[論文レビュー] The Capacity of Private Computation

Hua Sun, Syed A. Jafar|arXiv (Cornell University)|Oct 30, 2017

Cryptography and Data Security参考文献 10被引用数 24

ひとこと要約

本稿は、N人の非共謀サーバー上でK個のレプリケートされたデータセットに対して、ユーザーが任意の線形結合をプライベートに計算するプライベート計算問題を導入する。構造化された照会と圧縮方式により線形依存性を活用することで、計算が許可されても、プライベート情報検索（PIR）と同一の容量—定義上、単位ダウンロードあたりの所望関数取得の最大レート—が維持されることを証明する。その容量は $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $ に等しい。

ABSTRACT

We introduce the problem of private computation, comprised of $N$ distributed and non-colluding servers, $K$ independent datasets, and a user who wants to compute a function of the datasets privately, i.e., without revealing which function he wants to compute, to any individual server. This private computation problem is a strict generalization of the private information retrieval (PIR) problem, obtained by expanding the PIR message set (which consists of only independent messages) to also include functions of those messages. The capacity of private computation, $C$, is defined as the maximum number of bits of the desired function that can be retrieved per bit of total download from all servers. We characterize the capacity of private computation, for $N$ servers and $K$ independent datasets that are replicated at each server, when the functions to be computed are arbitrary linear combinations of the datasets. Surprisingly, the capacity, $C=\left(1+1/N+\cdots+1/N^{K-1} ight)^{-1}$, matches the capacity of PIR with $N$ servers and $K$ messages. Thus, allowing arbitrary linear computations does not reduce the communication rate compared to pure dataset retrieval. The same insight is shown to hold even for arbitrary non-linear computations when the number of datasets $K ightarrow\infty$.

研究の動機と目的

• ユーザーがN人の非共謀サーバー上に格納されたK個のデータセットの関数を計算する際、どの関数が所望されているかを漏らさずに計算する問題を形式化・分析すること。
• プライベート情報検索（PIR）問題を一般化し、個々のメッセージではなく、データセットの任意の線形結合を所望出力とするものにすること。
• プライベート計算の容量を定義し、所望関数の取得レートの最大値（ダウンロード量単位あたり）を同定すること。
• 任意の線形計算を許容しても、関数の複雑性が増すにもかかわらず、純粋なPIRと比較して通信レートが低下しないことの証明。
• Kが無限大に近づくとき、任意の非線形関数に対しても同じ容量が成立することを示すこと。

提案手法

• 所望関数の線形結合係数に依存しない構造化照会構成を提案し、あらゆる可能な線形結合に普遍的に適用可能であることを実現する。
• 先行研究のPIR容量達成方式を適応・最適化し、シンボルインデックス構造と符号割り当てを導入することで、データセット間の線形依存性を活用する。
• 各サーバーがデータセットシンボルの線形結合の圧縮表現を送信する圧縮ベースの送信戦略を採用し、ダウンロード量を最小限に抑えつつプライバシーを保持する。
• データセットシンボルに対してランダムな置換を施すことで、相関関係がインデックスが一致するペアにのみ保持され、効率的な圧縮を可能にする。
• エントロピーと相互情報量を用いた情報理論的境界を適用し、逆方向の証明を導出し、いかなる方式でも導出された容量を超えることはできないことを示す。
• 2つのメッセージに対して、総ダウンロード量が $ D = N \left( LH(w_1,w_2) + (N-1)LH(w_1) \right) $ とスケーリングすることを証明し、その結果、レートが $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $ に達することを示すことで、PIRと同一のレートに到達することを示す。

実験結果

リサーチクエスチョン

• RQ1 プライベート計算において、所望出力として任意の線形関数を許容することで、純粋なプライベート情報検索（PIR）と比較して通信レートが低下するか？
• RQ2 所望関数を定義する線形係数に依存しない、最適レートを達成可能な単一の照会方式を設計可能か？
• RQ3 N人の非共謀サーバー上に格納されたK個のデータセットに対して、ユーザーがそれらの線形結合を所望する場合、プライベート計算の根本的容量限界は何か？
• RQ4 Kが無限大に近づくとき、非線形関数が考慮される場合、プライベート計算の容量はPIR容量と同一のまま保たれるか？
• RQ5 MirmohseniとMaddah-Aliが提案したプライベート関数検索の実現可能方式は、一般のNおよびKに対して最適であるか、それ以上に改善可能か？

主な発見

• N台のサーバーとK個の独立したデータセットを用いたプライベート計算の容量は、正確に $ C = \left(1 + \frac{1}{N} + \cdots + \frac{1}{N^{K-1}}\right)^{-1} $ に等しく、既知のPIR容量と一致する。
• この容量は、所望関数の線形結合係数に依存しない照会方式によって達成され、あらゆる線形結合に普遍的に適用可能なプライベート計算プロトコルを可能にする。
• エントロピーに基づく圧縮を用いてデータセットシンボルの線形結合を圧縮することで、最適レートを達成し、総ダウンロード量を最小限に抑えつつプライバシーを保持する。
• 2つのメッセージに対して、達成可能なレートは $ \frac{NH(w_2)}{H(w_1,w_2) + (N-1)H(w_1)} $ であり、これは逆方向境界と一致し、最適性が証明される。
• K → ∞ の場合、任意の非線形関数に対してもこの結果が拡張され、容量は変化せず、漸近的状態では計算にレートペナルティが発生しないことが示される。
• この容量の特徴づけは、先行研究（MirmohseniとMaddah-Aliのプライベート関数検索方式を含む）を包含し、かつ厳密に改善しており、一般のNおよびKに対しては、その方式が最適でないことが示されている。