技術

【技術】MPCにおける基数ソート(Oblivious Radix Sort)の解説

2021.03.30
2023.03.16

URL copied

Acompany無料メルマガに
登録しませんか？

プライバシーテックに関する情報を配信！

はじめに

この記事では、MPC によるソートの一つである、 Oblivious Radix Sort プロトコルを紹介します。原論文は以下のリンクから閲覧できます。また以下の論文で提案されている手法を、論文での名前をそのまま使い、この記事では Oblivious Radix Sort プロトコルと呼ぶことにします。

秘密計算において、キーまたはテーブル(表)の値を明らかにせずにソートをしたい場面は多く存在します。例えば最大・最小値や中央値を求めたり、何番目に大きいかであったり、i 番目に大きい値を知りたい等、データを分析する上でソートをして様々な値を求めたい場面などです。

${k}=\left( \begin{array}{c} 3 \\ 6 \\ 7 \\ 5 \\ 3 \end{array} \right)$, ${D}=\begin{pmatrix} 3 & 5\\ 6 & 6\\ 7 & 3\\ 5 & 7\\ 3 & 1 \end{pmatrix}$

例えば、上の例でソートするキーのベクトルを ${k}$ 、テーブル(表)を行列にしたものを ${D}$ とした場合、キー ${k}$ または ${D}$ の1列目の値(=キー ${k}$ )に従って並び替えて、以下のように並び替えるような操作に相当します。

${k}’=\left( \begin{array}{c} 3 \\ 3 \\ 5 \\ 6 \\ 7 \end{array} \right)$, ${D}’ = \begin{pmatrix} 3 & 5 \\ 3 & 1 \\ 5 & 7 \\ 6 & 6 \\ 7 & 3 \end{pmatrix}$

このような操作はソートと呼ばれ、クイックソートやマージソート等の従来のアルゴリズムで実装することが可能です。しかし、上記のような一般のソートアルゴリズムは比較演算を多用するため、MPC で実現するには非常に多くの計算コストがかかってしまいます。そのため、MPC による秘密計算では特別に専用のプロトコルを用意する必要があります。

Oblivious Radix Sort プロトコルは、MPC における高速なソートプロトコルの一つであり、多くの論文で引用されています。そこで、本記事では Oblivious Radix Sort の具体的なプロトコルについて解説していきます。

記法の説明

本記事で出てくる記法を説明します。

$\mathcal{P}_1, \cdots, \mathcal{P}_m$ はプロトコルに参加している主体を表します（今後はパーティと呼びます）。各パーティは互いにセキュアなチャネルで結ばれているとします。
$n$ をシーケンス (キーやテーブルの行数)とし、$m$ をパーティの数とします。
$\mathbb{Z}_{P}$ は$P$ を法とした素体を表します。また、$l$ を $P$ のビット長とします。
$a\in \mathbb{Z}_{P}$ と書いた場合、$a \in \{ 0, 1, \cdots, P-1 \}$ を意味します。
$\mathbb{U} = \{\mathcal{P}_1,…,\mathcal{P}_m\}$ は、全パーティの集合を表します。
パーティ$\mathcal{P}i$ が保有する秘密情報$s$ のシェアを$[[s]]{\mathcal{P}_i}$ と表します。加法的秘密分散法またはシャミア秘密分散法の両方が使用可能です。
全てのパーティが持つ秘密情報 $s$ のシェアをまとめて表記する場合に、$[[s]]$ と表します。$[[s]]=[[s]]_{\mathcal{P}_i} \ for \ i \in \{1,…,m\}$ ということです。
$\mathbb{Z}_P$ 以外の別の素体でシェア値を使用することがあり、$\mathbb{Z}_Q$ と書きます。これを明示的に示すために、$[[s]]^{(Q)}$ のように上付きの添字を括弧をつけて示します。
大文字太字 ${A}$ を行列、小文字太字 ${a}$ をベクトルとし、${A}[i,j]$ を行列の $i$ 行 $j$ 列目の要素、${a}[i]$ をベクトルの $i$ 行目の要素とします。
$[[{A}]]_{\mathcal{P}i}$ や $[[{a}]]{\mathcal{P}_i}$ を、行列 $A$ やベクトル ${a}$ に対するパーティ$\mathcal{P}_i$ のシェア行列やシェアベクトルを指します。

Oblivious Radix Sortプロトコルの内容

Oblivious Radix Sort プロトコルは、比較演算プロトコル本体と、そのプロトコル内で使用されている6つのサブプロトコルから構成されています。まず、サブプロトコルについて説明し、その後本体のプロトコルについて説明します。

サブプロトコル

Oblivious Radix Sort プロトコルを実装するにあたり、以下の6つのサブプロトコルが必要となります。

Bit-Decomposition
Shuffling
Bit-field-conversion
Revealing
Destination computation
Reveal sort

以下、それぞれのサブプロトコルについて順に説明します。

Bit-Decomposition

各 $\mathcal{P}i\in\mathbb{U}$ から$[[a]]{\mathcal{P}i}$ を入力し、ビット分解して、$[[a_1]]{\mathcal{P}i},…,[[a_l]]{\mathcal{P}_i}$ を出力します。

このプロトコルを以下のように表記します。

$[[a_1]],…,[[a_l]] \gets Bit-Decomposition([[a]])$

これを行う具体的なアルゴリズムについては、以下の論文を参照してください。

ここの処理の目的は、ある与えられた値を2進数表現に変換することです。つまり、$a_j\in\{0,1\}$ の時 $a=\Sigma_j a_j 2^{j-1}$ となるように分解します。

例えば、$[[a]]_{mathcal{P}_1}=11$ だったとします。この時、$l=5$ とした場合に、このサブプロトコル実行後にどうなるかを見てみます。

$\Sigma_j a_j 2^{j-1}=a_1 2^{0}+a_2 2^{1}+a_3 2^{2}+a_4 2^{3}+a_5 2^{4}\\ =1\cdot 1+1\cdot2+0\cdot4+1\cdot8+0\cdot16=11$

つまり、$([[a_1]]_{\mathcal{P}1},…,[[a_5]]{\mathcal{P}_1})=(1,1,0,1,0)$ のように分解されます。2進数表示であることを考えれば、15 までは $l=4$ で十分でした。

Shuffling

各 $\mathcal{P}i\in \mathbb{U}$ から、$[[{k}[1]]]{\mathcal{P}i}, …,[[{k}[n]]]{\mathcal{P}_i}$ を入力し、各 $\mathcal{P}i\in \mathbb{U}$ に$[[{k}”[1]]]{\mathcal{P}i}, …,[[{k}”[n]]]{\mathcal{P}i}$ を出力します。これは、均一でランダムな置換 $\pi:\{1,…,n\} \to \{1,…,n\}$ により、${k}”[j]={k}{\pi}[j] \ for \ j\in\{1,…,n\}$ のようになっています。このプロトコルを以下のように表記します。

$[[{k}”]]\gets Shuffle([[{k}]])$

これを行う具体的なアルゴリズムについては、以下の論文を参照してください。

ここでは、いわゆるランダム置換と呼ばれるもので、ベクトルや行列の各行の要素をランダムに並べ替えると言う操作をします。

ソートする時にキーの要素を公開するため、入力データと出力結果の対応関係を秘匿したい場合に使用します。逆に言えば、秘匿しなくてもいい場合は不要です。

Bit-field-conversion

各 $\mathcal{P}i\in \mathbb{U}$ から素体 $\mathbb{Z}_P$ 上のシェア$[[b]]^{(P)}_{\mathcal{P}_i}$ を入力し、別の体 $\mathbb{Z}_Q$ 上のシェア $[[b]]^{(Q)}{\mathcal{P}_i}$ を各 $\mathcal{P}_i\in \mathbb{U}$ に出力します。このプロトコルを以下のように表記します。

$[[b]]^{(Q)} \gets Bit-Field-Conversion([[b]]^{(P)})$

具体的なアルゴリズムは以下の論文を参照してください。

このアルゴリズムは、基本的にオーバーフローを防ぐために使用します。オーバーフローが発生しないような、適切な値の空間を最初から選択している場合は、気にする必要はありません。

Revealing

各 $\mathcal{P}i\in \mathbb{U}$ から$[[a]]{\mathcal{P}_i}$ を入力し、各 $\mathcal{P}_i\in \mathbb{U}$ に $a$ を出力します。このプロトコルは、マルチパーティ設定での公開アルゴリズムとして機能します。このプロトコルの実行は、次のように示されます。

$a \gets Reveal([[a]])$

このサブプロトコルではシェアを復号しています。Reveal Sort にシェアを復号するステップがあるので使用します。

Destination computation

まず、準備としてベクトル ${k} \in \{0,…,d-1\}^n$ に対して、

${B}_{i,j} = \left\{ \begin{array}{l} 1 \ if \ {k}[i]=j-1, \\ 0 \ otherwise \end{array} \right.$

$(i,j) \in \{1,…,n\}\times\{1,…,d\}$

のような $n \times d$ 行列 ${B}$ を作成します。そして、各 $\mathcal{P}i\in \mathbb{U}$ から $[[{B}]]{\mathcal{P}_i}$ を入力し、

$(k[1],1),…,(k[n],n)\ \to \ (k ‘[1],\pi(1)),…,(k'[n],\pi(n)) \\ s.t. \ \ k'[i] \leq k ‘[i+1]\ for \ i \in \{1,…,n−1\}$

のようにソートされるような ${c} \ s.t. \ {c}[i]=\pi^{-1}(i)$ を計算し、$[[{c}]]$ を生成し、最後に各 $\mathcal{P}i\in \mathbb{U}$ に $[[{c}]]{\mathcal{P}_i}$ を出力します。このプロトコルの実行を以下のように表記します。

$[[{c}]] \gets Dest-Comp([[{B}]])$

プロトコル

各パーティは、キーのシェアベクトル$[[{k}]]$ から、$[[{B}_{i,j}]]$ を作成する。

ここの手順については後述します。

$[[{S}[i,j]\ ]] := \Sigma_{(i’,j’) \ s.t. \ (j'<j)\lor (j’=j\lor i'<i)}[[{B}[i’,j’] \ ]] \ for \ (i,j) \in \{1,…,n\} \times \{1,…,d\}$ となるような $[[{S}]]$ を計算する。
$[[{T}[i,j] \ ]]:=[[{S}[i,j] \ ]] \times [[{B}[i,j] \ ]] \ for \ (i,j) \in \{1,…,n\}\times\{1,…,d\}$ となるような $[[{T}]]$ を計算する。
$[[{c}[i]\ ]]:=\Sigma^d_{j=1}[[{T}[i,j] \ ]] \ for \ i \in \{1,…,n\}$ を計算する。
$[[{c}]]$ を出力する。

例を見た方がわかりやすいので例示します。例では本質を見るために復号されたものを追っていきますが、実際はシェアに対して同じ作業をすることになります。

${k}=\left( \begin{array}{c} 2 \\ 0 \\ 0 \\ 1 \end{array} \right)$

として、

${B}=\begin{pmatrix} 0 & 0 & 1\\ 1 & 0 & 0\\ 1 & 0 & 0\\ 0 & 1 & 0 \end{pmatrix}$

のような行列を作ります。one-hot-encoding のような操作です。しかし、注意として、シェアのままこのような作業を行うには one-hot-encoding のようなMPC アルゴリズムが必要になります。

それを回避する為に、ビット分解し ${k}$ をバイナリにするというBit-Decomposition があります。もし、${k}$ がバイナリだとすると、

${k}=\left( \begin{array}{c} 1 \\ 0 \\ 0 \\ 1 \end{array} \right)$

として、

${B}=\begin{pmatrix} 0 & 1 \\ 1 & 0 \\ 1 & 0 \\ 0 & 1 \end{pmatrix}$

とすればよく、これはよく見ると、1列目は ${k}$ の否定、2列目は ${k}$ そのままを入れることで作ることができます。シェアのまま否定をすることは容易ですから、本体のプロトコルではバイナリに対してのみ適用することになります。

${B}=\begin{pmatrix} 0 & 0 & 1\\ 1 & 0 & 0\\ 1 & 0 & 0\\ 0 & 1 & 0 \end{pmatrix}$

より、

${S}=\begin{pmatrix} 0 & 2 & 4\\ 1 & 2 & 4\\ 2 & 2 & 4\\ 2 & 3 & 4 \end{pmatrix}$

を作成します。${B}$ を1列目、2列目、3列目と言う順番で列方向に合計していって、その要素時点での合計値が ${S}$ になります。

${T}=\begin{pmatrix} 0 & 0 & 4\\ 1 & 0 & 0\\ 2 & 0 & 0\\ 0 & 3 & 0 \end{pmatrix}$

を作成します。

これは、${B}$ と ${S}$ の要素同士の掛け算で作成します。if文でやっても構いません。

${c}=\left( \begin{array}{c} 4 \\ 1 \\ 2 \\ 3 \end{array} \right)$

を作成します。

これは、${T}$ を行ごとに足し算することで得ることができます。そして、この値が ${k}$ の要素が何番目に小さいかと言うことを示します。同じ値同士は上から順になります。

${c}$ を出力して終わりです。実際には上記の作業を全てシェアのまま行いますので、$[[{c}]]_{\mathcal{P}_i}$ を各 $\mathcal{P}_i \in \mathbb{U}$ に出力します。

Reveal Sort

各 $\mathcal{P}i\in \mathbb{U}$ から $([[{k}]]{\mathcal{P}i}^{(Q)},[[{D}]]{\mathcal{P}_i})$ を入力し、${k}$ の要素を公開し、

$$ \begin{array}{c} ({k}[1],{D}[1,1],…,{D}[1,e]),…,({k}[n],{D}[n,1],…,{D}[n,e]) \\ \\ \to ({k}'[1],{D}'[1,1],…,{D}'[1,e]),…,({k}'[n],{D}'[n,1],…,{D}'[n,e]) \\ \\ s.t. \ {k}'[i] \leq {k}'[i+1] \ for \ i\in\{1,…,n-1\} \end{array} $$

のようにソートされ、$[[{D}’]]$ を生成します。最後に各 $P_i\in \mathbb{U}$ に $({k}’,[[{D}’]])$ を出力します。このプロトコルの実行を以下のように表します。

${k}’,[[{D}’]] \gets Reveal-Sort([[{k}]],[[{D}]])$

プロトコル

$([[{k}”]],[[{D}”]]\gets Shuffle([[{k}]],[[{D}]])$ Shuffling プロトコルで $[[{k}]],[[{D}]]$ をランダム置換し、$[[{k}”]],[[{D}”]]$ を作成します。全てのシェア、${k},{D}$ で同じ置換を適用してください。このShufflingプロトコルは、入力データと出力結果の対応関係を秘匿したい場合に使用します。逆に言えば、秘匿しなくてもいい場合は不要です。
${k}”[i] \gets Reveal([[{k}”[i]]]) \ for \ i \in \{1,…,n\}$ Reveal プロトコルで全てのキーの要素を復号し、公開します。
${k}”$ に従って、バケットソート(基数ソート)をします。つまり、${k}”$ の要素ごとに箱を作り、その行に対応する${k}”$ や$[[{D}”]]$ を放り込み、小さい要素から拾っていきます。

ここで、${k}$ をソートするような表記にはなっていますが、実際には Destination computation で作成する ${c}$ に対してこのアルゴリズムを主に実行します。

本体プロトコル

ここからは、本体のソートプロトコルについて説明します。

Oblivious Radix Sort プロトコルは、大まかに分けて以下の4つのステップで成立します。

キー $[[{k}]]$ をBit-Decomposition プロトコルにより、ビット分解する。
ビット分解したキー $[[{b}_j]]$ に対して、Destination Computation プロトコルで、各桁の大小の順番 $[[{c}_j]]$ を計算する。
基数ソートを実行する。
実行結果を出力する。

しかし、このアルゴリズムではただの基数ソートではなく、Oblivious Radix Sort と呼ばれるソートアルゴリズムが用いられているので、2.と3.のプロセスは各ビットについて同じループ内で実行されます。

主なアイデアとしては、掛け算や比較演算等の通信を必要とする計算をできるだけ回避してソートを実行することで高速なソートを実行します。

以下で詳しいステップについて解説していきます。

プロトコル

まず、全てのパーティは $\mathbb{Z}_{Q}$ s.t. $n\in\mathbb{Z}_Q$であることと、 $\mathbb{Z}_Q$ のビット長が $\Theta (\log n)$ であることに合意します。
$[[{b}_1[i]]],…,[[{b}_l[i]]] \gets Bit-Decomposition([[{k}[i]]]) \ for \ i \in \{1,…,n\}$ ここで、BIt-Decomposition プロトコルでキー ${k}$ をビット分解します。
$[[{b}_j[i]]]^{(Q)} \gets Bit-Field-Conversion([[{b}_j[i]]]) \ for \ (i,j) \in \{1,…,n\} \times \{1,…,l\}$ ここで、Bit-Field-Conversion でオーバーフローしないような値の空間になるようにします。オーバーフローしないという意味を込めて右上に $(Q)$ がつきます。
$[[{h}]]^{(Q)} \ s.t. \ {h}=(1,…,n)^T$ を作成します。このベクトルはポインタのように使用される元の位置を格納するベクトルです。
ループの為に以下のような置き換えをします。 $[[{h}1^{(Q)}]] =[[{h}^{(Q)}]]\\ [[{b}1’^{(Q)}]]=[[{b_1}^{(Q)}]]\\ [[{b}{l+1}^{(Q)}]]=[[{D}]] \\ [[{b}{l+1}’^{(Q)}]]=[[{D}’]]$ ここで注意して欲しいのは、$[[{h}]]$ は何度も作るのでコピーです。他はポインタ変数でもいいです。
${for} \ j=1 \ {to} \ l \ {do}$ 以下のステップからビット分解したビットごとについてループに入ります。
$[[{B}_j]]^{(Q)}$ を $[[{b}_j’]]^{(Q)}$ から作成。
Destination computationのところで行った操作をします。バイナリであるため否定で作成できます。
$[[{c}_j]]^{(Q)} \gets Dest-Comp([[{B}j]]^{(Q)})$ Destination computationを実行します。
${h}j’,[[{c}j’]]^{(Q)} \gets Reveal-Sort([[{h}j]]^{(Q)},[[{c}j]]^{(Q)})$ Reveal Sortを使って、まず ${c}j$ を ${h}j$ に従って並び替えます。${h}j$ は前のループでどのように並び替えられたかと言う情報が入ります。1ループ目は何も起きません。これを使って少し変わった基数ソートをします。
$[[{b}{j+1}]]^{(\mathcal{Q})}$ と $[[{h}]]^{(Q)}$ を準備します。 ${h}$ は常に ${h}=(1,…,n)^T$ をコピーして持ってきます。$[[{b}{j+1}]]^{(Q)}$ はラストループで $[[{D}]]$ が入ることに注意してください。
${c}{j}”,[[{b}{j+1}’]]^{(Q)} || \ [[{h}{j+1}]]^{(Q)} \gets Reveal-Sort([[{c}{j}’]]^{(Q)},[[{b}{j+1}]]^{(Q)} || \ [[{h}]]^{(Q)} )$ ここで、 ${x} \ ||\ {y}$ は列ベクトル ${x}$ と ${y}$を水平方向に結合させたものです。
つまり、$[[{c}j’]]^{(Q)}$$[[{c}j’]]^{(\mathcal{Q})}$ に従って、$[[{b}{j+1}]]^{(Q)} || \ [[{h}]]^{(Q)}$ を同時に並び替えます。
${end \ for}$ 13. ${return} \ \ [[{b}{l+1}’]]$ $[[{b}{l+1}’]]$ つまり、ソートされた行列 $[[{D}]]’$ を返します。

例示

実際に例示した方がわかりやすいと思うので例を使って例示します。

本来はシェアの状態で行われるプロトコルですが、本質を見る為に元の値で実行してみます。本来はもちろんシェアのまま同様の計算を行い、必要に応じて必要な部分を復号することになります。

${k}=\left( \begin{array}{c} 3 \\ 6 \\ 7 \\ 5 \\ 3 \end{array} \right)$, ${D}=\begin{pmatrix} 3 & 5\\ 6 & 6\\ 7 & 3\\ 5 & 7\\ 3 & 1 \end{pmatrix}$

$l=3$ で表現できそうなので、

Bit-Decomposition で3つのベクトルに分解します。

${b}_1=\left( \begin{array}{c} 1 \\ 0 \\ 1 \\ 1 \\ 1 \end{array} \right), {b}_2=\left( \begin{array}{c} 1 \\ 1 \\ 1 \\ 0 \\ 1 \end{array} \right), {b}_3=\left( \begin{array}{c} 0 \\ 1 \\ 1 \\ 1 \\ 0 \end{array} \right)$

でBit-Field-Conversion で変換します。しかし、この例ではビット長の最大値を考えないこととするため不要です。実際にはシェアの値によってオーバーフローの可能性がありますので、その時は適宜設定する必要はあるでしょう。
で$[[{h}]]^{(Q)}$ を作ります。元の位置を格納するベクトルです。ここでは元の値で表現してるので

${h}=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$

となります。

でコピーを作成します。つまり、ループの為に置き換えをします。

${h}_1^{(Q)} ={h}^{(Q)}$
${b}_1’^{(Q)}={b_1}^{(Q)}$
${b}_{l+1}^{(Q)}={b}_{4}^{(Q)}={D}$
${b}_{l+1}’^{(Q)}={b}_{4}’^{(Q)}={D}’$

6.1 ${for} \ j=1 \ {to} \ 4 \ {do}$

ここでループに入ります。以下では1回目のループを追います。

7.1 で${B}_j$ を作成します。一列目は ${b}_j’$ の否定、二列目はそのまま ${b}_j’$ です。${b}’_j$ であることに注意してください。これは前のループで並び替えられています。

${B}_1=\begin{pmatrix} 0 & 1\\ 1 & 0\\ 0 & 1\\ 0 & 1\\ 0 & 1 \end{pmatrix}$

となります。

8.1 $[[{c}_j]]^{(Q)} \gets Dest-Comp([[{B}_j]]^{(Q)})$

ここでは、${B}_j$を集計した行列が ${S}_j$であり、${B}_j, {S}_j$ の要素同士をかけたものが ${T}_j$ となります。そして、行で集計したものが ${c}_j$ です。

${S}_1=\begin{pmatrix} 0 & 2 \\ 1 & 2 \\ 1 & 3 \\ 1 & 4 \\ 1 & 5 \end{pmatrix}$,${T}_1=\begin{pmatrix} 0 & 2 \\ 1 & 0 \\ 0 & 3 \\ 0 & 4 \\ 0 & 5 \end{pmatrix}$, ${c}_1=\left( \begin{array}{c} 2 \\ 1 \\ 3 \\ 4 \\ 5 \end{array} \right)$

9.1 ${h}_j’,[[{c}_j’]]^{(Q)} \gets Reveal-Sort([[{h}_j]]^{(Q)},[[{c}_j]]^{(Q)})$

ここでは、1ループ目は何もしません。${h}_j$ がキーになっている以上1ループ目は ${c}_j$ は並び替えられることはありません。今回は特に意味のない作業です。

${h}’_1=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right), {c}_1’=\left( \begin{array}{c} 2 \\ 1 \\ 3 \\ 4 \\ 5 \end{array} \right)$

10.1 $[[{b}_{j+1}]]^{(Q)}$ と $[[{h}]]^{(Q)}$ を準備します。

${b}_2=\left( \begin{array}{c} 1 \\ 1 \\ 1 \\ 0 \\ 1 \end{array} \right)$, ${h}=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$

11.1 ${c}{j}”,[[{b}{j+1}’]]^{(Q)} || \ [[{h}{j+1}]]^{(Q)} \gets Reveal-Sort([[{c}{j}’]]^{(Q)},[[{b}_{j+1}]]^{(Q)} || \ [[{h}]]^{(Q)} )$

ここで、

${c}1’=\left( \begin{array}{c} 2 \\ 1 \\ 3 \\ 4 \\ 5 \end{array} \right),{b}{2}^{(Q)} || \ {h}^{(Q)} = \begin{pmatrix} 1 & 1 \\ 1 & 2 \\ 1 & 3 \\ 0 & 4 \\ 1 & 5 \end{pmatrix}$

なので、公開されたキー ${c}_j$ に従い並べ替えます。${c}”_j$ は整列されたものになっていると思います。(特に使用はしません)

${c}”1=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$, ${b}{2}’^{(Q)} || \ {h}_2^{(Q)} = \begin{pmatrix} 1 & 2 \\ 1 & 1 \\ 1 & 3 \\ 0 & 4 \\ 1 & 5 \end{pmatrix}$

6.2 次のループ（$j=2$）に入ります。

7.2 ${B}_j$ を作ります。${b}_2’$ という並び替えられた後のものを使うことに注意してください。 (なお、今回は並び替えられませんでした)

${B}_2=\begin{pmatrix} 0 & 1\\ 0 & 1\\ 0 & 1\\ 1 & 0\\ 0 & 1 \end{pmatrix}$

8.2 ${c}_j$ を作成します。

${S}_2=\begin{pmatrix} 0 & 2 \\ 0 & 3 \\ 0 & 4 \\ 1 & 4 \\ 1 & 5 \end{pmatrix}$,${T}_2=\begin{pmatrix} 0 & 2 \\ 0 & 3 \\ 0 & 4 \\ 1 & 0 \\ 0 & 5 \end{pmatrix}$, ${c}_2=\left( \begin{array}{c} 2 \\ 3 \\ 4 \\ 1 \\ 5 \end{array} \right)$

9.2 ${h}_j’,[[{c}_j’]]^{(Q)} \gets Reveal-Sort([[{h}_j]]^{(Q)},[[{c}_j]]^{(Q)})$

${h}_2=\left( \begin{array}{c} 2 \\ 1 \\ 3 \\ 4 \\ 5 \end{array} \right)$,${c}_2=\left( \begin{array}{c} 2 \\ 3 \\ 4 \\ 1 \\ 5 \end{array} \right)$

だったはずなので、${h}_2$ に従って並び替えます。

${h}’_2=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right), {c}_2’=\left( \begin{array}{c} 3 \\ 2 \\ 4 \\ 1 \\ 5 \end{array} \right)$

10.2 $[[{b}_{j+1}]]^{(Q)}$ と $[[{h}]]^{(Q)}$ を準備します。

${b}_3=\left( \begin{array}{c} 0 \\ 1 \\ 1 \\ 1 \\ 0 \end{array} \right)$, ${h}=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$

11.2 ${c}{j}”,[[{b}{j+1}’]]^{(Q)} || \ [[{h}{j+1}]]^{(Q)} \gets Reveal-Sort([[{c}{j}’]]^{(Q)},[[{b}_{j+1}]]^{(Q)} || \ [[{h}]]^{(Q)} )$

${c}2’=\left( \begin{array}{c} 3 \\ 2 \\ 4 \\ 1 \\ 5 \end{array} \right),{b}{3}^{(Q)} || \ {h}^{(Q)} = \begin{pmatrix} 0 & 1 \\ 1 & 2 \\ 1 & 3 \\ 1 & 4 \\ 0 & 5 \end{pmatrix}$

${c}”2=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$, ${b}{3}’^{(Q)} || \ {h}_3^{(Q)} = \begin{pmatrix} 1 & 4 \\ 1 & 2 \\ 0 & 1 \\ 1 & 3 \\ 0 & 5 \end{pmatrix}$

6.3 最後の3ループ目（$j=3$）に入ります。

7.3 ${B}_j$ を作ります。${b}_3’$ という並び替えられた後のものを使うことに注意してください。

${B}_3=\begin{pmatrix} 0 & 1\\ 0 & 1\\ 1 & 0\\ 0 & 1\\ 1 & 0 \end{pmatrix}$

8.3 ${c}_j$ を作成します。

${S}_3=\begin{pmatrix} 0 & 3 \\ 0 & 4 \\ 1 & 4 \\ 1 & 5 \\ 2 & 5 \end{pmatrix}$,${T}_3=\begin{pmatrix} 0 & 3 \\ 0 & 4 \\ 0 & 5 \\ 1 & 0 \\ 2 & 0 \end{pmatrix}$, ${c}_3=\left( \begin{array}{c} 3 \\ 4 \\ 1 \\ 5 \\ 2 \end{array} \right)$

9.3 ${h}_j’,[[{c}_j’]]^{(Q)} \gets Reveal-Sort([[{h}_j]]^{(Q)},[[{c}_j]]^{(Q)})$

${h}_3=\left( \begin{array}{c} 4 \\ 2 \\ 1 \\ 3 \\ 5 \end{array} \right)$,${c}_3=\left( \begin{array}{c} 3 \\ 4 \\ 1 \\ 5 \\ 2 \end{array} \right)$

だったはずなので、${h}_3$ に従って並び替えます。

${h}’_3=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right), {c}_3’=\left( \begin{array}{c} 1 \\ 4 \\ 5 \\ 3 \\ 2 \end{array} \right)$

10.3 $[[{b}_{j+1}]]^{(Q)}$ と $[[{h}]]^{(Q)}$ を準備します。

ここでは、${b}_4={D}$ であることに注意します。

${b}_4={D}=\begin{pmatrix} 3 & 5\\ 6 & 6\\ 7 & 3\\ 5 & 7\\ 3 & 1 \end{pmatrix}$, ${h}=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$

11.3 ${c}{j}”,[[{b}{j+1}’]]^{(Q)} || \ [[{h}{j+1}]]^{(Q)} \gets Reveal-Sort([[{c}{j}’]]^{(Q)},[[{b}_{j+1}]]^{(Q)} || \ [[{h}]]^{(Q)} )$

${c}3’=\left( \begin{array}{c} 1 \\ 4 \\ 5 \\ 3 \\ 2 \end{array} \right),{b}{4}^{(Q)} || \ {h}^{(Q)} = \begin{pmatrix} 3 & 5 & 1 \\ 6 & 6 & 2 \\ 7 & 3 & 3 \\ 5 & 7 & 4 \\ 3 & 1 & 5 \end{pmatrix}$

${c}”3=\left( \begin{array}{c} 1 \\ 2 \\ 3 \\ 4 \\ 5 \end{array} \right)$, ${b}{4}’^{(Q)} || \ {h}_4^{(Q)} = \begin{pmatrix} 3 & 5 & 1 \\ 3 & 1 & 5 \\ 5 & 7 & 4 \\ 6 & 6 & 2 \\ 7 & 3 & 3 \end{pmatrix}$

${return} \ \ [[{b}_{l+1}’]]^{(Q)}$

${b}_{4}’^{(Q)} = \begin{pmatrix} 3 & 5 \\ 3 & 1 \\ 5 & 7 \\ 6 & 6 \\ 7 & 3 \end{pmatrix}$

を出力します。

以上全ての操作をシェアのまま行います。そして、$[[{b}_{l+1}’]]^{(Q)}=[[{D}’]]$ を各パーティに出力します。あとは、分析に必要な部分のみ復号を行い様々な分析をすることになります。

負の数・小数への適用について

ここからは論文には書かれていない内容ですが、負の数・小数への適用について説明します。

ビット分解のところのアルゴリズムで、キー ${k}$ を符号付きで、固定小数点表現でビット分解してあげます。

固定小数点表現とは、小数部分と整数部分の桁数を決めて、ビット表現に直すことです。ここで、小数部分の桁数 $a=3$ 、整数部分の桁数 $b=4$、最上位ビットに符号のビットで全 8 桁の表現だとします。

この時、例えば 3.25 という数であれば、以下のようにビット分解されると思います。$3.25=2^1+2^0+2^{-2}$ ですので、

$\begin{pmatrix} 0 & 0 & 0 & 1 & 1 & 0 & 1 & 0 \\ \end{pmatrix}$

のようになると思います。また、例えば、 – 5.5 という数であれば、2の補数表現を使って、$5.5=2^2+2^0+2^{-1}$ なので、

$\begin{pmatrix} 0 & 0 & 1 & 0 & 1 & 1 & 0 & 0 \\ \end{pmatrix}$の補数表現、

$\begin{pmatrix} 1 & 1 & 0 & 1 & 0 & 1 & 0 & 0 \\ \end{pmatrix}$

のようにビット分解されます。このようにビット分解するプロトコルは、以下の論文に記載されています。

High Performance Logistic Regression for Privacy-Preserving Genome Analysis

このように、固定小数点表現に直せたら、最上位ビットをみて、正の数と負の数に事前に分けます。同じ行に対して、シェアを取り出せばいいです。

その後、正の数はそのまま下位ビットからここで、書いてある Oblivious Radix Sort プロトコルでソートします。最上位ビットは無視していいです。正の数はこれで終わりです。

負の数は、補数表現の場合、そのまま並び替えれば、小さい順になります。つまり今の例だと、

$-0.125=\begin{pmatrix} 1 & 1 & 1 & 1 & 1 & 1 & 1 & 1 \\ \end{pmatrix}$

と言う表現になっていて、

$-15.875=\begin{pmatrix} 1 & 0 & 0 & 0 & 0 & 0 & 0 & 1 \\ \end{pmatrix}$

になってます。これを、下位ビットから Oblivious Radix Sort でそのまま並び替えれば、-15.875 が一番小さい数として認識され、上にきます。-0.125が一番大きい数とそのまま認識され、下にきます。つまり、負の数だけで並び替えれば、負の数も同じように小さい順になります。

最後に必要に応じて、分けた正の数と負の数のベクトルをくっつければ終わりです。このようにして、対応できます。

計算量について

まず、オーダーレベルで見ていくと、以下のようになります。

パーティの数 $m$ と素体ビット長 $l$ が一定であると仮定すると、忘却基数ソートは $O(1)$ラウンド、および $O(n\log n)$ 通信で、非常に効率的な計算量を示します。

$n$ : シーケンスの数

$m$ : パーティの数

$l$ : 基礎となる素体のビット長

$\mathcal{M}=2^m/\sqrt{m}$

(出典 : https://eprint.iacr.org/2014/121.pdf, Table 1)

計算量の具体的な値

破損許容度 t = 1 の (2,3) シャミアの秘密シェアスキームにソートアルゴリズムを実装し、パフォーマンスを向上させるために、semi-honest な敵対者に対して安全なプロトコルが実装されています。

すべての値は、素体$\mathbb{Z}_p=\{0,1,…,P-1\}$ 上の要素です。ここで、P は素数$4294967291=2^{32}-5$ であり、$2^{31} <P<2^{32}$ を満たします。つまり、値は32ビットワードです。実験は、Intel Core i7-2640M 2.8 GHzCPU と 8GB の物理メモリを搭載した3台のラップトップマシンで実施されました。これらの3台のマシンは 1GbpsLAN に接続されていました。実装は C++ で記述され、コンパイルには g++ 4.6.3 が使用されました。ソートアルゴリズムの実行時間を表4に示し、グラフを図1に示します。結果は、Oblivious Radix Sort が上記の設定で既存のソートアルゴリズムよりも優れていることを示しています。