d'はd-aの最下位ビットを除いたビット列である。ビット削除部１３は、a'のシェア{a'}とd'のシェア{d'}とを等号判定部１４へ出力する。

　ステップＳ１４において、各秘密計算装置１_nの等号判定部１４は、a'のシェア{a'}とd'のシェア{d'}とを用いて、{a"}:={|a'=0|}, {d"}:={|d'=0|}を計算し、復元するとフラグa", d"∈B^mとなるシェア{a"}, {d"}∈{B}^mを生成する。なお、|・|は等式・の真偽を返却する記号である。フラグa", d"は、a-d, d-aそれぞれが0以上1以下であるかどうかを表す。さらに、a"はそのレコードが大きい方の中央値であるかどうか、d"はそのレコードが小さい方の中央値であるかどうかを表す。等号判定部１４は、フラグa", d"のシェア{a"}, {d"}を形式変換部１５および置換生成部１７へ出力する。

　ステップＳ１５において、各秘密計算装置１_nの形式変換部１５は、フラグa", d"のシェア{a"}, {d"}∈{B}^mを任意の環F上の秘密分散によるシェア[a"], [d"]∈[F]^mに変換する。形式変換部１５は、フラグa", d"のシェア[a"], [d"]をフラグ適用部１６へ出力する。

　ステップＳ１６において、各秘密計算装置１_nのフラグ適用部１６は、バリュー属性v₁のシェア[v₁]とフラグa", d"のシェア{a"}, {d"}とを用いて、[v_a]:=[v₁a"], [v_d]:=[v₁d"]を計算し、復元するとベクトルv_a, v_d∈F^mとなるシェア[v_a], [v_d]∈[F]^mを生成する。フラグ適用部１６は、ベクトルv_a, v_dのシェア[v_a], [v_d]を中央値計算部１８へ出力する。

　ステップＳ１７において、各秘密計算装置１_nの置換生成部１７は、まず、フラグa", d"のシェア{a"}, {d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"となるシェア{￢a"}, {￢d"}∈{B}^mを生成する。次に、置換生成部１７は、フラグa", d"の否定￢a", ￢d"のシェア{￢a"}, {￢d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"をソートする置換σ_a, σ_dとなるシェア{{σ_a}}, {{σ_d}}∈{{S_m}}を生成する。置換生成部１７は、置換σ_a, σ_dのシェア{{σ_a}}, {{σ_d}}を中央値計算部１８へ出力する。

　ステップＳ１８において、各秘密計算装置１_nの中央値計算部１８は、ベクトルv_a, v_dのシェア[v_a], [v_d]と置換σ_a, σ_dのシェア{{σ_a}}, {{σ_d}}とを用いて、[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、復元すると各グループの中央値を表すベクトルxとなるシェア[x]∈[F]^mを生成する。中央値計算部１８は、中央値xのシェア[x]を出力部１９へ出力する。

　ステップＳ１９において、各秘密計算装置１_nの出力部１９は、中央値xのシェア[x]を出力する。

　＜変形例＞
　上記の実施形態では、入力部１０へクロス集計v₀のシェア[v₀]とバリュー属性v₁のシェア[v₁]と置換σのシェア{{σ}}とが入力される構成を説明した。変形例では、入力部１０へテーブルを秘密分散等により秘匿したシェアが入力され、クロス集計v₀のシェア[v₀]と置換σのシェア{{σ}}とを求めてから、上記の実施形態で説明した手順に従ってgroup-by中央値を計算する構成を説明する。

　変形例の秘密計算装置２_n（n=1, …, N）は、例えば、図４に示すように、実施形態の秘密計算装置１_n（n=1, …, N）が備える各処理部に加えて、ビット分解部２１、グループソート生成部２２、ビット列ソート部２３、フラグ生成部２４、キー集約ソート生成部２５、バリューソート部２６、フラグ変換部３１、境界番号設定部３２、ソート部３３、およびカウント計算部３４を含む。以下、実施形態の秘密集約中央値システム１００と異なる点についてのみ説明する。

　各秘密計算装置２_nの入力部１０は、n_k個のキー属性k₀, …, k_nk-1∈F^mそれぞれを秘密分散により秘匿したシェア[k₀], …, [k_nk-1]∈[F]^mと、n_a個のバリュー属性v₀, …, v_na-1∈F^mそれぞれを秘密分散により秘匿したシェア[v₀], …, [v_na-1]∈[F]^mとを入力として受け取る。ただし、n_k, n_aは１以上の整数である。また、バリュー属性v'₀, …, v'_na-1のうち中央値を求めたい所望のバリュー属性v₁は昇順でソート済みであるものとする。以下、[k_j]∈[F]^m（j=0, …, n_k-1）の各要素は、[k_j,i]∈[F]（i=0, …, m-1）で参照することもある。入力部１０は、キー属性k₀, …, k_nk-1のシェア[k₀], …, [k_nk-1]をビット分解部２１へ出力する。

　各秘密計算装置２_nのビット分解部２１は、キー属性k₀, …, k_nk-1のシェア[k₀], …, [k_nk-1]をビット分解して結合し、復元するとキー属性k₀, …, k_nk-1のビット表現を結合したビット列b:=b₀, …, b_m-1∈B^λとなるシェア{b}∈{B}^λを得る。ただし、λはビット列bのビット長であり、各b_i（i=0, …, m-1）のビット長の総和である。言い替えると、{b_i}は、キー属性k₀, …, k_nk-1のシェア[k₀], …, [k_nk-1]それぞれのi番目の要素[k_0,i], …, [k_nk-1,i]のビット表現を結合したビット列である。ビット分解部２１は、ビット列bのシェア{b}をグループソート生成部２２へ出力する。

　各秘密計算装置２_nのグループソート生成部２２は、ビット列bのシェア{b}を用いて、復元するとビット列bを昇順で安定ソートするための置換σ₀となるシェア{{σ₀}}∈{{S_m}}を生成する。ビット列bはキー属性k₀, …, k_nk-1のビット表現を結合したものであるため、置換σ₀はキー属性k₀, …, k_nk-1の値が等しいレコードを連続するように並び替えてグループ分けする操作であるとも言える。グループソート生成部２２は、ビット列bのシェア{b}と置換σ₀のシェア{{σ₀}}とをビット列ソート部２３へ出力する。また、グループソート生成部２２は、置換σ₀のシェア{{σ₀}}をバリューソート部２６へ出力する。

　各秘密計算装置２_nのビット列ソート部２３は、ビット列bのシェア{b}と置換σ₀のシェア{{σ₀}}とを用いて、復元するとビット列bを置換σ₀でソートしたソート済みビット列b':=b'₀, …, b'_m-1∈B^λとなるシェア{b'}∈{B}^λを得る。ビット列ソート部２３は、ソート済みビット列b'のシェア{b'}をフラグ生成部２４へ出力する。

　各秘密計算装置２_nのフラグ生成部２４は、ソート済みビット列b'のシェア{b'}を用いて、0以上m-2以下の各整数iについて{e_i}:={b'_i≠b'_i+1}を設定し、かつ、{e_m-1}:={1}を設定して、復元するとフラグe:=e₀, …, e_m-1∈B^mとなるシェア{e}∈{B}^mを生成する。フラグe_iはソート済みビット列b'のi番目の要素b'_iがi+1番目の要素b'_i+1と異なる場合に真が設定されるため、各グループの最後の要素（すなわち、グループ間の境界の直前の要素）を示すフラグとなる。フラグ生成部２４は、フラグeのシェア{e}をキー集約ソート生成部２５およびフラグ変換部３１へ出力する。

　各秘密計算装置２_nのキー集約ソート生成部２５は、まず、フラグeのシェア{e}を用いて、復元するとフラグeの否定￢eであるフラグe'となるシェア{e'}∈{B}^mを生成する。すなわち、0以上m-1以下の各整数iについて{e'_i}:={￢e_i}を設定する。次に、キー集約ソート生成部２５は、フラグe'のシェア{e'}を用いて、復元するとフラグe'を昇順に安定ソートするための置換σとなるシェア{{σ}}∈{{S_m}}を生成する。キー集約ソート生成部２５は、置換σのシェア{{σ}}をソート部３３へ出力する。また、キー集約ソート生成部２５は、置換σのシェア{{σ}}を順位計算部１１へ出力する。

　各秘密計算装置２_nのバリューソート部２６は、バリュー属性v₀, …, v_na-1のシェア[v₀], …, [v_na-1]と置換σ₀のシェア{{σ₀}}とを用いて、復元するとバリュー属性v₀, …,v_na-1を置換σ₀でソートしたソート済みバリュー属性v'₀, …, v'_na-1となるシェア[v'₀], …, [v'_na-1]を生成する。バリューソート部２６は、ソート済みバリュー属性v'₀, …, v'_na-1のシェア[v'₀], …, [v'_na-1]のうち中央値を求めたいものを所望のバリュー属性v₁のシェア[v₁]としてフラグ適用部１６へ出力する。

　各秘密計算装置２_nのフラグ変換部３１は、フラグeのシェア{e}∈{B}^mを任意の環F上の秘密分散によるシェア[e]∈[F]^mに変換する。フラグ変換部３１は、フラグeのシェア[e]を境界番号設定部３２へ出力する。

　各秘密計算装置２_nの境界番号設定部３２は、フラグeのシェア[e]を用いて、0以上m-1以下の各整数iについて[x'_i]:=[e_i?i+1:m]を設定し、復元するとベクトルx':=x'₀, …, x'_m-1∈Fとなるシェア[x']∈[F]^mを生成する。ここで、「?」は条件演算子（または三項演算子）である。すなわち、[e_i]が真（例えば、[e_i]=[1]）のときは[x'_i]:=[i+1]を設定し、[e_i]が偽（例えば、[e_i]=[0]）のときは[x'_i]:=[m]を設定する。ベクトルx'は、テーブルをキー属性で安定ソートしたときに同じキー属性の値をもつレコードを同じグループとして、各グループの最後の要素には次の要素の先頭からの位置が設定され、その他の要素にはテーブル全体のレコード数が設定されたベクトルとなる。言い替えると、各グループの最後の要素には、先頭のグループからそのグループまでの各グループのレコード数を積み上げた合計値が設定されることになる。境界番号設定部３２は、ベクトルx'のシェア[x']をソート部３３へ出力する。

　各秘密計算装置２_nのソート部３３は、ベクトルx'のシェア[x']と置換σのシェア{{σ}}とを用いて、復元するとベクトルx'を置換σでソートしたソート済みベクトルσ(x')となるシェア[σ(x')]∈[F]^mを生成する。以下、[σ(x')]∈[F]^mの各要素は、[σ(x')_i]∈[F]（i=0, …, m-1）で参照することもある。ソート部３３は、ソート済みベクトルσ(x')のシェア[σ(x')]をカウント計算部３４へ出力する。

　各秘密計算装置２_nのカウント計算部３４は、ソート済みベクトルσ(x')のシェア[σ(x')]を用いて、1以上min(g,m)-1以下の各整数iについて[v_{0_i}]:=[σ(x')_i-σ(x')_i-1]を設定し、かつ、min(g,m)以上m-1以下の各整数iについて[v_{0_i}]:=[0]を設定し、かつ、[v_{0_0}]:=[σ(x')₀]を設定して、復元すると各グループのレコード数（すなわち、クロス集計）を表すベクトルv₀:=v_{0_0}, …, v_{0_m-1}∈Fとなるシェア[v₀]∈[F]^mを生成する。ソート済みベクトルσ(x')のi番目の要素σ(x')_iは、0番目からi番目までの各グループのレコード数を積み上げた合計値が設定されているため、クロス集計v₀のi番目の要素v_{0_i}には、i番目のグループのレコード数が設定されることになる。カウント計算部３４は、クロス集計v₀のシェア[v₀]を順位計算部１１へ出力する。

　以上、この発明の実施の形態について説明したが、具体的な構成は、これらの実施の形態に限られるものではなく、この発明の趣旨を逸脱しない範囲で適宜設計の変更等があっても、この発明に含まれることはいうまでもない。実施の形態において説明した各種の処理は、記載の順に従って時系列に実行されるのみならず、処理を実行する装置の処理能力あるいは必要に応じて並列的にあるいは個別に実行されてもよい。

　［プログラム、記録媒体］
　上記実施形態で説明した各装置における各種の処理機能をコンピュータによって実現する場合、各装置が有すべき機能の処理内容はプログラムによって記述される。そして、このプログラムをコンピュータで実行することにより、上記各装置における各種の処理機能がコンピュータ上で実現される。

　この処理内容を記述したプログラムは、コンピュータで読み取り可能な記録媒体に記録しておくことができる。コンピュータで読み取り可能な記録媒体としては、例えば、磁気記録装置、光ディスク、光磁気記録媒体、半導体メモリ等どのようなものでもよい。

　また、このプログラムの流通は、例えば、そのプログラムを記録したDVD、CD-ROM等の可搬型記録媒体を販売、譲渡、貸与等することによって行う。さらに、このプログラムをサーバコンピュータの記憶装置に格納しておき、ネットワークを介して、サーバコンピュータから他のコンピュータにそのプログラムを転送することにより、このプログラムを流通させる構成としてもよい。

　このようなプログラムを実行するコンピュータは、例えば、まず、可搬型記録媒体に記録されたプログラムもしくはサーバコンピュータから転送されたプログラムを、一旦、自己の記憶装置に格納する。そして、処理の実行時、このコンピュータは、自己の記憶装置に格納されたプログラムを読み取り、読み取ったプログラムに従った処理を実行する。また、このプログラムの別の実行形態として、コンピュータが可搬型記録媒体から直接プログラムを読み取り、そのプログラムに従った処理を実行することとしてもよく、さらに、このコンピュータにサーバコンピュータからプログラムが転送されるたびに、逐次、受け取ったプログラムに従った処理を実行することとしてもよい。また、サーバコンピュータから、このコンピュータへのプログラムの転送は行わず、その実行指示と結果取得のみによって処理機能を実現する、いわゆるASP（Application Service Provider）型のサービスによって、上述の処理を実行する構成としてもよい。なお、本形態におけるプログラムには、電子計算機による処理の用に供する情報であってプログラムに準ずるもの（コンピュータに対する直接の指令ではないがコンピュータの処理を規定する性質を有するデータ等）を含むものとする。

　また、この形態では、コンピュータ上で所定のプログラムを実行させることにより、本装置を構成することとしたが、これらの処理内容の少なくとも一部をハードウェア的に実現することとしてもよい。

Claims (5)

1. 　複数の秘密計算装置を含む秘密集約中央値システムであって、
   　mは２以上の整数であり、[v]:=[v₀], …, [v_m-1]はキー属性とバリュー属性とからなるテーブルを所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソートしたときの所望のバリュー属性v:=v₀, …, v_m-1を秘密分散したシェアであり、[a]:=[a₀], …, [a_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での昇順順位を表すベクトルa:=a₀, …, a_m-1を秘密分散したシェアであり、[d]:=[d₀], …, [d_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での降順順位を表すベクトルd:=d₀, …, d_m-1を秘密分散したシェアであり、|・|は等式・の真偽を返却する記号であり、
   　上記秘密計算装置は、
   　上記シェア[a]と上記シェア[d]とを用いて、2^λ>mを満たすλに対する[2^λ+a-d], [2^λ+d-a]の計算結果をλビットにビット分解して、復元するとビット列a-dとなるシェア{a-d}と、復元するとビット列d-aとなるシェア{d-a}とを生成する減算部と、
   　上記シェア{a-d}と上記シェア{d-a}とを用いて、復元するとa-dの最下位ビットを除いたビット列a'となるシェア{a'}と、復元するとd-aの最下位ビットを除いたビット列d'となるシェア{d'}とを生成するビット削除部と、
   　上記シェア{a'}と上記シェア{d'}とを用いて、{a"}:={|a'=0|}, {d"}:={|d'=0|}を計算し、復元するとフラグa", d"となるシェア{a"}, {d"}を生成する等号判定部と、
   　上記シェア[v]と上記シェア{a"}, {d"}とを用いて、[v_a]:=[va"], [v_d]:=[vd"]を計算し、復元するとベクトルv_a, v_dとなるシェア[v_a], [v_d]を生成するフラグ適用部と、
   　上記シェア{a"}, {d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"をソートする置換σ_a, σ_dとなるシェア{{σ_a}}, {{σ_d}}を生成する置換生成部と、
   　上記シェア[v_a], [v_d]と上記シェア{{σ_a}}, {{σ_d}}とを用いて、[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、復元すると各グループの中央値を表すベクトルxとなるシェア[x]を生成する中央値計算部と、
   　を含む秘密集約中央値システム。
2. 　請求項１に記載の秘密集約中央値システムであって、
   　Fは任意の環であり、n_kは１以上の整数であり、[k₀], …, [k_nk-1]はキー属性k₀, …, k_nk-1∈F^mを秘密分散したシェアであり、[v']は上記テーブルを上記キー属性の値に基づいてソートする前の所望のバリュー属性v'∈F^mを秘密分散したシェアであり、
   　上記秘密計算装置は、
   　上記シェア[k₀], …, [k_nk-1]を用いて、復元すると上記キー属性k₀, …, k_nk-1をビット分解して結合したビット列b:=b₀, …, b_m-1となるシェア{b}から、復元すると上記ビット列bを昇順に安定ソートする置換σ₀となるシェア{{σ₀}}を生成するグループソート生成部と、
   　上記シェア{b}と上記シェア{{σ₀}}とを用いて、復元すると上記ビット列bを上記置換σ₀でソートしたソート済みビット列b':=b'₀, …, b'_m-1となるシェア{b'}を生成するビット列ソート部と、
   　上記シェア{b'}を用いて、0以上m-2以下の各整数iについて{e_i}:={b'_i≠b'_i+1}を設定し、かつ、{e_m-1}:={1}を設定して、復元すると上記フラグe:=e₀, …, e_m-1となる上記シェア{e}を生成するフラグ生成部と、
   　上記シェア{e}を用いて、復元すると上記フラグeの否定￢eを昇順に安定ソートする置換σとなるシェア{{σ}}を生成するキー集約ソート生成部と、
   　上記シェア[v']と上記シェア{{σ₀}}とを用いて、復元すると上記バリュー属性v'を上記置換σ₀でソートした上記バリュー属性vとなる上記シェア[v]を生成するバリューソート部と、
   　をさらに含む秘密集約中央値システム。
3. 　mは２以上の整数であり、[v]:=[v₀], …, [v_m-1]はキー属性とバリュー属性とからなるテーブルを所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソートしたときの所望のバリュー属性v:=v₀, …, v_m-1を秘密分散したシェアであり、[a]:=[a₀], …, [a_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での昇順順位を表すベクトルa:=a₀, …, a_m-1を秘密分散したシェアであり、[d]:=[d₀], …, [d_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での降順順位を表すベクトルd:=d₀, …, d_m-1を秘密分散したシェアであり、|・|は等式・の真偽を返却する記号であり、
   　上記シェア[a]と上記シェア[d]とを用いて、2^λ>mを満たすλに対する[2^λ+a-d], [2^λ+d-a]の計算結果をλビットにビット分解して、復元するとビット列a-dとなるシェア{a-d}と、復元するとビット列d-aとなるシェア{d-a}とを生成する減算部と、
   　上記シェア{a-d}と上記シェア{d-a}とを用いて、復元するとa-dの最下位ビットを除いたビット列a'となるシェア{a'}と、復元するとd-aの最下位ビットを除いたビット列d'となるシェア{d'}とを生成するビット削除部と、
   　上記シェア{a'}と上記シェア{d'}とを用いて、{a"}:={|a'=0|}, {d"}:={|d'=0|}を計算し、復元するとフラグa", d"となるシェア{a"}, {d"}を生成する等号判定部と、
   　上記シェア[v]と上記シェア{a"}, {d"}とを用いて、[v_a]:=[va"], [v_d]:=[vd"]を計算し、復元するとベクトルv_a, v_dとなるシェア[v_a], [v_d]を生成するフラグ適用部と、
   　上記シェア{a"}, {d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"をソートする置換σ_a, σ_dとなるシェア{{σ_a}}, {{σ_d}}を生成する置換生成部と、
   　上記シェア[v_a], [v_d]と上記シェア{{σ_a}}, {{σ_d}}とを用いて、[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、復元すると各グループの中央値を表すベクトルxとなるシェア[x]を生成する中央値計算部と、
   　を含む秘密計算装置。
4. 　複数の秘密計算装置を含む秘密集約中央値システムが実行する秘密集約中央値方法であって、
   　mは２以上の整数であり、[v]:=[v₀], …, [v_m-1]はキー属性とバリュー属性とからなるテーブルを所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソートしたときの所望のバリュー属性v:=v₀, …, v_m-1を秘密分散したシェアであり、[a]:=[a₀], …, [a_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での昇順順位を表すベクトルa:=a₀, …, a_m-1を秘密分散したシェアであり、[d]:=[d₀], …, [d_m-1]は所望のバリュー属性の値と上記キー属性の値とに基づいて安定ソート済みの上記テーブルを上記キー属性の値に基づいてグループ分けしたときに上記vのグループ内での降順順位を表すベクトルd:=d₀, …, d_m-1を秘密分散したシェアであり、|・|は等式・の真偽を返却する記号であり、
   　上記秘密計算装置の減算部が、上記シェア[a]と上記シェア[d]とを用いて、2^λ>mを満たすλに対する[2^λ+a-d], [2^λ+d-a]の計算結果をλビットにビット分解して、復元するとビット列a-dとなるシェア{a-d}と、復元するとビット列d-aとなるシェア{d-a}とを生成し、
   　上記秘密計算装置のビット削除部が、上記シェア{a-d}と上記シェア{d-a}とを用いて、復元するとa-dの最下位ビットを除いたビット列a'となるシェア{a'}と、復元するとd-aの最下位ビットを除いたビット列d'となるシェア{d'}とを生成し、
   　上記秘密計算装置の等号判定部が、上記シェア{a'}と上記シェア{d'}とを用いて、{a"}:={|a'=0|}, {d"}:={|d'=0|}を計算し、復元するとフラグa", d"となるシェア{a"}, {d"}を生成し、
   　上記秘密計算装置のフラグ適用部が、上記シェア[v]と上記シェア{a"}, {d"}とを用いて、[v_a]:=[va"], [v_d]:=[vd"]を計算し、復元するとベクトルv_a, v_dとなるシェア[v_a], [v_d]を生成し、
   　上記秘密計算装置の置換生成部が、上記シェア{a"}, {d"}を用いて、復元するとフラグa", d"の否定￢a", ￢d"をソートする置換σ_a, σ_dとなるシェア{{σ_a}}, {{σ_d}}を生成し、
   　上記秘密計算装置の中央値計算部が、上記シェア[v_a], [v_d]と上記シェア{{σ_a}}, {{σ_d}}とを用いて、[x]:=[σ_a(v_a)+σ_d(v_d)]を計算し、復元すると各グループの中央値を表すベクトルxとなるシェア[x]を生成する、
   　を含む秘密集約中央値方法。
5. 　請求項３に記載の秘密計算装置としてコンピュータを機能させるためのプログラム。

Images