WO2024176307A1 - データ管理システム、方法、及びプログラム - Google Patents

データ管理システム、方法、及びプログラム Download PDF

Info

Publication number
WO2024176307A1
WO2024176307A1 PCT/JP2023/006016 JP2023006016W WO2024176307A1 WO 2024176307 A1 WO2024176307 A1 WO 2024176307A1 JP 2023006016 W JP2023006016 W JP 2023006016W WO 2024176307 A1 WO2024176307 A1 WO 2024176307A1
Authority
WO
WIPO (PCT)
Prior art keywords
secret value
value
key
data
secret
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Ceased
Application number
PCT/JP2023/006016
Other languages
English (en)
French (fr)
Inventor
敦謙 市川
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
NTT Inc
Original Assignee
Nippon Telegraph and Telephone Corp
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Nippon Telegraph and Telephone Corp filed Critical Nippon Telegraph and Telephone Corp
Priority to JP2025501937A priority Critical patent/JPWO2024176307A1/ja
Priority to PCT/JP2023/006016 priority patent/WO2024176307A1/ja
Publication of WO2024176307A1 publication Critical patent/WO2024176307A1/ja
Anticipated expiration legal-status Critical
Ceased legal-status Critical Current

Links

Images

Classifications

    • G—PHYSICS
    • G09—EDUCATION; CRYPTOGRAPHY; DISPLAY; ADVERTISING; SEALS
    • G09C—CIPHERING OR DECIPHERING APPARATUS FOR CRYPTOGRAPHIC OR OTHER PURPOSES INVOLVING THE NEED FOR SECRECY
    • G09C1/00—Apparatus or methods whereby a given sequence of signs, e.g. an intelligible text, is transformed into an unintelligible sequence of signs by transposing the signs or groups of signs or by replacing them by others according to a predetermined system

Definitions

  • This disclosure relates to a data management system, method, and program.
  • Oblivious RAM is an algorithm that allows clients, who are the owners of data, to safely access the storage server where the data is stored.
  • ORAM is expected to be used in highly secure cloud storage, etc., due to its property of guaranteeing safe access (search) to data.
  • search safe access
  • Non-Patent Document 1 a method that reduces the amount of communication and the number of communication rounds in exchange for requiring a certain amount of spatial cost from the client
  • Non-Patent Document 2 a method that uses multiple servers
  • Non-Patent Document 1 can reduce the number of communication rounds to a constant, but has the problem that the memory capacity of the client is large and the amount of communication between the client and server is also large.
  • the method described in Non-Patent Document 2 has the problem that the amount of communication and the communication rounds between the client and server are both constant and the client does not need a large memory capacity, but the number of communication rounds between servers is large.
  • a data management system is a data management system that realizes a multi-server ORAM by a client and a plurality of servers that execute a secure computation protocol with each other, the client has an identification unit that identifies a hierarchical level t ⁇ ⁇ 0, ..., L - 1 ⁇ to which key k of data to be accessed belongs by using L data structures ⁇ 0 , ..., ⁇ L-1 representing a dictionary, and a distribution unit that distributes to the plurality of servers a secret value [[d]] of a one-hot vector d of length L+1 in which the t-th value is 1, a secret value [[op]] of op indicating whether the access operation is a read or write, and a secret value [[k]] of the key k, and the servers have arrays [[T 0 ]], ..., [[T L ]] that store anonymized data represented by key-value pairs , and plaintext arrays R 0 , ...
  • FIG. 1 is a diagram illustrating an example of an overall configuration of a data management system according to an embodiment of the present invention.
  • FIG. 13 is a diagram illustrating an example of a Build algorithm.
  • FIG. 2 is a diagram illustrating an example of the Lookup algorithm.
  • FIG. 1 illustrates an example of the Extract algorithm.
  • FIG. 13 is a diagram illustrating an example of an Access algorithm.
  • FIG. 1 illustrates an example of the Reshuffle algorithm.
  • FIG. 2 illustrates an example of a hardware configuration of a computer.
  • ORAM is a data access protocol that runs between a client that owns the data and a (non-trusted) server that holds the data.
  • the main purpose of ORAM is to conceal the memory reference locations (also called access patterns) observed by the server when accessing data.
  • ORAM The functionality of ORAM is defined by the following function F_RAM :
  • FRAM (op, k, v') has an array X of capacity N as its internal state, and executes the following (1) or (2) depending on the value of op.
  • (k, v) is also called a key-value pair or block, and is treated as one unit of data.
  • a complete dictionary ⁇ holds an arbitrary subset S ⁇ ⁇ 1, ..., N ⁇ for a certain universal set ⁇ 1, ..., N ⁇ , and holds a membership query ⁇ .
  • membership( A data structure that can respond to a membership query ⁇ .membership(k) [k ⁇ 1, ... ,N ⁇ ].
  • a complete dictionary ⁇ is a query requesting a determination of whether or not k is included in a set S held by the dictionary ⁇ .
  • the space cost of a complete dictionary ⁇ (i.e., the bit length of the data structure) can be kept to O(m ⁇ log(N/m)) if S holds m pieces of data.
  • Secure computation is a technique for performing various computations while keeping data encrypted.
  • secure computation is used that can perform at least the following operations: multiplication and accumulation, conditional selection, substitution, inverse substitution, and pseudorandom substitution.
  • An example of secure computation that can perform these computations is a method using a secret sharing scheme (Reference 2).
  • RSVP 2 multi-party computation
  • MPC multi-party computation
  • this is not limited to this, and any method having equivalent functions can be used.
  • multi-party computation using a secret sharing scheme may be called, for example, a secret multi-party computation.
  • the calculation unit 101 executes a part of the procedures included in an algorithm (an Access algorithm, which will be described later) that simulates the function FRAM .
  • the storage unit 102 stores data structures ⁇ 0 , . . . , ⁇ L-1 , which will be described later and are used as a dictionary (a group of dictionaries).
  • the server 20 has a calculation unit 201 and a storage unit 202.
  • the calculation unit 201 is realized by a process in which one or more programs installed in the server 20 are executed by a calculation device such as a CPU.
  • the storage unit 202 is realized by a storage device such as an HDD, SSD, or flash memory.
  • the calculation unit 201 and storage unit 202 of the server 20 m' (m' ⁇ 1, ..., M' ⁇ ) are represented as "calculation unit 201 m' " and "storage unit 202 m' ,” respectively.
  • the storage unit 202 stores data structures [[T 0 ]], ..., [[T L ]] described later for holding anonymized key-value pairs, and data structures R 0 , ..., R L described later for holding auxiliary information. In addition to these, the storage unit 202 also stores random permutations, secret keys, query counters, etc. described later.
  • the client 10 has L data structures ⁇ 0 , ..., ⁇ L-1 . That is, the client 10 has an L-stage hierarchical data structure ⁇ l (l is a lowercase "L”), where:
  • the memory capacity (storage size) of the memory unit 202 required by the client 10 is O(N) bits.
  • the server 20 has L+1 concealed arrays [[T 0 ]], ..., [[T L ]];
  • 2 l+1 and L+1 plaintext arrays R 0 , ..., R L ;
  • 2 l+1 . That is, the server 20 has an array [[T l ]] and an array R l which are L+1-stage hierarchical data structures.
  • the array [[T l ]] stores an anonymized key-value pair ([[k]], [[v]]), and the array R l stores auxiliary information for referencing [[T l ]]. Furthermore, the server 20 has a secret random permutation [[ ⁇ l ]], a private key [[s l ]], and a query counter ctr as information used when constructing the array [[T l ]].
  • the hierarchical data structure held by the server 20 can be managed by a simple algorithm using random permutation.
  • the Build algorithm, the Lookup algorithm, and the Extract algorithm described below do not require auxiliary input or auxiliary calculation based on communication with the client 10, and are realized by secret calculation between the servers 20 (i.e., for example, MPC using a secret sharing scheme).
  • [A]] is provided, for example, from the client 10.
  • n,
  • ⁇ placed above a character will be written at the top left of the character. For example, when writing the left side of the above formula 4 in the text of the specification, it will be written as [[ ⁇ T]].
  • the calculation unit 201 of the server 20 generates a share [[ ⁇ ]] of the random permutation, and calculates [[T]] ⁇ Perm([[ ⁇ ]], [[ ⁇ T]]) and [[R]] ⁇ Perm([[ ⁇ ]], [[ ⁇ R]]) (line 3).
  • the calculation unit 201 of the server 20 stores [[T]], R, [[s]], [[ ⁇ ]], and ctr in its own memory unit 202 (line 5).
  • ⁇ Lookup Algorithm> The Lookup algorithm (Algorithm 2) for obtaining data matching query k from [[T]] is shown in Fig. 3.
  • the Lookup algorithm shown in Fig. 3 takes [[k]], [[d]], [[T]], R, [[s]], and ctr as inputs, and outputs ([[k]], [[v]]).
  • d ⁇ ⁇ 0, 1 ⁇ is assumed. Note that d is a flag indicating whether the query is a dummy or not, and is used to control the reference position.
  • the calculation unit 201 of the server 20 calculates [[ ⁇ k]] ⁇ IfElse([[d]], [[ ⁇ +ctr]], [[k]]) (line 2).
  • the calculation unit 201 of the server 20 calculates [[r]] ⁇ PRP([[s]], [[ ⁇ k]]) to obtain r ⁇ Reveal([[r]]) (line 3).
  • the calculation unit 201 of the server 20 also overwrites [[t i ]] with ([[ ⁇ ]], [[ ⁇ ]]) (line 5).
  • the calculation unit 201 of the server 20 calculates [[ ⁇ T]] ⁇ Unperm([[ ⁇ ]], [[T]]) and outputs the first n elements of [[ ⁇ T]] as an array [[A]] (first line).
  • Algorithm 3 extracts the input array A by performing the inverse of the permutation ⁇ used in constructing the array [[T]]. This makes it possible to extract all non-dummy data remaining in [[T]]. Note that the data referenced by the Lookup algorithm has been overwritten by dummy data.
  • the above Algorithms 1 and 3 can be executed with O(NB)-bit communication volume and O(1 round), respectively.
  • the above Algorithm 2 can be executed with O(B)-bit communication volume and O(1 round).
  • Access algorithm for the client 10 to access the data structure held by the server 20
  • This Access algorithm uses the above-mentioned Build algorithm, Lookup algorithm, and Extract algorithm as subroutines.
  • This Access algorithm also uses the Reshuffle algorithm for dismantling and reconstructing a hierarchy of the array [[T]] that has been accessed a large number of times as a subroutine.
  • the Access algorithm and the Reshuffle algorithm will be described below. In the following, it is assumed that the key-value pairs are held in the data structure on the server 20 side, and the client 10 side has a data structure (a group of dictionaries) linked to the data structure of the server 20.
  • ⁇ Access Algorithm> 5 shows an Access algorithm (Algorithm 4) for the client 10 to access the data structure of the server 20.
  • the Access algorithm shown in Fig. 5 takes op, k, and v' as input, and outputs (k, v).
  • the target level t is the hierarchy (level) of the data structure ⁇ l that holds the set S containing the key k.
  • the calculation unit 101 of the client 10 calculates a one-hot vector of length L+1 in which the t-th value is 1.
  • the calculation unit 201 of the server 20 transmits [[ . . . a]] to the client 10 (line 5).
  • the calculation unit 101 of the client 10 obtains (k, v) ⁇ Reveal([[ ⁇ a]]) as an output (line 6).
  • the calculation unit 201 of the server 20 executes Reshuffle([[ ⁇ a]]) as [[ ⁇ a]] ⁇ IfElse([[op]], ([[k]], [[v']]), [ [ ⁇ a ]]) (line 7).
  • Algorithm 4 is an algorithm for the client 10 to access a data structure held by the server 20, and is a secure computation protocol executed by the server 20 upon receiving auxiliary input (i.e., vector ⁇ d) from the client 10.
  • the client 10 identifies the hierarchy (level) at which the target data exists from its own dictionaries ⁇ 0 , ..., ⁇ L-1 , and provides this to the server 20 in the form of vector ⁇ d. This enables the server 20 to efficiently access data through secure computation (even without knowing the value of ⁇ d).
  • ⁇ Reshuffle Algorithm The Reshuffle algorithm (Algorithm 5) for dismantling and reconstructing a hierarchy of an array [[T]] with a high number of accesses is shown in Fig. 6.
  • the Reshuffle algorithm shown in Fig. 6 inputs [[ ⁇ a]].
  • an array [[T p ]] at a certain level p is unconstructed (i.e., it does not hold data), and all of [[T 0 ]], ..., [[T p-1 ]] have been constructed.
  • the calculation unit 201 of the server 20 constructs a data structure of level p using [[T p ]], R p , [[s p ]], [[ ⁇ p ]], ctr ⁇ Build([[A p ]]) (line 2).
  • Algorithm 5 is an algorithm for dismantling and reconstructing a layer with a high number of accesses, and randomizes the arrangement of accessed elements.
  • all data structures in the upper layers that have already been constructed are dismantled and pushed to the lower layers, making the upper layers available again.
  • the reconstruction of level p by this algorithm is executed once for every 2p accesses.
  • this algorithm which is a secure computation protocol on the server 20 side, on the client 10 side, the group of dictionaries ⁇ 0 , . . . ⁇ p-1 is dismantled and integrated into ⁇ p . This dismantling and integration of the group of dictionaries ⁇ 0 , . . .
  • ⁇ p-1 into ⁇ p can be performed in the same manner as the method described in the above non-patent document 1. Since the level p to be dismantled and integrated is unique based on the number of accesses, the client 10 can update the data structure (group of dictionaries) linked to the data structure of the server 20 without communicating with the server 20.
  • Algorithm 5 requires O(2 p B) bits and O(1) rounds of communication once every 2 p , so the amortized communication volume is O(B ⁇ logN) bits and the amortized round number is o(1). Therefore, the efficiency of the entire Algorithm 4 is O(B ⁇ logN) bits of amortized communication volume and o(1) number of amortized rounds.
  • the client 10 and the server 20 included in the data management system 1 can be realized, for example, by the hardware configuration of a computer 500 shown in Fig. 7.
  • the computer 500 shown in Fig. 7 has an input device 501, a display device 502, an external I/F 503, a communication I/F 504, a RAM (Random Access Memory) 505, a ROM (Read Only Memory) 506, an auxiliary storage device 507, and a processor 508.
  • each of these pieces of hardware is connected to each other via a bus 509 so as to be able to communicate with each other.
  • the input device 501 is, for example, a keyboard, a mouse, a touch panel, a physical button, etc.
  • the display device 502 is, for example, a display, a display panel, etc. Note that the computer 500 does not have to have at least one of the input device 501 and the display device 502, for example.
  • the external I/F 503 is an interface with external devices such as a recording medium 503a.
  • the computer 500 can read and write data from and to the recording medium 503a via the external I/F 503.
  • Examples of the recording medium 503a include a flexible disk, a CD (Compact Disc), a DVD (Digital Versatile Disk), an SD memory card (Secure Digital memory card), and a USB (Universal Serial Bus) memory card.
  • the communication I/F 504 is an interface for connecting the computer 500 to a communication network.
  • the RAM 505 is a volatile semiconductor memory (storage device) that temporarily stores programs and data.
  • the ROM 506 is a non-volatile semiconductor memory (storage device) that can store programs and data even when the power is turned off.
  • the auxiliary storage device 507 is, for example, a storage device (storage device) such as an HDD, SSD, or flash memory.
  • the processor 508 is, for example, a calculation device such as a CPU.
  • the client 10 and server 20 included in the data management system 1 can realize the various processes described above by having, for example, the hardware configuration of a computer 500 shown in FIG. 7.
  • the hardware configuration of the computer 500 shown in FIG. 7 is only an example and is not limited to this.
  • the computer 500 may have multiple auxiliary storage devices 507 and multiple processors 508, may not have some of the hardware shown in the figure, or may have various hardware other than the hardware shown in the figure.
  • Non-Patent Document 1 uses a single server, and the number of rounds of communication between the client and server is a constant (O(1)), but the client requires a memory capacity of O(N+ ⁇ (N)B) bits, and the amount of communication between the client and server is O(logN).
  • Non-Patent Document 2 requires multiple servers, but the amount of communication and communication rounds between the client and server are both constant, and the client does not need a large memory capacity, but the amount of communication and communication rounds between servers are both O(logN).
  • the storage size of the client 10 is reduced to O(N) bits, and the number of rounds and communication volume between the client 10 and the server 20 are both constant (O(1)).
  • Multi-server ORAM with constant rounds and communication volume O(logN) between servers In the data management system 1 according to this embodiment, the amount of communication between the servers 20 is O(log N), the number of rounds is a constant (O(1)), and the number of communication rounds for the entire access protocol is O(1).

Landscapes

  • Physics & Mathematics (AREA)
  • General Physics & Mathematics (AREA)
  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Information Retrieval, Db Structures And Fs Structures Therefor (AREA)

Abstract

本開示の一態様によるデータ管理システムは、クライアントと互いに秘密計算プロトコルを実行する複数のサーバとによりマルチサーバＯＲＡＭを実現するデータ管理システムであって、前記クライアントは、辞書を表すＬ個のデータ構造Φ０，・・・，ΦＬ－１を用いて、アクセス対象のデータのキーｋが所属する階層ｔ∈｛０，・・・，Ｌ－１｝を特定する特定部と、ｔ番目の値が１となる長さＬ＋１のＯｎｅ－ｈｏｔベクトルｄの秘密値［［ｄ］］と、アクセス操作がｒｅａｄ又はｗｒｉｔｅのいずれであるかを表すｏｐの秘密値［［ｏｐ］］と、前記キーｋの秘密値［［ｋ］］とを前記複数のサーバに分散する分散部と、を有し、前記サーバは、キー・バリューペアで表される秘匿化されたデータを格納する配列［［Ｔ０］］，・・・，［［ＴＬ］］と、［［Ｔｌ］］を参照するための補助情報を格納する平文の配列Ｒ０，・・・，ＲＬと、前記秘密値［［ｄ］］と、前記秘密値［［ｏｐ］］と、前記秘密値［［ｋ］］とを用いて、各ｌ＝０，・・・，Ｌにおいて並列に前記キーｋに合致するａｌ＝（ｋｌ，ｖｌ）の秘密値［［ａｌ］］を秘密値［［Ｔｌ］］から取得する取得部と、秘密値［［ａ］］＝（［［ａ０］］，・・・，［［ａＬ］］）と、前記秘密値［［ｄ］］との内積の秘密値［［～ａ］］を前記クライアントに送信する内積計算部と、を有する。

Description

データ管理システム、方法、及びプログラム
　本開示は、データ管理システム、方法、及びプログラムに関する。
　Ｏｂｌｉｖｉｏｕｓ　ＲＡＭ（以下、ＯＲＡＭという。）は、データの持ち主であるクライアントが、データの預け先であるストレージサーバに対して安全にアクセスを行うためのアルゴリズムである。ＯＲＡＭは、データへの安全なアクセス（検索）を保証するという性質から高安全なクラウドストレージへの応用等が期待されている。その一方で、クライアントとサーバの間で大きな通信量、通信ラウンド及びクライアント側の計算資源を要するため、必ずしもクライアントの通信環境や端末性能が優れないクラウドサービスでの利用は容易ではないという問題がある。
　上記の問題を解決するため、クライアントに或る程度の空間コストを要求する代わりに通信量と通信ラウンドを削減する手法（非特許文献１）と、複数台のサーバを用いる手法（非特許文献２）との２つの手法が提案されている。
William Holland, Olga Ohrimenko, and Anthony Wirth. Single round-trip hierarchical oram via succinct indices, 2022. Thang Hoang, Ceyhun D. Ozkaptan, Attila A. Yavuz, Jorge Guajardo, and Tam Nguyen. S3oram: A computation-efficient and constant client bandwidth blowup oram with shamir secret sharing. In CCS, pp. 491-505, 2017.
　しかしながら、非特許文献１に記載されている手法は、通信ラウンドを定数まで削減することができるが、クライアントの記憶容量が大きく、かつ、クライアントとサーバ間の通信量も大きいという問題がある。一方で、非特許文献２に記載されている手法は、クライアントとサーバ間の通信量及び通信ラウンドはともに定数で、かつ、クライアントに大きな記憶容量は不要だが、サーバ間の通信ラウンドが大きいという問題がある。
　本開示は、上記の点に鑑みてなされたもので、効率的なＯＲＡＭを実現する技術を提供する。
　本開示の一態様によるデータ管理システムは、クライアントと互いに秘密計算プロトコルを実行する複数のサーバとによりマルチサーバＯＲＡＭを実現するデータ管理システムであって、前記クライアントは、辞書を表すＬ個のデータ構造Φ０，・・・，ΦＬ－１を用いて、アクセス対象のデータのキーｋが所属する階層ｔ∈｛０，・・・，Ｌ－１｝を特定する特定部と、ｔ番目の値が１となる長さＬ＋１のＯｎｅ－ｈｏｔベクトルｄの秘密値［［ｄ］］と、アクセス操作がｒｅａｄ又はｗｒｉｔｅのいずれであるかを表すｏｐの秘密値［［ｏｐ］］と、前記キーｋの秘密値［［ｋ］］とを前記複数のサーバに分散する分散部と、を有し、前記サーバは、キー・バリューペアで表される秘匿化されたデータを格納する配列［［Ｔ０］］，・・・，［［ＴＬ］］と、［［Ｔｌ］］を参照するための補助情報を格納する平文の配列Ｒ０，・・・，ＲＬと、前記秘密値［［ｄ］］と、前記秘密値［［ｏｐ］］と、前記秘密値［［ｋ］］とを用いて、各ｌ＝０，・・・，Ｌにおいて並列に前記キーｋに合致するａｌ＝（ｋｌ，ｖｌ）の秘密値［［ａｌ］］を秘密値［［Ｔｌ］］から取得する取得部と、秘密値［［ａ］］＝（［［ａ０］］，・・・，［［ａＬ］］）と、前記秘密値［［ｄ］］との内積の秘密値［［～ａ］］を前記クライアントに送信する内積計算部と、を有する。
　効率的なＯＲＡＭを実現する技術が提供される。
本実施形態に係るデータ管理システムの全体構成の一例を示す図である。 Ｂｕｉｌｄアルゴリズムの一例を示す図である。 Ｌｏｏｋｕｐアルゴリズムの一例を示す図である。 Ｅｘｔｒａｃｔアルゴリズムの一例を示す図である。 Ａｃｃｅｓｓアルゴリズムの一例を示す図である。 Ｒｅｓｈｕｆｆｌｅアルゴリズムの一例を示す図である。 コンピュータのハードウェア構成の一例を示す図である。
　以下、本発明の一実施形態について説明する。
　＜準備＞
　まず、本実施形態の説明に必要な技術について説明する。
　　≪ＯＲＡＭ≫
　ＯＲＡＭは、データの持ち主たるクライアントと、データを預かる（信頼できない）サーバとの間で実行されるデータアクセスプロトコルである。ＯＲＡＭは、主に、データアクセス時にサーバ側で観測されるメモリ参照位置（これはアクセスパターンとも呼ばれる。）の秘匿を目的としている。
　ＯＲＡＭの機能は次の関数ＦＲＡＭで定義される。
　ＦＲＡＭ（ｏｐ，ｋ，ｖ'）：内部状態として容量Ｎの配列Ｘを持ち、ｏｐの値に応じて以下の（１）又は（２）を実行する。
　（１）ｏｐ＝ｒｅａｄである場合、配列Ｘから組（ｋ，ｖ）を探し、出力する。配列Ｘに組（ｋ，ｖ）が存在しないときはダミー（⊥，⊥）を出力する。
　（２）ｏｐ＝ｗｒｉｔｅである場合、配列Ｘから組（ｋ，ｖ）を削除し、組（ｋ，ｖ'）で置き換える。配列Ｘに組（ｋ，ｖ）が存在しないときは単に配列Ｘに組（ｋ，ｖ'）を追加する。
　なお、（ｋ，ｖ）はキー・バリューペアやブロック等とも呼ばれ、データの１単位として扱われる。
　アクセスの正当性のため各キーｋは相異なる必要があるため、データの総数をＮとすれば、ブロックサイズはＢ＝Ω（ｌｏｇＮ）ビット必要である。ＯＲＡＭではしばしば１回のアクセス（すなわち、１ブロックの取得）の際にアルゴリズムが必要とするブロック操作回数をオーバーヘッドと呼び、これを計算効率の指標としている。
　　≪Ｃｏｍｐｌｅｔｅ　ｄｉｃｔｉｏｎａｒｙ≫
　Ｃｏｍｐｌｅｔｅ　ｄｉｃｔｉｏｎａｒｙ　Φは、或る全体集合｛１，・・・，Ｎ｝に対して、その任意の部分集合Ｓ⊆｛１，・・・，Ｎ｝を保持し、また所属判定クエリΦ．ｍｅｍｂｅｒｓｈｉｐ（ｋ）＝［ｋ∈？Ｓ］に対して応答できるデータ構造である。ここで、所属判定クエリΦ．ｍｅｍｂｅｒｓｈｉｐ（ｋ）とは、任意のｋ∈｛１，・・・，Ｎ｝に対して、Ｃｏｍｐｌｅｔｅ　ｄｉｃｔｉｏｎａｒｙ　Φが保持する集合Ｓにｋが含まれるか否かの判定を要求するクエリのことである。
　また、Ｃｏｍｐｌｅｔｅ　ｄｉｃｔｉｏｎａｒｙ　Φの空間コスト（つまり、データ構造のビット長）は、Ｓがｍ個のデータを保持する場合にはＯ（ｍ×ｌｏｇ（Ｎ／ｍ））で抑えることができる。
　以上のようなデータ構造は、例えば、参考文献１等に記載されている方法で実現することができる。ただし、これに限られるものではなく、同等の機能を持つ方法であれば任意の方法で代替可能である。
　　≪秘密計算≫
　秘密計算は、データを暗号化したまま様々な計算を行う技術である。本実施形態では、以下で説明する積和、条件付き選択、置換、逆置換、疑似ランダム置換が少なくとも計算可能な秘密計算を用いる。これらの計算を可能とする秘密計算の一例としては、秘密分散法（参考文献２）を利用した手法等が挙げられる。以下では、秘密分散法を利用したマルチパーティ計算（ＭＰＣ：multi-party computation）を想定する。ただし、これに限られるものではなく、同等の機能を持つ手法であれば任意の手法を用いることが可能である。なお、秘密分散法を利用したマルチパーティ計算は、例えば、秘匿マルチパーティ計算等と呼ばれてもよい。
　以下、或る値ａを秘匿化した状態を
Figure JPOXMLDOC01-appb-M000001
 で表すものとし、これを「ａのシェア」又は単に「シェア」と呼ぶ。また、明細書のテキスト中では、ａのシェアを［［ａ］］と表記することにする。
　また、ａから［［ａ］］に変換する処理［［ａ］］←Ｓｈａｒｅ（ａ）を「分散」と呼び、［［ａ］］からａに変換する処理ａ←Ｒｅｖｅａｌ（［［ａ］］）を「復元」と呼ぶ。更に、配列Ａ＝（ａ１，・・・，ａｎ）のシェア（［［ａ１］］，・・・，［［ａｎ］］）は、簡単のため、単に［［Ａ］］と記述する。
　・積和
　［［Ａ］］、［［Ｂ］］をそれぞれ要素数ｎの配列のシェアとしたとき、両者の積和（内積）を以下のように表す。
　［［ｃ］］←Ｐｒｏｄ（［［Ａ］］，［［Ｂ］］）
　これには、例えば、参考文献３に記載されている方法を用いることができる。
　・条件付き選択
　条件付き選択を以下のように記述する。
　［［ｚ］］←ＩｆＥｌｓｅ（［［ｅ］］，［［ｘ］］，［［ｙ］］）
　ここで、入力［［ｘ］］、［［ｙ］］はｕビットのシェア、［［ｅ］］は１ビットのシェアとする。出力はｅ＝１ならばｚ＝ｘ、そうでなければｚ＝ｙを満たす。これには、例えば、参考文献４に記載されている方法を用いることができる。
　・置換と逆置換
　［［Ａ］］を要素数ｎの配列のシェアとし、［［π］］を置換π：［ｎ］→［ｎ］のシェアとする。このとき、［Ａ］の置換と逆置換をそれぞれ以下で表す。
　［［πＡ］］←Ｐｅｒｍ（［［π］］，［［Ａ］］）
　［［π－１Ａ］］←Ｕｎｐｅｒｍ（［［π］］，［［Ａ］］）
　これには、例えば、参考文献５に記載されている方法を用いることができる。
　・疑似ランダム置換
　秘密の鍵［［ｓ］］とシェア［［ｘ］］から疑似乱数値のシェアを得る処理を以下で表す。
　［［ｒ］］←ＰＲＰ（［［ｓ］］，［［ｘ］］）
　これには、例えば、参考文献６に記載されている方法を用いることができる。
　以上の準備の下、以下、効率的なＯＲＡＭを実現するデータ管理システム１について説明する。
　＜データ管理システム１の全体構成例＞
　本実施形態に係るデータ管理システム１の全体構成例を図１に示す。図１に示すように、本実施形態に係るデータ管理システム１には、クライアント１０と、複数のサーバ２０とが含まれている。また、クライアント１０と各サーバ２０は、例えば、インターネット等の通信ネットワーク３０を介して相互に通信可能に接続される。なお、図１に示す例では、サーバ２０１、サーバ２０２、・・・、サーバ２０Ｍ'が存在する場合を示している。ここで、Ｍ'（≧２）はサーバ２０の総数である。以下では、各サーバ２０ｍ'（ｍ'∈｛１，・・・，Ｍ'｝）を総称して単に「サーバ２０」と表記する。
　クライアント１０は、ＯＲＡＭのクライアントに相当するコンピュータ又はコンピュータシステムである。クライアント１０には、例えば、ＰＣ（パーソナルコンピュータ）、スマートフォン、タブレット端末、ウェアラブルデバイス、ゲーム機器、車載器、産業用機器等を用いることができる。
　サーバ２０は、ＯＲＡＭのサーバに相当するコンピュータ又はコンピュータシステムである。サーバ２０には、例えば、データベースサーバやクラウドストレージサーバ等として機能する汎用サーバ等を用いることができる。
　ここで、本実施形態に係るクライアント１０は、演算部１０１と、記憶部１０２とを有する。演算部１０１は、例えば、クライアント１０にインストールされた１以上のプログラムが、ＣＰＵ（Central Processing Unit）等の演算装置に実行させる処理により実現される。記憶部１０２は、例えば、ＨＤＤ（Hard Disk Drive）、ＳＳＤ（Solid State Drive）、フラッシュメモリ等のストレージ装置により実現される。
　演算部１０１は、関数ＦＲＡＭをシミュレートするアルゴリズム（後述するＡｃｃｅｓｓアルゴリズム）に含まれる一部の手順を実行する。
　記憶部１０２は、辞書（辞書群）として利用される後述するデータ構造Φ０，・・・，ΦＬ－１を記憶する。
　また、本実施形態に係るサーバ２０は、演算部２０１と、記憶部２０２とを有する。演算部２０１は、サーバ２０にインストールされた１以上のプログラムが、ＣＰＵ等の演算装置に実行させる処理により実現される。記憶部２０２は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等のストレージ装置により実現される。なお、図１に示す例では、サーバ２０ｍ'（ｍ'∈｛１，・・・，Ｍ'｝）の演算部２０１及び記憶部２０２をそれぞれ「演算部２０１ｍ'」及び「記憶部２０２ｍ'」と表している。
　演算部２０１は、後述するデータ構造の構築や参照を行うための各種アルゴリズム（後述するＢｕｉｌｄアルゴリズム、Ｌｏｏｋｕｐアルゴリズム、Ｅｘｔｒａｃｔアルゴリズム）に含まれる手順を実行する。また、演算部２０１は、上記のＡｃｃｅｓｓアルゴリズムに含まれる一部の手順を実行する。
　記憶部２０２は、秘匿化されたキー・バリューペアを保持するための後述するデータ構造［［Ｔ０］］，・・・，［［ＴＬ］］と、補助情報を保持するための後述するデータ構造Ｒ０，・・・，ＲＬとを記憶する。また、これら以外にも、記憶部２０２は、後述するランダム置換や秘密鍵、クエリカウンタ等も記憶する。
　＜データ構造＞
　クライアント１０が持つデータ構造とサーバ２０が持つデータ構造について説明する。
　　≪クライアント１０が持つデータ構造≫
　クライアント１０は、Ｌ個のデータ構造Φ０，・・・，ΦＬ－１を持つ。すなわち、クライアント１０は、Ｌ段の階層型データ構造Φｌ（ｌは小文字の「Ｌ」）を持つ。ただし、
Figure JPOXMLDOC01-appb-M000002
 である。
　また、各Φｌは最大で２ｌ個の要素を保持するものとする。このため、各Φｌの空間コストはＯ（２ｌ×ｌｏｇ（Ｎ／２ｌ））となる。以下では、各ΦｌはＣｏｍｐｌｅｔｅ　ｄｉｃｔｉｏｎａｒｙであるものとする。ただし、これに限られるものではなく、同等の機能を持つデータ構造であれば任意のデータ構造で代替可能である。
　ここで、Φ０，・・・，ΦＬ－１の合計空間コストに関して以下の式が成り立つ。
Figure JPOXMLDOC01-appb-M000003
 　このため、クライアント１０に要求される記憶部２０２の記憶容量（ストレージサイズ）はＯ（Ｎ）ビットである。
　　≪サーバ２０が持つデータ構造≫
　サーバ２０は、秘匿化されたＬ＋１個の配列［［Ｔ０］］，・・・，［［ＴＬ］］；｜Ｔｌ｜＝２ｌ＋１と、平文のＬ＋１個の配列Ｒ０，・・・，ＲＬ；｜Ｒｌ｜＝２ｌ＋１とを持つ。すなわち、サーバ２０は、Ｌ＋１段の階層型データ構造である配列［［Ｔｌ］］及び配列Ｒｌを持つ。
　配列［［Ｔｌ］］には秘匿化されたキー・バリューペア（［［ｋ］］，［［ｖ］］）が格納され、また配列Ｒｌには［［Ｔｌ］］を参照するための補助情報が格納される。更に、サーバ２０は、配列［［Ｔｌ］］を構築した際の情報として秘密のランダム置換［［πｌ］］と秘密鍵［［ｓｌ］］とクエリカウンタｃｔｒとを持つ。
　＜配列［［Ｔｌ］］、Ｒｌの構築及び参照方法＞
　本実施形態では、サーバ２０が保持する階層型データ構造はランダム置換を利用したシンプルなアルゴリズムにより管理できる。以下で説明するＢｕｉｌｄアルゴリズム、Ｌｏｏｋｕｐアルゴリズム及びＥｘｔｒａｃｔアルゴリズムはいずれもクライアント１０との通信に基づく補助入力や補助計算を必要とせず、サーバ２０間での秘密計算（つまり、例えば、秘密分散法を利用したＭＰＣ）で実現される。
　　≪Ｂｕｉｌｄアルゴリズム≫
　以下では、表記の簡単のため或るｌに関する［［Ｔｌ］］、Ｒｌをそれぞれ［［Ｔ］］、Ｒとして、［［Ｔ］］、Ｒを構築するためのＢｕｉｌｄアルゴリズム（Ａｌｇｏｒｉｔｈｍ１）を図２に示す。図２に示すＢｕｉｌｄアルゴリズムは、［［Ａ］］を入力として、［［Ｔ］］，Ｒ，［［ｓ］］，［［π］］，ｃｔｒを出力する。ただし、［［Ａ］］＝（［［ａ１］］，・・・，［［ａｎ］］）、［［ａｉ］］＝（［［ｋｉ］］，［［ｖｉ］］）、ｋｉ∈［Ｎ］、かつ、全てのｉ，ｊ≠ｉについてｋｉ≠⊥ならばｋｉ≠ｋｊであるものとする。また、このＢｕｉｌｄアルゴリズムの実行によってＡ⊆Ｔが保証される。なお、［［Ａ］］は、例えば、クライアント１０から与えられる。
　まず、サーバ２０の演算部２０１は、ｎ個のダミーデータのシェア［［Ｄ］］＝（（⊥，⊥），・・・，（⊥，⊥））；｜Ｄ｜＝ｎを生成し、
Figure JPOXMLDOC01-appb-M000004
 とする（１行目）。ここで、|| は配列の連結を表す。例えば、要素数ｎの配列をＡ，Ｂとすれば、Ｃ＝Ａ||Ｂは、先頭のｎ要素が配列Ａの要素、残りのｎ要素が配列Ｂの要素である要素数２ｎの配列となる。以下、明細書のテキスト中では、文字の上に付与された「～」を文字の左上に記載する。例えば、上記の数４の左辺を明細書のテキスト中に記載する場合、［［～Ｔ］］と記載する。
　次に、サーバ２０の演算部２０１は、ランダムなシェア［［ｓ］］を生成し、［［～Ｒ］］＝（［［～ｒ１］］，・・・，［［～ｒ２ｎ］］）；［［～ｒｉ］］＝ＰＲＰ（［［ｓ］］，［［ｋｉ］］）　ｆｏｒ　１≦ｉ≦ｎ，［［～ｒｊ］］＝ＰＲＰ（［［ｓ］］，［［⊥＋ｊ－ｎ］］）　ｆｏｒ　ｎ＋１≦ｊ≦２ｎを計算する（２行目）。
　次に、サーバ２０の演算部２０１は、ランダムな置換のシェア［［π］］を生成し、［［Ｔ］］←Ｐｅｒｍ（［［π］］，［［～Ｔ］］）と、［［Ｒ］］←Ｐｅｒｍ（［［π］］，［［～Ｒ］］）とを計算する（３行目）。
　次に、サーバ２０の演算部２０１は、Ｒ←Ｒｅｖｅａｌ（［［Ｒ］］）とし、またクエリカウンタｃｔｒ＝０を準備する（４行目）。
　そして、サーバ２０の演算部２０１は、［［Ｔ］］、Ｒ、［［ｓ］］、［［π］］、ｃｔｒを自身の記憶部２０２に保存する（５行目）。
　このように、Ａｌｇｏｒｉｔｈｍ１では、入力であるサイズｎの配列に同数のダミーを追加した上でランダム置換を行うことでアクセス位置を秘匿可能にしている。これによって構築される配列［［Ｔ］］は、"各要素ａｉごとに""重複なく一度まで"、最大ｎ回の参照を許容すると共に、適宜ダミーの参照も（最大ｎ回まで）可能としている。また、参照のための情報として疑似ランダム置換を用いたタグ付け（つまり、配列Ｒ）を行い、同一の置換πの元で配列Ｔと要素の並び順をリンクさせている。
　　≪Ｌｏｏｋｕｐアルゴリズム≫
　クエリｋに合致するデータを［［Ｔ］］から取得するためのＬｏｏｋｕｐアルゴリズム（Ａｌｇｏｒｉｔｈｍ２）を図３に示す。図３に示すＬｏｏｋｕｐアルゴリズムは、［［ｋ］］，［［ｄ］］，［［Ｔ］］，Ｒ，［［ｓ］］，ｃｔｒを入力として、（［［ｋ］］，［［ｖ］］）を出力する。ただし、ｄ∈｛０，１｝であるものとする。なお、ｄは、クエリがダミーか否かを表すフラグであり、参照位置に制御に用いられる。
　まず、サーバ２０の演算部２０１は、クエリカウンタをｃｔｒ＝ｃｔｒ＋１と更新する（１行目）。
　次に、サーバ２０の演算部２０１は、［［～ｋ］］←ＩｆＥｌｓｅ（［［ｄ］］，［［⊥＋ｃｔｒ］］，［［ｋ］］）を計算する（２行目）。
　次に、サーバ２０の演算部２０１は、［［ｒ］］←ＰＲＰ（［［ｓ］］，［［～ｋ］］）を計算し、ｒ←Ｒｅｖｅａｌ（［［ｒ］］）を得る（３行目）。
　次に、サーバ２０の演算部２０１は、配列Ｒ＝（ｒ１，・・・，ｒ２ｎ）からｒｉ＝ｒなる値を探す。該当するｒｉが存在しなければ停止（つまり、Ａｌｇｏｒｉｔｈｍ２を終了）する（４行目）。
　そして、サーバ２０の演算部２０１は、［［Ｔ］］＝（［［ｔ１］］，・・・，［［ｔ２ｎ］］）から（［［ｋ］］，［［ｖ］］）＝［［ｔｉ］］を取得し、これを出力する。また、サーバ２０の演算部２０１は、［［ｔｉ］］を（［［⊥］］，［［⊥］］）で上書きする（５行目）。
　このように、Ａｌｇｏｒｉｔｈｍ２では、クエリｋに対応するタグ（疑似乱数値）ｒを計算・公開し、同一の値となるｒｉを配列Ｒから探索する。このとき、データｔｉ＝（ｋ，ｖ）が配列Ｔに含まれる場合には必ずインデックスを持つｒｉが存在する。また、ダミークエリである場合にはアクセス毎に別のダミーを参照する必要があるため、クエリカウンタにより参照位置を制御している。
　　≪Ｅｘｔｒａｃｔアルゴリズム≫
　配列［［Ａ］］を取り出すためのＥｘｔｒａｃｔアルゴリズム（Ａｌｇｏｒｉｔｈｍ３）を図４に示す。図４に示すＥｘｔｒａｃｔアルゴリズムは、［［Ｔ］］，［［π］］を入力として、［［Ａ］］を出力する。
　サーバ２０の演算部２０１は、［［～Ｔ］］←Ｕｎｐｅｒｍ（［［π］］，［［Ｔ］］）を計算し、［［～Ｔ］］の先頭のｎ要素を配列［［Ａ］］として出力する（１行目）。
　このように、Ａｌｇｏｒｉｔｈｍ３では、配列［［Ｔ］］の構築で利用した置換πの逆を行うことで、入力配列Ａを取り出す。これにより、［［Ｔ］］に残る全ての非ダミーデータを取り出すことができる。なお、Ｌｏｏｋｕｐアルゴリズムで参照されたデータはダミーによって上書きされていることに留意されたい。
　　≪Ｂｕｉｌｄ、Ｌｏｏｋｕｐ及びＥｘｔｒａｃｔアルゴリズムの効率≫
　上記のＡｌｇｏｒｉｔｈｍ１，３はそれぞれＯ（ＮＢ）ビットの通信量とＯ（１）ラウンドで実行できる。また、上記のＡｌｇｏｒｉｔｈｍ２はＯ（Ｂ）ビットの通信量とＯ（１）ラウンドで実行できる。
　＜データ構造全体のアクセス＞
　次に、クライアント１０が、サーバ２０が保持するデータ構造にアクセスするためのアルゴリズム（Ａｃｃｅｓｓアルゴリズム）について説明する。このＡｃｃｅｓｓアルゴリズムは、上記のＢｕｉｌｄアルゴリズム、Ｌｏｏｋｕｐアルゴリズム、Ｅｘｔｒａｃｔアルゴリズムをサブルーチンとして用いる。また、このＡｃｃｅｓｓアルゴリズムは、配列［［Ｔ］］のアクセス回数の進んだ階層の解体・再構築を行うためのＲｅｓｈｕｆｆｌｅアルゴリズムもサブルーチンとして用いる。以下、Ａｃｃｅｓｓアルゴリズム、Ｒｅｓｈｕｆｆｌｅアルゴリズムについて説明する。なお、以下では、キー・バリューペアがサーバ２０側のデータ構造で保持されており、またクライアント１０側はサーバ２０のデータ構造とリンクしたデータ構造（辞書群）を有しているものとして説明する。
　　≪Ａｃｃｅｓｓアルゴリズム≫
　クライアント１０がサーバ２０のデータ構造にアクセスするためのＡｃｃｅｓｓアルゴリズム（Ａｌｇｏｒｉｔｈｍ４）を図５に示す。図５に示すＡｃｃｅｓｓアルゴリズムは、ｏｐ，ｋ，ｖ'を入力として、（ｋ，ｖ）を出力する。
　まず、クライアント１０の演算部１０１は、ｌ＝０，・・・，Ｌ－１でΦｌ．ｍｅｍｂｅｒｓｈｉｐ（ｋ）を実行し、ターゲットレベルｔ；ａｒｇｍｉｎｔ（ｋ∈Φｔ）を得る（１行目）。ただし、ｋ∈Φｌとなるｌが存在しない場合、クライアント１０の演算部１０１は、ｔ＝Ｌとする。なお、ターゲットレベルｔとは、キーｋが含まれる集合Ｓを保持するデータ構造Φｌの階層（レベル）のことである。
　次に、クライアント１０の演算部１０１は、ｔ番目の値が１となる長さＬ＋１のＯｎｅ－ｈｏｔベクトル
Figure JPOXMLDOC01-appb-M000005
 を生成し、シェア
Figure JPOXMLDOC01-appb-M000006
 として、［［ｏｐ］］，［［ｋ］］，［［ｖ'］］と共にサーバ２０に分散する（２行目）。以下、明細書のテキスト中では、文字の上に付与された「→」を文字の左上に記載する。例えば、上記の数５を明細書のテキスト中に記載する場合、→ｄと記載する。
　次に、サーバ２０の演算部２０１は、各ｌ＝０，・・・，Ｌにおいて並列に［［ａｌ］］←Ｌｏｏｋｕｐ（［［ｋ］］，［ｄｌ］，［［Ｔｌ］］，Ｒｌ，［［ｓｌ］］，ｃｔｒｌ）を実行する（３行目）。なお、ａｌ＝（ｋｌ，ｖｌ）はキー・バリューペアである。
　次に、サーバ２０の演算部２０１は、ベクトル［［→ａ］］＝（［［ａ０］］，・・・，［［ａＬ］］）と［［→ｄ］］の内積［［～ａ］］←Ｐｒｏｄ（［［→ａ］］，［［→ｄ］］）を計算する（４行目）。
　次に、サーバ２０の演算部２０１は、［［～ａ］］をクライアント１０に送信する（５行目）。
　そして、クライアント１０の演算部１０１は、（ｋ，ｖ）←Ｒｅｖｅａｌ（［［～ａ］］）を出力として得る（６行目）。
　また、サーバ２０の演算部２０１は、［［～ａ］］←ＩｆＥｌｓｅ（［［ｏｐ］］，（［［ｋ］］，［［ｖ'］］），［［～ａ］］）としてＲｅｓｈｕｆｆｌｅ（［［～ａ］］）を実行する（７行目）。
　このように、Ａｌｇｏｒｉｔｈｍ４は、サーバ２０が保持するデータ構造にクライアント１０がアクセスするためのアルゴリズムであり、サーバ２０がクライアント１０の補助入力（つまり、ベクトル→ｄ）を受けて実行する秘密計算プロトコルである。クライアント１０は自身が持つ辞書群Φ０，・・・，ΦＬ－１からターゲットとなるデータが存在する階層（レベル）を特定し、これをベクトル→ｄという形でサーバ２０に与える。これにより、サーバ２０は（→ｄの値は知らないままでも）秘密計算により効率的なデータアクセスが可能となる。
　　≪Ｒｅｓｈｕｆｆｌｅアルゴリズム≫
　配列［［Ｔ］］のアクセス回数の進んだ階層の解体・再構築を行うためのＲｅｓｈｕｆｆｌｅアルゴリズム（Ａｌｇｏｒｉｔｈｍ５）を図６に示す。図６に示すＲｅｓｈｕｆｆｌｅアルゴリズムは、［［～ａ］］を入力する。ここで、以下では、Ｒｅｓｈｕｆｆｌｅアルゴリズムが実行された時点で、或るレベルｐにおいて配列［［Ｔｐ］］が未構築（つまり、データを保持していない状態）であり、かつ、全ての［［Ｔ０］］，・・・，［［Ｔｐ－１］］が構築済みであるものとする。
　まず、サーバ２０の演算部２０１は、全てのｌ＝０，・・・，ｐ－１において［［Ａｌ］］←Ｅｘｔｒａｃｔ（［［Ｔｌ］］，［［πｌ］］）を並列に実行し、［［Ａｐ］］＝［［Ａ０］］||・・・||［［Ａｐ－１］］||（［［～ａ］］）とする（１行目）。これにより、各［［Ｔｌ］］は未構築状態に戻る。
　そして、サーバ２０の演算部２０１は、［［Ｔｐ］］，Ｒｐ，［［ｓｐ］］，［［πｐ］］，ｃｔｒ←Ｂｕｉｌｄ（［［Ａｐ］］）によりレベルｐのデータ構造を構築する（２行目）。
　このように、Ａｌｇｏｒｉｔｈｍ５は、アクセス回数の進んだ階層を解体・再構築するためのアルゴリズムであり、アクセス済み要素の配置のランダマイズを行う。すなわち、構築済みの上層のデータ構造を全て解体し、下層へと押し込めることで、再度上層のデータ構造を利用可能としている。本アルゴリズムによるレベルｐの再構築は２ｐ回のアクセスごとに一度実行される。また、サーバ２０側の秘密計算プロトコルである本アルゴリズムと並行して、クライアント１０側では、辞書群Φ０，・・・Φｐ－１の解体とΦｐへの統合が行われる。この辞書群Φ０，・・・Φｐ－１の解体とΦｐへの統合は、上記の非特許文献１に記載されている方法と同様に行うことができる。この解体・統合の対象となるレベルｐはアクセスの実行回数から一意であるため、クライアント１０は、サーバ２０と通信することなく、サーバ２０のデータ構造とリンクしたデータ構造（辞書群）に更新することができる。
　　≪Ａｃｃｅｓｓ及びＲｅｓｈｕｆｆｌｅアルゴリズムの効率≫
　まず、サーバ２０側に掛かるコストとしては、Ａｌｇｏｒｉｔｈｍ５では２ｐに一度Ｏ（２ｐＢ）ビット、Ｏ（１）ラウンドの通信を要するため、償却通信量はＯ（Ｂ×ｌｏｇＮ）ビット、償却ラウンド数はｏ（１）となる。したがって、Ａｌｇｏｒｉｔｈｍ４全体の効率は償却通信量Ｏ（Ｂ×ｌｏｇＮ）ビット、償却ラウンド数ｏ（１）となる。一方、クライアント１０側に掛かるコストは、Ｏ（Ｌ＋Ｂ）ビットの通信量とＯ（１）通信ラウンドとなる。ブロックサイズＢ＝Ω（ｌｏｇＮ）ビットすれば、本実施形態のクライアント１０－サーバ２０間のオーバーヘッドはＯ（１）、サーバ２０間のオーバーヘッドはＯ（ｌｏｇＮ）となる。
　＜ハードウェア構成例＞
　本実施形態に係るデータ管理システム１に含まれるクライアント１０及びサーバ２０は、例えば、図７に示すコンピュータ５００のハードウェア構成により実現することができる。図７に示すコンピュータ５００は、入力装置５０１と、表示装置５０２と、外部Ｉ／Ｆ５０３と、通信Ｉ／Ｆ５０４と、ＲＡＭ（Random Access Memory）５０５と、ＲＯＭ（Read Only Memory）５０６と、補助記憶装置５０７と、プロセッサ５０８とを有する。また、これらの各ハードウェアは、それぞれがバス５０９を介して通信可能に接続されている。
　入力装置５０１は、例えば、キーボード、マウス、タッチパネル、物理ボタン等である。表示装置５０２は、例えば、ディスプレイ、表示パネル等である。なお、コンピュータ５００は、例えば、入力装置５０１及び表示装置５０２のうちの少なくとも一方を有していなくてもよい。
　外部Ｉ／Ｆ５０３は、記録媒体５０３ａ等の外部装置とのインタフェースである。コンピュータ５００は、外部Ｉ／Ｆ５０３を介して、記録媒体５０３ａの読み取りや書き込み等を行うことができる。記録媒体５０３ａとしては、例えば、フレキシブルディスク、ＣＤ（Compact Disc）、ＤＶＤ（Digital Versatile Disk）、ＳＤメモリカード（Secure Digital memory card）、ＵＳＢ（Universal Serial Bus）メモリカード等が挙げられる。
　通信Ｉ／Ｆ５０４は、コンピュータ５００を通信ネットワークに接続させるためのインタフェースである。ＲＡＭ５０５は、プログラムやデータを一時保持する揮発性の半導体メモリ（記憶装置）である。ＲＯＭ５０６は、電源を切ってもプログラムやデータを保持することができる不揮発性の半導体メモリ（記憶装置）である。補助記憶装置５０７は、例えば、ＨＤＤ、ＳＳＤ、フラッシュメモリ等のストレージ装置（記憶装置）である。プロセッサ５０８は、例えば、ＣＰＵ等の演算装置である。
　本実施形態に係るデータ管理システム１に含まれるクライアント１０及びサーバ２０は、例えば、図７に示すコンピュータ５００のハードウェア構成を有することにより、上述した各種処理を実現することができる。ただし、図７に示すコンピュータ５００のハードウェア構成は一例であって、これに限られるものではない。例えば、コンピュータ５００は、複数の補助記憶装置５０７や複数のプロセッサ５０８を有していてもよいし、図示したハードウェアの一部を有していなくてもよいし、図示したハードウェア以外の様々なハードウェアを有していてもよい。
　＜既存技術との比較＞
　上記の非特許文献１に記載されている既存技術は、単一サーバ、かつ、クライアント－サーバ間の通信ラウンドが定数（Ｏ（１））であるが、クライアントにＯ（Ｎ＋√（Ｎ）Ｂ）ビットの記憶容量が必要であり、かつ、クライアント－サーバ間にＯ（ｌｏｇＮ）の通信量が必要である。
　一方で、上記の非特許文献２に記載されている既存技術は、複数台のサーバが必要だがクライアント－サーバ間の通信量・通信ラウンドが共に定数、かつ、クライアントに大きな記憶容量が不要であるが、サーバ同士での通信量・通信ラウンドが共にＯ（ｌｏｇＮ）となる。
　上記の既存技術に対して、本実施形態に係るデータ管理システム１では、既存技術のそれぞれの要素を複合しており、定数ラウンドのマルチサーバＯＲＡＭを実現している。既存技術に対する本実施形態に係るデータ管理システム１の貢献は主に以下の２点である。
　・定数ラウンドとクライアント負荷軽減の両立
　本実施形態に係るデータ管理システム１では、クライアント１０のストレージサイズをＯ（Ｎ）ビットに削減し、かつ、クライアント１０－サーバ２０間のラウンド数・通信量が共に定数（Ｏ（１））となる。
　・サーバ間で定数ラウンドかつ通信量Ｏ（ｌｏｇＮ）のマルチサーバＯＲＡＭ
　本実施形態に係るデータ管理システム１では、サーバ２０間の通信量がＯ（ｌｏｇＮ）、ラウンド数は定数（Ｏ（１））となり、アクセスプロトコル全体で通信ラウンド数がＯ（１）である。
　＜まとめ＞
　以上のように、本実施形態に係るデータ管理システム１は、既存技術と比較して効率的なマルチサーバＯＲＡＭを実現することができる。このため、本実施形態に係るデータ管理システム１を用いて、安全かつ効率的な分散データベースを構築することが可能になり、例えば、安全かつ効率的なクラウドストレージサービス等への応用が期待できる。
　本発明は、具体的に開示された上記の実施形態に限定されるものではなく、請求の範囲の記載から逸脱することなく、種々の変形や変更、既知の技術との組み合わせ等が可能である。
　［参考文献１］
　参考文献１：Rasmus Pagh. Low redundancy in static dictionaries with constant query time. SIAM Journal on Computing, Vol. 31, No. 2, pp. 353-363, 2001.
　参考文献２：Adi Shamir. How to share a secret. Commun. ACM, Vol. 22, No. 11, pp. 612-613, 1979.
　参考文献３：Koji Chida, Daniel Genkin, Koki Hamada, Dai Ikarashi, Ryo Kikuchi, Yehuda Lindell, and Ariel Nof. Fast large-scale honest-majority mpc for malicious adversaries. In CRYPTO, pp. 34-64, 2018.
　参考文献４：Marcel Keller and Peter Scholl. Efficient, oblivious data structures for mpc. In ASIACRYPT, pp. 506-525, 2014.
　参考文献５：Koji Chida, Koki Hamada, Dai Ikarashi, Ryo Kikuchi, Naoto Kiribuchi, and Benny Pinkas. An efficient secure three-party sorting protocol with an honest majority. Cryptology ePrint Archive, 2019.
　参考文献６：Martin R. Albrecht, Christian Rechberger, Thomas Schneider, Tyge Tiessen, and Michael Zohner. Ciphers for mpc and fhe. In EUROCRYPT, pp. 430-454, 2015.
　１　　　　データ管理システム
　１０　　　クライアント
　２０　　　サーバ
　３０　　　通信ネットワーク
　１０１　　演算部
　１０２　　記憶部
　２０１　　演算部
　２０２　　記憶部
　５００　　コンピュータ
　５０１　　入力装置
　５０２　　表示装置
　５０３　　外部Ｉ／Ｆ
　５０３ａ　記録媒体
　５０４　　通信Ｉ／Ｆ
　５０５　　ＲＡＭ
　５０６　　ＲＯＭ
　５０７　　補助記憶装置
　５０８　　プロセッサ
　５０９　　バス

Claims (7)

  1. 　クライアントと互いに秘密計算プロトコルを実行する複数のサーバとによりマルチサーバＯＲＡＭを実現するデータ管理システムであって、
    　前記クライアントは、
    　辞書を表すＬ個のデータ構造Φ０，・・・，ΦＬ－１を用いて、アクセス対象のデータのキーｋが所属する階層ｔ∈｛０，・・・，Ｌ－１｝を特定する特定部と、
    　ｔ番目の値が１となる長さＬ＋１のＯｎｅ－ｈｏｔベクトルｄの秘密値［［ｄ］］と、アクセス操作がｒｅａｄ又はｗｒｉｔｅのいずれであるかを表すｏｐの秘密値［［ｏｐ］］と、前記キーｋの秘密値［［ｋ］］とを前記複数のサーバに分散する分散部と、を有し、
    　前記サーバは、
    　キー・バリューペアで表される秘匿化されたデータを格納する配列［［Ｔ０］］，・・・，［［ＴＬ］］と、［［Ｔｌ］］を参照するための補助情報を格納する平文の配列Ｒ０，・・・，ＲＬと、前記秘密値［［ｄ］］と、前記秘密値［［ｏｐ］］と、前記秘密値［［ｋ］］とを用いて、各ｌ＝０，・・・，Ｌにおいて並列に前記キーｋに合致するａｌ＝（ｋｌ，ｖｌ）の秘密値［［ａｌ］］を秘密値［［Ｔｌ］］から取得する取得部と、
    　秘密値［［ａ］］＝（［［ａ０］］，・・・，［［ａＬ］］）と、前記秘密値［［ｄ］］との内積の秘密値［［～ａ］］を前記クライアントに送信する内積計算部と、
    　を有するデータ管理システム。
  2. 　前記クライアントは、
    　前記秘密値［［～ａ］］を復元して前記キーｋと前記アクセス対象のデータｖとのキー・バリューペア（ｋ，ｖ）を計算する復元部、を更に有する請求項１に記載のデータ管理システム。
  3. 　前記分散部は、
    　前記ｏｐが表すアクセス操作がｗｒｉｔｅである場合に書き込む値ｖ'の秘密値［［ｖ'］］を更に前記複数のサーバに分散し、
    　前記サーバは、
    　前記秘密値［［ｏｐ］］と、前記秘密値［［ｋ］］と、前記秘密値［［ｖ'］］とを用いて、秘匿化されたキー・バリューペアが格納されているｐ個の前記配列［［Ｔ０］］，・・・，［［Ｔｐ－１］］と、（ｋ，ｖ'）の秘密値とをキー・バリューペアが未だ格納されていない前記配列［［Ｔｐ］］に格納する格納部、を更に有する請求項１又は２に記載のデータ管理システム。
  4. 　前記格納部は
    　前記配列［［Ｔ０］］，・・・，［［Ｔｐ－１］］に格納されている秘匿化されたキー・バリューペアの配列をそれぞれ［［Ａ０］］，・・・，［［Ａｐ－１］］として、［［Ａ０］］，・・・，［［Ａｐ－１］］と（ｋ，ｖ'）を要素とする配列とを結合した配列の秘密値［［Ａｐ］］を計算し、
    　前記秘密値［［Ａｐ］］と、前記秘密値［［Ａｐ］］の要素数と同数のダミーデータを要素とする配列の秘密値［［Ｄ］］とを結合した配列の秘密値［［～Ｔ］］を計算し、
    　前記秘密値［［～Ｔ］］と、前記秘密値［［～Ｔ］］と同数の疑似乱数値を要素とする配列の秘密値［［～Ｒ］］とをそれぞれランダム置換し、
    　前記ランダム置換した前記秘密値［［～Ｔ］］を配列［［Ｔｐ］］、前記ランダム置換した前記秘密値［［～Ｒ］］を復元した値ＲをＲｐとして記憶部に保持する請求項３に記載のデータ管理システム。
  5. 　前記取得部は、
    　前記秘密値［［ｄ］］＝（［［ｄ０］］，・・・，［［ｄＬ＋１］］）を用いて、［［ｄｌ］］により前記キーに合致するデータがダミーデータであるか否かを判定し、ダミーデータでない場合に前記キーｋに合致するａｌ＝（ｋｌ，ｖｌ）の秘密値［［ａｌ］］を秘密値［［Ｔｌ］］から取得する、請求項４に記載のデータ管理システム。
  6. 　クライアントと互いに秘密計算プロトコルを実行する複数のサーバとによりマルチサーバＯＲＡＭを実現するデータ管理システムに用いられる方法であって、
    　前記クライアントが、
    　辞書を表すＬ個のデータ構造Φ０，・・・，ΦＬ－１を用いて、アクセス対象のデータのキーｋが所属する階層ｔ∈｛０，・・・，Ｌ－１｝を特定する特定手順と、
    　ｔ番目の値が１となる長さＬ＋１のＯｎｅ－ｈｏｔベクトルｄの秘密値［［ｄ］］と、アクセス操作がｒｅａｄ又はｗｒｉｔｅのいずれであるかを表すｏｐの秘密値［［ｏｐ］］と、前記キーｋの秘密値［［ｋ］］とを前記複数のサーバに分散する分散手順と、を実行し、
    　前記サーバが、
    　キー・バリューペアで表される秘匿化されたデータを格納する配列［［Ｔ０］］，・・・，［［ＴＬ］］と、［［Ｔｌ］］を参照するための補助情報を格納する平文の配列Ｒ０，・・・，ＲＬと、前記秘密値［［ｄ］］と、前記秘密値［［ｏｐ］］と、前記秘密値［［ｋ］］とを用いて、各ｌ＝０，・・・，Ｌにおいて並列に前記キーｋに合致するａｌ＝（ｋｌ，ｖｌ）の秘密値［［ａｌ］］を秘密値［［Ｔｌ］］から取得する取得手順と、
    　秘密値［［ａ］］＝（［［ａ０］］，・・・，［［ａＬ］］）と、前記秘密値［［ｄ］］との内積の秘密値［［～ａ］］を前記クライアントに送信する内積計算手順と、
    　を実行する方法。
  7. 　コンピュータを、請求項１に記載のデータ管理システムに含まれるクライアント又はサーバとして機能させるプログラム。
PCT/JP2023/006016 2023-02-20 2023-02-20 データ管理システム、方法、及びプログラム Ceased WO2024176307A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2025501937A JPWO2024176307A1 (ja) 2023-02-20 2023-02-20
PCT/JP2023/006016 WO2024176307A1 (ja) 2023-02-20 2023-02-20 データ管理システム、方法、及びプログラム

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2023/006016 WO2024176307A1 (ja) 2023-02-20 2023-02-20 データ管理システム、方法、及びプログラム

Publications (1)

Publication Number Publication Date
WO2024176307A1 true WO2024176307A1 (ja) 2024-08-29

Family

ID=92500467

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2023/006016 Ceased WO2024176307A1 (ja) 2023-02-20 2023-02-20 データ管理システム、方法、及びプログラム

Country Status (2)

Country Link
JP (1) JPWO2024176307A1 (ja)
WO (1) WO2024176307A1 (ja)

Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144905A1 (ja) * 2020-01-16 2021-07-22 日本電信電話株式会社 秘匿ハッシュテーブル構築システム、参照システム、およびそれらの方法
WO2022123744A1 (ja) * 2020-12-10 2022-06-16 日本電信電話株式会社 秘匿ハッシュテーブル構築装置、秘匿ハッシュテーブル構築システム、秘匿ハッシュテーブル構築方法、及びプログラム

Patent Citations (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2021144905A1 (ja) * 2020-01-16 2021-07-22 日本電信電話株式会社 秘匿ハッシュテーブル構築システム、参照システム、およびそれらの方法
WO2022123744A1 (ja) * 2020-12-10 2022-06-16 日本電信電話株式会社 秘匿ハッシュテーブル構築装置、秘匿ハッシュテーブル構築システム、秘匿ハッシュテーブル構築方法、及びプログラム

Also Published As

Publication number Publication date
JPWO2024176307A1 (ja) 2024-08-29

Similar Documents

Publication Publication Date Title
Zhang et al. Towards efficient verifiable forward secure searchable symmetric encryption
Liu et al. DivORAM: Towards a practical oblivious RAM with variable block size
US8811611B2 (en) Encryption/decryption of digital data using related, but independent keys
CN106127075B (zh) 一种云存储环境下基于隐私保护的可搜索加密方法
Salam et al. Implementation of searchable symmetric encryption for privacy-preserving keyword search on cloud storage
Ying et al. Reliable policy updating under efficient policy hidden fine-grained access control framework for cloud data sharing
US12333039B2 (en) Secret hash table construction system, reference system, methods for the same
CN107077469B (zh) 服务器装置、检索系统、终端装置以及检索方法
KR102308066B1 (ko) 저선형 공개-키 동작들을 사용하는 개인 정보 리트리벌
Hoang et al. Practical and secure dynamic searchable encryption via oblivious access on distributed data structure
US11250004B2 (en) Secure equijoin system, secure equijoin device, secure equijoin method, and program
Hetz et al. Scaling mobile private contact discovery to billions of users
JPWO2018047698A1 (ja) 暗号化メッセージ検索方法、メッセージ送受信システム、サーバ、端末、プログラム
KR20230058314A (ko) 다중 키 정보 검색
Hoang et al. Oblivious dynamic searchable encryption on distributed cloud systems
JP7060115B2 (ja) 秘密配列アクセス装置、秘密配列アクセス方法、およびプログラム
Huang et al. A searchable encryption scheme for outsourcing cloud storage
JP2023153025A (ja) 分散型マルチオーソリティの属性ベース内積関数型暗号化
Dowsley et al. A report on design and implementation of protected searchable data in iaas
CN112966294B (zh) 一种单轮交互的链表oram访问方法
WO2024176307A1 (ja) データ管理システム、方法、及びプログラム
Suganya et al. Security and privacy-efficient encryption algorithm for cloud data using genetic prime crossover technique
Yang et al. A light-weight solution to preservation of access pattern privacy in un-trusted clouds
Nguyen et al. Client-efficient online-offline private information retrieval
Hwang et al. Encrypted keyword search mechanism based on bitmap index for personal storage services

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 23923963

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2025501937

Country of ref document: JP

Kind code of ref document: A

WWE Wipo information: entry into national phase

Ref document number: 2025501937

Country of ref document: JP

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 23923963

Country of ref document: EP

Kind code of ref document: A1