WO2022123744A1

WO2022123744A1 - 秘匿ハッシュテーブル構築装置、秘匿ハッシュテーブル構築システム、秘匿ハッシュテーブル構築方法、及びプログラム

Info

Publication number: WO2022123744A1
Application number: PCT/JP2020/046125
Authority: WO
Inventors: 敦謙市川
Original assignee: Nippon Telegraph and Telephone Corp
Current assignee: NTT Inc
Priority date: 2020-12-10
Filing date: 2020-12-10
Publication date: 2022-06-16
Anticipated expiration: 2023-06-10
Also published as: JP7505583B2; US12189594B2; JPWO2022123744A1; US20240028576A1

Abstract

データを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築装置であって、前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、前記実データ列とダミーのデータ列とを連結した第２配列を生成し、アドレス値に対して同一データに対するランク付け操作を行って、当該ランク付けに基づいて、前記第１配列と前記第２配列から、前記秘匿ハッシュテーブルを構築する演算部を備える。

Description

秘匿ハッシュテーブル構築装置、秘匿ハッシュテーブル構築システム、秘匿ハッシュテーブル構築方法、及びプログラム

　本発明は、秘密計算に関するものであり、特に配列の順序を秘匿した操作に関するものである。

　ハッシュテーブルは、データのキー値をハッシュ関数等により符号化しデータ配列におけるアドレス値との紐付けを行うことで、キー値に基づくデータ検索を高速で行うためのデータ構造である。これは例えば、外部サーバ等にデータを預け、随時キー値による検索を行いたい場合などに有用である。

　しかし、通常のハッシュテーブルはデータ秘匿を想定するものではなく、例えばユーザからデータ（ないしハッシュテーブル）を委託されたサーバがテーブル構造を識別でき、それによりユーザのアクセス傾向を観測しうるという問題がある。こうした問題を解決する既存の方法として、秘匿ハッシュテーブル（例えば、参考文献［４，１］）がある。なお、参考文献名については、明細書の最後にまとめて記載した。秘匿ハッシュテーブルは、サーバに対してテーブル構造を秘匿したままでハッシュテーブルを構築させる技術であり、サーバに対してユーザのアクセス傾向を秘匿できる。

　秘匿ハッシュテーブル構築方法として自明に挙げられるのは、ユーザが全てのデータを手元で暗号化しハッシュテーブルを構築、サーバへ委託する方法であるが、この場合データ数ｎに対してユーザの記憶領域がＯ（ｎ）必要となる。上記に挙げた参考文献［４］及び［１］は、全ての暗号化データをサーバが持っている前提で、ユーザ・サーバの協調プロトコルによってサーバ上に秘匿ハッシュテーブルを構築する方法であり、この時ユーザの記憶領域はＯ（１）で十分であるという利点を持つ。

　しかしながら、参考文献［４，１］の技術は秘匿ハッシュテーブル構築の際、ユーザ・サーバ間で非常に多くの通信を要するという課題がある。現実に、ユーザの通信環境や計算性能が必ずしも好条件であるとは限らないことからも、上記コストは可能な限り低減されることが望ましい。これを解決した方法の１つに、非特許文献１に開示された技術が挙げられる。この文献には、複数台のサーバを利用した秘密計算により、ユーザ・サーバ間での通信を一切要さずに秘匿ハッシュテーブルを構築する手法が示されており、そのためユーザ端末の通信環境や計算性能を問わず安定した性能を実現できる。

　特に、非特許文献１にて示される手法のうち"Ｏｂｌｉｖｉｏｕｓ　Ｇｒｅｅｄｙ　Ｈａｓｈｉｎｇ"と呼ばれる秘匿ハッシュ法は、格納されるべき各データに対してそれぞれ２通りのアドレス値（すなわち、テーブルのどの位置に格納されるべきかを示す値）を与えることで、各データが２つの格納先のより空いている方へと格納されるようなテーブル構築アルゴリズムを実現している。これにより、他の既存手法に比較してテーブルサイズを小さく抑えられるといった利点がある。

市川敦謙，濱田浩気，菊池亮，五十嵐大．3 パーティ計算上の最適秘匿ハッシュと劣対数効率のOblivious RAM．暗号と情報セキュリティシンポジウム(SCIS)2020 予稿集(2020)．

　非特許文献１に開示されているＯｂｌｉｖｉｏｕｓ　Ｇｒｅｅｄｙ　Ｈａｓｈｉｎｇはテーブルサイズが小さく、参考文献［４，１］に開示の技術と違いユーザ・サーバ間での通信が不要であるといったメリットの一方で、テーブル構築の際、単純にシステム全体の通信量で比較した場合に非常に多くの通信を要する欠点もある。具体的には、ｎをテーブルに格納するデータの総数とすると、参考文献［４］や［１］の手法で秘匿ハッシュテーブルを構築する際にはＯ（ｎｌｏｇ^２ｎ）ビットの通信を要するのに対し、Ｏｂｌｉｖｉｏｕｓ　Ｇｒｅｅｄｙ　ＨａｓｈｉｎｇはＯ（Ｚ×ｎｌｏｇ^２ｎ）ビットの通信が必要となる。ここで、Ｚとは方式の安全性にまつわるパラメータであり、非特許文献１ではＺ＝２ｌｏｇ^εｎが例示されている。

　本発明は上記の点に鑑みてなされたものであり、テーブルサイズを小さくしつつ、通信量を増大させないで秘匿ハッシュテーブルを構築する技術を提供することを目的とする。

　開示の技術によれば、キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築装置であって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成し、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートし、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行い、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成し、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力する
　演算部を備える秘匿ハッシュテーブル構築装置が提供される。

　開示の技術によれば、テーブルサイズを小さくしつつ、通信量を増大させないで秘匿ハッシュテーブルを構築する技術が提供される。

秘匿ハッシュテーブル構築システムの構成図である。サーバの機能構成図である。装置のハードウェア構成例を示す図である。実施例１の処理手順を示すフローチャートである。実施例２の処理手順を示すフローチャートである。実施例３の処理手順を示すフローチャートである。実施例４の処理手順を示すフローチャートである。実施例５の処理手順を示すフローチャートである。

　以下、図面を参照して本発明の実施の形態（本実施の形態）を説明する。以下で説明する実施の形態は一例に過ぎず、本発明が適用される実施の形態は、以下の実施の形態に限られるわけではない。

　（実施の形態の概要）
　本実施の形態では、複数台のサーバを用いてユーザ・サーバ間通信コストを削減した効率的な秘匿ハッシュテーブル構築方法、及び操作方法について説明する。本実施の形態に係る技術により、各データに２通りの格納先を付与することでＯｂｌｉｖｉｏｕｓ　Ｇｒｅｅｄｙ　Ｈａｓｈｉｎｇと同等にテーブルサイズを小さく抑えつつも、サーバ間通信量Ｏ（ｎｌｏｇ^２ｎ）ビットのみでテーブル構築が可能である。以下、本実施の形態のシステム構成、及び処理手順について詳細に説明する。

　（システム構成）
　図１に、本実施の形態における秘匿ハッシュテーブル構築システムの構成例を示す。図１に示すように、本実施の形態の秘匿ハッシュテーブル構築システムは、複数のサーバ１００－１～１００－Ｎが通信ネットワーク上２００に備えられた構成を有する。各サーバはコンピュータである。当該コンピュータは物理マシンであってもよいし、クラウドにより提供される仮想マシンであってもよい。

　図１に示すユーザ端末３００が、秘匿ハッシュテーブル構築システムにアクセスして、例えばキーに対応するデータを取得する。

　本実施の形態では、これら複数のサーバ１００－１～１００－Ｎ間の協調プロトコルにより秘密計算で秘匿ハッシュテーブル構築に係る処理を実行する。ただし、本発明の実施にあたって、複数サーバの協調プロトコルを使用することは例であり、これに限定されるわけではない。本発明は、秘密計算を行うことができるどのような技術にも適用可能である。例えば、１つのサーバで秘密計算を行うことができる場合に、そのサーバで本発明に係る技術を実行することも可能である。

　図２に、サーバ１００の構成例を示す。図２に示すサーバ１００の構成例は、複数のサーバ１００－１～１００－Ｎを仮想的に１つのサーバとみなした場合のその構成である。この場合、図２に示すサーバ１００を秘匿ハッシュテーブル構築システムと呼んでもよい。また、当該サーバ１００を、秘匿ハッシュテーブル構築装置と呼んでもよい。また、１つのサーバで秘密計算を行う場合におけるそのサーバが図２に示すサーバ１００であってもよい。

　図２に示すように、サーバ１００は、入力部１１０、演算部１２０、出力部１３０、データ格納部１４０を有する。演算部１２０は、秘匿ハッシュテーブル構築及び操作に係る処理を実行する。データ格納部１４０には、計算にあたって予め用意しておくデータ、計算途中の秘匿した配列等のデータ、テーブルが格納される。入力部１１０は、例えば、ユーザ端末３００からの要求を受信し、入力する。出力部１４０は、例えば、ユーザ端末３００からの要求に対する演算結果をユーザ端末３００に返す。

　　（ハードウェア構成例）
　本実施の形態におけるサーバ１００（秘匿ハッシュテーブル構築装置）は、例えば、コンピュータに、本実施の形態で説明する処理内容を記述したプログラムを実行させることにより実現可能である。なお、この「コンピュータ」は、物理マシンであってもよいし、クラウド上の仮想マシンであってもよい。仮想マシンを使用する場合、ここで説明する「ハードウェア」は仮想的なハードウェアである。

　上記プログラムは、コンピュータが読み取り可能な記録媒体（可搬メモリ等）に記録して、保存したり、配布したりすることが可能である。また、上記プログラムをインターネットや電子メール等、ネットワークを通して提供することも可能である。

　図３は、上記コンピュータのハードウェア構成例を示す図である。図３のコンピュータは、それぞれバスＢで相互に接続されているドライブ装置１０００、補助記憶装置１００２、メモリ装置１００３、ＣＰＵ１００４、インタフェース装置１００５、表示装置１００６、入力装置１００７、出力装置１００８等を有する。

　当該コンピュータでの処理を実現するプログラムは、例えば、ＣＤ－ＲＯＭ又はメモリカード等の記録媒体１００１によって提供される。プログラムを記憶した記録媒体１００１がドライブ装置１０００にセットされると、プログラムが記録媒体１００１からドライブ装置１０００を介して補助記憶装置１００２にインストールされる。但し、プログラムのインストールは必ずしも記録媒体１００１より行う必要はなく、ネットワークを介して他のコンピュータよりダウンロードするようにしてもよい。補助記憶装置１００２は、インストールされたプログラムを格納すると共に、必要なファイルやデータ等を格納する。

　メモリ装置１００３は、プログラムの起動指示があった場合に、補助記憶装置１００２からプログラムを読み出して格納する。ＣＰＵ１００４は、メモリ装置１００３に格納されたプログラムに従って、当該サーバ１００に係る機能を実現する。インタフェース装置１００５は、ネットワークに接続するためのインタフェースとして用いられる。表示装置１００６はプログラムによるＧＵＩ（Ｇｒａｐｈｉｃａｌ　Ｕｓｅｒ　Ｉｎｔｅｒｆａｃｅ）等を表示する。入力装置１００７はキーボード及びマウス、ボタン、又はタッチパネル等で構成され、様々な操作指示を入力させるために用いられる。出力装置１００８は演算結果を出力する。

　（秘密計算に係る基本的な処理について）
　まず、サーバ１００の演算部１２０により実行される秘匿ハッシュテーブル構築や操作の処理において前提となる、秘密計算に係る基本的な処理について説明する。これら基本的な処理自体は既存技術である。

　＜秘匿化・復元＞
　以下では、値ｘの秘匿値を［［ｘ］］と表し、処理ｘ→［［ｘ］］をｘの秘匿化、［［ｘ］］→ｘをｘの復元と呼ぶ。本実施の形態では、秘匿化・復元処理を行うための技術として秘密分散法（参考文献［６，５］）を使用することを想定しているが、同等の機能及び安全性を満たす方法ならばどのような秘匿化・復元処理技術を用いてもよい。

　＜基本演算＞
　秘匿値同士の加算・減算・乗算をそれぞれ以下のように表す。

　［［ａ＋ｂ］］←［［ａ］］＋［［ｂ］］
　［［ａ‐ｂ］］←［［ａ］］‐［［ｂ］］
　［［ａ×ｂ］］←［［ａ］］×［［ｂ］］
　ａ、ｂがｌｅｎビットで表現される空間にあるとすると、参考文献［７］の技術では加算と減算を通信コスト０、乗算を通信コストＯ（ｌｅｎ）ビットで実行できる。

　＜比較＞
　秘匿値同士の比較を以下のように表す。

　　［［ｃ］］←［［［ａ］］＝_？［［ｂ］］］
　上記の比較は、ａとｂが等しいかどうかの判定結果がｃ（１ビット数）であることを示す。正しければ１、そうでなければ０になる。

　　［［ｄ］］←［［［ａ］］≦_？［［ｂ］］］
　上記の比較は、ａがｂ以下であるか否かの判定結果がｄ（１ビット数）であることを示す。正しければ１、そうでなければ０になる。

　比較の演算は、ａ、ｂがｌｅｎビットで表現される空間にあるとすると、参考文献［７］の技術では通信コストＯ（ｌｅｎ）ビットで実行できる。

　＜内積＞
　秘匿値のベクトル又は配列［［ａ］］＝（［［ａ_０］］，...，［［ａ_ｎ-１］］），［［ｂ］］＝（［［ｂ_０］］，...，［［ｂ_ｎ-１］］）の内積を以下のように表す。

　　［［ｃ］］←＜［［ａ］］，［［ｂ］］＞
　ベクトルａ，ｂの各要素がそれぞれｌｅｎビットで表現される空間にあるとすると、参考文献［７］の技術では内積を通信コストＯ（ｌｅｎ）ビットで実行できる。

　＜配列のシャッフル＞
　秘密の配列［［Ａ］］をシャッフルする処理を以下のように表す。

　　［［Ａ′］］←Ｓｈｕｆｆｌｅ（［［Ａ］］）
　Ａがｌｅｎビットの要素をｎ個持つ配列であるとき、参考文献［３］の技術ではこの処理を通信コストＯ（ｌｅｎ・ｎ）ビットで実行できる。

　＜安定ソート＞
　秘密のキー配列［［Ｋ］］及びソート対象配列［［Ａ］］に対し、［［Ａ］］を［［Ｋ］］の各値に基づきソートする処理を以下のように表す。

　　［［Ａ′］］←Ｓｏｒｔ（［［Ｋ］］，［［Ａ］］）
　この処理はＫに関して昇順・降順のいずれも可能である。Ｋがｌｅｎビットの要素をｎ個持つ配列、Ａがｍビットの要素をｎ個持つ配列であるとき、参考文献［３］の技術ではこの処理を通信コストＯ（ｌｅｎ・ｎｌｏｇｎ＋ｍｎ）ビットで実行できる。

　＜同一データのランク付け＞
　配列［［Ａ］］＝（［［ａ_０］］，...，［［ａ_ｎ-１］］）を、ソート済みの配列の配列とする。このとき、同一データに対するランク付け操作を下記のように表す。

　　［［Ｂ］］←Ｒａｎｋ（［［Ａ］］）
　ただし、［［Ｂ］］＝（［［ｂ_０］］，...，［［ｂ_ｎ-１］］）であり、各ｂ_ｉは以下を満たす：
　・ｂ_０＝１
　・全てのｉ∈｛１，...，ｎ‐１｝において、ａ_ｉ-１≠ａ_ｉならばｂ_ｉ＝１
　・全てのｉ∈｛１，...，ｎ‐１｝において、ａ_ｉ-１＝ａ_ｉならばｂ_ｉ＝ｂ_ｉ-１＋１
　具体的に、例えばＡ＝（０，０，０，０，１，１，２，２，２）のとき、Ｂ＝（１，２，３，４，１，２，１，２，３）となる。参考文献［１］に開示されているＲａｎｇｅ　Ｐｒｅｆｉｘ　Ｓｕｍを用いれば、この操作を通信コストＯ（ｎｌｏｇｎ）で実行できる。

　＜擬似ランダム関数＞
　値ａ，ｓをそれぞれ、擬似ランダム関数の入力及び秘密鍵であるとする。秘匿値［［ａ］］，［［ｓ］］に対し、秘密の疑似ランダム値を計算する操作を以下のように表す。

　　［［ｒ］］←ＰＲＦ（［［ａ］］，［［ｓ］］）
　ａのビット長をｌｅｎとすると、この秘密計算処理は例えば参考文献［２］の技術を用いて通信コストＯ（ｌｅｎ）で実現できる。

　＜秘密計算による暗号化＞
　値ａ，ｓをそれぞれ、ブロック暗号の平文及び秘密鍵であるとする。秘匿値［［ａ］］，［［ｓ］］に対し、秘密計算により暗号文を生成する操作を以下のように表す。

　　［［ｃ］］←Ｅｎｃ（［［ａ］］，［［ｓ］］）
　ａのビット長をｌｅｎとすると、この秘密計算処理は参考文献［２］の技術を用いて通信コストＯ（ｌｅｎ）で実現できる。

　以下、本実施の形態に係るサーバ１００が実行する処理の具体例について、実施例１～５を用いて説明する。以下の処理はサーバ１００の演算部１２０により実行される。また、予め用意しておくデータ、計算により得られる配列、テーブル等はデータ格納部１４０に格納される。演算部１２０は、データ格納部１４０から読み出したデータに対して演算を行い、演算結果をデータ格納部１４０に格納することを繰り返しながら処理を進める。

　なお、下記の各実施例における処理は一例である。例えば、１と０の意味や、昇順／降順などが、下記の各実施例におけるものと逆であってもよい。

　（実施例１）
　まず、実施例１を説明する。本実施例１では、サーバ１００が、データ格納部１４０に格納されているキーｋ_ｉとフラグｅ_ｉからなるデータａ_ｉ＝（ｋ_ｉ，ｅ_ｉ）を用いて秘匿ハッシュテーブルを構築する方法を示す。キーｋ_ｉはデータ毎に固有の識別子であり、アクセスの際などにデータを一意に特定する目的に用いる。

　フラグｅ_ｉはデータがダミーか否かを判定する１ｂｉｔの値であり、ここではｅ_ｉ＝０なら実際のデータ、ｅ_ｉ＝１ならダミーデータであるとする。なお、データの総数がｎの場合において、ｋ_ｉのビット長は最小でｃｅｉｌ（ｌｏｇｎ）となるが、冗長性があっても構わないとする。また、各データにはキーとフラグ以外にも、任意の情報ｖ_ｉを付与し、ａ_ｉ＝（ｋ_ｉ，ｅ_ｉ，ｖ_ｉ）のようにしても良いとする。

　前提として、サーバ１００が、データ格納部１４０の中に、秘匿化されたデータ列［［Ａ］］＝（［［ａ_０］］，...，［［ａ_ｎ-１］］）；［［ａ_ｉ］］＝（［［ｋ_ｉ］］，［［ｅ_ｉ］］）を保持しているものとする。

　また、以下では事前に秘匿化された秘密鍵［［ｓ_０］］，［［ｓ_１］］を生成し、データ格納部１４０に保持しておくものとするが、プロトコル中に逐次生成しても構わない。

　本実施例１で構築する秘匿ハッシュテーブルは、サイズＢ×Ｚのデータ配列であり、別の表現をするならばＢ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できるデータ構造である、とする。また、本実施例１で用いる擬似ランダム関数は、ＰＲＦ（［［ｋ］］，［［ｓ］］）∈｛０，...，Ｂ‐１｝を満たすとする。

　上記の前提の下、サーバ１００は、以下で説明する処理により、秘匿ハッシュテーブルを構築する。図４のフローチャートの手順に沿って、サーバ１００が実行する処理を説明する。

　　＜Ｓ１０１（ステップ１０１）＞
　Ｓ１０１において、サーバ１００は、［［Ａ］］に対してシャッフルを行い［［Ａ］］←Ｓｈｕｆｆｌｅ（［［Ａ］］）とする。ただしこの操作は、入力となる［［Ａ］］の状態や満たすべき安全性によっては実行しなくてもよいものとする。

　　＜Ｓ１０２＞
　Ｓ１０２において、サーバ１００は、［［Ａ］］に対して、格納先データ配列［［ＡＤＤＲ］］＝（（［［ａｄｄｒ^０ _０］］，［［ａｄｄｒ^１ _０］］，［［ｅ_０］］，［［ｒａｎｋ^０ _０］］，［［ｒａｎｋ^１ _０］］），...，（［［ａｄｄｒ^０ _ｎ-１］］，［［ａｄｄｒ^１ _ｎ-１］］，［［ｅ_ｎ-１］］，［［ｒａｎｋ^０ _ｎ-１］］，［［ｒａｎｋ^１ _ｎ-１］］））を計算する。

　ただし、［［ａｄｄｒ^ｐ _ｉ］］←ＰＲＦ（［［ｋ_ｉ］］，［［ｓ_ｐ］］）；ｉ∈｛０，...，ｎ‐１｝，ｐ∈｛０，１｝とし、また［［ｒａｎｋ^ｐ _ｉ］］←［［０］］と初期化する。ここでａｄｄｒ^０ _ｉ，ａｄｄｒ^１ _ｉはそれぞれＡのｉ番目のデータａ_ｉ＝（ｋ_ｉ，ｅ_ｉ）に対応する２通りのアドレス値に相当し、またｒａｎｋ^ｐ _ｉは後にランク付けをする際のランク保持用領域である。

　なお、データのイメージを説明する便宜上、秘匿の記号［［］］なしで説明を行うこととすると、この時点でのＡＤＤＲは、例えば、ＡＤＤＲ＝（（３，１，０，０，０），（１８，９５，０，０，０），......，（８，７８，０，０，０））といった配列（ｎ個のデータの配列）になる。以下、適宜、［［］］なしで説明を行う場合がある。

　　＜Ｓ１０３＞
　Ｓ１０３において、サーバ１００は、ダミーの格納先データ配列［［ＡＤＤＲ_ｄ］］＝（［［ｄ_０］］，...，［［ｄ_ＢＺ-１］］）；ｄ_ｉ＝（ｆｌｏｏｒ（ｉ／Ｚ），ｆｌｏｏｒ（ｉ／Ｚ），１，０，０）を生成する。

　これは２通りのアドレス値ａｄｄｒ^０ _ｉ，ａｄｄｒ^１ _ｉが同じ値ｆｌｏｏｒ（ｉ／Ｚ）∈｛０，...，Ｂ‐１｝を指しているダミーの格納先データを、アドレス値０，...，Ｂ‐１ごとにＺ個ずつ保持する配列である。

　サーバ１００は、このダミーの［［ＡＤＤＲ_ｄ］］を、実データに関する格納先データ配列［［ＡＤＤＲ］］の末尾に連結し、長さｎ＋ＢＺの配列［［ＡＤＤＲ′］］＝［［ＡＤＤＲ］］｜｜［［ＡＤＤＲ_ｄ］］とする。

　この時点でのＡＤＤＲ´は、例えば、ＡＤＤＲ´＝（（３，１，０，０，０），（１８，９５，０，０，０），......，（８，７８，０，０，０），（０，０，１，０，０），（０，０，１，０，０），......，（８，８，１，０，０））といった配列（ｎ＋ＢＺ個のデータの配列）になる。

　なお、以下では格納先データ配列［［ＡＤＤＲ′］］に対して、記法［［ＡＤＤＲ′．ａｄｄｒ_０］］を、［［ＡＤＤＲ′］］から１番目のアドレス値［［ａｄｄｒ^０ _ｉ］］のみを取り出した配列（［［ａｄｄｒ^０ _０］］，...，［［ａｄｄｒ^０ _{ｎ＋ＢＺ-１}］］）であると定義する。同様に、記法［［ＡＤＤＲ′．ａｄｄｒ_１］］，［［ＡＤＤＲ′．ｒａｎｋ_０］］，［［ＡＤＤＲ′．ｒａｎｋ_１］］を、それぞれ［［ＡＤＤＲ′］］から［［ａｄｄｒ^１ _ｉ］］，［［ｒａｎｋ^０ _ｉ］］，［［ｒａｎｋ^１ _ｉ］］を取り出した配列と定義する。

　さらに、記法［［ＡＤＤＲ′．ｐｏｓ_０］］，［［ＡＤＤＲ′．ｐｏｓ_１］］によって、それぞれ［［ＡＤＤＲ′］］からペア（［［ａｄｄｒ^０ _ｉ］］，［［ｅ_ｉ］］）、（［［ａｄｄｒ^１ _ｉ］］，［［ｅ_ｉ］］）を抽出した配列であるとする。

　例えば、ＡＤＤＲ´＝（（３，１，０，０，０），（１８，９５，０，０，０），......，（８，７８，０，０，０），（０，０，１，０，０），（０，０，１，０，０），......，（８，８，１，０，０））であるとすると、ＡＤＤＲ′．ｐｏｓ_０＝（（３，０），（１８，０），......，（８，０），（０，１），（０，１），......，（８，１））となる。

　　＜Ｓ１０４＞
　Ｓ１０４において、サーバ１００は、ダミーのデータ列［［Ａ_ｄ］］＝（［［ａ^ｄ _０］］，...，［［ａ^ｄ _ＢＺ-１］］）；ａ^ｄ _ｉ＝（ｄｕｍｍｙ，１）を生成する。ただし、ここでｄｕｍｍｙは予め定めておいた、いずれのキーｋ_ｉとも異なる値であるとする。この［［Ａ_ｄ］］を実データ列［［Ａ］］の末尾に連結し、長さｎ＋ＢＺの配列［［Ａ′］］＝［［Ａ］］｜｜［［Ａ_ｄ］］とする。

　この時点でのＡ´は、例えば、Ａ´＝（（１１，０），（１０１，０），......，（３，０），（ｄｕｍｍｙ，１），（ｄｕｍｍｙ，１），......，（ｄｕｍｍｙ，１））といった配列（ｎ＋ＢＺ個のデータの配列）になる。

　　＜Ｓ１０５＞
　Ｓ１０５において、サーバ１００はまず、１番目のアドレス値ａｄｄｒ^０ _ｉとフラグｅ_ｉに基づいてデータ配列と格納先データ配列のそれぞれのソートを行う。すなわち、［［Ａ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｐｏｓ_０］］，［［Ａ′］］）、及び［［ＡＤＤＲ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｐｏｓ_０］］，［［ＡＤＤＲ′］］）を計算する。

　この時、データ配列及び格納先データ配列はアドレス値による昇順かつ同アドレス値においては実データ＞ダミーデータの順で並べ替えられるものとするが、以後のソートやランク付けの昇順・降順を調整することでソート順序を変更することもできる。

　ソート後のＡ´は、例えば、Ａ´＝（（３，０），（ｄｕｍｍｙ，１），（ｄｕｍｍｙ，１），......，（１１，０），（ｄｕｍｍｙ，１），，......，）といった配列（ｎ＋ＢＺ個のデータの配列）になる。

　　＜Ｓ１０６＞
　Ｓ１０６において、サーバ１００は、ソート済みのアドレス値に基づきランク付けを行う。すなわち、［［ＡＤＤＲ′．ｒａｎｋ_０］］←Ｒａｎｋ（［［ＡＤＤＲ′．ａｄｄｒ_０］］）を計算する。

　ＡＤＤＲ′．ｒａｎｋ_０は、例えば、ＡＤＤＲ′．ｒａｎｋ_０＝（１，２，３，４，...．，１，２，３，...．，１，２，３，４，５）といった配列（ｎ＋ＢＺ個のデータの配列）になる。

　　＜Ｓ１０７＞
　Ｓ１０７において、サーバ１００は、データ配列及び格納先データ配列を、１番目のランクに基づき降順でソートする。すなわち、［［Ａ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｒａｎｋ_０］］，［［Ａ′］］）及び［［ＡＤＤＲ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｒａｎｋ_０］］，［［ＡＤＤＲ′］］）を、ｒａｎｋ^０ _ｉが大きい順に並ぶよう計算する。なお、この操作は単に各配列を昇順でソートしたうえ、逆順に並べ替えることでも同様に実現できる。

　　＜Ｓ１０８＞
　Ｓ１０８において、サーバ１００は、Ｓ１０５での処理と同様に、今度は２番目のアドレス値ａｄｄｒ^１ _ｉとフラグに基づいてソートを行う。すなわち、［［Ａ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｐｏｓ_１］］，［［Ａ′］］）及び［［ＡＤＤＲ′］］←Ｓｏｒｔ（［［ＡＤＤＲ′．ｐｏｓ_１］］，［［ＡＤＤＲ′］］）を計算する。この時、安定ソートを用いれば、同アドレス値においては実データ＞ダミーデータかつ高ランク＞低ランクの順で並べ替えることができている。

　　＜Ｓ１０９＞
　Ｓ１０９において、サーバ１００は、Ｓ１０６での処理と同様に、２番目のソート済みアドレス値に基づきランク付けを行う。すなわち、［［ＡＤＤＲ′．ｒａｎｋ_１］］←Ｒａｎｋ（［［ＡＤＤＲ′．ａｄｄｒ_１］］）を計算する。

　　＜Ｓ１１０＞
　Ｓ１１０において、サーバ１００は、格納先データ配列［［ＡＤＤＲ′］］の各要素［［ｂ_ｉ］］＝（［［ａｄｄｒ^０ _ｉ］］，［［ａｄｄｒ^１ _ｉ］］，［［ｅ_ｉ］］，［［ｒａｎｋ^０ _ｉ］］，［［ｒａｎｋ^１ _ｉ］］）について、それぞれランクの低い側のアドレス値を抽出する。すなわち、大小比較［［ｚ_ｉ］］←［［［ｒａｎｋ^０ _ｉ］］≦_？［［ｒａｎｋ^１ _ｉ］］］に基づき、［［ａｄｄｒ_ｉ］］←［［ａｄｄｒ^１ _ｉ］］＋［［ｚ_ｉ］］×（［［ａｄｄｒ^０ _ｉ］］‐［［ａｄｄｒ^１ _ｉ］］）を計算する。その後、選ばれたアドレス値とフラグを併せた配列［［ＡＤＤＲ^ｆｉｎ］］＝（（［［ａｄｄｒ_０］］，［［ｅ_０］］），...，（［［ａｄｄｒ_{ｎ＋ＢＺ-１}］］，［［ｅ_{ｎ＋ＢＺ-１}］］））を計算する。

　　＜Ｓ１１１＞
　Ｓ１１１において、サーバ１００は、新たに得た配列［［ＡＤＤＲ^ｆｉｎ］］に基づき、各データを昇順でソートする。すなわち、［［Ａ′］］←Ｓｏｒｔ（［［ＡＤＤＲ^ｆｉｎ］］，［［Ａ′］］）及び［［ＡＤＤＲ^ｆｉｎ］］←Ｓｏｒｔ（［［ＡＤＤＲ^ｆｉｎ］］，［［ＡＤＤＲ^ｆｉｎ］］）を計算する。

　　＜Ｓ１１２＞
　Ｓ１１２において、サーバ１００は、［［ＡＤＤＲ^ｆｉｎ］］のアドレス値部分のみを抽出した配列［［ＡＤＤＲ^ｆｉｎ．ａｄｄｒ］］を用いて、ランク配列［［Ｒ］］＝Ｒａｎｋ（［［ＡＤＤＲ^ｆｉｎ．ａｄｄｒ］］）を計算し、さらに［［Ｒ］］の各要素［［ｒ_ｉ］］に対して大小比較［［ｙ_ｉ］］←［［［ｒ_ｉ］］≦_？Ｚ］を計算した結果の配列［［Ｙ］］＝（［［ｙ_０］］，...，［［ｙ_{ｎ＋ＢＺ-１}］］）を得る。このとき、ｙ_ｉ＝１のデータはテーブルに格納され、ｙ_ｉ＝０のデータは削除されることを示している。

　　＜Ｓ１１３＞
　Ｓ１１３において、サーバ１００は、［［Ｙ］］を用いてデータ配列を昇順でソートする。すなわち、［［Ａ′］］←Ｓｏｒｔ（［［Ｙ］］，［［Ａ′］］）を計算する。その後、末尾のＢＺ個の要素のみをハッシュテーブルとして出力し、その他は削除する。また、ハッシュテーブルに付随するアクセス用情報として２つの秘密鍵［［ｓ_０］］，［［ｓ_１］］も出力する。

　本実施例１において、［［ｋ_ｉ］］をＯ（ｌｏｇＮ）ビットとし、Ｂ×Ｚ＝Ｏ（ｎ）とすれば、サーバ間通信量はソート、ランク付け及び比較によりＯ（ｎｌｏｇ^２ｎ）ビットとなる。

　（実施例２）
　次に、実施例２を説明する。本実施例２では、実施例１と同等のテーブル構築を、より効率的に行う方法を示す。実施例１では、常に格納先データ配列と共にデータ配列［［Ａ］］（ないし［［Ａ′］］）がソートされており、単にソート回数が増していた他、仮にキーとフラグに対して大きなデータｖ_ｉが付与されていた場合、データ配列のソートのために効率悪化を招く可能性もあった。

　本実施例２では原則として実施例１のアルゴリズムを踏襲しつつも、秘密計算上での暗号化を利用してソート回数を削減し、以下のように秘匿ハッシュテーブルを構築する。以下、図５のフローチャートの手順に沿って説明する。

　　＜Ｓ２０１＞
　Ｓ２０１において、サーバ１００は、実施例１のＳ１０１と同様に、［［Ａ］］に対してシャッフルを行い［［Ａ］］←Ｓｈｕｆｆｌｅ（［［Ａ］］）とする。ただしこの操作は、入力となる［［Ａ］］の状態や満たすべき安全性によっては実行しなくてもよいものとする。

　　＜Ｓ２０２＞
　Ｓ２０２において、サーバ１００は、秘匿化されたブロック暗号の秘密鍵［［ｓ］］を生成し、［［Ａ］］に対応する秘密のタグ配列［［Ｔａｇ］］＝（［［ｔａｇ_０］］，...，［［ｔａｇ_ｎ-１］］）；［［ｔａｇ_ｉ］］←Ｅｎｃ（［［ｉ］］，［［ｓ］］）を計算する。なお、秘密鍵［［ｓ］］はプロトコルの開始以前に生成していても構わないとする。

　　＜Ｓ２０３＞
　Ｓ２０３において、サーバ１００は、実施例１のＳ１０２と同様に、格納先データ配列［［ＡＤＤＲ］］＝（（［［ａｄｄｒ^０ _０］］，［［ａｄｄｒ^１ _０］］，［［ｅ_０］］，［［ｒａｎｋ^０ _０］］，［［ｒａｎｋ^１ _０］］，［［ｔａｇ_０］］），...，（［［ａｄｄｒ^０ _ｎ-１］］，［［ａｄｄｒ^１ _ｎ-１］］，［［ｅ_ｎ-１］］，［［ｒａｎｋ^０ _ｎ-１］］，［［ｒａｎｋ^１ _ｎ-１］］，［［ｔａｇ_ｎ-１］］））を計算する。実施例１とは、タグ［［ｔａｇ_ｉ］］が含まれていることのみが異なる。

　　＜Ｓ２０４＞
　Ｓ２０４において、サーバ１００は、実施例１のＳ１０３と同様に、ダミーの格納先データ配列［［ＡＤＤＲ_ｄ］］＝（［［ｄ_０］］，...，［［ｄ_ＢＺ-１］］）；［［ｄ_ｉ］］＝（［［ｆｌｏｏｒ（ｉ／Ｚ）］］，［［ｆｌｏｏｒ（ｉ／Ｚ）］］，［［１］］，［［０］］，［［０］］，［［ｔａｇ^ｄ _ｉ］］）を生成し、［［ＡＤＤＲ′］］＝［［ＡＤＤＲ］］｜｜［［ＡＤＤＲ_ｄ］］とする。ただし、［［ｔａｇ^ｄ _ｉ］］←ＰＲＦ（［［ｎ＋ｉ］］，［［ｓ］］）であるとする。

　　＜Ｓ２０５＞
　Ｓ２０５において、サーバ１００は、実施例１のＳ１０４と同様に、ダミーのデータ列［［Ａ_ｄ］］＝（［［ａ^ｄ _０］］，...，［［ａ^ｄ _ＢＺ-１］］）；ａ^ｄ _ｉ＝（ｄｕｍｍｙ，１）を生成し、［［Ａ′］］＝［［Ａ］］｜｜［［Ａ_ｄ］］とする。また、本実施例２のＳ２０４で計算したタグの列［［Ｔａｇ_ｄ］］＝（［［ｔａｇ^ｄ _０］］，...，［［ｔａｇ^ｄ _ＢＺ-１］］）を用いて、［［Ｔａｇ′］］←［［Ｔａｇ］］｜｜［［Ｔａｇ_ｄ］］とする。

　　＜Ｓ２０６＞
　Ｓ２０６において、サーバ１００は、配列［［Ａ′］］及び［［Ｔａｇ′］］の並び順を秘匿・ランダマイズするために、（［［Ａ′］］，［［Ｔａｇ′］］）←Ｓｈｕｆｆｌｅ（［［Ａ′］］，［［Ｔａｇ′］］）を計算する。この操作では、２つの配列の対応関係を保ったままランダマイズするため、並列に同じシャッフル処理を実行している。

　　＜Ｓ２０７＞
　Ｓ２０７において、サーバ１００は、実施例１のＳ１０５～Ｓ１１３と同様の処理を行う。ただし、実施例２において、実施例１のＳ１０５～Ｓ１１２に対応する各手順においては配列［［Ａ′］］には一切手を触れず格納先データ配列のみに操作を行うこととし、また、実施例１のＳ１１０に対応する手順で新たな格納先データ配列を得る際には［［ＡＤＤＲ^ｆｉｎ］］の各要素を（［［ａｄｄｒ_ｉ］］，［［ｅ_ｉ］］，［［ｔａｇ_ｉ］］）として、タグ情報を引き継ぐようにする。

　　＜Ｓ２０８＞
　Ｓ２０８において、サーバ１００は、実施例１のＳ１１２に対応する手順で得た［［Ｙ］］を用いて［［ＡＤＤＲ^ｆｉｎ］］を昇順でソートする。すなわち、［［ＡＤＤＲ^ｆｉｎ］］←Ｓｏｒｔ（［［Ｙ］］，［［ＡＤＤＲ^ｆｉｎ］］）を計算する。その後、末尾のＢＺ個の要素のみ残し、その他は削除する。

　　＜Ｓ２０９＞
　Ｓ２０９において、サーバ１００は、タグ配列［［Ｔａｇ′］］の全ての要素を復元し、平文に戻す。同時に、［［ＡＤＤＲ^ｆｉｎ］］に含まれる全てのタグを復元し、平文に戻す。データ配列［［Ａ′］］の中から、対応するタグが［［ＡＤＤＲ^ｆｉｎ］］に含まれるような要素ＢＺ個を取り出し、［［ＡＤＤＲ^ｆｉｎ］］の並び順の通りに並べることでハッシュテーブルとする。最後にハッシュテーブルと秘密鍵［［ｓ_０］］，［［ｓ_１］］を出力する。

　本実施例２において、［［ｋ_ｉ］］をＯ（ｌｏｇｎ）ビットとし、Ｂ×Ｚ＝Ｏ（ｎ）とすれば、サーバ間通信量はソート、ランク付け及び比較によりＯ（ｎｌｏｇ^２ｎ）ビットとなる。実施例１では任意のデータｖ_ｉを含む組（ｋ_ｉ，ｅ_ｉ，ｖ_ｉ）のデータサイズがω（ｌｏｇｎ）ビットとなる場合にサーバ間通信量がω（ｎｌｏｇ^２ｎ）ビットとなってしまうのに対し、本実施例はｖ_ｉのサイズに関わらずＯ（ｎｌｏｇ^２ｎ）ビットで済む利点がある。

　（実施例３）
　次に、実施例３を説明する。実施例３では、実施例１、２で構築した秘匿ハッシュテーブルへのデータ参照方法について説明する。前提として、サーバ１００は、実施例１ないし２で構築された秘匿ハッシュテーブル（サイズＢ×Ｚ）と秘密鍵［［ｓ_０］］、［［ｓ_１］］をデータ格納部１４０に保持しているとする。また、ユーザ端末３００はアクセスしたいキーｋを持っているとするが、これはサーバ同士の合意に基づいてサーバ自身で選定しても構わない。以下、図６のフローチャートに示す手順に沿って説明する。

　　＜Ｓ３０１＞
　Ｓ３０１において、ユーザ端末３００は、サーバ１００に対し、アクセスしたいデータに対応するキーの秘匿値［［ｋ］］を送る。ただし、この秘匿キー値はユーザ端末３００からサーバ１００への要求だけでなく、サーバ間合意に基づくサーバ自身による生成も可能である。

　　＜Ｓ３０２＞
　Ｓ３０２において、サーバ１００は、疑似ランダム関数を用いて、２つのアドレス値［［ａｄｄｒ^０］］←ＰＲＦ（［［ｋ］］，［［ｓ_０］］），［［ａｄｄｒ^１］］←ＰＲＦ（［［ｋ］］，［［ｓ_１］］）を計算し、これを復元してａｄｄｒ^０，ａｄｄｒ^１を得る。

　　＜Ｓ３０３＞
　Ｓ３０３において、サーバ１００は、データ格納部１４０に格納されているハッシュテーブルからａｄｄｒ^０、ａｄｄｒ^１に対応する２Ｚ個の要素を取り出す。すなわち、ハッシュテーブルを配列［［Ｔａｂｌｅ］］＝（［［ａ_０］］，...，［［ａ_ＢＺ-１］］）と読み替えた場合に、［［ａ］］＝（［［ａ_{Ｚ×ａｄｄｒ０}］］，...，［［ａ_{Ｚ×ａｄｄｒ０＋Ｚ-１}］］，［［ａ_{Ｚ×ａｄｄｒ１}］］，...，［［ａ_{Ｚ×ａｄｄｒ１＋Ｚ-１}］］）を取得する。

　　＜Ｓ３０４＞
　Ｓ３０４において、サーバ１００は、［［ａ］］の各データ［［ａ_ｊ］］について、キーの比較を行い［［ｃ］］＝（［［ｃ_０］］，...，［［ｃ_２Ｚ-１］］）；［［ｃ_ｊ］］＝［［［ｋ_ｊ］］＝？［［ｋ］］］を計算する。

　　＜Ｓ３０５＞
　Ｓ３０５において、サーバ１００は、内積［［ａ］］←＜［［ａ］］，［［ｃ］］＞を計算し、これをユーザ端末３００へ返送するか、又はサーバ間合意に基づき復元する。あるいは、これを復元せず、全く別の秘密計算処理に用いてもよい。

　本実施例３において、ユーザ・サーバ間の通信量Ｏ（ｌｏｇｎ）ビットであり、サーバ間通信量はＯ（Ｚｌｏｇｎ）ビットである。

　（実施例４）
　本実施例４では、実施例１、２で構築した秘匿ハッシュテーブルでのデータ削除方法を説明する。前提として、サーバ１００は、実施例１ないし２で構築されたハッシュテーブル（サイズＢ×Ｚ）と秘密鍵［［ｓ_０］］，［［ｓ_１］］をデータ記憶部１４０に保持しているとする。また、ユーザは削除したいデータのキーｋを持っているとするが、これはサーバ同士の合意に基づいてサーバ自身で選定しても構わない。以下、図７のフローチャートに示す手順に沿って説明する。

　　＜Ｓ４０１＞
　Ｓ４０１において、ユーザ端末３００は、サーバ１００に対し、削除したいキーの秘匿値［［ｋ］］を送る。ただし、この秘匿キー値はユーザ端末３００からサーバ１００への要求だけでなく、サーバ間合意に基づくサーバ自身による生成も可能である。

　　＜Ｓ４０２＞
　Ｓ４０２において、サーバ１００は、疑似ランダム関数を用いて、２つのアドレス値［［ａｄｄｒ^０］］←ＰＲＦ（［［ｋ］］，［［ｓ_０］］），［［ａｄｄｒ^１］］←ＰＲＦ（［［ｋ］］，［［ｓ_１］］）を計算し、これを復元してａｄｄｒ^０，ａｄｄｒ^１を得る。

　　＜Ｓ４０３＞
　Ｓ４０３において、サーバ１００は、データ格納部１４０に保持しているハッシュテーブルからａｄｄｒ^０、ａｄｄｒ^１に対応する２Ｚ個の要素を取り出す。すなわち、ハッシュテーブルを配列［［Ｔａｂｌｅ］］＝（［［ａ_０］］，...，［［ａ_ＢＺ-１］］）と読み替えた場合に、［［ａ］］＝（［［ａ_{Ｚ×ａｄｄｒ０}］］，...，［［ａ_{Ｚ×ａｄｄｒ０＋Ｚ-１}］］、［［ａ_{Ｚ×ａｄｄｒ１}］］，...，［［ａ_{Ｚ×ａｄｄｒ１＋Ｚ-１}］］）を取得する。

　　＜Ｓ４０４＞
　Ｓ４０４において、サーバ１００は、［［ａ］］の各データ［［ａ_ｊ］］について、キーの比較に基づきデータ（［［ｋ］］，［［ｅ］］）の削除処理を行う。すなわち、全てのｊに関して［［ｋ_ｊ］］＝［［ｋ_ｊ］］＋［［［ｋ_ｊ］］＝？［［ｋ］］］×（ｄｕｍｍｙ－［［ｋ_ｊ］］），［［ｅ_ｊ］］＝［［ｅ_ｊ］］＋［［［ｋ_ｊ］］＝？［［ｋ］］］を計算する。

　　＜Ｓ４０５＞
　最後に、サーバ１００は［［ａ］］の各要素をハッシュテーブルの元の位置に上書きする。
本実施例４の通信量は実施例３と等価である。

　（実施例５）
　本実施例５では、実施例１、２で構築したハッシュテーブルの解体・全データの抽出方法について説明する。前提として、サーバ１００は実施例１ないし２で構築されたハッシュテーブル（サイズＢ×Ｚ）をデータ格納部１４０に保持しているとする。以下、図８のフローチャートに示す手順に沿って説明する。

　　＜Ｓ５０１＞
　Ｓ５０１において、サーバ１００は、ハッシュテーブルの全データを、そのフラグに基づき昇順でソートする。すなわち、テーブルを配列［［Ｔａｂｌｅ］］＝（［［ａ_０］］，...，［［ａ_ＢＺ-１］］）と読み替え、またテーブルからフラグのみを抽出した配列を［［Ｅ］］＝（［［ｅ_０］］，...，［［ｅ_ＢＺ-１］］）とした場合に、［［Ｔａｂｌｅ］］＝Ｓｏｒｔ（［［Ｅ］］，［［Ｔａｂｌｅ］］）とする。

　　＜Ｓ５０２＞
　Ｓ５０２において、サーバ１００は、［［Ｔａｂｌｅ］］の先頭ｎデータを配列［［Ａ］］とし、残りを削除する。

　本実施例では、１ビットの情報に基づくソート１回のみ行うため、サーバ間通信量はＯ（ｎｌｏｇｎ）となる。

　（実施の形態の効果）
　本実施の形態によれば、秘密計算を用いることでユーザとの通信を介さず秘匿ハッシュテーブルを構築できる。その際、ランク付けという秘密計算処理を利用することで、テーブル構築に必要な秘匿ソートの回数を大きく減らし、従来法よりも通信コストを大きく削減できる。

　すなわち、秘匿ハッシュテーブルの構築において、各データに２通りのアドレス値を割り振ることでテーブルサイズを小さくするという従来法のメリットをそのままに、サーバ間通信量をω（ｎｌｏｇ^２．５ｎ）からＯ（ｎｌｏｇ^２ｎ）へと削減できる。構築済みのテーブルへの操作も可能である。

　（付記）
　本明細書には、少なくとも下記各項の秘匿ハッシュテーブル構築装置、秘匿ハッシュテーブル構築システム、秘匿ハッシュテーブル構築方法、及びプログラムが開示されている。
（第１項）
　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築装置であって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成し、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートし、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行い、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成し、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力する
　演算部を備える秘匿ハッシュテーブル構築装置。
（第２項）
　前記演算部は、前記実データ列における各データと前記ダミーのデータ列における各データとを示すタグを有するタグの列を使用することにより、前記実データ列と前記ダミーのデータ列とを連結した前記第２配列に対して、前記第４配列に基づくソート以外のソートを行うことなく、前記秘匿ハッシュテーブルを生成する
　第１項に記載の秘匿ハッシュテーブル構築装置。
（第３項）
　前記演算部は、アクセス対象のキー値から２つのアドレス値を計算し、前記秘匿ハッシュテーブルから、前記２つのアドレス値に対応する２Ｚ個のデータを取得し、２Ｚ個のデータのうち、前記キー値と同一のキー値を有するデータを返す
　第１項又は第２項に記載の秘匿ハッシュテーブル構築装置。
（第４項）
　前記演算部は、削除対象のキー値から２つのアドレス値を計算し、前記秘匿ハッシュテーブルから、前記２つのアドレス値に対応する２Ｚ個のデータを取得し、２Ｚ個のデータのデータのうち、前記キー値と同一のキー値を有するデータを削除する
　第１項ないし第３項のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置。
（第５項）
　前記演算部は、前記秘匿ハッシュテーブルにおける全データを、そのフラグに基づいてソートし、先頭の所定個数のデータを前記実データ列として取得する
　第１項ないし第４項のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置。
（第６項）
　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築システムであって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成し、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートし、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行い、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成し、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力する
　演算部を備える秘匿ハッシュテーブル構築システム。
（第７項）
　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築システムが実行する秘匿ハッシュテーブル構築方法であって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成するステップと、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成するステップと、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートするステップと、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行うステップと、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成するステップと、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力するステップと
　を備える秘匿ハッシュテーブル構築方法。
（第８項）
　コンピュータを、第１項ないし第５項のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置における演算部として機能させるためのプログラム。

　以上、本実施の形態について説明したが、本発明はかかる特定の実施形態に限定されるものではなく、特許請求の範囲に記載された本発明の要旨の範囲内において、種々の変形・変更が可能である。

　［参考文献］
[1] T-H. H. Chan, Y. Guo, W-K. Lin, and E. Shi. Oblivious hashing revisited, and applications to asymptotically efficient ORAM and OPRAM. Cryptology ePrint Archive, Report 2017/924, 2017.
[2] K. Chida, K. Hamada, D. Ikarashi, R. Kikuchi, and B. Pinkas. High-throughput secure AES computation. In WAHC@CCS 2018, pages 13-24, 2018.
[3] K. Chida, K. Hamada, D. Ikarashi, R. Kikuchi, N. Kiribuchi, B. Pinkas. Anefficient secure threeparty sorting protocol with an honest majority. CryptologyePrint Archive, Report 2019/695 (2019), https://eprint.iacr.org/2019/695
[4] O. Goldreich and R. Ostrovsky. Software protection and simulation on oblivious RAMs. J. ACM, 43(3):431-473, May 1996. 8
[5] M. Ito, A. Saito, and T. Nishizeki. Secret sharing schemes realizing general access structures. Proceedings of the IEEE Global Telecommunication Conference, Globecom 87, pp. 99-102, 1987.
[6] A. Shamir. How to share a secret. Commun. ACM, Vol. 22, No. 11, pp. 612-613, 1979.
[7] 桐淵直人，五十嵐大，濱田浩気，菊池亮．プログラマブルな秘密計算ライブラリMEVAL3．暗号と情報セキュリティシンポジウム(SCIS)2018 予稿集(2018)．

１００　サーバ
１１０　入力部
１２０　演算部
１３０　出力部
１４０　データ格納部
２００　通信ネットワーク
３００　ユーザ端末
１０００　ドライブ装置
１００１　記録媒体
１００２　補助記憶装置
１００３　メモリ装置
１００４　ＣＰＵ
１００５　インタフェース装置
１００６　表示装置
１００７　入力装置

Claims

　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築装置であって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成し、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートし、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行い、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成し、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力する
　演算部を備える秘匿ハッシュテーブル構築装置。
　前記演算部は、前記実データ列における各データと前記ダミーのデータ列における各データとを示すタグを有するタグの列を使用することにより、前記実データ列と前記ダミーのデータ列とを連結した前記第２配列に対して、前記第４配列に基づくソート以外のソートを行うことなく、前記秘匿ハッシュテーブルを生成する
　請求項１に記載の秘匿ハッシュテーブル構築装置。
　前記演算部は、アクセス対象のキー値から２つのアドレス値を計算し、前記秘匿ハッシュテーブルから、前記２つのアドレス値に対応する２Ｚ個のデータを取得し、２Ｚ個のデータのうち、前記キー値と同一のキー値を有するデータを返す
　請求項１又は２に記載の秘匿ハッシュテーブル構築装置。
　前記演算部は、削除対象のキー値から２つのアドレス値を計算し、前記秘匿ハッシュテーブルから、前記２つのアドレス値に対応する２Ｚ個のデータを取得し、２Ｚ個のデータのデータのうち、前記キー値と同一のキー値を有するデータを削除する
　請求項１ないし３のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置。
　前記演算部は、前記秘匿ハッシュテーブルにおける全データを、そのフラグに基づいてソートし、先頭の所定個数のデータを前記実データ列として取得する
　請求項１ないし４のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置。
　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築システムであって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成し、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成し、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートし、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行い、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成し、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力する
　演算部を備える秘匿ハッシュテーブル構築システム。
　キーと、データがダミーか否かを示すフラグとを有するデータを複数個含む実データ列から、秘密計算により、Ｂ通りのアドレス値にそれぞれ最大Ｚ個までのデータを格納できる秘匿ハッシュテーブルを構築する秘匿ハッシュテーブル構築システムが実行する秘匿ハッシュテーブル構築方法であって、
　前記実データ列の各データに対する、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列と、ダミーとしての、第１アドレス値及び第２アドレス値と、フラグと、アドレス値毎のランクとを含む格納先データ配列とを連結した第１配列を生成するステップと、
　前記実データ列とダミーのデータ列とを連結した第２配列を生成するステップと、
　前記第１配列における第１アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第１アドレス値に対して同一データに対するランク付け操作を行い、当該ランク付けに基づいて前記第１配列と前記第２配列のそれぞれをソートするステップと、
　前記第１配列における第２アドレス値とフラグに基づいて、前記第１配列と前記第２配列のそれぞれをソートし、ソートした前記第１配列の第２アドレス値に対して同一データに対するランク付け操作を行うステップと、
　前記第１配列において、第１アドレス値と第２アドレス値のうち、ランクの低い側のアドレス値を抽出し、抽出したアドレス値とフラグを有する第３配列を生成するステップと、
　前記第３配列におけるアドレス値から計算されたランク配列の各要素とＺとの比較により得られた第４配列を用いて、前記第２配列をソートし、ソートした前記第２配列におけるＢＺ個の要素を前記秘匿ハッシュテーブルとして出力するステップと
　を備える秘匿ハッシュテーブル構築方法。
　コンピュータを、請求項１ないし５のうちいずれか１項に記載の秘匿ハッシュテーブル構築装置における演算部として機能させるためのプログラム。