CN102687184A - 代理计算系统、方法、委托装置、程序及其记录介质 - Google Patents

Abstract

本发明利用进行正确的计算的概率低的计算装置进行函数f（x）的计算。设G、H为循环群，设f为将群H的元x映射到群G的函数，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂，整数计算部利用互素的两个自然数a、b，计算满足a′a＋b′b＝1的关系的整数a′、b′。第一可随机数化抽样器，可计算f（x）^bx₁，将其计算结果设为u。第一幂计算部计算u′＝u^a。第二可随机数化抽样器可计算f（x）^ax₂，将其计算结果设为v。第二幂计算部计算v′＝v^b。判定部判定是否为u′＝v′。最终计算部在判定为u′＝v′的情况下，计算u^b′v^a′。

Description

代理计算系统、方法、委托装置、程序及其记录介质

技术领域

本发明涉及计算机的计算技术。特别涉及利用使其他计算机进行的计算结果进行计算的技术。

背景技术

委托装置利用委托于不一定进行正确的计算的计算装置的计算结果进行函数f的计算，该技术在非专利文献1中有所记载。非专利文献1记载的自订正器通过多次委托于计算装置进行计算，且采用其计算结果的多数决定，进行函数f的计算（例如，参照非专利文献1）。

现有技术文献

非专利文献

非专利文献1：M.Blum,M.Luby,and R.Rubinfeld,“Self－Testing/Correcting with Applications to Numerical Problems”，STOC 1990,pp.73－83.

发明内容

发明要解决的课题

但是，存在如下课题，即，为了非专利文献1的自订正器正常地动作，计算装置需要以一定以上的概率进行正确的计算，利用进行正确的计算的概率低的计算装置进行函数f的计算的技术不得而知。

用于解决课题的手段

本发明第一方式的代理计算系统设G、H为循环群，设f为将群H的元x映射到群G的函数，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂，包含：整数计算部，利用互素的两个自然数a、b，计算满足a′a＋b′b＝1的关系的整数a′、b′；第一可随机数化抽样器，能够计算f（x）^bx₁，将其计算结果设为u；第一幂计算部，计算u′＝u^a；第二可随机数化抽样器，能够计算f（x）^ax₂，将其计算结果设为v；第二幂计算部，计算v′＝v^b；判定部，判定是否为u′＝v′；最终计算部，在判定为u′＝v′的情况下，计算u^b′v^a′。

本发明第二方式的代理计算系统设G、H及F为循环群，设映射θ：G×H→F为双同态同态映射，设g为群G的元，设h为群H的元，设K_G为群G的位数，设K_H为群H的位数，设μ_g为群G的生成元，设μ_h为群H的生成元，设ν＝θ（μ_g，μ_g），设k为自然数的安全参数，设K＝2^k，委托装置包含：第一随机数生成部，生成0以上不足K_G的整数的随机数r₁；第二随机数生成部，生成0以上不足K_H的整数的随机数r₂；第一输入信息计算部，计算第一输入信息g1＝μ_g ^r1g；第二输入信息计算部，计算第二输入信息h₁＝μ_h ^r2；第一列表信息计算部，利用从计算装置接收到的z₁∈F，计算z₁ν^-r1r2；第一列表存储部，对由随机数r₂和计算出的z₁ν^-r1r2构成的信息组（r₂，z₁ν^-r1r2）进行存储；第三随机数生成部，生成0以上不足K的整数的均匀随机数即d₁；第四随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₄；第五随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₅；第三输入信息计算部，计算第三输入信息g₂＝μ_g ^r4g^d1；第四输入信息计算部，计算第四输入信息h₂＝μ_h ^r5；第二列表信息计算部，利用从计算装置接收到的z₂∈F，计算z₂ν^-r4r5；第二列表存储部，对由d₁、r₅和计算出的z₂ν^-r4r5构成的信息组（d₁，r₅，z₂ν^-r4r5）进行存储；第一判定部，设从第一列表存储部读入的信息组的第一成分为s₁，设第二成分为w₁，且设从第二列表存储部读入的信息组的第一成分为t₂，设第二成分为s₂，设第三成分为w₂，判定这些信息组是否满足（w₁）＾（t₂s₂s₁ ^-1）＝w₂的关系，在满足其关系的情况下，将s₁代入σ，将w₁代入ν′；第六随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₆；第七随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₇；第五输入信息计算部，计算第五输入信息g₃＝g^r6；第六输入信息计算部，计算第六输入信息h₃＝μ_h ^r7σh；第三列表信息计算部，利用从计算装置接收到的z₃∈F，计算z₃ν′^-r6r7；第三列表存储部，对由r₆和计算出的z₃ν′^-r6r7构成的信息组（r₆，z₃ν′^-r6r7）进行存储；第八随机数生成部，生成0以上不足K的整数的均匀随机数即d₂；第九随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₉；第十随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₁₀；第七输入信息计算部，计算第七输入信息g₄＝μ_g ^r9；第八输入信息计算部，计算第八输入信息h₄＝μ_h ^r10σh^d2；第四列表信息计算部，利用从计算装置接收到的z₄∈F，计算z₄ν′-r⁹r¹⁰；第四列表存储部，对由d₂、r₉和计算出的z₄ν′^-r9r10构成的信息组（d₂，r₉，z₄ν′^-r9r10）进行存储；第二判定部，设从第三列表存储部读入的信息组的第一成分为s₃，设第二成分为w₃，且设从第四列表存储部读入的信息组的第一成分为t₄，设第二成分为s₄，设第三成分为w₄，判定这些信息组是否满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系，在满足其关系的情况下，将（w₃）＾（s₃ ^{－ 1}）输出。计算装置包含：第一输出信息计算部，可利用从委托装置接收到的g₁及h₁，计算θ（g₁，h₁），将其计算结果设为z₁而输出；第二输出信息计算部，可利用从委托装置接收到的g₂及h2，计算θ（g₂，h₂），将其计算结果设为z₂而输出；第三输出信息计算部，可利用从委托装置接收到的g₃及h₃，计算θ（g₃，h₃），将其计算结果设为z₃而输出；以及第四输出信息计算部，可利用从委托装置接收到的g₄及h4，计算θ（g₄，h₄），将其计算结果设为z₄而输出。

发明的效果

能够利用进行正确的计算的概率低的计算装置进行函数f的计算。

附图说明

图1是第一实施方式～第三实施方式的代理计算系统的例子的功能方框图。

图2是第一实施方式～第三实施方式的委托装置及计算装置的例子的功能方框图。

图3是第一实施方式～第三实施方式的抽样器的例子的功能方框图。

图4是第一实施方式～第三实施方式的第一可随机数化抽样器及第二可随机数化抽样器的例子的功能方框图。

图5是第一实施方式～第三实施方式的第一可随机数化抽样器及第二可随机数化抽样器的另一例的功能方框图。

图6是第一实施方式～第三实施方式的代理计算方法的例子的流程图。

图7是表示步骤S3的例子的流程图。

图8是表示步骤S6的例子的流程图。

图9是表示步骤S3的另一例的流程图。

图10是表示步骤S6的另一例的流程图。

图11是第四实施方式～第十实施方式的代理计算系统的例子的功能方框图。

图12是第四实施方式～第十实施方式的委托装置的例子的功能方框图。

图13是第四实施方式～第十实施方式的委托装置的例子的功能方框图。

图14是第四实施方式～第十实施方式的计算装置的例子的功能方框图。

图15是第四实施方式～第十实施方式的代理计算方法的例子的流程图。

图16是第四实施方式～第十实施方式的代理计算方法的例子的流程图。

图17是代理计算系统的变形例的功能方框图。

具体实施方式

下面，对本发明的代理计算系统、代理计算方法的实施方式进行详细说明。

第一实施方式～第二实施方式是利用委托装置1委托于计算装置2的计算结果来计算f（x）的实施方式。

［第一实施方式］

如图1所示，第一实施方式的代理计算系统包含委托装置1及计算装置2，利用委托装置1委托于计算装置2的计算结果，来计算f（x）。

如图2所示，委托装置1例如包含自然数存储部11、整数计算部12、第一幂计算部13、第一列表存储部14、判定部15、第二幂计算部16、第二列表存储部17、控制部18及最终计算部19。计算装置2例如包含第一可随机数化抽样器21及第二可随机数化抽样器22。在第一实施方式中，第一可随机数化抽样器21及第二可随机数化抽样器22对应于计算装置2。

设G、H为循环群，设函数f：H→G为将群H的元x映射到群G的函数，设群G、H的生成元分别为μ_g、μ_h，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂。

在自然数存储部11存储有多个互素的两个自然数a、b的组（a，b）。当设I为不足群G的位数的两个自然数的组且互素的自然数的集合时，可认为在自然数存储部11存储有与I的子集S对应的自然数a、b的组（a，b）。

整数计算部12从存储于自然数存储部11的多个自然数的组（a，b）中随机地读入一个自然数的组（a，b），利用其读入的自然数的组（a，b），计算满足a′a＋b′b＝1的关系的整数a′、b′（步骤S1）。由于自然数a、b互素，因此必定存在满足a′a＋b′b＝1的关系的整数a′、b′。自然数的组（a，b）的信息发送到第一幂计算部13、第二幂计算部16、第一可随机数化抽样器21及第二可随机数化抽样器22。自然数的组（a′，b′）的信息发送到最终计算部19。

控制部18设为t＝1（步骤S2）。

第一可随机数化抽样器21可计算f（x）^bx₁，利用x及b进行计算，将其计算结果设为u（步骤S3）。计算结果u发送到第一幂计算部13。

在该申请中，可计算的意思是可按不能忽略的概率以上的概率进行计算。不能忽略的概率是在将安全参数k的广义单调函数即多项式设为多项式F（k）时1／F（k）以上的概率。

在此，计算f（x）^bx₁是对定义为f（x）^bx₁的式的值进行计算。如果能够最终地计算式f（x）^bx₁的值，则不论计算过程中的计算方法。这关于该申请中出现的其他式的计算也同样。

第一幂计算部13计算u′＝u^a（步骤S4）。计算结果u和基于其计算结果计算出的u′的组（u，u′）存储于第一列表存储部14。

判定部15判定是否在存储于第一列表存储部14的组（u，u′）及存储于第二列表存储部17的组（v，v′）中存在成为u′＝v′的组（步骤S5）。假如在第二列表存储部17中未存储有组（v，v′），则不进行该步骤S5的处理，而是进行下一步骤S6的处理。在存在成为u′＝v′的组的情况下，进入步骤12。在不存在成为u′＝v′的组的情况下，进入步骤S6。

第二可随机数化抽样器22可计算f（x）^ax₂，利用x及a进行计算，将其计算结果设为v（步骤S6）。计算结果v发送到第二幂计算部16。

第二幂计算部16计算v′＝v^b（步骤S7）。计算结果v和基于其计算结果计算出的v′的组（v，v′）存储于第二列表存储部17。

判定部15判定是否在存储于第一列表存储部14的组（u，u′）及存储于第二列表存储部17的组（v，v′）中存在成为u′＝v′的组（步骤S8）。在存在成为u′＝v′的组的情况下，进入步骤12。在不存在成为u′＝v′的组情况下，进入步骤S9。

控制部18判定是否为t＝T（步骤S9）。T为预定的自然数。如果t＝T，则将表示不能进行计算的信息例如符号“⊥”输出（步骤S11），然后结束处理。在不是t＝T的情况下，控制部18仅将t加1，即设为t＝t＋1（步骤S10），然后返回到步骤S3。

表示不能进行计算的信息（在该例子中，符号“⊥”）的意思是指计算装置2正确地进行计算的可靠性低于用T规定的基准。换言之，意思是指不能通过T次的重复来进行正确的运算。

最终计算部19在判定为u′＝v′的情况下，利用与其u′及v′对应的u及v，计算u^b′v^a′，且将其输出（步骤S12）。成为计算出的u^b′v^a′＝f（x）。关于成为u^b′v^a′＝f（x）的理由，后面进行描述。

《关于成为u^b′v^a′＝f（x）的理由》

设X为在群G中具有数值的随机变量。关于w∈G，每当某计算装置接收请求时都根据随机变量R抽取样本x′并回复wx′的抽样器称为关于w具有误差X的抽样器（sampler）。

关于w∈G，将每当某计算装置接收自然数a的输入时都根据随机变量X抽取样本x′并回复w^ax′的抽样器称为关于w具有误差X的可随机数化抽样器（randomizable sampler）。可随机数化抽样器如果用作a＝1，则作为抽样器发挥功能。

上述实施方式的代理计算系统在构成输入x而输出f（x）的代理计算系统时，使用关于f（x）具有误差X₁的第一可随机数化抽样器21、关于f（x）具有误差X₂的第二可随机数化抽样器22。

发明者发现，u′＝v′成立即u^a＝v^b成立的理由是第一可随机数化抽样器21正确地计算出u＝f（x）^bx₁，且第二可随机数化抽样器22正确地计算出v＝f（x）^ax₂，进而x₁及x₂为群G的单位元e_g的可能性非常高。在此，省略其证明。

在第一可随机数化抽样器21正确地计算出u＝f（x）^bx₁、第二可随机数化抽样器22正确地计算出v＝f（x）^ax₂，且x₁及x₂为群G的单位元e_g时，成为u^b′v^a′＝（f（x）^bx₁）^b′（f（x）^ax₂）^a′＝（f（x）^be_g）^b′（f（x）^ae_g）^a′＝f（x）^bb′e_g ^b′f（x）^aa′e_g ^a′＝f（x）^{（bb′＋aa′）}＝f（x）。

关于（q₁，q₂）∈I，关于i＝1、2，分别用π_i（q₁，q₂）＝q_i来定义函数π_i。另外，设为L＝min（#π₁（S），#π₂（S））。#·为集合·的位数。在群G为循环群及不易进行位数的计算的群时，上述代理计算系统输出“⊥”以外时的输出不是f（x）的概率在可忽略的程度的误差范围内最高可期待T²L／#S程度。如果L／#S为可忽略的量且T为多项式级程度的量，则上述代理计算系统就以压倒性的概率输出f（x）。

在L／#S达到可忽略的量那样的S的例子中，存在例如S＝｛（1，d）｜d∈［2，｜G｜－1］｝。

另外，如图2中的虚线所示，也可以在计算装置2上设置抽样器23。抽样器23设X₃为在群G中具有数值的随机变量、设随机变量X₃的表现值为x₃，从而可计算f（x）x₃，如果a＝1，则代替第二可随机数化抽样器22，将其计算结果设为上述v，如果b＝1，则代替第一可随机数化抽样器21，将其计算结果设为上述u。

通常，抽样器的计算量比可随机数化抽样器小。在a＝1、b＝1时，通过抽样器23代替第一可随机数化抽样器21、第二可随机数化抽样器22进行计算，能够减小计算装置2的计算量。

［第二实施方式］

第二实施方式的代理计算系统是将第一可随机数化抽样器21及第二可随机数化抽样器22的一个例子具体化而成的系统，换言之，是将步骤S3及步骤S6的一个例子具体化而成的系统。下面，以与第一实施方式不同的部分为中心进行说明，关于共同的部分，省略重复说明。

如图3所示，第二实施方式的第一可随机数化抽样器21例如包含第一随机数生成部110、第一输入信息计算部111、第一输出信息计算部24及第一计算部112。另外，如图3所示，第二实施方式的第二可随机数化抽样器22例如包含第二随机数生成部113、第二输入信息计算部114、第二输出信息计算部25及第二计算部115。

在第二实施方式中，第一随机数生成部110、第一输入信息计算部111、第一计算部112、第二随机数生成部113、第二输入信息计算部114及第二计算部115包含在委托装置1中。另外，第一输出信息计算部24及第二输出信息计算部25包含在计算装置2中。在第二实施方式中，第一输出信息计算部24及第二输出信息计算部25与计算装置2对应。

第二实施方式的函数f设为同态映射（準同型写像）。另外，设群H的生成元为μ_h，设群H的位数为K_H，设ν＝f（μ_h）。

步骤S3由图7例示的步骤S31～步骤S34构成。

第一随机数生成部110生成0以上不足K_H的整数的均匀随机数r₁（步骤S31）。生成的随机数r₁发送到第一输入信息计算部111。

第一输入信息计算部111计算第一输入信息μ_h ^r1x^b（步骤S32）。计算出的第一输入信息μ_h ^r1x^b发送到第一输出信息计算部24。

第一输出信息计算部24利用第一输入信息μ_h ^r1x^b进行计算，将其计算结果设为第一输出信息z₁（步骤S33）。计算出的第一输出信息z₁发送到第一计算部112。

第一输出信息计算部24可计算f（μ_h ^r1x^b）。第一输出信息计算部24的计算结果有时是f（μ_h ^r1x^b），有时不是f（μ_h ^r1x^b）。

在此，μ_h的右上角的r₁是r₁的意思。这样，在该申请中，在设α为第一字符、β为第二字符、γ为数字并表述为α^βγ的情况下，该βγ的意思是β_γ，即，β的下标γ。

第一计算部112计算z₁ν^-r1，将其计算结果设为u（步骤S34）。计算结果u发送到第一幂计算部13。在此，u＝z₁ν^-r1＝f（x）^bx₁。即，z₁ν^-r1成为关于f（x）具有误差X₁的可随机数化抽样器。关于其理由，后面进行描述。

步骤S6由图8例示的步骤S61～步骤S64构成。

第二随机数生成部113生成0以上不足K_H的整数的均匀随机数r₂（步骤S61）。生成的随机数r₂发送到第二输入信息计算部114。

第二输入信息计算部114计算第二输入信息μ_h ^r2x^a（步骤S62）。计算出的第二输入信息μ_h ^r2x^a发送到第二输出信息计算部25。

第二输出信息计算部25利用第二输入信息μ_h ^r2x^a进行计算，将其计算结果设为第二输出信息z₂（步骤S63）。计算出的第二输出信息z₂发送到第二计算部115。

第二输出信息计算部25可计算f（μ_h ^r2x^a）。第二输出信息计算部25的计算结果有时是f（μ_h ^r2x^a），有时不是f（μ_h ^r2x^a）。

第二计算部115计算z₂ν^-r2，将其计算结果设为v（步骤S64）。计算结果v发送到第二幂计算部16。在此，成为v＝z₂ν^-r2＝f（x）^ax₂。即，z₂ν^-r2成为关于f（x）具有误差X₂的可随机数化抽样器。关于其理由，后面进行描述。

在第二实施方式中，也可以在a＝1、b＝1时，通过抽样器23代替第一可随机数化抽样器21或第二可随机数化抽样器22而计算u或v的值，来消减计算量。

如图4所示，第二实施方式的抽样器23例如包含第三随机数生成部116、第三输入信息计算部117、第三输出信息计算部26、第三计算部118。第三随机数生成部116、第三输入信息计算部117及第三计算部118包含在委托装置1中。第三输出信息计算部26包含在计算装置2中。

如果a＝1、b＝1，则抽样器23的各部代替第一可随机数化抽样器21、第二可随机数化抽样器22，进行下面的处理。

第三随机数生成部116生成0以上不足K_H的整数的随机数r₃。生成的随机数r₃发送到第三输入信息计算部117。

第三输入信息计算部117计算第三输入信息x^r3。计算出的第三输入信息x^r3发送到第三输出信息计算部26。

第三输出信息计算部26利用第三输入信息x^r3进行计算，将其计算结果设为第三输出信息z₃。计算出的第三输出信息z₃发送到第三计算部118。

第三输出信息计算部26可计算f（x^r3）。第三输出信息计算部26的计算结果有时是f（x^r3），有时不是f（x^r3）。

第三计算部118计算z₃ ^1/r3，如果是a＝1，则将其计算结果设为v，如果是b＝1，则将其计算结果设为u。计算结果v发送到第二幂计算部16。计算结果u发送到第一幂计算部13。在此，成为u＝v＝z₃ ^1/r3＝f（x）x₃。即，z₃ ^{1 /r3}成为关于f（x）具有误差X₃的抽样器。z₃ ^1/r3成为关于f（x）具有误差X₃的抽样器。其理由，后面进行描述。

在难以进行z₃ ^1/r3的计算即z₃的方根的计算的情况下，也可以如下那样计算u及／或v。第三计算部118将随机数r₃和基于其随机数r₃计算出的z₃的组依次设为（α₁，β₁），（α₂，β₂），…，（α_m，β_m），…，且将其存储于未图示的存储部。m为自然数。第三计算部118如果α₁，α₂，…，α_m的最小公倍数达到1，则也可以将γ₁，γ₂，…，γ_m设为整数，计算成为γ₁α₁＋γ₂α₂＋…＋γ_mα_m＝1的γ₁，γ₂，…，γ_m，利用该γ₁，γ₂，…，γ_m，计算Π_i＝1 ^mβ_i ^γi＝β₁ ^γ1β₂ ^γ2…β_m ^γm，将其计算结果设为u及／或v。

这样，通过将利用随机数r₁、r₂、r₃干扰x的信息发送到计算装置2，能够将成为函数f的值的计算对象的x∈H相对于对委托装置1和计算装置2之间的通信进行拦截的第三者及计算装置2保密。

《关于z₁ν^-r1、z₂ν^-r2成为关于f（x）分别具有误差X₁、X₂的可随机数化抽样器的理由》

设c为自然数、R及R′为随机数，将计算装置2利用μ_h ^Rx^c进行计算的计算结果设为B（μ_h ^Rx^c）（即，当将计算装置2返送到委托装置1的计算结果设为z时，z＝B（μ_h ^Rx^c）），将在群G中具有数值的随机变量X定义为X＝B（μ_h ^R′）f（μ_h ^R′）^-1。

这时，成为zν^-R＝B（μ_h ^Rx^c）f（μ_h）^-R＝Xf（μ_h ^Rx^c）f（μ_h）^-R＝Xf（μ_h）^Rf（x）^cf（μ_h）^-R＝f（x）^cX。即，zν^－R成为关于f（x）具有误差X的可随机数化抽样器。

在上述展开式中，利用X＝B（μ_h ^R′）f（μ_h ^R′）^-1＝B（μ_h ^Rx^c）f（μ_h ^Rx^c）^-1，且B（μ_h ^Rx^c）＝Xf（μ_h ^Rx^c）这种性质。该性质基于函数f为同态映射、R及R′为随机数。

因此，当考虑a、b为自然数、r₁、r₂为随机数时，同样，z₁ν^-r1、z₂ν^-r2成为关于f（x）分别具有误差X₁、X₂的可随机数化抽样器。

《关于z₃ ^1/r3成为关于f（x）具有误差X₃的抽样器的理由》

设R及R′为随机数，将计算装置2利用x^R进行计算的计算结果设为B（x^R）（即，当将计算装置2返送到委托装置1的计算结果设为z时，z＝B（x^R）），将在群G中具有数值的随机变量X定义为X＝B（x^R）^1/Rf（x）^-1。

这时，成为z^1/R＝B（x^R）^1/R＝Xf（x）＝f（x）X。即，z^1／R成为关于f（x）具有误差X的抽样器。

在上述展开式中，利用X＝B（x^R）^1/Rf（x^R）^-1、B（x^R）^1/R＝Xf（x^R）这种性质。该性质基于R及R′为随机数。

因此，当考虑r₃为随机数时，z^1/R成为关于f（x）具有误差X₃的可随机数化抽样器。

［第三实施方式］

第三实施方式的代理计算系统是将第一可随机数化抽样器21及第二可随机数化抽样器22的另一例具体化而成的系统，换言之，是将步骤S3及步骤S6的另一例具体化而成的系统。具体而言，是将H＝G×G且函数f相对于EIGamal密码的解码函数即密钥s及密文（c₁，c₂）为f（c₁，c₂）＝c₁c₂ ^-s时的第一可随机数化抽样器21及第二可随机数化抽样器22的例子具体化而成的系统。下面，以与第一实施方式不同的部分为中心进行说明，关于共同的部分，省略重复说明。

如图5所示，第三实施方式的第一可随机数化抽样器21例如包含第四随机数生成部119、第五随机数生成部120、第四输入信息计算部121、第五输入信息计算部122、第四输出信息计算部27及第四计算部123。如图5所示，第二可随机数化抽样器22例如包含第六随机数生成部124、第七随机数生成部125、第六输入信息计算部126、第七输入信息计算部127、第五输出信息计算部28及第五计算部128。

第四随机数生成部119、第五随机数生成部120、第四输入信息计算部121、第五输入信息计算部122、第四计算部123、第六随机数生成部124、第七随机数生成部125、第六输入信息计算部126、第七输入信息计算部127、第五输出信息计算部28及第五计算部128包含在委托装置1中。第四输出信息计算部27及第五输出信息计算部28包含在计算装置2中。在第三实施方式中，第四输出信息计算部27及第五输出信息计算部28与计算装置2对应。

在第三实施方式中，x＝（c₁，c₂），f（c₁，c₂）为从直积群G×G向G的同态映射，设群G的生成元为μ_g，设群G的位数为K_G，委托装置1和计算装置2事前得知的是相对于相同的密钥s的密文（V，W）∈H和将其密文解码后的解码文f（V，W）＝Y∈G。

第三实施方式的步骤S3由图9例示的步骤S31′～步骤S36′构成。

第四随机数生成部119生成0以上不足K_G的整数的均匀随机数r₄（步骤S31′）。生成的随机数r₄发送到第四输入信息计算部121、第五输入信息计算部122及第四计算部123。

第五随机数生成部120生成0以上不足K_G的整数的均匀随机数r₅（步骤S32′）。生成的随机数r₅发送到第四输入信息计算部121及第四计算部123。

第四输入信息计算部121计算第四输入信息c₁ ^bV^r4μ_g ^r5（步骤S33′）。计算出的第四输入信息c₁ ^bV^r4μ_g ^r5发送到第四输出信息计算部27。

第五输入信息计算部122计算第五输入信息c₂ ^bW^r4（步骤S34′）。计算出的第五输入信息c₂ ^bW^r4发送到第四输出信息计算部27。

第四输出信息计算部27利用第四输入信息c₁ ^bV^r4μ_g ^r5及第五输入信息c₂ ^bW^r4进行计算。将其计算结果设为第四输出信息z₄（步骤S35′）。

第四输出信息计算部27可计算f（c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4）。第四输出信息计算部27的计算结果有时是f(c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4），有时不是f(c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4）。

第四计算部123计算z₄ ^Y-r4μ_g ^-r5，将其计算结果设为u（步骤S36′）。计算结果u发送到第一幂计算部13。在此，成为u＝z₄ ^Y-r4μ_g ^-r5＝f（c₁，c₂）^bx₁。即，z₄ ^Y-r4μ_g ^-r5成为关于f（c₁，c₂）具有误差X₁的可随机数化抽样器。关于其理由，后面进行描述。

第三实施方式的步骤S6由图10例示的步骤S61′～步骤S66′构成。

第六随机数生成部124生成0以上不足K_G的整数的均匀随机数r₆（步骤S61′）。生成的随机数r₆发送到第六输入信息计算部126、第七输入信息计算部127及第五计算部128。

第七随机数生成部125生成0以上不足K_G的整数的均匀随机数r₇（步骤S62′）。生成的随机数r₇发送到第六输入信息计算部126及第五计算部128。

第六输入信息计算部126计算第六输入信息c₁ ^aV^r6μ_g ^r7（步骤S63′）。计算出的第六输入信息c₁ ^aV^r6μ_g ^r7发送到第五输出信息计算部28。

第七输入信息计算部127计算第七输入信息c₂ ^aW^r6（步骤S64′）。计算出的第七输入信息c₂ ^aW^r6发送到第五输出信息计算部28。

第五输出信息计算部28利用上述第六输入信息c₁ ^aV^r6μ_g ^r7及上述第七输入信息c₂ ^aW^r6进行计算，将其计算结果设为第五输出信息z₅（步骤S65′）。计算出的第五输出信息z₅发送到第五计算部128。

第五输出信息计算部28可计算f（c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6）。第五输出信息计算部28的计算结果有时是f(c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6），有时不是f(c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6）。

第五计算部128计算z₅ ^Y-r6μ_g ^-r7，将其计算结果设为v（步骤S66′）。计算结果v发送到第二幂计算部16。在此，成为v＝z₅ ^Y-r6μ_g ^-r7＝f（c1，c2）^ax₂。即，z₅ ^Y-r6μ_g ^-r7成为关于f（c₁，c₂）具有误差X₂的可随机数化抽样器。关于其理由，后面进行描述。

《关于z₄ ^Y－r4μ_g ^-r5、z₅ ^Y-r6μ_g ^-r7成为关于f（c₁，c₂）分别具有误差X₁、X₂的可随机数化抽样器的理由》

设为c为自然数、R₁、R₂、R₁′及R₂′为随机数，将计算装置2利用c₁ ^cV^R1μ_g ^R2及c₂ ^cW^R1进行计算的计算结果设为B（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）（即，当将计算装置2返送到委托装置1的计算结果为z时，为z＝B（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）），将在群G中具有数值的随机变量X定义为X＝B（V^R1′μ_g ^R2′，W^R1′）f（V^R1′μ_g ^R2′，W^R1′）^-1。

这时，zY^-R1μg^-R2＝B（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）Y^-R1μ_g ^-R2＝Xf（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）Y^-R1μ_g ^-R2＝Xf（c₁，c₂）^cf（V，W）^R1f（μ_g，e_g）^R2Y^-R1μ_g ^-R2＝Xf（c₁，c₂）^cY^R1μ_g ^R2Y^-R1μ_g ^-R2＝f（c₁，c₂）^cX。即，zY^-R1μ_g ^-R2成为关于f（x）具有误差X的可随机数化抽样器。另外，e_g设为群G的单位元。

在上述展开式中，利用X＝B（V^R1′μ_g ^R2′，W^R1′）f（V^R1′μ_g ^R2′，W^R1′）^-1＝B（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）f（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1），且B（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）＝Xf（c₁ ^cV^R1μ_g ^R2，c₂ ^cW^R1）这种性质。该性质基于R₁、R₂、R₁′及R₂′为随机数。

因此，当考虑a、b为自然数、r₄、r₅、r₆及r₇为随机数时，同样，z₄Y^{－ r4}μ_g ^-r5、z₅Y^-r6μ_g ^-r7成为关于f（c₁，c₂）分别具有误差X₁、X₂的可随机数化抽样器。

［第一实施方式～第三实施方式的变形例等］

随机变量X₁、X₂及X₃既可以相同，也可以不同。

通过第一随机数生成部110、第二随机数生成部113、第三随机数生成部116、第四随机数生成部119、第五随机数生成部120、第六随机数生成部124及第七随机数生成部125分别生成均匀随机数，代理计算系统的安全性最高。但是，在要求的安全性的水平没有那么高的情况下，第一随机数生成部110、第二随机数生成部113、第三随机数生成部116、第四随机数生成部119、第五随机数生成部120、第六随机数生成部124及第七随机数生成部125也可以分别生成不是均匀随机数的随机数。

在上述的例子中，各调用一次第一可随机数化抽样器21、第二可随机数化抽样器22，但为了减少委托装置1和计算装置2之间的通信次数，也可以对同一a、b多次调用第一可随机数化抽样器21、第二可随机数化抽样器22，委托装置1通过一次通信就能够取得多个u、v。

第一可随机数化抽样器21、第二可随机数化抽样器22及抽样器23的各部既可以配置于委托装置1，也可以配置于计算装置2。即，既可以如第一实施方式那样将各部全部配置于计算装置2，也可以如第二实施方式及第三实施方式那样分开配置于委托装置1及计算装置2。

委托装置1的各部间的数据交换既可以直接进行，也可以经由未图示的存储部来进行。同样，计算装置2的各部间的数据交换既可以直接进行，也可以经由未图示的存储部来进行。

委托装置1及计算装置2可分别由计算机来实现。在这种情况下，该装置应有的各功能的处理内容通过程序来记述。而且，通过由计算机执行该程序，这些装置的各处理功能在计算机上实现。

记述有该处理内容的程序能够记录于计算机可读取的记录介质。另外，在该方式中，通过在计算机上执行规定的程序，构成这些装置，但也可以硬件地实现这些处理内容的至少一部分。

［第四实施方式］

第四实施方式～第十实施方式是利用委托装置1′委托于计算装置2′的计算结果来计算θ（g，h）的实施方式。

如图11所示，第四实施方式的代理计算系统包含委托装置1′及计算装置2′，利用委托装置1′委托于计算装置2′的计算结果，计算双同态映射θ（g，h）。

在此，设G、H及F为循环群，设映射θ：G×H→F为双同态映射，设g为群G的元，设h为群H的元，设K_G为群G的位数，设K_H为群H的位数，设μ_g为群G的生成元，设μ_h为群H的生成元，设ν＝θ（μ_g，μ_g），设k为1以上的整数的安全参数，设K＝2^k。

双同态映射的意思是相对于两个输入都为同态的映射。在该例子中，映射θ（g，h）相对于群G的元g为同态，且相对于群H的元h为同态。

在委托装置1′和计算装置2′之间确立有通信路径，委托装置1′及计算装置2′可双向地通信。该通信路径也可以不必秘密地保持，第三者可拦截在该通信路径流通的信息。

委托装置1′向不可靠的计算装置2′发送由随机数干扰后的信息，计算装置2′利用该干扰后的信息，按照一定的算法进行计算，然后将其计算结果回复到委托装置1′。通过重复向该计算装置2′的信息的收发，委托装置1′最终地计算θ（g，h）。

委托装置1′首先通过步骤S 11′～步骤S 125′（图15）的处理，计算与θ（g，μ_h）同等的信息（σ，ν′），利用与其θ（g，μ_h）同等的信息（σ，ν′），通过步骤S21′～步骤S225′的处理，计算θ（g，μ）。

委托装置1′例如包含图12及图13例示的第一随机数生成部11′、第二随机数生成部12′、第一输入信息计算部13′、第二输入信息计算部14′、第一列表信息计算部15′、第一列表存储部16′、接收部17′、发送部18′、第四随机数生成部21′、第五随机数生成部22′、第三输入信息计算部23′、第四输入信息计算部24’、第二列表信息计算部25′、第二列表存储部26′、第三随机数生成部27′、第一判定部28′、第六随机数生成部31′、第七随机数生成部32′、第五输入信息计算部33′、第六输入信息计算部34′、第三列表信息计算部35′、第三列表存储部36′、第九随机数生成部41′、第十随机数生成部42′、第七输入信息计算部43′、第八输入信息计算部44′、第四列表信息计算部45′、第四列表计算部46′、第八随机数生成部47′及第二判定部48′。

如图14所示，计算装置2′例如包含接收部51′、发送部52′、第一输出信息计算部53′、第二输出信息计算部54′、第三输出信息计算部55′及第四输出信息计算部56′。

＜步骤S11′（图15）＞

第一随机数生成部11′生成0以上不足K_G的整数的均匀随机数r₁（步骤S11′）。生成的随机数r₁发送到第一输入信息计算部13′及第一列表信息计算部15′。

＜步骤S12′＞

第二随机数生成部12′生成0以上不足K_H的整数的均匀随机数r₂（步骤S12′）。生成的随机数r₂发送到第二输入信息计算部14′、第一列表信息计算部15′及第一列表存储部16′。

＜步骤S13′＞

第一输入信息计算部13′计算第一输入信息g₁＝μ_g ^r1g（步骤S13′）。计算出的g₁发送到发送部18′。

在此，μ_g的右上角的r1是r₁的意思。这样，在该申请中，在设α为第一字符、β为第二字符、γ为数字而表述为α^βγ的情况下，该βγ的意思是β_γ，即，β的下标γ。

另外，计算g₁＝μ_g ^r1g是计算用μ_g ^r1g这种式定义的g₁的值。如果能够最终地计算式μ_g ^r1g的值，则不论计算过程中的计算方法。这关于该申请中出现的其他式的计算也同样。

＜步骤S14′＞

第二输入信息计算部14′计算第二输入信息h₁＝μ_h ^r2（步骤S14′）。计算出的h₁发送到发送部18′。

＜步骤S15′＞

发送部18′将第一输入信息g₁及第二输入信息h₁发送到计算装置2′（步骤S15′）。

＜步骤S16′＞

计算装置2′的接收部51′（图14）接收第一输入信息g₁及第二输入信息h₁（步骤S16′）。

＜步骤S17′＞

第一输出信息计算部53′利用第一输入信息g₁及第二输入信息h₁进行计算，将其计算结果设为第一输出信息z₁（步骤S17′）。z₁发送到发送部52′。

第一输出信息计算部53′可计算θ（g₁，h₁）。第一输出信息计算部53′的计算结果有时是θ（g₁，h₁），有时不是θ（g₁，h₁）。

在该申请中，可计算的意思是可按不能忽略的概率进行计算。不能忽略的概率是在设安全参数k的广义单调增加函数的多项式为多项式f（k）时的1／f（k）以上的概率。

＜步骤S18′＞

发送部52′将第一输出信息z₁发送到委托装置1′（步骤S18′）。

＜步骤S19′＞

委托装置1′的接收部17′（图12）接收第一输出信息z₁（步骤S19′）。接收到的第一输出信息z₁发送到第一列表信息计算部15′。在此，第一输出信息z₁设为群F的元。

＜步骤S110′＞

第一列表信息计算部15′利用随机数r₁、随机数r₂及第一输出信息z₁，计算z₁ν^-r1r2（步骤S110′）。计算出的z₁ν^-r1r2发送到第一列表存储部16′。

＜步骤S111′＞

由随机数r₂和z₁ν^-r1r2构成的信息组（r₂，z₁ν^-r1r2）追加于列表L₁。在该例子中，在第一列表存储部16′存储信息组（r₂，z₁ν^-r1r2）（步骤S111′）。

＜步骤S112′＞

第三随机数生成部27′生成0以上不足K的整数的均匀随机数即d₁（步骤S112′）。生成的随机数d₁发送到第三输入信息计算部23′及第二列表存储部26′。

＜步骤S113′＞

第四随机数生成部21′生成0以上不足K_G的整数的均匀随机数即r4（步骤S113′）。生成的随机数r₄发送到第三输入信息计算部23′及第二列表信息计算部25′。

＜步骤S114′＞

第五随机数生成部22′生成0以上不足K_H的整数的均匀随机数即r₅（步骤S114′）。生成的随机数r₅发送到第四输入信息计算部24′、第二列表信息计算部25′及第二列表存储部26′。

＜步骤S115′＞

第三输入信息计算部23′计算第三输入信息g₂＝μ_g ^r4g^d1（步骤S115′）。计算出的第三输入信息g₂发送到发送部18′。

＜步骤S116′＞

第四输入信息计算部24′计算第四输入信息h₂＝μ_h ^r5（步骤S116′）。计算出的第四输入信息h₂发送到发送部18′。

＜步骤S117′＞

发送部18′将第三输入信息g₂及第四输入信息h₂发送到计算装置2′（步骤S117′）。

＜步骤S118′＞

计算装置2′的接收部51′（图14）接收第三输入信息g₂及第四输入信息h₂（步骤S118′）。

＜步骤S119′＞

第二输出信息计算部54′利用第三输入信息g₂及第四输入信息h₂进行计算，将其计算结果设为第二输出信息z₂（步骤S119′）。z₂发送到发送部52′。

第二输出信息计算部54′可计算θ（g₂，h₂）。第二输出信息计算部54′的计算结果有时是θ（g₂，h₂），有时不是θ（g₂，h₂）。

＜步骤S120′＞

发送部52′将第二输出信息z₂发送到委托装置1′（步骤S120′）。

＜步骤S121′＞

委托装置1′的接收部17′（图12）接收第二输出信息z₂（步骤S121′）。接收到的第二输出信息z₂发送到第二列表信息计算部25′。在此，第二输出信息z₂设为群F的元。

＜步骤S122′＞

第二列表信息计算部25′利用随机数r₄、随机数r₅及第二输出信息z₂，计算z₂ν^-r4r5（步骤S122′）。计算出的z₂ν^-r4r5发送到第二列表存储部26′。

＜步骤S123′＞

由随机数d₁、随机数r₅和z₂ν^-r4r5构成的信息组（d₁，r₅，z₂ν^-r4r5）追加于列表L₂。在该例子中，在第二列表存储部26′存储信息组（d₁，r₅，z₂ν^-r4r5）（步骤S123′）。

＜步骤S124′＞

第一判定部28′在设从第一列表存储部16′读入的信息组的第一成分为s₁、第二成分为w₁，且设从第二列表存储部26′读入的信息组的第一成分为t₂、第二成分为s₂、第三成分为w₂时，判定这些信息组是否满足（w₁）＾（t₂s₂s₁ ^-1）＝w₂的关系（步骤S124′）。

第一判定部28′在第一列表存储部16′及第二列表存储部26′存储有多个信息组的情况下，判定由存储于第一列表存储部16′的信息组（r₂，z₁ν^-r1r2）和存储于第二列表存储部26′的信息组（d₁，r₅，z₂ν^-r4r5）构成的所有的信息对是否满足上述关系。当然，关于已判定了是否满足上述关系的信息对，也可以省略其判定处理。

＜步骤S125′＞

第一判定部28′在满足上述关系的情况下，将s₁代入σ，将w₁代入ν′（步骤S125′）。在此，成为ν′^1/σ＝w₁ ^1/σ＝θ（g，μ_h）。关于成为ν′^1/σ＝θ（g，μ_h）的理由，后面进行描述。

在不满足上述关系的情况下，返回到步骤S11′。

＜步骤S21′（图16）＞

第六随机数生成部31′生成0以上不足K_G的整数的均匀随机数即r₆（步骤S21′）。生成的随机数r₆发送到第五输入信息计算部33′、第三列表信息计算部35′及第三列表存储部36′。

＜步骤S22′＞

第七随机数生成部32′生成0以上不足K_H的整数的均匀随机数即r₇（步骤S22′）。生成的随机数r₇发送到第六输入信息计算部34′及第三列表信息计算部35′。

＜步骤S23′＞

第五输入信息计算部33′计算第五输入信息g₃＝μ_g ^r6（步骤S23′）。计算出的g₃发送到发送部18′。

＜步骤S24′＞

第六输入信息计算部34′计算第六输入信息h₃＝μ_h ^r7σh（步骤S24′）。计算出的h₃发送到发送部18′。

＜步骤S25′＞

发送部18′将第五输入信息g₃及第六输入信息h₃发送到计算装置2′（步骤S25′）。

＜步骤S26′＞

计算装置2′的接收部51′（图14）接收第五输入信息g₃及第六输入信息h₃（步骤S26′）。

＜步骤S27′＞

第三输出信息计算部55′利用第五输入信息g₃及第六输入信息h₃进行计算，将其计算结果设为第三输出信息z₃（步骤S27′）。z₃发送到发送部52′。

第三输出信息计算部55′可计算θ（g₃，h₃）。第三输出信息计算部55′的计算结果有时是θ（g₃，h₃），有时不是θ（g₃，h₃）。

＜步骤S28′＞

发送部52′将第三输出信息z₃发送到委托装置1′（步骤S28′）。

＜步骤S29′＞

委托装置1′的接收部17′（图13）接收第三输出信息z₃（步骤S29′）。接收到的第三输出信息z₃发送到第三列表信息计算部35′。在此，第三输出信息z₃设为群F的元。

＜步骤S210′＞

第三列表信息计算部35′利用随机数r₆、随机数r₇及第三输出信息z₃，计算z₃ν′^-r6r7（步骤S210′）。计算出的z₃ν^-r6r7发送到第三列表存储部36′。

＜步骤S211′＞

由随机数r₆和z₃ν′^-r6r7构成的信息组（r₆，z₃ν′^-r6r7）追加于列表L₃。在该例子中，在第三列表存储部36′存储信息组（r₆，z₃ν′^-r6r7）（步骤S211′）。

＜步骤S212′＞

第八随机数生成部47′生成0以上不足K的整数的均匀随机数即d₂（步骤S212′）。生成的随机数d₂发送到第八输入信息计算部44及第四列表存储部46′。

＜步骤S213′＞

第九随机数生成部41′生成0以上不足K_G的整数的均匀随机数即r₉（步骤S213′）。生成的随机数r₉发送到第七输入信息计算部43′、第四列表信息计算部45′及第四列表存储部46′。

＜步骤S214′＞

第十随机数生成部42′生成0以上不足K_H的整数的均匀随机数即r₁₀（步骤S214′）。生成的随机数r₁₀发送到第八输入信息计算部44′、第四列表信息计算部45′及第四列表存储部46′。

＜步骤S215′＞

第七输入信息计算部43′计算第七输入信息g₄＝g^r9（步骤S215′）。计算出的第七输入信息g₄发送到发送部18′。

＜步骤S216′＞

第八输入信息计算部44′计算第八输入信息h₄＝μ_h ^r10σh^d2（步骤S216′）。计算出的第八输入信息h₄发送到发送部18′。

＜步骤S217′＞

发送部18′将第七输入信息g₄及第八输入信息h₄发送到计算装置2′（步骤S217′）。

＜步骤S218′＞

计算装置2′的接收部51′（图14）接收第七输入信息g₄及第八输入信息h₄（步骤S218′）。

＜步骤S219′＞

第四输出信息计算部56′利用第七输入信息g₄及第八输入信息h₄进行计算，将其计算结果设为第四输出信息z₄（步骤S219′）。z₄发送到发送部52′。

第四输出信息计算部56′可计算θ（g₄，h₄）。第四输出信息计算部56′的计算结果有时是θ（g₄，h₄），有时不是θ（g₄，h₄）。

＜步骤S220′＞

发送部52′将第四输出信息z₄发送到委托装置1′（步骤S220′）。

＜步骤S221′＞

委托装置1′的接收部17′（图12）接收第四输出信息z₄（步骤S221）。接收到的第四输出信息z₄发送到第四列表信息计算部45′。在此，第四输出信息z₄设为群F的元。

＜步骤S222′＞

第四列表信息计算部45′利用随机数r₉、随机数r₁₀及第四输出信息z₄，计算z₄ν′^-r9r10（步骤S222′）。计算出的z₄ν′^-r9r10发送到第四列表存储部46′。

＜步骤S223′＞

由随机数d₂、随机数r₉和z₄ν′^-r9r10构成的信息组（d₂，r₉，z₄ν′^-r9r10）追加于列表L₄。在该例子中，在第四列表存储部46′存储信息组（d₂，r₉，z₄ν^-r9r10）（步骤S223′）。

＜步骤S224′＞

第二判定部48′在设从第三列表存储部36′读入的信息组的第一成分为s₃、第二成分为w₃，且设从第四列表存储部46′读入的信息组的第一成分为t₄、第二成分为s₄、第三成分为w₄时，判定这些信息组是否满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系（步骤S224′）。

第二判定部48′在第三列表存储部36′及第四列表存储部46′存储有多个信息组的情况下，判定由存储于第三列表存储部36′的信息组（r₆，z₃ν′^-r6r7）和存储于第四列表存储部46′的信息组（d₂，r₉，z₄ν′^－r9r10）构成的所有的信息对是否满足上述关系。当然，关于已判定了是否满足上述关系的信息对，也可以省略其判定处理。

＜步骤S225′＞

第二判定部48′在满足上述关系的情况下，将（w₃）＾（s₃ ^-1）输出（步骤S225′）。在此，成为（w₃）＾（s₃ ^-1）＝θ（g，h）。关于成为（w₃）＾（s₃ ^－1）＝θ（g，h）的理由，后面进行描述。

在不满足上述关系的情况下，返回到步骤S21′。

在难以进行（w₃）＾（s₃ ^-1）的计算即w₃的方根的计算的情况下，可如下那样容易地计算θ（g，h）。第二判定部48′重复进行步骤S21′～步骤S224′的处理，将满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系的w₃和s₃的组（w₃，s₃）依次设为（α₁，S₁），（α₂，S₂），…，（α_m，S_m），…，并将其存储于存储部410′。m为自然数。第二判定部48′如果发现与S₁成为互素的S_m，则设L₁和L₂为整数，计算成为L₁S₁＋L₂S_m＝1的L₁及L₂，利用该L₁及L₂，计算α₁ ^L1α_m ^L2。成为α₁ ^L1α_m ^L2＝θ（g，h）^{（L1S1＋L2S2）}＝θ（g，h）。另外，第二判定部48′如果S₁，S₂，…，S_m的最小公倍数为1，则也可以设L₁，L₂，…，L_m为整数，计算成为L₁S₁＋L₂S₂＋…＋L_mS_m＝1的L₁，L₂，…，L_m，利用该L₁，L₂，…，L_m，计算α₁ ^L1α₂ ^L2…α_m ^Lm。成为α₁ ^L1α₂ ^L2…α_m ^Lm＝θ（g，h）^{（L1S1＋L2S2+...＋LmSm）}＝θ（g，h）。

假设有能够拦截委托装置1′和计算装置2′之间的通信的攻击者M，也可通过用仅委托装置1′得知的随机数（例如，r₁、r₂）对在委托装置1′及计算装置2′之间进行通信的信息进行干扰来对攻击者M保密。

另外，在委托装置1′及计算装置2′之间进行通信的信息由仅委托装置1′得知的r1、r2等随机数进行干扰，因此计算装置2′当然不能得知委托装置1′将要最终计算的θ（g，h），连其输入即g及h也不能得知。

因此，计算装置2′不需要为可靠的计算机，就能够缓和用于计算双同态映射的系统的构成必要条件。另外，可靠的计算机通常价格高，在运用上需要费用，但由于不需要计算装置2′为可靠的计算机，因此能够消减用于计算双同态映射的系统的构筑及运用的成本。

《关于成为ν′^1/σ＝θ（g，μ_h）的理由》

首先，对叫做可随机化抽样器（randomizable sampler）的随机变量S_X（d）进行说明。与w∈F有关的误差X的可随机化抽样器即随机变量S_X（d）为S_X（d）＝w^dX。d为自然数。

在此，当设R₁、R₂、R₁′及R₂′为随机数、设计算装置利用g^dμ_g ^R1及μ_h ^R2进行计算的计算结果为B（g^dμ_g ^R1，μ_h ^R2）（当将计算装置返送到委托装置的计算结果设为z时，为z＝B（g^dμ_g ^R1，μ_h ^R2）），且将在群F中具有数值的随机变量X定义为X＝B（μ_g ^R′1，μ_h ^R′2）^1／R′2θ（μ_g ^R′1，μ_h）^-1时，S_X（d）＝z^（1／R2）ν^－R1成为与θ（g，μ_h）有关的误差X的可随机化抽样器。

原因是，S_X（d）＝z^（1／R2）ν^－R1＝B（g^dμ_g ^R1，μ_h ^R2）^1／R2θ（μ_g，μ_h）^－R1＝Xθ（g^dμ_g ^R1，μ_h）θ（μ_g ^R1，μ_h）^-1＝Xθ（g^d，μ_h）θ（μ_g ^R1，μ_h）θ（μ_g ^R1，μ_h）^－1＝θ（g，μ_h）^dX。

在上述展开式中，利用X＝B（μ_g ^R′1，μ_h ^R′2）^1/R′2θ（μ_g ^R′1，μ_h）^-1＝B（g^dμg^R1，μ_h ^R2）^1／R2θ（g^dμ_g ^R1，μ_h）^-1，且B（g^dμ_g ^R1，μ_h ^R2）^1／R2＝Xθ（g^dμ_g ^R1，μ_h）这种性质。该性质基于R₁、R₂、R₁′及R₂′为随机数。

在此，发明者发现，将S_X（1）的表现值表述为θ（g，μ_h）¹x₁，且将S_X（d）的表现值表述为θ（g，μ_h）^dx₂，成为S_X（1）的表现值的d次方＝S_X（d）的表现值即（θ（g，μ_h）¹x₁）^d＝θ（g，μ_h）^dx₂的理由在x₁及x₂为群F的单位元e_f时的可能性非常高。在此，省略其证明。在x₁为群F的单位元e_f时，成为S_X（1）的表现值＝θ（g，μ_h）¹x₁＝θ（g，μ_h）。

上述实施方式的代理计算系统利用该可随机化抽样器的性质。

步骤S11′～步骤S111′的处理与S_X（1）的表现值θ（g，μ_h）¹x₁的计算对应。实际上，不计算S_X（1）的表现值自身，但当利用通过同处理而得到的（r₂，z₁ν^－r1r2）将z₁ν^－r1r2进行1／r₂次方时，成为（z₁ν^－r1r2）^1／r2＝z₁ ^1／r2ν^－r1，且成为S_X（1）的表现值θ（g，μ_h）¹x₁。同样，步骤S112′～步骤S123′的处理与S_X（d₁）的表现值θ（g，μ_h）^d1x₂的计算对应。

另外，步骤S124′的处理与是否为S_X（1）的表现值的d₁次方＝S_X（d₁）即（θ（g，μ_h）¹x₁）^d1＝θ（g，μ_h）^d1x₂的判定对应。理由是，步骤S124使用的判定条件

（1）的表现值的d₁次方＝S_X（d₁）的表现值。在此，由定义可知，s₁＝r₂、w₁＝z₁ν^－r1r2、t₂＝d₁、s₂＝r₅、w₂＝z₂ν^－r4r5。

另外，步骤S125′的σ及ν′与θ（g，μ_h）对应。理由是，如上所述，在S_X（1）的表现值的d₁次方＝S_X（d₁）的表现值时，为ν′^1/σ＝w₁ ^1/s1＝z₁ ¹／r²ν^－r1＝θ（g，μ_h）¹x₁＝θ（g，μ_h）。

《关于成为（w₃）＾（s₃ ^－1）＝θ（g，h）的理由》

当设R₁，R₂，R₁′及R₂′为随机数、设计算装置利用g^R1及h^dμ_h ^R2进行计算的计算结果为B（g^R1，h^dμ_h ^R2）（当将计算装置返送到委托装置的计算结果设为z时，为z＝B（g^R1，h^dμ_h ^R2）），且将在群F中具有数值的随机变量X定义为X＝B（g^R′1，μ_h ^R′2）^1／R′1θ（g，μ_h ^R′2）^－1时，S_X（d）＝z^（1／R1)ν′^{－ R2}成为与θ（g，h）有关的误差X的可随机化抽样器。

理由是，S_X（d）＝z^（1／R1)ν′^－R2＝B（g^R1，h^dμ_h ^R2）^1／R1θ（g，μ_h）^－R2＝Xθ（g、h^dμ_h ^R2）θ（g，μ_h ^R2）^-1＝Xθ（g、h^d）θ（g，μ_h ^R2）θ（g，μ_h ^R2）^-1＝θ（g，h）^dX。

在上述展开式中，利用X＝B（g^R′1，μ_h ^R′2）^1/R′1θ（g，μ_h ^R′2）^-1＝B（g^R1，μ_h ^R2）^1／R1θ（g、h^dμ_h ^R2）^-1，且B（g^R1，h^dμ_h ^R2）^1／R1＝Xθ（g、h^dμ_h ^R2）这种性质。该性质基于R₁，R₂，R₁′及R₂′为随机数。

在此，发明者发现，将S_X（1）的表现值表述为S_X（1）＝θ（g，h）¹x₁，将S_X（d）的表现值表述为S_X（d）＝θ（g，h）^dx₂，成为S_X（1）的表现值的d次方＝S_X（d）即（θ（g，h）¹x₁）^d＝θ（g，h）^dx₂的理由在x₁及x₂为群F的单位元e_f时的可能性非常高。在此，省略其证明。在x₁为群F的单位元e_f时，成为S_X（1）的表现值＝θ（g，h）¹x₁＝θ（g，h）。

上述实施方式的代理计算系统利用该可随机化抽样器的性质。

步骤S21′～步骤S211′的处理与S_X（1）的表现值θ（g，h）¹x₁的计算对应。实际上，不计算S_X（1）的表现值自身，但当利用通过同处理而得到的（r₆，z₃ν′^-r6r7）将z₃ν′^-r6r7进行1／r₆次方时，成为（z₃ν′^-r6r7）^1/r6＝z₃ ^{1 /r6}ν′^-r7，且成为S_X（1）的表现值θ（g，h）¹x₁。同样，步骤S212′～步骤S223′的处理与S_X（d₂）的表现值θ（g，h）^d2x₂的计算对应。

另外，步骤S224′的处理与是否为S_X（1）的表现值的d₂次方＝S_X（d₂）的表现值即（θ（g，h）¹x₁）^d2＝θ（g，h）^d2x₂的判定对应。理由是，步骤S224′使用的判定条件

的表现值的d₂次方＝S_X（d₂）的表现值。在此，由定义可知，s₃＝r₆、w₃＝z₃ν′^－r6r7、t₄＝d₂、s₄＝r₉、w₄＝z₄ν′^-r9r10。

另外，步骤S225′的（w₃）＾（s₃ ^-1）与θ（g，h）对应。理由是，如上所述，在S_X（1）的表现值的d₂次方＝S_X（d₂）的表现值时，为（w₃）＾（s₃ ^－1）＝（z₃ν′^-r6r7）＾（r₆ ^－1）＝z₃ ^1／r6ν′^-r7＝θ（g，h）¹x₁＝θ（g，h）。

［第五实施方式］

第五实施方式的代理计算系统在步骤S13′、步骤S110′及步骤S111′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

第一输入信息计算部13′对不是由g₁＝μ_g ^r1g定义而是由g₁＝g^r1定义的第一输入信息进行计算（步骤S13′）。

第一列表信息计算部15′不是利用z₁ν^-r1r2而是利用随机数r₁及随机数r₂来计算r₁r₂，且将其计算结果发送到第一列表存储部16′（步骤S110′）。

在第一列表存储部16′不是存储信息组（r₂，z₁ν^-r1r2），而是存储由计算出的r₁r₂和从计算装置2′接收到的z₁∈F构成的信息组（r₁r₂，z₁）（步骤S111′）。

在第四实施方式的步骤S110′中，需要进行z₁ν^-r1r2这种群F的幂运算，但在第五实施方式的步骤S110′中，进行的是r₁r₂的计算，幂运算的次数减少一次。这样，通过减少幂运算的次数，能够增大运算的效率。另外，如果在群G、群H中难以进行非自明方根（非自明べき根，nontrivial root）的计算，则安全性不会比第四实施方式低。

［第六实施方式］

第六实施方式的代理计算系统在步骤S24′、步骤S210′及步骤S211′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

第六输入信息计算部34′对不是由h₃＝μ_h ^r7σh定义而是由h₃＝h^r7定义的第六输入信息h₃进行计算（步骤S24′）。

第三列表信息计算部35′不是利用z₃ν′^-r6r7而是利用随机数r₆及随机数r₇来计算r₆r₇（步骤S210′）。

在第三列表存储部36′不是存储信息组（r₆，z₃ν′^-r6r7，而是存储由计算出的r₆r₇和从计算装置2′接收到的z₃∈F构成的信息组（r₆r₇，z₃）（步骤S211′）。

在第四实施方式的步骤S210′中，需要进行z₃ν′^-r6r7这种群F的幂运算，但在第六实施方式的步骤S210′中，进行的是r₆r₇的计算，幂运算的次数减少一次。这样，通过减少幂运算的次数，能够增大运算的效率。

如果在群G、群H中难以进行非自明方根的计算，则安全性不会比第四实施方式低。

［第七实施方式］

第七实施方式的代理计算系统在步骤S125′及步骤S214′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

第一判定部28′在满足上述关系的情况下，将t₁s₂代入σ，将w₂代入ν′（步骤S125′）。

第十随机数生成部42′利用随机数r₉，计算－r9^-1，并设为r₁₀（步骤S214′）。

这样，通过变更ν′的定义并将σ设为对于计算装置2′来说难以推测的随机数，来增大安全性。另外，通过利用随机数r₉计算随机数r₁₀，能够减少生成随机数的次数。也认为第八输入信息h₄＝μ_h ^r10σh^d2的杂乱性因由随机数r₉规定随机数r₁₀而下降，且安全性受损，但第八输入信息h₄＝μ_h ^r10σh^d2不仅由随机数r₁₀干扰，而且进一步由σ干扰，因此安全性不会受损。

另外，在第七实施方式中，也可以如下那样进一步将步骤S22′及步骤S211′变更。

第七随机数生成部32′利用随机数r₆计算－r6^-1，并设为r₇（步骤S22′）。

在第三列表存储部36′存储由1和上述计算出的z₃ν′^-r6r7构成的信息组（1，z₃ν′^-r6r7）（步骤S211′）。

这样，通过利用随机数r₆计算随机数r₇，能够减少生成随机数的次数。

如果在群G、群H中难以进行非自明方根的计算，则安全性不会比第四实施方式低。

［第八实施方式］

第八实施方式的代理计算系统在步骤S113′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

首先，在步骤S113′之前，第五随机数生成部22′生成随机数r₅（步骤S114′）。

第四随机数生成部21′利用随机数r₅计算－r5^-1，并设为r₄（步骤S113′）。

这样，通过利用随机数r₅计算随机数r₄，能够减少生成随机数的次数。

关于群H的任意元h，如果难以计算成为g∈G且θ（g，h）＝ν的值，则安全性不会比第四实施方式低。

［第九实施方式］

第九实施方式的代理计算系统在委托装置1′进一步包含图12虚线所示的事前计算部29′上，且在步骤S115′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

事前计算部29′利用第三随机数生成部27′生成的d₁，计算g^d1。该处理在步骤S112′之后且在步骤S115′之前进行。

第三输入信息计算部23′利用事前计算出的g^d1，进行g₂＝μ_g ^r4g^d1的计算（步骤S115′）。

在步骤S114′中不满足判定条件的情况下，重复进行步骤S11′～步骤S123′的处理，但在该重复处理中，再次利用事前计算出的g^d1。即，第三随机数生成部27′不生成随机数d₁，第三输入信息计算部23′利用事前计算出的g^d1，进行g₂＝μ_g ^r4g^d1的计算。由此，能够减少生成随机数d₁的次数，能够迅速地进行g₂＝μ_g ^r4g^d1的计算。

［第十实施方式］

第十实施方式的代理计算系统在委托装置1′进一步包含图13虚线所示的事前计算部49′上且在步骤S216′上与第四实施方式的代理计算系统不同，其他部分与第四实施方式的代理计算系统同样。下面，以与第四实施方式不同的部分为中心进行说明。

事前计算部49′利用第八随机数生成部47′生成的d₂，计算h^d2。该处理在步骤S212′之后且在步骤S216′之前进行。

第八输入信息计算部44′利用事前计算出的h^d2，进行第八输入信息h₄＝μ_h ^r10σh^d2的计算（步骤S116′）。

在步骤S214′中不满足判定条件的情况下，重复进行步骤S21′～步骤S223′的处理，但在该重复处理中，再次利用事前计算出的h^d2。即，第八随机数生成部47′不生成随机数d₂，第八输入信息计算部44′利用事前计算出的h^d2，进行h₄＝μ_h ^r10σh^d2的计算。由此，能够减少生成随机数d₂的次数，能够迅速地进行h₄＝μ_h ^r10σh^d2的计算。

［第四实施方式～第十实施方式的变形例等］

通过第一随机数生成部11′、第二随机数生成部12′、第三随机数生成部27′、第四随机数生成部21′、第五随机数生成部22′、第六随机数生成部31′、第七随机数生成部32′、第八随机数生成部47′、第九随机数生成部41′及第十随机数生成部42′分别生成均匀随机数，代理计算系统的安全性最高。但是，在要求的安全性的水平不那么高的情况下，第一随机数生成部11′、第二随机数生成部12′、第三随机数生成部27′、第四随机数生成部21′、第五随机数生成部22′、第六随机数生成部31′、第七随机数生成部32′、第八随机数生成部47′、第九随机数生成部41′及第十随机数生成部42′也可以不分别生成均匀随机数，而是生成随机数。

每当在列表L₁、列表L₂追加信息组时，都可以进行第一判定部28′的处理。例如，在第二列表存储部26′存储有信息组（d₁，r₅，z₂v^-r4r5）的情况下，也可以在步骤S111′之后进行步骤S124′的处理。同样，每当在列表L₃、列表L₄追加信息组时，都可以进行第二判定部48′的处理。

第四实施方式～第十实施方式可相互组合。

既可以直接进行委托装置1′的各部间的数据交换，也可以经由未图示的存储部来进行。同样，既可以直接进行计算装置2′的各部间的数据交换，也可以经由未图示的存储部来进行。

委托装置1′及计算装置2′分别可由计算机来实现。在这种情况下，该装置应有的各功能的处理内容通过程序来记述。而且，通过由计算机执行该程序，该装置的各处理功能在计算机上实现。

记述有该处理内容的程序可记录于计算机可读取的记录介质。另外，在该方式中，通过在计算机上执行规定的程序，来构成这些装置，但也可以硬件地实现这些处理内容中的至少一部分。

另外，也可以将第一实施方式～第三实施方式和第四实施方式～第十实施方式组合。例如，如图17所示，第一实施方式～第三实施方式的计算装置2具备第四实施方式～第十实施方式的委托装置1′，包含该委托装置1′的计算装置2也可以与第四实施方式～第十实施方式所述的同样地，利用计算装置2′，进行函数f的计算。

具体而言，计算装置2为了计算需要计算的函数f（x），利用计算装置2′计算对应的映射θ（g，h）的值。与函数f（x）对应的映射θ（g，h）是对被赋予的函数f及x输出与函数f（x）的值相同的值的映射θ（g，h）。关于某元h∈H，在存在f（x）＝θ（x，h）这种关系的情况下，与f（x）对应的映射θ成为θ（x，h）。

例如，在参考文献1记载的Boneh－Franklin方式的基于ID密码中，将某一定的ID相关的解码函数设为f。在该方式的基于ID密码中，由形成椭圆曲线的点的有限群G、H和对τ：G×H→F构成。将Q设为G的元。将基于ID密码的密钥发行中心的密钥设为s，将公开密钥设为P＝sQ。基于ID密码的公共参数为群G、H的记述、对τ的记述、Q及P。

〔参考文献1〕Dan Boneh,Matt Franklin,“Identity－Based Encryption fromthe weil Pairing”,CRYPTO 2001,LNCS 2139,pp.213－229,2001.

密钥的发行如下那样进行。密钥发行中心就对应于ID而规定的H的元Q_ID而言，计算P_ID＝sQ_ID并通知给ID的保持者。P_ID为ID的保持者的密钥。此时，解码函数f：G→F由f（x）＝τ（x，P_ID）定义。

密文的作成、密文的解码如下那样进行。为了将明文m关于某ID加密，生成随机数r，计算（Q^r，m（＋）H（τ（P^r，Q_ID））），将此设为密文（C₁，C₂）。为了解码，通过对密文（C₁，C₂）计算C₂（＋）H（f（C₁）），得到明文。其中，在此，H为哈希函数，（＋）为逻辑异或。

在这种Boneh－Franklin方式的基于ID密码中，与函数f（x）对应的映射θ利用例如对τ来定义。即，f（x）＝τ（x，P_ID）。

计算装置2为IC卡及便携电话，难以进行秘密信息的提取，但在限定计算能力的情况下，这样将委托装置及计算装置多重组合是有有益的。

本发明不局限于上述的实施方式，在不脱离本发明精神的的范围内，可适当变更。

Claims (19)

1.一种代理计算系统，其特征在于，

设G、H为循环群，设f为将群H的元x映射到群G的函数，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂，

所述代理计算系统包含：

整数计算部，利用互素的两个自然数a、b，计算满足a′a＋b′b＝1的关系的整数a′、b′；

第一可随机数化抽样器，能够计算f（x）^bx₁，并将其计算结果设为u；

第一幂计算部，计算u′＝u^a；

第二可随机数化抽样器，能够计算f（x）^ax₂，并将其计算结果设为v；

第二幂计算部，计算v′＝v^b；

判定部，判定是否为u′＝v′；以及

最终计算部，在判定为u′＝v′的情况下，计算u^b′v^a′。

2.如权利要求1所述的代理计算系统，其特征在于，

还包含抽样器，所述抽样器能够计算f（x）x₃，如果a＝1，则代替所述第二可随机数化抽样器，将其计算结果设为所述v，如果b＝1，则代替所述第一可随机数化抽样器，将其计算结果设为所述u，其中设X₃为在群G中具有数值的随机变量，设随机变量X₃的表现值为x₃，。

3.如权利要求1所述的代理计算系统，其特征在于，

设所述f为同态映射，设群H的生成元为μ_h，设群H的位数为K_H，设ν＝f（μ_h），

所述第一可随机数化抽样器包含：生成0以上不足K_H的整数的随机数r₁的第一随机数生成部、计算第一输入信息μ_h ^r1x^b的第一输入信息计算部、能够利用所述第一输入信息μ_h ^r1x^b计算f（μ_h ^r1x^b）且将其计算结果设为第一输出信息z₁的第一输出信息计算部、计算z₁ν^-r1并将其计算结果设为所述u的第一计算部，

所述第二可随机数化抽样器包含：生成0以上不足K_H的整数的随机数r₂的第二随机数生成部、计算第二输入信息μ_h ^r2x^a的第二输入信息计算部、能够利用所述第二输入信息μ_h ^r2x^a计算f（μ_h ^r2x^a）且将其计算结果设为第二输出信息z₂的第二输出信息计算部、计算z₂v^-r2并将其计算结果设为所述v的第二计算部。

4.如权利要求3所述的代理计算系统，其特征在于，

还包含抽样器，所述抽样器包含：生成0以上不足K_H的整数的随机数r₃的第三随机数生成部；计算第三输入信息x^r3的第三输入信息计算部；能够利用所述第三输入信息x^r3计算f（x^r3）且将其计算结果设为第三输出信息z₃的第三输出信息计算部；以及第三计算部，所述第三计算部计算z₃ ^1/r3，如果a＝1，则代替所述第二可随机数化抽样器，将其计算结果设为所述v，如果b＝1，则代替所述第一可随机数化抽样器，将其计算结果设为所述u。

5.如权利要求1所述的代理计算系统，其特征在于，

设群H＝G×G，设所述f为同态映射，设群G的生成元为μ_g，设群G的位数为K_G，设x＝（c₁，c₂），设（V，W）为群H的元，设f（V，W）＝Y，

所述第一可随机数化抽样器包含：生成0以上不足K_G的整数的随机数r₄的第四随机数生成部、生成0以上不足K_G的整数的随机数r₅的第五随机数生成部、计算第四输入信息c₁ ^bV^r4μ_g ^r5的第四输入信息计算部、计算第五输入信息c₂ ^bW^r4的第五输入信息计算部、能够利用所述第四输入信息c₁ ^bV^r4μ_g ^r5及所述第五输入信息c₂ ^bW^r4计算f（c₁ ^bV^r4μ_g ^r5，c₂ ^bW^r4）且将其计算结果设为第四输出信息z₄的第四输出信息计算部、计算z₄Y^－r4μ_g ^-r5并将其计算结果设为所述u的第四计算部，

所述第二可随机数化抽样器包含：生成0以上不足K_G的整数的随机数r₆的第六随机数生成部、生成0以上不足K_G的整数的随机数r₇的第七随机数生成部、计算第六输入信息c₁ ^aV^r6μ_g ^r7的第六输入信息计算部、计算第七输入信息c₂ ^aW^r6的第七输入信息计算部、能够利用所述第六输入信息c₁ ^aV^r6μ_g ^r7及所述第七输入信息c₂ ^aW^r6计算f（c₁ ^aV^r6μ_g ^r7，c₂ ^aW^r6）且将其计算结果设为第五输出信息z₅的第五输出信息计算部、计算z₅Y^-r6μ_g ^-r7并将其计算结果设为所述v的第五计算部。

6.一种代理计算方法，其特征在于，

设G、H为循环群，设f为将群H的元x映射到群G的函数，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂，

所述代理计算方法包含：

整数计算步骤，整数计算部利用互素的两个自然数a、b，计算满足a′a＋b′b＝1的关系的整数a′、b′；

第一可随机数化抽样步骤，第一可随机数化抽样器能够计算f（x）^bx₁，并将其计算结果设为u；

第一幂计算步骤，第一幂计算部计算u′＝u^a；

第二可随机数化抽样步骤，第二可随机数化抽样器能够计算f（x）^ax₂，并将其计算结果设为v；

第二幂计算步骤，第二幂计算部计算v′＝v^b；

判定步骤，判定部判定是否为u′＝v′；以及

最终计算步骤，最终计算部在判定为u′＝v′的情况下，计算u^b′v^a′。

7.一种委托装置，其特征在于，

设G、H为循环群，设f为将群H的元x映射到群G的函数，设X₁、X₂为在群G中具有数值的随机变量，设随机变量X₁的表现值为x₁，设随机变量X₂的表现值为x₂，

所述委托装置包含：

整数计算部，利用互素的两个自然数a、b，计算满足a′a＋b′b＝1的关系的整数a′、b′；

第一幂计算部，利用能够计算f（x）^bx₁的第一可随机数化抽样器的计算结果u，计算u′＝u^a；

第二幂计算部，利用能够计算f（x）^ax₂的第二可随机数化抽样器的计算结果v，计算v′＝v^b；

判定部，判定是否为u′＝v′；以及

最终计算部，在判定为u′＝v′的情况下，计算u^b′v^a′。

8.一种代理计算系统，利用委托装置委托于计算装置的计算结果，计算θ（g，h），其特征在于，

设G、H及F为循环群，设映射θ：G×H→F为双同态映射，设g为群G的元，设h为群H的元，设K_G为群G的位数，设K_H为群H的位数，设μ_g为群G的生成元，设μ_h为群H的生成元，设ν＝θ（μ_g，μ_g），设k为自然数的安全参数，设K＝2^k，

所述委托装置包含：

第一随机数生成部，生成0以上不足K_G的整数的随机数r₁；

第二随机数生成部，生成0以上不足K_H的整数的随机数r₂；

第一输入信息计算部，计算第一输入信息g₁＝μ_g ^r1g；

第二输入信息计算部，计算第二输入信息h₁＝μ_h ^r2；

第一列表信息计算部，利用从所述计算装置接收到的z₁∈F，计算z₁ν^{－ r1r2}；

第一列表存储部，对由所述随机数r₂和所述计算出的z₁ν^-r1r2构成的信息组（r₂，z₁ν^-r1r2）进行存储；

第三随机数生成部，生成0以上不足K的整数的均匀随机数即d₁；

第四随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₄；

第五随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₅；

第三输入信息计算部，计算第三输入信息g₂＝μ_g ^r4g^d1；

第四输入信息计算部，计算第四输入信息h₂＝μ_h ^r5；

第二列表信息计算部，利用从所述计算装置接收到的z₂∈F，计算z₂ν^{－ r4r5}；

第二列表存储部，对由所述d₁、所述r₅和所述计算出的z₂ν^-r4r5构成的信息组（d₁，r₅，z₂ν^-r4r5）进行存储；

第一判定部，设从所述第一列表存储部读入的信息组的第一成分为s₁，设第二成分为w₁，且设从所述第二列表存储部读入的信息组的第一成分为t₂，设第二成分为s₂，设第三成分为w₂，判定这些信息组是否满足（w₁）＾（t₂s₂s₁ ^-1）＝w₂的关系，在满足该关系的情况下，将s₁代入σ，将w₁代入ν′；

第六随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₆；

第七随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₇；

第五输入信息计算部，计算第五输入信息g₃＝g^r6；

第六输入信息计算部，计算第六输入信息h₃＝μ_h ^r7σh；

第三列表信息计算部，利用从所述计算装置接收到的z₃∈F，计算z₃ν′^-r6r7；

第三列表存储部，对由所述r₆和所述计算出的z₃ν′^-r6r7构成的信息组（r₆，z₃ν′^-r6r7）进行存储；

第八随机数生成部，生成0以上不足K的整数的均匀随机数即d₂；

第九随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₉；

第十随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₁₀；

第七输入信息计算部，计算第七输入信息g₄＝μ_g ^r9；

第八输入信息计算部，计算第八输入信息h₄＝μ_h ^r10σh^d2；

第四列表信息计算部，利用从所述计算装置接收到的z₄∈F，计算z₄ν′^－r9r10；

第四列表存储部，对由所述d₂、所述r₉和所述计算出的z₄ν′^－r9r10构成的信息组（d₂，r₉，z₄ν′^-r9r10）进行存储；以及

第二判定部，设从所述第三列表存储部读入的信息组的第一成分为s₃，设第二成分为w₃，且设从所述第四列表存储部读入的信息组的第一成分为t₄，设第二成分为s₄，设第三成分为w₄，判定这些信息组是否满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系，在满足该关系的情况下，将（w₃）＾（s₃ ^-1）输出，

所述计算装置包含：

第一输出信息计算部，能够利用从所述委托装置接收到的g₁及h₁，计算θ（g₁，h₁），将其计算结果设为所述z₁而输出；

第二输出信息计算部，能够利用从所述委托装置接收到的g₂及h₂，计算θ（g₂，h₂），将其计算结果设为所述z₂而输出；

第三输出信息计算部，能够利用从所述委托装置接收到的g₃及h₃，计算θ（g₃，h₃），将其计算结果设为所述z₃而输出；以及

第四输出信息计算部，能够利用从所述委托装置接收到的g₄及h4，计算θ（g₄，h₄），将其计算结果设为所述z₄而输出。

9.如权利要求8所述的代理计算系统，其特征在于，

所述第一输入信息计算部计算第一输入信息g₁＝g^r1，

所述第一列表信息计算部利用所述r₁及所述r₂，计算r₁r₂，

在所述第一列表存储部存储由所述计算出的r₁r₂和从所述计算装置接收到的z₁∈F构成的信息组（r₁r₂，z₁）。

10.如权利要求8或9所述的代理计算系统，其特征在于，

所述第六输入信息计算部计算第六输入信息h₃＝h^r7，

所述第三列表信息计算部利用所述r₆及所述r₇，计算r₆r₇，

在所述第三列表存储部存储由所述计算出的r₆r₇和从所述计算装置接收到的z₃∈F构成的信息组（r₆r₇，z₃）。

11.如权利要求8～10中的任一项所述的代理计算系统，其特征在于，

所述第一判定部在满足所述关系的情况下，将t₁s₂代入σ，将w₂代入ν′，

所述第十随机数生成部利用所述r₉，计算－r₉ ^-1，并设为r₁₀。

12.如权利要求11所述的代理计算系统，其特征在于，

所述第七随机数生成部利用所述r₆，计算－r₆ ^-1，并设为r₇，

在所述第三列表存储部存储由1和所述计算出的z₃ν′^-r6r7构成的信息组（1，z₃ν′^－r6r7）。

13.如权利要求8～12中的任一项所述的代理计算系统，其特征在于，

所述第四随机数生成部利用所述r₅，计算－r₅ ^-1，并设为r₄。

14.如权利要求8～13中的任一项所述的代理计算系统，其特征在于，

还包含利用所述d₁计算g^d1的事前计算部，

所述第三输入信息计算部利用所述事前计算出的g^d1，进行所述g₂的计算。

15.如权利要求8～14中的任一项所述的代理计算系统，其特征在于，

还包含利用所述d₂计算h^d2的事前计算部，

所述第八输入信息计算部利用所述事前计算出的h^d2，进行所述h₄的计算。

16.一种代理计算方法，利用委托装置委托于计算装置的计算结果，计算θ（g，h），其特征在于，

设G、H及F为循环群，设映射θ：G×H→F为双同态映射，设g为群G的元，设h为群H的元，设K_G为群G的位数，设K_H为群H的位数，设μ_g为群G的生成元，设μ_h为群H的生成元，设ν＝θ（μ_g，μ_g），设k为整数的安全参数，设K＝2^k，

所述代理计算方法包含：

第一随机数生成步骤，所述委托装置的第一随机数生成部生成0以上不足K_G的整数的随机数r₁；

第二随机数生成步骤，所述委托装置的第二随机数生成部生成0以上不足K_H的整数的随机数r₂；

第一输入信息计算步骤，所述委托装置的第一输入信息计算部计算第一输入信息g₁＝μ_g ^r1g；

第二输入信息计算步骤，所述委托装置的第二输入信息计算部计算第二输入信息h₁＝μ_h ^r2；

第一输出信息计算步骤，所述计算装置的第一输出信息计算部能够利用从所述委托装置接收到的g₁及h₁，计算θ（g₁，h₁），将其计算结果设为所述z₁而输出；

第一列表信息计算步骤，所述委托装置的第一列表信息计算部利用从所述计算装置接收到的z₁∈F，计算z₁ν^-r1r2；

在所述委托装置的第一列表存储部存储由所述随机数r₂和所述计算出的z₁ν^-r1r2构成的信息组（r₂，z₁ν^-r1r2）的步骤；

第三随机数生成步骤，所述委托装置的第三随机数生成部生成0以上不足K的整数的均匀随机数即d₁；

四随机数生成步骤，所述委托装置的第四随机数生成部生成0以上不足K_G的整数的均匀随机数即r₄；

第五随机数生成步骤，所述委托装置的第五随机数生成部生成0以上不足K_H的整数的均匀随机数即r₅；

第三输入信息计算步骤，所述委托装置的第三输入信息计算部计算第三输入信息g₂＝μ_g ^r4g^d1；

第四输入信息计算步骤，所述委托装置的第四输入信息计算部计算第四输入信息h₂＝μ_h ^r5；

第二输出信息计算步骤，所述计算装置的第二输出信息计算部能够利用从所述委托装置接收到的g₂及h₂，计算θ（g₂，h₂），将其计算结果设为所述z₂而输出；

第二列表信息计算步骤，所述委托装置的第二列表信息计算部利用从所述计算装置接收到的z₂∈F，计算z₂ν^-r4r5；

在所述委托装置的第二列表存储部存储由所述d₁、所述r₅和所述计算出的z₂ν^-r4r5构成的信息组（d₁，r₅，z₂v^-r4r5）的步骤；

第一判定步骤，所述委托装置的第一判定部设从所述第一列表存储部读入的信息组的第一成分为s₁、第二成分为w₁，且设从所述第二列表存储部读入的信息组的第一成分为t₂、第二成分为s₂、第三成分为w₂，判定这些信息组是否满足（w₁）＾（t₂s₂s₁ ^-1）＝w₂的关系，在满足该关系的情况下，将s₁代入σ，将w₁代入ν′；

第六随机数生成步骤，所述委托装置的第六随机数生成部生成0以上不足K_G的整数的均匀随机数即r₆；

第七随机数生成步骤，所述委托装置的第七随机数生成部生成0以上不足K_H的整数的均匀随机数即r₇；

第五输入信息计算步骤，所述委托装置的第五输入信息计算部计算第五输入信息g₃＝g^r6；

第六输入信息计算步骤，所述委托装置的第六输入信息计算部计算第六输入信息h₃＝μ_h ^r7σh；

第三输出信息计算步骤，所述计算装置的第三输出信息计算部能够利用从所述委托装置接收到的g₃及h₃，计算θ（g₃，h₃），将其计算结果设为所述z₃而输出；

第三列表信息计算步骤，所述委托装置的第三列表信息计算部利用从所述计算装置接收到的z₃∈F，计算z₃ν′^-r6r7；

在所述委托装置的第三列表存储部存储由所述r₆和所述计算出的z₃ν′^{－ r6r7}构成的信息组（r₆，z₃ν′^-r6r7）的步骤；

第八随机数生成步骤，所述委托装置的第八随机数生成部生成0以上不足K的整数的均匀随机数即d₂；

第九随机数生成步骤，所述委托装置的第九随机数生成部生成0以上不足K_G的整数的均匀随机数即r₉；

第十随机数生成步骤，所述委托装置的第十随机数生成部生成0以上不足K_H的整数的均匀随机数即r₁₀；

第七输入信息计算步骤，所述委托装置的第七输入信息计算部计算第七输入信息g₄＝μ_g ^r9；

第八输入信息计算步骤，所述委托装置的第八输入信息计算部计算第八输入信息h₄＝μ_h ^r10σh^d2；

第四输出信息计算步骤，所述计算装置的第四输出信息计算部能够利用从所述委托装置接收到的g₄及h₄，计算θ（g₄，h₄），将其计算结果设为所述z₄而输出；

第四列表信息计算步骤，所述委托装置的第四列表信息计算部利用从所述计算装置接收到的z₄∈F，计算z₄ν′^-r9r10；

在所述委托装置的第四列表存储部存储由所述d₂、所述r₉和所述计算出的z₄ν′^－r9r10构成的信息组（d₂，r₉，z₄ν′^－r9r10）的步骤；以及

第二判定步骤，所述委托装置的第二判定部设从所述第三列表存储部读入的信息组的第一成分为s₃、第二成分为w₃，且设从所述第四列表存储部读入的信息组的第一成分为t₄、第二成分为s₄、第三成分为w₄，判定这些信息组是否满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系，在满足其关系的情况下，将（w₃）＾（s₃ ^－1）输出。

17.一种代理计算系统的委托装置，所述代理计算系统利用委托装置委托于计算装置的计算结果，计算θ（g，h），其特征在于，

设G、H及F为循环群，设映射θ：G×H→F为双同态映射，设g为群G的元，设h为群H的元，设K_G为群G的位数，设K_H为群H的位数，设μ_g为群G的生成元，设μ_h为群H的生成元，设ν＝θ（μ_g，μ_g），设k为自然数的安全参数，设K＝2^k，

所述委托装置包含：

第一随机数生成部，生成0以上不足K_G的整数的随机数r₁；

第二随机数生成部，生成0以上不足K_H的整数的随机数r₂；

第一输入信息计算部，计算第一输入信息g₁＝μ_g ^r1g；

第二输入信息计算部，计算第二输入信息h₁＝μ_h ^r2；

第一列表信息计算部，利用从所述计算装置接收到的z₁∈F，计算z₁ν^{- r1r2}；

第一列表存储部，对由所述随机数r₂和所述计算出的z₁ν^-r1r2构成的信息组（r₂，z₁ν^-r1r2）进行存储；

第三随机数生成部，生成0以上不足K的整数的均匀随机数即d₁；

第四随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₄；

第五随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₅；

第三输入信息计算部，计算第三输入信息g₂＝μ_g ^r4g^d1；

第四输入信息计算部，计算第四输入信息h₂＝μ_h ^r5；

第二列表信息计算部，利用从所述计算装置接收到的z₂∈F，计算z₂ν^{- r4r5}；

第二列表存储部，对由所述d₁、所述r₅和所述计算出的z₂ν^-r4r5构成的信息组（d₁，r₅，z₂ν^-r4r5）进行存储；

第一判定部，设从所述第一列表存储部读入的信息组的第一成分为s₁，设第二成分为w₁，设从所述第二列表存储部读入的信息组的第一成分为t₂，设第二成分为s₂，设第三成分为w₂，判定这些信息组是否满足（w₁）＾（t₂s₂s₁ ^-1）＝w₂的关系，在满足该关系的情况下，将s₁代入σ，将w₁代入ν′；

第六随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₆；

第七随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₇；

第五输入信息计算部，计算第五输入信息g₃＝g^r6；

第六输入信息计算部，计算第六输入信息h₃＝μ_h ^r7σh；

第三列表信息计算部，利用从所述计算装置接收到的z₃∈F，计算z₃ν′^－r6r7；

第三列表存储部，对由所述r₆和所述计算出的z₃ν′^-r6r7构成的信息组（r₆，z₃ν′^-r6r7）进行存储；

第八随机数生成部，生成0以上不足K的整数的均匀随机数即d₂；

第九随机数生成部，生成0以上不足K_G的整数的均匀随机数即r₉；

第十随机数生成部，生成0以上不足K_H的整数的均匀随机数即r₁₀；

第七输入信息计算部，计算第七输入信息g₄＝μ_g ^r9；

第八输入信息计算部，计算第八输入信息h₄＝μ_h ^r10σh^d2；

第四列表信息计算部，利用从所述计算装置接收到的z₄∈F，计算z₄ν′^-r9r10；

第四列表存储部，对由所述d₂、所述r₉和所述计算出的z₄ν′^－r9r10构成的信息组（d₂，r₉，z₄ν′^-r9r10）进行存储；以及

第二判定部，设从所述第三列表存储部读入的信息组的第一成分为s₃，设第二成分为w₃，设从所述第四列表存储部读入的信息组的第一成分为t₄，设第二成分为s₄，设第三成分为w₄，判定这些信息组是否满足（w₃）＾（t₄s₄s₃ ^-1）＝w₄的关系，在满足该关系的情况下，将（w₃）＾（s₃ ^-1）输出。

18.一种程序，用于使计算机作为权利要求7或权利要求17的委托装置的各部发挥功能。

19.一种计算机可读取的记录介质，记录有权利要求18的委托装置程序。

Images