非階層無線ネットワークで安全にデータを集約する方法であって、前記ネットワークにおいて、拡張性が高く計算が複雑ではない自己適応型クラスタ形成を特徴とし、a前記ネットワークの第1のセットのノードをグループ化して、少なくとも1つのクラスタを形成するステップであって、前記クラスタは第1のセットのノードから4つまたは5つのノードを備え、第2のセットのノードを形成するステップと、b前記第2のセットのノードを前記クラスタに分割して、2つのフレンド対を形成するステップであって、各対は2つまたは3つのノードを前記第2のセットのノードから備えるステップと、c前記ネットワークの第1のセットのノード間の前記第1のセットの鍵のために生成された、対応する識別情報を備える前記第1のセットの鍵をランダムに配布するステップと、d前記第1のセットのノードで利用可能な前記第1のセットの鍵をサーバノードと共有するステップであって、前記サーバノードを介して前記ネットワークの前記第1のセットのノードの個々のノード間の安全な通信を可能にするステップと、e前記ネットワークの前記第1のセットのノード間の第2のセットの鍵のために生成された、対応する識別情報を備える前記第2のセットの鍵をランダムに配布するステップと、f前記第1のセットのノードで利用可能な前記第2のセットの鍵を前記サーバノードと共有するステップであって、前記ネットワークの前記第1のセットのノードの各個々のノードと、前記サーバノードとの安全な通信を可能にするステップと、g前記ネットワークの前記第1のセットのノードからの少なくとも1つの個々のノードと、前記サーバノードとの間の通信を、少なくとも1つの共有鍵を前記第2のセットの鍵からランダムに選択することによって確立するステップと、h前記サーバノードを介する、前記ネットワークの前記第1のセットのノードからの少なくとも2つの個々のノード間の通信を、少なくとも1つの共有鍵を前記第1のセットの鍵からランダムに選択することによって確立するステップと、プロセッサ実装ステップを備えることを特徴とする方法。前記サーバノードは、前記ネットワークの第1のセットのノードによって収集されるデータを集約することに関与する請求項1に記載の方法。配布される前記第1及び第2のセットの鍵は、第3のセットの鍵のプールから生成される請求項1に記載の方法。少なくとも1つの個々のノードと、前記サーバノードとの間の通信を確立するために、前記共有鍵は、前記個々のノードによって生成される前記ランダムな数に対応する前記第2のセットの鍵から選択され、前記サーバノードに送信される請求項1に記載の方法。前記サーバノードを介する、2つの個々のノード間の通信を確立するために、前記共有鍵は、前記2つの個々のノードのうちの一方のノードによって生成される前記ランダムな数に対応する前記第1のセットの鍵から選択され、他方のノードに前記サーバノードを介して送信される請求項1に記載の方法。少なくとも1つの個々のノードと、前記サーバノードとの間の後続する通信のために、前記個々のノードによって生成される異なるランダムな数に対応する前記第2のセットの鍵から異なる共有鍵が選択され、前記サーバノードに送信される請求項4に記載の方法。前記サーバノードを介する、2つの個々のノード間の後続する通信のために、前記2つの個々のノードのうちの一方のノードによって生成される前記ランダムな数に対応する前記第1のセットの鍵から異なる共有鍵が選択され、他方のノードに前記サーバノードを介して送信される請求項5に記載の方法。N/4個のクラスタは前記ネットワークで形成され、N/4が整数値の場合は、Nは前記ネットワーク内のノードの数を表し、各クラスタは4つのノードを含む請求項1に記載の方法。前記ネットワークに形成される前記N/4個のクラスタのうちの少なくとも3つのクラスタは、N/4が整数値ではない場合は、5つのノードを含んでいてもよい請求項9に記載の方法。非階層無線ネットワークで安全にデータを集約するシステムであって、前記ネットワークにおいて、拡張性が高く計算が複雑ではない自己適応型クラスタ形成を特徴とし、前記システムは、前記ネットワークのサーバノードと通信する第1のセットのノードと、前記第1のセットのノードによって収集される前記データを集約することに関与する前記サーバノードと、プロセッサと、前記プロセッサに接続するメモリとを備え、前記プロセッサによって実行されるときに、前記プロセッサに、a前記ネットワークの第1のセットのノードを少なくとも1つのクラスタにグループ化し、前記クラスタは前記第1のセットのノードから4つまたは5つのノードを備え、第2のセットのノードを形成することと、b前記第2のセットのノードを前記クラスタに分割して、2つのフレンド対を形成し、各対は前記第2のセットのノードから2つまたは3つのノードを備えることと、c前記ネットワークの第1のセットのノード間の前記第1のセットの鍵のために生成された、対応する識別情報を備える前記第1のセットの鍵をランダムに配布することと、d前記第1のセットのノードで利用可能な前記第1のセットの鍵をサーバノードと共有し、前記サーバノードを介して前記ネットワークの前記第1のセットのノードの個々のノード間の安全な通信を可能にすることと、e前記ネットワークの前記第1のセットのノード間の第2のセットの鍵のために生成された、対応する識別情報を備える前記第2のセットの鍵をランダムに配布することと、f前記第1のセットのノードで利用可能な前記第2のセットの鍵を前記サーバノードと共有し、前記ネットワークの前記第1のセットのノードの各個々のノードと、前記サーバノードとの安全な通信を可能にすることと、g前記ネットワークの前記第1のセットのノードからの少なくとも1つの個々のノードと、前記サーバノードとの間の通信を、少なくとも1つの共有鍵を前記第2のセットの鍵からランダムに選択することによって確立することと、h前記サーバノードを介する、前記ネットワークの前記第1のセットのノードからの少なくとも2つの個々のノード間の通信を、少なくとも1つの共有鍵を前記第1のセットの鍵からランダムに選択することによって確立することと、を行わせる指示を記憶することを特徴とするシステム。N/4個のクラスタは前記ネットワークで形成され、N/4が整数値の場合は、Nは前記ネットワークのノードの数を表し、各クラスタは4つのノードを含む請求項10に記載のシステム。前記ネットワークに形成される前記N/4個のクラスタのうちの少なくとも3つのクラスタは、N/4が整数値ではない場合は、5つのノードを含んでいてもよい請求項11に記載のシステム。少なくとも1つの個々のノードと、前記サーバノードとの間の各通信を確立するために、前記個々のノードによって生成される前記ランダムな数に対応する前記第2のセットの鍵から異なる共有鍵が選択され、前記サーバノードに送信される請求項10に記載のシステム。少なくとも2つの個々のノード間の各通信を確立するために、前記2つの個々のノードのうちの一方のノードによって生成される前記ランダムな数に対応する前記第1のセットの鍵から異なる共有鍵が選択され、他方のノードに前記サーバノードを介して送信される請求項10に記載のシステム。本方法、システム、及びハードウェアイネーブルメントについて記載する前に、まず本発明は、記載する特定のシステム及び方法論に限定されない。本開示に明示的に例示されない、本発明の複数の可能性のある実施形態がありえるためである。また、本明細書で用いる用語は、特定のバージョンまたは実施形態を記載することのみを目的とするものであり、本発明の範囲を限定することを目的とするものではない。本発明は、無線非階層センサネットワークにおける効率的で安全なデータ集約方式のための方法及びシステムを提供する。ネットワークは、クエリサーバに報告する複数のセンサノードと、データのプライバシーを保全しながらセンサノードから送信されるデータを集約するサーバとを備える。本発明によって、サーバがセンサノードのデータの内容を取得することが回避される。本発明は、センサノード間のピアツーピア通信を必要とせず、多数のセンサノードが存在する場合であっても、平均して短い計算時間を有する。本発明によって、センサノード間のピアツーピア通信がない場合の、センサノード間の効率的で自己適応型クラスタ形成が可能となり、無線センサネットワークでデータを集約中に、計算が複雑ではなく、拡張性が高いデータ保全アルゴリズムを提供する。本発明は、センサノード間と、センサノードとサーバノード間との安全な通信をそれぞれ確立するためにセンサノード間と、センサノードとサーバノード間のロバストな対の鍵管理方式を提供する。提示する本発明は、TRP測定、スマートエネルギメータ読み込み通信などの実用的な事例において可能性のある用途を有する。前述の概要、ならびに後述の好ましい実施形態の詳細な説明は、添付図と合わせて読むとよりよく理解される。本発明を例示するために、図には本発明の例示構成を示す。ただし、本発明は図中で開示する特定の方法及び構造に限定されない。本発明の一部の実施形態を、その特徴を例示しながらここで説明する。備える、有する、含有する、及び含むという用語、ならびにその変化形は、これらの用語のいずれか1つに続く1または複数の項目がその1または複数の項目の排他的な一覧であることを意味するものではなく、または一覧に挙げられた1または複数の項目にのみ限定されることを意味するものではないという点で、意味的には同等であり、制約がないことを意図する。また、本明細書及び添付の請求項で用いるように、単数形の1つの及びそのという用語は、別段明示しない限り、複数形も含むことに注意すべきである。本明細書に記載するシステム、方法、機器、及び装置と類似する、または同等である任意のシステム、方法、機器、及び装置は、本発明の実施形態の実行または試験において用いることができるものの、好ましいシステム及び部品をここで記載する。開示する実施形態は単に本発明の代表例であり、様々な形態で実施してもよい。本発明の範囲は一覧に挙げた実施形態には限定されず、添付の請求項によってのみ限定される。本発明は、ネットワークのセンサノード間にはピアツーピア通信が存在しない無線センサネットワークにおいて時間効率の良い自己適応型クラスタ形成を可能にし、複雑ではなく、拡張性の高いプライバシーを保全したデータ集約を提供する。図1は、簡易プライバシー保全データ集約SPPDAモデルと称するシングルホップ無線センサネットワークWSN100を参照する。シングルホップ無線センサネットワークWSN100は、本発明の代表的な実施形態による、無線センサネットワークでのデータ集約のタスクを集合的に実現する様々なハードウェア要素からなる。本発明の実施形態では、図1に示すように、システム100は、3つの種類のノードを無線センサネットワークに含む。3つの種類のノードは、基地局BS101、サーバ/アグリゲータノード102及びシンク/センサノード103-1、103-2、103-3......103-Nを含む。サーバ/アグリゲータノード102はデータ集約機能を実行し、集約したデータをさらに処理し、次に、結果をBS101に送信する。サーバノード102は、サーバノード102と無線リンクd1、d2、d3....dNを通じて接続するN個のシンク/センサノード103-1...103-Nと接続を有する。図1に示すシングルホップ無線センサネットワークWSN100において、シンク/センサノード間にピアツーピア通信は存在しないと考えられる。単一のWSN100は大規模なマルチホップWSNのサブセットと考えられるが、簡略化するために、シングルホップWSNを説明のために想定する。シンク/センサノードは、それ自体で、またはサーバ/アグリゲータノード102からの指示によってデータを収集する。ネットワークのシンク/センサノードは、ピアツーピア接続を持たないものと考えられる。したがって、複数のセンサノードのうちの1つが別のシンク/センサノードと通信を確立しようとする場合は、サーバ/アグリゲータノード102を通じて行わなければならない。その結果として、現状技術が直面していた拡張不能である問題が排除される。ネットワークの別のシンク/センサノードと通信するために、シンク/センサノードは、サーバ/アグリゲータノード102に要求する。サーバノード102は、フォワーダ機能を実行する。プライバシー保全ポリシーを実装するために、1つのシンク/センサノードは、ネットワークの別のセンサノードと通信する必要がある。これは、対になる鍵を確立する技術によって安全に行われる。ただし、TRP計算などの実用的なシナリオのほとんどでは、この対になる鍵を確立すること、及びシンク/センサノード間で直接通信することは不可能である。提示されたSPPDAモデル100は、効率的なプライバシー保全アルゴリズムを実装する。このアルゴリズムは、センサノード間のピアツーピア通信の制限を効率的な自己適応型クラスタ形成によって克服し、本明細書で詳細に後述するロバストな鍵管理方式によって安全性の問題を確実にする。図1に示すSPPDAモデルでは、サーバノード102と、シンク/センサノード103-1...103-Nそれぞれとの間の通信はデータ損失がなく正確であると考えられる。さらに、シンク/センサノードは常に、サーバ/アグリゲータノード102の通信範囲内であると考えられる。サーバノード102はシンク/センサノードのうち1つと隣接するシンク/センサノードに、その特定のシンク/センサノードとサーバノード102との通信に障害がある場合は通知する。図2a、b及びcはブロック図を示し、効率的な自己適応型クラスタをシングルホップ無線センサネットワークに形成することを示す。システムの拡張性を提供し、ノード間の通信を確保し、プライバシー開示の可能性を最小にするために、効率的なクラスタ形成が必要である。このクラスタ形成によって、シンクツーシンク通信の安全性が提供され、最終的には、プライバシー保全アルゴリズムを直接的なシンクツーシンク通信を用いずに無事に実行することにつながる。これらのシンクノードはデータを収集してサーバに送信する。クラスタ形成アルゴリズムは以下の通りである。図2aは本発明の実施形態におけるクラスタ形成の第1のステップを示す。サーバ/アグリゲータノード201はハローメッセージをネットワークの複数のシンク/センサノード202に配布する。次に、サーバノード201はシンク/センサノードからの肯定応答を待つ。サーバ/アグリゲータノード201から配布されたハローメッセージに対する応答を、複数のシンク/センサノードの一部から受信すると、サーバは、ネットワーク内のアクティブなノードが分かるようになる。図2bは、本発明の実施形態におけるクラスタ形成の第2のステップを示す。図2bに示すサーバ/アグリゲータノード301は、第1のステップで認識されたアクティブなノードを分割して、クラスタのグループを形成する。各クラスタは、収集したデータをサーバ/アグリゲータノード301に報告する4つのアクティブシンク/センサノードからなる。したがって、ネットワークにはN/4個のクラスタが形成され、Nはネットワークのアクティブなシンク/センサノードの数と等しい。ただし、N/4が整数ではない場合は、ネットワーク内に5つのアクティブなノードから形成される少数のクラスタがある場合もある。5つのアクティブなノードを備えるクラスタの数は3以下であることが観測されている。図2bに示すように、クラスタ1302は4つのシンク/センサノードで形成される。同様に、ネットワークの別のシンク/センサノードはクラスタに分割され、各クラスタは4つのアクティブなシンク/センサノードを備える。クラスタ形成情報は、別のネットワークのシンク/センサノード間でサーバ/アグリゲータノード301によって共有される。これらの別のシンク/センサノードは、シンク/センサノードが属するクラスタの近隣と称される。たとえば、図2bでは、シンク/センサノード303-1、303-2、303-3及び303-4はクラスタ1302に属し、この情報は、サーバ/アグリゲータノード301によってこれらのノードそれぞれで共有される。サーバ/アグリゲータノード301は、クラスタ内のシンク/センサノード対を選択し、シンク/センサノード対の形成に関する情報をクラスタ内の別のシンク/センサノードに伝える。たとえば、本発明の実施形態において、図2cに示すクラスタ形成図を考慮する。サーバ/アグリゲータノード図2cには不図示は、シンク/センサノード1401及びシンク/センサノード2402を選択して、対11をクラスタ1400から形成する。同様に、サーバ/アグリゲータノード図2cには不図示は、シンク/センサノード3403及びシンク/センサノード4404を選択して、対21をクラスタ1400から形成する。このようにして、サーバ/アグリゲータノードは2つのアクティブなシンク/センサノードを各クラスタから選択して、対を形成する。この原則によって形成された対はフレンド対friendpairと称される。実施形態では、サーバ/アグリゲータノードは、定期的にハローメッセージを配布することによって、シンク/センサノードの状態を頻繁に監視する。任意のシンク/センサノードが、受信したメッセージに応答することを繰り返し失敗する場合には、そのノードはサーバ/アグリゲータノードによって、パッシブまたはデッドノードと考えられる。この状況は、サーバ/アグリゲータノードによるフレンド対形成の再グループ化につながり、その結果として、3つのシンク/センサノードを1つの対に含む場合もある。サーバノードは次に、フレンド対形成のこの調整または再グループ化を対応するシンク/センサノードに通知する。サーバノードの目的は形成後にクラスタを妨害しないことである。このシナリオでは、別のノードがネットワークに入ると、サーバノードは、クラスタのうちの1つが4未満のノードを有する場合は、ノードをそのクラスタに収容しようとする。そうでなければ、そのノードをクラスタのうちの1つに一時的に収容する。あるクラスタに一時的に収容されるこのようなシンクノードのうちの4つが利用可能であるとき、この4つは新しいクラスタを形成する。無線センサネットワークでのこの自己適応型で効率的なクラスタ形成機構によって、ネットワークにおける計算が複雑でなくなる。He.Wらが提示した従来技術の計算の複雑さは、シンク/センサノード及びクラスタをネットワークに追加すると急激に増加する。本発明のクラスタ形成機構では、計算の複雑さは固定され、ネットワークのシンク/センサノードの数には影響されない。本発明で提示するSPPDA方式における様々な数のノードに必要な計算時間を、行った実験に基づいて、He.WらのCPDA方式と比較した。その結果を表1に示す。SPPDA及びCPDAの様々な数のノードでの計算時間単位:1000分の1秒表1から、シンク/センサノードの数が増加するとき、SPPDAの計算時間はほとんど一定である一方、CPDAの計算時間はより急速に増加することが観測される。これは図3でもさらに示され、SPPDAにおいて、計算時間はCPDAより大幅に短いことも分かる。これらの2つの方式の間の計算時間の相違は、考慮するノードの数が増加すると、より明らかになる。これは、SPPDAでは、ほとんどの場合に3つのシンクノードがクラスタを形成してもよい、一定のシンクノードの故障を考慮に入れない、プライバシーを保全した計算に関与する固定された2つの数のシンクノードがあるため、計算時間が固定されるためである。これは、全体的なシステムが本質的にリアルタイムであるとき、実際に必要な要件である。CPDAアルゴリズムでは、ノードの数が追加されると、計算時間はほとんど線形に増加する一方、SPPDAでは、非常に低い計算負荷しか生じず、クライアント/シンクノードの数が追加されてもあまり影響は受けない。CPDAでは、ノードの数が増加すると計算時間は増加するが、一方、本発明が提示するSPPDAでは、シンク/センサノードの数は5つに限定される。また、CPDAでは、単一のクラスタに多数のシンクノードを有することは非現実的である。シンクノードから対応するアグリゲータまたはサーバに送信されるメッセージのプライバシー及び統合性を確保するための支持を提供するために、ロバストな鍵交換及び管理方式が必要である。本発明の実施形態では、ロバストな対の鍵管理方式を設計し、鍵をセンサノードシンクノード及びサーバを含むに選択的に配布し、そこから削除することによって、ならびに大量の計算または帯域幅を使用せずにノードに再度鍵をかけることによって、非階層のシングルホップセンサネットワークの操作性及び安全性要件を満たす。提示する鍵管理方式の目的は以下の通りである。ネットワーク内でデータを安全に交換しなくてはならないすべてのセンサノード間の鍵を確立すること。ネットワーク内のノードの追加または削除を支持すること。画定されていない配備環境で鍵管理方式の動作を可能にすること。認証されていないノードがネットワーク内の任意の別のノードと通信できないようにすること。これらの目的を達成するために、第1のステップではシンク/センサノードのクラスタを形成する。N個のシンク/センサノードがあり、各クラスタはn個のシンク/センサノードからなると考えられる。すると、N/n個のクラスタがあることになる。鍵管理方式は鍵の事前配布段階によって開始する。事前配布段階では、K個の鍵の大量の鍵のプールと、それに対応する識別情報を生成する。これらのK個の鍵は2つのバンクに分割される。第1のバンクはk個の鍵からなり、アグリゲータノードを介してシンク/センサノードと別のシンク/センサノードとの通信に用いられる。第2のバンクはK-k個の鍵からなり、シンク/センサノードとアグリゲータ/サーバノードとの通信に用いられる。したがって、2つの部品からなる鍵管理方式を以下で説明する。第一部:シンク/センサノードからアグリゲータ/サーバノードまでの鍵を確立する。本発明の実施形態では、各シンク/センサノードはK-k個の鍵をサーバと共有して有する。すべてのシンク/センサノードが同じ鍵を所有するため、シンク/センサノードがサーバ/アグリゲータノードと共有鍵を用いて通信することは極めて危険である。任意の悪意のあるシンク/センサノードは、シンク/センサノードとサーバとの通信を解読することができ、非常に簡単に攻撃を開始することができる。これを避けるために、事前配布段階において、シンク/センサ-サーバの鍵バンクはシンク/センサ-サーバ対ごとにランダムに順序が変えられ、並べ変えられる。鍵バンクのこの順序は各シンク/センサノードのサーバノードに記憶される。これを図4aに示す。新しいシンク/センサノードがネットワークに追加されると、前述した鍵バンクランダム化と同一の手順が行われ、新しいシンク/センサノードに対する鍵の順序がオフラインで記憶される。ここで、シンク/センサノードは、その共有鍵のうちの1つを通じて、サーバノードと通信する。この動作を達成するために、シンク/センサノードはまず、1からK-kまでの間でランダムな数を生成する。このランダムな数Rcはプレーンテキストでサーバに送信される。サーバは、シンク/センサノードが次のメッセージを鍵バンクのRc番目の鍵で暗号化することを理解する。サーバノードはACK肯定応答を送信して応答する。これを図4bに示す。ACK肯定応答を受信後、シンク/センサノードはデータを特定の鍵で暗号化して、サーバノードに送信する。シンク/センサノードがサーバノードと通信することを望むときは毎回、同じステップを取る。これを図4cに示す。各セッションで、ランダムな数を生成するプロセスによって、推測による攻撃を防ぐ。ランダムな数Rcがシンク/センサノードにプレーンテキストで送信されることも観測することができる。しかし、これによって、任意の脆弱性の問題は発生しない。悪意のあるノードがランダムな数を入手しても、鍵バンク順序を事前にランダム化することによって、危害を受けることはないからである。異なるシンク/センサノードでは、Rc番目の鍵は異なる。事前配布段階で、マッピングはサーバノードにオフラインで記憶される。第二部:シンク/センサノードからシンク/センサノードまでの鍵を確立する。本発明の実施形態では、シンク/センサノードから別のシンク/センサノードへの直接通信は存在せず、この通信はサーバ/アグリゲータノードを通じて行われると考えられる。さらに、サーバノードは、シンク/センサノード間の通信を解読すべきではないことにも留意されたい。そうでないとすると、プライバシー保全アルゴリズムはサーバノードにとって、解読するには些細なものとなる。これを実現するために、k個の鍵をシンクノード配備時に事前に記憶させるが、サーバノードには記憶させない。サーバは、サーバノードからシンク/センサノードへの通信にはK-k個の鍵が必要であることのみを認識している。ネットワークの別のシンク/センサノードは、ネットワークでシンク/センサノードの1つから別のシンク/センサノードに送信されるメッセージを解読すべきではないということも要件である。たとえば、シンク/センサノード1がシンク/センサノード2との通信を望み、k個の鍵がネットワークのすべてのシンク/センサノードで同じである場合は、別のシンク/センサノードがプレーンテキストを復号化することが容易になる。つまり、シンク/センサノード3は、シンクノード1とシンク/センサノード2が通信していることを復号化することができる。この状況を避けるために、シンク/センサノード1及びシンク/センサノード2は個別にシンク/センサノードからシンク/センサノードへの通信専用のk個の鍵の鍵バンクの順序を変え、ランダムに並べ変える。鍵バンクのランダムな順序変えに続き、シンク/センサノード1及び2は、サーバノードと対になる鍵を用いて、順序を変える機能を、サーバノードを通じてお互いに送る。順序を変える機能を無事に配送すると、シンク/センサノードのうちの1つたとえばシンク/センサノード1は、1からkまでの間の別のランダムな数を別のシンク/センサノードたとえばシンク/センサノード2に送信する。この別のランダムな数は、順序を変えた鍵バンクの特定の鍵を示す。シンク/センサノード間のこの対になる鍵を用いて、データ集約が完了するまでその後の通信を行う。データ集約プロセスの次のラウンドでは、鍵を確立する同じ手順が取られる。このロバストな対の鍵管理方式によって、個々のシンク/センサノード間の安全な通信、及びシンク/センサノードのうちの1つとサーバノード間との通信が、個々のシンク/センサノードのデータの私有内容を損失することなく可能となる。これによって、通信ノード間にピアツーピア通信がないネットワークでデータを集約する際に、プライバシーを保全することを支援する。認証されていない、または悪意のあるノードに対して、個々のシンク/センサノードの私有データが開示される可能性はない。現状技術においてHe.Wらが提示したCPDA方式では、私有データが開示されるかもしれない一定の可能性が存在する。これは、シンクノードがメッセージをクラスタ内で交換するときにのみ発生し得る。これは次式から推測できる。式中、Dmax=最大クラスタサイズ、pc=最小クラスタサイズ=2、2つのシンクノード、k=クラスタサイズ、b=リンクレベルのプライバシーが解読される可能性Pk=m=クラスタサイズがmである可能性である。ここで、本発明が提示するSPPDA方式では、pc=Dmax=k=2、したがってPk=m=1である。したがって、CPDAで解読されるプライバシーの確率はSPPDAで解読されるプライバシーの確率よりもはるかに傾斜が急であることが分かる。図表を図5aに示す。CPDAでは、シンク/センサノードの対が同じ鍵の対を所有するという要件は高くなるはずである。鍵はランダムに大規模な鍵のプールから選択される。そうではない場合は、この方式は機能しない。しかし、この要件によって、別のノードが共通の鍵の対を有する場合は、別のノードは少なくとも通信の一部を取得することができる。図5bのシナリオを考慮することにする。図示するように、3つのノード、つまりノード1、ノード2及びノード3がある。ノード1とアグリゲータ/サーバノード間の鍵はM1であり、ノード2とアグリゲータ/サーバノード間の鍵はM2である。同様に、ノード3とアグリゲータ/サーバノード間の鍵はM3であり、ノード4とアグリゲータ間の鍵はM4である。CPDAのノード間で同じ鍵が共有されてもよい一定の可能性非常にわずかであるとしてももあることが観測される。たとえば、ノード1とアグリゲータ/サーバノード間とで共有する鍵は、ノード2とアグリゲータ/サーバノード間の鍵と同じであるつまり、M1=M2。これは、一定のユースケースにおいて厳格な安全性要件に違反する。実際に、CPDA方式では、ノード間で鍵を共有する確率は、ネットワークのシンク/センサノードの数が増えるにつれて増加する。ただし、SPPDAでは、鍵配布は完全に決定論的であり、ネットワーク内での安全性に関する脆弱性問題を回避する。ただし、これは、鍵プール内の鍵の数を増加させることにつながることもある。さらに、本発明で提示する鍵管理方式では、鍵配布プロセスは完全にランダム化され、ノードのフレンド対をクラスタに形成することはアグリゲータ/サーバノードによって制御される。フレンド対を形成するノードの数は、サーバによって決定され、ほとんどの場合は理想的には2である。ただし、シンク/センサノードのうちの1つがパッシブまたはデッドとなる場合を除く。したがって、ノードの対が共通鍵を発見することが決定論的ではないというこの種の状況を排除することによって、SPPDAは、様々な攻撃に対してはるかに安全でロバストになる。図6はフローチャート600であり、本発明の実施形態により、効率的で自己適応型なクラスタ形成を無線センサネットワークでデータ集約中に形成するために実行するステップを説明する。ステップ601では、連続してサーバ/アグリゲータノードは、ハローメッセージをネットワークで定期的に配布する。ステップ602では、サーバノードは、ステップ601で配布したメッセージに対する応答を待つ。ステップ603では、サーバノードは、ネットワークの任意のノードから任意の応答があるかどうかを監視または追跡する。ステップ604では、ネットワークのアクティブノードは、サーバノードのメッセージに応答したものとして認識され、クラスタにグループ化される。各クラスタは4つまたは5つのアクティブなノードを備える。ステップ605では、サーバノードは、2つのノードを各クラスタから選択し、それらをグループ化して、フレンド対を形成し、ネットワークの各クラスタに2つのフレンド対を形成する。図7はフローチャート700であり、本発明の実施形態により、センサノードとサーバノードとの間の安全な通信を無線センサネットワークでデータ集約中に確立するための事前配布段階を説明する。ステップ701では、識別情報を備えて生成された多数の鍵Kのプールを維持する。ステップ702では、K個の鍵からなるプールを、k個及びK-k個の鍵をそれぞれ有する2つのバンクに分割する。ステップ703では、K個の鍵のプールをランダムにネットワークの複数のシンク/センサノード間で配分する。ステップ704では、k個の鍵を備える鍵バンクは、ネットワークのシンク/センサノードのそれぞれで共有され、記憶される。ステップ705では、K-k個の鍵を備える鍵バンクは、サーバ/アグリゲータノードで共有され、記憶される。図8はフローチャート800であり、本発明の実施形態により、ネットワークの複数のシンク/センサノードのうちの少なくとも1つとサーバ/アグリゲータノードとの間の安全な通信を確立するステップを説明する。ステップ801では、K-k個の鍵を備える鍵バンクを、ランダムに順序を変え、並べ変え、サーバ/アグリゲータノードに記憶する。ステップ802では、シンク/センサノード自体がサーバ/アグリゲータノードで集約するために収集したデータを送信することを望む場合、シンク/センサノードは1からK-kまでの間のランダムな数Rcを生成する。ステップ803では、シンク/センサノードは生成したランダムな数Rcをサーバ/アグリゲータノードにプレーンテキストの形式で送信する。ステップ804では、サーバノードはランダムな数の受信を確認し、通信を望むシンク/センサノードが、生成したランダムな数に対応する鍵で共有すべきデータを暗号化することを確認し、したがって、通信を開始したシンク/センサノードにACK信号を送信する。ステップ805では、シンク/センサノードは、生成したランダムな数に対応するK-k個の鍵のうち1つを選択する。ステップ806では、シンク/センサノードは、サーバに送信すべきデータを選択した鍵で暗号化し、安全な通信及びプライバシー保全を可能にする。図9はフローチャート900であり、本発明の実施形態により、ネットワークの2つのシンク/センサノード間の通信をサーバ/アグリゲータノードを介して安全に確立するためのステップを説明する。ステップ901では、シンク/センサノード1及び2はお互いに通信に関与し、それらの場所に記憶されるk個の鍵を備える鍵バンクの順序を変え、並べ変える。ステップ902では、シンク/センサノード1及び2は、サーバノードを介して、サーバノードと対になる自分の鍵を用いて、順序を変える機能をお互いに対して送る。ステップ903では、シンク/センサノード1はランダムな数をシンク/センサノード2に送信し、安全な通信を確立するための鍵の数を指示する。ステップ904では、送信されたランダムな数に対応するk個の鍵のうちの1つを選択する。ステップ905では、シンク/センサノード1は、シンク/センサノード2に送信すべきデータを、そのデータを選択した鍵で暗号化することによって送信する。このように、自己適応型クラスタ形成及び対になる鍵管理方式によって、ピアツーピア通信モードがネットワークの複数のシンク/センサノード間で存在しないネットワークにおいて、効率的なプライバシー保全アルゴリズムが可能となる。本方法では、2つのノードが、ネットワークの異なる領域で収集されたデータを共有するためにお互いに通信するとき、プライバシー保全アルゴリズムを実装するために複雑な計算は必要なく、第三者と鍵を共有することが回避される。